【正文】 站進行保護是非常必要的。網(wǎng)站實時監(jiān)控與恢復系統(tǒng)是一種網(wǎng)站的災(zāi)難恢復技術(shù)，它的立足點是在其它的網(wǎng)站安全措施，如使用防火墻、加強Web服務(wù)器軟件自身的安全性、清查不安全的CGI程序都失敗，網(wǎng)頁文件被黑客破壞的情況下，網(wǎng)站文件系統(tǒng)的自動恢復問題。 SAN網(wǎng)絡(luò)存儲/備份/災(zāi)難恢復：采用目前流行的群集技術(shù)SAN技術(shù)，將存儲設(shè)備從傳統(tǒng)的以太網(wǎng)中隔離出來，成為獨立的存儲域網(wǎng)絡(luò)。完全采用光纖連接，保證了數(shù)據(jù)傳輸帶寬達到100MB/S。使大量的數(shù)據(jù)只是在服務(wù)器和存儲設(shè)備之間流動，不占用網(wǎng)絡(luò)帶寬及服務(wù)器資源。建立遠程備份中心，進行遠程容災(zāi)備份，確保系統(tǒng)的數(shù)據(jù)安全。3 業(yè)務(wù)網(wǎng)絡(luò)安全設(shè)計 網(wǎng)絡(luò)安全設(shè)計原則l 防止來自外部的黑客攻擊l 防止來自內(nèi)部的惡意攻擊l 網(wǎng)絡(luò)資源訪問控制l 網(wǎng)絡(luò)傳輸?shù)膶崟r監(jiān)控l 強大的安全審計l 事件分析與告警在本方案中，網(wǎng)絡(luò)的對外出口處以及在總行和分行之間的連接都設(shè)置防火墻將是最理想的選擇，外部網(wǎng)出口都配置防火墻，以及在總行與分行的業(yè)務(wù)網(wǎng)的連接處也配置防火墻，對外防止黑客入侵，對內(nèi)以防止內(nèi)部人員的惡意攻擊或由于內(nèi)部人員造成的網(wǎng)絡(luò)安全問題。本方案中主要用到NetScreen10和NetScreen100，在總行與分行連接點采用NetScreen100作為防火墻，同時在重要的業(yè)務(wù)連接點采用NetScreen獨特的多機備份技術(shù)用兩臺作為熱備份，保證整個系統(tǒng)的網(wǎng)絡(luò)安全。在分行采用NetScreen10防火墻，為連接各終端以及服務(wù)器節(jié)點提供安全防護。 系統(tǒng)的安全設(shè)計 威脅及漏洞作為一個網(wǎng)絡(luò)營銷和管理系統(tǒng)，由于涉及信息的敏感性自然會成為內(nèi)部和外部黑客攻擊的目標，當前 面臨的主要風險和威脅有： 非法訪問：一個遠程互連的網(wǎng)絡(luò)營銷和管理系統(tǒng)。現(xiàn)有網(wǎng)絡(luò)系統(tǒng)利用操作系統(tǒng)網(wǎng)絡(luò)設(shè)備進行訪問控制，而這些訪問控制強度較弱，攻擊者可以在任一終端利用現(xiàn)有的大量攻擊工具發(fā)起攻擊；由于整個網(wǎng)絡(luò)通過公用網(wǎng)絡(luò)互連同樣存在鏈接終端進行攻擊的可能；另一方面 開發(fā)的很多增值業(yè)務(wù)、代理業(yè)務(wù)，存在大量與外界互連的接口這些接口現(xiàn)在沒有強的安全保護措施存在外部網(wǎng)絡(luò)通過這些接口攻擊，可能造成巨大損失。竊取PIN/密鑰等敏感數(shù)據(jù)： 系統(tǒng)目前沒有使用任何的數(shù)據(jù)加密技術(shù)，因此安全的關(guān)鍵是對進行數(shù)據(jù)加密保護，可以使用密鑰加密技術(shù)，從而避免主機中敏感數(shù)據(jù)的丟失。假冒終端/操作員： 網(wǎng)絡(luò)中存在大量遠程終端通過公網(wǎng)與 前置機相連，因此， 網(wǎng)絡(luò)服務(wù)器存在大量安全隱患?，F(xiàn)有操作員身份識別唯一，但口令的安全性非常弱因此存在大量操作員假冒的安全風險。