(此文档为word格式，下载后您可任意编辑修改！) OA办公系统网络安全设计方案西安交大捷普网络科技有限公司2017年9月目录1.项目背景 (3)2.需求分析 (3)3.网络安全改造方案 (4)3.1. 建设原则 (4)3.2. 部署方案 (5)3.3. 产品简介 (7)3.3.1. 捷普防火墙 (7)3.3.2. 捷普入侵检测系统 (8)3.3.3. 捷普网络信息安全审计系统 (13)3.4. 安全管理体系建设 (14)3.4.1. 从管理体制上保证网络安全策略切实可行 (14)3.4.2. 将安全管理制度化、程序化 (15)3.4.3. 从管理成员上保证网络安全策略切实可行 (16)3.5. 完善的安全服务支撑 (16)3.5.1. 借用安全评估服务做整体性安全规划 (16)3.5.2. 采用安全加固服务来增强信息系统的自身安全性 (17)3.5.3. 采用应急响应服务及时有效的处理重大安全事件 (18)4.设备清单 (20)1.项目背景随着业务应用系统的不断扩展，特别是基于internet的应用日益丰富，信息安全形式趋于复杂化，威胁形式更为丰富，安全事故带来的危害及影响也越来越大。

目前公司已有的防护体系在防护结构和防护手段方面需要针对新情况进行重新评估和设计，以满足公司内网办公系统网络安全设计方案信息化发展的要求，为公司内网办公系统网络安全设计方案的业务应用提供全面的安全保障。

2.需求分析通过对公司内网办公系统网络安全设计方案网络系统进行实地检查和分析后，目前存在的问题如下：1）Server1托管着辖区内所有单位的门户网站，Server2是教育资源服务器，两台服务器都需要是对外进行数据交互，从现有网络拓扑可以看出，采用目前这种部署方式使防火墙失去作用，整个网络拓扑存在很大安全隐患，需要对网络拓扑进行优化；2）网络的出口采用一台神州数码DCFW1800S-L防火墙，该设备无VPN功能，无法提供远程移动办公功能，且该设备老化严重，在性能及可靠性等方面均无法满足公司现有网络应用，急需要更换；3）没有上网信息审计措施，不能满足国家对于政府机关接入互联网的要求；4）由于黑客、木马、等网络入侵越来越隐蔽，破坏性越来越大，防火墙承担着地址转换（NAT）、网络访问控制和网络边界隔离防护等工作，再加上对网络入侵行为的鉴别需要消耗大量的性能，这将会使防火墙成为网络瓶颈。

同时防火墙对了来自内网的攻击无能无力，因此需要部署专业的网络入侵检测系统；5）网络核心采用一台Dlink DGS1024D交换机，该交换机为非智能型交换机，不支持Vlan划分、端口镜像及网络管理功能，随着网络应用的不断扩展，该型交换机已经不能满足实际使用的需要；6）网内没有部署专业的网络版杀毒软件，无法做到统一杀毒、统一升级、统一管理，容易形成管理死角，一旦发生毒害，无法准确定位及查杀。

现有网络拓扑如下：3.网络安全改造方案3.1. 建设原则网络安全建设是一个系统工程，公司内网办公系统网络安全设计方案安全体系建设应按照“统一规划、统筹安排、统一标准、相互配套”的原则进行，采用先进的“平台化”建设思想，避免重复投入、重复建设，充分考虑整体和局部的效益，坚持近期目标与远期目标相结合。

