启明星辰P系列防火墙产品安装调试.
启明星辰公司客户服务指南-11-V5.4
3.1.8 天清汉马 USG 病毒模块使用许可................................................................................5
3.1.9 天清汉马 USG IPS 模块使用许可.................................................................................6
3.4.3 补天 I 号........................................................................................................................10
3.4.4 补天 II 号 ......................................................................................................................10
3.4.7 天镜扫描报告分析 ....................................................................................................... 11
3.4.8 EMS 传递升级包服务.......................................................................................................12
3.4.1 应急通告 .........................................................................................................................9
安全启明星辰产品解决方案完整版
安全启明星辰产品解决方案HUA system office room 【HUA16H-TTMS2A-HUAS8Q8-HUAH1688】安全解决方案的使命就是在先进的理念与方法论的指导下，综合运用安全技术、产品、工具，提供客户化的服务，全面系统地解决客户面临的安全问题。
1.理念与方法论理念与方法论主要关注如何将各种安全要素有效地配合来满足安全需求。
一个解决方案中最核心的部分是解决方案所基于的理念与方法论，它好比解决方案的神经中枢。
尤其是对那些看起来相似的安全需求，基于不同的理念与方法论会得到大相径庭的安全解决方案。
良好安全理念和方法论力图挖掘和把握信息安全的本质规律，以便为客户提供可行的，易实施的安全解决方案。
2.需求获取客户的安全需求是整个解决方案的起源和持续的推动力。
没有对客户本身、客户的行业、客户的业务、客户系统的安全需求做详细和准确的分析之前，不可能得到切合实际的解决方案。
在需求分析过程中，会采用多种需求分析方法。
比如，BDH方法，就是从业务、分布、层次等三个方向进行分解，同时考虑业务分解后的各要素之间的内在联系，力求完整而准确地获取客户的安全需求。
3.安全措施安全措施是解决方案中具体的方法、技术、服务和产品等的集合，但又不是简单的堆砌。
一个解决方案除了要有正确的安全理念和方法作为基础，全面、清晰地把握客户安全需求之外，还要对可用的各种安全措施（产品与服务）的特点有准确的了解和把握，深刻理解各种措施之间的内在联系，取长补短，充分发挥服务和产品的特性，最终提供有效的实施方案。
4.安全实现安全实现是解决方案的最后一步。
所谓“行百里者半九十”，优秀的安全解决方案必须通过完美地实现才能真正生效，满足客户的安全需求。
在努力完善理念和方法论的同时，要注重安全实现与执行。
从项目管理、质量保障等方面全面加强。
二、解决方案指导思路三观安全包括：微观安全、宏观安全和中观安全。
三观安全的一个典型模型就是上图的执行模型。
启明星辰P系列防火墙产品安装调试
接口设备相关介绍
vlan设备
逻辑接口，与对应的物理接口共享MAC，为数据提供doltq封装，可以 提供路由模式和透明模式。配置了vlan设备后，数据在离开防火墙时会被封 装对应的vlan ID
接口设备相关介绍
vlan设备
Vlan 100: 192.168.1.254/24
trunk
192.168.1.100/24
trunk
vlan 100---200
