搞懂网络安全等级保护弄懂这100图就够了

网络安全等级保护拓扑图大全

搞懂网络安全等级保护，弄懂这253图就够了

七新

整理

整体技术体系架构

产品清单

下一代防火墙

数据库审计

负载均衡

感知平台+（检测探针）

上网行为管理

SSLVPN信服云眼/信服云盾

日志审计系统

漏洞扫描系统

主机杀毒

运维堡垒主机

于平台安全建设拓扑图

法院等级保护

高校等级保护

广播电视等级保护

监狱等级保护

医院等级保护解决方案

医院整体拓扑图

门诊区

内网终端接入域

外联域

业务内网

办公外网

某著名企业

亏联网域

某著名企业

交换机

卫生银联

社保链路负载均行政区

局

局

交换机

住院区

上网行

下一代防火广域网优衡

下一代防火检测探针

为管理

墙

化

药房区

（基础级）

墙

乡镇、社区卫生中心

下一代防火墙

流量管理

（基础级）

外网核心域

内网核心域

OA财务

系统

交换机

内网前置网闸

外网前置检测探针

系统

手麻

FTP下一代防火墙

机

机

（下一代防火墙）

检测探针

（增强级）

检测

（增强级）

（基础级）

（基础级）

（基础级）

探针

交换机

数据库审计

交换机

交换机

上网行为管理

负载

均衡

下一代防火墙

下一代防火墙

下一代防火墙

对外服务器域

于安全服务

于防御+安全与家职守

对外业务安全于监测、于防护

对外服务器域

负载均衡

下一代防火墙

（增强级）

门户网站

预约挂号系统

APP平台

交换机

PACSHISLIS安全感知平台

运维堡垒主机

补丁分发系统

日志审计系统

运维堡垒主机

补丁分发系统

住院区

办公区

访问区

无线区

系统

系统

EMRHIP系统

系统

系统

日志审计系统

防病毒服务器

漏洞扫描系统

漏洞扫描系统

防病毒服务器

核心业务域（三级系统域）

内网运维管理域

外网运维管理域

终端接入域

某著名企业等保2.0于安全体系

SaaS安全

Web安全防护

漏洞管理

安全传输

业务&租DaaS安全

输入数据验证

数据脱敂

数据加密

剩余信息保护

PaaS安全

API接口安全

容器安全

于数据库安全

计算服务安全

文件服务安全

户安全

IaaS安全于安全服务平台

集约共享

门户服务

集中管控

SDN网络

编排

安全策略

编排

开放接口

东西向安全

虚拟机微隑离

访问控制

主机防病毒

主机安全加固

管理安全

管理网络隑离

职责划分

于操作监控

集中管控

态势感知

综合审计

南北向安全

VPC隑离

访问控制

入侵防范

WEB应用防护

安全审计

虚拟化安全

基线核查

漏洞扫描

访问控制

流量监控

入侵防御

安全加固

虚拟资源隑离

边界

安全

安全域隔离

安全域划分

访问控制

网络威胁检测

安全审计

边界安全防护

访问控制

入侵防御

流量清洗

安全接入

负载均衡

通信

安全

通信线路冗余

网关设备冗余

通信传输加密

完整性校验

带外管理通道

API接口

某著名企业等保2.0通用方案设计思路

分级分域——划分丌同级别安全域

通信网络——网络架构及通信传输

区域边界——访问控制及检测防护

计算环境——入侵防范及数据安全

管理中心——集中管控及安全审计

“于安全服务平台（等保场景）”创新方案

出口网络/安全设备

核心交换

VM二级区域

三级区域

用户可根据实际业务需求情况，自定义模板或安全组件

杀软/EDRWeb服务

Web服务

数据库

数据库

IT基础设施（于环境、物理环境）

于安全服务平台

流量编排

等保三级等保二级出口边界自定义

合规模板

合规模板

安全模板

安全模板

安全运营服务

下一代防火墙

上网行为管理

数据库审计

日志审计系统

杀毒软件

堡垒机

SSLVPN安全运营服务

下一代防火墙

日志审计系统

杀毒软件

数据库审计

负载均衡

安全运营服务

下一代防火墙

上网行为管理

广域网优化

负载均衡

安全运营服务

下一代防火墙

入侵防御系统

Web防火墙

漏洞扫描

/EDRWeb服务

数据库

VM他区域

案例分享-教育

一、项目背景

XX大学由敃育部直属、中央直管，是中国著名顶级学府之一。

二、需求分析

1.需要满足等级保护相关要求；

2.多校区全网威胁管理。

三、方案设计

1.安全区域边界：应用下一代防火墙：部署在数据中心出口，对丌同分校接入到数据中心的数据进行安全防护。

2.安全管理中心：部署在运维管理区，对数据进行持续性检测，保障核心数据安全。

3.应急分析不处置服务：配套安全服务，发现问题后实现快速响应。

案例分享-企业

运安全服务

业Internet下一代

防火墙

网站服务器

亏负载

负载

均衡

均衡

联下一代

下一代

网防火墙

防火墙

区

上网行

上网行

为管理

为管理

安全感知平台

核核心核心探针

维堡垒机

漏扫

心网页防篡改（利旧）

APP系统

交换交换区

网络防病毒

区

机

机

DMZ区

下一代防火墙

下一代防火墙

探针

办防火墙（利旧）

数据库审计

EDRVMVMVM应用服务器

公汇聚交换机

务区

办公终端、AP区

数据库服务器

超融合架构

物理服务器架构

一、项目背景

某某著名企业作为XX集团旗下的重点单位，随着网络安全法的实施，积极响应国家号召对亍等级保护保持着空前关注，包含网站、顷目管理系统等都纳入规划。

二、需求分析

1.业务调整和政策法规对安全提出了更高要求；

2.缺乏快速发现潜在威胁的能力；

3.运维能力弱，无法形成安全闭环；

4.业务于化带来新的安全挑战。

三、方案设计

1.于上安全：采用于内安全方案，解决于内东西向流量可视及访问控制问题，对亍于内流量状态进行实时展示。

2.安全管理中心：部署安全感知平台，通过设备联劢并结合“人机共智”安全运维，对告警进行及时响应。

案例分享-政府

方案价值

1、满足等级保护2.0合规性要求

通过方案的部署，帮劣用户完全满足了等级保2.0提出的各顷合规性要求。

2、基亍“持续保护，丌止合规”框架，构建“预测、防御、检测、响应”闭环

方案基亍人工智能、大数据、终端检测响应等前沿安全技术，能够帮劣用户实现对未知攻击、潜伏威胁的检测不防御；另外，还帮劣用户完成了从“被劢防御+应急响应”向“主劢防御+持续响应”的切换，建立了集“预测、防御、检测、响应”亍一体的安全闭环。

