安全隔离建议方案2精.docx

安全隔离建议方案2精.docx

《安全隔离建议方案2精.docx》由会员分享，可在线阅读，更多相关《安全隔离建议方案2精.docx（16页珍藏版）》请在冰豆网上搜索。

安全隔离建议方案2精

南京奥体中心网络安全隔离

投标方案

目录

1南京奥体中心网络安全隔离需求分析3

1.1南京奥体中心内部网网络现状3

1.2南京奥体中心网络的安全风险分析3

1.3建立统一安全隔离数据交换安全原则4

2南京奥体中心网络网络安全隔离解决方案5

2.1南京奥体中心网络内网安全隔离与信息交换设计5

2.2安全隔离与信息交换平台实施方案5

2.3近期建议解决方案拓扑图6

2.4解决方案产品选型7

3隔离网闸产品方案设计8

3.1隔离网闸产品概述8

3.2产品内部架构8

3.3产品特点9

3.4产品功能10

3.4.1系统可靠性10

3.4.2系统可用性11

3.4.3安全功能11

3.4.4系统管理12

3.4.5应用支持13

3.5伟思ViGap系统性能参数14

4实施方案14

4.1实施计划14

4.2具体实施步骤15

5验收方案15

5.1设备交货验收15

5.2现场移交验收16

5.3试运转验收测试16

6系统支持与服务方案16

6.1售后服务16

6.2培训计划17

1南京奥体中心网络安全隔离需求分析

1.1南京奥体中心内部网网络现状

南京奥林匹克奥体中心（以下简称奥体中心）网络系统存在2个不同信任级别的网络（数据中心和场馆网），且相互之间物理隔离，随着网上商城和对外发布网站等业务平台的建立、应用和不断扩展，由于存在内外局域网且两个网络之间目前是物理隔离的状态；为保障业务平台的稳定性、连续性和安全性，同时由于数据交换的需要，内部网络将不再和互联网之间进行纯物理隔离，这时将引入较大的安全隐患。

另外随着业务平台的不断发展，也将面临各种安全问题，例如蠕虫病毒爆发、ARP欺骗、黑客攻击等等。

我们将采用一个层次化的、多样性的安全措施来保障业务平台的安全。

1.2南京奥体中心网络的安全风险分析

从南京奥体中心的安全风险分析中，我们可以看出，主要的安全风险在于：

奥数据中心内外网之间的数据交换，必然带来一定的安全风险，原来在外部网上传播的病毒可能因为数据交换而感染到内部数据中心网服务器群；原来利用互连网发动攻击的黑客、下级场馆的人员疏忽、恶意试探也可能利用外部办公网络的数据交换的连接尝试攻击本单位数据中心网，可以影响到本单位数据中心网系统内部大量的重要数据正常运行，所以安全问题变得越来越复杂和突出。

