企業(yè)網(wǎng)絡(luò)安全設(shè)計(jì)方案1

1、題 目：大連理工大學(xué)網(wǎng)絡(luò)高等教育畢業(yè)論文網(wǎng)絡(luò)平安設(shè)計(jì)學(xué)習(xí)中心：XXX層 次： 高中起點(diǎn)專科 專 業(yè)： 網(wǎng)絡(luò)計(jì)算機(jī) 年 級(jí)： 200X年秋季 學(xué) 號(hào)： 200X106329XX 學(xué) 生： XX 指導(dǎo)教師： 孫晰銳 完成日期： 20XX年 0X月 1X 日 目錄網(wǎng)絡(luò)平安問題3設(shè)計(jì)的平安性3可用性.3機(jī)密性.3完整性.3可控性.3可審查性.3訪問控制.3數(shù)據(jù)加密.3平安審計(jì).33、平安設(shè)計(jì)方案5設(shè)備選型.5網(wǎng)絡(luò)平安.7訪問控制.9入侵檢測(cè).104、總結(jié)111、網(wǎng)絡(luò)平安問題隨著互聯(lián)網(wǎng)的飛速開展，網(wǎng)絡(luò)平安逐漸成為一個(gè)潛在的巨大問題。網(wǎng)絡(luò)平安性是一個(gè)涉及面很廣泛的問題，其中也會(huì)涉及到是否構(gòu)成犯罪行為的問題

2、。在其最簡(jiǎn)單的形式中，它主要關(guān)心的是確保無關(guān)人員不能讀取，更不能修改傳送給其他接收者的信息。此時(shí)，它關(guān)心的對(duì)象是那些無權(quán)使用，但卻試圖獲得遠(yuǎn)程效勞的人。平安性也處理合法消息被截獲和重播的問題，以及發(fā)送者是否曾發(fā)送過該條消息的問題。 大多數(shù)平安性問題的出現(xiàn)都是由于有惡意的人試圖獲得某種好處或損害某些人而成心引起的?？梢钥闯霰ＷC網(wǎng)絡(luò)平安不僅僅是使它沒有編程錯(cuò)誤。它包括要防范那些聰明的，通常也是狡猾的、專業(yè)的，并且在時(shí)間和金錢上是很充足、富有的人。同時(shí)，必須清楚地認(rèn)識(shí)到，能夠制止偶然實(shí)施破壞行為的敵人的方法對(duì)那些慣于作案的老手來說，收效甚微。 網(wǎng)絡(luò)平安性可以被粗略地分為4個(gè)相互交織的局部：保密、鑒別

3、、反拒認(rèn)以及完整性控制。保密是保護(hù)信息不被未授權(quán)者訪問，這是人們提到的網(wǎng)絡(luò)平安性時(shí)最常想到的內(nèi)容。鑒別主要指在提醒敏感信息或進(jìn)展事務(wù)處理之前先確認(rèn)對(duì)方的身份。反拒認(rèn)主要與簽名有關(guān)。保密和完整性通過使用注冊(cè)過的郵件和文件鎖來 2、設(shè)計(jì)的平安性通過對(duì)網(wǎng)絡(luò)系統(tǒng)的風(fēng)險(xiǎn)分析及需要解決的平安問題，我們需要制定合理的平安策略及平安方案來確保網(wǎng)絡(luò)系統(tǒng)的機(jī)密性、完整性、可用性、可控性與可審查性。即， 可用性： 授權(quán)實(shí)體有權(quán)訪問數(shù)據(jù) 機(jī)密性： 信息不暴露給未授權(quán)實(shí)體或進(jìn)程 完整性： 保證數(shù)據(jù)不被未授權(quán)修改 可控性： 控制授權(quán)范圍內(nèi)的信息流向及操作方式 可審查性：對(duì)出現(xiàn)的平安問題提供依據(jù)與手段 訪問控制：需要由防火

