中铁十一局内部资料

降低IT业务风险、优化IT资产价值----网络基础方案介绍深信服科技易兆平目录公司介绍网络基础方案概述产品介绍代理商介绍业务内容供应商深信服……Internet设施供应商最大的前沿网络设备供应商基础设施供应商上网行为管理IPSecVPNSSLVPN下一代应用防火墙深信服产品应用交付应用性能管理广域网优化上网优化网络优化网络安全市场占有率继续提高200831.1%200934%201036.4%Source:Frost&Sullivan上网行为管理市场占有率200933.8%201040%Source:IDCChina应用交付目录公司介绍网络基础方案概述产品介绍代理商介绍•缺乏：1、L2-L7立体完整的防护手段2、以业务流程视角审视IT服务的交付过程连通VPN冗余架构设计防止泄密安全管理终端杀毒Web安全传统网络安全建设模式弊端新的问题又会出现纵向防护、横向隔离纵向防护（单一业务）根据业务系统的不同组成部分，划分出数据中心、网络接入、终端三个层次在每个层次部署对应L2-L7安全技术和产品，实现端到端的L2-L7安全防护横向隔离（多种业务）根据不同业务之间的内容敏感度、安全风险不同，划分为多个安全级别针对每个级别提供端到端的虚拟隔离手段，虚拟桌面、虚拟网络、虚拟服务器核心业务服务器安全防护网络接入安全防护终端安全防护纵向防护横向隔离普通业务上网业务移动接入业务纵向端到端防护漏洞防护应用防护DDoS防护访问控制应用权限漏洞防护内容病毒上网行为管理带宽保障网络链路数据中心终端身份认证终端检测数据数据备份L2～L7层深度安全防御IP/MAC绑定、防止ARP攻击、等二层安全技术L3基于ACL的访问控制和隔离技术，基于IPSec的加密技术L4基于状态的访问控制和隔离，基于synProxy的DDoS防护L5内容防护：病毒、恶意代码、恶意URL过滤技术Web应用防护：SQL注入、跨站脚本、Webshell、口令爆破等威胁防护漏洞防护：基于攻击特征的系统漏洞、服务器/终端漏洞、网络漏洞防护SSLVPN：实现应用访问权限控制，检测业务身份安全性应用管理与审计：1200+应用控制与内容审计，防止文件外发基础安全状态检测应用识别内容识别威胁识别L6L7NGAFSSLVPNIPSWAFAVACL2横向端到端隔离虚拟桌面技术：在终端上将多业务进行风险隔离安全沙盒：在PC上虚拟出多个桌面，实现各种资源权限的隔离与控制；远程应用发布：Easycon在移动终端上提供应用画面的展示，无法获取实际数据，防止文件泄密；虚拟网络VPN：在网络上将多业务进行风险隔离IPSec/SSLVPN：在网络上提供加密传输通道，实现网络层业务划分与隔离广域网局域网新浪、百度三级业务二级业务一级业务Internet移动业务Internet数据中心虚拟桌面虚拟专用网络VPN虚拟服务器安全沙盒远程应用发布横向端到端隔离：内网业务真实计算机默认桌面基本文档处理系统登录认证SD上网安全桌面互联网业务VSP核心业务Internet研发、生产业务OA业务互联网资源SD价值：风险隔离1、隔离外网风险2、保护终端安全3、保护内网安全4、简单易用VSP价值：防泄密1、机密数据外发拦截2、移动存储设备阻断3、访问痕迹/文件消除4、简单易用Internet终端服务器SSLVPN网关应用服务器键盘、鼠标应用图像移动终端：EasyconnectEasycon价值：跨平台快速部署1、现有应用无需二次开发，快速部署2、数据本地不留存，与SSLVPN完美融合3、带宽要求低30Kbps，适合移动终端4、简单易用，支持单点登录横向端到端隔离：移动接入业务问题表现访问速度慢•打开页面速度慢•业务提交速度慢•数据查询速度慢业务不稳定•经常性不能访问•突然性访问中断•偶然性数据丢失链路负载均衡SANGFORAD提供出站、入站双向链路负载均衡•入站负载：智能DNS选路•出站负载：DNS透明代理•链路健康检测：所有的用户引导到仍然可以对外提供服务的链路上•静态、动态负载算法：链路使用率最大化提供最快访问链路，保障用户入站选路静、动态负载算法ISP1ISP2出站选路动态链路探测链路健康检查SANGFORAD提供链路健康检查机制•SANGFORAD通过多个Internet站点的可达性，来共同判断一条链路的状况•内置多种协议TCP、UDP、ICMP、HTTP等•支持用户自定义，基于内容的链路健康检测机制•一旦链路出现问题，立即切换。