华为SIG非法共享接入监控解决方案
华为网络准入控制及终端安全方案
华为网络准入控制及终端安全方案一、面临挑战企业网络从有线向无线转型的过程中，为保障网络安全，需实现有线无线一体化准入。
而单一的解决方案，不能满足复杂网络环境下的多样化准入控制需求：多用户角色：传统的网络环境下，主要应用对象为企业员工，但在移动办公场景下，应用对象可扩展至访客、领导、VIP会员等多种用户角色，需基于用户角色在访问权限上做区别；多分支异构：多分支机构中网络架构也会存在差异，如何做统一地接入管理，实现一体化认证，是一项重大的技术挑战；多终端接入：传统网络主要使用PC连接，随着移动终端的普及，终端的数量及类型也随之增多，用户的体验要求也越来越高，同时也带来了更多安全上的挑战。
二、解决方案1.华为网络准入控制及终端安全方案概述宁盾网络准入控制及终端安全方案基于对终端风险以及用户身份的真实性进行双重验证，判断是否准入网络以及获得访问权限，实现接入网络终端及用户身份的双重可信，提升网络安全。
其安全管理逻辑是先对接入内网终端进行合规性检查，并确认接入网络用户身份的真实性，根据终端风险以及用户角色动态赋予访问权限，并和第三方网络审计以及态势感知平台联动，实现内外网上网实名审计以及主动防御。
在此方案中，华为无线WLC开启portal认证，认证服务器指向宁盾认证服务平台，有线部分通过ND ACE结合AM做portal的统一准入，最终实现有线无线的一体化准入控制。
2.身份认证方式2.1员工场景①用户名密码认证，用户名密码可以创建，也可以与AD、LDAP同步帐号信息；②支持802.1X认证；③支持802.1x+portal认证；④支持802.1x+portal+动态码认证。
2.2访客场景①短信认证，可设定短信内容模版、短信验证码有效期及长度等；②微信认证，通过关注微信公众号进行认证连接上网；③支持二次无感知认证，可设定有效期，超过有效期的访客须通过其他认证方式登录；④支持协助扫码认证，快速授权上网，实现访客与被访人之间可追溯；⑤支持访客自助申请认证，由指定人员审批申请信息，加强内外网访问安全控制；⑥支持邮箱认证，访客可以通过邮箱认证接入网络。
华为VPN网关解决方案-内部版
运营商内部的跨域VPN
12
提纲
• 综合VPN业务分析 • 华为综合VPN业务解决方案 • 华为VPN网关解决方案 • 厦门广电城域网案例分析 • VPN业务拓展思路
13
华为VPN技术
•ATM/FR：传统VPN技术 •VPLS技术：虚拟LanSwitch
•MPLS VPN
• L2 MPLS VPN • MPLS BGP VPN • CCC（电路交叉连接）
28
运营商提供MPLS VPN业务面临的问题
问题三：MPLS VPN业务的用户定位及走势
MPLS VPN的用户到底是谁，是大型商业用户，还是中小型企业？不 同用户有不同的业务需求、管理手段及策略；运营商希望通过提供增值业
务来获得利益回报、提高市场竞争力，但企业用户如何看待这个问题；现
有的ATM网络、FR网络、DDN及传输网已经存在，并且覆盖范围广阔 ， 已拥有良好的口碑；运营商提供MPLS VPN业务到底是满足用户需求，还 是提高自身市场竞争能力的需要
年度 2002 2003 2004
营运业务收入(亿元) 增长率 (%) 21.60 120.4 38.20 76.9 52.50 37.4 2002~2004年度中国VPN业务收入预测 表一
8
综合VPN业务需求
• 企业VPN
•Intranet（企业互连） •Extranet •Internet访问 •远程办公（Home、Hotel）
7
搞 定 网 络 ， 太 简 单 了 ！
VPN市场预测
