等级保护网络安全测评内容及山石网科应对方案.ppt
《等级保护网络安全测评内容及山石网科应对方案.ppt》由会员分享,可在线阅读,更多相关《等级保护网络安全测评内容及山石网科应对方案.ppt(89页珍藏版)》请在麦多课文档分享上搜索。
1、等级保护网络安全测评内容及山石应对方案,Hillstone山石网科解决方案事业部,编写目的,编写内容,依据,理解,反观,Hillstone山石网科安全网关可为用户提供的价值,用户等级保护建设的要点,用户等级保护建设结果的考察点,先看等级保护的基本要求,物理安全,网络安全,主机安全,应用安全,数据安全,身份鉴别(S),安全标记(S),访问控制(S),可信路径(S),安全审计(G),剩余信息保护(S),物理位置的选择(G),物理访问控制(G),防盗窃和破坏(G),防雷/火/水(G),温湿度控制(G),电力供应(A),数据完整性(S),数据保密性(S),备份与恢复(A),防静电(G),电磁防护(S)
2、,入侵防范(G),资源控制(A),恶意代码防范(G),结构安全(G),访问控制(G),安全审计(G),边界完整性检查(S),入侵防范(G),恶意代码防范(G),网络设备防护(G),身份鉴别(S),剩余信息保护(S),安全标记(S),访问控制(S),可信路径(S),安全审计(G),通信完整性(S),通信保密性(S),抗抵赖(G),软件容错(A),资源控制(A),技术要求,Hillstone山石网科安全网关技术可以满足的部分,Hillstone山石网科安全网关技术可以满足的部分,等级保护网络安全要求概述,以三级系统为例,7个控制点 33个要求项,结构安全(7项),结构安全是网络安全测评检查的重点,
3、网络结构是否合理直接关系到信息系统的整体安全 典型的方法为访谈、检查两种手段 Hillstone山石网科安全网关的价值在于提供带灵活宽管理手段,结构安全部分,应保证主要网络设备等而业务处理能力具备冗余空间,满足业务高峰期需要; 条款理解 为了保证信息系统的可用性,主要网络设备的业务处理能力应具备冗余空间 检查方法 访谈网络管理员,询问主要网络设备的性能及业务高峰流量 访谈网络管理员,询问采取何种手段对网络设备进行监控,Hillstone山石网科安全网关的状态监控,接口流量监控,设备状态监控,特色功能:应用和用户流量监控,结构安全部分,应保证网络各个部分的带宽满足业务高峰期需要; 条款理解 对网
4、络各个部分进行带宽分配,从而保证在业务高峰期业务服务的连续性 检查方法 询问当前网络各部分的带宽是否满足业务高峰期需要 如果无法满足业务高峰期需要,则需进行带宽分配。检查主要网络设备是否进行带宽分配,Hillstone山石网科安全网关的流量控制策略,依据特定接口的特定应用制定发送流量控制规则,依据特定接口的特定应用制定接受流量控制规则,依据特定接口的特定地址制定发送流量控制规则,依据特定接口的特定地址制定接受流量控制规则,Hillstone山石网科安全网关的流量控制策略,依据特定接口/特定用户/特定应用制定QOS策略 支持QOS嵌套,特色功能:根据业务动态调整带宽,特色功能:根据业务动态调整带
5、宽,结构安全部分,应在而业务终端与业务服务器之间进行路由控制建立安全的访问路径 条款理解 静态路由是指由网络管理员手工配置的路由信息。动态路由是指路由器能够自动地建立自己的路由表。 路由器之间的路由信息交换是基于路由协议实现的,如OSPF路由协议是一种典型的链路状态的路由协议。 如果使用动态路由协议应配置使用路由协议认证功能,保证网络路由安全。 检查方法 检查边界设备和主要网络设备,查看是否进行了路由控制建立安全的访问路径。 查看动态路由协议是否启用了“认证码”的配置,Hillstone山石网科安全网关支持的路由功能,Hillstone山石网科安全网关提供多种路由技术,包括静态路由:目的路由、
6、源路由、源接口路由、ISP路由、策略路由,动态路由:RIPV1/V2、OSPF山石能够根据具体的应用和用户指定策略路由,使得对不同应用和不同用户的访问控制更加灵活。,结构安全部分,应绘制与当前运行情况相符的网络拓扑结构图 条款理解 为了便于网络管理,应绘制与当前运行情况相符的网络拓扑结构图。当网络拓扑结构发生改变时,应及时更新。 检查方法 检查网络拓扑图,查看其与当前运行情况是否一致。,结构安全部分,应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原则为各子网、网段分配地址段 条款理解 根据实际情况和区域安全防护要求,应在主要网络设备上进
