华为云用户手册

方案架构及方案优势 当攻击者企图通过SQL注入等攻击手段篡改网页时，WAF通过对HTTP(S)请求进行检测，及时识别并阻断攻击，防止攻击渗透进入系统层。 即使攻击突破了第一层防护也不用慌，主机安全服务网页防篡改早已提前帮您驱动及锁定Web文件目录下的文件，只有网站管理员可通过特权进程更新网站内容；除了锁定文件，主机安全服务网页防篡改还同时在本地主机和远端做了备份，一旦发生非法篡改，可以立即通过备份目录进行恢复；对于web服务器里的应用程序等动态网页，主机安全服务网页防篡改采用RASP检测应用程序行为，能够检测针对数据库等动态数据的篡改行为，实时阻断攻击者通过应用程序篡改网页内容的行为。 主机安全服务网页防篡改和 Web应用防火墙 双剑合璧，杜绝网页篡改事件发生。 表1 HSS和WAF网页防篡改的区别 类别 HSS WAF 静态网页 锁定驱动级文件目录、Web文件目录下的文件，禁止攻击者修改。 缓存服务端静态网页 动态网页 动态数据防篡改 提供tomcat应用运行时自我保护，能够检测针对数据库等动态数据的篡改行为。 特权进程管理 配置特权进程白名单后，网页防篡改功能将主动放行可信任的进程，确保正常业务进程的运行。 不支持 备份恢复 主动备份恢复 若检测到防护目录下的文件被篡改时，将立即使用本地主机备份文件自动恢复被非法篡改的文件。 远端备份恢复 若本地主机上的文件目录和备份目录失效，可通过远端备份服务恢复被篡改的网页。 不支持 防护对象 支持预防篡改和恢复篡改能力，适用于对网站防护要求高的用户。 适用于对网站防护要求低，仅需要对应用层进行防护的用户。

资源与成本规划 表2 资源和成本规划 资源 资源说明 每月费用 主机安全服务 计费模式：包年/包月 版本选择：企业版 防护主机数量：1 具体的计费方式及标准请参考计费说明。 Web应用防火墙 云模式-标准版： 计费模式：包年/包月 域名 数量：10个防护域名（最多支持1个一级域名） QPS配额：2,000QPS业务请求 支持带宽峰值：云内100Mbps/云外30Mbps 独享模式： 计费模式：按需计费 域名数量：2,000个（支持2,000个一级域名） WAF实例规格选择WI-500，参考性能： HTTP业务：建议QPS 5,000；极限QPS 10,000 HTTPS业务：建议QPS 4,000；极限QPS 8,000 Websocket业务：支持最大并发连接5,000 最大回源长连接：60,000 WAF实例规格选择WI-100，参考性能： HTTP业务：建议QPS 1,000；极限QPS 2,000 HTTPS业务：建议QPS 800；极限QPS 1,600 Websocket业务：支持最大并发连接1,000 最大回源长连接：60,000 具体的计费方式及标准请参考计费说明。

应用场景 客户端在请求头“Accept-Encoding”声明支持响应压缩，如 "Accept-Encoding: gzip" ；当响应经过WAF后，WAF 认为符合压缩标准，对其进行压缩。但事实上客户端在收到响应之后，客户端并不能自动解压响应报文，那么就会存在响应获取异常的问题。 建议在WAF控制台通过“Header字段转发”功能对该域名重写“Accept-Encoding”头，这样WAF就不会对响应进行任何压缩操作。

资源与成本规划 表1 资源和成本规划 资源 资源说明 每月费用 Web应用防火墙 云模式-专业版： 计费模式：包年/包月 域名数量：50个防护域名（最多支持5个一级域名） QPS配额：5,000QPS业务请求 支持带宽峰值：云内200Mbps/云外50Mbps 独享模式： 计费模式：按需计费 域名数量：2,000个（支持2,000个一级域名） WAF实例规格选择WI-500，参考性能： HTTP业务：建议QPS 5,000；极限QPS 10,000 HTTPS业务：建议QPS 4,000；极限QPS 8,000 Websocket业务：支持最大并发连接5,000 最大回源长连接：60,000 WAF实例规格选择WI-100，参考性能： HTTP业务：建议QPS 1,000；极限QPS 2,000 HTTPS业务：建议QPS 800；极限QPS 1,600 Websocket业务：支持最大并发连接1,000 最大回源长连接：60,000 具体的计费方式及标准请参考计费说明。

步骤三：防护规则迁移 阿里云WAF和华为云WAF规则的对应参照表3所示。 表3 防护规则对应表 阿里云 华为云 参考文档 基础防护规则 Web基础防护 配置Web基础防护规则防御常见Web攻击 白名单 黑白名单设置 全局白名单 配置IP黑白名单规则拦截/放行指定IP 配置全局白名单规则对误报进行忽略 IP黑名单 黑白名单设置 配置IP黑白名单规则拦截/放行指定IP 自定义规则 精准访问防护 配置精准访问防护规则定制化防护策略 自定义响应 告警页面 修改拦截返回页面 CC防护 CC攻击防护 配置CC攻击防护规则防御CC攻击 区域封禁 地理位置访问控制 配置地理位置访问控制规则拦截/放行特定区域请求 网页放篡改 网页防篡改 配置网页防篡改规则避免静态网页被篡改 信息泄露防护 防敏感信息泄露 配置防敏感信息泄露规则避免敏感信息泄露

