check point ngtx整体凯时kb88官方网站的解决方案-凯时kb88官方网站

问题分析

安全分析与规划

        要实现企业整体安全架构，必须要有先进的安全思路，根据对客户当前环境的了解与分析，我们制定出以下安全思路：

• 定义核心资产
• 划分安全级别与隔离

• 定义业务拥有者与使用对象
• 定义访问权限
• 使用流程化
• 审计与风险预测
• 安全事件处理
• 数据分类与控制

要实现企业总体架构的安全，首先必须要对企业的数据进行了解，并且根据各职能进行分类。

安全域是由一组具有相同安全保护需求、并相互信任的系统组成的逻辑区域。同一安全域的系统共享相同的安全策略，安全域划分的目的是把一个大规模复杂系统的安全问题，化解为更小区域的安全保护问题，是实现大规模复杂信息系统安全等级保护的有效方法。

安全域的规划与设计，就如网络的规划与设计：必须部署相关的网络设备（交换机、路由器）实现网络的互联互通一样，也需要借助访问控制设备，实现最基础、最重要的用户访问控制策略的定义与执行，及数据流的管控。并对企业内网应用进行深度数据流分析与检测，如最常见的windows相关协议（cifsrpcnetbios等），所有的病毒、蠕虫、木马都喜欢利用这些广泛使用协议作为传播与复制的载体，进行大面积的传播与破坏。

而相关的技术措施最基础的是两大类（防火墙技术与入侵防御技术）：第一：安全访问控制技术。我们建议采用check point防火墙作为安全域建设的基础安全设施，实现办公网与生产网的绝对分离；同时对办公网与生产网进行更细致的安全控制与审计；第二：入侵防御技术（包含系统入侵防护与网络入侵防护）。使用check point防火墙实现了安全域基础架构的设计，并具备对所有用户行为进行安全管控的能力。我们建议采用check point的ips技术。

（2）安全域划分

如上图所示，根据功能需求划分了多个区域，而各个关键区域之间的通信都由防火墙进行隔离与控制，这种由防火墙隔离的区域就称为安全域。

我们首先把安全域分成几个大区域，分别为数据中心区域，oa区域，外联单位区域，分支机构区域，远程用户区域与互联网区域 。数据中心区域再根据功能划分成前置服务区，app业务/对外应用服务区，内部应用服务区，数据库区域，功能测试区域，网管监控区域。oa区域划分成关键部门区域，非关键部门区域，办公服务器区域，访客/无线网络区域。

checkpoint 防火墙部署

根据上述安全设计的思路，为现网络作了一个统一的安全规划，整个规划根据上述不同的划分不同的区域而进行隔离，如下图所示:

作为主要发布的internet资源，是internet用户唯一的接入点，这个安全域介入可信网络与非可信网络之间，主要安全目标是保障合法用户能够安全、可靠的访问其发布资源，避免非法访问；同时必须避免攻击者以此区域为跳板穿透防火墙进入内网.

将在业务互联网出口与核心交换机之间部署两台check point 4800防火墙，用于保障业务区的安全性。业务区网络将分为多个子安全域，考虑到互联网用户能够直接访问到服务器，因此，必须通过防火墙进行有效的隔离控制。此防火墙将启用多个安全功能模块：firewall、ips、anti-bot、antivirus-anti malware、vpn、app control、url filtering、id awareness功能，

firewall：用于实现基于的访问控制，拒绝非法访问，并记录所有通信行为；同时通过nat功能以隐藏网络内部结构；

vpn：用于与分支机构建立ipsec vpn网络，以实现安全可靠的远程访问；

app control：对互联网应用程序进行控制与审计，以有效的保护内网遭受恶意程序的攻击，并对用户的访问行为进行记录；

url filtering：url过滤与审计，其目标是为了保障办公用户因访问恶意的url而遭受攻击，同时通过有效的控制与审计，可提高办公效率；

anti-virus：网关防病毒模块，用于检测、防御病毒攻击；

ips：入侵防御与检测模块，用于防护来自互联网的各种黑客攻击。

下一代威胁防范功能简述

下一代威胁防范软件订阅包

下一代威胁预防软件捆绑软件为小型，中型和大型企业提供全面的防范已知和未知威胁的组织，包括下一代威胁提取（ngtx）和下一代威胁预防（ngtp）。

     优势点

check point设备的两个简单包装提供了全面的威胁防护

下一代威胁提取（ngtx）：包括使用sandblast threat emulation，sandblast threat extraction，antivirus，anti-bot，ips，app control，url filtering and identity awareness等已知威胁和零日攻击的多层次保护。

下一代威胁预防（ngtp）：包括已知的基于签名的威胁（包括防病毒，反bot，ips，应用程序控制，url过滤和身份认知）的多层次保护。

threatcloud提供的实时安全智能

利用业界首个合作网络打击网络犯罪

识别超过2.8亿个地址分析机器人发现，超过1200万个恶意软件签名和100万个恶意网站

动态更新来自全球传感器网络和行业最佳恶意软件源的攻击信息

组合关于远程操作员隐藏信息，僵尸网络通信模式和攻击行为的信息，以准确识别机器人爆发

从threatcloud知识库获取最新的机器人智能，包括check point threat emulation发现的零日僵尸攻击

防止恶意下载和应用程序

识别发送恶意软件的网站

防止恶意文件下载

加速技术确保高威胁防范性能

启用特定应用程序，同时阻止有风险或不安全的应用程序

通过统一管理，监控和报告最大限度地保护

与check point安全管理集成

监测，分析和报告风险和威胁

技术特点

在check point设备上完成威胁预防

在小型，中型和大型数据中心设备的支持下，ngtx和ngtp软件包可以针对已知的威胁，零日恶意软件甚至最复杂的攻击提供高级威胁防护。

我们的两个软件包包括：

下一代威胁提取（ngtx）：包括使用sandblast threat emulation，sandblast threat extraction ， antivirus，anti-bot，ips，app control，url filtering and identity awareness的已知威胁和零日攻击的多层次保护

