【正文】 層次的攻擊事件。 它可以確定哪些內(nèi)部服務(wù)允許外部訪問，哪些外部服務(wù)可由內(nèi)部人員訪問，即它能控制網(wǎng)絡(luò)內(nèi)外的信息交流，提供接入控制和審查跟蹤，是一種訪問控制機制。另一條策略與此正好相反，它堅持“凡是未被禁止的就是允許的”，防火墻先是轉(zhuǎn)發(fā)所有的信息，開始時防火墻 幾乎是不起作用，如同虛設(shè)，然后再逐項對有害的內(nèi)容剔除，被禁止的內(nèi)容越多，防火墻的作用就越大。 在制定防火墻安全規(guī)則時，應符合“可適應性的安全管理”模型的原則，網(wǎng)絡(luò)是動態(tài)發(fā)展的，制定的安全目標也牢是動態(tài)的。應符合“可適應性的安全管理”模型。它是在網(wǎng)絡(luò)層對數(shù)據(jù)包實施有選擇的放行。于全世界的網(wǎng)絡(luò)上面有 80%的防火墻是這種類型的。一般來說，代理服務(wù)器都提供注冊（ log）和審計（ audit）功能。當然，基于代理服務(wù)器上的防火墻必須增加網(wǎng)絡(luò)建設(shè)的成本，代理服務(wù)器需要硬件和 軟件方面的投入。內(nèi)部網(wǎng)絡(luò)的用戶都擁有一部“分機”，當內(nèi)部 用戶要對外部網(wǎng)進行訪問時是使用同一個“總機”，外部網(wǎng)的用戶要與內(nèi)部網(wǎng)的某個用戶進行通信時必須經(jīng)過“總機”來轉(zhuǎn)接，這樣使得內(nèi)部網(wǎng)絡(luò)對外是不透明的，無疑對內(nèi)部網(wǎng)絡(luò)的安全性是有好處的。由于防火墻對網(wǎng)絡(luò)安全進行單點控制，所以可能受到黑客們的攻擊。 硬件選型方案 數(shù)據(jù)庫服務(wù)器 考慮到將來的發(fā)展，數(shù)據(jù)庫服務(wù)器的選型必須能夠適應網(wǎng)絡(luò)的擴充。為此，兩臺服務(wù)器上將運行熱備份切換軟件， 每臺機器分別連接磁盤陣列。根據(jù)哈爾濱通信局的網(wǎng)絡(luò)要求，考慮到目前和今后數(shù)據(jù)通信的發(fā)展，整個網(wǎng)絡(luò)互連方案主要包括局域網(wǎng)設(shè)備選型、廣域網(wǎng)設(shè)備選型、底層設(shè)備連接選型三個方面。網(wǎng)管中心局域網(wǎng)將采用 100M Switch 構(gòu)成一個 100M 高速以太網(wǎng)。 將從下面為廣域網(wǎng)絡(luò)設(shè) 備的配置方案： 產(chǎn)品名稱 產(chǎn)品描述 數(shù)量 中心路由器 Cisco 7513 3 個 10/100M LAN 口， 8 個 E1 接口， 支持 TCP/IP， 軟件平臺方案 完整的企業(yè)內(nèi)部網(wǎng)（ Intra）與企業(yè)外部網(wǎng)（ Extra）相結(jié)合的應用解決方案，在其上運用基于 Web 的數(shù)據(jù)倉儲技術(shù)等技術(shù)。 本系統(tǒng)中將采用 的版本，同時由于要采用雙機備份，具體配置見下表： 軟件名稱 配置說明 數(shù)量 數(shù)據(jù)庫系統(tǒng)平臺 1 復制數(shù)據(jù)庫 1 Web 軟件平臺選型 目前的 Web 軟件平臺有許多種。 軟件名稱 配置說明 數(shù)量 應用 Web 軟件平臺 MircoSoft 2 通用 Web 服務(wù)平臺 Netscape Suitspot Server 1 計算機網(wǎng)管選型 根據(jù)網(wǎng)絡(luò)的管理要求，當有 10 臺以上的計算機設(shè)備連接起來時，就應當進行網(wǎng)絡(luò)管理建設(shè)。