联想网络安全方案设计.doc

第一章 网络安全方案设计根据第二章对蚌埠市怀洪新河管理局的安全需求分析，结合安全设计的策略，我们提出网络安全设计方案。同时，根据用户的实际情况结合成本投入等因素，我们将整个方案将首先解决时间紧迫且安全隐患最大的安全问题，即防火墙系统，其他安全产品如入侵监测系统、防病毒系统的部署将根据蚌埠市怀洪新河管理局里的实际情况再分步建设。4.1设计目标1、 将蚌埠市怀洪新河管理局内部网与其它外部网络安全隔离，拒绝非法访问，恶意攻击，保护网络边界的安全。2、 抵挡木马攻击、蠕虫攻击、后门攻击、利用漏洞攻击和拒绝服务攻击。3、 强化对网络的控制，确保关键业务的网络带宽。4、 确保内部数据库服务器的数据安全，并方便内、外数据库数据传输管理。5、 避免因网络管理导致的安全风险。4.2解决方案描述部署方案示意图如下图所示：附：蚌埠市怀洪新河管理局网络信息安全拓扑图4.3方案选型建议在蚌埠市怀洪新河管理局内部网与外部网之间部署高性能的防火墙1台联想网御Power V203防火墙。对内、外网访问进行必要的控制，避免不必要的登陆访问破坏内部资源。4.3.1选用联想网御Power V203防火墙原因4.3.1.1基本功能为保证网络系统安全可靠的运行，保障系统资源受控合法的使用，防火墙应具有或实现以下功能：1 包过滤、应用代理和NAT功能：在局域网与外网接点处加入防火墙，实现存取访问控制。因此选用的防火墙产品必须具有包过滤、应用代理和地址转换等功能。2 高性能：对各局域网进行网段划分，设置服务器网段、管理网段等不同网段通过交换机划分虚拟子网（VLAN）。服务器网段放置重要的资源服务器、数据库服务器等，对该网段需设置防火墙特别保护。由于该网段处于局域网内，所有内部、外部用户均需通过防火墙对服务器进行访问，因此选用的防火墙产品必须是高性能的，即高带宽、高并发会话数目、高安全功能、高审计功能及高可靠性等。3 高可靠性：系统中的一部分应用是实时的，系统要稳定可靠的工作，因此要求防火墙具备双机热备份功能，同时具有负载均衡功能，保证系统稳定可靠。4 日志审计：对重要关键资源的使用情况应进行有效的监控，因此要求防火墙系统有较强的日志处理能力和日志分析能力，能够实现日志的分级管理。5 身份认证及IP+MAC绑定：防火墙必须能对使用敏感业务的用户进行身份认证；对重要指定用户采用MAC地址绑定等手段，保证其身份不被盗用。因此，要求防火墙具有较强的身份认证和MAC地址绑定功能。6 网络管理身份认证：联想防火墙具有USB-KEY认证系统，在用户名及密码被盗用但没有USB-KEY的情况下也能保证网络的安全。7 集中管理与远程管理：电信系统计算机网络分布面广，防火墙布控的数量多，因此，防火墙系统应具有良好的远程集中管理功能，同时远程集中管理过程必须是安全的。8 抗攻击：防火墙本身必须具有强大的抗攻击性。9 及时告警：受攻击后，防火墙系统应能及时通知有关人员，因此要求防火墙系统有良好的告警能力，要求支持Email，SNMP等响应方式。10 时间控制：防火墙应具备具有良好的基于时间段控制的能力。11 与IDS互动：防火墙还应具备一定的IDS功能和与其它IDS互动的能力。12 多协议支持：防火墙应支持多种协议，如：OSPF、RIP、RIPII路由协议，IPX、NETBIOS、VLAN、H.323、VOD、SSH等协议。4.3.1.2联想网御防火墙的技术特色1.基于状态检测的动态包过滤技术联想网御Power V203防火墙的动态包过滤技术是基于状态检测机制的包过滤技术，它不仅具有状态包过滤的安全性和高效性，它还可以很好的处理如ftp、H.323等动态协商的协议，它根据协议动态协商的结果，结合定义好的策略，动态生成规则，从而保证网络的高度安全和数据完整，同时具有很好的网络处理性能。典型的如ftp协议，ftp协议使用一个控制连接，多个数据连接，数据连接使用的端口是协商决定的，数据传输完后连接关闭，并且数据连接存在两种工作模式：主动模式和被动模式。这两种模式的主要区别是它们发起连接的方向截然相反，主动模式是从服务器端向客户端发起；被动模式是客户端向服务器端发起连接。