【正文】 一．網(wǎng)絡(luò)安全的總體目標(biāo) 保密性：保證非授權(quán)操作不能獲取保護(hù)信息或計(jì)算機(jī)資源。 完整性：保證非授權(quán)操作不能修改數(shù)據(jù)。 有效性：保證數(shù)據(jù)不受非授權(quán)操作的破壞。 總體說來，一個(gè)企業(yè)網(wǎng)絡(luò)系統(tǒng)的安全性應(yīng)包括以下幾個(gè)方面： ? 網(wǎng)絡(luò)的完整性：包括防火墻和通信安全 (VPN) ? 系統(tǒng)的完整性：包括 反病毒，風(fēng)險(xiǎn)評估，入侵偵測 ? 用戶的完整性：包括用戶管理，登錄認(rèn)證 ? 應(yīng)用的完整性：包括訪問控制和授權(quán) ? 應(yīng)用的保密性：主要是信息的加密 二．網(wǎng)絡(luò)系統(tǒng)安全性分析 1） 操作系統(tǒng)的安全性 一般操作系統(tǒng)均有用戶身份識別與權(quán)限訪問控制等安全措施，但對網(wǎng)絡(luò)資源缺乏有效的控制，況且有了安全控制機(jī)制與制定了行之有效的安全策略是兩回事，如用戶的密碼是否定期更新了，密碼是否容易被攻擊，網(wǎng)絡(luò)服務(wù)的權(quán)限是否被有效控制等；另外操作系統(tǒng)本身都或多或少存在漏洞，也成為被利用的對象。 2）來自網(wǎng)絡(luò)病毒的安全威脅 由于 Inter 的迅快 發(fā)展，將文件附加在電子郵件中的能力不斷提高以及世界對計(jì)算機(jī)的依賴程度不斷提高，使得病毒的擴(kuò)散速度也急驟提高，受感染的范圍越來越廣，據(jù) NCSA調(diào)查，在 1994 年中，只有約 20%的企業(yè)受到過病毒的攻擊，但是在 1997 年中，就有約 %的企業(yè)受到病毒的攻擊，也就是說幾乎沒有那一家企業(yè)可以逃脫病毒的攻擊。而且感染方式也由主要從軟盤介質(zhì)感染轉(zhuǎn)到了從網(wǎng)絡(luò)服務(wù)器或 Inter 感染。同樣據(jù) NCSA 調(diào)查，在 1996年只有 21%的病毒是通過電子郵件，服務(wù)器或 Inter 下載來感染的，但到 1997 年，這一比例就達(dá)到 52%。 3）網(wǎng)絡(luò)及其所采用的協(xié)議族的安全性 由于目前采用的通信協(xié)議大都未考慮安全性，對信息的完整性也考慮得不夠，通過一定的手段如“窺探”等即可得到通訊的信息內(nèi)容。 4）應(yīng)用程序的安全性 許多應(yīng)用服務(wù)系統(tǒng)在訪問控制及安全通訊方面考慮較少，并且，如果系統(tǒng)設(shè)置錯(cuò)誤，很泉州電信公司網(wǎng)絡(luò)安全解決方案 5 容易造成損失；同時(shí)對付惡意攻擊方面也顯得束手無策。 5）管理上引起的安全性 再好的安全產(chǎn)品，再好的安全策略，若無嚴(yán)格的管理制度，則一切形同虛設(shè)。 6）網(wǎng)絡(luò)安全產(chǎn)品自身的安全性 防病毒產(chǎn)品是否能實(shí)時(shí)、有效地阻止現(xiàn)有各種病毒，病毒特征碼庫是否能及時(shí)地更新 ，有無網(wǎng)關(guān)防病毒產(chǎn)品；防火墻產(chǎn)品的實(shí)現(xiàn)本身是否存在安全漏洞，防火墻的安全策略配置是否有問題等都成為網(wǎng)絡(luò)安全要考慮的范疇。 三、需求分析 (1) 評估主機(jī)操作系統(tǒng)的安全性 一般的操作系統(tǒng)都有身份認(rèn)證與訪問控制系統(tǒng)，但如何去配置日益復(fù)雜的網(wǎng)絡(luò)環(huán)境，如用戶認(rèn)證密碼是否容易被別人獲取破解；系統(tǒng)資源的各個(gè)對象的訪問權(quán)限是否設(shè)置正確；系統(tǒng)的各種服務(wù)是否存在有漏洞等。通過網(wǎng)絡(luò)掃描，可以了解網(wǎng)絡(luò)的安全配置和運(yùn)行的應(yīng)用服務(wù)，及時(shí)發(fā)現(xiàn)安全漏洞，客觀評估網(wǎng)絡(luò)風(fēng)險(xiǎn)等級，更正網(wǎng)絡(luò)系統(tǒng)中的錯(cuò)誤配置。 (2) 防止網(wǎng)絡(luò)病毒的侵襲 泉州 電信公司內(nèi)部用戶之間形成了一個(gè)不小的用戶群，它們也可能有意無意引進(jìn)了病毒或有被壞性的程序，因?yàn)闊o論是介質(zhì)傳播還是網(wǎng)絡(luò)傳播等都有可能引入病毒。從 PC 桌面機(jī)、服務(wù)器、到各類網(wǎng)關(guān)，都有可能成為病毒的入口，因此有必要采用多層病毒防護(hù)體系來防止網(wǎng)絡(luò)上病毒的入侵。 (3) 保證數(shù)據(jù)傳輸?shù)陌踩? 由于泉州電信公司業(yè)務(wù)數(shù)據(jù)的安全傳輸要求很高，而數(shù)據(jù)流經(jīng)的物理路徑環(huán)節(jié)又較多，數(shù)據(jù)在存儲和傳輸過程中極有可能被盜用、暴露、假冒和篡改，因此必須采取有效的數(shù)據(jù)加密措施，鑒別和監(jiān)督合法用戶的操作，防止對敏感數(shù)據(jù)的非法訪問、使用、修改和 破壞。 (4) 對付來自外部惡意攻擊 TCP/IP 的靈活設(shè)計(jì)和 INTERNET 的普遍應(yīng)用為網(wǎng)絡(luò)黑客技術(shù)的發(fā)展提供了基礎(chǔ)， 黑客技術(shù)很容易被別有用心或喜歡炫耀的人們掌握，由此黑客數(shù)量劇增。加之泉州電信公司網(wǎng)絡(luò)連接點(diǎn)多面廣，客觀上為黑客的入侵提供了較多的切入點(diǎn)。本著經(jīng)濟(jì)、高效的原則，有必要將關(guān)鍵主機(jī)和關(guān)鍵網(wǎng)段用防火墻隔離，以實(shí)現(xiàn)對系統(tǒng)的訪問控制和安全的集中管理。 (5) 監(jiān)測網(wǎng)絡(luò)上的入侵行為 利用防火墻通常能夠在內(nèi)外網(wǎng)之間提供安全保護(hù)，降低了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，但是，如果入侵者可尋找防火墻背后可能敞開的后門，或 者入侵者就在防火墻內(nèi)，特別是內(nèi)部用戶，具有易于接近物理介質(zhì)、熟悉網(wǎng)絡(luò)拓?fù)?、了解公司的安全策略、易于獲取口令等特點(diǎn)，因此在網(wǎng)絡(luò)內(nèi)部發(fā)動(dòng)入侵、攻擊、破壞、盜竊、濫用等更容易得逞。采用入侵檢測系統(tǒng)，可提供實(shí)時(shí)的入侵檢測及采取相應(yīng)的防護(hù)手段，如記錄入侵證據(jù)、斷開網(wǎng)絡(luò)連接等。 泉州電信公司網(wǎng)絡(luò)安全解決方案 6 第二章 網(wǎng)絡(luò)安全系統(tǒng)的總體規(guī)劃 一．安全體系結(jié)構(gòu) 網(wǎng)絡(luò)安全體系結(jié)構(gòu)主要考慮安全對象和安全機(jī)制，安全對象主要有網(wǎng)絡(luò)安全、系統(tǒng)安全、數(shù)據(jù)庫安全、信息安全、設(shè)備安全、信息介質(zhì)安全和計(jì)算機(jī)病毒防治等，其安全體系結(jié)構(gòu)如圖所示： 二．設(shè)計(jì)原則 在進(jìn)行 計(jì)算機(jī)網(wǎng)絡(luò)安全設(shè)計(jì)、規(guī)劃時(shí)，應(yīng)遵循以下原則： （ 1） 需求、風(fēng)險(xiǎn)、代價(jià)平衡分析的原則 對任一網(wǎng)絡(luò)來說，絕對安全難以達(dá)到，也不一定必要。對一個(gè)網(wǎng)絡(luò)要進(jìn)行實(shí)際分析，對網(wǎng)絡(luò)面臨的威脅及可能承擔(dān)的風(fēng)險(xiǎn)進(jìn)行定性與定量相結(jié)合的分析，然后制定規(guī)范和措施，確定本系統(tǒng)的安全策略。保護(hù)成本、被保護(hù)信息的價(jià)值必須平衡，價(jià)值僅 1 萬元的信息如果用 5 萬元的技術(shù)和設(shè)備去保護(hù)是一種不適當(dāng)?shù)谋Ｗo(hù)。 （ 2） 綜合性、整體性原則 運(yùn)用系統(tǒng)工程的觀點(diǎn)、方法，分析網(wǎng)絡(luò)的安全問題，并制定具體措施。一個(gè)較好的安全措施往往是多種方法適當(dāng)綜合的應(yīng)用結(jié)果 。一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)包括個(gè)人、設(shè)備、軟件、數(shù)據(jù)等環(huán)節(jié)。它們在網(wǎng)絡(luò)安全中的地位和影響作用，只有從系統(tǒng)綜合的整體角度去看待和分析，才可能獲得有效、可行的措施。 （ 3）一致性原則 這主要是指網(wǎng)絡(luò)安全問題應(yīng)與整個(gè)網(wǎng)絡(luò)的工作周期（或生命周期）同時(shí)存在，制定的安全體系結(jié)構(gòu)必須與網(wǎng)絡(luò)的安全需求相一致。實(shí)際上，在網(wǎng)絡(luò)建設(shè)之初就考慮網(wǎng)絡(luò)安全對策，比等網(wǎng)絡(luò)建設(shè)好后再考慮，不但容易，而且花費(fèi)也少得多。 物 理 實(shí) 體 安 全 企業(yè)安全策略 用戶責(zé)任 病毒 防治 保密 教育 信息 安全 信息 服務(wù) 操作 系統(tǒng) 計(jì)算機(jī)網(wǎng)絡(luò)安全 泉州電信公司網(wǎng)絡(luò)安全解決方案 7 （ 4）易操作性原則 安全措施要由人來完成，如果措施過于復(fù)雜，對人的要求過高，本身就降低了安全性。其次，采用的措施不能影響系統(tǒng)正 常運(yùn)行。 （ 5）適應(yīng)性、靈活性原則 安全措施必須能隨著網(wǎng)絡(luò)性能及安全需求的變化而變化，要容易適應(yīng)、容易修改。 （ 6）多重保護(hù)原則 任何安全保護(hù)措施都不是絕對安全的，都可能被攻破。但是建立一個(gè)多重保護(hù)系統(tǒng)，各層保護(hù)相互補(bǔ)充，當(dāng)一層保護(hù)被攻破時(shí)，其它層保護(hù)仍可保護(hù)信息的安全。 三．設(shè)計(jì)目標(biāo) 鑒于業(yè)務(wù)系統(tǒng)的特殊性，信息的保密性又主要是由應(yīng)用系統(tǒng)及相應(yīng)支撐技術(shù)去解決，故網(wǎng)絡(luò)系統(tǒng)的安全性主要體現(xiàn)在保證信息的完整性和有效性方面。 信息的完整性是與網(wǎng)絡(luò)系統(tǒng)的完整性相關(guān)，信息的有效性保障則要運(yùn)用綜合的安全手段。通過 漏洞掃描能夠發(fā)現(xiàn)網(wǎng)絡(luò)系統(tǒng)一些潛在的安全隱患，及時(shí)采取相應(yīng)的措施；通過病毒防護(hù)體系可以保護(hù)系統(tǒng)免受病毒的攻擊；通過數(shù)據(jù)加密可以保證網(wǎng)絡(luò)中傳輸數(shù)據(jù)不被竊取、篡改和破壞；通過設(shè)置防火墻系統(tǒng)可以限制對關(guān)鍵資源的存取方式；通過網(wǎng)絡(luò)監(jiān)測可以發(fā)現(xiàn)、分析并阻塞黑客行為。這樣可達(dá)到如下的目標(biāo)： ? 訪問控制，確保服務(wù)器不被非法訪問。 ? 數(shù)據(jù)安全，保證各類服務(wù)器系統(tǒng)的整體安全性和可靠性。 ? 入侵檢測，對于試圖破壞業(yè)務(wù)系統(tǒng)的惡意行為進(jìn)行實(shí)時(shí)檢測、跟蹤、記錄和阻止。 ? 防止來自網(wǎng)絡(luò)內(nèi)部的其它破壞或誤操作造成的安全隱患。 四．解決方案 1．即 時(shí)提供網(wǎng)絡(luò)系統(tǒng)的安全評估 隨著用不斷追加新系統(tǒng)和服務(wù)項(xiàng)目的方法來滿足拓展業(yè)務(wù)的需求，網(wǎng)絡(luò)正以驚人的速度發(fā)展。方案的實(shí)現(xiàn)時(shí)間非常短暫，同時(shí)復(fù)雜的安全性問題經(jīng)常被忽略。