企业网络安全解决方案.doc

企业网络安全解决方案 企业网络安全解决方案 企业网络安全解决方案 目录 摘 要 I 目录 II 第 1 章 绪论 1 1 1 网络安全背景知识 1 1 2 网络安全的概念和目标 1 1 3 网络安全策略 3 第 2 章 企业网络安全的威胁及需求 5 2 1 物理层安全风险 5 2 2 系统层安全风险 5 2 3 病毒的安全风险 6 2 4 数据传输的安全风险 6 2 5 管理的安全风险 6 2 6 网络结构的安全风险分析 7 2 7 操作系统的安全风险分析 8 2 8 应用的安全风险分析 8 第 3 章 网络安全的方案设计 10 3 1 总体设计方案 10 3 2 企业网络安全系统设计 10 3 2 1 安全体系结构网络 10 3 2 2 安全体系层次模型 10 3 2 3 安全体系设计 11 第 4 章 安全产品的配置与应用 14 4 1 防病毒及特洛伊木马软件 14 4 1 1 病毒之后的解决办法 14 4 1 2 恶意网站的处理 15 4 2 动态口令身份认证方案 16 4 3 访问控制 防火墙系统 18 4 3 1 包过滤型 18 4 3 2 网络地址转化 NAT 19 4 3 3 代理型 19 4 3 4 监测型 20 4 4 入侵检测系统 21 4 5 漏洞扫描系统 23 第 5 章 安全方案测试 25 5 1 安全管理机构的建设原则 25 5 2 网络安全方案测 25 5 3 展望 25 企业网络安全解决方案 第 1 章 绪论 1 1 网络安全背景知识 以 internet 为代表的信息网络技术应用正日益普及和广泛 应用领域从 传统小型业务系统逐渐向大型关键业务系统扩展 典型的例如党政部门信息系 统 金融业务系统 企业商务系统等 网络安全已经成为影响网络效能重要的 问题 而 internet 所具有的开放性 自由性和国际性在增加应用自由度的时候 对安全提出了更高级的要求 一般来说 网络安全由信息安全和控制安全两部 分组成 信息安全指信息的完整性 可用性 保密性和可靠性 控制安全则指身 份认证 不可否认性 授权和访问控制 互联网的开放性 分散性和交互性特 征为信息交流 信息共享 信息服务创造了理想空间 网络技术迅速的发展和 广泛的应用 为人类社会进步提供了巨大推动力 然而 正是由于互联网的特 性 产生了信息污染 信息泄漏 信息不易受控等诸多安全问题 目前 我国 网络安全存在的主要问题有 1 计算机系统遭受病毒感染和破坏的情况相当严 重 据国家计算机病毒应急处理中心数据看 从国家计算机病毒应急处理中心 日常监测结果看来 计算机病毒呈现出异常活跃的态势 2 电脑黑客活动己形 成重要威胁 网络信息系统具有致命的脆弱性 易受攻击性和开放性 从国内 情况来看 目前我国 95 与互联网相联的网络管理中心都遭受过境内外黑客的 攻击或侵入 3 信息基础设施面临网络安全的挑战 面对信息安全的严峻形势 我国的网络安全系统在预测 反应 防范和恢复能力方面存在许多薄弱环节 1 据英国 简氏战略报告 和其它网络组织对各国信息防护能力的评估 我国被 列入防护能力最低的国家之一 不仅大大低于美国 俄罗斯和以色列等信息安 全强国 而且排在印度 韩国之后 近年来 国内与网络有关的各类违法行为 以每年 30 的速度递增 网络环境的多变性 复杂性 以及信息系统的脆弱性 决定了网络安全威胁的客观存在 我国日益开放并且走向世界 建立保护屏障 和加强安全监管不可缺少 近年来 随着网络安全事件的发生 人们越来越清 楚的意识到 信息时代所引发的信息安全问题涉及到人们生活的方方面面 因 此可以说 在信息化社会里 信息安全的重要性再怎么强调也不过分 1 2 网络安全的概念和目标 国际标准化组织 IS0 对计算机系统安全的定义是为数据处理系统建立和采 用的技术和管理的安全保护 保护计算机硬件 软件和数据不因偶然和恶意的 原因遭到破坏 更改和泄露 网络安全基本上是一个实践性的技术领域 它涉 企业网络安全解决方案 及到多种技术领域 网络信息安全与保密主要是指保护网络信息系统 使其没 有危险 不受威胁 不出事故 从技术角度来说 网络信息安全与保密的目标 主要表现在系统的保密性 完整性 真实性 可用性 不可抵赖性等方面 网 络安全的意义 就在于资料 信赖关系和网络的传输能力与端系统的处理能力 三个要素的保护 保证这三者能为所适合的用户服务 而且 只为合适的用户 服务 与此同时 由于计算机网络自身存在的局限性和信息系统的脆弱性 使 得计算机网络系统上的硬件资源 通信资源 软件及信息资源等因可预见或不 可预见的甚至是恶意的原因而遭到破坏 更改 泄露或功能失效 使信息系统 处于异常状态 甚至引起系统的崩溃瘫痪 造成巨大的经济损失 在这样的形 势下 以保护网络中的信息免受各种攻击为根本目的网络安全变得越来越重要 计算机网络改变着人们赖以行动的社会信息结构 改变着人们获取利用信息的 方式 从而引起人类生活方式的全面改观 网络安全威胁一般分为外部闯入 内部渗透和不当行为三种类型 外部闯入是指未经授权计算机系统用户的入侵 内部突破是指己授权的计算机系统用户访问未经授权的数据 不正当行为是指用 户虽经授权 但对授权数据和资源的使用不合法或滥用授权 网络自身的缺陷 开放性以及黑客的攻击是造成网络不安全的主要原因 由于计算机网络最重要 的资源是它向用户提供的服务及所拥有的信息 