资源描述：
杭州华三通信技术有限公司,深圳市燃气集团股份有限公司新大楼网络与安全规划建议,2021年3月25日,H3C对燃气本次项目的理解,,,,园区交换机的发展趋势,核心层高稳定、高性能、高可靠核心层承担整个园区流量的转发，毫秒级不间断转发和万兆性能是现代园区网的显著特征汇聚层智能应用网络增加四到七层的智能业务识别和控制的功能使客户能更好了解和控制目前复杂的网络接入层安全接入网在接入层交换机引入防病毒的机制，配合EAD软件可以防止熊猫烧香、ARP等病毒的干扰，构建安全接入网,,,,..,,,,核心层,汇聚层,接入层,采用层次化、模块化的网络设计结构，通过接入、汇聚、核心三层的组网模式，不同层次关注不同的特性配置。,.,,,,,,楼栋汇聚交换机,各应用服务器,防火墙,,,楼栋汇聚交换机,,西丽、宝安、龙岗大型分支,,10G光缆,1000M电缆,连运营商,总部,燃气平面图组网拓扑建议,燃气集团总体网络层次设计,关键区域划分核心网络与办公网络数据中心调度中心生产网呼叫中心网络DMZ,互联网应用发布分支机构与移动用户接入合作伙伴接入互联网接入区,,,网络方案设计要点（三层）,企业网络核心交换机采用万兆核心交换机作为双活双备架构，采用IRF2作为网络的扁平化设计简化网络拓扑合理化双机资源。通过万兆光纤上联防火墙接入深圳本地城域网专线。汇聚交换机采用双汇聚双接入，万兆上行，万兆下行的接入。保证汇聚层的双机冗余。接入层交换机采用全千兆交换桌面，双万兆线路到汇聚保证接入层的线路冗余。无线网络采用在核心交换机上连入无线控制器，把16层楼栋的无线AP统一管理起来，实现一体化无线网络管理。服务器区采用千兆接入、万兆上联交换机，通过双万兆线路连接到数据中心核心交换机上，数据中心双冗余万兆核心交换机通过双万兆光纤连接企业网络核心万兆交换机。数据中心接入交换机提供千兆交换网络到服务器，提供少量（2台）万兆接入交换机给支持万兆网络的服务器使用，保证服务器区的快速访问。呼叫中心网络采用两台核心级交换机实现双机冗余，保证IP电话机的千兆快速交换，业务板上加POE供电保证IP电话的及时供电。整网部署网络智能管理平台，集中、安全、平稳的管理所有的网络设备。,,,网络方案设计要点（二层）,企业网络核心交换机采用万兆核心交换机作为双活冗余架构，采用IRF2作为网络的扁平化设计简化网络拓扑合理化双机资源。通过万兆光纤上联防火墙接入深圳本地城域网专线。接入层交换机采用全千兆交换到桌面，双线路到核心保证接入层的线路冗余。接入层交换机采用万兆技术先堆叠，后采用万兆双链路到核心保证骨干万兆，核心线路冗余。无线网络采用在核心交换机上连入无线控制器，把16层楼栋的无线AP统一管理起来，实现一体化无线网络管理。服务器区采用千兆接入、万兆上联交换机，通过双万兆线路连接到数据中心核心交换机上，数据中心双冗余万兆核心交换机通过双万兆光纤连接企业网络核心万兆交换机。数据中心接入交换机提供千兆交换网络到服务器，提供少量（2台）万兆接入交换机给支持万兆网络的服务器使用，保证服务器区的快速访问。呼叫中心网络采用两台核心级交换机实现双机冗余，保证IP电话机的千兆快速交换，业务板上加POE供电保证IP电话的及时供电。整网部署网络智能管理平台，集中、安全、平稳的管理所有的网络设备。,,,用户接入网二层与三层的比较（一）,有/无汇聚层的功能差异,,,用户接入网二层与三层的比较（二）,用户接入网络二层架构与三层架构优劣势比较,系统稳定性与可扩展性占优,管理方便性与成本占优,,,安全风险分析,管理类攻击机制主要包括利用人为的错误和疏忽；伪造类；基础设施与网络；机房环境；欺骗获取特权访问；提供I/O物理访问；文档管理漏洞；搬运和维修做手脚；背后刺探信息；口令猜测；密码管理；不适当的注释；失去控制；组合和序列攻击。,威胁来源分析构成威胁的攻击机制有100种以上，宏观来说主要是管理类攻击机制和系统类攻击机制。,系统类攻击机制主要包括各种运行异常处理攻击机制；资源可用性操作攻击机制；系统维护期间失去安全保护攻击机制；测试期间失去安全保护攻击机制；机房技术攻击（静电）；基础设施和信道传输攻击（同步信号失步和基于时间的攻击，传输中插入、刺探和修改等）；利用系统各种Bug、错误、故障等进行攻击（调用参数错误、错误模式匹配、中断序列错误处理、不完善的Daemon服务、再故障的故障处理、非法数值插入等）；特洛伊木马类；计算机病毒类；密码分析技术；隐蔽通道攻击；拒绝服务攻击；网络服务和协议攻击；硬件系统故障漏洞；进程间通讯攻击；电子干扰；组合和序列攻击等。