华为园区网安全解决方案

华为园区网安全解决方案着眼于企业当前安全威胁痛点，如：外来人员随意接入，企业内部人员越权访问导致企业信息泄密；园区网的网络边界隔离手段单一，内部网络区域划分不合理，容易遭受攻击和传播病毒，造成核心业务中断，网络瘫痪；远程分支机构和移动办公人员缺乏有效的安全机制接入园区网络；缺乏有效的分析、管理、审计手段跟踪安全事件等，以防、控、管、治、审为根本手段，通过多项易于部署和管理的精细化设计，给客户带来安全可靠、运行无忧的管理体验，并且能够最大限度的帮助企业减少因安全问题造成的经济损失，节约企业的运营成本。

园区网安全建设的背景

未来园区网的演进方向，就是向着更大，更快，更智能的方向发展，其主要的特征包括：

更大：在保证安全接入的前提下满足各种终端，各种用户的随时随地的接入，网络的扩展性极大的提升。

更快：随着承载业务类型的不断更新，所需要的带宽和网络质量也不断提高，企业网向着更加高速，更可靠的方向发展。

更智能：当企业网承载的终端种类及业务种类越来越多的时候，如何保证企业园区网的服务质量，提供更加安全可靠的用户接入服务。

企业园区网延伸范围的变大，承载业务关键性的增强，接入用户种类的增多，接入终端种类的丰富化，接入业务类型的复杂化，这就要求作为关键承载的园区网能够对这些变化加以适应，满足企业业务发展的需要。综上所述，园区网的上述三点变化，对网络设备的功能及性能提出了更多的要求，并且对园区网络的安全和稳定性也带来更多的挑战。

园区网面临的安全挑战

随着园区网变得更大，更快，更智能，园区网面临的安全挑战也日益增加。随着越来越多基于各种违规接入，应用攻击和网络攻击等安全问题的爆发，园区网的安全状况也日益恶化。外来人员的随意接入，恶意的入侵和攻击、木马和病毒的泛滥、钓鱼网站的增多，企业内部威胁的滋长，缺乏有效的审计和管理手段等诸多安全问题，导致企业园区网络效率低下，企业业务的安全也受到了严重的威胁，也给企业带来了不同程度的经济损失。传统不成体系的安全防护不可避免地成为网络安全防护薄弱环节，无法真正满足目前园区网企业客户信息安全防护的需求。

外来人员随意接入，内部人员越权访问

多地域的协作方式使企业的办公范围和场所的弹性越来越大，同时接入企业园区的用户种类也在不断的增加。可能不局限于企业内部的员工，同时也包括了外部访问的员工、合作商以及供应商等。这些人员的接入对企业园区网络的可伸缩性及安全性带来了非常严峻的考验。企业园区网不仅需要使得接入用户便捷地获取其所需的数据，还必须对这些接入进行控制，实施统一的访问控制策略，保证其接入的安全性使企业的内部信息不发生泄漏。

如果企业园区网缺少良好的网络准入控制的机制，将会导致任意外来人员都可以私自接入企业园区网络，随意访问企业的敏感网络资源，甚至传播木马或病毒程序。同时，如果对接入人员的园区网访问范围或上网行为没有进行有效的控制和管理，那么接入人员有可能会越权访问与其无关的企业机密信息，有意或无意的通过Internet将这些机密信息传播出去，并且存在感染病毒或木马的风险，这些都给企业造成巨大的经济损失。

分支机构或移动办公人员缺乏有效的安全机制接入园区网

随着企业业务的壮大、全球化的发展，园区网的规模也随之而扩大。伴随着企业异地分支园区的建立，越来越多的合作方和供应商的加入，如何保障这些不同地域的分支机构安全、便捷、可靠的接入企业园区网络，同时防止通信的链路被监听，防止数据被篡改，这是摆在企业管理者面前的安全痛点。

企业的壮大就不可避免要求业务被及时地处理，那么就存在要求出差员工或在家办公员工，能够便捷地访问总部资源及时处理办公事务的情况。而如何实现便捷访问，并确保通信的链路是安全可靠，不会被侦听，也是企业园区网络迫切需要解决的问题。

