xx局网络安全系统方案

1、淮北师范大学网络安全方案课程设计电力局网络安全系统学 院 计算机科学与技术 专 业 网络工程 学 号 学 生 姓 名 赵凯丽 指导教师姓名 杨 忆 2013年11月 15 日目 录目 录2概述3一、欧斯电力局网络安全系统分析3二、网络威胁、风险分析6三、安全系统建设原则7四、网络安全总体设计8五、安全设备要求13六、技术支持与服务13电力局网络安全系统方案概述：近几年来，Internet技术日趋成熟，众所周知，作为全球使用范围最大的信息网，Internet自身协议的开放性极大地方便了各种计算机连网，拓宽了共享资源。但是，由于在早期网络协议设计上对安全问题的忽视，以及在管理和使用上的无政府状态，

2、逐渐使Internet自身安全受到严重威胁，与它有关的安全事故屡有发生。网络安全的威胁主要表现在：非授权访问，破坏数据完整性，物理传输介质的失密，利用网络传播病毒，拒绝服务攻击等方面。本文就网上收集的欧斯电力局案例分析电力局网络安全方案。设计方案主要由防火墙技术、漏洞扫描技术、防病毒技术以及其他技术（如数据加密、数据备份、访问控制）相结合设计而成。一、 欧斯电力局网络安全系统分析1.网络现状 通过多年的建设，电力局计算机网络系统已初据规模，从网络拓扑结构来看，电力局计算机信息系统网络是以市局信息中心的Catalyst 6509为中心，向外星型辐射的网络。（1）通过光纤千兆网与调度大楼、办公大楼

3、和供电发展大厦的Catalyst 2948G相连，构成市局直属科室和单位的骨干网络。（2）局大院、南坑生产基地的各个班组楼通过光纤与上述3栋楼的2948交换机连接，实现10/100M的第三级联接。（3）对于下属的各供电所、220KV变电站，通过采用电信的帧中继网络、自建的SDH光纤网络以及基于模拟电话线路的HDSL，接入市局，并采用联通的DDN为下属斗门局提供接入，构成下属县局、供电所、变电站的广域接入网络，其设备主要采用Cisco路由器。（4）通过E1线路向上接入省局，与全省各地市电力网络实现互连， 并通过省局Internet出口接入Internet。（5） 通过拨号接入路由器，为远程移动办

4、公用户和没有固定数据线路连接的下属单位 提供拨号接入。（6） 调度实时监控网通过1台CISCO PIX防火墙与调度楼一2948交换机与局管理网相连。详细的接入情况为：2.应用现状欧斯电力局目前已投入运行的应用系统主要有：（1） OAK办公自动化系统：由两台运行于Windows NT 4.0上的互为群集的Lotus Notes 4.6组成，该系统为欧斯电力局所有用户提供办公自动化服务，主要是作为欧斯电力局系统内部电子邮件的传送、公文流转的管理和文件传输等服务，提供给欧斯电力局内部网络、远程分支机构和移动办公用户访问。但服务器必须开放给省局和兄弟局访问。（2）用电MIS系统：由两台互为备份的运行于

5、Windows NT 4.0上的Oracle 7.3数据库服务器和一台Windows NT 4.0文件服务器组成，该系统主要为欧斯电力局经营部门提供服务。（3）生产MIS系统：由一台运行于Windows NT 4.0上的Oracle 8.0数据库服务器和一台Windows NT 4.0文件服务器组成，该系统主要为欧斯电力局生产部门提供服务。（4）客户服务系统：通过Internet对外发布信息，并提供用户查询、投诉和故障处理反馈等，该系统既可供省局和Internet上的用户访问，也供局内部用户访问。由一台运行于Windows NT 4.0上的Oracle 8.0数据库服务器、一台Windows

