大型企業(yè)網(wǎng)絡(luò)安全整體解決方案【年】

1、XXX責(zé)任有限公司 網(wǎng)絡(luò)安全整體解決方案目 錄 TOC o 1-3 h z HYPERLINK l _Toc38029143 第一部分 網(wǎng)絡(luò)安全概述 PAGEREF _Toc38029143 h HYPERLINK l _Toc38029144 第一章網(wǎng)絡(luò)安全體系的基本認(rèn)識 PAGEREF _Toc38029144 h HYPERLINK l _Toc38029145 第二章網(wǎng)絡(luò)安全技術(shù)概述 PAGEREF _Toc38029145 h HYPERLINK l _Toc38029146 一.虛擬網(wǎng)技術(shù) PAGEREF _Toc38029146 h HYPERLINK l _Toc3802914

2、7 二.防火墻枝術(shù) PAGEREF _Toc38029147 h HYPERLINK l _Toc38029148 三.病毒防護技術(shù) PAGEREF _Toc38029148 h HYPERLINK l _Toc38029149 四.入侵檢測技術(shù) PAGEREF _Toc38029149 h HYPERLINK l _Toc38029150 五.安全掃描技術(shù) PAGEREF _Toc38029150 h HYPERLINK l _Toc38029151 六.認(rèn)證和數(shù)宇簽名技術(shù) PAGEREF _Toc38029151 h HYPERLINK l _Toc38029152 七.VPN技術(shù) PAG

3、EREF _Toc38029152 h HYPERLINK l _Toc38029153 八.應(yīng)用系統(tǒng)的安全技術(shù) PAGEREF _Toc38029153 h HYPERLINK l _Toc38029154 第二部分 XXX責(zé)任有限公司安全方案 PAGEREF _Toc38029154 h HYPERLINK l _Toc38029155 第一章網(wǎng)絡(luò)安全需求分析 PAGEREF _Toc38029155 h HYPERLINK l _Toc38029156 一當(dāng)前網(wǎng)絡(luò)狀況 PAGEREF _Toc38029156 h HYPERLINK l _Toc38029157 二、安全需求分析 PAG

4、EREF _Toc38029157 h HYPERLINK l _Toc38029158 第二章安全解決方案分析 PAGEREF _Toc38029158 h HYPERLINK l _Toc38029159 一. 網(wǎng)絡(luò)配置結(jié)構(gòu)圖 PAGEREF _Toc38029159 h HYPERLINK l _Toc38029160 二. 公司總部安全配置 PAGEREF _Toc38029160 h HYPERLINK l _Toc38029161 三. 營業(yè)網(wǎng)點安全設(shè)置 PAGEREF _Toc38029161 h HYPERLINK l _Toc38029162 四. 產(chǎn)品配置說明 PAGERE

5、F _Toc38029162 h HYPERLINK l _Toc38029163 第三章防火墻解決方案Checkpoint Firewall-1 PAGEREF _Toc38029163 h HYPERLINK l _Toc38029164 一.防火墻部署示意圖 PAGEREF _Toc38029164 h HYPERLINK l _Toc38029165 二.防火墻安全策略配置和管理 PAGEREF _Toc38029165 h HYPERLINK l _Toc38029166 三Checkpoit防火墻簡介 PAGEREF _Toc38029166 h HYPERLINK l _Toc3

6、8029167 第四章防病毒解決方案TrendMicro AntiVirus Total Solution PAGEREF _Toc38029167 h HYPERLINK l _Toc38029168 1防病毒中央管理控制系統(tǒng) PAGEREF _Toc38029168 h HYPERLINK l _Toc38029169 2服務(wù)器防毒系統(tǒng)設(shè)計 PAGEREF _Toc38029169 h HYPERLINK l _Toc38029170 3客戶機防毒系統(tǒng)設(shè)計 PAGEREF _Toc38029170 h HYPERLINK l _Toc38029171 第五章NFR入侵監(jiān)測 PAGEREF

