计算机专网安全产品解决方案样本.doc

宁波市政府计算机专网安全产品解决方案（网络防火墙）方正数码有限公司1.背景简介51.1.项目总述51.2.网络环境总述51.3.业务现状61.4.网络信息安全概况71.4.1.网络安全现状81.4.2.典型黑客袭击81.4.3.网络与信息安全平台任务102.安全架构分析与设计112.1.网络整体构造112.1.1.宁波在全国政府专网中位置122.1.2.光纤网络平台122.2.宁波政府专网安全风险分析142.2.1.重要应用服务安全风险142.2.2.网络中重要系统安全风险152.2.3.数据库系统安全分析162.2.4.Unix系统安全分析162.2.5.Windows NT系统安全分析172.2.6.管理系统安全风险172.3.宁波政府专网安全风险解决方案设计原则和目的182.3.1.网络安全解决方案构成192.3.2.超高安全规定下网络保护212.4.防火墙选型222.5.防火墙设立及工作模式232.6.防火墙功能设立及安全方略232.6.1.完善访问控制232.6.2.内置入侵检测（IDS）242.6.3.代理服务242.6.4.日记系统及系统报警242.6.5.带宽分派，流量管理252.6.6.H.323支持252.6.7.系统升级252.6.8.双机备份262.6.9.防火墙方案特点262.7.防火墙整体布局272.8.宁波市政府系记录算机专网核心节点市政府办公厅网络282.9.各区及委、办、局安全网络282.10.集中管理和分级管理293.产品选型303.1.防火墙与入侵检测选型303.1.1.方正数码公司简介303.2.方正方御防火墙（100M）313.2.1.产品概述313.2.2.系统特点313.2.3.方御防火墙（百兆）性能353.2.4.方正方御防火墙功能阐明363.3.方正方御防火墙（1000M）473.3.1.产品概述473.3.2.系统特点483.3.3.方正方御千兆防火墙功能阐明493.3.4.方御防火墙（千兆）性能594.工程实行方案614.1.合同订立阶段工作实行614.2.发货阶段实行624.3.到货后工作实行634.4.测试及验收644.4.1.测试及验收描述644.5.系统初验654.5.1.功能测试654.5.2.性能测试654.5.3.实行人员655.培训方案665.1.培训目的665.2.培训课程665.3.培训方式665.4.培训时长665.5.培训地点665.6.培训人数675.7.培训讲师675.8.入学规定686.售后服务和技术支持696.1.售后服务内容696.2.保修706.3.保修方式716.4.保修范畴716.5.保修期确认726.6.全国服务网络726.7.场地及环境准备726.7.1.常规规定726.7.2.机房电源、地线及同步规定736.7.3.设备场地、通信736.7.4.机房环境736.8.验收清单756.8.1.设备开箱验收清单756.8.2.顾客信息清单756.8.3.顾客验收清单767.方案整体优势788.方正方御防火墙荣誉证书791. 背景简介1.1. 项目总述政府专网是宁波市政府信息化建设基本工程，是以宁波市政府东、北大院计算机局域网为核心，以宽带光纤网络为通信平台，环绕业务管理、数据互换、语音通信、重大事件解决、视频会议等应用，覆盖宁波市各县（市）、区政府，市政府各部门，市委办、人大办、政协办及市委各工作部门等，并与全国、全省政府专网联接，共约122个节点城域网。政府专网是独立于公共网络之外政府系统专用网络，物理上与外部公共网络隔离。专网内部进行逻辑分割，采用防火墙隔离、审计检测等办法，建立有效网络安全防范体系，以满足国家党政机关网络可传送普密级信息通信安全保密规定。政府专网涉及范畴广，建设规定高，需分期分批进行建设。整个建设周期分为二期，第一期41个节点于2月底前完毕，第二期约81个节点于完毕。当前已经完毕网络平台、系统集成、系统商务标招投标工作，正在抓紧进行网络平台建设及有关设备订购采购工作。政府专网建成后，将极大地增进政府业务规范化、办公自动化、管理智能化、决策科学化、提高政府机关办事工作效率，实现政府各部门以及上下级政府部门之间信息和资源共享。