HTTP 2.0业务接入WAF防护是否会对源站有影响？ HTTP 2.0业务接入WAF防护对源站有影响。HTTP 2.0业务接入WAF防护表示WAF可以处理客户端的HTTP 2.0请求，而WAF目前仅支持以HTTP 1.0/1.1协议转发回源请求，即WAF与源站间暂不支持HTTP 2.0。因此，如果您将HTTP 2.0业务接入WAF防护，则源站的HTTP 2.0特性将会受到影响，例如，源站HTTP 2.0的多路复用特性可能失效，造成源站业务请求量上升。

防护原理（云模式-CNAME接入、独享模式接入） 通过WAF云模式-CNAME接入或者独享模式将网站添加并接入WAF后，网站所有访问请求将先流转到WAF，WAF检测过滤恶意攻击流量后，将正常流量返回给源站，从而确保源站安全、稳定、可用。 图1 防护原理 流量经WAF返回源站的过程称为回源。WAF通过回源IP代替客户端发送请求到源站服务器，接入WAF后，在客户端看来，所有的目标IP都是WAF的IP，从而隐藏源站IP。 图2 回源IP

防护原理（云模式-CNAME接入、独享模式接入） 通过WAF云模式-CNAME接入或者独享模式将网站添加并接入WAF后，网站所有访问请求将先流转到WAF，WAF检测过滤恶意攻击流量后，将正常流量返回给源站，从而确保源站安全、稳定、可用。 图1 防护原理 流量经WAF返回源站的过程称为回源。WAF通过回源IP代替客户端发送请求到源站服务器，接入WAF后，在客户端看来，所有的目标IP都是WAF的IP，从而隐藏源站IP。 图2 回源IP

域名接入Web应用防火墙后，能通过IP访问网站吗？ 域名接入到Web应用防火墙后，可以直接在浏览器的地址栏输入源站IP地址进行访问。但是这样容易暴露您的源站IP，使攻击者可以绕过Web应用防火墙直接攻击您的源站。 Web应用防火墙（Web Application Firewall，WAF），通过对HTTP(S)请求进行检测，识别并阻断SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等攻击，保护Web服务安全稳定。 建议您参照源站保护最佳实践配置源站保护。 父主题： 网站接入

安全策略 如图2 生产环境子网、网络ACL分布图所示，生产环境涉及8个子网，建议分别创建相应的网络AC L实例 ：NACL-DMZ-SAP-Router、NACL-PRD-DMZ、NACL-PRD-APP、NACL-PRD-SAPDB-BUSI、NACL-PRD-SAPDB-INTERNAL、NACL-PRD-MGMT。 图2 生产环境子网、网络ACL分布图 网络ACL“NACL-DMZ-SAP-Router”，关联生产环境、开发测试环境公用的DEV&PRD-SAP-Router子网。通过策略限制，出方向限制可由SAP-Router访问生产环境SAP应用区、SAP-DB区指定的业务端口，入方向限制可由管理区 堡垒机 访问子网内服务器的管理端口(22等)。 本节中提到的IP地址及端口号仅为示例，如有其它管理端口，可根据实际情况增加策略。本节仅涉及生产环境内部策略。

