计算机专网安全产品解决方案（网络防火墙）
宁波市政府 计算机专网安全产品解决方案 （网络防火墙） 方正数码有限公司 2002年2月 1. 背景介绍 5 1.1. 项目总述 5 1.2. 网络环境总述 5 1.3. 业务现状 6 1.4. 网络信息安全概况 7 1.4.1. 网络安全现状 8 1.4.2. 典型的黑客攻击 8 1.4.3. 网络与信息安全平台的任务 10 2. 安全架构分析与设计 11 2.1. 网络整体结构 11 2.1.1. 宁波在全国政府专网中的位置 12 2.1.2. 光纤网络平台 12 2.2. 宁波政府专网安全风险分析 14 2.2.1. 主要应用服务的安全风险 14 2.2.2. 网络中主要系统的安全风险 15 2.2.3. 数据库系统安全分析 16 2.2.4. Unix系统的安全分析 16 2.2.5. Windows NT系统的安全分析 17 2.2.6. 管理系统的安全风险 17 2.3. 宁波政府专网安全风险解决方案设计的原则和目标 18 2.3.1. 网络安全解决方案的组成 19 2.3.2. 超高安全要求下的网络保护 21 2.4. 防火墙选型 22 2.5. 防火墙设置及工作模式 23 2.6. 防火墙功能设置及安全策略 23 2.6.1. 完善的访问控制 23 2.6.2. 内置入侵检测（IDS） 24 2.6.3. 代理服务 24 2.6.4. 日志系统及系统报警 24 2.6.5. 带宽分配，流量管理 25 2.6.6. H.323支持 25 2.6.7. 系统升级 25 2.6.8. 双机备份 26 2.6.9. 防火墙方案特点 26 2.7. 防火墙整体布局 27 2.8. 宁波市政府系统计算机专网核心节点市政府办公厅网络 28 2.9. 各区及委、办、局的安全网络 28 2.10. 集中管理和分级管理 29 3. 产品选型 30 3.1. 防火墙与入侵检测的选型 30 3.1.1. 方正数码公司简介 30 3.2. 方正方御防火墙（100M） 31 3.2.1. 产品概述 31 3.2.2. 系统特点 31 3.2.3. 方御防火墙（百兆）的性能 35 3.2.4. 方正方御防火墙功能说明 36 3.3. 方正方御防火墙（1000M） 47 3.3.1. 产品概述 47 3.3.2. 系统特点 48 3.3.3. 方正方御千兆防火墙功能说明 49 3.3.4. 方御防火墙（千兆）的性能 59 4. 工程实施方案 61 4.1. 合同签订阶段的工作实施 61 4.2. 发货阶段的实施 62 4.3. 到货后工作的实施 63 4.4. 测试及验收 64 4.4.1. 测试及验收描述 64 4.5. 系统初验 65 4.5.1. 功能测试 65 4.5.2. 性能测试 65 4.5.3. 实施人员 65 5. 培训方案 66 5.1. 培训目标 66 5.2. 培训课程 66 5.3. 培训方式 66 5.4. 培训时长 66 5.5. 培训地点 66 5.6. 培训人数 67 5.7. 培训讲师 67 5.8. 入学要求 68 6. 售后服务和技术支持 69 6.1. 售后服务内容 69 6.2. 保修 70 6.3. 保修方式 71 6.4. 保修范围 71 6.5. 保修期的确认 72 6.6. 全国服务网络 72 6.7. 场地及环境准备 72 6.7.1. 常规要求 72 6.7.2. 机房电源、地线及同步要求 73 6.7.3. 设备场地、通信 73 6.7.4. 机房环境 73 6.8. 验收清单 75 6.8.1. 设备开箱验收清单 75 6.8.2. 用户信息清单 75 6.8.3. 用户验收清单 76 7. 方案整体优势 78 8. 方正方御防火墙荣誉证书 79 背景介绍 1 项目总述 政府专网是宁波市政府信息化建设的基础工程，是以宁波市政府东、北大院计算机局 域网为核心，以宽带光纤网络为通信平台，围绕业务管理、数据交换、语音通信、重大 事件处理、视频会议等应用，覆盖宁波市各县（市）、区政府，市政府各部门，市委办 、人大办、政协办及市委各工作部门等，并与全国、全省政府专网联接，共约122个节点 的城域网。 政府专网是独立于公共网络之外的政府系统专用网络，物理上与外部公共网络隔离。 专网内部进行逻辑分割，采用防火墙隔离、审计检测等措施，建立有效的网络安全防范 体系，以满足国家党政机关网络可传送普密级信息的通信安全保密要求。 