联软企业内网安全解决方案证券类

X XX XX X 内内网网安安全全解解决决方方案案 本文件中出现的任何文字叙述 文档格式 插图 照片 方法 过程等内容 除另有特别注明 版权 均属深圳 XXX 信息技术有限公司所有 受到有关产权及版权法保护 任何个人 机构未经深圳 XXX 信息技术有限公司的书面授权许可 不得以任何方式复制或引用本文件的任何片断 版本信息版本信息 文档名称文档名称XXX 内网安全解决方案 文档编号文档编号GD WH FA 20090622保密级别保密级别秘密 分发范围分发范围 XXX 项目组 XXX 公司技术顾问 修订历史修订历史 生效日期生效日期版本号版本号版本说明版本说明制作制作复审复审批准批准 2009 6 221 1 初 稿 2009 6 231 2 修改方案概述 注 版本信息记录本文档提交时的当前有效的基本控制信息 当前版本文档有效期将在新版本文 档生效时自动结束 文档版本号小于 1 0 时 表示该版本文档为草案 仅供参考 目录目录 第一章企业背景 1 第二章XXX 内网安全需求分析 1 2 1 计算机的桌面安全管理 1 2 2 补丁管理 1 2 3 病毒防护和反间谍软件 1 2 4 计算机接入网络进行准入控制 2 第三章设计原则 2 3 1 统一的集成化管理平台 3 3 2支持多厂商 多平台 4 第四章建设目标 4 第五章方案设计 4 5 1UNIACCESSTM的终端安全管理总体思路 4 5 2SYMANTEC SEP 的病毒防护和反间谍软件 5 第六章UNIACCESSTM的安全接入管理系统架构 5 第七章UNIACCESSTM安全接入管理系统主要功能介绍 8 7 1 网络准入控制 防止非法电脑接入 8 7 2 防止文件非法外传及员工终端操作行为管理 8 7 3 桌面终端的系统安全管理 8 7 4 桌面终端的批量管理 提高管理效率 9 第八章补丁分发管理 支持断点续传 9 8 1 补丁测试 9 8 2 补丁自动分发安装 10 第九章UNIACCESSTM网络准入控制部署及实施效果 11 9 1 UNIACCESSTM网络准入控制技术总体介绍 11 9 2 准入控制系统部署后终端接入网络的流程 12 9 3 准入控制系统部署后的效果 13 第十章SYMANTEC SEP 防病毒的部署 14 10 1 产品特点 14 10 2 产品主要优势 15 10 3 主要功能 16 10 4 产品部署 16 10 5 安全管理策略设计 16 10 5 1 备份和数据库维护策略 16 10 5 2 安全策略 17 第十一章硬件配置 18 11 1UNIACCESSTM硬件配置 18 11 1 1 UniAccessTM服务器硬件 1 台 必选项目 18 11 1 2 Radius 服务器 2 台 必选 1 台 19 11 1 3 补丁下载服务器 1 台 可选 19 11 1 4 探测器 1 台 可选 20 11 2SYMANTEC SEP 硬件配置 20 第十二章系统部署时间 21 第十三章附录 22 12 1 案例简介 22 案例一 某金融公司案例介绍解决方案 基于 802 1X 的准入控制方案 22 案例二 深圳证券交易所内网安全解决方案 23 12 2 LEAGVIEW应用案例 25 金融行业成功案例 25 电信行业成功案例 25 政府行业成功案例 26 大型企业成功案例 26 第一章第一章 企业背景企业背景 XXX 经纪有限公司成立于 200X 年 1 月 18 日 是由 XX 集团 有限公司 XX 市投资控 股集团公司 XX 市财政办公用品服务公司组成的 XX 经纪类公司 股东方全部是国资背景 注册地 XX 市 注册资本 XXXX 万元人民币 第二章第二章 XXX 内网安全需求分析内网安全需求分析 2 1 计算机的计算机的桌面安全管理桌面安全管理 计算机终端是计算机网络的主要组成部分 也是用户操作和数据使用的主要环境 因 此 对于内部信息系统来说 其安全威胁的起源 包括导入病毒 泄密信息和发起针对内 部的攻击等 也主要集中在计算机终端 必须采用有效的措施对网络中所有的计算机终端 进行有效的集中管理和监控 并针对性进行桌面资源使用权限的集中授权管理 降低安全 隐患和风险 2 2 补丁管理补丁管理 桌面计算机的数量非常多 地理位置分散 给日常的管理维护带来了很大的困难 这 些困难包括 难以对计算机的资产 配置进行统计 由于补丁 漏洞 升级等问题频繁 维护工作量很大 计算机的使用人员技能不一 有些很小的问题都需要维护人员现场解决 降低了维护的效率 无法对计算机进行批量维护 例如 批量安装软件 批量打补丁 批 量设置计算机的安全设置 方便 快捷是日常维护的关键 2 3 病毒防护和反间谍软件病毒防护和反间谍软件 全面的防护 集成一流的技术 