4、墻將內(nèi)部網(wǎng)絡(luò)與外部不可信任的網(wǎng)絡(luò)隔離，對(duì)與外部網(wǎng)絡(luò)交換數(shù)據(jù)的內(nèi)部網(wǎng)絡(luò)及其主機(jī)、所交換的數(shù)據(jù)進(jìn)展嚴(yán)格的訪問控制。同樣，對(duì)內(nèi)部網(wǎng)絡(luò)，由于不同的應(yīng)用業(yè)務(wù)以及不同的平安級(jí)別，也需要使用防火墻將不同的LAN或網(wǎng)段進(jìn)展隔離，并實(shí)現(xiàn)相互的訪問控制。 數(shù)據(jù)加密：數(shù)據(jù)加密是在數(shù)據(jù)傳輸、存儲(chǔ)過程中防止非法竊取、篡改信息的有效手段。 平安審計(jì)： 是識(shí)別與防止網(wǎng)絡(luò)攻擊行為、追查網(wǎng)絡(luò)泄密行為的重要措施之一。具體包括兩方面的內(nèi)容，一是采用網(wǎng)絡(luò)監(jiān)控與入侵防范系統(tǒng)，識(shí)別網(wǎng)絡(luò)各種違規(guī)操作與攻擊行為，即時(shí)響應(yīng)如報(bào)警并進(jìn)展阻斷；二是對(duì)信息內(nèi)容的審計(jì)，可以防止內(nèi)部機(jī)密或敏感信息的非法泄漏針對(duì)企業(yè)現(xiàn)階段網(wǎng)絡(luò)系統(tǒng)的網(wǎng)絡(luò)構(gòu)造和業(yè)務(wù)流程，結(jié)

5、合企業(yè)今后進(jìn)展的網(wǎng)絡(luò)化應(yīng)用范圍的拓展考慮，企業(yè)網(wǎng)主要的平安威脅和平安漏洞包括以下幾方面：1內(nèi)部竊密和破壞由于企業(yè)網(wǎng)絡(luò)上同時(shí)接入了其它部門的網(wǎng)絡(luò)系統(tǒng)，因此容易出現(xiàn)其它部門不懷好意的人員(或外部非法人員利用其它部門的計(jì)算機(jī))通過網(wǎng)絡(luò)進(jìn)入內(nèi)部網(wǎng)絡(luò)，并進(jìn)一步竊取和破壞其中的重要信息(如領(lǐng)導(dǎo)的網(wǎng)絡(luò)帳號(hào)和口令、重要文件等)，因此這種風(fēng)險(xiǎn)是必須采取措施進(jìn)展防范的。2搭線(網(wǎng)絡(luò))竊聽這種威脅是網(wǎng)絡(luò)最容易發(fā)生的。攻擊者可以采用如Sniffer等網(wǎng)絡(luò)協(xié)議分析工具，在INTERNET網(wǎng)絡(luò)平安的薄弱處進(jìn)入INTERNET，并非常容易地在信息傳輸過程中獲取所有信息(尤其是敏感信息)的內(nèi)容。對(duì)企業(yè)網(wǎng)絡(luò)系統(tǒng)來講，由于存在跨

6、越INTERNET的內(nèi)部通信(與上級(jí)、下級(jí))這種威脅等級(jí)是相當(dāng)高的，因此也是本方案考慮的重點(diǎn)。3假冒這種威脅既可能來自企業(yè)網(wǎng)內(nèi)部用戶，也可能來自INTERNET內(nèi)的其它用戶。如系統(tǒng)內(nèi)部攻擊者偽裝成系統(tǒng)內(nèi)部的其他正確用戶。攻擊者可能通過冒充合法系統(tǒng)用戶，誘騙其他用戶或系統(tǒng)管理員，從而獲得用戶名/口令等敏感信息，進(jìn)一步竊取用戶網(wǎng)絡(luò)內(nèi)的重要信息?；蛘邇?nèi)部用戶通過假冒的方式獲取其不能閱讀的秘密信息。4完整性破壞這種威脅主要指信息在傳輸過程中或者存儲(chǔ)期間被篡改或修改，使得信息/數(shù)據(jù)失去了原有的真實(shí)性，從而變得不可用或造成廣泛的負(fù)面影響。由于XXX企業(yè)網(wǎng)內(nèi)有許多重要信息，因此那些不懷好意的用戶和非法用戶就

