xx公司網(wǎng)絡(luò)安全解決方案

1、xx有限責(zé)任公司網(wǎng)絡(luò)安全解決方案學(xué) 號：姓 名：班 級： 課 程：指導(dǎo)老師：時 間：目錄目錄1摘要2第一章 xx網(wǎng)絡(luò)的需求分析31.1xx網(wǎng)絡(luò)現(xiàn)狀描述31.2xx網(wǎng)絡(luò)的漏洞分析41.2.1物理安全41.2.2主機(jī)安全41.2.3外部安全51.2.4內(nèi)部安全51.2.5內(nèi)部網(wǎng)絡(luò)之間、內(nèi)外網(wǎng)絡(luò)之間的連接安全5第二章 網(wǎng)絡(luò)安全解決方案72.1物理安全72.1.1兩套網(wǎng)絡(luò)的相互轉(zhuǎn)換72.1.2重要信息點的物理保護(hù)72.2主機(jī)安全82.3網(wǎng)絡(luò)安全82.3.1網(wǎng)絡(luò)系統(tǒng)安全92.3.2應(yīng)用系統(tǒng)安全132.3.3病毒防護(hù)142.3.4數(shù)據(jù)安全處理系統(tǒng)162.3.5安全審計172.3.6認(rèn)證、鑒別、數(shù)字簽名、抗

2、抵賴17第二章安全設(shè)備選型183.1安全設(shè)備選型原則183.1.1安全性要求183.1.2可用性要求193.1.3可靠性要求193.2安全設(shè)備的可擴(kuò)展性193.3安全設(shè)備的升級193.4設(shè)備列表19第四章 方案的驗證及調(diào)試21總結(jié)22摘要隨著網(wǎng)絡(luò)的高速發(fā)展，網(wǎng)絡(luò)的安全問題日益突出，近兩年間，黑客攻擊、網(wǎng)絡(luò)病毒等屢屢曝光，國家相關(guān)部門也一再三令五申要求切實做好網(wǎng)絡(luò)安全建設(shè)和管理工作。經(jīng)過調(diào)查，我們發(fā)現(xiàn)，xx存在以下幾個問題：第一、 機(jī)房網(wǎng)絡(luò)管理成本過高，并且造成了人力資源上的浪費；第二、 存在數(shù)據(jù)丟失的問題；第三、 計算機(jī)病毒泛濫，給高效率工作造成極大的不便；第四、 網(wǎng)絡(luò)攻擊嚴(yán)重，嚴(yán)重影響了日常

3、的工作。本設(shè)計方案基于xx出現(xiàn)的問題在物理安全、主機(jī)安全、網(wǎng)絡(luò)安全三個方面提出了實際的解決措施。關(guān)鍵詞：網(wǎng)絡(luò) 安全 解決方案第一章 xx網(wǎng)絡(luò)的需求分析1.1xx網(wǎng)絡(luò)現(xiàn)狀描述網(wǎng)絡(luò)拓?fù)鋱D隨著xx多年的發(fā)展，以及技術(shù)的更新，網(wǎng)絡(luò)設(shè)備也在不斷地更新?lián)Q代，同時企業(yè)間的收購，合并重組等商業(yè)行為，都會給企業(yè)網(wǎng)絡(luò)帶來一整套完全不同的網(wǎng)絡(luò)設(shè)備、獨立的辦公室以及工作團(tuán)隊。由于以上種種原因，xx的網(wǎng)絡(luò)不斷擴(kuò)充，問題也不斷出現(xiàn)。xx原有的安全系統(tǒng)的設(shè)計是采用被動防護(hù)模式，針對系統(tǒng)出現(xiàn)的各種情況采取相應(yīng)的防護(hù)措施，當(dāng)新的應(yīng)用系統(tǒng)被采納以后、或者發(fā)現(xiàn)了新的系統(tǒng)漏洞，使系統(tǒng)在實際運行中遭受攻擊，系統(tǒng)管理員再根據(jù)情況采取相應(yīng)

4、的補(bǔ)救措施。這種以應(yīng)用處理為核心的安全防護(hù)方案使系統(tǒng)管理人員忙于處理不同系統(tǒng)產(chǎn)生的各種故障。人力資源浪費很大，而且往往是在系統(tǒng)破壞造成以后才進(jìn)行處理，防護(hù)效果不理想，也很難對網(wǎng)絡(luò)的整體防護(hù)做出規(guī)劃和評估，同時也提高了xx在這方面的維護(hù)經(jīng)費。經(jīng)過分析后發(fā)現(xiàn)，xx的安全漏洞主要存在于系統(tǒng)中最薄弱的環(huán)節(jié)，郵件系統(tǒng)、網(wǎng)關(guān)無一不直接威脅著網(wǎng)絡(luò)的正常運行；要防止網(wǎng)絡(luò)系統(tǒng)遭到非法入侵、未經(jīng)授權(quán)的存取或破壞可能造成的數(shù)據(jù)丟失、系統(tǒng)崩潰等問題，而這些都不是單一的防病毒軟件外加服務(wù)器就能夠解決的。1.2xx網(wǎng)絡(luò)的漏洞分析1.2.1物理安全網(wǎng)絡(luò)的物理安全是整個網(wǎng)絡(luò)系統(tǒng)安全的前提，在xx的企業(yè)局域網(wǎng)內(nèi)，由于網(wǎng)絡(luò)的物理

