【正文】 的范圍，變得很難執(zhí)行或無法執(zhí)行。單靠技術(shù)或單靠管理都不可能真正解決安全問題的，必須堅持技術(shù)和管理相結(jié)合的原則。7）系統(tǒng)可伸縮性原則XXX企業(yè)網(wǎng)絡(luò)系統(tǒng)將隨著網(wǎng)絡(luò)和應用技術(shù)的發(fā)展而發(fā)生變化，同時信息安全技術(shù)也在發(fā)展，因此安全系統(tǒng)的建設(shè)必須考慮系統(tǒng)可升級性和可伸縮性。4 網(wǎng)絡(luò)安全總體設(shè)計一個網(wǎng)絡(luò)系統(tǒng)的安全建設(shè)通常包括許多方面，包括物理安全、數(shù)據(jù)安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、安全管理等，而一個安全系統(tǒng)的安全等級，又是按照木桶原理來實現(xiàn)的。由于許多重要的信息都通過網(wǎng)絡(luò)進行交換， 網(wǎng)絡(luò)傳輸由于XXX企業(yè)中心內(nèi)部網(wǎng)絡(luò)存在兩套網(wǎng)絡(luò)系統(tǒng)，其中一套為企業(yè)內(nèi)部網(wǎng)絡(luò)，主要運行的是內(nèi)部辦公、業(yè)務系統(tǒng)等；另一套是與INTERNET相連，通過ADSL接入，并與企業(yè)系統(tǒng)內(nèi)部的上、下級機構(gòu)網(wǎng)絡(luò)相連。而INTERNET本身就缺乏有效的安全保護，如果不采取相應的安全措施，易受到來自網(wǎng)絡(luò)上任意主機的監(jiān)聽而造成重要信息的泄密或非法篡改，產(chǎn)生嚴重的后果?？稍诿考壒芾碛騼?nèi)設(shè)置一套VPN設(shè)備，由VPN設(shè)備實現(xiàn)網(wǎng)絡(luò)傳輸?shù)募用鼙Ｗo。即在每一級的中心網(wǎng)絡(luò)安裝一臺VPN設(shè)備和一臺VPN認證服務器（VPNCA），在所屬的直屬單位的網(wǎng)絡(luò)接入處安裝一臺VPN設(shè)備，由上級的VPN認證服務器通過網(wǎng)絡(luò)對下一級的VPN設(shè)備進行集中統(tǒng)一的網(wǎng)絡(luò)化管理。將對外服務器放置于VPN設(shè)備的DMZ口與內(nèi)部網(wǎng)絡(luò)進行隔離，禁止外網(wǎng)直接訪問內(nèi)網(wǎng)，控制內(nèi)網(wǎng)的對外訪問、記錄日志。下級單位的VPN設(shè)備放置如下圖所示：圖43 下級單位VPN設(shè)置圖從圖44可知，下屬機構(gòu)的VPN設(shè)備放置于內(nèi)部網(wǎng)絡(luò)與路由器之間，其配置、管理由上級機構(gòu)通過網(wǎng)絡(luò)實現(xiàn)，下屬機構(gòu)不需要做任何的管理，僅需要檢查是否通電即可。由于網(wǎng)絡(luò)安全的是一個綜合的系統(tǒng)工程，是由許多因素決定的，而不是僅僅采用高檔的安全產(chǎn)品就能解決，因此對安全設(shè)備的管理就顯得尤為重要。而用戶的技術(shù)人員往往不可能都是專業(yè)的，因此，容易出現(xiàn)上述現(xiàn)象；同時，每個維護人員的水平也有差異，容易出現(xiàn)相互配置上的錯誤使網(wǎng)絡(luò)中斷。 