【正文】 網(wǎng)絡(luò)安全整體解決方案第一部分 網(wǎng)絡(luò)安全概述第一章 網(wǎng)絡(luò)安全體系的基本認(rèn)識(shí) 自信息系統(tǒng)開始運(yùn)行以來(lái)就存在信息系統(tǒng)安全問(wèn)題，通過(guò)網(wǎng)絡(luò)遠(yuǎn)程訪問(wèn)而構(gòu)成的安全威脅成為日益受到嚴(yán)重關(guān)注的問(wèn)題。根據(jù)美國(guó)FBI的調(diào)查。（一）安全威脅 由于企業(yè)網(wǎng)絡(luò)內(nèi)運(yùn)行的主要是多種網(wǎng)絡(luò)協(xié)議，而這些網(wǎng)絡(luò)協(xié)議并非專為安全通訊而設(shè)計(jì)。所以，企業(yè)網(wǎng)絡(luò)可能存在的安全威脅來(lái)自以下方面： (1) 操作系統(tǒng)的安全性。目前流行的許多操作系統(tǒng)均存在網(wǎng)絡(luò)安全漏洞，如UNIX服務(wù)器，NT服務(wù)器及Windows桌面PC。 (2) 防火墻的安全性。防火墻產(chǎn)品自身是否安全，是否設(shè)置錯(cuò)誤，需要經(jīng)過(guò)檢驗(yàn)。 (3) 來(lái)自內(nèi)部網(wǎng)用戶的安全威脅。 (4) 缺乏有效的手段監(jiān)視、評(píng)估網(wǎng)絡(luò)系統(tǒng)的安全性。 (5) 采用的TCP/IP協(xié)議族軟件，本身缺乏安全性。 (6) 未能對(duì)來(lái)自Internet的電子郵件夾帶的病毒及Web瀏覽可能存在的Java/ActiveX控件進(jìn)行有效控制。 (7) 應(yīng)用服務(wù)的安全，許多應(yīng)用服務(wù)系統(tǒng)在訪問(wèn)控制及安全通訊方面考慮較少，并且，如果系統(tǒng)設(shè)置錯(cuò)誤，很容易造成損失。（二）網(wǎng)絡(luò)安全的需求企業(yè)網(wǎng)絡(luò)的基本安全需求 滿足基本的安全要求，是該網(wǎng)絡(luò)成功運(yùn)行的必要條件，在此基礎(chǔ)上提供強(qiáng)有力的安全保障，是建設(shè)企業(yè)網(wǎng)絡(luò)系統(tǒng)安全的重要原則。 企業(yè)網(wǎng)絡(luò)內(nèi)部部署了眾多的網(wǎng)絡(luò)設(shè)備、服務(wù)器，保護(hù)這些設(shè)備的正常運(yùn)行，維護(hù)主要業(yè)務(wù)系統(tǒng)的安全，是企業(yè)網(wǎng)絡(luò)的基本安全需求。 對(duì)于各科各樣的網(wǎng)絡(luò)攻擊，如何在提供靈活且高效的網(wǎng)絡(luò)通訊及信息服務(wù)的同時(shí)，抵御和發(fā)現(xiàn)網(wǎng)絡(luò)攻擊，并且提供跟蹤攻擊的手段，是本項(xiàng)目需要解決的問(wèn)題。業(yè)務(wù)系統(tǒng)的安全需求　　　　　　　與普通網(wǎng)絡(luò)應(yīng)用不同的是，業(yè)務(wù)系統(tǒng)是企業(yè)應(yīng)用的核心。對(duì)于業(yè)務(wù)系統(tǒng)應(yīng)該具有最高的網(wǎng)絡(luò)安全措施。企業(yè)網(wǎng)絡(luò)應(yīng)保障：l 訪問(wèn)控制，確保業(yè)務(wù)系統(tǒng)不被非法訪問(wèn)。l 數(shù)據(jù)安全，保證數(shù)據(jù)庫(kù)軟硬件系統(tǒng)的整體安全性和可靠性。l 入侵檢測(cè)，對(duì)于試圖破壞業(yè)務(wù)系統(tǒng)的惡意行為能夠及時(shí)發(fā)現(xiàn)、記錄和跟蹤，提供非法攻擊的犯罪證據(jù)。l 來(lái)自網(wǎng)絡(luò)內(nèi)部其他系統(tǒng)的破壞，或誤操作造成的安全隱患。