【文章內(nèi)容簡(jiǎn)介】 的環(huán)境，這些應(yīng)用程序本身設(shè)計(jì)的缺陷也會(huì)帶來(lái)安全漏洞。另外，系統(tǒng)權(quán)限管理的松懈也是造成安全漏洞的重要原因。此外，任 何東西的特性都是兩方面的，只要惡意的破壞者掌握了系統(tǒng)的特性，這些特性就可以被用來(lái)進(jìn)行系統(tǒng)的破壞。 基于以上的原因，企業(yè)網(wǎng)絡(luò)需要對(duì)總部的 應(yīng)用服務(wù)器進(jìn)行操作系統(tǒng)和數(shù)據(jù)庫(kù)的備份，操作系統(tǒng)包括 Windows NT, Windows 20xx,Solaris,Linux，數(shù)據(jù)庫(kù)系統(tǒng)主要包括 Oracle，MS SQL 數(shù)據(jù)庫(kù)。需要對(duì)這些系統(tǒng)進(jìn)行系統(tǒng)安全漏洞的掃描和實(shí)時(shí)入侵的檢測(cè)。 應(yīng)用安全管理需求分析 應(yīng)用層安全主要是對(duì)應(yīng)用資源的有效性進(jìn)行控制，管理和控制什么用戶對(duì)資源具有什么權(quán)限。資源包括信息資源和服務(wù)資源。需要提高身 份認(rèn)證安全性的系統(tǒng)包括主機(jī)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、移動(dòng)用戶訪問(wèn)、 VPN 和應(yīng)用層。 主機(jī)系統(tǒng) 包括企業(yè)總部和各下屬公司中心主機(jī)、數(shù)據(jù)庫(kù)系統(tǒng)， WEB 服務(wù)器、 MAIL 服務(wù)器等等，這些主機(jī)系統(tǒng)是公司網(wǎng)絡(luò)系統(tǒng)的核心，存儲(chǔ)著公司最重要的信息資源，因此，保證這些主機(jī)系統(tǒng)的登錄的安全是極其重要的。 目前企業(yè)的主機(jī)系統(tǒng)仍然沿用單一密碼的身份認(rèn)證方式，這種簡(jiǎn)單的身份認(rèn)證存在以下安全隱患： ? 網(wǎng)絡(luò)入侵者，很容易猜測(cè)或破解賬號(hào)、密碼，利用他人的帳戶登錄，進(jìn)行非法操作。 ? 人員的流動(dòng)、集成商自設(shè)等很多因素，使得每臺(tái)主機(jī)系統(tǒng)上的多余帳戶增加。 網(wǎng) 絡(luò)設(shè)備安全管理 企業(yè)全公司，網(wǎng)絡(luò)設(shè)備（路由器、交換機(jī)）數(shù)量以數(shù)十甚至數(shù)百計(jì)。公司所有的業(yè)企業(yè)網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)建議書 13 務(wù)系統(tǒng)都是建立在網(wǎng)絡(luò)設(shè)備基礎(chǔ)之上的，保證網(wǎng)絡(luò)設(shè)備的安全是保證系統(tǒng)正常運(yùn)行的首要條件；而保護(hù)網(wǎng)絡(luò)設(shè)備的安全，通常考慮的最多的是設(shè)備的冗余，而網(wǎng)絡(luò)設(shè)備的配置保護(hù)卻不被重視，其實(shí)，當(dāng)某一個(gè)人登錄了網(wǎng)絡(luò)設(shè)備（路由器、防火墻、 VPN 設(shè)備等），將配置進(jìn)行了更改，為以后非法的登錄建立通道，對(duì)整個(gè)系統(tǒng)來(lái)說(shuō)，所有的安全設(shè)施就形同虛設(shè)。因此對(duì)登錄網(wǎng)絡(luò)設(shè)備的人員進(jìn)行強(qiáng)的身份認(rèn)證是完全必要的。 