1、重庆住房基金管理中心信息系统安全工程系 统 设 计 书二一八二一八年九月广东省技术转移中心广州市众达迅通技术有限公司地址：广州市天河龙口中路 173 号华天国际广场西苑 10 楼电话： (020-)38734097 传真：(020-)87589782 Email: 众达迅通技术有限公司 : (+86-20-)38734097 第 2 页目录1. 概述 32. 公司介绍 43. 信息安全技术介绍 53.1. 信息安全的定义 53.2. 安全的层次 53.3. 安全的目标 53.4. 系统的安全威胁 53.5. 网络安全技术 73.6. 网络隔离 83.7. 通信安全技术 93.8. 客户机安全防
2、护 104. 天网防火墙简介 114.1. 什么叫防火墙? 114.2. 防火墙的用途 114.3. 天网防火墙的目标 114.4. 天网防火墙的特点 114.4.1. 强大的数据加密技术 114.4.2. 智能的内容过滤系统 124.4.3. 创新的体系结构 144.5. 其他特点 145. 需求分析 156. 方案设计 166.1. 总体设计 166.2. 方案说明 167. 成功案例 187.1. 天网防火墙典型用户名录 187.2. 天网防火墙成功案例选登 197.2.1. 中央电视台网络安全改造工程 197.2.2. 人民日报网络安全工程 197.2.3. 南方航空公司网络平台安全改
3、造计划 197.2.4. 广东省邮电管理局 网络工程 197.2.5. 广州市电信局个人主页项目 197.2.6. 珠海邮政局网上邮局工程 197.2.7. 2.15 广东省邮政局 183 网上支付系统 .19众达迅通技术有限公司 : (+86-20-)38734097 第 3 页1. 概述随着网络应用的日益广泛，各种大型企业或单位也将通过网络与用户及其他相关行业系统之间进行交流，提供各种网上的信息服务，但这些网络用户中，不乏竞争对手和恶意破坏者，这些人可能会不断地寻找系统内部网络上的漏洞，企图潜入内部网络。一旦网络被人攻破，机密的数据、资料可能会被盗取、网络可能会被破坏，给系统带来难以预测
4、的损失。因此，防火墙便成为网络安全必不可少的产品，天网防火墙在系统网络与外部网络用户之间建起了一道安全的屏障，从而有效地抵御外来攻击，防止不法分子的入侵。众达迅通技术有限公司 : (+86-20-)38734097 第 4 页2. 公司介绍广州市众达迅通技术有限公司是一家集科研、生产、经营于一体的高科 技产业公司，隶属于广东省科委技术转移中心，主要从事互联网技术及网络 产品的研究开发和生产，为全国的行业用户和广大的上网用户提供网络应用 的软、硬件产品、解决方案以及全方位的专业技术服务。公司成立于 1998 年，以网络安全产品“天网防火墙”闻名遐尔。 “天网防火墙”是我国首个达到国际一流水平、获
5、得国家公安部、国家安全部认证的软硬件一体化网络安全产品，性能及技术指标达到甚至超过世界同类产品水平。公司还独立开发出天网负载分担服务器(SkyNet LB Server)、天网虚拟专网交换机 ( SkyNet VPN Switch)等网络应用硬件系统。在开发出国内第一套拥有自主知识产权、基于 Unix 系统的 Internet 应用开发平台的基础上，陆续开发了人民日报网络版新闻发布系统、天网实时聊天系统、天网虚拟主 机系统等一系列的网络应用软件产品。公司利用雄厚的技术力量、完善的研发系统，以及丰富的实践经验，为国内的用户提供全面、高效的网络安全服务，从而改善了国内高水平网络安 全服务的相对空白
6、的局面。公司的规模不断扩大，目前已在南京等地设立了 分支机构，客户遍布全国各地，为全国用户的信息安全服务提供了重要的保障。作为一家网络安全的专业公司，为中央电视台、人民日报社、广州视窗、 21CN、南方航空公司等大型单位的网络安全建设提供了有力的支持，并获得 普遍好评。“不断创新，共同发展” 。凝聚大批优秀技术人才的广州市众达迅通技 术有限公司将以振兴中华民族的 IT 业为己任，努力为中国的网络发展及信息 安全建设做出贡献！ 众达迅通技术有限公司 : (+86-20-)38734097 第 5 页3. 信息安全技术介绍3.1. 信息安全的定义要做好网络安全工作，首先要了解的是信息安全的定义，对
