烟草公司网络安全方案建议书.doc

精品文档 1欢迎下载 公司方案建议书 20202020 创明科技创明科技 精品文档 1欢迎下载 目录目录 一 前言 2 二 现状 2 2 1 防火墙与 IPS 需求分析 3 2 2 流量控制需求分析 3 三 解决方案 4 3 1 方案设计 4 3 2 产品部署 4 3 3 方案价值 5 四 推荐产品介绍 6 4 1 绿盟冰之眼安全网关 6 4 2 绿盟冰之眼网络入侵保护系统 7 4 3 西默流量控制系统 9 4 3 1 西默流控价值 9 4 3 2 硬件平台 9 4 3 3 功能特点 10 五 结论 11 精品文档 2欢迎下载 一一 前言前言 随着网络与信息技术的发展 尤其是互联网的广泛普及和应用 网络正逐步改变着人类 的生活和工作方式 越来越多的政府 企业组织建立了依赖于网络的业务信息系统 比如电 子政务 电子商务 网上银行 网络办公等 对社会的各行各业产生了巨大深远的影响 信 息安全的重要性也在不断提升 近年来 企业所面临的安全问题越来越复杂 安全威胁正在飞速增长 尤其混合威胁的 风险 如黑客攻击 蠕虫病毒 木马后门 间谍软件 僵尸网络 DDoS 攻击 垃圾邮件 网 络资源滥用 P2P 下载 IM 即时通讯 网游 视频 等 极大地困扰着用户 给企业的信息 网络造成严重的破坏 能否及时发现并成功阻止网络黑客的入侵 带宽滥用 提高保证计算机和网络系统的安 全和正常运行便成为企业所面临的一个重要问题 二二 现状现状 说起网络安全 相信许多人已经不陌生了 可能都曾遇到过下面这些情况 没有及时安装新发布的一个安全补丁 造成服务器宕机 网络中断 蠕虫病毒爆发 造成网络瘫痪 无法网上办公 邮件收不了 网页打不开 有的员工使用 BT 电驴等 P2P 软件下载电影或 MP3 造成上网速度奇慢无比 有的员工沉迷在 QQ 或 MSN 上聊天 或者玩反恐精英 传奇等网络游戏 或者看在线视 频 不专心工作 由于员工电脑被植入间谍软件 导致公司机密资料被窃 部分员工电脑成为僵尸网络的 肉机 向外网发起 DOS 攻击 引起公安部门注意并上 门进行调查 根据调查数据显示 以上事件呈逐年上升趋势 给企业造成越来越大的直接和间接损失 精品文档 3欢迎下载 2 1 2 1 防火墙防火墙与与 IPSIPS 需求分析需求分析 绝大多数人在谈到网络安全时 首先会想到 防火墙 企业一般采用防火墙作为安全 保障体系的第一道防线 防御黑客攻击 xx 烟草前几年已经部署过防火墙 但由于使用时间 过长 且目前为止已经重复维修过两次 本次需要重新购置防火墙替换原来的旧设备 但是 随着攻击者知识的日趋成熟 攻击工具与手法的日趋复杂多样 单纯的防火墙已经无法满足 企业的安全需要 xx 烟草部署了防火墙的安全保障体系仍需要进一步完善 传统防火墙的不足主要体现在以下几个方面 防火墙作为访问控制设备 无法检测或拦截嵌入到普通流量中的恶意攻击代码 比如针 对 WEB 服务的 Code Red 蠕虫等 有些主动或被动的攻击行为是来自防火墙内部的 防火墙无法发现内部网络中的攻击行 为 作为网络访问控制设备 受限于功能设计 防火墙难以识别复杂的网络攻击并保存相关 信息 以协助后续调查和取证工作的开展 鉴于此 xx 烟草需更换原有防火墙和 IPS 一起组建单位的边界防护体系 保障单位信息系统 安全和安全运行 2 2 2 2 流量控制需求分析流量控制需求分析 目前 xx烟草缺少针对带宽管理及内部流量进行有效分析流量控制设备 当网络出现速 度慢 