移動企業(yè)網絡安全整體項目解決方案1-資料下載頁
2025-05-03 07:17本頁面
【正文】 internet，暴露出兩個主要危險：來自internet的未經授權的對企業(yè)內部網的存取。當企業(yè)通過INTERNET進行通訊時，信息可能受到竊聽和非法修改。 完整的集成化的企業(yè)范圍的VPN安全解決方案，提供在INTERNET上安全的雙向通訊，以及透明的加密方案以保證數據的完整性和保密性。 企業(yè)網絡的全面安全要求保證：保密通訊過程不被竊聽。通訊主體真實性確認網絡上的計算機不被假冒。數字簽名 數字簽名作為驗證發(fā)送者身份和消息完整性的根據。公共密鑰系統(tǒng)(如RSA)基于私有/公共密鑰對，作為驗證發(fā)送者身份和消息完整性的根據。CA使用私有密鑰計算其數字簽名，利用CA提供的公共密鑰，任何人均可驗證簽名的真實性。偽造數字簽名從計算能力上是不可行的。 并且，如果消息隨數字簽名一同發(fā)送，對消息的任何修改在驗證數字簽名時都將會被發(fā)現。 通訊雙方通過DiffieHellman密鑰系統(tǒng)安全地獲取共享的保密密鑰，并使用該密鑰對消息加密。DiffieHellman密鑰由CA進行驗證。 類 型技 術用 途基本會話密鑰DES加密通訊加密密鑰DeffHellman生成會話密鑰認證密鑰RSA驗證加密密鑰表1 加密模式使用的密鑰技術 基于此種加密模式，需要管理的密鑰數目與通訊者的數量為線性關系。而其它的加密模式需要管理的密鑰數目與通訊者數目的平方成正比。IPSEC IPSec作為在IP v4及IP v6上的加密通訊框架，已為大多數廠商所支持，預計在1998年將確定為IETF標準，是VPN實現的Internet標準。 IPSec主要提供IP網絡層上的加密通訊能力。該標準為每個IP包增加了新的包頭格式，Authentication Header(AH)及encapsualting security payload(ESP)。IPsec使用ISAKMP/Oakley及SKIP進行密鑰交換、管理及加密通訊協(xié)商(Security Association)。 Ipsec包含兩個部分： (1) IP security Protocol proper，定義Ipsec報文格式。 (2) ISAKMP/Oakley，負責加密通訊協(xié)商。 Ipsec提供了兩種加密通訊手段： Ipsec Tunnel：整個IP封裝在Ipsec報文。提供Ipsecgateway之間的通訊。 Ipsec transport：對IP包內的數據進行加密，使用原來的源地址和目的地址。 Ipsec Tunnel不要求修改已配備好的設備和應用，網絡黑客戶不能看到實際的的通訊源地址和目的地址，并且能夠提供專用網絡通過Internet加密傳輸的通道，因此，絕大多數均使用該模式。 ISAKMP/，因此，使VPN能夠容易地擴大到企業(yè)級。(易于管理)。 在為遠程撥號服務的Client端，也能夠實現Ipsec的客戶端，為撥號用戶提供加密網絡通訊。 由于Ipsec即將成為Internet標準，因此不同廠家提供的防火墻(VPN)產品可以實現互通。八. 應用系統(tǒng)的安全技術 由于應用系統(tǒng)的復雜性，有關應用平臺的安全問題是整個安全體系中最復雜的部分。下面的幾個部分列出了在Internet/Intranet中主要的應用平臺服務的安全問題及相關技術。域名服務 Internet域名服務為Internet/Intranet應用提供了極大的靈活性。幾乎所有的網絡應用均利用域名服務。 但是，域名服務通常為hacker提供了入侵網絡的有用信息，如服務器的IP、操作系統(tǒng)信息、推導出可能的網絡結構等。同時，新發(fā)現的針對BINDNDS實現的安全漏洞也開始發(fā)現，而絕大多數的域名系統(tǒng)均存在類似的問題。如由于DNS查詢使用無連接的UDP協(xié)議，利用可預測的查詢ID可欺騙域名服務器給出錯誤的主機名IP對應關系。 因此，在利用域名服務時，應該注意到以上的安全問題。主要的措施有： (1) 內部網和外部網使用不同的域名服務器，隱藏內部網絡信息。 (2) 域名服務器及域名查找應用安裝相應的安全補丁。 (3) 對付DenialofService攻擊，應設計備份域名服務器。Web Server應用安全 Web Server是企業(yè)對外宣傳、開展業(yè)務的重要基地。由于其重要性，成為Hacker攻擊的首選目標之一。 Web Server經常成為Internet用戶訪問公司內部資源的通道之一，如Web server通過中間件訪問主機系統(tǒng)，通過數據庫連接部件訪問數據庫，利用CGI訪問本地文件系統(tǒng)或網絡系統(tǒng)中其它資源。 但Web服務器越來越復雜，其被發(fā)現的安全漏洞越來越多。為了防止Web服務器成為攻擊的犧牲品或成為進入內部網絡的跳板，我們需要給予更多的關心： (1) Web服務器置于防火墻保護之下。 (2) 在Web服務器上安裝實時安全監(jiān)控軟件。 (3) 在通往Web服務器的網絡路徑上安裝基于網絡的實時入侵監(jiān)控系統(tǒng)。 (4) 經常審查Web服務器配置情況及運行日志。 (5) 運行新的應用前，先進行安全測試。如新的CGI應用。 (6) 。 (7) 小心設置Web服務器的訪問控制表。 電子郵件系統(tǒng)安全 電子郵件系統(tǒng)也是網絡與外部必須開放的服務系統(tǒng)。由于電子郵件系統(tǒng)的復雜性，其被發(fā)現的安全漏洞非常多，并且危害很大。 加強電子郵件系統(tǒng)的安全性，通常有如下辦法： (1) 設置一臺位于?；饏^(qū)的電子郵件服務器作為內外電子郵件通訊的中轉站(或利用防火墻的電子郵件中轉功能)。所有出入的電子郵件均通過該中轉站中轉。 (2) 同樣為該服務器安裝實施監(jiān)控系統(tǒng)。 (3) 該郵件服務器作為專門的應用服務器，不運行任何其它業(yè)務(切斷與內部網的通訊)。 (4) 升級到最新的安全版本。 操作系統(tǒng)安全 市場上幾乎所有的操作系統(tǒng)均已發(fā)現有安全漏洞，并且越流行的操作系統(tǒng)發(fā)現的問題越多。對操作系統(tǒng)的安全，除了不斷地增加安全補丁外，還需要： (1) 檢查系統(tǒng)設置(敏感數據的存放方式，訪問控制，口令選擇/更新)。(2) 基于系統(tǒng)的安全監(jiān)控系統(tǒng)。寧可累死在路上，也不能閑死在家里！寧可去碰壁，也不能面壁。是狼就要練好牙，是羊就要練好腿。什么是奮斗？奮斗就是每天很難，可一年一年卻越來越容易。不奮斗就是每天都很容易，可一年一年越來越難。能干的人，不在情緒上計較，只在做事上認真；無能的人！不在做事上認真，只在情緒上計較。拼一個春夏秋冬！贏一個無悔人生！早安！—————獻給所有努力的人. 學習好幫
規(guī)章制度相關推薦
鄂ICP備17016276號-1