1、某人民银行内联网防火墙安全子系统方案方正数码有限公司1 北大方正集团、方正数码公司简介 .82 人民银行内联网结构分析 .112.1 人民银行内联网整体情况 112.2 人民银行内联网网络结构 112.3 人民银行内联网支撑的应用系统 122.4 人民银行系统平台 133 人民银行内联网安全分析 .143.1 人民银行内联网安全现状分析 143.2 人民银行内联网安全风险分析 143.2.1 主要应用服务的安全风险 153.2.2 网络中主要系统的安全风险 163.2.3 数据库系统安全分析 173.2.4 Unix 系统的安全分析 .173.2.5 Windows NT 系统的安全分析 .1
2、93.2.6 管理系统的安全风险 193.2.7 业务网络的安全风险 204 方正数码防火墙解决方案 .214.1 本方案设计的原则和目标 214.2 防火墙选型 224.3 防火墙设置及工作模式 224.4 防火墙功能设置及安全策略 244.4.1 完善的访问控制 244.4.2 内置入侵检测（IDS） .264.4.3 代理服务 264.4.4 NAT 地址转换 .264.4.5 日志系统及系统报警 274.4.6 带宽分配，流量管理 274.4.7 集中管理 274.4.8 预制模板 284.4.9 H.323 支持 .284.4.10 系统升级 284.4.11 双机备份 294.4.
3、12 防火墙方案特点 295 人民银行内联网防火墙安全需求及方案对照说明 .315.1 人民银行内联网防火墙基本要求 315.2 人民银行内联网防火墙功能要求 335.2.1 必备功能 335.2.2 增强功能 365.3 防火墙性能 365.4 防火墙管理 386 人民银行内联网安全管理建议 396.1 整体思路 396.2 集中管理，统一规划 396.3 严格规章 安全教育 406.4 明确责任 技术培训 406.5 动态监控 专家咨询 417 人民银行内联网防火墙安全系统实施方案 427.1 合同签订阶段的工作实施 427.2 发货阶段的实施 437.3 到货后工作的实施 467.4 测
4、试及验收 477.4.1 测试及验收描述 478 人民银行内联网防火墙系统培训 498.1 培训目标 498.2 培训课程 498.3 培训方式 498.4 培训时长 498.5 培训地点 498.6 培训人数 508.7 学员要求 509 方正方御防火墙技术支持与服务 519.1 方正数码绿色服务体系结构介绍 519.2 完善的技术支持与服务 539.2.1 售前服务内容 549.2.2 售前服务流程 559.2.3 售后服务内容 569.2.4 售后服务流程 579.3 服务方式 589.4 服务监督 5810 方正方御防火墙成功案例 6010.1 鞍山市商业银行应用案例 6010.1.1
5、 鞍山市商业银行需求分析 6010.1.2 系统安全目的 6110.1.3 安全体系结构 6110.1.4 安全系统实施 6110.2 沈阳建设银行安全应用实例 6210.2.1 沈阳建设银行需求分析 6210.2.2 系统安全目的 6410.2.3 用户安全需求分析 6410.2.3.1 安全性 6410.2.3.2 高效性 6410.2.3.3 可扩展性 6510.2.3.4 易用性（管理控制） 6510.2.3.5 完善的服务体制 6510.2.4 安全体系结构 6510.2.5 安全系统实施 6710.3 部分方正方御防火墙客户名单 6811 人民银行内联网防火墙安全子系统建设报价 .