7、_Toc38029171 h HYPERLINK l _Toc38029172 一、NFR入侵監(jiān)測的配置 PAGEREF _Toc38029172 h HYPERLINK l _Toc38029173 二、NFR入侵監(jiān)測產(chǎn)品簡介 PAGEREF _Toc38029173 h HYPERLINK l _Toc38029174 第六章身份認(rèn)證安全方案 PAGEREF _Toc38029174 h HYPERLINK l _Toc38029175 一Spa產(chǎn)品配置圖 PAGEREF _Toc38029175 h HYPERLINK l _Toc38029176 二Spa產(chǎn)品簡介 PAGEREF _T

8、oc38029176 h HYPERLINK l _Toc38029177 第七章內(nèi)部網(wǎng)絡(luò)安全管理制度和技術(shù)實現(xiàn) PAGEREF _Toc38029177 h HYPERLINK l _Toc38029178 第三部分 安全服務(wù)及相關(guān)培訓(xùn) PAGEREF _Toc38029178 h HYPERLINK l _Toc38029179 第一章 產(chǎn)品和安全培訓(xùn) PAGEREF _Toc38029179 h HYPERLINK l _Toc38029180 一 產(chǎn)品安裝培訓(xùn) PAGEREF _Toc38029180 h HYPERLINK l _Toc38029181 二網(wǎng)絡(luò)信息安全培訓(xùn) PAGER

9、EF _Toc38029181 h HYPERLINK l _Toc38029182 三、網(wǎng)絡(luò)安全產(chǎn)品的認(rèn)證培訓(xùn) PAGEREF _Toc38029182 h HYPERLINK l _Toc38029183 第二章 大連XX網(wǎng)絡(luò)安全服務(wù) PAGEREF _Toc38029183 h HYPERLINK l _Toc38029184 總結(jié) PAGEREF _Toc38029184 h 第一部分 網(wǎng)絡(luò)安全概述網(wǎng)絡(luò)安全體系的基本認(rèn)識 自信息系統(tǒng)開始運行以來就存在信息系統(tǒng)安全問題，通過網(wǎng)絡(luò)遠程訪問而構(gòu)成的安全威脅成為日益受到嚴(yán)重關(guān)注的問題。根據(jù)美國FBI的調(diào)查，美國每年因為網(wǎng)絡(luò)安全造成的經(jīng)濟損失超過

10、1.5萬億美元。（一）安全威脅 由于企業(yè)網(wǎng)絡(luò)內(nèi)運行的主要是多種網(wǎng)絡(luò)協(xié)議，而這些網(wǎng)絡(luò)協(xié)議并非專為安全通訊而設(shè)計。所以，企業(yè)網(wǎng)絡(luò)可能存在的安全威脅來自以下方面： (1) 操作系統(tǒng)的安全性。目前流行的許多操作系統(tǒng)均存在網(wǎng)絡(luò)安全漏洞，如UNIX服務(wù)器，NT服務(wù)器及Windows桌面PC。 (2) 防火墻的安全性。防火墻產(chǎn)品自身是否安全，是否設(shè)置錯誤，需要經(jīng)過檢驗。 (3) 來自內(nèi)部網(wǎng)用戶的安全威脅。 (4) 缺乏有效的手段監(jiān)視、評估網(wǎng)絡(luò)系統(tǒng)的安全性。 (5) 采用的TCP/IP協(xié)議族軟件，本身缺乏安全性。 (6) 未能對來自Internet的電子郵件夾帶的病毒及Web瀏覽可能存在的Java/Activ

11、eX控件進行有效控制。 (7) 應(yīng)用服務(wù)的安全，許多應(yīng)用服務(wù)系統(tǒng)在訪問控制及安全通訊方面考慮較少，并且，如果系統(tǒng)設(shè)置錯誤，很容易造成損失。（二）網(wǎng)絡(luò)安全的需求1、企業(yè)網(wǎng)絡(luò)的基本安全需求 滿足基本的安全要求，是該網(wǎng)絡(luò)成功運行的必要條件，在此基礎(chǔ)上提供強有力的安全保障，是建設(shè)企業(yè)網(wǎng)絡(luò)系統(tǒng)安全的重要原則。 企業(yè)網(wǎng)絡(luò)內(nèi)部部署了眾多的網(wǎng)絡(luò)設(shè)備、服務(wù)器，保護這些設(shè)備的正常運行，維護主要業(yè)務(wù)系統(tǒng)的安全，是企業(yè)網(wǎng)絡(luò)的基本安全需求。 對于各科各樣的網(wǎng)絡(luò)攻擊，如何在提供靈活且高效的網(wǎng)絡(luò)通訊及信息服務(wù)的同時，抵御和發(fā)現(xiàn)網(wǎng)絡(luò)攻擊，并且提供跟蹤攻擊的手段，是本項目需要解決的問題。2、業(yè)務(wù)系統(tǒng)的安全需求與普通網(wǎng)絡(luò)應(yīng)用不同