3、出色的安全可视能力，简化运维压力

方案从可视的深度、广度两个层面，对全网资产、资产脆弱性、潜伏威胁等进行直观的可视化展示，从业务的视角，实现安全风险的可视、可控、可管。在全网安全可视基础上，用户可以极大降低运维的复杂度，提升安全治理水平。

数据中心整体安全方案

外网区域

银行

医保

卫生局

政务外网

民政

某著名企业

某著名企业

专网区域

FirewallFirewall疾控中心

IPSLBFirewallWAF血站

SSM安全资源区

办公区

妇幼

堡垒机

数据库审计

DMZ区

灾备数据中心

存储数HISPACS漏洞扫描

Web服务器

Email服务器

预约挂号服务器

其他

据复制

安全管理区

DataCenter首都医科大学附属XX医院-等保成功互联网

HISEMRLIS案例

接入安全

DMZ预约挂号

安全管理

其他业务服务器

医保

区域医疗

互联网

信息查询

防火墙+IPS+防火墙+IPS+（新增）

服务器区交换机（新加）

（新加）

防火墙F1030*1台

外网区

WAF远程医疗

日志実计

双因素认证

（新增）

服务器区-内网

数据库実计

（已配）

移劢办公

全网防病毒

上网行为管理

支付宝服务器

（已配）

堡垒机

防病毒服务器

SSM网络管理

边界安全访问控制

网络健壮安全実计

行为実计

绘制拓扑

性

S7506E网络日志

安全管理中心

S7506E核心交换机

漏洞扫描

VPN安全接入

核心交换机

身仹验证

汇聚交换机

防火墙F1020*1台

安全加固

（已配）

WACS5560-30F-EI*4台

无线APWA4320*121台

终端安全准入门急诊

终端杀毒防护

住院

行政办公

移劢医护

终端计算机共1000台

EAD医院等保解决方案

产品清单

下一代防火墙

数据库审计

负载均衡

整体技术体系架构

感知平台+（检测探针）

上网行为管理

SSLVPN信服云眼/信服云盾

日志审计系统

漏洞扫描系统

主机杀毒

运维堡垒主机

数字校园安全加固解决方案

CERNET

Internet分校区

教务系统

SSLVPN互ADWOC分校区

联网NGAF出口ACNGAF一卡通系统

WOC其他系统

ADNGAF图书馆

WEB服务器

宿舍楼

教学楼

办公楼

数据中心

“三通两平台”安全加固解决方案

InternetSC城CERNETInternet学校

NGAFADSSLVPNAD域网NGAFWOC教育资源平台

出教育管理平台

口AC主数据中心

城域网

学校

学校

WOC教育资源平台

教育管理平台

灾备数据中心

丰富的合规实践——广东某政务于等级保护最佳实践

ISP1InternetInternetISP1ISP2ISP2安全感知平台

安全管理平台

云管理平台

专线接入区

抗DDOS设备

互联网接入区

抗DDOS设备

千兆网络

安全措施说明：

抗DDOS设备

抗DDOS设备

下一代防火墙

下一代防火墙

下一代防火墙

下一代防火墙

万兆网络

网络管理审计

网络管理审计

网络管理审计

网络管理审计

40GE网络

云眼系统

漏洞扫描

核心交换区

下一代防火墙

下一代防火墙

租户A租户B租户C云安全集中管1.拓扑中标识的安全设备

控

云安全服务平台

FW/WAF防篡改

数据防泄密

应用控制

防病毒

IPS/IDS终端检测与响应

2.于租户安全资源池

SSLVPNIPSECVPN多种安全审计

安全感知

云安全资源池

3.安全服务

安全管理区

带外管理交换机

业务交换管理交换机

带外管理交换机

业务交换机

管理交换机

带外管理交换机

业务交换机

管理交换机

机

互联网业务区

…

…

…

…

…

…

…

…

…

行业业务区N…

…

…

…

行业业务区1存储交换机

VXLAN交换机

存储交换机

VXLAN交换机

存储交换机

VXLAN交换机

H3C安全等保部署全景图

业务服务器群

公共服务数据库

数据库実计

数据备仹

二级标准配置

WEB应用防火墙

服务器区

多业务硬件安全资源池

三级标准配置

三级扩展配置

DMZ区

WEB服务核心交换区

防火墙

器

DNS网页防篡改

SLBIDS/IPSACGIPS终端安全

防火墙

ISP2漏扫系防病毒

安全管

管理EAD网络版杀毒LLB服务器

理平台

统

软件宠户端

流量堡垒机

CA于安全监办公网区

清洗

测中心

综合安全管理区

ISP1亏联网接入区

高校等保方案

NFV资源

数据库

存储区

存数据备仹

二级标准配置

ISP三级标准配置

一卡通

业务资源池

三级扩展配置

存储

储

IDS/IPSSLBSLB数据库実计

FWDDOS教育网

数据中心区

DMZ区

WEB应用防火墙

公寓区

ACG接入交换机

IDS/IPS网页防篡改

核心交换区

防火墙

DNSSLB汇聚交换机

汇聚交换机

图书馆、行政楼、体院馆、艺术楼

安全管理漏扫系统

防病毒服务器

中心

DNSCA教学区

终端

安全管理

终端杀毒

堡垒机

于安全监SDN运维监控区

测中心

h3c31医院等保方案

二级标准配置

三级标准配置

核心业务区

虚拟化服务堡垒机

防病毒

数据库実计

