English日本語
随着四川省公安信息化建设的急剧发展，信息化利用在公安机关进攻犯罪、守护社会不变中阐扬着不成代替的沉要作用，各项公安业务工作对公安信息网的依赖水平日益加深，公安信息网已成为四川省各级公安机关和宽大民警履职尽责的沉要工具。公安信息网在阐扬巨大作用的同时，自身安全也变得越来越沉要。公安信息网一旦遭到攻击和犯法入侵，不仅风险公安信息网和信息资源的安全，影响公安工作的正７⒄，同时也会给国度利益和国度安全带来严沉威胁。
为了应对各类安全风险，保险公安网络及其信息资源的安全，四川省公安选用了沙巴的全系安全产品来为其提供全面靠得住的安全保险。
安全域划分
凭据IATF的纵深防御思想和IA准则，并结合四川省公安信息网络的现实情况，沙巴对整个网络进行了安全域划分：将整个网络划分为天堑接入域、推算环境域、网络设施域和支持设施域四个安全域(如图1)，每个安全域又分为分歧的安全区，譬如凭据接入的近况，将天堑接入域划分为表联网接入区、内部接入区、内联网接入区和天堑接入平台四个分歧的接入区。
图1 IATF安全域模型
在这四个安全域中，所面对的风险微风险的风险水平是各不一样的，因而防护的沉点也不一样，必要凭据每个安全域的特点，造订相应的安全战术，部署相应的安全产品。
天堑接入域：网络天堑的综合安全防护
天堑接入域所面对的重要威胁蕴含非授权接见，来自表部的入侵、蠕虫病毒等，因而在天堑接入域上必要采取接见节造(防火墙)、安全远程接入(VPN)、防病毒和网络入侵防御等多种安全防护措施，全面应对网络安全风险。
图2：天堑接入域表联接入区的安全数署
针对天堑接入域的防护需要，在天堑接入域各接入区的天堑地位部署天清汉马USG一体化安全网关提供综合的安全防御(如图2)。
天清汉马USG一体化安全网关是国内当先的UTM产品，市场份额在07、08年陆续两年位居国内厂商之首。天清汉马USG除具备防火墙的状态检测和接见节造职能表，还具备VPN、网关防病毒、网络入侵防御(IPS)、抗回绝服务(DoS)攻击等高级安全个性，可能为网络天堑提供立体化的纵深防御，并大大简化网络天堑的安全数署。天清汉马USG选取了高机能的硬件架构和一体化的软件设计，在开启多种安全防护个性之后，依然可能确保高机能和低延长，可谓是天堑防御的梦想之选。
推算环境域：主题业务的安全防御和合规保险
推算环境域蕴含了公安信息网中主题的业务平台和业务服务器，其所面对的重要威胁是表界对利用系统的攻击和入侵行为，尤其是SQL注入攻击和跨站剧本 (XSS)攻击对Web业务系统所带来的严沉风险;另表，针对内部人员越权、滥用、操作失误和诡辩等行为所带来的安全风险，也必要进行积极的防备。
图3：推算环境域服务器区的安全数署
以主题推算域主题服务器区的防护为例，针对表部的攻击和入侵行为，通过部署千兆天清NDP入侵防御系统(IPS)来提供深层防御(如图3)。天清 IPS能够防御传统防火墙发现不了的4-7层深层攻击行为，如缓冲溢出、木马后门、蠕虫病毒等，可能进一步提升对关键业务和数据的防御能力。针对日益泛滥的SQL注入攻击、跨站剧本攻击等Web攻击行为，天清IPS选取了攻击机理分析的检测技术，同传统的基于数据特点匹配和基于异常模型构建的检测方式相比，基于攻击机理分析的检测技术有着更低的漏报率和误报率，可能对Web攻击行为进行精确的判断和阻断，不会由于误警而影响网络的正常利用。
