【正文】 于 NetWare 或 Windows NT 環(huán)境，對(duì)通過(guò)服務(wù)器傳遞的文件病毒進(jìn)行檢測(cè)。 服務(wù)器防病毒軟件比客戶端防病毒軟件效率提高了很多，可以集中管理病毒防范、經(jīng)常掃描文件病毒，并及時(shí)更新病毒庫(kù)。然而，文件服務(wù)器型防病毒軟件也有一些缺點(diǎn)：很強(qiáng)的網(wǎng)絡(luò)服務(wù)器防病毒功能，客戶端則沒(méi)有，對(duì)于不通過(guò)文件 網(wǎng)絡(luò)安全技術(shù)方案 第 23 頁(yè) 服務(wù)器的文件型病毒，如從 Inter 下載的文件和電子郵件，則無(wú)法防護(hù)。其次，服務(wù)器防病毒軟件不能掃描電子郵件附件上的病毒。這是因?yàn)樵?LAN 中，電子郵件和附件被加密，只有附件在“另存為”在硬盤 上時(shí)病毒掃描程序才啟動(dòng)，從而導(dǎo)致病毒掃描不及時(shí)、效率低。 隨著 Inter 的普及，越來(lái)越多的企業(yè)、大學(xué)、政府和消費(fèi)者共享文件、發(fā)送信息、通過(guò)網(wǎng)絡(luò)交談。最重要的兩種方式是通過(guò)電子郵件和 FTP 交換郵件和文件。伴隨而來(lái)的問(wèn)題是許多病毒通過(guò)文件下載和電子郵件傳播，而且傳播的速度十分驚人。 本質(zhì)上 , Inter 成為傳播病毒的電腦空間，計(jì)算機(jī)系統(tǒng)管理員很少能控制網(wǎng)絡(luò)用戶下載帶病毒的免費(fèi)軟件、共享軟件或游戲。在公司內(nèi)部網(wǎng)絡(luò)上傳輸文件也不是沒(méi)有風(fēng)險(xiǎn)，因?yàn)榇嬖诟郊釉诜强蓤?zhí)行文件，如 Word、 Excel 或電子郵件 上的病毒。 Inter 上的病毒不經(jīng)過(guò)文件服務(wù)器，因此服務(wù)器防病毒軟件不起作用。許多網(wǎng)絡(luò)都配置了防火墻，可以拒絕沒(méi)有授權(quán)的訪問(wèn)或阻止可能引起問(wèn)題的外部用戶訪問(wèn)內(nèi)部網(wǎng)，但防火墻無(wú)法防病毒。因此出現(xiàn)了新型的防病毒軟件：病毒墻（ VirusWall）。病毒墻駐留在 Inter 網(wǎng)關(guān)，在病毒進(jìn)入系統(tǒng)搞破壞前進(jìn)行檢測(cè)并清除。 網(wǎng)絡(luò)安全技術(shù)方案 第 24 頁(yè) 防病毒建議方案 由于在這次網(wǎng)站的建設(shè)中，服務(wù)器使用 Linux 操作系統(tǒng)。現(xiàn)在流行的病毒通常情況下只是針對(duì) windows 操作系統(tǒng)中。因此，系統(tǒng)在針對(duì)病毒方面是相對(duì)安全的。 網(wǎng)站監(jiān)控與恢復(fù)系統(tǒng) 近幾年，隨著 Inter 的普及，網(wǎng)絡(luò)上發(fā)生的攻擊事件越來(lái)越普遍，一個(gè)普通人員在 Inter 上可以很容易的找到攻擊工具，然后攻擊網(wǎng)站。網(wǎng)站被篡改的事件時(shí)有發(fā)生。因此，對(duì)網(wǎng)站進(jìn)行保護(hù)是非常必要的。 網(wǎng)站實(shí)時(shí)監(jiān)控與恢復(fù)系統(tǒng)是一種網(wǎng)站的災(zāi)難恢復(fù)技術(shù)，它的立足點(diǎn)是在其它的網(wǎng)站安全措施，如使用防火墻、加強(qiáng) Web 服務(wù)器軟件自身的安全性、清查不安全的 CGI 程序都失敗，網(wǎng)頁(yè)文件被黑客破壞的情況下，網(wǎng)站文件系統(tǒng)的自動(dòng)恢復(fù)問(wèn)題。 SAN 網(wǎng)絡(luò)存儲(chǔ) /備份 /災(zāi)難恢復(fù)： 采用目前流行 的 群集技術(shù) SAN 技術(shù)，將存儲(chǔ)設(shè)備從傳統(tǒng)的以太網(wǎng) 中隔離出來(lái)，成為獨(dú)立的存儲(chǔ)域網(wǎng)絡(luò)。