企业信息安全整体方案设计概要

企业信息安全整体方案设计企业信息安全整体方案设计 一 企业安全背景与现状一 企业安全背景与现状 全球信息网的出现和信息化社会的来临 使得社会的生产方 式发生深刻的变化 面对着激烈的市场竞争 公司对信息的收集 传输 加工 存贮 查询以及预测决策等工作量越来越大 原来 的电脑只是停留在单机工作的模式 各科室间的数据不能实现共 享 致使工作效率大大下降 纯粹手工管理方式和手段已不能适 应需求 这将严重妨碍公司的生存和发展 1 1 企业组织机构和信息系统简介企业组织机构和信息系统简介 该企业包括生产 市场 财务 资源等部门 该企业的的信息系统包括公司内部员工信息交流 部门之间 的消息公告 还有企业总部和各地的分公司 办事处以及出差的 员工需要实时地进行信息传输和资源共享等 2 2 用户安全需求分析用户安全需求分析 在日常的企业办公中 企业总部和各地的分公司 办事处以 及出差的员工需要实时地进行信息传输和资源共享等 企业之间 的业务来往越来越多地依赖于网络 但是由于互联网的开放性和 通信协议原始设计的局限性影响 所有信息采用明文传输 导致 互联网的安全性问题日益严重 非法访问 网络攻击 信息窃取 等频频发生 给公司的正常运行带来安全隐患 甚至造成不可估 量的损失 3 信息安全威胁类型信息安全威胁类型 目前企业信息化的安全威胁主要来自以下几个方面 1 来自网络攻击的威胁 会造成我们的服务器或者工 作站瘫痪 2 来自信息窃取的威胁 造成我们的商业机密泄漏 内部服务器被非法访问 破坏传输信息的完整性或者被直接假冒 3 来自公共网络中计算机病毒的威胁 造成服务器或 者工作站被计算机病毒感染 而使系统崩溃或陷入瘫痪 甚至造 成网络瘫痪 4 管理及操作人员缺乏安全知识 由于信息和网络技 术发展迅猛 信息的应用和安全技术相对滞后 用户在引入和采 用安全设备和系统时 缺乏全面和深入的培训和学习 对信息安 全的重要性与技术认识不足 很容易使安全设备系统成为摆设 不能使其发挥正确的作用 如本来对某些通信和操作需要限制 为了方便 设置成全开放状态等等 从而出现网络漏洞 5 雷击 由于网络系统中涉及很多的网络设备 终端 线路等 而这些都是通过通信电缆进行传输 因此极易受到雷击 造成连锁反应 使整个网络瘫痪 设备损坏 造成严重后果 二 企业安全需求分析二 企业安全需求分析 1 1 对信息的保护方式进行安全需求分析 对信息的保护方式进行安全需求分析 该企业目前已建成覆盖整个企业的网络平台 网络设备以 Cisco 为主 在数据通信方面 以企业所在地为中心与数个城市 通过 1M 帧中继专线实现点对点连接 其他城市和移动用户使用 ADSL CDMA 登录互联网后通过 VPN 连接到企业内网 或者通过 PSTN 拨号连接 在公司的网络平台上运行着办公自动化系统 SAP 的 ERP 系统 电子邮件系统 网络视频会议系统 VoIP 语音 系统 企业 Web 网站 以及 FHS 自动加油系统接口 互联网接入 网上银行等数字化应用 对企业的日常办公和经营管理起到重要 的支撑作用 根据企业网络现状及发展趋势 对信息的保护方式进行安 全需求分析主要从以下几个方面进行考虑 1 网络传输保护 主要是数据加密 防窃听保护 2 密码账户信息保护 对网络银行和客户信息进行保护 防止泄露 3 网络病毒防护 采用网络防病毒系统 并对巨晕网内的 一些可能携带病毒的设备进行防护与查杀 4 广域网接入部分的入侵检测 采用入侵检测系统 5 系统漏洞分析 采用漏洞分析设备 并及时对已知漏洞 修补 2 2 与风险的对抗方式进行安全需求分析 与风险的对抗方式进行安全需求分析 1 定期安全审计 主要包括两部分 内容审计和网络通信 审计 2 重要数据的备份 对一些重要交易 客户信息备份 3 网络安全结构的可伸缩性 包括安全设备的可伸缩性 即能根据用户的需要随时进行规 模 功能扩展 4 网络设备防雷 