1、1|Enterprise Infrastructure Service|October 24,2022某公司云计算体系规划和建设方案2|Enterprise Infrastructure Service|October 24,2022我们面临什么问题？3|Enterprise Infrastructure Service|October 24,2022 关键应用主要是ERP，资金管理，支付和运算系统等，每个系统都配有测试开发环境；大部分系统如：支付，预算系统等采用虚拟化技术，ERP/资金管理采用IBM虚拟化技术；应用系统 Internet采用冗余架构，运营商互备，采用2条50M线路，同时通过V
2、PN与分支机某公司业务服务器以IBM小型机、新购机现有服务器组成构互联。基础架构 网络安全设备包括：天融信/H3C防火墙,入侵检测系统；流量负载均衡及流量控制系统；网络安全 某公司总部有600-800客户端，运维部门进行终端维护及服务器运维；运维监控主要采用Tivoli与vCenter配合进行信息系统运维监控；运维管理4|Enterprise Infrastructure Service|October 24,2022域控制器1域控制器2信息平台数据库信息平台WEB1信息平台WEB2邮件前端邮件后端VCENTER外网网站单点登录TIM单点登录TAM税务管理DB税务管理APP资金系统数据库服务器
3、资金系统应用服务器ERP系统开发/测试服务器ERP系统生产服务器ERP系统生产服务器2ERP新加坡生产/测试服务器BW生产/测试服务器ERP培训服务器BO生产/测试服务器资金系统开发测试服务器生产系统 117 台测试系统 5 台 业务系统缺乏安全防护手段，系统易遭受攻击；业务系统缺乏灾备措施，如遇突发事件将导致业务中断；缺乏统一的，自动化，可视化的运维管理和安全管理平台，以及流程梳理系统，运维人员工作效率可以有进一步提升；5|Enterprise Infrastructure Service|October 24,2022 以流量优化为主，缺乏针对应用层和业务数据威胁的防护手段；缺乏针对核心系
4、统的主动防御及漏洞管理措施；业务系统缺乏灾备措施，如遇突发事件，业务将停滞；6|Enterprise Infrastructure Service|October 24,2022建设私有云平台，提高基础架构的交付速度和质量建设云门户，提高开发人员的协同效率通过云内置的自动化流程管理，初步规范管理流程和实现运维自动化将安全管理转化为有效的日常管理活动；可视化的管理所有的安全风险，威胁和漏洞通过安全平台持续跟踪安全风险，并管理安全风险通过SEM（安全事件管理）的实现，切实管控安全风险建设下一代监控平台，获取全面监控数据，使之成为运维的核心平台建设下一代日志收集，分析，聚合和展现平台，将所有行为事件
5、纳入管理范围。通过监控和日志平台的信息聚合和展现，实现BEM（业务事件管理）和OEM（运维事件管理）建设自动化发布平台，实现发布管理的有序化基于虚拟化和数据同步，建设50%资源的异地灾备，实现初步的数据灾备。结合应用系统管理和业务管理，实现从数据灾备到应用灾备的转换根据业务需求扩大灾备容量以及第二灾备中心对于部分非核心的数字应用可以逐步迁移到公有云通过连通公有云和私有云实现云资源的互通和快速迁移通过混合云平台的部署实现全局资源的整合和利用安全可视化运维可视化私有云混合云容灾云路线规划-Roadmap7|Enterprise Infrastructure Service|October 24,2
6、022私有云8|Enterprise Infrastructure Service|October 24,2022搭建并配置私有云平台系统搭建平台安全审计系统配置平台备份阶段 I-私有云建设 私有云平台流程梳理建立服务标准化与服务目录建立自动化和自服务阶段 II-持续优化私有云平台扩容配置平台备份和监控阶段 III-平台扩展 优化平台服务标准和目录优化监控与备份阶段 IV-持续优化资源快速交付提高资源利用率改善管理效益实现自动化和自服务，降低运维成本管理IT环境中的风险、满足运行安全要求满足企业业务快速发展需求VMware云路线规划-私有云9|Enterprise Infrastructure
7、 Service|October 24,2022云路线规划 1.0与现有环境整合，打造企业级私有云平台 提供自服务界面及资源管理 提供自动化运维和流程审批 自动化工作流及配置管理10|Enterprise Infrastructure Service|October 24,2022vCenterHard disksSSDHard disksSSDHard disksSSDNSXESXiESXiESXiESXiVSANvCloud DirectorCloud Management PlatformData Center 2/Public Virtual Data CenterDR-Site Re
