下载文档原格式
天融信网络安全准入解决方案安全挑战计算机终端是用户办公和处理业务最重要的工具，对计算机终端的准入管理，可以有效地提高办公效率、减少信息安全隐患、提升网络安全，从而为用户创造更多的业务价值。
但目前，大部分终端处于松散化的管理，主要存在以下问题：接入终端的身份认证，是否为合法用户接入工作计算机终端的状态问题如下：操作系统漏洞导致安全事件的发生补丁没有及时更新工作终端外设随意接入，如U盘、蓝牙接口等外来人员或第三方公司开发人员使用移动笔记本电脑未经容许接入到业务专网或办公网系统工作终端的安全策略不统一，严重影响全局安全策略解决方案天融信针对上述安全挑战，提出了网络安全准入解决方案，采用CA数字证书系统、天融信终端安全管理系统TopDesk结合802.1X技术等，实现完善、可信的网络准入，如下图所示。
终端接安全准入过程如下：1） 网络准入控制组件通过802.1X 协议，将当前终端用户身份证书信息发 送到交换机。
2） 交换机将用户身份证书信息通过 RADIUS 协议，发送给RADIUS 认证组件。
3） RADIUS 组件通过CA 认证中心对用户身份证书进行有效性判定，并把 认证结果返回给交换机，交换机将认证结果传给网络准入控制组件。
4） 用户身份认证通过后，终端系统检测组件将根据准入策略管理组件制 定的安全准入策略，对终端安全状态进行检测。
5） 终端的安全状态符合安全策略的要求，则允许准入流控中心系统网络。
6） 如终端身份认证失败，网络准入控制组件通知交换机关闭端口；7） 如终端安全状态不符合安全策略要求，终端系统检测组件将隔离终端到非工作VLAN8） 在非工作VLAN 的终端，终端系统检测组件会自动进行终端安全状态的修复，在修复完成以后，系统自动将终端重新接入正常工作 Vian 丿匚［卫务徘F 丁咂*席.病并库悵羚睿工作门血loriuesk 卷丹端JJpHM "黑f Tup Desk Server :氏也件 1熬九乗咯忏理红件天融信网络安全准入解决方案图充分利用终端检测与防护技术终端防护系统对终端的安全状态和安全行为进行全面监管，检测并保障桌面系统的安全，统一制定、下发并执行安全策略，从而实现对终端的全方位保护、管理和维护，有效保障终端系统及有关敏感信息的安全。
1.服务简介天融信网络安全专家服务由专业的安全专家团队为用户提供7*24小时针对用户网络中的安全设备、WEB应用系统的日志信息进行实时收集、监控并对用户网络面临的安全威胁进行分析，及时、准确的发现DDoS攻击、蠕虫病毒、黑客入侵、暴力破解、非法访问、非法外联等网络安全事件。
一旦发生安全事件及时预警并提供安全应急方案和技术支持，协助用户应对突发安全事件，更为用户提供突发安全事件分析报告和安全状况分析报告，帮助用户从容应对复杂的安全形势，消除用户的后顾之忧。
业务联系人：安全运维产品部徐懿巍手机：1391 1391 357Mail：xu_yiwei@2.服务卖点提高用户安全建设的投资收益网络安全专家服务可以帮助用户对已经购买的安全设备进行统一管理，提高安全设备的使用效果，解决用户购买安全设备后无人维护和管理的现实问题，提高用户的投资收益。
专业化的服务团队天融信具备一支专业化的安全运营团队及经验丰富的安全专家为用户提供服务。
天融信与北京联通、中国电信均合作建设了安全运营中心，不仅是自身实力的体现，更积累了大量的服务经验，并可以借助运营商独有的网络资源，为用户提供更高级别的服务。
安全事件快速响应服务通过对用户信息系统的实时监控，可以及时、准确的发现安全事件、定位事件源，并协助用户对安全事件进行处理，降低用户的损失。
全天候的安全保障7X24小时的服务级别，保障用户的网络及重要系统在任何时间发生安全问题都能够及时发现、处理。
