McAfee网络安全建议方案.doc

mcafee 安全建议方案 xxxx 自动化股份有限公司自动化股份有限公司 mcafee 网络安全建议方案网络安全建议方案 mcafee 安全建议方案 关于本文档关于本文档 内容范围内容范围 本文档为 xxxx 自动化股份有限公司（以下简称 xxxx 公司）网络提供的安全建议方 案，包括如下内容： mcafee network intrusion prevention 网络入侵防护系统，简称 nips mcafee web gateway 网关内容安全防护系统，简称 mwg mcafee host intrusion prevention 主机入侵防护系统，简称 hips 现有 mcafee 产品的安全再巩固，涉及产品为 virusscan enterprise 和 antispyware enterprise，分别简称 vse 和 ase 第 3 页 共 19 页 目目 录录 1概述概述4 2安全解决方案建议安全解决方案建议.5 2.1mcafee network intrusion prevention网络入侵防护方案网络入侵防护方案.5 2.1.1mcafee nips特点5 2.1.2mcafee nips功能8 2.1.3mcafee nips部署方式10 2.1.4mcafee nips产品规格型号11 2.2mcafee web gateway网关内容安全防护方案网关内容安全防护方案.11 2.2.1mcafee mwg功能12 2.2.2mcafee mwg模块13 2.2.3mcafee mwg部署方式13 2.2.4mcafee mwg 产品规格型号.15 2.3现有安全环境安全防护再巩固现有安全环境安全防护再巩固.15 2.3.1mcafee host intrusion prevention主机入侵防护功能.16 2.3.2mcafee host intrusion prevention部署要求16 3方案总结方案总结 18 第 4 页 共 19 页 1 概概述述 随着计算机技术的发展，黑客和病毒技术也越来越先进，各类操作系统、应用软件出 现的安全漏洞越来越多，从漏洞的发现到出现利用该漏洞的攻击时间越来越短，病毒变种 会越来越快。网络安全便成为人们关注的话题，层出不穷的信息安全事件，不仅引起社会 各界的重视，许多机关企业也开始重新审视信息安全问题，无不希望提早做好信息安全防 护，以免成为下一波黑客攻击的目标。网络给人们带了的巨大利益同时也带来的绝大威胁， 在这样的威胁情况下，要求我们的政府机关、大中小型企业以及家庭和个人都重视网络信 息安全,保护自己不被其他攻击者利用，保护自己的客户不被攻击者伤害，保护客户和员工 的个人隐私。 xxxx 公司网络环境非常复杂，需要访问互联网的终端机器数量很多，而当前互联网 上木马病毒、恶意软件传播活动非常猖獗，它们可以通过 u 盘、网络、邮件、即时聊天工 具、论坛挂马和网页挂马等方式传播到用户计算机上，影响用户系统的正常使用，用户的 重要信息也会被其盗取。 虽然 xxxx 已经具备较完善和健全的安全体系，可以对内部网络提供比较安全的上 网环境，但当前互联网上木马、恶意程序等病毒的制作方法和转播方式呈现多样化的特点， 且制作技术不断更新。这给已有的安全环境提出了更高的要求：一方面，要通过安全手段 或措施来抵御外部网络病毒威胁侵入到内部网络中，防止新病毒、新威胁进入内部网络中 影响网络的正常使用；另一方面，由于员工之间掌握的安全知识和自身安全意识各不相同， 即便阻挡了通过 internet 传播到内部网络的病毒，但极少部分员工无意在内部网络传播病 毒还是存在的现象，例如携带病毒的 u 盘在不同的计算机拷贝数据、发送含有病毒的邮件 等。 基于以上种种网络安全问题，我们将在本方案中为 xxxx 公司网路系统推荐业界先进 的安全解决方案和安全产品，该方案将为 xxxx 公司网络系统提供 mcafee 深度安全防护 体系。