数据中心平安建设方案.docx

数据中心平安建设方案.docx

《数据中心平安建设方案.docx》由会员分享，可在线阅读，更多相关《数据中心平安建设方案.docx（24页珍藏版）》请在冰点文库上搜索。

数据中心平安建设方案

数据中心平安

解决方案

第一章解决方案

一.1建设需求

XXX用户通过量年的信息化建设，各项业务都顺利的开展起来了，数据中心已经积存了很多宝贵的数据，这些无形的资产比硬件资产还重要，但它们却面临着超级大的平安挑战。

在初期的系统建设进程中，大多用户可不能考虑数据平安、应用平安层面的问题，通过连年的进展，数据中心愈来愈庞大，业务愈来愈复杂，但信息平安完全没有配套建设，常常会发生一些平安事件，如：

数据库的表被人删除、主机密码被人修改了、灵敏数据泄露了、特权账号被第三方人员利用等等情形，而这些平安事件往往都是特权用户从后台直接操作的，超级隐蔽，这时往往无从查起。

其实，信息平安建设在系统的设计初期开始，就应该要介入，始终贯穿其中，如此花费的人力物力才是最小。

当一个系统建成后，发觉问题了，转头再来考虑平安建设，如此投入的本钱将会变得最大。

一.2建设思路

数据中心的平安部系建设并非平安产品的堆砌，它是一个依照用户具体业务环境、利用适应、平安策略要求等多个方面构建的一套生态体系，涉及众多的平安技术，实施进程需要涉及大量的调研、咨询等工作，还会涉及到众多的平安厂家之间的和谐、产品的选型，平安系统建成后怎么维持那个生态体系的平稳，是一个复杂的系统工程，一样建议分期投资建设，从技术到治理，慢慢实现组织的战略目标。

整体设计思路是将需要爱惜的核心业务主机包及数据库围起来，与其他网络区域进行逻辑隔离，封锁一切不该该暴漏的端口、IP，在不阻碍现有业务的情形下形成数据孤岛，设置固定的数据访问入口，对入口进行严格的访问操纵及审计。

由之前的被动平安变成主动防御，操纵平安事故的发生，对接入系统的人员进行有效的认证、授权、审计，让灵敏操作变得加倍透明，有效避免平安事件的发生。

在访问入口部署防火墙、账号生命周期治理系统、数据加密系统、令牌认证系统、审计系统等平安设施，对所有外界向核心区域主机发起的访问进行操纵、授权、审计，对流出核心区域的批量灵敏数据进行加密处置，所有加密的数据将被有效的包围在平安域之内，并跟踪数据产生、扭转、销毁的整个生命周期，杜绝灵敏数据外泄及滥用行为。

为了保证XXX用户的业务持续性，各平安子系统都采纳旁路的方式部署到网络当中，其中账号生命周期治理系统、审计系统、数据库都采纳双机的模式，以提供自身的高靠得住性；加密系统、特权账号生命周期治理系统、令牌认证系统都建议部署在VMware云计算平台上，利用VMware壮大的效劳器虚拟化能力为防泄密系统提供良好的靠得住性与可扩展性保证。

一.3整体方案

信息平安系统整体部署架构图

1、在核心互换机上部署防护墙模块或独立防火墙，把重要的主机、数据库与其他子网进行逻辑隔离，划分平安区域，对没必要要的端口进行封锁，隔离终端IP对数据中心可达。

2、在终端汇聚的互换机上旁路部署IP准入操纵系统，实现非法外联、IP实名制，对接入内网的终端进行有效的操纵。

3、部署主机账号治理系统，限制所有终端对主机的访问只能通过治理系统发起，并对Telnet、SSH、RDP等访问进程进行操纵、审计，避免终端将数据从主机上擅自复制到本地硬盘，避免误操作。

