xxx网络网关安全建设建议书

《xxx网络网关安全建设建议书》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、XXX网络网关安全建设建议书XXX有限公司2008年11月第16页1前言31．1范围定义31．2参考标准32网络边界脆弱性和风险分析43网络边界安全需求44网络边界安全建议方案64．1设计目标64．2设计原则64．3安全产品的选型原则74．4网络边界安全建议方案75方案中配置产品简介95．1JuniperSSG550安全业务网关95.2EX3200交换机14第16页1前言1．1范围定义本文针对的是XXX网络的网关安全问题。本次方案将给出相应的解决方案。1．2参考标准XXX网络属于一个典型的行业网络，

2、必须遵循行业相关的保密标准，同时，为了保证各种网络设备的兼容性和业务的不断发展需要，也必须遵循国际上的相关的统一标准，我们在设计XXX的网络安全解决方案的时候，主要参考的标准如下：üNASIATF3.1美国国防部信息保障技术框架v3.1üISO15408/GB/T18336信息技术安全技术信息技术安全性评估准则，第一部分简介和一般模型üISO15408/GB/T18336信息技术安全技术信息技术安全性评估准则，第二部分安全功能要求üISO15408/GB/T18336信息技术安全技术信息技术安全性评

3、估准则，第三部分安全保证要求ü加拿大信息安全技术指南,1997üISO17799第一部分,信息安全管理CodeofPracticeforInformationSecurityManagementüGB/T18019-1999包过滤防火墙安全技术要求；üGB/T18020-1999应用级防火墙安全技术要求；ü国家973信息与网络安全体系研究G1999035801课题组IATF《信息技术保障技术框架》。第16页1网络边界脆弱性和风险分析网络的边界隔离着不同功能或地域的多个网络区域，由于职责和功能的不同，

4、相连网络的密级也不同，这样的网络直接相连，必然存在着安全风险，下面我们将对XXX网络的网络边界问题做脆弱性和风险的分析。XXX的网络主要存在的边界安全风险包括：üXXX网络与Internet连接。Internet是将世界各地不信任的网络相连而成，给大家带来极大方便的同时，各种各样的威胁也随之而来。XXX网络极有可能遭到来自Internet恶意攻击和计算机病毒的入侵，致使网络局部或整体瘫痪，导致业务无法正常运行给公司带来巨大的损失；üXXX网络内部的服务器，为公司的业务的正常运行提供保障。服务器的正常

5、运行就显得非常重要。对服务器进行访问控制将使服务器得到很好的保护。一旦公司的服务器受到恶意的攻击，将导致重要信息的泄漏或者是网络的瘫痪。直接影响到公司的业务无法正常运行。2网络边界安全需求通过上面的网络边界脆弱性和风险的分析，我们认为整个XXX网络的网络边界处存在着一定的安全隐患。下面将对网络边界的安全需求进行详细分析。防火墙是实现网络逻辑隔离的首选技术，在XXX的网络中，既要保证在整个网络的连通性，又要实现不同网络的逻辑隔离。针对XXX网络的具体情况，得到的防火墙的需求包括以下几个方面：ü先进的安

6、全理念支持基于安全域的策略设定，让用户能够更好的理解防火墙的应用目的。ü访问控制防火墙必须能够实现网络边界的隔离，具有基于状态检测的包过滤功能，能够实现针对源地址、目的地址、网络协议、服务、时间、带宽等的访问控制，能够实现网络层的内容过滤，支持网络地址转换等功能。第16页ü高可靠性由于防火墙是网络中的重要设备，意外的当机都会造成网络的瘫痪，因此防火墙必须是运行稳定，故障率低的系统。ü日志和审计要求防火墙能够对重要关键资源的使用情况应进行有效的监控，防火墙系统应有较强的日志处理能力和日志分析能力，能够

7、实现日志的分级管理、自动报表、自动报警功能，同时希望支持第三方的日志软件，实现功能的定制。ü身份认证防火墙本身必须支持身份认证的功能，在简单的地方可以实现防火墙本身自带数据库的身份认证，在大型的情况下，可以支持与如RADIUS等认证服务器的结合使用。ü易管理性系统的安装、配置与管理尽可能的简洁，安装便捷、配置灵活、操作简单。ü高安全性作为安全设备，防火墙本身必须具有高安全性，本身没有安全漏洞，不开放服务，可以抵抗各种类型的攻击。针对防火墙保护的服务器的拒绝服务攻击，防火墙可以进行阻挡，并且在阻挡的同

8、时，保证正常业务的不间断。ü高性能作为网络的接入设备，防火墙必须具有高性能，不影响原有网络的正常运行，千兆防火墙的性能应该在1000Mbps以上，并发连接数要在12万以上。ü可扩展性系统的建设必须考虑到未来发展的需要，系统必须具有良好的可扩展性和良好的可升级性。支持标准的IP、IPSEC等国际协议。支持版本的在线升级。ü易实现性防火墙可以很好的部署在现有的网络当中，最小改变网络的拓扑结构和应用设计。防火墙要支持动态路由、VLAN协议、H323协议等。第16页1网络边界