时讯通电子服务器项目设计方案

1、时讯通电子服务器项目设计方案项目成员： 指导老师： 目 录1项目设计整体概述41.1项目建设目标41.2项目设计主要原则42企业IT系统方案设计62.1企业IT系统拓扑图6网络系统拓扑图6AD总体架构拓扑图72.2网络基本架构规划7活动目录森林和域结构7组织单元（OU）规划8活动目录站点拓扑10DC、GC和FSMO操作主机11设计要点11放置DC服务器11放置RODC服务器12放置GC服务器12FSMO操作主机的角色分配12网段划分与IP地址分配13DHCP的部署方案17DNS部署方案18用户与计算机对象命名规范19操作系统与应用软件的部署规划192.3资源共享规划20文件服务的规划20配置与

2、管理存储技术20配置与管理分布式文件系统20打印服务的规划22Web站点规划222.4网络系统安全方案规划24网络安全体系结构24网络现状分析和安全需求25网络结构的分析25网络系统安全风险分析26网络安全现状评估28网络安全需求分析29网络安全整体解决方案29PKI规划与设计29网络访问保护（NAP）方案30企业补丁管理方案31企业用户密码策略32VPN站点之间安全链接33IPSec332.5数据备份和灾难恢复规划34AD的日常数据备份34企业重要数据的备份35AD的日常数据还原353项目管理与实施计划351 项目设计整体概述1.1 项目建设目标根据时讯通科技有限公司信息化办公网络的总体需求

3、，采用先进的计算机、网络设备和软件，以及先进的系统集成管理模式，实现一个高效的办公网络体系。能为处于上海总部的员工和北京分公司的子域员工提供高质量的信息化办公网络服务。满足集团内员工的各种办公需求，且便于集团管理员进行统一管理配置，形成一高效的时讯通科技有限公司信息化办公系统。可将时讯通科技有限公司内部形成高效、通畅、安全的网络体系，初步实现公文管理、资源共享、打印管理的电子化、网络化。对外连接到Internet，使公司保持与外界先进事物以及合作伙伴、公司客户的密切联系，并发布公司的相关信息。同时，通过现有的网络总公司和各子公司可以保持紧密联系。网络中的各类服务器设备、客户机设备、网络设备以及

4、各种操作系统、应用软件将考虑技术上的先进性、国内外及各行业的通用性，并且要有良好的市场形象与售后技术支持，便于维护、升级。选购的同时，将考虑在满足功能与性能的基础上的最优性价比。1.2 项目设计主要原则要实现时讯通科技有限公司的信息化办公网络需要各种基础架构以及相应的应用服务，最后结合高效的管理才得以实现。所以在为时讯通科技有限公司进行规划设计时在满足需求，提供可扩展性，稳定性，保证集团网路的可靠性和安全性。具体的来讲，在为时讯通科技有限公司进行设计的时候遵循以下原则：1) 稳定性：采用经国内国外实践证明是实用的、成功的网络技术、网络产品。2) 先进性：采用目前先进的网络技术和产品，以适应公司

5、发展的需要。3) 通用性：网络系统中的硬件或软件模块能根据实际情况，进行各种组合和灵活的配置，以适应技术的发展和业务需求的变化。4) 平滑升级和投资保护：系统可根据功能和规模的发展进行平滑升级到未来的新技术和新功能以保护客户的投资、可靠、经济、力争最佳性价比。5) 可靠性：根据实际应用需要，可考虑采用高可靠性的设备和必要的容错措施（如：硬件容错，软件容错、系统容错）。6) 开放性和标准化：系统设计中优先采用有关的国际标准、国家标准、主流的行业标准和规范，以保障网络的开放性。7) 可管理性：网络应具有网络管理设施，以实现配置管理、性能管理、故障管理、统计管理、安全管理等五个方面的网管功能。8)

6、安全性：根据业务安全性的实际需要，应采用切实可行的安全措施。9) 可用性：网络应满足峰值业务需求，保证在3-5年内的可用性，并具有很好的可维护性。随着网络结构不断调整及发展，势必会积累一些安全及运行的隐患，要及时的发现及消除，这不仅需要购买专业的维护保养服务和相关硬件，还需要专业的网络系统工程师去判断及处理。通过设备和管理双结合，保障系统安全、稳定的运行，将系统停机时间减少到最少，保护公司数据安全。2 企业IT系统方案设计2.1 企业IT系统拓扑图2.1.1 网络系统拓扑图2.1.2 AD总体架构拓扑图2.2 网络基本架构规划2.2.1 活动目录森林和域结构现在企业对信息技术的要求越来越高，如