因而计算机网络的安全性可以 定义为 保障网络服务的可用性和网络信息的完整性 前者要求网络向所有用 户有选择地随时提供各自应得到的网络服务 后者则要求网络保证信息资源的 保密性 完整性 可用性和准确性 可见建立安全的网络系统要解决的根本问 题是如何在保证网络的连通性 可用性的同时对网络服务的种类 范围等行使 适当程度的控制以保障系统的可用性和信息的完整性不受影响 一个安全的计 算机网络应该具有以下几个特点 1 可靠性是网络系统安全最基本的要求 可 靠性主要是指网络系统硬件和软件无故障运行的性能 2 可用性是指网络信息 可被授权用户访问的特性 即网络信息服务在需要时 能够保证授权用户使用 3 保密性是指网络信息不被泄露的特性 保密性是在可靠性和可用性的基础 上保证网络信息安全的非常重要的手段 保密性可以保证信息即使泄露 非授 权用户在有限的时间内也不能识别真正的信息内容 4 完整性是指网络信息未 经授权不能进行改变的特性 即网络信息在存储和传输过程中不被删除 修改 伪造 乱序 重放和插入等操作 保也称做不可否认性 主要用于网络信息的 交换过程 保证信息交换的参与者都不可能否认或抵赖曾进行的操作 类似于 在发文或收文过程中的签名和签收的过程 从技术角度看 网络安全的内容大体包括 4 个方面 企业网络安全解决方案 1 网络实体安全 2 软件安全 3 网络数据安全 4 网络安全管理 由此可见 计算机网络安全不仅要保护计算机网络设备安全 还要保护数 据安全等 其特征是针对计算机网络本身可能存在的安全问题 实施网络安全 保护方案 以保证算机网络自身的安全性为目标 1 3 网络安全策略 在网络安全技术飞速发展的今天 只有将不同安全侧重点的安全技术有效 地融合起来 安全产品的性价比才能更高 目前 已有一些厂商在安全设备与 安全策略管理 安全风险控制 集中安全审计等方面做了十分有效的工作 通 过综合分析 结合实际管理需求 我们认为以下几项技术需要重点掌握 协议联通技术 目前国际上的网管软件大多是基于 SNMP 设计的 一般只侧 重于设备管理 且编程复杂 结构单一 不利于大规模集成 如果用户要管理 各类网络设备 操作系统及安全产品 则要综合使用诸如 WBEM UDDI 和 XML 等 协议与通信技术 因此应尽量提高各协议接口间的透明访问程度 实现协议间 的互联互访 探头集成技术 目前各安全子系统要对网络及用户进行实时管理 大多采 用用户端安装插件的技术 在多个子系统都需插件的情况下 可能产生冲突 且给用户系统增加负担 因此各厂商除提供必要的接口信息外 集成单位也应 注意将各种信息技术进行融合 通过编程实现对各系统探头的集成 可视化管理技术 为了让用户更好地通过安全管理平台进行集中管理 用 户管理界面最好能够提供直观的网络拓朴图 实时显示整个网络的安全状况 使用户可以便捷地查看各安全产品组件的状态 日志以及信息处理结果 产生 安全趋势分析报表 因此可视化管理技术的研究与应用尤为重要 事件关联技术 由于从单独的安全事件中很难发觉其它的攻击行为 必须 综合多种安全设备的事件信息进行分析 才能得到准确的判断 所以 事件关 联技术的研究和实现 可以大大提高安全管理平台综合处理与智能处理的能力 提高管理平台分析及审计能力 更好地帮助网管人员进行网络安全的集中管控 发挥网络安全管理平台的重要作用 企业网络安全解决方案 事件过滤技术 一个安全事件有可能同时触动多个安全单元 同时产生多 个安全事件报警信息 造成同一事件信息 泛滥 反而使关键的信息被淹没 因此 事件过滤技术也是安全管理平台需要解决的一个重要问题 快速响应技术 发生网络安全事件后 单靠人工处理可能会贻误战机 所 以必须要开发快速响应技术 从而能使系统自动响应安全事件 如实现报警 阻塞 阻断 引入陷阱 以及取证和反击等 网络安全策略目的是决定一个计算机网络的组织结构怎样来保护自己的网 络及其信息 一般来说 安全策略包括两个部分 一个总体的策略和具体的规 则 总体的策略用于阐明公司安全政策的总体思想 而具体的规则用于说明什 么活动是被允许的 什么活动是被禁止的 1 网络安全策略的等级网络安全策 略可分为以下 4 个等级 1 不把内部网络和外部网络相连 因此一切都被禁止 2 除那些被明确允许之外 一切都被禁止 3 除那些被明确禁止之外 一切 都被允许 4 一切都被允许 当然也包括那些本来被禁止的 可以根据实际情 况 在这 4 个等级之间找出符合自己的安全策略 3 当系统自身的情况发生变 化时 必须注意及时修改相应的安全策略 企业网络安全解决方案 第 2 章 企业网络安全的威胁及需求 正确的风险分析是保证网络环境安全的非常重要的一环 一个性能优良的 安全系统结构和安全系统平台 能够以低的安全代价换得高的安全强度 下面 对企业的具体状况从物理层安全 网络层安全 系统层安全 数据传输安全 病毒的安全威胁及管理安全进行分类描述网络系统的安全风险 2 1 物理层安全风险 物理安全是保护计算机网络设备 设施以及其它媒体免遭地震 水灾 火 灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程 为保证信息网络系统的物理安全 还要防止系统信息在空间的扩散 通常 是在物理上采取一定的防护措施 来减少或干扰扩散出去的空间信号 这是政 府 军队 金融机构在兴建信息中心时首要的设置的条件 