cygate 产品技术资料 随着信息化建设的深入 , 传统网络大部分用户部署了防火墙、入侵检测、 vpn 等设备 , 主要侧重于网络层的攻击检测和防护 . 而近年来随着网络规模的不断扩张 , 应用的不断增多 , 连续爆发的 codered 、 nimda 等蠕虫病毒 , 频繁而出的垃圾邮件 , 已成为网络当中令管理员头疼的问题 , 用户也对网关安全防护过滤设备提出了更高的管理要求 . 除了对传统安全网络层的攻击检测和防护之外 , 如何防御及解决这些应用层问题逐渐成为整个安全业界和用户的关注重心 . 明怡科技有限公司作为国内知名的网络设备供应商 , 始终关注网络安全的发展并提出了为用户 “ 构建智能、安全的企业网络 ”. 在努力提高网络设备安全性的同时 , 明怡科技有限公司依托多年网络产品的研发经验 , 整合集团的资源优势 , 投入到网络安全领域并取得了重大技术突破 , 尤其是防火墙、入侵检测、身份认证、抗拒绝服务攻击、防垃圾邮件、安全管理等技术领域 .2007 年推出了新一代的 sygate 网络智能接入设备。 cygate 网络智能接入设备集合了 防火墙、防病毒网关、 ids 入侵检测、防垃圾邮件网关、 vpn 网关、流量整形网关、 anti-dos 网关、 aaa 认证、审计 , 安全性能自我测试等多功能为一体。采用专门设计的硬件平台和的安全操作系统，采用硬件独立总线架构并采用病毒检测模块，在提升产品功能的同时保证了产品在千兆环境下的高性能。 产品规格 : 技术参数 产品 cygate vpn 网关 提供 ipsec 、 ssl vpn , 支持 hub-spoke 类型 vpn 防火墙 状态包过滤 防 ddos 支持 qos 控制 支持 p2p 控制 基于 p2p 应用特征代码过滤 , 能控制 bittorrent,edonkey,mute,poco 绝大多数 p2p 软件 im 过滤 支持 msn,,yahoo,irc,aim 等多种 im 过滤 , 支持时间策略 防病毒 采用 clamav 引擎，和 sophos 引擎 , 支持 19 万余种病毒的过滤检测 , 支持 http,smtp,pop3,ftp,imap 等协议的防毒过滤（可选 kaspeky 病毒库） 入侵检测系统 ids 支持 nids 防垃圾邮件网关 采用贝叶斯算法 ,8 种 rbl 库 ; 用户身份认证网关 支持本地认证 ,raidus, ldap, windows 认证 审计网关 提供每天 / 每周 / 每月 日志和审计方式方便用户的审核 可用性检测 反病毒 , 反垃圾邮件自我测试 大并发连接数 1,500,000 网络吞吐量 3g vpn 隧道数 50 vpn 拨号用户 512 物理规格 机型 cygate:1u 可上 架标准设备 网络接口类型 / 数量 4 个 10/100m/1000m 以太网接口 +4sfp 插槽 coole 口 fj45 mtbf 10 万小时 辐射标准 符合 fcc part15,class a, en55022 （ cispr22 ， class a ） 电源 120~240v ， 50/60hz ，自适应 尺寸 / 重量 高度： 4.45cm, 深度： 30cm , 宽度： 44.7cm ；重量： 8.5kg 工作环境 0 ℃ ~50 ℃；高度 3000 米；相对湿度 10%~90% 非冷凝 cygate 主要功能 防火墙功能 策略路由 在大型网络中，接入往往不只是由一个 isp 提供的，很可能存在多个 isp 提供接入的情况。对于这种有多个外网出口的网络环境，如连接了公网的教育网，如果内部的服务器希望被外面访问，则需要使用策略路由技术。策略路由是指在决定一个 ip 的下一跳转发地址时，不是简单的根据目的或源 ip 地址来决定，而是综合考虑多种因素决定。 cygate 网络智能接入设备提供的策略路由支持，使其能够同时处理多达 10 个 isp 接入的情况，极大地拓展了其适应能力。 功能强大的 nat 在 ip v4 地址短缺的今天， nat 成了网络设备必不可少的一项功能。 cygate 网络智能接入设备提供丰富的 nat 支持，支持 1 ： 1 的地址映射、 n ： n 方式的地址转换、 pat 方式的地址转和和基于 round robin 方式的服务器负载均衡。 支持 ieee802.1q vlan cygate 网络智能接入设备提供对 ieee802.1q 的支持 , 它可与三层网络设备配合无逢接入 , 这使其在网络部署中更具灵活性 . cygate 网络智能接入设备还提供对透明模式下的 ieee802.1q 数据保温的透明处理 . 病毒防护 cygate 网络智能接入设备采用业界的 clamav 引擎和 sophos 病毒检测引擎 , 提供基于 http 、 smtp 、 pop3 、 ftp 、 imap 协议的强大的病毒检测能力。采用网关部署方式可对来自于 web 和邮件中所携带的病毒和蠕虫进行检查并做出实时反应。 