企業(yè)網(wǎng)絡(luò)安全設(shè)計方案

1、大連理工大學(xué)網(wǎng)絡(luò)高等教育畢業(yè)大作業(yè)模板 網(wǎng)絡(luò)高等教育專 科 生 畢 業(yè) 大 作 業(yè) 題 目：企業(yè)網(wǎng)絡(luò)安全設(shè)計方案 學(xué)習(xí)中心：江蘇淮安淮陰奧鵬學(xué)習(xí)中心 層 次： 高中起點專科 專 業(yè)： 計算機網(wǎng)絡(luò) 年 級： 2008年秋季 學(xué) 號： 081255200028 學(xué) 生： 華明杰 指導(dǎo)教師： 單世磊 完成日期： 2011年 3月20日 III企業(yè)網(wǎng)絡(luò)安全設(shè)計方案內(nèi)容摘要隨著計算機網(wǎng)絡(luò)的不斷普及和應(yīng)用的不斷深入，每個企業(yè)都在組建自有的計算機網(wǎng)絡(luò)，網(wǎng)絡(luò)安全的重要性隨之凸顯，在企業(yè)計算機網(wǎng)絡(luò)應(yīng)用得以實現(xiàn)的同時，必須保證網(wǎng)絡(luò)應(yīng)用的安全。本文就目前普遍存在的計算機網(wǎng)絡(luò)安全問題，重點對企業(yè)計算機網(wǎng)路安全規(guī)劃及設(shè)

2、計方案進(jìn)行闡述關(guān)鍵詞：網(wǎng)絡(luò)安全；設(shè)計；方案目 錄內(nèi)容摘要I引 言1第一章 網(wǎng)絡(luò)威脅、風(fēng)險分析21.1內(nèi)部竊密和破壞21.2 搭線（網(wǎng)絡(luò)）竊聽21.3 假冒21.4 完整性破壞21.5 其它網(wǎng)絡(luò)的攻擊31.6 管理及操作人員缺乏安全知識31.7 雷擊3第二章 安全系統(tǒng)建設(shè)原則42.1 系統(tǒng)性原則42.2 技術(shù)先進(jìn)性原則42.3 管理可控性原則42.4 適度安全性原則42.5 技術(shù)與管理相結(jié)合原則42.6 測評認(rèn)證原則52.7 系統(tǒng)可伸縮性原則5第三章 網(wǎng)絡(luò)安全總體設(shè)計63.1 安全設(shè)計總體考慮63.2 網(wǎng)絡(luò)安全73.2.1 網(wǎng)絡(luò)傳輸73.2.2 訪問控制93.2.3 入侵檢測103.2.4 漏洞

3、掃描113.3 應(yīng)用系統(tǒng)安全113.3.1 系統(tǒng)平臺安全113.3.2 應(yīng)用平臺安全113.3.3 病毒防護123.3.4 數(shù)據(jù)備份143.3.5 安全審計153.3.6 認(rèn)證、鑒別、數(shù)字簽名、抗抵賴153.4 物理安全153.4.1 兩套網(wǎng)絡(luò)的相互轉(zhuǎn)換153.4.2 防電磁輻射163.4.3 網(wǎng)絡(luò)防雷163.4.4 重要信息點的物理保護173.5 安全管理173.6 安全特性17參考文獻(xiàn)18引 言計算機網(wǎng)絡(luò)安全問題，對網(wǎng)絡(luò)存在威脅、風(fēng)險進(jìn)行分析，闡述網(wǎng)絡(luò)安全系統(tǒng)建設(shè)的原則，網(wǎng)絡(luò)安全總體設(shè)計方案，重點說明網(wǎng)絡(luò)安全的技術(shù)實現(xiàn)和應(yīng)用系統(tǒng)的安全防范。并對計算機網(wǎng)絡(luò)的物理安全、安全管理、安全特性進(jìn)行說

4、明。第一章 網(wǎng)絡(luò)威脅、風(fēng)險分析針對企業(yè)現(xiàn)階段網(wǎng)絡(luò)系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)和業(yè)務(wù)流程，結(jié)合企業(yè)今后進(jìn)行的網(wǎng)絡(luò)化應(yīng)用范圍的拓展考慮，企業(yè)網(wǎng)主要的安全威脅和安全漏洞包括以下幾方面：1.1內(nèi)部竊密和破壞由于企業(yè)網(wǎng)絡(luò)上同時接入了其它部門的網(wǎng)絡(luò)系統(tǒng)，因此容易出現(xiàn)其它部門不懷好意的人員（或外部非法人員利用其它部門的計算機）通過網(wǎng)絡(luò)進(jìn)入內(nèi)部網(wǎng)絡(luò)，并進(jìn)一步竊取和破壞其中的重要信息（如領(lǐng)導(dǎo)的網(wǎng)絡(luò)帳號和口令、重要文件等），因此這種風(fēng)險是必須采取措施進(jìn)行防范的。1.2 搭線（網(wǎng)絡(luò)）竊聽這種威脅是網(wǎng)絡(luò)最容易發(fā)生的。攻擊者可以采用如Sniffer等網(wǎng)絡(luò)協(xié)議分析工具，在INTERNET網(wǎng)絡(luò)安全的薄弱處進(jìn)入INTERNET，并非常容易