7、信息系统安全，计算机安全的定义有多种：国际标准化委员会（ISO International Standards Organization）的定义是：“为数据处理系统和采取的技术的和管理的安全保护，保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、显露。 ”美国国防部国家计算机安全中心（NCSC DoD）的定义是：“要讨论计算机安全首先必须讨论对安全需求的陈述，。一般说来，安全的系统会利用一些专门的安全特性来控制对信息的访问，只有经过适当授权的人，或者以这些人的名义进行的进程可以读、写、创建和删除这些信息。 ”我国公安部计算机管理监察司的定义是： “计算机安全是指计算机资产安全，
8、即计算机信息系统资源和信息资源不受自然和认为有害因素的威胁和危害” 。3.2. 安全的层次网络系统的安全包括如下两个层次的含义： 网络系统的数据与信息的安全与保密 网络系统自身的安全3.3. 安全的目标网络系统安全的最终目标是要保证数据和信息的安全性。网络自身的安全是为数据和信息安全服务的。网络系统的安全性主要体现在以下几个方面： 机密性：防止数据被未经授权地泄露 数据完整性：防止未经授权地对数据进行修改或删除 行为完整性：保证数据服务和控制的连续性3.4. 系统的安全威胁常见的安全危险是指通过技术手段对网络系统进行攻，攻击手法有一般性攻击、渗透性攻击与拒绝服务攻击。 一 般 性 攻 击一般性
9、攻击主要利用用户或管理人员的疏忽、利用网络协议或主机操作系统的漏洞、利用共享传输通道的便利，对系统进行直接入侵的攻击方法。下面是一些典型的攻击方法： 口令入侵搜集用户帐户资料； 众达迅通技术有限公司 : (+86-20-)38734097 第 6 页如果能够获得口令文件，可对口令文件进行解密； 如果用户的口令缺乏安全性，可能被轻易地被“字典攻击”猜到用户的口令； 如果入侵者可以获得用户的口令，则可以冒用此用户的名义对系统进行进一步的破坏和攻击。 脆弱的基于主机认证机制在 Internet 和 Intranet 上广泛使用的 TCP/IP 协议中，一些 TCP 和 UDP 服务采用的是基于主机认
10、证方式，而非基于用户认证的方式。入侵者可以利用这种脆弱的机制进行攻击：IP Spoofing：攻击者侦测出一台被信任主机，在该主机停机（或遭到拒绝服务攻击）之后，冒充该机。可以使用 IP 源路由方法，假扮成被信任的主机，许多 UNIX 主机和路由器均设置成支持源路由封包。 信任主机的扩散攻击：利用主机之间的信任关系，在攻破某一台主机后，可以更加方便地攻击和它有信任关系的主机。 协议攻击Internet 使用的通讯协议在设计时，并没有充分考虑到网络安全问题。而且 TCP/IP协议是完全公开的，再加上很多 UNIX 系统的内部结构包括源代码都公开，导致入侵者可以利用网络和操作系统的漏洞进行攻击。
11、人为的配置失误网络和主机的安全设置都比较复杂，管理者很容易在配置中出现失误。如果用户没有进行合适的配置，入侵者就可以轻易的进入。比如，缺省帐户的口令没有更改等等。如果系统管理人员没有对网络和操作系统的漏洞及时打补丁（patch） 。入侵者就可以利用这些公开的漏洞，侵入系统。 窃听和监视由于在网络的共享信道上，用明文传输的敏感数据，这些信息很可能被窃听和监视。一旦，入侵者监听到用户传输的口令，就可以入侵到系统中了。 新的安全挑战随着 Internet 技术的急剧发展，如 WWW、Java、ActiveX 等技术的大量使用，新的安全问题也不断涌现。一些新的服务未经过严格的安全测试就可能开始使用。象
12、 CERT、FIRST 这样的计算机安全紧急反映组织不断发布新的攻击事件和新的漏洞；各个主机和网络厂商不断公布自己的补丁；象 2600 这样的的黑客组织和黑客站点不断出现新的攻击手法。所有这些，都对我们的安全工作提出了挑战。渗 透 性 攻 击渗透性攻击一定要通过一些特殊的计算机程序，通过将这些程序象补丁（patch）一样加载在主机上之后，通过程序自身去不断获得系统的控制权，达到破坏系统安全的目的。 特洛伊木马众达迅通技术有限公司 : (+86-20-)38734097 第 7 页特洛伊木马是这样一种程序，它在正常功能的程序中，隐藏的了非授权的代码。如果正常程序在系统中运行，那么非授权代码（通常
