信息安全十二：华三全网安全解决方案.doc

全网安全解决方案技术建议书文档密级：华三全网安全解决方案技术建议书杭州华三通信技术有限公司目录1.网络安全现状分析31.1.网络安全问题的产生31.2.网络安全成为信息时代人类共同面临的挑战31.3.我国网络安全问题日益突出42.H3C安全建设理念42.1.智能安全渗透网络简介52.2.智能安全渗透网络局部安全52.3.智能安全渗透网络全局安全62.4.智能安全渗透网络智能安全63.XX系统安全整体规划73.1.系统概况73.2.系统的安全问题83.2.1.蠕虫93.2.2.端口扫描93.2.3.带宽滥用93.2.4.拒绝服务攻击和分布式拒绝服务攻击93.2.5.零时差攻击93.2.6.间谍软件93.3.解决方案设计原则104.XX系统安全解决方案124.1.远程接入安全解决方案124.2.边界安全解决方案164.3.内网安全解决方案184.4.数据中心安全解决方案214.5.全局安全管理解决方案255.总结281. 网络安全现状分析网络安全问题已成为信息时代人类共同面临的挑战，国内的网络安全问题也日益突出。具体表现为：计算机系统受病毒感染和破坏的情况相当严重；电脑黑客活动已形成重要威胁；信息基础设施面临网络安全的挑战；信息系统在预测、反应、防范和恢复能力方面存在许多薄弱环节。1.1. 网络安全问题的产生可以从不同角度对网络安全作出不同的解释。一般意义上，网络安全是指信息安全和控制安全两部分。国际标准化组织把信息安全定义为“信息的完整性、可用性、保密性和可靠性”；控制安全则指身份认证、不可否认性、授权和访问控制。互联网与生俱有的开放性、交互性和分散性特征使人类所憧憬的信息共享、开放、灵活和快速等需求得到满足。网络环境为信息共享、信息交流、信息服务创造了理想空间，网络技术的迅速发展和广泛应用，为人类社会的进步提供了巨大推动力。然而，正是由于互联网的上述特性，产生了许多安全问题：a) 信息泄漏、信息污染、信息不易受控。例如，资源未授权侵用、未授权信息流出现、系统拒绝信息流和系统否认等，这些都是信息安全的技术难点。b) 在网络环境中，一些组织或个人出于某种特殊目的，进行信息泄密、信息破坏、信息侵权和意识形态的信息渗透，甚至通过网络进行政治颠覆等活动，使国家利益、社会公共利益和各类主体的合法权益受到威胁。c) 网络运用的趋势是全社会广泛参与，随之而来的是控制权分散的管理问题。由于人们利益、目标、价值的分歧，使信息资源的保护和管理出现脱节和真空，从而使信息安全问题变得广泛而复杂。d) 随着社会重要基础设施的高度信息化，社会的“命脉”和核心控制系统有可能面临恶意攻击而导致损坏和瘫痪，包括国防通信设施、动力控制网、金融系统和政府网站等。1.2. 网络安全成为信息时代人类共同面临的挑战美国前总统克林顿在签发保护信息系统国家计划的总统咨文中陈述道：“在不到一代人的时间里，信息革命以及电脑进入了社会的每一领域，这一现象改变了国家的经济运行和安全运作乃至人们的日常生活方式，然而，这种美好的新时代也带有它自身的风险。所有电脑驱动的系统都很容易受到侵犯和破坏。对重要的经济部门或政府机构的计算机进行任何有计划的攻击都可能产生灾难性的后果，这种危险是客观存在的。过去敌对力量和恐怖主义分子毫无例外地使用炸弹和子弹，现在他们可以把手提电脑变成有效武器，造成非常巨大的危害。如果人们想要继续享受信息时代的种种好处，继续使国家安全和经济繁荣得到保障，就必须保护计算机控制系统，使它们免受攻击。”在各领域的计算机犯罪和网络侵权方面，无论是数量、手段，还是性质、规模，已经到了令人咋舌的地步。据有关方面统计，目前美国每年由于网络安全问题而遭受的经济损失超过170亿美元，德国、英国也均在数十亿美元以上，法国为100亿法郎，日本、新加坡问题也很严重。在国际刑法界列举的现代社会新型犯罪排行榜上，计算机犯罪已名列榜首。2003年，CSI/FBI调查所接触的524个组织中，有56%遇到电脑安全事件，其中38%遇到15起、16%以上遇到11起以上。因与互联网连接而成为频繁攻击点的组织连续3年不断增加；遭受拒绝服务攻击(DoS)则从2000年的27%上升到2003年的42%。调查显示，521个接受调查的组织中96%有网站，其中30%提供电子商务服务，这些网站在2003年1年中有20%发现未经许可入侵或误用网站现象。更令人不安的是，有33%的组织说他们不知道自己的网站是否受到损害。据统计，全球平均每20s就发生1次网上入侵事件，黑客一旦找到系统的薄弱环节，所有用户均会遭殃。1.3. 我国网络安全问题日益突出目前，我国网络安全问题日益突出的主要标志是：a) 计算机系统遭受病毒感染和破坏的情况相当严重。据国家计算机病毒应急处理中心副主任张健介绍，从国家计算机病毒应急处理中心日常监测结果看来，计算机病毒呈现出异常活跃的态势。据2001年调查，我国约73%的计算机用户曾感染病毒，2003年上半年升至83%。其中，感染3次以上的用户高达59%，而且病毒的破坏性较大，被病毒破坏全部数据的占14%，破坏部分数据的占57%。b) 电脑黑客活动已形成重要威胁。