【導(dǎo)讀】［√］更改正式文件。日期版本說明作者。2020-11-3根據(jù)實(shí)際需求及進(jìn)一步發(fā)展描述完成方案草案。對(duì)方案中的問題進(jìn)行修訂。提出三套不同檔次解決方案。對(duì)第一套方案一、二階段進(jìn)行調(diào)整。完善對(duì)現(xiàn)在設(shè)備的分析。2020-11-20完成產(chǎn)品介紹內(nèi)容

　　

【正文】 欺騙者：利用 ARP 漏洞，發(fā)送虛假的 ARP 請(qǐng)求報(bào)文和響應(yīng)報(bào)文，報(bào)文中的源 IP 和源 MAC 均為虛假的，或錯(cuò)誤的網(wǎng)關(guān) IP 和網(wǎng)關(guān) MAC 對(duì)應(yīng)關(guān)系，擾四川省 XXX 院 信息安全 建設(shè)方案 20 成都 XXXX 信息技術(shù)有限公司 亂局域網(wǎng)中各 PC 以及網(wǎng)關(guān)中保存的 ARP 表，使得網(wǎng)絡(luò)中的合法 PC 正常上網(wǎng)、通訊中斷，并且流量都可流入到攻擊者手中。 ARP 欺騙的防范： 利用交換機(jī)端口 ARP 檢查安全功能：打開 ARP 報(bào)文檢查 ARP 報(bào)文中的源IP 和源 MAC 是否 和綁定的一致，可有效防止安全端口上欺騙 ARP，防止非法信息點(diǎn)冒充網(wǎng)絡(luò)關(guān)鍵設(shè)備的 IP（如服務(wù)器），造成網(wǎng)絡(luò)通訊混亂。 IP/MAC 攻擊 MAC 欺騙： 盜用合法用戶的 MAC 地址，侵入網(wǎng)絡(luò)，使得正常用戶無法上網(wǎng)； IP 欺騙： ? 盜用合法用戶的 IP 地址，使得到合法用戶的通訊得不到響應(yīng)，造成 Ping of death，和 ICMP 不可達(dá)風(fēng)暴； ? 不斷修改 IP，發(fā)送 TCP SYN 連接，攻擊 Server，造成 SYN Flood。 防范： ? 交換機(jī)端口安全：端口靜態(tài)綁定； ? 交換機(jī)整機(jī)綁定 IP 和 MAC 地址； ? DHCP 動(dòng)態(tài)綁定（無 1x 認(rèn)證環(huán)境下， S2126S 不支持該功能）； ? ； 檢查 IP 報(bào)文中源 IP 和源 MAC 是否和交換機(jī)中管理員設(shè)定的是否一致，不一致，報(bào)文丟棄，并發(fā)送告警信息。 STP 攻擊 發(fā)送虛假的 BPDU 報(bào)文，擾亂網(wǎng)絡(luò)拓?fù)浜玩溌芳軜?gòu)，可以導(dǎo)致整個(gè)網(wǎng) 絡(luò) 癱瘓。 防范： 使用交換機(jī)具備的 BPDU Guard 功能，可以禁止網(wǎng)絡(luò)中直接接用戶的端口或接入層交換機(jī)的下連端口收到 BPDU 報(bào)文。從而防范用戶發(fā)送非法 BPDU 報(bào)文。 對(duì)于接入層交換機(jī)，在沒有冗余鏈路的情況下，盡量不用開啟 STP 協(xié)議。 四川省 XXX 院 信息安全 建設(shè)方案 21 成都 XXXX 信息技術(shù)有限公司 Dos/Ddos 攻擊 Dos 攻擊： 占用網(wǎng)絡(luò)帶寬，占用服務(wù)器提供的服務(wù)資源，表現(xiàn)為合法用戶的請(qǐng)求得不到服務(wù)的響應(yīng)，被攻擊方的 CPU 滿負(fù)荷或內(nèi)存不足。攻擊報(bào)文主要是采用偽裝源IP。 防范： RFC 28227 的入口過濾規(guī)則。 IP 掃描攻擊 許多黑客攻擊、網(wǎng)絡(luò)病毒入侵都是從掃描網(wǎng)絡(luò)內(nèi)活動(dòng)的主機(jī)開始的，大量的掃描報(bào)文也急劇占用網(wǎng)絡(luò)帶寬，導(dǎo)致正常的網(wǎng)絡(luò)通訊無法進(jìn)行。 