13、是恶意代码）就获得了与正常程序同样的权限，进行破坏。 计算机病毒网络应用的普及，为病毒的传播提供了方便的渠道。在越来越依赖网络的今天，由于病毒导致的系统破坏将带来巨大的损失。计算机病毒实际上是一种特殊的特洛伊木马。计算机病毒是一段可执行程序，它寄生在其他正常程序上。计算机病毒一般有两个模块：传染模块、破坏和表现模块。计算机病毒具有如下一些特点： 广泛传染性 潜伏性 可触发性 破坏性 针对性 衍生性 攻击迅速性 蠕虫蠕虫也是一种特洛伊木马。蠕虫有别于计算机病毒，它一般要寄生在计算机的操作系统中。它同病毒也有一些类似的地方，如：潜伏性、传染性、破坏性等。从一般意义上说，病毒一般多出现在 PC 世界
14、，而蠕虫多出现在 Unix 世界。拒 绝 服 务 攻 击拒绝服务（denial-of-service）攻击，是通过向攻击目标施加超强力的服务要求，要求提供超出它服务能力范围需求，从而引起的攻击目标对正常服务的拒绝或服务性能大大降低。下面是一些著名的拒绝服务攻击的例子：Ping of Death：给服务器发送异常的、巨大的用来进行 ping 操作的包。它可以导致WindowsNT 系统出现蓝屏故障，而且及其状态无法恢复。 Syn-Flooder：向服务器申请一个连接，而在服务器回答后等待确认时，不进行确认。不断进行这样的操作，导致服务器的连接缓冲区溢出后服务停滞。 邮件炸弹 E-mail Bom
15、b：使得攻击目标主机受到超量的电子邮件，使得主机无法承受导致邮件系统崩溃。3.5. 网络安全技术计算机网络安全技术的目的是保护以网络为代表的系统资源不受攻击影响、发现可疑的行为、对可能影响安全的事件作出反应。计算机安全技术主要包括加密技术与行动技术两个方面。加密技术的主要目标是确保数据资源的机密性、完整性。行动技术的目的还包括维持并保护数据资源的安全可用性。根据在入侵行为与入侵目标关系中研究对象的不同，行动技术可分为主动与被动两大类型：被动技术众达迅通技术有限公司 : (+86-20-)38734097 第 8 页研究的是入侵中处于被动地位的入侵目标，它的目的是提高目标自身的防御能力，主要代表
16、有： o 隔离技术：把要保护的计算机系统与较危险的外界隔离开，只允许建立安全的连接；隔离技术的中心思想是在主机或网络与外界连接之间增加检查，拒绝接受可疑的连接请求。 o 安全分析技术：扫描系统安全漏洞、模拟网络攻击，以检查系统防御能力。 主动技术研究的对象是入侵行为，它尝试使计算机系统对入侵行为做出主动积极的反应，代表是近年兴起的入侵发现技术。3.6. 网络隔离最常用的网络隔离技术就是采用防火墙，防火墙可以有效地划分网络间不同的安全区域，界定不同用户的访问范围。防 火 墙 技 术 概 述防火墙技术的目标是保护网络的一段或整个内部网络不受外界入侵影响。防火墙将安全管理“相对”宽松的“内网”与外部
17、网络隔离开来。防火墙由一组硬件和软件的组成，用于检查网络通讯与服务请求流。它的目的是剔除通讯流中那些不符合安全标准的数据包或请求。防火墙通过包过滤、应用网关等技术，使用具有过滤功能的路由器和堡垒主机等设备，使所有涉及被保护网段的网络通讯都经过防火墙过滤或转接，对被保护网段实行访问控制，把它和外界隔离开来，达到不受外界侵犯的目的。防火墙通常是防范入侵的第一道防线，但不同的产品对恶意攻击的屏蔽程度不同，防火墙的设置也经常很复杂，设置不好的防火墙不能有效完成隔离功能，可能成为潜在的安全隐患。使用防火墙还必须保证它不能被访问绕过。比如在防火墙内部私自连入 Modem, 使连接不经过防火墙的检查，就会造
18、成隔离的破坏。防 火 墙 的 优 势 保护脆弱的服务：通过过滤不安全的服务，防火墙可以极大地提高网络安全和减少网中主机的风险。如，防火墙可以禁止 NIS、NFS 服务通过。防火墙同时可以拒绝源路由和 ICMP 重定向封包。 控制对系统的访问：防火墙可以实现对系统的访问控制。如允许从外部访问某些主机，同时禁止访问另外的主机。如防火墙只允许外部访问外部 Web Server。 集中的安全管理和策略的制定：防火墙对企业内部网实现集中的安全管理，提供了制定和执行网络安全策略的手段。在防火墙定义的安全规则可以用于整个内部网络系统，而无需在内部网每台机器上分别设立安全策略。如防火墙可以定义不同的认证方法，
19、而不需在每台机器上分别安装特定的认证软件。外部用户也只需要经过一次认证即可访问内部网。 增强的保密性：使用防火墙可以阻止攻击者获取攻击网络系统的有用信息。 记录和统计网络利用数据以及非法使用数据：防火墙可以记录和统计通过防火墙的网络通讯，提供关于网络使用的统计数据。并且可以根据统计数据来判断可能攻击和探测。 众达迅通技术有限公司 : (+86-20-)38734097 第 9 页在 网 络 系 统 中 的 应 用 停火区在网络系统的 Intranet 中设立一个 DMZ（停火区）：或者称作屏蔽子网。这个停火区将网上办税系统的内部局域网和 Internet、拨号接入服务隔离开。内部网络与停火区之
