Paloalto网络安全系统解决方案设计HA

1、Paloalto 网络安全解决方案北京信诺瑞得信息技术有限公司总页数11正文附录生效日期：编制：王重人审核：批准：目录 TOC o 1-5 h z HYPERLINK l bookmark6 o Current Document 1概述 3 HYPERLINK l bookmark8 o Current Document 2方案设计 3 HYPERLINK l bookmark10 o Current Document 2.1拓扑结构 3 HYPERLINK l bookmark12 o Current Document 3方案说明 4 HYPERLINK l bookmark14 o Cur

2、rent Document 3.1设备功能简介 4概 述随着网络的建设，网络规模的扩大，鉴于计算机网络的开放性和连通性，为计算机网络 的安全带来极大的隐患，并因为互联网开放环境以及不完善的网络应用协议导致了各种网络 安全的漏洞。计算机网络的安全设备和网络安全解决方案由此应运而生，并对应各种网络的攻击行为， 发展出了各种安全设备和各种综合的网络安全方案。零散的网络安全设备的堆砌，对于提高 网络的安全性及其有限，因此，如何有效的利用但前的网络设备，合理组合搭配，成为网络 安全方案成功的关键。但是，任何方案在开放的网络环境中实施，均无法保证网络系统的绝对安全，只能通过 一系列的合理化手段和强制方法，

3、提高网络的相对安全性，将网络受到的危险性攻击行为所 造成的损失降到最低。网络安全问题同样包含多个方面，如：设备的安全、链路的冗余、网络层的安全、应用层的安全、用户的认证、数据的安全、VPN应用、病毒防护等等。在本方案中，我们提出的解决方案主要侧重在于：HA（高可用性）、IPSecVPN但是 paloalto 同时也能解决网络层安全、访问控制的实现、病毒的防护、间谍软件的防护、入侵的防护、URL的过滤、，以提高网络的安全防御能力，并有效的控制用户上网行 为和应用的使用等安全问题。方 案 设计拓扑结 构HA分公司1PA-4020总公司PA-4050X2分公司HA分公司1PA-4020总公司PA-4

4、050X2分公司1PA-4020白一一C In ternet方 案 说明总公司与分公司之间用IPSecVPN连接总公司采用两台paloalto4050组成HA（Active-Active），提高网络可用性和稳定性设备功 能简介Paloalto设备可采用Active-Active和Active-Standby两种模式运行，在 本方案中采用 Active-Active 模式，以便可以最大的发挥设别的性能。并且paloalto设备可以在VirtualWire（完全透明状态）、L2、L3任意网络层 面开启HA，即paloalto可以在完全不影响网络拓扑结构的情况下，串接进入网络 并组成 HA。Palo

5、alto设备在建立HA后，可以进行session （会话）同步，也就是说在一 台设备故障时另一台设备可以再会话不中断的情况下进行设备切换。并且 paloalto4050 使用多达 3 条线路进行设备的心跳、状态、配置和会话的同步， 并且每条线路还可以再配置冗余。使用 paloalto 设备建立 IPSecVPN 隧道，在起到加密作用的同时，还可以在 同一设备端口和IP 上建立多条隧道包括SSLVPN，并且paloalto设备对其他主 流设备品牌有很好的兼容性，例如与 Juniper、CISCO 等 3 层设备都能很好的建 立IPSecVPN隧道。在提供稳定的VPN连接和HA之外，paloalt

6、o还能提供强大的应用过滤和管 理功能，可以极大的节省网络带宽资源。下一代 防火墙技术优势3.2.1 识别技术Palo Alto Networks 的新一代防火墙系列,使用三种独特的识别技术对应用程序、使用 者和内容提供原则式可见度和控制，这三种技术是:App- ID、UserTD和Con tent TD。 App-ID是一项专利申请中的传输流量分类技术，此技术使用高达四种不同的辨识 技术，可以确认哪个应用程序在网络上周游。然后使用应用程序识别码为基础，进行 所有原则决策， 包括适当的用途和内容检查等。应用程序通讯协定侦测与解密:App-ID凭借深厚的应用程序通讯协定知识，可 以识别正在使用的通

7、讯协定以及是否使用 SSL 加密。解密已加密的传输流量， 根据原则进行检查，再重新加密并传送往目的地。应用程序通讯协定解码:通讯协定解码器会判断应用程序是否使用通讯协定做 为一般应用程序传输或是混淆的技术，它们会协助尽量缩小应用程序的范围，并 在套用签章时提供有价值的内容。解码器也会识别应该扫描威胁或敏感资料的 档案和其他内容。应用程序签章:内容式签章会寻找独特的应用程序属性以及相关的交易特性，无 论正在使用哪一种通讯协定及连接端口的情形下，都能正确地识别应用程序。启发学习法：启发学习法或行为分析会依照需要结合其他App-ID识别技巧，以 识别某些规避应用程序，特别是使用所有权加密的应用程序。