5、地在信息傳輸過程中獲取所有信息（尤其是敏感信息）的內(nèi)容。對企業(yè)網(wǎng)絡(luò)系統(tǒng)來講，由于存在跨越INTERNET的內(nèi)部通信（與上級、下級）這種威脅等級是相當(dāng)高的，因此也是本方案考慮的重點。1.3 假冒這種威脅既可能來自企業(yè)網(wǎng)內(nèi)部用戶，也可能來自INTERNET內(nèi)的其它用戶。如系統(tǒng)內(nèi)部攻擊者偽裝成系統(tǒng)內(nèi)部的其他正確用戶。攻擊者可能通過冒充合法系統(tǒng)用戶，誘騙其他用戶或系統(tǒng)管理員，從而獲得用戶名/口令等敏感信息，進(jìn)一步竊取用戶網(wǎng)絡(luò)內(nèi)的重要信息。或者內(nèi)部用戶通過假冒的方式獲取其不能閱讀的秘密信息。1.4 完整性破壞這種威脅主要指信息在傳輸過程中或者存儲期間被篡改或修改，使得信息/數(shù)據(jù)失去了原有的真實性，從而變

6、得不可用或造成廣泛的負(fù)面影響。由于企業(yè)網(wǎng)內(nèi)有許多重要信息，因此那些不懷好意的用戶和非法用戶就會通過網(wǎng)絡(luò)對沒有采取安全措施的服務(wù)器上的重要文件進(jìn)行修改或傳達(dá)一些虛假信息，從而影響工作的正常進(jìn)行。1.5 其它網(wǎng)絡(luò)的攻擊企業(yè)網(wǎng)絡(luò)系統(tǒng)是接入到INTERNET上的，這樣就有可能會遭到INTERNET上黑客、惡意用戶等的網(wǎng)絡(luò)攻擊，如試圖進(jìn)入網(wǎng)絡(luò)系統(tǒng)、竊取敏感信息、破壞系統(tǒng)數(shù)據(jù)、設(shè)置惡意代碼、使系統(tǒng)服務(wù)嚴(yán)重降低或癱瘓等。因此這也是需要采取相應(yīng)的安全措施進(jìn)行防范。1.6 管理及操作人員缺乏安全知識由于信息和網(wǎng)絡(luò)技術(shù)發(fā)展迅猛，信息的應(yīng)用和安全技術(shù)相對滯后，用戶在引入和采用安全設(shè)備和系統(tǒng)時，缺乏全面和深入的培訓(xùn)和

7、學(xué)習(xí)，對信息安全的重要性與技術(shù)認(rèn)識不足，很容易使安全設(shè)備/系統(tǒng)成為擺設(shè)，不能使其發(fā)揮正確的作用。如本來對某些通信和操作需要限制，為了方便設(shè)置成全開放狀態(tài)等等，從而出現(xiàn)網(wǎng)絡(luò)漏洞。由于網(wǎng)絡(luò)安全產(chǎn)品的技術(shù)含量大，因此，對操作管理人員的培訓(xùn)顯得尤為重要。這樣，使安全設(shè)備能夠盡量發(fā)揮其作用，避免使用上的漏洞。1.7 雷擊 由于網(wǎng)絡(luò)系統(tǒng)中涉及很多的網(wǎng)絡(luò)設(shè)備、終端、線路等，而這些都是通過通信電纜進(jìn)行傳輸，因此極易受到雷擊，造成連鎖反應(yīng)，使整個網(wǎng)絡(luò)癱瘓，設(shè)備損壞，造成嚴(yán)重后果。因此，為避免遭受感應(yīng)雷擊的危害和靜電干擾、電磁輻射干擾等引起的瞬間電壓浪涌電壓的損壞，有必要對整個網(wǎng)絡(luò)系統(tǒng)采取相應(yīng)的防雷措施。第二章

8、安全系統(tǒng)建設(shè)原則企業(yè)網(wǎng)絡(luò)系統(tǒng)安全建設(shè)原則為：2.1 系統(tǒng)性原則企業(yè)網(wǎng)絡(luò)系統(tǒng)整個安全系統(tǒng)的建設(shè)要有系統(tǒng)性和適應(yīng)性，不因網(wǎng)絡(luò)和應(yīng)用技術(shù)的發(fā)展、信息系統(tǒng)攻防技術(shù)的深化和演變、系統(tǒng)升級和配置的變化，而導(dǎo)致在系統(tǒng)的整個生命期內(nèi)的安全保護能力和抗御風(fēng)險的能力降低。2.2 技術(shù)先進(jìn)性原則企業(yè)網(wǎng)絡(luò)系統(tǒng)整個安全系統(tǒng)的設(shè)計采用先進(jìn)的安全體系進(jìn)行結(jié)構(gòu)性設(shè)計，選用先進(jìn)、成熟的安全技術(shù)和設(shè)備，實施中采用先進(jìn)可靠的工藝和技術(shù)，提高系統(tǒng)運行的可靠性和穩(wěn)定性。2.3 管理可控性原則系統(tǒng)的所有安全設(shè)備（管理、維護和配置）都應(yīng)自主可控；系統(tǒng)安全設(shè)備的采購必須有嚴(yán)格的手續(xù)；安全設(shè)備必須有相應(yīng)機構(gòu)的認(rèn)證或許可標(biāo)記；安全設(shè)備供應(yīng)商應(yīng)具