訪問控制由于XXX企業(yè)廣域網(wǎng)網(wǎng)絡(luò)部分通過公共網(wǎng)絡(luò)建立，其在網(wǎng)絡(luò)上必定會受到來自INTERNET上許多非法用戶的攻擊和訪問，如試圖進入網(wǎng)絡(luò)系統(tǒng)、竊取敏感信息、破壞系統(tǒng)數(shù)據(jù)、設(shè)置惡意代碼、使系統(tǒng)服務嚴重降低或癱瘓等，因此，采取相應的安全措施是必不可少的。由于采用防火墻、VPN技術(shù)融為一體的安全設(shè)備，并采取網(wǎng)絡(luò)化的統(tǒng)一管理，因此具有以下幾個方面的優(yōu)點：l 管理、維護簡單、方便；l 安全性高（可有效降低在安全設(shè)備使用上的配置漏洞）；l 硬件成本和維護成本低；l 網(wǎng)絡(luò)運行的穩(wěn)定性更高由于是采用一體化設(shè)備，比之傳統(tǒng)解決方案中采用防火墻和加密機兩個設(shè)備而言，其穩(wěn)定性更高，故障率更低。作為必要的補充，入侵檢測系統(tǒng)（IDS）可與安全VPN系統(tǒng)形成互補。從而防止針對網(wǎng)絡(luò)的攻擊與犯罪行為?？刂婆_用作制定及管理所有探測器（網(wǎng)絡(luò)引擎）。由于探測器采取的是監(jiān)聽而不是過濾數(shù)據(jù)包，因此，入侵檢測系統(tǒng)的應用不會對網(wǎng)絡(luò)系統(tǒng)性能造成多大影響。入侵檢測儀在使用上是獨立網(wǎng)絡(luò)使用的，網(wǎng)絡(luò)數(shù)據(jù)全部通過VPN設(shè)備，而入侵檢測設(shè)備在網(wǎng)絡(luò)上進行疹聽，監(jiān)控網(wǎng)絡(luò)狀況，一旦發(fā)現(xiàn)攻擊行為將通過報警、通知VPN設(shè)備中斷網(wǎng)絡(luò)（即IDS與VPN聯(lián)動功能）等方式進行控制（即安全設(shè)備自適應機制），最后將攻擊行為進行日志記錄以供以后審查。由于網(wǎng)絡(luò)安全系統(tǒng)在建立后并不是長期保持很高的安全性，而是隨著時間的推移和技術(shù)的發(fā)展而不斷下降的，同時，在使用過程中會出現(xiàn)新的安全問題，因此，作為安全系統(tǒng)建設(shè)的補充，采取相應的措施也是必然。 其它對復雜或有特殊要求的網(wǎng)絡(luò)環(huán)境，在采取安全措施上應當特殊考慮，增加新的安全措施。由于目前主要的操作系統(tǒng)平臺是建立在國外產(chǎn)品的基礎(chǔ)上，因而存在很大的安全隱患。一般用戶運行在PC機上的NT平臺，在選擇性地用好NT安全機制的同時，應加強監(jiān)控管理。其中的用戶應同時包括各級管理員用戶和各類業(yè)務用戶。在選擇這些應用系統(tǒng)時，應當盡量選擇國內(nèi)軟件開發(fā)商進行開發(fā)，系統(tǒng)類型也應當盡量采用國內(nèi)自主開發(fā)的應用系統(tǒng)。具體而言，就是針對網(wǎng)絡(luò)中所有可能的病毒攻擊設(shè)置對應的防毒軟件，通過全方位、多層次的防毒系統(tǒng)配置，使網(wǎng)絡(luò)沒有薄弱環(huán)節(jié)成為病毒入侵的缺口。病毒對信息系統(tǒng)的正常工作運行產(chǎn)生很大影響，據(jù)統(tǒng)計，信息系統(tǒng)的60%癱瘓是由于感染病毒引起的。l 貫徹川大能士“層層設(shè)防，集中控管，以防為主、防治結(jié)合”的企業(yè)防毒策略。l 充分考慮XXX網(wǎng)絡(luò)的系統(tǒng)數(shù)據(jù)、文件的安全可靠性，所選產(chǎn)品與現(xiàn)系統(tǒng)具有良好的一致性和兼容性，以及最低的系統(tǒng)資源占用，保證不對現(xiàn)有系統(tǒng)運行產(chǎn)生不良影響。