12、的是，業(yè)務(wù)系統(tǒng)是企業(yè)應(yīng)用的核心。對于業(yè)務(wù)系統(tǒng)應(yīng)該具有最高的網(wǎng)絡(luò)安全措施。企業(yè)網(wǎng)絡(luò)應(yīng)保障：訪問控制，確保業(yè)務(wù)系統(tǒng)不被非法訪問。數(shù)據(jù)安全，保證數(shù)據(jù)庫軟硬件系統(tǒng)的整體安全性和可靠性。入侵檢測，對于試圖破壞業(yè)務(wù)系統(tǒng)的惡意行為能夠及時發(fā)現(xiàn)、記錄和跟蹤，提供非法攻擊的犯罪證據(jù)。來自網(wǎng)絡(luò)內(nèi)部其他系統(tǒng)的破壞，或誤操作造成的安全隱患。3、Internet服務(wù)網(wǎng)絡(luò)的安全需求Internet服務(wù)網(wǎng)絡(luò)分為兩個部分：提供網(wǎng)絡(luò)用戶對Internet的訪問：提供Internet對網(wǎng)內(nèi)服務(wù)的訪問。網(wǎng)絡(luò)內(nèi)客戶對Internet的訪問，有可能帶來某些類型的網(wǎng)絡(luò)安全。如通過電子郵件、FTP引入病毒、危險的Java或ActiveX應(yīng)

13、用等。因此，需要在網(wǎng)絡(luò)內(nèi)對上述情況提供集成的網(wǎng)絡(luò)病毒檢測、消除等操作。網(wǎng)絡(luò)安全需求是保護網(wǎng)絡(luò)不受破壞，確保網(wǎng)絡(luò)服務(wù)的可用性，作為信息網(wǎng)絡(luò)之間的互聯(lián)的邊界安全應(yīng)作為主要安全需求：需要保證信息網(wǎng)絡(luò)之間安全互聯(lián)，能夠?qū)崿F(xiàn)網(wǎng)絡(luò)安全隔離；對于專有應(yīng)用的安全服務(wù)；必要的信息交互的可信任性；能夠提供對于主流網(wǎng)絡(luò)應(yīng)用（如WWW、Mail、Ftp、Oicq和NetMeeting等）良好支持，并能夠?qū)崿F(xiàn)安全應(yīng)用；同時信息網(wǎng)絡(luò)公共資源能夠?qū)﹂_放用戶提供安全訪問；能夠防范包括：利用Http應(yīng)用，通過Java Applet、ActiveX以及Java Script形式；利用Ftp應(yīng)用，通過文件傳輸形式；利用SMTP應(yīng)用

14、，通過對郵件分析及利用附件所造成的信息泄漏和有害信息對于信息網(wǎng)絡(luò)的侵害；對網(wǎng)絡(luò)安全事件的審計；對于網(wǎng)絡(luò)安全狀態(tài)的量化評估；對網(wǎng)絡(luò)安全狀態(tài)的實時監(jiān)控；其次，對于信息網(wǎng)絡(luò)內(nèi)部同樣存在安全需求，包括：信息網(wǎng)絡(luò)中的各單位網(wǎng)絡(luò)之間建立連接控制手段；能夠滿足信息網(wǎng)絡(luò)內(nèi)的授權(quán)用戶對相關(guān)專用網(wǎng)絡(luò)資源訪問；同時對于遠程訪問用戶增強安全管理；加強對于整個信息網(wǎng)絡(luò)資源和人員的安全管理與培訓(xùn)。（三） 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)性能和功能的關(guān)系 通常，系統(tǒng)安全與性能和功能是一對矛盾的關(guān)系。如果某個系統(tǒng)不向外界提供任何服務(wù)（斷開），外界是不可能構(gòu)成安全威脅的。但是，企業(yè)接入國際互連網(wǎng)絡(luò)，提供網(wǎng)上商店和電子商務(wù)等服務(wù)，等于將一個內(nèi)部封