通过建立全系统的策略、管理、组织和安全技术体系，以 mcafee 先进的安全产品 构建深度安全防护。使全网的安全风险处于可管理、可控制状态下，保证 xxxx 公司内部 网络的安全性。 第 5 页 共 19 页 2 安安全全解解决决方方案案 建建议议 目前，xxxx 公司已部署了 mcafee 终端安全病毒防护产品，环境如下 1、 mcafee 集中管理平台 epolicy orchestrator 4.5； 2 、mcafee 防病毒产品 virusscan enterprise 8.7i； 3、 mcafee 防间谍产品 antispyware enterprise 8.7i； 对于已知的病毒和威胁，通过当前安全防护环境（virusscan 和 antispyware）就可以 检测和查杀。而对于那些未知的木马或恶意程序等威胁，如果借助 mcafee nips、mwg 和 hips 来增加防护会有更好的效果。它们可以弥补当前网络安全方面防护的不足。 我们建议针对这些方面问题采取针对性的解决方案： 一、 mcafee network intrusion prevention 网络入侵防护系统； 二、 mcafee web gateway 网关内容安全防护系统； 三、 mcafee host intrusion prevention 主机入侵防护系统； 2.1 mcafee network intrusion prevention 网网络络入入 侵侵防防护护方方案案 作为业界最成熟、最先进的网络入侵防护系统 mcafee nips 能够准确检测和拦截入侵、 拒绝服务(dos)和分布式拒绝服务(ddos) 等攻击，并防止网络滥用。mcafee ips 网络入侵 防护系统基于完整的攻击分析方法而构建，并引入了业界最为全面的网络攻击特征检测、 异常检测以及拒绝服务检测技术，除了可以探测攻击，还可以探测已知未知蠕虫和后门程 序。 2.1.1 mcafee nips 特特点点 网络攻击特征检测网络攻击特征检测 为了实现高性能的网络攻击特征检测，nips 体系结构不仅采用了创新的专利技术， 第 6 页 共 19 页 而且集成了全面的状态检测引擎、完善的特征规范语言、 “用户自定义特征”以及实时特征 更新，确保了 nips 能够提供并维护业界最为全面、更新最及时的攻击签名数据库。 全面的状态特征检测引擎全面的状态特征检测引擎 nips 体系结构的特征检测引擎引入了强大的上下文敏感检测技术，在数据包中充分 利用了状态信息，它通过使用多个令牌匹配来检测超越了数据包界限的攻击特征，或超出 序列范围的数据包流。 用户自定义网络攻击特征用户自定义网络攻击特征 nips 使得网络安全工程师能够通过一个创新性的图形用户界面（gui）来编写自定义 签名，该界面能够使用通过系统的协议分析功能所获取的字段和数据，或者通过 nips 的 分析机制收集的状态信息。 实时特征更新实时特征更新 nips 提供的创新性实时特征更新极大地提升了管理软件的性能，由 mcafee 更新服 务器提供的全新特征可以通过策略控制自动发送到整个网络，从而确保了新的特征一经创 建，网络即可获得最新的防护功能。nips 体系结构还允许网络工程师决定何时，以及是否 在整个网络中部署最新的签名。nips 系统无需重新设置或重新启动任何硬件以便激活新的 签名，因此，它们能够自动地、实时地进行部署。 异常检测异常检测 异常检测技术为 nips 体系结构全面的签名检测过程提供了完美的补充，异常检测技 术使得网络工程师能够对突发威胁或首次攻击进行拦截，并创建出一套完整的“异常档案” ， 从而保护网络免受当前威胁和未来攻击的骚扰。 nips 体系结构提供了业界最为先进、最为全面的异常检测方法 集成了针对统计数 据、协议及应用程序的异常检测技术。