20、间有防火墙来保证安全。在这里专门提供对外的公共服务，如外部 WWW 服务、外部 DNS 服务、拨号接入服务等。在 DMZ 的服务器可以使用在公网的 IP 地址，也可以通过防火墙的反向地址转换功能使用私网 IP 地址。 设置路由器的包过滤功能停火区和 Internet 之间通过路由器连接。在这个路由器合理地设置包过滤功能，将停火区不提供的服务包过滤掉。比如：可以过滤掉 Internet 流向停火区的 telnet 包、SNMP包等，避免网络黑客利用这些协议进行攻击。内网划分了 VLAN，有路由器负责内部 VLAN 之间的路由。可以适当地设置内部路由的包过滤功能，避免或减少内部黑客或已经侵入内部的
21、黑客对其他为授权网络的攻击。 内网和停火区之间的防火墙在网上办税系统中主要利用现有的防火墙提供强大的网络安全服务，它在保证高级的安全性能的同时，提供了良好的吞吐性、灵活性和管理特性。防火墙对 Intranet 与 Internet 进行隔离，隔离的主要内容是内部网不应提供的服务、信息及传输通道。此外它在保证高级安全性能的同时，能够提供良好的吞吐性、灵活性和管理特性。为了消除防火墙的单点故障，可以设计采用双机热备份的防火墙系统，两台防火墙一台作为主防火墙，一台作为从防火墙。正常工作时，运行主防火墙系统，当主防火墙系统发生故障时，从防火墙系统自动接替其工作，保证了防火墙系统的连续性。通过防火墙控制
22、台定义网络对象、网络资源、用户及安全规则。原则上，大楼Intranet 出口处防火墙的安全规则只定义必要的网络连接（如单向 DNS 查询、限制的http、https、ldap，仅允许 DMZ 内主机与内部网的其它必要通讯等） 。3.7. 通信安全技术搭线窃听是对通信保密安全的严重威胁。在互联网出现后，由于使用者到服务器之间将经过不可预测的节点，中间极可以出现数据被窃取和被篡改的危险。解决的方法有两个方面： 通过加密措施，使非法窃听者即使截获部分信息也无法理解这些信息。 通过防篡改技术，使数据被篡改后可以有机制去识别被篡改的内容。 综合以上的方法，目前流行的方式是采用虚拟专网（VPN）技术来实现
23、通信安全。虚拟专网的重点在于建立安全的数据通道，构造这条安全通道的协议必须具备以下条件：众达迅通技术有限公司 : (+86-20-)38734097 第 10 页 保证数据的真实性，通信主机必须是经过授权的，要有抵抗地址冒认（IP Spoofing）的能力。 保证数据的完整性，接收到的数据必须与发送时的一致，要有抵抗不法分子纂改数据的能力。 保证通道的机密性，提供强有力的加密手段，必须使偷听者不能破解拦截到的通道数据。 提供动态密钥交换功能，提供密钥中心管理服务器，必须具备防止数据重演（Replay）的功能，保证通道不能被重演。 提供安全防护措施和访问控制，要有抵抗黑客通过 VPN 通道攻击企
24、业网络的能力，并且可以对 VPN 通道进行访问控制（Access Control） 。3.8. 客户机安全防护网络系统中用户操作的微机多数采用 Windows 9X 操作系统。Windows 9X 操作系统的安全级别远远不如 Unix 系统和 Windows NT 系统高。除了系统本身的各种弱点外，还有许多病毒与木马系统在 Windows 上横行，如果不小心，用户的各种操作数据很容易被不法分子窃取。为了保证安全，Windows 9X 用户可以采用本公司个人级防火墙产品，保证数据安全。众达迅通技术有限公司 : (+86-20-)38734097 第 11 页4. 天网防火墙简介4.1. 什么叫防
25、火墙?讲 到 防 火 墙 ， 很 多 人 可 能 一 下 反 应 觉 得 是 一 些 建 筑 用 的 东 西 ， 虽 然 在 这 里 讲的 防 火 墙 的 所 处 的 位 置 很 象 是 建 筑 上 说 的 防 火 墙 ， 不 过 ， 它 却 是 与 建 筑 一 点 关 系 都没 有 的 东 西 。这 里 所 说 的 防 火 墙 是 安 装 在 计 算 机 网 络 上 ， 防 止 内 部 的 网 络 系 统 被 人 恶 意 破坏 的 一 个 网 络 安 全 产 品 。4.2. 防火墙的用途Internet 技 术 带 领 我 们 进 入 新 的 科 技 信 息 时 代 。 许 多 企 业 、