15、閉的網(wǎng)絡(luò)建成了一個開放的網(wǎng)絡(luò)環(huán)境，各種安全包括系統(tǒng)級的安全問題也隨之產(chǎn)生。構(gòu)建網(wǎng)絡(luò)安全系統(tǒng)，一方面由于要進行認(rèn)證、加密、監(jiān)聽，分析、記錄等工作，由此影響網(wǎng)絡(luò)效率，并且降低客戶應(yīng)用的靈活性；另一方面也增加了管理費用。但是，來自網(wǎng)絡(luò)的安全威脅是實際存在的，特別是在網(wǎng)絡(luò)上運行關(guān)鍵業(yè)務(wù)時，網(wǎng)絡(luò)安全是首先要解決的問題。選擇適當(dāng)?shù)募夹g(shù)和產(chǎn)品，制訂靈活的網(wǎng)絡(luò)安全策略，在保證網(wǎng)絡(luò)安全的情況下，提供靈活的網(wǎng)絡(luò)服務(wù)通道。采用適當(dāng)?shù)陌踩w系設(shè)計和管理計劃，能夠有效降低網(wǎng)絡(luò)安全對網(wǎng)絡(luò)性能的影響并降低管理費用。全方位的安全體系：與其它安全體系（如保安系統(tǒng)）類似，企業(yè)應(yīng)用系統(tǒng)的安全休系應(yīng)包含：訪問控制：通過對特定網(wǎng)段、服

16、務(wù)建立的訪問控制體系，將絕大多數(shù)攻擊阻止在到達攻擊目標(biāo)之前。檢查安全漏洞：通過對安全漏洞的周期檢查，即使攻擊可到達攻擊目標(biāo)，也可使絕大多數(shù)攻擊無效。攻擊監(jiān)控：通過對特定網(wǎng)段、服務(wù)建立的攻擊監(jiān)控體系，可實時檢測出絕大多數(shù)攻擊，并采取相應(yīng)的行動（如斷開網(wǎng)絡(luò)連接、記錄攻擊過程、跟蹤攻擊源等）。加密通訊：主動的加密通訊，可使攻擊者不能了解、修改敏感信息。認(rèn)證：良好的認(rèn)證體系可防止攻擊者假冒合法用戶。備份和恢復(fù)：良好的備份和恢復(fù)機制，可在攻擊造成損失時，盡快地恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)。多層防御，攻擊者在突破第一道防線后，延緩或阻斷其到達攻擊目標(biāo)。隱藏內(nèi)部信息，使攻擊者不能了解系統(tǒng)內(nèi)的基本情況。設(shè)立安全監(jiān)控中心

17、，為信息系統(tǒng)提供安全體系管理、監(jiān)控，渠護及緊急情況服務(wù)。（四）網(wǎng)絡(luò)安全的管理因素 網(wǎng)絡(luò)安全可以采用多種技術(shù)來增強和執(zhí)行。但是，很多安全威脅來源于管理上的松懈及對安全威脅的認(rèn)識。安全威脅主要利用以下途徑：系統(tǒng)實現(xiàn)存在的漏洞。系統(tǒng)安全體系的缺陷。使用人員的安全意識薄弱。管理制度的薄弱。良好的網(wǎng)絡(luò)管理有助于增強系統(tǒng)的安全性：及時發(fā)現(xiàn)系統(tǒng)安全的漏洞。審查系統(tǒng)安全體系。加強對使用人員的安全知識教育。建立完善的系統(tǒng)管理制度。如前所述，能否制定一個統(tǒng)一的安全策略，在全網(wǎng)范圍內(nèi)實現(xiàn)統(tǒng)一的安全管理，對于信息網(wǎng)來說就至關(guān)重要了。安全管理主要包括兩個方面：內(nèi)部安全管理：主要是建立內(nèi)部安全管理制度，如機房管理制度、設(shè)