综合分析网络的攻击的手段，南京奥体中心网络内外部网络的数据交换可能面临的安全风险包括：

问题类型

问题

问题描述

协议设计

安全问题被忽视

制定协议之时，通常首先强调功能性，而安全性问题则是到最后一刻、甚或不列入考虑范围。

其它基础协议问题

架构在其他不稳固基础协议之上的协议，即使本身再完善也会有很多问题。

流程问题

设计协议时，对各种可能出现的流程问题考虑不够周全，导致发生状况时，系统处理方式不当。

设计错误

协议设计错误，导致系统服务容易失效或招受攻击。

软件设计

设计错误

协议规划正确，但协议设计时发生错误，或设计人员对协议的认知错误，导致各种安全漏洞。

程序错误

程序撰写习惯不良导致很多安全漏洞，包含常见的未检查资料长度内容、输入资料容错能力不足、未检测可能发生的错误、应用环境的假设错误、引用不当模块、未检测资源不足等。

人员操作

操作失误

操作规范严格且完善，但是操作人员未受过良好训练、或未按手册操作，导致各种安全漏洞和安全隐患。

网络通讯

信息泄密

由于未采用加密手段导致通讯内容被侦听，或用户名/口令在网上明文传输，导致窃取用户身份登录。

系统维护

默认值不安全

软件或操作系统的预设设置不科学，导致缺省设置下系统处于不安全的状况下，如匿名登录、访问权限不当等。

容易遭受病毒、蠕虫、特洛依木马等的攻击。

未修补系统

软件和操作系统的各种补丁程序没有及时修复。

内部安全问题

对由信任系统和网络发起的各种攻击防范不够。

信任领域存在的不安全系统，成为不信任领域内系统攻击信任领域的各种跳板。

1.3建立统一安全隔离数据交换安全原则

根据对以上安全风险的归纳，南京奥体中心数据中心网和外网之间数据交换最大的特点是复杂程度高，信息点多，安全威胁来自从物理层到应用层多个方面。

本方案在制定安全系统设计时所采用的基本策略为：

主要以安全隔离信息交换技术和数据摆渡技术为主体，构造一个具有最高安全强度的、在较长一段时期内可以防御绝大部分已知和未知的网络攻击手段的、并可以满足用户多种网络应用信息安全交换的网络安全隔离系统平台。

南京奥体中心网络内外网信息交换的安全原则和要求体现在如下几个方面：

1、建立统一的安全隔离交换平台，内部南京奥体中心数据中心网络应用服务器通过统一出口实现与外部主机、网络间的可信信息交换，统一管理，执行统一的安全策略，实现内部网信息和外部应用网数据交换的高度可控性。

2、隔离平台必须提供完整的安全审计功能，能够详细记录、快速查询内外网间的访问行为及安全事件，数据传输的详细记录。

3、内部网通过安全隔离交换平台与外界进行的信息交换必须受到严格的控制，内部网安全隔离平台可以提供必要的安全手段，如信息的单向访问，防止内网向外部泄漏敏感信息和抵御外网攻击。

4、安全隔离平台必须具备较高的网络性能及稳定性、高可用性。

5、所采用的安全隔离设备必须通过公安部信息安全产品许可和国家保密局的技术鉴定。

安全隔离设备具有安全的文件和数据库交换功能，支持视频传输功能，可以支持对http、ftp等通用应用层协议的严格分析控制的物理隔离设备或功能。

2南京奥体中心网络网络安全隔离解决方案

2.1南京奥体中心网络内网安全隔离与信息交换设计

南京奥体中心的网上商城应用和对外网站需要发布到互联网，数据中心网与外网之间隔离遵循“内外网物理隔断，内外网可控信息交换”的原则，数据中心网不直接接受来自其他网络的数据访问请求。

其中主要基于以下安全考虑：

即不接收其他网络网数据，使得数据中心网络对外不暴露任何端口和服务，完全隐藏数据中心网络，从而更集中、高效地保护数据中心网的安全；更重要的是该功能阻断了黑客通过木马控制数据中心服务器的通讯途径，保护数据中心核心数据的安全。

采用安全隔离网闸为基础的内外网信息交换平台上，应用文件同步、数据库同步和访问等技术实现内外数据交换，保护南京奥体中心数据中心内网的应用服务器和数据库服务器的安全，严格保证南京奥体中心网络数据中心内网数据的机密性、完整性和可用性，这样就以隔离网闸为核心，建立了一整套完整的安全隔离与信息交换平台。

2.2安全隔离与信息交换平台实施方案

根据以上设计，其主要实施方式是：

1、在南京奥体中心数据中心交换机与外部核心交换机间部署伟思ViGap安全隔离与信息交换系统（隔离网闸），该网闸的作用就是隔离来自外部网络的访问，以静态化纯数据的形式摆渡交换在内外网之间安全交换数据。

2、所有外部网络的计算机向数据中心网络请求数据时，都将通过统一入口，即统一数据交换平台进行数据导出，内外网进行数据交换仅允许定义的特定协议和端口，进行特定数据交换。

隔离除此之外其它任何外部主机对内网的访问请求。

在该隔离环境下，大量攻击行为都被隔离网闸隔离而无法进入南京奥体中心数据中心网。

3、隔离网闸采用多接口设计可以配合负载均衡器实现应用负载，保证业务的高可靠性设计。

4、部署伟思数据交换系统实现内外网文件数据与数据库数据的同步交换，该系统具备强大的安全审计、木马防护、文件签名校验等功能，能够有效保障数据中心网与外网数据安全可靠的交换。

2.3近期建议解决方案拓扑图

近期南京奥体中心网络进行初期的业务运行，其用户量在几十数量级，但是考虑到将来的用户数增加较大，为使业务系统将来能够平滑升级和过度，因此，可建议采用单主机、单链路的千兆设备构建安全隔离平台，其初步的整体解决方案如图所示：

