整體架構(gòu)網(wǎng)系統(tǒng)設(shè)計方案(編輯修改稿)
2025-05-24 07:16 本頁面
【文章內(nèi)容簡介】 的設(shè)計過程中，我充分考慮了我公司目前在網(wǎng)絡(luò)安全方面的投資，最大限度地利用現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)和安全產(chǎn)品構(gòu)造網(wǎng)絡(luò)安全防護(hù)體系，在保證技術(shù)先進(jìn)，實(shí)現(xiàn)安全目標(biāo)，滿足安全需求的前提下，保護(hù)已有的投資。階段2為安全風(fēng)險評估服務(wù)。階段3為應(yīng)用層安全解決方案。目前對這兩個階段的安全需求尚未明確，整體方案中包含這兩個部分的目的只是希望為未來的信息安全建設(shè)提供參考意見。 就目前的情況來看，主要是設(shè)計方案的工作，與以上幾個階段還有一定差距。 安全建設(shè)的流程圖如下：安全需求分析安全策略制定安全系統(tǒng)部署安全風(fēng)險評估安全系統(tǒng)設(shè)計安全系統(tǒng)調(diào)試安全培訓(xùn)安全系統(tǒng)運(yùn)行與維護(hù)前期中期后期關(guān)于安全方面的理論，我在此不多說，也不是本方案的重點(diǎn)?？偨Y(jié)一下，安全是一個系統(tǒng)工程，缺少一個環(huán)節(jié)或者一個點(diǎn)出現(xiàn)問題可能導(dǎo)致整個安全系統(tǒng)的崩潰。 網(wǎng)絡(luò)系統(tǒng)安全與現(xiàn)狀公司目前只有辦公網(wǎng)已建成，主要為開發(fā)方面的使用，IDC方面有幾臺服務(wù)器放在機(jī)房中，主要為公司的官方網(wǎng)站、產(chǎn)品網(wǎng)站和郵件服務(wù)器。安全方面的策略主要為一些對常用端口的訪問控制。目前還沒有形成一整套安全方面的流程，未來我們需要建立一整套安全方面的流程。實(shí)際上證明，大多數(shù)被攻擊的網(wǎng)絡(luò)，大都是由不規(guī)范的操作所引起的，不規(guī)范的操作大都是由于工作人員的執(zhí)行力不夠，未能按照事先規(guī)范的操作來工作。所以，我們需要在后續(xù)的章節(jié)強(qiáng)調(diào)規(guī)程規(guī)范，來保障安全系統(tǒng)的正常運(yùn)營。 網(wǎng)絡(luò)安全的分界對于網(wǎng)絡(luò)安全來說，首先需要明確的是網(wǎng)絡(luò)安全的邊界。只有在網(wǎng)絡(luò)安全的邊界明確下來之后，才能夠針對不同的安全需求，在不同的安全邊界上制定不同的安全策略，部署相應(yīng)的安全防護(hù)系統(tǒng)。在網(wǎng)絡(luò)安全邊界的確定過程中，需要解決以下安全隱患：l 在Internet和內(nèi)部網(wǎng)之間沒有明晰的界限，網(wǎng)絡(luò)的邊緣不清晰，存在著內(nèi)外混雜的情況。l 內(nèi)部網(wǎng)中外部連接的方式過多且復(fù)雜，到Internet的連接主要有專線連接、無線連接、撥號連接、ADSL連接等，而且管理上沒有明確的外部連接規(guī)定。l 各內(nèi)部網(wǎng)段之間的連接情況比較復(fù)雜，難以界定各網(wǎng)段的職能。我公司未來的網(wǎng)絡(luò)結(jié)構(gòu)比較清晰，容易劃分安全邊界，并且容易明確在不同界限之間需要保護(hù)的對象，根據(jù)我公司拓?fù)鋱D，我們采用紅色圈圈來表示高風(fēng)險，藍(lán)色表示中風(fēng)險，如下圖：從上圖所示：我們必須將我們的系統(tǒng)建成一個縱深防御系統(tǒng)，達(dá)到層層設(shè)防。對于高風(fēng)險的地方，我們嚴(yán)格設(shè)置訪問控制來檢測所有進(jìn)出的數(shù)據(jù)，對于中風(fēng)險的地方，我們也需要在不影響業(yè)務(wù)的情況下來限制用戶進(jìn)出的數(shù)據(jù)，以達(dá)到黑客即使攻入第一道門也被第二道門攔在門口。 需要建立的系統(tǒng)安全級別未來，我們需要建立的系統(tǒng)主要為上面提到的三個系統(tǒng)：1. 辦公子系統(tǒng)2. 運(yùn)營子系統(tǒng)3. 