utm 网络智能接入设备可进行透明接入进行专业的病毒查杀，无需修改用户拓扑，具有方便的部署性。 设备通过 patten matching 、 heuristics\emulation 等多种模式检测病毒，目前能够扫描出 19 万多种病毒。 支持包括 zip 、 gzip 、 rar 、 arp 、 pklite 等多种压缩格式文件病毒检测，它支持病毒库的自动更新以提供对新版病毒的防御。 ; cygate 网络智能接入设备的 http 病毒防护解决方案还提供病毒通知功能，所有的病毒感染事件都会自动触发审计事件，以利于管理员了解病毒的爆发情况 ; 并不同于其他商业病毒库 , 可以搭配商业客户端使用提供双重保护 ; 垃圾邮件防护功能 cygate 采用国际的 贝叶斯算法 ，支持对 smtp ， pop3 ， imap 协议的垃圾邮件检测能力。系统采用了垃圾邮件特征库和用户自定义过滤规则结合的方式来处理垃圾邮件，二者可单独工作也可组合工作。系统具有 anti-spam: 反垃圾邮件模块，支持可信 smtp 服务器白名单，支持 smtp 邮件服务器黑名单，支持国际 bl 邮件服务器黑名单列表。有效解决企业的电子邮件污染，提高工作及运营效率。 系统提供了丰富的自定义检测规则项目，可对邮件大小，有限附件大小，收件人数量，收 / 发件人关键字，主题关键字，附件名称关键字，文本附件后缀名，文本附件关键字，正文关键字进行过滤。对于可信邮件服务器来说可设置收 / 发件人白名单过滤，对于已知滥发邮件地址也可通过设置邮件地址黑名单进行过滤。 对于 smtp 来说，除了可和病毒防护共同果子外，用户可根据需要来调整邮件的扫描顺序和处理动作，还可通过路径检查来识别虚假路由并予以防范，对于错误培植或者默认开启了 openrelay 功能的 smtp 来说， cygate 提供了 openrelay 检测和防范功能，可避免 openrelay 的不恰当开启导致 smtp 主机成为邮件滥发源。 对于 pop3 和 imap 协议来说，除了上边的统一的垃圾邮件处理和 pop3 病毒防护涉及环节外，还可自定义服务器和客户端白名单地址，有限减少内容检测开销。 p2p 协议控制 cygate 网络智能接入设备采用业界的特征识别技术，并及时更新，支持对 100bao 、 applejuice 、 ares 、 bittorrent 、 directconnect 、 edonkey 、 fasttrack 、 freenet 、 gnucleuslan, gnutella 、 goboogy 、 hotline 、 imesh 、 kugoo 、 mute 、 napster 、 openft 、 poco 、 soribada 、 soulseek 、 tesla 、 thecircle 、 xunlei 等 bt 软件， p2p 软件的识别和阻断，并可配合流量整形进行带宽管理，有效降低网络带宽的资源滥用。 流量整形功能 基于应用层的 cygate 网络智能接入设备在跟踪连接状态时，是采用深度协议检测来监控数据流，这样可以做到多 p2p 协议（迅雷、百宝和电驴等）、 im 软件（ msn 、 和 yahoo 通等）、流媒体、网络游戏等的识别和过滤，可有效降低企业内网用户对企业的有限带宽的滥用，减少带宽消耗保证正常业务流的畅通。 cygate 网络智能接入设备为网络管理者提供了监测和管理网络带宽的手段，可以按照用户的需求对带宽进行控制，以防止带宽资源的不正常消耗，从而使网络在不同的应用中合理分配带宽，保证重要服务的正常运行。带宽管理可分为 8 个优先级，确保对于流量要求苛刻的企业，大限度的满足网络管理的需求。 ids 入侵检测 cygate 网络智能接入设备采用串联部署方式可作为 ids （入侵检测系统）实现对用户单位局域网的有效保护。 cygate 网络智能接入设备的协议栈能够自动屏蔽掉分片包攻击，如 ping of death ， tear drop 等，它同时也能够检测并防御 winnuke 、 land 、 icmp 、 flood 、 udp flood 、 port scan 、 address sweep 等多种攻击，而且提供攻击计数器和日志。 cygate 网络智能接入设备使用内置的 syn-proxy 机制提供了对 syn flood 攻击的全方位保护。此外， cygate 网络智能接入设备智能分层安全架构还做到了降低遭受许多别的新出现的网络攻击、病毒、软件、蠕虫病毒、特洛伊木马和混合威胁攻击的可能。 应用控制及提升 voip 、流媒体过滤支持 支队对 skype ， sip ， h.323 ， teamspeak,benrtilo 的过滤，支队对 rtsp ， rtsp over http, live365,shoutcast 的识别和过滤，可有效见企业内网中用户视频 , 音频的滥用 , 减少带宽消耗 . im( 即时通讯软件 ) 控制功能 支持对 msn,.yahoo,irc,aim 的识别和过滤 , 可有效降低企业网中上班时间用户私聊 . 