8、ihredtiI .1，旺I2BrAK HUserTD紧密地整合Palo Alto Net works新一代防火墙与ActiDirectory,动ihredtiI .1，旺I2BrAK HUserTD紧密地整合Palo Alto Net works新一代防火墙与ActiDirectory,动19919,036 nL0.B7fl.912 IIl?r30Z n 阴和DIE3益丄：回盂回益呼盂.-LII1G709n-123d-5673o.-o11111111112Oflorticnr：azureua6771pptream4r265 E113,530,253 0blaEk&oard3,&B9 E1+0

9、,562,316 rac ebook-base3J21 E29,571,551 IIntp3,314 1,H3Q,722 1flashS,103 E3L7,759,950 一SITLtp2,773 38.BE5,337 Eicmp2,364 t05J9G 1griUCGllaLrg7$9.600,(197 13囲4ID. 156.10,1 S10456.10.1pinsdflmoahFLad.varislS.6B2.fl26 i2,75 II5LD.15fi.l.fl4 MLO. 156.1.a 斗pansgdenxiXEliisi.tang6.5+6.529 2r237 QLD.1S6.14

10、.29 010.156.29:口 ansdsraSvincEnLjuari2337.286 12rlfi? QLD.156.4.,95 ELO. 156.4.95pn 穷电伽出en-曲mi1P2WH13 i2rll Dg1D.1S6.14.1S a10456A4Z15:口占ny?d 电mg 让 hrtstopMido叫GED工册左a2.03fi Qt0.156r&.166 I?66皿n那krnoed僧uno kwn佃15EE 1h腳IIIDID. 156,9.1331口 ansGdnxiXarKjre.srigLfl.93B.276 1QItLD.156.9.207 tfW. 156.9.20

11、7“n边d电砸韜1匚如曲1357J69 11：LDJ56.14.30 由10.156.H.3DpansgdfirnaXtimciinv./afT3&3,133 11,61-1 Dli 1310.156,5.167 O-67pansdemnVapiiiel.sin;i13797 01网u3 4LD.156.E.20Q 廨L0.156.fi.2DDpanscdemascdln.rohaiiaj15304,78 0n1 cID. 156.14.33 10,156.133口 ansgderrKLpeLvunQ471.402 11.2 UllLDJ56.9.2aj 皿10.15E.9.201pandrr

12、dXxla.lukltDLdr5&2JDi5 1_1,427 nJ1D.1S6.&.12S U10.156.128口 anspdrrKili.cldanr0&456 匚1.3? UIfiLD45E.14.2B 10.156. H.28皿“溷规M&deiln罠除32002 i1少4 II19LDJ56.6.B4 宙4口 ansodrrxiXilaLcril3?3,93 斗 11.272 02DID. 156.1.106 06pins&defnoeiling.Mrig53&9.U86 1ir22 n2LID.15&.L4.3出L0.156.H.31pansgderTX3-d：riui. lau1,

13、351,579 1ij耐n=281 10.156.i0.18lparnspderngkee waiW6J65 IIlr157 DLD.156.E.19B 皿LO. I56.E.19B“n 巒 Errni 灿他.90IrB5O,5SS 聊D1 Cl 1 c -i 1 -口；3 nai /m j ijnMeteorPaUciesMeteorPaUciesTObjertsNetworkDewreContent-ID 结合即时威胁防范引擎与广泛的 URL 资料库和应用程序识别码元素 ,以限制未经授权的档案传输,侦测并封锁广大的威胁范围以及控制非工作相关的网 络浏览。单通道架构使用串流式扫描与一致签章格

14、式的组合 ,检查传输流量。 Content-ID 搭配 App-ID 运作,利用应用程序识别码, 使内容检查程序更有效率。URL FilterinqCategorySssionsBytes硬匕 *-adwrtiTiriK13网2 F374rfi9ar590 3rycomputer-aiEld ntcrnct-i nfo9俯0156r441P41S CleducaticnBl-intilutrcinsE.675 Q235,973r535 Z5busineM-and-szanomE.093 nE3,.EBlr396 35Pepping762 UL3fB62r7B4 3parked dontehs工

15、平15 n7Zf455rZ4Z liinternet portaii726 D9arD9Zr458 3II rrews-arrd-media5.B13 3,195,232 ybjfidS nMrLyKrU45 3Hpcra nai -gtesand-blogs4勺兀US9rL9SP5fil Ditsocial nehvorkiris3,1BB Q41,657,951 112unknowri3fBC nL61r90gr341 3J 23ireaming-mediaj.aji D26f 261,403 1J4.H 日吕1匚 E-and-wsarc h1,6 rZ6f749r77 1training

16、 略 nchtoo 也ld623 4SrL57r7E2 imtertain m-ent-and artslr50【10,797,702 1117societv1,253 rZ0rl97rZ74 1contaitdelivery ndvorks1.172 D22P455f703 i19matv/are-srtes1,036 15,298,756 1|lagcivernmem921 II69,.2D4rfi4Q 32Ldeaditss911 12flr263,4)4 1hucUumS24 II9f458r704 1onh ne-perEO naJ 血 ragtilt 129rL57rE30 112

