银行数据量庞大，且对灾备恢复等级要求高。灾备网络的瓶颈往往存在广域网上，广域网的效率将在很大程度上决定了灾备数据传输的效率。 ■ 灾备传输多为单TCP连接或仅几条连接，单连接吞吐速度严重制约灾备传输速度； ■ 20ms延时线路，TCP单连接吞吐仅25Mb/s，升级带宽也无法提高吞吐； ■ 数据恢复时广域网成为瓶颈，无法达到RTO要求。

在主数据中心与灾备中心之间分别部署广域网优化（WOC)设备解决以上问题。 对TCP传输协议进行改进，提升TCP单连接吞吐，20ms延时的专线环境下单条TCP连接可提升至500Mb/s以上，并支持单TCP连接达千兆的高性能平台，满足银行灾备大数据量传输的要求。可支持多种主流灾备系统，如EMC、IBM、Symantec、HP、HDS、Dell、Commvault、CA、Netapp等。

■ 充分利用带宽，加快灾备数据的传输，避免数据的堆积； ■ 加快发生数据灾难后的数据恢复，达到RTO要求； ■ 帮助灾备网络达到《商业银行数据中心监管指引》及《信息系统灾难恢复规范》等相关指引及规范对灾难恢复等级要求

某政府机关单位为保证其核心业务应用的持续、稳定运行，实现各核心业务应用之间信息的安全共享，该单位按照《信息安全等级保护管理办法》（公通字[2007]43号）文件精神，结合自身核心业务系统特点开展信息安全等级保护建设整改工作。 在项目推进的前期准备阶段，该单位信息中心对自身业务系统的安全状况，邀请了专业的第三方等级保护咨询服务商进行了深入的调研和评估，梳理和整理了当前运行的所有业务系统，并依据《信息系统等级保护定级指南》对自身核心业务系统的保护进行了定级备案、差距分析与风险评估、安全规划等一系列准备工作。上级单位通过了该单位等级保护整改建设方案的评审，该单位等级保护工作正式进入整改建设阶段。

核心信息系统部署于内网，外网区域部署了若干对外发布应用服务和网站，内外网需要物理隔离。 办公区域分为内网办公区和外网办公区，外网办公区有无线办公环境、虚拟化办公环境及传统PC办公环境。 根据等级保护建设前期调研、评估过程，依据《GB 17859-1999 信息安全技术 信息系统安全保护等级定级指南》和第三方等级保护咨询机构的建议，最终确定本次等级保护建设需求如下： 1.明确安全域、线路和节点冗余设计，实现动态流量优先级控制； 2.各个网络区域边界没有访问控制措施； 3.互联网出口需要重点的安全防护和冗余设计； 4.提高安全维护人员对入侵行为的检测能力； 5.对内部人员访问互联网进行控制和审计； 6.加强网站应用的安全防护措施； 7.建立符合等级保护要求的内部审计机制； 8.构建基于用户身份的网络准入控制体系； 9.从业务角度出发，强化应用安全、保护隐私数据； 10.建立并保持一个文件化的信息安全管理体系，明确管理职责、规范操作行为。

通过对现状资产梳理，差距分析后，先将整体网络架构重新设计，如下图：

>>  物理安全 机房要满足等保三级基础要求。 >>  网络安全 网络结构进行优化，所有核心节点全冗余部署，同时还要有网络优先级控制；互联网出口部署抗拒绝服务攻击设备；同时由于双出口运营商，部署链路负载均衡实现智能选路；所有安全区域边界位置部署NGAF，开启FW、IDS、WAF、AV模块；互联网出口区域部署AC，实现应用阻截、流控和网络行为审计功能；内外网之间部署网闸设备和VDS；无线环境总出口部署WAC实现无线认证和管控。 >>  主机安全 服务器及用户终端统一安装网络杀毒软件；服务器及用户终端统一安装必要的终端安全管理系统；进行人工干预的安全加固工作；虚拟化办公环境部署ADesk瘦终端，与VDS实现连接后，通过网闸摆渡图像数据，实现远程虚拟化访问，确保主机自身安全性。 >>  应用安全 使用统一认证系统进行身份管理和认证管理;重要业务访问建立安全加密连接，通过部署AD实现SSL卸载；业务服务器前端部署服务器负载均衡实现通信可用性保障；建立CA系统保证抗抵赖机制；实行代码审计工作防御应用级安全漏洞；远程办公用户可通过连接SSL VPN进行应用的授权登陆和加密访问；部署APM实时监控应用服务的性能和审计信息；通过虚拟化技术访问远端应用，借助单点登录技术及强认证访问控制实现虚拟化应用的安全访问和操作。 >>  数据安全 建立备份恢复机制，部署备份服务器和存储系统；建立异地灾备设施；重要数据的存储进行加密和离线处理；建立备份恢复检验机制；异地存储的线路和总部到分支机构的线路间可部署WOC进行优化；通过虚拟化安全桌面技术和服务器/存储虚拟化技术，经过网闸的图像数据摆渡，实现数据的不落地操作，确保敏感数据的不外泄及链路传输的保密性原则。 >>  安全管理层面 部署安全管理中心SOC进行全网管控；编写对应安全管理制度、安全管理机构设定、人员安全管理规范、系统建设管理规范、系统运维管理规范。

