【正文】 性；另一方面也增加了管理費用。網(wǎng)絡(luò)安全需求是保護網(wǎng)絡(luò)不受破壞，確保網(wǎng)絡(luò)服務(wù)的可用性，作為信息網(wǎng)絡(luò)之間的互聯(lián)的邊界安全應(yīng)作為主要安全需求：? 需要保證信息網(wǎng)絡(luò)之間安全互聯(lián)，能夠?qū)崿F(xiàn)網(wǎng)絡(luò)安全隔離；? 對于專有應(yīng)用的安全服務(wù)；? 必要的信息交互的可信任性；? 能夠提供對于主流網(wǎng)絡(luò)應(yīng)用（如 WWW、Mail、Ftp、Oicq 和 NetMeeting等）良好支持，并能夠?qū)崿F(xiàn)安全應(yīng)用；? 同時信息網(wǎng)絡(luò)公共資源能夠?qū)﹂_放用戶提供安全訪問；? 能夠防范包括：提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全? 利用 Http 應(yīng)用，通過 Java Applet、ActiveX 以及 Java Script 形式；? 利用 Ftp 應(yīng)用，通過文件傳輸形式；? 利用 SMTP 應(yīng)用，通過對郵件分析及利用附件所造成的信息泄漏和有害信息對于信息網(wǎng)絡(luò)的侵害；? 對網(wǎng)絡(luò)安全事件的審計；? 對于網(wǎng)絡(luò)安全狀態(tài)的量化評估；? 對網(wǎng)絡(luò)安全狀態(tài)的實時監(jiān)控；其次，對于信息網(wǎng)絡(luò)內(nèi)部同樣存在安全需求，包括：? 信息網(wǎng)絡(luò)中的各單位網(wǎng)絡(luò)之間建立連接控制手段；? 能夠滿足信息網(wǎng)絡(luò)內(nèi)的授權(quán)用戶對相關(guān)專用網(wǎng)絡(luò)資源訪問；? 同時對于遠程訪問用戶增強安全管理；? 加強對于整個信息網(wǎng)絡(luò)資源和人員的安全管理與培訓。Inter 服務(wù)網(wǎng)絡(luò)的安全需求Inter 服務(wù)網(wǎng)絡(luò)分為兩個部分：提供網(wǎng)絡(luò)用戶對 Inter 的訪問：提供 Inter 對網(wǎng)內(nèi)服務(wù)的訪問。企業(yè)網(wǎng)絡(luò)應(yīng)保障：? 訪問控制，確保業(yè)務(wù)系統(tǒng)不被非法訪問。 企業(yè)網(wǎng)絡(luò)內(nèi)部部署了眾多的網(wǎng)絡(luò)設(shè)備、服務(wù)器，保護這些設(shè)備的正常提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全運行，維護主要業(yè)務(wù)系統(tǒng)的安全，是企業(yè)網(wǎng)絡(luò)的基本安全需求。 (5) 采用的 TCP/IP 協(xié)議族軟件，本身缺乏安全性。 (2) 防火墻的安全性。根據(jù)美國 FBI 的調(diào)查，美國每年因為網(wǎng)絡(luò)安全造成的經(jīng)濟損失超過 萬億美元。（一）安全威脅 由于企業(yè)網(wǎng)絡(luò)內(nèi)運行的主要是多種網(wǎng)絡(luò)協(xié)議，而這些網(wǎng)絡(luò)協(xié)議并非專為安全通訊而設(shè)計。防火墻產(chǎn)品自身是否安全，是否設(shè)置錯誤，需要經(jīng)過檢驗。 (6) 未能對來自 Inter 的電子郵件夾帶的病毒及 Web 瀏覽可能存在的 Java/ActiveX 控件進行有效控制。 