h3c信息化數據安全資源整合方案-免費閱讀

　　

【正文】 ACL 管理 ACL 管理實現了 ACL 這種網絡重要資源的集中管理，通過全網 ACL 的視圖，方便的展示給用戶一個網絡中 ACL部署情況的藍圖； ACL部署功能實現了全網 ACL的批量配置和下發，有效減輕了用戶日常的管理工作量；此外， ACL 管理還提供了 ACL 模板、 ACL 規則優化等功能。 H3C iMC 在管理資源（網絡設備、存儲設備、服務器等）、業務的基礎上，更融入了對用戶的管理，直接從用戶對資源使用以滿足業務需求的角度出發，真正實現了“面向人的管理”。 以上 IT 管理系統分布在部 XX 單位 和 XX 單位 ，為 2 級管理結構。 部 XX 單位 數據中心存儲面向全國 XX 單位 數據：面向各應用系統共享 SAN存儲池建設，存儲系統實現本地數據可靠存儲，同城容災中心建設，異地容災中心建設。 H3C 全局安全管理解決方案采用業界領先的集成技術，有效解決了 異構環境 中的管理問題。 4. 安全威脅的協同響應 對安全事件進行全面采集和關聯分析的目的是準確地阻斷和防止攻擊。集中部署各部件的安全防護策略，可以簡化對安全部件的管理，確保網絡安全策略的統一，提高安全管理工作的效率。 . 全局安全管理解決方案概述 當前， XX 單位 數據中心 系統安全管理中 遇到的問題 包括 ： ? 對實時安全信息不了解，無法及時發出預警 報告 。因此，在 XX 單位 數據中心 建設一個“全局安全管理平臺”是必要的。 數據中心每個區域的 IPS 部署： . 應用服務器負載均衡 數據中心面臨的可用性威脅 隨著 信息化 的迅速發展， 數據 中心已經從 分立的“ 計算中心 ＋ 網絡中心 ”模式 發展成計算 與網絡集成一體的數據中心。 FIRST引擎架構如圖 21 所示。 應用程序防護 H3C IPS 模塊及獨立 IPS 提供擴展至用戶端、服務器、及第二至第七層的網絡型攻擊防護，如：病毒、蠕蟲與木馬程序。 防火墻在數據中心的部署 在 XX 單位 數據中心 ，在各個區域匯聚交換機都要部署防火墻模塊，實現對訪問的控制，只有合法的報文才可以通過。狀態 防火墻還采用基于流的狀態檢測技術可以提供更高的轉發性能， 可以根據流的信息決定數據包是否可以通過防火墻，這樣就可以利用流的狀態信息決定對數據包的處理結果加快了轉發性能。 EAD 廣泛、深入的和國內外防病毒、操作系統、桌面安全等廠商展開合作，融合各家所長； EAD 與第三方認證服務器、安全聯動設備等之間的交互基于標準、開放的協議架構和規范，易于互聯互通。 ? 第三方服務器 是指補丁服務器、病毒服務器和安全代理服務器等，被部署在隔離區中。 EAD 從控制用戶終端安全接入網絡的角度入手，整合網絡接入控制與終端安全產品，通過安全客戶端、安全策略服務器、網絡設備以及第三方軟件的聯動，對接入網絡的用戶終端強制實施企業安全策略，嚴格控制終端用戶的網絡使用行為，有效地加強了用 戶終端的主動防御能力，為企業網絡管理人員提供了有效、易用的管理工具和手段。 （ 4）、 路由協議認證 ： 攻擊者也可以向網絡中的設備發送錯誤的路由更新報文，使路由表中出現錯誤的路由，從而引導用戶的流量流向攻擊者的設備。當網關收到一個 ARP 報文時，會先在映射表中查找是否匹配現有的映射關系。偽裝 IP 有三個用處： ? 本身就是攻擊的直接功能體。這樣可以更好的保證相同安全區域內的服務器之間的安全： 圖 交換機 Isolated Vlan 技術 STP Root/BPDU Guard 基于 Root/BPDU Guard 方式的二層連接保護保證 STP/RSTP 穩定 ,防止攻擊 ,保障可靠的二層連接。 H3C憑借基于 COMWARE的具有豐富安全特性全系列智能交換機為數據中心打造堅實的基礎構架。 4) 網絡安全專家匱乏，沒有足夠的人員去監控、分析、解決問題。 IPS 可以針對應用流量做深度分析與檢測能 力，同時配合以精心研究的攻擊特征知識庫和用戶規則，即可以有效檢測并實時阻斷隱藏在海量網絡流量中的病毒、攻擊與濫用行為，也可以對分布在網絡中的各種流量進行有效管理，從而達到對網絡應用層的保護。 o 這一層的安全性解決方案主要包括一些方案或服務，這些方案或服務幫助組織實施并自動操作安全策略和流程，最終用戶了解規劃并完成企業級安全性的管理和報告。