企业网络安全解决方案.doc

企业网络安全解决方案 大型企业网络安全解决方案 随着网络应用的日益广泛，各种大型企业或单位也将通过网络与用户及其他相关行业系统之间进行交流，提供各种网上的信息服务，但这些网络用户中，不乏竞争对手和恶意破坏者，这些人可能会不断地寻找系统内部网络上的漏洞，企图潜入内部网络。一旦网络被人攻破，机密的数据、资料可能会被盗取、网络可能会被破坏，给系统带来难以预测的损失。因此，防火墙便成为网络安全必不可少的产品，天网防火墙在系统网络与外部网络用户之间建起了一道安全的屏障，从而有效地抵御外来攻击，防止不法分子的入侵。2.产品特性说明 ? 软硬件一体化的结构 防火墙对于用户来说，只是一个类似路由器的硬件设备，整体系统采用黑盒设计，防火墙系统与硬件紧密结合，发挥硬件最高效能，减少由于操作系统问题而产生网络漏洞的可能，提高系统自身安全性。 ? 快速安装功能 传统的防火墙在安装时极为麻烦，首先需要安装操作系统，调整网络参数，安装防火墙软件，然后进行网络参数设置，系统管理员如果没有经过专门的培训，在短时间内装好防火墙几乎是不可能的事情。天网防火墙I具有快速安装特性，可以实现从上架安装、连接网线、上电、参数设置完毕整个过程不超过15分钟。 ? 基于浏览器的Web管理界面 通常一个小型企业并没有一个防火墙专家来专门负责防火墙方面的工作，天网防火墙具有多语言支持简单易用的Web设置界面，令管理员熟练地掌握系统的时间大大减少，操作简单、管理方便，只要具有一定网络相关知识的人即可胜任。 ? 完善的访问控制功能 天网防火墙灵活完善的网络访问控制，不仅包括现有的所有网络服务，同时可以兼顾将来各种新的网络服务，在有效地保障企业网络安全的前提下又能保证各种网络服务的畅通无阻。 ? MAC地址绑定 天网防火墙所具有的MAC地址绑定功能可以很好地解决内部网络在地址资源的分配问题。当网络用户被分配或自行设定一个IP地址以后，防火墙系统就能接收到相应的地址广播，在防火墙系统上列出相应的IP地址与MAC地址，并可以选择是否把这个IP地址与相应的MAC地址绑定，这样可限定IP地址只能在一台指定的工作站上使用，既可以防止IP地址冒用，又大大方便了日常网络的IP地址管理。 ? 支持第三区域网络 在只拥有一套传统防火墙的情况下，通常无法实现对多个网络的同时保护，天网防火墙附加的第三个网络接口的灵活的规则可轻松地处理好3个物理网络间的关系，不但节省了企业的投资，还同时保护了多个网络的安全，而且可以避免因为内部网络的不当操作而影响服务器的正常运作。 ? NAT方式节省网络地址资源 对于一个小型网络来说，申请的IP地址不会太多，如果网络中的每一台设备都需要一个IP地址，会造成IP地址的严重不足。天网防火墙提供的网络地址转换（NetworkAddressTranslation）功能不仅可以隐藏内部网路地址信息，使外界无法直接访问内部网络设备，同时，它还帮助网络可以超越地址的限制，合理地安排网络中的公有Inter地址和私有IP地址的使用。通过NAT功能，天网防火墙系统可以帮助采用私有地址的内部网用户顺利的访问Inter的信息资源，不但不会造成任何网络应用的阻碍，同时还大量节省了网络地址资源。3.天网网络安全解决方案3.1用户需求分析 按照服务性质和管理区域划分，用户网络主要分为三个部分：1、内部网络。提供内部用户日常办公操作环境。2、DMZ网络。提供各种信息服务。3、外部网络。提供到Inter连接。 主要应用类型包括：1、大型企业内部信息发布2、Inter应用安全策略为先关闭全部服务和端口，再开放部分服务和端口。3.2网络结构 根据企业的网络状况，我们建议使用基于天网防火墙企业II型防火墙的安全解决方案。下图为本建议方案的网络拓扑示意图。 