1.2. 网络环境总述市区内采用千兆以太网技术，市区外采用IP OVER SDH传播技术，各节点用物理光纤接入。政府专网以市政府办公厅为核心节点，在市区内采用4个汇集点，各节点用物理光纤就近接入汇集点。在市区外运用网络供应商提供SDH环路，各节点用物理光纤接入SDH环。核心节点与SDH环通过物理光纤连接，把市内和市外两某些连通，构成完整政府专网网络平台。总体构造请参见网络总体拓扑图。此外，省政府专网光纤接入到IBM2216路由器，再通过防火墙（上海华堂），以百兆方式接入核心节点接入互换机。国务院专网帧中继专线接入到CISCO路由器，再通过防火墙（中科院安胜（ERCIST）防火墙），以百兆方式接入核心节点接入互换机。宁波市解决重大事件指挥中心（如下简称指挥中心）是一种独立网段，以多模光纤接入核心点接入互换机，中间需以防火墙隔离。市政府西大院所有单位作为一种节点，用4芯光纤接入汇集点。政府专网采用CISCOWORKS FOR NT作为网管软件。1.3. 业务现状一方面，宁波市政府与上级政府部门信息数据互换量非常大。一方面，国务院、省政府需要宁波市政府上报大量信息，如地方经济运营状况、经济规划、社会治安状况等；另一方面，宁波市政府也需要及时理解国家关于政策、法规最新状况。第二，宁波市政府与各县区政府数据互换量也相称大。第三，为了切实做好政府各项综合管理工作，市政府要领导、安排、督促和协调政府各职能部门工作，因而与各部门业务联系十分密切，信息互换量很大。第四，市政府与市委、人大及政协系统之间信息交流也十分频繁。1.宁波市与上级政府部门之间信息交流以公文、告知告示、要闻信息等文字资料为主。2.宁波市政府系统（含与市委、人大、政协系统之间）内部信息交流内容，重要有：网上办公：公文及业务工作网上办理流转。宏观信息：涉及国际、国内、省内、省外、市内、市外宏观经济数据，每日信息，重要会议，重大事件。基本信息：涉及市情、县情，各级领导状况，机构设立、直属机构设立、编制、职能职责、联系电话、邮箱地址等。告知告示：涉及会议、学习、上报材料等告知，系统内通报等。工作动态：国家、省、市政府及政府关于部门重要政策信息，政府内部改革思路新经验等。重大事件解决：综合治理、灾害、汛情、交通等方面文字、图像及视频信息。政策法规：地方政策法规和国家、浙江省政策法规行业数据：科技、文化、教诲、交通等方面行业数据。地理信息系统：规划、建筑、地形地貌等方面数据，涉及大型图片。会计核算中心：财务数据经济服务中心：批文、办事程序等数据以上诸项信息内容除已阐明以外，别的都为文字、数字等形式。1.4. 网络信息安全概况当前，诸多公开新闻表白美国国家安全局（NSA）有也许在许多美国大软件公司产品中安装“后门”，其中涉及某些应用广泛操作系统。为此德国军方前些时候甚至规定在所有牵涉到机密计算机里，不得使用美国操作系统。作为信息安全保障，咱们在安全产品选型时强烈建议使用国内自主开发先进网络安全产品，将安全风险降至最低。在为各安全产品选型时，咱们立足国内，同步保证所选产品先进性及可靠性，并规定通过国家各重要安全测评认证。1.4.1. 网络安全现状Internet正在越来越多地融入到社会各个方面。一方面，随着网络顾客成分越来越多样化，出于各种目网络入侵和袭击越来越频繁；另一方面，随着Internet和以电子商务为代表网络应用日益发展，Internet越来越深地渗入到各行各业核心要害领域。Internet安全涉及其上信息数据安全，日益成为与政府、军队、公司、个人利益休戚有关“大事情”。特别对于政府和军队而言，如果网络安全问题不能得到妥善解决，将会对国家安全带来严重威胁。二月，在三天时间里，黑客使美国数家顶级互联网站Yahoo!、Amazon、eBay、CNN陷入瘫痪，导致了十几亿美元损失，令美国上下如临大敌。黑客使用了DDoS（分布式回绝服务）袭击手段，用大量无用信息阻塞网站服务器，使其不能提供正常服务。在随后不到一种月时间里，又先后有微软、ZDNet和E*TRADE等知名网站遭受袭击。国内网站也未能幸免于难，新浪、当当书店、EC123等知名网站也先后受到黑客袭击。