《企业局域网安全解决方案21372.docx》由会员分享,可在线阅读,更多相关《企业局域网安全解决方案21372.docx(22页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、第一章 总则 本方案案为某大大型局域域网网络络安全解解决方案案,包括括原有网网络系统统分析、安安全需求求分析、安安全目标标的确立立、安全全体系结结构的设设计、等等。本安安全解决决方案的的目标是是在不影影响某大大型企业业局域网网当前业业务的前前提下,实实现对他他们局域域网全面面的安全全管理。 1.将将安全策策略、硬硬件及软软件等方方法结合合起来,构构成一个个统一的的防御系系统,有有效阻止止非法用用户进入入网络,减减少网络络的安全全风险。 2.定定期进行行漏洞扫扫描,审审计跟踪踪,及时时发现问问题,解解决问题题。 33.通过过入侵检检测等方方式实现现实时安安全监控控,提供供快速响响应故障障的手段段
2、,同时时具备很很好的安安全取证证措施。 4.使使网络管管理者能能够很快快重新组组织被破破坏了的的文件或或应用。使使系统重重新恢复复到破坏坏前的状状态,最最大限度度地减少少损失。 5.在在工作站站、服务务器上安安装相应应的防病病毒软件件,由中中央控制制台统一一控制和和管理,实实现全网网统一防防病毒。 第二章章 网络络系统概概况 22.1 网络概概况 这这个企业业的局域域网是一一个信息息点较为为密集的的千兆局局域网络络系统,它它所联接接的现有有上千个个信息点点为在整整个企业业内办公公的各部部门提供供了一个个快速、方方便的信信息交流流平台。不不仅如此此,通过过专线与与Intternnet的的连接,打
3、打通了一一扇通向向外部世世界的窗窗户,各各个部门门可以直直接与互互联网用用户进行行交流、查查询资料料等。通通过公开开服务器器,企业业可以直直接对外外发布信信息或者者发送电电子邮件件。高速速交换技技术的采采用、灵灵活的网网络互连连方案设设计为用用户提供供快速、方方便、灵灵活通信信平台的的同时,也也为网络络的安全全带来了了更大的的风险。因因此,在在原有网网络上实实施一套套完整、可可*作的的安全解解决方案案不仅是是可行的的,而且且是必需需的。 2.11.1 网络概概述 这这个企业业的局域域网,物物理跨度度不大,通通过千兆兆交换机机在主干干网络上上提供110000M的独独享带宽宽,通过过下级交交换机与
4、与各部门门的工作作站和服服务器连连结,并并为之提提供1000M的的独享带带宽。利利用与中中心交换换机连结结的Ciiscoo 路由由器,所所有用户户可直接接访问IInteerneet。 2.11.2 网络结结构 这这个企业业的局域域网按访访问区域域可以划划分为三三个主要要的区域域:Innterrnett区域、内内部网络络、公开开服务器器区域。内内部网络络又可按按照所属属的部门门、职能能、安全全重要程程度分为为许多子子网,包包括:财财务子网网、领导导子网、办办公子网网、市场场部子网网、中心心服务器器子网等等。在安安全方案案设计中中,我们们基于安安全的重重要程度度和要保保护的对对象,可可以在CCat
5、aalysst 型型交换机机上直接接划分四四个虚拟拟局域网网(VLLAN),即即:中心心服务器器子网、财财务子网网、领导导子网、其其他子网网。不同同的局域域网分属属不同的的广播域域,由于于财务子子网、领领导子网网、中心心服务器器子网属属于重要要网段,因因此在中中心交换换机上将将这些网网段各自自划分为为一个独独立的广广播域,而而将其他他的工作作站划分分在一个个相同的的网段。(图图省略) 2.22 网络络应用 这个企企业的局局域网可可以为用用户提供供如?饕饕茫茫?1文件共共享、办办公自动动化、WWWW服服务、电电子邮件件服务; 2文件数数据的统统一存储储; 33针对对特定的的应用在在数据库库服务器
6、器上进行行二次开开发(比比如财务务系统); 44提供供与Innterrnett的访问问; 55通过过公开服服务器对对外发布布企业信信息、发发送电子子邮件等等; 22.3 网络结结构的特特点 在在分析这这个企业业局域网网的安全全风险时时,应考考虑到网网络的如如下几个个特点: 1.网络与与Intternnet直直接连结结,因此此在进行行安全方方案设计计时要考考虑与IInteerneet连结结的有关关风险,包包括可能能通过IInteerneet传播播进来病病毒,黑黑客攻击击,来自自Intternnet的的非授权权访问等等。 。 2.网网络中存存在公开开服务器器,由于于公开服服务器对对外必须须开放部部