7、會(huì)通過網(wǎng)絡(luò)對(duì)沒有采取平安措施的效勞器上的重要文件進(jìn)展修改或傳達(dá)一些虛假信息，從而影響工作的正常進(jìn)展。5 其它網(wǎng)絡(luò)的攻擊企業(yè)網(wǎng)絡(luò)系統(tǒng)是接入到INTERNET上的，這樣就有可能會(huì)遭到INTERNET上黑客、惡意用戶等的網(wǎng)絡(luò)攻擊，如試圖進(jìn)入網(wǎng)絡(luò)系統(tǒng)、竊取敏感信息、破壞系統(tǒng)數(shù)據(jù)、設(shè)置惡意代碼、使系統(tǒng)效勞嚴(yán)重降低或癱瘓等。因此這也是需要采取相應(yīng)的平安措施進(jìn)展防范。6 管理及操作人員缺乏平安知識(shí)由于信息和網(wǎng)絡(luò)技術(shù)開展迅猛，信息的應(yīng)用和平安技術(shù)相對(duì)滯后，用戶在引入和采用平安設(shè)備和系統(tǒng)時(shí)，缺乏全面和深入的培訓(xùn)和學(xué)習(xí)，對(duì)信息平安的重要性與技術(shù)認(rèn)識(shí)缺乏，很容易使平安設(shè)備/系統(tǒng)成為擺設(shè)，不能使其發(fā)揮正確的作用。如本

8、來對(duì)某些通信和操作需要限制，為了方便，設(shè)置成全開放狀態(tài)等等，從而出現(xiàn)網(wǎng)絡(luò)漏洞。由于網(wǎng)絡(luò)平安產(chǎn)品的技術(shù)含量大，因此，對(duì)操作管理人員的培訓(xùn)顯得尤為重要。這樣，使平安設(shè)備能夠盡量發(fā)揮其作用，防止使用上的漏洞。7雷擊由于網(wǎng)絡(luò)系統(tǒng)中涉及很多的網(wǎng)絡(luò)設(shè)備、終端、線路等，而這些都是通過通信電纜進(jìn)展傳輸，因此極易受到雷擊，造成連鎖反響，使整個(gè)網(wǎng)絡(luò)癱瘓，設(shè)備損壞，造成嚴(yán)重后果。因此，為防止遭受感應(yīng)雷擊的危害和靜電干擾、電磁輻射干擾等引起的瞬間電壓浪涌電壓的損壞，有必要對(duì)整個(gè)網(wǎng)絡(luò)系統(tǒng)采取相應(yīng)的防雷措施。3、網(wǎng)絡(luò)平安設(shè)計(jì)方案1網(wǎng)絡(luò)拓?fù)錁?gòu)造圖設(shè)備選型傳統(tǒng)的組網(wǎng)已經(jīng)不能滿足現(xiàn)在網(wǎng)絡(luò)應(yīng)用的變化了，在組網(wǎng)的初期必須考慮到平安

9、和網(wǎng)絡(luò)的問題，考慮到這個(gè)問題我們就不能不考慮免疫網(wǎng)絡(luò)的作用以及前景如何。免疫網(wǎng)絡(luò)免疫網(wǎng)絡(luò)是企業(yè)信息網(wǎng)絡(luò)的一種平安形式。“免疫是生物醫(yī)學(xué)的名詞，它指的是人體所具有的“生理防御、自身穩(wěn)定與免疫監(jiān)視的特定功能。 就像我們耳熟能詳?shù)碾娔X病毒一樣，在電腦行業(yè)，“病毒就是對(duì)醫(yī)學(xué)名詞形象的借用。同樣，“免疫也被借用于說明計(jì)算機(jī)網(wǎng)絡(luò)的一種能力和作用。免疫就是讓企業(yè)的內(nèi)部網(wǎng)絡(luò)也像人體一樣具備“防御、穩(wěn)定、監(jiān)視的功能。這樣的網(wǎng)絡(luò)就稱之為免疫網(wǎng)絡(luò)。免疫網(wǎng)絡(luò)的主要理念是自主防御和管理，它通過源頭抑制、群防群控、全網(wǎng)聯(lián)動(dòng)使網(wǎng)絡(luò)內(nèi)每一個(gè)節(jié)點(diǎn)都具有平安功能，在面臨攻擊時(shí)調(diào)動(dòng)各種平安資源進(jìn)展應(yīng)對(duì)。它具有平安和網(wǎng)絡(luò)功能融合、全

