【正文】 企業(yè)網絡系統(tǒng)安全需求分析與設計方案1概述建設功能強大和安全可靠的網絡化信息管理系統(tǒng)是企業(yè)實現(xiàn)現(xiàn)代化管理的必要手段。如何構建企業(yè)安全可靠的網絡系統(tǒng)是本課程設計的目的。本課程設計是為企業(yè)提出的“網絡安全系統(tǒng)設計方案”，只針對網絡基礎設施安全系統(tǒng)向企業(yè)提交網絡安全的設計及設計實施方案，沒有涉及其他部分的內容，如“數據安全系統(tǒng)”等。毫無疑問，不需要任何形式的“說教”，在信息和網絡被廣泛應用的今天，任何一個網絡管理或使用者都非常清楚，所有被使用的計算機網絡都必然存在被有意或無意的攻擊和破壞之風險。企業(yè)的網絡同樣存在安全方面的風險問題。對于大多數網絡黑客來說，成功地侵入一企業(yè)特別是著名企業(yè)的網絡系統(tǒng)，具有證明和炫耀其“能耐”的價值，盡管這種行為的初衷也許并不具有惡意的目的；竊取企業(yè)的網絡數據，甚至破壞其網絡系統(tǒng)，更加具有現(xiàn)實和長遠的商業(yè)價值[5]。因此，企業(yè)網絡建立完善的安全系統(tǒng)，其必要性不言而喻。網絡安全體系的核心目標是實現(xiàn)對網絡系統(tǒng)和應用操作過程的有效控制和管理。任何安全系統(tǒng)必須建立在技術、組織和制度這三個基礎之上。在設計企業(yè)的網絡安全系統(tǒng)時，我們將遵循以下原則：l 體系化設計原則通過分析信息網絡的層次關系，提出科學的安全體系和安全框架，并根據安全體系分析存在的各種安全風險，從而最大限度地解決可能存在的安全問題。l 全局性、均衡性、綜合性設計原則安全建議書將從企業(yè)網絡整體建設角度出發(fā)，提供一個具有相當高度、可擴展性強的安全解決方案；從企業(yè)的實際情況看，單純依靠一種安全措施，并不能解決全部的安全問題。本建議書將考慮到各種安全措施的使用。本安全建議書將均衡考慮各種安全措施的效果，提供具有最優(yōu)的性能價格比的安全解決方案。安全需要付出代價（資金、性能損失等），但是任何單純?yōu)榱税踩豢紤]代價的安全建議書都是不切實際的。建議書同時提供了可操作的分步實施計劃。l 可行性、可靠性、安全性作為一個工程項目，可行性是設計企業(yè)安全方案的根本，它將直接影響到網絡通信平臺的暢通；可靠性是安全系統(tǒng)和網絡通信平臺正常運行的保證；而安全性是設計安全系統(tǒng)的最終目的。安全方案必須架構在科學的安全體系和安全框架之上，因為安全框架是安全方案設計和分析的基礎。為了系統(tǒng)、科學地分析網絡安全系統(tǒng)涉及的各種安全問題，網絡安全技術專家們提出了三維安全體系結構，并在其基礎上抽象地總結了能夠指導安全系統(tǒng)總體設計的三維安全體系（見圖11），它反映了信息系統(tǒng)安全需求和體系結構的共性。具體說明如下：圖11安全框架示意圖（1）安全服務安全服務（X軸）定義了7種主要完全屬性。具體如下：身份認證，用于確認所聲明的身份的有效性；訪問控制，防止非授權使用資源或以非授權的方式使用資源；數據保密，數據存儲和傳輸時加密，防止數據竊取、竊聽；數據完整，防止數據篡改；不可抵賴，取兩種形式的一種，用于防止發(fā)送者企圖否認曾經發(fā)送過數據或其內容和用以防止接收者對所收到數據或內容的抗否認；審計管理，設置審計記錄措施，分析審計記錄；可用性、可靠性，在系統(tǒng)降級或受到破壞時能使系統(tǒng)繼續(xù)完成其功能，使得在不利的條件下盡可能少地受到侵害者的破壞。（2）協(xié)議層次協(xié)議層次（Y軸）由ISO/OSI參考模型的七層構成。與TCP/IP層次對應，可以把會話層、表示、應用層統(tǒng)一為“應用層”。（3）系統(tǒng)單元系統(tǒng)單元（Z軸）描述了信息網絡基礎構件的各個成分。