7、分业务务,因此此在进行行安全方方案设计计时应该该考虑采采用安全全服务器器网络,避避免公开开服务器器的安全全风险扩扩散到内内部。 3.内内部网络络中存在在许多不不同的子子网,不不同的子子网有不不同的安安全性,因因此在进进行安全全方案设设计时,应应考虑将将不同功功能和安安全级别别的网络络分割开开,这可可以通过过交换机机划分VVLANN来实现现。 44.网络络中有二二台应用用服务器器,在应应用程序序开发时时就应考考虑加强强用户登登录验证证,防止止非授权权的访问问。 总总而言之之,在进进行网络络方案设设计时,应应综合考考虑到这这个企业业局域网网的特点点,根据据产品的的性能、价价格、潜潜在的安安全风险险
8、进行综综合考虑虑。 第第三章 网络系系统安全全风险分分析 随随着Innterrnett网络急急剧扩大大和上网网用户迅迅速增加加,风险险变得更更加严重重和复杂杂。原来来由单个个计算机机安全事事故引起起的损害害可能传传播到其其他系统统,引起起大范围围的瘫痪痪和损失失;另外外加上缺缺乏安全全控制机机制和对对Intternnet安安全政策策的认识识不足,这这些风险险正日益益严重。 针对这这个企业业局域网网中存在在的安全全隐患,在在进行安安全方案案设计时时,下述述安全风风险我们们必须要要认真考考虑,并并且要针针对面临临的风险险,采取取相应的的安全措措施。下下述风险险由多种种因素引引起,与与这个企企业局域
9、域网结构构和系统统的应用用、局域域网内网网络服务务器的可可靠性等等因素密密切相关关。下面面列出部部分这类类风险因因素: 网络安安全可以以从以下下三个方方面来理理解:11 网络络物理是是否安全全;2 网络平平台是否否安全;3 系系统是否否安全;4 应应用是否否安全;5 管管理是否否安全。针针对每一一类安全全风险,结结合这个个企业局局域网的的实际情情况,我我们将具具体的分分析网络络的安全全风险。 3.11物理安安全风险险分析 网络的的物理安安全的风风险是多多种多样样的。 网络的的物理安安全主要要是指地地震、水水灾、火火灾等环环境事故故;电源源故障;人为*作失误误或错误误;设备备被盗、被被毁;电电磁
10、干扰扰;线路路截获。以以及高可可用性的的硬件、双双机多冗冗余的设设计、机机房环境境及报警警系统、安安全意识识等。它它是整个个网络系系统安全全的前提提,在这这个企业业区局域域网内,由由于网络络的物理理跨度不不大,只只要制定定健全的的安全管管理制度度,做好好备份,并并且加强强网络设设备和机机房的管管理,这这些风险险是可以以避免的的。 33.2网网络平台台的安全全风险分分析 网网络结构构的安全全涉及到到网络拓拓扑结构构、网络络路由状状况及网网络的环环境等。 公开服服务器面面临的威威胁 这这个企业业局域网网内公开开服务器器区(WWWW、EEMAIIL等服服务器)作作为公司司的信息息发布平平台,一一旦不
11、能能运行后后者受到到攻击,对对企业的的声誉影影响巨大大。同时时公开服服务器本本身要为为外界服服务,必必须开放放相应的的服务;每天,黑黑客都在在试图闯闯入Innterrnett节点,这这些节点点如果不不保持警警惕,可可能连黑黑客怎么么闯入的的都不知知道,甚甚至会成成为黑客客入侵其其他站点点的跳板板。因此此,规模模比较大大网络的的管理人人员对IInteerneet安全全事故做做出有效效反应变变得十分分重要。我我们有必必要将公公开服务务器、内内部网络络与外部部网络进进行隔离离,避免免网络结结构信息息外泄;同时还还要对外外网的服服务请求求加以过过滤,只只允许正正常通信信的数据据包到达达相应主主机,其其
12、他的请请求服务务在到达达主机之之前就应应该遭到到拒绝。 整个网网络结构构和路由由状况 安全的的应用往往往是建建立在网网络系统统之上的的。网络络系统的的成熟与与否直接接影响安安全系统统成功的的建设。在在这个企企业局域域网络系系统中,只只使用了了一台路路由器,用用作与IInteerneet连结结的边界界路由器器,网络络结构相相对简单单,具体体配置时时可以考考虑使用用静态路路由,这这就大大大减少了了因网络络结构和和网络路路由造成成的安全全风险。 3.33系统的的安全风风险分析析 所谓谓系统的的安全显显而易见见是指整整个局域域网网络络操作系统统、网络络硬件平平台是否否可靠且且值得信信任。 网络*作系统