9、備相應(yīng)資質(zhì)并可信。安全系統(tǒng)實施方案的設(shè)計和施工單位應(yīng)具備相應(yīng)資質(zhì)并可信。2.4 適度安全性原則系統(tǒng)安全方案應(yīng)充分考慮保護對象的價值與保護成本之間的平衡性，在允許的風(fēng)險范圍內(nèi)盡量減少安全服務(wù)的規(guī)模和復(fù)雜性，使之具有可操作性，避免超出用戶所能理解的范圍，變得很難執(zhí)行或無法執(zhí)行。2.5 技術(shù)與管理相結(jié)合原則企業(yè)網(wǎng)絡(luò)系統(tǒng)安全建設(shè)是一個復(fù)雜的系統(tǒng)工程，它包括產(chǎn)品、過程和人的因素，因此它的安全解決方案，必須在考慮技術(shù)解決方案的同時充分考慮管理、法律、法規(guī)方面的制約和調(diào)控作用。單靠技術(shù)或單靠管理都不可能真正解決安全問題的，必須堅持技術(shù)和管理相結(jié)合的原則。2.6 測評認(rèn)證原則企業(yè)網(wǎng)絡(luò)系統(tǒng)作為重要的政務(wù)系統(tǒng)，其

10、系統(tǒng)的安全方案和工程設(shè)計必須通過國家有關(guān)部門的評審，采用的安全產(chǎn)品和保密設(shè)備需經(jīng)過國家主管理部門的認(rèn)可。2.7 系統(tǒng)可伸縮性原則企業(yè)網(wǎng)絡(luò)系統(tǒng)將隨著網(wǎng)絡(luò)和應(yīng)用技術(shù)的發(fā)展而發(fā)生變化，同時信息安全技術(shù)也在發(fā)展，因此安全系統(tǒng)的建設(shè)必須考慮系統(tǒng)可升級性和可伸縮性。重要和關(guān)鍵的安全設(shè)備不因網(wǎng)絡(luò)變化或更換而廢棄。第三章 網(wǎng)絡(luò)安全總體設(shè)計一個網(wǎng)絡(luò)系統(tǒng)的安全建設(shè)通常包括許多方面，包括物理安全、數(shù)據(jù)安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、安全管理等，而一個安全系統(tǒng)的安全等級，又是按照木桶原理來實現(xiàn)的。根據(jù)企業(yè)各級內(nèi)部網(wǎng)絡(luò)機構(gòu)、廣域網(wǎng)結(jié)構(gòu)、和三級網(wǎng)絡(luò)管理、應(yīng)用業(yè)務(wù)系統(tǒng)的特點，本方案主要從以下幾個方面進(jìn)行安全設(shè)計：l 網(wǎng)絡(luò)系統(tǒng)安全

11、；l 應(yīng)用系統(tǒng)安全；l 物理安全；l 安全管理。3.1 安全設(shè)計總體考慮根據(jù)企業(yè)網(wǎng)絡(luò)現(xiàn)狀及發(fā)展趨勢，主要安全措施從以下幾個方面進(jìn)行考慮：l 網(wǎng)絡(luò)傳輸保護主要是數(shù)據(jù)加密保護l 主要網(wǎng)絡(luò)安全隔離通用措施是采用防火墻l 網(wǎng)絡(luò)病毒防護采用網(wǎng)絡(luò)防病毒系統(tǒng)l 廣域網(wǎng)接入部分的入侵檢測采用入侵檢測系統(tǒng)l 系統(tǒng)漏洞分析采用漏洞分析設(shè)備l 定期安全審計主要包括兩部分：內(nèi)容審計和網(wǎng)絡(luò)通信審計l 重要數(shù)據(jù)的備份l 重要信息點的防電磁泄露l 網(wǎng)絡(luò)安全結(jié)構(gòu)的可伸縮性包括安全設(shè)備的可伸縮性，即能根據(jù)用戶的需要隨時進(jìn)行規(guī)模、功能擴展l 網(wǎng)絡(luò)防雷3.2 網(wǎng)絡(luò)安全 作為企業(yè)應(yīng)用業(yè)務(wù)系統(tǒng)的承載平臺，網(wǎng)絡(luò)系統(tǒng)的安全顯得尤為重要。由

12、于許多重要的信息都通過網(wǎng)絡(luò)進(jìn)行交換，3.2.1 網(wǎng)絡(luò)傳輸由于企業(yè)中心內(nèi)部網(wǎng)絡(luò)存在兩套網(wǎng)絡(luò)系統(tǒng)，其中一套為企業(yè)內(nèi)部網(wǎng)絡(luò)，主要運行的是內(nèi)部辦公、業(yè)務(wù)系統(tǒng)等；另一套是與INTERNET相連，通過ADSL接入，并與企業(yè)系統(tǒng)內(nèi)部的上、下級機構(gòu)網(wǎng)絡(luò)相連。通過公共線路建立跨越INTERNET的企業(yè)集團內(nèi)部局域網(wǎng)，并通過網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)交換、信息共享。而INTERNET本身就缺乏有效的安全保護，如果不采取相應(yīng)的安全措施，易受到來自網(wǎng)絡(luò)上任意主機的監(jiān)聽而造成重要信息的泄密或非法篡改，產(chǎn)生嚴(yán)重的后果。由于現(xiàn)在越來越多的政府、金融機構(gòu)、企業(yè)等用戶采用VPN技術(shù)來構(gòu)建它們的跨越公共網(wǎng)絡(luò)的內(nèi)聯(lián)網(wǎng)系統(tǒng)，因此在本解決方案中對網(wǎng)