移動(dòng)用戶的訪問(wèn)控制訪問(wèn) 移動(dòng)用戶進(jìn)入公司內(nèi)部網(wǎng)絡(luò)可 以通過(guò)本地?fù)芴?hào)連接公司的內(nèi)部網(wǎng)絡(luò)，也可以通過(guò)互聯(lián)網(wǎng)的 ISP 接入公司內(nèi)部網(wǎng)。 對(duì)于企業(yè)來(lái)說(shuō)，移動(dòng)用戶將基本上采用 VPN 的方式對(duì)內(nèi)部進(jìn)行訪問(wèn)，外出的員工可以通過(guò) Inter 渠道的方式進(jìn)入公司內(nèi)部網(wǎng)絡(luò)，獲取所需要信息資源或回送需要提交的信息。而目前從終端上訪問(wèn)也是采用單一靜態(tài)密碼，從我們前面的分析來(lái)看，顯然是不安全的。因此我們必須在移動(dòng)用戶訪問(wèn)上增加更加強(qiáng)大的手段對(duì)移動(dòng)用戶進(jìn)行控制管理。 VPN 上的認(rèn)證 在網(wǎng)絡(luò)系統(tǒng)將配置 VPN 系統(tǒng)，遠(yuǎn)程移動(dòng)用戶可以通過(guò)撥號(hào)連接本地 ISP，用 VPN Client 建立安全通道訪 問(wèn)公司信息資源。 而 VPN 技術(shù)能夠很好的解決系統(tǒng)傳輸?shù)陌踩珕?wèn)題，極大的節(jié)約公司的費(fèi)用，并且使外部非法用戶無(wú)法訪問(wèn)公司內(nèi)部信息；但是，對(duì)于公司內(nèi)部用戶，由于 VPN 所提供的用戶認(rèn)證機(jī)制依然是單一的密碼方式，使我們無(wú)法保證目前訪問(wèn)信息資源帳戶和擁有該帳戶的員工的身份相符合，也就是說(shuō)，還是存在內(nèi)部用戶盜用他人密碼訪問(wèn)特定的信息資源的安全隱患（可能這些信息資源是他無(wú)權(quán)瀏覽或更改的），因此，補(bǔ)充更強(qiáng)的身份認(rèn)證機(jī)制對(duì) VPN 系統(tǒng)應(yīng)用來(lái)說(shuō)也是非常必要的。 應(yīng)用層安全保護(hù) 這里的應(yīng)用層，主要指企業(yè)的信息資源管理系統(tǒng)（ ERP） 。在員工進(jìn)入 ERP 系統(tǒng)時(shí)需要輸入用戶名稱和密碼，同樣的原因，單一靜態(tài)密碼不安全性使得我們有必要在ERP 系統(tǒng)上采用強(qiáng)的認(rèn)證機(jī)制，保證不同權(quán)限的、不同級(jí)別的用戶安全合法的使用 ERP系統(tǒng)。 ERP 系統(tǒng)上單一靜態(tài)密碼的安全隱患主要有： 企業(yè)網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)建議書 14 ? 用戶無(wú)法保證辦公文件能正確的接受，在接受之前沒(méi)有被其他人瀏覽過(guò)。 ? 單一密碼容易泄露，一旦密碼泄露，其惡果可能會(huì)很嚴(yán)重。 ? 高級(jí)別的用戶在遠(yuǎn)程授權(quán)以后，需要及時(shí)地更改密碼。 以上討論了企業(yè)網(wǎng)絡(luò)系統(tǒng)各個(gè)不同應(yīng)用的安全認(rèn)證問(wèn)題，不難看出，上述的應(yīng)用都必須在原有的單一靜態(tài)認(rèn)證基礎(chǔ)上，增加更加 強(qiáng)大的認(rèn)證手段，因此我們建議在企業(yè)網(wǎng)絡(luò)安全系統(tǒng)內(nèi)引入動(dòng)態(tài)認(rèn)證機(jī)制，即動(dòng)態(tài)的 SecurID。 