（立项建议）吉通公司金桥网全网安全项目投资可行性立项报告（审核材料）

但是，来自网络安全威胁是实际存在，特别是在网络上运行关键业务时，网络安全是首先要解决问题。

选择适当技术和产品，制订灵活网络安全策略，在保证网络安全情况下，提供灵活网络服务通道。

采用适当安全体系设计和管理计划，能够有效降低网络安全对网络性能影响并降低管理费用。

平台安全管理因素平台安全可以采用多种技术来增强和执行。

但是，很多安全威胁来源于管理上松懈及对安全威胁认识。

安全威胁主要利用以下途径系统实现存在漏洞。

系统安全体系缺陷。

使用人员安全意识薄弱。

管理制度薄弱。

良好平台管理有助于增强系统安全性及时发现系统安全漏洞。

审查系统安全体系。

加强对使用人员安全知识教育。

建立完善系统管理制度。

全方位安全体系与其它安全体系如保安系统类似，应用系统安全体系应包含访问控制。

通过对特定网段服务建立访问控制体系，将绝大多数攻击阻止在到达攻击目标之前。

检查安全漏洞。

通过对安全漏洞周期检查，即使攻击可到达攻击目标，也可使绝大多数攻击无效。

攻击监控。

通过对特定网段服务建立攻击监控体系，可实时检测出绝大多数攻击，并采取相应行动如断开网络连接记录攻击过程跟踪攻击源等。

加密通讯。

主动加密通讯，可使攻击者不能了解修改敏感信息。

认证。

良好认证体系可防止攻击者假冒合法用户。

备份和恢复。

良好备份和恢复机制，可在攻击造成损失时，尽快地恢复数据和系统服务。

多层防御，攻击者在突破第道防线后，延缓或阻断其到达攻击目标。

隐藏内部信息，使攻击者不能了解系统内基本情况。

设立安全监控中心，为信息系统提供安全体系管理监控，渠护及紧急情况服务。

第二章用户网络现状分析金桥工程是我国九五信息化重点工程之。

金桥信息网是个以数据通信为基础计算机综合信息网，通过金桥工程建设，建立跨行业跨部门公用计算机信息交换平台，实现信息通信和资源共享，面向社会提供网络服务和信息服务。

经过几年努力，金桥网已经建设了具有定规模融合了各种数据通信技术卫星与地面通信线路互为备份网络，骨干网络带宽已达，国际出口达到了，网络节点超过个大中城市可以向各种用户提供卫星帧中继接入信息服务电话电子商务等服务。

年是金桥网建设大发展年，骨干网带宽及国际出口带宽将进步扩宽以满足用户需要网络节点将大规模增加以增加网络覆盖在已经建设网管中心维护中心基础上，还将建设计费与结算中心客服中心认证中心数据中心，使网络规模业务与服务水平都上到个新台阶。

