网络安全管理结构new

北京泰利特科技发展有限责任公司湖北移动对外互联网站系统网络解决方案公司地址：北京市东城区东长安街1号东方广场东三办公楼8层邮编：100738第4页电话：（010）85188882传真：（010）85188505附件五湖北移动通信对外互联网站扩容工程网络解决方案北京泰利特科技发展有限责任公司2004年7月8日地址：北京市东城区东长安街1号东方广场东3办公楼8层电话真ttp：

目录TOC\o"1-3"\h\z1. 前言 52. 需求分析 62.1. 用户现状 62.1.1. 拓扑现状 62.1.2. 设备现状 62.1.3. 业务量现状 72.2. 用户需求及分析 92.2.1. 网络需求 103. 设计原则 113.1. 网络设计原则 124. 网络扩容方案 134.1. 方案简述 134.2. 防火墙扩容 144.3. 核心交换机扩容 154.4. 接入交换机扩容 174.5. 服务器均衡负载扩容 175. 系统安全扩容 245.1. 安全体系综述 245.1.1. 网络安全体系建立原则 245.1.2. 整体网络安全体系结构 255.1.3. 网络安全层次 275.1.4. 全方位安全体系 285.1.5. 安全管理因素 295.2. 系统安全设计思想与原则 305.2.1. 系统安全设计思想 305.2.2. 系统安全设计原则 305.3. 整体网络安全设计方案 315.3.1. 整体安全防护系统综述 315.3.2. ACL策略控制 325.3.3. 采用VLAN技术 325.3.4. 网络入侵检测系统 325.3.5. 网络防病毒措施 365.3.6. 网络安全扫描系统 395.3.7. 防火墙安全防护体系 435.3.8. 设备管理及平台安全管理 466. 网络发展方向的建议 477. 设备主要功能说明 487.1. 核心交换机 487.2. 接入交换机 507.3. 防火墙 527.4. 均衡负载设备 557.5. 入侵检测系统 577.6. 漏洞扫描系统 59扫描范围 60漏洞类别 607.7. 防病毒系统 618. 设备物理规格说明 648.1.1. 核心交换机4507 648.1.2. 均衡负载交换机WSD 658.1.3. 接入层交换机 668.1.4. 防火墙 668.1.5. 入侵检测系统 668.1.6. 漏洞扫描系统 678.1.7. 集中控制台 689. 设备可靠性声明 68

前言湖北移动网上客户服务系统（原湖北移动对外互联网站）始建于2002年6月。系统主要硬件设备包括应用服务器、数据库服务器、WWW服务器、存储设备（磁盘阵列）、网络设备（局域网交换机）、防火墙等设备组成。由于访问用户的不断增长，以及网站应用的不断丰富，访问数据量不断增多，现有的设备和结构已经不能负担未来业务的增长需求。针对湖北移动网上客服系统的扩容需求，泰利特公司凭借丰富的集成经验荣幸的为湖北移动提供扩容建议方案。需求分析用户现状拓扑现状湖北移动对外互联网站现状网络拓扑图设备现状网络硬软件、网络配置如下：硬件配置网络配置设备名称型号备注交换机FoundryServeritonXL交换机Submit48防火墙Netscreen-100F业务量现状网站访问情况2004年02月01日2004年02月29日网站流量统计有效统计天数：

