《典型企业网络边界安全解决方案》由会员分享，可在线阅读，更多相关《典型企业网络边界安全解决方案（50页珍藏版）》请在金锄头文库上搜索。
1、HHIston0山石网科典型中小企业网络边界安全解决方案意见征询稿Hillstone Networks Inc.2010年9月29日目录1 前言4.1.1 方案目的.4.1.2 方案概述4.2 安全需求分析 6.2.1 典型中小企业网络现状分析 6.2.2 典型中小企业网络安全威胁 8.2.3 典型中小企业网络安全需求 102.3.1 需要进行有效的访问控制 102.3.2 深度应用识别的需求 112.3.3 需要有效防范病毒 112.3.4 需要实现实名制管理 112.3.5 需要实现全面 URL过滤122.3.6 需要实现 IPSEC VPN 122.3.7 需要实现集中化的管理 123
2、安全技术选择 133.1 技术选型的思路和要点 133.1.1 首要保障可管理性 133.1.2 其次提供可认证性 133.1.3 再次保障链路畅通性 143.1.4 最后是稳定性 143.2 选择山石安全网关的原因 143.2.1 安全可靠的集中化管理 153.2.2 基于角色的安全控制与审计 163.2.3 基于深度应用识别的访问控制 173.2.4 深度内容安全 (UTMPlus?)173.2.5 高性能病毒过滤 183.2.6 灵活高效的带宽管理功能 193.2.7 强大的URL地址过滤库213.2.8 高性能的应用层管控能力 213.2.9 高效 IPSEC VPN223.2.10
3、高可靠的冗余备份能力 224 系统部署说明234.1 安全网关部署设计244.2 安全网关部署说明 254.2.1 部署集中安全管理中心 254.2.2 基于角色的管理配置 294.2.3 配置访问控制策略 304.2.4 配置带宽控制策略 314.2.5 上网行为日志管理 334.2.6 实现URL过滤 354.2.7 实现网络病毒过滤 364.2.8 部署 IPSEC VPN374.2.9 实现安全移动办公 385 方案建设效果381刖百1.1 方案目的本方案的设计对象为国内中小企业，方案中定义的中小型企业为：人员规模在2千人左右，在全国各地有分支机构，有一定的信息化建设基础，信息网络覆盖
4、了总部和各个分支机构，业务系统有支撑企业运营的 ERP系统，支撑企业员工处理日常事务的 OA系统，和对外进行宣传的企业网站；业务集中在总部，各个分支机构可远程访问业务系统完成相关的业务操作。根据当前国内企业的发展趋势，中小企业呈现出快速增长的势头，计算机系统为企业的管理、运营、维护、办公等提供了高效的运行条件，为企业经营决策提供了有力支撑，为企业的对外宣传发挥了重要的作用，因此企业对信息化建设的依赖也越来越强，但同时由于计算机网络所普遍面临的安全威胁，又给企业的信息化带来严重的制约，互联网上的黑客攻击、蠕虫病毒传播、非法渗透等，严重威胁着企业信息系统的正常运行；内网的非法破坏、非法授权访问、员
5、工故意泄密等事件，也是的企业的正常运营秩序受到威胁，如何做到既高效又安全，是大多数中小企业信息化关注的重 点而作为信息安全体系建设，涉及到各个层面的要素， 从管理的角度，涉及到组织、制度、流程、监督等，从技术的角度，设计到物理层、网络层、主机层、应用层和运维层，本方案的重点是网络层的安全建设，即通过加强对基础网络的安全控制和监控手段，来提升基础网络的安全性，从而为 上层应用提供安全的运行环境，保障中小企业计算机网络的安全性。1.2 方案概述本方案涉及的典型中小型企业的网络架构为：两级结构，纵向上划分为总部与分支机构，总部集中了所有的重要业务服务器和数据库，分支机构只有终端，业务访问则是通过专线
