h3c信息化數據安全資源整合方案(編輯修改稿)

　

【文章內容簡介】 一層的安全性解決方案主要集中于保護技術設施不受物理和邏輯上的攻擊，其他主要集中方面是基礎設施和應用的監控和管理。 ? 應用和數據安全性： o 這一層是指業務應用的安全性，業務應用被內部和外部終端用戶實際訪問，是處理業務事務的資產，并提供電子商務。 o 企業安全性這一層的安全性解決方案主要集中于提供對應用的受控訪問、驗證用戶身份、用戶的 provisioning 和授權、審查用戶 操作，并通過加密來保護數據。 ? 管理安全性 o 這一層是指業務流程和操作的安全性，當管理團隊作出高級策略決定時，管理安全性主要進行基礎設施和應用的安全性的實現和配置。企業策略和標準的成功與否取決于如何在這一層上實現和實施級別，這使組織能夠運行業務，而不會有意或無意的違背企業策略，并防止業務遇到合法的或其他類型的安全問題。 o 這一層的安全性解決方案主要包括一些方案或服務，這些方案或服務幫助組織實施并自動操作安全策略和流程，最終用戶了解規劃并完成企業級安全性的管理和報告。 數據中心需要一個全方位一體化的安全部署 方式。 H3C 數據中心安全解決方案秉承了 H3C 一貫倡導的 “ 智能安全滲透理念 ” ，將安全部署滲透到整個數據中心的設計、部署、運維中，為數據中心搭建起一個立體的、無縫的安全平臺，真正做到了使安全貫穿數據鏈路層到網絡應用層的目標，使安全保護無處不在。 . XX 單位 數據中心整體安全規劃 H3C 數據中心安全解決方案的技術特色可概括為： ? 27 層防御 ? 分區分層部署 ? 統一管理、智能聯動 ? 27層防御： 以數據中心服務器資源為核心向外延伸有三重保護功能。依托具有豐富安全特性的交換機構成數據中心網絡的第一重保護；以 ASIC、 FPGA 和 NP 技術組成的具有高性能精確檢測引擎的 IPS 提供對網絡報文深度檢測，構成對數據中心網絡的第二重保護；第三重保護是憑借高性能硬件防火墻構成的數據中心網絡邊界。 數據中心多層安全防御 三重防護 數據中心網絡提供了從鏈路層到應用層的多層防御體系，如圖。交換機提供的安全特性構成安全數據中心的網絡基礎，提供數據鏈路層的攻擊防御。數據中心網絡邊界安全定位在傳輸層與網絡層的安全上，通過狀態防火墻可以把安全信任網絡和非安全網絡進行隔離，并提供對 DDOS 和多種畸形報文攻擊的防御。 IPS 可以針對應用流量做深度分析與檢測能 力，同時配合以精心研究的攻擊特征知識庫和用戶規則，即可以有效檢測并實時阻斷隱藏在海量網絡流量中的病毒、攻擊與濫用行為，也可以對分布在網絡中的各種流量進行有效管理，從而達到對網絡應用層的保護。 ? 分區規劃，分層部署 在網絡中存在不同價值和易受攻擊程度不同的設備，按照這些設備的情況制定不同的安全策略和信任模型，將網絡劃分為不同區域。 多層思想（ nTier）不僅體現在傳統的網絡三層部署（接入－匯聚－核心）上，更應該關注數據中心服務器區的設計部署上。服務器資源是數據中心的核心，多層架構把應用服務器分解成可管理的、安 全的層次。按照功能分層打破了將所有功能都駐留在單一服務器時帶來的安全隱患，增強了擴展性和高可用性。 ? 統一管理、智能聯動 當前，數據中心系統安全管理中 遇到的問題 包括 ： 1) 對實時安全信息不了解，無法及時發出預警 報告 。 2) 各種安全設備是孤立的，無法相互關聯，信息共享。 3) 安全事件發生以后，無法及時診斷網絡故障的原因，恢復困難。 4) 網絡安全專家匱乏，沒有足夠的人員去監控、分析、解決問題。 在此背景下， H3C 提出用 SecCenter（安全管理中心）和 iMC（智能管理中心）組合，來滿足數據中心系統全局安全管理的需求， 將安全體系 中各層次的安全產品、網絡設備、用戶終端等納入一個緊密的 “全局安全 管理平臺 ” 中，通過安全策略的集中部署、安全事件的深度感知與關聯分析以及安全部件的協同響應，在現有安全設施的基礎上構建一個 智能 安全防御體系，大幅度提高 數據中心系統 的整體安全防御能力。 H3C“全局安全管理平臺” 由策略管理、事件采集、分析決策、協同響應四個組件構成，與網絡中的安全 設備 、網絡設備、用戶終端等獨立功能部件通過各種信息交互接口形成一個完整的 協同防御體系（見下圖）。 