29天总访问量：

272594人次平均访问量：

9399人次日最高访问量：

13964人次最高日访问量日期：

2004-02-02月最高访问量：

272594人次最高月访问量月份：

2004-2最高访问量时段：

16:00--17:00最低访问量时段：

5:00--6:00访问最多的栏目：

短信业务(33737人次)访问最少的栏目：

工具箱(1389人次)1860访问情况1860访问流量统计2004年02月01日2004年02月29日有效统计天数：

29天总访问量：

148867次平均访问量：

4962次日最高访问量：

8399次最高日访问量日期：

2004-02-25最高访问量时段：

16:00--17:00最低访问量时段：

5:00--6:00业务查询及业务办理情况2004年02月01日2004年02月29日自助服务业务统计业务名称业务办理笔数

成功办理的笔数成功百分比话费清单390639389533

99.71%客户帐单6997845470

64.97%用户总帐4355133247

76.34%欠费总额117697971

67.72%积分查询2699421869

81.01%缴费记录3752536386

96.96%实时话费7255057165

78.79%报停1524660

43.3%报开788612

77.66%取消短信功能628361

57.48%取消WAP功能18181054

57.97%取消呼叫保持功能42171

16.86%取消呼叫转移功能593202

34.06%受理短信新功能832357

42.9%受理WAP新功能1048461

43.98%受理呼叫保持新功能366266

72.67%受理呼叫转移功能589383

65.02%业务查询成功次数：591641次业务成功办理笔数：4429笔数据量大小计算：按照每比最大网站访问量计算（首页为400KB,业务查询及1860都为200KB），计算得出每天访问量在最大业务时的数据量：每天最大数据量=最大每天网站日最高访问次数*每次数据最大流量+1860日最高访问次数*每次数据=（13964*400+8399*200）==（7265400KB）按照流量高峰时间为8小时计算（上午四小时，下午4小时）平均每秒最大数据量=（7265400KB）/8*3600秒=252.3k/秒=2018Kbits/秒≈2.02M/S最大每秒突发数据量=平均每秒最大数据量*突发系数当前最大每秒突发数据量=2.02M/S*3=6M依此数据分析，现有的百兆带宽及百兆设备转发能力均满足需求现阶段需求用户需求及分析网络需求业务量预测及需求据业务部门预测，至2005年底业务量见下表。网站每日可承受访问量≥20万人次；网站在线访问人数≥2万人网站可承受并发响应数100人；网上自助服务在线访问人数≥1万人；网上自助服务可承受并发响应数60人；电子帐单、电子期刊邮件发送能力为每月2000万次依照业务量现状分析的数据得知，未来业务量为现有业务量的14.4倍。（原日最高访问量：13964人次，先要求每日可承受访问量≥20万人次，20万/1.396万=14.4倍）未来网站带宽需求=当前最大每秒突发数据量*（未来承受最大访问人数/现在最大访问人数）因此，未来网站数据量需求将达到6M*14.4=87.2M/秒现有主要设备能满足未来用户量增长需求：现有防护墙Netscreen-100F吞吐量为100M。Netscreen最大吞吐量为200M（双工）,最大会话数为128，000但是现有防火墙是非冗余结构，容易产生单点故障。Netscreen-100冗余必须相同的硬件平台和软件平台，但与移动网站相同配置的Netscreen-100现在已无货。因此为冗余性，排除单点故障，需要将现有防火墙升级为新型号防火墙，不利旧。而且如果随着未来业务的发展，和客户服务质量的不断提升，新型软件应用（网页，查询）的变化及数据内容形式的变化，比如面向用户的多媒体等新技术的应用，网页带宽将成倍增长，带宽要求将超过百兆防火墙的承受能力，增大到87.2M*N,N>1。因此对带宽的需求不断加大的情况下，本需求分析现有防火墙能力明显不足，应用层数据量变化将导致设备的负载能力将不能满足整个平台的需求。需要更换新型号防火墙。可靠性需求由于用户在现有拓扑和结构中，所有核心网络设备均未冗余配置，很容易产生单点故障，而单点故障带来的损失远远大于冗余设备的投入，为保证业务的不间断运行及整个平台不间断的提供服务，有增强现有网络设备和结构可靠性的需求。均衡负载设备需求本系统运行要求最大并发响应数为100人，根据经验，把平均每个对网站访问折算成动态内容与静态内容的服务，每个动态内容/静态内容需要不同的硬件处理能力。当前对用于网上服务的主机性能评估主要是针对主机的处理能力。对于当前对用于网上服务的主机性能评估主要是针对主机的处理能力。对于主机处理能力主要是针对主机对交易的并发计算处理能力，通常以TPMC(TPC-C值)来进行评估。即计算主机性能TPMC的经验公式为：webTPMC=N*(S*ST+D*DT+DC*DCT+DB*DBT)并发访问数 —N(按照100个计算)每个并发中静态页面 —S(按照2个计算)|ST(每个页面需要30个TPCC)每个并发中动态页面 —D(按照1个计算)|DT(每个页面需要60个TPCC)动态页面访问内容库 —DC(按照2个计算)|DCT(需要60个TPCC)动态页面访问后台 —DB(按照2个计算)|DBT(需要60个TPCC)计算过程为：TotalTPCC=N*(S*ST+D*DT+DC*DCT+DB*DBT)=36000考虑到瞬间突发高峰的要求其处理能力有20％的冗余，因此该主机的网站访问处理能力 TPMC值至少为36000×（1＋20％）＝43200tpm若网站web服务器采用P615服务器，其TPMC值约为33359tpmtpm未达到43200tpm,为了节省投资，可采用流行的均衡负载设备，变纵向的扩展服务器档次，Cpu个数为横向添加服务器数目，将高TMPC需求均衡负载到多台服务器上，并增强服务冗余性，服务维护性，利用均衡负载可以方便的维护应用（在访问低峰时采取渐进式停机方式，停下一台主机进行维护）。设计原则网络设计原则工程应按照“统一领导、统一规划、统一标准、统一组织”的要求进行，对整个网络的设计本着实用性、先进性、可靠性、安全性、灵活性、可扩展性、开放性、互连性、经济性、高性价比和可管理性等几个方面来考虑，具体来说就是以下几点：实用性和先进性相结合：采用先进的网络技术以适应更高的数据、多媒体信息的传输需要，但是不过分追求最新技术，取得稳定性、成熟性和新技术的统一，从而保证网络的高可用性。可靠性：对网络结构、通信线路、核心设备等各方面进行可靠性设计和建设，并采用硬件备份、冗余、迂回、策略等技术。安全性：在采用多种可靠性技术的基础上，采用相关的软件技术提供较强的管理机制、控制手段、故障监控和网络安全保密等技术措施。灵活性与可扩展性：能够适应通信业务不断发展的需要，方便地扩展网络覆盖范围，扩大网络容量，提高网络各节点的功能。具备支持多种通信媒体、多种物理接口的能力，提供技术升级、设备更新的灵活性。经济性：以较低的成本、较少的人员投入来维持系统运转，提供高效能与高效益。可管理性：通过先进的策略管理和管理工具提高网络运行性的可靠性，简化网络的维护工作。保护原有投资：对于本系统中的一些辅助产品则尽可能利用原有的设备。高性价比：在采用可实现、可持续发展技术的基础上，合理选择最佳性价比的技术及设备，保证投资的高效率。设备利旧：能够在现有主机系统基础上，利用现有设备，保护前期的设备投资。网络扩容方案方案简述如果随着未来业务的发展，和客户服务质量的不断提升，新型应用（网页，查询）的变化，比如面向用户的多媒体等新技术的应用，对带宽的需求不断加大的情况下，设备的负载能力将不能满足整个平台的需求。因此，本方案将在利旧不能满足未来应用需求的前提下，采用大幅度提高能力的新设备替换现有网络平台的各个设备来满足未来业务需求。防火墙扩容考虑到未来互连网站的网络流量需要满足无单点故障，具备冗余性。由于原有防火墙型号Netscreen-100已停止供货，而高可靠性的双机防火墙必须使用同一型号，同一版本的软件。因此不得不将原有防火墙Netscreen-100换下。同时增加两台Netscree-204防火墙,该防火墙具备4x10/100M以太网端口，支持HA双active,在冗余的同时可增大与互联网的带宽。Netscreen最大吞吐量为400M,最大会话数为128，000。完全满足未来业务增长需求。两台防火墙支持双激活形式，具备均衡负载相互备份的能力。完全能够适应和满足未来发展的需求。核心交换机扩容由于原有交换机除可靠性不满足未来用户需求，且其数据流量负载能力不能满足用户需求（网站扩容规范要求核心交换机参数为：千兆网交换机，提供10Gbps级～100Gbps级的背板带宽）而原有核心交换机FoundryServeritonXL参数为：

