智安全最佳实践——看深信服下一代防火墙如何为海南省工商局排忧解难

项目背景

---

海南省工商行政管理局，是主管海南省市场监督管理和行政执法工作的省政府直属机构，下属单位众多。其信息中心承担着全省工商行政综合业务管理系统、企业信用信息公示系统、电子营业执照系统以及门户网站等重要业务系统的维护工作。这些系统汇聚了海南省工商体系所有的业务和数据，访问量巨大，对信息安全防护和稳定性要求非常高。

面临问题

---

1）安全产品丰富，而预算有限，如何选择？

传统防火墙、IPS、防病毒网关、WAF、统一威胁管理、下一代防火墙，形形色色的网络安全产品，究竟选择哪种产品或方案才可以将安全设备的功能实现价值最大化，同时又能让组网和运维方面变得简单、便捷？

2）下属单位终端众多，而运维能力有限，如何运维管理？

海南省工商管理局下属一共20个市县工商局，由于下属单位的运维能力相对薄弱，而众多的网络设备，繁琐的配置界面，给我们的运维人员添加了很多的负担，同时也增加了一些安全隐患，比如有些失陷的主机，构成僵尸网络，可能诱发DDoS攻击等安全事件，如何有效的检测出这些僵尸主机并加以管控成为了IT管理人员的一大难题。

3）数据资产价值大，而应用层攻击越来越多，如何防护？

据权威机构Gartner统计，当下75%的网络攻击来自于应用层网络，而传统的安全产品在应对高级网络威胁时常常不能提供较好的防护。但是工商局的服务器区域需要对公众开放，部分系统必须发布到互联网上，因此众多的企业登记注册等关键信息面临着严峻的安全威胁，如何保护这些重要信息，为重要业务系统提供真正有效的防护是首要考虑的问题。

深信服解决方案

---

在对多个厂家的解决方案进行测试和对比评估后，根据目前的业务现状，省工商局选择了深信服的下一代防火墙作为网络出口和边界的安全设备，为下属的20个市县的工商局统一部署了深信服的下一代防火墙。

网络拓扑简图

深信服下一代防火墙坚持践行“融合安全，简单有效”价值主张，为用户业务提供全生命周期保护，真正实现全程可视和全程保护。

事前：深信服NGAF帮助用户在事前自动发现新增资产、评估漏洞及是否有保护策略。

事中：构建L2-L7层纵深防御体系，屏蔽防护短板且具备联动和关联分析能力。

事后：持续检测绕过防御的威胁，并通过云端安全服务提供7*24小时快速响应的技术服务。在IT业务运维全过程内向用户提供对风险的认知、对保护过程的认知和对结果的认知，帮助您的IT系统更简单、更安全、更有价值。

下面，且听省工商局工程师讲，深信服下一代防火墙是如何为其排忧解难。

客户评价

---

看得见

我们的系统中存在大量的企业信息，这些数据具有很大的价值，是我们的核心资产，也是黑客觊觎的对象，如何保护这些信息资产对我们来说是一个非常重要的问题。

深信服下一代防火墙为我们提供了全程的安全认知和防护能力。首先是看到业务和风险，系统中有哪些资产，这些资产哪些有风险需要保护，是否有策略，我们都可以很清晰的看到；其次是看懂攻击和异常行为，有谁在攻击我，哪些攻击是真实存在的，我的防御体系是否被绕过，被绕过后网络中有哪些异常行为，我们通过下一代防火墙的分析就能对遭受的攻击和内网中的可疑流量有非常直观的了解；最后是看清安全现状，安全运维中心和综合风险报表为我们提供了非常人性化的安全运维管理，能够把安全简单的交付到我们，让我们很容易的了解到整体安全态势，保护的效果如何，下一步应该加强哪里。

管的住

我们在地市有很多的下属单位，下属单位有大量的终端，而我们的运维人员有限，难以很好的规范下属单位的上网行为，很多主机终端成为僵尸主机，给我们的网络带来了巨大的隐患。

深信服特有的僵尸主机检测功能可以实时的对外发流量进行检测，相比其他厂家大大提高了僵尸主机检测的准确率。我们在每一个节点，共计20个地市的工商局出口都部署了深信服下一代防火墙，统一进行管理，同时在地市的防火墙上我们开通了防僵尸网络模块，能够及时的发现地市终端中的失陷主机，一旦发现，我们可以断开他的访问，让他重装系统之后再开放连接，通过这样的方式，有效的杜绝了僵尸主机的出现，为我们的网络打造了一个非常安全的环境，也给我们的管理带来了巨大的方便。

性价比高

安全产品品类较多，如果按照传统的方案将安全设备串联，将会加大单点故障的概率，使得网络的稳定性下降。又由于我们的分支节点较多，多个安全设备的采购成本将非常高，同时多种安全设备也会加大我们运维的难度。

深信服的下一代防火墙基于融合的理念，将传统的安全设备融合在一起，统一分析，联动防御，能提供简单有效的安全防护，正好契合了我们的需求。但是考虑到我们工商系统的访问量较大，高峰时段的连接数达到了1万，平均的连接数也在5千左右。我们对融合之后的防火墙的性能心存疑虑，于是要求对深信服的下一代防火墙进行测试。经过三个月的测试，我们对深信服下一代防火墙的性能非常有信心，设备CPU的使用率在30%左右，高峰时期也完全支持我们的吞吐。

最终，我们选择了深信服的方案，在省局和全省共计20个下属单位部署了下一代防火墙，相较传统的方式节约了近一半的成本，同时得到了更安全的防护和更方便的运维管理。