为保证网络的正常运行 在物理安全方面应采取如下措施 1 产品保障方面 主要指产品采购 运输 安装等方面的安全措施 2 运行安全方面 网络中的设备 特别是安全类产品在使用过程中 必须 能够从生成厂家或供货单位得到迅速的技术支持服务 对一些关键设备和系统 应设置备份系统 3 防电磁辐射方面 所有重要涉密的设备都需安装防电磁辐射产品 如辐 射干扰机 4 保安方面 主要是防盗 防火等 还包括网络系统所有网络设备 计算 机 安全设备的安全防护 2 2 系统层安全风险 所谓系统安全通常是指网络操作系统 应用系统的安全 系统级的安全风 险分析主要针对企业企业校园采用的操作系统 数据库 及相关商用产品的安 全漏洞和病毒威胁进行分析 企业企业校园网络采用的操作系统 7 主要为 Windows2000server professional Windows NET Workstation Windows ME Windows95 98 UNIX 本身在安全方面考虑的较少 服务器 数据库的安全 级别较低 存在若干安全隐患 同时病毒也是系统安全的主要威胁 所有这些 企业网络安全解决方案 都造成了系统安全的脆弱性 在企业的网络系统中 包含的设备有 交换机 服务器 工作站等 在服务器上主要有操作系统 软件系统和数据库系统 交 换机上也有相应的操作系统 所有的这些设备 软件系统都多多少少地存在着 各种各样的漏洞 这些都是重大安全隐患 一旦被利用并攻击 将带来不可估 量的损失 2 3 病毒的安全风险 计算机病毒是指一种能使自己附加到目标机系统的文件上的程序 它在所 有破坏性设备中最具危险性 可以导致服务拒绝 破坏数据 甚至使计算机系 统完全瘫痪 当病毒被释放到网络环境时 其无法预测的扩散能力使它极具危 险性 在企业的网络系统中 传统的计算机病毒传播手段是通过存储介质进行 的 师生在交换存储着数据的介质时 隐藏在其中的计算机病毒就从一台计算 机转移到另外的计算机中 而现代的病毒传播手段主要是通过网络实现的 一 台客户机被病毒感染 迅速通过网络传染到同一网络的成百上千台机器 师生 上网浏览网页 收发电子邮件 下载资料的时候 都有可能被病毒传染 这种 互联网和校园内联网通讯模式下的传播方式构成了企业病毒传播途径的主流 2 4 数据传输的安全风险 由于在企业内部网络数据传输线路之间存在被窃听的威胁 同时局域网络 内部也存在着内部攻击行为 其中包括登录密码和一些敏感信息 可能被侵袭 者搭线窃取和篡改 造成泄密 如果没有专门的软件或硬件对数据进行控制 所有的通信都将不受限制地进行传输 因此任何一个对通信进行监测的人都可 以对通信数据进行截取 这种形式的 攻击 是相对比较容易成功的 造成泄 密或者做一些篡改来破坏数据的完整性 因此 数据在线路中传输时必须加密 同时通过认证技术及数字签名来保数据在网上传输 9 的保密性 真实性 可靠 性及完整性 以保护系统的重要信息数据的传输安全 2 5 管理的安全风险 管理混乱 安全管理制度不健全 责权不明及缺乏可操作性等都可能引起 管理安全的风险 因此 最可行的做法是管理制度和管理解决方案相结合 管 理方面的安全隐患包括 内部管理人员或师生为了方便省事 设置的口令过短 和过于简单 甚至不设置用户口令 导致很容易破解 责任不清 使用相同的 口令 用户名 导致权限管理混乱 信息泄密 把内部网络结构 管理员用户 企业网络安全解决方案 名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险 内部不满的 人员有的可能造成极大的安全风险 网络安全管理是防止来自内部网络入侵的 必须部分 管理上混乱 责权不明 安全管理制度缺乏可操作性及不健全等都 可能引起管理安全的风险 即除了从技术上功夫外 还得靠安全管理来实现 随着企业整个网络安全系统的建设 必须建立严格的 完整的 健全的安全管 理制度 网络的安全管理制度策略包括 确定安全管理等级和安全管理范围 制 订有关网络操作使用规程和出入机房管理制度 制定网络系统的维护制度和应急 措施等 通过制度的约束 确定不同学员的网络访问权限 提高管理人员的安 全防范意识 做到实时监控检测网络的活动 并在危害发生时 做到及时报警 2 6 网络结构的安全风险分析 1 外部网络的安全威胁 企业网络与外网有互连 基于网络系统的范围大 函盖面广 内部网络将 面临更加严重的安全威胁 入侵者每天都在试图闯入网络节点 网络系统中办 公系统及员工主机上都有涉密信息 假如内部网络的一台电脑安全受损 被攻 击或者被病毒感染 就会同时影响在同一网络上的许多其他系统 透过网络传 播 还会影响到与本系统网络有连接的外单位网络 如果系统内部局域网与系统外部网络间没有采取一定的安全防护措施 内 部网络容易遭到来自外网一些不怀好意的入侵者的攻击 2 内部局域网的安全威胁 据调查在已有的网络安全攻击事件中约 70 是来自内部网络的侵犯 来自 机构内部局域网的威胁包括 误用和滥用关键 敏感数据 内部人员故意泄漏 内部网络的网络结构 内部不怀好意的员工通过各种方式盗取他人涉密信息传 播出去 3 网络设备的安全隐患 网络设备中包含路由器 交换机 防火墙等 它们的设置比较复杂 可能 企业网络安全解决方案 由于疏忽或不正确理解而使这些设备可用但安全性不佳 2 7 操作系统的安全风险分析 