标题：北京永恒信业科技有限公司
公司介绍
北京永恒信业科技有限公司[1]，成立于2004年，是一家以计算机网络机房建设、局域网组建、数据存储、信息安全、视频会议、多媒体生产调度服务等综合性业务为主的高新技术企业，多年来为金融、证券、政府、企业、水利、电力、公安、医疗及教育行业等众多用户提供各种解决方案，在技术论证、规划设计、安装调试、应用开发及其相关的技术支持和售后服务等方面积累了丰富的经验。
公司现为工信部系统集成三级资质，在产业信息化迅猛发展的今天,我们将一如既往的把更先进、更可靠的技术和产品，以及更优质、高效的服务奉献给广大的用户。公司有优秀专业的售前及售后支持团队，用户不仅可以得到优质的产品和专业化的技术支持，同时也将得到全面及时的优质的售后服务。
信息系统解决方案
WEB安全防护解决方案政府门户网站是政府部门对外的窗口和实施电子政务的重要平台，目前部委、省地市各级政府机关基本都建立了自己的门户网站，用来宣传和介绍政府的基本状况。然而针对WEB业务的攻击亦在迅猛增长，类似网页被篡改或者网站被入侵等安全事件频繁发生，不但严重影响了政府的对外形象，有时甚至会造成巨大的经济损失，或者严重的社会问题，严重危及国家安全和人民利益。
国家对政府网站的安全性也非常重视。2011年4月，国务院办公厅发布国办函〔2011〕40号文件--《国务院办公厅关于进一步加强政府网站管理工作的通知》，通知要求进一步加强政府网站管理工作，各地各部门对本地区、本部门政府网站进行全面检查，检查内容包含网站安全防范工作是否到位，是否采取了防攻击、防篡改、防病毒等安全防护措施，并制订了应急处置预案。
目前，政府网站建设主要存在这些不足：
1) DMZ备份服务器与对外服务器部署一台设备上；
2) 网站服务器的防篡改系统没有做加固保护；
3) 没有数据“备份”和“还原”系统；
4) 没有远程监控、管理以及应急情况的处理机制；
5) 备份服务器没有独立保护；
6) 没有针对于外部攻击、篡改的应急预案等等。
为此，针对这些比较普遍的问题，首先将整个网络划分成外部服务区、内部服务区、边界接入区、办公区，以及网管中心。政府门户网站部署在外部服务区，一些内部业务则部署在内部服务区。其中政府门户网站是整个网络中最易遭受外部黑客攻击的目标和对象，也是安全防护的重点。根据网站安全保护方案，首先对承担网站业务的WEB服务器进行内核加固，同时部署数据备份和还原系统，实时备份运行中的业务数据，并将备份服务区单独隔离，确保备份服务区的数据的安全。在WEB服务器的前面部署WEB应用
（简称WAF），提供实时WEB精细防护。并在WAF之前串式部署应急智能电源，为远程短信和电话接入控制提供保 障。通过网站安全整体保护方案，实现WEB攻击可防、网站数据有备、网页篡改能控，极端情况下有应急处置能力，真正提供一站式的整体安全解决方案，解除政府网站管理之忧。
其网络拓扑部署图如下：  网络拓扑部署图
方案原理
网站安全解决方案由六个子系统组成：
1) 网站服务器OS加固系统：对网站的WEB服务器操作系统实施全面加固，同时设置文件系统强制访问规则，仅允许指定进程和用户修改网站数据，杜绝其他任何文件修改操作；
2) 数据备份和恢复系统：对网站运行数据进行实时备份，并对数据备份服务器进行网络隔离，防止备份数据遭受外部入侵。同时，在必要情况下，可以快速地将备份数据进行恢复，保障网站连续运行；
3) 网站数据监控系统：该子系统作为极端情况下的备用保护模块，当网站数据遭受破坏或篡改时，可以实时检测（检测响应时间可以达到秒级，且不受网站数据规模影响），并通过远程应急控制系统，向网站管理员告警；
4) 远程应急控制系统：该子系统集成IP语音电话、手机短信等通信平台，不仅支持远程告警功能，而且提供远程电话或短信控制网站的对外服务状态，并支持自动数据恢复，解除网站异地管理或紧急情况下的后顾之忧；
5) WEB应用安全防护系统：提供专业、精细化的WEB应用安全保护，支持WEB攻击实时防护、敏感信息泄露、网站漏洞扫描等功能，将WEB攻击阻断在WEB服务器外部；