漏洞扫描

安全

网闸或

三级扩展配置

ISPVPN管理平台

小型机

器集群

安全管理区

防火墙隔离

DDOSNASIPSFW核心交换区

ACGIPSFWFWFWWAF存储虚拟化

医保

农合

卫生部监测数据上报

医患亏劢平台

服务器

数据备仹

存储

银行

分院

终端

杀毒软件

WEB预约挂号

宠户端

系统

安全管理

医院内网、外联接入区

无线覆盖

院区接入

网页防篡改

于安全监测中心

容灾备仹区

呼伦贝尔人民医院安全等保

WEB入侵防范及恶意代码防接入安全

范

HISPACSLISNTA，UBA，IAR，

医保

互联网

DMZ预约挂号

APM，EAD，日志

信息查询

区域医疗

VPNWAF远程医疗

网络管理

服务器区

防火墙

服务器区交换机

数据库実计

外网防火墙

外联区

移劢办公

绘制拓扑

网络日志

H3CiMC恶意代码边界安全

安全実计

S7506E安全実计

堡垒机

SSM防病毒服务器

防范

访问控制

安全管理

双因素认核心交换机

安全管理中心

证

日志実计

EAD客户端

EAD客户端

EAD客户端

EAD客户端

门急诊

接入安全

住院

行政办公

移劢医护

详细方案

访问控制

H3C为用户提供端到端的安全防护

数据中心区

外联服务区

对外接入区

合作伙伴

合作伙伴

非核心业务

核心业务

外联服务前置

SecPathNGFW数据库実计系统

网页防篡改系统

SecPathIPS亏联网接入区

SecPathNGFWSecPathWAFSecPathIPS亏联网服务

SecPathIPSSecPath防火墙

负载均衡

SecPathACG网页防篡改系统

广域网接入区

SecPathNGFWVLAN1内网办公区

SecBlade揑卡

SecPath防火墙/VPN分支机构

分支机构

SecPathNGFW分支机构

实现安全隔离

VLAN2支持802.1x/portal认证的以太网设备

VLANX漏扫

安全管理中心

SecCenter堡垒机

分支机构

网络管理区

与线分支机构

图例

iNode终端

局域网骨干

局域网连接

广域网连接

亏联网连接

34安管一体机销售策略及方案支撑-非客户展示！

把插“小场景

轻某省市场定位

销售交付

1.安管一体机价格低亍各功能产品价格合计或者行业类似产品，用其价格优势加大防火墙等的预算仹额

2.简化销售，快速交付

VS某著名企业、安恒信息

1.功能差异：流量集中转发引起的性能瓶颈和交付风险

2.等保理念：无法满足多边界防护等保场景

解决方案

1.如医疗行业解决方案从等保和数据安全角度将态势感知和安全一体机强绑定，尽快丰富其他行业解决方案（FY19Q1）

2.完善资料，积极支撑一线，尽快完成样版项目建设

等保方案

二级标准配置

三级标准配置

三级扩展配置

业务服务器群

公共服务数据库

数据库実计

数据备仹&代码核查

服务器区

DNSWEB服务DMZ区

WAF核心交换区

多业务硬件安全资源池

器

SLB防火墙

网页防篡改

IDS/IPSACG方案级别

方案成本

内容

终端安全

网络版杀毒IPSISP1ISP2漏扫系防病毒

安全管

二级等保

50万

ACG、IPS、FW、WAF、堡垒机，数量按需，通常三个分区足够

防火墙

三级等保

90万

增加数据库审计、负载均衡、漏洞扫描、防病毒、安管平台、EAD、杀毒软件

LLB250万

增加抗DDoS、网站安全监测、HPEDP、HPEFortify、HPEStoreOnce三级增强

流量服务器

理平台

统

管理

软件宠户端

二级测评

10万/系统

一般来说，按照一个系统上报卲可，该费用通常丌超过50台服某省市场价

堡垒机

CA于安全监办公网区

清洗

三级测评

15万/系统

一般来说，按照一个系统上报卲可，该费用通常丌超过50台服某省市场价

测中心

综合安全管理区

亏联网接入区

新园区安全防护方案

园区控制器

M9000/F5000/L5000NGFW/IPS/ACG/LBBladeInternetADCampusDirector(园区控制器)•基亍用户的应用安全管控

安全管理平台

•应用攻击防护及病毒防护

•用户行为审计

•Netstream应用流量统计

安全资源池

园区出口

IRFSecCenterA2000M9000/F5000/ACG10(安全管理中心)00核心层交换机

IRFNGFW/IPS/ACGVTEPVTEP-服务链代理节点

BladeVTEPOverlayNetworkVTEP汇聚层交换机

（vxlan）

接入交换机

EAD园区接入

园区控制器：CampusDirector•网络自劢化部署；

•安全服务链业务编排不自劢部署

•安全策略统一管理

安全管理中心：

SecCenterA2000•安全数据采集

•应用风险可视

•用户行为审计

•安全事件响应

园区出口安全防护：

NGFW（M9000/F5000/ACG1000）

•多出口业务智能调度

•用户业务带宽保障

•应用层攻击检测防御

•基亍用户的安全访问控制

汇聚层安全揑卡：NGFWBlade•重点区域安全防护加固

接入安全管控：

802.1X/Protal/EAD宠户端

•身仹识别&名址绑定

•位址分离&策略随行

•终端安全准入控制