针对内部合规审计和治理的需要，通过部署沙巴天玥网络安全审计系统，做到对沉要数据库和关键业务利用的行为审计。天玥网络安全审计系统是针对业务环境下的网络操作行为进行细粒度审计的合规性治理系统。它通过对被授权人员和系统的网络行为进行解析、分析、纪录、汇报，可能援手用户实现事前规划预防，事中实时监控和违规响应，过后合规汇报和追踪回放，从而加强内表部网络行为监管、预防主题资产(数据库、服务器、网络设备等)损失、保险业务系统的正常运营。
网络设施域：网络行为和流量监控
网络设施域内的各类网络设备，承载着公安信息网内所有的业务和通讯流量，面对着缝隙利用、数据窃听、通讯链路故障等风险。除了通过各类措施保障备和链路的靠得住性，还必要对网络中的各类安全事务、网络流量的散布情况进行监测，并凭据监测到的信息来实时调整安全战术。
图4：网络基础设施域的安全数署
针对网络设施域的防护需要，在信息网的主题互换机上旁路部署天阗入侵检测系统(IDS)，来对全网的安全事务和流量信息进行监控(图4)。
沙巴的天阗IDS陆续六年(2003-2008年)蝉联IDS市场排名第一，是名副其实的中国IT安全市场入侵检测第一品牌。天阗IDS能够监督端口扫描、木马后门攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等各类入侵事务，并在产生严沉入侵事务时通过屏幕提醒、邮件告警、E-mail告警等多种方式向治理员提供报警;天阗IDS还能够对全网的流量情况进行全局分析，提供实时的流量统计图，援手网络治理员直观的把握网络中各类利用的散布情况。
支持设施域：脆弱性评估和内网安全
支持设施域领域很广，蕴含了信息网中所使用的业务利用运维系统、公秘钥系统、安全治理系统等各类支持系统。支持域所面对的风险重要有两方面，一是支持域中的各类终端、网络设备、服务器可能会存在缝隙和脆弱性，这些缝隙和脆弱性可能被犯法分子利用来进入内部网络，犯法获取内部信息资产;另一方面则来自于内部人员，员工的不规范操作、终端轻易接入、权限私下共享等行为，往往会导致传输泄密、网络瘫痪、文件粉碎等严沉后果。
图5：支持设施域治理运维区的安全数署
对于资产的脆弱性风险，通过在支持域中部署天镜脆弱性扫描和治理系统，能够急剧发现网络中的各类资产，并对资产进行鉴别;对网络中的主题服务器、各类终端、沉要的网络设备，蕴含服务器、互换机等进行安全缝隙检测和分析;对于发现的缝隙，给出建复建议和预防措施，并对风险节造战术进行有效审核，从而援手客户在弱点全面评估的基础上实现安全自主掌控。
对于内部人员风险，通过在业务和运维终端上部署天珣内网风险节造和安全治理系统，可能对全网的接入主机进行补丁自动分发和终端合规查抄，杜绝不安全的终端接入内网;使用天珣独有的内核加密技术，可实时动态加解密，以及基于用户角色的关键数据受控共享，结合美满的防犯法表联技术，可能有效堵截数据犯法传布蹊径，从底子上解决数据防泄密问题，；び没Ч丶畔⒆什。支持设施治理运维区的安全数署如图5所示。
幼结
沙巴占有齐全的安全产品线，涵盖了从天堑综合防御到服务器深层防御的安全防护类产品，从业务安全到终端安全的全流程安全审计类产品，从入侵检测、缝隙扫描到挂马监测的各类安全检测类产品，可能为客户提供全方位的安全保险。在四川省公安的案例中，沙巴的安全专家对用户的网络进行了安全域划分，明确了各安全域的防护需要和防护指标，并造订了各安全域的安全防护规划。在该规划中，沙巴的各类安全产品各司其职又相互加强，通过安全防护技术和安全治理伎俩的缜密结合，确保了用户的安全无盲点。
（起源：沙巴）
Copyright ? 沙巴 版权所有 京ICP备05032414号 
京公网安备11010802024551号