13、统、网络络硬件平平台的可可靠性:对于中中国来说说,恐怕怕没有绝绝对安全全的*作作系统可可以选择择,无论论是Miicroosofft的WWinddowss NTT或者其其他任何何商用UUNIXX*作系系统,其其开发厂厂商必然然有其BBackk-Dooor。我我们可以以这样讲讲:没有有完全安安全的*作系统统。但是是,我们们可以对对现有的的*作平平台进行行安全配配置、对对*作和和访问权权限进行行严格控控制,提提高系统统的安全全性。因因此,不不但要选选用尽可可能可靠靠的*作作系统和和硬件平平台。而而且,必必须加强强登录过过程的认认证(特特别是在在到达服服务器主主机之前前的认证证),确确保用户户的合法法
14、性;其其次应该该严格限限制登录录者的*作权限限,将其其完成发发的*作作限制在在最小的的范围内内。 33.4应应用的安安全风险险分析 应用系系统的安安全跟具具体的应应用有关关,它涉涉及很多多方面。应应用系统统的安全全是动态态的、不不断变化化的。应应用的安安全性也也涉及到到信息的的安全性性,它包包括很多多方面。 应用系系统的安安全动态态的、不不断变化化的:应应用的安安全涉及及面很广广,以目目前Innterrnett上应用用最为广广泛的EE-maail系系统来说说,其解解决方案案有几十十种,但但其系统统内部的的编码甚甚至编译译器导致致的BUUG是很很少有人人能够发发现的,因因此一套套详尽的的测试软软
15、件是相相当必须须的。但但是应用用系统是是不断发发展且应应用类型型是不断断增加的的,其结结果是安安全漏洞洞也是不不断增加加且隐藏藏越来越越深。因因此,保保证应用用系统的的安全也也是一个个随网络络发展不不断完善善的过程程。 应应用的安安全性涉涉及到信信息、数数据的安安全性:信息的的安全性性涉及到到:机密密信息泄泄露、未未经授权权的访问问、破坏坏信息完完整性、假假冒、破破坏系统统的可用用性等。由由于这个个企业局局域网跨跨度不大大,绝大大部分重重要信息息都在内内部传递递,因此此信息的的机密性性和完整整性是可可以保证证的。对对于有些些特别重重要的信信息需要要对内部部进行保保密的(比比如领导导子网、财财务
16、系统统传递的的重要信信息)可可以考虑虑在应用用级进行行加密,针针对具体体的应用用直接在在应用系系统开发发时进行行加密。 3.55管理的的安全风风险分析析 管理理是网络络安全中中最重要要的部分分 管理理是网络络中安全全最最重重要的部部分。责责权不明明,管理理混乱、安安全管理理制度不不健全及及缺乏可可*作性性等都可可能引起起管理安安全的风风险。责责权不明明,管理理混乱,使使得一些些员工或或管理员员随便让让一些非非本地员员工甚至至外来人人员进入入机房重重地,或或者员工工有意无无意泄漏漏他们所所知道的的一些重重要信息息,而管管理上却却没有相相应制度度来约束束。 当当网络出出现攻击击行为或或网络受受到其
17、它它一些安安全威胁胁时(如如内部人人员的违违规*作作等),无无法进行行实时的的检测、监监控、报报告与预预警。同同时,当当事故发发生后,也也无法提提供黑客客攻击行行为的追追踪线索索及破案案依据,即即缺乏对对网络的的可控性性与可审审查性。这这就要求求我们必必须对站站点的访访问活动动进行多多层次的的记录,及及时发现现非法入入侵行为为。 建建立全新新网络安安全机制制,必须须深刻理理解网络络并能提提供直接接的解决决方案,因因此,最最可行的的做法是是管理制制度和管管理解决决方案的的结合。 3.66黑客攻攻击 黑黑客们的的攻击行行动是无无时无刻刻不在进进行的,而而且会利利用系统统和管理理上的一一切可能能利用
18、的的漏洞。公公开服务务器存在在漏洞的的一个典典型例证证,是黑黑客可以以轻易地地骗过公公开服务务器软件件,得到到Uniix的口口令文件件并将之之送回。黑黑客侵入入UNIIX服务务器后,有有可能修修改特权权,从普普通用户户变为高高级用户户,一旦旦成功,黑黑客可以以直接进进入口令令文件。黑黑客还能能开发欺欺骗程序序,将其其装入UUNIXX服务器器中,用用以监听听登录会会话。当当它发现现有用户户登录时时,便开开始存储储一个文文件,这这样黑客客就拥有有了他人人的帐户户和口令令。这时时为了防防止黑客客,需要要设置公公开服务务器,使使得它不不离开自自己的空空间而进进入另外外的目录录。另外外,还应应设置组组特