6) 边界安全防护系统：提供边界高性能防火墙、入侵防护（IPS）、防病毒等基础网络安全保护，同时针对网站业务的具体使用环境，具备海量异常流量检测和清洗，保障内部网络的访问流量的纯净。
以上6个子系统的相互协同、互补融合关系参见下图：
  6个子系统的相互协同、互补融合关系参图
系统架构
根据WEB服务的运行特点和基础网络架构规划，网站安全已经无法通过单一的安全产品、一个或两个安全防护措施就能保障。相反，只有通过整体解决方案，设计多层次、立体式的安全防护体系才可能较好地解决。永恒信业网站安全解决方案充分考虑到网站建设、日常运营和安全防护的实际需要，其对网站安全保护由网络安全、业务安全、主机安全、数据安全以及远程应急控制等一系列方法和措施来保障，整体方案采用如下系统架构：
  系统架构图
首先，根据功能域划分、核心数据重要性、安全防护等级和网站日常维护等不同需求，将整体网络划分成边界防护区、对外服务区、内部服务区、数据备份区、网站发布区，以及内部办公区等多个不同的安全域，各个不同安全域承担各自不同的业务和功能，采取不同等级的安全防护措施。
网站对外服务区是网站业务的核心区，也是网站最可能遭受攻击的目标。对外服务区的安全保护是整个网站安全防护的重点，而承载网站业务的WEB服务器是核心。据此，首先对外部服务区中的WEB服务器进行主机安全加固，保障该主机的文件系统访问、系统注册表、系统进程和服务、应用数据等安全。在此基础上，部署数据监控系统，确保在极端情况下，网页受到篡改、数据被破坏时，及时通过远程语音和短信平台进行告警。同时，在必要情况下，可以通过远程应急控制系统，快速切断网站对外服务。
网站运行过程中，数据的备份和还原是整体安全方案的重要系统之一。在不影响业务运行的情况下对核心数据提供实时备份，并通过网络将数据存放到备份服务器中，一来对核心数据提供备份保障，二来即使在运行数据遭受损坏的情况下也可以快速还原，保障网站系统的数据安全。同时，必须将备份服务器进行安全隔离，以保证备份数据本身的完整性、私密性、安全性。
网站的日常维护和更新是整个方案中必须要深思熟虑的环节，处理不当，其本身会成为一个重要的安全漏洞和攻击途径。在网站安全方案中，首先要求规划独立的网站维护和更新管理区，管理员可以通过VPN等安全隧道登陆到该安全区域的指定设备上，实施维护和更新操作。同时，要加强对更新数据（包括文件内容、图片内容）的审查，针对图片等数据，必要情况下，还要增加人为审查，以弥补机器自动化的不足。
最后，当WEB服务器的主机安全、网站数据安全实现后，还要有一个安全、干净的网络环境。为此，增加必要的网络安全防护是必要的。在此方案中，我们针对网站业务的特点，部署多功能安全网关UTM、外部异常流量清洗等网络防护系统，在网络边界处阻断大量的外部攻击和异常流量，确保网络内部流量和请求的安全、干净。
特别指出的是，网站数据中，很大一部分数据将以数据库记录的形式存放在数据库。对数据库同样需要采取相关措施，保护其免受非法破坏。永恒信业网站安全保护方案包括数据库记录数据的实时备份、异常破坏和篡改的监控，以及数据库的恢复等功能，确保数据库的安全。
VPN加速企事业单位发展的核心在于其业务的高速发展。如今，网络已成为企事业单位业务最大的载体，ERP、OA、邮件系统等内部业务系统不仅促进了单位的内部交流，而且承担着企事业单位大部分的核心业务。
分布式组织网络交互、数据集中、移动办公等问题表现。
无论是财务系统、业务系统，还是办公系统，一旦我们离开了单位内网，这些系统资源我们都无法使用。事实上，现在领导及员工出差、驻外设置分枝机构的现象越来越普遍。领导出差时如果无法及时使用内网资源，会耽误重要的业务程审批，导致单位流程停滞；员工出差时，如果无法访问内网业务系统，其业务很可能会被搁置，工作效率低下……如何解决移动办公，成为企事业单位提升业务速度的关键之一。
