安全施工工程組織設(shè)計方案

1、安全詳細(xì)工程設(shè)計6.1 引言46.2 安全性分析與體系結(jié)構(gòu)46.2.1 安全風(fēng)險分析46.2.2 安全需求分析56.2.3 安全體系結(jié)構(gòu)66.3 網(wǎng)絡(luò)級安全 應(yīng)用級安全 系統(tǒng)級安全 企業(yè)級安全76.4 安全策略76.4.1 職責(zé)劃分76.4.2 類型限制76.4.3 授權(quán)管理86.4.4 用戶管理86.4.5 恢復(fù)策略96.4.6 跟蹤審計96.5 安全性現(xiàn)狀描述96.5.1 網(wǎng)絡(luò)級安全性方面96.5.2 應(yīng)用級安全性方面96.5.3 系統(tǒng)級安全性方面96.5.4 企業(yè)級安全性方面106.6 安全性設(shè)計原則106.6.1 全方位實現(xiàn)安全性106.

2、6.2 主動式安全和被動式安全相結(jié)合106.6.3 切合實際實施安全性106.6.4 易于實施、管理與維護(hù)106.6.5 具有較好的可伸縮性106.6.6 節(jié)約系統(tǒng)投資116.7 網(wǎng)絡(luò)級安全116.7.1 網(wǎng)絡(luò)安全的威脅分析116.7.2 網(wǎng)絡(luò)級安全性實施策略126.7.3 網(wǎng)絡(luò)設(shè)備的安全保障 對路由器訪問的控制 簡單網(wǎng)絡(luò)管理協(xié)議（snmp）訪問控制 安全的路由器配置文件136.7.4 與其它網(wǎng)絡(luò)互聯(lián)的安全設(shè)計 防范對象及經(jīng)濟(jì)考慮 數(shù)據(jù)包過濾防火墻方案 路由器其它安全配置166.7.5

3、撥號網(wǎng)絡(luò)的安全設(shè)計 撥號網(wǎng)絡(luò)安全威脅 撥號網(wǎng)絡(luò)安全設(shè)計 撥號認(rèn)證產(chǎn)品選型 radius遠(yuǎn)程撥入用戶認(rèn)證服務(wù) ciscosecure acs for windows nt功能介紹 ppp鏈路確認(rèn) 身份認(rèn)證 授權(quán)服務(wù) 記帳216.7.6 鏈路層加密工程設(shè)計 四川順風(fēng)通信公司及安全保密產(chǎn)品介紹 鏈路層安全保密系統(tǒng)設(shè)計原則 鏈路層安全保密系統(tǒng)設(shè)計 系統(tǒng)設(shè)計特點246.7.

4、7 安全檢測和預(yù)警系統(tǒng)設(shè)計2 內(nèi)外部攻擊檢測的需求2 安全漏洞檢測的需求2 安全檢測軟件選擇：總參safemate266.8 應(yīng)用級安全266.8.1 webst特性介紹276.8.2 webst的管理特性綜述276.8.3 webst解決方案30 webst組成30 webst配置方案3 安全控制策略336.8.4 webst對應(yīng)用服務(wù)器的控制376.8.5 1服務(wù)子網(wǎng)376.8.6 2應(yīng)用網(wǎng)關(guān)376.8.7 3同機(jī)安裝386.8.8 webst對應(yīng)用系統(tǒng)的安全控制3 辦公自動化系統(tǒng)的

5、安全解決方案3 查詢系統(tǒng)安全解決方案4 webst對其它應(yīng)用的支持436.8.9 webst可管理性、可靠性、安全性、開放性、可縮放性設(shè)計446.8.10 小結(jié)4 webst安全特性4 webst解決的安全問題4 webst的安全管理效果466.9 系統(tǒng)級安全476.9.1 系統(tǒng)級安全性實施對象476.9.2 unix系統(tǒng)安全性的實現(xiàn)476.9.3 windows nt系統(tǒng)安全性的實現(xiàn)486.10 企業(yè)級安全506.10.1 設(shè)立安全管理中心506.10.2 ca認(rèn)證中心5 ca認(rèn)證中心的功

6、能5 ca認(rèn)證中心設(shè)計要點5 ca認(rèn)證中心產(chǎn)品選擇536.10.3 密鑰管理中心536.10.4 內(nèi)部安全管理536.10.5 病毒防范5 防病毒系統(tǒng)工程設(shè)計原則5 病毒防護(hù)對象5 趨勢(trend)公司及其防病毒產(chǎn)品介紹5 防病毒產(chǎn)品選型及配置5 嚴(yán)格病毒防范管理576.11 一期安全產(chǎn)品配置清單及說明586.11.1 cisco撥號安全認(rèn)證產(chǎn)品586.11.2 四川順風(fēng)鏈路層加密產(chǎn)品586.11.3 清華得實webst安全產(chǎn)品596.11.4 趨勢科技防病毒產(chǎn)品59

7、6-3詳細(xì)安全工程設(shè)計方案6.1 引言隨著網(wǎng)絡(luò)和internetintranet的普及和電子商務(wù)的發(fā)展，整個社會的活動將越來越依賴于網(wǎng)絡(luò)系統(tǒng)，網(wǎng)絡(luò)系統(tǒng)在整個社會中扮演的角色將越來越重要，也將使得網(wǎng)絡(luò)系統(tǒng)的安全問題變得越來越突出。如果我們不采取堅決有效的安全控制措施，可以預(yù)計2000年后，網(wǎng)絡(luò)黑客將無孔不入，如同目前的計算機(jī)病毒那樣泛濫成災(zāi)。因此，如同2000年問題一樣，我們完全可以把網(wǎng)絡(luò)系統(tǒng)的安全問題看成另一個2000年問題。我們必須從現(xiàn)在做起，將安全控制當(dāng)作一項綜合系統(tǒng)工程來看待，以適應(yīng)二十一世紀(jì)網(wǎng)絡(luò)世界日新月異飛速發(fā)展的步伐。6.2 安全性分析與體系結(jié)構(gòu)6.2.1 安全風(fēng)險分析網(wǎng)絡(luò)上運(yùn)行各

8、種辦公、業(yè)務(wù)系統(tǒng)，其中有些業(yè)務(wù)系統(tǒng)還將涉及到其他機(jī)構(gòu)，對外發(fā)布的各種信息也將以www方式供用戶訪問。由于存在政治體制、國家體制以及意識形態(tài)等方面的一些因素，很容易遭受到國內(nèi)外一些敵對分子的攻擊。各種信息也很容易吸引各種經(jīng)濟(jì)罪犯、黑客的攻擊。同時，網(wǎng)絡(luò)覆蓋面大、結(jié)構(gòu)復(fù)雜、設(shè)備多種多樣、應(yīng)用系統(tǒng)很多，這些都造成了網(wǎng)絡(luò)管理上比較困難，可能會存在很多的安全漏洞，而即使是一些對漏洞的修補(bǔ)工作也可能會產(chǎn)生新的安全漏洞。另一方面，人員計算機(jī)應(yīng)用水平相對比較高，內(nèi)部安全管理顯得尤為重要。分析網(wǎng)絡(luò)、應(yīng)用和內(nèi)部管理，我們認(rèn)為存在以下的安全風(fēng)險及需要采取的安全對策：風(fēng)險安全對策用戶風(fēng)險身份假冒身份認(rèn)證身份竊取身份認(rèn)

