深信服NGAF_Web安全解决方案
深信服业务系统应用安全加固解决方案模板
深信服XX业务系统应用安全加固解决方案深信服科技有限公司20XX年XX月XX日目录深信服XX业务系统应用安全加固解决方案 (1)目录 (2)1应用背景 (4)2需求分析 (5)2.1一期建设拓扑图 (5)2.2业务系统安全现状 (5)2.3业务系统脆弱性分析 (6)2.4风险可能导致的问题 (8)2.5业务安全加固建设目标 (9)3方案设计 (10)3.1网络安全加固方案 (10)3.1.1DOS/DDOS防护子系统 (10)3.1.2防病毒子系统 (10)3.2系统安全加固方案 (11)3.2.1入侵防御子系统 (12)3.3应用安全加固方案 (13)3.3.1Web安全子系统 (14)3.4数据安全加固方案 (14)3.4.1信息泄漏防护子系统 (15)3.4.2防篡改子系统 (15)4产品部署示方案 (16)4.1方案一：一站式应用安全加固部署方案 (16)4.1.1拓扑图 (16)4.1.2产品部署方案 (16)4.1.3产品选型 (18)4.2方案二：节点纵深防御应用安全加固部署方案 (19)4.2.1拓扑图 (19)4.2.2产品部署方案 (19)4.2.3产品选型 (20)5关于深信服 (21)1应用背景网络的飞速发展促进了各行业的信息化建设，近几年来XX单位走过了不断发展、完善的信息化历程，现已拥有技术先进、种类繁多的网络设备和应用系统，构成了一个配置多样的综合性网络平台。
随着网络基础设施建设的不断完善，有针对性作用的业务系统也不断增加，XX单位已于2011年底完成建设XX业务系统，提供开放的综合业务平台为用户提供便捷的服务。
为了保证用户能够更安全，更便捷的使用业务系统，在XX业务系统建设时便设计并建设完成了第一期网络安全建设规划。
在第一期的网络安全建设规划方案中，防火墙被用作主要的网络安全设备保证业务系统的正常稳定运行。
使用防火墙将服务器区域分割成为应用服务区、数据库服务器区、边界接入区、运维管理区域等多个网络层相互逻辑隔离的区域，防止内、外部安全风险危害各个业务区域。
SANGFOR_AF_安全防护方案建议模板v10
下一代防火墙安全解决方案深信服科技有限公司201X-XX-XX目录1 网络与应用环境面临的安全挑战 (44)1.1 应用多样化，端口的单一化 (44)1.2 黑客攻击方式和目的的变化 (55)1.3 端到端的万兆处理能力 (66)2 传统安全设备日趋“无力” (66)2.1 防火墙成为了“摆设” (77)2.2 IPS+AV+WAF补丁式的方案 (88)2.3 简单堆砌的UTM (88)3 下一代防火墙的诞生与价值 (99)3.1 Gantner定义下一代防火墙 (99)3.2 深信服NGAF的特点与用户价值 (1010)4 XXX网络安全现状 (1111)4.1 网络与应用系统现状 (1111)4.2 面临的内容安全威胁 (1212)4.2.1 漏洞利用 (1212)4.2.2 拒绝服务攻击和分布式拒绝服务攻击 (1313)4.2.3 零时差攻击 (1313)4.2.4 间谍软件 (1414)4.2.5 协议异常和违规检测 (1515)4.2.6 侦测和扫描 (1515)4.2.7 Web入侵 (1616)4.2.8 病毒木马 (1717)5 NGAF安全加固解决方案 (1717)5.1 总体方案 (1717)5.2 数据中心服务器保护 (1818)5.3 广域网边界安全隔离与防护 (1919)5.4 互联网出口边界防护 (2121)6 深信服NGAF产品介绍 (2222)6.1 更精细的应用层安全控制 (2222)6.2 更全面的内容级安全防护 (2323)6.3 更高性能的应用层处理能力 (2424)6.4 更完整的安全防护方案 (2525)1网络与应用环境面临的安全挑战IT部门对企业高效运营和快速发展的贡献毋庸置疑，种种益处自不必多言，但是如果网络崩溃、应用瘫痪、机密被窃，损失将令人痛心，甚至无法弥补，IT部门也将承受极大的压力，所以保证网络和应用系统安全、可靠和高效的运行成为IT部门的关键任务。
