電視臺辦公網解決方案

安全需求分析

辦公網目前的安全需求主要來自于以下幾方面：

網絡出口安全設計？

DMZ區和數據中心大量服務器資源的安全保護？

內網終端接入的認證，對不同部門的服務器資源的訪問權限的設置

移動終端VPN接入后，如何進行安全認證、訪問權限設置？

如何及時對所有終端（移動和非移動）的系統補丁及病毒庫進行更新？

如何保障網絡出口帶寬的有效利用，保證電視臺數字電視、WEBTV（網絡電視直播）的有效開展？

因此，針對以上需求，我們提供IPS入侵防御系統和EAD端點準入防御系統可以很好幫助電視解決這些安全問題。

IPS深度安全防御和帶寬管理

電視臺的出口安全設計，建議在出口處配置防火墻的同時，配置IPS入侵防御系統，因為單一的防火墻方案已經不能滿足電視臺對安全的要求，主要原因包括：越來越多的安全威脅來自電視臺內部，記者便攜機的普及使得移動辦公得到大量的普及，計算機終端不斷的在電視臺內網和外網兩個環境間進行漫游，很容易造成網絡威脅從外網進入內網，從而在內網進行傳播。另外由于VPN技術的普及，使得電視臺內網無限擴展，更加大了威脅進入內網的機會。由于防火墻以抵御外部攻擊為主要目標，對于內部網絡產生的安全問題，防范不足；對于應用層攻擊、復合攻擊，防火墻力不從心。目前由各種蠕蟲、病毒、應用層攻擊技術和EMAIL、移動代碼結合形成了復合攻擊手段，以直接攻擊報社核心采編服務器和應用為主，會給報社帶來了重大損失；同時隨著報社P2P應用和MSN、QQ等即時通信軟件的普及，電視寶貴帶寬資源被無關業務流量浪費，形成巨大的性能威脅。這些威脅大部分都能夠穿透防火墻，防火墻基于TCP/IP 3層和4層的訪問控制對于基于應用的攻擊威脅無法識別。對緊急發生的安全問題無法及時響應。越來越多的病毒和蠕蟲基于網絡來傳播，有了網絡這個介質，可以威脅傳播速度很快，以SQL Slammer為例，10分鐘內，SQL Slammer感染了全球90％的有漏洞的計算機。如果網絡對于這些威脅不能識別，不能在其傳播擴散的通路上進行阻截，純粹依靠人工手動的打補丁、升級防病毒軟件、在防火墻上設置ACL，根本無法抑制這些蠕蟲病毒的大規模泛濫。

針對防火墻的以上不足，需要有新的安全設備與之配合，這就是IPS――入侵防御系統，IPS可以完成防火墻所不能提供的深度內容分析和攻擊檢測和防范的能力。HAYSUN的SecPath IPS產品自2002年發布以來，已迅速成為提供基于網絡的入侵防御系統的領先廠商。SecPath的入侵防御系統能夠阻止蠕蟲、病毒、木馬、拒絕服務攻擊、間諜軟件、VOIP攻擊以及點到點應用濫用。通過深達第七層的流量偵測，SecPath的入侵防御系統能夠在發生損失之前阻斷惡意流量。利用SecPath提供的數字疫苗服務，入侵防御系統能得到及時的特征、漏洞過濾器、協議異常過濾器和統計異常過濾器更新從而主動地防御最新的攻擊。電視臺的DMZ區和數據中心都有大量的服務器資源需要保護，所以我們建議在DMZ區域和數據中心區域的出口處，都配置一臺SecPath IPS防御系統，以保護我們重要的服務器資源。同時，電視臺的數字電視、網絡電視(WEBTV)等業務的開展需要對電視寶貴的出口帶寬進行有效的管理，為防止大量的P2P、IM流量侵占帶寬，HAYSUN的SecPath IPS產品支持對100多種點到點應用的限速功能，保證關鍵應用所需的帶寬。

