吉通公司金桥网全网安全项目立项申报申请报告

包括安全政策的制定体系结构的设计安全产品的选择和集成，以及长期的合作和技术支持服务。

工程总体目标是在不影响金桥网当前业务的前提下，实现对金桥网的全面安全管理。

将安全策略硬件及软件等方法结合起来，构成个统的防御系统，有效阻止非法用户进入网络，减少网络的安全风险。

定期进行漏洞扫描，审计跟踪，及时发现问题，解决问题。

通过入侵检测等方式实现实时安全监控，提供快速响应故障的手段，同时具备很好的安全取证措施。

使网络管理者能够很快重新组织被破坏了的文件或应用。

使系统重新恢复到破坏前的状态。

最大限度地减少损失。

套完整的安全管理体系应能覆盖包括金桥网国际出口国内网间互联骨干节点级节点，以及即将建设的二级节点在内的所有节点设备链路和业务服务系统等，并且根据金桥网的网络结构，管理模式，业务划分，确定安全等级，针对不同的安全等级，实施相应的安全策略。

金桥网安全总体需求根据金桥网的特点，全面的安全解决方案需要涉及到网络安全系统安全数据库系统安全数据安全以及防病毒等多个方面。

每个方面都需要结合相关的安全产品，相应的安全政策，实施包括预防检测反映在内的全过程。

安全政策包括安全管理制度的制定和安全策略的实施。

根据管理原则，管理对象，卖方应协助买方修改制定切实可行的安全管理制度或规范，同时结合安全策略的实施，建立完善的安全管理体系。

网络安全针对网络设备和链路的保护。

由于金桥网网络结构的复杂性，不可能对全网做到集中式的安全管理，可采取分布式，针对各地分公司节点的不同网段如网管网段办公网段用户接入网段或根据提供的不同业务类别，实施不同级别的安全管理措施。

系统安全针对主机系统的安全，主要以和为主针对业务系统的安全，包括网管系统计费系统和网络应用服务器系统例如等。

数据库系统安全目前金桥网上数据库以为主，数据库的安全管理涉及到用户的权限管理，数据的访问控制，数据的安全与备份等。

数据安全管理对象主要是网络应用服务器中向用户提供信息服务的各类信息，以及计划建设的数据中心等。

卖方应能够提出建设数据中心的安全解决方案建议。

防病毒构造全网统的防病毒体系。

主要面向服务器，以及办公网段的服务器和机等。

第三章安全体系的实现技术基于以上的分析，企业网络系统涉及到各方面的网络安全问题，我们认为整个企业的安全体系必须集成多种安全技术实现。

如虚拟网技术防火墙技术，入侵监控技术安全漏洞扫描技术加密技术认证和数字签名技术等。

虚拟网技术虚拟网技术主要基于近年发展的局域网交换技术和以太网交换。

交换技术将传统的基于广播的局域网技术发展为面向连接的技术。

因此，网管系统有能力限制局域网通讯的范围而无需通过开销很大的路由器。

由以上运行机制带来的网络安全的好处是显而易见的信息只到达应该到达的地点。

因此防止了大部分基于网络监听的入侵手段。

通过虚拟网设置的访问控制，使在虚拟网外的网络节点不能直接访问虚拟网内节点。

但是，虚拟网技术也带来了新的安全问题执行虚拟网交换的设备越来越复杂，从而成为被攻击的对象。

基于网络广播原理的入侵监控技术在高速交换网络内需要特殊的设置。

基于的不能防止欺骗攻击。

以太网的链路安全以太网从本质上基于广播机制，但应用了交换器和技术后，实际上转变为点到点通讯，除非设置了监听口，信息交换也不会存在监听和插入改变问题。

但是，采用基于的划分将面临假冒地址的攻击。

因此，的划分最好基于交换机端口。

但这要求整个网络桌面使用交换端口或每个交换端口所在的网段机器均属于相同的。

网络层通讯可以跨越路由器，因此攻击可以从远方发起。

协议族各厂家实现的不完善，因此，在网络层发现的安全漏洞相对更多，如，攻击等。

防火墙枝术防火墙是近年发展起来的重要安全技术，其主要作用是在网络入口点检查网络通讯，根据客户设定的安全规则，在保护内部网络安全的前提下，提供内外网络通讯。

使用的益处保护脆弱的服务通过过滤不安全的服务，可以极大地提高网络安全和减少子网中主机的风险。

例如，可以禁止服务通过，同时可以拒绝源路由和重定向封包。

控制对系统的访问可以提供对系统的访问控制。

如允许从外部访问些主机，同时禁止访问另外的主机。

例如，允许外部访问特定的和。

集中的安全管理对络信息，分析及管理整个网络。

当网络系统出现故障后，及时发现并解决问题。

分析判断网络运行是否正常且高速。

通过以上的集成安全策略的实施，将达到确保企业各种应用技术和来源于内部和外部和各种攻击的安全性。

安全体系根据企业网络的网络配置情况，将在以下方面与网络系统进行集成网络出口将采用带冗余功能的防火墙产品。

将配备在重要主机上，对主机安全性进行实时监测记录。

将定期扫描企业网络的整体安全性。

客户将采用构建。

防病毒系统覆盖整个网络系统。

产品配备在关键网段收集网络运行信息。

认证服务器是提供网络关键服务的基本技术保证。

安全体系中的其它问题企业网络系统的安全性，并不能通过以上所描述产品的简单组合实现，事实上再好的安全产品，如果没有良好的安全策略和管理手段做后盾，等于在蚊帐上安装了铁门，是无法确保网络安全的。

