内网安全整体解决方案
为网络协议中最有价值的安全分析维度，其本身就承载着重要的风险识别作用，针对内部网络的任何攻击行为都将在内部异常流量中呈现本质化特征，因此基于流量的内网安全数据分析是最能客观反映当前内网安全等级的参考指标。
2.3.2.1 基线建模异常流量分析
流量异常检测的核心问题是实现流量正常行为的描述，并且能够实时、快速地对异常进行处理。系统采用了一种基于统计的流量异常检测方法，首先确定正常的网络流量基线，然后根据此基线利用正态分布假设检验实现对当前流量的异常检测。比如流量的大小、包长的信息、协议的信息、端口流量的信息、TCP标志位的信息等，这些基本特征比较详细地描述了网络流量的运行状态。
总体设计 网络流量异常检测模型的总体设计思路是：从网络的总出口采集数据，对每个数据包进行分类，将它的统计值传到相应的存储空间，然后对这些数据包进行流量分析
2.3.2.2 流量分析引擎
对采集到的数据进行分析处理。通过建立正常网络流量模型，按照一定的规则进行流量异常检测。同时根据滑动窗口的更新策略，能够自动学习最近的流量情况，从而调整检测的准确度。
建立正常网络流量模型 要进行流量异常检测，必须首先建立正常的网络流量模型，然后对比正常模型能够识别异常。本文使用基于统计的方法来实现异常检测，利用网络流量的历史行为检测当前的异常活动和网络性能的下降。因此正常流量模型的建立需要把反映网络流量的各项指标都体现出来，使其能够准确反映网络活动。
在系统运行时，统计当前流量行为可测度集，并同正常的网络基线相比较，如果当前流量行为与正常网络基线出现明显的偏离时，即认为出现了异常行为，并可进一步检测分析；如果两种行为没有明显偏差，则流量正常，更新正常网络流量模型。
通过该界面实现查看信息、设定检测规则、设定阈值、设定报警方式以及处理报警等功能。系统应该对于检测出的异常主机进行标记，标记异常的类型、统
第 26 页
内网安全整体解决方案
计量、阈值指标、消息以及异常发生的时间等情况，给系统管理员报告一个异常信息。
2.3.2.3 异常的互联关系分析
对于不符合白名单和灰名单的互连关系和流量，系统会自动生成未知数据流，并对未知数据流进行识别、匹配，从中提取可供判断的信息，如：单点对多点的快速连接，系统会识别为网络扫描，非正常时段的数据连接，系统会视为异常行为，多点对单点的大流量连接，系统会识别为非法应用等。用户对未知数据流识别、确认、处理后，可将未知数据流自动生产报警或提取到白名单。
2.3.3 内网多源威胁情报分析
建议在内网部署多源威胁情报分析，通过对不同源头威胁情报的统一汇总、分析、展示等功能，极大提高情报告警准确率，帮助评测内部信息系统遭受的风险以及安全隐患从而让安全团队进行有安全数据佐证的重点内部领域防护措施。内部安全团队多人对单条威胁情报存在疑虑时，可进行协同式研判，提升单挑威胁情报与情报源的命中率统计。内部安全管理员可以定期生成威胁情报月报，便于将一段时间内的系统漏洞、应用漏洞、数据库漏洞进行选择性摘要，使安全加固工作处于主动、积极、有效的工作场景之中。
2.4 内网安全管控措施
2.4.1 内网安全风险主动识别
2.4.1.1 基于漏洞检测的主动防御
云安全防护虚拟资源池内为用户提供了系统层漏扫、web层漏扫、数据库漏扫三种检测工具，可以为用户提供定期的安全风险检测，基于已知风险或未知风险进行安全策略调整、漏洞修复、补丁更新等主动防御行为。
第 27 页
内网安全整体解决方案
2.4.1.1.1 漏洞检测范围
操作系统：Microsoft Windows 2003/2008/7/8/10/2012、MacOS、Sun Solaris、UNIX、IBM AIX、IRIX、Linux、BSD；
数据库：MSSQL、MySQL、Oracle、DB2、PostgreSQL、SYBASE、SAP MaxDB、solidDB、Firebird；
