03.H3C网络安全系统规划方案投标建议书.doc
《03.H3C网络安全系统规划方案投标建议书.doc》由会员分享,可在线阅读,更多相关《03.H3C网络安全系统规划方案投标建议书.doc(41页珍藏版)》请在文库网上搜索。
1、()网络安全系统规划方案网络安全系统规划方案杭州华三通信技术有限公司杭州华三通信技术有限公司20072007 年年 4 4 月月 ()安全规划方案)安全规划方案 杭州华三通信技术有限公司 http:/www.huawei-第 2 页目目 录录一、一、安全系统整体规划安全系统整体规划.31.1.方案设计原则.31.2.安全体系模型.41.3.方案设计思路.5二、二、网络及安全现状分析网络及安全现状分析.72.1.网络结构分析.72.2.安全层次的分析模型.82.3.安全需求分析.92.3.1.网络层.92.3.2.系统层.102.3.3.管理层.102.3.4.用户层.112.4.安全需求总结.
2、11三、三、()网络安全整体解决方案)网络安全整体解决方案.133.1.()网络安全总体方案.133.1.1.基础设施安全部署.153.1.2.防火墙系统防护方案.203.1.3.建立内部入侵防御机制.233.1.4.建立入侵防御机制.253.1.5.建立端点准入控制系统.273.1.6.完善的病毒防范机制.283.1.7.防DOS设备安全防护方案.303.1.8.网络漏洞扫描机制.303.1.9.建立科学的安全管理机制.33四、四、安全方案总结安全方案总结.36 ()安全规划方案)安全规划方案 杭州华三通信技术有限公司 http:/www.huawei-第 3 页一、一、安全系统整体规划安全
3、系统整体规划1.1. 方案设计原则方案设计原则在规划()信息系统安全时,我们将遵循以下原则,以这些原则为基础,提供完善的体系化的整体网络安全解决方案体系化设计原则体系化设计原则通过分析信息网络的网络层次关系、安全需求要素以及动态的实施过程,提出科学的安全体系和安全模型,并根据安全体系和安全模型分析网络中可能存在的各种安全风险,针对这些风险以动态实施过程为基础,提出整体网络安全解决方案,从而最大限度地解决可能存在的安全问题。全局性、均衡性原则全局性、均衡性原则安全解决方案的设计从全局出发,综合考虑信息资产的价值、所面临的安全风险,平衡两者之间的关系,根据信息资产价值的大小和面临风险的大小,采取不
4、同强度的安全措施,提供具有最优的性能价格比的安全解决方案。可行性、可靠性原则可行性、可靠性原则在采用全面的网络安全措施之后,应该不会对()的网络上的应用系统有大的影响,实现在保证网络和应用系统正常运转的前提下,有效的提高网络及应用的安全强度,保证整个信息资产的安全。可动态演进的原则可动态演进的原则方案应该针对()制定统一技术和管理方案,采取相同的技术路线,实现统一安全策略的制定,并能实现整个网络从基本防御的网络,向深度防御的网络以及智能防御的网络演进,形成一个闭环的动态演进网络安全系统。 ()安全规划方案)安全规划方案 杭州华三通信技术有限公司 http:/www.huawei-第 4 页1.
5、2. 安全体系安全体系模型模型安全方案必须架构在科学的安全体系和安全模型之上,因为安全模型是安全方案设计和分析的基础。只有在先进的网络安全理论模型的基础上,才能够有效地实现我们在上面分析的网络安全系统规划的基本原则,从而保证整个网络安全解决方案的先进性。为了系统、科学地分析网络安全方案涉及的各种安全问题,在大量理论分析和调查研究的基础上,H3C 公司提出了 i3SAFE 网络安全模型,以此模型为基础,可以进行整个网络安全体系的有效的分析与合理规划。下面我们对此网络安全模型进行具体的阐述和说明:i3SAFE 安全理论模型示意图i3SAFE 安全理论模型是一个三维立体结构,基于此三维结构安全理论模
6、型,形成一个智能的(intelligence) ,集成的(integrated) ,定制的(individuality)的网络安全解决方案,真正达到 SAFE 的目的,下面是每个层次的详细分析描述:第一维为应用层次维:这个维度实现对整个信息体系进行描述,通过这个维度,以层次化对整个信息体系进行划分,层次的划分依据信息体系的建设结构,把整个信息体系划分为网络层:提供信息流通的平台;用户层:信息应用的终端;业务层:信息应用的提供层。通过这种抽象的层次的划分,可以以不同的层次对象为目标,分析这些层次对不同的安全服务要素 ()安全规划方案)安全规划方案 杭州华三通信技术有限公司 http:/www.h
