1.1    设计目标

网络安全需要根据用户自身的业务特点，同时兼顾技术发展，为未来发展提供必要的基础，确定“加强服务管理，通道建设为主，突出重点系统，适当利用高科技手段”的建设目标。

安全建设肩负着以下目标：

◆ 不同安全区域间的安全隔离

将用户的网络划分为不同的安全域，并根据每个安全域所面临的不同等级的安全风险提供适度的边界安全防范措施。

◆ 内外网的访问控制

将用户的internet接入路由器与交换机之间实现逻辑隔离，保证用户内外网络的访问控制。

◆ 建立完整的安全评估体系

定期使用安全评估产品，对全网所有网络节点、网络设备、操作系统、应用系统、安全策略进行全面安全评估，将用户的安全风险降至最低。

◆ 提高网络抗攻击性

通过部署专业抗攻击设备，提升用户的抗攻击能力，保证外网业务系统面对强大的分布式拒绝服务攻击时能够对访问正常响应。

◆ 安全准入

通过补丁修复、行为监控、资源管理等技术综合解决终端用户面临的安全问题，使全网安全策略达到高度一致。

从控制用户终端安全接入网络的角度入手，整合网络接入控制与终端安全产品，通过安全客户端、安全策略服务器、网络设备以及第三方软件的联动，对接入网络的用户终端强制实施企业安全策略，严格控制终端用户的网络使用行为，有效地加强了用户终端的主动防御能力，为企业网络管理人员提供了有效、易用的管理工具和手段。

1.2    拟主要采用技术

安全域

为落实等级保护原则，依据承载信息的安全级别对用户网络信息系统进行安全区域划分。严格执行内网、外网物理隔离，内网中专网与办公网逻辑隔离的原则，同时在同一安全区域内根据业务进一步细化安全区域，不同的安全区域之间要严格访问控制。

访问控制技术

通过访问控制规则规范网络实体间的访问数据流，即“合法数据流通过，非法数据流阻止”。

入侵监测技术

通过异常模式匹配等技术，对系统内部的可疑行为进行侦听，以便与其他安全设备一起采取有效的安全响应措施。

终端综合防护技术

通过补丁修复、行为监控、资源管理等技术综合解决终端用户面临的安全问题，使全网安全策略达到高度一致。

防攻击技术

为了阻断或限制黑客、蠕虫、病毒、木马、DoS/DDoS、扫描、间谍软件、协议异常、网络钓鱼、P2P、IM、网游等网络攻击或网络滥用，在应用安全网关设备上制定入侵防护功能，为用户网络提供最全面的深度防御。

漏洞扫描技术

漏洞扫描主要用于分析和指出有关网络的安全漏洞及被测系统的薄弱环节，给出详细的检测报告，并针对检测到的网络安全隐患给出相应的修补措施和安全建议。

安全准入技术

从控制用户终端安全接入网络的角度入手，整合网络接入控制与终端安全产品，通过安全客户端、安全策略服务器、网络设备以及第三方软件的联动，对接入网络的用户终端强制实施企业安全策略，严格控制终端用户的网络使用行为，有效地加强了用户终端的主动防御能力，为用户网络管理人员提供了有效、易用的管理工具和手段。

 

1.3    方案设计思路

本方案参照IATF深层次防御理论、东星源信息安全理论模型、国家安全等级保护有关信息安全防护标准和规范制定。按照信息安全保证总体框架的要求，为用户网络信息系统信息系统构建强大的信息安全保障体系。

安全是为业务系统保驾护航的，因此用户网络信息系统安全是围绕网络、系统、应用为核心制定安全策略，然后通过技术、管理等手段加以实现。

依照上述信息安全保障框架，建造好的用户网络信息系统安全综合管理平台，将从技术层面提升用户网络信息系统的安全防御能力。从单纯的安全防御走向主动的风险管理和控制。

1.4    设计原则

安全技术的选择对系统建设的成功与否起着决定性的作用。选择适合安全需求特点的主流安全技术，不但能保证网络的高性能，还能保证网络的先进性和扩展性，能够在未来向更新技术平滑过渡。本次的建设依据以下几个原则：

1) 先进性与成熟性

安全应用先进成熟的技术手段和标准化产品，具有较高的性能，符合当今技术发展的方向，确保具有较强的生命力，有长期的使用价值，符合未来发展趋势。

2) 经济性和实用性

安全系统性能优良，价格合理，具有较好的性能价格比，帮助用户节省投资，做到物有所值；涉及应面向实际、注重实效，坚持实用、经济的原则，充分合理利用原有设备和信息资源，全面提升系统的实用性和经济性。同时在网络安全建设中充分考虑原有设备的利旧，为客户节省资源。

