【正文】 護網(wǎng)絡(luò)系統(tǒng)的可有性、穩(wěn)定性、安全性 ? 保護網(wǎng)絡(luò)資源的合法使用性 ? 防范入侵者的惡意攻擊與破壞 ? 保護信息通過網(wǎng)上傳輸?shù)臋C密性、完整性及不可抵賴性 ? 防范病毒的侵害 ? 防范來自網(wǎng)絡(luò)內(nèi)外的攻擊 ? 有效的日志管理為安全運維提供支持 Forti UTM 安全解決方案 根據(jù)對網(wǎng)絡(luò)安全現(xiàn)狀及用戶需求的分析，我們推薦 總部使用 Forti 公司 UTM 產(chǎn)品Fortigate800,而各個分公司使用 Fortigate 200 來作為 Inter 網(wǎng)絡(luò)接入設(shè)備 。 ? 總部和分公司之內(nèi)的 DDN 網(wǎng)絡(luò)鏈路中接入 Fortigate 設(shè)備 (工作于透明模式 ),來進行過濾和阻擋病毒的傳播 ,使得整個網(wǎng)絡(luò)更為安全和 穩(wěn)定。 此次解決方案根據(jù) XX 集團網(wǎng)絡(luò)評估的結(jié)果 ,來進行整改 XX 集團有限公司的網(wǎng)絡(luò) ,降低整個網(wǎng)絡(luò)的安全風(fēng)險，進行多方冗余備份 ,保證網(wǎng)絡(luò)運作的安全、穩(wěn)定運行。 上海軟盛信息技術(shù)有限公司 Tel： 02152916000 上海市中山北路 2020 號中星經(jīng)貿(mào)大廈 19 樓 Fax： 02152949018 二 、 司需求分析 網(wǎng)絡(luò)分析及拓撲圖 XX 集團有限公司目前按網(wǎng)絡(luò)結(jié)構(gòu)主是由總公司、各個地區(qū)的分公司和部分移動用戶來組成的 。 ? 與購買和使用多個單一功能的 單點安全系統(tǒng)相比，降低了總體擁有成本（ TCO）。通過將狀態(tài)檢測防火墻、 VPN、網(wǎng)關(guān)防病毒和 IPS功能集成到一個安全設(shè)備里， UTM 提高了檢測率，并提供了比單一功能安全設(shè)備更好的阻擋能力。 增加統(tǒng)一威脅管理（ UTM）安全 為了對最新的混合型攻擊和社會工程威脅提供先進的安全檢測，越來越多的信息安全公司開發(fā)出了新一代安全平臺。 ? 不像基于主機的安全應(yīng)用那樣可能被最終用戶或惡意程序關(guān)閉。 ? 保持以前使用的設(shè)備、操作系統(tǒng)和應(yīng)用，無需將它們都升級到最新的版本。 上海軟盛信息技術(shù)有限公司 Tel： 02152916000 上海市中山北路 2020 號中星經(jīng)貿(mào)大廈 19 樓 Fax： 02152949018 ? 升級對于用戶、系 統(tǒng)或者應(yīng)用來說是透明的，無需停機，更新可以實時進行 —— 不像操作系統(tǒng)和應(yīng)用程序打補丁那樣需要重啟系統(tǒng)。除了實時阻擋攻擊之外，基于網(wǎng)絡(luò)的安全還包括以下優(yōu)點： ? 減少維護成本?；诰W(wǎng)絡(luò)的安全設(shè)備的例子包括入侵防御系統(tǒng)（ IPS）、防病毒網(wǎng)關(guān)、反垃圾郵件網(wǎng)關(guān)和統(tǒng)一威脅管理（ UTM）設(shè)備。 增加基于網(wǎng)絡(luò)的安全 基 于網(wǎng)絡(luò)的安全設(shè)備能夠部署在現(xiàn)有的安全體系中來提高檢測率，并在有害流量進入公司網(wǎng)絡(luò)之前進行攔截。安全分區(qū)的常用工具包括訪問控制列表（ ACLs）、防火墻和認證技術(shù)。為了防止這種情況的發(fā)生， IT 專業(yè)人員必須重新設(shè)計它們的網(wǎng)絡(luò)，圍繞關(guān)鍵部門、服務(wù)器群和關(guān)鍵應(yīng)用系統(tǒng)提供更加安全的區(qū)域。 當(dāng)移動設(shè)備離開辦公室時，它們更容易感染病毒、木馬和蠕蟲。 ? 移動設(shè)備包含有公司信息，但可能沒有備份，增加了丟失公司有價值財產(chǎn)的風(fēng)險。 ? 移動用戶往往對他們的設(shè)備具有管理員權(quán)限，這就意味著他們可以安裝各種未經(jīng)批準的軟件。 ? 員工將與其它網(wǎng)絡(luò)連接來開展業(yè)務(wù)，而這些外來網(wǎng)絡(luò)的安全級別完全未知。 ? 保持基于主機的安全應(yīng)用不斷升級、與公司安全策略同步是很難做到的。移動用戶承受更大安全風(fēng)險的原因如下： ? 移動設(shè)備無法受到與公司網(wǎng)絡(luò)相同的安全技術(shù)的保護。 關(guān)鍵資源的安全分域管理 隨著移動設(shè)備的普及，攻擊和威脅能夠同時從外網(wǎng)和內(nèi)網(wǎng)發(fā)起攻擊。 解決方案對于每一個公司肯定是不同的，而 IT 專業(yè)人員必須充分分析和理解他們的安全需求，確定究竟什么是他們試圖保護的 。 ? 增加對關(guān)鍵資源的監(jiān)視。 ? 增加基于網(wǎng)絡(luò)的安全平臺，以提供在線（ ”inline”）檢測和防御。現(xiàn)今為了成功的保護企業(yè)網(wǎng)絡(luò)，安全防御必須部署在網(wǎng)絡(luò)的各個層面，并采用更新的檢測和防護機制。僅僅依靠基于主機的防病毒軟件的另一個缺點是，事實上有害代碼在被每一個主機的安全軟件檢測和阻擋之前就已經(jīng)進入了公司的網(wǎng)絡(luò)，這就大大威脅了企業(yè)關(guān)鍵業(yè)務(wù)系統(tǒng)和網(wǎng)絡(luò)應(yīng)用。隨著業(yè)務(wù)中使用了越來越多的面向全球且需要持續(xù)運行的關(guān)鍵應(yīng)用，停機來更 新操作系統(tǒng)補丁、病毒特征碼和應(yīng)用升級變得越來越困難。 ? 最新的復(fù)雜的木馬程序能對流行的基于主機的防病毒軟件進行掃描，并在它們加載以前就將它們關(guān)閉 – 這就導(dǎo)致即使有了最新的病毒特征碼，事實上它們還是不能被檢測出來。 ? 很多用戶并沒有打開防病毒軟件的自動更新功能，也沒有經(jīng)常的手動更新他們的病毒庫，這就導(dǎo)致防病毒軟件對最新的威脅或攻擊無用?；谥鳈C的防病毒軟件隨著上世紀 80 年代中期基于文件的病毒開始流行而逐漸普及，如今已成為最受信任的安全措施之一。 IPS 是在線式（ ”inline”）設(shè)備，能夠主動的丟棄或重置可疑和危險的攻擊流量以及諸如 SYN Flood、 ICMP 攻擊等的協(xié)議異常攻擊。 ? 即使 IDS 與防火墻進行聯(lián)動，對于網(wǎng)絡(luò)蠕蟲病毒等快速傳播的威脅的響應(yīng)速度仍然是很慢的。 ? IDS 會產(chǎn)生大量的誤報，需要連續(xù)的監(jiān)視和對規(guī)則的細致調(diào)整使之變得更加有效，這 上海軟盛信息技術(shù)有限公司 Tel： 02152916000 上海市中山北路 2020 號中星經(jīng)貿(mào)大廈 19 樓 Fax： 02152949018 就導(dǎo)致很高的維護成本。 ? IDS 會被分段和打亂順序傳送的數(shù)據(jù)包所蒙蔽。它們僅僅是監(jiān)視設(shè)備，在發(fā)現(xiàn)惡意流量時進行報警。它們不能監(jiān)視到整個網(wǎng)絡(luò)。攻擊者發(fā)現(xiàn)了 IDS 的弱點，并采用了新方法來繞過這些監(jiān)視系統(tǒng)。邊界防火墻對于從企業(yè)信任的內(nèi)部網(wǎng)絡(luò)發(fā)起的感染和攻擊愛莫能助。 上海軟盛信息技術(shù)有限公司 Tel： 02152916000 上海市中山北路 2020 號中星經(jīng)貿(mào)大廈 19 樓 Fax： 02152949018 ? 當(dāng)攻擊者將攻擊負載拆分到多個分段的數(shù)據(jù)包里，并將它們打亂順序發(fā)出時，較新的深度包檢測防火墻往往也會被愚弄。 ? 較老式的防火墻對每一個數(shù)據(jù)包進行檢查，但不具備檢查包負載的能力。由于會話的發(fā)起方來自于內(nèi)部，所有來自于不可信任網(wǎng)絡(luò)的相關(guān)流量都會被防火墻放過。 SoftEther 等軟件更可以將所有 TCP/IP通訊封裝成 HTTPS數(shù)據(jù)包發(fā)送，使用傳統(tǒng)的狀態(tài)檢測防火墻簡直防不勝防。 ? 攻擊和探測程序可以通過防火墻開放的端口穿越防火墻。 傳統(tǒng)防火墻的問題在于黑 客已經(jīng)研究出大量的方法來繞過防火墻策略。狀態(tài)檢測防火墻是通過跟蹤會話的發(fā)起和狀態(tài)來工作的。 傳統(tǒng)的防火墻、 IDS、防病毒系統(tǒng)等安全產(chǎn)品在防范新型攻