H3C企业安全解决方案

H3C 企业安全解决方案01企业安全威胁H3C企业安全解决方案03XX物流-频现“内鬼”泄露用户个人信息-合伙出售客户隐私 11名内部员工获刑事件回顾：经群众举报，由于XX集团监管不利，2016年11月网络上有XX内部员工非法售卖公民个人信息千万余条，涉及交易金额达200余万元，同时查获涉及全国20多个省市的非法买卖公民个人信息网络群。

（根据法庭查明，嫌疑人涉案金额在数十万元，以杜某最高为16万元，其余人从几千到两三万不等）判决结果：2018年4月，湖北荆州中级人民法院对此案进行了终审判决，19名嫌疑人被判1年至3年不等的有期徒刑。

认清风险：企业内部业务系统没有做好有效的权限管理和内部员工行为审计策略酒店行业数据泄露-5亿条开房信息流失n8月28日曝出XX旗下多家酒店品牌数据泄露，网络黑客在向黑市出售，数据涉及到1.3亿人的个人信息及开房记录等共计5亿条信息。

XX集团在8月28日通过官方微博接连发布两份声明，表示已经报警并且聘请专业技术公司核查此事。

一周过去了，XX方面暂无更新事件进展公布，而数据泄露引发的公众热论也逐渐在网上淡去。

n2017年，全球酒店连锁集团凯悦酒店遭遇了黑客攻击，导致全球11个国家的41家凯悦酒店面临数据泄露。

n2017年4月，由于酒店遭到黑客入侵，洲际酒店超过1000家旗下酒店遭遇支付卡信息泄露的问题。

从民事责任层面来说，酒店应该承担相应的信息安全保障义务，如果没有保障好，导致客户的权利受到侵害，或者受到骚扰，应该承担侵权责任。

从刑事责任层面来说，此次涉及到近5亿条信息，属于“情节特别严重”的情形。

买卖信息的参与者构成侵犯公民个人信息罪的，依照侵犯公民个人信息罪定罪处罚。

12 大云安全威胁数据泄密身份认证及凭证被盗API 安全系统漏洞恶意内部人士永久的数据丢失APT 攻击共享（虚拟化）技术缺陷被滥用的云服务账户劫持上云准备（调查）不足拒绝服务攻击云安全联盟云计算所面临的挑战中，安全问题排在首位74.6%用户在关注安全性Source: CSASource: IDC企业云-面临的安全威胁概览01企业安全威胁02H3C企业级安全解决方案H3C主动安全防护体系—领御未来大安全分析平台威胁情报共享安全态势中心云监控服务服务协同情报协同威胁/风险应用特征同步策略自动下发未知文件流量上传运维信息配置数据安全日志信息上传工控安全网关工控入侵检测ACG 数据库审计NGFW NGIPS第三方SOC 异常流量检测日志采集器应用流量探针本地沙箱虚拟化安全主机安全物联安全日志采集/流量探针下一代安全网关（网络安全/应用安全/工控安全）终端安全机器学习/人工智能云沙箱检测引擎安全态势分析引擎WEB安全检测引擎云化运维监控引擎安全态势感知和情报中心安全云服务中心云运维服务LB WAF…云防护服务企业数据中心-安全产品部署示意骨干 40GE园区核心交换机S12500X-AFS12500-S无线控制器WX3500H WX5500H园区大楼办公分支1#客房部2#餐饮部3#购物部10GE GE汇聚交换机S7500E-X S6520X 防病毒卡接入交换机S5560X S5130无线物联网“蜘蛛侠” WA4320i-X-R “终结者”本体：WT1024X-EI 分体：WTU430H-IoT数据中心-B数据中心-ASync. Remote Copy Peer PersistenceFC 16G双活数据中心超融合UIS 8000关键业务系统R4900/R6800超融合UIS 8000R4900/R6800S10500S7500E-XS6800/S6820S6500/S6520CF8840CF8845CF8840CF8845关键业务系统10GE智慧运维中心ADCampus SDN Director 2000U-CenterS6520X