13、絡(luò)傳輸安全部分推薦采用VPN設(shè)備來構(gòu)建內(nèi)聯(lián)網(wǎng)。可在每級管理域內(nèi)設(shè)置一套VPN設(shè)備，由VPN設(shè)備實現(xiàn)網(wǎng)絡(luò)傳輸?shù)募用鼙Ｗo。根據(jù)企業(yè)三級網(wǎng)絡(luò)結(jié)構(gòu)，VPN設(shè)置如下圖所示：圖3-1三級 VPN設(shè)置拓?fù)鋱D每一級的設(shè)置及管理方法相同。即在每一級的中心網(wǎng)絡(luò)安裝一臺VPN設(shè)備和一臺VPN認(rèn)證服務(wù)器（VPN-CA），在所屬的直屬單位的網(wǎng)絡(luò)接入處安裝一臺VPN設(shè)備，由上級的VPN認(rèn)證服務(wù)器通過網(wǎng)絡(luò)對下一級的VPN設(shè)備進(jìn)行集中統(tǒng)一的網(wǎng)絡(luò)化管理。可達(dá)到以下幾個目的：l 網(wǎng)絡(luò)傳輸數(shù)據(jù)保護；由安裝在網(wǎng)絡(luò)上的VPN設(shè)備實現(xiàn)各內(nèi)部網(wǎng)絡(luò)之間的數(shù)據(jù)傳輸加密保護，并可同時采取加密或隧道的方式進(jìn)行傳輸l 網(wǎng)絡(luò)隔離保護；與INTERNE

14、T進(jìn)行隔離，控制內(nèi)網(wǎng)與INTERNET的相互訪問l 集中統(tǒng)一管理，提高網(wǎng)絡(luò)安全性；l 降低成本（設(shè)備成本和維護成本）；其中，在各級中心網(wǎng)絡(luò)的VPN設(shè)備設(shè)置如下圖：圖3-2 中心網(wǎng)絡(luò)VPN設(shè)置圖由一臺VPN管理機對CA、中心VPN設(shè)備、分支機構(gòu)VPN設(shè)備進(jìn)行統(tǒng)一網(wǎng)絡(luò)管理。將對外服務(wù)器放置于VPN設(shè)備的DMZ口與內(nèi)部網(wǎng)絡(luò)進(jìn)行隔離，禁止外網(wǎng)直接訪問內(nèi)網(wǎng)，控制內(nèi)網(wǎng)的對外訪問、記錄日志。這樣即使服務(wù)器被攻破，內(nèi)部網(wǎng)絡(luò)仍然安全。下級單位的VPN設(shè)備放置如下圖所示：圖3-3 下級單位VPN設(shè)置圖從圖4-3可知，下屬機構(gòu)的VPN設(shè)備放置于內(nèi)部網(wǎng)絡(luò)與路由器之間，其配置、管理由上級機構(gòu)通過網(wǎng)絡(luò)實現(xiàn)，下屬機構(gòu)不需要

15、做任何的管理，僅需要檢查是否通電即可。由于安全設(shè)備屬于特殊的網(wǎng)絡(luò)設(shè)備，其維護、管理需要相應(yīng)的專業(yè)人員，而采取這種管理方式以后，就可以降低下屬機構(gòu)的維護成本和對專業(yè)技術(shù)人員的要求，這對有著龐大下屬、分支機構(gòu)的單位來講將是一筆不小的費用。由于網(wǎng)絡(luò)安全的是一個綜合的系統(tǒng)工程，是由許多因素決定的，而不是僅僅采用高檔的安全產(chǎn)品就能解決，因此對安全設(shè)備的管理就顯得尤為重要。由于一般的安全產(chǎn)品在管理上是各自管理，因而很容易因為某個設(shè)備的設(shè)置不當(dāng)，而使整個網(wǎng)絡(luò)出現(xiàn)重大的安全隱患。而用戶的技術(shù)人員往往不可能都是專業(yè)的，因此，容易出現(xiàn)上述現(xiàn)象；同時，每個維護人員的水平也有差異，容易出現(xiàn)相互配置上的錯誤使網(wǎng)絡(luò)中斷。

