思科自防御安全解決方案綜述

2006 Cisco Sy stems, Inc. All rights reserv ed. Cisco Conf idential Presentation_ID 1 思科安全解決方案綜述 Version: 20070113 Shen Qi 2014/10/29 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 2 Cisco Confidential /webmoney 內(nèi)容安排 我們需要改變安全銷售的觀念 ? 目前客戶的安全需求重點(diǎn)是什么 ? 面向客戶需求的安全主題銷售方案 如何把握安全銷售項(xiàng)目的規(guī)模與節(jié)奏 ? 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 3 Cisco Confidential /webmoney 我們需要改變安全銷售的觀念 以產(chǎn)品為中心的方式 以需求為中心的方式 客戶自己發(fā)現(xiàn)問題，提出需求，我們銷售特定產(chǎn)品 挖掘用戶需求，整合自身產(chǎn)品提出行業(yè)定制化的解決方案 客戶需要什么我們做什么 , 沒有話語權(quán)，比較被動 針對用戶特定階段的特定需求，分步驟引導(dǎo)用戶的項(xiàng)目 很難把握項(xiàng)目的規(guī)模與走向，競爭激烈 主動把握項(xiàng)目的規(guī)模與進(jìn)展，為競爭對手設(shè)置障礙 單個項(xiàng)目的安全份額比較小，特定情況下需要平衡客戶的內(nèi)部關(guān)系 提升單一客戶項(xiàng)目的安全份額，解決用戶的 Burning Issue 困惑在于產(chǎn)品太多，不知道怎么去賣 , 很難做到方案級別的銷售規(guī)模 以方案為主體，弱化單一產(chǎn)品的指標(biāo) , 強(qiáng)化 Reference的作用 2006 Cisco Sy stems, Inc. All rights reserv ed. Cisco Conf idential Presentation_ID 4 完美的安全防御包括什么 ? 嚴(yán)密的邊界防護(hù) 強(qiáng)大的內(nèi)部控制 靈活的 統(tǒng)一指揮 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 5 Cisco Confidential /webmoney 知己知彼 , 百戰(zhàn)不殆 嚴(yán)密的邊界防護(hù) : 應(yīng)用防火墻 , 入侵檢測與防護(hù) , 內(nèi)容安全以及 VPN接入 縱深化的概念 : 安全域 FWM 強(qiáng)大的內(nèi)部控制 : 用戶身份與系統(tǒng)安全的控制 AAA/NAC 終端的防護(hù)與安全策略控制 - CSA 靈活的統(tǒng)一指揮 : 基于全局的定位 : MARS 快速有效的響應(yīng) : CSM/MARS 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 6 Cisco Confidential /webmoney 內(nèi)容安排 我們需要改變安全銷售的觀念 ? 目前客戶的安全需求重點(diǎn)是什么 ? 面向客戶需求的安全主題銷售方案 如何把握安全銷售項(xiàng)目的規(guī)模與節(jié)奏 ? 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 7 Cisco Confidential /webmoney 互聯(lián)網(wǎng) 局域網(wǎng) 無線接入 數(shù)據(jù)中心 遠(yuǎn)程機(jī)構(gòu) 企業(yè)園區(qū) 我們需要抓住客戶的安全需求 DMZ 安全攻擊入侵的防護(hù) 利用 IPS以及 CSA進(jìn)行網(wǎng)絡(luò)與主機(jī)的安全防護(hù) 關(guān)鍵應(yīng)用系統(tǒng)的防護(hù) 利用防火墻，入侵防護(hù)以及認(rèn)證授權(quán)系統(tǒng)完成關(guān)鍵應(yīng)用系統(tǒng)的防護(hù)與控制 企業(yè)互聯(lián)網(wǎng)的業(yè)務(wù)安全 利用 ASA, Ironport, VPN, CSA以及 NAC技術(shù)保證終端用戶以及網(wǎng)絡(luò)系統(tǒng)在接入互聯(lián)網(wǎng)的安全 安全事件監(jiān)控與日常維護(hù) 利用 CS-MARS以及 CS-Manager進(jìn)行系統(tǒng)級的策略操作以及威脅監(jiān)控響應(yīng) 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 8 Cisco Confidential /webmoney 內(nèi)容安排 我們需要改變安全銷售的觀念 ? 目前客戶的安全需求重點(diǎn)是什么 ? 面向客戶需求的安全主題銷售方案 如何把握安全銷售項(xiàng)目的規(guī)模與節(jié)奏 ? 