【正文】 時(shí)要充分分析產(chǎn)品部署的網(wǎng)絡(luò)環(huán)境和位置，實(shí)現(xiàn)對(duì)內(nèi)外網(wǎng)尤其是內(nèi)網(wǎng)（下屬各單位的網(wǎng)絡(luò)用戶入侵）的入侵檢測(cè)。 入侵檢測(cè)系統(tǒng)的技術(shù)規(guī)范要求如下：、入侵檢測(cè)系統(tǒng)要具有性能穩(wěn)定，對(duì)于常見(jiàn)的入侵系統(tǒng)的攻擊手法能清楚識(shí)別，同時(shí)要具有良好的性能價(jià)格比，入侵檢測(cè)的特征庫(kù)的更新升級(jí)與維護(hù)費(fèi)用必須合理或者免費(fèi)?？紤]到系統(tǒng)可用性，防火墻最好能支持雙機(jī)熱備。為方便管理，用戶必須能通過(guò)控制臺(tái)、和遠(yuǎn)程管理等方式對(duì)防火墻進(jìn)行管理和軟件升級(jí)。防火墻應(yīng)具有帶寬管理功能。防火墻應(yīng)具有和基于內(nèi)容的過(guò)濾功能。防火墻必須具有完善的日志功能，能夠記錄受到的攻擊或配置的修改等信息，同時(shí)也應(yīng)具備完善的日志管理和分析系統(tǒng)。防火墻應(yīng)支持服務(wù)器。防火墻應(yīng)具有防地址欺騙功能。防火墻應(yīng)能通過(guò)靜態(tài)地址翻譯和端口翻譯實(shí)現(xiàn)區(qū)內(nèi)各主機(jī)向發(fā)布信息、提供、 、等服務(wù)。具有地址翻譯功能，這包括靜態(tài)地址翻譯和動(dòng)態(tài)雙向地址翻譯。多種訪問(wèn)控制：防火墻至少應(yīng)能對(duì)地址（源、目的） 、服務(wù)（所有、端口） 、時(shí)間、流量等對(duì)象進(jìn)行控制。應(yīng)具有多種安全防范機(jī)制，支持包過(guò)濾、代理（） 、狀態(tài)監(jiān)測(cè)及以上三者的混合的工作方式。建立層次化的防護(hù)體系和管理體系4 / 25 具體產(chǎn)品選型及配置方案 技術(shù)要求防火墻技術(shù)規(guī)范要求如下：防火墻必須獲得公安部頒發(fā)的銷售許可證。產(chǎn)品在使用上應(yīng)具有友好的用戶界面，并且可以進(jìn)行相應(yīng)的客戶化工作，使用戶在管理、使用、維護(hù)上盡量簡(jiǎn)單、直觀。如國(guó)內(nèi)的安全等級(jí)標(biāo)準(zhǔn)、漏洞標(biāo)準(zhǔn)，以及國(guó)際的、 、 、等標(biāo)準(zhǔn)。穎芻莖蛺餑億頓裊賠瀧漲負(fù)這惻鮭觶。采用可以提供分級(jí)、分布、集中管理控制并可進(jìn)行互動(dòng)的產(chǎn)品。使產(chǎn)品更加適合用戶的實(shí)際需要，而不是一般的通用性產(chǎn)品。只有這樣才能保證系統(tǒng)的安全是可以用戶化的，才能有針對(duì)的為用戶的應(yīng)用和業(yè)務(wù)提供安全保證。鶼漬螻偉閱劍鯫腎邏蘞闋簣擇睜鮪謅。熒紿譏鉦鏌觶鷹緇機(jī)庫(kù)圓鍰緘鶚鱭圓。第一章 網(wǎng)絡(luò)安全設(shè)計(jì)方案 安全設(shè)計(jì)策略采用不同的安全產(chǎn)品優(yōu)勢(shì)互補(bǔ)。 逐步擴(kuò)充和穩(wěn)定運(yùn)行觀察期諺辭調(diào)擔(dān)鈧諂動(dòng)禪瀉類謹(jǐn)覡鸞幀鮮奧。 培訓(xùn)課程 釷鵒資贏車贖孫滅獅贅慶獷緞瑋鱘將。 培訓(xùn)目的 閿擻輳嬪諫遷擇楨秘騖輛塤鵜蘞鰱幟。 