计算机网络安全10网络安全解决方案.ppt

第10章网络安全解决方案 内容提要 网络安全体系结构网络安全解决方案单机用户网络安全解决方案内部网络安全管理制度小结 10 1网络安全体系结构 1 网络信息安全的基本问题网络信息安全的基本问题是众所周知的诸要素 可用性 保密性 完整性 可控性与可审查性等 最终要解决是使用者对基础设施的信心和责任感的问题 返回本章首页 网络时代的信息安全有非常独特的特征 研究信息安全的困难在于 边界模糊评估困难安全技术滞后管理滞后 返回本章首页 2 网络与信息安全体系要实施一个完整的网络与信息安全体系 至少应包括三类措施 并且三者缺一不可 一是社会的法律政策 规章制度措施二是技术措施三是审计和管理措施 返回本章首页 数据安全 平台安全 服务安全要求用完整的信息保障体系 并不断发展传统的信息安全概念 保护 检测 响应 恢复涵盖了对现代网络信息系统保护的各个方面 构成了一个完整的体系 使网络信息安全建筑在更坚实的基础之上 返回本章首页 1 保护 Protect 保护包括传统安全概念的继承 用加解密技术 访问控制技术 数字签名技术 从信息动态舆 数据静态存储和经授权方可使用 以及可验证的信息交换过程等到方面对数据及其网上操作加以保护 返回本章首页 2 检测 Detect 检测的含义是 对信息传输的内容的可控性的检测 对信息平台访问过程的甄别检测 对违规与恶意攻击的检测 对系统与网络弱点与漏洞的检测等等 返回本章首页 3 响应 React 在复杂的信息环境中 保证在任何时候信息平台能高效正常运行 要求安全体系提供有力的响应机制 返回本章首页 4 恢复 Restore 狭义的恢复指灾难恢复 在系统受到攻击的时候 评估系统受到的危害与损失 按紧急响应预案进行数据与系统恢复 启动备份系统恢复工作等 广义的恢复还包括灾难生存等现代新兴学科的研究 返回本章首页 保护 检测 响应 恢复四个概念之间存在着一定的因果和依存关系 形成一个整体 如果全面的保护仍然不能确保安全 这在现阶段是必然的 就需要检测来为响应创造条件 有效与充分地响应安全事件 将大大减少对保护和恢复的依赖 恢复能力是在其他措施均失准备的情形下的最后保障机制 返回本章首页 3 网络安全体系结构要使信息系统免受攻击 关键要建立起安全防御体系 从信息的保密性 拓展到信息的完整性 信息的可用性 信息的可控性 信息的不可否认性等 为研究的方便 可以将其简化为用三维框架表示的结构模型 其构成要素是安全特性 系统单元及开放互连参考模型结构层次 返回本章首页 返回本章首页 安全防御体系结构框架 上述框架模型是一个立体空间结构 突破了以往分散孤立地考虑安全问题的旧模式 是站在顶层从整体上对网络安全进行分析和描述的 它把与网络安全相关的物理 规章及人员等安全要素都容纳其中 涉及系统保安和人员的行政管理等方面的各种法令 法规 条例和制度等也均在其考虑之列 返回本章首页 在进行计算机网络安全设计 规划时 应遵循以下原则 需求 风险 代价平衡分析的原则综合性 整体性原则一致性原则易操作性原则适应性 灵活性原则多重保护原则 返回本章首页 任何安全保护措施都不是绝对安全的 都可能被攻破 为此需要构建全方位的安全体系 全方位的安全体系的主要内容包括 访问控制检查安全漏洞攻击监控加密通讯认证备份和恢复 返回本章首页 10 2网络安全解决方案 1 网络安全需求分析 1 网络安全需求分析的基本原则网络系统的安全性和易用性在很多时候是矛盾的 因此 在做安全需求分析时需要在其中找到一个恰当的平衡点 如果安全原则妨碍了系统应用 那么这个安全原则就不是一个好的原则 返回本章首页 在做需求分析时需要确立的几种意识 风险意识权衡意识相对意识集成意识 返回本章首页 2 安全威胁分析企业网络面临的安全威胁主要来自以下方面 操作系统的安全性 防火墙的安全性 来自内部网用户的安全威胁 缺乏有效的手段监视 评估网络系统的安全性 返回本章首页 采用的TCP IP协议族软件 本身缺乏安全性 应用服务的安全性 未能对来自Internet的电子邮件夹带的病毒及Web浏览可能存在的Java ActiveX控件进行有效控制 返回本章首页 一套完整的网络安全解决方案 应该根据目标网络系统的具体特征和应用特点 有针对性地解决可能面临的安全问题 具体来讲 需要考虑的问题包括 关于物理安全的考虑关于数据安全的考虑数据备份的考虑防病毒的考虑关于操作系统 数据库 应用系统的安全考虑 返回本章首页 网络系统安全结构的考虑通信系统安全的考虑关于口令安全的考虑关于软件研发安全的考虑关于人员安全因素的考虑网络相关设施的设置和改造安全设备的选型安全策略与安全管理保障机制的设计 返回本章首页 