【正文】 統(tǒng)一配置和管理5. XX煙廠全局安全規(guī)劃方案. 煙草工業(yè)園區(qū)網(wǎng)絡(luò)安全現(xiàn)狀 大多數(shù)煙廠的網(wǎng)絡(luò)中都應(yīng)用了防火墻，大多數(shù)的桌面終端都安裝了相應(yīng)的防病毒軟件。 主要表現(xiàn)以下幾個方面： 網(wǎng)絡(luò)中P2P的應(yīng)用如BT、迅雷等業(yè)務(wù)占用了大量帶寬，使得正常的生產(chǎn)和辦公業(yè)務(wù)帶寬受到了影響； 雖然安裝了殺毒軟件，但是病毒更新卻不及時；或者雖能夠進(jìn)行基本的桌面安全以及病毒更新，卻無法控制接入人員的訪問權(quán)限。. 全局安全概述H3C全局安全管理平臺旨在集中部署網(wǎng)絡(luò)安全防護(hù)策略，簡化對安全部件的管理，確保網(wǎng)絡(luò)安全策略的統(tǒng)一；廣泛采集與分析來自于計算機(jī)、網(wǎng)絡(luò)、存儲、安全等設(shè)施的告警事件，通過關(guān)聯(lián)來自于不同地點(diǎn)、不同層次、不同類型的安全事件，發(fā)現(xiàn)真正的安全風(fēng)險，提高安全報警的信噪比；準(zhǔn)確的、實(shí)時的評估當(dāng)前的網(wǎng)絡(luò)安全態(tài)勢和風(fēng)險，并根據(jù)預(yù)先制定的策略做出快速響應(yīng)。H3C全局安全管理解決方案為實(shí)現(xiàn)這一目標(biāo)而構(gòu)建了開放的、可持續(xù)演進(jìn)的安全管理平臺，通過對防護(hù)、檢測和響應(yīng)等不同生命周期的各個安全環(huán)節(jié)進(jìn)行基于策略的管理，將各種異構(gòu)的安全設(shè)備、網(wǎng)絡(luò)設(shè)備、用戶終端和管理員有機(jī)的連接起來，構(gòu)成了一個智能的、聯(lián)動的閉環(huán)響應(yīng)體系，可在保護(hù)現(xiàn)有網(wǎng)絡(luò)基礎(chǔ)設(shè)施投資的基礎(chǔ)上有效應(yīng)對新的安全威脅、大幅提升對鋼鐵信息化系統(tǒng)業(yè)務(wù)的安全保障。保證用戶終端的安全、阻止威脅入侵網(wǎng)絡(luò)，對用戶的網(wǎng)絡(luò)訪問行為進(jìn)行有效的控制，是保證企業(yè)網(wǎng)絡(luò)安全運(yùn)行的前提，也是目前企業(yè)急需解決的問題。H3C端點(diǎn)準(zhǔn)入防御（EAD，Endpoint Admission Defense）解決方案從控制用戶終端安全接入網(wǎng)絡(luò)的角度入手，整合網(wǎng)絡(luò)接入控制與終端安全產(chǎn)品，通過安全客戶端、安全策略服務(wù)器、網(wǎng)絡(luò)設(shè)備以及第三方軟件的聯(lián)動，對接入網(wǎng)絡(luò)的用戶終端強(qiáng)制實(shí)施企業(yè)安全策略，嚴(yán)格控制終端用戶的網(wǎng)絡(luò)使用行為，有效地加強(qiáng)了用戶終端的主動防御能力，為企業(yè)網(wǎng)絡(luò)管理人員提供了有效、易用的管理工具和手段?；A(chǔ)設(shè)施框架下多層應(yīng)用程序與硬件、網(wǎng)絡(luò)、操作系統(tǒng)的關(guān)系變得愈加復(fù)雜。在這種咄咄逼人的安全形勢下，數(shù)據(jù)中心需要一個全方位一體化的安全部署方式。