6、NT 4.0应用程序和文件服务器、一台运行于Windows NT 4.0上的Oracle 8.0 Web服务器、一台运行于Windows NT 4.0上CTI排队管理服务器、一台运行于Windows NT 4.0上的IVR自动语音回复服务器组成。（5）财务核算系统：由一台运行于Windows NT 4.0上的SQL Server数据库服务器构成，供局内部特定合法用户访问。（6）气象预报系统：由一台运行于Windows NT 4.0上的IIS Web服务器构成，它通过拨号到气象局获取气象数据。在建系统还有用电分析、综合查询系统、计划管理、物资管理、安监管理、人事管理，将建系统有配电GIS，这些系

7、统都只供局内部用户访问。另外，内部网络用户要通过省局访问Internet，进行浏览网页、收发邮件、下载文件等。内部局域网主要服务器有Notes服务器、生产MIS服务器、用电MIS服务器和拨号认证服务器等等。随着局MIS小型机的购置具体系统的服务器平台将有所变化 。依据应用需求，欧斯电力局计算机局域网按IP地址进行了VLAN划分，各个VLAN划分情况和服务器IP所属VLAN情况为：VLAN1: CISCO 6509和2948等主干交换机的网络管理IP，OAK系统服务器、气象服务WEB服务器、网管工作站IP。VLAN2: 财务科所有电脑及财务核算系统服务器IP。VLAN3: 用电部本部、农电公司本

8、部所有电脑、用电MIS各服务器、客服系统各服务器IP，供电所远程接入路由器以太口IP。VLAN4: 局机关（局办、人事科、策划部、团委、党办、工会、保卫科、基建科、物资科、审计科）电脑IP。VLAN5: 生产部门（调度所、生技科、安监科、配电部、变电工区、输电工区）电脑、生产MIS服务器，CISCO 3640路由器以太口IP。VLAN6: 集团公司（设计院、物资公司、电建公司、输电公司、威翰公司、电缆公司、配电公司）所有IP。3.安全现状除了计算机信息系统中固有的安全措施外，欧斯电力局目前额外采用的安全控制系统主要有：（1）接入省局和Internet处的PIX 520防火墙系统。（2）为拨号接

9、入用户提供身份认证服务的CiscoSecure 认证、授权和审计系统。（3）办公自动化系统OA服务器上安装了Norton防病毒系统。（4）采用PIX防火墙将调度网络和办公管理网隔离。二、网络威胁、风险分析1.互联网安全隐患中国互联网应用目前越来越广泛，网络安全始终是一个问题。安全没保障，很多人不敢把自己重要的内容放在网络上。去年互联网上病毒猖獗，据统计约有1.2万种病毒问世。英国一家权威机构对各国网络发展做了分类统计，把世界各国相应分成四类，在网络发展速度方面，中国列入第二类，而在网络安全和信息保障、信息安全保护方面，中国则排在第四类。我国计算机网络入侵防范中心首席科学家许榕生教授认为,这是我

10、国对网络发展的理解和判断力有问题而造成的,这个问题如解决不好，我国的互联网将畸形发展。中国应把安全置于中国互联网发展的一个重要位置，据2002年1月15日最新发布的中国互联网络发展状况统计报告显示，超过六成的中国互联网用户的计算机过去一年曾被入侵过，中国网络安全依然存在重大隐患。这个报告就网络安全问题专门做了调查。调查显示，有百分之六十三点三的用户在过去一年内遭遇过计算机被入侵的情况。对网络安全状况表示不满的用户有四分之一。与此同时，网民对网络安全的重视程度也有提升：有七成多的用户在电脑里加装防病毒软件；超过六成的用户使用防火墙；近三成的用户为密码加密。但也有百分之八点五的用户对安全措施不清楚

11、或什么措施都不采用，有百分之五十四的电子邮箱用户从来不换密码。据此，国内网络安全专家均认为，目前中国网络系统其实非常脆弱，提高计算机网络可靠性和安全性应该成为互联网用户的当务之急。相关资料显示，美国在网络安全投入方面，占整个网络建设的15%20%，而中国还不到1%。9.11事件发生后，美国国防部网络中断8小时以后就逐渐开始恢复运转，他们对安全数据备份的重视这时候显现了作用。而我国在这方面的建设还极其薄弱。国内网络安全专家尤其提醒政府机关和企业要关注网络信息安全问题，否则根本无法对付各种电脑病毒和突发事件。据称中国科学院目前正在研制可以记录计算机被入侵状况和反映计算机安全状况的高科技产品。2.内