国内第一家大型网上连锁商城IT163网站3月6日开始运营，然而仅四天，该商城突遭网上黑客袭击，界面文献所有被删除，各种数据库遭到不同限度破坏，致使网站无法运作。客观地说，没有任何一种网络可以免受安全困扰，根据Financial Times曾做过记录，平均每20秒钟就有一种网络遭到入侵。仅在美国，每年由于网络安全问题导致经济损失就超过100亿美元。1.4.2. 典型黑客袭击黑客们进行网络袭击目各种各样，有是出于政治目，有是员工内部破坏，尚有是出于好奇或者满足自己虚荣心。随着Internet高速发展，也浮现了有明确军事目军方黑客组织。在典型网络袭击中，黑客普通会采用如下环节：自我隐藏，黑客使用通过rsh或telnet在此前攻克主机上跳转、通过错误配备proxy主机跳转等各种技术来隐藏她们IP地址，更高档一点黑客，精通运用电话互换侵入主机。网络侦探和信息收集，在运用Internet开始对目的网络进行袭击前，典型黑客将会对网络外部主机进行某些初步探测。黑客普通在查找其她弱点之前一方面试图收集网络构造自身信息。通过查看上面查询来成果列表，普通很容易建立一种主机列表并且开始理解主机之间联系。黑客在这个阶段使用某些简朴命令来获得外部和内部主机名称：例如，使用nslookup来执行 “ls ”， finger外部主机上顾客等。确认信任网络构成，普通而言，网络中主控主机都会受到良好安全保护，黑客对这些主机入侵是通过网络中主控主机信任成分来开始袭击，一种网络信任成员往往是主控主机或者被以为是安全主机。黑客普通通过检查运营nfsd或mountd那些主机输出NFS开始入侵，有时候某些重要目录（例如/etc，/home）能被一种信任主机mount。确认网络构成弱点，如果一种黑客能建立你外部和内部主机列表，她就可以用扫描程序（如ADMhack，mscan，nmap等）来扫描某些特定远程弱点。启动扫描程序主机系统管理员普通都不懂得一种扫描器已经在她主机上运营，由于ps和netstat都被特洛伊化来隐藏扫描程序。在对外部主机扫描之后，黑客就会对主机与否易受袭击或安全有一种对的判断。有效运用网络构成弱点，当黑客确认了某些被信任外部主机，并且同步确认了某些在外部主机上弱点，她们就要尝试攻克主机了。黑客将袭击一种被信任外部主机，用它作为发动袭击内部网络据点。要袭击大多数网络构成，黑客就要使用程序来远程袭击在外部主机上运营易受袭击服务程序，这样例子涉及易受袭击Sendmail,IMAP,POP3和诸如statd,mountd，pcnfsd 等RPC服务。获得对有弱点网络构成访问权，在攻克了一种服务程序后，黑客就要开始清除她在记录文献中所留下痕迹，然后留下作后门二进制文献，使其后来可以不被发现地访问该主机。当前，黑客重要袭击方式有：欺骗：通过伪造IP地址或者盗用顾客帐号等办法来获得对系统非授权使用，例如盗用拨号帐号。窃听：运用以太网广播特性，使用监听程序来截获通过网络数据包，对信息进行过滤和分析后得到有用信息，例如使用sniffer程序窃听顾客密码。数据窃取：在信息共享和传递过程中，对信息进行非法复制，例如，非法拷贝网站数据库内重要商业信息，盗取网站顾客个人信息等。数据篡改：在信息共享和传递过程中，对信息进行非法修改，例如，删除系统内重要文献，破坏网站数据库等。回绝服务：使用大量无意义服务祈求来占用系统网络带宽、CPU解决能力和IO能力，导致系统瘫痪，无法对外提供服务。典型例子就是年初黑客对Yahoo等大型网站袭击。黑客袭击往往导致重要数据丢失、敏感信息被窃取、主机资源被运用和网络瘫痪等严重后果，如果是对军用和政府网络袭击，还会对国家安全导致严重威胁。1.4.3. 网络与信息安全平台任务网络与信息安全平台任务就是创立一种完善安全防护体系，对所有非法网络行为，如越权访问、病毒传播、恶意破坏等等，事前防止、事中报警并制止，事后能有效将系统恢复。在上文对黑客行为描述中，咱们可以看出，网络上任何一种安全漏洞都会给黑客以可乘之机。知名木桶原理（木桶容量由其最短木板决定）在网络安全里特别合用。因此，咱们方案必要是一种完整网络安全解决方案，对网络安全每一种环节，都要有仔细考虑。2. 安全架构分析与设计逻辑上，宁波市政府系记录算机专网将划分为三个区域：数据发布区、局域网顾客、远程其她顾客。