网络安全方案

1、目录 TOC o 1-5 h z HYPERLINK l bookmark4 o Current Document 网络安全问题2 HYPERLINK l bookmark10 o Current Document 设计的安全性2 HYPERLINK l bookmark13 o Current Document 网络拓扑结构图3 HYPERLINK l bookmark16 o Current Document 设备选型3 HYPERLINK l bookmark19 o Current Document 安全隔离与信息交换系统4 HYPERLINK l bookmark22 o Curre

2、nt Document 应急指挥调度系统6 HYPERLINK l bookmark25 o Current Document 网络安全审计系统7 HYPERLINK l bookmark28 o Current Document 服务器群组防护系统8 HYPERLINK l bookmark31 o Current Document 数据库审计系统9 HYPERLINK l bookmark34 o Current Document 总结11网络安全问题随着国内计算机和网络技术的迅猛发展和广泛普及，企业经营活动的各种业务系统都立足于 Internet/Intranet环境中.但随之而来的安全

3、问题也在困扰着用户。Internet所具有的开放性、国际性和自由 性在增加应用自由度的同时，对安全提出了更高的要求。一旦网络系统安全受到严重威胁，甚至处于瘫痪 状态，将会给企业、社会、乃至整个国家带来巨大的经济损失。应此如何使企业信息网络系统免受黑客和 病毒的入侵，巳成为信息事业健康发展所要考虑的重要事情之一.一般企业网络的应用系统，主要有WEB、 Email、OA、MIS、财务系统、人事系统等。而且随着企业的发展，网络体系结构也会变得越来越复杂， 应用系统也会越来越多。但从整个网络系统的管理上来看，通常包括内部用户，也有外部用户，以及内外网 之间。因此，一般整个企业的网络系统存在三个方面的安

4、全问题：Internet的安全性：随着互联网的发展，网络安全事件层出不穷。近年来，计算机病毒传播、蠕虫攻击、 垃圾邮件泛滥、敏感信息泄露等巳成为影响最为广泛的安全威胁。对于企业级用户，每当遭遇这些威胁时， 往往会造成数据破坏、系统异常、网络瘫痪、信息失窃，工作效率下降，直接或间接的经济损失也很大。企业内网的安全性:最新调查显示，在受调查的企业中60%以上的员工利用网络处理私人事务。对网 络的不正当使用，降低了生产率、阻碍电脑网络、消耗企业网络资源、并引入病毒和间谍，或者使得不法员 工可以通过网络泄漏企业机密，从而导致企业数千万美金的损失.所以企业内部的网络安全同样需要重视， 存在的安全隐患主要

5、有未授权访问、破坏数据完整性、拒绝服务攻击、计算机病毒传播、缺乏完整的安全 策略、缺乏监控和防范技术手段、缺乏有效的手段来评估网络系统和操作系统的安全性、缺乏自动化的集 中数据备份及灾难恢复措施等。内部网络之间、内外网络之间的连接安全：随着企业的发展壮大及移动办公的普及，逐渐形成了企业总 部、各地分支机构、移动办公人员这样的新型互动运营模式。怎么处理总部与分支机构、移动办公人员的 信息共享安全，既要保证信息的及时共享，又要防止机密的泄漏巳经成为企业成长过程中不得不考虑的问 题.各地机构与总部之间的网络连接安全直接影响企业的高效运作.设计的安全性设计的安全性通过对网络系统的风险分析及需要解决的安

6、全问题，我们需要制定合理的安全策略及安全 方案来确保网络系统的机密性、完整性、可用性、可控性与可审查性。即， 可用性：授权实体有权访问 数据 机密性：信息不暴露给未授权实体或进程 完整性：保证数据不被未授权修改 可控性：控 制授权范围内的信息流向及操作方式可审查性:对出现的安全问题提供依据与手段 访问控制：需要由 防火墙将内部网络与外部不可信任的网络隔离，对与外部网络交换数据的内部网络及其主机、所交换的数据 进行严格的访问控制。同样，对内部网络，由于不同的应用业务以及不同的安全级别，也需要使用防火墙将 不同的LAN或网段进行隔离，并实现相互的访问控制。 数据加密：数据加密是在数据传输、存储过程

7、 中防止非法窃取、篡改信息的有效手段。 安全审计：是识别与防止网络攻击行为、追查网络泄密行为的重要措施之一.具体包括两方面的内容，一是采用网络监控与入侵防范系统，识别网络各种违规操作与攻击行 为，即时响应（如报警）并进行阻断；二是对信息内容的审计，可以防止内部机密或敏感信息的非法泄漏.网络拓扑结构图设备选型传统的组网已经不能满足现在网络应用的变化了，在组网的初期必须考虑到安全和网络的问 题。免疫网络的主要理念是自主防御和管理，它通过源头抑制、群防群控、全网联动使网络内每 一个节点都具有安全功能，在面临攻击时调动各种安全资源进行应对.它具有安全和网络 功能融合、全网设备联动、可信接入、深度防御和