對于各科各樣的網(wǎng)絡(luò)攻擊，如何在提供靈活且高效的網(wǎng)絡(luò)通訊及信息服務(wù)的同時，抵御和發(fā)現(xiàn)網(wǎng)絡(luò)攻擊，并且提供跟蹤攻擊的手段，是本項目需要解決的問題。? 數(shù)據(jù)安全，保證數(shù)據(jù)庫軟硬件系統(tǒng)的整體安全性和可靠性。網(wǎng)絡(luò)內(nèi)客戶對 Inter 的訪問，有可能帶來某些類型的網(wǎng)絡(luò)安全。（三） 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)性能和功能的關(guān)系 通常，系統(tǒng)安全與性能和功能是一對矛盾的關(guān)系。但是，來自網(wǎng)絡(luò)的安全威脅是實際存在的，特別是在網(wǎng)絡(luò)上運行關(guān)鍵業(yè)務(wù)時，網(wǎng)絡(luò)安全是首先要解決的問題。檢查安全漏洞：通過對安全漏洞的周期檢查，即使攻擊可到達攻擊目標，也可使絕大多數(shù)攻擊無效。備份和恢復：良好的備份和恢復機制，可在攻擊造成損失時，盡快地恢復數(shù)據(jù)和系統(tǒng)服務(wù)。（四）網(wǎng)絡(luò)安全的管理因素 網(wǎng)絡(luò)安全可以采用多種技術(shù)來增強和執(zhí)行。? 使用人員的安全意識薄弱。? 加強對使用人員的安全知識教育。內(nèi)部安全管理主要采取行政手段和技術(shù)手段相結(jié)合的方法。如虛擬網(wǎng)技術(shù)、防火墻技術(shù)，入侵監(jiān)控技術(shù)、安全漏洞掃描技術(shù)、病毒防護技術(shù)、加密技術(shù)、認證和數(shù)字簽名技術(shù)等。由以上運行機制帶來的網(wǎng)絡(luò)安全的好處是顯而易見的：信息只到達應(yīng)該到達的地點?；诰W(wǎng)絡(luò)廣播原理的入侵監(jiān)控技術(shù)在高速交換網(wǎng)絡(luò)內(nèi)需要特殊的設(shè)置。因此，VLAN的劃分最好基于交換機端口。二. 防火墻枝術(shù) 防火墻是近年發(fā)展起來的重要安全技術(shù)，其主要作用是在網(wǎng)絡(luò)入口點檢查網(wǎng)絡(luò)通訊，根據(jù)客戶設(shè)定的安全規(guī)則，在保護內(nèi)部網(wǎng)絡(luò)安全的前提下，提供內(nèi)外網(wǎng)絡(luò)通訊。如允許從外部訪問某些主機，同時禁止訪問另外的主機。外部用戶也只需要經(jīng)過—次認證即可訪問內(nèi)部網(wǎng)。未設(shè)置 Firewall 時，網(wǎng)絡(luò)安全取決于每臺主機的用戶?？尚械牟呗员仨氃谧柚辜褐木W(wǎng)絡(luò)風險和提供用戶服務(wù)之間獲得平衡。通常采用第二種類型的設(shè)計策略。 √ 實際運行中，經(jīng)常會發(fā)生規(guī)則例外，即要求允許通常情況下禁止的訪問通過。如 SMTP 連接源端口是隨機產(chǎn)生的(1023)，此時如果允許雙向的 SMTP 連接，在不支持源端口過濾的路由器上必須定義一條規(guī)則：允許所有1023 端口的雙向連接。應(yīng)用網(wǎng)關(guān) 為了解決包過濾路由器的弱點，F(xiàn)irewall 要求使用軟件應(yīng)用來過濾和傳送服務(wù)連接（如 Tel 和 Ftp)。 √ 提供對協(xié)議的過濾，如可以禁止 FTP 連接的 Put 命令。 √ 簡化和靈活的過濾規(guī)則，路由器只需簡單地通過到達應(yīng)用網(wǎng)關(guān)的包并拒絕其余的包通過?！?應(yīng)用網(wǎng)關(guān)可能被攻擊。 建設(shè) Firewall 的原則 分析安全和服務(wù)需求 以下問題有助于分析安全和服務(wù)需求： √ 計劃使用哪些 Inter 服務(wù)(如 ，ftp，gopher)，從何處使用Inter 服務(wù)(本地網(wǎng)，撥號，遠程辦公室)。 