【正文】 要為公司的官方網(wǎng)站、產(chǎn)品網(wǎng)站和郵件服務器。 游戲子系統(tǒng)的網(wǎng)絡拓撲 網(wǎng)絡帶寬的選擇 IDC的選擇 網(wǎng)絡設備的選擇 IP子網(wǎng)的規(guī)劃4 安全子系統(tǒng)實施方案 概述我認為計算機信息系統(tǒng)的安全建設是一個全面的、循序漸進的過程，同時又必須考慮我們最緊迫的安全要求，因此整體方案的設計分為三個階段。經(jīng)過一些驗證，２６３和電信通這兩家雙線機房提供商，在此雙線的互通方面有著不錯的品質(zhì)。根據(jù)以前的經(jīng)驗，可以配置能保護１５臺服務器電源的穩(wěn)定性的情況下即可滿足，主要是保護內(nèi)部的業(yè)務系統(tǒng)，程控交換機和網(wǎng)關處理設備，在停電的時候，可以正常關機。在內(nèi)部的管理方面，通過vlan將財務及測試服務器組與不需要訪問其的IP隔離，從物理上保證其安全性。辦公網(wǎng)交換機的選型：選用cisco3550三層交換作為公司內(nèi)網(wǎng)的核心交換，可以在上面通過劃分vlan的方式來來實現(xiàn)我們未來的路由冗余的功能，并且通過SNMP可以監(jiān)控到整個交換機性能和網(wǎng)絡的情況，對于未來判斷和解決問題方面，可以起到更迅速的作用。（關于VPN的實現(xiàn)我還需要查證一些資料）經(jīng)過查證，netscreen 的防火墻利用hub and spoke的模式即可實現(xiàn)VPN冗余的功能。上圖中并未畫出下載服務器的布署，后面我會在相關的章節(jié)中寫明此資源的需求及需要考慮的情況。 路由冗余路由冗余系統(tǒng)主要是針對目前辦公網(wǎng)和各地的IDC連接來設計的，中國的互聯(lián)網(wǎng)用戶主要的運營商為電信和網(wǎng)通，他們之間的互聯(lián)互通是存在一些問題（丟包多，延遲高，個別網(wǎng)絡不可達等），因此，我們在設計辦公網(wǎng)到各地的訪問時，需要考慮路由冗余的問題，路由冗余主要是利用多條鏈路來保證網(wǎng)絡在一條鏈路出現(xiàn)物理故障的時候，另一條鏈路可以自動切換，保證網(wǎng)絡的實時穩(wěn)定性?！　?IP地址規(guī)劃IP地址的規(guī)劃，是一個合理的架構網(wǎng)設計的基礎，合理的設置IP地址，對于未來長遠規(guī)劃是否能有效實施有著關鍵作用，并且對于以上的路由VPN的冗余是否能有效實施，起著決定性的作用。選用cisco2900系列的二層交換機作為直接接入桌面的交換機，此交換機也是思科入門級的交換機，由于我們核心層交換采用的是思科的，所以在接入層方面，也采用思科的交換機，這樣在辦公網(wǎng)vlan的規(guī)劃方面，可以按每個員工的交換機接口來標識其所擁有的權限，從鏈路層上面就可以做到安全的訪問。關于安全方面，將會在后面的安全子系統(tǒng)中逐個描述，但對于以上設備的需求，是保障安全的基礎設施。 雙路電源的選擇　　辦公網(wǎng)的機房中配備雙路的電源可保證，供電系統(tǒng)在一路出現(xiàn)問題，自動切換到另一路供電系統(tǒng)上，這樣對于公司的整個電力系統(tǒng)的支撐，以及整個網(wǎng)絡的穩(wěn)定性起著一定的作用。所以，未來在運營子系統(tǒng)的選擇上，我們應該主要該考慮這兩家服務商的機房。階段1為網(wǎng)絡層安全解決方案，在網(wǎng)絡層安全解決方案的設計過程中，我充分考慮了我公司目前在網(wǎng)絡安全方面的投資，最大限度地利用現(xiàn)有的網(wǎng)絡結構和安全產(chǎn)品構造網(wǎng)絡安全防護體系，在保證技術先進，實現(xiàn)安全目標，滿足安全需求的前提下，保護已有的投資。