XXX规划院信息安全建设方案,V16

本文格式为Word版，下载可任意编辑 XXX规划院信息安全建设方案,V16 XXXXXX调查规划院 信 息 安 全 建 设 方 案 (V1.6) 成都XXX有限公司 Chengdu XXXX Information Technoloy Co., Ltd. 二OO八年十一月 文 档 状 态 文件状态 ［ ］草稿文件 ［ ］正式文件 ［√］更改正式文件 文　件 标　识 LGY-ITS 当　前 版　本 V1.6 作　者 完　成 日　期 2022-12-22 修订历史记录 日期 版本 说明 2022-11-3 V1.0 根据实际需求及进一步发展描述完成方案草案 2022-11-4 V1.1 对方案中的问题进行修订、完善 2022-11-5 V1.3 对方案中的问题进行修订 提出三套不同档次解决方案 对DMZ区设计进行修订 2022-11-6 V1.4 对三套方案的产品及预算进行调整 2022-11-6 V1.5 对第一套方案一、二阶段进行调整 完善对现在设备的分析 2022-11-20 V1.6 完成产品介绍内容 目 录 1 信息系统安全体系现状概述 1 1.1 现状概述 1 1.2 现状分析 1 1.3 拓扑结构说明 2 2 安全要挟分析 6 2.1 外部要挟分析 6 2.2 内部要挟分析 6 2.3 总体要挟分析 7 3 总体需求及主要内容 8 4 网络及信息安全体系总体方案 9 4.1 设计原则 9 4.2 总体方案 9 5 详细设计 10 5.1 拓扑结构调整 10 5.2 出口安全设计 10 5.3 网络防病毒 11 5.3.1 内容安全网关(防毒墙) 11 5.3.2 企业级网络版防病毒软件 11 5.4 构建全局安全网络体系 12 5.4.1 概述 12 5.4.2 IP地址规划 13 5.4.3 VLAN规划 14 5.4.4 常见网络危害病毒防范设计 15 5.4.5 常见网络攻击防范设计 18 5.4.5.1 MAC攻击 18 5.4.5.2 DHCP攻击 18 5.4.5.3 ARP攻击 19 5.4.5.4 IP/MAC攻击 20 5.4.5.5 STP攻击 20 5.4.5.6 Dos/Ddos攻击 21 5.4.5.7 IP扫描攻击 21 5.4.5.8 网络设备管理安全 21 5.4.6 全局安全网络(GSN)方案设计 22 5.4.6.1 安全挑战 22 5.4.6.2 管理挑战 22 5.4.6.3 方案详细介绍 22 5.4.6.4 安全特性 23 5.4.6.5 管理特性 24 5.4.6.6 详细功能 24 5.4.6.7 交换设备升级 26 5.5 应用扩展后的安全体系建设 26 5.5.1 总体方案 26 5.5.2 服务器DMZ区 27 5.5.3 入侵检测系统(IDS) 27 5.5.4 应用操纵引擎 28 5.5.5 数据中心构建 31 6 方案特色 37 7 建设计划及资金预算 38 7.1 方案1—中低配置方案 38 7.2 方案2—中档配置方案 40 7.3 方案3—中高配置方案 42 8 主要设备选型 44 8.1 防火墙-RG-WALL-160M 44 8.1.1 产品特性 44 8.1.2 技术参数 45 8.2 防火墙-RG-WALL-1600S 48 8.2.1 产品概述 48 8.2.2 产品特性 49 8.2.3 技术参数 51 8.2.4 扩展模块 54 8.3 RG-S2126G安全智能交换机 55 8.3.1 产品概述 55 8.3.2 产品特性 55 8.3.3 技术参数 58 8.4 防病毒安全套装 PESA4.0 59 8.4.1 PESA特性 60 8.4.2 模块介绍 60 8.5 入侵检测系统RG-IDS-500 61 8.5.1 产品概述 61 8.5.2 产品特性 62 8.5.3 技术参数 64 8.6 RG-SMP安全网络管理平台 64 8.6.1 产品概述 64 8.6.2 产品特征 65 8.6.2.1 身份认证功能 65 8.6.2.2 主机端点防护功能 65 8.6.2.3 网络通信保护功能 66 1 信息系统安全体系现状概述 1.1 现状概述 我单位计算机网络、信息系统在建设之初，经过了细心规划，结构合理、运行可靠、维护便利。但是在建设初期，网络系统及应用系统均相对简单，信息系统安全的重要性并未表达出来，主要应用仍限于内部局域当中，对外网的访问主要是普通上网和信息服务，信息系统安全措施及技术手段相对较少。 随着IT技术的飞速发展，各种应用的不断丰富，国家几大“金〞字号工程的建设，电子商务、电子政务的不断深入，我单位网络规模的不断扩大、应用不断增加，不断或即将扩大网络规模、增加多种业务系统，网络和信息系统的使用频率巨增，并将提供对外的资源服务，因此，大大增加了病毒感染、网络入侵等危险。原有设计和实施的网络及信息系统安全技术手段、相关设备、措施，已经远远不能满足现在我单位网络和信息系统安全的需要，因此，迫切需要解决信息系统安全问题，构建一个全局安全网络和立体的信息安全体系。 1.2 现状分析 由于网络规模的不断扩大、应用不断繁杂、使用频率的不断增多，我单位网络已经变得繁杂和难以管理，存在着极大的信息安全风险。 现有网络结构如下图所示： 1.3 拓扑结构说明 网络通过Quidway AR 2880模块化路由器接入Internet，带宽10M。 Quidway AR 2880主要功能及性能： Quidway AR28-40/80模块化中心路由器是华为AR系列路由器中面向运营商和企业用户的网络产品，采用32位的微处理器技术，使用VRP（通用路由平台），提供了极其丰富的软件特性，支持哑终端接入服务器和金融POS接入功能， 支持SNA/DLSw、VoIP特性等，提供丰富的备份方案及QoS特性。