机柜级控制：物理数据中心安全的最后一道防线

你已经很好地保护了数据中心周边的安全。你建立了设施控制来保护入口，锁定了服务器机房并部署了多种物理身份验证因素来控制机架访问权限。你确信自己已经尽一切可能维护了物理数据中心的安全。

不幸的是，你的物理安全策略仍然存在空白。你还没有解决所谓数据中心安全“第四层”带来的风险，这一层安全的重点是保护单个服务器机柜。因此，你仍然容易受到恶意内部人员等威胁。

如果没有机柜级控制，任何物理数据中心安全策略都是不完整的。下面就让我们来深入地了解一下机柜级安全的含义，解开数据中心物理安全第四层、也是最后一层的神秘面纱。

数据中心安全的四层

要了解机柜安全在整个数据中心物理安全策略的位置，那么采用国际自动化协会对物理数据中心安全四层的定义就变得非常有用了。这一理念将物理安全控制分解如下：

• 第1层——周边安全：数据中心物理安全的基础是通过阻止和监控对数据中心所在位置未经授权的访问来保护其周边的，目标是防止威胁行为者跳过栅栏或闯入窗户等风险。
• 第2层——设施控制：设施控制是限制可以通过数据中心合法入口人员的一项措施，例如门禁卡和生物特征认证设备。
• 第3层——服务器机房控制：第3层侧重于保护对数据中心内服务器所在房间的访问。由于这是数据中心的核心，因此你应该建立一套单独的访问控制和监控解决方案，以防止未经授权人访问任何包含IT设备的房间。
• 第4层——机柜控制：你一定不想让设法潜入服务器机房的威胁行为者肆意妄为。这时候，数据中心物理安全的第四层也是最后一层就要发挥作用了，它会管理对各个服务器机柜的访问的设备来提供最后一层防线。

只有当你在每一层都建立了严格的安全控制和可见性时，这样才能认为你的物理安全策略是完整的。

什么是机柜级安全？

了解安全层的一到三层非常简单。周边屏障和监控系统，以及通过门禁卡或生物识别身份验证设备限制开门和进入房间的人员，这并不是什么新鲜事。

但至少对于一些数据中心运营商来说，机柜级安全控制往往是一个更新颖的概念。除了用钥匙锁机柜（在多人需要打开柜子的情况下，这种做法在流程上很复杂）之外，一般来说投资使用先进的机柜级保护措施并不常见。

但这并不意味着这样的保护措施不存在，实际上有多种可以保护机柜的解决方案，例如：

• 保护措施与管理数据中心其他部分的门禁卡数字访问控制系统进行集成，让操作员可以使用集中式系统管理多层安全的访问权限。
• 保护措施需要生物识别身份验证（例如指纹扫描）才能打开，这些措施还可以与更大规模的身份验证系统集成。
• 安全室内的摄像头系统，可以监控谁正在访问哪些服务器。
• 访问控制审核软件，连接到数字保护措施，可以跟踪访问模式并标记异常活动（例如在一天中异常时间段访问服务器机架）。

对于数据中心运营商来说，只需利用此类保护措施来实现机柜级机架安全即可。

机柜级安全的重要性

在某些方面，机柜级安全性似乎不如物理数据中心安全性的其他层那么重要。毕竟，如果你已经建立了强大的保护措施来防止坏人进入数据中心设施，那么真的还需要在各个机柜上再建立另一层保护吗？

答案是肯定的，因为在某些情况下，轻易通过其他安全控制的人员可能会对个别服务器构成威胁。例如，你可以想象如下场景：

• 有一名数据中心技术人员可以访问数据中心设施所有部分，他心怀不满，决定篡改设备，对数据中心操作员造成伤害。
• 在托管设施中运行服务器的一家公司的员工，可以访问另一家公司拥有的服务器，以窃取数据。
• 在应对一次压力很大的停电事件期间，一位善意的工程师由于错误地访问了错误的机柜，意外地关闭了与故障无关的服务器。

在以上每种情况下，那些允许访问服务器机房的门禁卡或生物识别控制设备的人员，仍然对单个机柜中的服务器构成了威胁，只有机架级安全控制能防止此类事件发生。

另外请注意，机柜级保护很重要，因为机柜和服务器是物理安全与数字安全相遇的地方。一旦有人进入了你的机柜，防止未经授权的访问这项工作就会转移到数字保护上，例如限制对服务器访问的密码。机柜级物理保护是你在坏人入侵之前使用物理控制的最后一个机会，因为物理控制很难被黑客入侵，通常是无法利用软件漏洞来规避的。

数据中心机柜保护带来的挑战

虽然机柜级控制具有明显的好处，但也会带来一些挑战。

最重要的是，这种控制措施让技术人员必须通过另一层身份验证才能完成工作。在打开机架之前，必须扫描卡或指纹并不是特别耗时，但当工作人员需要进入机柜解决时间敏感型问题的时候，如果数字锁发生故障，机柜级控制可能就会出现问题。

机柜级保护还增加了数据中心运营商的管理负担，因为这是需要建立细粒度的访问控制设置来管理可以访问各个机柜的人员。在大多数情况下，这比管理整个设施或服务器机房的访问权限更为复杂，因为后者的粒度不那么细化。

机柜级保护的成本也是一个需要考虑的因素。相对于其他物理安全控制来说，机柜级保护措施的成本并不是特别高，但会增加整体物理安全预算。

所有这些挑战都是可以解决的，没有理由不采用机柜级控制。但是对于那些想要扩展物理数据中心安全策略以保护单个机柜的组织来说，应该确保他们有一个计划来克服这些挑战。

物理数据中心安全的最后一层

再多的高级物理安全控制也无法缓解影响单个服务器机柜及其内部IT设备受到的某些威胁，这就是为什么利用数据中心机柜的现代化保护措施是任何数据中心物理安全策略的一个重要组成部分。当你限制了可以访问每个机柜的人员，监控针对各个服务器机架的威胁时，你就缩小了物理安全操作中的一个关键差距。