信息安全网络边界安全巡逻系统.pdf

网络边界安全巡逻系统让网络安全体系架构更完美让网络安全体系架构更完美南京揽胜熠熠网络科技有限公司南京揽胜熠熠网络科技有限公司http:/揽胜熠熠揽胜熠熠目 录网络边界巡逻系统产生的背景1.网络边界巡逻系统功能介绍2.网络边界巡逻系统特点与价值3.网络边界巡逻系统应用场景4.揽胜熠熠揽胜熠熠网络边界安全-形成过程 互联网边界 内联网边界 外联网边界 安全域边界 互联网边界 内联网边界 外联网边界 安全域边界规划网规划网络边界络边界 防火墙 入侵防御系统 交换机 路由器 防火墙 入侵防御系统 交换机 路由器部署边部署边界设备界设备 规划防护目标 确定防护粒度 配置安全规则 执行安全规则 规划防护目标 确定防护粒度 配置安全规则 执行安全规则加载安加载安全策略全策略网络访问控制网络攻击阻断保护安全区域网络访问控制网络攻击阻断保护安全区域形成隔形成隔离防护离防护揽胜熠熠揽胜熠熠网络边界安全-安全属性安全防护对被保护区域进行安全防护访问控制安全审计网络隔离不同区域之间访问行为审计对不同的安全区域进行隔离不同区域之间访问进行控制揽胜熠熠揽胜熠熠边界安全风险-客观原因不断叠加的安全策略复杂多样的网络边界难以理解的安全规则无法自检的边界设备等保边界安全一致性、完整性、策略最小化要求PCI DSSSOXISO 27001等合规要求揽胜熠熠揽胜熠熠边界安全风险-本质原因网络边界网络边界安全防护访问控制安全隔离行为审计安全规则安全规则安全规则安全规则配置是主观的控制是静态的防护是被动的边界风险边界风险规则的冗余规则的无效规则的错误规则的违规规则的错序规则的全通揽胜熠熠揽胜熠熠边界安全规则-安全案例 根据Gartner的统计，95%的边界安全事件均是由边界设备策略问题引起的。美国犹他州Department of Health被偷78条客户信息。该安全事件是由于管理员的策略配置错误而造成的；国内某银行由于某设备配置错误造成断网3小时马来西亚某银行由于新管理员错误移动了某条安全策略的位置（从第2条移动到较后位置），造成某关键业务中断12小时网络边界设备5%漏洞由设备引起网络边界设备95%漏洞由规则配置引起揽胜熠熠揽胜熠熠边界安全规则-设备性能在边界安全策略的添加和变更过程中，没有技术措施保证新的安全策略与已有安全策略的一致性。包括安全策略是否冗余？逻辑顺序是否正确？导致边界设备安全策略只增不减；统计表明，没有进行过策略优化的边界设备，约有30%50%的策略是多余的、不必要的；大量冗余的、逻辑顺序杂乱安全策略，不仅容易导致配置上的安全漏洞，而且会使边界设备消耗额外的性能，造成网络时延。边界设备本身无法保证规则的完整性和一致性边界设备本身无法保证规则的完整性和一致性多余的规则造成网络时延与设备资源损失多余的规则造成网络时延与设备资源损失揽胜熠熠揽胜熠熠网络边界安全巡逻系统-应运而生网络边界设备规则智能分析网络边界巡逻系统可以对不同的网络边界设备安全规则进行智能化分析，保障网络边界安全的完整性与一致性。通过网络边界巡逻系统，用户可以对安全规则进行合规分析、风险分析、优化分析、变更分析、操作分析，实现规则优化和网络秩序的全景监测，确保策略配置的有效性、安全性和合规性。揽胜熠熠揽胜熠熠目 录网络边界巡逻系统产生的背景1.网络边界巡逻系统功能介绍2.网络边界巡逻系统特点与价值3.网络边界巡逻系统应用场景4.揽胜熠熠揽胜熠熠安全巡逻系统-功能简介合规审计合规审计配置管理配置管理网络边界网络边界安全巡逻系统安全巡逻系统策略管理策略管理行为监测行为监测揽胜熠熠揽胜熠熠安全策略管理-综合分析冗余规则分析冗余规则分析冲突规则分析冲突规则分析无用规则分析无用规则分析宽松规则分析宽松规则分析规则逻辑顺序分析规则逻辑顺序分析规则使用状况分析规则使用状况分析123456安全策略综合分析揽胜熠熠揽胜熠熠安全策略管理-异构设备管理 巡逻系统能够智能识别绝大多数网络边界设备安全规则。巡逻系统能够对网络边界设备安全规则实现在线分析和离线分析。2异构设备安全规则管理揽胜熠熠揽胜熠熠安全策略管理-基本分析安全策略基本分安全策略基本分析析 巡逻系统能够清晰统计分析出ANY规则数量、启用/未启用规则数量、有注释/无注释规则数量、日志启用/未启用数量。巡逻系统能够根据对策略的应用监测，对规则中的“ANY”进行收缩。