5、跨度不大，只要制定健全的安全管理制度，做好備份，并且加強(qiáng)網(wǎng)絡(luò)設(shè)備和機(jī)房的管理，防止非法進(jìn)入計算機(jī)控制室和各種盜竊、破壞活動的發(fā)生，這一方面的風(fēng)險是可以避免的。1.2.2主機(jī)安全在中國，我們可以這樣講：沒有完全安全的操作系統(tǒng)。但是，我們可以對現(xiàn)有的操作平臺進(jìn)行安全配置、對操作和訪問權(quán)限進(jìn)行嚴(yán)格控制，提高系統(tǒng)的安全性。因此，在本方案中，不但要選用盡可能可靠的操作系統(tǒng)和硬件平臺。而且，必須加強(qiáng)登錄過程的認(rèn)證，特別是在到達(dá)服務(wù)器主機(jī)之前的認(rèn)證，確保用戶的合法性；其次應(yīng)該嚴(yán)格限制登錄者的操作權(quán)限，將其完成的操作限制在最小的范圍內(nèi)。同時，企業(yè)主機(jī)也存在著各種各樣的安全問題。使用者的使用權(quán)限不同，企業(yè)主機(jī)所

6、付與的管理權(quán)限也不一樣，同一臺主機(jī)對不同的人有著不同的使用范圍。企業(yè)主機(jī)也會受到來自病毒，黑客等的襲擊，例如前一段時間xx受到非法入侵，入侵者上傳了大量的木馬，給公司的主機(jī)造成了很大的破壞，因此，企業(yè)主機(jī)對此也必須做好預(yù)防。在安裝應(yīng)用程序的時候，還得注意它的合法權(quán)限，以防止它所攜帶的一些無用的插件或者木馬病毒來影響主機(jī)的運行和正常工作，甚至盜取企業(yè)機(jī)密。1.2.3外部安全外部安全主要指來自外部的一些威脅和破壞，主要是以下幾個方面：1) 拒絕服務(wù)攻擊2) 外部入侵這里是通常所說的黑客威脅。當(dāng)前大多數(shù)電信網(wǎng)絡(luò)設(shè)備和服務(wù)都存在著被入侵的痕跡，甚至各種后門。這些是對網(wǎng)絡(luò)自主運行的控制權(quán)的巨大威脅，使得

7、企業(yè)在重要和關(guān)鍵應(yīng)用場合沒有信心，損失業(yè)務(wù)，甚至造成災(zāi)難性后果。3) 病毒病毒對信息系統(tǒng)的正常工作運行產(chǎn)生很大影響，據(jù)統(tǒng)計，信息系統(tǒng)的60%癱瘓是由于感染病毒引起的。1.2.4內(nèi)部安全最新調(diào)查顯示， 60%以上的員工利用網(wǎng)絡(luò)處理私人事務(wù)。對網(wǎng)絡(luò)的不正當(dāng)使用，降低了生產(chǎn)率、阻礙電腦網(wǎng)絡(luò)、消耗企業(yè)網(wǎng)絡(luò)資源、并引入病毒和間諜，或者使得不法員工可以通過網(wǎng)絡(luò)泄漏企業(yè)機(jī)密，從而導(dǎo)致企業(yè)蒙受巨大的的損失。不滿的內(nèi)部員工可能在WWW站點上開些小玩笑，甚至破壞。不論如何，他們最熟悉服務(wù)器、小程序、腳本和系統(tǒng)的弱點。對于已經(jīng)離職的不滿員工，可以通過定期改變口令和刪除系統(tǒng)記錄以減少這類風(fēng)險。但還有心懷不滿的在職員工

8、，這些員工比已經(jīng)離開的員工能造成更大的損失，例如他們可以傳出至關(guān)重要的信息、泄露安全重要信息、錯誤地進(jìn)入數(shù)據(jù)庫、刪除數(shù)據(jù)等等。這些都是xx內(nèi)部網(wǎng)絡(luò)中潛存的威脅。1.2.5內(nèi)部網(wǎng)絡(luò)之間、內(nèi)外網(wǎng)絡(luò)之間的連接安全xx的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間沒有采取一定的安全防護(hù)措施，內(nèi)部網(wǎng)絡(luò)容易遭到來自外網(wǎng)的攻擊。包括來自Internet上的風(fēng)險和下級單位的風(fēng)險。 內(nèi)部局網(wǎng)不同部門或用戶之間如果沒有采用相應(yīng)一些訪問控制，也可能造成信息泄漏或非法攻擊。據(jù)調(diào)查統(tǒng)計，在xx已發(fā)生的網(wǎng)絡(luò)安全事件中，70%的攻擊是來自內(nèi)部。因此內(nèi)部網(wǎng)的安全風(fēng)險更嚴(yán)重。內(nèi)部員工對自身企業(yè)網(wǎng)絡(luò)結(jié)構(gòu)、應(yīng)用比較熟悉，自已攻擊或泄露重要信息內(nèi)外勾結(jié)，都

