面向企业的思科安全数据中心解决方案产品组合

概览优势• 选择针对安全保护的四个互相关联的思科验证设计，提供详细的设计和实施指导，加速安全解决方案部署、降低风险并加快实现业务目标。• 保护应用环境、数据中心交换矩阵和网络服务，建立威胁管理系统，并检测已经存在的威胁。• 在攻击前、攻击中以及攻击后，保护数据中心资产、终端、移动设备、虚拟设备和云。面向企业的思科安全数据中心解决方案产品组合当今的数据中心都存储着大量敏感的关键业务信息。这些数据中心必须不断发展以满足企业需求和预期，同时还要遵守越来越严格的安全法规，其中包括支持新基础设施，如云和虚拟资源，以及自带设备 (BYOD) 计划。同时，数据中心的运行环境存在着不可预测的威胁。以数据中心内关键业务信息为目标的黑客活动已成为一个暴利行业。安全团队需要制定出既能满足业务需求，又能保护数据中心的简化而全面的策略。思科可通过以威胁为中心的方法，帮助满足您的安全需求。图 1 面向企业的思科安全数据中心解决方案组合思科安全群落架构服务的思科具备 FirePOWER ASA 集群集成下一代的思科威胁管理 IPS 思科数据中心网络威胁防御已更新融合的基础设施防火墙集群• 计算通过 OTV 实现多站点群集ASA FirePOWER 集群中的设备 Lancope StealthWatch• FlowCollector• 存储入侵防御• 虚拟机监控程序 实时更新FireSight 管理• FlowSensor (Flexpod, Vblock, 管理用户情景NetFlow VSPEX思科可信网络 TrustSec应用控制NSEL虚拟化• SXPURL 过滤基础设施管理• 安全组标记基于网络的 AMP接入层• 策略整合终端 AMP安全群落• SGACL（客户端和服务器）• FWACL经验证的全面的数据中心安全解决方案适用于企业解决方案组合的 Cisco® 安全数据中心的一大特色是拥有四个相互关联的思科验证设计。这些经过验证的，由实验室测试过的架构设计可提供详细的设计和实施指南，从而加快部署、降低风险并加速实现业务目标。具体包括：思科安全群落架构：通过此设计，您可以在数据中心内，创建灵活性更强、功能更多的安全应用环境。该设计提供了一个统一基础，有助于在防止遭受侵害的情况下，为管理共享资源提供简化的标准化的信任方法。© 2015 年 思科和/或其附属公司。版权所有。概览

新的以威胁为中心的模式

思科方法认识到，在降低复杂性并支持增加新的数据中心服务的同时，还要防范高级威胁。这一新模式可在整个攻击持续期间提供保护。它不仅仅是着重于单个点的安全性，而是着眼于攻击前、攻击中以及攻击后的整个连续周期。在此期间，扩展网络（包括数据中心资产、终端、移动设备、虚拟机以及云）上出现的任何操作都会受到关注。

思科将数据中心功能与整个攻击持续期间可提供的保护进行了一一对应。威胁管理系统功能表概要列出了整个持续期内最常用的安全功能与说明，以及各种相关产品。此信息可帮助企业集成威胁防御，并识别可能的隐患。

图2 攻击持续期网络攻击前可控性执行强化终端移动攻击中时间点检测拦截防护持续虚拟攻击后适用范围遏制修复云具有 FirePOWER™ 服务的思科 ASA 集群：它经过专门设计（现在已针对多站点集群进行了更新），可将应用感知和数据保护引入数据中心交换矩阵和网络服务。应用安全性与应用交付是数据中心的至关重要的运营基础；但是，应用工作负载的管理策略带来了巨大的运营挑战。该解决方案采用了一种新方法。它用一种可确保一致性、简化及可扩展性（再加上交换矩阵间的高级威胁防护）的方式，将用户与数据中心资产一一对应。具有新一代 IPS 的思科威胁管理：此设计可为威胁管理系统提供一组全面的功能。通过采取独特方法，该服务会检查攻击者接近数据中心的方式，并向客户说明如何将思科 FirePOWER 设备集成到其架构中，以防范高级威胁。

面向数据中心的思科网络数据中心的威胁防御：此设计旨在帮助您了解如何检测已存在于内部网络或数据中心的威胁。该解决方案使用网络遥测技术，提供对数据中心深入而全面的可视性，可帮助安全运营团队了解网络流量的方式、内容、时间和地点，以识别可疑与异常活动。

© 2015 年 思科和/或其附属公司。版权所有。

概览后续计划请访问 www.cisco.com/go/designzonesecuredc 了解企业设计和实施指南详细信息，包括面向企业的思科安全数据中心解决方案组合。图 3 威胁管理系统功能矩阵威胁控制和补救访问控制和分段身份管理应用可视性与可控性日志记录和可跟踪性管理说明基于文件、数据访问控制策略、用户身份和访文件控制和轨威胁调查分析和包以及数据流的分段、安全隔离问状态、基于迹，网络文件轨合规性威胁检测和分析网络的用户情迹，应用隔离景攻击前终端保护代理、终端组分配、安用户与组、资限制和控制内部威胁管理系统报基于网络的数据全区域、用户对源和可接受的和外部客户端和 告的正确配置流保护资产的访问策略访问位置的映Web 应用（包括射应用版本）的策略攻击中基于云的终端分交换矩阵实施、用户情景分析应用控制策略的主动的带外日志析、基于网络的防火墙策略实实施记录文件分析、基于施、连接验证和网络的数据流分协议合规性析、基于签名的分析、沙盒分析攻击后连接和数据流分策略实施和日志用户访问和威网络上正在受访由适当的威胁功析与补救记录胁源分析与补问和正在运行的能管理平台即时救所有应用的可视访问；日志整合性至中央存储库以备后续取证与合规性产品Sourcefire ASA 5585-X、Cisco ISE，具FirePOWER 针对短期日志FireSIGHT、入SGT、SGACL、备 FireSIGHT 访问控制，的 FireSIGHT 管侵防御、基于网SXP 和支持 的 FirePOWERFirePOWER 理中心，针对长络的 AMP、邮TrustSec 的交NGFW期 NetFlow 分析件 AMP、CWS 换矩阵或采用 日志的 Lancope AMP、适用于最ASAv 的 ACI 交StealthWatch，终用户和移动设换矩阵针对日志管理合备的 FireAMP规性的 SIEM© 2015 年 思科和/或其附属公司。版权所有。思科和思科标识是思科和/或其附属公司在美国和其他国家/地区的商标或 注册商标。要查看思科商标的列表，请访问此 URL：www.cisco.com/go/trademarks。本文提及的第三方商标均归属其各自所有者。“合作伙伴”一词的使用并不意味着思科和任何其他公司之间存在合作伙伴关系。(1110R) C45-734554-0005/15