當在每一層次部署對應安全解決方案時，也非常清晰的定義和確定了將被包含或影響到的業務。 考慮這些，并結合 XX 單位 已有廣域網，改造廣域網方案如下： 將原來 XXXX 單位 單設備、單鏈路的廣域網改造為雙設備、雙鏈路廣域網，使廣域網有充分可靠性。 外聯區匯聚交換機：集成防火墻并組成雙機熱備，為 關聯單位 提供安全可靠的服務。 業務服務器區的主要設計特點如下： ? 網絡架構采用三層：核心、匯聚和接入 ? 小型機、 PC 服務器接入采用三層主要是為了滿足綜合布線和管理的要求； ? 接入交換機放在列頭柜，匯聚交換機和核心交換機放在網絡機房區，簡化布線、減少故障并實現快速故障診斷； ? 為保證核心業務的高可用性， 接入交換支持堆疊技術 ,無需部署 MSTP、VRRP，解決服務器雙網卡無法同時工作的問題 ； H3C IRF 技術很方便實現以上功能， IRF 詳細技術見 XXX 章節。 對于存儲區域和系統管理區功能同部 XX 單位 ，規模有所不同 。 船員管理、船舶管理、通航管理、綜合管理區分別 設置面向全國 XX 單位 的應用系統服務器、中間件服務器、數據庫服務器。 數據集中意味大流量集中，對于交換機分緩存能力要求極高：核心交換機 采用分布式緩存技術，分布式緩存區別于傳統方式的架構，整個分布式緩存機制由流量管理器在硬件層面協調，無需軟件參與，因而工作在系統時鐘級別。對于計算型應用而言，采用以太網互聯的微妙級時延已經能夠滿足大量的計算需求。應按照端到端訪問安全、網絡 L2L7層安 全兩個維度對安全體系進行設計規劃，從局部安全、全局安全到智能安全，將安全理念滲透到整個數據中心網絡中。 兩地三中心方式充分保證了 XX 單位 信息化數據的高可靠性。 廣域網整合包括 全國 XX 單位 大聯網，實現部 XX 單位 、 XX 單位 、分支 XX 單位 、派出機構之間互聯互通，網絡互通是整體 XX 單位 信息化的基礎 。 XX 單位 信息化現狀總結 主要業務逐步實現信息化，如船舶管理、船員管理、通航管理、應急處理、收費、信息查詢、綜合管理 、電子政務 等業務基本實現信息化。 （ 5）、應急處理 突發事件應急處理，保證應急事件處理及時有效性。 管理海區港口航道測繪并組織編印相關航海海圖等資料。 擬定和組織實施國家水上安全監督管理和防止船舶污染、船舶及海上設施檢驗、航海保障以及交通行業安全生產的方針、政策、法規和技術規范、標準。審核和監督管理船員、引航員培訓機構資質及 其質量體系；負責海員證件的管理工作。 數據存儲系統建設 數據中心集中存儲資源池建設及備份、容災。 橫跨 XX 單位 、交通廳局、政府部門的合作及整合，最優化的政務流程和公眾服務等，沒有部門間障礙。 兩地：數據中心本地及對應災備 /備份異地，三中心：主數據中心、同城災備中心、異地備份中心。網絡的可用性指業務應用系統每天能有多少小時，每周有多少天，每年有多少周可以為用戶提供服務，以及這些應用在發生故障時可以多快恢復工作的時間。 以往數據中心架構前端 IP 網絡，計算網絡，存儲網絡往往是異構的，如：前端采用以太網，計算網絡采用 InfiniBand 網絡，后端采用 FCSAN 架構。 在高密應用集中環境下，基礎網絡的高性能和可靠性要求變得苛刻，大量應用密集情況下，局部故障影響范圍必須縮小。 模塊化數據中心好處是 ：有利于網絡穩定，方便功能區更改擴容，方便管理維護，統一出口避免重復建設。 系統管理區設置面向整個 XX 單位 的：網絡管理、安全管理、防病毒管理、IT 基礎設施管理。 對于資金壓力不是特別緊張 XX 單位 ，建議采用方案 1，否則可以采用方案2，但需要同部 XX 單位 進行協商。 區域內部署代理服務器、通信前置機與合作伙伴的服務器進行通信，彼此之間的服務器通常情況下不允許直接互訪。 ? 多協議支持能力： IPv MPLS、 IPv6 等，為分支機構的接入提供便利； ? 全面的 IPv4/IPv6 路由協議支持能力、大容量路由表和靈活的路由策略，如 OSPF、 BGP、 ISIS、 RIPv1/v2 等； ? 支持 IPSec、 NAT、 SSL VPN、策略路由等，提供靈活的業務和流量轉發控制能力，保證出口的安全性； ? 具有廣域網優化支持能力，加速各種 Web、 FTP、 POP SMTP 等上層應用 . 