【正文】 1 / 25網(wǎng)絡(luò)安全解決方案二零零八年八月2 / 25目 錄第一章網(wǎng)絡(luò)安全設(shè)計(jì)方案矚慫潤(rùn)厲釤瘞睞櫪廡賴賃軔朧礙鱔絹。 安全設(shè)計(jì)策略聞創(chuàng)溝燴鐺險(xiǎn)愛(ài)氌譴凈禍測(cè)樅鋸鰻鯪。 具體產(chǎn)品選型及配置方案殘騖樓諍錈瀨濟(jì)溆塹籟婭騍東戇鱉納。捷普防火墻系統(tǒng)釅錒極額閉鎮(zhèn)檜豬訣錐顧葒鈀詢鱈驄。專用的安全操作系統(tǒng)彈貿(mào)攝爾霽斃攬磚鹵廡詒爾膚億鰾簡(jiǎn)。專用的硬件平臺(tái)謀蕎摶篋飆鐸懟類蔣薔點(diǎn)鉍雜簍鰩驅(qū)。專用的軟件系統(tǒng)廈礴懇蹣駢時(shí)盡繼價(jià)騷巹癩龔長(zhǎng)鰥檷。捷普入侵檢測(cè)系統(tǒng)煢楨廣鰳鯡選塊網(wǎng)羈淚鍍齊鈞摟鰨饗。網(wǎng)絡(luò)防病毒系統(tǒng)鵝婭盡損鵪慘歷蘢鴛賴縈詰聾諦鰭皚。公司背景籟叢媽羥為贍僨蟶練淨(jìng)櫧撻曉養(yǎng)鰲頓。產(chǎn)品指標(biāo)分析預(yù)頌圣鉉儐歲齦訝驊糴買闥齙絀鰒現(xiàn)。主要優(yōu)勢(shì)滲釤嗆儼勻諤鱉調(diào)硯錦鋇絨鈔陘鰍陸。產(chǎn)品功能鐃誅臥瀉噦圣騁貺頂廡縫勵(lì)羆楓鱷燭。福建榕基漏洞掃描系統(tǒng)擁締鳳襪備訊顎輪爛薔報(bào)贏無(wú)貽鰓閎。榕基掃描器系列化產(chǎn)品贓熱俁閫歲匱閶鄴鎵騷鯛漢鼉匱鯔潰。榕基掃描器技術(shù)基礎(chǔ)壇摶鄉(xiāng)囂懺蔞鍥鈴氈淚躋馱釣繢鯨鎦。第二章、產(chǎn)品選配 列表蠟變黲癟報(bào)倀鉉錨鈰贅籜葦繯頹鯛潔。第三章網(wǎng)絡(luò)安全建設(shè)實(shí)施方案買鯛鴯譖曇膚遙閆擷凄屆嬌擻歿鯰錆。 工程實(shí)施承諾及目標(biāo)綾鏑鯛駕櫬鶘蹤韋轔糴飆鈧麥蹣鯢殘。 產(chǎn)品質(zhì)量保證 驅(qū)躓髏彥浹綏譎飴憂錦諑瓊針嚨鯤鏵。 工程質(zhì)量保證 貓蠆驢繪燈鮒誅髏貺廡獻(xiàn)鵬縮職鯡樣。 服務(wù)保證 鍬籟饗逕瑣筆襖鷗婭薔嗚訝擯饃鯫缽。 項(xiàng)目實(shí)施進(jìn)度控制構(gòu)氽頑黌碩飩薺齦話騖門戲鷯瀏鯪晝。 項(xiàng)目實(shí)施內(nèi)容 輒嶧陽(yáng)檉籪癤網(wǎng)儂號(hào)澩蠐鑭釃邊鯽釓。 工程項(xiàng)目整體實(shí)施周期 堯側(cè)閆繭絳闕絢勵(lì)蜆贅瀝紕縭墾鯇換。 項(xiàng)目實(shí)施任務(wù)識(shí)饒鎂錕縊灩筧嚌儼淒儂減攙蘇鯊運(yùn)。系統(tǒng)安裝調(diào)試地點(diǎn) 凍鈹鋨勞臘鍇癇婦脛糴鈹賄鶚驥鯀戲。網(wǎng)絡(luò)安全產(chǎn)品安裝 恥諤銪滅縈歡煬鞏鶩錦聰櫻鄶燈鰷軫。 工程管理與實(shí)施鯊腎鑰詘褳鉀溈懼統(tǒng)庫(kù)搖飭緡釷鯉憮。 用戶培訓(xùn)碩癘鄴頏謅攆檸攜驤蘞鷥膠據(jù)實(shí)鰹贏。 培訓(xùn)目的 閿擻輳嬪諫遷擇楨秘騖輛塤鵜蘞鰱幟。 培訓(xùn)內(nèi)容、時(shí)間和組織方式 氬嚕躑竄貿(mào)懇彈瀘頷澩紛釓鄧鰲鱺貼。 培訓(xùn)課程 釷鵒資贏車贖孫滅獅贅慶獷緞瑋鱘將。 驗(yàn)收與測(cè)試慫闡譜鯪逕導(dǎo)嘯畫(huà)長(zhǎng)涼馴鴇撟鉍鲞謠。 逐步擴(kuò)充和穩(wěn)定運(yùn)行觀察期諺辭調(diào)擔(dān)鈧諂動(dòng)禪瀉類謹(jǐn)覡鸞幀鮮奧。 工程進(jìn)度圖嘰覲詿縲鐋囁偽純鉿錈癱懇跡見(jiàn)鮫請(qǐng)。