7、uawei-第 5 页的需求情况,进行层次化的、有针对性的系统安全需求分析。第二维为网络空间维:这个维度从实际的信息系统结构的组成的角度,对信息系统进行模块化的划分。基本的模块可以划分为桌面、服务器、外网、内网等几个模块,这些模块的划分可以根据需要进行组合或者细化,进行模块划分的主要目的是为前面相对抽象的安全需求分析提供具体可实施的对象,保证整个安全措施有效可实施性。第三维为业务流程维:这个维度主要描述一个完善的网络安全体系建设的流程,这个流程主要的参考P2DR 模型,以我们前面进行的需求分析为基础,制定统一的安全策略,同时通过预防(Harden) 、保护(Protect)、检测(Detect
8、)、响应(Respond)以及改进(Improve),形成一个闭环的网络安全措施流程。纵深维为安全管理维:贯穿于上述三个维度,以及各个维度内部各个层次的是安全管理,我们认为,全面的安全管理是信息网络安全的一个基本保证,只有通过切实的安全管理,才能够保证各种安全技术能够真正起到其应有的作用,常言说:“三分技术,七分管理” ,安全管理是保证网络安全的基础,安全技术只是配合安全管理的有效的辅助措施。1.3. 方案设计思路方案设计思路通过上述三维安全理论模型,我们可以比较清晰的分析出在一个信息网络系统中,不同系统层次有各自的特点,对安全服务要素的不同的需求的强度,依据这些安全服务要素需求的重点不同,基
9、于这些层次对应的实际结构模块,有针对性地采用一些安全技术和安全产品来实现这些安全服务要素,这些措施形成本层次的安全防护面,不同的层次相互组合衔接,形成一个立体的网络安全防御体系。在下面的()信息系统安全方案设计中,我们将首先通过信息网络的层次划分,把其安全系统划分成若干个安全层次,并针对每一个安全层次,分析其业务安全需求,提出安全解决方案,最后形成一个全面的安全解决方案。同时在方案的设计过程中,遵循我们安全理论模型中的业务流程体系,对所采取的安全措施进行实施阶段的划分,形成一个动态的、可调整的具有强大实施能力的整体安全解决方案。 ()安全规划方案)安全规划方案 杭州华三通信技术有限公司 htt
10、p:/www.huawei-第 6 页另外,我们认为,网络安全是一个动态的全面的有机整体,传统的网络安全产品单独罗列在网络之上的单点防御部署方法,事实已经证明不能够及时有效的解决网络的威胁,网络安全已经进入人民战争阶段,必须有效整合网络中的每一个节点设备资源,通过加固、联动、嵌入等多种技术手段使安全因素 DNA 渗透到网络的每一个设备中,为用户提供一个可实现可管理的安全网络。借助多年的网络产品研发经验,H3C 已经能够为用户提供多种安全网络构成产品技术,如具有安全特征的网络基础设备、能够与核心路由器、交换机联动的安全设备,安全设备间联动、核心交换机/路由器上的嵌入式安全模块,智能集中策略管理中
11、心等等,用户可以根据网络业务需求选择应用。 ()安全规划方案)安全规划方案 杭州华三通信技术有限公司 http:/www.huawei-第 7 页二、二、网络及安全现状分析网络及安全现状分析2.1. 网络结构分析网络结构分析网络为典型的二级结构,其中核心区是一台 7505R,服务器群和 Internet 对外访问链路都接在此核心设备上,向下分为二级交换结构。用来连接内部各个网段。 ()安全规划方案)安全规划方案 杭州华三通信技术有限公司 http:/www.huawei-第 8 页2.2. 2.2. 安全层次的安全层次的分析模型分析模型以前面介绍的三维安全理论模型为基础,参照我们进行的信息网络
12、系统的层次划分,我们认为整个网络安全系统可以划分为以下几个层次,分别为: 1.网络层:核心的安全需求为保证网络数据传输的可靠性和安全性,防范因为物理介质、信号辐射等造成的安全风险,保证整体网络结构的安全,保证网络设备配置的安全、同时提供网络层有效的访问控制能力、提供对网络攻击的实时检测能力等。2.系统层:核心的安全需求为能够提供机密的、可用的网络应用服务,包括业务数据存储和传输的安全,业务访问的身份认证及资源访问权限分配,业务访问的有效的记录和审计,以及特殊应用模式的安全风险:比如垃圾 Mail、Web 攻击等。3.管理层:严格规范的管理制度是保证一个复杂网络安全运行的必要条件,通过提供安全的