能够在安全威胁渗透到网络之前将其阻止 即便是 由未知新攻击者发起的攻击也不例外 以实时方式检测并阻止恶意软件 包括病毒 蠕虫 特洛伊木马 间谍软件 广告软件和 rootkit 2 4 计算机接入网络进行准入控制计算机接入网络进行准入控制 禁止外来电脑或者不符合规定的电脑接入 通过对接入网络的电脑终端进行实时安全 检查达到网络防护的作用 第三章第三章 设计原则设计原则 根据 XXX 网络现状 以及网络信息安全系统建设的目标和内容 本方案根据以下原则 进行内部安全保障体系的设计和建设 首先 Leagsoft 认为有必要参考国际 国内的安全管理经验 来设计 XXX 的 网络准 入控制与终端安全管理系统 解决方案 BS7799 作为英国政府颁发的一项信息系统安全管 理规范 目前已经成为全球公认的安全管理最佳实践 成为全国大型机构在设计 管理信 息系统安全时的实践指南 BS7799 认为 设计信息安全系统时 必须掌握以下安全原则 相对安全原则 没有 100 的信息安全 安全是相对的 在安全保护方面投入的资源是有限的 保护的目的是要使信息资产得以有效利用 不能为了保护而过度限制对信息资 产的使用 分级 分组保护原则 对信息系统分类 不同对象定义不同的安全级别 首先要保障安全级别高的对象 全局性原则 解决安全问题不只是一个技术问题 要从组织 流程 管理上予以整体考虑 解决 在设计 XXX 网络准入控制与终端安全管理系统 解决方案时 非常有必要参考 BS7799 中的有关重要安全原则 BS7799 中 除了安全原则之外 给出了许多非常细致的安全管理指导规范 在 BS7799 中有一个非常有名的安全模型 称为 PDCA 安全模型 PDCA 安全模型的核心思想是 信息系统的安全需求是不断变化的 要使得信息系统的安全能够满足业务需要 必须建立 动态的 计划 设计和部署 监控评估 改进提高 管理方法 持续不断地改进信息系统 的安全性 以下是图 1 PDCA 安全模型 建建立立建建立立 发发展展发发展展 维维护护和和提提高高维维护护和和提提高高 循循环环循循环环 监监控控监监控控 评评审审评评审审 设设计计和和实实施施设设计计和和实实施施 提提高高提提高高DoDo Plan CheckCheck ActAct 相相关关单单位位相相关关单单位位 信信息息安安全全需需求求信信息息安安全全需需求求 和和期期望望和和期期望望 相相关关单单位位相相关关单单位位 管管理理状状态态下下管管理理状状态态下下 的的信信息息安安全全的的信信息息安安全全 持持续续安安全全改改进进持持续续安安全全改改进进 图 1 PDCA 安全模型 Leagsoft 认为 XXX 的终端安全管理 也将是一个持续 动态 不断改进的过程 UniAccessTM 安全接入管理系统将为 XXX 提供统一的 集成化的平台和工具 帮助 XXX 对 其终端进行统一的安全控制 安全评估 安全审计及安全改进策略部署 3 1 统一的集成化管理平台统一的集成化管理平台 XXX 的网络准入控制与终端安全管理系统必须提供统一的 集成化管理平台 解决方 案要向 IT 系统管理员提供一个统一的登录入口 有整体的终端安全视图 呈现整个计算 机网络系统中所有终端设备的安全运行状况 管理员不仅可以看到终端安全的运行状况 终端的安全设置 也能够看到终端的软件配置 硬件配置 终端的物理位置等信息 通过统一的集成化的管理平台 管理员可以完成所有与终端安全管理维护相关的各种 任务 具体包括 网络准入控制管理 设备快速定位 终端资产管理 终端的软件分发 终端安全补丁管理 端点的安全防护 终端的远程管理和维护 终端安全策略设置 包括 主机安全漏洞策略 防病毒安全策略 非法外联策略 网络访问审计策略等的设置 统一的集成化管理平台对管理员的各种操作 应提供审计功能 以备事后审计 3 2支持多厂商支持多厂商 多平台多平台 解决方案设计的系统要能够实现对主流厂商的网络设备 多种桌面操作系统的支持 是一个采用国际 国家或者行业标准的开放系统 以便将来的网络扩容 系统升级 第四章第四章 建设目标建设目标 XXX 信息安全系统建设的主要目标是 适应复杂的分布式办公模式和环境的需要 构建统一的网络保密系统 确保办公环境网络信息的安全性和保密性 第五章第五章 方案设计方案设计 我们建议 XXX 选择 Leagsoft 公司研发的 UniAccessTM 安全接入管理产品作为 XXX 的网络准入控制与终端安全管理系统 病毒防护和反间谍软件由 Symantec 的 SEP 集中管 控 两者无缝的结合 给予 XXX 内网的安全最有效的保证 5 1 UniAccessTM的终端安全管理总体思路的终端安全管理总体思路 UniAccessTM 安全接入管理系统对电脑终端进行安全管理的总体思路是 首先 通过网络准入控制技术 