客戶(hù)背景
自1953年陳賡從戰火紛飛的朝鮮戰場(chǎng)被召回創(chuàng )建中國人民解放軍軍事工程學(xué)院(簡(jiǎn)稱(chēng)“哈軍工”)以來(lái)，哈爾濱工程大學(xué)已經(jīng)走過(guò)了半個(gè)多世紀的輝煌歷程。從創(chuàng )建起就是國家重點(diǎn)建設對象的哈工程，目前已經(jīng)發(fā)展成了以“三海一核”(船舶工業(yè)、海軍裝備、海洋開(kāi)發(fā)、核能應用)為主體，擁有本科專(zhuān)業(yè)50個(gè)，碩士學(xué)位授權點(diǎn)93個(gè)，博士學(xué)位授權點(diǎn)25個(gè)，博士后科研流動(dòng)站11個(gè)的綜合性大學(xué)。相信在“大工至善、大學(xué)至真”校訓的指引下，弘揚光榮傳統，堅持“三海一核”辦學(xué)方略，哈爾濱工程大學(xué)必將在未來(lái)取得更加輝煌的成績(jì)。
客戶(hù)網(wǎng)絡(luò )環(huán)境
作為一所國家重點(diǎn)建設的現代化綜合性大學(xué)，哈工程已經(jīng)全面實(shí)現了教學(xué)、科研計算機網(wǎng)絡(luò )化的應用與管理，其校園網(wǎng)建設的特點(diǎn)在于：
1、網(wǎng)絡(luò )建設起點(diǎn)高，采用當前國際先進(jìn)的萬(wàn)兆骨干網(wǎng)，全部采用光纖連接，出口帶寬理論上可達千兆;
2、校園網(wǎng)信息點(diǎn)覆蓋廣，是典型的大規模復雜網(wǎng)絡(luò )，校園網(wǎng)全面覆蓋教學(xué)、科研、圖書(shū)館、后勤、學(xué)生宿舍，服務(wù)對象廣泛，并全面實(shí)現校內辦公自動(dòng)化，實(shí)IP地址達到8000多個(gè)，網(wǎng)絡(luò )節點(diǎn)超過(guò)10000個(gè)，網(wǎng)絡(luò )用戶(hù)高達30000余人;
3、網(wǎng)絡(luò )結構規范、清晰，網(wǎng)絡(luò )設備先進(jìn)，便于管理;
4、雙出口，實(shí)現了與CERNET、INTERNET的互聯(lián);
5、雙核心，可實(shí)現冗余備份和負荷分擔，保證網(wǎng)絡(luò )的穩定運行;
6、已建好IPv6的基礎環(huán)境，可隨時(shí)采用最新網(wǎng)絡(luò )技術(shù)。
以下是哈爾濱工程大學(xué)校園網(wǎng)絡(luò )拓撲圖：
復雜巨型系統的脆弱性
1、由網(wǎng)絡(luò )規模擴大帶來(lái)的脆弱性
由于結構復雜、地理位置廣泛、節點(diǎn)眾多、部門(mén)分割等諸多因素都在加重管理成本，而管理人員、設備又不不能無(wú)節制的擴張，因此網(wǎng)絡(luò )的復雜性地提升將使其可管理性呈幾何級數下降。
2、由網(wǎng)絡(luò )的隱性出口導致的脆弱性
復雜巨系統網(wǎng)絡(luò )的規模的第一個(gè)關(guān)聯(lián)反映是沒(méi)有辦法確保信息出口的唯一性，龐大的網(wǎng)絡(luò )使每個(gè)節點(diǎn)都可能成為數據交換的原點(diǎn)。通過(guò)撥號上網(wǎng)、優(yōu)盤(pán)、移動(dòng)硬盤(pán)，光盤(pán)等方式導致向網(wǎng)絡(luò )內部進(jìn)行信息傳遞的情況比較普遍。使得網(wǎng)絡(luò )外部的病毒和攻擊能夠繞過(guò)一般的防范措施滲透進(jìn)入網(wǎng)絡(luò )系統內部，對系統信息安全造成危害。
3、由網(wǎng)絡(luò )帶寬增加帶來(lái)的脆弱性
