等保三级网络安全建设技术方案.docx

《等保三级网络安全建设技术方案.docx》由会员分享，可在线阅读，更多相关《等保三级网络安全建设技术方案.docx（24页珍藏版）》请在课桌文档上搜索。

1、等保三级网络安全建设技术方案1项目建设背景51.1 安全建设流程51.2 安全建设目标51.3 安全建设依据62安全风险与需求分析62.1 安全技术需求分析62.1.1 安全物理需求62.1.2 安全计算需求72.1.3 安全边界需求82.1.4 安全通信网络需求92.2 安全管理需求93安全技术体系方案设计103.1 方案设计框架103.2 安全技术体系设计113.2.1 物理安全设计113.2.2 通信网络安全设计11322.1 网络结构安全11322.2 .2网络安全审计11322.3 网络设备防护12322.4 .4通信完整性12322.5 通信保密性12322.6 .6网络可信接入1

2、23.2.3 边界安全设计133.2.3.1 边界访问控制133.2.3.4 边界安全审计143.2.3.5 界恶意代码防范143.2.4 计算环境安全设计153.2.4.1 身份鉴别153.2.4.2 访问控制153.2.4.3 系统安全审计163.2.4.4 备份与恢复163.2.5 安全管理中心设计173.2.5.1 系统管理183.2.5.2 审计管理184安全管理体系设计185安全建设195.1 SSLVPN195.1.1 完善的VPN网络集中管理功能195.1.2 支持灵活的移动用户接入策略205.1.3 集成强大的网络附加功能205.2 一体化自动备份系统205.2.1 数据缩减

3、技术205.2.2 可管理性215.2.3 资源横向扩展215.3 网闸225.3.1 应用协议内容安全225.3.2 灵活的多网隔离235.3.3 完善的日志和审计245.4 数据库审计系统245.5 网页防篡改系统255.5.1 基于内核驱动保护技术255.5.2 连续篡改攻击保护255.5.3 支持日志导出查询261项目建设背景依据实际项目情况描述。1.1 安全建设流程本次提出的“按需防御的安全体系”是依据国家信息安全等级保护建设制度，根据系统在不同阶段的需求、业务特性及应用重点，采用等级化的安全体系设计方法，帮助构建一套覆盖全面、重点突出、节约成本、持续运行的安全防御体系。根据需要保护

4、的信息系统形成不同的安全措施进行保护。安全建设保护的精髓思想就是可以把业务系统、信息资产、安全边界等进行“等级化”，分而治之,从而实现信息安全保护的“适度安全”思想。本次安全建设工作参考等级保护三级要求建设，根据用户实际具体情况进行安全项目建设，整体的安全保障体系包括技术和管理两大部分，其中技术部分可根据分为安全边界、安全计算环境、安全通信网络等几个方面进行建设；而管理部分根据则可分为安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理等几个方面。1.2 安全建设目标本期项目建设将完成以下目标：I、以业务系统现有基础设施，参照等级保护三级系统基本要求，确保业务系统信息化建设符合

5、相关要求。2、客户需要建立安全管理组织机构。成立信息安全工作组，确定安全责任人，并制定相应的岗位责任制，确保信息安全工作顺利实施。3、建立完善的安全技术防护体系。参照信息安全等级保护的要求，建立满足相关安全技术防护体系。4、用户需要建立健全信息系统安全管理制度。根据信息安全等级保护的要求，制定各项信息系统安全管理制度，对安全管理人员或操作人员执行的重要管理操作建立操作规程和执行记录文档。1.3安全建设依据 中华人民共和国计算机信息系统安全保护条例 关于信息安全等级保护工作的实施意见 计算机信息系统安全等级保护管理要求 网络安全等级保护基本要求(GB/T22239-2019) 网络安全等级保护设

6、计技术要求(GB/T25070-2019) 网络安全等级保护测评要求(GB/T28448-2019) 网络安全等级保护测评过程指南(GB/T28449-2018) 信息系统安全等级保护测评过程指南(GB/T28449-2018) 计算机信息系统安全保护等级划分准则 信息系统安全等级保护定级指南 信息系统安全等级保护实施指南 信息系统通用安全技术要求 信息系统安全管理要求 信息系统安全工程管理要求 网络基础安全技术要求 信息系统安全管理测评 信息安全风险评估规范 信息安全事件管理指南2安全风险与需求分析2.1 安全技术需求分析2.1.1 安全物理需求物理安全风险主要是指网络周边的环境和物理特性引