H3C數(shù)據(jù)中心安全解決方案的技術(shù)特色可用十二個字概括：三重保護(hù)、多層防御；分區(qū)規(guī)劃，分層部署。依拖具有豐富安全特性的交換機(jī)構(gòu)成數(shù)據(jù)中心網(wǎng)絡(luò)的第一重保護(hù)；以ASIC、FPGA和NP技術(shù)組成的具有高性能精確檢測引擎的IPS提供對網(wǎng)絡(luò)報文深度檢測，構(gòu)成對數(shù)據(jù)中心網(wǎng)絡(luò)的第二重保護(hù)；第三重保護(hù)是憑借高性能硬件防火墻構(gòu)成的數(shù)據(jù)中心網(wǎng)絡(luò)邊界。數(shù)據(jù)中心就像一個欣欣向榮的國家，來往的商客就像訪問數(shù)據(jù)中心的報文；防火墻是駐守在國境線上的軍隊(duì)，一方面擔(dān)負(fù)著守衛(wèi)國土防御外族攻擊（DDOS）的重任，另一方面負(fù)責(zé)檢查來往商客的身份（訪問控制）；IPS是國家的警察，隨時準(zhǔn)備捉拿雖然擁有合法身份，但仍在從事違法亂紀(jì)活動的商客（蠕蟲病毒），以保衛(wèi)社會秩序；具有各種安全特性的交換機(jī)就像商鋪雇傭的保安，提供最基本的安全監(jiān)管，時刻提防由內(nèi)部人員造成的破壞（STP 攻擊）。交換機(jī)提供的安全特性構(gòu)成安全數(shù)據(jù)中心的網(wǎng)絡(luò)基礎(chǔ)，提供數(shù)據(jù)鏈路層的攻擊防御。IPS可以針對應(yīng)用流量做深度分析與檢測能力，同時配合以精心研究的攻擊特征知識庫和用戶規(guī)則，即可以有效檢測并實(shí)時阻斷隱藏在海量網(wǎng)絡(luò)流量中的病毒、攻擊與濫用行為，也可以對分布在網(wǎng)絡(luò)中的各種流量進(jìn)行有效管理，從而達(dá)到對網(wǎng)絡(luò)應(yīng)用層的保護(hù)。數(shù)據(jù)中心網(wǎng)絡(luò)根據(jù)不同的信任級別可以劃分為：遠(yuǎn)程接入?yún)^(qū)、園區(qū)網(wǎng)、Internet服務(wù)器區(qū)、Extranet服務(wù)器區(qū)、Intranet服務(wù)器區(qū)、管理區(qū)、核心區(qū)，如圖。服務(wù)器資源是數(shù)據(jù)中心的核心，多層架構(gòu)把應(yīng)用服務(wù)器分解成可管理的、安全的層次。第一層，WEB層為Web服務(wù)器層，直接與接入設(shè)備相連，提供面向客戶的應(yīng)用；第二層，即應(yīng)用層，用來粘合面向用戶的應(yīng)用程序、后端的數(shù)據(jù)庫服務(wù)器或存儲服務(wù)器；第三層，即數(shù)據(jù)庫層，包含了所有的數(shù)據(jù)庫、存儲和被不同應(yīng)用程序共享的原始數(shù)據(jù)。按照功能分層打破了將所有功能都駐留在單一服務(wù)器時帶來的安全隱患，增強(qiáng)了擴(kuò)展性和高可用性。隨著信息安全的專業(yè)化發(fā)展和復(fù)雜程度提高，信息安全的技術(shù)門檻也提高了。H3C有非常專業(yè)的安全評估團(tuán)隊(duì)和有很好的安全評估方案，也具有信息安全類服務(wù)資質(zhì)證書。滲透測試通過模擬實(shí)際攻擊過程的方法，驗(yàn)證信息系統(tǒng)面臨的風(fēng)險，評價信息系統(tǒng)的安全性，并給出滲透測試報告。