12、部网安全隐患由于欧斯电力局计算机网络体系越来越复杂，应用系统越来越多，特别是客户服务系统WEB网站建立后，网络用户既有内部用户，也有许多不能直接管理的外部用户。目前内部网络与外部网络通过路由器和一台CISCO PIX520防火墙相连，CISCO PIX520防火墙直接承担对外部用户的访问控制工作，这显然是远远不够的，整个网络的安全存在着巨大的安全隐患，主要有：（1）未授权访问：外部网络或内部网络用户没有预先经过同意，就使用网络或计算机资源被看作非授权访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。它主要有以下几种形式：假冒、身份攻击、非法用户进入

13、网络系统进行违法操作、合法用户以未授权方式进行操作等。（2）破坏数据完整性：外部网络或内部网络用户以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应；恶意添加，修改数据，以干扰用户的正常使用内部网络和外部网络之间的连接：（3）拒绝服务攻击：不可信任的外部网络或内部网络非法用户可能不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。（4）利用网络传播病毒：通过网络传送的病毒和Internet的电子邮件夹带的病毒，如果网络系统没有有效的病毒

14、防范措施和病毒实时检测工具，网络系统不能实时监控网络病毒和对网络病毒作出实时的响应。非法用户可能利用网络传播计算机病毒，其破坏性大大高于单机系统，而且用户很难防范，对网络系统造成的损失是无法预料的。（5）物理传输介质的失密：一些别有用心的人利用搭线窃听，获取信息；专线通讯的安全性的相对性。（6）缺乏有效的手段监视、评估网络系统和操作系统的安全性。（7）缺乏一套完整的安全策略、监控和防范技术手段。（8）缺乏一套完整的网络数据备份、灾难恢复手段。三、安全系统建设原则在进行计算机网络安全设计、规划时，应遵循以下原则：1需求、风险、代价平衡分析的原则 对任一网络来说，绝对安全难以达到，也不一定必要。对

15、一个网络要进行实际分析，对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。保护成本、被保护信息的价值必须平衡，价值仅1万元的信息如果用5万元的技术和设备去保护是一种不适当的保护。2综合性、整体性原则 运用系统工程的观点、方法，分析网络的安全问题，并制定具体措施。一个较好的安全措施往往是多种方法适当综合的应用结果。一个计算机网络包括个人、设备、软件、数据等环节。它们在网络安全中的地位和影响作用，只有从系统综合的整体角度去看待和分析，才可能获得有效、可行的措施。 3一致性原则这主要是指网络安全问题应与整个网络的工作周期（或生命周期）同时存在，制定

16、的安全体系结构必须与网络的安全需求相一致。实际上，在网络建设之初就考虑网络安全对策，比等网络建设好后再考虑，不但容易，而且花费也少得多。4易操作性原则 安全措施要由人来完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。其次，采用的措施不能影响系统正常运行。 5适应性、灵活性原则 安全措施必须能随着网络性能及安全需求的变化而变化，要容易适应、容易修改。6多重保护原则 任何安全保护措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。四、网络安全总体设计1.总体目标 保密性：保证非授权操作不能获取保护信息或计算机

17、资源。完整性：保证非授权操作不能修改数据。有效性：保证数据不受非授权操作的破坏。2.总体设计重点考虑方向（1）合理配置系统要完成企业内部网的各种操作，就需要操作系统来协助我们完成对关键数据的存取控制和用户的认证等工作，所以，操作系统的安全性能是网络系统的安全基础。遗憾的是，我们通常所用的操作系统本身并不是非常安全的。这种不安全性有的是先天的，比如Windows的安全性能设计得比较薄弱。但是安全漏洞更多的是由于管理和配置不善导致的。因此，我们的安全措施对于不同的情况应给予不同的策略，比如说对于Windows 9x系统，可以利用附加程序增强其安全特性，对于系统的安全漏洞则利用补丁程序来弥补。（2）