3) 高可靠性

系统设计能有效的避免单点失败，在安全设计时要充分考虑设备的冗余设计，以保证当设备或线路发生故障时能迅速切换到备份设备或备份线路。网络各环节具备故障分析与恢复和容错能力，从而把各种可能存在的风险降至最低。

4) 兼顾性和可过渡性

项目中的安全设计兼顾目前已有的业务系统，合理规划资源，避免因本期网络系统建设对原系统造成不良影响，同时在网络设计中还将考虑今后的3-5年网络安全和数据的应用情况，在网络设计中设计合理的技术手段和操作方法，减小网络安全和数据迁移过程中对业务的日常运行造成的影响，实现平稳过渡。

5) 安全性和保密性

安全要放在网络通信设计的首位，在针对此次建设项目中，既要考虑信息资源的充分共享，也要考虑信息的保护和隔离；加强对信息传输中针对数据加密技术的处理；网络和系统应该在各个层次对访问进行控制，设置严格的操作权限；并充分利用日志系统、健全的备份和恢复策略增强系统的安全性。

6) 可扩展和易维护性

设计时将充分考虑用户在数据通信上未来3-5年内的发展趋势，具有一定的前瞻性，并充分考虑网络系统升级、扩容、扩充和维护的可行性。

7) 灵活性和兼容性

安全设计时充分考虑整个系统的灵活要求，随用户需求的改变而及时调整。

8) 可管理性

整个系统的设备应易于管理，易于维护，操作简单，易学，易用，便于进行系统配置，在设备、安全性、性能等方面得到很好的监视和控制，并可以进行远程管理和故障诊断。

1.5    安全保障总体设计

用户采用区域化化设计，网络分为三层：安全管理区、DMZ对外发布区和内部应用服务区。

各安全区域描述如下：

u    安全管理区

包括 终端管理、防病毒、安全管理、安全设备控制台等服务器的接入。

u    DMZ对外发布区

包括用户WEB应用、邮件等服务器的接入。

u    内部应用服务区

包括用户数据库服务器，OA服务器等。

1.5.1  安全域划分及网络结构

1.6    方案描述

1.6.1  网络出口安全

网络作为整个用户各应用系统的基础运行平台，需要从各个方面详尽的考虑安全问题。结合用户需要，方案将完成以下设计目标：

◆  根据业务类别在内网进行安全区域划分，避免不同业务网络设备交叉混合放置的局面；

◆  通过防火墙设备建立起多层次，渐进式的边界网络防御体系，要求上述防火墙产品都能够在用户信息中心安全中心实施集中管理，统一制定安全防护策略；

◆  对系统内部的可疑行为进行侦听，以便与其他安全设备一起采取有效的安全响应措施。

◆  对系统流量进行认证计费，防止网络资源滥用，对行为进行有效监控。

1.6.1.1              应用安全网关

用户网络是典型的多层网络架构，用户有多层办公区域，全部集中在核心机房统一出口访问互联网，外围机构通过SSL VPN访问用户服务器。基本网络架构为双运营商出口链路，在总出口由两台核心防火墙做冗余，内部是两万兆千兆核心交换机分别连接服务器群和楼层汇聚交换机。服务器群通过千兆交换机分别连接各类服务器、OA服务器、Web服务器以及邮件系统。楼层汇聚交换机连接下面的楼层百兆交换机，楼层交换机到办公桌面。

用户网络具有以下特点：

• 楼宇整个网络核心链路都是双机热备全冗余结构，分互联网出口、核心层、汇聚层等三层网络架构。
• 楼宇无线网络覆盖，满足移动办公和开会时的互联网访问需求。
• 服务器群独立区域，提供企业资源的访问。
• 核心网络及服务器群均是千兆网络。
• 楼层桌面PC百兆接入到汇聚交换机。
• 楼宇网络结构清晰，有助于新加设备的接入。

用户网络的简要拓扑如下：

• HTTP多路复用或SSL卸载

传统的访问形式下服务器需要维护大量来自客户端的TCP连接，每个连接的维持都需要耗费服务器的内存和CPU计算周期。

HTTP multiplexing（多路复用）机制，通过在FortiGate上维持和客户端的大量连接，而在FortiGate和服务器之间建立少量常开的连接，每个FortiGate和服务器之间的连接服务若干客户端和FortiGate的连接，减少服务器的资源消耗，提高服务器的处理性能。

而SSL offload（卸载）是指将FortiGate部署在Web服务器前方，处理SSL加密/解密，Web服务器与FortiGate之间可以采用HTTP方式通信，从而将服务器从繁重的加解密及认证的工作负担中解脱出来，提高处理性能。