网络信息系统具有致命的脆弱性、易受攻击性和开放性，从国内情况来看，目前我国95%与互联网相联的网络管理中心都遭受过境内外黑客的攻击或侵入，其中银行、金融和证券机构是黑客攻击的重点。c) 信息基础设施面临网络安全的挑战。面对信息安全的严峻形势，我国的网络安全系统在预测、反应、防范和恢复能力方面存在许多薄弱环节。据英国简氏战略报告和其它网络组织对各国信息防护能力的评估，我国被列入防护能力最低的国家之一，不仅大大低于美国、俄罗斯和以色列等信息安全强国，而且排在印度、韩国之后。近年来，国内与网络有关的各类违法行为以每年30%的速度递增。据某市信息安全管理部门统计，2003年第1季度内，该市共遭受近37万次黑客攻击、2.1万次以上病毒入侵和57次信息系统瘫痪。该市某公司的镜像网站在10月份1个月内，就遭到从外部100多个IP地址发起的恶意攻击。2. H3C安全建设理念理念是人们对于不同事物从自身角度出发确定下来的正确看法，并用于指导人们的行为实践。正确的安全建设理念可以指导用户解决所面临的最主要的安全问题，将有限的资源投入到最有效的地方。H3C公司提出的智能安全渗透网络理念（intelligent Safe Pervasive Network，简称iSPN）体现了H3C在网络信息安全方面专业和独到的见解，使其成为客户最可信赖的安全建设指导思想。2.1. 智能安全渗透网络简介互联网的广泛应用，大大改变了企业业务流程的开展方式。但是，随着信息化建设的不断深入,网络安全问题也成为影响企业信息化建设的瓶颈。遭受过由于网络安全问题带来的损失的企业，极容易失去对网络的信任，从而错失很多商业机会，这时他们需要的是一个安全的保障，在享用互联网带来无限商机的同时保证业务的持续可用及信息安全。智能安全渗透网络（iSPN）提出了一个整体安全架构，从局部安全、全局安全、智能安全三个层面，为用户提供一个多层次、全方位的立体防护体系，使网络成为智能化的安全实体。局部安全针对关键问题点进行安全部署，抵御最基础的安全威胁；全局安全利用安全策略完成产品间的分工协作，达到协同防御的目的；智能安全在统一的安全管理平台基础上，借助于开放融合的大安全模型，将网络安全变为从感知到响应的智能实体。2.2. 智能安全渗透网络局部安全网络安全最基础的防护方式是关键点安全，即对出现问题的薄弱环节或有可能出现问题的节点部署安全产品，进行27层的威胁防范，当前企业绝大部分采用的都是这种单点威胁防御方式。这种局部安全方式简单有效并有极强的针对性，适合网络建设已经比较完善而安全因素考虑不足的情况。在这种方式下，H3C强调通过“集成”来提供最佳的防御效果，即通过在网络产品上集成安全技术、在安全产品上集成网络技术以及网络与安全的插卡集成等方式，实现了安全技术和网络技术在无缝融合上做出的第一步最佳实践。2.3. 智能安全渗透网络全局安全由于安全产品种类的不断丰富，使得局部安全可以应对企业的大部分基础网络安全问题。然而此时用户意识到，局部安全的防护手段相对比较孤立，只有将产品的相互协作作为安全规划的必备因素，形成整网的安全保护才能抵御日趋严重的混合型安全威胁。为此，H3C推出了全局安全理念，借助于IToIP的网络优势，通过技术和产品的协作，将网络中的多个网络设备、安全设备和各组件联动起来，并通过多层次的安全策略和流程控制，向用户提供端到端的安全解决方案。以H3C的端点准入防御及安全事件分析机制为例，它将计算机网络、网络上的通用操作系统、主机应用系统等企业资源都纳入到安全保护的范畴内。在统一的安全策略下，利用各部分组件的协同联动，保证网络各端点的安全性与可控性；同时，在统一的平台上进行安全事件的收集、整理、分析，可以做到整网安全风险的提前预防与及时控制。2.4. 智能安全渗透网络智能安全随着网络建设的日趋完善，面向业务的安全已经成为新的发展方向。只有理解企业业务，将企业的业务需求及流程建设充分融合到网络安全建设中来，从信息的计算、通信及存储等信息安全状态出发，以面向应用的统一安全平台为基础，通过安全事件的实时感知、安全策略的动态部署、网络安全设备的自动响应，将智能的安全融入企业业务流程中，形成开放融合、相互渗透的安全实体，才能实现真正的网络安全智能化。帮助企业将业务信息的所有状态都控制在安全管理的范围内，这样的需求正是智能安全产生的原动力。目前，政府制定了网络安全相关的法律法规，促使各行业必须遵循一定的安全标准，以帮助提高企业的攻击防范能力。为了帮助用户构建等级安全体系，实现按需防御需要，H3C数十人的专业安全服务团队，借助严格完善的网络安全评估规范，对企业IT环境现状进行安全评估，并对企业网络结构及业务流程进行统一的安全咨询和规划，为用户度身定制一整套闭环的安全建设方案，并通过培训提升企业安全管理人员的素质，保证安全性的延续。有了量身定制的建设方案与安全策略，如何将这样的方案落到实处是下一步的难题，网络威胁千变万化、多种多样，业内还没有任何一个安全厂家可以解决所有的安全问题。因此，为保证企业网络安全建设能符合未来发展趋势，需要建立一个由厂商、代理商和客户组成的大安全联盟，允许各个组织和个人都可以通过标准的接口将安全快速嵌入网络，实现弹性扩展与智能融合。