思科云安全解決方案講述

思科安全無(wú)邊界網(wǎng)絡(luò)

架構(gòu)及解決方案

支撐企業(yè)業(yè)務(wù)創(chuàng)新的商業(yè)平臺(tái)

WindWan

BorderlessNetwork

議程思科安全無(wú)邊界網(wǎng)絡(luò)架構(gòu)外聯(lián)業(yè)務(wù)安全——思科云火墻解決方案內(nèi)網(wǎng)業(yè)務(wù)安全——思科攻擊定位與響應(yīng)解決方案問(wèn)與答攻擊威脅與防御體系的演進(jìn)有邊界網(wǎng)絡(luò)->無(wú)邊界網(wǎng)絡(luò)過(guò)去現(xiàn)在

集中計(jì)算

云計(jì)算有邊界網(wǎng)絡(luò)

無(wú)邊界網(wǎng)絡(luò)外部入侵DDoS

內(nèi)部木馬僵尸利用網(wǎng)絡(luò)應(yīng)用

內(nèi)容數(shù)據(jù)

邊界單點(diǎn)

全網(wǎng)多點(diǎn)固定靜態(tài)特征

移動(dòng)動(dòng)態(tài)變化IT行業(yè)攻擊威脅防御體系傳統(tǒng)的企業(yè)網(wǎng)絡(luò)邊界企業(yè)網(wǎng)絡(luò)邊界分支辦公室應(yīng)用與數(shù)據(jù)總部辦公室控制策略攻擊者客戶(hù)合作伙伴一個(gè)沒(méi)有邊界的網(wǎng)絡(luò)已形成企業(yè)網(wǎng)絡(luò)邊界分支辦公室應(yīng)用與數(shù)據(jù)總部辦公室控制策略攻擊者HomeOffice咖啡店客戶(hù)機(jī)場(chǎng)合作伙伴PlatformasaServiceInfrastructureasaServiceXasaServiceSoftwareasaService任何時(shí)間任何地點(diǎn)任何設(shè)備任何資源移動(dòng)與協(xié)作、以及云計(jì)算——打破了企業(yè)數(shù)據(jù)中心邊界智能終端/移動(dòng)用戶(hù)任何人無(wú)邊界數(shù)據(jù)中心3無(wú)邊界

Internet2無(wú)邊界

終端用戶(hù)1思科無(wú)邊界網(wǎng)絡(luò)安全安全控制策略企業(yè)網(wǎng)絡(luò)邊界分支辦公室應(yīng)用與數(shù)據(jù)總部辦公室控制策略(訪問(wèn)控制,合法使用,惡意軟件,數(shù)據(jù)安全)4HomeOffice攻擊者咖啡店客戶(hù)機(jī)場(chǎng)合作伙伴PlatformasaServiceInfrastructureasaServiceXasaServiceSoftwareasaService智能終端/移動(dòng)用戶(hù)正確人員、正確終端、正確地點(diǎn)正確時(shí)間、正確資源無(wú)邊界網(wǎng)絡(luò)安全從自防御網(wǎng)絡(luò)SDN到安全無(wú)邊界網(wǎng)絡(luò)SBN自防御網(wǎng)絡(luò)–SDN安全無(wú)邊界訪問(wèn)把壞人阻擋在外移動(dòng)安全MobilityAlwaysOn安全無(wú)邊界網(wǎng)絡(luò)SBN策略&身份受信任訪問(wèn)Trust云安全Cloud主機(jī)托管/混合托管思科安全智能運(yùn)營(yíng)中心CiscoSIO防火墻Firewall訪問(wèn)控制侵?jǐn)_防御IPS防止攻擊內(nèi)容安全Content郵件&Web思科安全架構(gòu)核心:

