USG IPS助电信公司核心业务立体保护方案

　　需求背景

　　根据电信集团企业信息化战略规划的要求，企业信息化体系由管理支撑系统（MSS）、业务支撑系统（BSS）和运营支撑系统（OSS）三部分组成（简称为CTG-MBOSS），承载在一个统一的企业IT 内部专网上。某省电信企业IT 内部专网由省公司企业网、地市本地企业网和DCN骨干网三大部分组成。网络，规模庞大，网内各种路由设备、交换设备、服务器、安全设备等，种类各异、数量繁多。为如此多的用户提供高质量的网络服务，网络设备、业务系统、服务器的安全运行非常关键。

　　目前，CRM/SPS、集中计费、数据仓库、综合结算等系统已经逐步上线， 业务结算局管理的EDC已经成为省电信的核心数据机房，其数据的安全性也越来越得到各级领导的重视。由于EDC业务复杂，不但与DCN网有连接，同时与各银行、代办点、公网都有连接，出口众多，进一步的网络安全迫在眉睫。

　　通过对现状的分析，可以看出结算局EDC的出口众多，网络威胁是来自多方面的。当前仅仅在出口处部署边界防火墙，没有有效的应对应用层威胁控制，整个信息系统还是存在诸多安全隐患。尤其是业务代办系统以及收费系统服务器，没有任何进行针对性的包含，安全风险极大。

　　解决方案

　　针对省公司的安全现状，在现有IT网上构筑一个完整的威胁分析与控制系统，使省IT网络的威胁控制不再仅仅限于对网络层的访问控制。对关键服务器、关键网络进行完整的从网络层到应用层的威胁控制，确保各种网络攻击对于IT网络和系统的影响具有间断性、暂时性、可管理性和可隔离性。

　　本方案中在用户的外联出口部署天清汉马USG产品，抵御来自外联单位的病毒、非授权访问以及其他网络层攻击，在互联网出口部署天清汉马USG产品，实现对外部威胁的全面防御。针对各种计费服务器以及社会代办服务器进行专业的应用层防护，分别部署天清IPS产品，用于实现对应用层威胁的精确阻断。

　　案例点评

　　对于需要进行企业间互联的信息系统，往往网络中交换的数据具有较高的经济价值，而对于这些信息系统，威胁往往来自于应用层，传统的防火墙系统对于这样的网络虽然是必须的，但并不足够。为了完整的实现对各种威胁的控制，本方案采用立体防御思想对省公司网络进行安全改造，针对不同的威胁部署对应的产品，有效的提高了省公司网络的整体安全性。