4、部署数据账号治理系统，对数据库访问工具（PL-SQL）、FTP工具等经常使用保护工具进行统一的发布，对前台数据库访问操作进行审计记录，把数据包围在效劳器端。

对下载数据行为进行严格操纵，并对提取的数据进行加密处置。

5、部署加密系统（DLP），对所有流出数据中心的数据进行自动加密处置，并对数据的产生、扭转、编辑、销毁进行生命周期治理。

6、部署数据库审计系统，对数据库访问行为进行审计，监控灵敏数据访问情形，监控数据库操作行为，记录数据库后台转变情形，事后回查。

7、在生产库与测试库之间部署数据脱敏系统，对从在线库抽取的数据进行自动脱敏，再导入测试库，幸免数据泄露。

对后台访问在线库的人群进行权限治理，对访问的灵敏字段进行自动遮罩。

八、部署应用内嵌账号治理系统，对应用系统内嵌的特权账号进行有效的托管，实现账号的按期修改、密码强度、密码加密等平安策略。

9、部署令牌认证系统，对登入数据中心区的用户利用双因素认证，确认访问数据中心者的身份，杜绝账号共用现象。

10、部署云计算平台，为防泄密系统提供良好的运行环境。

云计算平台提高了系统的靠得住性、可扩展性，减少宕机时刻，降低保护本钱。

11、所有系统都采纳活动目录认证，并加以动态令牌做为双因素认证，实现对用户身份的准确辨别。

一.3.1IP准入操纵系统

此刻国内外，有很多厂商推出自己的准入操纵系统解决方案，目的确实是为了在终端接入网络前对其进行平安检查，只许诺合法的用户接入到网络当中，幸免随意接入网络给系统带来风险。

主流的解决方案有两种方式，旁路部署方式都是基于的，需要跟互换机做联动；串接的部署方式不需要与互换机联动，但会给网络的通过性与性能带来挑战，采纳的用户不多。

这些解决方案，在复杂的中国环境部署成功的并非多，要么网络条件超级好，互换机都支持，要么网络超级扁平化，终端都能够收敛到同一个出口。

IP地址治理困难：

接入Intranet的运算机设备都需要一个合法的IP地址，IP地址的分派和治理是一件令网络治理人员头疼的情形，IP地址、MAC地址、运算机名冒用、滥用现象普遍存在，而治理人员缺乏有效的监控手腕。

局域网上假设有两台主机IP地址相同，那么两台主机彼此报警，造成应用混乱。

因此，IP地址盗用与冲突成了网管员最头疼的问题。

当几百台、乃至上千台主机同时上网，如何操纵IP地址盗用与冲突更是当务之急。

在实际中，网络治理员为入网用户分派和提供的IP地址，只有通过客户进行正确地注册后才有效。

 这为终端用户直接接触IP地址提供了一条途径。

由于终端用户的介入，入网用户有可能自由修改IP地址。

改动后的IP地址在联网运行时可致使三种结果：

Ø非法的IP地址，自行修改的IP地址不在计划的网段内，网络呼唤中断。

Ø重复的IP地址，与已经分派且正在联网运行的合法的IP地址发生资源冲突，无法链接。

非法占用已分派的资源，盗用其它注册用户的合法IP地址（且注册该IP地址的机械未通电运行）联网通信。

IPScan能专门好的操纵非法的IP接入，并对内网已有的联网IP通过切断联网实现迅速快捷的操纵，以很方便的方式实现内网平安要挟的最小化。

IPScan通过对IP/MAC的绑定，对每一个IP地址都能够进行实时的监控，一旦发觉非法的IP地址和某个IP地址进行非法操作的时候，都能够及时对这些IP地址进行操作，，有效的避免IP冲突。

产品是基于二层（数据链路层）的设计理念，能够有效地操纵ARP广播病毒，通过探测ARP广播包，能够自动阻止中毒主机大量发送ARP广播，从而保证了内网的平安。

通过实现IP地址的绑定，从而变相的实现了网络实名制，在接入网络的终端都被授予唯一的IP地址，在网络中产生的所有日记将会变得超级成心义，它能够关联到是哪个终端哪个用户，能让平安日记产生定责的作用。

一.3.2防泄密技术的选择

国外有良好的法律环境，内部成心泄密相对极少，对内部人员确以为可信，数据泄露要紧来自外部入侵和内部无心间的泄密。

因此，国外DLP（数据防泄漏）解决方案要紧用来避免外部入侵和内部无心间泄密，能够解决部份问题，但无法避免内部主动泄密，只能更多地依托治理手腕。

而国内环境，法律威慑力小，追踪难度大，泄密者比较容易逃脱法律制裁，犯法本钱比较小；同时，国内各类治理制度不完善，内部人员无心间泄密的概率也比较大。

国内DLP以加密权限为核心，从主动预防的立足点来避免数据泄露，对数据进行加密，从源头上进行操纵。

即便内部数据流失到外部，也因为已被加密而无法利用，从而保证了数据的平安。

因此国内DLP既能避免内部泄密（包括内部成心泄密和无心泄密），同时也能避免外部入侵窃密。

一.3.3主机账号生命周期治理系统

XXX用户局愈来愈多的业务外包给系统提供商或其他专业代维公司，这些业务系统涉及了大量的公民灵敏信息。

如何有效地监控第三方厂商和运维人员的操作行为，并进行严格的审计是用户此刻面临的一个挑战

。

严格的规章制度只能约束一部份人的行为，只有通过严格的权限操纵和操作审计才能确保平安治理制度的有效执行，在发生平安事件后，才能有效的还原事故现场，准确的定位到责任人。