l 所選用產(chǎn)品具備對多種壓縮格式文件的病毒檢測。l 應用經(jīng)由ICSA（國際電腦安全協(xié)會）技術(shù)認證的掃描引擎，保證對包括各種千面人病毒、變種病毒和黑客程序等具有最佳的病毒偵測率，除對已知病毒具備全面的偵防能力，對未知病毒亦有良好的偵測能力。l 完全自動化的日常維護，便于進行病毒碼及掃描引擎的更新。l 具有良好的可擴充性，充分保護用戶的現(xiàn)有投資，適應 XXX網(wǎng)絡(luò)系統(tǒng)的今后發(fā)展需要 產(chǎn)品應用根據(jù)XXX企業(yè)網(wǎng)絡(luò)系統(tǒng)的結(jié)構(gòu)和應用特點，病毒防御可采取多種措施：l 網(wǎng)關(guān)防毒；l 服務器防毒；l 客戶端防毒；l 郵件防毒；應用拓撲如下圖：圖44病毒應用拓撲圖在網(wǎng)絡(luò)骨干接入處，安裝防毒墻（即安裝有網(wǎng)關(guān)殺毒軟件的獨立網(wǎng)關(guān)設(shè)備），由防毒墻實現(xiàn)網(wǎng)絡(luò)接入處的病毒防護。在服務器上安裝單獨的服務器殺毒產(chǎn)品，對服務器進行病毒保護?？稍诜掌魃习惭b客戶端防病毒產(chǎn)品（客戶端殺毒軟件的工作模式是服務器端、客戶端的方式）的服務器端，由客戶端通過網(wǎng)絡(luò)與服務器端連接后進行網(wǎng)絡(luò)化安裝。對郵件系統(tǒng)，可采取安裝專用郵件殺毒產(chǎn)品，通過在郵件服務器上安裝郵件殺毒程序，實現(xiàn)對內(nèi)部郵件的殺毒，保證郵件在收、發(fā)時都是經(jīng)過檢查的，確保郵件無毒。 數(shù)據(jù)備份作為國家機關(guān)，XXX企業(yè)內(nèi)部存在大量的數(shù)據(jù)，而這里面又有許多重要的、機密的信息。在采取數(shù)據(jù)備份時應該注意以下幾點：l 存儲介質(zhì)安全在選擇存儲介質(zhì)上應選擇保存時間長，對環(huán)境要求低的存儲產(chǎn)品，并采取多種存儲介質(zhì)備份。l 數(shù)據(jù)安全即數(shù)據(jù)在備份前是真實數(shù)據(jù)，沒有經(jīng)過篡改或含有病毒。l 備份數(shù)據(jù)的保管對存有備份數(shù)據(jù)的存儲介質(zhì)，應保存在安全的地方，防火、防盜及各種災害，并注意保存環(huán)境（溫度、濕度等）的正常。對重要備份數(shù)據(jù)的異地、多處備份（避免類似美國911事件為各公司產(chǎn)生的影響） 安全審計作為一個良好的安全系統(tǒng)，安全審計必不可少。 認證、鑒別、數(shù)字簽名、抗抵賴 由于XXX企業(yè)網(wǎng)絡(luò)系統(tǒng)龐大，上面存在很多分級的重要信息；同時，由于現(xiàn)在國家正在大力推進電子政務的發(fā)展，網(wǎng)上辦公已經(jīng)越來越多的被應用到各級政府部門當中，因此，需要對網(wǎng)上用戶的身份、操作權(quán)限等進行控制和授權(quán)。 物理安全XXX企業(yè)網(wǎng)絡(luò)系統(tǒng)的物理安全要求是保護計算機網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭地震、水災、火災和雷擊等環(huán)境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導致的破壞過程。而現(xiàn)在的實際使用是采用手工拔插網(wǎng)線的方式進行切換，這使得使用中非常不方便。 隔離卡工作方式 隔