網(wǎng)絡(luò )安全解決方案
一、網(wǎng)絡(luò )安全威脅和問(wèn)題
今天的信息網(wǎng)絡(luò )越來(lái)越多地把關(guān)鍵業(yè)務(wù)應用、語(yǔ)音、視頻等新型應用融合到IP網(wǎng)絡(luò )上，一個(gè)安全、可靠的信息網(wǎng)絡(luò )是業(yè)務(wù)成功的關(guān)鍵。
但是隨著(zhù)網(wǎng)絡(luò )應用的不斷深入和廣泛，網(wǎng)絡(luò )自身安全的威脅和問(wèn)題也愈發(fā)嚴重和復雜。
1. 蠕蟲(chóng)/病毒/垃圾郵件在網(wǎng)上泛濫；
2. 黑客惡意攻擊，DDoS拒絕服務(wù)攻擊；
3. 管理人員對網(wǎng)絡(luò )設備的簡(jiǎn)單配置和隨意部署；
4. 內部用戶(hù)任意下載/拷貝；
5. 內部人員無(wú)意或有意嘗試闖入敏感區域 等等。
這些問(wèn)題，都對網(wǎng)絡(luò )自身的穩定運行帶來(lái)了極大的安全隱患，問(wèn)題一旦發(fā)作，會(huì )導致網(wǎng)絡(luò )設備資源耗盡，網(wǎng)絡(luò )帶寬被塞滿(mǎn)，網(wǎng)絡(luò )系統無(wú)法正常工作，使得整個(gè)業(yè)務(wù)系統不能有效進(jìn)行，應用系統被侵入或篡改，造成的損失非常巨大，后果極為嚴重。
二、普通技術(shù)解決方案和不足
如何應對現在新的網(wǎng)絡(luò )安全環(huán)境呢？如何在我們的網(wǎng)絡(luò )上確保安全，及時(shí)地發(fā)現問(wèn)題、跟蹤定位和阻止泛濫，是每個(gè)網(wǎng)絡(luò )管理人員所思考的問(wèn)題
為了應對網(wǎng)絡(luò )平臺日益泛濫的安全問(wèn)題，普通的技術(shù)解決方案是針對問(wèn)題的出現區域增加專(zhuān)門(mén)的安全設備，包括：
1. 服務(wù)器和桌面系統安裝防病毒/蠕蟲(chóng)軟件；
2. 經(jīng)常性升級代碼庫和操作系統的補��；
3. 網(wǎng)絡(luò )出口安裝防火墻；
4. 網(wǎng)絡(luò )中心或關(guān)鍵區域安裝IDS入侵監測；
5. 網(wǎng)絡(luò )接入增加加密設備等等。
由于在網(wǎng)絡(luò )設計的初期，缺少對網(wǎng)絡(luò )安全的整體考慮，特別是沒(méi)有網(wǎng)絡(luò )自身層面去規劃安全的要素，導致“頭痛醫頭，腳痛醫腳”，完全是“救火式”網(wǎng)絡(luò )安全保護，結果自然是：
1. 網(wǎng)絡(luò )安全各個(gè)部分相互獨立，各行其事；
2. 網(wǎng)絡(luò )設備沒(méi)有安全保護，只是區域的邊界安全；
3. 安全防范效果不明顯，原有安全問(wèn)題依然存在；
4. 對于新出現的攻擊、病毒和蠕蟲(chóng)不能適應，難以承受，被動(dòng)響應；即使發(fā)現問(wèn)題，也缺乏跟蹤定位，有效隔離，快速消除的能力。
因此，我們需要從網(wǎng)絡(luò )自身基礎架構的層面上，考慮安全，規劃安全，部署安全和實(shí)施安全。
安全已經(jīng)不是網(wǎng)絡(luò )中的一個(gè)選項，安全是網(wǎng)絡(luò )中必不可少的重要組成部分，通過(guò)智能集成，分工協(xié)作，全局部署，做到真正融于網(wǎng)絡(luò )內部，真正成為網(wǎng)絡(luò )規劃的核心，真正確保整體網(wǎng)絡(luò )的穩定、可靠、高效運營(yíng)。
三、網(wǎng)絡(luò )安全解決方案
網(wǎng)絡(luò )安全解決方案，通過(guò)設備、網(wǎng)絡(luò )及應用幾個(gè)層面的安全保護，各自分工，系統協(xié)作，全面部署，從核心層到分布層、接入層，從物理層到應用層，我們要采取全面的安全策略來(lái)保護整個(gè)網(wǎng)絡(luò )基礎構架和其所連接的系統，即使當攻擊，蠕蟲(chóng)和病毒發(fā)生時(shí)，我們的網(wǎng)絡(luò )基礎設施要具備相當的抵抗和承受能力，在自動(dòng)適應“變化”的基礎上，充分利用網(wǎng)絡(luò )基礎平臺的優(yōu)勢，協(xié)助專(zhuān)門(mén)的安全系統，定位問(wèn)題，提供數據，有效隔離，快速清除，確保整體網(wǎng)絡(luò )的穩定運行。
建議對整體網(wǎng)絡(luò )的自身安全部署要充分考慮，特別重視，詳細規劃，貫徹實(shí)施:
諸如以上的圖示，在網(wǎng)絡(luò )自身安全的部署過(guò)程中要從以下方面進(jìn)行。
1、網(wǎng)絡(luò )設備級別保護
包括路由器，交換機，接入設備，無(wú)線(xiàn)設備等等。
針對每個(gè)網(wǎng)絡(luò )設備，從三個(gè)方面立體部署實(shí)施。
? 設備控制平面保護
主要是對設備控制平臺，如CPU，內存等資源訪(fǎng)問(wèn)控制和策略保護，以及設備本身路由處理交換的實(shí)現機制，如快速轉發(fā)方式。
? 設備管理平面保護
對設備管理訪(fǎng)問(wèn)和信息收集的安全保護，諸如SNMP，SSH，CLI，WEB等等。
另外，對于支持USB安全令牌的設備，也建議考慮配備，從物理的角度更為深入的實(shí)現了設備的安全管理。
? 設備數據平面保護
設備的數據平面是網(wǎng)絡(luò )設備安全功能豐富且全面的領(lǐng)域，針對交換設備和路由設備，各廠(chǎng)商產(chǎn)品各有多種多樣的安全保護措施，建議在整體網(wǎng)絡(luò )的設計、結構、規劃和實(shí)施中，充分結合相關(guān)設備的安全功能，做到“所有設備安全”。
2、網(wǎng)絡(luò )級別保護
1. 網(wǎng)絡(luò )級別的保護是指設備之間的安全保護，包括
2. 路由控制協(xié)議驗證加密；
3. 網(wǎng)絡(luò )應用識別NBAR；
4. 網(wǎng)絡(luò )流量統計分析Netflow；
5. 針對客戶(hù)提供ACL的服務(wù)質(zhì)量；
6. 網(wǎng)絡(luò )訪(fǎng)問(wèn)中的網(wǎng)絡(luò )準入控制（NAC）。