主机账号生命周期治理系统能帮忙用户成立集中的和统一的主机运维治理平台，实现自动化的监控审计，对所有保护人员和支持人员的操作行为（Telnet、SSH、RDP、FTP、SFTP、VNC、KVM等协议）进行监控和跟踪审计，（实现对所有登录系统的人员的所有操作进行全面行为进程审计，达到对所访问主机的操作行为进行搜集，以便实时监控和事后回放分析、重现和检索，以最大限度地减少运行事故、降低运行风险、进行责任追溯，不可抵赖。

同时提供直观的问题报告工具），避免灵敏数据从物理层被窃取。

依照规定，一段时刻内必需修改一次主机及数据库的密码，以符合平安性要求，往往这些密码太多，修改一次也费时费力，还常常显现root密码修改后忘记的情形。

很多时候，保护人员为了方便经历密码，将密码记录在一个文件里，以明文方式保留在电脑上，即便文件加了个简单的密码，一旦这些数据泄漏，后果不堪假想。

此刻可采纳主机账号生命周期治理系统进行密码托管，能够设定按期自动修改主机密码，不用人工干与了。

既提高了信息平安工作的效率，又降低了治理本钱，还降低了平安风险。

一.3.4数据库账号生命周期治理系统

目前，XXX用户的支持人员及第三方保护人员都是采纳PL/SQL等工具对在线库或离线库进行直接操作，有的是通过业务系统的某些模块直接操作数据库，致使灵敏数据能够直接被编辑、删除，无法对其进行集中操纵。

针对这种情形，目前较有效的解决方案是通过数据库账号生命周期治理系统来实现。

通过账号生命周期治理系统的虚拟化技术，将有高风险的操作工具发布出来（如PL/SQL、业务系统的主界面、C/S架构系统的客户端等），客户端零安装，用户对程序远程挪用，幸免真实数据的传输和漏泄，能实现幸免数据的泄露、对重要操作进行全程跟踪审计、对重要命令进行预警。

系统禁止所有操作终端与效劳器之间的数据复制操作，但操作人员常常需要复制一段代码或脚本到PL/SQL里面进行查询操作，若是是用手敲，必将会阻碍工作效率。

那个地址就要求数据库账号生命周期治理

系统具有单向数据流的操纵，只许诺从终端复制数据到系统，禁止从系统上复制数据到本地磁盘，如此既保留了用户的利用适应，又达到了平安的目的。

若是支持人员要把数据保留到本地终端上进行二次处置，需要将文件导出到指定的存储途径上，文件产生后会被自动加密处置，支持人员能够在指定的途径下载加密的文件到本地磁盘，并进行后期的二次处置，同时在存储上保留有文件副本备查。