16、所以，在安全設(shè)備的選擇上應(yīng)當(dāng)選擇可以進(jìn)行網(wǎng)絡(luò)化集中管理的設(shè)備，這樣，由少量的專業(yè)人員對主要安全設(shè)備進(jìn)行管理、配置，提高整體網(wǎng)絡(luò)的安全性和穩(wěn)定性。3.2.2 訪問控制由于企業(yè)廣域網(wǎng)網(wǎng)絡(luò)部分通過公共網(wǎng)絡(luò)建立，其在網(wǎng)絡(luò)上必定會受到來自INTERNET上許多非法用戶的攻擊和訪問，如試圖進(jìn)入網(wǎng)絡(luò)系統(tǒng)、竊取敏感信息、破壞系統(tǒng)數(shù)據(jù)、設(shè)置惡意代碼、使系統(tǒng)服務(wù)嚴(yán)重降低或癱瘓等，因此，采取相應(yīng)的安全措施是必不可少的。通常，對網(wǎng)絡(luò)的訪問控制最成熟的是采用防火墻技術(shù)來實現(xiàn)的，本方案中選擇帶防火墻功能的VPN設(shè)備來實現(xiàn)網(wǎng)絡(luò)安全隔離，可滿足以下幾個方面的要求：l 控制外部合法用戶對內(nèi)部網(wǎng)絡(luò)的網(wǎng)絡(luò)訪問；l 控制外部合法用戶

17、對服務(wù)器的訪問；l 禁止外部非法用戶對內(nèi)部網(wǎng)絡(luò)的訪問；l 控制內(nèi)部用戶對外部網(wǎng)絡(luò)的網(wǎng)絡(luò)；l 阻止外部用戶對內(nèi)部的網(wǎng)絡(luò)攻擊；l 防止內(nèi)部主機的IP欺騙；l 對外隱藏內(nèi)部IP地址和網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；l 網(wǎng)絡(luò)監(jiān)控；l 網(wǎng)絡(luò)日志審計；詳細(xì)配置拓?fù)鋱D見圖3-1、圖3-2、圖3-3。由于采用防火墻、VPN技術(shù)融為一體的安全設(shè)備，并采取網(wǎng)絡(luò)化的統(tǒng)一管理，因此具有以下幾個方面的優(yōu)點：l 管理、維護簡單、方便；l 安全性高（可有效降低在安全設(shè)備使用上的配置漏洞）；l 硬件成本和維護成本低；l 網(wǎng)絡(luò)運行的穩(wěn)定性更高由于是采用一體化設(shè)備，比之傳統(tǒng)解決方案中采用防火墻和加密機兩個設(shè)備而言，其穩(wěn)定性更高，故障率更低。3.2

18、.3 入侵檢測網(wǎng)絡(luò)安全不可能完全依靠單一產(chǎn)品來實現(xiàn)，網(wǎng)絡(luò)安全是個整體的，必須配相應(yīng)的安全產(chǎn)品。作為必要的補充，入侵檢測系統(tǒng)（IDS）可與安全VPN系統(tǒng)形成互補。入侵檢測系統(tǒng)是根據(jù)已有的、最新的和可預(yù)見的攻擊手段的信息代碼對進(jìn)出網(wǎng)絡(luò)的所有操作行為進(jìn)行實時監(jiān)控、記錄，并按制定的策略實行響應(yīng)（阻斷、報警、發(fā)送E-mail）。從而防止針對網(wǎng)絡(luò)的攻擊與犯罪行為。入侵檢測系統(tǒng)一般包括控制臺和探測器（網(wǎng)絡(luò)引擎）?？刂婆_用作制定及管理所有探測器（網(wǎng)絡(luò)引擎）。探測器（網(wǎng)絡(luò)引擎）用作監(jiān)聽進(jìn)出網(wǎng)絡(luò)的訪問行為，根據(jù)控制臺的指令執(zhí)行相應(yīng)行為。由于探測器采取的是監(jiān)聽而不是過濾數(shù)據(jù)包，因此，入侵檢測系統(tǒng)的應(yīng)用不會對網(wǎng)絡(luò)系統(tǒng)

19、性能造成多大影響。入侵檢測系統(tǒng)的設(shè)置如下圖： 從上圖可知，入侵檢測儀在網(wǎng)絡(luò)接如上與VPN設(shè)備并接使用。入侵檢測儀在使用上是獨立網(wǎng)絡(luò)使用的，網(wǎng)絡(luò)數(shù)據(jù)全部通過VPN設(shè)備，而入侵檢測設(shè)備在網(wǎng)絡(luò)上進(jìn)行疹聽，監(jiān)控網(wǎng)絡(luò)狀況，一旦發(fā)現(xiàn)攻擊行為將通過報警、通知VPN設(shè)備中斷網(wǎng)絡(luò)（即IDS與VPN聯(lián)動功能）等方式進(jìn)行控制（即安全設(shè)備自適應(yīng)機制），最后將攻擊行為進(jìn)行日志記錄以供以后審查。3.2.4 漏洞掃描作為一個完善的通用安全系統(tǒng)，應(yīng)當(dāng)包含完善的安全措施，定期的安全評估及安全分析同樣相當(dāng)重要。由于網(wǎng)絡(luò)安全系統(tǒng)在建立后并不是長期保持很高的安全性，而是隨著時間的推移和技術(shù)的發(fā)展而不斷下降的，同時，在使用過程中會出現(xiàn)