第一章 網(wǎng)絡(luò)安全設(shè)計(jì)方案 安全設(shè)計(jì)策略采用不同的安全產(chǎn)品優(yōu)勢(shì)互補(bǔ)。以有效的保證系統(tǒng)在出現(xiàn)安全問(wèn)題時(shí)，能從不同的側(cè)面有所反映，這樣可以更全面的反映系統(tǒng)的安全現(xiàn)狀，有利于系統(tǒng)安全的全面性。熒紿譏鉦鏌觶鷹緇機(jī)庫(kù)圓鍰緘鶚鱭圓。使用不同等級(jí)的安全產(chǎn)品進(jìn)行集成，在不同的網(wǎng)絡(luò)環(huán)境使用與之相應(yīng)的等級(jí)的安全產(chǎn)品，可以有效的減少系統(tǒng)投資。鶼漬螻偉閱劍鯫腎邏蘞闋簣擇睜鮪謅。在產(chǎn)品選型時(shí)，需要廠家可以提供客戶化支持服務(wù)產(chǎn)品。只有這樣才能保證系統(tǒng)的安全是可以用戶化的，才能有針對(duì)的為用戶的應(yīng)用和業(yè)務(wù)提供安全保證。國(guó)內(nèi)具有自主知識(shí)產(chǎn)權(quán)的安全產(chǎn)品可以隨3 / 25時(shí)根據(jù)用戶的要求對(duì)產(chǎn)品進(jìn)行相應(yīng)的改進(jìn)。使產(chǎn)品更加適合用戶的實(shí)際需要，而不是一般的通用性產(chǎn)品。紂憂蔣氳頑薟驅(qū)藥憫騖覲僨鴛鋅鮚嗚。采用可以提供分級(jí)、分布、集中管理控制并可進(jìn)行互動(dòng)的產(chǎn)品。由于網(wǎng)絡(luò)和系統(tǒng)的復(fù)雜性，對(duì)相應(yīng)產(chǎn)品的管理控制提出了更高的要求，不但可以進(jìn)行集中、分布的管理控制，還能夠進(jìn)行分級(jí)的管理控制以適應(yīng)大規(guī)模網(wǎng)絡(luò)的需要，同時(shí)不同安全產(chǎn)品之間應(yīng)能夠進(jìn)行有效的互動(dòng)，以提高系統(tǒng)的防御能力。穎芻莖蛺餑億頓裊賠瀧漲負(fù)這惻鮭觶。在選擇產(chǎn)品時(shí)需要保證符合相應(yīng)的國(guó)際、國(guó)內(nèi)標(biāo)準(zhǔn)，尤其是國(guó)內(nèi)相關(guān)的安全標(biāo)準(zhǔn)。如國(guó)內(nèi)的安全等級(jí)標(biāo)準(zhǔn)、漏洞標(biāo)準(zhǔn)，以及國(guó)際的、 、 、等標(biāo)準(zhǔn)。濫驂膽閉驟羥闈詔寢賻減棲綜訴鮐巹。產(chǎn)品在使用上應(yīng)具有友好的用戶界面，并且可以進(jìn)行相應(yīng)的客戶化工作，使用戶在管理、使用、維護(hù)上盡量簡(jiǎn)單、直觀。銚銻縵嚌鰻鴻鋟謎諏涼鏗穎報(bào)嚴(yán)鮑蠅。建立層次化的防護(hù)體系和管理體系4 / 25 具體產(chǎn)品選型及配置方案 技術(shù)要求防火墻技術(shù)規(guī)范要求如下：防火墻必須獲得公安部頒發(fā)的銷售許可證。從防火墻應(yīng)用和發(fā)展的趨勢(shì)，防火墻應(yīng)以硬件防火墻為主，軟件為輔。應(yīng)具有多種安全防范機(jī)制，支持包過(guò)濾、代理（） 、狀態(tài)監(jiān)測(cè)及以上三者的混合的工作方式。防火墻需支持網(wǎng)管協(xié)議。多種訪問(wèn)控制：防火墻至少應(yīng)能對(duì)地址（源、目的） 、服務(wù)（所有、端口） 、時(shí)間、流量等對(duì)象進(jìn)行控制。