未启用规则可以根据实际情况进行删除。规范的安全策略应该有注释。揽胜熠熠揽胜熠熠安全策略管理-高级分析安全策略高级分安全策略高级分析析 巡逻系统能够准确分析出有缺陷或漏洞的安全策略，包括覆盖规则、冗余规则、过期规则、可合并规则、交叉规则、冲突规则。巡逻系统根据策略分析情况，会给出策略优化建议。揽胜熠熠揽胜熠熠安全策略管理-动态分析安全策略动态分析安全策略动态分析 巡逻系统能够根据策略应用匹配次数，对安全规则的顺序排列给出优化建议；安全规则重新排序后，业务逻辑不会发生变化。安全规则排序优化后，可以提高网络边界设备性能。巡逻系统能够根据策略应用匹配情况，发现僵尸策略，避免防护策略漏洞的出现。巡逻系统能够根据策略的应用匹配情况，对规则中的“ANY”进行收缩。揽胜熠熠揽胜熠熠运维管理-功能简介工单处理工单处理策略备份策略备份策略变更策略变更设备管理设备管理运维管理运维管理揽胜熠熠揽胜熠熠运维管理-工单处理 巡逻系统可以根据策略申请流程，建立策略工单。策略工单处理揽胜熠熠揽胜熠熠运维管理-设备配置备份 巡逻系统能够对网络边界设备配置进行手动或定期自动备份。巡逻系统可以对设备配置备份进行历史版本的比较，以发现不同版本之间的差异，避免出现配置漏洞。设备配置备份揽胜熠熠揽胜熠熠运维管理-策略变更 巡逻系统可以对策略变更进行记录策略变更揽胜熠熠揽胜熠熠运维管理-设备管理边界设备管理 巡逻系统能够对边界设备进行有效管理，包括编辑设备组，新增设备组。揽胜熠熠揽胜熠熠边界设备行为监测-功能简介行为行为监测监测流量流量监测监测匹配匹配监测监测违规违规监测监测网序网序监测监测揽胜熠熠揽胜熠熠边界设备行为监测-路径分析分析策略路径及影响策略的相关设备 分析规则路径并呈现规则路径；分析该规则路径影响的设备及规则。揽胜熠熠揽胜熠熠边界设备行为监测-网络秩序拓扑 通过安全规则和路由表自动生成全景网络秩序图。通过网络流量监测智能识别网络秩序异常情况。全景网络秩序图展现揽胜熠熠揽胜熠熠合规审计-功能简介流量收集策略规划策略合规策略导入策略验证基线合规揽胜熠熠揽胜熠熠合规审计-合规展示 可自定义每类网络设备的配置信息和合规条件 提交每台网络设备的配置报告合规展示揽胜熠熠揽胜熠熠合规审计-合规审计 使用默认合规报表 根据合规内容对特殊设备建立合规可视化报表 支持法规等级保护PCI DSS减少80%以上的审计工作量揽胜熠熠揽胜熠熠目 录网络边界巡逻系统产生的背景1.网络边界巡逻系统功能介绍2.网络边界巡逻系统特点与价值3.网络边界巡逻系统应用场景4.揽胜熠熠揽胜熠熠边界巡逻系统核心技术深度的规则优化深度的规则优化算法，精细的规算法，精细的规则优化建议。则优化建议。核心技术核心技术自定义合规审计和内自定义合规审计和内嵌合格模版，使规则嵌合格模版，使规则安全审计事半功倍安全审计事半功倍强大的规则路由关强大的规则路由关联算法，精准呈现联算法，精准呈现全景网络秩序拓扑全景网络秩序拓扑实时监测网络边界流实时监测网络边界流量是否合规，及时发量是否合规，及时发现边界违规访问行为现边界违规访问行为揽胜熠熠揽胜熠熠巡逻系统产品优势特点便捷的B/S管理模式深层策略分析技术，确保策略分析最优化全面的法规与风险知识库，内置多种安全标准合规模板标准的Webservice接口，可以实现与SOC/网管系统的集成支持主流厂商的网络边界设备安全规则分析，可自定义匹配规则。能够呈现复杂的网络全景秩序拓扑。自定义细粒度的风险检测规则。可自定义规则变更工作流程。揽胜熠熠揽胜熠熠巡逻系统客户价值-架构更完美让网络安全架构更完美；挖掘网络边界安全规则漏洞提升网络边界提升网络边界的安全性和边的安全性和边界设备的性能界设备的性能变网络边界静变网络边界静态防护为动态态防护为动态防御防御检查网络边界检查网络边界规则的合规性规则的合规性和潜在的风险和潜在的风险优化网络边优化网络边界设备安全界设备安全规则配置规则配置监测网络边监测网络边界流量、秩界流量、秩序、规则的序、规则的合规性合规性监测网络边界监测网络边界设备规则变更设备规则变更带领的风险带领的风险揽胜熠熠揽胜熠熠巡逻系统客户价值-等保合规“应记录和保存基本配置信息，包括各个设备或软件组件的配置参数等；并及时更新基本配置信息库。应对安应对安全策略等安全相关全策略等安全相关事项进行集中管理事项进行集中管理。”