完全采用光纖連接，保證了數(shù)據(jù)傳輸帶寬達(dá)到100MB/S。使大量的數(shù)據(jù)只是在服務(wù)器和存儲(chǔ)設(shè)備之間流動(dòng)，不占用網(wǎng)絡(luò)帶寬及服務(wù)器資源。建立遠(yuǎn)程備份中心，進(jìn)行遠(yuǎn)程容災(zāi)備份，確保系統(tǒng)的數(shù)據(jù)安全 。 3 業(yè)務(wù)網(wǎng)絡(luò)安全設(shè)計(jì) 網(wǎng)絡(luò)安全設(shè)計(jì)原則 ? 防止來(lái)自外部的黑客攻擊 ? 防止來(lái)自內(nèi)部的惡意攻擊 ? 網(wǎng)絡(luò)資源訪問(wèn)控制 ? 網(wǎng)絡(luò)傳輸?shù)膶?shí)時(shí)監(jiān)控 網(wǎng)絡(luò)安全技術(shù)方案 第 25 頁(yè) ? 強(qiáng)大的安全審計(jì) ? 事件分析與告警 在本方案中，網(wǎng)絡(luò)的對(duì)外出口處以及在總行和分行之間的連接都設(shè)置防火墻將是最理想的選擇，外部網(wǎng)出口都配置防火墻，以及在總行與分行的業(yè)務(wù)網(wǎng)的連接 處也配置防火墻，對(duì)外防止黑客入侵，對(duì)內(nèi)以防止內(nèi)部人員的惡意攻擊或由于內(nèi)部人員造成的網(wǎng)絡(luò)安全問(wèn)題。 本方案中主要用到 NetScreen10 和 NetScreen100，在總行與分行連接點(diǎn)采用 NetScreen100 作為防火墻，同時(shí)在重要的業(yè)務(wù)連接點(diǎn)采用 NetScreen 獨(dú)特的多機(jī)備份技術(shù)用兩臺(tái)作為熱備份，保證整個(gè)系統(tǒng)的網(wǎng)絡(luò)安全。在分行采用NetScreen10 防火墻，為連接各終端以及服務(wù)器節(jié)點(diǎn)提供安全防護(hù)。 系統(tǒng)的安全設(shè)計(jì) 威脅及漏洞 作為一個(gè)網(wǎng)絡(luò)營(yíng)銷和管理系統(tǒng)，由于涉及信息的敏感性自然會(huì)成為內(nèi)部和外部 黑客攻擊的目標(biāo)，當(dāng)前 面臨的主要風(fēng)險(xiǎn)和威脅有： 非法訪問(wèn) ：一個(gè)遠(yuǎn)程互連的網(wǎng)絡(luò)營(yíng)銷和管理系統(tǒng)?，F(xiàn)有網(wǎng)絡(luò)系統(tǒng)利用操作系統(tǒng)網(wǎng)絡(luò)設(shè)備進(jìn)行訪問(wèn)控制，而這些訪問(wèn)控制強(qiáng)度較弱，攻擊者可以在任一終端利用現(xiàn)有的大量攻擊工具發(fā)起攻擊；由于整個(gè)網(wǎng)絡(luò)通過(guò)公用網(wǎng)絡(luò)互連同樣存在鏈接終端進(jìn)行攻擊的可能；另一方面 開發(fā)的很多增值業(yè)務(wù)、代理業(yè)務(wù)，存在大量與外界互連的接口這些接口現(xiàn)在沒(méi)有強(qiáng)的安全保護(hù)措施存在外部網(wǎng)絡(luò)通過(guò)這些接口攻擊，可能造成巨大損失。 竊取 PIN/密鑰等敏感數(shù)據(jù) ： 系統(tǒng)目前沒(méi)有使用任何的數(shù)據(jù)加密技術(shù)，因此安全的關(guān)鍵是對(duì) 進(jìn)行數(shù)據(jù)加密保護(hù)，可以使用密鑰加密技術(shù)，從而避免主機(jī)中敏感數(shù)據(jù)的丟失。 假冒終端 /操作員 ： 網(wǎng)絡(luò)中存在大量遠(yuǎn)程終端通過(guò)公網(wǎng)與 前置機(jī)相連，因此， 網(wǎng)絡(luò)服務(wù)器存在大量安全隱患?，F(xiàn)有操作員身份識(shí)別唯一，但口令的安全性非常弱因此存在大量操作員假冒的安全風(fēng)險(xiǎn)。 