《防火墙实施方案》由会员分享，可在线阅读，更多相关《防火墙实施方案（3页珍藏版）》请在金锄头文库上搜索。
1、镇北堡西部影城网络防火墙部署规则及参数国内下一代防火墙第一品牌深信服下一代防火墙(Next-GenerationApplicationFirewall)NGAF是面向应用层设计，能够精确识别用户、应用和内容，具备完整安全防护能力，能够全面替代传统防火墙，并具有强劲应用层处理能力的全新网络安全设备。NGAF解决了传统安全设备在应用识别、访问控制、内容安全防护等方面的不足，同时开启所有功能后性能不会大幅下降。区别于传统的网络层防火墙，NGAF具备L2-L7层的协议的理解能力。不仅能够实现网络层访问控制的功能，且能够对应用进行识别、控制、防护，解决了传统防火墙应用层控制和防护能力不足的问题。区别于传
2、统DPI技术的入侵防御系统，深信服NGAF具备深入应用内容的威胁分析能力，具备双向的内容检测能力为用户提供完整的应用层安全防护功能。同样都能防护web攻击，与web应用防火墙关注web应用程序安全的设计理念不同，深信服下一代防火墙NGAF关注web系统在对外发布的过程中各个层面的安全问题，为对外发布系统打造坚实的防御体系。性能参数产品型号AF-1120-HAF-1210-H三层吞吐2Gbps3Gbps七层吞吐400Mbps500Mbps并发连接数800,0001,000,000网络接口4个千兆电口6个千兆电口安装空间1U1U电源单电源单电源功能列表项目具体功能部署方式支持路由，透明，旁路，虚拟
3、网线，混合部署模式；实时提供CPU、内存、磁盘占用率、会话数、在线用户数、网络接口的鞥设备资源信息；提供安丄全事件信息，包括最近安全事件、服务器安全事件、终端安全事件等，事件信息提供发生事件、实时监控源IP、目的IP、攻击类型以及攻击的URL等；提供实时智能模块间联动封锁的源IP以便实现动态智能安全管理；支持ARP代理、静态ARP绑定，配置DNS及DNS代理、支持DHCP中继、DHCP月服务器、DHCP网络适应性客户端；支持SNMPv1，v2，v3，支持SNMPTrap;支持静态路由、RIPv1/2、OSPF、策略路由；支持链路探测，端口聚合，接口联动；提供静态的包过滤和动态包过滤功能；支持的
4、应用层报文过滤，包括：应用层协议：FTP、HTTP、包过滤与状态SMTP、RTSPH.323(Q.931，H.245，RTP/RTCP)、SQLNET、MMS、PPTP等；传输层协议：检测TCP、UDP；支持多个内部地址映射到同一个公网地址、多个内部地址映射到多个公网地址、内部地址到公网NAT地址转换地址映射、源地址和目的地址同时转换、夕卜部网络主机访问内部服务器、支持DNS映射功能；可配置支持地址转换的有效时间；支持多种NATALG，包括DNS、FTP、H.323、SIP等抗攻击特性IPSECVPN应用访问控制策略APT检测IPS入侵防护服务器防护敏感信息防泄漏风险评估实时漏洞分析业务风险报
5、表网页篡改防护支持防御Land、Smurf、Fraggle、WinNuke、PingofDeath、TearDrop、IPSpoofing、SYNFlood、ICMPFlood、UDPFlood、DNSQueryFlood、ARP欺骗攻击防范、ARP主动反向查询、TCP报文标志位不合法攻击防范、支持IPSYN速度限制、超大ICMP报文攻击防范、地址/端口扫描的防范、DoS/DDoS攻击防范、ICMP重定向或不可达报文控制等功能，此外还支持静态和动态黑名单功能、MAC和IP绑定功能；支持AES、DES、3DES、MD5、SHA1、DH、RC4等算法，并且支持扩展国密办SCB2等其他力廿密算法支持