18、備管理制度、安全系統(tǒng)管理制度、病毒防范制度、操作安全管理制度、安全事件應(yīng)急制度等，并采取切實有效的措施保證制度的執(zhí)行。內(nèi)部安全管理主要采取行政手段和技術(shù)手段相結(jié)合的方法。網(wǎng)絡(luò)安全管理：在網(wǎng)絡(luò)層設(shè)置路由器、防火墻、安全檢測系統(tǒng)后，必須保證路由器和防火墻的ACL設(shè)置正確，其配置不允許被隨便修改。網(wǎng)絡(luò)層的安全管理可以通過防火墻、安全檢測、網(wǎng)絡(luò)病毒防治以及網(wǎng)管等一些網(wǎng)絡(luò)層的管理工具來實現(xiàn)。網(wǎng)絡(luò)安全技術(shù)概述基于以上的分析，企業(yè)網(wǎng)絡(luò)系統(tǒng)涉及到各方面的網(wǎng)絡(luò)安全問題，我們認(rèn)為整個企業(yè)的安全體系必須集成多種安全技術(shù)實現(xiàn)。如虛擬網(wǎng)技術(shù)、防火墻技術(shù)，入侵監(jiān)控技術(shù)、安全漏洞掃描技術(shù)、病毒防護技術(shù)、加密技術(shù)、認(rèn)證和數(shù)字

19、簽名技術(shù)等。下面就以上技術(shù)加以詳細闡述：虛擬網(wǎng)技術(shù) 虛擬網(wǎng)技術(shù)主要基于近年發(fā)展的局域網(wǎng)交換技術(shù)(ATM和以太網(wǎng)交換）。交換技術(shù)將傳統(tǒng)的基于廣播的局域網(wǎng)技術(shù)發(fā)展為面向連接的技術(shù)。因此，網(wǎng)管系統(tǒng)有能力限制局域網(wǎng)通訊的范圍而無需通過開銷很大的路由器。由以上運行機制帶來的網(wǎng)絡(luò)安全的好處是顯而易見的：信息只到達應(yīng)該到達的地點。因此、防止了大部分基于網(wǎng)絡(luò)監(jiān)聽的入侵手段。通過虛擬網(wǎng)設(shè)置的訪問控制，使在虛擬網(wǎng)外的網(wǎng)絡(luò)節(jié)點不能直接訪問虛擬網(wǎng)內(nèi)節(jié)點。但是，虛擬網(wǎng)技術(shù)也帶來了新的安全問題：執(zhí)行虛擬網(wǎng)交換的設(shè)備越來越復(fù)雜，從而成為被攻擊的對象?；诰W(wǎng)絡(luò)廣播原理的入侵監(jiān)控技術(shù)在高速交換網(wǎng)絡(luò)內(nèi)需要特殊的設(shè)置?；贛AC的

20、VLAN不能防止MAC欺騙攻擊。 以太網(wǎng)從本質(zhì)上基于廣播機制，但應(yīng)用了交換器和VLAN技術(shù)后，實際上轉(zhuǎn)變?yōu)辄c到點通訊，除非設(shè)置了監(jiān)聽口，信息交換也不會存在監(jiān)聽和插入（改變）問題。 但是，采用基于MAC的VLAN劃分將面臨假冒MAC地址的攻擊。因此，VLAN的劃分最好基于交換機端口。但這要求整個網(wǎng)絡(luò)桌面使用交換端口或每個交換端口所在的網(wǎng)段機器均屬于相同的VLAN。網(wǎng)絡(luò)層通訊可以跨越路由器，因此攻擊可以從遠方發(fā)起。IP協(xié)議族各廠家實現(xiàn)的不完善，因此，在網(wǎng)絡(luò)層發(fā)現(xiàn)的安全漏洞相對更多，如IP sweep, teardrop, sync-flood, IP spoofing攻擊等。防火墻枝術(shù) 防火墻是近

