天融信产品交流[1]
04.天融信TSM3.0产品介绍
国内安全管理平台功能定义
定位
以资产为核心、以事件管理为关键流程、以风险控制为目标的面向安全的综合一 体化管理平台系统 资产管理：资产录入、查询、修改、属性管理、统计等 事件管理：事件采集、过滤、归并、关联分析、事件监控、查询、统计等 脆弱性管理：弱点采集、资产关联、漏洞查询、脆弱性统计等 风险管理：风险识别、风险计算、风险展示、风险监控、风险预警、风险统计等 安全知识库管理：知识库管理、安全论坛、辅助决策 运维管理：工作流管理、工单管理、运营管理、运维统计等 设备管理：性能管理、配置管理、策略管理等 网络管理：拓扑管理、流量管理、故障管理等 应用管理：应用监控、应用统计、合规审计等 终端管理：网络准入、行为管理等 ITIL运维：建设呼叫服务台，提供统一的监控运维管理职能
17
天融信TSM一体化安全运维解决方案
持续改进
(5) (6)安 全业务服 务流程管理 (SBSM) (7) 安全工作 评估与考 评KPI
(1)
资产
(2)
评估
(3)
策略/基线
(4)TP/
策略执行
TA/基于 策略的事 件管理
安全咨询 (风险管理/服务工具)
策略与平台实施 (工程实施服务/平台工具)
平台服务(问题处理) (运维服务/平台工具)
TSM统一管理、监控、调度服务台
网络监控管理 TopNoc 拓扑监控 流量监控 设备监控
安全信息管理 TopAnalyzer
风险管理 脆弱性管理 事件管理 响应管理 关联分析 辅助决策 安全报表
策略统一管理 TopPolicy 访问控制策略 入侵检测策略 病毒过滤策略 安全审计策略 VPN通道策略
内网合规性 TopDesk 资产管理 网络准入 非法外联 行为监管 。。。
天融信-综合安全网关系统 TopGate
综合安全网关系统TopGate产品概述网络卫士安全网关TopGate(UTM)是天融信公司自主研发的新一代基于TOS平台研发推出的一款多功能综合应用网关产品。
集合了防火墙、虚拟专用网（VPN）、入侵检测和防御（IPS）、网关防病毒、WEB 内容过滤、反垃圾邮件，流量整形，用户身份认证、审计及BT、IM控制等应用。
TopGate不但能为用户提供全方位的安全威胁防护方案，还为用户提供全面的策略管理、服务质量(QoS)保证、负载均衡、高可用性(HA)以及网络带宽管理等功能。
TopGate安全网关(UTM)可灵活部署在大中型企业及其分支机构或中小企业网络的网关处，保护用户网络免受黑客攻击、病毒、蠕虫、木马、恶意代码以及未知的“零小时”（zero-hour）攻击等混合威胁的侵害；同时还为用户提供简便统一地管理各种安全特性及相关日志、报告，大大降低了设备部署、管理和维护的运营成本。
除此之外，TopGate还为企业提供了CleanVPN服务，使得用户通过VPN远程访问企业内网时，确保VPN数据没有病毒等有害内容。
在新攻击的防护上，TopGate对VoIP, IM/P2P, 间谍软件, 网络钓鱼, 混合攻击等都有出色的表现。
TopGate UTM 在技术上采用先进的完全内容检测技术和独特的加速引擎处理技术，可通过简单的配置和管理，以较低的维护成本为用户提供一个高级别保护的“安全隔离区”。
它对经过网关的数据流量进行病毒、蠕虫、入侵等进行高效检测，而且能够阻挡来自垃圾邮件、恶意网页的威胁，所有的检测都是在实时状态下进行，具有很高的网络性能。
典型应用产品特点多功能与高性能的完美结合TopGate网络卫士安全网关是高性能与多功能的完美结合，它通过提供全系列产品而为不同类型的用户提供多功能与高性能的UTM产品。
真正实现了一机多用，管理简单，节省大量成本。
TopGate作为一款优秀的UTM产品，具备多种安全功能，既可以作为防火墙设备，也可以作为VPN设备、病毒网关或IPS设备，更重要的是这些功能融为一体，可同时任意组合使用，满足用户各种安全需求，为用户节省大量购置与维护成本。
天融信网络安全产品-供货安装方案
天融信网络安全产品供货安装方案目录1天融信安全设备供货方案 (4)1.1供货计划和安排 (4)1.2运输安装计划 (4)1.3货物包装及标注 (6)1.4货物运输及交货 (6)2天融信安全产品安装部署方案 (7)2.1安全设备安装 (7)2.1.1安装步骤概述 (7)2.1.2安装准备工作确认 (8)2.1.3检查安装场所 (9)2.1.4安装计划 (11)2.1.5安装工具 (12)2.1.6设备安装流程 (13)2.1.7设备安装到指定位置 (13)2.1.8地线的连接 (14)2.1.9配置电缆的连接 (15)2.1.10安装中的布线推荐 (18)2.1.11安装中的电缆捆扎 (19)2.1.12安装后的检查 (22)2.2安全设备上线调试 (22)2.2.1产品上线过程 (22)2.2.2安全策略调试 (24)2.3系统集成割接 (25)2.3.1现有应用系统数据访问业务特点 (25)2.3.2割接时间点的选择 (27)2.3.3割接原则 (28)1 天融信安全设备供货方案正式合同签订后我方设备采购小组将按照合同中关于设备购货有关条款和议定的日期，组织设备软硬件的购置工作。
订购的设备在运抵用户指定安装现场后，我方将与用户方人员共同开箱验收。
验收时发现短缺、破损，我方将立即要求供货商补发或更换。