CSIO-SensorBaseSensorBase全球覆蓋:美國(guó)圣何塞,圣布魯諾,澳大利亞,北卡羅萊納和中國(guó)上海來(lái)自中國(guó)互聯(lián)網(wǎng)的安全數(shù)據(jù)占17%之多實(shí)時(shí)采集全球30%的IP流量主動(dòng)防御:全面及時(shí)的安全防護(hù)體系聯(lián)動(dòng)IPS全球入侵防御系統(tǒng)；ASA僵尸網(wǎng)絡(luò)數(shù)據(jù)流過(guò)濾器；病毒蠕蟲(chóng)爆發(fā)預(yù)防過(guò)濾器；全球名譽(yù)度過(guò)濾器（IPS；郵件及Web）準(zhǔn)確可靠:源于思科全球安全設(shè)備及第三方機(jī)構(gòu)信息采集EmailURLSignatureDomainBotnet思科無(wú)邊界網(wǎng)絡(luò)安全-實(shí)踐有邊界內(nèi)部網(wǎng)絡(luò)-私有網(wǎng)絡(luò)自防御網(wǎng)絡(luò)SDN：集成、自適應(yīng)、協(xié)同解決方案：ASA/FWSM(virtualFirewall)+CSM/IPS+NAC…全網(wǎng)統(tǒng)一:動(dòng)態(tài)防御,管理及可信網(wǎng)絡(luò)管控

防御：ScanSafe、SensorBase

管理：TrustSec

可信架構(gòu)–彈性架構(gòu)防御解決方案：動(dòng)態(tài)目的檢測(cè)、智能信任報(bào)文；（云火墻Anti-Botnet、SGT）可信終端–移動(dòng)接入防御解決方案：移動(dòng)準(zhǔn)入控制，接入感知；（AnyConnect+NAC）可信數(shù)據(jù)–數(shù)據(jù)保護(hù)解決方案：域內(nèi)、域間信息加密及驗(yàn)證、ＶPN、SSL感知；（WAAS、MACSec、VPN，Netflow）可信資源–內(nèi)容防御解決方案：動(dòng)態(tài)源檢測(cè)、內(nèi)容合規(guī)檢測(cè)；（IPS

GlobalCorrelation、XML

Firewall）議程思科安全無(wú)邊界網(wǎng)絡(luò)架構(gòu)外聯(lián)業(yè)務(wù)安全——思科云火墻解決方案內(nèi)網(wǎng)業(yè)務(wù)安全——思科攻擊定位與響應(yīng)解決方案問(wèn)與答IPSFirewall/VPNAnti-Maleware保護(hù)每個(gè)數(shù)據(jù)包和數(shù)據(jù)流ATD自適應(yīng)威脅防御實(shí)現(xiàn)接入突破網(wǎng)絡(luò)濫用端口掃描畸形數(shù)據(jù)包應(yīng)用濫用停止服務(wù)/Hacking已知的攻擊被感染的流量植入應(yīng)用中的攻擊外聯(lián)業(yè)務(wù)多功能防護(hù)需求下一代防火墻： 主動(dòng)防御僵尸網(wǎng)絡(luò)，智能入侵防護(hù).思科“云”火墻應(yīng)對(duì)五大信息安全最新挑戰(zhàn)如何避免內(nèi)部感染木馬與僵尸網(wǎng)絡(luò)潛伏?“云”火墻Sensorbase動(dòng)態(tài)策略技術(shù)如何阻斷外部黑客攻擊?IPSGlobalCorrelation全球信譽(yù)協(xié)防技術(shù)如何劃分安全域與安全接入?虛擬防火墻技術(shù)與xVPN技術(shù)如何實(shí)現(xiàn)內(nèi)容安全與數(shù)據(jù)防泄漏?云火墻與Ironport郵件安全、Web安全網(wǎng)關(guān)1245如何提高Session性能實(shí)效?

RealWorld性能，IPS硬件，SessionReputation3

一.防內(nèi)部木馬僵尸潛伏Anti-BotnetInfectedClientsASA5500Series掃描流量，端口，協(xié)議，惡意“回?fù)堋绷髁烤颈桓腥究蛻?hù)端，清除木馬僵尸流量MalwareCommand&ControlThreatProtection

BotnetTrafficFilteronASA5500Series監(jiān)控惡意流量掃描全部流量，端口和協(xié)議通過(guò)追蹤“回?fù)堋绷髁堪l(fā)現(xiàn)被感染的客戶(hù)端高準(zhǔn)確度每周識(shí)別超過(guò)10萬(wàn)惡意連接自動(dòng)DNS地址查詢(xún)與CSIO實(shí)時(shí)連動(dòng)InfectedClientsCiscoASACommand

andControlAnti-Malware二.防外部攻擊入侵–IPSGlobalCorrelation?2009CiscoSystems,Inc.Allrightsreserved.CiscoConfidential16EmpoweredBranchSensorBaseSIO更新協(xié)同:特征庫(kù)+全球信譽(yù)關(guān)聯(lián)

