计算机专网安全产品解决方案(网络防火墙)

宁波市政府计算机专网安全产品解决方案（网络防火墙）方正数码有限公司2023年2月

TOC\o"1-3"\h\z1. 背景介绍 51.1. 项目总述 51.2. 网络环境总述 51.3. 业务现状 61.4. 网络信息安全概况 71.4.1. 网络安全现状 81.4.2. 典型的黑客袭击 81.4.3. 网络与信息安全平台的任务 102. 安全架构分析与设计 112.1. 网络整体结构 112.1.1. 宁波在全国政府专网中的位置 122.1.2. 光纤网络平台 122.2. 宁波政府专网安全风险分析 142.2.1. 重要应用服务的安全风险 142.2.2. 网络中重要系统的安全风险 152.2.3. 数据库系统安全分析 162.2.4. Unix系统的安全分析 162.2.5. WindowsNT系统的安全分析 172.2.6. 管理系统的安全风险 172.3. 宁波政府专网安全风险解决方案设计的原则和目的 182.3.1. 网络安全解决方案的组成 192.3.2. 超高安全规定下的网络保护 212.4. 防火墙选型 222.5. 防火墙设立及工作模式 232.6. 防火墙功能设立及安全策略 232.6.1. 完善的访问控制 232.6.2. 内置入侵检测（IDS） 242.6.3. 代理服务 242.6.4. 日记系统及系统报警 242.6.5. 带宽分派，流量管理 252.6.6. H.323支持 252.6.7. 系统升级 252.6.8. 双机备份 262.6.9. 防火墙方案特点 262.7. 防火墙整体布局 272.8. 宁波市政府系记录算机专网核心节点市政府办公厅网络 282.9. 各区及委、办、局的安全网络 282.10. 集中管理和分级管理 293. 产品选型 303.1. 防火墙与入侵检测的选型 303.1.1. 方正数码公司简介 303.2. 方正方御防火墙（100M） 313.2.1. 产品概述 313.2.2. 系统特点 313.2.3. 方御防火墙（百兆）的性能 353.2.4. 方正方御防火墙功能说明 363.3. 方正方御防火墙（1000M） 473.3.1. 产品概述 473.3.2. 系统特点 483.3.3. 方正方御千兆防火墙功能说明 493.3.4. 方御防火墙（千兆）的性能 594. 工程实行方案 614.1. 协议签订阶段的工作实行 614.2. 发货阶段的实行 624.3. 到货后工作的实行 634.4. 测试及验收 644.4.1. 测试及验收描述 644.5. 系统初验 654.5.1. 功能测试 654.5.2. 性能测试 654.5.3. 实行人员 655. 培训方案 665.1. 培训目的 665.2. 培训课程 665.3. 培训方式 665.4. 培训时长 665.5. 培训地点 665.6. 培训人数 675.7. 培训讲师 675.8. 入学规定 686. 售后服务和技术支持 696.1. 售后服务内容 696.2. 保修 706.3. 保修方式 716.4. 保修范围 716.5. 保修期的确认 726.6. 全国服务网络 726.7. 场地及环境准备 726.7.1. 常规规定 726.7.2. 机房电源、地线及同步规定 736.7.3. 设备场地、通信 736.7.4. 机房环境 736.8. 验收清单 756.8.1. 设备开箱验收清单 756.8.2. 用户信息清单 756.8.3. 用户验收清单 767. 方案整体优势 788. 方正方御防火墙荣誉证书 79

背景介绍项目总述政府专网是宁波市政府信息化建设的基础工程，是以宁波市政府东、北大院计算机局域网为核心，以宽带光纤网络为通信平台，围绕业务管理、数据互换、语音通信、重大事件解决、视频会议等应用，覆盖宁波市各县（市）、区政府，市政府各部门，市委办、人大办、政协办及市委各工作部门等，并与全国、全省政府专网联接，共约122个节点的城域网。政府专网是独立于公共网络之外的政府系统专用网络，物理上与外部公共网络隔离。专网内部进行逻辑分割，采用防火墙隔离、审计检测等措施，建立有效的网络安全防范体系，以满足国家党政机关网络可传送普密级信息的通信安全保密规定。政府专网涉及范围广，建设规定高，需分期分批进行建设。整个建设周期分为二期，第一期41个节点于2023年2月底前完毕，第二期约81个节点于2023年完毕。目前已经完毕网络平台、系统集成、系统商务标的招投标工作，正在抓紧进行网络平台建设及相关设备的订购采购工作。政府专网建成后，将极大地促进政府业务规范化、办公自动化、管理智能化、决策科学化、提高政府机关办事工作效率，实现政府各部门以及上下级政府部门之间信息和资源的共享。网络环境总述市区内采用千兆以太网技术，市区外采用IPOVERSDH传输技术，各节点用物理光纤接入。政府专网以市政府办公厅为核心节点，在市区内采用4个汇集点，各节点用物理光纤就近接入汇集点。在市区外运用网络供应商提供的SDH环路，各节点用物理光纤接入SDH环。核心节点与SDH环通过物理光纤连接，把市内和市外两部分连通，组成完整的政府专网网络平台。总体结构请参见网络总体拓扑图。此外，省政府专网的光纤接入到IBM2216路由器，再通过防火墙（上海华堂），以百兆方式接入核心节点的接入互换机。国务院专网的帧中继专线接入到CISCO路由器，再通过防火墙（中科院的安胜（ERCIST）防火墙），以百兆方式接入核心节点的接入互换机。宁波市解决重大事件指挥中心（以下简称指挥中心）是一个独立的网段，以多模光纤接入核心点的接入互换机，中间需以防火墙隔离。市政府西大院所有单位作为一个节点，用4芯光纤接入汇集点。政府专网采用CISCO的WORKS2023FORNT作为网管软件。业务现状一方面，宁波市政府与上级政府部门的信息数据互换量非常大。一方面，国务院、省政府需要宁波市政府上报大量信息，如地方经济运营状况、经济规划、社会治安情况等；另一方面，宁波市政府也需要及时了解国家有关政策、法规的最新情况。第二，宁波市政府与各县区政府数据互换量也相称大。第三，为了切实做好政府各项综合管理工作，市政府要领导、安排、督促和协调政府各职能部门工作，因此与各部门业务联系十分密切，信息互换量很大。第四，市政府与市委、人大及政协系统之间信息交流也十分频繁。1.宁波市与上级政府部门之间的信息交流以公文、告知通告、要闻信息等文字资料为主。2.宁波市政府系统（含与市委、人大、政协系统之间）内部信息交流内容，重要有：·网上办公：公文及业务工作网上办理流转。·宏观信息：涉及国际、国内、省内、省外、市内、市外宏观经济数据，每日信息，重要会议，重大事件。·基本信息：涉及市情、县情，各级领导情况，机构设立、直属机构设立、编制、职能职责、联系电话、邮箱地址等。·告知通告：涉及会议、学习、上报材料等告知，系统内的通报等。·工作动态：国家、省、市政府及政府有关部门的重要政策信息，政府内部改革思绪新经验等。·重大事件解决：综合治理、灾害、汛情、交通等方面的文字、图像及视频信息。·政策法规：地方政策法规和国家、浙江省的政策法规·行业数据：科技、文化、教育、交通等方面的行业数据。·地理信息系统：规划、建筑、地形地貌等方面的数据，涉及大型图片。·会计核算中心：财务数据·经济服务中心：批文、办事程序等数据以上诸项信息内容除已说明以外，其余都为文字、数字等形式。网络信息安全概况目前，很多公开的新闻表白美国国家安全局（NSA）有也许在许多美国大软件公司的产品中安装“后门”，其中涉及一些应用广泛的操作系统。为此德国军方前些时候甚至规定在所有牵涉到机密的计算机里，不得使用美国的操作系统。作为信息安全的保障，我们在安全产品选型时强烈建议使用国内自主开发的优秀的网络安全产品，将安全风险降至最低。在为各安全产品选型时，我们立足国内，同时保证所选产品的先进性及可靠性，并规定通过国家各重要安全测评认证。网络安全现状Internet正在越来越多地融入到社会的各个方面。