网络安全技术在雅士利集团中的应用

1、网络安全技术在雅士利集团中的应用外网部署及办公网络安全摘 要外网即为广域网，也称远程网。通常跨接很大的物理范围，所覆盖的范围从几十公里到几千公里，它能连接多个城市或国家，或横跨几个洲并能提供远距离通信，形成国际性的远程网络。企业外网拓宽了企业的市场范围，提高了企业的管理效率和经济效益，随着互联网业的蓬勃发展，企业外网已经成为企业形象营销的重要渠道。但是，也存在一些安全隐患，如果疏于防范，可能会给企业造成损失，影响企业的正常运营。本课题针对企业的外网部署和办公网络安全问题进行探讨研究，并以雅士利集团为研究对象，通过对雅士利集团的外网部署和办公网络安全建设的背景环境、需求分析、风险分析和外网、办公

2、网络安全解决策略几方面的具体设计，降低了公司的网络风险，建立和完善了雅士利集团有限公司的网络安全系统。关键词：网络安全；外网；办公网络；雅士利集团AbstractInternet is the wide area network, also known as the remote network. Usually connected across a wide range of physics, covering the range from tens of kilometers to thousands of kilometers, it can connect multiple city

3、or country, or across continents and can provide long distance communication, the formation of the remote network international. Extranet broadens the scope of the enterprise market, improve the management efficiency of the enterprise and economic benefits, with the booming development of Internet,

4、enterprise network has become an important channel for corporate image marketing. However, there are also some security hidden danger, if the guard, may cause losses to the enterprise, affecting the normal operation of enterprises.This paper studies the extranet deployment of enterprises and the off

5、ice network security problems, and to the group as the research object, solve specific design aspects of the network deployment strategy for the group and office network security construction background, needs analysis, risk analysis, and the network of the office network security, reduce the compan

6、ys network risk, establish and improve the network security system Yashili group.Key words: network security；network；office network；Yashili group设计说明雅士利集团目前存在一些网络安全隐患，主要表现在三个方面：1.企业内网的管理问题。企业内网属于局域网，端口有限，如果企业大量员工同时使用内网，有可能造成企业网络堵塞，使之不能正常使用。2.企业外网的管理问题。企业外网可以宣传企业的形象，如果被不怀好意的人利用或遭到黑客的侵袭，会给雅士利集团的形象带来影响

7、，从而影响了企业的经济效益。3.对企业员工网络资源共享的问题。很多员工通过网络在线玩游戏，看电视或者利用企业网络资源下载资料，占用企业的网络，导致企业网络速度慢，给企业网络的正常运行造成困扰。在雅士利集团的外网部署和办公网络安全系统的建设中，应注意以下几个设计原则：企业外网的设计原则不同于内网。内网要保障业务数据的实时传输，对安全性、先进性、可靠性等方面提出很高的要求。外网系统主要满足雅士利集团中的员工上网搜索资料、收发信件等的需要，对保障业务的实时性相比内网较低，但对网络的安全性要求较高。（1）安全性企业所选择的设备，应该能提供系统的、完备的多种网络安全控制机制，以满足用户建立完善的网络安全

8、管理体系。（2）实用性在企业外网建设中，要将工程的实用性和可维护性放在重要的位置，以确保整个外部网络通畅。（3）经济性 在满足系统功能要求、达到系统建设目标的基础上，在方案选择中应考虑经济性原则，保证系统要有可扩展性和可升级性。并能随着技术的发展不断升级，保证系统的经济延续性，尽量减少工程的总投资和建成后的运行管理费用。（4）管理性 对网络实行集中监测、分权管理，统一分配带宽资源，具有对设备、端口等的管理、流量统计分析能力，提供故障自动报警等。目 录摘 要设计说明引 言1第1章 企业网络安全综述21.1网络安全的含义21.2企业网络安全的特点21.3企业网络存在的安全隐患3第2章 企业网络安全