8、控制、精细带宽管理、业务感知、全网监 测评估等主要特征.下面让我们看看这几个特征的距离内容安全和网络功能的融合 网 络架构的融合，主要包括网关和终端的融合网关方面：ARP先天免疫原理一NAT表中添加源MAC地址滤窗防火墙-封包检测，IP分片检查5 UDP洪水终端方面：驱动部分一免疫标记网络协议的融合-行为特征和网络行为 的融合全网设备的联动 驱动与运营中心的联动分收策略驱动与驱动的联动IP地址 冲突网关和驱动的联动群防群控 运营中心和网关的联动（外网攻击，上下线可信接 入 MAC地址的可信（类似于DNA），生物身份传输的可信（免疫标记）深度防御和 控制深入到每个终端的网卡深入到协议的最低层深入

9、到二级路由，多级路由器下精 细带宽管理 身份精细一IP/MAC的精确位置精确一终端驱动路径细分（特殊的IP） 流量去向（内,公网）应用流控（QQ,MSN）业务感知 协议区分和应用感知 它与防 火墙（FW）、入侵检测系统（IDS）、防病毒等“老三样组成的安全网络相比，突破了被动 防御、边界防护的局限，着重从内网的角度解决攻击问题，应对目前网络攻击复杂性、多样 性、更多从内网发起的趋势，更有效地解决网络威胁。 同时,安全和管理密不可分。免疫 网络对基于可信身份的带宽管理、业务感知和控制，以及对全网安全问题和工作效能的监测、 分析、统计、评估，保证了企业网络的可管可控，大大提高了通信效率和可靠性。安

10、全架构分析根据企业网络现状及发展趋势，主要安全措施从以下几个方面进行考虑： 网络传输保护主要是数据加密保护主要网络安全隔离通用措施是采用防火墙网络病毒防护采用网络防病毒系统 广域网接入部分的入侵检测 采用入侵检测系统 系统漏洞 分析采用漏洞分析设备定期安全审计 主要包括两部分：内容审计和网络通信审计 重要数据的备份 重要信息点的防电磁泄露 网络安全结构的可伸缩性 包括安全设 备的可伸缩性，即能根据用户的需要随时进行规模、功能扩展 网络防雷（2）网络安全 作为企业应用业务系统的承载平台，网络系统的安全显得尤为重要.由于许多重 要的信息都通过网络进行交换，安全隔离与信息交换系统专网业务涉密网与办公

11、业务非涉密网间,根据业务及应用特点，以需求为导向，以应用为核心，以方便群众为 最终目的，利用先进理念和技术，以提高我机关工作效率，充分利用现有资源和技术力量，实现系统的计算机 网络化处理和应用，根据实际存在数据双向交换的需求和国家相关主管部门的要求在充分做到安全保证的 前提下，允许非涉密数据在两个网络间交换。1.1技术实现安全隔离与信息交换系统（网闸）的工作基于人工信息交换的操作模式，即由内外网主机模块分别负责接 收来自所连接网络的访问请求，两模块间没有直接的物理连接，形成一个物理隔断，从而保证可信网和非可 信网之间没有数据包的交换，没有网络连接的建立。在此前提下，通过专有硬件实现网络间信息的

12、实时交 换.这种交换并不是数据包的转发，而是应用层数据的静态读写操作，因此可信网的用户可以通过安全隔离 与信息交换系统（网闸）放心的访问非可信网的资源，而不必担心可信网的安全受到影响.信息通过网闸传递需经过多个安全模块的检查，以验证被交换信息的合法性.当访问请求到达内外网主机模 块时，首先由网闸实现TCP连接的终结，确保TCP/IP协议不会直接或通过代理方式穿透网闸；然后，内外 网主机模块会依据安全策略对访问请求进行预处理，判断是否符合访问控制策略，并依据RFC或定制策略对 数据包进行应用层协议检查和内容过滤,检验其有效载荷的合法性和安全性。一旦数据包通过了安全检查， 内外网主机模块会对数据包

13、进行格式化，将每个合法数据包的传输信息和传输数据分别转换成专有格式数 据，存放在缓冲区等待被隔离交换模块处理。这种“静态”的数据形态不可执行，不依赖于任何通用协议，安全隔离与信息交换系统（网闸）通过专有的隔离交换卡实现内外网主机模块的缓冲区内存映射功能，将指定 区域的数据复制到对端相应的区域，完成数据的交换。隔离交换卡内嵌安全芯片，采用高速全双工流水线 设计，内部吞吐速率达2Gbps，完全可以满足高速数据交换的需要.隔离交换模块固化控制逻辑，与内外网 模块间只存在内存缓冲区的读写操作，没有任何网络协议和数据包的转发。隔离交换子系统采用互斥机制, 在读写一端主机模块的数据前先中止对另一端的操作，

14、确保隔离交换系统不会同时对内外网主机模块的数 据进行处理，以保证在任意时刻可信网与非可信网间不存在链路层通路，实现网络的安全隔离.当内外网主 机模块通过隔离交换模块接收到来自另一端的格式化数据，可根据本端的安全策略进行进一步的应用层安 全检查.经检验合格，则进行逆向转换，将格式化数据转换成符合RFC标准的TCP/IP数据包，将数据包发送 到 目 的 计 算 机， 完 成 数 据 的 安 全 交安全隔离网闸（从硬件上来分主要包括三部分，分别是专用安全隔离切换装置（数据暂存区）、内部处理单元 和外部处理单元。系统中的专用安全隔离切换装置分别连接内部处理单元和外部处理单元，这种独特设计 保证了安全隔