20、新的安全問題，因此，作為安全系統(tǒng)建設(shè)的補充，采取相應(yīng)的措施也是必然。本方案中，采用漏洞掃描設(shè)備對網(wǎng)絡(luò)系統(tǒng)進(jìn)行定期掃描，對存在的系統(tǒng)漏洞、網(wǎng)絡(luò)漏洞、應(yīng)用程序漏洞、操作系統(tǒng)漏洞等進(jìn)行探測、掃描，發(fā)現(xiàn)相應(yīng)的漏洞并告警，自動提出解決措施，或參考意見，提醒網(wǎng)絡(luò)安全管理員作好相應(yīng)調(diào)整。3.3 應(yīng)用系統(tǒng)安全3.3.1 系統(tǒng)平臺安全企業(yè)各級網(wǎng)絡(luò)系統(tǒng)平臺安全主要是指操作系統(tǒng)的安全。由于目前主要的操作系統(tǒng)平臺是建立在國外產(chǎn)品的基礎(chǔ)上，因而存在很大的安全隱患。企業(yè)網(wǎng)絡(luò)系統(tǒng)在主要的應(yīng)用服務(wù)平臺中采用國內(nèi)自主開發(fā)的安全操作系統(tǒng)，針對通用OS的安全問題，對操作系統(tǒng)平臺的登錄方式、文件系統(tǒng)、網(wǎng)絡(luò)傳輸、安全日志審計、加密算法

21、及算法替換的支持和完整性保護等方面進(jìn)行安全改造和性能增強。一般用戶運行在PC機上的NT平臺，在選擇性地用好NT安全機制的同時，應(yīng)加強監(jiān)控管理。3.3.2 應(yīng)用平臺安全企業(yè)網(wǎng)絡(luò)系統(tǒng)的應(yīng)用平臺安全，一方面涉及用戶進(jìn)入系統(tǒng)的身份鑒別與控制，以及使用網(wǎng)絡(luò)資源的權(quán)限管理和訪問控制，對安全相關(guān)操作進(jìn)行的審計等。其中的用戶應(yīng)同時包括各級管理員用戶和各類業(yè)務(wù)用戶。另一方面涉及各種數(shù)據(jù)庫系統(tǒng)、WWW服務(wù)、E-MAIL服務(wù)、FTP和TELNET應(yīng)用中服務(wù)器系統(tǒng)自身的安全以及提供服務(wù)的安全。在選擇這些應(yīng)用系統(tǒng)時，應(yīng)當(dāng)盡量選擇國內(nèi)軟件開發(fā)商進(jìn)行開發(fā)，系統(tǒng)類型也應(yīng)當(dāng)盡量采用國內(nèi)自主開發(fā)的應(yīng)用系統(tǒng)。3.3.3 病毒防護因

22、為病毒在網(wǎng)絡(luò)中存儲、傳播、感染的方式各異且途徑多種多樣，相應(yīng)地企業(yè)在構(gòu)建網(wǎng)絡(luò)防病毒系統(tǒng)時，應(yīng)利用全方位的企業(yè)防毒產(chǎn)品，實施“層層設(shè)防、集中控制、以防為主、防殺結(jié)合”的策略。具體而言，就是針對網(wǎng)絡(luò)中所有可能的病毒攻擊設(shè)置對應(yīng)的防毒軟件，通過全方位、多層次的防毒系統(tǒng)配置，使網(wǎng)絡(luò)沒有薄弱環(huán)節(jié)成為病毒入侵的缺口。本方案中在選擇殺毒軟件時應(yīng)當(dāng)注意幾個方面的要求：具有卓越的病毒防治技術(shù)、程序內(nèi)核安全可靠、對付國產(chǎn)和國外病毒能力超群、全中文產(chǎn)品，系統(tǒng)資源占用低，性能優(yōu)越、可管理性高，易于使用、產(chǎn)品集成度高、高可靠性、可調(diào)配系統(tǒng)資源占用率、便捷的網(wǎng)絡(luò)化自動升級等優(yōu)點。病毒對信息系統(tǒng)的正常工作運行產(chǎn)生很大影響，

23、據(jù)統(tǒng)計，信息系統(tǒng)的60%癱瘓是由于感染病毒引起的。 系統(tǒng)設(shè)計原則為了更好的解決病毒的防范，一般要求病毒防范系統(tǒng)滿足如下要求：l 采用世界最先進(jìn)的防毒產(chǎn)品與網(wǎng)絡(luò)網(wǎng)絡(luò)系統(tǒng)的實際需要相結(jié)合，確保網(wǎng)絡(luò)系統(tǒng)具有最佳的病毒防護能力的情況下綜合成本最少。l 貫徹川大能士“層層設(shè)防，集中控管，以防為主、防治結(jié)合”的企業(yè)防毒策略。在網(wǎng)絡(luò)中所有可能的病毒攻擊點或通道中設(shè)置對應(yīng)的防病毒軟件，通過這種全方位的、多層次的防毒系統(tǒng)配置，使企業(yè)網(wǎng)絡(luò)免遭所有病毒的入侵和危害。l 充分考慮網(wǎng)絡(luò)的系統(tǒng)數(shù)據(jù)、文件的安全可靠性，所選產(chǎn)品與現(xiàn)系統(tǒng)具有良好的一致性和兼容性，以及最低的系統(tǒng)資源占用，保證不對現(xiàn)有系統(tǒng)運行產(chǎn)生不