6、MD5及SHA-1验证算法；支持各种NAT网络环境下的VPN组网；支持第三方标准IPSecVPN进行对接；*总部与分支有多条线路，可在线路间一一进行IPSecVPN隧道建立，并设置主隧道及备份隧道，对主隧道可进行带宽叠加、按包或会话进行流量平均分配，主隧道断开备份隧道自动启用，保证IPSecVPN连接不中断；可为每一分支单独设置不同的多线路策略；单臂部署下同样支持多线路策略；支持对1000种以上应用、2500种以上应用动作，可以识别P2P、IM、OA办公应用、数据库应用、ERP应用、软件升级应用、木马外联、炒股软件、视频应用、代理软件、网银等协议；支持自定义规则；提供基于应用识别类型、用户名、
7、接口、安全域、IP地址、端口、时间进行应用访问控制列表的制定；内置超过20万的病毒，木马，间谍软件等恶意软件特征库，并且在不断的持续更新特征内容；支持通过安全云实现虚拟沙盒动态检测技术。可检测未知威胁在沙盒中对注册表、文件系统等的修改，通过云端联动的方式快速更新到各节点设备中，可实现快速统一的防护未知攻击；微软“MAPP”计划会员，漏洞特征库：3500+并获得CVE“兼容性认证证书”，能够自动或者手动升级；防护类型包括蠕虫/木马/后门/DoS/DDoS攻击探测/扫描/间谍软件/利用漏洞的攻击/缓冲区溢岀攻击/协议异常/IPS逃逸攻击等；防护对象分为保护服务器和保护客户端两大类，便于策略部署；漏
8、洞详细信息显示：漏洞ID、漏洞名称、漏洞描述、攻击对象、危险等级、参考信息、地址等内容；支持自动拦截、记录日志、上传灰度威胁到“云端”支持web攻击特征数量2500+；支持Web网站隐藏，包括HTTP响应报文头岀错页面的过滤，web响应报文头可自定义；支持FTP服务应用信息隐藏包括：服务器信息、软件版本信息等；支持OWASP定义10大web安全威胁，保护服务器免受基于Web应用的攻击，如SQL注入防护、XSS攻击防护、CSRF攻击防护、支持根据网站登录路径保护口令暴力破解；支持web站点扫描、web站点结构扫描、漏洞扫描等扫描防护；可严格控制上传文件类型，检查文件头的特征码防止有安全隐患的文件
9、上传至服务器，并支持结合病毒防护、插件过滤等功能检查文件安全性；支持指定URL的黑名单、加入排除URL目录，ftp弱口令防护、telnet弱口令防护等功能；内置常见敏感信息的特征，如身份证信息、MD5、手机号码、银行卡号、邮箱等，并可自定义具有特殊特征的敏感信息；支持正常访问http连接中非法敏感信息的外泄防护；支持数据库文件敏感信息检测，防止数据库文件被“拖库”、“暴库”；支持服务器、客户端的漏洞风险评估功能，支持对目标IP进行端口、服务扫描；支持ftp、mysql、oracle、mssql、ssh、RDP、网上邻居NetBIOS、VNC等多种应用的弱口令评估与扫描；支持SQL注入，SQL盲
10、注，跨站脚本攻击（XSS），跨站请求伪造（CSRF），操作系统命令，本地文件包含，远程文件包含，暴力破解，弱密码登录，XPATH注入，LDAP注入，服务器端包含（SS）等丰富的Web应用服务漏洞检测；风险评估可以实现与FW、IPS、服务器防护模块的智能策略联动，自动生成策略；支持对经过设备的流量被动进行分析，分析内容包括底层软件漏洞分析，Web应用风险分析，Web不安全配置检测以及服务器弱密码检测，并实时生成分析报告。具备单独的针对服务器安全风险和潜在威胁的特征识别库；提供基于用户/业务的综合风险报表，统计维度为用户和业务而非IP地址；根据网络风险状况提供优、良、中、差评级；攻击统计提供所有检
11、测攻击数和有效攻击数两个维度；报表内容呈现主动扫描的漏洞分布情况，匹配攻击日志输岀已被攻击的漏洞数和发现的所有漏洞数的统计报表；业务安全报表提供攻击分析、漏洞评估、业务系统漏洞详情等信息；用户安全报表提供遭攻击最多的用户详情、异常连接用户详情等信息；安全风险类型汇总基于业务系统遭受攻击类型、业务系统存在最多漏洞类型、用户遭受最多威胁类型进行统计；网关型网页防篡改，无需在服务器中安装任何插件；支持文件比对、特征码比对、网站元素、数病毒防护Web过滤流量管理用户管理关键页面双因素认证高可用性网关管理日志管理与报表字指纹比对多种比对方式，保证网站安全；全面保护网站的静态网页和动态网页，支持网页的自动
