網站安全監測與防護方案
背景需求
近些年來，隨著互聯網技術的發展以及電子商務和電子政務的普及，各企事業單位、黨政機關面臨的網站安全問題也隨之凸顯出來。為了繼續發揮互聯網經濟產生效益和優勢，需要我們必須積極應對網站安全問題。 目前，國內安全形勢非常嚴峻，網站面臨的安全問題大量涌現。首先，網站系統需要應對和處置的安全隱患持續增長，需要企業和機構進一步加強隱患的管理和控制。據CNCERT發布的《2015年中國互聯網網絡安全報告》顯示，2015年CNVD共收錄了安全漏洞8080個，其中高危漏洞收錄數量高達2909個，該數字較2014年增長21.5%。其次，網站安全事故頻發，據CNCERT發布的《2015年中國互聯網網絡安全報告》顯示，2015年，CNCERT/CC共接收境內/外報告的網絡安全事件126916起，平均每天發生安全事件347起，數量非常驚人，其中有24550個網站被篡改，40782個境內主機被植入木馬或僵尸程序。最后，與網站相關的重大安全事故也頻頻發生，國內外各知名企業相繼發生數起重大安全事故。其中，京東商城泄露12G用戶數據、雅虎泄露5億用戶資料、LinkedIn旗下的在線學習網站Lynda.com被竊取950萬賬號信息等事件都直接導致公眾個人信息的泄露。與此同時，國家對網站安全問題越來越重視，并且不斷加大網站安全的監管力度。中央網絡安全和信息化領導小組成立后，發布的第一個文件就是《關于加強黨政機關網站安全管理的通知》，該文就各級黨政機關及企事業單位開展網站安全管理提出若干條指導意見。另一方面，國家各級主管部門加大檢查力度，近幾年多次開展重要保障活動及安全專項檢查工作，并且每次重要保障任務和專項檢查工作的重點都包括對互聯網網站檢測和治理。
問題和困難
當前，各企業在網站安全管理上存在的問題主要集中在網站的資產管理、漏洞管理、威脅管理、事件管理四個方面。 在資產管理方面，問題主要體現在企業缺乏有效的手段對網站等資產的變更進行監測和管理，導致新上線的網站或變更的網站在未經安全檢查和采取防護措施的前提下直接暴露在互聯網上。通常這些網站存在大量安全隱患，非常容易被攻擊者所利用。
在漏洞管理方面，企業所面臨的困難主要是未能對網站漏洞及隱患進行定期排查和處置，導致未發現、未處置的漏洞數量越來越多。通常有兩方面原因導致漏洞數量的增加，一方面是用戶網站內容變更可能會引入的新漏洞，另一方面是先前網站建設過程中引入的第三方代碼會被不斷發現存在新漏洞。
在威脅管理方面，企業面臨的主要問題在于缺乏專職人員對安全防護設備及其防護策略進行維護，使得安全設備檢測效能逐步降低。效能降低主要體現在兩個方面，一方面是監測和防護新威脅的安全策略不能及時得到應用；另外一方面是網站業務系統的不斷變更導致原先的防護規則逐步失效。在事件管理方面，企業面臨的主要問題是缺乏有效手段及時發現安全事故，使得安全事故造成影響和損失不斷增加。
?方案介紹
網站安全監測與防護解決方案能夠通過事前漏洞分析與預防、事中威脅監測與防護、事后安全事件監測與響應，迎接國家合規檢查、抵御外部威脅、降低安全風險。
?網站安全監測與防護解決方案，主要由網站安全管理系統、網站安全監測引擎以及網站安全防護引擎構成。網站安全管理系統能夠為用戶提供在線的、可視化的管理工具，幫助用戶查看和處置網站安全相關的資產事件、漏洞事件、威脅事件和安全事故。網站安全監測引擎可以幫助用戶監測網站變更的情況、網站存在安全漏洞以及發生的安全事故。網站安全防護引擎采用Web應用防火墻產品，部署在用戶側，用于各類web應用攻擊的檢測和阻斷。 網站安全監測與防護解決方案是通過以下方式來幫助用戶完成網站的資產管理、漏洞管理、威脅管理以及事件管理。 在資產管理方面，網站安全監測與防護解決方案主要通過監測引擎為指定的IP網段進行資產掃描，通過與現有資產比對發現新上線的網站及變更的網站系統，并及時向用戶通告。在用戶確認資產變更內容后，更新現有資產列表并將變更的資產納入到安全監測與防護體系中，以便及時發現漏洞、威脅及事故。 在漏洞管理方面，主要通過網站安全監測引擎進行定期漏洞掃描，對暴露在公網上的所有網站進行Web漏洞及系統漏洞掃描工作。此后，由自動化驗證系統對于掃描發現的高中危漏洞進行漏洞驗證，將具有危害性的高中危漏洞信息通過網站安全管理系統和漏洞掃描報告直接推送用戶，用戶可以根據各類交付物中所羅列的漏洞詳情以及解決方案進行漏洞的整改加固。如果Web漏洞修復周期較長，用戶還可以通過網站安全管理系統委托進行漏洞預防工作。