安全策略 开发测试环境内部涉及如下网络ACL实例：网络ACL“NACL-DEV-MGMT”、 “NACL-DEV-APP”、“NACL-DMZ-SAP-Router”，分别关联图3 开发测试环境内部网络ACL分布图中所示子网。各网络ACL实例默认拒绝所有流量(默认失败)，跨ACL的子网间如需互通，需以白名单形式添加策略放通相应流量(最小化)。 图3 开发测试环境内部网络ACL分布图 网络ACL“NACL-DEV-MGMT”，关联开发测试环境DEV-管理区子网，通过策略限制可由管理区堡垒机访问开发测试环境其它区域服务器的管理端口(22等)，并拒绝由开发测试环境其它区域发起的对管理区堡垒机的连接。 本节中提到的IP地址及端口号仅为示例，如有其它管理端口，可根据实际情况增加策略。本节仅涉及开发测试区内部策略。 表1 网络ACL“NACL-DEV-MGMT”出方向 规则 # 目的 IP 协议 目的端口 允许/拒绝 说明 对DEV-DMZ区 172.22.3.0/24 TCP 22 允许 允许测试环境管理区堡垒机访问DEV-DMZ区服务器SSH端口。 对DEV-应用区 172.22.4.0/24 TCP 22 允许 允许测试环境管理区堡垒机访问DEV-应用区服务器SSH端口。 对DMZ-SAP-DB区 172.22.5.0/24 TCP 22 允许 允许测试环境管理区堡垒机访问DEV-SAP-DB区服务器SSH端口。 对DEV&PRD-SAP-Router 172.22.1.0/24 TCP 22 允许 允许测试环境管理区堡垒机访问DEV&PRD-SAP-Router服务器SSH端口。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 表2 网络ACL“NACL-DEV-MGMT”入方向 规则 # 源 IP 协议 目的端口 允许/拒绝 说明 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 网络ACL“NACL-DEV-APP”，关联开发测试环境DEV-DMZ区、DEV-应用区、DEV-SAP-DB区子网，入方向，通过策略限制可由管理区堡垒机访问区域内服务器的管理端口(22等)，限制可由SAP-Router访问区域内服务器的业务端口。 表3 网络ACL“NACL-DEV-APP”出方向 规则 # 目的 IP 协议 目的端口 允许/拒绝 说明 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 表4 网络ACL“NACL-DEV-APP”入方向 规则 # 源 IP 协议 目的端口 允许/拒绝 说明 对DEV-管理区 172.22.2.0/24 TCP 22 允许 允许测试环境管理区堡垒机访问本区域内服务器SSH端口。 对DEV&PRD-SAP-Router 172.22.1.0/24 TCP 234 允许 允许SAP-Router服务器访问本DEV-应用区域内服务器234业务端口。 对DEV&PRD-SAP-Router 172.22.1.0/24 TCP 345 允许 允许SAP-Router服务器访问本DEV-SAP-DB区域内服务器345业务端口。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 网络ACL“NACL-DMZ-SAP-Router”，关联DEV&PRD-SAP-Router子网，入方向，通过策略限制可由管理区堡垒机访问区域内服务器的管理端口(22等)，出方向限制可由SAP-Router访问开发测试环境应用区、SAP-DB区指定的业务端口。 表5 网络ACL“NACL-DMZ-SAP-Router”出方向 规则 # 目的 IP 协议 目的端口 允许/拒绝 说明 对DEV-应用区 172.22.4.0/24 TCP 234 允许 允许SAP-Router服务器访问DEV-应用区域内服务器234业务端口。 对DEV-SAP-DB区 172.22.5.0/24 TCP 345 允许 允许SAP-Router服务器访问DEV-SAP-DB区域内服务器345业务端口。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的入站数据流。 表6 网络ACL“NACL-DMZ-SAP-Router”入方向 规则 # 源 IP 协议 目的端口 允许/拒绝 说明 对DEV-管理区 172.22.2.0/24 TCP 22 允许 允许测试环境管理区堡垒机访问本区域内服务器SSH端口。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的入站数据流。 安全组，如SG_DEV_MGMT、SG_DEV_DB等(与公网无交互)，关联开发测试环境中相应子网中的云服务器，需严格按照最小化的原则控制云服务器对外开放的端口范围，可参考以下图4 安全组策略示例(具体端口请根据实际情况设置)。对IP的访问控制策略，通过网络ACL实现。其它开发测试环境与公网无交互的安全组(详见全景图)，可参考实施。 图4 安全组策略示例 安全组，如SG_DEV_SRM、SG_DEV_Hybrids、SG_SAP_ROUTER(与公网有交互)，关联开发测试环境中相应子网中的云服务器，需严格按照最小化的原则控制云服务器对外开放的端口范围以及源IP范围，如公网IP较为固定，可参考以下图5 安全组策略示例(具体端口请根据实际情况设置)。 图5 安全组策略示例 如公网IP不固定的场景，可根据业务需要(如模拟测试，技术支持)，临时放通特定公网源IP，相应事务完成后删除策略。

安全服务 Anti-DDoS 根据业务特点，由于开发测试环境有公网访问需求，建议SAP-Router、SRM、Hybrids服务器部署Anti-DDoS防护，推荐使用华为云Anti-DDoS流量清洗服务，对相应的EIP进行DDoS防护。 WAF 根据业务特点，由于开发测试环境需向互联网提供Web应用服务，建议部署Web应用防火墙，应对诸如OWASP TOP10 Web攻击，推荐华为云Web应用防火墙服务，创建WAF实例防护相应EIP。