9、的现状42.1雅士利集团的背景42.2企业网络结构分析42.3企业办公网络及外网需求52.3.1带宽性能需求52.3.2稳定可靠需求62.3.3网络安全需求62.3.4应用服务需求62.3.5对病毒防护软件的需求7第3章 外网及办公网络安全风险分析83.1物理安全风险83.2外网边界的安全风险83.3网络访问的安全风险93.4服务器安全风险93.5数据安全风险10第4章 外网及办公网络安全解决策略114.1外网VLAN划分114.1.1 VLAN的定义114.1.2 VLAN的划分方法114.1.3 VLAN的规划策略114.2访问控制策略124.3办公网络防火墙的配置124.3.1 防火墙的

10、定义124.3.2 防火墙的类别124.3.3防火墙的设计134.4漏洞扫描策略134.4.1漏洞扫描步骤144.4.2网络漏洞的扫描技术144.4.3漏洞扫描对策15结 语16参考文献17致 谢18引 言在当今这个信息化飞速发展的时代，计算机网络已经渗透到人们的日常生活、工作的每一个领域，成为人们生活中不可缺少的一部分。随着计算机网络技术的发展，各企业都认识到要想在激烈的市场竞争中取得胜利，必须依靠计算机网络信息技术。企业信息网络的建立，可以帮助企业进行高效办公和高效管理。因此要有效地保护企业的信息数据安全，加强企业办公网络系统的安全已经变成各大企业必须考虑和解决的一个关键问题。在雅士利集团

11、的网络体系中,企业办公局域网是最接近用户的，用户面也最为广阔。局域网通信的多样性,使得用户上网安全面临局域网协议缺陷等多方面的威胁。办公局域网安全问题十分关键，因为其不仅牵系着企业的业务能否顺利运行，还直接关系到企业效能和核心竞争力的发挥。所以，提高办公人员在办公网络方面的的安全意识，使每个办公人员了解办公局域网安全的一些防范措施是十分必要的。雅士利集团目前的网络安全除了存在来自集团内部局域网的保密安全管理问题，还有来自外网的安全隐患，如恶意病毒的侵入、黑客的攻击、一些非法侵入者的破坏等等。这些安全问题需要重视，否则会给公司带来经济损失，影响公司的形象和经济效益。因此，雅士利集团为加强公司外网

12、的安全，采取了积极有效的措施，保障企业外网的安全稳定运行。第1章 企业网络安全综述1.1网络安全的含义国际标准化组织这样定义计算机安全：“为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄露。”我国将其定义为:“计算机系统的硬件、软件、数据受到保护，不因偶然的或恶意的原因而遭到破坏、更改、泄露，系统能连续正常运行。”因此，所谓网络安全就是指基于网络的互联互通和运作而涉及的物理线路和连接的安全，网络系统的安全，操作系统的安全，应用服务的安全和人员管理的安全等几个方面。总的说来，计算机网络的安全性，是由数据的安全性、通信的安全性和管理人

13、员的安全意识三部分组成。网络安全是一个综合、交叉学科领域，它要综合利用数学、物理、通信和计算机诸多学科的长期知识积累和最新发展成果，进行自主创新研究，加强顶层设计，提出系统的、完整的，协同的解决方案。与其他学科相比，信息安全的研究更强调自主性和创新性。1.2企业网络安全的特点企业网络安全的特点主要指企业网络信息数据的特点，有以下四个：（1）完整性指数据未经授权不能进行改变的特性，即只有得到允许的人才能修改数据，并且可以判断出数据是否己经被修改。（2）保密性指数据不泄露给非授权用户、实体，或供其利用的特性。数据加密就是用来实现这一目标的，通过加密使数据在传输、使用和转换过程中不被第三方非法获取。