7、起的网络设备和线路的不可使用，从而会造成网络系统的不可使用，甚至导致整个网络的瘫痪。它是整个网络系统安全的前提和基础，只有保证了物理层的可用性，才能使得整个网络的可用性，进而提高整个网络的抗破坏力。例如： 机房缺乏控制，人员随意出入带来的风险； 网络设备被盗、被毁坏； 线路老化或是有意、无意的破坏线路； 设备在非预测情况下发生故障、停电等； 自然灾害如地震、水灾、火灾、雷击等； 电磁干扰等。2.1.2 安全计算需求计算环境的安全主要指主机以及应用层面的安全风险与需求分析，包括：身份鉴别、访问控制、系统审计、入侵防范、恶意代码防范、软件容错、数据完整性与保密性、备份与恢复、资源合理控制、剩余信息

8、保护、抗抵赖等方面。 身份鉴别主机操作系统登录、数据库登陆以及应用系统登录均必须进行身份验证。过于简单的标识符和口令容易被穷举攻击破解。因此必须提高用户名/口令的复杂度，且防止被网络窃听；同时应考虑失败处理机制。 访问控制访问控制主要为了保证用户对主机资源和应用系统资源的合法使用。用户必须拥有合法的用户标识符，在制定好的访问控制策略下进行操作，杜绝越权非法操作。 系统审计对于登陆主机后的操作行为则需要进行主机审计。对于服务器和重要主机需要进行严格的行为控制，对用户的行为、使用的命令等进行必要的记录审计，便于日后的分析、调查、取证，规范主机使用行为。 恶意代码防范病毒、蠕虫等恶意代码是对计算环境

9、造成危害最大的隐患，严重影响正常业务开展。因此必须部署恶意代码防范软件进行防御。同时保持恶意代码库的及时更新。 数据安全主要指数据的完整性与保密性。数据是信息资产的直接体现。所有的措施最终无不是为了业务数据的安全。因此数据的备份十分重要，是必须考虑的问题。应采取措施保证数据在传输过程中的完整性以及保密性；保护鉴别信息的保密性 备份与恢复数据是信息资产的直接体现。所有的措施最终无不是为了业务数据的安全。因此数据的备份十分重要，是必须考虑的问题。对于关键数据应建立数据的备份机制，而对于网络的关键设备、线路均需进行冗余配置，备份与恢复是应对突发事件的必要措施。2.1.3 安全边界需求边界的安全主要包

10、括：边界访问控制、边界完整性检测、边界入侵防范以及边界安全审计等方面。 边界访问控制对于各类边界最基本的安全需求就是访问控制，对进出安全区域边界的数据信息进行控制，阻止非授权及越权访问。 边界完整性检测边界的完整性如被破坏则所有控制规则将失去效力，因此需要对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查，维护边界完整性。 边界入侵防范各类网络攻击行为既可能来自于公认的互联网等外部网络，在内部也同样存在。通过安全措施，要实现主动阻断针对信息系统的各种攻击，如病毒、木马、间谍软件、可疑代码、端口扫描、DoS/DDoS等。边界安全审计在安全区域边界需要建立必要的审计机制，对进出边界

11、的各类网络行为进行记录与审计分析，可以和主机审计、应用审计以及网络审计形成多层次的审计系统。并可通过安全管理中心集中管理。2.1.4 安全通信网络需求通信网络的安全主要包括：网络结构安全、网络安全审计、网络设备防护、通信完整性与保密性等方面。 网络结构网络结构需要具备一定的冗余性；带宽能够满足业务高峰时期数据交换需求；并合理的划分网段和VLAN。 网络安全审计进行基于网络行为的审计，对网络行为进行分析，以利于规范正常的网络应用行为。 网络设备防护由于信息系统网络中将会使用大量的网络设备，如交换机、防火墙、入侵检测设备等。这些设备的自身安全性也会直接关系到涉密网和各种网络应用的正常运行。需要对这