特點(diǎn):鑒別新增的威脅種類(lèi)增加安全團(tuán)隊(duì)的工作效率Internet攻擊者不在現(xiàn)在數(shù)據(jù)庫(kù)中…IPS檢查

signatures–

結(jié)果是可疑攻擊威脅確認(rèn)執(zhí)行阻斷ReportAttacktoSIO*下載全球威脅數(shù)據(jù)最新惡意攻擊信息更新未知攻擊者關(guān)聯(lián)信息:特征數(shù)據(jù)+全球威脅數(shù)據(jù)CiscoIPSServerClientCallManager全球協(xié)防--IPSGlobalCorrelation08:00GMT一個(gè)新惡意軟件正在澳大利亞被發(fā)現(xiàn)一個(gè)正在俄羅斯活躍的僵尸網(wǎng)絡(luò)正在廣泛的發(fā)送新內(nèi)容在韓國(guó)，一個(gè)病毒正在網(wǎng)絡(luò)上肆虐在佛羅里達(dá)，一個(gè)電腦黑客正在為主要的金融機(jī)構(gòu)發(fā)送探通08:15GMT所有的CiscoIPS用戶(hù)已經(jīng)被保護(hù)，免于以上威脅的攻擊

CollaborativeIPS遙感,全球一體化關(guān)聯(lián),

先發(fā)制人的保護(hù)CiscoIPS比其他IPS技術(shù)提前兩倍的時(shí)間發(fā)現(xiàn)威脅入侵,收集數(shù)十億全球范圍內(nèi)的數(shù)據(jù)點(diǎn)三.清理惡意Session，提高并發(fā)實(shí)效

RealWorld性能，IPS硬件，SessionReputationAccessControl

GranularPolicyforModernNetworksASA支持?jǐn)?shù)十萬(wàn)條策略能夠基于接口或全局設(shè)定策略強(qiáng)大的NAT引擎ProtocolInspection

PowerfulNetworkSecurityandControlsFragmentationandObscuredContentPiggybackedSessionsOverloadedSessionsSourceAddressVerificationSequenceRandomizationRetransmittedPacketsConnectionandEmbryonicLimitsSYNFloodProtectionChecksumTestingMalformedPacketsandStateChecksTCPWindowSizeAnomaliesSelectiveResetsandTimeoutsDeadConnections規(guī)避欺騙拒絕服務(wù)連接濫用Anti-EvasionAnti-SpoofingDenialofServiceProtectionAnti-ConnectionAbuse四.安全域隔離–ASA虛擬火墻MSFC

云火墻VRFVRFVRFVRFVRFVRFVFWVFWVFWVFWVFWVFW......安全區(qū)1安全區(qū)2安全區(qū)3(多個(gè)VLAN）安全區(qū)4安全區(qū)5安全區(qū)nServerInternet企業(yè)網(wǎng)基于身份的準(zhǔn)入控制xVPN工程師合作伙伴ASAASASW技術(shù)部經(jīng)理RBACDestinationSourceGroupsABCD策略認(rèn)證中心Cut-ThroughSSLVPNSSLVPNSSLVPN互聯(lián)網(wǎng)SSLVPN選擇DiverseEndpoint

SupportforGreater

Flexibility安全Rich,GranularSecurity

IntegratedIntothenetwork體驗(yàn)Always-onIntelligent

ConnectionforSeamless

Experienceand

PerformanceSecureMobility

WebSecuritywithNextGenerationRemoteAccessAcceptableUseAccessControlIntranetCorporateFileSharingAccessGrantedDataLossPreventionThreatPrevention解決方案:SecureMobility互聯(lián)網(wǎng)出口安裝ASA+WSA家庭咖啡店機(jī)場(chǎng)接入點(diǎn)INTERNET應(yīng)用企業(yè)托管SaaSNewsEmailAnyConnectClient接入設(shè)備社交網(wǎng)絡(luò)

