單位局域網(wǎng)系統(tǒng)建于2000年，屬組網(wǎng)靈活的星型交換網(wǎng)結(jié)構，自建成至現(xiàn)在已經(jīng)多年。聯(lián)網(wǎng)使用終端399臺左右，覆蓋到了總部機關部室、專業(yè)室和部分生產(chǎn)車間作業(yè)現(xiàn)場，公司網(wǎng)絡技術已整體遷移為可控、可在線檢測和故障診斷和可網(wǎng)管的網(wǎng)絡。

隨著網(wǎng)絡終端計算機的不斷增加以及局域子網(wǎng)的拓展，網(wǎng)絡應用的不斷深入、拓廣，單位運轉(zhuǎn)對網(wǎng)絡的依賴度越來越高，對網(wǎng)絡的安全穩(wěn)定運行提出了更高要求，而計算機網(wǎng)絡的安全是多層次立體攻防系統(tǒng)工程，其安全的實效性取決于安全這個“木桶”中的“短板”。這些網(wǎng)絡安全的“短板”包括諸如物理安全威脅（自然災害、電磁輻射、操作失誤和意外產(chǎn)生的系統(tǒng)掉電、系統(tǒng)崩潰）、操作系統(tǒng)的安全缺陷、網(wǎng)絡協(xié)議的安全缺陷、應用軟件的實現(xiàn)缺陷、用戶使用的缺陷和惡意程序(防病毒、木馬和惡意代碼）等六個方面的安全威脅。單位網(wǎng)絡系統(tǒng)在安全方面橫比較強，縱比也在提高，但離網(wǎng)絡安全的完整性和有效性還有一段距離。目前，總部網(wǎng)絡安全方面主要作了防毒、應用級口令和權限控制、部分網(wǎng)絡蠕蟲隔離、非法接入控制、網(wǎng)絡控制監(jiān)測以及行政制度強制管理等，網(wǎng)絡安全運行效果明顯，但其中網(wǎng)關防毒、入侵檢測和防御、上網(wǎng)內(nèi)容取證相對薄弱或不具備，靠手工排查手段耗時耗力，及時性和精準性難予保證，為逐步完善計算機網(wǎng)絡信息安全體系，保障網(wǎng)絡長周期安全運行，當前有必要對下列安全及相關需求予以分析實現(xiàn)：

1.由于實現(xiàn)網(wǎng)關防毒和入侵防御，將設備接在主出口通道可實現(xiàn)，因此其穩(wěn)定性和包處理能力是關鍵。

2.IP與MAC綁定設計

除單位原系統(tǒng)各部及1#樓網(wǎng)絡終端計算機IP與MAC的已綁定外，其余未實現(xiàn)綁定，可通過UTM或安全審計技術設備實現(xiàn)對2#樓及相關單位的PC的IP與MAC綁定。對臨時使用或外來的PC可采取臨時帳戶管理的方式進行有效管理。

3.通過安全審計設備實現(xiàn)對病毒和入侵的有效過濾和管理。

4.單位內(nèi)部的上網(wǎng)行為可進行有效控制，同時針對上網(wǎng)以及外部攻擊進行有效記錄和審計，針對設定的敏感信息進行報警提示。

5.網(wǎng)絡影響較大的BT下載，可通過集團UTM或本地安全審計設備系統(tǒng)的應用，采取禁止或限制流量的方法實現(xiàn)有效管理。

6.內(nèi)部PC出口寬帶可根據(jù)用戶需求設置各IP的網(wǎng)絡出口帶寬以有效管理。

7.機房教學輔助管理可采用多媒體電子教室軟件，實現(xiàn)教員機對學員機的廣播、監(jiān)控、語音教學等操作，輔助員完成電腦及業(yè)務軟件的學習和操作使用。

網(wǎng)絡系統(tǒng)安全技術路線及其方案

網(wǎng)絡安全系統(tǒng)技術路線：

根據(jù)目前及今后一段時期網(wǎng)絡安全設備技術本身發(fā)展情況和趨勢，減少網(wǎng)絡安全成本和代價，減輕為網(wǎng)絡安全產(chǎn)生的維護量，走網(wǎng)絡全方位集成安全智能化技術路線，管理手段和技術手段并重，逐步增強網(wǎng)絡安全系統(tǒng)本身的可控性和有效性，為單位業(yè)務的生產(chǎn)經(jīng)營及其信息化應用提供良好的網(wǎng)絡安全支撐平臺和服務。

1.網(wǎng)絡安全設備系統(tǒng)選擇要求

網(wǎng)絡安全設備系統(tǒng)選擇要求：

性能上至少滿足500內(nèi)網(wǎng)終端快捷安全透明訪問任何可上網(wǎng)站；主流病毒的網(wǎng)關防護；防火墻功能；入侵檢測和防御；預留VPN和虛擬主機功能；2#樓增量終端IP與MAC綁定認證；詳實分類日志記錄審計和內(nèi)容過濾；移動監(jiān)測機網(wǎng)絡可疑事件預警；應用及流量控制等。另外，須具國家相關安全機構認證許可書；

根據(jù)統(tǒng)一威脅檢測防御和網(wǎng)絡安全審計技術目前發(fā)展狀況，單位試用了多種品牌的安全設備和軟件。結(jié)合市場調(diào)研和近一月的試用情況，綜合有關安全設備功能性能表現(xiàn)，及其發(fā)展服務、價格、目前需求滿足度等因素，擬確定兩種組合方案 備 選：FORTIGATE400A+FORTIANALYZER 100B和網(wǎng)御1000+安全審計軟件。

2.網(wǎng)絡安全設備系統(tǒng)拓樸結(jié)構示意圖

本次擬配置實施的UTM/AMM安全網(wǎng)關系統(tǒng)置于集團三層交換與單位主交換系統(tǒng)之間，對進出總公司的數(shù)據(jù)流進行自動安全檢測和報警，在病毒攻擊影響內(nèi)網(wǎng)的第一時間段定位發(fā)現(xiàn)和防御阻止非法操作及其惡果的產(chǎn)生。安裝連接示意圖如圖1。

圖1 單位安全網(wǎng)關系統(tǒng)拓樸圖

網(wǎng)絡工程量

本次網(wǎng)絡安全設備系統(tǒng)工程量內(nèi)容:現(xiàn)有網(wǎng)絡安全系統(tǒng)設備運行狀況的調(diào)查分析、網(wǎng)絡安全新技術和產(chǎn)品的市場調(diào)查和咨詢、試用、網(wǎng)絡安全系統(tǒng)方案的設計和編制、設備系統(tǒng)招標或議標采購、現(xiàn)場協(xié)調(diào)安裝和調(diào)試、安全數(shù)據(jù)采集和配置、后續(xù)安全特征代碼及軟件版本的升級服務，以及驗收等工作。

工程目標或效果

通過本次網(wǎng)絡安全系統(tǒng)的配置和設置，利用網(wǎng)絡安全新技術和產(chǎn)品，提升單位網(wǎng)絡系統(tǒng)整體安全性能，使網(wǎng)絡的安全運用有檢測手段和保障，網(wǎng)絡管理考核有章有據(jù)，網(wǎng)絡使用可靠和穩(wěn)定。本次配置至少滿足六年的網(wǎng)絡安全應用需求。最終確保網(wǎng)絡服務和應用完整、可用，網(wǎng)絡使用放心可靠，并逐步追求無損計算機網(wǎng)絡信息的秘密性。經(jīng)多年運行實證，達到了預期目的。