若是支持人员需要把修改好的数据上传应用系统中或主机中，需要将文件导入到指定的存储途径上，文件上传后会被自动解密处置，即可被应用系统或主机正常识别。

一.3.5双因素认证系统

目前，系统中的主机账号共用情形比较普遍，一个账号多个人利用，这就造成了事后难以定责的为难局面，而且静态的口令也容易被获取。

为了杜绝这种现象，可采纳双因素认证系统增强身份认证的治理。

传统的方式是在每台需要爱惜的主机、数据库上启用Agent，若是主机数量很多的话，配置工作量专门大，保护起来很繁琐。

咱们推荐给XXX用户局的解决方案是将令牌认证系统与主机账号生命周期治理系统结合做双因素认证，大大减少了配置工作量的同时，还知足了系统平安性要求。

另外，关于所有重要的业务系统、平安系统，都应该采纳双因素认证，以幸免账号共用情形，发生平安事件后，能准确的定责。

一.3.6数据库审计系统

审计系统在整个系统中起到一个专门好的补充作用。

数据库账号生命周期治理系统尽管会记录所有操作数据库的行为，但他只是记录前台的操作进程，但关于发生平安事件后快速定位、还原整个事件进程仍是有些欠缺。

专业数据库审计系统会对数据库操作进行审计，记录数据库的日常操作行为，记录灵敏数据的访问、修转业为，会精准了每一个字符。

在平安事件发生后，能够精准的利用操作命令来检索需要审计的信息，乃至能够组合几条信息来精准定位，提高了审计的效率。

它

能够对数据库发生的所有转变进行回放，让用户明白重要操作后数据库返回了什么样的结果、发生了什么转变，能够专门好的帮忙用户恢复整个事件的原始轨迹，有助于还原参数及取证。

并可能够深切到应用层协议（如操作命令、数据库对象、业务操作进程）实现细料度的平安审计，并依照事前设置的平安策略采取诸如产生告警记录、发送告警邮件（或短信）、提升风险品级。

一.3.7数据脱敏系统

在咱们的用户系统里面，存在着大量的灵敏信息：

公民数据、业务数据等，业务系统软件开发的最后时期，是需要尽可能真实的数据来作为基础测试软件的一系列功能。

尤其是用户系统如此的大型系统实施或开发的时候，关于基础数据的要求很严格，很多时候都是直接克隆生产环境的数据来进行软件系统的测试，可是随之而来的阻碍却是深远的，生产数据中，第一它是一个真实的数据，透过数据大体上把握了整个数据库的资料。