9、將可能成為導(dǎo)致系統(tǒng)受攻擊的最致命安全威脅。隨著企業(yè)的發(fā)展壯大及移動辦公的普及，xx逐漸形成了企業(yè)總部、各地分支機(jī)構(gòu)、移動辦公人員這樣的新型互動運營模式。怎么處理總部與分支機(jī)構(gòu)、移動辦公人員的信息共享安全，既要保證信息的及時共享，又要防止機(jī)密的泄漏已經(jīng)成為不得不考慮的問題。各地機(jī)構(gòu)與總部之間的網(wǎng)絡(luò)連接安全直接影響企業(yè)的高效運作。第二章 網(wǎng)絡(luò)安全解決方案2.1物理安全對于xx存在的兩套網(wǎng)絡(luò)系統(tǒng)切換問題和重點信息點的保護(hù)問題，我們提出以下解決方案。2.1.1兩套網(wǎng)絡(luò)的相互轉(zhuǎn)換由于xx內(nèi)部網(wǎng)絡(luò)系統(tǒng)具有兩套網(wǎng)絡(luò)，這兩套網(wǎng)絡(luò)系統(tǒng)是完全物理隔離的，而企業(yè)內(nèi)部有部分用戶需要兩個網(wǎng)絡(luò)都要接入，這就涉及到兩個網(wǎng)絡(luò)

10、之間的相互切換問題。而現(xiàn)在的實際使用是采用手工拔插網(wǎng)線的方式進(jìn)行切換，這使得使用中非常不方便。建議采用網(wǎng)絡(luò)隔離卡的方式來解決網(wǎng)絡(luò)切換的問題。隔離卡上有兩個網(wǎng)絡(luò)接口，一個接內(nèi)網(wǎng)，一個接外網(wǎng)；另外還有一個控制口，通過控制口連接一個控制器(只有火柴盒大小)，放置于電腦旁邊。同時，在隔離卡上接兩個硬盤，使一個計算機(jī)變?yōu)閮蓚€計算機(jī)使用，兩個硬盤上分別運行獨立的操作系統(tǒng)。這樣，可通過控制器進(jìn)行切換，使計算機(jī)分別接到兩個網(wǎng)絡(luò)上。根據(jù)xx網(wǎng)絡(luò)的實際情況，需要在二、三、四樓共20個信息點上安裝隔離卡。其中二樓6個，三樓12個，四樓2個。2.1.2重要信息點的物理保護(hù)xx各級網(wǎng)絡(luò)內(nèi)部存在重要的信息點，如內(nèi)部核心應(yīng)

11、用系統(tǒng)，環(huán)境等都需要保護(hù)，它主要包括三個方面： 1) 環(huán)境安全：對系統(tǒng)所在環(huán)境的安全保護(hù)，如區(qū)域保護(hù)和災(zāi)難保護(hù)(參見國家標(biāo)準(zhǔn)GB50173-93電子計算機(jī)機(jī)房設(shè)計規(guī)范、國標(biāo)GB2887-89計算站場地技術(shù)條件、GB9361-88計算站場地安全要求)。 2) 設(shè)備安全：主要包括設(shè)備的防盜、防毀壞及電源保護(hù)等。對中心機(jī)房和關(guān)鍵信息點采取多種安全防范措施，確保非授權(quán)人員無法進(jìn)入。中心機(jī)房處理秘密級、機(jī)密級信息的系統(tǒng)均采用有效的電子門控系統(tǒng)等。 3) 媒體安全：包括媒體數(shù)據(jù)的安全及媒體本身的安全。2.2主機(jī)安全根據(jù)xx網(wǎng)絡(luò)內(nèi)主機(jī)的安全防護(hù)現(xiàn)狀，我們制定了以下策略：1) 對主機(jī)用戶進(jìn)行分組管理，根據(jù)不同

12、的安全級別將用戶分為若干等級，每一等級的用戶只能訪問與其等級相對應(yīng)的系統(tǒng)資源和數(shù)據(jù)。其次應(yīng)該考慮的是強(qiáng)有力的身份認(rèn)證，確保用戶的密碼不會被他人所猜測到。2) 及時更新主機(jī)系統(tǒng)，防止因系統(tǒng)漏洞而遭到黑客或病毒的攻擊。3) 對于應(yīng)用服務(wù)，我們應(yīng)該只開放那些需要的服務(wù)，并隨時更新。而對于那些用不到的服務(wù)應(yīng)該盡量關(guān)閉。4) 安裝并及時升級殺毒軟件以避免來自病毒的苦惱。5) 安裝防火墻可以有效的防止黑客的攻擊。2.3網(wǎng)絡(luò)安全針對xx的VLAN劃分情況，在某些情況下，它的一些局域網(wǎng)的某個網(wǎng)段比另一個網(wǎng)段更受信任，或者某個網(wǎng)段比另一個更敏感。通過將信任網(wǎng)段與不信任網(wǎng)段劃分在不同的VLAN段內(nèi)，就可以限制局部

13、網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。將分散系統(tǒng)整合成一個異構(gòu)網(wǎng)絡(luò)系統(tǒng)，數(shù)據(jù)存儲系統(tǒng)整合成網(wǎng)絡(luò)數(shù)據(jù)中心，通過存儲局域網(wǎng)的形式對系統(tǒng)的各種應(yīng)用提供數(shù)據(jù)支持。隨著信息的訪問方式多樣化,信息的處理速度和信息的交換量都成倍數(shù)的增長。使整個信息系統(tǒng)對數(shù)據(jù)的依賴程度越來越高。采取以數(shù)據(jù)為核心，為數(shù)據(jù)訪問和數(shù)據(jù)處理采用整體防護(hù)解決方案也是系統(tǒng)必然的選擇?；诼?lián)動聯(lián)防和網(wǎng)絡(luò)集中管理、監(jiān)控技術(shù)，本方案將所有網(wǎng)絡(luò)安全和數(shù)據(jù)安全產(chǎn)品有機(jī)的結(jié)合在一起，在漏洞預(yù)防、攻擊處理、破壞修復(fù)三方面給用戶提供整體的解決方案，能夠極大地提高系統(tǒng)防護(hù)效果，降低網(wǎng)絡(luò)管理的風(fēng)險和復(fù)雜性。下圖是防護(hù)系統(tǒng)對一個完整的網(wǎng)絡(luò)攻擊及防護(hù)方法的演示效果