确保接入网络的电脑终端符合如下要求 1 必须安装 Agent 如果是未安装 Agent 的电脑终端接入网络 其打开 WEB 浏览器访 问任何 Web site 时 将被重定向到管理员指定的一个页面 提醒其安装 Agent 不安装 Agent 的电脑将无法访问内部网络 特殊电脑和访客电脑可以例外 2 必须符合网络接入安全管理规定 例如 拥有合法的访问帐号 安装了指定的防病 毒软件 安装了指定的操作系统补丁等 如果不符合管理规定 将拒绝其接入 或 者通过网络对该电脑进行自动隔离 并且指引其进行安全修复 然后 对安装了 Agent 的电脑终端 进行进一步的管理控制 包括 1 安全设置检查 加固 非法操作的管理 限制 2 防止文件非法外传 U 盘 软盘 共享 E mail QQ MSN 等 3 电脑终端的集中式管理 例如 资产管理 软件分发 远程控制 补丁管理 分组 策略分发 集中审计 再次 要防止电脑终端私自 非法卸载 Agent 或者停止 Agent 的运行 确保管理策略的 执行 1 Agent 自带反卸载 反非法中止 非法删除功能 2 如果电脑终端私自卸载 Agent 如重新安装操作系统 或者中止 Agent 的运行 UniAccessTM后台系统可以及时发现这种行为 企业可以依据有关安全管理规范对其 进行警告或者处罚 防范这种行为的再次发生 5 2 Symantec SEP 的病毒防护和反间谍软件的病毒防护和反间谍软件 单一代理 单一控制台 通过一个直观用户界面和基于 Web 的图形报告将全面的 安全技术集成到单一代理和集中的管理控制台中 能够在整个企业中设置并实施安全策略 以保护您的重要资产 第六章第六章 UniAccessTM的安全接入管理系统架构的安全接入管理系统架构 下图是 Leagsoft 公司的 UniAccessTM安全接入管理系统架构 BS7799 PDCA模模型型 边界安全 接入控制 内部网络 准入控制 访问控制 集中式管理平台 B S 分 级 安 全 管 理 安 全 管 理 流 程 集 成 企业IT服务管理平台 Service Desk 防火墙 IDS IPS 内容过滤 UniAccess 安全接入管理系统 集中操作控制平台 软件 分发 远程 控制 策略 分发 资产 管理 设备 定位 集中 维护 安全评估 桌面安全管理 安全加固安全审计 漏洞 发现 安全 设置 防病毒 体系 流量 异常 非法 设置 非法 进程 漏洞 发现 安全 设置 防病毒 体系 流量 异常 非法 设置 非法 进程 漏洞 发现 安全 设置 防病毒 体系 流量 异常 非法 设置 非法 进程 非法 软件安装 非授权 外联 配置 变更 网络 行为审计 非法 软件安装 非授权 外联 配置 变更 网络 行为审计 非法 软件安装 非授权 外联 配置 变更 网络 行为审计 补丁 安装 安全 设置 桌面 防火墙 上网 限制 补丁 安装 安全 设置 桌面 防火墙 上网 限制 补丁 安装 安全 设置 桌面 防火墙 上网 限制 控制评估部署 图 2 网络准入控制与终端安全管理系统架构 首先 UniAccessTM安全接入管理系统 通过网络准入控制技术 对接入网络的电脑 终端进行实时安全检查 检查的内容包括 1 账户检查 用户名和密码 防止外来人员私自安装一个相同的 Agent 后接入网络 2 安全设置规范检查 终端的安全设置 检查系统账户 包括 Guest 账户和弱口令检查 Windows 域检查 检查终端是否加入指定的 Windows 域 检查可写共享设置 检查终端是否设置了可写或者没有权限限制的可写共享 检查终端操作系统补丁安装情况 检查终端的防病毒安装情况及其病毒特征库是否及时升级 检查终端是否有可疑的注册表项 检查终端是否有可疑的文件存在 检查终端是否安装了非法软件 3 终端注册 ID 检查 检查终端是否在内部网络注册登记过 网络准入控制确保接入网络的电脑终端是合法的 符合接入安全管理规范的电脑终端 而且是接受管理电脑终端 其次 对接入网络的电脑终端 可以进行进一步的安全管理和控制 包括 1 安全加固 安全加固可以实现 对主机的账户口令 屏保口令 共享目录 自动运行的服务进行安全加固 如提 示用户设置强口令 设置屏保口令 删除写共享目录 停止一些危险的服务进程等 强制接入网络的主机设备安装规定的防病毒软件 并且强制这些防病毒软件及时 更新最新病毒 以加强主机设备的自身抗病毒能力 自动为客户端安装最新补丁包 加强客户端的抗攻击能力 2 安全评估 对电脑终端的安全设置和运行状态进行评估 管理员可以定义主机必须满足什么样的安全要求才能够具备较强的抗攻击能力 当不满足时就认为主机是有安全漏洞的 这样的主机是很容易受到安全攻击的 比如 账户口令是否是强口令 目录是否有缺省可写共享 是否运行了一些危险进程 