防火墻方案完整

1、 防火墻方案12020年4月19 日 文檔僅供參考，不當之處，請聯(lián)系改正。防火墻方案22020年4月19 日 文檔僅供參考，不當之處，請聯(lián)系改正。區(qū)域邏輯隔離建設(shè)（防火墻）國家等級保護政策要求不同安全級別的系統(tǒng)要進行邏輯隔離，各區(qū)域之間能夠按照用戶和系統(tǒng)之間的允許訪問規(guī)則控制單個用戶，決定允許或者禁止用戶對受控系統(tǒng)的資源訪問。國家等級化保護政策要求不同安全級別間的系統(tǒng)要進行區(qū)域的邏輯隔離，各區(qū)域之間能按照用戶和系統(tǒng)之間的允許訪問規(guī)則，控制擔(dān)擱用戶，決定允許或者拒絕用戶對受控系統(tǒng)的資源訪問。在網(wǎng)絡(luò)邊界部署防火墻系統(tǒng)，并與原有防火墻形成雙機熱備，部署防火墻能夠?qū)崿F(xiàn)：1.網(wǎng)絡(luò)安全的基礎(chǔ)屏障：防火墻能

2、極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，并經(jīng)過過濾不安全的服務(wù)而降低風(fēng)險。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能經(jīng)過防火墻，因此網(wǎng)絡(luò)環(huán)境變得更安全。如防火墻能夠禁止諸如眾所周知的不安全的 NFS 協(xié)議進出受保護網(wǎng)絡(luò)，這樣外部的攻擊者就不可能利用這些脆弱的協(xié)議來攻擊內(nèi)部網(wǎng)絡(luò)。防火墻同時能夠保護網(wǎng)絡(luò)免受基于路由的攻擊，如 IP 選項中的源路由攻擊和ICMP 重定向中的重定向路徑。防火墻能夠拒絕所有以上類型攻擊的報文并通知防火墻管理員。2.強化網(wǎng)絡(luò)安全策略32020年4月19 日 文檔僅供參考，不當之處，請聯(lián)系改正。經(jīng)過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認證、審計等）配置在防火墻

3、上。與將網(wǎng)絡(luò)安全問題分散到各個主機上相比，防火墻的集中安全管理更經(jīng)濟。例如在網(wǎng)絡(luò)訪問時，一次一密口令系統(tǒng)和其它的身份認證系統(tǒng)完全能夠不必分散在各個主機上，而集中在防火墻一身上。3.對網(wǎng)絡(luò)存取和訪問進行監(jiān)控審計如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并作出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。當發(fā)生可疑動作時，防火墻能進行適當?shù)膱缶⑻峁┚W(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細信息。另外，收集一個網(wǎng)絡(luò)的使用和誤用情況也是非常重要的。首先的理由是能夠清楚防火墻是否能夠抵擋攻擊者的探測和攻擊，而且清楚防火墻的控制是否充分。而網(wǎng)絡(luò)使用統(tǒng)計對網(wǎng)絡(luò)需求分析和威脅分析等而言也是非常重要的。4

4、.防止內(nèi)部信息的外泄經(jīng)過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離，從而限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。再者，隱私是內(nèi)部網(wǎng)絡(luò)非常關(guān)心的問題，一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此而曝露了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就能夠隱蔽那些透漏內(nèi)部細節(jié)如 Finger，DNS 等服務(wù)。42020年4月19 日 文檔僅供參考，不當之處，請聯(lián)系改正。5.精確流量管理經(jīng)過部署防火墻設(shè)備，不但能夠?qū)崿F(xiàn)精準訪問控制與邊界隔離防護，還能實現(xiàn)阻止由于病毒或者 P2P 軟件引起的異常流量、進行精確的流量控制等。對各級節(jié)點安全域?qū)崿F(xiàn)全面的邊界防護，嚴格控制節(jié)點之間的網(wǎng)絡(luò)數(shù)據(jù)流。6.防止病毒木馬攻擊經(jīng)過防火墻設(shè)備帶的防病毒模塊，能夠在網(wǎng)絡(luò)邊界處對惡意代碼、蠕蟲、木馬等病毒檢查和清除，防止全網(wǎng)遭受病毒感染的。經(jīng)過防火墻的部署，實現(xiàn)網(wǎng)絡(luò)邊界的訪問控制和惡意代碼檢測清除，保障系統(tǒng)的安全。防火墻優(yōu)勢基于用戶防護傳統(tǒng)防火墻中，策略都是依賴 IP 或 MAC 地址來區(qū)分數(shù)據(jù)流，這種描述方式非常不利于管理，很多場景也很難完成對網(wǎng)絡(luò)狀況的清晰掌握和精確控制。因此，實現(xiàn)基于用戶的防護是下一代防火墻的重要特征。 NGFW下一代防火墻融入天融信多年以來的安全產(chǎn)品研發(fā)經(jīng)驗，總結(jié)并實現(xiàn)了一套靈活且強大的用戶身份管理系