对网络安全防护技术方案探讨.docxVIP

对网络安全防护技术方案探讨 　　摘要：随着计算机技术、通信技术和网络技术的发展，接入专网的应用系统越来越多。对整个系统和专网的安全性、可靠性、实时性提出了新的严峻挑战。防火墙是最具策略性的网络安全基础结构组件，可以检测所有通信流。因此，防火墙是企业网络安全控制的中心，通过部署防火墙来强化网络的安全性，是实施安全策略的最有效位置。 　　关键词：网络安全;防护技术 　　近年来，随着互联网在全球的迅速发展和各种互联网应用的快速普及，互联网已成为人们日常工作生活中不可或缺的信息承载工具。同样，随着网络规模在不断扩大、信息的内容和信息量在不断增长，网络应用和规模的快速发展同时带来了更大程度的安全问题，这些安全威胁以不同的技术形式同步地在迅速更新，并且以简单的传播方式泛滥，使得网络维护者不得不对潜在的威胁进行防御及网络安全系统建设，多种威胁技术的变化发展及威胁对企业专网系统的it安全建设提出了更高的要求。 　　1.安全风险背景 　　随着计算机技术、通信技术和网络技术的发展，接入专网的应用系统越来越多。特别是随着信息化的普及需要和总部的数据交换也越来越多。对整个系统和专网的安全性、可靠性、实时性提出了新的严峻挑战。而另一方面，internet技术已得到广泛使用，e-mail、web2.0和终端pc的应用也日益普及，但同时病毒和黑客也日益猖獗，系统和数据网络系统的安全性和可靠性已成为一个非常紧迫的问题。 　　2.网络安全方案 　　防火墙是最具策略性的网络安全基础结构组件，可以检测所有通信流。因此，防火墙是企业网络安全控制的中心，通过部署防火墙来强化网络的安全性，是实施安全策略的最有效位置。 　　由此带来的可视化和控制丧失会使管理员处于不利地位，失去应用控制的结果会让企业暴露在商业风险之下，并使企业面临网络中断、违反规定、运营维护成本增加和可能丢失数据等风险。用于恢复可视化和控制的传统方法要求在防火墙的后面或通过采用插接件集成的组合方式，单独部署其他的“辅助防火墙”。上述两种方法由于存在通信流可视化受限、管理繁琐和多重延迟（将引发扫描进程）的不足，均无法解决可视化和控制问题。现在需要一种完全颠覆式的方法来恢复可视化和控制。而新一代防火墙也必须具备如下要素： 　　（1）识别应用程序而非端口：准确识别应用程序身份，检测所有端口，而且不论应用程序使用何种协议、ssl、加密技术或规避策略。应用程序的身份构成所有安全策略的基础。（识别七层或七层以上应用） 　　（2）识别用户，而不仅仅识别ip地址。利用企业目录中存储的信息来执行可视化、策略创建、报告和取证调查等操作。 　　（3）实时检查内容。帮助网络防御在应用程序通信流中嵌入的攻击行为和恶意软件，并且实现低延迟和高吞吐速度。 　　（4）简化策略管理。通过易用的图形化工具和策略编辑器（来恢复可视化和控制 　　（5）提供数千兆位或万兆位的数据吞吐量。在一个专门构建的平台上结合高性能硬件和软件来实现低延迟和数千兆位的数据吞吐量性能 　　2.1产品与部署方式 　　本文就paloaltonetworks新一代安全防护网关部署方案进行探讨，该产品采用全新设计的软/硬件架构，可在不影响任何服务的前提下，以旁路模式、透明模式等接入现有网络架构中，协助网管人员进行环境状态分析，并将分析过程中各类信息进行整理后生成报表，从而进一步发现潜在安全风险，作为安全策略调整的判断依据。 　　2.2解决方案功能 　　本方案产品突破了传统的防火墙和utm的缺陷，从硬件设计和软件设计上进一步强化了网络及应用的安全性和可视性的同时保持应用层线速的特性。主要功能如下： 　　（1）应用程序、用户和内容的可视化 　　管理员可使用一组功能强大的可视化工具来快速查看穿越网络的应用程序、这些应用程序的使用者以及可能造成的安全影响，从而使管理员能够制定更多与业务相关的安全策略。 　　（2）应用程序命令中心：這是一项无需执行任何配置工作的标准功能，以图形方式显示有关当前网络活动（包括应用程序、url类别、威胁和数据）的大量信息，为管理员提供所需的数据，供其做出更为合理的安全策略决定。 　　（3）管理：管理员可以使用基于web的界面、完全的命令行界面或集中式管理等多种方式来控制防火墙。可基于角色的管理，将不同的管理职能委派给合适的个人。 　　（4）日志记录和报告：可完全自定义和安排的预定义报告提供有关网络上的应用程序、用户和威胁的详细视图。 　　2.3解决方案特色 　　（1）以app-id、user-id及content-id三种独特的识别技术，以统一策略方式对使用者（群