Frost & Sullivan （中国）分析测算，2001年1-6月，国 内各类ISP的VPN业务收入4.2亿元。目前VPN的用户主要是IBM、 MOTOROLA 等跨国公司的国内分支机构，以及部分与IT有关的 高科技企业，但VPN已经出现向银行、保险、运输、大型制造 与连锁企业迅速扩散的趋势。随着世纪互联、鸿联九五等重 量级的虚拟运营商进入VPN服务领域，以及更多获得电信业务 运营的ISP浮出水面。
违规外联解决方案
违规外联解决方案违规外联是指公司或个人在未经授权的情况下，将机密信息或数据泄露给未经批准的外部人员或机构。
这种行为可能会导致严重的安全漏洞、数据泄露和财务损失。
为了解决违规外联问题，我们需要采取一系列严格的措施和解决方案。
1. 加强员工培训和意识教育加强员工的安全意识和培训，使其了解违规外联的危害和后果。
培训可以包括信息安全政策、外联授权程序、合规操作等。
通过讲解典型的外联案例，让员工能够识别和避免违规外联的行为。
2. 强化访问控制和权限管理建立规范的访问控制机制，确保只有经过授权的人员才能访问、复制或传输机密信息。
对于敏感数据和文件，设置细致的权限管理，仅允许特定岗位或人员进行操作。
同时，定期审查和更新权限，撤销已经离职或不再需要的员工访问权限。
3. 实施数据加密通过数据加密手段，将机密信息转化为无意义的密文，即使被非法获取，也无法解读出有用信息。
在数据传输过程中，使用安全协议和加密算法，确保数据在传输过程中的安全性。
同时，加强对加密算法和密钥管理的控制，防止被攻击者破解。
4. 建立日志监控和审计机制建立完善的运维日志记录和监控机制，对系统内外的操作进行记录和监管，及时发现异常事件和违规行为。
通过实施审计，及时发现员工违规操作，并采取相应的措施进行纠正。
同时，制定严格的安全事件响应计划，及时处理和处置安全事件。
5. 强化安全管理体系建立一套完善的企业安全管理体系，包括制定安全管理政策、规程和流程，明确职责和权限。
同时，组建专业的安全团队，负责监测、研究和预警外部威胁和风险，并进行相应的防护措施。
定期进行安全风险评估和漏洞扫描，及时修补系统漏洞，提高系统的安全性。
6. 强化合作伙伴关系管理加强对合作伙伴的评估和选择，确保其具备良好的信息安全管理制度和操作规范。
与合作伙伴建立和谐、安全的合作关系，签署保密协议，并对外联行为进行监管和追责。
同时，加强沟通和信息共享，及时了解合作伙伴的安全风险和措施，以便及时调整防护策略。
华为无线ap解决方案
华为无线AP解决方案概述华为是全球领先的信息和通信技术（ICT）解决方案提供商，在无线AP领域也有着丰富的解决方案。
本文将介绍华为无线AP解决方案的特点、优势以及应用场景。
特点1.高性能: 华为无线AP采用先进的无线技术，提供高性能的无线接入能力。
无线AP能够支持大量用户同时连接，并且拥有较大的覆盖范围，从而满足高密度用户和大范围覆盖的需求。
2.可靠性: 华为无线AP具备高可靠性，能够在复杂的无线环境中提供稳定的无线连接。
通过自适应调节功率和信道的技术，华为无线AP可以自动优化无线信号，降低干扰，提供更可靠的连接质量。
3.维护简便: 华为无线AP采用中心化管理架构，可以实现集中管理和监控，简化了AP的部署和维护。
管理员可以通过集中化的管理平台对AP进行配置、监控和故障排除，降低了管理成本和工作量。
优势1.优秀的性能: 华为无线AP采用了最新的无线技术，如802.11ac和802.11ax，提供卓越的性能和用户体验。
它们支持多用户多输入多输出（MU-MIMO）技术，可以同时传输多个数据流，提高了网络吞吐量和响应速度。
2.灵活的部署: 华为无线AP支持多种部署方式，包括天线分离和一体化两种形式。
天线分离的方式可以根据实际情况灵活布置天线，提高信号覆盖范围；一体化的方式则更加便于安装和维护。
