深信服云安全资源池培训_0621
深信服云安全解决方案培训资料
遇到安全问题时的 应对措施
深信服云安全解决 方案培训课程安排
培训目标与内容
培训目标：提高学员 的云安全意识和技能 水平，掌握深信服云 安全解决方案的核心 技术
培训内容：深信服云 安全解决方案的原理、 架构、功能和应用场 景，以及实际操作和 案例分析
培训形式：线上或线 下培训，包括理论讲 解、实践操作和互动 讨论等环节
市场前景展望
深信服云安全解决方案在市 场上的竞争优势和市场份额
云计算市场的快速增长和云 安全需求的增加
未来云计算技术的不断创新 和深信服云安全解决方案的
升级与拓展
行业标准和法规对云安全市 场的规范和推动
THANK YOU
汇报人：
升级与扩展：根据业务发展和需求变化，及 时对深信服云安全解决方案进行升级和扩展， 提高系统性能和安全性
注意事项：在实施过程中，需要注意数据备 份、系统安全性、网络稳定性等方面的问题， 确保实施过程顺利进行
常见问题与解决方案
部署过程中遇到的 问题及解决方法
实施过程中遇到的 问题及解决方法
常见故障排查及处 理方法
确定部署目标：明确云安全解决方案的总体目标和具体需求
选择部署方式：根据实际情况选择合适的部署方式，如公有云、私有云或混合云
设计部署架构：根据目标需求和部署方式，设计合理的部署架构，包括网络架构、安全架构、 数据架构等
制定实施计划：根据部署架构，制定详细的实施计划，包括时间表、人员分工、资源需求等
实施步骤与注意事项
深添加信副服标云题 安全解决 方案培训资料
汇报人：
目录
PART One
添加目录标题
PART Three
深信服云安全解决 方案技术详解
PART Five
深信服培训讲义
配置步骤一（IP/MAC认证的用户）
1、首先为办公区的用户建一个用户组
办公区用户
配置步骤一（IP/MAC认证的用户）
2、配置认证策略 新增一个认证策略，选择认证方式，。需求是同时绋定IP/MAC，因 此选择IP/MAC绋定，且绋定方式为用户和地址双向绋定。 开启新用户选项，自劢添加新用户到办公区用户组。
典型部署模式不配置
路由器（FW）
IP:192.168.1.1/24
路由器（FW）
路由器（FW）
AC
网桥IP:192.168.1.3/24 IP:192.168.1.2/24
AC
三层交换机
三层交换机
192.168.2.0/24
192.168.3.0/24
172.16.1.0/24
192.168.2.0/24 192.168.3.0/24 172.16.1.0/24
上网策略典型应用场景及配置某公司网络中充斥着各种流量上班时间p2p下载导致致使办公应用很慢员工上班时间炒股qqmsn聊天玩游戏使得办公效率丌公司决策层希望实现上班时间能封堵所有员工的p2p和迅雷等多线程下载玩游戏和炒股其余部门的人员丌准上班时间使用qq和msn只有技术支持和销售部门才能使用qq和msn聊天但是要审计聊天内容下班时间所有的应用都能允许使用另外所有人的上网行为需要被审计
高。
公司决策层希望实现上班时间能封堵所有员工
的P2P和迅雷等多线程下载，玩游戏和炒股，
其余部门的人员丌准上班时间使用QQ和MSN ，只有技术支持和销售部门才能使用QQ和 MSN聊天，但是要审计聊天内容，下班时间 所有的应用都能允许使用，另外所有人的上网 行为需要被审计。
上网策略典型应用场景及配置
我们先来分析下客户的需求： 1. 技术支持和销售部门上班时间丌允许P2P和迅雷等多线程下载工具 下载，玩游戏和炒股，所有上网行为需要被审计，包拪QQ和MSN 的聊天内容。 其他公司人员上班时间丌允许P2P和迅雷等多线程下载工具下载， 玩游戏和炒股，QQ/MSN聊天，所有上网行为需要被审计
SANGFOR_NGAF_安全防护功能培训
SG代理
安全防护策略
2.IPS
（1）IPS是什么？ IPS（Intrusion Prevention System，入侵防御系统）依靠对数据包的检测来
发现对内网系统的潜在威胁。不管是操作系统本身，还是运行之上的应用软件 程序，都可能存在一些安全漏洞，攻击者可以利用这些漏洞发起带攻击性的数 据包。
AF内置了针对这些漏洞的防护规则，并且通过对进入网络的数据包与内 置的漏洞规则列表进行比较，确定这种数据包的真正用途，然后根据用户配置 决定是否允许这种数据包进入目标区域网络，以达到保护目标区域网络主机不 受漏洞攻击的目的。
保护客户端软件（如OA、IE等）
防止针对web activex 控件漏洞、web浏览器、文件格式、应用软件进行的攻击。
SG代理
安全防护策略
2.IPS
选择防护的源区域
选择防护的目标区 域及目标IP组