Internet服務(wù)網(wǎng)絡(luò)的安全需求Internet服務(wù)網(wǎng)絡(luò)分為兩個(gè)部分：提供網(wǎng)絡(luò)用戶對(duì)Internet的訪問(wèn)：提供Internet對(duì)網(wǎng)內(nèi)服務(wù)的訪問(wèn)。網(wǎng)絡(luò)內(nèi)客戶對(duì)Internet的訪問(wèn)，有可能帶來(lái)某些類型的網(wǎng)絡(luò)安全。如通過(guò)電子郵件、FTP引入病毒、危險(xiǎn)的Java或ActiveX應(yīng)用等。因此，需要在網(wǎng)絡(luò)內(nèi)對(duì)上述情況提供集成的網(wǎng)絡(luò)病毒檢測(cè)、消除等操作。網(wǎng)絡(luò)安全需求是保護(hù)網(wǎng)絡(luò)不受破壞，確保網(wǎng)絡(luò)服務(wù)的可用性，作為信息網(wǎng)絡(luò)之間的互聯(lián)的邊界安全應(yīng)作為主要安全需求：178。 需要保證信息網(wǎng)絡(luò)之間安全互聯(lián)，能夠?qū)崿F(xiàn)網(wǎng)絡(luò)安全隔離；178。 對(duì)于專有應(yīng)用的安全服務(wù)；178。 必要的信息交互的可信任性；178。 能夠提供對(duì)于主流網(wǎng)絡(luò)應(yīng)用（如WWW、Mail、Ftp、Oicq和NetMeeting等）良好支持，并能夠?qū)崿F(xiàn)安全應(yīng)用；178。 同時(shí)信息網(wǎng)絡(luò)公共資源能夠?qū)﹂_放用戶提供安全訪問(wèn)；178。 能夠防范包括：252。 利用Http應(yīng)用，通過(guò)Java Applet、ActiveX以及Java Script形式；252。 利用Ftp應(yīng)用，通過(guò)文件傳輸形式；252。 利用SMTP應(yīng)用，通過(guò)對(duì)郵件分析及利用附件所造成的信息泄漏和有害信息對(duì)于信息網(wǎng)絡(luò)的侵害；178。 對(duì)網(wǎng)絡(luò)安全事件的審計(jì)；178。 對(duì)于網(wǎng)絡(luò)安全狀態(tài)的量化評(píng)估；178。 對(duì)網(wǎng)絡(luò)安全狀態(tài)的實(shí)時(shí)監(jiān)控；其次，對(duì)于信息網(wǎng)絡(luò)內(nèi)部同樣存在安全需求，包括：178。 信息網(wǎng)絡(luò)中的各單位網(wǎng)絡(luò)之間建立連接控制手段；178。 能夠滿足信息網(wǎng)絡(luò)內(nèi)的授權(quán)用戶對(duì)相關(guān)專用網(wǎng)絡(luò)資源訪問(wèn)；178。 同時(shí)對(duì)于遠(yuǎn)程訪問(wèn)用戶增強(qiáng)安全管理；178。 加強(qiáng)對(duì)于整個(gè)信息網(wǎng)絡(luò)資源和人員的安全管理與培訓(xùn)。（三） 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)性能和功能的關(guān)系 通常，系統(tǒng)安全與性能和功能是一對(duì)矛盾的關(guān)系。如果某個(gè)系統(tǒng)不向外界提供任何服務(wù)（斷開），外界是不可能構(gòu)成安全威脅的。但是，企業(yè)接入國(guó)際互連網(wǎng)絡(luò)，提供網(wǎng)上商店和電子商務(wù)等服務(wù)，等于將一個(gè)內(nèi)部封閉的網(wǎng)絡(luò)建成了一個(gè)開放的網(wǎng)絡(luò)環(huán)境，各種安全包括系統(tǒng)級(jí)的安全問(wèn)題也隨之產(chǎn)生。