H3C 基于 SecCenter 和 iMC 的智能防御體系 H3C 全局安全管理平臺 旨在集中部署網絡安全 防護 策略，簡化對安全部件的管理，確保網絡安全策略的統一；廣泛采集與分析來自于計算機、網絡、存儲、安全等設施的告警事件，通過關聯來自于不同地點、不同層次、不同類型的安全事件，發現真正的安全風險，提高安全報警的信噪比；準確的、實時的評估當前的網絡安全態勢和風險，并根據預先制定的策略做出快速響應。 . 基礎網絡安全設計 網絡基礎 架構 的安全特性 是數據中心中各部件產品基本安全特性的通稱。架構安全特性涉及服務器、接入交換機、負載均衡器、匯聚交換機、核心交換機等設備，部署點多、覆蓋面大，是構成整個安全數據 中心的基石。 . 交換機安全部署 數據中心網絡架構安全技術 網絡基礎 架構 的安全特性 是數據中心中各部件產品基本安全特性的通稱。架構安全特性涉及服務器、接入交換機、負載均衡器、匯聚交換機、核心交換機等設備，部署點多、覆蓋面大，是構成整個安全數據中心的基石。 H3C憑借基于 COMWARE的具有豐富安全特性全系列智能交換機為數據中心打造堅實的基礎構架。 COMWARE是由 H3C推出的支持多種網絡設備的網絡操作系統，它以強大的 IP 轉發引擎為核心，通過完善的體系結構設計，把實時操作系統和網絡管理、網絡應用、網絡安全等技術完美 的結合在一起。作為一個不斷發展、可持續升級的平臺，它具有開放的接口，可靈活支持大量的網絡協議和安全特性。COMWARE 可應用在分布式或集中式的網絡設備構架之上，也就是說，不僅可以運行在高端的交換機 /路由器上，而且也可以運行在中低端的交換機 /路由器上，不向其它廠商，不同的軟件運行在不同的設備上。 COMWARE 的這一特性可使網絡中各節點設備得到同一的安全特性，徹底避免了由于部件產品安全特性不一致、不統一造成的安全“短木板效應”。 數據中心基礎架構安全相關架構 基于 VLAN 的端口隔離 交換機可以由硬件實現相同 VLAN 中的兩個端口互相隔離。隔離后這兩個端口在本設備內不能實現二、三層互通。當相同 VLAN 中的服務器之間完全沒有互訪要求時，可以設置各自連接的端口為隔離端口，如圖。這樣可以更好的保證相同安全區域內的服務器之間的安全： 圖 交換機 Isolated Vlan 技術 STP Root/BPDU Guard 基于 Root/BPDU Guard 方式的二層連接保護保證 STP/RSTP 穩定 ,防止攻擊 ,保障可靠的二層連接。如圖。 圖 交換機 Root Guard/BPDU Guard 技術 端口安全 端口安全（ Port Security）的主要功能就是通過定義各種安全模式，讓設備學習到合法的源 MAC 地址，以達到相應的網絡管理效果。對于不能通過安全模式學習到源 MAC 地址的報文或 認證失敗的設備，當發現非法報文后，系統將觸發相應特性，并按照預先指定的方式自動進行處理，減少了用戶的維護工作量，極大地提高了系統的安全性和可管理性。 端口安全的特性包括： NTK： NTK（ Need To Know）特性通過檢測從端口發出的數據幀的目的 MAC地址，保證數據幀只能被發送到已經通過認證的設備上，從而防止非法設備竊聽網絡數據。 Intrusion Protection：該特性通過檢測端口接收到的數據幀的源 MAC 地址或 認證的用戶名、密碼，發現非法報文或非法事件，并采取相應的動作，包括暫時斷開端口連接、永久斷開端口連接或是過濾此 MAC 地址的報文，保證了端口的安全性。 Device Tracking：該特性是指當端口有特定的數據包（由非法入侵，用戶不正常上下線等原因引起）傳送時，設備將會發送 Trap 信息，便于網絡管理員對這些特殊的行為進行監控。 防 IP 偽裝 病毒和非法用戶很多情況會偽裝 IP 來實現攻擊。偽裝 IP 有三個用處： ? 本身就是攻擊的直接功能體。比如 smurf 攻擊。 ? 麻痹網絡中的安全設施。比如繞過利用源 IP 做的接入控制。 ? 隱藏攻擊源 設備防止 IP偽裝的關鍵在于如何判定設備接收到的報文的源 IP是經過偽裝的。這種判定的方式有 4 種。分別在內網和 網絡 的邊界使用。 （ 1）、 利用 IP 和 MAC 的綁定關系網關防御 ： 利用 DHCP relay 特性，網關可以形成本網段下主機的 IP、 MAC 映射表。當網關收到一個 ARP 報文時，會先在映射表中查找是否匹配現有的映射關系。如果找到則正常學習，否則不學習該 ARP。