12、类网络设备进行防护。 通信完整性与保密性因此，在信息传输和存储过程中，必须要确保信息内容在发送、接收及保存的一致性；数据在传输过程中，为能够抵御不良企图者采取的各种攻击，防止遭到窃取，应采用加密措施保证数据的机密性。2.2 安全管理需求“三分技术、七分管理”更加突出的是管理层面在安全体系中的重要性。除了技术管理措施外，安全管理是保障安全技术手段发挥具体作用的最有效手段，建立健全安全管理体系是作为一个安全体系来讲，不可或缺的重要组成部分。安全管理体系依赖于国家相关标准、行业规范、国际安全标准等规范和标准来指导，形成可操作的体系。主要包括： 安全管理制度 安全管理机构 人员安全管理 系统建设管理

13、系统运维管理根据网络安全的要求在上述方面建立一系列的管理制度与操作规范，并明确执行。3安全技术体系方案设计3.1 方案设计框架本方案将严格根据技术与管理要求进行设计。首先应根据具体的基本要求设计系统的保护环境模型，参考信息系统等级保护安全设计技术要求，保护建设按照安全计算环境、安全区域边界、安全通信网络和安全管理中心进行设计，内容涵盖基本要求的5个方面。同时结合管理要求，形成如下图所示的保护环境模型：安全管理安个管理制安全管理平台系统管珅通信网络安全 网络结何安全;网络安全审计审计管理：计兑环境安全Qtiw ：X*RWW：4HkM -i一篌不而I：RJ #ft* * 控 制 二 J 客体安全，

14、用I Hm I:安全管理区域边界安全网络设Ifr防护安全 管理菽统建.Q管理 I1： Ui!i J 人员安全管理物理安全物理和：机肥供3.2 安全技术体系设计3.2.1 物理安全设计物理环境安全策略的目的是保护网络中计算机网络通信有一个良好的电磁兼容工作环境，并防止非法用户进入计算机控制室和各种偷窃、破坏活动的发生。总结：因本次项目主要涉及网络及及信息系统的建设，不涉及物理环境部分,且物理环境满足相关要求，故不再对物理环境再进行安全分析设计。3.2.2 通信网络安全设计3.2.2.1 网络结构安全对于信息系统网络，选用主要网络设备时需要考虑业务处理能力的高峰数据流量，要考虑冗余空间满足业务高峰

15、期需要，将核心链路及设备做冗余备份；根据不同区域所涉及信息的重要程度等因素，划分不同的网段或VLANo3.2.2.2 网络安全审计网络安全审计系统主要用于监视并记录网络中的各类操作，侦察系统中存在的现有和潜在的威胁，实时地综合分析出网络中发生的安全事件，包括各种外部事件和内部事件。3.2.2.3 网络设备防护为提高网络设备的自身安全性，保障各种网络应用的正常运行，对网络设备需要进行一系列的加固措施，包括： 对登录网络设备的用户进行身份鉴别，用户名必须唯一； 身份鉴别信息具有不易被冒用的特点，口令设置需3种以上字符、长度不少于8位，并定期更换； 具有登录失败处理功能，失败后采取结束会话、限制非法

16、登录次数和当网络登录连接超时自动退出等措施；3.2.2.4 通信完整性信息的完整性设计包括信息传输的完整性校验以及信息存储的完整性校验。对于信息传输和存储的完整性校验可以采用的技术包括校验码技术、消息鉴别码、密码校验函数、散列函数、数字签名等。3.2.2.5 通信保密性应用层的通信保密性主要由应用系统完成。在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证；并对通信过程中的敏感信息字段进行加密。对于信息传输的通信保密性应由传输加密系统完成。3.2.2.6 网络可信接入为保证网络边界的完整性，不仅需要进行非法外联行为，同时对非法接入进行监控与阻断，形成网络可信接入，共同维护边界完整

17、性。建议通过部署终端安全管理系统实现这一目标。运用用户信息和主机信息匹配方式实时发现接入主机的合法性，及时阻止IP地址的篡改和盗用行为。共同保证信息系统网络的边界完整性。总结：因本次项目项目中，相关网络结构满足对业务高峰期的可靠性要求,关键链路及设备己经实现冗余设计，网络已经划分不同的网段或VLAN,但是出于针对通信安全的考虑，需要通过利用VPN访问云平台综合业务网的相关系统,使用VPN对整个通信过程进行加密保护，通过多种VPN功能可以实现企业总部与各个分支、合作伙伴、移动办公人员之间的远程接入等多种网络互联需求，同时对这些远程网络中传输的数据提供私密性、完整性等安全防护手段。避免通信信息泄漏

