怎樣從硬件上重塑數據中心安全性？

　　如今，各國政府從未面對過如此多的網絡安全威脅。從黑客行動主義者到有組織犯罪同，網絡攻擊者都在不分晝夜地進行攻擊，以損害各國政府的技術、基礎設施和民眾。恐怖主義組織正在積極尋求利用軟件漏洞，最近美國國家安全局關于ISIS和BlueKeep漏洞的調查就證明了這一點，后者針對的是傳統的基于Windows的系統。甚至是業余黑客通過開發的工具包將各種數據泄露到公共領域，從而構成了越來越大的威脅。
 

　　毫不奇怪，網絡安全是首席信息官最關心的問題。調研機構Gartner公司預計，全球從2017年用于網絡安全的費用900億美元將增至2022年的1萬億美元。與此同時，美國經濟顧問委員會的報告稱，惡意攻擊對全球經濟造成的損失可能高達每年1090億美元，而IBM公司估計，每次攻擊造成的平均損失為386萬美元。

　　由于存在如此多的風險，沒有哪一個政府組織能夠承受基礎設施的脆弱性。然而，在預算和資源緊張的背景下，打擊網絡威脅是政府機構工作人員面臨的一個嚴峻挑戰。

　　數據中心的復雜性增加了網絡安全的挑戰

　　政府機構面臨的管理挑戰之一是，數據中心環境在過去十年中變得越來越復雜。工作負載在本地、公共云和私有云中以及邊緣計算運行。這種多樣性帶來了更大的安全風險。

　　可以理解，許多首席信息官都在關注將關鍵工作負載放在何處，并希望跨環境實現端到端的安全性。但現實情況是，數據中心堆棧的每一層都存在安全風險。黑客們已經意識到了這一點，并且已經瞄準了應用層，現在正在進一步升級對管理程序、引導驅動程序、固件甚至硬件的攻擊。

　　雖然政府機構一直致力于降低個人計算機的安全風險，但他們開始意識到需要將注意力轉移到基礎設施上。傳統的數據中心保護措施(如檢測和隔離軟件)或周邊控制(如防火墻)已經不夠用了。而當發現問題時，很可能已經造成了損壞。
 

　　健全的安全性始于基礎設施的根源

　　為了保護空閑、傳輸和使用中的數據，IT管理員必須從處理器基礎開始，全面了解組織的風險并建立控制。安全性必須在開始時設計到數據中心架構中，而不是通過隨機產品進行臨時解決。

　　在應用程序層發生的數據中心攻擊很容易識別，但真正的威脅更嚴重，攻擊更難檢測和補救。這是因為傳統的檢測解決方案不太擅長識別惡意軟件滲透到硬件組件的基礎上，而且有些組件會使堆棧暴露在額外的漏洞中。例如，管理程序的設計就是為了優化虛擬機內存空間和內核。然而，這種資源共享打開了管理程序和堆棧，以增加攻擊風險。

　　建立信任鏈

　　信任鏈是從第一個引導過程建立強化安全性的關鍵，它始于可信平臺模塊。TPM存儲在機器的芯片中而不是軟件中，存儲專門與設備本身相關的加密密鑰。建立信任根意味著應對堆棧中的每個層(引導、虛擬化、庫、服務和應用程序)進行檢查，從而證明堆棧的每一層的有效性。

　　到目前為止，由于性能、復雜性和成本因素，以這種方式保護基礎設施和應用程序堆棧并不容易實現。然而，現在存在這樣的技術和信念。