19、权,不不允许任任何使用用公开服服务器的的人访问问WWWW页面文文件以外外的东西西。在这这个企业业的局域域网内我我们可以以综合采采用防火火墙技术术、Weeb页面面保护技技术、入入侵检测测技术、安安全评估估技术来来保护网网络内的的信息资资源,防防止黑客客攻击。 3.77通用网网关接口口(CGGI)漏漏洞 有有一类风风险涉及及通用网网关接口口(CGGI)脚脚本。许许多页面面文件和和指向其其他页面面或站点点的超连连接。然然而有些些站点用用到这些些超连接接所指站站点寻找找特定信信息。搜搜索引擎擎是通过过CGII脚本执执行的方方式实现现的。黑黑客可以以修改这这些CGGI脚本本以执行行他们的的非法任任务。通
20、通常,这这些CGGI脚本本只能在在这些所所指WWWW服务务器中寻寻找,但但如果进进行一些些修改,他他们就可可以在WWWW服服务器之之外进行行寻找。要要防止这这类问题题发生,应应将这些些CGII脚本设设置为较较低级用用户特权权。提高高系统的的抗破坏坏能力,提提高服务务器备份份与恢复复能力,提提高站点点内容的的防篡改改与自动动修复能能力。 3.88恶意代代码 恶恶意代码码不限于于病毒,还还包括蠕蠕虫、特特洛伊木木马、逻逻辑炸弹弹、和其其他未经经同意的的软件。应应该加强强对恶意意代码的的检测。 3.99病毒的的攻击 计算机机病毒一一直是计计算机安安全的主主要威胁胁。能在在Intternnet上上传播
21、的的新型病病毒,例例如通过过E-MMaill传播的的病毒,增增加了这这种威胁胁的程度度。病毒毒的种类类和传染染方式也也在增加加,国际际空间的的病毒总总数已达达上万甚甚至更多多。当然然,查看看文档、浏浏览图像像或在WWeb上上填表都都不用担担心病毒毒感染,然然而,下下载可执执行文件件和接收收来历不不明的EE-Maail文文件需要要特别警警惕,否否则很容容易使系系统导致致严重的的破坏。典典型的“CCIH”病病毒就是是一可怕怕的例子子。 33.100不满的的内部员员工 不不满的内内部员工工可能在在WWWW站点上上开些小小玩笑,甚甚至破坏坏。不论论如何,他他们最熟熟悉服务务器、小小程序、脚脚本和系系统
22、的弱弱点。对对于已经经离职的的不满员员工,可可以通过过定期改改变口令令和删除除系统记记录以减减少这类类风险。但但还有心心怀不满满的在职职员工,这这些员工工比已经经离开的的员工能能造成更更大的损损失,例例如他们们可以传传出至关关重要的的信息、泄泄露安全全重要信信息、错错误地进进入数据据库、删删除数据据等等。 3.111网络络的攻击击手段 一般认认为,目目前对网网络的攻攻击手段段主要表表现在: 非授授权访问问:没有有预先经经过同意意,就使使用网络络或计算算机资源源被看作作非授权权访问,如如有意避避开系统统访问控控制机制制,对网网络设备备及资源源进行非非正常使使用,或或擅自扩扩大权限限,越权权访问信
23、信息。它它主要有有以下几几种形式式:假冒冒、身份份攻击、非非法用户户进入网网络系统统进行违违法*作作、合法法用户以以未授权权方式进进行*作作等。 信息泄泄漏或丢丢失:指指敏感数数据在有有意或无无意中被被泄漏出出去或丢丢失,它它通常包包括,信信息在传传输中丢丢失或泄泄漏(如如黑客客们利利用电磁磁泄漏或或搭线窃窃听等方方式可截截获机密密信息,或或通过对对信息流流向、流流量、通通信频度度和长度度等参数数的分析析,推出出有用信信息,如如用户口口令、帐帐号等重重要信息息。),信信息在存存储介质质中丢失失或泄漏漏,通过过建立隐隐蔽隧道道等窃取取敏感信信息等。 破坏数数据完整整性:以以非法手手段窃得得对数据
24、据的使用用权,删删除、修修改、插插入或重重发某些些重要信信息,以以取得有有益于攻攻击者的的响应;恶意添添加,修修改数据据,以干干扰用户户的正常常使用。 拒绝服服务攻击击:它不不断对网网络服务务系统进进行干扰扰,改变变其正常常的作业业流程,执执行无关关程序使使系统响响应减慢慢甚至瘫瘫痪,影影响正常常用户的的使用,甚甚至使合合法用户户被排斥斥而不能能进入计计算机网网络系统统或不能能得到相相应的服服务。 利用网网络传播播病毒:通过网网络传播播计算机机病毒,其其破坏性性大大高高于单机机系统,而而且用户户很难防防范。第四章 安全需需求与安安全目标标 4.1安全全需求分分析 通通过前面面我们对对这个企企业