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 9 Cisco Confidential /webmoney 面向客戶需求的安全主題銷售方案 企業(yè)互聯(lián)網(wǎng)的業(yè)務(wù)安全 關(guān)鍵應(yīng)用系統(tǒng)的防護(hù) 網(wǎng)絡(luò)入侵防護(hù)、監(jiān)控與響應(yīng)系統(tǒng) 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 10 Cisco Confidential /webmoney Business Partner Access Extranet Connections 企業(yè)網(wǎng)絡(luò) 互聯(lián)網(wǎng) 遠(yuǎn)程接入系統(tǒng) 遠(yuǎn)程分支機(jī)構(gòu) 數(shù)據(jù)中心 管理網(wǎng)段 內(nèi)部局域網(wǎng) Internet Connections 企業(yè)互聯(lián)網(wǎng)的業(yè)務(wù)安全 STOP GO STOP GO GO STOP GO 互聯(lián)網(wǎng)邊界安全控制 應(yīng)用級別的安全防護(hù) 防火墻 入侵防護(hù)系統(tǒng) 內(nèi)容級別的安全防護(hù) Web/AV SPAM防護(hù) 統(tǒng)一 VPN接入系統(tǒng) 企業(yè)網(wǎng)絡(luò)安全接入控制 LAN/WLAN/VPN的接入控制 評估終端的安全防護(hù)狀態(tài) 控制終端接入的安全策略 主動終端防護(hù)系統(tǒng) 主動適應(yīng)型終端防護(hù) , 確保終端訪問互聯(lián)網(wǎng)時的安全，抵御互聯(lián)網(wǎng)蠕蟲以及網(wǎng)頁木馬病毒的攻擊 企業(yè)安全策略控制 , 防止內(nèi)部用戶的惡意行為 終端與網(wǎng)絡(luò)入侵防護(hù)及監(jiān)控系統(tǒng)的聯(lián)動 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 11 Cisco Confidential /webmoney 互聯(lián)網(wǎng)邊界安全控制 應(yīng)用級別的安全防護(hù)：下一代防火墻 防火墻 入侵防護(hù)系統(tǒng) 內(nèi)容級別的安全防護(hù)： Iron port Web/AV SPAM防護(hù) 統(tǒng)一 VPN接入系統(tǒng)： IPSec/SSL VPN 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 12 Cisco Confidential /webmoney 嚴(yán)密的邊界防護(hù) 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 13 Cisco Confidential /webmoney 南京中華門城堡 縱深防御體系的典型 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 14 Cisco Confidential /webmoney 縱深化的安全架構(gòu)是系統(tǒng)穩(wěn)固的基礎(chǔ) 主機(jī)接入 CIP路由器 ESCON Director Coupling Facility 快速以太網(wǎng)或 令牌環(huán)交換機(jī) DLSW+路由器 IBM主機(jī) Ci sco7507 Catal y st6509 Catal y st5509 Ci sco7507 FC 交換核心 SiSiSiSiCatalyst6513 SNA/IP 網(wǎng)關(guān) IP業(yè)務(wù) 服務(wù)器 SNAsw DLSW 業(yè)務(wù)服務(wù)器群 Catal y st6513 開發(fā)測試網(wǎng)區(qū)域 主機(jī)系統(tǒng) Ci sco 5350/Cisco5400 外圍網(wǎng)關(guān) IP PBX IP自動 語音應(yīng)答 客戶關(guān)系管理 數(shù)據(jù)庫 應(yīng)用網(wǎng)關(guān) CTI服務(wù)器 AW管理 工作站 傳真系統(tǒng) IP錄音系統(tǒng) 普通業(yè)務(wù)咨詢 專長理財(cái) n* E1 客戶 專職業(yè)務(wù)代表 語音接入 VoIP 網(wǎng)關(guān) ICM PG CTI 客服中心核心系統(tǒng) Catal y st6509 外聯(lián)網(wǎng)區(qū)域 PIX535 Catal y st 4000 Ci sco IDS PIX 535 Ci sco 7200 撥號訪問服務(wù)器 Ci sco 3600 Ci sco 7200 DNS 應(yīng)用服務(wù)器 Ci sco IDS 4-7層分析 Ci sco IDS 4-7層分析 WEB協(xié)同 服務(wù)器 電子郵件 服務(wù)器 內(nèi)容交換機(jī) CSS11500 電子郵件 管理服務(wù)器 PIX 535 GSS全局網(wǎng)站定位器 GSS全局網(wǎng)站定位器 CiscoWorks 2000 IDS 管理 Cisco Info Server VPN Solution Center CIC Reporter 運(yùn)行管理網(wǎng)絡(luò)區(qū)域 網(wǎng)元管理 事件管理中心 事件統(tǒng)計(jì)匯報(bào) SNA管理 安全管理 話音管理 廣域接入網(wǎng)區(qū)域 Catal y st 6513 Catal y st 4500 Catal y st 3550 服務(wù)器群 (均衡負(fù)載） VoIP關(guān)守 HSRP CDM4650 