1.1 供货计划和安排1、到货时间我方承诺标书中要求中的到货日期内全部到达到货地点。
2、到货地点到货地点为用户的指定地点。
1.2 运输安装计划我方将在此次项目合同签订后，按照合同时限运至指定地点。
我方运货在途运输基本流程：1.3 货物包装及标注1、我方将提供货物送达合同规定的项目现场所需要的原厂包装，以防货物在运输中损坏，并提供原厂包装证明。
2、我方将以醒目的中文印刷字体在各包装箱上标明通用规范的运输标记或标志，如项目名称、货物名称与合同号、以及客户、我方双方名称等相关信息。
3、我方将在每个箱子侧面标明交货地点的全称；装箱单注明每个站点总数量；我方对包装箱内每件辅件进行标签，标明“备件”或“工具”及具体名称，并注明合同号、箱号及安装站。
天融信SSLVPN产品培训
让客户了解天融信的SSL VPN产品
天融信SSLVPN产品的优势： 我们提供了端点安全功能，即用户退出VPN后自动清除浏览器 历史纪录，为在网吧等不安全场所应用SSL VPN提供了保障。 我们不但提供了本地认证方式，而且还提供了多种第三方认证 ，如AD、TACACS、LDAP和Domain认证。比其他厂商产品更 加丰富。 我们的端口转发支持UDP协议，这是别的厂商很少支持的。 我们专门提供了文件共享功能，这也是别的厂商所没有的。 我们提供了用户导入，配置导出导入功能，维护起来更加方便 。 我们提供了日志记录功能。 我们的设备还具有高的性价比。
用户面临的安全问题
怎么能让销售员出差在外也能及时与公司的销售系统 沟通?
怎么能让销售渠道随时获得产品信息与供货信息? 怎么能让公司的老总们能够在家收发邮件? 如何让分公司和合作伙伴的有关人员方便及时地拿到
金融证券研究报告? 在家办公可能吗? 技术资料如何保密? 总公司与分公司之间的人力资源数据如何传递? 如何识别不同的用户? 可不可以针对不同的人设置不同的访问权限?
A收到B发来的用B的私钥加密的摘要后,用B先前 发来的公钥将之解密，将得到的摘要信息与自己 先前产生摘要进行比较，以验证B的身分。
让客户了解SSL协议
b）数据加密传输（A、B已完成身份验证即有对方的公钥）：
A用随机产生的对称密钥加密数据发给B
A
A再用B的公钥将对称密钥加密发给B
B
B用只有自己拥有的私钥将对称密钥解密，再用 此对称密钥将数据解密。
们公司SSLVPN产品特有的）服务如复杂Web（CRM）服务，Email服务 ，Telnet、SSH等 安全应用：安全访问内网提供的RDP和VNC资源 终端服务：安全访问内网提供的SSH和Telnet资源 文件共享：安全访问内网提供的文件共享资源 网络接入：IP层全网接入，媲美IPSecVPN（有了这项功能才能称之为 真正的SSL VPN产品）
天融信网络安全产品大全
天融信网络安全产品大全目录1产品功能描述 (5)1.1防火墙 (5)1.1.1系统概述 (5)1.1.2功能描述 (5)1.2入侵防御系统 (6)1.2.1系统概述 (6)1.2.2功能描述 (6)1.3WEB应用防火墙 (7)1.3.1系统概述 (7)1.3.2功能描述 (8)1.4漏扫扫描系统 (11)1.4.1系统概述 (11)1.4.2功能描述 (11)1.5数据库审计系统 (13)1.5.1系统概述 (13)1.5.2功能描述 (14)1.6负载均衡系统 (15)1.6.1系统概述 (15)1.6.2功能描述 (16)2安全产品硬件规格及性能参数 (17)2.1防火墙品目一：TG-62242 (17)2.2防火墙品目二：TG-42218 (19)2.3入侵防御：TI-51628 (20)2.4WAF :TWF-72138 (21)2.5漏扫：TSC-71528 (22)2.6数据库审计:TA-11801-NET/DB (24)2.7负载均衡：TopApp-81238-NLB-R (25)2.8相关应答： (26)3产品测试方案 (29)3.1负载均衡系统测试方案 (29)3.1.1测试目的 (29)3.1.2测试内容 (29)3.1.3测试环境 (29)3.1.4测试用例设计 (30)3.1.5测试结论 (46)3.2防火墙测试方案 (46)3.2.1测试说明 (46)3.2.2功能要求及测试方式 (48)3.2.3测试结果记录 (64)3.3入侵防御系统测试方案 (66)3.3.1测试说明 (66)3.3.2测试环境 (66)3.3.3攻击测试内容和方法 (69)3.3.4WEB过滤测试内容和方法 (76)3.3.5应用监控测试和方法 (77)3.3.6防病毒测试内容和方法 (78)3.3.7防火墙联动 (79)3.3.8事件审计 (79)3.3.9测试结果 (81)3.4WEB应用防火墙测试方案 (82)3.4.1测试环境 (82)3.4.2防护能力测试 (83)3.5漏洞扫描系统测试方案 (116)3.5.1测试目的 (116)3.5.2测试环境 (116)3.5.3功能测试 (117)3.5.4专项测试 (140)3.5.5漏洞测试 (145)3.5.6压力测试 (163)3.5.7测试结论 (165)3.6数据库审计系统测试方案 (165)3.6.1测试目的 (165)3.6.2数据库审计基本功能 (166)1 产品功能描述1.1 防火墙1.1.1 系统概述网络层访问控制基本的安全防护手段，通常采用路由器和防火墙等手段实现，然而防火墙相对与路由器而言，不仅仅只是提供简单的访问控制功能，同时也能够提供更为强大的连接检测、攻击检测、认证、内容过滤等更加细粒度的安全防护，所以在网络层访问控制方面通常都采用防火墙设备，通过防火墙设备定义好的安全规则来实现基本的访问控制。