方式二：将eth1和eth2划入透明桥，再放通带vlan的流量
防火墙——安全选项——二层协议包过滤策略
第三章
防火墙路由功能配置简介
静态路由
OSPF
策略路由&ISP路由
静态路由
默认路由
172.16.1.1 Vlan100:192.168.1.1 Vlan200:192.168.2.1 Eth1:172.16.1.2 1.1.1.1
系统管理——管理员设置——管理主机
登陆管理
GUI管理
P系统防火墙使用HTTPS方式登陆，使用8889端 口。同时需要使用证书认证。
一、安装管理员证书 二、登陆防火墙 三、特殊情况应对
当遇到没有安装证书，但又需要通过 GUI 方式管理防火墙时，可以通过在后台 URL ：https://IPv4地址：8889 输入命令（命令可以咨询400或者专家支 持） user: administrator pass:bane@7766 然后直接通过8888接口管理防火墙， 但这种方式在重启设备后会失效 URL：https://IPv4地址：8888
console口管理
设置CRT或者超级终端属性： —设置serial port连接工具 (e.g. 微软超级终端) —Connect RS-232 —波特率9600 , 8 bits, No parity,1 stop bit 如图：
完整版防火墙安装调试方案
实施方案1项目概况山东分公司所属河口、寿光、昌邑、羊口、即墨、楮岛、海阳风电场，每个风场两台，共计14台天气预报防火墙设备采购、运输、安装、调试及一年质保工作，用于满足自动化应用系统安全需求。
2、服务范围、服务内容2.1供货范围本工程的供货范围见表2-1所示。
表2-1供货需求一览表2.2工作范围供货商的工作范围包括：a）提供合同内所有硬件设备和软件，并保证系统完全符合最终技术规范的要求。
b）提供所需的系统技术资料和文件，并对其正确性负责。
c）提供所有合同设备的备品备件和安装、维护所需的专门工具和试验仪器仪表（包括调整、测试和校核）。
d）负责进行工厂验收，将设备运输（含搬运至指定位置）、安装在现场（设备机房）以及现场调试直至成功地投入运行。
e）负责提出设备对供电、接地、消防、运行环境及安装等要求。
f）负责完成与买方另外购买的其它设备接口连接调试工作。
g）负责现场勘察，与风场协调、确定设备安装位置，制定设备安装、调试计划。
h) 负责编制试验、验收的计划报告。
i) 在两年保修期内提供必要的保修服务，卖方应保证及时免费维修或更换任何并非有买方人员非正常操作而导致的缺陷或故障，并应提供限时到达现场的维修服务。
j) 由我公司进行安装调试，并提供售后服务。
k) 技术培训。
l) 按合同要求为买方提供必要其它的服务。
3、服务依据、工作目标；3.1 服务依据《信息技术设备的安全》GB4943－2001 《建筑物电子信息系统防雷技术规范》GB50343-2004 《环境电磁卫生标准》GB5175-88《电磁辐射防护规定》GB8702-88 《电气装置安装工程施工及验收规范》GB50254-96 《电气装置安装工程施工及验收规范》GB50255-963.2 工作目标本工程计划工期30 日历天，质量执行国家现行验收标准及要求，达到合格标准，严格执行安全措施，达到安全零事故。
4、服务机构设置、岗位职责4.1 服务机构设置** 设立两个服务小组，随时调遣工作。
启明星辰入侵检测设备配置文档
启明星辰入侵检测设备配置说明天阗NT600-TC-BRP第1章设备概述与工作流程介绍1.1设备概述入侵检测设备是一个典型的"窥探设备"。
它不跨接多个物理网段（通常只有一个监听端口），无须转发任何流量，而只需要在网络上被动的、无声息的收集它所关心的报文即可。
对收集来的报文，入侵检测设备提取相应的流量统计特征值，并利用内置的入侵知识库，与这些流量特征进行智能分析比较匹配。
根据预设的阀值，匹配耦合度较高的报文流量将被认为是进攻，入侵检测系统将根据相应的配置进行报警或进行有限度的反击。
不同于防火墙，IDS入侵检测设备是一个监听设备，没有跨接在任何链路上，无须网络流量流经它便可以工作。
因此，对IDS的部署，唯一的要求是：IDS应当挂接在所有所关注流量都必须流经的链路上。
典型拓扑：1.2 IDS工作流程介绍入侵检测系统的工作流程大致分为以下几个步骤：1.信息收集入侵检测的第一步是信息收集，内容包括网络流量的内容、用户连接活动的状态和行为。
2.信号分析对上述收集到的信息，一般通过三种技术手段进行分析：模式匹配，统计分析和完整性分析。
其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。