游戲子系統(tǒng)從我公司業(yè)務(wù)的角度來分析，我公司主要從事游戲研發(fā)及運(yùn)營。在安全優(yōu)先級上劃分：A為最高，C為最低。A． 游戲分區(qū)數(shù)據(jù)庫、會員中心數(shù)據(jù)庫、公司內(nèi)部郵件服務(wù)器、域名服務(wù)器、公司域控制器、所有直連外部的交換機(jī)、防火墻以及負(fù)載均衡器、會員系統(tǒng)中心交換機(jī)B． 游戲前端服務(wù)器、官方網(wǎng)站、論壇、游戲服務(wù)器、公司各內(nèi)部交換機(jī)、公司內(nèi)部中心路由器、打印服務(wù)器C． 公司office所有終端、所有內(nèi)部接入網(wǎng)口對于安全級別高的地方，主要在公司會員系統(tǒng)和游戲服務(wù)器數(shù)據(jù)庫，對于游戲安全來說，最高級別肯定是數(shù)據(jù)庫，因?yàn)樗械拿舾行畔⑷看鎯τ跀?shù)據(jù)庫中，所以在安全上面我們應(yīng)該對數(shù)據(jù)庫方面最高級別安全。對于數(shù)據(jù)庫安全方面：1． 設(shè)置強(qiáng)密碼2． 打好最新數(shù)據(jù)庫補(bǔ)丁3． 做好備份策略4． 限制特定的IP訪問5． 可以考慮使用商業(yè)加密軟件來對數(shù)據(jù)進(jìn)行加密6． 定期對數(shù)據(jù)庫進(jìn)行滲透性測試（推薦一個月一次）7． 定期對數(shù)據(jù)庫前端的注冊網(wǎng)站進(jìn)行滲透性、溢出測試（推薦一個月一次）對于網(wǎng)站安全，我們的開發(fā)模式是j2ee，需要走apache+resin+mysql的方式來布署，程序方面會有QA部門進(jìn)行程序的QA，系統(tǒng)層面，我們會采用在各個軟件上開最少模塊加一些過濾的程序，來布署上面這些軟件，整個流程為：布署功能測試安全測試成功簽立上線通知書按時間點(diǎn)上線 對于系統(tǒng)安全，安裝的時候，只裝可用的包，打上最新補(bǔ)丁，盡量減化，利用現(xiàn)有的系統(tǒng)iptables設(shè)立標(biāo)準(zhǔn)的防火墻，允許特定的通迅端口和IP地址，達(dá)到一個縱深防御的功能。 對于密碼的管理，密碼方面一直是安全的一個很大問題，大多數(shù)攻擊方式都有猜測密碼這一個步驟，設(shè)置一個強(qiáng)密碼和密碼的整體管理也是一個有效的阻止方式，之前，我們的密碼管理中是根據(jù)不同的應(yīng)用，不同的密碼，例：WEB服務(wù)器密碼與數(shù)據(jù)庫服務(wù)器的密碼就是不同的，各個游戲分區(qū)的密碼也是不同的。另外，可以加上動態(tài)口令卡來配合使用。這樣在密碼的安全方面，可以達(dá)到多重的防御。對于網(wǎng)絡(luò)設(shè)備安全，我們目前的方法是關(guān)掉所有不用的服務(wù)，對登錄和通訊端口做一些訪問控制的限制，基本上從這個層面出問題的基率是比較小的。在各個安全分界的地方需要做一定的訪問控制，只允許授權(quán)的用戶才可以訪問，通過此方式，在配合密碼，也達(dá)到了多重防御的效果。對于公司辦公網(wǎng)安全，有以下需要完善：殺毒軟件系統(tǒng)的布署，由于公司的員工電腦，全部使用windows，windows平臺本身就是病毒木馬黑客喜歡光臨的地方，所以一整套的殺毒軟件系統(tǒng)布署是必須的。有一套網(wǎng)絡(luò)版的殺毒軟件系統(tǒng)以后，我們就可以定期來看公司所有機(jī)器病毒的發(fā)生的情況，并且全部同時可以通過服務(wù)器端同步升級病毒庫。 滲透性測試滲透性測試是指安全工程師盡可能的完整地模擬黑客的漏洞發(fā)現(xiàn)技術(shù)和攻擊手段，對目標(biāo)網(wǎng)絡(luò)/系統(tǒng)/主機(jī)/應(yīng)用的安全性作深入的探測，發(fā)現(xiàn)系統(tǒng)最脆弱的環(huán)節(jié)的過程。滲透性測試能夠直觀的讓管理人員知道自己網(wǎng)絡(luò)所面臨的問題。 滲透性測試是一種專業(yè)的安全服務(wù)，類似于軍隊里的“實(shí)戰(zhàn)演習(xí)”或者“沙盤推演”的概念，通過實(shí)戰(zhàn)和推演，讓用戶清晰的了解目前網(wǎng)絡(luò)的脆弱性、可能造成的損失，以
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1