证券内联网防火墙安全系统方案
证券内联网 防火墙安全系统方案 方正数码有限公司 2001年12月 1 北大方正集团、方正数码公司简介 8 2 网络证券业务分析 10 3 网络证券安全需求分析 13 3.1 安全性 13 3.2 高效性 14 3.3 可靠性 15 3.4 可伸缩性 15 3.5 易用性 15 3.6 完善的服务体制 16 4 安全系统结构 16 5 安全系统实施 19 5.1.1 主要应用服务的安全风险 22 5.1.2 网络中主要系统的安全风险 23 5.1.3 数据库系统安全分析 23 5.1.4 管理系统的安全风险 24 6 方正数码防火墙解决方案 24 6.1 本方案设计的原则和目标 24 6.2 防火墙选型 25 6.3 防火墙设置及工作模式 26 6.4 防火墙功能设置及安全策略 26 6.4.1 完善的访问控制 26 6.4.2 内置入侵检测（IDS） 27 6.4.3 代理服务 27 6.4.4 NAT地址转换 28 6.4.5 日志系统及系统报警 28 6.4.6 带宽分配，流量管理 28 6.4.7 集中管理 29 6.4.8 预制模板 29 6.4.9 系统升级 29 6.4.10 双机备份 30 6.4.11 防火墙方案特点 30 7 证券内联网防火墙安全需求及方案对照说明 31 7.1 内联网防火墙基本要求 31 7.2 证券内联网防火墙功能要求 33 7.2.1 必备功能 33 7.2.2 增强功能 36 7.3 防火墙性能 36 7.4 防火墙管理 38 8 证券内联网安全管理建议 39 8.1 整体思路 39 8.2 集中管理，统一规划 39 8.3 严格规章 安全教育 40 8.4 明确责任 技术培训 40 8.5 动态监控 专家咨询 41 9 证券内联网防火墙安全系统实施方案 42 9.1 合同签订阶段的工作实施 42 9.2 发货阶段的实施 43 9.3 到货后工作的实施 45 9.4 测试及验收 46 9.4.1 测试及验收描述 46 10 证券内联网防火墙系统培训 48 10.1 培训目标 48 10.2 培训课程 48 10.3 培训方式 48 10.4 培训时长 48 10.5 培训地点 48 10.6 培训人数 49 10.7 学员要求 49 11 方正方御防火墙技术支持与服务 50 11.1 方正数码绿色服务体系结构介绍 50 11.2 完善的技术支持与服务 52 11.2.1 售前服务内容 53 11.2.2 售前服务流程 54 11.2.3 售后服务内容 55 11.2.4 售后服务流程 56 11.3 服务方式 57 11.4 服务监督 57 12 方正方御防火墙成功案例 59 12.1 鞍山市商业银行应用案例 59 12.1.1 鞍山市商业银行需求分析 59 12.1.2 系统安全目的 60 12.1.3 安全体系结构 60 12.1.4 安全系统实施 60 12.2 沈阳建设银行安全应用实例 61 12.2.1 沈阳建设银行需求分析 61 12.2.2 系统安全目的 63 12.2.3 用户安全需求分析 63 12.2.3.1 安全性 63 12.2.3.2 高效性 63 12.2.3.3 可扩展性 64 12.2.3.4 易用性（管理控制） 64 12.2.3.5 完善的服务体制 64 12.2.4 安全体系结构 64 12.2.5 安全系统实施 66 12.3 部分方正方御防火墙客户名单 67 13 证券内联网防火墙安全子系统建设报价 70 14 方正数码联系方式 71 附录一：授权服务商名单 72 附录二：防御防火墙所获证书 77 附件三：资格证明文件 82 附录四：方正方御防火墙产品说明 87 产品概述 87 系统特点 88 防火墙功能说明 91 多种工作模式 91 包过滤防火墙 93 高效的过滤 93 碎片处理功能 94 防SYN Flood攻击 94 强大的状态检测功能 95 轻型/复杂IDS(入侵检测系统) 95 反端口扫描 95 可以防范20类1500余种攻击方式 96 在线升级和实时报警 98 入侵检测和防火墙的互动 99 双向NAT 99 带宽管理和流量统计 100 代理服务器功能 100 双机热备 101 强大的审计功能 101 基于PKI的高级授权认证 102 集中管理 102 实时控制和日志转存 102 灵活的配置方式 103 可视化配置 103 预置包过滤规则集 103 总结 103 北大方正集团、方正数码公司简介 北京北大方正集团公司是北京大学创建的高新技术企业。 [pic] 　　方正集团拥有３个控股的上市公司，方正（控股）有限公司、方正数码有限公司、 上海方正延中科技集团股份有限公司，17家独资、合资企业。员工总数约6000人，总资 产50亿元，2000年销售规模达101亿元。 　　1997年，方正集团已成为国家120家大型试点企业集团之一，国家首批６家技术创新 试点企业之一，国家重点支持的５家PC生产厂家之一。 　　创造科技与文明，是北大方正的一贯宗旨，集团坚持以人为本的宗旨，以创新为先 导，产、学、研结合，不断以优质产品和技术服务于社会。 方正数码有限公司（EC-Founder Co., Ltd.）是从事发展互联网应用技术及电子商务的软件技术公司。其业务专注于互联网安 全产品及网络安全服务等领域，是互联网时代的软件技术公司。 方正数码借助技术、研发方面的优势，借鉴世界上最先进的管理运作经验，定位于"电子 商务赋能者"（ e-commerce enabler），用不断创新的技术与优质的服务赋予客户新经济时代可持续发展的能力，帮 助政府、证券、金融、行业、企业、网站、电子商务的运营者运用先进技术和高效管理 手段在互联网时代健康发展，取得成功。 [pic] 方正数码有限公司的业务围绕在互联网安全技术应用、网络安全服务及网络安全知识管 理等主要领域，在技术开发、应用解决方案和运营服务方面为用户提供先进的网络安全 产品和技术。 为此方正数码推出SHARKS互联网安全解决方案。SHARKS解决方案是在深入的研究后， 提出的一套基于中国国情、全部自主开发、具有领先优势的解决方案。它是一套整体的 集群平台，可以解决企业最为关切的安全性、高可靠性、可扩展性和易于远程管理的问 题。目前这套方案已经得到国家有关部门的大力支持，被国家经贸委列为国家创新计划 项目之一，还得到了国家“863”计划的肯定与支持。 方正方御防火墙是SHARKS安全解决方案中的主要安全产品之一。方正方御防火墙凭借 其独特的技术优势，在保证系统自身的安全性的同时又保证了其运行效率。方正方御防 火墙中还融入了入侵检测技术，可以有效地防范攻击企图的试探；另外利用先进的III技 术，方正方御防火墙可以有效滤除著名的DDoS攻击，正是这种攻击曾迫使包括美国雅虎 在内的若干世界最大的网站停止服务。除防火墙之外，方正数码有限公司还向用户提供 VPN、安全扫描系统、入侵检测系统（IDS）等安全产品及方案，从多层次、多角度、全 方位保护用户的网络。 在立身自主开发外，方正数码还与CA、ISS、Symantec等众多国际知名的安全公司保 持着良好的合作关系，集成国内外最优秀的公司安全产品，为国内Internet的安全建设 保驾护航。 网络证券业务分析 证券业务是改革开放以来，金融系统中增长最快的业务之一，它从无到有，从小到大 。在证券交易所注册开户的用户飞速增长，而关心证券交易的人更是成倍的增长，不论 大人还是小孩，似乎都知道证券一词。 传统的证券交易大概需要以下几个步骤：首先，需要到证券交易机构注册开户；其次 ，需要将用户的资金从银行转入证券交易的账户中；第三，进行证券信息处理和各种交 易。然而在传统的证券交易中，用户需要到证券营业厅进行交易或通过电话等手段进行 交易，虽然其交易速度很快，但是和计算机网络相比仍然是小巫见大巫。由于不用担心 支付手段、不用担心实物配送等原因，证券业是最适合使用互联网的行业之一。 网络证券交易，就是要将传统的证券交易转变为以计算机互联网络为基础的交易方式 。用户可以充分利用Internet或无线互联网的优势，快捷方便的进行交易。 网络证券交易主要业务包括以下几个方面： 用户注册开户 网上身份验证 证券信息浏览 在线证券交易 证券交易和用户的网络化管理维护 与安全相关业务： 在以上几个方面中，用户的网上身份验证、证券信息传输、在线交易和在线管理与维 护是非常需要安全保护的，而用户的注册开户是要到证券机构进行申请的，所以不涉及 网络的安全性的。 涉密信息： 上面我们分析了需要安全保护的网络证券交易业务，那么，哪些信息是涉及加密的呢 ？