CE 560/CE 590 無線以太 網(wǎng)訪問點(diǎn) E-Learning LMS服務(wù)器 WEB 服務(wù)器 其它 服務(wù)器 IP/TV 內(nèi)容管理器 Ci sco 3660 VoIP網(wǎng)關(guān) AS5350 MCS V 辦公網(wǎng)絡(luò)區(qū)域 內(nèi)容分發(fā) 管理器 CDM 內(nèi)容路由器 CR 互聯(lián)網(wǎng)連接區(qū)域 訪問管理控制 服務(wù)器 外層 防火墻 DNS 服務(wù)器 Internet ISPA 內(nèi)層 防火墻 郵件 服務(wù)器 郵件網(wǎng)關(guān) (防毒 ) Cisco VPN集中器 Ci sco IDS 4-7層分析 AAA認(rèn)證 服務(wù)器 外網(wǎng) 交換機(jī) Ci sco 7200 撥號訪問服務(wù)器 Ci sco 3600 PSTN Ci sco 7200 PIX 535 PIX 535 Catal y st4507 Internet ISPB Catal y st 6509 Catal y st 4500 客戶服務(wù)中心區(qū)域 生產(chǎn) /應(yīng)用區(qū)域 分公司 合作伙伴 分公司 安全管理中心 安全認(rèn)證中心 入侵監(jiān)測中心 防病毒服務(wù)器 邊界防火墻 入侵防范 安全VPN 路由器集成安全防護(hù) 邊界防火墻 邊界防火墻 入侵監(jiān)測防范 入侵監(jiān)測防范 安全交換機(jī) 網(wǎng)絡(luò)準(zhǔn)入控制 路由器集成安全防護(hù) VPN安全接入 垃圾郵件防護(hù) 內(nèi)容安全控制 防 DDoS攻擊 邊界防火墻 認(rèn)證服務(wù)器 入侵監(jiān)測 撥號接入 無線安全接入 動態(tài)密碼 語音安全 服務(wù)器安全加固 入侵監(jiān)測 邊界防 火墻 網(wǎng)絡(luò)病毒過濾 漏洞掃描 網(wǎng)絡(luò)準(zhǔn)入控制 終端安全防護(hù) 防 DDoS攻擊 入侵監(jiān)測 反向地址驗(yàn)證 邊界防火墻 二級防 火墻 二級防火墻 流量監(jiān)測 服務(wù)器安全加固 垃圾郵件防范 入侵監(jiān)測 網(wǎng)絡(luò)準(zhǔn)入控制 防火墻 語音安全 應(yīng)用安全 流量監(jiān)控 設(shè)備加固 反向地址驗(yàn)證 防火墻 入侵監(jiān)測 入侵監(jiān)測 設(shè)備加固 應(yīng)用安全保護(hù) 防 DDoS攻擊 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 15 Cisco Confidential /webmoney 專門的防火墻硬件 支持 250 個虛擬防火墻 高達(dá) 5Gbps/模塊 的吞吐能力 每機(jī)箱 4個模塊 支持 2000 個邏輯網(wǎng)絡(luò)接口 提供 Layer-2 透明防火墻功能 互聯(lián)網(wǎng) Catalyst 6500/7600 A FW SM B C VFW VFW VFW MSFC 業(yè)務(wù)虛網(wǎng) 利用高性能防火墻模塊構(gòu)架多層次的安全域 安全問題 : 企業(yè)內(nèi)部應(yīng)用和外部應(yīng)用在同一個網(wǎng)絡(luò)上運(yùn)行，不同部門之間連接在同一個網(wǎng)絡(luò)上，需要安全隔離，又擔(dān)心性能瓶頸 方案 : 采用集成于交換機(jī)的高性能防火墻模塊 辦公虛網(wǎng) 客人虛網(wǎng) 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 17 Cisco Confidential /webmoney Cisco ASA 5500 綜合安全防護(hù)產(chǎn)品 Firewall Technology Cisco PIX IPS Technology Cisco IPS Content Security Trend Micro VPN Technology Cisco VPN 3000 Network Intelligence Cisco Network Services App Inspection, Use Enforcement, Web Control Application Security Malware/Content Defense, Anomaly Detection IPS & Anti-X Defenses Traffic/Admission Control, Proactive Response Network Containment and Control Secure Connectivity IPSec & SSL VPN Market-Proven Technologies Adaptive Threat Defense, Secure Connectivity 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 18 Cisco Confidential /webmoney Cisco ASA 5500 提供內(nèi)容級別的安全防護(hù) THREAT TYPES PROTECTION Viruses Spyware Malware Phishing Spam Inappropriate URLs Identity Theft Offensive Content Unauthorized