另外， HP OpenView 還提供了開發(fā)功能，用戶可以根據(jù)自身的需要，來定義對網(wǎng)絡(luò)的各項管理功能。 FireWall/Plus 是集楨、包、應用過濾為一體的網(wǎng)絡(luò)安全防火墻。 整體配置方案列表 網(wǎng)絡(luò)硬件配置 類型 產(chǎn)品名稱 型號規(guī)格 數(shù)量 數(shù)據(jù)庫 服務(wù)器 服務(wù)器 4 個 335MHz CPU, Disk, 512M內(nèi)存， 2 磁盤陣列 90GB,雙環(huán)光纖接口 1 熱切換軟件 2 應用 Web 服務(wù)器 IBM Netfinity 7000 TMO 或 HP LxPro SMP 4 個 PII 200 CPU， 512M 內(nèi)存，9G 硬盤 通用 Web IBM Netfinity 兩個 PII 333 CPU， 256M 內(nèi)存， 服務(wù)器 3500 或 HP LHII 硬盤 中央監(jiān)控機 IBM 300GL 53C or HP PII 300， 64M 內(nèi)存， 19 英寸顯示器， 硬盤 防火墻服務(wù)器 個人客戶機 IBM 300GL 53C or HP PII 300， 64M 內(nèi)存， 15 英寸顯示器， 硬盤 計算機網(wǎng)管工作站 工作站 2 個 300Mhz CPU, 硬盤 , 256M內(nèi)存 網(wǎng)絡(luò)交 換機 Cisco Catalyst 5505 12 個 10/100M LAN 口，支持 IPX，TCP/IP 交換 網(wǎng)絡(luò)交換機 100/10M 24 口 網(wǎng)絡(luò)交換機 100M/10M 8 口 中心路由器 Cisco 7513 3 個 10/100M LAN 口， 8 個 E1 接口，支持 TCP/IP， 網(wǎng)絡(luò)協(xié)議。 FireWall/PlusIntra 級的防火墻將設(shè)置在數(shù)據(jù)庫服務(wù)器的周圍， FireWall/Plus Enterprise級的防火墻將設(shè)置在整個系統(tǒng)之外。網(wǎng)絡(luò)安全管理軟件主要是各種防護火墻軟件。它不僅可以管理包括各種 PC 機、服務(wù)器、路由器、交換機等網(wǎng)絡(luò)中的幾乎所有硬件設(shè)備，還可以管理運行于各個 PC機、服務(wù)器上的應用系統(tǒng)、應用程序包括數(shù)據(jù)庫、應用服務(wù)等軟件的運行，甚至還可以管理系統(tǒng)和用戶進程，如系統(tǒng)管理進程和通信進程的狀態(tài)等。 IIS 能夠很好的支持其他的應用服務(wù)系統(tǒng)，并且性能和可靠性都比較高。 數(shù)據(jù)庫系統(tǒng)選型 目前數(shù)據(jù)庫系統(tǒng)最好的有 Oracle、 SyBase、 Informix 等產(chǎn)品。在此設(shè)立一臺高檔的廣域網(wǎng)路由器作為中心路由器，該路由器應能支持至少 16 條 2M 專線的數(shù)據(jù)通道，背板通訊帶寬要求達到 2GB/s 以上，并提供各類協(xié)議轉(zhuǎn)換功能。 根據(jù)移動網(wǎng)管中心網(wǎng)管系統(tǒng)實際功能要求， 網(wǎng)絡(luò)交換機的備板帶寬應達到 10GB/s，并同時支持 10 個 100M 局域網(wǎng)端口。