XXX规划院信息安全建设方案,V.16.doc

XXX规划院信息安全建设方案,V.16 　　 XXXXXX调查规划院 信 息 安 全　 建 设 方 案　()　 成都XXX有限公司 Chengdu XXXX Information Technoloy Co., Ltd. 二OO八年十一月　 文 档 状 态 文件状态 ［　］草稿文件 ［　］正式文件 ［√］更改正式文件 文　件 标　识 LGY-ITS 当　前 版　本　作　者　完　成 日　期 2008-12-22　 修订历史记录 日期 版本 说明 作者 2008-11-3　根据实际需求及进一步发展描述完成方案草案　2008-11-4　对方案中的问题进行修订、完善　2008-11-5　对方案中的问题进行修订 提出三套不同档次解决方案 对DMZ区设计进行修订　2008-11-6　对三套方案的产品及预算进行调整　2008-11-6　对第一套方案一、二阶段进行调整 完善对现在设备的分析　2008-11-20　完成产品介绍内容　　 目 录 1 信息系统安全体系现状概述 1　现状概述 1　现状分析 1　拓扑结构说明 2 2 安全威胁分析 6　外部威胁分析 6　内部威胁分析 6　总体威胁分析 7 3 总体需求及主要内容 8 4 网络及信息安全体系总体方案 9　设计原则 9　总体方案 9 5 详细设计 10　拓扑结构调整 10　出口安全设计 10　网络防病毒 11　内容安全网关(防毒墙) 11　企业级网络版防病毒软件 11　构建全局安全网络体系 12　概述 12　IP地址规划 13　VLAN规划 14　常见网络危害病毒防范设计 15　常见网络攻击防范设计 18　MAC攻击 18　DHCP攻击 18　ARP攻击 19　IP/MAC攻击 20　STP攻击 20　Dos/Ddos攻击 21　IP扫描攻击 21　网络设备管理安全 21　全局安全网络(GSN)方案设计 22　安全挑战 22　管理挑战 22　方案详细介绍 22　安全特性 23　管理特性 24　详细功能 24　交换设备升级 26　应用扩展后的安全体系建设 26　总体方案 26　服务器DMZ区 27　入侵检测系统(IDS) 27　应用控制引擎 28　数据中心构建 31 6 方案特色 37 7 建设计划及资金预算 38　方案1—中低配置方案 38　方案2—中档配置方案 40　方案3—中高配置方案 42 8 主要设备选型 44　防火墙-RG-WALL-160M 44　产品特性 44　技术参数 45　防火墙-RG-WALL-1600S 48　产品概述 48　产品特性 49　技术参数 51　扩展模块 54　RG-S2126G安全智能交换机 55　产品概述 55　产品特性 55　技术参数 58　防病毒安全套装　59　PESA特性 60　模块介绍 60　入侵检测系统RG-IDS-500 61　产品概述 61　产品特性 62　技术参数 64　RG-SMP安全网络管理平台 64　产品概述 64　产品特征 65　身份认证功能 65　主机端点防护功能 65　网络通信保护功能 66　 1 信息系统安全体系现状概述　现状概述 我单位计算机网络、信息系统在建设之初，经过了仔细规划，结构合理、运行可靠、维护方便。但是在建设初期，网络系统及应用系统均相对简单，信息系统安全的重要性并未体现出来，主要应用仍限于内部局域当中，对外网的访问主要是普通上网和信息服务，信息系统安全措施及技术手段相对较少。 　　随着IT技术的飞速发展，各种应用的不断丰富，国家几大“金”字号工程的建设，电子商务、电子政务的不断深入，我单位网络规模的不断扩大、应用不断增加，陆续或即将扩大网络规模、增加多种业务系统，网络和信息系统的使用频率巨增，并将提供对外的资源服务，因此，大大增加了病毒感染、网络入侵等危险。原有设计和实施的网络及信息系统安全技术手段、相关设备、措施，已经远远不能满足现在我单位网络和信息系统安全的需要，因此，迫切需要解决信息系统安全问题，构建一个全局安全网络和立体的信息安全体系。 　　 现状分析 由于网络规模的不断扩大、应用不断复杂、使用频率的不断增多，我单位网络已经变得复杂和难以管理，存在着极大的信息安全风险。 　　现有网络结构如下图所示： 　　　拓扑结构说明 网络通过Quidway AR 2880模块化路由器接入Internet，带宽10M。 　　Quidway AR 2880主要功能及性能： 　　Quidway AR28-40/80模块化中心路由器是华为AR系列路由器中面向运营商和企业用户的网络产品，采用32位的微处理器技术，使用VRP（通用路由平台），提供了极其丰富的软件特性，支持哑终端接入服务器和金融POS接入功能， 支持SNA/DLSw、VoIP特性等，提供丰富的备份方案及QoS特性。硬件采用模块化结构，具有更高的处