分层架构企业网络安全的研究

1、分层架构企业网络安全的研究SYSSECU问ITY系统安全I 69 分层架构企业网络安全的研究蔡丽萍山东胜利职业学院油气勘查与偌息工程来巾东东营257097) 摘要:随着网络的普及化，企:l且信息化建设对网络安全的姿求日益加剧。本文讨论了分层架构企网络安会的概念，提出结构化的网络安会系统解决方案，并结合职3k.学院的网络安会实例进行具体阐述。关键词:网络安全;分层架构;安全管现便于日后维护及故障排蛋。、概路2、系统层安全网络的最大价值，在子信息化的应用。由于企业信息化与发要包括操作系统安全和应用系统安全。系统层的安全，企业生产经营巳经逐渐成为一个共罔的载体，企业对网络安全主要考虑操作系统的漏洞补

2、丁。利用内网架设的补丁升级中心保护的要求日毅提高。当前利用结构化的观点和方法来看待企(wsus) ，对于微软发布的系统补丁，进行补丁下裁和安装，业网络安全系统是交流思想，通过各层的弱点及攻击的可能性提高操作系统的安全性，有效降低系统的安全风险。我们还可对各层进行分析及防护，对可能发生的攻击寨件或漏洞做到事以采用绿盟的极光远程安全评估系统拍描出整个网络中所有设前防护，合理地利用各种硬件设备，通过完善的管理手段来建备上的漏洞，并且与wsus服务联动，仅在绿盟的设备上就可以设一个稳定、安全、可靠的企业信息网络平台。对这些漏洞进行修补。对于应用系统服务器来说，除了加强登陆的身份认证权限，还应该尽量开放

3、最少的端口，保证服务榕工、企业网络安全架构的正常使用。企业网络管理的核心是网络应用，如何架构个安全、可3、网络层安全靠的网络环境是网络管理的一大课题。在网络安全隐患无处不网络层安全是我们考虑最多，也是防措要求最多的个腰在的今天，安全需求格外重要。当企业在架构网络前，应当会面。这里从以下几个方丽进行阐波:丽的分析相应网络中可能存在的安全隐患，以及网络应用中必(1)确定安会域的划分要的安全需求。安全域的划分就是制定安全边界。根据资源位置臣谴行划分1、网络安会威胁的目标是将间一网络安全等级的资源，根据对学院的主重要性、从目前的企业网络使用情况及日后的应用发展来看，主要商|陆的外来攻击风险、内在的运行

4、风险不同，划分成多个网络存在以下几种安全威胁.(1)、病毒感染。病毒感染是危害安全区域。划分的原则是将同一网络安全层次内客户端之间的面最广的安全隐患，威胁整休网络运行。组建企业网络时选择连接控制在相同的安全域内，尽量消除不同安全层次之间的联部署整个网络系统的病毒防御系统。(2)、黑客入侵和攻击。系，实施相互逻辑或物理隔离。熬事攻击的危害性很大，人佳途植和卫生岱方式多样化，难以预从目前情况分析，学院内部的财务处和人事处因业务及数防。目前防御措施主要是通过部着防火墙系统、入侵检测系据的保密性和敏感度，需要阻止任何的外部访问。所以这两个统、网络隔离技术等防御旦旦客攻击，还应辅以系统漏洞和补丁位景与网

5、络中其它处蒙在逻辑上应是隔离状态。这里主要使用升级系统。(3)、非法访问。非法用户访问企业网络时可能携交换机利用vlan对各个不同的功能区域进行划分。除了保证物带、放置病毒或其它恶意程序，也可能删除服务器系统文件和理性最及逻辑位鼠的隔离以外，划分vlan的另一个好处就是减数据以及窃取企业信息等。防御措施除了防火墙系统、入小广播旬的数景，控制网络流癫，避免广播风暴的产生。在实侵检测系统和网络隔离技术外，班应注意在网络管理中引入安际工作中曾经遇到财务处网段被其他问段访问的安全问翩。此全机制，如对关键部门划分子网隔离保护，对1重要的数据和文间翻涉及财务的文件和3重要报表数据，所以问题较严重宜。件进行

6、加密以及对于需要进行远程访问的用户，注意权限配置t在这之前财务处是被独立划分为一个网段，与其它附段用ACL工作。(4)、数据损坏或丢失。网络数据对于企业来说是非常列表进行隔离。但是在客户端统一纳入学院城之后，之前做的重要的。数据的备份是切安全措施中最彻底有效，也是最后ACL列表不起任何作用。经分析，我们发现在域内pc之间的通项保护措施。讯协议发生了变化，于是将所有的TCP，UDP协议进行拦截，2、网络架构概念只对部分可以互访的终端服务掘进行允许控制。对于需要外附企业网络安全是系统结构本身的安全，应利用结构化的观进行访问的服务棒，比如web服务器、ftp服务器、邮件服务器点和方法来看待企业安全系