24、良影響。l 應(yīng)用全球最為先進(jìn)的“實時監(jiān)控”技術(shù)，充分體現(xiàn)趨勢科技“以防為主”的反病毒思想。l 所選用產(chǎn)品具備對多種壓縮格式文件的病毒檢測。l 所選用產(chǎn)品易于安裝、操作簡便、便于管理和維護，具有友好的用戶界面。l 應(yīng)用經(jīng)由ICSA（國際電腦安全協(xié)會）技術(shù)認(rèn)證的掃描引擎，保證對包括各種千面人病毒、變種病毒和黑客程序等具有最佳的病毒偵測率，除對已知病毒具備全面的偵防能力，對未知病毒亦有良好的偵測能力。強調(diào)在網(wǎng)絡(luò)防毒系統(tǒng)內(nèi)，實施統(tǒng)一的防病毒策略、集中的防毒管理和維護，最大限度地減輕使用人員和維護人員的工作量。l 完全自動化的日常維護，便于進(jìn)行病毒碼及掃描引擎的更新。l 提供良好的售后服務(wù)及技術(shù)支持。l

25、 具有良好的可擴充性，充分保護用戶的現(xiàn)有投資，適應(yīng) 網(wǎng)絡(luò)系統(tǒng)的今后發(fā)展需要 產(chǎn)品應(yīng)用根據(jù)企業(yè)網(wǎng)絡(luò)系統(tǒng)的結(jié)構(gòu)和應(yīng)用特點，病毒防御可采取多種措施：l 網(wǎng)關(guān)防毒；l 服務(wù)器防毒；l 客戶端防毒；l 郵件防毒；應(yīng)用拓?fù)淙缦聢D：圖3-4病毒應(yīng)用拓?fù)鋱D在網(wǎng)絡(luò)骨干接入處，安裝防毒墻（即安裝有網(wǎng)關(guān)殺毒軟件的獨立網(wǎng)關(guān)設(shè)備），由防毒墻實現(xiàn)網(wǎng)絡(luò)接入處的病毒防護。由于是安裝在網(wǎng)絡(luò)接入處，因此，對主要網(wǎng)絡(luò)協(xié)議進(jìn)行殺毒處理（SMTP、FTP、HTTP）。在服務(wù)器上安裝單獨的服務(wù)器殺毒產(chǎn)品，對服務(wù)器進(jìn)行病毒保護。由于內(nèi)部存在幾十個網(wǎng)絡(luò)客戶端，如采用普通殺毒軟件會造成升級麻煩、使用不便等問題?？稍诜?wù)器上安裝客

26、戶端防病毒產(chǎn)品（客戶端殺毒軟件的工作模式是服務(wù)器端、客戶端的方式）的服務(wù)器端，由客戶端通過網(wǎng)絡(luò)與服務(wù)器端連接后進(jìn)行網(wǎng)絡(luò)化安裝。對產(chǎn)品升級，可通過在服務(wù)器端進(jìn)行設(shè)置，自動通過INETRNET進(jìn)行升級，再由客戶端到服務(wù)器端進(jìn)行升級，大大簡化升級過程，并且整個升級是自動完成，不需要人工操作。對郵件系統(tǒng)，可采取安裝專用郵件殺毒產(chǎn)品，通過在郵件服務(wù)器上安裝郵件殺毒程序，實現(xiàn)對內(nèi)部郵件的殺毒，保證郵件在收、發(fā)時都是經(jīng)過檢查的，確保郵件無毒。通過這種方法，可以達(dá)到層層設(shè)防的作用，最終實現(xiàn)病毒防護。3.3.4 數(shù)據(jù)備份作為國家機關(guān)，企業(yè)內(nèi)部存在大量的數(shù)據(jù)，而這里面又有許多重要的、機密的信息。而整個數(shù)據(jù)的安全保

27、護就顯得特別重要，對數(shù)據(jù)進(jìn)行定期備份是必不可少的安全措施。在采取數(shù)據(jù)備份時應(yīng)該注意以下幾點：l 存儲介質(zhì)安全在選擇存儲介質(zhì)上應(yīng)選擇保存時間長，對環(huán)境要求低的存儲產(chǎn)品，并采取多種存儲介質(zhì)備份。如同時采用硬盤、光盤備份的方式。l 數(shù)據(jù)安全即數(shù)據(jù)在備份前是真實數(shù)據(jù)，沒有經(jīng)過篡改或含有病毒。l 備份過程安全確保數(shù)據(jù)在備份時是沒有受到外界任何干擾，包括因異常斷電而使數(shù)據(jù)備份中斷的或其它情況。l 備份數(shù)據(jù)的保管對存有備份數(shù)據(jù)的存儲介質(zhì)，應(yīng)保存在安全的地方，防火、防盜及各種災(zāi)害，并注意保存環(huán)境（溫度、濕度等）的正常。同時對特別重要的備份數(shù)據(jù)，還應(yīng)當(dāng)采取異地備份保管的方式，來確保數(shù)據(jù)安全。對重要備份數(shù)據(jù)的異地