H3C在智能安全中采用开放应用架构（OAA, Open Application Architecture）为用户提供开放的硬件平台、标准的接口，允许第三方技术的无缝融合，从而将网络安全的边界打通，将业界的先进技术配合适当的安全策略，最终完成网络安全建设的蓝海战略。完善的安全管理体制是加强信息系统安全防范的组织保证。iSPN全局安全管理平台可以对全网的安全信息做到统一管理、统一下发安全策略以及统一分析安全数据，保证企业信息系统的安全运行。iSPN全局安全管理平台以开放的安全管理中心和智能管理中心为框架，将安全体系中各层次的安全产品、网络设备、用户终端、网络服务等纳入一个紧密的统一管理平台中，通过安全策略的集中部署、安全事件的深度感知与关联分析以及安全部件的协同响应，在现有安全设施的基础上构建一个智能安全防御体系，大幅度提高企业网络的整体安全防御能力。H3C全局安全管理平台由策略管理、事件采集、分析决策、协同响应四个组件构成，与网络中的安全产品、网络设备、网络服务、用户终端等独立功能部件通过各种信息交互接口形成一个完整的协同防御体系。高效的安全解决方案不仅仅在于当安全事件发生时，我们能够迅速察觉、准确定位，更重要的是我们能够及时制定合理的、一致的、完备的安全策略，并最大限度的利用现有网络安全资源，通过智能分析和协同响应及时应对各种真正的网络攻击。在局部安全、全局安全的基础上，H3C iSPN为实现这一目标而构建了专业安全服务、开放应用架构和可持续演进的全局安全管理平台，通过对防护、检测和响应等不同生命周期的各个安全环节进行基于策略的管理，将各种异构的安全产品、网络设备、用户终端和管理员有机的连接起来，构成了一个智能的、联动的闭环响应体系，可在保护现有网络基础设施投资的基础上有效应对新的安全威胁、大幅提升对企业基础业务的安全保障。2007年，H3C将以全新的iSPN理念配合先进的产品技术与日趋完善的面向应用解决方案，为企业打造一个领先的、全面的、可信赖的IP安全平台。3. XX系统安全整体规划3.1. 系统概况（举例）电力调度数据网络是电力生产实时信息传输的网络，网络传输的主要信息是电力调度实时数据、生产管理数据、通信监测数据等，是电力指挥安全生产和调度自动化的重要基础，在协调电力系统发、送、变、配、用电等组成部分的联合运转及保证电网安全、经济、稳定、可靠的运行方面发挥关键的作用。电力调度数据网有力的保障了电力生产、电力调度、水库调度、燃料调度、继电保护、安全自动装置、电网调度自动化等通信需要，在电力生产及管理中发挥着不可替代的作用。目前，全国已形成五级调度管理系统。全国共有国家调度机构1个，网级调度机构6个，省级调度机构30个，地区级调度机构310个，县级调度机构2000多个。电力调度数据网主要有国家电力调度数据一级网，大区二级网， 省级三级网，地市四级网和县级五级网，覆盖各级调度中心和直调发电厂、变电站。目前一级网基本建成，二、三级网工程正在实施，少数省市已经开始建设四级网。全国电力调度系统“十五”发展计划纲要指出：“建立电力调度专用数据网络，保证实时控制系统的安全性和可靠性，完善国家一级网，建成所有大区二级网，90的省建成三级网，逐步覆盖各级调度中心和直调发电厂、变电站；实现与电力信息网络（SPInet）及外部因特网的有效安全隔离。”全国电力调度系统发展的指导思想是：“安全第一、预防为主”，确保电网安全。电网调度最根本的职责在于保证电网的安全稳定运行，随着西电东送、南北互联和全国联网的发展，跨大区电网的互联和电力市场的建立，大电网的安全分析及运行控制都更大程度的依赖于电力调度数据网。为提高电网稳定水平，保证不发生稳定破坏事故和系统瓦解事故，避免大面积停电事故的发生，作为电力调度系统的承载网，对电力调度数据网的首要要求就是可靠稳定、安全的运行，保证调度自动化系统对电网的监控准确、不间断进行。南方电力调度数据网是用于电力生产调度的专用信息网络，充分整合南方电网各种业务数据和硬件资料，为电力调度生产提供高效率服务。目前，南方电力调度数据网由上至下分为3层：核心层包括：南方局、南方备调、广东省调等7个节点；汇聚层包括：罗洞变电站、江门变电站、茂名变电站等8个节点；接入层包括：天生桥I、II级电站、广州换流站等17个节点。网络拓扑图如下所示：随着电力调度技术的不断进步，南方电力调度数据网承载的业务也在不断发展。其中，EMS/SCADA系统仍然是最基础、最关键的业务，此外，调度生产管理系统，水调自动化系统，电力市场技术支持系统等业务也都开始由电力调度数据网来承载。业务的不断发展对电力调度数据网的安全性提出了更高的要求。3.2. 系统的安全问题XX系统的发展使其网络上的应用增多，应用增多带来了便利和高效，但这时如果出现网络安全问题，造成系统崩溃、应用瘫痪，损失将十分巨大，甚至无法弥补。XX系统潜在的安全问题，主要有以下类型：3.2.1. 蠕虫蠕虫的定义是：通过计算机网络进行自我复制的恶意程序，泛滥时可以导致网络阻塞和瘫痪。从本质上讲，蠕虫和病毒的最大的区别在于蠕虫是通过网络进行主动传播的，而病毒需要人的手工干预（如各种外部存储介质的读写）。但是时至今日，蠕虫往往和病毒、木马和DDoS等各种威胁结合起来，形成混合型蠕虫。3.2.2. 