信息系统安全整体解决方案

千里之行，始于足下。第2页/共2页精品文档推荐信息系统安全整体解决方案《安全系统整体解决方案设计》

企业网络整体解决方案设计第一章企业网络的现状描述

1.1企业网络的现状描述

网络拓扑图

以Internet进展为代表的全球性信息化浪潮日益深刻，信息网络技术的应用正日益普及和广泛，应用层次正在深入，应用领域从传统的、小型业务系统逐渐向大型、关键业务系统扩展,以往向来保持独立的大型机和中-高端开放式系统（Unix和NT）部分迅速融合成为一具异构企业部分。

以往安全系统的设计是采纳被动防护模式，针对系统浮现的各种事情采取相应的防护措施，当新的应用系统被采用往后、或者发觉了新的系统漏洞，使系统在实际运行中遭受攻击，系统治理员再依照事情采取相应的补救措施。这种以应用处理为核心的安全防护方案使系统治理人员忙于处理别同系统产生的各种故障。人力资源白费非常大，而且往往是在系统破坏造成往后才举行处理，防护效果别理想，也非常难对网络的整体防护做出规划和评估。

安全的漏洞往往存在于系统中最薄弱的环节，邮件系统、网关无一别直截了当威胁着企业网络的正常运行;中小企业需要防止网络系统遭到非法入侵、未经授权的存取或破坏也许造成的数据丢失、系统崩溃等咨询题，而这些都别是单一的防病毒软件外加服务器就可以解决的。所以不管是网络安全的现状，依然中小企业自身都向广阔安全厂商提出了更高的要求。

第二章企业网络的漏洞分析

物理安全

网络的物理安全的风险是多种多样的。

网络的物理安全要紧是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；

设备被盗、被毁；电磁干扰；线路截获。以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。它是整个网络系统安全的前提，在那个企业区局域网内，由于网络的物理跨度别大，只要制定健全的安全治理制度，做好备份，同时加强网络设备和机房的治理，防止非法进入计算机操纵室和各种盗窃，破坏活动的发生，这些风险是能够幸免的。

主机安全

关于中国来讲，估计没有绝对安全的操作系统能够挑选，不管是Microsoft的WindowsNT

或者其他任何商用UNIX操作系统，其开辟厂商必定有其Back-Door。我们能够如此说：没有彻底安全的操作系统。然而，我们能够对现有的操作平台举行安全配置、对操作和拜访权限举行严格操纵，提高系统的安全性。所以，别但要选用尽量可靠的操作系统和硬件平台。而且，必须加强登录过程的认证，特殊是在到达服务器主机之前的认证，确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。

与日常日子当中一样，企业主机也存在着各种各样的安全咨询题。使用者的使用权限别同，企业主机所付与的治理权限也别一样，同一台主机对别同的人有着别同的使用范围。并且，企业主机也会受到来自病毒，黑客等的突击，企业主机对此也必须做好预防。在安装应用程序的时候，还得注意它的合法权限，以防止它所携带的一些无用的插件或者木马病毒来妨碍主机的运行和正常工作，甚至盗取企业机密。

外部安全

拒绝服务攻击。值得注意的是，当前运行商受到的拒绝服务攻击的威胁正在变得越来越紧迫。对拒绝服务攻击的解决方案也越来越受到国际上先进电信提供商的关注。对大规模拒绝服务攻击可以阻挠、减轻、逃避的能力是标志着一具电信企业能够向客户答应更为茁壮、具有更高可用性的服务，也是真个企业的网络安全水平进入一具新境地的重要标志。

外部入侵。这个地方是通常所讲的黑客威胁。从前面几年时刻的网络安全治理经验和渗透测试结果来看，当前大多数电信网络设备和服务都存在着被入侵的痕迹，甚至各种后门。这些是对网络自主运行的操纵权的巨大威胁，使得客户在重要和关键应用场合没有信心，损失业务，甚至造成灾害性后果。

病毒。病毒时时间刻威胁着整个互联网。前段时刻美国国防部和全年北京某部内部网遭受的大规模病毒爆发都使得整个内部办公和业务瘫痪数个小时，而MSBlaster及Nimda和CodeRed的爆发更是具有深远的妨碍，促使人们别得别在网络的各个环节思考关于各种病毒的检测防治。对病毒的完全防备重要性毋庸置疑。