网络安全行政与法律保障体系的建立长期安全顾问服务服务的价格事件处理机制安全监控网络和安全监控中心的建立安全培训等 返回本章首页 3 企业网络的安全需求分析企业网络的基本安全需求企业网络内部部署了众多的网络设备 服务器 保护这些设备的正常运行 维护主要业务系统的安全 是企业网络的基本安全需求 返回本章首页 业务系统的安全需求企业网络应保障 访问控制 确保业务系统不被非法访问 数据安全 保证数据库软硬件系统的整体安全性和可靠性 入侵检测 能及时发现 记录和跟踪破坏业务系统的恶意行为 提供非法攻击的证据 来自网络内部其他系统带来的安全隐患 返回本章首页 Internet服务网络的安全需求Internet服务网络安全需求是保护网络不受破坏 确保网络服务的可用性 Internet服务网络分为两个部分 提供网络用户对Internet的访问提供Internet对网内服务的访问 返回本章首页 作为信息网络之间互联的边界安全应作为主要安全需求包括 保证信息网络间安全互联 能够实现网络安全隔离 对于专有应用的安全服务 必要的信息交互的可信任性 能够提供对于主流网络应用的良好支持 返回本章首页 信息网络公共资源能够对开放用户提供安全访问 对网络安全事件的审计 对于网络安全状态的量化评估 对网络安全状态的实时监控 返回本章首页 信息网络内部的安全需求 包括 信息网络中的各单位网络之间建立连接控制手段 能够满足信息网络内的授权用户对相关专用网络资源访问 同时对于远程访问用户增强安全管理 加强对于整个信息网络资源和人员的安全管理与培训 返回本章首页 4 安全需求分析的一般过程 返回本章首页 本节以某公司网络为例 来介绍进行安全需求分析的一般过程 网络拓扑结构如右图所示 网络系统的总体安全需求是建立在对网络安全层次分析基础上的 对于基于TCP IP协议的网络系统来说 安全层次是与TCP IP协议层次相对应的 针对网络的实际情况 可以将安全需求层次归纳为网络层安全和应用层安全两个技术层次 同时将在各层都涉及的安全管理部分单独作为一部分进行分析 返回本章首页 网络层需求分析网络层安全需求是保护网络不受攻击 确保网络服务的可用性 能够防范来自Internet的对提供服务的非法利用 防范来自Internet的网络入侵和攻击行为的发生 对于内部网络提供高于网络边界更高的安全保护 返回本章首页 应用层需求分析应用层的安全需求是针对用户和网络应用资源的 主要包括 合法用户可以以指定的方式访问指定的信息 合法用户不能以任何方式访问不允许其访问的信息 非法用户不能访问任何信息 用户对任何信息的访问都有记录 返回本章首页 安全管理需求分析能否制定一个统一的安全策略 在全网范围内实现统一的安全管理 对于企业网来说是至关重要的 安全管理主要包括三个方面 内部安全管理网络安全管理应用安全管理 返回本章首页 2 网络安全解决方案 1 网络安全解决方案的层次划分第一部分为法律 法规与管理手段第二部分为增强的用户认证第三部分是授权第四部分是加密第五部分为审计 监控和数据备份 返回本章首页 在上述网络和信息安全模型中 五个部分是相辅相成 缺一不可的 其中底层是上层保障的基础 如果缺少下面各层次的安全保障 上一层的安全措施则无从说起 返回本章首页 2 网络安全解决方案 返回本章首页 根据上述网络安全解决方案的层次分析 可以设计出如图所示的网络安全解决方案 在总部网关位置配置CheckPointFirewall 1防火墙 划分多安全区域 将内网 对外发布的WebServer和电子商务网站放置在不同的网络安全区域 在服务器区前放置CheckPointFirewall 1防火墙模块 其他区域对服务器区的访问必须经过防火墙模块的检查 在中心交换机上配置基于网络的IDS系统 监控整个网络内的网络流量 返回本章首页 在服务器区内的重要服务器 如Sybase数据库服务器等 安装基于主机的入侵检测系统 对所有对数据库服务器的访问进行监控 并对数据库服务器的操作进行记录和审计 将电子商务网站和进行公司普通Web发布服务器进行独立配置 对电子商务网站的访问将需要身份认证和加密传输 保证电子商务的安全性 返回本章首页 在DMZ区的电子商务网站配置基于主机的入侵检测系统 防止来自Internet对Http服务的攻击行为 在公司总部安装Spa统一认证服务器 对所有需要的认证进行统一管理 并根据客户的安全级别设置所需要的认证方式 如静态口令 动态口令 数字证书等 返回本章首页 3 设备说明防火墙设备在本方案中选用的防火墙设备是CheckPointFireWall 1防火墙 FireWall 1功能特点有 对应用程序的广泛支持集中管理下的分布式客户机 服务器结构远程网络访问的安全保障 