14、圖：2.3.1網(wǎng)絡(luò)系統(tǒng)安全作為企業(yè)應(yīng)用業(yè)務(wù)系統(tǒng)的承載平臺，網(wǎng)絡(luò)系統(tǒng)的安全顯得尤為重要。因為許多重要的信息都通過網(wǎng)絡(luò)進(jìn)行交換。（一） 網(wǎng)絡(luò)傳輸由于xx中心內(nèi)部網(wǎng)絡(luò)存在兩套網(wǎng)絡(luò)系統(tǒng)，其中一套為內(nèi)部網(wǎng)絡(luò)，主要運行的是內(nèi)部辦公、業(yè)務(wù)系統(tǒng)等；另一套是與INTERNET相連，通過ADSL接入，并與企業(yè)系統(tǒng)內(nèi)部的上、下級機(jī)構(gòu)網(wǎng)絡(luò)相連。通過公共線路建立跨越INTERNET的企業(yè)集團(tuán)內(nèi)部局域網(wǎng)，并通過網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)交換、信息共享。而INTERNET本身就缺乏有效的安全保護(hù)，如果不采取相應(yīng)的安全措施，易受到來自網(wǎng)絡(luò)上任意主機(jī)的監(jiān)聽而造成重要信息的泄密或非法篡改，產(chǎn)生嚴(yán)重的后果。在本解決方案中對網(wǎng)絡(luò)傳輸安全部分推薦采

15、用VPN設(shè)備來構(gòu)建內(nèi)聯(lián)網(wǎng)?？稍诿考壒芾碛騼?nèi)設(shè)置一套VPN設(shè)備，由VPN設(shè)備實現(xiàn)網(wǎng)絡(luò)傳輸?shù)募用鼙Ｗo(hù)。根據(jù)企業(yè)三級網(wǎng)絡(luò)結(jié)構(gòu)，VPN設(shè)置如下圖所示：每一級的設(shè)置及管理方法相同。即在每一級的中心網(wǎng)絡(luò)安裝一臺VPN設(shè)備和一臺VPN認(rèn)證服務(wù)器(VPN-CA)，在所屬的直屬單位的網(wǎng)絡(luò)接入處安裝一臺VPN設(shè)備，由上級的VPN認(rèn)證服務(wù)器通過網(wǎng)絡(luò)對下一級的VPN設(shè)備進(jìn)行集中統(tǒng)一的網(wǎng)絡(luò)化管理?？蛇_(dá)到以下幾個目的：網(wǎng)絡(luò)傳輸數(shù)據(jù)保護(hù)：由安裝在網(wǎng)絡(luò)上的VPN設(shè)備實現(xiàn)各內(nèi)部網(wǎng)絡(luò)之間的數(shù)據(jù)傳輸加密保護(hù)，并可同時采取加密或隧道的方式進(jìn)行傳輸；網(wǎng)絡(luò)隔離保護(hù)：與INTERNET進(jìn)行隔離，控制內(nèi)網(wǎng)與INTERNET的相互訪問；集中統(tǒng)

16、一管理，提高網(wǎng)絡(luò)安全性；降低成本(設(shè)備成本和維護(hù)成本)；其中，在各級中心網(wǎng)絡(luò)的VPN設(shè)備設(shè)置如下圖：由一臺VPN管理機(jī)對CA、中心VPN設(shè)備、分支機(jī)構(gòu)VPN設(shè)備進(jìn)行統(tǒng)一網(wǎng)絡(luò)管理。將對外服務(wù)器放置于VPN設(shè)備的DMZ口與內(nèi)部網(wǎng)絡(luò)進(jìn)行隔離，禁止外網(wǎng)直接訪問內(nèi)網(wǎng)，控制內(nèi)網(wǎng)的對外訪問、記錄日志。這樣即使服務(wù)器被攻破，內(nèi)部網(wǎng)絡(luò)仍然安全。下級單位的VPN設(shè)備放置如下圖所示：從上圖可知，下屬機(jī)構(gòu)的VPN設(shè)備放置于內(nèi)部網(wǎng)絡(luò)與路由器之間，其配置、管理由上級機(jī)構(gòu)通過網(wǎng)絡(luò)實現(xiàn)，下屬機(jī)構(gòu)不需要做任何的管理，僅需要檢查是否通電即可。由于安全設(shè)備屬于特殊的網(wǎng)絡(luò)設(shè)備，其維護(hù)、管理需要相應(yīng)的專業(yè)人員，而采取這種管理方式以后，

