网络安全设备功能及部署方式

XX主流安全设备概括防火墙入侵防御系统(IPS)防毒墙WEB应用防火墙(WAF)网闸上网行为管理防火墙•基本功能–地址转换–访问控制–VLAN支持–IP/MAC绑定–带宽管理（QoS）–入侵检测和攻击防御–用户认证–动态IP环境支持–数据库长连接应用支持–路由支持–ADSL拨号功能–SNMP网管支持–日志审计–高可用性•扩展功能–防病毒–VPN•IPSECVPN•PPTP/L2TP防火墙的网络地址映射Internet内网服务器的私有地址映射成公网IP隐藏内部网络的结构192.168.1.612.4.1.5202.102.1.3MAP192.168.1.2：80TO202.102.1.3：80MAP192.168.1.3：21TO202.102.1.3：21MAP192.168.1.4：53TO202.102.1.3：53MAP192.168.1.5：25TO202.102.1.3：25基于源IP地址基于目的IP地址基于源端口基于目的端口基于时间基于用户基于流量基于文件基于网址基于MAC地址防火墙与路由器类比路由器主要功能防火墙主要功能路由具有访问控制功能..防火墙是路由器访问控制功能的专业化产品防火墙的路由功能部分环境替代路由器防火墙的路由功能无法完全取代路由器的路由专业功能许多环境中防火墙与路由器同时存在承担各自主要功能访问控制具有路由功能.IPS在网络中的作用7•阻拦已知攻击（重点）•为已知漏洞提供虚拟补丁（重点）•速率或流量控制•行为管理安全域A安全域BIPSIPS可提供有效的、防火墙无法提供的应用层安全防护功能。但为了避免误报，IPS对未知攻击的防御能力几乎没有入侵防御系统(IPS)8入侵检测IDS入侵防御IPSIPSIDS在线，流量必须通过IPS旁路，通过镜像获得数据实时，其时延必须满足业务要求准实时，可接受秒级时延立刻影响网络报文对网络及业务无直接影响作用范围有限制监控范围广入侵防御系统(IPS)与入侵检测系统(IDS)IPS的部署独立部署InternetInternet数据系统办公区1办公区2NetworkTransportSessionPresentationApplicationHANetworkTransport防毒墙过滤垃圾邮件，病毒，蠕虫。可以针对重点网段进行深度的保护。一般部署在防火墙与服务器之间。专门的蠕虫库进行识别，同时还采用入侵防御（IPS）技术、IP/端口/数据包封锁技术，优化了蠕虫识别机制，不仅可以过滤已知蠕虫，还可以在未知蠕虫爆发时进行拦截。防毒墙的功能防毒墙主要功能专注病毒过滤阻断病毒体传输工作范围ISO2-7层识别数据包IP并还原传输文件运用病毒分析技术处置病毒体具有防火墙访问控制功能模块防火墙主要功能专注访问控制控制非授权访问工作范围ISO2-4层识别数据包IP对比规则控制访问方向不具有病毒过滤功能WEB应用防火墙(WAF)WAF是一款专门针对企业网站进行安全防护的产品。能够针对Web应用攻击提供更全面、更精准的防护，尤其对一些可以绕过传统防火墙和IPS的攻击方法，可以精准地阻断。正因如此，WAF可以对：数据盗窃、网页篡改、网站挂马、虚假信息传播、针对客户端的攻击等行为，提供完善的解决方案。WAF一般部署在web服务器的下一跳通常情况下，WAF放在企业对外提供网站服务的DMZ区域或者放在数据中心服务区域，也可以与防火墙或IPS等网关设备串联在一起（这种情况较少）。总之，决定WAF部署位置的是WEB服务器的位置。因为WEB服务器是WAF所保护的对象。部署时当然要使WAF尽量靠近WEB服务器。