第二，在这当中包括很多灵敏数据，不但是灵敏数据，而且仍是真实的灵敏数据。

若是在测试环境中发生了信息泄露问题，那么关于用户数据平安将造成致命的后果。

近年来，政府行业重大的灵敏数据泄漏事件时有发生，如以下图所示：

核心数据脱敏模块的建设基于动态数据脱敏技术，一般是应用于生产系统，当对数据库提出读取数据的请求时，动态数据脱敏依照访问用户的角色执行

不同的脱敏规那么。

如以下图所示：

授权用户能够读取完整的原始数据，而非授权用户只能看到脱敏后的数据。

一.3.8应用内嵌账号治理系统

复杂的IT环境，在其中包括过个脚本，进程，应用程序需要访问多个平台的资源和数据库中存取灵敏信息。

为了更好地访问这些资源，应用程序和脚本会利用数据库上的帐号去获取数据，有些帐号只有只读权限，还有些帐号具有读写权限。

爱惜、治理和共享这种与应用程序相关的帐号成了IT部门或应用负责人的庞大挑战，也是放在用户眼前的审计难题。

调查说明42%的用户从不修改嵌入在应用程序内的帐号密码。

这是一个严峻的平安风险，而且明显地违抗了许多法律法规的要求，一样也是直接致使运维效率低下的要紧缘故。

应用程序的内嵌帐号通常也是具有超级高的权限的，能够毫无操纵地访问后端系统。

若是该帐号不有效治理起来，必将带来绕开常规治理流程的非法访问。

以上图的Billing系统为例，前端Bill

应用通过内置的数据库用户连接数据库，用以更新数据库中相关记录。

非授权的第三方人员一旦知晓该密码，那么能够肆无顾忌地进入数据库，删除记录，修改数据。

如上描述，嵌入在应用程序中的密码会带来如下平安风险：

密码不按期修改：

为了取得更高的平安水平，密码需要按期修改。

而应用程序内嵌密码其密码修改良程超级复杂，因为密码会被写入在应用程序的多处。

运维人员和开发人员都知晓应用密码：

由于应用程序密码被嵌入在程序中，而且可不能按期修改，因此通常密码在IT运维人员和开发人员整个企业中是共享的，专门还包括离职员工和外包人员。

密码强度不够：

由于密码是IT运维人员或开发人员手工创建的，为了能够应付紧急情形，这些密码尽可能概念地简单，便于能够经历。

这将致使企业特权帐号密码的策略不合规。

密码存储在明文中：

嵌入的密码在配置文件或源代码中是明文存储的，有时密码也不符合强度要求。

因此这些密码很容易被访问到源代码和配置文件的人员取得。

对应用程序内嵌密码缺乏审计：

在紧急情形下，IT运维人员和开发人员都需要利用应用程序密码，现有的密码方案无法提供相应的利用记录的操纵和审计。

审计与合规：

无法爱惜应用程序帐号，审计其利用记录会违法平安标准和法规，而且致使无法通过内审和外审要求。

应用程序帐号治理常见需求

如之前章节描述，由于应用程序密码滥用状况引发了平安与合规性风险。

拥有了应用程序就能够够访问企业的核心应用，为了成功地操纵这些应用帐号，所选择的解决方案必需知足如下要求：

平安需求：

1.加密：

应用程序密码必需存储在平安的场所，不管是存储，仍是被传送至应用程序，密码必需被加密。

2.访问操纵：

必需有很强的访问操纵作用在密码利用之上，严格限定能够访问密码的人员或是应用程序

3.审计：

能够快速审计到任何访问密码的活动，包括个人访问记录。

4.高可用性：

相应的应用程序无法同意宕机时刻。

应用程序始终能够访问这些密码，不管是在网络连接的问题或存储发生故障。

治理需求：

1.普遍的平台支持性：

一个企业一样会拥有不同类型的系统、应用和脚本等。

为了能够支持企业中不同应用的需求，应用程序密码治理方案必需支持如下普遍平台：

a）脚本–Shell,Perl,bat,Sqlplus,JCL等

b）应用程序–自概念开发的C/C++应用程序，Java，.NET，Cobol等，也有一些诸如Oracle，SAP的商业系统

c）应用效劳器–大部份企业至少会拥有常见应用效劳器的一款：

比如IBMWebSphere,OracleWebLogic，JBOSS或Tomcat

2.简单和灵活的整合：

改变应用排除硬编码密码的方式应该简单明了。

整个方式应该简化和缩短应用程序向动态密码治理迁移的周期。

3.支持复杂的散布式环境：

大型企业中散布式系统超级多见。

例如，一个集中的数据中心和多很分支机构运行着连接到中心的应用程序。

网络连接不是不时刻刻靠得住的，偶然也会断网或发生震荡，因此企业应用程序的高可用性是超级重要的，方案应该许诺分支机构在连接到总部的网络发生故障时，依旧能够运行良好。

预设账号口令治理系统通地在改变业务系统请求预设帐号方式，由传统的应用内置帐号密码，更改成向预设账号口令治理系统发起预设帐号密码请求，通过对网络传输中的请求、返回数据进行加密，对请求源进行认证与授权的方式，平安保证最新的帐号密码信息的供给。

一.3.9云计算平台

目前，大多数用户的数据中心都部署了VMware的云计算平台，那个平台能够专门好的融入到信息平安体系当中。

账号生命周期治理系统、加密系统、双因素认证系统、活动目录、内嵌账号治理、数据脱敏系统、统一平安运营平台、文件效劳器都是标准软件应用，都能够跑在VMware云计算平台上。

利用VMware能够方便的对信息平安子系统做快照、系统迁移、系统扩容等，在发生故障时可快速恢复系统，为信息平安系统提供了良好的支撑平台，降低了宕机时刻，降低了保护本钱，提高了工作效率。

一.3.10防火墙

在数据中心部署独立高性能防火墙，利用防火墙逻辑隔离出两个区域，一个是内部核心效劳器及数据库区域（数据中心区），一个是信息平安系统及其他对外效劳器区域（DMZ非军事区）。

在主机账号生命周期治理系统上线运行后，数据中心防火墙需要配置

平安策略，对FTP、SSH、Telnet、RDP和所有未利用的端口进行封锁，禁止任何外部终端对数据中心主机直接发起有效连接，禁止终端直接接触数据中心的资产，只许诺其通过治理系统来访问数据中心，但许诺数据中心内部主机之间的相互连接。

在数据库账号生命周期治理系统上线运行后，数据中心防火墙需要做平安策略，对数据库端口进行封锁，禁止任何外部终端直接采纳数据库工具操作数据库，但许诺数据中心内部主机之间的数据同步。

一.3.11统一平安运营平台

随着信息架构与应用系统日渐庞大，现行IT架构中，早已不是单一系统或是单一设备的单纯环境，系统中往往拥有各类平安设备、主机设备、网络设备、应用系统、中间件数据库等等，天天产生庞大的日记文件，即便是派专人都无法处置过来，一个平安事件的追查，关于结合异质系统、平台的问题上，却又需要花费大量的人力时刻，关于问题解决的时刻花费与异构平台问题查找，都无法有效治理与降低本钱。