网络设备：支持CISCO、Juniper、Citrix、EMC、Fortinet、Nortel、ZyXEL、BlueCoat、Check Point、趋势科技、Websense、3COM、F5、SonicWALL、MikroTik RouteOS、DD-WRT、D-Link、NETGEAR。
应用系统：各种Web服务器应用系统（IIS、Apache Tomcat、IBM lotus……）、各种DNS服务器应用系统、各种FTP/TFTP服务器应用系统、虚拟化系统（Vmware、Virtual Box、KVM、OpenStack等等）、邮件服务器应用系统（MS Exchange、IMAP、Ipswitch Imail、Postfix……） 2.4.1.1.2 识别漏洞类型 ? 系统漏洞类型
Windows漏洞大于1946种、MacOS漏洞大于192种、UNIX漏洞大于959种、数据库服务器漏洞大于357种、CGI漏洞大于2301种、DNS漏洞大于76种、
第 28 页
内网安全整体解决方案
FTP/TFTP漏洞大于278种、虚拟化漏洞大于613种、网络设备漏洞大于516种、Mail漏洞大于251种、杂项漏洞（含RPC、 NFS、主机后门、NIS、 SNMP、守护进程、PROXY、强力攻击……） ? web漏洞类型
微软IIS漏洞检测、Apache漏洞检测、IBM WebSphere漏洞检测、Apache Tomcat漏洞检测、SSL模块漏洞检测、Nginx漏洞检测、IBM Lotus漏洞检测、Resin漏洞检测、Weblogic漏洞检测、Squid漏洞检测、lighttpd漏洞检测、Netscape Enterprise漏洞检测、Sun iPlanet Web漏洞检测、Oracle HTTP Server漏洞检测、Zope漏洞检测、HP System Management Homepage漏洞检测、Cherokee漏洞检测、RaidenHTTPD漏洞检测、Zeus漏洞检测、Abyss Web Server漏洞检测、以及其他Web漏洞检测等Web服务器的扫描，尤其对于IIS具有最多的漏洞检测能力，IIS漏洞大于155种 ? 数据库漏洞类型
MSSQL、MySQL、Oracle、DB2、PostgreSQL、SYBASE、SAP MaxDB、solidDB、Firebird……等，可以扫描数据库大于三百五十多种漏洞，包含了有关空口令、弱口令、用户权限漏洞、用户访问认证漏洞、系统完整性检查、存储过程漏洞和与数据库相关的应用程序漏洞等方面的漏洞，基本上覆盖了数据库常被用做后门进行攻击的漏洞，并提出相应的修补建议 2.4.1.1.3 内部主动防御
根据漏洞扫描结果，给予定制化安全加固方案，结合漏洞级别、漏洞类型、漏洞波及范围、修复风险、加固后复测等人工服务，配合用户第一时间完成修复工作，我们将从信息安全专业技术层面为您说明每一条漏洞可能导致的安全事件可能性，从用户安全运维、业务系统稳定运行的角度出发，给出可落地的安全加固方案。
2.4.2 内网统一身份认证与权限管理
建议构建统一身份认证与权限管理系统，建立统一身份库，业务操作人员、系统运维人员、IT基础架构运维人员、业务应用管理员、IT基础架构管理人员、
第 29 页
内网安全整体解决方案
系统管理人员通过统一认证入口，进行统一的身份认证，并对不同人员设置不同的访问权限，并实现所有用户登录及访问行为分析和审计。
2.4.2.1 统一用户身份认证设计
建立的统一身份库，包括运营身份库和业务人员身份库，使用户在统一身份库中，只有唯一身份标识，用户向统一认证平台提交的证明是其本人的凭据，根据系统级别不同，采用的认证方式不同，每个应用系统都有自己的账户体系，这些账户被看做是访问一个信息资产的权限，管理员可以在统一身份认证与权限管理系统中配置某个用户在系统中对若干账户的访问权限。实现各应用系统不再处理身份认证，而是通过统一的身份认证入口进行认证，通过后期的行为分析提供对异常行为的检测及加强认证或阻断操作。用户分类具体如下图所示：
2.4.2.2 统一用户权限管理设计
一、外部用户 二、内部用户
1、运维人员的权限管理
第 30 页