动态包过滤可以自动识别出数据连接的工作模式以及协商的服务端口，自动开放端口，数据连接完成后自动关闭端口。2.主动式防火墙技术传统的包过滤防火墙和应用网关防火墙都是被动的在相应的层上等待到达该层的数据包，然后决定是允许还是禁止，并不能根据用户策略主动地控制数据包的流动，而主动式防火墙技术，可以根据安全策略主动地控制数据包在不同协议层之间传递，为用户提供透明、安全、高效的防火墙。联想网御Power V203防火墙采用主动式防火墙技术，在链路层截获数据包，然后送给主动式状态包过滤器，在这里根据用户的安全策略决定该如何处理该数据包。如果策略是转发，防火墙直接将该数据包从链路层转发，并不上传网络层，提高了效率；如果策略是NAT、路由转发和应用代理，则将状态信息保存在数据包中，然后直接送到网络层。在网络层并不再进行安全策略检查，而是根据保存的状态信息，决定数据包是NAT、路由转发还是需要送往应用层处理。我们可以清楚的看到主动式防火墙在链路层就已经知道了数据包的流向，并在链路层开始分流，和传统的防火墙必须到达网络层才能决定相比，减少了许多不必要的处理，提高了网络的处理性能，并且将包过滤和应用代理有机的结合起来，可以为用户提供一个全透明、安全、高防火墙。3.支持VLAN联想网御Power V203防火墙完全支持工业标准的802.1Q封装协议和Cisco专有的Trunk封装协议ISL，能对这两种协议的包进行动态包过滤处理。另外，在使用802.1Q协议时，网御防火墙还可以在IP层对VLAN间的数据包进行NAT，也可以使用代理实现VLAN间的数据包转发，具有更高的安全性。4.应用层协议分析与过滤技术联想网御Power V203防火墙可以根据用户需要在链路层进行应用层协议分析和过滤，提供和应用代理同等的保护能力，如URL过滤，用户不需要使用HTTP代理就可以实现对URL的访问控制和防范针对Web服务器的攻击。5.全透明网关技术联想网御 Power V203防火墙采用基于链路层的全透明交换工作模式，当防火墙接收到一个以太帧的时候，防火墙并不是将该帧去除帧头后交由IP层处理，而是直接在链路层检查该帧内含的IP报文的头信息以及连接信息进行分析过滤，不合法的帧被丢弃，合法帧将根据该帧的MAC信息和防火墙内核维护的端口状态信息被转发，由于在链路层的转发完全于IP层（如头地址、路由表）无关，所以网御防火墙是一种无IP的透明网关技术。这样一方面大大降低了防火墙自身受到攻击的可能性，另一方面也使系统安装变得十分简单，不再需要改变原有的网络拓扑结构和各主机与设备的网络设置，即不需要重新划分网段和调整网络结构，减少了网络管理员的工作量。联想网御Power V203防火墙还提供透明的代理服务，管理员可以设置允许通过代理访问的IP范围，则来自于于该范围的客户端访问请求都会自动重定向到防火墙的高层协议实体、在应用层与防火墙的应用代理建立连接、防火墙的应用代理在进行必要的用户认证、会话检查后再进而与访问目的建立连接，从而完成一次访问。由于客户端的请求是在防火墙的处理下主动完成的重定向，所以客户端的用户感觉不到代理的存在，这样不必改变客户端配置，就能在授权范围内与外网通信，网御2000防火墙可透明地级连原代理，支持常用的HTTP、FTP（可限制GET、PUT命令）、Telnet、SMTP等协议，同时提供针对用户自定义的透明代理功能。6.工作模式自适应技术联想网御 Power V203防火墙采用了基于链路层的全透明交换工作模式，并不是说网御防火墙只能工作于链路层，网御防火墙采用了全新的自适应技术，可以让防火墙在必要时无切换地工作于IP层、或混合工作于链路层与IP层之间。如果防火墙的不同网口所接的局域网都位于同一网段时，由于IP层的路由表里无法表征这种转发路由，传统的工作于IP层的防火墙是无法完成这种方式的包转发的，网御防火墙在这时就直接在链路层经过规则检查之后、根据帧头的MAC地址完成帧的转发；而如果防火墙的不同网口分别接在不同网段时，来自于这些网段的报文在转发时就会自动上传到IP层、并在IP层匹配路由表、最后转发出去。