在进行网络系统安全方案设计、规划时，应遵循以下原则：●完整性：网络安全建设必须保证整个防御体系的完整性。

一个较好的安全措施往往是多种方法适当综合的应用结果。

●经济性：根据保护对象的价值、威胁以及存在的风险，制定保护策略，使得系统的安全和投资达到均衡，避免低价值对象采用高成本的保护，反之亦然。

●动态性：随着网络脆弱性的改变和威胁攻击技术的发展，使网络安全变成了一个动态的过程，静止不变的产品根本无法适应网络安全的需要。

所选用的安全产品必须及时地、不断地改进和完善，及时进行技术和设备的升级换代，只有这样才能保证系统的安全性。

●专业性：攻击技术和防御技术是网络安全的一对矛盾体，两种技术从不同角度不断地对系统的安全提出了挑战，只有掌握了这两种技术才能对系统的安全有全面的认识，才能提供有效的安全技术、产品、服务，这就需要从事安全的公司拥有专业技术人才，并能长期的进行技术研究、积累，从而全面、系统、深入的为用户提供服务。

●可管理性：安全管理定义为在一个包含的服务、应用程序和网络架构的IT环境中，提供高可靠性、私有性和安全。

集中的安全管理包括了技术实现和管理两方面。

●标准性：遵守国家标准、行业标准以及国际相关的安全标准，是构建系统安全的保障和基础。

●可控性：系统安全的任何一个环节都应有很好的可控性，他可以有效的保证系统安全在可以控制的范围，而这一点也是安全的核心。

这就要求对安全产品本身的安全性和产品的可客户化。

●易用性：安全措施要由人来完成，如果措施过于复杂，对人的要求过高，一般人员难以胜任，有可能降低系统的安全性。

对于公司内网办公系统网络安全设计方案网络安全体系的建立，我们建议采取以上的原则，先对整个网络进行整体的安全规划，然后根据实际情况建立一个从防护--检测--响应的安全防护体系，提高整个网络的安全性，保证应用系统的安全性。

3.2. 部署方案综合考虑公司内网办公系统网络安全设计方案网络应用现状及需求，结合我公司的项目经验，本次方案部署如下：1）优化网络拓扑，将网络划分为外网区、DMZ区、服务器区和内网区，外网区就是互联网；DMZ区为公共服务区，Server1和Server2放入该区；服务器区存放内网服务器；内网区是内网PC。

各区之间的数据交互由ACL（访问控制列表）进行控制；2）6*10/100/1000M,支持基于接口的安全级别自定义，可满足日后扩展。

特有的流量控制、应用软件（P2P、IM、网络视频、网友、炒股）识别控制、URL分类库，可在线和离线升级；集成有VPN功能，支持远程移动办公；3）部署捷普网络信息安全审计系统，该设备具有审计网络风险行为、防止敏感信息外泄、监控网络异常操作、监视异常流量和完善的报警报表功能，完全满足国家对于政府机关接入互联网的要求；4）部署捷普网络入侵检测系统，该系统综合使用会话状态检测、应用层协议完全解析、误用检测、异常检测、内容恢复、网络审计等入侵检测与分析技术，综合虚拟引擎功能，可对包括各种网络数据进行全面监视和分析；5）将Dlink DGS1024D更换为中兴S3928，该交换机为智能三层交换机，有24个FE+4个GE接口，支持Vlan划分（最大4K个）、支持ACL、支持端口镜像及网络管理功能；6）部署瑞星网络版杀毒软件，可以做到全网统一杀毒、统一升级、统一管理。

网络部署拓扑如下图所示：网络部署拓扑3.3. 产品简介3.3.1. 捷普防火墙功能特点：⏹系统安全，全面防护√遵循安全关联协议，保障协同防护；√与IDS、信息审计等其他安全产品联动，构建立体安全保障体系；√支持多种管理方式，可完成防火墙的策略集中管理，利于企业级用户的部署和管理。

