【正文】 站進(jìn)行保護(hù)是非常必要的。網(wǎng)站實(shí)時(shí)監(jiān)控與恢復(fù)系統(tǒng)是一種網(wǎng)站的災(zāi)難恢復(fù)技術(shù)，它的立足點(diǎn)是在其它的網(wǎng)站安全措施，如使用防火墻、加強(qiáng)Web服務(wù)器軟件自身的安全性、清查不安全的CGI程序都失敗，網(wǎng)頁(yè)文件被黑客破壞的情況下，網(wǎng)站文件系統(tǒng)的自動(dòng)恢復(fù)問(wèn)題。 SAN網(wǎng)絡(luò)存儲(chǔ)/備份/災(zāi)難恢復(fù)：采用目前流行的群集技術(shù)SAN技術(shù)，將存儲(chǔ)設(shè)備從傳統(tǒng)的以太網(wǎng)中隔離出來(lái)，成為獨(dú)立的存儲(chǔ)域網(wǎng)絡(luò)。完全采用光纖連接，保證了數(shù)據(jù)傳輸帶寬達(dá)到100MB/S。使大量的數(shù)據(jù)只是在服務(wù)器和存儲(chǔ)設(shè)備之間流動(dòng)，不占用網(wǎng)絡(luò)帶寬及服務(wù)器資源。建立遠(yuǎn)程備份中心，進(jìn)行遠(yuǎn)程容災(zāi)備份，確保系統(tǒng)的數(shù)據(jù)安全。3 業(yè)務(wù)網(wǎng)絡(luò)安全設(shè)計(jì) 網(wǎng)絡(luò)安全設(shè)計(jì)原則l 防止來(lái)自外部的黑客攻擊l 防止來(lái)自內(nèi)部的惡意攻擊l 網(wǎng)絡(luò)資源訪問(wèn)控制l 網(wǎng)絡(luò)傳輸?shù)膶?shí)時(shí)監(jiān)控l 強(qiáng)大的安全審計(jì)l 事件分析與告警在本方案中，網(wǎng)絡(luò)的對(duì)外出口處以及在總行和分行之間的連接都設(shè)置防火墻將是最理想的選擇，外部網(wǎng)出口都配置防火墻，以及在總行與分行的業(yè)務(wù)網(wǎng)的連接處也配置防火墻，對(duì)外防止黑客入侵，對(duì)內(nèi)以防止內(nèi)部人員的惡意攻擊或由于內(nèi)部人員造成的網(wǎng)絡(luò)安全問(wèn)題。本方案中主要用到NetScreen10和NetScreen100，在總行與分行連接點(diǎn)采用NetScreen100作為防火墻，同時(shí)在重要的業(yè)務(wù)連接點(diǎn)采用NetScreen獨(dú)特的多機(jī)備份技術(shù)用兩臺(tái)作為熱備份，保證整個(gè)系統(tǒng)的網(wǎng)絡(luò)安全。在分行采用NetScreen10防火墻，為連接各終端以及服務(wù)器節(jié)點(diǎn)提供安全防護(hù)。 系統(tǒng)的安全設(shè)計(jì) 威脅及漏洞作為一個(gè)網(wǎng)絡(luò)營(yíng)銷和管理系統(tǒng)，由于涉及信息的敏感性自然會(huì)成為內(nèi)部和外部黑客攻擊的目標(biāo)，當(dāng)前 面臨的主要風(fēng)險(xiǎn)和威脅有： 非法訪問(wèn)：一個(gè)遠(yuǎn)程互連的網(wǎng)絡(luò)營(yíng)銷和管理系統(tǒng)。現(xiàn)有網(wǎng)絡(luò)系統(tǒng)利用操作系統(tǒng)網(wǎng)絡(luò)設(shè)備進(jìn)行訪問(wèn)控制，而這些訪問(wèn)控制強(qiáng)度較弱，攻擊者可以在任一終端利用現(xiàn)有的大量攻擊工具發(fā)起攻擊；由于整個(gè)網(wǎng)絡(luò)通過(guò)公用網(wǎng)絡(luò)互連同樣存在鏈接終端進(jìn)行攻擊的可能；另一方面 開(kāi)發(fā)的很多增值業(yè)務(wù)、代理業(yè)務(wù)，存在大量與外界互連的接口這些接口現(xiàn)在沒(méi)有強(qiáng)的安全保護(hù)措施存在外部網(wǎng)絡(luò)通過(guò)這些接口攻擊，可能造成巨大損失。