通过 检查注册表发现是否有已知的间谍软件 是否安装了最新补丁包 是否安装了规定的 防病毒软件并及时更新了病毒特征库 检测每个客户端的网络访问流量 确定是否有发送大量广播包 流量异常大 网络连 接异常多的情况 对于这些异常情况及时向管理员报告 在大规模攻击出现之前找到 根源 如果通过评估和审计发现问题 系统管理员可以通过集中式操作控制平台 对电脑 终端进行集中式的管理和设置 通过集中式控制平台 也可以对电脑终端进行各种批量 的查询和统计 例如 1 策略分发 集中 批量 分组对桌面电脑进行安全设置 安全状态查询 2 软件分发和补丁管理 集中软件分发和补丁管理减轻管理员的日常维护工作量 提 高效率 如为某个部门的所有机器安装防病毒软件 3 远程控制 远程控制可以让维护人员不用离开办公位置就能够维护远程计算机 此外 UniAccessTM安全接入管理系统可以对电脑终端分组进行管理 例如 将财务部 门的电脑和其它部门的电脑区别对待 将总经理办公室的电脑和其它部门的电脑区别 对待 即 按组设置安全管理策略 对于不同级别的安全事件 采取不同的处理流程 确保重要的安全事件能够得到快 速 有效的处理 第七章第七章 UniAccessTM安全接入管理系统主要功能介绍安全接入管理系统主要功能介绍 具体来说 UniAccessTM安全接入管理系统采用集中式管理方式 提供了以下几个 方面的管理功能 7 1 网络准入控制 防止非法电脑接入网络准入控制 防止非法电脑接入 支持基于 802 1X 的网络准入控制以及 Cisco NAC 网络准入控制技术 防止非法 的或者不安全的终端接入内部网络系统 非法终端或不安全终端接入一方面会产生信 息安全行为 另一方面会破坏网络的正常稳定运行 UniAccessTM安全接入管理系统的准入控制解决方案 通过与网络设备的紧密集成 网络交换机 路由器 在不改变网络结构 例如 路由调整 不降低网络性能和 可靠性的情况下 可以支持对总部局域网接入 远程分支机构接入 VPN 接入 无线 AP 接入方式的准入控制 由于和网络设备紧密集成 UniAccessTM安全接入管理系统的准入控制解决方案的 另外一个特点是 电脑终端一接入网络 立刻接受管理和控制 在通过准入控制认证 之前 不能访问其它的网络资源或者破坏网络的性能和稳定性 7 2 防止文件非法外传及员工终端操作行为管理防止文件非法外传及员工终端操作行为管理 防止保存于电脑终端上信息机密文件被员工非法外传出去 包括 禁止 审计通过 软盘 U 盘 网络共享等方式 COPY 出去 或者禁止 审计通过 Email MSN QQ 等方 式外传文件 对员工的各种不规范行为进行矫正 例如 使用非法软件 BT e Mule MSN QQ 等 访问非法网站 改变电脑终端的硬件配置等 7 3 桌面终端的系统安全管理桌面终端的系统安全管理 对桌面终端的安全状态进行主动评估 及时发现终端的安全漏洞和不安全的设置 对 终端进行安全加固 自动为桌面终端安装补丁和进行安全设置 例如 检查桌面终端 上是否有设置屏幕保护 口令 加入 Windows 域 检查是否有木马的注册表项目 防 病毒软件及病毒特征库检查 以及对桌面终端设置 Windows 本地安全策略 打补丁等 7 4 桌面终端的批量管理 提高管理效率桌面终端的批量管理 提高管理效率 批量对桌面终端进行管理和维护 例如 集中式自动安装软件 远程监控和远程 协助 快速设备定位 批量设置终端的安全选项等 可以提高终端的日常管理和维护 效率 此外 UniAccessTM支持信息资产安全分级管理 各种安全管理策略可以按照 部门 IP 网段 IP 范围 设备组 操作系统类型 操作系统语言等条件定义安全管理策略的 应用范围 第八章第八章 补丁分发管理补丁分发管理 支持断点续传 支持断点续传 UniAccessTM补丁分发支持断点续传 如果在补丁分发过程中网络断开或者终端设备 被关机 当网络连接正常后 UniAccessTM客户端代理能够从原来的文件下载点开始继续 下载补丁包 8 1 补丁测试补丁测试 UniAccessTM支持补丁测试机制 对于一个新的补丁包 管理员可以选定一组测试计 算机进行测试 测试没有问题后 再对该补丁做确认 UniAccessTM可以控制只有管理员 确认的补丁才会被分发到各个终端 下面界面显示所有补丁信息 其中有一个属性 即补丁是否被管理员所确认 图 3 补丁信息 8 2 补丁自动分发安装补丁自动分发安装 UniAccessTM实现补丁自动分发与安装 管理员可以为某类微软产品如 Windows 2000 操作系统定义自动分发与安装策略 策略内容包括需要升级的补丁级别 补丁分发时间 补丁安装方式 是否需要管理员确认 补丁分发的目的机器范围 分发采用的中继设备 补丁下载的最大流量等 