8、covery Manager DR-Site Recovery ManagerIP or Storage ReplicationHybrid CloudIT Business ManagementMetering/ChargingFinancial MgmtTier1AppClustersTier 2/3Dev/TestClustersStorage ArrayvSphere Data Protection/3rd party Data Backup ToolVM Data Backup and RestoreESXiESXivCenter Operations Management Suit
9、eHealth Monitoring/Capacity Mgmt/ComplianceESXiESXiESXivCenter提升业务敏捷性，彻底摆脱硬件的限制，实现更加灵活的基础架构，不仅体现在服务器上面，而且体现在网络、安全和存储等方面加强集中管控，提高系统可靠性和合规性通过自动化，大大简化运维管理，提高团队工作效率通过服务管理、计量计费和财务管理，将IT部门从一个成本中心（Cost Center）转变为价值中心（Value Center）vCloud 私有私有云平台云平台云路线规划 1.0与现有环境整合，打造企业级私有云平台11|Enterprise Infrastructure Serv
10、ice|October 24,2022管理资源计算资源核心数据库资源vCloudBackup Server存储磁带库生产环境超融合平台测试环境核心交换机负载均衡设备防火墙网络CT&CU双线HA复制接入交换机云路线规划-私有云私有云架构配置管理SLA容量管理自动化流程自动化审批DB/中间件基础架构自助服务控制台运维自动化12|Enterprise Infrastructure Service|October 24,2022安全可视化运维平台13|Enterprise Infrastructure Service|October 24,2022系统漏洞评估网际威胁防御风险处置审计信息资产管理14|
11、Enterprise Infrastructure Service|October 24,2022资产发现虚拟化资产安全配置管理新增资产资产我们需要知道我们正在管理哪些资产？尤其在云环境中，动态虚拟资产的安全配置变化应是我们关注的重点。15|Enterprise Infrastructure Service|October 24,2022l在给定范围内发现需要管理的对象，主机、交换机、路由器、防火墙、存储设备等应毫无遗漏；l每台虚拟主机、虚拟交换机、虚拟防火墙等都将被作为独立资产对待；l任何加入或离开管理环境的资产的安全配置都将得到管理和控制；l追踪资产功能和位置的变化而导致安全配置的变化；安
12、全配置管理新增资产虚拟化资产资产发现16|Enterprise Infrastructure Service|October 24,2022系统漏洞发现漏洞评估漏洞优先级排序修复建议漏洞当前系统中存在哪些漏洞？哪些需要马上修复？哪些可以暂时忽略！硬件固件中存在漏洞吗？17|Enterprise Infrastructure Service|October 24,2022系统漏洞发现漏洞评估漏洞优先级排序修复建议l五种不同的漏洞检测方法：主动扫描、代理扫面、第三方整合扫描、流量监听、设备日志（包含基础设施和Web应用系统的漏洞检测）；l多达75000种漏洞检测插件(日更新)；l多达7000种流量
13、监测特征库(日更新)；l多达1250种日志记录特征库(日更新)；l依据重要性等级、危害程度及影响范围，给出漏洞处理的优先级；l修复建议可针对系统开发人员给出，也就可以针对防御设备的策略调整；18|Enterprise Infrastructure Service|October 24,2022威胁情报入侵行为分析事件应急响应防御措施优化威胁坐等威胁上门，还是运筹帷幄？被动响应攻击事件，还是分析入侵行为，防患于未然？19|Enterprise Infrastructure Service|October 24,2022l每周发送最新漏洞、零日漏洞，以及业内最新的安全动态；l依据各类设备日志，进行
14、事件的关联分析，发现潜在的入侵行为，从而修复系统漏洞或调整防御策略；l根据漏洞发现和入侵行为分析的结果，针对防火墙、IPS和WAF及其他防御设备进行策略优化；l资深安全专家7*24小时待命处置紧急安全事故；入侵行为分析防御措施优化威胁情报事件应急响应20|Enterprise Infrastructure Service|October 24,2022安全水平监控定期安全报告安全评估及审计安全教育和培训处置安全容不得一刻懈怠，无论是针对系统的安全监控和审计，还是针对工作人员的安全教育和培训都必须定期进行。21|Enterprise Infrastructure Service|October