ServerIronXL并发会话1,000,000吞吐量2Gbps交换能力4.2Gbps数据包转发速率(包/秒)3,000,000pps虚拟IP地址数目不限真实服务器数目1,02410/100端口数目24千兆位端口数目2总端口数目26第3层交换功能服务器可以位于与VIP不同的子网上其交换能力远远小与需求的10Gbps级。因此不可利旧原有交换机，只可替换原有交换机为冗余的两台高性能交换机。本方案采用交换机为Cisco4507交换机Cisco4507R采用引擎SupervisorEngineIV(WS-X4515)支持交换能力64Gbps，三层转发能力48Mpps冗余引擎支持：CiscoCatalyst4500的冗余机制是在无源背板上使用可拆除的网络冗余模块，以便将流量交换到主动超级引擎。每块线路卡有一个网络冗余模块。每个标准的Catalyst4507R机箱都配有矩阵冗余模块和冗余时钟。为了便于维护，思科还提供了备用矩阵冗余模块和时钟模块。冗余风扇：为了制冷，每个CiscoCatalyst4500机箱都采用了一个风扇架。所有风扇架都由独立风扇组成。如果一个风扇出现故障，系统仍然能够继续正常操作，而不会出现散热问题。当系统检测到某个风扇出现故障，风扇架需要更换时，将向用户发出通知（通过LED、CLI和SNMP）。支持热插拔：所有模块支持热插拔。支持如下协议：标准网络协议以太网–IEEE802.3，10BASE-T快速以太网–IEEE802.3u，100BASE-TX–IEEE802.3，100BASE-FX千兆位以太网–IEEE802.3z–IEEE802.3x–IEEE802.3ab1000BASE-X(GBIC)–1000BASE-SX–1000BASE-LX/LH–1000BASE-ZX虚拟LAN（VLAN）中继/标记–IEEE802.1Q–IEEE802.3ad生成树协议–IEEE802.1D–IEEE802.1w–IEEE802.1s安全–IEEE802.1x以太网馈线供电（PoE）–IEEE802.3af支持TCP/IP协议支持OSPF、IS-IS、RIP、BGP等多种路由协议，支持多路由的负载均衡；支持HSRP/VRRP热备份协议；支持IPMulticast技术，支持IGMP、MOSPF、PIM等多种IPMulticast路由协议；支持STP协议；支持VLAN划分和802.1QVLANTRUNK协议；提供强大的QoS管理功能，支持802.1p标准和IPPrecedence/DSCP标准，提供第二层和第三层的QoS支持；支持SNMP和SNMPv2协议；关键模块如中心引擎、电源、风扇等支持冗余备份，电源、风扇等冗余，并可热插拔；系统板、关键I/O板由于采取的是双交换机冗余构架，在已经冗余的基础上考虑节省投资，支持冗余系统引擎的功能，但每台核心交换机不配置冗余引擎。平均无故障时间大于8000小时，可用性不小于99.99%；核心交换机端口配置说明及端口扩展能力：每台Cisco4507具有7个槽位，其中使用三个槽位（一个槽位用于引擎，，第二个槽位为48端口10/100Basetx模块），支持五个槽位的扩展能力。48端口10/100Basetx用于接驳：防病毒系统、入侵检测系统集中控制台、网管工作站、漏洞扫描系统、其他管理工作台接入交换机扩容在内网区域各增加一台冗余用交换机Cisco3550-24，使现有网络结构和设备变为冗余、可靠。Cisco3550-24具备24个10/100BasetX端口，具备三层路由能力，支持主流各种协议，具有良好兼容性，满足未来业务增长的用户需求。服务器均衡负载扩容为节省投资，充分利用现有web服务器资源，增强处理能力，满足未来业务对服务器处理能力的需求，新添置两台RadwareWSD均衡负载交换机，两台交换机互为冗余，互为备份，RadwareWSD可提供9.6Gbps交换能里支持2（Gb）X8（10/100）交换机端口。其主要功能如下：使用Radware的WebServerDirector™(WSD)应用交换机系列产品，可以确保公司的IP应用不会因为Web上固有的不确定性而发生瘫痪。不论您的内容位于单个或多个数据中心，都能确保用户获得优质服务和网络的高可用性。为不确定的动态网络提供不间断服务—应用状态监控首先，WSD可靠的状态监控机制可以保证用户获得最佳的服务。WSD可以监视服务器在IP、TCP、UDP、应用和内容等所有协议层上的工作状态。如果发现故障，用户即被透明地重定向到正常工作的服务器上。这可以保证用户始终能够获得他们所期望的信息。—交易完整性的可靠保证为了确保服务正常运行，WSD监控从Web服务器、中间件服务器到后端数据库服务器的整个路径上工作状态，确保整个数据路径上的服务器都处于正常状态。如果存在一个故障服务器，WSD则不会将用户分配到这个发生故障路径的服务器，从而保证为用户提供透明的数据完整性保障。—完全的容错与冗余WSD的配置提供设备间的完全容错，以确保网络最大的可用性。两个设备通过网络相互检查各自的工作状态，为其所管理的应用保障完全的网络可用性。它们可工作于“主用-备用”模式或“主用-主用”模式，在“主用-主用”模式下，因为两个设备都处于工作状态，从而最大限度地保护了投资。并且所有的信息都可在设备间进行镜像，从而提供透明的冗余和完全的容错，确保在任何时候用户都可以获得从点击到内容的最佳服务。—通过正常退出服务保证稳定运行当需要进行服务器升级或系统维护时，WSD保证稳定的服务器退出服务以避免服务中断。当选定某台服务器要从服务器退出服务后，WSD将不会将任何新的用户分配到该服务器。但是，它可以要退出服务的服务器上完成对当前用户的服务。从而保证了无中断的优质服务，以及服务器组的简易管理能力。—智能的服务器服务恢复将重新启动的服务器应用到服务中时，避免新服务器因突然出现的流量冲击导致系统故障是非常重要的。所以，在将新服务器引入服务器组时，WSD将逐渐地增加分配到该服务器的流量，直至达到其完全的处理能力。从而不仅保证用户在服务器退出服务时，同时还保证服务器在启动期间以及应用程序开始时，均能获得不间断服务。其他功能如下：

通过应用交换保证最佳服务通过负载均衡优化服务器资源WSD执行复杂的负载均衡算法，在多个本地和远程服务器间动态分配负载。这些算法包括循环、最少用户数、最小流量、NativeWindowsNT以及定制代理支持。除了这些算法，WSD还可以为每个服务器分配一个可以配置的性能加权，从而提高服务器组的性能。—应用交换WSD根据IP地址、应用类型和内容类决定流量分配。这样，管理员就可以为不同类型的应用程序分配不同的服务器资源。应用交换支持不同协议上的各种应用，包括TCP、UDP、IP、Telnet、Rshell、TFTP、流、被动FTP、HTTP、e-mail、DNS、VOIP等等。Radware还为运行于动态端口并要求同步的应用设计了特殊支持功能。—Web交换WSD完全支持URL交换，根据URL和HTTP信息分配流量。每个URL都可以重定向到某服务器，或在多个服务器之间进行负载均衡，从而提供优化的Web交换性能。根据URL文本中包含的信息，WSD可以保持客户持续性，从而保证内容的个性化。—内容交换内容交换使管理员可以根据交易的内容来分配服务器资源。例如，CGI脚本可以位于一个单独的服务器组，当发生对该内容的请求时，会话就被重定向到其中某个服务器。WSD的内容交换能力可以广泛支持SSLID和cookies，保持客户持续性，保证最佳流量管理和应用内容个性化。简单的管理WSD可以通过CLI、Telnet、Web应用、HPOV插件以及Radware的ConfigWare（一个独立的全GUIJava实用工具）来进行管理。这个独立的平台管理系统使您可以非常方便地远程连接和管理设备。其直观的布局和易于使用的菜单与向导，使用户可以按部就班地进行系统配置，并对配置内容进行备份。ConfigWare还提供统计资料，帮助您更好地了解网络的流量需求，并有效地管理服务器资源。简单的网络安装WSD可以非常容易地集成到任何网络中，而不需对现有网络做任何改动，从而避免了工作量和花费。Radware的多种配置可以安装成为网桥、路由器或单臂配置（“棒棒糖”），保证简单快速的安装。可靠的应用交换性能Radware在提供最小延迟时间的电线速度连接的同时，还提供丰富的功能集和智能负载均衡。Radware的应用交换平台具有多层交换技术和千兆位级连接，提高了速度并保证您得到更快的响应。本地解决方案站点可用性可用性和就近性

