h3c信息化數(shù)據(jù)安全資源整合方案-全文預覽

　　

【正文】 選擇隔離攻擊源。 3. 安全事件的關(guān)聯(lián)分析 網(wǎng)絡中的各種安全部件產(chǎn)生的眾多安全事件，往往使管理員淹沒于信息的海洋中。 H3C 全局安全管理平臺 的安全策略集中部署提供了集成、統(tǒng)一、完整的安全防護策略配置 功能 ，可以通過直觀的網(wǎng)絡、服務器、終端及用戶拓撲圖，查看和配置安全策略 。 H3C“全局安全管理平臺” 由策略管理、事件采集、分析決策、協(xié)同響應四個組件構(gòu)成，與網(wǎng)絡中的安全 設備 、網(wǎng)絡設備、用戶終端等獨立功能部件通過各種信息交互接口形成一個完整的 協(xié)同防御體系。 ? 各種安全設備是孤立的，無法相互關(guān)聯(lián)，信息共享。這些審計數(shù)據(jù)可能來自防火墻、 路由器 、入侵防御系統(tǒng)、主機系統(tǒng)、防病毒系統(tǒng)和桌面安全系統(tǒng)。 對于網(wǎng)絡系統(tǒng)來說，安全入侵經(jīng)常將網(wǎng)絡作為一個整體而不僅是針對某一個子系統(tǒng)。 顯然，僅靠不斷增加帶寬 是 不能滿足 上述 需求的 ， 想提高 服務器應用的用戶滿意度 ，就需要在現(xiàn)有網(wǎng)絡結(jié)構(gòu)中專門增加一層，以專門用于提高 服務器應用的傳遞速度。作為 信息化 的基礎(chǔ)核心，數(shù)據(jù)中心將匯集高性能計算、數(shù)據(jù)通訊、語音通訊等功能于一體，成為 支撐 企業(yè)未來 業(yè)務發(fā)展 的平臺。 華三公司多年的網(wǎng)絡技術(shù)與安全技術(shù)積累，造就了資深的攻擊特征庫團隊和安全服務團隊，建有攻防實驗室，緊跟網(wǎng)絡技術(shù)與安全技術(shù)的發(fā)展前沿和網(wǎng)絡攻防的最新動態(tài)，定期更新并發(fā)布攻擊特征庫升級包，源源不斷地為強大的檢測引擎注入高質(zhì)量的燃油。 圖 2 FIRST 引擎架構(gòu) 如上圖所示， FIRST 引擎創(chuàng)新性地將協(xié)議識別與特征匹配緊密地結(jié)合起來，利用特征匹配精 確地識別出應用層協(xié)議，并精確地分析出協(xié)議異常進行阻斷，同時，將特征匹配與協(xié)議識別的結(jié)果結(jié)合起來，只有關(guān)聯(lián)了特定應用層協(xié)議上下文的攻擊特征成功匹配了才被判斷為一次有效攻擊，從而，大大提高了檢測精度，顯著降低了誤報率和漏報率。 H3C IPS 還支持以下檢測機制： 1）基于訪問控制列表（ ACL）的檢測 2）基于統(tǒng)計的檢測 3）基于協(xié)議跟蹤的檢測 4）基于應用異常的檢測 5）報文規(guī)范檢測（ Normalization） 6） IP 報文重組 7） TCP 流恢復 高精度、高效率的入侵檢測引擎 入侵檢測引擎是 IPS 設備最核心的功能之一，入侵檢測引擎直接關(guān)系到 IPS設備的兩個重要功能指標：漏報率和誤報率，也直接關(guān)系到 IPS 設備的兩個重要性能指標：吞吐量和時延。利用深層檢測應用層數(shù)據(jù)包的技術(shù)，H3C IPS 可以分辨出合法與有害的封包內(nèi)容。 