擠貼綬電麥結(jié)鈺贖嘵類羋罷鴇竇鮒鑿。具有地址翻譯功能，這包括靜態(tài)地址翻譯和動(dòng)態(tài)雙向地址翻譯。防火墻應(yīng)提供區(qū)功能，對(duì)區(qū)內(nèi)主機(jī)提供有效保護(hù)。防火墻應(yīng)能通過(guò)靜態(tài)地址翻譯和端口翻譯實(shí)現(xiàn)區(qū)內(nèi)各主機(jī)向發(fā)布信息、提供、 、等服務(wù)。賠荊紳諮侖驟遼輩襪錈極嚕辮鏢鱸蕆。防火墻應(yīng)具有防地址欺騙功能。防火墻需具有地址綁定功能。防火墻應(yīng)支持服務(wù)器。防火墻應(yīng)具有入侵監(jiān)測(cè)功能。防火墻必須具有完善的日志功能，能夠記錄受到的攻擊或配置的修改等信息，同時(shí)也應(yīng)具備完善的日志管理和分析系統(tǒng)。塤礙籟饈決穩(wěn)賽釙冊(cè)庫(kù)麩適緄撾鲅傯。防火墻應(yīng)具有和基于內(nèi)容的過(guò)濾功能。防火墻應(yīng)具有透明接入功能。防火墻應(yīng)具有帶寬管理功能。防火墻需具有友好的管理界面。為方便管理，用戶必須能通過(guò)控制臺(tái)、和遠(yuǎn)程管理等方式對(duì)防火墻進(jìn)行管理和軟件升級(jí)。裊樣祕(mì)廬廂顫諺鍘羋藺遞燦擾諗魴莖?？紤]到系統(tǒng)可用性，防火墻最好能支持雙機(jī)熱備。防火墻應(yīng)具備高可靠性，其值必須大于等于小時(shí)。 入侵檢測(cè)系統(tǒng)的技術(shù)規(guī)范要求如下：、入侵檢測(cè)系統(tǒng)要具有性能穩(wěn)定，對(duì)于常見(jiàn)的入侵系統(tǒng)的攻擊手法能清楚識(shí)別，同時(shí)要具有良好的性能價(jià)格比，入侵檢測(cè)的特征庫(kù)的更新升級(jí)與維護(hù)費(fèi)用必須合理或者免費(fèi)。倉(cāng)嫗盤紲囑瓏詁鍬齊驁絛鯛鱧俁魷親。、入侵檢測(cè)系統(tǒng)在設(shè)計(jì)時(shí)要充分分析產(chǎn)品部署的網(wǎng)絡(luò)環(huán)境和位置，實(shí)現(xiàn)對(duì)內(nèi)外網(wǎng)尤其是內(nèi)網(wǎng)（下屬各單位的網(wǎng)絡(luò)用戶入侵）的入侵檢測(cè)。所以要求采用分布式多處設(shè)防，監(jiān)測(cè)中心設(shè)在中心機(jī)房。綻萬(wàn)璉轆娛閬蟶鬮綰瀧恒蟬轅紗魚(yú)臚。、入侵系統(tǒng)要具有良的響應(yīng)方式，如郵件、警報(bào)等。產(chǎn)品要通過(guò)國(guó)家權(quán)威機(jī)構(gòu)的評(píng)測(cè)。、入侵系統(tǒng)要有良好的數(shù)據(jù)收集、分析能力，同時(shí)能與防火墻聯(lián)動(dòng)來(lái)有效的阻斷所發(fā)生的攻擊事件。、在實(shí)現(xiàn)入侵系統(tǒng)時(shí)，要求工程人員能對(duì)現(xiàn)有網(wǎng)絡(luò)設(shè)備設(shè)置端口鏡像，系統(tǒng)要能通過(guò)鏡像端口具有良好的數(shù)據(jù)收集和分析能力，以便管理員進(jìn)行流量和協(xié)議分析。驍顧燁鶚巰瀆蕪領(lǐng)鱺賻驃弒綈閶魎齠。、系統(tǒng)操作簡(jiǎn)單，界面直觀，數(shù)據(jù)可讀性強(qiáng)。、整個(gè)系統(tǒng)對(duì)網(wǎng)絡(luò)的總體性影響要非常小。 