策略的靈活性 Inter 相關(guān)的網(wǎng)絡(luò)安全策略總的來說，應(yīng)該保持一定的靈活性，主要有以下原因： √ Inter 自身發(fā)展非常快，機構(gòu)可能需要不斷使用 Inter 提供的新服務(wù)開展業(yè)務(wù)。 √ PPP/SLIP 連接必須通過 Firewall 認證。 Information Server 策略 √ 公共信息服務(wù)器的安全必須集成到 Firewall 中。 Firewall 系統(tǒng)的基本特征 √ Firewall 必須支持．“禁止任何服務(wù)除非被明確允許”的設(shè)計策略。 √ Firewall 應(yīng)該使用過濾技術(shù)以允許或拒絕對特定主機的訪問。 √ Firewall 應(yīng)該支持集中的 SMTP 處理，減少內(nèi)部網(wǎng)和遠程系統(tǒng)的直接連接。 √ 如果 Firewall 需要通用的操作系統(tǒng)，必須保證使用的操作系統(tǒng)安裝了所有己知的安全漏洞 Patch。 (2) 抗攻擊能力：對典型攻擊的防御能力 (3) 性能：是否能夠提供足夠的網(wǎng)絡(luò)吞吐能力 (4) 自我完備能力：自身的安全性，F(xiàn)ailclose (5) 可管理能力：是否支持 SNMP 網(wǎng)管 (6) VPN 支持 (7) 認證和加密特性(8) 服務(wù)的類型和原理(9)網(wǎng)絡(luò)地址轉(zhuǎn)換能力三. 病毒防護技術(shù) 病毒歷來是信息系統(tǒng)安全的主要問題之一。 (3) 通過 Web 游覽傳播，主要是惡意的 Java 控件網(wǎng)站。在桌面 PC 安裝病毒監(jiān)控軟件。 病毒數(shù)據(jù)庫應(yīng)不斷更新，并下發(fā)到桌面系統(tǒng)。 (2) 入侵者可能就在防火墻內(nèi)。 入侵檢測系統(tǒng)可分為兩類：提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全√ 基于主機 √ 基于網(wǎng)絡(luò) 基于主機的入侵檢測系統(tǒng)用于保護關(guān)鍵應(yīng)用的服務(wù)器，實時監(jiān)視可疑的連接、系統(tǒng)日志檢查，非法訪問的闖入等，并且提供對典型應(yīng)用的監(jiān)視如 Web 服務(wù)器應(yīng)用。 (4) Storage 保存分析結(jié)果及相關(guān)數(shù)據(jù)。 (4) 針對不同操作系統(tǒng)特點。 (3) 監(jiān)視粒度更細致。 基于主機及網(wǎng)絡(luò)的入侵監(jiān)控系統(tǒng)通常均可配置為分布式模式： (1) 在需要監(jiān)視的服務(wù)器上安裝監(jiān)視模塊(agent)，分別向管理服務(wù)器報告及上傳證據(jù)，提供跨平臺的入侵監(jiān)視解決方案。 (3) 自身安全的完備性。安全掃描技術(shù)與防火墻、安全監(jiān)控系統(tǒng)互相配合能夠提供很高安全性的網(wǎng)絡(luò)。 基于服務(wù)器的掃描器主要掃描服務(wù)器相關(guān)的安全漏洞，如 password 文件，目錄和文件權(quán)限，共享文件系統(tǒng)，敏感服務(wù)，軟件，系統(tǒng)漏洞等，并給出相應(yīng)的解決辦法建議。網(wǎng)絡(luò)安全掃描的主要性能應(yīng)該考慮以下方面： (1) 速度。 (3) 能夠發(fā)現(xiàn)的漏洞數(shù)量。 (5) 報告，掃描器應(yīng)該能夠給出清楚的安全漏洞報告。