下面為兩個 Web 服務(wù)器的詳細配置方案： 產(chǎn)品名稱 產(chǎn)品描述 數(shù)量 Web 應用服務(wù)器 IBM Netfinity 7000 TMO 或 HP LxPro SMP 4 個 PII 200 CPU， 512M 內(nèi)存，9G 硬盤 1 通用 Web 服務(wù)器 IBM Netfinity 3500 或 HP LHII 兩個 PII 333 CPU， 256M 內(nèi)存， 硬盤 2 網(wǎng)管工作站選型 網(wǎng)管工作站分為如下三類，一類為中央監(jiān)控工作站，位于網(wǎng) 管機房；另一類為個人業(yè)務(wù)處理機，用于網(wǎng)管用戶操作網(wǎng)管應用軟件，；最后一類為計算機網(wǎng)管工作站，用于實時監(jiān)視和管理服務(wù)器的工作狀況。為此， 本項目方案擬選用兩臺作為數(shù)據(jù)庫服務(wù)器。防火墻不能保證數(shù)據(jù)的秘密性，不能對數(shù)據(jù)進行鑒別，也不能保證網(wǎng)絡(luò)不受病毒的攻擊。 防火墻是有其局限性的：防火墻不能防止不經(jīng)防火墻的攻擊，比如，一個企業(yè)內(nèi)聯(lián)網(wǎng)設(shè)置了防火墻，但是該網(wǎng)絡(luò)的一個用戶基于某種理由另外直接與 1nter 的服務(wù)提供商連接，這種繞過了企業(yè)內(nèi)聯(lián)網(wǎng)的保護，為該網(wǎng)留下了一個供人攻擊的后門，是一個潛在的安全隱患。 屏蔽主機防火墻（ scteenedh0stfitewall）就是采用一個包濾路由器與外部網(wǎng)連接，用一個堡壘主機安裝在內(nèi)部網(wǎng)上，起著代理服務(wù)器的作用，是外部網(wǎng)所能到達的唯一節(jié)點，以此來確保內(nèi)部網(wǎng)不受外部未授權(quán)用戶的攻擊，達到內(nèi)部網(wǎng)安全保密的目的。審計功能主要是指對網(wǎng)絡(luò)系統(tǒng)資源的使圍情況提供一個完備的記錄，以便對網(wǎng)絡(luò)進行完全監(jiān)督和控制，也就是說該項功能提供一種分析能力，可以對某些網(wǎng)上行為進行跟蹤調(diào)查，為其中的一些非法行為提供有力的證據(jù)，然后向防火墻提出哪些是不受歡迎者，秘密地提供一份“黑名單”，并且對列入“黑名單”上的用戶或地址進行封殺。 第二類是代理服務(wù)技術(shù)（ proxyservice）。數(shù)據(jù)包過濾技術(shù)的防火墻安裝在網(wǎng)絡(luò)的路由器上，網(wǎng)絡(luò)之間的各個路由器，根據(jù)它自己備有一份稱之為“黑名單”的訪問表對通過路由器的各種數(shù)據(jù)進行檢查和過濾，凡是符合要求的就放行，不符合的就拒絕。 現(xiàn)有的防火墻技術(shù)主要有兩大類：數(shù)據(jù)包過濾技術(shù)和代理服務(wù)技術(shù)。應把握住網(wǎng)絡(luò)的物理結(jié)構(gòu)不改變）通過充分規(guī)劃、設(shè)計網(wǎng)絡(luò)的邏輯結(jié)構(gòu)，并滿足今后應用發(fā)展的需要，以適應安全規(guī)則”的設(shè)定。 不管是采用哪種策略，都是有其利必也有其弊，似乎很難找到兩全的方法。防火墻先是封鎖所有的信息流，然后對要求通過的信息進行審查，符合條件的就讓通過。 