通信平臺，信息網絡的通信平臺；網絡平臺，信息網絡的網絡系統(tǒng)；系統(tǒng)平臺，信息網絡的操作系統(tǒng)平臺；應用平臺，信息網絡各種應用的開發(fā)、運行平臺；物理環(huán)境，信息網絡運行的物理環(huán)境及人員管理。貫穿于安全體系的三個方面，各個層次的是安全管理。通過技術手段和行政管理手段，安全管理將涉及到各系統(tǒng)單元在各個協(xié)議層次提供的各種安全服務。（1）安全體系的理解在圖11的安全體系分析模型中，完整地將網絡安全系統(tǒng)的全部內容進行了科學和系統(tǒng)的歸納，詳盡地描述了網絡安全系統(tǒng)所使用的技術、服務的對象和涉及的范圍（即網絡層次）。對于上圖的理解，不妨簡單說明如下：安全服務是網絡安全系統(tǒng)所提供可實現(xiàn)的全部技術手段；網絡協(xié)議是網絡安全系統(tǒng)應該將所采納之安全技術手段實施的范圍；系統(tǒng)單元是網絡安全系統(tǒng)應該提供安全保護的對象。作為一個現(xiàn)實的網絡安全系統(tǒng)，首先要考慮的是安全建議書所涉及的有哪些系統(tǒng)單元，然后根據這些系統(tǒng)單元的不同，確定該單元所需要的安全服務，再根據所需要的安全服務，確定這些安全服務在哪些OSI層次實現(xiàn)。（2）構建安全系統(tǒng)的基本目標在上述的三維結構的安全體系中，安全服務維是向網絡系統(tǒng)的各個部分和每一個層次，提供安全保證的各種技術手段和措施。雖然并不是每一個應用網絡都需要安全服務維提出的所有手段，但是對于一個包含各種應用和具有一定規(guī)模的企業(yè)網絡，這些安全措施應該都基本具備，因此安全服務維所涉及的所有安全服務措施，是網絡安全系統(tǒng)的基本建設目標。根據我們對企業(yè)網絡系統(tǒng)應用現(xiàn)狀的認識，以及未來將要實現(xiàn)的各種應用目標了解，我們認為企業(yè)網絡安全系統(tǒng)，最終需要全部實現(xiàn)圖11中安全服務維所提出的基本技術手段。（3）網絡安全系統(tǒng)的技術實施構筑網絡安全系統(tǒng)的最終目的是對網絡資源或者說是保護對象，實施最有效的安全保護[1]。從網絡的系統(tǒng)和應用平臺對網絡協(xié)議層次的依賴關系不難看出，只有對網絡協(xié)議結構層次的所有層實施相應有效的技術措施，才能實現(xiàn)對網絡資源的安全保護。針對一般網絡系統(tǒng)的結構和應用要求，為了達到保護網絡資源的目的，必須在網絡協(xié)議層實施相應的安全措施，如下表11所示。表11 網絡協(xié)議層實施相應的安全措施 物理層數據鏈路層網絡層傳輸層會話層表示層應用層認證****訪問控制****數據保密******數據完整性***不可抵賴性*審計****可用性****說明：* 表示需要實施的項目在本項目設計中，我們建議企業(yè)網絡系統(tǒng)通過防火墻系統(tǒng)、VPN應用系統(tǒng)、認證系統(tǒng)和網絡漏洞掃描及攻擊檢測系統(tǒng)實現(xiàn)表11中的安全手段實施。2應用需求分析企業(yè)網絡結構包括企業(yè)內部網絡Intranet和企業(yè)外部網絡Extranet，外部網絡連接到Internet，滿足互聯(lián)網訪問、WWW發(fā)布、外部移動用戶應用等需求。本章將根據企業(yè)網絡系統(tǒng)的結構及應用，詳細分析企業(yè)網絡系統(tǒng)的安全需求。網絡基礎層（在此網絡基礎層是指網絡通信鏈路、路由/交換設備、網絡節(jié)點接口設備/網卡——包括了OSI物理層到傳輸層設備的集合）作為現(xiàn)代計算機信息系統(tǒng)不可缺或的基礎設施部分，其安全性是每一個用戶最為關心的問題。從企業(yè)的應用網絡結構分析，企業(yè)網絡層的安全涉及到Internet連接安全、廣域網連接安全、應用系統(tǒng)內部資源網絡連接安全保護幾方面的安全問題。