深信服全产品解决方案

深信服电子科技

整体解决方案

深信服科技（SANGFOR Technologies Co., Ltd,）版权所有

（2015）

文档中的全部内容属深信服科技所有，

未经允许，不可全部或部分发表、复制、使用于任何目的。

目录

1 项目背景 (7)

1.1 项目产生背景 (7)

2 现状说明 (8)

2.1 网络现状说明 (8)

2.2 业务现状说明 (8)

3 需求分析 (9)

3.1 边界安全需求 (9)

3.2 业务稳定的需求 (10)

3.3 流量监控与管理的需求 (10)

3.4 终端安全防护的需求 (11)

3.5 移动用户安全接入的需求 (11)

3.6 分支机构安全接入的需求 (12)

3.7 无线局域网的需求 (13)

3.8 漏洞扫描的需求 (13)

3.9 网络安全审计的需求 (13)

3.10 服务器虚拟化的需求 (14)

3.11 安全监控与告警的需求 (14)

4 总体方案设计 (16)

4.1 方案设计原则 (16)

4.2 总体网络拓扑图 (18)

4.3 安全区域划分 (19)

4.3.1 安全域划分的依据 (19)

4.3.2 安全域划分与说明 (20)

5 详细解决方案 (21)

5.1 边界防护 (21)

边界防护设计方案 (21)

边界安全设备选型 (22)

5.2 负载均衡 (22)

负载均衡设计方案 (22)

负载均衡设备选型 (23)

5.3 流量监控和管理 (24)

流量监控和管理设计方案 (24)

流量监控和管理设备选型 (26)

5.4 终端虚拟化 (28)

终端虚拟化设计方案 (28)

终端虚拟化产品选型 (30)

5.5 移动用户安全接入 (31)

移动用户安全接入设计方案 (31)

移动用户安全接入产品选型 (31)

5.6 分支机构安全接入 (32)

分支机构安全接入设计方案 (32)

分支机构安全接入产品选型 (35)

5.7 无线局域网 (36)

无线局域网设计方案 (36)

无线局域网产品选型 (37)

5.8 漏洞扫描 (39)

5.9 网络审计 (39)

网络安全审计系统设计方案 (39)

网络审计设备选型 (40)

5.10 服务器虚拟化 (42)

服务器虚拟化设计方案 (42)

服务器虚拟化选型 (43)

5.11 应用性能管理 (45)

应用性能管理系统设计方案 (45)

应用性能管理系统选型 (45)

6 设备清单 (46)

1项目背景

1.1项目产生背景

（加入客户背景），示例：

xx市信息中心是xx市政府的直属结构，负责xx市的电子政务外网建设和xx市的门户网站建设。

政务外网横向连接党委、人大、政府、政协、法院、检察院以及市直各部门，纵向上联省电子政务外网，下延至各县市区、乡镇和社区。从根本上解决我市电子政务建设中纵向网络重复建设、部门横向互不连通，信息资源封闭、数据不能共享的问题。

xx市门户网站群是以市政府门户网站为主站，横向包含100个市直单位，纵向13个县市区门户网站的站群平台。打破以往分散建设、管理、维护的模式，形成xx市政府网站的大集中模式，从管理和维护上更规范，从安全上更牢固，从信息的共享、内容保障等工作上更有效。

2现状说明

2.1 网络现状说明

具体网络拓扑如下：

加入现有拓扑图2.2 业务现状说明

加入现有业务现状

3需求分析

3.1 边界安全需求

建议对现有网络进行安全域划分，分域防护。采用逻辑隔离、入侵防护等手段，对XX客户的网络边界进行有效防护。

网络边界防护：基于网络层的攻击是互联网上最常见的攻击，包括各种DOS攻击、端口扫描、网络层渗透等等，这种攻击行为的技术门槛较低，但攻击范围广，而门户网站群需要通过互联网对公众提供服务，这些网络安全边界很容易遭受各类攻击，而防火墙等网络边界防护设备能够阻挡这些基于网络层的攻击行为并实现细粒度的访问控制，保障门户网站的安全。

应用安全防护：随着攻击技术的发展，攻击的目标重点转移到系统中的应用，而攻击的手段也从网络攻击逐步上升为应用层的攻击，如针对各种应用的缓冲区溢出攻击、应用系统渗透等等，这种攻击所造成的危害更大，将导致业务系统被破坏。尤其是通过互联网对公众提供服务的业务系统，一旦攻击者发现其应用漏洞并从事相应的破坏行为，网络层的安全防护措施很难发挥效用，必须要从应用层进行相应的安全防护。入侵防御和Web安全防护技术正是针对这里应用层攻击进行防御的安全措施，能够有效弥补防火墙等基础防护设备的不足，有效检测和防范四至七层攻击，与防火墙相互配合实现整体的安全防护。