产品规格WebServerDirector•本地和全局流量管理RISC处理器MPC750266MHz(Power底板速度9.6Gbps10/100兆以太网端口8千兆以太网端口2L2交换线速RAM64Mb(128Mb)VLAN64实际服务器数10,000VIP（虚拟IP）512/3,000IP路由接口2,000路由表数128,000并发客户500,000并发会话数无限制路由协议OSPF,RIP,RIPII网络管理命令行接口(CLI)HPOpenViewforSunSolarisWebSNMPTelnet图形界面(GUI)标准10BASE-T/100BASE-TX(IEEE802.3,802.3u),1000BASE-SX(IEEE802.3z),SNMP(1213MIB-II,1643Ethernet,1493Bridge),IP,OSPF,RIPv1,RIPv2,TFTP,BootP,Telnet1000BASE-SX端口全双工千兆位以太网SC光纤接口1000BASE-SX工作距离短波(850nm)62.5纳米光纤2到275米，50纳米光纤2到550米10BASE-T/100BASE-TX端口10/100全双工或半双工（自动识别），用于UTP端口的RJ-45接口。RS-232C控制DB-9串行接口，用于频带外管理的DCE接口(孔式)系统安全扩容安全体系综述网络安全体系建立原则可实施性原则安全体系中的网络风险分析、网络安全需求分析都是从可实施的角度出发的，按照体系的指导，可以直接把目前已有的安全技术、安全产品、安全措施、网络设施建设、直至管理规范都规划到某个安全层次中去。因此，本体系不是一个学术化的理论体系，而是一个用于指导实际工作的一个可实施的安全体系。可管理性原则在进行网络的安全性改造时往往存在一个问题，就是花了很多钱，买了很多设备，但是往往网络的安全性得不到显著的改善，常常出现由于管理制度的不完善，或职责划分的不明确，导致采取的安全技术、购买的安全设备不能很好地发挥作用。我们制订安全体系的原则之二就是试图建立一个动态的、可控的安全体系结构，管理人员不需要掌握具体的安全技术，在一套合理的安全规范的指导下，就可以管理网络的安全。这样，可以有效地对安全设备和安全技术进行利用与管理，使得整个网络的安全性是可控的。安全完备性原则安全是一个多层面的问题，同样，安全体系也是一个多层次的结构。以安全的层次理论模型为基础，从安全层次出发，对湖北移动互联网站扩容进行详细的安全分析，再从每一个层次中分离出若干子系统，完整地将网络的总体安全因素都考虑在内，可以保证基本不会遗漏大的安全问题和安全隐患。可扩展性原则随着网络的扩展，其网络结构和应用结构也会日趋复杂。本安全体系考虑到了这一点，安全体系的可扩充性结构为以后的网络扩展和业务扩充都预留了接口，只要在安全防护体系的指导下，安全子系统的实施都可以采取更新的技术、更换更高档次的产品、或进行拓扑的扩充来对安全功能进行扩展和延续。专业性原则安全体系所涉及的所有网络安全的概念、系统定义、体系思想，都是参考目前国内、国际有关网络安全的专业规范制定的，均符合相关的安全标准，这样可以确保本安全体系的技术深度和专业性。整体网络安全体系结构湖北移动互联网站扩容的安全体系结构是划分为若干层次的一种多层次、多方面、立体的安全构架。针对“全网安全”的要求，网络安全体系涉及的各个环节包括：网络安全策略指导、网络安全标准规范、网络安全防范技术、网络安全管理保障、网络安全服务支持体系等几部分。如图1所示。我们认为湖北移动互联网站扩容的安全是一个动态的概念。我们已经制定和开发出针对性的一系列安全方案、技术框架和应用工具，并发展成为一种有效的网络安全解决方案——动态安全模型，它能够提供给用户比较完整、合理的安全机制。湖北移动互联网站扩容的动态安全管理公式可由下面公式概括：湖北移动互联网站扩容的网络安全=风险分析+制订策略+系统防护+实时监测+实时响应+恢复即：网络的安全是一个“AP2DR2”的动态安全公式，如图2所示。从安全体系的实施的动态性角度，湖北移动互联网站扩容动态安全管理公式的设计充分考虑到了风险评估、安全策略的制定、防御系统、监控与检测、响应与恢复等各个方面，并且考虑到各个部分之间的动态关系与依赖性。安全需求和风险评估是制定湖北移动互联网站扩容安全策略的依据。风险分析（又称风险评估、风险管理），是指确定网络资产的安全威胁和脆弱性、并估计可能由此造成的损失或影响的过程。风险分析有两种基本方法：定性分析和定量分析。我们协助制订业务网络安全策略的时候，是从全局进行考虑，基于风险分析的结果进行决策，建议究竟是加大投入，采取更强有力的保护措施，还是可以容忍一些小的风险存在而不采取措施。因此，我们采取了科学的风险分析方法对湖北移动互联网站扩容的安全进行风险分析，风险分析的结果作为制定安全策略的重要依据之一。根据安全策略的要求，我们协助选择相应的安全机制和安全技术，实施安全防御系统、进行监控与检测。我们认为湖北移动互联网站扩容安全防御系统必须包括技术和管理两方面，涵盖物理层、系统层、网络层、应用层和管理层各个层面上的诸多风险类。安全防御系统搭建得完善与否，直接决定了湖北移动互联网站扩容的安全程度，无论哪个层面上的安全措施不到位，都可能是很大的安全隐患，都有可能造成业务网络中的后门。响应与恢复系统是保障湖北移动互联网站扩容安全性的重要手段。我们协助采取检测手段，制订紧急事件响应的方法与技术。根据检测和响应的结果，可以发现防御系统中的薄弱环节，或者安全策略中的漏洞，进一步进行风险分析，修改安全策略，根据技术的发展和业务的变化，逐步完善安全策略，加强业务网安全措施。网络安全层次湖北移动互联网站扩容对网络的安全需求是全方位的、整体的，相应的网络安全体系也是分层次的，在不同层次反映了不同的安全问题。根据网络的应用现状情况和网络的结构，我们将安全体系的层次划分为五层：物理层安全、系统层安全、网络层安全、应用层安全、安全管理。如图3所示：层次一：物理环境的安全性（物理层安全）包括通信线路的安全，物理设备的安全，机房的安全等。物理层的安全主要体现在通信线路的可靠性（线路备份、网管软件、传输介质）；软硬件设备安全性（替换设备；拆卸设备；增加设备）；设备的备份；防灾害能力、防干扰能力；设备的运行环境（温度、湿度、烟尘）；不间断电源保障，等等。层次二：操作系统的安全性（系统层安全）这一层次的安全问题来自网络内使用的操作系统：WindowsNT，Windows2000，Unix等。系统层的安全性问题表现在三方面：一是操作系统本身的缺陷带来的不安全因素，主要包括身份认证、访问控制、系统漏洞等；二是对操作系统的安全配置问题；三是病毒对操作系统的威胁。层次三：网络的安全性（网络层安全）该层次的安全问题主要体现在网络信息的安全性。包括网络层身份认证，网络资源的访问控制，数据传输的保密与完整性，远程接入的安全，域名系统的安全，路由系统的安全，入侵检测的手段，网络设施防病毒等。层次四：应用的安全性（应用层安全）该层次的安全考虑湖北移动互联网站扩容提供服务所采用的应用软件和数据的安全性，包括：Web服务、电子邮件系统、各类服务器等。此外，还包括病毒对系统的威胁。层次五：管理的安全性（管理层安全）安全管理包括安全技术和设备的管理，安全管理制度，部门与人员的组织规则等。管理的制度化程度极大地影响着整个网络的安全，严格的安全管理制度、明确的部门安全职责划分、合理的人员角色定义都可以在很大程度上降低其它层次的安全漏洞。全方位安全体系与其它安全体系类似，湖北移动互联网站扩容的安全体系应包含：访问控制。通过对特定网关、网段、服务建立的访问控制体系，将绝大多数攻击阻止在到达攻击目标之前。通过安全产品，严格控制不同安全等级间的访问，保证数据由安全级别较高的专业生产系统向安全级别较低的管理系统等流动的单向性。检查安全漏洞。通过对安全漏洞的周期检查，即使攻击可到达攻击目标，也可使绝大多数攻击无效。攻击监控。通过对特定网段、服务建立的攻击监控体系，可实时检测出绝大多数攻击，并采取相应的行动（如断开网络连接、记录攻击过程、跟踪攻击源等）。加密通讯。主动的加密通讯，可使攻击者不能了解、修改敏感信息。认证。良好的认证体系可防止攻击者假冒合法用户。备份和恢复。良好的备份和恢复机制，可在攻击造成损失时，尽快地恢复数据和系统服务。多层防御，攻击者在突破第一道防线后，延缓或阻断其到达攻击目标。隐藏内部信息，使攻击者不能了解系统内的基本情况。设立安全监控中心，为信息系统提供安全体系管理、监控，及紧急情况服务。安全管理因素系统安全可以采用多种技术来增强和执行。但是，很多安全威胁来源于管理上的松懈及对安全威胁的认识。安全威胁主要利用以下途径：系统实现存在的漏洞。系统安全体系的缺陷。使用人员的安全意识薄弱。管理制度的薄弱。良好的系统管理有助于增强系统的安全性：及时发现系统安全的漏洞。审查系统安全体系。加强对使用人员的安全知识教育。建立完善的系统管理制度。系统安全设计思想与原则系统安全设计思想考虑到安全层次、技术难度及经费支出等因素，在设计方案时我们遵循了如下设计思想：尽可能的提高系统的安全性和保密性；保持网络原有的性能特点，即对网络的协议和传输具有很好的透明性；易于操作、维护、并便于自动化管理，而不增加或少增加附加操作；尽量不影响原网络拓扑结构，便于系统结构及系统功能的扩展；网络安全系统具有较好的性能价格比，一次性投资，可以长期使用。系统安全设计原则湖北移动互联网站扩容安全方案的设计遵循了如下原则：(1)需求、风险、代价平衡的原则对任一网络，绝对安全难以达到，也不一定是必要的。应对一个网络进行实际研究(包括任务、性能、结构、可靠性、可维护性等)，并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定安全策略。(2)综合性、整体性原则安全模块和设备的引入应该体现系统运行和管理的统一性。