网络安全设计方案

1 目录 1 网络安全问题 3 2 设计的安全性 3 可用性 3 机密性 3 完整性 3 可控性 3 可审查性 3 访问控制 3 数据加密 3 安全审计 3 3 安全设计方案 5 设备选型 5 网络安全 7 访问控制 9 入侵检测 10 4 总结 11 1 网络安全问题 随着互联网的飞速发展 网络安全逐渐成为一个潜在的巨大问题 网络安 全性是一个涉及面很广泛的问题 其中也会涉及到是否构成犯罪行为的问题 在其最简单的形式中 它主要关心的是确保无关人员不能读取 更不能修改传 送给其他接收者的信息 此时 它关心的对象是那些无权使用 但却试图获得 远程服务的人 安全性也处理合法消息被截获和重播的问题 以及发送者是否 曾发送过该条消息的问题 大多数安全性问题的出现都是由于有恶意的人试图获得某种好处或损害某 些人而故意引起的 可以看出保证网络安全不仅仅是使它没有编程错误 它包 括要防范那些聪明的 通常也是狡猾的 专业的 并且在时间和金钱上是很充 足 富有的人 同时 必须清楚地认识到 能够制止偶然实施破坏行为的敌人 的方法对那些惯于作案的老手来说 收效甚微 网络安全性可以被粗略地分为 4 个相互交织的部分 保密 鉴别 反拒认 以及完整性控制 保密是保护信息不被未授权者访问 这是人们提到的网络安 全性时最常想到的内容 鉴别主要指在揭示敏感信息或进行事务处理之前先确 认对方的身份 反拒认主要与签名有关 保密和完整性通过使用注册过的邮件 2 和文件锁来 2 设计的安全性 通过对网络系统的风险分析及需要解决的安全问题 我们需要制定合理的 安全策略及安全方案来确保网络系统的机密性 完整性 可用性 可控性与可 审查性 即 可用性 授权实体有权访问数据 机密性 信息不暴露给未授权实体或进程 完整性 保证数据不被未授权修改 可控性 控制授权范围内的信息流向及操作方式 可审查性 对出现的安全问题提供依据与手段 访问控制 需要由防火墙将内部网络与外部不可信任的网络隔离 对与外部网 络交换数据的内部网络及其主机 所交换的数据进行严格的访问控制 同样 对内部网络 由于不同的应用业务以及不同的安全级别 也需要使用防火墙将 不同的 LAN 或网段进行隔离 并实现相互的访问控制 数据加密 数据加密是在数据传输 存储过程中防止非法窃取 篡改信息的有 效手段 安全审计 是识别与防止网络攻击行为 追查网络泄密行为的重要措施之一 具体包括两方面的内容 一是采用网络监控与入侵防范系统 识别网络各种违 规操作与攻击行为 即时响应 如报警 并进行阻断 二是对信息内容的审计 可以防止内部机密或敏感信息的非法泄漏 针对企业现阶段网络系统的网络结构和业务流程 结合企业今后进行的网 络化应用范围的拓展考虑 企业网主要的安全威胁和安全漏洞包括以下几方面 1 内部窃密和破坏 由于企业网络上同时接入了其它部门的网络系统 因此容易出现其它部门 不怀好意的人员 或外部非法人员利用其它部门的计算机 通过网络进入内部网 络 并进一步窃取和破坏其中的重要信息 如领导的网络帐号和口令 重要文件 等 因此这种风险是必须采取措施进行防范的 2 搭线 网络 窃听 这种威胁是网络最容易发生的 攻击者可以采用如 Sniffer 等网络协议分 析工具 在 INTERNET 网络安全的薄弱处进入 INTERNET 并非常容易地在信息 传输过程中获取所有信息 尤其是敏感信息 的内容 对企业网络系统来讲 由 于存在跨越 INTERNET 的内部通信 与上级 下级 这种威胁等级是相当高的 因 此也是本方案考虑的重点 3 假冒 这种威胁既可能来自企业网内部用户 也可能来自 INTERNET 内的其它用户 如系统内部攻击者伪装成系统内部的其他正确用户 攻击者可能通过冒充合法 系统用户 诱骗其他用户或系统管理员 从而获得用户名 口令等敏感信息 进 一步窃取用户网络内的重要信息 或者内部用户通过假冒的方式获取其不能阅 读的秘密信息 3 4 完整性破坏 这种威胁主要指信息在传输过程中或者存储期间被篡改或修改 使得信息 数据失去了原有的真实性 从而变得不可用或造成广泛的负面影响 由于 XXX 企业网内有许多重要信息 因此那些不怀好意的用户和非法用户就会通过网络 对没有采取安全措施的服务器上的重要文件进行修改或传达一些虚假信息 从 而影响工作的正常进行 5 其它网络的攻击 企业网络系统是接入到 