具体的技术形式如下所述：1).模式匹配，模式匹配就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。
2).统计分析，分析方法首先给信息对象（如用户、连接、文件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失败次数和延时等）。
测量属性的平均值将被用来与网络、系统的行为进行比较，任何观察值在正常偏差之外时，就认为有入侵发生。
3).完整性分析，完整性分析主要关注某个文件或对象是否被更改，包括文件和目录的内容及属性，它在发现被更改的、被特络伊化的应用程序方面特别有效。
完整性分析利用强有力的加密机制，称为消息摘要函数（例如MD5），能识别及其微小的变化。
(完整版)防火墙安装调试方案
实施方案1、项目概况山东分公司所属河口、寿光、昌邑、羊口、即墨、楮岛、海阳风电场，每个风场两台，共计14台天气预报防火墙设备采购、运输、安装、调试及一年质保工作，用于满足自动化应用系统安全需求。
2、服务范围、服务内容2.1供货范围本工程的供货范围见表2-1所示。
表2-1供货需求一览表2.2工作范围供货商的工作范围包括：a)提供合同内所有硬件设备和软件，并保证系统完全符合最终技术规范的要求。
b)提供所需的系统技术资料和文件，并对其正确性负责。
c)提供所有合同设备的备品备件和安装、维护所需的专门工具和试验仪器仪表（包括调整、测试和校核）。
d)负责进行工厂验收，将设备运输（含搬运至指定位置）、安装在现场(设备机房)以及现场调试直至成功地投入运行。
e)负责提出设备对供电、接地、消防、运行环境及安装等要求。
f)负责完成与买方另外购买的其它设备接口连接调试工作。
g)负责现场勘察，与风场协调、确定设备安装位置，制定设备安装、调试计划。
h)负责编制试验、验收的计划报告。
i)在两年保修期内提供必要的保修服务，卖方应保证及时免费维修或更换任何并非有买方人员非正常操作而导致的缺陷或故障，并应提供限时到达现场的维修服务。
j)由我公司进行安装调试，并提供售后服务。
k)技术培训。
l)按合同要求为买方提供必要其它的服务。
3、服务依据、工作目标；3.1服务依据《信息技术设备的安全》GB4943－2001《建筑物电子信息系统防雷技术规范》GB50343-2004《环境电磁卫生标准》GB5175-88《电磁辐射防护规定》GB8702-88《电气装置安装工程施工及验收规范》GB50254-96《电气装置安装工程施工及验收规范》GB50255-963.2工作目标本工程计划工期30日历天，质量执行国家现行验收标准及要求，达到合格标准，严格执行安全措施，达到安全零事故。
4、服务机构设置、岗位职责4.1服务机构设置**设立两个服务小组，随时调遣工作。
sangfor 对接启明星辰防火墙
引：IPsec 报文原理这次说说IPsec另外两种场景，一种是做外网网关部署环境，一种是旁挂模式部署环境，一般防火墙直接挂在外网然后使用IPsec属于外网网关部署环境，如果VPN设备旁挂于核心或者防火墙之后非公网地址为单臂模式环境。
拓扑图：参旁挂模式拓扑。
针对单臂环境注：启明防火墙为旁挂模式部署一、引：启明星辰防火墙映射VPN需要的UDP 500与45006.4 配置步骤（1）配置网络连通性保证防火墙外网接口到互联网能够连通，内网接口到服务器能够连通。
（2）定义 IP 地址对象、开放端口对象在【防火墙】--【地址】--【地址】定义内网服务器地址。
在【防火墙】--【服务】--【基本服务】定义开放的端口号注：源端口低和高一般不需要填写，除非是客户端限定了访问源端口（3）配置端口映射规则在【防火墙】--【策略】--【NAT策略】--选择端口映射公开地址：需要映射的外网口地址（必须为物理接口或者别名设备地址）拨号用户选择拨号获取到的公网地址即可内部地址：在地址列表里定义的服务器地址对外服务：需要对外开放的端口，此处选择vpn端口注：系统预定义大量常用端口，可以直接使用对内服务：内网服务器需要开放的端口，此处选择vpn端口500、4500隐藏内部地址：可选。
如果取消选中，既能通过公开地址和端口访问内部服务器，也可以直接访问服务器；如果选中，只能通过公开地址和端口访问内部服务器如果需要内网用户通过访问公网地址来实现访问内网服务器，则需要将源地址转换为选择为防火墙内网接口地址。
（4）配置安全规则源地址选择any，目的地址选择为vpn，服务选择为vpn端口。
二、设置启明星辰配置（1）配置启明星辰VPN 接口地址进入【网络管理】-【网络接口】-【物理设备】，设置eth1和eth2为内外网口地址。