21、年發(fā)展起來的重要安全技術(shù)，其主要作用是在網(wǎng)絡(luò)入口點檢查網(wǎng)絡(luò)通訊，根據(jù)客戶設(shè)定的安全規(guī)則，在保護內(nèi)部網(wǎng)絡(luò)安全的前提下，提供內(nèi)外網(wǎng)絡(luò)通訊。1、使用Firewall的益處保護脆弱的服務(wù) 通過過濾不安全的服務(wù)，F(xiàn)irewall可以極大地提高網(wǎng)絡(luò)安全和減少子網(wǎng)中主機的風(fēng)險。例如，F(xiàn)irewall可以禁止NIS、NFS服務(wù)通過，F(xiàn)irewall同時可以拒絕源路由和ICMP重定向封包。控制對系統(tǒng)的訪問 Firewall可以提供對系統(tǒng)的訪問控制。如允許從外部訪問某些主機，同時禁止訪問另外的主機。例如，F(xiàn)irewall允許外部訪問特定的Mail Server和Web Server。集中的安全管理 Firewal

22、l對企業(yè)內(nèi)部網(wǎng)實現(xiàn)集中的安全管理，在Firewall定義的安全規(guī)則可以運用于整個內(nèi)部網(wǎng)絡(luò)系統(tǒng)，而無須在內(nèi)部網(wǎng)每臺機器上分別設(shè)立安全策略。如在Firewall可以定義不同的認(rèn)證方法，而不需在每臺機器上分別安裝特定的認(rèn)證軟件。外部用戶也只需要經(jīng)過次認(rèn)證即可訪問內(nèi)部網(wǎng)。增強的保密性 使用Firewall可以阻止攻擊者獲取攻擊網(wǎng)絡(luò)系統(tǒng)的有用信息，如Finger和DNS。記錄和統(tǒng)計網(wǎng)絡(luò)利用數(shù)據(jù)以及非法使用數(shù)據(jù) Firewall可以記錄和統(tǒng)計通過Firewall的網(wǎng)絡(luò)通訊，提供關(guān)于網(wǎng)絡(luò)使用的統(tǒng)計數(shù)據(jù)，并且，F(xiàn)irewall可以提供統(tǒng)計數(shù)據(jù)，來判斷可能的攻擊和探測。策略執(zhí)行 Firewall提供了制定和執(zhí)行

23、網(wǎng)絡(luò)安全策略的手段。未設(shè)置Firewall時，網(wǎng)絡(luò)安全取決于每臺主機的用戶。2、 設(shè)置Firewall的要素網(wǎng)絡(luò)策略 影響Firewall系統(tǒng)設(shè)計、安裝和使用的網(wǎng)絡(luò)策略可分為兩級，高級的網(wǎng)絡(luò)策略定義允許和禁止的服務(wù)以及如何使用服務(wù)，低級的網(wǎng)絡(luò)策略描述Firewall如何限制和過濾在高級策略中定義的服務(wù)。服務(wù)訪問策略 服務(wù)訪問策略集中在Internet訪問服務(wù)以及外部網(wǎng)絡(luò)訪問（如撥入策略、SLIP/PPP連接等）。 服務(wù)訪問策略必須是可行的和合理的?？尚械牟呗员仨氃谧柚辜褐木W(wǎng)絡(luò)風(fēng)險和提供用戶服務(wù)之間獲得平衡。典型的服務(wù)訪問策略是：允許通過增強認(rèn)證的用戶在必要的情況下從Internet訪問某些內(nèi)

24、部主機和服務(wù)；允許內(nèi)部用戶訪問指定的Internet主機和服務(wù)。Firewall設(shè)計策略 Firewall設(shè)計策略基于特定的firewall，定義完成服務(wù)訪問策略的規(guī)則。通常有兩種基本的設(shè)計策略：允許任何服務(wù)除非被明確禁止；禁止任何服務(wù)除非被明確允許。通常采用第二種類型的設(shè)計策略。3、 Firewall的基本分類包過濾 IP包過濾： 源IP地址； 目的IP地址； TCP/UDP源端口； TCP/UDP目的端口。 包過濾路由器存在許多弱點： 包過濾規(guī)則難于設(shè)置并缺乏已有的測試工具驗證規(guī)則的正確性(手工測試除外)。一些包過濾路由器不提供任何日志能力，直到闖入發(fā)生后，危險的封包才可能檢測出來。 實際

