單位網絡安全防護方案書(編輯修改稿)

　

【文章內容簡介】 防火墻集成所有安全軟件（如口令、加密、認證、審計等），比分散管理更經濟。（C）防火墻強化安全認證和監控審計。因為所有進出網絡的通信流都通過防火墻，使防火墻也能提供日志記錄、統計數據、報警處理、審計跟蹤等服務。（D）防火墻能阻止內部信息泄漏。防火墻實際意義上也是一個隔離器，即能防外，又能防止內部業務網絡中未經授權主機對服務器區域的訪問。2 防火墻的安裝部署防火墻部署的目的是隔離不同安全等級的網絡區域，所以我們把XX單位辦公網絡，XX單位財務網絡分別看作一個網絡區域，同時XX單位辦公網絡與財務網絡之外的所有節點看作另一個網絡區域，防火墻部署在兩個網絡區域之間，即部署在財務網絡和辦公網絡的接口處。XX單位辦公網絡與互聯網絡接口處。3 防火墻的工作模式和接入方式防火墻提供多種工作模式，包括透明接入，路由接入和混合接入。l 連接方式：將百兆天融信防火墻的接口1連接財務網絡區域交換機，接口2連接XX單位辦公網絡，接口3連接財務網絡服務器區域交換機，千兆天融信防火墻接口1連接XX單位辦公網絡，接口2連接互聯網區域，這樣我們使用防火墻實現了各個安全區域的隔離作用。l 工作模式：考慮到對XX單位辦公網絡和財務網絡的影響盡可能小，建議將百兆防火墻配置成透明工作模式，即防火墻本身不參與路由轉發和運算，只提供訪問控制等防護功能，這樣對網絡中原有IP地址的配置影響小，互聯網與XX單位辦公網絡需要地址轉換，將配置成的路由工作模式。4 防火墻的配置和功能1) 通過防火墻隔離財務網絡的各個區域通過防火墻的連接，原本屬于一個網絡（XX單位辦公網絡）的節點，被劃分為不同的網絡區域（財務處辦公區域、財務處服務器區域、辦公區域、互聯網區域等），通過對訪問請求的審核，我們隔離不同網絡區域間的網絡連接，可以達到保護脆弱的服務、控制對財務服務器的訪問、記錄和統計網絡利用數據以及非法使用數據和策略執行等功能。這樣在工作主機訪問財務服務器時，全部通信都受到防火墻的監控，通過防護墻的策略可以設置成相應的保護級別，以保證系統的安全。2) 通過防火墻保護財務服務器通過在防火墻上設置詳細的訪問控制規則，各個區域，各個IP節點間的通信，必須要符合防火墻的訪問控制規則，例如當工作主機向服務器請求訪問時，也只能訪問服務器的相應服務端口，在保護了服務器的同時，也清除了網絡中傳輸的不必要的數據。保證了整個業務網絡的純凈，提高了網絡的品質。通過防火墻的阻斷功能，使得內部業務網絡各個區域不受到惡意的攻擊，攻擊者無法通過防火墻進行掃描、攻擊等非法動作。防火墻可防止攻擊者對重要服務器的TCP/UDP的端口非法掃描，消除系統安全的隱患。可防止攻擊者通過外部網對重要服務器的源路由攻擊、IP碎片包攻擊、DNS / RIP / ICMP攻擊、SYN攻擊、拒絕服務攻擊等多種攻擊。測的功能.3) 通過防火墻限制對服務器的訪問權限 通過在防火墻上進行嚴格的訪問控制，通過對不同的用戶進行分組，對于不同的用戶組，給予不同的訪問權限進行訪問服務器，減小用戶對于服務器可以進行操作的權限，極大地降低了服務器面臨的風險。4) 通過防火墻限制財務網用戶向外的訪問 通常大多數用戶認為從財務網絡向外部的訪問不會造成風險和威脅，這種想法是錯誤的，例如反彈型木馬就是借助這種麻痹大意的想法進行侵入的。缺乏安全控制的濫用互聯網絡，可能導致：組織內部重要資料和秘密資料通過 BBS、Email、 和 MSN 等途徑向外散發，或被別有用心的人截獲而加以利用，或是進行不當互聯網訪問而引起組織內部計算機感染木馬病毒，加大了組織重要及秘密信息的曝光率，給組織信息安全帶來隱患：對于政府、事業單位以及其他公共服務單位，如果互聯網管理的不夠完善，將會帶來極大信息安全隱患，例如經濟等類型的重要的信息被通過非法渠道泄漏，此舉必然會有損組織的權威及名譽，并導致組織的公信力下降。對于公司企業等盈利性機構而言，企業的機密信息等同于企業的生命。而在互聯網極度開放的今天，任何的疏忽都有可能導致企業機密信息外泄；而一旦發生企業機密信息外泄的情況，企業因此而投入了的大量人力物力將會付諸東流，此類案例在互聯網廣泛使用的今天是屢見不鮮的。