如何尋找到網(wǎng)絡(luò)脆弱性數(shù)據(jù)，怎樣測量你的安全性預(yù)算并決定用于安全環(huán)境的工作量，網(wǎng)絡(luò)漏洞掃描產(chǎn)品可以解決這些問題。網(wǎng)絡(luò)漏洞掃描產(chǎn)品可以幫助網(wǎng)絡(luò)管理員去評價(jià)操作系統(tǒng)的身份識別及存取控制等策略配置的安全性，以提高操作系統(tǒng)的安全運(yùn)行級別；檢測防火墻的策略規(guī)則配置的合理性及防火墻系統(tǒng)本身的安全性，以進(jìn)一步發(fā)揮防火墻的隔離作用。 我們選擇 NAI 公司的 CyberCop Scanner 作為網(wǎng)絡(luò)漏洞掃描產(chǎn)品，安裝在關(guān)鍵網(wǎng)段上一臺 NT 服務(wù)器上，發(fā)現(xiàn)網(wǎng)絡(luò)環(huán)境中的安全漏洞，保證網(wǎng)絡(luò)安全的完整性；它掃描和測試確定存在的可被黑客利用的網(wǎng)絡(luò)薄弱環(huán)節(jié)，評估企業(yè)內(nèi)部網(wǎng)絡(luò)、服務(wù)器、防火墻和路由器，提供綜合的審計(jì)。 在黑客到來之前將系統(tǒng)漏洞彌補(bǔ)，當(dāng)黑客再次使用這種方法攻擊系統(tǒng)時(shí)，就不會生效，從而主動(dòng)保護(hù)系統(tǒng)安全，變被動(dòng)為主動(dòng)。 泉州電信公司網(wǎng)絡(luò)安全解決方案 8 2．綜合建立多層的病毒防護(hù)體系 系統(tǒng)為了免受來自于多方面的病毒威脅，建議采用多層的病毒防衛(wèi)體系。所謂多層病毒防衛(wèi)體系，是指在每個(gè)臺式機(jī)上要安裝臺式機(jī)的反病毒軟 件，在服務(wù)器上要安裝基于服務(wù)器的反病毒軟件，在網(wǎng)關(guān)上要安裝基于網(wǎng)關(guān)的反病毒軟件，因?yàn)榉乐共《镜墓羰敲總€(gè)員工的責(zé)任，人人都要做到自己使用的臺式機(jī)上不受病毒的感染，從而保證整個(gè)企業(yè)網(wǎng)不受病毒的感染。 我們選擇 NAI 公司的 McAfee Active Virus Defense 防病毒套件作為整個(gè)網(wǎng)絡(luò)的防病毒工具。 （ 1）客戶端的防病毒系統(tǒng) VirusScan WebScanX：保護(hù)系統(tǒng)免受惡意 Java 和 ActiveX 小程序的破壞； SecureCast：自動(dòng)在 Inter 上發(fā)布接收病毒更新信息； Net Tools Console：提供集中的管理、分發(fā)和警告功能。 VirusScan ：為全球領(lǐng)先的桌面防病毒產(chǎn)品，可運(yùn)行在 DOS、 Windows 、 Windows 95/98/2020 PRO、 Windows NT 、 Mac 和 OS/2 等平臺上。 （ 2）服務(wù)器的防病毒系統(tǒng) 如果服務(wù)器被感染，其感染文件將成為病毒感染的源頭，它們會迅速從桌面感染發(fā)展到整個(gè)網(wǎng)絡(luò)的病毒爆發(fā)。因此，基于服務(wù)器的病毒保護(hù)已成為當(dāng)務(wù)之急。所以，建議在內(nèi)部網(wǎng)絡(luò)所有關(guān)鍵業(yè)務(wù)的服務(wù)器上采用 McAfee AVD 套件中 NetShield Security Suite ，提供全面的基于服務(wù)器的病毒保護(hù)。系統(tǒng)管理員可以從單獨(dú)的直觀控制臺上遠(yuǎn)程管理這些服務(wù)器平臺。 其具體的功能有： Netshield： 全球領(lǐng)先的服務(wù)器防病毒解決方案。（ Netware， Windows NT/2020 服務(wù)器和高級服務(wù)器版 ， UNIX）； GroupShield：群件服務(wù)器的防病毒方案（ Microsoft Exchange、 Lotus Notes/Domino(含 和 AIX 平臺）； SecureCast:：自動(dòng)將病毒更新的信息發(fā)布到 Inter 上； Net Tools Console：提供集中的管理、分發(fā)和警告功能。 （ 3） Inter的防病毒系統(tǒng) 根據(jù) ICSA 的報(bào)告，一般公司的電腦感染病毒的來源有超過 20%是通過網(wǎng)絡(luò)下載文檔感染，另外有 26%是經(jīng)電子郵件的附加文檔所感染，連入 Interent，很有可能受到來自 Interent下載文件的病毒侵害及惡意的 Java、 ActiveX 小程序的威脅。 McAfee AVD 套件中 Inter Security Suite 在網(wǎng)關(guān)上可以提供全面的病毒防衛(wèi)系統(tǒng)，封鎖病毒所有可能的進(jìn)入點(diǎn)。透過管理控制臺可直接在任何服務(wù)器 或工作站上進(jìn)行遠(yuǎn)程管理。 泉州電信公司網(wǎng)絡(luò)安全解決方案 9 它可以作到： WebShield SMTP：可以掃描全部收發(fā)的電子郵件； WebShield Proxy：可以掃描代理服務(wù)器和網(wǎng)絡(luò)協(xié)議，如 HTTP， SMTP， FTP 等； SecureCast：自動(dòng)將病毒更新的信息發(fā)布到 Inter 上； Net Tools Console：提供集中的管理、分發(fā)和警告功能。 3．使用規(guī)程分析儀管理網(wǎng)絡(luò)與故障分析 采用網(wǎng)絡(luò)管理工具對本公司的骨干（重要）網(wǎng)絡(luò)進(jìn)行監(jiān)控和管理，以確保關(guān)鍵業(yè)務(wù)的正常運(yùn)作； A． 系統(tǒng)監(jiān)控 簡便、實(shí)用的 設(shè)備對網(wǎng)絡(luò)環(huán)境進(jìn)行監(jiān)測和分析，對關(guān)鍵的網(wǎng)絡(luò)參數(shù)進(jìn)行監(jiān)控和維護(hù)，能動(dòng)態(tài)發(fā)現(xiàn)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，能監(jiān)控網(wǎng)絡(luò)流量、負(fù)荷、延時(shí)、連同性、擁塞情況、路由情況，對網(wǎng)絡(luò)中的異常事件能夠統(tǒng)一地分析和處理，并給出詳盡的報(bào)告。 B． 故障定位及排除 目前網(wǎng)絡(luò)應(yīng)用（如數(shù)據(jù)庫查詢）的響應(yīng)時(shí)間過長，而本網(wǎng)絡(luò)系統(tǒng)涉及到系統(tǒng)、設(shè)備、應(yīng)用等多個(gè)層面，因此如何將性能或故障等方面的問題準(zhǔn)確定位在涉及到（線路、設(shè)備、服務(wù)器、操作系統(tǒng)、電子郵件）的具體位置，是本系統(tǒng)提供的基本功能。 C． 預(yù)防問題 通過在廣域網(wǎng)上對網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)流量的實(shí)施監(jiān)控和分析，預(yù)防問題的發(fā)生 ，在系統(tǒng)出現(xiàn)性能抖動(dòng)時(shí)，就能及時(shí)發(fā)現(xiàn)，并建議系統(tǒng)管理員采用及時(shí)的處理。 D． 優(yōu)化性能 通過對線路和其他系統(tǒng)進(jìn)行可視化管理，利用管理系統(tǒng)提供的專家系統(tǒng)對系統(tǒng)的性能進(jìn)行優(yōu)化。 E． 提供整體網(wǎng)絡(luò)運(yùn)行的健康以及趨勢分析。 對網(wǎng)絡(luò)系統(tǒng)整體的運(yùn)行情況作出長期的健康和趨勢報(bào)告，分析系統(tǒng)的使用情況，對新系統(tǒng)的規(guī)劃提供科學(xué)的參考依據(jù)。 4．輔助手段， NAI Cybercop Sting 的部署 在用戶服務(wù)子網(wǎng)內(nèi)的一臺單獨(dú) NT se