安全策略 由于开发环境同时需要与企业内部通信，还需提供互联网的业务访问，综合考虑通过网络ACL进行相应的访问控制策略。 图1 开发测试环境子网 如图1 开发测试环境子网所示，网络ACL“NACL-DEV-APP”关联开发测试环境相应子网，需严格控制访问企业内网环境(IDC)的出方向策略，限制其仅能访问企业内网环境(IDC)中特定的[IP]:[PORT]。 对于由IDC发起的对开发测试环境的入方向策略，根据场景不同设置相应的访问控制策略。如AD服务器与保留系统，场景较为固定，应设置相应的策略，使其能够与云上特定[IP]:[PORT]互通。而对于End user，可限制能够访问的特定IP段与端口(业务端口)区间，以及22/3389等管理端口。 网络ACL“NACL-DEV-APP”“NACL-DMZ-SAP-Router”关联开发测试环境相应子网，需严格控制互联网访问的入方向策略，限制外网仅能访问开发测试环境特定的[IP]:[PORT]。 本节中提到的IP地址及端口号仅为示例。如公网IP不固定的场景，可根据业务需要(如技术支持)，临时放通特定源IP，相应事务完成后删除策略。如有其它业务流，可根据实际情况增加策略。 表1 网络ACL“NACL-DMZ-SAP-Router” 出方向 规则 # 目的 IP 协议 目的端口 允许/拒绝 说明 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则 (不可修改) 处理的入站数据流。 表2 网络ACL“ NACL-DMZ-SAP-Router”入方向 规则 # 源 IP 协议 目的端口 允许/拒绝 说明 对SAP技术支持人员，SAP GU/软件服务器I等 123.123.123.0/24 TCP 3299 允许 允许互联网SAP技术支持人员(特定源IP)，SAP GUI/软件服务器等访问开发测试环境中的DEV&PRD-SAP-Router，进而访问后端业务。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 表3 网络ACL“NACL-DEV-APP”出方向 规则 # 目的 IP 协议 目的端口 允许/拒绝 说明 对AD/ADFS服务器 IDC-AD/ADFS网络 TCP AD/ADF端口 允许 允许与IDC内部AD/ADFS服务器进行对接。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 表4 网络ACL“NACL-DEV-APP”入方向 规则 # 源 IP 协议 目的端口 允许/拒绝 说明 对Internet内部用户/顾问。 123.123.123.0/24 TCP 80 允许 允许互联网特定IP的内部用户、顾问，访问开发测试环境中的WEB服务。 对Internet内部用户/顾问。 123.123.123.0/24 TCP 443 允许 允许互联网特定IP的内部用户、顾问，访问开发测试环境中的WEB服务。 对IDC内部用户、顾问。 客户数据中心某子网-b TCP 80 允许 允许客户数据中心某子网-b中的内部用户、顾问，访问开发测试环境中的WEB服务。 对IDC内部用户、顾问。 客户数据中心某子网-b TCP 443 允许 允许客户数据中心某子网-b中的内部用户、顾问，访问开发测试环境中的WEB服务。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 安全组策略请见2.1节中相关内容。

安全策略 如图2 生产环境子网、网络ACL分布图所示，网络ACL“NACL-PRD-MGMT”关联生产环境管理区子网，对于由IDC发起的对生产环境的入方向策略(管理员)，可限制能够访问管理区主机的22/3389等管理端口。 本节中提到的IP地址及端口号仅为示例，如有其它管理端口，可根据实际情况增加策略。 表1 网络ACL“NACL-PRD-MGMT”入方向 规则 # 源 IP 协议 目的端口 允许/拒绝 说明 对管理员 客户数据中心某子网-a TCP 22 允许 允许客户数据中心某子网-a中的管理员访问生产环境管理区的VM。 对管理员 客户数据中心某子网-a TCP 3389 允许 允许客户数据中心某子网-a中的管理员访问生产环境管理区的VM。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 表2 网络ACL“NACL-PRD-MGMT”出方向 规则 # 目的 IP 协议 目的端口 允许/拒绝 说明 1 0.0.0.0/0 ANY ANY 允许 对于由管理区发起的出方向流量不做限制。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。

主机安全 与公网有交互的云服务器建议参考华为云主机防暴力破解解决方案进行相应的加固。主要涉及系统加固，以及主机安全产品(HIDS/AV等)的应用。 为了增加业务关键云主机的可靠性，建议(云服务器创建阶段)将同类的关键节点关联到一个云服务器组，将云主机尽量分散到不同的物理主机上(反亲和策略)，提高业务可靠性。比如ELB的后端主机、SAP DB云主机等，可以设置相应的云服务器组。 父主题： 生产环境安全解决方案

安全策略 网络ACL“NACL-PRD-DMZ/APP/SAPDB-BUSI”关联生产环境相应子网，需严格按照最小化的原则控制访问开发测试环境的入方向策略，限制其仅能访问生产环境中特定的[IP]:[PORT]；对于由生产环境发起的对开发测试环境的出方向策略，这里可以根据实际情况设置稍弱的访问控制策略。 强的、安全性高的、复杂的访问控制策略，会一定程度增加部署配置及运维成本，可以根据企业自身情况适当减少策略。

华为技术支持通道安全方案 图1 华为技术支持通道安全方案 如涉及华为技术人员场景，需要单独部署华为技术人员专用堡垒机，保障运维通道安全，方案详见图1 华为技术支持通道安全方案。 该方案与企业内部堡垒机对比有如下几点区别： 华为专用堡垒机需配置双网卡，分别属于PRD管理区与DEV管理区。 华为专用堡垒机需配置一个EIP，以便华为技术人员接入。 由于华为专用堡垒机需Internet可访问，EIP绑定的网卡所属的子网需增加网络ACL入站策略，出站策略无需变动，放通Internet对专用堡垒的访问。 以EIP网卡属于DEV-管理区子网为例，增加如下入站ACL策略： 本节中提到的IP地址及端口号仅为示例。如有特殊情况，需新增临时策略放通其它源IP。 表1 网络ACL“NACL-DEV-MGMT”入方向 规则 # 源 IP 协议 目的端口 允许/拒绝 说明 对华为技术人员 2.2.2.0/24 TCP 8443 允许 允许华为技术支持人员(固定源IP范围)中的管理员访问专用堡垒机。