（2）配置防火墙IPsec基本属性（2）配置启明星辰VPN IPSEC---VPN规则进入【VPN】-【IPSec】-【VPN规则】-添加，设置本地保护子网为192.168.83.0/24，对端保护子网为192.168.82.0/24。
启明星辰IDS用户安装手册
用户安装手册用户安装手册——天阗V6.0产品名称：天阗入侵检测与管理系统版本标识：V6.0.1.8单位：北京启明星辰信息技术有限公司北京启明星辰信息技术有限公司天阗用户安装手册版权声明本手册中任何信息包括文字叙述、文档格式、插图、照片、方法、过程等内容，其著作权及相关权利均属于北京启明星辰信息技术有限公司（以下简称“本公司”），特别申明的除外。
未经本公司书面同意，任何人不得以任何方式或形式对本手册内的全部或部分内容进行修改、复制、发行、传播、摘录、备份、翻译或将其全部或部分用于商业用途。
本公司对本手册中提及的所有计算机软件程序享有著作权，受著作权法保护。
该内容仅用于为最终用户提供信息，且本公司有权对其作出适时调整。
“天阗”商标为本公司的注册商标，受商标法保护。
未经本公司许可，任何人不得擅自使用，不得进行仿冒、伪造。
本公司对本手册中提及的或与之相关的各项技术或技术秘密享有专利（申请）权、专有权，提供本手册并不表示授权您使用这些技术（秘密）。
您可通过书面方式向本公司查询技术（秘密）的许可使用信息。
免责声明本公司尽最大努力保证其内容本手册内容的准确可靠，但并不对因本手册内容的完整性、准确性或因对该信息的误解、误用而导致的损害承担法律责任。
信息更新本手册依据现有信息制作，其内容如有更改，本公司将不另行通知。
出版时间本文档由北京启明星辰信息技术有限公司2006年3月出版。
北京启明星辰信息技术有限公司保留对本手册及本声明的最终解释权和修改权。
1用户安装手册目录第1章软件安装 (1)1.1 准备条件 (1)1.2 网络型安装过程 (1)1.2.1 MSDE数据库 (3)1.2.2网络入侵检测 (3)1.3 管理型安装过程 (10)1.3.1 MSDE数据库 (12)1.3.2网络入侵检测 (12)1.3.3异常流量监测 (21)1.3.4入侵事件定位 (22)1.3.5入侵风险评估 (24)1.3.6天阗使用Oracle数据库的注意事项 (25)第2章软件卸载 (26)第3章硬件安装 (27)3.1 准备条件 (27)3.2 标识说明 (27)3.3 超级终端安装及设置 (28)3.4 天阗网络引擎配置 (33)3.5 应用配置 (34)3.5.1选项介绍 (34)3.5.2初始应用 (36)3.6 常用交换机镜像设置 (36)附录一：快速使用指南 (41)快速使用流程 (41)多级管理设置 (44)附录二：数据源的配置 (48)北京启明星辰信息技术有限公司天阗用户安装手册第1章软件安装1.1准备条件硬件配置要求：CPU：P 4 2.0 以上RAM：1G以上硬盘：20G以上的剩余空间网卡：Intel百兆或千兆电口网卡辅件：光驱、键盘、鼠标注：推荐您最好专机专用，安装天阗控制台的机器不要作为其他用途的服务器。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
设置CRT或者超级终端属性： —设置serial port连接工具 (e.g. 微软超级终端) —Connect RS-232 —波特率9600 , 8 bits, No parity,1 stop bit 如图：
登陆管理
SSH管理和Telnet管理
防火墙默认关闭该功能，需要通过WEB管理 方式或者命令行方式手动开启。 一旦开启以后，该登陆方式适用于防火墙上的 所有的三层接口 一、 WEB管理方式开启 二、命令行管理方式开启
接口设备相关介绍
别名设备
逻辑接口，与对应的物理设备共享MAC，相当于cisco的secondry IP。 目的是给三层设备接口（包括物理接口和逻辑接口）配置多个IP地址。
接口设备相关介绍
冗余设备
逻辑接口，将多个物理设备绑定起来，组成一个逻辑接口。冗余的方式 有轮循方式、热备方式及802.3ad（LACP），其中轮循和热备方式都为静 态方式，802.3ad为动态方式。
接口设备相关介绍
vlan设备
逻辑接口，与对应的物理接口共享MAC，为数据提供doltq封装，可以 提供路由模式和透明模式。配置了vlan设备后，数据在离开防火墙时会被封 装对应的vlan ID
接口设备相关介绍
vlan设备
Vlan 100: 192.168.1.254/24
trunk