现在大型企事业单位数据集中的整合趋势、分支机构日益增多的组织架构趋势，使集团总部与分支之间，需要运行统一的系统软件来协同工作，他们之间需要进行大量的数据传输。而广域网传输性能低下，专线部署费用昂贵且铺设复杂，这些制约了组织业务的发展。我们发现：传输一个数M的文件需要10分钟，打开一个邮件系统需要数分钟，很多工作时间浪费在等待上，这大大降低了组织机构的业务效率。
在组织总部部署SSL VPN+广域网优化产品，分布在外的分支机构通过部署广域网优化设备，实现与总部广域网优化设备的网络交互，此时，广域网优化设备通过削减传输通道中的重复数据、优化传输协议、压缩传输文件等多种手段，达到快速而经济的网络传输与数据传输。而且广域网优化设备集成VPN模块，可对通道内的数据时行加密来保障组织的业务数据安全。
而出差的领导、员工，驻外的小型分支机构员工，以及第三方机构，则通过SSL VPN协议远程接入组织总部内网，通过对应各自身份的权限来访问和运用不同的业务系统和资源，以达到业务系统的及时操作。
该方案给企事业单位带来的价值
该方案利用了SSL VPN 和广域网优化设备互补的优势，SSL VPN提供快速、安全、便捷的远程客户端访问；而广域网优化设备提供网到网的加速访问，而且其支持移动客户端的加速。
该方案简单易用，容易推广
SSL VPN不需安装客户端，远程用户可随时随地从浏览器上安全地接入总部内网，安全地访问业务系统，因此降低了管理员维护客户端的工作量。标准的SSL传输协议可以轻易地穿越防火墙，使得移动办公用户可在大部分网络环境下都能接入到总部VPN网络。
业务交互安全，让人放心
无论是移动办公用户、第三方接入，还是分布式企业的分支机构接入，SSL VPN、广域网优化设备通过用户名/密码、短信认证、动态令牌、USB-Key认证等组合方式实现对接入用户身份的安全认证，并对其进行精确的权限分配，这可有效保证内网资源访问与应用的合法性。而通过VPN专线、客户端安全检测等技术，我们则可以保证接入客户端的安全问题，从源头上保障接入业务应用的安全性。
业务应用快速，进一步提升效率
而广域网优化设备之间连通的业务网、移动加速客户端与总部广域网优化设备之间实现加速互连，企事业单位可以让移动在外的人员、驻外分支机构与总部的业务应用、资源访问均以加速形式实现，这进一步提升了组织的业务运营效率，优化了组织的业务流程。
内网优化自上世纪60年代"阿帕网"诞生，只短短半个世纪互联网就已经发展成含有一万亿个网页、1.8亿个独立域名的庞然大物。互联网的飞跃式发展，带动了信息的爆炸式传播，促使各色网络资源日趋庞杂，但缺乏上网加速、带宽管理、上网安全的互联网访问给组织带来的问题却是层出不穷。
针对用户面临问题，北京永恒信业推出上网优化网关针对性的提供以下四点价值：
降低带宽利用率，提升网络访问速度
上网优化网关通过丰富的报表工具向IT人员直观展现互联网流量构成、带宽使用情况等信息；再借助上网优化网关的上网加速特性，减少冗余数据反复传输浪费带宽的频率；同时当内网用户访问相同互联网资源时，可直接从网关处提取传输，大幅提升上网速度。
合理规划带宽，使用高效、合理
上网优化网关以丰富的报表工具向IT人员直观展示各应用、各用户的带宽使用情况后，上网优化网关针对应用类型、网站类别、文件类型、用户/用户组、时间段等细致划分和分配带宽资源，既可有效限制P2P、在线影音、大文件下载等不良应用对带宽的大量占用，同时又保障领导等关键用户、ERP等关键应用的带宽需求，进而提升上网速度。
代理内网上网，有效隔离保护
上网优化网关在实现上网加速功效的同时，还提供硬件Proxy代理功能，为大型组织提供性能更强劲、更稳定可靠的硬件Proxy代理方案。借助Proxy代理将帮助组织实现内网与互联网的隔离保护，增强组织网络安全性，同时代理内网数万用户上网。
安全防护内网，稳定上网有保障