首先，用户的身份、账户等信息是用户进行交易是需要进行验证的，这些信息若被窃 取或破坏，不但无法进行网上的交易，更为严重的可能直接影响用户使用传统形式进行 交易，所以需要安全加密；其次，交易数据是涉及用户直接的经济利益，也是需要安全 加密的；第三，网络证券交易的管理与维护是网络化的，而这些信息是直接关系到网络 证券交易系统自身的安全性的，这些信息是需要安全加密的。经过分析，涉密信息主要 有用户信息、交易数据、管理信息三个方面。 [pic] 网络证券的管理模式： 由于网络证券交易时使用Internet或无线互联网，用户信息，证券信息，交易数据等 是由多台不同的服务器来承担的，同时在其上要运行多种服务的，所以应该采用集中管 理的方式对网络证券交易进行管理，这样能减轻管理员的劳动强度，提高工作效率。 安全风险及威胁： 前面我们分析了网上证券交易需要安全保护的业务，也分析了有哪些是涉密信息。通 过这些分析我们可以很容易的得出网络证券交易的安全风险及威胁来自以下几个方面： 用户信息会受到黑客的窃取、破坏以及病毒的破坏 交易数据会受到黑客的窃取、破坏以及病毒的破坏 系统信息会受到黑客的窃取、破坏以及病毒的破坏 服务的正常运行会受到黑客的攻击、破坏以及病毒的破坏 系统安全目的： 通过以上的分析，网络证券交易系统的安全目的是：要保护用户的信息和数据、系统 的资源和信息不被非法窃取和破坏，保护各项网络服务能正常运转，免受入侵和攻击。 网络证券安全需求分析 前面分析了网络证券业务是需要安全保障的。由于证券业自身的特殊性，对安全性也 有不同于其他行业的要求。网络证券业务中对安全的要求为安全性、高效性、可靠性、 可伸缩性、易于使用性和安全服务体制。 1 安全性 证券的网上交易往往涉及巨额资金，一旦受外部攻击造成系统中断，或网络犯罪使信 息泄露，将会造成重大损失。证券的网上交易的安全性主要有以下几个方面： 网络环境、操作系统与数据的安全性 证券交易通过网络来实现，如果这个网络环境直接暴露于Internet上，那么将是 可怕的，所以我们需要用防火墙来隔离Internet和网络证券交易系统。由于防火墙能 够阻挡黑客的攻击行为和异常的网络事件，这样可以保护我们的网络交易环境、网络 中计算机的操作系统和数据。防火墙是网络安全的第一道屏障，单有防火墙是不能进 行全面保护的，我们还需要入侵监测系统（IDS）来对黑客的攻击进行报警和自动防 范，并使用防病毒模块来保证我们的操作系统和存储的数据免遭病毒的侵害。系统的 数据和用户的数据有可能遭到破坏，那么需要应急恢复系统ERS来帮助解决这些问题 。 用户标识与鉴别，抗抵赖程度 用户在网上进行证券交易前，必须要用到自己的身份信息，而这些信息必须加以 保护，以防止被不法之徒窃取或利用给用户造成不必要的损失。为此，在登录环节就 要开始实施防护。为达到保护目的，使用CA技术，利用数字证书来确保双方是可以互 相信任的。并需要使用加密措施来保护用户的标识。 密码支持的安全程度和可信信道的安全性 整个信息传输过程使用SSL进行加密传输，传输信息和存储信息加密后，就把计 算机数据变成一堆无规律的、杂乱无章的字符。攻击者即使得到经过加密的信息即密 文、也无法辨认原文，防止信息被窃取。 [pic] 交易服务的防攻击能力 保护证券交易的各项网上服务正常的运行，能过滤主要的攻击和异常的网络事件，使 用防火墙来完成要求；保护用户的数据和交易的信息不被非法窃取、破坏，拥有入侵检 测系统（IDS）进行预警和自动防护，防治病毒的破坏，在紧急情况下能获得最快的服务 响应 2 高效性 证券的网上交易集中在几个特定的时段，对系统的反应速度有相当高的要求。要求 安全系统具有优秀的数据吞吐能力，在保证安全的同时，效率的损失要减到最小。需要 达到这个要求，就需要防火墙和IDS系统尽可能小的对网络的吞吐量产生影响。而我们向 用户提供的防火墙产品和IDS产品在安装到系统中去后能够完美满足用户的要求，这主要 来自产品的优秀性能和针对行业的专门设计，具体性能请参看产品介绍与性能参数。 3 可靠性 在服务致胜的今天，服务的中断就意味着风险。在Internet上，早已不再沿用传统上 朝九晚五的商业时间。365×24×7的不间断运营对系统的可靠性提出了挑战。可靠性主要 表现在： 安全功能和机制的可靠程度 在网络环境下，安全功能和机制本身就会成为黑客入侵和破坏的目标，所以安全的可 靠性成为网络安全不可缺少的一环。只有在保证了安全功能和机...
证券内联网防火墙安全系统方案