7、何更加高效地组织和管理好公司网络现有资源，并使其发挥最大作用已经成为每个企业都需要面临的问题。Windows操作系统是企业中最普遍采用的操作系统，在这样的环境下，活动目录无疑成了管理公司资源的最佳选择。根据企业实际情况将其活动目录设计为单林双域模式，为了实现方便灵活的管理，在上海总部设立林根域：，在北京分公司设立：子域。 2.2.2 组织单元（OU）规划为方便对企业域用户和计算机进行管理，利用“客户端计算机与用户”组织单元来组织所有的客户机和用户，在其下再建立各部门OU，用来组织本部门的客户端计算机和用户；另外，建立“成员服务器”组织单元来组织所有成员服务器，并在其下建立子OU来存放各种不同角

8、色的成员服务器。主域：建立组织单元后，将属于该部门的用户帐户和计算机账户移动到相应的组织单元中。类似于下图：2.2.3 活动目录站点拓扑企业分布在上海和北京两个地区，为了优化活动目录的复制流量在每个地区设置为一个站点，每个站点定义相应的子网，站点间采用IP连接作为站点间的数据复制传输方式。2.2.4 DC、GC和FSMO操作主机 设计要点设有两个站点，计划上海站点把2台DC和1台RODC放置在总部，并把两台DC都配置为GC，1台RODC放置在分支办事处，北京分公司站点放置1台DC并配置为GC，1台RODC。利用Windows 2008 AD多主复制的特性，域控制器之间的数据同步和

9、复制通过KCC算法自动实现，避免手工配置干预。 放置DC服务器站点拓扑中服务器的位置对活动目录的可用性有直接的影响。在站点规划过程决定了哪些站点中的每个域都有域控制器，但是并不能决定每个站点中的每个域放置的域控制器的数量。为一个特定域创建的域控制器的数量首先根据企业需求和实际情况并根据两个因素：容错要求和负载分布要求。对于每个域，使用下列指导方针决定是否需要更多的域控制器： 总是至少创建两个域控制器即使是用户数量较少的小型域，至少也要创建两个域控制器，这样域就没有单个故障点。在本项目中，我们设计有3台DC，并且考虑远程容灾，应该能够较好地避免单点故障。 对于包含单个域控制器的每个

10、站点，决定是否信任 WAN 的故障转移如果单个域控制器出现故障，可以由位于其他站点中那个域的域控制器服务站点中的客户。如果网络连接不太可靠或间歇可用，可能不能信任网络处理故障转移。在这种情况下，在站点中为该域放置第二个域控制器。 在站点中为域放置更多的域控制器以处理客户工作量一个特定的服务器可以处理的客户的数量取决于工作量和服务器的硬件配置。客户从站点中的可用域控制器中随机选择以均匀地分配客户负载。 放置RODC服务器RODC是只读的，单向复制的域控制器。RODC通常放置在安全性无法保障的区域中。根据企业需求，我们在上海和北京分别部署RODC，作为更新服务器组的成员，为受限客户

11、端处理登录请求。 放置GC服务器全局编录服务器的有效性对于目录的运行是很关键的。例如，当为本机模式（Windows 2008 Mode）域处理用户登录请求时或当用户使用用户主要名称登录时，必须有一个全局编录服务器可用。 FSMO操作主机的角色分配在FSMO角色设计时应遵从以下原则：Active Directory 定义了五种操作主机角色（又称）：架构主机 schema master域命名主机 domain naming master相对标识号 (RID) 主机 RID master主域控制器模拟器 PDC Emulator基础结构主机 infrastructure

12、master根据企业情况和根据在FSMO角色设计时遵从的原则，上海总部的SH-DC拥有所有的操作主机角色，SH-DC2为备用的操作主机，北京分部的BJ-DC拥有所有操作主机角色。2.2.5 网段划分与IP地址分配.实现IP 地址自动化管理，并按地区实现子网划分。分支办事处.鉴于当前IPV4地址枯竭，未来IPV6将取代IPV4，而且，现在已经有很多网络部署了IPV6协议，因此，从前瞻性考虑，为公司网络部署IPV6协议，为全部网络设备配置IPV6地址，同时为网络配置IPV6 over IPV4隧道，以便IPV6网络与IPV4网络进行无障碍通信。 目前，在没有申请到全局单播地址的情况下，为公司部署站

