中小企业网络安全方案--毕业作业.doc

网络安全技术实践报告题目:中小型企业网络安全解决方案姓名: 吴习衡 董定超 学号: 080438 080409 上交时间: 2010年 月 日目录前言11.网络环境现状21.1介绍21.2 拓扑图22.安全风险分析32.1概要风险分析32.2实际安全风险分析32.3*32.4*33.安全措施和解决方案43.1计算机安全43.2网络安全433保护(ISS)Web服务器43.4多种安全解决方法44 方案分析54.1 优点54.2不足之处5参考文献6前言概要介绍本人所做的主要内容。介绍所选的网络环境，所应用的技术、小组成员分工等。1.网络环境现状1.1介绍 信息化已成为国际性发展趋势，作为国民经济信息化的基础，企业信息化建设受到国家和企业的广泛重视。企业信息化，企业网络的建设是基础，从计算机网络技术和应用发展的现状来看，Intranet是得到广泛认同的企业网络模式。Intranet并不完全是原来局域网的概念，通过与Internet的联结，企业网络的范围可以是跨地区的，甚至跨国界的。现在，随着信息化技术的飞速发展 ，Internet的发展已成燎原之势，随着WWW上商业活动的激增，Intranet也应运而生。近几年，许多有远见的企业领导者都已感到企业信息化的重要性,陆续建立起了自己的企业网和Intranet并通过各种WAN线路与Internet相连。许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。国际互联网Internet在带来巨大的资源和信息访问的方便的同时，它也带来了巨大的潜在的危险，至今仍有很多企业仍然没有感到企业网安全的重要性。在我国网络急剧发展还是近几年的事，而在国外企业网领域出现的安全事故已经是数不胜数。因此，我们应该在积极进行企业网建设的同时，就应借鉴国外企业网建设和管理的经验，在网络安全上多考虑一些，将企业网中可能出现的危险和漏洞降到最低。使已经花了不少财力、人力和时间后，建立起来的网络真正达到预想的效果。影响计算机网络安全的因索很多，既有自然因素，也有人为因素，其中人为因素危害较大，归结起来丰要以下几个方面： (1)病毒感染 从“蠕虫”病毒开始到CIH、爱虫病毒，病毒一直是计算机系统安全最直接的威胁。病毒依靠网络迅速传播，它很容易地通过代理服务器以软件下载、邮件接收等方式进入网络，窃取网络信息，造成很人的损失。 (2)来自网络外部的攻击 这是指来自局域网外部的恶意攻击，例如：有选择地破坏网络信息的有效性和完整性；伪装为合法用户进入网络并占用大量资源；修改网络数据、窃取、破译机密信息、破坏软件执行；在中间站点拦截和读取绝密信息等。 （3)来自网络内部的攻击 在局域网内部，一些非法用户冒用合法用户的口令以合法身份登陆网站后。窃取机密信息，破坏信息内容，造成应用系统无法运行。 （4)系统的漏洞及“后门” 操作系统及网络软件不可能是百分之百的无缺陷、无漏洞的。编程人员有时会在软件中留有漏洞。一旦这个疏漏被不法分子所知，就会借这个薄弱环节对整个网络系统进行攻击，大部分的黑客入侵网络事件就是由系统的“漏洞” 和“后门”所造成的。 经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终。 1.2 拓扑图中小企业由于规模大小、行业差异、工作方式及管理方式的不同有着不同的网络拓扑机构。网络情况有以下几种。集中型:中小企业网络一般只在总部设立完善的网络布局。采取专线接入、ADSL接入或多条线路接入等网络接入方式，一般网络中的终端总数在几十到几百台不等。网络中有的划分了子网，并部署了与核心业务相关的服务器，如数据库、邮件服务器、文档资料库、甚至ERP服务器等。分散型:采取多分支机构办公及移动办公方式，各分支机构均有网络部署，数量不多。大的分支采取专线接入，一般分支采取ADSL接入方式。主要是通过VPN访问公司主机设备及资料库，通过邮件或内部网进行业务沟通交流。综合型:集中型与分散型的综合。