异常/未知攻击的例子包括新的蠕虫、蓄意的隐性攻 击、以及现有攻击在新环境下的变种。异常检测技术也有助于拦截拒绝服务攻击（观察服 务质量的变动）和分布式 dos 攻击（nips 系统利用流量样式变动（例如 tcp 控制数据 包的统计数据）来决定是否即将发生海量的数据流） 。 第 7 页 共 19 页 nips 体系结构的异常检测技术还能够针对其它威胁提供保护，这包括：缓冲区溢出攻 击、由木马程序或内部人员安装的“后门”或恶意攻击、利用低频率进行的隐性扫描攻击、 通过网络中的多个发送点传送表面正常的数据包、以及内部人员违反安全策略（例如，在 网络中安装游戏服务器或音乐存档） 。 拒绝服务检测拒绝服务检测 nips 检测体系结构的第三根“支柱”就是它完善的拒绝服务防护技术。 自动记忆以及基于阀值的检测自动记忆以及基于阀值的检测 nips 体系结构综合利用了基于阀值的检测技术和获得专利的、具有自动记忆功能的 基于配置文件的检测技术，从而使拒绝服务检测更具智能化。借助基于阀值的检测功能， 网络安全管理员就能够使用预先编写的数据流量限制来确保服务器不会因负载过重而宕机。 同时，自动记忆功能使得 nips 体系结构能够分析网络使用方法和流量的模式，了解 合法网络操作中发生的多种合法，但不常见的使用模式。 两种技术的结合确保了对各种 dos 攻击的最高检测准确率 包括分布式拒绝服务 攻击（即恶意程序员为了进攻企业或政府网络，同时对上百个，甚至上千个服务器发起攻 击） 。 nips 准确的 dos 检测技术具有非常重要的意义，因为很多网站和网络都曾经历过合 法的（有时是意外的） 、极具吸引力的新程序、服务或应用程序的流量冲击。 入侵防护入侵防护 nips 体系结构提供了业界最准确的攻击检测功能，构造了系统攻击响应机制的坚实基 础。没有足够响应能力的 ids 产品只能为网络安全管理员提供有限的功能。现代的 ids 产品必须能够检测出攻击，并提供偏转和拦截恶意流量的方法。 nips 体系结构为网络安全管理员提供了一整套手动的和自动的响应措施，并以此构 建起企业机构信息技术安全策略的基础。 第 8 页 共 19 页 2.1.2 mcafee nips 功功能能 就攻击检测来说，nips 体系结构使系统可以实现以下功能： 拦截攻击拦截攻击 它能够实时地在攻击源和目标之间拦截单一数据包、单一会话或数据流量，从而在进 程中拦截攻击，而不会影响任何其它流量。 终止会话终止会话 nips 体系结构允许针对目标系统、攻击者（或二者同时）重新设置并初始化 tcp。 网络安全工程师可以对发送给源和/或目标 ip 地址的重新设置数据包进行配置。 修改防火墙策略修改防火墙策略 nips 体系结构允许用户在发生攻击时重新配置网络防火墙，方法是临时改变用户指 定的访问控制协议，同时向安全管理员发出警报。 实时警报实时警报 当网络流量违反了安全策略时，nips 体系结构能够实时生成一个警报信息，并发送 给管理系统。合理的警报配置是保持有效防护的关键所在。恶性攻击（例如缓冲区溢出以 及拒绝服务）往往需要做出实时响应，而对扫描和探测则可以通过日志进行记录，并通过 第 9 页 共 19 页 进一步的研究确定其潜在的危害和攻击源。网络安全工程师能够获得有关电子邮件、寻呼 程序以及脚步警告的通知，该通知基于预先配置的严重性水平或特定的攻击类型，例如拒 绝服务攻击。基于脚步的警告允许对复杂的通知过程进行配置，从而能够针对系统面临的 攻击向特定团体或个人发出通知。 nips 体系结构还提供了一个“警报过滤器” ，它允许网络安全工程师根据安全事件的 来源或目标进行筛选。例如，当 it 部门通过一个自有 ip 地址执行漏洞扫描时，从该地 址生成的事件就可以被过滤掉。 对数据包进行日志记录对数据包进行日志记录 在攻击发生时，或攻击发生之后，基于 nips 体系结构的系统能够首先捕获数据包， 并对数据包进行日志记录，然后将该流量重新定向到一个空闲的系统端口，以便进行详细 的合法性分析。