产品说明_天融信网络卫士VPN系统 TopVPN(VONE系列)_20241108
1产品概述1.1平安接入的应用趋势随着电子政务和电子商务信息化建设的快速推动和发展，越来越多的政府、企事业单位已经依托互联网构建了自己的网上办公系统和业务应用系统，从而使内部办公人员通过网络可以快速地获得信息，使远程办公和移动办公模式得以逐步实现，同时使合作伙伴也能够访问到相应的信息资源。
但是通过互联网接入来访问企业内部网络信息资源，会面临着信息窃取、非法篡改、非法访问、网络攻击等越来越多的来自网络外部的平安威逼。
而且我们目前所运用的操作系统、网络协议和应用系统等，都不行避开地存在着平安漏洞。
因此，在通过Internet构建企业网络应用系统时，必须要保证关键应用和数据信息在开放网络环境中的平安，同时还需尽量降低实施和维护的成本。
1.2平安接入的技术趋势目前通过公用网络进行平安接入和组网一般采纳VPN技术。
常见的VPN接入技术有多种，它们所处的协议层次、解决的主要问题都不尽相同，而且每种技术都有其适用范围和优缺点，主流的VPN技术主要有以下三种：1．L2TP/PPTP VPNL2TP/PPTP VPN属于二层VPN技术。
在windows主流的操作系统中都集成了L2TP/PPTP VPN客户端软件，因此其无需安装任何客户端软件，部署和运用比较简洁；但是由于协议自身的缺陷，没有高强度的加密和认证手段，平安性较低；同时这种VPN 技术仅解决了移动用户的VPN访问需求，对于LAN-TO-LAN的VPN应用无法解决。
2．IPSEC VPNIPSEC VPN属于三层VPN技术，协议定义了完整的平安机制，对用户数据的完整性和私密性都有完善的爱护措施；同时工作在网络协议的三层，对应用程序是透亮的，能够无缝支持各种C/S、B/S应用；既能够支持移动用户的VPN应用，也能支持LAN-TO-LAN 的VPN组网；组网方式敏捷，支持多种网络拓扑结构。
其缺点是网络协议比较困难，配置和管理须要较多的专业学问；而且须要在移动用户的机器上安装单独的客户端软件。
天融信产品
31200元
5
天融信
NGFW4000（TG-4208） 兆防火墙
天融信专注于信息安全，第一家开发出自主防火墙系统，第一家提出TOPSEC联动技术体系。网络卫士防 火墙历经了包过滤、应用代理、核检测等技术阶段，目前已进入以自主安全操作系统TOS（Topsec 百 Operating System）为基础，以完全内容检测为标志的技术阶段，集成了防火墙、VPN、带宽管理、防病 35200元 毒、入侵防御、内容过滤等多种安全功能。网络卫士防火墙系列在政府、银行、电力、军工、电信、税 务、教育、能源、交通等行业中广泛应用，全国20，000多网络和业务在其保护下平稳运行。天融信基于 多年的技术积累和用户信
8
天融信
NGFW4000（TG-4524） 兆防火墙
天融信专注于信息安全，第一家开发出自主防火墙系统，第一家提出TOPSEC联动技术体系。网络卫士防 火墙历经了包过滤、应用代理、核检测等技术阶段，目前已进入以自主安全操作系统TOS（Topsec 百 Operating System）为基础，以完全内容检测为标志的技术阶段，集成了防火墙、VPN、带宽管理、防病 63200元 毒、入侵防御、内容过滤等多种安全功能。网络卫士防火墙系列在政府、银行、电力、军工、电信、税 务、教育、能源、交通等行业中广泛应用，全国20，000多网络和业务在其保护下平稳运行。天融信基于 多年的技术积累和用户信
7
天融信
NGFW4000（TG-4424） 兆防火墙
天融信专注于信息安全，第一家开发出自主防火墙系统，第一家提出TOPSEC联动技术体系。网络卫士防 火墙历经了包过滤、应用代理、核检测等技术阶段，目前已进入以自主安全操作系统TOS（Topsec 百 Operating System）为基础，以完全内容检测为标志的技术阶段，集成了防火墙、VPN、带宽管理、防病 55200元 毒、入侵防御、内容过滤等多种安全功能。网络卫士防火墙系列在政府、银行、电力、军工、电信、税 务、教育、能源、交通等行业中广泛应用，全国20，000多网络和业务在其保护下平稳运行。天融信基于 多年的技术积累和用户信
天融信网络卫士入侵防御系统-Web网站防护系统FAQ
天融信网络卫士入侵防御系统-Web网站防护网关FAQQ1 本产品的核心是什么？竞争对手的情况？A：本产品的核心内容包括：1）防止恶意代码对网站服务器的破坏；2）防止黑客通过溢出类攻击破坏网页内容；3）防止黑客通过SQL 注入攻击或跨站攻击篡改系统网页。
其它主要功能包括：1）SSL 支持；2）抗DoS/DDoS 攻击。
目前没有此类技术的竞争对手。
市场上的网页防篡改技术都是采用文件指纹比对、然后恢复的方式，这种方式一般都存在性能和安全空档问题，它们的另一个缺点是不支持动态网页的保护，对需要频繁更新的静态网页也十分地不方便。
