【文章內(nèi)容簡介】 Microsoft 的 Windows NT 或者其他任何商用 UNIX 操作系統(tǒng)，其開發(fā)廠商必然有其 BackDoor。我們可以這樣講，沒有完全安全的操作系統(tǒng)。但是，我們可以對現(xiàn)有的操作平臺進行安全配置、對操作和訪問權限進行嚴格控制，提高系統(tǒng)的安全性。因此，不但要選用盡可能可靠的操作系統(tǒng)和硬件平臺，而且必須加強登錄過程的認證（特別是在到達服務器主機之前的認證），確保用戶的合法性。其次應該嚴格限制登錄者的操作權限，將其操作權限限制在最小的范圍內(nèi)。 來自局域網(wǎng)內(nèi)部的威脅 (1) 應用的安全風險 應用系統(tǒng)的安全是動態(tài)的、不斷變化的，其結(jié)果是安全漏洞也不斷增加且隱藏越來越深。因此，保證應用系統(tǒng)的安全也是一個隨網(wǎng)絡發(fā)展不斷完善的過程。 應用的安全性涉及到信息、數(shù)據(jù)的安全性。信息的安全性涉及到機密信息泄露、未經(jīng)授權的訪問、破壞信息完整性、假冒、破壞系統(tǒng)的可用性等。由于這個企業(yè)局域網(wǎng)跨度不大，絕大部分重要信息都在內(nèi)部傳遞，因此信息的機密性和完整性是可以保證的。對于有些特別重要的信息需要對內(nèi)部進行保密的可以考慮在應用級進行加密，針對具體的應用直接在應用系統(tǒng)開發(fā)時進行加密。 (2) 管理的安全風險 管理是網(wǎng)絡安全中最重要的部分。責權不明，管理混亂、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風險。管理混亂使得一些員工或管理員隨東華理工大學畢業(yè)設計（論文） 網(wǎng)絡系統(tǒng)安全風險分析6便讓一些非本地員工甚至外來人員進入機房重地，或者員工有意無意泄漏他們所知道的一些重要信息，而管理上卻沒有相應制度來約束。當網(wǎng)絡出現(xiàn)攻擊行為或網(wǎng)絡受到其它一些安全威脅時（如內(nèi)部人員的違規(guī)操作等），無法進行實時的檢測、監(jiān)控、報告與預警。同時，當事故發(fā)生后，也無法提供黑客攻擊行為的追蹤線索及破案依據(jù)，即缺乏對網(wǎng)絡的可控性與可審查性。所以我們必須對站點的訪問活動進行多層次的記錄，及時發(fā)現(xiàn)非法入侵行為。 建立全新的網(wǎng)絡安全機制，必須深刻理解網(wǎng)絡并能提供直接的解決方案，因此，最可行的做法是管理制度和網(wǎng)絡安全解決方案的結(jié)合。 (3) 不滿的內(nèi)部員工 不滿的內(nèi)部員工可能在 WWW 站點上開些小玩笑，甚至破壞。不論如何，他們最熟悉服務器、小程序、腳本和系統(tǒng)的弱點。例如他們可以傳出至關重要的信息、泄露安全重要信息、錯誤地進入數(shù)據(jù)庫、刪除數(shù)據(jù)等等。 來自互聯(lián)網(wǎng)的威脅 (1) 黑客攻擊 黑客們的攻擊行動是無時無刻不在進行的，而且會利用系統(tǒng)和管理上一切可能利用的漏洞。公開服務器存在漏洞的一個典型例證，是黑客可以輕易地騙過公開服務器軟件，得到服務器的口令文件并將之送回。黑客侵入服務器后，有可能修改特權，從普通用戶變?yōu)楦呒売脩?，一旦成功，黑客可以直接進入口令文件。黑客還能開發(fā)欺騙程序，將其裝入服務器中，用以監(jiān)聽登錄會話。當它發(fā)現(xiàn)有用戶登錄時，便開始存儲一個文件，這樣黑客就擁有了他人的帳戶和口令。這時為了防止黑客，需要設置公開服務器，使得它不離開自己的空間而進入另外的目錄。另外，還應設置組特權，不允許任何使用公開服務器的人訪問 WWW 頁面文件以外的東西。在這個企業(yè)的局域網(wǎng)內(nèi)我們可以綜合采用防火墻技術、入侵檢測技術、訪問控制技術來保護網(wǎng)絡內(nèi)的信息資源，防止黑客攻擊。 (2) 惡意代碼 惡意代碼不限于病毒，還包括蠕蟲、特洛伊木馬、邏輯炸彈和其他未經(jīng)同意的軟件。所以應該加強對惡意代碼的檢測。 (3) 病毒的攻擊 計算機病毒一直是計算機安全的主要威脅。病毒不是獨立存在的，它隱蔽在其他可執(zhí)行的程序之中，既有破壞性，又有傳染性和潛伏性。輕則影響機器運行速度，使機器不能正常運行，重則使機器處于癱瘓，會給用戶帶來不可估量的損失。能在Inter 上傳播的新型病毒，例如通過 EMail 傳播的病毒，增加了這種威脅的程度。 網(wǎng)絡的攻擊手段東華理工大學畢業(yè)設計（論文） 網(wǎng)絡系統(tǒng)安全風險分析7 一般認為，目前對網(wǎng)絡的攻擊手段主要表現(xiàn)在： 非授權訪問：沒有預先經(jīng)過同意，就使用網(wǎng)絡或計算機資源被看作非授權訪問，如有意避開系統(tǒng)訪問控制機制，對網(wǎng)絡設備及資源進行非正常使用，或擅自擴大權限，越權訪問信息。 