深信服 SSL VPN_核心业务系统逻辑隔离解决方案介绍.pdfVIP

深信服科技 提升带宽价值 核心业务系统逻辑隔离方案 背景介绍： 为了保护核心关键业务系统的安全，很多行业中将核心的业务系统和外网进行隔离，只 允许在内网访问，但是即便如此，还是隐藏了诸多安全问题。 首先是核心的数据在访问的过程容易被各种移动存储设备拷走，上传到互联网，或者被 私自传播给不相干的人员，造成不可估量的损失。 其次，业务系统只采用了简单的用户名密码认证，容易被拨接，同时数据在传输过程中 未进行加密，而这些关键数据将直接暴露给内网的其他用户，其他用户极有可能通过一些黑 客工具获取到这些数据，造成信息泄漏； 再次，如果内网某用户感染病毒或者被植入木马之后，危险的信息就有可能在访问过程 中感染这些业务系统，造成内部核心关键业务系统的瘫痪。 目前面临的问题： （1） 为了保护核心关键业务系统的安全，直接将其放置在内网访问，核心关键业务系统 只针对部分人员开放，但内部其他人员极有可能登录访问，因此存在一定安全隐患， 所以需要对于核心关键业务系统进行逻辑隔离； （2 ） 核心关键业务系统在内网进行访问，但是数据传输未进行加密，这些关键数据将直 接暴露给内网的其他用户，其他用户极有可能通过一些黑客工具获取到这些数据， 造成信息泄漏，因此存在数据被窃取的风险； （3 ） 对于内部的核心关键业务系统来说，只采用了简单的用户名和密码认证方式，这些 简单的认证方式极易被内部的技术高超者所破解，就很容易出现冒名登录的情况， 因此存在着冒名登录的风险； （4 ） 内部有多个核心关键业务系统，接入访问人员不一，因此存在着越权访问的风险； （5 ） 对于哪些需要访问核心关键业务系统的电脑来说，一旦这些电脑中毒或者中了木马， 那么这些危险的信息就有可能在访问这些核心关键业务系统时而感染这些业务系 统，极有可能造成内部核心关键业务系统的瘫痪，因此存在着客户端的安全隐患； 传统解决方案的不足： 使用网闸进行保护的方案缺点： （1）网闸初衷是隔离两个网络，尽量不要让两个网络之间进行访问，对于需要访问的数据 才通过摆渡来进行连接，一旦数据量很大，容易造成处理瓶颈，所以不太适合进行长连接的 访问； （2 ）对于整个数据访问的过程没有采用数据加密，数据依然存在被窃取和篡改的风险； （3 ）身份认证手段单一，无法满足多样的身份认证需求； 使用防火墙进行保护的方案的缺点： （1）虽然可以在核心关键业务系统前面可以放置防火墙进行隔离，但是往往对于这些核心 关键业务系统来说，采用的端口是多样的，为了保证他们正常的访问，往往需要在前置防火 墙上开放众多的端口，而对于防火墙来说开放越多的端口越容易造成安全隐患； （2 ）防火墙可以针对IP 层的数据进行过滤，但是没有办法保证数据的安全性，所有核心的 关键业务数据直接在内网上来跑，数据易被窃取； （3 ）防火墙只做数据的过滤，但是没有办法提供多样的身份认证手段来对于接入访问进行 深信服科技版权所有 1 深信服科技 提升带宽价值 控制； 深信服解决方案： 传统的网闸和防火墙在隔离方面存在缺陷，为了更好地解决针对内部应用系统进行保护隔 离，深信服提出了SSL VPN 解决方案。 深信服SSL VPN 应用隔离保护拓扑： 深信服解决方案简述： （1）为了对于接入访问人员进行控制防止冒名访问，深信服提供多种身份认证手段保证接 入访问身份的安全性，可以使用包括USBKEY 、动态令牌、PC 硬件特征码、短信认证等各 种认证方式； （2 ）使用深信服科技SSLVPN 中的沙盒技术，生成一个虚拟隔离的工作安全桌面，安全桌 面内可以限制 I/O 的使用，如U 盘、打印机，外网线路等通讯，确保在登录核心系统时， 和其他通讯实现严格的逻辑隔离； （3 ）为了保证数据传输的安全性，SSL VPN 提供多种加密算法，并通过SSL 协议保证传输 过程中数据的安全性； （4 ）对于有多个核心关键业务系统，而这些核心关键业务系统使用者不一的情况，深信服 SSL VPN 提供细致的权限划分，为不同的接入人员划分不同的访问权限，防止越权访问； （5 ）