方案将现有网络划分为物理上相互独立的三个网段：1、公共网段（Public_Nework）2、停火区网段（DMZ_Network）3、私有网段（Private_Network） 其中，公共网段提供面向Inter的广域网连接和其他各行访问的支持；停火区网段安放各种数据库、FTP/Web服务器和企业内部业务信息服务器，提供多种面向Inter的应用服务；内部私有网段保障本地用户安全地访问外部网络资源，以及对停火区内各服务提供设备进行更新和维护。 3.3安全策略 目的：1、划分安全区域。2、制订安全策略，包括用户访问控制，定义访问级别，确定服务类型。3、审核和过滤，仅符合安全策略的访问和响应过程可以通过，拒绝其他访问请求。 根据对用户需求的分析，企业内部网络可以划分为以下几个安全区域：1、内部网段2、公共网段3、外部网段。分属三个安全区域的网段通过天网防火墙进行互连。务类型包括： 现有需要进行审核和过滤的应用和服 4.防火墙配置方案 根据网络安全解决方案中的用户需求、网络拓扑以及制定的安全策略，防火墙采取以下配置方案： 4.2系统设置5.技术服务 ? 网络安全特性检测 中小企业网络安全解决方案 LanGatebrone系列能为中小企业解决IT网络所面临的复杂问题提供经济可靠的解决方案。 随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大的提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。但是，作为构建自身IT平台基础的网络投入和技术复杂性往往会让大多数中小企业望而却步。 中小企业在市场环境中的发展和壮大，建立符合自身特点的IT是一个事半功倍的重要途径，这一点已经成为共识。但是，中小企业在IT网络建设方面往往会遇到以下几方面问题： 企业用于IT方面的经费有限 企业缺乏掌握IT网络技术的专业人士 企业没有专职的IT维护人员 企业的组织结构随机性强，没有稳定的形态会导致网络投资的浪费 LanGateUTM技术正是针对此项问题的最佳解决方案，它使用先进的UTM技术来帮助中小企业解决IT网络所面临的问题。 LanGate安全网关解决方案是一个针对到中小企业网络建设的一站式的解决方案。该方案无需中小企业在网络的技术和人员方面投入任何成本，没有任何网络线路和日常维护成本，方案中所有投入都不会有浪费。 对于中小企业，该方案的实施没有任何前提条件和技术门槛，客户如同采购计算机一样简单的完成自身的网络建设。在售后服务方面，知维度拥有业界一流的支持服务体系，庞大的软件研发中心为您提供坚强的技术后盾；企业级的解决方案，随需随用；产品模块化安装和使用；中小企业的价格，极具市场竞争力。牌服务是一项全面的服务计划，不仅实现“客户请求，企业提供服务”，还做到主动为客户提供价值。 解决的问题 LanGate安全网关解决方案是解决企业IT建设的网络平台安全的关键，它帮助中小企业解决了以下问题： 网络的安全性 员工上网管理 垃圾邮件防范 企业内部各地区的网络连接 企业移动办公员工使用企业内部网络 方案简单说明 LanGate采用一个连贯的安全平台提供防火墙、内容过滤、边缘杀毒保护和虚拟专用网技术，这一中央管理式安全方法将安全网关放在主要接入点，预防恶意活动对整个网络的侵袭，该方式所提供的全面、按层进行的安全措施可完全防护内部以及外部网络各个层面的威胁。 这一整合式安全方法通过在关键接入点安装安全网关（而不是在全网络内各自安装安全服务）来防御恶意活动在网络中扩散。这一全面的分层安全方法可坚实防御内部威胁、外部威胁和网络所有层的威胁。 