客戶背景
自1953年陳賡從戰(zhàn)火紛飛的朝鮮戰(zhàn)場被召回創(chuàng)建中國人民解放軍軍事工程學(xué)院(簡稱“哈軍工”)以來，哈爾濱工程大學(xué)已經(jīng)走過了半個多世紀(jì)的輝煌歷程。從創(chuàng)建起就是國家重點(diǎn)建設(shè)對象的哈工程，目前已經(jīng)發(fā)展成了以“三海一核”(船舶工業(yè)、海軍裝備、海洋開發(fā)、核能應(yīng)用)為主體，擁有本科專業(yè)50個，碩士學(xué)位授權(quán)點(diǎn)93個，博士學(xué)位授權(quán)點(diǎn)25個，博士后科研流動站11個的綜合性大學(xué)。相信在“大工至善、大學(xué)至真”校訓(xùn)的指引下，弘揚(yáng)光榮傳統(tǒng)，堅(jiān)持“三海一核”辦學(xué)方略，哈爾濱工程大學(xué)必將在未來取得更加輝煌的成績。
客戶網(wǎng)絡(luò)環(huán)境
作為一所國家重點(diǎn)建設(shè)的現(xiàn)代化綜合性大學(xué)，哈工程已經(jīng)全面實(shí)現(xiàn)了教學(xué)、科研計算機(jī)網(wǎng)絡(luò)化的應(yīng)用與管理，其校園網(wǎng)建設(shè)的特點(diǎn)在于：
1、網(wǎng)絡(luò)建設(shè)起點(diǎn)高，采用當(dāng)前國際先進(jìn)的萬兆骨干網(wǎng)，全部采用光纖連接，出口帶寬理論上可達(dá)千兆;
2、校園網(wǎng)信息點(diǎn)覆蓋廣，是典型的大規(guī)模復(fù)雜網(wǎng)絡(luò)，校園網(wǎng)全面覆蓋教學(xué)、科研、圖書館、后勤、學(xué)生宿舍，服務(wù)對象廣泛，并全面實(shí)現(xiàn)校內(nèi)辦公自動化，實(shí)IP地址達(dá)到8000多個，網(wǎng)絡(luò)節(jié)點(diǎn)超過10000個，網(wǎng)絡(luò)用戶高達(dá)30000余人;
3、網(wǎng)絡(luò)結(jié)構(gòu)規(guī)范、清晰，網(wǎng)絡(luò)設(shè)備先進(jìn)，便于管理;
4、雙出口，實(shí)現(xiàn)了與CERNET、INTERNET的互聯(lián);
5、雙核心，可實(shí)現(xiàn)冗余備份和負(fù)荷分擔(dān)，保證網(wǎng)絡(luò)的穩(wěn)定運(yùn)行;
6、已建好IPv6的基礎(chǔ)環(huán)境，可隨時采用最新網(wǎng)絡(luò)技術(shù)。
以下是哈爾濱工程大學(xué)校園網(wǎng)絡(luò)拓?fù)鋱D：
復(fù)雜巨型系統(tǒng)的脆弱性
1、由網(wǎng)絡(luò)規(guī)模擴(kuò)大帶來的脆弱性
由于結(jié)構(gòu)復(fù)雜、地理位置廣泛、節(jié)點(diǎn)眾多、部門分割等諸多因素都在加重管理成本，而管理人員、設(shè)備又不不能無節(jié)制的擴(kuò)張，因此網(wǎng)絡(luò)的復(fù)雜性地提升將使其可管理性呈幾何級數(shù)下降。
2、由網(wǎng)絡(luò)的隱性出口導(dǎo)致的脆弱性
復(fù)雜巨系統(tǒng)網(wǎng)絡(luò)的規(guī)模的第一個關(guān)聯(lián)反映是沒有辦法確保信息出口的唯一性，龐大的網(wǎng)絡(luò)使每個節(jié)點(diǎn)都可能成為數(shù)據(jù)交換的原點(diǎn)。通過撥號上網(wǎng)、優(yōu)盤、移動硬盤，光盤等方式導(dǎo)致向網(wǎng)絡(luò)內(nèi)部進(jìn)行信息傳遞的情況比較普遍。使得網(wǎng)絡(luò)外部的病毒和攻擊能夠繞過一般的防范措施滲透進(jìn)入網(wǎng)絡(luò)系統(tǒng)內(nèi)部，對系統(tǒng)信息安全造成危害。
3、由網(wǎng)絡(luò)帶寬增加帶來的脆弱性
由于哈爾濱工程大學(xué)網(wǎng)絡(luò)帶寬較大，主干達(dá)到萬兆，出口理論上可達(dá)千兆，桌面接入速度為百兆，并且隨著網(wǎng)絡(luò)基礎(chǔ)設(shè)備建設(shè)投入的增加，帶寬還在進(jìn)一步提高。一旦內(nèi)部節(jié)點(diǎn)出現(xiàn)問題，如對外的病毒掃描或DDoS攻擊等，就有可能對網(wǎng)絡(luò)核心層造成強(qiáng)大壓力。同時，一般的安全設(shè)備則已經(jīng)無法在這樣一個高速運(yùn)行的網(wǎng)絡(luò)上進(jìn)行有效的網(wǎng)絡(luò)病毒和攻擊的監(jiān)控過濾。