一方面，随着网络用户成分越来越多样化，出于各种目的的网络入侵和袭击越来越频繁；另一方面，随着Internet和以电子商务为代表的网络应用的日益发展，Internet越来越深地渗透到各行各业的关键要害领域。Internet的安全涉及其上的信息数据安全，日益成为与政府、军队、公司、个人的利益休戚相关的“大事情”。特别对于政府和军队而言，假如网络安全问题不能得到妥善的解决，将会对国家安全带来严重的威胁。2023年二月，在三天的时间里，黑客使美国数家顶级互联网站－Yahoo!、Amazon、eBay、CNN陷入瘫痪，导致了十几亿美元的损失，令美国上下如临大敌。黑客使用了DDoS（分布式拒绝服务）的袭击手段，用大量无用信息阻塞网站的服务器，使其不能提供正常服务。在随后的不到一个月的时间里，又先后有微软、ZDNet和E*TRADE等著名网站遭受袭击。国内网站也未能幸免于难，新浪、当当书店、EC123等知名网站也先后受到黑客袭击。国内第一家大型网上连锁商城IT163网站3月客观地说，没有任何一个网络可以免受安全的困扰，依据FinancialTimes曾做过的记录，平均每20秒钟就有一个网络遭到入侵。仅在美国，每年由于网络安全问题导致的经济损失就超过100亿美元。典型的黑客袭击黑客们进行网络袭击的目的各种各样，有的是出于政治目的，有的是员工内部破坏，尚有的是出于好奇或者满足自己的虚荣心。随着Internet的高速发展，也出现了有明确军事目的的军方黑客组织。在典型的网络袭击中，黑客一般会采用如下的环节：自我隐藏，黑客使用通过rsh或telnet在以前攻克的主机上跳转、通过错误配置的proxy主机跳转等各种技术来隐藏他们的IP地址，更高级一点的黑客，精通运用电话互换侵入主机。网络侦探和信息收集，在运用Internet开始对目的网络进行袭击前，典型的黑客将会对网络的外部主机进行一些初步的探测。黑客通常在查找其他弱点之前一方面试图收集网络结构自身的信息。通过查看上面查询来的结果列表，通常很容易建立一个主机列表并且开始了解主机之间的联系。黑客在这个阶段使用一些简朴的命令来获得外部和内部主机的名称：例如，使用nslookup来执行“ls<domainornetwork>”，finger外部主机上的用户等。确认信任的网络组成，一般而言，网络中的主控主机都会受到良好的安全保护，黑客对这些主机的入侵是通过网络中的主控主机的信任成分来开始袭击的，一个网络信任成员往往是主控主机或者被认为是安全的主机。黑客通常通过检查运营nfsd或mountd的那些主机输出的NFS开始入侵，有时候一些重要目录（例如/etc，/home）能被一个信任主机mount。确认网络组成的弱点，假如一个黑客能建立你的外部和内部主机列表，他就可以用扫描程序（如ADMhack,mscan,nmap等）来扫描一些特定的远程弱点。启动扫描程序的主机系统管理员通常都不知道一个扫描器已经在他的主机上运营，由于’ps’和’netstat’都被特洛伊化来隐藏扫描程序。在对外部主机扫描之后，黑客就会对主机是否易受袭击或安全有一个对的的判断。有效运用网络组成的弱点，当黑客确认了一些被信任的外部主机，并且同时确认了一些在外部主机上的弱点，他们就要尝试攻克主机了。黑客将袭击一个被信任的外部主机，用它作为发动袭击内部网络的据点。要袭击大多数的网络组成，黑客就要使用程序来远程袭击在外部主机上运营的易受袭击服务程序，这样的例子涉及易受袭击的Sendmail,IMAP,POP3和诸如statd,mountd,pcnfsd等RPC服务。获得对有弱点的网络组成的访问权，在攻克了一个服务程序后，黑客就要开始清除他在记录文献中所留下的痕迹，然后留下作后门的二进制文献，使其以后可以不被发现地访问该主机。目前，黑客的重要袭击方式有：欺骗：通过伪造IP地址或者盗用用户帐号等方法来获得对系统的非授权使用，例如盗用拨号帐号。窃听：运用以太网广播的特性，使用监听程序来截获通过网络的数据包，对信息进行过滤和分析后得到有用的信息，例如使用sniffer程序窃听用户密码。数据窃取：在信息的共享和传递过程中，对信息进行非法的复制，例如，非法拷贝网站数据库内重要的商业信息，盗取网站用户的个人信息等。数据篡改：在信息的共享和传递过程中，对信息进行非法的修改，例如，删除系统内的重要文献，破坏网站数据库等。拒绝服务：使用大量无意义的服务请求来占用系统的网络带宽、CPU解决能力和IO能力，导致系统瘫痪，无法对外提供服务。典型的例子就是2023年年初黑客对Yahoo等大型网站的袭击。黑客的袭击往往导致重要数据丢失、敏感信息被窃取、主机资源被运用和网络瘫痪等严重后果，假如是对军用和政府网络的袭击，还会对国家安全导致严重威胁。网络与信息安全平台的任务网络与信息安全平台的任务就是创建一个完善的安全防护体系，对所有非法网络行为，如越权访问、病毒传播、恶意破坏等等，事前防止、事中报警并阻止，事后能有效的将系统恢复。在上文对黑客行为的描述中，我们可以看出，网络上任何一个安全漏洞都会给黑客以可乘之机。著名的木桶原理（木桶的容量由其最短的木板决定）在网络安全里特别合用。所以，我们的方案必须是一个完整的网络安全解决方案，对网络安全的每一个环节，都要有仔细的考虑。

安全架构分析与设计逻辑上，宁波市政府系记录算机专网将划分为三个区域：数据发布区、局域网用户、远程其他用户。其中每一个局域网节点划分为内部操作（控制）区、信息共享区两个网段，网段之间设立安全隔离区。每一个网段必须可以构成一个独立的、完整的、安全的、可靠的系统。网络整体结构宁波市政府系记录算机专网需要涉及若干政府部门，各地方的网络通过专用网连接起来。宁波在全国政府专网中的位置政府专网是由国家、省、市及县级政府部门共同组成的全国性广域网。整个广域网网络系统是一个典型的星形拓朴型结构，重要负责传输国家、省、市、县政府间的文字、图像和视频信息。其结构图如下：政府系统结构图整个区域网络拓朴为一倒叉树结构，国务院为根节点，宁波市作为网络中的一级节点同时又作为一个区域中心节点，它既要与国家、省各部门互联，又要与各县（市）、区政府和市政府各部门互联，在整个网络中起着一个承上启下的作用。光纤网络平台光纤网络平台的提供商为宁波市广电网络传输中心。具体情况如下：1.市区范围内（东北大院以外）73家单位采用物理光纤分别接入四个汇集点。这四个汇集点分别是广电网络传输中心汇集点、华侨城汇集点、广电局汇集点、电视中心汇集点。单点接入示意图如下：市区内各部门逻辑分布图如下图：2.市区以外单位重要是余姚、慈溪、奉化、宁海、象山、镇海、北仑、经济技术开发区、保税区、大榭开发区、港务局等部门。这些部门与核心节点之间将借助宁波广电的sdh环网。单点接入示意图如下：市区外各部门逻辑分布图如下图：宁波政府专网安全风险分析重要应用服务的安全风险应用服务系统中各个节点有各种应用服务，这些应用服务提供应各级部门或单位使用。不能防止未经验证的操作人员运用应用系统的脆弱性来袭击应用系统，使得系统数据丢失、数据更改、获得非法数据等。而宁波市政府的这些应用系统是政府专网中最重要的组成部分。DNS服务DNS是网络正常运作的基本元素，它们是由运营专门的或操作系统提供的服务的Unix或NT主机构成。这些系统很容易成为外部网络袭击的目的或跳板。对DNS的袭击通常是对其他远程主机进行袭击做准备，如篡改域名解析记录以欺骗被袭击的系统，或通过获取DNS的区域文献而得到进一步入侵的重要信息。著名的域名服务系统BIND就存在众多的可以被入侵者运用的漏洞。特别是基于URL的应用依赖于DNS系统，DNS的安全性也是网络安全关注的焦点。E-Mail由于邮件服务器软件的众多广为人知的安全漏洞，邮件服务器成为进行远程袭击的首选目的之一。如运用公共的邮件服务器进行的邮件欺骗或邮件炸弹的中转站或引擎；运用sendmail的漏洞直接入侵到邮件服务器的主机等。而宁波政府专网的内部E-mail系统覆盖面广，所以迫切需要使用防火墙来保护内部E-mail系统。