6、链路直接访问到总部；总部及分支机构均有互联网出口，提供给员工进行上网访问，同时总部的互联网出口也作为网站发布的链路途径。典型中小型企业的网络结构可表示如下:ERP DA 网站 数提库 终策移动办公用户；、-工-j 互联网电信专线分支机构蝎晟分支机构分支机构山石网科络苣分支机构典型中小型企业网络结构示意图为保障中小企业网络层面的安全防护能力，本方案结合山石网科集成化安全平台，在对中小企业信息网络安全域划分的基础上，从边界安全防护的角度，实现以下的安全建设效果：实现有效的访问控制：对员工访问互联网，以及员工访问业务系统的行为进行有效控制，杜绝非法访问，禁止非授权访问，保障访问的合法性和合规性；实现
7、有效的集中安全管理：中小型企业的管理特点为总部高度集中模式，通过网关的集中管理系统，中小企业能够集中监控总部及各个分支机构员工的网络访问行为，做到可视化 的安全。保障安全健康上网：对员工的上网行为进行有效监控，禁止员工在上班时间使用P2P、网游、网络视频等过度占用带宽的应用，提高员工办公效率；对员工访问的网站进行实时监控，限制员工访问不健康或不安全的网站，从而造成病毒的传播等；保护网站安全：对企业网站进行有效保护， 防范来自互联网上黑客的故意渗透和破坏行为；保护关键业务安全性：对重要的应用服务器和数据库服务器实施保护，防范病毒和内部的非授权访问；实现实名制的安全监控：中小型企业的特点是，主机
8、IP地址不固定，但全公司有统一的用户管理措施，通常通过 AD域的方式来实现，因此对于访问控制和行为审计，可实现基于身份的监控，实现所谓的实名制管理；实现总部与分支机构的可靠远程传输：典型中小型企业的链路使用模式为，专线支撑重要的业务类访问，互联网链路平时作为员工上网使用，当专线链路故障可作为备份链路，为此通过总部与分支机构部署网关的IPSEC VPN功能，可在利用备份链路进行远程通讯中，保障数据传输的安全性；对移动办公的安全保障：利用安全网关的 SSL VPN功能，提供给移动办公人员进行远程安全传输保护，确保数据的传输安全性；2安全需求分析2.1 典型中小企业网络现状分析中小企业的典型架构为两
9、级部署，从纵向上划分为总部及分支机构，总部集中了所有的重要业务服务器和数据库，分支机构只有终端，业务访问则是通过专线链路直接访问到总部；总部及分支机构均有互联网出口，提供给员工进行上网访问，同时总部的互联网出口也作为网站发布的链路途径。双链路给中小企业应用访问带来的好处是，业务访问走专线，可保障业务的高可靠性；上网走互联网链路，增加灵活性，即各个分支机构可根据自己的人员规模，采用合理的价格租用电信宽带；从网络设计上，中小企业各个节点的结构比较简单，为典型的星形结构设计，总部因用户量和服务器数量较高，因此核心往往采用三层交换机，通过 VLAN来划分不同的子网，并在子网内部署终端及各类应用服务器，
10、有些中小型企业在 VLAN的基础上还配置了 ACL,对不同VLAN间的访问实行控制；各分支机构的网络结构则相对简单，通过堆叠二层交换连接到不同终端。具体的组网结构可参考下图:篇篇ERP数据库胆rHS口岫用CAE1S咨 限务器。小宪库 mi”黑，网站蛔髀分支机构1：分支机构2空端主机：缪靖主机分支机构3典型中小企业组网结构示意图2.2 典型中小企业网络安全威胁在没有采取有效的安全防护措施，典型的中小型企业由于分布广，并且架构在TCP/IP网络上，由于主机、网络、通信协议等存在的先天性安全弱点，使得中小型企业往往面临很多的安全威胁， 其中典型的网络安全威胁包括：【非法和越权的访问】中小型企业信息网