,,,安全脆弱性分析,缺乏基础的安全保护措施，主要体现在生产网络、办公网络、分支机构网络之间没有足够的安全屏障，不同的网络边界安全域（安全级别不同）之间，内部Intranet与Internet之间没有设置牢固的安全屏障；各分支机构之间、分支机构与总部之间，通过VPN方式或城域网连接在一起，因未实施边界安全隔离技术，安全威胁可能通过分支机构网络扩散（各分支机构自行部署/维护互联网线路）。各系统没有做充分长期的系统加固措施。对黑客不具备较强免疫力；缺乏网络攻击防护措施，不能监测网络安全状态和发现网络攻击行为，未对攻击形成反应机制；内部办公网络和数据中心网络只有一个建立在交换机上的逻辑安全控制，没有其它的安全屏障，容易造成内部安全访问失控；对于向互联网开放服务的相关应用系统，如Web网站（HTTP、HTTPS）、邮件系统、FTP系统等业务系统，仅通过防火墙做了IP端口的访问控制保护，未针对应用系统进行安全保护，存在安全风险；作为上市公司，燃气集团很早就提出了对关键业务系统数据库进行操作审计的要求，但因种种原因一直未能实施，无法监控、发现、追溯、控制可能的数据操作/修改行为，存在较严重的安全风险；类似于数据库审计要求，在燃气目前的信息系统运维过程中，燃气自身的IT维护人员和合作伙伴的运维服务人员对信息系统进行维护时未进行操作审计，无法实现高危操作/误操作/恶意操作的控制和审计，存在较明显的安全弱点；互联网应用、核心业务应用的应用交付方式有限，未能有效解决多链路条件下的南北互通问题和关键应用服务器的可用性保障；缺乏管理措施，网络中的故障定位、安全事件发现、非法接入等网络和系统的安全性与可用性难以维护和保障。,,,建议使用的信息安全关键技术,网络边界隔离（Firewall），建议本期项目建设；网络攻击防护（IPS/IDS），建议本期项目建设；数据传输安全VPN，建议本期项目建设；应用交付可用性保障（LinkBalance/ApplicationBalance），建议本期建设链路负载均衡系统；二期再根据业务需要建设应用负载均衡系统；网站应用安全（WAF），建议二期项目建设；邮件应用安全（MailSecurityGateway），建议二期项目建设；运维安全审计（数据库审计/操作审计），建议二期项目建设；数据存储/备份/容灾（数据存储/本地快照/磁带备份/异地数据容灾），建议本期建设主存储，二期建设容灾存储；桌面端安全（桌面PC安全管理/终端准入控制），建议二期项目建设；,说明在合适的阶段，建议寻求专业的安全咨询评估机构对整体网络安全状态进行评估。如果可能，建议通过ISO2001的认证，并以此为标准开展日常运维管理工作。,,,整体网络安全拓扑架构的设计,应用交付及可用性保障阻止来自外部网络的安全威胁阻止来自内部网络的安全威胁核心数据的可用性与完整性及业务连续性保障,,,网络边界安全域隔离架构设计,,,,应用安全防护体系设计,,,,,Internet,,LAN,,终端边界,Web应用前置边界,计算环境审计、止损设施,,,业务连续性用户体验,iMC终端安全准入控制,,,Web应用防火墙,,,数据库审计,操作审计,,,链路负载均衡,,,,,外网边界,,防火墙,IPS,,,入侵检测,邮件安全网关,VPN,,,应用负载均衡,,数据存储快照/克隆,异地数据容灾,存储环境数据备份、容灾,,,应用负载均衡,,,数据中心现阶段规划建议,,,数据中心未来发展–应用扩展与数据容灾,,,信息安全未来发展–数据丢失保护（保护企业核心数据与敏感信息）,,,,数据丢失的途径,,信息安全未来发展–数据丢失保护（保护企业核心数据与敏感信息）,,,主机网关立体防护体系,信息安全未来发展–数据丢失保护（保护企业核心数据与敏感信息）,,,磁盘加密/文件或文件夹加密,,,,,,,,,,管理员,文件服务器,管理终端,客户端,2,3,5,客户端,客户端,,公司目录,1,4,,,SOC的平台构成,信息安全未来发展–SOC安全总控中心（安全事件关联分析，消除安全孤岛）,,,
展开阅读全文