加入的 RSA SecurID必須提供通用的 API，使用戶可以將 RSA SecurID 認(rèn)證內(nèi)嵌到 ERP系統(tǒng)或其他的應(yīng)用系統(tǒng)中，保證公司內(nèi)部網(wǎng)絡(luò)用戶接收 MAIL 和文件的安全，驗(yàn)證用戶身份，并創(chuàng)建用戶登錄日志文件。 為了使系統(tǒng)的認(rèn)證操作和對(duì)非法訪問(wèn)的攔截更加有效，所有認(rèn)證的轉(zhuǎn)發(fā)和認(rèn)證結(jié)果的處理都由防火墻來(lái)操作完成，即對(duì)所有被認(rèn)證系統(tǒng)認(rèn)定為非合法訪問(wèn)的服務(wù)請(qǐng)求，通過(guò)防火墻“掐斷”其訪問(wèn)連接，而不是通過(guò)應(yīng)用系統(tǒng)直接拒絕訪問(wèn)服務(wù) 。這是防火墻系統(tǒng)設(shè)計(jì)時(shí)必須考慮的可實(shí)現(xiàn)功能之一 應(yīng)用對(duì)安全系統(tǒng)的要求分析 任何一個(gè)完整的網(wǎng)絡(luò)安全系統(tǒng)，從其功能和物理層次來(lái)看，它將分別是網(wǎng)絡(luò)基礎(chǔ)設(shè)施和網(wǎng)絡(luò)應(yīng)用系統(tǒng)的組成部分。防火墻作為網(wǎng)絡(luò)基礎(chǔ)設(shè)施的一部分，和其他網(wǎng)絡(luò)設(shè)備一樣，其性能目標(biāo)應(yīng)該按照網(wǎng)絡(luò)系統(tǒng)的應(yīng)用要求進(jìn)行選型設(shè)計(jì)。如果防火墻選型設(shè)計(jì)的不恰當(dāng)，即使網(wǎng)絡(luò)其他設(shè)備的選型設(shè)計(jì)滿足要求，同樣也會(huì)因?yàn)榉阑饓Φ男史恋K網(wǎng)絡(luò)的應(yīng)用，嚴(yán)重的話會(huì)導(dǎo)致整個(gè)網(wǎng)絡(luò)應(yīng)用建設(shè)的失敗，這已經(jīng)是被事實(shí)證明的。因此，本建議書有必要針對(duì)企業(yè)的網(wǎng)絡(luò)應(yīng)用進(jìn)行防火墻系統(tǒng)的要求分析。 網(wǎng)絡(luò)應(yīng) 用系統(tǒng)的現(xiàn)狀及發(fā)展說(shuō)明 企業(yè)的網(wǎng)絡(luò)應(yīng)用包括了集團(tuán)公司幾乎所有的業(yè)務(wù)活動(dòng)和管理方面的應(yīng)用，例如 ERP、OA、財(cái)務(wù)、網(wǎng)絡(luò)視頻會(huì)議應(yīng)用等等。 任何一個(gè)應(yīng)用系統(tǒng)提供的應(yīng)用，都是依賴于網(wǎng)絡(luò)的各個(gè)層次來(lái)實(shí)現(xiàn)應(yīng)用信息的處理和傳送，應(yīng)用系統(tǒng)最終是通過(guò)向所有的網(wǎng)絡(luò)用戶提供使用來(lái)達(dá)到其應(yīng)用的目的。由此可以看出從網(wǎng)絡(luò)用戶電腦（客戶端）到應(yīng)用系統(tǒng)平臺(tái)（服務(wù)器端）的結(jié)構(gòu)形式會(huì)對(duì)網(wǎng)絡(luò)設(shè)備（尤其防火墻）提出相應(yīng)的要求；簡(jiǎn)單而言，不同的應(yīng)用模式，對(duì)網(wǎng)絡(luò)防火墻系統(tǒng)有不同的技術(shù)指標(biāo)要求。 