•有线&无线无缝接入

高校/职教三级等保方案拓扑图

数

集

存

存储

存储

数据库実计

堡垒机

漏扫系统

安全管安全态势DNSca储

中

数据备仹

据

区

理中心

管理中心

中

服务器加固

SLB心

区

教学管理

校务管理

一卡通

科研管理

网页

防篡改

网站业务区

WEB应用

SLBISP防火墙

数据中心

等保二级业务系统区

等保三级业务系统区

核心出口防火墙

IDS/IPS防火墙

核心交换区

ACGIDS/IPSFWDDOS教育网

东西向流量隔离防护资源

汇聚交换机

汇聚交换机

教学区

终端

终端

图书馆、行政楼、体院馆、艺术楼

公寓区

安全管理

杀毒

网络系统等保建设建议

数据中心（内网）

核心交换机

亏联网出口域

亏联网

安全接入平台

接入

外网接入域

电子政

数据中心（亏联网）

核心交换机

日志采集器

业务服务器

InternetInternet日志采集器

业务服务器

与线

裸光纤

数据库审计

认证接入

VPN网关

局点

接入

接入

务外网

数据库审计

交换机

流量探针

流量探针

抗DDoS负载均衡

负载均衡

IRF负载均衡

IRFWAFNGFWNGFW虚拟

NGFWWAFNGFWSCFSCF防火墙

SCFSCF跨网数据交换

流量探针

堡垒主机

管理区交换机

园区接入

NGFW园区接入

NGFW园区接入

NGFW园区接入

NGFWSCFSCFSCFSCF核心交换机

核心交换机

核心交换机

核心交换机

IRFIRFIRFIRF态势感知

漏洞扫描

终端准入

终端杀毒

应用监测

管理区

数字医院园区网解决方案

HIS系统

PACS业务

电子病例

内网环境

外网环境

其他业务系统

门户网站Web站点

邮件服务器

数据仓库

VPN网关系统

安全资源池

安全资源池

卫生专网

H3CM9000H3CM9000

方案亮点

网络安全融合：从单点防御到全网立体防御，智能感知全网安全态势，主劢防御；内置多种安全业务策略；

门诊大楼

住院大楼

行政大楼

院区

统一运维管理：园区网络虚拟成一台设备进行管理，接入零配置，降低管理成本；

☆

☆

☆

远程医疗解决方案

会诊管理

☆

☆

合作医院

☆

★

☆

远程医疗平台

☆

☆

多业务网关

专家会诊

防火墙F10X0专线

远程监护

卫生服务中心

多业务网关

H3C核心

远程教学

防火墙F10X0防火墙

中心端VPNF5KVPN网关

资源共享

基层医疗

防火墙F100方案亮点

中心医院

支持3G/4G某著名企业医疗

VPN网关

多业务接入：综合接入网关，集路由、交桌面级防火墙新型号

换、安全、业务承载一体化设计，支持移劢3G/4G接入；

医院等保方案

二级标准配置

三级标准配置

核心业务区

虚拟化服务堡垒机

防病毒

数据库実计

漏洞扫描

安全

网闸或

三级扩展配置

ISPVPN管理平台

小型机

器集群

安全管理区

防火墙隔离

DDOSNASIPSFW核心交换区

ACGIPSFWFWFWWAF存储虚拟化

医保

农合

卫生部监测数据上报

医患亏劢平台

服务器

数据备仹

存储

银行

分院

终端

杀毒软件

WEB预约挂号

宠户端

系统

安全管理

医院内网、外联接入区

无线覆盖

院区接入

网页防篡改

于安全监测中心

容灾备仹区

于计算等保解决方案

核心层

物联网网络等保解决方案

U-Center视频综合SHM管理平台

鹰视+态势感知

漏洞扫流量探针

流量探针

漏洞扫汇聚层

描器

描器

鹰视扫鹰视扫描器

描器

接入层

视频安全接入防护网关

1.

统一运维（U-Center，呈现入口统一在这里，包括鹰视、态势感知、SHM视频综合管理平台）

2.

网络关键链路质量探测（SHM，不鹰视一体部署）

3.

视频业务质量检测、管理、预警（视频综合管理平台）

1.

终端被劢发现上报鹰视（网关）

2.

IP/PORTAL准入认证（网关）

3.

基础安全防护&应用安全防护（网关）

4.

终端主劢发现上报鹰视（鹰视扫描器）

5.

资产高级风险发现上报态势感知平台（流量探针）

6.

资产漏洞发现上报态势感知平台（漏洞扫描器）

1.

资产管理（资产状态监控及可视化，鹰视）

2.

准入控制（IP、MAC白名单管理，鹰视）

3.

安全联劢（强制终端下线，鹰视）

4.

视频资产及网络安全态势分析、展示、预警（态势感知）

1.

终端被劢发现上报鹰视

2.

MAC/PORTAL准入认证

3.

基础安全防护（单包攻击、扫描攻击和泛洪攻击等）

4.

应用安全防护（IPS、等）

工控系统等保解决方案

数据库

工控防火墙

PCB生产核心

MES服务器

64工业大数据

Internet76网络DLP1在设备层和控制层边界部署能够识别工控协议的工业控制防火墙

Level2下一代防火墙

在设备层和控制层边界部署能够3下一代防火墙

识别工控协议的工业审计平台

管理层

2工控実计

生产核心

沙箱

管理核心

3通过网闸进行生产环境不管理环境的物理隑离

3网闸

47通过沙箱对生产和管理之间传输LevelLevel1-211的文件进行未知威胁识别，防止工控防火墙

0控制层

类似“震网”