恶意代码防护：各类木马、病毒及网络蠕虫等恶意代码对IT系统的影响越来越大，变种多、扩散快、传播广等问题都会对大规模的网络造成严重影响，因此，对于门户网站群这样一个规模较大且需要逐步扩展的网络来说，安全防护的一个重要需求进行恶意代码的防护。对于互联网操作系统这样规模较大的网络，需要从网关层次及系统

层次两个层面互相配合，网关防病毒系统能够在网络边界处拦截各类基于网络传播的蠕虫病毒、木马等恶意代码；而基于网络的终端防病毒系统则能够在本机侧重进行文件型恶意代码的查杀，并实现全网的统一病毒管理。通过网络层和系统层恶意代码防护的相互配合，实现“层层设防、集中控制、以防为主、防杀结合”的防毒防护策略，从而最大程度的实现恶意代码的防护。

3.2业务稳定的需求

门户网站群是对公众提供服务的业务系统，网站的健康状况直接影响单位的形象，因此必须保障门户网站在任何时候的可用性。而从业务系统的高稳定性上来说，一般分为以下几个部分：

●链路高可用：采用多运营商互联网出口以解决南北运营商互通的问题，同时多

链路部署的方式能够保障业务系统不会因为链路的中断而断线。

●服务器高可用：业务系统承载于服务器，服务器虽然稳定可靠但仍然存在故障

的可能性。为了避免因为服务器故障引起的业务系统中断，需要采用高可靠

的冗余技术，保障单台服务器发生故障时，不会影响公众对业务系统/门户网

站的访问。

3.3流量监控与管理的需求

对外发布的业务系统采用了多条互联网接入链路，而内部用户又包括众多的业务部门，如何分配各个业务系统及业务部门的带宽并自动选取最佳链路是保障业务系统的正常运转基本条件。因此需要一种有效的手段来帮助实现基于业务系统特性、基于业务部门重要性的流量分配机制，如：针对门户网站及生产业务系统，予以重点保障带宽，避免影响用户使用体验;而对于员工的互联网浏览等降低工作效率的流量请求

则予以限制甚至是制止，以免影响工作效率。

所以管理员需要一种手段来帮助实现网络流量的监控管理，提供每个业务系统足够的带宽以及提高员工的工作效率，防止员工因为使用P2P下载、观看电影等高带宽消耗应用过渡占用带宽而影响其他业务。

3.4终端安全防护的需求

据统计，终端引发的安全问题占到整个网络安全问题的80%以上，其主要原因就是终端数量多、应用较为复杂且管理困难，如随意插拔移动介质等造成病毒的扩散等。

随着云技术的发展，绝大多数的客户采用了终端虚拟化的方式来解决这一问题，桌面虚拟化是指将计算机的终端系统（也称作桌面）进行虚拟化，以达到桌面使用的安全性和灵活性。可以通过任何设备，在任何地点，任何时间访问通过网络访问属于我们个人的桌面系统。而通过终端虚拟化技术，往常经常造成终端风险的如：网络病毒、误操作、黑客攻击等风险都不复存在，而且这种模式不依赖于网络、网络协议、终端类型、具备文件安全防护、数据集中管理等众多优势得到了广大用户的认可。3.5移动用户安全接入的需求

网络的发展使得信息交互越来越频繁，重要的数据和信息在网络中的传输也越来越多，安全性要求也越来越重要。为了实现人们的远程办公，需要保证人员外出时可以安全访问组织内部网络进行日常操作，并同时确保数据的安全。因此必须在选择方法时，充分考虑多种接入方式以及各个接入方式的安全性。

对于像XX系统，XX部门有大量的出差办公人员需要实现安全接入总部并传送数据。如何将这些移动的用户有效的连入总部，成为目前需要解决的首要问题，保障网络接入安全即可实现整网安全、高效互联要求。我们将分别从身份认证安全（访问事

前控制）、终端访问及数据传输安全（访问事中检查）、权限和应用访问审计（访问事后追查），这三个方面来进行安全体系来深入考虑接入时的身份认证、接入中的权限控制、接入后的日志审计方面的安全需求。

3.6分支机构安全接入的需求

由于数据本身的涉密性，在实现分支与总部之间数据交互时，需要保证数据的安全性、完整性。基于线路本身的考虑，目前可保障网络传输安全的方案主要有运营商专线、虚拟专用网两种主流方案。

