【正文】 如果需要在Intra 提供讓外部訪問的服務（如WWW、FTP 等） ，NAT 系統(tǒng)可以為 Intra里的服務器建立靜態(tài)映射，外部用戶可以直接訪問該服務器。雙向網(wǎng)絡地址轉(zhuǎn)換 系統(tǒng)支持動態(tài)、靜態(tài)、雙向的 NAT。代理服務的訪問控制非常的完善，可以對時間、協(xié)議、方法、地址、DNS 域、目的端口和 URL 來進行控制。傳統(tǒng)的防火墻的包過濾只是根據(jù)規(guī)則表進行匹配，而方正方御防火墻對每個連接，作為一個數(shù)據(jù)流，通過規(guī)則表與連接表共同配合來對網(wǎng)絡狀態(tài)進行控制。方正方御防火墻修改了 TCP/IP 堆棧的算法，使得新的 syn 連接包可以正常通過，避免了由于大量的攻擊 SYN 包造成網(wǎng)絡的阻塞。使用在網(wǎng)橋模式時在 IP 層透明，使用路由模式時可以作為三個區(qū)之間的路由器，同時提供內(nèi)網(wǎng)到外網(wǎng)、DMZ 到外網(wǎng)的網(wǎng)絡地址轉(zhuǎn)換。這樣他們共同地負責起一個安全的管理平臺。完善的訪問控制 方正方御防火墻符合國家最新防火墻安全標準，采用了三級權(quán)限機制，分為管理員，策略員和審計員。雙機熱備份 通過雙機熱備份，本系統(tǒng)提供可靠的容錯/ 熱待機功能。方正方御防火墻不僅僅是一個包過濾的防火墻，而且包括了大量的實用模塊，可以為用戶提供多方面的服務。由于防火墻技術(shù)的針對性很強，它已成為實現(xiàn)網(wǎng)絡安全的重要保障之一。在立身自主開發(fā)外，方正數(shù)碼還與眾多國際知名的安全公司保持著良好的合作關(guān)系，并集成了國內(nèi)外最優(yōu)秀的公司安全產(chǎn)品，為國內(nèi) Inter 的安全建設保駕護航。目前這套方案已經(jīng)得到國家有關(guān)部門的大力支持，被國家經(jīng)貿(mào)委列為國家創(chuàng)新計劃項目之一。方正方御是在經(jīng)過一年多的大量投入和深入的研究后，提出的一套基于中國國情、全部自主開發(fā)、具有領(lǐng)先優(yōu)勢的解決方案。要給電子商務運營者賦能，先要給安全賦能。方正方御防火墻是國內(nèi)第一個通過公安部公共信息網(wǎng)絡安全監(jiān)督局新防火墻認證標準的包過濾級防火墻產(chǎn)品，同時通過了中國人民解放軍安全測評認證中心、國家保密局和中國國家信息安全測評認證中心的嚴格認證。30 / 843. 產(chǎn)品選型我們采用方正最新型方正方御防火墻。管理員負責防火墻的開關(guān)及日常維護，策略員負責配置防火墻的包過濾和入侵檢測規(guī)則，審計員負責日志的管理和審計中的授權(quán)機制?？梢酝ㄟ^一個控制機對多臺方正方御防火墻進行集中式的管理。分析寧波市政府系統(tǒng)計算機專網(wǎng)的特點和需求，方正方御防火墻的集中管理功能和權(quán)限管理機制完全可以滿足這些需求。需要集中管理的網(wǎng)絡設備包括防火墻設備和 VPN 設備。對于這些網(wǎng)絡我們建議使用如下方案：29 / 84. 集中管理和分級管理由于寧波市政府系統(tǒng)計算機專網(wǎng)涉及的網(wǎng)絡安全設備繁多，因此在管理上面需要既能集中管理，又可以在本地進行審計管理，日志查詢等操作。出于穩(wěn)定性的考慮，防火墻使用雙機熱備的方式，以保證網(wǎng)絡的不間斷性。