其中每一种局域网节点划分为内部操作（控制）区、信息共享区两个网段，网段之间设立安全隔离区。每一种网段必要可以构成一种独立、完整、安全、可靠系统。2.1. 网络整体构造宁波市政府系记录算机专网需要涉及若干政府部门，各地方网络通过专用网连接起来。2.1.1. 宁波在全国政府专网中位置政府专网是由国家、省、市及县级政府部门共同构成全国性广域网。整个广域网网络系统是一种典型星形拓朴型构造，重要负责传播国家、省、市、县政府间文字、图像和视频信息。其构造图如下：政府系统构造图整个区域网络拓朴为一倒叉树构造，国务院为根节点，宁波市作为网络中一级节点同步又作为一种区域中心节点，它既要与国家、省各部门互联，又要与各县（市）、区政府和市政府各部门互联，在整个网络中起着一种承上启下作用。2.1.2. 光纤网络平台光纤网络平台提供商为宁波市广电网络传播中心。详细状况如下：1.市区范畴内（东北大院以外）73家单位采用物理光纤分别接入四个汇集点。这四个汇集点分别是广电网络传播中心汇集点、华侨城汇集点、广电局汇集点、电视中心汇集点。单点接入示意图如下：市区内各部门逻辑分布图如下图：2.市区以外单位重要是余姚、慈溪、奉化、宁海、象山、镇海、北仑、经济技术开发区、保税区、大榭开发区、港务局等部门。这些部门与核心节点之间将借助宁波广电SDH环网。单点接入示意图如下：市区外各部门逻辑分布图如下图：2.2. 宁波政府专网安全风险分析2.2.1. 重要应用服务安全风险应用服务系统中各个节点有各种应用服务，这些应用服务提供应各级部门或单位使用。不能防止未经验证操作人员运用应用系统脆弱性来袭击应用系统，使得系统数据丢失、数据更改、获得非法数据等。而宁波市政府这些应用系统是政府专网中最重要构成某些。DNS服务DNS是网络正常运作基本元素，它们是由运营专门或操作系统提供服务Unix或NT主机构成。这些系统很容易成为外部网络袭击目的或跳板。对DNS袭击普通是对其她远程主机进行袭击做准备，如篡改域名解析记录以欺骗被袭击系统，或通过获取DNS区域文献而得到进一步入侵重要信息。知名域名服务系统BIND就存在众多可以被入侵者运用漏洞。特别是基于URL应用依赖于DNS系统，DNS安全性也是网络安全关注焦点。E-Mail由于邮件服务器软件众多广为人知安全漏洞，邮件服务器成为进行远程袭击首选目的之一。如运用公共邮件服务器进行邮件欺骗或邮件炸弹中转站或引擎；运用sendmail漏洞直接入侵到邮件服务器主机等。而宁波政府专网内部E-mail系统覆盖面广，因此迫切需要使用防火墙来保护内部E-mail系统。WWW运用HTTP服务器某些漏洞，特别是在大量使用服务器脚本系统上，运用这些可执行脚本程序，未经授权操作者可以很容易地获得系统控制权。在宁波市政府存在各种WWW服务，这些服务合同或多或少存在安全隐患。FTP某些FTP服务器缺陷会使服务器很容易被错误配备，从而导致安全问题，如被匿名顾客上载木马程序，下载系统中重要信息（如口令文献）并导致最后入侵。有些服务器版本带有严重错误，例如可以使任何人获得对涉及root在内任何帐号访问。2.2.2. 网络中重要系统安全风险整个系统中网络设备重要采用路由器设备，有必要分析这些设备风险。路由器是网络核心部件，路由器安全将直接影响整个网络安全。下面列举了某些路由器所存在重要安全风险：路由器缺省状况下只使用简朴口令验证顾客身份，并且远程TELNET登录时以明文传播口令。一旦口令泄密路由器将失去所有保护能力。 路由器口令弱点是没有计数器功能，因此每个人都可以不限次数尝试登录口令，在口令字典等工具协助下很容易破解登录口令。 每个管理员都也许使用相似口令，因而，路由器对于谁曾经作过什么修改，系统没有跟踪审计能力。 路由器实现某些动态路由合同存在一定安全漏洞，有也许被恶意袭击者运用来破坏网络路由设立，达到破坏网络或为袭击做准备目。针对这种状况，必要采用办法，有效防止非法对网络设备访问。 TCP/IP风险：系统采用TCP/IP合同进行通信，而由于TCP/IP合同中存在固有漏洞，例如：针对TCP序号袭击，TCP会话劫持，TCP SYN袭击等。同步系统DNS采用UDP合同，由于UDP合同是非面向连接合同，对系统中DNS等有关应用带来安全风险。