六. 認證和數(shù)宇簽名技術(shù) 認證技術(shù)主要解決網(wǎng)絡(luò)通訊過程中通訊雙方的身份認可，數(shù)字簽名作為身提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全份認證技術(shù)中的一種具體技術(shù)，同時數(shù)字簽名還可用于通信過程中的不可抵賴要求的實現(xiàn)。 (3) 網(wǎng)管系統(tǒng)對網(wǎng)管設(shè)備之間的認證。 (7) 電子郵件通訊雙方的認證。通常，加密可使用對稱加密、不對稱加密及兩種加密方法的混合。 基于 PKI 的認證 使用公開密鑰體系進行認證和加密。 該種認證方法安全程度很高，但是涉及到比較繁重的證書管理任務(wù)。企業(yè)網(wǎng)絡(luò)接入到 inter，暴露出兩個主要危險：來自 inter 的未經(jīng)授權(quán)的對企業(yè)內(nèi)部網(wǎng)的存取。通訊主體真實性確認網(wǎng)絡(luò)上的計算機不被假冒。偽造數(shù)字簽名從計算能力上是不可行的。提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全 類 型 技 術(shù) 用 途基本會話密鑰 DES 加密通訊加密密鑰 DeffHellman 生成會話密鑰認證密鑰 RSA 驗證加密密鑰表 1 加密模式使用的密鑰技術(shù) 基于此種加密模式，需要管理的密鑰數(shù)目與通訊者的數(shù)量為線性關(guān)系。該標準為每個 IP 包增加了新的包頭格式，Authentication Header(AH)及 encapsualting security payload(ESP)。 Ipsec 提供了兩種加密通訊手段： Ipsec Tunnel：整個 IP 封裝在 Ipsec 報文。 ISAKMP/Oakley 使用 數(shù)字證書，因此，使 VPN 能夠容易地擴大到企業(yè)級。八. 應(yīng)用系統(tǒng)的安全技術(shù) 由于應(yīng)用系統(tǒng)的復雜性，有關(guān)應(yīng)用平臺的安全問題是整個安全體系中最復雜的部分。 但是，域名服務(wù)通常為 hacker 提供了入侵網(wǎng)絡(luò)的有用信息，如服務(wù)器的IP、操作系統(tǒng)信息、推導出可能的網(wǎng)絡(luò)結(jié)構(gòu)等。主要的措施有： (1) 內(nèi)部網(wǎng)和外部網(wǎng)使用不同的域名服務(wù)器，隱藏內(nèi)部網(wǎng)絡(luò)信息。由于其重要性，成為Hacker 攻擊的首選目標之一。 (2) 在 Web 服務(wù)器上安裝實時安全監(jiān)控軟件。如新的 CGI 應(yīng)用。由于電子郵件系統(tǒng)的復雜性，其被發(fā)現(xiàn)的安全漏洞非常多，并且危害很大。 (3) 該郵件服務(wù)器作為專門的應(yīng)用服務(wù)器，不運行任何其它業(yè)務(wù)(切斷與內(nèi)部網(wǎng)的通訊)。(2) 基于系統(tǒng)的安全監(jiān)控系統(tǒng)。首先，作為 XXX 責任有限公司網(wǎng)絡(luò)同 Inter 的互聯(lián)的邊界安全應(yīng)作為網(wǎng)絡(luò)層的主要安全需求：? 需要保證 XXX 責任有限公司網(wǎng)絡(luò)與 Inter 安全互聯(lián)，能夠?qū)崿F(xiàn)網(wǎng)絡(luò)的安全隔離；? 必要的信息交互的可信任性；? 要保證 XXX 責任有限公司網(wǎng)絡(luò)不能夠被 Inter 訪問；? 同時 XXX 責任有限公司網(wǎng)絡(luò)公共資源能夠?qū)﹂_放用戶提供安全訪問能力；? 