【文章內(nèi)容簡介】 事件的實時感知、安全策略的動態(tài)部署、網(wǎng)絡安全設備的自動響應，將智能的安全融入企業(yè)業(yè)務流程中，形成開放融合、相互滲透的安全實體，才能實現(xiàn)真正的網(wǎng)絡安全智能化。幫助企業(yè)將業(yè)務信息的所有狀態(tài)都控制在安全管理的范圍內(nèi)，這樣的需求正是智能安全產(chǎn)生的原動力。 完善的安全管理體制是加強信息系統(tǒng)安全防范的組織保證。 iSPN全局安全管理平臺可以對 全網(wǎng)的安全 信息 做到統(tǒng)一管理 、 統(tǒng)一下發(fā)安全策略 以及 統(tǒng)一分析安全數(shù)據(jù)，保證 企業(yè) 信息系統(tǒng)的安全運行 。 iSPN全局 安全 管理平臺 以開放的 安全管理中心和智能管理中心 為框架，將安全體系中各層次的安全產(chǎn)品、網(wǎng)絡設備、用戶終端、 網(wǎng)絡 服務等納入一個緊密的統(tǒng)一管理平臺中，通過安全策略的集中部署、安全事件的深度感知與關(guān)聯(lián)分析以及安全部件的協(xié)同響應，在現(xiàn)有安全設施的基礎上構(gòu)建一個 智能 安全防御體系，大幅度提高企業(yè)網(wǎng)絡的整體安全防御能力。 H3C全局安全管理平臺 由策略管理、事件采集、分析決策、協(xié)同響應四個組件構(gòu)成，與網(wǎng)絡中的安全產(chǎn)品、網(wǎng)絡設備、網(wǎng)絡服務、用戶終端等獨立功能部件通過各種信 息交互接口形成一個完整的 協(xié)同防御體系。 高效的安全解決方案不僅僅在于當安全事件發(fā)生時，我們能夠迅速察覺、準確定位，更杭州華三通信 技術(shù)有限公司 6 重要的是我們能夠及時制定合理的、一致的、完備的安全策略，并最大限度的利用現(xiàn)有網(wǎng)絡安全資源，通過智能分析和協(xié)同響應及時應對各種真正的網(wǎng)絡攻擊。在局部安全、全局安全的基礎上， H3C iSPN為實現(xiàn)這一目標而構(gòu)建了 專業(yè)安全服務、 開放 應用架構(gòu)和 可持續(xù)演進的 全局 安全管理平臺，通過對防護、檢測和響應等不同生命周期的各個安全環(huán)節(jié)進行基于策略的管理，將各種異構(gòu)的安全產(chǎn)品、網(wǎng)絡設備、用戶終端和管理員有機的連接起 來，構(gòu)成了一個智能的、聯(lián)動的閉環(huán)響應體系，可在保護現(xiàn)有網(wǎng)絡基礎設施投資的基礎上 有效應對新的安全威脅、大幅提升對企業(yè)基礎業(yè)務的安全保障。 H3C將以全新的 iSPN理念配合先進的產(chǎn)品技術(shù)與日趨完善的面向應用解決方案，為企業(yè)打造一個領先的、全面的、可信賴的 IP安全平臺。 3. 建設原則 及設計思路 . 安全平臺 設計思路 中石油華南銷售公司 的網(wǎng)絡應用 對安全的要求比較 高，根據(jù)對 中石油華南銷售公司 網(wǎng)絡和應用的理解，結(jié)合在 中石油華南銷售公司 行業(yè) 的成功經(jīng)驗，提出了如下安全建設思路。 . 以安全為核心 劃分區(qū)域 現(xiàn)有網(wǎng)絡大多是以連通性作為中心進行設計的，而很少考慮安全性。例如最典型的網(wǎng)絡三層架構(gòu)模型（核心層、匯聚層、接入層架構(gòu)）中，網(wǎng)絡是向核心層集中的而并沒有考慮同一層不同節(jié)點之間的安全隔離問題。