18、及劫持的风险。3.2.3 边界安全设计3.2.3.1 边界访问控制通过对信息系统网络的边界风险与需求分析，在网络层进行访问控制需部署防火墙产品，可以对所有流经防火墙的数据包按照严格的安全规则进行过滤，将所有不安全的或不符合安全规则的数据包屏蔽，杜绝越权访问，防止各类非法攻击行为。同时可以和内网安全管理系统、网络入侵检测系统等进行安全联动，为网络创造全面纵深的安全防御体系。实现效果：1 .网络安全的基础屏障：通过防火墙策略，只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。防同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙可以拒绝

19、所有以上类型攻击的报文并通知防火墙管理员。2 .强化网络安全策略通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比,防火墙的集中安全管理更经济。3 .防止内部信息的外泄通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。4 .精确流量管理通过部署防火墙设备，不仅可以实现精准访问控制与边界隔离防护，还能实现阻止由于病毒或者P2P软件引起的异常流量、进行精确的流量控制等。对各级节点安全域实现全面的边界防护，严格控制节点之间的网络数据流。3.2.3.

20、2 网络边界完整性检测边界完整性检查核心是要对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查，维护网络边界完整性。3.2.3.3 边界入侵防范可通过将WEB应用防护系统串接在防火墙后面，在防火墙进行访问控制，保证了访问的合法性之后，WEB应用防护系统动态的进行入侵行为的保护，对访问状态进行检测、对通信协议和应用协议进行检测、对内容进行深度的检测。阻断来自内部的数据攻击以及垃圾数据流的泛滥。3.2.3.4 边界安全审计各安全区域边界已经部署了相应的安全设备负责进行区域边界的安全。对于流经各主要边界（重要服务器区域、外部连接边界）需要设置必要的审计机制，进行数据监视并记录各类操作

21、，通过审计分析能够发现跨区域的安全威胁，实时地综合分析出网络中发生的安全事件。3.2.3.5 边界恶意代码防范可通过在网络边界部署防病毒网关，并在核心业务区域网络边界部署UTM网关，开启防病毒网关功能。阻止病毒通过网络的快速扩散，将经网络传播的病毒阻挡在外，可以有效防止病毒从其他区域传播到内部其他安全域中。总结：在本次项目中，参考等级保护相关建设指南，采用网闸设备进行相关系统的安全隔离，通过内容检查、过滤、协议分析、病毒扫描等功能，对于SynfloodCC攻击、HTTPGetFloodDnSQUeryFk）Od等各种DDoS攻击均可彻底阻挡。同时，操作系统固化于内外网主机系统的硬件中，不能被随

22、意修改，同时支持包过滤检测技术，支持通过源地址、目的地址、流经的物理端口、协议类型等多种元素设定过滤规则。通过对安全策略的设定，使得安全隔离与信息交换系统直接在网络层就能拒绝部分非法连接的访问。3.2.4 计算环境安全设计3.2.4.1 身份鉴别身份鉴别可分为主机身份鉴别和应用身份鉴别两个方面：主机身份鉴别：为提高主机系统安全性，保障各种应用的正常运行，对主机系统需要进行一系列的加固措施，包括：对登录操作系统和数据库系统的用户进行身份标识和鉴别，且保证用户名的唯一性。根据基本要求配置用户名/口令；口令必须具备采用3种以上字符、长度不少于8位并定期更换；应用身份鉴别：为提高应用系统系统安全性应用

23、系统需要进行一系列的加固措施，对于信息系统，可要求对用户进行两种或两种以上组合的鉴别技术，因此可采用双因素认证（USBkey+密码）或者构建PKI体系，采用CA证书的方式进行身份鉴别。通过部署运维审计实现用户身份鉴别、密码长度等设置。3.2.4.2 访问控制由此主要控制的是对应用系统的文件、数据库等资源的访问，避免越权非法使用。采用的措施主要包括：通过账号管理严格限制默认帐户的访问权限，重命名默认帐户，修改默认口令；及时删除多余的、过期的帐户，避免共享帐户的存在。3.2.4.3 系统安全审计系统审计包含主机审计和应用审计两个层面：主机审计：启用主机审计功能，或部署主机审计系统，实现对主机监控、