这个数据包信息就是对触发攻击的实际网络流量的记录。数据被查看后， 将转换为 libpcap 格式，以便进行演示和说明。类似于 ethereal（运行于 unix 和 windows 平台的一款网络协议分析工具）的多种工具可以用来检验数据包日志数据，以便 对检测到的事件进行更为详细的分析。 nips 体系结构的响应机制提供了该产品平台的基础，安全管理员需要在此基础上开发 出响应措施、警报以及日志系统，以便为复杂的现代网络提供最佳的防护。 虚拟虚拟idsids nips 传感器支持全新的、功能强大的虚拟 ids (vids(tm)。 虚拟 ids 能够将 nips 传感器划分为多个虚拟传感器，这些虚拟传感器可以按照细化的安全策略（包括自定 义的攻击选择及相关响应措施）进行全面的自定义。 vids 可以根据一组 ip 地址、一个 或多个 vlan 标记来定义，也可以通过传感器上的特定端口来定义。 虚拟 ids 可以为内部的不同部门、不同地理位置的机构或职能部门分别设置虚拟 ids 域，从而可以为每一个虚拟 ids 设置各自的安全策略。这种方法为现代组织提供了极大 的便利，使它们能够高效地管理分散的网络用户。nips 体系结构的虚拟 ids 功能可以通 过三种方法来实施。第一，将虚拟局域网 (vlan) 标志分配给一组网络资源；第二，使用 无类别域内路由 (cidr) 标志来保护一组 ip 地址；第三，将 nips 系统接口专门用于保 第 10 页 共 19 页 护特定部门、地区机构或组织职能部门的网络资源。 2.1.3 mcafee nips 部部署署方方式式 mcafee nips 支持完全实时攻击阻断的嵌入（in-line）模式，也支持传统的 span 与 hub 监控接入方式、tap 接入和端口群集接入模式。 嵌入模式：嵌入模式：nips系统位于数据路径上，活 动的流量必须通过它们。nips 系统通过实 时拦截恶意流量来防止网络攻击。用户可 以全面自定义预防措施，例如自动拦截针 对特定 web 服务器的 dos 流量。高速的 防护以及高度可用的操作使得 nips系统能 够部署在任务关键型环境中。 交换端口分析器（交换端口分析器（spanspan）与集线器监控：）与集线器监控： 一台或多台网络交换机的集线器端口或 span 端口都可以连接到nips 系统的检 测端口。传感器可以使用同一端口来激 活响应措施，例如重新设置某个 tcp 连 接。 taptap模式：模式：可对全双工以太网链接的网络 通信进行双向监控。通过完全捕获某个 链接上的所有流量，可以更清楚的了解 某个网络攻击的来源和本质 并提供 所需的详细信息，以便能够对未来的攻 击进行拦截。这种全双工监控能力使得 nips系统能够维护完整的状态信息。响应措施包括防火墙重新配置，以及通过专用响应端 第 11 页 共 19 页 口来重新设置并初始化 tcp。 端口群集端口群集使得单一nips 系统通过多个端 口监控的流量能够“聚合”成一个流量流， 以便进行状态分析和入侵分析。该功能对 于非对称路由环境尤其有用，因为这种环 境下，请求数据包和响应数据包可能会通 过不同的链接进行传送。单一的 nips 系统就能够监控多个链接，同时可以维护 准确的、完整的状态信息。 2.1.4 mcafee nips 产产品品规规格格型型号号 根据 xxxx 公司网络带宽使用情况，我们推荐 nips m-1450 型号，此型号最大网络吞 吐量为 200mbps，可满足当前网络入侵防护需求。 2.2 mcafee web gateway 网网关关内内容容安安全全防防护护 方方案案 mwg 为 mcafee 上网代理行为管理产品，为企业办公人员提供安全、可控的上网代 第 12 页 共 19 页 理服务，满足日常办公上网和安全管理需要，包括对于内部员工和第三方厂商的上网行为 管理。 