14、（3）可用性指可被授权实体访问并按照需求使用的特性，即攻击者不能占用所有的资源而阻碍授权者的工作。（4）可控性指可以控制授权范围内的信息流向及行为方式，如对数据的访问、传播及内容具有控制能力。系统要能够控制谁可以访问系统或网络的数据以及如何访问，同时能够对网络的用户进行验证，并对所有用户的网络活动记录在案。1.3企业网络存在的安全隐患现在网络安全系统所要防范的不再仅是病毒感染，更多的是基于网络的非法入侵、攻击和访问，同时企业网络安全隐患的来源有内、外网之分，很多情况下内部网络安全威胁要远远大于外部网络，因为内部中实施入侵和攻击更加容易，企业网络安全威胁的主要来源主要包括：病毒、木马和恶意软件的

15、入侵，网络黑客的攻击，重要文件或邮件的非法窃取、访问与操作，关键部门的非法访问和敏感信息外泄，外网的非法入侵，备份数据和存储媒体的损坏、丢失。针对这些安全隐患，所采取的安全策略可以通过安装专业的网络版病毒防护系统，同时也要加强内部网络的安全管理，配置好防火墙过滤策略和系统本身的各项安全措施，及时安装系统安全补丁，有条件的还可以在内、外网之间安装网络扫描检测、网络嗅探器、IDS、IPS系统，甚至配置网络安全隔离系统，对内、外网络进行安全隔离；加强内部网络的安全管理，严格实行“最小权限”原则，为各个用户配置好恰当的用户权限；同时对一些敏感数据进行加密保护，对数据还可以进行数字签名措施；根据企业实际

16、需要配置好相应的数据策略，并按策略认真执行。第2章 企业网络安全的现状2.1雅士利集团的背景雅士利国际集团有限公司是一家专业从事营养食品的研究、开发与生产的现代化大型公司，拥有5000多名与员工，资产数十亿。公司现拥有服务器50台，路由器10台，交换机50余台，客户端计算机1000多台，局域网几乎覆盖所有的办公楼，用户达上万余人。与外网和国际网络通过Internet专线连接。雅士利集团有限公司如今建立了强大的企业外网，与企业内网相互联结，共同发挥作用。企业外网通过宣传提高了企业的形象，同时提高了企业的影响力和经济效益。但是，外网也存在一定的安全隐患。为加强雅士利集团有限公司的网络安全，使其有一

17、个稳定的网络环境，公司已采用了相应的网络安全技术来健全公司的网络安全体系。2.2企业网络结构分析一般企业的网络结构大同小异,都是处于一个企业厂区内部或者各大楼内部,都是各信息点集中到中心网络的一个星形网络,即拥有一个中心机房,各计算机终端都汇聚到中心机房。对外的出口一般连接因特网,内部有服务器支撑的各个具体应用。雅士利集团有限公司的网络结构拓扑图如下：图1 雅士利集团有限公司网络结构拓扑图2.3企业办公网络及外网需求通过了解雅士利集团有限公司的需求与现状，为实现公司的网络安全建设实施网络系统改造，提高企业网络系统运行的稳定性，保证企业各种设计信息的安全性，避免图纸、文档的丢失和外泄。通过软件或

18、安全手段对客户端的计算机加以保护，记录用户对客户端计算机中关键目录和文件的操作，使企业有手段对用户在客户端计算机的使用情况进行追踪，防范外来计算机的侵入而造成破坏。通过网络的改造，使管理者更加便于对网络中的服务器、客户端、登陆用户的权限以及应用软件的安装进行全面的监控和管理。雅士利集团有限公司网络安全需求分析可从以下几个方向上考虑:2.3.1带宽性能需求现代企业网络应具有更高的带宽，更强大的性能，以满足用户日益增长的通信需求。随着计算机技术的高速发展，基于网络的各种应用日益增多，今天的企业网络已经发展成为一个多业务承载平台。不仅要继续承载企业的办公自动化，Web浏览等简单的数据业务，还要承载涉

