Check-Point-虚拟化安全解决方案.ppt

Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,UnrestrictedFor everyone,2009 Check Point Software Technologies Ltd.All rights reserved.,Check Point,为虚拟化世界提供安全保障,Mar 30,2010,议程,Check Point,虚拟化解决方案,虚拟安全网关,:VSX,VMware,虚拟环境下的安全,:VE,桌面虚拟化,:,Abra,总结,什么是虚拟安全？,两个理念,虚拟安全网关,完全的虚拟安全和虚拟网络架构,虚拟环境下的安全,保障,VMware,虚拟环境和应用的安全,例如,:,数据中心防火墙集中,例如：保护虚拟主机,虚拟安全网关,VPN-1 VSX,在一台物理硬件中虚拟出多台逻辑防火墙、路由器、交换机。,VSX:,安全虚拟化,一个虚拟的安全网关，可以创建,5,上百个安全虚拟系统，帮助企业大幅度节约成本及整合架构,在一个虚拟网络环境中将防火墙,VPN,以及,IPS,技术包含在一个单一、可扩展的平台上,可选择在一个开放式的服务器上部署软件，也可以选择全系列的一站式硬件设备,VPN-1 Power VSX R65 Software,VSX-1 3075,VSX-1 9075,VSX-1 9095,?,Virtual Cable(warp link),Virtual Switch(V-SW),Virtual Router(VR),Virtual System in Bridge Mode,Virtual System(VS),进入虚拟世界,VPN-1/FireWall-1,Module,VPN-1/FireWall-1 Module in Bridge Mode,IP Router,Switch,Network Cable,物理,虚拟,安全系统组成,节省硬件费用,更好的可靠性和可扩展性,硬件虚拟化,防火墙虚拟化,节省硬件费用,更好的可靠性和可扩展性,简化的安全管理,简化的安全部署,VSX,虚拟防火墙系统（,Virtual System,）,一个,VSX,虚拟防火墙系统是一个独立的路由和安全域，提供一般的,Check Point,网关绝大部分的防火墙、,VPN,及其他安全功能,运行在同一台物理机器上时，每个虚拟防火墙系统拥有自己单独的,:,状态表,安全和,VPN,策略,配置参数,安全内部通信证书,每个虚系统都拥有一个虚拟,IP,堆栈,桥接模式的,VSX,虚拟防火墙系统,“桥接模式的虚拟系统”透明地提供了安全服务,为基础构架添加一个安全层,促进了核心处的安全性,桥接模式的 虚拟防火墙,与传统防火墙的相同模型相对应,每个桥接模式的,虚拟防火墙都拥有自己独立的桥接表,与体系结构协议集成,支持所有,xSTP,协议、,PVST+,和管理协议,(VTP),路由核心,Vlan,200,Vlan,210,Vlan,240,Vlan,320,802.1q,802.1q,动态路由环境的,VSX,虚拟防火墙系统,VSX,虚拟网络环境扩展了对动态路由协议的支持,单播路由,RIPv1/2,、,OSPFv2,和,BGP-4,多播路由,IGMPv2,、,PIM-DM,和,PIM-SM,每个虚拟设备保持对所有路由协议的支持,便于彼此之间的连接与交互：,虚拟设备到虚拟设备,虚拟设备到外部路由器,802.1q,802.1q,虚拟交换机,虚拟路由器,OSPF,OSPF,PIM-SM,市场营销,IGMPv2,BGP-4,OSPF,最佳的虚拟安全性能和可扩展性,VSLS Cluster,Standard Cluster,Number of Cluster Members,ClusterXL,技术保障性能、无缝切换以及弹性的千兆防火墙吞吐量,SecureXL,加速技术保证防火墙即使是处于攻击之下也能够表现出很高的性能,.,虚拟系统负载分担技术使得每增加一个,VSX-1,防火墙能给集群带来线性的性能提升,性能的线性增长确保了集群中每一个后来增加的,VSX-1,防火墙都能够象第一台,firewall,那样，贡献先同的性能、冗余性、经济性及可靠性,.,Performance,VSX:,综合的虚拟安全网关,节约成本,硬件,操作成本,环境友好,简单化,安全管理,安全配置,提升,灵活性,可用性,可扩展性,走向绿色数据中心,Internet,Provider-1,Eventia,Reporter,VSX-1,Terminal Services,Web Services,Databases,Application A,Application