【正文】 廣西生態(tài)工程職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計（論文）題 目：企業(yè)級軟件防火墻系統(tǒng)解決方案系 別：信息工程系專 業(yè)：系統(tǒng)維護年 級：2006級班 級：系統(tǒng)061學(xué) 號：11406115姓 名：葉長青指導(dǎo)教師：劉東、藍(lán)丹目 錄目錄 2第一章：企業(yè)現(xiàn)狀分析 1第二章：企業(yè)需求 5第三章：方案設(shè)計 8 8 8 9 10 11 11 11 16 16 20 21 22 23 26 27 35第四章：方案預(yù)算 38第五章：實施方案 39 39 40 41第六章：驗收方案 42 4標(biāo)準(zhǔn) 42 43 43第七章：售后服務(wù) 47 47 49 50 51 51 52參考文獻 54廣西生態(tài)工程職業(yè)技術(shù)學(xué)院 《構(gòu)建企業(yè)級防火墻解決方案》第一章：企業(yè)現(xiàn)狀分析Internet的發(fā)展給政府機構(gòu)、企事業(yè)單位帶來了革命性的改革和開放。他們正努力通過利用Internet來提高辦事效率和市場反應(yīng)速度，以便更具競爭力。通過Internet，企業(yè)可以從異地取回重要數(shù)據(jù)，同時又要面對Internet開放帶來的數(shù)據(jù)安全的新挑戰(zhàn)和新危險：即客戶、銷售商、移動用戶、異地員工和內(nèi)部員工的安全訪問；以及保護企業(yè)的機密信息不受黑客和商業(yè)間諜的入侵。因此企業(yè)必須加筑安全的戰(zhàn)壕，而這個戰(zhàn)壕就是防火墻。防火墻技術(shù)是建立在現(xiàn)代通信網(wǎng)絡(luò)技術(shù)和信息安全技術(shù)基礎(chǔ)上的應(yīng)用性安全技術(shù)，越來越多地應(yīng)用于專用網(wǎng)絡(luò)與公用網(wǎng)絡(luò)的互聯(lián)環(huán)境之中，尤其以接入Internet網(wǎng)絡(luò)為最甚。防火墻是指設(shè)置在不同網(wǎng)絡(luò)（如可信任的企業(yè)內(nèi)部網(wǎng)和不可信的公共網(wǎng)）或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，能根據(jù)企業(yè)的安全政策控制（允許、拒絕、監(jiān)測）出入網(wǎng)絡(luò)的信息流，且本身具有較強的抗攻擊能力。它是提供信息安全服務(wù)，實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。防火墻的功能： ： 一個防火墻（作為阻塞點、控制點）能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風(fēng)險。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。如防火墻可以禁止諸如眾所周知的不安全的NFS協(xié)議進出受保護網(wǎng)絡(luò)，這樣外部的攻擊者就不可能利用這些脆弱的協(xié)議來攻擊內(nèi)部網(wǎng)絡(luò)。防火墻同時可以保護網(wǎng)絡(luò)免受基于路由的攻擊，如IP選項中的源路由攻擊和ICMP重定向中的重定向路徑。防火墻可以拒絕所有以上類型攻擊的報文并通知防火墻管理員。： 通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認(rèn)證、審計等）配置在防火墻上。與將網(wǎng)絡(luò)安全問題分散到各個主機上相比，防火墻的集中安全管理更經(jīng)濟。例如在網(wǎng)絡(luò)訪問時，一次一密口令系統(tǒng)和其它的身份認(rèn)證系統(tǒng)完全可以不必分散在各個主機上，而集中在防火墻一身上。： 如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并作出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。當(dāng)發(fā)生可疑動作時，防火墻能進行適當(dāng)?shù)膱缶?