【正文】 網(wǎng)絡(luò)層安全） ....................................................................20 層次四：應(yīng)用的安全性（應(yīng)用層安全） ....................................................................21 層次五：管理的安全性（安全管理） ........................................................................21 總體部署 ........................................................................................................................21 入侵檢測系統(tǒng)部署 ........................................................22 安全風(fēng)險(xiǎn)分析 ................................................................................................................22 安全風(fēng)險(xiǎn)解決 ................................................................................................................22 智能網(wǎng)絡(luò)入侵檢測設(shè)備 ................................................................................................23 NIP 1000性能指標(biāo) .......................................................................................................28 終端安全管理系統(tǒng)部署 ....................................................30 終端安全管理系統(tǒng) ........................................................................................................30 安全監(jiān)控功能 ................................................................................................................33 資產(chǎn)管理應(yīng)用功能 ........................................................................................................33 安全接入控制網(wǎng)關(guān)應(yīng)用 ................................................................................................34 Secospace系統(tǒng)性能指標(biāo) .............................................................................................34電業(yè)局安全存儲(chǔ)網(wǎng)絡(luò)建設(shè)技術(shù)建議書1 概述 項(xiàng)目建設(shè)背景需求xx電業(yè)局網(wǎng)絡(luò)建設(shè)主要分為內(nèi)部辦公網(wǎng)絡(luò)和外部互聯(lián)網(wǎng)絡(luò)兩部分，現(xiàn)有核心設(shè)備是用的是華為5500系列交換機(jī)，交換機(jī)使用年限已久，隨著網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)大，現(xiàn)有網(wǎng)絡(luò)接口已逐漸不能滿足網(wǎng)絡(luò)的需求；內(nèi)部服務(wù)器數(shù)量已達(dá)到10臺(tái)左右，數(shù)據(jù)量增加的比較快，需要一套網(wǎng)絡(luò)存儲(chǔ)設(shè)備。內(nèi)部安全需要進(jìn)一步的管理。華為核心設(shè)備最多支持 144個(gè)光接口，能夠極大地滿足現(xiàn)在及將來網(wǎng)絡(luò)的需求。