【文章內(nèi)容簡(jiǎn)介】 ，應(yīng)能實(shí)現(xiàn)遠(yuǎn)程安裝、智能升級(jí)、遠(yuǎn)程報(bào)警、集中管理、分布查殺等多種功能。 安全服務(wù)配置 安全服務(wù)隔離區(qū) ( DMZ) 把服務(wù)器機(jī)群和系統(tǒng)管理機(jī)群?jiǎn)为?dú)劃分出來 , 設(shè)置為安全服務(wù)隔離區(qū) , 它既是內(nèi)部網(wǎng)絡(luò)的一部分 , 又是一個(gè)獨(dú)立的局域網(wǎng) , 單獨(dú)劃分出來是為了更好的保護(hù)服務(wù)器上數(shù)據(jù)和系統(tǒng)管理的正常運(yùn)行。建議通過NAT( 網(wǎng)絡(luò)地址轉(zhuǎn)換 ) 技術(shù)將受保護(hù)的內(nèi)部網(wǎng)絡(luò)的全部主機(jī)地址映射成防火墻上設(shè)置的少數(shù)幾個(gè)有效 公網(wǎng) IP 地址。這不僅可以對(duì)外屏蔽內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)和 IP 地址 , 保護(hù)內(nèi)部網(wǎng)絡(luò)的安全 , 也可以大大節(jié)省公網(wǎng) IP 地址的使用 , 節(jié)省了投資成本。 如果單位原來已有邊界路由器 , 則可充分利用原有設(shè)備 , 利用邊界路由器的包過濾功能 , 添加相應(yīng)的防火墻配置 , 這樣原來的路由器也就具有防火墻功能了。然后再利用防火墻與需要保護(hù)的內(nèi)部網(wǎng)絡(luò)連接。對(duì)于 DMZ區(qū)中的公用服務(wù)器 , 則可直接與邊界路由器相連 , 不用經(jīng)過防火墻。它可只經(jīng)過路由器的簡(jiǎn)單防護(hù)。在此拓?fù)浣Y(jié)構(gòu)中 , 邊界路由器與防火墻就一起組成了兩道安全防線 , 并且在這兩者之間可 以設(shè)置一個(gè) DMZ區(qū) , 用來放置那些允許外部用戶訪問的公用服務(wù)器設(shè)施。 配置訪問策略 訪問策略是防火墻的核心安全策略 , 所以要經(jīng)過詳盡的信息統(tǒng)計(jì)才可以進(jìn)行設(shè)置。在過程中我們需要了解本單位對(duì)內(nèi)對(duì)外的應(yīng)用以及所對(duì)應(yīng)的源地址、目的地址、 TCP 或 UDP 的端口 , 并根據(jù)不同應(yīng)用的執(zhí)行頻繁程度對(duì)策略在規(guī)則表中的位置進(jìn)行排序 , 然后才能實(shí)施配置。原因是防火墻進(jìn)行規(guī)則查找時(shí)是順序執(zhí)行的 , 如果將常用的規(guī)則放在首位就可以提高防火墻的工作效率。 日志監(jiān)控 日志監(jiān)控是十分有效的安全管理手段。往往許多 管理員認(rèn)為只要可以做日志的信息就去采集。如 : 所有的告警或所有與策略匹配或不匹配的流量等等 , 這樣的做法看似日志信息十分完善 , 但每天進(jìn)出防火墻的數(shù)據(jù)有上百萬甚至更多 , 所以 , 只有采集到最關(guān)鍵的日志才是真正有用的日志。一般而言 , 系統(tǒng)的告警信息是有必要記錄的 , 對(duì)于流量信息進(jìn)行選擇 , 把影響網(wǎng)絡(luò)安全有關(guān)防火墻在網(wǎng)絡(luò)安全中的應(yīng)用 的流量信息保存下來。 計(jì)算機(jī)網(wǎng)絡(luò) 安全方案設(shè)計(jì)并實(shí)現(xiàn) 用戶的重要信息都是以文件的形式存儲(chǔ)在磁盤上，使用戶可 以方便地存取、修改、分發(fā)。