深信服解决方案
引言深信服是一家专注于网络安全与网络运维的企业，提供综合的解决方案和产品。
本文将介绍深信服的解决方案，并着重介绍其在网络安全和网络运维方面的优势和特点。
网络安全解决方案深信服的网络安全解决方案包括以下几个方面：1. 防火墙与入侵检测系统（IDPS）深信服的防火墙与入侵检测系统（IDPS）具有先进的安全规则和行为分析技术，可以及时检测并阻止各种网络攻击，保障企业的网络安全。
2. DDoS防护深信服的DDoS防护解决方案采用了多层次的防护策略，包括流量清洗、负载均衡和黑名单过滤等，可以有效防止分布式拒绝服务（DDoS）攻击，保障网络的稳定性和可靠性。
3. 安全云网关深信服的安全云网关通过集中管理和控制，对企业的互联网出口进行安全检测和过滤，提供综合的病毒、垃圾邮件和非法网站过滤等功能，有效减少网络攻击和信息泄露的风险。
网络运维解决方案深信服的网络运维解决方案包括以下几个方面：1. 宽带链路负载均衡深信服的宽带链路负载均衡解决方案可以实现多线路的负载均衡，提高网络的传输效率和可用性，适用于大型企业和运营商等需要高可靠性和高性能网络的场景。
2. 企业级路由器深信服的企业级路由器提供可靠的路由和安全接入功能，支持灵活的网络配置和管理，适用于各种企业网络环境。
3. 网络流量分析深信服的网络流量分析解决方案可以对网络流量进行实时分析和监控，帮助网络管理员快速识别网络故障和安全威胁，并做出相应的处理和优化。
总结深信服的解决方案在网络安全和网络运维方面具有先进的技术和丰富的经验，可以帮助企业实现网络安全和网络运维的一体化管理和优化，提升网络的安全性和可靠性。
通过使用深信服的解决方案，企业可以更好地应对网络安全威胁和网络运维挑战，实现网络的安全、稳定和高效运行。
以上是对深信服解决方案的简要介绍，更多详细信息，请参考深信服官方网站或咨询深信服的专业团队。
SANGFOR_AF_解决方案201107
深信服NGAF解决方案深信服科技有限公司2011年7月4日第1章需求概述1.1背景介绍互联网及IT技术的应用在改变人类生活的同时，也滋生了各种各样的新问题，其中信息网络安全问题将成为其面对的最重要问题之一。
网络带宽的扩充、IT应用的丰富、互联网用户的膨胀式发展，使得网络和信息平台早已成为攻击爱好者和安全防护者最激烈斗争的舞台。
Web时代的安全问题已远远超于早期的单机安全问题，尽管防火墙、IDS、UTM等传统安全产品在不断的发展和自我完善，但是道高一尺魔高一丈，黑客们不仅专门针对安全设备开发各种工具来伪装攻击、逃避检测，在攻击和入侵的形式上也与应用相结合越来越紧密。
这些都使传统的安全设备在保护网络安全上越来越难。
目前更多的出现了以下的安全问题：投资成本攀升，运维效率下降许多企业为了应对复杂的安全威胁,购买了多个厂商的安全产品,安全建设犹如堆积木一般。
购买的安全防护产品愈来愈多，问题也随之出现：大量的安全防护产品部署，需要大量专业安全管理人员负责维护，复杂的安全架构使得管理同样变得复杂化，由于企业采用了多套安全解决方案，这就要求有很多技术人员精通不同厂商的解决方案。
购买产品很简单，日常运维很复杂，这对企业本来就有限的IT人员、安全管理人员来讲是非常痛苦和困难的事情。