13、、简便的和功能丰富的统一管理平台,创建全网统一的管理策略,及时对网络进行监控、分析、统计和安全机制的下发,既便于信息的及时反馈和交换,又便于全网统一的安全管理策略的形成。4.应用层:核心的安全需求为保证用户节点的安全需求,保证用户操作系统平台的安全,防范网络防病毒的攻击,提高用户节点的攻击防范和检测能力;同时加强对用户的网络应用行为管理,包括网络接入能力以及资源访问控制能力等。漏洞检测漏洞检测入侵扫描入侵扫描WindowsNTWindowsNT安全设置安全设置数据库数据库安全机制安全机制应用系统应用系统安全机制安全机制UNIXUNIX安全设置安全设置可靠性安全措施可靠性安全措施路由认证与过滤路
14、由认证与过滤交换机交换机VLANVLAN技术技术AAAAAA访问认证访问认证网网络络层层安安全全网网络络层层安安全全管管理理层层安安全全管管理理层层安安全全应应用用层层安安全全应应用用层层安安全全系系统统层层安安全全系系统统层层安安全全安安全全体体系系总总体体结结构构安安全全体体系系总总体体结结构构安全管理安全管理制度制度计算机计算机病毒防范病毒防范甘甘肃肃网网通通甘甘肃肃网网通通城城域域数数据据网网城城域域数数据据网网VPNVPN接入技术接入技术安全应用安全应用平台平台硬件防火墙硬件防火墙()网络 ()安全规划方案)安全规划方案 杭州华三通信技术有限公司 http:/www.huawei-第
15、 9 页下面我们将通过分析在前面描述的德州环抱局的网络及应用现状,全面分析归纳出在不同层次的安全需求。2.3. 2.3. 安全需求分析安全需求分析2.3.1. 2.3.1. 网络层网络层网络层的核心的安全需求为保证网络数据传输的可靠性和安全性,存在的安全风险主要包括以下几个方面:1)线路的物理安全以及信号辐射的风险:局域网线路采用综合布线系统,基本不存在太大的物理安全问题。广域通信线路的如果是租用 ISP 供应商线路的方式,不会存在太大的安全风险,ISP 供应商已经采取了足够的物理保护措施以及线路冗余措施;如果是独立进行的线路铺设,需要采取物理保护、有效标示等防范措施; 通信线路的信号辐射风险
16、可以采用比较有效的方式为:屏蔽式线缆,线路电磁屏蔽、或者光通信等方式,相对来说信号辐射造成的安全风险不是太大,在一般安全需求强度的应用环境下,不需要采取太多的防范措施。2)网络结构以及网络数据流通模式的风险:现有主要的网络结构为星形、树形、环形以及网状,随着网络节点间的连接密度的增加,整个网络提供的线路冗余能力也会增加,提供的网络数据的流动模式会更灵活,整个网络可靠性和可用性也会大大的增加。()的网络结构,能够满足数据流动模式的需求,是一种性价比最高的连接方式,为了保证网络系统的可靠性,将来可以采取的有效可行的措施是加强线路备份措施的实施。3)网络设备安全有效配置的风险:网络设备是网络数据传输
17、的核心,是整个网络的基础设施,各种网络设备本身的安全与可靠性以及这些设备上应用策略的安全都需要进行合理的配置才能够保证。4)网络攻击行为的检测和防范的风险: ()安全规划方案)安全规划方案 杭州华三通信技术有限公司 http:/www.huawei-第 10 页基于网络协议的缺陷,尤其是 TCP/IP 协议的开放特性,带来了非常大的安全风险,常见的 IP 地址窃取、IP 地址假冒,网络端口扫描以及危害非常大的拒绝服务攻击(DOS、DDOS)等,必须能够提供对这些攻击行为有效的检测和防范能力的措施。5)网络数据传输的机密性和完整性的风险:网络数据在传输的过程中,很可能被通过各种方式窃取,因此保证
18、数据在传输的过程中机密性(保证数据传递的信息不被第三方获得),完整性(保证数据在传递过程中不被人修改)是非常重要的,尤其是在传递的信息的价值不断提高情况下。2.3.2. 系统层系统层1)服务器及数据存储系统的可用性风险:业务系统的可靠性和可用性是网络安全的一个很重要的特性,必须保证业务系统硬件平台(主要是大量的服务器)以及数据硬件平台(主要是存储系统)的可靠性。2)操作系统和网络服务平台的安全风险:通过对各种流行的网络攻击行为的分析,可以发现绝大多数的攻击是利用各种操作系统和一些网络服务平台存在的一些已公开的安全漏洞发起,因此,杜绝各种操作系统和网络服务平台的已公开的安全漏洞,可以在很大程度上
19、防范系统攻击的发生。3)用户对业务访问的有效的记录和审计:业务系统必须能够对用户的各种访问行为进行详细的记录,以便进行事后查证。2.3.3. 管理层管理层1) 用户身份认证及资源访问权限的控制:由于网络中的各个应用系统上有很多信息是提供给不同权限用户查阅的,不同级别、不同部门、不同人员能够访问的资源都不一样,因此需要严格区分用户的身份,设置合理的访问权限,保证信息可以在被有效控制下共享。2) 来自不同安全域的访问控制的风险: ()安全规划方案)安全规划方案 杭州华三通信技术有限公司 http:/www.huawei-第 11 页网络结构越来越复杂,接入网络的用户也越来越多,必须能够在不同的网络