9、證非授權(quán)訪問訪問授權(quán)管理重放攻擊鑒別、記錄、預(yù)警否認(rèn)審計、記錄深度入侵預(yù)警、阻斷數(shù)據(jù)風(fēng)險竊取實體安全、加密篡改完整性檢驗毀壞災(zāi)難恢復(fù)有害數(shù)據(jù)侵入(包括病毒等)所造成的破壞檢測、過濾、分析、捕獲應(yīng)用和服務(wù)風(fēng)險非授權(quán)訪問訪問授權(quán)身份假冒身份認(rèn)證密鑰管理漏洞ca、kdc、pki數(shù)據(jù)庫自身的漏洞檢測、打補(bǔ)丁、升級操作系統(tǒng)自身的漏洞漏洞檢測、打補(bǔ)丁、升級服務(wù)的脆弱性及漏洞檢測、打補(bǔ)丁、更新應(yīng)用系統(tǒng)自身的缺陷更新完善服務(wù)器風(fēng)險入侵探測實時監(jiān)測、預(yù)警、回火非授權(quán)訪問訪問控制策略漏洞策略管理、檢查系統(tǒng)配置缺陷系統(tǒng)版本檢測、更新系統(tǒng)平臺評測、選擇實體安全缺陷防輻射、防橇、防雷擊服務(wù)器所存在的陷門和隱通道尚無相應(yīng)

10、的解決技術(shù)及產(chǎn)品網(wǎng)絡(luò)風(fēng)險 入侵探測檢測、預(yù)警、回火設(shè)備攻擊實時監(jiān)測、管理、維護(hù)通道保密強(qiáng)度采用高強(qiáng)度加密產(chǎn)品網(wǎng)絡(luò)設(shè)備配置缺陷定期檢測、加強(qiáng)配置管理、日志、審計網(wǎng)絡(luò)設(shè)備物理安全缺陷更新網(wǎng)絡(luò)設(shè)備存在的陷門和隱通道尚無相應(yīng)的解決技術(shù)及產(chǎn)品網(wǎng)絡(luò)設(shè)備實體的安全防盜、防輻射、防雷擊6.2.2 安全需求分析需要有一個可靠的、安全的、開放的、可擴(kuò)縮的、易于管理的、全方位的安全系統(tǒng)。建設(shè)時必須考慮以下幾個方面： 安全體系：必須從系統(tǒng)工程的高度來設(shè)計安全系統(tǒng)，在網(wǎng)絡(luò)各層次都應(yīng)該有相應(yīng)的安全措施，同時還要注意到內(nèi)部安全管理在安全系統(tǒng)中的重要作用。 可靠性：安全系統(tǒng)自身必須能夠確保正常運(yùn)行，不能因為安全系統(tǒng)出現(xiàn)故障導(dǎo)

11、致整個網(wǎng)絡(luò)出現(xiàn)癱瘓。 安全性：安全系統(tǒng)既要保證網(wǎng)絡(luò)和應(yīng)用的安全，又要保證自身的安全。 開放性：必須保證安全系統(tǒng)的開放性以保證不同廠家的不同產(chǎn)品能夠集成到安全系統(tǒng)中來，并保證安全系統(tǒng)以及各種應(yīng)用的安全可靠運(yùn)行。 可擴(kuò)縮性：安全系統(tǒng)必須是可擴(kuò)縮的，以適應(yīng)網(wǎng)絡(luò)規(guī)模的變化。 易于管理：包括兩方面的含義，一方面，安全系統(tǒng)本身必須是易于管理的，另一方面，安全系統(tǒng)對其管理對象的管理必須是方便的、簡單的。6.2.3 安全體系結(jié)構(gòu)從體系結(jié)構(gòu)來看，安全體系應(yīng)該是一個多層次、多方面的結(jié)構(gòu)。通過分析，我們將安全性在體系結(jié)構(gòu)上分為四個級別：網(wǎng)絡(luò)級安全、應(yīng)用級安全、系統(tǒng)級安全和企業(yè)級安全。6.3 網(wǎng)絡(luò)級安全網(wǎng)絡(luò)級安全管理

12、的主要內(nèi)容包括： 對網(wǎng)絡(luò)設(shè)備，如路由器等的安全管理，保證網(wǎng)絡(luò)的正常運(yùn)行； 對撥號網(wǎng)絡(luò)的安全管理，實現(xiàn)對撥號用戶的安全控制； 提供鏈路層加密，保證數(shù)據(jù)在廣域網(wǎng)上傳輸?shù)陌踩裕?配置防火墻，保證內(nèi)部網(wǎng)的邊界安全。 應(yīng)用級安全主要目的是在應(yīng)用層保證各種應(yīng)用系統(tǒng)(oa系統(tǒng)及其他業(yè)務(wù)系統(tǒng))的信息訪問合法性，確保合法用戶根據(jù)授權(quán)合法的訪問數(shù)據(jù)。應(yīng)用層在iso的體系層次中處于較高的層次，因而其安全防護(hù)也是較高級的。應(yīng)用層的安全防護(hù)是面向用戶和應(yīng)用程序的。應(yīng)用層采用身份認(rèn)證和授權(quán)管理系統(tǒng)作為安全防護(hù)手段，實現(xiàn)高級的安全防護(hù)。 系統(tǒng)級安全系統(tǒng)級的安全主要是從操作系統(tǒng)的角度考慮系統(tǒng)安全

13、措施，防止不法分子利用操作系統(tǒng)的一些bug、后門取得對系統(tǒng)的非法操作權(quán)限。系統(tǒng)級安全管理的主要內(nèi)容包括： 配置操作系統(tǒng)，使其達(dá)到盡可能高的安全級別； 及時檢測、發(fā)現(xiàn)操作系統(tǒng)存在的安全漏洞； 對發(fā)現(xiàn)的操作系統(tǒng)安全漏洞做出及時、正確的處理。 企業(yè)級安全企業(yè)級安全主要包括以下兩個方面的內(nèi)容： 內(nèi)部安全管理。因為從統(tǒng)計數(shù)字來看，70%以上的網(wǎng)絡(luò)攻擊行為是來自企業(yè)內(nèi)部的。 計算機(jī)病毒防范。歷年來，全世界各地因為病毒入侵所造成的損失均怵目驚心、數(shù)不勝數(shù)。尤其現(xiàn)在病毒通過網(wǎng)絡(luò)廣泛傳播，影響面極大，造成危害也極大，其對系統(tǒng)和數(shù)據(jù)的破壞性是原來單機(jī)系統(tǒng)時所不能比擬的。另一方面，現(xiàn)在有很多黑客程序，

14、如back orifice、netspy等，在傳播其“探測器”程序時采取的都是類似病毒的機(jī)制。6.4 安全策略制定安全管理策略首先要確定網(wǎng)絡(luò)安全管理要保護(hù)什么，在這一問題上一般有兩種截然不同的描述原則。一個是“沒有明確表述為允許的都被認(rèn)為是被禁止的”，另一個是“一切沒有明確表述為禁止的都被認(rèn)為是允許的”。應(yīng)采用第一種原則，來加強(qiáng)對網(wǎng)絡(luò)安全的限制。6.4.1 職責(zé)劃分安全策略要根據(jù)網(wǎng)絡(luò)資源的職責(zé)確定哪些人允許使用某一設(shè)備，對每一臺網(wǎng)絡(luò)設(shè)備要確定哪些人能夠修改它的配置。更進(jìn)一步要明確的是授權(quán)給某人使用某網(wǎng)絡(luò)設(shè)備和某資源的目的是什么，他可以在什么范圍內(nèi)使用。并確定對每一設(shè)備或資源，誰擁有它的管理權(quán)，