另外，随着笔记本的大量普及以及智能手机、平板电脑等智能终端的流行，越来越多的企业员工将移动终端设备引入了企业网络，BYOD(Bring Your Own Device，自带设备办公)已经成为一种潮流。移动办公在推动办公形式的多元化、灵活方便的共享企业资源、提高工作效率的同时，也给企业统一的安全策略带来新的挑战。

遭受来自Internet或Intranet的恶意攻击和入侵

在利益的驱使下，企业的网络总会遭受到来自某些不法份子甚至是竞争对手的恶意攻击和入侵，从而达到不可告人的目的。而作为企业业务承载的关键平台--园区网，则是不法份子或竞争对手的重点关注对象。如何保障企业业务安全稳定的运行以及在网络中稳定可靠的传输，则是每个企业CIO都需要考虑的问题。

DDoS是当下最流行和危害极大的攻击方式，是一种可以造成大规模破坏的黑客武器，它通过制造伪造的流量，使得被攻击的服务器、网络链路或是网络设备（如防火墙、路由器等）负载过高，从而最终导致系统崩溃，无法提供正常的服务。

同时，各种层出不穷来自园区网内部或外部的网络入侵或攻击，如：木马入侵、蠕虫攻击、DoS攻击、代码攻击，也容易造成公司网络瘫痪或业务中断。如：因公司网站被黑，公司网站访问不了；或因感染蠕虫病毒，造成网络瘫痪；或公司网络或数据中心被入侵，造成公司内部数据泄露等。

如果企业的园区网因遭受到DDoS攻击或者入侵，而造成网络或服务器瘫痪，内部数据的泄露，那都会给企业带来不可估量的经济损失。

网络区域划分不合理，内外网的不同安全等级区域无有效隔离，病毒容易扩散

目前很多企业对园区网的内部和外部只是进行了简单的隔离，不能有效防护园区网Internet出口的安全，阻止园区网遭受来自Internet的安全威胁。另外，很多企业也没有对内网不同的网络区域进行安全隔离，不同的业务部门之间没有建立安全访问边界。一旦某个业务部门感染病毒后，病毒极其容易肆意扩散，给企业内网造成巨大的安全隐患。

如果园区网内部没有专业的防病毒设备对网络中传输的流量进行病毒检测和消除，一旦企业园区网的内部网络感染病毒，将无法避免病毒在企业园区网中进行传播，破坏或窃取企业资源。

IT运维面临巨大的挑战

随着园区网规模的扩大，园区网部署了大量的网络，安全以及服务器设备。设备增多和多元化，必然带来信息安全问题，而这些安全问题的发生往往涉及多个网络，安全或服务器设备。这些设备产生的日志事件彼此独立，没有任何联系，无法给企业IT运维人员提供有力的数据以帮助其完整分析整个安全事件。此外，各个设备有不同的维护团队，发生安全问题进行排错时，常常是各自为阵。因此对于企业信息安全来说，迫切需要一个统一的安全事件告警中心，能迅速产生精确的安全告警，定位安全问题，以帮助他们采取相应的响应措施，来保障企业业务的正常运营。

由于园区网络的规模各异，所使用的网络及安全设备也纷繁复杂，如何更好更方便的对网络设备进行管理，也是每个IT运维人员优先需要考虑的问题。然而，网络设备的管理又存在着范围跨度大，设备类型复杂，管理信息多样性等问题，如何更好的解决这些问题，网络管理就显得尤为重要。

此外，面对系统和网络安全性、IT运维管理和IT内控外审的挑战，管理人员需要有效的技术手段，按照行业标准进行精确管理、事后追溯审计、实时监控和警报。如何提高系统运维管理水平，满足相关标准要求，防止黑客的入侵和恶意访问，跟踪服务器或数据库的操作行为，降低运维成本，提供控制和审计依据等安全问题，也越来越困扰着企业。

（详细内容略）