（1）Internet連接安全保護企業(yè)在網絡應用中有三種情況需要進行Internet連接，即向外大眾用戶提供業(yè)務和宣傳信息服務、公司內部用戶和外界的電子郵件往來、通過互聯(lián)網在異地進行業(yè)務辦公的移動用戶服務等。由此企業(yè)企業(yè)網必須向外“開門”，象所有連接互聯(lián)網的企業(yè)網一樣，企業(yè)網不可避免地存在，遭受到來自外部的惡意攻擊和破壞、各種各樣病毒傳播的可能性。因此，在Internet出入口連接點，必須采取措施進行保護 —— 布置防火墻系統(tǒng)，對集團總部的Internet出入口實施有效的控制，包括進出的數據檢查和資源訪問的控制。另外，僅僅設置1臺防火墻，容易出現(xiàn)單點故障，為了保證網絡對外的7X24小時不間斷服務，還必須考慮網絡安全設備的冗余配置。（2）廣域網連接的安全保護企業(yè)部分異地的下屬企業(yè)和部門將通過廣域網的方式與總部進行連接。因此企業(yè)的網絡系統(tǒng)從其結構而言是一個在物理上廣域連接的企業(yè)網絡系統(tǒng)，企業(yè)廣域連接的網絡系統(tǒng)必須考慮兩方面的安全措施：l 網絡通信加密（VPN應用）廣域網絡通信連接將通過第三方鏈路進行。盡管租用電信或其他傳輸服務提供商的專用鏈路傳輸數據的安全性會高于通過Internet傳輸，但是由于第三方提供的專用鏈路所使用的設備是公共的，其安全性具有相對性，不僅在鏈路上傳輸的數據存在被竊取的可能，同時也存在由于鏈路供應商安全管理和保護措施不完善的原因，導致被別有用心者有可能通過盜接而非法訪問網絡資源的風險，在國內就曾有類似的案件發(fā)生 —— 非法分子通過在公共設備上偷偷接入自己的電腦，竊取了別人的股票交易帳戶資料，盜用他人的帳戶進行證券交易而非法獲利。如果僅僅是竊取資料對于網絡系統(tǒng)本身也許不會產生太嚴重的破壞，但是假設盜接者是一個惡意攻擊者，即使僅僅是一個普通的網絡高手，把在網絡通信鏈路上截取的數據進行篡改或者置換，再通過網絡鏈路將屬性被異動的數據對系統(tǒng)進行回放，其對網絡系統(tǒng)可能造成的破壞程度是用戶無法預計的[4]?，F(xiàn)有的設備和技術手段要實現(xiàn)以上的非法目的不難，如果僅僅是通過盜接來竊取資料，只需要物理上存在接入的可能（實際上目前國內所有的鏈路服務供應商都存在比較大的漏洞），就非常容易實現(xiàn)；即使是通過鏈路盜接進行惡意攻擊的“高難度”動作，“網絡高手”只需花很低的代價購買用于網絡測試的專業(yè)設備和軟件，就可在通信鏈路上通過數據回放對網絡系統(tǒng)實施攻擊。因此，為了消除這類風險的存在，企業(yè)網絡安全系統(tǒng)必須能夠對在廣域網上傳輸的所有數據進行加密（數據發(fā)出方）和解密（數據接收方）處理，即VPN應用。VPN采用3DES的加密算法，一方面可以使在廣域網鏈路上傳輸的數據變成外來者不可“讀”，防止流失數據的信息泄露；另一方面通過VPN加密和解密的規(guī)則，可以對具有不良屬性的被異動數據進行過濾或使之屬性失效，避免這些惡意數據對網絡系統(tǒng)造成破壞。l 防火墻保護應用從網絡系統(tǒng)的應用來說，企業(yè)廣域連接的網絡系統(tǒng)實際上就是規(guī)模龐大的企業(yè)內部網。在這種復雜的網絡環(huán)境中實現(xiàn)對各類網絡資源的有效保護和管理，僅僅利用現(xiàn)有的網絡來完成，顯然是做不到的。因此在企業(yè)廣域連接的網絡系統(tǒng)內有必要引入防火墻的應用，原因如下兩方面。其一，類似企業(yè)這種在物理上分布廣泛的網絡系統(tǒng)，每一個在地理上屬異地的分支機構或部門，甚至同屬于一個地方（如總部）的不同機構和部門，其網絡應用和管理都有相對的獨立性，因此在網絡安全管理實施和執(zhí)行上就很容易產生差異，從而