邊界防護(hù)方案 您當(dāng)前的位置：首頁(yè) » 解決方案 » 邊界防護(hù)方案
一、IDC現(xiàn)狀及發(fā)展趨勢(shì)
根據(jù)中國(guó)IDC圈2013年3月發(fā)布的《2012-2013年度中國(guó)IDC產(chǎn)業(yè)發(fā)展研究報(bào)告》數(shù)據(jù)顯示，2012年全球IDC市場(chǎng)整體市場(chǎng)規(guī)模達(dá)到255.2億美元，增速為14.6%。從報(bào)告中可以看出，在全球數(shù)據(jù)中心市場(chǎng)中，歐美地區(qū)市場(chǎng)需求已趨于飽和，亞太地區(qū)正成為帶動(dòng)全球IDC市場(chǎng)的主要?jiǎng)恿?。其中，美?guó)已開(kāi)始逐步關(guān)閉部分小型數(shù)據(jù)中心，政府帶頭部署云計(jì)算；歐洲略落后于美國(guó)，云計(jì)算尚在部署階段；而亞太尚處于IDC基礎(chǔ)建設(shè)階段，未來(lái)潛力巨大。
國(guó)內(nèi)IDC市場(chǎng)中，金融和電信行業(yè)的數(shù)據(jù)中心建設(shè)占據(jù)了50%的市場(chǎng)份額，其次是政府、制造和能源行業(yè)，廣電也開(kāi)始加入其中。網(wǎng)絡(luò)游戲和視頻等應(yīng)用業(yè)務(wù)成為拉動(dòng)IDC市場(chǎng)增長(zhǎng)主力，云計(jì)算已成為IDC產(chǎn)業(yè)未來(lái)發(fā)展趨勢(shì)，而網(wǎng)絡(luò)安全成為IDC產(chǎn)業(yè)日益關(guān)注的問(wèn)題。
二、IDC網(wǎng)絡(luò)架構(gòu)及面臨的安全威脅
IDC網(wǎng)絡(luò)架構(gòu)一般包括四層：互聯(lián)網(wǎng)接入層、匯聚層、業(yè)務(wù)接入層和運(yùn)維管理層?；ヂ?lián)網(wǎng)接入層由2臺(tái)核心路由器組成，作為IDC和互聯(lián)網(wǎng)互聯(lián)互通的紐帶，對(duì)外完成與互聯(lián)網(wǎng)的高速互聯(lián)，對(duì)內(nèi)負(fù)責(zé)與IDC的匯聚層交換互聯(lián)，負(fù)責(zé)IDC內(nèi)部路由信息與外部路由信息轉(zhuǎn)發(fā)和維護(hù)等，互聯(lián)網(wǎng)接入層的出口帶寬至少20Gbps，多采用多條10 Gbps出口鏈路。匯聚層由多臺(tái)成對(duì)的匯聚交換機(jī)組成，是業(yè)務(wù)接入層交換機(jī)的匯聚點(diǎn)，并上聯(lián)到互聯(lián)網(wǎng)接入層核心路由器，匯聚層交換機(jī)與互聯(lián)網(wǎng)接入層核心路由器之間多采用多條10Gbps鏈路連接。業(yè)務(wù)接入層由接入交換機(jī)和各業(yè)務(wù)系統(tǒng)的服務(wù)器、存儲(chǔ)等設(shè)備組成，是對(duì)外提供IDC相關(guān)業(yè)務(wù)的核心，接入交換機(jī)與匯聚交換機(jī)之間多采用多條千兆鏈路連接。運(yùn)維管理層提供網(wǎng)絡(luò)管理、資源管理、業(yè)務(wù)管理、安全管理、運(yùn)營(yíng)管理等IDC管理功能，向IDC的運(yùn)營(yíng)維護(hù)人員和客戶提供設(shè)備管理、系統(tǒng)維護(hù)、遠(yuǎn)程接入等服務(wù)。
IDC所面臨的安全威脅主要體現(xiàn)為：網(wǎng)絡(luò)層的非法訪問(wèn)，網(wǎng)絡(luò)漏洞的存在，DDOS攻擊等入侵和攻擊行為，大量惡意流量，有效帶寬問(wèn)題，用戶的訪問(wèn)行為取證，等等；業(yè)務(wù)層的系統(tǒng)自身脆弱性的存在，病毒、垃圾郵件泛濫，網(wǎng)站被篡改、掛馬、受到SQL注入/跨站等攻擊，系統(tǒng)可用性保障，等等；管理層的系統(tǒng)如何運(yùn)維管理，運(yùn)維人員的操作是否違規(guī)，安全事件如何統(tǒng)一管理分析，運(yùn)維終端自身的安全性，IDC如何監(jiān)管，等等。
三、IDC整體安全解決方案
根據(jù)中國(guó)IDC圈2013年3月發(fā)布的《2012-2013年度中國(guó)IDC產(chǎn)業(yè)發(fā)展研究報(bào)告》數(shù)據(jù)顯示，2012年全球IDC市場(chǎng)整體市場(chǎng)規(guī)模達(dá)到255.2億美元，增速為14.6%。從報(bào)告中可以看出，在全球數(shù)據(jù)中心市場(chǎng)中，歐美地區(qū)市場(chǎng)需求已趨于飽和，亞太地區(qū)正成為帶動(dòng)全球IDC市場(chǎng)的主要?jiǎng)恿?。其中，美?guó)已開(kāi)始逐步關(guān)閉部分小型數(shù)據(jù)中心，政府帶頭部署云計(jì)算；歐洲略落后于美國(guó)，云計(jì)算尚在部署階段；而亞太尚處于IDC基礎(chǔ)建設(shè)階段，未來(lái)潛力巨大。
國(guó)內(nèi)IDC市場(chǎng)中，金融和電信行業(yè)的數(shù)據(jù)中心建設(shè)占據(jù)了50%的市場(chǎng)份額，其次是政府、制造和能源行業(yè)，廣電也開(kāi)始加入其中。網(wǎng)絡(luò)游戲和視頻等應(yīng)用業(yè)務(wù)成為拉動(dòng)IDC市場(chǎng)增長(zhǎng)主力，云計(jì)算已成為IDC產(chǎn)業(yè)未來(lái)發(fā)展趨勢(shì)，而網(wǎng)絡(luò)安全成為IDC產(chǎn)業(yè)日益關(guān)注的問(wèn)題。
二、IDC網(wǎng)絡(luò)架構(gòu)及面臨的安全威脅
IDC網(wǎng)絡(luò)架構(gòu)一般包括四層：互聯(lián)網(wǎng)接入層、匯聚層、業(yè)務(wù)接入層和運(yùn)維管理層?；ヂ?lián)網(wǎng)接入層由2臺(tái)核心路由器組成，作為IDC和互聯(lián)網(wǎng)互聯(lián)互通的紐帶，對(duì)外完成與互聯(lián)網(wǎng)的高速互聯(lián)，對(duì)內(nèi)負(fù)責(zé)與IDC的匯聚層交換互聯(lián)，負(fù)責(zé)IDC內(nèi)部路由信息與外部路由信息轉(zhuǎn)發(fā)和維護(hù)等，互聯(lián)網(wǎng)接入層的出口帶寬至少20Gbps，多采用多條10 Gbps出口鏈路。匯聚層由多臺(tái)成對(duì)的匯聚交換機(jī)組成，是業(yè)務(wù)接入層交換機(jī)的匯聚點(diǎn)，并上聯(lián)到互聯(lián)網(wǎng)接入層核心路由器，匯聚層交換機(jī)與互聯(lián)網(wǎng)接入層核心路由器之間多采用多條10Gbps鏈路連接。業(yè)務(wù)接入層由接入交換機(jī)和各業(yè)務(wù)系統(tǒng)的服務(wù)器、存儲(chǔ)等設(shè)備組成，是對(duì)外提供IDC相關(guān)業(yè)務(wù)的核心，接入交換機(jī)與匯聚交換機(jī)之間多采用多條千兆鏈路連接。運(yùn)維管理層提供網(wǎng)絡(luò)管理、資源管理、業(yè)務(wù)管理、安全管理、運(yùn)營(yíng)管理等IDC管理功能，向IDC的運(yùn)營(yíng)維護(hù)人員和客戶提供設(shè)備管理、系統(tǒng)維護(hù)、遠(yuǎn)程接入等服務(wù)。
IDC所面臨的安全威脅主要體現(xiàn)為：網(wǎng)絡(luò)層的非法訪問(wèn)，網(wǎng)絡(luò)漏洞的存在，DDOS攻擊等入侵和攻擊行為，大量惡意流量，有效帶寬問(wèn)題，用戶的訪問(wèn)行為取證，等等；業(yè)務(wù)層的系統(tǒng)自身脆弱性的存在，病毒、垃圾郵件泛濫，網(wǎng)站被篡改、掛馬、受到SQL注入/跨站等攻擊，系統(tǒng)可用性保障，等等；管理層的系統(tǒng)如何運(yùn)維管理，運(yùn)維人員的操作是否違規(guī)，安全事件如何統(tǒng)一管理分析，運(yùn)維終端自身的安全性，IDC如何監(jiān)管，等等。