5 重要信息点的防电磁泄露 三 安全解决方案三 安全解决方案 1 1 物理安全和运行安全 物理安全和运行安全 企业网络系统的物理安全要求是保护计算机网络设备 设施 以及其它媒体免遭地震 水灾 火灾和雷击等环境事故以及人为 操作失误或错误及各种计算机犯罪行为导致的破坏过程 企业的运行安全即计算机与网络设备运行过程中的系统安全 是指对网络与信息系统的运行过程和运行状态的保护 主要的保 护方式有防火墙与物理隔离 风险分析与漏洞扫描 应急响应 病毒防治 访问控制 安全审计 入侵检测 源路由过滤 降级 使用 数据备份等 2 2 选择和购买安全硬件和软件产品 选择和购买安全硬件和软件产品 1 硬件产品主要是防火墙的选购 对于防火墙的选购要 具备明确防火墙的保护对象和需求的安全等级 根据安全级别 确定防火墙的安全标准 选用功能适中且能扩展和安全有保障 的防火墙 能满足不同平台需求 并可集成于网络设备中 应 能提供良好地售后服务的产品等要求 2 软件产品主要是杀毒软件的选择 本方案中在选择 杀毒软件时应当注意几个方面的要求 具有卓越的病毒防治技术 程序内核安全可靠 对付国产和国外病毒能力超群 全中文产品 系统资源占用低 性能优越 可管理性高 易于使用 产品集成 度高 高可靠性 可调配系统资源占用率 便捷的网络化自动升 级等优点 3 产品推荐 产品型号部署 数 量 关键参数及备 注 天网流控 防火墙 SNS FW 1500TC 总公司与分 公司 1 机架式 4FE 40 万并 发连接 150M 吞吐量 天网流控 防火墙 SNS FW 4500TC 网络总出口 1 机架式 4GE 120 万并 发连接 800M 吞吐量 天网防毒 墙 SNS VW 250 服务器区 办公室 1 机架式 4FE 提供相应客户 端软件 天网网络 流量优化 系统 TS TC 100 网络出口 1 机架式 4FE 天网行为 管理系统 SNS NAM 500T 办公区 1 机架式 4FE 天网 SSL VPN SNS SSL 100T 服务器区 1 机架式 4FE AC POWER 100 并 发用户 3 3 网络规划与子网划分 网络规划与子网划分 组网规则 规划网络要规划到未来的三到五年 并且在未来 企业的电脑会不断增加 比较环形 星形 总线形三种基本拓扑 结构 星形连接在将用户接入网络时具有更大的灵活性 当系统 不断发展或系统发生重大变化时 这种优点将变得更加突出 所 以选择星形网络最好 1 实际的具体的设计拓扑图如下 2 子网的划分和地址的分配 经理办子网 vlan2 192 168 1 0 子网掩码 255 255 255 0 网关 192 168 1 1 生产子网 vlan3 192 168 2 0 子网掩码 255 255 255 0 网关 192 168 2 1 市场子网 vlan4 192 168 3 0 子网掩码 255 255 255 0 网关 192 168 3 1 财务子网 vlan5 192 168 4 0 子网掩码 255 255 255 0 网关 192 168 4 1 资源子网 vlan6 192 168 5 0 子网掩码 255 255 255 0 网关 192 168 5 1 4 4 网络隔离与访问控制 网络隔离与访问控制 1 每一级的设置及管理方法相同 即在每一级的中心 网络安装一台VPN设备和一台VPN认证服务器 VPN CA 在所 属的直属单位的网络接入处安装一台VPN设备 由上级的VPN认 证服务器通过网络对下一级的VPN设备进行集中统一的网络化管 理 下属机构的 VPN 设备放置于内部网络与路由器之间 其配 置 管理由上级机构通过网络实现 下属机构不需要做任何的管 理 仅需要检查是否通电即可 由于安全设备属于特殊的网络设 备 其维护 管理需要相应的专业人员 而采取这种管理方式以 后 就可以降低下属机构的维护成本和对专业技术人员的要求 