IPS 是通過直接嵌入到網(wǎng)絡流量中實現(xiàn)這一功能的，即通過一個網(wǎng)絡端口接收來自外部系統(tǒng)的流量，經(jīng)過檢查確認其中不包含異常活動或可疑內(nèi)容后，再通過另外一個端口將它傳送到內(nèi)部系統(tǒng)中。 . 應用層安全設 計 今天，各種蠕蟲、間諜軟件、網(wǎng)絡釣魚等應用層威脅和 EMAIL、移動代碼結(jié)合，形成復合型威脅，使威脅更加危險和難以抵御。 SecPath 防火墻默認提供四個安全區(qū)域： trust、 untrust、 DMZ、 local，在提供三個最常用的安全邏輯區(qū)域的基礎(chǔ)上還新增加了本地邏輯安全區(qū)域，本 地安全區(qū)域可以定義到防火墻本身的報文，保證了防火墻本身的安全防護，使得對防火墻本身的安全保護得到加強。 狀態(tài)防火墻具有更高的智能，提供更高的安全性。 較新的一類防火墻設備支持基于狀態(tài)的包檢查。 ? 靈活方便的部署方式 EAD 方案部署靈活，維護方便。 ? 基于角色的網(wǎng)絡授權(quán) 在用戶終端通過病毒、補丁等安全信息檢查后， EAD 可基于終端用戶的角色，向安全聯(lián)動設備下發(fā)事先配置的接入控制策略，按照用戶角色權(quán)限規(guī)范用戶的網(wǎng)絡使用行為。當用戶通過身份認證但安全認證失敗時，將被隔離到隔離區(qū)，此時用戶能且僅能訪問隔離區(qū)中的服務器，通過第三方服務器進行自身安全修復，直到滿足安全策略要求。 EAD 提供了靈活多樣的組網(wǎng)方案，安全聯(lián)動設備可以根據(jù)需要靈活部署在各層比如網(wǎng)絡接入 層和匯聚層。 下面從桌面終端認證需求、組網(wǎng)部署、功能描述 3 方面進行 EAD 系統(tǒng)簡單介紹： （ 1）、桌面終端用戶 認證需求 對于要接入安全網(wǎng)絡的用戶， EAD 解決方案首先要對其進行身份認證，通過身份認證的用戶進行終端的安全認證，根據(jù)網(wǎng)絡管理員定制的安全策略進行包括病毒庫更新情況、系統(tǒng)補丁安裝情況、軟件的黑白名單等內(nèi)容的安全檢查，根據(jù)檢查的結(jié)果， EAD 對用戶網(wǎng)絡準入進行授權(quán)和控制。同時，對不同的接入用戶要做到動態(tài)的分配不同的權(quán)限，使之歸屬于不同的 VPN，訪問授權(quán)的資源。為了防止這種攻擊最有效的方法就是使用局域網(wǎng)常用路由協(xié)議時，必須啟用路由協(xié)議的認證。 （ 3）、 UPRF： UPRF 會檢測接收到的報文中的源地址是否和其接收報文的接口相匹配。如果找到則正常學習，否則不學習該 ARP。這種判定的方式有 4 種。比如 smurf 攻擊。 Intrusion Protection：該特性通過檢測端口接收到的數(shù)據(jù)幀的源 MAC 地址或 認證的用戶名、密碼，發(fā)現(xiàn)非法報文或非法事件，并采取相應的動作，包括暫時斷開端口連接、永久斷開端口連接或是過濾此 MAC 地址的報文，保證了端口的安全性。如圖。 數(shù)據(jù)中心基礎(chǔ)架構(gòu)安全相關(guān)架構(gòu) 基于 VLAN 的端口隔離 交換機可以由硬件實現(xiàn)相同 VLAN 中的兩個端口互相隔離。 COMWARE是由 H3C推出的支持多種網(wǎng)絡設備的網(wǎng)絡操作系統(tǒng)，它以強大的 IP 轉(zhuǎn)發(fā)引擎為核心，通過完善的體系結(jié)構(gòu)設計，把實時操作系統(tǒng)和網(wǎng)絡管理、網(wǎng)絡應用、網(wǎng)絡安全等技術(shù)完美 的結(jié)合在一起。