【文章內(nèi)容簡介】 有強大的技術(shù)支持、 良好的售后服務(wù)，否則買回的交換機出現(xiàn)故障時既沒有技術(shù)支持又沒有產(chǎn)品服務(wù)，使企業(yè)蒙受損失。采用成熟的、經(jīng)實踐證明其實用性的技術(shù)。所使用的設(shè)備應(yīng)支 持 VLAN 劃 分技術(shù)、HSRP（熱備份路由協(xié)議）技術(shù)、OSPF 等協(xié)議，保證網(wǎng) 絡(luò)的傳輸性能和路由快速改斂性，抑制局域網(wǎng)內(nèi)廣播風(fēng)暴，減少數(shù)據(jù)傳輸延時；不盲目追求高性能產(chǎn)品，要購買適合自身需求的產(chǎn)品。為了保證網(wǎng)絡(luò)的正常運轉(zhuǎn)，用戶選擇的服務(wù)器首先要確保穩(wěn)定。在具體選購服務(wù)器時，用戶應(yīng)該考察廠商是否有一套面向客戶的完善的服務(wù)體系及未來在該領(lǐng)域的發(fā)展計劃。第三章 網(wǎng)絡(luò)安全的方案設(shè)計安全體系結(jié)構(gòu)主要考慮安全機制和安全對象，安全對象主要有網(wǎng)絡(luò)安全、信息安全、設(shè)備安全、系統(tǒng)安全、數(shù)據(jù)庫安全、信息介質(zhì)安全和計算機病毒防治等。還以此為根基對企業(yè)網(wǎng)絡(luò)的安全建設(shè)進(jìn)行了研究并提出建立方位性強、多層次、細(xì)致全面的網(wǎng)絡(luò)安全解決方案[8]。按照網(wǎng)絡(luò)OSI的7層模型，網(wǎng)絡(luò)安全貫穿于整個7層。針對網(wǎng)絡(luò)系統(tǒng)實際運行的TCP/IP協(xié)議，網(wǎng)絡(luò)安全貫穿于信息系統(tǒng)的4個層次。物理層信息安全，主要防止物理通路的損壞、物理通路的竊聽、對物理通路的攻擊(干擾等)。鏈路層的網(wǎng)絡(luò)安全需要保證通過網(wǎng)絡(luò)鏈路傳送的數(shù)據(jù)不被竊聽。主要采用劃分VLAN、加密通訊等手段。網(wǎng)絡(luò)層的安全要保證網(wǎng)絡(luò)只給授權(quán)的人員使用授權(quán)的服務(wù)，保證網(wǎng)絡(luò)路由正確，避免被監(jiān)聽或攔截。操作系統(tǒng)安全要求保證客戶資料、操作系統(tǒng)訪問控制的安全，同時能夠?qū)υ摬僮飨到y(tǒng)上的應(yīng)用進(jìn)行安全審計。應(yīng)用平臺指建立在網(wǎng)絡(luò)系統(tǒng)之上的應(yīng)用軟件服務(wù)，如數(shù)據(jù)庫服務(wù)器、電子郵件服務(wù)器、Web服務(wù)器等。由于應(yīng)用平臺的系統(tǒng)非常復(fù)雜，通常采用多種技術(shù)來增強應(yīng)用平臺的安全性。應(yīng)用系統(tǒng)的安全與系統(tǒng)設(shè)計和實現(xiàn)關(guān)系密切。應(yīng)用系統(tǒng)使用應(yīng)用平臺提供的安全服務(wù)來保證基本安全，如通訊雙方的認(rèn)證，通訊內(nèi)容安全，審計等手段安全體系設(shè)計原則在進(jìn)行計算機網(wǎng)絡(luò)安全設(shè)計和規(guī)劃時，應(yīng)遵循以下原則：、風(fēng)險、代價平衡分析的原則對任一網(wǎng)絡(luò)來說，絕對安全難以達(dá)到，也不一定必要。對一個網(wǎng)絡(luò)要進(jìn)行實際分析，對網(wǎng)絡(luò)面臨的威脅及可能承擔(dān)的風(fēng)險進(jìn)行定性與定量相結(jié)合的分析，然后制定規(guī)范和措施，確定本系統(tǒng)的安全策略。保護(hù)成本與被保護(hù)信息的價值必須平衡，價值僅2萬元的信息如果用6萬元的技術(shù)和設(shè)備去保護(hù)是一種不適當(dāng)?shù)谋Ｗo(hù)。、整體性原則運用系統(tǒng)工程的觀點、方法，分析網(wǎng)絡(luò)的安全問題，并制定具體措施。一個較好的安全措施往往是多種方法適當(dāng)綜合的應(yīng)用結(jié)果。一個計算機網(wǎng)絡(luò)包括個人、設(shè)備、軟件、數(shù)據(jù)等環(huán)節(jié)。