17、就可以降低下屬機(jī)構(gòu)的維護(hù)成本和對專業(yè)技術(shù)人員的要求，從而降低企業(yè)的成本。由于網(wǎng)絡(luò)安全不是僅僅采用高檔的安全產(chǎn)品就能解決，因此對安全設(shè)備的管理就顯得尤為重要。由于一般的安全產(chǎn)品在管理上是各自管理，因而很容易因為某個設(shè)備的設(shè)置不當(dāng)，而使整個網(wǎng)絡(luò)出現(xiàn)重大的安全隱患。而用戶的技術(shù)人員往往不可能都是專業(yè)的，因此，容易出現(xiàn)上述現(xiàn)象；同時，每個維護(hù)人員的水平也有差異，容易出現(xiàn)相互配置上的錯誤使網(wǎng)絡(luò)中斷。所以，在安全設(shè)備的選擇上應(yīng)當(dāng)選擇可以進(jìn)行網(wǎng)絡(luò)化集中管理的設(shè)備，這樣，由少量的專業(yè)人員對主要安全設(shè)備進(jìn)行管理、配置，提高整體網(wǎng)絡(luò)的安全性和穩(wěn)定性。（二）訪問控制由于xx廣域網(wǎng)網(wǎng)絡(luò)部分通過公共網(wǎng)絡(luò)建立，其在網(wǎng)絡(luò)上

18、必定會受到來自INTERNET上許多非法用戶的攻擊和訪問，如試圖進(jìn)入網(wǎng)絡(luò)系統(tǒng)、竊取敏感信息、破壞系統(tǒng)數(shù)據(jù)、設(shè)置惡意代碼、使系統(tǒng)服務(wù)嚴(yán)重降低或癱瘓等，因此，采取相應(yīng)的安全措施是必不可少的。通常，對網(wǎng)絡(luò)的訪問控制最成熟的是采用防火墻技術(shù)來實現(xiàn)的，本方案中選擇帶防火墻功能的VPN設(shè)備來實現(xiàn)網(wǎng)絡(luò)安全隔離，可滿足以下幾個方面的要求：1)控制外部合法用戶對內(nèi)部網(wǎng)絡(luò)的網(wǎng)絡(luò)訪問；2)控制外部合法用戶對服務(wù)器的訪問；3)禁止外部非法用戶對內(nèi)部網(wǎng)絡(luò)的訪問；4)控制內(nèi)部用戶對外部網(wǎng)絡(luò)的網(wǎng)絡(luò)；5)阻止外部用戶對內(nèi)部的網(wǎng)絡(luò)攻擊；6)防止內(nèi)部主機(jī)的IP欺騙；7)對外隱藏內(nèi)部IP地址和網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；8)網(wǎng)絡(luò)監(jiān)控；9)網(wǎng)絡(luò)日

19、志審計。由于采用防火墻、VPN技術(shù)融為一體的安全設(shè)備，并采取網(wǎng)絡(luò)化的統(tǒng)一管理，因此具有以下幾個方面的優(yōu)點：1)管理、維護(hù)簡單、方便；2)安全性高(可有效降低在安全設(shè)備使用上的配置漏洞)；3)硬件成本和維護(hù)成本低；4)網(wǎng)絡(luò)運行的穩(wěn)定性更高。由于是采用一體化設(shè)備，比之傳統(tǒng)解決方案中采用防火墻和加密機(jī)兩個設(shè)備而言，其穩(wěn)定性更高，故障率更低。（三）入侵檢測網(wǎng)絡(luò)安全不可能完全依靠單一產(chǎn)品來實現(xiàn)，網(wǎng)絡(luò)安全是個整體的，必須配相應(yīng)的安全產(chǎn)品。作為必要的補(bǔ)充，入侵檢測系統(tǒng)(IDS)可與安全VPN系統(tǒng)形成互補(bǔ)。入侵檢測系統(tǒng)是根據(jù)已有的、最新的和可預(yù)見的攻擊手段的信息代碼對進(jìn)出網(wǎng)絡(luò)的所有操作行為進(jìn)行實時監(jiān)控、記錄，

20、并按制定的策略實行響應(yīng)(阻斷、報警、發(fā)送E-mail)。從而防止針對網(wǎng)絡(luò)的攻擊與犯罪行為。入侵檢測系統(tǒng)一般包括控制臺和探測器(網(wǎng)絡(luò)引擎)?？刂婆_用作制定及管理所有探測器(網(wǎng)絡(luò)引擎)。探測器(網(wǎng)絡(luò)引擎)用作監(jiān)聽進(jìn)出網(wǎng)絡(luò)的訪問行為，根據(jù)控制臺的指令執(zhí)行相應(yīng)行為。由于探測器采取的是監(jiān)聽而不是過濾數(shù)據(jù)包，因此，入侵檢測系統(tǒng)的應(yīng)用不會對網(wǎng)絡(luò)系統(tǒng)性能造成多大影響。入侵檢測系統(tǒng)的設(shè)置如下圖：從上圖可知，入侵檢測儀在網(wǎng)絡(luò)接如上與VPN設(shè)備并接使用。入侵檢測儀在使用上是獨立網(wǎng)絡(luò)使用的，網(wǎng)絡(luò)數(shù)據(jù)全部通過VPN設(shè)備，而入侵檢測設(shè)備在網(wǎng)絡(luò)上進(jìn)行疹聽，監(jiān)控網(wǎng)絡(luò)狀況，一旦發(fā)現(xiàn)攻擊行為將通過報警、通知VPN設(shè)備中斷網(wǎng)絡(luò)(即