信息泄漏或丟失：指敏感數(shù)據(jù)在有意或無意中被泄漏出去或丟失，通常包括信息在傳輸中或者存儲介質(zhì)中丟失、泄漏，或通過建立隱蔽隧道竊取敏感信息等。 破壞數(shù)據(jù)完整性：以非法手段竊得對數(shù)據(jù)的使用權，刪除、修改、插入或重發(fā)某些重要信息，以取得有益于攻擊者的響應；惡意修改數(shù)據(jù)，以干擾用戶的正常使用。 拒絕服務攻擊：它不斷對網(wǎng)絡服務系統(tǒng)進行干擾，改變其正常的作業(yè)流程，執(zhí)行無關程序使系統(tǒng)響應減慢甚至癱瘓，影響正常用戶的使用，甚至使合法用戶被排斥而不能進入計算機網(wǎng)絡系統(tǒng)或不能得到相應的服務。 利用網(wǎng)絡傳播病毒：通過網(wǎng)絡傳播計算機病毒，其破壞性大大高于單機系統(tǒng)，而且用戶很難防范。3 企業(yè)局域網(wǎng)的安全設計方案本公司有 100 臺左右的計算機，主要使用網(wǎng)絡的部門有：生產(chǎn)部(20)、財務部(15)、人事部(8)和信息中心(12)四大部分，如圖 所示。網(wǎng)絡基本結(jié)構為：整個網(wǎng)絡中干部分采用 3 臺 Catalyst 1900 網(wǎng)管型交換機（分別命名為：SwitchSwitch2 和 Switch3，各交換機根據(jù)需要下接若干個集線器，主要用于非 VLAN 用戶）、一臺 Cisco 2514 路由器，整個網(wǎng)絡都通過路由器Cisco 2514 與外部互聯(lián)網(wǎng)進行連接。圖 企業(yè)局域網(wǎng)的安全設計方案東華理工大學畢業(yè)設計（論文） 企業(yè)局域網(wǎng)的安全設計方案9 企業(yè)局域網(wǎng)安全設計的原則 企業(yè)局域網(wǎng)網(wǎng)絡系統(tǒng)安全方案設計、規(guī)劃時，應遵循以下原則： 綜合性、整體性原則：應用系統(tǒng)工程的觀點、方法，分析網(wǎng)絡的安全及具體措施。安全措施主要包括行政法律手段、各種管理制度（人員審查、工作流程、維護保障制度等）以及專業(yè)措施（識別技術、存取控制、密碼、低輻射、容錯、防病毒、采用高安全產(chǎn)品等） 。 一致性原則：一致性原則主要是指網(wǎng)絡安全問題應與整個網(wǎng)絡的工作周期（或生命周期）同時存在，制定的安全體系結(jié)構必須與網(wǎng)絡的安全需求相一致。 易操作性原則：安全措施需要人為去完成，如果措施過于復雜，對人的要求過高，本身就降低了安全性。其次，措施的采用不能影響系統(tǒng)的正常運行。 分步實施原則：由于網(wǎng)絡系統(tǒng)及其應用擴展范圍廣闊，隨著網(wǎng)絡規(guī)模的擴大及應用的增加，網(wǎng)絡脆弱性也會不斷增加。一勞永逸地解決網(wǎng)絡安全問題是不現(xiàn)實的。同時由于實施信息安全措施需要相當?shù)馁M用支出。因此分步實施，既可滿足網(wǎng)絡系統(tǒng)及信息安全的基本需求，亦可節(jié)省費用開支。 多重保護原則：任何安全措施都不是絕對安全的，都可能被攻破。但是建立一個多重保護系統(tǒng)，各層保護相互補充，當一層保護被攻破時，其它層保護仍可保護信息的安全。 可評價性原則：如何預先評價一個安全設計并驗證其網(wǎng)絡的安全性，這需要通過國家有關網(wǎng)絡信息安全測評認證機構的評估來實現(xiàn)。 安全服務、機制與技術 安全服務：控制服務、對象認證服務、可靠性服務等； 安全機制：訪問控制機制、認證機制等；安全技術：防火墻技術、病毒防治技術、攻擊檢測技術、審計監(jiān)控技術等；在安全的開放環(huán)境中，用戶可以使用各種安全應用。安全應用由一些安全服務來實現(xiàn)，而安全服務又是由各種安全機制或安全技術來實現(xiàn)的。應當指出，同一安全機制有時也可以用于實現(xiàn)不同的安全服務。 企業(yè)局域網(wǎng)安全配置方案 物理安全技術 保證計算機信息系統(tǒng)各種設備的物理安全是整個計算機信息系統(tǒng)安全的前提，它主要包括三個方面： 環(huán)境安全：對系統(tǒng)所在環(huán)境的安全保護，如區(qū)域保護和災難保護； 設備安全：主要包括設備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護等； 東華理工大學畢業(yè)設計（論文） 企業(yè)局域網(wǎng)的安全設計方案10 媒體安全：包括媒體數(shù)據(jù)的安全及媒體本身的安全。 路由器安全配置 作為企業(yè)局域網(wǎng)與外部 Inter 互聯(lián)網(wǎng)絡連接的第一關，路由器的配置是很重要的，既要保證網(wǎng)絡的暢通，也不能忽略網(wǎng)絡的安全性而只取其一（我們所使用的是 Cisco 2514 路由器），因此，除了對路由器與 Inter 外網(wǎng)連接配置外，我們對路由器還采用了如下安全配置：(1) 路由器網(wǎng)絡服務安全配置a、禁止 CDP(Cisco Discovery Protocol)。