如下圖所示：28 / 84寧波市政府系統(tǒng)計算機專網(wǎng)核心節(jié)點管理除了需要提供信息服務外，還需要對各區(qū)及委、辦、局的網(wǎng)絡設備進行集中管理，因此網(wǎng)絡的安全性和可靠性尤其的重要?？梢詫⑷我馊齻€物理網(wǎng)絡連接起來構(gòu)成一個互通的物理網(wǎng)絡。系統(tǒng)事件管理系統(tǒng)事件和日志的統(tǒng)計直接關(guān)系到整個安全平臺的完善和后續(xù)責任追查等多個方面，方正方御防火墻為用戶提供完整、準確的數(shù)據(jù)統(tǒng)計結(jié)果，供查詢、打印等。而防火墻操作系統(tǒng)采用經(jīng)過嚴格測試專有操作系統(tǒng)。這樣在遠程管理過程中數(shù)據(jù)通過專網(wǎng)進行管理能夠有效的保證管理的安全性。同時方正方御防火墻也提供帶寬管理、分配，系統(tǒng)報警等措施從側(cè)面協(xié)助。因此方正方御防火墻提供全面的訪問控制策略、IPMAC 地址捆綁、IDS 入侵檢測、反電子欺騙等手段。. 防火墻方案特點本次防火墻主要設置在連接的節(jié)點上。而系統(tǒng)的切換不影響業(yè)務。方正方御防火墻提供雙機備份功能，采用兩種方式進行備份檢測，軟件方式借用 HSRP 技術(shù)動態(tài)跟蹤各個區(qū)域運行狀態(tài)，發(fā)現(xiàn)任何一個區(qū)域出現(xiàn)問題即刻進行切換。方正防火墻內(nèi)嵌 IDS 功能模塊可以動態(tài)升級，保障IDS 數(shù)據(jù)庫和最新動態(tài)同步。保證防火墻產(chǎn)品實時和網(wǎng)絡安全領(lǐng)域技術(shù)同步，防止因為新的安全問題給系統(tǒng)帶來的安全風險。. 系統(tǒng)升級網(wǎng)絡安全技術(shù)隨著網(wǎng)絡技術(shù)發(fā)展不斷變化，而網(wǎng)絡安全策略和軟件也不能一成不變，需要不斷升級。在方正方御防火墻內(nèi)部成功的進行了 UDP、TCP 數(shù)據(jù)同步分析。方正方御防火墻能夠準確識別 數(shù)據(jù)流，讓數(shù)據(jù)合法通過。同時方正方御防火墻提供流量管理功能，對內(nèi)部網(wǎng)絡用戶對外網(wǎng)的訪問可以提供流量限制。方正方御防火墻可以針對實際情況，對部分特殊應用提供帶寬管理。通過強大的日志系統(tǒng)和實時報警、日志報警等多種方式保證網(wǎng)絡出現(xiàn)安全問題時可以有資料分析；同時也可以通過對日志系統(tǒng)的分析完善系統(tǒng)安全策略。系統(tǒng)報警：當有人非法對內(nèi)部網(wǎng)絡或者外部網(wǎng)絡進行訪問的時候，系統(tǒng)的實時報警會通過 Email 和聲音進行報警。如果有內(nèi)部人員對防火墻訪問，可以通過管理數(shù)據(jù)進行查詢。25 / 84針對通過防火墻數(shù)據(jù)，可以按照數(shù)據(jù)類型、地址進行統(tǒng)計分析。. 日志系統(tǒng)及系統(tǒng)報警方正方御防火墻提供強大的日志系統(tǒng)，將通過防火墻的數(shù)據(jù)、防火墻管理數(shù)據(jù)、流量、各種攻擊行為統(tǒng)計集成到一起。同時防火墻能夠?qū)窝b IP 地址進行識別。通過防火墻嵌入的 IDS 功能能夠有效防范對內(nèi)部 Windows/NT，Unix 系統(tǒng)的攻擊行為。升級在方正方御防火墻界面即可完成。針對各種攻擊行為，比如 TCP 序列號攻擊、劫持、碎片攻擊、端口掃描能夠識別阻斷。. 