公司网络安全解决方案

经典word整理文档，仅参考，双击此处可删除页眉页脚。本资料属于网络整理，如有侵权，请联系删除，谢谢！XX公司网络安全解决方案目录VPNXX公司是面向XX领域的公司，公司与下属各个单位有很深的业务关系，公司自主的软件也应用在XX集团各个下属单位。因此，公司的一些文档，资料，涉密分级及加密管理，具有安全隐患。此外，随着公司集团化，规模化的发展，OA办公，网络报销，项目审批等均需要在网络进行，但目前的内网OA系统无法化及需要统筹解决，针对安全电子文档，外网协同办公，内网接入控制，安全终端管理等方面需要提供总体的网络安全解决方案。全问题有三个方面：（1）内部涉及企业秘密的电子文档安全管理作为商业企业的XX来说，可能给企业所带来的一个巨大潜在风险就是重要段性成果等属于企业知识产权保护及涉及企业核心竞争力范畴的机密电子文档UMP3播放器或何等的轻而易举!面对这些触目惊心的现实存在，一套严密而完整的企业级电子文档保护解决方案就可能成为企业最后赖以生存的“救命稻草”。子文档安全和终端数据安全最重要的一道环节。（2）通过安全方式由外网访问公司OA等系统进行远程办公公司办公OA的现状是内网办公网络并没有与外部网络完全隔离，内部人员可以通过IE同时登录内网办公及外网网络，内外网邮件系统可以同时使用，内网OA无法通过公网安全登录进行办公操作。对于内网办公而言，主要的安全需求除去上面对文档安全要求，禁止文档通过usb，邮件等方式传出公司，同时对于OA系统同样有基本安全需求：部分开放原则；记录各种进出访问行为。通信保密需求：一些重要通信要通过公网进行信息传输，存在信息被窃取、篡改、伪造、删除的危险，必须加强传输中的信息加密，而且因领导、单位、部管理、密文信息传输系统，保障机密信息不被无关人员窃取。露成为数据安全的三大需求。内外网及子网安全访问:OA系统一直都是必须的一项业务。随着企业的发OA系统的应用不仅仅局限于某个公司总部或单位总局小型局域网了，现在总部OA行政管理、综合信息等资源共享，让公司管理更加统一规范，保证物流、信息流率等等。（3）内网安全接入控制安全管理中存在的巨大缺陷，集中表现在安全管理存在两个被割裂的客体：于网络中的身份不可靠，即使发生了安全事故，也无法找出隐藏在背后的“真凶”，安全管理制度和条例也形同虚设。用户与自然人的一一对应关系，找到为这件事情负责的人。3.解决方案3.1.SSLVPN安全解决方案网访问OA办公的需求，主要需要通过SSLVPN构造整个办公安全体系。OA办公VPN组网原理和远程ERP系统组网原理相同，都属于应用系统远程组网。下面以一种VPN产品为例，简单描述解决方案。只需要在客户的总部以及各个分支机构分别放一台SSLVPN系列服务器，各点通过ADSL或其它方式接入公网INTERNET，就可以为客户构建廉价，稳定的VPN网络。因公司或企业领导需要在网络架构总部：总部一般来讲是企业信息存放、处理的中心，网络内部主机数量多，VPN产品作为接入稳定数据传输部建有中等规模的局域网，同时通过当地ISP提供的宽带接入方式接入因特网。安装一台SSL，作为客户端接入总部。移动办公用户：采用PPTP或L2TP协议，接入总部，可支持CDMA/GPRS及802.11b等无线移动接入，用户即使在乘坐车船甚至飞机的途中，可随时随地实现移动办公。内部访问。实现系统、CRM治理系统、系统等网络版应用系统的远程互联，化办公，移动办公。ERP室里一样共享并同步应用流、信息流的实时更新，确保公司市场信息的及时传递，营销方案的及时执行，提高工作效率。3.2.