上网优化网关能主动清理流量中的恶意插件、危险脚本、病毒、木马等威胁，并封堵色情、反动等不良网站。即使内网用户不幸感染间谍软件、被黑客远程控制、甚至沦为僵尸网络等，上网优化网关亦可识别、封堵、并向管理员报警。同时还可防御DoS攻击、ARP欺骗等恶意威胁。最后还将终端安全状况与其上网权限关联，终端不安全的就禁止上网。多手段、全方位确保组织上网环境的稳定、可靠与安全，为上网加速奠定坚实基础。
内网安全1、上网行为管理
根据Dynamic Markets Limited对全球办公室上网情况的调查：在上班时间，中国员工每周比其他国家的员工多花7.6小时来使用即时通讯(Instant Messenger)工具、玩游戏、P2P下载或在线媒体。中国员工上网下载音乐的时间比拉美国家高16%，进入聊天室和玩在线游戏花费的时间分别比其他国家高约8%和12%。在互联网发达的印度，只有26% 员工在工作场合浏览个人信件，而在中国，这个数字则是60%！
以上行为实实在在地存在于我们的办公网中。事实上，我们很多企业员工打开电脑的第一件事便是开迅雷，下载电影、视频、游戏；也有为数不少的员工痴迷股海，一心扑在大盘上面；而我们的员工在在线视频、在线小游戏、娱乐网站、热门论坛上花费的时间更是惊人。凡此种种，无不给我们有限的带宽资源带来了巨大的流量压力，给员工的办公效率打了一个大大的问号。
随着现代企业管理理念和信息技术水平的提升，如何有效管理与利用互联网资源，这已成为现代企业管理的重要衡量标准。与此同时，上网行为管理的理念愈发深入人心，提升员工网络业务的办公效率，这已经成为政府和企业IT管理者关心的首要问题。
永恒信业科技有限公司在企业办公网络管控、提高员工办公效率方面积累了相当的经验，通过以网关、网桥、或旁路模式部署上网行为管理产品，可以有效对内网员工的各种网络应用行为进行管理。上班时间，封掉影响业务效率的非业务应用及相关网站；对挤占公司带宽资源的应用进行流量控制，确保主流的办公应用带宽资源，以提高业务应用的办公效率……具体而言，永恒信业封堵非业务网络应用解决方案，将带来下述价值：
1. 全方位封堵p2p ，确保正常办公业务带宽
2. 针对性应用管控，对事张驰有度
3. 选择性内容过滤，方式灵活
4. 差异化权限划分，构建和谐组织
随着信息安全技术和理念的发展，安全监控的关注点已经从设备转向对于设备使用者的行为，用户对于设备使用人行为审计和行为控制的需求越来越明显，由此国内外均已有相关的政策和法规陆续出台，国内的《涉及国家秘密的信息系统分级保护技术要求》、《信息系统安全等级保护基本要求》、《信息系统安全等级保护测评准则》和国外的《萨班斯·奥克斯利法案》也均明确的提出了对主机行为的监控和审计要求。
主机安全监控强审计系统通过技术手段使各种管理条例落实，增强用户的安全和保密意识，保护内部的信息不外泄，适用于政务、军队军工、金融等各个保密要求性较高的企事业单位。
系统功能描述
1 ）上网访问行为审计和控制
2 ）文件保护及审计
3 ）网络文件输出审计
4 ）邮件审计
5 ) 打印审计
6 ) 文件涉密信息检查
7 ) 用户权限审计
8 ) 各自独立的权限分配体系
9 ) 系统日志审计
2、终端接入控制
网络接入控制管理系统可以保护整个企业内部网络，包括可管理的（企业台式机、手提电脑、服务器）以及不可管理的（外部访客、合作伙伴、客户）终端。能够强制提升企业网络终端的安全，保证企业网络保护机制不被间断，配置正确无误，以及补丁拥有最新的时效性，使网络安全得到更有效提升。与此同时基于设备接入控制网关，还可以对于远程接入企业内部网络的计算机进行身份、唯一性及安全认证。
通过网络接入控制管理系统可以满足企业要求，将设备接入控制扩展到超出简单远程访问及路由器、专有协议和已管理设备的限定之外；能够覆盖到企业网络的每一个角落，甚至是当使用者拿着他们的移动设备离开企业网络时，仍能有效的提供设备接入控制的执行。网络接入控制管理系统针对所有的网络架构工作，并且不必进行昂贵的网络架构改造。
系统功能描述
1. 802.1x接入认证管理；
2. 未注册终端接入访问区域限制（vlan限制）；