mwg 是 web 2.0 业务模式下全球领先的内容管理安全解决方案 ，提供完整的安全功 能 ，能防护 web 2.0 流量的所有层面。不仅能满足企业用户对于 url 类别过滤，病毒扫 描，流量清洗等企业上网行为管理，更强大的功能在于结合 trustedsource 提供的 url 信 誉，通过内建的智能实时分析引擎和主动扫描引擎，快速发现 internet 上每天增加的无数 不良网站和恶意软件，如欺诈站点，木马下载，恶意动态代码等。 根据安全机构和 mcafee 的联合调查，对 web2.0 下的 web 安全网关提出了以下要求： 1 能够处理双向流量 2 包含智能分析引擎，能够实时分析回传内容，根据策略来强化网络安全 3 支持 url 信誉过滤，使用全球智能过滤技术 4 支持 ssl 扫描，可以过滤 https 加密流量 5 支持丰富的 http 协议，包括 http 方法过滤，url 规则过滤，http 内容过滤 功能 6 支持支持恶意代码和动态内容主动扫描，强大的病毒防护能力。 mwg 除了用其他厂商代理产品具有的上网管理功能外，还融合了多个安全防护功能， 如 url 过滤器、反病毒、反垃圾邮件、反间谍软件、ssl 扫描仪等，完全融合为一个单 一的易于管理的设备。 2.2.1 mcafee mwg 功功能能 上网行为管理上网行为管理 与传统的 url 过滤不同，mwg 采用了智能的 smartfilter url 筛选器模块，该模块 使用 trustedsource 信誉技术，阻止从受感染的机器秘密“回呼”间谍软件网站和访问传播 恶意软件的网站，并阻止下载受限制的可执行文件。 反垃圾邮件反垃圾邮件 使用 trustedsource 连接控制技术阻止不想要的电子邮件，这些电子邮件常常包含受 感染的附件或者不适当的或受感染网站的链接。 媒体类型阻止媒体类型阻止 第 13 页 共 19 页 强大的媒体类型筛选器可靠地侦测真实的文件类型，防御规避现有策略或安全筛选器 的伪装文件。企业可能想要禁止可能有害的（如未知的 activex） 、过于占用带宽的或影响 生产效率的（如视频流）媒体类型。 反恶意代码引擎反恶意代码引擎 安全的反恶意代码引擎可以极快地检查进出的流量，看是否包含已知特征码的病毒、 间谍软件、傀儡程序或其它可能不想要的程序。 恶意代码主动防御恶意代码主动防御 所有活动代码都要进行检查，看是否有验证码筛选器中的数字特征码。基于发布者或 特征码的有效性阻止活动的代码。这个强大有效的方法可将不想要的活动代码阻隔在网络 之外，同时仍允许来自已知的受信任之常规维护升级或可执行文件。 安全安全webweb cachecache mcafee 在 web 2.0 环境中从新定义了 web cache 功能，能够实现为用户提供的缓存 对象是经过主动扫描、安全信誉检查和病毒及恶意代码扫描的对象。并且在病毒特征更新 后，系统自动对缓存的内容进行重新扫描。 2.2.2 mcafee mwg 模模块块 mcafee 的 web gateway web 安全网关是集成了多种功能于一身的设备，代表了 web 通讯安全领域最先进的技术。mwg 网关的主要模块描述如下图： 第 14 页 共 19 页 2.2.3 mcafee mwg 部部署署方方式式 mwg 可以支持多种部署形式，例如透明模式，代理模式，透明代理模式，透明模式，代理模式，透明代理模式，wccp 方方 式，式， icap 方式等，用户可以根据的自己的网络拓扑选择合适的部署形式。 以下仅对代理模式、透明模式和 ica 模式部署进行描述： 代理模式 用户端可以通过 wpad 或者 pac 的方式来设置浏览器的代理设置，也可以通过手工的 方式设置浏览器的代理到 mwg，来提供 web 流量的清洗和访问控制；也可以通过和 cisco 路由器或者交换机配合实现 wccp 的透明代理方式。 