所谓系统安全通常是指操作系统的安全 操作系统的安装以正常工作为目 标 一般很少考虑其安全性 因此安装通常都是以缺省选项进行设置 从安全 角度考虑 其表现为装了很多用不着的服务模块 开放了很多不必开放的端口 其中可能隐含了安全风险 目前的操作系统无论是 Windows 还是 UNIX 操作系统以及其它厂商开发的应 用系统 其开发厂商必然有其 Back Door 而且系统本身必定存在安全漏洞 这些后门和安全漏洞都将存在重大安全隐患 系统的安全程度跟安全配置及系 统的应用有很大关系 操作系统如果没有采用相应的安全配置 则其是漏洞百 出 掌握一般攻击技术的人都可能入侵得手 如果进行安全配置 填补安全漏 洞 关闭一些不常用的服务 禁止开放一些不常用而又比较敏感的端口等 那 么入侵者要成功进入内部网是不容易的 这需要相当高的技术水平及相当长时 间 2 8 应用的安全风险分析 应用系统的安全涉及很多方面 应用系统是动态的 不断变化的 应用的安 全性也是动态的 这就需要我们对不同的应用 检测安全漏洞 采取相应的安 全措施 降低应用的安全风险 文件服务器的安全风险 办公网络应用通常是共享网络资源 可能存在着 员工有意 无意把硬盘中重要信息目录共享 长期暴露在网络邻居上 可能被 外部人员轻易偷取或被内部其他员工窃取并传播出去造成泄密 因为缺少必要 的访问控制策略 数据库服务器的安全风险 内网服务区部署着大量的服务器作为数据库服 务器 在其上运行数据库系统软件 主要提供数据存储服务 数据库服务器的 安全风险包括 非授权用户的访问 通过口令猜测获得系统管理员权限 数据 库服务器本身存在漏洞容易受到攻击等 数据库中数据由于意外 硬件问题或 企业网络安全解决方案 软件崩溃 而导致不可恢复 也是需要考虑的安全问题 病毒侵害的安全风险 网络是病毒传播的最好 最快的途径之一 病毒程 序可以通过网上下载 电子邮件 使用盗版光盘或软盘 人为投放等传播途径 潜入内部网 因此 病毒的危害的不可以轻视的 网络中一旦有一台主机受病 毒感染 则病毒程序就完全可能在极短的时间内迅速扩散 传播到网络上的所 有主机 可能造成信息泄漏 文件丢失 机器死机等不安全因素 数据信息的安全风险 数据安全对企业来说尤其重要 数据在公网线路上 传输 很难保证在传输过程中不被非法窃取 篡改 现今很多先进技术 黑客 或一些企业间谍会通过一些手段 设法在线路上做些手脚 获得在网上传输的 数据信息 也就造成的泄密 企业网络安全解决方案 第 3 章 网络安全的方案设计 3 1 总体设计方案 网络安全体系建设应按照 统一规划 统筹安排 统一标准 相互配套 的原则进行 采用先进的 平台化 建设思想 避免重复投入 重复建设 充分考虑整体和局部的利益 坚持近期目标与远期目标相结合 在实际建设中 遵循以下指导思想 宏观上统一规划 同步开展 相互配套 在实现上分步实施 渐进获取 在具体设计中结构上一体化 标准化 平台化 安全保密功能上多级 化 对信道适应多元化 针对企业系统在实际运行中所面临的各种威胁 采用 防护 检测 反应 恢复四方面行之有效的安全措施 建立一个全方位并易于 管理的安全体系 确保企业系统安全可靠的运行 3 2 企业网络安全系统设计 建设功能的强大和安全可靠的网络信息管理系统是企业实现现代化管理的 必要手段 如何构建企业安全可靠的网络系统是当前工作的重点 毫无疑问 不需要任何的形式的 说教 在信息和网络被广泛应用的今 天 任何一个网络管理使用者都非常清楚 所有被使用的计算机网络都必然存 在被有意外或无意外的攻击和破坏之风险 企业网络同样存在的安全方面的风险问题 对于大多说网络黑客来说 成 功地入侵一企业特别是著名的网络系统 具有证明和炫耀其 能耐 的价值 尽管这种行为的初衷也许并不具有恶意的目的 窃取企业的网络数据 甚至破 坏其网络系统 更加具有现实和长远的商业价值 因此 企业网络建立完善的安全系统 其必要性不言而喻 3 2 1 安全体系结构网络 安全体系结构主要考虑安全机制和安全对象 安全对象主要有网络安全 信息安全 设备安全 系统安全 数据库安全 信息介质安全和计算机病毒防 治等 企业网络安全解决方案 3 2 2 安全体系层次模型 按照网络 OSI 的 7 层模型 网络安全贯穿于整个 7 层 针对网络系统实际 运行的 TCP IP 协议 网络安全贯穿于信息系统的 4 个层次 1 物理层 物理层信息安全 主要防止物理通路的损坏 物理通路的窃听 对物理通路的攻击 干扰等 2 链路层 链路层的网络安全需要保证通过网络链路传送的数据不被窃听 主要采用划分 VLAN 加密通讯等手段 3 网络层 网络层的安全要保证网络只给授权的人员使用授权的服务 保 证网络路由正确 避免被监听或拦截 4 操作系统 操作系统安全要求保证客户资料 操作系统访问控制的安全 同时能够对该操作系统上的应用进行安全审计 5 应用平台 应用平台指建立在网络系统之上的应用软件服务 如数据库 服务器 电子邮件服务器 Web 服务器等 由于应用平台的系统非常复杂 通 常采用多种技术来增强应用平台的安全性 6 应用系统应用系统完成网络系统的最终目的是为用户服务 应用系统的 安全与系统设计和实现关系密切 应用系统使用应用平台提供的安全服务来保 证基本安全 如通讯双方的认证 通讯内容安全 审计等手段 3 2 3 安全体系设计 安全体系设计原则在进行计算机网络安全设计和规划时 