15、即他可以為其他人授權(quán)，使之能夠正常使用該設(shè)備或資源，并制定授權(quán)程序。6.4.2 類型限制安全策略還必須說明網(wǎng)絡(luò)使用的類型限制，定義可接受的網(wǎng)絡(luò)應(yīng)用或不可接受的網(wǎng)絡(luò)應(yīng)用，要考慮對不同級別的人員給予不同級別的限制。網(wǎng)絡(luò)安全策略聲明每個用戶都要對他們在網(wǎng)絡(luò)上的言行負(fù)責(zé)。所有違反安全策略、破環(huán)系統(tǒng)安全的行為都是禁止的。必須杜絕用戶共享帳號的情況。安全管理還要確定是否要為特殊情況制定安全策略。例如是否允許某些上級組織來檢查系統(tǒng)的安全弱點。6.4.3 授權(quán)管理安全策略在確定對每個資源管理授權(quán)者的同時，還要確定他們可以對用戶授與什么級別的權(quán)限。如果沒有資源管理授權(quán)者的信息，就無法掌握究竟哪些人在使用網(wǎng)絡(luò)。對

16、于網(wǎng)絡(luò)中的關(guān)鍵通信資源，對其可授權(quán)范圍應(yīng)盡可能小，范圍越小就越容易管理，相對也就越安全。在對資源授權(quán)者管理的同時，要制定對用戶授權(quán)的過程設(shè)計，以防止對授權(quán)職責(zé)的濫用。安全策略中應(yīng)明確指明每個資源的系統(tǒng)級管理員，但在網(wǎng)絡(luò)的使用中，難免會遇到用戶需要特殊權(quán)限的時候。一種處理辦法是盡量只分配給用戶夠完成任務(wù)所需的最小權(quán)限。另外在網(wǎng)絡(luò)安全策略中要包含對特殊權(quán)限進(jìn)行監(jiān)測統(tǒng)計的部分，如果對授與用戶的特殊權(quán)限不可統(tǒng)計，就難以保證整個網(wǎng)絡(luò)不被破壞。6.4.4 用戶管理對于為用戶初始化帳號使用的口令，以及用戶自己對口令的選擇要非常慎重。因為對一個再好的網(wǎng)絡(luò)安全系統(tǒng)，如果用戶使用了很差的口令，那么系統(tǒng)的安全性也會

17、很差。安全策略中關(guān)于用戶的權(quán)利與責(zé)任中，需要指明用戶必須明確了解他們所用的計算機(jī)網(wǎng)絡(luò)的使用規(guī)則。其中包括是否允許用戶將帳號轉(zhuǎn)借給他人，用戶應(yīng)當(dāng)將他們自己的口令保密到什么程度。用戶應(yīng)在多長時間內(nèi)更改他們的口令，對其選擇有什么限制。是希望用戶自身提供備份還是由網(wǎng)絡(luò)服務(wù)提供者提供。事實上網(wǎng)絡(luò)安全策略中所能達(dá)到的只是用戶希望達(dá)到個人穩(wěn)私與網(wǎng)絡(luò)管理人員為診斷、處理問題而收集用戶信息的矛盾的一個折中。在安全策略中必須確定在什么情況下管理員可以讀用戶的文件，在什么情況下網(wǎng)絡(luò)管理員有權(quán)檢查網(wǎng)絡(luò)上傳送的信息。6.4.5 恢復(fù)策略安全策略中另一重要的部分是當(dāng)安全策略被破壞時所采取的策略。對于發(fā)生在本網(wǎng)絡(luò)內(nèi)部的安全

18、問題，要從主干網(wǎng)向部門網(wǎng)逐級過濾、隔離。部門網(wǎng)要與主干網(wǎng)形成配合，防止破壞漫延。對于來自整個網(wǎng)絡(luò)以外的安全干擾，除了必要的隔離與保護(hù)外，還要與對方所在網(wǎng)絡(luò)進(jìn)行聯(lián)系，以進(jìn)一步確定消除掉安全隱患。每一個網(wǎng)絡(luò)安全問題都要有文檔記錄，包括對它的處理過程，并將其送至全網(wǎng)各有關(guān)部門，以便預(yù)防和留作今后進(jìn)一步完善網(wǎng)絡(luò)安全策略的資料。6.4.6 跟蹤審計必須有強(qiáng)有力的跟蹤審計措施，對于誰、在什么時候、什么地方、以何種方式、對什么對象、做了什么操作、發(fā)生什么結(jié)果等都應(yīng)該有詳盡的記錄。同時，審計記錄應(yīng)該加密存儲，并且設(shè)置訪問權(quán)限，確認(rèn)只有授權(quán)的管理人員才可能獲取到日志記錄。6.5 安全性現(xiàn)狀描述安全性現(xiàn)狀情況基本

19、如下：6.5.1 網(wǎng)絡(luò)級安全性方面幾乎沒有安全措施。6.5.2 應(yīng)用級安全性方面應(yīng)用系統(tǒng)以oa系統(tǒng)、mis系統(tǒng)、電子郵件系統(tǒng)等為主，這些系統(tǒng)采用大型關(guān)系數(shù)據(jù)庫和lotus notes來實現(xiàn)的，目前這些系統(tǒng)的安全性主要僅采用關(guān)系數(shù)據(jù)庫和lotus notes 本身提供的認(rèn)證以及訪問控制列表機(jī)制來實現(xiàn)的，缺乏一種成熟的應(yīng)用層的安全性產(chǎn)品。6.5.3 系統(tǒng)級安全性方面系統(tǒng)安全性方面基本上沒有采取增強(qiáng)的安全措施，主要是利用unix或nt系統(tǒng)本身所具備的用戶名和口令登錄機(jī)制來實現(xiàn)安全性。不夠規(guī)范和統(tǒng)一。6.5.4 企業(yè)級安全性方面規(guī)章制度不夠規(guī)范和統(tǒng)一。病毒防護(hù)：多數(shù)使用kv300、kill98等殺毒軟

20、件，沒有一個功能強(qiáng)大的企業(yè)級的網(wǎng)絡(luò)防病毒軟件。6.6 安全性設(shè)計原則在詳細(xì)工程設(shè)計中，我們將遵循以下設(shè)計原則：6.6.1 全方位實現(xiàn)安全性安全性設(shè)計必須從全方位、多層次加以考慮，即通過網(wǎng)絡(luò)級、應(yīng)用級、系統(tǒng)級、企業(yè)級的安全性設(shè)計措施來確實保證安全。6.6.2 主動式安全和被動式安全相結(jié)合主動式安全主要是從人的角度考慮，通過安全教育與培訓(xùn)，提高員工的安全意識，主動自覺地利用各種工具去加強(qiáng)安全性；被動式安全則主要是從具體安全措施的角度考慮，如防火墻措施、防病毒措施等等。只有人與具體安全措施的完美結(jié)合，方能切實有效地實現(xiàn)安全性。6.6.3 切合實際實施安全性必須緊密切合要進(jìn)行安全防護(hù)的實際對象來實施安

21、全性，以免過于龐大冗雜的安全措施導(dǎo)致性能下降。所以要真正做到有的放矢、行之有效。6.6.4 易于實施、管理與維護(hù)整套安全工程設(shè)計必須具有良好的可實施性與可管理性，同時還要具有尚佳的易維護(hù)性。6.6.5 具有較好的可伸縮性安全工程設(shè)計，必須具有良好的可伸縮性。整個安全系統(tǒng)必須留有接口，以適應(yīng)將來工程規(guī)模拓展的需要。6.6.6 節(jié)約系統(tǒng)投資在保障安全性的前提下，必須充分考慮投資，將用戶的利益始終放在第一位。通過認(rèn)真規(guī)劃安全性設(shè)計，認(rèn)真選擇安全性產(chǎn)品(包括利用現(xiàn)有設(shè)備)，達(dá)到為用戶節(jié)約系統(tǒng)投資的目的。6.7 網(wǎng)絡(luò)級安全在網(wǎng)詳細(xì)工程設(shè)計中的網(wǎng)絡(luò)級安全性部分，我們將充分考慮應(yīng)用狀況和網(wǎng)絡(luò)現(xiàn)狀，本著“保證