安全咨詢服務(wù)安全策略咨詢服務(wù)對用戶現(xiàn)有的信息安全策略文檔和策略執(zhí)行情況進(jìn)行評價，給出完整的信息安全策略框架，修訂或者制定相關(guān)的信息安全策略，并幫助用戶進(jìn)行策略的實(shí)施。安全培訓(xùn)安全意識培訓(xùn)面向用戶全體成員，提高安全意識安全管理培訓(xùn)面向用戶中高級管理層，提高安全管理認(rèn)識安全技術(shù)培訓(xùn)面向安全操作層，提高安全技術(shù)水平安全產(chǎn)品培訓(xùn)面向安全操作層，提高安全產(chǎn)品認(rèn)識水平和應(yīng)用水平. 全網(wǎng)安全方案特點(diǎn)1) 組件的模塊化架構(gòu)安全管理由策略管理、事件采集、分析決策、協(xié)同響應(yīng)四個組件組成，各功能部件以模塊化方式組成，架構(gòu)簡單明晰，易于擴(kuò)展。3) 管理覆蓋全面網(wǎng)上設(shè)備種類多、型號復(fù)雜是安全管理面臨的一大難題。以負(fù)責(zé)安全事件深度感知的SecCenter為例，SecCenter不僅能夠管理H3C各種類型的設(shè)備，而且可以支持業(yè)界主流網(wǎng)絡(luò)和安全產(chǎn)品，支持產(chǎn)品類型高達(dá)上百種，其中包括防火墻、IPS、IDS、路由器、交換機(jī)、VPN、內(nèi)容過濾系統(tǒng)、防病毒系統(tǒng)、防間諜軟件系統(tǒng)、防垃圾郵件系統(tǒng)和Windows、Unix和Linux 主機(jī)、數(shù)據(jù)庫等。例如在聯(lián)合工房的制絲車間、卷包車間、動力中心都會建設(shè)相關(guān)的生產(chǎn)監(jiān)控系統(tǒng)；為了保證整個園區(qū)的生產(chǎn)工作正常進(jìn)行，防止盜搶事件的發(fā)生，安保部門會建設(shè)相應(yīng)的安防保衛(wèi)監(jiān)控系統(tǒng)；對于煙廠的倉庫、物流部門，針對火災(zāi)、溫度、安防等觸發(fā)式告警監(jiān)控系統(tǒng)也有著廣泛的應(yīng)用。 不少監(jiān)控網(wǎng)絡(luò)還是采用傳統(tǒng)的銅纜方式，一方面監(jiān)控圖像清晰度不高，另一方面采用星形組網(wǎng)方式、布線成本高，布線工藝復(fù)雜。 不少煙廠領(lǐng)導(dǎo)希望在辦公桌上調(diào)用監(jiān)控圖像，但傳統(tǒng)監(jiān)控技術(shù)實(shí)現(xiàn)困難。. H3C IP智能監(jiān)控解決方案概述H3C IP智能監(jiān)控解決方案由于iVS基于IP構(gòu)建，系統(tǒng)中各個部件，都可以根據(jù)需求分布式部署并加以集中管理。與通常的視頻編碼器不同，EC系列監(jiān)控媒體終端同時具備視音頻接入及編碼、網(wǎng)絡(luò)接入和iSCSI存儲寫入功能，可以完成監(jiān)控信號的視音頻輸入，把模擬的視頻、音頻信號（如攝像機(jī)、麥克風(fēng)等視音頻源信號）進(jìn)行數(shù)字化和壓縮編碼，形成IP 數(shù)據(jù)包，利用網(wǎng)絡(luò)傳送到指定的目的地址，既可以進(jìn)行實(shí)時查看，滿足實(shí)時監(jiān)控的需求，也可以直接基于iSCSI寫入IP SAN存儲設(shè)備進(jìn)行信息保存。傳輸及交換部分：完成視頻流的傳送及交換功能。