工程管理與實(shí)施鯊腎鑰詘褳鉀溈懼統(tǒng)庫(kù)搖飭緡釷鯉憮。系統(tǒng)安裝調(diào)試地點(diǎn) 凍鈹鋨勞臘鍇癇婦脛糴鈹賄鶚驥鯀戲。 工程項(xiàng)目整體實(shí)施周期 堯側(cè)閆繭絳闕絢勵(lì)蜆贅瀝紕縭墾鯇換。 項(xiàng)目實(shí)施進(jìn)度控制構(gòu)氽頑黌碩飩薺齦話騖門戲鷯瀏鯪晝。 工程質(zhì)量保證 貓蠆驢繪燈鮒誅髏貺廡獻(xiàn)鵬縮職鯡樣。 工程實(shí)施承諾及目標(biāo)綾鏑鯛駕櫬鶘蹤韋轔糴飆鈧麥蹣鯢殘。第二章、產(chǎn)品選配 列表蠟變黲癟報(bào)倀鉉錨鈰贅籜葦繯頹鯛潔。榕基掃描器系列化產(chǎn)品贓熱俁閫歲匱閶鄴鎵騷鯛漢鼉匱鯔潰。產(chǎn)品功能鐃誅臥瀉噦圣騁貺頂廡縫勵(lì)羆楓鱷燭。產(chǎn)品指標(biāo)分析預(yù)頌圣鉉儐歲齦訝驊糴買闥齙絀鰒現(xiàn)。網(wǎng)絡(luò)防病毒系統(tǒng)鵝婭盡損鵪慘歷蘢鴛賴縈詰聾諦鰭皚。專用的軟件系統(tǒng)廈礴懇蹣駢時(shí)盡繼價(jià)騷巹癩龔長(zhǎng)鰥檷。專用的安全操作系統(tǒng)彈貿(mào)攝爾霽斃攬磚鹵廡詒爾膚億鰾簡(jiǎn)。 具體產(chǎn)品選型及配置方案殘騖樓諍錈瀨濟(jì)溆塹籟婭騍東戇鱉納。1 / 25網(wǎng)絡(luò)安全解決方案二零零八年八月2 / 25目 錄第一章網(wǎng)絡(luò)安全設(shè)計(jì)方案矚慫潤(rùn)厲釤瘞睞櫪廡賴賃軔朧礙鱔絹。 安全設(shè)計(jì)策略聞創(chuàng)溝燴鐺險(xiǎn)愛(ài)氌譴凈禍測(cè)樅鋸鰻鯪。捷普防火墻系統(tǒng)釅錒極額閉鎮(zhèn)檜豬訣錐顧葒鈀詢鱈驄。專用的硬件平臺(tái)謀蕎摶篋飆鐸懟類蔣薔點(diǎn)鉍雜簍鰩驅(qū)。捷普入侵檢測(cè)系統(tǒng)煢楨廣鰳鯡選塊網(wǎng)羈淚鍍齊鈞摟鰨饗。公司背景籟叢媽羥為贍僨蟶練淨(jìng)櫧撻曉養(yǎng)鰲頓。主要優(yōu)勢(shì)滲釤嗆儼勻諤鱉調(diào)硯錦鋇絨鈔陘鰍陸。福建榕基漏洞掃描系統(tǒng)擁締鳳襪備訊顎輪爛薔報(bào)贏無(wú)貽鰓閎。榕基掃描器技術(shù)基礎(chǔ)壇摶鄉(xiāng)囂懺蔞鍥鈴氈淚躋馱釣繢鯨鎦。第三章網(wǎng)絡(luò)安全建設(shè)實(shí)施方案買鯛鴯譖曇膚遙閆擷凄屆嬌擻歿鯰錆。 產(chǎn)品質(zhì)量保證 驅(qū)躓髏彥浹綏譎飴憂錦諑瓊針嚨鯤鏵。 服務(wù)保證 鍬籟饗逕瑣筆襖鷗婭薔嗚訝擯饃鯫缽。 項(xiàng)目實(shí)施內(nèi)容 輒嶧陽(yáng)檉籪癤網(wǎng)儂號(hào)澩蠐鑭釃邊鯽釓。 項(xiàng)目實(shí)施任務(wù)識(shí)饒鎂錕縊灩筧嚌儼淒儂減攙蘇鯊運(yùn)。網(wǎng)絡(luò)安全產(chǎn)品安裝 恥諤銪滅縈歡煬鞏鶩錦聰櫻鄶燈鰷軫。 用戶培訓(xùn)碩癘鄴頏謅攆檸攜驤蘞鷥膠據(jù)實(shí)鰹贏。 培訓(xùn)內(nèi)容、時(shí)間和組織方式 氬嚕躑竄貿(mào)懇彈瀘頷澩紛釓鄧鰲鱺貼。 驗(yàn)收與測(cè)試慫闡譜鯪逕導(dǎo)嘯畫長(zhǎng)涼馴鴇撟鉍鲞謠。 工程進(jìn)度圖嘰覲詿縲鐋囁偽純鉿錈癱懇跡見(jiàn)鮫請(qǐng)。以有效的保證系統(tǒng)在出現(xiàn)安全問(wèn)題時(shí)，能從不同的側(cè)面有所反映，這樣可以更全面的反映系統(tǒng)的安全現(xiàn)狀，有利于系統(tǒng)安全的全面性。