UniAccessTM会自动检查策略目标范围内的终端设备的补丁安装 情况 如果有规定级别的补丁未安装 则自动将补丁分发下去并根据安装脚本进行安装 补丁自动分发与安装策略配置界面如下图所示 图 4 补丁自动安装策略 LegView 允许管理员为单台终端设备配置补丁自动分发与安装策略 此时策略的执行 范围被限制在指定设备 其他的都与为某类产品定义的补丁升级策略相同 UniAccessTM还允许管理员为某个补丁定义自动分发与安装策略 此时 UniAccessTM在 策略目标范围内检查终端设备是否安装了该补丁 对于未安装的终端设备 在指定时间内 将补丁主动推下去进行安装 UniAccessTM可以设置补丁下载的最大流量 也可以设置分发的中继设备 从而 避免补丁下载过程占用太大网络带宽 第九章第九章 UniAccessTM网络准入控制网络准入控制部署及实施效果部署及实施效果 9 1 UniAccessTM网络准入控制技术总体介绍网络准入控制技术总体介绍 UniAccessTM网络准入控制是 UniAccessTM安全接入控制系统的一个管理组件 借助 UniAccessTM网络准入控制技术 可以对接入网络的客户机设备进行控制 只有合法身份 和满足安全要求的客户机才允许接入网络 UniAccessTM网络准入控制可以帮助用户很好地解决如下问题 防止非法的外来电脑接入网络 影响内部网络的安全 防止感染病毒 木马的桌面电脑和笔记本电脑直接接入内部网络 影响网络的正 常运行 确保接入网络的客户机符合安全管理要求 帮助安全管理员解决内部用户私自接 HUB 无线 AP 等不安全行为 UniAccessTM网络准入控制杜绝非法外来电脑接入内部网络 同时将有问题的客户机 隔离或限制其访问 直到这些有问题的客户机修复为止 这样 一方面可以防止这些客户 机成为蠕虫和病毒攻击的目标 还可以防止这些主机成为传播病毒的源头 9 2 准入控制系统部署后终端接入网络的流程准入控制系统部署后终端接入网络的流程 部署准入控制系统后 改变了电脑终端接入网络的行为模式 一般来说 电脑终端接 入网络需要 注册登记注册登记 内部终端要访问网络资源之前 需要在网络上注册登记 用户账户登记 终端 ID 注册等 取得接入网络的权限 接入检查接入检查 终端在接入网络时 准入控制系统会检查其用户账户 安全设置状态 终端硬件 合法性等 安全隔离安全隔离 如果在接入检查时 发现终端不符合安全规定 需要对终端进行隔离或拒绝其访 问网络资源 例如 发现是外来终端则拒绝接入或进入 访客区 网段 或者是 内部不符合安全规定的终端 则让其进入 修复区 安全通知安全通知 对被隔离的终端进行通知 告知其被隔离的原因 安全修复安全修复 自动引导被隔离的终端 让其修复安全设置或者进行注册登记 使得其可以正常 访问网络资源 一个完整的网络准入控制系统 应该包括以上五个方面的内容 缺少其中一个或者两 个方面的内容 就不是完善的解决方案 会给准入控制系统的部署和推广带来问题 联软科技的 UniAccessTM网络准入控制解决方案是一个完整的准入控制方案 可以提 供以上五个方面的所有内容 9 3 准入控制系统部署后的准入控制系统部署后的效果效果 部署网络准入控制服务之后 所有的桌面电脑接入计算机网络之前 都必须经过如下 认证 1 检查该电脑是否有合法的用户名密码 通过微软 AD 服务器验证 2 检查该电脑是否是本单位内部的合法终端 检查电脑的硬件 ID 合法的电脑硬件 ID 保存在管理服务器的数据库中 3 检查该电脑是否符合安全管理规定 例如操作系统补丁是否安装 防病毒软件是 否安装等 这些管理规定产生的安全策略保存在管理服务器的数据库中 网络交换机将准备接入网络的电脑终端所上传的以上各种信息转发给 Radius 服务器 由 Radius 服务器再去查询 AD 服务器和数据库服务器并将查询分析的结果返回给网络交换 机 由于网络准入控制服务一旦发生故障 会导致电脑终端无法接入网络 因此必须保障 网络准入控制的高度可靠 联软科技提供的准入控制系统部署方案具有如下特征 和认证过程相关的设备和系统 不存在单点故障 即 单台服务器或者设备的暂 时性故障 不会导致整个网络接入服务不可用 和准入控制系统相关的网络设备 服务器 数据库和软件故障 系统能够实现自 动报警 向相关管理员发送手机短信息等 在特殊紧急情况下 例如 双机故障 或分支机构到总部的广域网线路中断 1 网络管理员可以通过执行脚本的方式 快速将网络接入设置为 不设防 状态 临时撤销所有准入控制措施 使得所有电脑终端能够正常接入网络 2 如果执行网络准入控制的网络设备是 Cisco 的交换机或者路由器 可以在网络 设备上配置紧急模式 在紧急模式下 可以指定电脑终端可以访问哪些资源 通过以上手段 