综合型企业网络简图2.安全风险分析2.1概要风险分析 1. 物理安全分析 网络的物理安全是整个网络系统安全的前提。在网络工程建设中，由于网络系统属于弱电工程，耐压值很低。因此，在网络工程的设计和施工中，必须优先考虑保护人和网络设备不受电、火灾和雷击的侵害；考虑布线系统与照明电线、动力电线、通信线路、暖气管道及冷热空气管道之间的距离；考虑布线系统和绝缘线、裸体线以及接地与焊接的安全；必须建设防雷系统，防雷系统不仅考虑建筑物防雷，还必须考虑计算机及其他弱电耐压设备的防雷。总体来说物理安全的风险主要有，地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获；高可用性的硬件；双机多冗余的设计；机房环境及报警系统、安全意识等，因此要尽量避免网络的物理安全风险。 2.网络结构的安全风险分析 网络拓扑结构设计也直接影响到网络系统的安全性。企业网络与外网有互连。基于网络系统的范围大、函盖面广，内部网络将面临更加严重的安全威胁，入侵者每天都在试图闯入网络节点。 假如在外部和内部网络进行通信时，网络系统中办公系统及员工主机上都有涉密信息，假如内部网络的一台电脑安全受损(被攻击或者被病毒感染)，内部网络的机器安全就会受到威胁，同时也影响在同一网络上的许多其他系统。透过网络传播，还会影响到连上Internet/Intrant的其他的网络；影响所及，还可能涉及法律、金融等安全敏感领域。因此，我们在设计时有必要将公开服务器（WEB、DNS、EMAIL等）和外网及内部其它业务网络进行必要的隔离，避免网络结构信息外泄；同时还要对外网的服务请求加以过滤，只允许正常通信的数据包到达相应主机，其它的请求服务在到达主机之前就应该遭到拒绝。3.操作系统的安全风险分析 所谓系统的安全是指整个网络操作系统和网络硬件平台是否可靠且值得信任。目前恐怕没有绝对安全的操作系统可以选择，无论是Microsfot 的Windows NT或者其它任何商用UNIX操作系统，其开发厂商必然有其后门。因此，我们可以得出如下结论：没有完全安全的操作系统。不同的用户应从不同的方面对其网络作详尽的分析，选择安全性尽可能高的操作系统。因此不但要选用尽可能可靠的操作系统和硬件平台，并对操作系统进行安全配置。而且，必须加强登录过程的认证（特别是在到达服务器主机之前的认证），确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。 4.应用的安全风险分析 应用系统的安全跟具体的应用有关，它涉及面广。应用系统的安全是动态的、不断变化的。应用的安全性也涉及到信息的安全性，它包括很多方面。应用的安全性也是动态的。这就需要我们对不同的应用，检测安全漏洞，采取相应的安全措施，降低应用的安全风险。主要有文件服务器的安全风险、数据库服务器的安全风险、病毒侵害的安全风险、数据信息的安全风险等 应用的安全涉及方面很多，以目前Internet上应用最为广泛的E-mail系统来说，其解决方案有sendmail、Netscape Messaging Server、Software.Com Post.Office、Lotus Notes、Exchange Server、SUN CIMS等不下二十多种。其安全手段涉及LDAP、DES、RSA等各种方式。应用系统是不断发展且应用类型是不断增加的。在应用系统的安全性上，主要考虑尽可能建立安全的系统平台，而且通过专业的安全工具不断发现漏洞，修补漏洞，提高系统的安全性。应用的安全性涉及到信息、数据的安全性。信息的安全性涉及到机密信息泄露、未经授权的访问、 破坏信息完整性、假冒、破坏系统的可用性等。在某些网络系统中，涉及到很多机密信息，如果一些重要信息遭到窃取或破坏，它的经济、社会影响和政治影响将是很严重的。因此，对用户使用计算机必须进行身份认证，对于重要信息的通讯必须授权，传输必须加密。采用多层次的访问控制与权限控制手段，实现对数据的安全保护；采用加密技术，保证网上传输的信息（包括管理员口令与帐户、上传信息等）的机密性与完整性。 