LanGate提供了通过在单一设备内实现包括防火墙、虚拟专用网、网络缓存、网址过滤及病毒扫描等多种功能在内的产品方案，使用户不仅拥有了多性能、简单化、高可靠性的安全壁垒，而且有效地控制了成本，降低了实施、管理以及服务等多种潜在的消耗。方案特点 高效的安全管理：产品内置高性能的防火墙，因此对外部的侵犯和内部应用有强大的防范和管理功能。 稳定的运行机制：整个系统采用自主开发操作系统，通过硬件加速，保证了系统长时间的稳定运行。 扩展方便灵活：增加节点只需再安装相应LanGate产品，几乎不需任何配置，与现行软件实现无缝连接。 操作维护简单：升级、维护方便，任何一个接入节点不需要专业人员维护，支持所有的操作系统，支持所有在TCP/IP协议上的应用。 其他特点：每个接入节点可以根据各个本地电信资源、自身情况的不同选择适合自己接入手段组成网络。 “为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄漏”。 -国际标准化组织（ISO） 从“信息化高速公路”到“数字地球”，信息化浪潮席卷全球。Inter的迅猛发展不仅带动了信息产业和国民经济地快速增长，也为企业的发展带来了勃勃生机。 以Inter为代表的信息技术的发展不仅直接牵动了企业科技的创新和生产力 的提高，也逐渐成为提高企业竞争力的重要力量。 企业通过Inter可以把遍布世界各地的资源互联互享，但因为其开放性，在Inter上传输的信息在安全性上不可避免地会面临很多危险。当越来越多的企业把自己的商务活动放到网络上后，针对网络系统的各种非法入侵、病毒等活动也随之增多。而我们面临的这些信息安全问题的解决，主要还是依赖于现代信息理论与技术手段；依赖于安全体系结构和网络安全通信协议等技术；依赖借助于此产生的各种硬件的或软件的安全产品。这样，这些安全产品就成为大家解决安全问题的现实选择。 中国网络安全需求分析 网络现状分析 中国国内企业和政府机构都希望能具有竞争力并提高生产效率，这就必须对市场需求作出及时有力的响应，从而引发了依赖互联网来获取、共享信息的趋势，这样才能进一步提高生产效率进而推动未来增长。 然而，有网络的地方就有安全的问题。过去的网络大多是封闭式的，因而比较容易确保其安全性，简单的安全性设备就足以承担其任务。然而，当今的网络已经发生了变化，确保网络的安全性和可用性已经成为更加复杂而且必需的任务。用户每一次连接到网络上，原有的安全状况就会发生变化。所以，很多企业频繁地成为网络犯罪的牺牲品。因为当今网络业务的复杂性，依靠早期的简单安全设备已经对这些安全问题无能为力了。 主要网络安全问题及其危害 -网络攻击在迅速地增多。 网络攻击通常利用网络某些内在特点，进行非授权的访问、窃取密码、拒绝服务等等。 考虑到业务的损失和生产效率的下降，以及排除故障和修复损坏设备所导致的额外开支等方面，对网络安全的破坏可能是毁灭性的。此外，严重的网络安全问题还可能导致企业的公众形象的破坏、法律上的责任乃至客户信心的丧失，并进而造成的成本损失将是无法估量的。 -病毒邮件攻击的影响日益激烈 病毒、蠕虫和毫无必要的大量电子邮件利用互联网通信资源来传播，引发网络环境中的传输中断。根据调查，87以上的病毒通过电子邮件进入企业！保密数据和交易秘密的丢失、员工对电子邮件系统的不当使用已使许多公司不得不承担法律责任，并损害了许多公司的声誉。 今天，越来越多的公司都在寻求一种主动解决方案来减少信息服务的中断时间并避免病毒侵入期间造成业务损失。 -对网络资源的不合理使用 开放式接入还可以无限制地访问大量恶意、有攻击性的及有争议的内容，以及与工作无关的材料。据IDC统计，有30%40%的Inter访问是与工作无关的，甚至有的是去访问色情站点。人均每天使用两到三个小时工作时间用于收发个人邮件,浏览娱乐网站以及在聊天室打发时间。 