10、網(wǎng)設(shè)備聯(lián)動(dòng)、可信接入、深度防御和控制、精細(xì)帶寬管理、業(yè)務(wù)感知、全網(wǎng)監(jiān)測(cè)評(píng)估等主要特征。下面讓我們看看這幾個(gè)特征的距離內(nèi)容平安和網(wǎng)絡(luò)功能的融合網(wǎng)絡(luò)架構(gòu)的融合，主要包括網(wǎng)關(guān)和終端的融合 網(wǎng)關(guān)方面：ARP先天免疫原理NAT表中添加源MAC地址濾窗防火墻封包檢測(cè)，IP分片檢查UDP洪水終端方面：驅(qū)動(dòng)局部免疫標(biāo)記網(wǎng)絡(luò)協(xié)議的融合行為特征和網(wǎng)絡(luò)行為的融合全網(wǎng)設(shè)備的聯(lián)動(dòng)驅(qū)動(dòng)與運(yùn)營(yíng)中心的聯(lián)動(dòng)分收策略驅(qū)動(dòng)與驅(qū)動(dòng)的聯(lián)動(dòng)IP地址沖突網(wǎng)關(guān)和驅(qū)動(dòng)的聯(lián)動(dòng)群防群控運(yùn)營(yíng)中心和網(wǎng)關(guān)的聯(lián)動(dòng)外網(wǎng)攻擊，上下線可信接入MAC地址的可信類似于DNA，生物身份傳輸?shù)目尚琶庖邩?biāo)記深度防御和控制深入到每個(gè)終端的網(wǎng)卡深入到協(xié)議的最低層深入到二級(jí)路

11、由，多級(jí)路由器下精細(xì)帶寬管理身份精細(xì)IP/MAC的準(zhǔn)確位置準(zhǔn)確終端驅(qū)動(dòng)路徑細(xì)分特殊的IP流量去向內(nèi)，公網(wǎng)應(yīng)用流控QQ,MSN業(yè)務(wù)感知協(xié)議區(qū)分和應(yīng)用感知它與防火墻FW、入侵檢測(cè)系統(tǒng)IDS、防病毒等“老三樣組成的平安網(wǎng)絡(luò)相比，突破了被動(dòng)防御、邊界防護(hù)的局限，著重從內(nèi)網(wǎng)的角度解決攻擊問題，應(yīng)對(duì)目前網(wǎng)絡(luò)攻擊復(fù)雜性、多樣性、更多從內(nèi)網(wǎng)發(fā)起的趨勢(shì)，更有效地解決網(wǎng)絡(luò)威脅。 同時(shí)，平安和管理密不可分。免疫網(wǎng)絡(luò)對(duì)基于可信身份的帶寬管理、業(yè)務(wù)感知和控制，以及對(duì)全網(wǎng)平安問題和工作效能的監(jiān)測(cè)、分析、統(tǒng)計(jì)、評(píng)估，保證了企業(yè)網(wǎng)絡(luò)的可管可控，大大提高了通信效率和可靠性。平安架構(gòu)分析根據(jù)企業(yè)網(wǎng)絡(luò)現(xiàn)狀及開展趨勢(shì)，主要平安措施從