下一代威胁预防（ngtp）：包括已知的基于签名的威胁（包括防病毒，反bot，ips，应用程序控制，url过滤和身份认知）的多层次保护。

sandblast威胁仿真

作为下一代威胁提取软件包（ngtx）的一部分，sandblast威胁仿真功能可防止未被发现的漏洞受到零日攻击和目标攻击。这种创新的凯时kb88官方网站的解决方案可快速检查文件，并在虚拟沙箱中运行它们，以发现恶意行为。发现的恶意软件被阻止进入网络。

防病毒软件刀片

防病毒软件刀片在用户受到来自threatcloud™的实时病毒签名和基于异常的保护影响之前，会阻止网关上的传入恶意文件。通过不断更新的全球传感器网络，识别超过450万个恶意软件签名和30万个恶意网站提供持续的恶意软件智能。

入侵防御系统（ips）

ips软件刀片提供完整和主动入侵防御 - 所有这些都具有统一和可扩展的下一代防火墙凯时kb88官方网站的解决方案的部署和管理优势。补充check point的防火墙保护，ips软件刀片通过检查穿过网关的数据包进一步保护您的网络。它提供全功能ips与地理保护，并不断更新新的防御新出现的威胁。

网址过滤

url过滤软件刀片可以根据类别，用户，组和机器访问数百万个网站，并使用基于云的技术，不断更新新网站以支持员工的工作效率和安全策略。it经理可以阻止对整个网站的访问，或仅阻止访问页面，通过时间分配或带宽限制来设置强制执行，并保留接受和不接受的网站url列表以微调安全策略。

记录和状态

使用smartlog将数据转换为安全智能，smartlog是一种高级日志分析器，可提供分秒的搜索结果，可在多个时间段和域中实时查看数十亿条日志记录。

无缝添加功能

如果您的安全需求增加，则可以向check point威胁防护设备添加附加功能。无缝添加软件刀片，如数据丢失防护软件刀片。

threatcloud提供支持

threatcloud™为安全网关软件刀片提供与第一个协作网络收集的实时安全情报，以打击网络犯罪。check point传感器发现的威胁，由check point threat emulation启用的网关，并在第三方feed中报告更新威胁云，并分发到check point连接的网关。

威胁提取

作为下一代威胁提取软件包（ngtx）的一部分，sandblast威胁提取  功能可从文档（包括活动内容和嵌入对象）中删除可利用的内容，重建文件以消除潜在威胁，并及时向用户提供清理内容以维护业务流。

防僵尸网络软件刀片

anti-bot软件刀片检测机器感染的机器，通过阻止僵尸网络犯罪分子的命令和控制中心通信来防止机器人损坏，并从threatcloud™不断更新。

应用控制

应用程序控制软件刀片控制访问超过5200个应用程序和24万个社交网络小部件，具有业界最大的应用程序覆盖率。它创建基于用户或组的精细安全策略，以识别，阻止或限制web应用程序和即时消息，社交网络，视频流，voip，游戏等部件的使用。

身份意识

身份认知软件刀片提供用户，组和机器的细致可见性，通过创建准确的基于身份的策略实现无与伦比的应用程序和访问控制。

综合安全管理

统一的安全管理简化了通过单一窗格实现视图，细节和报告来管理日益增长的威胁，设备和用户的巨大任务。check point综合集中的安全管理系统控制smartdashboard中的所有check point网关和软件刀片。直观的图形用户界面使it经理能够轻松管理广泛的安全管理功能。

支持服务

除了产品和方案外，作为专业的网络安全代理商，为客户提供专业的增值服务，解决他们的难题是我们的工作。本公司各岗位的工程师，凭借丰富的经验，专业知识和认证资格，从方案设计、部署、安装以至售后的保修，为客户提供合适的服务，让他们能专注其业务，安枕无忧。

本公司各区的专业团队，为中国各地客户提供各样的技术服务，从简单的电话查询到贴身的7 x 24紧急支持服务一应俱全。我们的专业认证工程师，会在最短的时间内，为凯时kb88官方网站的合作伙伴和客户提供全面性的售后支持服务，以保护你的it安全为己任。

另外，为了给客户提供更专业和快速的凯时kb88官方网站的技术支持服务，本公司亦设有技术热线协助客户解决各产品的技术问题。客户如对产品有任何技术问题，本公司相关的专业工程师会马上为客户提供专业的意见。

软件升级服务

( 1) checkpoint 设备版本进行升级，并确保系统运行正常；

（2）随时了解checkpoint 最新安全补丁状态，并告知贵司工程师，经服务商测试补丁正常，并取得贵司工程师同意后即可安装。

故障处理服务

（1）一般问题远程无法解决，工程师将在3小时内到达现场提供支持服务；

（2）出现重大事故时，工程师将在1小时内到达现场提供支持服务；

（3）6个小时后还不能排除故障，需向checkpoint 厂家请求凯时kb88官方网站的技术支持；

（4）在故障排除后尽快提供故障处理报告及故障原因分析报告，并提出改造建议方案；

（5）必须保证能满足以上的故障响应时间要求。

远程支持服务

（1）提供7*24小时凯时kb88官方网站的技术支持热线电话，指定一名或以上专职工程师提供凯时kb88官方网站的技术支持服务；

（2）专职工程师必须具备checkpoint  ccse认证资格，对checkpoint 具有丰富的经验。