13、点单播地址，公司总部使用FEC:1/64位地址前缀；分子办事处使用FEC:2/64位地址前缀，北京分部使用FEC:3/64位地址前缀。另外在路由上配置ISATAP隧道，启用客户端ISATAP隧道协议。服务器配置静态IPv6地址，客户机通过路由器宣告IPv6前缀获取IPv6地址。2.2.6 DHCP的部署方案因为客户端采用动态地址形式，所有需要架设DHCP服务器。Queens分支办事处与总部距离较近，采用在路由器上配置中继代理，由中继代理协议代理客户端向主域DHCP申请IP地址。考虑到主域的DHCP服务器既要为总部分配ip地址又要为分支办事处分配ip地址，需要一个高可用性的服务环境，所以在上海总

14、部采用两台服务器做成DHCP服务器群集，而北京分部则架设一台DHCP服务器。在主域DHCP服务器上为上海总部创建IPv4作用域支办事处创建IPv4作用IPv4作用域。2.2.7 DNS部署方案n DNS服务器为活动目录集成方式（AD Integrated），所有的DC均为DNS服务器。好处是： DNS的复制将由活动目录完成，不需要为DNS服务器建立独立的复制拓扑。 活动目录服务复制提供了属性级的复制粒度，而且支持增量复制。 活动目录复制安全性高。 不再有主DNS服务器，现在是多主模型，防止了单点失败。n 配置企业内部、外部DNS，满足客户对内部、外部的查询： 在内部的DNS（在防火墙内）上，因

15、为需要满足内部客户的外部DNS查询，需要删除Root Hints区域(Zone)。同时设置DNS Forwarder为企业外部DNS。 在外部DNS（在防火墙外）上，只保存企业注册的资源记录(RR)，不能泄露内部的域名信息。在外部DNS上，可以配置DNS Forwarder到ISP的DNS，或者直接保留缺省配置，安装最新的Root Hint数据。 防火墙配置：必须进行防火墙配置（NAT和端口），允许内部DNS服务器进行DNS Query。n 客户机的查询模式： 内部查询：从内部DNS中直接查询得到结果； 外部查询：内部DNS将查询请求Forward到外部DNS，得到结果。n 客户机的设置客户机

16、和域控制器应该使用至少两个DNS服务器IP地址配置：一个首选本地服务器和一个备用服务器。备用服务器可以在本地站点，或者如果信任网络处理故障转移，也可以是远程的备用服务器。 DNS架构设计如下图：2.2.8 用户与计算机对象命名规范为方便管理，客户机命名按部门标识加编号的方式进行命名，如市场部的客户机：market01；对于服务器的命名则按照该服务器所承担的角色进行命名，如果相同角色的服务器有多台还可加相应的编号，而对于不同地区相同角色的服务器，还可以加上相应位置前缀进行标识。用户命名实行实名制，即以用户的真实姓名的拼音作为用户账户，如果有重名可加部门或编号标示。2.2.9 操作系统与应用软件的

17、部署规划各种不同的操作系统可根据具体情况选择通过手工方式进行安装，或通过windows Server 2008的WDS实现操作系统的自动部署。对于各种不同的应用软件，就根据实际情况可选择手工方式进行安装。或通过组策略实现应用软件的自动分发。2.3 资源共享规划2.3.1 文件服务的规划 配置与管理存储技术作为DFS文件系统的一部分，必须设计磁盘存储的安全性。项目设计如下：所有的数据采用RAID 5卷存储；允许用户在Hrtemplates文件夹中存储最大 100 MB 的数据。当用户超过 85% 的配额，或当他们尝试添加大于100 MB 的文件，应有一个事件记录到服务器上的事件查看

18、器上，并给用户警告；不允许用户存储.avi、MP*等视频文件。 配置与管理分布式文件系统企业中部门文件繁多，资料复杂，企业员工需要记住不同的共享路径来访问共享文件，这样的设计不够人性化，同时也未管理人员带来巨大的管理工作。企业需要使得员工方便统一地访问公司中相应部门的共享资料，同时也方便管理员统一管理各个共享文件。利用Windows Server 2008的DFS（分布式文件系统）在文件服务器上搭建文件共享服务。通过DFS，可以将分散在同一网络中的不同计算机上的共享资源组织起来，形成一个单独的、逻辑的和层次式的共享文件系统。这样，用户在访问文件时不需要知道它们的实际物理位置，也不

19、需要记住各个不同的共享路径，或以容易访问和管理物理上跨网络分布的文件。为此，选择在文件服务器SH-FILE上创建一个DFS根目录，命名为resource，这样，用户就可以通过文件访问路径 resource直接访问企业的共享资源。另外，为方便公司用户访问共享文件，利用组策略在客户端定义一块虚拟网络驱动器“Z”指向DFS文件系统的根root。为公司各部门创建共享节点，并利用AGDLP方式控制权限。每个部门的普通员工只能以只读方式访问本部门的共享文件夹，部门经理可以完全控制访问本部门的共享文件夹，以只读方式访问其他部门的共享文件夹。当用户从网络访问一个存储在NTFS文件系统的共享文件夹时候，会受两种

