业务系统的网络安全如同生产安全一样重要，系统如果遭受黑客攻击，轻者导致业务无法正常运行，重者引发化工生产安全事故。总之，一旦出现网络安全事件，将会给单位带来巨大的灾难和难以弥补的损失。而问题的根源可能只是源于简简单单的一条“僵尸”访问控制策略。

业务复杂为策略持续有效带来挑战

近年来，中化国际（控股）股份有限公司（下称“中化国际”）致力于打造智慧化工的发展理念，智慧化工的基础来自于应用的智能化、业务的多样化、网络的互联性，将条码仓库管理系统、ERP管理系统等业务系统形成互联互通，而这协同作业的庞大内部网络，安全性需要大量的访问控制策略来保障。由于业务变更频繁，原有匹配的访问控制策略形成暴露面成为安全隐患。

1. “僵尸”访问控制策略为黑客提供入侵通道

当存在无业务流量匹配的“僵尸”访问控制策略时，网络中任意一台主机均可通过该策略开放的权限，成为入侵业务系统的跳板，而让数据中心的风险暴露面不断扩大。比如原先条码仓库管理系统开放了一端口访问的权限，当条码仓库管理系统更换端口，原有旧端口访问权限还在，一旦被黑客利用，后果不堪设想。

2. 业务开放性加剧威胁传播

由于业务办理与维护需求，中化国际需建立文件共享、远程桌面运维等机制，需建立放通SMB、RDP等高危端口访问的访问控制策略。而由于业务连续性要求，若无法及时修补相关漏洞，可能导致漏洞容易被利用，或是由于病毒扩散、恶意程序传播，导致业务资源被耗用或破坏。

安全有效防护，建设业务的智能安全边界

作为中国化工物流业务领域规模最大的国际标准液体化工品物流服务商，中化国际拥有庞大的数据中心网络，访问控制策略数量高达数千条。为了更好地保障访问控制策略持续有效性，同时有效消除网络系统潜在的安全隐患，中化国际将数据中心网络安全加固提上议程，完成关键区域-数据中心边界的安全加固。

结合智慧化工建设目标，中化国际从消除业务安全隐患出发，通过深信服下一代防火墙，实现安全有效的边界防护。

1. 实时业务监测，保障持续有效

管理员以下一代防火墙自动对数据中心的业务资产及互访关系进行识别，通过一段时间的业务访问趋势分析是否存在长时间无人访问、使用高危端口、端口开放过大等风险的业务资产，对现有访问控制策略存在的安全隐患进行摸底。管理员根据相关处置建议进行资产清理或策略调优，后续可基于防火墙实时监测业务资产的安全性，避免由于业务上线时端口不明晰或业务下架时相关策略未注销，引入潜在安全威胁对业务造成实际性危害。

▲业务资产管理

2. 智能变更管控，全程可视可控

管理员通过下一代防火墙的策略生命周期管理，可记录每一次策略变更详情，并详细考究变更时间、操作人员、变更原因、变更内容等信息。针对多人协作、固定操作窗口时间进行策略变更的情况，下一代防火墙给运维人员提供一整套用于判断是否因变更失误导致策略失效的举证信息，管理员可根据变更记录快速恢复策略有效性，保障安全策略持续有效的同时，极大地降低了运维难度。

▲策略生命周期管理

3. 精准识别风险，阻断威胁传播

通过边界部署的下一代防火墙，基于内网主要应用漏洞POC进行防护，有效识别业务与主机流量传输中的非法请求，包括SSH加密漏洞利用、内网慢速爆破等过去难以识别的威胁；针对无法连接互联网，导致安全规则更新不及时的问题，通过下一代防火墙内置SAVE安全智能检测引擎实现未知威胁拦截。尤其勒索病毒的检测，在百万级勒索软件样本集合对比测试中，可达到99.99%无误报的精准识别。

聚焦安全效果，深信服下一代防火墙秉持“有效防护 灵活易用 安全可视”的安全理念，不断进行技术更新，持续增强安全能力，更有效的帮助用户抵御安全威胁。截止目前，深信服下一代防火墙有6万+ 台在线设备稳定运行，覆盖全行业，赢得各级政府单位、教育、医疗、大型企业、金融等众多用户的认可，广泛应用于互联网出口、对外业务发布、分支机构、数据中心、物联网等场景,为更多用户业务提供持续的安全保护!