對于修復的漏洞，用戶可以通過網站安全管理系統委托完成漏洞復驗的工作，從而完成整個漏洞生命周期的閉環管理。 在威脅管理方面，網站安全監測與防護方案通過安全防護引擎進行威脅防護。防護引擎通過與云的對接，可以定期對告警日志進行分析判斷，并提供篩除誤報的策略優化建議。另外，云也會提醒用戶對防護引擎的知識庫進行升級，以確保防護引擎可以對新型威脅進行防護。 在事件管理方面，通過網站安全監測引擎對目標網站進行安全事故的日常監測，確保能夠在第一時間發現網站掛馬、篡改、黑鏈、敏感內容、可用性通斷等多方面問題。在發現事件后，通過短信、網站安全管理系統及手機APP等多種方式第一時間向用戶告警。另一方面用戶可通過網站安全管理系統委托通過網站安全防護引擎消除安全事件造成的影響。最后，本地應急響應工程師上門協助用戶分析事件原因，找到導致事件發生的根源，并提供加固建議和支持，消除存在的安全隱患。
?方案優勢
???????網站安全監測與防護解決方案的六大核心優勢： 提供7*24小時的全天候服務，發現安全問題后確保30分鐘內通知用戶。 支持托管模式，0維護成本。 所有事件經過自動化技術和安全專家驗證，準確率接近100%。 提供短信、郵件、網站安全管理系統、手機APP等多元化通告方式，確保及時進行通告。 為用戶提供漏洞智能補丁，對修復周期較長的漏洞提供預防措施。? 通過網站安全管理系統，提供漏洞風險、威脅攻擊、災害事故可視化展示，讓用戶一目了然的洞悉全單位風險、攻擊及災害分布。
門戶網站安全解決方案
概述
門戶網站、網廳等Web網站是運營商與客戶溝通的便捷通道，也是客戶辦理/使用相關業務的前端平臺，還有一些基于Web網站的業務平臺，更是業務穩定運營的關鍵設施。這些Web網站一旦受到侵害將直接影響運營商的品牌形象、信譽以及日常業務運營。 由于Web應用的開放性、用戶的大眾性，使其成為最佳的攻擊和威脅目標。隨著web應用中間件和應用平臺的新漏洞/弱點被發現，針對性的病毒、木馬、蠕蟲及自動化的攻擊工具往往會很快出現，進而出現一波又一波Web攻擊浪潮，導致服務器被控制、Web服務中斷、客戶信息被竊取、業務欺詐的事件的發生。同時，由于XSS、CSRF、Cookie竊取等攻擊導致合法用戶的客戶端被控制、信息被竊取、被欺詐、被敲詐等事件發生，造成巨大的不良社會影響。 隨著業務的發展，Web架構越來越復雜，使用的應用關鍵和技術越來越多，對其安全防護的難度越來越大，與此同時，行業監管越來越嚴，懲治力度不斷加大，使運維、管理人員面臨著嚴峻的挑戰。
安全解決方案
方案組成
本方案針對Web威脅的特點，從Web應用生命周期的角度出發，重點覆蓋了系統開發、測試和運行等環節，從事前、事中、事后等風險管理角度出發，采用內、外的結合的防護手段，建立了主動、縱深、多層面的安全保障體系，可以有效保護web應用的安全性，降低系統面臨的風險。 安全防護方案組成如下：
方案價值
保障網站服務的安全、可靠運行，提高客戶滿意度； 及時感知Web運營狀態，提升用戶訪問體驗； 大幅提高防護效果，有效抵御各種攻擊，從而解決安全成本； 滿足來自監管部門的合規性要求； 提供安全攻擊證據，震懾非法攻擊者； 減少安全人員負擔，提高安全運維效率； 維護和提升公司的品牌形象和商業信譽。
方案特點和優勢
對安全漏洞
弱點進行管理，防患于未然，降至安全成本； 通過代碼審計，最大限度的發現系統存在的安全漏洞/弱點，提早修補，降低成本。同時，通過傳遞安全開發知識， 減少開發實現中的漏洞。 通過Web漏洞掃描系統，實現已知漏洞的自動化檢查，降低人員投入。 通過安全設備的早期預警服務，及時對新發現漏洞的有效管理。
立體的安全防護體系，高針對性的防護措施
有效抵御SYN Flood、UDP Flood、UDP DNS Query Flood、(M)Stream Flood、ICMP Flood等攻擊，并實現對網絡流量的清洗。 同時，通過Web應用防火墻，對各種web應用攻擊進行防護，對HTTP/HTTPS訪問流量進行清洗； 通過集成了傳統防火墻、入侵檢測防護、防病毒功能的下一代防火墻，對已知的各種攻擊、惡意代碼進行防護，并通過防火墻測試，實現對Web訪問的嚴格控制。
有效地監控、備份與恢復措施，徹底保障網站的完整性 在Web服務器上部署基于主機的Web防護系統，有效檢測和阻斷各種web網頁、圖片、程序等資源的篡改攻擊； 對網站內容進行備份，一旦檢測到系統完整性受損，可以自動化進行系統恢復。