傳輸及交換部分包括H3C公司提供的路由器、接入交換機(jī)、核心交換機(jī)、EPON傳輸設(shè)備、信息安全產(chǎn)品等。由于IP技術(shù)的標(biāo)準(zhǔn)化程度高，應(yīng)用廣泛，部署簡單。同時，IP領(lǐng)域的新技術(shù)層出不窮，所有這些技術(shù)，都可能推動監(jiān)控技術(shù)的發(fā)展。隨著監(jiān)控應(yīng)用的不斷深化，大量視頻信息經(jīng)常需要進(jìn)行一定時期的存儲。視頻音頻存儲部分包括H3C公司的EX1000 IPSAN存儲設(shè)備，主要功能是接收EC發(fā)送過來的基于TCP/IP iSCSI 存儲視頻數(shù)據(jù)流，并存儲起來；向PC客戶端（虛擬解碼器Virtual decoder）提供實(shí)際的VOD點(diǎn)播視頻流數(shù)據(jù)流和視頻數(shù)據(jù)下載服務(wù)；接受數(shù)據(jù)管理服務(wù)器DM的管理等。顯示部分：視頻顯示部分完成視頻信號的解碼及輸出顯示，這部分主要包括H3C公司的DC系列監(jiān)控媒體終端，還包括電視墻、多媒體大屏幕、調(diào)音臺、功放等模擬視音頻設(shè)備。此外，iVS方案還提供（VC，Video Client）客戶端軟件，該軟件可以通過VM視頻管理服務(wù)器對DC系列監(jiān)控媒體終端的輸出進(jìn)行靈活的控制，實(shí)現(xiàn)數(shù)字矩陣的功能。VC可以接收系統(tǒng)產(chǎn)生的各類報警并加以直觀顯示和聯(lián)動，VC同時支持GIS地理信息系統(tǒng)方便用戶操作控制?？刂萍肮芾聿糠郑哼@部分完成對所有監(jiān)控設(shè)備、業(yè)務(wù)的管理及控制，包括了視頻管理服務(wù)器VM、數(shù)據(jù)管理服務(wù)器DM等組件。通過VM，可以很容易的實(shí)現(xiàn)對iVS方案的集中管理。DM的功能包括協(xié)助EC系列監(jiān)控媒體終端建立與存儲資源的連接、制定每個EC設(shè)備的存儲計劃、檢索回放視頻數(shù)據(jù)、備份視頻數(shù)據(jù)、存儲資源狀態(tài)監(jiān)控等功能。系統(tǒng)將信令控制與媒體流交換分離的先進(jìn)理念引入視頻監(jiān)控系統(tǒng)。 高清晰的圖像質(zhì)量H3C iVS采用最新的專業(yè)圖像技術(shù)，可提供FULL D1高清晰圖像分辨率，支持MPEG2/MPEG4/，編碼帶寬最高可達(dá)8M，尤其是在高動態(tài)圖像監(jiān)控場合，iVS可以為用戶提供最高質(zhì)量的高清晰圖像。尤其是iVS采用一次編碼、全網(wǎng)交換的方式，避免了傳統(tǒng)監(jiān)控系統(tǒng)因?yàn)榫仃嚩嗉壖壜?lián)而造成的圖像質(zhì)量下降和時延增加的現(xiàn)象，在多級擴(kuò)展后仍可以保持最佳的高清晰圖像質(zhì)量和低時延。從而確保了可靠海量視頻信息的可靠存儲。4）靈活方便的管理模式系統(tǒng)針對不同的用戶可以采用域管理、用戶管理和云臺控制沖突管理等多種權(quán)限管理模式。這種分級分域的多種管理模式非常適合政府、公安、機(jī)場等行業(yè)的管理模式。通過視頻管理服務(wù)器VM和數(shù)據(jù)管理服務(wù)器DM不僅可對前端設(shè)備進(jìn)行集中的管理和控制，還可對分布在各區(qū)域的存儲終端設(shè)備進(jìn)行遠(yuǎn)程的集中管理。