⏹全面UTM，功能全面√精确识别、控制应用层协议和行为，包括P2P下载，P2P视频，IM控制，在线游戏以及炒股软件等；√WEB安全包含URL过滤和WEB防攻击功能，全面保证WEB安全；√IPS和防病毒有效阻止木马、蠕虫等攻击，FTP、SMTP、POP3、HTTP协议全支持；√邮件过滤使用户远离垃圾邮件困扰，实时黑名单和关键字过滤等多种技术保障；√各个特征库实时云升级，保证小于一周的升级时长；⏹多重冗余，安全可靠√防火墙多重管理，增强设备可靠性；√支持双ISP出口热备，保证链路备份；√多端口集合，实现零成本宽带扩展；√支持会话同步、配置同步的双机热备、负载均衡，冗余而不损失安全性；⏹扩展功能√支持网络接口扩展，主流千兆最大可扩展至32个千兆网络接口，百兆平台最大可扩展到10个网络接口，充分满足用户需求；√支持IPSec、动态路由、流量控制、上网行为管理并支持绿色上网升级服务。

3.3.2. 捷普入侵检测系统捷普入侵检测系统是一种动态网络信息安全技术，它能够发现入侵者实时攻击行为，并对其进行响应。

从网络信息安全防护上讲，防火墙技术给出了一个静态防护的概念，而入侵检测技术具有动态防御的意义。

入侵检测具有监视分析用户和系统的行为、审计系统配置和漏洞、识别攻击行为、对异常行为进行统计，使系统管理员可以较有效地监视、审计、评估自己的系统。

在入侵检测系统配置中，我们对网络系统进行实时监控与阻断响应，它集成了在线网络入侵监测、入侵即时处理、离线入侵分析、入侵侦测查询、报告生成等多项功能的分布式计算机安全系统，不仅能即时监控网络资源运行状况，为网络管理员及时提供网络入侵预警和防范解决方案，还使得对于检查黑客入侵，变得有迹可寻，为用户采取进一步行动提供了强有力的技术支持，大大加强了对恶意黑客的威慑力量。

捷普入侵检测系统特性：●全面的入侵检测入侵检测能力取决于两个方面的技术：攻击特征分析技术和入侵检测支撑技术。

在入侵检测的支撑技术上，技术优势体现在高速捕包、深入协议分析技术、高速树型匹配技术、防躲避处理技术以及事件风暴处理技术等多个方面，有效地保证了入侵检测的准确性、有效性和高性能。

●以入侵检测为核心的动态安全体系随着网络脆弱性的改变和威胁攻击技术的发展，使网络信息安全变成了一个动态的过程，静止不变的产品根本无法适应网络信息安全的需要。

同时由于单一的安全产品对安全问题的发现处理控制等能力各有优劣，因此不同安全产品之间的安全互补，可以提高系统对安全事件响应的准确性和全面性，使防护体系由静态到动态，由平面到立体，不仅增强了入侵检测系统的响应能力，降低了入侵检测的误报率，充分发挥了入侵检测的作用，同时提升了防火墙的机动性和实时反应能力。

因此，以入侵检测系统为核心的动态防御体系，可以实现入侵检测和防火墙、入侵检测和漏洞扫描等防护系统的联动。

●入侵检测系统可以进行针对TCP连接的阻断。

但是，对于网络上的错综复杂的攻击事件，网络入侵检测系统的防护效果还是不够全面。

防火墙作为网络系统的专用的安全防护工具，其防护能力与入侵检测产品的响应能力可以相互补充。

所以，使用入侵检测系统与防火墙联动方式，来实现整体防护。

当入侵检测检测到此攻击事件时，会实时的传送一个防护策略给防火墙，由防火墙来执行此策略，实现入侵阻断。

●入侵检测系统与漏洞扫描系统的联动入侵检测在发现攻击行为的同时，发出指令通知漏洞扫描系统，对被攻击目标机或攻击源进行扫描，来确认攻击源的存在和被攻击机系统存在的漏洞，以作到主动防御。

同时，通过获得漏洞扫描系统的扫描结果，可动态修改入侵检测系统的检测策略，使入侵检测系统的事件报警更加准确，提高入侵检测系统的运行效率。

●基于入侵检测系统的应急响应通过入侵检测系统的强大功能为应急响应提供有力的技术支撑和充足的信息支持，实施应急响应来解决实际的网络信息安全问题。