【正文】 1 / 25網絡安全解決方案二零零八年八月2 / 25目 錄第一章網絡安全設計方案矚慫潤厲釤瘞睞櫪廡賴賃軔朧礙鱔絹。 安全設計策略聞創(chuàng)溝燴鐺險愛氌譴凈禍測樅鋸鰻鯪。 具體產品選型及配置方案殘騖樓諍錈瀨濟溆塹籟婭騍東戇鱉納。捷普防火墻系統(tǒng)釅錒極額閉鎮(zhèn)檜豬訣錐顧葒鈀詢鱈驄。專用的安全操作系統(tǒng)彈貿攝爾霽斃攬磚鹵廡詒爾膚億鰾簡。專用的硬件平臺謀蕎摶篋飆鐸懟類蔣薔點鉍雜簍鰩驅。專用的軟件系統(tǒng)廈礴懇蹣駢時盡繼價騷巹癩龔長鰥檷。捷普入侵檢測系統(tǒng)煢楨廣鰳鯡選塊網羈淚鍍齊鈞摟鰨饗。網絡防病毒系統(tǒng)鵝婭盡損鵪慘歷蘢鴛賴縈詰聾諦鰭皚。公司背景籟叢媽羥為贍僨蟶練淨櫧撻曉養(yǎng)鰲頓。產品指標分析預頌圣鉉儐歲齦訝驊糴買闥齙絀鰒現。主要優(yōu)勢滲釤嗆儼勻諤鱉調硯錦鋇絨鈔陘鰍陸。產品功能鐃誅臥瀉噦圣騁貺頂廡縫勵羆楓鱷燭。福建榕基漏洞掃描系統(tǒng)擁締鳳襪備訊顎輪爛薔報贏無貽鰓閎。榕基掃描器系列化產品贓熱俁閫歲匱閶鄴鎵騷鯛漢鼉匱鯔潰。榕基掃描器技術基礎壇摶鄉(xiāng)囂懺蔞鍥鈴氈淚躋馱釣繢鯨鎦。第二章、產品選配 列表蠟變黲癟報倀鉉錨鈰贅籜葦繯頹鯛潔。第三章網絡安全建設實施方案買鯛鴯譖曇膚遙閆擷凄屆嬌擻歿鯰錆。 工程實施承諾及目標綾鏑鯛駕櫬鶘蹤韋轔糴飆鈧麥蹣鯢殘。 產品質量保證 驅躓髏彥浹綏譎飴憂錦諑瓊針嚨鯤鏵。 工程質量保證 貓蠆驢繪燈鮒誅髏貺廡獻鵬縮職鯡樣。 服務保證 鍬籟饗逕瑣筆襖鷗婭薔嗚訝擯饃鯫缽。 項目實施進度控制構氽頑黌碩飩薺齦話騖門戲鷯瀏鯪晝。 項目實施內容 輒嶧陽檉籪癤網儂號澩蠐鑭釃邊鯽釓。 工程項目整體實施周期 堯側閆繭絳闕絢勵蜆贅瀝紕縭墾鯇換。 項目實施任務識饒鎂錕縊灩筧嚌儼淒儂減攙蘇鯊運。系統(tǒng)安裝調試地點 凍鈹鋨勞臘鍇癇婦脛糴鈹賄鶚驥鯀戲。網絡安全產品安裝 恥諤銪滅縈歡煬鞏鶩錦聰櫻鄶燈鰷軫。 工程管理與實施鯊腎鑰詘褳鉀溈懼統(tǒng)庫搖飭緡釷鯉憮。 用戶培訓碩癘鄴頏謅攆檸攜驤蘞鷥膠據實鰹贏。 培訓目的 閿擻輳嬪諫遷擇楨秘騖輛塤鵜蘞鰱幟。 培訓內容、時間和組織方式 氬嚕躑竄貿懇彈瀘頷澩紛釓鄧鰲鱺貼。 培訓課程 釷鵒資贏車贖孫滅獅贅慶獷緞瑋鱘將。 驗收與測試慫闡譜鯪逕導嘯畫長涼馴鴇撟鉍鲞謠。 逐步擴充和穩(wěn)定運行觀察期諺辭調擔鈧諂動禪瀉類謹覡鸞幀鮮奧。 工程進度圖嘰覲詿縲鐋囁偽純鉿錈癱懇跡見鮫請。第一章 網絡安全設計方案 安全設計策略采用不同的安全產品優(yōu)勢互補。以有效的保證系統(tǒng)在出現安全問題時，能從不同的側面有所反映，這樣可以更全面的反映系統(tǒng)的安全現狀，有利于系統(tǒng)安全的全面性。熒紿譏鉦鏌觶鷹緇機庫圓鍰緘鶚鱭圓。使用不同等級的安全產品進行集成，在不同的網絡環(huán)境使用與之相應的等級的安全產品，可以有效的減少系統(tǒng)投資。鶼漬螻偉閱劍鯫腎邏蘞闋簣擇睜鮪謅。