5.管理的安全分析 管理是网络中安全最最重要的部分。责权不明，安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案，因此，最可行的做法是制定健全的管理制度和严格管理相结合。保障网络的安全运行，使其成为一个具有良好的安全性、可扩充性和易管理性的信息网络便成为了首要任务。一旦上述的安全隐患成为事实，所造成的对整个网络的损失都是难以估计的。因此，网络的安全建设是网络安全建设过程中重要的一环。 管理方面的安全隐患包括：内部管理人员或员工图方便省事，不设置用户口令，或者设置的口令过短和过于简单，导致很容易破解。责任不清，使用相同的用户名、口令，导致权限管理混乱，信息泄密。把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。内部不满的员工有的可能造成极大的安全风险。 2.2实际安全风险分析 现今的网络安全存在的威胁主要表现在以下几个方面。 1.非授权访问。指对网络设备及信息资源进行非正常使用或越权使用等。 2.冒充合法用户。主要指利用各种假冒或欺骗的手段非法获得合法用户的使用权限,以达到占用合法用户资源的目的。 3.破坏数据的完整性。指使用非法手段,删除、修改、重发某些重要信息,以干扰用户的正常使用。 4.干扰系统正常运行。指改变系统的正常运行方法,减慢系统的响应时间等手段。 5.病毒与恶意攻击。指通过网络传播病毒或恶意Java、XActive等。6.线路窃听。指利用通信介质的电磁泄漏或搭线窃听等手段获取非法信息。2.3安全缺口安全策略经常会与用户方便性相矛盾,从而产生相反的压力,使安全措施与安全策略相脱节。这种情况称为安全缺口。为什么会存在安全缺口呢?有下面四个因素: 1、网络设备种类繁多当前使用的有各种各样的网络设备,从Windows NT和UNIX 服务器到防火墙、路由器和Web服务器,每种设备均有其独特的安全状况和保密功能; 2、访问方式的多样化一般来说,您的网络环境存在多种进出方式,许多过程拔号登录点以及新的Internet访问方式可能会使安全策略的设立复杂化;网络的不断变化网络不是静态的,一直都处于发展变化中。启用新的硬件设备和操作系统,实施新的应用程序和Web服务器时,安全配置也有不尽相同;4、 用户保安专业知识的缺乏许多组织所拥有的对网络进行有效保护的保安专业知识十分有限,这实际上是造成安全缺口最为主要的一点。2.4网络安全评估 为堵死安全策略和安全措施之间的缺口,必须从以下三方面对网络安全状况进行评估: 1、 从企业外部进行评估:考察企业计算机基础设施中的防火墙; 2、从企业内部进行评估:考察内部网络系统中的计算机; 3、从应用系统进行评估:考察每台硬件设备上运行的操作系统。3.安全措施和解决方案3.1计算机安全1.访问控制策略 访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非常访问。它也是维护网络系统安全、保护网络资源的重要手段。各种安全策略必须相互配合才能真正起到保护作用，但访问控制可以说是保证网络安全最重要的核心策略之一。下面我们分述各种访问控制策略。1) 入网访问控制 入网访问控制为网络访问提供了第一层访问控制。它控制哪些用户能够登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。 用户的入网访问控制可分为三个步骤：用户名的识别与验证、用户口令的识别与验证、用户帐号的缺省限制检查。三道关卡中只要任何一关未过，该用户便不能进入该网络。 对网络用户的用户名和口令进行验证是防止非法访问的第一道防线。用户注册时首先输入用户名和口令，服务器将验证所输入的用户名是否合法。如果验证合法，才继续验证用户输入的口令，否则，用户将被拒之网络之外。用户的口令是用户入网的关键所在。