由于哈爾濱工程大學(xué)網(wǎng)絡(luò )帶寬較大，主干達到萬(wàn)兆，出口理論上可達千兆，桌面接入速度為百兆，并且隨著(zhù)網(wǎng)絡(luò )基礎設備建設投入的增加，帶寬還在進(jìn)一步提高。一旦內部節點(diǎn)出現問(wèn)題，如對外的病毒掃描或DDoS攻擊等，就有可能對網(wǎng)絡(luò )核心層造成強大壓力。同時(shí)，一般的安全設備則已經(jīng)無(wú)法在這樣一個(gè)高速運行的網(wǎng)絡(luò )上進(jìn)行有效的網(wǎng)絡(luò )病毒和攻擊的監控過(guò)濾。
4、游離節點(diǎn)眾多而帶來(lái)的脆弱性
哈爾濱工程大學(xué)組織機構龐大，人員眾多，組成復雜，既包括大量的學(xué)生、教師;也包括了很多相對獨立的科研人員、后勤人員和行政管理人員。這些人都有可能是校園網(wǎng)的使用者，很難形成統一的行政管理制度來(lái)約束各種網(wǎng)絡(luò )用戶(hù)的使用行為和習慣，因此很多網(wǎng)絡(luò )節點(diǎn)處于不可控的游離狀態(tài)，而這些游離節點(diǎn)的數量巨大，不收斂，使這些游離節點(diǎn)處于不可管理狀態(tài)。
以上這些原因導致復雜巨系統網(wǎng)絡(luò )的可控性下降，安全脆弱性上升，同時(shí)網(wǎng)絡(luò )的安全形勢面臨著(zhù)嚴峻挑戰。
客戶(hù)網(wǎng)絡(luò )安全需求分析
據統計，全球安全事件的94%都與病毒相關(guān)。經(jīng)過(guò)20多年的發(fā)展，目前網(wǎng)絡(luò )病毒成為了病毒的主流形態(tài)，它的傳播不再局限于一種方式，而是通過(guò)多種多樣的方式傳播，很多病毒都是集大成者，一個(gè)病毒就能完成RPC攻擊，管理員口令猜測，DDOS攻擊，信息竊取，木馬駐留，共享攻擊，停止防毒軟件……。而且一旦網(wǎng)絡(luò )病毒爆發(fā)，它也不再僅僅是破壞正常文件，而常常是導致網(wǎng)絡(luò )癱瘓、機密信息丟失，危害越來(lái)越嚴重。
作為有軍工背景的全國重點(diǎn)大學(xué)—哈爾濱工程大學(xué)，保證網(wǎng)絡(luò )的暢通和涉密項目資料的安全是其最需要考慮的部分。經(jīng)過(guò)與哈爾濱工程大學(xué)校園網(wǎng)的管理者和用戶(hù)的深入交流，并根據以上對其大規模復雜網(wǎng)絡(luò )特點(diǎn)和安全現狀的分析，安天專(zhuān)家與哈工程相關(guān)領(lǐng)導一致認為，其信息系統的安全建設目標應集中為：
1、保證涉密節點(diǎn)的安全性
2、保證科研相關(guān)節點(diǎn)的穩定性
3、保證日常辦公網(wǎng)絡(luò )的暢通性
4、對于安全事件具有可追溯性
5、對于終端桌面實(shí)現集中管理
6、對于游離節點(diǎn)具有隔離能力
7、網(wǎng)絡(luò )具有快速恢復能力。
哈工程大規模巨型網(wǎng)絡(luò )安全解決思想
1、統一監控，有效響應
對于復雜巨系統網(wǎng)絡(luò )，不可能像傳統安全模型那樣采用靜態(tài)隔離法達到安全，其根本上是要達到一個(gè)動(dòng)態(tài)的應用與安全的平衡。對于這種大型不可控網(wǎng)，首先要肯定病毒和其他安全威脅在的無(wú)法避免，因此，我們應該重點(diǎn)考慮以下幾個(gè)方面：
(1)大規模病毒疫情爆發(fā)前能夠做到預警
(2)大規模病毒已經(jīng)爆發(fā)和其他安全事件產(chǎn)生后的準確定位。
(3)獲得宏觀(guān)層面觀(guān)測,網(wǎng)絡(luò )上病毒疫情和安全全景視圖的能力
(4)獲得盡可能多的可控節點(diǎn)的數量
(5)獲取對不可控節點(diǎn)的偵控和反映能力。
(6)快速有效的形成整體安全策略
鑒于上述需求，我們在網(wǎng)絡(luò )出口處部署了全球首款骨干網(wǎng)絡(luò )病毒監控設備VDS，實(shí)現了高速、高效、實(shí)時(shí)的出口級檢測，并能通過(guò)網(wǎng)絡(luò )行為對未知病毒實(shí)現預判、預警。VDS以旁路方式接入網(wǎng)絡(luò )，不會(huì )影響網(wǎng)絡(luò )速度，率先解決了現有安全設備不能在網(wǎng)絡(luò )條件下進(jìn)行高速準確檢測病毒的全球性難題，是目前唯一能夠應用于電信級骨干網(wǎng)絡(luò )的病毒監控設備。