B,VSX,如何降低,TCO,，走向绿色数据中心,选择,1:,传统安全方案,一个机架上放置,30,台安全设备分别服务于,30,个不同的客户,30,台服务器消耗,13,，,500,瓦电力,450,瓦,/,台*,30,台,=13,500,瓦,*,Based on 1U IBM x3350 Servers,通过将多个设施综合到一个单一的设备中大幅节约空间和能源,选择,2:,安全虚拟化,VSX-1 9070,消耗,226,瓦电力,，为,30,个客户提供各自独立的安全服务,可节省约,13,，,000,瓦电力,每年则可节省,13kw x 24 x 365=113,880,kwh,还可通过添加虚拟系统的,license,数目,来增强物理设备的利用率,MSP,数据中心空间和能源的整合,虚拟环境下的安全,来自,Gartner,的虚拟化趋势,Data Center Conference 2008 in Las Vegas,Thomas,Bittman,Vice President of Data Center Research at Gartner,2007,2011,年,VMs,的用户将激增,10,倍,到,2012,年,大部分,x86,服务器工作流将运行在,VM,2009,：,No.1,安全威胁,2009,年前,10,位安全威胁和漏洞,:,#1:,虚拟漏洞以及虚拟系统的安全,Top 10 Security Threats&Vulnerabilities for 2009,Baseline.Ziff-Davis/Enterprise.,为网络安全带来的特别挑战,现有方案缺乏对虚拟机之间的通讯进行监控和控制的手段,当虚拟机的数目和规模扩展时，需要随之调整相应的静态策略,在使用,VMotion,技术对虚拟机进行动态迁移时需要保持并维护网络传输的会话状态,介绍,Check Point VE,第一个经,VMware,认证的安全网关虚拟应用,防护来自,VM,内部以及外部的各种安全威胁,无需物理设备和客户端,统一管理控制台跨越虚拟和物理层的安全策略,VE,为虚拟环境提供可视化的界面（登陆,/,遵从,),保护虚拟资源的安全,(,例如服务控制台,),VE,关键特点,Check Point,是唯一一家为虚拟环境提供安全保障的网络安全供应商,提供各种场景的安全防护,(Failure,VMotion,DRS,etc.),全冗余使用,ClusterXL,无失败案例,在虚拟环境中提供与物理环境相同水平的安全保障,The Internet,虚拟环境安全的高可用性,VMotion,&,ClusterXL,Mgmt,ext,ext,VE,Active,App3,Vswitch,App,App2,App1,VE,Standby,Active,Vswitch,App,Vswitch,ext,Sync,Sync,Vswitch,ext,Vswitch,sync,Vswitch,sync,Vswitch,Web,Vswitch,Web,Web,Switch,int,int,ESX server 1,pkt,Web,Web,ESX server 2,Pkt,pkt,vSwitch integrated security(VMsafe),创建一个新的,更强的安全防御层，以提高,VMware,虚拟环境下虚拟机的安全级别,通过检查各个虚拟组件,(,包括,CPU,、内存、网络和存储,),来保护虚拟机,),和,Vmotion,Storge,Vmotioin,HA,等紧密集成,提供无以伦比的安全性,“,实现虚拟环境比非虚拟环境更加安全”,VPN-1 VE,Security API,ESX Server,Firewall,IPS/IDS,Anti-Virus,pkt,pkt,能够实现同一个,vSwitch,下虚拟机之间相互访问的安全防御,更高的性能,VPN-1 VE with VMsafe,Coming Soon!,在“云”中添加虚拟安全,Check Point VPN-1 VE,保护,IT,VPN-1 VE per customer,VPN-1 VE per service,特别服务,/,特别客户,防病毒,防间谍,恶意软件,邮件扫描,Web,过滤,VoIP,服务供应商,UTM-1 full-set,UTM-1 Antivirus,UTM-1 Web Filtering,Int,Int,ext,ext,ext,Int,ESX Server,Customer A,Customer B,Customer C,VE,VE,VE,MSP-s,pkt,pkt,部署虚拟安全,Office in a box(SMB&Branch