22、安全、節(jié)省投資”的原則，主要通過以下措施來實現(xiàn)網(wǎng)絡(luò)系統(tǒng)提供數(shù)據(jù)傳輸和交換中的完整性、保密性、抗否認(rèn)性和可用性： 對三級節(jié)點路由器實施“ip數(shù)據(jù)包過濾”的技術(shù) (對于個別城市已配備cisco pix專用防火墻的，則采用pix安全方案來取代路由器“包過濾”技術(shù)) 采用cisco公司著名的安全認(rèn)證產(chǎn)品ciscosecure acs來實現(xiàn)撥號網(wǎng)絡(luò)的安全性 采用四川省順風(fēng)通信公司的鏈路層加密產(chǎn)品，確保重要金融信息傳輸在鏈路層的安全 安裝安全檢測和預(yù)警系統(tǒng)，監(jiān)視網(wǎng)絡(luò)上的通信數(shù)據(jù)流，幫助系統(tǒng)管理員修補(bǔ)網(wǎng)絡(luò)安全漏洞6.7.1 網(wǎng)絡(luò)安全的威脅分析網(wǎng)絡(luò)威脅可以分為以下若干類型：黑客入侵、內(nèi)部攻擊、不良信息傳播、秘

23、密信息泄漏、修改網(wǎng)絡(luò)配置、造成網(wǎng)絡(luò)癱瘓等。計算機(jī)網(wǎng)絡(luò)受到的安全威脅主要有： 身份竊取(identity) 假冒(masquerading) 數(shù)據(jù)竊取(data interception) 否認(rèn)(repudiation) 錯誤路由(misrouting) 拒絕服務(wù)(denial of service) 數(shù)據(jù)流分析(traffic analysis) 非授權(quán)存取(unauthorized access)6.7.2 網(wǎng)絡(luò)級安全性實施策略本節(jié)主要從網(wǎng)絡(luò)角度論述何保證網(wǎng)絡(luò)系統(tǒng)提供數(shù)據(jù)傳輸和交換中的完整性、保密性、抗否認(rèn)性和可用性。針對網(wǎng)絡(luò)系統(tǒng)的具體情況采用不同的安全考慮。我們主要從以下幾個方面考慮： 首

24、先考慮網(wǎng)絡(luò)中合法用戶的身份驗證，如何通過安全機(jī)制對非法用戶進(jìn)行拒絕，容許合法用戶的訪問，對不同用戶的訪問權(quán)限進(jìn)行限制。 其次要考慮數(shù)據(jù)在網(wǎng)絡(luò)中傳輸?shù)耐暾?，保證數(shù)據(jù)不被篡改，保證數(shù)據(jù)傳輸?shù)陌踩?，可以通過各種數(shù)據(jù)加密技術(shù)來實現(xiàn)。 再次要考慮數(shù)據(jù)傳輸?shù)碾[秘性，保證數(shù)據(jù)在傳輸過程中不被非法竊取，造成泄密。 最后要考慮對網(wǎng)絡(luò)用戶進(jìn)行稽查，運(yùn)作核查和維護(hù)，通過可用的核查工具進(jìn)行核查, 要了解用戶的所作所為及系統(tǒng)運(yùn)行情況。為了完成以上的四點要求，我們對不同需求采用不同的方法來實現(xiàn)。具體可采取以下幾方面的措施進(jìn)行網(wǎng)絡(luò)安全的控制。6.7.3 網(wǎng)絡(luò)設(shè)備的安全保障整個網(wǎng)絡(luò)的安全首先要確保網(wǎng)絡(luò)設(shè)備的安全，保證非授權(quán)

25、用戶不能訪問一臺機(jī)器、路由器或防火墻。這里我們通過一個具體的例子來說明網(wǎng)絡(luò)設(shè)備安全的實現(xiàn)，對于不同的網(wǎng)絡(luò)設(shè)備、不同廠家的網(wǎng)絡(luò)設(shè)備，要防范的內(nèi)容是一樣的，但具體的配置方法可能不同(網(wǎng)絡(luò)設(shè)備大多數(shù)是cisco、3com、bay等廠家的產(chǎn)品)。為了保障網(wǎng)絡(luò)設(shè)備的安全性，我們要考慮從以下幾個方面的因素： 安全的控制臺/telnet 訪問 控制snmp 訪問 安全的路由器配置文件下面我們以cisco公司的路由器產(chǎn)品為例，給出如何保障網(wǎng)絡(luò)設(shè)備安全的詳細(xì)設(shè)計。 對路由器訪問的控制對于cisco路由器的用戶可以設(shè)置兩種用戶權(quán)限?？少x予其“非特權(quán)”和“特權(quán)”兩種訪問權(quán)限，非特權(quán)訪問權(quán)限允許用戶在路

26、由器上查詢某些信息但無法對路由器進(jìn)行配置；特權(quán)訪問權(quán)限則允許用戶對路由器進(jìn)行完全的配置。對路由器訪問的控制可使用以下幾種方式： 控制臺訪問控制 限制訪問空閑時間 口令的加密 對telnet訪問的控制 多管理員授權(quán)級別 簡單網(wǎng)絡(luò)管理協(xié)議（snmp）訪問控制通過對路由器設(shè)備的配置，使得只能由某個指定ip地址的網(wǎng)管工作站才能對路由器進(jìn)行網(wǎng)絡(luò)管理，對路由器或網(wǎng)絡(luò)設(shè)備進(jìn)行讀寫操作。 安全的路由器配置文件保護(hù)路由器配置文件不被人非法獲取，對路由器的配置文件要進(jìn)行安全管理。6.7.4 與其它網(wǎng)絡(luò)互聯(lián)的安全設(shè)計本小節(jié)主要是論述互聯(lián)在各個層次上如何保證安全的具體實施方法，其方法如下：

27、 數(shù)據(jù)包過濾防火墻技術(shù) 路由器其它安全配置方案由于各方的網(wǎng)絡(luò)設(shè)備配置情況不盡相同，因此在具體實施安全保障過程中應(yīng)以立足現(xiàn)有設(shè)備為基本前提條件，采用相應(yīng)的安全措施。 防范對象及經(jīng)濟(jì)考慮防范的對象主要是具有相當(dāng)計算機(jī)及網(wǎng)絡(luò)知識和技能的人員。限制或拒絕外部用戶的訪問資源范圍，使得外部用戶只能有限度地訪問部分資源。從節(jié)省投資的角度考慮，利用現(xiàn)有的網(wǎng)絡(luò)設(shè)備，特別是利用現(xiàn)有的路由器特性，通過對路由器和有關(guān)的網(wǎng)絡(luò)設(shè)備以及現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)的改進(jìn)來防止外部用戶的不當(dāng)操作。 數(shù)據(jù)包過濾防火墻方案互聯(lián)是一個典型的兩層安全結(jié)構(gòu)的網(wǎng)絡(luò)接口，示意圖如下： 內(nèi)部局域網(wǎng)上的資源不允許外部網(wǎng)上的用戶使