随着用户数量权限管理，数据访问控制，数据安全与备份等。

数据安全管理对象主要是网络应用服务器中向用户提供信息服务各类信息，以及计划建设数据中心等。

卖方应能够提出建设数据中心安全解决方案建议。

防病毒构造全网统防病毒体系。

主要面向服务器，以及办公网段服务器和机等。

第三章安全体系实现技术基于以上分析，企业网络系统涉及到各方面网络安全问题，我们认为整个企业安全体系必须集成多种安全技术实现。

如虚拟网技术防火墙技术，入侵监控技术安全漏洞扫描技术加密技术认证和数字签名技术等。

虚拟网技术虚拟网技术主要基于近年发展局域网交换技术和以太网交换。

交换技术将传统基于广播局域网技术发展为面向连接技术。

因此，网管系统有能力限制局域网通讯范围而无需通过开销很大路由器。

由以上运行机制带来网络安全好处是显而易见信息只到达应该到达地点。

因此防止了大部分基于网络监听入侵手段。

通过虚拟网设置访问控制，使在虚拟网外网络节点不能直接访问虚拟网内节点。

但是，虚拟网技术也带来了新安全问题执行虚拟网交换设备越来越复杂，从而成为被攻击对象。

基于网络广播原理入侵监控技术在高速交换网络内需要特殊设置。

基于不能防止欺骗攻击。

以太网链路安全以太网从本质上基于广播机制，但应用了交换器和技术后，实际上转变为点到点通讯，除非设置了监听口，信息交换也不会存在监听和插入改变问题。

但是，采用基于划分将面临假冒地址攻击。

因此，划分最好基于交换机端口。

但这要求整个网络桌面使用交换端口或每个交换端口所在网段机器均属于相同。

网络层通讯可以跨越路由器，因此攻击可以从远方发起。

协议族各厂家实现不完善，因此，在网络层发现安全漏洞相对更多，如，攻击等。

防火墙枝术防火墙是近年发展起来重要安全技术，其主要作用是在网络入口点检查网络通讯，根据客户设定安全规则，在保护内部网络安全前提下，提供内外网络通讯。

使用益处保护脆弱服务通过过滤不安全服务，可以极大地提高网络安全和减少子网中主机风险。

例如，可以禁止服务通过，同时可以拒绝源路由和重定向封包。

控制对系统访问可以提供对系统访问控制。

如允许从外部访问些主机，同时禁止访问另外主机。

例如，允许外部访问特定和。

集中安全管理对企业内部网实现集中安全管理，在定义安全规则可以运用于整个内部网络系统，而无须在内部网每台机器上分别设立安全策略。

如在可以定义不同认证方法，而不需在每台机器上分别安装特定认证软件。

外部用户也只需要经和病毒软件升级文件能够在中心控制台上对多个目标系统监视病毒情况，并且可以按照管理员定义策略对目标系统进行病毒检查平台支持广泛，可以完全支持各种版本等常用操作系统平台独特启发式扫描功能够识别广泛病毒类型，包括宏病毒变型病毒等支持对服务器病毒防治，能够阻止恶意或小程序破坏支持对电子邮件附件病毒防治，包括中宏病毒支持对多种格式压缩文件病毒检测支持广泛病毒处理选项，如对染毒文件进行实时杀毒，移出，删除，重新命名等支持日志记录和强大日志分析功能，为安全管理人员提供病毒类型传播趋势等分析报告支持多种方式告警功能，如等等小组反病毒专家分别在六大洲进行病毒研究，提供全天候全球病毒研究，是反病毒领域最强研究和响应组织。

每发现种新病毒，该病毒特征文件按小时在上发布。

解决方案。

包括安全政策制定体系结构设计安全产品选择和集成，以及长期合作和技术支持服务。

工程总体目标是在不影响金桥网当前业务前提下，实现对金桥网全面安全管理。

将安全策略硬件及软件等方法结合起来，构成个统防御系统，有效阻止非法用户进入网络，减少网络安全风险。

定期进行漏洞扫描，审计跟踪，及时发现问题，解决问题。

通过入侵检测等方式实现实时安全监控，提供快速响应故障手段，同时具备很好安全取证措施。

使网络管理者能够很快重新组织被破坏了文件或应用。

使系统重新恢复到破坏前状态。

最大限度地减少损失。

套完整安全管理体系应能覆盖包括金桥网国际出口国内网间互联骨干节点级节点，以及即将建设二级节点在内所有节点设备链路和业务服务系统等，并且根据金桥网网络结构，管理模式，业务划分，确定安全等级，针对不同安全等级，实施相应安全策略。

金桥网安全总体需求根据金桥网特点，全面安全解决方案需要涉及到安全威胁平台安全需求网络基本安全需求业务系统安全需求服务平台安全需求平台安全与平台性能和功能关系采用适当安全体系设计和管理计划，能够有效降低网络安全对网络性能影响并降低管理费用。

平台安全管理因素全方位安全体系虚拟网技术以太网链路安全防火墙枝术使用益处设置要素基本分类建设原则选择防火墙要点入侵检测技术安全扫描技术认证和数宇签名技术技术企业对技术需求应用平台安全域名服务病毒防护应用安全电子邮件系统安全操作系统安全应用系统安全第四章安全产品解决方案安全体系采用产品分析防火墙产品安全监控产品安全扫描器病毒防护系统网络管理系统安全体系与网络以对通过防火墙信息进行过滤，包括等协议信息过滤，并且在些代理程序中可以实现细致到协议命令级控制。

防火墙本身可以实现抗攻击性，包括对防火墙本身和受保护网段攻击抵抗防火墙可以在应用层进行防火墙流量监控分析，并且记录详细日志，能够对日志进行统计分析将防病毒功能集成到了内部，在单点实现了内外交换数据安全性。

支持双机备份功能安全监控防御产品公司入侵检测产品可以对网络和系统进行实时监控，对来自内部和外部非法入侵行为及时响应告警和记录日志，并可采取定防御和反入侵措施。

可以在网络内部部署许多，通过统管理平台进行管理，可实现集中式安全监控管理可自动识别多种攻击类型，并具备自动学习功能。

通过监视来自网络攻击非法闯入异常进程，能够实时精确地判断入侵事件，包括应用层入侵事件。

支持按行为特征入侵检测由于是基于主机入侵检测产品，所以可以适应任何类型网段结构，包括高速网络和交换网络。

可以对所有关键服务器，如服务器等提供实时保护金桥网络中主要主机系统平台为和，均可以对这两种平台提供权方面保护通过监视可疑连接系统日志来自网络攻击非法侵入异常进程，系统能够立即做出响应，做出切断服务重启服务器进程发出报警记录入侵过程等动作。

可以将攻击信息通过方式传送给集中控制台进行分布式攻击信息上载，也可以通过等方式将攻击信息传送给管理员由于入侵方式多样性和快速发展变化，我们必须对入侵方式更新提供种有力跟踪和适应体系。

可以提供对监视引擎和检测特征定期更新服务，包括厂家直接服务和网络下载等方式可以全面监控网络上针对台关键主机活动，并进行安全性分析和防御。

包括对带有页面电子邮件附件带宏文档中些可以执行程序进行检测。

可以对加密传输数据进行安全防范，如通过连接传送数据等，只要对主机产生不符合定义策略操作，就会做出响应。

防病毒公司病毒防护系统包含了强大病毒检查和清除功能，实现了多级别全方位病毒防御体系和集中控制管理方式。

可以在网络中进行分级部署，在工作站各种网络服务器网关等不同级别进行病毒实时监控。

支持强大分发功能，能够在中心控制台上向多个目标系统分发杀毒软件，以及病毒特过滤源地址目地址源端口目端口。

包过滤路由器存在许多弱点包过滤规则难于设置并缺乏已有测试工具验证规则正确性手工测试除外。

些包过滤路由器不提供任何日志能力，直到闯入发生后，危险封包才可能检测出来。

实际运行中，经常会发生规则例外，即要求允许通常情况下禁止访问通过。

但是，规则例外使包过滤规则过于复杂