INTERNET 上的 这样就有可能会遭到 INTERNET 上 黑客 恶意用户等的网络攻击 如试图进入网络系统 窃取敏感信息 破坏系 统数据 设置恶意代码 使系统服务严重降低或瘫痪等 因此这也是需要采取 相应的安全措施进行防范 6 管理及操作人员缺乏安全知识 由于信息和网络技术发展迅猛 信息的应用和安全技术相对滞后 用户在 引入和采用安全设备和系统时 缺乏全面和深入的培训和学习 对信息安全的 重要性与技术认识不足 很容易使安全设备 系统成为摆设 不能使其发挥正确 的作用 如本来对某些通信和操作需要限制 为了方便 设置成全开放状态等 等 从而出现网络漏洞 由于网络安全产品的技术含量大 因此 对操作管理人员的培训显得尤为 重要 这样 使安全设备能够尽量发挥其作用 避免使用上的漏洞 7 雷击 由于网络系统中涉及很多的网络设备 终端 线路等 而这些都是通过通 信电缆进行传输 因此极易受到雷击 造成连锁反应 使整个网络瘫痪 设备 损坏 造成严重后果 因此 为避免遭受感应雷击的危害和静电干扰 电磁辐 射干扰等引起的瞬间电压浪涌电压的损坏 有必要对整个网络系统采取相应的 防雷措施 3 网络安全设计方案 1 网络拓扑结构图 4 设备选型 传统的组网已经不能满足现在网络应用的变化了 在组网的初期必须考虑到安 全和网络的问题 考虑到这个问题我们就不能不考虑免疫网络的作用以及前景 如何 免疫网络 免疫网络是企业信息网络的一种安全形式 免疫 是生物医学的名词 它指的是人体所具有的 生理防御 自身稳定与免疫 监视 的特定功能 就像我们耳熟能详的电脑病毒一样 在电脑行业 病毒 就是对医学名词形象 的借用 同样 免疫 也被借用于说明计算机网络的一种能力和作用 免疫就 是让企业的内部网络也像人体一样具备 防御 稳定 监视 的功能 这样的网 络就称之为免疫网络 免疫网络的主要理念是自主防御和管理 它通过源头抑制 群防群控 全网联 动使网络内每一个节点都具有安全功能 在面临攻击时调动各种安全资源进行 应对 它具有安全和网络功能融合 全网设备联动 可信接入 深度防御和控制 精 细带宽管理 业务感知 全网监测评估等主要特征 下面让我们看看这几个特征的距离内容 安全和网络功能的融合 网络架构的融合 主要包括网关和终端的融合 网关方面 ARP 先天免疫原理 NAT 表中添加源 MAC 地址滤窗防火墙 封 包检测 IP 分片检查 5 UDP 洪水终端方面 驱动部分 免疫标记 网络协议的融合 行为特征和网络行为的融合 全网设备的联动 驱动与运营中心的联动分收策略 驱动与驱动的联动 IP 地址冲突 网关和驱动的联动群防群控 运营中心和网关的联动 外网攻击 上下线 可信接入 MAC 地址的可信 类似于 DNA 生物身份 传输的可信 免疫标记 深度防御和控制 深入到每个终端的网卡 深入到协议的最低层 深入到二级路由 多级路由器下 精细带宽管理 身份精细 IP MAC 的精确 位置精确 终端驱动 路径细分 特殊的 IP 流量去向 内 公网 应用流控 QQ MSN 业务感知 协议区分和应用感知 它与防火墙 FW 入侵检测系统 IDS 防病毒等 老三样 组成的安全网 络相比 突破了被动防御 边界防护的局限 着重从内网的角度解决攻击问题 应对目前网络攻击复杂性 多样性 更多从内网发起的趋势 更有效地解决网 络威胁 同时 安全和管理密不可分 免疫网络对基于可信身份的带宽管理 业务感 知和控制 以及对全网安全问题和工作效能的监测 分析 统计 评估 保证 了企业网络的可管可控 大大提高了通信效率和可靠性 安全架构分析 根据企业网络现状及发展趋势 主要安全措施从以下几个方面进行考虑 网络传输保护 主要是数据加密保护 主要网络安全隔离 通用措施是采用防火墙 6 网络病毒防护 采用网络防病毒系统 广域网接入部分的入侵检测 采用入侵检测系统 系统漏洞分析 采用漏洞分析设备 定期安全审计 主要包括两部分 内容审计和网络通信审计 重要数据的备份 重要信息点的防电磁泄露 网络安全结构的可伸缩性 包括安全设备的可伸缩性 即能根据用户的需要随时进行规模 功能扩展 网络防雷 2 网络安全 作为企业应用业务系统的承载平台 网络系统的安全显得尤为重要 由于 许多重要的信息都通过网络进行交换 网络传输 由于企业中心内部网络存在两套网络系统 其中一套为企业内部网络 主 要运行的是内部办公 业务系统等 