网页防篡改WEB加速DDOS攻击防护漏洞扫描敏感信息过滤WEB攻击防护状态监控告警WAF网站效能分析WAF的功能及作用•在线部署web服务器群交换机终端WAFInternetInternet网用户单位内网IP：124.124.124.1/27桥IP：124.124.124.2/27IP：12.12.12.10/23WAF的部署•旁路部署：服务器群交换机终端WAFInternetInternet网用户单位内网路由器WAF的部署网闸物理层面的网络安全隔离对网络地隔离是通过网闸隔离硬件实现两个网络在链路层断开，但是为了交换数据，隔离硬件在两个网络对应的硬件上进行切换，通过对硬件上的存储芯片的读写，完成数据的交换。防止已知与未知的木马程序通常见到的木马大部分是基于TCP的，木马在工作的时候客户端和服务器端需要建立连接，而安全隔离网闸由于使用了自定义的私有协议（不同于通用协议）。使得支持传统网络结构的所有协议均失效，从原理实现上就切断所有的TCP连接，包括UDP、ICMP等其他各种协议，使各种木马无法通过安全隔离网闸进行通讯。从而可以防止未知和已知的木马攻击。通过添加功能模块可以实现访问控制病毒查杀安全审计网闸的功能：1.内网主机系统收到数据，进行协议分离，安全检测，然后发送给隔离交换模块2.隔离交换模块断开彼此连接，连接内外网主机系统，内网主机系统写数据到交换缓冲区3.隔离交换模块断开内外网主机系统，彼此连接，进行通讯协商，完成数据交换4.隔离交换模块断开彼此连接，连接内外网主机系统，外网主机系统从交换缓存读取数据5.外网主机系统获取数据，进行数据重组，安全检测，与外网主机建立连接6.从外网往内网交换数据，工作流程相同1~5隔离交换模块内网主机系统外网主机系统可信任网络不可信任网络数据隔离交换的过程网闸与传统隔离设备的对比对比项目传统隔离设备安全隔离网闸硬件结构单主机“2+1”结构操作系统单一OS两主机系统各有独立OS协议处理采用在OSI协议栈的2-7层进行包过滤网闸采用自身定义的私有通信协议，避免了基于OSI7层模型攻击安全机制简单的进行包头检查综合了访问控制、内容过滤、抗攻击、硬件隔离等安全防护技术管理安全攻击者获得了管理权限，可调整防火墙的安全策略两主机系统分别有独立的管理接口，安全策略分别下达，不可能被控制网闸的部署位置上网行为管理上网行为控制，规范员工上网行为，提高工作效率强大的监控和审计，保护内部数据安全、防止机密信息泄漏流量控制和带宽管理，优化带宽资源的使用海量日志存储、丰富的报表功能，为组织决策提供最有效的数据支持该设备一般部署在网络的出口，对内部网络连接到互联网的数据进行采集，分析，和识别。实时记录内网用户的上网行为，过滤不良信息。并对相关的上网的行为，发送和接收的相关内容进行控制，存储，分析和查询。上网行为管理在网络中的作用流量监控日志审查统计用户管理行为管理上网行为管理功能产品功能备注应用控制基于数据包特征码的应用识别技术，识别超过300多种当前主流应用，定义所允许，禁止使用的某些应用(如p2p下载，p2p流媒体，IM软件，网络游戏，炒股软件等）。内容过滤对于常用的应用（如邮件，FTP)等的内容进行关键字的检测，对出现关键字的则进行过滤。网址控制用于定义所允许，禁止访问的网站，可以手动添加网址类型。网页搜索记录搜索的关键字，进行的控制可以是禁止，记录。应用审计分为即时通信审计，邮件发送审计，邮件接收审计，发帖审计流量控制控制用户，应用的流量，可以支持动态流量，静态流量的设置部署的位置上网行为管理网关管控端QQ：596***72无法登陆Internet总结防火墙===============访问控制与NAT入侵防御系统(IPS)======拦截已知的攻击防毒墙================专业过滤病毒WEB应用防火墙(WAF)===专业防护(web)安全网闸======通过硬件隔离网络，拦截未知的木马程序上网行为管理===========规范员工的上网行为