7、统。全方位的、建休的信息安全防等需要把它们分离出来，不需要进入内网进行保护。其它服务范体系应分屡次的，不同层次反映了不同的安全问题。根据揭则放赢子内网保护区域内，独立划分为个vlano搭建网络的应用现状和结构，从物理展安全、系统层安全、网(2 )攻击阻断络展安全、应用展安全及安全管理五个方丽来考虑网络的安全这黑宝安采用防火墙、入侵防护、防病毒系统进行外部阻架构。断。首先，为了保护内部网络，在Internet出口部署防火墙，将三、学院网络安全系统分析内部网络与因特阿隔禽，只在内部网与外部网之间设立唯一的结合本学院网络建设的实际情况，在此对分层架构安全体通道，将攻击危险阻断在外，并限制网络互访从而

8、保护企业内系进行具体阐述并对网络层的安全进行重点研究。部网络。另外，利用防火墙的端口，设置LAN区、SSN区以及1、物理层安全外网区。LAN区是不对外开放区，所有的客户端及需要保护的物理醒的安全主要就是对设备和链路及其物理环境的安全服务器放罩在这个区域奥。SSN区域!l放宽需要外部访问的服保护。务器，如web服务器、ftp服务器及邮件服务梅。这里着囊考虑学院信息、中心的建设。信息中心作为学院的由于防火墙处于网关的位置，不可能对迸出攻击做出太数据中心，承载所有的应用服务器的运行，所以信息中心的安多判断，否则会严囊影响网络性能。所以这黑帮察部署入侵保全是最基础的安全保障。信息中心的建设除了要保证温

9、度、溜护系统(Ips)作为防火墙的有力补充。将Ips串联在虫子线路度、防曹雪、防火以及不间断供电以外，还应注1量信息中心的综中，是网络安全的第二道屏障，可构成兜蜒的网络安全解决方合布线布局，做好，整体规划及标记，为争布线的简洁、有序，寨。除此之外，我们还可以进行恰当的设量，使防火墙、Ips联?.息;.锐工穰I2010.8.20 卙?卅?单?锉?匩?呙?睥?灳?癣?仇?抷?虑?睳?畳?瑰?睥?抷?卓?仇?瑥?呃?浥?癣?傡?璳?虑?瑰?灳?仇?癣?虑?华?揖?汰?珁?70 SYS SECURITY 系统安全动起来。Ips检测到j入侵和攻击后，会通过联动接口部件，将和安会性，我们可以着手建设SAN

10、或NAS，篡烹可以做异地容入侵特征和事件报告给防火墙，防火墙接到入侵信息后会动态灾备份，即使发生自然灾害，我们也可以在最短的时间内恢复地修改自己的安全访问控制策略，在下一次防火墙不需要Ips也我们的数据和就们的应用。可以将入侵流量屏蔽掉。这样防火墙和Ips联动起来盾，防火墙5、网络安全管理体系的建立的访问控制规则和Ips的规则链会随着网络安全状况的变化而不实现网络安全的过程是复杂的。这个复杂的过程需要严格断调骤，这样不仅能提高安全性，而且不必要的访问控制规则有效的管理才能保证整个过程的有效性，才能保证安全控制措和规则链会被及时地删除掉，对网络性能造成的影响也会降到施有效地发挥其效能，从而确保实

11、现预期的安全目标。因此，最低。建立有组织的安全管理体系是网络安全的核心。其过稳如下:防病毒系统应该是网络安全的第二道屏障。在网络技术日( 1 )、安全需求分析。明确目前及未来几年的安全需求，即新月异的今天，即使网络部署防火墙和入侵保护系统后，仍我们需要建设什么样的网络，网络状况如何，未来发展如何等然会存在漏洞。学院网络应该建立立体防毒体系，就是指在网等，有针对性地构建适用的安全体系结构，从而有效地保证网络的边界处部署硬件防毒塌，然后再在整个网络内部部署网络络系统的安全;(2)，制定安全策略。根据不同部门的应用及版杀毒软件。这样防病毒系统不仅部署在每个客户端上，能安全瓣求，分别制定部门的计算机网