WWW运用HTTP服务器的一些漏洞，特别是在大量使用服务器脚本的系统上，运用这些可执行的脚本程序，未经授权的操作者可以很容易地获得系统的控制权。在宁波市政府存在各种WWW服务，这些服务协议或多或少存在安全隐患。FTP一些FTP服务器的缺陷会使服务器很容易被错误的配置，从而导致安全问题，如被匿名用户上载的木马程序，下载系统中的重要信息（如口令文献）并导致最终的入侵。有些服务器版本带有严重的错误，比如可以使任何人获得对涉及root在内的任何帐号的访问。网络中重要系统的安全风险整个系统中网络设备重要采用路由器设备，有必要分析这些设备的风险。路由器是网络的核心部件，路由器的安全将直接影响整个网络的安全。下面列举了一些路由器所存在的重要安全风险：■ 路由器缺省情况下只使用简朴的口令验证用户身份，并且远程TELNET登录时以明文传输口令。一旦口令泄密路由器将失去所有的保护能力。■路由器口令的弱点是没有计数器功能，所以每个人都可以不限次数的尝试登录口令，在口令字典等工具的帮助下很容易破解登录口令。■每个管理员都也许使用相同的口令，因此，路由器对于谁曾经作过什么修改，系统没有跟踪审计的能力。■路由器实现的某些动态路由协议存在一定的安全漏洞，有也许被恶意的袭击者运用来破坏网络的路由设立，达成破坏网络或为袭击做准备的目的。针对这种情况，必须采用措施，有效防止非法对网络设备访问。■TCP/IP风险：系统采用TCP/IP协议进行通信，而由于TCP/IP协议中存在固有的漏洞，比如：针对TCP序号的袭击，TCP会话劫持，TCPSYN袭击等。同时系统的DNS采用UDP协议，由于UDP协议是非面向连接的协议，对系统中的DNS等相关应用带来安全风险。数据库系统安全分析数据库系统是存储重要信息的场合并担负着管理这些数据信息的任务。数据库的安全问题，在数据库技术诞生之后就一直存在，并随着数据库技术的发展而不断深化。不法份子运用已有的或者更加先进的技术手段通常对数据库进行伪造数据库中的数据、损坏数据库、窃取数据库中的数据。如何保证和加强数据库系统的安全性和保密性对于网络的正常、安全运营至关重要。Unix系统的安全分析 UNIX系统安全具有如下特性：操作系统可靠性：它用于保证系统的完整性，系统处在保护模式下，通过硬件和软件保证系统操作可靠性。访问控制：允许通过改变用户安全级别、访问权限，具有统一的访问控制表。对象可用：当对象不需要时应当立即清除。个人身份标记与认证：它重要为了拟定身份，如用户登陆时采用扩展的DES算法对口令进行加密。审计：它规定对使用身份标记和认证的机制，文献的创建，修改，系统管理的所有操作以及其他有关安全事件进行记录，以便系统管理员进行安全跟踪。往来文献系统：UNIX系统提供了分布式文献系统（DFS）的网络安全。 将网络与外部网络相连接，会使您的网络遭受潜在的服务中断、未经授权的入侵以及相称大的破坏。比如下面的一些安全隐患：■“拒绝服务”袭击(DenialofServiceAttacks):这些袭击严禁系统向顾客提供服务，使顾客不能得到某种服务。例如，袭击也许使用大而无用的流量充斥网络，导致无法向顾客提供服务。最通常的情况是这种袭击也许毁坏系统或者只是让系统在向顾客提供服务时慢的出奇。■缓冲区溢出袭击(BufferOverrunExploits):其中涉及运用软件的弱点将任意数据添加进某个程序中，从而在它以根的身份运营时，有也许赋予剥削者对您的系统的根访问权。这也也许导致某种“拒绝服务”袭击。■窃听和重放袭击(SnoopingandReplayAttacks):窃听袭击涉及某个对网络上的两台机器之间的通讯流进行侦听的入侵者。通讯流也许包含使用telnet、rlogin或ftp时来回传递的未加密的口令。这有也许导致某个未经授权的个人非法进入您的网络或看到机密数据。■IP欺骗(IPSpoofing):基于IP欺骗的袭击涉及对计算机未经授权的访问。通过侦听网络通讯流，入侵者找到受信任主机的一个IP地址，然后发送消息时指示该消息来自受信任主机。■内部泄密(InternalExposure):绝大多数网络非法进入皆起因于某个心怀恶意或对现状不满的现任或前任雇员滥用对信息的访问权或非法闯入您的网络。针对Unix系统存在的诸多风险，应当采用相应的安全措施。必须对这些风险加以控制。针对这个部分的安全控制可以采用特殊的安全策略，同时运用相关的软件对系统进行配置、监控。制定具体的访问控制计划、策略。WindowsNT系统的安全分析WindowsNT的安全机制的基础是所有的资源和操作都受到选择访问控制的保护，可认为同一目录的不同文献设立不同的权限。这是NT的文献系统的最大特点。NT的安全机制不是外加的，而是建立在操作系统内部的，可以通过一定的设立使文献和其他资源免受在存放的计算机上工作的用户和通过网络接触资源的用户的威胁（破坏、非法的编辑等）。安全机制甚至包含基本的系统功能，例如设立系统时钟。对用户帐号、用户权限及资源权限的合理组合，可以有效地保证安全性。通过一系列的管理工具，以及对用户帐号、口令的管理，对文献、数据授权访问，执行动作的限制，以及对事件的审核可以使WindowsNT达成C2级安全。在网络中，有三种方式可以访问NT服务器：（1）通过用户帐号、密码、用户组方式登录到服务器上，在服务器允许的权限内对资源进行访问、操作。这种方式的可控制性较强，可以针对不同的用户。（2）在局部范围内通过资源共享的形式，这种方式建立在NETBIOS的基础之上。通过对共享资源的共享权限的控制达成安全保护。但不能针对不同的用户，当一个用户在通过共享对某一个资源进行操作时（这时共享权限有所扩大），其他用户趁虚而入，而导致对资源的破坏。（3）在网络中通过TCP/IP协议，对服务器进行访问。目前典型应用有FTP、HTTP、WWW等。通过对文献权限的限制和对IP的选择，对登录用户的认证可以在安全性上做到一定的保护。 由于WindowsNT系统的复杂性，以及系统的生存周期比较短，系统中存在大量已知和未知的漏洞，一些国际上的安全组织已经发布了大量的安全漏洞，其中一些漏洞可以导致入侵者获得管理员的权限，而另一些漏洞则可以被用来实行拒绝服务袭击。管理系统的安全风险管理系统的安全风险除了上面提到的系统风险之外，系统结构复杂、管理难度大，存在各种服务，哪些服务对哪些人是开放的、哪些是拒绝的都没有一定的安全划分。必须防止内部不相关人员非法访问安全限度规定高的数据，并且整个系统的正常运营也是保证银行系统平常工作正常进行的一个十分重要的方面。必须限制管理系统内各个部门之间访问权限，维护各个系统的安全访问。而由于整个系统是一个体系，任何一个点出现安全问题，都也许给相关人员带来损失。宁波政府专网安全风险解决方案设计的原则和目的原则：从网络安全整个体系考虑，本次防火墙选择原则是：安全性：防火墙提供一整套访问控制/防护的安全策略，保证系统的安全性；开放性：防火墙采用国家防火墙相关标准和网络安全领域相关技术标准；高可靠性：防火墙采用软件、硬件结合的形式，保证系统长期稳定、安全运营；可扩充性：防火墙采用模块化设计方式，方便产品升级、功能增强、调整系统结构；可管理性：防火墙采用基于windows平台GUI模式进行管理，方便各种安全策略设立；可维护性：防火墙软件维护方便，便于操作管理；目的：网络安全涉及很多方面，如：访问控制、身份认证、数据加密、入侵检测、防止病毒、数据备份等。本次防火墙系统建设的目的是通过采用防火墙技术，防止不同节点间对内联网数据的非法使用和访问，监控整个网络数据过程。有效防止袭击行为。限制对内部资源和系统的访问范围。通过在系统中设立防火墙的安全措施将达成以下目的：保护基于专网的业务不间断的正常运作。涉及构成所有设施、系统、以及系统所解决的数据（信息）。重要信息在可控的范围内传播，即有效的控制信息传播的范围，防止重要信息泄露解决网络的边界安全问题保证网络内部的安全实现系统安全及数据安全在用户和资源之间进行严格的访问控制（通过身份认证，访问控制）建立一套数据审计、记录的安全管理机制（网络数据采集，审计）融合技术手段和行政手段，形成全局的安全管理。