，并提供網(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細(xì)信息。另外，收集一個網(wǎng)絡(luò)的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火墻是否能夠抵擋攻擊者的探測和攻擊，并且清楚防火墻的控制是否充足。而網(wǎng)絡(luò)使用統(tǒng)計對網(wǎng)絡(luò)需求分析和威脅分析等而言也是非常重要的。： 通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離，從而限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。再者，隱私是內(nèi)部網(wǎng)絡(luò)非常關(guān)心的問題，一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細(xì)節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此而暴漏了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以隱蔽那些透漏內(nèi)部細(xì)節(jié)如Finger，DNS等服務(wù)。Finger顯示了主機的所有用戶的注冊名、真名，最后登錄時間和使用shell類型等。但是Finger顯示的信息非常容易被攻擊者所獲悉。攻擊者可以知道一個系統(tǒng)使用的頻繁程度，這個系統(tǒng)是否有用戶正在連線上網(wǎng)，這個系統(tǒng)是否在被攻擊時引起注意等等。防火墻可以同樣阻塞有關(guān)內(nèi)部網(wǎng)絡(luò)中的DNS信息，這樣一臺主機的域名和IP地址就不會被外界所了解。除了安全作用，防火墻還支持具有Internet服務(wù)特性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系VPN。通過VPN，將企事業(yè)單位在地域上分布在全世界各地的LAN或?qū)Ｓ米泳W(wǎng)，有機地聯(lián)成一個整體。不僅省去了專用通信線路，而且為信息共享提供了技術(shù)保障。我們通常所說的網(wǎng)絡(luò)防火墻是借鑒了古代真正用于防火的防火墻的喻義，它指的是隔離在本地網(wǎng)絡(luò)與外界網(wǎng)絡(luò)之間的一道防御系統(tǒng)。防火可以使企業(yè)內(nèi)部局域網(wǎng)（LAN）網(wǎng)絡(luò)與Internet之間或者與其他外部網(wǎng)絡(luò)互相隔離、限制網(wǎng)絡(luò)互訪用來保護內(nèi)部網(wǎng)絡(luò)。典型的防火墻具有以下三個方面的基本特性：（一）內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的所有網(wǎng)絡(luò)數(shù)據(jù)流都必須經(jīng)過防火墻這是防火墻所處網(wǎng)絡(luò)位置特性，同時也是一個前提。因為只有當(dāng)防火墻是內(nèi)、外部網(wǎng)絡(luò)之間通信的唯一通道，才可以全面、有效地保護企業(yè)網(wǎng)部網(wǎng)絡(luò)不受侵害。根據(jù)美國國家安全局制定的《信息保障技術(shù)框架》，防火墻適用于用戶網(wǎng)絡(luò)系統(tǒng)的邊界，屬于用戶網(wǎng)絡(luò)邊界的安全保護設(shè)備。所謂網(wǎng)絡(luò)邊界即是采用不同安全策略的兩個網(wǎng)絡(luò)連接處，比如用戶網(wǎng)絡(luò)和互聯(lián)網(wǎng)之間連接、和其它業(yè)務(wù)往來單位的網(wǎng)絡(luò)連接、用戶內(nèi)部網(wǎng)絡(luò)不同部門之間的連接等。防火墻的目的就是在網(wǎng)絡(luò)連接之間建立一個安全控制點，通過允許、拒絕或重新定向經(jīng)過防火墻的數(shù)據(jù)流，實現(xiàn)對進、出內(nèi)部網(wǎng)絡(luò)的服務(wù)和訪問的審計和控制。（二）只有符合安全策略的數(shù)據(jù)流才能通過防火墻防火墻最基本的功能是確保網(wǎng)絡(luò)流量的合法性，并在此前提下將網(wǎng)絡(luò)的流量快速的從一條鏈路轉(zhuǎn)發(fā)到另外的鏈路上去。