企業(yè)網(wǎng)絡(luò)目前的應(yīng)用系統(tǒng)結(jié)構(gòu)是 C/S 和 B/S 兩種應(yīng)用結(jié)構(gòu) 的混合形式，主要的業(yè)務(wù)企業(yè)網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)建議書 15 應(yīng)用系統(tǒng)現(xiàn)在是分布式的 C/S 結(jié)構(gòu)。現(xiàn)在正在進(jìn)行的已有應(yīng)用系統(tǒng)升級(jí)開(kāi)發(fā)將使應(yīng)用系統(tǒng)從 C/S 結(jié)構(gòu)向 B/S 結(jié)構(gòu)遷移；新增加的應(yīng)用系統(tǒng)開(kāi)發(fā)，也是集中式的 B/S 結(jié)構(gòu)。在未來(lái)一兩年內(nèi)，企業(yè)的應(yīng)用系統(tǒng)將大部分實(shí)現(xiàn)集中式的 B/S 結(jié)構(gòu)模式。同時(shí)隨著公司規(guī)模的擴(kuò)大和業(yè)務(wù)領(lǐng)域的拓展，目前已經(jīng)在企業(yè)網(wǎng)絡(luò)系統(tǒng)內(nèi)應(yīng)用的網(wǎng)絡(luò)視頻會(huì)議系統(tǒng)（對(duì)網(wǎng)絡(luò)的傳輸性能要求很高的應(yīng)用系統(tǒng)）會(huì)隨著系統(tǒng)應(yīng)用規(guī)模的擴(kuò)大，為網(wǎng)絡(luò)系統(tǒng)帶來(lái)越來(lái)越大的數(shù)據(jù)傳輸壓力。 以上兩種主要的因素，在很大程度上決定我們?cè)诜阑饓x型設(shè)計(jì)時(shí)對(duì)產(chǎn)品的取舍。 面向 應(yīng)用系統(tǒng)的防火墻系統(tǒng)設(shè)計(jì)要求 根據(jù)企業(yè)網(wǎng)絡(luò)應(yīng)用系統(tǒng)的現(xiàn)狀以及未來(lái)系統(tǒng)的結(jié)構(gòu)發(fā)展，我們認(rèn)為著重考慮企業(yè)的B/S 結(jié)構(gòu)應(yīng)用特點(diǎn)，是防火墻系統(tǒng)技術(shù)指標(biāo)設(shè)計(jì)的主要依據(jù)。 眾所周知，防火墻作為網(wǎng)絡(luò)設(shè)備，對(duì)網(wǎng)絡(luò)性能影響最為主要的是兩個(gè)參數(shù)指標(biāo)，一個(gè)是防火墻的 TCP 連接處理能力（并發(fā)會(huì)話處理數(shù)），另一個(gè)是防火墻對(duì)網(wǎng)絡(luò)數(shù)據(jù)流量的吞吐能力（帶寬參數(shù)）。 B/S 結(jié)構(gòu)的應(yīng)用系統(tǒng)雖然具有管理簡(jiǎn)單，客戶端開(kāi)發(fā)、使用和維護(hù)的成本很低的優(yōu)點(diǎn)，但是在網(wǎng)絡(luò)上 B/S 結(jié)構(gòu)應(yīng)用系統(tǒng)將會(huì)給網(wǎng)絡(luò)帶來(lái)巨大的網(wǎng)絡(luò)流動(dòng)數(shù)據(jù)處理壓力，而且是并發(fā)的。具 體來(lái)說(shuō)， B/S 結(jié)構(gòu)的應(yīng)用系統(tǒng)在網(wǎng)絡(luò)上使用，會(huì)給網(wǎng)絡(luò)防火墻帶來(lái)數(shù)倍甚至數(shù)十倍于 C/S 結(jié)構(gòu)應(yīng)用系統(tǒng)的并發(fā) TCP 會(huì)話數(shù)量，而且這些會(huì)話絕大部分是包長(zhǎng)很短的“垃圾” IP 包。 