Access Intrusions & Attacks Insecure Comms. NEW Anti-X Service Extensions Resource & Information Access Protection Hacker Protection Client Protection DDoS Protection Protected Email Communication Protected Web Browsing Protected File Exchange Unwanted Visitor Control Audit & Regulatory Assistance Non-work Related Web Sites Identity Protection Granular Policy Controls Comprehensive Malware Protection Advanced Content Filtering Integrated Message Security Easy to Use ASA 5500 with CSC-SSM 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 19 Cisco Confidential /webmoney Internet 內(nèi)部用戶 Port 80 Web 服務(wù) Web 應(yīng)用 IM 流量 多媒體 互聯(lián)網(wǎng)訪問 43% 43% 55% 43% 98% 采用應(yīng)用級防火墻進(jìn)行深入的攻擊防護(hù) “ 75% 針對 Web 服務(wù)器的攻擊是基于應(yīng)用層，而不是網(wǎng)絡(luò)層次 80 HTTP John Pescatore, VP and Research Director, Gartner, June 2002. Source: Aug 2002 InfoWorld/Network Computing survey of IT Professionals 64% 的企業(yè)用戶在防火墻上開放 80端口，用于滿足其內(nèi)部基于 Web的各類應(yīng)用服務(wù)流量的需要 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 20 Cisco Confidential /webmoney 基于網(wǎng)絡(luò)行為特征的攻擊判別 Internet Internal Zone 2 Internal Zone 3 利用 AD（ Anomaly detection algorithms）檢測并阻止零日攻擊（ Day-Zero ） 自動學(xué)習(xí)網(wǎng)絡(luò)流量特征 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 21 Cisco Confidential /webmoney Teleworker Branch Office Internet Edge ASA 5550 ASA5500的產(chǎn)品一覽 ASA 5580-20 ASA 5580-40 ASA 5505 集成化的安全平臺 符合下一代防火墻標(biāo)準(zhǔn)的硬件架構(gòu)標(biāo)準(zhǔn) 統(tǒng)一的安全管理界面 符合業(yè)界高標(biāo)準(zhǔn)的安全認(rèn)證 還有更多 Data Center ASA 5540 ASA 5520 ASA 5510 Cisco ASA 5500 Platforms New New Campus Segmentation Cisco Confidential NDA Use Only 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 22 Cisco Confidential /webmoney 為什么要升級到 ASA5500？ 更加靈活的部署方式： ASA5500可以按照防火墻、入侵防護(hù)、 VPN以及內(nèi)容安全等不同方式進(jìn)行部署 更加低廉的部署以及維護(hù)成本：因?yàn)?ASA5500包括了多種安全防護(hù)技術(shù)，以統(tǒng)一的平臺完成更多的防護(hù)任務(wù) 更加先進(jìn)的設(shè)計(jì)架構(gòu)：將思科傳統(tǒng)的安全產(chǎn)品，包括 PIX500、 IDS4200、 VPN3000集成于一個全新的多 CPU、多總線的硬件架構(gòu)，在確保系統(tǒng)的穩(wěn)定基礎(chǔ)上提升整體的性能指標(biāo) 更加強(qiáng)大的防火墻以及 VPN性能：相對傳統(tǒng)的 PIX產(chǎn)品而言，ASA5500的防火墻與 VPN性能更加優(yōu)化 硬件實(shí)現(xiàn)的入侵防護(hù)以及內(nèi)容安全功能，在啟動多重防護(hù)體系時確保系統(tǒng)性能不受影響 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 23 Cisco Confidential /webmoney 05010015020025030035001000200030004000500060007000下一代防火墻 ASA5500的優(yōu)勢體現(xiàn) 下一代防火墻必須同時 高性能 地處理 應(yīng)用級別的防火墻以及 入侵檢測防護(hù) 功能 下一代防火墻必須在硬件架構(gòu)中考慮未來安全防護(hù)需求的擴(kuò)展能力，采用 