总体安全框架设计
绿盟科技 NISF 安全模型是在参照国内、外主要安全标准基础上，与实际安全实施经验相结合。在长期的安全建设实践过程中，绿盟科技一直采用该模型对用户安全系统进行规划并得到了进一步的完善。
信息安全建设的核心应该以人（组织体系）为本，以管理体系作保障，以技术体系作支撑。缺乏良好的安全管理结构体系，即使了构建优秀的技术结构，仍然会面对无法有效管理使用的窘境，从而造成大量的资源浪费，也达不到既定的安全目标。
基于绿盟科技 NISF 安全体系安全解决方案，力争在各个环节上降低或规避业务系统可能面临的风险，切实保障电信网络业务系统安全、高效、稳定的运行。
1、组织体系
组织结构是安全体系的组织保障。对于电信公司，无论是集团公司还是省公司，都应设置安全组织，明确安全主管和专职安全管理员的岗位与职责。信息系统安全管理部门应对信息技术人员定期组织不同形式、不同级别的安全技术培训。定期对信息技术人员进行安全技术考核，并作备案。定期进行安全培训，提高全体员工的安全意识。
2、管理体系
安全制度管理是法律管理的形式化、具体化、法规与管理的接口，是信息安全得以实现的重要保证。所以要制定统一的安全策略，要对资产进行管理，进行风险评估、风险管理，要完善安全管理制度与流程并做到切实有效地执行。
3、技术结构
安全技术要求
建议采用的技术措施
实现目标
漏洞评估能力
远程安全漏洞扫描工具
及时发现业务网络中存在的严重安全漏洞。
安全保护能力
硬件防火墙
使用硬件防火墙进行业务网络边界访问控制。
抗拒绝服务攻击系统
抵御拒绝服务攻击，保障业务系统的可用性。
SUS/SMS 补丁管理
部署 Windows SUS 系统，及时弥补工作站的安全漏洞。
防病毒产品
在邮件系统、服务器、工作站部署防病毒产品。
双因素身份认证系统
使用双因素身份认证产品保护重要网络设备、主机设备的登录认证。
安全加固服务
通过安全加固服务增强业务网络中重要网络、主机、应用系统的健壮性和抗攻击能力。
入侵检测能力
网络入侵检测系统
从网络层监控针对各个业务系统的攻击行为。
日志安全审计系统
监控重要系统（网络设备、主机设备、应用系统）的日志，及时发现攻击行为。
备份恢复能力
业务网络全冗余链路
防火墙HA
保障网络环境的高可用性。
表1 技术体系
安全域
安全域是根据信息性质、使用主体、安全目标和策略等的不同来划分的，是具有相近的安全属性需求的网络实体的集合。
一个安全域内可进一步被划分为安全子域，安全子域也可继续依次细化为次级安全域、三级安全域等等。同一级安全域之间的安全需求包括两个方面：隔离需求和连接需求。隔离需求对应着网络边界的身份认证、访问控制、不可抵赖、审计等安全服务；连接需求对应着传输过程中保密性、完整性、可用性等安全服务。下级安全域继承上级安全域的隔离和连接需求。
因此，电信网络应该根据业务性质和安全要求的不同划为不同级别的安全域，并对不同级别的安全域实行分级的保护。
安全域的设计主要遵循以下设计原则：
1. 明确网络资源：事实上我们不能确定谁会来攻击系统，所以在制订安全策略和框架之初，应当充分了解部门的内部构架，了解要保护什么，需要什么样的访问，以及如何协调所有的网络资源和访问。
2. 确定网络访问点：网络管理员应当了解潜在的入侵者会从哪里进入系统。通常是通过网络连接、拨号访问以及配置不当的主机入侵系统。
3. 限制用户访问的范围：应当在网络中构筑多道屏障，使得非法闯入系统者不能自动进入整个系统，尤其要注意网络中关键敏感地区的防范。
4. 明确安全设想：每个安全系统都有一定的假设。一定要认真检查和确认安全假设，否则隐藏的问题就会成为系统潜在的安全漏洞。