政府专网涉及范围广，建设要求高，需分期分批进行建设。整个建设周期分为二期， 第一期41个节点于2002年2月底前完成，第二期约81个节点于2002年完成。目前已经完成 网络平台、系统集成、系统商务标的招投标工作，正在抓紧进行网络平台建设及相关设 备的订购采购工作。政府专网建成后，将极大地促进政府业务规范化、办公自动化、管 理智能化、决策科学化、提高政府机关办事工作效率，实现政府各部门以及上下级政府 部门之间信息和资源的共享。 2 网络环境总述 市区内采用千兆以太网技术，市区外采用IP OVER SDH传输技术，各节点用物理光纤接入。政府专网以市政府办公厅为核心节点，在市区内 采用4个汇集点，各节点用物理光纤就近接入汇集点。在市区外利用网络供应商提供的S DH环路，各节点用物理光纤接入SDH环。核心节点与SDH环通过物理光纤连接，把市内和 市外两部分连通，组成完整的政府专网网络平台。总体结构请参见网络总体拓扑图。 [pic] 另外，省政府专网的光纤接入到IBM2216路由器，再经过防火墙（上海华堂），以百 兆方式接入核心节点的接入交换机。 国务院专网的帧中继专线接入到CISCO路由器，再经过防火墙（中科院的安胜（ERCI ST）防火墙），以百兆方式接入核心节点的接入交换机。 宁波市处理重大事件指挥中心（以下简称指挥中心）是一个独立的网段，以多模光纤 接入核心点的接入交换机，中间需以防火墙隔离。 市政府西大院所有单位作为一个节点，用4芯光纤接入汇集点。 政府专网采用CISCO的WORKS2000 FOR NT作为网管软件。 3 业务现状 首先，宁波市政府与上级政府部门的信息数据交换量非常大。一方面，国务院、省政 府需要宁波市政府上报大量信息，如地方经济运行状况、经济规划、社会治安情况等； 另一方面，宁波市政府也需要及时了解国家有关政策、法规的最新情况。第二，宁波市 政府与各县区政府数据交换量也相当大。第三，为了切实做好政府各项综合管理工作， 市政府要领导、安排、督促和协调政府各职能部门工作，因此与各部门业务联系十分密 切，信息交换量很大。第四，市政府与市委、人大及政协系统之间信息交流也十分频繁 。 1.宁波市与上级政府部门之间的信息交流以公文、通知通告、要闻信息等文字资料为 主。 2.宁波市政府系统（含与市委、人大、政协系统之间）内部信息交流内容，主要有： ·网上办公：公文及业务工作网上办理流转。 ·宏观信息：包括国际、国内、省内、省外、市内、市外宏观经济数据，每日信息， 重要会议，重大事件。 ·基本信息：包括市情、县情，各级领导情况，机构设置、直属机构设置、编制、职 能职责、联系电话、邮箱地址等。 ·通知通告：包括会议、学习、上报材料等通知，系统内的通报等。 ·工作动态：国家、省、市政府及政府有关部门的重要政策信息，政府内部改革思路 新经验等。 ·重大事件处理：综合治理、灾害、汛情、交通等方面的文字、图像及视频信息。 ·政策法规：地方政策法规和国家、浙江省的政策法规 ·行业数据：科技、文化、教育、交通等方面的行业数据。 ·地理信息系统：规划、建筑、地形地貌等方面的数据，包括大型图片。 ·会计核算中心：财务数据 ·经济服务中心：批文、办事程序等数据 以上诸项信息内容除已说明以外，其余都为文字、数字等形式。 4 网络信息安全概况 目前，很多公开的新闻表明美国国家安全局（NSA）有可能在许多美国大软件公司的 产品中安装“后门”，其中包括一些应用广泛的操作系统。为此德国军方前些时候甚至规 定在所有牵涉到机密的计算机里，不得使用美国的操作系统。作为信息安全的保障，我 们在安全产品选型时强烈建议使用国内自主开发的优秀的网络安全产品，将安全风险降 至最低。 在为各安全产品选型时，我们立足国内，同时保证所选产品的先进性及可靠性，并要 求通过国家各主要安全测评认证。 1 网络安全现状 Internet正在越来越多地融入到社会的各个方面。一方面，随着网络用户成分越来越 多样化，出于各种目的的网络入侵和攻击越来越频繁；另一方面，随着Internet和以电 子商务为代表的网络应用的日益发展，Internet越来越深地渗透到各行各业的关键要害 领域。Internet的安全包括其上的信息数据安全，日益成为与政府、军队、企业、个人 的利益休戚相关的“大事情”。尤其对于政府和军队而言，如果网络安全问题不能得到妥 善的解决，将会对国家安全带来严重的威胁。 2000年二月，在三天的时间里，黑客使美国数家顶级互联网站－Yahoo!