端口扫描这种信息收集型攻击可能会是某种攻击的前奏，虽然不会对目标本身造成危害，但由于会被用来为进一步入侵提供有用信息，这种探测应该被阻止，可通过设置防火墙对此类探测进行过滤。3.2.3. 带宽滥用带宽滥用是指对于企业网络来说，非业务数据流（如P2P文件传输与即时通讯等 ）消耗了大量带宽，轻则影响企业业务无法正常运作，重则致使企业IT系统瘫痪。所谓P2P，全称叫做“Peer-to-Peer”，即对等互联网络技术，也叫点对点网络技术，它让用户可以直接连接到其它用户的计算机，进行文件共享与交换。3.2.4. 拒绝服务攻击和分布式拒绝服务攻击拒绝服务攻击（DoS）和分布式拒绝服务攻击（DDoS）可以被分为两类：一类是利用网络协议的固有缺陷或实现上的弱点来进行攻击，与漏洞攻击相似。另一类利用看似合理的海量服务请求来耗尽网络和系统的资源，从而使合法用户无法得到服务的响应。早期的DoS攻击由单机发起，在攻击目标的CPU速度不高、内存有限、网络带宽窄的情况下，效果是明显的。随着网络和系统性能的大幅提高，CPU的主频已达数G，服务器的内存通常在2G以上，此外网络的吞吐能力已达万兆，单机发起的DoS攻击好比孤狼斗猛虎，没有什么威胁。狼的习性是群居，一只固然势单力薄，但如果群起而攻之，恐怕猛虎也难抵挡，这就是分布式拒绝服务攻击的原理。用一台攻击机来攻击不再起作用的话，攻击者使用10台攻击机、100台共同发起攻击呢？DDoS就是利用大量的傀儡机来发起攻击，积少成多超过网络和系统的能力的极限，最终击溃高性能的网络和系统。3.2.5. 零时差攻击零时差攻击（Zero-day Attack）是指从系统漏洞、协议弱点被发现到黑客制造出针对该漏洞、弱点的恶意代码并发起攻击之间的时间差几乎为零的攻击。显而易见，零时差攻击对应用系统和网络的威胁和损害令人恐怖，这相当于在用户没有任何防备的情况下，黑客发起了闪电战，可能在极短的时间内摧毁关键的应用系统，造成网络瘫痪。3.2.6. 间谍软件间谍软件（英文名称为“spyware”）是一种来自互联网的，能够在用户不知情的情况下偷偷进行非法安装（安装后很难找到其踪影），并悄悄把截获的一些机密信息发送给第三者的软件。间谍软件在安装时什么都不显示，运行时用户也不知晓，删除起来非常困难。由于间谍软件隐藏在用户计算机中、秘密监视用户活动，并已经建立了一个进入个人电脑的通道，很容易对用户电脑做后续的攻击。间谍软件能够消耗计算能力，使计算机崩溃，并使用户被淹没在网络广告的汪洋大海中。它还能够窃取密码、信用卡号和其它机密数据。3.3. 解决方案设计原则在规划XX系统安全建设时，我们将遵循以下原则，提供完善的全网安全解决方案：l 体系化设计原则通过分析XX系统的网络层次关系、安全需求以及动态实施过程，提出科学的安全体系，并根据安全体系分析网络中可能存在的各种安全风险，针对这些风险以动态实施过程为基础，提出全网安全解决方案，从而最大限度地解决可能存在的安全问题。l 全局性、均衡性原则安全解决方案的设计从全局出发，综合考虑信息资产的价值、所面临的安全风险，平衡两者之间的关系，根据信息资产价值的大小和面临风险的大小，采取不同强度的安全措施，提供具有最优性能价格比的安全解决方案。l 可行性、可靠性原则在采用全面的网络安全措施之后，应该不会对XX系统平台原有的网络，以及运行在此网络上的应用系统有大的影响，实现在保证网络和应用系统正常运转的前提下，有效的提高网络及应用的安全强度，保证整个信息资产的安全。l 整体性、实用性、先进性、经济性原则从网络和系统的整体性出发，选择先进且成熟的技术，满足当前的要求，并适应未来的技术发展，节约有限的投资。l 可动态演进的原则方案应该针对XX系统平台制定统一技术和管理方案，实现统一安全策略的制定，并能实现整个网络从局部防御的网络，向全局防御的网络以及智能防御的网络演进，形成一个闭环的动态演进的网络安全系统。l PDCA原则信息安全管理的本质，可以看作是动态地对信息安全风险的管理，即要实现对信息和信息系统的风险进行有效管理和控制。标准ISO154081（信息安全风险管理和评估规则），给出了一个非常经典的信息安全风险管理模型，如下图所示：既然信息安全是一个管理过程，则对PDCA模型有适用性，结合信息安全管理相关标准BS7799（ISO17799）,信息安全管理过程就是PLAN-DO-CHECK-ACT（计划实施与部署监控与评估维护和改进）的循环过程。4. XX系统安全解决方案综合考虑XX系统的现状、安全建设目标和上述的方案设计原则，我们提出XX系统的安全解决方案，由以下5部分组成：1) 远程接入安全解决方案2) 边界安全解决方案3) 内网安全解决方案4) 数据中心安全解决方案5) 全局安全管理解决方案这5部分的安全解决方案衔接在一起构成了一个覆盖XX系统网络“端到端”信息流程的“全网安全解决方案”，是一个内容全面，可分步实施，可持续演进的解决方案集，如图所示： “端到端”安全解决方案4.1. 远程接入安全解决方案对拥有异地分支的XX系统来说，为提高沟通效率和资源利用效率，建立分支与总部之间的具有保密性的网络连接是十分必要的。此外，XX系统的工作人员出差时也需要访问系统内部的一些信息资源，这时同样需要建立保密的网络连接。