2.2.3. 数据库系统安全分析数据库系统是存储重要信息场合并肩负着管理这些数据信息任务。数据库安全问题，在数据库技术诞生之后就始终存在，并随着数据库技术发展而不断深化。不法份子运用已有或者更加先进技术手段普通对数据库进行伪造数据库中数据、损坏数据库、窃取数据库中数据。如何保证和加强数据库系统安全性和保密性对于网络正常、安全运营至关重要。2.2.4. Unix系统安全分析UNIX系统安全具备如下特性：l 操作系统可靠性：它用于保证系统完整性，系统处在保护模式下，通过硬件和软件保证系统操作可靠性。l 访问控制：容许通过变化顾客安全级别、访问权限，具备统一访问控制表。l 对象可用：当对象不需要时应当及时清除。u 个人身份标记与认证：它重要为了拟定身份，如顾客登陆时采用扩展DES算法对口令进行加密。u 审计：它规定对使用身份标记和认证机制，文献创立，修改，系统管理所有操作以及其她关于安全事件进行记录，以便系统管理员进行安全跟踪。u 往来文献系统：UNIX系统提供了分布式文献系统（DFS）网络安全。将网络与外部网络相连接，会使您网络遭受潜在服务中断、未经授权入侵以及相称大破坏。例如下面某些安全隐患：“回绝服务”袭击 (Denial of Service Attacks)：这些袭击禁止系统向顾客提供服务，使顾客不能得到某种服务。例如，袭击也许使用大而无用流量充斥网络，导致无法向顾客提供服务。最普通状况是这种袭击也许毁坏系统或者只是让系统在向顾客提供服务时慢出奇。 缓冲区溢出袭击 (Buffer Overrun Exploits)：其中涉及运用软件弱点将任意数据添加进某个程序中，从而在它以根身份运营时，有也许赋予剥削者对您系统根访问权。这也也许导致某种“回绝服务”袭击。窃听和重放袭击 (Snooping and Replay Attacks)：窃听袭击涉及某个对网络上两台机器之间通讯流进行侦听入侵者。通讯流也许包括使用 telnet、rlogin 或 ftp 时来回传递未加密口令。这有也许导致某个未经授权个人非法进入您网络或看到机密数据。IP 欺骗 (IP Spoofing)：基于IP欺骗袭击涉及对计算机未经授权访问。通过侦听网络通讯流，入侵者找到受信任主机一种IP地址，然后发送消息时批示该消息来自受信任主机。 内部泄密 (Internal Exposure)：绝大多数网络非法进入皆起因于某个心怀恶意或对现状不满现任或前任雇员滥用对信息访问权或非法闯入您网络。针对Unix系统存在诸多风险，应当采用相应安全办法。必要对这些风险加以控制。针对这个某些安全控制可以采用特殊安全方略，同步运用有关软件对系统进行配备、监控。制定详细访问控制筹划、方略。2.2.5. Windows NT系统安全分析Windows NT安全机制基本是所有资源和操作都受到选取访问控制保护，可觉得同一目录不同文献设立不同权限。这是NT文献系统最大特点。NT安全机制不是外加，而是建立在操作系统内部，可以通过一定设立使文献和其她资源免受在存储计算机上工作顾客和通过网络接触资源顾客威胁（破坏、非法编辑等）。安全机制甚至包括基本系统功能，例如设立系统时钟。对顾客帐号、顾客权限及资源权限合理组合，可以有效地保证安全性。通过一系列管理工具，以及对顾客帐号、口令管理，对文献、数据授权访问，执行动作限制，以及对事件审核可以使Windows NT达到C2级安全。在网络中，有三种方式可以访问NT服务器：（1）通过顾客帐号、密码、顾客组方式登录到服务器上，在服务器容许权限内对资源进行访问、操作。这种方式可控制性较强，可以针对不同顾客。（2）在局部范畴内通过资源共享形式，这种方式建立在NETBIOS基本之上。通过对共享资源共享权限控制达到安全保护。但不能针对不同顾客，当一种顾客在通过共享对某一种资源进行操作时（这时共享权限有所扩大），其她顾客趁虚而入，而导致对资源破坏。（3）在网络中通过TCP/IP合同，对服务器进行访问。当前典型应用有FTP、HTTP、WWW等。通过对文献权限限制和对IP选取，对登录顾客认证可以在安全性上做到一定保护。