構(gòu)建網(wǎng)絡(luò)安全系統(tǒng)，一方面由于要進(jìn)行認(rèn)證、加密、監(jiān)聽，分析、記錄等工作，由此影響網(wǎng)絡(luò)效率，并且降低客戶應(yīng)用的靈活性；另一方面也增加了管理費(fèi)用。但是，來(lái)自網(wǎng)絡(luò)的安全威脅是實(shí)際存在的，特別是在網(wǎng)絡(luò)上運(yùn)行關(guān)鍵業(yè)務(wù)時(shí)，網(wǎng)絡(luò)安全是首先要解決的問(wèn)題。選擇適當(dāng)?shù)募夹g(shù)和產(chǎn)品，制訂靈活的網(wǎng)絡(luò)安全策略，在保證網(wǎng)絡(luò)安全的情況下，提供靈活的網(wǎng)絡(luò)服務(wù)通道。采用適當(dāng)?shù)陌踩w系設(shè)計(jì)和管理計(jì)劃，能夠有效降低網(wǎng)絡(luò)安全對(duì)網(wǎng)絡(luò)性能的影響并降低管理費(fèi)用。全方位的安全體系：與其它安全體系（如保安系統(tǒng)）類似，企業(yè)應(yīng)用系統(tǒng)的安全休系應(yīng)包含：訪問(wèn)控制：通過(guò)對(duì)特定網(wǎng)段、服務(wù)建立的訪問(wèn)控制體系，將絕大多數(shù)攻擊阻止在到達(dá)攻擊目標(biāo)之前。檢查安全漏洞：通過(guò)對(duì)安全漏洞的周期檢查，即使攻擊可到達(dá)攻擊目標(biāo)，也可使絕大多數(shù)攻擊無(wú)效。攻擊監(jiān)控：通過(guò)對(duì)特定網(wǎng)段、服務(wù)建立的攻擊監(jiān)控體系，可實(shí)時(shí)檢測(cè)出絕大多數(shù)攻擊，并采取相應(yīng)的行動(dòng)（如斷開網(wǎng)絡(luò)連接、記錄攻擊過(guò)程、跟蹤攻擊源等）。加密通訊：主動(dòng)的加密通訊，可使攻擊者不能了解、修改敏感信息。認(rèn)證：良好的認(rèn)證體系可防止攻擊者假冒合法用戶。備份和恢復(fù)：良好的備份和恢復(fù)機(jī)制，可在攻擊造成損失時(shí)，盡快地恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)。多層防御，攻擊者在突破第一道防線后，延緩或阻斷其到達(dá)攻擊目標(biāo)。隱藏內(nèi)部信息，使攻擊者不能了解系統(tǒng)內(nèi)的基本情況。設(shè)立安全監(jiān)控中心，為信息系統(tǒng)提供安全體系管理、監(jiān)控，渠護(hù)及緊急情況服務(wù)。（四）網(wǎng)絡(luò)安全的管理因素 網(wǎng)絡(luò)安全可以采用多種技術(shù)來(lái)增強(qiáng)和執(zhí)行。但是，很多安全威脅來(lái)源于管理上的松懈及對(duì)安全威脅的認(rèn)識(shí)。安全威脅主要利用以下途徑：l 系統(tǒng)實(shí)現(xiàn)存在的漏洞。l 系統(tǒng)安全體系的缺陷。l 使用人員的安全意識(shí)薄弱。l 管理制度的薄弱。良好的網(wǎng)絡(luò)管理有助于增強(qiáng)系統(tǒng)的安全性：l 及時(shí)發(fā)現(xiàn)系統(tǒng)安全的漏洞。l 審查系統(tǒng)安全體系。l 加強(qiáng)對(duì)使用人員的安全知識(shí)教育。l 建立完善的系統(tǒng)管理制度。如前所述，能否制定一個(gè)統(tǒng)一的安全策略，在全網(wǎng)范圍內(nèi)實(shí)現(xiàn)統(tǒng)一的安全管理，對(duì)于信息網(wǎng)來(lái)說(shuō)就至關(guān)重要了。安全管理主要包括兩個(gè)方面：l 內(nèi)部安全管理：主要是建立內(nèi)部安全管理制度，如機(jī)房管理制度、設(shè)備管理制度、安全系統(tǒng)管理制度、病毒防范制度、操作安全管理制度、安全事件