安全策略 图1 开发测试环境子网 如图1 开发测试环境子网所示，网络ACL“NACL-DEV-MGMT”关联生产环境管理区子网，对于由IDC发起的对生产环境的入方向策略(管理员)，可限制能够访问管理区主机的22/3389等管理端口。 本节中提到的IP地址及端口号仅为示例。管理员也可设置具备End Uesr角色相应的策略，使管理员可访问开发测试环境业务端口。 表1 网络ACL“NACL-DEV-MGMT”入方向 规则 # 源 IP 协议 目的端口 允许/拒绝 说明 对管理员 客户数据中心某子网-a TCP 22 允许 允许客户数据中心某子网-a中的管理员访问开发测试环境管理区的VM。 对管理员 客户数据中心某子网-a TCP 3389 允许 允许客户数据中心某子网-a中的管理员访问开发测试环境管理区的VM。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 表2 网络ACL“NACL-DEV-MGMT”出方向 规则 # 目的 IP 协议 目的端口 允许/拒绝 说明 1 0.0.0.0/0 ANY ANY 允许 对于由管理区发起的出方向流量不做限制。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 安全组策略请见2.1节中相关内容。

安全评估 对于Web站点及关键主机，建议定期进行安全评估(安全体检服务-专业安全评估)，以及时发现、规避安全风险。 服务测试范围包括： 网站类：SQL注入、XSS跨站、文件包含、任意文件上传、任意文件下载、Web弱口令、服务弱口令。 主机类：远程 漏洞扫描 、弱口令扫描、高危端口识别、高危服务识别、基线检查。 华为安全专家团队会对专业机构提交的体检报告进行审核，引导专业机构提高服务质量，给客户更佳的用户体验。 提供准确的漏洞信息和对应的修复建议，并可为用户定制整体安全解决方案，帮助用户构筑完善的安全防御机制。

网站监控 非法篡改监控(监测网页篡改行为，特别是一些越权篡改、暗链篡改等)。 坏链检测（如链接目的页面已经删除或转移;网站搬家导致链接无效，设置静态链接导致原内文章链接地址无法访问等）。 脆弱性检测（SQL注入、XSS跨站、文件包含、敏感信息泄露、任意文件下载等）。 可用性检测（通过全国多地监测和DNS解析监测监控网站的可用性）。 对外服务开放监测（定期对网站开放服务进行扫描，检测是否开放多余服务）。 敏感内容审计（定期对网站内容进行检测，对出现敏感内容页面进行告警）。 协同预警（协同技术小组根据最新漏洞与威胁跟踪结果提供预警）。

安全评估 对于Web站点及关键主机，建议定期进行安全评估(安全体检服务-专业安全评估)，以及时发现、规避安全风险。 服务测试范围包括： 网站类：SQL注入、XSS跨站、文件包含、任意文件上传、任意文件下载、Web弱口令、服务弱口令。 主机类：远程漏洞扫描、弱口令扫描、高危端口识别、高危服务识别、基线检查。 华为安全专家团队会对专业机构提交的体检报告进行审核，引导专业机构提高服务质量，给客户更佳的用户体验。 提供准确的漏洞信息和对应的修复建议，并可为用户定制整体安全解决方案，帮助用户构筑完善的安全防御机制。

网站监控 非法篡改监控(监测网页篡改行为，特别是一些越权篡改、暗链篡改等)。 坏链检测（如链接目的页面已经删除或转移，网站搬家导致链接无效，设置静态链接导致原内文章链接地址无法访问等）。 脆弱性检测（SQL注入、XSS跨站、文件包含、敏感信息泄露、任意文件下载等）。 可用性检测（通过全国多地监测和DNS解析监测监控网站的可用性）。 对外服务开放监测（定期对网站开放服务进行扫描，检测是否开放多余服务）。 敏感内容审计（定期对网站内容进行检测，对出现敏感内容页面进行告警）。 协同预警（协同技术小组根据最新漏洞与威胁跟踪结果提供预警）。

安全服务 Anti-DDoS 根据业务特点，由于生产环境有公网访问需求，需要针对SAP Router、SRM、Hybrids服务器部署Anti-DDoS防护，推荐使用华为云Anti-DDoS流量清洗服务，对相应的EIP进行DDoS防护。 Web应用防火墙-WAF 根据业务特点，由于生产环境需向互联网提供Web应用服务，需要部署Web应用防火墙，应对诸如OWASP TOP10 Web攻击，推荐华为云Web应用防火墙服务，创建WAF实例防护相应EIP/ELB。 虚拟下一代防火墙-vNGFW 根据业务特点，SAP Router会提供给第三方使用并接入内部系统，开发测试环境SRM/Hybrids会对外方开放用于模拟测试。以上入口均面临网络攻击入侵风险，建议部署虚拟下一代防火墙对后端进行防护。