满足合规性要求等级保护、多个行业的信息安全相关法律法规中对安全监控类的工作均有对应的要求，如中国期货业协会发布的《期货公司网上期货信息系统技术指引》中对安全状态的实时监控提出了明确的要求。
安全运营服务可帮助用户满足相关的合规性要求，并提供定期的安全分析报告，帮助用户应对文档方面的要求。
定期安全分析报表更直观的帮助用户了解自己网络安全状况，解决用户难以全面掌握安全态势的问题。
3.接入流程1)签署《服务协议》2)客户经理协助客户填写《服务申请表》；3)天融信安全运营中心确认客户信息，确定实施方案；4)客户确认实施方案；5)客户经理与客户商定现场实施时间；6)现场部署与调试；7)正式开通服务；4.典型用户【中国电信集团】【中医药集团】【工信部传输所】【新疆旅游局】【新疆卫生厅】【扬中市政府网站】【北京无线电管理委员会】【工信部】【国资委干教中心】【司法部】【北京市农业局】【江苏句容市政府】【国药工业】【中国铝业】【江苏常州市政府】【江苏溧水纪委】【江苏鼓楼区政府】【工信部研究院】【河南人大】【郑州市粮食局】【中煤集团】【中国中化】【南京365房地产网】【张家港教育局】【中邮普泰】【大汉网络】【河南金水政府】【蓝讯公司】【体彩中心】【瑞丽】【农业部】【景安IDC 】【启东市政府】【中国电信南通分公司】【中国移动设计院】【信城通】【吉利大学】【南京蓝谷科技有限公司】【工商总局】【大唐电力】【国开行】【教育部考试中心】【国土资源部】【大唐电力】【国资委监事会】【BMO银行】【江苏东吴保险经纪有限公司】【苏州爱普生有限公司】【苏州书香世家平江府酒店有限公司】【苏州市得轩贸易有限公司】【苏州雅戈尔富宫投资有限公司雅戈尔富宫大酒店】【苏州人家酒店有限公司】5.产品FAQ5.1网络安全专家服务的计费方式“网络安全专家”服务可采用两种计收方式：1.按年计费适用于安全监控服务、安全巡检服务，根据服务对象的数量（被监控设备数，巡检设备数）计算每年的服务费，并按年收取。
计算机网络是一个分层次的拓扑结构，因此网络的安全防护也需采用分层次的拓扑防护措施。
即一个完整的网络信息安全解决方案应该覆盖网络的各个层次，并且与安全管理相结合。
以该思想为出发点，北京天融信公司提出了"网络信息安全解决方案"。
一、网络信息安全系统设计原则• 1.1满足Internet分级管理需求• 1.2需求、风险、代价平衡的原则• 1.3综合性、整体性原则• 1.4可用性原则• 1.5分步实施原则目前，对于新建网络及已投入运行的网络，必须尽快解决网络的安全保密问题，考虑技术难度及经费等因素，设计时应遵循如下思想：（1）大幅度地提高系统的安全性和保密性；（2）保持网络原有的性能特点，即对网络的协议和传输具有很好的透明性；11（3）易于操作、维护，并便于自动化管理，而不增加或少增加附加操作；（4）尽量不影响原网络拓扑结构，便于系统及系统功能的扩展；（5）安全保密系统具有较好的性能价格比，一次性投资，可以长期使用；（6）安全与密码产品具有合法性，并便于安全管理单位与密码管理单位的检查与监督。
基于上述思想，网络信息安全系统应遵循如下设计原则：1．1 满足因特网的分级管理需求根据Internet网络规模大、用户众多的特点，对Internet/Intranet信息安全实施分级管理的解决方案，将对它的控制点分为三级实施安全管理。
第一级：中心级网络，主要实现内外网隔离；内外网用户的访问控制；内部网的监控；内部网传输数据的备份与稽查。
第二级：部门级，主要实现内部网与外部网用户的访问控制；同级部门间的访问控制；部门网内部的安全审计。
第三级：终端/个人用户级，实现部门网内部主机的访问控制；数据库及终端信息资源的安全保护。