因此，许多机构必须确定如何在允许员工无阻碍地访问互联网上大量有用信息的同时限制对不当内容的访问。 中国中小型企业客户分析 中国国内目前的中小型单位因为人力和资金上的局限，需要的网络安全产品不仅仅是简单的安装，更重要的是要有针对复杂网络应用的一体化解决方案，如：网络安全、病毒检测、网站过滤等等。其着眼点在于：国内外领先的厂商产品；具备处理突发事件的能力；能够实时监控并易于管理；提供安全策略配置定制；是用户能够很容易地完善自身安全体系。 思科安全设计蓝图（SAFE） SAFE是思科公司安全解决方案的蓝图，该设计蓝图主要针对企业网络的功能，可为客户安全网络的设计、实施和维护提供端到端的安全性战略。 该蓝图能够模块化地设计、部署网络安全解决方案，并结合思科合作伙伴产品，为用户提供一体化的全面解决方案。这样，就可以将市场领先的安全产品、成熟可靠的安全策略和单一平台的管理与客户现有网络基础设施结合起来，提供全面的网络保护：提供高效的投资保护，而不必丢弃现有网络设备 模块化部署，可逐步实现深度分层防御 与合作伙伴良好的互操作性 24x7全球技术支持 安全性市场的领导者 易于管理 思科中小企业网络安全解决方案 针对中国中小企业客户的实际情况，结合思科先进的SAFE蓝图设计理念，思科公司专门推出了“网络健康应用健康精神健康”中小型企业网络安全解决方案：精简版：CiscoSecurePIX501 下面是针对SOHO型网络的一种安全解决方案，该方案适用于10人以下的网络应用，通过CiscoSecurePIX501防火墙实现内外网络的安全隔离。 用户特点： 网络用户数较少，通常在10人以下 用户有联网的需求，但网络中数据吞吐流量不大 由于资金所限，通常采用ISDN或ADSL宽带上网，以降低链路费用需要采用性价比较高的防火墙产品保障内部网络的安全方案示意图：方案特点： 该方案可以为SOHO型网络提供企业级的网络安全性 在一台设备内提供丰富的安全服务，包括状态防火墙、入侵检测等 可以实现NAT和DHCP功能，保障内部合法用户的联网需求 支持PPPOE，满足小型用户通过宽带按需上网的要求 内置图形化Web管理界面，简单并易于管理 可平滑升级，具有良好的扩展性 CiscoSecurePIX501是一种可靠的、即插即用的专用安全防火墙工具，提供了无与伦比的高水平网络安全性。作为专用的工具，这些防火墙不提供WAN接口，也不支持除RIP之外的任何路由协议。该产品安装在一个WAN路由器和内部网络之间，提供了基于自适应安全算法（ASA）的高级状态访问控制。能够根据分组起始点和目的地址、TCP序列号、端口号和其它TCP分组标志跟踪单个连接。分组只有在与网络内部的某个有效会话相关联时才会被允许通过防火墙。这使得机构的内部和授权外部用户能够进行透明访问，同时保护内部网络免受未授权访问。PIX防火墙的另一个安全特性是非UNIX嵌入的操作系统。这种专有的控制软件消除了通用操作系统的缺陷，提供了惊人的性能。 标准版：CiscoSecurePIX501+TrendMicro25用户+Websense25用户 下面是针对小型企业网络的一种安全解决方案，该方案适用于10-25个用户的网络应用，通过CiscoSecurePIX501防火墙实现内外网络的安全隔离，并采用集成的思科合作伙伴产品实现网络病毒检测和网站过滤的功能。 