能夠防范來自 Inter 的包括：? 利用 Http 應(yīng)用，通過 Java Applet、ActiveX 以及 Java Script 形式；? 利用 Ftp 應(yīng)用，通過文件傳輸形式；提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全? 利用 SMTP 應(yīng)用，通過對郵件分析及利用附件所造成的信息泄漏和有害信息對于 XXX 責任有限公司網(wǎng)絡(luò)的侵害；? 對網(wǎng)絡(luò)安全事件的審計；? 對于網(wǎng)絡(luò)安全狀態(tài)的量化評估；? 對網(wǎng)絡(luò)安全狀態(tài)的實時監(jiān)控；? 防范來自 Inter 的網(wǎng)絡(luò)入侵和攻擊行為的發(fā)生，并能夠做到：? 對網(wǎng)絡(luò)入侵和攻擊的實時鑒別；? 對網(wǎng)絡(luò)入侵和攻擊的預(yù)警；? 對網(wǎng)絡(luò)入侵和攻擊的阻斷與記錄；其次，對于 XXX 責任有限公司網(wǎng)絡(luò)內(nèi)部同樣存在網(wǎng)絡(luò)層的安全需求，包括：? XXX 責任有限公司網(wǎng)絡(luò)與下級分支機構(gòu)網(wǎng)絡(luò)之間建立連接控制手段，對集團網(wǎng)絡(luò)網(wǎng)提供高于網(wǎng)絡(luò)邊界更高的安全保護。管理機制決定了應(yīng)用模式，應(yīng)用模式?jīng)Q定了安全需求。? 用戶身份假冒：非法用戶利用合法用戶的用戶名，破譯用戶密碼，然后提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全假冒合法用戶身份，訪問系統(tǒng)資源。? 數(shù)據(jù)重放攻擊：攻擊者抓獲網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)包，再發(fā)送到目的地。當應(yīng)用系統(tǒng)需要在廣域網(wǎng)運行時，隨著安全需求的增加，其開發(fā)量占的比重會更大。? 維護復雜：每個應(yīng)用系統(tǒng)的安全機制各不相同，導致很多重復性工作（如建立用戶帳號等） ；系統(tǒng)管理員必須熟悉每個應(yīng)用系統(tǒng)獨特的安全機制，工作量成倍增加。? 安全應(yīng)用平臺必須能夠為各種應(yīng)用系統(tǒng)提供統(tǒng)一的入口控制，而且只有通過了安全應(yīng)用平臺的身份認證和訪問授權(quán)以后，才可能訪問某個具體的應(yīng)用系統(tǒng)。? 安全應(yīng)用平臺具有可伸縮性，并且安全可靠。? 網(wǎng)絡(luò)安全管理：在網(wǎng)絡(luò)層設(shè)置路由器、防火墻、安全檢測系統(tǒng)后，必須保證路由器和防火墻的 ACL 設(shè)置正確，其配置不允許被隨便修改。第二章 安全解決方案分析一. 網(wǎng)絡(luò)配置結(jié)構(gòu)圖 總體結(jié)構(gòu)示意圖服務(wù)器工作站 工作站……服務(wù)器安 全 網(wǎng) 閘工作站 工作站…防 病 毒 入 侵 檢 測 安 全 審 計I N T E R N E TS w i t c hF i r e w a l l網(wǎng) 管 計 算 機身 份 認 證身 份 認 證提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全二. 公司總部安全配置? 在總部網(wǎng)關(guān)位置配置 CheckPoint Firewall1 防火墻，劃分多安全區(qū)域，將內(nèi)網(wǎng)，對外發(fā)