28、、多處備份（避免類似美國911事件為各公司產(chǎn)生的影響）3.3.5 安全審計作為一個良好的安全系統(tǒng)，安全審計必不可少。由于企業(yè)是一個非常龐大的網(wǎng)絡(luò)系統(tǒng)，因而對整個網(wǎng)絡(luò)（或重要網(wǎng)絡(luò)部分）運行進(jìn)行記錄、分析是非常重要的，它可以讓用戶通過對記錄的日志數(shù)據(jù)進(jìn)行分析、比較，找出發(fā)生的網(wǎng)絡(luò)安全問題的原因，并可作為以后的法律證據(jù)或者為以后的網(wǎng)絡(luò)安全調(diào)整提供依據(jù)。3.3.6 認(rèn)證、鑒別、數(shù)字簽名、抗抵賴 由于企業(yè)網(wǎng)絡(luò)系統(tǒng)龐大，上面存在很多分級的重要信息；同時，由于現(xiàn)在國家正在大力推進(jìn)電子政務(wù)的發(fā)展，網(wǎng)上辦公已經(jīng)越來越多的被應(yīng)用到各級政府部門當(dāng)中，因此，需要對網(wǎng)上用戶的身份、操作權(quán)限等進(jìn)行控制和授權(quán)。對不同等級、

29、類型的信息只允許相應(yīng)級別的人進(jìn)行審閱；對網(wǎng)上公文的處理采取數(shù)字簽名、抗抵賴等相應(yīng)的安全措施。3.4 物理安全企業(yè)網(wǎng)絡(luò)系統(tǒng)的物理安全要求是保護計算機網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭地震、水災(zāi)、火災(zāi)和雷擊等環(huán)境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導(dǎo)致的破壞過程。3.4.1 兩套網(wǎng)絡(luò)的相互轉(zhuǎn)換由于企業(yè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)具有兩套網(wǎng)絡(luò)，這兩套網(wǎng)絡(luò)系統(tǒng)是完全物理隔離的，而企業(yè)內(nèi)部有部分用戶需要兩個網(wǎng)絡(luò)都要接入，這就涉及到兩個網(wǎng)絡(luò)之間的相互切換問題。而現(xiàn)在的實際使用是采用手工拔插網(wǎng)線的方式進(jìn)行切換，這使得使用中非常不方便。因此，本方案建議采用網(wǎng)絡(luò)隔離卡的方式來解決網(wǎng)絡(luò)切換的問題。 隔離卡工作

30、方式 隔離卡上有兩個網(wǎng)絡(luò)接口，一個接內(nèi)網(wǎng)，一個接外網(wǎng)；另外還有一個控制口，通過控制口連接一個控制器（只有火柴盒大小），放置于電腦旁邊。同時，在隔離卡上接兩個硬盤，使一個計算機變?yōu)閮蓚€計算機使用，兩個硬盤上分別運行獨立的操作系統(tǒng)。這樣，可通過控制器進(jìn)行切換（簡單的開關(guān)，類似電源開關(guān)），使計算機分別接到兩個網(wǎng)絡(luò)上。3.4.2 防電磁輻射普通的綜合布線系統(tǒng)通常都采用5類UTP的方式，由于電信號在傳輸時存在電磁場，并隨著信號的改變而改變磁場的強弱，而UTP本身沒有任何的屏蔽功能，因此容易被國外間諜機構(gòu)或不法分子采取電磁波復(fù)原的方法竊取重要機密信息，造成嚴(yán)重后果。因而對重要信息點的數(shù)據(jù)傳輸介質(zhì)應(yīng)采取相應(yīng)

31、的安全措施，如使用屏蔽雙絞線等終端設(shè)備尤其是CRT顯示器均有程度不同的電磁輻射問題，但又因終端分散使用不宜集中采用屏蔽室的辦法來防止，因此除要求在訂購設(shè)備上盡量選取低輻射產(chǎn)品外，還應(yīng)根據(jù)保護對象分別采取主動式的干擾設(shè)備（如干擾機來破壞對信息的偵竊），或采用加裝帶屏蔽門窗的屏蔽室。3.4.3 網(wǎng)絡(luò)防雷由于企業(yè)網(wǎng)絡(luò)系統(tǒng)的物理范圍主要是在一棟大樓內(nèi)，而大樓本身已采取相應(yīng)的防雷措施，因此，本方案中主要針對網(wǎng)絡(luò)系統(tǒng)防雷進(jìn)行設(shè)計，不包括電源防雷（這一般屬于大樓防雷的部分）。不少用戶為防止計算機及其局域網(wǎng)或廣域網(wǎng)遭雷擊，便簡單地在與外部線路連接的調(diào)制解調(diào)器上安裝避雷器，但由于靜電感應(yīng)雷、防電磁感應(yīng)雷主要是通過供電線路破壞設(shè)備的，因此對計算機信息系統(tǒng)的防雷保護首先是合理地加裝電源避雷器，其次是加裝信號線路和天饋線避雷器。如果大樓信息系統(tǒng)的設(shè)備配置中有計算機中心機房、程控交換機房及機要設(shè)備機房，那么在總電源處要加裝電源避雷器。按照有關(guān)標(biāo)準(zhǔn)要求，必須在0區(qū)、1區(qū)、2區(qū)分別加裝避雷器（0區(qū)