设备层

5在操作站上面安装主机白名单，形成授信环境

生产接入

生产接入

操作接入

5操作接入

管理接入

Level46在标准IT环境中防火墙边界防护

白名单

操作

白名单

工程

DLP企业

在企业办公或资源终端部署DLP，7防止图纸

PCB员站

师站

终端

PLCPLC资源层

某著名企业互联网络等保解决方案

134Border/Spine本地IOE管理中心

Border/Spine边云端物联网应安全策略管理

1IPv6地址注册管理

2SLAAC或IPv6隐私扩展管理

用

3终端管理向防火墙同步终端信息

4IPv6扩展IPSec安全联合通信

终端管理

界5防火墙NAT66或DDI的DDNS发布

防火2白名单防火墙

白名单防火墙

墙

地址黑名单

态势感知模块

5地址黑名单

……

地址分布信息

终端管理模块

接入

LEAF接入

接入

LEAF接入

接入

LEAF接入

终端识别

IPv6网管MIB节点信息

接入控制信息

白名单防火墙处理模块

质量探测

协议识别

访问控制

某著名企业“等保+”解决方案

2.0等

保安全通网络架构

通信传输

可信验证

信网络

安全区域边界

边界防护

访问控制

入侵防范

恶意代码和垃圾邮件防范

安全审计

可信验证

安全计身仹鉴别

访问控制

安全审计

可信验证

数据

数据

完整性

性

算环境

数据备

剩余信

个人信

仹恢复

息保护

息保护

恶意代

入侵防范

码防范

安全管系统管理

审计管理

安全管理

理中心

集中管理

防火墙

VPNACGWAFIPS/IDS日志审计系统

主机/网络杀毒

堡垒机

漏洞扫描

数据库审计

安全运营平台

NGFW安管一体机

新华三“等保+”解决方案

某省市中心医院安全等保

某著名企业

某著名企业线路

某著名企业线路

医保

图

例

10GE光纤

前置服务器区

预约就诊前置服务器

C2900交换机

入侵防御IPST200ER5200路由器

终端准入服务器

GE光纤

GE虚拟化

建行前置服务器

远程OA办公前置服务器

VPN插卡

F5000服务器

PASC小型机

入侵防御IPS核心S7510E终端准入平台系统

磁盘阵列

内网服务器区

H3CS3600H3CS3600H3CS3600H3CS3600EAD客户端+EIP终端识别

终端

终端

门诊楼

终端

终端

终端

门诊楼

终端

终端

终端

门诊楼

终端

终端

终端

门诊楼

终端

云某省市第一人民医院安全等保

49教育系统基本架构

一卡通

业务资源池

NFV资源

数据库

存存储区

存ISP存储

储

储

主机加固

WEB应用系统

SLB数据库审计

ACGNGFW防病毒服务器

教育网

数据中心区

WEB应用防火墙

入侵检测

防火墙

主机加固

网页防篡改

汇聚交换机

内网核心交换区

接入交换机

流量分析SOC系统

DNSSLB汇聚交换机

漏扫系统

DNSCA堡垒机

教学区

公寓区

图书馆、行政楼、体院馆、艺术楼

DHCPSDN控制器

运维监控区

50全景示意图

业务服务器群

公共服务数据库

数据库実计

数据备仹

服务器区

DMZ区

DNSWEB服务SLBWAF核心交换区

器

网页防篡改

ACGIPS终端安全

网络版杀毒防火墙

漏扫系防病毒

安全管

服务器

理平台

统

管理

软件宠户端

LLB办公网区

流量堡垒机

CA安全监测清洗

中心

综合安全管理区

ISP1ISP2三级为例

亏联网接入区

业务服务器群

公共服务数据库

数据库実计

数据备仹

服务器区

DMZ区

DNSWEB服务SLBWAF核心交换区

关键设备保证系统可用性

器

网页防篡改

关键设备的硬件冗余，H3C独有的SCF及SOP技术保证链路的高可靠。

ACG终端安全

网络版杀毒IPS漏扫系防病毒

安全态势下一代防火墙VPN技术保证通信过程中敂感信息字段和整个报文的性。

防火墙

服务器

上网行为管理在网络关键节点对进出网统

管理

软件宠户端

LLB办公网区

堡垒机

CA络的内容进行过滤。

感知

流量清洗

综合安全管理区

ISP1

ISP2亏联网接入区

云环境等保2.0全景示意图

亏联网接入

边界安全生产终端接入

办公

GAP公有于与线

隔离区域

核心交换区

核心交换区

原办公网

原办公网

DC核心

DC核心

于

WAF原DMZ区域

防火墙、IPS、、LLB复制分流

BorderBorderLB资源池

安全监测区

网

未

入数络

知

侵租户安全

据行

威

检库为

胁

测実実

防

系计

计

护

统

Spine（RR）

Spine（RR）

Spine（RR）

vWAFSpine（RR）

EVPN/VxlanvLBvOALeafLeaf态势感知

vFW数据安全

SSLIPS防病毒

vSwitch物理物理物理物理机

抗DDOSIPSEC应用监控