18、集中用户管理由于企业IT人员的高流动性.用户以其帐号将存在于多个不同服务器中，给系统管理人员带来较高的负担，需要对不同类型的多个服务器进行管理控制，有可能人员流动后，其中某一项服务的帐号与权限未能及时回收，可能带来严重的隐患,因为80%的网络安全问题是由内部人员的所带来的。因此系统需要有一套能对用户帐号及权限进行集中管理控制的机制。（3）评估网络安全一般的操作系统都有身份认证与访问控制系统，但如何去配置日益复杂的网络环境，如用户认证密码是否容易被别人获取破解；系统资源的各个对象的访问权限是否设置正确；系统的各种服务是否存在有漏洞等。通过网络扫描，可以了解网络的安全配置和运行的应用服务，及时发现

19、安全漏洞，客观评估网络风险等级，更正网络系统中的错误配置。 （4）控制非法访问TCP/IP的灵活设计和INTERNET的普遍应用为网络黑客技术的发展提供了基础， 黑客技术很容易被别有用心或喜欢炫耀的人们掌握，由此黑客数量剧增。加之网络连接点多面广，客观上为黑客的入侵提供了较多的切入点。本着经济、高效的原则，有必要将关键主机和关键网段用防火墙隔离，以实现对系统的访问控制和安全的集中管理。外部网络不能直接对内部网络进行访问，对内部资源的访问需经过防火墙的监控，并且只能到达指定的访问目的地。(5)加密传输数据网上的业务数据传输安全性要求很高，而数据流经的物理路径环节又较多，数据在存储和传输过程中极有

20、可能被盗用、暴露、假冒和篡改，因此必须采取有效的数据加密措施，鉴别和监督合法用户的操作，防止对敏感数据的非法访问、使用、修改和破坏。(6)监控网络入侵利用防火墙通常能够在内外网之间提供安全保护，降低了网络安全风险，但是，如果入侵者可寻找防火墙背后可能敞开的后门，或者入侵者就在防火墙内，特别是内部用户，具有易于接近物理介质、熟悉网络拓扑、了解公司的安全策略、易于获取口令等特点，因此在网络内部发动入侵、攻击、破坏、盗窃、滥用等更容易得逞。采用入侵检测系统，可提供实时的入侵检测及采取相应的防护手段，如记录入侵证据、断开网络连接等。(7)防止病毒侵害由于Internet的迅速发展，将文件附加在电子邮件

21、中的能力不断提高以及世界对计算机的依赖程度不断提高，使得病毒的扩散速度也急骤提高，受感染的范围越来越广，据NCSA调查，在1994年中，只有约20%的企业受到过病毒的攻击，但是在1998年中，就有约99.3%的企业受到病毒的攻击，而且感染方式也由主要从软盘介质感染转到了从网络服务器或Internet感染。为了企业的信息财产免受损失，需尽快建设全面的主动病毒防护体系，在每台单机，服务器上都要有常驻内存的反病毒软件并必需集中统一管理，在Internet网关上要安装基于Internet网关的病毒防火墙以防止病毒从Internet上对企业内部网络的感染。对邮件服务器安装邮件系统的防病毒软件以阻止病毒通

22、过附件等方式传播扩散，安装集中的管理更新系统以保持对网络病毒状况的随时监控和随时更新调整。只有作到把病毒传播，滋生的渠道完全堵死并不断维护，才能保证系统的真正安全。(8)备份关键数据随着网络的普及与愈趋复杂的跨平台应用环境，身为企业的网络管理者，所面对的挑战是急剧膨胀的数据量, 越来越复杂的数据类型、二十四小时不停运转的关键任务数据库, 而每天可以提供给备份工作的时间却越来越短。企业长时间所建立起的资料，突然因无法预测的系统宕机、硬盘损坏或病毒侵害等灾难，在一时之间毀于一旦，损失难以估量。如何做到有效的数据保存，是企业刻不容缓的议题。对企业而言，不论是天灾或是人为疏忽所造成数据损失，对企业造成