由于篇幅的限制，以及出于对用户需求了解的粗糙性，我们以上提供的解决方案只能是整个网络安全的个大体轮廓，至少还有以下的主要问题需要进行描述网络安全策略的制定网络安全管理认证技术的讨论产品选型的分析比较我们希望本文起到抛砖引玉的作用，对金桥网的安全系统建设提供个具有参考价值的模型，并希望进步和用户进行技术交流，以便能够提供更为翔实的方案。

由于金桥网的三级网络架构，具有不同的网络规模和具有差别的应用和管理权限，安全系统的配置也需要具体进行用户化，大体上来说安全体系将推荐和以下系统进行集成在各地网络接口处包括国内国际接口安装防火墙。

安装在各地主要的服务器。

建议分布式放置。

对主干上的服务器进行安全扫描。

的防病毒产品将配备在各地的文件服务器电子邮件服务器代理服务器。

分布式产品配备在各地关键网段收集网络运行信息，并上传到控制中心，进行统监控。

技术支持服务集成网络安全系统的正常有效运行需要大量的技术支持保证。

由于安全问题层出不穷，因此，购买了安全产品，还必须获得供应商及集成商能够提供的持久的技术支持。

公司已经在中国开设了个办事处，并将继续在各地陆续开设办事机构。

公司的技术人员能够在全球范围内提供的网络安全紧急服务。

将在近期联合设立网络安全技术维护和培训中心，以加强对最终用户系统集成商及销售商的技术支持和培训。

在以下方面给予技术支持培训，包含网络安全及管理理论及产品。

设计，帮助客户设计网络安全系统。

故障排除，的紧急服务帮助客户排除故障及入侵跟踪服务。

升级，每个月对网络安全产品实行升级。

咨询，提供基于电话传真电子邮件的咨询。

第五章安全产品在金桥网络安全结构中的功能实现防火墙在金桥网络安全项目中，我们推荐采用公司的防火墙。

该防火墙能够很好地满足金桥网络的安全需求，原因如下防火墙是种即插即用型的硬件防火墙，安装简单，配置方便。

只需要在需要进行安全隔离的网段之间接入该设备即可。

特注防火墙是种代理服务型防火墙，安装后会将内外网分在成两个不同的网段，不能实现完全透明接入和透明连接。

因为，从网络的安全性考虑，所有通过防火墙的信息都应由防火墙转发。

如果，防火墙作透明连接，当防火墙不工作或不起作用时，外部访问仍可以穿过防火墙进入网络。

这样来，防火墙就失去了使用价值。

可以支持多块网卡，可以根据安全级别不同划分出多个进行资源的管理。

可以方便地进行本地和远程管理，并且支持命令行和方式的管理与配置防火墙具有个统的管理平台，可以对分布在多个区域内的防火墙进行统的策略设置和状态管理内置功能，可以保证防火墙上的规则的致性。

防火墙内部的代理全部对用户透明，即用户不需要重新对他们的网络应用程序进行配置就可以透过防火墙进行数据访问。

该防火墙支持全面的地址转换功能，包括静态地址转换动态地址转换非法地址转换以及端口扩展等功能。

该防火墙内置了几十种代理，并且针对每种代理都可以进行访问控制。

用户可以在防火墙上建立用户，也可以结合等用户数据库来针对用户进行用户级权限控制防火墙通过分析数据包和网卡的匹配关系来实现防止地址欺骗的功能尽管是种代理防火墙，但是它支持包过滤功能，能够支持层以上的所有数据包的过滤可以对通过防火墙的信息进行过滤，包括等协议的信息过滤，并且在些代理程序中可以实现细致到协议命令级的控制。

防火墙本身可以实现抗攻击性，包括对防火墙本身和受保护网段的攻击抵抗防火墙可以在应用层进行防火墙流量的监控分析，并且记录详细的日志，能够对日志进行统计分析将防病毒功能集成到了内部，在单点实现了内外交换数据的安全性。

支持双机备份功能安全监控防御产品公司的入侵检测产品可以对网络和系统进行实时的监控，对来自内部和外部的非法入侵行为及时响应告警和记录日志，并可采取定的防御和反入侵措施。

可以在网络内部部署许多，通过统的管理平台进行管理，可实现集中式的安全监控管理可自动识别多种攻击类型，并具备自动学习功能。

通过监视来自网络的攻击非法的闯入异常进程，能够实时精确地判断入侵事件，包括应用层的入侵事件。

支持按行为特征的入侵检测由于是基于主机的入侵检测产品，所以可以适应任何类型的网段结构，包括高速网络和交换网络。

可以对所有的关键服务器，如服务器等提供实时保护金桥网络中主要的主机系统平台为和，均可以对这两种平台提供权方面的保护通过监视可疑的连接系统日志来自网络的攻击非法的侵入异常进程，系统能够立即做出响应，做出切断服务重启服务器进程发出报警记录入侵过程等动作。

可以将攻击信息通过方式传送给集中的控制台进行分布式的攻击信息上载，也可以通过等方式将攻击信息传送给管理员由于入侵方式的多样性和快速的发展变化，我们必须对入侵方式的更新提供种有力的跟踪和适应体系。

的可以提供对监视引擎和检测特征的定期更新服务，包括厂家的直接服务和网络下载等方式可以全面监控网络上针对台关键主机的活动，并进行安全性分析和防御。

包括对带有的页面电子邮件的附件带宏的文档中的些可以执行的程序进行检测。

可以对加密传输的数据进行安全防范，如通过连接传送的数据等，只要对主机产生不符合定义策略的操作，就会做出响应。

防病毒公司的病毒防护系统包含了强