多核 CPU以及 多總線 的處理模式，兼顧性能與功能的需求 Cisco ASA5520 Vendor “A” Vendor “B” Vendor “C” Firewall Performance (Mbps) with All Attack/Virus Signatures Enabled, 16-Kbyte HTTP Object Size Connections per Second Performance Cisco ASA5520 Vendor “A” Vendor “B” Vendor “C” Source: Miercom, October 2005 UTM Product Comparison 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 24 Cisco Confidential /webmoney 如何發(fā)揮 ASA 5500 的安全防護(hù)效能？ Corporate Network 遠(yuǎn)程分支機(jī)構(gòu) 本地互聯(lián)網(wǎng)訪問 數(shù)據(jù)中心 Extranet: 商業(yè) 合作伙伴接入 遠(yuǎn)程 VPN接入 DMZ: 對外 互聯(lián)網(wǎng)服務(wù) 內(nèi)部 LAN接入 普通終端的 互聯(lián)網(wǎng)訪問 WLAN接入 Internal Segmentation Cisco ASA 5500 IPS Edition Cisco ASA 5500 SSL & IPSec VPN Edition Cisco ASA 5500 Anti-X Edition Cisco ASA 5500 IPS Edition Cisco ASA 5500 Firewall Edition Cisco ASA 5500 Firewall Edition 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 25 Cisco Confidential /webmoney 怎么定位不同的 ASA5500產(chǎn)品？ 互聯(lián)網(wǎng)接入： ASA5510/5520/5540 FW/IPS版本 VPN接入： ASA55x0 FW或 VPN版本 內(nèi)部 WLAN接入： ASA5510/5520/5540 IPS版本 遠(yuǎn)程分支機(jī)構(gòu)接入： ASA55x0 FW或 CSC版本 內(nèi)部應(yīng)用系統(tǒng)防護(hù)： ASA55x0 IPS或 5550/5580 FW版本 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 26 Cisco Confidential /webmoney 互聯(lián)網(wǎng)邊界安全控制 應(yīng)用級別的安全防護(hù)：下一代防火墻 防火墻 入侵防護(hù)系統(tǒng) 內(nèi)容級別的安全防護(hù)： Iron port Web/AV SPAM防護(hù) 統(tǒng)一 VPN接入系統(tǒng)： IPSec/SSL VPN 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 27 Cisco Confidential /webmoney Iron Port ：企業(yè)級內(nèi)容安全產(chǎn)品 Internet C-Series EMAIL安全網(wǎng)關(guān) S-Series WEB安全網(wǎng)關(guān) M-Series 安全 管理設(shè)備 IronPort SenderBase 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 28 Cisco Confidential /webmoney IRONPORT 基于消息的安全解決方案 IRONPORT SERVICES Sender-Base Reputational Filtering IRONPORT PLATFORMS Anti-Spam Virus Outbreak Filtering Content Filtering C-Series Email Security Appliance S-Series Web Security Appliance PARTNER SERVICES Anti-Virus Anti-Spyware URL Filtering Instant Messaging & Peer-to-Peer Control Data Leakage Encryption 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 29 Cisco Confidential /webmoney 互聯(lián)網(wǎng)邊界安全控制 應(yīng)用級別的安全防護(hù)：下一代防火墻 防火墻 入侵防護(hù)系統(tǒng) 內(nèi)容級別的安全防護(hù)： Iron port Web/AV SPAM防護(hù) 統(tǒng)一 VPN接入系統(tǒng)： IPSec/SSL VPN 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 30 Cisco Confidential /webmoney 使用統(tǒng)一 VPN接入系統(tǒng)滿足各種客戶需求 Public Internet ASA 5500 VPN Edition 網(wǎng)頁定制化的 