1．2 需求、风险、代价平衡的原则对任一网络，绝对安全难以达到，也不一定是必要的。
对一个网络进行实际额研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。
天融信防毒墙实施方案一、引言。
随着网络攻击日益频繁和复杂化，企业面临着越来越大的网络安全威胁。
作为企业网络安全的重要组成部分，防毒墙在保障企业网络安全方面发挥着重要作用。
天融信防毒墙作为一种专业的网络安全设备，其实施方案对于企业网络安全具有重要意义。
本文将就天融信防毒墙的实施方案进行详细介绍，旨在帮助企业更好地部署和使用天融信防毒墙，提高网络安全防护能力。
二、天融信防毒墙概述。
天融信防毒墙是一种基于硬件的网络安全设备，主要用于检测和阻止网络中的恶意流量和攻击，保障企业网络的安全稳定运行。
其主要功能包括入侵检测、应用层防火墙、反病毒、反垃圾邮件等，能够有效防范各类网络攻击和威胁。
天融信防毒墙采用了先进的威胁情报和安全防护技术，能够及时发现和应对最新的网络安全威胁，为企业网络安全提供了强有力的保障。
三、天融信防毒墙实施方案。
1. 网络环境评估。
在部署天融信防毒墙之前，首先需要对企业的网络环境进行评估。
评估内容包括网络拓扑结构、网络流量特点、业务应用需求等，以便确定天融信防毒墙的部署位置和参数配置。
2. 部署位置选择。
根据网络环境评估结果，选择合适的部署位置是天融信防毒墙实施的关键。
一般来说，天融信防毒墙可以部署在企业网络的边界处，作为内外网之间的安全防护设备，也可以部署在关键业务系统的前端，对其进行专门的安全防护。
3. 参数配置优化。
在部署天融信防毒墙时，需要根据实际网络环境和安全需求进行参数配置优化。
包括安全策略的制定、漏洞和威胁情报的更新、安全日志的监控和分析等，以确保天融信防毒墙能够有效地发现和阻止各类网络攻击和威胁。
4. 安全培训和演练。
在天融信防毒墙实施完成后，企业需要对相关人员进行安全培训和演练，提高其对天融信防毒墙的使用和管理能力，增强网络安全防护意识。
5. 定期维护和更新。
天融信防毒墙作为一种网络安全设备，需要定期进行维护和更新，以确保其能够及时应对最新的网络安全威胁。
包括安全补丁的安装、威胁情报的更新、安全日志的审计等，保障天融信防毒墙的持续有效运行。
1产品概述1.1平安接入的应用趋势随着电子政务和电子商务信息化建设的快速推动和发展，越来越多的政府、企事业单位已经依托互联网构建了自己的网上办公系统和业务应用系统，从而使内部办公人员通过网络可以快速地获得信息，使远程办公和移动办公模式得以逐步实现，同时使合作伙伴也能够访问到相应的信息资源。
但是通过互联网接入来访问企业内部网络信息资源，会面临着信息窃取、非法篡改、非法访问、网络攻击等越来越多的来自网络外部的平安威逼。
而且我们目前所运用的操作系统、网络协议和应用系统等，都不行避开地存在着平安漏洞。
因此，在通过Internet构建企业网络应用系统时，必须要保证关键应用和数据信息在开放网络环境中的平安，同时还需尽量降低实施和维护的成本。
1.2平安接入的技术趋势目前通过公用网络进行平安接入和组网一般采纳VPN技术。
常见的VPN接入技术有多种，它们所处的协议层次、解决的主要问题都不尽相同，而且每种技术都有其适用范围和优缺点，主流的VPN技术主要有以下三种：1．L2TP/PPTP VPNL2TP/PPTP VPN属于二层VPN技术。
在windows主流的操作系统中都集成了L2TP/PPTP VPN客户端软件，因此其无需安装任何客户端软件，部署和运用比较简洁；但是由于协议自身的缺陷，没有高强度的加密和认证手段，平安性较低；同时这种VPN 技术仅解决了移动用户的VPN访问需求，对于LAN-TO-LAN的VPN应用无法解决。