防火墻將網(wǎng)絡(luò)上的流量通過相應(yīng)的網(wǎng)絡(luò)接口接收上來，按照OSI協(xié)議棧的七層結(jié)構(gòu)順序上傳，在適當(dāng)?shù)膮f(xié)議層進行訪問規(guī)則和安全審查，然后將符合通過條件的報文從相應(yīng)的網(wǎng)絡(luò)接口送出，而對于那些不符合通過條件的報文則予以阻斷。因此，從這個角度上來說，防火墻是一個類似于橋接或路由器的、多端口的（網(wǎng)絡(luò)接口=2）轉(zhuǎn)發(fā)設(shè)備，它跨接于多個分離的物理網(wǎng)段之間，并在報文轉(zhuǎn)發(fā)過程之中完成對報文的審查工作。（三）防火墻自身應(yīng)具有非常強的抗攻擊免疫力防火墻之所以能擔(dān)當(dāng)企業(yè)內(nèi)部網(wǎng)絡(luò)安全防護重任，是因為防火墻自身具備非常強的抗攻擊免疫力。防火墻處于網(wǎng)絡(luò)邊緣，它就像一個邊界衛(wèi)士一樣，每時每刻都要面對黑客的入侵，這樣就要求防火墻自身要具有非常強的抗擊入侵本領(lǐng)。它之所以具有這么強的本領(lǐng)防火墻操作系統(tǒng)本身是關(guān)鍵，只有自身具有完整信任關(guān)系的操作系統(tǒng)才可以談?wù)撓到y(tǒng)的安全性。其次就是防火墻自身具有非常低的服務(wù)功能，除了專門的防火墻嵌入系統(tǒng)外，再沒有其它應(yīng)用程序在防火墻上運行。 隨著企業(yè)信息化進程的逐步深入，企業(yè)內(nèi)部依然存在不少問題。一是安全技術(shù)保障體系尚不完善，許多企業(yè)、單位花了大量的金錢購買了信息安全設(shè)備，但是技術(shù)保障不成體系，達不到預(yù)想的目標(biāo):二是應(yīng)急反應(yīng)體系沒有經(jīng)?；⒅贫然?三是企業(yè)、單位信息安全的標(biāo)準(zhǔn)、制度建設(shè)滯后。 而貴公司目前存在的問題有： 貴公司原有系統(tǒng)網(wǎng)絡(luò)共享資源為了方便不同用戶、不同部門、不同單位等之間的進行信息交換，共享資源方便之門大開，使得惡意代碼利用信息共享、網(wǎng)絡(luò)環(huán)境擴散等漏洞，侵入企業(yè)內(nèi)部網(wǎng)絡(luò)，造成企業(yè)內(nèi)部網(wǎng)絡(luò)運行越來越慢，網(wǎng)絡(luò)經(jīng)常中斷，并且影響越來越大。惡意信息交換沒有得到限制，直接導(dǎo)致網(wǎng)絡(luò)的QoS下降，甚至有時致使系統(tǒng)癱瘓不可用。 貴公司原有網(wǎng)絡(luò)安全建設(shè)缺乏規(guī)范操作，常常采取“亡羊補牢”之策，導(dǎo)致信息安全共享難度遞增，留下安全隱患。 貴公司信息系統(tǒng)部署了眾多的IT產(chǎn)品，包括操作系統(tǒng)、數(shù)據(jù)庫平臺、應(yīng)用系統(tǒng)。而由于不同類型的信息產(chǎn)品之間缺乏協(xié)同,特別是不同廠商的產(chǎn)品,不僅產(chǎn)品之間安全管理數(shù)據(jù)缺乏共享,而且各種安全機制缺乏協(xié)同,各產(chǎn)品缺乏統(tǒng)一的服務(wù)接口,從而造成信息安全工程建設(shè)困難,系統(tǒng)中安全功能重復(fù)開發(fā),安全產(chǎn)品難以管理,給信息系統(tǒng)管理留下安全隱患。 貴公司網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜，由多協(xié)議、多系統(tǒng)、多應(yīng)用、多用戶組成的網(wǎng)絡(luò)環(huán)境，復(fù)雜性高，存在難以避免的安全漏洞。而企業(yè)內(nèi)部操作系統(tǒng)均存在安全漏洞。且由于管理、軟件工程難度等問題，新的漏洞不斷地引入到網(wǎng)絡(luò)環(huán)境中，所有這些漏洞都將會是攻擊切入點，攻擊者則利用這些漏洞入侵系統(tǒng)，竊取信息。 而企業(yè)IT人員為了解決來自漏洞的攻擊，都是通過打補丁的方式來增強系統(tǒng)安全。