应遵循以下原则 1 需求 风险 代价平衡分析的原则对任一网络来说 绝对安全难以达到 也 不一定必要 对一个网络要进行实际分析 对网络面临的威胁及可能承担的风 险进行定性与定量相结合的分析 然后制定规范和措施 确定本系统的安全策 略 保护成本与被保护信息的价值必须平衡 价值仅 2 万元的信息如果用 6 万 元的技术和设备去保护是一种不适当的保护 2 综合性 整体性原则运用系统 工程的观点 方法 分析网络的安全问题 并制定具体措施 一个较好的安全 措施往往是多种方法适当综合的应用结果 一个计算机网络包括个人 设备 软件 数据等环节 它们在网络安全中的地位和影响作用 只有从系统综合的 整体角度去看待和分析 才可能获得有效 可行的措施 3 一致性原则这主要 是指网络安全问题应与整个网络的工作周期同时存在 制定的安全体系结构必 企业网络安全解决方案 须与网络的安全需求相一致 实际上 在网络建设之初就应考虑网络安全对策 比等网络建设好后再考虑 不但容易 而且花费也少很多 第 3 章网络安全系 统设计 4 安全 可靠性原则最大保证系统的安全性 使用的信息安全产品和技 术方案在设计和实现的全过程中有具体的措施来充分保证其安全性 对项目实施 过程实现严格的技术管理和设备的冗余配置 保证产品质量 保证系统运行的 可靠性 5 先进 标准 兼容性原则先进的技术体系 标准化的技术实现 6 易操作性原则安全措施要由人来完成 如果措施过于复杂 对人的要求过高 本身就降低了安全性 其次 采用的措施不会影响系统正常运行 7 适应性 灵活性原则安全措施必须能随着网络性能及安全需求的变化而变化 要容易修 改 容易适应 8 多重保护原则任何安全保护措施都不是绝对安全的 都可能 被攻破 但是建立一个多重保护系统 各层保护相互补充 当一层保护被攻破 时 还有其它层保护信息的安全 网络安全风险分析网络系统的可靠运转是基于通讯子网 计算机硬件和 0S 及各种应用软件等各方面 各层次的良好运行 因此 网络系统的风险将来自 对企业的各个关键点可能造成的威胁 这些威胁可能造成总体功能的失效 由 于在当前计算机网络环境中 相对于主机环境 单机环境 安全问题变得越来 越复杂和突出 所以网安全风险分析成为制定有效的安全管理策略和选择有作 用的安全技术实施措施的重要依据 安全保障不能完全基于思想教育或信任 而应基于 最低权限 和 相互监督 的法则 减少保密信息的介入范围 尽 力消除使用者为使用资源不得不信任他人或被他人信任的问题 建立起完整的 安全控制体系和保证体系 网络安全策略安全策略分为安全管理策略和安全技术实施策略两个方面 l 管理策略第 3 章网络安全系统设计安全系统需要人来执行 即使是最好的 最值得信赖的系统安全措施 也不能完全由计算机系统来完全承担安全保证任 务 因此必须建立完备的安全组织和管理制度 2 技术策略技术策略要针对网 络 操作系统 数据库 信息共享授权提出具体的措施 安全管理原则计算机信息系统的安全管理主要基于三个原则 1 多人负责 原则每项与安全有关的活动都必须有两人或多人在场 这些人应是系统主管领 导指派的 应忠诚可靠 能胜任此项工作 2 任期有限原则一般地讲 任何人 最好不要长期担任与安全有关的职务 以免误认为这个职务是专有的或永久性 的 3 职责分离原则除非系统主管领导批准 在信息处理系统工作的人员不要 打听 了解或参与职责以外 与安全有关的任何事情 企业网络安全解决方案 安全管理的实现信息系统的安全管理部门应根据管理原则和该系统处理数 据的保密性 制订相应的管理制度或采用相应规范 其具体工作是 1 确定该 系统的安全等级 根据确定的安全等级 确定安全管理的范围 2 制订相应的 机房出入管理制度 对安全等级要求较高的系统 要实行分区控制 限制工作 人员出入与己无关的区域 3 制订严格的操作规程 操作规程要根据职责分离 和多人负责的原则 各负其责 不能超越自己的管辖范围 4 制订完备的系统 维护制度 维护时 要首先经主管部门批准 并有安全管理人员在场 故障原 因 维护内容和维护前后的情况要详细记录 5 制订应急措施 要制订在紧急 情况下 系统如何尽快恢复的应急措施 使损失减至最小 6 建立人员雇用和 解聘制度 对工作调动和离职人员要及时调整相应的授第 3 章网络安全系统设 计权 安全系统需要由人来计划和管理 任何系统安全设施也不能完全由计算 机系统独立承担系统安全保障的任务 一方面 各级领导一定要高度重视并积 极支持有关系统安全方面的各项措施 14 其次 对各级用户的培训也十分重要 只有当用户对网络安全性有了深入了解后 才能降低网络信息系统的安全风险 总之 制定系统安全策略 安装网络安全系统只是网络系统安全性实施的第一 步 只有当各级组织机构均严格执行网络安全的各项规定 认真维护各自负责 的分系统的网络安全性 才能保证整个系统网络的整体安全性 网络安全设计由于网络的互连是在链路层 网络层 传输层 应用层不同 协议层来实现 各个层的功能特性和安全特性也不同 因而其网络安全措施也 不相同 15 物理层安全涉及传输介质的安全特性 抗干扰 防窃听将是物理层 安全措施制定的重点 在链路层 通过 桥 这一互连设备的监视和控制作用 使我们可以建立一定程度的虚拟局域网 对物理和逻辑网段进行有效的分割和 隔离 消除不同安全级别逻辑网段间的窃听可能 在网络层 可通过对路由器 