12、以下幾個(gè)方面進(jìn)展考慮：網(wǎng)絡(luò)傳輸保護(hù)主要是數(shù)據(jù)加密保護(hù)主要網(wǎng)絡(luò)平安隔離通用措施是采用防火墻 網(wǎng)絡(luò)病毒防護(hù)采用網(wǎng)絡(luò)防病毒系統(tǒng) 廣域網(wǎng)接入局部的入侵檢測(cè)采用入侵檢測(cè)系統(tǒng)系統(tǒng)漏洞分析采用漏洞分析設(shè)備定期平安審計(jì)主要包括兩局部：內(nèi)容審計(jì)和網(wǎng)絡(luò)通信審計(jì)重要數(shù)據(jù)的備份重要信息點(diǎn)的防電磁泄露網(wǎng)絡(luò)平安構(gòu)造的可伸縮性包括平安設(shè)備的可伸縮性，即能根據(jù)用戶的需要隨時(shí)進(jìn)展規(guī)模、功能擴(kuò)展網(wǎng)絡(luò)防雷2網(wǎng)絡(luò)平安作為企業(yè)應(yīng)用業(yè)務(wù)系統(tǒng)的承載平臺(tái)，網(wǎng)絡(luò)系統(tǒng)的平安顯得尤為重要。由于許多重要的信息都通過網(wǎng)絡(luò)進(jìn)展交換，網(wǎng)絡(luò)傳輸由于企業(yè)中心內(nèi)部網(wǎng)絡(luò)存在兩套網(wǎng)絡(luò)系統(tǒng)，其中一套為企業(yè)內(nèi)部網(wǎng)絡(luò)，主要運(yùn)行的是內(nèi)部辦公、業(yè)務(wù)系統(tǒng)等;另一套是與INTE

13、RNET相連，通過ADSL接入，并與企業(yè)系統(tǒng)內(nèi)部的上、下級(jí)機(jī)構(gòu)網(wǎng)絡(luò)相連。通過公共線路建立跨越INTERNET的企業(yè)集團(tuán)內(nèi)部局域網(wǎng)，并通過網(wǎng)絡(luò)進(jìn)展數(shù)據(jù)交換、信息共享。而INTERNET本身就缺乏有效的平安保護(hù)，如果不采取相應(yīng)的平安措施，易受到來自網(wǎng)絡(luò)上任意主機(jī)的監(jiān)聽而造成重要信息的泄密或非法篡改，產(chǎn)生嚴(yán)重的后果。由于現(xiàn)在越來越多的政府、金融機(jī)構(gòu)、企業(yè)等用戶采用VPN技術(shù)來構(gòu)建它們的跨越公共網(wǎng)絡(luò)的內(nèi)聯(lián)網(wǎng)系統(tǒng)，因此在本解決方案中對(duì)網(wǎng)絡(luò)傳輸平安局部推薦采用VPN設(shè)備來構(gòu)建內(nèi)聯(lián)網(wǎng)?？稍诿考?jí)管理域內(nèi)設(shè)置一套VPN設(shè)備，由VPN設(shè)備實(shí)現(xiàn)網(wǎng)絡(luò)傳輸?shù)募用鼙Ｗo(hù)。根據(jù)企業(yè)三級(jí)網(wǎng)絡(luò)構(gòu)造，VPN設(shè)置如下列圖所示：圖為三

14、級(jí) VPN設(shè)置拓?fù)鋱D每一級(jí)的設(shè)置及管理方法一樣。即在每一級(jí)的中心網(wǎng)絡(luò)安裝一臺(tái)VPN設(shè)備和一臺(tái)VPN認(rèn)證效勞器(VPN-CA)，在所屬的直屬單位的網(wǎng)絡(luò)接入處安裝一臺(tái)VPN設(shè)備，由上級(jí)的VPN認(rèn)證效勞器通過網(wǎng)絡(luò)對(duì)下一級(jí)的VPN設(shè)備進(jìn)展集中統(tǒng)一的網(wǎng)絡(luò)化管理?？傻竭_(dá)以下幾個(gè)目的：網(wǎng)絡(luò)傳輸數(shù)據(jù)保護(hù)由安裝在網(wǎng)絡(luò)上的VPN設(shè)備實(shí)現(xiàn)各內(nèi)部網(wǎng)絡(luò)之間的數(shù)據(jù)傳輸加密保護(hù)，并可同時(shí)采取加密或隧道的方式進(jìn)展傳輸網(wǎng)絡(luò)隔離保護(hù)與INTERNET進(jìn)展隔離，控制內(nèi)網(wǎng)與INTERNET的相互訪問集中統(tǒng)一管理，提高網(wǎng)絡(luò)平安性降低本錢(設(shè)備本錢和維護(hù)本錢)其中，在各級(jí)中心網(wǎng)絡(luò)的VPN設(shè)備設(shè)置如下列圖：圖為中心網(wǎng)絡(luò)VPN設(shè)置圖由一臺(tái)V