S5560X数据备份中心近线备份磁带备份RMC防病毒卡防病毒卡防病毒卡园区防护数据库审计数据库审计堡垒机云智-态势感知数据中心防护流量探针负载均衡Web防护流量清洗负载均衡网站防护园区防护数据安全管理防病毒卡数据交换网闸互联网核心交换机S10500S7500E-X互联网接入互联网接入防病毒卡数据/网络安全审计互联网漏洞扫描NGFW上网行为管理办公分支办公分支整网核心V M V M V MvSwitchV MV MV MvSwitch云内安全资源池V M V M V M vSwitchV M V M V M vSwitchVXLAN Network服务链东西流量移动接入安全数据库资源池数据安全存储资源池存储安全广域网安全园区网安全（云）数据中心安全全网安全能力中心安全服务链WEBAPP安全云服务平台安全业务控制中心SDN Controller堡垒机漏扫日志审计防病毒用户认证全网安全管控中心网页防篡改H3C云安全中心互联网安全业务全面资源池化，基于硬件虚拟化（N:1及1:N虚拟化）及NF V 技术实现安全防护轻松弹性扩展基于下一代DPI技术及大数据分析系统，实现安全风险可视，并提前预警和安全策略调优H3C大安全防御体系全景图采用SDN/Overlay 技术，安全业务调度灵活机动，摆脱传统安全基于路径防护的缺陷，用软件量身定制的安全即服务（SAA S）公有云企业总部分支与园区网安全整体架构企业安全管理区酒店大厅制造场区办公园区NGFW核心交换机NGFW 核心交换机NGFW 核心交换机互联网出口域分支机构接入域InternetInternetNGFW ACG负载均衡抗DDoS 互联网交换机NGFW酒店分支裸光纤接入企业集团外网企业外网网区核心交换机NGFW业务服务器负载均衡WAF安全接入平台认证接入VPN网关数据库审计管理区交换机堡垒主机态势感知漏洞扫描终端准入终端杀毒企业互联网数据中心DC核心交换机NGFW 业务服务器负载均衡WAF数据库审计跨网数据交换虚拟防火墙应用监测流量探针网页防篡改流量探针日志采集器日志采集器企业云管理区管理区交换机云管理平台虚拟化管理平台SDN控制器云运维平台应用监测门店商超流量探针NGFW IPS ACGNGFW IPS ACGNGFW IPS ACGMCEMCE云边界接入区接入交换机接入交换机云核心云核心复制分流接入交换机安全资源池vSwitch大二层网络LB 资源池网络行为审计未知威胁防护入侵检测系统数据库审计安全监测区计算资源池Vxlan L2 GW虚拟杀毒防火墙资源池数据库区Vxlan L2 GW物理机物理机虚拟杀毒vLBvFWvIPS安全管理区安全评估服务漏扫堡垒机认证镜像流量管理流量安全管理中心多业务安全资源池APPAPPAPP物理机DDoS FW IPS LLB原办公网生产终端接入核心交换区公有云专线原办公网核心交换区WAF隔离区域原DMZ区域GAP 企业云数据中心安全防护整体方案基础设施防护区（underlay）业务资源池（overlay）安全防护类型图例：办公互联网接入专线联通电信广域网区接入路由器防火墙F1070图例：GE双绞线40GE光纤FC光纤虚拟化电缆10GE光纤虚拟化服务器云化管理区计算资源区虚拟化管理防火墙池云平台管理光纤交换机存储负载均衡池安全资源区接入交换机接入交换机接入交换机防DDos攻击安管区物理区Internet区云化区桌面云防火墙+LB接入交换机测试区WEB邮件对外信息系统SSL VPNDMZ区交换机光纤交换机存储虚拟化服务器桌面云业务交换机InternetISP3ISP2出口路由器ISP1上网行为管理链路负载IPS入侵防御防火墙+AV核心交换机汇聚交换机云桌面区办公区WAF视频会议交换机IPS（利旧）交换机试运行区接入交换机冷备出口路由器(后续增补)MCU（主）MCU（备）（后续增补）XX数据中心顶层设计图测试服务器LB同城数据中心DC互联区异地数据中心互联路由器WAF（利旧）网管平台漏洞扫描安全分析与管理系统数据库审计机房环境监控告警平台CA/RA堡垒机网络接入认证平台防病毒H3C大安全-企业云数据中心基础设施建设-安全架构互联网区核心交换区DDOSIPSFW UAG DMZ区测试区WAF 邮件网关FW广域网区FW