25、運行中，經(jīng)常會發(fā)生規(guī)則例外，即要求允許通常情況下禁止的訪問通過。但是，規(guī)則例外使包過濾規(guī)則過于復(fù)雜而難以管理。例如，定義規(guī)則-禁止所有到達(Inbound)的端口23連接(telnet)，如果某些系統(tǒng)需要直接Telnet連接，此時必須為內(nèi)部網(wǎng)的每個系統(tǒng)分別定義一條規(guī)則。 某些包過濾路由器不支持TCP/UDP源端口過濾，可能使過濾規(guī)則集更加復(fù)雜，并在過濾模式中打開了安全漏洞。如SMTP連接源端口是隨機產(chǎn)生的(1023)，此時如果允許雙向的SMTP連接，在不支持源端口過濾的路由器上必須定義一條規(guī)則：允許所有1023端口的雙向連接。此時用戶通過重新映射端口，可以繞過過濾路由器。 對許多RPC(Rem

26、oute Procedure Call服務(wù)進行包過濾非常困難。由于RPC的Listen口是在主機啟動后隨機地分配的，要禁止RPC服務(wù)，通常需要禁止所有的UDP(絕大多數(shù)RPC使用UDP)，如此可能需要允許的DNS連接就會被禁止。應(yīng)用網(wǎng)關(guān) 為了解決包過濾路由器的弱點，F(xiàn)irewall要求使用軟件應(yīng)用來過濾和傳送服務(wù)連接（如Telnet和Ftp)。這樣的應(yīng)用稱為代理服務(wù)，運行代理服務(wù)的主機被稱為應(yīng)用網(wǎng)關(guān)。應(yīng)用網(wǎng)關(guān)和包過濾器混合使用能提供比單獨使用應(yīng)用網(wǎng)關(guān)和包過濾器更高的安全性和更大的靈活性。 應(yīng)用網(wǎng)關(guān)的優(yōu)點是： 比包過濾路由器更高的安全件。 提供對協(xié)議的過濾，如可以禁止FTP連接的Put命令。 信

27、息隱藏，應(yīng)用網(wǎng)關(guān)為外部連接提供代理。 健壯的認(rèn)證和日志。 節(jié)省費用，第三方的認(rèn)證設(shè)備(軟件或硬件)只需安裝在應(yīng)用網(wǎng)關(guān)上。 簡化和靈活的過濾規(guī)則，路由器只需簡單地通過到達應(yīng)用網(wǎng)關(guān)的包并拒絕其余的包通過。 應(yīng)用網(wǎng)關(guān)的缺點在于： 新的服務(wù)需要安裝新的代理服務(wù)器。 有時需要對客戶軟件進行修改。 可能會降低網(wǎng)絡(luò)性能。 應(yīng)用網(wǎng)關(guān)可能被攻擊。線路級網(wǎng)關(guān)線路級網(wǎng)關(guān)提供內(nèi)部網(wǎng)和外部網(wǎng)連接的中繼，但不提供額外的處理和過濾能力。Stateful防火墻 該類防火墻綜合了包過濾防火墻及應(yīng)用網(wǎng)關(guān)的特性。能夠提供比應(yīng)用網(wǎng)關(guān)更多的連接特性，但是安全性比較應(yīng)用網(wǎng)關(guān)差。4、 建設(shè)Firewall的原則 分析安全和服務(wù)需求 以下問

28、題有助于分析安全和服務(wù)需求： 計劃使用哪些Internet服務(wù)(如http，ftp，gopher)，從何處使用Internet服務(wù)(本地網(wǎng)，撥號，遠程辦公室)。 增加的需要，如加密或拔號接入支持。 提供以上服務(wù)和訪問的風(fēng)險。 提供網(wǎng)絡(luò)安全控制的同時，對系統(tǒng)應(yīng)用服務(wù)犧牲的代價。 策略的靈活性 Internet相關(guān)的網(wǎng)絡(luò)安全策略總的來說，應(yīng)該保持一定的靈活性，主要有以下原因： Internet自身發(fā)展非常快，機構(gòu)可能需要不斷使用Internet提供的新服務(wù)開展業(yè)務(wù)。新的協(xié)議和服務(wù)大量涌現(xiàn)帶來新的安全問題，安全策略必須能反應(yīng)和處理這些問題。 機構(gòu)面臨的風(fēng)險并非是靜態(tài)的，機構(gòu)職能轉(zhuǎn)變、網(wǎng)絡(luò)設(shè)置改變都有