截獲和篡改傳輸數(shù)據(jù) ： 現(xiàn)有網(wǎng)絡(luò)系統(tǒng)通過(guò)公網(wǎng)傳輸大量的數(shù)據(jù)沒(méi)有加密， 網(wǎng)絡(luò)安全技術(shù)方案 第 26 頁(yè) 由于信息量大且采用的是開放的 TCP/IP，現(xiàn)有的許多工具可以很容易的截獲、分析甚至修改信息，主機(jī)系統(tǒng)很容易成為被攻擊對(duì)象。 其他安全風(fēng)險(xiǎn) ：主要有病毒、系統(tǒng)安全（主要有操作系統(tǒng)、數(shù)據(jù)庫(kù)的安全配置 ）以及系統(tǒng)的安全備份等。 計(jì)說(shuō)明 在對(duì) 網(wǎng)絡(luò)結(jié)初步分析后我們提出以下安全措施來(lái)安全處理。 圖四、 網(wǎng)絡(luò)安全防火墻保護(hù)總體示意圖 通常電子商務(wù)，也包括 網(wǎng)絡(luò)中用到的通信線路涉及到： 、 FR、 DDN、 ISDN、撥號(hào)等通信接口和協(xié)議，因此，最佳的方案是在網(wǎng)絡(luò)層上采用先進(jìn)的 NETSCREEN 網(wǎng)絡(luò)安全技術(shù)方案 第 27 頁(yè) 網(wǎng)絡(luò)安全技術(shù)，以有效的阻止外來(lái)的攻擊和保證業(yè)務(wù)數(shù)據(jù)在公網(wǎng)上的安全傳輸，同時(shí)在應(yīng)用層上提供對(duì)敏感數(shù)據(jù)加密消息進(jìn)行完整性鑒別及密鑰管理因此可以通過(guò)各級(jí)節(jié)點(diǎn)配備 NETSCREEN100 來(lái)保證 IP 包的機(jī)密性。在業(yè)務(wù) 系統(tǒng)中為了保護(hù)用戶敏感信息防止信息被非法篡改實(shí)現(xiàn)對(duì)業(yè)務(wù)數(shù)據(jù)加密、身份認(rèn)證等安全功能 。 系統(tǒng)的安全設(shè)計(jì) 各業(yè)務(wù)系統(tǒng)的分離 現(xiàn)有網(wǎng)絡(luò)上部署了多種應(yīng)用，包括 ERP 系統(tǒng)、 CRM 系統(tǒng)、內(nèi)部 OA 系統(tǒng)、在線銷售系統(tǒng)、在線銷售管理系統(tǒng)等一系列的業(yè)務(wù)系統(tǒng)，這些業(yè)務(wù)系統(tǒng)之間存在一定的聯(lián)系，但又要防止侵權(quán)使用資源，特別是在線銷售系統(tǒng)與 ERP 和管理系統(tǒng)，所以各業(yè)務(wù)系統(tǒng)的隔離是保障業(yè)系統(tǒng)安全的一個(gè)重環(huán)節(jié)。 圖五、各業(yè)務(wù)系統(tǒng)隔離方案 在企業(yè)內(nèi)部，各業(yè)務(wù)系統(tǒng)使用的主機(jī) IP 地址要有嚴(yán)格的區(qū)分，為建立訪問(wèn)控制機(jī)制為核心的隔離措施提供方便。 在局域網(wǎng)當(dāng)中，通過(guò)具有第二層（支持 VLAN 劃分， VLAN 為虛擬局域網(wǎng)） 網(wǎng)絡(luò)安全技術(shù)方案 第 28 頁(yè) 或三層交換的交換機(jī)（支持 VLAN 劃分及網(wǎng)內(nèi)路由），劃分業(yè)務(wù)系統(tǒng)在一個(gè) VLAN范圍內(nèi)， OA 系統(tǒng)在另的一個(gè) VLAN 范圍內(nèi)，各 VLAN 之間不直接交換數(shù)據(jù)，在必要的情況下，采取一定技術(shù)實(shí)現(xiàn)部 分?jǐn)?shù)據(jù)交換。 在各個(gè)業(yè)務(wù)內(nèi)可以象總部一樣，通過(guò) VLAN 的劃分，劃分業(yè)務(wù) VLAN 和 OA VLAN，隔離辦公網(wǎng)與業(yè)務(wù)網(wǎng)。 