6、7112 方正数码联系方式 72附录一：授权服务商名单 73附录二：防御防火墙所获证书 .78附件三：资格证明文件 83附录四：方正方御防火墙产品说明 88产品概述 88系统特点 89防火墙功能说明 92多种工作模式 92包过滤防火墙 94高效的过滤 94碎片处理功能 95防 SYN Flood 攻击 .95强大的状态检测功能 96轻型/复杂 IDS(入侵检测系统) .96反端口扫描 96可以防范 20 类 1500 余种攻击方式 97在线升级和实时报警 99入侵检测和防火墙的互动 100双向 NAT.100带宽管理和流量统计 101代理服务器功能 101双机热备 102强大的审计功能 102
7、基于 PKI 的高级授权认证 .103集中管理 103实时控制和日志转存 103灵活的配置方式 104可视化配置 104预置包过滤规则集 104总结 1041 北大方正集团、方正数码公司简介北京北大方正集团公司是北京大学创建的高新技术企业。方正集团拥有个控股的上市公司，方正（控股）有限公司、方正数码有限公司、上海方正延中科技集团股份有限公司，17 家独资、合资企业。员工总数约 6000 人，总资产 50 亿元，2000 年销售规模达 101 亿元。1997 年，方正集团已成为国家 120 家大型试点企业集团之一，国家首批家技术创新试点企业之一，国家重点支持的家 PC 生产厂家之一。创造科技与文
8、明，是北大方正的一贯宗旨，集团坚持以人为本的宗旨，以创新为先导，产、学、研结合，不断以优质产品和技术服务于社会。方正数码有限公司（EC-Founder Co., Ltd.）是从事发展互联网应用技术及电子商务的软件技术公司。其业务专注于互联网安全产品及网络安全服务等领域，是互联网时代的软件技术公司。方正数码借助技术、研发方面的优势，借鉴世界上最先进的管理运作经验，定位于“电子商务赋能者 “（ e-commerce enabler） ，用不断创新的技术与优质的服务赋予客户新经济时代可持续发展的能力，帮助政府、行业、企业、网站、电子商务的运营者运用先进技术和高效管理手段在互联网时代健康发展，取得成功
9、。方正数码有限公司的业务围绕在互联网安全技术应用、网络安全服务及网络安全知识管理等主要领域，在技术开发、应用解决方案和运营服务方面为用户提供先进的网络安全产品和技术。为此方正数码推出 SHARKS 互联网安全解决方案。SHARKS 解决方案是在深入的研究后，提出的一套基于中国国情、全部自主开发、具有领先优势的解决方案。它是一套整体的集群平台，可以解决企业最为关切的安全性、高可靠性、可扩展性和易于远程管理的问题。目前这套方案已经得到国家有关部门的大力支持，被国家经贸委列为国家创新计划项目之一，还得到了国家“863”计划的肯定与支持。方正方御防火墙是 SHARKS 安全解决方案中的主要安全产品之一
10、。方正方御防火墙凭借其独特的技术优势，在保证系统自身的安全性的同时又保证了其运行效率。方正方御防火墙中还融入了入侵检测技术，可以有效地防范攻击企图的试探；另外利用先进的 III 技术，方正方御防火墙可以有效滤除著名的DDoS 攻击，正是这种攻击曾迫使包括美国雅虎在内的若干世界最大的网站停止服务。除防火墙之外，方正数码有限公司还向用户提供 VPN、安全扫描系统、入侵检测系统（IDS）等安全产品及方案，从多层次、多角度、全方位保护用户的网络。在立足于自主开发外，方正数码公司还与众多国际、国内知名的安全公司保持着良好的合作关系，集成国内外最优秀的安全产品，为用户的安全建设保驾护航。2人民银行内联网结
11、构分析2.1 人民银行内联网整体情况某人民银行内联网是以总行为中心、各个分支区域为基础，覆盖某人民银行全国各部门、各层次分支机构，基于 TCP/IP 协议体系的计算机信息服务网络；是某人民银行应用系统的基础网络平台。目前整个系统已网络实现到地市，系统运行着某人民银行多种应用系统。其中，这些系统通过与全国各商业银行以及其他金融机构的互联网络，实现信息交换和共享。2.2 人民银行内联网网络结构某人民银行内联网由广域网和各级机构局域网组成。某人民银行内联网主要连接由两个部分组成：一是某人民银行自己的纵向连网，连接某人民银行各级机构；一是某人民银行和其他商业银行的横向连网，实现金融系统之间数据通信。某