这对有着庞大下属 分支机构的单位来讲将是一笔不小的费用 由于网络安全的是一个综合的系统工程 是由许多因素决定 的 而不是仅仅采用高档的安全产品就能解决 因此对安全设备 的管理就显得尤为重要 由于一般的安全产品在管理上是各自管 理 因而很容易因为某个设备的设置不当 而使整个网络出现重 大的安全隐患 而用户的技术人员往往不可能都是专业的 因此 容易出现上述现象 同时 每个维护人员的水平也有差异 容易 出现相互配置上的错误使网络中断 所以 在安全设备的选择上 应当选择可以进行网络化集中管理的设备 这样 由少量的专业 人员对主要安全设备进行管理 配置 提高整体网络的安全性和 稳定性 2 访问权限控制策略 A 经理办 VLAN2 可以访问其余所有 VLAN B 财务 VLAN5 可以访问生产 VLAN3 市场 VLAN4 资源 VLAN6 不可以访问经理办 VLAN2 C 市场 VLAN4 生产 VLAN3 资源 VLAN6 都不能访问经理办 VLAN2 财务 VLAN5 D 生产 VLAN4 和销售 VLAN3 可以互访 5 5 操作系统安全增强 操作系统安全增强 企业各级网络系统平台安全主要是指操作系统的安全 由于 目前主要的操作系统平台是建立在国外产品的基础上 因而存在 很大的安全隐患 因此要加强对系统后门程序的管理 对一些可 能被利用的后门程序要及时进行系统的补丁升级 企业网络系统在主要的应用服务平台中采用国内自主开发的 安全操作系统 针对通用 OS 的安全问题 对操作系统平台的登 录方式 文件系统 网络传输 安全日志审计 加密算法及算法 替换的支持和完整性保护等方面进行安全改造和性能增强 一般 用户运行在 PC 机上的 NT 平台 在选择性地用好 NT 安全机制的 同时 应加强监控管理 6 6 应用系统安全 应用系统安全 企业网络系统的应用平台安全 一方面涉及用户进入系统的 身份鉴别与控制 以及使用网络资源的权限管理和访问控制 对 安全相关操作进行的审计等 其中的用户应同时包括各级管理员 用户和各类业务用户 另一方面涉及各种数据库系统 WWW 服务 E MAIL 服务 FTP 和 TELNET 应用中服务器系统自身的安全以及 提供服务的安全 在选择这些应用系统时 应当尽量选择国内软 件开发商进行开发 系统类型也应当尽量采用国内自主开发的应 用系统 作为一个完善的通用安全系统 应当包含完善的安全措 施 定期的安全评估及安全分析同样相当重要 由于网络安全系 统在建立后并不是长期保持很高的安全性 而是随着时间的推移 和技术的发展而不断下降的 同时 在使用过程中会出现新的安 全问题 因此 作为安全系统建设的补充 采取相应的措施也是 必然 本方案中 采用漏洞扫描设备对网络系统进行定期扫描 对 存在的系统漏洞 网络漏洞 应用程序漏洞 操作系统漏洞等进 行探测 扫描 发现相应的漏洞并告警 自动提出解决措施 或 参考意见 提醒网络安全管理员作好相应调整 7 7 重点主机防护 重点主机防护 为重点主机 堡垒机建立主机防御系统 简称HIPS HIPS是一种能监控你电脑中文件的运行和文件运用了其他 的文件以及文件对注册表的修改 并向你报告请求允许的软件 当主机入侵防御系统具有的程序访问控制列表 PACL 功 能使得同样一个用户访问同样的资源的时候 如果采用不同的 应用程序访问 将会得到不同的权限 也就是说 对于一些重 要的资源 我们可以采用主机入侵防御系统这种功能限定不同 应用程序的访问权限 只允许已知的合法的应用程序访问这些 资源 这样 即使入侵者在被攻击的服务器上运行了木马程序 但是木马程序需要窃取关键信息的时候必须要经过主机入侵防 御系统的安全验证 由于 PACL中没有定义木马程序的访问权 限 按照默认权限是不能够访问的 由此就起到了对木马信息 窃取的防范 8 8 连接与传输安全 连接与传输安全 由于企业中心内部网络存在两套网络系统 其中一套为企业 