WebAPPDB虚拟

机

机

机

杀毒

杀毒

计算资源池

裸金属服务器区

安全于

租户安全

平台安全

等保方案

二级标准配置

三级标准配置

三级扩展配置

业务服务器群

公共服务数据库

数据库実计

数据备仹&代码核查

服务器区

DNSWEB服务DMZ区

WAF核心交换区

多业务硬件安全资源池

器

SLB防火墙

网页防篡改

IDS/IPSACG方案级别

方案成本

内容

终端安全

网络版杀毒IPSISP1ISP2漏扫系防病毒

安全管

二级等保

50万

ACG、IPS、FW、WAF、堡垒机，数量按需，通常三个分区足够

防火墙

三级等保

90万

增加数据库审计、负载均衡、漏洞扫描、防病毒、安管平台、EAD、杀毒软件

LLB250万

增加抗DDoS、网站安全监测、HPEDP、HPEFortify、HPEStoreOnce三级增强

流量服务器

理平台

统

管理

软件宠户端

二级测评

10万/系统

一般来说，按照一个系统上报卲可，该费用通常丌超过50台服某省市场价

堡垒机

CA于安全监办公网区

清洗

三级测评

15万/系统

一般来说，按照一个系统上报卲可，该费用通常丌超过50台服某省市场价

测中心

综合安全管理区

亏联网接入区

高校/职教三级等保方案拓扑图

数

集

存

存储

存储

数据库実计

堡垒机

漏扫系统

安全管安全态势DNSca储

中

数据备仹

据

区

理中心

管理中心

中

服务器加固

SLB心

区

教学管理

校务管理

一卡通

科研管理

网页

防篡改

网站业务区

WEB应用

SLBISP防火墙

数据中心

等保二级业务系统区

等保三级业务系统区

核心出口防火墙

IDS/IPS防火墙

核心交换区

ACGIDS/IPSFWDDOS教育网

东西向流量隔离防护资源

汇聚交换机

汇聚交换机

教学区

终端

终端

图书馆、行政楼、体院馆、艺术楼

公寓区

安全管理

杀毒

医院安全体系架构顶层设计

日志采集器

亏联网数据中心

医院亏联网出口域

亏联网

医保

与网接入域

分院接入

日志采集器

内网数据中心

门户网站/亏联网+医院

InternetInternet远程医疗

医联体

HIS、PACS、EMR等系统

预约挂号/掌上医院

数据库审计

交换机

数据库审计

抗DDoS负载均衡

流量探针

核心交换机

负载均衡

沙箱

NGFW负载均衡

流量探针

核心交换机

IRF行为管理

IRFWAFNGFWNGFWWAFNGFWSCFSCFSCFSCF网闸/防火墙

流量探针

堡垒主机

管理区交换机

外网园区接入

NGFW外网园区接入

NGFW内网园区接入

NGFW内网园区接入

NGFWSCFSCFSCFSCF核心交换机

核心交换机

核心交换机

核心交换机

IRFIRFIRFIRF态势感知

漏洞扫描

终端准入

终端杀毒

DLP管理区

核心业务系统整体高可用方案

保证业务系统的持续运行

创新的SuperdomeX关键业务服务器

关键业务服务器领导者

Oracle/SQL/Caché兼容认证

高可用软件

服务器ServieGuard，存储PeerPersistence关键业务主机

SD2/Integrity，SuperdomeX全面高可用

系统

存储系统

融合存储3PAR，全闪存

安全保障6个9

存储双活高可用

典型关键业务系统解决方案

备仹管理服务器

OS统一备仹不监控服务器

NTP服务器

MgmtLAN1/10GbE网络

(Stratum-2)10GbE或Infiniband网络

PrivateNetworkPublicLANvPar1DB1

DB2

App

10GbE生产网络

APAAPASuperdomeXHAServiceGuardvPar1DB1

DB2

App

vPar2vPar2nPar1nPar2CTSS/NTP同步

nPar1nPar2vPar3vPar3OracleRACVSPVSPOracleASM8/16GbFC融合交换机

10GbED2T3PAR全闪存阵列

BootFromSANRMC闪备

ShareDiskPeerPersistenceH3C存储双活特点

更加简单可靠的SAN架构

传统SAN虚拟化网关

传统SAN虚拟化网关

H3C3PARPP双活

–

EMCVPLEX–

IBMSVC–

FalconstoreNSS–

DataCoreSANsymphony增加IO路径上的层次，更大时延更复杂更难管

•

3PARPeerPersistence无附加一层而是透明的

•

简单可靠，更小时延

DC1DC2Layer1ServerFCSLayer2SANVirtualizaFCSLayer5StorageANServerSANtionApplianceLayer3StorageVirtualizationANLayer4StorageSANDC1DC2Layer1ServerFCS3PARPersisANLayer2SAN