24、审计和系统管理等功能。监控功能包括服务监控、进程监控、硬件操作监控、文件系统监控、打印机监控、非法外联监控、计算机用户账号监控等。数据库审计数据库审计是针对业务环境下的网络操作行为进行细粒度审计的合规性管理系统。它通过对被授权人员和系统的网络行为进行解析、分析、记录、汇报，以帮助用户事前规划预防、事中实时监视、违规行为响应、事后合规报告、事故追踪溯源，加强内外部网络行为监管、促进核心资产（数据库、服务器、网络设备等）的正常运营。3.2.4.4 备份与恢复备份与恢复主要包含两方面内容，首先是指数据备份与恢复，另外一方面是关键网络设备、线路以及服务器等硬件设备的冗余。总结：在本次项目中，参考等级保

25、护相关建设指南，采用一体化自动备份系统，支持对Linux、Unix和Windows平台下各种文件系统的离线和在线备份及系统备份，支持完全、增量、差异备份类型，能够自主地设定备份策略，在数据出错时可以将数据恢复到原位置或指定位置。为保证备份的高效性和灵活性，文件备份提供快速备份、包含过滤、任务并发、NASNDMP协议备份、断点续备、永久增量等技术功能。快速备份：快速备份机制会省去向数据库中做记录的过程，特别是对于海量文件的备份任务，使用快速备份功能，可以缩短备份窗口，提高备份效率。在文件备份的环境下会存在众多文件格式及不同命名规则的资料存放在一处的情况，对此，提供了包含和过滤功能，可以自主地通过

26、文件的命名规则匹配、文件的扩展名匹配、文件夹的命名规则匹配等过滤和包含功能组合达到目标筛选结果，有效的避免将无需保护或无用的数据备份，以便提高备份的效率。同时份支持Windows5Linux、Unix平台下OraCIe数据库的备份恢复，支持单机及RAC环境的备份。在备份类型方面支持完全、增量和差异多种类型。在备份功能方面支持多种备份方式、永久增量等功能。同时部署数据库审计系统，支持对常见关系型数据库、国产数据库、大数据架构数据库，能够满足不同用户、不同发展阶段情况下的数据库审计需求。支持常用的运维协议及文件传输协议，能够全程记录用户在服务器上的各种操作，如telnet、SSH等，同时支持HTT

27、P、HTTPS、PoP3、SMTP、NetbiOS的审计，能够记录网页URL、内容、发件人、收件人、邮件内容、网络邻居的各种操作等信息。能够实现对“用户网络环境中出现的特定账号或特定账号执行某种操作后”的场景进行账号跟踪，提供对后继会话和事件的审计。这样，管理员能够对出现在网络中的特权账号，比如root、DBA等进行重点的监控，特别是哪些本不应出现在网络上的特权账号突然出现的事件。部署网页防篡改系统，专门针对网站篡改攻击进行安全防护，系统主要功能是通过文件底层驱动技术对Web站点目录提供全方位的保护，防止黑客、病毒等对目录中的网页、电子文档、图片、数据库等任何类型的文件进行非法篡改和破坏。网页

28、防篡改系统保护网站安全运行，维护政府和企业形象，保障互联网业务的正常运营，彻底解决了网站被非法修改的问题。3.2.5 安全管理中心设计建立安全管理中心，帮助管理人员实施好安全措施的重要保障，是实现业务稳定运行、长治久安的基础。通过安全管理中心的建设，真正实现安全技术层面和管理层面的结合，全面提升用户网络的信息安全保障能力。3.2.5.1 系统管理通过系统管理员对系统的资源和运行进行配置、控制和管理，包括：用户身份管理：统一管理系统用户身份，按照业务上分工的不同，合理地把相关人员划分为不同的类别或者组，以及不同的角色对模块的访问权限。权限设置可按角色划分，角色分为普通用户、系统管理员、安全管理员

29、、审计管理员等。3.2.5.2 审计管理通过安全审计员对分布在系统各个组成部分的安全审计机制进行集中管理，对各类审计记录进行存储、管理和查询等；对安全审计员进行严格的身份鉴别，并只允许其通过特定的命令或界面进行安全审计操作。总结：根据具体网络情况，针对边界安全层面，已经有相关安全技术及安全设备进行安全防护，参考等级保护相关建设指南，在本次项目中，不再对其进行安全建设。4安全管理体系设计安全体系管理层面设计主要是参考信息系统安全等级保护基本要求中的管理要求而设计。分别从以下方面进行设计： 安全管理制度根据安全管理制度的基本要求制定各类管理规定、管理办法和暂行规定。从安全策略主文档中规定的安全各个