IPS（利旧）WAF（利旧）桌面云区FW 杀毒物理区FW 杀毒云及虚拟化FW 杀毒云管理区FW 杀毒试运行区FW 杀毒办公区FW 杀毒存储区SSLVPN漏洞扫描数据库审计防病毒堡垒机EIA/EAD 态势感知IMC/APM ITSM企业数据中心安全解决方打造的安全能力安全组织与人员风险评估与监控应急与灾备物理与环境保护物理安全边界安全网络安全主机安全租户隔离资源独立分卷存储安全目录应用安全数据安全开发安全管理安全抽象安全物理平台安全，监控系统、门禁、电源等入侵防御、防火墙、DDoS、身份认证、VPN HA、集群、冗余、备份安全管理中心、身份认证、资源监控、堡垒机同步互联网安全防护租户隔离分域分级虚拟化防病毒、系统漏洞管理授权、CA、应用漏洞管理、监控数据备份、镜像保护、数据清除开发工具安全、API安全保护安全组织、安全运营、安全监管商密网安全防护安全审计访问控制系统与通信保护访问控制配置管理与维护云计算服务安全能力要求等级保护要求合规必备的安全能力基础设施安全IaaS 安全管理安全PaaS 安全安全防护资源池安全检测资源池开发与供应链安全《云计算安全技术》《信息安全与等级保护攻略》《国家标准-信息安全技术云计算服务安全指南》企业数据中心能提供的云安全服务目录防火墙负载均衡网站监测日志审计vFWvLB网页防篡改vWAF v堡垒机主机防病毒租户南北向安全租户东西向安全租户运维安全应用开发安全身份认证数据加密系统漏扫数据库漏扫Web漏扫CA基础设施vIPS 二级等保能力三级等保增强级IPS 网络防病毒三级等保能力10%7%3%60%20%3、锁定范围发生地确定、确定犯罪范围4、比较共性分析受害关联5、结论罪犯画像行为画像1、信息收集更多、更全面、更多元的搜集线索2、排查手段对比、目标对比企业级特色方案（一）态势感知—安全的犯罪侧写师被动：网络日志采集+终端日志采集+ 安全设备日志采集+流量日志采集主动：漏洞扫描关联规则、深度学习算法黑白灰名单威胁情报威胁处理建议犯罪嗅探（警犬）取证（技侦）线索搜集（群众）暴力执法（特警）问题剖析（法医）情报反馈（卧底）漏洞扫描+基线检查网络日志采集+终端日志采集+安全设备日志采集深度包检测+流量分析防火墙+IPS+DDoS威胁情报安全服务+沙箱安全态势感知系统：主要功能H3C 云智产品谱系图n 以“态势感知平台”为核心，围绕硬件设备、软件系统、解决方案、服务，形成系列化态势感知产品行为分析/挖掘异常流量分析应用流量分析流量及行为分析（单机）异常行为分析综合日志审计（单机）日志关联告警NAT日志溯源三方日志采集日志统计报表组件划分安全服务Web网站安全监测（单机）Web安全性评估Web可用性评估风险通报/跟踪Web完整性评估网络安全态势感知平台标准版（单机）安全事件分析安全响应联动资产状态监控安全策略管理技术支持云端运维威胁分析安装部署应急响应定制开发网络安全态势感知平台（集群版）行业定制运营商版政府版教育版金融版公安版其他网络安全物联网安全工控安全企业级特色方案（二）勒索病毒防护智能制造跳板主机黑客服务器•社工投递•进驻感染•SMB 445扫描•MS17-010漏洞利用•横向移动•释放病毒•加密文件域名开关服务器CC服务器域名解析开关判断外连C&C 病毒下载内网其他主机检测点1【IPS/NGFW 边界】•漏洞利用检测/防护•样本投递检测/防护检测点3【漏洞扫描】•针对脆弱性定期扫描•提前发现已知风险管理平台【态势感知】•全局感染趋势•策略联动下发•威胁情报关联检测点2【防毒墙 交换机】•防止横向扩散•策略全局联动ü识别扫描目标ü运行扫描以发现网络及终端上的敏感数据监控保护ü检查发送的数据 ü监控网络与终端事件ü禁止、删除或加密ü隔离或拷贝文件ü外设控制ü通知员工及其经理发现2341H3C SecPath DLP2000系列（后续简称为DLP2000系列）基于深度内容识别技术，对传输中、存储中、使用中的数据进行检测，识别敏感数据，依据预先定义的策略，实施特定响应，达到有效防护效果的解决方案。