20、权限的约束，而有效权限是两者最严格的权限。共享权限NTFS权限有效权限完全控制完全控制完全控制更改修改读取读取拒绝访问拒绝访问更改完全控制修改修改修改读取读取拒绝访问拒绝访问读取完全控制读取修改读取读取读取拒绝访问拒绝访问拒绝访问完全控制拒绝访问修改拒绝访问读取拒绝访问拒绝访问拒绝访问表3-14 权限关系表依据上面的组合权限，制定下表对各部门文件夹访问进行控制。文件名专用于组名(类型)共享权限NTFS权限Finance财务部FinAdmins (G)更改修改Fins(G)读取读取和执行SH-Managers(DL)读取读取和执行Managerment管理部ManAdmins (G)更改修改Ma

21、ns (G)读取读取和执行SH-Managers(DL)读取读取和执行Administrator行政部AdmAminss(G)更改修改Adms(G)读取读取和执行SH-Managers(DL)读取读取和执行 Market市场部MarAdmins（G）更改修改Markets（G）读取读取和执行SH-Managers(DL)读取读取和执行Sales销售部SalesAdmins（G)mgrs(G)更改修改Sales (G)读取读取和执行SH-Managers(DL)读取读取和执行ITIT部ITAdmin (G)更改修改ITs(G)读取读取和执行SH-Managers(DL)读取读取和执行R&D研发部

22、R&DAdmin (G)更改修改R&Ds(G)读取读取和执行BJ-Managers(DL)读取读取和执行Production生产管理部ProAdmins（G）更改修改Pros（G）读取读取和执行BJ-Managers（DL）读取读取和执行允许父项的继承权限传播到该对象中所有子对象。包括那些在此明确定义的项（A）DFS部署架构图：由于公司的部分文件夹存放在总部的文件服务器上，分公司用户要访问总部文件服务器上的文件要跨越广域网，速度较慢。为了方便分公司的员工访问总部文件服务器上的文件，在分公司的文件服务器BJ-FILE上创建和总公司同名的共享文件夹，让后利用DFSR将数据在这两台文件服务器上保持同

23、步并提供冗余。通过DFSR，使分公司始终连接到本部的文件服务器上，如果分公司的文件服务器不可用，那么分部客户端将故障转移到总部的文件服务器。另外，通过配置客户端故障恢复，那么分部客户端将在分部的文件服务器恢复之后故障回复到分部的文件服务器。2.3.2 打印服务的规划在windows server 2008系统中，我们可以利用打印管理控制台来对企业中的所有打印机进行统一管理，从而简化管理员的管理工作。此外，要将打印机部署到众多的计算机或者用户，我们可以使用组策略对它进行指派。通过组策略来指派打印机的做法更便于人们使用，因为不需要人们再搜索适当的打印机了，经过指派系统已经将该打印机提供出来了。已经

24、指派的打印机会根据策略中的设置显示相关用户的“打印机”窗口中。2.3.3 Web站点规划随着网络技术特别是Web技术的发展，网站成为企业展示形象，开展业务的重要新渠道。特别是未来电子商务的需求，公司需要创建并发布自己的门户网站。当前，发布网站的平台主要有Tomcat，Apache和IIS。在Windows Server 2008的平台上，使用IIS来架构Web服务器，能够与平台更好的兼容和结合，并且在配置，管理和维护都相对比较方便。为了避免Web服务器宕机导致网站不可用而造成业务中断和信誉损失，使用微软群集技术为Web服务器实现网络负载平衡（NLB）。网络负载平衡（NLB）提供高可用性、高可靠

25、性以及高可伸缩性，每个节点都是主动节点，如果一个节点发生故障，其余的节点会接管并处理发往故障节点的请求。要为Web服务器部署NLB网络负载均衡群集，每台Web服务器都需要有两块网卡，其中一块网卡的IP地址叫做公用IP地址，用于提供外部的访问；另一块网卡的IP地址叫做专用IP地址，用于群集内各个节点之间的相互通信。这两个IP地址分别属于不同的网段。在配置完IP地址之后，按以下步骤部署NLB群集：1、在一台Web服务器上新建一个NLB群集，名称为“”2、把第二台Web服务器添加到现有的NLB群集中。4、分别在每台Web服务器上安装IIS服务并制作一个简单的网页，使外网用户能够通过Http访问。5、