25、局域域网络结结构、应应用及安安全威胁胁分析,可可以看出出其安全全问题主主要集中中在对服服务器的的安全保保护、防防黑客和和病毒、重重要网段段的保护护以及管管理安全全上。因因此,我我们必须须采取相相应的安安全措施施杜绝安安全隐患患,其中中应该做做到: 公开服服务器的的安全保保护 防防止黑客客从外部部攻击 入侵检检测与监监控 信信息审计计与记录录 病毒毒防护 数据安安全保护护 数据据备份与与恢复 网络的的安全管管理 针针对这个个企业局局域网络络系统的的实际情情况,在在系统考考虑如何何解决上上述安全全问题的的设计时时应满足足如下要要求: 1.大大幅度地地提高系系统的安安全性(重重点是可可用性和和可控性
26、性); 2.保保持网络络原有的的能特点点,即对对网络的的协议和和传输具具有很好好的透明明性,能能透明接接入,无无需更改改网络设设置; 3.易易于*作作、维护护,并便便于自动动化管理理,而不不增加或或少增加加附加*作; 4.尽尽量不影影响原网网络拓扑扑结构,同同时便于于系统及及系统功功能的扩扩展; 5.安安全保密密系统具具有较好好的性能能价格比比,一次次性投资资,可以以长期使使用; 6.安安全产品品具有合合法性,及及经过国国家有关关管理部部门的认认可或认认证; 7.分分布实施施。 44.2网网络安全全策略 安全策策略是指指在一个个特定的的环境里里,为保保证提供供一定级级别的安安全保护护所必须须遵
27、守的的规则。该该安全策策略模型型包括了了建立安安全环境境的三个个重要组组成部分分,即: 威严严的法律律:安全全的基石石是社会会法律、法法规、与与手段,这这部分用用于建立立一套安安全管理理标准和和方法。即即通过建建立与信信息安全全相关的的法律、法法规,使使非法分分子慑于于法律,不不敢轻举举妄动。 先进的的技术:先进的的安全技技术是信信息安全全的根本本保障,用用户对自自身面临临的威胁胁进行风风险评估估,决定定其需要要的安全全服务种种类,选选择相应应的安全全机制,然然后集成成先进的的安全技技术。 严格的的管理:各网络络使用机机构、企企业和单单位应建建立相宜宜的信息息安全管管理办法法,加强强内部管管理
28、,建建立审计计和跟踪踪体系,提提高整体体信息安安全意识识。 44.3系系统安全全目标 基于以以上的分分析,我我们认为为这个局局域网网网络系统统安全应应该实现现以下目目标: 建立一一套完整整可行的的网络安安全与网网络管理理策略 将内部部网络、公公开服务务器网络络和外网网进行有有效隔离离,避免免与外部部网络的的直接通通信 建建立网站站各主机机和服务务器的安安全保护护措施,保保证他们们的系统统安全 对网上上服务请请求内容容进行控控制,使使非法访访问在到到达主机机前被拒拒绝 加加强合法法用户的的访问认认证,同同时将用用户的访访问权限限控制在在最低限限度 全全面监视视对公开开服务器器的访问问,及时时发现
29、和和拒绝不不安全的的*作和和黑客攻攻击行为为 加强强对各种种访问的的审计工工作,详详细记录录对网络络、公开开服务器器的访问问行为,形形成完 整的系系统日志志 备份份与灾难难恢复强化化系统备备份,实实现系统统快速恢恢复 加加强网络络安全管管理,提提高系统统全体人人员的网网络安全全意识和和防范技技术 第第五章 网络安安全方案案总体设设计 55.1安安全方案案设计原原则 在在对这个个企业局局域网网网络他系统安安全方案案设计、规规划时,应应遵循以以下原则则: 综综合性、整整体性原原则:应应用系统统工程的的观点、方方法,分分析网络络的安全全及具体体措施。安安全措施施主要包包括:行行政法律律手段、各各种管
30、理理制度(人人员审查查、工作作流程、维维护保障障制度等等)以及及专业措措施(识识别技术术、存取取控制、密密码、低低辐射、容容错、防防病毒、采采用高安安全产品品等)。一一个较好好的安全全措施往往往是多多种方法法适当综综合的应应用结果果。一个个计算机机网络,包包括个人人、设备备、软件件、数据据等。这这些环节节在网络络中的地地位和影影响作用用,也只只有从系系统综合合整体的的角度去去看待、分分析,才才能取得得有效、可可行的措措施。即即计算机机网络安安全应遵遵循整体体安全性性原则,根根据规定定的安全全策略制制定出合合理的网网络安全全体系结结构。 需求、风风险、代代价平衡衡的原则则:对任任一网络络,绝对对