FireWall 1SecuRemote 返回本章首页 防病毒设备在本方案中防病毒设备选用的是趋势科技的整体防病毒产品和解决方案 包括中央管理控制 服务器防病毒和客户机防病毒三部分 返回本章首页 入侵监测设备在本方案中入侵监测设备采用的是NFR入侵监测设备 包括NFRNID和NFRHID NFR把基于网络的入侵检测技术NID和基于主机的入侵检测技术HID完美地结合起来 构成了一个完整的 一致的实时入侵监控体系 返回本章首页 SPA身份认证设备本方案采用的身份认证设备是SecureComputing的SafeWord SafeWord具备分散式运作及无限制的可扩充特性 返回本章首页 10 3单机用户网络安全解决方案 由于当前个人用户使用Windows类操作系统的占大多数 因此本节所讨论的单机用户网络安全解决方案主要是针对Windows系列操作系统的 单机上网用户面临的安全问题主要包括 返回本章首页 计算机硬件设备的安全计算机病毒网络蠕虫恶意攻击木马程序网站恶意代码操作系统和应用软件漏洞等 返回本章首页 1 Windows98安全解决方案 1 Windows98系统面临的安全威胁Windows98系统的可控性和可管理性相对较差 从自身来讲安全性不强 但同时来自于Internet上的安全威胁又相对较少 主要体现在 返回本章首页 恶意网络攻击网络共享漏洞恶意网站代码不明来历的包含病毒与木马的应用程序恶意电子邮件攻击等 返回本章首页 其中电子邮件带来的安全问题主要包括 电子邮件容易被截获电子邮件客户端软件设计存在缺陷 返回本章首页 2 Windows98安全解决方案根据以上的分析对Windows98系统的安全解决方案主要包括 防病毒与木马防网络攻击防网站恶意代码电子邮件安全 返回本章首页 防病毒与木马防病毒与木马主要依赖于防病毒软件 目前比较流行的有代表性的防病毒软件有 NortonAnti Virus KasperskyAnti Virus 江民的KV系列 金山毒霸和瑞星等 防病毒软件通常也具有一定防木马的能力 专业的防木马软件有 木马克星 Anti Trojan TrojanRemover等 安装防病毒软件绝对不是一劳永逸的 一定要养成定期更新病毒代码库的良好习惯 返回本章首页 防网络攻击防网络攻击的有效手段是安装个人防火墙 应用防火墙软件最主要的是要设置好防火墙的规则 只有这样才能正常发挥抵御网络攻击的能力 典型的个人防火墙软件主要有 NortonInternetSecurity ZoneAlarmPro BlackIce 天网防火墙 个人版 绿色警戒等 返回本章首页 防网站恶意代码对于单机上网用户来说 网站恶意代码是威胁用户安全的主要因素 为了防网站恶意代码的危害 不让其执行是其中的关键 可以在IE浏览器的安全设置中禁止VBScript和JavaScript的执行 此外 如今的防病毒软件大多数也具有检测并杀除网站恶意代码的能力 返回本章首页 电子邮件安全从技术上看 没有任何办法可以阻止攻击者截获需要在网络上传输的数据包 保护电子邮件安全的唯一方法就是让攻击者截获了数据包但无法阅读它 即对电子邮件的内容进行某种形式的加密处理 目前已经出现了不少解决电子邮件安全问题的加密系统解决方案 其中最具代表性的是PGP加密系统 返回本章首页 2 Windows2000 XP安全解决方案针对Windows98的安全措施对Windows2000 XP同样有效 也是Windows2000 XP安全解决方案的重要组成部分 此外Windows2000 XP的可管理性比Windows98要强得多 本小节主要从安全管理和安全配置方面进行介绍 返回本章首页 1 Windows2000 XP安全管理停用Guest帐号限制不必要的用户数量创建2个管理员用帐号把系统administrator帐号改名创建一个陷阱帐号把共享文件的权限从 everyone 组改成 授权用户 返回本章首页 使用安全密码设置屏幕保护密码使用NTFS格式分区保障备份盘的安全 返回本章首页 2 Windows2000安全配置利用win2000 XP的安全配置工具来配置策略关闭不必要的服务关闭不必要的端口打开审核策略开启密码策略开启帐户策略设定安全记录的访问权限 返回本章首页 不让系统显示上次登陆的用户名到微软网站下载最新的补丁程序禁止建立空连接关闭默认共享禁止dumpfile的产生关机时清除掉页面文件禁止从软盘和CDRom启动系统考虑使用智能卡来代替密码虑使用IPSec 返回本章首页 10 4内部网络安全管理制度 面对网络安全的脆弱性 除在网络设计上增加安全服务功能 完善系统的安全保密措施外 还必须花大力气加强网络的安全管理 下面提出有关信息系统安全管理的若