由于Windows NT系统复杂性，以及系统生存周期比较短，系统中存在大量已知和未知漏洞，某些国际上安全组织已经发布了大量安全漏洞，其中某些漏洞可以导致入侵者获得管理员权限，而另某些漏洞则可以被用来实行回绝服务袭击。2.2.6. 管理系统安全风险 管理系统安全风险除了上面提到系统风险之外，系统构造复杂、管理难度大，存在各种服务，哪些服务对哪些人是开放、哪些是回绝都没有一定安全划分。必要防止内部不有关人员非法访问安全限度规定高数据，并且整个系统正常运营也是保证银行系统寻常工作正常进行一种十分重要方面。必要限制管理系统内各个部门之间访问权限，维护各个系统安全访问。而由于整个系统是一种体系，任何一种点浮现安全问题，都也许给有关人员带来损失。2.3. 宁波政府专网安全风险解决方案设计原则和目的原则：从网络安全整个体系考虑，本次防火墙选取原则是：安全性：防火墙提供一整套访问控制/防护安全方略，保证系统安全性；开放性：防火墙采用国家防火墙有关原则和网络安全领域有关技术原则；高可靠性：防火墙采用软件、硬件结合形式，保证系统长期稳定、安全运营；可扩充性：防火墙采用模块化设计方式，以便产品升级、功能增强、调节系统构造；可管理性：防火墙采用基于windows平台GUI模式进行管理，以便各种安全方略设立；可维护性：防火墙软件维护以便，便于操作管理；目的：网络安全涉及诸多方面，如：访问控制、身份认证、数据加密、入侵检测、防止病毒、数据备份等。本次防火墙系统建设目的是通过采用防火墙技术，防止不同节点间对内联网数据非法使用和访问，监控整个网络数据过程。有效防止袭击行为。限制对内部资源和系统访问范畴。通过在系统中设立防火墙安全办法将达到如下目的：保护基于专网业务不间断正常运作。涉及构成所有设施、系统、以及系统所解决数据（信息）。重要信息在可控范畴内传播，即有效控制信息传播范畴，防止重要信息泄露解决网络边界安全问题保证网络内部安全实现系统安全及数据安全在顾客和资源之间进行严格访问控制（通过身份认证，访问控制）建立一套数据审计、记录安全管理机制（网络数据采集，审计）融合技术手段和行政手段，形成全局安全管理。为理解决专网面临安全问题，有必要建立一整套安全机制，涉及：访问控制、入侵检测等各种方面。信息系统安全是一种复杂系统工程，涉及到技术和管理等各种层面。为达到以上目的，方正数码在充分调研和分析比较基本上采用合理技术手段和产品以构建一种完整安全技术体系，协助宁波政府建立完善安全管理体系。2.3.1. 网络安全解决方案构成针对前文对黑客入侵过程描述，为了更为有效保证网络安全，方正数码提出了两个理念：立体安全防护体系和安全服务支撑体系。一方面网络安全决不但仅是一种防火墙，它应是涉及入侵测检（IDS）、虚拟专用网（VPN）等功能在内立体安全防护体系；另一方面真正网络安全一定要配备完善高质量安全维护服务，以使安全产品充分发挥出其真正安全效力。一种好网络安全解决方案应当由如下几种某些构成：l 防火墙：对网络袭击阻隔防火墙是保证网络安全重要屏障。防火墙依照网络流来源和访问目的，对网络流进行限制，容许合法网络流，并禁止非法网络流。防火墙最大意义在网络边界处提供统一安全方略，有效将复杂网络安全问题简化，大大减少管理成本和潜在风险。在应用防火墙技术时，对的划分网络边界和制定完善安全方略是至关重要。发展到今天，好防火墙往往集成了其她某些安全功能。例如方正方御防火墙在较好实现了防火墙功能同步，也实现了下面所说入侵检测功能；l 入侵检测（IDS）：对袭击试探预警当黑客试探袭击时，大多采用某些已知袭击办法来试探。网络安全漏洞扫描器是“先敌发现”，未雨绸缪。而从此外一种角度考虑问题，“实时监测”，发现黑客袭击企图，对于网络安全来说也是非常故意义。甚至由此派生出了P2DR理论。入侵检测系统通过扫描网络流里特性字段（网络入侵检测），或者探测系统异常行为（主机入侵检测），来发现此类袭击存在。一旦被发现，则报警并作出相应解决，同步可以依照预定办法自动反映，例如暂时封掉发起该扫描IP。方正方御防火墙已经内置了一套网络版IDS系统可以迅速并有效发现1500余种袭击行为。需要注意是，入侵检测系统当前不能，后来也很难，精准发现黑客袭击痕迹。事实上，黑客可以将某些广为人知网络袭击进行某些较为复杂变形，就能做到没有入侵检测系统可以辨认出来。