3.安全保障: 华为无线AP提供多种安全机制，保障无线网络的安全性。
它们支持多种加密算法，包括WEP、WPA和WPA2等，可以有效防止未经授权的用户入侵和信息泄露。
此外，华为无线AP还支持访客接入管理，隔离访客网络和内部网络，确保网络安全。
4.智能化管理: 华为无线AP可以与华为的网络管理系统集成，实现集中化的管理和监控。
管理员可以通过网络管理系统对AP进行配置、升级、故障排除等操作，提高管理效率和运维能力。
应用场景华为无线AP解决方案适用于各种场景，包括企业办公、教育机构、医疗机构、酒店、零售店铺等。
1.企业办公: 在企业办公场景中，华为无线AP可以提供高速、可靠的无线接入，支持同时连接大量的移动设备。
华为典型安全场景解决方案
前端系统
1 命令配置到ASG
2 同步场所信息、设备信息
后台系统（公安）
ASG
4 信息同步
Agile Controller
3 信息同步
WLAN AC
6 FTP+BCP方式上传审计数据（用户上网日志、用户网络虚拟身份轨迹）
5 FTP+BCP方式上传审计数据（用户终端上下线日志）
XX地市业务中心 （公共无线管控平台）
支持安全+Wlan+LTE款型小型分支多合一安全网关部署
价值
保障IPSec隧道质量，减少网络稳定性对业务流量造成的影响 确保分支和总部之间始终使用满足高质量的IPSec隧道通信 在IPSec足够稳定安全的情况下，可减少偏远地区对专线租用的依赖。
分支无线非经方案
场所信息、设备信息、 安全厂商信息
方案优势：
➢ 可对接24+以上公安网监平台 ➢ 用户上下线的日志通过ASG来发送给后台系统，AC只需把用户上下线的信息同步到ASG，无需和后台系
统对接
数据中心安全解决方案
Internet
FireHunter USG NIP
USG
WAF
DDoS 管理中心 USG
NIP
eLog
eSight
USG
管理中心 堡垒机
USG
USG
USG
… 非核心业务区 核心业务区 WEB服务 应用服务器 器
数据 灾ቤተ መጻሕፍቲ ባይዱ区
方案说明
在互联网出口，双机部署USG 防火墙对数据中 心进行隔离防护，同时部署NIP入侵防御设备， 阻断外界对数据中心的应用层攻击,旁路部署 FireHunter沙箱对未知威胁进行检测。
在数据中心的管理区，部署USG或NIP设备，阻 断各层面对管理区的威胁，部署UMA堡垒机对 运维行为进行监控和审计；
信息化解决方案-天融信防止非法外联的解决方案
信息化解决方案-天融信防止非法外联的解决方案核心提示：木马是当前用户信息化所面临的头号杀手，根据CNCERT年度报道，木马引起的安全事件长期位居各类安全威胁之首，特别是一些安全性较高的内部网络（如政府部门、军事部门的网络），虽然采取物理隔离的措施来确保外部网络和内部网络之间不存在任何可能的物理链路。
但是，假如这样的网络中有某个主机通过拨号或其他形式私自接入外部网络，这种物理隔离就会被破坏。
木马极可能通过该主机进入内部网络，进而通过嗅探、破解密码等方式对内部的关键信息或敏感数据进行收集，或以该主机为“跳板”对内部网络的其他主机进行攻击。
方案背景 当前，一些具有较高安全性的内部网络（如政府部门、军事部门的网络）常常采用和外部网络（如Internet）实施物理隔离的方法来确保其网络的安全性。
物理隔离确保了外部网络和内部网络之间不存在任何可能的物理链路，切断了信息外泄的通道。
但事实恰恰相反，由于管理制度的不健全或缺乏有效的终端监控技术，内部网络中个别用户利用电话拨号、即插即用的互联网接入设备，外连互联网进行私人操作，物理隔离环境被破坏。
另外，终端内外网混用情况较为普遍，导致内部网络出现隐蔽通道，被黑客或病毒利用后，将导致泄密或影响信息系统性能。