EAD端點準入防御系統設計

HAYSUN EAD方案包括下面4個組件：HAYSUN安全客戶端，安全聯動設備，HAYSUN CAMS安全策略服務器，第三方病毒服務器和補丁服務器。

通過上面四個組件的聯動，可以實現下面五個功能：

1、檢查：對接入網絡的用戶端點計算機進行安全檢查，可以根據安全策略檢查端點用戶計算機的操作系統版本、補丁和防病毒軟件的版本。

2、隔離：對于不符合公司安全策略的計算機將強制隔離到一個安全免疫區里。

3、修復：在安全免疫區，端點計算機可以升級防病毒軟件、打操作系統補丁，只有修復后滿足公司安全策略的計算機才可以最終接入網絡

4、監控：EAD安全客戶端還可以在用戶使用網絡的過程中對用戶的行為進行監控，一旦發現行為異常，將立即對端點進行隔離。

5、而上面過程可以在HAYSUN安全策略服務器統一部署下自動化完成，極大的提高了網絡的主動防御能力。

 通過 部署EAD端點防御系統，可以很好地幫助電視臺的辦公網解決以下幾方面的安全問題：

? 　對內網終端用戶：進行身份認證和安全檢查，以警告或者強制方式進行系統補丁和病毒庫的升級

? 　對VPN接入終端：電視臺的記者出差或者移動辦公時，當通過VPN接入后，也需要進行身份認證和安全檢查。

? 　安全權限下發(ACL策略和VLAN分配）：無論對內網終端用戶還是VPN接入的終端用戶，在通過身份認證和安全檢查后，都可以根據自己的賬號得到相應的安全訪問權限和VLAN分配，從而只能訪問相應的網絡資源。

?  建立良好的系統補丁及病毒升級庫更新流程，每個終端都能夠及時地更新病毒庫和升級系統補丁，很大程度上保護生產網受到來自病毒的威脅。

存儲系統設計

在辦公網，電視臺的企業門戶網站和開展網絡電視（WEBTV)、開始數字電視應用都需要存儲的大量音視頻資料。HAYSUN的Neocean IX1000和IX3000存儲系統充分利用辦公網以太網平臺，采用IP-SAN存儲架構，具備良好的可擴展性、兼容性和性能價格比。非常適合電視臺辦公網的存儲系統。

智能管理中心設計

對于電視臺，不論在生產網還是辦公網，由于涉及到設備類型較多，有網絡設備、安全設備、存儲設備和大量服務器，因此對整網設備統一管理的需求很明顯，除了對基礎網絡的管理，同時隨著電視臺不斷發展，電視臺也面臨對網絡資源的管理和對基礎接入管理的管理需求和難題。針對電視臺的管理需求和難題，我們推薦采用HAYSUN智能管理中心（HAYSUN Intelligent Management Center，以下簡稱：HAYSUN iMC）。HAYSUN iMC是HAYSUN憑借多年網絡管理產品的研發經驗和對網絡管理的深刻理解，推出了新一代的網絡管理產品，HAYSUN  iMC以業務管理和業務流程模型為核心，采用面向服務（SOA）的設計思想，按需裝配的組件化結構，為客戶提供網絡業務、資源和用戶的融合管理解決方案，幫助客戶實現網絡業務的端到端管理。

HAYSUN iMC可以幫助電視臺實現如下三方面管理：

     基礎網絡管理：

        管理界面簡單易操作，提高維護的效率

        開放網絡平臺，支持多類型多廠家設備（交換機、路由器、安全設備、存儲系統、服務器）的統一管理

        了解全網的拓撲結構

        設備故障報警和流量異常告警

        網絡流量和性能監控和瓶頸分析

        監控服務器資源和進程監控

        VPN管理，實現對IPSec+L2TP VPN、SSL VPN的統一管理，融合端點安全、用戶接入和應用分析。

       網絡資源管理：

              全網實施ACL管理、VLAN管理、QoS管理，以幫助電視臺真正實現區域管理、安全控制管理。

       基礎接入管理：

               通過部署EAD端點防御系統，實施接入用戶管理，如身份認證、訪問權限控制等等，全面實現全網接入管理。

通過部署HAYSUN iMC ，能夠直接面向電視臺管理需求，從根本上解決電視臺多業務融合管理的問題，不但能確保電視臺業務的正常開展，更能不斷滿足電視臺未來的發展。