“应删除多余或无效“应删除多余或无效的访问控制规则，优的访问控制规则，优化访问控制列表，并化访问控制列表，并保证访问控制规则数保证访问控制规则数量最小化”量最小化”应定期进行全面安全检查，包括安全配置与安全策略的一致性安全策略的一致性等；应保证各个层面安全功能实现强度的安全功能实现强度的一致性一致性。应防止某个层面安全功能的减弱导致整体安全保护能力在这个安全功能上消弱。等保访问控制的自动化审计工具边界设备安全配置管理平台等保安全一致性审计工具应在区域边界设置应在区域边界设置探测器探测器，例如外接探测软件，探测非法外联和入侵行为，并及时报告安全管理中心。（安全策略的完整性）区域边界完整性保护工具满足等保合规要求揽胜熠熠揽胜熠熠提升效率，节约投资。网络边界巡逻系统-客户价值简化规则变更流程管理，节约网简化规则变更流程管理，节约网络运营团队络运营团队60%的操作时间；的操作时间；帮助用户集中、智能、自帮助用户集中、智能、自动的管理异构网络边界设动的管理异构网络边界设备中的复杂安全规则；备中的复杂安全规则；提高变更操作准确性，减提高变更操作准确性，减少少20-30%的无用变更；的无用变更；减少减少IT部门“繁重”的工部门“繁重”的工作量和策略分析的成本；作量和策略分析的成本；提升网络和安全设备提升网络和安全设备的可用性、安全性，的可用性、安全性，并保证持续合规性并保证持续合规性提升审计部门的工作效率，提升审计部门的工作效率，减少减少80%的审计工作量；的审计工作量；客户价值揽胜熠熠揽胜熠熠目 录网络边界巡逻系统产生的背景1.网络边界巡逻系统功能介绍2.网络边界巡逻系统特点与价值3.网络边界巡逻系统应用场景4.揽胜熠熠揽胜熠熠关键信息基础设施-边界巡逻 网络边界安全巡逻系统（NBSPS）广泛应用于国家关键信息基础设施当中，为国家关键信息基础设施网络边界安全守疆巡边，提升关键信息基础设施的网络安全防护能力，使客户的关键信息基础设施安全体系架构更加完美。网络边界安全巡逻系统（NBSPS）应用的行业包括能源、通信、金融、交通、公用事业等拥有关键信息基础设施的行业。能源电信金融交通揽胜熠熠揽胜熠熠网络边界巡逻系统-应用架构更多的结果.更好的准确性.数据来源 Rule Log Router知识库合规知识库优化知识库漏洞知识库最佳实践知识库分析、优化监测风险分析；合规分析优化分析；变更分析操作分析规则优化全景秩序监测SiSiSiSi路由器交换机网闸入侵防御系统防火墙防火墙防火墙管理中心管理中心巡逻引擎巡逻引擎交换机HTTPSSSH/SYSLOGNetflow运维人员无法显示该图片。揽胜熠熠揽胜熠熠边界巡逻系统-应用场景之一金融行金融行业解解决方案方案金融行金融行业解解决方案方案某银行为了保证总行、分行网络边界安全的一致性和完整性，要求对网银区域、两网隔离区域和分行的防火墙规则进行统一管理，涉及到200多台、五个厂商的防火墙。客户需求解决方案总行部署网络边界安全巡逻系统，实现以下功能：安全规则的远程分析管理针对防火墙规则安全合规管理提供了有效手段，采用离线分析和在线分析功能，对分行策略进行审计，无需总行工程师到分行进行手动审计工作。异构安全规则的统一备份对网银区域、两网隔离区域和分行的防火墙安全进行统一备份管理。安全规则的定期合格审计对总行防火墙安全规则定期进行风险合规审计，并给出总结报告，有效的控制了规则上线和规则变更的风险。异构规则无缝迁移在多个业务新防火墙上线和迁移的过程中，实现现有规则的梳理和异构迁移工作，对规则变更过程中发现的高风险进行确认。揽胜熠熠揽胜熠熠边界巡逻系统-应用场景之二跨跨国银行解行解决方案方案某跨国银行是全球最大的金融机构之一，业务遍布160个国家。约1200台防火墙，分布在北美洲及亚洲公司中。网络边界设备规则安全审计、安全优化、合规验证、规则变更通过运维人员手动完成，不仅工作量大，效率低，而且还容易出错，无法满足严格的安全基线要求。以总部+分部方式部署网络边界安全巡逻系统，取得以下成果：提升了网络边界的安全防护能力，保证了网络边界安全防护的一致性；节省了网络安全运维成本，提升了网络安全运维效率；确保了网络边界设备的正确配置与维护；满足了银行边界安全防护合规性要求。帮助用户集中、智能、自动管理异构网络边界设备的复杂安全规则。客户需求客户需求解决方案解决方案THANKS!南京揽胜熠熠网络科技有限公司南京揽胜熠熠网络科技有限公司http:/http:/