选择对服务器或 者是客户端的哪 些漏洞进行防护
SG代理
攻击检测出来的 结果会记录日志
到数据中心
安全防护策略
SG代理
安全防护功能介绍
2.AF对内网用户上网的安全防护
未授权的访问，非法用户流量 内网存在DDOS攻击、ARP欺骗等 不必要的访问（P2P、视频语音） 不合法的访问（色情、赌博等网站） 不可靠的访问（不明来历的脚本、插件） 不安全的访问（网页、邮件携带病毒） 利用客户端电脑的漏洞、后门等发起攻击
找相应的漏洞 口令防护，用于防止攻击者暴力破解用户口令，获取用户权限 权限过滤，用于防止上传恶意文件到服务器和对正在维护的URL目录进行
保护
SG代理
安全防护策略
3.服务器保护
SG代理
选择防护的源区域
选择防护的目标区 域及目标IP组
深信服云安全解决方案培训资料
深信服云安全解决方案深信服电子科技有限公司2015年11月7日目录第一章建设背景 (4)1.1 云平台背景 (4)1.2 云平台建设意义 (4)第二章需求分析 (5)2.1 需求概述 (5)2.2 平台侧需求 (7)2.2.1 平台安全需求 (7)2.1.2 接入安全需求 (8)2.1.3 业务可靠需求 (9)2.3 租户侧需求 (10)2.3.1 租户间隔离需求分析 (10)2.3.2 租户虚拟机需求分析 (11)2.3.3 租户互联网业务需求分析 (11)2.3.4 租户外网业务需求分析 (12)2.5 管理运维需求 (13)第三章设计原则 (14)第四章解决方案 (15)4.1 解决方案综述 (15)4.2 平台侧设计方案 (17)4.2.1 平台安全方案 (17)4.2.1.1. 平台分区分域 (18)4.2.1.2. 防网络病毒 (18)4.2.1.3. 应用安全防护 (18)4.2.1.4. 防止漏洞攻击 (19)4.2.1.5. 多业务数据隔离和交换 (19)4.2.2 接入安全方案 (20)4.2.2.1 云间安全互联 (21)4.2.2.2 租户安全接入 (22)4.2.3 业务可靠需求 (23)4.2.3.1. 防拒绝服务攻击 (23)4.2.3.2. 链路/全局负载均衡 (23)4.3 租户侧设计方案 (24)4.3.1 租户安全设计 (24)4.3.2 业务系统安全 (25)4.3.3 业务稳定可靠 (26)4.3.4 业务安全接入 (27)4.3.5 租户应用场景 (28)436 NFV安全组件部署方式 (30)4.4 管理运维设计方案 (31)4.4.1 平台运维 (31)4.4.1 租户运维 (33)4.4.1 平台服务商合作运维 (34)第五章解决方案价值 (35)5.1 高安全：提供专业、可靠的服务 (35)5.2高性价比：降低IT建设成本 (36)5.3 高效率：业务系统部署速度快 (36)5.4 高协同：降低信息共享和业务协同难度 (36)第一章建设背景1.1 云平台背景云计算的兴起，给人们的工作方式以及商业模式带来根本性变化，甚至可能掀起信息技术的第三次“浪潮”。
安全资源池PPT
安全资源池
在云数据中心部署、网络打通
策略路由
租户A 安全服务 Web安全 增强包
基础防御包
安全接入包
租户B 安全服务
云端监测包
租户C 安全服务
安全运营包
失陷主机 发现包
云端监测包
基础防御包
Web安全 增强包
计算资源 存储资源
租户A
计算资源 存储资源
租户B
云平台
计算资源 存储资源
租户C
基于超融合技术，提供安全服务。
基础防御 包
高级防御 包
云端监测 包
租户B的业务是面向公众的，系统架构为B/S架构，公众通过域名访问。为了避免系统被恶意扫描、入 侵、篡改，系统出现问题，可以及时发现，所以建议用户使用使用“基础防御包”“高级防御包”“ 云端检测包”。 另外，为了保证系统的可用性，提升服务器、业务系统的使用效率，可以建议用户选择增值服务包中 2020/3/22 的“负载均衡”
安全资源服务交付流程——发起请求
租户安全服 务需求发起
基础防御 包
高级防御 包
按组件、按需分配 安全服务
平台运营方
安全组件基 本信息配置
个性化安全 策略配置
日常安全事 件运营
租户
2020/3/22
安全运营服务
安全资源服务交付流程——定义安全服务
安全服务定义
场景定义
交付功能定义
2020/3/22
安全资源服务交付流程——分配安全服务
。
03
可运营
① 安全需求随租户迁移线性增长。 ② 运营方要求前期投入低，零库存。 ③ 支持合作运营，保障持续业务增值。
服务化交付
02
功能丰富
01
深信服数据库管理平台DMP培训-数据库容灾
保护模式
最大保护 最高可用性 最高性能
数据丢失的风险 重做传输机制