7*24小時外部安全監控和一流的外部專家支持 7*24小時對系統進行漏洞檢查、掛馬檢查、網頁篡改檢測、內容檢查，及時洞察系統的安全態勢； 在全國范圍內，模擬用戶對系統進行訪問平穩度、可用性檢測，保障用戶體驗。 一流的安全專家支持，協助用戶處理各種疑難雜癥。
防護措施間的關聯互動，大幅提升防護效果 網站安全檢測服務或Web漏洞掃描系統與Web應用防火墻進行聯動，一旦發現問題，自動化啟動相應的防護策略。 虛擬補丁技術提升了安全防護水平，規避了補丁管理中的各種問題。
全面的網站健康檢查，防止帶病上崗、帶病投保； 上線前評估和滲透測試，發現系統存在的結構性問題、集成性問題、安全配置問題，以及各種潛在的業務邏輯錯誤，并進行全面的安全加固，防止帶病上崗。 通過安全檢查，評估系統是否已經受到了侵害，是否含有惡意代碼，防止帶病投保。 通過Web安全掃描系統，對新版系統進行檢查，防止引入新漏洞。
可靠的安全審計措施，可供事件追溯和取證。 對Web網站的不良內容進行安全檢測； 對各種用戶的Web訪問行為進行審計，并通過行為基線，自動化發現各種潛在一場行為； 對重要的數據庫操作行為進行審計，發現各種非法行為。 對各種攻擊行為進行審計，便于進行事件追溯和定位，對事件處理提供有效支持。 支持法律取證。
統一安全管理 統一設備與日志管理平臺，提供可視化的安全管理界面； 對安全設備的策略的統一管理和下發； 對日志數據的統一存儲，便于進行各種統計分析； 提供豐富的報告分析； 降低企業安全運維成本.
內網準入解決方案
對企業而言最大的變革是企業經營和管理方式的變革，信息化革命深刻影響著企業的經營方式，任何一個企業都離不開這種變革，必須把信息化建設當成企業獲取競爭優勢的最終選擇。因此，企業集團對信息技術的依賴程度越來越大，信息技術風險成為了企業集團運營中所要考慮的重要方面。
面臨的挑戰
用戶信息未知：企業集團辦公、生產大多較為分散，人員復雜，隨意或不受限制接入網絡現象頻發,內部用戶信息缺乏有效登記手段，人員審計困難。
終端位置未知：企業內網終端數量、終端類型、終端分布情況復雜，管理者無法對時間進行事件定位；
資產信息未知：企業信息資產的數量隨著企業不斷發展大量增加，如何對這些大量的信息資產進行有效的管理，是企業集團安全管理面臨的巨大挑戰；
數據泄露風險：內網數據信息可通過移動介質外傳，容易發生信息泄密事件。
終端安全風險：終端系統自身安全性會嚴重影響內網安全，如病毒傳播、系統漏洞、弱口令破解等。
內網準入解決方案
用戶信息登記：采用豐富的實名制入網模式，內部、外部、臨時用戶分別進行人性化的入網注冊登記，并結合管理員審核、審批，確保內網用戶安全可靠。
網絡安全透視：盈高科技產品提供衛星地圖般的設備搜索和定位方式，使網絡中的各種設備狀態不再是孤立的展現，而是作為一個整體進行把控。
資產安全管控：全面收集內網軟硬件資產，全方位監控、展示資產變動情況，提升管理部門對信息設備相關信息資產的統計管理能力。
移動介質加密：人性化的移動介質注冊、審核機制，硬件級的安全加密技術，靈活的策略控制，在不影響用戶安全使用的前提下確保數據無從泄露。
終端安全加固：通過對網內終端的安全狀況量化，并提供“一鍵式”智能修復功能對有潛在安全風險的終端進行強制隔離和引導修復，從根本上杜絕安全隱患。
方案價值
1、對外來人員進行有效的管理，防止其接入單位網絡訪問重要的服務器，竊取單位的重要資料；另外，內網安全事件發生時，可追溯至責任人。
2、提高運維工作效率，精確定位故障點，及時排查問題，成為管理人員提高管理效率的有效手段；
3、規范移動存儲設備的安全使用，明確工作U盤和私人U盤的使用界限，減少文檔流失和病毒的進入；
4、提高終端設備的安全性和穩定性，減少漏洞攻擊事件的發生，避免系統漏洞、惡意軟件引發的安全事件；
5、有效地對公司終端的it資產和軟件資產進行審計，當發生變化時及時進行報警；
超融合架構解決方案
超融合架構解決方案概述
超融合架構解決方案，融合了：計算、網絡、存儲和安全四大模塊，通過全虛擬化的方式構建IT架構資源池。所有的模塊資源均可以按需部署，靈活調度，動態擴展。通過超融合一體機或者超融合操作系統能夠在最短的時間內，充分利舊現有硬件基礎架構，將業務系統安全、穩定、高效的遷移到超融合平臺中，并且為后期邁向私有云平臺奠定基礎，從而能夠實現多租戶的管理及計費審計等功能。
