《h3c网络安全系统规划方案投标建议书资料》由会员分享，可在线阅读，更多相关《h3c网络安全系统规划方案投标建议书资料（41页珍藏版）》请在金锄头文库上搜索。
1、（） 网络安全系统规划方案网络安全系统规划方案 杭州华三通信技术有限公司杭州华三通信技术有限公司 20072007 年年 4 4 月月 （）安全规划方案）安全规划方案 杭州华三通信技术有限公司 http:/www.huawei- 第 2 页 目目 录录 一、一、安全系统整体规划安全系统整体规划.3 1.1.方案设计原则.3 1.2.安全体系模型.4 1.3.方案设计思路.5 二、二、网络及安全现状分析网络及安全现状分析.7 2.1.网络结构分析.7 2.2.安全层次的分析模型.8 2.3.安全需求分析.9 2.3.1.网络层9 2.3.2.系统层10 2.3.3.管理层10 2.3.4.用户层
2、11 2.4.安全需求总结.11 三、三、（）网络安全整体解决方案）网络安全整体解决方案.13 3.1.（）网络安全总体方案.13 3.1.1.基础设施安全部署15 3.1.2.防火墙系统防护方案20 3.1.3.建立内部入侵防御机制23 3.1.4.建立入侵防御机制25 3.1.5.建立端点准入控制系统27 3.1.6.完善的病毒防范机制28 3.1.7.防DOS设备安全防护方案.30 3.1.8.网络漏洞扫描机制30 3.1.9.建立科学的安全管理机制33 四、四、安全方案总结安全方案总结.36 （）安全规划方案）安全规划方案 杭州华三通信技术有限公司 http:/www.huawei-
3、第 3 页 一、一、安全系统整体规划安全系统整体规划 1.1. 方案设计原则方案设计原则 在规划（）信息系统安全时，我们将遵循以下原则，以这些原则为基础，提供完善 的体系化的整体网络安全解决方案 体系化设计原则体系化设计原则 通过分析信息网络的网络层次关系、安全需求要素以及动态的实施过程，提出科学的安全体 系和安全模型，并根据安全体系和安全模型分析网络中可能存在的各种安全风险，针对这些风险 以动态实施过程为基础，提出整体网络安全解决方案，从而最大限度地解决可能存在的安全问题。 全局性、均衡性原则全局性、均衡性原则 安全解决方案的设计从全局出发，综合考虑信息资产的价值、所面临的安全风险，平衡两者
4、 之间的关系，根据信息资产价值的大小和面临风险的大小，采取不同强度的安全措施，提供具有 最优的性能价格比的安全解决方案。 可行性、可靠性原则可行性、可靠性原则 在采用全面的网络安全措施之后，应该不会对（）的网络上的应用系统有大的影响， 实现在保证网络和应用系统正常运转的前提下，有效的提高网络及应用的安全强度，保证整个信 息资产的安全。 可动态演进的原则可动态演进的原则 方案应该针对（）制定统一技术和管理方案，采取相同的技术路线，实现统一安全 策略的制定，并能实现整个网络从基本防御的网络，向深度防御的网络以及智能防御的网络演进， 形成一个闭环的动态演进网络安全系统。 （）安全规划方案）安全规划方
5、案 杭州华三通信技术有限公司 http:/www.huawei- 第 4 页 1.2. 安全体系安全体系模型模型 安全方案必须架构在科学的安全体系和安全模型之上，因为安全模型是安全方案设计和分析 的基础。只有在先进的网络安全理论模型的基础上，才能够有效地实现我们在上面分析的网络安 全系统规划的基本原则，从而保证整个网络安全解决方案的先进性。 为了系统、科学地分析网络安全方案涉及的各种安全问题，在大量理论分析和调查研究的基 础上，H3C 公司提出了 i3SAFE 网络安全模型，以此模型为基础，可以进行整个网络安全体系的 有效的分析与合理规划。下面我们对此网络安全模型进行具体的阐述和说明： i3S