這樣可以提高辦公的效率，但同時(shí)也造成用戶的信息易受到攻擊，造成泄密。特別是對(duì)于移動(dòng)辦公的情況更是如此。因此，需要對(duì)移動(dòng)用戶的文件及文件夾進(jìn)行本地安全管理，防止文件泄密等安全隱患。 本設(shè)計(jì)方案采用清華紫光公司出品的紫光 S 鎖產(chǎn)品， “紫光 S 鎖 ”是清華紫光“桌面計(jì)算機(jī)信息安全保護(hù)系統(tǒng) ”的商品名稱。紫光 S 鎖的內(nèi)部集成了包括中央處理器（ CPU）、加密運(yùn)算協(xié)處理器（ CAU）、只讀存儲(chǔ)器（ ROM），隨機(jī)存儲(chǔ)器（ RAM）、電可擦除可編程只讀存儲(chǔ)器（ E2PROM）等，以及固化在 ROM 內(nèi)部的芯片操 作系統(tǒng) COS（ Chip Operating System）、硬件 ID 號(hào)、各種密鑰和加密算法等。紫光 S 鎖采用了通過中國(guó)人民銀行認(rèn)證的 SmartCOS，其安全模塊可防止非法數(shù)據(jù)的侵入和數(shù)據(jù)的篡改，防止非法軟件對(duì) S 鎖進(jìn)行操作。 基于單位目前網(wǎng)絡(luò)的現(xiàn)狀，在網(wǎng)絡(luò)中添加一臺(tái)服務(wù)器，用于安裝 IMSS。 （ 1)郵件防毒。采用趨勢(shì)科技的 ScanMail for Notes。該產(chǎn)品可以和 Domino 的群件服務(wù)器無縫相結(jié)合并內(nèi)嵌到 Notes 的數(shù)據(jù)庫中，可防止病毒入侵到LotueNotes 的數(shù)據(jù)庫及電子 郵件，實(shí)時(shí)掃描并清除隱藏于數(shù)據(jù)庫及信件附件中的病毒?？赏ㄟ^任何 Notes 工作站或 Web 界面遠(yuǎn)程控管防毒 管理工作 ，并提供實(shí)時(shí)監(jiān)控病毒流量的活動(dòng)記錄報(bào)告。 ScanMail 是 Notes Domino Server 使用率最高的防病毒軟件。 （ 2)服務(wù)器防毒。采用趨勢(shì)科技的 ServerProtect。該產(chǎn)品的最大特點(diǎn)是內(nèi)含集中管理的概念，防毒模塊和管理模塊可分開安裝。一方面減少了整個(gè)防毒系統(tǒng)對(duì)原系統(tǒng)的影響，另一方面使所有服務(wù)器的防毒系統(tǒng)可以從單點(diǎn)進(jìn)行部署，管理和更新。 （ 3)客戶端防毒。采用趨勢(shì)科技的 OfficeScan。該產(chǎn)品作為網(wǎng)絡(luò)版的客戶端防毒系統(tǒng)，使 管理者 通過單點(diǎn)控制所有客戶機(jī)上的防毒模塊，并可以自動(dòng)對(duì)所有客戶端的防毒模塊進(jìn)行更新。其最大特點(diǎn)是擁有靈活的產(chǎn)品集中部署方式，不受Windows 域管理模式的約束，除支持 SMS，登錄域腳本，共享安裝以外，還支持純 Web 的部署方式。 （ 4)集中控管 TVCS。管理員可以通過此工具在整個(gè)企業(yè)范圍內(nèi)進(jìn)行配置、監(jiān)視和維護(hù)趨勢(shì)科技的防病毒軟件，支持跨域和跨網(wǎng)段的管理，并能顯示基于服務(wù)器的防病毒產(chǎn)品狀態(tài)。無論運(yùn)行于何種平臺(tái)和位置， TVCS 在整個(gè)網(wǎng)絡(luò)中總起一個(gè)單一管理控制臺(tái)作用。簡(jiǎn)便的安裝和分發(fā)代理部署，網(wǎng)絡(luò)的分析和病毒統(tǒng)計(jì)功能以及自動(dòng)下載病毒代碼文件和病毒爆發(fā)警報(bào)，給管理帶來極大的便利。 