在產品選型時，需要廠家可以提供客戶化支持服務產品。只有這樣才能保證系統(tǒng)的安全是可以用戶化的，才能有針對的為用戶的應用和業(yè)務提供安全保證。國內具有自主知識產權的安全產品可以隨3 / 25時根據用戶的要求對產品進行相應的改進。使產品更加適合用戶的實際需要，而不是一般的通用性產品。紂憂蔣氳頑薟驅藥憫騖覲僨鴛鋅鮚嗚。采用可以提供分級、分布、集中管理控制并可進行互動的產品。由于網絡和系統(tǒng)的復雜性，對相應產品的管理控制提出了更高的要求，不但可以進行集中、分布的管理控制，還能夠進行分級的管理控制以適應大規(guī)模網絡的需要，同時不同安全產品之間應能夠進行有效的互動，以提高系統(tǒng)的防御能力。穎芻莖蛺餑億頓裊賠瀧漲負這惻鮭觶。在選擇產品時需要保證符合相應的國際、國內標準，尤其是國內相關的安全標準。如國內的安全等級標準、漏洞標準，以及國際的、 、 、等標準。濫驂膽閉驟羥闈詔寢賻減棲綜訴鮐巹。產品在使用上應具有友好的用戶界面，并且可以進行相應的客戶化工作，使用戶在管理、使用、維護上盡量簡單、直觀。銚銻縵嚌鰻鴻鋟謎諏涼鏗穎報嚴鮑蠅。建立層次化的防護體系和管理體系4 / 25 具體產品選型及配置方案 技術要求防火墻技術規(guī)范要求如下：防火墻必須獲得公安部頒發(fā)的銷售許可證。從防火墻應用和發(fā)展的趨勢，防火墻應以硬件防火墻為主，軟件為輔。應具有多種安全防范機制，支持包過濾、代理（） 、狀態(tài)監(jiān)測及以上三者的混合的工作方式。防火墻需支持網管協(xié)議。多種訪問控制：防火墻至少應能對地址（源、目的） 、服務（所有、端口） 、時間、流量等對象進行控制。擠貼綬電麥結鈺贖嘵類羋罷鴇竇鮒鑿。具有地址翻譯功能，這包括靜態(tài)地址翻譯和動態(tài)雙向地址翻譯。防火墻應提供區(qū)功能，對區(qū)內主機提供有效保護。防火墻應能通過靜態(tài)地址翻譯和端口翻譯實現區(qū)內各主機向發(fā)布信息、提供、 、等服務。賠荊紳諮侖驟遼輩襪錈極嚕辮鏢鱸蕆。防火墻應具有防地址欺騙功能。防火墻需具有地址綁定功能。防火墻應支持服務器。防火墻應具有入侵監(jiān)測功能。防火墻必須具有完善的日志功能，能夠記錄受到的攻擊或配置的修改等信息，同時也應具備完善的日志管理和分析系統(tǒng)。塤礙籟饈決穩(wěn)賽釙冊庫麩適緄撾鲅傯。防火墻應具有和基于內容的過濾功能。防火墻應具有透明接入功能。防火墻應具有帶寬管理功能。防火墻需具有友好的管理界面。為方便管理，用戶必須能通過控制臺、和遠程管理等方式對防火墻進行管理和軟件升級。裊樣祕廬廂顫諺鍘羋藺遞燦擾諗魴莖?？紤]到系統(tǒng)可用性，防火墻最好能支持雙機熱備。防火墻應具備高可靠性，其值必須大于等于小時。 入侵檢測系統(tǒng)的技術規(guī)范要求如下：、入侵檢測系統(tǒng)要具有性能穩(wěn)定，對于常見的入侵系統(tǒng)的攻擊手法能清楚識別，同時要具有良好的性能價格比，入侵檢測的特征庫的更新升級與維護費用必須合理或者免費。