Router(Config)no cdp run Router(Configif) no cdp enableb、禁止其他的 TCP、UDP Small 服務。Router(Config) no service tcpsmallserversRouter(Config) no service udpsmallservers c、禁止 Finger 服務。Router(Config) no ip fingerRouter(Config) no service fingerd、禁止 HTTP 服務。 Router(Config) no ip server 啟用了 HTTP 服務則需要對其進行安全配置：設置用戶名和密碼，采用訪問列表進行控制。 e、禁止 BOOTP 服務。Router(Config) no ip bootp server f、禁止 IP Source Routing。Router(Config) no ip sourceroute g、禁止 IP Directed Broadcast。Router(Config) no ip directedbroadcast h、禁止 IP Classless。Router(Config) no ip classless i、禁止 ICMP 協(xié)議的 IP Unreachables, Redirects, Mask Replies。Router(Configif) no ip unreacheablesRouter(Configif) no ip redirectsRouter(Configif) no ip maskreply j、明確禁止不使用的端口。Router(Config) interface eth0/3Router(Config) shutdown/PP東華理工大學畢業(yè)設計（論文） 企業(yè)局域網(wǎng)的安全設計方案11(2) 路由器路由協(xié)議安全配置 a、啟用 IP Unicast ReversePath Verification。它能夠檢查源 IP 地址的準確性，從而可以防止一定的 IP Spooling。b、配置 uRPF。uRPF 有三種方式，strict 方式、ACL 方式和 loose 方式。在接入路由器上實施時，對于通過單鏈路接入網(wǎng)絡的用戶，建議采用 strict 方式；對于通過多條鏈路接入到網(wǎng)絡的用戶，可以采用 ACL 方式和 loose 方式。在出口路由器上實施時，采用 loose 方式。/PPStrict 方式：Router config t！啟用 CEFRouter(Config) ip cef！啟用 Unicast ReversePath VerificationRouter(Config) interface eth0/1Router(Configif) ip verify unicast reversepath /PPACL 方式：interface pos1/0ip verify unicast reversepath 190accesslist 190 permit ip {customer work} {customer work mask} any accesslist 190 deny ip any any [log] 這個功能檢查每一個經(jīng)過路由器的數(shù)據(jù)包的源地址，若是不符合 ACL 的，路由器將丟棄該數(shù)據(jù)包。Loose 方式：interface pos 1/0ip ver unicast source reachablevia any這個功能檢查每一個經(jīng)過路由器的數(shù)據(jù)包，在路由器的路由表中若沒有該數(shù)據(jù)包源 IP 地址的路由，路由器將丟棄該數(shù)據(jù)包。/PP2 啟用 OSPF 路由協(xié)議的認證。默認的 OSPF 認證密碼是明文傳輸?shù)?，建議啟用 MD5 認證。并設置一定強度密鑰(key,相對的路由器必須有相同的 Key)。 c、RIP 協(xié)議的認證。只有 RIPV2 支持，RIP1 不支持。建議啟用 RIPV2。并且采用 MD5 認證。普通認證同樣是明文傳輸?shù)摹?d、啟用 passiveinterface 命令可以禁用一些不需要接收和轉(zhuǎn)發(fā)路由信息的端口。建議對于不需要路由的端口，啟用 passiveinterface。但是，在 RIP 協(xié)議是只是禁止轉(zhuǎn)發(fā)路由信息，并沒有禁止接收。在 OSPF 協(xié)議中是禁止轉(zhuǎn)發(fā)和接收路由信息。 e、啟用訪問列表過濾一些垃圾和惡意路由信息,控制網(wǎng)絡的垃圾信息流。如：Router(Config) acce