31、安全难难以达到到,也不不一定是是必要的的。对一一个网络络进行实实际额研研究(包包括任务务、性能能、结构构、可靠靠性、可可维护性性等),并并对网络络面临的的威胁及及可能承承担的风风险进行行定性与与定量相相结合的的分析,然然后制定定规范和和措施,确确定本系系统的安安全策略略。 一一致性原原则:一一致性原原则主要要是指网网络安全全问题应应与整个个网络的的工作周周期(或或生命周周期)同同时存在在,制定定的安全全体系结结构必须须与网络络的安全全需求相相一致。安安全的网网络系统统设计(包包括初步步或详细细设计)及及实施计计划、网网络验证证、验收收、运行行等,都都要有安安全的内内容光焕焕发及措措施,实实际上
32、,在在网络建建设的开开始就考考虑网络络安全对对策,比比在网络络建设好好后再考考虑安全全措施,不不但容易易,且花花费也小小得多。 易*作作性原则则:安全全措施需需要人为为去完成成,如果果措施过过于复杂杂,对人人的要求求过高,本本身就降降低了安安全性。其其次,措措施的采采用不能能影响系系统的正正常运行行。 分分步实施施原则:由于网网络系统统及其应应用扩展展范围广广阔,随随着网络络规模的的扩大及及应用的的增加,网网络脆弱弱性也会会不断增增加。一一劳永逸逸地解决决网络安安全问题题是不现现实的。同同时由于于实施信信息安全全措施需需相当的的费用支支出。因因此分步步实施,即即可满足足网络系系统及信信息安全全
33、的基本本需求,亦亦可节省省费用开开支。 多重保保护原则则:任何何安全措措施都不不是绝对对安全的的,都可可能被攻攻破。但但是建立立一个多多重保护护系统,各各层保护护相互补补充,当当一层保保护被攻攻破时,其其它层保保护仍可可保护信信息的安安全。 可评价价性原则则:如何何预先评评价一个个安全设设计并验验证其网网络的安安全性,这这需要通通过国家家有关网网络信息息安全测测评认证证机构的的评估来来实5.2安全全服务、机机制与技技术 安安全服务务:安全全服务主主要有:控制服服务、对对象认证证服务、可可靠性服服务等; 安全全机制:访问控控制机制制、认证证机制等等; 安安全技术术:防火火墙技术术、鉴别别技术、审
34、审计监控控技术、病病毒防治治技术等等;在安安全的开开放环境境中,用用户可以以使用各各种安全全应用。安安全应用用由一些些安全服服务来实实现;而而安全服服务又是是由各种种安全机机制或安安全技术术来实现现的。应应当指出出,同一一安全机机制有时时也可以以用于实实现不同同的安全全服务。 第六章章 网络络安全体体系结构构 通过过对网络络的全面面了解,按按照安全全策略的的要求、风风险分析析的结果果及整个个网络的的安全目目标,整整个网络络措施应应按系统统体系建建立。具具体的安安全控制制系统由由以下几几个方面面组成:物理安安全、网网络安全全、系统统安全、信信息安全全、应用用安全和和安全管管理 66.1物物理安全
35、全 保证证计算机机信息系系统各种种设备的的物理安安全是整整个计算算机信息息系统安安全的前前提,物物理安全全是保护护计算机机网络设设备、设设施以及及其它媒媒体免遭遭地震、水水灾、火火灾等环环境事故故以及人人为*作作失误或或错误及及各种计计算机犯犯罪行为为导致的的破坏过过程。 它主要要包括三三个方面面: 环环境安全全:对系系统所在在环境的的安全保保护,如如区域保保护和灾灾难保护护;(参参见国家家标准GGB5001733933电子子计算机机机房设设计规范范、国国标GBB28887889计计算站场场地技术术条件、GGB9336188计计算站场场地安全全要求 设备安安全:主主要包括括设备的的防盗、防防毁
36、、防防电磁信信息辐射射泄漏、防防止线路路截获、抗抗电磁干干扰及电电源保护护等; 媒体安安全:包包括媒体体数据的的安全及及媒体本本身的安安全。 在网络络的安全全方面,主主要考虑虑两个大大的层次次,一是是整个网网络结构构成熟化化,主要要是优化化网络结结构,二二是整个个网络系系统的安安全。 6.22.1网网络结构构 安全全系统是是建立在在网络系系统之上上的,网网络结构构的安全全是安全全系统成成功建立立的基础础。在整整个网络络结构的的安全方方面,主主要考虑虑网络结结构、系系统和路路由的优优化。 网络结结构的建建立要考考虑环境境、设备备配置与与应用情情况、远远程联网网方式、通通信量的的估算、网网络维护护