5) 通過防火墻調整網絡使用效率通過防火墻具有帶寬控制的特性，可以依據應用來限制流量，來調整鏈路的帶寬利用如：在網絡中如果有工作主機向服務器區域FTP的訪問、Web訪問等等，可以在防火墻中直接加載控制策略，使FTP訪問、Web訪問按照預定的帶寬進行數據交換。實現每個用戶、每個服務的帶寬控制，調整鏈路帶寬利用的效率。6) 通過防火前完善日志通過防火墻可以采集所有流經防火墻的數據，記錄到防火墻的日志服務器中，通過日志服務器的日志分析和統計功能，在對收集的事件進行詳盡分析及統計的基礎上輸出豐富的報表，實現分析結果的可視化；系統提供多達300多種的報表模板，不僅支持對網絡事件按條件統計，更提供了對流量等變化趨勢的形象表現；對于分析結果系統提供了表格及多種圖形表現形式（柱狀圖、曲線圖），使管理員一目了然。同時采用多種告警方式，通知網絡管理人員。7) 實現了重要財務工作人員直接訪問財務處網絡 通過天融信防火墻的訪問控制能力，我們可以控制各個訪問者訪問的權限，同時我們采用用戶名，口令，證書等驗證方式，徹底實現了對于訪問者身份驗證的目的。五．入侵防御子系統通常通過防火墻進行網絡安全防范。從理論上分，防火墻可以說是第一層安全防范手段，通常安裝在網絡入口來保護來自外部的攻擊。其主要防范原理為基于TCP/IP的IP地址和及端口進行過濾、限制。由于防火墻本身為穿透型（所有數據流需要經過防火墻才能到達目的地），因此為了提高其過濾、轉發效率，通常不會對每個數據報文或者數據流進行過多的、細致地分析、檢查。但是恰恰很多符合防火墻的TCP/IP過濾安全策略的數據流或者報文中參雜著惡意的攻擊企圖。雖然目前一些防火墻增強了對于應用層內容分析的功能，但是考慮其因分析、處理應用層內容而導致的網絡延遲的增加，因此從其實際應用角度來說，存在一些局限性。但是網絡入侵防御系統由于其以串接模式部署到現有網絡中，執行各種復雜的應用層分析工作。因此可以成為防火墻有效的擴展。同時自帶阻斷功能，可以實現整體的安全防范體系。1入侵防御產品概述天融信公司新版本的“網絡衛士入侵防御系統 TopIDP”是基于新一代并行處理技術，它通過設置檢測與阻斷策略對流經TopIDP的網絡流量進行分析過濾，并對異常及可疑流量進行積極阻斷，同時向管理員通報攻擊信息，從而提供對網絡系統內部IT資源的安全保護。TopIDP能夠阻斷各種非法攻擊行為，比如利用薄弱點進行的直接攻擊和增加網絡流量負荷造成網絡環境惡化的DoS攻擊等，安全地保護內部IT資源。網絡衛士入侵防御系統部署于網絡中的關鍵點，實時監控各種數據報文及網絡行為，提供及時的報警及響應機制。其動態的安全響應體系與防火墻、路由器等靜態的安全體系形成強大的協防體系，大大增強了用戶的整體安全防護強度。2入侵防御系統產品特點強大的高性能并行處理架構TopIDP應用了先進的多核處理器硬件平臺，將并行處理技術成功融入天融信自主知識產權的安全操作系統TOS（Topsec Operating System）系統，集成多項發明專利，形成了先進的多核架構技術體系。在此基礎上的TopIDP產品具有高速的數據并行檢測處理和轉發能力，能夠勝任高速網絡的安全防護要求。 精確的基于目標系統的流重組檢測引擎傳統的基于單個數據包檢測的入侵防御產品無法有效抵御TCP流分段重疊的攻擊，任何一個攻擊行為通過簡單的TCP流分段組合即可輕松穿透這種引擎，在受保護的目標服務器主機上形成真正的攻擊。TopIDP產品采用了先進的基于目標系統的流重組檢測引擎，首先對到達的TCP數據包按照其目標服務器主機的操作系統類型進行流重組，然后對重組后的完整數據進行攻擊檢測，從而從根源上徹底阻斷了TCP流分段重疊攻擊行為。準確與完善的檢測能力TopIDP產品的智能檢測引擎可分析網絡攻擊的組合行為特征來準確識別各種攻擊，準確性更高；可以智能地識別出多種攻擊隱藏手段及變種攻擊，帶來更高安全性；通過智能化檢測引擎，能夠識別出多種高危網絡行為，并可以將此類行為以告警方式通知管理員，達到防患于未然的目的，帶來更高網絡安全性；同時新版TopIDP具有強大的木馬檢測與識別能力；完善的應用攻擊檢測與防護能力；豐富的網絡應用控制能力和及時的應急響應能力。豐富靈活的自定義規則能力TopIDP產品內置了豐富靈活的自定義規則能力，能夠根據協議、源端口、目的端口及協議內容自行定義攻擊行為，其中協議內容支持強大靈活的PCRE（兼容perl的正則表達式）語法