网络服务器安全防护方案

　　北京数码星辰为此提出了一个完整的服务器安全解决方案。 数码星辰的解决方案为用户提供安全的服务器数据采集，信息发布数据安全，传输途径和内外网数据实现安全同步解决方案。 该解决方案采用硬件和软件双重认证和控制的方法具有非常高的安全性。它既可以保证内网数据库与对外服务器的安全信息交流，又可以保证内网服务器的绝对安 全。这种数据交换既可以是单向的也可以是双向的。

　　根据多数企业、机关的现有网络结构，以及安全防护的需求，我们给出了以上网络拓扑图。 如上图所示，内网服务器位于经路由器、防火墙、交换机之后的网络位置。我们在服务器的前端引入服务器专用型安全隔离网闸，并对网闸做相应需求的配置。如： 配置允许访问的服务端口，这样就完全阻挡了黑客利用其它不安全端口攻击或入侵。 此时网闸外侧用户如果访问此服务器，就要经过网闸的安全过滤。这些安全策略包括：

　　1、 网闸在使用时自身不存在IP地址，这样就完全杜绝了远程登录安全网闸的可能性，黑客等不法分子完全没有可能利用网闸做跳板攻击或控制企业网。(这点是防火墙所做不到的。)

　　2、 阻挡所有服务端口扫描行为。 如果企业内网或互联网用户使用软件对服务器进行端口扫描，这些动作会被网闸彻底阻挡。

　　3、 屏蔽掉公认的不安全协议，如ICMP等。这样企业内网或互联网用户就不能用PING的方法试探服务器的存活情况。

　　4、 屏蔽服务器本职之外的服务。如：服务器为数据库服务器时，管理员在配置安全网闸的时候就可以只添加1433端口。这样网闸就屏蔽了服务器的其它服务端口，一切企业内网或互联网向服务器其它服务发起的连接都无效。

　　5、 物理地址过滤。 在企业内网，如果只是指定部分用户可以访问服务器，管理员就可以在网闸上配置允许访问用户的MAC地址和IP地址。这样其它未被配置的用户就不能访问服务器。

　　6、 网络地址过滤。 企业远程用户通过互联网访问服务器，管理员可以在网闸上配置远程用户的公网IP地址。这样就限制了互联网上其他非法用户对服务器的访问。

　　在此方案中，企业内部各部门和生产区等分支网络也处在安全网闸的外侧，内部员工的计算机访问服务器也要经过严格的审查，这样就大大消除了内网危害服务器的安全隐患。同时也杜绝了黑客利用内网计算机做跳板攻击的可能性。

　　我们在网闸内部还建立了严格的认证体系。如果内网用户要访问服务器数据，都必须通过网闸的认证。对于外侧计算机，必须装有认证软件并拥有正确的用户名、口令才能够访问受保护的服务器。

　　此外，在本方案中，网闸提供了虚拟服务端口的功能。也就是把服务器的实际服务端口映射成为一个其它的任意端口，此时的实际端口并不公开，但不影响正常使 用。 如果黑客利用这个虚拟端口攻击或入侵，也只是在攻击一个不存在的主机。这样就进一步提高了网闸自身和被保护服务器的安全性。 方案特点和优势

　　本方案设计不改变企业或机关原有的网络结构，只需要在服务器的前端加入宇宙盾服务器专用安全网闸即可，极大地方便了部署和维护。

　　数码星辰的解决方案具有以下特点：

　　1. DShield/宇宙盾物理隔离安全网闸超强的抗攻击能力和滋生防护能力为内网之间筑起了一道无法逾越的屏障

　　2. 采用国际最先进认证技术为合法的用户提供了一条安全的入口，同时阻止了任何非法用户的访问

　　3. 使用世界上最新加密算法提供了比传统加密方式（DES、3DES等）更安全高效的机密数据通道

　　4. 适应于多种网络拓扑

　　5. 支持USB KEY认证机制

　　6. 独有的防间谍软件技术，可以有效地阻止间谍软件的活动和危害

　　7. 具有极强的防止PING FLOOD、SYN FLOOD、Dos和DDos等洪水攻击的能力

　　8. 可以有效地防止缓冲区溢出攻击

　　9. 傻瓜式的配置方式极大地简化了配置过程

　　10. 极高的系统可靠性，无一次故障的优秀记录：独有的动态自恢复技术将系统的可 靠性带到了一个新的高度；本产品自２００３年认证以来从未有一台机器在用户那里发生过运行故障。

　　DShield/宇宙盾安全隔离与数据交换系统系列产品可以广泛适用于政府、税务、银行、金融、证券、石化、铁路、冶金、公安、军队、电力、海关、保险、 电讯和教育等各行业涉密网与外网或公网的隔离或者安全性级别高的内部网络与安全性级别较低的内部网络的隔离和关键服务器和设备的防护。

　　1. 政府机关：信息发布、公文审批和传输、项目申报、项目招标

　　2. 企业和政府：加密传输

　　3. 电力：生产控制网和管理网(MIS网)之间的信息传输

　　4. 税务：电子报税，税务监控

　　5. 财政：财务报表汇集、预算审批

　　6. 公安系统：网络安全监控、网络刑侦、印章治安管理系统、移动警务通、旅馆治安管理系统，机动车治安管理系统

　　7. 海关：电子报关