为保证口令的安全性，用户口令不能显示在显示屏上，口令长度应不少于6个字符，口令字符最好是数字、字母和其他字符的混合，用户口令必须经过加密，加密的方法很多，其中最常见的方法有：基于单向函数的口令加密，基于测试模式的口令加密，基于公钥加密方案的口令加密，基于平方剩余的口令加密，基于多项式共享的口令加密，基于数字签名方案的口令加密等。经过上述方法加密的口令，即使是系统管理员也难以得到它。用户还可采用一次性用户口令，也可用便携式验证器（如智能卡）来验证用户的身份。 网络管理员应该可以控制和限制普通用户的帐号使用、访问网络的时间、方式。用户名或用户帐号是所有计算机系统中最基本的安全形式。用户帐号应只有系统管理员才能建立。用户口令应是每用户访问网络所必须提交的“证件”、用户可以修改自己的口令，但系统管理员应该可以控制口令的以下几个方面的限制：最小口令长度、强制修改口令的时间间隔、口令的唯一性、口令过期失效后允许入网的宽限次数。 用户名和口令验证有效之后，再进一步履行用户帐号的缺省限制检查。网络应能控制用户登录入网的站点、限制用户入网的时间、限制用户入网的工作站数量。当用户对交费网络的访问“资费”用尽时，网络还应能对用户的帐号加以限制，用户此时应无法进入网络访问网络资源。网络应对所有用户的访问进行审计。如果多次输入口令不正确，则认为是非法用户的入侵，应给出报警信息。2) 网络的权限控制网络的权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。可以指定用户对这些文件、目录、设备能够执行哪些操作。受托者指派和继承权限屏蔽（IRM）可作为其两种实现方式。受托者指派控制用户和用户组如何使用网络服务器的目录、文件和设备。继承权限屏蔽相当于一个过滤器，可以限制子目录从父目录那里继承哪些权限。我们可以根据访问权限将用户分为以下几类：（1） 特殊用户（即系统管理员）；（2） 一般用户，系统管理员根据他们的实际需要为他们分配操作权限；（3） 审计用户，负责网络的安全控制与资源使用情况的审计。用户对网络资源的访问权限可以用一个访问控制表来描述。3) 目录级安全控制网络应允许控制用户对目录、文件、设备的访问。用户在目录一级指定的权限对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件的权限。对目录和文件的访问权限一般有八种：系统管理员权限（Supervisor）；读权限（Read）、；写权限（Write）；创建权限（Create）；删除权限（Erase）；修改权限（Modify）；文件查找权限（File Scan）；存取控制权限（Access Control）；用户对文件或目标的有效权限取决于以下二个因素：用户的受托者指派、用户所在组的受托者指派、继承权限屏蔽取消的用户权限。一个网络系统管理员应当为用户指定适当的访问权限，这些访问权限控制着用户对服务器的访问。八种访问权限的有效组合可以让用户有效地完成工作，同时又能有效地控制用户对服务器资源的访问，从而加强了网络和服务器的安全性。4) 属性安全控制当用文件、目录和网络设备时，网络系统管理员应给文件、目录等指定访问属性。属性安全控制可以将给定的属性与网络服务器的文件、目录和网络设备联系起来。属性安全在权限安全的基础上提供更进一步的安全性。网络上的资源都应预先标出一组安全属性。用户对网络资源的访问权限对应一张访问控制表，用以表明用户对网络资源的访问能力。属性设置可以覆盖已经指定的任何受托者指派和有效权限。属性往往能控制以下几个方面的权限：向某个文件写数据、拷贝一个文件、删除目录或文件、查看目录和文件、执行文件、隐含文件、共享、系统属性等。网络的属性可以保护重要的目录和文件，防止用户对目录和文件的误删除、执行修改、显示等。5) 网络服务器安全控制 网络允许在服务器控制台上执行一系列操作。用户使用控制台可以装载和卸载模块，可以安装和删除软件等操作。网络服务器的安全控制包括可以设置口令锁定服务器控制台，以防止非法用户修改、删除重要信息或破坏数据；可以设定服务器登录时间限制、非法访问者检测和关闭的时间间隔。