网络游戏支持 通过显见的进程保护机制 , 可提供对 battlefield 1942 和 battlefield 2, 半条命 (half-life 1 、 2) ，反控精英（ counter-strike ） ,quake 1, doom3,subspace, 魔兽世界（ world of warcrafr ） ,xbox live 等的优化支持，也可提供对这些游戏的屏蔽及过滤。 文件过滤 支持文件扩展名识别，对比简单的靠文件扩展名来标识文件类别的方式，文件类别的真实性检测可满足用户对采用更改文件扩展名来逃避内容过滤的规避手段检测，该方式可有效避免有害文件进入网络，目前可支持的文件类型有：ｅｘｅ， flash, gif, html, jpeg, ogg, pdf, perl, postscript, rar, zip 等。 多样化身份认证方式 cygate 网络智能接入设备支持全面的身份认证方式包括业界的认证技术与大量部署的流行认证方式 , 我们综合多年在网络安全领域的经验在网络用户认证方式上采用主动认证与被动认证相结合的方式 . 具体提供的方式是支持本地认证功能 ,(cygate 本身内置了一个数据库 ) 和支持的认证数据库 ( 目前支持的认证协议为 radius 和 cpms). 系统同时支持和内网安全管理系统 (ispmp) 的联动 . vpn 网关 cygate 网络智能接入设备支持传统的 ipsec 、 pptp 、 l2tp vpn ，提供了灵活的 vpn 部署能力，其中星型部署可以满足具有多个分支机构的大型公司内部之间的通讯私密性要求。利用现有的的 internet 线路可以保护分支机构与总部间的通讯及分支机构间的通讯。 ssl vpn cygate 网络智能接入设备同时支持强大的 ssl vpn 功能，以 usb-key 的方式提供用户 , 无须安装任何软件 , 插入 usb-key 到计算机 , 输入密码就可以使用 ; 在 vpn 众多的介入方式当中具有强的适用性。 cygate 在 v8.0.6 版本中提供对灵活、可靠的 ssl vpn 连接的支持。它为用户提供易于部署并操作简单的远端安全访问服务，可快速实现分支机构、移动办公和 soho 族的安全访问需求。用户无需专业培训、无需额外软件、不受时间地域和网络条件的限制，只需通过 web 浏览器登录即可安全方便地访问企业资源。 cygate 网络智能接入设备的 ssl vpn 以上特性降低了部署成本，管理方便、可扩展性强。它是为各类型的企业网量身打造的，帮助企业实现对远端访问的集中控制和保护，通过采用高可靠性系统架构为企业资源的远程安全访问提供保障。 强大的管理功能 cygate 网络智能接入设备的权限分级满足 gb/t 18336-2001 管理权限分级要求 , 提供了安全管理员、审计管理员、系统管理员三个管理员角色和 guest 临时访问角色。在管理手段方面提供基于 ssh 、 telnet 和 coole 的命令行管理方式 , 以及基于 ssl 的 web browser 的图形化管理方式并兼容 snmp v2 网管协议的管理方式 , 同时还支持 gsm 统一安全管理平台系统管理 . 统一的特征库升级 cygate 网络智能接入设备除了可对升级包有效性检查 , 定时自动升级和手工升级外 , 还支持对 antivirus,antispam,ips 应用特征库的升级定购服务时间激活方式 ; 提供了 licee 控制和签名库统一升级的升级管理接口和升级手段 ( 自动定时 , 手工导入 ), 具备较好的扩充性和灵活性 . 丰富的日志和审计方式 cygate 网络智能接入设备将日志细分为配置日志、事件日志和流量日志三种，便于用户进行日志分析，并支持根据用户需求将日志信息发送到共享内存、控制台、终端或远程主机。 cygate 网络智能接入设备提供的流量日志符合 ntelq webtrends 标准格式，可以通过 ntelq webtrends 来对流量进行方便的日志分析。 高可用性 cygate 提供自我测试功能 , 可以下载病毒程序 , 垃圾邮件等 , 进行安全性测试 ; 方便管理员检测网络的安全性 ; 强大的安全风险事件关联分析 针对安全风险的多种多样，安全事件之间的关联分析成为困扰管理员的头疼问题。 cygate 提供了超过 200 项细粒度指标来对系统状态，应用层协议处理状态等给出分析结果，用户可自己选择感兴趣的条目进行灵活的组合分析，可以针对每个数据项进行历史数据统计和实时数据进行监控和图表显示，也可选择同一个协议的哪些数据以什么样的顺序并对比呈现，或者指定多个数据在一张纸折线图里叠加显示，而对于具有三项值的某些数据（小值，平均值，方差值），由用户选择哪些显示等。 该功能已经不是传统意义上的统计范畴概念，而是将用户更多引入了其处理过程中，并给用户极大的自由选度，在对已有数据进行深度挖掘基础上可再灵活组合分析，通过自定义的组合条件生成图文并茂的分析结果，以此达到动态预测网络风险趋势和变化的目的。