另一套是与 INTERNET 相连 通过 ADSL 接入 并与企业系统内部的上 下级机构网络相连 通过公共线路建立跨越 INTERNET 的企业集团内部局域网 并通过网络进行数据交换 信息共享 而 INTERNET 本 身就缺乏有效的安全保护 如果不采取相应的安全措施 易受到来自网络上任 意主机的监听而造成重要信息的泄密或非法篡改 产生严重的后果 由于现在越来越多的政府 金融机构 企业等用户采用 VPN 技术来构建它 们的跨越公共网络的内联网系统 因此在本解决方案中对网络传输安全部分推 荐采用 VPN 设备来构建内联网 可在每级管理域内设置一套 VPN 设备 由 VPN 设备实现网络传输的加密保护 根据企业三级网络结构 VPN 设置如下图所示 7 图为三级 VPN 设置拓扑图 每一级的设置及管理方法相同 即在每一级的中心网络安装一台 VPN 设备和一台 VPN 认证服务器 VPN CA 在所属的直属单位的网络接入处安装一 台 VPN 设备 由上级的 VPN 认证服务器通过网络对下一级的 VPN 设备进行集中 统一的网络化管理 可达到以下几个目的 网络传输数据保护 由安装在网络上的 VPN 设备实现各内部网络之间的数据传输加密保护 并 可同时采取加密或隧道的方式进行传输 网络隔离保护 与 INTERNET 进行隔离 控制内网与 INTERNET 的相互访问 集中统一管理 提高网络安全性 降低成本 设备成本和维护成本 其中 在各级中心网络的 VPN 设备设置如下图 图为中心网络 VPN 设置图 由一台 VPN 管理机对 CA 中心 VPN 设备 分支机构 VPN 设备进行统一 网络管理 将对外服务器放置于 VPN 设备的 DMZ 口与内部网络进行隔离 禁止 外网直接访问内网 控制内网的对外访问 记录日志 这样即使服务器被攻破 内部网络仍然安全 8 下级单位的 VPN 设备放置如下图所示 图为下级单位 VPN 设置图 从图可知 下属机构的 VPN 设备放置于内部网络与路由器之间 其配 置 管理由上级机构通过网络实现 下属机构不需要做任何的管理 仅需要检 查是否通电即可 由于安全设备属于特殊的网络设备 其维护 管理需要相应 的专业人员 而采取这种管理方式以后 就可以降低下属机构的维护成本和对 专业技术人员的要求 这对有着庞大下属 分支机构的单位来讲将是一笔不小 的费用 由于网络安全的是一个综合的系统工程 是由许多因素决定的 而不是仅 仅采用高档的安全产品就能解决 因此对安全设备的管理就显得尤为重要 由 于一般的安全产品在管理上是各自管理 因而很容易因为某个设备的设置不当 而使整个网络出现重大的安全隐患 而用户的技术人员往往不可能都是专业的 因此 容易出现上述现象 同时 每个维护人员的水平也有差异 容易出现相互 配置上的错误使网络中断 所以 在安全设备的选择上应当选择可以进行网络 化集中管理的设备 这样 由少量的专业人员对主要安全设备进行管理 配置 提高整体网络的安全性和稳定性 3 访问控制 由于企业广域网网络部分通过公共网络建立 其在网络上必定会受到来自 INTERNET 上许多非法用户的攻击和访问 如试图进入网络系统 窃取敏感信息 破坏系统数据 设置恶意代码 使系统服务严重降低或瘫痪等 因此 采取相 应的安全措施是必不可少的 通常 对网络的访问控制最成熟的是采用防火墙 技术来实现的 本方案中选择带防火墙功能的 VPN 设备来实现网络安全隔离 可满足以下几个方面的要求 控制外部合法用户对内部网络的网络访问 控制外部合法用户对服务器的访问 禁止外部非法用户对内部网络的访问 控制内部用户对外部网络的网络 阻止外部用户对内部的网络攻击 防止内部主机的 IP 欺骗 对外隐藏内部 IP 地址和网络拓扑结构 网络监控 网络日志审计 详细配置拓扑图见图 由于采用防火墙 VPN 技术融为一体的安全设备 并采取网络化的统一管 理 因此具有以下几个方面的优点 管理 维护简单 方便 安全性高 可有效降低在安全设备使用上的配置漏洞 硬件成本和维护成本低 9 网络运行的稳定性更高 由于是采用一体化设备 比之传统解决方案中采用防火墙和加密机两个设 备而言 其稳定性更高 故障率更低 4 入侵检测 网络安全不可能完全依靠单一产品来实现 网络安全是个整体的 必须配 相应的安全产品 作为必要的补充 入侵检测系统 IDS 可与安全 VPN 系统形成 互补