12、人民银行内联网建立在 CNFN 的 Frame relay 网络之上，使用独立的地址空间和域名系统。广域网采用 Frame relay 技术。全国网络以总行为根节点，形成树形结构，各叶节点是某人民银行各级机构内部的局域网络，是广域网的信息源和终点，同时也是连接各商业银行的起点。人民银行内联网整体结构遵循网络设计三级原则，分成骨干网（核心层） 、省域网（交换层） 、区域网（访问层） 。 骨干网 由总行、分行营业管理部、省会城市中心支行等节点构成； 省域网 由省会城市中心支行以及省域内各地市中心支行等节点组成； 区域网 由地市中心支行以及所辖的县支行等节点组成。同时，某人民银行在总行、省（市） 、
13、地（市）三个层次上与各个商业银行以及其他金融机构进行互连 （系统总体机构如下）省 域 网 省 域 网区 域 网 区 域 网 区 域 网 区 域 网区 域 网区 域 网骨 干 网某人民银行纵向连网某人民银行同商业银行及其他金融机构互连商 业 银 行 内 联 网 商 业 银 行 内 联 网 商 业 银 行 内 联 网 商业银行内联网商业银行内联网商业银行内联网同时，网络系统中的网络设备以路由器、交换机为主。骨干网上运行 OSPF 路由协议。2.3 人民银行内联网支撑的应用系统某人民银行内联网上已经或即将运行的主要应用服务系统包括： 政务与办公自动化系统； 业务处理系统； 管理信息系统； 决策支持系
14、统； 多媒体应用与会议电视系统； 信息咨询服务系统； 外汇应用系统；2.4 人民银行系统平台某人民银行目前系统平台主要采用 Window NT 系统； Unix 系统； 数据库系统；3 人民银行内联网安全分析3.1 人民银行内联网安全现状分析 某人民银行内联网骨干网有独立的 PVC,IP 地址以及域名系统。广域网基本满足涉密网保密条件。 某人民银行和其他商业银行以及金融机构连接目前没有采取网络安全措施，为了防范来自外部网络（其他商业银行和金融机构）安全威胁，迫切需要进行人民银行内联网防火墙系统基础建设，保障内部网络安全。3.2 人民银行内联网安全风险分析当前，人民银行的系统与外部非信任网络系统
15、之间缺乏完善的安全保护体系。某人民银行内联网各个叶节点网络结构如下：同 城 网 下 级 人 民 银 行 机 构 上 级 人 民 银 行 机 构 有 关 政 府 机 构 服 务 器 1 复 制 服 务 器 文 件 服 务 器 信 贷 数 据 库 服 务 器 内 部 Web 服 务 器 外 联 服 务 器 1 外 联 服 务 器 2 工 作 站 1 工 作 站 2 同 城 商 业 银 行 1 人 民 银 行 机 关 局 域 网人 民 银 行 内 联网 (广 域 网 ) ( 同 城 商 业 银 行 n 3.2.1 主要应用服务的安全风险应用服务系统中各个叶节点有各种应用服务，这些应用服务提供给人民银
16、行各级分行或商业银行使用。不能防止未经验证的操作人员利用应用系统的脆弱性来攻击应用系统，使得系统数据丢失、数据更改、获得非法数据等。而某人民银行的这些应用系统是某人民银行内联网中最重要的组成部分。DNS 服务DNS 是网络正常运作的基本元素，它们是由运行专门的或操作系统提供的服务的 Unix 或 NT 主机构成。这些系统很容易成为外部网络攻击的目标或跳板。对 DNS 的攻击通常是对其他远程主机进行攻击做准备，如篡改域名解析记录以欺骗被攻击的系统，或通过获取 DNS 的区域文件而得到进一步入侵的重要信息。著名的域名服务系统 BIND 就存在众多的可以被入侵者利用的漏洞。某人民银行对外各种应用，特
17、别是基于URL 的应用依赖于 DNS 系统，DNS 的安全性也是网络安全关注的焦点。E-Mail由于邮件服务器软件的众多广为人知的安全漏洞，邮件服务器成为进行远程攻击的首选目标之一。如利用公共的邮件服务器进行的邮件欺骗或邮件炸弹的中转站或引擎；利用 sendmail 的漏洞直接入侵到邮件服务器的主机等。而某人民银行的内部 E-mail 系统覆盖面广，所以迫切需要使用防火墙来保护人民银行的内部 E-mail 系统。WWW利用 HTTP 服务器的一些漏洞，特别是在大量使用服务器脚本的系统上，利用这些可执行的脚本程序，未经授权的操作者可以很容易地获得系统的控制权。在某人民银行存在各种 WWW 服务，