超融合架構解決方案軟件架構主要包含三大組件（服務器虛擬化aSV、網絡虛擬化aNet、存儲虛擬化aSAN）和一個管理平臺（虛擬化管理平臺VMP）。硬件架構上，可以通過一體機的方式實現開機即用，也可以采用通用X86服務器實現基礎架構的承載。配合傳統的園區網交換機（背板帶寬和交換容量夠用即可）即可完成整個平臺的搭建，無需各種功能復雜、價格昂貴的數據中心級交換機。
超融合架構層
超融合架構層以服務器虛擬化為底層架構，擴展出網絡虛擬化和存儲虛擬化，通過所畫即所得的方式能夠快速的構建出業務邏輯，實現虛擬資源的動態調度和靈活擴展，同時全網流量可視，配置簡易直觀，運維靈活便捷
服務器虛擬化（aSV）
aSV虛擬化平臺作為介于硬件和操作系統之間的軟件層，采用裸金屬架構的X86虛擬化技術，實現對服務器物理資源的抽象，將CPU、內存、I/O等服務器物理資源轉化為一組可統一管理、調度和分配的邏輯資源，并基于這些邏輯資源在單個物理服務器上構建多個同時運行、相互隔離的虛擬機執行環境，實現更高的資源利用率，同時滿足應用更加靈活的資源動態分配需求，譬如提供熱遷移、HA等高可用特性，實現更低的運營成本、更高的靈活性和更快速的業務響應速度。
網絡虛擬化（aNET）
網絡虛擬化aNet，通過提供全新的網絡運營方式，解決了傳統硬件網絡的眾多管理和運維難題，并且幫助數據中心操作員將敏捷性和經濟性提高若干數量級。
深信服網絡虛擬化aNet方案通過和服務器虛擬化aSV相結合，在虛擬機和物理網絡之間，提供了一整套完整的邏輯網絡設備、連接和服務，包括分布式虛擬交換機aSwitch、虛擬路由器aRouter、虛擬下一代防火墻vNGAF、虛擬應用交付vAD、虛擬vSSL VPN、虛擬廣域網優化vWOC等虛擬網絡、安全設備；然后，還可以支持VXLAN等增強網絡協議，實現和物理網絡的無縫對接，簡化網絡的配置管理；此外，還可以通過虛擬化管理平臺，實現網絡拓撲部署、網絡故障探測等網絡管理功能。
從而，aNet虛擬網絡可以快速完成不同應用系統的網絡部署，網絡配置的自動化調整，網絡故障排查等工作，提升網絡的管理運維效率，提升網絡就緒、擴展速度，降低數據中心物理網絡的建設成本。
存儲虛擬化（aSAN）
深信服存儲虛擬化aSAN，基于集群設計，將服務器上的硬盤存儲空間組織起來形成一個統一的虛擬共享存儲資源池，即ServerSAN分布式存儲系統，進行數據的高可靠、高性能存儲。分布式存儲系統在功能上與獨立共享存儲完全一致；一份數據會同時存儲在多個不同的物理服務器硬盤上，提升數據可靠性；此外，再通過SSD緩存，可以大幅提升服務器硬盤的IO性能，實現高性能存儲。同時，由于存儲與計算完全融合在一個硬件平臺上，用戶無需像以往那樣購買連接計算服務器和存儲設備的SAN網絡設備（FC SAN或者iSCSI SAN）。
網絡功能虛擬化（NFV）
當前軟件定義網絡成為了技術發展的趨勢，深信服也率先在國內推出全系列的數據中心安全、優化產品（NGAF下一代防火墻、SSL VPN、AD應用交付、WOC廣域網優化）軟件虛擬化解決方案。這些過去需要以專用硬件方式部署的產品，不再需要依賴專用的硬件，可以以軟件鏡像的方式，完美支持在Vmware、KVM、XEN等服務器虛擬化環境下的部署。從而極大的簡化政務云數據中心網絡的架構，為各個租戶的虛擬應用按需、靈活的虛擬擴展出各種安全和優化方案，同時還便于劃分清楚各方的運維職責。
深信服超融合架構的優勢
1、提供更加完整的IT基礎架構虛擬化方案，涵蓋網絡、安全、存儲、計算
2、管理運維更加便捷、簡單，零學習成本，讓IT架構所畫即所得
3、整體擁有成本更低，無需特殊、專用的網絡、服務器設備即可實現
4、國產化，提供多樣、豐富的L2-L7安全和優化功能，更好的滿足合規要求
超融合架構最佳實踐
超融合架構可以應用到數據中心涉及的眾多業務系統的領域，尤其是應用開發測試環境、新業務系統上線和非關鍵業務系統改造是特別適合部署超融合架構。
以下為深信服超融合架構的三個實際應用案例分享
? 某汽車制造業
背景：應用開發部門每周至少要測試一套業務系統，給網絡運維部門帶來很大的工作量。每次測試都要改變網絡架構和相應的部署環境
解決之道：在數據中心劃分了一個獨立的區域，用5臺超融合一體機，搭建了一套專用的測試環境。利用計算、網絡和存儲虛擬化模擬出4個測試拓撲模板，
超融合方案價值：其中模擬出一個在隊列深度為1的情況下實現了IOPS高達2萬的模板,測試上線周期縮短，運維工作量減少，無需大量硬件支撐
?