SSL VPN接入 網(wǎng)頁定制化 SSL VPN接入 隧道模式的 SSL或 IPSec VPN LAN接入 商業(yè)合作伙伴的 VPN接入 Requires “l(fā)ocked-down” access to specific extranet resources and applications 出差員工的遠(yuǎn)程接入服務(wù) Remote access users require seamless, easy to use, access to corporate network resources 第三方平臺臨時接入服務(wù) Remote users may require lightweight access to e-mail and web-based applications from a public machine 遠(yuǎn)程分支機(jī)構(gòu)以及 SOHU型用戶的 LAN接入 Day extenders and mobile employees require consistent LAN-like, full-network access, to corporate resources and applications 隧道模式的 SSL或 IPSec VPN客戶端接入 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 31 Cisco Confidential /webmoney 隧道模式 VPN接入 : IPSec and SSL VPN Customizable access and streamlined management comprehensive IPSec and SSL VPN solutions on one platform Ease of administration dynamically downloadable SSL VPN client is centrally configured and easy to update Fast initiation and operation multiple delivery methods and small download size ensures broad compatibility and rapid download ASA 5500 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 32 Cisco Confidential /webmoney WEB模式 : Clientless Access Fully clientless web-based network access allows anywhere access to network resources Web content transformation provides excellent compatibility with web pages containing Java, ActiveX, complex HTML and JavaScript Multiple browser support ensures broad connection compatibility Uniform and efficient application delivery via fully clientless Citrix support Customizable user portal for ease of use and enhanced user experience ASA 5500 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 33 Cisco Confidential /webmoney 思科 AnyConnect客戶端支持各種平臺的接入 Next generation VPN client, available on many platforms including: Windows Vista 32- and 64-bitt, Windows XP 32- and 64-bit, and Windows 2000 Mac OS X 10.4 (Intel and PPC) Intel-based Linux Windows Mobile 5 Pocket PC Edition Stand-alone, Web Launch, and Portal Connection Modes Start before Login (SBL) and DTLS support Windows 2000 and XP only New! 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 35 Cisco Confidential /webmoney Business Partner Access Extranet Connections 企業(yè)網(wǎng)絡(luò) 互聯(lián)網(wǎng) 遠(yuǎn)程接入系統(tǒng) 遠(yuǎn)程分支機(jī)構(gòu) 數(shù)據(jù)中心 管理網(wǎng)段 內(nèi)部局域網(wǎng) Internet Connections 企業(yè)互聯(lián)網(wǎng)的業(yè)務(wù)安全 STOP GO STOP GO GO STOP GO 互聯(lián)網(wǎng)邊界安全控制 應(yīng)用級別的安全防護(hù) 防火墻 入侵防護(hù)系統(tǒng) 