VLAN 技術(shù)是近階段較流行的局域網(wǎng)隔離技術(shù)，在一套硬件網(wǎng)絡(luò)環(huán)境內(nèi)運(yùn)行許多個(gè)（視交換機(jī)支持?jǐn)?shù)據(jù)）完全獨(dú)立、互不通信的局域網(wǎng)，看起來(lái)就象兩個(gè)完全分隔開的局域網(wǎng)系統(tǒng)。 使用 VLAN 劃分開之后，當(dāng)網(wǎng)絡(luò)信息通過(guò)路由器后， MAC 地址信息都會(huì)被路由器的 MAC 地址所替代， VLAN 的隔離作用消失。就是說(shuō)總行內(nèi)和分行內(nèi)劃分出的業(yè)務(wù) VLAN 和 OA VLAN，在局域網(wǎng)內(nèi)根據(jù)路由策略，及對(duì)對(duì) MAC 地址的判別，可使隔離 的業(yè)務(wù) VLAN 和 OA VLAN 按需實(shí)現(xiàn)通迅。 遠(yuǎn)程通訊是通過(guò)路由器的同一個(gè)廣域網(wǎng)端口，經(jīng)過(guò)廣域網(wǎng)傳輸后的業(yè)務(wù)網(wǎng)和OA 網(wǎng)是無(wú)法通過(guò) VLAN 技術(shù)加以隔離的。如不加以控制，總行的業(yè)務(wù)網(wǎng)和 OA網(wǎng)雖然不能互相訪問(wèn)，但總行的業(yè)務(wù)網(wǎng)可以和分行的 OA 網(wǎng)相互通訊，因此必須建立一定的訪問(wèn)控制加以限制。因此要在路由器之后配備防火墻，執(zhí)行訪問(wèn)控制功能，分劃業(yè)務(wù)網(wǎng)與 OA 網(wǎng)的通訊界線。 敏感數(shù)據(jù)區(qū)的保護(hù) 在線銷售和 ERP 系統(tǒng)內(nèi)存在許多敏感數(shù)區(qū)域（如業(yè)務(wù)系統(tǒng)主機(jī)等），這些敏感的數(shù)據(jù)區(qū)域要求嚴(yán)格保密，對(duì)訪問(wèn)的權(quán)限有嚴(yán)格的限制，但所有的主 機(jī)處于同一個(gè)網(wǎng)絡(luò)系統(tǒng)之內(nèi)，如不加以控制，這樣很容易造成網(wǎng)內(nèi)及網(wǎng)外的惡意攻擊，所以在這些數(shù)據(jù)區(qū)域的出入口要加以嚴(yán)格控制，在這些地方放置防火墻，防火墻執(zhí)行以下控制功能。 1. 對(duì)來(lái)訪數(shù)據(jù)包進(jìn)行過(guò)濾，只允許驗(yàn)證合法主機(jī)數(shù)據(jù)包通過(guò)，禁止一切非授權(quán)主機(jī)訪問(wèn)。 2. 對(duì)來(lái)訪用戶進(jìn)行驗(yàn)證。防上非法用戶侵入。 3. 運(yùn)用網(wǎng)絡(luò)地址轉(zhuǎn)換及應(yīng)用代理使數(shù)據(jù)存儲(chǔ)區(qū)域與業(yè)務(wù)前端主機(jī)隔離，業(yè)務(wù)前端主機(jī)不直接與數(shù)據(jù)存儲(chǔ)區(qū)域建立網(wǎng)絡(luò)連接，所有的數(shù)據(jù)訪問(wèn)通過(guò)防火墻的 網(wǎng)絡(luò)安全技術(shù)方案 第 29 頁(yè) 應(yīng)用代理完成，以保證數(shù)據(jù)存儲(chǔ)區(qū)域的安全。 敏感數(shù)據(jù)區(qū)保護(hù)方案 通迅線路數(shù)據(jù)加密 在廣域網(wǎng)傳 輸系統(tǒng)中，廣泛應(yīng)用到幀中繼、 、 DDN、 PSTN 等等之類的通用線路，但這些線路大多數(shù)都是由通訊公司提供，與許多用戶在一套系統(tǒng)上使用他們的業(yè)務(wù)，由于這些線路都是暴露在公共場(chǎng)所，這樣很容易造成數(shù)據(jù)被盜。傳輸數(shù)據(jù)當(dāng)中如果不進(jìn)行數(shù)據(jù)加密，后果可想而知。所以對(duì)數(shù)據(jù)傳輸加密這是一非常重要的環(huán)節(jié)。 對(duì)網(wǎng)絡(luò)數(shù)據(jù)加密大致分為以下幾處區(qū)域： 1. 