6) 网络监测和锁定控制 网络管理员应对网络实施监控，服务器应记录用户对网络资源的访问，对非法的网络访问，服务器应以图形或文字或声音等形式报警，以引起网络管理员的注意。如果不法之徒试图进入网络，网络服务器应会自动记录企图尝试进入网络的次数，如果非法访问的次数达到设定数值，那么该帐户将被自动锁定。7) 网络端口和节点的安全控制 网络中服务器的端口往往使用自动回呼设备、静默调制解调器加以保护，并以加密的形式来识别节点的身份。自动回呼设备用于防止假冒合法用户，静默调制解调器用以防范黑客的自动拨号程序对计算机进行攻击。网络还常对服务器端和用户端采取控制，用户必须携带证实身份的验证器（如智能卡、磁卡、安全密码发生器）。在对用户的身份进行验证之后，才允许用户进入用户端。然后，用户端和服务器端再进行相互验证2.确保网络安全的措施 由于网络安全的目的是保障用户的重要信息的安全，因此限制直接接触十分重要。如果用户的网络连入Internet，那麽最好尽可能地把与Internet连接的机器与网络的其余部分隔离开来。实现这个目标的最安全的方法是将Internet服务器与网络实际隔开。当然，这种解决方案增加了机器管理的难度。但是如果有人闯入隔离开的机器，那麽网络的其余部分不会受到牵连。 最重要的是限制访问。不要让不需要进入网关的人都进入网关。在机器上用户仅需要一个用户帐号，严格限制它的口令。只有在使用su时才允许进入根帐号。这个方法保留一份使用根帐号者的记录。 在Internet服务器上提供的一些服务有FTP、HTTP、远程登陆和WAIS（广域信息服务）。但是，FTP和HTTP是使用最普遍的服务。它们还有潜力泄露出乎用户意料之外的秘密。 与任何其它Internet服务一样，FTP一直是（而且仍是）易于被滥用的。值得一提的弱点涉及几个方面。第一个危险是配置不当。它使站点的访问者（或潜在攻击者）能够获得更多超出其预期的数据。 他们一旦进入，下一个危险是可能破坏信息。一个未经审查的攻击者可以抹去用户的整个FTP站点。 最后一个危险不必长篇累牍，这是因为它不会造成破坏，而且是低水平的。它由用户的FTP站点构成，对于交换文件的人来说，用户的FTP站点成为“麻木不仁的窝脏点”。这些文件无所不包，可以是盗版软件，也可以是色情画。这种交换如何进行的呢？简单的很。发送者发现了一个他们有权写入和拷入可疑文件的FTP站点。通过某些其它方法，发送者通知它们的同伙文件可以使用。 所有这些问题都是由未正确规定许可条件而引起的。最大的一个问题可能是允许FTP用户有机会写入。当用户通过FTP访问一个系统时，这一般是FTP用户所做的事。因此，FTP用户可以访问，用户的访问者也可以使用。所有这些问题都是由未正确规定许可条件而引起的。最大的一个问题可能是允许FTP用户有机会写入。当用户通过FTP访问一个系统时，这一般是FTP用户所做的事。因此，FTP用户可以访问，用户的访问者也可以访问。 一般说来，FTP用户不是用户的系统中已经有的。因此，用户要建立FTP用户。无论如何要保证将外壳设置为真正外壳以外的东西。这一步骤防止FTP用户通过远程登录进行注册（用户或许已经禁止远程登录，但是万一用户没有这样做，确认一下也不会有错）。 将所有文件和目录的主人放在根目录下，不要放在ftp下。这个预防措施防止FTP用户修改用户仔细构思出的口令。然后，将口令规定为755（读和执行，但不能写，除了主人之外）。在用户希望匿名用户访问的所有目录上做这项工作。尽管这个规定允许他们读目录，但它也防止他们把什麽东西放到目录中来。 用户还需要编制某些可用的库。然而，由于用户已经在以前建立了必要的目录，因此这一步仅执行一部分。因此，用户需要做的一切是将/usr/lib/libe.so.1和/usr/lib/libsock-et.so/1拷贝到ftp/usr/lib中。接着将ftp/usr/lib上的口令改为555，并建立主接收器。最后，用户需要在ftp/dev/中建立/dev/null和/dev/socksys设备结点。