15、24,2022安全水平监控定期安全报告安全评估及审计安全教育和培训l基础设施、系统平台、业务活动等可能面临的风险，一目了然；l作为定期安全管理状况的汇总信息，安全报告展示了安全管理的最新进展，成就和不足；l可依据ISO/IEC 27001，PCI、OWASP、HIPAA等合规要求进行定期审计，也可根据宝洁的要求定制；l针对系统开发人员、业务操作人员的安全教育与培训；22|Enterprise Infrastructure Service|October 24,2022突发事件下的应急能力新业务带来的安全风险管理范围内的安全趋势核心业务系统安全状态SC-CV平台“流量+日志+漏洞”数据聚合分析系
16、统的业务价值23|Enterprise Infrastructure Service|October 24,2022直观|准确|简单防火墙核心交换应用服务日志分析-LCE流量分析-PVS资产管理和漏洞分析-NS可视化管理-“SC-CV”日志日志日志流量流量漏扫引擎24|Enterprise Infrastructure Service|October 24,2022在不同的DashBoard间切换，从而关注不同的“业务应用系统”或“组织环境”中的安全状态。根据每个业务系统的特点，关注不同的安全要素，如“访问量”、“文件下载”或“新建账户”。Web应用系统层面，我们需要关注“Injection”
17、和“XSS”。1 12 23 325|Enterprise Infrastructure Service|October 24,2022附：部分标志性安全事件口令猜解VPN登录异常SQL注入查询SSH远程连接EXE文件下载新增MAC地址Web扫描事件超时TCP会话Web上异常的GETPOSTDownload某系统扫描其他系统联机加密通讯Botnet可疑端口新建的主机可疑DNS查询网络代理程序这些“标志性安全事件”可以让你快速发现安全风险，而不必逐一查看系统日志。26|Enterprise Infrastructure Service|October 24,2022口令猜解机器人登录暴力破解登录
18、扫描新建用户登录异常多次登录失败测试测试案例案例-1-1测试案例显示了一定时间内“192.168.1.217”主机突然增多的系统登录行为，这背后可能存在安全隐患。不寻常的VPN登录27|Enterprise Infrastructure Service|October 24,2022我们可以得知“192.168.1.217”当前状态，它在过去24小时（甚至更久）面临的所有事件，以及它本身可能具有的脆弱性，以及这些脆弱性的详情和处置建议。测试测试案例案例-2-228|Enterprise Infrastructure Service|October 24,2022测试测试案例案例-3-3“192
19、.168.1.217192.168.1.217 has both received and initiated SSH sessions in the past 20 minutes the most recent towards 192.168.1.221192.168.1.221.The system could be a bastion host or being used to leapfrog and attack other systems.”当我们忽略来自指定维护通道的IP地址时，上述告警便值得关注，它可能是一次“非法访问”！29|Enterprise Infrastructur
20、e Service|October 24,2022可以与“测试案例-2”中的非法访问相互印证，证明192.168.1.217确实存在SSH漏洞。测试测试案例案例-4-430|Enterprise Infrastructure Service|October 24,2022SC-CV平台能展示我们关注的单项内容，如：资产、操作系统、漏洞、不安全的端口、有缺陷的协议等，也可以从不同的角度展示我们关注的对象。测试测试案例案例-5-531|Enterprise Infrastructure Service|October 24,20222Core，2GHz or Greater4GB60GBNS主动扫
21、描引擎Scan a VLANScan a VLANPVS镜像捕获引擎The target IPs number：500002Core，2GHz or Greater4GB30GB2CardSC可视化管理平台The target IPs number：1024The login user number：10个2Core，3GHz or Greater16GB320GBLCE日志收集引擎Events per Second：150004Core，3GHz or Greater16GB23TB推荐为独享物理机。32|Enterprise Infrastructure Service|October 2