想要查看网络流量分布情况 哪些IP或者协议占用大量带宽资源的时候 通过现有网 络设备无法实现 网络带宽经常被点对点应用例如BT 迅雷等下载工具占用 这些程序由于 端口可变 非常难于察觉和管理 如果放任不管 就会抢占大量的带宽和链接 时下流行的 pps 风行 在线视频等流媒体也充斥着我们的网络 通过查看 我们带宽的80 左右都被这 些应用所占用 不但单位的带宽没有得到有效利用 也严重影响了我们的员工的办公效率 并且一些下载常常伴随着病毒 木马等攻击 一旦被我们的员工下载到我们的内部网络会对 我们的网络造成严重的冲击 严重的时候有可能导致单位内部网络的瘫痪 签于此 我们需要一台流量控制产品来有效管理单位的带宽 实时查看流量分布情况 并进 行有效监督 精品文档 4欢迎下载 三三 解决方案解决方案 3 1 3 1 方案设计方案设计 针对目前流行的蠕虫 病毒 间谍软件 垃圾邮件 DDoS 等黑客攻击 以及网络资源滥 用 P2P 下载 IM 即时通讯 网络游戏 在线视频 在线炒股 通过部署防火墙 IPS 流控来组建一套安全防护体系 提供了完善的安全防护方案 防火墙作为安全防护体系的第 一道防线 网络入侵保护系统 以下简称 IPS 作为一种在线部署的产品 其设计目标 旨在准确监测网络异常流量 自动对各类攻击性的流量 尤其是应用层的威胁进行实时阻断 而不是在监测到恶意流量的同时或之后才发出告警 用此产品弥补防火墙 入侵检测等产品 的不足 提供动态的 深度的 主动的安全防御 流量控制产品则实时查看流量情况 动态 调整带宽 监测异常流量 通过此三类产品的部署 实现 xx 烟草有效的安全防护体系 保 障网络安全有效的运行 3 2 3 2 产品部署产品部署 精品文档 5欢迎下载 产品部署图 防火墙防火墙 做为 xx 烟草安全防护的第一道防线 可有效防止三层以下的网络攻击 入侵防御入侵防御 实时 主动拦截黑客攻击 蠕虫 网络病毒 后门木马 DDoS 等恶意流量 保护 xx 烟 草信息系统和网络架构免受侵害 防止操作系统和应用程序损坏或宕机 流量控制流量控制 阻断一切非授权用户流量 管理合法网络资源的利用 有效保证关键应用全天候畅通无 阻 通过保护关键应用带宽来不断提升企业 IT 产出率和收益率 上网行为监管上网行为监管 通过流控产品的上网行为管理全面监测和管理 IM 即时通讯 P2P 下载 网络游戏 在线 视频 以及在线炒股等网络行为 协助企业辨识和限制非授权网络流量 更好地执行企业的 安全策略 3 3 3 3 方案价值方案价值 1 让用户省钱 解决用户最紧急 最重要的安全问题 同时满足合规性要求 解决方案通过合理的方案设计 产品组合提升企业 ROI 投资回报率 2 让用户省力 解决方案通过统一的集中策略管理 全中文操作界面 丰富的中文报表 自动化规 则库升级 让用户简单易用 轻松管理 减轻管理人员的工作负担 3 让用户放心 方案推荐的安全产品都经过众多用户的实际环境使用和长时间的稳定性验证 专业 的方案和产品保证客户业务连续 稳定 可靠运行 让用户放心 4 让用户省心 提供专家级产品实施及技术支持服务保障 让网管人员省心 精品文档 6欢迎下载 四四 推荐产品介绍推荐产品介绍 4 1 4 1 绿盟冰之眼安全网关绿盟冰之眼安全网关 绿盟冰之眼安全网关 ICEYE SG 是绿盟自主研发的面向应用的下一代多功能安全网关 产品 实现防火墙 vpn 抗 DDOS 攻击等功能 满足用户多种防护需要 冰之眼安全网关具有以下特点 多核 ASIC 的高性能硬件平台 