Q2 本产品的特性是什么？A： 1）对未知病毒具备免疫能力；目前市场上的计算机病毒防杀类产品的安全滞后性已经不能满足用户尤其是机构（包括政府和企业）用户的业务安全要求。
本产品已经过国内某权威机构的上千种病毒样本的攻击测试，能够抵御包括病毒、木马、流氓软件在内的各种恶意代码攻击。
2）更有效的网页防篡改技术；目前市场上常见的网页防篡改技术主要有外挂轮询技术、核心内嵌技术、事件触发技术三种。
这三种技术共同安全隐患是，需要备份要监控的网页，以便在网页被篡改之后能够恢复。
但是，其备份服务器也面临着被攻击的风险，一旦备份的网页也被篡改，就不具有恢复的可能。
本产品的保护方式可以禁止任何非法的网页修改行为，不存在网页恢复的问题；同时，对于正常的访问行为不做任何的处理，因而对系统性能没有任何的影响。
3）更简便的布署与管理过程。
目前常见的防止SQL 注入的方式为在网页代码中加入过滤语句，但这种方式是在应用层基础上实现，需要针对不同的网页作不同的处理，不能通用。
我们采用网络中间层驱动（NDIS）进行过滤，可以支持所有的网站服务。
Q3 是否能保护动态网页不被篡改？A：通过SQL 注入或跨站攻击过滤可以防止动态网页被篡改。
如果问题中的动态网页是指论坛内容，那就不叫篡改了，这种情况下，大家都可以提交发言内容，但内容安全需要斑竹控制了，这属于另一个范畴的安全控制了。
天融信VPN组网解决方案
XXXX VPN系统解决方案天融信科技2020年11月目录第一章 XXXX网络现状及需求分析 (3)1.1网络现状 (3)1.2现有组网方式的缺陷 (3)1.2.1访问没有保护 (3)1.2.2无法运行部管理软件 (3)1.2.3增值服务无法实施 (3)1.2.4网络管理混乱 (3)1.3需求分析 (4)第二章 VPN技术及天融信VPN产品 (5)2.1VPN基本概念 (5)2.2VPN的基本技术 (5)2.3一般VPN解决方案所面临的几个问题 (7)2.4天融信VPN产品及其典型解决方案 (9)2.4.1天融信VPN硬件安全网关 (9)2.4.2天融信VPN客户端 (15)2.4.3天融信VPN安全策略管理平台 (17)2.5天融信VPN产品的主要特点 (22)2.5.1支持国密局《IPSec VPN技术规》 (22)2.5.2全面支持IPSec协议标准 (23)2.5.3 CleanVPN (23)2.5.4完善的PKI体系提高用户网络安全等级 (23)2.5.5支持全动态IP地址间建VPN隧道 (24)2.5.6 NAT自动穿越 (24)2.5.7隧道路由技术实现VPN灵活自动部署 (24)2.5.8完善的VPN网络集中管理功能 (25)2.5.9支持组播穿越隧道 (25)2.5.10多机多线路负载均衡与备份 (26)2.5.11支持灵活的移动用户接入策略 (26)2.5.12丰富多样的认证与授权 (26)2.5.13分级可信接入体系 (27)2.5.14简单易用的无驱客户端 (27)2.5.15 iOS零安装 (27)2.5.16集成功能强大的防火墙功能 (28)2.5.17集成强大的网络附加功能 (28)第三章 XXXX网络系统互联VPN解决方案 (29)3.1VPN解决方案 (29)3.2配置及功能说明 (31)3.2.1天融信安全策略管理平台 (31)3.2.2天融信VPN硬件安全网关 (31)3.2.3天融信VPN客户端 (31)3.3通信过程分析 (31)3.4安全性分析 (31)3.5密钥管理 (32)3.6本解决方案的主要特点 (32)第一章XXXX网络现状及需求分析1.1网络现状XXXX业务网络系统由总部和100个左右分支机构组成。
天融信产品--报价单2010年
TG-1203-VPN SJY-SCB2-CARD-C TG-1105-VPN
12,800
20,000 SCB2（SM1）算法的加密卡 加解密速率>15M 桌面型架构；最大配置为5个接口，包括1＋4个10/100BASE- 整机吞吐率＞100Mbps；最大并发连接数＞5万； 9,800 T接口；缺省含10个客户端IPSECVPN-VRC-LICENSE 最大IPSEC隧道数＞20；加密速率＞5Mbps；华盾系统
25,000
桌面型架构；最大配置为3个接口，包括3个10/100BASE-T 接口；缺省含10个客户端IPSECVPN-VRC-LICENSE 桌面型架构；最大配置为3个接口，包括3个10/100BASE-T 接口；缺省含5个客户端IPSECVPN-VRC-LICENSE
整机吞吐率＞150Mbps；最大并发连接数＞20万； 最大IPSEC隧道数＞30；加密速率＞15Mbps 整机吞吐率＞100Mbps；最大并发连接数＞10万； 最带IPSEC隧道数＞20；加密速率＞9Mbps
PN
报价（元）
配置说明
30,000 IPSEC VPN模块；缺省含5个客户端IPSECVPN-VRC-LICENSE 300 1个IPSEC VPN客户端许可 68,000 国密办加密卡，只用于网关到网关的IPSEC隧道 48,000 SCB2（SM1）算法的加密卡 TopSEC网络卫士防火墙系统NGFW ARES（机架式） 68,000 1U机架式结构，配置为8个10/100BASE-T接口 1U机架式结构，配置为8个10/100BASE-T接口；缺省含50个 78,000 客户端IPSECVPN-VRC-LICENSE 50,000 1U机架式结构；配置为8个10/100BASE-T接口 1U机架式结构；配置为8个10/100BASE-T接口；缺省含20个 62,000 客户端IPSECVPN-VRC-LICENSE 48,000 SCB2（SM1）算法的加密卡 1U机架式结构；最大配置为3个接口，包括3个10/100BASE38,000 T接口 48,000