三、IDC整體安全解決方案
針對(duì)上述IDC面臨的安全威脅，推出了IDC整體安全解決方案，從互聯(lián)網(wǎng)接入層、匯聚層、業(yè)務(wù)接入層和運(yùn)維管理層四個(gè)層面，提出了相應(yīng)的安全解決方案，如下圖示。
圖1、IDC整體安全解決方案圖
互聯(lián)網(wǎng)接入層
互聯(lián)網(wǎng)接入層是整個(gè)IDC業(yè)務(wù)的出口，承擔(dān)著抵御DDOS攻擊和保證帶寬正?？捎眉癐DC業(yè)務(wù)可正常訪問(wèn)的重任，重點(diǎn)需防治DDOS攻擊造成的帶寬或主機(jī)資源被大量消耗。
抗DDOS/流量清洗
建議部署公司的萬(wàn)兆級(jí)抗DDOS/流量清洗設(shè)備DDOS，清洗攻擊流量，保證整個(gè)IDC網(wǎng)絡(luò)帶寬的可用和IDC業(yè)務(wù)的可訪問(wèn)。DDOS應(yīng)用了自主研發(fā)的抗拒絕服務(wù)攻擊算法，創(chuàng)造性地將算法實(shí)現(xiàn)在協(xié)議棧的最底層，避免了TCP/UDP/IP等高層系統(tǒng)網(wǎng)絡(luò)堆棧的處理，使整個(gè)運(yùn)算代價(jià)大大降低, 并結(jié)合特有硬件加速運(yùn)算，因此系統(tǒng)效率極高。DDOS另借助攻防實(shí)驗(yàn)室多年的DDOS攻擊研究成果，具有業(yè)界最完善的DDOS攻擊檢測(cè)能力。
DDOS通過(guò)異常流量檢測(cè)系統(tǒng)實(shí)時(shí)檢測(cè)DDOS攻擊，一旦檢測(cè)到攻擊流量，就將異常流量牽引到異常流量清洗系統(tǒng)進(jìn)行攻擊流量清洗，將清洗后的正常流量再回注入網(wǎng)絡(luò)，這樣即可實(shí)時(shí)抵御來(lái)自互聯(lián)網(wǎng)的DDOS攻擊，有效過(guò)濾DDOS攻擊流量，保障IDC業(yè)務(wù)持續(xù)正常訪問(wèn)。
如下圖示，是IDC抗DDOS/異常流量清洗部署和工作示意圖。
互聯(lián)網(wǎng)接入層是整個(gè)IDC業(yè)務(wù)的出口，承擔(dān)著抵御DDOS攻擊和保證帶寬正?？捎眉癐DC業(yè)務(wù)可正常訪問(wèn)的重任，重點(diǎn)需防治DDOS攻擊造成的帶寬或主機(jī)資源被大量消耗。
抗DDOS/流量清洗
建議部署公司的萬(wàn)兆級(jí)抗DDOS/流量清洗設(shè)備DDOS，清洗攻擊流量，保證整個(gè)IDC網(wǎng)絡(luò)帶寬的可用和IDC業(yè)務(wù)的可訪問(wèn)。DDOS應(yīng)用了自主研發(fā)的抗拒絕服務(wù)攻擊算法，創(chuàng)造性地將算法實(shí)現(xiàn)在協(xié)議棧的最底層，避免了TCP/UDP/IP等高層系統(tǒng)網(wǎng)絡(luò)堆棧的處理，使整個(gè)運(yùn)算代價(jià)大大降低, 并結(jié)合特有硬件加速運(yùn)算，因此系統(tǒng)效率極高。DDOS另借助攻防實(shí)驗(yàn)室多年的DDOS攻擊研究成果，具有業(yè)界最完善的DDOS攻擊檢測(cè)能力。
DDOS通過(guò)異常流量檢測(cè)系統(tǒng)實(shí)時(shí)檢測(cè)DDOS攻擊，一旦檢測(cè)到攻擊流量，就將異常流量牽引到異常流量清洗系統(tǒng)進(jìn)行攻擊流量清洗，將清洗后的正常流量再回注入網(wǎng)絡(luò)，這樣即可實(shí)時(shí)抵御來(lái)自互聯(lián)網(wǎng)的DDOS攻擊，有效過(guò)濾DDOS攻擊流量，保障IDC業(yè)務(wù)持續(xù)正常訪問(wèn)。
如下圖示，是IDC抗DDOS/異常流量清洗部署和工作示意圖。
圖2、IDC抗DDOS/流量清洗解決方案圖
匯聚層
匯聚層是IDC業(yè)務(wù)匯聚之處，首先需要把好網(wǎng)絡(luò)安全關(guān)，如訪問(wèn)控制、入侵檢測(cè)、網(wǎng)絡(luò)脆弱性掃描、網(wǎng)絡(luò)設(shè)備安全加固等，其次肩負(fù)著為IDC業(yè)務(wù)做負(fù)載均衡和進(jìn)行流量分析管理等職責(zé)。
高性能防火墻
建議在匯聚層部署公司的萬(wàn)兆級(jí)NGFW高性能防火墻Guard，為需要邊界防護(hù)的IDC用戶提供訪問(wèn)控制等增值服務(wù)。目前有擎天系列并行多級(jí)硬件架構(gòu)機(jī)架式萬(wàn)兆高性能防火墻和獵豹系列基于ASIC芯片萬(wàn)兆級(jí)高性能防火墻，基于高效安全自主TOS操作系統(tǒng)和多核架構(gòu)，采用了自主原創(chuàng)實(shí)現(xiàn)數(shù)據(jù)層多核快速轉(zhuǎn)發(fā)的高性能業(yè)務(wù)處理技術(shù)TURBO，處理能力高達(dá)320Gbps，支持防火墻、VPN、入侵防御、病毒防御、URL分類過(guò)濾、虛擬防火墻、IPV6等功能，支持VPN虛擬化接入，非常適合部署在IDC匯聚層為不同IDC用戶提供不同要求的邊界安全防護(hù)。
匯聚層是IDC業(yè)務(wù)匯聚之處，首先需要把好網(wǎng)絡(luò)安全關(guān)，如訪問(wèn)控制、入侵檢測(cè)、網(wǎng)絡(luò)脆弱性掃描、網(wǎng)絡(luò)設(shè)備安全加固等，其次肩負(fù)著為IDC業(yè)務(wù)做負(fù)載均衡和進(jìn)行流量分析管理等職責(zé)。
高性能防火墻
建議在匯聚層部署公司的萬(wàn)兆級(jí)NGFW高性能防火墻Guard，為需要邊界防護(hù)的IDC用戶提供訪問(wèn)控制等增值服務(wù)。目前有擎天系列并行多級(jí)硬件架構(gòu)機(jī)架式萬(wàn)兆高性能防火墻和獵豹系列基于ASIC芯片萬(wàn)兆級(jí)高性能防火墻，基于高效安全自主TOS操作系統(tǒng)和多核架構(gòu)，采用了自主原創(chuàng)實(shí)現(xiàn)數(shù)據(jù)層多核快速轉(zhuǎn)發(fā)的高性能業(yè)務(wù)處理技術(shù)TURBO，處理能力高達(dá)320Gbps，支持防火墻、VPN、入侵防御、病毒防御、URL分類過(guò)濾、虛擬防火墻、IPV6等功能，支持VPN虛擬化接入，非常適合部署在IDC匯聚層為不同IDC用戶提供不同要求的邊界安全防護(hù)。
圖3、NGFW防火墻多核架構(gòu)
高性能網(wǎng)絡(luò)入侵檢測(cè)
建議在匯聚層部署公司的萬(wàn)兆級(jí)高性能網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)Sentry，為需要網(wǎng)絡(luò)入侵行為檢測(cè)的IDC用戶提供入侵、攻擊檢測(cè)等增值服務(wù)。自主研發(fā)的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)Sentry，采用了與防火墻產(chǎn)品相同的多核處理硬件平臺(tái)和自主知識(shí)產(chǎn)權(quán)TOS系統(tǒng)，基于先進(jìn)的SmartAMP并行處理架構(gòu)，內(nèi)置處理器動(dòng)態(tài)負(fù)載均衡專利技術(shù)，結(jié)合獨(dú)創(chuàng)的SecDFA核心加速算法，全面支持IPV6，可實(shí)時(shí)快速檢測(cè)包括溢出攻擊、RPC攻擊、WEBCGI攻擊、拒絕服務(wù)攻擊、木馬、蠕蟲(chóng)、系統(tǒng)漏洞等超過(guò)3500中網(wǎng)絡(luò)攻擊行為，在滿流量+全規(guī)則+攻擊流狀況下，無(wú)論是大包還是小包，均能達(dá)到萬(wàn)兆級(jí)滿速檢測(cè)率。非常適合部署在IDC匯聚層萬(wàn)兆級(jí)環(huán)境。