安全策略 由于开发环境同时需要与企业内部通信，还需提供互联网的业务访问，综合考虑通过网络ACL进行相应的访问控制策略。 网络ACL “NACL-DMZ-SAP-Router”关联生产环境相应子网，需严格控制互联网访问的入方向策略，限制特定外网网段能够访问特定的[IP]:[PORT]。 本节中提到的IP地址及端口号仅为示例，如公网IP不固定的场景，可根据业务需要(如技术支持)，临时放通特定源IP，相应事务完成后删除策略。如有其它业务流，可根据实际情况增加策略。 表1 网络ACL“NACL-DMZ-SAP-Router” 出方向 规则 # 目的 IP 协议 目的端口 允许/拒绝 说明 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的入站数据流。 表2 网络ACL“NACL-DMZ-SAP-Router”入方向 规则 # 源 IP 协议 目的端口 允许/拒绝 说明 对SAP技术支持人员，SAP GU/软件服务器I等 123.123.123.0/24 TCP 3299 允许 允许互联网SAP技术支持人员(特定源IP)，SAP GUI/软件服务器等访问开发测试环境中的DEV&PRD-SAP-Router，进而访问后端业务。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 网络ACL “NACL-PRD-DMZ”关联生产环境相应子网，需严格控制互联网/IDC访问的入方向策略，限制外部网络仅能访问开发测试环境特定的[IP]:[PORT]。 表3 网络ACL“NACL-PRD-DMZ”出方向 规则 # 目的 IP 协议 目的端口 允许/拒绝 说明 对AD/ADFS服务器 IDC-AD/ADFS网络 TCP AD/ADF端口 允许 允许与IDC内部AD/ADFS服务器进行对接。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 表4 网络ACL“NACL-PRD-DMZ”入方向 规则 # 源 IP 协议 目的端口 允许/拒绝 说明 对Internet用户 0.0.0.0/0 TCP 80 允许 允许互联网用户、IDC内部用户，访问生产环境中的WEB服务。 对Internet用户 0.0.0.0/0 TCP 443 允许 允许互联网用户、IDC内部用户，访问生产环境中的WEB服务。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 网络ACL “NACL-PRD-APP”关联生产环境相应子网，需严格控制IDC访问的入方向策略，限制特定IDC网络仅能访问开发测试环境特定的[IP]:[PORT]，出方向策略同上。 表5 网络ACL“NACL-PRD-APP”出方向 规则 # 目的 IP 协议 目的端口 允许/拒绝 说明 对AD/ADFS服务器 IDC-AD/ADFS网络 TCP AD/ADF端口 允许 允许与IDC内部AD/ADFS服务器进行对接。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 表6 网络ACL“NACL-PRD-APP”入方向 规则 # 源 IP 协议 目的端口 允许/拒绝 说明 对IDC内部用户、顾问。 客户数据中心某子网-b TCP 8080 允许 允许客户数据中心某子网-b中的内部用户、顾问，访问生产环境中的应用区8080业务端口。 对IDC内部用户、顾问。 客户数据中心某子网-b TCP 8443 允许 允许客户数据中心某子网-b中的内部用户、顾问，访问生产环境中的应用区8443业务端口。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的数据流。 对于网络ACL “NACL-PRD-SAPDB-BUSI/INTERNEL”，由于无与外部网络交互需求，只需根据1.1节设置内部访问控制策略即可。 安全组策略请见2.1节中相关内容。

安全策略 如图1 开发测试环境网络ACL分布图所示，网络ACL“NACL-DEV-APP”关联开发测试环境子相应网，需严格按照最小化的原则控制访问生产环境的出方向策略，限制其仅能访问生产环境中特定的[IP]:[PORT]；对于由生产环境发起的对开发测试环境的入方向策略，这里可以根据实际情况设置稍弱的访问控制策略。 强的、安全性高的、复杂的访问控制策略，会一定程度增加部署配置及运维成本，可以根据企业自身情况适当减少策略。 图1 开发测试环境网络ACL分布图 与生产环境边界的策略主要包括对PRD-DMZ区、对PRD-应用区、对PRD-DB区的策略，详细请参考下方表1 网络ACL“NACL-DEV-APP”出方向与表2。 本节中提到的IP地址及端口号仅为示例，如有其它业务流，可根据实际情况增加策略。本节仅涉及开发测试区与生产环境策略。 表1 网络ACL“NACL-DEV-APP”出方向 规则 # 目的 IP 协议 目的端口 允许/拒绝 说明 对PRD-DMZ区 172.22.7.0/24 TCP 1433 允许 允许测试环境子网中的 VM访问生产环境PRD-DMZ区中服务器1433端口进行软件/代码推送更新。 对PRD-应用区 172.22.8.0/24 TCP 2433 允许 允许测试环境子网中的 VM访问生产环境PRD-应用区中服务器2433端口进行软件/代码推送更新。 对PRD-DB区 172.22.9.0/24 TCP 3443 允许 允许测试环境子网中的 VM访问生产环境PRD-DB区中服务器3443端口进行软件/代码推送更新。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的入站数据流。 表2 网络ACL“NACL-DEV-APP”入方向 规则 # 源 IP 协议 目的端口 允许/拒绝 说明 对PRD-DMZ区 172.22.7.0/24 TCP ANY 允许 允许生产环境PRD-DMZ区中的 VM访问本区域中服务器任意TCP端口。 对PRD-应用区 172.22.8.0/24 TCP ANY 允许 允许生产环境PRD-应用区中的 VM访问本区域中服务器任意TCP端口。 对PRD-DB区 172.22.9.0/24 TCP ANY 允许 允许生产环境PRD-DB区中的 VM访问本区域中服务器任意TCP端口。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则 (不可修改) 处理的出站数据流。 安全组策略请见2.1节中相关内容。

