雖然數(shù)據(jù)中心傳統(tǒng)上依賴于檢測和采取周邊安全解決方案來降低風險，但新型網(wǎng)絡威脅的激增已經(jīng)提高了對預防的需求。根據(jù)波洛蒙研究所的研究，估計數(shù)據(jù)中心停機的平均成本超過740,000美元(自2010年以來增長近40%)，那些負責數(shù)據(jù)中心網(wǎng)絡安全的工作人員必須尋求采用下一代預防策略來減少和關(guān)閉攻擊面，并提高現(xiàn)有基礎設施、流程和人員的效率。

保護周邊

幾十年來，外圍安全一直是保護數(shù)據(jù)中心的主要手段。然而，這種策略類似于一個中世紀城堡，其中保護的目標只限制在一個小區(qū)域內(nèi)，并由具有嚴密防護入口點的堅固墻壁保護。數(shù)據(jù)中心在其周邊建立了安全層，這些安全層深入?yún)f(xié)作，其理念是如果一個安全層沒有抵御某些攻擊，那可以通過下一個安全層進行防護。

與城堡一樣，數(shù)據(jù)中心強調(diào)檢測進出組織的流量。傳統(tǒng)的流量檢測方法包括映射出網(wǎng)絡接入點以創(chuàng)建不斷測試和加固周邊設施。這對于檢測攻擊和生成警報非常有效，希望具有足夠的安全性來防止安全層的破壞，而這可能導致停機、經(jīng)濟損失、聲譽受損，甚至環(huán)境危害。

加強數(shù)據(jù)中心的安全

數(shù)據(jù)中心的安全不再只考慮內(nèi)部的保護事物。城堡型解決方案在大型機和硬線終端的時代運作良好，但它們對于當今的威脅并不那么有效。事實上，無線通信(OTA)、物聯(lián)網(wǎng)設備和云計算的出現(xiàn)使得數(shù)據(jù)中心的安全性降低。

目前，數(shù)據(jù)中心面臨的主要安全挑戰(zhàn)是，他們必須努力在內(nèi)部部署數(shù)據(jù)中心、公共云、私有云和混合云中運行應用程序時保持其數(shù)據(jù)的私密性。雖然他們的許多客戶將業(yè)務進一步擴展到云中，但這也可能無意中增加了克隆配置擴展攻擊的風險。攻擊者可以定位路由器、交換機、存儲控制器、服務器，以及傳感器和交換機等操作技術(shù)組件的所有內(nèi)容。一旦黑客獲得對設備的控制權(quán)，他們就可以進行更多的擴展，從而可能跨網(wǎng)絡攻擊所有相同的設備。

如今的攻擊來自新地方或意想不到的地方，因為網(wǎng)絡攻擊者現(xiàn)在擁有更多的工具來規(guī)避周邊安全檢測，并從數(shù)據(jù)中心內(nèi)部攻擊目標。美國國防部信息網(wǎng)絡聯(lián)合部隊總部(JFHQ-DODIN)運營總監(jiān)Paul Craft上校在5月舉行的AFCEA防御網(wǎng)絡運營研討會上表示，安全不僅僅與基礎設施有關(guān)。“這是我們的IT平臺，將記錄我們所有的數(shù)據(jù)，它也是我們的ICS和SCADA系統(tǒng)，也涉及我們所有跨域的網(wǎng)絡。”他說。

根據(jù)波洛蒙研究所的調(diào)查，許多攻擊現(xiàn)在可以迅速從一個設備擴展到所有設備，這可以從黑客訪問使用相同代碼構(gòu)建的200,000個網(wǎng)絡設備的缺陷中看出。例如內(nèi)存損壞(緩沖區(qū)、棧和堆)和ROP/JOP(返回/跳轉(zhuǎn)導向編程)執(zhí)行重新排序這樣的無文件攻擊，也成為了一種日益嚴重的威脅，其感染設備的可能性是傳統(tǒng)攻擊的10倍。

根據(jù)賽門鐵克公司的2018年互聯(lián)網(wǎng)安全威脅報告，過去一年中，對供應鏈攻擊增加了200%。很多組織和供應商現(xiàn)在只能控制其源代碼的一小部分，因為現(xiàn)代軟件堆棧由來自全球供應鏈第三方的二進制文件組成，這些二進制文件來自包含隱藏漏洞的專有和開源代碼。此外，零日攻擊迅速增長，很多黑客正在利用軟件、硬件或固件中的未知漏洞攻擊系統(tǒng)。

新時代的數(shù)據(jù)中心網(wǎng)絡安全

數(shù)據(jù)中心必須從只關(guān)注檢測的安全性轉(zhuǎn)向強調(diào)預防的安全性。由于許多新的攻擊完全避開傳統(tǒng)的網(wǎng)絡和端點保護，最新一代的工具旨在抵御不斷增長的攻擊媒介類別。這不僅可以提高抵御最新威脅的安全性，還可以提高工具和流程在處理剩余內(nèi)容方面的有效性。

如今，必須假設供應鏈中的硬件受到損害。這意味著企業(yè)需要在可能不受信任的硬件之上構(gòu)建和運行受保護的軟件。數(shù)據(jù)中心需要這種新的防御策略，采用深入的方法識別潛在的漏洞，并直接加強二進制文件，以便攻擊無法實現(xiàn)或復制。

實現(xiàn)此目的的最佳方法之一是以某種方式轉(zhuǎn)換設備中的軟件二進制文件，從而使惡意軟件無法更改命令并在系統(tǒng)中傳播。這種方法稱為“網(wǎng)絡硬化”，可防止單個漏洞利用跨多個系統(tǒng)傳播。它縮小了攻擊面，并縮小了工業(yè)控制系統(tǒng)和嵌入式系統(tǒng)和設備中的漏洞，大大減少了物理損壞和人為破壞的機會。

最好的安全性總是假設黑客最終會入侵。而不是在漏洞利用后對受到攻擊的漏洞作出反應，網(wǎng)絡硬化可以防止惡意軟件針對數(shù)據(jù)中心的攻擊，而防御比較薄弱的組織不要取消這樣的基礎設施。