智慧教育城域网安全解决方案

智能流量分析
病毒防护、攻击流量阻断 根据视频流特征，识别视频流和非法流 量，从根本上解决视频网络入侵问题
IMS — 视频网络安全集中管控
集成多种漏洞库 实时扫描IP摄像头 发现漏洞，生成评估
依据健康度状况，生 成安全防护策略自动 化推送到前端的视频 接入安全网关，形成 防护屏障
安全运维管理-智能弹性的安全网络
智能防护
应用安全
物联网安全
安全运维
web立体防护 视频监控智能防护 智能的池化管理
web安全-智能立体web防护
Wlock网页防篡改
静态、动态网页防篡改
web 服务器
防御针对web服务器 的攻击，如木马上传、 盗链、sql注入攻击等
web服务器系统扫描、漏 洞扫描、木马后门检测
WG网站防火墙
攻击行为上报
• 安全知识库提供技 术和解决方案，为 未来的网络安全提 供支持
呈现业绩
• 日志、漏洞、风险、 基线多维分析，量 化安全状况
• 告警、工单等趋势 图呈现安全建设业 绩
安全态势感知第一步：态势认知
安
全 设 备 网
SMB
SYSLOG
SNMP
时间 设备对象
《网络安全法》 日志留存六个月
络
严重级别
设 备
统一
防护策略下发 防护动作执行
WMS网站监控预警云平台
实时预警 智能报表
远程监测/ 处理
管理员
web安全-智能立体web防护
旁路阻断，不影响链路性能 情报中心，同步全球防护策略
问题站点一键下线 监控内容自定义
视频监控安全-智能识别、智能防护
平安校园
视频服务器 视频接入安全网关
ISG
电子监考
视频接入安全网关管理平台IMS 城域网
图形化界面 — 配置管理简单化、直观化
全面感知
接入和用网安全
用户感知，行为感知
安全态势感知
安全大数据分析
网络接入安全和用网管控 – 感知用户感知行为
① 跨品牌无感知实名认证
学校出口：网关EG
城域网链路
邮件 审计
URL 过滤
搜索 审计
应用 识别
② 应用识别，应用过滤
教育局：实名认证系统SMP
③ 用户上网管控
公安机关定期 开展监督、检 查、指导
等级保护建设咨询服务
信息系统定级阶段
总体安全规划阶段
安全调查 信息系统分析 等级保护定级咨询
风险评估 差距分析 总体安全规划设计
安全设计与实施阶段
安全方案详细设计 安全整改建设
等保定级咨询服务 等保风险评估服务
等保安全建设服务
安全运行与维护阶段
游戏 直播 购物 新闻 和学习工作无关的事
问题与挑战（五）—— 安全态势感知
海量日志 巨大的人力时间成本投入
安全被动防御 安全态势模糊
综合分析定位攻击 较高的安全技术要求
安全设备已经部署 整网安全情况模糊
安全设备日常运行 安全设备功能发挥不足
问题与挑战（六）—— 安全技术能力
等保 2.0
第三十八条 关键信息基础设施的运营者应当自行 或者委托网络安全服务机构对其网络的安全性和 可能存在的风险每年至少进行一次检测评估
全监测预警和信息通报制度，并按照规定报送网络安全监测预警信息
《等保2.0》即将出台 将会增加对云计算、大数据、移动互联、物联网等方面的安全扩展性要求，丰富防护内容和要求
等级保护 1.0 到 2.0
等保1.0实施流程：定级、备案、建设整改、等级测评、监督检查 等保2.0时代：
—— 内涵更为丰富和完善，与网络安全密切相关的措施都将全部纳入等级保护制度并加以实施
锐捷教育城域网安全解决方案
普教行业部
01 02 03
安全政策解读和用户问题
01
《网络安全法》解读
法律规定等保建设 第二十一条 网络运营者应当按照网络安全等级保护制度的要求，保障网络免受干扰、破坏或者未
经授权的访问，防止网络数据泄露或者被窃取、篡改：
网络安全落实到人 （一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
用户自主服务体系，降低管理员工作量
安全态势感知 — 整体架构
云端威胁情报中心
情报同步
海量存储
安全分析
关联分析
机器学习
云安全分析中心
智能分析、预测预警
BDS大数据安全分析平台
安全预警与处置
告警管理
知识库
工单跟踪
WMS 网站监控预警云平台
网站监控信息
脆弱性管理
风险管理
漏洞管理
探针采集
• 用户精细化行为 • 用户应用审计
由教育厅局主要负责人作为第一负责人 国家政策和业务需求双重驱动
用户面临的问题与挑战