文档安全管理系统安全解决方案文档安全管理系统采用国家密码管理机构认定的加密算法对重要电子文档进行多种不同密级的加密保护，保证文档只有在可信网络中才能正常使用。系统采用CS架构，分为服务器端和客户端，下图为部署示意图：VPN或光纤系统连接到总公司；带出办公环境的笔记本通过互联网与安全管理系统服务器相连。档变成密文文档。文一密”的方式保证文档的安全性。根据功能需求的不同，大致可以分为以下几种方式：全加密模式文档格式加密模式安全域与文档格式相结合加密模式手动加密模式手动自动一体加密模式方式安全性较高，实现较为简单，但对于非受控文件的使用会带来不便。文档格式加密模式是根据文件格式的不同对文档进行加密，等，此类方式相对比较灵活，但是支持的文件格式类型有限。安全域与文档格是相结合加密模式示：示：手动自动一体加密模式为灵活，但是设置复杂，对管理人员要求也较高。如下图所示：结合加密模式。3.3.终端管理系统安全解决方案进行全面的审计。系统采用CS架构，由监控管理中心和客户端组成，监控管理中心包括“终在需要管理的PC和笔记本上安装Agent客户端，进行管理，具体能够实现的功能如下：（1）控制功能✓计算机输入输出接口监控审计，包括：并行接口、串行接口、USB接口、IDE接口等。✓计算机输入输出设备监控审计，包括：USB类设备（包括其他类型的USB存通信设备、USB输入设备、其它USB设备、红外设备、PCMCIA设备、MODEM等。✓文件操作监控审计，包括：新建、读、写、重命名、删除、执行等操作。✓非法外联监控审计：用户无论以什么方式连接互联网，系统都会实时给予阻断并且报警。✓非法接入监控审计：外部非授权用户非法接入内部网络中，系统会予以阻断并报警。✓IP地址、子网掩码、网关、DNS✓支持补丁分发：快速、高效、统一的完成客户端操作系统漏洞的修补工作；（2）监测功能✓实时监测输入输出接口和设备的使用情况。✓实时监测软硬件资源变更：包括软件安装、卸载、操作系统的重装、硬件变更等事件和行为。✓终端主机资源监控：包括硬件资源、软件资源、系统资源等。✓修改系统时间、企图杀死终端通信进程、计算机唯一标识改变、文件操享目录等。（3）审计功能✓报表审计与日志功能：报表审计与日志功能，为日后管理取证提供很大方便，同时可对生成的日志按多种组合条件进行过滤。✓日志审计：审计终端报警日志、管理员操作日志，给安全事件的事后追查提供足够信息，有效防止安全事件的发生。终端安全审计计算机终端的安全审计包括了事前控制、事中监控和事后审计在内的一系列行为，一旦用户有违保密规定的行为发生，管理员能够快速得到报警信息。对受控终端进行审计是通过规则进行的。审计规则设置的是对服务器规则控故的宝贵资料。安全审计应包括如下几个方面：涉密审计：涉密文件被操作使用、存储和传输审计功能；入网审计：非法设备接入审计功能；资产审计：自动登记受控终端的硬件配置（包括CPU、内存、硬盘、显系统发出报警信息；系统审计：自动记录受控终端操作系统配置的用户、工作组、逻辑驱动器，当其发生变化时，自动向安全管理核心系统发出报警信息；加载服务审计：对受控终端安装的系统服务进行审计，自动记录系统服务的启动和停止；安装和卸载审计：自动记录受控终端上应用程序的安装与卸载情况；文件审计：对文件操作进行审计，记录用户对规则指定文件进行的各种操作；网络访问审计：对网络访问进行审计，记录用户对规则指定网址进行的访问操作；打印机操作审计：对本地打印机使用情况进行审计；非法外联审计：对拨号、无线网卡、手机红外等访问情况进行审计。进程监控：通过对终端计算机运行的进程进行监控，可以发现用户正在运行的程序。可以通过进程黑名单的方式限制用户运行某些程序，例如游戏、攻击工具、视频播放器、MP3播放器等。