建議在匯聚層部署公司的萬(wàn)兆級(jí)高性能網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)Sentry，為需要網(wǎng)絡(luò)入侵行為檢測(cè)的IDC用戶提供入侵、攻擊檢測(cè)等增值服務(wù)。自主研發(fā)的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)Sentry，采用了與防火墻產(chǎn)品相同的多核處理硬件平臺(tái)和自主知識(shí)產(chǎn)權(quán)TOS系統(tǒng)，基于先進(jìn)的SmartAMP并行處理架構(gòu)，內(nèi)置處理器動(dòng)態(tài)負(fù)載均衡專利技術(shù)，結(jié)合獨(dú)創(chuàng)的SecDFA核心加速算法，全面支持IPV6，可實(shí)時(shí)快速檢測(cè)包括溢出攻擊、RPC攻擊、WEBCGI攻擊、拒絕服務(wù)攻擊、木馬、蠕蟲(chóng)、系統(tǒng)漏洞等超過(guò)3500中網(wǎng)絡(luò)攻擊行為，在滿流量+全規(guī)則+攻擊流狀況下，無(wú)論是大包還是小包，均能達(dá)到萬(wàn)兆級(jí)滿速檢測(cè)率。非常適合部署在IDC匯聚層萬(wàn)兆級(jí)環(huán)境。
Sentry五合一安全防護(hù)功能圖
網(wǎng)絡(luò)安全審計(jì)
建議在匯聚層部署公司的網(wǎng)絡(luò)安全審計(jì)系統(tǒng)Audit-NET，為IDC用戶提供用戶網(wǎng)絡(luò)行為審計(jì)和取證增值服務(wù)。公司自主研發(fā)的Audit-NET采用基于量子存儲(chǔ)技術(shù)，可有效保證海量審計(jì)數(shù)據(jù)不丟失；利用云審計(jì)平臺(tái)的自治查詢技術(shù)充分發(fā)揮Sec多核平臺(tái)的計(jì)算能力，可實(shí)現(xiàn)海量數(shù)據(jù)查詢操作的瞬時(shí)返回，真正實(shí)現(xiàn)即查即顯；提供PPPoE實(shí)名審計(jì)、AD域?qū)嵜麑徲?jì) 、802.1x實(shí)名審計(jì)；采用海量原始數(shù)據(jù)包存儲(chǔ)，供專業(yè)人士進(jìn)行深度分析，國(guó)內(nèi)唯一；采用專用硬件架構(gòu)與雙專用安全操作系統(tǒng)冷備，當(dāng)常用系統(tǒng)出現(xiàn)故障可使用備用系統(tǒng)迅速恢復(fù)。
脆弱性掃描與管理
建議在匯聚層部署公司的脆弱性掃描與管理系統(tǒng)Scanner，為IDC用戶提供定期脆弱性掃描增值服務(wù)。Scanner采用B/S架構(gòu)，基于CVSS、等級(jí)保護(hù)的科學(xué)掃描理念，集合了智能服務(wù)識(shí)別、多重服務(wù)檢測(cè)、腳本依賴、腳本智能調(diào)度、信息動(dòng)態(tài)拋出、安全掃描、優(yōu)化掃描、拒絕服務(wù)腳本順序掃描、斷點(diǎn)恢復(fù)等先進(jìn)技術(shù)，確保了掃描的高準(zhǔn)確度、高速度。Scanner掃描引擎采用基于主機(jī)、目標(biāo)的漏洞、網(wǎng)絡(luò)、應(yīng)用的檢測(cè)技術(shù)，最大限度的增強(qiáng)漏洞識(shí)別的精度。Scanner漏洞知識(shí)庫(kù)大于20000條、每周保持更新、兼容Nessus插件庫(kù)、兼容國(guó)際CVE標(biāo)準(zhǔn)。Scanner提供多種掃描策略模板和參數(shù)模板，可實(shí)現(xiàn)多種任務(wù)掃描、多主機(jī)掃描、授權(quán)掃描等，可實(shí)現(xiàn)級(jí)聯(lián)部署、對(duì)外接口、Syslog日志、統(tǒng)計(jì)對(duì)比報(bào)告等，還可對(duì)掃描的各種目標(biāo)設(shè)備進(jìn)行有效的監(jiān)管。
應(yīng)用流量管理
建議在匯聚層部署公司的應(yīng)用流量管理系統(tǒng)Flow，為IDC用戶提供業(yè)務(wù)應(yīng)用流量分析和管理增值服務(wù)。Flow具有業(yè)界最強(qiáng)大的協(xié)議識(shí)別引擎，其獨(dú)有的“加密協(xié)議深度識(shí)別”技術(shù)可以識(shí)別經(jīng)過(guò)加密的P2P協(xié)議，可準(zhǔn)確識(shí)別除傳統(tǒng)TCP/IP協(xié)議外高達(dá)600多種七層應(yīng)用協(xié)議。提供帶寬限制、帶寬預(yù)留、帶寬保證，支持策略嵌套，支持硬件Bypass功能，可對(duì)單IP進(jìn)行限速，可對(duì)流量進(jìn)行精細(xì)化的管理，支持HTTP控制和DNS重定向、DNS劫持、丟棄請(qǐng)求的DNS控制，具有應(yīng)用流量深度放大、應(yīng)用分流及流量代理、用戶身份追查等功能，支持跨路由代理流量檢查，支持基于TCP、UDP連接數(shù)控制，支持DSCP標(biāo)記以和路由器聯(lián)動(dòng)，提供豐富的報(bào)表功能，可為用戶提供了應(yīng)用監(jiān)視、流量分析、流量管理、流量統(tǒng)計(jì)、流量管理控制等功能。
建議在匯聚層部署公司的網(wǎng)絡(luò)安全審計(jì)系統(tǒng)Audit-NET，為IDC用戶提供用戶網(wǎng)絡(luò)行為審計(jì)和取證增值服務(wù)。公司自主研發(fā)的Audit-NET采用基于量子存儲(chǔ)技術(shù)，可有效保證海量審計(jì)數(shù)據(jù)不丟失；利用云審計(jì)平臺(tái)的自治查詢技術(shù)充分發(fā)揮Sec多核平臺(tái)的計(jì)算能力，可實(shí)現(xiàn)海量數(shù)據(jù)查詢操作的瞬時(shí)返回，真正實(shí)現(xiàn)即查即顯；提供PPPoE實(shí)名審計(jì)、AD域?qū)嵜麑徲?jì) 、802.1x實(shí)名審計(jì)；采用海量原始數(shù)據(jù)包存儲(chǔ)，供專業(yè)人士進(jìn)行深度分析，國(guó)內(nèi)唯一；采用專用硬件架構(gòu)與雙專用安全操作系統(tǒng)冷備，當(dāng)常用系統(tǒng)出現(xiàn)故障可使用備用系統(tǒng)迅速恢復(fù)。
脆弱性掃描與管理
建議在匯聚層部署公司的脆弱性掃描與管理系統(tǒng)Scanner，為IDC用戶提供定期脆弱性掃描增值服務(wù)。Scanner采用B/S架構(gòu)，基于CVSS、等級(jí)保護(hù)的科學(xué)掃描理念，集合了智能服務(wù)識(shí)別、多重服務(wù)檢測(cè)、腳本依賴、腳本智能調(diào)度、信息動(dòng)態(tài)拋出、安全掃描、優(yōu)化掃描、拒絕服務(wù)腳本順序掃描、斷點(diǎn)恢復(fù)等先進(jìn)技術(shù)，確保了掃描的高準(zhǔn)確度、高速度。Scanner掃描引擎采用基于主機(jī)、目標(biāo)的漏洞、網(wǎng)絡(luò)、應(yīng)用的檢測(cè)技術(shù)，最大限度的增強(qiáng)漏洞識(shí)別的精度。Scanner漏洞知識(shí)庫(kù)大于20000條、每周保持更新、兼容Nessus插件庫(kù)、兼容國(guó)際CVE標(biāo)準(zhǔn)。Scanner提供多種掃描策略模板和參數(shù)模板，可實(shí)現(xiàn)多種任務(wù)掃描、多主機(jī)掃描、授權(quán)掃描等，可實(shí)現(xiàn)級(jí)聯(lián)部署、對(duì)外接口、Syslog日志、統(tǒng)計(jì)對(duì)比報(bào)告等，還可對(duì)掃描的各種目標(biāo)設(shè)備進(jìn)行有效的監(jiān)管。
應(yīng)用流量管理