、Amazon、e Bay、CNN陷入瘫痪，造成了十几亿美元的损失，令美国上下如临大敌。黑客使用了DDoS （分布式拒绝服务）的攻击手段，用大量无用信息阻塞网站的服务器，使其不能提供正 常服务。在随后的不到一个月的时间里，又先后有微软、ZDNet和E*TRADE等著名网站遭 受攻击。 国内网站也未能幸免于难，新浪、当当书店、EC123等知名网站也先后受到黑客攻击 。国内第一家大型网上连锁商城IT163网站3月6日开始运营，然而仅四天，该商城突遭网 上黑客袭击，界面文件全部被删除，各种数据库遭到不同程度的破坏，致使网站无法运 作。 客观地说，没有任何一个网络能够免受安全的困扰，依据Financial Times曾做过的统计，平均每20秒钟就有一个网络遭到入侵。仅在美国，每年由于网络安 全问题造成的经济损失就超过100亿美元。 2 典型的黑客攻击 黑客们进行网络攻击的目的各种各样，有的是出于政治目的，有的是员工内部破坏， 还有的是出于好奇或者满足自己的虚荣心。随着Internet的高速发展，也出现了有明确 军事目的的军方黑客组织。 在典型的网络攻击中，黑客一般会采取如下的步骤： 自我隐藏，黑客使用通过rsh或telnet在以前攻克的主机上跳转、通过错误配置的pr oxy主机跳转等各种技术来隐藏他们的IP地址，更高级一点的黑客，精通利用电话交换侵 入主机。 网络侦探和信息收集，在利用Internet开始对目标网络进行攻击前，典型的黑客将会 对网络的外部主机进行一些初步的探测。黑客通常在查找其他弱点之前首先试图收集网 络结构本身的信息。通过查看上面查询来的结果列表，通常很容易建立一个主机列表并 且开始了解主机之间的联系。黑客在这个阶段使用一些简单的命令来获得外部和内部主 机的名称：例如，使用nslookup来执行 “ls ”， finger外部主机上的用户等。 确认信任的网络组成，一般而言，网络中的主控主机都会受到良好的安全保护，黑客 对这些主机的入侵是通过网络中的主控主机的信任成分来开始攻击的，一个网络信任成 员往往是主控主机或者被认为是安全的主机。黑客通常通过检查运行nfsd或mountd的那 些主机输出的NFS开始入侵，有时候一些重要目录（例如/etc，/home）能被一个信任主 机mount。 确认网络组成的弱点，如果一个黑客能建立你的外部和内部主机列表，他就可以用扫 描程序（如ADMhack, mscan, nmap等）来扫描一些特定的远程弱点。启动扫描程序的主机系统管理员通常都不知道一 个扫描器已经在他的主机上运行，因为’ps’和’netstat’都被特洛伊化来隐藏扫描程序。 在对外部主机扫描之后，黑客就会对主机是否易受攻击或安全有一个正确的判断。 有效利用网络组成的弱点，当黑客确认了一些被信任的外部主机，并且同时确认了一 些在外部主机上的弱点，他们就要尝试攻克主机了。黑客将攻击一个被信任的外部主机 ，用它作为发动攻击内部网络的据点。要攻击大多数的网络组成，黑客就要使用程序来 远程攻击在外部主机上运行的易受攻击服务程序，这样的例子包括易受攻击的Sendmail ,IMAP,POP3和诸如statd,mountd, pcnfsd 等RPC服务。 获得对有弱点的网络组成的访问权，在攻克了一个服务程序后，黑客就要开始清除他 在记录文件中所留下的痕迹，然后留下作后门的二进制文件，使其以后可以不被发觉地 访问该主机。 目前，黑客的主要攻击方式有： 欺骗：通过伪造IP地址或者盗用用户帐号等方法来获得对系统的非授权使用，例如盗 用拨号帐号。 窃听：利用以太网广播的特性，使用监听程序来截获通过网络的数据包，对信息进行 过滤和分析后得到有用的信息，例如使用sniffer程序窃听用户密码。 数据窃取：在信息的共享和传递过程中，对信息进行非法的复制，例如，非法拷贝网 站数据库内重要的商业信息，盗取网站用户的个人信息等。 数据篡改：在信息的共享和传递过程中，对信息进行非法的修改，例如，删除系统内 的重要文件，破坏网站数据库等。 拒绝服务：使用大量无意义的服务请求来占用系统的网络带宽、CPU处理能力和IO能 力，造成系统瘫痪，无法对外提供服务。典型的例子就是2000年年初黑客对Yahoo等大型 网站的攻击。 黑客的攻击往往造成重要数据丢失、敏感信息被窃取、主机资源被利用和网络瘫痪等 严重后果，如果是对军用和政府网络的攻击，还会对国家安全造成严重威胁。 3 网络与信息安全平台的任务 网络...
计算机专网安全产品解决方案（网络防火墙）