26、为每台Web服务器向CA申请Web服务器证书，将网站配置为安全站点实现内网用户的安全访问。6、在数据存储方面，为了保证数据安全，提升数据存储速率，并且降低存储成本，通过在各个节点上部署RAID-5卷用来存储网页。具体部署场景如下图：2.4 网络系统安全方案规划自Internet问世以来，资源共享和信息安全一直作为一对矛盾体而存在着，计算机网络资源共享的进一步加强随之而来的信息安全问题也日益突出。据公安部的资料，利用计算机网络进行的各类违法行为在中国以每年30的速度递增，中国95的与Internet相连的网络管理中心都遭到过境内外黑客的攻击或侵入。无论是有意的攻击，还是无意的误操作，都将会给系统

27、带来不可估量的损失。攻击者可以窃听网络上的信息，窃取用户的口令、数据库的信息；还可以篡改数据库内容，伪造用户身份，否认自己的签名。更有甚者，攻击者可以删除数据库内容，摧毁网络节点，释放计算机病毒等等。2.4.1 网络安全体系结构网络安全遵循“木桶原理”，即一个木桶的容积决定于组成它的最短的一块木板，一个系统的安全强度等于它最薄弱环节的安全强度。因此，计算机网络必须建立在一个完整的多层次的安全体系之上，任何的薄弱环节都将导致整个安全体系的崩溃。 同时，也要求安全解决方案中所有的安全产品等所采用的安全核心技术必须采用具有自主知识产权或源码开放的产品。网络安全体系结构完整的安全体系可由四部分构成，即

28、：可信的基础安全设施、安全技术支撑平台、安全管理体系和容灾与恢复机制。可信的基础安全设施是一个为整个安全体系提供安全服务的基础性平台，为应用系统和安全支撑平台提供包括数据完整性、真实性、可用性、不可抵赖性和机密性在内的安全服务。有了这一基础设施，整个安全策略便有了实现的保证。安全技术支撑平台是一个组合现有安全产品和技术实现网络安全策略的平台。基于多层次的防御体系在各个层次上部署相关的网络安全产品以增加攻击和侵入时所需花费的时间、成本和资源，从而有效地降低被攻击的危险，达到安全防护的目的。例如：访问控制可部署在网络层的接入路由器、VLAN交换机和应用层的身份认证系统两层之上。 网络信息安全具有动

29、态性的特点：网络和应用程序的未知漏洞具有动态产生的特点；网络升级优化将导致系统配置动态更新。这些都要求我们的防御系统必须具有动态适应能力，包括建立入侵检测，安全评估系统等系统，并将它们与防火墙等设备结合成联动系统，以适应网络环境的变化。 安全管理体系也是网络安全体系的重要组成部分。网络安全的核心实际上是管理，安全技术实际上只是实现管理的一种手段，再好的技术手段都必须配合合理的制度才能发挥作用。需要制定的制度包括：日常系统操作及维护制度、审计制度、文档管理制度、应急响应制度等。2.4.2 网络现状分析和安全需求 网络结构的分析（1）网络概况 时讯通电子的局域网是一个中等规模的信息系

30、统，所联接的现有600个左右的信息点为整个企业内各部门提供了一个快速、方便的信息平台。与Internet的连接，打通了一扇通向外部世界的窗户，各个部门可以直接与互联网用户进行交流、查询资料等。通过DDN专线与其集团内北京分公司内部网连接，便于信息交流与共享。高速交换技术、灵活的网络互连方案在为用户提供快速、方便、灵活通信平台的同时，也为网络的安全带来了更大的风险。因此，在原有网络上实施一套完整、可操作的安全解决方案不仅是可行的，而且是必需的。l 硬件、网络系统：在IT资产方面，公司共计有400台PC和100台笔记本客户端，近100台服务器。拥有自己对外的邮件服务器和网站服务器，在未来2到3年内

31、，这个数字可能还会成倍增长。l 软件系统：时讯通电子目前主要运行Windows操作系统，服务器使用Windows 2003 Server和windows Server 2008，工作站有Windows 7内部网部署了Windows 2008活动目录，域名分别是和。（3）网络结构 时讯通电子的网络按访问区域可以划分为四个主要的区域：北京总部内部网络、分支办事处、北京分公司内部网和Internet外部网络。内部网络又可按照所属的部门、职能、安全重要程度分为许多子网，包括：财务子网、领导子网、办公子网、技术部子网、中心服务器子网等，以及按照地理位置划分位于不同区域的子网。在安全方案设计中，我们将基于