因此，在应用入侵检测系统时，千万不要由于有了入侵检测系统，就不对系统中安全隐患进行及时补救。l 安全审计管理安全审计系统必要实时监测网络上和顾客系统中发生各类与安全关于事件，如网络入侵、内部资料窃取、泄密行为、破坏行为、违规使用等，将这些状况真实记录，并能对于严重违规行为进行阻断。安全审计系统所做记录犹如飞机上黑匣子，在发生网络犯罪案件时可以提供宝贵侦破和取证辅助数据，并具备防销毁和篡改特性。安全审计跟踪机制内容是在安全审计跟踪中记录关于安全信息，而安全审计管理内容是分析和报告从安全审计跟踪中得来信息。安全审计跟踪将考虑要选取记录什么信息以及在什么条件下记录信息。收集审计跟踪信息，通过列举被记录安全事件类别（例如对安全规定明显违背或成功操作完毕），能适应各种不同需要。已知安全审计存在可对某些潜在侵犯安全袭击源起到威摄作用。l 虚拟专用网（VPN）：远程传播安全VPN技术在把分散在各处服务器群连成了一种整体，形成了一种虚拟专用网络。通过VPN加密通道，数据被加密后传播，保证了远程数据传播安全性。使用VPN可以象管理本地服务器同样去安全管理远程服务器。VPN带来最大好处是保证安全性同步，复用物理信道，减少使用成本。方正方御防火墙提供了软、硬两种方式来实现VPN。l 防病毒以及特洛伊木马计算机病毒危害不言而喻，计算机病毒发展到今天，已经和特洛伊木马结合起来，成为黑客又一利器。微软原码失窃案，据信，就是一黑客使用特洛伊木马所为。l 安全方略实行保证网络安全知识普及，网络安全方略严格执行，是网络安全最重要保障。此外，信息备份是信息安全最起码规定。能减少恶意网络袭击或者意外灾害带来破坏性损失。2.3.2. 超高安全规定下网络保护对于宁波市政府系记录算机专网数据中心安全而言，安全性需求就更加高，属于超高安全规定下网络保护范畴，因而需要在这些地方使用2台防火墙进行双机热备，以保证数据稳定传播。2.3.2.1. 认证与授权认证与授权是一切网络安全根基所在，特别在网络安全管理、外部网络访问内部网络（涉及拨号）时，要有非常严格认证与授权机制，防止黑客假冒身份渗入进内部网络。对于内部访问，也要有完善网络行为审计记录和权限限定，防止由内部人员发起袭击70%以上袭击都是内部人员发起。咱们建议宁波市政府系记录算机专网运用基于X.509证书认证体系（当前最强认证体系）来进行认证。方正方御防火墙管理也是用X.509证书进行认证。2.3.2.2. 网络隔离网络安全界一种玩笑就是：要想安全，就不要插上网线。这是一种简朴原理：如果网络是隔离开，那么网络袭击就失去了其存在介质，皮之不存，毛将焉附。但对于需要和外界沟通实际应用系统来说，完全物理隔离是行不通。方正数码提出了安全数据通道网络隔离解决方案，在网络连通条件下，通过破坏网络袭击得以进行此外两个重要条件： 从外部网络向内部网络发起连接 将可执行指令传送到内部网络从而保证宁波市政府系记录算机专网安全。2.3.2.3. 实行保证宁波市政府系记录算机专网牵涉网点众多，网络构造复杂。要保护这样一种繁杂网络系统网络安全，必要有完善管理保证。安全系统要可以提供统一集中灵活管理机制，一方面要能让宁波市政府系记录算机专网网控中心网管人员监控整体网络安全状况，此外一方面，要能让地方网管人员灵活解决详细事务。方正方御防火墙采用基于Windows GUI顾客界面进行远程集中式管理，配备管理界面直观，易于操作。可以通过一种控制机对多台方正方御防火墙进行集中式管理。方正方御防火墙符合国家最新防火墙安全原则，采用了三级权限机制，分为管理员，方略员和审计员。管理员负责防火墙开关及寻常维护，方略员负责配备防火墙包过滤和入侵检测规则，审计员负责日记管理和审计中授权机制，这样她们共同地负责起一种安全管理平台。事实上，方御防火墙是通过该原则认证第一种状态检测型包过滤防火墙。此外，方正方御防火墙还提供了原原则中没有强制执行实行域分组授权机制，特别适合于宁波市政府系记录算机专网这样大型网络。2.4. 防火墙选型防火墙是网络安全领域首要、基本设施，它对维护内部网络安全起着重要作用。运用防火墙可以有效地划分网络不同安全级别区域间边界，并在边界上对不同区域间访问实行访问控制、身份鉴别、和安全审计等功能。