等保三級整改一站式方案
等保整改方案五步走
1. 安全域劃分
做等級保護的整改，第一步一定是要明確安全域。下面是經典安全域劃分方案：
業務服務器域：客戶的業務服務器和存儲的安全區域
用戶終端域：用戶終端，一些完全不重要的服務器
安全管理域：安全管理中心，包括網管系統服務器啊，終端安全管理的服務器等用來做網絡和安全運維管理的這些設備
互聯網出口域：互聯網出口的網絡和安全設備
2. 互聯網出口
在互聯網出口部署防火墻、入侵防御、病毒過濾、上網行為管理、鏈路負載；
3. 安全域互訪隔離
所有的安全域之間必須通過防火墻才能互聯互通；
4. Web安全防護
web服務器前部署web防火墻；
5. 安全管理中心
在安全管理中心要有這些東西：漏洞掃描系統、數據庫審計系統、終端安全管理系統、網管系統、應用性能管理系統、SSL VPN、防病毒系統、運維堡壘主機；
以上五個步驟完成，設備整改完成。
疑難問題解答
是不是上面這些設備都部署，才能通過三級等保？ 回答：不是。上面是比較理想的情況，實際情況根據客戶預算和客戶實際需求來進行，部署70-80%的設備即可。
安全域隔離防火墻，很多客戶利用交換機的ACL做，測評中心也認可。 回答：對。等保要求進行訪問控制，沒要求必須用防火墻，交換機ACL也是訪問控制手段，但用防火墻是最專業的訪問控制設備，其專業性智能型運維容易程度都遠遠強于交換機ACL，而且交換機ACL損耗交換機性能嚴重，交換機是交換設備，不是專業的安全設備。
是不是做了這些就可以通過等保測評了？
回答：設備層面足夠了。還需要做一些安全加固和管理制度文檔整理。
安全加固指的是把服務器、數據庫、網絡設備、安全設備、業務系統的一些安全策略調整到符合等保的規定，比如你服務器密碼都是666，現在開啟服務器的密碼強度要求這個策略，就是安全加固。文檔整理主要是安全管理制度，以及測評申請書。
了解到客戶情況后，怎么給客戶做整改方案？ 回答：上面整改五步走，每一步都說明了需要什么，缺少的設備就是需要整改的。安全加固和安全制度是肯定需要整改的。
云計算安全解決方案
業務挑戰
目前，許多組織已經將業務系統遷移到云平臺上，云平臺已經成為組織重要的IT基礎設施。云計算技術給傳統的IT基礎設施、應用、數據以及運營管理都帶來了革命性改變，對于安全管理來說，既是挑戰，也是機遇。首先，云計算引入了新的威脅和風險，進而也影響和打破了傳統的信息安全保障體系設計、實現方法和運維管理體系；其次，云計算的資源彈性、按需調配、高可靠性及資源集中化等都間接增強或有利于安全防護，同時也給安全措施改進和升級、安全應用設計和實現、安全運維和管理等帶來了問題和挑戰。 根據調研數據，云計算安全風險是客戶所關注的重點，云計算安全已經成為組織規劃、設計、建設和使用云計算系統所急需解決的重大問題之一。
解決方案
云計算安全防護方案設計遵循以業務為中心，風險為導向的，基于安全域的縱深主動防護思想，綜合考慮云平臺安全威脅、需求特點和相關要求，對安全防護體系架構、內容、實現機制及相關產品組件進行了優化設計。 云計算安全方案主要由安全資源池、安全子平臺、安全運營管理平臺和安全應用等組成。 安全資源池：支持物理安全設備、虛擬化安全設備、SaaS安全服務等各種安全資源，接受各安全子平臺的管理，對外提供相應的安全能力。 安全運營管理平臺：與安全子平臺配合，提供安全產品開通、調度、服務編排，以及安全運維功能，并實現與云管理平臺和SDN控制器的對接。安全運營平臺包含了云安全運營的一些共性功能模塊和一些提供特定安全能力的子平臺。 安全子平臺：管理安全資源，提供安全策略管理、配置管理、安全能力管理、安全日志管理等與特定安全應用密切相關的功能。根據應用場景的不同，可靈活配置和擴展。 安全應用：基于安全子平臺提供的安全能力，提供管理、控制、分析、呈現功能的組件。用戶可根據需要靈活選配。
方案亮點
適應性廣，安全功能多 支持VMWare、OpenStack云平臺，以及基于KVM、Xen的各種定制化云平臺。同時，可以支持物理的、虛擬化、SaaS化的安全資源類型，提供多種安全能力。
模塊化架構，可靈活擴展 系統采用模塊化架構，根據應用場景和需求的不同，可以選擇和部署相應的安全資源、安全子平臺、安全應用，滿足經濟性、合規性要求。
彈性資源，收放自如 通過資源池化技術、負載均衡技術、熱遷移技術，以及通過安全子平臺的能力，可以對外提供安全、彈性的安全功能，自如的進行擴容、縮容。
全程自動化，可快速部署 運用SDN、NFV技術，用戶通過安全運營平臺可以按需、自助的進行安全能力的開通、安全APP的下載、安裝和使用。同時，可以根據業務需要，實現多種安全設備的協同防護，抵御各類安全攻擊事件。