而在網(wǎng)絡安全改造中首先需要改變的就是將以連通性為中心的設計思路轉(zhuǎn)變?yōu)橐园踩珵橹行牡脑O計思路。并按照以安全為核心的設計思路的要求對網(wǎng)絡進行重新設計。 所謂以安全為核心的設計思路就是要求在進行網(wǎng)絡設計時，首先根據(jù)現(xiàn)有以及未來的網(wǎng)絡應用和業(yè)務模式，將網(wǎng)絡分為不同的安全區(qū)域，在不同的安全區(qū)域之間進行某種形式的安全隔離，比如采用防火 墻隔離業(yè)務網(wǎng)和辦公網(wǎng)。 針對 中石油華南銷售公司 X網(wǎng)絡安全實際情況 ， 可 劃分出不同的安全分區(qū)級別 ，詳細定義如下： ? DMZ 區(qū)： DMZ 區(qū)包括省級網(wǎng)絡連接貴州省電子政務網(wǎng)區(qū)域、 INTERNET 服務區(qū)以及貴州省勞動和社會保障廳對社會公眾提供服務的服務群（如：對外發(fā)布系統(tǒng)服務器區(qū)等），該區(qū)域都是暴露在外面的系統(tǒng)，因此，對安全級別要求比較高。 杭州華三通信 技術(shù)有限公司 7 ? 互聯(lián)網(wǎng)服務區(qū)： 互聯(lián)網(wǎng)業(yè)務應用系統(tǒng)集合構(gòu)成的安全區(qū)域，主要實現(xiàn)公開網(wǎng)站、外部郵件系統(tǒng)、遠程辦公用戶、部分分支機構(gòu)以及部分合作伙伴的 VPN接入等功能。 ? 遠程接入?yún)^(qū)： 合作業(yè)務應用系統(tǒng)集合構(gòu) 成的安全區(qū)域，主要實現(xiàn)與原材料供應商、渠道商等合作伙伴的業(yè)務應用功能?？紤]到部分合作伙伴會采用 VPN方式接入，基于安全性考慮，其與互聯(lián)網(wǎng)服務區(qū)應該有獨立的物理連接。根據(jù)應用要求，可以進一步劃分為互聯(lián)網(wǎng)業(yè)務區(qū)、 VPN接入?yún)^(qū)等。 ? 廣域網(wǎng)分 區(qū)： 在之前的網(wǎng)絡建設中，企業(yè)通過專線連接國內(nèi)的分支機構(gòu)。廣域網(wǎng)連接區(qū)就是專線網(wǎng)絡的鏈路及全部路由器構(gòu)成的安全區(qū)域，這一安全區(qū)域內(nèi)部沒有具體的應用系統(tǒng)，主要實現(xiàn)網(wǎng)絡連接功能，定義這一安全區(qū)域是為了方便網(wǎng)絡管理。 ? 數(shù)據(jù)中心 區(qū)： 由貴州省金保業(yè)務服務區(qū)服務群構(gòu)成，是貴州省金保一切業(yè)務應 用活動的基礎，包括生產(chǎn)區(qū)、交換區(qū)、決策區(qū)。這個區(qū)域的安全性要求最高，對業(yè)務連續(xù)性要求也最高。要求不能隨便進行任何可能影響業(yè)務的操作，包括為服務器打補丁，管理起來也最為復雜。 ? 網(wǎng)絡管理區(qū)： 網(wǎng)絡管理員及網(wǎng)管應用系統(tǒng)構(gòu)成的安全區(qū)域，一切網(wǎng)絡及安全的管理和維護工作都在這一區(qū)域完成。網(wǎng)絡管理區(qū)域的資產(chǎn)在定義中屬于支撐部門資產(chǎn)集合，但是鑒于網(wǎng)絡管理的特殊性，將這一部分資產(chǎn)獨立設置安全區(qū)域。 ? 內(nèi)部辦公區(qū)： 數(shù)據(jù)中心內(nèi)部辦公計算機構(gòu)成的安全區(qū)域。安全性和業(yè)務持續(xù)性要求最低，管理難度大，最容易遭受蠕蟲的威脅。 杭州華三通信 技術(shù)有限公司 8 . 用防火墻