28、用，不設(shè)防區(qū)為外部局域網(wǎng)，其上的資源允許外部網(wǎng)上的用戶有限度地使用。可以使外部用戶訪問不設(shè)防區(qū)(又稱非軍事化區(qū))的web服務(wù)器。 圖示中的防火墻只是邏輯意義上的設(shè)備，它可由網(wǎng)關(guān)路由器實現(xiàn)。 考慮到安全性控制將主要針對與對方網(wǎng)絡(luò)連接的城市網(wǎng)接口，因此訪問控制主要在網(wǎng)關(guān)路由器中進(jìn)行設(shè)置，而網(wǎng)關(guān)路由器則可利用現(xiàn)有網(wǎng)絡(luò)設(shè)備。a) 訪問控制策略對于以上結(jié)構(gòu)劃分，我們要制定整個網(wǎng)絡(luò)的訪問控制策略。對于對方用戶： 允許內(nèi)部局域網(wǎng)和不設(shè)防區(qū)上的用戶訪問對方網(wǎng)絡(luò)上的所有服務(wù) 拒絕所有對于內(nèi)部局域網(wǎng)上服務(wù)的訪問 下列服務(wù)被不設(shè)防區(qū)所拒絕：bootp-client、bootp-server、finger、rteln

29、et、snmp、snmp-traps、telnet、tftp對于不設(shè)防區(qū)： 允許來自內(nèi)部局域網(wǎng)上的所有服務(wù)的訪問 拒絕來自對方網(wǎng)絡(luò)的下列服務(wù)的訪問：bootp-client、bootp-server、finger、rtelnet、snmp、snmp-traps、telnet、tftp 僅允許下列服務(wù)訪問內(nèi)部局域網(wǎng)上指定的主機(jī)：dns、ftp、http、icmp 、smtp、sql-net、tftp、telnet 、rtelnet、snmp、snmp-traps以及某些應(yīng)用指定的服務(wù)對于內(nèi)部局域網(wǎng)： 僅允許來自不設(shè)防區(qū)的下列服務(wù)訪問指定的主機(jī)：dns、ftp、http、icmp、smtp、sql

30、-net、tftp、telnet、rtelnet、snmp、snmp-traps以及某些應(yīng)用指定的服務(wù) 拒絕來自對方網(wǎng)絡(luò)的所有服務(wù)的訪問 允許所有服務(wù)訪問不設(shè)防區(qū)和對方網(wǎng)絡(luò)b) 網(wǎng)絡(luò)結(jié)構(gòu)的兩種實現(xiàn)方式與對方網(wǎng)絡(luò)分層次相連的節(jié)點很多，網(wǎng)絡(luò)設(shè)備千差萬別，對于不同的設(shè)備情況采用不同的方法。大部分城市網(wǎng)節(jié)點采用的是cisco、3com、bay公司的網(wǎng)絡(luò)設(shè)備。根據(jù)具體的網(wǎng)絡(luò)設(shè)備配置情況，我們可以采用以下兩種方式來實現(xiàn)。 雙以太網(wǎng)端口路由器路由器有兩個以太網(wǎng)絡(luò)端口，可以將兩個網(wǎng)段分成不同安全等級，lan1 的安全等級較高，lan2的安全等級較低?？梢詫?nèi)部網(wǎng)絡(luò)重要的服務(wù)器放在lan1上，同外部網(wǎng)絡(luò)的服務(wù)聯(lián)

31、系可通過lan2來進(jìn)行。如下圖所示： 單以太網(wǎng)端口路由器對于路由器只有一個以太端口的情況下，不能設(shè)置非軍事區(qū)，對于cisco公司的產(chǎn)品建議將軟件升級為ios firewall feature set,使路由器支持防火墻功能，它具有于上下文的訪問控制安全機(jī)制，可以支持具體應(yīng)用如h.323, sqlnet, realaudio的過濾，控制 java 小程序的流動，可以對路由器進(jìn)行“拒絕服務(wù)”防護(hù)，對tcp/udp 事務(wù)進(jìn)行記錄，實時警報訪問等功能。這是一種安全性、集成化的解決方案, 無需增加其它硬件，路由器可以同時完成路由功能和防火墻功能。在現(xiàn)有的網(wǎng)絡(luò)設(shè)備情況下，是一種實施成本低的安全措施。在本次

32、安全性詳細(xì)工程設(shè)計中，我們主要采用路由器ip數(shù)據(jù)包過濾的技術(shù)來實現(xiàn)網(wǎng)絡(luò)級的安全性。具體的實現(xiàn)是通過路由器的訪問列表（access-list）的配置來實現(xiàn)的。在條件容許的情況可以將cisco路由器軟件升級為防火墻軟件，對于其它廠家的網(wǎng)絡(luò)產(chǎn)品可以采用適當(dāng)?shù)姆椒?。采用該方法可在很大程度上?jié)約投資。 路由器其它安全配置為了保障連接的安全，建議在網(wǎng)絡(luò)實施過程中對路由器進(jìn)行配置以防范常見的非法攻擊。 在路由器廣域端口設(shè)置訪問列表，過濾掉以內(nèi)部網(wǎng)絡(luò)地址進(jìn)入路由器的ip包，這樣可以防范電子詐騙 在路由器上使用訪問列表進(jìn)行過濾，缺省關(guān)閉http訪問，只讓某個ip地址的主機(jī)可以訪問http 在路由器

33、上進(jìn)行配置，關(guān)閉echo (7)、discard (9)、daytime (13)、chargen (19)、finger (79)等端口，可以防止資源掠奪攻擊 在路由器上配置靜態(tài)arp，以防止非法服務(wù)器接入內(nèi)部網(wǎng) 關(guān)閉路由器的源路由功能，以防止非法用戶通過源路由技術(shù)進(jìn)入內(nèi)部網(wǎng)我們建議路由器按以上要求配置，這樣可以防止常用的非法攻擊。6.7.5 撥號網(wǎng)絡(luò)的安全設(shè)計 撥號網(wǎng)絡(luò)安全威脅 撥號網(wǎng)絡(luò)是為內(nèi)部用戶和相關(guān)用戶提供電話撥號接入服務(wù)的。整個撥號網(wǎng)絡(luò)的安全威脅主要來自以下幾個方面： 信息盜竊 非法訪問 惡意破壞 撥號網(wǎng)絡(luò)安全設(shè)計在撥號網(wǎng)絡(luò)中，我們建議使用aaa技術(shù)來保

34、護(hù)網(wǎng)絡(luò)訪問，保證合法用戶的身份確認(rèn)。通過ppp鏈路確認(rèn)，使用pap(密碼認(rèn)證協(xié)議)/chap(詢問握手認(rèn)證協(xié)議)(pap和 chap是用在點對點協(xié)議ppp中的認(rèn)證方法)，確保合法用戶的訪問。撥號網(wǎng)絡(luò)采用認(rèn)證服務(wù)器來建立基本的安全機(jī)制，通過定期修改口令字保證系統(tǒng)的安全性。在總中心和分中心各配置一臺訪問服務(wù)器提供遠(yuǎn)程撥號訪問，同時配置一臺認(rèn)證服務(wù)器，為撥號入網(wǎng)的用戶提供認(rèn)證、授權(quán)、記帳服務(wù)，當(dāng)?shù)氐膿芴栐L問服務(wù)器把請求發(fā)到用戶所在分中心的認(rèn)證服務(wù)器，由該認(rèn)證服務(wù)器根據(jù)用戶在里面的配置信息對用戶進(jìn)行授權(quán)、記帳。在總中心認(rèn)證服務(wù)器上對可以進(jìn)行漫游的用戶進(jìn)行設(shè)置，跨分中心的用戶漫游在總中心認(rèn)證服務(wù)器上進(jìn)行