支持 QOS：能根據(jù)業(yè)務(wù)的要求提供不同等級(jí)的服務(wù)并保證服務(wù)質(zhì)量，提供資源預(yù)留，擁塞控制，報(bào)文分類，流量整形等強(qiáng)大的 IP QOS功能。電業(yè)局安全存儲(chǔ)網(wǎng)絡(luò)建設(shè)技術(shù)建議書高性能：在高負(fù)荷情況下仍然具有較高的吞吐能力和效率，延遲低。擴(kuò)展性：易于增加新設(shè)備、新用戶，易于和各種公用網(wǎng)絡(luò)連接，隨系統(tǒng)應(yīng)用的逐步成熟不斷延伸和擴(kuò)充，充分保護(hù)現(xiàn)有投資利益。標(biāo)準(zhǔn)化：通訊協(xié)議和接口符合國際標(biāo)準(zhǔn)。2 整體方案設(shè)計(jì) 組網(wǎng)方案出于安全性和穩(wěn)定性的要求，工程中采用電信級(jí)核心層交換機(jī)從而提高整網(wǎng)結(jié)構(gòu)的健壯性、可靠性，高效性。 方案建議及設(shè)備選型依據(jù)根據(jù)xx電業(yè)局?jǐn)?shù)據(jù)庫項(xiàng)目的技術(shù)規(guī)范要求以及華為公司全系列數(shù)通產(chǎn)品及解決方案特點(diǎn)，本著滿足業(yè)務(wù)優(yōu)先、先進(jìn)實(shí)用、平滑演進(jìn)等原則，我單位選擇華為公司在本期項(xiàng)目中建議的設(shè)備以及相關(guān)設(shè)備的建網(wǎng)方案優(yōu)勢如下：網(wǎng)絡(luò)檔次高、層次分明：采用最高能力交換機(jī)，按照網(wǎng)絡(luò)層次依次選擇合理產(chǎn)品，各層次產(chǎn)品之間系列化程度高，可靠性強(qiáng)。安全的雙平面的設(shè)計(jì)：本次為網(wǎng)絡(luò)結(jié)構(gòu)通過充分利用兩期建設(shè)中的設(shè)備，充分保證網(wǎng)絡(luò)安全備份及冗余性，整體提高網(wǎng)絡(luò)的可靠性等級(jí)系數(shù)。優(yōu)化的網(wǎng)絡(luò)性能：華為建議的部署方案，能夠保證網(wǎng)絡(luò)在故障情況下快速實(shí)現(xiàn)業(yè)務(wù)流量疏導(dǎo)，提高整個(gè)網(wǎng)絡(luò)質(zhì)量，保證網(wǎng)絡(luò)能夠承載。平滑的割接方案：華為公司有豐富的網(wǎng)絡(luò)割接經(jīng)驗(yàn)，可以保證網(wǎng)絡(luò)調(diào)整到合理的結(jié)構(gòu)，并保證現(xiàn)網(wǎng)業(yè)務(wù)盡可能的不受影響，保證平滑割接。3 網(wǎng)絡(luò)解決方案 IP 地址規(guī)劃IP地址的合理分配是保證網(wǎng)絡(luò)順利運(yùn)行和網(wǎng)絡(luò)資源有效利用的關(guān)鍵。IP地址空間的分配與合理使用與網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、網(wǎng)絡(luò)組織及路由政策有非常密切的關(guān)系，將 xx電業(yè)局業(yè)務(wù)工作的可用性、可靠性和有效性以及保密性產(chǎn)生顯著影響。因此，核心層應(yīng)象一個(gè)區(qū)域或一個(gè)節(jié)點(diǎn)一樣，被分配一段連續(xù)的地址。 VLAN規(guī)劃VLAN（Virtual Local Area Network）又稱虛擬局域網(wǎng)，是指在交換局域網(wǎng)的基礎(chǔ)上，采用網(wǎng)絡(luò)管理軟件構(gòu)建的可跨越不同網(wǎng)段、不同網(wǎng)絡(luò)的端到端的邏輯網(wǎng)絡(luò)。從技術(shù)角度講，VLAN 的劃分可依據(jù)不同原則，一般有以下三種劃分方法： 1. 基于端口的 VLAN劃分 2. 基于 MAC地址的 VLAN劃分 3. 基于路由的 VLAN劃分 而本期項(xiàng)目中以基于端口和基于路由的 VLAN劃分方法為主，除了公共 VLAN，網(wǎng)管 VLAN，關(guān)鍵領(lǐng)導(dǎo) VLAN等特殊網(wǎng)段，按照部門和單位進(jìn)行其他 VLAN網(wǎng)段的劃分。電業(yè)局安全存儲(chǔ)網(wǎng)絡(luò)建設(shè)技術(shù)建議書 QOS 設(shè)計(jì)在傳統(tǒng)的 IP網(wǎng)絡(luò)中，所有的報(bào)文都被無區(qū)別的等同對(duì)待，每個(gè)路由器對(duì)所有的報(bào)文均采用先入先出（FIFO）的策略進(jìn)行處理，它盡最大的努力（besteffort）將報(bào)文送到目的地，但對(duì)報(bào)文傳送的可靠性、傳送延遲等性能不提供任何保證。