4、游離節(jié)點(diǎn)眾多而帶來的脆弱性
哈爾濱工程大學(xué)組織機(jī)構(gòu)龐大，人員眾多，組成復(fù)雜，既包括大量的學(xué)生、教師;也包括了很多相對獨(dú)立的科研人員、后勤人員和行政管理人員。這些人都有可能是校園網(wǎng)的使用者，很難形成統(tǒng)一的行政管理制度來約束各種網(wǎng)絡(luò)用戶的使用行為和習(xí)慣，因此很多網(wǎng)絡(luò)節(jié)點(diǎn)處于不可控的游離狀態(tài)，而這些游離節(jié)點(diǎn)的數(shù)量巨大，不收斂，使這些游離節(jié)點(diǎn)處于不可管理狀態(tài)。
以上這些原因?qū)е聫?fù)雜巨系統(tǒng)網(wǎng)絡(luò)的可控性下降，安全脆弱性上升，同時網(wǎng)絡(luò)的安全形勢面臨著嚴(yán)峻挑戰(zhàn)。
客戶網(wǎng)絡(luò)安全需求分析
據(jù)統(tǒng)計，全球安全事件的94%都與病毒相關(guān)。經(jīng)過20多年的發(fā)展，目前網(wǎng)絡(luò)病毒成為了病毒的主流形態(tài)，它的傳播不再局限于一種方式，而是通過多種多樣的方式傳播，很多病毒都是集大成者，一個病毒就能完成RPC攻擊，管理員口令猜測，DDOS攻擊，信息竊取，木馬駐留，共享攻擊，停止防毒軟件……。而且一旦網(wǎng)絡(luò)病毒爆發(fā)，它也不再僅僅是破壞正常文件，而常常是導(dǎo)致網(wǎng)絡(luò)癱瘓、機(jī)密信息丟失，危害越來越嚴(yán)重。
作為有軍工背景的全國重點(diǎn)大學(xué)—哈爾濱工程大學(xué)，保證網(wǎng)絡(luò)的暢通和涉密項(xiàng)目資料的安全是其最需要考慮的部分。經(jīng)過與哈爾濱工程大學(xué)校園網(wǎng)的管理者和用戶的深入交流，并根據(jù)以上對其大規(guī)模復(fù)雜網(wǎng)絡(luò)特點(diǎn)和安全現(xiàn)狀的分析，安天專家與哈工程相關(guān)領(lǐng)導(dǎo)一致認(rèn)為，其信息系統(tǒng)的安全建設(shè)目標(biāo)應(yīng)集中為：
1、保證涉密節(jié)點(diǎn)的安全性
2、保證科研相關(guān)節(jié)點(diǎn)的穩(wěn)定性
3、保證日常辦公網(wǎng)絡(luò)的暢通性
4、對于安全事件具有可追溯性
5、對于終端桌面實(shí)現(xiàn)集中管理
6、對于游離節(jié)點(diǎn)具有隔離能力
7、網(wǎng)絡(luò)具有快速恢復(fù)能力。
哈工程大規(guī)模巨型網(wǎng)絡(luò)安全解決思想
1、統(tǒng)一監(jiān)控，有效響應(yīng)
對于復(fù)雜巨系統(tǒng)網(wǎng)絡(luò)，不可能像傳統(tǒng)安全模型那樣采用靜態(tài)隔離法達(dá)到安全，其根本上是要達(dá)到一個動態(tài)的應(yīng)用與安全的平衡。對于這種大型不可控網(wǎng)，首先要肯定病毒和其他安全威脅在的無法避免，因此，我們應(yīng)該重點(diǎn)考慮以下幾個方面：
(1)大規(guī)模病毒疫情爆發(fā)前能夠做到預(yù)警
(2)大規(guī)模病毒已經(jīng)爆發(fā)和其他安全事件產(chǎn)生后的準(zhǔn)確定位。
(3)獲得宏觀層面觀測,網(wǎng)絡(luò)上病毒疫情和安全全景視圖的能力
(4)獲得盡可能多的可控節(jié)點(diǎn)的數(shù)量
(5)獲取對不可控節(jié)點(diǎn)的偵控和反映能力。
(6)快速有效的形成整體安全策略
鑒于上述需求，我們在網(wǎng)絡(luò)出口處部署了全球首款骨干網(wǎng)絡(luò)病毒監(jiān)控設(shè)備VDS，實(shí)現(xiàn)了高速、高效、實(shí)時的出口級檢測，并能通過網(wǎng)絡(luò)行為對未知病毒實(shí)現(xiàn)預(yù)判、預(yù)警。VDS以旁路方式接入網(wǎng)絡(luò)，不會影響網(wǎng)絡(luò)速度，率先解決了現(xiàn)有安全設(shè)備不能在網(wǎng)絡(luò)條件下進(jìn)行高速準(zhǔn)確檢測病毒的全球性難題，是目前唯一能夠應(yīng)用于電信級骨干網(wǎng)絡(luò)的病毒監(jiān)控設(shè)備。