動(dòng)態(tài)口令系統(tǒng)在國(guó)際公開的密碼算法基礎(chǔ)上，結(jié)合生成動(dòng)態(tài)口令的特點(diǎn)，加以精心修改，通過十次以上的非線性迭代運(yùn)算，完成時(shí)間參數(shù)與密鑰 充分的混合擴(kuò)散。在此基礎(chǔ)上，采用先進(jìn)的身份認(rèn)證及加解密流程、先進(jìn)的密鑰管理方式，從整體上保證了系統(tǒng)的安全性。 “防火墻 ” 單位安全網(wǎng)由多個(gè)具有不同安全信任度的網(wǎng)絡(luò)部分構(gòu)成，在控制不可信連防火墻在網(wǎng)絡(luò)安全中的應(yīng)用 接、分辨非法訪問、辨別身份偽裝等方面存在著很大的缺陷，從而構(gòu)成了對(duì)網(wǎng)絡(luò)安全的重要隱患。本設(shè)計(jì)方案選用四臺(tái)網(wǎng)御防火墻，分別配置在高性能服務(wù)器和三個(gè)重要部門的局域網(wǎng)出入口，實(shí)現(xiàn)這些重要部門的訪問控制。 通過在核心交換機(jī)和高性能服務(wù)器群之間及核心交換機(jī)和重要部門之間部署防火墻，通過防火墻將網(wǎng)絡(luò)內(nèi)部不同部 門的網(wǎng)絡(luò)或關(guān)鍵服務(wù)器劃分為不同的網(wǎng)段，彼此隔離。這樣不僅保護(hù)了單位網(wǎng)絡(luò)服務(wù)器，使其不受來自內(nèi)部的攻擊，也保護(hù)了各部門網(wǎng)絡(luò)和數(shù)據(jù)服務(wù)器不受來自單位網(wǎng)內(nèi)部其他部門的網(wǎng)絡(luò)的攻擊。如果有人闖進(jìn)您的一個(gè)部門，或者如果病毒開始蔓延，網(wǎng)段能夠限制造成的損壞進(jìn)一步擴(kuò)大。 、信息完整性校驗(yàn) 為有效解決辦公區(qū)之間信息的傳輸安全，可以在多個(gè)子網(wǎng)之間建立起獨(dú)立的安全通道，通過嚴(yán)格的加密和認(rèn)證措施來保證通道中傳送的數(shù)據(jù)的完整性、真實(shí)性和私有性。 SJW22 網(wǎng)絡(luò)密碼機(jī)系統(tǒng)組成 網(wǎng)絡(luò)密碼機(jī)（硬件） :是一個(gè)基 于專用內(nèi)核，具有自主版權(quán)的高級(jí)通信保護(hù)控制系統(tǒng)。 本地管理器（軟件） :是一個(gè)安裝于密碼機(jī)本地管理平臺(tái)上的基于網(wǎng)絡(luò)或串口方式的網(wǎng)絡(luò)密碼機(jī)本地管理系統(tǒng)軟件。 中心管理器（軟件） :是一個(gè)安裝于中心管理平臺(tái)（ Windows 系統(tǒng)）上的對(duì)全網(wǎng)的密碼機(jī)設(shè)備進(jìn)行統(tǒng)一管理的系統(tǒng)軟件。 根據(jù)以上多層次安全防范的策略，安全網(wǎng)的安全建設(shè)可采取 “加密 ”、 “外防 ”、“內(nèi)審 ”相結(jié)合的方法， “內(nèi)審 ”是對(duì)系統(tǒng)內(nèi)部進(jìn)行監(jiān)視、審查，識(shí)別系統(tǒng)是否正在受到攻擊以及內(nèi)部機(jī)密信息是否泄密，以解決內(nèi)層安全。 安全 審計(jì)系統(tǒng)能幫助用戶對(duì)安全網(wǎng)的安全進(jìn)行實(shí)時(shí)監(jiān)控，及時(shí)發(fā)現(xiàn)整個(gè)網(wǎng)絡(luò)上的動(dòng)態(tài)，發(fā)現(xiàn)網(wǎng)絡(luò)入侵和違規(guī)行為，忠實(shí)記錄網(wǎng)絡(luò)上發(fā)生的一切，提供取證手段。