(精品)天融信产品简介PPT汇总v1.0
安全管理
IT服务 管理
脆弱性 管理
等级保 护管理
安全信息 管理
安全策略 管理
天融信 安全管理系统
通过对全网安全域中IT资源事件的采集、处理和分析，构建可度量的业务信息系统风险模型 企业构建安全管理运营中心最佳选择
安全对象管理为基础 风险管理为核心 以事件管理为主线 多角度可视化展示
WEB安全
保护 所有的 WEB Server
For Windows2000/2003/2008/Linux/Unix/AIX/Solaries
数据安全
备份 软件
集中 管控
网络 存储
数据 防泄漏
存储备份 一体机
天融信 数据安全产品线-1
天融信数据安全管理系统
存储
管控
备份
基于数据存放 基于数据交互
防泄漏
操作系统底层文件过滤驱动技 术，拦截与分析IRP流，对所 有受பைடு நூலகம்护的网站目录的篡改行 为都立即截断。
应用程序
应用程序
I/O管理器
内核文件访问过滤驱动 文件系统
（FAT/NTFS/CDFS,etc） 存储设备驱动程序
应用程序
安全策略 防篡改授权模块
用户态 内核态
访问控制、操作审计 read/write/modfiy/move/re
WEB优化 网站访问加速，提升网站用户体验； 多台服务器负载均衡，减轻访问压力；
数据分析 深入分析网站业务、安全及管理数据， 为网站管理者提供决策依据；
天融信 WEB应用安全防护系统-2
事前预警
!
WEB攻击
漏洞扫描 网页篡改扫描 违法信息扫描
!
事中防护
DDoS攻击
天融信产品交流(1)
解密 加密
明文数据 明文数据
SSL VPN代理 公司内网资源
天融信产品交流(1)
多样化用户认证
本地认证 Local Database Web Portal OTP
第三方认证
RADIUS,TACACS/TACACS+
S/KEY,SECURID,LDAP,域认证
CA…
进行认证
topsec
RADIUS服务器
采用天融信公司专有完全内容检测模块，过滤所有交换数据， 全面解析网络传输信息，通过深层次细粒度的内容过滤，预先 拦截内、外网用户禁止访问的内容
天融信产品交流(1)
产品特点
广泛的应用协议支持
支持 HTTP、HTTPS、SMTP、POP3、FTP、TELNET、SQL、 OACLE、、NULL_TCP等 支持用户基于标准TCP、UDP开发的自定义协议软件 无需对自定义协议软件进行二次修改开发 可以根据需求开发新的专用协议处理过滤功能
•P2P等应用，利用80端口进行协商，然后利用开放的UDP进行大量文件共 享，导致机密泄漏和网络拥塞
天融信产品交流(1)
产品特点
高性能并行架构 基于目标系统的流重组检测引擎 丰富灵活的自定义规则 具有可视化实时报表的功能
天融信产品交流(1)
高性能并行处理架构
• TopIDP应用了先进的多核处理器硬件平台，将并行处理技术成功融 入天融信自主知识产权操作系统TOS（Topsec Operating System） 系统，形成了先进的多核架构技术体系；
产品功能介绍
系 统 规 则 集
天融信产品交流(1)
产品功能介绍
• Web日志和报表
– 基本信息首页：入侵排名（前10名） – IPS详细事件（日志） – 攻击排名：持续时间、清空
天融信 防火墙&UTM产品培训讲义-初级
网络卫士防火墙&UTM系统技术工程师讲义（初级）目录1售后技术部分 (3)1.1配置管理 (3)1.2系统时间配置 (5)1.3网络配置 (5)1.3.1物理接口 (5)1.3.2子接口 (6)1.4路由模式基本属性设置 (7)1.5交换模式基本属性设置 (8)1.6ADSL接入方式配置 (9)1.7动态主机配置协议DHCP (11)1.8虚拟线 (12)1.9设置主机资源 (12)1.10防火墙安全规则配置 (13)1.11IP/MAC地址绑定 (13)1.12内容安全配置 (15)1.13地址转换NAT (19)1.14IDS配置 (19)1.15用户认证配置 (20)1.16PKI配置 (21)1.17高可用性 (22)1.17.1接口联动功能 (22)1.17.2双机热备模式 (22)1.17.3服务器负载均衡组 (23)1.18虚拟防火墙 (25)1.19日志和报警 (25)1.19.1日志 (25)1.19.2报警 (26)1.20辅助功能简介 (27)1.20.1设备版本信息 (27)1.20.2设备软件版本升级 (27)1.20.3健康记录 (28)1.20.4设备License (28)1.20.5扩展IP协议支持 (28)1.20.6重要命令行配置 (29)1.21性能测试指标说明 (29)1.22提交外部故障要点 (30)1售后技术部分1.1配置管理系统配置指的是整个防火墙中各个功能模块的配置和文件，包括防火墙配置（包括网络基本配置）、VPN配置、AV配置。