19、及企业生产运营的各种业务应用系统数据，以及带宽和时延都要求很高的IP电话、视频会议等多媒体业务。因此，数据流量将大大增加，尤其是对核心网络的数据交换能力提出了前所未有的要求。另外，随着千兆位端口成本的持续下降，千兆位到桌面的应用会在不久的将来成为企业网的主流。从2004年全球交换机市场分析可以看到，增长最迅速的就是10 Gbps级别机箱式交换机，可见，万兆位的大规模应用已经真正开始。所以，今天的企业网络已经不能再用百兆位到桌面千兆位骨干来作为建网的标准，核心层及骨干层必须具有万兆位级带宽和处理性能，才能构筑一个畅通无阻的高品质企业网，从而适应网络规模扩大，业务量日益增长的需要。2.3.2稳定可

20、靠需求现代企业的网络应具有更全面的可靠性设计，以实现网络通信的实时畅通，保障企业生产运营的正常进行。随着企业各种业务应用逐渐转移到计算机网络上来，网络通信的无中断运行已经成为保证企业正常生产运营的关键。现代大型企业网络在可靠性设计方面主要应从以下3个方面考虑:(1)设备的可靠性设计不仅要考察网络设备是否实现了关键部件的冗余备份，还要从网络设备整体设计架构、处理引擎种类等多方面去考察。(2)业务的可靠性设计网络设备在故障倒换过程中，是否对业务的正常运行有影响。(3)链路的可靠性设计以太网的链路安全来自于多路径选择，所以在企业网络建设时，要考虑网络设备是否能够提供有效的链路自愈手段，以及快速重路由

21、协议的支持。2.3.3网络安全需求现代大型企业网络应提供更完善的网络安全解决方案，以阻击病毒和黑客的攻击，减少企业的经济损失。传统企业网络的安全措施主要是通过部署防火墙、IDS、杀毒软件，以及配合交换机或路由器的ACL来实现对病毒和黑客攻击的防御，但实践证明这些被动的防御措施并不能有效地解决企业网络的安全问题。在企业网络已经成为公司生产运营的重要组成部分的今天，现代企业网络必须要有一整套从用户接入控制，病毒报文识别到主动抑制的一系列安全控制手段，这样才能有效地保证企业网络的稳定运行。2.3.4应用服务需求现代大型企业网络应具备更智能的网络管理解决方案，以适应网络规模日益扩大，维护工作更加复杂的

22、需要。当前的网络已经发展成为以应用为中心的信息基础平台，网络管理能力的要求已经上升到了业务层次，传统的网络设备的智能已经不能有效支持网络管理需求的发展。比如，网络调试期间最消耗人力与物力的线缆故障定位工作，网络运行期间对不同用户灵活的服务策略部署、访问权限控制、以及网络日志审计和病毒控制能力等方面的管理工作，由于受网络设备功能本身的限制，都还属于费时、费力的任务。所以现代的大型企业网络迫切需要网络设备具备支撑以应用为中心的智能网络运营维护的能力，并能够有一套智能化的管理软件，将网络管理人员从繁重的工作中解脱出来。2.3.5对病毒防护软件的需求网络中没有一套有效的网络杀毒软件和防毒策略，一旦病毒

23、入侵，会通过各种形式在网络内广泛传播，造成严重后果。有可能破坏文件和数据库系统，造成数据的损坏和丢失，也可能导致网络不能正常运行，如造成应用系统瘫痪。在局域网内应布置多平台网络版反病毒防护软件。要求反病毒防护软件具有零度网络管理,可以从局域网中的任意一台工作站派发杀病毒软件程序至整个局域网络系统的功能,在所有的病毒入口及出口处设置防护应用系统;保证平台、协议的无关性;保护所有文件、电子邮件、HTML文档;通过查杀软盘、光盘、可移动硬盘、手提电脑连接、文件服务器、邮件服务器、Internet服务器或代理服务器与Internet连接的进出,提供全面保护。第3章 外网及办公网络安全风险分析信息安全风