由此可見(jiàn)，在設(shè)計(jì)企業(yè)防火墻系統(tǒng)時(shí)，足夠大的 TCP 會(huì)話處理能力，是我們選擇防火墻（包括 VPN）產(chǎn)品考慮的主要因素。 通過(guò)對(duì)各類防火墻的比較分析，我們認(rèn)為目前面向 B/S 結(jié)構(gòu)應(yīng)用的防火墻設(shè)備，硬件防火墻是最為明智的選擇。 企業(yè)網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)建議書 16 3 安全系統(tǒng)實(shí)現(xiàn)目標(biāo) 根據(jù)上一章的需求分析，從網(wǎng)絡(luò)安全的技術(shù)手段而言，企業(yè)企業(yè)網(wǎng)的安全系統(tǒng)必須實(shí)現(xiàn)從 Inter 和廣域網(wǎng)進(jìn)入內(nèi)部 資源網(wǎng)絡(luò)的數(shù)據(jù)被有效檢查和過(guò)濾、所有對(duì)內(nèi)部資源網(wǎng)絡(luò)的訪問(wèn)可以被有效控制、移動(dòng)用戶從 Inter 進(jìn)入內(nèi)部網(wǎng)絡(luò)進(jìn)行業(yè)務(wù)操作的通信和通過(guò)廣域網(wǎng)進(jìn)入內(nèi)部網(wǎng)的用戶通信必須加密、所有網(wǎng)絡(luò)訪問(wèn)行為能夠被記錄和審計(jì)、非法訪問(wèn)被預(yù)警和阻攔（條件允許時(shí)實(shí)施）、應(yīng)用系統(tǒng)平臺(tái)及數(shù)據(jù)可以被有效備份以抗擊災(zāi)難風(fēng)險(xiǎn)、用戶的身份的真實(shí)性認(rèn)證等幾方面的目標(biāo)。 網(wǎng)絡(luò)基礎(chǔ)層安全系統(tǒng)建設(shè)目標(biāo) 網(wǎng)絡(luò)層安全系統(tǒng)通過(guò)防火墻系統(tǒng)（帶 VPN 功能）實(shí)現(xiàn)訪問(wèn)控制、網(wǎng)絡(luò)信息檢查、通信加密、非法入侵檢測(cè)和攔截，異常情況告警和審計(jì)幾大功能目標(biāo)。 Inter 及 Extra 進(jìn)出口控制 在國(guó)際互聯(lián)網(wǎng)（ Inter）和企業(yè)廣域網(wǎng)（ Extra）的進(jìn)出口，防火墻系統(tǒng)通過(guò)有效的策略選擇，可以阻斷有害的網(wǎng)絡(luò)數(shù)據(jù)和被禁止的數(shù)據(jù)源進(jìn)入企業(yè)內(nèi)部網(wǎng)絡(luò)。 從互聯(lián)網(wǎng)入口進(jìn)入企業(yè)網(wǎng)的用戶，可以被防火墻有效地進(jìn)行類別劃分，即區(qū)分為通過(guò)互聯(lián)網(wǎng)進(jìn)入內(nèi)部網(wǎng)的企業(yè)移動(dòng)用戶或外部的公共訪問(wèn)者，對(duì)于要求進(jìn)入企業(yè)內(nèi)部網(wǎng)的訪問(wèn)者進(jìn)行用戶的授權(quán)認(rèn)證，攔截沒(méi)有用戶權(quán)限的訪問(wèn)者試圖進(jìn)入內(nèi)部網(wǎng)。 對(duì)于通過(guò) Inter 入口和廣域網(wǎng)入口進(jìn)入總部企業(yè)內(nèi)部網(wǎng)或分支機(jī)構(gòu)內(nèi)部網(wǎng)的用戶，設(shè)置在網(wǎng)絡(luò)出入口的防火 墻系統(tǒng)不僅可以對(duì)訪問(wèn)者進(jìn)行能否被允許進(jìn)入的權(quán)限認(rèn)證，同時(shí)可以實(shí)現(xiàn)按照企業(yè)資源被訪問(wèn)權(quán)限劃分的訪問(wèn)路由控制。