防范： 防 IP 掃描：檢測(cè)用戶、隔離用戶（發(fā)日志信息）、恢復(fù)通訊（發(fā)日志信息） 被監(jiān)控的攻擊主機(jī)數(shù)量、隔離用戶的時(shí)間都可以根據(jù)網(wǎng)絡(luò)實(shí)際狀況設(shè)置。 網(wǎng)絡(luò)設(shè)備管理安全 網(wǎng)絡(luò)管理可以說是網(wǎng)絡(luò) 中最薄弱的一個(gè)環(huán)節(jié)，因?yàn)橐坏┕粽叩卿浗粨Q機(jī)，那么交換機(jī)配置的所有安全防范措施則化為烏有，因此必須重視交換機(jī)管理安全。 ? 一般的網(wǎng)絡(luò)管理協(xié)議： SNMPv2， Tel， Web 等都是明文登錄和傳輸信息的。因此，盡量使用 SSH、 SNMPv3 等秘文傳輸方式登錄交換機(jī)，因?yàn)樗鼈兌寂c交換機(jī)之間都是加密傳輸。 ? 管理 VLAN 與用戶 VLAN 分開。 ? 交換機(jī)上不用的端口劃在一個(gè) VLAN 中，并將這些口 Shutdown，需要用時(shí)，再開啟。 ? 限制可以管理交換機(jī)的 IP， 所選擇的 交換機(jī) 必須 支持 Tel 和 Web 的源 IP 訪問控制列表。 四川省 XXX 院 信息安全 建設(shè)方案 22 成都 XXXX 信息技術(shù)有限公司 全局安全 網(wǎng)絡(luò) (GSN)方案設(shè)計(jì) 在我單位網(wǎng)絡(luò)建設(shè)中，考慮到全網(wǎng)的網(wǎng)絡(luò)安全， 應(yīng) 采用全局安全網(wǎng)絡(luò)解決方案，整個(gè)方案采用分布式的設(shè)計(jì)體系，采用身份認(rèn)證系統(tǒng)和安全策略系統(tǒng)，同時(shí)在核心層旁路 部署 1 臺(tái) IDS(入侵檢測(cè) )設(shè)備 做安全檢測(cè)。 安全挑戰(zhàn) ? 用戶可以在網(wǎng)絡(luò)內(nèi)的任意地點(diǎn)隨意接入網(wǎng)絡(luò)，出現(xiàn)安全問題后無法追查到用戶身份； ? 網(wǎng)絡(luò)病毒泛濫，網(wǎng)絡(luò)攻擊成上升趨勢(shì)。安全事件從發(fā)現(xiàn)到控制，基本采取手工方式，難以及時(shí)控制與防范； ? 對(duì)于未知的安全事件和網(wǎng)絡(luò)病毒，無法控制； ? 用戶普遍安全意識(shí)不足， 管理者 單方面的安全控制管理，難度大； ? 現(xiàn)有安全設(shè)備工作分散，無法協(xié)同管理、協(xié)同工作，只能形成單點(diǎn)防御。各種安全設(shè)備管理復(fù)雜，對(duì)于網(wǎng)絡(luò)的整體安全性提升有限。 ? 某些安全設(shè)備采取網(wǎng)絡(luò)內(nèi)串行部署的方式，容易造成性能瓶頸和單點(diǎn)故障； ? 無法對(duì)用戶的網(wǎng)絡(luò)行為進(jìn)行記錄，事后審計(jì)困難； 管理挑戰(zhàn) ? 用戶信息量大，設(shè)置管理困難； ? 網(wǎng)絡(luò)出現(xiàn)故障，難以準(zhǔn)確定位、迅速解決； ? 針對(duì)用戶的 IP 地址管理困難，存在 IP 地址盜用、 IP 地址沖突等情況； ? 難以自動(dòng)對(duì)接入用戶的時(shí)間和地點(diǎn)進(jìn)行控制； ? 文件、補(bǔ)丁、軟件難以及時(shí)下發(fā)到每個(gè)用戶； 方案詳細(xì)介紹 “高安全、易管理 ” 的 全新 企業(yè) /政府 網(wǎng)解決方案，由六個(gè)組件構(gòu)成。 (1) 認(rèn)證管理平臺(tái) — — 提供用戶身份、地址、端口綁定功能； (2) 安全策略平臺(tái) —— 將對(duì)發(fā)現(xiàn)的安全事件進(jìn)行判斷，以確定調(diào)用何種安全策略進(jìn)行處理； 四川省 XXX 院 信息安全 建設(shè)方案 23 成都 XXXX 信息技術(shù)有限公司 (3) 安全修復(fù)平臺(tái) —— 對(duì)于觸發(fā)安全事件的用戶，將其隔離到安全修復(fù)平臺(tái)，自動(dòng)對(duì)其進(jìn)行修復(fù)； (4) 入侵檢測(cè)系統(tǒng)（ IDS） —— 負(fù)責(zé)對(duì)全網(wǎng)的用戶行為進(jìn)行監(jiān)控和記錄，將網(wǎng)絡(luò)中存在的網(wǎng)絡(luò)攻擊、異常流量、蠕蟲病毒、 P2P 應(yīng)用等安全事件通告給安全策略平臺(tái)； (5) 安全交換機(jī) —— 對(duì)于安全策略平臺(tái)下發(fā)的策略進(jìn)行處理，實(shí)時(shí)對(duì)網(wǎng)絡(luò)用戶的安全事件進(jìn)行阻斷或隔離； (6) 安全客戶端 —— 對(duì)用戶的安 全行為進(jìn)行告警和提示，并能夠?qū)Π踩呗云脚_(tái)下發(fā)的補(bǔ)丁、軟件自動(dòng)安裝運(yùn)行 。 安全特性 (1) 對(duì)用戶的身份和 IP、 MAC、交換機(jī)端口、交換機(jī) IP 等信息嚴(yán)格綁定，一旦出現(xiàn)安全事件，可迅速追查到人； (2) 針對(duì)網(wǎng)絡(luò)中的安全事件（網(wǎng)絡(luò)攻擊、異常數(shù)據(jù)流、蠕蟲病毒等），能夠自動(dòng)發(fā)現(xiàn)，并可以依據(jù)預(yù)定的策略自動(dòng)進(jìn)行處理，保障網(wǎng)絡(luò)安全； (3) 提供強(qiáng)大的實(shí)時(shí)在線升級(jí)功能，抵御最新的網(wǎng)絡(luò)攻擊和病毒； (4) 對(duì)于存在安全問題的用戶，系統(tǒng)將自動(dòng)告警，提示用戶可能存在的問題，以及處理方式；提升用戶安全意識(shí)，讓用戶切身體會(huì)到安全問題的嚴(yán)重性； (5) 網(wǎng)絡(luò)安全組件統(tǒng) 一管理，協(xié)同工作。構(gòu)建一個(gè)全局安全網(wǎng)絡(luò)。整套系統(tǒng)管理簡(jiǎn)單，后期需投入的管理工作量??； (6) 所有安全設(shè)備均旁路部署，不形成性能瓶頸和單點(diǎn)故障；部署完成后將極大的提升現(xiàn)有網(wǎng)絡(luò)性能； (7) 系統(tǒng)將詳細(xì)記錄用戶的網(wǎng)絡(luò)行為，當(dāng)需要進(jìn)行審計(jì)時(shí)，可迅速關(guān)聯(lián)到用戶身份、接入時(shí)間、接入地點(diǎn)、訪問目的等相關(guān)信息；可提供不可抵賴的審計(jì)證據(jù)。 四川省 XXX 院 信息安全 建設(shè)方案 24 成都 XXXX 信息技術(shù)有限公司 管理特性 (1) 應(yīng)具有 用戶管理模式。將大量的信息轉(zhuǎn)化為少量的 模板 對(duì)應(yīng)，可以在設(shè)置的時(shí)候使用最少量的對(duì)應(yīng)關(guān)系，從而大大提高用戶管理的效率。 (2) 用戶能夠清晰的了解到系統(tǒng)自動(dòng)對(duì)其處理的安全事件和措施，出現(xiàn)網(wǎng)絡(luò)故 障時(shí)，能夠提供網(wǎng)絡(luò)在線報(bào)修平臺(tái)，提高故障管理的效率，極大的減輕了網(wǎng)絡(luò)中心的工作壓力； (3) 事件，可迅速追查到人； (4) 能夠提供多種地址綁定手段，并能嚴(yán)格限定地址獲取方式，防止 IP 地址沖突及盜用； (5) 緊急的系統(tǒng)補(bǔ)丁，文件通知，將能夠簡(jiǎn)單便捷的分發(fā)至每一個(gè)用戶。且無論用戶是否上線，也要保證其在登陸網(wǎng)絡(luò)后，第一時(shí)間安裝和閱讀。 詳細(xì)功能 (1) 安全功能 ? 強(qiáng)大而靈活的綁定設(shè)置，可以實(shí)現(xiàn)用戶 賬號(hào) 、用戶 IP、用戶 MAC、 NAS IP、 NAS Port 的靜態(tài)綁定、動(dòng)態(tài)綁定以及自動(dòng)綁定，最大程度保證用戶入網(wǎng)身份唯一； ? 