26、单 位 都 纷 纷 建立 与 互 联 网 络 相 连 的 内 部 网 ， 使 用 户 可 以 通 过 网 络 查 询 信 息 。 这 时 企 业Intranet 的 安 全 性 就 受 到 了 考 验 ， 网 络 上 的 不 法 分 子 不 断 的 寻 找 网 络 上 的 漏 洞 ， 企图 潜 入 内 部 网 络 。 一 旦 Intranet 被 人 攻 破 ， 一 些 机 密 的 资 料 可 能 会 被 盗 、 网 络 可能 会 被 破 坏 ， 给 网 络 所 属 单 位 带 来 难 以 预 测 的 损 害 。而 使 用 了 防 火 墙 后 ， 防 火 墙 可 以 有 效 地 挡 住 外 来
27、 的 攻 击 ， 对 进 出 的 数 据 进 行监 视 。 此 外 ， 目 前 防 火 墙 除 了 可 以 作 为 网 络 门 户 的 保 护 外 ， 还 提 供 了 许 多 网 络 连 接时 的 应 用 ， 如 包 含 代 理 服 务 器 的 功 能 ， 提 高 内 部 网 络 对 外 访 问 的 速 度 ； 采 用 加 密 连接 方 式 ， 使 企 业 通 过 公 网 安 全 地 传 输 数 据 等 。4.3. 天网防火墙的目标长 期 以 来 ， 国 内 开 发 的 防 火 墙 大 都 只 有 简 单 的 数 据 包 过 滤 ， 只 能 实 现 简 单 地控 制 允 许 或 不 允 许 数
28、 据 的 通 过 ， 而 最 新 防 火 墙 的 关 键 技 术 都 被 国 外 所 垄 断 ， 例 如 网络 数 据 通 道 加 密 ， 网 络 地 址 转 换 等 ， 美 国 政 府 甚 至 明 令 禁 止 这 些 高 新 技 术 的 出 口 ，企 图 以 技 术 垄 断 的 方 式 阻 止 别 国 信 息 产 业 的 发 展 。 但 现 在 ， 我 们 可 以 站 出 来 说 ：“中 国 人 有 了 自 己 的 防 火 墙 ！ ”在 天 网 防 火 墙 上 ， 不 但 研 究 出 并 使 用 了 美 国 政 府禁 止 出 口 的 168 位 加 密 技 术 ， 实 现 了 高 速 的 网
29、 络 地 址 转 换 功 能 ， 而 且 ， 还 针 对Internet 鱼 龙 混 杂 的 局 面 ， 创 造 性 地 开 发 出 了 智 能 内 容 过 滤 系 统 ， 使 到 天 网 防 火 墙不 单 单 能 保 护 网 络 的 安 全 ， 而 且 ， 可 以 令 充 满 了 黄 色 和 反 动 内 容 的 Internet网 络 恢 复 清 纯 。4.4. 天网防火墙的特点4.4.1. 强大的数据加密技术在 国 外 ， 利 用 公 共 的 计 算 机 信 息 网 络 ， 企 业 可 以 建 造 一 个 安 全 的 内 部 网 ， 连接 不 同 地 域 的 机 构 ， 这 种 技 术 ，
30、 在 术 语 中 称 为 虚 拟 专 用 网 （ VPN） ， 而 这 个技 术 中 的 关 键 就 是 一 个 叫 IPSEC 的 数 据 加 密 技 术 ， 没 有 这 项 技 术 ， 企 业 在 公 共网 络 中 传 递 的 数 据 可 以 轻 易 地 被 截 取 和 破 解 ， 等 于 把 企 业 的 所 有 秘 密 公 之 于 众 ； 然而 ， 国 外 的 厂 商 在 中 国 推 广 的 设 备 中 ， 却 没 有 一 个 提 到 IPSEC 的 加 密 技 术 的 ，众达迅通技术有限公司 : (+86-20-)38734097 第 12 页即 使 有 顺 带 提 到 的 ， 也 会
31、 推 搪 说 暂 时 无 法 提 供 此 技 术 ， 请 耐 心 等 候 。 原 因 很简 单 ， 这 种 IPSEC 技 术 正 是 被 美 国 政 府 严 禁 出 口 的 高 科 技 技 术 之 一 。我 们 经 过 努 力 ， 终 于 在 天 网 防 火 墙 的 IPSEC 加 密 功 能 上 实 现 了 56 Bits DES、 168Bits 3DES、 MD5、 RC4、 SHA1、 IDEA 等 多 种 加 密 算 法 。 天 网防 火 墙 系 统 通 过 符 合 IPSEC 标 准 的 高 保 密 性 虚 拟 专 用 网 技 术 ， 可 以 建 立 真 正 的虚 拟 专 用 网