的路由表控制和对不同子网的定义来限制子网间的接点通信 通过对主机路由 表的控制来控制与之直接通信的节点 同时 利用网关的安全控制能力 可以 限制节点的通信 应用服务 并加强外部用户识别和验证能力 对网络进行级 别划分与控制 网络级别的划分大致包括外网与内网等 其中 internet 外网的 接口要采用专用防火墙 各网络级别的接口利用物理隔离设备 防火墙 安全 邮件服务器 路由器的可控路由表 安全拨号验证服务器和安全级别较高的操 作系统 增强网络互连的分割和过滤控制 也可以大大提高安全保密性 3 3 设计依据经过确切了解企业信息系统需要解决哪些安全问题后 校园网网络信 息系统需要解决如下安全问题 1 局域网内部的安全问题 包括网段的划分以 及 Vlan 的实现 2 在连接 internet 时 如何在网络层实现安全性 第 3 章网 络安全系统设计 3 应用系统如何保证安全性 4 如何防止黑客对主机 网络 企业网络安全解决方案 服务器等的入侵 5 如何实现广域网信息传输的安全保密性 6 如何实现远程 访问的安全性 7 如何评价网络系统的整体安全性 8 加密系统如何布置 包 括建立证书管理中心 应用系统集成加密等 基于这些安全问题的提出 网络 信息系统一般应包括如下安全机制 访问控制 加密通信 安全检测 攻击监 控 认证 隐藏网络内部信息等 第 4 章 安全产品的配置与应用 4 1 防病毒及特洛伊木马软件 为了实现在整个局域网内杜绝病毒的感染 传播和发作 我们应该在整个 网络内可能感染和传播病毒的地方采取相应的防病毒手段 同时为了有效 快 捷地实施和管理整个网络的防病毒体系 应能实现远程安装 智能升级 远程 报警 集中管理 分布查杀病毒等多种功能 网络采用上机机房与办公区相分 离的结构 1 不使用盗版或来历不明的软件 特别不能使用盗版的杀毒软件 2 写保护所有系统盘 绝不把用户数据写到系统盘上 3 安装真正有效的防毒软件 并经常进行升级 4 对外来程序要使用尽可能多的查毒软件进行检查 包括从硬盘 软盘 局 域网 Internet Email 中获得的程序 未经检查的可执行文件不能拷入硬盘 更不能使用 5 尽量不要使用软盘启动计算机 6 一定要将硬盘引导区和主引导扇区备份下来并经常对重要数据进行备份 防患于未然 7 随时注意计算机的各种异常现象 如速度变慢 出现奇怪的文件 文件尺寸 发生变化 内存减少等 一旦发现 应立即用杀毒软件仔细检查 8 对于软盘 光盘传染的病毒 预防的方法就是不要随便打开程序或安装软件 可以先复制到硬盘上 接着用杀毒软件检查一遍 再执行安装或打开命令 平时的积极预防 定期的查毒 杀毒 在病毒和反病毒技术的较量过程中 病毒总是领先一步 先有病毒 然后 有反病毒 新的病毒层出不穷 而老的 旧的杀毒软件在新的病毒面前可能束 手无策 好在目前大多杀毒软件都提供了让用户自己升级的能力 这样就要多 多的留心收集报刊 杂志中的反病毒公告 如果有条件 最好多准备几种杀 毒软件 进行交叉杀毒 还有就是平时留心病毒的发展动态 譬如目前流行的 CIH 病毒 知道了它的发作条件是每月的二十六日 那么在不能确定自己的电 企业网络安全解决方案 脑是否被 CIH 病毒感染的时候 最简单的做法就是每月的二十六日不用机器 或通过更改电脑的日期跳过二十六日这一天 想要知道自己的计算机中是否染有病毒 最简单的方法是实用较新的反病 毒软件对磁盘进行全面的检测 4 1 1 病毒之后的解决办法 在解毒之前 要先备份重要的数据文件 启动反病毒软件 并对整个硬盘进行扫描 发现病毒后 我们一般应利用反病毒软件清除文件中的病毒 如果可执行文 件中的病毒不能被清除 一般应将其删除 然后重新安装相应的应用程序 某些病毒在 Windows 98 状态下无法完全清除 如 CIH 病毒就是如此 此时我们应采用事先准备的干净的系统引导盘引导系统 然后在 DOS 下运行 相关杀毒软件进行清除 可以随时随地防护任何病毒反病毒软件是不存在的 随着各种新病毒的不 断出现 反病毒软件必须快速升级才能达到杀除病毒的目的 具体来说 我们 在对抗病毒时需要的是一种安全策略和一个完善的反病毒系统 用备份作为防 病毒的第一道防线 将反病毒软件作为第二道防线 而及时升级反病毒软件的 病毒代码则是加固第二道防线的唯一方法 4 1 2 恶意网站的处理 我们经常会遇到 IE 被修改了 或注册表不能打开了 开机后 IE 疯狂地打 开窗口等等 看来恶意网站流毒不浅 下面我们就来看看如何与 恶意网站 斗 争到底吧 如何判断自己是遇到了恶意网站的攻击 症状多种多样 1 开机自动登录网站 2 启动 IE 自动登录网站 无法修复主页设置 3 IE 不断打开窗口 4 修改 主页 按钮和 搜索 按钮 企业网络安全解决方案 5 修改右键菜单 甚至屏蔽右键菜单 6 更改收藏夹的内容 7 安装自动拨号程序 8 自动安装木马程序 9 自动格式化硬盘或删除某个文件夹中的所有文件 10 更新文件关联和锁死 EXE 程序 11 锁死注册表 4 2 动态口令身份认证方案 动态口令身份认证具有随机性 动态性 一次性 不可逆等特点 不仅保 留了静态口令方便性的优点 而且很好地弥补了静态口令存在的各种缺陷 动 态口令系统在国际公开的密码算法基础上 结合生成动态口令的特点 加以精 心修改 通过数十次以上的非线性迭代运算 完成时间参数与密钥充分的混合 