6、AFE 安全理论模型示意图 i3SAFE 安全理论模型是一个三维立体结构，基于此三维结构安全理论模型，形成一个智能 的（intelligence） ，集成的（integrated） ，定制的（individuality）的网络安全解决方案， 真正达到 SAFE 的目的，下面是每个层次的详细分析描述： 第一维为应用层次维： 这个维度实现对整个信息体系进行描述，通过这个维度，以层次化对整个信息体系 进行划分，层次的划分依据信息体系的建设结构，把整个信息体系划分为网络层：提供 信息流通的平台；用户层：信息应用的终端；业务层：信息应用的提供层。通过这种抽 象的层次的划分，可以以不同的层次对象为目标，分
7、析这些层次对不同的安全服务要素 （）安全规划方案）安全规划方案 杭州华三通信技术有限公司 http:/www.huawei- 第 5 页 的需求情况，进行层次化的、有针对性的系统安全需求分析。 第二维为网络空间维： 这个维度从实际的信息系统结构的组成的角度，对信息系统进行模块化的划分。基 本的模块可以划分为桌面、服务器、外网、内网等几个模块，这些模块的划分可以根据 需要进行组合或者细化，进行模块划分的主要目的是为前面相对抽象的安全需求分析提 供具体可实施的对象，保证整个安全措施有效可实施性。 第三维为业务流程维： 这个维度主要描述一个完善的网络安全体系建设的流程，这个流程主要的参考 P2DR
8、模型，以我们前面进行的需求分析为基础，制定统一的安全策略，同时通过预防 （Harden） 、保护(Protect)、检测(Detect)、响应(Respond)以及改进(Improve)，形成 一个闭环的网络安全措施流程。 纵深维为安全管理维： 贯穿于上述三个维度，以及各个维度内部各个层次的是安全管理，我们认为，全面 的安全管理是信息网络安全的一个基本保证，只有通过切实的安全管理，才能够保证各 种安全技术能够真正起到其应有的作用，常言说：“三分技术，七分管理” ，安全管理 是保证网络安全的基础，安全技术只是配合安全管理的有效的辅助措施。 1.3. 方案设计思路方案设计思路 通过上述三维安全理论
9、模型，我们可以比较清晰的分析出在一个信息网络系统中，不同系统 层次有各自的特点，对安全服务要素的不同的需求的强度，依据这些安全服务要素需求的重点不 同，基于这些层次对应的实际结构模块，有针对性地采用一些安全技术和安全产品来实现这些安 全服务要素，这些措施形成本层次的安全防护面，不同的层次相互组合衔接，形成一个立体的网 络安全防御体系。 在下面的（）信息系统安全方案设计中，我们将首先通过信息网络的层次划分，把 其安全系统划分成若干个安全层次，并针对每一个安全层次，分析其业务安全需求，提出安全解 决方案，最后形成一个全面的安全解决方案。同时在方案的设计过程中，遵循我们安全理论模型 中的业务流程体系
10、，对所采取的安全措施进行实施阶段的划分，形成一个动态的、可调整的具有 强大实施能力的整体安全解决方案。 （）安全规划方案）安全规划方案 杭州华三通信技术有限公司 http:/www.huawei- 第 6 页 另外，我们认为，网络安全是一个动态的全面的有机整体，传统的网络安全产品单独罗列在 网络之上的单点防御部署方法，事实已经证明不能够及时有效的解决网络的威胁，网络安全已经 进入人民战争阶段，必须有效整合网络中的每一个节点设备资源，通过加固、联动、嵌入等多种 技术手段使安全因素 DNA 渗透到网络的每一个设备中，为用户提供一个可实现可管理的安全网 络。借助多年的网络产品研发经验，H3C 已经能