此外，安天提供VDS 客戶(hù)端模塊(L模塊)實(shí)現海量用戶(hù)節點(diǎn)授權保護。L模塊系統包括病毒掃描查殺、病毒監控、主機防火墻、主機IDS、安全配置優(yōu)化，安全消息通告等環(huán)節。
2、分布防御
我們將工程大學(xué)的重要數據區、各教學(xué)樓、重要辦公區和多媒體教學(xué)區按不同的安全級別分成不同的安全區域，針對不同的安全區域的具體情況，采取不同的安全措施。最終使用安天主機保護系統(服務(wù)器版和工作站版)和VDS(L模塊)實(shí)現了對各區域節點(diǎn)的有效管理。
圖1：哈爾濱工程大學(xué)校園網(wǎng)子網(wǎng)劃分情況示意圖
3、集中管理
為了對網(wǎng)內所有安全環(huán)節進(jìn)行集中管理，安天在用戶(hù)主交換機處接入安天安全管理中心(ASOC)，采用專(zhuān)屬硬件設備接入網(wǎng)絡(luò )，管理員通過(guò)web即可實(shí)現對系統的管理。ASOC具有設備和節點(diǎn)管理、病毒庫升級分發(fā)、終端系統網(wǎng)絡(luò )狀態(tài)監控和管理、病毒及網(wǎng)絡(luò )事件統計、流量統計、全網(wǎng)分析報表等功能。
安全管理中心同時(shí)對VDS和安天主機保護系統進(jìn)行管理，實(shí)現安全策略和病毒庫分發(fā)以及信息匯總。通過(guò)安天安全管理中心，網(wǎng)絡(luò )管理員可以了解到網(wǎng)內計算機的當前狀態(tài)，匯總各終端中的病毒疫情和安全態(tài)勢，并且對網(wǎng)絡(luò )上所有計算機進(jìn)行統一升級，全面保護信息系統的高可用性，保障各支撐系統和業(yè)務(wù)系統高效、穩定的運行。從而做到有效的統一管理。
圖2：安天校園網(wǎng)安全解決方案網(wǎng)絡(luò )拓撲示意圖
實(shí)施效果評估
經(jīng)過(guò)實(shí)踐論證，本方案在不改變原有網(wǎng)絡(luò )結構和帶寬的基礎上實(shí)現了多種信息安全，保障了哈爾濱工業(yè)大學(xué)校內網(wǎng)絡(luò )的安全，達到了以下幾個(gè)目標：
1、VDS提供了強大的實(shí)時(shí)檢測功能，便于網(wǎng)絡(luò )管理員第一時(shí)間了解網(wǎng)絡(luò )中的病毒感染情況,提供實(shí)時(shí)的病毒紀錄，使得用戶(hù)要求快速高效查毒殺毒的需求得以滿(mǎn)足。
2、對網(wǎng)絡(luò )數據以線(xiàn)速實(shí)時(shí)進(jìn)行惡意代碼特征匹配，全面監測各種蠕蟲(chóng)病毒、惡意代碼與攻擊行為，可發(fā)現未知病毒，并快速告警。
3、保護脆弱的服務(wù)，通過(guò)過(guò)濾不安全的服務(wù)，防火墻可以極大地提高網(wǎng)絡(luò )安全和減少子網(wǎng)中主機的風(fēng)險。
4、可以檢測蠕蟲(chóng)病毒的傳輸，還可以檢測它們的掃描與攻擊行為，并提供了多種形式的病毒排行榜，可以方便快捷地檢測蠕蟲(chóng)病毒的各種行為。例如，在檢出次數排行榜中又包括了掃描攻擊排行榜、郵件蠕蟲(chóng)排行榜以及其他蠕蟲(chóng)和其他病毒排行榜等等。
5、提供集中的統一安全管理，管理員可以通過(guò)管理控制臺對內部和外部用戶(hù)指定統一的安全策略。
6、提供強大的安全日志記錄和統計，管理員可以通過(guò)各種安全日志對網(wǎng)絡(luò )進(jìn)行實(shí)時(shí)監控和統計分析，及時(shí)發(fā)現網(wǎng)絡(luò )的各種安全事件。
聯(lián)系客服