而且不同厂商安全解决方案之间的协调性也有待商榷，当专业化的攻击和威胁来临时，这些安全产品之间能不能发挥协同作用抵御威胁这还是一个很大的问号。
对企业的管理者来说，如何降低管理成本、提高运维效率、提升企业安全水平，是目前最急待解决的问题。
“数据库泄密”、“网页遭篡改”等应用层安全事件频现2011年上半年，索尼超过1亿个客户帐户的详细资料和1200万个没有加密的信用卡号码失窃，索尼已花掉了1.71亿美元用于泄密事件之后的客户挽救、法律成本和技术改进这笔损失只会有增无减。
2011年5月10日上午消息，一些兜售廉价软件的黑客攻击了多个知名网站，包括美国宇航局(以下简称“NASA”)和斯坦福大学的网站。
SANGFOR_AF产品介绍
高效精确的病毒检测能力
NGAF 提供先进的病毒防护功能，可从源头对 HTTP、FTP、SMTP、POP3 等协议流量中进行病毒查杀，也可查杀压缩包（zip，rar，gzip 等） 中的病毒。同时采用高效的流式扫描技术，可大幅提升病毒检测效率避免防病毒成为网络安全的瓶颈。
智能 DOS/DDOS 攻击防护
特点
NGAF
涵 盖 传 统 安 全
测 检 容 内 向 双
下一代防火墙标准
URL
敏
恶应 感
意用网信 特
信页息 息防防
点
拦隐篡泄
截藏改漏
深信服 NGAF 产品功能特点
精细的应用安全访问控制
可视化的应用识别
传统防火墙最主要的用途就是在非信任网络与信任网络通过访问控制实现安全管理。过去一个端口便代表了一个应用，防火墙的 问题并没有完全暴露出来。而随着应用程序的不断发展，采用端口跳跃、端口逃逸、多端口、随机端口的应用越来越多，使得传 统防火墙五元组的访问控制策略可读性、可视性，可控性受到巨大冲击，传统防火墙在 web2.0 时代已无法适应精细化访问控制的 需求。 NGAF 具有卓越的应用可视化功能，通过多种应用识别技术形成国内最大的应用特征识别库，可精确识别内外网的采用端口跳跃、 端口逃逸、多端口、随机端口的各类应用，为下一代防火墙实现用户与应用的精细化访问控制提供技术基础。
NGAF 的统一威胁识别具备 2500+ 条漏洞特征库、数十万条病毒、木马等恶意内容特征库、1000+Web 应用威胁特征库，可以全面识 别各种应用层和内容级别的各种安全威胁。其漏洞特征库已通过国际最著名的安全漏洞库 CVE 严格的兼容性标准评审，获得 CVE 兼容性认证（CVE Compatible）。 深信服凭借在应用层领域 6 年以上的技术积累组建了专业的安全攻防团队，作为微软的 MAPP（Microsoft Active Protections Program）项目合作伙伴，可以在微软发布安全更新前获得漏洞信息，为客户提供更及时有效的保护，以确保防御的及时性。
深信服解决方案
深信服解决方案一、背景介绍深信服是一家率先的网络安全解决方案提供商，致力于为企业提供全方位的网络安全保护。
其解决方案包括网络安全、云安全、终端安全、挪移安全等多个领域，能够匡助企业建立强大的网络安全谨防体系，保护企业的核心数据和网络资产。
二、深信服解决方案的特点和优势1. 多层次的网络安全防护：深信服解决方案采用多层次的网络安全防护策略，包括边界安全、内部安全、终端安全等，能够全面抵御各类网络攻击和威胁。
2. 全面的安全管理平台：深信服提供全面的安全管理平台，能够对企业的网络安全进行实时监控和管理，及时发现和应对安全漏洞和威胁。
3. 强大的威胁情报和分析能力：深信服拥有强大的威胁情报和分析能力，能够及时获取全球范围内的安全威胁信息，并对其进行分析和处理，匡助企业预防和应对各类网络攻击。
4. 高性能的网络设备和解决方案：深信服的网络设备和解决方案具有高性能和高可靠性，能够满足企业对网络带宽和稳定性的需求，保障企业的网络运行顺畅。