这些行为可定义为——“非法外联”。
安全需求 终端作为信息系统的基本组成部分，具备分布广，数量巨大等特性，信息系统设备中有85%以上由其组成，由于终端操作的随意性，难以利用技术措施实行管控，终端安全保护能力成为安全短板，因此终端成为恶意攻击的对象，病毒传播、信息失窃的源头之一。
在内部网络（如政府部门、军事部门的网络），一旦物理隔离环境被打破，将导致安全事件的发生，后果不堪设想。
“非法外联”使原本封闭系统环境与外部网络出现隐蔽通道，内部网络将面临病毒、木马、非授权访问、数据窃听、暴力破解等多种安全威胁，导致网络结构、服务器部署、安全防护措施等信息被泄露，甚至进行跨安全域、跨网络破坏。
华为公安大数据解决方案
华为公安大数据解决方案公安大数据是指通过对公安原有卡口、车辆、人口、案件等多维海量数据的挖掘和分析，把离散的、碎片化的数据加工形成具有警务价值的数据处理技术。
华为基于对公安业务及数据的深刻理解，全面覆盖大数据领域关键技术，推出了智能融合的公安大数据解决方案，提供海量数据存储、处理和分析等多维度服务，并与多地公安客户及各应用厂家展开紧密合作，打造服务于实战应用的智能大数据解决方案。
随着信息化技术的飞速发展，大数据为公安信息化建设带来了新的机遇。
大数据产生大信息，大信息产生大价值，大价值才能有大服务、大实战。
在大数据时代，基于公安数据与社会数据融合的大数据分析研判在侦破案件、预防犯罪、精确打击、辅助决策等警务工作中的作用日益凸显。
应用场景通过Hadoop 、MPP DB 、Spark 等海量数据处理技术，将公安内部数据、视频数据、政府数据及互联网数据进行综合碰撞分析，挖掘数据隐藏的价值和内在关联，同时通过人物、车辆、行为分析等模型进行数据筛选，为各警种提供大数据服务。
ࡻͧο㖁㑾ᢛ㻳䶾ᢛᢛߎᢛノᣔISV智 慧高达百万维度的全量建模，深度刻画；高效数据分析/挖掘算法显现大数据价值高 效数据分析加速，响应实时查询；实时数据流，在线处理开 放开放的编程和数据服务接口，联合行业ISV 提供多种大数据服务免责声明本文档可能含有预测信息，包括但不限于有关未来的财务、运营、产品系列、新技术等信息。
由于实践中存在很多不确定因素，可能导致实际结果与预测信息有很大的差别。
因此，本文档信息仅供参考，不构成任何要约或承诺。
华为可能不经通知修改上述信息，恕不另行通知。
版权所有 © 华为技术有限公司 2015。
保留一切权利。
非经华为技术有限公司书面同意，任何单位和个人不得擅自摘抄、复制本手册内容的部分或全部，并不得以任何形式传播。
商标声明、HUAWEI 、华为、 是华为技术有限公司的商标或者注册商标。
在本手册中以及本手册描述的产品中，出现的其他商标、产品名称、服务名称以及公司名称，由其各自的所有人拥有。
华为网吧网络解决方案(内部规划文档)
目录第一部分配置原则概述 (2)1需要注意的配置事项 (2)1.1配置ACL对非法报文进行过滤 (2)1.1.1进行源IP和目的IP过滤 (2)1.1.2限制ICMP报文 (4)1.1.3限制netbios协议端口 (4)1.1.4限制常见病毒使用的端口 (5)1.1.5关闭没有使用的端口 (6)1.2NAT配置注意事项 (6)1.3路由配置注意事项 (6)1.4进行IP-MAC地址绑定 (7)1.5限制P2P应用（根据实际情况可选） (7)1.5.1通过ACL限制端口 (7)1.5.2结合QOS和ACL限制端口流量 (8)1.5.3限制单机的NAT会话数 (10)1.5.4在客户机上通过软件限制 (10)2附：限制常见P2P软件端口的ACL (10)第二部分典型配置实例 (11)1单出口典型配置 (11)1.1局域网内的主机地址是私网IP地址 (11)1.2局域网内的主机地址是公网IP地址 (18)2双出口链路备份典型配置 (26)2.1两条链路都是以太网链路的情况 (26)2.2两条链路是以太网链路+PPPOE链路的情况 (35)3双出口同时实现负载分和链路备份典型配置 (44)第一部分配置原则概述随着网络建设和应用的不断深入，网络安全问题正逐渐成为一个突出的管理问题。
