XX水务-数据中心防火墙项目

• 项目背景

    为满足XX水务业务发展战略及自身创新发展需要，合理管控企业数据资产，XX水务坚持科学发展，在数字化转型过程中先行先试，提出构建一体化数据服务启动XX水务数据中心建设项目。旨在通过数据中心的建设，搭建数据中心硬件底座，逐步实现数据的规范性、完整性、一致性、准确性、可靠性和时效性，健全数据治理体系，提升数据全生命周期管理核心能力，释放数据价值。

• 需求分析

1. 1.运维挑战高：数据中心业务种类众多且区域安全策略变更频繁，同时需要保障数据中心服务的连续稳定运行，运维人员精力有限，缺少简单有效的风险处置手段。

2. 2.风险入口多，存在大量横向攻击：随着数据中心进一步互联互通，风险暴露面增大，一旦被攻陷，通过现有系统漏洞 及口令爆破，在内网快速横向，导致核心数据被非法窃取或破坏；

3. 3.无法应对应用层面攻击：传统数据中心边界聚焦四层的访问控制，无法防御来自应用层业务和7层协议漏洞而开展的攻击，如勒索和挖矿等变化极快速的病毒，存在大量的内网传播行为。

• 解决方案

     在数据中心边界以HA方式部署2台数据中心下一代防火墙，为数据中心各类系统应用提供一站式安全防护：产品通过漏洞特征库和漏洞攻击检测引擎，精准检测并阻断内网横向的非法攻击行为；通过精细化的访问控制策略，对来自内外部的访问加以管控，减少非法越权访问等违规操作；产品提供基于业务风险管理视角，快速定位业务安全隐患并提供优化建议，简化日常安全运维工作量。

• 网络拓扑

  

• 价值优势

   1.资产一键识别和展示，内网风险更直观

  内嵌的向导式威胁处置平台，对资产进行一键识别和梳理，进行脆弱性评估，对安全规则库的状态及规则库

是否有效覆盖业务进行评估。同时基于资产的状态和互访关系进行了拓扑展示，便于审计和管理，支持快速发现

网络中的离线设备、端口使用范围，资产访问趋势等。

 2.漏洞检出率高，安全有效

  结合特征库+漏洞检测泛化引擎+云端AI能力，具备更强的攻击防绕过能力和新型漏洞的防御能力，检出率高达99.97%，有效应对各类利用应用漏洞发起的网络攻击行为，如攻击者常利用服务器高危漏洞RDP、SSH、SMB发起的对服务器攻击；有效抑制内网的横向传播；

 3.结合云&本地蜜罐，提升主动防御能力

  在防火墙上基于IP和端口构建作为诱饵的伪装业务，诱捕内外网的攻击行为，联动封锁非法攻击；保护业务和核心数据文件安全，并提供攻击溯源举证能力。同时支持云端高级捕获技术，通过在云端蜜罐分析更细粒度的恶意行为，获取攻击者的攻击者的身份、攻击轨迹，形成攻击者画像，遇到相似攻击后会快速阻断，保护业务安全，快速识别阻断网络中因主机中毒和远控导致主机失陷及内网攻击行为。

 4.策略自动分析优化，提升运维效率

 通过安全策略有效性分析，自动识别长时间没有匹配的无效策略、开发权限过大的违规策略、配置冲突导致功能失效的策略等，快速定位并优化，解放运维人员的时间，提升安全运维效率。同时对策略的变更进行全面的记录，如什么人/在什么时间/基于什么理由/变更了什么内容，做一个全生命周期的策略追溯。