華為典型安全場(chǎng)景解決方案

華為安全部署場(chǎng)景及解決方案華為等保解決方案設(shè)計(jì)思想1安全管理中心2通信網(wǎng)絡(luò)防護(hù)3安全邊界防護(hù)4計(jì)算環(huán)境防護(hù)核心信息資產(chǎn)邊界安全防護(hù)邊界已知威脅全面防護(hù)未知威脅深度防護(hù)計(jì)算環(huán)境安全防護(hù)主機(jī)安全應(yīng)用安全數(shù)據(jù)安全安全管理中心統(tǒng)一管理集中審計(jì)安全態(tài)勢(shì)感知通信網(wǎng)絡(luò)安全防護(hù)傳輸信息加密可信接入保護(hù)物理環(huán)境建設(shè)“一個(gè)中心”管理下的“三重防護(hù)”體系園區(qū)安全解決方案Internet辦公區(qū)研發(fā)區(qū)生產(chǎn)區(qū)內(nèi)部服務(wù)器區(qū)DMZ區(qū)ASGASG財(cái)務(wù)區(qū)NIPUSGUSGUSGWAFUSG方案說明在網(wǎng)絡(luò)出口部署USG防火墻，對(duì)Internet進(jìn)行第一層隔離防護(hù)，F(xiàn)ireHunter旁路部署對(duì)未知威脅進(jìn)行檢測(cè)，與NGFW聯(lián)動(dòng)對(duì)未知威脅進(jìn)行攔截在DMZ區(qū)域部署專業(yè)的NIP設(shè)備，防止外部用戶和內(nèi)部對(duì)DMZ區(qū)服務(wù)器的各種攻擊，包括跨站攻擊、SQL注入等。在核心交換機(jī)上旁路部署SVN設(shè)備，對(duì)遠(yuǎn)程訪問內(nèi)網(wǎng)數(shù)據(jù)流進(jìn)行加密，保證數(shù)據(jù)傳輸安全。針對(duì)企業(yè)內(nèi)部不同區(qū)域的重要程度，需要在重要的區(qū)域前端部署USG設(shè)備，將給區(qū)域進(jìn)行有效的安全隔離。另外，在WEB服務(wù)器前端建議部署WAF應(yīng)用防火墻攔截針對(duì)WEB應(yīng)用的攻擊。分支機(jī)構(gòu)USG上下游合作伙伴…SVNSVN堡壘機(jī)USGFireHunterExecutiveR&DDMZMKT互聯(lián)網(wǎng)出口訪客/網(wǎng)吧區(qū)…市場(chǎng)研發(fā)行政數(shù)據(jù)中心園區(qū)接入運(yùn)維管理區(qū)安全產(chǎn)品典型部署場(chǎng)景互聯(lián)網(wǎng)出口數(shù)據(jù)中心園區(qū)接入運(yùn)維管理區(qū)防護(hù)網(wǎng)絡(luò)層威脅抗DDoS攻擊設(shè)備下一代防火墻(含IPS、防病毒)未知威脅檢測(cè)沙箱防護(hù)網(wǎng)絡(luò)層\應(yīng)用\主機(jī)層威脅Web防火墻IPS設(shè)備（或下一代防火墻）防護(hù)網(wǎng)絡(luò)層\主機(jī)層威脅網(wǎng)絡(luò)準(zhǔn)入控制主機(jī)防病毒管理安全日志審計(jì)運(yùn)維審計(jì)大數(shù)據(jù)安全分析NGFW抗DDoS沙箱NGFWNGFWNGFW運(yùn)維審計(jì)大數(shù)據(jù)安全分析主機(jī)殺軟終端安全管理WAFIPS分支接入InternetNGFW分支接入防護(hù)網(wǎng)絡(luò)層\主機(jī)層威脅下一代防火墻（VPN、安全審計(jì)）DB審計(jì)日志審計(jì)園區(qū)勒索病毒防護(hù)方案FilesResultsNGFW本地沙箱類型華為H3C山石啟明天融信深信服360本地沙箱有無無有，弱有無有，弱云沙箱有無有無無有無防火墻與沙箱聯(lián)動(dòng)有無無無無無無國(guó)內(nèi)唯一，小型化自動(dòng)閉環(huán)APT方案！未知病毒檢測(cè)：沙箱檢測(cè)未知新型勒索病毒自動(dòng)閉環(huán)阻斷：防火墻同步沙箱檢測(cè)結(jié)果，自動(dòng)閉環(huán)阻斷勒索病毒的內(nèi)網(wǎng)擴(kuò)散分支互聯(lián)安全解決方案Internet（IPSECVPN）

總部SVN分支機(jī)構(gòu)分支機(jī)構(gòu)分支機(jī)構(gòu)USGUSGUSG方案說明分支與總部之間、分支機(jī)構(gòu)與分支結(jié)構(gòu)之間通過USG防火墻設(shè)備進(jìn)行安全互聯(lián)，機(jī)構(gòu)之間的數(shù)據(jù)傳輸通過IPSecVPN技術(shù)進(jìn)行加密，保證數(shù)據(jù)傳輸?shù)陌踩?。同時(shí)在USG設(shè)備上開啟AV反病毒和IPS入侵防御功能，對(duì)網(wǎng)絡(luò)攻擊進(jìn)行有效地防御，防止病毒在分支和總部之間的傳播、防止垃圾郵件泛濫等安全，還能夠有效地防范網(wǎng)絡(luò)中面臨的各種應(yīng)用層攻擊。對(duì)于移動(dòng)辦公的需求，可以通過SSLVPN對(duì)傳輸數(shù)據(jù)進(jìn)行加密，防止數(shù)據(jù)被竊取或篡改SSLVPN遠(yuǎn)程接入