内部网络 主要运行的是内部办公 业务系统等 另一套是与 INTERNET 相连 通过 ADSL 接入 并与企业系统内部的上 下级 机构网络相连 通过公共线路建立跨越 INTERNET 的企业集团内 部局域网 并通过网络进行数据交换 信息共享 而 INTERNET 本身就缺乏有效的安全保护 如果不采取相应的安全措施 易受 到来自网络上任意主机的监听而造成重要信息的泄密或非法篡改 产生严重的后果 所以在每一级的中心网络安装一台 VPN 设备和一台 VPN 认证 服务器 VPN CA 在所属的直属单位的网络接入处安装一台 VPN 设备 由上级的 VPN 认证服务器通过网络对下一级的 VPN 设备进 行集中统一的网络化管理 这样可达到以下几个目的 1 网络传输数据保护 由安装在网络上的 VPN 设备实现各内部网络之间的数据传 输加密保护 并可同时采取加密或隧道的方式进行传输 2 网络隔离保护 与 INTERNET 进行隔离 控制内网与 INTERNET 的相互访问 3 集中统一管理 提高网络安全性 4 降低成本 设备成本和维护成本 9 9 安全综合管理与控制 安全综合管理与控制方案设计方案设计 为了保护网络的安全性 除了在网络设计上增加安全服务功 能 完善系统的安全保密措施外 安全管理规范也是网络安全所 必须的 安全管理策略一方面从纯粹的管理上来实现 另一方面 从技术上建立高效的管理平台 安全管理策略主要有 定义完善 的安全管理模型 建立长远的并且可实施的安全策略 彻底贯彻 规范的安全防范措施 建立恰当的安全评估尺度 并且进行经常 性的规则审核 当然 还需要建立高效的管理平台 A 安全管理 安全管理的主要功能指对安全设备的管理 监视网络危险情 况 对危险进行隔离 并把危险控制在最小范围内 身份认证 权限设置 对资源的存取权限的管理 对资源或用户动态的或静 态的审计 对违规事件 自动生成报警或生成事件消息 口令管 理 如操作员的口令鉴权 对无权操作人员进行控制 密钥管 理 对于与密钥相关的服务器 应对其设置密钥生命期 密钥备 份等管理功能 冗余备份 为增加网络的安全系数 对于关键的 服务器应冗余备份 安全管理应该从管理制度和管理平台技术实 现两个方面来实现 安全管理产品尽可能的支持统一的中心控制 平台 B 安全管理的实现 信息系统的安全管理部门应根据管理原则和该系统处理数据 的保密性 制定相应的管理制度或采用相应的规范 具体工作是 确定该系统的安全等级 确定安全管理的范 围 制订相应的机房出入管理制度 制订严格的操作规程 制订 完备的系统维护制度及制订应急措施 四 安全运维措施四 安全运维措施 1 1 数据备份数据备份 企业采用 HP 1 8 磁带自动装载机对企业数据进行备份 该 磁带库可以同时装载 9 盒磁带 能够根据预先定义好的备份策略 自动装载磁带 自动执行定义好的备份策略 压缩后最大存储容 量为 640GB 备份软件采用 Legato NetWorker 网络备份管理系 统 该系统运行稳定 备份和恢复效果较好 由于企业内部存在 大量的数据 而这里面又有许多重要的 机密的信息 而整个数 据的安全保护就显得特别重要 对数据进行定期备份是必不可少 的安全措施 在采取数据备份时应该注意以下几点 1 存储介质安全 在选择存储介质上应选择保存时间长 对环境要求低的存储 产品 并采取多种存储介质备份 如同时采用硬盘 光盘备份的 方式 2 数据安全 即数据在备份前是真实数据 没有经过篡改或含有病毒 3 备份过程安全 确保数据在备份时是没有受到外界任何干扰 包括因异常断 电而使数据备份中断的或其它情况 4 备份数据的保管 对存有备份数据的存储介质 应保存在安全的地方 防火 防盗及各种灾害 并注意保存环境 温度 湿度等 的正常 同时 对特别重要的备份数据 还应当采取异地备份保管的方式 来确 保数据安全 对重要备份数据的异地 多处备份 2 2 日志审计和备份