建議在匯聚層部署公司的應(yīng)用流量管理系統(tǒng)Flow，為IDC用戶提供業(yè)務(wù)應(yīng)用流量分析和管理增值服務(wù)。Flow具有業(yè)界最強(qiáng)大的協(xié)議識(shí)別引擎，其獨(dú)有的“加密協(xié)議深度識(shí)別”技術(shù)可以識(shí)別經(jīng)過(guò)加密的P2P協(xié)議，可準(zhǔn)確識(shí)別除傳統(tǒng)TCP/IP協(xié)議外高達(dá)600多種七層應(yīng)用協(xié)議。提供帶寬限制、帶寬預(yù)留、帶寬保證，支持策略嵌套，支持硬件Bypass功能，可對(duì)單IP進(jìn)行限速，可對(duì)流量進(jìn)行精細(xì)化的管理，支持HTTP控制和DNS重定向、DNS劫持、丟棄請(qǐng)求的DNS控制，具有應(yīng)用流量深度放大、應(yīng)用分流及流量代理、用戶身份追查等功能，支持跨路由代理流量檢查，支持基于TCP、UDP連接數(shù)控制，支持DSCP標(biāo)記以和路由器聯(lián)動(dòng)，提供豐富的報(bào)表功能，可為用戶提供了應(yīng)用監(jiān)視、流量分析、流量管理、流量統(tǒng)計(jì)、流量管理控制等功能。
圖4、Flow應(yīng)用流量檢測(cè)圖
服務(wù)器負(fù)載均衡
建議在匯聚層部署公司的服務(wù)器負(fù)載均衡系統(tǒng)App-LB，對(duì)需要服務(wù)器負(fù)載均衡服務(wù)的IDC用戶提供增值服務(wù)。App-LB采用了智能服務(wù)器負(fù)載均衡技術(shù)，支持多種負(fù)載均衡算法，動(dòng)態(tài)監(jiān)測(cè)服務(wù)器的性能和健康狀態(tài)，支持TCP、HTTP、HTTPS、自定義等多種服務(wù)健康檢查方式，自動(dòng)選擇最佳服務(wù)器并智能地均衡服務(wù)器流量，可隱藏服務(wù)器真實(shí)IP，支持10種以上快速高效的智能負(fù)載均衡算法，支持快速高效的非持續(xù)性負(fù)載均衡算法和多種持續(xù)性負(fù)載均衡算法，支持專為Cache服務(wù)器設(shè)定的負(fù)載均衡算法，支持服務(wù)器流量的自動(dòng)均衡，支持服務(wù)器最大連接數(shù)限制，具有會(huì)話保持功能，可實(shí)現(xiàn)服務(wù)故障自動(dòng)通知，支持服務(wù)器負(fù)載均衡高可用性部署等。
業(yè)務(wù)接入層
業(yè)務(wù)接入層是IDC各種業(yè)務(wù)核心所在，需要重點(diǎn)考慮IDC業(yè)務(wù)安全，如防御針對(duì)網(wǎng)站的攻擊、對(duì)網(wǎng)站進(jìn)行網(wǎng)頁(yè)防篡改防護(hù)、對(duì)IDC業(yè)務(wù)系統(tǒng)上線前的安全評(píng)估與加固等。
WEB應(yīng)用防火墻
建議在業(yè)務(wù)接入層部署公司的WEB應(yīng)用防火墻WAF，為IDC用戶提供網(wǎng)站安全防護(hù)增值服務(wù)。WAF是公司自主研制出品的新一代網(wǎng)站“替身”防護(hù)產(chǎn)品，可從事前預(yù)警、事中防護(hù)、事后分析三方面提供對(duì)網(wǎng)站進(jìn)行全周期安全防護(hù)。事前，WAF對(duì)網(wǎng)站服務(wù)進(jìn)行動(dòng)態(tài)監(jiān)視，實(shí)時(shí)監(jiān)測(cè)系統(tǒng)的服務(wù)能力及服務(wù)質(zhì)量，建立安全隱患預(yù)警機(jī)制；事中，WAF基于“無(wú)故障運(yùn)行時(shí)間”原則，依托穩(wěn)定、高效、安全的系統(tǒng)內(nèi)核及先進(jìn)的多維防護(hù)體系，通過(guò)WEB應(yīng)用威脅防御、網(wǎng)頁(yè)防篡改、抗拒絕服務(wù)攻擊和WEB應(yīng)用優(yōu)化等多項(xiàng)功能，保障網(wǎng)站應(yīng)用服務(wù)系統(tǒng)的運(yùn)行質(zhì)量；事后，WAF提供多角度的決策支撐數(shù)據(jù)，為用戶提供清晰詳盡的階段性報(bào)表，幫助網(wǎng)站管理者準(zhǔn)確地了解網(wǎng)站的運(yùn)行狀況并進(jìn)行有針對(duì)性的調(diào)整。
建議在匯聚層部署公司的服務(wù)器負(fù)載均衡系統(tǒng)App-LB，對(duì)需要服務(wù)器負(fù)載均衡服務(wù)的IDC用戶提供增值服務(wù)。App-LB采用了智能服務(wù)器負(fù)載均衡技術(shù)，支持多種負(fù)載均衡算法，動(dòng)態(tài)監(jiān)測(cè)服務(wù)器的性能和健康狀態(tài)，支持TCP、HTTP、HTTPS、自定義等多種服務(wù)健康檢查方式，自動(dòng)選擇最佳服務(wù)器并智能地均衡服務(wù)器流量，可隱藏服務(wù)器真實(shí)IP，支持10種以上快速高效的智能負(fù)載均衡算法，支持快速高效的非持續(xù)性負(fù)載均衡算法和多種持續(xù)性負(fù)載均衡算法，支持專為Cache服務(wù)器設(shè)定的負(fù)載均衡算法，支持服務(wù)器流量的自動(dòng)均衡，支持服務(wù)器最大連接數(shù)限制，具有會(huì)話保持功能，可實(shí)現(xiàn)服務(wù)故障自動(dòng)通知，支持服務(wù)器負(fù)載均衡高可用性部署等。
業(yè)務(wù)接入層
業(yè)務(wù)接入層是IDC各種業(yè)務(wù)核心所在，需要重點(diǎn)考慮IDC業(yè)務(wù)安全，如防御針對(duì)網(wǎng)站的攻擊、對(duì)網(wǎng)站進(jìn)行網(wǎng)頁(yè)防篡改防護(hù)、對(duì)IDC業(yè)務(wù)系統(tǒng)上線前的安全評(píng)估與加固等。
WEB應(yīng)用防火墻
建議在業(yè)務(wù)接入層部署公司的WEB應(yīng)用防火墻WAF，為IDC用戶提供網(wǎng)站安全防護(hù)增值服務(wù)。WAF是公司自主研制出品的新一代網(wǎng)站“替身”防護(hù)產(chǎn)品，可從事前預(yù)警、事中防護(hù)、事后分析三方面提供對(duì)網(wǎng)站進(jìn)行全周期安全防護(hù)。事前，WAF對(duì)網(wǎng)站服務(wù)進(jìn)行動(dòng)態(tài)監(jiān)視，實(shí)時(shí)監(jiān)測(cè)系統(tǒng)的服務(wù)能力及服務(wù)質(zhì)量，建立安全隱患預(yù)警機(jī)制；事中，WAF基于“無(wú)故障運(yùn)行時(shí)間”原則，依托穩(wěn)定、高效、安全的系統(tǒng)內(nèi)核及先進(jìn)的多維防護(hù)體系，通過(guò)WEB應(yīng)用威脅防御、網(wǎng)頁(yè)防篡改、抗拒絕服務(wù)攻擊和WEB應(yīng)用優(yōu)化等多項(xiàng)功能，保障網(wǎng)站應(yīng)用服務(wù)系統(tǒng)的運(yùn)行質(zhì)量；事后，WAF提供多角度的決策支撐數(shù)據(jù)，為用戶提供清晰詳盡的階段性報(bào)表，幫助網(wǎng)站管理者準(zhǔn)確地了解網(wǎng)站的運(yùn)行狀況并進(jìn)行有針對(duì)性的調(diào)整。
圖5、WAF事前、事中、事后全周期防護(hù)圖
網(wǎng)頁(yè)防篡改
建議在業(yè)務(wù)接入層部署公司的網(wǎng)頁(yè)防篡改系統(tǒng)，為IDC用戶提供網(wǎng)頁(yè)防篡改增值服務(wù)。網(wǎng)頁(yè)防篡改系統(tǒng)，采用增強(qiáng)型事件觸發(fā)+系統(tǒng)（內(nèi)核）文件底層驅(qū)動(dòng)過(guò)濾技術(shù)（即第三代防篡改技術(shù)），安全、穩(wěn)定、可靠；采取先進(jìn)的多重防護(hù)技術(shù)，杜絕篡改；完全基于內(nèi)核級(jí)事件觸發(fā)機(jī)制，對(duì)服務(wù)器資源占用極少，效率遠(yuǎn)高于同類產(chǎn)品；對(duì)服務(wù)器安全性能實(shí)時(shí)監(jiān)控，確保服務(wù)器安全穩(wěn)定運(yùn)行；對(duì)WEB服務(wù)運(yùn)行狀態(tài)進(jìn)行安全監(jiān)控，保證WEB服務(wù)部受限于異常事件干擾；支持保護(hù)WEB服務(wù)器配置文件，杜絕網(wǎng)站指向遭到破壞?？捎行Х乐购诳汀⒉《镜葘?duì)目錄中的網(wǎng)頁(yè)、電子文檔、圖片、數(shù)據(jù)庫(kù)等任何類型的文件進(jìn)行非法篡改和破壞。