为了解决专网面临的安全问题，有必要建立一整套安全机制，涉及：访问控制、入侵检测等多个方面。信息系统的安全是一个复杂的系统工程，涉及到技术和管理等多个层面。为达成以上目的，方正数码在充足调研和分析比较的基础上采用合理的技术手段和产品以构建一个完整的安全技术体系，协助宁波政府建立完善的安全管理体系。网络安全解决方案的组成针对前文对黑客入侵的过程的描述，为了更为有效的保证网络安全，方正数码提出了两个理念：立体安全防护体系和安全服务支撑体系。一方面网络的安全决不仅仅是一个防火墙，它应是涉及入侵测检（IDS）、虚拟专用网（VPN）等功能在内的立体的安全防护体系；另一方面真正的网络安全一定要配备完善的高质量的安全维护服务，以使安全产品充足发挥出其真正的安全效力。一个好的网络安全解决方案应当由如下几个部分组成：防火墙：对网络袭击的阻隔防火墙是保证网络安全的重要屏障。防火墙根据网络流的来源和访问的目的，对网络流进行限制，允许合法网络流，并严禁非法网络流。防火墙最大的意义在网络边界处提供统一的安全策略，有效的将复杂的网络安全问题简化，大大减少管理成本和潜在风险。在应用防火墙技术时，对的的划分网络边界和制定完善的安全策略是至关重要的。发展到今天，好的防火墙往往集成了其他一些安全功能。比如方正方御防火墙在很好的实现了防火墙功能的同时，也实现了下面所说的入侵检测功能；入侵检测（IDS）：对袭击试探的预警当黑客试探袭击时，大多采用一些已知的袭击方法来试探。网络安全漏洞扫描器是“先敌发现”，未雨绸缪。而从此外一个角度考虑问题，“实时监测”，发现黑客袭击的企图，对于网络安全来说也是非常故意义的。甚至由此派生出了P^2DR理论。入侵检测系统通过扫描网络流里的特性字段（网络入侵检测），或者探测系统的异常行为（主机入侵检测），来发现这类袭击的存在。一旦被发现，则报警并作出相应解决，同时可以根据预定的措施自动反映，比如暂时封掉发起该扫描的IP。方正方御防火墙已经内置的了一套网络版的IDS系统可以快速并有效的发现1500余种袭击行为。需要注意的是，入侵检测系统目前不能，以后也很难，精确的发现黑客的袭击痕迹。事实上，黑客可以将一些广为人知的网络袭击进行一些较为复杂的变形，就能做到没有入侵检测系统可以辨认出来。所以，在应用入侵检测系统时，千万不要由于有了入侵检测系统，就不对系统中的安全隐患进行及时补救。安全审计管理安全审计系统必须实时监测网络上和用户系统中发生的各类与安全有关的事件，如网络入侵、内部资料窃取、泄密行为、破坏行为、违规使用等，将这些情况真实记录，并能对于严重的违规行为进行阻断。安全审计系统所做的记录如同飞机上的黑匣子，在发生网络犯罪案件时可以提供宝贵的侦破和取证辅助数据，并具有防销毁和篡改的特性。安全审计跟踪机制的内容是在安全审计跟踪中记录有关安全的信息，而安全审计管理的内容是分析和报告从安全审计跟踪中得来的信息。安全审计跟踪将考虑要选择记录什么信息以及在什么条件下记录信息。收集审计跟踪的信息，通过列举被记录的安全事件的类别（例如对安全规定的明显违反或成功操作的完毕），能适应各种不同的需要。已知安全审计的存在可对某些潜在的侵犯安全的袭击源起到威摄作用。虚拟专用网（VPN）：远程传输的安全VPN技术在把分散在各处的服务器群连成了一个整体，形成了一个虚拟的专用网络。通过VPN的加密通道，数据被加密后传输，保证了远程数据传输的安全性。使用VPN可以象管理本地服务器同样去安全的管理远程的服务器。VPN带来的最大好处是保证安全性的同时，复用物理信道，减少使用成本。方正方御防火墙提供了软、硬两种方式来实现VPN。防病毒以及特洛伊木马计算机病毒的危害不言而喻，计算机病毒发展到今天，已经和特洛伊木马结合起来，成为黑客的又一利器。微软的原码失窃案，据信，就是一黑客使用特洛伊木马所为。安全策略的实行保证网络安全知识的普及，网络安全策略的严格执行，是网络安全最重要的保障。此外，信息备份是信息安全的最起码的规定。能减少恶意网络袭击或者意外灾害带来的破坏性损失。超高安全规定下的网络保护对于宁波市政府系记录算机专网数据中心安全而言，安全性需求就更加的高，属于超高安全规定下的网络保护范围，因此需要在这些地方使用2台防火墙进行双机热备，以保证数据稳定传输。认证与授权认证与授权是一切网络安全的根基所在，特别在网络安全管理、外部网络访问内部网络（涉及拨号）时，要有非常严格的认证与授权机制，防止黑客假冒身份渗透进内部网络。对于内部访问，也要有完善的网络行为审计记录和权限限定，防止由内部人员发起的袭击──70%以上的袭击都是内部人员发起的。我们建议宁波市政府系记录算机专网运用基于X.509证书的认证体系（目前最强的认证体系）来进行认证。方正方御防火墙管理也是用X.509证书进行认证的。网络隔离网络安全界的一个玩笑就是：要想安全，就不要插上网线。这是一个简朴的原理：假如网络是隔离开的，那么网络袭击就失去了其存在的介质，皮之不存，毛将焉附。但对于需要和外界沟通的实际应用系统来说，完全的物理隔离是行不通的。方正数码提出了安全数据通道网络隔离解决方案，在网络连通条件下，通过破坏网络袭击得以进行的此外两个重要条件：从外部网络向内部网络发起连接将可执行指令传送到内部网络从而保证宁波市政府系记录算机专网的安全。实行保证宁波市政府系记录算机专网牵涉网点众多，网络结构复杂。要保护这样一个繁杂的网络系统的网络安全，必须有完善的管理保证。安全系统要可以提供统一的集中的灵活的管理机制，一方面要能让宁波市政府系记录算机专网网控中心的网管人员监控整体网络安全状况，此外一方面，要能让地方网管人员灵活解决具体事务。方正方御防火墙采用基于WindowsGUI的用户界面进行远程集中式管理，配置管理界面直观，易于操作。可以通过一个控制机对多台方正方御防火墙进行集中式的管理。方正方御防火墙符合国家最新防火墙安全标准，采用了三级权限机制，分为管理员，策略员和审计员。管理员负责防火墙的开关及平常维护，策略员负责配置防火墙的包过滤和入侵检测规则，审计员负责日记的管理和审计中的授权机制，这样他们共同地负责起一个安全的管理平台。事实上，方御防火墙是通过该标准认证的第一个状态检测型包过滤防火墙。此外，方正方御防火墙还提供了原标准中没有强制执行的实行域分组授权机制，特别适合于宁波市政府系记录算机专网这样的大型网络。防火墙选型防火墙是网络安全领域首要的、基础的设施，它对维护内部网络的安全起着重要的作用。运用防火墙可以有效地划分网络不同安全级别区域间的边界，并在边界上对不同区域间的访问实行访问控制、身份鉴别、和安全审计等功能。防火墙按实现的方式不同，其基本类型有：包过滤型、代理(应用网关)型和复合型。复合型防火墙是在综合动态包过滤技术和代理技术的优点的情况下采用的一种更加完善和安全的防火墙技术。其功能强大，是未来防火墙技术发展的一个重要趋势。综合考虑宁波市政府网络安全实际情况，在本方案中采用方正数码的方正方御复合型防火墙，放置在网络连接的各个节点间。防火墙设立及工作模式防火墙提供三个接口：内网、外网、DMZ；防火墙工作在桥模式，这样不需要改动现有网络的拓扑结构；将对外服务的各种服务设备放置在DMZ区域，和内部网络严格区分开，保证内部系统安全。防火墙功能设立及安全策略完善的访问控制规则控制：通过方正方御防火墙提供的基于TCP/IP协议中各个环节进行安全控制，生成完整安全的访问控制表，这个表涉及：■外网对DMZ内服务访问控制。将外部对内部、DMZ内服务访问明确限制，防止非法对内部重要系统，特别是业务系统的访问。运用DMZ的隔离效果，尽量将对外服务的部分服务器放置在DMZ区域，通过NAT方式，保护内部网络免受袭击。关闭操作系统提供的除需要以外的所有服务和应用，防止由于这些服务和应用自身的漏洞给系统带来的风险。对内部E-mail、FTP、WWW、数据库的访问做严格的规划和限制，防止恶意袭击行为发生。■内部网络：内部网络对外部网络的访问也要进行严格的限制。