15、PN管理機(jī)對(duì)CA、中心VPN設(shè)備、分支機(jī)構(gòu)VPN設(shè)備進(jìn)展統(tǒng)一網(wǎng)絡(luò)管理。將對(duì)外效勞器放置于VPN設(shè)備的DMZ口與內(nèi)部網(wǎng)絡(luò)進(jìn)展隔離，制止外網(wǎng)直接訪問內(nèi)網(wǎng)，控制內(nèi)網(wǎng)的對(duì)外訪問、記錄日志。這樣即使效勞器被攻破，內(nèi)部網(wǎng)絡(luò)仍然平安。下級(jí)單位的VPN設(shè)備放置如下列圖所示：圖為下級(jí)單位VPN設(shè)置圖從圖可知，下屬機(jī)構(gòu)的VPN設(shè)備放置于內(nèi)部網(wǎng)絡(luò)與路由器之間，其配置、管理由上級(jí)機(jī)構(gòu)通過網(wǎng)絡(luò)實(shí)現(xiàn)，下屬機(jī)構(gòu)不需要做任何的管理，僅需要檢查是否通電即可。由于平安設(shè)備屬于特殊的網(wǎng)絡(luò)設(shè)備，其維護(hù)、管理需要相應(yīng)的專業(yè)人員，而采取這種管理方式以后，就可以降低下屬機(jī)構(gòu)的維護(hù)本錢和對(duì)專業(yè)技術(shù)人員的要求，這對(duì)有著龐大下屬、分支機(jī)構(gòu)的單位

16、來講將是一筆不小的費(fèi)用。由于網(wǎng)絡(luò)平安的是一個(gè)綜合的系統(tǒng)工程，是由許多因素決定的，而不是僅僅采用高檔的平安產(chǎn)品就能解決，因此對(duì)平安設(shè)備的管理就顯得尤為重要。由于一般的平安產(chǎn)品在管理上是各自管理，因而很容易因?yàn)槟硞€(gè)設(shè)備的設(shè)置不當(dāng)，而使整個(gè)網(wǎng)絡(luò)出現(xiàn)重大的平安隱患。而用戶的技術(shù)人員往往不可能都是專業(yè)的，因此，容易出現(xiàn)上述現(xiàn)象;同時(shí)，每個(gè)維護(hù)人員的水平也有差異，容易出現(xiàn)相互配置上的錯(cuò)誤使網(wǎng)絡(luò)中斷。所以，在平安設(shè)備的選擇上應(yīng)中選擇可以進(jìn)展網(wǎng)絡(luò)化集中管理的設(shè)備，這樣，由少量的專業(yè)人員對(duì)主要平安設(shè)備進(jìn)展管理、配置，提高整體網(wǎng)絡(luò)的平安性和穩(wěn)定性。3訪問控制由于企業(yè)廣域網(wǎng)網(wǎng)絡(luò)局部通過公共網(wǎng)絡(luò)建立，其在網(wǎng)絡(luò)上必定會(huì)