它們在網(wǎng)絡(luò)安全中的地位和影響作用，只有從系統(tǒng)綜合的整體角度去看待和分析，才可能獲得有效、可行的措施。，制定的安全體系結(jié)構(gòu)必須與網(wǎng)絡(luò)的安全需求相一致。實際上，在網(wǎng)絡(luò)建設(shè)之初就應(yīng)考慮網(wǎng)絡(luò)安全對策，比等網(wǎng)絡(luò)建設(shè)好后再考慮，不但容易，而且花費也少很多。、可靠性原則最大保證系統(tǒng)的安全性。使用的信息安全產(chǎn)品和技術(shù)方案在設(shè)計和實現(xiàn)的全過程中有具體的措施來充分保證其安全性。對項目實施過程實現(xiàn)嚴(yán)格的技術(shù)管理和設(shè)備的冗余配置，保證產(chǎn)品質(zhì)量，保證系統(tǒng)運行的可靠性。、標(biāo)準(zhǔn)、兼容性原則先進(jìn)的技術(shù)體系，標(biāo)準(zhǔn)化的技術(shù)實現(xiàn)。，如果措施過于復(fù)雜，對人的要求過高，本身就降低了安全性。其次，采用的措施不會影響系統(tǒng)正常運行。、靈活性原則安全措施必須能隨著網(wǎng)絡(luò)性能及安全需求的變化而變化，要容易修改、容易適應(yīng)。，都可能被攻破。但是建立一個多重保護(hù)系統(tǒng)，各層保護(hù)相互補充，當(dāng)一層保護(hù)被攻破時，還有其它層保護(hù)信息的安全。安全管理的實現(xiàn)信息系統(tǒng)的安全管理部門應(yīng)根據(jù)管理原則和該系統(tǒng)處理數(shù)據(jù)的保密性，制訂相應(yīng)的管理制度或采用相應(yīng)規(guī)范，其具體工作是：。根據(jù)確定的安全等級，確定安全管理的范圍。對安全等級要求較高的系統(tǒng)，要實行分區(qū)控制，限制工作人員出入與己無關(guān)的區(qū)域。操作規(guī)程要根據(jù)職責(zé)分離和多人負(fù)責(zé)的原則，各負(fù)其責(zé)，不能超越自己的管轄范圍。維護(hù)時，要首先經(jīng)主管部門批準(zhǔn)，并有安全管理人員在場，故障原因、維護(hù)內(nèi)容和維護(hù)前后的情況要詳細(xì)記錄。要制訂在緊急情況下，系統(tǒng)如何盡快恢復(fù)的應(yīng)急措施，使損失減至最小。，對工作調(diào)動和離職人員要及時調(diào)整相應(yīng)的授權(quán)。安全系統(tǒng)需要由人來計劃和管理，任何系統(tǒng)安全設(shè)施也不能完全由計算機系統(tǒng)獨立承擔(dān)系統(tǒng)安全保障的任務(wù)。一方面，各級領(lǐng)導(dǎo)一定要高度重視并積極支持有關(guān)系統(tǒng)安全方面的各項措施。網(wǎng)絡(luò)安全設(shè)計由于網(wǎng)絡(luò)的互連是在鏈路層、網(wǎng)絡(luò)層、傳輸層、應(yīng)用層不同協(xié)議層來實現(xiàn)，各個層的功能特性和安全特性也不同，因而其網(wǎng)絡(luò)安全措施也不相同。對網(wǎng)絡(luò)進(jìn)行級別劃分與控制，網(wǎng)絡(luò)級別的劃分大致包括外網(wǎng)與內(nèi)網(wǎng)等，其中Internet外網(wǎng)的接口要采用專用防火墻，各網(wǎng)絡(luò)級別的接口利用物理隔離設(shè)備、防火墻、安全郵件服務(wù)器、路由器的可控路由表、安全撥號驗證服務(wù)器和安全級別較高的操作系統(tǒng)。從技術(shù)角度來看，入侵檢測技術(shù)可劃分為兩種[9]，一種是異常檢測模型，第二種是誤用檢測模型增強網(wǎng)絡(luò)互連的分割和過濾控制，也可以大大提高安全保密性。為了實現(xiàn)在整個局域網(wǎng)內(nèi)杜絕病毒的感染、傳播和發(fā)作，我們應(yīng)該在整個網(wǎng)絡(luò)內(nèi)可能感染和傳播病毒的地方采取相應(yīng)的防病毒手段。同時為了有效、快捷地實施和管理整個網(wǎng)絡(luò)的防病毒體系，應(yīng)能實現(xiàn)遠(yuǎn)程安裝、智能升級、遠(yuǎn)程報警、集中管理、分布查殺病毒等多種功能。網(wǎng)絡(luò)采用上機機房與辦公區(qū)相分離的結(jié)構(gòu)。 