32、 系 统 ， 这 样 ， 系 统 才 具 有 完 善 的 安 全 特 性 ， 包 括 ： 真 实 性 ： 与 你 通 信 的 计 算 机 主 机 是 真 正 的 授 权 后 的 计 算 机 主 机 ， 而 不 是他 人 假 冒 的 计 算 机 。 完 整 性 ： 我 方 接 收 到 的 数 据 包 与 对 方 发 送 时 是 完 全 一 致 的 。 机 密 性 ： 在 数 据 传 输 过 程 中 ， 数 据 不 能 被 不 法 分 子 解 密 。在 设 计 时 ,我 们 还 充 分 考 虑 到 防 火 墙 系 统 是 作 为 网 络 安 全 的 守 护 者 ， 除 了 考虑 用 户 认 证 、
33、 数 据 传 输 时 数 据 的 机 密 性 、 完 整 性 、 真 实 性 以 外 ， 我 们 还 考 虑 到 不 法分 子 在 截 取 到 加 密 的 数 据 后 ， 虽 然 无 法 将 数 据 解 密 ， 但 将 数 据 原 封 不 动 地 重 新 发 送的 可 能 性 。 因 此 我 们 在 天 网 防 火 墙 中 加 入 了 防 止 数 据 重 演 （ Replay） 的 功 能 ，以 杜 绝 这 种 可 能 性 。有 了 天 网 防 火 墙 系 统 ， 用 户 可 以 不 再 被 迫 使 用 功 能 残 缺 的 国 外 网 络 安 全 产 品 ，而 网 络 安 全 也 可 以 得
34、到 真 正 的 保 护 。4.4.2. 智能的内容过滤系统Internet 给 我 们 带 来 了 无 比 丰 富 的 最 新 信 息 ， 改 变 了 我 们 生 活 、 工 作 的 模 式 。但 是 ， Internet 缺 乏 适 当 的 监 管 机 构 ， 导 致 在 网 上 充 斥 着 各 种 色 情 、 反 动 的 信 息 ，我 们 不 能 不 警 惕 这 些 信 息 对 我 们 的 毒 害 ， 我 国 政 府 也 采 取 了 一 定 的 防 御 措 施 。 可 惜面 对 日 新 月 异 的 网 络 技 术 发 展 ， 现 在 的 措 施 有 点 力 不 从 心 。 目 前 存 在
35、的 问 题 主 要 有 ： 目 前 的 监 管 工 作 完 全 靠 人 手 动 进 行 ， 发 现 一 个 拦 截 一 个 。 而 且 Internet网 络 信 息 不 断 改 变 ， 更 新 速 度 惊 人 ， 缺 少 计 算 机 的 辅 助 和 统 计 功 能 ， 目 前 的 拦截 功 能 实 际 上 的 作 用 并 不 明 显 。 目 前 拦 截 是 以 一 个 信 息 点 为 单 位 ， 过 于 粗 糙 。 通 常 一 个 Internet 信 息 点 上有 很 多 不 同 的 内 容 ， 如 果 单 单 为 了 防 止 一 、 两 个 非 法 的 内 容 而 禁 止 访 问 整 个
36、 信息 点 ， 是 因 噎 废 食 的 做 法 。 虽 然 拦 截 可 以 禁 止 直 接 访 问 信 息 点 ， 但 是 用 户 可 以 利 用 一 种 叫 代 理 服 务 的 技 术 ，利 用 不 被 拦 截 的 国 外 信 息 点 收 取 信 息 后 转 发 到 国 内 来 ， 令 防 御 措 施 形 同 虚 设 。为 了 解 决 这 个 问 题 ， 我 们 首 先 对 现 状 进 行 分 析 ， 得 出 了 解 决 问 题 的 关 键 ： Internet 上 虽 然 有 无 法 统 计 数 量 的 节 点 和 连 接 ， 但 是 我 们 只 需 要 对 内 部 网 络 所访 问 的
37、信 息 进 行 监 管 就 可 以 保 证 禁 止 非 法 信 息 的 流 入 了 。 这 使 自 动 监 控 有 了 实现 的 可 能 。 通 过 对 使 用 代 理 服 务 访 问 的 机 制 进 行 了 彻 底 的 研 究 ， 了 解 到 这 种 机 制 的 原 理 后 ，可 以 轻 易 地 实 现 拦 截 。 计 算 机 必 须 根 据 具 体 情 况 ， 依 据 有 效 的 算 法 对 流 入 数 据 进 行 分 析 ， 找 出 最 有 嫌疑 、 的 信 息 内 容 ， 这 样 才 能 解 决 问 题 的 关 键 。众达迅通技术有限公司 : (+86-20-)38734097 第 1