18、这些服务协议或多或少存在安全隐患。FTP一些 FTP 服务器的缺陷会使服务器很容易被错误的配置，从而导致安全问题，如被匿名用户上载的木马程序，下载系统中的重要信息（如口令文件）并导致最终的入侵。有些服务器版本带有严重的错误，比如可以使任何人获得对包括 root 在内的任何帐号的访问。3.2.2 网络中主要系统的安全风险整个系统中网络设备主要采用路由器设备，有必要分析这些设备的风险。路由器是某人民银行内联网的核心部件，路由器的安全将直接影响整个网络的安全。下面列举了一些路由器所存在的主要安全风险： 路由器缺省情况下只使用简单的口令验证用户身份，并且远程TELNET 登录时以明文传输口令。一旦口令
19、泄密路由器将失去所有的保护能力。 路由器口令的弱点是没有计数器功能，所以每个人都可以不限次数的尝试登录口令，在口令字典等工具的帮助下很容易破解登录口令。 每个管理员都可能使用相同的口令，因此，路由器对于谁曾经作过什么修改，系统没有跟踪审计的能力。 路由器实现的某些动态路由协议存在一定的安全漏洞，有可能被恶意的攻击者利用来破坏网络的路由设置，达到破坏网络或为攻击做准备的目的。针对这种情况，必须采取措施，有效防止非法对网络设备访问。 TCP/IP 风险：系统采用 TCP/IP 协议进行通信，而因为 TCP/IP 协议中存在固有的漏洞，比如：针对 TCP 序号的攻击，TCP 会话劫持，TCP SYN
20、 攻击等。同时系统的 DNS 采用 UDP 协议，因为 UDP 协议是非面向连接的协议，对系统中的 DNS 等相关应用带来安全风险。3.2.3 数据库系统安全分析数据库系统是存储重要信息的场所并担负着管理这些数据信息的任务。数据库的安全问题，在数据库技术诞生之后就一直存在，并随着数据库技术的发展而不断深化。不法份子利用已有的或者更加先进的技术手段通常对数据库进行伪造数据库中的数据、损坏数据库、窃取数据库中的数据。如何保证和加强数据库系统的安全性和保密性对于网络的正常、安全运行至关重要。3.2.4 Unix 系统的安全分析UNIX 系统安全具有如下特征： 操作系统可靠性：它用于保证系统的完整性，
21、系统处于保护模式下，通过硬件和软件保证系统操作可靠性。 访问控制：允许通过改变用户安全级别、访问权限，具有统一的访问控制表。 对象可用：当对象不需要时应该立即清除。 个人身份标识与认证：它主要为了确定身份，如用户登陆时采用扩展的 DES 算法对口令进行加密。 审计：它要求对使用身份标识和认证的机制，文件的创建，修改，系统管理的所有操作以及其他有关安全事件进行记录，以便系统管理员进行安全跟踪。 往来文件系统：UNIX 系统提供了分布式文件系统（DFS）的网络安全。将网络与外部网络相连接，会使您的网络遭受潜在的服务中断、未经授权的入侵以及相当大的破坏。比如下面的一些安全隐患：“拒绝服务”攻击 (D
22、enial of Service Attacks): 这些攻击禁止系统向顾客提供服务，使顾客不能得到某种服务。例如，攻击可能使用大而无用的流量充斥网络，导致无法向顾客提供服务。最通常的情况是这种攻击可能毁坏系统或者只是让系统在向顾客提供服务时慢的出奇。 缓冲区溢出攻击 (Buffer Overrun Exploits): 其中包括利用软件的弱点将任意数据添加进某个程序中，从而在它以根的身份运行时，有可能赋予剥削者对您的系统的根访问权。这也可能导致某种“拒绝服务”攻击。窃听和重放攻击 (Snooping and Replay Attacks): 窃听攻击涉及某个对网络上的两台机器之间的通讯流进行
