【正文】 169。216。216。216。216。. 方案清單產(chǎn)品/服務(wù)組件形態(tài)說(shuō)明下一代智慧防火墻硬件SSLVPN安全接入網(wǎng)關(guān)硬件Web應(yīng)用防火墻硬件虛擬化安全管理系統(tǒng)控制中心軟件主機(jī)客戶端軟件宿主機(jī)防護(hù)客戶端軟件鷹眼Web智能監(jiān)控系統(tǒng)硬件天眼態(tài)勢(shì)感知及安全運(yùn)營(yíng)平臺(tái)網(wǎng)絡(luò)流量傳感器硬件文件威脅鑒定器硬件日志采集器硬件分析平臺(tái)硬件關(guān)聯(lián)引擎硬件威脅情報(bào)服務(wù)服務(wù)運(yùn)維審計(jì)系統(tǒng)（堡壘機(jī)）硬件數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)硬件網(wǎng)站云監(jiān)測(cè)服務(wù)企業(yè)安全服務(wù)安全規(guī)劃咨詢服務(wù)服務(wù)補(bǔ)天眾測(cè)服務(wù)服務(wù)應(yīng)急響應(yīng)服務(wù)服務(wù). 下一代智慧防火墻. SSLVPN安全接入網(wǎng)關(guān). Web應(yīng)用防火墻. 虛擬化安全管理系統(tǒng). 鷹眼Web智能監(jiān)控系統(tǒng). 天眼態(tài)勢(shì)感知及安全運(yùn)營(yíng)平臺(tái). 運(yùn)維審計(jì)系統(tǒng)（堡壘機(jī)）. 數(shù)據(jù)庫(kù)審計(jì)系統(tǒng). 網(wǎng)站云監(jiān)測(cè). 企業(yè)安全服務(wù)6. 方案價(jià)值216。n 將數(shù)據(jù)中心內(nèi)的網(wǎng)站，通過(guò)360網(wǎng)站云監(jiān)測(cè)平臺(tái)進(jìn)行集中監(jiān)控，監(jiān)控指標(biāo)包括網(wǎng)站可用性、網(wǎng)站漏洞、篡改、掛馬、暗鏈、釣魚網(wǎng)站等。n 部署運(yùn)維審計(jì)系統(tǒng)（堡壘機(jī)）。對(duì)所有的服務(wù)器及終端進(jìn)行統(tǒng)一管理、病毒庫(kù)更新、安全策略下發(fā)。同時(shí)平臺(tái)可以導(dǎo)入云端高價(jià)值的威脅情報(bào)，對(duì)未知威脅和APT攻擊進(jìn)行有效檢測(cè)，并且可以通過(guò)與360下一代智慧防火墻進(jìn)行聯(lián)動(dòng)，在網(wǎng)關(guān)處進(jìn)行未知威脅的攔截。本區(qū)域安全設(shè)計(jì)如下圖所示：圖 49 運(yùn)維管理區(qū)安全設(shè)計(jì)n 部署態(tài)勢(shì)感知及安全運(yùn)營(yíng)平臺(tái)。本方案要做到的不僅僅是實(shí)現(xiàn)安全防護(hù)目標(biāo)，同時(shí)要盡可能的提升安全運(yùn)維的效率和體驗(yàn)，降低人為錯(cuò)誤帶來(lái)的風(fēng)險(xiǎn)。還可以通過(guò)建立行為模型來(lái)發(fā)現(xiàn)違規(guī)的數(shù)據(jù)庫(kù)訪問(wèn)行為，并能夠進(jìn)行溯源，定位到責(zé)任人。. 核心數(shù)據(jù)區(qū)核心數(shù)據(jù)區(qū)主要面臨的威脅來(lái)自于對(duì)數(shù)據(jù)安全方面，如敏感數(shù)據(jù)泄露、對(duì)數(shù)據(jù)庫(kù)的越權(quán)訪問(wèn)、數(shù)據(jù)庫(kù)配置缺陷等?？蛻舳伺c部署在運(yùn)維管理區(qū)的虛擬化安全控制中心進(jìn)行通信，進(jìn)行病毒庫(kù)更新、安全策略更新、日志告警上傳等。二是由于服務(wù)器虛擬化技術(shù)帶來(lái)的新型風(fēng)險(xiǎn)，如東西向流量的訪問(wèn)控制、虛擬機(jī)逃逸漏洞、虛擬機(jī)漂移導(dǎo)致安全策略失效等。n 在服務(wù)器虛擬化管理層部署宿主機(jī)防護(hù)代理客戶端，用于防范利用虛擬機(jī)逃逸漏洞對(duì)宿主機(jī)進(jìn)行穿透攻擊的行為，保證宿主機(jī)上所有虛擬機(jī)的安全運(yùn)行。