保障应用交付的稳定性ISP1ISP2动态链路探测目录公司介绍网络基础方案概述产品介绍NGAF下一代防火墙SSLVPN+EasyconnectAC第二代上网行为管理AD应用交付代理商介绍NGAF下一代防火墙20下一代防火墙NGAF状态检测路由VPNNAT攻击防范智能报表应用识别10G性能用户识别NGAF：更加完整的安全防护网络安全可视化应用管控全面应用安全单次解析构架智能风险审计应用识别流量管控非法业务阻断核心业务带宽保障OA合法业务带宽限制应用安全防护URL过滤灰度威胁识别灰度威胁关联分析引擎多核并行处理统一签名统一策略报文一次匹配潜在威胁漏洞防护恶意代码病毒防护行为追踪上传云端应用防护日志应用管控日志网络安全日志用户分析报表智能关联分析报表身份认证NAT/路由抗攻击状态检测可替代传统防火墙/VPN、IPS所有功能，实现内核级智能联动，简化部署丰富的用户与应用识别能力确保安全策略更精细、更可视NGAF：更加精细的应用安全控制NGAFNGAF：先进的应用状态检测技术支持多种应用协议，H323/SIP/H248/RTSP/ICMP/FTP/PPTP/NBT等路由支持：静态路由、策略路由、RIPv1/v2、OSPF、BGPNAT：一对一、多到一、多到多、H.323/SIPNAT穿越应用路由功能：基于应用类型选路公司总部内部网络办事处应用访问控制列表只允许内网发起的各种访问禁止外网发起的各种访问NGAF：全面的攻击防范24Flood类攻击扫描探测•SYNFlood•UDPFlood•ARPFlood•ICMPFlood•…•PortScan•IPScan•Tracert•…协议异常•Smurf•PingofDeath•TearDrop•Land•…基于状态的防护基于协议的防护探测&扫描防护IPS入侵防护25IPS入侵防护多核并行技术威胁关联分析技术应用DDoS防护5G性能us延迟虚拟补丁库2200+应用内容检测分析引擎掉电保护BypassWAF：Web应用防护事后响应事中防护事前自检SystemData网页防篡改扫描过程防敏感信息泄露安全策略自检服务器漏洞检测攻击过程破坏过程Web应用防火墙基于事件周期的Web防护AV防病毒网关27AV防病毒网关多核并行处理技术Sophos全球及时更新每周更新2次以上20万+病毒库4G性能5种常规协议解析流检测引擎SSLVPN+EasyConnect28SSLVPNEasyConnect更安全易管理更易用移动终端跨平台兼容性好更快速市场占有率第一SSLVPN：端到端更安全身份安全•支持多达8种认证方式，支持认证方式的灵活组合•多重密码安全保障终端安全•沙盒技术•防中间人攻击•客户端安全检查•SSL专线•客户端零痕迹传输安全•标准加密算法•国密加密算法应用权限安全•角色授权、URL级别授权•主从账号绑定•服务器地址伪装、应用隐藏审计安全•独立日志中心•日志中心管理员权限分级SSLVPN：更易用的解决方案•零客户端、零配置，管理维护量小•页面定制便利，打造专属应用平台管理员•完整支持Windows、Linux、MACOS、iOS、安卓等主流操作系统，完整支持IE、Firefox、Opera、Safari、Chrome等浏览器•远程应用发布•虚拟门户•B/S、C/S应用单点登录•文件共享Web化用户Internet终端服务器SSLVPN网关应用服务器键盘、鼠标应用图像移动终端：EasyconnectEasycon