內(nèi)置入侵檢測（IDS）方正數(shù)碼公司和國際網(wǎng)絡安全組織合作，能夠?qū)崟r獲得最新系統(tǒng)入侵庫代碼，動態(tài)地將這些攻擊技術(shù)的解決方案加入到方正方御防火墻中,同時在方正方御防火墻內(nèi)部采用 3I 技術(shù)，加速應用層安全防護查詢過程。在該方案中我們將對內(nèi)部網(wǎng)絡和外部網(wǎng)絡情況具體了解，對 URL 攔截達到頁面級別。24 / 84URL 攔截：方正方御防火墻實現(xiàn)了透明的 URL 攔截功能，對通過防火墻的應用層URL 進行嚴格的控制和管理，按照用戶的要求進行攔截。內(nèi)部系統(tǒng)應該盡量采用固定 IP 分配方案。通過嚴格的訪問控制表來進行限制?！?DMZ 訪問：通常情況下 DMZ 對外部和內(nèi)部都不能主動進行訪問，除非特殊的應用需要到內(nèi)部網(wǎng)絡采集數(shù)據(jù)，可以有限地開放部分服務。同時內(nèi)部員工對 DMZ 區(qū)域服務器訪問也必須做限制?！?內(nèi)部網(wǎng)絡：內(nèi)部網(wǎng)絡對外部網(wǎng)絡的訪問也要進行嚴格的限制。關(guān)閉操作系統(tǒng)提供的除需要以外的所有服務和應用，防止因為這些服務和應用自身的漏洞給系統(tǒng)帶來的風險。將外部對內(nèi)部、DMZ 內(nèi)服務訪問明確限制，防止非法對內(nèi)部重要系統(tǒng)，特別是業(yè)務系統(tǒng)的訪問。23 / 84 ? 防火墻提供三個接口：內(nèi)網(wǎng)、外網(wǎng)、DMZ；? 防火墻工作在橋模式，這樣不需要改動現(xiàn)有網(wǎng)絡的拓撲結(jié)構(gòu)；? 將對外服務的各種服務設備放置在 DMZ 區(qū)域，和內(nèi)部網(wǎng)絡嚴格區(qū)分開，保證內(nèi)部系統(tǒng)安全。其功能強大，是未來防火墻技術(shù)發(fā)展的一個主要趨勢。防火墻按實現(xiàn)的方式不同，其基本類型有：包過濾型、代理(應用網(wǎng)關(guān))型和復合型。防火墻是網(wǎng)絡安全領(lǐng)域首要的、基礎的設施，它對維護內(nèi)部網(wǎng)絡的安全起著重要的作用。事實上，方御防火墻是通過該標準認證的第一個狀態(tài)檢測型包過濾防火墻。方正方御防火墻符合國家最新防火墻安全標準，采用了三級權(quán)限機制，分為管理員，策略員和審計員。方正方御防火墻采用基于 Windows GUI 的用戶界面進行遠程集中式管理，配置管理界面直觀，易于操作。要保護這樣一個繁雜的網(wǎng)絡系統(tǒng)的網(wǎng)絡安全，必須有完善的管理保證。方正數(shù)碼提出了安全數(shù)據(jù)通道網(wǎng)絡隔離解決方案，在網(wǎng)絡連通條件下，通過破壞網(wǎng)絡攻擊得以進行的另外兩個重要條件：? 從外部網(wǎng)絡向內(nèi)部網(wǎng)絡發(fā)起連接? 將可執(zhí)行指令傳送到內(nèi)部網(wǎng)絡從而確保寧波市政府系統(tǒng)計算機專網(wǎng)的安全。這是一個簡單的原理：如果網(wǎng)絡是隔離開的，那么網(wǎng)絡攻擊就失去了其存在的介質(zhì)，皮之不存，毛將焉附。方正方御防火墻管理也是用 證書進行認證的。對于內(nèi)部訪問，也要有完善的網(wǎng)絡行為審計記錄和權(quán)限限定，防止由內(nèi)部人員發(fā)起的攻擊──70%以上的攻擊都是內(nèi)部人員發(fā)起的。