企业信息安全整体方案设计

企业信息安全整体方案设计一、企业安全背景与现状全球信息网的消灭和信息化社会的降临，使得社会的生产方传输、加工、存贮、查询以及推测决策等工作量越来越大，原来的电脑只是停留在单机工作的模式，各科室间的数据不能实现共享，致使工作效率大大下降，纯粹手工治理方式和手段已不能适应需求，这将严峻阻碍公司的生存和进展。企业组织机构和信息系统简介该企业包括生产，市场，财务，资源等部门.员工需要实时地进展信息传输和资源共享等。用户安全需求分析在日常的企业办公中，企业总部和各地的分公司、办事处以在日常的企业办公中，企业总部和各地的分公司、办事处以及出差的员工需要实时地进展信息传输和资源共享等，企业之间及出差的员工需要实时地进展信息传输和资源共享等，企业之间的业务来往越来越多地依靠于网络。但是由于互联网的开放性和的业务来往越来越多地依靠于网络。但是由于互联网的开放性和通信协议原始设计的局限性影响，全部信息承受明文传输，导致通信协议原始设计的局限性影响，全部信息承受明文传输，导致互联网的安全性问题日益严峻，非法访问、网络攻击、信息窃取互联网的安全性问题日益严峻，非法访问、网络攻击、信息窃取等频频发生，给公司的正常运行带来安全隐患，甚至造成不行估等频频发生，给公司的正常运行带来安全隐患，甚至造成不行估量的损失。量的损失。3.信息安全威逼类型目前企业信息化的安全威逼主要来自以下几个方面：目前企业信息化的安全威逼主要来自以下几个方面：站瘫痪。、来自信息窃取的威逼，造成我们的商业机密泄漏，内部效劳器被非法访问，破坏传输信息的完整性或者被直接假冒。网络瘫痪。为了便利，设置成全开放状态等等，从而消灭网络漏洞。二．企业安全需求分析1、对信息的保护方式进展安全需求分析该企业目前已建成掩盖整个企业的网络平台，网络设备以Cisco二．企业安全需求分析1、对信息的保护方式进展安全需求分析该企业目前已建成掩盖整个企业的网络平台，网络设备以Cisco为主。在数据通信方面，以企业所在地为中心与数个城市通过1M帧中继专线实现点对点连接，其他城市和移动用户使用ADSLCDMAVPNPSTN拨号连接。在公司的网络平台上运行着办公自动化系统、SAPERP系统、电子邮件系统、网络视频会议系统、VoIP语音系统、企业企业Web网站，以及FHS自动加油系统接口、互联网接入、网上撑作用。全需求分析主要从以下几个方面进展考虑：1、网络传输保护：主要是数据加密，防窃听保护。止泄露些可能携带病毒的设备进展防护与查杀。4、广域网接入局部的入侵检测：承受入侵检测系统补。〔2〕与风险的对抗方式进展安全需求分析1计2、重要数据的备份：对一些重要交易，客户信息备份34、网络设备防雷5、重要信息点的防电磁泄露三、安全解决方案1、物理安全和运行安全及其它媒体免遭地震、水灾、火灾和雷击等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。是指对网络与信息系统的运行过程和运行状态的保护。主要的保护方式有防火墙与物理隔离、风险分析与漏洞扫描、应急响应、病毒防治、访问掌握、安全审计、入侵检测、源路由过滤、降级使用、数据备份等。2、选择和购置安全硬件和软件产品〔1、硬件产品主要是防火墙的选购。对于防火墙的选购要具备明确防火墙的保护对象和需求的安全等级、依据安全级别确供给良好地售后效劳的产品等要求。〔2、软件产品主要是杀毒软件的选择，本方案中在选择系统资源占用低，性能优越、可治理性高，易于使用、产品集成度高、高牢靠性、可调配系统资源占用率、便捷的网络化自动升级等优点。〔3、产品推举产品 型号