建議在業(yè)務(wù)接入層部署公司的網(wǎng)頁(yè)防篡改系統(tǒng)，為IDC用戶提供網(wǎng)頁(yè)防篡改增值服務(wù)。網(wǎng)頁(yè)防篡改系統(tǒng)，采用增強(qiáng)型事件觸發(fā)+系統(tǒng)（內(nèi)核）文件底層驅(qū)動(dòng)過(guò)濾技術(shù)（即第三代防篡改技術(shù)），安全、穩(wěn)定、可靠；采取先進(jìn)的多重防護(hù)技術(shù)，杜絕篡改；完全基于內(nèi)核級(jí)事件觸發(fā)機(jī)制，對(duì)服務(wù)器資源占用極少，效率遠(yuǎn)高于同類產(chǎn)品；對(duì)服務(wù)器安全性能實(shí)時(shí)監(jiān)控，確保服務(wù)器安全穩(wěn)定運(yùn)行；對(duì)WEB服務(wù)運(yùn)行狀態(tài)進(jìn)行安全監(jiān)控，保證WEB服務(wù)部受限于異常事件干擾；支持保護(hù)WEB服務(wù)器配置文件，杜絕網(wǎng)站指向遭到破壞?？捎行Х乐购诳汀⒉《镜葘?duì)目錄中的網(wǎng)頁(yè)、電子文檔、圖片、數(shù)據(jù)庫(kù)等任何類型的文件進(jìn)行非法篡改和破壞。
圖6、第三代防篡改技術(shù)演進(jìn)圖
系統(tǒng)上線前評(píng)估加固
建議在業(yè)務(wù)接入層，通過(guò)公司的專業(yè)信息安全服務(wù)，為IDC用戶提供IDC業(yè)務(wù)系統(tǒng)上線前評(píng)估加固增值服務(wù)。具有分布于全國(guó)各地的超過(guò)70人的專業(yè)信息安全服務(wù)團(tuán)隊(duì)，儲(chǔ)備了各種專業(yè)信息安全服務(wù)人才，可為IDC用戶提供涵蓋網(wǎng)絡(luò)設(shè)備、主機(jī)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫(kù)、安全設(shè)備等各種設(shè)備和系統(tǒng)的系統(tǒng)上線前的評(píng)估與加固等專業(yè)信息安全服務(wù)。
運(yùn)維管理層
運(yùn)維管理層的核心任務(wù)是保證整個(gè)IDC的網(wǎng)絡(luò)、設(shè)備、系統(tǒng)等的正常、安全運(yùn)轉(zhuǎn)和業(yè)務(wù)的正常、安全運(yùn)行，需要重點(diǎn)考慮IDC的邊界安全防護(hù)、4A（賬號(hào)/認(rèn)證/授權(quán)/審計(jì)）、數(shù)據(jù)庫(kù)審計(jì)、終端安全、運(yùn)維審計(jì)、安全管理、運(yùn)維管理、遠(yuǎn)程VPN安全接入、以及由第三方信息安全公司提供的包括遠(yuǎn)程網(wǎng)站安全監(jiān)測(cè)與恢復(fù)、安全事件審計(jì)與預(yù)警、安全策略風(fēng)險(xiǎn)評(píng)估等在內(nèi)的安全云服務(wù)等。
防火墻
建議在運(yùn)維管理層部署公司NGFW防火墻Guard，將IDC運(yùn)維管理區(qū)與IDC業(yè)務(wù)區(qū)邏輯隔離開(kāi)。具有擎天、獵豹、通用三大系列防火墻，可針對(duì)用戶不同的網(wǎng)絡(luò)環(huán)境和不同的應(yīng)用場(chǎng)所，提供從萬(wàn)兆機(jī)架式、萬(wàn)兆非機(jī)架式到千兆高端、千兆中端、千兆低端、百兆等多種級(jí)別防火墻，以及病毒過(guò)濾、入侵防御、URL過(guò)濾等多種功能選擇。
VPN網(wǎng)關(guān)
建議在運(yùn)維管理層部署公司的IPSEC/SSL VPN多合一VPN網(wǎng)關(guān)VPN VONE，為IDC運(yùn)維人員提供帶外遠(yuǎn)程VPN安全接入IDC運(yùn)維管理區(qū)，進(jìn)行運(yùn)維操作和管理。VPN VONE基于自主知識(shí)產(chǎn)權(quán)的TOS安全操作系統(tǒng)，采用領(lǐng)先的AMP技術(shù)，采用先進(jìn)的多核并行技術(shù)和智能集群技術(shù)，內(nèi)置高速壓縮算法。支持iOS、Android等智能終端接入。支持應(yīng)用QoS，支持WebCache加速，集成了強(qiáng)大的防火墻功能。支持用戶名/口令、證書(shū)、USB Key、短信、動(dòng)態(tài)令牌、硬件特征碼、指紋等多種認(rèn)證方式，支持第三方CA和CA在線認(rèn)證。支持統(tǒng)一用戶管理，支持多種單點(diǎn)登錄方式，用戶只需一次認(rèn)證即可訪問(wèn)所有授權(quán)業(yè)務(wù)資源。支持虛擬門戶，不同IDC用戶可擁有獨(dú)立的接入門戶，定制不同登錄界面、功能模塊、認(rèn)證方式等。
建議在業(yè)務(wù)接入層，通過(guò)公司的專業(yè)信息安全服務(wù)，為IDC用戶提供IDC業(yè)務(wù)系統(tǒng)上線前評(píng)估加固增值服務(wù)。具有分布于全國(guó)各地的超過(guò)70人的專業(yè)信息安全服務(wù)團(tuán)隊(duì)，儲(chǔ)備了各種專業(yè)信息安全服務(wù)人才，可為IDC用戶提供涵蓋網(wǎng)絡(luò)設(shè)備、主機(jī)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫(kù)、安全設(shè)備等各種設(shè)備和系統(tǒng)的系統(tǒng)上線前的評(píng)估與加固等專業(yè)信息安全服務(wù)。
運(yùn)維管理層
運(yùn)維管理層的核心任務(wù)是保證整個(gè)IDC的網(wǎng)絡(luò)、設(shè)備、系統(tǒng)等的正常、安全運(yùn)轉(zhuǎn)和業(yè)務(wù)的正常、安全運(yùn)行，需要重點(diǎn)考慮IDC的邊界安全防護(hù)、4A（賬號(hào)/認(rèn)證/授權(quán)/審計(jì)）、數(shù)據(jù)庫(kù)審計(jì)、終端安全、運(yùn)維審計(jì)、安全管理、運(yùn)維管理、遠(yuǎn)程VPN安全接入、以及由第三方信息安全公司提供的包括遠(yuǎn)程網(wǎng)站安全監(jiān)測(cè)與恢復(fù)、安全事件審計(jì)與預(yù)警、安全策略風(fēng)險(xiǎn)評(píng)估等在內(nèi)的安全云服務(wù)等。
防火墻
建議在運(yùn)維管理層部署公司NGFW防火墻Guard，將IDC運(yùn)維管理區(qū)與IDC業(yè)務(wù)區(qū)邏輯隔離開(kāi)。具有擎天、獵豹、通用三大系列防火墻，可針對(duì)用戶不同的網(wǎng)絡(luò)環(huán)境和不同的應(yīng)用場(chǎng)所，提供從萬(wàn)兆機(jī)架式、萬(wàn)兆非機(jī)架式到千兆高端、千兆中端、千兆低端、百兆等多種級(jí)別防火墻，以及病毒過(guò)濾、入侵防御、URL過(guò)濾等多種功能選擇。
VPN網(wǎng)關(guān)
建議在運(yùn)維管理層部署公司的IPSEC/SSL VPN多合一VPN網(wǎng)關(guān)VPN VONE，為IDC運(yùn)維人員提供帶外遠(yuǎn)程VPN安全接入IDC運(yùn)維管理區(qū)，進(jìn)行運(yùn)維操作和管理。VPN VONE基于自主知識(shí)產(chǎn)權(quán)的TOS安全操作系統(tǒng)，采用領(lǐng)先的AMP技術(shù)，采用先進(jìn)的多核并行技術(shù)和智能集群技術(shù)，內(nèi)置高速壓縮算法。支持iOS、Android等智能終端接入。支持應(yīng)用QoS，支持WebCache加速，集成了強(qiáng)大的防火墻功能。支持用戶名/口令、證書(shū)、USB Key、短信、動(dòng)態(tài)令牌、硬件特征碼、指紋等多種認(rèn)證方式，支持第三方CA和CA在線認(rèn)證。支持統(tǒng)一用戶管理，支持多種單點(diǎn)登錄方式，用戶只需一次認(rèn)證即可訪問(wèn)所有授權(quán)業(yè)務(wù)資源。支持虛擬門戶，不同IDC用戶可擁有獨(dú)立的接入門戶，定制不同登錄界面、功能模塊、認(rèn)證方式等。