5）靈活廉價的光纖布線成本通過內(nèi)置在網(wǎng)絡(luò)交換機(jī)和監(jiān)控媒體終端的插卡提供EPON無源光網(wǎng)絡(luò)布線，EPON非常符合城市道路光纖布置的特點(diǎn)，通過一根光纖可以解決大量的監(jiān)控媒體終端的接入，大大節(jié)省了用戶的光纖布線成本。 iVS方案EPON接入示意圖6） 對新技術(shù)的包容同時，監(jiān)控所涉及的每個子領(lǐng)域的技術(shù)都處在快速的發(fā)展中，如監(jiān)控接入層中的各種無線技術(shù)，包括WLAN、GPRS、3G等；網(wǎng)絡(luò)承載層中的IPv高性能以太網(wǎng)等；控制層的模塊化軟件技術(shù)、中間件技術(shù)等；業(yè)務(wù)應(yīng)用層的IP SAN、圖像識別、人工智能等。7. XXX煙廠綜合信息管理解決方案全面智能管理不光管理網(wǎng)絡(luò)安全系統(tǒng)，對于應(yīng)用系統(tǒng)、數(shù)據(jù)系統(tǒng)也要進(jìn)行統(tǒng)一集中管理。煙草企業(yè)一體化管理應(yīng)該以業(yè)務(wù)融合和業(yè)務(wù)流為主旨思想，實(shí)現(xiàn)用戶、資源和業(yè)務(wù)三大網(wǎng)絡(luò)要素的融合管理，其應(yīng)該具備以下功能：. 基礎(chǔ)資源管理應(yīng)該可以基于全網(wǎng)的QoS、ACL、VLAN、QinQ等策略的統(tǒng)一部署、管理和調(diào)配；實(shí)現(xiàn)集群HGMP管理，IPv6設(shè)備管理，路由器、交換機(jī)、安全、語音、存儲、SOHO等公司全線產(chǎn)品的網(wǎng)元管理以及桌面和網(wǎng)絡(luò)資產(chǎn)的統(tǒng)一管理；為業(yè)務(wù)融合、資源調(diào)度和自動化協(xié)同響應(yīng)提供必要手段。. 身份與接入管理支持LAN、WLAN、VPN認(rèn)證接入，實(shí)現(xiàn)接入業(yè)務(wù)的統(tǒng)一、集中管理；支持智能卡、證書、RSA雙因素密碼等強(qiáng)認(rèn)證功能，支持多種方式的端點(diǎn)準(zhǔn)入控制和基于身份的網(wǎng)絡(luò)服務(wù)，實(shí)現(xiàn)用戶與資源和業(yè)務(wù)的融合管理。從端點(diǎn)接入上保證每一個接入網(wǎng)絡(luò)的終端的安全，從而保證網(wǎng)絡(luò)安全。. 網(wǎng)絡(luò)智能分析應(yīng)該可以通過故障根源分析、SLA分析等基于規(guī)則和策略的深度分析，直觀展示網(wǎng)絡(luò)運(yùn)行狀態(tài)，快速定位故障源，協(xié)助優(yōu)化網(wǎng)絡(luò)結(jié)構(gòu)；通過流量異常檢測、網(wǎng)絡(luò)安全事件的集中管理和基于資源管理平臺的協(xié)同響應(yīng)，提高風(fēng)險識別的準(zhǔn)確度、快速響應(yīng)安全威脅。同時，應(yīng)該提供網(wǎng)絡(luò)日志審計系統(tǒng)，可完成用戶上網(wǎng)日志管理，實(shí)現(xiàn)網(wǎng)絡(luò)使用的可追溯性，保證網(wǎng)絡(luò)和用戶信息的安全，并可為合理的網(wǎng)絡(luò)規(guī)劃提供重要