某石油公司广域网网络安全方案2006年08月目 录第一章石油公司网络需求分析 (1)1.1 石油公司广域网安全现状 (1)1.2 安全风险分析 (2)1.2.1 网络层安全分析 (2)1.2.2 系统层安全分析 (3)1.2.3 应用层安全分析 (4)1.2.4 接入层安全分析 (4)1.2.5 病毒风险分析 (5)1.2.6 安全策略及安全管理分析 (6)第二章安全解决方案 (7)2.1 石油公司总部 (8)2.1.1 冗余的安全网关 (9)2.1.2 建立独立的DMZ安全域 (9)2.1.3 对DMZ实施严格的访问控制 (10)2.1.4 对应用服务器实施IPS防护 (10)2.1.5 实施病毒防御措施 (10)2.1.6 实施垃圾邮件过滤 (11)2.1.7 对网页分级控制 (11)2.1.8 对网络带宽的分配使用 (11)2.1.9 建立可靠的VPN网络 (12)2.2 区域网络中心 (12)2.2.1 严格的访问控制 (13)2.2.2 建立到总部的VPN网络 (13)第三章WatchGuard产品技术特点 (14)3.1 WatchGuard公司 (14)3.2 “预防御”保护 (15)3.2.1 什么是“预防御” (15)3.2.2 Firebox® X架构中集成了真正的预防御保护 (15)3.2.3 漏洞空窗期 (16)3.2.4 强大的保护层协同工作 (16)3.3 实时阻止恶意攻击 (17)3.3.1 阻挡已知攻击源 (17)3.3.2 自动更新特征 (18)3.3.3 阻止即时消息及点对点使用 (18)3.4 WatchGuard® Firebox®系列UTM产品 (18)3.4.1 Firebox产品技术特点： (18)3.4.2 Firebox® X Peak™ 8500e技术规格 (21)3.4.3 Firebox® X Peak™ 5500e技术规格 (21)第一章石油公司网络需求分析1.1 石油公司广域网安全现状目前石油公司广域网呈星形分布，以北京为中心，直接连接约70个地区分公司。
各地区分公司与总部的连接是带宽为2Mbps或N×2Mbps的专用链路。
专用电路租用自电信业务运营商，并且由其提供链路的服务质量保证。
广域网IP地址采用保留地址10.x.x.x。
地址段由总部统一分配，各地区公司内部的地址由各自分配。
石油公司广域网主要包括主干网和地区网两大部分，通过专线远程信道将石油总部局域网与各二级局域网（或园区网）连接起来，目前并没有统一的广域网安全系统。
另外，石油公司广域网还有多处Internet接入口，任何一处的网络安全漏洞都有可能导致整个石油公司网络系统被攻破。
因此必须建立一个总体规划的，规范实施的广域网安全系统。
石油公司本次网络安全建设项目涉及十个区域网络中心，分别是大庆区、大连区、兰州区、新疆区、西南区、吉林区、辽河区、西安区、东南区、北京区。
按照区域网络中心的分布，建立石油公司各区域中心Internet接入链路，整合企业Internet服务，统一安全防护策略，提高Internet接入利用率，降低石油公司Internet接入的总投入成本。
每个区域网络中心的Internet接入主要职责：1. 石油公司总部Internet接入服务；区域网络中心Internet接入服务；2. 石油公司各区域网络中心与Internet接入的安全管理；防止病毒、不良网页等信息流进入企业内部网络；3. 对石油公司外部移动用户提供对石油公司内部网络的安全接入服务；1.2 安全风险分析从石油公司广域网的实际情况来看，我们认为应该从以下几个方面进行全面的分析：y网络层y系统层y应用层y病毒风险y策略和管理层下面将分别进行详细的阐述。
1.2.1 网络层安全分析网络设备主要包括石油公司广域网各节点上的路由器、交换机等设备，如：路由器、交换机。
网络层不仅为石油公司广域网提供连接通路和网络数据交换的连接，而且是网络入侵者进攻信息系统的渠道和通路。
由于大型网络系统内运行的TCP/IP协议并非专为安全通讯而设计，所以网络系统存在大量安全隐患和威胁。
整个网络就会受到来自网络外部和内部的双重威胁。
尤其在外网Internet中存在着大量的黑客攻击，他们常常针对web服务器和邮件服务器作为突破口，进行网络攻击和渗透。
常见得一些手法如下：IP欺骗、重放或重演、拒绝服务攻击（SYN FLOOD，PING FLOOD等）、分布式拒绝服务攻击、篡改、堆栈溢出等。
黑客可以容易的在石油公司广域网出口进出，对系统进行攻击或非法访问。
而在石油公司广域网内部，基本上还没有严格的防范措施，其中的安全隐患不言而喻。
如果加上安全管理上的不够完善等因素，或者在已有的服务器与单机中存在着后门程序（木马程序）话，攻击者就可以很容易地取得网络管理员权限，从而进一步控制计算机系统，网络中大量的数据就会被窃取和破坏。
网络中只要一个地方出现了安全问题，那么整个网络都是不安全的。
因此，在石油公司广域网出口处应配置具有统一安全威胁管理（UTM）功能的安全网关来加强访问控制，杜绝可能存在的安全隐患，来保证网络安全可靠的正常运行。
1.2.2 系统层安全分析在任何的网络结构中都运行着不同的操作系统，如：Windows NT/2000/2003 Server、 HP-UNIX、Solaris、IBM AIX、SCO-Unix、Linux等等，这些系统都或多或少地存在着各种各样的漏洞。