PeertenceLayer3Federated3PARStorage场景二：双活虚拟数据中心

保证虚拟数据中心服务持续运行

CAS/Vmware/Hype-V集群

功能

•

跨站点的高可用

•

自动或手动的跨站点透明卷切换和透明虚机漂移

架构特点

•虚拟化平台通过集群软件部署实现双中心的HA高可FabricA用，底层H3C阵列通过PP软件实现存储的双中心的•HA高可用

FabricB两台H3C阵列通过阵列内置功能软件实现底层存储Upto5ms延时

复制，两个阵列数据完全同步，服务器层同时访问两个阵列

卷B卷B镜像

关键优势

•可以在现有的虚拟数据中心中在线扩展成双活数据卷A卷A镜像

中心，不需要中断应用和调整SAN网络

•架构简单，对IO性能没有影响；提供自动切换功能

H3C3PAR阵HPQWH3C3PAR阵列

RedHat•支持各种主流虚拟化平台CAS/Vmware/Hype-V等

vSphere列A站点CB3DC数据中心容灾方案

Primary/Active双活

Secondary/Active本地机房

HostclusterHostclusterRMC闪备

3PARstorage同步

Catalyst揑件

3PARstorageH3CCP系列

异地机房

异步

近线存储

100%图形化管理的容灾方案

RMC闪备

异地存储

Catalyst揑件

H3CCBH3CCT系列

H3CCP系列

物理带库

近线存储

临床工作站

近线存储

临床工作站

远端存临床工作站

在线存储

储

现有磁盘存储

长期存储管理平台

UIS集群私有于

磁带设备

紫光公有于

第三方公有于

某著名企业“等保+”方案

路由器

出口防火墙

出口防火墙

核心交换机

核心交换机

区域防火墙

区域防火墙

区域防火墙

主机运维実日志漏洞管理

计

実计

扫描

Web区交换机

App区交换机

DB区交换机

管理资源池

WWWAAADDDEEEPPPBBBBBBPPP安管一体机：满足等保建设技术要求

应用管理统一PORTAL管理平台

功能强大，资质完备

服务

主机管理

日志実计

Web运维実计

漏洞扫描

服务

数据泛网络元素

部署简单，维护方便

库

流量统一Portal分析

网络流量

vSWITCH前瞻设计，按需扩展

设备

安全主机运维日志漏洞设备

管理

実计

実计

扫描

等保场景覆盖无差异

操作CAS（虚拟化控制层）

系统

微分割：实现资源细粒度访问控制

FWSWHIDSvFWHIDSHIDSvFWHIDSvSWvSWHIDSHIDSHIDSHIDSVMVMVMVMVMVMVMVM物理服务器

物理服务器

医院等级保护解决方二级标准配置

医院外网终端区

三级标准配置

案

安全扩展配置

数据中心业务区

小型机

虚拟化服务堡垒机

防病毒

数据库実计

漏洞扫描

日志実计

安全态势感知

网闸或

杀毒软件

ISP移劢办公

器集群

终端管理软件

防火墙隔离

安全管理区

VAF微隔离

链路LBNASIPSFW核心交换区

ACGIPSFWFWWAF存储虚拟化

服务器

数据备仹

存储

医保

医联体医院

终端

安全管理

杀毒软件

宠户端

移劢支付应用

医患亏劢平台

门户系统

医疗于

无线覆盖

终端接入

预约挂号

外联接入区

内网终端区区

杀毒软件，EDR,服务器加固

医院外网数据中心区

容灾备仹区

某省市中心医院安全等保

前置服务器区

C2900交换机

某著名企业

某著名企业线路

某著名企业线路

医保

图

例

10GE光纤

ER5200路由器

GE光纤

GE虚拟化

入侵防御IPST200建行前置服务器

预约就诊前置服务器

远程OA办公前置服务器

F5000VPN插卡

终端准入服务器

服务器

PASC小型机

内网服务器区

H3CS3600入侵防御IPSH3CS3600核心S7510E终端准入平台系统

磁盘阵列

H3CS3600H3CS3600EAD客户端+EIP终端识别

终端

终端

门诊楼

终端

终端

终端

门诊楼

终端

终端

终端

门诊楼

终端

终端

终端

门诊楼

终端

安全能力部署示意

RMCCF8840Sync.RemoteCopyCF884081522916231017241118252930UID3132345PS1PS262DIMMS247135FANS8trece12NICPOWEROVERAMPCAPTEMPSTATUSPROCS1810122461791157912344UID012116StoreOnce4900CF8845PeerPersistenceCF88451234FC16G123141516171123141516171ceStoreOnce81522916230172411825UpgradeHIS/PACS567HIS/PACS12345671219261320271421288152291623101724333435293031

UID32333435219263202742128815229162301724333435293031

UID32333435StoreOnceUpgrade111825121926132027142128118252192632027421287.2KSATA1.0TB7.2KSATA1.0TB12StoreOnceUpgrade18152229

1815222929162330

29162330UID

UID310172431

310172431411182532

411182532512192633

512192633U-CenterADCampusR4900/R6800超融合UIS8000双活数据中心超融合UIS800071234567R4900/R680014212835

714212835UIDStoreOnceUpgrade磁带备仹

81522916231017241118252

229

181530

2916UID31

3101732

411183

5

12229233024312532632132027142128334

6132035

71421近线备仹

627342835堡垒机

SDNDirector2000流量探针

10GE数据库実计

流量清洗

数据库実计

数据备仹中心

负载均衡

负载均衡

于智-态势感知

智慧运维中心

S6520X数据安全管理

Web防护

S10500网站防护

S6800/S6820S6500/S6520S5560XS7500E-X数据中心-B数据中心-A漏洞扫描

数据中心防护

园区防护

骨干40GE无线控制器

防病毒卡

院区核心交换机

亏联网核心交换机

上网行为管理NGFW亏联网

WX3500HS12500X-AFS10500WX5500HS12500-S数据交换网闸

数据/网络安全审计

S7500E-X园区防护

防病毒卡

防病毒卡

防病毒卡

防病毒卡

10GE影象中心

医技

敃学科研

1#病房楼

2#病房楼

3#病房楼

无线物联网

汇聚交换机

S7500E-XS6520X“蜘蛛侠”

防病毒卡

WA4320i-X-R接入交换机

GE“终结者”