用户可以用mknod手工建立它们。然而，让系统为用户工作会更加容易。SCO文档说用cpio,但是copy（非cp）很管用。如果用户想建立一个人们都可用留下文件的目录，那麽可将它称作输入。允许其他人写入这个目录，但不能读。这个预防措施防止它成为麻木不仁的窝脏点。人们可以在这里放入他们想放的任何东西，但是他们不能将它们取出。如果用户认为信息比较适合共享，那麽将拷贝到另一个目录中。3. 提高企业内部网安全性的几个步骤1) 限制对网关的访问。限制网关上的帐号数。不要允许关不信任任何机器。没有一台机器应该信任网关；2) 不要用NFS向网关传输或接收来自网关的任何文件系统；3) 不要在网关上使用NIS（网络信息服务）；4) 制订和执行一个非网关机器上的安全性方针；5) 关闭所有多余服务和删除多余程序6) 删除网关的所有多余程序（远程登录、rlogin、FTP等等）；7) 定期阅读系统记录。 3.2网络安全 网络安全解决方案 1.物理安全策略物理安全策略的目的是保护计算机系统、网络服务器、打印机等硬件实体和信链路免受自然灾害、人为破坏和搭线攻击；验证用户的身份和使用权限、防用户越权操作；确保计算机系统有一个良好的电磁兼容工作环境；建立完备的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。抑制和防止电磁泄漏（即TEMPEST技术）是物理安全策略的一个主要问题。目前主要防护措施有两类：一类是对传导发射的防护，主要采取对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合。另一类是对辐射的防护，这类防护措施又可分为以下两种：一是采用各种电磁屏蔽措施，如对设备的金属屏蔽和各种接插件的屏蔽，同时对机房的下水管、暖气管和金属门窗进行屏蔽和隔离；二是干扰的防护措施，即在计算机系统工作的同时，利用干扰装置产生一种与计算机系统辐射相关的伪噪声向空间辐射来掩盖计算机系统的工作频率和信息特征。2.网络结构的安全 网络结构布局的合理与否，也影响着网络的安全性对银行系统业务网，办公网，与外单位互联的接口网络之间必须按各自的应用范围，安全保密程度进行合理分布，以免局部安全性较低的网络系统造成的威胁，传播到整个网络系统，所以必须从两个方面入手，一是加强|力问控制：在内部局网内可以通过交换机划分VLAN功能来实现；或是通过配备防火墙来实现内、外网或不同信任域之间的隔离与访问控制：也可以配备应用层的访问控制软件系统，针对局域网具体的应用进行更细致的访问控制。二是作好安全检测工作：在局域网络的共享网络设备上配备入侵检测系统，实时分析进出网络数据流，对网络违规事件跟踪，实时报警，阻断连接并做日志。 3.操作系统的安全 对操作系统必须进行安全配置，打上最新的补丁，还要利用相应的扫描软件对其进行安全性扫描评估，检测其存在的安全漏洞，分析系统的安全性，提出补救措施，管理人员应用时必须加强身份认证机制及认证强度尽量采用安全性较高的网络操作系统并进行必要的安全配置，关闭一些起不常用却存在安全隐患的应用，对一些关键文件使用权限进行严格限制，加强口令字的使用，及时给系统打补丁，系统内部的相互调用不对外公开。 4.应用的安全 要确保计算机网络应用的安全，主要从以下几个方面作好安全防范工作：一要配备防病毒系统，防止病毒入侵主机并扩散到全网，实现全网的病毒安全防护；二作好数据备份工作，最安全的，最保险的方法是对重要数据信息进行安全备份，如果遇到系统受损时，可以利用灾难恢复系统进行快速恢复；三是对数据进行加密传输，保护数据在传输过程中不被泄露，保证用户数据的机密性，数据加密的方法有从链路层加密，网络层加密及应用层加密；四是进行信息鉴别，为了保证数据的完整性，就必须采用信息鉴别技术，VPN设备便能实现这样的功能，数据源身份认证也是信息鉴别的一种手段，它可以确认信息的来源的可靠性，结合传输加密技术，我们可以选择VPN设备，实现保护数据的机密性，完整性，真实性，可靠性。 