北京电信防病毒网关技术建议书

《北京电信防病毒网关技术建议书》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、北京电信防病毒网关技术建议书2009-11目录第一部分背景3第二部分安全风险与现状分析42.1现状分析42.2当前安全风险52.2.1应用层恶意软件威胁分析52.2.2网络层恶意软件威胁分析62.2.3系统层恶意软件威胁分析72.3整体恶意软件防护设计思路7第三部分边界恶意软件防护需求与选型指南8第四部分边界恶意软件防护解决方案10第一部分背景近几年，国家信息化领导小组下发了“关于加强信息安全保障工作的意见”(中办发[2003]27号)文件把网络与信息安全工作提高为国家安全的重要组成部分，明确了加强信息

2、安全保障工作的总体要求，即：“坚持积极防御、综合防范的方针，全面提高信息安全防护能力，重点保障基础信息网络和重要信息系统安全，创建安全健康的网络环境，保障和促进信息化发展，保护公众利益，维护国家安全”。文件要求正确处理安全与发展的关系，统筹规划，突出重点，强化基础性工作。北京电信严格按照国家的相关政策和要求，根据不同的保护等级，从网络、主机、应用系统不同层面逐步建设由安全基础设施（如防火墙、入侵检测、防病毒、账号管理等）构成的多层立体防护体系。在此背景下，北京电信对全网的病毒防护提出完整的技术要求，以完

3、善全网病毒防护立体防护体系架构，防止病毒入侵，完善网络防病毒能力，阻止蠕虫、木马、后门程序等通过互联网网关进入并通过局域网传播和扩散，保障数据安全和网络的正常运行。为了提高北京电信网络安全性，提出针对目前北京电信系统需要的边界安全防护技术需求。在此建议书中指出采用目前国内网主流的边界恶意软件防护技术，建设北京电信网络系统统一、安全、稳定、高效的病毒安全维护体系，形成涵盖北京电信终端、应用和管理等信息系统各个方面的安全总体病毒防护方案及安全策略。第二部分安全风险与现状分析2.1现状分析北京电信业务系统分为

4、三出口多业务的架构，在各出口下发分别为彩信短信网关、来电提醒、WAP站点、WAP网关、彩铃业务、智能网系统和ISAG等重要业务系统提供Internet接口以及外联DCN等接口。从网络拓扑分析，所有核心业务系统均采用冗余链路与汇聚交换机连接，同时汇聚交换机、出口路由器、防火墙也均采用双链路连接。业务连续性、稳定性和冗余性得到充分保障。在安全性保证方面，分别在ChinaNet与DCN接口部署防火墙进行访问控制策略与网络层安全防护。由于ChinaNet出口能够连接至外网并为下级各业务服务器提供Internet

5、接入服务，由于防火墙网络数据过滤的局限性，在防火墙所开放的重要业务端口如：80、21、25、110、143等都需要在防火墙开放，而且业务端口中传输的数据是否为正常数据、是否夹带了病毒程序等则难以辨别。网络示意图如下：2.2当前安全风险当前90%以上的恶意软件都是来自于互联网，并且网络病毒和蠕虫攻击速度非常惊人。蠕虫、木马和间谍软件等恶意软件是当今最危险、最流行的安全威胁，传输途径主要包括SMTP和POP3邮件以及HTTP和FTP通讯。上述病毒现在都被称为恶意代码(Malware)，为Maliciouss

6、oftware的简写。按照国际著名信息安全专家、克林顿安全办公室顾问，EdSkoudis的定义：“恶意代码是运行在你的计算机上，使系统按照攻击者意愿执行任务的一组指令。”尽管近几年我们才目睹恶意代码的迅速增长，但它并不是什么新鲜事物。二十多年前，第一次被报道的计算机病毒就在AppleII中被发现，随着Internet的飞速发展，恶意代码更是肆虐传播。按照其传播机制和危害，恶意代码可以区分为：计算机病毒、网络蠕虫、网页病毒、后门、木马、RootKit、间谍程序等，混合型恶意代码也越来越多。要抵御当今的病毒

7、和混合型恶意代码，仅仅一个单一解决方案是远远不够的，除了针对桌面设备的强大反病毒保护以外，在互联网网关、内部网络之间等安全环节防范恶意软件，基于边界、终端的恶意软件防护组合并已成为恶意代码立体防范技术的发展趋势。2.2.1应用层恶意软件威胁分析应用层的恶意软件通常来自于以下五种传播途径：²互联网接口：由于互联网接口与Internet相联，内部所有访问互联网的行为和内部服务器对外提供的WEB服务等都通过互联网接口子域与互联网通讯，虽然有防火墙，仍会受到来自HTTP，FTP，SMTP，POP3等应用层通讯协

8、议数据流为载体的潜在病毒的威胁和网络层蠕虫病毒的攻击。²远程接入：包括远程拨号接入，渠道营销合作伙伴远程VPN接入等方式，由远程终端发起TCP连接，与内部系统进行数据交换。这种类型的接入是无法控制接入端是否带病毒，病毒有可能会通过这种渠道传播进入业务支撑系统。²终端设备：由于终端设备的使用情况比较复杂，也没有很好的安全操作规范，因此这些终端有可能携带病毒的进入网络。这些终端包括业务操作终端，厂家测试终端等。这些终端通过插入带有病毒的介质(光