问题与挑战（一）—— web应用安全
B/S架构 业务系统主流架构
门户网站
网络教研
学籍管理
学习空间
OA
教师管理
漏洞攻击 恶意破坏
恶意篡改 影响名誉
跳板攻击 盗取信息
问题与挑战（二）—— 视频监控系统安全
系统漏洞 远程服务
摄像头 安全问题
弱口令
无准入
监控视频泄漏
摄像头被控制
问题与挑战（三）—— 安全运维管理
数据区
核 心
出口 流控 防火墙
内 网
传统网络安全设备部署模式
单点 故障
动网 断网
性能 瓶颈
运维 复杂
利用 率低
无法 利旧
问题与挑战（四）—— 网络接入和用网安全
网络接入安全
用网管理
WIFI密码破解/共享
安全问题溯源
安全态势感知
统一实名认证 堡垒机
web防护
SDN控制器 安全服务链
防火墙
入侵监测
城域网链路
网页防篡改 web防护 web监控平台
平
安
摄像头
校
园
视频服务器
出口网关 行为审计 应用识别
接入交换机 视频接入安全网关 汇聚交换机 视频接入安全网关 接入交换机
摄像头
电 子
监
考
安全服务
风险监测 安全专家 等保建设
（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
相关日志留存六月 （三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络
日志不少于六个月；
强化问责机制 第五十九条 网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关 明确责权及处罚措施 主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以
视频监控安全-三个层面的智能保障
扫描摄像头漏洞 下发安全策略
安全管理
视频接入安全网关集中管 理、统一监测告警和风险 评估
安全防护
识别非摄像头的流量和攻 击行为，进行告警及阻止
安全准入
识别现有摄像头，进行合 法注册，接入设备发生变 化实时告警
ISG — 摄像头主动识别、智能流量分析
摄像头主动识别
可对主流厂商摄像头主动识别，进行准入控制 不需手工绑定
安全问 题识别
等保 合规
测试 评估
安全技术能力不足 人员、工具缺乏
锐捷教育城域网安全解决方案
02
锐捷教育城域网安全解决方案核心价值
智能防护
全面感知
深度服务
锐捷教育城域网安全解决方案概览
教 育 局 学 校
视频监控区
视频监控安全 控制器统一管理平台
外网接入区
互联网
教育网
边界网关
边界网关
网络防护
运维管理区
第二十一条、第三十一条 网络运营者和关键信息 基础设施运营者都应该按等级保护要求对系统进 行安全保护
章节：设备和计算安全-入侵防范 应能发现可能存在的漏洞，并在经过充分测试评估 后，及时修补漏洞； 章节：安全建设管理-测试验收 应进行上线前的安全性测试，并出具安全测试报告 章节：安全运维管理-漏洞和风险管理 a)应采取必要的措施识别安全漏洞和隐患，对发现 的安全漏洞和隐患及时进行修补或评估可能的影响 后进行修补 b)应定期开展安全测评，形成安全测评报告，采取 措施应对发现
安全态势感知第三步：态势预测
安全基线库
漏洞库
日志配置知识
日志知识
知识库
安全经验
工 单 流 程
风险工单管理、五大知识库建立
深度服务
等保建设
服务整个流程
安全专家
专家安全协助
风险检测
全方位安全分析
安全服务 — 专业的人员 专业的服务
专业人员
具备公安部颁发的 《信息安全等级保护安全建
设专业技术人员》证书
等级保护建设的规定动作
系统定级
备案
建设整改
等级测评
监督检查
将网络系统按 照重要性和遭 受损坏后的危 害性分成五个 安全保护等级
等级确定后， 第二级（含） 以上信息系统 到公安机关备 案，公安机关 审核后颁发备 案证明
根据信息系统 安全等级，按 照国家政策、 标准开展安全 建设整改
备案单位选择 符合国家规定 条件的测评机 构开展等级测 评
who
分角色管理账号，满足公安82号令
where
接入区域控制，例如限制学生只能在教学楼上网
when
时段控制，例如上课是不许上外网、课余时间开放
whose
终端绑定，避免账号盗号、乱用
what
设备接入统计，呈现现网终端的统计
基于用户名/姓名的实名制上网日志
安全问题溯源到人
精细化用网管控