24、险是指信息资产的安全属性（保密性、完整性和可用性等）遭到破坏的可能性。在分析雅士利集团有限公司外网网络所面临的信息安全风险时，主要考虑那些对雅士利集团有限公司有负面影响的事件，安全风险的存在来源于两个方面，一是信息资产的价值，所谓信息资产的价值就是指因信息的泄露、系统的停滞或网络的破坏，对雅士利集团有限公司正常运作所带来的损失，信息资产价值越高，那么安全风险也必然越高；二是威胁的来源和威胁转换为攻击的可能，综合上述的资产分析，弱点分析，威胁分析。为了全面地对安全风险进行分析和归类，参考信息资产的分类，对安全风险将从物理、系统、应用、数据、管理六个层面进行。3.1物理安全风险这里所说的物理层指的

25、是整个网络中存在的所有的信息机房、通信线路、硬件设备等，保证计算机信息系统基础设施的物理安全是保障整个雅士利集团有限公司外网网络系统安全的前提。物理层面存在的安全风险具体如下：（1） 机房为新建，尚未建立起机房安全管理制度；（2） 尚未指定专职的机房管理员和机房职守人员；（3） 尚未建立来访人员的批准、限制和监控程序以及监控人员；（4） 尚未建立介质管理制度；（5） 尚未建立机房基础实施的运行维护管理制度和流程，未明确相关工作责任人；（6） 此外，政府网站系统采用了托管方式，基础实施安全取决于托管机房的安全防护水平和管理水平。3.2外网边界的安全风险对于雅士利集团有限公司外网的互联网边界，可能

26、存在的安全风险和包括：（1）非法访问：外部用户试图访问雅士利集团有限公司内部业务系统所开放服务之外的信息和服务；（2）非法入侵：黑客通过身份假冒、应用层攻击等方式，穿透访问控制机制，进入雅士利集团有限公司外网业务系统内部进行非法操作； （3）恶意攻击：包括各种常规攻击和DoS/DDoS攻击； （4）病毒和蠕虫：计算机病毒和网络蠕虫的传播和爆发，将可能使整外网网络系统处于瘫痪状态。3.3网络访问的安全风险网络访问策略是否可行，网络访问的来源和目标是否受控，网络访问行为是否有记录等问题，都会直接影响到雅士利集团有限公司外网的稳定与安全。如果没有进行适当的网络访问控制、没有对终端接入和网络地址的使用

27、进行适当限制、对网络访问行为没有监管和审计措施，很容易造成网络资源滥用、信息泄露，轻则降低网络工作效率，重则导致经济损失或名誉损失。这就要求系统能够对网络中发生的各种访问，乃至网络中传递的数据包进行很好的监控。但由于雅士利集团有限公司外网的管理与监控机制尚不完善，无法对用户访问行为的合法性作出正确判断，缺乏对所采集的数据进行深入挖掘、详细分析和实时预警等功能，一旦发生了非法的网络访问，也很难及时发现和处理。3.4服务器安全风险对雅士利集团有限公司外网来讲，运行在网络上的各种网络服务器构成了最重要的信息资产之一，特别是政府网站服务器和电子政务交换服务器，构成雅士利集团有限公司外网中最重要的信息资

28、产。如何确保这些重要的网络服务器能够稳定、可靠、安全地运行，是保证雅士利集团有限公司外网各项业务正常开展的基础。一般来讲，网络服务器所面临的主要安全风险包括：（1）非法访问：非法用户可以通过网络监听、暴力破解或社会工程等手段获取合法用户登录信息从而进入系统进行有限范围内的数据访问操作，或进而利用系统漏洞提升自己的访问权限以达到完全控制系统的目的，普通合法用户也可以利用这种方式实现越权访问，这样所导致的直接后果就是系统文件和机密信息的泄露和破坏；（2）合法用户误用、滥用：无论是普通用户还是系统管理员，在正常操作过程中难免会发生误操作，可能导致系统故障或数据丢失；用户也可能因受利益驱使或心怀不满等