零数据丢失 可能丢失 有数据丢失
LGWRSYNC
LGWRSYNC LGWR ASYNC 或 ARCH
是否须要standby redo YES YES 可选
磁盘写入
AFFIRM AFFIRM AFFIRM或 NOAFFIRM
Oracle容灾需求收集和规划
最高可用性模式（maximum availability）：仅次于“最大保护模式”，接近零数据丢失的灾难恢复。 重做数据由 LGWR 从主数据库同步地传输到备用数据库，直到确认事务数据在备库服务器落盘，事务才在主数据库上完毕，潜在地影响主数据库事务处理性能。当 备用数据库变为不可用导致同步超时后，同步模式降级为“最大性能模式”，备库再次可用时恢复为“最大保护模式”。因此需要配置一个低延迟网络，并为它分配 足够应付业务高峰期的带宽来将这样的影响减到最小。
最大性能模式（maximum performance）：是默认的保护模式，此模式允许数据丢失。 重做记录由日志写入进程 (LGWR) 或归档进程 (ARCH)异步传输到备用数据库上，完成主数据库上的写操作即可提交成功，不等待备用数据库确认接收。在主数据库 出现问题的情况下，尚未被发送到备库的数据会丢失，对性能仅有非常小的影响或没有影响。若网络吞吐量和延迟较低，使用日志写入进程 (LGWR)同步数据，丢失 的事务将很少或者为零。
Oracle高可用技术-DataGuard的同步进程
日志传输服务Log Transport Service
LGWR：LGWR写联机重做日志，在同步模式下，直接将redo信息直接传送到备库中的RFS进程，主库在继续进行处理 前需要等待备库的确认在非同步情况下, 直接将日志信息传递到备库的RFS进程，但是不等待备库的确认信息主库进程 可以继续进行处理。 ARCH：ARCH进程可以在归档的同时，传递日志流到备库的RFS进程，该进程还用于检测和解决备库的日志不连续问 题（GAP）。 FAL(Fetch Archive Log)：fetch archive log只有物理备库才有该进程，FAL进程提供了一个client/server的机制， 用来解决检测在生产库产生的连续的归档日志，而在备库接受的归档日志不连续的问题，该进程只有在需要的时候才会 启动，而工作完成后就关闭，因此在正常情况下，该进程无法看到，可以设置通过LGWR，ARCH进程去传递日志到备 库，但是不能两个进程同时传送。 LNSn（LGWR Network Server process）：把日志通过网络发送给远程的目的地，每个远程目的地对应一个LNS进 程，多个LNS进程能够并行工作。
深信服上网行为管理基础操作培训
培训内容 初识设备
如何登录设备
培训目标
了解设备软件版本，硬件型号及设备 面板提示灯含义 掌握设备控制台登录方法
如何恢复出厂配置
掌握设备恢复出厂配置方法
如何恢复控制台admin帐号和密码 掌握恢复控制台admin帐号和密码的 方法
SANGFOR设备升级系统使用介绍 掌握SANGFOR设备升级系统使用方法
同时，AC/SG设备eth1口也有保留IP地址128.128.125.252/29，也可以 能过交叉线电脑接到设备eth1口，且电脑配置IP为128.128.125.253/29， 通过https://128.128.125.252登录设备控制台。
注意：只有路由模式eth0和eth1口才有保留地址，其它模式部署无 法使用此方法登录设备
2、准备交叉线短接设备任意两个电口。
3、手动重启设备，重启过程中，注意观察交叉线短接的两个电口ACT灯状 态，两个电口ACT灯同时闪烁10次后，说明密码恢复完成，此时可以拨掉 短接的交叉线，通过默认的控制台帐号密码admin/admin登录设备即可。 设备重启到密码恢复成功大约3到5分钟左右。
4、如果第3步无法根据网口灯状态判断密码恢复是否成功，你可以一直等 待，等待5到10分钟左右，尝试通过默认帐号admin/admin帐号登录设备
(2) 如果电脑连接的是设备的eth1口，需先在电脑上配置一个 10.252.252.0/24网段的地址（10.252.252.252除外），打开浏览器输入 https://10.252.252.252 登录设备网关控制台。
2、输入控制台admin帐号登录设备。默认的管理员用户名和密 码为admin/admin。
SG： 2.0,2.0Rx,2.1,3.0,3.3,3.3Rx,3.4,3.5,4.0,4.2,4.3,4.4,4.5，4.5Rx， 4.6,5.0,5.1,5.2,5.3,5.4,5.5,5.6,5.7,6.0...............