安全方面的策略主要為一些對常用端口的訪問控制。l 各內(nèi)部網(wǎng)段之間的連接情況比較復雜，難以界定各網(wǎng)段的職能。另外，可以加上動態(tài)口令卡來配合使用。 滲透性測試是一種專業(yè)的安全服務，類似于軍隊里的“實戰(zhàn)演習”或者“沙盤推演”的概念，通過實戰(zhàn)和推演，讓用戶清晰的了解目前網(wǎng)絡的脆弱性、可能造成的損失，以便采取必要的防范措施。它擴展了系統(tǒng)管理員的安全管理能力（包括安全審計、監(jiān)視、攻擊識別和響應），增強了信息安全基礎結構的完整性。我公司未來會員系統(tǒng)這一塊，有大量的WEB服務向外提供，后臺還有數(shù)據(jù)庫中心，所有的會員的資料和計費全部在這中間，所以我認為很有必要在這里布署入浸檢測系統(tǒng)來保障會員系統(tǒng)的安全，定期在安全上來審核是否有被攻擊現(xiàn)象，這樣可以做到被攻擊的時候有效可寫規(guī)則來控制數(shù)據(jù)包源地址來達到阻斷攻擊。備份方案：按開發(fā)部門要求：每周周二對以上目錄進行全面?zhèn)浞?，每月第一個周二全部進行刻盤。 主要監(jiān)控的對象主要監(jiān)控的對象為以下幾點：1. 所有內(nèi)外部網(wǎng)絡IP2. 所有應用服務及端口（web\game port\switch port\route\gateway）3. 所有硬件使用情況（CPU、磁盤、內(nèi)存利用等）4. 所有網(wǎng)絡帶寬利用率5. 游戲世界的地圖及環(huán)境情況 整體監(jiān)控的軟件和布署監(jiān)控軟件方面，我們未來準備在性能和通信情況方面，我們采用nagios來監(jiān)控，它主要讓我們使用的功能為：1. 對cpu、磁盤、內(nèi)存利用的監(jiān)控及設定報警閥值及預警2. 對應用服務通信情況的監(jiān)控及預警（如:Web應用，21端口是否打開）其它方面，它還有著很強大的功能，比如可自定義腳本等。定義標準文檔指的是，在技術文檔及其它相關經(jīng)驗的基礎之上，經(jīng)過一定實踐和案例的，可直接按文檔能操作的文檔，將確定為標準文檔。 文檔編寫的規(guī)范與執(zhí)行 文檔編寫標準目前已經(jīng)形成的如下： 總共為兩頁內(nèi)容，具體情況可見附錄1（文檔標準），在附錄1中，[文檔編號] ST_PT_01（ST表示系統(tǒng)，PT表示平臺，01表示編號），在其中ST是基本不變的，需要變的是后面的部門名及編號，比如PT表示平臺，Monitor表示監(jiān)控，等等，這些所有的需求都需要相關的定義來提前定義，這樣在文檔的整體管理方面，就比較規(guī)范，前期定義的時候會花一些時間，但從長遠的管理來說，這是有必要的廉價的方案?！　∩厦嬷v到了規(guī)范，其實規(guī)范上的事情有很多，不僅僅是文檔的編寫這一項，確定這些規(guī)范的最終成果，我認為更重要的是執(zhí)行。這些文檔的要求都是可按照文檔上一般的IT操作人員易懂且可行的完成。在游戲世界監(jiān)控方面主要為使用游戲監(jiān)控工具監(jiān)控所有地圖及游戲世界環(huán)境的情況，此為監(jiān)控人員7*24小時的監(jiān)控。此硬盤由系統(tǒng)部保管，容量先定為300G。我們也可以通過開源的系統(tǒng)來實現(xiàn)，目前實現(xiàn)的較好的是snort，具體此軟件的功能就不在這里多說了。入侵檢測被認為是防火墻之后的第二道安全閘門，在基本不影響網(wǎng)絡性能的情況下能對網(wǎng)絡進行監(jiān)測，從而