n 在物理機(jī)和虛擬機(jī)操作系統(tǒng)上部署天擎虛擬化安全客戶端，主要功能包括惡意代碼防護(hù)、主機(jī)防火墻、主機(jī)入侵防御，并可以對(duì)虛擬機(jī)與物理機(jī)操作系統(tǒng)進(jìn)行統(tǒng)一管理。本區(qū)域安全設(shè)計(jì)如下圖所示：圖 46 一般服務(wù)區(qū)安全設(shè)計(jì)n 在一般服務(wù)區(qū)邊界部署Web應(yīng)用防火墻，用于對(duì)應(yīng)用層的攻擊行為進(jìn)行實(shí)時(shí)防護(hù)。包括兩方面：一是物理機(jī)與虛擬機(jī)操作系統(tǒng)的惡意代碼防范。這種安全漏洞可分為兩種：一種是由于操作系統(tǒng)本身設(shè)計(jì)缺陷帶來(lái)的漏洞，它將被運(yùn)行在這個(gè)系統(tǒng)上的應(yīng)用程序所繼承，另一種是應(yīng)用軟件程序安全漏洞，很常見(jiàn)，更要引起廣泛關(guān)注。. 一般服務(wù)區(qū)一般服務(wù)區(qū)通常承載了對(duì)外的Web類應(yīng)用，主要面臨的威脅有以下兩方面：1. 應(yīng)用安全風(fēng)險(xiǎn)，主要由于應(yīng)用軟件的漏洞造成。網(wǎng)絡(luò)威脅傳感器識(shí)別到網(wǎng)絡(luò)流量中的文件傳輸行為后，會(huì)將文件還原并發(fā)送至文件威脅鑒定器，進(jìn)行深度分析。通過(guò)流量鏡像接收全網(wǎng)的通信數(shù)據(jù)流，對(duì)各類網(wǎng)絡(luò)行為進(jìn)行還原，從中識(shí)別各類已知威脅生成告警；還可以通過(guò)與360威脅情報(bào)中心下發(fā)到本地的威脅情報(bào)進(jìn)行比對(duì)，識(shí)別未知威脅；同時(shí)全量網(wǎng)絡(luò)數(shù)據(jù)存儲(chǔ)在本地大數(shù)據(jù)分析平臺(tái)，可以對(duì)威脅進(jìn)行溯源。. 核心匯聚區(qū)核心匯聚區(qū)的安全設(shè)計(jì)主要考慮從全網(wǎng)流量中對(duì)各類威脅進(jìn)行識(shí)別檢測(cè)，及時(shí)發(fā)現(xiàn)攻擊行為并向安全運(yùn)營(yíng)中心進(jìn)行告警。本區(qū)域安全設(shè)計(jì)如下圖所示：圖 44 內(nèi)部接入?yún)^(qū)安全設(shè)計(jì)n 部署VPN接入網(wǎng)關(guān)，實(shí)現(xiàn)對(duì)分支機(jī)構(gòu)接入的訪問(wèn)控制、權(quán)限管理，并且采用鏈路加密技術(shù)保證敏感信息的傳輸安全。. 內(nèi)部接入?yún)^(qū)內(nèi)部接入?yún)^(qū)主要面臨的威脅來(lái)自于遠(yuǎn)程接入帶來(lái)的風(fēng)險(xiǎn)，如傳輸過(guò)程的信道監(jiān)聽(tīng)、員工遠(yuǎn)程接入后的權(quán)限濫用等。對(duì)于外聯(lián)接入?yún)^(qū)的安全設(shè)計(jì)主要從訪問(wèn)控制方面重點(diǎn)考慮。n 部署360網(wǎng)神下一代智慧防火墻，實(shí)現(xiàn)高性能的應(yīng)用層安全防護(hù)，以及與安全運(yùn)營(yíng)平臺(tái)進(jìn)行聯(lián)動(dòng)，實(shí)現(xiàn)網(wǎng)關(guān)處的未知威脅處置。網(wǎng)關(guān)層面應(yīng)當(dāng)具備對(duì)未知威脅的檢測(cè)能力，并能實(shí)現(xiàn)聯(lián)動(dòng)響應(yīng)機(jī)制，攔截掉威脅進(jìn)出的路徑?；ヂ?lián)網(wǎng)邊界是威脅的重要入口之一，同時(shí)也是數(shù)據(jù)泄露的主要出口之一。 DDoS攻擊會(huì)造成門戶網(wǎng)站、網(wǎng)絡(luò)設(shè)備、虛擬服務(wù)器等性能均急劇下降，可能導(dǎo)致無(wú)法正常處理用戶的正常訪問(wèn)請(qǐng)求，造成客戶訪問(wèn)失敗。DDOS攻擊分為帶寬消耗型攻擊（大流量攻擊）和主機(jī)資源消耗型攻擊，帶寬消耗型攻擊會(huì)對(duì)數(shù)據(jù)出口造成流量壓力，極大浪費(fèi)寶貴的帶寬資源，嚴(yán)重增加核心設(shè)