[时事资讯] 华为打造全球最安全服务器

-->

一个人光脚站在雪地上，即使他穿着再厚的大衣，还是容易被冻伤。这个道理人人都懂，但在一些影响巨大的信息安全事件中，我们所看到的却是一些明明穿着安全“大衣”的的数据中心，因为“光脚”服务器而造成了难以挽回的损失。而今天，华为正在打造全球最安全的高品质服务器，通过为服务器赋予真正的安全属性让类似的悲剧不再发生。

服务器：从关注安全特性到关注特性安全

对于保障系统的安全、数据的安全，市场中现有的方案看似十分完备。从杀毒软件到操作系统的加固软件，从安全路由器到防火墙，通过在服务器的外围构建安全防护体系，安全漏洞补丁、可不断更新的病毒库、木马专杀工具、权限控制、数据包过滤……一道道布局缜密的防护措施，似乎已经让服务器得到了最高级别的保护。但是，为什么在那些企业遭遇安全入侵的案例中，这种防护体系却会被黑客轻松攻破呢?思科被曝存在安全漏洞，严重性为最高等级，攻击者能够通过这个漏洞窃取该平台上管理的所有数据。人们总是更关心让服务器穿上更厚的大衣，但却没有注意到服务器还“光着脚”----构建服务器自身的特性安全。

相较服务器提供的安全特性，打造服务器自身的特性安全要复杂得多。例如，在服务器的管理特性中，必须提供各种各样的接口，才能便于被管理和集成。这种管理特性让服务器可以通过网络任意点接入，而且不用安装任何应用，只需通过浏览器、SSH就可连接实现远程管理。然而，在进行远程管理时，操作者或许很少会想，他所发送的命令是否可能被篡改，在登陆时输入的用户、密码等重要信息是否已经被拦截泄露?而这些不起眼的操作是否安全，恰恰决定着黑客们是否有机可乘。而要想解决这样的问题，服务器所提供的特性功能就必须保证以及有能力识别一切操作是否是基于安全条件下的操作，只有符合这样的条件才允许终端用户的操作。但是，如何让服务器具备这样的能力，却是一个难点。因为，要想让服务器实现真正意义上的特性安全，必须为其建立一个庞大的体系和流程作为保障，通过一系列规范和标准的动作，将动作、流程中存在安全风险降到最低。

五大要素构建服务器安全属性

华为服务器能够解决这些复杂的问题吗?在特性安全方面，华为又能做到何种程度的安全保障呢?

在信息安全领域，人们常常依据CIA三要素评估某个产品是否具备安全属性，即Confidentiality 机密性——私密的数据不能透露给非授权的个体;Integrity 完整性——信息和程序只能按照指定且授权的方式进行修改，不能受到故意或无意的非授权操纵;Availability 可用性——系统必须及时服务，不能拒绝向授权用户提供服务。

对于安全的定义，华为服务器不仅具备这三大安全属性，还增加了抗攻击性和可追溯性。因为华为认为，从现实的案例来看，服务器提供的网络规格特性如果不能完全满足这五个要求，依旧会存在安全隐患。只有具备五方面全面保障，才能打造粗既能保障业务连续性，又有健壮的网络承载能力，且能保护数据隐私的安全服务器。

名副其实的安全服务器，会更侧重于安全总体设计，而非简单的安全属性的叠加，华为服务器正是基于这种原则设计的产品。华为安全服务器通过结合不同客户对网络安全的实际需求、市场状况等因素，从整体软硬件架构上在各个层次落实安全策略。华为还依据VDF、英国BT、德电等运营商要求，总结出了几十种安全原则和安全规范，在设计和编码中严格遵从这些规范，并通过端到端的检查和制衡，分层的独立安全验证，实现了尽可能快又安全的新产品发布。华为的这种做法，无异于将安全基因注入到其每一款产品中，服务器自然会成为最大的受益者之一。

服务器是一个庞大而复杂的系统，很难避免使用第三方部件或开源软件，由于这些模块信息更透明，所以也更容易成为攻击者下手的目标。而如何保障这些软件或模块的安全和可靠，在信息安全领域一直是巨大的挑战。而由于华为的整个产品体系都建立了第三方和开源代码的集中资源库，并将它嵌入到了IPD 流程(华为产品研发、设计的保障流程)中，所以在产品开发过程中，华为服务器产品能够随时获取其他产品的经验数据，可以提前预知漏洞和可能存在的安全风险等。无论这些漏洞和安全风险出现在客户、供应商还是华为自己的产品上，华为各产品线都能针对这些风险漏洞进行评估，并快速同步给其他产品进行解决或规避。在产品研发阶段，就能实现这样的安全风险控制能力的厂商还非常少见。

物流和逆向是服务器交付过程中有潜在安全风险的主要领域，如果仓库物理安全没有得到确保，也可能会造成部件被替换，从而导致产品安全风险。在业内，华为的IPD流程曾被众多企业推崇，IPD流程本身就融入了华为的安全保障标准，包括研发安全、安全验证、服务交付安全，到安全问题沟通与解决、供应链安全、采购安全、可追溯等。在服务器产品在进入客户机房领地之前，华为要求必须做到端到端的安全保障。在保障客户业务上线后，仍然会提供解决安全问题的服务。因为华为认为如果技术交付和支持没有足够的安全保障，开发安全技术将是枉费。华为服务器将安全管理规范嵌入到华为的每一个流程中，根据所有可获得的知识和信息，华为还建立并实施了流程基线，以确保它被充分审计。同质量一样，华为已经把安全置于公司的商业利益之上。

既有“安全承诺绝不打折”的服务保障，又有五大安全属性的技术保障，华为推出的安全服务器必然会成为今年服务器市场耀眼的明星产品。