21、IDS與VPN聯(lián)動功能)等方式進(jìn)行控制(即安全設(shè)備自適應(yīng)機(jī)制)，最后將攻擊行為進(jìn)行日志記錄以供以后審查。（四）漏洞掃描作為一個完善的通用安全系統(tǒng)，應(yīng)當(dāng)包含完善的安全措施，定期的安全評估及安全分析同樣相當(dāng)重要。由于網(wǎng)絡(luò)安全系統(tǒng)在建立后并不是長期保持很高的安全性，而是隨著時間的推移和技術(shù)的發(fā)展而不斷下降的，同時，在使用過程中會出現(xiàn)新的安全問題，因此，作為安全系統(tǒng)建設(shè)的補(bǔ)充，采取相應(yīng)的措施也是必然。本方案中，采用漏洞掃描設(shè)備對網(wǎng)絡(luò)系統(tǒng)進(jìn)行定期掃描，對存在的系統(tǒng)漏洞、網(wǎng)絡(luò)漏洞、應(yīng)用程序漏洞、操作系統(tǒng)漏洞等進(jìn)行探測、掃描，發(fā)現(xiàn)相應(yīng)的漏洞并告警，自動提出解決措施，或參考意見，提醒網(wǎng)絡(luò)安全管理員作好相應(yīng)調(diào)整

22、。2.3.2應(yīng)用系統(tǒng)安全（一）系統(tǒng)平臺安全各級網(wǎng)絡(luò)系統(tǒng)平臺安全主要是指操作系統(tǒng)的安全。由于目前主要的操作系統(tǒng)平臺是建立在國外產(chǎn)品的基礎(chǔ)上，因而存在很大的安全隱患。企業(yè)網(wǎng)絡(luò)系統(tǒng)在主要的應(yīng)用服務(wù)平臺中采用國內(nèi)自主開發(fā)的安全操作系統(tǒng)，針對通用OS的安全問題，對操作系統(tǒng)平臺的登錄方式、文件系統(tǒng)、網(wǎng)絡(luò)傳輸、安全日志審計、加密算法及算法替換的支持和完整性保護(hù)等方面進(jìn)行安全改造和性能增強(qiáng)。一般用戶運行在PC機(jī)上的NT平臺，在選擇性地用好NT安全機(jī)制的同時，應(yīng)加強(qiáng)監(jiān)控管理。（二）應(yīng)用平臺安全企業(yè)網(wǎng)絡(luò)系統(tǒng)的應(yīng)用平臺安全，一方面涉及用戶進(jìn)入系統(tǒng)的身份鑒別與控制，以及使用網(wǎng)絡(luò)資源的權(quán)限管理和訪問控制，對安全相關(guān)操作

23、進(jìn)行的審計等。其中的用戶應(yīng)同時包括各級管理員用戶和各類業(yè)務(wù)用戶。另一方面涉及各種數(shù)據(jù)庫系統(tǒng)、WWW服務(wù)、E-MAIL服務(wù)、FTP和TELNET應(yīng)用中服務(wù)器系統(tǒng)自身的安全以及提供服務(wù)的安全。對于xx，在選擇這些應(yīng)用系統(tǒng)時，應(yīng)當(dāng)盡量選擇國內(nèi)軟件開發(fā)商進(jìn)行開發(fā)，系統(tǒng)類型也應(yīng)當(dāng)盡量采用國內(nèi)自主開發(fā)的應(yīng)用系統(tǒng)。2.3.3病毒防護(hù)因為病毒在網(wǎng)絡(luò)中存儲、傳播、感染的方式各異且途徑多種多樣，所以我們利用全方位的企業(yè)防毒產(chǎn)品，對xx采用“層層設(shè)防、集中控制、以防為主、防殺結(jié)合”的策略。具體而言，就是針對網(wǎng)絡(luò)中所有可能的病毒攻擊設(shè)置對應(yīng)的防毒軟件，通過全方位、多層次的防毒系統(tǒng)配置，使網(wǎng)絡(luò)沒有薄弱環(huán)節(jié)成為病毒入侵的

24、缺口。本方案中在選擇殺毒軟件時有幾個方面的要求：具有卓越的病毒防治技術(shù)、程序內(nèi)核安全可靠、對付國產(chǎn)和國外病毒能力超群、全中文產(chǎn)品，系統(tǒng)資源占用低，性能優(yōu)越、可管理性高，易于使用、產(chǎn)品集成度高、高可靠性、可調(diào)配系統(tǒng)資源占用率、便捷的網(wǎng)絡(luò)化自動升級等優(yōu)點。病毒對信息系統(tǒng)的正常工作運行產(chǎn)生很大影響，據(jù)統(tǒng)計，信息系統(tǒng)的60%癱瘓是由于感染病毒引起的。（一）系統(tǒng)設(shè)計原則為了更好的解決病毒的防范，一般要求病毒防范系統(tǒng)滿足如下要求：1)采用世界最先進(jìn)的防毒產(chǎn)品與xx網(wǎng)絡(luò)系統(tǒng)的實際需要相結(jié)合，確保xx網(wǎng)絡(luò)系統(tǒng)具有最佳的病毒防護(hù)能力的情況下綜合成本最少；2)貫徹“層層設(shè)防，集中控管，以防為主、防治結(jié)合”的企業(yè)防