截獲和篡改傳輸數(shù)據(jù)： 現(xiàn)有網(wǎng)絡(luò)系統(tǒng)通過公網(wǎng)傳輸大量的數(shù)據(jù)沒有加密，由于信息量大且采用的是開放的TCP/IP，現(xiàn)有的許多工具可以很容易的截獲、分析甚至修改信息，主機系統(tǒng)很容易成為被攻擊對象。其他安全風險：主要有病毒、系統(tǒng)安全（主要有操作系統(tǒng)、數(shù)據(jù)庫的安全配置）以及系統(tǒng)的安全備份等。 計說明在對 網(wǎng)絡(luò)結(jié)初步分析后我們提出以下安全措施來安全處理。 圖四、 網(wǎng)絡(luò)安全防火墻保護總體示意圖通常電子商務(wù)，也包括 網(wǎng)絡(luò)中用到的通信線路涉及到：、FR、DDN、ISDN、撥號等通信接口和協(xié)議，因此，最佳的方案是在網(wǎng)絡(luò)層上采用先進的NETSCREEN網(wǎng)絡(luò)安全技術(shù)，以有效的阻止外來的攻擊和保證業(yè)務(wù)數(shù)據(jù)在公網(wǎng)上的安全傳輸，同時在應(yīng)用層上提供對敏感數(shù)據(jù)加密消息進行完整性鑒別及密鑰管理因此可以通過各級節(jié)點配備NETSCREEN100 來保證IP包的機密性。在業(yè)務(wù)系統(tǒng)中為了保護用戶敏感信息防止信息被非法篡改實現(xiàn)對業(yè)務(wù)數(shù)據(jù)加密、身份認證等安全功能。 系統(tǒng)的安全設(shè)計 各業(yè)務(wù)系統(tǒng)的分離 現(xiàn)有網(wǎng)絡(luò)上部署了多種應(yīng)用，包括ERP系統(tǒng)、CRM系統(tǒng)、內(nèi)部OA系統(tǒng)、在線銷售系統(tǒng)、在線銷售管理系統(tǒng)等一系列的業(yè)務(wù)系統(tǒng)，這些業(yè)務(wù)系統(tǒng)之間存在一定的聯(lián)系，但又要防止侵權(quán)使用資源，特別是在線銷售系統(tǒng)與ERP和管理系統(tǒng)，所以各業(yè)務(wù)系統(tǒng)的隔離是保障業(yè)系統(tǒng)安全的一個重環(huán)節(jié)。圖五、各業(yè)務(wù)系統(tǒng)隔離方案在企業(yè)內(nèi)部，各業(yè)務(wù)系統(tǒng)使用的主機IP地址要有嚴格的區(qū)分，為建立訪問控制機制為核心的隔離措施提供方便。在局域網(wǎng)當中，通過具有第二層（支持VLAN劃分，VLAN為虛擬局域網(wǎng)）或三層交換的交換機（支持VLAN劃分及網(wǎng)內(nèi)路由），劃分業(yè)務(wù)系統(tǒng)在一個VLAN范圍內(nèi)，OA系統(tǒng)在另的一個VLAN范圍內(nèi)，各VLAN之間不直接交換數(shù)據(jù)，在必要的情況下，采取一定技術(shù)實現(xiàn)部分數(shù)據(jù)交換。在各個業(yè)務(wù)內(nèi)可以象總部一樣，通過VLAN的劃分，劃分業(yè)務(wù)VLAN和OA VLAN，隔離辦公網(wǎng)與業(yè)務(wù)網(wǎng)。VLAN技術(shù)是近階段較流行的局域網(wǎng)隔離技術(shù)，在一套硬件網(wǎng)絡(luò)環(huán)境內(nèi)運行許多個（視交換機支持數(shù)據(jù)）完全獨立、互不通信的局域網(wǎng)，看起來就象兩個完全分隔開的局域網(wǎng)系統(tǒng)。使用VLAN劃分開之后，當網(wǎng)絡(luò)信息通過路由器后，MAC地址信息都會被路由器的MAC地址所替代，VLAN的隔離作用消失。就是說總行內(nèi)和分行內(nèi)劃分出的業(yè)務(wù)VLAN和OA VLAN，在局域網(wǎng)內(nèi)根據(jù)路由策略，及對對MAC地址的判別，可使隔離的業(yè)務(wù)VLAN和OA VLAN按需實現(xiàn)通迅。