· 明确了重要系统的业务边界，优化原有的网络结构 依据等级保护分域保护思想，为该单位规划了不同功能的安全区域，为该单位今后业务发展以及后续网络安全基础设施的部署和安全策略的实现提供坚实的基础。 · 充分利用多种安全技术手段，提升了业务系统边界保护能力 依据相关等级别保护设计标准，通过部署下一代防火墙以及安全审计等多种安全防护产品，增强了不同区域间业务用户访问控制能力，提升了该单位边界抵御内部攻击行为的能力。 · 从多个层面初步建立了完善的审计机制 安全审计是等级保护中十分强调和关注的安全机制，针对该单位审计能力不足的问题，项目建设中通过分析业务的关键路径和操作行为习惯，设计并部署了网络审计、数据库审计等多种探测引擎，针对用户不同层面，不同视角的业务操作进行审计跟踪，从而国家等级保护部门和上级主管部门对该单位业务的安全监管要求，以及组织内部责任追溯的业务诉求。 · 实现该单位对敏感个人隐私信息的有效保护 依据等级保护关于身份鉴别、可信数字电文的有关要求，实现对该单位业务系统敏感信息机密性、完整性的全面保护，保障了统计上报数据中关于个人及组织的合法利益。 · 明确人员安全管理职责，提高了系统安全运维安全管理水平 本次建设该单位在等级保护技术体系建设的同时，还配合大量的咨询、服务的配合与支撑，提高该单位业务系统安全运维的效率和管理水平。

随着企业业务规模的不断扩大，对提高运营效率的要求不断提升，WIFI技术的不断发展，也使其能更加稳定高效的承载企业应用。无线应用已经深入到企业当中，除了日常办公之外，很多应用也依赖于无线技术，比如智能高校，访客服务，会议室，工厂车间，智能仓库等等。在智能终端普及的这个背景下，对于企业而言，BYOD、移动办公的需求也提上日程，WIFI作为必不可少的接入手段，需求也进一步扩大。

■ 组织结构复杂，权限难于控制； ■ 终端、应用类型多,不易管理； ■ OA、邮件等办公系统带宽被大量抢占； ■ 访客网络无法安全、有效管控； ■ 攻击手段多样，内网安全有威胁； ■ 空中垃圾多，无线接入稳定性得不到保证； ■ 无线运营能力弱。

结合用户无线网络需求情况，以及亿林自身技术特点，为了满足用户构建一个高速、稳定、安全、可靠、易于管理的无线接入网络的需求，本设计方案按照AP+WAC的结构化无线网络解决方案进行设计。 端到端的网络协议栈加速 应用识别和流量控制 针对无线的网络优化 为了改善XXX公司的无线网络，亿林针对无线传输中拉低网络速度的相关机制进行了优化，主要进行广播优化、ARP转单播、禁止DHCP包发往无线终端、自动广播提速、接入终端速度限制和平均带宽分配，从整体上使无线网络传输速度得到进一步的提升。 智能负载均衡 WAC无线控制器可智能实时的根据用户数和流量将接入终端调整分配到不同的接入点，平衡负载压力，极大的提高无线网络的容量和连接可用性。同时2.4G和5G之间可实现自动负载，提升无线接入质量。 快速L2/L3漫游 亿林无线解决方案满足优秀的L3漫游特性，用户漫游不受子网限制，保证XXX公司用户在不同区域间移动而业务不中断。 射频优化 依据XXX公司不同环境，WAC可自动进行射频调整，有效避开自干扰，也可以自动进行信道调整，为AP分配不同信道，避开信道间的干扰。 精细化角色识别与授权管理 针对XXX公司存在很多个部门，有不同的角色对象，亿林企业办公无线解决方案对用户进行多级的角色授权，根据不同角色分配不同的访问和流控策略。 危险应用和URL的识别和管控 无线控制器内置应用识别库和URL库，能自动识别危险应用和URL，我们可针对这些危险应用和URL进行封堵和控制，从而提高公司网络的安全性。 安全、便捷的访客认证系统 包含微信、短信、二维码、portal、临时账号系统认证、802.1X、账号/MAC自动绑定等八种快速认证机制。 个性化的页面推送 亿林的页面推送机制可以根据用户、用户组、地理位置等进行多维度的推送。 微信认证 访客接入企业无线网络，被定向到指定页面，提示访客关注企业微信号才可获取上网权限。微信认证功能可为公众号聚粉，为后期定向营销做宣传。