5. 客户定制化的解决方案：深信服能够根据客户的实际需求，提供定制化的解决方案，满足企业不同行业和规模的网络安全需求。
三、深信服解决方案的应用场景1. 企业网络安全防护：深信服解决方案可以匡助企业建立完善的网络安全防护体系，包括边界防护、内部防护、终端防护等，保护企业的核心数据和网络资产。
2. 云安全保护：深信服提供的云安全解决方案可以匡助企业保护云平台上的数据安全，防止云安全漏洞和攻击。
3. 挪移设备安全管理：深信服解决方案可以匡助企业对挪移设备进行安全管理，包括挪移设备的访问控制、数据加密、应用管理等，保护企业挪移设备的安全。
4. 金融行业安全保护：深信服解决方案可以匡助金融行业建立强大的网络安全防护体系，保护金融机构的核心业务数据和客户信息安全。
5. 政府机构网络安全保护：深信服解决方案可以匡助政府机构建立安全的网络环境，保护政府机构的敏感信息和网络资产。
四、深信服解决方案的成功案例1. 某大型金融机构：该金融机构采用了深信服的网络安全解决方案，建立了完善的网络安全防护体系，有效防止了各类网络攻击和威胁，保护了客户的资金和信息安全。
深信服网络安全监测方案
深信服网络安全监测解决方案背景与需求分析网络安全已上升到国家战略，网络信息安全是国家安全的重要一环，2015 年 7 月 1 号颁布的《国家安全法》第二十五条指出：加强网络管理，防范、制止和依法惩治网络攻击、网络入侵、网络窃密、散布违法有害信息等网络违法犯罪行为，维护国家网络空间主权、安全和发展利益。
国家《网络安全法》草案已经发布，正式的法律预计不久后也会正式颁布。
保障网络安全，不仅是国家的义务，也是企业和组织机构的责任。
对于企业来说，保障网络信息安全，防止网络攻击、网络入侵、网络窃密、违法信息发布，不仅能维护自身经济发展利益，还能避免法律风险，减少社会信誉损失。
Gartner 认为，未来企业安全将发生很大的转变，传统的安全手段无法防范 APT 等高级定向攻击，如果没有集体共享的威胁和攻击情报监测，将很难多方位的保护自己网络安全。
因此过去单纯以被动防范的安全策略将会过时，全方位的安全监控和情报共享将成为信息安全的重要手段。
因此，仅仅依靠防护体系不足以应对安全威胁，企业需要建立监测机制，扩大监控的深度和宽度，加强事件的响应能力。
安全监测和响应能力将成为企业安全能力的关键，在新的安全形势下，企业需要更加关注威胁监控和综合性分析的价值，使信息安全保障逐步由传统的被动防护转向“监测-响应式”的主动防御，实现信息安全保障向着完整、联动、可信、快速响应的综合防御体系发展。
然而，传统的网络安全设备更多关注网络层风险及基于已知特征的被动保护，缺乏对各种系统、软件的漏洞后门有效监测，缺乏对流量内容的深度分析及未知威胁有效识别，不具备多维全面的安全风险监测响应机制，已不能满足新形势下网络安全的需求。
深信服网络安全监测解决方案深信服创新性的推出了网络安全监测解决方案，该方案面向未来的安全需求设计，帮助企业实现多层次、全方位、全网络的立体网络安全监测。
该方案主要采用了深信服下一代防火墙NGAF 作为监测节点，通过对应用状态、数据内容、用户行为等多个维度的全方位安全监测，并结合深信服云安全中心海量威胁情报快速共享机制，帮助企业构建立体化、主动化、智能化综合安全监测防御体系，有效弥补了传统安全设备只能防护已知常规威胁的被动局面，实现了安全风险全面识别和快速响应。
下一代防火墙解决方案-互联网Web业务自适应安全方案