虚拟专用网（Virtual Private Network，VPN）技术以其灵活、安全、经济、易扩展的特点，满足了这部分需求。IPSec VPN解决方案IPSec是业界标准的网络安全协议，可以为IP网络通信提供加密服务，保护 TCP/IP 通信免遭窃听和篡改，从而有效抵御网络攻击。H3C IPSec VPN解决方案，由VPN接入网关和VPN管理子系统两个部分组成。VPN接入网关（H3C SecPath系列防火墙或VPN）是整个VPN系统的核心部分。它支持多种VPN业务，如L2TP VPN、IPSec VPN、GRE VPN、MPLS VPN、以及专利技术的DVPN等，它可以针对客户需求通过拨号、租用线、VLAN或隧道等方式接入远端用户，构建Internet、Intranet、Extranet等多种形式的VPN。VPN管理子系统由两部分组成：H3C VPN Manager系统和H3C BIMS分支智能管理系统。VPN Manager可以简化VPN的部署和配置，可以完成对网络VPN状态的监控。BIMS可以后续完成对设备的升级配置和管理。IPSec VPN解决方案的特点：1) 组网灵活：H3C从用户业务需求、可靠性要求和投资规模等方面综合考虑，设计了多种分支上联总部的解决方案，包括：单链路单网关、单链路双网关和双链路双网关。2) 管理简单：采用专门的管理系统VPN Manager，其图形化的管理界面使维护更简单。支持自动发现和构建VPN拓扑，直观查看VPN通道状态、通道流量情况、VPN设备的运行情况等。3) 集中配置：机构分布广、设备多、配置重复，往往给设备管理带来繁重的工作量，H3C的BIMS系统采用分支设备主动、网管被动的方式对分支的设备进行管理，网络连接由分支设备主动发起，公私网地址转换、动态IP地址、批量设备配置等难题迎刃而解。IPSec VPN解决方案的典型组网：在实际的组网中，可以根据XX系统的情况，采用灵活多样的组网方式，用最低的代价满足XX系统VPN接入需求。1) 单链路单网关该组网方案采用单链路单网关方式，在总部局域网数据中心部署VPN Manager组件，实现对VPN网关的部署管理和监控，在总部局域网内部或Internet边界部署BIMS系统，实现对分支机构VPN网关设备的自动配置和策略部署。该方案主要面向对网络链路可靠性要求不高的情况，可采用IPSec VPN、IPSec over GRE VPN、GRE over IPSec VPN、L2TP over IPSec VPN等方式实现接入。2) 单链路双网关该组网方案采用单链路双网关方式，对VPN网关进行了双机备份，适用于对可靠性要求较高的情况。可采用L2TP、VRRP、OSPF方式实现网关间的备份。3) 双链路双网关该组网方案在VPN网关备份的基础上，对于接入分支节点的链路也进行了备份。不同链路分别接入到不同的ISP（电信、网通），主链路采用光纤接入，备份链路采用ADSL进行热备。为了增强VPN网关的稳定性，在VPN网关节点部署双VPN网关，利用该VPN双网关可以有效的提高系统的可靠性。该方案主要面向特别重要、对可靠性要求非常高的分支机构。SSL VPN解决方案IPSec VPN帮助XX系统解决了分支安全接入总部的问题。但是它对移动办公用户（出差人员）远程接入的问题无法解决，SSL VPN解决方案正好满足了这部分需求，而且SSL VPN具有细粒度控制、免客户端软件安装等其它特点。SSL VPN解决方案概述：SSL VPN接入设备的形态是H3C的SSL VPN插卡，可以集成到H3C SecPath系列防火墙上，形成SSL VPN网关。整个解决方案基于B/S架构，客户端不需要安装特殊软件，通过Web浏览器直接访问SSL VPN网关，输入用户名和密码即可安全地访问企业内部网络资源。SSL VPN解决方案特点：1) 接入灵活：采用B/S架构，直接使用“浏览器”完成VPN接入。当员工需要进行远程接入时，其移动终端不需要特别配置，降低了维护成本和使用难度。2) 细化控制：能够根据用户个人身份和主机安全状态授予其不同的访问权限。在面向合作伙伴时，也可以根据情况，灵活地授予合作伙伴不同的访问权限。3) 个性化界面：可以定制个性化的用户界面。系统管理员能够调整访问界面，以符合XX系统内部网络的风格，包括更换LOGO和定制布局等等。SSL VPN解决方案典型组网：在实际的组网中，可以根据企业情况，采用灵活多样的方式，包括在线部署方案和单臂部署方案，如果有高可靠性要求，还可以进行冗余备份。1) 在线部署H3C SSL VPN网关部署在网络出口处，网关串行接入网络，为用户同时提供防火墙和VPN功能，实现对网络的远程接入和安全防护。在线部署模式可以为移动客户和分支客户提供一个安全的VPN通路，对传输的数据进行加密，实现对网络中核心业务的保护。2) 单臂部署H3C SSL VPN网关旁路部署在网络内部。要访问内部网络资源的移动和分支用户要被牵引到SSL VPN网关上进行认证，SSL VPN网关根据认证结果分配相应权限，从而实现对内部网络资源的访问控制。单臂部署模式无需改变网络原有的部署和配置，为移动客户和分支客户提供了一个安全的VPN通路，对传输的数据进行加密，实现对网络中核心业务的保护。