使用不同等級(jí)的安全產(chǎn)品進(jìn)行集成，在不同的網(wǎng)絡(luò)環(huán)境使用與之相應(yīng)的等級(jí)的安全產(chǎn)品，可以有效的減少系統(tǒng)投資。在產(chǎn)品選型時(shí)，需要廠家可以提供客戶化支持服務(wù)產(chǎn)品。國(guó)內(nèi)具有自主知識(shí)產(chǎn)權(quán)的安全產(chǎn)品可以隨3 / 25時(shí)根據(jù)用戶的要求對(duì)產(chǎn)品進(jìn)行相應(yīng)的改進(jìn)。紂憂蔣氳頑薟驅(qū)藥憫騖覲僨鴛鋅鮚嗚。由于網(wǎng)絡(luò)和系統(tǒng)的復(fù)雜性，對(duì)相應(yīng)產(chǎn)品的管理控制提出了更高的要求，不但可以進(jìn)行集中、分布的管理控制，還能夠進(jìn)行分級(jí)的管理控制以適應(yīng)大規(guī)模網(wǎng)絡(luò)的需要，同時(shí)不同安全產(chǎn)品之間應(yīng)能夠進(jìn)行有效的互動(dòng)，以提高系統(tǒng)的防御能力。在選擇產(chǎn)品時(shí)需要保證符合相應(yīng)的國(guó)際、國(guó)內(nèi)標(biāo)準(zhǔn)，尤其是國(guó)內(nèi)相關(guān)的安全標(biāo)準(zhǔn)。濫驂膽閉驟羥闈詔寢賻減棲綜訴鮐巹。銚銻縵嚌鰻鴻鋟謎諏涼鏗穎報(bào)嚴(yán)鮑蠅。從防火墻應(yīng)用和發(fā)展的趨勢(shì)，防火墻應(yīng)以硬件防火墻為主，軟件為輔。防火墻需支持網(wǎng)管協(xié)議。擠貼綬電麥結(jié)鈺贖嘵類羋罷鴇竇鮒鑿。防火墻應(yīng)提供區(qū)功能，對(duì)區(qū)內(nèi)主機(jī)提供有效保護(hù)。賠荊紳諮侖驟遼輩襪錈極嚕辮鏢鱸蕆。防火墻需具有地址綁定功能。防火墻應(yīng)具有入侵監(jiān)測(cè)功能。塤礙籟饈決穩(wěn)賽釙冊(cè)庫(kù)麩適緄撾鲅傯。防火墻應(yīng)具有透明接入功能。防火墻需具有友好的管理界面。裊樣祕(mì)廬廂顫諺鍘羋藺遞燦擾諗魴莖。防火墻應(yīng)具備高可靠性，其值必須大于等于小時(shí)。倉(cāng)嫗盤紲囑瓏詁鍬齊驁絛鯛鱧俁魷親。所以要求采用分布式多處設(shè)防，監(jiān)測(cè)中心設(shè)在中心機(jī)房。、入侵系統(tǒng)要具有良的響應(yīng)方式，如郵件、警報(bào)等。、入侵系統(tǒng)要有良好的數(shù)據(jù)收集、分析能力，同時(shí)能與防火墻聯(lián)動(dòng)來(lái)有效的阻斷所發(fā)生的攻擊事件。驍顧燁鶚巰瀆蕪領(lǐng)鱺賻驃弒綈閶魎齠。、整個(gè)系統(tǒng)對(duì)網(wǎng)絡(luò)的總體性影響要非常小。它采用專用的安全操作系統(tǒng)，基于先進(jìn)的動(dòng)態(tài)檢測(cè)技術(shù)，集強(qiáng)大的安全訪問(wèn)控制、高速包過(guò)濾技術(shù)、反入侵與抗攻擊技術(shù)、多級(jí)安全管理技術(shù)、實(shí)時(shí)的安全審計(jì)技術(shù)、應(yīng)用代理技術(shù)、帶寬管理、雙機(jī)熱備、內(nèi)容過(guò)濾、開(kāi)放聯(lián)動(dòng)協(xié)議等多項(xiàng)功能于一體，支持各種網(wǎng)絡(luò)協(xié)議，遵循 （包過(guò)濾防火墻安全技術(shù)要求）和 （應(yīng)用級(jí)防火墻安全技術(shù)要求）兩個(gè)國(guó)家標(biāo)準(zhǔn)，采用標(biāo)準(zhǔn)高度機(jī)箱，符合國(guó)際通用的電氣標(biāo)準(zhǔn)。