23、的冲击及财务损失就是一场可怕的灾难。防止这些灾难， 最佳的解决之道便是事先做好数据备份，并做好灾难恢复计划。(9)排除故障隐患为加强业务经营管理、保证网络通畅、及时发现和解决系统及网络问题，变被动管理为主动管理，可通过对网络设备和网络流量的实施监控和分析，在系统出现性能抖动或响应时间过长时，就能及时发现问题，并建议系统管理员采用及时的处理，预防问题的发生；通过对线路和其他系统进行透视化管理，利用管理系统提供的专家系统对系统的性能进行优化，提供整体网络运行的健康以及趋势分析。（10）加强安全培训制定和不断完善管理制度，对系统管理人员加强培训，提高安全意识和防范能力。3.设计重点首先，我们分析一下

24、现行计算机网络系统的安全性：（1）操作系统及应用程序的安全性一般操作系统均有用户身份识别与权限访问控制等安全措施，但对网络资源缺乏有效的控制，况且有了安全控制机制与制定了行之有效的安全策略是两回事，如用户的密码是否定期更新了，密码是否容易被攻击，网络服务的权限是否被有效控制等；操作系统本身都或多或少存在漏洞，也成为被利用的对象。另外，许多应用服务系统在访问控制及安全通讯方面考虑较少，如果系统设置错误，很容易造成损失；同时对付恶意攻击方面也显得束手无策。（2）网络及其所采用的协议族的安全性TCP/IP的灵活设计和INTERNET的普遍应用为网络黑客技术的发展提供了基础，由于目前采用的通信协议大都

25、未考虑安全性，对信息的完整性也考虑得不够，加之黑客技术很容易被别有用心或喜欢炫耀的人们掌握，通过一定的手段如“窥探”等即可得到通讯的信息内容。 （3）网络病毒、蠕虫、木马的安全威胁由于Internet的迅快发展，将文件附加在电子邮件中的能力不断提高以及世界对计算机的依赖程度不断提高，使得病毒的扩散速度也急骤提高，受感染的范围越来越广，据NCSA调查，在1994年中，只有约20%的企业受到过病毒的攻击，但是在1997年中，就有约99.3%的企业受到病毒的攻击，而且感染方式也由主要从软盘介质感染转到了从网络服务器或Internet感染，在1996年只有21%的病毒是通过电子邮件、服务器或Inter

26、net下载来感染的，但到1997年，这一比例就达到52%，1999年，超过80%。（4）网络安全产品自身的安全性防病毒产品是否能实时、有效地阻止现有各种病毒，病毒特征码库是否能及时地更新，有无网关防病毒产品；防火墙产品的实现本身是否存在安全漏洞，防火墙的安全策略配置是否有问题等都成为网络安全要考虑的范畴。4设计的主要内容 （1）网络运行环境：包括机房、设备间、配线间和电源供电 （2）网络系统：包括网络传输设备和网络设备 （3）网络操作系统：当前主流操作系统有Windows操作系统、NetWare操作系统、UNIX操作系统和Linux操作系统 （4）网络应用软件开发与运行环境：包括网络数据库安全

27、系统、网络软件开发工具和网络应用系统 （5）网络管理与网络安全系统：为处理各类信息的计算机系统提供一个性能良好和安全的通信环境5.设计结果图 1. 根据欧斯电力的网络结构和对病毒来源的分析，欧斯电力病毒防护系统由五部分组成：（1）INTERNET病毒防护：主要针对Internet EMAIL、Internet Download(信息下载) 等集中进行病毒扫描。对邮件的附件、下载信息进行病毒过滤； （2）服务器病毒防护：对各种服务器进行病毒扫描和清除，集中报警；（3）客户端病毒防护：针对各种桌面操作系统，进行病毒扫描和清除； （4）单机（包括笔记本电脑）病毒防护；（5）Domino服务器病毒防护