4.2. 边界安全解决方案随着XX系统网络上IT应用的不断增加以及网络中设备的增加，网络边界安全成为最重要的安全问题之一，需要组合型的安全解决方案。边界安全解决方案概述：对XX系统边界进行安全防护，首先必须明确哪些网络边界需要防护，这可以通过安全分区来确定。定义安全分区的原则就是首先根据业务和信息敏感度定义安全资产，其次对安全资产定义安全策略和安全级别，对于安全策略和级别相同的安全资产，就可以认为属于同一安全区域。根据以上原则，H3C提出XX系统的安全分区模型，主要包括：内网办公区、数据中心区、外联数据区、互联网连接区、对外连接区、网络管理区、广域网连接区等。如下图所示：参照以上的分区，考虑到当前网络上的主要威胁，我们提出以防火墙、防病毒模块、网络安全监控模块和入侵防御系统（IPS）为支撑的边界安全解决方案：1) 防火墙：最主流也是最重要的安全产品，是边界安全解决方案的核心。它可以对整个网络进行区域分割，提供基于IP地址和TCP/IP服务端口等的访问控制；对常见的网络攻击，如拒绝服务攻击、端口扫描、IP欺骗、IP盗用等进行有效防护；并提供NAT地址转换、流量限制、用户认证、IP与MAC绑定等安全增强措施。由于防火墙部署在网关位置，也可以在防火墙中集成防病毒模块和网络安全监控模块。2) 防病毒：通过部署防病毒模块（ASM）可以在网关处阻止病毒、木马等威胁的传播，保护网络内部用户免受侵害。采用防病毒模块（ASM），改变了原有被动等待病毒感染的防御模式，实现网络病毒的主动防御，切断病毒在网络边界传递的通道。3) 网络安全监控：通过启用流量监控功能可以实时收集网络流量信息，分析网络应用情况，可以识别分析一百多种协议，包括P2P等应用层协议。网络安全监控模块（NSM）可以将收集的信息存储在本地或远端服务器，为用户提供网络优化和再投资的依据。4) 入侵防御：传统的安全解决方案中，防火墙和入侵检测系统 (IDS，Intrusion Detection System) 已经被普遍接受，但仅仅有防火墙和IDS还不足以完全保护网络不受攻击。防火墙作为一个网络层的安全设备，不能充分地分析应用层协议数据中的攻击信号，而IDS也不能阻挡检测到的攻击。因此，即使在网络中已部署了防火墙、IDS等基础网络安全产品，IT部门仍然发现网络的带宽利用率居高不下、应用系统的响应速度越来越慢。产生这个问题的原因并不是当初网络设计不周，而是近年来蠕虫、P2P、木马等安全威胁日益滋长并演变到应用层面的结果，必须有相应的技术手段和解决方案来解决针对应用层的安全威胁。以入侵防御系统 (IPS, Intrusion Prevention System ) 为代表的应用层安全设备，作为防火墙的重要补充，很好的解决了应用层防御的问题，并且变革了管理员构建网络防御的方式。通过在线部署，IPS可以检测并直接阻断恶意流量。 边界安全解决方案的典型部署：在XX系统互联网出口部署防火墙（集成防病毒和网络安全监控模块）和IPS设备，同时通过防火墙和IPS将企业内部网、DMZ、数据中心、互联网等安全区域分隔开，并通过制定相应的安全规则，以实现各区域不同级别、不同层次的安全防护。边界安全解决方案特点：1) 全面防护：在安全区域规划基础上，在网络边界部署防火墙、IPS等安全设备，能够实现网络2至7层的威胁抵御，形成动态、立体的全面安全防护；2) 深层防护：通过H3C防火墙和IPS的部署，可以形成有效的深层次安全防护。如对蠕虫的传播和攻击进行防御、对P2P应用禁止和限流、抵抗DoS/DDoS的攻击等等。4.3. 内网安全解决方案统计表明，在所有的安全事件中，有超过70%是发生在内网上的，并且随着网络的庞大化和复杂化，这一比例仍有增长的趋势。因此内网安全一直是网络安全建设关注的重点，但是由于内网以纯二层交换环境为主、节点数量多、分布复杂、终端用户安全应用水平参差不齐等原因，一直以来也都是安全建设的难点。一般说来，内网安全应该考虑以下问题：1) 终端安全策略部署：终端安全是内网安全的核心问题，终端安全策略的部署也就是内网安全的最主要部分。但是受限于终端用户安全应用水平，如何确保网络中的终端安全状态符合企业安全策略，却是每一个网络管理员不得不面对的挑战。管理员查找、隔离、修复不符合安全策略的终端，是一项费时费力的工作，往往造成企业安全策略与终端安全实施之间存在巨大的差距。2) 内网访问控制部署：传统上，在内网是通过划分VLAN，配合ACL进行访问控制，这虽然可以在一定程度上实现内网访问控制，却难以做到比较精细的安全控制，同时也可能会影响到VLAN间用户的访问，从而影响网络的使用效率。对于部分交换机，ACL数量的增加会导致严重的性能下降。如何在内网实现更精细更高效率的访问控制是内网安全建设必须要解决的问题。3) 网络自身安全保障：目前在内网安全事件中，出现从攻击主机转为攻击网络资源的趋势，而传统的以太网交换机的工作原理和开放特征决定其难以对此类攻击进行有效防控。内网安全解决方案概述：H3C的内网安全解决方案考虑到内网安全的方方面面，针对上述内网安全的主要问题都提出了有针对性的技术，这些技术相互关联、相互配合，形成完善的内网安全解决方案。