安全策略的動態跟隨 對于云計算系統安全域邊界的動態變化，通過區域子網劃分、安全隔離、SDN、分布式交換等技術，可以做到邊界防護策略的持續有效，保障云平臺的安全。
應用場景 適用于私有云、公有云、混合云等各類云平臺的安全防護。既適用于原生服務器虛擬化、云平臺的場景，也可以應用于采納SDN和NFV技術的軟件定義數據中心場景。
私有云
構建私有云
利用軟件定義的數據中心體系結構構建和運行基于虛擬化的私有云。交付虛擬化基礎架構服務以及高度可用的應用和服務。
超越服務器虛擬化
服務器虛擬化可在提高業務敏捷性的同時，使 CAPEX 和 OPEX 成本削減 50%* 以上。現在，您可以對數據中心的其余部分進行虛擬化，以使所有 IT 服務都能像虛擬機一樣調配和管理起來既經濟，又便捷。軟件定義的數據中心體系結構可將抽象化、池化和自動化延展到其余的數據中心資源，包括計算、網絡和存儲。可以基于任意云計算基礎架構部署您的虛擬化基礎架構并實現跨平臺管理。
高度可用的應用和服務
利用軟件定義的數據中心 (SDDC) 體系結構，基于 超融合架構的私有云可為通過標準化和整合的數據中心實現高度可用的應用和服務奠定基礎。借助私有云，還可實現安全、合規的 IT，對 IT 運維進行智能控制，以及快速調配應用并實現持續監管。
網絡信息安全整體解決方案
背景
隨著近年來INTERNET接入的普及和寬帶的增加，各行業分布全國乃至全球的用戶群體，信息化應用系統對網絡的依賴性也越來越強，業務對網絡的依賴程度也越來越大，信息安全的重要性也在不斷提升，用戶所面臨的各種問題也變得越來越復雜，來自不同層面的安全威脅也越來越多。如何確保網絡和應用的連續高可用、網絡安全防范、應用訪問安全分權接入、智能終端無縫接入、內部網絡高效管理、數據存儲的完整和高可用、運維操作的管理，以及如何對數據庫系統的訪問和管理進行合理的審計分析已經成為企業迫切需要關注的問題。
解決方案
通過互聯網出口部署負載均衡設備解決鏈路流量分配不合理，對多條鏈路健康狀況實時監控和智能負載；對所有應用系統實現持續監測健康狀態合理調度，一旦服務系統集群內單臺服務器故障實現智能切換到其他正常服務器系統上，保證應用服務訪問的持久穩定。
通過在互聯網出口、內部專線網絡入口、服務器區域等部署應用層防火墻，不僅能夠實現原有區域安全隔離的效果，還能夠實現IPS入侵防御、AV病毒防護、DOS/DDOS等安全功能；針對WEB應用的WAF防護，能防止黑客利用web應用程序及各類B/S業務的應用程序漏洞進行的各種攻擊，實現雙向數據的訪問過濾。桌面端部署網絡版防護軟件及數據加密管理系統，解決客戶最后一公里的安全問題，確保企業內部數據的安全可控。
通過在服務器區部署SSL VPN產品，將服務器與外界進行邏輯隔離，使所有來自外部的訪問請求都經過SSL VPN的認證才能安全接入訪問；在接入后進行嚴格的控制訪問權限，使人員與資源相關聯，防止越權訪問。
通過部署專業的存儲備份系統，對所有的應用服務器采用網絡備份方式，通過局域網或專用的備份局域網絡，對應用服務器的數據進行備份，將數據通過備份服務器寫入到磁帶庫或磁盤陣列中，確保數據的安全和完整。
通過運維審計系統對企業內部的主要信息系統、網絡系統等遠程運維操作進行綜合審計，針對核心數據資產的違規訪問和操作得到有效監管。 通過數據審計系統的旁路監聽方式采集，分析處理，記錄數據庫服務器的所有操作，提供監測報警策略設置、數據庫服務器負擔狀況統計分析、數據庫客戶端訪問操作統計分析以及數據庫客戶端訪問排名等功能，實現對數據庫服務器應用（包括數據庫系統操作，數據操作）的實時監測、報警、記錄和審計。
方案價值
?實現了多臺服務器（服務器集群）合理利用，為企業業務的擴充和系統規模的提高創造有利的條件。 ? 實現了多條鏈路合理利用，另外豐富的報表功能，提供鏈路負載統計、商業決策分析、穩定性統計報表等幫助企業了解鏈路使用情況，從而為企業提供網絡優化和改造的依據，為企業業務運營計劃，提供商業決策的依據。
?應用層防火墻多個安全功能模塊，多核并行處理技術保障，不僅能替代原有傳統防火墻的所有功能，且穩定性好；特別針對應用層安全風險提供完整的應用安全加固技術，幫助客戶實現全面的安全防護，防護來自內外網的各個層面的安全風險。解決了用戶網絡安全管理難題，彌補了現有傳統安全體系針對應用層防護的不足，有效阻止了來之應用層的各類攻擊，實現了廣域網流量清洗的效果。