但是，由于系統(tǒng)運行不可間斷性及漏洞修補風(fēng)險不可確定性，而由于企業(yè)的信息系統(tǒng)錯種復(fù)雜，使得漏洞修補變得極為困難。即使發(fā)現(xiàn)網(wǎng)絡(luò)系統(tǒng)存在安全漏洞，系統(tǒng)管理員也不敢輕易地安裝補丁。這就給黑客攻擊者留下了切入點，使得企業(yè)數(shù)據(jù)時刻面臨著被竊取、惡意修改、刪除的危險。 在企業(yè)信息化建設(shè)過程中，貴公司由于業(yè)務(wù)急需要開通，做法常是“業(yè)務(wù)優(yōu)先，安全靠邊”，這就使得安全建設(shè)缺乏規(guī)劃和整體設(shè)計，留下安全隱患。安全建設(shè)只能是“亡羊補牢”,出了安全事件后才去做。而由于市場環(huán)境的動態(tài)變化，使得業(yè)務(wù)需要不斷地更新，業(yè)務(wù)變化超過了企業(yè)網(wǎng)絡(luò)現(xiàn)有安全保障能力。 復(fù)雜的網(wǎng)絡(luò)世界，充斥著各種不良信息內(nèi)容，常見的就是垃圾郵件。在貴公司單位中，網(wǎng)絡(luò)的帶寬資源被員工用來在線聊天，瀏覽新聞娛樂、股票行情、色情網(wǎng)站，這些網(wǎng)絡(luò)活動嚴(yán)重消耗了帶寬資源，導(dǎo)致正常業(yè)務(wù)得不到應(yīng)有的資源保障。 根據(jù)安全原則，一個系統(tǒng)應(yīng)該設(shè)置多個人員來共同負(fù)責(zé)管理，貴公司由于受成本、技術(shù)等限制，一個管理員既要負(fù)責(zé)系統(tǒng)的配置，又要負(fù)責(zé)安全管理，安全設(shè)置和安全審計都是“一肩挑”。這種情況使得安全權(quán)限過于集中，第二章：企業(yè)需求隨著網(wǎng)絡(luò)經(jīng)濟和網(wǎng)絡(luò)社會時代的到來，信息系統(tǒng)安全已經(jīng)成為企業(yè)最為關(guān)注并亟待解決的問題，作用和影響力已擴散到企業(yè)與組織的每一個領(lǐng)域。由于企業(yè)網(wǎng)絡(luò)有內(nèi)部網(wǎng)絡(luò)、外部網(wǎng)絡(luò)和企業(yè)廣域網(wǎng)組成，網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜，因此企業(yè)中的數(shù)據(jù)丟失、內(nèi)部網(wǎng)絡(luò)缺陷、計算機病毒的侵襲和黑客非法闖入等等為當(dāng)前企業(yè)的現(xiàn)狀弊端。數(shù)據(jù)丟失在企業(yè)中，數(shù)據(jù)中心扮演著越來越重要的角色，數(shù)據(jù)是企業(yè)的生存之本，數(shù)據(jù)丟失是企業(yè)無法承受之痛，輕則造成企業(yè)的經(jīng)濟損失，重則讓企業(yè)陷入倒閉危機。企業(yè)終于認(rèn)識到，一旦發(fā)生重大安全事故，數(shù)據(jù)才是企業(yè)能否盡快恢復(fù)運轉(zhuǎn)的關(guān)鍵和核心。因此貴企業(yè)需要解決本地數(shù)據(jù)訪問的安全、遠(yuǎn)程數(shù)據(jù)訪問的安全、數(shù)據(jù)庫變慢、數(shù)據(jù)庫高度消耗、口令中包含@導(dǎo)致無法連接數(shù)據(jù)庫、數(shù)據(jù)庫失真等問題。內(nèi)部網(wǎng)絡(luò)缺陷由于企業(yè)當(dāng)初建立網(wǎng)絡(luò)不夠規(guī)規(guī)范，各個區(qū)域沒有進行一定的設(shè)置權(quán)限，這樣的網(wǎng)絡(luò)比較亂，也比較復(fù)雜，從而難以進行有效管理企業(yè)的網(wǎng)絡(luò)，加上網(wǎng)絡(luò)管理員技術(shù)不高，系統(tǒng)漏洞比較多，沒能及時打補丁。企業(yè)存在這樣的網(wǎng)絡(luò)缺陷，很容易受到不良的攻擊，就沒有安全性可言。因此貴公司需要建立分布式防火墻系統(tǒng)，主要由主防火墻，主機防火墻和中央控制平臺組成，分布式防火墻系統(tǒng)采用集中控制管理的模式進行，可對不同的內(nèi)部用戶賦予不同的訪問權(quán)限，防止來之內(nèi)部的攻擊，從而大大提高了系統(tǒng)的安全性。另外在采用入侵檢測技術(shù)IDS與分布式防火墻系統(tǒng)結(jié)合，能有效的防止發(fā)生拒絕服務(wù)攻擊、提防IP欺騙、漏洞掃描等入侵行為。