用户特点： 有一定数量的网络用户，通常在1025个用户左右 用户有联网的需求，且有一定的网络数据吞吐流量 通常采用ADSL宽带或较低速率专线上网，以降低链路费用 为保障网络安全，降低维护费用，除需要布置防火墙产品以外，还有防护网络病毒、限制对互联网带宽的不合理使用等需求 在保障上述需求的前提下，尽量节约采购的费用 方案示意图： 方案特点： 该方案可以为小型网络提供企业级的一体化网络安全 通过一个紧凑的、整合的解决方案提供强大的安全功能 可以实现NAT和DHCP功能，保障内部合法用户的联网需求 内置图形化Web管理界面，简单并易于管理 可以和合作伙伴的产品无缝地结合起来，完成深层次的网络安全性管理，如：防止网络病毒的入侵，阻止员工访问非授权的网站等功能 CiscoSecurePIX501是一种可靠的、即插即用的专用安全防火墙工具，提供了无与伦比的高水平网络安全性。作为专用的工具，这些防火墙不提供WAN接口，也不支持除RIP之外的任何路由协议。该产品安装在一个WAN路由器和内部网络之间，提供了基于自适应安全算法（ASA）的高级状态访问控制。能够根据分组起始点和目的地址、TCP序列号、端口号和其它TCP分组标志跟踪单个连接。分组只有在与网络内部的某个有效会话相关联时才会被允许通过防火墙。这使得机构的内部和授权外部用户能够进行透明访问，同时保护内部网络免受未授权访问。PIX防火墙的另一个安全特性是非UNIX嵌入的操作系统。这种专有的控制软件消除了通用操作系统的缺陷，提供了惊人的性能。 豪华版：CiscoSecurePIX506E+TrendMicro50用户+Websense50用户 下面是针对中型企业网络的一种安全解决方案，该方案适用于25-50个用户左右的网络应用，通过CiscoSecurePIX506E防火墙实现内外网络的安全隔离，并采用集成的思科合作伙伴产品实现网络病毒检测和网站过滤的功能。 用户特点： 有一定数量的网络用户，通常在2550个用户左右 用户有联网的需求，且有较大的网络数据吞吐流量 通常采用较高速率的专线连接Inter 有清晰的网络分层体系结构 为保障网络安全，除需要布署防火墙产品以外，还有防护网络病毒、限制对互联网带宽的不合理使用等需求 对防火墙产品性能有较高要求 方案示意图： 方案特点： 该方案可以为中型网络提供企业级的一体化网络安全 通过一个经济有效的、高性能的解决方案提供丰富的安全功能和强大的管理功能可以实现NAT和DHCP功能，保障内部合法用户的联网需求 内置图形化Web管理界面，简单并易于管理 可以和合作伙伴的产品无缝地结合起来，完成深层次的网络安全性管理，如：防止网络病毒的入侵，阻止员工访问非授权的网站等功能 CiscoSecurePIX506E是一种可靠的、即插即用的专用安全防火墙工具，提供了无与伦比的高水平网络安全性。作为专用的工具，这些防火墙不提供WAN接口，也不支持除 关于构建企业网络安全方案 设备安全、VPN、QOS、服务器 李燕子 摘要：互联网给我们带来了极大的便利。但是，随着互联网的空前发展以及互联网技术的普及，使我们面临另外提个困境：私人数据、重要的企业资源以及政府机密等信息被暴露在公共网络空间之下，伴随而来的网络安全问题越来越引起人们的关注。计算机系统一旦遭受破坏，将给使用单位造成重大经济损失，并严重影响正常工作的顺利开展。加强企业网络安全工作，是一些企业建设工作的重要工作内容之一。 本文主要分析了企业的网络结构和一些基本的安全情况，包括系统安全的需求分析、概要设计，详细设计分析等，重点针对企业网络中出现的网络安全问题，作了个简单介绍。对有关安全问题方面模块的划分，解决的方案与具体实现等部分 关键词：拓扑物理安全VPN技术QOS技术容灾备份服务器安全 .引言 随着互联网的空前发展以及互联网技术的不断普及，企业的重要数据信息都被暴露在公共网络空间下，很容易丢失或者被一些不法人士获取。由于黑客的攻击、病毒的入侵、以及人为操作的不当等，都有可能威胁到重要信息数据，这些危害也越来越受到人们的重视。