电信网络安全项目解决方案.docx

1、电信网络安全项目解决方案长沙电信网络安全解决方案湖南计算机股份有限公司网络通信及安全事业部一、长沙电信网络安全现状 2二、长沙电信网络安全需求分析 3三、网络安全解决方案 4四、网络安全设计和调整建议 10五、服务支持 10六、附录 111、Kill 与其他同类产品比较 112、方正方御防火墙与主要竞争对手产品比较 133、湘计网盾与主要竞争对手产品比较 144、湖南计算机股份有限公司简介 16、长沙电信网络安全现状由于长沙电信信息网上的网络体系越来越复杂，应用系统越来越多，网络规模不断扩 大，逐渐由 Intranet 扩展到 Internet 。内部网络通过 ADSL 、ISDN 、以太网等

2、直接与外 部网络相连，对整个生产网络安全构成了巨大的威胁。具体分析，对长沙电信网络安全构成威胁的主要因素有：1)应用及管理、系统平台复杂，管理困难，存在大量的安全隐患。2)内部网络和外部网络之间的连接为直接连接，外部用户不但可以访问对外服务的服务 器，同时也很容易访问内部的网络服务器，这样，由于内部和外部没有隔离措施，内 部系统极为容易遭到攻击。3)来自外部及内部网的病毒的破坏，来自 Internet 的 Web 浏览可能存在的恶意 Java/ActiveX 控件。病毒发作情况难以得到监控，存在大范围系统瘫痪风险。4)缺乏有效的手段监视、评估网络系统和操作系统的安全性。目前流行的许多操作系统

3、均存在网络安全漏洞，如 UNIX 服务器， NT 服务器及 Windows 桌面 PC。管理成本 极高，降低了工作效率。5)缺乏一套完整的管理和安全策略、政策，相当多的用户安全意识匮乏。6)与竞争对手共享资源(如联通) ，潜在安全风险极高。7)上网资源管理、客户端工作用机使用管理混乱，存在多点高危安全隐患。8)计算机环境的缺陷可能引发安全问题；公司中心主机房环境的消防安全检测设施，长 时间未经确认其可用性，存在一定隐患。9)各重要计算机系统及数据的常规备份恢复方案，目前都处于人工管理阶段，缺乏必要 的自动备份支持设备。10)目前电信分公司没有明确的异地容灾方案，如出现灾难性的系统损坏，完全没有

4、恢复 的可能性。11)远程拔号访问缺少必要的安全认证机制，存在安全性问题。二、长沙电信网络安全需求分析网络安全设计是一个综合的系统工程，其复杂性丝毫不亚于设计一个庞大的应用系统。长沙电信信息网的安全设计，需要考虑涉及到承载的所有软硬件产品及处理环节，而 总体安全往往取决于所有环节中的最薄弱环节，如果有一个环节出了问题，总体安全就得 不到保障；具体就以下几个方面来分析。物理安全： 在设计时需要考虑门禁、防盗、防火、防尘、防静电、防磁、电源系统等 等。网络结构安全： 通过层次设计和分段设计能够更好的实现网络之间的访问控制，结构 设计需要对网络地址资源分配、路由协议选择等方面进行合理规划。通常应该要

5、求网络集 成商在网络设计时对结构安全加以考虑，并在运营维护过程中不断改进和完善。网络安全： 对重要网段加以保护。通过防火墙做接入点的安全；通过扫描软件对网络范围内的所有提供网络服务的设备进行漏洞扫描和修补；通过基于网络的入侵检测系统动 态的保护重要网段。系统安全： 对网上运行的所有重要服务器加以保护，并从自身实施一定的安全措施。通过操作系统升级和打安全补丁减少系统漏洞；通过扫描软件对服务器进行漏洞扫描和修 补；通过安装基于主机的入侵检测系统来保护重要的服务器。数据库安全： 通过专业的数据库扫描软件检测数据库系统存在的安全漏洞并进行修 补，保护关键应用系统存放在数据库中的数据。应用系统和数据的安