25、毒策略。在網(wǎng)絡(luò)中所有可能的病毒攻擊點或通道中設(shè)置對應(yīng)的防病毒軟件，通過這種全方位的、多層次的防毒系統(tǒng)配置，使企業(yè)網(wǎng)絡(luò)免遭所有病毒的入侵和危害；3)充分考慮xx網(wǎng)絡(luò)的系統(tǒng)數(shù)據(jù)、文件的安全可靠性，所選產(chǎn)品與現(xiàn)系統(tǒng)具有良好的一致性和兼容性，以及最低的系統(tǒng)資源占用，保證不對現(xiàn)有系統(tǒng)運行產(chǎn)生不良影響。4)應(yīng)用全球最為先進(jìn)的“實時監(jiān)控”技術(shù)，充分體現(xiàn)趨勢科技“以防為主”的反病毒思想。5)所選用產(chǎn)品具備對多種壓縮格式文件的病毒檢測。6)所選用產(chǎn)品易于安裝、操作簡便、便于管理和維護(hù)，具有友好的用戶界面。7)應(yīng)用經(jīng)由ICSA(國際電腦安全協(xié)會)技術(shù)認(rèn)證的掃描引擎，保證對包括各種千面人病毒、變種病毒和黑客程序等具

26、有最佳的病毒偵測率，除對已知病毒具備全面的偵防能力，對未知病毒亦有良好的偵測能力。強(qiáng)調(diào)在XXX網(wǎng)絡(luò)防毒系統(tǒng)內(nèi)，實施統(tǒng)一的防病毒策略、集中的防毒管理和維護(hù)，最大限度地減輕使用人員和維護(hù)人員的工作量。8)完全自動化的日常維護(hù)，便于進(jìn)行病毒碼及掃描引擎的更新。9)提供良好的售后服務(wù)及技術(shù)支持。10)具有良好的可擴(kuò)充性，充分保護(hù)用戶的現(xiàn)有投資，適應(yīng) XXX網(wǎng)絡(luò)系統(tǒng)的今后發(fā)展需要（二）產(chǎn)品應(yīng)用根據(jù)xx網(wǎng)絡(luò)系統(tǒng)的結(jié)構(gòu)和應(yīng)用特點，病毒防御可采取多種措施：1)網(wǎng)關(guān)防毒；2)服務(wù)器防毒；3)客戶端防毒；4)郵件防毒；應(yīng)用拓?fù)淙缦聢D：在網(wǎng)絡(luò)骨干接入處，安裝防毒墻(即安裝有網(wǎng)關(guān)殺毒軟件的獨立網(wǎng)關(guān)設(shè)備)，由防毒墻實現(xiàn)

27、網(wǎng)絡(luò)接入處的病毒防護(hù)。由于是安裝在網(wǎng)絡(luò)接入處，因此，對主要網(wǎng)絡(luò)協(xié)議進(jìn)行殺毒處理(SMTP、FTP、HTTP)。在服務(wù)器上安裝單獨的服務(wù)器殺毒產(chǎn)品，對服務(wù)器進(jìn)行病毒保護(hù)。由于內(nèi)部存在幾十個網(wǎng)絡(luò)客戶端，如采用普通殺毒軟件會造成升級麻煩、使用不便等問題?？稍诜?wù)器上安裝客戶端防病毒產(chǎn)品(客戶端殺毒軟件的工作模式是服務(wù)器端、客戶端的方式)的服務(wù)器端，由客戶端通過網(wǎng)絡(luò)與服務(wù)器端連接后進(jìn)行網(wǎng)絡(luò)化安裝。對產(chǎn)品升級，可通過在服務(wù)器端進(jìn)行設(shè)置，自動通過INETRNET進(jìn)行升級，再由客戶端到服務(wù)器端進(jìn)行升級，大大簡化升級過程，并且整個升級是自動完成，不需要人工操作。對郵件系統(tǒng)，可采取安裝專用郵件殺毒產(chǎn)品，通過在郵

28、件服務(wù)器上安裝郵件殺毒程序，實現(xiàn)對內(nèi)部郵件的殺毒，保證郵件在收、發(fā)時都是經(jīng)過檢查的，確保郵件無毒。通過這種方法，可以達(dá)到層層設(shè)防的作用，最終實現(xiàn)病毒防護(hù)。2.3.4數(shù)據(jù)安全處理系統(tǒng)隨著信息的訪問方式多樣化,信息的處理速度和信息的交換量都成倍數(shù)的增長。使整個信息系統(tǒng)對數(shù)據(jù)的依賴程度越來越高。采取以數(shù)據(jù)為核心，為數(shù)據(jù)訪問和數(shù)據(jù)處理采用整體防護(hù)解決方案也是系統(tǒng)必然的選擇。1）數(shù)據(jù)存儲基于RAID的存儲技術(shù)防止系統(tǒng)硬件故障。2）雙機(jī)容錯提供系統(tǒng)應(yīng)用級的故障處理，適用于高可靠性需求。3）數(shù)據(jù)備份基于時間對文件和數(shù)據(jù)庫級別的系統(tǒng)故障提供解決方案。xx內(nèi)部存在大量的數(shù)據(jù)，而這里面又有許多重要的、機(jī)密的商業(yè)信

29、息。而整個數(shù)據(jù)的安全保護(hù)就顯得特別重要，對數(shù)據(jù)進(jìn)行定期備份是必不可少的安全措施。在采取數(shù)據(jù)備份時應(yīng)該注意以下幾點：存儲介質(zhì)安全：在選擇存儲介質(zhì)上應(yīng)選擇保存時間長，對環(huán)境要求低的存儲產(chǎn)品，并采取多種存儲介質(zhì)備份。如同時采用硬盤、光盤備份的方式。數(shù)據(jù)安全：即數(shù)據(jù)在備份前是真實數(shù)據(jù)，沒有經(jīng)過篡改或含有病毒。備份過程安全：確保數(shù)據(jù)在備份時是沒有受到外界任何干擾，包括因異常斷電而使數(shù)據(jù)備份中斷的或其它情況。備份數(shù)據(jù)的保管：對存有備份數(shù)據(jù)的存儲介質(zhì)，應(yīng)保存在安全的地方，防火、防盜及各種災(zāi)害，并注意保存環(huán)境(溫度、濕度等)的正常。同時對特別重要的備份數(shù)據(jù)，還應(yīng)當(dāng)采取異地備份保管的方式，來確保數(shù)據(jù)安全。4）災(zāi)