12、发布、篡改检测、应用保护、警告和自动恢复，保证传输、鉴别、地址访问、表单提交、审计等各个环节的安全，完全实时杜绝篡改后的网页被访问的可能性及任何使用Web方式对后台数据库的篡改；支持各级页面模糊框架匹配、精确匹配的方式适用不同的网页类型；支持提供管理员业务操作界面与网管管理界面分离功能，方便业务人员更新网站内容；支持通过替换、重定向等技术手段，防护篡改页面；网站维护管理员必须通过短信认证才可进行网站更新业务操作（选配）；支持短信报警、邮件报警、控制台报警等多种篡改报警方式；支持基于流引擎查毒技术，可以针对HTTP、FTP、SMTP、POP3等协议进行查杀；能实时查杀大量文件型、网络型和混合型等
13、各类病毒；并采用新一代虚拟脱壳和行为判断技术，准确查杀各种变种病毒、未知病毒；内置10万条以上的病毒库，并且可以自动或者手动升级；检测到病毒后支持记录日志、阻断连接；对用户web行为进行过滤，保护用户免受攻击；支持只过滤HTTPGET、HTTPPOST、HTTPS等应用行为；并进行阻断和记录日志；支持针对上传、下载等操作进行文件过滤；支持自定义文件类型进行过滤；支持基于时间表的策略制定；支持的处理动作包括：阻断和记录日志支持将多条外网线路虚拟映射到设备上，实现对多线路的分别流控；支持基于应用类型、网站类型、文件类型的带宽划分与分配；支持时间和IP的带宽划分与分配；支持基于用户名/密码、单点登陆
14、以及基于IP地址、MAC地址、计算机名的识别等多种认证方式；支持AD域结合、Proxy、POP3、web表单等多种单点登陆方式，简化用户操作；*可强制指定用户、指定IP段的用户必须使用单点登录；支持添加到指定本地组、临时账号和不允许新用户认证等新用户认证策略；支持强制AD域认证，指定用户必须用AD域账户登录操作系统，否则禁止上网；认证成功的用户支持页面跳转，包括最近请求页面、管理员制定URL、注销页面等；支持CSV格式文件导入、扫描导入和从外部LDAP服务器上导入等账户导入方式；用户分组支持树形结构，支持父组、子组、组内套组等组织结构；支持管理员页面、管理后台的短信强认证机制，要求至少提供UR
15、L、telnet、ssh三种方式的短信认证支持A/A，A/S模式部署，支持会话同步，配置同步和用户信息同步；网管管理员具备安全管理员，审计员和系统管理员三种权限，安全管理员默认只允许安全策略和安全日志的查看和编辑权限；审计员默认只开放数据中心日志的查看和编辑权限，不具备设备的管理权限；系统管理员默认具备除安全功能外的其他系统管理权限，不具备设备的日志查看权限；支持SSL加密WEB方式管理设备；支持邮件、短信（可扩展）等告警方式，可提供管理员登录、病毒、IPS、web攻击以及日志存储空间不足等告警设置；提供图形化排障工具，便于管理员排查策略错误等故障；提供路由、网桥、旁路等部署模式的配置引导，提供保护服务器、保护内网用户上网安全、保证内网用户上网带宽、保证遭到攻击及时提醒和保留证据等网关应用场景的配置引导，简化管理员配置；能够自定义时间段查询DOS攻击、web防护、IPS、病毒、web威胁、网站访问、应用控制、用户登录、系统操作等多种安全日志查询；提供可定义时间内安全趋势分析报表；支持自定义统计指定IP/用户组/用户/应用在指定时间段内的服务器安全风险、终端安全风险等内容，并形成报表；支持将统计/趋势等报表自动发送到指定邮箱；支持导出安全统计/趋势等报表，包括网页、PDF等格式。综合办公室2015/4/22