限制用戶認(rèn)證客戶端 程序的類型和版本號(hào)，自動(dòng)升級(jí)認(rèn)證客戶端程序，防客戶端破解； ? 強(qiáng)大的日志功能，可記錄和查詢服務(wù)日志、 IDS 詳細(xì)日志、 系統(tǒng)日志、管理員操作日志、用戶 WEB 自助服務(wù)日志，實(shí)現(xiàn)事后的審計(jì)； ? 系統(tǒng)可自動(dòng)發(fā)現(xiàn)網(wǎng)絡(luò)中的安全事件，深度分析報(bào)文數(shù)據(jù)字段，對(duì) 超過2020 多種 的 安全事件或病毒進(jìn)行監(jiān)測(cè)； ? 系統(tǒng)可進(jìn)行實(shí)時(shí)在線升級(jí)，有效防御最新的網(wǎng)絡(luò)攻擊和病毒； ? 針對(duì)發(fā)現(xiàn)的安全事件可選擇警告、修復(fù)、阻斷三種處理方式，并且可以選擇同一事件以后是否自動(dòng)執(zhí)行。經(jīng)過一段時(shí)間磨合后，管理工作量很??； ? 對(duì)于觸發(fā)安全事件的用戶進(jìn)行自動(dòng)告警，讓用戶知 道他的網(wǎng)絡(luò)行為正在被監(jiān)控； ? 系統(tǒng)支持手動(dòng)或自動(dòng)的文件下發(fā)功能。用戶觸發(fā)安全事件后，可自動(dòng)給四川省 XXX 院 信息安全 建設(shè)方案 25 成都 XXXX 信息技術(shù)有限公司 用戶下發(fā)修復(fù)程序。該功能也可用于微軟緊急補(bǔ)丁的全網(wǎng)下發(fā)，或其它文件的全網(wǎng)下發(fā)； ? 對(duì)于觸發(fā)安全事件的用戶，可自動(dòng)阻斷其攻擊數(shù)據(jù)流，或?qū)⑵涓綦x到修復(fù)區(qū)域； ? 靈活的策略下發(fā)機(jī)制，可批量對(duì)交換機(jī)進(jìn)行策略部署。當(dāng)出現(xiàn)緊急安全事件時(shí)，第一時(shí)間全網(wǎng)部署安全策略； ? 按日、周、月輸出安全事件報(bào)表。針對(duì)認(rèn)證用戶和非認(rèn)證用戶輸出 TOP 10 的安全排名，為安全管理和策略部署提供詳細(xì)的參考數(shù)據(jù)； ? 提供無人值守模式，對(duì)未知的安全事件進(jìn)行防御。將未 知安全事件預(yù)設(shè)為普通、嚴(yán)重、災(zāi)難三個(gè)級(jí)別，可根據(jù)預(yù)先定義的事件模板進(jìn)行處理。 ? 系統(tǒng) 應(yīng) 具備公安部安全銷售許可證。 (2) 管理功能 ? 應(yīng) 支持 DHCP Option82，配合交換機(jī)的 DHCP Relay 實(shí)現(xiàn)對(duì)用戶 IP 和權(quán)限的靈活分配 ? 提供 人性化的消息提示和記錄功能，包括系統(tǒng)廣告、個(gè)性信息、認(rèn)證失敗原因信息、用戶下線原因記錄與提示功能； ? 安全嚴(yán)格的管理員和安全組管理，保證管理員權(quán)限的同時(shí)，提供靈活的權(quán)限定制方式，可實(shí)現(xiàn)分級(jí)管理，權(quán)限細(xì)化 至 第三級(jí)菜單； ? 有完善的 用戶管理模式，通過完整的組策略，將系統(tǒng)中的服務(wù)、接入控制、接入 時(shí)段、帳號(hào)模板、用戶組等概念將系統(tǒng)中使用的功能進(jìn)行全面系統(tǒng)組織，不僅有利于系統(tǒng)配置和管理，也有利于理解和學(xué)習(xí)系統(tǒng)； ? 提供各種在線統(tǒng)計(jì)分析功能，包括在線用戶信息、用戶分布情況、業(yè)務(wù)開通情況等； ? 集成的 WEB 網(wǎng)管功能，可對(duì)網(wǎng)絡(luò)中的 NAS 設(shè)備和 IP 網(wǎng)段進(jìn)行統(tǒng)一的管理。 ? 用戶 WEB 自助注冊(cè)功能，可自助申請(qǐng)注冊(cè)，查看審批信息。配合 WEB管理中的用戶審核，可高效安全的實(shí)現(xiàn)用戶資料的收集和記錄 ? 