設(shè)備選型防火墻系統(tǒng)捷普防火墻是最新研制的防火墻產(chǎn)品。它采用專用的安全操作系統(tǒng)，基于先進(jìn)的動(dòng)態(tài)檢測(cè)技術(shù)，集強(qiáng)大的安全訪問(wèn)控制、高速包過(guò)濾技術(shù)、反入侵與抗攻擊技術(shù)、多級(jí)安全管理技術(shù)、實(shí)時(shí)的安全審計(jì)技術(shù)、應(yīng)用代理技術(shù)、帶寬管理、雙機(jī)熱備、內(nèi)容過(guò)濾、開(kāi)放聯(lián)動(dòng)協(xié)議等多項(xiàng)功能于一體，支持各種網(wǎng)絡(luò)協(xié)議，遵循 （包過(guò)濾防火墻安全技術(shù)要求）和 （應(yīng)用級(jí)防火墻安全技術(shù)要求）兩個(gè)國(guó)家標(biāo)準(zhǔn)，采用標(biāo)準(zhǔn)高度機(jī)箱，符合國(guó)際通用的電氣標(biāo)準(zhǔn)?，嶀暈R曖惲錕縞馭篩涼貿(mào)錒戧晉魘繅。捷普防火墻系統(tǒng)5 / 25專用的安全操作系統(tǒng)捷普防火墻系統(tǒng)基于專用安全網(wǎng)絡(luò)操作系統(tǒng)之上，此安全操作系統(tǒng)是捷普公司參與國(guó)家“計(jì)劃－－ 網(wǎng)絡(luò)安全操作系統(tǒng)”項(xiàng)目的研發(fā)成果，是具有自主版權(quán)的實(shí)時(shí)多任務(wù)安全網(wǎng)絡(luò)操作系統(tǒng)，具有極高的安全性和可靠性。鎦詩(shī)涇艷損樓紲鯗餳類礙穡鰳責(zé)髕鵲。專用的硬件平臺(tái)捷普防火墻采用專用的硬件平臺(tái)，通過(guò)高性能的網(wǎng)絡(luò)處理器和大容量的高速內(nèi)存保證硬件系統(tǒng)的高性能。櫛緶歐鋤棗鈕種鵑瑤錟奧傴輥刪髖綠。專用的軟件系統(tǒng)捷普防火墻在其專用的硬件平臺(tái)和操作系統(tǒng)之上，搭建了專用的軟件系統(tǒng)。 它是集專用硬件基礎(chǔ)平臺(tái)、專用操作系統(tǒng)、專用軟件于一體 的高效硬件防火墻產(chǎn)品。轡燁棟剛殮攬瑤麗鬮應(yīng)頁(yè)諳絞綽髏鱉。系統(tǒng)特點(diǎn)采用自主版權(quán)的專用安全操作系統(tǒng)捷普防火墻建立在自主版權(quán)的專用實(shí)時(shí)多任務(wù)安全網(wǎng)絡(luò)操作系統(tǒng)和專用硬件平臺(tái)之上，由于專用的安全操作系統(tǒng)沒(méi)有后門、漏洞以及多余的服務(wù)，極大的提高了防火墻系統(tǒng)的自身安全性。峴揚(yáng)斕滾澗輻灄興渙藺詐機(jī)憒頇驤經(jīng)。主動(dòng)式黑名單自主防御捷普防火墻可通過(guò)預(yù)設(shè)置的方式，對(duì)于觸犯連接限制上限、訪問(wèn)了非法的資源、感染了病毒或是發(fā)起了攻擊的主機(jī)，主動(dòng)加入黑名單進(jìn)行封鎖，幫助網(wǎng)絡(luò)管理員實(shí)現(xiàn)自動(dòng)化的網(wǎng)絡(luò)防御管理。詩(shī)叁撻訥燼憂毀厲鋨驁靈韜鰍櫝驥鱭。支持多種工作模式支持透明、路由、策略路由、和混合等多種工作模式，適應(yīng)于各種復(fù)雜的網(wǎng)絡(luò)結(jié)構(gòu)。安全有效的管理機(jī)制支持本地管理及遠(yuǎn)程管理方式。提供本地的命令行配置方式；提供基于協(xié)議的遠(yuǎn)程安全管理；基于 的配置管理軟件，易于操作，可遠(yuǎn)程同時(shí)管理多臺(tái)多型號(hào)的防火墻?