因此，根据企业的实际情况建立一套切实可行的安全网络方案来改善这个情况，使企业的数据机密信息得以保护，并且可以保证企业的网络顺畅的工作，有助于公司的长远发展。 目录 摘要.1 1.引言.1 1.1本课题的研究意义.2 1.2本论文的目的、内容.2 2.企业网络现状及设计目标（需求分析）.2 2.1概述.2 2.2实际网络的特点及目前企业网络优缺点分析.4 2.3设计目标.4 3.要解决的几个关键问题.5 3.1研究设计中要解决的问题.5 3.2针对现在网络中出现的网络安全问题，本课题所作的改善设计.5 4.系统设计关键技术.6 4.1.目标具体实现中采用的关键技术及分析.6 4.2设计实现的策略和途径描述.8 4.3设计模型及系统结构（新的拓扑图）.9 5.系统实现技术.9 概述.9 5.1物理设备安全.9 5.2VPN技术.11 5.3访问控制列表与QOS技术.14 5.4服务器的安全.14 1.1本课题的研究意义 本课题的研究意义在于研究企业网络的安全解决方案以及实际的应用方法，是整个企业网络安全设计的指南，是为公司做出一套正确有效的网络安全方案的重点。本需求的阅读者是公司企业网络管理方面的决策人，操作应用人员。 1.2本论文的目的、内容 本论文的目的是为企业提出一个有效的网络安全方案，使企业的网络上的安全威胁降到最低。从企业的设备配置安全、系统软件的安全、以及放火墙与入侵检测等来保证企业的网络安全。 2.企业网络现状及设计目标（需求分析） 2.1概述 中国国内目前的企业需要的网络安全产品不仅仅是简单的安装，更重要的是要有针对复杂网络应用的一体化解决方案，如：网络安全、病毒检测、网站过滤等等。其着眼点在于：国内外领先的厂商产品；具备处理突发事件的能力；能够实时监控并易于管理；提供安全策略配置定制；是用户能够很容易地完善自身安全体系。 然而，有网络的地方就有安全的问题。过去的网络大多是封闭式的，因而比较容易确保其安全性，简单的安全性设备就足以承担其任务。然而，当今的网络已经发生了变化，确保网络的安全性和可用性已经成为更加复杂而且必需的任务。用户每一次连接到网络上，原有的安全状况就会发生变化。所以，很多企业频繁地成为网络犯罪的牺牲品。因为当今网络业务的复杂性，依靠早期的简单安全设备已经对这些安全问题无能为力了。 网络攻击在迅速地增多： 网络攻击通常利用网络某些内在特点，进行非授权的访问、窃取密码、拒绝服务等等。 考虑到业务的损失和生产效率的下降，以及排除故障和修复损坏设备所导致的额外开支等方面，对网络安全的破坏可能是毁灭性的。此外，严重的网络安全问题还可能导致企业的公众形象的破坏、法律上的责任乃至客户信心的丧失，并进而造成的成本损失将是无法估量的。 2.1.1项目概述： （1）待改企业描述 本文的企业为一个早期玩具制造和销售企业，希望能具有竞争力并提高生产效率，这就必须对市场需求作出及时有力的响应，从而引发了依赖互联网来获取、共享信息的趋势，这样才能进一步提高生产效率进而推动未来增长。 本方案旨在使公司的网络更安全，以保证企业安全和减少安全问题带来的损失。 可以快速的对网络攻击做出反应。 （2）功能 此方案可让企业保证硬件设备减少安全隐患，公司重要信息不被人获取，应对突发的安全情况能力大大加强。 （3）用户特点 本方案的对象是企业的职工、网络管理人员、技术处工作人员、公司领导、信息中心系统管理人员和维护人员。 （4）一般约束 这是一个针对企业网络各方面进行调整的方案，不可避免要受于布线地理位置和系统安装的兼容性的限制。 （5）假设依据 本方案具有较高的可靠性和安全保密性。网络性能稳定，不出差错。在具体实施方面，应该由企业网络相关专业人员进行管理，本方案只负责具体的实施方法建议。应对用户定义不同的使用权限，技术处负责大部分管理。不能由其他人进行查看更改。 2.