32、安全的重要程度和被保护的对象的类型，分别制定不同的安全策略，构建整体安全方案。 （4）网络应用 时讯通电子的企业网络为用户提供如下主要应用： l 内部网提供用户身份验证，文件共享、WEB服务l 提供与Internet的访问l 提供到北京分公司内部网的信息交流和共享（5）网络结构的特点 在分析时讯通电子企业网络的安全风险时，我们考虑到网络的如下几个特点： l 网络存在与Internet直接连接，因此在进行安全方案设计时要考虑与Internet连接的有关风险，包括可能通过Internet传播的病毒、黑客攻击、来自Internet的非授权访问等l 网络中存在发布的公开服务器，由于公开服务器对外必须开

33、放部分业务，因此在进行安全方案设计时应该考虑采用安全服务器网络，建议时讯通电子对这些服务器考虑额外的安全保护措施，比如应用安全发布和入侵检测等l 内部网络中存在多个子网，不同的子网有不同的安全性要求，因此在进行安全方案设计时，应考虑将不同功能和安全级别的网络分割开，在物理上可以通过交换机划分VLAN来实现，同时应用审计、访问控制等技术手段l 与北京分公司内部网络连接，要考虑到避免北京分公司用户非法访问时讯通电子上海总部信息，也要避免北京总部内部用户非法访问北京分公司内部网数据，以及病毒在两个网络之间扩散的可能性总而言之，在进行时讯通电子信息安全方案设计时，我们将综合考虑到贵企业网络的特点，同时

34、结合性能、价格、潜在的安全风险，可管理性和可扩展性等因素进行综合考虑。 网络系统安全风险分析 随着Internet网络急剧扩大和上网用户迅速增加，风险变得更加严重和复杂。原来由单个计算机安全事故引起的损害可能传播到其他系统，引起大范围的瘫痪和损失；另外加上缺乏有效安全控制机制和对Internet安全政策的认识不足，这些风险正日益严重。 针对时讯通电子网络中存在的安全隐患，在进行安全方案设计时，下述安全风险我们将重点考虑，并要针对面临的风险，提出相应的安全措施。 网络安全可以从以下五个方面来理解：l 网络物理是否安全l 网络平台是否安全l 系统是否安全l 应用是否安全l 管理是否

35、安全针对每一类安全风险，结合时讯通电子网络的实际情况，我们将具体分析网络的安全风险。 （1）物理安全风险分析 网络的物理安全主要是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获。可以通过实施高可用性的硬件、双机冗余的设计、完善的数据备份机制、机房环境监测及报警系统、提高管理员物理安全意识等手段来减少物理风险的威胁。物理安全是整个网络系统安全的前提，在时讯通电子的网络中，由于网络集中在两地，只要制定健全的安全管理制度，做好数据备份，并且加强网络设备和机房的管理，这些风险是可以避免的。 （2）网络平台安全风险分析 网络平台的成熟与否直接影响整个系统能

36、否成功地建设，网络平台安全涉及到网络拓扑结构、网络路由状况及网络的环境等，建议为企业内网提供以下安全防护：n 为不同部门划分不同的VLAN，在每台交换机上启用端口安全。n 对关键部门的数据通信进行加密，保证内网的通信安全。n 对无线网络进行WPA加密，使得无线信号不再是对所有人都是透明的。n 还可以在每台交换机上启用端口安全，通过802.1X认证，防止未授权电脑接入。n VPN也可以采用L2TP/IPSec协议来提高链路的安全性。（3）系统和应用安全风险分析时讯通电子目前主要采用Microsoft Windows操作系统，考虑到操作系统和应用系统的安全是动态的，并且涉及面非常广，因此及时安装厂

37、商提供的各种安全性补丁是保护系统安全的重要手段。同时针对电子邮件系统，着重考虑反垃圾邮件，反病毒邮件。对数据库系统，着重考虑数据安全。在内部网，加强用户访问控制，建立完善的审计机制也应作为重点。时讯通电子的公开发布的WEB服务器将作为公司的信息发布和交流的平台，一旦受到攻击，对企业的正常运行和商业声誉都影响巨大。而公开服务器本身要为外界服务，就必须开放相应的访问端口，这必将成为攻击者的首要目标。因此必须对访问请求加以过滤，只允许正常通信的数据包到达服务器，其他的服务请求在到达服务器之前就应该遭到拒绝。并做好服务器工作日志的记录和分析，以发现入侵者的蛛丝马迹。（4）管理安全风险分析 管理是网络中