系统配置基本上可以分为三种：∙运行配置，指的是设备当前运行状态下的配置情况，该配置可以随用户的操作而动态调整，当系统重新启动后，该配置失效。
∙存盘配置，指的是用户最后一次手工保存在设备上的配置文件，当系统重新启动后，会自动加载该配置文件。
∙备份配置，指的是用于备份的存盘配置，通常是某一历史时刻的存盘配置。
备份配置只存在于V3.3.006之后的TOS版本。
天融信网络安全产品大全
天融信网络安全产品大全目录1产品功能描述 (5)1.1防火墙 (5)1.1.1系统概述 (5)1.1.2功能描述 (5)1.2入侵防御系统 (6)1.2.1系统概述 (6)1.2.2功能描述 (6)1.3WEB应用防火墙 (7)1.3.1系统概述 (7)1.3.2功能描述 (8)1.4漏扫扫描系统 (11)1.4.1系统概述 (11)1.4.2功能描述 (11)1.5数据库审计系统 (13)1.5.1系统概述 (13)1.5.2功能描述 (14)1.6负载均衡系统 (15)1.6.1系统概述 (15)1.6.2功能描述 (16)2安全产品硬件规格及性能参数 (17)2.1防火墙品目一：TG-62242 (17)2.2防火墙品目二：TG-42218 (19)2.3入侵防御：TI-51628 (20)2.4WAF :TWF-72138 (21)2.5漏扫：TSC-71528 (22)2.6数据库审计:TA-11801-NET/DB (24)2.7负载均衡：TopApp-81238-NLB-R (25)2.8相关应答： (26)3产品测试方案 (29)3.1负载均衡系统测试方案 (29)3.1.1测试目的 (29)3.1.2测试内容 (29)3.1.3测试环境 (29)3.1.4测试用例设计 (30)3.1.5测试结论 (46)3.2防火墙测试方案 (46)3.2.1测试说明 (46)3.2.2功能要求及测试方式 (48)3.2.3测试结果记录 (64)3.3入侵防御系统测试方案 (66)3.3.1测试说明 (66)3.3.2测试环境 (66)3.3.3攻击测试内容和方法 (69)3.3.4WEB过滤测试内容和方法 (76)3.3.5应用监控测试和方法 (77)3.3.6防病毒测试内容和方法 (78)3.3.7防火墙联动 (79)3.3.8事件审计 (79)3.3.9测试结果 (81)3.4WEB应用防火墙测试方案 (82)3.4.1测试环境 (82)3.4.2防护能力测试 (83)3.5漏洞扫描系统测试方案 (116)3.5.1测试目的 (116)3.5.2测试环境 (116)3.5.3功能测试 (117)3.5.4专项测试 (140)3.5.5漏洞测试 (145)3.5.6压力测试 (163)3.5.7测试结论 (165)3.6数据库审计系统测试方案 (165)3.6.1测试目的 (165)3.6.2数据库审计基本功能 (166)1 产品功能描述1.1 防火墙1.1.1 系统概述网络层访问控制基本的安全防护手段，通常采用路由器和防火墙等手段实现，然而防火墙相对与路由器而言，不仅仅只是提供简单的访问控制功能，同时也能够提供更为强大的连接检测、攻击检测、认证、内容过滤等更加细粒度的安全防护，所以在网络层访问控制方面通常都采用防火墙设备，通过防火墙设备定义好的安全规则来实现基本的访问控制。
天融信文档安全管理系统-产品介绍PPT
2
3 4
5
文档安全管理-终端解决方案
设计/研发部门 强制加密 合法出口
合法离线脱机
组织内部 授权信息
管理/业务部门 手动授权加密
竞争对手窃密
明文外发
流 系统管理员 程 审 批 平 台
员工离职拷贝
乱 码
18
财务部门 强制加密+手动授权 密 文 上 传 密 文 下 载
内部有意无意 泄密 间谍、黑客 窃密
Thanks！
实现功能
应用技术
– 透明加解密、权限管理技术、 身份认证技术、访问控制技 术、日志管理审计、硬件绑定技术； – 以集中式管理和分散式管理的方式安全保存各类文档、密 钥，提供最大程度的文档安全共享机制。
目 录
1
需求与价值 文档安全管理系统设计理念 文档安全管理系统功能特点 文档安全管理系统解决方案 典型案例
文档安全管理需求分析
创建
流转
使用
修改
归档
销毁
无法约束、 规范。有泄 密风险
邮件、网络 、U盘、电脑 、服务器等 多方式
打印、带出 等动作无审 批控制
无审计、无 跟踪，修改 无权限控制
有制度，制 度落地实施 性不高
无法跟踪
文档的管理和使用现状
信息使用不明确，无法防止扩散泄密 没有切实有效的文档密级划分手段和落实方法 权限控制粗放，组织管理压力大 无法对信息进行全生命周期控制 核心信息分散在终端，无法有效统一管控 信息明文存储，封堵方式防泄漏依然存在泄密隐患
授权D部门 授 员工4只读/打印/修 权 改/再授权的权限
员工4 授 只读/打印/修改/再 权 授权的权限
授权信息
已授权用户
其它用户
天融信网络卫士过滤网关系统TopFilter系列
天融信网络卫士过滤网关系统一、产品概述天融信网络卫士过滤网关系统TopFilter（简称：TopFilter）采取了一个与单机防护不同的基于网络的病毒防护方案。
它被设计成安装在网络边缘，在病毒侵入网络之前实时的阻止它们，并且没有传统解决方案通常都有的延时。