29、原因，故意利用职权进行泄密和破坏；（3）计算机病毒：计算机病毒不仅能侵入WINDOWS文件系统，而且也有可能通过各种途径进入Linux/UNIX文件系统中，即使它不会对服务器系统本身造成威胁，但是一旦服务器感染了病毒，就会对所有的访问终端构成威胁；3.5数据安全风险数据安全是雅士利集团有限公司外网中最核心的安全问题，如果数据在存储过程中被非法复制或破坏，数据访问和处理过程被意外中断，或在传输过程中被非法窃取或篡改，则其可用性、机密性、真实性、完整性就得不到保证，可能给雅士利集团有限公司正常工作开展造成影响。数据安全风险主要体现在数据保密性问题上：（1）存储保密问题：对于存放在服务器上的数据，其

30、所存在的网络、系统平台自身是否具有足够的控制和监视手段来防止信息泄露；对于存放在工作人员的计算机硬盘上的数据，用户是否会有意、无意的把数据存放目录共享给网络邻居任意访问，或者主动将数据通过网络或物理手段传播给非法接收者。（2）传输保密问题：如果敏感数据采用明文在网络上进行传输，攻击者能够通过线路侦听等方式，获取传输的信息内容，造成信息泄露；非法用户可以利用“中间人攻击”或“会话劫持”的手段，模拟正在通信的两台计算机中一方或双方的身份和行为，插入到正常的通信过程中，截取正在传输的数据。第4章 外网及办公网络安全解决策略4.1外网VLAN划分4.1.1 VLAN的定义VLAN即为“虚拟局域网”。它

31、是一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟工作组的新兴数据交换技术。这一新兴技术主要应用于交换机和路由器中，但主流应用还是在交换机之中。如果要更为直观地描述VLAN的话，我们可以把它理解为将一台交换机在逻辑上分割成了数台交换机。在一台交换机上生成红、蓝两个VLAN，也可以看作交换机换做一红一蓝两台虚拟的交换机。4.1.2 VLAN的划分方法（1）根据端口划分VLAN：这种划分VLAN的方法是根据以太网交换机的端口来划分，比如交换机的14端口为VLAN A，517为VLAN B，1824为VLAN C，当然，这些属于同一VLAN的端口可以不连续，如何配置，由管理员决定，如果有多个交

32、换机的话，例如，可以指定交换机 1 的16端口和交换机 2 的14端口为同一VLAN，即同一VLAN可以跨越数个以太网交换机，根据端口划分是目前定义VLAN的最常用的方法，IEEE 802.1Q协议规定的就是如何根据交换机的端口来划分VLAN。（2）据MAC地址划分VLAN：这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置他属于哪个组。（3）根据网络层划分VLAN：这种划分VLAN的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的。（4）IP组播作为VLAN：IP组播实际上也是一种VLAN的定义，即认为一个组播组就是一个VLAN，这种划分的

33、方法将VLAN扩大到了广域网。在雅士利集团有限公司覆盖范围内各个网络节点所采用的网络设备均支持通过划分Vlan来进行网段隔离，接入交换机、汇聚和局域网核心交换机均支持4096以上个IEEE802.1Q VLAN，同时至少可激活32个，可以方便灵活的通过Vlan划分进行网段隔离。4.1.3 VLAN的规划策略根据雅士利集团有限公司的实际情况，对整个网络进行适当的VLAN隔离，有助于提高网络性能的稳定和保护重要客户的网络资源。因此，建议VLAN规划如下：（1）在楼层接入交换机和服务器区域交换机上划分VLAN，核心交换机做VLAN间路由和策略；（2）为服务器区域划分单独的VLAN，不同业务系统服务器