1. 端点准入防御解决终端合规性问题为了解决现有安全防御体系中存在的不足，H3C推出了端点准入防御（Endpoint Admission Defense，EAD），旨在整合孤立的单点防御系统，加强对用户的集中管理，统一实施XX系统的安全策略，提高网络终端的主动抵抗能力。EAD将防病毒、补丁修复等终端安全措施与网络接入控制、访问权限控制等网络安全措施整合为一个联动的安全体系，通过对网络接入终端的检查、隔离、修复、管理和监控，使整个网络变被动防御为主动防御、变单点防御为全面防御、变分散管理为集中策略管理，提升了网络对病毒、蠕虫等新兴安全威胁的整体防御能力。EAD通过安全客户端、安全策略服务器、接入设备以及病毒库服务器、补丁服务器的相互配合，可以将不符合安全要求的终端限制在“隔离区” 内，防止“危险”终端对网络安全的损害，避免“易感”终端受病毒、蠕虫的攻击。其主要功能包括：a) 检查检查用户终端的安全状态，配合不同方式的身份验证技术（802.1x、VPN、Portal等），可以确保接入终端的合法与安全。b) 隔离隔离违规终端。不符合企业安全策略的终端，将被限制访问权限，只能访问“隔离区”内的病毒库/补丁服务器等用于系统修复的网络资源。c) 修复与第三方服务器中的补丁服务器、病毒服务器等形成联动。强制终端安装系统补丁、升级防病毒软件，直到满足安全策略要求。d) 管理与监控EAD提供了集接入策略、安全策略、服务策略、安全事件监控于一体的用户管理平台，可以帮助网络管理员定制基于用户身份的、个性化的网络安全策略。同时EAD可以通过安全策略服务器与安全客户端的配合，强制实施终端安全配置（如是否实时检查邮件、注册表、是否限制代理、是否限制双网卡等），监控用户终端的安全事件（如查杀病毒、修改安全设置等）。2. 以防火墙为核心的内网访问控制为解决传统基于VLAN和ACL的内网访问控制解决方案的不足，H3C提出了以防火墙为核心的内网访问控制解决方案。其核心是可以插入交换机中的SecBlade防火墙模块，通过SecBlade防火墙模块对内网各个VLAN之间的访问进行精细化的控制。同时配合交换机的端口隔离特性，实现对同一VLAN内终端之间的访问限制。SecBlade防火墙模块是将交换机的转发和业务的处理有机融合在一起，使得交换机在高性能数据转发的同时，能够根据组网的特点处理安全业务。SecBlade 防火墙模块可以对需要保护的区域进行策略定制，可以支持所有报文的安全检测，同时SecBlade 防火墙模块支持多安全区域的设置，支持Secure VLAN，对于需要防火墙隔离或保护的VLAN区域，用户可以将Secure VLAN绑缚到其中的一个SecBlade 防火墙插卡上，这样可以通过设置Secure VLAN来对交换机内网之间（不同VLAN之间）的访问策略进行定制。此外，端口隔离也是内网访问控制的一个有效手段，端口隔离是指交换机可以由硬件实现相同VLAN中的两个端口互相隔离。隔离后这两个端口在本设备内不能实现二、三层互通。当相同VLAN中的主机之间没有互访要求时，可以设置各自连接的端口为隔离端口。这样可以更好的保证相同安全区域内主机之间的安全。即使非法用户利用后门控制了其中一台主机，也无法利用该主机作为跳板攻击该安全区域内的其他主机。并且可以有效的隔离蠕虫病毒的传播，减小受感染主机可能造成的危害。3. 交换机安全特性实现网络自身安全保障以太网在设计时没有考虑安全性的要求，这造成了以太网自身存在很多的安全隐患，正是这种原因，目前出现了从攻击主机向攻击网络资源转变的趋势。基于H3C在以太网安全领域积累的大量经验，在H3C交换机产品中提供了大量的安全特性，可以充分保障以太网的安全。这些安全特性同时也是内网安全解决方案中很多功能实现的基础，例如在EAD解决方案中就使用到了接入交换机的Port Security特性。这些安全特性包括：1) 接入控制技术Port Security2) 接入安全技术防IP伪装3) 防中间人攻击STP Root / BPDU 保护4) 防ARP欺骗5) DHCP server 保护6) 路由协议攻击防护能力内网安全解决方案的典型部署：全网都要部署具有丰富安全特性的交换机产品，这是内网安全实现的基础。根据内网应用的要求设计VLAN，并通过SecBlade防火墙安全插卡实现VLAN之间的访问控制，结合交换机的端口隔离特性实现VLAN内的访问限制。在所有的终端上部署EAD解决方案所需的iNode客户端，对终端的安全策略进行检查，检查的结果将送至部署于网络管理区域的CAMS安全策略服务器，在同样部署于网络管理区的病毒库服务器和补丁服务器的配合下，结合交换机的Port Security安全特性，实现检查、隔离、修复以及管理监控的端点准入防御功能。内网安全解决方案特点：1) 内网统一安全策略实施：本方案不仅仅可以在网络设备上实施统一的安全策略，还可以实施终端安全策略，以达到整个内网安全策略统一实施的目的。2) 可扩展的安全解决方案：本方案是一个可扩展的安全解决方案，对现有网络设备和组网方式改造较小。在现有XX系统网络中，只需对网络设备进行简单升级，即可实现。