【用户、终端类型、时间、位置、接入方式】五元素
下罚款，对直接负责的主管人员处五千元以上五万元以下罚款
深入贯彻《网络安全法》 全面完成关键信息基础设施 定级备案和测评整改，信息 技术安全监测和检查常态化
网络安全主动防御 第二十五条 网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络
攻击、网络侵入等安全风险；
网络安全态势感知 第五十二条 负责关键信息基础设施安全保护工作的部门，应当建立健全本行业、本领域的网络安
信息系统安全 等级保护
网络安全等级 保护
定级 备案 建设整改 等级测评 监督检查
等保1.0 等保2.0
风险评估 安全监测 通报预警 案事件调查 数据防护 灾难备份 应急处置 自主可控（特别新增集中管控中心） 供应链安全 效果评价 综治考核
教育行业安全趋势和各地动态
教育部《2018年教育信息化和网络安全工作要点》
数据区
安
全
资
源
池
核
心
内 网
出口
SDN控制器
SDN安全服务链：
安全设备资源池化
让网络安全设备的部署、管理、运维
从复杂转向简单和智能
SDN安全服务链—让安全防护更自由
负载均衡 主备冗余
Chain 2 Chain 1
资源池化 按需引流
Flow 2 Flow 1
新增服务节点 不断流
ServiceChain Packet Flow
安全态势感知的核心 — BDS大数据安全分析平台
态势认知
• 开放兼容收集日志， 满足网络安全法日 志留存六个月要求
• 构建安全大数据仓 库，全面掌握网络 安全动态
态势理解
• 结合资产、日志、 漏洞等进行大数据 关联分析，感知安 全风险，直击要害 问题
态势预测
• 通过工单系统主动 闭环安全问题，实 时监控处理过程
事件特征
采集
目的用户
数
据
源地址
库
WMI
DATABASE
源端口
操
FILE
作
系
统
跨品牌设备日志采集
感知全网设备动态
协议类型 日志格式统一化
日志留存
兼容各类主流厂商、设备、系统
内置兼容70多个厂商、180多个产品、170多个系统类型 不断提升兼容数量，支持快速的兼容性开发
安全态势感知第二步：态势理解
日志
安全事件
分析
安全告警
资产 评估
资产属性
漏扫
安全漏洞
基扫
安全基线
分析引擎
图形化关联 规则工具
安全态势
资产风险 系统风险 业务风险 风险统计 风险趋势
化繁为简，感知漏洞，感知攻击，感知整网安全态势，做到未雨绸缪！
海量日志、资产、漏洞关联分析，安全态势一目了然
日志、资产、漏洞关联分析 网络安全评分
呈现关键问题 展现安全态势
专业产品
防火墙 漏洞扫描 数据库审计 入侵检测
等级保护建设咨询服务
依据等级保护标准对客户信息系统进行等 保建设咨询，服务等保建设整个流程
安全专家服务
WEB安全现状分析、专家安全分析及策略 优化、安全事件处置等 分析客户网站系统、内网系统等面临的安 全威胁，及时进行安全事件处置
风险检测服务
安全检测评估、渗透测试、漏洞扫描等 全方位安全分析，及时评估风险，提供安 全解决方案
服务结点故障 自动bypass
ServiceChain Packet Flow
核心 交换
FW1
核心 交换
FW1
核心 交换
FW1
核心 交换
FW1
FW2
FW2
FW2
FW2
部署自由
业务自由
运维自由
SDN安全服务链—让安全运维更简单
业务编排
业务流定义
可按照天/时间点/时间段 给予流控限速队列优先级
服务节点创建 可灵活增加、删除、编辑操作
① 建立责任制度，明确主体责任 ② 网络安全预警预判、舆论引导和应急处置能力不
断提升 ③ 网络安全责任制进一步夯实，关键信息基础设施
Leabharlann Baidu保障体系不断健全，监测预警形成常态化
提升感知网络安全态势能力，做好等级保护、风 险评估、漏洞发现等基础性工作，完善网络安全 监测预警和网络安全重大事件应急处置机制
31个省建立了网络安全责任制
分析结果
• 模拟运行 • 结果分析
流量采集
沙箱分析
UAC 内网/出口 探针
威胁 数据
安全沙箱
威胁 数据
应用分析
行为审计
模拟分析
日志采集
• 防护日志 • 运行日志 • 扫描日志
日志采集
网络日志 终端日志
安全日志 漏扫日志
应用日志 系统日志
安全协防
• 联动协防 • 及时阻断
安全协防
NGFW
安全防护
威胁阻断