QoS旨在針對(duì)各種應(yīng)用的不同需求，為其提供不同的服務(wù)質(zhì)量，例如：提供專用帶寬、減少報(bào)文丟失率、降低報(bào)文傳送時(shí)延及時(shí)延抖動(dòng)等。良好的 QOS保障方案可以確保一般情況下網(wǎng)絡(luò)具有最好的使用效率、實(shí)時(shí)業(yè)務(wù)具有較小延時(shí)，惡劣情況下保證關(guān)鍵業(yè)務(wù)得到應(yīng)有的網(wǎng)絡(luò)服務(wù)。在 xx電業(yè)局?jǐn)?shù)據(jù)庫項(xiàng)目網(wǎng)絡(luò)中 QOS方案部署如下：接入層交換機(jī)接入端口不同業(yè)務(wù)進(jìn)行 VLAN標(biāo)記,并可以對(duì)報(bào)文進(jìn)行 ，以便后續(xù)的匯聚交換機(jī)和核心交換根據(jù)相應(yīng)優(yōu)先級(jí)標(biāo)記（、DSCP）進(jìn)行調(diào)度，當(dāng)然還可以根據(jù)策略的需要部署 CAR流量監(jiān)管策略，對(duì)用戶的接入速率進(jìn)行控制，保證 xx電業(yè)局網(wǎng)網(wǎng)絡(luò)始終處于健康（輕載）的運(yùn)行狀態(tài)。上述功能實(shí)現(xiàn)沒有 VLAN ID范圍數(shù)量的限制，對(duì)于設(shè)備性能沒有影響。并支持 TPID可配置，同時(shí)對(duì)設(shè)備性能沒有影響 S9300交換機(jī)提供完善的 DiffServ/QoS支持。完全做到業(yè)務(wù)區(qū)分并保證帶寬/時(shí)延/抖動(dòng)，可以為用戶提供具有不同服務(wù)質(zhì)量等級(jí)的服務(wù)保證，使 IP網(wǎng)絡(luò)真正成為同時(shí)承載數(shù)據(jù)、語音和視頻業(yè)務(wù)的綜合網(wǎng)絡(luò)。 S9300系列以太匯聚交換機(jī)（以下簡稱 S9300）是基于華為公司統(tǒng)一的VRP174。S9300系列包括 S930S930S9312三個(gè)產(chǎn)品形態(tài)，整個(gè)系列秉承模塊通用化、歸一化的設(shè)計(jì)理念，最小化備件成本，在保證設(shè)備擴(kuò)展性的同時(shí)最大限度地保護(hù)用戶投資。業(yè)界首創(chuàng)的環(huán)境監(jiān)控板，其核心芯片采用華為自主知識(shí)產(chǎn)權(quán)的中控芯片，實(shí)現(xiàn)硬件級(jí)的按流量動(dòng)態(tài)調(diào)整功率、風(fēng)扇分區(qū)控制、風(fēng)扇智能調(diào)速、端口休眠技術(shù)等多項(xiàng)節(jié)能技術(shù)，獨(dú)立環(huán)境監(jiān)控與網(wǎng)管聯(lián)動(dòng)，實(shí)現(xiàn)整機(jī)運(yùn)營維護(hù)的全面可視化管理。S9300具備線速的跨 VLAN組播復(fù)制能力，實(shí)現(xiàn)端口的滿負(fù)荷復(fù)制，滿足大容量的IPTV用戶接入需求；完善的二、三層組播協(xié)議，可作為組播復(fù)制點(diǎn)和控系統(tǒng)監(jiān)控模塊電業(yè)局安全存儲(chǔ)網(wǎng)絡(luò)建設(shè)技術(shù)建議書制點(diǎn)。三維擴(kuò)展，容量“無級(jí)變速”作為新一代的以太匯聚平臺(tái)，S9300可以從容應(yīng)對(duì)城域骨干網(wǎng)和大容量IDC對(duì)核心匯聚設(shè)備的帶寬需求。，單槽位支持240G 線速轉(zhuǎn)發(fā)，充分考慮未來3～5年的帶寬需求，提供帶寬平滑擴(kuò)展能力。獨(dú)特的“旋轉(zhuǎn)”風(fēng)道設(shè)計(jì)，提高整機(jī)散熱效率，降低功耗3%，同時(shí)整機(jī)出線能力提高6倍。獨(dú)立風(fēng)扇分區(qū)控制，降低噪聲10%，并延長風(fēng)扇使用壽命。真正的端口休眠技術(shù)，可以依據(jù)端口實(shí)際流量調(diào)整輸出功耗，降低功耗6%，節(jié)電 “不丟包”。融合了高密、接口模塊化設(shè)計(jì)、多重?cái)?shù)據(jù)保護(hù)技術(shù)，滿足數(shù)據(jù)庫等應(yīng)用系統(tǒng)、備份、數(shù)據(jù)中心等不同的存儲(chǔ)資源部署需求。根據(jù)第三章中我單位對(duì)于安全的風(fēng)險(xiǎn)分析，我單位將安全體系的層次劃分為五層：物理層安全、系統(tǒng)層安全、網(wǎng)絡(luò)層安全、應(yīng)用層安全、安全保密管理。物理層的安全主要體現(xiàn)在通信線路的可靠性（線路備份、網(wǎng)管軟件、傳輸介質(zhì)）；軟硬件設(shè)備安全性（替換設(shè)備；拆卸設(shè)備；增加