?實現了“三合一”的WEB安全 事前，快速的進行風險掃描，幫助用戶快速定位安全風險并智能更新防護策略； 事中，有效防止了引起網頁篡改問題、網頁掛馬問題、敏感信息泄漏問題、無法響應正常服務問題及“拖庫”、“暴庫”問題的web攻擊、漏洞攻擊、系統掃描等攻擊； 事后，對服務器外發內容進行安全檢測，防止攻擊繞過安全防護體系，對Web業務產生的網站篡改、數據泄漏問題。
?實現了終端的“主動防御”，建立一個覆蓋全網的、可伸縮、抗打擊的防病毒體系。 ? 實現了數據內部安全傳輸，確保數據外發的密級保護，建立一個可控的文件共享傳輸體系。 ? 實現了精細的應用控制，有效阻止內部敏感信息外發，并能提高員工工作效率；全面的安全防護措施，過濾木馬惡意鏈接網址，強化分支辦公終端的安全；細致的上網行為審計，完全滿足公安部門的監管要求；精確流量管控，合理的記性流量分配；實用的智能分析系統，為客戶決策出謀劃策。 ? 實現了應用的安全、快速、穩定的業務接入訪問；便捷的用戶體驗，降低了管理工作量，應用程序圖形化的方式呈現于智能終端之上，實現輕松跨平臺訪問，為多元化的終端辦公提供了快速安全的途徑。 ? 實現了一體化的備份與恢復，可為各種復雜的環境提供最全面的備份與恢復，就保護公司最寶貴的資產數據而言，減少了其中的復雜性及恢復的時效性，確保了數據的安全和完整。 ? 滿足IT運維合規性要求，順利通過IT審計；實現了對企業IT資源的管理；實現了對IT用戶的管理、對IT用戶的授權管理；實現了對運維操作日志的完整記錄；符合等級保護要求完善了國家法律法規的要求。 ? 實現了針對所有帳戶對數據庫訪問與操作的全面監測審計；加強了對數據庫臨時帳戶的審計監測；加強了針對重要敏感數據的訪問的審計監測；提供了詳細的數據庫審計記錄及分類統計；實現了數據庫異常操作監測報警；彌補了數據庫系統內置日志審計的缺陷。
等級保護測評服務介紹
等級保護概述
等級保護政策背景
等級保護是國家信息安全保障的基本制度、基本策略、基本方針。開展信息安全等級保護工作是保護信息化發展、維護國家信息安全的根本保障，是信息安全保障工作中國家意志的體現。
通過將等級化方法和安全體系方法有效結合，設計一套等級化的信息安全保障體系，是適合我國國情、系統化地解決大型組織信息安全問題的一個非常有效的方法。
國家信息安全等級保護堅持自主定級、自主保護的原則。信息系統的安全保護等級應當根據信息系統在國家安全、經濟建設、社會生活中的重要程度，信息系統遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度等因素確定。
為進一步貫徹落實《國家信息化領導小組關于加強信息安全保障工作的意見》（中辦發[2003-27]號）、《關于信息安全等級保護工作的實施意見》（公通字[2004]66號）、《信息安全等級保護管理辦法》（公通字[2007]43號）、《關于開展全國重要信息系統安全等級保護定級工作的通知》（公信安[2007]861號）等文件的精神，提高我國基礎信息網絡和重要信息系統的信息安全保護能力和水平，自2007年開始，從國家層面開始推動我國的政府、金融、電力、電信、交通等基礎行業在全國范圍內組織開展重要信息系統安全等級保護定級、備案、測評、整改工作。
等級保護涉及系統
根據等級保護相關政策要求，需要實施等級保護的信息系統包括：
? 黨政系統（黨委、政府）；
? 金融系統（銀行、保險、證券）及財稅系統（財政、稅務、 工商）；
? 經貿系統（商業貿易、海關）；
? 電信系統（郵電、電信、廣播、電視）；
? 能源系統（電力、熱力、燃氣、煤炭、油料）；
? 交通運輸系統（航空、航天、鐵路、公路、水運、海運）；
? 供水系統（水利及水源供給）；
? 社會應急服務系統（醫療、消防、緊急救援）；
? 教育科研系統（教育、科研、尖端科技）；
? 國防建設系統；
? 國有大中型企業系統；
? 互聯單位、接入單位、重點網站及向公眾提供上網服務場所的計算機信息系統。
等級保護相關標準
我國現行等級保護工作主要相關標準如下：
《計算機信息系統安全保護等級劃分準則》（GB 17859-1999）
《信息系統安全等級保護定級指南》（GB/T 22240-2008）
《信息系統安全等級保護基本要求》（GB/T 22239-2008）
《信息系統安全等級保護實施指南》（GB/T 25058-2010）
《信息系統安全等級保護測評要求》（V2.0(送審稿)）
《信息安全技術 網絡基礎安全技術要求》（GB/T 20270-2006）
《信息安全技術 信息系統通用安全技術要求》（GB/T 20271-2006）
《信息安全技術 操作系統安全技術要求》（GB/T 20272-2006）