扩散 在此基础上 采用先进的身份认证及加解密流程 先进的密钥管理方式 从整体上保证了系统的安全性 特点如下 1 动态口令系统的抗截获攻击能力 在动态口令认证系统的设计中 每个正确的动态口令只能使用一次 因此 不 用担心口令在传输认证期间被第三方监听到 因为正确的口令在认证服务器上 被认证之后 在数据库中会有相应的日志记录 这时即使再有使用这个正确口 令的用户提交认证 也不能通过 动态口令系统的这个特点使得截获攻击无法 实现 2 动态口令系统的抗实物解剖能力动态口令卡采用了带加密位的数据处 理器 防止有人企图解算法程序从其中读出 具有很高的抗实物解剖能力 另 外 由于每个用户的密钥都不相同 在初始化时随时生成 并且密钥与同口令 计算有关的信息存贮在动态 RAM 中 当有人对其进行分析时 数据处理一旦掉 电 这些密钥将消失 即使有人破译了其中的程序 由于不知道用户的密钥 以及初始化时间等相关信息 也无法正确地计算出用户实时的口令 3 动态口 令系统的抗穷举攻击能力穷举攻击是破解口令时常用的攻击手段之一 这种攻 击手段的特点就是大量频繁地对一个用户的口令进行反复认证 针对这一特点 在动态口令认证系统中对每一个用户在一个时段内的认证结果设计了日志记录 当发现一个用户的认证记录为多次失败时 系统将锁住这个用户的认证行为 这样也就杜绝了穷举攻击的可能性 企业网络安全解决方案 4 系统的密钥管理和安全数据库的加密 系统安全数据库保存用户信息 用户密钥等等 这些敏感数据如果泄露 将使第三者获得合法用户的身份 因 此是绝对需要保密的 我们对安全数据库均进行加密后存放在服务器上 绝对 不以明码的形式出现 系统主密钥存放在系统维护员的 IC 卡上 只有掌握系统 维护员的 IC 卡的人才能对这些敏感数据库进行操作 因此不掌握系统密钥的话 即使有机会接触到服务器 也无法取得各用户密钥 本网络系统采用南京众力科技有限公司生产的 VPN 动态口令身份认证系统 VPN 动态口令身份认证系统主要由以下几个主要模块组成 18 认证系统管理员 界面 帐号管理服务器 UAM RADIUS 认证服务器 NAS 网络接入服务器采用 带 VPN 功能的防火墙 例如 NOKIAIP380 ORACLE 数据库管理系统 VPN 客户 端 防火墙管理软件 例如 NOKIA 防火墙软件 CheekPointExpress VPN 用户 从顶 tenet 远程访问内部网络 需要对用户身份进行认证 允许合法的用户访 问网络 不合法的用户不允许访问 密码通过远程网络传输有被黑客拦截的危 险 而采用动态口令作为密码 真正做到一次一密 即每次用户通过身份认证 后本次密码立即失效 用户下次登录时 通过 VPN 客户端获得新的密码 并通 过手机短信将新密码发送给用户 图 4 1 动态口令身份认证系统部署方案图 采用该方案后 在企业的认证系统中能够实现 企业网络安全解决方案 1 密钥 时间双因素的身份认证机制 2 登录口令随时间变化 3 口令使用次数和时效自由控制 有效抵御重播攻击行为 4 开放的应用程序接口 与应用系统方便集成 5 使用经过国家认可的自主密码算法 具有优秀的安全性 6 提供客户端设备与认证服务器之间的时间补偿机制 提高系和可用性 7 用户端设备设计小巧 性能稳定 使用方便 8 提供完善灵活的安全事件日志审计和查询功能 避免了静态口令中的不足 譬如 1 网络数据流窃听 Sniffer 2 认证信息截取 重放 Reeord Rplay 3 字典攻击 4 穷举尝试 BruteForee 4 3 访问控制 防火墙系统 防火墙是一种网络安全保障手段 是网络通信时执行的一种访问控制尺度 其主要目标就是通过控制入 出一个网络的权限 并迫使所有的连接都经过这样 的检查 防止一个需要保护的网络遭外界因素的干扰和破坏 在逻辑上 防火墙 是一个分离器 一个限制器 也是一个分析器 有效地监视了内部网络和 Internet 之间地任何活动 保证了内部网络地安全 在物理实现上 防火墙是 位于网络特殊位置地以组硬件设备 路由器 计算机或其他特制地硬件设备 防火墙可以是独立地系统 也可以在一个进行网络互连地路由器上实现防火墙 用防火墙来实现网络安全必须考虑防火墙的网络拓扑结构 1 屏蔽路由器 又称包过滤防火墙 2 双穴主机 双穴主机是包过滤网关的一种替代 3 主机过滤结构 这种结构实际上是包过滤和代理的结合 4 屏蔽子网结构 这种防火墙是双穴主机和被屏蔽主机的变形 企业网络安全解决方案 根据防火墙所采用的技术不同 我们可以将它分为四种基本类型 包过滤型 网络地址转换 NAT 代理型和监测型 4 3 1 包过滤型 包过滤型产品是防火墙的初级产品 其技术依据是网络中的分包传输技术 网络上的数据都是以 包 为单位进行传输的 数据被分割成为一定大小的数据 包 每一个数据包中都会包含一些特定信息 如数据的源地址 目标地址 TCP UDP 源端口和目标端口等 防火墙通过读取数据包中的地址信息来判断这 些 包 是否来自可信任的安全站点 一旦发现来自危险站点的数据包 防火墙 便会将这些数据拒之门外 系统管理员也可以根据实际情况灵活制订判断规则 包过滤技术的优点是简单实用 实现成本较低 在应用环境比较简单的情况下 能 够以较小的代价在一定程度上保证系统的安全 但包过滤技术的缺陷也是明显 的 包过滤技术是一种完全基于网络层的安全技术 