遠程通訊是通過路由器的同一個廣域網(wǎng)端口，經(jīng)過廣域網(wǎng)傳輸后的業(yè)務(wù)網(wǎng)和OA網(wǎng)是無法通過VLAN技術(shù)加以隔離的。如不加以控制，總行的業(yè)務(wù)網(wǎng)和OA網(wǎng)雖然不能互相訪問，但總行的業(yè)務(wù)網(wǎng)可以和分行的OA網(wǎng)相互通訊，因此必須建立一定的訪問控制加以限制。因此要在路由器之后配備防火墻，執(zhí)行訪問控制功能，分劃業(yè)務(wù)網(wǎng)與OA網(wǎng)的通訊界線。 敏感數(shù)據(jù)區(qū)的保護 在線銷售和ERP系統(tǒng)內(nèi)存在許多敏感數(shù)區(qū)域（如業(yè)務(wù)系統(tǒng)主機等），這些敏感的數(shù)據(jù)區(qū)域要求嚴格保密，對訪問的權(quán)限有嚴格的限制，但所有的主機處于同一個網(wǎng)絡(luò)系統(tǒng)之內(nèi)，如不加以控制，這樣很容易造成網(wǎng)內(nèi)及網(wǎng)外的惡意攻擊，所以在這些數(shù)據(jù)區(qū)域的出入口要加以嚴格控制，在這些地方放置防火墻，防火墻執(zhí)行以下控制功能。1. 對來訪數(shù)據(jù)包進行過濾，只允許驗證合法主機數(shù)據(jù)包通過，禁止一切非授權(quán)主機訪問。2. 對來訪用戶進行驗證。防上非法用戶侵入。3. 運用網(wǎng)絡(luò)地址轉(zhuǎn)換及應(yīng)用代理使數(shù)據(jù)存儲區(qū)域與業(yè)務(wù)前端主機隔離，業(yè)務(wù)前端主機不直接與數(shù)據(jù)存儲區(qū)域建立網(wǎng)絡(luò)連接，所有的數(shù)據(jù)訪問通過防火墻的應(yīng)用代理完成，以保證數(shù)據(jù)存儲區(qū)域的安全。敏感數(shù)據(jù)區(qū)保護方案 通迅線路數(shù)據(jù)加密 在廣域網(wǎng)傳輸系統(tǒng)中，廣泛應(yīng)用到幀中繼、DDN、PSTN等等之類的通用線路，但這些線路大多數(shù)都是由通訊公司提供，與許多用戶在一套系統(tǒng)上使用他們的業(yè)務(wù)，由于這些線路都是暴露在公共場所，這樣很容易造成數(shù)據(jù)被盜。傳輸數(shù)據(jù)當中如果不進行數(shù)據(jù)加密，后果可想而知。所以對數(shù)據(jù)傳輸加密這是一非常重要的環(huán)節(jié)。對網(wǎng)絡(luò)數(shù)據(jù)加密大致分為以下幾處區(qū)域：1. 層加密 層加密，應(yīng)用程序?qū)ν饨缃粨Q數(shù)據(jù)時進行數(shù)據(jù)加密。主要優(yōu)點是使用方便、網(wǎng)絡(luò)中數(shù)據(jù)從源點到終點均得到保護、加密對網(wǎng)絡(luò)節(jié)點透明。缺點是某些信息必須以明文形式傳輸，容易被分析。此種加密已被廣泛應(yīng)用于各應(yīng)用程序當中，并有相應(yīng)的標準。2. 網(wǎng)絡(luò)層的數(shù)據(jù)加密在 的各個業(yè)務(wù)分支服務(wù)器之間建議采用VPN加密技術(shù)進行數(shù)據(jù)加密。VPN是通過標準的加密算法，對傳輸數(shù)據(jù)進行加密，在公用網(wǎng)上建立數(shù)據(jù)傳輸?shù)募用堋八淼馈?。加密實現(xiàn)是在IP層，與具體的廣域網(wǎng)協(xié)議無關(guān)，也就是說適應(yīng)不同的廣域網(wǎng)信道（DDN、幀中繼、PSTN等）。