38、安全最最重要的部分。责权不明、管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。责权不明、管理混乱，使得一些员工或管理员随便让一些非本地员工甚至外来人员进入机房重地，或者员工有意无意泄漏他们所知道的一些重要信息，而管理上却没有相应制度来约束。 当网络出现攻击行为或网络受到其他一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。建立完善的网络安全机制，必须深刻理解网络并能提供直接的解

39、决方案，因此，最可行的做法是管理制度和管理解决方案的结合。 （5）病毒攻击 计算机病毒一直是计算机安全的主要威胁。能在Internet上传播的新型病毒，例如通过E-mail传播的病毒，增加了这种威胁的程度。病毒的种类和传染方式也在增加，国际空间的病毒总数已达上万甚至更多。必须部署网关、服务器、用户桌面的整体防病毒解决方案，从各个环节消灭病毒。及时更新病毒定义数据库是防病毒系统正常工作的重点。（6）来自内部的安全威胁 绝大多数攻击，特别是造成严重后果的攻击，来自于企业内部。因为目前的信息安全解决方案都把重点放在针对来自外部网络攻击上，在内部网络的安全防护手段非常有限。不满的内部员工更熟悉企业网络

40、结构、服务器、系统的弱点，获取和扩散企业机密数据更加隐蔽。应加强安全管理，并辅助内部权限控制和安全审计以减少该类威胁。 （7）网络恶意攻击 目前对网络的攻击手段主要为：l 非授权访问：没有预先经信息所有者同意，使用网络或计算机资源被看作非授权访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。它主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等l 信息泄漏或丢失：指敏感数据在有意或无意中被泄漏出去或丢失，它通常包括信息在传输中丢失或泄漏（如“黑客”们利用电磁泄漏或搭线窃听等方式可截获机密信息，或通过对

41、信息流向、流量、通信频度和长度等参数的分析，推算出有用信息，如用户口令、帐号等重要信息），信息在存储介质中丢失或泄漏，通过建立隐蔽隧道等窃取敏感信息等l 破坏数据完整性：以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应；恶意添加，修改数据，以干扰用户的正常使用l 拒绝服务攻击：不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务l 利用网络传播病毒：通过网络传播计算机病毒，其破坏性大大高于单机系统，而且用户很难防范 网络安

42、全现状评估（1）安全评估项目目标为了充分了解时讯通电子网络信息系统的当前安全状况（安全隐患），因此需要对其网络信息系统进行全面的评估。评估将主要进行漏洞扫描和安全弱点分析，对象为时讯通电子指定的网络设备和计算机系统。将安全弱点扫描分析报告作为提高时讯通电子网络系统整体安全的重要参考依据，指导网络安全解决方案的制订。（2）安全评估主机范围由时讯通电子指定并书面授权后，迅达IT服务咨询公司安全专家将对被选定的网络设备和计算机系统进行安全评估。所有的评估操作均在时讯通电子相关人员的监管下进行。评估内容分为外部风险和内部风险评估，分别评估来自企业网络外部的威胁和内部威胁。l 安全评估策略步骤的制定针对

43、时讯通电子信息系统安全评估分为4个步骤进行： 与相关人员交流，了解时讯通电子的安全策略和相关管理制度 利用工业标准的安全评估软件来自动地探测安全隐患，并使用Microsoft Baseline Security Analyzer对所有微软操作系统和应用系统进行安全状态检测 根据第二步扫描的结果，由迅达IT服务咨询公司安全评估人员手工对评估对象进行对照安全检查列表的检测，排除误报情况 对照第一步得到的安全策略，根据安全扫描程序和人工分析的结果写出这次安全评估的报告书，反映评估对象的安全状况 网络安全需求分析 通过对时讯通电子企业网络结构、应用及安全威胁分析，并结合安全评估结果，可以

44、看出其安全问题主要集中在对服务器的安全保护、防黑客和病毒、重要网段的保护以及管理安全上。因此，制定并采取相应的安全措施杜绝安全隐患，应该包括： l 公开服务器的安全保护l 操作系统和应用系统的保护l 防止内部攻击l 网络接入保护l 入侵检测与监控l 信息审计与记录l 病毒防护l 数据安全保护 l 数据备份与恢复 l 网络的安全管理 同时，在系统考虑如何解决上述安全问题，并进行安全实现方案设计时应满足如下要求： l 大幅度地提高系统的安全性（重点是可用性和可控性）l 尽量不影响原网络拓扑结构，尽量减少更改现有网络设置的操作，同时便于系统及系统功能的扩展l 易于操作、维护，并便于自动化管理，而不增