架構(gòu)安全特性涉及服務器、接入交換機、負載均衡器、匯聚交換機、核心交換機等設備，部署點多、覆蓋面大，是構(gòu)成整個安全數(shù)據(jù) 中心的基石。 在此背景下， H3C 提出用 SecCenter（安全管理中心）和 iMC（智能管理中心）組合，來滿足數(shù)據(jù)中心系統(tǒng)全局安全管理的需求， 將安全體系 中各層次的安全產(chǎn)品、網(wǎng)絡設備、用戶終端等納入一個緊密的 “全局安全 管理平臺 ” 中，通過安全策略的集中部署、安全事件的深度感知與關(guān)聯(lián)分析以及安全部件的協(xié)同響應，在現(xiàn)有安全設施的基礎(chǔ)上構(gòu)建一個 智能 安全防御體系，大幅度提高 數(shù)據(jù)中心系統(tǒng) 的整體安全防御能力。 ? 統(tǒng)一管理、智能聯(lián)動 當前，數(shù)據(jù)中心系統(tǒng)安全管理中 遇到的問題 包括 ： 1) 對實時安全信息不了解，無法及時發(fā)出預警 報告 。 ? 分區(qū)規(guī)劃，分層部署 在網(wǎng)絡中存在不同價值和易受攻擊程度不同的設備，按照這些設備的情況制定不同的安全策略和信任模型，將網(wǎng)絡劃分為不同區(qū)域。 數(shù)據(jù)中心多層安全防御 三重防護 數(shù)據(jù)中心網(wǎng)絡提供了從鏈路層到應用層的多層防御體系，如圖。 數(shù)據(jù)中心需要一個全方位一體化的安全部署 方式。 o 企業(yè)安全性這一層的安全性解決方案主要集中于提供對應用的受控訪問、驗證用戶身份、用戶的 provisioning 和授權(quán)、審查用戶 操作，并通過加密來保護數(shù)據(jù)。 數(shù)據(jù)中心安全性的三個主要的層次是： ? IT 基礎(chǔ)設施和物理安全性： o 這一層泛指整個 IT 基礎(chǔ)設施，企業(yè)需要 IT 基礎(chǔ)設施來運行有效 的業(yè)務操作， IT 基礎(chǔ)設施的彈性將決定業(yè)務操作的總體效率和可用性。不但需要保護數(shù)據(jù)中心中關(guān)鍵應用和保密數(shù)據(jù)；并需要增強數(shù)據(jù)中心的運營效率，增強業(yè)務競爭力，而且具有擴展性 以支持隨時可能出現(xiàn)的新業(yè)務流程。 同城災備中心和異地災備中心同主數(shù)據(jù)中心之間需要通過廣域網(wǎng)連通。 ? 多協(xié)議支持能力： IPv MPLS、 IPv6 等，為分支機構(gòu)的接入提供便利； ? 全面的 IPv4/IPv6 路由協(xié)議支持能力、大容量路由表和靈活的路由策略，如 OSPF、 BGP、 ISIS、 RIPv1/v2 等； ? 支持 IPSec、 NAT、 SSL VPN、策略路由等，提供靈活的業(yè)務和流量轉(zhuǎn)發(fā)控制能力，保證出口的安全性； ? 具有廣域網(wǎng)優(yōu)化支持能力，加速各種 Web、 FTP、 POP SMTP 等上層應用 . 數(shù)據(jù)大集中廣域網(wǎng)整合方案 數(shù)據(jù)大集中必然要求各級 XX 單位 網(wǎng)絡暢通，這就要求有高可靠、帶寬充足的廣域網(wǎng)，滿足信息化數(shù)據(jù)、視頻會議、語音、應急指揮視頻監(jiān)控 需求。 