30、難恢復(fù)對整個主機(jī)系統(tǒng)提供保障和系統(tǒng)的快速故障修復(fù)能力。2.3.5安全審計作為一個良好的安全系統(tǒng)，安全審計必不可少。由于xx是一個比較龐大的網(wǎng)絡(luò)系統(tǒng)，因而對整個網(wǎng)絡(luò)(或重要網(wǎng)絡(luò)部分)運行進(jìn)行記錄、分析是非常重要的，它可以讓用戶通過對記錄的日志數(shù)據(jù)進(jìn)行分析、比較，找出發(fā)生的網(wǎng)絡(luò)安全問題的原因，并可作為以后的法律證據(jù)或者為以后的網(wǎng)絡(luò)安全調(diào)整提供依據(jù)。2.3.6認(rèn)證、鑒別、數(shù)字簽名、抗抵賴由于xx網(wǎng)絡(luò)系統(tǒng)龐大，上面存在很多分級的重要信息;同時，由于現(xiàn)在國家正在大力推進(jìn)電子政務(wù)的發(fā)展，網(wǎng)上辦公已經(jīng)越來越多的被應(yīng)用到各級政府部門當(dāng)中，因此，需要對網(wǎng)上用戶的身份、操作權(quán)限等進(jìn)行控制和授權(quán)。對不同等級、類型的

31、信息只允許相應(yīng)級別的人進(jìn)行審閱；對網(wǎng)上公文的處理采取數(shù)字簽名、抗抵賴等相應(yīng)的安全措施。第二章 安全設(shè)備選型3.1安全設(shè)備選型原則對xx網(wǎng)絡(luò)系統(tǒng)的安全設(shè)備選型時，必須在滿足國家對信息安全產(chǎn)品的政策性要求前提下，綜合考察設(shè)備的功能和性能，必須符合xx網(wǎng)絡(luò)系統(tǒng)的網(wǎng)絡(luò)安全需求。3.1.1安全性要求政策性原則信息安全設(shè)備(硬件/軟件)均應(yīng)經(jīng)過信息安全產(chǎn)品的主管部門的測評認(rèn)證、鑒定和許可。技術(shù)性原則(1) 安全設(shè)備必須具有自我系統(tǒng)保護(hù)能力。安全設(shè)備的軟件平臺應(yīng)為專用定制的基于最小內(nèi)核的操作系統(tǒng)，不應(yīng)采用一般商業(yè)Dos, Windows或Unix操作系統(tǒng)。安全設(shè)備應(yīng)提供避免或禁止內(nèi)外網(wǎng)絡(luò)用戶進(jìn)入系統(tǒng)的手段，

32、即使對安全管理員而言，也應(yīng)遵循對系統(tǒng)操作的最小授權(quán)原則。對安全設(shè)備的配置必須具備多重安全措施且擁有最高安全授權(quán)，同時具備進(jìn)行嚴(yán)格的操作審計功能，在出現(xiàn)安全故障時應(yīng)具有安全應(yīng)急措施。安全設(shè)備遇故障工作失效，系統(tǒng)應(yīng)自動轉(zhuǎn)為缺省禁止?fàn)顟B(tài)。 (2) 安全設(shè)備必須至少具有履行所需安全服務(wù)的最小能力。安全設(shè)備所采用的技術(shù)，不單純追求先進(jìn)、完善，而必須保證實用和成熟性，相關(guān)技術(shù)標(biāo)準(zhǔn)應(yīng)采用、引用和接近國家標(biāo)準(zhǔn)。安全設(shè)備的接入不影響原網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，安全設(shè)備的運行不明顯影響原網(wǎng)絡(luò)系統(tǒng)的運行效率，更不能導(dǎo)致產(chǎn)生通信瓶頸。安全設(shè)備的機(jī)械、電氣及電磁輻射性能必須符合國家標(biāo)準(zhǔn)，且能滿足全天候運行的可靠性要求。3.1.2可用性要求 (1)安全設(shè)備的技術(shù)性能和功能，必須滿足行業(yè)系統(tǒng)管理體制的要求，即能基于網(wǎng)絡(luò)實現(xiàn)安全管理，具有接受網(wǎng)絡(luò)信息安全管理機(jī)構(gòu)管理的能力。 (2)安全設(shè)備所采用的技術(shù)，不單純追求先進(jìn)、完善，而必須保證實用和成熟性，相關(guān)技術(shù)標(biāo)準(zhǔn)應(yīng)采用、引用和接近國家標(biāo)準(zhǔn)。 (3)安全設(shè)備的接入不影響原網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，安全設(shè)備的運行不明顯影響原網(wǎng)絡(luò)系統(tǒng)的運行效率，更不能導(dǎo)致產(chǎn)生通信瓶頸。 (4)安全設(shè)備的使用必須簡便、實用。3.1.3可靠性要求 (1) 安全設(shè)備的機(jī)械、電氣及電磁輻射性能必須符合國家標(biāo)準(zhǔn) (2) 能滿足7*24小時無人值守工作