限制用户利用计算机进行与工作无关的操作。终端系统加固补丁管理：通过补丁管理，能够对内网终端计算机缺失补丁进行定期检测和自动安装与更新，保证系统与软件缺陷一经发现便可及时修补。通过补丁分发管理，大大减少了操作系统和应用软件漏洞被利用所造成的安全隐患和经济损失。同时，管理人员还可以实时统计当前各终端计算机的补丁缺失情况、补丁安装情况以及补丁安装的进度等，得到全网的终端计算机补丁安装快照。方便了对补丁分发过程的监控。防病毒软件监测：通过防病毒软件监测，可以判断终端计算机是否安装了防病毒软件、防病毒软件运行是否正常以及病毒库是否保持最新等情况。如果以上几条不满足设定的策略要求，监测系统可以向管理人员发送报警信息。另外，监测系统还可阻断终端计算机的内网接入和内网访问，确保易被感染的终端计算机无法使用内网。通过以上加固措施，使得终端计算机的安全强度和抵抗安全风险能力大大提机造成安全威胁。可信移动介质解决方案，主要是实现如下目标：1)2)数据交换前必须通过正确的身份认证，包括密码认证或USBKEY等授权硬件的身份认证；3)记录数据交换过程的工作日志，便于以后进行跟踪审计；4)未经授权的移动介质，在工作环境中不可用，只有经过企业授权的移动介质才能进入到企业的办公环境；5)工作配发的移动介质带出办公环境后变为不可用。为满足以上要求，公司在原有产品内容安全监控系统的基础上，通过扩展，全的“五不”原则，即：“进不来、拿不走、读不懂、改不了、走不脱”。“进不来”，是指外部的移动存储介质拿到单位内部来不能用；“拿不走”事后审计功能，对违反策略的行为和事件可以跟踪审计。可信移动介质管理模块的对象定位即移动存储设备，包括以下种类：1)软盘；2)U盘；3)移动硬盘；4)各种移动存储卡。可信移动介质管理模块的功能包括：首先，它可以集中管理移动存储设备；方式，防止信息泄露；最后，实行数据加解密和操作行为的安全审计等。定密级。注册并设定密级的移动存储介质受以下保密原则约束：1)高密级移动存储介质不能在低密或者普通计算机上使用；2)涉密移动存储介质不能在非涉密计算机上使用；3)低密级移动存储不能（或者只读）在高密级计算机上使用；4)非授权的移动存储介质不能在涉密计算机上使用；5)程的管理和控制，借助于注册授权、身份验证、密级识别、锁定自毁、驱动级加解密、日志审计等技术手段对可移动存储设备进行失泄密防护，真正做到了“拿进来的移动存储器使不了”、“拿出去的移动存储器不能用”。本系统的主要功能如下：合法的主机，系统将其阻断或限制与内网的通信。非法接入控制功能主要目的是保证内网涉密信息及文件不受非法接入设备的探测、拷贝、删除和修改等威胁。非法主机的定义装补丁和防火墙软件）的计算机隔离出内网，保证内网整体的安全性。对非法主机的定义，采取以下方式：1)主机系统存在严重漏洞，影响内网整体安全；2)主机系统无反病毒软件保护或反病毒软件未运行；3)主机系统从未在内网管理系统中注册，不受审计、监控的主机；4)管理员自定义的非法主机系统非法接入控制策略性和简单易用。1)非法接入控制策略灵活性：管理员可以灵活设定非法接入控制对象策略，选定不同的管理颗粒度；2)非法接入控制策略模版化：管理员可以设置不同安全级别的非法接入控制策略，并且根据实际情况或意外情况修改或改变使用不同的策略模版。3)非法接入策略包括：✓注册合法主机检查策略；✓主机安全性检查策略；✓主机反病毒检测策略；✓管理员自定义策略。查入网身份，并验证此主机是否已经在身份数据库中注册。量地对终端计算机的运行参数进行远程修改。主机信息收集收集终端计算机相关信息，如主机名、