互联网Web业务自适应安全方案目录互联网Web业务自适应安全方案 (1)一、应用背景 (3)二、需求分析 (3)三、深信服解决之道 (5)3.1 OWASP十大web攻击防护 (6)3.2系统/应用漏洞攻击防护 (7)3.3威胁情报预警与处置 (8)3.4专业的网页防篡改 (8)3.5高效精准的黑链检测 (9)3.6多维敏感信息防泄漏 (9)3.7 智能化CC攻击防护 (10)3.8 可视化网站风险展示 (10)3.9自助化快速安全运维 (11)一、应用背景随着电子商务、Web2.0、互联网+等一系列创新的产品和理念的发展，基于Web环境的互联网应用越来越广泛，门户网站、办公应用、在线考试、网上银行、网络购物、网络游戏、在线视频等很多互联网应用都架设在Web平台上。
国家互联网应急中心统计显示，当前互联网上WEB业务应用流量占比非常高。
Web业务的迅速发展也引起黑客的强烈关注，紧随而来的就是Web安全威胁的凸显，黑客利用网站操作系统和服务程序漏洞，很容易获得Web服务器的控制权限，实现篡改网页内容、窃取重要数据、植入恶意代码、发起拒绝服务等各种恶意目的，使得网站建设方和访问者受到侵害。
这也使得越来越多的用户关注应用层的安全问题，对网站安全的关注度也持续提升。
二、需求分析国家互联网应急中心（CNCERT/CC）《2014中国互联网网络安全报告》显示“我国网站安全问题非常严峻，2014年我国境内被篡改网站数量为137334个，较2013年大幅增长53.8%；2014年，监测到仿冒我国境内网站的钓鱼页面99409个，涉及IP地址6844个，其中89.4%的IP地址位于境外；2014年，监测到境内40186个网站被植入后门，其中政府网站有1529个”。
严重的网站安全问题进一步引发网站用户信息和数据的泄露等问题。
2014年，国内先后发生用户开房信息泄露、12306用户信息泄露、团购网站账户信息泄露、社保账户信息泄露等多种安全事件，给互联网用户的合法权益和互联网安全造成严重威胁。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
一站式Web 安全解决方案文档密级：公开
深信服 Web 业务安全解决方案
一、Web 安全的挑战
随着互联网技术的高速发展，绝大部分客户都已经将自身业务迁移到互联网上开展，而这当中又主要是以Web 服务为载体进行相关业务的开展，Web 成为当前互联网应用最为广泛的业务。
而针对 Web 业务的安全问题也越来越多。
如 2016 年 4 月底的 Struts2 S2-032 让
网站的安全问题又引发了业界普遍的关注，很多网站纷纷中招，被黑客入侵造成了严重损失。
从历史 Struts2 漏洞爆发数据看，此前每次漏洞公布都深度影响到了政府、金融等行业。
网站作为主要的对外门户，已经成为黑客发起攻击的首要目标，网站一旦遭遇攻击，将有可能导致严重的后果：
网站被篡改，直接影响对公众树立的社会形象；
网站业务被攻击导致瘫痪，影响效率和经济利益；
网站敏感数据被窃取，影响单位信誉；
网站被攻陷后成为跳板，渗透到内部网络，造成更大面积的破坏；
被第三方监管机构，漏洞报告平台通报，带来负面影响；
二、Web 安全的问题
针对Web 的攻击往往隐藏在正常访问业务行为中，导致传统防火墙、入侵防御系统无法发现和阻止这些攻击。
Web 业务系统面临的安全问题是不是单方面的，概括起来主要有以下四个方面：
1）开发时期遗留问题
由于Web 应用程序的编写人员，在编程的过程中没有考虑到安全的因素，使得黑客能够利用这些漏洞发起对网站的攻击，比如SQL 注入、跨站脚本攻击等。
2）系统底层漏洞问题
Web系统包括底层的操作系统和Web业务常用的发布系统（如IIS、Apache），这些系
统本身存在诸多的安全漏洞，利用好这些漏洞，可以给入侵者可乘之机。