FlexibleDelivery

Appliance,Cloud&HybridNewsEmailSocialNetworkingEnterpriseSaaSCiscoWebSecurityApplianceInformationSharingBetweenASAandWSACorporateADASAAnyConnectAnywhere+(TransitioningtoAnyConnect)思科下一代移動(dòng)安全解決方案永久在線自動(dòng)尋找最優(yōu)接入點(diǎn)自動(dòng)識(shí)別設(shè)備當(dāng)前所在的網(wǎng)絡(luò)區(qū)域應(yīng)用控制單點(diǎn)登錄五.內(nèi)容安全與數(shù)據(jù)防泄露ASA“云”火墻-URL、IP層面過(guò)濾IronPort網(wǎng)關(guān)–內(nèi)容層面過(guò)濾ContentFilterEmail內(nèi)容Email/Web策略制定ContentFilterWeb內(nèi)容ASA云火墻ESA（硬件網(wǎng)關(guān)）-Email安全硬件網(wǎng)關(guān)層面的郵箱防護(hù)*防垃圾，防病毒，防攻擊郵件的政策性管理*防泄密，備份等郵件相關(guān)應(yīng)用*營(yíng)銷(xiāo)郵件，業(yè)務(wù)通知*信用卡賬單，話費(fèi)賬單等郵件加密需求WSA（硬件網(wǎng)關(guān)）-Web安全上網(wǎng)行為管理上網(wǎng)加速緩存防毒墻思科信息安全架構(gòu)

信譽(yù)度郵件及Web安全Web安全

|Email安全

|安全管理

|

加密郵件安全網(wǎng)關(guān)互聯(lián)網(wǎng)安全網(wǎng)關(guān)安全管理設(shè)備SensorBase安全威脅數(shù)據(jù)庫(kù)應(yīng)用安全網(wǎng)關(guān)終端客戶(hù)阻擋來(lái)自互聯(lián)網(wǎng)絡(luò)的威脅保護(hù)企業(yè)信息資產(chǎn)與信息丟失防護(hù)集中安全管理與維護(hù)Internet郵件加密設(shè)備Internet客戶(hù)本地的設(shè)備用戶(hù)體驗(yàn)思科云火墻、Web云服務(wù)企業(yè)網(wǎng)絡(luò)云組件Web安全Email安全I(xiàn)PS入侵檢測(cè)7.0具有防木馬感染的ASA防火墻ASR1000的WebEx節(jié)點(diǎn)ISRG2可用服務(wù)模塊SRE思科AXP彈性應(yīng)用、

本地性能、安全法規(guī)遵從廣域網(wǎng)企業(yè)分支機(jī)構(gòu)

思科WebEx協(xié)同云全球協(xié)同郵件安全應(yīng)用云領(lǐng)先的實(shí)時(shí)安全情報(bào)中心日均50億次查詢(xún)量超過(guò)150個(gè)

Email與Web參數(shù)監(jiān)控全球近30%流量思科安全云服務(wù)網(wǎng)絡(luò)感知的云覆蓋Anyconnect移動(dòng)安全互聯(lián)Netflowv9異常流量監(jiān)控ScanSafe云服務(wù)數(shù)據(jù)庫(kù)SensorbaseCiscoASAIndustry’sMostProvenFirewallTrusted15+yearsofproveninnovationBroadportfolioofdevicesVersatile,multi-serviceplatformAdaptiveGranularpolicyenforcementIn-depthdefensefortoday’shighlycollaborativeenvironmentLeaderinsecurebusinessconnectivityCiscoAdaptiveSecurityAppliancesGranularAccessControlsAdvancedThreatProtectionSecureConnectivitySecureUnifiedCommunicationsComprehensiveManagementSummary：CiscoASA5500Series

ComprehensiveSolutionsfromBranchtotheDataCenterTeleworkerBranchOfficeInternet

EdgeASA5550

(1.2Gbps,

36Kconn/s)ASA5505

(150Mbps,

4KConn/s)CiscoASA5500:

BranchtotheDataCenterDataCenterASA5540

(650Mbps,

25Kconn/s)ASA5520

(450Mbps,

12Kconn/s)ASA5510

(300Mbps,

9Kconn/s)ASA5580-20

(5-10Gbps,

90Kconn/s)ASA5580-40(10-20Gbps,150Kconn/s)CampusCiscoASA5500PlatformsFWSM*

(5Gbps)*PIXfeatureset新產(chǎn)品發(fā)布：CiscoASA5585為數(shù)據(jù)中心設(shè)計(jì)的下一代防火墻高性能高可部署性高安全性業(yè)界最快的連接建立速度最多的VPN數(shù)目業(yè)界最優(yōu)的防火墻、入侵防御和VPN的整合云智能安全永久在線的遠(yuǎn)程訪問(wèn)部署靈活領(lǐng)先的性能密度領(lǐng)先的能耗比CiscoASA5500SeriesPortfolio