硬件采用模块化结构，具有更高的处理能力和更大的接入密度； 采用华为公司VRP网络操作系统平台，支持更多的功能特性，既适合于在大型网络中担当集聚层路由器，也可以在中小型企业网中担当核心路由器。 其特点如下： Ø 采用VRP操作平台 Ø 提供VPN解决方案 Ø 提供一定的网络安全功能 Ø 支持多种互连协议 Ø 支持丰富网络协议 Ø 支持应用层协议及业务特性 Ø 支持QoS Ø 处理器 MPC8245 300MHz Ø 转发性能 110-120KPPS Ø NVRAM 128KB Ø FLASH 32MB Ø SDRAM 缺省：128MB 最大：256MB  采用华为S5510为核心交换机，采用10M链路与路由器连接，与接入层交换机采用100M连接。 S5510主要功能及性能： 产品类型 企业级,三层,可网管型交换机,以太网型 传输方式 存储转发方式 背板带宽 48Gbps 包转发率 35.71Mpps 形状尺寸 440×360×43.6mm 重量 5Kg 接口类型 10/100/1000BASE-T端口 接口数目 24口 传输速率 10M/100M/1000Mbps 模块化插槽数 4 管理端口 1个Console端口 堆叠 不可堆叠 支持网络标准 802.3； 802.3u,IEEE 802.3x,IEEE 802.1D,IEEE 802.1Q VLAN支持 支持,支持端口VLAN(4094个) 端口聚合 支持,支持FE(Fast Ethernet)端口聚合/支持GE(Gigabit Ethernet)端口聚合/支持LACP(Link Aggregation Control Protocol,链路聚合操纵协议) 网管功能 支持,支持命令行接口(CLI)配置/支持Telnet远程配置/支持通过Console口配置/支持SNMP(Simple Network Management Protocol)V1/V2c/V3/支持WEB网管 是否支持全双工 支持 MAC地址表 12K 其他性能 支持交流电源输入和直流电源输入 采用Quidway S2000、Quidway S2100作为接入交换机，与桌面连接为100M。 Quidway S2000主要功能及性能： 工程 S2022-EI S2022-EI S2403H-EI 固定端口 8个10/100M以太网电口 1个Console口 16个10/100M以太网电口 1个Console口 25个10/100M以太网电口 1个Console口 扩展槽位数量 无 1 1 扩展接口模块种类 无 100Base-FX多模模块、100Base-FX单模模块、100Base-FX单模中距模块、百兆远程受电接口模块 100Base-FX多模模块、100Base-FX单模模块、100Base-FX单模中距模块 线速二层交换 所有端口支持线速转发 包转发率：S2022-EI为1.19Mpps，S2022-EI为2.53Mpps，S2403H-EI为3.87Mpps 交换模式 存储转发模式 VLAN 支持符合IEEE 802.1Q标准的VLAN，最多支持512个VLAN 支持基于端口的VLAN 支持GVRP 组播 GMRP IGMP Snooping 生成树协议 支持STP/RSTP/MSTP 端口集聚 最多可以支持4/8/12组端口集聚，每个端口集聚组最多可以有8个端口 广播风暴抑制 所有端口上支持基于带宽百分比的广播风暴抑制 端口镜像 支持一对多的端口镜像，即一个镜像端口，对被镜像端口的数量没有限制 MAC地址表 地址自学习 IEEE 802.1D标准 最多支持4K个MAC地址 流控 支持IEEE 802.3x 流控(全双工) 支持背压式流控(半双工) 加载与升级 支持XModem协议实现加载升级 支持FTP、TFTP加载升级 管理 支持命令行接口配置 支持Telnet远程配置 支持通过Console口配置 支持SNMP 支持RMON 1，2，3，9组MIB 支持iManager N2000 DMS网管系统 支持HGMP V2集群管理 支持系统日志 支持分级告警 维护 支持调试信息输出 支持PING、Tracert 支持Telnet远程维护 QoS 支持DSCP优先级、802.1p优先级 支持端口出方向和入方向报文的双向端口限速，带宽分派支持64Kbps的精细粒度。 支持WRR、HQ+WRR队列调度算法 支持流量统计 安全特性 支持MAC地址和端口绑定 支持端口锁定 对属于同一个802.1Q VLAN的端口之间可以设置隔离或互通。 用户分级管理和口令保护 支持基于端口和基于MAC的802.1X认证 远程受电 S2022-EI的直流机型支持远程受电，满足802.3af标准。 形状尺寸(W╳D╳H) 216mm x 40mm x 117mm 436mm x 42mm x 200mm 436mm x 42mm x 240mm 重量 2kg ≤3kg ≤3kg 电源 采用外置电源供电，外置电源的输入电压及输出电压如下： 输入额定电压范围：100-240V a.c. ； 50/60Hz 输入最大电压范围：90-264V a.c. ； 50/60Hz 输出电压：12V d.c 输出电流：1A AC： 额定电压范围：100-240V a.c. ； 50/60Hz 最大电压范围：90-264V a.c. ； 50/60Hz DC： 额定电压范围：-48- -60V d.c. 最大电压范围：-36- -72V d.c.. 功耗 8W 12W 15W 工作环境温度 0～45℃ 工作环境湿度 10%～90% (无凝聚)