防火墻技術(shù) 防火墻（ fitewai1）是指一個由軟件或和硬件設(shè)備組合而成，處于企業(yè)或網(wǎng)絡(luò)群體計算機與外界通過（之間，是加強因特網(wǎng)與內(nèi)部網(wǎng)之間安全防范的一個或一組系統(tǒng)。目前已發(fā)現(xiàn) BO 等十幾種黑客程序。電子攻擊可分為三個層次：低層次威脅是局部的威脅，包括消遣性黑客、破壞公共財產(chǎn)者；第二個層次是有組織的威脅，包括一些機構(gòu)“黑容”、有組織的犯罪、工業(yè)間諜；最高層次是國家規(guī)模上威脅，包括敵對的外國政府、恐怖主義組織發(fā)起的全面信息戰(zhàn)。在西方有完全合法的黑客組織、黑客學人會，這些黑客經(jīng)常召開黑客技術(shù)交流會。 隨著經(jīng)濟信息化進程的加快，計算機網(wǎng)絡(luò)上黑客的破壞活動也隨之猖撅起來。 安全現(xiàn)狀 在信息經(jīng)濟的發(fā)展過程中，各產(chǎn)業(yè)對網(wǎng)絡(luò)的技術(shù)依賴達到空前的程度。 系統(tǒng)的安全要求 因特網(wǎng)上商機無限，但許多機構(gòu)對采用它仍有疑慮，主要是其安全問題正變得越來越嚴重。 現(xiàn)有網(wǎng)絡(luò)電源管理軟件一般同時設(shè)有可供配置的關(guān)閉參數(shù)，用戶可自行設(shè)定 UPS 自動關(guān)閉前的電池使用時間，防止在關(guān)機前電池電量己全部放完，影響到電池的壽命。 先進的在線式 IJPS（ Online UPS）采用精密的內(nèi)置電路系統(tǒng)，能在電源異常，如出現(xiàn)浪涌及其它供電問題時，發(fā)揮保護作用，能在不同的供電情況下提供全面保障。所選擇的網(wǎng)絡(luò)備份方案應能夠備份系統(tǒng)的關(guān)鍵數(shù)據(jù)，在電子商務(wù)站點出現(xiàn)故障甚至損壞時，能 夠迅速恢復網(wǎng)絡(luò)系統(tǒng)，而且從發(fā)現(xiàn)故障到完全恢復的時間要越短越好。這就要求選擇的備份服務(wù)器運行的速度要快。而網(wǎng)絡(luò)備份則不同，它不僅僅是指網(wǎng)絡(luò)上的各計算機的文件備份，它實際上包含了整個網(wǎng)絡(luò)系統(tǒng)的一套備份體系，它要能夠完成網(wǎng)絡(luò)文件的備份和恢復、網(wǎng)絡(luò)數(shù)據(jù)庫的備份和恢復、網(wǎng)絡(luò)系統(tǒng)的災難恢復、網(wǎng)絡(luò)任務(wù)管理等功能。 大量的市場信息、銷售數(shù)據(jù)、客戶信息以及內(nèi)部的財務(wù)數(shù)據(jù)在整個企業(yè)的運營中起著極為關(guān)鍵的作用。 一個完整的應用系統(tǒng)一般應有至少兩臺服務(wù)器以及它們的備份服務(wù)器來組成。 通過請求基子用戶 ID 和用戶組的口令控制訪問 。 服務(wù)器支持目錄測覽 。 可以配置服務(wù)器禁止通過域名和亞地址來訪問 。其次選擇 WEB 服務(wù)器時應注意如何易于管理。 需要說明的一點是，用戶在選擇 ISP 時，不僅應著重考察以上指標，還應要求對方出示權(quán)威的證明材料。若某 ISP 只有單線連接而無備用線路，則一旦發(fā)生電路故 障，其所有用戶均無法上網(wǎng)。 ? 考慮 ISP 的收費水平 不同的 ISP 收費的形式和數(shù)量都不同，如果網(wǎng)費是你其中一個決定因素的話，那么你要根據(jù)你自己使用 I