数关键参数及备量 注防火墙

SNS-FW-1500TC

总公司与分1公司

机架式发连接/150M吞吐量防火墙

SNS-FW-4500TC网络总出口

机架式发连接/800M吞吐量墙

SNS-VW-250

办公室

机架式/4FE/1 供给相应客户端软件系统

TS-TC-100 网络出口 1SNS-NAM-500T 办公区

机架式/4FE机架式/4FE机 架 式VPN

SNS-SSL-100T 效劳器区 1

/4FE/ACPOWER/100并发用户3、网络规划与子网划分企业的电脑会不断增加。比较环形、星形、总线形三种根本拓扑构造，星形连接在将用户接入网络时具有更大的敏捷性。当系统不断进展或系统发生重大变化时，这种优点将变得更加突出，所以选择星形网络最好。〔1、实际的具体的设计拓扑图如下2、子网的划分和地址的安排经理办子网(vlan2)： 子网掩码:网关：生产子网(vlan3)： 子网掩码:网关：市场子网(vlan4)： 子网掩码:网关：财务子网(vlan5)： 子网掩码:网关：资源子网(vlan6): 子网掩码:网关：4、网络隔离与访问掌握直属单位的网络接入处安装一台VPN设备，由上级的VPN认证效劳器通过网络对下一级的VPN设备进展集中统一的网络化治理。下属机构的VPN设备放置于内部网络与路由器之间，其配由于网络安全的是一个综合的系统工程，是由很多因素打算的，而不是仅仅承受高档的安全产品就能解决，因此对安全设备的治理就显得尤为重要。由于一般的安全产品在治理上是各自治理，因而很简洁由于某个设备的设置不当，而使整个网络消灭重相互配置上的错误使网络中断。所以，在安全设备的选择上应中选择可以进展网络化集中治理的设备，这样，由少量的专业人员对主要安全设备进展治理、配置，提高整体网络的安全性和稳定性。〔2、访问权限掌握策略A、经理办VLAN2可以访问其余全部VLAN。B、财务VLAN5可以访问生产VLAN3、市场VLAN4、资源VLAN6，不行以访问经理办VLAN2。CVLAN4VLAN3VLAN6都不能访问经理办VLAN2、财务VLAN5。D、生产VLAN4和销售VLAN3可以互访。5、操作系统安全增加能被利用的后门程序要准时进展系统的补丁升级。企业网络系统在主要的应用效劳平台中承受国内自主开发的OS方式、文件系统、网络传输、安全日志审计、加密算法及算法替换的支持和完整性保护等方面进展安全改造和性能增加。一般用户运行在PCNTNT应加强监控治理。6、应用系统安全企业网络系统的应用平台安全，一方面涉及用户进入系统的身份鉴别与掌握，以及使用网络资源的权限治理和访问掌握，对安全相关操作进展的审计等。其中的用户应同时包括各级治理员WWWE-MAILFTPTELNET效劳的安全。在选择这些应用系统时，应当尽量选择国内软件开发商进展开发，系统类型也应当尽量承受国内自主开发的应用定期的安全评估及安全分析同样相当重要。由于网络安全系统在建立后并不是长期保持很高的安全性，而是随着时间的推移和技术的进展而不断下降的，同时，在使用过程中会消灭的安全问参考意见，提示网络安全治理员作好相应调整。7、重点主机防护为重点主机，堡垒机建立主机防范系统，简称HIPS。HIPS是一种能监控你电脑中文件的运行和文件运用了其软件。当主机入侵防范系统具有的程序访问掌握列表 能使得同样一个用户访问同样的资源的时候，假设承受不同定不同应用程序的访问权限，只允许的合法的应用程序访问这些资源。这样，即使入侵者在被攻击的效劳器上运行了木马程序，但是木马程序需要窃取关键信息的时候必需要经过主机入侵防范系统的安全验证。由于PACL马程序的访问权限，依据默认权限是不能够访问的，由此就起到了对木马信息窃取的防范。8、连接与传输安全由于企业中心内部网络存在两套网络系统，其中一套为企业内部网络，主要运行的是内部办公、业务系统等;另一套是与INTERNET相连，通过ADSL接入，并与企业系统内部的上、下级INTERNETINTERNET就缺乏有效的安全保护，假设不实行相应的安全措施，易受到来自网络上任意主机的监听而造成重要信息的泄密或非法篡改，产生严峻的后果。VPN(VPN-CA)，在所属的直属单位的网络接入处安装一台VPNVPN集中统一的网络化治理。这样可到达以下几个目的：1、网络传输数据保护;输加密保护，并可同时实行加密或隧道的方式进展传输2、网络隔离保护INTERNET3、集中统一治理，提高网络安全性4、降低本钱(设备本钱和维护本钱9、安全综合治理与掌握方案设计性的规章审核。固然，还需要建立高效的治理平台。安全治理〕，对无权操作人员进展掌握；密钥治理平台。安全治理的实现的保密性，制定相应的治理制度或承受相应的标准。制订相应的机房出入治理制度、制订严格的操作规程、制订完备的系统维护制度及制订应急措施。四、安全运维措施1HP1/89动装载磁带，自动执行定义好的备份策略，压缩后最大存储容量为640GB。备份软件承受LegatoNetWorker网络备份治理系统。该系统运行稳定，备份和恢复效果较好。由于企业内部存在大量的数据，而这里面又有很多重要的、机密的信息。而整个数据的安全保护就显得特别重要，对数据进展定期备份是必不行少的安全措施。在实行数据备份时应当留意以下几点：、存储介质安全方式。、数据安全即数据在备份前是真实数据，没有经过篡改或含有病毒。、备份过程安全电而使数据备份中断的或其它状况。、备份数据的保管保数据安全。对重要备份数据的异地、多处备份。2、日志审计和备份〔或〕运行进展记录、分析是格外重要的，它可以让用的审计结果进展备份保存。3、制定灾难恢复安全存储与备份、恢复是网络安全的根底，假设不能实现安全存储和牢靠的备份恢复，一切数字资产的安全都无从谈起