云安全内训PPT
方案
无论有没租户，只要整个云中 心的安全都是由一个部门来负 责运维/管理，主推私有云安全
方案
云安全场景分类测试：
哪个是保姆式安全，哪个是责任共担式安全？
XXX政务云
平台（太极、运营商）：负责云 平台安全，并提供IT基础资源服 务，未来计划提供安全技术手段 给租户
租户：VPC搭建业务应用系统，并 自己负责网络、应用等安全运维
所谓的“云”这么多，我们方案也不少，到底推什么方案？怎么区分？
政务云 行业云
私有云 园区云
。。。 专有云
到底推什么方案？
云计算安全场景区分原则：安全责任
云的运营、使用、安全责任分担模式，决定了安全方案的不同： 1、有没有租户 2、租户业务系统的安全责任、运维谁来管？
安全责任共担
保姆式安全
对于有租户的云，并且需要租 户自行负责VPC中业务系统的安 全运维/管理，主推政务云安全
基础的平台合规需求 新建项目都有机会，刚需！填空题！ 省、市、区县都需要
云安全解决方案全景图（责任共担式）
安全责任共担：云平台安全由平台方负责，租户安全由租户负责
流
量
租户方
清 洗
网站流量清洗服务
安 全 资 运营方 源 池
满足租户合规、业务安全需求
云 平 建设方 台 安 全
互联网出口区
移动安全接入区
深信服云计算市场 云安全方案培训
安全BU
内容提纲
1 安全BU核心工作梳理 2 云计算市场 安全场景划分&方案全景图 3 政务云安全解决方案 销售策略解析 4 专有云/私有云安全解决方案 销售策略解析
深信服市场新员工培训产品手册
R深信服科技市场新员工培训资料深信服科技2020年4月1目录第1章公司介绍 (1)1.1 公司产品介绍 (1)1.1.1 网络基础架构 (1)1.1.2 网络安全产品 (1)1.1.3 网络优化产品 (2)第2章虚拟化桌面云aDesk (3)2.1 aDesk专业术语 (3)2.1.1 虚拟化 (3)2.1.2 云计算 (3)2.1.3 云计算与虚拟化的关系 (4)2.1.4 瘦客户机 (4)2.1.5 VDI/VDC/VM (4)2.1.6 SRAP技术 (4)2.2 虚拟化一站式解决方案 (5)2.3 aDesk方案的虚拟桌面方式 (5)2.4 虚拟桌面主推卖点分析 (6)2.5 2014年主推的销售场景 (7)2.5.1 企业 (7)2.5.2 政府 (7)2.5.3 教育 (7)2.5.4 医疗 (7)2.5.5 金融/运营商 (7)2.6 虚拟化产品的核心优势 (7)2.7 虚拟桌面模式的价值 (8)第3章企业级无线Wlan (8)3.1 Wlan专业术语 (8)3.1.1 Wlan（Wireless LAN） (8)3.1.2 802.11协议簇 (8)3.1.3 MIMO (9)3.1.4 Wifi (9)3.2 WLAN 基础 (9)3.3 企业级无线主推卖点 (10)3.3.1 更安全 (10)3.3.2 更快速 (10)3.3.3 可运营 (11)3.4 企业级无线的应用场景和需求点 (11)3.5 深信服WLAN相对家用无线的优势 (12)3.6 深信服无线与友商相比，有何优势？ (12)3.7 深信服无线的方案亮点与价值 (12)第4章下一代防火墙NGAF (13)4.1 AF专业术语 (13)4.1.2 IPS (13)4.1.3 WAF (13)4.1.4 UTM (13)4.2 什么是下一代应用防火墙NGAF？ (13)4.3 怎样向客户介绍NGAF？ (14)4.4 销售思路 (14)4.5 应用场景 (15)4.6 NGAF八大解决方案(八大卖点) (15)4.7 NGAF区别于传统设备的价值 (19)4.8 NGAF与FW、IPS、WAF、UTM的区别 (19)4.9 NGAF的防篡改功能和软件防篡改对比优势 (20)4.10 NGAF的防泄密功能和WAF的对比优势 (20)4.11 AF差异化竞争优势 (20)第5章 VPN资料 (21)5.1 VPN专业术语 (21)5.1.1 IPSEC VPN (21)5.1.2 SSLVPN (21)5.1.3 PPTP VPN (21)5.1.4 公网线路 (22)5.1.5 专线 (22)5.1.6 丢包 (22)5.1.7 延时 (22)5.1.8 跨运营商 (22)5.1.9 微软终端服务 (22)5.1.10 ADSL的VPN组网问题 (23)5.1.11 ERP（Enterprise Resource Planing）软件 (23)5.1.12 CRM（Customer