我们可以做的有： 第一部分是增强用户认证,用户认证在网络和信息的安全中属于技术措施的第一道大门,最后防线为审计和数据备份,不加强这道大门的建设,整个安全体系就会较脆弱。用户认证的主要目的是提供访问控制和不可抵赖的作用。用户认证方法按其层次不同可以根据以下三种因素提供认证。 1.用户持有的证件,如大门钥匙、门卡等等; 2.用户知道的信息,如密码; 3.用户特有的特征,如指纹、声音、视网膜扫描等等。 根据在认证中采用因素的多少,可以分为单因素认证、双因素认证,多因素认证等方法。 第二部分是授权,这主要为特许用户提供合适的访问权限,并监控用户的活动,使其不越权使用。该部分与访问控制(常说的隔离功能)是相对立的。隔离不是管理的最终目的,管理的最终目的是要加强信息有效、安全的使用,同时对不同用户实施不同访问许可。 第三部分是加密。在上述的安全体系结构中,加密主要满足以下几个需求。 1.认证识别用户身份,提供访问许可; 2.一致性保证数据不被非法篡改; 3.隐密性保护数据不被非法用户查看; 4.不可抵赖使信息接收者无法否认曾经收到的信息。 加密是信息安全应用中最早开展的有效手段之一,数据通过加密可以保证在存取与传送的过程中不被非法查看、篡改、窃取等。在实际的网络与信息安全建设中,利用加密技术至少应能解决以下问题: 1.钥匙的管理,包括数据加密钥匙、私人证书、私密等的保证分发措施; 2.建立权威钥匙分发机构; 3.保证数据完整性技术; 4.数据加密传输; 5.数据存储加密等。 第四部分为审计和监控,确切说,还应包括数据备份,这是系统安全的最后一道防线。系统一旦出了问题,这部分可以提供问题的再现、责任追查、重要数据复原等保障。在网络和信息安全模型中,这五个部分是相辅相成、缺一不可的。其中底层是上层保障的基础,如果缺少下面各层次的安全保障,上一层的安全措施则无从说起。如果一个企业没有对授权用户的操作规范、安全政策和教育等方面制定有效的管理标准,那么对用户授权的控制过程以及事后的审计等的工作就会变得非常困难。 5.管理的安全 安全体系的建立和维护需要有良好的管理制度和很高的安全意识来保障。安全意识可以通过安全常识培训来提高，行为的约束只能通过严格的管理体制，并利用法律手段来实现，因国这些必须在电信部门系统内根据自身的应用与安全需求，制定安全管理制度并严格按执行，并通过安全知识及法律常识的培训，加强整体员工的自身安全意识及防范外部入侵的安全技术。 33保护(ISS)Web服务器3.4多种安全解决方法1. 网络信息安全产品 为了实施上面提出的安全体系,可采用防火墙产品来满足其要求。 采用NetScreen 公司的硬件防火墙解决方案NetScreen-10 & NetScreen-100可以满足以下功能。 (1)访问控制 实施企业网与外部、企业内部不同部门之间的隔离。其关键在于应支持目前Internet中的所有协议,包括传统的面向连接的协议、无连接协议、多媒体、视频、商业应用协议以及用户自定义协议等。 (2)普通授权与认证 提供多种认证和授权方法,控制不同的信息源。 (3)内容安全 对流入企业内部的网络信息流实施内部检查,包括URL过滤等等。 (4)加密 提供防火墙与防火墙之间、防火墙与移动用户之间信息的安全传输。 (5)网络设备安全管理 目前一个企业网络可能会有多个连通外界的出口,如连接ISP的专线、拨号线等,同时,在大的企业网内不同部门和分公司之间可能亦会有由多级网络设备隔离的小网络。根据信息源的分布情况,有必要对不同网络和资源实施不同的安全策略和多种级别的安全保护,如可以在防火墙上实施路由器、交换机、访问服务器的安全管理。 (6)集中管理 实施一个企业一种安全策略,实现集中管理、集中监控等。 (7)提供记帐、报警功能实施移动方式的报警功能,包括E-mail、SNMP等。3.3.1 INTERNET或信息发布服务 这种情况非常普遍，ISP或ICP，企业的网页，在INTERNET上提供息服务或提供数据库服务等。任何一种想提供普遍服务或广而告之的网络行为，必须允许用户能够访问到你提供服务的主机，都属于这种情况。 