只能根据数据包的来源 目 标和端口等网络信息进行判断 无法识别基于应用层的恶意侵入 如恶意的 Java 小程序以及电子邮件中附带的病毒 有经验的黑客很容易伪造 IP 地址 骗过包 过滤型防火墙 4 3 2 网络地址转化 NAT 网络地址转换是一种用于把 IP 地址转换成临时的 外部的 注册的 IP 地 址标准 它允许具有私有 IP 地址的内部网络访问因特网 它还意味着用户不许 要为其网络中每一台机器取得注册的 IP 地址 在内部网络通过安全网卡访问外 部网络时 将产生一个映射记录 系统将外出的源地址和源端口映射为一个伪 装的地址和端口 让这个伪装的地址和端口通过非安全网卡与外部网络连接 这样对外就隐藏了真实的内部网络地址 在外部网络通过非安全网卡访问内部 网络时 它并不知道内部网络的连接情况 而只是通过一个开放的 IP 地址和端 口来请求访问 OLM 防火墙根据预先定义好的映射规则来判断这个访问是否安 全 当符合规则时 防火墙认为访问是安全的 可以接受访问请求 也可以将 连接请求映射到不同的内部计算机中 当不符合规则时 防火墙认为该访问是 不安全的 不能被接受 防火墙将屏蔽外部的连接请求 网络地址转换的过程 对于用户来说是透明的 不需要用户进行设置 用户只要进行常规操作即可 4 3 3 代理型 代理型防火墙也可以被称为代理服务器 它的安全性要高于包过滤型产品 企业网络安全解决方案 并已经开始向应用层发展 代理服务器位于客户机与服务器之间 完全阻挡了二 者间的数据交流 从客户机来看 代理服务器相当于一台真正的服务器 而从服 务器来看 代理服务器又是一台真正的客户机 当客户机需要使用服务器上的数 据时 首先将数据请求发给代理服务器 代理服务器再根据这一请求向服务器索 取数据 然后再由代理服务器将数据传输给客户机 由于外部系统与内部服务器 之间没有直接的数据通道 外部的恶意侵害也就很难伤害到企业内部网络系统 代理型防火墙的优点是安全性较高 可以针对应用层进行侦测和扫描 对付基于 应用层的侵入和病毒都十分有效 其缺点是对系统的整体性能有较大的影响 而 且代理服务器必须针对客户机可能产生的所有应用类型逐一进行设置 大大增加 了系统管理的复杂性 4 3 4 监测型 监测型防火墙是新一代的产品 这一技术实际已经超越了最初的防火墙定义 监测型防火墙能够对各层的数据进行主动的 实时的监测 在对这些数据加以分 析的基础上 监测型防火墙能够有效地判断出各层中的非法侵入 同时 这种检 测型防火墙产品一般还带有分布式探测器 这些探测器安置在各种应用服务器和 其他网络的节点之中 不仅能够检测来自网络外部的攻击 同时对来自内部的恶 意破坏也有极强的防范作用 据权威机构统计 在针对网络系统的攻击中 有相 当比例的攻击来自网络内部 因此 监测型防火墙不仅超越了传统防火墙的定义 而 且在安全性上也超越了前两代产品 虽然监测型防火墙安全性上已超越了包过滤 型和代理服务器型防火墙 但由于监测型防火墙技术的实现成本较高 也不易管 理 所以目前在实用中的防火墙产品仍然以第二代代理型产品为主 但在某些方 面也已经开始使用监测型防火墙 基于对系统成本与安全技术成本的综合考虑 用户可以选择性地使用某些监测型技术 这样既能够保证网络系统的安全性需 求 同时也能有效地控制安全系统的总拥有成本 实际上 作为当前防火墙产品 的主流趋势 大多数代理服务器 也称应用网关 也集成了包过滤技术 这两种技 术的混合应用显然比单独使用具有更大的优势 由于这种产品是基于应用的 应 用网关能提供对协议的过滤 例如 它可以过滤掉 FTP 连接中的 PUT 命令 而且 通过代理应用 应用网关能够有效地避免内部网络的信息外泄 正是由于应用网 关的这些特点 使得应用过程中的矛盾主要集中在对多种网络应用协议的有效支 持和对网络整体性能的影响上 企业网络安全解决方案 图 4 2 防火墙系统部署方案 4 4 入侵检测系统 入侵是指任何企图破坏资源的完整性 机密性及可用性的活动集合 一般 而言 入侵包括尝试性闯入 伪装攻击 安全控制系统渗透 泄漏 拒绝服务 恶意使用六种类型 概括的说 入侵表示系统发生了违反系统安全策略的事件 入侵检测是指通过检查操作系统的审计数据或网络数据包信息来检测系统 中违背安全策略或危机系统安全的行为或活动 从而保护系统的资源不受攻击 防止系统数据的泄漏 篡改和破坏 入侵检测系统是指能够通过分析与系统安 全相关的数据来检测入侵活动的系统 包括入侵检测的软件和硬件的组合 20 从系统所执行的功能上来考虑 入侵检测系统必须包括如下三个功能部件 提供事件记录流的数据收集部件 发现入侵迹象的分析引擎和基于分析引擎的 结果产生的响应部件 入侵检测 是一种网络实时自动攻击识别和响应系统它 通过多种途径收集单位内部网的主机和网络信息 对这些信息加以分析 查看 网络安全体系结构是否存在漏洞 主机系统和网络上是否有入侵事件发生 如 果发现有入侵事件 自动对这些事件响应 同时给出相应提示 企业办公部门 企业网络安全解决方案 比较多 内部网根据部门划分不同的子网网段 每个部门或子网都有一个交换 机 设置网络中心 有专门的网络管理员 各个子网汇总到网络中 自连接到 高性能服务器群 高性能服务器群放置在防火墙的 DMZ 区 根据网络流量和保 护数据的重要程度 选择 IDS 探测器配置在内部关键子网的交换机处放置 核 心交