15、离切换装置中的数据暂存区在任一时刻仅连通内部或者外部处理单元，从而实现内外网的安 全隔离。应急指挥调度系统应急指挥调度平台系统是一个构架于通用软、硬件环境之上的成熟、开放、可快速定制的产品化平台系 统。通过它可以迅速整合用户现有资源如：网络、有线无线通讯、视频监控、GIS电子地图、GPS跟踪定位、 SMS、预案与应急知识库等，适应用户业务特色，形成一个稳定而且专业的应急指挥系统，极大的缩短了用 户应急指挥系统的建设周期，规避了项目开发潜在的风险，有效的保护了用户投应急指挥调度系统二、平台系统功能1、支持多级指挥管理系统搭建2、应急资源与事件管理3、突发事件的快速响应与智能指挥4、应急预案、辅助

16、决策支持和GIS系统管理5、智能调度和多媒体融合通讯网络安全审计系统网络安全审计系统是针对业务环境下的网络操作行为进行细粒度审计的合规性管理系统.它 通过对被授权人员和系统的网络行为进行解析、分析、记录、汇报，以帮助用户事前规划预 防、事中实时监视、违规行为响应、事后合规报告、事故追踪溯源，加强内外部网络行为监 管、促进核心资产（数据库、服务器、网络设备等）的正常运营.网络安全审计系统完善业务系统的安全防范体系，满足组织机构内外部合规性要求，全面体 现管理者对业务系统信息资源的全局把控和调度能力。主要表现在：1、如同不知疲倦的 网络警察，时刻监视着对重要资源的访问；2、当出现安全事件后，能根据

17、翔实的审计记 录，一步步地追查出攻击者;3、找出导致安全事件、性能波动的真正原因4、帮助用户加 强内外部网络行为监管、满足企业内部控制或者外部政策等合规性要求。DDL:Create，响应。SQL语句的支持SQL92标准，DDL:Create，Drop， Grant， RevokeDML： Update， Insert， Delete DCL： Commit， Rollback，Savapoint其他：Alter System，Connect，Allocate存储过程目前，天玥网络安全审计系统支持以下数据库系统的审计Oracle SQL-Server DB2 InformixSybase Ter

18、adata Mysql PostgreSQL Cache,网络安全审计系统支持常用的运维协议，比如Telnet、FTP、Rlogin、X11、Radius等协议 的审计，能够全程记录用户在服务器上的各种操作（包括命令行操作、交互菜单操作、业务 系统操作），并且可以实现类似窗口录像回放形式的还原。OA审计网络安全审计系统支持HTTP、POP3、SMTP、Netbios、NFS协议的审计，能够记录网页URL、内容、 发件人、收件人、邮件内容、网络邻居的各种操作等信息3。2数据库响应时间及返回码 的审计 网络安全审计系统支持对SQL Server、DB2、Oracle Informix等数据库系统的

19、SQL 操作响应时间和返回码的审计.通过对响应时间和返回码的审计，可以帮助用户对数据库的 使用状态全面掌握、及时响应故障信息，特别是当新业务系统上线、业务繁忙、业务模块更 新时，通过网络安全审计系统对超长时间和关键返回码进行审计并实时报警有助于提高服务器群组防护系统服务器群组防护系统，实现服务器网络的隔离，建立服务器群组的安全域，系统针对Web 应用特点，有效的集成了网络层、传输层、应用层的攻击防范技术,建立起多层防范体系，实 现对服务器的安全防护；（1）系统将消极安全模型与积极安全模型相结合，根据Web应用系统，HTTP协议特点， 将协议完整性检测、基于特征的应用层攻击检测、基于访问行为的攻

20、击检测等技术有机结合, 有效地对各种安全攻击进行防护，提高电力系统Web应用系统的安全性；（2 ）系统根据用户身份信息、权限信息，实现网络层、应用层的安全接入控制、访问控制及 细粒度的权限管理.系统支持多种认证方式，在无需改变现有的应用系统的情况下，可整合 多个业务系统实现单点登录。此外，系统可以根据用户信息，实现基于URL的细粒度授权 及SSLVPN访问；（3）系统包括了多种日志，如：登录日志、安全日志、访问日志，可详细记录用户登录情 况、用户对各种资源的访问情况以及各种安全攻击，增强了管理员对事件的审计及事后追查 能力.数据库审计系统数据库审计对“业务层面、技术层面、管理层面”的安全需求调研与分析，形成了一套独有 的数据库审计安全解决方案.别名设置：对主客体进行别名设置，可以直观显示内容方便非专业人员的查看.隐秘数据：对敏感数据隐秘，非授权的用户不能正常查看隐秘数据。全方位的实时审计：实时监控来自各个层面的所有数据库活动。细粒度的行为检索:一旦发生安全事件，提供完全自定义审计查询及审计数据展