一个完整的系统的整体安全性取决于其中安全防范最薄弱的一个环节，必须提高整个系统的安全性以及系统中各个部分之间的严密的安全逻辑关联的强度，以保证组成系统的各个部分协调一致地运行。(3)可用性原则安全措施需要人为去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。(4)设备地先进性与成熟性安全设备的选择，既要考虑其先进性，还要考虑其成熟性。先进意味着技术、性能方面的优越，而成熟性表示可靠与可用。(5)无缝接入安全设备的安装、运行，应不改变网络原有的拓扑结构，对网络内的用户应是透明的，不可见的，同时，安全设备的运行应该不会对网络传输造成通信“瓶颈”。(6)可管理性与扩展性安全设备应易于管理，而且支持通过现有网络对网上的安全设备进行安全地统一管理、控制，能够在网上监控设备的运行状况，进行实时的安全审计。整体网络安全设计方案整体安全防护系统综述对于整体湖北移动互联网网络系统，为了保证其充分的安全性，以下对整体网络安全架构进行了论述：核心区域部分：在对外提供WEB服务网络部分和核心网络间设置冗余防火墙，以控制来自互联网网络部分与核心网络之间的相互访问。所有流量须经防火墙审查过滤才能在两个区域间通过，并通过安全等级设置和地址翻译等手段，使核心网络可以主动访问外部网络（INTERNET）和非军事化区（DMZ），而外部网络只能够访问非军事化区，而不能主动访问核心网络，从而确保核心网络基本是一个相对安全的、可信任的网络。仅仅通过防火墙在网络层进行安全防护是不够的，为充分保障外部接入网络系统的安全，通过添加入侵检测系统并与防火墙系统进行联动，可以及时发现并切断来自Internet的应用层面上的扫描和攻击，防止漏洞和后门造成的危险。同时对整个核心网络布置了网络防病毒系统、漏洞扫描系统，通过这些安全系统可以实现对网络各层次更详尽的安全监控，及时的发现网络中的安全漏洞和病毒，对网络定期的作出安全评估。湖北移动互联网站扩容的安全问题是一个系统工程，我们在制定安全网络策略时尽可能地考虑到网络中的各个方面及网络的拓展性，采用TCP/IP协议进行网络通信的网络，在网络层对计算机通信进行安全保护是业界流行的安全解决办法。遵照上述设计思想及设计原则，通常我们下面几个章节的几项措施。ACL策略控制在对外路由器上设置过滤规则，形成第一道防护网。使用过滤规则设置功能，作过滤防护，形成网络与Intranet第一道防护网；采用VLAN技术湖北移动互联网站扩容的局域网均采用Ethernet技术，为了更好的保证局域网的安全，我们应按照用户群组和系统资源的访问权限进行安全划分。也可以按照机构的设置来划分VLAN，如将特殊业务所在的网络单独化为一个VLAN(SVLAN)，其业务分别作为一个VLAN，并且控制SVLAN与其它VLAN之间的单向信息流出，即允许SVLAN查看其它VLAN的相关信息，其它VLAN不能访问LVLAN的信息。网络入侵检测系统利用防火墙技术，经过仔细的配置，通常能够在内外网之间提供安全的网络保护，降低了网络安全风险，但是入侵者可寻找防火墙背后可能敞开的后门，入侵者也可能就在防火墙内。入侵检测系统，对网络进行实时监控与阻断响应，它集成了在线网络入侵监测、入侵即时处理、离线入侵分析、入侵侦测查询、报告生成等多项功能的分布式计算机安全系统，不仅能即时监控网络资源运行状况，为网络管理员及时提供网络入侵预警和防范解决方案，还使得对于检查黑客入侵，变得有迹可寻，为用户采取进一步行动提供了强有力的技术支持，大大加强了对恶意黑客的威慑力量。本方案采用的为安式LinkTrustIDS100。安氏公司的网络入侵检测系统－NetworkDefenderTM采用了新一代的入侵检测技术，包括基于状态的协议分析技术、开放灵活的行为描述代码、安全的嵌入式操作系统、先进的体系架构、丰富完善的各种功能，配合高性能专用硬件设备，是最先进的网络实时入侵检测系统。它以不引人注目的方式最大限度地、全天候地监控和分析企业网络的安全问题。捕获安全事件，给予适当的响应，阻止非法的入侵行为，保护企业的信息资产。NetworkDefender的技术核心是新一代的协议分析技术。该技术结合了高速信息包捕捉、协议分析、及行为描述代码来探测攻击。这种技术是NetworkDefender所有解决方案的基础，它显著地提高了入侵检测系统的性能－并带来单平台千兆IDS的时代。NetworkDefender使用了所有最先进的入侵检测技术，见下图：NetworkDefender所使用的新一代入侵检测技术带来许多基本的好处：显著地提高性能：协议分析技术充分利用通信协议结构，与模式匹配系统使用简单匹配相比，可以更快更有效的处理数据包和连接。提高准确度：协议分析技术比一个非智能模式匹配IDS系统有少得多的错误倾向和误诊断。NetworkDefender将命令解析（语法分析）技术与协议分析技术相结合，来模拟一个命令串的执行，从而在通信流到达操作系统或应用之前决定该通信流是否是恶意的。基于状态的分析：当协议分析引擎评估一个信息包时，它考虑信息包的前后关系，前面有什么、下一步可能发生什么，而模式匹配系统只能独立的看待每一个信息包。灵活高效的行为描述代码：允许用户根据自己的需要自创建几乎任意的新的特征签名，配置为最适合自己的入侵检测系统。反躲避：由于协议分析引擎能够判断一个通信会话实际内容及含义，它们不太容易受到黑客IDS躲避技术的影响，这些技术包括URL编码、干扰、及IP或TCP碎片。资源消耗：协议分析技术的高效性使网络传感器系统资源消耗极低，模式匹配技术则是非常消耗资源的。NetworkDefenderTM采用基于状态的协议分析技术，结合模式匹配、异常统计来检测网络误用行为和异常活动。它采用专门定制的硬件平台，能够在高负载的千兆网络上提供高水平的性能；同时使用内置操作系统和传感器程序的CD－ROM进行引导，从而提供了可能达到的最安全的操作环境。NetworkDefenderTM主要有以下特点：世界领先的技术NetworkDefenderTM以智能的状态协议分析技术为主，结合模式匹配技术。状态协议分析技术基于对已知协议结构的了解，通过分析数据包的结构和连接状态，检测可疑连接和事件，极大地提高了检测效率和准确性。不仅能准确识别所有的已知攻击，还可以识别未知攻击，并使采用IDS躲避技术的攻击手段彻底失效。高性能NetworkDefenderTM采用高效的入侵检测引擎，综合使用虚机解释器、多进程、多线程技术，配合专门设计的高性能的硬件专用平台，能处理高达两千兆的网络流量。行为描述代码用户可以非常方便地使用安氏提供的“行为描述代码”自创建新的特征签名，扩展攻击签名库,扩大检测范围，个性化入侵检测系统。分片重组NetworkDefenderTM不仅能检测数据包而且能重组分片进行分析。使用状态协议分析和模式匹配技术不但能检测单个数据包而且能分析数据流和会话，提高检测精度。分布式结构NetworkDefenderTM采用先进的多层分布式体系结构，包括控制台、事件收集器、传感器，这种结构能够更好地保证整个系统的可生存性、可靠性，也带来了更多灵活性和更可伸缩性，适应各种规模的企业网络的安全和管理需要。全面检测NetworkDefenderTM检测准确率高，能识别一千多种攻击特征，如：预攻击探测,拒绝服务攻击,，针对各种服务漏洞的攻击，针对Windows和Unix网络的攻击，网络连接事件等。强大的“行为描述代码”可支持任意自定义安全事件。同时安氏公司也不断为用户提供扩充攻击特征库，用户可通过安氏网站随时更新。高可靠性NetworkDefenderTM是软件与硬件紧密结合的一体化专用硬件设备，安氏公司专门设计了安全、可靠、高效的硬件运行平台。硬件平台采用严格的设计和工艺标准，保证了高可靠性；独特的硬件体系结构大大提升了处理能力、吞吐量；操作系统经过优化和安全性处理，保证系统的安全性和抗毁性。高安全性NetworkDefenderTM运行在经优化和加固的嵌入式操作系统上，操作系统上不需要的服务、进程和驱动等都被裁减以保证安全和性能；软件和系统存放在CD-ROM上防止篡改。系统内各组件通过加密的安全通道进行通讯防止窃听。高可用性NetworkDefenderTM的所有组件都支持HA冗余配置，保证不漏掉任何的攻击。低误报率NetworkDefenderTM采用状态协议分析技术，同时允许用户灵活地调节签名的参数和创建新的签名，大大降低了误报率，提高了检测的准确性。隐秘部署NetworkDefenderTM支持安全的部署模式—隐秘配置。系统安装两块网卡，其中一块网卡不配置IP地址用于监听，攻击者察觉不到它的存在；另一块通过安全网络与控制台连接。灵活响应NetworkDefenderTM提供了丰富的响应方式，如：向控制台发出警告，发提示性的电子邮件，向网络管理平台发出SNMP消息，自动终止攻击，重新配置防火墙，执行一个用户自定义响应程序等。简单易用NetworkDefenderTM安装简单，升级方便，查询灵活，并能生成适合各级管理任意需要的多种格式的报告。 网络防病毒措施为了使机关网络免受病毒侵害，保证网络系统中信息的可用性，必须构建一个从主机到服务器的完善的防病毒体系。服务器作为网络的核心，为资源共享和信息交换提供了便利条件，但同时也给病毒的传播和扩散以可乘之机。所以应重点加强对服务器的保护，安装服务器端防病毒系统，以提供对病毒的检测、清除、免疫和对抗能力。另外，在客户端的主机，也应安装单机防病毒软件，将病毒在本地清除，而不致于扩散到其他主机或服务器。网络防病毒系统基于策略集中管理的方式和病毒检测和清除能力，使得移动、分布式的企业级病毒防护不再困难。并提供了病毒定义的实时自动更新功能，使得用户无需担心由于忘记更新病毒而引发病毒事件的问题。泰阿KILL安全胄甲(企业版)是北京冠群金辰软件有限公司最新推出的新一代企业级网络防病毒产品，目前，该产品已经通过全球18家权威认证机构产品质量认证，是确保用户信息系统免受病毒侵害的最佳防病毒产品。

