[说明]
位于Z城市的某大型集团公司要求建设覆盖全公司所有二级单位的园区网络，将各个信息资源有效地连接起来，充分发挥网络及网上信息的效能，使公司的管理、科研和生产实现条理化、规范化、科学化、现代化。
以机关大楼为中心，连接各下属单位，组建园区网。具体组网要求如下。
(1)公司针对网络的投资规模及网络扩展性要求，中心结点与公司下属单位之间主要租用电信公司光纤组网。
(2)公司业务数据集中存放在信息中心，同时在信息中心设置管理系统，集中对网络资源、应用系统及安全等方面进行管理。
(3)设置Internet访问出口。
(4)公司园区网对外设置出口，与其他城市的分支机构相连。
基于网络的主要应用包括：Internet/Intranet应用，全公司范围的办公自动化，传统MIS系统和数据库应用等。具体如下。
(1)Intranet服务。建立该公司内部集中的信息网站，为公司内部所有上网用户提供生产调度、产品营销、物资供应、商情信息、科技动态、安全生产、动力计量、生产技术、环境保护、行业信息、外事外贸、国外公司、内部服务等信息服务。
(2)办公自动化。该系统具有日常办公、信息服务、辅助办公等功能，同时还通过Notes实现全公司范围内的内部电子邮件传输。
(3)传统MIS应用。包括公司生产调度系统、动力计量管理系统、公司固定资产管理系统及人力资源管理系统。
(4)文件服务。局域网内文件共享、C/S应用或B/S应用、文件传输等常用办公文档应用。
(5)Internet服务。出口应用服务，包括Web站点、E-mail系统、DNS系统、FTP系统等。
(6)VoIP服务。集团网内VoIP数据传输。
(7)视频会议。集团网内视频会议数据传输。
[问题3]
该集团公司园区网建设过程中，要求在管理、网络、服务器、应用层等方面提供全面的安全设计方案。结合你的网络规划设计经验，请给出该集团公司园区网中网络层面的相关安全解决方案。
参考答案：①在Internet出口处部署防火墙，实现严格的边界逻辑隔离、防护和访问控制，应在集团公司的Internet出口边界部署防火墙。防火墙至少配置4个不同的安全级别的端口，分别连接到Internet、DMZ区、其他分支机构路由器及内网
②入侵检测系统(如IPS、IDS等)部署于防火墙的前后及重要机密服务器之前，实时收集各个系统的入侵动向，并与防火墙等安全系统进行联动，以应对来自Internet、内网的已知攻击行为
③在内网部署漏洞检测服务器(或安全扫描设备)，及时发现网络安全漏洞
④在内网安装网络版计算机病毒防护系统，实时更新计算机病毒特征库，实现全网防病毒工作集中统一管理
⑤在Internet出口链路上部署上网行为管理设备，对进出集团公司的内部数据包进行监控和审计
解析：
作为一个园区的网络，一方面是网络内部的安全性，另一方面是内部网络和Internet互连时的安全性。其中网络内部的安全性要从管理、网络系统、网络应用、安全管理系统、病毒防护等多方面进行考虑。在互连Internet时，为避免网络运行平台受到外部的攻击，通常采用防火墙技术，并配置采用入侵检测系统、上网行为管理等安全产品进行实时监测和处理。
在网络层面上，该集团公司园区网相关安全解决方案至少需要考虑以下内容。
①在Internet出口处部署一台(或两台)防火墙。不同的网络安全边界应该通过部署防火墙来实现各安全域之间的逻辑隔离和访问控制。根据集团公司信息安全保障体系建设的要求，需要实现严格的边界防护和访问控制，应在集团公司的Internet出口边界部署防火墙。防火墙至少配置4个端口，分别设置不同的安全级别，分别连接到Internet、DMZ区、其他分支机构路由器及内部网。其中内部网安全级别最高，Internet接口的安全级别最低。DMZ区主要提供Web、E-mail、FTP等服务，通过防火墙和路由器中的访问控制表(ACL)规则的设置，限制应用服务可被访问的客户地址段，禁止未使用的服务端口对外开放，实现对集团总部和外地分支机构之间访问的数据进行强制访问控制，防范非法的访问和恶意攻击行为等。在建设资金许可的情况下，建议在内部服务器区域之前也部署一台防火墙。
②入侵检测系统(如IPS、IDS等)部署于防火墙之前及重要机密服务器之前，统一收集各个系统的入侵动向，进行实时分析和汇总，以应对来自Internet、内网的己知攻击行为。并将入侵检测系统和防火墙等其他安全系统进行联动，从而更加有效地防止网络攻击。
③在信息中心内网部署漏洞检测服务器(或安全扫描设备)，安装漏洞检测软件。统一收集各个系统的安全漏洞，进行分析和汇总，及时发现网络安全漏洞。
④安装网络版计算机病毒防护系统。在信息中心内网部署网络版防病毒系统中心服务器，在各台服务器、重要工作计算机上安装网络版防病毒客户端，以实时更新计算机病毒特征库，并实现全网防病毒工作集中统一管理。
⑤在防火墙连接内网核心路由交换设备之间部署一台上网行为管理设备，对进出集团公司的内部数据包进行监控和审计。同时，要求该设备能够提供硬件防火墙功能，对通过Internet进入集团内部的电子邮件、网页信息等进行扫描和杀毒，进一步防止计算机病毒或木马的传播和感染。