AR18系列路由器通过多种手段和配置可以控制和管理网络的流量，能够有效地实施各种防攻击策略。
尤其在网吧这种复杂的网络环境中，全面合理的配置能够大大提高网络的稳定性和可靠性。
由于网吧上网人员数量多、构成复杂、流动性大，因此网络流量具有流量大、协议种类多、流量复杂等特点。
一般网吧局域网内均有一定程度主机感染病毒，同时也很容易被用来发起网络攻击，或者被他人攻击，这就对网吧中的核心设备――网关提出了较高的要求。
本文以AR18系列路由器为例讲解网关在网吧应用中需要注意的配置事项，同时给出了各种组网情况下的典型配置。
1 需要注意的配置事项1.1 配置ACL对非法报文进行过滤ACL 是每个安全策略的组成部份，控制和监视什么数据包进入和离开网络几乎是网络安全的定义。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
➢需要扫描用户主机，招 致用户察觉和不满
➢需要大规模部署在接入
经过一个NAT设备后，
层
TTL检测
TTL会减一，如果某个用 户TTL与正常的不一致，
具有一定的参考意义➢即由使于TT操L不作一系致统，处也理未不必同，
则认为是共享上网用户
是共享上网用户
➢对Proxy无效
运营级别的控制技术
• 技术要求 – 位置灵活，可以在城域网出口或汇聚层 – 部署规模小，投资少 – 误报/漏报率低
Windows网络协议栈实现时，IＤ字段的值随着发送IP报文数的增加而增加 Identification的初始值是随机值，一般说来，不同主机的初始值有较大差
距
70000 60000 50000 40000 30000 20000 10000
0
检测技术举例1－ID轨迹检测
优点 较准确地判断出是否为共享上网用户 较准确的判断出在线共享上网主机数 完全被动监听，不发送探测信息
华为安全免疫网关（SIG）之 共享接入监控解决方案 2005年12月
CONTENTS
共享接入现状与危害 共享接入监控技术分析 华为SIG 共享接入监控解决方案
宽带共享接入的几种形式
服务器群
RADIUS
IP网络
BAS
①
②
③
④
⑤
地址Байду номын сангаас用
帐号盗用
分时使用
私接用户
黑网吧 NAT 上网
某地市电信宽带非法接入现状 26％的非法接入用户
t (接收到报文)
检测技术举例2－时钟偏移检测
优点 非常准确地判断出是否为共享上网用户 能够较准确的判断出共享上网主机数
缺陷 需要复杂的计算方法进行处理分析 需要一段时间的观察（建议两天以上）
检测技术举例3－应用特征检测
HTTP包头 HTTP报头中User-Agent字段 不同操作系统、不同IE版本、不同补丁的UserAgent字段不同
➢完全被动监听，不 发送探测信息
➢对NAT/Proxy用户无效
享上网用户
➢对分时上网的共享 用户同样有效
➢对一台主机多个网卡的 情况会产生误报
SNMP扫描检测基本已 被淘汰
扫描主机或ADSL Modem 的SNMP信息，提取主机 数
在特定情况下检测比
➢极易通过修改Modem配 置来躲避
较准确，如用户侧启 用SNMP服务
应用级检测技术
共享接入应用层检测技术
主要 ID轨迹 时钟偏移 ……
辅助（不探测） MSN/Windows Update 流量/连接数 TTL检测 ……