3. 未安装杀毒软件等必备软件自动安装下载管理；
4. 未打补丁终端接入限制；
5. 运行不可信进程、服务、注册表终端接入限制；
6. 未达到预定义安全级别的终端接入访问区域限制；
7. 自定义终端安全接入必须的桌面运行安全环境。
系统集成解决方案
局域网组建及机房建设解决方案工程设计概述
永恒信业局域网组建及机房建设解决方案充分考虑到网络的稳定可靠是业务系统健康运行的重要条件之一，所以对网络整体架构的高可用性和高可靠性设计必须考虑全面。网络架构必须能够达到业务系统对服务级别的要求，并且通过多层次的冗余考虑，使得整个网络架构能够满足业务系统不间断稳定运行的需求，同时实现网络层面的灾难恢复。在整体设计过程中需充分考虑网络架构的易于管理性，网络设计的简单化直接关系到网络的运行和维护成本，也是网络稳定运行的保障，并提供及时迅速发现和排除网络故障的能力。在网络设计中，采用业务功能模块化和网络拓扑层次化的设计方法，使得网络架构在功能、容量、覆盖能力等各方面具有易扩展能力，以适应快速发展的业务对网络基础架构的要求，为更大规模扩展奠定坚实的基础。
参考目前国内外数据中心网络建设中普遍采用的网络架构，永恒信业在设计网络时，保持技术上具有总体先进性和开放性；同时，必须考虑成熟性、稳定性与先进性相结合，保证网络稳定有效的前提下具有一定的前瞻性，保证了企事业单位整个网络的高可靠性、高性能、高安全性和灵活的扩展性。
内网整体架构设计
某局域网中心内网拓扑结构下图所示：  图 1 内网拓扑结构图
某局域网中心内网由两台万兆核心交换机构建核心区，负责各汇聚区间的高速交换。两台核心交换机与汇聚交换机间“口”字型连接。
目前某局域网中心内网设计了两组汇聚交换机，一组汇聚交换机连接内网网省区和信息接入区（含用户接入区），这些区域间的通信比较频繁，通过一组汇聚交换机连接，可以提高网络运行效率；另外一组连接内网的其它功能区。
今后中心内网扩展时，仍可以使用现有的核心区作为整个内网的交换核心，只需要增加相应的汇聚交换机及其下联功能区网络设备即可。
外网整体架构设计
某局域网中心外网拓扑结构如图所示：  外网拓扑结构图
其中：
1. 外网为双核心交换机、双汇聚交换机的结构；
2. 带内管理区由两台万兆核心交换机作为区域核心交换机；
3. 用户接入区由两台三层全千兆交换机作为区域核心交换机，下联三层全千兆交换机；
4. DMZ区使用一台万兆核心交换机；
5. 互联网接入区路由器通过防火墙连接外网汇聚交换机；
6. 互联网接入区通过MSTP连接白广路，由白广路的Internet出口连接互联网；
7. 带外管理区放置两台三层全千兆交换机，带外管理区与外网物理隔离。
数据存储及容灾备份解决方案用户需求： 
随着企事业单位的不断发展，系统内数据量越来越大，原有的数据空间已经完全不能满足业务系统的数据量增长。
另外，系统内部每天都会产生巨大的数据量，如果单纯对每天的业务系统生产数据进行简单的备份，这样会耗费巨大的存储空间和时间。
解决方案：  方案图
通过IP网络链路，永恒信业存储解决方案采用先进的横向扩展集群存储架构设计，通过增加节点，存储容量和性能都能实现线性增长，满足系统内部未来对存储容量和性能的增长需求。
  
使用带有数据重复删除的Data Domain备份存储，通过其操作系统全局压缩（Global Compression）技术所带来的20倍总体压缩比，使其所占用的磁盘空间远远低于传统方式的磁盘存储。
用户受益：
存储系统支持应用系统只通过一个文件系统存取和访问影像文件，简化应用系统的部署。单一文件系统提供高吞吐量和海量存储空间，并且方便灵活、在线增加节点，文件系统自动扩展，数据自动平衡，而无需停机、手动迁移数据或重新配置应用程序逻辑。
永恒信业存储解决方案设备将高吞吐量，可以保存许多星期备份数据的存储容量，随机访问特性，以及通过网络的高速复制这些优势结合在一起，从而大大改善了整个备份和恢复过程，降低了每千兆字节的成本，从而带来的总体拥有成本TCO的降低。