清華中學(xué)網(wǎng)絡(luò)安全改造規(guī)劃方案v(參考版)
2024-09-07 06:42本頁(yè)面
【正文】 防病毒性能 ＞ 100M 1 臺(tái) 部署在互聯(lián)網(wǎng)邊界，作為學(xué)校網(wǎng)絡(luò)安全堡壘 核心 交換機(jī) 推薦 H3C/HUAWEI/CISCO 三層交換機(jī) 1 臺(tái) 作為網(wǎng)絡(luò)星形拓?fù)渲行?，可以沿用原銳捷2800 光電收發(fā)器 當(dāng)部署核心交換機(jī)時(shí)，用于將核心交換機(jī)的電信號(hào)轉(zhuǎn)換為光信號(hào)，從清華中學(xué)網(wǎng)絡(luò)安全改造 規(guī)劃 方案 重慶 天融信 第 13 頁(yè) 而從過(guò)光纖到達(dá)各教學(xué)樓。 4. 推薦產(chǎn)品清單 產(chǎn)品名稱(chēng) 型號(hào) 基本指標(biāo) 數(shù)量 價(jià)格 備注 網(wǎng)絡(luò)衛(wèi)士 網(wǎng)關(guān)系統(tǒng) TopGate 300UTM 1U 主機(jī)，最大配置為 12個(gè)接口， 1個(gè)擴(kuò)展插槽，標(biāo)配 4 個(gè) 10/100/1000BASET 接口； 整機(jī)吞吐量＞ 1Gbps； 最大并發(fā)連接數(shù)＞ 160 萬(wàn)； MTBF＞ 80000 小時(shí) 。 （ 5） 在做好本職工作的同時(shí)，應(yīng)協(xié)助機(jī)房管理人員進(jìn)行機(jī)房管理，嚴(yán)格按照機(jī)房制度執(zhí)行日常維護(hù)。 （ 4） 良好周密的日志記錄以及細(xì)致的分析經(jīng)常是預(yù)測(cè)攻擊，定位攻擊，以及遭受攻擊后追查攻擊者的有力武器。 （ 2） 負(fù)責(zé)日常操作系統(tǒng)、網(wǎng)管系統(tǒng)、郵件系統(tǒng)的安全補(bǔ)丁、漏洞檢測(cè)及修補(bǔ)、病毒防治等工作。 （ 7） 備份數(shù)據(jù)資料保管地點(diǎn)應(yīng)有防火、防熱、防潮、防塵、防磁、防盜設(shè)施。 （ 6） 備份的數(shù)據(jù)必須指定專(zhuān)人負(fù)責(zé)保管，由管理人員按規(guī)定的方法同數(shù)據(jù)保管員進(jìn)行數(shù)據(jù)的交接。 （ 4） 每周五當(dāng)班人員制作數(shù)據(jù)的備份并異地存放，確保系統(tǒng)一旦發(fā)生故障時(shí)能夠快速恢復(fù)，備份數(shù)據(jù)不得更改。 （ 2） 禁止泄露、外借和轉(zhuǎn)移專(zhuān)業(yè)數(shù)據(jù)信息。 （ 4） 經(jīng)遠(yuǎn)程通信傳送的程序或數(shù)據(jù)，必須經(jīng)過(guò)檢測(cè)確認(rèn)無(wú)病毒后方可使用。 （ 2） 采用國(guó)家許可的正版防病毒軟件并及時(shí)更新軟件版本。當(dāng)班人員應(yīng)在數(shù)據(jù)庫(kù)的系統(tǒng)認(rèn)證、系統(tǒng)授權(quán)、系統(tǒng)完整性、補(bǔ)丁和修正程序方面實(shí)時(shí)修改。 （ 9） 制定數(shù)據(jù)管理制度。 （ 7） 網(wǎng)管人員統(tǒng)一管理計(jì)算機(jī)及其相關(guān)設(shè)備，完整保存計(jì)算機(jī)及其相關(guān)設(shè)備的驅(qū)動(dòng)程序、保修卡及重要隨機(jī)文件。監(jiān)控網(wǎng)絡(luò)上的數(shù)據(jù)流，從中檢測(cè)出攻擊的行為并給予響應(yīng)和處理。未發(fā)生故障或故障隱患時(shí)當(dāng)班人員不可對(duì)中繼、光纖、網(wǎng)線及各種設(shè)備進(jìn)行任何調(diào)試，對(duì)所發(fā)生的故障、處理過(guò)程和結(jié)果等做好詳細(xì)登記。 （ 3） 嚴(yán)禁易燃易爆和強(qiáng)磁物品及其它與機(jī)房工作無(wú)關(guān)的物品進(jìn)入機(jī)房。 （ 1） 機(jī)房管理 （ 2） 計(jì)算機(jī)病毒防范制度 （ 3）數(shù)據(jù)保密及數(shù)據(jù)備份制度 （ 4） 網(wǎng)絡(luò)安全管理員的職責(zé) . 機(jī)房管理 （ 1） 路由器、交換機(jī)和服務(wù)器以及通信設(shè)備是網(wǎng)絡(luò)的關(guān)鍵設(shè)備，須放置計(jì)算機(jī)機(jī)房?jī)?nèi)，不得自行配置或更換，更不能挪作它用。如果有條件，最好使用配線架規(guī)范走線。因此應(yīng)該單獨(dú)進(jìn)行保護(hù)，考慮到成本問(wèn)題，本次方案建議在劃分服務(wù)器 vlan 后，在服務(wù)器群與核心交換機(jī)之間部署原有防火墻，以此對(duì)防止內(nèi)網(wǎng) 用戶(hù)對(duì)服務(wù)器有意、無(wú)意的攻擊。 通過(guò)對(duì)邊界的改造，有效地保護(hù)了整個(gè)主干網(wǎng)絡(luò)； . 網(wǎng)絡(luò)主干改造 原網(wǎng)絡(luò)結(jié)構(gòu)不規(guī)范，通過(guò)【網(wǎng)絡(luò)邊界】改造一定程度上規(guī)范了主干聯(lián)絡(luò)，但一個(gè)典型的網(wǎng)絡(luò)主干應(yīng)該包含一臺(tái)核心交換機(jī)；考慮 到學(xué)校網(wǎng)絡(luò)流量不是太大，因此本次建議新部署一臺(tái)三層交換作為網(wǎng)絡(luò)核心交換機(jī)（或者直接使用現(xiàn)有的銳捷 2800） . vlan 劃分 為實(shí)現(xiàn)網(wǎng)絡(luò)整體安全性，減小廣播風(fēng)暴對(duì)整個(gè)網(wǎng)絡(luò)影響，本次升級(jí)方案 根據(jù)用 將網(wǎng)絡(luò)劃分為 多 個(gè) vlan： ? 內(nèi)部服務(wù)器群一個(gè) vlan； ? 每個(gè)機(jī)房一個(gè) vlan； ? 不同教學(xué)樓的教師機(jī)可以單獨(dú)劃分 vlan。 UTM 是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，通 過(guò)監(jiān)測(cè)、限制、更改跨越 UTM 的數(shù)據(jù)流，盡可能地對(duì)外部屏蔽網(wǎng)絡(luò)內(nèi)部的信息、結(jié)構(gòu)和運(yùn)行狀況，有選擇地接受外部訪問(wèn)，對(duì)內(nèi)部強(qiáng)化設(shè)備監(jiān)管、控制對(duì)服務(wù)器與外部網(wǎng)絡(luò)的訪問(wèn)，在被保護(hù)網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間架起一道屏障，以防止發(fā)生不可預(yù)測(cè)的、潛在的破壞性侵入 。 . 改造拓?fù)? 圖 31 改造建立拓?fù)涫疽鈭D . 改造說(shuō)明 . 網(wǎng)絡(luò)邊界改造 考慮到原網(wǎng)絡(luò)中 沒(méi)有統(tǒng)一邊界，且原網(wǎng)絡(luò)防火墻設(shè)備老化，在運(yùn)行中嚴(yán)重超負(fù)荷，且功能不足，本次建議首先改造網(wǎng)絡(luò)邊界，采用在網(wǎng)絡(luò)邊界新部署一臺(tái)天融信多功能網(wǎng)關(guān) (以下簡(jiǎn)稱(chēng) UTM)，包含防火墻、入侵防御系統(tǒng)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1