此外，安天提供VDS 客戶端模塊(L模塊)實(shí)現(xiàn)海量用戶節(jié)點(diǎn)授權(quán)保護(hù)。L模塊系統(tǒng)包括病毒掃描查殺、病毒監(jiān)控、主機(jī)防火墻、主機(jī)IDS、安全配置優(yōu)化，安全消息通告等環(huán)節(jié)。
2、分布防御
我們將工程大學(xué)的重要數(shù)據(jù)區(qū)、各教學(xué)樓、重要辦公區(qū)和多媒體教學(xué)區(qū)按不同的安全級別分成不同的安全區(qū)域，針對不同的安全區(qū)域的具體情況，采取不同的安全措施。最終使用安天主機(jī)保護(hù)系統(tǒng)(服務(wù)器版和工作站版)和VDS(L模塊)實(shí)現(xiàn)了對各區(qū)域節(jié)點(diǎn)的有效管理。
圖1：哈爾濱工程大學(xué)校園網(wǎng)子網(wǎng)劃分情況示意圖
3、集中管理
為了對網(wǎng)內(nèi)所有安全環(huán)節(jié)進(jìn)行集中管理，安天在用戶主交換機(jī)處接入安天安全管理中心(ASOC)，采用專屬硬件設(shè)備接入網(wǎng)絡(luò)，管理員通過web即可實(shí)現(xiàn)對系統(tǒng)的管理。ASOC具有設(shè)備和節(jié)點(diǎn)管理、病毒庫升級分發(fā)、終端系統(tǒng)網(wǎng)絡(luò)狀態(tài)監(jiān)控和管理、病毒及網(wǎng)絡(luò)事件統(tǒng)計、流量統(tǒng)計、全網(wǎng)分析報表等功能。
安全管理中心同時對VDS和安天主機(jī)保護(hù)系統(tǒng)進(jìn)行管理，實(shí)現(xiàn)安全策略和病毒庫分發(fā)以及信息匯總。通過安天安全管理中心，網(wǎng)絡(luò)管理員可以了解到網(wǎng)內(nèi)計算機(jī)的當(dāng)前狀態(tài)，匯總各終端中的病毒疫情和安全態(tài)勢，并且對網(wǎng)絡(luò)上所有計算機(jī)進(jìn)行統(tǒng)一升級，全面保護(hù)信息系統(tǒng)的高可用性，保障各支撐系統(tǒng)和業(yè)務(wù)系統(tǒng)高效、穩(wěn)定的運(yùn)行。從而做到有效的統(tǒng)一管理。
圖2：安天校園網(wǎng)安全解決方案網(wǎng)絡(luò)拓?fù)涫疽鈭D
實(shí)施效果評估
經(jīng)過實(shí)踐論證，本方案在不改變原有網(wǎng)絡(luò)結(jié)構(gòu)和帶寬的基礎(chǔ)上實(shí)現(xiàn)了多種信息安全，保障了哈爾濱工業(yè)大學(xué)校內(nèi)網(wǎng)絡(luò)的安全，達(dá)到了以下幾個目標(biāo)：
1、VDS提供了強(qiáng)大的實(shí)時檢測功能，便于網(wǎng)絡(luò)管理員第一時間了解網(wǎng)絡(luò)中的病毒感染情況,提供實(shí)時的病毒紀(jì)錄，使得用戶要求快速高效查毒殺毒的需求得以滿足。
2、對網(wǎng)絡(luò)數(shù)據(jù)以線速實(shí)時進(jìn)行惡意代碼特征匹配，全面監(jiān)測各種蠕蟲病毒、惡意代碼與攻擊行為，可發(fā)現(xiàn)未知病毒，并快速告警。
3、保護(hù)脆弱的服務(wù)，通過過濾不安全的服務(wù)，防火墻可以極大地提高網(wǎng)絡(luò)安全和減少子網(wǎng)中主機(jī)的風(fēng)險。
4、可以檢測蠕蟲病毒的傳輸，還可以檢測它們的掃描與攻擊行為，并提供了多種形式的病毒排行榜，可以方便快捷地檢測蠕蟲病毒的各種行為。例如，在檢出次數(shù)排行榜中又包括了掃描攻擊排行榜、郵件蠕蟲排行榜以及其他蠕蟲和其他病毒排行榜等等。
5、提供集中的統(tǒng)一安全管理，管理員可以通過管理控制臺對內(nèi)部和外部用戶指定統(tǒng)一的安全策略。
6、提供強(qiáng)大的安全日志記錄和統(tǒng)計，管理員可以通過各種安全日志對網(wǎng)絡(luò)進(jìn)行實(shí)時監(jiān)控和統(tǒng)計分析，及時發(fā)現(xiàn)網(wǎng)絡(luò)的各種安全事件。