KILL安全胄甲(企业版)在继承了KILL系列产品全部优点的基础上，更在提高病毒查杀能力和优化管理性能方面具有突破性拓展:双引擎病毒扫描技术、自动修复病毒破坏的系统文件、自动增量升级方式、病毒特征代码签名保护等新增功能确保企业用户轻松实现全方位立体式病毒防御。

泰阿KILL安全胄甲(企业版)功能如下：

双引擎病毒扫描技术

业界领先的双引擎扫描方式，帮助企业构建一个多层防范的防病毒体系。InoculateIT和Vet两大世界著名病毒扫描引擎利用不同扫描机制，100%查杀已知病毒。

智能陷阱检测

KILL为提供世界领先的处理未知病毒技术之一，可查杀各种已知及部分未知病毒，包括引导型、文件型、复合型和变型病毒，以及各类宏病毒和各种新型病毒。

内容判断文件类型

KILL不仅根据文件后缀判断文件类型，还可通过分析文件的内容判断文件类型从而正确无误地发现病毒。

灾难恢复KILL创建的急救盘备份了启动系统所需的重要系统文件和设置。一旦病毒导致系统无法正常启动，或者病毒在引导过程中传染了内存，急救盘可使系统快速从瘫痪状态恢复正常。

KILL自动系统恢复

多种病毒处理方式提供多种病毒处理方法:治愈、更名、移动、报告、暂时删除或彻底删除等，并针对蠕虫、木马、宏病毒等不同类型病毒提供多种不同处理办法。新增自动系统修复功能，可修复被病毒修改的注册表，从而确保用户系统安全。KILL可对网络中病毒源的跟踪和报警，根据用户设置还可以对病毒源进行隔离。