防止内部员工对外网资源的非法访问。同时内部员工对DMZ区域服务器访问也必须做限制。内部员工对外网WWW访问采用代理方式。■DMZ访问：通常情况下DMZ对外部和内部都不能积极进行访问，除非特殊的应用需要到内部网络采集数据，可以有限地开放部分服务。借助方正方御防火墙提供的基于状态包过滤技术对数据的各个方向采用全面安全的技术策略，制定严格完善的访问控制策略保证从IP到传输层的数据安全。通过严格的访问控制表来进行限制。IPMAC地址捆绑：方正方御防火墙提供灵活而方式多种的内部网络、DMZ区域、外部网络IPMAC地址捆绑功能，将每台机器的IP地址和它自身的物理地址捆绑，有效防止内部网络、DMZ区域、外部网络的IP地址盗用（该功能实质是将网络协议第二层地址和第三层地址进行捆绑，达成一定的安全级别）。内部系统应当尽量采用固定IP分派方案。通过IPMAC地址捆绑，也可以对后期数据日记分析带来一定的方便性。URL拦截：方正方御防火墙实现了透明的URL拦截功能，对通过防火墙的应用层URL进行严格的控制和管理，按照用户的规定进行拦截。外部对DMZ、内部URL访问进行控制，同时也可以限制内部网络对外部网络URL非法访问。在该方案中我们将对内部网络和外部网络情况具体了解，对URL拦截达成页面级别。有效保护www应用的安全。内置入侵检测（IDS）方正数码公司和国际网络安全组织合作，可以实时获得最新系统入侵库代码，动态地将这些袭击技术的解决方案加入到方正方御防火墙中,同时在方正方御防火墙内部采用3I技术，加速应用层安全防护查询过程。方正方御防火墙目前可以支持1500种以上的入侵检测并可以成功阻断这样的袭击行为，比如最近的红色代码。针对各种袭击行为，比如TCP序列号袭击、劫持、碎片袭击、端口扫描可以辨认阻断。而这个数据库可以实时更新、升级。升级在方正方御防火墙界面即可完毕。IDS和访问策略形成互动。通过防火墙嵌入的IDS功能可以有效防范对内部Windows/NT，Unix系统的袭击行为。电子欺骗：防火墙可以自动辨认各种电子欺骗行为并进行阻断。同时防火墙可以对伪装IP地址进行辨认。代理服务方正方御防火墙对外提供代理服务功能，内部网络对外访问可以通过防火墙提供的代理服务功能，同时代理服务可以针对URL,SSL,FTP进行应用拦截，防止内部人员对外网的非法访问。日记系统及系统报警方正方御防火墙提供强大的日记系统，将通过防火墙的数据、防火墙管理数据、流量、各种袭击行为记录集成到一起。同时系统提供针对各种记录结果按照用户规定进行报表打印。针对通过防火墙数据，可以按照数据类型、地址进行记录分析。针对各种管理数据，防火墙进行具体记录，网管人员可以方便的查看对防火墙管理情况。假如有内部人员对防火墙访问，可以通过管理数据进行查询。流量记录：防火墙提供流量记录功能，可以按照用户名称、地址等多种方式进行记录。系统报警：当有人非法对内部网络或者外部网络进行访问的时候，系统的实时报警会通过E-mail和声音进行报警。同时对各种非法的访问和袭击行为进行记录。通过强大的日记系统和实时报警、日记报警等多种方式保证网络出现安全问题时可以有资料分析；同时也可以通过对日记系统的分析完善系统安全策略。带宽分派，流量管理在专网上运营着部分重要的业务数据，这些业务数据实时性规定高，必须保证这样的数据具有优先权限，防止由于带宽问题影响应用。方正方御防火墙可以针对实际情况，对部分特殊应用提供带宽管理。给特殊应用分派相对高的带宽。同时方正方御防火墙提供流量管理功能，对内部网络用户对外网的访问可以提供流量限制。H.323支持政府专网运营着视频会议数据（H.323）。方正方御防火墙可以准确辨认H.323数据流，让数据合法通过。按照正常的状态检测技术，H.323数据也许被阻断。在方正方御防火墙内部成功的进行了UDP、TCP数据同步分析。系统可以辨认H.323连接，保证H.323数据通过。系统升级网络安全技术随着网络技术发展不断变化，而网络安全策略和软件也不能一成不变，需要不断升级。方正方御防火墙管理界面提供方便的系统升级和IDS升级功能。保证防火墙产品实时和网络安全领域技术同步，防止由于新的安全问题给系统带来的安全风险。其中，特别是IDS功能，几乎天天都有新的安全风险和袭击软件出现。方正防火墙内嵌IDS功能模块可以动态升级，保障IDS数据库和最新动态同步。双机备份网络安全、稳定长期运营是最终目的，而网络硬件也许由于一些特殊因素发生故障。方正方御防火墙提供双机备份功能，采用两种方式进行备份检测，软件方式借用HSRP技术动态跟踪各个区域运营状态，发现任何一个区域出现问题即刻进行切换。硬件方式采专心跳线方式，当系统检测到故障，也将进行切换。而系统的切换不影响业务。两台防火墙工作在互备模式中。防火墙方案特点本次防火墙重要设立在连接的节点上。本方案中，我们重要根据宁波政府专网络实际情况，针对防火墙的特殊性，从如下几个方面考虑保障系统安全性防火墙放置在内外网之间用来隔离内部网络和外部网络，对内外网络的通信进行严格的管理和监控，防火墙必须提供全面的安全策略保证内部系统安全。因此方正方御防火墙提供全面的访问控制策略、IPMAC地址捆绑、IDS入侵检测、反电子欺骗等手段。这些功能可以有效的保障内部网络安全。同时方正方御防火墙也提供带宽管理、分派，系统报警等措施从侧面协助。自身安全性防火墙作为网络系统中的一个部件，其自身的安全性也是十分重要的，考虑到实际情况，方正方御防火墙提供单独的管理接口，管理接口服务所有关闭，同时管理接口的特殊管理数据采用标准加密算法和措施。这样在远程管理过程中数据通过专网进行管理可以有效的保证管理的安全性。同时，运用WindowsNT中域技术，对防火墙管理时必须登录到相应的域才干对域内的用户进行管理，保障管理域安全性。而防火墙操作系统采用通过严格测试专有操作系统。维护方便性管理的方便性直接关系到系统能否起到安全保护作用，方正方御防火墙提供的专有GUI平台，方便制订各种安全策略。系统事件管理系统事件和日记的记录直接关系到整个安全平台的完善和后续责任追查等多个方面，方正方御防火墙为用户提供完整、准确的数据记录结果，供查询、打印等。防火墙整体布局我们建议使用防御防火墙的网桥模式，3个端口构成一个以太网互换机，防火墙自身没有IP地址，在IP层透明。可以将任意三个物理网络连接起来构成一个互通的物理网络。当防火墙工作在互换模式时，内网、DMZ区和路由器的内部端口构成一个统一的互换式物理子网，内网和DMZ区还可以有自己的第二级路由器，这种模式不需要改变原有的网络拓扑结构和各主机和设备的网络设立。如下图所示：宁波市政府系记录算机专网核心节点市政府办公厅网络宁波市政府系记录算机专网核心节点管理除了需要提供信息服务外，还需要对各区及委、办、局的网络设备进行集中管理，因此网络的安全性和可靠性特别的重要。内部区放置控制服务器、数据库服务器、文献服务器、认证服务器、系统管理服务器等设备，公开信息区放置对外的信息发布系统，涉及WEB服务器、Mail服务器等设备等。出于稳定性的考虑，防火墙使用双机热备的方式，以保证网络的不间断性。宁波市政府系记录算机专网核心节点市政府办公厅网络图如下：各区及委、办、局的安全网络各区及委、办、局的网络结构节点也同样划分为内部操作（控制）区、公开信息区两个网段。对于这些网络我们建议使用如下方案：集中管理和分级管理由于宁波市政府系记录算机专网涉及的网络安全设备繁多，因此在管理上面需要既能集中管理，又可以在本地进行审计管理，日记查询等操作。而用户的权限机制分派必须通过网络管理中心统一分派和管理。需要集中管理的网络设备涉及防火墙设备和VPN设备。在宁波市政府系记录算机专网网络管理中心需要对各委、办、局的网络安全设备进行集中管理。分析宁波市政府系记录算机专网的特点和需求，方正方御防火墙的集中管理功能和权限管理机制完全可以满足这些需求。方正方御防火墙采用基于WindowsGUI的用户界面进行远程集中式管理，配置管理界面直观，易于操作。可以通过一个控制机对多台方正方御防火墙进行集中式的管理。方正方御防火墙采用了三级权限机制，分为管理员，策略员和审计员。管理员负责防火墙的开关及平常维护，策略员负责配置防火墙的包过滤和入侵检测规则，审计员负责日记的管理和审计中的授权机制。这样他们共同的负责起一个安全的管理平台。