這樣偽裝 IP 的設備沒有辦法進行正常的跨網 段通信。 （ 2）、 接入設備防御 ： 利用 DHCP SNOOPING 特性，接入設備通過監控其端口接收到的 DHCP request、 ACK、 release 報文，也可以形成一張端口下 IP、 MAC的映射表。設備可以根據 IP、 MAC、端口的對應關系，下發 ACL 規則限制從該端口通過的報文源 IP 必須為其從 DHCP 服務器獲取的 IP 地址。 （ 3）、 UPRF： UPRF 會檢測接收到的報文中的源地址是否和其接收報文的接口相匹配。其實現機制如下：設備接收到報文后， UPRF 會比較該報文的源地址在路由表中對應的出接口是否和接收該報文的接口 一致。如果兩者不一致，則將報文丟棄。 （ 4）、 路由協議認證 ： 攻擊者也可以向網絡中的設備發送錯誤的路由更新報文，使路由表中出現錯誤的路由，從而引導用戶的流量流向攻擊者的設備。為了防止這種攻擊最有效的方法就是使用局域網常用路由協議時，必須啟用路由協議的認證。 另外，在不應該出現路由信息的端口過濾掉所有路由報文也是解決方法之一。但這種方法會消耗掉許多 ACL 資源。 . 內網桌面終端 安全 管理系統 部署 在 XX 單位 的局域網接入上，需要采用嚴格的用戶認證和授權控制策略，避免網絡的非法接入和越級訪問，保證核心數據和業務的安全性和 高度機密。同時，對不同的接入用戶要做到動態的分配不同的權限，使之歸屬于不同的 VPN，訪問授權的資源。此外，需要對接入終端的安全性進行檢查，避免病毒的傳播對網絡造成的不可預知的破壞。這就需要一套完整的 端點準入防御（ EAD， Endpoint Admission Defense）解決方案 。 EAD 從控制用戶終端安全接入網絡的角度入手，整合網絡接入控制與終端安全產品，通過安全客戶端、安全策略服務器、網絡設備以及第三方軟件的聯動，對接入網絡的用戶終端強制實施企業安全策略，嚴格控制終端用戶的網絡使用行為，有效地加強了用 戶終端的主動防御能力，為企業網絡管理人員提供了有效、易用的管理工具和手段。 下面從桌面終端認證需求、組網部署、功能描述 3 方面進行 EAD 系統簡單介紹： （ 1）、桌面終端用戶 認證需求 對于要接入安全網絡的用戶， EAD 解決方案首先要對其進行身份認證，通過身份認證的用戶進行終端的安全認證，根據網絡管理員定制的安全策略進行包括病毒庫更新情況、系統補丁安裝情況、軟件的黑白名單等內容的安全檢查，根據檢查的結果， EAD 對用戶網絡準入進行授權和控制。通過安全認證后，用戶可以正常使用網絡，與此同時， EAD 可以對用戶終端運行情況和網絡使用情況進行審計和監控。 EAD 解決方案對用戶網絡準入的整體認證過程如下圖所示： （ 2）、 EAD 系統 組網 部署 如下圖所示， EAD 組網模型圖中包括安全客戶端、安全聯動設備、 H3C iMC CAMS 安全策略服務器和第三方服務器 ： ? 安全客戶端 是指安裝了 H3C iNode 智能 客戶端的用戶接入終端，負責身份認證的發起和安全策略的檢查。 ? 安全聯動設備 是指用戶網絡中的交換機、路由器、 VPN 網關等設備。 EAD 提供了靈活多樣的組網方案，安全聯動設備可以根據需要靈活部署在各層比如網絡接入 層和匯聚層。 ? H3C iMC CAMS安全策略服務器 它要求和安全聯動設備路由可達。負責給客戶端下發安全策略、接收客戶端安全策略檢查結果并進行審核，向安全聯動設備發送網絡訪問的授權指令。 ? 第三方服務器 是指補丁服務器、病毒服務器和安全代理服務器等，被部署在隔離區中。當用戶通過身份認證但安全認證失敗時，將被隔離到隔離區，此時用戶能且僅能訪問隔離區中的服務器，通過第三方服務器進行自身安全修復，直到滿足安全策略要求。 （ 3）、 H3C EAD 功能描述 ? 嚴格的身份認證 除基于用戶名和密碼的身份認證外， EAD還支持身 份與接入終端的 MAC地址、IP 地址、所在 VLAN、接入設備 IP、接入設備端口號等信息進行綁定，支持智能卡、數字證書認證，增強身份認證的安全性。 ? 完備的安全狀態評估 根據管理員配置的安全策略，用戶可以進行的安全認證檢查包括終端病毒庫版本檢查、終端補丁檢查、終端安裝的應用軟件檢查、是否有代理、撥號配置等；為了更好的滿足客戶的 需 求， EAD 客戶端支持和微軟 SMS、 LANDesk、 BigFix