內(nèi)容級別的安全防護(hù) Web/AV SPAM防護(hù) 統(tǒng)一 VPN接入系統(tǒng) 企業(yè)網(wǎng)絡(luò)安全接入控制 LAN/WLAN/VPN的接入控制 評估終端的安全防護(hù)狀態(tài) 控制終端接入的安全策略 主動終端防護(hù)系統(tǒng) 主動適應(yīng)型終端防護(hù) , 確保終端訪問互聯(lián)網(wǎng)時的安全，抵御互聯(lián)網(wǎng)蠕蟲以及網(wǎng)頁木馬病毒的攻擊 企業(yè)安全策略控制 , 防止內(nèi)部用戶的惡意行為 終端與網(wǎng)絡(luò)入侵防護(hù)及監(jiān)控系統(tǒng)的聯(lián)動 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 36 Cisco Confidential /webmoney 主動終端防護(hù)系統(tǒng) Cisco Security Agent 主動適應(yīng)型終端防護(hù) , 確保終端訪問互聯(lián)網(wǎng)時的安全，抵御互聯(lián)網(wǎng)蠕蟲以及網(wǎng)頁木馬病毒的攻擊 企業(yè)安全策略控制 , 防止內(nèi)部用戶的惡意行為 終端與網(wǎng)絡(luò)入侵防護(hù)及監(jiān)控系統(tǒng)的聯(lián)動 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 37 Cisco Confidential /webmoney 新一代的主機(jī)安全解決方案 服務(wù)器和桌面系統(tǒng)的威脅防范機(jī)制 在惡意行為 之前 識別和防止 獨(dú)特的行為檢測手段分析已知或未知威脅 防范 : Mydoom W32.Blaster Fizzer Bugbear Sobig.E SQL Slammer Sircam.A CodeRed Nimda W32.Netsky 更多 , 不需要簽名更新 ! Cisco安全代理 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 38 Cisco Confidential /webmoney CSA 邏輯結(jié)構(gòu) 集中式安全管理器 SNMP Traps 客戶程序 本地文件 策略 / 更新 報(bào)警 基于瀏覽器的管理界面 配置 報(bào)告，事件 桌面代理 桌面代理 桌面代理 服務(wù)器代理 服務(wù)器代理 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 39 Cisco Confidential /webmoney 惡意代碼的共性 - 攻擊流程分析 被攻擊 的目標(biāo) 1 2 3 4 5 探測 滲透 寄生 傳播 發(fā)作 地址探測 端口掃描 密碼猜測 郵件用戶猜測 惡意郵件 緩沖區(qū)溢出 惡意 ActiveX 控件 自動軟件安裝 利用已有后門 創(chuàng)建新文件 修改已有文件 修改注冊表 安裝新的網(wǎng)絡(luò)服務(wù) 建立系統(tǒng)后門 郵件傳播 Web傳播 IRC 傳播 FTP傳播 文件傳播 刪除文件 修改文件 使計(jì)算機(jī)癱瘓 拒絕服務(wù) 攻擊準(zhǔn)備 攻擊實(shí)施 攻擊后續(xù) 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 40 Cisco Confidential /webmoney August 2005， Zotob 蠕蟲爆發(fā) 從微軟公布漏洞到病毒爆發(fā)只有短短 5天 的時間 思科內(nèi)部 IT緊急發(fā)布 Patch，但是仍有大約 18000臺終端沒有進(jìn)行更新升級，在此期間全部依賴 CSA完成終端的防護(hù) 在整個事件中，全球 58000臺 IT管理的桌面終端中，僅有319位用戶受到影響，其原因在于關(guān)閉了 CSA的防護(hù)功能或者是采取了錯誤操作 這 319名員工的系統(tǒng)在 2天 內(nèi)得到了全面的恢復(fù) Cisco 安全代理 思科 實(shí)際案例分析 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 41 Cisco Confidential /webmoney 利用 CSA防止終端用戶的數(shù)據(jù)泄漏 限制移動介質(zhì)的數(shù)據(jù)復(fù)制 USB, floppy disk, CD Burner 限制通過非授權(quán)接口的進(jìn)行數(shù)據(jù)傳送 Modem, Bluetooth, IRDA 限制通過 webmail, p2p或 IM發(fā)送關(guān)鍵數(shù)據(jù) 限制系統(tǒng)的 cut & paste clipboard誤操作 EMAIL Security Appliance WEB Security Appliance 企業(yè)級別的安全 內(nèi)容識別與數(shù)據(jù)保護(hù) 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 43 Cisco Confidential /webmoney Network Scanner A Windows Server Linux Server Not Vulnerable Filter Event Vulnerable Increase Risk Rating