7、行VLAN划分或子网划分。 不同VLAN内的报文在传输时是相互隔离的。如果不同VLAN要进行通信,则需要通过路由器或三层交换机等三层设备实现 检查方法 访谈网络管理员,是否依据部门的工作职能、重要性和应用系统的级别划分了不同的VLAN或子网。,Hillstone山石网科安全网关实现安全域定义与隔离,Hillstone山石网科安全网关可将不同的接口定义到不同的安全域上,然后在安全域之间进行隔离与访问控制; Hillstone山石网科安全网关也可将同一个接口定义到不同的安全子域上,同样在不同的子域之间进行访问控制; Hillstone山石网科安全网关还可以将不同的接口定义到一个安全域内,但此时不同
8、接口间的访问也需要进行访问控制。,结构安全部分,应避免将重要网段部署在网络边界处且直接连接外部信息系统,重要网段与其他网段之间采取可靠的技术隔离手段 条款理解 为了保证信息系统的安全,应避免将重要网段部署在网络边界处且直接连接外部信息系统,防止来自外部信息系统的攻击。 在重要网段和其它网段之间配置安全策略进行访问控制。 检查方法 检查网络拓扑结构,查看是否将重要网段部署在网络边界处,重要网段和其它网段之间是否配置安全策略进行访问控制。,Hillstone山石网科安全网关实现分域安全防护,网站安全域,终端安全域,应用系统安全域,运维安全域,终端安全域,终端安全域,终端安全域,数据中心安全域,数据
9、中心安全域,应用系统安全域,数据中心安全域,应用系统安全域,结构安全部分,应按照对业务服务的重要次序来指定带宽分配优先级别,保证在网络发生拥堵的时候优先保护重要主机 条款理解 为了保证重要业务服务的连续性,应按照对业务服务的重要次序来指定带宽分配优先级别,从而保证在网络发生拥堵的时候优先保护重要主机。 检查方法 访谈网络管理员,依据实际应用系统状况,是否进行了带宽优先级分配。,Hillstone山石网科安全网关基于业务的带宽控制,依据特定接口的特定应用制定发送流量控制规则,依据特定接口的特定应用制定接受流量控制规则,依据特定策略控制QOS优先级,等级保护网络安全要求概述,以三级系统为例,7个控
10、制点 33个要求项,访问控制(8项),访问控制是网络测评检查中的核心部分,涉及到大部分网络设备、安全设备。这是网络安全设备必须满足的 典型的方法为访谈、检查两种手段 山石网关的价值在于提供灵活的访问控制策略,访问控制部分,应在网络边界部署访问控制设备,启用访问控制功能 条款理解 在网络边界部署访问控制设备,防御来自其他网络的攻击,保护内部网络的安全。 检查方法 检查网络拓扑结构,查看是否在网络边界处部署了访问控制设备,是否启用了访问控制功能。,山石网络边界隔离与访问控制方案,Hillstone山石网科安全网关作用在不同安全域的边界,进行隔离与访问控制措施,对重要业务进行有效保护。,访问控制部分
11、,应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力,控制粒度为端口级 条款理解 在网络边界部署访问控制设备,对进出网络的流量进行过滤,保护内部网络的安全。 配置的访问控制列表应有明确的源/目的地址、源/目的、协议及服务等。 检查方法 检查访问控制设备,看是否能够针对/目的地址、源/目的、协议及服务制定访问控制策略。 查看策略是否可定义禁止和允许访问的能力。,Hillstone山石网科安全网关安全访问策略,Hillstone山石网科安全网关可根据IP地址、安全域、用户、服务、时间、特征等配置更细粒度的访问控制策略,针对策略还可限定QOS优先级、病毒及入侵防御方式等,访问控制部分,应对进
12、出网络的信息内容进行过滤,实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制 条款理解 对于一些常用的应用层协议,能够在访问控制设备上实现应用层协议命令级的控制和内容检查,从而增强访问控制粒度。 检查方法 该测评项一般在防火墙、入侵防御系统上检查。 首先查看防火墙、入侵防御系统是否具有该功能,然后登录设备查看是否启用了相应的功能。,Hillstone山石网科安全网关应用行为控制技术,Hillstone山石网科安全网关支持的ALG(应用网关)技术能够对常见的应用进行命令级控制,访问控制部分,应在会话处于非活跃一定时间或会话结束后终止网络连接; 条款理解 当恶意用户进