icap 模式 如果网络中已经存在了一些代理网关，如 bluecoat， netcache， isa 等设备，可以 通个 icap 的方式来部署。 设备在三种模式下工作的网络拓扑说明 第 15 页 共 19 页 2.2.4 mcafee mwg 产产品品规规格格型型号号 根据 xxxx 公司内部员工上网数量和基于上网安全因素，我们推荐 wg-5000 型号为 xxxx 公司上网代理行为管理产品，此型号完全满足企业内部上网行为审计和 web 安全访 问管理。 2.3 现现有有安安全全环环境境 安安全全防防护护 再再巩巩固固 对于已知的病毒和威胁通过现有防病毒防护环境（virusscan 和 antispyware）就可以 第 16 页 共 19 页 检测和查杀，而对于那些未知的木马或恶意程序等威胁，如果借助 mcafee host intrusion prevention(hips)主机入侵防护方案来增加防护会有更好的效果。 mcafee host intrusion prevention 8.0 是一款集防火墙功能和 hips 于一身的主动防御 和防火墙软件，可以通过 epo 集中管理平台进行统一管理，统一查看 hips 事件监控报告。 在它的保护下，操作系统运行的每一个程序，创建的每一个文件，用户第一时间都能清楚 的知道，并决定是否允许其运行，这大大降低了病毒进入电脑的机率。 hips 不同处在于，它的应用程序控制功能可阻止未知程序运行，用户只运行信任、安 全的程序，其他的一律阻止。当有病毒运行的时候会有提示， 它能够让用户控制哪些应用 程序可以在目标计算机上运行，哪些禁止运行，并且可以在 epo 中对危险的程序设置黑名 单禁止其运行。 2.3.1 mcafee host intrusion prevention 主主机机入入侵侵防防护护 功功能能 mcafee hips 由 ips、防火墙、应用程序控制、被阻挡主机等功能组成，主要功能如 下： 阻止未知应用程序运行阻止未知应用程序运行 杀毒软件只能通过提取病毒样本，分析后公布病毒特征码查杀病毒，有一定的滞后性。 mcafee hips 不同处在于，它的应用程序控制功能可阻止未知程序运行，用户只运行信任、 安全的程序，其他的一律阻止。当有病毒运行的时候会有提示， 它能够让用户控制哪些应 用程序可以在目标计算机上运行，哪些禁止运行，并且可以在 epo 中对危险的程序设置黑 名单禁止其运行。 保护系统注册表不被病毒修改保护系统注册表不被病毒修改 没有安装 hips 的电脑，其注册表是不设防的，任何程序均可随意修改，包括重要和 危险键值。例如，任何病毒都需要修改注册表，实现开机启动，有了 hips 就可以把这些 键值保护起来。 第 17 页 共 19 页 系统防火墙功能系统防火墙功能 hips 的防火墙可监控所有网络流量，允许合法流量通过防火墙，基于签名的防护可以 准确地识别和拦截已知恶意流量，功能包括： 连接识别连接识别-根据系统接入网络的方式和位置采取不同级别的防护措施。例如，可 以为直接接入 internet 的用户制定较严格的规则，为接入企业域的用户制定较宽松的规 则。 连接隔离连接隔离-在用户接入重要网络（如企业局域网）时拦截不安全网络上的所有流 量。 隔离模式隔离模式-隔离模式有助于预防不安全的客户端感染网络中的其他客户端。 2.3.2 mcafee host intrusion prevention 部部署署 要要求求 mcafee hips 需要结合 mcafee 集中管理平台 epo 一起使用，部署 hips 后将能弥补 防病毒软件在处理和预防病毒威胁方面的不足，更有效的抵御木马程序、病毒的入侵和 网络攻击。因 hips 的规则设定较为复杂，而且还涉及到客户端使用何种互动模式（三种 方式：epo 完全定义