数据加载中...

数据中心信息安系统部署方案-鲁广北大青鸟学员作品

责任编辑：宏鹏来源：武汉北大青鸟鲁广校区发布时间：2014-12-27 10:10:36

导读：不同的安技术与网络，主机，应用等整个市XXX系统密切相关。制订基本的设计原则有助于我们实现终的系统设计目标。下面我们来看看武汉北大青鸟鲁广校区学员如何制定一个安性高并可行的网络安解决方案。

方案设计原则

网络信息安是一个系统的工程，它包含防火墙、入侵检测、防病毒、漏洞扫描、身份认证等一系列安产品和技术。如何有效的集成这些安技术是一个复杂的系统工程，不同的安技术与网络，主机，应用等整个市XXX系统密切相关。制订基本的设计原则有助于我们实现终的系统设计目标。下面我们来看看武汉北大青鸟鲁广校区学员如何制定一个安性高并可行的网络安解决方案。

我们先确立了以下的设计原则:

1. 安性

2. 高性能

3. 易用性

4. 高可用性

5. 易管理性

6. 可扩展性

7. 完善的服务

方案设计结构

根据系统总体设计原则，我们提出如上图所示的总体规划，对数据中心信息安系统的网络的安设计分为：防火墙系统、入侵检测系统、网络隔离系统、内网安管理系统、多应用认证系统、网页防篡改系统、磁盘存储系统、服务器和数据中心信息安系统专业网络安服务.以下分别对上图中所列的安产品部署情况进行描述。

防火墙系统

根据北大青鸟鲁广校区多年的网络安经验，建议采用天融信网络卫士NGFW4000-UF千兆级防火墙产品。一台保护办公自动化系统服务器,一台保护案件管理服务器,一台保护其他类型服务器.

1、防火墙对服务器群的保护

由于各种应用服务器等公开服务器属于对外提供公开服务的主机系统，因此对于这些公开服务器的保护也是十分必要的;具体可以利用天融信防火墙4000千兆系统的安服务器网络(SSN)的特性，将公开服务器连接在千兆防火墙的SSN区上。

2、防火墙对核心内部业务网的保护

对于核心内部业务网部分在实施策略时，也可以配置防火墙4000系统工作与透明模式下，并设置只允许核心内部网能够访问外界有限分配资源，而不允许外界网络访问核心内部网信息资源或只允许访问有限资源;也可以在防火墙上配置NAT或MAP策略，能够更好地隐藏内部网络地址结构等信息，从而更好地保护核心内部网的系统安。

3、防火墙对网络边界的保护

对于XXX网络而言，外接网络系统和内网都是一个独立的网络安区域，因此在网络边界处配置天融信网络卫士防火墙4000系统，制定安的访问策略，不可以有效地保护内部网络中的系统和数据安，还可以防止各网络之间有意无意地探测和攻击行为。

4、建立完整、动态的安防护体系

在防火墙4000上除了通过设置安策略来增加对服务器或内部网的保护以外，同时还可以启用防火墙4000日志服务器记录功能来记录所有的访问情况，对非法访问进行监控;还可以使用防火墙4000与本次一起实施的入侵检测系统之间的实时联动功能，形成动态、完整的、安的防护体系。

入侵检测系统

1、入侵检测系统技术安防护方案

利用防火墙技术，经过仔细的配置，通常能够在内外网之间提供安的网络保护，降低了网络安风险。而入侵检测系统可以说是防火墙系统的合理补充和延伸，如果说防火墙是道安闸门，入侵检测系统可以说是第二道安闸门。入侵检测系统(Intrusion Detection System)是从计算机网络中的关键点收集信息，并分析这些信息，查看网络中是否存在违反安策略的行为。

2、入侵检测系统对网络的保护

入侵检测技术是主动保护自己免受攻击的一种网络安技术。作为防火墙的合理补充，入侵检测技术能够帮助系统对付网络攻击，扩展了系统管理员的安管理能力(包括安审计、监视、攻击识别和响应)，提高了信息安基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息。

网络隔离系统

本方案建议采用中网物理隔离网闸X-GAP8500，放置于内部局域网与外部局域网之间，控制两边网络的信息交换和与Internet信息的交换。

1、使用网络隔离系统的环境

内部办公自动化网络安需求，不能够把机密文件和重要信息。利用隔离网闸把外网和内网分开，在没有配置交换模块的情况下，内网的信息是不能够发布到外网去的。

2、网络隔离系统的特点和部署

对此次我们采用中网物理隔离网闸X-Gap 8500产品。

过去的物理隔离策略主要采取的是物理隔离卡，该种方式虽然能够起到物理隔离的作用，但是却不能进行数据实时交换，工作效率很低。而中网物理隔离网闸X-GAP产品是运用先进物理隔离网络安技术设计的安网闸，保证内部网络与不可信网络物理隔断，能够阻止各种已知和未知的网络层和操作系统层攻击，提供比防火墙、入侵检测等技术更好的安性能，既保证了物理的物理隔离，又实现在线式实时访问不可信网络(如Internet、外部网络)所必需的数据交换,通过强大的协议检查、内容审查、用户审计等手段来确保内外网资源、信息和数据的安交换。

要解决的问题是：内部局域网(内网)在物理隔离的同时，通过内部局域网的补丁分发服务器和外部内网上的补丁分发服务器同步补丁升级文件;内网防病毒服务器通过隔离网闸从Internet上升级病毒码;内网数据库服务器和托管的数据库服务器同步数据库。

要解决这些问题，在两个网络的中心交换机之间放一台中网物理隔离网闸X-GAP8500即可，达到的效果如下：

1、内网防病毒服务器通过隔离网闸从Internet定时升级病毒库;

2、内网补丁分发服务器通过隔离网闸从外网补丁分发服务器升级补丁文件;

3、内网的数据库服务器和托管的数据库服务器同步数据库。

网络安管理系统

我们采用联软的IT综合监控管理系统LeagView UniMon一套来进行内网的安管理。

1、综合监控和网络安管理系统概述

此外，由于计算机系统是一个复杂的系统，电子器件老化、线路与电源故障，或者设备配置失误，都有可能导致系统的中断。如何在系统发生故障的情况下，时间发现故障源并且及时恢复系统运行，这是一个至关重要的问题。由于IT系统庞大，设备种类繁多，不同系统由不同专业技术人员维护，难以做到及时发现故障。

为解决安、故障、性能管理问题，以及IT系统运行管理中的其它问题，需要建立一套IT运行监控与安管理系统，对IT系统进行“故障、性能、安”方面的管理和监控。

2、综合监控和网络安管理系统部署

建设目标