22、4,2022运维监控33|Enterprise Infrastructure Service|October 24,2022 构建监控系统（Zabbix），日志管理系统阶段 I 运维服务器管理流程梳理阶段 II 实现自动化流程自动化系统阶段 III 可视化安全管理 持续优化管理流程阶段 IV运维体系化实现IT运维服务管理流程化、规范化、标准化IT运维服务全过程的体系化管理降低可控的风险提升业务连续性IT运维管理提升解决方案34|Enterprise Infrastructure Service|October 24,2022Service Desk PLUS Service Desk PLUS
23、 8.08.0http:/XXX.XXX.XX.XXX:XX/WorkOrder.do?woMode=viewWO&woID=257367&Owner：Engineer;Emergency：High;Priority：High;SLA：15min;硬件及虚拟化平台局域网&安全互联网&CDN数据中心业务流程&数据数据库&备份Web服务器及中间件操作系统关键绩效指标监控可用性监控安全事件监控日志&报警分析运营监控平台运营KPI运营监控模块运营运营&监控监控云平台运维体系35|Enterprise Infrastructure Service|October 24,2022 Zabbix是一个企业级
24、的、开源的、分布式的监控套件，可以监控网络和服务的监控状况.Zabbix利用灵活的告警机制，允许用户对事件发送基于Email的告警.这样可以保证快速的对问题作出相应.Zabbix可以利用存储数据提供杰出的报告及图形化方式.这一特性将帮助用户完成容量规划.Zabbix支持polling和trapping两种方式.所有的Zabbix报告都可以通过配置参数在WEB前端进行访问.Web前端将帮助你在任何区域都能够迅速获得你的网络及服务状况.Zabbix是零成本的.因为Zabbix编写和发布基于GPL V2协议.意味着源代码是免费发布的.云平台运维体系-监控系统36|Enterprise Infrast
25、ructure Service|October 24,2022云平台运维体系-监控系统自动发现服务器和网络设备；分布式监控网络，集中式管理；支持polling和trapping机制；服务器端支持Linux,Solaris,HP-UX,AIX,Free BSD,Open BSD,OS X系统；高性能本地代理（客户端软件支持Linux,Solaris,HP-UX,AIX,Free BSD,Open BSD,OS X,Tru64/OSF1,Windows NT4.0,Windows 2000,Windows 2003,Windows XP,Windows Vista系统）；zabbix 可以监控支持
26、zabbix agent、snmp、jmx、curl、impi协议的设备和应用无代理监控；有安全的用户认证功能；可灵活地分配用户权限；基于web的接口；可灵活地预定网络事件并使用邮件通知；高等级的资源监控；日志审计功能。CatalogApplicationSampleSoftwareOSUnix系列LinuxWindowsExsiapplicationAPACHEIISNginxTOMCATJBOSSDBMySQL系列OracleSQL SERVERPostgreSQLOtherHardwareServer刀片式机架式NetworkSwitchFriewallLoad balanceDevic
27、eUPS37|Enterprise Infrastructure Service|October 24,2022云平台运维体系-监控系统 可通过Template模块定制各项参数38|Enterprise Infrastructure Service|October 24,2022云平台运维体系-监控系统可通过Graphs视图，实时观察各项服务器性能：CPU负荷，内存使用，磁盘使用，网络状况，端口监视，日志监视等。CPU网卡网卡磁盘磁盘内存内存39|Enterprise Infrastructure Service|October 24,2022云平台运维体系-监控系统案例p 丝芙兰在1997年
28、加入全球第一奢侈品牌公司LVMH。SEPHORA在全球21个国家拥有1665家店铺。2005年4月，SEPHORA在上海开启了她们在中国的第一家店。于2006年，在Zabbix和OMC的结合下，实现高效运维，大幅提升运维效率。77台服务器台服务器2599个监控项个监控项926个报警机制个报警机制OMC网络系统应用40|Enterprise Infrastructure Service|October 24,2022风险管理可用性管理问题管理体系优化安全管理容量管理备份管理配置管理事件管理标准请求补丁管理变更管理主动管理事态响应一线支持二线支持三线支持专家资源池基于ITIL的服务管理体系运营报告
29、事故报告SLA报告安全报告报告管理云平台运维体系-报表及ITIL管理体系41|Enterprise Infrastructure Service|October 24,2022云平台运维体系-持续维护私有云资源IT基础设施库管理变更管理需求管理故障管理事故管理持续改进成本降低业务回顾报告服务应用程序私有云管理门户增值服务托管应用程序安全管理许可管理漏洞管理行为管理运营管理数据库优化系统维护服务7*24 监控运维模型项目管理咨询服务第三方供应商管理固定资产管理日常管理42|Enterprise Infrastructure Service|October 24,2022灾备规划43|Enterp