2．IPSEC VPNIPSEC VPN属于三层VPN技术，协议定义了完整的平安机制，对用户数据的完整性和私密性都有完善的爱护措施；同时工作在网络协议的三层，对应用程序是透亮的，能够无缝支持各种C/S、B/S应用；既能够支持移动用户的VPN应用，也能支持LAN-TO-LAN 的VPN组网；组网方式敏捷，支持多种网络拓扑结构。
其缺点是网络协议比较困难，配置和管理须要较多的专业学问；而且须要在移动用户的机器上安装单独的客户端软件。
计算机网络是一个分层次的拓扑结构，因此网络的安全防护也需采用分层次的拓扑防护措施。
即一个完整的网络信息安全解决方案应该覆盖网络的各个层次，并且与安全管理相结合。
以该思想为出发点，北京天融信公司提出了"网络信息安全解决方案"。
一、网络信息安全系统设计原则• 1.1满足Internet分级管理需求• 1.2需求、风险、代价平衡的原则• 1.3综合性、整体性原则• 1.4可用性原则• 1.5分步实施原则目前，对于新建网络及已投入运行的网络，必须尽快解决网络的安全保密问题，考虑技术难度及经费等因素，设计时应遵循如下思想：（1）大幅度地提高系统的安全性和保密性；（2）保持网络原有的性能特点，即对网络的协议和传输具有很好的透明性；11（3）易于操作、维护，并便于自动化管理，而不增加或少增加附加操作；（4）尽量不影响原网络拓扑结构，便于系统及系统功能的扩展；（5）安全保密系统具有较好的性能价格比，一次性投资，可以长期使用；（6）安全与密码产品具有合法性，并便于安全管理单位与密码管理单位的检查与监督。
基于上述思想，网络信息安全系统应遵循如下设计原则：1．1 满足因特网的分级管理需求根据Internet网络规模大、用户众多的特点，对Internet/Intranet信息安全实施分级管理的解决方案，将对它的控制点分为三级实施安全管理。
第一级：中心级网络，主要实现内外网隔离；内外网用户的访问控制；内部网的监控；内部网传输数据的备份与稽查。
第二级：部门级，主要实现内部网与外部网用户的访问控制；同级部门间的访问控制；部门网内部的安全审计。
第三级：终端/个人用户级，实现部门网内部主机的访问控制；数据库及终端信息资源的安全保护。
1．2 需求、风险、代价平衡的原则对任一网络，绝对安全难以达到，也不一定是必要的。
对一个网络进行实际额研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。
1．3 综合性、整体性原则应用系统工程的观点、方法，分析网络的安全及具体措施。
安全措施主要包括：行政法律手段、各种管理制度（人员审查、工作流程、维护保障制度等）以及专业措施（识别技术、存取控制、密码、低辐射、容错、防病毒、采用高安1全产品等）。
一个较好的安全措施往往是多种方法适当综合的应用结果。
一个计算机网络，包括个人、设备、软件、数据等。
这些环节在网络中的地位和影响作用，也只有从系统综合整体的角度去看待、分析，才能取得有效、可行的措施。
即计算机网络安全应遵循整体安全性原则，根据规定的安全策略制定出合理的网络安全体系结构。
1．4 可用性原则安全措施需要人为去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性，如密钥管理就有类似的问题。
其次，措施的采用不能影响系统的正常运行，如不采用或少采用极大地降低运行速度的密码算法。
1．5 分步实施原则：分级管理分步实施由于网络系统及其应用扩展范围广阔，随着网络规模的扩大及应用的增加，网络脆弱性也会不断增加。
一劳永逸地解决网络安全问题是不现实的。
同时由于实施信息安全措施需相当的费用支出。