外聯(lián)區(qū)接入交換機，為區(qū)域內(nèi)服務器群提供接入；服務器接入采用二層。 區(qū)域內(nèi)部署代理服務器、通信前置機與合作伙伴的服務器進行通信，彼此之間的服務器通常情況下不允許直接互訪。 ? 匯聚層同樣 采用堆疊技術(shù)，提升整體的可靠性，簡化配置和管理、業(yè)務部署更平滑。 對于資金壓力不是特別緊張 XX 單位 ，建議采用方案 1，否則可以采用方案2，但需要同部 XX 單位 進行協(xié)商。 廣域網(wǎng)區(qū)向上連接部 XX 單位 ，向下連接分支機構(gòu)。 系統(tǒng)管理區(qū)設置面向整個 XX 單位 的：網(wǎng)絡管理、安全管理、防病毒管理、IT 基礎(chǔ)設施管理。 廣域網(wǎng)區(qū)連接各 XX 單位 。 模塊化數(shù)據(jù)中心好處是 ：有利于網(wǎng)絡穩(wěn)定，方便功能區(qū)更改擴容，方便管理維護，統(tǒng)一出口避免重復建設。而每個數(shù)據(jù)中心核心交換機緩存大小均要求在萬兆全線速條件下達到 200 毫秒的突發(fā)流量緩存能力，因此，在突發(fā)引起瞬時擁塞時， N 個端口向一個端口轉(zhuǎn)發(fā)的緩存能力是 N*200 毫秒，與傳統(tǒng)出端口緩 存固定能力相比有本質(zhì)的提升。 在高密應用集中環(huán)境下，基礎(chǔ)網(wǎng)絡的高性能和可靠性要求變得苛刻，大量應用密集情況下，局部故障影響范圍必須縮小。近幾年高性能計算 TOP500 排名中超過 50%的計算網(wǎng)絡互聯(lián)采用了千兆以太網(wǎng)。 以往數(shù)據(jù)中心架構(gòu)前端 IP 網(wǎng)絡，計算網(wǎng)絡，存儲網(wǎng)絡往往是異構(gòu)的，如：前端采用以太網(wǎng)，計算網(wǎng)絡采用 InfiniBand 網(wǎng)絡，后端采用 FCSAN 架構(gòu)。 ? 開放性： 數(shù)據(jù)中心網(wǎng)絡建設要全面遵循業(yè)界標準，所推薦采用的設備、技術(shù)在互通性和互操作性上，可以支持數(shù)據(jù)中心網(wǎng)絡系統(tǒng)的快速布署。網(wǎng)絡的可用性指業(yè)務應用系統(tǒng)每天能有多少小時，每周有多少天，每年有多少周可以為用戶提供服務，以及這些應用在發(fā)生故障時可以多快恢復工作的時間。 . 數(shù)據(jù)中心 建設主要關(guān)注點及 技術(shù)路線選擇 . 數(shù)據(jù)中心建設關(guān)注點 數(shù)據(jù)處理中心基礎(chǔ)設施建設應保證高可用性、高性能、高可 擴展性、靈活性、安全性等。 兩地：數(shù)據(jù)中心本地及對應災備 /備份異地，三中心：主數(shù)據(jù)中心、同城災備中心、異地備份中心。 數(shù)據(jù)中心建設包括交通部 XX 單位 數(shù)據(jù)中心建設及各 XX 單位 數(shù)據(jù)中心建設，這里講的數(shù)據(jù)中心實現(xiàn)的是信息化系統(tǒng)計算資源和應用系統(tǒng)集中的中心、各應用系統(tǒng)數(shù)據(jù)集中存儲中心、以及承載計算資源和應用系統(tǒng)網(wǎng)絡中心。 橫跨 XX 單位 、交通廳局、政府部門的合作及整合，最優(yōu)化的政務流程和公眾服務等，沒有部門間障礙。 