TopFilter具有真正的即插即用能力，只要部署好之后就可以进行网络协议数据的病毒过滤功能；目前TopFilter基本可以支持主要的网络协议，SMTP、IMAP4、POP3、HTTP以及FTP协议。
TopFilter采用业界先进的扫描技术，所以具有优秀的扫描性能，对各协议的处理性能表现优越。
二、产品特点介绍1、独创的TCP粘合技术天融信网络卫士过滤网关系统基于透明代理技术实现。
透明代理技术的优点是可以在应用层实现复杂的过滤。
缺点是降低设备的吞吐，并且造成较大的网络延迟。
TCP粘合技术显著的提升了透明代理的性能，大大降低了通信延时。
连接粘合后的性能接近内核的路由转发。
TCP粘合连接的原理如下图所示。
该结构与应用级代理的最大不同在于：客户端和服务器之间的连接在操作系统的核心层进行连接粘合。
TCP粘合避免了数据包从核心空间到用户空间的拷贝和多次socket系统调用导致的上下文切换，显著提高了转发的性能，并且大大降低了通信延迟。
由于TCP粘合技术需要对两个连接上的报文进行处理，所以有很多TCP协议的细节需要注意。
包括：对TCP报文序号的处理；对校验和的重新计算；对常见的TCP选项的协商和转换。
如果客户端和服务器不是同一类型的系统，可能在TCP协议栈的实现上有所差异。
因此必须要考虑协议兼容性，以保证双向通信的正确性。
图1 TCP粘合技术示意2、透明扫描大多数传统的解决方案工作在OSI的应用层，以代理的方式截获数据进行扫描：客户机首先连接到防病毒网关，防病毒网关再连接到真正的服务器，转发并扫描通过的数据流，这种方法丢失了很多有用的客户端及服务器的信息。
邮件服务器往往需要知道客户机的地址来决定是否允许客户端通过它发送邮件，特别是现在的垃圾邮件实在是泛滥成灾，这一点尤其重要。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
– 系统规则库手动更新、定时更新 – 自定义规则库导入、导出
• 动作
– 通过/拒绝、Tcp Reset、日志开关、防火墙联动 （IDS模式）、记录报文等
PPT文档演模板
天融信产品交流[1]
产品功能介绍
• 规则
– 2200条系统规则，16项系统规则集 – 支持自定义规则，自定义规则集
PPT文档演模板
PPT文档演模板
天融信产品交流[1]
网络卫士安全隔离与信息交换系统
网络卫士安全隔离与信息交换系统（TopRules系统）采用自主研发 的安全操作系统（TOS操作系统）、专用的硬件设计、内核级入侵监测、 领先的病毒查杀技术、完善的身份认证、严格的访问控制和安全审计等各 种安全模块，通过对信息进行还原、扫描、过滤、认证，同时将防病毒、 入侵检测、审计等安全处理整合在一起，有效地防止非法攻击、恶意代码 和病毒渗入，同时防止内部机密信息的泄露，实现网间信息的安全隔离和 可控交换。
内网主机和外网主机是内部网络和外部网络通用TCP/IP协议的终 点，各自的网络协议在仲裁主机实现剥离和重建。
PPT文档演模板
天融信产品交流[1]
产品特点
防范各类攻击和信息泄漏
专用的入侵检测引擎、杀毒引擎、黑白名单、数字签名、访问 控制策略、安全协议通道等技术的使用，可以使设备发现、过 滤并阻塞各种已知、未知的攻击，病毒和蠕虫等恶意代码，有效 保护内部网络系统的安全性 。
PPT文档演模板
天融信产品交流[1]
“CleanVPN”技术
病毒文件通过VPN 设备检测阻断
加密数据通道
Virus Code Red
分 支
检测引擎 加密引擎
受保护网络
Internet
PPT文档演模板
病毒文件通过VPN 设备检测阻断
检测引擎
Code Red Virus
加密引擎 总部
受保护网络
天融信产品交流[1]
天融信产品交流[1]
产品功能介绍
报表功能
PPT文档演模板
天融信产品交流[1]
目录
天融信防火墙介绍 天融信IDP介绍 天融信网闸介绍
PPT文档演模板
天融信产品交流[1]
隔离概念的提出
国外 ➢ 最早提出隔离概念，70年代美国、俄罗斯和以色列等国都存在 此方面的技术应用和相关法规
国内 ➢ 隔离要求最早是由国家保密局提出的，并已严格在涉密网内执 行 ➢ 中共中央办公厅2002年第17号文件明确强调：“政务内网和政 务外网之间物理隔离，政务外网与互联网之间逻辑隔离”
超低时延 Internet
PPT文档演模板
•科学研究表明，总时延小 于10ms才能保证网络视频、 语音质量
•TopASIC千兆小包时延 2.7us，比传统架构防火墙 小几百倍
视频会议 IP语音 通讯 在线结算 ERP 即时通讯
天融信产品交流[1]
目录
天融信防火墙介绍 天融信IDP介绍 天融信网闸介绍
PPT文档演模板
天融信产品交流[1]
TopRules解决的问题
• 保证安全隔离的同时，实现网间高效、受控的数据交换
• 三机三系统的特有结构，保证了设备自身高度的安全性
• 信息落地，内部专用安全协议，专用硬件，解决了由于 TCP/IP协议的脆弱性所带来的众多网络攻击问题
• 采用了安全隔离策略，有效地解决了涉秘网络信息泄漏的问 题
TOS采用最新的CCI技术
状态检测只检查数据包的包头； 深度包检测可对数据包内容进行检查； 而CCI则可实时将网络层数据还原为完整的应用 层对象（如文件、网页、邮件等），并对这些完 整内容进行全面检查，实现彻底的内容防护。
PPT文档演模板
天融信产品交流[1]
强大的防病毒引擎