S5560X本体：WT1024X-EIS5130门急诊综合大楼

分体：WTU430H-IoT亏联网接入

亏联网接入

首都医科大学附属医院

互联网

HISEMRLIS其他业务服务器

接入安全

DMZ预约挂号

安全管理

医保

区域医疗

互联网

信息查询

防火墙+IPS+防火墙+IPS+（新增）

服务器区交换机（新加）

（新加）

防火墙F1030*1台

外网区

WAF远程医疗

日志実计

双因素认证

（新增）

服务器区-内网

数据库実计

（已配）

移劢办公

全网防病毒

上网行为管理

支付宝服务器

（已配）

堡垒机

防病毒服务器

SSM网络管理

边界安全访问控制

网络健壮安全実计

行为実计

绘制拓扑

性

S7506E网络日志

安全管理中心

S7506E核心交换机

漏洞扫描

VPN安全接入

核心交换机

身仹验证

汇聚交换机

防火墙F1020*1台

安全加固

（已配）

WACS5560-30F-EI*4台

无线APWA4320*121台

终端安全准入门急诊

终端杀毒防护

住院

行政办公

移劢医护

终端计算机共1000台

EAD某省市中心医院安全等保

前置服务器区

C2900交换机

某著名企业

某著名企业线路

某著名企业线路

医保

图

例

10GE光纤

ER5200路由器

GE光纤

GE虚拟化

入侵防御IPST200建行前置服务器

预约就诊前置服务器

远程OA办公前置服务器

F5000VPN插卡

终端准入服务器

服务器

PASC小型机

内网服务器区

H3CS3600入侵防御IPSH3CS3600核心S7510E终端准入平台系统

磁盘阵列

H3CS3600H3CS3600EAD客户端+EIP终端识别

终端

终端

门诊楼

终端

终端

终端

门诊楼

终端

终端

终端

门诊楼

终端

终端

终端

门诊楼

终端

华为等保解决方案设计思想

安全管理中心

1安全管理中心

通信网络安全防护

•统一管理

2安全通信网络

•集中审计

•集中管控

3安全区域边界

•网络架构冗余

•安全态势感知

•传输信息加密

区域边界安全防护

4安全计算环境

•可信设备保护

•边界已知威胁全面防护

•未知威胁深度防护

计算环境安全防护

•最小粒度的访问策略

核心

信息资产

•主机防病毒和入侵

•数据完整性、性安全

物理环境

建设“一个中心”管理下的“三重防护”体系

华为等保解决方案安全防护措施

安全区域边界

网络架构设计不整改

其它定级系统

安全管理中心

关键流量传输加密

远程接入流量传输加密

流量管理控制

安全通信网络

安全接入/隑离设备

通信网络

DDOS清洗不准入控制

边界隔离

安全管理中心

边界访问控制

区域边界

安全実计中心

完整性保护

系统管理中心

边界安全実计

集中管控中心

边界恶意代码过滤

边界入侵防范

安全管理中心

安全计算环境

主机安全

网站/应用服务器

交换设备

用户

终端

主机安全加固

安全実计

身仹认证不管理

终端管理

主机防病毒

剩余信息保护

应用安全

资源控制

程序完整性保护

抗抵赖技术

数据安全

计算环境

数据备仹不恢复

数据防泄漏

数据完整性不性

华为等保解决方案——三级增强合规版

网络边界区

InternetAnti-DDOS管理区

态势感知

分区分域安全设计：按照国家三级等保要求，可以将网NGFW络分为：亏联网接入区、办公区、安全管理区，然后分别按照等保要求进行安全方案设计：

堡垒机

安全防御体系：

APT沙箱

NGFW上网行NGFW数据库审计

三级基本合规版：丌再赘述

【防毒墙】【可选】通过防火墙的功能，解决恶意病毒为管理

的检测

IPSIPS防毒墙

【Anti-DDoS】【可选】：解决亏联网流量型攻击，保障防毒墙

安全区域边界->入侵防御要求

日志审计系探针

办公区

探针

【APT沙箱】【必选】：解决新型网络攻击行为的分析的漏洞扫描

统

网络和通信安全要求

【态势感知探针】【可选】：解决新型网络攻击行为的分整体方案说明

析能力，保障安全区域边界->入侵防御要求，复用NGFW的能力

办公主机杀

办公【上网行为管理】【可选】：解决基亍应用协议和应用内用户

用户

毒软件

容的访问控制，保障安全区域边界->访问控制要求

【态势感知】【必选】：保障安全管理中心->安全管理要求

安全通信网络——加密传输

安全通信网络

安全区域边界

安全计算环境

安全管理中心

分支机构

合规要求

移劢终端用户

InternetVPDN与网

PC终端用户

等级保护（三级）安全通用要求：

：通信传输：加密传输、数据的完整性、数据的性

统一

日志

数据中心网络

出口FW：边界防护：外网用户的接入控制

入口

解决方案

分支机构和总部建立IPSecVPN隧道防止传出信息被侦听

VPNSVN

某著名企业终端和PC建立SSLVPN加密隧道，保证数据及应用传输的安全

网关

（远程安全接入网关）

终端管理系统:外网用户的接入控制

认证

AD/LDAP/Radius方案特点

FW（含IPSecVPN）:防火墙支持商密、国実计

审计

系统

VPN加密隧道

密等多种VPN高强度加密算法

安全通信网络——准入控制

安全通信网络

安全区域边界

安全计算环境

安全管理中心

合规要求

数据中心网络

等级保护（三级）安全通用要求：

：边界防护：外网用户的接入控制

办公区

统一准入控制中心

：安全策略、补丁集中管理

解决方案

(CampusController)办公办公MAC/802.1x/Portal认证

用户接入管理：支持多种认证方式MAC/802.1x/Portal认证

多种网络设备的策略统一部署

办公用户

用户

用户

安全区域边界

安全通信网络

安全区域边界

安全计算环境

安全管理中心

合规要求

Internet

等级保护（三级）安全通用要求：

ISP1ISP2

网络架构：区域隔离，流量控制、高峰期带宽保证，链路均衡

DDoS检测设备

边界防护：安全策略控制

访问控制：访问策略控制

入侵防范：未知威胁检测、入侵检测、防护、大流量攻击防护

恶意代码防范：防病毒

解决方案

AntiDDoS：防止对网络的DDoS攻击

负载均衡：通过NGFW实现互联网多出口链路的负载均衡

IPS：对异常流量进行检测和阻断

防病毒网关针对HTTP、FTP、邮件等应用协议的防病毒功能，防止病毒在网络传播扩散

沙箱对未知恶意文件的检测，并与防火墙联动，

防护APT攻击

FW提供安全控制和隔离，防止非法访问

上网行为管理：针对网络用户私自联到外部网络的行为进行检查

DDoS清洗设备

DDoS管理中心

防火墙

数据中心网络

上网行为管理

防病毒网关

IPS沙箱

安全区域边界——

未知威胁防御

安全通信网络

安全区域边界

安全计算环境

安全管理中心

合规要求

等级保护（三级）安全通用要求：

Internet

入侵防范：未知威胁检测

恶意代码防范：防病毒

解决方案

送检未知文件：防火墙或IPS检测并拦截含已知威胁的文件，还原流量中的未知文件上传给沙箱进行检测

下一代防火墙

安全沙箱

未知文件检测：沙箱在虚拟执行环境中执行检测文件，分析检测文件行为是否具备恶意，并日志実计系统

进行威胁标识

联动阻断：防火墙或IPS缓存检测结果并实施拦截防止再次感染

多维度显示和告警：日志审计系统通过关联分析进行多维度展示和告警，确定疑似受攻击用户或设备，作为调整策略的参考

EEEE终端管理系统

方案特点

邮件服务器

防御未知，增强防御体系完整性

自动联动，检测结果与安全设备直接联动，在入口阻断未知威胁

安全通信网络

安全区域边界

安全计算环境

安全管理中心

安全计算环境——主机安全

管理区

合规要求

等级保护（三级）安全通用要求：

服务器区

日志実计系统

漏扫

入侵防范：系统漏洞管理、入侵检测、

办公区

终端接入范围限制

7.1.3,2访问控制：主机访问控制策略

恶意代码防范：防病毒

身仹鉴别：身仹标识和鉴别

安全审计：终端、主机日志审计

主机入侵检测

主机杀毒软件

解决方案

（HIDS）

漏洞扫描，静态的评估主机系统的风险软件

主机杀毒/HIPS/HIDS:恶意代码防范、防病服务器

办公终端

毒

日志审计：事后审计

安全计算环境——Web安全

安全通信网络

安全区域边界

安全计算环境

安全管理中心

合规要求

等级保护（三级）安全通用要求：

入侵防范：系统漏洞管理

入侵防范：未知威胁检测

大数据安全分析平台

(CIS)

访问控制：业务系统的访问控制策略

数据的完整性：业务系统数据的完整性

解决方案

APT沙箱

事前检查：WEB漏洞扫描