对访问服务行业而言，访问服务提供者必须把要提供服务的服务器主机放在外部用户可以访问的地方，也就是说，主机安全几乎是唯一的保证。除非明确地知道 谁会对你的访问惊醒破坏，才可以对出口路由器或出口防火墙惊醒一些针对性的限制访问控制的设定，否则，访问控制变得毫无意义。主机安全是一个非常有效的手段。所谓的主机安全是一个非常广义的概念，首先是要有一个安全的操作系统，建立在一个不安全、甚至稳定性都很差的操作系统上，是无法作到一个安全的主机。然后是仔细的检查你所提供的服务，如果不是你所必须提供的服务，建议除掉一切你所不需要的进程，对你的服务而言，它们都是你安全上的隐患。可以采用一些安全检测或网络扫描工具来确定你的服务器上到底有伸麽服务，以保证是否有安全漏洞或隐患。最后是对主机确定非常严格的访问限制规则，除了允许提供商愿意提供的服务之外，宣纸并拒绝所有未允许的服务，这是一个非常严格的措施。除了主机安全以外，如果还需要提高服务的安全性，就该考虑采用网络实时监控和交互式动态防火墙。网络实时监控系统，会自动捕捉网络上所有的通信包，并对其进行分析和解析，并判断出用户的行为和企图。如果发现用户的行为或企图与服务商所允许的服务不同，交互式防火墙立即采取措施，封堵或拒绝用户的访问，将其拒绝在防火墙之外，并报警。网络实时监控系统和交互式防火墙具有很强的审计功能，但成本相对偏高。3.3.2 INTERNET和内部网企业一方面访问INTERNET，得到INTERNET所带来的好处，另一方面，却不希望外部用户去访问企业的内部数据库和网络。企业当然没有办法去建立两套网络来满足这种需求。防火墙的基本思想不是对每台主机系统进行保护，而是让所有对系统的访问通过某一点，并且保护这一点，并尽可能地对受保护的内部网和不可信任的外界网络之间建立一道屏障，它可以实施比较惯犯的安全政策来控制信息流，防止不可预料的潜在的入侵破坏。根据企业内部网安全政策的不同，采取防火墙的技术手段也有所不同。1) 包过滤防火墙包过滤防火墙的安全性是基于对包的IP地址的校验。在Internet上，所有信息都是以包的形式传输的，信息包中包含发送方的IP地址和接收方的IP地址。包过滤防火墙将所有通过的信息包中发送方IP地址、接收方IP地址、TCP端口、TCP链路状态等信息读出，并按照预先设定过滤原则过滤信息包。那些不符合规定的IP地址的信息包会被防火墙过滤掉，以保证网络系统的安全。包过滤防火墙是基于访问控制来实现的。它利用数据包的头信息（源IP地址、封装协议、端口号等）判定与过滤规则相匹配与否决定舍取。建立这类防火墙需按如下步骤去做；建立安全策略；写出所允许的和禁止的任务；将安全策略转化为数据包分组字段的逻辑表达式；用相应的句法重写逻辑表达式并设置之，包过滤防火墙主要是防止外来攻击，或是限制内部用户访问某些外部的资源。如果是防止外部攻击，针对典型攻击的过滤规则，大体有：l 对付源IP地址欺骗式攻击（Source IP Address Spoofing Attacks）对入侵者假冒内部主机，从外部传输一个源IP地址为内部网络IP地址的数据包的这类攻击，防火墙只需把来自外部端口的使用内部源地址的数据包统统丢弃掉。l 对付残片攻击（Tiny Fragment Attacks）入侵者使用TCP/IP数据包 分段特性，创建极小的分段并强行将TCP/IP头信息分成多个数据包，以绕过用户防火墙的过滤规则。黑客期望防火墙只检查第一个分段而允许其余的分段通过。对付这类攻击，防火墙只需将TCP/IP协议片断位移植（Fragment Offset）为1的数据包全部丢弃即可。包过滤防火墙简单、透明，而且非常行之有效，能解决大部分的安全问题，但必须了解包过滤防火墙不能做伸麽和有伸麽缺点。对于采用动态分配端口的服务，如很多RPC（远程过程调用）服务相关联的服务器在系统启动时随机分配端口的，就很难进行有效地过滤。包过滤防火墙只按照规则丢弃数据包而不对其作日志，导致对过滤的IP地址的不同用户，不具备用户身份认证功能，不具备检测通过高层协