UniAccessTM可以保障网络接入服务的高度可用性 第十章第十章 Symantec SEP 防病毒的部署防病毒的部署 10 1 产品产品特点特点 Symantec Endpoint Protection 将 Symantec AntiVirus 与高级威胁防御功能相结合 可 以为笔记本 台式机和服务器提供无与伦比的恶意软件防护能力 它甚至可以防御最复杂 的攻击 这些攻击能够躲避传统的安全措施 如 rootkit 零日攻击和不断变化的间谍软件 Symantec Endpoint Protection 不仅提供了世界一流 业界领先且基于特征的防病毒和 反间谍软件防护 它还提供了先进的威胁防御能力 能够保护端点免遭目标性攻击以及之 前没有发现的未知攻击侵扰 它包括即刻可用的主动防护技术以及管理控制功能 主动防 护技术能够自动分析应用程序行为和网络通信 以检测并阻止可疑活动 而管理控制功能 使您能够拒绝对企业来说被视为高风险的特定设备和应用程序活动 甚至可以根据用户位 置阻止特定操作 这种多层方法可以显著降低风险 同时能够充分保护企业资产 从而使企业高枕无忧 它是一款功能全面的产品 只要您需要 即可立即为您提供所需的所有功能 无论攻击是 由恶意的内部人员发起 还是来自于外部 端点都会受到充分保护 Symantec Endpoint Protection 不仅可以增强防护 而且可以通过降低管理开销以及管 理多个端点安全性产品引发的成本来降低总拥有成本 它提供一个代理 通过一个管理控 制台即可进行管理 从而不仅简化了端点安全管理 而且还提供了出色的操作效能 如单 个软件更新和策略更新 统一的集中报告及一个授权许可和维护计划 Symantec Endpoint Protection 易于实施和部署 赛门铁克还提供广泛的咨询 技术培 训和支持服务 可以指导企业完成解决方案的迁移 部署和管理 并帮助您实现投资的全 部价值 对于希望外包安全监控和管理的企业来说 赛门铁克还提供托管安全服务 以提 供实时安全防护 10 2 产品主要优势产品主要优势 安全安全 全面的防护 集成一流的技术 可以在安全威胁渗透到网络之前将其阻止 即便是 由最狡猾的未知新攻击者发起的攻击也不例外 以实时方式检测并阻止恶意软件 包括病 毒 蠕虫 特洛伊木马 间谍软件 广告软件和 rootkit 主动防护 全新的主动威胁扫描使用独特的赛门铁克技术为未知应用程序的良好行 为和不良行为评分 从而无需创建基于规则的配置即可增强检测能力并减少误报 业界最佳的威胁趋势情报 赛门铁克的防护机制使用业界领先的赛门铁克全球情报 网络 可以提供有关整个互联网威胁趋势的全面视图 借助此情报可以采取相应的防护措 施 并且可以帮助您防御不断变化的攻击 从而使您高枕无忧 简单简单 单一代理 单一控制台 通过一个直观用户界面和基于 Web 的图形报告将全面的 安全技术集成到单一代理和集中的管理控制台中 能够在整个企业中设置并实施安全策略 以保护您的重要资产 添加 SymantecNetwork Access Control 支持时 可以简化管理 降 低系统资源使用率 并且无需其它代理 通过购买许可证可以在代理和管理控制台上自动 启用 Symantec Network Access Control 功能 易于部署 由于它只需要一个代理和管理控制台 并且可以利用企业现有的安全和 IT 投资进行操作 因此 Symantec Endpoint Protection 易于实施和部署 对于希望外包安 全监控和管理的企业 赛门铁克提供托管安全服务 以提供实时安全防护 降低拥有成本 Symantec Endpoint Protection 通过降低管理开销以及管理多个端点 安全产品引发的成本 提供了较低的总体拥有成本 这种保障端点安全的统一方法不仅简 化了管理 而且还提供了出色的操作效能 如单个软件更新和策略更新 统一的集中报告 及一个授权许可和维护计划 10 3 主要功能主要功能 防病毒和反间谍软件 提供了无可匹敌的一流恶意软件防护能力 包括市场领先的 防病毒防护 增强的间谍软件防护 新 rootkit 防护 减少内存使用率和全新的动态性能 调整 以保持用户的工作效率 网络威胁防护 提供基于规则的防火墙引擎和一般漏洞利用禁止功能 GEB 该功 能可以在恶意软件进入系统前将其阻止在外 主动威胁防护 针对不可见的威胁 即零日威胁 提供防护 包括不依赖特征的主 动威胁扫描 单个代理和单个管理控制台 在一个代理上提供防病毒 反间谍软件 桌面防火墙 IPS 设备控制和网络访问控制 需要购买赛门铁克网络访问控制许可证 通过单个管 理控制台即可进行全面管理 10 4 产品部署产品部署 它提供一个代理 通过一个管理控制台进行统一集中的管理 安装控制台后 由控制台 导出客户端安装 