神州数码安 DC-FW 高性能防火墙 技术白皮书.docVIP

神州数码 DC-FW v3.1高性能防火墙 技术白皮书 北京神州数码有限公司 2007年8月 目 录 一、 序言 2 二、神码安全DC-FW v3.1高性能防火墙概述 3 三、神码安全DC-FW v3.1高性能防火墙技术特色 3 3.1 专用安全操作系统 3 3.2 纯硬件架构 3 3.3 状态检测技术、核检测技术以及入侵模式匹配监测 3 3.4 深度的内容检测、强大的P2P拦截功能 3 3.5 严格的访问控制策略 4 3.6 危险网站阻隔 4 3.7 敏感数据拦截 5 3.8 强大的QOS、丰富的日志报表功能 5 3.9 访问跟踪、审计 5 3.10 防止DOS攻击 5 3.11 强大的VPN功能 6 3.12 支持VOIP 6 3.13 桥式防火墙 7 3.14 强大的审计功能 7 四、DC-FW v3.1 技术参数指标 7 序言 随着网络的发展和Internet的广泛应用，当今的网络安全威胁已经由原来的针对TCP/IP协议本身弱点的攻击转向针对特定系统和应用漏洞的攻击和入侵。回顾2004年，以冲击波、震荡波、安哥Bot、MyDoom等蠕虫与木马病毒为主的网络化病毒，加上利用网络协议及应用漏洞进行攻击与入侵行为，给全球企业造成了巨大的损失。据统计，仅2004年，病毒等恶意程序就给全球造成了1690亿美元的经济损失。 此时，传统的防火墙已经显得无能为力。例如针对Windows系统和Oracle/SQL Server等数据库的攻击，这些攻击和入侵手段封装在TCP/IP协议的有效载荷部分。传统的防火墙由于只查TCP/IP协议包头部分而不检查数据包的内容，所以无法检测出此类攻击。基于网络传播的病毒及间谍软件给互联网用户造成了巨大的损失，层出不穷的即时消息和P2P应用（例如MSN、QQ、BT等）给企业带来许多安全威胁并降低员工的工作效率。传统的防火墙设备在面对这些复合型的安全威胁时，已经不能满足客户的安全需求。 防火墙设备包括防火墙，VPN，IPS等多种功能。已经成为网络安全产品的一个发展方向。 面对着这些日益严重的复合型安全威胁时，企业往往为了完整的保护内部IT资源，需要投资购买大量的设备，包括VPN，防火墙，IDS，网络监控设备等多种设备。神码安全高性能防火墙集所有这些安全功能于一身，一台设备就能提供完整的安全解决方案，省去了购买众多冗余设备的成本与维护成本。 神码安全高性能防火墙内置神码安全的领先VPN技术，拥有神码安全高性能防火墙 VPN的所有强大功能。除此之外，神码安全高性能防火墙 防火墙IPS(入侵防御系统)功能，能有效识别和抵御多种攻击，更大范围的保护了企业连接到Internet的安全。 为保证企业合理使用Internet资源，防止企业信息资产泄漏，神码安全高性能防火墙提供了完善的访问控制功能。通过合理设置访问权限，杜绝了对不良网站和危险资源的访问，防止了P2P软件对企业网络带来的安全风险。通过带宽管理和访问跟踪技术，能有效防止对Internet资源的滥用。神码安全高性能防火墙安全审计功能更为防止必威体育官网网址信息泄漏提供了最有效的保证。 二、神码安全DC-FW v3.1高性能防火墙概述 神码安全高性能防火墙采用基于神州数码安全操作系统，采用状态检测技术，提供流量流速控制，能够完成负载均衡功能。神码安全高性能防火墙能够达到企业级应用要求，在安全性、稳定性和使用便利性达到完美的组合。 三、神码安全DC-FW v3.1高性能防火墙技术特色 3.1 专用安全操作系统 神码安全高性能防火墙采用神码安全公司自主研发，达到国家操作系统标准三级全部要求，部分达到四级标准。较之一般的防火墙底座，神码安全防火墙能够提供更多安全保障。针对神码安全防火墙，在保留神码安全操作系统安全特性的前提下，还对操作系统进行了裁剪，使得防火墙在神码安全操作系统中达到最优的性能。 细粒度存取控制——采用列表存取控制技术和强制存取控制技术。强制存取控制定义了粒度更为细的存取控制关系——用户与所执行的操作以及访问对象之间的存取关系，比如可以定义一个用户只读某一URI指定的资源。 3.2 纯硬件架构 由于采用完全硬件化设计，系统采用NP架构，没有机械元件，没有硬盘故障问题，系统的可靠性更高。 3.3 状态检测技术、核检测技术以及入侵模式匹配监测 状态检测技术——对所有的经过的IP包的各协议层进行分析，对于 TCP包进行状态机建立和监视，对UDP包建立虚拟的连接，对其建立方向的概念，同时对ICMP包进行分析，决定其与已有的TCP或 UDP连接之间的关系。对应用层，分析其语义。 核检测技术——在内核中建立各个应用的协议栈，还原协议内容进行检测。由于没有数据在应用层以及内核层交换的时间，所以系统的处理速度