30、方面所应遵守的原则方法和指导性策略引出的具体管理规定、管理办法和实施办法，是具有可操作性，且必须得到有效推行和实施的制度。制定严格的制定与发布流程，方式，范围等，制度需要统一格式并进行有效版本控制；发布方式需要正式、有效并注明发布范围，对收发文进行登记。信息安全领导小组负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定，定期或不定期对安全管理制度进行评审和修订，修订不足及进行改进。 安全管理机构设置安全管理岗位，设立系统管理员、网络管理员、安全管理员等岗位，根据要求进行人员配备，配备专职安全员；成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授

31、权；制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。 人员安全管理根据基本要求制定人员录用，离岗、考核、培训几个方面的规定，并严格执行；规定外部人员访问流程，并严格执行。 系统建设管理根据基本要求制定系统建设管理制度，包括：系统定级、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、系统备案、等级评测、安全服务商选择等方面。从工程实施的前、中、后三个方面，从初始定级设计到验收评测完整的工程周期角度进行系统建设管理。5安全建设1.1.1 SSLVPN5.1.1 完善的VPN网络集中管理功能利用基于互联网的VPN技术构建企业基础网络设施，低成本、

32、高效率是其天然的优势，但与此相伴的则是安全性和可管理性的潜在风险。尤其是对于分支机构、营业网点遍布全国的大型企业来讲，其业务网络系统具有分布地域广泛、接入点多、网络结构复杂等特点。如何确保企业内部网络的安全，有效地管理、维护遍布企业各个结点的VPN设备，保证网络的稳定运行，是VPN产品必须解决的问题。本次采购的加密机在综合了大量的用户需求后，逐步形成了“统一认证、集中监控、分级管理”的VPN网络管理方案。并成功运用于许多特大型企业的VPN建设中。1.1.2 支持灵活的移动用户接入策略VPN技术在远程移动办公领域的应用越来越广泛，因此支持安全灵活的移动用户接入策略已经成为VPN产品竞争的焦点。加

33、密机可以配合SSLVPN功能模块,支持丰富的移动用户接入策略，为各种需求的用户提供了完善的解决方案。支持基于用户+口令的认证机制；支持基于数字证书的认证机制；支持基于证书+口令的双因子认证机制；支持RADlUS/TARCAS/LDAP/AD等用户认证协议；支持USBKEY、动态口令卡等强身份认证机制；支持基于服务的移动用户的访问授权；支持基于时间的移动用户访问控制；支持移动用户的硬件特征码绑定机制；客户端版本支持中英文自动切换。1.1.3 集成强大的网络附加功能本次加密机能够为用户组网提供强大的网络附加功能，完全可以作为独立的相关网络设备进行配置使用，其主要功能如下：基于TOS安全操作系统的高

34、可扩展性，可轻松的升级成集IPS、防病毒、内容过滤、反垃圾邮件等功能于一体的安全网关；集成强大的网络附加功能，支持交换、静态/动态路由、VLAN、带宽管理、DNS代理、DHCP服务器、ARP代理、组播协议等。5.2 一体化自动备份系统5.2.1 数据缩减技术一体化自动备份系统支持重复数据删除以及数据压缩技术，以达到使用尽量小的空间存储更多的数据备份过程中存储数据时，按照自定义块级别去重粒度进行重删；同时支持多种压缩算法，对数据可以进行不同程度的压缩。5.2.2 可管理性一体化自动备份系统支持将需要备份的服务器划分到不同的组下（即主机组），将存储空间进行逻辑划分以便存储不同类型属性的数据，能灵活

35、的设置备份任务、备份策略。支持自定义修改数据库、应用备份授权账户密码，满足等保、法规要求；支持将指定主机组、存储空间、备份内容授权给特定用户，同时针对存储空间支持配额管理，满足多租户、备份数据隔离等场景需求。这些完善的管理功能可以帮助您将数据和系统管理工作条理化，降低维护成本，保障了备份系统的安全性。5.2.3 资源横向扩展体化自动备份系统底层存储介质采用分布式存储架构，实现横向扩展，满足未来快速增长的海量数据备份需求。读写分流：一体化自动备份系统的介质服务模块提供客户端与服务端之间备份恢复数据流读写操作管理，它可与主控服务模块统一部署，也可单独部署在不同的服务器，承担不同备份源的数据传输、存