10 5 安全管理策略设计安全管理策略设计 10 5 1 备份和数据库维护策略备份和数据库维护策略 安排一些策略备份的调度计划 在服务器软硬件出现故障时 可以快速恢复整个系统 安排数据库事务日志的维护计划 防止事务日志无限制膨胀 吞噬掉所有硬盘空间 导致系统无法正常工作 10 5 2 安全策略安全策略 防病毒策略防病毒策略 防病毒管理服务器的病毒定义码更新时间规划 防病毒客户端的病毒定义码更新时间规划 防病毒客户端的实时防护设置 配置病毒检测的类型 操作处理方式 警报方式 防病毒客户端的日志记录时间设置 防病毒客户端的隔离区参数设置 防病毒客户端的篡改选项设置 防病毒客户端的调度扫描设置 包括扫描的类型和对病毒的处理方式 防火墙策略防火墙策略 在该策略库中做了 2 个策略模版分别为 隔离区策略 内网限制策略 在这些策略模 版中包括以下几个策略 受限的应用程序 禁用一些与工作无关的应用程序运行 恶意程序黑名单 禁用一些严重的病毒 木马 恶意程序 禁止拨号和无线网络连接 防止非法外连 互联网网址屏蔽策略 杜绝与公网 IP 的通讯 操作系统防护策略操作系统防护策略 设备禁用示例 USB 存储设备只读 防止 USB 木马传播 防止 IE 加载恶意插件示例 禁止程序运行示例 注册表键保护示例 文件修改审计示例 主机完整性策略主机完整性策略 防病毒软件的安装与运行检测规则 分发防病毒软件示例 补丁检查策略 分发补丁示例 卸载指定补丁示例 安全加固设置 针对 SAN top10 所列漏洞的检查及修复 针对 IIS 漏洞的检查及修复 针对 Internet explorer 漏洞的检查及修复 其他常见服务和应用的漏洞 常见系统设置弱点 禁止匿名访问 禁止空连接 统一桌面管理设置 统一墙纸 统一屏保 IE 主页设置 IE 代理设置 IE 安全级别设置 Registry tool 限制 添加删除程序限制 禁止更改 IP 设置 时间同步设置 禁止更改系统时间 桌面锁定 默认主页设定策略 第十一章第十一章 硬件配置硬件配置 11 1 UniAccessTM硬件配置硬件配置 11 1 111 1 1 UniAccessUniAccessTM TM服务器硬件 服务器硬件 1 1 台 必选项目 台 必选项目 运行 UniAccessTM后台服务器软件以及 Microsoft SQL Server 2000 应用 服务器操作系统可以选用 Windows2000 以上中文版系统 UniAccessTM内置 HTTP 服务器软件 因此操作系统安装时请勿启用 Microsoft IIS 系 统 服务器上需安装 SQL Server 数据库 实现对全网所有系统的管理 服务器需要 SQL Server 2000 数据库系统 数据库占用空间的大小取决于以下因素 包括 被管理的客户机的数量 被监控的网络设备 服务器 应用系统数量 使用 联软 IT 安全运维管理系统 的事件 其它因素 部署功能部署功能支持节支持节 点数点数 配置要求 最低要求 配置要求 最低要求 部署 UniAccessTM U niMon 包含网络行 为审计功能 1000 台 终端设备 50 台网络设备 2 CPU 主频 3 0G Hz 以上 DRAM 2GB 以上 Hard disk 80GB IDE 网卡 100MB 11 1 2 RadiusRadius 服务器 服务器 2 2 台 必选台 必选 1 1 台 台 若需要部署准入控制 一般建议采用双 Radius 服务器 且建议 Radius 服务器的主服 务器采用独立的硬件服务器 在预算不足的情况下 Radius 服务器可以和其它应用共享 一台硬件服务器 Radius 服务器配置要求如下 节点数配置要求用户 确认 5000 个终端 1 CPU 主频 2 0G Hz 以上 DRAM 512MB 以上 Hard disk 20GB IDE 网卡 100MB 11 1 3 补丁下载服务器 补丁下载服务器 1 1 台 可选 台 可选 在某些情况下 需要将补丁下载服务器独立部署 例如 UniAccessTM 管理服务器部 署在内网 补丁下载服务器配置要求如下 节点数配置要求用户 确认 不限 1 CPU 主频 2 0G Hz 以上 DRAM 256MB 以上 Hard disk 40GB IDE 网卡 100MB 备注 可以选用淘汰的 PC 机顶替 11 1 4 探测器探测器 1 1 台 可选台 可选 有时需要在网络内部署探测器 探测器有两个用途 1 部署于 802 1x 准入控制 Guest VLAN 用于管理未安装 Agent 的客户机 2 软件方式实现准入控制 在网络设备不支持 802 1x Cisco NAC EoU 认证的情况 下实现网络接入控制 探测器安装服务器要求如下 节点数配置要求用户 