因此分步实施，即可满足网络系统及信息安全的基本需求，亦可节省费用开支。
二、网络信息安全系统设计步骤•网络安全需求分析•确立合理的目标基线和安全策略•明确准备付出的代价•制定可行的技术方案•工程实施方案（产品的选购与定制）•制定配套的法规、条例和管理办法本方案主要从网络安全需求上进行分析，并基于网络层次结构，提出不同层次与安全强度的网络信息安全解决方案。
三、网络安全需求确切了解网络信息系统需要解决哪些安全问题是建立合理安全需求的基础。
一般来讲，网络信息系统需要解决如下安全问题：•局域网LAN内部的安全问题，包括网段的划分以及VLAN的实现•在连接Internet时，如何在网络层实现安全性•应用系统如何保证安全性l 如何防止黑客对网络、主机、服务器等的入侵•如何实现广域网信息传输的安全保密性•加密系统如何布置，包括建立证书管理中心、应用系统集成加密等•如何实现远程访问的安全性•如何评价网络系统的整体安全性2基于这些安全问题的提出，网络信息系统一般应包括如下安全机制：访问控制、安全检测、攻击监控、加密通信、认证、隐藏网络内部信息（如NAT）等，具体参见北京天融信公司<。
四、网络安全层次及安全措施• 4.1链路安全• 4.2网络安全• 4.3信息安全网络的安全层次分为:链路安全、网络安全、信息安全网络的安全层次及在相应层次上采取的安全措施见下表。
4．1链路安全链路安全保护措施主要是链路加密设备，如各种链路加密机。
它对所有用户数据一起加密，用户数据通过通信线路送到另一节点后立即解密。
加密后的数据不能进行路由交换。
因此，在加密后的数据不需要进行路由交换的情况下，如DDN直通专线用户就可以选择路由加密设备。
一般，线路加密产品主要用于电话网、DDN、专线、卫星点对点通信环境，它包括异步线路密码机和同步线路密码机。
异步线路密码机主要用于电话网，同步线路密码机则可用于许多专线环境。
4．2网络安全网络的安全问题主要是由网络的开放性、无边界性、自由性造成的，所以我们考虑信息网络的安全首先应该考虑把被保护的网络由开放的、无边界的网络环境中独立出来，成为可管理、可控制的安全的内部网络。
也只有做到这一点，实现信息网络的安全才有可能，而最基本的分隔手段就是防火墙。
利用防火墙，可以实现内部网（信任网络）与外部不可信任网络（如因特网）之间或是内部网不同网络安全域的隔离与访问控制，保证网络系统及网络服务的可用性。
3目前市场上成熟的防火墙主要有如下几类，一类是包过滤型防火墙，一类是应用代理型防火墙，还有一类是复合型防火墙，即包过滤与应用代理型防火墙的结合。
包过滤防火墙通常基于IP数据包的源或目标IP地址、协议类型、协议端口号等对数据流进行过滤，包过滤防火墙比其它模式的防火墙有着更高的网络性能和更好的应用程序透明性。
代理型防火墙作用在应用层，一般可以对多种应用协议进行代理，并对用户身份进行鉴别，并提供比较详细的日志和审计信息；其缺点是对每种应用协议都需提供相应的代理程序，并且基于代理的防火墙常常会使网络性能明显下降。
应指出的是，在网络安全问题日益突出的今天，防火墙技术发展迅速，目前一些领先防火墙厂商已将很多网络边缘功能及网管功能集成到防火墙当中，这些功能有：VPN功能、计费功能、流量统计与控制功能、监控功能、NAT功能等等。
信息系统是动态发展变化的，确定的安全策略与选择合适的防火墙产品只是一个良好的开端，但它只能解决40%－60%的安全问题，其余的安全问题仍有待解决。
这些问题包括信息系统高智能主动性威胁、后续安全策略与响应的弱化、系统的配置错误、对安全风险的感知程度低、动态变化的应用环境充满弱点等，这些都是对信息系统安全的挑战。
信息系统的安全应该是一个动态的发展过程，应该是一种检测──监视──安全响应的循环过程。