产品选型防火墙与入侵检测的选型我们采用方正最新型方正方御防火墙。方正方御防火墙是一个很优秀的防火墙，同时它集成强大的入侵检测功能。方正方御防火墙是国内第一个通过公安部公共信息网络安全监督局新防火墙认证标准的包过滤级防火墙产品，同时通过了中国人民解放军安全测评认证中心、国家保密局和中国国家信息安全测评认证中心的严格认证。方正数码公司简介作为方正集团互联网战略的实行者，方正数码将自身定位于电子商务的“赋能者”，其业务涉及互联网与电子商务的技术研究应用与系统集成、网络市场营销服务、空间信息应用、无线互联以及电子商务的征询服务等方向，以帮助政府、行业、公司、网站、电子商务的运营者在互联网时代健康成功的发展为己任。要给电子商务运营者赋能，先要给安全赋能。方正数码一方面推出的就是方正方御互联网安全解决方案。方正方御是在通过一年多的大量投入和进一步的研究后，提出的一套基于中国国情、所有自主开发、具有领先优势的解决方案。它是一套整体的集群平台，可以解决互联网运营商最为关切的安全性、高可靠性、可扩展性和易于远程管理的问题。目前这套方案已经得到国家有关部门的大力支持，被国家经贸委列为国家创新计划项目之一。此外，还得到了国家”863”计划的支持。在立身自主开发外，方正数码还与众多国际知名的安全公司保持着良好的合作关系，并集成了国内外最优秀的公司安全产品，为国内Internet的安全建设保驾护航。方正方御防火墙（100M）产品概述方御防火墙是方正方御中的重要安全产品之一。由于防火墙技术的针对性很强，它已成为实现网络安全的重要保障之一。方御防火墙是通过对国外防火墙产品的综合分析，针对我们国家的具体应用环境，结合国内外防火墙领域里的最新发展，在面向IDC和中小公司的防火墙的基础上，提出的一种具有强大的信息分析功能、高效包过滤功能、多种反电子欺骗手段、多种安全措施综合运用的安全可靠的专用防火墙系统。方正方御防火墙不仅仅是一个包过滤的防火墙，并且涉及了大量的实用模块，可认为用户提供多方面的服务。方御防火墙保护如下模块：系统特点一体化的硬件设计方正方御防火墙采用了一体化的硬件设计，采用了自己的操作系统，无需其他操作系统的支持，这样可以发挥硬件的最大性能，同时也提高了系统的安全性。双机热备份通过双机热备份，本系统提供可靠的容错/热待机功能。备份防火墙服务器中存有主防火墙服务器的设立镜像，当主防火墙由于某些因素不能正常运作，备份服务器可以在12秒钟内取代主服务器运作，充足保证整个网络系统运作的稳定性。完善的访问控制方正方御防火墙符合国家最新防火墙安全标准，采用了三级权限机制，分为管理员，策略员和审计员。管理员负责防火墙的开关及平常维护，策略员负责配置防火墙的包过滤和入侵检测规则，审计员负责日记的管理和审计中的授权机制。这样他们共同地负责起一个安全的管理平台。多种工作模式方正方御防火墙可以工作在网桥路由两种模式下，这样可以方便用户使用。使用在网桥模式时在IP层透明，使用路由模式时可以作为三个区之间的路由器，同时提供内网到外网、DMZ到外网的网络地址转换。防御DOS，DDOS袭击普通的防火墙都是采用限制每一网络地址单位时间内通过的SYN包数量来抵御DDOS袭击，但是通常网络袭击者都会随机的伪造网络地址，因此这种方法防范的效果非常差，不能从主线上抵御DDOS袭击。方正方御防火墙修改了TCP/IP堆栈的算法，使得新的syn连接包可以正常通过，避免了由于大量的袭击SYN包导致网络的阻塞。状态检测方正方御防火墙可以根据数据包的地址、协议和端口进行访问控制，同时还对任何网络连接和会话的当前状态进行分析和监控。传统的防火墙的包过滤只是根据规则表进行匹配，而方正方御防火墙对每个连接，作为一个数据流，通过规则表与连接表共同配合来对网络状态进行控制。代理服务用户可以设立代理服务器端口来启动代理服务器功能，并且通过设立使用代理服务器用户帐号密码和访问控制来维护安全性。代理服务的访问控制非常的完善，可以对时间、协议、方法、地址、DNS域、目的端口和URL来进行控制。用户完全可以通过设立一定的条件来符合自己的规定。双向网络地址转换系统支持动态、静态、双向的NAT。当用户需要从内部IP访问Internet时，NAT系统会从IP池里取出一个合法的InternetIP，为该用户建立映射。假如需要在Intranet提供让外部访问的服务（如WWW、FTP等），NAT系统可认为Intranet里的服务器建立静态映射，外部用户可以直接访问该服务器。双向网络地址转换为公司用户连接到Internet提供了良好的网络地址隐蔽，并且能减少IP占用，替用户节省费用。提供DMZ区除了内部网络界面和外部网络界面，系统还可以再增长一个网络界面，让管理员灵活应用。如建立DMZ（军事独立区），在其中放置公共应用服务器。带宽管理和流量记录方正方御防火墙系统使用流量记录与控制策略，可方便的根据网段和主机等对流量进行记录与控制管理。用户可以通过设立源地址到目的地址单位在时间内允许通过的流量以及协议和端口来进行带宽控制。日记审计审计功能是方正方御防火墙非常强大的一个部分，目前国内防火墙的审计功能都非常不完善，方正方御防火墙提供了大量的审计内容和对审计内容的查询功能，由于日记也许对一般用户比较难以理解，而我们将日记记录提成了若干部分，而其中每一部分都可以进行查询和管理，这样用户就能对防火墙的情况有一个非常透彻的了解。入侵检测方正方御防火墙入侵检测系统采用了可扩展的检测库方法，目前可以抵御1000多种袭击方法，并且可以通过升级检测库的方法来不断的抵御新的袭击方法。用户还可以自定义袭击检测库来符合自己的规定。自动报警和防范系统方正方御防火墙一旦检测到有黑客进行袭击，会在第一时间内在控制机上进行报警，并且同时会自动封禁掉袭击者的IP地址，这样可以做到防火墙的防范完全自动化，而不象普通的防火墙那样需要人工干预。基于PKI的授权认证方正方御防火墙的授权认证是基于PKI基础之上，因此完全性极高。PKI是一种新的安全技术，它由公开密钥密码技术、数字证书、证书发放机构（CA）和关于公开密钥的安全策略等基本成分共同组成的。快速安装配置方正方御防火墙的安装和配置非常方便，管理员只要设定好网络设备的IP地址，然后使用系统提供的一些典型配置模板，适当的修改一些规则来符合规定。除此以外还可以添加系统提供的一些子模板来实现一些特定的功能。图形管理界面用户可以通过图形界面对防火墙进行配置和管理。并且也可以通过图形界面来管理审计内容，而不象有些防火墙是通过命令行方式进行配置。完全中国化的设计方正方御防火墙是由方正数码自行设计和制作的，充足考虑了中国国情，除了界面、帮助文档、使用说明完全中文化外，还加入了一些小型模板用户给管理员配置防火墙。集中管理方正方御防火墙采用基于WindowsGUI的用户界面进行远程集中式管理，配置管理界面直观，易于操作。可以通过一个控制机对多台方正方御防火墙进行集中式的管理。方御防火墙（百兆）的性能项目指标最大并发连接数>=200,000内核解决速度>=750M100M端口吞吐量>97M百条规则下平均吞吐量(fps)>94M延时10ms丢包率（百条规则）0%MTBF>=30000小时最大规则数>=1400条方正方御防火墙功能说明多种工作模式方正方御网络安全产品可以工作在互换和路由两种模式下：A：互换模式：3个端口构成一个以太网互换机，产品自身没有IP地址，在IP层透明。可以将任意三个物理网络连接起来构成一个互通的物理网络。当产品工作在互换模式时，内网、DMZ区和路由器的内部端口构成一个统一的互换式物理子网，内网和DMZ区还可以有自己的第二级路由器，这种模式不需要改变原有的网络拓扑结构和各主机和设备的网络设立。B：路由模式：产品自身构成3个网络间的路由器，3个界面分别具有不同的IP地址。