集团公司网络系统安全解决方案.docVIP

某集团公司网络系统安全解决方案 1、说明 本文是北京天融信网络安全技术有限公司对某集团公司信息网络系统实施的网络安全整体解决方案。 2、某集团公司网络系统现状分析 某集团公司网络的接入基本情况： 某集团公司信息中心目前有多条DDN的专线联接各分厂； 信息中心通过一条DDN-64K专线接入集团公司中心局域网； 各分公司或办事处通过拨号网络对广东乐百氏内部网的访问。 某集团公司网络系统的基本应用情况： 某集团公司内部本身的办公和公文应用网络； 上传和下达相关的文件和公文系统； 内部应用系统（ERP）的应用； 提供对外公开的WEB服务器； 内部网通过代理服务器（Win Proxy）对公众网的访问。 提供邮件服务（主要针对内部用户）。 3、某集团公司网络安全解决方案 某集团公司的安全方案的设计思路是基于其安全需求的基础之上。主要根据需求从以下2个方面考虑：访问控制和数据加密。 采用2套网络卫士防火墙系统，一套重点保护ERP服务器群，对ERP服务器群的所有访问都要经过防火墙，这样就将ERP服务器与公众网和内部其它子网进行了隔离，同时对其的服务请求加以过滤，只允许正常通信的数据包到达相应主机，其它的请求服务在到达主机之前就应该遭到拒绝，并且对网络进行安全控制与管理，当网络出现攻击行为或网络受到其它一些安全威胁时，应进行实时的检测、监控、报告与预警和及时阻断。同时，当事故发生后，应提供黑客攻击行为的追踪线索及破案依据，强化对网络的可控性与可审查性。另一套防火墙所将集团公司各分厂网络与中心网络隔离开来，主要是控制他们对集团中心网络以及信息中心各子网的访问。 采用北京天融信公司生产的SJW11网络密码机对远程拨号用户进行身份认证，并保护数据传输的机密性与完整性。该企业集团网络系统中的部分拨号用户（主要是各地分支机构需要不断向总部传输一些与财务、合同等相关的数据）的认证和数据传输的可靠性管理成为十分重要的问题，根据其实际需求情况，首先解决的是要保证拨号用户身份的真实可靠性，其次，要解决拨号用户的用户名和密码基于明文、静态的传输方式，防止非法用户截取和修改数据资源，再次，对内部网访问的拨号用户进行审计。 SJW11网络密码机提供网关式VPN和客户端VPN技术的有效结合，VPN技术就是采用密码技术在公用网络中开辟出专用的隧道，形成专用网络，主要用于解决公共网络中拨号用户身份的真实性、数据传输的完整性、以及数据的必威体育官网网址性和防抵赖等，其目的在于保证真实的用户在公网中传输敏感、重要的数据能够安全地借助公共网络进行交换。 网络密码机主要提供以下几种安全服务： 提供网络密码机设备和客户端（拨号用户）系统之间的身份认证。 网络密码机设备间及客户端的身份认证通过数字证书来实现。每台网络密码机或客户端设备将由一个证书中心来颁发证书。对于网络密码机或客户端的身份采用基于证书的认证，证书遵循X.509证书体系，保证数据传输的机密性。 数据包经过加密后在公网上传播，使数据包即使被截获也不可读，这主要通过IPsec的ESP安全机制来实现。 保证数据传输的完整性、可靠的数据认证。 除了能够保证数据的机密性外，密码机还提供了IP数据包的完整性和认证机制。完整性保证数据报不被无意的或恶意的方式被篡改，而认证则提供验证数据的来源（主机、用户、网络等），这主要通过IPsec的AH安全机制来实现。