38、3 页 由 于 需 要 对 所 有 的 流 入 信 息 进 行 过 滤 ， 系 统 负 担 将 十 分 沉 重 。 监 管 系 统 必 须 采用 并 行 式 处 理 体 系 ， 采 用 多 套 系 统 协 同 工 作 ， 才 能 面 对 大 量 的 用 户 访 问 ， 避 免产 生 网 络 的 堵 塞 、 延 误 的 严 重 后 果 。 网 络 内 容 监 管 在 国 际 上 早 已 受 到 广 泛 的 重 视 ， 许 多 团 体 已 经 在 这 个 方 面 作 了 大量 的 工 作 ， 我 们 的 系 统 必 须 具 有 有 效 使 用 这 些 成 果 的 能 力 。 PICS 是W3C（
39、互 联 网 页 协 会 ） 推 出 的 内 容 分 级 数 据 库 协 议 ， 受 到 广 泛 的 支 持 ，Internet 上 绝 大 多 数 的 正 式 网 页 都 根 据 PICS 协 议 进 行 了 分 级 。 拦 截 服 务 器必 须 能 定 时 从 PICS 分 级 数 据 服 务 器 上 提 取 数 据 ， 储 存 到 本 地 数 据 库 中 ， 并以 分 级 数 据 库 作 为 依 据 ， 进 行 网 络 监 管 工 作 。通 过 对 实 际 需 要 的 分 析 ， 我 们 在 天 网 防 火 墙 系 统 中 实 现 可 以 说 是 世 界 上 第 一套 采 用 分 布 式
40、并 行 处 理 结 构 的 计 算 机 辅 助 监 管 、 精 确 信 息 源 定 位 拦 截 系 统 。 基 本 功能 有 ：智 能 内 容 分 析 系 统 :系 统 对 流 经 的 网 络 信 息 进 行 关 键 字 过 滤 ， 可 以 支 持 多 个 关 键 字 逻 辑 过 滤 操 作 ，同 时 可 以 根 据 关 键 字 权 重 、 重 复 次 数 计 算 信 息 的 可 疑 程 度 。 系 统 对 用 户 访 问 信 息 的精 确 定 位 进 行 记 录 ， 统 计 访 问 量 、 可 疑 程 度 等 指 标 ， 返 回 可 疑 信 息 源 精 确 位 置 表 ，根 据 该 表 自
41、动 将 信 息 源 精 确 位 置 加 入 黑 名 单 采 取 拦 截 行 动 或 作 为 系 统 管 理 员 控 制 拦截 的 依 据 。信 息 监 管 系 统 :系 统 可 以 根 据 黑 名 单 和 白 名 单 对 用 户 访 问 的 精 确 信 息 源 位 置 进 行 拦 截 或 放 行的 处 理 ， 而 且 可 以 根 据 智 能 内 容 分 析 系 统 和 统 计 系 统 的 结 果 自 动 增 减 名 单 。代 理 服 务 器 拦 截 系 统系 统 根 据 代 理 服 务 器 工 作 原 理 ， 对 向 代 理 服 务 器 的 信 息 访 问 请 求 进 行 解 码 分析 ， 得
42、 出 真 正 访 问 位 置 ， 根 据 黑 名 单 进 行 拦 截 ， 放 行 正 常 信 息 。分 布 并 行 式 处 理 ：当 需 要 负 责 大 量 的 用 户 访 问 时 （ 如 Internet 出 口 ） ， 系 统 可 以 组 成 分 布并 行 式 处 理 系 统 ， 用 户 的 访 问 控 制 工 作 将 分 布 到 多 台 防 火 墙 服 务 器 上 。天 网 防 火 墙 系 统 的 信 息 监 管 模 块 使 用 了 各 种 先 进 的 办 法 ， 可 以 有 效 地 拦 截 非法 信 息 的 流 入 ， 为 用 户 提 供 一 个 清 洁 的 Internet 网 络
43、， 是 建 立 Internet 的 必备 工 具 。4.4.3. 创新的体系结构传 统 的 防 火 墙 多 数 是 软 件 ， 因 此 ， 用 户 在 购 买 了 防 火 墙 后 ， 还 需 要 购 买 昂 贵的 工 作 站 或 服 务 器 才 能 够 使 用 防 火 墙 。 而 天 网 防 火 墙 创 新 地 采 用 了 硬 件 一 体 化 的 体众达迅通技术有限公司 : (+86-20-)38734097 第 14 页系 。 而 天 网 防 火 墙 创 新 地 采 用 了 硬 件 一 体 化 的 设 计 ， 从 底 层 操 作 系 统 到 防 火 墙 应 用都 与 硬 件 紧 密 结 合