對(duì)于內(nèi)部或外部的本企業(yè)用戶而言，防火墻系統(tǒng)可以實(shí)現(xiàn)，企業(yè)各類資源的應(yīng)用系統(tǒng)在邏輯上進(jìn)行子網(wǎng)系統(tǒng)的劃分，即在技術(shù)上提供可以獨(dú)立選擇安全策略的虛擬系統(tǒng)劃分。 VPN 應(yīng)用 VPN 應(yīng)用是為網(wǎng)絡(luò)通信提供有效的信息加密手段。 在企業(yè)企業(yè)網(wǎng)的 VPN 應(yīng)用中，采用三倍 DES 的加密技術(shù)，這是目前可以獲得的最先進(jìn)和實(shí)用的網(wǎng)絡(luò)通信加密技術(shù)手段。 網(wǎng)絡(luò)的 VPN 應(yīng)用范圍包括移動(dòng)用戶的客戶機(jī)到企業(yè)網(wǎng)絡(luò) Inter 出入口的防火墻、各分支機(jī)構(gòu)的廣域網(wǎng)出入口防火墻到集團(tuán)總部廣域網(wǎng)出入口防火墻。 企業(yè)網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)建議書 17 防火墻系統(tǒng)的功能實(shí)現(xiàn)要求總結(jié) 網(wǎng)絡(luò)層的安全保證是企業(yè)網(wǎng)絡(luò)系統(tǒng)安全的最關(guān)鍵，因此在企業(yè)網(wǎng)絡(luò)安全系統(tǒng)中，防火墻系統(tǒng)是整個(gè)系統(tǒng)的最重要組成部分，它將擔(dān)負(fù)完成大部分的安全服務(wù)（安全技術(shù)手段）實(shí)現(xiàn)和執(zhí)行的任務(wù)。 傳統(tǒng)的網(wǎng)絡(luò)安全系統(tǒng)由于受設(shè)備功能和性能的限制，在網(wǎng)絡(luò)層（從物理層到傳輸層）很難全部由單一的防火墻或其他安全設(shè)備全部完成表 1 中提出的功能要求，所以系統(tǒng)的實(shí)施難度和費(fèi)用（包括設(shè)備、人力投入和管理成本）會(huì)比較驚人。但是在今天已經(jīng)出現(xiàn)了滿足網(wǎng)絡(luò)層全部應(yīng)用的 、功能強(qiáng)大、性能優(yōu)異的防火墻產(chǎn)品，如 Cisco 防火墻。 為了使企業(yè)的網(wǎng)絡(luò)安全系統(tǒng)結(jié)構(gòu)簡(jiǎn)化、建設(shè)成本降低，本建議書在網(wǎng)絡(luò)防火墻系統(tǒng)建設(shè)目標(biāo)方面，提出了下表 2 的功能目標(biāo)要求。 表 2 防火墻系統(tǒng)實(shí)現(xiàn)功能目標(biāo) 物理層 數(shù)據(jù)鏈路層 網(wǎng)絡(luò)層 傳輸層 會(huì)話層 表示層 應(yīng)用層 認(rèn)證 * * * * 訪問(wèn)控制 * * * 數(shù)據(jù)保密 * * * * 數(shù)據(jù)完整性 * * * 不可抵賴性 審計(jì) * * * 可用性 * * * * 應(yīng)用輔助安全系統(tǒng)的建設(shè)目 標(biāo) 應(yīng)用系統(tǒng)的安全性主要在用戶和服務(wù)器間的雙向身份認(rèn)證以及信息和服務(wù)資源的訪問(wèn)控制，具有審計(jì)和記錄機(jī)制，確保防止拒絕和防抵賴的防否認(rèn)機(jī)制。 