21 / 84. 超高安全要求下的網(wǎng)絡保護對于寧波市政府系統(tǒng)計算機專網(wǎng)數(shù)據(jù)中心安全而言，安全性需求就更加的高，屬于超高安全要求下的網(wǎng)絡保護范圍，因此需要在這些地方使用 2 臺防火墻進行雙機熱備，以保證數(shù)據(jù)穩(wěn)定傳輸。此外，信息備份是信息安全的最起碼的要求。微軟的原碼失竊案，據(jù)信，就是一黑客使用特洛伊木馬所為。方正方御防火墻提供了軟、硬兩種方式來實現(xiàn) VPN。使用 VPN 可以象管理本地服務器一樣去安全的管理遠程的服務器。? 虛擬專用網(wǎng)（VPN）：遠程傳輸?shù)陌踩玍PN 技術(shù)在把分散在各處的服務器群連成了一個整體，形成了一個虛擬的專用網(wǎng)絡。收集審計跟蹤的信息，通過列舉被記錄的安全事件的類別（例如對安全要求的明顯違反或成功操作的完成） ，能適應各種不同的需要。安全審計跟蹤機制的內(nèi)容是在安全審計跟蹤中記錄有關(guān)安全的信息，而安全審計管理的內(nèi)容是分析和報告從安全審計跟蹤中得來的信息。? 安全審計管理安全審計系統(tǒng)必須實時監(jiān)測網(wǎng)絡上和用戶系統(tǒng)中發(fā)生的各類與安全有關(guān)的事件，如網(wǎng)絡入侵、內(nèi)部資料竊取、泄密行為、破壞行為、違規(guī)使用等，將這些情況真實記錄，并能對于嚴重的違規(guī)行為進行阻斷。事實上，黑客可以將一些廣為人知的網(wǎng)絡攻擊進行一些較為復雜的變形，就能做到?jīng)]有入侵檢測系統(tǒng)能夠識別出來。方正方御防火墻已經(jīng)內(nèi)置的了一套網(wǎng)絡版的 IDS 系統(tǒng)能夠快速并有效的發(fā)現(xiàn) 1500 余種攻擊行為。入侵檢測系統(tǒng)通過掃描網(wǎng)絡流里的特征字段（網(wǎng)絡入侵檢測） ，或者探測系統(tǒng)的異常行為（主機入侵檢測） ，來發(fā)覺這類攻擊的存在。而從另外一個角度考慮問題， “實時監(jiān)測” ，發(fā)現(xiàn)黑客攻擊的企圖，對于網(wǎng)絡安全來說也是非常有意義的。比如方正方御防火墻在很好的實現(xiàn)了防火墻功能的同時，也實現(xiàn)了下面所說的入侵檢測功能；? 入侵檢測（IDS）：對攻擊試探的預警當黑客試探攻擊時，大多采用一些已知的攻擊方法來試探。在應用防火墻技術(shù)時，正確的劃分網(wǎng)絡邊界和制定完善的安全策略是至關(guān)重要的。防火墻根據(jù)網(wǎng)絡流的來源和訪問的目標，對網(wǎng)絡流進行限制，允許合法網(wǎng)絡流，并禁止非法網(wǎng)絡流。首先網(wǎng)絡的安全決不僅僅是一個防火墻，它應是包括入侵測檢（IDS） 、虛擬專用網(wǎng)（VPN）等功能在內(nèi)的立體的安全防護體系；其次真正的網(wǎng)絡安全一定要配備完善的高質(zhì)量的安全維護服務，以使安全產(chǎn)品充分發(fā)揮出其真正的安全效力。為達成以上目標，方正數(shù)碼在充分調(diào)研和分析比較的基礎上采用合理的技術(shù)手段和產(chǎn)品以構(gòu)建一個完整的安全技術(shù)體系，協(xié)助寧波政府建立完善的安全管理體系。為了解決專網(wǎng)面臨的安全問題，有必要建立一整套安全機制，包括：訪問控制、入侵檢測等多個方面。包括構(gòu)成所有設施、系統(tǒng)、以及系統(tǒng)所處理的數(shù)據(jù)（信息） 。