最重要的是能有效的防范內(nèi)部攻擊，解決的傳統(tǒng)系統(tǒng)的痼疾。并且它還可以自適應(yīng)的修改安全策略，當(dāng)發(fā)生入侵行為時，入侵檢測系統(tǒng)會自動警告并提供反饋信息，中央控制平臺根據(jù)反饋信息及時的改變安全策略，這使得在最初配置防火墻時，可以更多的考慮網(wǎng)絡(luò)的性能。計算機病毒的侵襲隨著病毒技術(shù)的發(fā)展，病毒的入口點越來越多。因此計算機病毒就像蒼蠅一樣無孔不入地侵襲，肆意地在企業(yè)的網(wǎng)絡(luò)中傳播，進而感染更多的文件，從而使系統(tǒng)崩潰，導(dǎo)致整個網(wǎng)絡(luò)癱瘓，所有業(yè)務(wù)無法正常運轉(zhuǎn)，造成無數(shù)的經(jīng)濟損失。貴公司需要利用防火墻進行訪問控制和網(wǎng)絡(luò)隔離，根據(jù)業(yè)務(wù)內(nèi)容、網(wǎng)絡(luò)邏輯劃分現(xiàn)有網(wǎng)絡(luò)，然后根據(jù)網(wǎng)絡(luò)功能和業(yè)務(wù)制定完善的安全策略。確定業(yè)務(wù)數(shù)據(jù)流程、訪問權(quán)限、網(wǎng)絡(luò)應(yīng)用、相關(guān)網(wǎng)絡(luò)服務(wù)和協(xié)議等。還需要根據(jù)重要等級和整體安全策略對網(wǎng)絡(luò)進行區(qū)域劃分和隔離，調(diào)整網(wǎng)絡(luò)結(jié)構(gòu)，重新規(guī)劃業(yè)務(wù)流程或者網(wǎng)絡(luò)構(gòu)成。此外，將數(shù)據(jù)區(qū)分為不同安全等級，采取相應(yīng)的安全措施，如訪問權(quán)限控制、加密存儲、加密傳輸、備份與恢復(fù)等。還應(yīng)當(dāng)注意：始終保持操作系統(tǒng)、WEB瀏覽器、電子郵件和應(yīng)用程序的最新版本；定期審查主要軟件供應(yīng)商產(chǎn)品安全方面的情況，并且預(yù)訂實用的電子通訊，以便了解新的安全缺陷以及解決方法黑客攻擊隨著越來越多黑客案件的報道，企業(yè)不得不意識到黑客的存在。黑客的非法闖入是指黑可利用企業(yè)網(wǎng)絡(luò)的安全漏洞，不經(jīng)允許非法訪問企業(yè)內(nèi)部網(wǎng)絡(luò)或數(shù)據(jù)資源，從事刪除、復(fù)制甚至毀壞數(shù)據(jù)的活動。一般來說，黑客常用入侵動機和形式可以分為兩種。黑客通過尋找未設(shè)防的路徑進入網(wǎng)絡(luò)或個人計算機，一旦進入，他們便能夠竊取數(shù)據(jù)、毀壞文件和應(yīng)用、阻礙合法用戶使用網(wǎng)絡(luò)，所有這些都會對企業(yè)造成危害。黑客非法闖入僵局被企業(yè)殺手的潛力，企業(yè)不得不加以謹(jǐn)慎預(yù)防。從以上的網(wǎng)絡(luò)信息安全的弊端可以看出，網(wǎng)絡(luò)安全威脅給企業(yè)用戶帶來危害最直接的表現(xiàn)就是經(jīng)濟損失。由于安全導(dǎo)致的工作效率降低、機密情報數(shù)據(jù)泄露、系統(tǒng)不正常、修復(fù)系統(tǒng)而導(dǎo)致工作無法進行等間接損失恐怕更讓企業(yè)擔(dān)心，這種損失往往是無法用數(shù)字來衡量的。由此可以看出安裝防火墻的重要性。1. 網(wǎng)絡(luò)地址轉(zhuǎn)換功能(NAT)進行地址轉(zhuǎn)換有兩個好處：其一是隱藏內(nèi)部網(wǎng)絡(luò)真正的IP，這可以使黑客無法直接攻擊內(nèi)部網(wǎng)絡(luò)，還可以讓內(nèi)部使用保留的IP，2. 雙重DNS當(dāng)內(nèi)部網(wǎng)絡(luò)使用沒有注冊的IP地址，或是防火墻進行IP轉(zhuǎn)換時，DNS也必須經(jīng)過轉(zhuǎn)換，因為，同樣的一個主機在內(nèi)部的IP與給予外界的IP將會不同，而防火墻會提供雙重DNS，3. 虛擬專用網(wǎng)絡(luò)(VPN) VPN可以在防火墻與防火墻或移動的客戶端之間對所有網(wǎng)絡(luò)傳輸?shù)膬?nèi)容加密，建立一個虛擬通道，讓兩者感覺是在同一