23、侦听的入侵者。通讯流可能包含使用 telnet、rlogin 或 ftp 时来回传递的未加密的口令。这有可能造成某个未经授权的个人非法进入您的网络或看到机密数据。IP 欺骗 (IP Spoofing): 基于 IP 欺骗的攻击涉及对计算机未经授权的访问。通过侦听网络通讯流，入侵者找到受信任主机的一个 IP 地址，然后发送消息时指示该消息来自受信任主机。 内部泄密 (Internal Exposure): 绝大多数网络非法进入皆起因于某个心怀恶意或对现状不满的现任或前任雇员滥用对信息的访问权或非法闯入您的网络。针对 Unix 系统存在的诸多风险，应该采取相应的安全措施。必须对这些风险加以控制。针
24、对这个部分的安全控制可以采取特殊的安全策略，同时利用相关的软件对系统进行配置、监控。制定详细的访问控制计划、策略。3.2.5 Windows NT 系统的安全分析Windows NT 的安全机制的基础是所有的资源和操作都受到选择访问控制的保护，可以为同一目录的不同文件设置不同的权限。这是 NT 的文件系统的最大特点。NT 的安全机制不是外加的，而是建立在操作系统内部的，可以通过一定的设置使文件和其他资源免受在存放的计算机上工作的用户和通过网络接触资源的用户的威胁（破坏、非法的编辑等） 。安全机制甚至包含基本的系统功能，例如设置系统时钟。对用户帐号、用户权限及资源权限的合理组合，可以有效地保证安
25、全性。通过一系列的管理工具，以及对用户帐号、口令的管理，对文件、数据授权访问，执行动作的限制，以及对事件的审核可以使 Windows NT 达到 C2 级安全。在网络中，有三种方式可以访问 NT 服务器：（1）通过用户帐号、密码、用户组方式登录到服务器上，在服务器允许的权限内对资源进行访问、操作。这种方式的可控制性较强，可以针对不同的用户。（2）在局部范围内通过资源共享的形式，这种方式建立在 NETBIOS 的基础之上。通过对共享资源的共享权限的控制达到安全保护。但不能针对不同的用户，当一个用户在通过共享对某一个资源进行操作时（这时共享权限有所扩大） ，其他用户趁虚而入，而造成对资源的破坏。（
26、3）在网络中通过 TCP/IP 协议，对服务器进行访问。目前典型应用有FTP、HTTP、WWW 等。通过对文件权限的限制和对 IP 的选择，对登录用户的认证可以在安全性上做到一定的保护。由于 Windows NT 系统的复杂性，以及系统的生存周期比较短，系统中存在大量已知和未知的漏洞，一些国际上的安全组织已经发布了大量的安全漏洞，其中一些漏洞可以导致入侵者获得管理员的权限，而另一些漏洞则可以被用来实施拒绝服务攻击。 3.2.6 管理系统的安全风险管理系统的安全风险除了上面提到的系统风险之外，系统之间，特别是其他商业银行和某人民银行之间存在很大的安全隐患。系统结构复杂、管理难度大，存在各种服务，
27、哪些服务对哪些人是开放的、哪些是拒绝的都没有一定的安全划分。必须防止内部不相关人员非法访问安全程度要求高的数据，而且整个系统的正常运行也是保证银行系统日常工作正常进行的一个十分重要的方面。必须限制管理系统内各个部门之间访问权限，维护各个系统的安全访问。而由于整个系统是一个体系，任何一个点出现安全问题，都可能给相关人员带来损失。3.2.7 业务网络的安全风险业务网络的安全程度要求是最高的，目前在某人民银行内部运行的业务繁多，同时各个商业银行以及其他金融机构通过某人民银行内联网也运行相关业务，给整个系统带来了很大的安全隐患。这种隐患可能来自某人民银行内部，也可能来自某人民银行外部网络。特别是外部，
28、必须采取有效的措施控制和隔离内联网与其他商业银行和金融机构的网络互连，监控某人民银行内联网与其他金融机构之间的网络通信，限制对方对某人民银行资源访问范围，权限，防范可能来自对方的安全威胁。保证内部系统安全。4 方正数码防火墙解决方案4.1 本方案设计的原则和目标 原则：从网络安全整个体系考虑，本次防火墙选择原则是： 安全性：防火墙提供一整套访问控制/防护的安全策略，保证系统的安全性； 开放性：防火墙采用国家防火墙相关标准和网络安全领域相关技术标准； 高可靠性：防火墙采用软件、硬件结合的形式，保证系统长期稳定、安全运行； 可扩充性：防火墙采用模块化设计方式，方便产品升级、功能增强、调整系统结构；