13、行网络攻击时,有时会发起大量会话连接,建立会话后长时间保持状态连接从而占用大量网络资源,最终将网络资源耗尽的情况。 应在会话终止或长时间无响应的情况下终止网络连接,释放被占用网络资源,保证业务可以被正常访问。 检查方法 该测评项一般在防火墙上检查。 登录防火墙,查看是否设置了会话连接超时,设置的超时时间是多少,判断是否合理。,Hillstone山石网科安全网关会话超时控制技术,Hillstone山石网科安全网关除在应用中定义超时时间以外,还支持会话维护功能,可根据会话ID、IP地址、协议、端口、用户等参数清除指定的会话,也可支持对当前全部会话的清除,访问控制部分,应限制网络最大流量数及网络连接
14、数; 条款理解 可根据IP地址、端口、协议来限制应用数据流的最大流量,还可以根据IP地址来限制网络连接数,从而保证业务带宽不被占用,业务系统可以对外正常提供业务。 应在会话终止或长时间无响应的情况下终止网络连接,释放被占用网络资源,保证业务可以被正常访问。 检查方法 该测评项一般在防火墙上检查。访谈系统管理员,依据实际网络状况是否需要限制网络最大流量数及网络连接数。 登录设备查看是否设置了最大流量数和连接数,并做好记录。,Hillstone山石网科安全网关流量控制技术,依据特定接口的特定应用制定发送流量控制规则,依据特定接口的特定应用制定接受流量控制规则,依据特定策略控制QOS优先级,Hill
15、stone山石网科安全网关连接数控制技术,Hillstone山石网科安全网关可针对具体的安全域、具体的IP地址、具体的应用、具体的用户、一定的时间范围来限制最大会话数和新建会话数(5秒内的)比如:可限制内部用户在上班时间,每台终端的并发会话请求限制为20个,超出部分被丢弃,访问控制部分,重要网段应采取技术手段防止地址欺骗; 条款理解 地址欺骗在网络安全中比较重要的一个问题,这里的地址,可以是MAC地址,也可以是IP地址。在关键设备上,采用IP/MAC地址绑定方式防止地址欺骗。 检查方法 检查用于访问控制的设备是否启用了IP/MAC地址绑定以防止地址欺骗攻击。,Hillstone山石网科安全网关
16、IP/MAC绑定控制技术,Hillstone山石网科安全网关支持手动添加IP/MAC地址绑定,也可支持自动搜索绑定关系及自动绑定。,访问控制部分,应按用户和系统之间的允许访问规则,决定允许或拒绝用户对受控系统进行资源访问,控制粒度为单个用户; 条款理解 对于远程拨号用户,应在相关设备上提供用户认证功能。 通过配置用户、用户组,并结合访问控制规则可以实现对认证成功的用户允许访问受控资源。 检查方法 登录相关设备查看是否对拨号用户进行身份认证,是否配置访问控制规则对认证成功的用户允许访问受控资源。,Hillstone山石网科安全网关用户访问控制技术,Hillstone山石网科安全网关支持用户认证与
17、访问控制的结合,控制力度可到单个用户。,等级保护网络安全要求概述,以三级系统为例,7个控制点 33个要求项,安全审计(4项),安全审计要对相关事件进行日志记录,还要求对形成的记录能够分析、形成报表 典型的方法为访谈、检查两种手段 山石网关的价值在于提供安全管理平台,也可将审计日志提供给第三方SYSLOG,安全审计部分,应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录; 条款理解 为了对网络设备的运行状况、网络流量、管理记录等进行检测和记录,需要启用系统日志功能。系统日志信息通常输出至各种管理端口、内部缓存或者日志服务器。 检查方法 检查测评对象,查看是否启用了日志记录,日志记
- 1.请仔细阅读文档,确保文档完整性,对于不预览、不比对内容而直接下载带来的问题本站不予受理。
- 2.下载的文档,不会出现我们的网址水印。
- 3、该文档所得收入(下载+内容+预览)归上传者、原创作者;如果您是本文档原作者,请点此认领!既往收益都归您。
下载文档到电脑,查找使用更方便
2000 积分 0人已下载
下载 | 加入VIP,交流精品资源 |
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 等级 保护 网络安全 测评 内容 山石 应对 方案 PPT