35、認(rèn)證，總中心可以對漫游用戶的權(quán)限進(jìn)行設(shè)置，可以將總中心認(rèn)證服務(wù)器放在網(wǎng)絡(luò)信息中心nic中。撥號網(wǎng)絡(luò)安全結(jié)構(gòu)的示意圖如下： 撥號認(rèn)證產(chǎn)品選型考慮到cisco公司是全球著名的網(wǎng)絡(luò)廠商，且目前所采用的各級節(jié)點網(wǎng)絡(luò)設(shè)備絕大部分均為cisco公司的產(chǎn)品，為此，我們在此次安全性詳細(xì)工程設(shè)計中，在撥號認(rèn)證產(chǎn)品的選型上采用了cisco公司處于業(yè)界領(lǐng)先地位、性能卓越的認(rèn)證服務(wù)器產(chǎn)品：ciscosecure acs for windows nt，采用radius(ietf)認(rèn)證協(xié)議，可為撥號用戶提供模塊化的認(rèn)證(authentication)、授權(quán)(authorization)和計帳(account

36、ing)功能，防止非法用戶的侵害，確保撥號網(wǎng)絡(luò)的安全性。-在nas網(wǎng)絡(luò)設(shè)備中，包含有cisco、3com、bay等多家廠商的產(chǎn)品，為保證aaa認(rèn)證協(xié)議的多廠商兼容性，這里我們選擇radius(ietf)協(xié)議。 radius遠(yuǎn)程撥入用戶認(rèn)證服務(wù)radius(遠(yuǎn)程撥入用戶認(rèn)證服務(wù))是當(dāng)前新興的一種管理標(biāo)準(zhǔn)：radius ietf rfcs 2138和2139，作用是為分布式網(wǎng)絡(luò)上的認(rèn)證服務(wù)器提供管理服務(wù)。 radius不僅指運(yùn)行于服務(wù)器上的軟件,還包括網(wǎng)絡(luò)訪問服務(wù)器與radius服務(wù)器之間的交互操作協(xié)議。 radius為服務(wù)供應(yīng)商和公司提供了一種靈活通用的協(xié)議，用來完成集中式的用戶

37、認(rèn)證、口令加密、服務(wù)選擇、過濾和帳目核對等工作。radius就好像一個儲存著網(wǎng)上所有用戶認(rèn)證信息的票據(jù)交換所,保存著完整的用戶資料 ,包括存取限制、特定的目的路由、數(shù)據(jù)包過濾和帳目核對等。當(dāng)進(jìn)行pap(密碼認(rèn)證協(xié)議)/chap(詢問握手認(rèn)證協(xié)議)連接(pap和 chap是用在點對點協(xié)議ppp中的認(rèn)證方法。)或連接第三方認(rèn)證服務(wù)器時，一個單獨(dú)的radius數(shù)據(jù)庫服務(wù)器可以在多個復(fù)雜網(wǎng)絡(luò)上同時管理多個安全系統(tǒng),并可用于維護(hù)成千上萬用戶的信息安全。 radius通過集成了三個關(guān)鍵的安全功能來滿足需求： 用戶認(rèn)證：通過對登錄名和密碼的匹配，來實現(xiàn)用戶認(rèn)證過程。 用戶授權(quán)：由屬于radius服務(wù)器的數(shù)據(jù)

38、庫的用戶資料來控制。 用戶記帳：建立連續(xù)的審計追蹤，跟蹤每一個基于 radius的事務(wù)，以得到準(zhǔn)確的帳單。 ciscosecure acs for windows nt功能介紹ciscosecure acs 2.1 for windows nt是一個運(yùn)行于windows nt平臺上的、為撥號訪問用戶提供安全認(rèn)證的網(wǎng)絡(luò)安全性軟件產(chǎn)品。該產(chǎn)品作為windows nt的一項服務(wù)，與windows nt緊密的集成在一起。ciscosecure acs支持多種cisco網(wǎng)絡(luò)訪問服務(wù)器(nases)，如cisco 2509、2511、3620、3640、as5200和cisco pix防火墻

39、。它采用tacacs和radius認(rèn)證協(xié)議來為撥號用戶訪問提供認(rèn)證(authentication)、授權(quán)(authorization)和計帳(accounting)功能；ciscosecure可采用多種認(rèn)證數(shù)據(jù)庫來對用戶進(jìn)行認(rèn)證：windows nt用戶數(shù)據(jù)庫、ciscosecure用戶數(shù)據(jù)庫、token卡服務(wù)器數(shù)據(jù)庫、以及novell目錄服務(wù)(nds)數(shù)據(jù)庫。網(wǎng)絡(luò)訪問服務(wù)器nas將所有拔入用戶的訪問請求指向ciscosecure acs，以得到認(rèn)證和授權(quán)。通過采用tacacs和radius認(rèn)證協(xié)議，nas將認(rèn)證請求發(fā)送到ciscosecure服務(wù)器，ciscosecure服務(wù)器經(jīng)過對用戶名和

40、口令的驗證，便向nas返回一個成功或失敗的響應(yīng)，允許或拒絕用戶的訪問。當(dāng)用戶已經(jīng)被成功認(rèn)證，ciscosecure acs就發(fā)送一系列的授權(quán)屬性給nas，記帳功能也隨之生效。ciscosecure acs 2.1 for windows nt的主要特性如下： 基于html/java的圖形化用戶界面 功能強(qiáng)大的實時聯(lián)機(jī)幫助系統(tǒng) 遠(yuǎn)程管理功能 集中式日志 認(rèn)證轉(zhuǎn)發(fā)功能；組映射功能 可同時支持tacacs+和radius 在vpn(l2f)隧道的起始點和終止點支持vpdn 口令支持包括：chap、pap、arap 數(shù)據(jù)庫復(fù)制功能 2000年兼容 ppp鏈路確認(rèn)ppp鏈路確認(rèn)使用pap(

41、密碼認(rèn)證協(xié)議)或詢問握手授權(quán)協(xié)議（chap）技術(shù)，進(jìn)行ppp鏈路確認(rèn)，詢問握手授權(quán)協(xié)議（chap）技術(shù)有如下特點： 每位遠(yuǎn)程用戶都有機(jī)密的口令 在鏈路上發(fā)送詢問信息（隨機(jī)數(shù)字） 可以定期重復(fù)詢問避免會話截獲 詢問和機(jī)密相結(jié)合，提供授權(quán) 可以避免探測/重復(fù)攻擊 身份認(rèn)證身份認(rèn)證是由cisco secure認(rèn)證服務(wù)器來完成的。ciscosecure服務(wù)器的主要功能是用戶認(rèn)證-authentication，aaa事務(wù)處理中的第一個 a。整個認(rèn)證過程的步驟如下：當(dāng)遠(yuǎn)程用戶利用ppp點對點協(xié)議，通過調(diào)制解調(diào)器、isdn終端適配器、或網(wǎng)橋/路由器向由認(rèn)證服務(wù)器管理的網(wǎng)絡(luò)發(fā)出訪問對話請求時，通

42、常是一個遠(yuǎn)程訪問服務(wù)器ras (例如cisco2511)予以應(yīng)答。ras在利用pap或chap得到用戶名稱和口令之后，首先進(jìn)行認(rèn)證。如果在其本身的數(shù)據(jù)庫中沒有相應(yīng)的認(rèn)證信息，它就會向ciscosecure認(rèn)證服務(wù)器發(fā)出認(rèn)證請求。如果ciscosecure服務(wù)器認(rèn)證該用戶成功，就將確認(rèn)信息連同認(rèn)證數(shù)據(jù)庫中儲存的用戶資料反饋給ras，并由ras按照所給出的特征與該用戶連接，允許其訪問到用戶名的企業(yè)網(wǎng)。反之,如果ciscosecure服務(wù)器認(rèn)證該用戶失敗，ras就會收到一個拒絕響應(yīng)，中止用戶的連接請求。它會傳送一個中斷原因,使得它能顯示在用戶的終端上。 授權(quán)服務(wù)cisco secure

43、提供的授權(quán)（authorization）機(jī)制，可以多層次地控制用戶的權(quán)限，可按照不同的用戶組給予不同的權(quán)限。cisco secure的授權(quán)機(jī)制還可提供自動命令。自動命令模式可將用戶的認(rèn)證信息生成配置文件，可以限制用戶只能訪問某些特定主機(jī)，其它主機(jī)不能訪問。 記帳記帳功能一般用于跟蹤用戶網(wǎng)絡(luò)地址、用戶名、嘗試的服務(wù)、開始/結(jié)束的時間和日期。通過cisco secure可提供的記帳（accounting）功能，可以為管理者提供用戶的安全審計，及用戶的費(fèi)用信息?？梢酝ㄖW(wǎng)管工作站，用戶的注冊的時間長短，包的數(shù)量、大小，封裝協(xié)議（ppp）等信息，為以后開發(fā)計費(fèi)管理軟件提供了條件。6.7.