USGVPN網(wǎng)關(guān)會(huì)自動(dòng)探測(cè)IPSec隧道質(zhì)量，根據(jù)探測(cè)結(jié)果動(dòng)態(tài)切換到高質(zhì)量的IPSec隧道支持安全+Wlan+LTE款型小型分支多合一安全網(wǎng)關(guān)部署挑戰(zhàn)創(chuàng)新網(wǎng)絡(luò)質(zhì)量不穩(wěn)定的地區(qū)，如偏遠(yuǎn)山區(qū)VPN鏈路作為專線備份，鏈路質(zhì)量要求高總部和分支都有多個(gè)公網(wǎng)出口價(jià)值保障IPSec隧道質(zhì)量，減少網(wǎng)絡(luò)穩(wěn)定性對(duì)業(yè)務(wù)流量造成的影響確保分支和總部之間始終使用滿足高質(zhì)量的IPSec隧道通信在IPSec足夠穩(wěn)定安全的情況下，可減少偏遠(yuǎn)地區(qū)對(duì)專線租用的依賴。Internet總部分支VPNAVPNBISP1ISP2分支多出口場(chǎng)景方案優(yōu)勢(shì)：可對(duì)接24+以上公安網(wǎng)監(jiān)平臺(tái)用戶上下線的日志通過ASG來發(fā)送給后臺(tái)系統(tǒng)，AC只需把用戶上下線的信息同步到ASG，無需和后臺(tái)系統(tǒng)對(duì)接分支無線非經(jīng)方案前端系統(tǒng)后臺(tái)系統(tǒng)（公安）XX地市業(yè)務(wù)中心（公共無線管控平臺(tái)）ASGAgileControllerWLANAC

FTP+BCP方式上傳審計(jì)數(shù)據(jù)（用戶上網(wǎng)日志、用戶網(wǎng)絡(luò)虛擬身份軌跡）

同步場(chǎng)所信息、設(shè)備信息場(chǎng)所信息、設(shè)備信息、安全廠商信息

命令配置到ASG

信息同步信息同步FTP+BCP方式上傳審計(jì)數(shù)據(jù)（用戶終端上下線日志）123456管理中心InternetUSGUSGWAFUSGUSG核心業(yè)務(wù)區(qū)WEB服務(wù)器應(yīng)用服務(wù)器數(shù)據(jù)災(zāi)備區(qū)USGUSGNIPNIP方案說明在互聯(lián)網(wǎng)出口，雙機(jī)部署USG防火墻對(duì)數(shù)據(jù)中心進(jìn)行隔離防護(hù)，同時(shí)部署NIP入侵防御設(shè)備，阻斷外界對(duì)數(shù)據(jù)中心的應(yīng)用層攻擊,旁路部署FireHunter沙箱對(duì)未知威脅進(jìn)行檢測(cè)。在數(shù)據(jù)中心的管理區(qū)，部署USG或NIP設(shè)備，阻斷各層面對(duì)管理區(qū)的威脅，部署UMA堡壘機(jī)對(duì)運(yùn)維行為進(jìn)行監(jiān)控和審計(jì)；在數(shù)據(jù)中心內(nèi)部，按照不同區(qū)域的重要程度進(jìn)行分區(qū)，對(duì)重要的分區(qū)，如核心業(yè)務(wù)區(qū)，應(yīng)用服務(wù)器區(qū)等，配置USG實(shí)現(xiàn)安全的區(qū)域隔離，同時(shí)在這些區(qū)域，開啟IPS功能，阻止對(duì)這些重要區(qū)域的攻擊行為，保證這些業(yè)務(wù)的安全DDoS管理中心非核心業(yè)務(wù)區(qū)…USG堡壘機(jī)eLogFireHuntereSight數(shù)據(jù)中心安全解決方案華為二級(jí)等保解決方案日志審計(jì)系統(tǒng)辦公用戶辦公用戶網(wǎng)絡(luò)邊界區(qū)WEB服務(wù)器E-mail服務(wù)器NGFW管理區(qū)堡壘機(jī)NGFWAPT沙箱NGFW數(shù)據(jù)庫(kù)服務(wù)器ISP2ISP1服務(wù)器區(qū)辦公區(qū)NGFWIDS紅色字體：安全設(shè)備公眾用戶遠(yuǎn)程辦公分支機(jī)構(gòu)、辦事處WAFIPS華為三級(jí)等保解決方案基礎(chǔ)版日志審計(jì)系統(tǒng)辦公用戶辦公用戶網(wǎng)絡(luò)邊界區(qū)DDoS檢測(cè)中心DDoS清洗中心抗DDoS管理WEB服務(wù)器E-mail服務(wù)器NGFW管理區(qū)網(wǎng)絡(luò)管理平臺(tái)堡壘機(jī)NGFWAPT沙箱NGFW數(shù)據(jù)庫(kù)服務(wù)器ISP2ISP1服務(wù)器區(qū)辦公區(qū)NGFWWAFIPS紅色字體：等保設(shè)備公眾用戶遠(yuǎn)程辦公分支機(jī)構(gòu)、辦事處IPSWAFSSLVPNSSLVPNIPS華為三級(jí)等保解決方案高級(jí)版數(shù)據(jù)庫(kù)審計(jì)網(wǎng)絡(luò)邊界區(qū)DDoS檢測(cè)中心DDoS清洗中心抗DDoS管理WEB服務(wù)器E-mail服務(wù)器NGFW管理區(qū)網(wǎng)絡(luò)管理平臺(tái)堡壘機(jī)終端安全管理NGFW漏洞掃描日志審計(jì)系統(tǒng)APT沙箱防病毒網(wǎng)關(guān)NGFW數(shù)據(jù)庫(kù)