Relationship Management）软件 (23)5.2 VPN客户需求、应用场景、竞争策略 (23)5.2.1 IPSEC和SSL的区别 (23)5.2.2 拥有IPSEC模块产品 (23)5.2.3 VPN客户的两个基本需求 (24)5.2.4 VPN解决方案 (24)5.2.5 VPN竞争策略 (26)第6章 AC资料 (27)6.1 AC专业术语 (27)6.1.1 AC (27)6.1.2 SG (27)6.1.3 P2P (27)6.1.4 IM (27)6.1.5 DOS攻击 (27)6.1.6 ARP欺骗 (27)6.1.7 端口 (28)6.1.8 URL (28)6.1.10 VRRP (28)6.2 AC目标客户需求 (28)6.3 AC优势功能 (29)6.4 AC新卖点 (30)6.5 AC竞争优势 (31)6.5.1 品牌优势 (31)6.5.2 功能优势： (31)6.5.3 服务优势 (31)6.6 AC方案价值 (32)第7章 WOC资料 (32)7.1 WOC专业术语 (32)7.1.1 广域网 (32)7.1.2 QoS (32)7.1.3 HTP(高速传输协议) (33)7.1.4 基于码流特征的流缓存 (34)7.1.5 UDP代理（适用于低延时、高丢包场景） (35)7.1.6 FEC前向校验（适用于高延时、高丢包场景） (36)7.2 WOC核心功能 (36)7.3 WOC视频会议优化方法 (36)7.4 WOC客户需求及应用价值 (36)7.5 WOC解决方案及应用场景 (37)7.6 WOC需求引导及市场工作步骤 (38)7.7 *WOC白板 (38)第8章 AD资料 (41)8.1 AD专业术语 (41)8.1.1 负载均衡 (41)8.1.2 本地负载均衡 (41)8.1.3 全局负载均衡 (41)8.1.4 DNS (42)8.1.5 会话保持 (42)8.1.6 SSL加密 (42)8.1.7 Weblogic集群 (43)8.1.8 WebSphere集群 (43)8.1.9 Oracle集群 (44)8.1.10 DNS透明代理 (44)8.1.11 SSL卸载技术 (45)8.1.12 TCP连接复用 (46)8.1.13 链路繁忙控制 (47)8.1.14 多链路负载均衡技术 (48)8.1.15 服务器负载均衡介绍 (50)8.2 应用交付与负载均衡的关系 (52)8.3 AD的客户需求 (52)8.4 AD目标客户特征与销售场景 (52)8.4.1 用户上网的链路负载 (52)8.4.2 网站访问的链路负载 (53)8.4.3 Web网站的服务器负载 (53)8.5 AD解决方案及应用背景 (53)8.6 AD竞争策略 (55)第1章公司介绍1.1公司产品介绍1.1.1网络基础架构桌面虚拟化aDesk深信服aDesk桌面云方案为企业提供端到端的一站式解决方案，通过将用户桌面在数据中心集中化运行和管理，极大地降低了运维难度并提高了数据的安全性，同时实现了用户桌面在各种终端上的任意切换。
深信服网站业务安全即服务培训PPT
2019/3/24
3
如何应对上述安全问题？
2019/3/24
突破传统防护模式弊端
防御，从静态转向动态：24小时之内拦截未知威胁； 监测，从定期转向实时：5分钟内感知网站安全事件； 响应，由被动转向主动，主动处置服务垂手可得；
2019/3/24
构建“边界+云服务”的网站安全体系
通过持续监测、持续加 固、持续响应的“三位一体” 快速迭代，构建“边界安全 设备+云化安全服务”的交 付方式，防患于未然避免威 胁扩大。 通过安全云服务平台的 大数据关联、智能分析锁定 风险链条，及时感知隐藏的 入侵威胁。
持续 监测 持续 加固
• 让用户成为第一个知道也 是最后一个知道自己安全 问题的人
• 通过不断优化安全策略以 及及时给出加固建议，助 力用户抵御新型高级威胁
持续 响应
• 通过主动分钟级的事件响 应能在威胁扩大前及时处 置
2019/3/24
4
深信服“动态”网站安全防护解决方案
2019/3/24
深信服解决方案概述
以下一代防火墙构建防御核心，通过与深信服“智能云端服务”的 联动构建“防御、检测、响应”的综合网站“动态”安全体系
与云端智能联动的动态安全防御 智能分析平台+云端专家团构成的云端智能安全服务 分钟级的检测响应和问题处置能力
专业全面的服务内容和交付能力
2019/019/3/24
智能分析平台+云端专家团构成的云端智能安全服务