统一平安运营平台可从单一名置实时搜寻、报警及报告任何利用者、网络、系统或应用程序活动、配置变更及其它IT数据。

排除设置多重主控台的需要，从单一名置即可追查解决者的行踪。

此刻能够执行更为深切的分析，并更快速而完全地予以回应，降低风险及危险暴露的程度。

意外事件回应

在接获任何可疑活动的报警或报告时，统一平安运营平台将会是第一个处置的窗口。

只需在统一平安运营平台搜寻框中输入你所把握的详细数据，包括IDS报警的来源及目标IP，或是以为其私人数据已外泄的客户账户ID即可。

统一平安运营平台会当即传回整个网络中所有应用程序、主机及装置中，与该搜寻条件有关的每一事件。

尽管开始传回的数据超级多，但统一平安运营平台可协助用户理出头绪，并依照所希望的方式加以整理。

其会自动撷取及让用户挑选时刻及其它字段、依据关键词及模式将事件分类，因此用户可快速处置完所有的活动数据。

假设用户发觉值得注意的事件，并希望加以追踪，仅要点击任何名词，即可针对所点击的辞汇执行新搜寻。

正因为统一平安运营平台可为任何IT

数据制作索引－而不仅是平安性事件或日记文件，因此用户只需利用统一平安运营平台，即可把握通盘状况。

用户可在此单一名置中，搜寻及发觉解决者当下可能执行的程序、过去执行的程序，并查看其可能已修改的配置变更。

平安性监控

统一平安运营平台可让用户超级容易跨越IT束缚监控平安性事件；搜寻用户路由器及防火墙日记文件中的数据流违背情形，寻觅效劳器及应用程序上的违背情形，或是寻觅XX或不平安的配置变更。

运用统一平安运营平台的趋势分析、分类及执行识别功能，即可快速识别极为复杂的利用情形，例如可疑的执行及模式，或是网络活动的转变。

报警功能可透过电子邮件、RSS、短信或触发脚本寄送通知，可轻易与用户现有的监控主控台整合。

报警还能触发自动化动作，以便当即响应特定状况，譬如命令防火墙封锁入侵者往后的数据流。

变更侦测

通过统一平安运营平台，可持续监测所有途径上的档案，不必另行部署其它代理程序。

每次在用户所监控的途径上加入、变更或删除档案时，统一平安运营平台皆会记录一个事件。

用户也能够让统一平安运营平台在每次整体档案有所变更时，皆为其制作快照索引。

假设已部署专用的变更监控工具，亦无阻碍，只要利用统一平安运营平台为其所记录的事件制作索引，代替直接监控变更即可。

不管来源为何，只要索引中的数据变更，用户就会接获重大配置设定变更的警示，并能轻易追踪配置变更的错误症结缘故。

平安性报告

统一平安运营平台为用户提供单一名置，可跨越所有的IT基础结构及技术产生报告，包括跨越所有效劳器、设备及应用程序，为平安性事件、效能统计数据及配置变更提供报告，并利用趋势图表及摘要辨识异样及可疑转变。

其报告采纳交互式能让用户深切挖掘，以了解问题的缘故及阻碍。

利用统一平安运营平台可转达用户基础结构的平安性大体原那么、检查存取操纵，或是紧密监视利用者的行为，并为用户的客户、治理阶级或同事制作自动化的调度报表，或产生特定操作的报告。

然后将报告结果列在仪表板上，为用户组织中的资产治理人提供给用程序及系统的实时检查，以增加对状况的把握能力。

一.3.12平安运维效劳

Ø漏洞扫描效劳：

漏洞扫描结果、对照分析报告、漏洞情形汇总表

Ø系统加固效劳：

系统加固和优化解决方案，系统加固实施报告（辅助）

Ø基线评估：

对目标系统进行最小平安策略评估

Ø平安渗透测试效劳：

渗透测试方案，渗透测试报告

Ø平安设备巡检效劳：

巡检标准、巡检报告

Ø系统平安评审效劳：

系统平安审核报告（平安策略）

Ø平安顾问咨询效劳：

信息平安咨询、平安计划、解决方案咨询。

Ø平安事件响应：

平安事件报告

Ø平安驻点效劳：

提供周报、月报、平安系统日常运维操作

Ø平安项目实施：

调研、访谈、业务需求

一.4实施成效

各平安子系统上线后，给数据中心的平安治理来带明显的成效，对终端、用户、账号、主机、网络、中间件、数据库、应用系统、平安治理等各个层面进行有效的补充，形成一个纵深的防御体系，并结合日常的平安运维