曙光公安系统网络安全解决方案（二）

曙光网络安全产品

公安系统网络安全体系主要由防火墙、入侵监测、VPN、身份认证系统、防病毒和安全审计等多种产品组成。其中核心是以网络防火墙产品为主，辅佐以入侵监测系统形成信息安全的硬件平台基础。

一、曙光天罗防火墙

 
曙光天罗防火墙基于专用安全操作系统，具有系统管理、安全策略、安全检测、日志管理、网络计费、虚拟专网等多项强大的安全功能，弥补了传统包过滤防火墙的很多不足，可谓防火墙中的精品。

◆产品优势

曙光天罗防火墙采用工业控制级硬件平台，相关的零部件全部达到工业级要求。确保物理层可靠性。软件系统使用专用的高性能的安全操作系统，专为安全应用设计开发，最大程度地确保了系统自身的安全性和高性能。软件系统内部全部使用零拷贝技术，充分保证了系统的性能，提高了可靠性。曙光天罗防火墙把曙光自主开发的精简操作系统、专用硬件以及先进的核心处理机制的完美结合，在达到高吞吐量、高带宽的安全检测，确保安全的同时，保证正常的网络应用。

曙光天罗防火墙的管理系统采用国际流行的“三权分立”方法，形成一个相互制约的稳定系统。此外，除本地串口管理方式外，管理员与防火墙之间的连接采用的128位的高强度加密通讯，黑客根本无法破解。

曙光天罗防火墙高性能的数据通讯模型，采用自适应的设计模型，过滤和通讯处理并发处理。可以支持多种工作模式，并且多种工作模式可以相互交叉，同时使用（混合模式）。此外，曙光天罗防火墙还能够支持众多的网络通讯协议，并对各种协议可以进行细粒度的过滤，如IPX、NetBEUI和大部分的P2P协议，可以充分保证正常的网络应用。

二、曙光GodEye-NIDS网络型入侵检测系统

曙光GodEye-HIDS主机入侵检测系统通过对所有网络数据包的实时抓取，并进行分析判断，从而发现各种网络入侵行为，达到在不影响正常业务的同时，保证网络的安全。

曙光GodEye-NIDS网络入侵检测系统是基于网络的入侵检测系统。通过侦听特定网段，能够实现实时监视可疑连接，发现非法访问的闯入等，防范对网络层至应用层的恶意攻击和误操作。并且提供针对典型应用，如Web服务器、SMTP和POP3服务器的攻击检测，总计能够发现多达3000种的攻击及可疑事件，并实现了和其他网络安全设备的联动。另一方面，对于报警事件和控制台的审计纪录，系统又提供了强大的统计分析工具，以利于管理员发现更为隐蔽的攻击行为。

曙光GodEye-NIDS网络入侵检测系统使用方便，连接到交换机的监听端口即可开始工作。使用IE浏览器即可方便地进行系统管理和日志查看，管理通讯使用https协议，整个系统的有着极高的安全性。GodEye-NIDS网络入侵检测系统不但从整体上提升入侵检测系统的性能水准，而且能够很大程度上满足用户实际需求，提高用户在信息网络系统的可管理性、好用性、高可用性，符合曙光一贯倡导的SUMA标准。

1.全面的特征检测、协议分析和内容分析

曙光GodEye-NIDS网络入侵检测系统可以进行全方位安全监控和审计；其次，曙光GodEye-NIDS网络入侵检测系统可以结合用户业务的具体特点，进行智能化的分析，辅助用户做出正确地决策。例如，曙光GodEye-NIDS网络入侵检测系统提供HTTP协议分析，可以对基于Web的应用进行监控与审计，也可以检查网页中携带的恶意程序；系统提供邮件监控功能，可以监控发件人、收件人、邮件正文和邮件附件，防止政府企业内部人员利用邮件泄密，防止外部人员利用邮件传播病毒和恶意程序。系统甚至可以对Web Mail进行监控。

2.完善的管理功能

曙光GodEye-NIDS网络入侵检测系统的控制台提供了对各种信息的完善的管理功能，如：

◆对系统用户和检测引擎的管理，包括添加、修改、删除等操作。
◆对审计纪录和报警纪录的管理，如浏览，删除，打印，导入，导出，绘制统计图等
◆对策略的管理，如策略复制，删除，编辑，下载更新，导入，导出等
◆对引擎的管理，如启动，停止，分发策略，删除策略，实时检测等
◆对系统状态的定制，指系统运行参数的调谐。

3.具备丰富的安全控制与管理手段.

曙光GodEye-NIDS网络入侵检测系统能够快速自动的检测、会话拦截和入侵报警。具有强大的IP地址与URL追踪功能，能够通过电子邮件关键词搜寻、拦截和日志来监视和阻断内部信息流出。监视和拦截未经授权的网络站点访问（有害信息、股票、黄色网站等等）。生成强大的监视、检测、拦截日志报告。

4.安全的数据传输及存储

控制台与检测引擎的通讯采用基于ssl的加密传输，使得攻击者无法偷窥控制台与检测引擎之间的通讯。控制台的本地数据库数据采用了加密方式存储，使得攻击者无法通过查看硬盘元数据的方式获得系统信息。