内部安全

最新调查显示，在受调查的企业中60%以上的职员利用网络处理私人事务。对网络的别正当使用，落低了生产率、阻碍电脑网络、消耗企业网络资源、并引入病毒和间谍，或者使得别法职员能够经过网络泄漏企业机密，从而导致企业数千万美金的损失。

别满的内部职员也许在WWW站点上开些小玩笑，甚至破坏。别论怎么，他们最熟悉服务器、小程序、足本和系统的弱点。关于差不多离职的别满职员，能够经过定期改变口令和删除系统

记录以减少这类风险。但还有心怀别满的在员工工，这些职员比差不多离开的职员能造成更大的损失，例如他们能够传出至关重要的信息、泄露安全重要信息、错误地进入数据库、删除数据等等。内部网络之间、内外网络之间的连接安全

内部网络与外部网络间假如在没有采取一定的安全防护措施，内部网络容易遭到来自外网的攻击。包括来自internet上的风险和下级单位的风险。

内部局网别同部门或用户之间假如没有采纳相应一些拜访操纵，也也许造成信息泄漏或非法攻击。据调查统计，已发生的网络安全事件中，70%的攻击是来自内部。所以内部网的安全风险更严峻。内部职员对自身企业网络结构、应用比较熟悉，自已攻击或泄露重要信息内外勾结，都将也许成为导致系统受攻击的最致命安全威胁。

随着企业的进展壮大及挪移办公的普及，逐渐形成了企业总部、各地分支机构、挪移办公人员如此的新型互动运营模式。如何处理总部与分支机构、挪移办公人员的信息共享安全，既要保证信息的及时共享，又要防止机密的泄漏差不多成为企业成长过程中别得别思考的咨询题。各地机构与总部之间的网络连接安全直截了当妨碍企业的高效运作

第三章企业网络安全整体解决方案设计

企业网络的设计目标

企业网络安全的设计目标与其他网络安全的设计目标一致，包括：保密性，完整性等面向数据的安全及可用性，可控性，可审查性等面向用户的安全。面向用户的安全即网络安全又包含：鉴不，授权，拜访操纵，抗否认性和可服务性，以及在于内容的个人隐私，知识产权等的爱护。企业网络的安全即指该网络系统的硬件，软件及其系统中的数据的安全。网络信息的传输，存储，处理和使用都要求处于安全的状态。

保密性：指信息别泄露给非授权的个人，实体和过程，或供其使用的特性。

完整性：指信息未经授权别能被修改，别被破坏，别被插入，别延迟，别乱序和别丢失的特性。对网络信息安全举行攻击其最后目的算是破坏信息的完整性。

可用性：指合法用户拜访并能按要求顺序使用信息的特性，即保证合法用户在需要时能够拜访到信息及相关资产。

可控性：指授权机构对信息的内容及传播具有操纵能力的特性，能够操纵授权范围内的信息流向以及方式。

可审查性：指在信息交流过程结束后，通信双方别能抵赖曾经做出的行为，也别能否认曾经接收到对方的信息。

企业网络的设计原则

在对那个企业局域网网络系统安全方案设计、规划时，应遵循以下原则：

综合性、整体性原则：应用系统工程的观点、办法，分析网络的安全及具体措施。安全措施要紧包括：行政法律手段、各种治理制度（人员审查、工作流程、维护保障制度等）以及专业措施（识不技术、存取操纵、密码、低辐射、容错、防病毒、采纳高安全产品等）。一具较好的安全措施往往是多种办法适当综合的应用结果。一具计算机网络，包括个人、设备、软件、数据等。这些环节在网络中的地位和妨碍作用，也惟独从系统综合整体的角度去看待、分析，才干取

得有效、可行的措施。即计算机网络安全应遵循整体安全性原则，依照规定的安全策略制定出合理的网络安全体系结构。

需求、风险、代价平衡的原则：对任一网络，绝对安全难以达到，也别一定是必要的。对一具网络举行实际、额研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁及也许承担的风险举行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。

一致性原则：一致性原则要紧是指网络安全咨询题应与整个网络的工作周期（或生命周期）并且存在，制定的安全体系结构必须与网络的安全需求相一致。安全的网络系统设计（包括初步或详细设计）及实施打算、网络验证、验收、运行等，都要有安全的内容光焕发及措施，实际上，在网络建设的开始就思考网络安全对策，比在网络建设好后再思考安全措施，别但容易，且花费也小得多。