29、 可管理性：防火墙采用基于 windows 平台 GUI 模式进行管理，方便各种安全策略设置； 可维护性：防火墙软件维护方便，便于操作管理； 目标：网络安全包括很多方面，如：访问控制、身份认证、数据加密、入侵检测、防止病毒、数据备份等。本次某人民银行内联网防火墙系统建设的目标是通过在某人民银行同其他商业银行、金融机构连接处采用防火墙技术，防止外部网络对某人民银行内联网数据的非法使用和访问，监控整个网络数据过程。有效防止来自外部的攻击行为。限制对内部资源和系统的访问范围。通过在某人民银行内联网系统中设置防火墙的安全措施将达到以下目标： 保护基于某人民银行内联网的业务不间断的正常运作。包括构成某人
30、民银行系统网络的所有设施、系统、以及系统所处理的数据（信息） 。 某人民银行的重要信息在可控的范围内传播，即有效的控制信息传播的范围，防止重要信息泄露给某人民银行外部的组织或人员。 解决网络的边界安全问题 保证网络内部的安全 实现系统安全及数据安全 在用户和资源之间进行严格的访问控制（通过身份认证，访问控制） 建立一套数据审计、记录的安全管理机制（网络数据采集，审计） 融合技术手段和行政手段，形成全局的安全管理。为了解决人民银行内联网面临的安全问题，有必要建立一整套安全机制，包括：访问控制、入侵检测等多个方面。信息系统的安全是一个复杂的系统工程，涉及到技术和管理等多个层面。为达成以上目标，方正
31、数码在充分调研和分析比较的基础上采用合理的技术手段和产品以构建一个完整的安全技术体系，同时通过与某人民银行的共同工作，协助某人民银行建立完善的安全管理体系。4.2 防火墙选型防火墙是网络安全领域首要的、基础的设施，它对维护内部网络的安全起着重要的作用。利用防火墙可以有效地划分网络不同安全级别区域间的边界，并在边界上对不同区域间的访问实施访问控制、身份鉴别、和安全审计等功能。防火墙按实现的方式不同，其基本类型有：包过滤型、代理(应用网关)型和复合型。复合型防火墙是在综合动态包过滤技术和代理技术的优点的情况下采取的一种更加完善和安全的防火墙技术。其功能强大，是未来防火墙技术发展的一个主要趋势。综合
32、考虑人民银行网络安全实际情况，在本方案中采用方正数码的方正方御（FG-P）复合型防火墙，放置在某人民银行与各个商业银行以及其它金融机构连接的各个叶节点。4.3 防火墙设置及工作模式根据某人民银行内联网防火墙要求和实际情况，防火墙整体布局如下：在人民银行与各商业银行以及其他金融机构有连接的点采用防火墙技术。每个节点防火墙设置具体如下图：同 城 网 下 级 人 民 银 行 机 构上 级 人 民 银 行 机 构 有 关 政 府 机 构 服 务 器 1复 制 服 务 器 文 件 服 务 器 信 贷 数 据 库 服 务 器 内 部 Web 服 务 器外 联 服 务 器 1 外 联 服 务 器 2 防 火
33、 墙工 作 站 1 工 作 站 2 DMZ 同 城 商 业 银 行 1 人 民 银 行机 关 局 域网 人 民 银 行 内 联网 (广 域 网 ) 同 城 商 业 银 行 n 防火墙提供三个接口：内网、外网、DMZ；防火墙工作在路由模式，对外采用 NAT 技术，隐藏内部真实地址；将对外服务的各种服务设备放置在 DMZ 区域，和内部网络严格区分开，保证内部系统安全。考虑到安全问题，系统中的结构需要调整，将原来各商业银行对某人民银行内部网络的访问调整到对 DMZ 的访问。不轻易允许各商业银行对某人民银行内部网络进行访问。4.4 防火墙功能设置及安全策略4.4.1 完善的访问控制规则控制：通过方正方
34、御防火墙提供的基于 TCP/IP 协议中各个环节进行安全控制，生成完整安全的访问控制表，这个表包括： 外网（商业银行和其他金融机构）对 DMZ 内服务访问控制。将外部对内部、DMZ 内服务访问明确限制，防止非法对内部重要系统，特别是业务系统的访问。利用 DMZ 的隔离效果，尽量将对外服务的部分服务器放置在 DMZ 区域，通过 NAT 方式，保护内部网络免受攻击。关闭操作系统提供的除需要以外的所有服务和应用，防止因为这些服务和应用自身的漏洞给系统带来的风险。对内部 E-mail、 FTP、 WWW、数据库的访问做严格的规划和限制，防止恶意攻击行为发生。 内部网络：内部网络对外部网络（商业银行和其