6、全： 对于应用系统的安全，一方面可以借助扫描工具对软件安装的主机进行评估，另一方面对应用系统所占用的网络服务、用户权限和资源使用情况进行 分析，找出可能存在的安全问题。对于数据的安全，通过使用防病毒产品进行全方位的数 据扫描服务，保证整个生产网处于安全无毒的环境。网络安全是个长期的过程，不仅需要有好的规划设计，还要有良好的安全策略、及时 的安全评估和完善的安全管理体系，综合运用各种安全工具，方能保证系统处于最佳安全 状态。以下是仅对长沙电信网络的一个集各项先进技术、国内优秀品牌网络安全产品的网络 安全解决方案防火墙： 我们采用方正方御的三、网络安全解决方案1U 型防火墙。该防火墙属于集成模块型

7、状态检测防火墙， 用户可根据需要选择功能模块。在这里我们选择的是入侵检测模块、扫描器模块、 VPN 模 块，并考虑在中心机房的防火墙上选择安全评估模块*中心机房防火墙将重要数据与内外网络隔离，在长沙节点与四个县之间、长沙节点 与骨干网之间、 PSTN ，DDN 接入网络处分别配置防火墙，并根据原有的冗余链路利用防 火墙提供的内外网口实现关键链路的双机热备；*VPN 模块可实现点 -网关、网关 -网关的 VPN 加密通道，数字证书作为防火墙之间 的身份认证，保证 PSTN 远程拨号访问传输数据的完整性和保密性；*入侵检测模块结合扫描器可对关键链路进行实时监控；*安全评估能够全面的评估企业范围内的

8、所有网络服务、防火墙、应用服务器、数据库服务器等系统的安全状况，找出存在的安全漏洞并给出修补建议*防火墙还可以将企业内部 PC 的 MAC 地址和 IP 地址进行捆绑， 这样可以避免内部 人员随意修改 IP 地址；*URL 过滤功能可限制企业内部员工访问一些特定性质的站点。*网络地址转换( Network Address Translation )功能不仅可以隐藏内部网络地址信息，使外界无法直接访问内部网络设备，同时，它还帮助网络可以超越地址的限制，合 理地安排网络中上公用地址和私有地址的内部网用户顺利的访问 Internet 的信息资源， 不但不会造成任何网络应用的阻碍，同时还可以节省大量的

9、网络地址资源， 解决公司 IP 地址资源不够的问题。防病毒软件： 我们采用的是北京冠群金辰公司的 Kill 系列防病毒软件， KILL 防病毒软件 有专门针对 Email 服务器和 OA 服务器的版本以及 Kill For Lotus ，Kill For UNIX ，Kill For NT 等等，适用于电信行业这样的大型网络。在内部网络中选择一台服务器作为 KILL 下载服务器，可以定时的从网络中下载最新 的病毒库，然后分发到客户端 KILL 的机器上面。大大简化了防病毒的管理工作。升级问题是反病毒软件的一个重要考核标准，因此， KILL 所提供的自动简单升级方 法也是 KILL 系列产品的一

10、个重要优势。 KILL 主动邮件服务功能， 能够直接将最新升级版 本用电子邮件的方式发送到指定电子邮箱中。同时，企业内部网通过简单配置，在一台服 务器上下载升级文件便能够自动完成全域内所有计算机升级工作。即系统管理员可以将文 件服务器作为下载升级文件服务器，当文件服务器升级文件下载成功后， KILL 会自动将 升级文件分发给其他服务器和 NT 工作站；在终端用户登录到升级后的服务器时，客户端 会自动运行升级程序，从而完成客户端升级工作。整个升级工作如下图所示：入侵检测系统软件： 我们知道， Intranet 的保护需要有适当的工具（比如防火墙） 。但值 得注意的是，如果我们在有了适当的工具以后