防火墙按实现方式不同，其基本类型有：包过滤型、代理(应用网关)型和复合型。复合型防火墙是在综合动态包过滤技术和代理技术长处状况下采用一种更加完善和安全防火墙技术。其功能强大，是将来防火墙技术发展一种重要趋势。综合考虑宁波市政府网络安全实际状况，在本方案中采用方正数码方正方御复合型防火墙，放置在网络连接各个节点间。2.5. 防火墙设立及工作模式 n 防火墙提供三个接口：内网、外网、DMZ；n 防火墙工作在桥模式，这样不需要改动既有网络拓扑构造；n 将对外服务各种服务设备放置在DMZ区域，和内部网络严格区别开，保证内部系统安全。2.6. 防火墙功能设立及安全方略2.6.1. 完善访问控制规则控制：通过方正方御防火墙提供基于TCP/IP合同中各个环节进行安全控制，生成完整安全访问控制表，这个表涉及： 外网对DMZ内服务访问控制。将外部对内部、DMZ内服务访问明确限制，防止非法对内部重要系统，特别是业务系统访问。运用DMZ隔离效果，尽量将对外服务某些服务器放置在DMZ区域，通过NAT方式，保护内部网络免受袭击。关闭操作系统提供除需要以外所有服务和应用，防止由于这些服务和应用自身漏洞给系统带来风险。对内部E-mail、FTP、WWW、数据库访问做严格规划和限制，防止恶意袭击行为发生。 内部网络：内部网络对外部网络访问也要进行严格限制。防止内部员工对外网资源非法访问。同步内部员工对DMZ区域服务器访问也必要做限制。内部员工对外网WWW访问采用代理方式。 DMZ访问：普通状况下DMZ对外部和内部都不能积极进行访问，除非特殊应用需要到内部网络采集数据，可以有限地开放某些服务。借助方正方御防火墙提供基于状态包过滤技术对数据各个方向采用全面安全技术方略，制定严格完善访问控制方略保证从IP到传播层数据安全。通过严格访问控制表来进行限制。IPMAC地址捆绑：方正方御防火墙提供灵活而方式各种内部网络、DMZ区域、外部网络IPMAC地址捆绑功能，将每台机器IP地址和它自身物理地址捆绑，有效防止内部网络、DMZ区域、外部网络IP地址盗用（该功能实质是将网络合同第二层地址和第三层地址进行捆绑，达到一定安全级别）。内部系统应当尽量采用固定IP分派方案。通过IPMAC地址捆绑，也可以对后期数据日记分析带来一定以便性。URL拦截：方正方御防火墙实现了透明URL拦截功能，对通过防火墙应用层URL进行严格控制和管理，按照顾客规定进行拦截。外部对DMZ、内部URL访问进行控制，同步也可以限制内部网络对外部网络URL非法访问。在该方案中咱们将对内部网络和外部网络状况详细理解，对URL 拦截达到页面级别。有效保护www应用安全。2.6.2. 内置入侵检测（IDS）方正数码公司和国际网络安全组织合伙，可以实时获得最新系统入侵库代码，动态地将这些袭击技术解决方案加入到方正方御防火墙中,同步在方正方御防火墙内部采用3I技术，加速应用层安全防护查询过程。方正方御防火墙当前可以支持1500种以上入侵检测并可以成功阻断这样袭击行为，例如近来红色代码。针对各种袭击行为，例如TCP序列号袭击、劫持、碎片袭击、端口扫描可以辨认阻断。而这个数据库可以实时更新、升级。升级在方正方御防火墙界面即可完毕。IDS和访问方略形成互动。通过防火墙嵌入IDS功能可以有效防范对内部Windows/NT，Unix系统袭击行为。电子欺骗：防火墙可以自动辨认各种电子欺骗行为并进行阻断。同步防火墙可以对伪装IP地址进行辨认。2.6.3. 代理服务方正方御防火墙对外提供代理服务功能，内部网络对外访问可以通过防火墙提供代理服务功能，同步代理服务可以针对URL,SSL,FTP进行应用拦截，防止内部人员对外网非法访问。2.6.4. 日记系统及系统报警方正方御防火墙提供强大日记系统，将通过防火墙数据、防火墙管理数据、流量、各种袭击行为记录集成到一起。同步系统提供针对各种记录成果按照顾客规定进行报表打印。针对通过防火墙数据，可以按照数据类型、地址进行记录分析。针对各种管理数据，防火墙进行详细记录，网管人员可以以便查看对防火墙管理状况。如果有内部人员对防火墙访问，可以通过管理数据进行查询。流量记录：防火墙提供流量记录功能，可以按照顾客名称、地址等