VPN遠(yuǎn)程安全接入圖
4A（賬號(hào)/認(rèn)證/授權(quán)/審計(jì)）
建議在運(yùn)維管理層部署公司的4A（賬號(hào)/認(rèn)證/授權(quán)/審計(jì)）系統(tǒng)UTS，為IDC運(yùn)維人員提供統(tǒng)一的4A管理。UTS擯棄了傳統(tǒng)的單點(diǎn)登錄技術(shù)的實(shí)現(xiàn)方式，采用國(guó)內(nèi)領(lǐng)先的支持C-S 和B-S 架構(gòu)的單點(diǎn)登錄（SSO）實(shí)現(xiàn)機(jī)制，無(wú)需任何系統(tǒng)改造，其實(shí)現(xiàn)方式與應(yīng)用系統(tǒng)的操作平臺(tái)、開(kāi)發(fā)平臺(tái)、開(kāi)發(fā)語(yǔ)言、數(shù)據(jù)庫(kù)、Web 服務(wù)器無(wú)關(guān)，在不改變現(xiàn)有軟硬件及網(wǎng)絡(luò)環(huán)境的前提下，無(wú)縫地將用戶各種現(xiàn)有的應(yīng)用系統(tǒng)整合到單點(diǎn)登錄平臺(tái)上，實(shí)現(xiàn)一次登錄后就可訪問(wèn)所有的應(yīng)用系統(tǒng)。真正實(shí)現(xiàn)了“即插即用”、 “一點(diǎn)登錄，全網(wǎng)漫游”，真正體現(xiàn)了與“應(yīng)用無(wú)關(guān)”的完美集成概念。
建議在運(yùn)維管理層部署公司的4A（賬號(hào)/認(rèn)證/授權(quán)/審計(jì)）系統(tǒng)UTS，為IDC運(yùn)維人員提供統(tǒng)一的4A管理。UTS擯棄了傳統(tǒng)的單點(diǎn)登錄技術(shù)的實(shí)現(xiàn)方式，采用國(guó)內(nèi)領(lǐng)先的支持C-S 和B-S 架構(gòu)的單點(diǎn)登錄（SSO）實(shí)現(xiàn)機(jī)制，無(wú)需任何系統(tǒng)改造，其實(shí)現(xiàn)方式與應(yīng)用系統(tǒng)的操作平臺(tái)、開(kāi)發(fā)平臺(tái)、開(kāi)發(fā)語(yǔ)言、數(shù)據(jù)庫(kù)、Web 服務(wù)器無(wú)關(guān)，在不改變現(xiàn)有軟硬件及網(wǎng)絡(luò)環(huán)境的前提下，無(wú)縫地將用戶各種現(xiàn)有的應(yīng)用系統(tǒng)整合到單點(diǎn)登錄平臺(tái)上，實(shí)現(xiàn)一次登錄后就可訪問(wèn)所有的應(yīng)用系統(tǒng)。真正實(shí)現(xiàn)了“即插即用”、 “一點(diǎn)登錄，全網(wǎng)漫游”，真正體現(xiàn)了與“應(yīng)用無(wú)關(guān)”的完美集成概念。
圖7、4A（賬號(hào)/認(rèn)證/授權(quán)/審計(jì)）架構(gòu)圖
運(yùn)維審計(jì)（堡壘主機(jī)）
建議在運(yùn)維管理層部署公司的運(yùn)維審計(jì)（堡壘主機(jī)）系統(tǒng)Audit-SAG，為IDC運(yùn)維人員提供統(tǒng)一的運(yùn)維操作審計(jì)。Audit-SAG支持主賬號(hào)、被管資源、角色的樹(shù)形無(wú)限級(jí)分組，支持靜態(tài)口令、證書(shū)、智能卡、指紋等認(rèn)證方式，支持豐富的被管資源并可自動(dòng)收集被管資源的賬號(hào)，支持所有被管設(shè)備的密碼自動(dòng)變更，可將訪問(wèn)控制配置抽象成主機(jī)命令策略、訪問(wèn)時(shí)間策略、客戶端地址策略、訪問(wèn)鎖定策略四種策略以簡(jiǎn)化用戶的配置和使用，可有效實(shí)現(xiàn)單點(diǎn)登錄、集中賬號(hào)管理、身份認(rèn)證、資源授權(quán)、訪問(wèn)控制和操作審計(jì)，非常適合于對(duì)IDC運(yùn)維人員的管理和操作行為的審計(jì)。
建議在運(yùn)維管理層部署公司的運(yùn)維審計(jì)（堡壘主機(jī)）系統(tǒng)Audit-SAG，為IDC運(yùn)維人員提供統(tǒng)一的運(yùn)維操作審計(jì)。Audit-SAG支持主賬號(hào)、被管資源、角色的樹(shù)形無(wú)限級(jí)分組，支持靜態(tài)口令、證書(shū)、智能卡、指紋等認(rèn)證方式，支持豐富的被管資源并可自動(dòng)收集被管資源的賬號(hào)，支持所有被管設(shè)備的密碼自動(dòng)變更，可將訪問(wèn)控制配置抽象成主機(jī)命令策略、訪問(wèn)時(shí)間策略、客戶端地址策略、訪問(wèn)鎖定策略四種策略以簡(jiǎn)化用戶的配置和使用，可有效實(shí)現(xiàn)單點(diǎn)登錄、集中賬號(hào)管理、身份認(rèn)證、資源授權(quán)、訪問(wèn)控制和操作審計(jì)，非常適合于對(duì)IDC運(yùn)維人員的管理和操作行為的審計(jì)。
圖8、運(yùn)維審計(jì)（堡壘主機(jī)）功能示意圖
數(shù)據(jù)庫(kù)審計(jì)
建議在運(yùn)維管理層部署公司的數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)Audit-DB，為IDC運(yùn)維人員提供數(shù)據(jù)庫(kù)操作審計(jì)，及時(shí)發(fā)現(xiàn)數(shù)據(jù)庫(kù)違規(guī)操作，保護(hù)IDC業(yè)務(wù)數(shù)據(jù)庫(kù)的安全。Audit-DB作為高性能專業(yè)數(shù)據(jù)庫(kù)審計(jì)硬件產(chǎn)品，廣泛支持Sybase、DN2、SQL Server、Oracle、MYSQL、Informix、PostgreSQL、達(dá)夢(mèng)、南大通用Gbase、人大金倉(cāng)等多種數(shù)據(jù)庫(kù)審計(jì)分析；基于量子存儲(chǔ)技術(shù)，可有效保證海量審計(jì)數(shù)據(jù)不丟失；利用云審計(jì)平臺(tái)的自治查詢技術(shù)充分發(fā)揮sec多核平臺(tái)的計(jì)算能力，實(shí)現(xiàn)海量數(shù)據(jù)查詢操作的瞬時(shí)返回，真正實(shí)現(xiàn)即查即顯；采用面向數(shù)據(jù)應(yīng)用的壓力分析技術(shù)，實(shí)時(shí)、準(zhǔn)確的審計(jì)分析所有SQL語(yǔ)句，明確判斷SQL語(yǔ)句的操作類型、操作對(duì)象；支持自定義的SQL語(yǔ)句分析功能，國(guó)內(nèi)唯一；具有實(shí)時(shí)分析統(tǒng)計(jì)報(bào)表功能，有效解決了統(tǒng)計(jì)報(bào)表查詢長(zhǎng)時(shí)間等待問(wèn)題，實(shí)現(xiàn)統(tǒng)計(jì)報(bào)表即查即顯；國(guó)內(nèi)唯一真正實(shí)現(xiàn)三層關(guān)聯(lián)審計(jì)分析，關(guān)聯(lián)分析準(zhǔn)確度高達(dá)90%以上；實(shí)時(shí)告警分析，支持用戶自定義告警規(guī)則，支持郵件、短信、命令行、防火墻聯(lián)動(dòng)等多種告警方式。
終端安全管理
建議在運(yùn)維管理層部署公司的終端安全管理系統(tǒng)DESK，為IDC運(yùn)維人員提供終端安全準(zhǔn)入等，防止運(yùn)維人員終端自身的安全問(wèn)題影響IDC業(yè)務(wù)系統(tǒng)。DESK是第三代終端管理系統(tǒng)，在具備補(bǔ)丁管理、802.1x準(zhǔn)入控制、存儲(chǔ)介質(zhì)（U盤等）管理、非法外聯(lián)管理、終端安全性檢查、終端狀態(tài)監(jiān)控、終端行為監(jiān)控、安全報(bào)警等功能基礎(chǔ)上，增加風(fēng)險(xiǎn)管理和主動(dòng)防范機(jī)制，具備完善的違規(guī)監(jiān)測(cè)和風(fēng)險(xiǎn)分析，實(shí)現(xiàn)有效防護(hù)和控制，降低風(fēng)險(xiǎn)，并指導(dǎo)持續(xù)改進(jìn)和完善防護(hù)策略，并具備終端敏感信息檢查功能，支持終端流量監(jiān)控，非常適合于對(duì)IDC運(yùn)維終端的安全管理。