2019/3/24
分钟级的检测响应和问题处置能力
2019/3/24
专业全面的服务内容和交付能力
L2-7层防御 主动建模防御 防篡改事后防御 防网站漏洞扫描 未知威胁防御 可视化风险感知
深信服云安全资源池培训-0621
MSG
VM
VM
vSwitch
VM
VM
vSwitch
vADC
vFW
vFW
VM
VM
vSwitch
VM
VM
2019/1/19
SDN方案分析
理想中的SDN方案： 想象一个场景，客户跟你讲SDN方案超级牛逼，流量随便调度，根据流表指哪打哪，根 据流表调度策略可以先后经过预设的NFV设备或硬件设备。
现实中的SDN方案： 1. 其实就是使用了VXLAN 2. 边界设备如防火墙通过接口调用来生成策略，这还不叫SDN，如华为，租户业务虚拟 机建立好之后，控制器会调用USG设备的接口，建立租户对应的vrf、网关等配置，从而 完成自动化交付 3. 引流后网络中过多的流量开销如何解决？ 4. 你区域的云，用了SDN的有多少？
保证效果
2019/1/19
钱从哪里来
预算式场景，钱肯定从去年的预算里来。 “没预算咋办？”
“新增预算”、“抢预算”
抢预算 顾名思义，从其他安全设备预算中抢
新增预算 要有一个新的、刚性的理由能够新增
过来。
预算。如与主管方引导租户侧安全需
求与租户侧合规需求。
2019/1/19
租赁服务式涉及的几种角色
IDC与政企云
目标客户
当地比较大型的IDC服务提供商（如万国、美橙、安畅），运营商IDC（政企云）
痛点
1. 用户被公有云分流严重 2. 碍于自身建设模式，能够提供的增值功能越来越少 3. 安全可以成为IDC“增值”服务的一环
打法
• • 围绕痛点 围绕合作模式
1. 现在IDC的网络组建方式，增加硬件设备十分困难，安全资源池灵活 2. 多样化的组件、丰富的功能，满足IDC用户对安全的需求
SANGFOR_安全资源池_2018初级能力成长-安全资源池政务云云安全背景知识2.pptx
3. 政务云主流厂商
政务云面临的问题
建设模式多样
云安全问题突出
运营方式转变 参与角色众多
政务云建设模式多样
建设方式上
成熟发达省级政务云，如北京、浙江、四川等均为两个不同云服务商分建两朵，形成竞争关系；并
设置独立的监管/监理角色，引入专业技术公司作为主管单位的技术力量支撑。如北京模式。 地市级政务云，绝大多数只招标一家云服务商进行建设。 投运流程上
产品的整合问题（成本问题，兼容问题）
如何满足各方利益诉求
政务云新技术引入的安全问题
核心关键 云计算在当前虽然应用广泛，但是作为一个新技术，不可避免的存在诸 多脆弱性，一旦被利用可能形成不可估量的安全事件。 主要风险 1.一台主机上可能承载多个不同的租户、不同的系统，运维管理复杂， 流量不可视，风险难管理 2.新技术的应用带来新的安全风险，如虚拟化层的漏洞等 3.所有鸡蛋放在一个篮子里，受攻击面增大，同时平台方责任更重
主流的云上方案 – 软件NFV
主流厂商及代表产品：基于阿里云的深信服vaf、vssl、基于华为、华三云的安全镜像 方案简述：通过和云平台耦合的方式，兼容云平台提供安全镜像，实现对租户的安全策略。 方案优劣：对平台的兼容性要求极高，比如深信服目前NFV 方案仅适配了自家产品和阿里云，另 外多产品也很难形成统一的管理、配置复杂。
北京市级政务云体制建设
角色众多，责任明确 云服务商 经信委 云安全监管商 公服中心 使用单位
北京市级政务云体制建设
其他云
云 对 接
监管报告 安全应急辅助
经信委/发改委/电子政 务外网信息中心等
直接领导
协调 监测 监督
遴选
监督 管理
公共服务 中心
深信服上网行为管理基础操作培训
2、准备交叉线短接设备任意两个电口。
3、手动重启设备，重启过程中，注意观察交叉线短接的两个电口ACT灯状 态，两个电口ACT灯同时闪烁10次后，说明密码恢复完成，此时可以拨掉 短接的交叉线，通过默认的控制台帐号密码admin/admin登录设备即可。 设备重启到密码恢复成功大约3到5分钟左右。
4、如果第3步无法根据网口灯状态判断密码恢复是否成功，你可以一直等 待，等待5到10分钟左右，尝试通过默认帐号admin/admin帐号登录设备
SG： 2.0,2.0Rx,2.1,3.0,3.3,3.3Rx,3.4,3.5,4.0,4.2,4.3,4.4,4.5，4.5Rx， 4.6,5.0,5.1,5.2,5.3,5.4,5.5,5.6,5.7,6.0...............
