防火墙部署现行方案.pdfVIP

1、项目背景

近期多地广电网络运营商的内网关键业务系统收到网络，出现重大业

务安全事故或重大系统安全隐患。国内广电网络运营商的网络及业务系统

安全的加固势在必行。通过对现网状况进行分析，我们认为存在以下明显的安

全隐患：

1、各类系统由于业务需求需和位于城域网的用户双向机顶盒发生信令

交互以及部分sp/cp业务需通过链路专线同步数据或者直接向互联网同步数

据，导致直接或间接地与城域网、互联网存在不安全或低防护通路，安全风险

极大。包括办公网、电视业务系统、互动电视业务系统均可与互联网或者

城域网相联，之间缺乏必要的防护控制，无法有效抵御来自城域网或互联网的

网络行为。

而源自的安全也很容易在全网扩散。

3、内网中的某些业务系统由于数据获取或等需要与外部网络

互联，比如与银行、SP、系统的专线链路或厂家设备的链路以及需和

互联网数据获取的服务器，但互联接口较为散、安全性难以控制，不具有扩

展性，潜在风险很大。

在此背景下，长沙国安广电网络提出对业务支撑网络信息系统进行安

全加固，目前长沙国安广电网络为进一步加强通过公开招标择优采购

了3台，其为USG6600系列两台用于双机热备集中管理整个

业务系统，对各业务系统做以及管控来自城域网的信令交互数据。SV

N5600一台用于管理业务系统的网络出口以及利用集成的功

能在公用网络上建立网络，进行加密通讯便于业务的。

2、项目实施目标

通过添加设备预计达到以下几个目标。

1、最度的控制，加强边界控制权限的建立，降低安全风

险；

2、消除、操作系统、应用系统本身存在的大量弱点和认为操

作或配置产生的与安全策略相违背的系统配置，减少者成功的可能；

3、加强行为的检测和防御能力，有效来自外部的行

为，同时也防止来自的操作行为；

4、针对业务系统本身可能的应用安全风险有针对性的进行安全加固，

防止应用安全危害业务系统正常安全使用；

5、增强事后防御的措施，控制、保障业务系统的敏感信息、信

息、涉密信息在网络协议中传输，针对业务系统本身制定严格的合规性策略，

控制绕过防御体系进行信息窃取的行为；

6、加强业务系统被修改的能力，实现防止业务系统web界面被

修改的根本目的。

通过划分安全域整合边界，制定基于域间策略，基于IP

报文的五元组信息来定义流和会话，并对其进行策略控制。其