价值：跨平台快速部署1、现有应用无需二次开发，快速部署2、数据本地不留存，与SSLVPN完美融合3、带宽要求低30Kbps，适合移动终端4、简单易用，支持单点登录EasyCon远程应用发布模拟鼠标键盘本地输入法映射服务器集群负载与权限控制单点登录认证方式多样EasyConnect特点AC上网行为管理第一品牌33AC第二代上网行为管理识别能力最强安全桌面永不中毒网上速度更快10G性能市场占有率第一管理更智能SANGFORAC功能带宽管理多线路流控用户/组流控应用流控网站流控文件流控应用授权网站访问言论发布文件传输邮件收发IM/P2P等应用控制与提醒报表分析独立数据中心统计/对比/趋势风险智能报表数据挖掘与分析内容快速检索日志权限Key安全防护终端安全检查网络准入控制过滤脚本、插件危险流量封堵查杀木马、病毒行为记录网站访问外发言论SSL加密应用邮件、文件收发IM聊天等行为免审计Key传统互联网风险隔离手段•1、千万级的矛VS百万级的盾•权威机构检测到病毒种类为千万级，而众多杀毒产品的病毒库最多仅为百万级；同样，互联网的恶意网址达到35亿之多，而常见的web安全网关的恶意网址库仅为千万级。•2、超前的矛VS滞后的盾•病毒库和补丁的更新总是滞后于病毒和漏洞的发现，如：2010年极光漏洞发现二十多天后，微软才推出升级补丁。•3、物理隔离部署成本高、易用性差•多套终端系统导致投入成本翻倍，运维工作量增大；•在物理隔离下，用户同一时间只能访问一个网络，而两个网络的数据无法共享，导致工作效率低，易用性差。第二代AC上网安全桌面SD访问互联网第二代AC：SD让终端永不中毒上网安全桌面带来的价值•1、上网无忧：防止PC中毒•在上网安全桌面，病毒只存在虚拟的桌面，无法达到本机，退出安全桌面后，一切还原干净桌面。•2、业务无忧：防止被动泄密•在安全桌面上网时，无法访问到本机桌面重要文件和内网系统，实现了内外网的隔离，从而避免了感染木马病毒后，PC上机密文件被盗取、业务系统被入侵的风险。•3、使用无忧：轻松切换桌面•上网安全桌面与本机桌面使用习惯完全相同，通过任务栏和顶部菜单，在桌面间切换轻松，设立的专用安全目录，便于文件导出。•4、管理无忧：策略统一下发•IT管理员通过网关处的上网行为管理设备向终端安全桌面统一下发网络和数据访问权限策略，实现了终端安全的统一管理，简单方便。第二代AC：上网内容优化图片视频文字URL•屏蔽与工作无关网络内容，封堵带宽滥用•提供工作效率规范上网行为提升工作效率•相同资源（图片、视频等）从SG缓存中提取•节省成本，留存带宽流量削减30%用户速度明显提升业务资讯网站娱乐八卦网站数据深信服AD链路负载均衡用户发起访问链路健康检查负载算法分配报表统计分析SANGFORAD提供入站链路负载均衡•通过在域名注册提供商处修改域名NS记录，SANGFORAD设备获得域名解析权•静态就近性：根据LocalDNS所属运营商的地址返回IP，内置全球地址库，实时动态更新•动态就近性：通过综合考虑与LocalDNS之间的跳数（Hops）、网络延迟（Latency）和链路的实时负载（Load），准确计算出最佳路径。ISP1ISP2入站负载——智能DNSLocalDNSROOTDNSUser判断LocalDNS所属运营商返回对应IP地址给LocalDNS返回NS记录出站负载——智能NAT静、动态负载算法ISP1ISP2根据目标网络进行智能NATSANGFORAD提供出站链路负载均衡•SANGFORAD接收到内网的访问流量后，通过预先设定链路负载策略将用户访问流量分配到不同的互联网链路之上。•静态就近性：根据目标网络进行NAT，内置全球地址库，实时动态更新•动态就近性：通过综合考虑与目标网络之间的跳数（Hops）、网络延迟（Latency）和链路的实时负载（Load），准确计算出最佳路径。•其他负载算法：轮询、加权轮询、加权最小连接、加权最小流量、Hash等。目录