据IDC统计1000个以上的商用操作系统存在安全漏洞，如果这些操作系统没有进行系统的加固和正确的安全配置，而只是按照原来系统的默认安装，这样的主机系统是极其不安全的。
一名黑客可以通过Unicode、缓存溢出、造成死机等方式进行破坏，甚至取得主机管理员的权限。
此外，在网络中，一些黑客利用系统管理员的疏忽用缺省用户的权限和密码口令就可以轻松地进入系统修改权限，从而控制主机。
石油公司广域网中存在一定量的服务器，如：数据库服务器、文件服务器等等，而这些服务器都担负着重要的服务功能，如果这些服务器（尤其是有大量的数据处理的服务器），一旦瘫痪或者因被人植入后门造成远程控制窃取数据，后果不堪设想。
为了保证业务数据的正常流通和安全，需对这些重要的服务器进行全方位的防护。
UTM的IPS功能可以针对已知的系统漏洞进行有效地防护。
1.2.3 应用层安全分析石油公司广域网与Internet相连，进行着包括WEB、FTP、E-mail、DNS 等各种Internet应用。
应用系统的安全性主要考虑应用系统能与系统层和网络层的安全服务无缝连接。
在应用层的安全问题，黑客往往抓住一些应用服务的缺陷和弱点来对其进行攻击的，比如针对错误的Web目录结构、CGI脚本缺陷、Web 服务器应用程序缺陷、为索引的Web页、有缺陷的浏览器甚至是利用Oracle、SAP、 Peoplesoft 缺省帐户。
应用层的安全威胁还包括对各种不良网络内容的访问，比如内网用户访问非法（如发布反动言论、宣扬法轮功等）或不良（色情、迷信）网站等。
有的Internet 站点上还包含有害的Java Applet或ActiveX小程序，如果不慎访问将有可能带入病毒和木马程序，甚至有的网页可以通过一段简单的代码直接破坏访问者计算机的数据和系统，对网络安全和效率都将造成极大破坏。
1.2.4 接入层安全分析石油公司的部分业务系统采用了BS架构方式，目的是提供方便的访问模式，便于集中管理与数据收集。
但是由于企业没有采取安全的防护措施，仅仅依靠用户名方式控制登录用户的访问。
而公众网（Internet）一般没有网络安全措施，采用明文方式传输数据，黑客可以监听这些通过明文传输的用户名与口令；可以利用字典攻击进行暴力破解用户名与口令；从而方便地进入到业务系统中进行破坏活动。
因此对于这样的业务模式，必须有一套安全的接入机制来保护业务数据的安全性。
具有VPN功能的UTM设备是解决此类问题的最佳解决方案。
采用VPN技术的目的是为了在不安全的信道上实现安全信息传输，保证企业内部信息在Internet上传输时的机密性和完整性，同时使用鉴别对通过Internet进行的数据传输进行确认。
1.2.5 病毒风险分析计算机病毒一直是计算机安全的主要威胁。
而随着网络的不断发展，网络速度越来越快，网络应用也越来越丰富多彩，使得病毒传播的风险也越来越大，造成的破坏也越来越强。
据ICSA（国际计算机安全协会）的统计，目前已经有超过90%的病毒是通过网络进行传播的。
石油公司广域网内用户访问Internet时，无论是浏览WEB页面，还是通过FTP下载文件，或者是收发E-mail，都可能将Internet上的病毒带入网内。
而近几年泛滥成灾的网络蠕虫病毒（如红色代码、尼姆达、冲击波、振荡波等）跟传统的通过光盘、软盘等介质进行传播的基于文件的病毒有很大的不同，它们本身是一个病毒与黑客工具的结合体，当网络当中一台计算机感染蠕虫病毒后，它会自动的以极快的速度（每秒几百个线程）扫描网络当中其他计算机的安全漏洞，并主动的将病毒传播到那些存在安全漏洞的计算机上，只要相关的安全漏洞没有通过安装补丁的方式加以弥补，蠕虫病毒就会这样以几何级数的增长速度在网络当中传播，即使计算机上安装了带有实时监控功能的防病毒软件（包括单机版和网络版）对此也无能为力。
蠕虫病毒的传播还会大量占用网络带宽，造成网络拥堵，形成拒绝服务式攻击（DoS）。
计算机病毒同样会在石油公司广域网内网之间进行传播，造成总部与各区域网络之间的堵塞，影响业务的正常进行。
因此，对于新型的网络蠕虫病毒，必须在网关处进行过滤，防止病毒进入内网。
网关防病毒已经成为未来防病毒体系中的重中之重，需要引起石油公司的特别重视。
1.2.6 安全策略及安全管理分析在网络安全中安全策略和管理扮演着极其重要的角色，如果没有制定非常有效的安全策略，没有进行严格的安全管理制度，来控制整个网络的运行，那么这个网络就很可能处在一种混乱的状态。
因为没有非常好的安全策略，安全产品就无法发挥其应有的作用。
如果没有有效的安全管理，就不会做到高效的安全控制和紧急事件的响应（更加详细和周密的安全策略要结合安全服务进行）。
管理是网络安全中最最重要的部分。
责权不明、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。
这样就会导致：当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。
同时，没有优秀的日志信息记录分析系统，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。
因此，必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。