Event / Action Filtering Monitoring Console: Non-relevant events filtered Attacker initiates IIS attack destined for servers Contextual information on attack target used to refine security response Contextual information gathered through: Passive OS fingerprinting Static OS mapping for exception handling Dynamic Risk Rating adjustment based on attack relevance Result: More appropriate and effective security response actions 針對終端防護(hù)的關(guān)聯(lián)評估 New! 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 44 Cisco Confidential /webmoney CSA應(yīng)用案例二 : Unmanaged Agent Unmanaged Network Ships standalone CSA on 50K+ ATM devices per year New enhancements added to 5.2: Local IP address configuration Local registry protection configuration CSA Team Focus: Contact Phuong Nguyen (pvnguyen) with standalone opportunities 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 45 Cisco Confidential /webmoney 企業(yè)網(wǎng)絡(luò)安全接入控制 LAN/WLAN/VPN的接入控制 評估終端的安全防護(hù)狀態(tài) 控制終端接入的安全策略 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 46 Cisco Confidential /webmoney 無線網(wǎng)絡(luò)下的網(wǎng)絡(luò)準(zhǔn)入控制 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 47 Cisco Confidential /webmoney 訪客控制的說明 GUEST The visitor who needs network access (usually internet only, but could be more) SPONSOR The internal user who wants to be able to provide internet access to their guest NETWORK ENFORCEMENT DEVICE Web re-direction, authentication and provides access. Wireless LAN Controller or NAC Appliance NAC GUEST SERVER Enables sponsor to create guest account； audits； provisions account on network enforcement device 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 48 Cisco Confidential /webmoney Guest Sponsor Internet Wired or Wireless NAC Appliance Cisco Guest Server 1. Sponsor accesses Cisco Guest Server, such as 2. Sponsor authenticates using corporate credentials 3. Sponsor Creates Account on the Cisco Guest Server 4. Sponsor gives guest account details (email/print/sms) 5. Guest Server Provisions Account on the Cisco NAC Appliance Active Directory 1. 2. 3. 4. 5. 訪客控制的說明 : 內(nèi)部員工預(yù)先創(chuàng)建帳號 2006 Cisco Sy stems, Inc. All rights reserv ed. Presentation_ID 49 Cisco Confidential /webmoney 訪客接入并接受檢查與授權(quán) Guest Sponsor Internet Wired or Wireless 1. Guest opens Web browser 2. Web traffic is intercepted by Network Enforcement Device and redirected to login page (captive portal) 3. Guest logs in with details p