安全管理平臺(tái)（SOC）
建議在運(yùn)維管理層部署公司的安全管理平臺(tái)（SOC）Analyzer，對(duì)IDC所有的安全設(shè)備、非安全設(shè)備進(jìn)行統(tǒng)一的安全事件、安全態(tài)勢(shì)等分析和管理等。Analyzer是面向全網(wǎng)IT資源整合的安全管理平臺(tái)，它通過(guò)對(duì)全網(wǎng)安全域中IT資源事件的采集、處理和分析，構(gòu)建可度量的業(yè)務(wù)信息系統(tǒng)風(fēng)險(xiǎn)模型，實(shí)現(xiàn)集中監(jiān)控、分析和管理的信息系統(tǒng)，展示整體信息安全態(tài)勢(shì)，并為整個(gè)信息系統(tǒng)的安全運(yùn)營(yíng)提供決策服務(wù)和運(yùn)維流程管理。Analyzer具有首頁(yè)動(dòng)態(tài)配置功能，不同的角色可以配置不同的首頁(yè)來(lái)展示不同的主題；具有安全對(duì)象管理、脆弱性管理、風(fēng)險(xiǎn)管理、事件管理、安全預(yù)警、告警功能、安全策略管理、工單管理、知識(shí)庫(kù)管理、專家輔助決策管理、報(bào)表管理等功能。Analyzer基于業(yè)務(wù)驅(qū)動(dòng)，采用面向服務(wù)的體系架構(gòu)、可擴(kuò)展的事件收集專利技術(shù)、先進(jìn)的事件歸并技術(shù)、標(biāo)準(zhǔn)SWL92語(yǔ)法過(guò)濾技術(shù)、基于狀態(tài)的實(shí)時(shí)關(guān)聯(lián)檢測(cè)技術(shù)、基于輔助決策的智能防護(hù)、多視角展示技術(shù)等，可提供持續(xù)改進(jìn)的風(fēng)險(xiǎn)管理保障。
建議在運(yùn)維管理層部署公司的數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)Audit-DB，為IDC運(yùn)維人員提供數(shù)據(jù)庫(kù)操作審計(jì)，及時(shí)發(fā)現(xiàn)數(shù)據(jù)庫(kù)違規(guī)操作，保護(hù)IDC業(yè)務(wù)數(shù)據(jù)庫(kù)的安全。Audit-DB作為高性能專業(yè)數(shù)據(jù)庫(kù)審計(jì)硬件產(chǎn)品，廣泛支持Sybase、DN2、SQL Server、Oracle、MYSQL、Informix、PostgreSQL、達(dá)夢(mèng)、南大通用Gbase、人大金倉(cāng)等多種數(shù)據(jù)庫(kù)審計(jì)分析；基于量子存儲(chǔ)技術(shù)，可有效保證海量審計(jì)數(shù)據(jù)不丟失；利用云審計(jì)平臺(tái)的自治查詢技術(shù)充分發(fā)揮sec多核平臺(tái)的計(jì)算能力，實(shí)現(xiàn)海量數(shù)據(jù)查詢操作的瞬時(shí)返回，真正實(shí)現(xiàn)即查即顯；采用面向數(shù)據(jù)應(yīng)用的壓力分析技術(shù)，實(shí)時(shí)、準(zhǔn)確的審計(jì)分析所有SQL語(yǔ)句，明確判斷SQL語(yǔ)句的操作類型、操作對(duì)象；支持自定義的SQL語(yǔ)句分析功能，國(guó)內(nèi)唯一；具有實(shí)時(shí)分析統(tǒng)計(jì)報(bào)表功能，有效解決了統(tǒng)計(jì)報(bào)表查詢長(zhǎng)時(shí)間等待問(wèn)題，實(shí)現(xiàn)統(tǒng)計(jì)報(bào)表即查即顯；國(guó)內(nèi)唯一真正實(shí)現(xiàn)三層關(guān)聯(lián)審計(jì)分析，關(guān)聯(lián)分析準(zhǔn)確度高達(dá)90%以上；實(shí)時(shí)告警分析，支持用戶自定義告警規(guī)則，支持郵件、短信、命令行、防火墻聯(lián)動(dòng)等多種告警方式。
終端安全管理
建議在運(yùn)維管理層部署公司的終端安全管理系統(tǒng)DESK，為IDC運(yùn)維人員提供終端安全準(zhǔn)入等，防止運(yùn)維人員終端自身的安全問(wèn)題影響IDC業(yè)務(wù)系統(tǒng)。DESK是第三代終端管理系統(tǒng)，在具備補(bǔ)丁管理、802.1x準(zhǔn)入控制、存儲(chǔ)介質(zhì)（U盤等）管理、非法外聯(lián)管理、終端安全性檢查、終端狀態(tài)監(jiān)控、終端行為監(jiān)控、安全報(bào)警等功能基礎(chǔ)上，增加風(fēng)險(xiǎn)管理和主動(dòng)防范機(jī)制，具備完善的違規(guī)監(jiān)測(cè)和風(fēng)險(xiǎn)分析，實(shí)現(xiàn)有效防護(hù)和控制，降低風(fēng)險(xiǎn)，并指導(dǎo)持續(xù)改進(jìn)和完善防護(hù)策略，并具備終端敏感信息檢查功能，支持終端流量監(jiān)控，非常適合于對(duì)IDC運(yùn)維終端的安全管理。
安全管理平臺(tái)（SOC）
建議在運(yùn)維管理層部署公司的安全管理平臺(tái)（SOC）Analyzer，對(duì)IDC所有的安全設(shè)備、非安全設(shè)備進(jìn)行統(tǒng)一的安全事件、安全態(tài)勢(shì)等分析和管理等。Analyzer是面向全網(wǎng)IT資源整合的安全管理平臺(tái)，它通過(guò)對(duì)全網(wǎng)安全域中IT資源事件的采集、處理和分析，構(gòu)建可度量的業(yè)務(wù)信息系統(tǒng)風(fēng)險(xiǎn)模型，實(shí)現(xiàn)集中監(jiān)控、分析和管理的信息系統(tǒng)，展示整體信息安全態(tài)勢(shì)，并為整個(gè)信息系統(tǒng)的安全運(yùn)營(yíng)提供決策服務(wù)和運(yùn)維流程管理。Analyzer具有首頁(yè)動(dòng)態(tài)配置功能，不同的角色可以配置不同的首頁(yè)來(lái)展示不同的主題；具有安全對(duì)象管理、脆弱性管理、風(fēng)險(xiǎn)管理、事件管理、安全預(yù)警、告警功能、安全策略管理、工單管理、知識(shí)庫(kù)管理、專家輔助決策管理、報(bào)表管理等功能。Analyzer基于業(yè)務(wù)驅(qū)動(dòng)，采用面向服務(wù)的體系架構(gòu)、可擴(kuò)展的事件收集專利技術(shù)、先進(jìn)的事件歸并技術(shù)、標(biāo)準(zhǔn)SWL92語(yǔ)法過(guò)濾技術(shù)、基于狀態(tài)的實(shí)時(shí)關(guān)聯(lián)檢測(cè)技術(shù)、基于輔助決策的智能防護(hù)、多視角展示技術(shù)等，可提供持續(xù)改進(jìn)的風(fēng)險(xiǎn)管理保障。
圖9、安全管理平臺(tái)（SOC）圖
IT運(yùn)維管理
建議在運(yùn)維管理層部署公司的IT運(yùn)維管理系統(tǒng)，實(shí)現(xiàn)對(duì)整個(gè)IDC的IT運(yùn)維管理。IT運(yùn)維管理系統(tǒng)基于ISO 20000和ITIL 3.0，圍繞著人、流程、技術(shù)、信息四個(gè)方面，維護(hù)并管理組織機(jī)構(gòu)相關(guān)信息，維護(hù)并管理供應(yīng)商、廠商、服務(wù)商相關(guān)信息，維護(hù)并管理合同信息，維護(hù)并管理各類文檔，維護(hù)并管理服務(wù)信息，掃描并導(dǎo)入現(xiàn)網(wǎng)主機(jī)以及設(shè)備（目標(biāo)設(shè)備開(kāi)啟SNMP）信息進(jìn)入資產(chǎn)庫(kù)，維護(hù)并管理資產(chǎn)信息。同時(shí)，將當(dāng)前全網(wǎng)配置狀態(tài)設(shè)置為基線（BaseLine），查看現(xiàn)網(wǎng)設(shè)備的配置變動(dòng)與基線對(duì)比。這樣，達(dá)到對(duì)整個(gè)IDC相關(guān)組織、供應(yīng)商、廠商、服務(wù)商、機(jī)房、網(wǎng)絡(luò)、設(shè)備、系統(tǒng)、資產(chǎn)等全方位的事件管理、問(wèn)題管理、運(yùn)維評(píng)價(jià)、變更管理等目的。