动态发展是系统安全的规律。
网络安全风险评估和入侵监测产品正是实现这一目标的必不可少的环节。
网络安全检测是对网络进行风险评估的重要措施，通过使用网络安全性分析系统，可以及时发现网络系统中最薄弱的环节，检查报告系统存在的弱点、漏洞与不安全配置，建议补救措施和安全策略，达到增强网络安全性的目的。
入侵检测系统是实时网络违规自动识别和响应系统。
它位于有敏感数据需要保护的网络上或网络上任何有风险存在的地方，通过实时截获网络数据流，能够识别、记录入侵和破坏性代码流，寻找网络违规模式和未授权的网络访问尝试。
当发现网络违规模式和未授权的网络访问时，入侵检测系统能够根据系统安全策略做出反应，包括实时报警、事件登录，自动阻断通信连接或执行用户自定义的安全策略等。
另外，使用IP信道加密技术（IPSEC）也可以在两个网络结点之间建立透明的安全加密信道。
其中利用IP认证头（IP AH）可以提供认证与数据完整性机制。
利用IP封装净载（IP ESP）可以实现通信内容的保密。
IP信道加密技术的优点是对应用透明，可以提供主机到主机的安全服务，并通过建立安全的IP隧道实现虚拟专网即VPN。
目前基于IPSEC的安全产品主要有网络加密机，另外，有些防火墙也提供相同功能。
4．3信息安全（应用与数据安全）在这里，我们把信息安全定义为应用层与数据安全。
在这一层次上，主要是应用密码技术解决用户身份鉴别、用户权限控制、数据的机密性、完整性等网络上信息的安全问题。
由于网络的开放性和资源的共享，使得网络上的信息（无论是动态的还是静态的）的使用和修改都是自由的，如非法修改、越权使用、改变信息的流向等。
这也必然威胁到信息的可控性、可用性、保密性、完整性等安全属性。
为了保证信息的安全，我们必须采取有效的技术措施。
这些措施主要从以下几个方面解决信息的安全问题，即：用户身份鉴别、用户权限控制、信息的传输安全、信息的存储安全以及对信息内容的审计。
北京天融信公司为解决这一层次的安全问题而提供的相关产品有：•w Internet/Intranet加密系统：它为应用程序提供身份鉴别、数据加密、数字签名和自动密钥分发等安全功能。
•CA系统：建立证书中心（CA）即公钥密码证书管理中心，是公钥密码技术得以大规模应用的前提条件。
公钥密码算法在密钥自动管理、数字签名、身份识别等方面是传统对称密码算法所不可代替的一项关键技术。
尤其在当前迅猛发展的电子商务中，数字签名是电子商务安全的核心部分。
公钥密码算法用于数字签名时须借助可信的第三方对签名者的公开密钥提供担保，这个可信的第三方就是CA。
因此，建立CA是开展电子商务的先决条件。
另外，CA还可为各种基于公钥密码算法建立的网络安全系统提供认证服务。
•端端加密机：这类密码机只对用户数据中的数据字段部分加密，控制字段部分则不加密，用户数据加密后通过网络路由交换到达目的地后才进行解密。
用户数据在网络的各个交换节点中传输时始终处于加密状态，有效地防止了用户信息在网络各个环节上的泄漏和篡改问题。
端端系列加密机系列目前主要用于X.25分组交换4网等端到端通信环境，为X.25网用户提供全程加密服务，它支持专线及电话拨号两种入网方式。
•信息稽查系统：是针对信息内容进行审计的安全管理手段，该系统采用先进的状态检查技术，以透明方式实时对进出内部网络的电子邮件和传输文件等进行数据备份，并可根据用户需求对通信内容进行审计，并对压缩的文件进行解压还原，从而为防止内部网络敏感信息的泄漏以及外部不良信息的侵入和外部的非法攻击提供有效的技术手段。
•办公自动化文电加密系统：文电办公自动化安全保密系统是用于文件和电子邮件传送、存储以及访问控制的应用系统，是应用层加密系统。