冰之眼安全网关采用 多核 ASIC 硬件平台整合技术 使硬件平台更加安全 可靠和高效 独特的 多核 处理技术大大提高了针对应用业务安全防护的处理能力 ASIC 芯片提供网络 处理的硬件加速 提高网关产品的网络处理能力 冰之眼安全网关实现多业务并行处理 极 大得提高了处理速度 很好地解决了网关类产品的性能瓶颈问题 高性能的防火墙 绿盟安全网关采用智能状态检测技术 支持路由 透明 混合模式部署 可实现基于源 目的 IP 地址 协议 端口 时间 用户 vlan vpn 安全区的访问控制 绿盟安全网关支 持基于策略的双向 NAT 动态 静态 NAT 端口 PAT 支持静态路由 动态路由 策略路由 支持 DNS DHCP vlan trunk 丰富的 VPN 特性 冰之眼安全网关集成 IPSec 和 SSL 等多种成熟 VPN 接入技术 保证移动用户 合作伙伴 和分支机构安全 便捷的接入 支持网状 星型等多种 VPN 组网方式支持 强大的防御能力 冰之眼安全网关实现对 Synflood Icmpflood Udpflood 等流量型 DDoS 防御 还提供 CC 攻击等应用层 DDoS 防御 同时还实现基于对象的虚拟 IPS 防御各种攻击 如远程扫描 暴力破解 缓存区溢出 蠕虫病毒 木马后门 SQL 注入防护 跨站脚本防护等 实用的上网管理 冰之眼安全网关采用业界领先的协议识别和智能关联技术 提供用户认证功能 针对用 户上网行为 网络应用行为和业务运维行为进行智能多维度网络行为管理 方便灵活的功能扩展 冰之眼安全网关中除了强大的防火墙功能以外 还完美的融合了抗 DDOS 攻击 IPS 防 病毒 VPN WEB 过滤等多种增值功能 多数用户整体购买安全网关类产品后 个别功能从不 启用 导致用户购买成本部分浪费 产品价值也不能充分体现 冰之眼安全网关的各功能采 精品文档 7欢迎下载 用模块化管理 用户可自由选择适合自身网络环境和业务系统的功能模块 升级包激活方便 快捷 真正做到物尽其用 统一的安全中心 支持统一安全中心管理平台 实现多款绿盟冰之眼安全产品统一管理 包括日志分析 策略配置 报警信息等 安全事件统一报警功能 节省了存储空间 多台设备安全策略统一 配置 降低了用户的维护成本 4 2 4 2 绿盟冰之眼网络入侵保护系统绿盟冰之眼网络入侵保护系统 针对目前流行的蠕虫 病毒 间谍软件 垃圾邮件 DDoS 等黑客攻击 以及网络资源滥 用 绿盟科技提供了冰之眼网络入侵保护系统冰之眼网络入侵保护系统 ICEYE Network Intrusion Prevention System 简称 ICEYE NIPS 这是绿盟科技自主知识产权的新一代安全产品 作为一种在 线部署的产品 其设计目标旨在准确监测网络异常流量 自动对各类攻击性的流量 尤其是 应用层的威胁进行实时阻断 而不是在监测到恶意流量的同时或之后才发出告警 这类产品 弥补了防火墙 入侵检测等产品的不足 提供动态的 深度的 主动的安全防御 为企业提 供了一个全新的入侵保护解决方案 精品文档 8欢迎下载 冰之眼网络入侵保护系统采用先进的体系架构集成领先的安全技术 深度融合的防火墙 IPS IDS 集成平台开创了世界先河 独一无二的设计使冰之眼 NIPS 为用户提供从链路层到 应用层的深度安全防护 圆满解决了防火墙静态防御和 IPS 动态防御的融合难题 冰之眼网络入侵保护系统具有以下特点 采用高性能多核处理器 具备卓越的多千兆处理性能 同时配置丰富的工作接口 