層加密 層加密，應(yīng)用程序?qū)ν饨缃粨Q數(shù)據(jù)時(shí)進(jìn)行數(shù)據(jù)加密。主要優(yōu)點(diǎn)是使用方便、網(wǎng)絡(luò)中數(shù)據(jù)從源點(diǎn)到終點(diǎn)均得到保護(hù)、加密對(duì)網(wǎng)絡(luò)節(jié)點(diǎn)透明。缺點(diǎn)是某些信息必須以明文形式傳輸，容易被分析。 此種加密已被廣泛應(yīng)用于各應(yīng)用程序當(dāng)中，并有相應(yīng)的標(biāo)準(zhǔn)。 2. 網(wǎng)絡(luò)層的數(shù)據(jù)加密 在 的各個(gè)業(yè)務(wù)分支服務(wù)器之間建議采用 VPN 加密技術(shù)進(jìn)行數(shù)據(jù)加密。 VPN是通過(guò)標(biāo)準(zhǔn)的加密算法，對(duì)傳輸數(shù)據(jù)進(jìn)行加密，在公用網(wǎng)上建立數(shù)據(jù)傳輸?shù)募用堋八淼馈?。加密?shí)現(xiàn)是在 IP 層，與具體的廣域網(wǎng)協(xié)議無(wú)關(guān)，也就是說(shuō)適應(yīng)不同的廣域網(wǎng)信道（ DDN、 、幀中繼、 PSTN 等）。由于 VPN 技術(shù)已經(jīng)擁有標(biāo)準(zhǔn)，因此所有的 VPN 產(chǎn)品可以實(shí)現(xiàn)互通。 網(wǎng)絡(luò)安全技術(shù)方案 第 30 頁(yè) 利用 VPN 技術(shù)對(duì)數(shù)據(jù)傳輸進(jìn)行加密 防火墻自身的保護(hù) 要保護(hù)網(wǎng)絡(luò)安全，防火墻本身要保證安全，由于系 統(tǒng)供電、硬件故障等特殊情況的發(fā)生，使防火墻系統(tǒng)癱瘓，嚴(yán)重阻礙網(wǎng)絡(luò)通訊，網(wǎng)絡(luò)的安全就無(wú)法保證，所以要求防火墻有冗余措施及足夠防攻擊的能力。 防火墻雙機(jī)備份方案 網(wǎng)絡(luò)安全技術(shù)方案 第 31 頁(yè) 網(wǎng)絡(luò)安全設(shè)計(jì) 目前，在發(fā)達(dá)國(guó)家，電子商務(wù)發(fā)展十分迅速，電子商務(wù)技術(shù)已趨成熟，通過(guò)Inter 進(jìn)行交易也已逐漸成為潮流，全球電子商務(wù)的應(yīng)用也已拉開帷幕。網(wǎng)上銀行在電子商務(wù)中的一個(gè)具體應(yīng)用，自 1995 年 10 月，全球第一家網(wǎng)上銀行開張，到 1996 年 8 月，已有 600 多家銀行上網(wǎng)，提供服務(wù)信息甚至在網(wǎng)上提供全套金融服務(wù)。 1997 年，研究企業(yè)對(duì) 17 個(gè)國(guó) 家的 130 家大型金融機(jī)構(gòu)調(diào)查，發(fā)現(xiàn) 13%已經(jīng)在網(wǎng)上與客戶直接交易。而 1999 年， 60%在網(wǎng)上營(yíng)業(yè)。 在我國(guó)， Inter 的應(yīng)用發(fā)展也很快，而且金融通訊網(wǎng)絡(luò)正在迅速擴(kuò)大，我國(guó)的銀行金融系統(tǒng)，以銀行金融網(wǎng)絡(luò)為基礎(chǔ)，以現(xiàn)代支付系統(tǒng)為龍頭的金融電子化工程已經(jīng)全面鋪開，進(jìn)展很快。建設(shè)網(wǎng)上銀行已是大勢(shì)所趨，而其中非常重要的一點(diǎn)就是整個(gè)系統(tǒng)的安全保證，包括數(shù)據(jù)的安全保證、交易的安全保證、支付的安全保證。現(xiàn)今有許多實(shí)現(xiàn)手段，以保證電子商務(wù)系統(tǒng)的安全運(yùn)行，其中比較流行有如下幾種： ? 電子商務(wù)系統(tǒng)防火墻 ? 信息加密 ? 身份認(rèn)證 ? 信息簽名 網(wǎng)絡(luò)安全技術(shù)方案