34、之间也建议通过子VLAN隔离；（3）为安全管理服务器区域划分单独的VLAN，不同的安全管理服务器之间也建议通过子VLAN隔离；（4）为各处室划分不同的VLAN，禁止不必要的互访；4.2访问控制策略入网访问控制为网络访问提供了第一层访问控制。它控制哪些用户能够连入内部网络，那些用户能够通过哪种方式登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。网络的访问权限控制是针对网络非法操作所提出的一种安全保护措施。赋予涉密系统的用户和用户组一定的权限。控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。可以指定用户对这些文件、目录、设备能够执行哪些操作。4.3办公网络防

35、火墙的配置4.3.1 防火墙的定义防火墙是在内部网和外部网之间建起一道屏障，并决定哪些内部资源可以被外界访问，哪些外部服务可以被内部人员访问的设备。内部网和外部网之间传输的所有信息都要经过防火墙的检查，只有授权的数据才能通过。4.3.2 防火墙的类别根据对数据处理方法的不同，防火墙大致可分为两大体系:包过滤防火墙和代理防火墙(应用层网关防火墙)。前者以 Checkpoint 防火墙和 Cisco 公的 PIX防火墙为代表，后者以 NAI 公司的 Gauntlet 防火墙为代表。包过滤技术是根据定义好的过滤规则审查每个数据包并确定数据包是否与过滤规则匹配。如果过滤规则允许通过，那么该数据包就会按

36、照路由表中的信息被转发。如果过滤规则拒绝数据包通过，则该数据包就会被丢弃，这就是最初的静态包过滤技术。静态包过滤技术的缺陷十分明显，如果允许 FTP 类型的服务通过防火墙，就得开放所有大于 1024 的端口号，这样做无疑很危险。如果为了安全起见关闭这些端口，就会阻隔内外网络之间必要的 FTP 传输。最新的包状态监测技术通过跟踪对数据包建立的连接，按照需要在过滤规则中动态增加或更新条目，来解决这个问题。当数据传输完毕、连接终止或连接超时后，防火墙就会将临时的包过滤规则移去，从而保证了防火墙的安全性，同时又使得类似 FTP 的服务得以顺利运行。4.3.3防火墙的设计1.设计防火墙系统的拓扑结构在确

37、定防火墙系统的拓扑结构时,首先必须确定被保护网络的安全级别。从整个系统的成本、安全保护的实现、维护、升级、改造以及重要的资源的保护等方面进行考虑,以决定防火墙系统的拓扑结构。2.制定网络安全策略在实现过程中,没有允许的服务是被禁止的,没有被禁止的服务都是允许的,因此网络安全的第一条策略是拒绝一切未许可的服务。防火墙封锁所有信息流,逐一完成每一项许可的服务;第二条策略是允许一切没有被禁止的服务,防火墙转发所有的信息,逐项删除被禁止的服务。3.确定包过滤规则包过滤规则是以处理IP包头信息为基础,设计在包过滤规则时,一般先组织好包过滤规则,然后再进行具体设置。4.设计代理服务代理服务器接受外部网络节

38、点提出的服务请求,如果此请求被接受,代理服务器再建立与实服务器的连接。由于它作用于应用层,故可利用各种安全技术,如身份验证、日志登录、审计跟踪、密码技术等,来加强网络安全性,解决包过滤所不能解决的问题。4.4漏洞扫描策略漏洞扫描通常采用两种策略,第一种是被动式策略,第二种是主动式策略.所谓被动式策略就是基于主机之上,是从一个内部用户的角度来检测操作系统的漏洞,主要用于检测注册表和用户配置中的漏洞;而主动式策略是基于网络的,是从外部攻击者的角度通过执行一些脚本文件模拟对系统进行攻击的行为并记录系统的反应,主要用于查找网络服务和协议中的漏洞.利用被动式策略扫描称为系统安全扫描,利用主动式策略扫描称