；诿钚泻偷墓芾斫缑婢捎梅謾?quán)制，不同級(jí)別的管理員有不同的權(quán)限。捷普防火墻還提供了在線幫助，有中英文兩種格式，更方便國(guó)內(nèi)用戶使用。則鯤愜韋瘓賈暉園棟瀧華縉輅贊驏紆。靈活的立體訪問(wèn)控制全面的訪問(wèn)控制策略，支持基于地址、端口號(hào)、服務(wù)協(xié)議、地址、時(shí)間和日期的訪問(wèn)控制；可通過(guò)地址和地址的綁定，防止非法地址盜用。脹鏝彈奧秘孫戶孿釔賻鏘詠繞敘驄驗(yàn)。強(qiáng)大的身份認(rèn)證支持、 、認(rèn)證協(xié)議，確保服務(wù)器和客戶端程序之間通信的可靠性，使網(wǎng)絡(luò)資源的保護(hù)更安全、更可靠?？舍槍?duì)每一位用戶定制網(wǎng)絡(luò)安全規(guī)則，以便對(duì)該用戶網(wǎng)絡(luò)訪問(wèn)動(dòng)作進(jìn)行動(dòng)態(tài)的監(jiān)控。鰓躋峽禱紉誦幫廢掃減萵輳慘纈騾窺?；谝?guī)則的帶寬管理采用基于規(guī)則的帶寬管理方式，配置簡(jiǎn)單靈活，能確保重要部門的網(wǎng)絡(luò)帶寬得到優(yōu)先的保證，更好地優(yōu)化網(wǎng)絡(luò)帶寬的使用，提高網(wǎng)絡(luò)資源的利用率。稟虛嬪賑維嚌妝擴(kuò)踴糶欏灣鯧飫驃餒。全面的連接管理功能能夠限制主機(jī)網(wǎng)段所允許建立的最大并發(fā)連接數(shù)，避免惡意攻擊或網(wǎng)絡(luò)病毒占用防火墻連接資源；能夠手動(dòng)調(diào)整協(xié)議的超時(shí)時(shí)間，根據(jù)實(shí)際網(wǎng)絡(luò)環(huán)境，充分優(yōu)化防火墻性能；同時(shí)提供連接手工阻斷機(jī)制。陽(yáng)簍埡鮭罷規(guī)嗚舊巋錟麗鮑軫溈騫硨。標(biāo)準(zhǔn)的網(wǎng)絡(luò)管理協(xié)議系統(tǒng)支持協(xié)議，用戶使用目前任意一種操作系統(tǒng)平臺(tái)上的網(wǎng)絡(luò)管理軟件都可以對(duì)捷普防火墻進(jìn)行統(tǒng)一的專 用操 作 系 統(tǒng)防火墻軟件系統(tǒng)專 用硬 件 平 臺(tái)6 / 25管理和監(jiān)控。溈氣嘮戇萇鑿鑿櫧諤應(yīng)釵藹紼較騮額。協(xié)議支持捷普防火墻支持 。 它可以作為服務(wù)器，為網(wǎng)絡(luò)中的計(jì)算機(jī)動(dòng)態(tài)地分配地址，方便網(wǎng)絡(luò)的應(yīng)用和地址的管理。鋇嵐縣緱虜榮產(chǎn)濤團(tuán)藺締崳惲囂驁瘋。靈活的支持提供靈活方便的 協(xié)議的接入支持，支持針對(duì)通訊的安全訪問(wèn)控制，可以用防火墻作之間的路由，或者讓信息穿越防火墻。懨俠劑鈍觸樂(lè)鷴燼觶騮揚(yáng)銥鯊臘騖韋。全面的多媒體應(yīng)用支持提供完整的 協(xié)議族支持，方便用戶擴(kuò)展 寬帶接入及電話、視頻會(huì)議、 點(diǎn)播等多媒體應(yīng)用，支持基于的語(yǔ)音、視頻通信。內(nèi)嵌代理，提供對(duì)語(yǔ)音、視頻通信的完整支持。謾飽兗爭(zhēng)詣繚鮐癩別瀘鯽礎(chǔ)輪駭騷獅。卓越的高可用性捷普防火墻支持雙機(jī)熱備功能、對(duì)服務(wù)的負(fù)載均衡能力和基于協(xié)議的鏈路備份功能。