在業(yè)務系統(tǒng)信息化帶動下，逐步形成覆蓋 XX 單位 、分支局、派出 機構(gòu)的廣域網(wǎng)及各級局域網(wǎng)，形成業(yè)務系統(tǒng)網(wǎng)絡化，并進而形成基于 IP 網(wǎng)絡的視頻會議、視頻監(jiān)控、 IP 語音等增值業(yè)務。 數(shù)據(jù)存儲系統(tǒng)建設 數(shù)據(jù)中心集中存儲資源池建設及備份、容災。 XX 單位 采用垂直管理體制，交通部 XX 單位 下屬 XX 個 XX 單位。審核和監(jiān)督管理船員、引航員培訓機構(gòu)資質(zhì)及 其質(zhì)量體系；負責海員證件的管理工作。 （ 2）、船舶管理 負責船舶檢驗、注冊、年檢，負責中國籍船舶登記、發(fā)證、檢查和進出港 (境 )簽證；負責外國籍船舶入出境及在我國港口、水域的監(jiān)督管理；負責船舶載運危險貨物及其他貨物的安全監(jiān)督等。 擬定和組織實施國家水上安全監(jiān)督管理和防止船舶污染、船舶及海上設施檢驗、航海保障以及交通行業(yè)安全生產(chǎn)的方針、政策、法規(guī)和技術(shù)規(guī)范、標準。 維護水上交通秩序 ，負責船舶流量管理 VTS。 管理海區(qū)港口航道測繪并組織編印相關(guān)航海海圖等資料。 （ 3）、船員管理 負責船員、引航員適任資格培訓、考試、發(fā)征管理。 （ 5）、應急處理 突發(fā)事件應急處理，保證應急事件處理及時有效性。 IT 基礎(chǔ)承載網(wǎng)絡 數(shù)據(jù)中心和廣域網(wǎng)建設，網(wǎng)絡從性能、帶寬、可靠性方面統(tǒng)一承載數(shù)據(jù)、語音、視頻業(yè)務。 XX 單位 信息化現(xiàn)狀總結(jié) 主要業(yè)務逐步實現(xiàn)信息化，如船舶管理、船員管理、通航管理、應急處理、收費、信息查詢、綜合管理 、電子政務 等業(yè)務基本實現(xiàn)信息化。 XX 單位 信息化資源整合，數(shù)據(jù)大集中建設勢在必行！ 通過應用集成為公眾提供有價值的服務 ， 實現(xiàn) XX 單位 行政效率提高，提升社會公眾滿意 。 廣域網(wǎng)整合包括 全國 XX 單位 大聯(lián)網(wǎng)，實現(xiàn)部 XX 單位 、 XX 單位 、分支 XX 單位 、派出機構(gòu)之間互聯(lián)互通，網(wǎng)絡互通是整體 XX 單位 信息化的基礎(chǔ) 。 . 兩級數(shù)據(jù)中心，兩地三中心建設模式 兩級數(shù)據(jù)中心包括：部 XX 單位 數(shù)據(jù)中心和各 XX 單位 數(shù)據(jù)中心，兩級中心之間不是孤立存在，而是相互關(guān)聯(lián)，互為補充 ，如：部 XX 單位 設置面向全國的船員管理服務器， XX 單位 設置面向本 XX 單位 的船舶、 VTS、船報等，但部 XX 單位也同樣設置船舶等相應服務器，同各 XX 單位 之間存在緊密數(shù)據(jù)互通 。 兩地三中心方式充分保證了 XX 單位 信息化數(shù)據(jù)的高可靠性。如果客戶與員工不能訪問關(guān)鍵性應用，業(yè)務將遭受無法挽回的利潤損失。應按照端到端訪問安全、網(wǎng)絡 L2L7層安 全兩個維度對安全體系進行設計規(guī)劃，從局部安全、全局安全到智能安全，將安全理念滲透到整個數(shù)據(jù)中心網(wǎng)絡中。