三个网络中的主机通过该路由进行通信。当产品工作在路由模式时，可以作为三个区之间的路由器，同时提供内网到外网、DMZ到外网的网络地址转换，也就是说，内网和DMZ都可以使用保存地址，内网用户通过地址转换访问Internet，同时隔绝Internet对内网的访问，DMZ区通过反向地址转换对Internet提供服务。在没有安装方御网络安全产品的时候典型网络结构图如下:在安装了方御网络安全产品的时候网络结构图如下:包过滤防火墙方御防火墙的重要功能是对指定IP包进行包过滤，并且按照设定策略对IP包进行入侵或流量等活动的记录，并记入日记中，供用户察看。重要根据IP包的如下信息进行过滤：IP包的源IP地址IP包的目的IP地址IP包的协议类型（涉及IP、ICMP、TCP、UDP等协议）IP包的源TCP/UDP端口IP包的目的TCP/UDP端口ICMP报文类型域和代码域碎片包IP包的其它标志位，如SYN，ACK位等高效包过滤有些防火墙在安装上以后对WEB服务器的吞吐能力影响很大，导致性能的减少。由于方御防火墙采用了3I智能IP辨认技术（IntelligentIPIdentifying），可以实现快速匹配。因此方御防火墙不会对性能导致任何影响。方御防火墙优化了算法，使最大并发连接数可以达成250,000个以上，而一般的防火墙的最大并发连接只能达成几万个左右。强大的状态检测功能方御防火墙可以根据数据包的地址、协议和端口进行访问控制，同时还对任何网络连接和会话的当前状态进行分析和监控。传统的防火墙的包过滤只是与规则表进行匹配，而方御防火墙对每个连接，作为一个数据流，通过规则表与连接表共同配合，在继承了传统包过滤系统相应用透明的特性外，还大大的提高了系统的性能和安全性。其他的防火墙大多采用传统的规则表的匹配方法，随着安全规则的增长，势必会使防火墙的性能大幅度的减少，导致网络拥塞。状态检测的具体过程如下：防火墙的其它功能双向NAT方御防火墙支持在内部网和DMZ区使用保存的IP地址，通过动态的地址转换功能实现对外部网的访问。方御防火墙以两种方式支持NAT：√源地址转换(正向NAT)，即内部地址向外访问时，发起访问的内部IP地址转换为指定的IP地址（可含端标语或者端口范围），这可以使内部使用保存IP地址的主机访问外部网络，即内部的多个机器可以通过一个外部有效地址访问外部网络。例如，内部地址对外部的访问可以被修改为一个合法的互联网地址00，并且可以限定其端口范围为80~82。√目的地址转换（反向NAT），即外部地址向内访问时，被访问的IP地址（可含端标语或者端口范围）被转换为指定的内部IP地址（可含端标语或者端口范围），可以支持针对外部地址服务端口到内部地址的一对一映射，内部的多台机器的服务端口可以分别映射到外部地址的若干个端口，通过这些端口对外部提供服务。例如。假如外部的计算机要访问地址为00的主机时，他事实上访问的会是一台IP地址为的主机，外部的计算机可以任意的访问00主机上面的所有端口，这些访问都会转到的相同端口上，这样就突破了以往防火墙做反向NAT时都必须和服务端口绑定的限制（即00:80à:80），当然，假如用户需要，也可以和以往的防火墙同样，做端口绑定。带宽管理和流量记录方御防火墙系统使用流量记录与控制策略，可方便地根据网段和主机等对流量进行记录与控制管理，以防止线路资源的非许可消耗，有效地管理带宽资源，从而使网络得到有效运用。方御通过设立每小时允许通过的网络流量和最大突发流量来实现带宽管理和流量记录的功能。代理服务器功能对于浏览器用户来说，方御是一个高性能的代理缓存服务器，方御支持FTP、HTTP协议。和一般的代理缓存软件不同，方御用一个单独的、非模块化的、I/O驱动的进程来解决所有的客户端请求。方御将数据元缓存在内存中，同时也缓存DNS查询的结果，除此之外，它还支持非模块化的DNS查询，对失败的请求进行悲观缓存。方御支持SSL，支持访问控制。由于使用了ICP（轻量Internet缓存协议），方御可以实现层叠的代理阵列，从而最大限度地节约带宽。用户可以在客户管理中，通过设立客户权限，为用户提供代理服务模式，在访问规则中设立“严禁用户访问的站点”和“仅允许访问的站点”，同时还可以建立URL级的访问限制，通过建立严禁用户访问的URL列表，方御防火墙可以对该列表进行匹配，严禁对列表中的URL的访问。违反限制规则的访问企图将被记录到系统日记中。方御防火墙提供的URL级的屏蔽功能，可以使管理员屏蔽某些URL，如色情、反动的主页等。此外通过对内部网的WWW服务器的某些URL屏蔽，可以消除服务器自身的安全漏洞，从而对WWW服务器进行保护。IP地址和MAC地址绑定计算机中每一块网卡都具有一个唯一的硬件物理地址标记号码，即网卡的MAC地址，MAC地址与网卡一一相应。为解决IP地址欺骗和盗用的问题，系统提供了IP地址和MAC地址（网卡）一一绑定的功能，重要用于绑定一些重要的管理员IP地址和特权IP地址。IP地址和MAC地址绑定后，即使某个用户盗用了此网卡的IP地址，在通过防火墙时也会因网卡的MAC地址不匹配而拒绝通过。双机热备方御在桥模式下可以在网络中智能的寻找其对等的备份机，并且使备份机自动进入等待状态，而一旦备份机发现主工作机失效，可及时的启动，防止网络中断事故的发生。在路由模式下，方御提供手工设立双机热备功能。目前，可以支持两台方御在网络上进行主从备份，或者互为备份。复杂别名机制复杂别名机制是方御防火墙的一类方便实用，也很重要的功能，方御防火墙使用端口别名和子网别名来代替相关的端标语和子网地址，帮助用户管理多个网段和多个端口的地址。用户可以在混合模式里用一个别名来管理一组离散的网段地址，或者是离散的端口值。在大部分的其他功能模块里都要使用这些别名来进行配置。授权等级遵循国家有关安全标准规定，方御作了四级授权：实行域管理权、策略管理权、审计管理权、日记查看权。实行域管理权涉及：向实行域中增删管理员帐号，增删防火墙设备，设立双机热备，切换防火墙桥/路由模式，为管理员授策略管理权和审计管理权；策略管理权涉及：配置防火墙各个模块的策略，如包过滤策略，入侵检测策略，NAT策略，流量控制策略，用户认证管理、Proxy策略等等；审计管理权涉及：设立日记满时系统的策略，为管理员授日记查看权，清空日记等；日记查看权涉及：查询日记，生成记录报表等。拥有实行域管理权的仅有Admin帐号；且Admin也仅有实行域管理权，而没有策略管理权及审计管理权。其他管理员（指除了Admin以外的管理员）的策略管理权和审计管理权由Admin授予，日记查看权由拥有审计管理权的管理员授予。可定制的防火墙模板方御防火墙的预置模板功能是将针对典型应用的几条防火墙规则整合成为模板，运用填空方式配置，简化了用户的配置工作。强大的审计功能方御防火墙提供了大量的审计内容和对审计内容的查询功能，由于日记也许对一般用户比较难以理解，而我们将日记记录提成了若干部分，并且就每一个部分都是可以进行查询和管理的，这样一来就可以是用户对防火墙的情况有一个非常透彻的了解。方御防火墙中审计功能有着非常完善的权限管理，有专门的审计员来对审计内容进行管理，在审计中又提成了若干级别的权限。这样可以方便管理员管理审计内容。基于PKI的高级授权认证PKI是一种新的安全技术，它由公开密钥密码技术、数字证书、证书发放机构（CA）和关于公开密钥的安全策略等基本成分共同组成的。PKI是运用公钥技术实现电子商务安全的一种体系，是一种基础设施，网络通讯、网上交易是运用它来保证安全的。从某种意义上讲，PKI包含了安全认证系统，即安全认证系统-CA/RA系统是PKI不可缺的组成部分。方御防火墙的授权认证是基于PKI基础之上，因此完全性极高。集中管理根据美国财经杂志记录资料表白，30%的入侵发生在有防火墙的情况下，这些入侵的重要因素并非是防火墙无用，而是由于一般的防火墙的管理及配置相称复杂，要想成功的维护防火墙，规定防火墙管理员对网络安全袭击的手段及其与系统配置的关系有相称深刻的了解，并且防火墙的安全策略无法进行集中管理，这些都导致了网络安全的失败。