11、够为用户提供多种安全网络构成产品技术，如 具有安全特征的网络基础设备、能够与核心路由器、交换机联动的安全设备，安全设备间联动、 核心交换机/路由器上的嵌入式安全模块，智能集中策略管理中心等等，用户可以根据网络业务 需求选择应用。 （）安全规划方案）安全规划方案 杭州华三通信技术有限公司 http:/www.huawei- 第 7 页 二、二、网络及安全现状分析网络及安全现状分析 2.1. 网络结构分析网络结构分析 网络为典型的二级结构，其中核心区是一台 7505R，服务器群和 Internet 对外访问链路都接 在此核心设备上，向下分为二级交换结构。用来连接内部各个网段。 （）安全规划方案）安
12、全规划方案 杭州华三通信技术有限公司 http:/www.huawei- 第 8 页 2.2. 2.2. 安全层次的安全层次的分析模型分析模型 以前面介绍的三维安全理论模型为基础，参照我们进行的信息网络系统的层次划分，我们 认为整个网络安全系统可以划分为以下几个层次，分别为： 1.网络层：核心的安全需求为保证网络数据传输的可靠性和安全性，防范因为物理介质、 信号辐射等造成的安全风险，保证整体网络结构的安全，保证网络设备配置的安全、同 时提供网络层有效的访问控制能力、提供对网络攻击的实时检测能力等。 2.系统层：核心的安全需求为能够提供机密的、可用的网络应用服务，包括业务数据存储 和传输的安全，
13、业务访问的身份认证及资源访问权限分配，业务访问的有效的记录和审 计，以及特殊应用模式的安全风险：比如垃圾 Mail、Web 攻击等。 3.管理层：严格规范的管理制度是保证一个复杂网络安全运行的必要条件，通过提供安全 的、简便的和功能丰富的统一管理平台，创建全网统一的管理策略，及时对网络进行监 控、分析、统计和安全机制的下发，既便于信息的及时反馈和交换，又便于全网统一的 安全管理策略的形成。 4.应用层：核心的安全需求为保证用户节点的安全需求，保证用户操作系统平台的安全， 防范网络防病毒的攻击，提高用户节点的攻击防范和检测能力；同时加强对用户的网络 应用行为管理，包括网络接入能力以及资源访问控制
14、能力等。 漏洞检测漏洞检测 入侵扫描入侵扫描 WindowsNTWindowsNT 安全设置安全设置 数据库数据库 安全机制安全机制 应用系统应用系统 安全机制安全机制 UNIXUNIX 安全设置安全设置 可靠性安全措施可靠性安全措施 路由认证与过滤路由认证与过滤 交换机交换机VLANVLAN技术技术 AAAAAA访问认证访问认证 网网络络层层安安全全网网络络层层安安全全 管管理理层层安安全全管管理理层层安安全全应应用用层层安安全全应应用用层层安安全全 系系统统层层安安全全系系统统层层安安全全 安安全全体体系系总总体体结结构构安安全全体体系系总总体体结结构构 安全管理安全管理 制度制度 计算机
15、计算机 病毒防范病毒防范 甘甘肃肃网网通通甘甘肃肃网网通通 城城域域数数据据网网城城域域数数据据网网 VPNVPN接入技术接入技术 安全应用安全应用 平台平台 硬件防火墙硬件防火墙 （） 网络 （）安全规划方案）安全规划方案 杭州华三通信技术有限公司 http:/www.huawei- 第 9 页 下面我们将通过分析在前面描述的德州环抱局的网络及应用现状，全面分析归纳出在不同层 次的安全需求。 2.3. 2.3. 安全需求分析安全需求分析 2.3.1. 2.3.1. 网络层网络层 网络层的核心的安全需求为保证网络数据传输的可靠性和安全性，存在的安全风险主要包括 以下几个方面： 1)线路的物理安全以及信号辐射的风险： 局域网线路采用综合布线系统，基本不存在太大的物理安全问