36、储、管理。高并发性：一体化自动备份系统每个介质服务器分别承担不同的传输任务，支持系统自动选择当前灾备系统管理下的最优存储介质服务器，同时执行备份任务，有效提高灾备系统的备份速率、性能，达到负载均衡、高并发收益。备份一-体机提供强大、全面的备份功能，可实现异构平台下的小型机、服务器及终端PC结构型与非结构型数据的全方位、精细度数据保护；同时兼容各品牌、版本数据库及操作系统，可全面应对用户不断变化的IT环境，为用户提供一站式服务。系统平台使用简易：备份系统安装时部署简便；提供Web管理界面备份集中管理和策略设置，过程全自动；平台功能界面直观，操作简单，操作人员可轻松掌握。备份数据安全无忧：备份的数

37、据副本进行实时加密，能够确保数据副本传输和存储的安全，用户备份数据安全无忧。数据级灾难应急恢复：提供多种数据恢复机制，业务数据可恢复到已备份任意时间点的状态。精细化保护：即使发生重大灾难导致本地机房整体摧毁，TMB也能从异地灾备中心进行数据恢复。可提供多种模式的数据应急恢复能力。5.3 网闸5.3.1 应用协议内容安全网闸根据不同的应用需求，量身定制多个功能模块，满足用户的不同应用需求，主要包括： 文件交换模块：实现不同安全等级网络间文件的安全交换，支持NFS,Smbfs.SAMBA等常用文件系统，支持更新传输、改名传输、传输后删除等多种方式，文件传输过程中，支持强制性的文件类型、文件内容（黑

38、、白名单）等检查。 数据库传输模块（访问）：在内外网隔离环境下实现对OracleSybase.SQLserver,DB2等多种数据库系统的安全访问和同步，支持TNS协议、支持授权用户安全。 邮件传输模块：在内外网隔离环境下实现内网用户安全访问外网邮件服务器，支持电子邮件地址控制，支持邮件主题过滤、内容过滤、附件过滤。 安全浏览模块：在内外网隔离环境下保证内网用户安全浏览外网资源，支持本级认证、RadiusLDAP认证，支持URL过滤、ActiveXCookie.JavaAppIet等恶意代码过滤。 FTP访问模块：在内外网隔离环境下实现安全的FTP访问，支持动态建立数据通道，支持用户控制、命令

39、控制、文件类型控制等细粒度访问控制。 TCP/UDP访问模块：在内外网隔离环境下特定TCP、UDP协议的数据交换。 其他模块：用户定制的专用应用模块。其它功能说明： 支持的应用协议有HTTPSHTTP、FTP、SMTP、Pe)P3、TNS、DNS、Telnet、SAMBA、NFS、IMAP、定制TCP和UDP、SNMP、SSH、RTSPMMS、H.323LDAP协议、IRC等协议； 支持登录防爆破，登录密码超出设定次数，系统自动锁定。 支持用户访问控制，管理主机与网闸间通过证书认证和用户密码才可登录，其它应用中支持用户统一身份认证，保证登录系统的用户是合法的。 支持IP/MAC绑定功能，防止非

40、授权管理及其登录系统。 完善的日志审计功能。日志支持远程和本地管理，支持标准的SySIOg的接入；不同的功能模块根据各自的需求特点，在应用层实现了功能强大的过滤机制，通过对应用层内容的过滤和检测，进一步保障数据的安全。这些包括：关键字检测、黑白名单过滤、文件类型检验、用户名/口令校验、数据数字签名、身份认证、控件过滤、脚本过滤、URL过滤、邮件属性过滤等等。系统还可以根据用户的安全需要进行二次开发，对用户数据进行深度安全检测。1.1.2 灵活的多网隔离网闸在支持两网隔离的同时，为了满足多个相同安全级别的外联网络要与可信网络隔离的需求，进一步支持多网接入隔离，即可以同时接入多个外联网络，比如交警

41、网络和多家银行网络同时互联，并且每个主机系统的网络接口之间在系统内部固化实现无法互访，具有更大的网络适用性。1.1.3 完善的日志和审计完善的日志和审计系统是一个具有完整安全体系的安全产品中不可或缺的部分。网闸提供了强大的日志和审计功能：所有的系统事件都有相关的日志记录。日志分为多个功能分组，如系统日志、管理日志、各功能模块日志、攻击日志等等，日志格式支持WebTrendS格式。基本的日志审计功能可以在系统上完成，另外复杂功能也可以通过独立的日志服务器来完成。日志的审计功能包括对隔离和信息交换系统事件和网络事件的统计、查询、分析等。5.4 数据库审计系统5.4.1 全面系统管理能力数据库审计系