44、6 鏈路層加密工程設(shè)計在鏈路傳輸層，由于采用公用信道，使得傳輸信道本身存在安全隱患。非法入侵者可以通過搭線等方式，很容易地竊取到網(wǎng)絡(luò)中的信息；另外，開放性的tcp/ip協(xié)議使非法入侵者很容易進(jìn)行協(xié)議的分析、篡改和假冒。非法入侵者一旦在鏈路層竊取到數(shù)據(jù)信息，就可很容易地分析出其中的有效內(nèi)容，并且，可很容易地模仿tcp/ip協(xié)議，對信息進(jìn)行篡改和假冒。經(jīng)過認(rèn)真調(diào)研和分析比較，在本次詳細(xì)工程設(shè)計中，我們決定采用四川省順風(fēng)通信有限責(zé)任公司研制的網(wǎng)絡(luò)安全保密設(shè)備，來保障網(wǎng)鏈路層信息傳輸?shù)陌踩?四川順風(fēng)通信公司及安全保密產(chǎn)品介紹四川省順風(fēng)通信有限責(zé)任公司是經(jīng)國家密碼管理委員會批準(zhǔn)，并在國家

45、密碼管理委員會直接管理下，專門從事信息安全研究，商用密碼產(chǎn)品研制和生產(chǎn)，網(wǎng)絡(luò)安全系統(tǒng)集成的專業(yè)化公司。順風(fēng)公司推出的各安全系統(tǒng)或網(wǎng)絡(luò)安全設(shè)備，均通過國家密碼管理委員會等有關(guān)主管部門的審查和批準(zhǔn)；順風(fēng)公司已取得國家密碼管理委員會的研制商用安全保密產(chǎn)品的認(rèn)證資格。 順風(fēng)公司推出的主要網(wǎng)絡(luò)安全保密設(shè)備如下：sjw01/fr幀中繼協(xié)議加密機(jī)介紹mmw 系列fr幀中繼加密機(jī)采用高性能的摩托羅拉系列微處理器(mc683xx)作為主處理芯片，使用mmw專有的操作系統(tǒng)。密碼算法采用與通信模塊相對獨(dú)立的硬件實現(xiàn)，密鑰長度128比特。具有極高的通信效率和加/解密吞吐率。全面支持幀中繼協(xié)議（fr nni/uni），

46、同時支持4096個pvc或svc連接；可提供300bps 2048kbps的通信及加/解密吞吐率。其中fr/b和fr/c采用模塊化結(jié)構(gòu)，可同時提供多路速率高達(dá)2048kbps的fr加密通道。fr幀中繼加密機(jī)還具有過濾、身份鑒別、地址轉(zhuǎn)換、計費(fèi)等功能。sjw01/x.25協(xié)議加密機(jī)介紹mmw 系列x.25協(xié)議加密機(jī)采用高性能的摩托羅拉系列微處理器(mc683xx)作為主處理芯片，使用mmw專有的操作系統(tǒng)，全面支持x.25協(xié)議，可提供2400bps 2048kbps的通信及加/解密吞吐率。其中x.25/c和x.25/d采用模塊化結(jié)構(gòu)，可同時提供多路速率高達(dá)2048kbps的x.25加密通道。密碼算

47、法采用與通信模塊相對獨(dú)立的硬件實現(xiàn)，具有極高的通信效率和加/解密吞吐率。其中x.25/a和x.25/b為固定結(jié)構(gòu)設(shè)計；x.25/c和x.25/d為模塊化結(jié)構(gòu)設(shè)計，可配置多種模塊以增強(qiáng)性能。x.25協(xié)議加密機(jī)支持安全、完善的自動密鑰管理，還具有分組過濾、身份鑒別、地址轉(zhuǎn)換、計費(fèi)等功能。sjl03異步數(shù)據(jù)加密機(jī)介紹mmw 系列sjl03/sjl03-m異步數(shù)據(jù)加密機(jī)采用高性能的intel十六位微處理器作為主處理芯片，可對計算機(jī)通信提供信息安全保密，具有極高的通信效率和加/解密吞吐率。對at命令及通信協(xié)議透明，并具有身份鑒別功能，支持完善、安全的自動密鑰管理。其中，sjl03-m集數(shù)據(jù)安全和mode

48、m為一體。sjl03-ii同步數(shù)據(jù)加密機(jī)介紹mmw 系列sjl03-ii同步數(shù)據(jù)加密機(jī)采用高性能的intel十六位微處理器作為主處理芯片，具有極高的通信效率和加/解密吞吐率。支持多種同步傳送協(xié)議，在鏈路層提供網(wǎng)絡(luò)安全功能，并具有身份鑒別功能，支持完善、安全的自動密鑰管理。尤其適合在ddn網(wǎng)絡(luò)，或?qū)Ｓ镁€電話交換網(wǎng)絡(luò)中使用。mmw“安全管理中心”系統(tǒng)介紹mmw“安全管理中心”系統(tǒng)包括一塊密鑰產(chǎn)生器插卡和一套管理中心軟件，具有密鑰產(chǎn)生、更換，設(shè)置加密地址表等功能。用戶可根據(jù)網(wǎng)絡(luò)的實際運(yùn)行要求，方便地對全網(wǎng)的mmw設(shè)備進(jìn)行統(tǒng)一集中的管理。 鏈路層安全保密系統(tǒng)設(shè)計原則1. 設(shè)計中所采用的所

49、有安全保密設(shè)備，所有的操作手段和方法，均符合國家的有關(guān)法律和法規(guī)；2. 在充分保證網(wǎng)絡(luò)安全性的前提下，盡量減少安全保密設(shè)備對原系統(tǒng)效率、可靠性等方面的影響；3. 提供安全、完善和方便的安全管理手段和方法；4. 最大程度地發(fā)揮安全保密設(shè)備的性能，最大程度地減少安全保密設(shè)備的配置數(shù)量和費(fèi)用；5. 安全保密系統(tǒng)具有較好的網(wǎng)絡(luò)兼容性和可擴(kuò)展性，總體設(shè)計具有一定的預(yù)見性。6. 安全系統(tǒng)本身應(yīng)具有極高的運(yùn)行穩(wěn)定性，應(yīng)充分考慮系統(tǒng)備份問題。 鏈路層安全保密系統(tǒng)設(shè)計鏈路安全結(jié)構(gòu)示意圖如下：在總部與分部的接入口之間，配置兩臺sjw01/fr/c型幀中繼協(xié)議加密機(jī)(其中一臺作為備份)，以2mhz的速