37、管理、网网络应用用与业务务定位等等因素。成成熟的网网络结构构应具有有开放性性、标准准化、可可靠性、先先进性和和实用性性,并且且应该有有结构化化的设计计,充分分利用现现有资源源,具有有运营管管理的简简便性,完完善的安安全保障障体系。网网络结构构采用分分层的体体系结构构,利于于维护管管理,利利于更高高的安全全控制和和业务发发展。 网络结结构的优优化,在在网络拓拓扑上主主要考虑虑到冗余余链路;防火墙墙的设置置和入侵侵检测的的实时监监控等。 6.22.2网网络系统统安全 6.22.2.1 访访问控制制及内外外网的隔隔离 访访问控制制 访问问控制可可以通过过如下几几个方面面来实现现: 11.制订订严格的
38、的管理制制度:可可制定的的相应:用户户授权实实施细则则、口口令字及及帐户管管理规范范、权权限管理理制度。 2.配配备相应应的安全全设备:在内部部网与外外部网之之间,设设置防火火墙实现现内外网网的隔离离与访问问控制是是保护内内部网安安全的最最主要、同同时也是是最有效效、最经经济的措措施之一一。防火火墙设置置在不同同网络或或网络安安全域之之间信息息的唯一一出入口口。 防防火墙主主要的种种类是包包过滤型型,包过过滤防火火墙一般般利用IIP和TTCP包包的头信信息对进进出被保保护网络络的IPP包信息息进行过过滤,能能根据企企业的安安全政策策来控制制(允许许、拒绝绝、监测测)出入入网络的的信息流流。同时
39、时可实现现网络地地址转换换(NAAT)、审审记与实实时告警警等功能能。由于于这种防防火墙安安装在被被保护网网络与路路由器之之间的通通道上,因因此也对对被保护护网络和和外部网网络起到到隔离作作用。 防火墙墙具有以以下五大大基本功功能:过过滤进、出出网络的的数据;管理进进、出网网络的访访问行为为;封堵堵某些禁禁止的业业务;记记录通过过防火墙墙的信息息内容和和活动;对网络络攻击的的检测和和告警。 6.22.2.2 内内部网不不同网络络安全域域的隔离离及访问问控制 在这里里,主要要利用VVLANN技术来来实现对对内部子子网的物物理隔离离。通过过在交换换机上划划分VLLAN可可以将整整个网络络划分为为几
40、个不不同的广广播域,实实现内部部一个网网段与另另一个网网段的物物理隔离离。这样样,就能能防止影影响一个个网段的的问题穿穿过整个个网络传传播。针针对某些些网络,在在某些情情况下,它它的一些些局域网网的某个个网段比比另一个个网段更更受信任任,或者者某个网网段比另另一个更更敏感。通通过将信信任网段段与不信信任网段段划分在在不同的的VLAAN段内内,就可可以限制制局部网网络安全全问题对对全局网网络造成成的影响响。 66.2.2.33 网络络安全检检测 网网络系统统的安全全性取决决于网络络系统中中最薄弱弱的环节节。如何何及时发发现网络络系统中中最薄弱弱的环节节?如何何最大限限度地保保证网络络系统的的安全
41、?最有效效的方法法是定期期对网络络系统进进行安全全性分析析,及时时发现并并修正存存在的弱弱点和漏漏洞。 网络安安全检测测工具通通常是一一个网络络安全性性评估分分析软件件,其功功能是用用实践性性的方法法扫描分分析网络络系统,检检查报告告系统存存在的弱弱点和漏漏洞,建建议补救救措施和和安全策策略,达达到增强强网络安安全性的的目的。检检测工具具应具备备以下功功能: 具备网网络监控控、分析析和自动动响应功功能 找找出经常常发生问问题的根根源所在在; 建建立必要要的循环环过程确确保隐患患时刻被被纠正;控制各各种网络络安全危危险。 漏洞分分析和响响应 配配置分析析和响应应 漏洞洞形势分分析和响响应 认认证
42、和趋趋势分析析 具体体体现在在以下方方面: 防火墙墙得到合合理配置置 内外外WEBB站点的的安全漏漏洞减为为最低 网络体体系达到到强壮的的耐攻击击性 各各种服务务器*作作系统,如如E_MMIALL服务器器、WEEB服务务器、应应用服务务器、,将将受黑客客攻击的的可能降降为最低低 对网网络访问问做出有有效响应应,保护护重要应应用系统统(如财财务系统统)数据据安全不不受黑客客攻击和和内部人人员误*作的侵侵害 66.2.2.44 审计计与监控控 审计计是记录录用户使使用计算算机网络络系统进进行所有有活动的的过程,它它是提高高安全性性的重要要工具。它它不仅能能够识别别谁访问问了系统统,还能能看出系系统