引擎性能优异 能够查杀多达25万余种的病毒 病毒库全球同步更新 能够为用户提供7 X 24小时防病毒服务
TopASICTM 构建新一代防火墙
天融信产品交流[1]
零丢包率
PPT文档演模板
接
发
收
送
天融信TopASIC处理器
接
发
收
送
传统架构
天融信产品交流[1]
完全检测防火墙
PPT文档演模板
天融信产品交流[1]
产品特点
PPT文档演模板
天融信产品交流[1]
天融信防火墙主要特点
自主安全操作系统TOS 完全内容检测CCI 可扩展支持防病毒 支持SSL VPN 集成“CleanVPN” 技术 多样化的用户认证 虚拟防火墙 集中策略管理 软件、硬件模块化
PPT文档演模板RBiblioteka OT管理员 一级管理员二管理员
TopPolicy分级管理功能
统一策略管理 统一状态监控 远程配置管理 拓扑可视化显示 远程配置管理 远程用户管理 报表系统 设备流量管理 设备日志审计 双机热备 设备软件集中升级 报警系统 可视化策略编辑 设备信息管理 设备配置版本管理
天融信产品交流[1]
PPT文档演模板
天融信产品交流[1]
产品特点
PPT文档演模板
天融信产品交流[1]
产品特点
先进的三机三系统 独立的仲裁审计系统 专用硬件和专用通信协议 防范各类攻击和信息泄漏 应用级完全内容检测与审计 广泛的应用协议支持 安全、便捷的管理
PPT文档演模板
天融信产品交流[1]
产品特点
PPT文档演模板
天融信产品交流[1]
产品特点
应用级完全内容检测与审计
采用天融信公司专有完全内容检测模块，过滤所有交换数据， 全面解析网络传输信息，通过深层次细粒度的内容过滤，预先 拦截内、外网用户禁止访问的内容
PPT文档演模板
天融信产品交流[1]
产品特点
广泛的应用协议支持
支持 HTTP、HTTPS、SMTP、POP3、FTP、TELNET、SQL、 OACLE、、NULL_TCP等 支持用户基于标准TCP、UDP开发的自定义协议软件 无需对自定义协议软件进行二次修改开发 可以根据需求开发新的专用协议处理过滤功能
PPT文档演模板
天融信产品交流[1]
TopIDP以威胁抵御为核心功能
蠕虫/病毒
应用威胁
网络钓鱼
•TopIDP是以应用层威胁抵御为核心功能的综合威胁抵御产品
•TopIDP支持对各种新威胁的识别和抵御，可以不断给用户带来增值安全 服务，降低用户TCO
PPT文档演模板
天融信产品交流[1]
产品功能介绍
• 具有完整的防火墙功能 • 入侵防御功能
PPT文档演模板
天融信产品交流[1]
基于目标系统的流重组检测引擎
PPT文档演模板
天融信产品交流[1]
丰富灵活的自定义规则
•TopIDP产品内置了丰富灵活的自定义规则能力，能够根据协议、源端口、 目的端口及协议内容自行定义攻击行为
•借助于灵活的自定义规则能力，用户可以轻松定义自己的应用层检测和控 制功能。
天融信产品交流[1]
产品功能介绍
系 统 规 则 集
PPT文档演模板
天融信产品交流[1]
产品功能介绍
• Web日志和报表
– 基本信息首页：入侵排名（前10名） – IPS详细事件（日志） – 攻击排名：持续时间、清空
• TP日志和报表
– 事件监视（最近1小时）、流量监视 – 日报、周报、月报等
PPT文档演模板
– 对木马、蠕虫病毒、 – 对主流的RPC漏洞攻击做检测和阻断 – 对利用系统漏洞、溢出、HTTP类攻击进行检测和
阻断 – 可以检测和阻断多种拒绝服务攻击 – 可以按照用户自定义的规则来进行入侵检测
PPT文档演模板
天融信产品交流[1]
产品功能介绍
• 应用监控
– 可以识别和控制P2P、IM应用 – 可以对一些网络游戏、在线炒股进行监控和管理
策略授权
完全自主产权 成全面FW功能， 网络数据 负责数据高速处
理 大和 容转 量发 二。 级缓存， 存放所有临时表项，
ASIC
模块化、层 次化、可持
无 充须 分全与 提功内 高能存 性硬交 能互 。件，加 速，TAPF，大 一级缓存接口控制二级缓存
续升级
容量L2缓存
稳定可靠 全线速性能
PPT文档演模板
CA…
进行认证
topsec
RADIUS服务器
********
Internet
OTP 认证服务器
PPT文档演模板
将认证结果 传给防火墙
FW将认证信息传给 根据认证结果决定用
RADIUS服务器
户对资源的访问权限
天融信产品交流[1]
虚拟防火墙
PPT文档演模板
天融信产品交流[1]
Topsec Policy Management
PPT文档演模板
天融信产品交流[1]
完全内容检测CCI
垃圾邮件 1000
完全内容检测 蠕虫
CCI
100
木马
处理能力
深度包检测
病毒
10
DPI
社会学攻击
1
状态检测
SI
拒绝服务攻击
1990
1995
2000
2005
SI —Stateful Inspection DPI—Deep Packet Inspection CCI—Complete Content Inspection
天融信产品交流
PPT文档演模板
2020/11/15
天融信产品交流[1]
目录
天融信防火墙介绍 天融信IDP介绍 天融信网闸介绍
PPT文档演模板
天融信产品交流[1]
软件模块化设计
PPT文档演模板
天融信产品交流[1]
灵活的硬件模块化设计
防火墙机箱与引擎