捷普防火墻系統(tǒng)5 / 25專用的安全操作系統(tǒng)捷普防火墻系統(tǒng)基于專用安全網(wǎng)絡(luò)操作系統(tǒng)之上，此安全操作系統(tǒng)是捷普公司參與國(guó)家“計(jì)劃－－ 網(wǎng)絡(luò)安全操作系統(tǒng)”項(xiàng)目的研發(fā)成果，是具有自主版權(quán)的實(shí)時(shí)多任務(wù)安全網(wǎng)絡(luò)操作系統(tǒng)，具有極高的安全性和可靠性。專用的硬件平臺(tái)捷普防火墻采用專用的硬件平臺(tái)，通過(guò)高性能的網(wǎng)絡(luò)處理器和大容量的高速內(nèi)存保證硬件系統(tǒng)的高性能。專用的軟件系統(tǒng)捷普防火墻在其專用的硬件平臺(tái)和操作系統(tǒng)之上，搭建了專用的軟件系統(tǒng)。轡燁棟剛殮攬瑤麗鬮應(yīng)頁(yè)諳絞綽髏鱉。峴揚(yáng)斕滾澗輻灄興渙藺詐機(jī)憒頇驤經(jīng)。詩(shī)叁撻訥燼憂毀厲鋨驁靈韜鰍櫝驥鱭。安全有效的管理機(jī)制支持本地管理及遠(yuǎn)程管理方式?；诿钚泻偷墓芾斫缑婢捎梅謾?quán)制，不同級(jí)別的管理員有不同的權(quán)限。則鯤愜韋瘓賈暉園棟瀧華縉輅贊驏紆。脹鏝彈奧秘孫戶孿釔賻鏘詠繞敘驄驗(yàn)?？舍槍?duì)每一位用戶定制網(wǎng)絡(luò)安全規(guī)則，以便對(duì)該用戶網(wǎng)絡(luò)訪問(wèn)動(dòng)作進(jìn)行動(dòng)態(tài)的監(jiān)控?；谝?guī)則的帶寬管理采用基于規(guī)則的帶寬管理方式，配置簡(jiǎn)單靈活，能確保重要部門的網(wǎng)絡(luò)帶寬得到優(yōu)先的保證，更好地優(yōu)化網(wǎng)絡(luò)帶寬的使用，提高網(wǎng)絡(luò)資源的利用率。全面的連接管理功能能夠限制主機(jī)網(wǎng)段所允許建立的最大并發(fā)連接數(shù)，避免惡意攻擊或網(wǎng)絡(luò)病毒占用防火墻連接資源；能夠手動(dòng)調(diào)整協(xié)議的超時(shí)時(shí)間，根據(jù)實(shí)際網(wǎng)絡(luò)環(huán)境，充分優(yōu)化防火墻性能；同時(shí)提供連接手工阻斷機(jī)制。標(biāo)準(zhǔn)的網(wǎng)絡(luò)管理協(xié)議系統(tǒng)支持協(xié)議，用戶使用目前任意一種操作系統(tǒng)平臺(tái)上的網(wǎng)絡(luò)管理軟件都可以對(duì)捷普防火墻進(jìn)行統(tǒng)一的專 用操 作 系 統(tǒng)防火墻軟件系統(tǒng)專 用硬 件 平 臺(tái)6 / 25管理和監(jiān)控。協(xié)議支持捷普防火墻支持 。鋇嵐縣緱虜榮產(chǎn)濤團(tuán)藺締崳惲囂驁瘋。懨俠劑鈍觸樂(lè)鷴燼觶騮揚(yáng)銥鯊臘騖韋。內(nèi)嵌代理，提供對(duì)語(yǔ)音、視頻通信的完整支持。卓越的高可用性捷普防火墻支持雙機(jī)熱備功能、對(duì)服務(wù)的負(fù)載均衡能力和基于協(xié)議的鏈路備份功能。支持基于協(xié)議的鏈路備份，當(dāng)連接防火墻的某條線路斷掉，或者某個(gè)接口出現(xiàn)故障，防火墻同樣可以察覺(jué)，并進(jìn)行切換，從而保證網(wǎng)絡(luò)的應(yīng)用。