竊取PIN/密鑰等敏感數(shù)據(jù)： 系統(tǒng)目前沒(méi)有使用任何的數(shù)據(jù)加密技術(shù)，因此安全的關(guān)鍵是對(duì)進(jìn)行數(shù)據(jù)加密保護(hù)，可以使用密鑰加密技術(shù)，從而避免主機(jī)中敏感數(shù)據(jù)的丟失。假冒終端/操作員： 網(wǎng)絡(luò)中存在大量遠(yuǎn)程終端通過(guò)公網(wǎng)與 前置機(jī)相連，因此， 網(wǎng)絡(luò)服務(wù)器存在大量安全隱患?，F(xiàn)有操作員身份識(shí)別唯一，但口令的安全性非常弱因此存在大量操作員假冒的安全風(fēng)險(xiǎn)。截獲和篡改傳輸數(shù)據(jù)： 現(xiàn)有網(wǎng)絡(luò)系統(tǒng)通過(guò)公網(wǎng)傳輸大量的數(shù)據(jù)沒(méi)有加密，由于信息量大且采用的是開(kāi)放的TCP/IP，現(xiàn)有的許多工具可以很容易的截獲、分析甚至修改信息，主機(jī)系統(tǒng)很容易成為被攻擊對(duì)象。其他安全風(fēng)險(xiǎn)：主要有病毒、系統(tǒng)安全（主要有操作系統(tǒng)、數(shù)據(jù)庫(kù)的安全配置）以及系統(tǒng)的安全備份等。 計(jì)說(shuō)明在對(duì) 網(wǎng)絡(luò)結(jié)初步分析后我們提出以下安全措施來(lái)安全處理。 圖四、 網(wǎng)絡(luò)安全防火墻保護(hù)總體示意圖通常電子商務(wù)，也包括 網(wǎng)絡(luò)中用到的通信線路涉及到：、FR、DDN、ISDN、撥號(hào)等通信接口和協(xié)議，因此，最佳的方案是在網(wǎng)絡(luò)層上采用先進(jìn)的NETSCREEN網(wǎng)絡(luò)安全技術(shù)，以有效的阻止外來(lái)的攻擊和保證業(yè)務(wù)數(shù)據(jù)在公網(wǎng)上的安全傳輸，同時(shí)在應(yīng)用層上提供對(duì)敏感數(shù)據(jù)加密消息進(jìn)行完整性鑒別及密鑰管理因此可以通過(guò)各級(jí)節(jié)點(diǎn)配備NETSCREEN100 來(lái)保證IP包的機(jī)密性。在業(yè)務(wù)系統(tǒng)中為了保護(hù)用戶敏感信息防止信息被非法篡改實(shí)現(xiàn)對(duì)業(yè)務(wù)數(shù)據(jù)加密、身份認(rèn)證等安全功能。 系統(tǒng)的安全設(shè)計(jì) 各業(yè)務(wù)系統(tǒng)的分離 現(xiàn)有網(wǎng)絡(luò)上部署了多種應(yīng)用，包括ERP系統(tǒng)、CRM系統(tǒng)、內(nèi)部OA系統(tǒng)、在線銷售系統(tǒng)、在線銷售管理系統(tǒng)等一系列的業(yè)務(wù)系統(tǒng)，這些業(yè)務(wù)系統(tǒng)之間存在一定的聯(lián)系，但又要防止侵權(quán)使用資源，特別是在線銷售系統(tǒng)與ERP和管理系統(tǒng)，所以各業(yè)務(wù)系統(tǒng)的隔離是保障業(yè)系統(tǒng)安全的一個(gè)重環(huán)節(jié)。