易操作性原则：安全措施需要人为去完成，假如措施过于复杂，对人的要求过高，本身就落低了安全性。其次，措施的采纳别能妨碍系统的正常运行。

分步实施原则：由于网络系统及其应用扩展范围广大，随着网络规模的扩大及应用的增加，网络脆弱性也会别断增加。一劳永逸地解决网络安全咨询题是别现实的。并且由于实施信息安全措施需相当的费用支出。所以分步实施，即可满脚网络系统及信息安全的基本需求，亦可节约费用开支。

多重爱护原则：任何安全措施都别是绝对安全的，都也许被攻破。然而建立一具多重爱护系统，各层爱护相互补充，当一层爱护被攻破时，其它层爱护仍可爱护信息的安全。

可评价性原则：怎么预先评价一具安全设计并验证其网络的安全性，这需要经过国家有关网络信息安全测评认证机构的评估来实现。

物理安全解决方案

环境安全：对系统所在环境的安全爱护，如区域爱护和灾害爱护。

设备安全：要紧包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源爱护等。

媒体安全：包括媒体数据的安全及媒体本身的安全。

主机安全解决方案

1.对主机用户举行分组治理，依照别同的安全级不将用户分为若干等级，每一等级的用户只能拜访与其等级相对应的系统资源和数据。其次应该思考的是强有力的身份认证，确保用户的密码不可能被他人所推测到。

2.及时更新主机系统，防止因系统漏洞而遭到黑客或病毒的攻击。

3.关于应用服务，我们应该只开放那些需要的服务，并随时更新。而关于那些用别到的服务应该尽可能关闭。

4.安装并及时升级杀毒软件以幸免来自病毒的苦恼

5.安装防火墙能够有效的防止黑客的攻击

网络安全解决方案

在内部网络中，要紧利用VLAN技术来实现对内部子网的物理隔离。经过在交换机上划分VLAN能够将整个网络划分为几个别同的广播域，实现内部一具网段与另一具网段的物理隔离。如此，就能防止妨碍一具网段的咨询题穿过整个网络传播。针对某些网络，在某些事情下，它的一些局域网的某个网段比另一具网段更受信任，或者某个网段比另一具更敏感。经过将信任网段与别信任网段划分在别同的VLAN段内，就能够限制局部网络安全咨询题对全局网络造成的妨碍。

将分散系统整合成一具异构网络系统，数据存储系统整合成网络数据中心，经过存储局域网的形式对系统的各种应用提供数据支持。随着信息的拜访方式多样化,信息的处理速度和信息的交换量都成倍数的增长。使整个信息系统对数据的依靠程度越来越高。采取以数据为核心，为数据拜访和数据处理采纳整体防护解决方案也是系统必定的挑选。基于联动联防和网络集中治理、监控技术，将所有网络安全和数据安全产品有机的结合在一起，在漏洞预防、攻击处理、破坏修复三方面给用户提供整体的解决方案，可以极大地提高系统防护效果，落低网络治理的风险和复杂性。

整体防护要紧包括以下方面：

数据拜访操纵系统:

·防火墙——对别同安全域之间信息交换举行拜访操纵。

·防病毒——对计算机病毒举行检测、查杀和系统修复。

·入侵检测——对网络举行监测,提供对网络攻击的实时爱护,是防火墙的合理补充。

·漏洞扫描——对网络安全性经过扫描举行分析评估。

·VPN加密——对网络数据举行封包和加密，使公网上传输私有数据，达到私有网络的安全级不。

·物理隔离——内部网别得直截了当或间接地连接公共网，满脚高度数据安全要求。

数据安全处理系统：

·数据存储——基于RAID的存储技术防止系统硬件故障。

·双机容错——提供系统应用级的故障处理，适用于高可靠性需求。

·数据备份——基于时刻对文件和数据库级不的系统故障提供解决方案。

·灾害恢复——对整个主机系统提供保障和系统的快速故障修复能力。

下图是防护系统对一具完整的网络攻击及防护办法的演示效果图：

第四章方案的验证及调试

采纳集中治理、统一监控的整体防护解决方案，可以极大的提高内部网络对网络攻击的防范能力和数据故障的处理能力，落低了网络治理的复杂性，提高了整个网络的可用性和稳定性。具体表如今以下方面：

·漏洞扫描和防病毒系统增强了各个网络节点自身系统的稳定性和抗攻击能力。

·防火墙作为网络系统的屏障极大地落低了内部系统遭受网络攻击的也许性。

·入侵检测与防火墙采纳联动联防提高了系统自动对网络攻击的识不和防备