为企业提供更高性能和更多链路的安全防护 全面精细的漏洞保护能力 综合防火墙静态防御和 IPS 动态防御技术 为企业提供 从网络层 应用层到内容层的深度安全防护 独有的协议识别技术能够识别超过 100 种应用层协议 拥有覆盖广泛 超过 2000 条获得 CVE 最高级别兼容性认证的攻击规则库 主动防御各类已知和未知攻击 提供业界领先的基于对象的虚拟系统 VIPS 针对不同的网络环境和安全需求 实现面向不同对象 执行不同策略的智能化入侵防御 新一代专家级抗 DDoS 攻击防护能力 全面防御常规 flood 攻击和 CC 等应用层 DoS 攻击 强大丰富的管理能力 同时支持 B S 和 C S 两种管理方式 通过控制台实现单级 多级和主辅管理 灵活的 2 层 3 层混合部署 具备基于二层和三层的混合部署模式 能够灵活接入各 种复杂的网络环境 以满足企业多样化的部署需求 高可用性部署 拥有丰富的 HA 功能 支持 Active Active 和 Active Standby 两种 工作模式 当单台 IPS 产品出现故障时 会自动将网络服务平滑切换到另外一台正 精品文档 9欢迎下载 常运行的 IPS 上 确保用户网络不中断 稳定运行 支持热插拔的冗余电源 完善 的 BYPASS 解决方案确保设备高可用 4 3 4 3 西默流量控制系统西默流量控制系统 4 3 1 4 3 1 西默流控价值西默流控价值 通过西默智能流量控制设备保证您重要业务应用所需的网络带宽 实现网络为工作 业 务运作 服务的目标 1 核心业务系统所需的网络带宽有保障 保证业务运作与工作的高效进行 2 对非工作使用网络可根据需要是否设限 3 通过四到七层的网络交换技术 从应用层面解决了上述问题 4 实时监看内网流量 掌握网络资源使用情况 丰富的历史报表 便于事后查询 5 把握网络流量运行状况 应对突发事故 6 优化带宽资源配置 降低网络费用 7 可针对 session 数高的应用服务如 P2P 等作限制 提供基于 IP 应用 网络出口的实 时流量分析 8 针对关键应用 P2P 等大流量应用做带宽策略 9 丰富的流量报表 基于用户及应用的报表分析 并可根据情况自定义报表类型 4 3 2 4 3 2 硬件平台硬件平台 西默智能流量控制产品采用 ASIC NP 多核处理器的架构设计 利用 ASIC NP 在快速路 径对数据包进行处理 把处理相对比较简单 但是流量很大的 快速路径 从处理器上 卸 载 Offload 下来 把 宝贵 的处理器资源留给复杂的协议处理和报文的深度检测 另 一方面 因为 ASIC NPU 本身又具有很高带宽的外部接口 具有很强的报文处理能力 可以 为用户提供 G 级的处理能力 西默智能流量控制产品最大提供 4G 的吞吐量 可以满足广大 用户的需求 精品文档 10欢迎下载 4 3 3 4 3 3 功能特点功能特点 协议识别 西默流量控制产品 通过自带的协议库支持识别常见的 P2P 类应用 并通过自动更新功 能保证协议库的最新 自定义协议可以根据您的需要添加 通过 DPI 技术 深层分析所有数 据 对带宽进行管理 流量管理 通过流量控制和上网行为管理技术 过滤掉非业务数据 优化企业网络的出口带宽 通 过系统自带的带宽分配模板 为您的网络提供最优化的带宽分配方案 上网行为管理 可以智能对网页的内容和类型进行过滤 有效阻止有病毒和挂马的网站 系统内置有强大的不法 URL 库可以提供定期升级 可以添加和删除网管自定义的网址 可以智能对网页的内容和类型进行过滤