《信息安全技術 數據庫管理系統安全技術要求》（GB/T 20273-2006）
《信息安全技術 服務器技術要求》（GB/T 21028-2007）
《信息安全技術 終端計算機系統安全等級技術要求》（GA/T 671-2006）
《信息安全技術 信息系統安全管理要求》（GB/T 20269-2006）
《信息安全技術 信息系統安全工程管理要求》（GB/T 20282-2006）
《信息安全技術 信息安全事件分類分級指南》（GB/Z 20986-2007）
《涉及國家秘密的計算機信息系統分級保護技術要求》 BMB 17-2006
《涉及國家秘密的信息系統分級保護管理規范》 BMB 20-2007
《涉及國家秘密的計算機信息系統分級保護測評指南》 BMB 22-2007
《涉及國家秘密的計算機信息系統安全保密測評指南》 BMZ 3-2001
等級保護服務介紹
信息安全等級保護工作流程包括以下幾個階段：系統定級、系統備案、差距測評、系統整改、驗收測評、定期測評等階段。包含的工作內容如下：
系統定級：信息系統運營使用單位按照《信息系統信息安全等級保護定級指南》，確定信息系統安全等級。有主管部門的，報主管部門審核批準。
系統備案：已運營的第二級以上信息系統，在安全保護等級確定后30天內，由其運營、使用單位到所在地區的市級以上安全機關辦理備案手續。第三極以上信息系統，還需要提供相關附件材料。相應安全機關審核通過后，由公安機關頒發系統等級保護備案證書。
差距測評：選擇有資質的等級保護測評機構，進行差距測評，形成等級保護測評報告。
系統整改：根據測評結果，制訂整改方案，按照國家的相關規范和技術標準，使用符合國家相關規定，滿足系統等級需求產品，并調試及進行信息系統安全整改工作。（備注：一般情況下，為保證系統整改的效果，差距測評及系統整改兩個階段由同一家公司完成）。
驗收測評：選擇第三方測評機構進行驗收測評，驗收合格后，系統運營、使用單位向地級以上市公安機關提交測評報告，審核通過后，由公安機關頒發合格證書。
定期測評：定期選擇第三方測評機構進行測評。三級系統每年至少一次，四級以上系統每半年至少一次。
等級保護測評實施流程
信息系統安全等級測評分為四個過程階段：測評準備過程、方案編制過程、測評實施過程、分析與報告編制過程。
具體測評實施流程圖如下所示：
一、測評準備過程：主要是通過訪談的方式了解被測系統的基本情況，包括被測系統的物理環境，網絡結構和邊界，網絡設備，主機系統，應用系統等測評對象情況。
二、方案編制過程：根據被測系統的定級報告和系統自身的情況確定測評指標和對應的測評實施內容、對測評實施中的測試和滲透測試項編制測試方案，細化測試點，測試工具，測試對象，測試方法，測試步驟，對現場測評的總體計劃作出安排，根據上述工作內容編制完成方案，然后測評雙方對測評方案進行確認、審核，并進一步溝通和協調以確定現場測評計劃。
三、測評實施過程：根據雙方確認的測評方案到被測系統現場完成測評工作。現場測評工作涉及三類方法：訪談、檢查和測試。訪談是我方測評人員通過與信息系統有關人員（個人/群體）進行交流、討論等活動，獲取證據以證明信息系統安全防護措施是否有效。檢查是我方測評人員通過對測評對象進行觀察、查驗、分析等活動，獲取證據以證明信息系統安全防護措施是否有效。測試是我方測評人員使用預定的方法及工具使測評對象產生特定的行為，通過查看、分析這些行為的結果，獲取證據以證明信息系統安全防護措施是否有效。
四、分析與報告編制過程：在完成測評實施過程之后，我方將根據現場測評的記錄進行綜合測評分析，包括單項測評結果匯總分析，系統整體測評，系統風險分析和評價，并最終給出差距分析和整體建議。
等級保護測評內容
依據等級保護相關標準要求，對信息系統安全等級保護狀況進行測評評估，包括以下兩個方面的內容：
一、安全技術測評，包括物理、網絡、主機、數據及應用安全測評；
二、安全管理測評，包括安全管理機構、人員安全管理、安全管理制度、系統建設管理、系統運維管理測評。
如下圖所示：
等級保護系統整改
東軟將根據等級保護差距測評結果，制訂等級保護整改方案，按照國家的相關規范和技術標準，采取符合國家相關規定、滿足系統等級需求的措施，進行信息系統安全整改工作。
3 等級保護服務客戶收益
? 滿足國家信息安全等級保護相關政策與標準要求。
? 實現信息系統等級化保護和等級化管理。
? 解決原有咨詢服務重視問題發現和提要求而
解決方案實施落實較弱的模式。
? 提高企業業務系統信息安全防護能力。
? 縮短從體系設計到體系實現的過程，避免咨詢服務成果與安全建設脫節的弊病。