【正文】 的虛擬防火墻，每個(gè)虛擬防火墻擁有獨(dú)立的管理員權(quán)限定義安全策略和使用資源。不同安全域的管理員只負(fù)責(zé)本區(qū)域虛擬防火墻的策略控制管理，而不用關(guān)心其它虛擬防火墻的配置工作，避免了單一區(qū)域安全策略配置錯(cuò)誤而對(duì)其它區(qū)域可能造成的影響，從根本上簡(jiǎn)化大型數(shù)據(jù)中心管理維護(hù)的難度。 不同安全域之間的訪問控制策略由于虛擬化設(shè)計(jì)而只需考慮各個(gè)安全域內(nèi)出方向策略和入方向策略即可。建議初始策略依據(jù)如下原則設(shè)定，然后根據(jù)業(yè)務(wù)需求不斷調(diào)整： ①出方向上不進(jìn)行策略限制，全部打開②入方向上按“最小授權(quán)原則”打開必要的服務(wù) ③允許發(fā)自內(nèi)部地址的雙方向的icmp，但對(duì)icmp進(jìn)行應(yīng)用檢查（inspect）④允許發(fā)自內(nèi)部地址的traceroute，便于網(wǎng)絡(luò)診斷 ⑤關(guān)閉雙方向的tcpseqrandomization，在機(jī)房?jī)?nèi)的防火墻可以去除該功能以提高轉(zhuǎn)發(fā)效率 ⑥少或者不進(jìn)行nat，保證數(shù)據(jù)中心內(nèi)的地址透明性，便于ace提供服務(wù)⑦關(guān)閉natcontrol（此為默認(rèn)），關(guān)閉xlate記錄，以保證并發(fā)連接數(shù) ⑧基于每個(gè)虛擬防火墻設(shè)定最大未完成連接數(shù)（embryonicconnection），將來升級(jí)到定義每客戶端的最大未完成連接數(shù) 系統(tǒng)的不停的打補(bǔ)丁和進(jìn)行特征碼升級(jí)的被動(dòng)防御手段已經(jīng)無法適應(yīng)安全防御的要求，必須由網(wǎng)絡(luò)主動(dòng)的智能的感知網(wǎng)絡(luò)中的行為和事件，在發(fā)生嚴(yán)重后果之前及時(shí)通知安全網(wǎng)絡(luò)管理人員，甚至直接聯(lián)動(dòng)相關(guān)的安全設(shè)備，進(jìn)行提早措施，才能有效減緩危害。要實(shí)現(xiàn)這種智能的主動(dòng)防御系統(tǒng)，需要網(wǎng)絡(luò)中進(jìn)行如下部署： 對(duì)桌面用戶的接入進(jìn)行感知和相應(yīng)措施對(duì)桌面用戶的行為進(jìn)行分析和感知 對(duì)全網(wǎng)安全事件、流量和拓?fù)溥M(jìn)行智能的分析、關(guān)聯(lián)和感知對(duì)各種信息進(jìn)行綜合分析然后進(jìn)行準(zhǔn)確的報(bào)告在報(bào)告的同時(shí)進(jìn)行網(wǎng)絡(luò)的聯(lián)動(dòng)以提早抑制威脅 以上整個(gè)過程需要多個(gè)產(chǎn)品進(jìn)行部署才能實(shí)現(xiàn)。 網(wǎng)絡(luò)準(zhǔn)入控制技術(shù)——networkaccesscontrol（nac），就是一種由網(wǎng)絡(luò)智能對(duì)終端進(jìn) 17行感知，而判斷其威脅性，從而減少由終端發(fā)起的攻擊的一種技術(shù)。nac類似于前面提到的身份識(shí)別安全接入控制技術(shù)，只不過它對(duì)主機(jī)、網(wǎng)絡(luò)設(shè)備等接入的判別標(biāo)準(zhǔn)不僅僅是基于用戶身份的，而是基于該設(shè)備的“網(wǎng)絡(luò)健康狀態(tài)”。nac允許各機(jī)構(gòu)實(shí)施主機(jī)補(bǔ)救策略，將不符合安全策略要求及可疑的系統(tǒng)放置到隔離環(huán)境中（比如一個(gè)特定的專用于軟件升級(jí)的vlan），限制或禁止其訪問生產(chǎn)網(wǎng)絡(luò)，等威脅消除后，再回到生產(chǎn)網(wǎng)絡(luò)。