圖五、各業(yè)務(wù)系統(tǒng)隔離方案在企業(yè)內(nèi)部，各業(yè)務(wù)系統(tǒng)使用的主機(jī)IP地址要有嚴(yán)格的區(qū)分，為建立訪問(wèn)控制機(jī)制為核心的隔離措施提供方便。在局域網(wǎng)當(dāng)中，通過(guò)具有第二層（支持VLAN劃分，VLAN為虛擬局域網(wǎng)）或三層交換的交換機(jī)（支持VLAN劃分及網(wǎng)內(nèi)路由），劃分業(yè)務(wù)系統(tǒng)在一個(gè)VLAN范圍內(nèi)，OA系統(tǒng)在另的一個(gè)VLAN范圍內(nèi)，各VLAN之間不直接交換數(shù)據(jù)，在必要的情況下，采取一定技術(shù)實(shí)現(xiàn)部分?jǐn)?shù)據(jù)交換。在各個(gè)業(yè)務(wù)內(nèi)可以象總部一樣，通過(guò)VLAN的劃分，劃分業(yè)務(wù)VLAN和OA VLAN，隔離辦公網(wǎng)與業(yè)務(wù)網(wǎng)。VLAN技術(shù)是近階段較流行的局域網(wǎng)隔離技術(shù)，在一套硬件網(wǎng)絡(luò)環(huán)境內(nèi)運(yùn)行許多個(gè)（視交換機(jī)支持?jǐn)?shù)據(jù)）完全獨(dú)立、互不通信的局域網(wǎng)，看起來(lái)就象兩個(gè)完全分隔開(kāi)的局域網(wǎng)系統(tǒng)。使用VLAN劃分開(kāi)之后，當(dāng)網(wǎng)絡(luò)信息通過(guò)路由器后，MAC地址信息都會(huì)被路由器的MAC地址所替代，VLAN的隔離作用消失。就是說(shuō)總行內(nèi)和分行內(nèi)劃分出的業(yè)務(wù)VLAN和OA VLAN，在局域網(wǎng)內(nèi)根據(jù)路由策略，及對(duì)對(duì)MAC地址的判別，可使隔離的業(yè)務(wù)VLAN和OA VLAN按需實(shí)現(xiàn)通迅。遠(yuǎn)程通訊是通過(guò)路由器的同一個(gè)廣域網(wǎng)端口，經(jīng)過(guò)廣域網(wǎng)傳輸后的業(yè)務(wù)網(wǎng)和OA網(wǎng)是無(wú)法通過(guò)VLAN技術(shù)加以隔離的。如不加以控制，總行的業(yè)務(wù)網(wǎng)和OA網(wǎng)雖然不能互相訪問(wèn)，但總行的業(yè)務(wù)網(wǎng)可以和分行的OA網(wǎng)相互通訊，因此必須建立一定的訪問(wèn)控制加以限制。因此要在路由器之后配備防火墻，執(zhí)行訪問(wèn)控制功能，分劃業(yè)務(wù)網(wǎng)與OA網(wǎng)的通訊界線。 敏感數(shù)據(jù)區(qū)的保護(hù) 在線銷售和ERP系統(tǒng)內(nèi)存在許多敏感數(shù)區(qū)域（如業(yè)務(wù)系統(tǒng)主機(jī)等），這些敏感的數(shù)據(jù)區(qū)域要求嚴(yán)格保密，對(duì)訪問(wèn)的權(quán)限有嚴(yán)格的限制，但所有的主機(jī)處于同一個(gè)網(wǎng)絡(luò)系統(tǒng)之內(nèi)，如不加以控制，這樣很容易造成網(wǎng)內(nèi)及網(wǎng)外的惡意攻擊，所以在這些數(shù)據(jù)區(qū)域的出入口要加以嚴(yán)格控制，在這些地方放置防火墻，防火墻執(zhí)行以下控制功能。1. 對(duì)來(lái)訪數(shù)據(jù)包進(jìn)行過(guò)濾，只允許驗(yàn)證合法主機(jī)數(shù)據(jù)包通過(guò)，禁止一切非授權(quán)主機(jī)訪問(wèn)。2. 