该技术的使用可以使防火墙工作于任何复杂的工作环境，并极大地方便了管理员地配置与使用。7.入侵检测与实时响应技术联想网御Power V203防火墙的入侵检测模块包括包解码、规则解析及检测引擎、日志记录及报警等子模块。防火墙在被保护网络的边界对所有进出被保护网络的通信进行检查，对每一个防火墙接收的包，将由包入侵检测的包解码子模块负责抓包和解码工作，包解码子模块对捕获到的每一个数据包在不同的网络层次进行协议解析，在数据链路层，系统可针对以太网、令牌环及PPP协议等进行解码；在网络层，系统可针对IP、IPX、ARP及ICMP等协议进行解码；在传输层，系统可针对TCP和UDP协议进行解码，在应用层，系统可针对HTTP、TELNET、RPC等多种常见的应用协议进行解码分析。解码工作完成后，由检测引擎读入解码后的数据包并与预先设置好的检测规则进行模式匹配。如果匹配成功，防火墙日志会记入写报警信息外，同时往预先设置的报警邮箱发送报警邮件，并亮起防火墙的入侵报警灯，提醒系统管理员有入侵事件发生。联想网御Power V203防火墙支持入侵检测库升级，为查出最新的攻击手段提供保障。同时，用户可以定制入侵检测策略，可以自定义检测规则，建立自己的入侵检测规则库。由于防火墙预置了大量检测规则，有些规则可能不适用于某些网络环境。该系统提供调整规则的功能，管理员可将不适用的检测规则禁用，以减少误报警的数量。当然，管理员也可将禁用的规则恢复，从而提高了入侵检测功能的自适应性。为了最大限度地保护内部可信任网络，防火墙采用了自动响应技术。防火墙可以对本机入侵检测系统或其它入侵检测系统发出的告警信息进行处理，实时阻断危险的源地址、源端口，或者是正处于危险中的目的地址及端口。自动响应技术可以全方位地保证被防火墙保护的网络的安全，实现了对安全功能的逻辑补偿。8.安全管理联想网御Power V203防火墙可选用多种安全管理模式： 本地串口web管理通过本地串口进入web方式的配置界面进行配置管理，提供了管理的安全、方便与灵活性； 远程安全管理采用基于密码技术的PKI-CA证书认证和基于双因子硬件一次性口令认证技术的管理员身份认证，使得只有认证通过的管理员才能通过远程访问配置管理界面、操作相关文件，所有防火墙配置文件及与安全有关的数据都经加密处理存放； 集中式安全管理集中管理员通过集中管理中心可以对全局网络中的防火墙进行统一的配置与管理，该集中管理中心支持SNMT、SSL协议，具有设备（防火墙）自动发现功能、设备运行状态监控功能，同时利用SNMP的trap机制实现安全事件报警，并采用基于密码技术的PKI-CA证书认证和基于双因子硬件一次性口令认证的实现集中管理员的身份认证，这种分级分层的管理模式可提高防火墙整体管理的方便性与安全性。9.日志审计联想网御Power V203防火墙提供防火墙日志管理和日志服务器（支持Linux和windows平台）两种记录日志的功能，具有实时监控、审计、报警和自动备份功能，同时日志服务器管理员与防火墙管理员实行分权管理；联想网御 Power V203防火墙可为管理员提供丰富完整的日志信息和强大完善的安全审计，允许管理员设定审计查询规则，以可理解的格式输出查询结果，生成HTML格式的日志文件，具有日志存储溢出报警和补救功能。10 VPN功能联想网御Power V203防火墙集成的VPN功能使得您可以在Internet上构建基于IPSec技术的一系列加密认证技术以及密钥交换方案，使得在公共网络上组建的VPN具有同本地私有网络一样的安全性、可靠性和可管理性等特点，同时大大降低了建设本地私有网络的费用。4.3.1.3联想信息安全业务具体优势体现在l 对用户需求的深刻理解：联想在系统集成领域多年的经验，使我们对行业的应用与网络环境有比较深入的了解，这使我们可以根据用户的需求设计优秀的集成方案；l 对信息安全技术的深入掌握：以联想研究院为核心的公司级研发平台将长期对信息安全技术进行全面的，深入的跟踪研究。l 对当前安全产品与技术的准确把握：联想信息安全服务事业部对市场上被广泛应用的系列安全软硬件产品进行专业评测，使我们得以准确把握当前的信息安全产品与技术，从而使得安全方案的先进性、适用性、针对性具备了坚实的技术保障。