而方御防火墙采用基于WindowsGUI的用户界面进行远程集中式管理，配置管理界面直观，易于操作。可以通过一个控制机对多台方御进行集中式的管理。实时控制和日记转存管理员可以通过控制界面对防火墙进行实时的控制和调整，可以修改其策略和工作方式。管理员可以将日记保存起来，供以后分析使用，由于方御防火墙天天都会记录大量的日记信息，并且一些日记记录是非常有用的信息，因此方御的日记监视系统会将服务器上面的日记下载到管理员的机器上面，管理员可以对它进行编辑和保存。路由选择协议控制 桥接模式下，防火墙内部口的三层互换机和外部路由器进行路由信息互换，互换机和路由器之间运营了RIP，EIGRP，IGRP，OSPF等IGP路由协议，防火墙必须辨认这些协议，让它们通过防火墙，否则，内部网络数据将无法路由。这些协议的特点是目的地址为多播地址，对此防火墙需要辨认并对的解决，在桥模式下可以灵活地控制这些包通过或不通过。支持SNMP管理方御网络安全产品提供对简朴网络管理协议(SNMP)的支持，支持V1、V2等不同版本，可与当前主流的网络管理平台如HPOpenview、CAUnicenter、CiscoWorks2023等联用，通过专业网管软件兼控方御产品运营状况。此外通过SNMP管理，方御防火墙还可以对袭击事件进行收集，转发给SNMP服务器，用户可以通过对SNMP的管理，发现产品问题。H.323支持随着语音/影像数据的流行，网络上流动大量的H.323数据。H.323数据流的特点是同一个数据流在不同的时间使用不同的UDP端口，而这种端口的变化通常是靠分析数据流的内容得到的，方御防火墙采用特殊技术对实际数据流情况作出判断，以判别数据的合法性，在保证网络安全的前提下支持H.323数据合法通过。入侵检测系统反端口扫描一般黑客假如要对一个网站发动袭击，一方面都要扫描目的服务器的端口，拟定服务器上启动的服务，然后选择相应的入侵方式。方御入侵检测系统可以在黑客扫描网站的时候就能检测到并报警，这样在就能提前将黑客拒之于门外。方御入侵检测系统在检测到有黑客扫描服务器端口的时候会立即在袭击者的视野中消失，从而使黑客无法进行后面的袭击。方御入侵检测系统根据配置文献监控任何和TCP，UDP端口的连接。可以对所有端口同时进行监控，同时也可以忽略指定的端口。这样就能满足不同的需求方式。可以防范1500余种袭击方式检测多种DoS袭击DoS(拒绝服务袭击)涉及很多不同的方式。在这些方式中，三种最流行的方式为使服务失效、独占或盗用资源以及删除数据。最常见的就是服务失效方式，通过DoS袭击可以使一个服务器停止服务，从而导致巨大的损失。方御入侵检测系统可以检测涉及IGMP袭击，TearDrop，LAND，WinNuke等多种DoS袭击。从而使被托管的服务器处在安全的保护之中。和其它同样，方御入侵检测系统一旦发现有DoS袭击，立即在线报警，记录日记。检测多种DDoS袭击Yahoo、CNN等著名网站被黑客袭击使得防黑客成了大家关注的热点。DDoS(分布式拒绝服务)是本次袭击的重要手段。DDoS袭击的原理是入侵者控制了一些节点，将它们设计成控制点，这些控制点控制了Internet大量的主机，将它们设计成袭击点，袭击点中装载了袭击程序，正是由这些袭击点计算机对袭击目的发动的袭击。这种结构使入侵者远离袭击的目的，隐藏了入侵者的具体位置。方御入侵检测系统可以检测涉及TFN，Trin00，shaftsynflood等多种DDoS工具的袭击。而这些袭击都是进行DDoS袭击的重要工具。检测保护子网中是否存在后门和木马程序后门和木马程序假如存在于网络中，会导致严重的后果，有些后门程序导致管理员的密码被盗取，因此检测保护子网中是否存在后门和木马程序成为入侵检测的一个重要的组成部分。方御入侵检测系统可以检测网络中是否存在流行的BO，BO2023，NetSphere，DeepThroat，WinCrash，BackConstruction等多种后门或木马程序。检测多种针对Finger服务的袭击Finger服务于查询用户的信息，涉及网上成员的真实姓名、用户名、最近的登录时间、地点等，也可以用来显示当前登录在机器上的所有用户名，这对于入侵者来说是无价之宝，由于它能告诉他在本机上的有效的登录名。方御入侵检测系统可以检测针对Finger服务袭击的如FingerBomb，Fingersearch，FINGER-ProbeNull等扫描和袭击。检测多种针对FTP服务的袭击方御入侵检测系统可以检测针对不同FTPserver，涉及AIXFTPD，WuFTP，ProFTPD，Serv-UFTPD，NCFTPD，MsFTPD发起的FTP-site-exec，FTP-user-root，BufferOverflow等多种尝试和袭击行为。检测基于NetBIOS的袭击方御入侵检测系统可以对基于NetBIOS的如NETBIOS-SMB-IPC$access，NETBIOS-SMB-ADMIN$access，NETBIOS-SNMP-NT-UserList等多种尝试和袭击行为进行检测。检测缓冲区溢出类型袭击方御入侵检测系统可以对OVERFLOW-x86-solaris-nlps，OVERFLOW-x86-windows-MailMax，OVERFLOW-x86-linux-ntalkd，OVERFLOW-DNS-sparc等近百种堆栈溢出袭击进行检测。检测基于RPC的袭击方御入侵检测系统可以对基于RPC的如portmap-request-amountd，portmap-request-bootparam，RPCInfoQuery，portmap-request-ypserv，RPCttdbservSolarisOverflow等多种尝试和袭击行为进行检测。检测基于SMTP的袭击方御入侵检测系统可以对针对多种SMTPserver，涉及Sendmail，ExchangeServer，Qmail等所发起的SMTP-expn-root，SMTPRelayingDenied等试探和袭击进行检测。检测基于Telnet的袭击方御入侵检测系统能针对基于Telnet的涉及AttemptedSUfromwronggroup，setld_preload，setld_library_path，LoginIncorrect等多种尝试和袭击。检测网络上传输的病毒和蠕虫方御入侵检测系统能在计算机病毒和蠕虫传输到宿主机之前检测出来，涉及流行的Happy99，IloveU，PrettyPark等百种蠕虫和病毒，防患于未然。检测CGI袭击方御入侵检测系统能检测出涉及针对PHF，NPH，pfdisplay。cgi等已知上百种的有安全隐患的CGI进行的探测和袭击方式。检测针对WEBServer的FrontPage扩展进行的袭击检测针对WEBServer的ColdFusion扩展进行的袭击检测针对MicroSoftIISserver进行的袭击方御入侵检测系统能检测ViewSourceexploit，IIS-exec-srch，IIS-asp-srch等已知的漏洞和弱点的袭击行为。检测运用ICMP进行的扫描和袭击方御入侵检测系统能对运用这种方式进行的网络拓扑探测所产生的PING-ICMPDestinationUnreachable，PING-ICMPTimeExceeded等ICMP包进行检测。检测运用Traceroute对网络的探测检测ActiveX，JaveApplet的传输方御入侵检测系统能通过匹配网络包内容，可以检测特定的ActiveX，JaveApplet等程序在网络上的传输。19检测对其他也许的网络服务进行的袭击在线升级和实时报警由于入侵检测系统的库文献是需要不断的更新，因此方御提供了非常方便的升级接口，可以通过我们的网站进行在线升级，并且我们提供了非常方便的用户升级界面，使升级工作可以非常方便的完毕。报警是否可以及时是衡量一个入侵检测系统的重要因素之一，假如在黑客刚刚进行袭击的时候就可以做出响应，那么管理员会有足够的时间