192.168.1.100/24
系统管理——维护——备份与恢复——导入全部配置
注意： 导入配臵后需要重启网关，配臵才可以生效。 3.6.0.1版本的配臵导入3.6.0.2时，需要为防火墙打
上前14个升级包，否则只能导入关键配臵（NAT
配臵无法导入）
批处理的使用
在好多情况下，我们的配臵工作都是重复操作过程，如果能将这些
操作写在一个文件下执行，那么对我们的执行效率将大大提高。
系统管理——管理员设置——设置——开启SSH或者Telnet
登陆管理
启用GUI管理
设备出厂时默认只允许IP地址为10.1.5.200/49、 10.1.6.200的PC对防火墙过街GUI管理。 出厂时eth0接口的默认IP为10.1.5.254。
一、WEB方式添加管理主 二、命令行方式添加管理主机 机
日志管理
日志服务器配置
由于防火墙本身的存储空间有限，最多只能提供10M的大小空间 （10M空间用完后可以选择停止存储日志或者覆盖日志），当需要保存更 多的日志信息时，需要将防火墙连接日志服务器，将日志传输给日志服务 器（如syslog服务器或者安管服务器）。
日志——日志配置——日志服务器
配置导入导出
接口设备相关介绍
接口引用关系 1、物理设备可以被所有其它设备调用； 2、桥接设备只能被别名设备调用； 3、冗余设备可以被桥设备、别名设备、拨号设备、VLAN 设备调用； 4、VLAN设备可以被别名设备和桥设备调用； 5、拨号设备和别名设备不能被任何设备调用；
路由&NAT方式接入
eth1
C:192.168.1.100
eth2
1.1.1.2
eth1：192.168.1.1 eth2：1.1.1.1
src:192.168.1.100 dst:192.10001 dst:0000.0000.0002
接口设备相关介绍
桥设备
逻辑接口，可以将多个透明模式的设备划到同一个区域内，除了透明模 式的物理设备可以被划到桥设备以外，透明的vlan设备也可以被划到桥设备 内。
P系列防火墙产品安装调试
启明星辰网关本部 2014.6
目录
1 2 3
4 5
防火墙基础功能操作 防火墙接入模式简介 防火墙路由功能配置简介 防火墙高可用性功能原理及配置简介 入侵防护，病毒防护，反垃圾邮件配置简介
第一章
防火墙基础功能操作
登陆管理 日志管理 配置导入导出 批处理的使用
登陆管理
第一步：获取命令行格式
最新操作对应的命令行在历史记 录的最底层显示
系统管理——维护——批处理——历史记录
批处理的使用
第二步：提交批处理命令并执行
A、获取相关命令行以后，可以对命令行进行增量 系统管理 —— 维护 ——批处理——命令批处理 修改（使用 excel 或者批处理工具） B、将新生成的命令行复制粘贴到命令批处理文本框 内，点提交； C、提交完成后，点击执行批处理
配置导出
在导出配臵前，对防火墙的配臵进行保存，即可以通过WEB页
面保存，也可以通过newconfig save保存，如图：
配置导入导出
配置导出
系统管理——维护——备份与恢复——导出全部配置
配置导入导出
配置导入
配臵导入功能在很多场景下可以为操作提供便捷，比如更换或
者升级设备后，可以很快的使新设备恢复配臵。
日志管理
日志查看
防火墙日志包括系统日志及功能模块日志。系统日志是防火墙 自身产生的信息，如管理员管理日志和设备状态日志（如接口 up/down）；功能模块日志是防火墙功能模块启用后产生的信息， 如HA日志、IPS日志、包过滤日志，这类日志需要防火墙对应的 功能模块启动日志记录功能。
日志——日志访问——日志查看
第二章
防火墙接入模式简介
接口设备相关介绍
路由&NAT方式接入
透明方式接入 冗余方式接入 Trunk方式接入
接口设备相关介绍
物理设备
注意： 以下介绍的设备都是代表接口 的含义，只是各安全厂商叫法 不同
对应防火墙外观上的接口，通过eth x来表示。物理设备可以提 供路由模式、透明模式、冗余模式、trunk模式
系统管理——管理员设置——管理主机
登陆管理
GUI管理
P系统防火墙使用HTTPS方式登陆，使用8889端 口。同时需要使用证书认证。
一、安装管理员证书 二、登陆防火墙 三、特殊情况应对
当遇到没有安装证书，但又需要通过 GUI 方式管理防火墙时，可以通过在后台 URL ：https://IPv4地址：8889 输入命令（命令可以咨询400或者专家支 持） user: administrator pass:bane@7766 然后直接通过8888接口管理防火墙， 但这种方式在重启设备后会失效 URL：https://IPv4地址：8888