50、率接入骨干網(wǎng)。在各分中心與骨干網(wǎng)的接入口之間，各配置兩臺sjw01/fc/a型幀中繼協(xié)議加密機(jī)，其中一臺作為備份。 一級密鑰管理中心直接掛接于總部的sjw01/fr/c上，對一級網(wǎng)內(nèi)所有的sjw01/fr系列的幀中繼協(xié)議加密機(jī)進(jìn)行統(tǒng)一、集中的密鑰管理。sjw01/fr系列幀中繼協(xié)議加密機(jī)可同時支持4096個pvc的加解密處理，對于不同的pvc采用不同的密鑰進(jìn)行加解密運(yùn)算。總部的sjw01/fr/c擁有全網(wǎng)的密鑰，各分部的sjw01/fr/a僅擁有自己的密鑰。總部的sjw01/fr/c根據(jù)通信時的pvc號來選擇對應(yīng)的密鑰進(jìn)行加解密處理。這樣，可有效地進(jìn)行用戶的分割，保證信息的合理流向。6.7.6

51、.4 系統(tǒng)設(shè)計特點1. 提供了很好的網(wǎng)絡(luò)兼容性和可擴(kuò)展性。方案中設(shè)計采用sjw01系列x25協(xié)議加密機(jī)、幀中繼協(xié)議加密機(jī)具有相同的硬件結(jié)構(gòu)，兩種協(xié)議的轉(zhuǎn)換僅需要加載不同的系統(tǒng)操作軟件即可完成。例如：在x.25網(wǎng)絡(luò)，需要使用sjw01/x.25協(xié)議加密機(jī)，如果網(wǎng)絡(luò)發(fā)生變化，成為幀中繼網(wǎng)絡(luò)，僅需要將sjw01/x.25協(xié)議加密機(jī)的系統(tǒng)軟件進(jìn)行更新，即成為sjw01/fr幀中繼協(xié)議加密機(jī)。2. mmw系列產(chǎn)品均采用凈荷加密技術(shù)，使得所有的加密信息可在普通網(wǎng)絡(luò)中進(jìn)行正常的交換和路由。用戶不會因使用保密設(shè)備而影響與其它通信網(wǎng)的互聯(lián)(如郵電部的公用通信網(wǎng))。3. mmw系列產(chǎn)品所有的密碼運(yùn)算也基于硬件完成

52、，使得設(shè)備本身的安全性有較高的保證。4. 本方案所涉及的密鑰管理中心，均提供的圖形化、菜單式的密鑰管理，也為系統(tǒng)高效、安全地運(yùn)行提供了有力的保障。同時，mmw的系列安全產(chǎn)品，支持統(tǒng)一的密鑰管理命令和接口，不同類型的設(shè)備可采用相同平臺的密鑰管理中心。6.7.7 安全檢測和預(yù)警系統(tǒng)設(shè)計安全檢測和預(yù)警系統(tǒng)是網(wǎng)絡(luò)級安全系統(tǒng)的一個重要組成部分。安全檢測和預(yù)警系統(tǒng)能夠監(jiān)視網(wǎng)絡(luò)上的通信數(shù)據(jù)流，捕捉可疑的網(wǎng)絡(luò)活動，及時發(fā)現(xiàn)網(wǎng)絡(luò)上存在的安全問題，并能夠進(jìn)行實時的響應(yīng)和報警，此外還能夠提供詳盡的網(wǎng)絡(luò)安全審計分析報告，供系統(tǒng)管理員修補(bǔ)網(wǎng)絡(luò)安全漏洞。站在技術(shù)前瞻性的角度，intranet與internet連接時，我們

53、可以在internet接口設(shè)置一臺安全檢測預(yù)警服務(wù)器，用來對由internet進(jìn)入內(nèi)部網(wǎng)絡(luò)的網(wǎng)絡(luò)信息流進(jìn)行安全檢測和預(yù)警。網(wǎng)絡(luò)安全預(yù)警系統(tǒng)負(fù)責(zé)： 監(jiān)視網(wǎng)絡(luò)上的通信數(shù)據(jù)流 捕捉可疑的網(wǎng)絡(luò)活動 發(fā)現(xiàn)網(wǎng)絡(luò)上存在的安全問題 進(jìn)行實時響應(yīng)和報警 提供詳盡的網(wǎng)絡(luò)安全審計分析報告。 內(nèi)外部攻擊檢測的需求 安全監(jiān)測預(yù)警系統(tǒng)必須能夠及時發(fā)現(xiàn)來自網(wǎng)絡(luò)內(nèi)外對網(wǎng)絡(luò)的攻擊行為； 安全監(jiān)測預(yù)警系統(tǒng)必須能夠忠實、詳細(xì)地記錄攻擊發(fā)生的情況； 當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)遭到攻擊時，系統(tǒng)必須能夠向管理員發(fā)出報警消息； 當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)遭到攻擊時，系統(tǒng)必須能夠及時阻斷攻擊的繼續(xù)進(jìn)行。 安全漏洞檢測的需求 安全檢測系統(tǒng)必須能夠

54、對防火墻進(jìn)行安全檢測和分析； 安全檢測系統(tǒng)必須能夠?qū)eb服務(wù)器檢測進(jìn)行安全檢測和分析； 安全檢測系統(tǒng)必須能夠?qū)Σ僮飨到y(tǒng)檢測進(jìn)行安全檢測和分析。 安全檢測軟件選擇：總參safemate根據(jù)國家的有關(guān)安全管理要求，信息安全產(chǎn)品必須立足國內(nèi)，選用國內(nèi)安全產(chǎn)品。我們選擇了總參的safemate安全檢測軟件。該產(chǎn)品的銷售許可證編號為：xkc31002。safemate具有以下特性： 控制臺報警； 記錄網(wǎng)絡(luò)攻擊事件； 實時阻斷網(wǎng)絡(luò)連接； 防火墻檢測； web服務(wù)器檢測； 操作系統(tǒng)檢測。6.8 應(yīng)用級安全在應(yīng)用級安全性部分，我們經(jīng)過詳細(xì)認(rèn)真的調(diào)研，決定采用清華得實網(wǎng)絡(luò)安全技術(shù)公司推出的應(yīng)用層

55、網(wǎng)絡(luò)安全產(chǎn)品webst來實現(xiàn)應(yīng)用級的安全性。具體說來，主要實現(xiàn)如下目標(biāo)： 網(wǎng)絡(luò)中的用戶身份認(rèn)證； 對網(wǎng)絡(luò)中應(yīng)用資源的管理； 對用戶訪問資源的授權(quán)管理； 對用戶訪問的審計和記錄； 數(shù)據(jù)的存儲安全和傳輸安全。6.8.1 webst特性介紹webst安全服務(wù)器軟件包，已獲得公安部的技術(shù)認(rèn)證，并取得了銷售許可證。其主要特性如下： 基于open group的分布式計算環(huán)境dce技術(shù) 支持公鑰安全體制pki 支持kerberos v5的雙向身份認(rèn)證，支持基于x.509證書的身份認(rèn)證 對tcp端口粗粒度的和對web應(yīng)用細(xì)粒度的訪問控制 高強(qiáng)度的傳輸加密，提供密碼算法接口；支持ssl v2，v3，gssapi。 細(xì)致的審計記錄，支持多種審計記錄格式，包括dce格式、webst格式和http格式 對安全域內(nèi)的所有用戶、資源和授權(quán)進(jìn)行統(tǒng)一管理 為第三方應(yīng)用提供安全服務(wù)，支持多種平臺 支持多種應(yīng)用模式，包括瀏覽器/web服務(wù)器方式和傳統(tǒng)的客戶端/服務(wù)器方式, 對應(yīng)用透明 實現(xiàn)了多種平臺上的dce客戶端服務(wù)，特別是安全服務(wù)。6.8.2 webst的管理特性綜述1、）webst 對tcp端口的統(tǒng)一管理使用webst的n