10G：3.3hp，10G，10.1，10.2，10.3.。。。
如何登录设备控制台
如果设备接口地址被修改，在不知道更改后接口地址的情况下，提 供以下2种方法登录设备
1、SANGFOR AC/SG设备的eth0口有保留IP地址为128.127.125.252/29, 请配置电脑IP地址为128.127.125.253/29, 用交叉线连接电脑和设备eth0 口，通过https://128.127.125.252登录设备网关控制台。
同时，AC/SG设备eth1口也有保留IP地址128.128.125.252/29，也可以 能过交叉线电脑接到设备eth1口，且电脑配置IP为128.128.125.253/29， 通过https://128.128.125.252登录设备控制台。
注意：只有路由模式eth0和eth1口才有保留地址，其它模式部署无 法使用此方ቤተ መጻሕፍቲ ባይዱ登录设备
如何登录设备控制台
2024年电信行业网络安全培训手册
电信行业网络安全挑战和机遇分析
挑战
分析当前电信行业面临的网络安 全威胁，如高级持续性威胁（ APT）攻击、内部泄露等。
人员培训与技能提升
探讨新技术、新标准、新政策为 电信行业网络安全发展带来的机 遇，如5G技术的推广、国家网络
安全战略的实施等。
机遇
强调电信行业内部以及与其他行 业之间的合作与信息共享在应对 网络安全挑战中的重要性。
，防止恶意攻击和非法访问。
入侵检测技术应用
采用先进的入侵检测技术，对网络 中的异常流量和行为进行实时监测 和报警，及时发现并处置网络攻击 事件。
安全事件应急响应
建立完善的安全事件应急响应机制 ，对发生的安全事件进行快速响应 和处置，最大程度地减少损失和影 响。
04
云计算和大数据环境下的安全 保障措施
05
物联网和移动互联网新兴领域 风险防范策略
物联网设备安全漏洞分析及应对措施
物联网设备常见安全漏洞
包括硬件接口暴露、固件漏洞、通信协议不安全等。
漏洞利用场景分析
针对智能家居、智能穿戴、工业物联网等场景，分析漏洞被利用的 可能性和后果。
应对措施建议
加强设备安全设计、定期更新固件、使用加密通信协议等。
应急响应与灾难恢复计划制定
应急响应流程梳理和优化建议
确立应急响应组织结构和 职责分工
明确应急响应领导小组、技术支持团队、通 信保障团队等职责，确保快速响应。
梳理和优化应急响应流程
针对各类网络安全事件，制定详细的应急响应流程 图，明确各环节工作内容和时间要求，提高响应效 率。
制定应急响应预案
针对不同类型、级别和场景的网络安全事件 ，制定具体的应急响应预案，包括事件定级 、处置措施、资源调配等。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
租赁服务式 （PPP式）
主管部门像运营商（3大运营商、太极等大型集成商）租赁云服务， 主管方关心技术实现，运营方在选择产品方案端有较强的话语权。
2019/12/15
预算式涉及的几种角色
主管方 租户 集成商
目标对象：信息中心、电子政务办、经信委、发改委。 初次建设，会采购大量的硬件安全设备，更关注自身平台合规。 监管机构，负责租户上云政策的发布，上云节奏的掌控，把握预算 口子。
历史版本路径
CSSP 1.0版本： 1. 基于超融合，以NFV
方式实现。 2. 市场验证、需求验证
为主
CSSP 2.0版本： 1. 手动部署，工作量巨
大 2. 缺少运营方（主管方
）、租户自管理界面 3. 属于方案、市场验证
阶段 4. 收割样板点
CSSP 3.0版本： 1. 自动化部署 2. 新增租户与平台运营
目标对象：上云的局委办单位。 政务云的直接使用对象。
目标对象：当地强势，关系型集成商。 负责本地政务云的项目集成。
2019/12/15
预算式各方关注点
主管方视角
• 安全责任怎么划分。 • 怎么促进租户安全上云。 • 其他地方经验，及怎么合规。 • 是否有案例，效果怎样。
2019/12/15
沟通要点
• 汇报政务云中安全建设经验和安全资源池方案。 • 帮助用户理清安全权责。 • 通过安全资源池方案加速租户安全上云进度。
主管方沟通思路
关键词：权责、合规、有案例、能上云
痛点：
1、痛过：如果当地曾经出过安全事故，可以适当引用（慎用） 2、抓住关注点，引起兴趣： a. 租户上云数量、上云业务类型（核心系统还是网站），背后对应的是租户对云平台安
方界面 3. 组件高可用性调整及
优化 4. 统一配置入口 5. 服务商界面 6. …
2019/12/15