全面实时病毒防护

为用户提供全面的Internet和网络病毒实时防护和治愈功能，包括黑客程序及可执行文件、压缩文件、电子邮件、Office文档、HTML文档等多种文件类型内部的病毒。

病毒无一疏漏

中国金辰10余年来在国内建立的独一无二的病毒监测网和CA公司斥巨资在40多个国家、170多个城市建立的世界上最大的病毒监测网，及时收集国内外出现的最新病毒样本，跨国技术团队为及时、可靠地查杀各种最新病毒提供了技术保障。冠群金辰在全国首先对红色代码病毒实现查杀就是一个例证。

资源占用率低

和同类产品相比KILL系统资源占用率较低，用户还可以根据实际使用情况调配系统资源占有率，确保查杀病毒过程不会影响用户系统的使用。

实时保护Uinx/Linux系统

可以在Unix和Linux平台上对病毒进行实时监控，并且可以利用Web方式管理。

先进的病毒扫描技术

实时扫描、预定扫描KILL实时监控器不间断地对病毒进行检测，一旦发现病毒，立即自动进行处理，确保用户的计算机系统安全可靠。用户还可根据需要，预定扫描作业，利用系统低谷期或空闲期进行病毒扫描。

压缩文件扫描

KILL适用于一切现行通用压缩格式和各主流软件生产商自定义的压缩算法，并支持某些用户自定义的压缩文件扩展名，以及扩展名为exe的自解压可执行文件。更重要的是，KILL支持对多重压缩(最高可达256级)和交叉压缩(如ZIP压缩文件再用ARJ压缩)的文件的检测。

多种扫描方式

包括快速扫描、安全扫描和评论扫描，可最彻底检测到不活动的病毒和被修改过的病毒。KILL提供完整的病毒检测记录，方便用户进行系统管理。

进程、文件的排除扫描

KILL能够对任意管理员指定的进程进行排除扫描，并且也能够对特定目录和文件进行排除。

安全智能的安装升级方式

远程自动安装可采用服务器端推送方式或者通过在服务器端设置登录脚本等方式，实现在Windows95/98/ME/NT/2000/XP等平台的计算机自动安装KILL产品。

智能化自动升级

安装KILL产品后，可实现从控制台到客户端的病毒特征文件的自动分发和升级。

自动多渠道升级方式

多途径自动升级方式可供灵活选择:通过Internet到KILL网站上自动在特定时间获取最新的升级文件;在局域网中设置UNC、FTP、本地路径等升级方式。

自动增量升级方式

增量升级方式可有效减少防毒软件升级产生的网络负载，更采用独一无二的技术，无需指明升级模式，即可自动进行判断使用全升级还是增量升级。

病毒升级特征码签名和升级保护措施

采用数字签名技术对病毒升级特征码进行保护，在升级前进行签名校验，确认无误后才进行升级，从而杜绝病毒冒充升级文件侵害用户系统。

安装、升级无需重启

所有操作系统远程安装KILL后，无需重新启动计算机即可马上使用。在后续的特征码、引擎升级时同样无需重启。

同Windows性能监视器紧密集成

KILL可同WindowsNT/2000/XP的性能监视器紧密集成，利用丰富的图表形式动态实时表现服务器的防病毒软件运行状况和病毒活动情况。管理员仅需在管理台前打开性能监视器就可以动态实时监视全网中所有关键服务器的安全状况。

无后门安全管理

KILL在进行对客户端的管理时不需要在客户端驻留任何远程管理程序，彻底杜绝了由于防病毒远程管理程序的安全漏洞和后门而导致的整个网络范围的安全隐患。

中央分级管理

在大型的网络中，管理员可以根据现有的网络管理结构对防病毒系统进行规划，管理员通过中央控制台能够实现对整个防病毒系统的中央集中控管。

对客户端的完全控制

管理员通过控制台能够对运行在所有平台上的防病毒软件进行全面管理，包括客户端软件的安装、卸载、启动、关闭、扫描配置、计划、升级、CPU占有率、进程和目录排除、管理授权等全部任务进行控制。

跨平台管理KILL防病毒软件能够在企业的所有主流操作系统平台上安装运行，并可在Windows管理台实现对系统中Unix、Linux和NetWare服务器的病毒扫描管理。