由于VPN技術(shù)已經(jīng)擁有標準，因此所有的VPN產(chǎn)品可以實現(xiàn)互通。 利用VPN技術(shù)對數(shù)據(jù)傳輸進行加密 防火墻自身的保護要保護網(wǎng)絡(luò)安全，防火墻本身要保證安全，由于系統(tǒng)供電、硬件故障等特殊情況的發(fā)生，使防火墻系統(tǒng)癱瘓，嚴重阻礙網(wǎng)絡(luò)通訊，網(wǎng)絡(luò)的安全就無法保證，所以要求防火墻有冗余措施及足夠防攻擊的能力。防火墻雙機備份方案 網(wǎng)絡(luò)安全設(shè)計目前，在發(fā)達國家，電子商務(wù)發(fā)展十分迅速，電子商務(wù)技術(shù)已趨成熟，通過Internet進行交易也已逐漸成為潮流，全球電子商務(wù)的應(yīng)用也已拉開帷幕。網(wǎng)上銀行在電子商務(wù)中的一個具體應(yīng)用，自1995年10月，全球第一家網(wǎng)上銀行開張，到1996年8月，已有600多家銀行上網(wǎng)，提供服務(wù)信息甚至在網(wǎng)上提供全套金融服務(wù)。1997年，研究企業(yè)對17個國家的130家大型金融機構(gòu)調(diào)查，發(fā)現(xiàn)13%已經(jīng)在網(wǎng)上與客戶直接交易。而1999年，60%在網(wǎng)上營業(yè)。在我國，Internet的應(yīng)用發(fā)展也很快，而且金融通訊網(wǎng)絡(luò)正在迅速擴大，我國的銀行金融系統(tǒng)，以銀行金融網(wǎng)絡(luò)為基礎(chǔ)，以現(xiàn)代支付系統(tǒng)為龍頭的金融電子化工程已經(jīng)全面鋪開，進展很快。建設(shè)網(wǎng)上銀行已是大勢所趨，而其中非常重要的一點就是整個系統(tǒng)的安全保證，包括數(shù)據(jù)的安全保證、交易的安全保證、支付的安全保證。現(xiàn)今有許多實現(xiàn)手段，以保證電子商務(wù)系統(tǒng)的安全運行，其中比較流行有如下幾種：l 電子商務(wù)系統(tǒng)防火墻l 信息加密l 身份認證l 信息簽名系統(tǒng)示意圖 設(shè)計說明：通過在電子商務(wù)平臺和INTERNET之間安裝NetScreen100，通過其基于狀態(tài)檢測包過濾，能有效的將非法的數(shù)據(jù)包排除在防火墻以外，通過NAT（網(wǎng)絡(luò)地址翻譯），將內(nèi)部服務(wù)器（如提供電子商務(wù)服務(wù)的服務(wù)器）的IP地址轉(zhuǎn)換成外部IP地址，能有效的防止黑客通過各種手段來攻擊或入侵內(nèi)部的服務(wù)器?？梢员ＷC電子商務(wù)平臺不受到入侵，能夠?qū)λ械男畔⒘鞣怄i，并且開放希望提供的服務(wù)。Netscreen100可以設(shè)置虛擬IP，選擇負載平衡算法，如輪詢、帶優(yōu)先級的輪詢、最少連接數(shù)、帶優(yōu)先級的最少優(yōu)先級等多種算法實現(xiàn)電子商務(wù)服務(wù)器的負載平衡。負載平衡示意可以將一個合法的外部IP地址映射給內(nèi)部多臺服務(wù)器的IP，由多臺服務(wù)器分擔網(wǎng)絡(luò)上訪問服務(wù)器的流量。如上圖中將一個IP地址：（各服務(wù)器IP不相同），以此來分擔整個網(wǎng)絡(luò)的流量，以保證網(wǎng)上銀行的電子商務(wù)平臺能夠安全、快速、穩(wěn)定的運行。同樣在電子商務(wù)平臺和企業(yè)管理網(wǎng)間也安裝Netscreen100，確保數(shù)據(jù)源控制，并且開啟防火墻的VPN功能，采用IPSEC協(xié)議，用點對點的DES和三倍DES加密，對傳輸數(shù)據(jù)加密，并且支持人工、自動ISAKMP密鑰管理，保證通過Internet進行商務(wù)活動不受破壞