从两种方案的利弊方面考虑，运营商专线从线路本身的丢包、延时及传输速度而言较优，但价格非常高昂，包括网络初始的组建等费用，将导致整个网络的组建成本高昂。从性价比的角度考虑，使用专线进行组网不是最佳的解决方案。

而虚拟专用网（Virtual Private Network）近年来发展较为迅猛的一种技术，从整体安全性、技术完善度等方面考虑，虚拟专用网技术都已经是非常成熟，普遍运用于政府、金融、运营商、大型企业等组网中。同时，虚拟专网用可基于普通的公网线路进行构建，可利用组织原有的网络、或可根据需要通过上网线路的扩充来支撑网络组建后新增的业务数据。从网络建设成本方面来看，虚拟专用网相比专线线路高昂的月租费用及网络初始建设费，大大减少了单纯在网络上的投入。

完整的虚拟专用网构建，需要从安全性、快速性、网络可靠性、管理便利四个方面全面考虑。安全是网络组建的基础要求，必须严格控制把控信息风险。从用户的使用角度来看，使用速度和网络是否可靠是最直观的体验，直接影响到进行应用集中后的工作效率是否提高问题，以及IT建设的绩效问题。而从网络管理部门的角度考虑，

此次网络建设涉及多个分支，需要采用一套机制保障整体管理的统一、方便的管理。

3.7无线局域网的需求

随着业务规模的不断扩大，提高运营效率的要求也不断提升，随着WIFI技术的不断发展，使其能更加稳定高效的承载应用。很多行业都已经在有线网络的基础上扩展无线网络来进行日常业务的开展，甚至在新建办公场所时，基于建设的成本和传统网络繁琐的考虑，也希望可以通过WIFI接入技术实现他们的目的。

事实上，无线应用已经深入到我们的生活和工作当中，除了日常办公之外，很多应用也正依赖于无线技术，比如访客服务，会议室，工厂车间，智能仓库等等。在智能终端普及的这个背景下， BYOD、移动办公的需求也提上日程，WIFI作为必不可少的接入手段，需求也进一步扩大。

而无线网络的建设，也基本从安全性、高速性、易管理性三个方面来建设。3.8漏洞扫描的需求

系统存在弱点或漏洞是被攻击的根源，而管理员最为困扰的部分就是不知道安全风险在哪，不知道如何发现网络、应用、终端中存在的安全风险。

为保证信息中心业务系统的安全，可以利用漏洞扫描等技术措施，定期检查系统内所有服务器、终端、网络设备、安全设备以及重要应用的脆弱性，在系统被攻击前发现这些薄弱环节，并根据安全加固或修复建议进行弥补，防范系统漏洞被利用而引发安全问题。

3.9网络安全审计的需求

安全审计主要提供可追查性检查，审计功能的设计应与用户标识与鉴别、自主访

问控制、标记、数据完整性等安全功能的设计紧密结合。要求如下：

1.能够实现实时报警的生成和违例事件的终止以及提供自动响应功能；

2.提供对审计事件的选择，能够产生审计数据；

3.对潜在侵害分析和基于异常检测进行审计分析设计；

4.满足审计查阅、有限审计查阅和可选审计查阅的要求；

5.满足受保护的审计踪迹存储和审计数据的可用性，确保审计事件的安全保存；

6.能够对计算机信息系统的安全性进行网络环境审计与评估。

3.10服务器虚拟化的需求

不断增长的业务对IT数据中心的要求越来越高，所以数据中心需要更为快速的

提供所需要的计算，网络，存储资源。如果不断购买新的服务器，又会增加采购成

本和运作成本，而且还会带来更多业务供电和机房冷却的开销。同时在一般情况下，服务器工作负载一般不超过10%，这导致了大量的硬件、机柜空间以及电力的浪费。购置新的服务器是一项漫长的过程，这使得IT部门更加难以满足业务快速增长和变

更的需求。例如，对于新业务系统平台的增加上线和测试平台下线删除的需求，往

往就需要消耗大量宝贵的资源和时间。

为解决服务器数量增加所带来的问题，提高服务器资源的使用率，降低设备采购成本，提高业务的连续性以及为将来新应用系统建设提供一个灵活的资源使用平台，建议对现有服务器进行虚拟化整合，以达到服务器资源灵活可用、高效可靠、安全易用的要求。