ComprehensiveSolutionsfromSOHOtotheDataCenterMulti-Service

(Firewall/VPNandIPS)PerformanceandScalabilityDataCenterCampusBranchOfficeSOHOInternetEdgeASA5585SSP-60

(35Gbps,350Kcps)ASA5585SSP-40

(20Gbps,200Kcps)ASA5585SSP-20

(10Gbps,125Kcps)ASA5585SSP-10

(4Gbps,50Kcps)ASA5540

(650Mbps,25Kcps)ASA5520

(450Mbps,12Kcps)ASA5510

(300Mbps,9Kcps)ASA5505

(150Mbps,4Kcps)ASA5550

(1.2Gbps,36Kcps)ASA5580-20

(10Gbps,90Kcps)ASA5580-40

(20Gbps,150Kcps)NEWNEWNEWNEWFirewallandVPNAppliance議程思科安全無(wú)邊界網(wǎng)絡(luò)架構(gòu)外聯(lián)業(yè)務(wù)安全——思科云火墻解決方案內(nèi)網(wǎng)業(yè)務(wù)安全——思科攻擊定位與響應(yīng)解決方案問(wèn)與答InfectedHost內(nèi)部網(wǎng)絡(luò)的復(fù)雜性安全監(jiān)控與響應(yīng)的挑戰(zhàn)ActionSteps:AlertInvestigateMitigate網(wǎng)絡(luò)運(yùn)營(yíng)安全運(yùn)營(yíng)SecurityKnowledge-Base總是太遲FirewallIDS/IPSVPNVulnerability

ScannersAuthentication

ServersRouter/SwitchAntivirus10KWin,

100sUNIXCollectNetworkDiagramReadandAnalyzeTONSofData…Repeat

=LogsandAlerts真實(shí)的攻擊導(dǎo)致出現(xiàn)大量的獨(dú)立警告事件實(shí)時(shí)停止威脅傳播保護(hù)公司資產(chǎn)如何快速準(zhǔn)確定位與響應(yīng)

安全攻擊發(fā)生在……思科GlobalCorrelationIPS

ChangingNetworkIPStoGlobalIPS效率2倍于傳統(tǒng)僅基于簽名的IPS精確度信譽(yù)分析的引入大幅降低誤報(bào)率及時(shí)比傳統(tǒng)基于簽名的IPS快100倍以上對(duì)最新型的攻擊開(kāi)始攔截HarnessingthePowerofCiscoSecurityIntelligenceOperationsResultsAveragedOverTwoWeekPeriodinPre-releaseDeploymentsCiscoSensorBaseThreatOperationsCenterDynamicUpdatesSecurityInfrastructureThatDynamicallyProtectAgainsttheLatestThreatsThrough:TheMostComprehensiveVulnerabilityandSenderReputationDatabaseAGlobalTeamofSecurityResearchers,Analysts,andSignatureDevelopersDynamicUpdatesandActionableIntelligenceCiscoSecurityIntelligenceOperations思科安全智能運(yùn)營(yíng)中心CSIOCiscoSensorBaseThreatOperationsCenterDynamicUpdatesPoweredbyGlobalCorrelationCiscoIntrusionPreventionSystem

更精確的實(shí)時(shí)威脅防御智能檢測(cè)技術(shù)ManagementandOperations靈活、安全的平臺(tái)動(dòng)態(tài)防護(hù)應(yīng)用保護(hù)CiscoSecurityIntelligenceOperations(SIO)方便的部署至現(xiàn)有網(wǎng)絡(luò)

EasyIntegrationintoanyNetworkTopologyVirtualSensorsInlineOn-A-StickFlexibledeploymentInlineorout-of-bandInline“on-a-stick”

?NorewiringofthenetworkLoweroperationalcostsVirtualsensors

?Deviceconsolidation ?PolicyflexibilityMixed-modedeployment

?Inlineandout-of-bandPreventFutureAttacksDashboardRSSfeedsinformoperatorsofwidespreadthreatsOver150customizablereporttemplateskeepoperatorsuptodateonthreatsReportsinclude“attacksprevented”and“malwarediscovered”SeetheThreatPowerfuleventfilteringandcustomizablecolorcodingreducesnetworknoiseIPS事件管理

ReportingandEventManagementHastenResponseCS-MARSreportviewIPSManagerExpress(IME)dashboardUnderstandtheThre