35、他金融机构）的访问也要进行严格的限制。防止内部员工对外网资源的非法访问。对内部员工对外访问采用 NAT 方式访问。同时内部员工对 DMZ 区域服务器访问也必须做限制。内部员工对外网 WWW 访问采用代理方式。 DMZ 访问：通常情况下 DMZ 对外部和内部都不能主动进行访问，除非特殊的应用需要到内部网络采集数据，可以有限地开放部分服务。借助方正方御防火墙提供的基于状态包过滤技术对数据的各个方向采用全面安全的技术策略，制定严格完善的访问控制策略保证从 IP 到传输层的数据安全。针对某人民银行系统中的网络风险可以通过严格的访问控制表来进行限制。IPMAC 地址捆绑：方正方御防火墙提供灵活而方式多种
36、的内部网络、DMZ 区域、外部网络 IPMAC 地址捆绑功能，将每台机器的 IP 地址和它自身的物理地址捆绑，有效防止内部网络、DMZ 区域、外部网络的 IP 地址盗用（该功能实质是将网络协议第二层地址和第三层地址进行捆绑，达到一定的安全级别） 。内部系统应该尽量采用固定 IP 分配方案。通过 IPMAC 地址捆绑，也可以对后期数据日志分析带来一定的方便性。URL 拦截：在某人民银行内联网上存在各种需要对外保密的信息。方正方御防火墙实现了透明的 URL 拦截功能，对通过防火墙的应用层 URL 进行严格的控制和管理，按照用户的要求进行拦截。外部对 DMZ、内部 URL 访问进行控制，同时也可以限
37、制内部网络对外部网络 URL 非法访问。在该方案中我们将对内部网络和外部网络情况具体了解，对 URL 拦截达到页面级别。有效保护 www 应用的安全。4.4.2 内置入侵检测（IDS） 方正数码公司和国际网络安全组织合作，能够实时获得最新系统入侵库代码，动态地将这些攻击技术的解决方案加入到方正方御防火墙中,同时在方正方御防火墙内部采用 3I 技术，加速应用层安全防护查询过程。方正方御防火墙目前能够支持 1500 种以上的入侵检测并能够成功阻断这样的攻击行为，比如最近的红色代码。针对各种攻击行为，比如 TCP 序列号攻击、劫持、碎片攻击、端口扫描能够识别阻断。而这个数据库可以实时更新、升级。升级
38、在方正方御防火墙界面即可完成。IDS 和访问策略形成互动。通过防火墙嵌入的 IDS 功能能够有效防范对内部 Windows/NT，Unix 系统的攻击行为。 电子欺骗：防火墙能够自动识别各种电子欺骗行为并进行阻断。同时防火墙能够对伪装 IP 地址进行识别。4.4.3 代理服务方正方御防火墙对外提供代理服务功能，某人民银行内部网络对外访问可以通过防火墙提供的代理服务功能，同时代理服务可以针对 URL,SSL,FTP 进行应用拦截，防止内部人员对外网的非法访问。4.4.4 NAT 地址转换将某人民银行内部网络和 DMZ 区域网络地址通过 NAT 方式转换，隐藏真实 IP 地址，防止内部网络受到攻击
39、。具体转换方式就是将内部网络和 DMZ 区域机器的地址全部转换成防火墙外网卡地址，对外某人民银行只有一个地址。而借助防火墙的多映射功能，可以将对外的同一地址映射为内部网络和 DMZ区域不同服务的不同端口。4.4.5 日志系统及系统报警方正方御防火墙提供强大的日志系统，将通过防火墙的数据、防火墙管理数据、流量、各种攻击行为统计集成到一起。同时系统提供针对各种统计结果按照用户要求进行报表打印。 针对通过防火墙数据，可以按照数据类型、地址进行统计分析。 针对各种管理数据，防火墙进行详细记录，网管人员可以方便的查看对防火墙管理情况。如果有内部人员对防火墙访问，可以通过管理数据进行查询。 流量统计：防火
40、墙提供流量统计功能，可以按照用户名称、地址等多种方式进行统计。 系统报警：当有人非法对内部网络或者外部网络进行访问的时候，系统的实时报警会通过 E-mail 和声音进行报警。同时对各种非法的访问和攻击行为进行记录。通过强大的日志系统和实时报警、日志报警等多种方式保证某人民银行内部网络出现安全问题时可以有资料分析；同时也可以通过对日志系统的分析完善系统安全策略。4.4.6 带宽分配，流量管理在某人民银行内联网上运行着部分重要的业务数据，这些业务数据实时性要求高，必须保证这样的数据具有优先权限，防止因为带宽问题影响某人民银行的应用。方正方御防火墙可以针对某人民银行实际情况，对部分特殊应用提供带宽管