對(duì)于重要的主機(jī)系統(tǒng)和應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備管理系統(tǒng)，在原有的靜態(tài)密碼認(rèn)證管理的基礎(chǔ)上，增加動(dòng)態(tài)密碼認(rèn)證管理系統(tǒng)，通過(guò) 動(dòng)態(tài)的密碼方式實(shí)時(shí)不間斷地驗(yàn)證所有訪問(wèn)這些系統(tǒng)用戶的真實(shí)身份。 企業(yè)網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)建議書 18 企業(yè)網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)建議書 19 4 網(wǎng)絡(luò)安全系統(tǒng)的實(shí)施建議 基于以上的規(guī)劃和分析，我們建議企業(yè)網(wǎng)絡(luò)安全系統(tǒng)按照系統(tǒng)的實(shí)現(xiàn)目的，分兩個(gè)步驟（兩期）分別實(shí)現(xiàn)以下各個(gè)安全子系統(tǒng)： 防火墻系統(tǒng) VPN 系統(tǒng) 動(dòng)態(tài)認(rèn)證系統(tǒng) 系統(tǒng)設(shè)計(jì)的基本原 則 實(shí)用、先進(jìn)、可發(fā)展是安全系統(tǒng)設(shè)計(jì)的基本原則。 本建議書設(shè)計(jì)的安全系統(tǒng)首先是滿足企業(yè)現(xiàn)有和可預(yù)見(jiàn)未來(lái)幾年內(nèi)的應(yīng)用要求；其次是考慮在投資增加很少的前提下，選擇目前可以提供最先進(jìn)技術(shù)手段的設(shè)備和系統(tǒng)方案；最后要考慮實(shí)現(xiàn)的安全系統(tǒng)面對(duì)應(yīng)用要有長(zhǎng)遠(yuǎn)發(fā)展的能力。 防火墻系統(tǒng)作為網(wǎng)絡(luò)出入口的內(nèi)外連接控制和網(wǎng)絡(luò)通信加密 /解密設(shè)施，不僅需要有足夠的數(shù)據(jù)吞吐能力，如網(wǎng)絡(luò)物理接口的帶寬，也需要優(yōu)越的網(wǎng)絡(luò)連接的數(shù)據(jù)處理能力，例如并發(fā)連接數(shù)量和網(wǎng)絡(luò)連接會(huì)話處理能力等。以下的防火墻系統(tǒng)設(shè)計(jì)將根據(jù)這些原則合理的設(shè)計(jì)系統(tǒng)。 本建議書將 重點(diǎn)對(duì)防火墻系統(tǒng)（包括 VPN 應(yīng)用系統(tǒng)）提出設(shè)計(jì)建議。 安全系統(tǒng)實(shí)施步驟建議 任何一個(gè)網(wǎng)絡(luò)應(yīng)用系統(tǒng)在實(shí)施和建設(shè)階段，在進(jìn)行應(yīng)用系統(tǒng)開(kāi)發(fā)的同時(shí)，首先是考慮網(wǎng)絡(luò)基礎(chǔ)設(shè)施的建設(shè)。防火墻系統(tǒng)和 VPN 應(yīng)用系統(tǒng)作為現(xiàn)代網(wǎng)絡(luò)系統(tǒng)基礎(chǔ)設(shè)施的重要部分，毫無(wú)疑問(wèn)也是我們建設(shè)網(wǎng)絡(luò)安全系統(tǒng)首先需要構(gòu)架的系統(tǒng)。這也是我們建議企業(yè)網(wǎng)絡(luò)安全系統(tǒng)第一階段需要完成的系統(tǒng)建設(shè)部分。 動(dòng)態(tài)認(rèn)證系統(tǒng)是對(duì)網(wǎng)絡(luò)用戶對(duì)具體的應(yīng)用系統(tǒng)或網(wǎng)絡(luò)資源訪問(wèn)控制的一種加強(qiáng)手段。正