通過將端點(diǎn)安全狀態(tài)信息與網(wǎng)絡(luò)準(zhǔn)入控制的執(zhí)行標(biāo)準(zhǔn)結(jié)合在一起，nac使各機(jī)構(gòu)能夠大幅度提高其計(jì)算基礎(chǔ)設(shè)施的安全性。 實(shí)現(xiàn)以下要求： ①一體化的準(zhǔn)入控制：不僅僅是有線端的準(zhǔn)入控制，而且要實(shí)現(xiàn)包括無線、vpn接入在內(nèi)的準(zhǔn)入控制，而且應(yīng)當(dāng)是統(tǒng)一的一個(gè)系統(tǒng)下的準(zhǔn)入控制，這就需要以太網(wǎng)交換機(jī)、無線ap設(shè)備、無線控制器、vpn集中器都可以支持統(tǒng)一的準(zhǔn)入控制； ②支持多種準(zhǔn)入控制形式：包括能夠支持基于infrastructure的準(zhǔn)入控制，比如對(duì)于有線局域網(wǎng)、對(duì)于路由器、防火墻、vpn集中器等等可實(shí)施基于過濾機(jī)制的準(zhǔn)入控制，也可以支持基于網(wǎng)絡(luò)專用設(shè)備的準(zhǔn)入控制，比如對(duì)于網(wǎng)絡(luò)交換機(jī)、路由器是由不同廠商品牌設(shè)備構(gòu)成的異構(gòu)網(wǎng)絡(luò)也可以實(shí)施基于專用在線設(shè)備的準(zhǔn)入控制； ③與身份標(biāo)識(shí)相結(jié)合：準(zhǔn)入控制機(jī)制應(yīng)當(dāng)與身份標(biāo)識(shí)是一體化的，不同身份標(biāo)識(shí)的用戶可以有相應(yīng)的準(zhǔn)入控制策略，即對(duì)身份的識(shí)別和對(duì)健康的檢查可以進(jìn)行聯(lián)系； ④獨(dú)立對(duì)客戶機(jī)健康狀態(tài)進(jìn)行評(píng)估。能夠結(jié)合其它病毒廠商軟件進(jìn)行安全狀態(tài)檢查，更可以獨(dú)立對(duì)客戶端行為進(jìn)行檢查，包括操作系統(tǒng)補(bǔ)丁、病毒軟件版本等，還應(yīng)當(dāng)包括檢查注冊(cè)表可疑記錄、非法修改等等，能夠通過對(duì)客戶機(jī)狀態(tài)進(jìn)行深度判斷，而基本上脫離復(fù)雜的第三方廠商病毒軟件的部署而獨(dú)立對(duì)健康狀態(tài)進(jìn)行準(zhǔn)確評(píng)估。 ⑤提供自動(dòng)修復(fù)。準(zhǔn)入控制系統(tǒng)應(yīng)包括提供在線的自動(dòng)修復(fù)能力，包括各種策略的軟件分發(fā)和鏈接推送等。 ⑥能夠發(fā)現(xiàn)和自動(dòng)識(shí)別打印機(jī)、ip電話等非常規(guī)nac客戶端 本期項(xiàng)目應(yīng)用區(qū)公共資源平臺(tái)是為深入貫徹落實(shí)國(guó)務(wù)院、XX市關(guān)于促進(jìn)電子政務(wù)發(fā)展加強(qiáng)智慧城市建設(shè)的要求，進(jìn)一步推進(jìn)智慧xx區(qū)項(xiàng)目建設(shè)，結(jié)合xx中心信息化建設(shè)的實(shí)際 18需要，積極打造開放、智能、公益、面向公眾的社會(huì)性優(yōu)質(zhì)數(shù)據(jù)平臺(tái)。 xxx單位對(duì)外服務(wù)公眾平臺(tái)系統(tǒng)圍繞智慧應(yīng)用的共性需求，不斷推進(jìn)中心全區(qū)統(tǒng)一的應(yīng)用智能支撐平臺(tái)建設(shè)，實(shí)現(xiàn)各類信息的規(guī)范接入、有效整合和多維數(shù)據(jù)融合，支撐跨部門資源共享與交互，支撐部門業(yè)務(wù)協(xié)同與聯(lián)動(dòng)運(yùn)行，為領(lǐng)導(dǎo)提供輔助決策。主要包括建設(shè)區(qū)物聯(lián)網(wǎng)應(yīng)用支撐平臺(tái)、共性云服務(wù)、移動(dòng)管理服務(wù)平臺(tái)、城市空間可視化管理平臺(tái)和單點(diǎn)登錄用戶認(rèn)證平臺(tái)等。 ①軟件選型原則。