作為網(wǎng)絡(luò)安全十分重要的一種手段，安全審計(jì)系統(tǒng)包括識(shí)別、記錄、存儲(chǔ)、分析與安全相關(guān)行為有關(guān)的信息。 在安全網(wǎng)中使用的安全審計(jì)系統(tǒng)應(yīng)實(shí)現(xiàn)如下功能：安全審計(jì)自動(dòng)響應(yīng)、安全審計(jì)數(shù)據(jù)生成、安全審計(jì)分析、安全審計(jì)瀏覽、安全審計(jì)事件存儲(chǔ)、安全審計(jì)事件選擇等。 本設(shè)計(jì)方案選用 “漢邦軟科 ”的安全審計(jì)系統(tǒng)作為安全審計(jì)工具。 漢邦安全審計(jì)系統(tǒng)是針對(duì)目前網(wǎng)絡(luò)發(fā)展現(xiàn)狀及存在的安全問 題，面向企事業(yè)的網(wǎng)絡(luò)管理人員而設(shè)計(jì)的一套網(wǎng)絡(luò)安全產(chǎn)品，是一個(gè)分布在整個(gè)安全網(wǎng)范圍內(nèi)的網(wǎng)絡(luò)安全監(jiān)視監(jiān)測(cè)、控制系統(tǒng)。 （ 1）安全審計(jì)系統(tǒng)由安全監(jiān)控中心和主機(jī)傳感器兩個(gè)部分構(gòu)成。主機(jī)傳感器安裝在要監(jiān)視的目標(biāo)主機(jī)上，其監(jiān)視目標(biāo)主機(jī)的人機(jī)界面操作、監(jiān)控 RAS 連接、監(jiān)控網(wǎng)絡(luò)連接情況及共享資源的使用情況。安全監(jiān)控中心是管理平臺(tái)和監(jiān)控平臺(tái)，網(wǎng)絡(luò)管理員通過安全監(jiān)控中心為主機(jī)傳感器設(shè)定監(jiān)控規(guī)則，同時(shí)獲得監(jiān)控結(jié)果、報(bào)警信息以及日志的審計(jì)。主要功能有文件保護(hù)審計(jì)和主機(jī)信息審計(jì)。 ① 文件保護(hù)審計(jì)：文件保護(hù)安裝在審計(jì)中心，可有效的對(duì)被審計(jì)主機(jī)端的文件進(jìn)行管理規(guī)則設(shè)置，包括禁止讀、禁止寫、禁止刪除、禁止修改屬性、禁止重命名、記錄日志、提供報(bào)警等功能。以及對(duì)文件保護(hù)進(jìn)行用戶管理。 ② 主機(jī)信息審計(jì) :對(duì)網(wǎng)絡(luò)內(nèi)公共資源中，所有主機(jī)進(jìn)行審計(jì)，可以審計(jì)到主防火墻在網(wǎng)絡(luò)安全中的應(yīng)用 機(jī)的機(jī)器名、當(dāng)前用戶、操作系統(tǒng)類型、 IP 地址信息。 （ 2)資源監(jiān)控系統(tǒng)主要有四類功能。 ① 監(jiān)視屏幕 :在用戶指定的時(shí)間段內(nèi)，系統(tǒng)自動(dòng)每隔數(shù)秒或數(shù)分截獲一次屏幕 。用戶實(shí)時(shí)控制屏幕截獲的開始和結(jié)束。 3 防火墻的配置 防火墻的初始配置 像路由器一樣，在使用之前，防火墻也需要經(jīng)過基本的初始配置。但因各種防火墻的初始配置基本類似，所以在此僅以 Cisco PIX 防火墻為例進(jìn)行介紹。 防火墻的初始配置也是通過控制端口（ Console）與 PC 機(jī)（通常是便于移動(dòng)的筆記本電腦）的串口連接，再通過 Windows 系統(tǒng)自帶的超級(jí)終端（ HyperTerminal）程序進(jìn)行選項(xiàng)配置。防火墻的初始配置物理連接與前面介紹的交換機(jī)初始配置連接方法一樣，參見圖 1 所示。 防火墻除了以上所說的通過控制端口（ Console）進(jìn)行初始配置外，也可以通過 tel 和 Tf