11、络内承载了与生产经营息息相关的ERP、OA和网站系统，在缺乏访问控制的前提下很容易受到非法和越权的访问；虽然大多数软件都实现了身份认证和授权访问的功能，但是这种控制只体现在应用层，如果远程通过网络层的嗅探或攻击工具（因为在网络层应用服务器与任何一台企业网内的终端都是相通的），有可能会获得上层的身份和口令信息，从而对业务系统进行非法及越权访问，破坏业务的正常运行，或非法获得企业的商业秘密，造成泄露； 【恶意代码传播】大多数的中小企业，都在终端上安装了防病毒软件，以有效杜绝病毒在网络中的传播，但是随着蠕虫、木马等网络型病毒的出现，单纯依靠终端层面的查杀病毒显现出明显的不足，这种类型病毒的典型特征是
12、，在网络中能够进行大量的扫描，当发现有弱点的主机后快速进行自我复制，并通过网络传播过去，这就使得一旦网络中某个节点（可能是台主机，也可能是服务器）被感染病毒，该病毒能够在网络中传递大量的扫描和嗅探性质的数据包，对网络有限的带宽资源造成损害。【防范ARP欺骗】大多数的中小企业都遭受过此类攻击行为，这种行为的典型特点是利用了网络的先天性缺陷，即两台主机需要通讯时，必须先相互广播ARP地址，在相互交换IP地址和ARP地址后方可通讯，特别是中小企业都需要通过边界的网关设备，实现分支机构和总部的互访；ARP欺骗就是某台主机伪装成网关，发布虚假的 ARP信息，让内网的主机误认为该主机就是网关，从而把跨越网
13、段的访问数据包（比如分支机构人员访问互联网或总部的业务系统）都传递给该主机，轻微的造成无法正常访问网络，严重的则将会引起泄密；【恶意访问】对于中小型企业网而言，各个分支机构的广域网链路带宽是有限的，因此必须有计划地分配带宽资源，保障关键业务的进行，这就要求无论针对专线所转发的访问，还是互联网出口链路转发的 访问，都要求对那些过度占用带宽的行为加以限制，避免因某几台终端过度抢占带宽资源而影响他 人对网络的使用。这种恶意访问行为包括：过度使用P2P进行大文件下载，长时间访问网游，长时间访问视频网站，访问恶意网站而引发病毒传播，直接攻击网络等行为。【身份与行为的脱节】常见的访问控制措施，还是 QOS
14、措施，其控制依据都是IP地址，而众所周知IP地址是很容易伪造的，即使大多数的防火墙都支持IP+MAC 地址绑定，MAC地址也是能被伪造的，这样一方面造成策略的制定非常麻烦，因为中小型企业内员工的身份是分级的，每个员工因岗位不同需要访问的目标是不同的，需要提供的带宽保障也是不同的， 这就需要在了解每个人的IP地址后来制定策略；另一方面容易形成控制缺陷，即低级别员工伪装成高级别员工的地址，从而可占用更多的资源。身份与行为的脱节的影响还在于日志记录上，由于日志的依据也是根据IP地址，这样对发生违规事件后的追查造成极大的障碍，甚至无法追查。【拒绝服务攻击】大多数中小型企业都建有自己的网站，进行对外宣传
15、，是企业对外的窗口，但是由于该平台面向互联网开放，很容易受到黑客的攻击，其中最典型的就是拒绝服务攻击，该行为也利用了现有TCP/IP网络传输协议的先天性缺陷，大量发送请求连接的信息，而不发送确认信息，使得遭受攻击的主机或网络设备长时间处于等待状态，导致缓存被占满，而无法响应正常的访问请求，表现为就是拒绝服务。这种攻击常常针对企业的网站，使得网站无法被正常访问，破坏企业形象；【不安全的远程访问】对于中小型企业，利用互联网平台，作为专线的备份链路，实现分支机构与总部的连接，是很一种提高系统可靠性，并充分利用现有网络资源的极好办法；另外远程移动办公的人员也需要通过互联网来访问企业网的信息平台，进行相关的业务处理；而互联网的开放性使得此类访问往往面临很多的安全威胁，最为典型的就是攻击者嗅探数据包，或篡改数据包，破坏正常的业务访问，或者 泄露企业的商业秘密，使企业遭受到