17、受到來自INTERNET上許多非法用戶的攻擊和訪問，如試圖進(jìn)入網(wǎng)絡(luò)系統(tǒng)、竊取敏感信息、破壞系統(tǒng)數(shù)據(jù)、設(shè)置惡意代碼、使系統(tǒng)效勞嚴(yán)重降低或癱瘓等，因此，采取相應(yīng)的平安措施是必不可少的。通常，對(duì)網(wǎng)絡(luò)的訪問控制最成熟的是采用防火墻技術(shù)來實(shí)現(xiàn)的，本方案中選擇帶防火墻功能的VPN設(shè)備來實(shí)現(xiàn)網(wǎng)絡(luò)平安隔離，可滿足以下幾個(gè)方面的要求：控制外部合法用戶對(duì)內(nèi)部網(wǎng)絡(luò)的網(wǎng)絡(luò)訪問;控制外部合法用戶對(duì)效勞器的訪問;制止外部非法用戶對(duì)內(nèi)部網(wǎng)絡(luò)的訪問; 控制內(nèi)部用戶對(duì)外部網(wǎng)絡(luò)的網(wǎng)絡(luò);阻止外部用戶對(duì)內(nèi)部的網(wǎng)絡(luò)攻擊;防止內(nèi)部主機(jī)的IP欺騙;對(duì)外隱藏內(nèi)部IP地址和網(wǎng)絡(luò)拓?fù)錁?gòu)造;網(wǎng)絡(luò)監(jiān)控;網(wǎng)絡(luò)日志審計(jì);詳細(xì)配置拓?fù)鋱D見圖由于采用防火墻

18、、VPN技術(shù)融為一體的平安設(shè)備，并采取網(wǎng)絡(luò)化的統(tǒng)一管理，因此具有以下幾個(gè)方面的優(yōu)點(diǎn)：管理、維護(hù)簡(jiǎn)單、方便;平安性高(可有效降低在平安設(shè)備使用上的配置漏洞);硬件本錢和維護(hù)本錢低;網(wǎng)絡(luò)運(yùn)行的穩(wěn)定性更高由于是采用一體化設(shè)備，比之傳統(tǒng)解決方案中采用防火墻和加密機(jī)兩個(gè)設(shè)備而言，其穩(wěn)定性更高，故障率更低。4入侵檢測(cè)網(wǎng)絡(luò)平安不可能完全依靠單一產(chǎn)品來實(shí)現(xiàn)，網(wǎng)絡(luò)平安是個(gè)整體的，必須配相應(yīng)的平安產(chǎn)品。作為必要的補(bǔ)充，入侵檢測(cè)系統(tǒng)(IDS)可與平安VPN系統(tǒng)形成互補(bǔ)。入侵檢測(cè)系統(tǒng)是根據(jù)已有的、最新的和可預(yù)見的攻擊手段的信息代碼對(duì)進(jìn)出網(wǎng)絡(luò)的所有操作行為進(jìn)展實(shí)時(shí)監(jiān)控、記錄，并按制定的策略實(shí)行響應(yīng)(阻斷、報(bào)警、發(fā)送E-mail)。從而防止針對(duì)網(wǎng)絡(luò)的攻擊與犯罪行為。入侵檢測(cè)系統(tǒng)一般包括控制臺(tái)和探測(cè)器(網(wǎng)絡(luò)引擎)。控制臺(tái)用作制定及管理所有探測(cè)器(網(wǎng)絡(luò)引擎)。探測(cè)器(網(wǎng)絡(luò)引擎)用作監(jiān)聽進(jìn)出網(wǎng)絡(luò)的訪問行為，根據(jù)控制臺(tái)的指令執(zhí)行相應(yīng)行為。由于探測(cè)器采取的是監(jiān)聽而不是過濾數(shù)據(jù)包，因此，入侵檢測(cè)系統(tǒng)的應(yīng)用不會(huì)對(duì)網(wǎng)絡(luò)系統(tǒng)性能造成多大影響。入侵檢測(cè)系統(tǒng)的設(shè)置如下列圖：從上圖可知，入侵檢測(cè)儀在網(wǎng)絡(luò)接如上與VPN設(shè)備并接使用。入侵檢測(cè)儀在使用上是獨(dú)立網(wǎng)絡(luò)使用的，網(wǎng)絡(luò)數(shù)據(jù)全