l 优秀的专业人员储备：经过几年的努力，联想研究院，信息安全事业部已储备了大量优秀的信息安全专业技术人员，有丰富的信息安全方案集成与产品研发经验。l 出色的项目管理能力：联想拥有了一支由近百人组成的信息安全解决方案与专业服务队伍，拥有精专的技能和丰富的项目管理经验。4.3.1.4联想网御防火墙功能及技术参数（网御power V203）产品概述网御强五系列防火墙是专门为企业级用户打造的高可用的安全产品。利用精心设计的网御放火墙操作系统，基于IA架构，充分发挥了硬件的高效数据交换能力和系统并行处理能力，实现了高性能与高安全性的完美结合。产品特点l 强试用性：网络部署灵活，适应多种复杂网络环境和接入模式支持常见应用代理及多种基于动态协议的复杂应用提供多样的VPN可护短介入方式l 强安全性：采用增强型抗攻击技术，可防范各种常见类型的网络攻击l 强可靠性：拥有国内唯一的放火墙HA集群技术，可实现四个防火墙集群的主动负载均衡l 强扩展性：软件设计采用安全功能模块化和核心模块核外化技术，模块升级简便，充分保障用户的投资利益l 强管理性：支持多种管理方式，提供完善的日志管理和审计功能，有效降低管理成本产品功能网络适应性适应多种复杂网络环境支持透明模式、纯路由模式、混合模式、NAT模式支持VLAN安全功能提供状态检测的动态过滤支持H.323、RTSP、upnp、FTP等复杂动态协议支持IPX、NETBEUI等非IP协议支持双向NAT提供透明网关式应用代理支持URL智能过滤支持邮件动态过滤提供与应用服务无关的用户认证支持IP/MAC地址绑定全面防范常见的网络攻击支持多种IDS产品联动和自动响应阻断方式提供目的路由和源地址路由提供标准的IPSec VPN网关解决方案管理功能提供QoS带宽管理提供方便且安全的配置管理提供远程安全管理和集中安全管理支持远程维护和系统升级支持防火墙系统的实时监控提供强大的日志管理和日志审计与网御集中安全管理系统无缝联动管理员身份认证支持电子钥匙认证或证书认证集群特性支持防火墙双机热备份支持防火墙集群，可实现2-4台防火墙的负载产品型号与指标设备类型：百兆级防火墙并发连接数：600000 网络吞吐量（Mpps）：200 用户数限制：无用户数限制 VPN支持：支持产 品 性 能 指 标基本规格设备类型 百兆级防火墙 挑错 硬件参数 10/100以太网口*3 并发连接数 600000 挑错 VPN支持 支持 挑错网络网络吞吐量（Mpps） 200 安全性用户数限制 无用户数限制 入侵检测 IDS 主要功能 动态检测包过滤,支持双向NAT,全面支持VLAN,支持复杂动态协议,提供透明网关式应用代理,抗DoS/DdoS攻击,IPSec VPN网关,与IDS联动,双机热备和多机集群,流量管理,远程安全管理,安全集中管理,日志管理 安全标准 FCC Class A 其它控制端口 无 管理 远程管理 电气规格电源电压（V） 100 - 250 环境参数工作温度（） 0 - 50 工作湿度 0% - 90% 存储温度（） -40 - 80 存储湿度 0% - 90% 第二章 联想信息安全业务关键能力5.1具备长期履行承诺的能力信息安全技术和产品需要随着网络攻防技术的发展而不断发展，因此特别需要信息安全产品和服务供应商具有长期履行承诺的能力。联想是国内排名第一的IT厂商，其市值达300多亿港币,根据公司的信誉度和综合实力可以看出，联想具备长期履行承诺的能力。5.2具备持续发展信息安全技术的能力信息安全是涉及多种技术的高科技产业，要保持其持续发展，需要大量的人力物力财力投入。联想以中科院计算所和联想研究院等公司级研发平台为依托，以信息安全事业部为基础，将信息安全业务当作长期的事业，仅2001年一年，公司就对信息安全业务投入了数千万元，今后每年还将继续加大投入，因此具有持续发展的能力。5.3具备帮助客户规避安全风险的能力信息安全产品与技术将随着网络攻防技术的不断发展而发展，当用户购买的信息安全产品不能抵御新的攻击手段时，用户的信息系统将面临安全风险。