30、rise Infrastructure Service|October 24,2022在异地数据中心，构建容灾平台实现核心业务系统复制完善数据备份阶段 I 评估业务系统平台建立多数据中心统一运维建立容灾机制阶段 II将非核心业务迁移至容灾平台建立容灾演练流程阶段 III 容灾演练，验证容灾平台的业务可用性优化容灾机制与流程阶段 IV 云容灾灵活的IT容灾架构实现高可用，减少业务中断时间快速及可预期的故障转移自动检测站点故障及自动恢复流程保证业务的一致性和数据的完整性提升业务连续性VMware SRM云路线规划-云容灾平台44|Enterprise Infrastructure Service|
31、October 24,2022性能类别性能类别SLA SLA 描述描述服务级别服务级别最小服务水平目标最小服务水平目标计量单位计量单位RPORPO恢复程度目标：100%虚拟机115分钟RTORTO恢复时间目标(不包括判断时间)：100%原站点容量(数据/存储)18小时MAMADRS 无损检测：测试DR站点可用性和性能22 天监控下与主站点实时数据同步实施100%的容量一旦事故发生人工转移DR站点主站点问题解决后返向转移（Bi-Directional Migration）每季度DR站点自动隔离测试性能与可用性分析报告无损检测SRM日常和灾难运维隔离测试&灾难恢复的程序隔离测试停止主站点和DR站点
32、之间的复制和连接启动SRM隔离测试程序，打开DR站点的虚拟机 查看应用程序服务和网站，以验证是否工作 停止所有服务器和数据库服务，并重建连接和数据复制，并创建测试报告半小时内响应，一小时内判断问题,向 客户提出灾难恢复需求客户批准后,停止主站点和DR站点之间的复制和连接启动SRM隔离测试程序，打开DR站点的虚拟机,主机列表更改DNS查看应用程序服务和网站，以验证是否工作，割接CDN网络中的DNS在主站点修复后，反向迁移回去云路线规划-云容灾案例45|Enterprise Infrastructure Service|October 24,2022运营恢复计划（ORP）目标和范围团队和职能激活O
33、RP通知规则漫游和运输运营恢复操作演练和改进灾难恢复计划（DRP）演练和改进数据恢复网络恢复服务器恢复通讯恢复应用恢复业务连续性计划(BCM)评估分析加固检测改进云容灾业务连续性流程46|Enterprise Infrastructure Service|October 24,2022公有云到混合云47|Enterprise Infrastructure Service|October 24,2022评估现有业务平台架构阶段 I 调整并修改部分应用架构，来降低业务平台耦合度阶段 II将部分业务单元功能完全独立，实现业务平台微服务化阶段 III 将非核心业务移至公有云平台对“平台即服务”的平台进
34、行技术评估阶段 IV灵活业务平台架构灵活的开发技术加快部署速度实现持续化部署支持独立扩展云路线规划-公有云48|Enterprise Infrastructure Service|October 24,2022一个集中的门户管理混合云上的资源有成本效益的混合云解决方案以支持全方位的渠道推出全球领先的公有云满足企业高弹性业务发展需求实现公有云平台与私有云平台之间的互联互通评估业务系统平台阶段 I 建立混合支持模型阶段 II优化混合云管理阶段 III 持续优化混合云架构与管理阶段 IV云路线规划-混合云平台49|Enterprise Infrastructure Service|October 2
35、4,2022vCloud管理员私有云公有云核心管理平台1.01.51.11.22.0混合云平台案例50|Enterprise Infrastructure Service|October 24,2022云路线规划 企业级混合云模型灾备站点私有云存储设备网络安全与优化设备服务器深度虚拟化存储虚拟化配置管理APP 1APP 2应用业务系统InternetCDNLAN&IPWAN&MPLS物理服务器网络虚拟化SLA容量管理流程APP n.灾备系统DR-APP 1DR-APP 2测试平台DR for Core APP n测试 APP 1虚拟化网络虚拟化云平台InternetCDNLAN&IPWAN&MPLS测试 APP 2测试 APP 1测试 APP 2APP 3核心应用系统基础架构（网络与计算）混合云管理平台ITIL 管理流程全系统监控应用系统DB/中间件基础架构云安全应用安全控制台安全服务自动化流程化自定义流程及任务管理云灾备运维自动化内部系统集成单点登录系统Tivoli服务器台工单系统.业务系统、基础架构、信息安全运维服务团队人员51|Enterprise Infrastructure Service|October 24,2022ThanksThanks