20、区域之间采取一定的控制措施,有效控制不同的网络区域之间的网络通信,以此来控制网络元素间的互访能力,避免网络滥用,同时实现安全风险的有效的隔离,把安全风险隔离在相对比较独立以及比较小的网络区域。3) 用户网络访问行为有效控制的风险:首先需要对用户接入网络的能力进行控制,同时需要更细粒度的访问控制,尤其是对 Internet 资源的访问控制,比如应该能够控制内部用户访问 Internet 的什么网站。在此基础之上,必须能够进行缜密的行为审计管理。2.3.4. 用户层用户层4)用户操作系统平台安全漏洞的风险:大部分的网络攻击行为以及网络病毒的传播都是由于操作系统平台本身存在的安全漏洞,微软不断发布系
21、统补丁即是明证,因此必须有效避免系统漏洞造成的安全风险,同时对操作系统的安全机制进行合理的配置。5)用户主机遭受网络病毒攻击的风险:网络给病毒的传播提供了很好的路径,网络病毒传播速度之快、危害之大是令人吃惊的,特别是最近开始流行的一些蠕虫病毒,更是防不胜防,环境下必须建设全面的网络防病毒系统,层层设防,逐层把关,堵住病毒传播的各种可能途径。6)针对用户主机网络攻击的安全风险:目前 Internet 上有各种完善的网络攻击工具,在局域网的环境下,这种攻击会更加有效,针对的目标会更加明确,据统计,有 97的攻击是来自内部的攻击,而且内部攻击成功的概率要远远高于来自于 Internet 的攻击,造成
22、的后果也严重的多。2.4. 安全需求总结安全需求总结通过以上分析,()网络系统最迫切需要解决的问题包括:1在网络边界部署防火墙系统,它可以对整个网络进行网络区域分割,提供基于 IP 地址 ()安全规划方案)安全规划方案 杭州华三通信技术有限公司 http:/www.huawei-第 12 页和 TCP/IP 服务端口等的访问控制;对常见的网络攻击方式,如拒绝服务攻击(ping of death, land, syn flooding, ping flooding, tear drop, )、端口扫描(port scanning)、IP 欺骗(ip spoofing)、IP 盗用等进行有效防护;
23、并提供 NAT 地址转换、流量限制、用户认证、IP 与 MAC 绑定等安全增强措施。2部署 IPS 入侵防御系统,及时发现并过滤来自内部和外部网络的非法入侵和扫描,并对所有的网络行为进行详细的审计,对恶意的网络活动进行追查,对应用流量和服务器群进行保护。3部署全网统一的防病毒系统,保护系统免受病毒威胁。4提供终端用户行为管理工具,强制规范终端用户行为,终端用户安全策略集中下发,实时审计。5网络中部署的各种安全产品不再孤立,提供多种安全产品/网络设备联动防御,防火墙,IPS,交换机,防病毒、身份认证,策略管理、终端用户行为规范工具之间能够集中联动,主动动态防御。6提供灵活智能的安全策略/设备集中
24、管理中心平台,制定符合()实际需求的安全管理规定。 ()安全规划方案)安全规划方案 杭州华三通信技术有限公司 http:/www.huawei-第 13 页三、三、()网络安全整体解决方案)网络安全整体解决方案3.1. ()网络安全总体方案)网络安全总体方案在()总体安全规划设计中,我们将按照安全风险防护与安全投资之间的平衡原则(主要包括层次化的综合防护原则和不同层次重点防护原则),提出以下的安全风险和防护措施,从而建立起全防御体系的信息安全框架。由此,在本期总体安全规划建设中,应主要针对()的薄弱环节,构建完善的网络边界防范措施、网络内部入侵防御机制、完善的防病毒机制、增强的网络抗攻击能力以
25、及网络系统漏洞安全评估分析机制等。详细描述如下:首先,是对网络边界安全风险的防护首先,是对网络边界安全风险的防护对于一个网络安全域(局域网网络内部相对来说认为是安全的)来说,其最大的安全风险则是来自网络边界的威胁,其中包括非授权访问、恶意探测和攻击、非法扫描等。而对于()网络来说,互联网及相对核心网的网络均为外网,它们的网络边界处存在着内部或外部人员的非授权访问、有意无意的扫描、探测,甚至恶意的攻击等安全威胁,而防火墙系统则是网络边界处最基本的安全防护措施,而互联网出口更是重中之重,因此,很有必要在互联网出口出部署防火墙系统,建议配置两台高性能千兆防火墙组成双机热备系统,以保证网络高可用性。其
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 03. H3C 网络安全 系统 规划 方案 投标 建议书