3）运维管理中的问题
业务系统中由于管理的问题也存在诸多安全隐患，如弱口令、管理员界面等等，导致黑客、病毒可以利用这些缺陷对网站进行攻击。
4）破坏手段多样问题
Web 系统所处的环境的网络安全状况也影响着Web 系统的安全，比如网络中存在的DoS 攻击，或者存在感染病毒木马的终端，给黑客提供可利用的跳板等，这些内网自身的安全问题同样会影响到Web 系统的稳定运行。
三、NGAF 解决之道
深信服NGAF 提供对Web 业务系统的三维立体防护解决方案，深入分析黑客攻击的时机和动机。
从事件周期、攻击过程、防护对象三个维度出发，并可以结合云端安全服务，提供全面的安全防护体系，保护web 业务系统不受来自各方的侵害。
基于安全事件周期的设计
攻击防护不可能做到100%安全。
Web 系统的安全建设必须贯穿到整个Web 安全事件周期中，从事前、事中、事后三个维度分阶段进行防护。
NGAF 提供事前策略自检、事中攻击防护、事后防止篡改的整体安全防护。
事前风险自检：在配置完安全策略后，NGAF 可以提供Web 漏洞扫描功能，查看系统还存在哪些安全策略漏洞和隐患，也可通过云端安全服务对网站进行持续的监测；
事中攻击防护：2-7 层完整的应用层安全防护，包括：Web 攻击防护、漏洞防护、病毒防护等；
事后快速响应：针对网站黑链，网页篡改，网站植入后门等恶意行为进行主动的探测和处置，云端安全服务保持7*24 在线响应。
基于黑客攻击手段的安全防护
传统的web 安全防护采用的是防火墙+IPS+WAF 割裂式的安全防护体系，针对各类的攻击总是被动的增补相应功能的安全设备。
而对于Web 安全防护不是单一攻击手段的防护，而需要对黑客攻击动机与时机进行分析，基于黑客的攻击过程的每一个环节进行统一防护。
NGAF 的设计是基于黑客攻击过程的完整Web 系统安全防护，针对黑客入侵三步曲即扫描、入侵、破坏进行统一的安全防护：
扫描：提供网站防扫描、口令暴力破解、关键URL 防护、应用信息隐藏等；
渗透：提供强化的Web 攻击防护（防SQL 注入、OS 命令注入、XSS 攻击、CSRF 攻击）、多对象漏洞利用防护等；
破坏：提供Webshell 后门检测、黑链检测、抗CC 攻击、恶意脚本上传过滤、僵木蠕检测、异常流量清洗等；
提供云端安全服务
对于Web 业务的防护，除了硬件解决方案以外，深信服还提供一系列的云端安全服务包，帮助用户减轻安全运维的压力。
目前提供了专门针对Web 业务的安全服务包括： 网站风险评估服务：网站漏洞扫描，资产风险发现；
网站实时监测服务：网站可用性、黑链、网页篡改、后门通信行为监测；
安全应急响应服务：威胁处置、0-day 漏洞推送修复、其他应急事件响应；
安全运营服务：设备托管服务，每月交付安全运营服务报告；
四、价值体现
通过部署NGAF 保护Web 业务系统安全，可以为您提供以下价值：
✓防止因安全问题造成企业单位形象受损、客户信誉降低等问题
✓保护机密信息、敏感数据不被泄露
✓减少因泄露信息而产生法律诉讼的可能性
✓满足有关法规对Web 系统安全的规定
五、方案优势
1）Web 业务三维立体防护：
时间：提供事前策略自检、事中攻击防护、事后防止篡改的整体Web 保护
过程：基于黑客攻击过程的L2-L7 层完整安全防护，可以有效过滤扫描、入侵、破坏过程中的各种安全威胁
对象：针对终端和服务器的全面防护，防止以终端作为跳板入侵Web 服务器，以及防止直接针对服务器的攻击
2）更高性价比：
涵盖了L2-L7 全面的安全功能，可以替代FW、IPS、WAF，节省投资；
3）提升安全运维效率：
综合业务风险报表结合云端安全服务，让网站安全运维更简单、高效；
六、部分成功案例。