28、：对Domino服务器、Domino数据库等的病毒扫描和清除，和Notes管理无缝地集成到一起；2.多层防范结构NAI公司的AVD套件包含了企业网防病毒所需的所有组件模块， 产品由以下几部分组成：（1）桌面防病毒模块VirusScan（2）服务器防病毒模块Netshield(3)邮件防病毒模块Groupshield(4)网关防病毒模块Webshield(5)防病毒系统网管控制台EPOEPO是整个防病毒系统的控制中心，可以为客户端远程分发安装相应的防病毒模块，并可为之远程升级病毒特征代码库、病毒扫描引擎，配置病毒扫描策略，搜集客户端的报警信息，实现全网防病毒的统一管理和控制。五、安全设备要求安全

29、产品至少应包含以下功能： 访问控制：通过对特定网段、服务建立的访问控制体系，将绝大多数攻击阻止在到达攻击目标之前； 漏洞检查：通过对安全漏洞的周期检查，即使攻击可到达攻击目标，也可使绝大多数攻击无效； 攻击监控：通过对特定网段、服务建立的攻击监控体系，可实时检测出绝大多数攻击，并采取相应的行动（如断开网络连接、记录攻击过程、跟踪攻击源等）；加密通讯：主动的加密通讯，可使攻击者不能了解、修改敏感信息；身份认证：良好的认证体系可防止攻击者假冒合法用户；备份和恢复：良好的备份和恢复机制，必要时尽快地恢复数据和系统服务；多层立体防御：攻击者在突破第一道防线后，延缓或阻断其到达攻击目标；隐藏内部信息：使

30、攻击者不能了解系统内的基本情况； 设立安全监控中心：为信息系统提供安全体系管理、监控，保护及紧急情况服务。六、技术支持与服务1.数据加密技术数据加密技术是信息安全领域的一种基本实用且非常重要的技术。数据加密技术主要分对称密钥技术（如DES算法）和非对称密钥技术（也叫公开密钥技术，如RAS算法）。根据电力局的各种信息安全等级，用不同的加密技术进行加密，是窃取数据的成本高于数据本身价值，这样能有效防止数据被盗。2.网络安全控制技术 访问控制可以防止未经授权的用户非法使用系统资源。访问控制是通过对访问者的有关信息进行检查来限制或禁止访问者使用资源的技术。当前，网络安全控制技术主要包括：身份认证、存取

31、控制、数据完整性、防止否认、防火墙技术，这些技术都是基于计算机网络开展的，涉及业务信息安全的主要技术，应根据电力企业业务系统性质、任务，制定最优控制策略。3.防病毒技术计算机病毒已经向网络化、多态化、灾难化发展，在省公司及区域电网建立计算机网络防病毒中心，实施网络化管理。4.防黑客攻击技术“黑客”主要针对信息系统网络和主机存在的一些漏洞进行攻击。按其计算机应用环境及业务重要程度制定防黑客攻击措施，重点检测系统信息安全漏洞，及时解决，特别重要的系统（如电力实时运行控制系统）应采用物理隔离措施。同时可以设置入侵检测系统加强对系统信息的保护。5.安全恢复技术采用多种备份措施，按其重要程度确定数据备份等级，配置数据备份措施（如：完全备份、增量备份和差异备份等），建立省级和区域数据备份中心，采用先进灾难恢复技术，保证信息系统可靠性和数据重要性。6.安全漏洞扫描技术安全扫描是网络安全防御中的一项重要技术，其原理是采用模拟攻击的形式对目标可能存在的已知安全漏洞进行逐项检查。目标可以是工作站、服务器、交换机、数据库应用等各种对象。然后根据扫描结果向系统管理员提供周密可靠的安全性分析报告，为提高网络安全整体水平产生重要依据。在网络安全体系的建设中，安全扫描工具花费低、效果好、见效快、与网络的运行相对对立、安装运行简单，可以大规模减少安全管理员的手工劳动，