3) 灵活方便的部署与维护：SecBlade防火墙模块在提供精细化的VLAN间访问控制的同时，也简化了整个系统的部署与维护。而EAD方案则可以按照网络管理员的要求区别对待不同身份的用户，定制不同的安全检查和隔离级别。4.4. 数据中心安全解决方案数据集中是管理集约化、精细化的必然要求，也是XX系统优化业务流程、管理流程的必要手段。作为网络中数据交换最频繁、资源最密集的地方，XX系统的数据中心出现任何安全防护上的疏漏必将导致不可估量的损失，因此数据中心安全解决方案十分重要。数据中心面临的安全威胁分析：随着Internet应用日益深化，数据中心运行环境正从传统的客户端/服务器（C/S）架构向浏览器/服务器（B/S）架构转型，这意味着“瘦客户端，胖数据中心”成为必然的发展趋势，在这种趋势下数据中心的业务复杂性增加，而这种复杂性也为数据中心的安全体系引入许多不确定因素，一些未实施正确安全策略的数据中心，黑客和蠕虫将顺势而入。当前数据中心面对的主要安全威胁包括：1) 面向应用层的攻击：常见的应用攻击包括恶意蠕虫、病毒、缓冲溢出代码、后门木马等。应用攻击的共同特点是利用了软件系统在设计上的缺陷，并且他们的传播都基于现有的业务端口，因此应用攻击可以毫不费力的躲过那些传统的或者具有少许深度检测功能的防火墙。国际计算机安全协会ICSA实验室调查的结果显示，2005年病毒攻击范围提高了39%，重度被感染者提高了18%，造成的经济损失提高了31%，尤为引人注意的是，跨防火墙的应用层(ISO 7层)攻击提高了278%，即使在2004年，这一数字也高达249%。2) 面向网络层的攻击：除了由于系统漏洞造成的应用攻击外，数据中心还要面对拒绝服务攻击（DoS）和分布式拒绝服务攻击（DDoS）的挑战。DOS/DDOS是一种传统的网络攻击方式，然而其破坏力却十分强劲。据2004 美国CSI/FBI的计算机犯罪和安全调研分析，DOS和DDOS攻击已成为对企业损害最大的犯罪行为，超出其他各种犯罪类型两倍。DOS/DDoS攻击大行其道的原因主要是利用了TCP/IP的开放性原则，从任意源地址向任意目标地址都可以发送数据包。DOS/DDOS利用看似合理的海量服务请求来耗尽网络和系统的资源，从而使合法用户无法得到服务的响应。数据中心安全建设思路：H3C数据中心安全解决方案的思路可用十二个字概括：三重保护、多层防御；分区规划，分层部署。1) 三重保护，多层防御：从“数据中心服务器资源”向外延伸有三重保护：a) 具有丰富安全特性的交换机构成数据中心网络的第一重保护；b) 具有高性能检测引擎的IPS对网络报文做深度检测，构成数据中心网络的第二重保护；c) 凭借高性能硬件防火墙构成的数据中心网络边界，对数据中心网络做第三重保护；用一个形象的比喻来说明数据的三重保护：数据中心就像一个欣欣向荣的国家，来往的商客就像访问数据中心的报文；防火墙是驻守在国境线上的军队，一方面担负着守卫国土防御外族攻击（DDOS）的重任，另一方面负责检查来往商客的身份（访问控制）；IPS是国家的警察，随时准备捉拿虽然拥有合法身份，但仍在从事违法乱纪活动的商客（蠕虫、病毒），以保卫社会秩序；具有各种安全特性的交换机就像商铺雇佣的保安，提供最基本的安全监管，时刻提防由内部人员造成的破坏（STP 攻击）。三重保护为数据中心网络提供了从链路层到应用层的多层防御体系。交换机提供的安全特性构成安全数据中心的网络基础，提供数据链路层的攻击防御。数据中心网络边界安全定位在传输层与网络层的安全上，通过状态防火墙可以把安全信任网络和非安全网络进行隔离，并提供对DDOS和多种畸形报文攻击的防御。IPS可以针对应用流量做深度分析与检测能力，即可以有效检测并实时阻断隐藏在海量网络流量中的病毒、攻击与滥用行为，也可以对分布在网络中的各种流量进行有效管理，从而达到对网络应用层的保护。2) 分区规划，分层部署：在数据中心网络中存在不同价值和易受攻击程度不同的设备，按照这些设备的情况制定不同的安全策略和信任模型，将网络划分为不同区域，这就是所谓的分区思想。数据中心网络根据不同的信任级别可以划分为：远程接入区、园区网、Internet服务器区、Extranet服务器区、Intranet服务器区、管理区、核心区，如下图。所谓多层思想（n-Tier）不仅体现在传统的网络三层部署（接入汇聚核心）上，更应该关注数据中心服务器区（Server Farm）的设计部署上。如下图，第一层，Web服务器层，直接与接入设备相连，提供面向客户的应用；第二层，应用层，用来粘合面向用户的应用程序、后端的数据库服务器或存储服务器；第三层，数据库层，包含了所有的数据库、存储和被不同应用程序共享的原始数据。数据中心安全规划建议：考虑到数据中心的架构特点，以及数据中心承担业务的复杂性，H3C对XX系统数据中心的安全规划提出以下3个方面建议：1. 实施安全分区和访问控制：目前网络中主要使用防火墙来实施安全分区和访问控制。防火墙类似于建筑大厦中用于防止火灾蔓延的隔断墙，是一个或一组实施访问控制策略的系统，它监控可信任网络和不可信任网络之间的访问通道，以防止一个区域中出现的危险蔓延到另一个区域。防火墙也常常作用于数据中心的入口处，基于访问控制策略提供安全防护。例如：当数据中心要与外