42、统的管理控制中心提供了集中的管理控制界面，审计员通过管理控制台就能管理和综合分析所有审计引擎的审计信息和状态信息，并形成审计报表。提供CPU、内存、磁盘状态、网口等运行信息，管理员可以很轻松的通过管理界面实现对审计数据中心、审计引擎的工作状态进行查看。当出现错误信息时，比如Raid故障、磁盘空间不足、引擎连接问题，系统可自动邮件通知相关管理人员。同时，产品提供健康状态检查功能，当用户感觉系统出现问题，可以在管理页面查看系统健康状况,包括每个设备资源占用、系统进程是否正常运行等信息。5.4.2全面有效减少核心信息资产的破坏和泄漏对单位的业务系统来说，真正重要的核心信息资产往往存放在少数几个关键系

43、统上（如数据库服务器、应用服务器等），通过使用产品能够加强对这些关键系统的审计，从而有效地减少对核心信息资产的破坏和泄漏。全面有审计日志脱敏展示数据库审计系统对客户数据库或网络行为操作的数据进行审计，并展示在系统界面，为防止客户敏感数据通过审计系统进行泄露，审计系统提供敏感数据模糊化功能，对于客户的敏感信息进行模糊化存储和展示，防止数据泄露。 是合法的。 支持IP/MAC绑定功能，防止非授权管理及其登录系统。 完善的日志审计功能。日志支持远程和本地管理，支持标准的SySlOg的接入；不同的功能模块根据各自的需求特点，在应用层实现了功能强大的过滤机制，通过对应用层内容的过滤和检测，进一步保障数据

44、的安全。这些包括：关键字检测、黑白名单过滤、文件类型检验、用户名/口令校验、数据数字签名、身份认证、控件过滤、脚本过滤、URL过滤、邮件属性过滤等等。系统还可以根据用户的安全需要进行二次开发，对用户数据进行深度安全检测。5.5 网页防篡改系统专门针对网站篡改攻击精心研发的一款防护产品，系统主要功能是通过文件底层驱动技术对Web站点目录提供全方位的保护，防止黑客、病毒等对目录中的网页、电子文档、图片、数据库等任何类型的文件进行非法篡改和破坏。551基于内核驱动保护技术内核事件触发保护机制，确保系统资源不被浪费，不同于其他网页防篡改软件的Web事件触发机制，网页防篡改系统的页面防篡改模块采用的是与

45、操作系统底层文件驱动级保护技术，与操作系统紧密结合的。即使服务器遭受黑客攻击取得操作管理员权限也无法对被保护内容实施保护，这样做完全杜绝了普通Web内嵌网页防篡改软件可能发生的计算校验占用系统资源过多，断线篡改后无法恢复等一系列风险。5.5.1 连续篡改攻击保护对于大规模连续的篡改，网页防篡改系统检测到首个非法操作后就会实时阻断其后续其他的篡改操作。系统针对来源和操作行为，提前终止其后续篡改操作请求。系统在底层完成这些防护措施并不会将这些大规模连续篡改请求发送到上层应用，极大的降低了应用程序的处理负担，有效的提高了应有工作效率。而普通的Web内嵌事件触发型网页防篡改软件在发生大规模连续篡改时，需要每次通过应用层插件计算校验匹配，由于不能阻止篡改发生，这些软件需要不停的重复恢复原始网页内容，极大的占用系统资源和网络资源，并可能造成显示错误页给访问用户。5.5.2 支持日志导出查询系统支持对网站维护工作的查询与审计功能。为了便于用户及时了解管理员及操作员所做的日常维护工作。网页防篡改系统除了对篡改记录进行记录外，还记录了操作日志，方便用户导出查询和统计。包括：1 .对受保护网页文件和目录进行添加、删除、修改的日志；2 .监控策略的开启和关闭的日志；3 .管理员的登录日志；4 .对监控策略进行更改的日志；5 .对管理员进行增加，删除和属性修改的操作日志；6 .对功能配置参数的修改日志