安全资源池（CSSP） 3.0版本改进
Cssp 2.0版本： 1. 手动部署，工作量巨大 2. 缺少运营方（主管方）、租户自管理界面 3. 属于方案、市场验证阶段
Cssp 3.0版本： 1. 自动化部署，工作量减少 2. 补齐运营方（主管方）、租户自管理界面 3. 新增云端监测服务包，可提供针对租户Web业务的安全监测服务 4. 平台高可用机制支持租户安全服务组件自动资源平衡和跨主机资源自调整
钱从哪里来
预算式场景，钱肯定从去年的预算里来。 “没预算咋办？” “新增预算”、“抢预算”
抢预算 顾名思义，从其他安全设备预算中抢 过来。
2019/12/15
新增预算 要有一个新的、刚性的理由能够新增 预算。如与主管方引导租户侧安全需 求与租户侧合规需求。
1、详细介绍：为租户提供个性化安全服务，并满足合规， 功能、优势 、价值 2、定心丸：北京、温州案例
1、达成测试或主动介绍政务云的背后运维方具体沟通 2、测试后争取看今年是否有安全预算或剩余预算可以采购部分安全资源池服务器、软件， 小范围使用。或测试后引导明年的预算。 安全资源池属于一旦流量引过来，产生具体效果，主管方就不想切换回去的产品。
IDC 出口
引流口
引流口
引流交换机VM EΒιβλιοθήκη R VM EDR安全资源池
移动接入包 网站安全基础 网站安全高级包 分支接入包 失陷主机发现 Web增强包
南北向安全能力
东西向隔离 密码暴力破解 Webshell检测
东西向安全能力
安全审计
数据安全
应用安全
安全生态能力
云环境
安全资源池私网交换机（存 储私网、vxlan）
深信服云安全资源池培训
培训大纲
2019/12/15
1 安全资源池历史版本介绍 2 项目操作方法及商务模式 3 竞争分析 4 报价与销售工具 5 标准化测试流程 6 FAQ
一、安全资源池历史版本介绍
整体拓扑架构示意图
云安全方案：安全资源池+EDR+生态
出口设备 平台层安全设备
核心 接入
VM EDR
2019/12/15
云内安全界面
首页
2019/12/15
打造可视可控的内部安全
二、应用场景及项目操作方法
主要场景
政务云
IDC、政企云
专有云、私有云
2019/12/15
政务云2种建设模式
预算式
电子政务办、经信委、发改委统一建设，租户“免费”使用，财 政统一结算。 主管单位非常强势，局委办单位会选择部分业务系统上云。
2019/12/15
6
安全资源池（CSSP） 3.0版本
强迫症患者的福音
2019/12/15
云安全资源池交付流程
租户侧界面
2019/12/15
界面重点
1. 业务列表 2. 服务追踪 3. 统一运维入口 4. 专属服务商
云安全资源池组件（自有）
安全 接入
安全 审计
分支接入包 移动接入包 数据库审计包
分支IPCEC组网 SSL VPN、安卓/IOS/windows安全接入SDK等多种安全接入组
件
针对SQL、MySQL、DB2、Oracle数据库审计
运维审计包
运维人员操作网络设备、数据库、服务器监控与审计
基础防护包
提供应用控制、防病毒网关、IPS功能
网站安全基础包
提供web防护、网页防篡改、敏感信息防泄密安全组件、应用控 制、防病毒网关、IPS功能
南京聚铭网络日志审计
建恒日志审计 杭州美创数据库加密产品
思福迪堡垒机
原则：整合、补强
合规要求 丰富功能
听云私有云版本 ……
2019/12/15
云内安全能力-云内安全检测平台
云内安全检测平台（EDR的同门师兄）本次培训不过多讲解，后续单独为云内安全解决方案重点培训。
目前实现的功能： • 入侵检测响应-暴力破解检测 • WEB安全检测-WebShell的持续检测 • 僵尸网络检测-实时活跃恶意行为检测 • 微隔离-东西向流量访问控制
安全 防御
网站安全高级包
提供web防护、网页防篡改、敏感信息防泄密安全组件、应用控 制、防病毒网关、IPS、僵尸网络、实时漏洞分析
失陷主机包
主机僵尸网络、实时漏洞分析
云端检测包 应用交付包
提供业务可用性检测、资产暴露面、云端漏洞监测安全组件 4-7层应用负载、SSL卸载
2019/12/15
已经引入的第三方组件
全能力的担忧 b. 业内对安全责任划分的案例，引出公有云aws、阿里云责任共担模型
如何解决：
1、合规背书：等保2.0，更强调了租户和平台方的安全责任。 2、抛方案：引出我司安全资源池方案，面向租户的产品 3、明确与硬件安全的关系：资源池和平台硬件安全不冲突并且云平台解耦
我司方案和案 例
保证效果
2019/12/15