5. 充分考虑人的因素：在构建安全体系时，人的因素是非常重要的。即便制定了非常完善的安全制度，如果操作员不认真执行，也无疑会为不法入侵者大开方便之门。
6. 实现深层次的安全：对系统的任何改动都可能会影响安全，因此系统管理员、程序员和用户需要充分考虑变动将会造成的附带影响。构建安全体系的目标之一是使系统具有良好的可伸缩性，而且不易影响系统的安全性。
系统部署方案
防火墙的部署
根据各个业务系统的特点和安全要求级别，划分相应的安全域和安全子域，在已划分好的安全域边界处部署防火墙产品。同时，要本着“一切未明确允许的访问都禁止”的原则，根据业务特点制定严格的访问控制策略。
入侵检测系统
入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。从网络安全立体纵深、多层次防御的角度出发，入侵检测理应受到人们的高度重视。
漏洞扫描系统
安全扫描技术与防火墙、入侵检测系统（安全监控系统）互相配合能够提供很高安全性的网络。安全扫描工具源于“黑客”在入侵网络系统时采用的工具。商品化的安全扫描工具为网络安全漏洞的发现提供了强大的支持。在网络安全体系的建设中，安全扫描工具的运行相对独立，能较全面检测流行漏洞，检测最严重的安全问题，安装运行简单，可以大规模减少安全管理员的手工劳动，降低安全审计人员的劳动强度，有利于保持全网安全政策的统一和稳定。
防病毒系统
为了保证系统自身的安全性，防病毒系统必须建立统一的升级机制，以进行全系统的升级。
工作站直接面对用户，由于用户通常具有主机系统的直接控制权，可以对防病毒软件直接操作，因此，它也是防病毒系统中最难控制的范围。由于工作站物理位置分散，数目众多，必须要有一套高效的软件分发体系。
企业级的服务器防病毒软件往往采用 Client/Server 构架，通过控制台对用户端（Agent软件安装在被保护服务器上，以管理员权限运行）进行管理，这种方式往往不利于服务器自身的安全。因此，服务器防病毒软件必须提供一套有效的安全保障措施。目前，邮件已经成为了病毒传播的最主要途径之一。因此，邮件系统的防护也非常重要。
安全审计系统
信息安全审计（简称安全审计）技术是实现信息安全整个过程中关键记录信息的监控统计，是信息安全体系中不可缺少的一部分，针对安全事故分析、追踪起到了关键性作用。
传统的安全审计系统局限于对主机的操作系统日志的收集和简单分析，缺乏对于多种平台、多种网络设备、重要服务器系统、应用系统以及数据库系统综合的安全审计功能。
抗拒绝服务攻击系统
对于重要的业务系统而言，可用性可能是至关重要的。因此，部署有效的抗拒绝服务攻击对于服务可用性提供了安全保障。
双因素身份认证系统
口令本身只能对真实性进行低级的认证。虽然一次性口令比可重用的静态口令强壮，但它们仍存在能被利用的弱点（需要更多的技巧），其中包括中间人攻击和竞争攻击。而且一次性口令依然是单因素认证，而不是强用户认证。因此静态口令是最不安全、最弱的一种识别与身份认证手段。
因为静态口令存在以上诸多的缺陷，任何听到或窃取到口令的人都会显得完全合法，因此有必要增加第二个物理认证因素，从而使认证的确定性按指数级递增。双因素身份认证就是这样一种强身份认证解决方案，它可确认网络访问的另一端是谁，提升企业网络资源保护的安全级别。
安全管理平台
ESP（企业安全计划）是绿盟科技在2001年提出的、应用于下一代企业安全管理的理论模型。该模型以实现企业信息系统最大程度的安全为目的，把安全管理作为企业信息安全建设的核心思想，从组织、管理、技术三个方面建立和实现企业的信息安全体系。