确认 不限 1 CPU 主频 2 0G Hz 以上 DRAM 256MB 以上 Hard disk 20GB IDE 网卡 100MB 备注 可以选用淘汰的 PC 机顶替 11 211 2 SymantecSymantec SEPSEP 硬件配置硬件配置 SymantecSymantec SEPSEP 防病毒服务器防病毒服务器 1 台 必选项目 台 必选项目 运行 SEPM 控制台以及 Microsoft SQL Server 2000 应用 服务器操作系统可以选用 Windows2003 windows 支持更新补丁版本 操作系统安装 时需要启用 Microsoft IIS 系统 因此不能与 UniAccessTM服务器共用 部署功能部署功能配置要求 最低要求 配置要求 最低要求 兼容系统兼容系统 部署 Symantec SEP 防病毒服务器 处理器 900MHz Intel Pentium III DRAM 2GB 以上 显示器 SuperVGA 1024 768 或更高 软件环境 Internet Information Service Server5 0 或更高版本 须启动 Internet Explorer 6 0 或更高版本 静态 IP 地址 Java Runtime Environment1 4 2 系统自 动安装 Windows200 0 WindowsXP Windows200 3 第十二章第十二章 系统部署时间系统部署时间 由于 UniAccessTM的安装 部署简单 系统的部署时间相对其它同类产品而言较短 一般来说 类似 XXX 这样的大型网络系统 整个软件的部署实施时间需要 6 8 周左 右的时间 第十三章第十三章 附录附录 12 1 案例简介案例简介 案例一案例一 某金融公司案例介绍解决方案 基于某金融公司案例介绍解决方案 基于 802 1X802 1X 的准入控制的准入控制 方案 方案 如果所有接入层交换机均支持 802 1x 协议 Leagsoft 建议选择基于 802 1x 的网络准入 控制方案 基于 802 1x 网络准入控制方案本质上是依据接入网络的桌面 PC 机的身份和是否满足 组织安全策略 由 UniAccessTM控制网络交换机 让网络交换机动态控制端口是否打开以 及动态切换端口所属的 VLAN 不同的 VLAN 有不同的网络资源 实现了网络资源的访问 控制 UniAccessTM可以支持所有主流的网络设备 包括思科 华为 3Com 和北电等 可以 在有多家网络设备共存的环境中实现基于 802 1x 的网络准入控制 在基于 802 1x 的网络准入控制方案中 每个内部合法用户的客户机上安装的 UniAccessTM客户端软件是一个兼容 802 1x 的代理 管理员需要为整个网络划分不同的 VLAN 并将这些 VLAN 分配给不同的部门 用户 组或者是用户 有两个特殊的 VLAN 一个是修复区 VLAN 这个 VLAN 中主要有一些文 件服务器 供不满足组织安全策略要求的客户端打补丁 安装防病毒软件 更新防病毒软 件特征库等 另一个是访客区 VLAN 这个 VLAN 中主要是一些可以公共访问的资源 如 对外的网站服务器等 如果是来自内部合法的桌面 PC 接入网络 UniAccessTM将采取如下控制措施 1 检查用户输入的用户名和口令是否合法 检查客户端是否满足安全策略要求 2 只有合法身份的用户以及满足组织安全规范的桌面 PC 才能接入到网络中 否 则系统会将此桌面 PC 机 包括没有安装客户端代理的桌面 PC 机 自动切换到 一个修复 VLAN 中 客户端在此修复 VLAN 中访问修复安全漏洞必须的网络资 源 3 合法身份的用户以及满足组织安全规范的桌面 PC 接入到网络时 系统会根据 用户身份自动将桌面 PC 机切换到属于该用户的工作 VLAN 中 从而实现不同 权限的人可以访问不同的网络资源 如果是来自外部的 PC 机试图接入网络 UniAccessTM系统将采取如下措施 1 拒绝外部非法 PC 机接入网络 或者 2 将外部 PC 机设置到访客区 VLAN 中 UniAccessTM可以到 AD 服务器 邮件服务器或者 UniAccessTM内部用户数据库中验证 桌面 PC 机的用户身份信息 应用服务器 UniAccess 服务器 主 合法用户 符合安全要求 合法用户 不符合安全要求 UniAccess 服务器 备 接入控制交换机 支持802 1X 非法接入 拒绝接入 自动隔离 图 5 基于 802 1x 的端口级准入控制方案 基于 802 1x 的网络准入控制方案中 所有的 PC 接入都需要通过 UniAccessTM 服务器 予以验证其是否符合安全要求 为避免 UniAccessTM 服务器成为单点故障 建议配置两台