文档介绍：长沙电信网络安全解决方案
湖南计算机股份有限公司
网络通信及安全事业部
目录
一、长沙电信网络安全现状 1
二、长沙电信网络安全需求分析 2
三、网络安全解决方案 3
四、网络安全设计和调整建议 8
五、服务支持 8
六、附录 9
1、Kill与其他同类产品比较 9
2、方正方御防火墙与主要竞争对手产品比较 11
3、湘计网盾与主要竞争对手产品比较 12
4、湖南计算机股份有限公司简介 13
一、长沙电信网络安全现状
由于长沙电信信息网上的网络体系越来越复杂,应用系统越来越多,网络规模不断扩大,。内部网络通过ADSL、ISDN、以太网等直接与外部网络相连,对整个生产网络安全构成了巨大的威胁。
具体分析,对长沙电信网络安全构成威胁的主要因素有:
1) 应用及管理、系统平台复杂,管理困难,存在大量的安全隐患。
2) 内部网络和外部网络之间的连接为直接连接,外部用户不但可以访问对外服务的服务器,同时也很容易访问内部的网络服务器,这样,由于内部和外部没有隔离措施,内部系统极为容易遭到攻击。
3) 来自外部及内部网的病毒的破坏,的Web浏览可能存在的恶意Java/ActiveX控件。病毒发作情况难以得到监控,存在大范围系统瘫痪风险。
4) 缺乏有效的手段监视、评估网络系统和操作系统的安全性。目前流行的许多操作系统均存在网络安全漏洞,如UNIX服务器,NT服务器及Windows桌面PC。管理成本极高,降低了工作效率。
5) 缺乏一套完整的管理和安全策略、政策,相当多的用户安全意识匮乏。
6) 与竞争对手共享资源(如联通),潜在安全风险极高。
7) 上网资源管理、客户端工作用机使用管理混乱,存在多点高危安全隐患。
8) 计算机环境的缺陷可能引发安全问题;公司中心主机房环境的消防安全检测设施,长时间未经确认其可用性,存在一定隐患。
9) 各重要计算机系统及数据的常规备份恢复方案,目前都处于人工管理阶段,缺乏必要的自动备份支持设备。
10)目前电信分公司没有明确的异地容灾方案,如出现灾难性的系统损坏,完全没有恢复的可能性。
11) 远程拔号访问缺少必要的安全认证机制,存在安全性问题。
二、长沙电信网络安全需求分析
网络安全设计是一个综合的系统工程,其复杂性丝毫不亚于设计一个庞大的应用系统。长沙电信信息网的安全设计,需要考虑涉及到承载的所有软硬件产品及处理环节,而总体安全往往取决于所有环节中的最薄弱环节,如果有一个环节出了问题,总体安全就得不到保障;具体就以下几个方面来分析。
物理安全:在设计时需要考虑门禁、防盗、防火、防尘、防静电、防磁、电源系统等等。
网络结构安全:通过层次设计和分段设计能够更好的实现网络之间的访问控制,结构设计需要对网络地址资源分配、路由协议选择等方面进行合理规划。通常应该要求网络集成商在网络设计时对结构安全加以考虑,并在运营维护过程中不断改进和完善。
网络安全:对重要网段加以保护。通过防火墙做接入点的安全;通过扫描软件对网络范围内的所有提供网络服务的设备进行漏洞扫描和修补;通过基于网络的入侵检测系统动态的保护重要网段。
系统安全:对网上运行的所有重要服务器加以保护,并从自身实施一定的安全措施。通过操作系统升级和打安全补丁减少系统漏洞;通过扫描软件对服务器进行漏洞扫描和修补;通过安装基于主机的入侵检测系统来保护重要的服务器。
数据库安全:通过专业的数据库扫描软件检测数据库系统存在的安全漏洞并进行修补,保护关键应用系统存放在数据库中的数据。
应用系统和数据的安全:对于应用系统的安全,一方面可以借助扫描工具对软件安装的主机进行评估,另一方面对应用系统所占用的网络服务、用户权限和资源使用情况进行分析,找出可能存在的安全问题。对于数据的安全,通过使用防病毒产品进行全方位的数据扫描服务,保证整个生产网处于安全无毒的环境。
网络安全是个长期的过程,不仅需要有好的规划设计,还要有良好的安全策略、及时的安全评估和完善的安全管理体系,综合运用各种安全工具,方能保证系统处于最佳安全状态。
以下是仅对长沙电信网络的一个集各项先进技术、国内优秀品牌网络安全产品的网络安全解决方案。
三、网络安全解决方案
防火墙:我们采用方正方御的1U型防火墙。该防火墙属于集成模块型状态检测防火墙,用户可根据需要选择功能模块。在这里我们选择的是入侵检测模块、扫描器模块、VPN模块,并考虑在中心机房的防火墙上选择安全评估模块。
*中心机房防火墙将重要数据与内外网络隔离,在长沙节点与四个县之间、长沙节点与骨干网之间、PSTN,DDN接入网络处分别配置防火墙,并根据原有的冗余链路利用防火墙提供的内外网口实现关键链路的双机热备;
*VPN模块可实现点-网关、网关-网关的VPN加密通道,数字证书