重复数据删除管理 随着HANA数据快速增长，以及企业要求备份和恢复的时间点越来越多，保存数据的成本也变得越来越严重。研究发现，SAP HANA备份数据中的数据中高达60%是冗余的，重复率很高，随着时间的推移，重复数据越来越多。为了缓解存储系统的空间增长问题，缩减数据占用空间、降低成本，最大程度地利用已有资源，重复数据删除已成为存储领域一个热门的技术。一方面，利用重复数据删除技术可以对存储空间的利用率进行优化，消除分布在存储系统中的相同文件或者数据块。另一方面，利用重复数据删除技术可以减少在网络中传输的数据量，进而降低能量消耗和网络成本，并为数据复制大量节省网络带宽。 Commvault将源端和目标端重复数据删除功能完全集成到统一数据管理平台中，在将备份数据通过网络发送到服务器和存储器之前，先在源端进行重复数据删除，以消除冗余的数据。Commvault重复数据删除，实现了更短的备份窗口、更低网络带宽占用、更低的存储成本以及更可靠的数据保护。 Commvault采用基于数据块级别的重复数据删除技术，利用SHA 512 (Secure Hash Algorithm)算法来比对数据块是否重复，SHA512是目前为止最为安全的散列算法。Commvault具有内容感知功能，智能切割备份/归档数据块，快速识别备份/归档数据中的相同数据块，并确保相同数据块在存储设备上只保留一次。 Commvault去重主要由MediaAgent来负责管理，MediaAgent管理3个部分： 去重数据库 去重数据用来比对数据块的哈希值，去重数据库的性能，会影响重复数据删除的性能。建议采用高IO磁盘存储，例如：华为云中的超高IO云硬盘。 备份/归档索引 记录数据块的逻辑与物理位置信息，通过索引，可以知道一个数据文件由那些数据块所组成，要利用索引来进行数据恢复，数据恢复并不需要访问去重数据库。建议采用高IO磁盘存储，例如：华为云中的超高IO云硬盘。 去重数据存储空间 用于存放去重的物理数据块，通常是大容量的通用磁盘存储，可以是 云存储 、DAS、SAN或NAS磁盘存储设备。云中建议采用S3存储，如：华为云中的 对象存储服务 OBS。 Commvault的DDB数据库是MemDB（主存数据库）。MemDB能提供更高的性能，但MemDB最好存放在SSD磁盘上或其他高速磁盘上。一个DDB数据库，可根据用户的环境，选择不同的配置，具体如表3所示。 表3 DDB数据库配置 规模 前端容量 DDB数据库 后端容量 并发流数 Xsmall 5 TB~15 TB 200 GB 25 TB 25 Small 10 TB~30 TB 400 GB 50 TB 50 Medium 30 TB~60 TB 600 GB 75 TB 100 Large 60 TB~125 TB 1.2 TB 150 TB 200 Xlarge 110 TB~150 TB 2 TB 250 TB 300

SAP HANA数据库备份及恢复策略 对SAP HANA数据库可以进行全备份、增量备份、差量备份和日志备份。备份策略可按图3进行编排。 图3 备份策略 全备份 全备份是备份数据库数据卷上的所有数据，一般放在周末进行，对系统影响比较小。 增量备份 增量备份收集了上次任何备份后的数据，在一天当中可以进行多次增量备份，比如可以在早上、中午、晚上结算前进行增量备份。 差量备份 差量备份收集了上次全备份后的变化数据，一般在每天晚上结算后进行。 日志备份 对数据卷的备份可以是手动或按备份计划进行，而日志的备份都是自动进行的，默认情况下，每15分钟做一次日志备份，当然备份的频率是可根据用户的需求进行调整的。 日志备份非常重要，如果持久性存储上的日志不备份，日志是不能被删除的，大量的日志会把日志存储区填满，导致数据库被锁起来。 Commvault在SP16以后默认情况下，SAP HANA代理将所有数据库服务中的日志文件备份为每6小时一次持久日志备份作业。可以集中持续的将所有服务的日志统一备份，减少备份作业的数量。 可以利用备份，把SAP HANA数据库恢复到某一个时间点，恢复的次序是： 恢复最后全备份。 恢复最后差量备份。 恢复接下来的所有增量备份。 恢复接下来的日志备份。 恢复到最新：如果Log区中的日志没有丢失，数据将没有损失。 恢复到指定的时间点：逻辑错误会导致最新数据是不正确的，因此需要恢复到以前某一个时间点。 在图4中，恢复一个全备份，最近的差量备份（D3）和最新的一个增量备份（I4），再进行一个日志前滚操作，就能完成数据的最新恢复。 图4 数据恢复