45、加或少增加附加操作l 安全保密系统具有较好的性能价格比，一次性投资，可以长期使用l 安全实施方案具有合法性和可靠性，同时符合国家和国际有关规范的认可或认证2.4.3 网络安全整体解决方案 PKI规划与设计通过部署企业PKI架构，为企业提供可信的基础安全设施，它是一个为整个安全体系提供安全服务的基础性平台，为应用系统和安全支撑平台提供包括数据完整性、真实性、可用性、不可抵赖性和机密性在内的安全服务。有了这一基础设施，整个安全策略便有了实现的保证。（1）证书需求 当服务器需要使用SSL来建立安全的连接时，需要为服务器申请服务器证书。 当进行VPN站点连接时，需要为VPN服务器申请服务

46、器验证证书。（2）CA架构根据企业证书需求分析，将CA的层次架构分为两级，一级为根CA(独立CA)，根CA通常为离线CA；二级为从属CA(企业从属CA)，在上海与北京站点中各部署一台企业从属CA作为颁发CA。（3）密钥恢复代理（KRA）从企业证书需求及公司的地理位置分布分析可知，需要为公司两地各规划一个密钥恢复代理人，并为其申请密钥恢复代理证书。（4）数据恢复代理（DRA）从企业证书需求及公司的地理位置分布分析可知，需要为公司两地各规划一个数据恢复代理人，并为其申请数据恢复代理证书。 网络访问保护（NAP）方案网络内部安全已经成为网络安全的重点。用户水平参差不齐，使用习惯各不相同

47、。例如，如果网络中存在没有启用更新或者防病毒软件的客户端，则很可能导致整个网络遭受攻击。NAP通过定制健康策略，使得任何不符合健康要求的计算机只能访问受限网络来解决这一难题。强制方式：根据企业安全的需求，我们将在公司内部采用DHCP强制的方式来确保桌面计算机和漫游计算机的健康，而对于外部VPN拨入的员工，则采用VPN强制的方式来确保外部计算机的健康。更新服务器组：l 在更新服务器组中添加一台RODC以允许客户端在受限访问的同时也能成功登陆，并且获取到各种组策略信息，RODC同时承载DNS以满足受限客户端的名称解析需求。我们还将RODC部署在server core上以提高安全性。 l 在更新服务

48、器组中添加WSUS作为修正服务器，提供受限客户端的补丁更新和FCS客户端的病毒库更新。 企业补丁管理方案补丁更新是保证系统安全的一个重要环节，每一次大规模蠕虫的爆发，都在提醒人们要居安思危，打好补丁，做好防范工作。WSUS 3.0作为微软的一款免费的补丁分发产品，支持微软公司各种产品的更新，包括操作系统Office，exchange，forefront等，并提供报表服务。我们计划将使用WSUS 3.0部署整体的补丁管理方案。为了优化WAN带宽，我们将在上海总部部署一台WSUS服务器作为上游服务器，从Microsfot Update同步更新。在北京分公司则建立一台WSUS作为下游服

49、务器，从总部上游服务器同步。根据需求，分别为服务器、客户端计算机和测试计算机建立不同的计算机组。测试计算机组用于测试补丁更新后是否对企业计算机产生不良影响，如稳定性等。客户端计算机和服务器计算机由于有不同的补丁需求而分开不同的组，假如企业有更一步的细化管理要求，可以根据需求建立计算机组。 企业用户密码策略公司需要通过组策略来管理企业内部所有用户的密码策略。上海总公司需要一般性的密码策略；北京分公司由于进行产品研发，需要更强的密码策略；同时公司要求在所有的服务器上使用最强的密码策略，以保护服务器的安全。同时，利用2008的多元密码策略，我们为有特殊密码需求的用户和组定制相应的密码策

50、略。具体策略设置如下： 上海总公司需要应用如下密码策略： l 强制密码历史 2 l 最大密码时长 60 天 l 最小密码长度 7个字符 l 密码必须符合复杂性需求 可用 l 使用可逆加密算法存储密码 不可用 北京分公司需要应用如下密码策略： l 强制密码历史 5 l 最大密码时长 40天 l 最小密码长度 9个字符 l 密码必须符合复杂性需求 可用 l 使用可逆加密算法存储密码 不可用 上海总公司和北京分公司所有的服务器需要应用最强的密码策略，如下： l 强制密码历史 24 l 最大密码时长 30天 l 最小密码长度 14个字符 l 密码必须符合复杂性需求 可用 l 使用可逆加密算法存储密码 不可用 VPN站点之间安全链接VPN站点之间的安全链接图示为了保护企业数据安全，需要使上海和北京两个站点之间的所有数据传送都必须加密而且通过VPN站点的方式进行连接，所以我们利用远程路由访问搭建VPN服务器，并使用