offices),在一个单一的服务器下综合并虚拟所有的物理设备,为远程办公室简单配置,VPN-1 VE,为虚拟设备和物理服务器,&,客户提供安全保障,VPN,服务,多,SMB/BR,站点可被一个管理服务器管理,部署虚拟安全,Office in a box,Ext,Int,Trunk port,V2,V3,V4,V5,V7,V6,Trunk port,Web,DB,FTP,The Internet,VE,V1,Service Console,VPN Tunnel,pkt,pkt,pkt,部署虚拟安全,容灾恢复,容载场景的安全保障,无需物理防火墙,“DR on a Disk”,快速部署,零时间,桌面虚拟化,USB,上的安全、可管理的虚拟空间,Portable Workspace,Check Point Security Gateways,Host PC,Corporate Network,Secure Workspace,VPN connection,My Secured,Documents,Portable&native,applications,保障虚拟空间的安全,VPN Client,Portable and native,applications,My Secured,Documents,Import/Export directory,OWA,Abra,Secure Workspace Launches Automatically,通过一个加密,U,盘，提供给用户一个安全的虚拟办公空间,Plug-and-play,的便利,无需软件安装或重启机器,无论何时何地，皆可安全工作,Plug-and-play,的便利,家里办公,合作伙伴的,办公室,宾馆里的商务中心,飞机上,Plug-and-play,的便利,在各种网络场景，存取相关资源,存取,Abra,加密,U,盘上的文件和数据,离线工作,通过,Abra,上集成的,VPN,客户端安全地连到企业网访问相关资源,在线办公,杜绝企业数据丢失,安全的加密虚拟空间,独立于本机操作系统的的企业办公空间,隔离所有的用户文件,隔离所有的临时文件和办公文件,阻断屏幕拷贝恶意程序,阻断打印功能,安全的加密虚拟空间,完整的数据控制,最高级别的数据安全登记,足够的安全性,所有的文件以加密的方式存储在,SanDisk,的,U,盘,加密方式为,AES 256,强加密,避免因,U,盘丢失或失窃造成的企业数据泄密,FIPS certified for government applications,安全的加密空间,严格的用户身份认证,强制用户密码的长度和复杂度,aaaaaa,aaaaaa,当从网吧环境的机器上访问时，阻断恶意程序,安全的加密空间,扫描内存和,USB,检查恶意程序,提供防火墙、程序控制、,USB,设备访问控制、,VPN,远程访问、文件拷入,/,烤出控制和防间谍软件功能,Comprehensive Security Features,低,TCO,集中的策略配置和部署方式,Manage,Abra,from SmartCenter,VPN settings,Authentication rules,Compliance scanning,Client software updates,Easy to Use,Easy Access to Corporate Workspace,Secure,Prevent Data Loss and Malware Infection,Low TCO,Easy to Deploy and Manage,Leverage Existing Infrastructure,Abra,Summary,总结,虚拟和虚拟安全可以为您带来：,节约资金、更加灵活、提升可用性,您需要的虚拟安全：,与基于物理服务器的安全方案一致水平的安全,为虚拟设备中虚拟环境的特别安全威胁提供保障,不同虚拟安全网关的虚拟设备,虚拟桌面可允许员工、客户以及业务伙伴安全的在虚拟环境中工作,总结,VE:,虚拟化下的安全,第一个经认证的虚拟应用，可提供与物理应用相同水平的安全,VSX:,安全虚拟化,一个安全的操作平台，可在一个单一的硬件中虚拟出路由器、客户端、,VPN-1,网关,您需要的虚拟安全解决方案简单的架构,统一,网关,单一,端点安全,代理,单一,安全管理,控制台,Check Point:,我们提供的安全,最佳的安全,最佳的技术,最好的专家,单一,网关产品线,单一,端点安全代理,单一,管理控制台,15,年安全领导者地位,在安全领域的最佳技术,统一安全架构,1,500,个安全专家,3,000,个合作伙伴,Total Security from Check Point,Questions?,Thank You!,