多副本管理 利用Commvault平台能轻松实现多副本管理，比如做D2C2C备份，或D2C2T备份。把备份副本复制到云存储或本地数据中心的磁带库上。 Aux Copy（辅助拷贝）是备份数据的复制操作，把数据从一个副本复制到另外一个副本，用于创建多副本或DR（灾难恢复）备份。 图6 多副本复制 辅助拷贝可实现不同介质之间的数据复制，去重副本的辅助拷贝，称为DASH Copy，仅复制新的数据块。存储策略中含三种类型副本： Primary 主副本，备份操作时，数据先只能写入主副本。 Synchronous 同步副本，利用AuxCopy产生的次级副本，数据内容与主副本完全相同。 Selective 选择副本，利用AuxCopy产生的次级副本，数据内容只选择全备份数据。

Storage Accelerator 客户端计算机将数据备份到云存储时，软件将通过MediaAgent路由数据。因此，客户端计算机首先将数据发送给MediaAgent，然后MediaAgent将数据发送给云存储库。使用客户端存储加速器“Storage Accelerator”可以加快备份过程，直接将数据发送到配置的云存储库，具体如图5所示。 对于运行在云中的SAP HANA系统，这是一个非常有用的特性。对于大型单节点HANA系统，它允许从集中的介质管理服务器分流数据流，对于多节点HANA系统，随着节点数量的增加，它提供接近线性的可伸缩性。 图5 Storage Accelerator备份流程

SAP HANA备份架构 图1 SAP HANA备份架构图 图1是一个典型的SAP HANA多节点备份拓扑架构图，在HANA节点服务器上安装Commvault的SAP HANA备份代理模块iDA for SAP HANA，Commvault的备份管理服务器 CS 管理备份策略和调度备份计划，介质代理服务器MA负责连接OBS对象存储，并将备份数据去重后写入到OBS对象存储中。 对于数据量较大的HANA，Commvault提供了“Storage Accelerator”存储加速功能，可提升备份和恢复性能。 Commvault备份软件的组件如下： 管理服务器（CommServe，即上图中CS） CommServe集中管理CommCell中所有软件组件，协调并执行CommCell中所有操作，CommServe包含一个Microsoft SQL Server数据库，用来记录所有的配置信息、安全属性以及操作历史以及Metadata。在一个CommCell中，只能有一个CommServe，CommServe可以安装在物理服务器、虚拟服务器或集群环境中。 华为云中的云服务器推荐如表1所示。 表1 推荐的云服务器 规模 客户端数量 服务器配置 云服务器规格 Small 25 servers, or 100 virtual machines 4 CPU cores, 16 GB RAM c6.xlarge.4 Medium 500 servers, or 1000 virtual machines 8 CPU cores, 32 GB RAM c6.2xlarge.4 Large 2500 servers, or 5000 virtual machines 12 CPU cores, 64 GB RAM c6.4xlarge.4 Xlarge 10,000 servers, or 20,000 virtual machines 16 CPU cores, 128 GB RAM m3.4xlarge.8 介质代理（MediaAgent，即上图中MA） MediaAgent在CommCell中负责管理数据传输，管理数据存储的介质库：磁盘库、磁带库、云存储等。CommServe指挥并协调MediaAgent执行任务，在一个CommCell中可以部署多台MediaAgent来拓展性能，MediaAgent可以安装在物理服务器、虚拟服务器或集群环境中，能支持Window、Linux和Unix操作系统。 华为云中的云服务器推荐如表2所示。 表2 推荐的云服务器 规模 客户端数量 服务器配置 后端容量 云服务器规格 Xsmall 5 TB~15 TB 2 CPU cores, 16 GB RAM 25 TB m6.large.8 Small 10 TB~30 TB 4 CPU cores, 24 GB RAM 50 TB m6.xlarge.8 Medium 30 TB~60 TB 8 CPU cores, 32 GB RAM 75 TB c6.2xlarge.4 Large 60 TB~125 TB 12 CPU cores, 64 GB RAM 150 TB c6.4xlarge.4 Xlarge 110 TB~150 TB 16 CPU cores, 128 GB RAM 250 TB m6.4xlarge.8 客户端（Client，即上图中iDA） 被保护及被管理的生产服务器称为客户端，通常会在客户端上安装软件代理模块，或为客户端配置一个代理服务器上软件代理模块，来实现数据保护、管理及传输。