強(qiáng)大的實(shí)時(shí)日志審計(jì)功能提供專用的日志管理系統(tǒng)，為用戶提供實(shí)時(shí)的日志集中統(tǒng)一管理，具有網(wǎng)絡(luò)層事件、傳輸層事件、應(yīng)用層事件、入侵事件、操作事件等多種日志信息， 可供用戶進(jìn)行日志的查詢、統(tǒng)計(jì)、整理、事后分析等功能。支持對(duì)防火墻本身的狀態(tài)進(jìn)行日志，可以記錄系統(tǒng)的占用率、內(nèi)存占用率、連接數(shù)和接口流量等狀態(tài)日志。麩肅鵬鏇轎騍鐐縛縟糶爾攤鱘嫗騅鐳。納疇鰻吶鄖禎銣膩鰲錟顫階躦萵騍潤(rùn)。內(nèi)置入侵檢測(cè)提供內(nèi)置的入侵檢測(cè)功能，能夠檢測(cè)出 攻擊、 攻擊、 攻擊、 攻擊、 攻擊、 攻擊、 攻擊、 攻擊、 攻擊等多種攻擊行為和病毒，保障網(wǎng)絡(luò)的安全，提高防火墻自身的安全性，并支持規(guī)則庫(kù)的升級(jí)。協(xié)議阻斷和帶寬控制可以阻斷常見(jiàn)的協(xié)議，并提供細(xì)粒度的帶寬控制，包括、電驢、 、 、 、等。滅噯駭諗鋅獵輛覯餿藹猙廚憮犧駿灃。一經(jīng)檢測(cè)到異常，按照7 / 25用戶預(yù)先設(shè)定的路由重新配置、刪除故障路由，并將網(wǎng)絡(luò)數(shù)據(jù)流切換到運(yùn)行狀態(tài)良好的接口和路由上，從而支持雙出口熱備，使用戶上網(wǎng)更加有保障。支持和其它安全產(chǎn)品的聯(lián)動(dòng)采用捷普公司特有的專利技術(shù)網(wǎng)絡(luò)安全設(shè)備聯(lián)動(dòng)協(xié)議（ ） ，提供阻斷規(guī)則配置防火墻信息獲取等服務(wù)接口，支持和入侵檢測(cè)、信息審計(jì)、主機(jī)監(jiān)管以及病毒防護(hù)等系統(tǒng)的互通和聯(lián)動(dòng)，形成立體的安全防護(hù)網(wǎng)，保障用戶網(wǎng)絡(luò)的安全。支持遠(yuǎn)程在線升級(jí)捷普防火墻支持對(duì)內(nèi)核的在線升級(jí)功能和模塊的在線升級(jí)功能。趕輾雛紈顆鋝討躍滿賺蜆騍純蠅驪銬。系統(tǒng)采用業(yè)內(nèi)領(lǐng)先的分布式檢測(cè)架構(gòu)，利用先進(jìn)的模式匹配和異常行為分析技術(shù)，可實(shí)時(shí)進(jìn)行計(jì)算機(jī)網(wǎng)絡(luò)的入侵檢測(cè)和攻擊防御。夾覡閭輇駁檔驀遷錟減汆藥徑鴕駭槍。全面覆蓋、 、 、等操作系統(tǒng)，支持對(duì)條常見(jiàn)攻擊規(guī)則的識(shí)別和多種流行蠕蟲病毒的檢測(cè)行為關(guān)聯(lián)事件 支持對(duì)異常事件的關(guān)聯(lián)挖掘分析，可以判斷未知攻擊網(wǎng)絡(luò)監(jiān)測(cè)功能流量分析 支持網(wǎng)段的流量統(tǒng)計(jì)分析功能報(bào)警與流量分析提供了報(bào)警的總體分布、報(bào)警級(jí)別分布、報(bào)警趨勢(shì)分布、流量趨勢(shì)、包趨勢(shì)、連接量趨勢(shì)、特征協(xié)議趨勢(shì)、安全評(píng)分對(duì)比，統(tǒng)計(jì)威脅對(duì)比、經(jīng)常觸發(fā)的事件等多種報(bào)警內(nèi)容主機(jī)評(píng)估與分析提供分析評(píng)估中心，可以將網(wǎng)絡(luò)中的數(shù)據(jù)詳細(xì)分類，對(duì)入侵