43、正被被怎样地地使用。对对于确定定是否有有网络攻攻击的情情况,审审计信息息对于去去定问题题和攻击击源很重重要。同同时,系系统事件件的记录录能够更更迅速和和系统地地识别问问题,并并且它是是后面阶阶段事故故处理的的重要依依据。另另外,通通过对安安全事件件的不断断收集与与积累并并且加以以分析,有有选择性性地对其其中的某某些站点点或用户户进行审审计跟踪踪,以便便对发现现或可能能产生的的破坏性性行为提提供有力力的证据据。 因因此,除除使用一一般的网网管软件件和系统统监控管管理系统统外,还还应使用用目前较较为成熟熟的网络络监控设设备或实实时入侵侵检测设设备,以以便对进进出各级级局域网网的常见见*作进进行实时
44、时检查、监监控、报报警和阻阻断,从从而防止止针对网网络的攻攻击与犯犯罪行为为。 66.2.2.55 网络络防病毒毒 由于于在网络络环境下下,计算算机病毒毒有不可可估量的的威胁性性和破坏坏力,一一次计算算机病毒毒的防范范是网络络安全性性建设中中重要的的一环。 网络反反病毒技技术包括括预防病病毒、检检测病毒毒和消毒毒三种技技术: 1.预预防病毒毒技术:它通过过自身常常驻系统统内存,优优先获得得系统的的控制权权,监视视和判断断系统中中是否有有病毒存存在,进进而阻止止计算机机病毒进进入计算算机系统统和对系系统进行行破坏。这这类技术术有,加加密可执执行程序序、引导导区保护护、系统统监控与与读写控控制(如
45、如防病毒毒软件等等)。 2.检检测病毒毒技术:它是通通过对计计算机病病毒的特特征来进进行判断断的技术术,如自自身校验验、关键键字、文文件长度度的变化化等。 3.清清除病毒毒技术:它通过过对计算算机病毒毒的分析析,开发发出具有有删除病病毒程序序并恢复复原文件件的软件件。 网网络反病病毒技术术的具体体实现方方法包括括对网络络服务器器中的文文件进行行频繁地地扫描和和监测;在工作作站上用用防病毒毒芯片和和对网络络目录及及文件设设置访问问权限等等。 所所选的防防毒软件件应该构构造全网网统一的的防病毒毒体系。主主要面向向MAIIL 、WWeb服服务器,以以及办公公网段的的PC服服务器和和PC机机等。支支持
46、对网网络、服服务器、和和工作站站的实时时病毒监监控;能能够在中中心控制制台向多多个目标标分发新新版杀毒毒软件,并并监视多多个目标标的病毒毒防治情情况;支支持多种种平台的的病毒防防范;能能够识别别广泛的的已知和和未知病病毒,包包括宏病病毒;支支持对IInteerneet/ Inttrannet服服务器的的病毒防防治,能能够阻止止恶意的的Javva或AActiiveXX小程序序的破坏坏;支持持对电子子邮件附附件的病病毒防治治,包括括WORRD、EEXCEEL中的的宏病毒毒;支持持对压缩缩文件的的病毒检检测;支支持广泛泛的病毒毒处理选选项,如如对染毒毒文件进进行实时时杀毒,移移出,重重新命名名等;支
47、支持病毒毒隔离,当当客户机机试图上上载一个个染毒文文件时,服服务器可可自动关关闭对该该工作站站的连接接;提供供对病毒毒特征信信息和检检测引擎擎的定期期在线更更新服务务;支持持日志记记录功能能;支持持多种方方式的告告警功能能(声音音、图像像、电子子邮件等等)等。 6.22.2.6 网网络备份份系统 备份系系统为一一个目的的而存在在:尽可可能快地地全盘恢恢复运行行计算机机系统所所需的数数据和系系统信息息。根据据系统安安全需求求可选择择的备份份机制有有:场点点内高速速度、大大容量自自动的数数据存储储、备份份与恢复复;场点点外的数数据存储储、备份份与恢复复;对系系统设备备的备份份。备份份不仅在在网络系系统硬件件故障或或人为失失误时起起到保护护作用,也也在入侵侵者非授授权访问问或对网网络攻击击及破坏坏数据完完整性时时起到保保护作用用,同时时亦是系系统灾难难恢复的的前提之之一。 在确定定备份的的指导思思想和备备份方案案之后,就就要选择择安全的的存储媒媒介和技技术进行行数据备备份,有有“冷备备份”和和“热备备份”两两种。热热备份是是指“在在线”的的备份,即即下
限制150内