本方案在南京奥体中心数据中心网络与外网核心交换机间部署隔离网闸，统一实现用户认证、文件安全检查、通讯加密、网络隔离以及文件上传、下载等任务。

隔离网闸可采用访问式和同步式两种工作模式，提供内外网数据库、文件服务器的数据同步功能，也可以提供对网络访问的全面控制和策略管理。

隔离网闸负责完全屏蔽数据中心网络，进行协议剥离和纯数据静态摆渡，，防止各种已知和未知的攻击行为及木马病毒危害。

隔离网闸具有应用文件数据交换功能和数据库数据交换功能，实现内外网数据安全可靠的交换，同时具备强大的安全审计、木马防护、文件签名校验等功能，能够有效防止木马、病毒随文件进入数据中心网。

隔离网闸支持白名单安全机制工作，即仅允许专用传输程序访问数据中心网的服务器进行文件上传、下载，任何其它应用程序，包括各类病毒、木马程序都被拒绝访问数据中心网服务器，确保数据中心网服务器安全。

随着业务的扩展，隔离网闸丰富的网络接口可以直连对外应用服务器配合负载均衡器实现服务器的冗余，保证业务的可持续性和高可靠性。

2.4方案扩展性

随着信息化建设的不断推进，未来用户业务量的变化、增加，越来越多的业务系统需要与数据中心的服务器进行数据交换，为了保证业务系统能持续、可靠地提供服务变的尤为重要的，因此安全隔离与信息交换系统的容错性和不间断性显得尤为重要，在原有的基础上增加一台安全隔离设备实现双机热备，从而准确、快速地将原主设备应用切换到备机上继续运行，实现整个业务系统的不间断运行，保证整个业务系统对外服务的正常，为关键业务应用提供强大的保障；扩展可采用叠加方式，不需要改变已有的网络应用结构

同时攻击的手段也在不断的更新，应对新的安全风险，只需要在边界安全交换平台两端网络增加安全性扩展设备系统即可，比如：

IDS/IPS、防病毒系统、终端安全准入系统、可信文件检测系统等等。

2.5解决方案产品选型

根据所需防范的具体安全问题类型、期望达到的安全程度，本方案建议选择相应的安全产品，产品的选型遵从如下标准：

1）、成熟性：

保证安全体系本身的可靠和稳定，也是保证网络安全系统平台能够安全可靠运行的基本要素。

2）、先进性：

保证安全体系具有较强的适应力、生命力，以便能适应未来一段时期内安全发展的需要。

3）、国内自主知识产权，自行生产的网络安全产品。

4）、合法性：

安全体系建设中所采用的安全技术及其产品须有国家安全部门或具有等效职能机构认证并颁发有许可证。

3隔离网闸产品方案设计

3.1隔离网闸产品概述

伟思网络安全技术有限公司作为我国最早研发并率先推出安全隔离与信息交换系统产品的专业信息安全技术公司之一，其安全隔离与信息交换产品已经广泛应用于近百家各种不同行业/部门的用户系统中，多次在一些国家部委及金融单位总部的重要招标中成功中标或入围，获得了用户的普遍高度好评。

伟思信安ViGap安全隔离与信息交换系统采用国际先进的GAP硬件隔离反射技术，实现了在网络隔离环境下的可控信息交换，并针对传统安全隔离与信息交换系统应用层安全防护薄弱的现状，运用创新技术开发出基于网络隔离安全基础平台下的应用层防护系统，为各类党政部门、军事单位、金融电信、科研院校及企事业单位等机构的关键业务处理系统与外部不可信网络间信息交换提供了完整的安全隔离与信息交换解决方案。

伟思信安ViGap安全隔离与信息交换系统率先采用国际领先的基于ASIC芯片（大规模集成电路芯片）设计的高速硬件电子隔离开关技术，实现了受保护网络与不可信网络（互联网、专网等外部网络）间的物理断开，并通过摆渡机制在可控环境下实现内外网间应用层数据交换。

ASIC芯片具有不可编程特性而且通讯方式彻底私有，从技术上消除了传统攻击手段对受保护内部网络的威胁，所有交换数据均经过ViGap的严格安全检查，置于ViGap设备保护之下的内部网络与外部不可信网络在任一时刻