凭联想的技术实力和资源投入，将能不断跟踪新技术和及时提供产品升级，因而具备帮助客户规避风险的能力。5.4提供实时响应的专家服务模式联想本部设立信息安全响应服务中心，由信息安全专家值班，提供自上而下的实时响应服务。与自下而上的服务体系相比，由于用户直接向解决问题能力很强的专家申请服务支持，因此具有迅速判断问题，并在最短的时间内解决问题的突出优势。5.5具备覆盖全国的售后服务体系联想拥有覆盖全国地市级城市的售后服务体系，且在全国19个大城市设立了自有的售后服务中心站（国内其他IT公司自有的售后服务中心站一般均未超过10家）。联想在各售后服务机构配置了经过专门培训认证的信息安全服务工程师，具有最为完善的信息安全售后服务体系。5.6完善的服务质量管理能力联想是国内第一家服务质量通过ISO9000认证的企业，具有先进的客户关系管理(CRM)系统，具有极强的服务质量管理能力。 5.7联想信息安全业务资质证明n 计算机信息系统集成资质壹级证书编号：Z1110020020004n 涉及国家秘密的计算机信息系统集成资质证书编号：BM1102702080221n 计算机信息系统安全专用产品销售许可证证书编号：XKC33128n 计算机信息系统安全专用产品销售许可证证书编号：XKC33189（千兆防火墙）n 国家信息安全评测认证中心注册号：CNISTEC2001TYP067n 国家信息安全评测认证中心注册号：CNISTEC2001TYP0118（千兆防火墙）n 国家保密局科学技术成果鉴定证书注册号：2001鉴04号n 公安部计算机信息系统安全产品质量监督检验中心：检验报告号：公计检（委）字第017010号n 中国人民解放军信息安全评测认证中心注册号：0022号C33n CCID评测“2001年度精品奖”n CCID评测“2002年度精品奖”n 军用信息安全产品认证证书：军密认字第0022号C33合同管理制度1 范围本标准规定了龙腾公司合同管理工作的管理机构、职责、合同的授权委托、洽谈、承办、会签、订阅、履行和变更、终止及争议处理和合同管理的处罚、奖励；本标准适用于龙腾公司项目建设期间的各类合同管理工作，厂内各类合同的管理，厂内所属各具法人资格的部门，参照本标准执行。2 规范性引用中华人民共和国合同法龙腾公司合同管理办法3 定义、符号、缩略语无4 职责4.1 总经理：龙腾公司经营管理的法定代表人。负责对厂内各类合同管理工作实行统一领导。以法人代表名义或授权委托他人签订各类合法合同，并对电厂负责。4.2 工程部：是发电厂建设施工安装等工程合同签订管理部门；负责签订管理基建、安装、人工技术的工程合同。4.3 经营部：是合同签订管理部门，负责管理设备、材料、物资的订购合同。4.5 合同管理部门履行以下职责：4.5.1 建立健全合同管理办法并逐步完善规范；4.5.2 参与合同的洽谈、起草、审查、签约、变更、解除以及合同的签证、公证、调解、诉讼等活动，全程跟踪和检查合同的履行质量；4.5.3 审查、登记合同对方单位代表资格及单位资质，包括营业执照、经营范围、技术装备、信誉、越区域经营许可等证件及履约能力（必要时要求对方提供担保），检查合同的履行情况；4.5.4 保管法人代表授权委托书、合同专用章，并按编号归口使用；4.5.5 建立合同管理台帐，对合同文本资料进行编号统计管理；4.5.6 组织对法规、制度的学习和贯彻执行，定期向有关领导和部门报告工作；4.5.7 在总经理领导下，做好合同管理的其他工作，4.6 工程技术部：专职合同管理员及材料、燃料供应部兼职合同管理员履行以下职责：4.6.1 在主任领导下，做好本部门负责的各项合同的管理工作，负责保管“法人授权委托书”；4.6.2 签订合同时，检查对方的有关证件，对合同文本内容依照法规进行检查，检查合同标的数量、金额、日期、地点、质量要求、安全责任、违约责任是否明确，并提出补充及修改意见。重大问题应及时向有关领导报告，提出解决方案；4.6.3 对专业对口的合同统一编号、登记、建立台帐，分类整理归档。对合同承办部门提供相关法规咨询和日常协作服务工作；4.6.4 工程技术部专职合同管理员负责收集整理各类合同，建立合同统计台帐，并负责