3.11安全监控与告警的需求

信息中心内部存在大量的网络设备、安全设备、服务器、终端、业务系统以及数

据库等，为全面了解这些信息，必须建立全网统一的监控和告警系统以获取各类资产的运行信息，并完成进一步的分析和统计，帮助安全管理员查询和监控系统当前状况、及时发现异常情况、定期进行总结和统计以便不断的完善系统的安全策略。

4总体方案设计

4.1方案设计原则

本次的方案设计，将充分依据系统安全的详细技术需求，并参照国内外的相关规范、标准及经验，按照兼容性、安全性、开放性、可扩充性及易用性、先进性、合规性、成熟性以及统一性等原则，保障设计方案先进可靠、可实施性强，能够完全满足项目的实际安全需求，作为实现项目目标。

●兼容性原则：方案设计具有较强的兼容性，充分考虑了现有的应用系统、运

行环境、以及服务器和网络设备等，体现了与现有系统的无缝链接。

●安全性原则：在充分考虑现有网络情况和实际需求的情况下，结合相关技术

要求，提供系统化的整体解决方案。

●开放性原则：考虑到本项目中将要建立统一的系统运行状态集中监控平台，

对各个硬件设备功能、性能和应用软件、系统软件的运行状态、网络设备、

安全防护设备、系统运行参数、用户等进行统一的监管，必须要进行本地化

的二次开发，因此在本方案的设计中提供了标准化的软硬件技术、资源、接

口等的开放性解决方案。

●可扩充性原则：充分考虑了系统未来一段时间内网络、业务规模和网络安全

需求的变化，能够在相当长的一段时间内保障系统的整体安全，具有较强的

可扩展性，有效保护了用户的投资。

●综合防范原则：信息安全是一个庞大的系统工程，信息系统任何一个环节的

疏漏都有可能导致安全事件的发生。因此，本方案的设计坚持综合防范原则，以保证未来各类安全措施的全面和完整。

●适度保护原则：在信息安全方面没有必要也不可能追求绝对的安全。一方面

过度的追求安全不但将大大提高信息安全的成本，还往往会影响业务的正常开展，大大降低业务活动的灵活性；另一方面信息安全工作过于薄弱又会给业务开展留下很大的隐患。因此方案设计依据适度保护原则，目标是将信息安全风险控制在合理的、可接受的范围内。

●成熟性原则：本方案的设计充分借鉴国际信息安全最佳实践，采用成熟的技

术和产品，规避风险，防止由于单纯追求技术领先而成为先进技术的试验品。

4.2总体网络拓扑图

4.3安全区域划分

4.3.1 安全域划分的依据

对大型信息系统进行等级保护，不是对整个系统进行同一等级的保护，而是针对系统内部的不同业务区域进行不同等级的保护。因此，安全域划分是进行信息安全等级保护的首要步骤。

安全域是具有相同或相似安全要求和策略的IT要素的集合，是同一系统内根据信息的性质、使用主体、安全目标和策略等元素的不同来划分的不同逻辑子网或网络，每一个逻辑区域有相同的安全保护需求，具有相同的安全访问控制和边界控制策略，区域间具有相互信任关系，而且相同的网络安全域共享同样的安全策略。当然，安全域的划分不能单纯从安全角度考虑，而是应该以业务角度为主，辅以安全角度，并充分参照现有网络结构和管理现状，才能以较小的代价完成安全域划分和网络梳理，而又能保障其安全性。对信息系统安全域（保护对象）的划分应主要考虑如下方面因素：

1.业务和功能特性

●业务系统逻辑和应用关联性

●业务系统对外连接：对外业务，支撑，内部管理

2.安全特性的要求

●安全要求相似性：可用性、保密性和完整性的要求，如有保密性要求的资产单

独划区域。

●威胁相似性：威胁来源、威胁方式和强度，如第三方接入区单独划区域。

●资产价值相近性：重要与非重要资产分离，如核心生产区和管理终端区分离。

3.参照现有状况

●现有网络结构的状况：现有网络结构、地域和机房等

●参照现有的管理部门职权划分

4.3.2 安全域划分与说明

根据目前的实际情况，建议将安全域划分为如下几个：

●门户网站域，承载市县区、市直机关的门户网站，通过互联网对公众服务，重

要等级高。

●应用服务域，承载市县区和各市直机关日常办公系统，与互联网逻辑隔离，只

允许内部员工访问，重要等级高。

●网路与安全管理中心域，承载应用系统监控、审计、漏洞扫描等，只允许运维

人员访问，重要等级高。

●核心交换域，承载交换路由等，重要等级高。