11、还缺乏必要的审核手段，仍有可能造成企业 的巨大损失。 据一些著名防火墙专家的估测， 在现已安装的防火墙中， 大约有 50%以上的 防火墙实现是不当的。而造成这一现状的重要原因就是用户在配置的细节以及基本操作系 统的易受攻击上。正是由于这一原因，在网络日益成为当今公司企业赖以生存的手段的时候，它在将用 户与必要的资源相连接的同时，传输着至关重要而且往往是高度敏感的信息。但是随着网 络规模的扩大、复杂性的增加，防止它们受到诸如低级协议攻击、服务器与桌面电脑入侵 之类的威胁就变得越来越困难。更有其它危险来自于通过内部网络传播的病毒和恶意小程 序。因此与往常一样，我们很有必要检测和阻止对内部服务和桌面

12、的不合理访问以及不正 常的外部 URL 。那么网络在被动保护自己不受侵犯的同时，能否采取某些技术，主动保护自身的安全 呢？入侵检测技术就是一种主动保护自己免受黑客攻击的一种网络安全技术。入侵检测技 术可以帮助系统对付网络攻击，扩展系统管理员的安全管理能力 （包括安全审计、监视、进 攻识别和响应 ），提高信息安全基础结构的完整性。 它从计算机网络系统中的关键点收集信 息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检 测被认为是防火墙之后的第二道安全闸门，它在不影响网络性能的情况下能对网络进行监 测，从而提供对内部攻击、外部攻击和误操作的实时保护。湘计网盾入侵检测系统

13、产品介绍应用环境： TCP/IP10/100M 以太网； 兼容性：与控制台通信加密，与控制台相互认证； 适用性：独立操作系统；功能描述网络监听能力：支持 10/100M 以太网监听；监听网口不绑定 IP 。网络流预处理能力：支持 TCP 流重组，能够监控的并发活动 TCP 连接数为 60,000 以上；支持 IP 碎片重组。协议支持与信息收集：arp 监控，收集 MAC/IP 信息；general IP/TCP/UDP 流监控，能支持识别 syn-attack 、portscan ；ICMP 监控，包括 traceroute 行为、主机与端口不可达信息。行为检测：实时分析支持基于规则匹配的内容

14、分析；支持各类约 1000 多个事件描述； 自动通过管理端网口将事件信息传递给 Console ，通信协议要支持实时流量转储的 吞吐量；根据配置，能自动实时阻断某种特征的连接， 也可以根据 Console 的请求阻断某些 特征的连接；TCP RST ；ICMP UNREACHABLEARP Takeover ；管理控制权限分级，参照公安部要求执行，至少分：管理员、授权管理人员、授权用户，详见公安部标准；集中管理集中管理一个或多个 Sensor（ 理论上对 Sensor 无限制 ）；负责策略的配置；可以对 Sensor 进行入侵库和软件的升级；规则库与规则定制系统规则库有事件的详细说明和分级；系

15、统提供几套缺省入侵检测集供用户选用；用户可以自行制定入侵检测集；用户可以自行定制入侵检测匹配规则；统计分析对一个或多个 Sensor 上传的日志进行统计分析；能够根据日志分析并鉴别下列行为， 并生成分析日志，（同时自动将相关事件日志复制到分析日志关联库中，以防原始事件日志被回卷） ：黑客攻击（ 35 大类， 1290 多种），并能通过网络接口进行检测库和程序的升级 检测端口扫描攻击检测常见的 web 攻击对不正常的请求 icmp 报警检测利用 finger 的攻击检测利用 ftp 的攻击对少见的 ip 选项报警检测常见的后门检测利用 RPC 漏洞的攻击检测利用缓冲区溢出的攻击根据分析结果，触发响应完善的审计、日志功能对所有管理员操作进行记录；对所有 Sensor 上传事件信息进行记录；根据不同等级的事件设置各自独立的回滚存储区；审计信息应能加密存储（需要明确：审计信息包括哪些） ；支持流行数据库报表用直观的柱行图或饼图统计攻击的各情况；入侵响应可以针对不同事件等级、统计分析结果等级制定不同的响应方式； 中断连接（通过 Sensor 执行）； 提醒系统维护，漏洞更新多种报警，通知方式Email 、声音、切断连接、记录到数据库等。四、网络安全设计和调整建议尽快与寻呼、移动网络从物理