12、络安全策略，做到资源最够对源于内部网络的攻击或者是防火墙无法隅窝的攻击行为、优化(3)、外部支持。通过专业的安全服务机构的支持，将恶意代码进行阻拦，而且防病毒系统也部署在服务器上和网络使网络安全体系更加完善，并可以得到更新的安全资讯，为计边界处。这样从边界到内部，整个网络进行立体地防护，极大算机网络安全提供预警。定期进行巡检，保证所有网络设备和地提高了全网的防毒能力，是防火埔及入侵保护系统的有力补安全系统的运转正常，提早发现隐患，将网络故障对学院集体充。的影响降至最低。(3 )远穆接入按常l6、计算机网络安全管理对于学院的三个分院以及外出办公人员，需要通过Internet安全管理是计算机网络安

13、全的囊要环节之，也是计算机访问学院本部，这里考虑vpn(虚拟私有网络)技术来实现。网络安全体系结构的基础性组成部分。通过恰当的管理活动，现有vpn技术有Ipsecvpn以及sslvpn 0从学院目前网络使用规范组织的各项业务活动，使网络有序地远行，这是获取安全情况并考虑日后发展状况，将以Ipsecvpn作为点对点连结，手电的一个重整条件。安全管理是构建安全架构的核心。网络安全配;?sslvpn的选程访问方案。在交通分院、建设分院、卫生分所要达到的目的是保证网络应用在需要时可以被随时使用。在院二三地之间架设防火墙，利用防火墙的网关对网关的Ipsecvpn 安全方面，我们倡导;三分技术，七分管理指

14、的是通过管满足丘地办公的需要，离选购sslvpn来满足移动办公人员访理手段和技术手段来实现更高的安全性。信息安管理包括安问学院内网离安全性及可报性的需求。我们目前盖在使用天融全技术和设备的管理、安全管理制度、部门与人员的组织规则信防火端自带的Ipsecvpn .除了因为网络问题带来的故障以等。管理措施的另外个方面，就是加强网络安全宜传，提高外，可以说vpn功能基本达到了我们的需求。但是对于它的移动学院职工对网络安全的认识和保护网络安全的自觉性，从每个vpn，因为事户端的产品型号、操作系统及应用软件的毒异，有网络用户开始进行;主动防护防止;病从口入必要另选用套sslvpn满足移动办公访问学院内阔

15、的需求。四、总结(4)身份认证对于不同的应用，访问者的操作权限应该通过身份认证系任何-种单一的技术或产品都无法满足我们对网络安全的统来实现。身份认证有利于保证被访问资源的安全，也是对远要求，只有将技术和管理有机的结合起来，合理分析需求，按程接入安全控制的有益补充。照体系架构进行安全方案的部署，从控制网络安全建设、运行4、应用才层安全和维护的全过程入孚，才能提高庭个网络的安金水平。H主要包括网页防篡改、数据库的漏洞修补、数据的宪蟆性检验以及数据的备份和恢复。这里将注意力大部分集中在数参考文献据库的安全上。主要的工作应该是登陆的身份验证管理、数据1学卫计算机网络安全与管理M)北京:清华大学出版社，

16、24.库的使用权限管理和数据库中对象的使用权限管理。对于网页2)永德明，乔月副计算机I丁技术M.北京:也子工业出版社，2007.防篡改可以在web服务括前部署web$用防火墙。对于数据库阴篇彦攘，江向征.计算机网络安全实用技术M).中副水利水也出来说，为了提高用户访问数据库的速度和数据库中数据的安会版社，2010.性，我们可以采取磁敛阵到来代替普通的存储设备，极大地扩展了存储容簸，在性能和安全性上也有了大幅度的提高。考虑到以后我们的应用不断增多，数据最不断加大，为了保证性能上镶盼到)用惑。SQL-直处于变化之中，查询优化需要大般的理论研究( 5 )数据是枚举债，且取值费回固定，贝IJJ翠世丢掉

17、和实践对比操作，在工作中不断提高效率。H;<> ，修改为.OR;，避免全表扫描4例:update punish set state坦owhere state<>O ，考文献经上语句中包含了;<>11，执行时进行了全表扫描，根本l):ilJ砚.高性能SQL调整M).黄春泽i主北京:机械工业出版社;没有用到state字段上的索引。在实际应用中，由于业务逻辑上2张耀Oracle91中文版基础教稳M).北京:清华大学tilJl民社，的限制，学段state为枚举值，比如学生的处分情况只能是;警3)谈亮.全面精i.SQLSERV ER 2OM).北京:中朗水利水电出告;、;记过;、;开除;等，用用数字表示就是0或1或2.而版社，且，值等于1，2的时候很少，因此可以考虑去摊、>利用索4)刘观.Oracle高，性能SQL调在M.北京:机械工业出居民社引来提高效率。因此可以将原语句修改为upda