數據大集中廣域網整合方案 數據大集中必然要求各級 XX 單位 網絡暢通，這就要求有高可靠、帶寬充足的廣域網，滿足信息化數據、視頻會議、語音、應急指揮視頻監控 需求。不但需要保護數據中心中關鍵應用和保密數據；并需要增強數據中心的運營效率，增強業務競爭力，而且具有擴展性 以支持隨時可能出現的新業務流程。 o 企業安全性這一層的安全性解決方案主要集中于提供對應用的受控訪問、驗證用戶身份、用戶的 provisioning 和授權、審查用戶 操作，并通過加密來保護數據。 數據中心多層安全防御 三重防護 數據中心網絡提供了從鏈路層到應用層的多層防御體系，如圖。 ? 統一管理、智能聯動 當前，數據中心系統安全管理中 遇到的問題 包括 ： 1) 對實時安全信息不了解，無法及時發出預警 報告 。架構安全特性涉及服務器、接入交換機、負載均衡器、匯聚交換機、核心交換機等設備，部署點多、覆蓋面大，是構成整個安全數據 中心的基石。 數據中心基礎架構安全相關架構 基于 VLAN 的端口隔離 交換機可以由硬件實現相同 VLAN 中的兩個端口互相隔離。 Intrusion Protection：該特性通過檢測端口接收到的數據幀的源 MAC 地址或 認證的用戶名、密碼，發現非法報文或非法事件，并采取相應的動作，包括暫時斷開端口連接、永久斷開端口連接或是過濾此 MAC 地址的報文，保證了端口的安全性。這種判定的方式有 4 種。 （ 3）、 UPRF： UPRF 會檢測接收到的報文中的源地址是否和其接收報文的接口相匹配。同時，對不同的接入用戶要做到動態的分配不同的權限，使之歸屬于不同的 VPN，訪問授權的資源。 EAD 提供了靈活多樣的組網方案，安全聯動設備可以根據需要靈活部署在各層比如網絡接入 層和匯聚層。 ? 基于角色的網絡授權 在用戶終端通過病毒、補丁等安全信息檢查后， EAD 可基于終端用戶的角色，向安全聯動設備下發事先配置的接入控制策略，按照用戶角色權限規范用戶的網絡使用行為。 較新的一類防火墻設備支持基于狀態的包檢查。 SecPath 防火墻默認提供四個安全區域： trust、 untrust、 DMZ、 local，在提供三個最常用的安全邏輯區域的基礎上還新增加了本地邏輯安全區域，本 地安全區域可以定義到防火墻本身的報文，保證了防火墻本身的安全防護，使得對防火墻本身的安全保護得到加強。 IPS 是通過直接嵌入到網絡流量中實現這一功能的，即通過一個網絡端口接收來自外部系統的流量，經過檢查確認其中不包含異?；顒踊蚩梢蓛热莺?，再通過另外一個端口將它傳送到內部系統中。 H3C IPS 還支持以下檢測機制： 1）基于訪問控制列表（ ACL）的檢測 2）基于統計的檢測 3）基于協議跟蹤的檢測 4）基于應用異常的檢測 5）報文規范檢測（ Normalization） 6） IP 報文重組 7） TCP 流恢復 高精度、高效率的入侵檢測引擎 入侵檢測引擎是 IPS 設備最核心的功能之一，入侵檢測引擎直接關系到 IPS設備的兩個重要功能指標：漏報率和誤報率，也直接關系到 IPS 設備的兩個重要性能指標：吞吐量和時延。 華三公司多年的網絡技術與安全技術積累，造就了資深的攻擊特征庫團隊和安全服務團隊，建有攻防實驗室，緊跟網絡技術與安全技術的發展前沿和網絡攻防的最新動態，定期更新并發布攻擊特征庫升級包，源源不斷地為強大的檢測引擎注入高質量的燃油。 顯然，僅靠不斷增加帶寬 是 不能滿足 上述 需求的 ， 想提高 服務器應用的用戶滿意度 ，就需要在現有網絡結構中專門增加一層，以專門用于提高 服務器應用的傳遞速度。這些審計數據可能來自防火墻、 路由器 、入侵防御系統、主機系統、防病毒系統和桌面安全系統。 H3C“全局安全管理平臺” 由策略管理、事件采集、分析決策、協同響應四個組件構成，與網絡中的安全 設備 、網絡設備、用戶終端等獨立功能部件通過各種信息交互接口形成一個完整的 協同防御體系。 3. 安全事件的關聯分析 網絡中的各種安全部件產生的眾多安全事件，往往使管理員淹沒于信息的海洋中。 . H3C全局安全管理解決方案的突出特點 ? 組件的模塊化架構 安全管理由 策略管理、事件采集、分析決策、協同響應 四個組件組成，各功能部件以模塊化方式組成，架構簡單明晰，易于擴展， XX 單位 系統網絡中可根據實際情況進行組件的選配。但由于歷史原因，不同部門存儲系統大部分為 FCSAN 架構，并且為不同廠商設備，兼容性、互