對(duì)來(lái)訪用戶進(jìn)行驗(yàn)證。防上非法用戶侵入。3. 運(yùn)用網(wǎng)絡(luò)地址轉(zhuǎn)換及應(yīng)用代理使數(shù)據(jù)存儲(chǔ)區(qū)域與業(yè)務(wù)前端主機(jī)隔離，業(yè)務(wù)前端主機(jī)不直接與數(shù)據(jù)存儲(chǔ)區(qū)域建立網(wǎng)絡(luò)連接，所有的數(shù)據(jù)訪問(wèn)通過(guò)防火墻的應(yīng)用代理完成，以保證數(shù)據(jù)存儲(chǔ)區(qū)域的安全。敏感數(shù)據(jù)區(qū)保護(hù)方案 通迅線路數(shù)據(jù)加密 在廣域網(wǎng)傳輸系統(tǒng)中，廣泛應(yīng)用到幀中繼、DDN、PSTN等等之類的通用線路，但這些線路大多數(shù)都是由通訊公司提供，與許多用戶在一套系統(tǒng)上使用他們的業(yè)務(wù)，由于這些線路都是暴露在公共場(chǎng)所，這樣很容易造成數(shù)據(jù)被盜。傳輸數(shù)據(jù)當(dāng)中如果不進(jìn)行數(shù)據(jù)加密，后果可想而知。所以對(duì)數(shù)據(jù)傳輸加密這是一非常重要的環(huán)節(jié)。對(duì)網(wǎng)絡(luò)數(shù)據(jù)加密大致分為以下幾處區(qū)域：1. 層加密 層加密，應(yīng)用程序?qū)ν饨缃粨Q數(shù)據(jù)時(shí)進(jìn)行數(shù)據(jù)加密。主要優(yōu)點(diǎn)是使用方便、網(wǎng)絡(luò)中數(shù)據(jù)從源點(diǎn)到終點(diǎn)均得到保護(hù)、加密對(duì)網(wǎng)絡(luò)節(jié)點(diǎn)透明。缺點(diǎn)是某些信息必須以明文形式傳輸，容易被分析。此種加密已被廣泛應(yīng)用于各應(yīng)用程序當(dāng)中，并有相應(yīng)的標(biāo)準(zhǔn)。2. 網(wǎng)絡(luò)層的數(shù)據(jù)加密在 的各個(gè)業(yè)務(wù)分支服務(wù)器之間建議采用VPN加密技術(shù)進(jìn)行數(shù)據(jù)加密。VPN是通過(guò)標(biāo)準(zhǔn)的加密算法，對(duì)傳輸數(shù)據(jù)進(jìn)行加密，在公用網(wǎng)上建立數(shù)據(jù)傳輸?shù)募用堋八淼馈薄＜用軐?shí)現(xiàn)是在IP層，與具體的廣域網(wǎng)協(xié)議無(wú)關(guān)，也就是說(shuō)適應(yīng)不同的廣域網(wǎng)信道（DDN、幀中繼、PSTN等）。由于VPN技術(shù)已經(jīng)擁有標(biāo)準(zhǔn)，因此所有的VPN產(chǎn)品可以實(shí)現(xiàn)互通。 利用VPN技術(shù)對(duì)數(shù)據(jù)傳輸進(jìn)行加密 防火墻自身的保護(hù)要保護(hù)網(wǎng)絡(luò)安全，防火墻本身要保證安全，由于系統(tǒng)供電、硬件故障等特殊情況的發(fā)生，使防火墻系統(tǒng)癱瘓，嚴(yán)重阻礙網(wǎng)絡(luò)通訊，網(wǎng)絡(luò)的安全就無(wú)法保證，所以要求防火墻有冗余措施及足夠防攻擊的能力。防火墻雙機(jī)備份方案 網(wǎng)絡(luò)安全設(shè)計(jì)目前，在發(fā)達(dá)國(guó)家，電子商務(wù)發(fā)展十分迅速，電子商務(wù)技術(shù)已趨成熟，通過(guò)Internet進(jìn)行交易也已逐漸成為潮流，全球電子商務(wù)的應(yīng)用也已拉開(kāi)帷幕。