智慧园区-网络安全设备部署方案2023

智慧园区
网络安全设备部署方案
XXX科技有限公司
2023年XX月XX日
根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的网段或VLAN。

保存有重要业务系统及数据的重要网段不能直接与外部系统连接，需要和其他网段隔离，单独划分区域。

根据XXX综合保税区整体信息系统实际情况，整体网络架构划分为互联网接入区、5G 接入网络区、核心交换区、服务器区（云平台和物理集群区）、终端接入区、园区接入区、安全管理区。

电子政务网互联区边界防护新增安全技术措施如下：
在电子政务网互联区部署一台专线防火墙，通过防火墙安全域划分提供基础安全隔离，把安全信任网络和非安全网络进行隔离；并提供从数据链路层、网络层到传输层的安全，包括ARP欺骗、扫描攻击、多种畸形报文攻击、端口过滤、抗IP分片攻击和防病毒等基础防御，同时应用NAT隐藏数据中心网络拓扑结构。

在电子政务网政务外网区部署一台网闸，通过网闸将政务外网区与XX园区做物理隔离，确保数据交换安全合规。

外联区、安全管理区、物联网区、办公接入区边界防护新增安全技术措施如下：
在外联区部署两台园区接入防火墙，通过策略放通相关的合规流量；在物联网区、办公接入区各部署两台防火墙，将物联网区与核心交换区、办公接入区与核心交换区做逻辑隔离，通过策略放通相关的合规流量；在安全管理区与核心交换区之间部署两台防火墙，通过策略放通相关的合规流量。

以上安全区域边界通过防火墙安全域划分提供基础安全隔离，把安全信任网络和非安全网络进行隔离；并提供从数据链路层、网络层到传输层的安全，包括ARP欺骗、扫描攻击、多种畸形报文攻击、端口过滤、抗IP分片攻击和防病毒等基础防御，同时应用NAT 隐藏数据中心网络拓扑结构。

在外联区部署一台网闸，通过网闸将XX园区与接入区做物理隔离，确保数据交换安全合规。

数据中心区边界防护新增安全技术措施如下：
在数据中心区边界部署两台防火墙，将数据中心区与核心交换区做逻辑隔离，通过策略放通相关的合规流量。

在数据中心区边界部署两台web应用防火墙，可以有效地缓解网站及Web应用系统面临如0WASP TOP 10中定义的常见威胁；可以快速地应对恶意攻击者对Web业务带来的冲击，让网站免遭Web攻击侵扰并对网站代码进行合理加固。

互联网出口区边界防护新增安全技术措施如下：
在互联网出口区部署两台防火墙和两台上网行为管理，将互联网与XX园区做逻辑隔离，通过策略放通相关的合规流量，对内网业务系统形成有效的安全防护，以满足外网对业务系统的访问；上网行为管理主要是针对内网终端对外访问的行为有效的控制，将不合规连接外网的异常行为进行阻断，以提升内网终端设备的安全性。

物联网区、园区接入区网络安全新增安全技术措施如下：
在核心交换机处部署一台流量探针和一台物联网终端准入设备，通过流量探针检测、筛查出网络流量当中是否存在威胁攻击的行为，将检测数据推送到态势感知平台做综合的分析研判，从而发现内网整体的攻击态势；终端准入设备则是通过IP、MAC绑定、打标签等方式判断前端接入节点是否能安全合规的接入到内网当中，从而规避一些非法终端接入内网，对内网造成网络威胁。

安全管理区新增安全技术措施如下：
在安全管理区部署一套态势感知平台结合智能检测算法可进行多维度海量数据关联分析，主动实时的发现各类安全威胁事件，还原出整个APT攻击链攻击行为。

同时可采集和存储多类网络信息数据，帮助用户在发现威胁后调查取证以及处置问责。

以发现威胁、阻断威胁、取证、溯源、响应、处置，完成全流程威胁事件闭环。

部署一套运维审计系统，通过集中管理、监控与审计所有运维人员的操作行为，有效降低网络设备、服务器、数据库、业务系统等资源的内部运维风险，完善IT管理体系，同时满足相关法规、标准要求。

部署一套漏洞扫描系统，智能主机服务发现，智能化爬虫和SQL注入状态检测等技术，并以智能便利规则库为基础，深度主机服务探测、Web智能化爬虫、SQL注入状态检测、主机配置检查以及弱口令检查等方式相结合的技术，实现Web 漏洞扫描、系统漏洞扫描、数据库漏洞扫描、基线安全检查与口令猜解五大扫描
能力，深度掌握漏洞风险评估。

部署一套攻击预警平台，汇集流量传感器、文件威胁鉴定器、邮件告警、等多种告警数据，基于多维度海量互联网数据，进行自动化挖掘与云端关联分析，提前洞悉各种安全威胁，并向客户推送定制的专属威胁情报；同时结合部署在客户本地的软、硬件设备，能够对未知威胁的恶意行为实现早期的快速发现，并可对受害目标及攻击源头进行精准定位，最终达到对入侵途径及攻击者背景的研判与溯源；支持运用SOAR 编排技术，实现对确定的威胁进行多种类型的响应处置，真正实现监测预警、威胁检测、溯源分析和响应处置的攻击预警平台。

部署一套主机安全系统，集成高性能病毒查杀、漏洞防护、主动防御引擎，深度融合威胁情报、大数据分析和安全可视化等创新技术，通过防病毒、漏洞管理、运维管控、基线合规检查、网络准入、终端检测与响应（EDR）、终端数据防泄漏（EDLP）等安全功能，为业务终端提供体系化安全防护能力。

部署一套日志审计系统，作为一个统一日志收集与分析平台，能够实时不间断地将企业和组织中来自不同厂商的安全设备、网络设备、主机、操作系统、数据库系统、用户业务系统的日志、警报等信息汇集到审计中心，实现全网综合安全审计。

系统能够实时地对采集到的不同类型的日志和事件信息进行标准化（归一化）和实时关联分析，通过统一的仪表板进行实时动态、可视化的呈现，协助安全管理人员迅速准确地识别安全事故，消除了管理员在多个控制台之间来回切换的烦恼，同时提高工作效率，降低工作强度。

部署一套VPN系统，可以保障企业移动信息化安全，在满足客户的身份认证、传输加密、访问授权、日志审计等多种基础安全需求基础上，更加保护了移动终端设备的接入安全、移动应用自身安全、移动应用数据安全。

部署一套数据库审计系统，对审计和事务日志进行审查，从而跟踪各种对数据库操作的行为，主要记录对数据库的操作、对数据库的改变、执行该项操作的人以及其他的属性。

这些数据被记录到数据库审计与防护系统独立的平台中，并且具备较高的准确性和完整性。

针对数据库活动或状态进行取证检查时，审计可以准确的反馈数据库的各种操作历史，对我们分析数据库的各类正常、异常、违规操作提供证据。