41、理。给特殊应用分配相对高的带宽。同时方正方御防火墙提供流量管理功能，对内部网络用户对外网的访问可以提供流量限制。4.4.7 集中管理针对某人民银行网络覆盖面广、区域跨度大的特点，防火墙需要集中管理和控制。方正方御防火墙提供集中管理机制，支持远程管理。利用 NT 域的概念和技术，方正方御防火墙可以对同一个域内的不同防火墙进行同时管理。我们考虑在某人民银行的总行以及各个大区行采取集中管理机制。按照防火墙的分权原则，将策略管理放置在各个防火墙节点。策略整体由某人民银行总行策划，各个节点自己进行策略管理。而系统管理和日志查询放置在各个大区行，统一管理、分析。防火墙提供管理接口，同时支持远程管理，管理数
42、据采用RC4/MD5 方式加密，可以有效保证管理的安全性，同时管理数据只在某人民银行内联网流动。而防火墙自身可以对管理员地址进行严格限制。4.4.8 预制模板某人民银行网络复杂，但是结构清晰，为了更好的维护整个系统安全和适应某人民银行统一管理、安全强度一致的原则，方正方御防火墙提供预制模板功能。可以通过某人民银行统一制订一个策略模板，各个节点网络在这个模板基础上进行规划，简化管理过程，使得系统管理难度降低。4.4.9 H.323 支持某人民银行内联网运行着视频会议数据（H.323） 。方正方御防火墙能够准确识别 H.323 数据流，让数据合法通过。按照正常的状态检测技术，H.323 数据可能被
43、阻断。在方正方御防火墙内部成功的进行了 UDP、TCP 数据同步分析。系统能够识别 H.323 连接，保证 H.323 数据通过。4.4.10 系统升级网络安全技术随着网络技术发展不断变化，而网络安全策略和软件也不能一成不变，需要不断升级。方正方御防火墙管理界面提供方便的系统升级和IDS 升级功能。保证某人民银行防火墙产品实时和网络安全领域技术同步，防止因为新的安全问题给系统带来的安全风险。其中，特别是 IDS 功能，几乎每天都有新的安全风险和攻击软件出现。方正防火墙内嵌 IDS 功能模块可以动态升级，保障 IDS 数据库和最新动态同步。4.4.11 双机备份网络安全、稳定长期运行是某人民银行
44、最终目标，而网络硬件可能因为一些特殊原因发生故障。方正方御防火墙提供双机备份功能，采用两种方式进行备份检测，软件方式借用 HSRP 技术动态跟踪各个区域运行状态，发现任何一个区域出现问题即刻进行切换。硬件方式采用心跳线方式，当系统检测到故障，也将进行切换。而系统的切换不影响某人民银行的业务。两台防火墙工作在互备模式中。4.4.12 防火墙方案特点本次某人民银行内联网防火墙主要设置在和其他商业银行连接的节点上。本方案中，我们主要根据某人民银行网络实际情况，针对防火墙的特殊性，从如下几个方面考虑1、保障系统安全性防火墙放置在内外网之间用来隔离内部网络和外部网络，对内外网络的通信进行严格的管理和监控
45、，防火墙必须提供全面的安全策略保证内部系统安全。因此方正方御防火墙提供全面的访问控制策略、IPMAC 地址捆绑、IDS 入侵检测、反电子欺骗等手段。这些功能能够有效的保障内部网络安全。同时方正方御防火墙也提供带宽管理、分配，系统报警等措施从侧面协助。2、自身安全性防火墙作为网络系统中的一个部件，其自身的安全性也是十分重要的，考虑到实际情况，方正方御防火墙提供单独的管理接口，管理接口服务全部关闭，同时管理接口的特殊管理数据采用标准加密算法和措施。某人民银行远程管理过程中数据通过某人民银行内联网进行管理能够有效的保证管理的安全性。同时，利用 Windows NT 中域技术，对防火墙管理时必须登录到相应的域才能对域内的用户进行管理，保障管理域安全性。而防火墙操作系统采用经过严格测试专有操作系统。3、维护方便性管理的方便性直接关系到系统能否起到安全保护作用，方正方御防火墙提供的专有 GUI 平台，方便制订各种安全策略。4、系统事件管理系统事件和日志的统计直接关系到整个安全平台的完善和后续责任追查等多个方面，方正方御防火墙为用户提供完整、准确的数据统计结果，供查询、打印等。