限制對內(nèi)部資源和系統(tǒng)的訪問范圍。本次防火墻系統(tǒng)建設的目標是通過采用防火墻技術(shù)，防止不同節(jié)點間對內(nèi)聯(lián)網(wǎng)數(shù)據(jù)的非法使用和訪問，監(jiān)控整個網(wǎng)絡數(shù)據(jù)過程。而由于整個系統(tǒng)是一個體系，任何一個點出現(xiàn)安全問題，都可能給相關(guān)人員帶來損失。必須防止內(nèi)部不相關(guān)人員非法訪問安全程度要求高的數(shù)據(jù)，而且整個系統(tǒng)的正常運行也是保證銀行系統(tǒng)日常工作正常進行的一個十分重要的方面。由于 Windows NT 系統(tǒng)的復雜性，以及系統(tǒng)的生存周期比較短，系統(tǒng)中存在大量已知和未知的漏洞，一些國際上的安全組織已經(jīng)發(fā)布了大量的安全漏洞，其中一些漏洞可以導致入侵者獲得管理員的權(quán)限，而另一些漏洞則可以被用來實施拒絕服務攻擊。目前典型應用有FTP、HTTP、WWW 等。但不能針對不同的用戶，當一個用戶在通過共享對某一個資源進行操作時（這時共享權(quán)限有所擴大） ，其他用戶趁虛而入，而造成對資源的破壞?！　。?）在局部范圍內(nèi)通過資源共享的形式，這種方式建立在 NETBIOS 的基礎之上。在網(wǎng)絡中，有三種方式可以訪問 NT 服務器：　?。?）通過用戶帳號、密碼、用戶組方式登錄到服務器上，在服務器允許的權(quán)限內(nèi)對資源進行訪問、操作。對用戶帳號、用戶權(quán)限及資源權(quán)限的合理組合，可以有效地保證安全性。NT 的安全機制不是外加的，而是建立在操作系統(tǒng)內(nèi)部的，可以通過一定的設置使文件和其他資源免受在存放的計算機上工作的用戶和通過網(wǎng)絡接觸資源的用戶的威脅（破壞、非法的編輯等） 。. Windows NT 系統(tǒng)的安全分析　　Windows NT 的安全機制的基礎是所有的資源和操作都受到選擇訪問控制的保護，可以為同一目錄的不同文件設置不同的權(quán)限。針對這個部分的安全控制可以采取特殊的安全策略，同時利用相關(guān)的軟件對系統(tǒng)進行配置、監(jiān)控。針對 Unix 系統(tǒng)存在的諸多風險，應該采取相應的安全措施。通過偵聽網(wǎng)絡通訊流，入侵者找到受信任主機的一個 IP 地址，然后發(fā)送消17 / 84息時指示該消息來自受信任主機。這有可能造成某個未經(jīng)授權(quán)的個人非法進入您的網(wǎng)絡或看到機密數(shù)據(jù)?！龈`聽和重放攻擊 (Snooping and Replay Attacks): 竊聽攻擊涉及某個對網(wǎng)絡上的兩臺機器之間的通訊流進行偵聽的入侵者。 ■緩沖區(qū)溢出攻擊 (Buffer Overrun Exploits): 其中包括利用軟件的弱點將任意數(shù)據(jù)添加進某個程序中，從而在它以根的身份運行時，有可能賦予剝削者對您的系統(tǒng)的根訪問權(quán)。例如，攻擊可能使用大而無用的流量充斥網(wǎng)絡，導致無法向顧客提供服務。將網(wǎng)絡與外部網(wǎng)絡相連接，會使您的網(wǎng)絡遭受潛在的服務中斷、未經(jīng)授權(quán)的入侵以及相當大的破壞。? 審計：它要求對使用身份標識和認證的機制，文件的創(chuàng)建，修改，系統(tǒng)管理的所有操作以及其他有關(guān)安全事件進行記錄，