44、 。 这 种 设 计 有 两 个 好 处 ：1. 系 统 效 率 高 。 传 统 软 件 防 火 墙 是 安 装 在 计 算 机 上 的 ， 由 于 无 法 控 制 网 络底 层 ， 导 致 系 统 效 率 受 到 计 算 机 操 作 系 统 的 牵 制 ， 对 网 络 的 数 据 传 输 有较 大 的 影 响 。 而 在 天 网 防 火 墙 设 计 时 ， 我 们 针 对 系 统 特 定 硬 件 进 行 优 化处 理 ， 底 层 操 作 系 统 采 用 汇 编 语 言 编 写 ， 防 火 墙 应 用 融 入 系 统 操 作 系 统 ，因 此 数 据 传 输 效 率 比 同 类 产 品 高 出
45、 30 60 。2. 系 统 安 全 性 高 。 传 统 的 软 件 防 火 墙 都 是 基 于 UNIX 或 Windows NT平 台 ， 这 些 操 作 系 统 平 台 本 身 容 易 受 到 黑 客 （ Hacker） 的 攻 击 ， 使防 火 墙 所 在 的 计 算 机 成 为 网 络 安 全 的 突 破 点 。 而 天 网 防 火 墙 采 用 硬 件 一体 化 结 构 ， 专 用 的 高 安 全 度 操 作 系 统 使 不 法 分 子 无 从 下 手 。4.5. 其他特点此 外 ， 天 网 防 火 墙 还 包 含 了 网 络 信 息 流 量 控 制 （ QoS） ， 透 明 代 理
46、 服 务器 、 双 向 网 络 地 址 转 换 、 针 对 性 防 御 措 施 、 负 载 均 衡 、 双 机 热 备 份 等 功 能 。众达迅通技术有限公司 : (+86-20-)38734097 第 15 页5. 需求分析根据重庆住房基金管理中心信息系统安全工程需求，作如下分析：1. 内部通过划分 VLAN，防止内部网络用户对网络攻击，保证网络安全可靠。分析：完全满足。天网防火墙的网络接口可以绑定多个网段地址，最多可以支持 1024 个网段。2. 网络拓扑结构应保证安全性，提供备份迂回路由。分析：天网防火墙有备份功能扩展，可以升级为双机备份防火墙。3. 应能定期自动扫描各种服务器和数据库系
47、统以发现影响系统性能安全和设置上的漏洞。分析：该功能可以由第三方软件厂商的漏洞检测软件实现。4. 应具有对安全攻击的快速响应能力，能够在黑客对重要资源产生威胁之前识别并阻止攻击。分析：天网防火墙具有快速响应能力，能够在黑客对重要资源产生威胁之前识别并阻止攻击。5. 应能搜集、综合和分析安全软件得到的数据，自动快速的作出安全决策并进行实施。分析：天网防火墙的企业 I 型和 II 型均具有以上功能。众达迅通技术有限公司 : (+86-20-)38734097 第 16 页6. 方案设计6.1. 总体设计系统拓扑图：6.2. 方案说明根据重庆市住房基金管理中心的网络状况和应用，建议在内网的 swit
48、ch 和路由器4700 之间接天网防火墙企业 I 型，通过对防火墙的安全规则的设定可有效的保护内网服务器和工作站不受攻击。天网防火墙企业级- I 型，规格如下：License Type DescriptionSNFW-NAT unlimitedSNFW-FT-BH 网络黑洞SNFW-FT-LOG 网络数据记录Features * 基于状态检测的包过滤* 具有包过滤功能的虚拟网桥* DOS 防御网关能有效的防止各种类型的 DOS 攻击* TCP 标志位检测* 双向网络地址转换(NAT)* 流量统计与流量限制众达迅通技术有限公司 : (+86-20-)38734097 第 17 页* 网络端口可以
49、绑定多个 IP 地址* IP 地址与 MAC 地址绑定* 实时系统监控，能观察系统的运行状态及网络连接状况* 实时报警，通过拨打电话和 Email 的方式报警 (Syslog Daemon)* 系统操作记录，可以记录系统管理员的所有操作情况* 界面升级，操作方便* 网络黑洞，用于阻挡非法的网络探测* 网络数据记录, 用于记录通过防火墙的数据类型和流量实现功能： 使用 NAT 把 DMZ 区的服务器和内部端口影射到 Firewall 的对外端口； 允许 Internet 公网用户访问到 DMZ 区的应用服务：http、ftp、smtp、dns； 允许 DMZ 区内的工作站与应用服务器访问 Internet 公网； 允许内部企业用户访问 DMZ 的应用服务：http 、ftp、smtp 、dns 、pop3、https； 允许内部企业用户访问或通过代理访问 Internet 公网； 禁止 Internet 公网非法用户入侵内部企业网络和 DMZ 区应用服务器； 禁止 Internet 公网用户对内部网络 http、ftp、telnet、tr