39、为网络安全扫描.由于基于主机的扫描能直接获取主机操作系统的底层细节,如特殊服务和配置的细节等;基于网络的扫描能有效发现那些基于主机的扫描不能发现的网络设备漏洞,如路由器、交换机和防火墙等存在的漏洞,所以在实际应用中,是把两者结合起来,优势互补,以尽可能多的发现漏洞信息.4.4.1漏洞扫描步骤一次完整的漏洞扫描大体可以分为以下三个阶段：第一阶段,判断目标主机或网络是否处于活动状态；第二阶段,发现目标后进一步搜集目标信息,包括操作系统类型、运行的服务以及服务软件的版本等。如果目标是一个网络,还可以进一步探测该网络的拓扑结构、路由器和主机等的信息；第三阶段,根据搜集到的信息判断或者进一步测试该系统是

40、否存在安全漏洞。4.4.2网络漏洞的扫描技术1.PING扫描PING扫描用于漏洞扫描的第一阶段,通过使用多数操作系统自带的工具“ping”，用法为ping+目标IP地址,通过是否能收到对方的ICMP echo reply,来帮助识别目标主机或系统是否处于活动状态.不过目前部分主机或系统为安全性考虑,其防火墙会把ICMP包给屏蔽掉,导致PING扫描失效.在这种情况下,可以采用ICMP Error Sweep方法,发送一个畸形的IP数据包,迫使目标主机回应一个ICMP出错信息包,来判断目标主机是否在线。2.操作系统探测操作系统探测用于漏洞扫描的第二阶段,用于对目标主机运行的操作系统进行识别.一般有

41、以下3种方式: (1)ICMP响应分析,通过发送UDP或ICMP的请求报文,然后分析各种ICMP应答来判断目标主机操作系统,如OfirArkin的X-Probe就采用此技术。(2)TCP分段响应分析,依靠不同操作系统对特定分段的不同反映来区分.比较流行的工具有Savage的Que-SO和Fyodor的NMAP。它们产生一组TCP和UDP请求发送到远程目标主机的开放(未开放)端口,通过接收分析远程主机响应的有用信息,在较小的延迟内得到类型和版本之类的信息。QueSO第一个实现了使用分离的数据库于指纹。NMAP包含了很多的操作系统探测技术,定义了一个模板数据结构来描述指纹。由于新的指纹可以很容易地

42、以模板的形式加入,NMAP可以通过指纹数据库的增长来识别更多的操作系统。 (3)初始化序列号分析,在TCP栈中不同的exploits随机产生,通过鉴别足够的测试结果来确定远程主机的操作系统。3. 端口扫描技术（1）TCP SYN扫描 通常称为/半开放0扫描,这是因为扫描程序不必打开一个完全的TCP连接。扫描程序发送的是一个SYN数据包,好像准备打开一个实际的连接并等待反应一样(可以参考TCP的三次握手建立一个TCP连接的过程)。一个SYN/ACK的返回信息表示端口处于侦听状态。一个RST返回,表示端口没有处于侦听状态。SYN扫描的优点在于即使日志中对扫描有所记录,但是尝试进行连接的记录也要比全

43、扫描少得多。缺点是在大部分操作系统下,发送主机需要构造适用于这种扫描的IP包,通常情况下,构造SYN数据包需要超级用户或者授权用户访问专门的系统调用。（2）认证扫描认证扫描技术利用认证协议,能够获取运行在某个端口上的进程的用户名。认证扫描尝试与一个TCP端口建立连接,如果连接成功,扫描器发送认证请求到目的主机的113TCP端口。认证扫描同时也被成为反向认证扫描,因为即使最初的RFC建议了一种帮助服务器认证客户端的协议,然而在实际的实现中也考虑了反向应用。（3）秘密扫描跟SYN扫描类似,秘密扫描也需要自己构造IP包。但秘密扫描技术不包含标准的TCP三次握手协议的任何部分,所以无法被记录下来,从而比SYN扫描隐蔽得多。此技术使用FIN数据包来探听端口,能够通过只监测SYN包的包过滤器。当一个FIN数据包到达一个关闭的端口,数据包会被丢掉,并且回返回一个RST数据包。否则,当一个FIN数据包到达一个打开的端口,