倉嫗盤紲囑瓏詁鍬齊驁絛鯛鱧俁魷親。、入侵檢測系統(tǒng)在設計時要充分分析產品部署的網絡環(huán)境和位置，實現對內外網尤其是內網（下屬各單位的網絡用戶入侵）的入侵檢測。所以要求采用分布式多處設防，監(jiān)測中心設在中心機房。綻萬璉轆娛閬蟶鬮綰瀧恒蟬轅紗魚臚。、入侵系統(tǒng)要具有良的響應方式，如郵件、警報等。產品要通過國家權威機構的評測。、入侵系統(tǒng)要有良好的數據收集、分析能力，同時能與防火墻聯(lián)動來有效的阻斷所發(fā)生的攻擊事件。、在實現入侵系統(tǒng)時，要求工程人員能對現有網絡設備設置端口鏡像，系統(tǒng)要能通過鏡像端口具有良好的數據收集和分析能力，以便管理員進行流量和協(xié)議分析。驍顧燁鶚巰瀆蕪領鱺賻驃弒綈閶魎齠。、系統(tǒng)操作簡單，界面直觀，數據可讀性強。、整個系統(tǒng)對網絡的總體性影響要非常小。 設備選型防火墻系統(tǒng)捷普防火墻是最新研制的防火墻產品。它采用專用的安全操作系統(tǒng)，基于先進的動態(tài)檢測技術，集強大的安全訪問控制、高速包過濾技術、反入侵與抗攻擊技術、多級安全管理技術、實時的安全審計技術、應用代理技術、帶寬管理、雙機熱備、內容過濾、開放聯(lián)動協(xié)議等多項功能于一體，支持各種網絡協(xié)議，遵循 （包過濾防火墻安全技術要求）和 （應用級防火墻安全技術要求）兩個國家標準，采用標準高度機箱，符合國際通用的電氣標準?，嶀暈R曖惲錕縞馭篩涼貿錒戧晉魘繅。捷普防火墻系統(tǒng)5 / 25專用的安全操作系統(tǒng)捷普防火墻系統(tǒng)基于專用安全網絡操作系統(tǒng)之上，此安全操作系統(tǒng)是捷普公司參與國家“計劃－－ 網絡安全操作系統(tǒng)”項目的研發(fā)成果，是具有自主版權的實時多任務安全網絡操作系統(tǒng)，具有極高的安全性和可靠性。鎦詩涇艷損樓紲鯗餳類礙穡鰳責髕鵲。專用的硬件平臺捷普防火墻采用專用的硬件平臺，通過高性能的網絡處理器和大容量的高速內存保證硬件系統(tǒng)的高性能。櫛緶歐鋤棗鈕種鵑瑤錟奧傴輥刪髖綠。專用的軟件系統(tǒng)捷普防火墻在其專用的硬件平臺和操作系統(tǒng)之上，搭建了專用的軟件系統(tǒng)。 它是集專用硬件基礎平臺、專用操作系統(tǒng)、專用軟件于一體 的高效硬件防火墻產品。轡燁棟剛殮攬瑤麗鬮應頁諳絞綽髏鱉。系統(tǒng)特點采用自主版權的專用安全操作系統(tǒng)捷普防火墻建立在自主版權的專用實時多任務安全網絡操作系統(tǒng)和專用硬件平臺之上，由于專用的安全操作系統(tǒng)沒有后門、漏洞以及多余的服務，極大的提高了防火墻系統(tǒng)的自身安全性。峴揚斕滾澗輻灄興渙藺詐機憒頇驤經。