建議在運(yùn)維管理層部署公司的IT運(yùn)維管理系統(tǒng)，實(shí)現(xiàn)對(duì)整個(gè)IDC的IT運(yùn)維管理。IT運(yùn)維管理系統(tǒng)基于ISO 20000和ITIL 3.0，圍繞著人、流程、技術(shù)、信息四個(gè)方面，維護(hù)并管理組織機(jī)構(gòu)相關(guān)信息，維護(hù)并管理供應(yīng)商、廠商、服務(wù)商相關(guān)信息，維護(hù)并管理合同信息，維護(hù)并管理各類文檔，維護(hù)并管理服務(wù)信息，掃描并導(dǎo)入現(xiàn)網(wǎng)主機(jī)以及設(shè)備（目標(biāo)設(shè)備開(kāi)啟SNMP）信息進(jìn)入資產(chǎn)庫(kù)，維護(hù)并管理資產(chǎn)信息。同時(shí)，將當(dāng)前全網(wǎng)配置狀態(tài)設(shè)置為基線（BaseLine），查看現(xiàn)網(wǎng)設(shè)備的配置變動(dòng)與基線對(duì)比。這樣，達(dá)到對(duì)整個(gè)IDC相關(guān)組織、供應(yīng)商、廠商、服務(wù)商、機(jī)房、網(wǎng)絡(luò)、設(shè)備、系統(tǒng)、資產(chǎn)等全方位的事件管理、問(wèn)題管理、運(yùn)維評(píng)價(jià)、變更管理等目的。
圖10、IT運(yùn)維管理系統(tǒng)功能示意圖
信息安全管理系統(tǒng)（ISMS）
建議在運(yùn)維管理層部署公司針對(duì)IDC/ISP監(jiān)管開(kāi)發(fā)的信息安全管理系統(tǒng)（ISMS），實(shí)現(xiàn)對(duì)IDC的信息安全監(jiān)管。ISMS可對(duì)IDC/ISP經(jīng)營(yíng)單位的單位信息、機(jī)房數(shù)據(jù)、用戶數(shù)據(jù)等基礎(chǔ)數(shù)據(jù)進(jìn)行管理和監(jiān)測(cè)；可對(duì)上行流量數(shù)據(jù)進(jìn)行監(jiān)測(cè)，并記錄和統(tǒng)計(jì)訪問(wèn)信息，形成訪問(wèn)日志；可對(duì)網(wǎng)絡(luò)中傳輸?shù)墓残畔?shù)據(jù)進(jìn)行監(jiān)測(cè)，發(fā)現(xiàn)網(wǎng)絡(luò)中的違法違規(guī)網(wǎng)站、違法信息等，保存有關(guān)記錄，對(duì)違法信息進(jìn)行過(guò)濾處理；同時(shí)，可將相關(guān)信息主動(dòng)上報(bào)給電信管理部門的安全監(jiān)管系統(tǒng)（SMMS），或由安全監(jiān)管系統(tǒng)查詢相關(guān)記錄和日志，通過(guò)對(duì)IDC/ISP進(jìn)行信息安全監(jiān)管，達(dá)到保證互聯(lián)網(wǎng)安全的目的。
建議在運(yùn)維管理層部署公司針對(duì)IDC/ISP監(jiān)管開(kāi)發(fā)的信息安全管理系統(tǒng)（ISMS），實(shí)現(xiàn)對(duì)IDC的信息安全監(jiān)管。ISMS可對(duì)IDC/ISP經(jīng)營(yíng)單位的單位信息、機(jī)房數(shù)據(jù)、用戶數(shù)據(jù)等基礎(chǔ)數(shù)據(jù)進(jìn)行管理和監(jiān)測(cè)；可對(duì)上行流量數(shù)據(jù)進(jìn)行監(jiān)測(cè)，并記錄和統(tǒng)計(jì)訪問(wèn)信息，形成訪問(wèn)日志；可對(duì)網(wǎng)絡(luò)中傳輸?shù)墓残畔?shù)據(jù)進(jìn)行監(jiān)測(cè)，發(fā)現(xiàn)網(wǎng)絡(luò)中的違法違規(guī)網(wǎng)站、違法信息等，保存有關(guān)記錄，對(duì)違法信息進(jìn)行過(guò)濾處理；同時(shí)，可將相關(guān)信息主動(dòng)上報(bào)給電信管理部門的安全監(jiān)管系統(tǒng)（SMMS），或由安全監(jiān)管系統(tǒng)查詢相關(guān)記錄和日志，通過(guò)對(duì)IDC/ISP進(jìn)行信息安全監(jiān)管，達(dá)到保證互聯(lián)網(wǎng)安全的目的。
圖11、IDC/ISP ISMS系統(tǒng)功能示意圖
安全云服務(wù)
建議選擇公司的安全云服務(wù)，為IDC用戶提供遠(yuǎn)程網(wǎng)站安全監(jiān)測(cè)與恢復(fù)、安全事件審計(jì)與預(yù)警等服務(wù)，解除IDC用戶安全管理難的后顧之憂。公司基于其安全管理平臺(tái)（SOC）等安全產(chǎn)品，已在多地建成安全云服務(wù)中心，可基于先進(jìn)的技術(shù)平臺(tái)、經(jīng)驗(yàn)豐富的安全運(yùn)營(yíng)團(tuán)隊(duì)、成熟的服務(wù)管理體系，依托來(lái)自國(guó)家監(jiān)管機(jī)構(gòu)的權(quán)威分析數(shù)據(jù)，為政府和企業(yè)用戶提供的包括網(wǎng)站安全監(jiān)測(cè)與恢復(fù)、安全事件審計(jì)與預(yù)警、安全巡檢、安全策略風(fēng)險(xiǎn)評(píng)估等在內(nèi)的專業(yè)安全云服務(wù)，可幫助政企用戶及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中存在的安全問(wèn)題、分析安全事件產(chǎn)生的原因和影響、提供安全事件的預(yù)警和解決方案、幫助用戶處理和解決安全問(wèn)題。
建議選擇公司的安全云服務(wù)，為IDC用戶提供遠(yuǎn)程網(wǎng)站安全監(jiān)測(cè)與恢復(fù)、安全事件審計(jì)與預(yù)警等服務(wù)，解除IDC用戶安全管理難的后顧之憂。公司基于其安全管理平臺(tái)（SOC）等安全產(chǎn)品，已在多地建成安全云服務(wù)中心，可基于先進(jìn)的技術(shù)平臺(tái)、經(jīng)驗(yàn)豐富的安全運(yùn)營(yíng)團(tuán)隊(duì)、成熟的服務(wù)管理體系，依托來(lái)自國(guó)家監(jiān)管機(jī)構(gòu)的權(quán)威分析數(shù)據(jù)，為政府和企業(yè)用戶提供的包括網(wǎng)站安全監(jiān)測(cè)與恢復(fù)、安全事件審計(jì)與預(yù)警、安全巡檢、安全策略風(fēng)險(xiǎn)評(píng)估等在內(nèi)的專業(yè)安全云服務(wù)，可幫助政企用戶及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中存在的安全問(wèn)題、分析安全事件產(chǎn)生的原因和影響、提供安全事件的預(yù)警和解決方案、幫助用戶處理和解決安全問(wèn)題。
圖12、安全云服務(wù)示意圖
IDC網(wǎng)絡(luò)是最具代表性的大型機(jī)房業(yè)務(wù)提供網(wǎng)絡(luò)，IDC整體安全解決方案，一方面體現(xiàn)了對(duì)IDC面臨的安全問(wèn)題的深刻理解，另一方面也體現(xiàn)了強(qiáng)大的安全產(chǎn)品、安全服務(wù)和安全解決方案能力。
作為國(guó)內(nèi)最具實(shí)力和最值得信賴的安全產(chǎn)品/安全服務(wù)/安全解決方案提供商，愿為用戶提供更多、更好的整體安全解決方案