開放性，對(duì)稱性與非對(duì)稱處理，異種機(jī)互聯(lián)能力，目錄及安全服務(wù)的支持能力，應(yīng)用軟件的支持能力，網(wǎng)管能力，性能優(yōu)化和監(jiān)視能力，系統(tǒng)備份／恢復(fù)支持能力。 ②硬件選型原則。系統(tǒng)的開放性，系統(tǒng)的延續(xù)性，系統(tǒng)可擴(kuò)展性，系統(tǒng)的互連性能，應(yīng)用軟件的支持，系統(tǒng)的性價(jià)比，生產(chǎn)廠商的技術(shù)支持，可管理性（同事管理多處工作，消除問題，智能管理的方法），遠(yuǎn)程管理，狀況跟蹤，預(yù)故障處理，性能監(jiān)控，安全管理，可用性，磁盤故障，內(nèi)存問題，容錯(cuò)性（冗余組件、自動(dòng)服務(wù)器恢復(fù)，冗余網(wǎng)卡，冗余ＣＰＵ電源模塊，雙對(duì)等ＰＣＩ總線）及平臺(tái)支持。 軟件配置清單。用戶管理系統(tǒng)，xx地區(qū)預(yù)定系統(tǒng)，xx地區(qū)管理系統(tǒng)，xx館預(yù)定系統(tǒng)，安全展項(xiàng)管理系統(tǒng)，會(huì)議預(yù)定管理系統(tǒng)，會(huì)議室管理系統(tǒng)，手機(jī)端管理系統(tǒng)，手機(jī)端發(fā)布系統(tǒng)。 硬件配置清單：數(shù)據(jù)庫服務(wù)器8臺(tái)，其中xx地區(qū)部分2臺(tái)，xx館2臺(tái)，會(huì)議部分 219臺(tái)，手機(jī)客戶端數(shù)據(jù)服務(wù)器2臺(tái)。 4臺(tái)網(wǎng)頁頁面發(fā)布服務(wù)器，1臺(tái)手機(jī)客戶端發(fā)布服務(wù)器。1臺(tái)監(jiān)控服務(wù)器。1臺(tái)均衡負(fù)載服務(wù)器。1臺(tái)短信發(fā)送服務(wù)器。共計(jì)16臺(tái)服務(wù)器。 xx中心、xx館和xx中心大廳配備的6臺(tái)顯示屏播放終端，各個(gè)會(huì)議室配備會(huì)議室發(fā)布終端10臺(tái)顯示屏播放終端。 20 第四章項(xiàng)目實(shí)施計(jì)劃安排 ①立項(xiàng)并成立項(xiàng)目組 ②項(xiàng)目招標(biāo) ③討論系統(tǒng)的定位，設(shè)計(jì)目標(biāo)，需求分析，功能需求，安全性策略制定 ④項(xiàng)目軟件的代碼編寫，數(shù)據(jù)庫設(shè)計(jì) ⑤項(xiàng)目的硬件服務(wù)器采購、運(yùn)輸、安裝、調(diào)試 ⑥項(xiàng)目軟件的安裝試運(yùn)行，測(cè)試，修改 ⑦交付使用并上線 ⑧運(yùn)營(yíng)維護(hù) 21 1周5周2周8周3周3周1周第五章總投資估算和資金籌措 所有投資中，各種軟硬件設(shè)施基本考慮購買國(guó)產(chǎn)品牌，均采購自正規(guī)單位，保證質(zhì)量和品質(zhì)。采用經(jīng)濟(jì)適用，可擴(kuò)展，安全穩(wěn)定等原則。投資包括機(jī)房及配套設(shè)施的建設(shè)和施工，服務(wù)器及各類網(wǎng)絡(luò)器材的購置和相關(guān)軟件的安裝調(diào)試，系統(tǒng)開發(fā)的費(fèi)用等。 預(yù)計(jì)軟件系統(tǒng)設(shè)計(jì)施工費(fèi)用為50萬左右，機(jī)房及相關(guān)設(shè)施建設(shè)費(fèi)用約為10萬，各類網(wǎng)絡(luò)及服務(wù)器硬件建設(shè)費(fèi)用約為460萬，系統(tǒng)和安全等相關(guān)軟件費(fèi)用約為20萬，施工費(fèi)用約為10萬，共計(jì)約為550萬。 22第六章主要結(jié)論和建議 通過對(duì)建設(shè)項(xiàng)目的必要性分析、需求性分析、方案討論、投資估算，得出主要結(jié)論：該項(xiàng)目需求急迫，投資風(fēng)險(xiǎn)小，回報(bào)顯著，建議實(shí)施。 23 第31頁 共31頁