網(wǎng)上銀行在電子商務(wù)中的一個(gè)具體應(yīng)用，自1995年10月，全球第一家網(wǎng)上銀行開(kāi)張，到1996年8月，已有600多家銀行上網(wǎng)，提供服務(wù)信息甚至在網(wǎng)上提供全套金融服務(wù)。1997年，研究企業(yè)對(duì)17個(gè)國(guó)家的130家大型金融機(jī)構(gòu)調(diào)查，發(fā)現(xiàn)13%已經(jīng)在網(wǎng)上與客戶直接交易。而1999年，60%在網(wǎng)上營(yíng)業(yè)。在我國(guó)，Internet的應(yīng)用發(fā)展也很快，而且金融通訊網(wǎng)絡(luò)正在迅速擴(kuò)大，我國(guó)的銀行金融系統(tǒng)，以銀行金融網(wǎng)絡(luò)為基礎(chǔ)，以現(xiàn)代支付系統(tǒng)為龍頭的金融電子化工程已經(jīng)全面鋪開(kāi)，進(jìn)展很快。建設(shè)網(wǎng)上銀行已是大勢(shì)所趨，而其中非常重要的一點(diǎn)就是整個(gè)系統(tǒng)的安全保證，包括數(shù)據(jù)的安全保證、交易的安全保證、支付的安全保證?，F(xiàn)今有許多實(shí)現(xiàn)手段，以保證電子商務(wù)系統(tǒng)的安全運(yùn)行，其中比較流行有如下幾種：l 電子商務(wù)系統(tǒng)防火墻l 信息加密l 身份認(rèn)證l 信息簽名系統(tǒng)示意圖 設(shè)計(jì)說(shuō)明：通過(guò)在電子商務(wù)平臺(tái)和INTERNET之間安裝NetScreen100，通過(guò)其基于狀態(tài)檢測(cè)包過(guò)濾，能有效的將非法的數(shù)據(jù)包排除在防火墻以外，通過(guò)NAT（網(wǎng)絡(luò)地址翻譯），將內(nèi)部服務(wù)器（如提供電子商務(wù)服務(wù)的服務(wù)器）的IP地址轉(zhuǎn)換成外部IP地址，能有效的防止黑客通過(guò)各種手段來(lái)攻擊或入侵內(nèi)部的服務(wù)器?？梢员ＷC電子商務(wù)平臺(tái)不受到入侵，能夠?qū)λ械男畔⒘鞣怄i，并且開(kāi)放希望提供的服務(wù)。Netscreen100可以設(shè)置虛擬IP，選擇負(fù)載平衡算法，如輪詢、帶優(yōu)先級(jí)的輪詢、最少連接數(shù)、帶優(yōu)先級(jí)的最少優(yōu)先級(jí)等多種算法實(shí)現(xiàn)電子商務(wù)服務(wù)器的負(fù)載平衡。負(fù)載平衡示意可以將一個(gè)合法的外部IP地址映射給內(nèi)部多臺(tái)服務(wù)器的IP，由多臺(tái)服務(wù)器分擔(dān)網(wǎng)絡(luò)上訪問(wèn)服務(wù)器的流量。如上圖中將一個(gè)IP地址：（各服務(wù)器IP不相同），以此來(lái)分擔(dān)整個(gè)網(wǎng)絡(luò)的流量，以保證網(wǎng)上銀行的電子商務(wù)平臺(tái)能夠安全、快速、穩(wěn)定的運(yùn)行。同樣在電子商務(wù)平臺(tái)和企業(yè)管理網(wǎng)間也安裝Netscreen100，確保數(shù)據(jù)源控制，并且開(kāi)啟防火墻的VPN功能，采用IPSEC協(xié)議，用點(diǎn)對(duì)點(diǎn)的DES和三倍DES加密，對(duì)傳輸數(shù)據(jù)加密，并且支持人工、自動(dòng)ISAKMP密鑰管理，保證通過(guò)Internet進(jìn)行商務(wù)活動(dòng)不受破壞