用戶 WEB 自助服務(wù)功能，用戶可通過 WEB 自助服務(wù)頁面，進(jìn)行個(gè)人四川省 XXX 院 信息安全 建設(shè)方案 26 成都 XXXX 信息技術(shù)有限公司 資料的查詢、密碼修改、上網(wǎng)明細(xì)查詢 等 。 ? 支持集團(tuán)用戶，方便對(duì)獨(dú)立機(jī) 房的分級(jí)綜合管理 ? 支持 LDAP 協(xié)議，方便實(shí)施用戶身份信息的統(tǒng)一集中管理 ? 實(shí)時(shí)短消息功能，方便管理員與再現(xiàn)用戶的溝通與信息發(fā)布 ? 針對(duì)用戶組、用戶的 BACL 功能，在復(fù)合綁定策略下的多范圍漫游 交換 設(shè)備升級(jí) 為配合部署全局安全網(wǎng)絡(luò)，將接入交換機(jī)升級(jí)為 安全智能交換機(jī) ，并應(yīng)支持千兆擴(kuò)展及 IPV6。 應(yīng)用 擴(kuò)展后的安全體系建設(shè) 我單位網(wǎng)絡(luò)及信息系統(tǒng)將對(duì)公眾提供對(duì)外資源服務(wù)，數(shù)據(jù)交換量較大，安全性、穩(wěn)定性、可靠性要求高。因此，在應(yīng)用擴(kuò)展后，必須建立更為健壯的安全體系。 總體方案 總體方案應(yīng)在建立全局安全網(wǎng)絡(luò) (GSN)的基礎(chǔ)上，加強(qiáng)以下內(nèi)容： (1) 建立服務(wù)器 DMZ 區(qū)； (2) 加強(qiáng)入侵檢測(cè)； (3) 采用應(yīng)用控制引擎； (4) 構(gòu)建穩(wěn)定、可靠、安全的數(shù)據(jù)中心。 四川省 XXX 院 信息安全 建設(shè)方案 27 成都 XXXX 信息技術(shù)有限公司 服務(wù)器 DMZ 區(qū) 核 心 交 換 機(jī)數(shù) 據(jù) 中 心服 務(wù) 器 D M Z 區(qū) 在增加應(yīng)用系統(tǒng)，向公眾提供資源服務(wù)后，必將建設(shè)應(yīng)用系統(tǒng)服務(wù)器群，采用熱備、負(fù)載均衡等技術(shù)，實(shí)現(xiàn)穩(wěn)定、可靠的公眾服務(wù)，同時(shí)，應(yīng)防范來自內(nèi)、外網(wǎng)絡(luò)的病毒、攻擊和惡意訪問。 因此，必須在原有全局安全網(wǎng)絡(luò)的基礎(chǔ)上，通過內(nèi)網(wǎng)安全防火墻，構(gòu)建服務(wù)器 DMZ 區(qū)，對(duì)服務(wù)器區(qū)實(shí)施有效的安全保證 ，在防止外來威脅的同時(shí)，也防止來自內(nèi)網(wǎng)的安全威脅 。 入侵檢測(cè)系統(tǒng) (IDS) 入 侵 檢 測(cè) 系 統(tǒng) 入侵檢測(cè)系統(tǒng)以旁路的方式在網(wǎng)絡(luò)中部署，并且實(shí)時(shí)檢測(cè)數(shù)據(jù)包并從中發(fā)現(xiàn)攻擊行為或可疑行為，這就要求對(duì)攻擊行為的檢測(cè)據(jù)有極高的準(zhǔn)確性，錯(cuò)誤的攻擊行為檢測(cè)可能比攻擊行為本身帶來的危害還要巨大。為了保證準(zhǔn)確性， 入侵檢測(cè)系統(tǒng)應(yīng) 使用 豐富的 攻擊識(shí)別和檢測(cè)技術(shù)，在這些技術(shù)中，每一種都 應(yīng) 有其固有的優(yōu)勢(shì)和弱點(diǎn)，這也說明了為什么沒有一種單一的入侵檢測(cè)技術(shù)能夠達(dá)到用戶可四川省 XXX 院 信息安全 建設(shè)方案 28 成都 XXXX 信息技術(shù)有限公司 接受的防護(hù)效果。 IDS 在網(wǎng)絡(luò)中 應(yīng) 能夠阻止來自外部或內(nèi) 部的蠕蟲、病毒和攻擊帶來的安全威脅，確保信息資產(chǎn)的安全，能夠檢測(cè)因?yàn)楦鞣N IM 即時(shí)通訊軟件、 P2P 下載等網(wǎng)絡(luò)資源濫用