主動式黑名單自主防御捷普防火墻可通過預設置的方式，對于觸犯連接限制上限、訪問了非法的資源、感染了病毒或是發(fā)起了攻擊的主機，主動加入黑名單進行封鎖，幫助網絡管理員實現自動化的網絡防御管理。詩叁撻訥燼憂毀厲鋨驁靈韜鰍櫝驥鱭。支持多種工作模式支持透明、路由、策略路由、和混合等多種工作模式，適應于各種復雜的網絡結構。安全有效的管理機制支持本地管理及遠程管理方式。提供本地的命令行配置方式；提供基于協(xié)議的遠程安全管理；基于 的配置管理軟件，易于操作，可遠程同時管理多臺多型號的防火墻?；诿钚泻偷墓芾斫缑婢捎梅謾嘀?，不同級別的管理員有不同的權限。捷普防火墻還提供了在線幫助，有中英文兩種格式，更方便國內用戶使用。則鯤愜韋瘓賈暉園棟瀧華縉輅贊驏紆。靈活的立體訪問控制全面的訪問控制策略，支持基于地址、端口號、服務協(xié)議、地址、時間和日期的訪問控制；可通過地址和地址的綁定，防止非法地址盜用。脹鏝彈奧秘孫戶孿釔賻鏘詠繞敘驄驗。強大的身份認證支持、 、認證協(xié)議，確保服務器和客戶端程序之間通信的可靠性，使網絡資源的保護更安全、更可靠?？舍槍γ恳晃挥脩舳ㄖ凭W絡安全規(guī)則，以便對該用戶網絡訪問動作進行動態(tài)的監(jiān)控。鰓躋峽禱紉誦幫廢掃減萵輳慘纈騾窺?；谝?guī)則的帶寬管理采用基于規(guī)則的帶寬管理方式，配置簡單靈活，能確保重要部門的網絡帶寬得到優(yōu)先的保證，更好地優(yōu)化網絡帶寬的使用，提高網絡資源的利用率。稟虛嬪賑維嚌妝擴踴糶欏灣鯧飫驃餒。全面的連接管理功能能夠限制主機網段所允許建立的最大并發(fā)連接數，避免惡意攻擊或網絡病毒占用防火墻連接資源；能夠手動調整協(xié)議的超時時間，根據實際網絡環(huán)境，充分優(yōu)化防火墻性能；同時提供連接手工阻斷機制。陽簍埡鮭罷規(guī)嗚舊巋錟麗鮑軫溈騫硨。標準的網絡管理協(xié)議系統(tǒng)支持協(xié)議，用戶使用目前任意一種操作系統(tǒng)平臺上的網絡管理軟件都可以對捷普防火墻進行統(tǒng)一的專 用操 作 系 統(tǒng)防火墻軟件系統(tǒng)專 用硬 件 平 臺6 / 25管理和監(jiān)控。溈氣嘮戇萇鑿鑿櫧諤應釵藹紼較騮額。協(xié)議支持捷普防火墻支持 。 它可以作為服務器，為網絡中的計算機動態(tài)地分配地址，方便網絡的應用和地址的管理。鋇嵐縣緱虜榮產濤團藺締崳惲囂驁瘋。靈活的支持提供靈活方便的 協(xié)議的接入支持，支持針對通訊的安全訪問控制，可以用防火墻作之間的路由，或者讓信息穿越防火墻。懨俠劑鈍觸樂鷴燼觶騮揚銥鯊臘騖韋。全面的多媒體應用支持提供完整的 協(xié)議族支持，方便用戶擴展 寬帶接入及電話、視頻會議、 點播等多媒體應用，支持基于的語音、視頻通信。內嵌代理，提供對語音、視頻通信的完整支持。謾飽兗爭詣繚鮐癩別瀘鯽礎輪駭騷獅。卓越的高可用性捷普防火墻支持雙機熱備功能、對服務的負載均衡能力和基于協(xié)議的鏈路備份功能。