WindowS2000服務(wù)器上安裝瑞星殺毒軟件網(wǎng)絡(luò)版的系統(tǒng)中心，負(fù)責(zé)管理2000多個員工主機網(wǎng)點。，在管理員控制臺對網(wǎng)絡(luò)中所有客戶端進(jìn)行定時查殺毒的設(shè)置，保證所有客戶端即使在沒有聯(lián)網(wǎng)的時候也能夠定時進(jìn)行對本機的查殺毒。為了安全和管理的方便，由網(wǎng)絡(luò)中心的系統(tǒng)中心定期地、自動地到瑞星網(wǎng)站上獲取最新的升級文件(包括病毒定義碼、掃描引擎、程序文件等)，然后自動將最新的升級文件分發(fā)到其他2000多個主機網(wǎng)點的客戶端與服務(wù)器端，并自動對瑞星殺毒軟件網(wǎng)絡(luò)版進(jìn)行更新。在安全級別較高的子網(wǎng)采用的防病毒措施為：：采用趨勢科技的Officescan。該產(chǎn)品作為網(wǎng)絡(luò)版的客戶端防毒系統(tǒng)，使管理者通過單點控制所有客戶機上的防毒模塊，并可以自動對所有客戶端的防毒模塊進(jìn)行更新。其最大特點是擁有靈活的產(chǎn)品集中部署方式，不受WindowS域管理模式的約束，除支持SMS，登錄域腳本，共享安裝以外，還支持純W己b的部署方式。：采用趨勢科技的 SacllMailforNoteS。該產(chǎn)品可以和Domino的群件服務(wù)器無縫相結(jié)合并內(nèi)嵌到Notes的數(shù)據(jù)庫中，可防止病毒入侵到LotueNoteS的數(shù)據(jù)庫及電子郵件，實時掃描并清除隱藏于數(shù)據(jù)庫及信件附件中的病毒?？赏ㄟ^任何Notes工作站或Web界面遠(yuǎn)程控管防毒管理工作，并提供實時監(jiān)控病毒流量的活動記錄報告。：采用趨勢科技的ServerProtect。該產(chǎn)品的最大特點是內(nèi)含集中管理的概念，防毒模塊和管理模塊可分開安裝。一方面使所有服務(wù)器的防毒系統(tǒng)可以從單點進(jìn)行部署，管理和更新，另一方面減少了整個防毒系統(tǒng)對原系統(tǒng)的影響，Serve少rotect產(chǎn)品支持WindowsNT/2000、NovellNetware，同時ServerProtect是業(yè)界第一款支持Lin吧平臺的防病毒產(chǎn)品。動態(tài)口令身份認(rèn)證具有隨機性、動態(tài)性、一次性、不可逆等特點，不僅保留了靜態(tài)口令方便性的優(yōu)點，而且很好地彌補了靜態(tài)口令存在的各種缺陷。動態(tài)口令系統(tǒng)在國際公開的密碼算法基礎(chǔ)上，結(jié)合生成動態(tài)口令的特點，加以精心修改，通過數(shù)十次以上的非線性迭代運算，完成時間參數(shù)與密鑰充分的混合擴散。在此基礎(chǔ)上，采用先進(jìn)的身份認(rèn)證及加解密[10]流程、先進(jìn)的密鑰管理方式，從整體上保證了系統(tǒng)的安全性。本網(wǎng)絡(luò)系統(tǒng)采用南京眾力科技有限公司生產(chǎn)的VPN動態(tài)口令身份認(rèn)證系統(tǒng)。VPN動態(tài)口令身份認(rèn)證系統(tǒng)主要由以下幾個主要模塊組成：認(rèn)證系統(tǒng)管理員界面、帳號管理服務(wù)器(UAM)、RADIUS認(rèn)證服務(wù)器、NAS(網(wǎng)絡(luò)接入服務(wù)器采用帶VPN功能的防火墻，例如：NOKIAIP380)、ORACLE數(shù)據(jù)庫管理系統(tǒng)、VPN客戶端、防火墻管理軟件(例如：NOKIA防火墻軟件CheekPointExpress)。VPN用戶從頂temet遠(yuǎn)程訪問內(nèi)部網(wǎng)絡(luò)，需要對用戶身份進(jìn)行認(rèn)證，允許合法的用戶訪問網(wǎng)絡(luò)，不合法的用戶不允許訪問。密碼通過遠(yuǎn)程網(wǎng)絡(luò)傳輸有被黑客攔截的危險，而采用動態(tài)口令作為密碼，真正做到一次一密，即每次用戶通過身份認(rèn)證后本次密碼立即失效。用戶下次登錄時，通過VPN客戶端獲得新的密碼，并通過手機短信將新密碼發(fā)送給用戶。采用該方案后，在中小型公司的認(rèn)證系統(tǒng)中能夠?qū)崿F(xiàn)：。，有效抵御重播攻擊行為。，與應(yīng)用系統(tǒng)方便集成。，