辅助2（需探测） SNMP扫描 MAC地址 ……
探测扫描型检测很容易被规避，而且对网络有影响
综合模型才能准确检测接入共享行为
检测技术举例1－ID轨迹检测
• 运营收入减少，ARPU值降低
– 运营商无法收取非法接入用户的网络使用费，整体收入减少
• 运营成本增加
– 无成本的非法接入用户，必然滥用网络，加大城域网负荷
– 运营商对前期对网络建设费用的投入无法得到及时回收,表现为高 投入低产出
路越修越宽 收入却没按 比例增加？
保值收益分析
• 假设：一个5万宽带用户的城域网，其中15%，即7500个非法接入用户
IP首部 TCP首部 TCP数据（含TimeStamp）
IP首部 TCP首部 TCP数据（含TimeStamp）
IP首部 ICMP首部 ICMP数据（含TimeStamp） IP首部 ICMP首部 ICMP数据（含TimeStamp）
Timestamp 主机协议栈记录发包时间 不同主机发包频率统计偏差不同
7300 21%
1800 5%
25900 74%
正常用户 2个主机的共享用户 3个以上主机的共享用户
其中69个为黑网吧，1100个为私帐公用的企业用户
宽带共享接入的危害
• 用户流失
– 大量非法接入现象导致合法用户权益受侵害,使合法用户不信赖运 营商，销户停止业务
– 合法用户效仿非法接入者, 拉取其他潜在用户来增加自己的利益
• 适用的检测技术 – ID轨迹检测 – 时钟偏移分析 – 应用特征检测
• 控制技术 – 网页推送警告 – 干扰HTTP访问 – 干扰TCP连接
CONTENTS
共享接入现状与危害 共享接入监控技术分析 华为SIG 共享接入监控解决方案
IP的ID轨迹分析：
检测技术模型
—较准确地判断出是否为共享上网用户
其他检测技术
原理
优点
缺陷
流量/连接数统计
统计某个IP打开的端口 数或流量，超过一定阈 值则认为是共享上网用 户
对BT、网络病毒会误报， 具有一定的参考意义 对少量共享主机的情况会
漏报
MAC地址检测
在接入层交换机下检测
➢能够实时判断出是 否为共享上网用户
➢需要大规模部署在接入 层
MAC地址，同一个账号有 多个MAC地址，则认为共
• MSN – 同一时间一般只能登录一个MSN帐号
• Windows Update 信息 – windows会不定时发送Update信息
检测技术举例3－应用特征检测
优点 能够实时判断出是否为共享上网用户 完全被动监听，不发送探测信息 对分时上网的共享用户同样有效
缺陷 如果用户安装多操作系统，会产生误报 如果多台主机克隆安装，会产生漏报
时钟漂移：
—较准确的判断出在线共享上网主机数
—准确地判断出是否为共享上网用户
—完全被动监听，不必发送探测信息
—较准确的判断出共享上网主机数
华为非法接入监 控系统检测技术
缺陷 需要一段时间的观察（一般两天以上） 对分时上网和PROXY的检测效果不明显
检测技术举例2－时钟偏移检测
不同主机物理时钟偏移不同，网络协议栈时钟与物理时钟存在对应关系 不同主机发送报文频率与时钟存在统计对应关系 通过特定的频谱分析算法，发现不同的网络时钟偏移来确定不同主机
IP首部 IP数据报文（含TimeStamp） IP首部 IP数据报文（含TimeStamp） IP首部 IP数据报文（含TimeStamp）
企业用户
个人用户
资费
￥400/月
￥50/月
非法接入数
1500个
6000个
保值收入
￥60万/月
￥30万/月
每年的保值收入达￥1080万
• 非法接入监控系统，除了给电信运营商增加收益之外，同时还 能阻止更多的人效仿非法接入，避免给电信运营商造成更大宽 带收入流失
CONTENTS
共享接入现状与危害 共享接入监控技术分析 华为SIG 共享接入监控解决方案