■ 更快速、更稳定的企业业务WLAN——端到端的网络协议栈加速、终端识别与流量控制、应用识别和流量控制、针对无线的网络优化； ■ 更安全、更便捷的企业安全WLAN——精细化角色授权管理、危险应用和URL的识别和管控、八种便捷认证机制； ■ 无线可运营化——企业微信公共平台对接、内置营销推送平台； ■ 高扩展性、高可靠性——提供多样化的产品形态，用户可根据实际情况，灵活选择，降低组网成本，提高效益。

高校数字图书馆的建设已经成为当今数字化校园建设的新亮点，但是在数字图书馆的建设中仍然存在着以下几个问题： ■ 如何实现图书馆远程访问，使用户随时随地接入？ ■ 如何防止恶意下载行为，保护数据库产权和安全？ ■ 如何防止对图书馆的内部破坏和外部攻击，加强网络安全防范？ ■ 如何节省运维成本，提升用户体验？

通过部署SSL VPN，AC和下一代防火墙设备，可以提供远程访问服务，控制图书馆资源恶意下载，保护图书馆信息安全。通过桌面云解决方案，可以减少运维工作量，提高系统稳定性，节省成本。 图书馆远程访问 SSL VPN设备，可以使图书馆电子资源不仅能在校园网范围内访问，在校外居住与生活的教工和学生、校友、客座教授、外聘教师离开了校园网范围，也能够随时随地安全快速的访问到图书馆内的电子资源。 通过身份认证即可访问图书馆内指定资源，且支持智能终端接入，满足高并发量的需求。SSL VPN还能够根据不同的对象和角色分配访问权限，保障核心业务和核心人员的工作的正常进行。同时，SSL VPN运用流压缩技术对网页、文档、数据库进行加速，能够提升图书馆资源的访问速度和访问体验。 图书馆资源防恶意下载 上网行为管理AC可以提供专业的防恶意下载解决方案。首先，AC能够针对图书资源的URL或IP每分钟访问次数判别是否存在恶意下载行为，随后对恶意下载行为的IP段启用冻结功能，在冻结期间，相应用户不能下载。并且AC能够与高校原有的计费系统联动认证，管理员根据学生定位并做正面引导提醒。而部署AC能够利用可视化数据中心帮助图书馆管理员及时调整资源的访问速度，为师生提供更好的访问服务，并为后续资源的续费调整提供有效数据支撑。 图书馆服务系统安全防护解决方案 通过在图书馆部署下一代防火墙（NGAF）为图书馆服务系统、数据库、WEB页面提供全面的安全防护。 通过IPS和服务器防护模块，防止黑客利用服务器漏洞实施攻击，获取服务器操作权限，同时针对应用层风险进行防护，保护门户网站安全； 对风险进行可视化管理，图书馆内服务器进行风险扫描，根据发布应用的漏洞风险及弱密码口令等制定安全防护策略，同时对于攻击日志提供各种关联分析报表，方便对攻击情况进行事后追踪； 通过双向内容检测技术，对服务器返还的信息进行过滤，防止黑客扫描利用。 通过URL过滤和应用过滤功能，对互联网流量进行清洗，防止图书馆内终端访问危险的网站和应用，避免遭受病毒、木马的入侵。 进行准确的应用识别，放行服务器补丁升级、病毒库升级等必要外联流量，阻断各种无关非法外联流量，防止终端被作为跳板入侵图书馆内服务器。

■ 实现图书馆资源的远程访问，在移动环境中仍能办公； ■ 根据不同角色开通不同权限，保护信息数据的安全； ■ 通过流压缩进行加速，提升访问体验和访问速度； ■ 对上网行为进行检测和过滤，防止恶意下载行为； ■ 准确识别应用，进行风险可视化管理，保障网络安全稳定； ■ 采用瘦客户机和共享桌面模式，节省运维工作量，减少成本。