强大的实时报警功能

可通过网络广播、SNMP、MSMail、MSExchange/Notes邮件、寻呼机、打印的故障清单等方式向用户发送病毒警告。

支持环境

Windows95/98/ME

NovellNetWare3.x,4.x,5.x

LotusNotes/Domino

Macintosh

WindowsNT/2000/XP

MicrosoftExchange5.5+/2000

Unix/Linux

网络安全扫描系统安全扫描系统是现阶段最先进的系统安全评估技术，他能够测试和评价系统的安全性，并及时发现安全漏洞。漏洞扫描系统通过对网络中设备进行自动的安全漏洞检测和分析，模拟漏洞分析专家及安全专家的技术，提供基于策略的安全风险管理过程它可以在任何基于TCP/IP的网络上应用，包括与Internet连接的网络，公司的内部网络，以及单独的主机。漏洞扫描系统对网络及各种系统进行定期或不定期的扫描监测，并向安全管理员提供系统最新的漏洞报告，使管理员能够随时了解网络系统当前存在的漏洞并及时采取相应的措施进行修补。本方案采用榕基扫描器RJ-iTopII型,其产品特点如下：863计划的成果转化项目来源国家科技部高技术研究计划（863计划）信息安全技术应急项目“网络隐患扫描”项目的成果转化产品。研究该课题的中科院网络安全课题组，曾经以《黑客入侵防范软件》研究获得1999年中国科学院科技进步一等奖以及2000年国家科技进步二等奖。取得国内所有许可证RJ-iTop网络隐患扫描系统已经取得了公安部、安全部、解放军和保密局的许可证。强大的检测分析能力基于StrongArm的硬件高处理能力基于IntelStrongArm的硬件平台，采用Risc指令集，处理能力强大。完全扫描一台目标系统时间耗时2－5分钟。嵌入式Linux系统的数据包处理能力经过系统优化的Linux系统强大的网络功能配合优化的数据包处理模块，使得检测能力得到了极大的提供。采用层次化扫描结构的高速检测能力手持式设备触摸笔操作，不必给每个用户安装任何软件，只要接上网络，勾勾点点之间就可以确保您的网络安全；能够对网络设备、操作系统和数据库三个方面进行扫描，指出有关网络的安全漏洞及被测系统的薄弱环节，给出详细的检测报告，并针对检测到的网络安全隐患给出相应的修补措施和安全建议；强大的漏洞库拥有丰富的检测漏洞库，目前漏洞数量达到1313条（2003年8月1号版本），同时保证每周五通过网络或者本地数据包进行及时的升级。对于每条漏洞都有详细的漏洞描述、CVE编号和可操作性强的漏洞解决方案，保证网管人员的方便使用。专业的报表和漏洞修改建议扫描报告具有灵活的导出功能，并支持多种报告格式；报告种类可满足不同角色的人员的需要，如行政主管、安全专家、技术人员，并提供客户化报告外观的功能。支持分布式扫描随着网络规模的逐步庞大、逐步复杂，核心级网络、部门级网络、终端/个人用户级网络的建设，各个网络之间存在着防火墙、交换机等过滤机制的存在，隐患扫描发送的数据包大部分将被这些设备过滤，降低了扫描的时效性和准确性。针对这种分布式的复杂网络，不能依旧采用传统的软件安装方式或者机架方式那种不易移动的产品，RJ-iTop网络隐患扫描系统能够充分发挥自身可移动的优势，能够很好的适应这种分布式网络扫描。自身高度安全性可靠安全的操作系统平台嵌入式Linux操作系统和扫描程序主要模块通过Cramfs（CompressedROMFileSystem）文件系统固化在flash中，需要升级的模块通过Jffs（日志式闪存Flash）文件系统写入系统。经过优化的基于strongARM指令集的嵌入式LINUX操作系统屏蔽了所有不必要的端口和服务，为RJ-iTop奠定了可靠的安全操作基础。软件设计采用了最先进的层次化软件体系结构，框架清晰、运行稳定；软件各模块的升级不会影响到程序的稳定，从而使先进性和可靠性得到了完美的统一。IP地址限定每个扫描系统所能扫描的IP地址范围被严格锁定，并在国家授权机关进行安全备案，杜绝了RJ-iTop网络隐患扫描系统被恶意使用的可能，防止利用RJ-iTop从事危害国家利益、集体利益和公民合法利益的活动。多级的安全权限系统有完备的安全设计，防止超越权限操作现象发生；系统分级分层授权，以保证信息的安全和保密；充分考虑在网络、操作系统、数据库、应用等方面的安全性传输数据的加密采用多种数据加密方法对重要数据进行加密，保证数据的安全读取与传输。不论是扫描脚本还是用户的扫描结果，都以严格加密的形式进行传送。既保证了测试脚本不会被窃取，也保证了用户的评估情况不会泄漏。支持CVE国际标准软件遵循有关标准RJ-iTop网络隐患扫描系统遵循国家和军队网络安全的相关标准，遵循现行行政法规。漏洞库基于国际CVE标准完全基于国际CVE标准建立的安全漏洞库，并通过网络升级可以与国际最新标准同步。完善的三级服务体系第一级：产品本身每个扫描系统本身都携带有漏洞的解释，根据这些提示，用户可以方便地学习相关知识，并根据CVE编号检索漏洞的相关知识。第二级：产品网站榕基企业为隐患扫描产品专门建立了产品网站，并为用户提供周到的会员制服务。用户可以使用账户和密码登录产品网站的会员区域，在这里，可以查询到十分详细的漏洞相关知识。每一条漏洞的信息都包括漏洞成因、漏洞危害、漏洞修补建议、修补的操作步骤、相关知识介绍、信息订阅服务等。通过这些信息的提示，用户可以按照提示一步步地操作，直到解除隐患。第三级：专业安全小组榕基企业的网络安全小组长期从事网络安全的研究，对安全产品和全面的安全方案有丰富的经验，对各种漏洞的成因和修补有叫深厚的知识积累。当用户通过前两级服务仍不能解决问题时，可以通过800免费电话和产品网站和安全小组直接交流，榕基的安全小组可以用户提供一对一的专业指导和协助，为用户建立严密的安全体系提供支持。防火墙安全防护体系防火墙概述防火墙是重要的网络安全设备，可以完成多种任务。保护脆弱的服务。通过过滤不安全的服务，Firewall可以极大地提高网络安全和减少子网中主机的风险。例如，Firewall可以禁止NIS、NFS服务通过，Firewall同时可以拒绝源路由和ICMP重定向封包。控制对系统的访问。Firewall可以提供对系统的访问控制。如允许从外部访问某些主机，同时禁止访问另外的主机。例如，Firewall允许外部访问特定的MailServer和WebServer。集中的安全管理。Firewall对企业内部网实现集中的安全管理，在Firewall定义的安全规则可以运用于整个内部网络系统，而无须在内部网每台机器上分别设立安全策略。如在Firewall可以定义不同的认证方法，而不需在每台机器上分别安装特定的认证软件。外部用户也只需要经过防火墙的—次认证即可访问内部网。增强保密性。使用Firewall可以阻止攻击者获取攻击网络系统的有用信息，如Finger和DNS。记录和统计网络利用数据以及非法使用数据。Firewall可以记录和统计通过Firewall的网络通讯，提供关于网络使用的统计数据，并且，Firewall可以提供统计数据，来判断可能的攻击和探测。策略执行。Firewall提供了制定和执行网络安全策略的手段。未设置Firewall时，网络安全取决于每台主机的用户。Netscreen-204防火墙功能特点根据湖北移动互联网站扩容的安全需求，布置两台互为冗余Netscreen-204防火墙。由于原有防火墙为netscreen-100,采用Netscreen系列有利于操作维护和系统升级的顺利施工。产品外观

产品概述NetScreen-204是目前市场上功能最多的防火墙产品，可以方便地集成在许多不同的网络环境中，包括大中型企业的办公室，电子商务网站，数据中心和电信运营基础设施。它具有4个自适应10/100M以太网端口，延续了NetScreen防火墙优秀的线速处理能力(400Mbps)--即使在对系统资源要求极高的应用中（诸如VPN-3DES加密）也能保持超过200Mbps的速率。多个可灵活配置的端口具有4个以太网端口，可以适应任何网络环境的要求，在改变了简单的内、外网的安全区域划分后NS-200系列具有更高的安全水准，现在可以用设备具有的多个端口把网络划分成多个区域，更有效地把需要保护的特别区域与潜在威胁分离开来。在每个端口上都可以设置防火墙保护策略所有的端口都可防止拒绝服务式攻击和其他攻击，可以针对来自于外部和内部的攻击提供安全保护措施。每个端口都可配置针对28种攻击手段的保护策略，以便在当今不断变化的网络中增加安全防护的机动灵活性并提高了安全系数。VPN通道可以设置在任一端口NetScreen-204防火墙系列可以把任一端口设置为遵守IPSec协议的VPN通道的起点或终点，从而搭建功能更强的VPN网络。这个功能一个最典型的应用就是在无线局域网中：把防火墙的内部端口设为VPN通道的终点，使无线网络中的内部通讯信息得以加密而不被外界破译。NetScreen整合型网络安全产品把防火墙功能和用户认证服务结合在一起，可以锁定那些没有经过授权的网络访问，并且在无线网络的通讯中通过加密提供信息的保密。集中星型的(hub-and-spoke)NetScreen-204适合部署于集中星型(hubandspoke)VPN网络的中央站点。用户不需要为每个远程站点之间单独建立VPN通道，只需在远程和中央站点间设立一个VPN通道，让中央站点把网络流量导引到正确的远程站点。NetScreen-204具有高度VPN容量和处理性能，可以更容易实现上述功能。VPN高可用性（冗余设备）NetScreen-204支持高可用性(HA)，维护所有对话同步，包括IPSec的安全联盟(SAs)。由于所有会话和IPSecSA都在设备之间被保存和维护，因此当主系统切换到备份系统时不会发生网络中断。防火墙NetScreen提供了可扩展的网络安全解决方案，适用于包括宽带移动用户、大型企业，以至电子商务网站。NetScreen全功能防火墙采用实