17、4loca - nfcreationa 10 1532,532 1&travel7C1 IIlLJ?7r722 1kFGRbflMii：HTTP OPTTONS 氏lh04LCWftFDRH,%7nDHAL；.miiJUW1113ThrwMRFC2397 閑苗 IIRL 5(1已 Usa加 Detazted卜也mLhfTTP Active Conml Code；凸eaXicn 血卜曲殆iiiR HTTP Non RRXonnplat讯伽皿 kFGRbflMii：HTTP OPTTONS 氏lh04LCWftFDRH,%7nDHAL；.miiJUW1113ThrwMRFC2397 閑苗 IIRL

18、 5(1已 Usa加 Detazted卜也mLhfTTP Active Conml Code；凸eaXicn 血卜曲殆iiiR HTTP Non RRXonnplat讯伽皿 Mabe PDF File With Embedded 珈script CouF-oriBar Get updates tMibar buttons Hdttiar_H_a_3fiH Get 肖ej RequestVlrWInl.lltls.aHTTP Javascript otiiUKatlan DetectedTroja n 门乩 ITrarnei.DEMlcrasort EE 5am p le SalpE A/tHt

19、ray Fl 4 Dtscla sura Vulnaati i：ltvMyWebSearch Toolbar startup ccnfiguratKjnTrojanJs. Agent.b：?0520W19074432660319711QB299642D33B44338252544243D323JD7D4252979Typw 讪側就iilg vuHwatJililvVul 阳曲 ilitVvuHwabilttyvulwraijilitvspvwa 阻virusvulrriH-Bbilftvvirusvulrrerabilftysparevirus：Cwnt54 H BOato Filtsriof

20、iaiiKIDTypeCount1.TeKheidafa2&LConfidential60002dataLLP GCRItEfW&01dataILL d4Mobe Portable Docume-it Fnoat : PDF)52021file103 口5McresorLVrd52001tile40 U*&MErosolt PweiPoint52000File33 07ZIP52OMFils75 QaTAR52W5HIe14 1孕HkrcwftViferd52012Fils10 110Endows Ejtoiutabk:- (EXE)5202CfilizID 1一组丰富的网络功能，IPSecV

21、PN和管理功能结合AppTD、UserTD和Con ten tTD做为PAN-OS的主要功能，PAN-0S是控制Palo Al to Net works新一代防火墙的安全性特定作 业系统。PAN-OS加入自订硬体平台系列，这是专为管理企业网络传输流量设计，针对网络 功能、安全性、威胁防护与管理使用功能特定处理程序。整合式威胁防范当今，企业用户都为自己配备了高速互联网连接与浏览器，使之可立即访问最新最好的 网络应用程序。但大多数用户都不知道，许多此类新应用程序正是威胁矢量，他们使企业 网络陷于业务风险之中，包括网络停机、数据丢失及业务成本增加。多数此类新型威胁都是针对财务收益，也就意味着隐密性与

22、创新性才是黑客攻击致胜的 法宝。由于安全经理面对的威胁挑战日益增多，鉴于其采用“发现一个安全问题，部署一 台新设备”的原则，使得其安全架构也越来越庞大。但，由于缺乏对各解决方案功能性的 协调、管理界面的不一致以及性能低下，都导致了此类部署的失败。更重要的是，此类基 于部门的安全模块并不能重点解决黑客利用企业安全方案中“未能对当前终端用户所使用的 各种应用程序访问进行检查”这一漏洞。Palo Alto Networks的下一代防火墙可向安全管理员提供两个防范威胁的扩展解决方 案。 首先，识别并控制网络中的应用程序，并减少威胁范围，而后，检查单通道中许可应 用程序中是否感染了病毒、间谍软件或遭受了

23、漏洞攻击。控制应用，阻止威胁为避免企业网络受到威胁攻击，首先要做到的就是重新获得网络中应用程序使用的可视 性与控制性，即：利用准专利流量分类技术App-ID明确的了解网络中采用任何端口、协议、 SSL或逃避技术的应用程序使用情况。利用App-ID生成的应用程序标识可对威胁探测解决 方案起到两大关键作用。应用程序标识，及其描述、特性与使用者都可为安全管理员决定 如何利用策略控制应用程序时，提供进一步依据。 对于企业网络、 P2P 文件共享或 circumventor中业务不需要的应用程序则可简单阻止。允许使用的应用程序则应做出标识, 并实施细粒度级控制，而后对其进行病毒、间谍软件与漏洞攻击检查。

24、App-ID的第二个威 胁防范作用为可通过破译应用程序提高检查幅度与精准性，然后再将其重新组合并分析，了 解其内容，以便于各种类型威胁的检查。然而，传统的基于端口的解决方案采用的是单一的分类技术（协议/端口）识别流量， 而 App-ID 则可利用其一项甚至多项此类技术-即：应程序协议探测与解密，应用程序破译、 应用程序签名及启发式分析对所有通过防火墙的流量进行检查，迅速识别与各数据包流相关 的应用程序。通过查看应用程序，而非仅查看端口或协议，App-ID可识别出那些可避开安 全检查的应用程序。SP3 架构：单次完整扫描Palo Al to网络威胁防范引擎基于SP3架构，集成了多种创新性特性，在一次流量监测 中队所有流量是否有病毒、间谍软件及漏洞攻