29、可能改變風(fēng)險。 遠程用戶認(rèn)證策略 遠程用戶不能通過放置于Firewall后的未經(jīng)認(rèn)證的Modem訪問系統(tǒng)。 PPP/SLIP連接必須通過Firewall認(rèn)證。 對遠程用戶進行認(rèn)證方法培訓(xùn)。撥入/撥出策略 撥入/撥出能力必須在設(shè)計Firewall時進行考慮和集成。 外部撥入用戶必須通過Firewall的認(rèn)證。 Information Server策略 公共信息服務(wù)器的安全必須集成到Firewall中。 必須對公共信息服務(wù)器進行嚴(yán)格的安全控制，否則將成為系統(tǒng)安全的缺口。 為Information server定義折中的安全策略允許提供公共服務(wù)。 對公共信息服務(wù)和商業(yè)信息(如email)講行安全策略

30、區(qū)分。 Firewall系統(tǒng)的基本特征 Firewall必須支持“禁止任何服務(wù)除非被明確允許”的設(shè)計策略。 Firewall必須支持實際的安全政策，而非改變安全策略適應(yīng)Firewall。 Firewall必須是靈活的，以適應(yīng)新的服務(wù)和機構(gòu)智能改變帶來的安全策略的改變。 Firewall必須支持增強的認(rèn)證機制。 Firewall應(yīng)該使用過濾技術(shù)以允許或拒絕對特定主機的訪問。 IP過濾描述語言應(yīng)該靈活，界面友好，并支持源IP和目的IP，協(xié)議類型，源和目的TCP/UDP口，以及到達和離開界面。 Firewall應(yīng)該為FTP、TELNET提供代理服務(wù)，以提供增強和集中的認(rèn)證管理機制。如果提供其它的服務(wù)

31、(如NNTP，http等)也必須通過代理服務(wù)器。 Firewall應(yīng)該支持集中的SMTP處理，減少內(nèi)部網(wǎng)和遠程系統(tǒng)的直接連接。 Firewall應(yīng)該支持對公共Information server的訪問，支持對公共Information server的保護，并且將Information server同內(nèi)部網(wǎng)隔離。 Firewall可支持對撥號接入的集中管理和過濾。 Firewall應(yīng)支持對交通、可疑活動的日志記錄。 如果Firewall需要通用的操作系統(tǒng)，必須保證使用的操作系統(tǒng)安裝了所有己知的安全漏洞Patch。 Firewall的設(shè)計應(yīng)該是可理解和管理的。 Firewall依賴的操作系統(tǒng)應(yīng)及時

32、地升級以彌補安全漏洞。5、選擇防火墻的要點 (1) 安全性：即是否通過了嚴(yán)格的入侵測試。 (2) 抗攻擊能力：對典型攻擊的防御能力 (3) 性能：是否能夠提供足夠的網(wǎng)絡(luò)吞吐能力 (4) 自我完備能力：自身的安全性，F(xiàn)ail-close (5) 可管理能力：是否支持SNMP網(wǎng)管 (6) VPN支持 (7) 認(rèn)證和加密特性(8) 服務(wù)的類型和原理(9)網(wǎng)絡(luò)地址轉(zhuǎn)換能力病毒防護技術(shù) 病毒歷來是信息系統(tǒng)安全的主要問題之一。由于網(wǎng)絡(luò)的廣泛互聯(lián)，病毒的傳播途徑和速度大大加快。 我們將病毒的途徑分為： (1 ) 通過FTP，電子郵件傳播。 (2) 通過軟盤、光盤、磁帶傳播。 (3) 通過Web游覽傳播，主要

33、是惡意的Java控件網(wǎng)站。 (4) 通過群件系統(tǒng)傳播。 病毒防護的主要技術(shù)如下： (1) 阻止病毒的傳播。 在防火墻、代理服務(wù)器、SMTP服務(wù)器、網(wǎng)絡(luò)服務(wù)器、群件服務(wù)器上安裝病毒過濾軟件。在桌面PC安裝病毒監(jiān)控軟件。 (2) 檢查和清除病毒。 使用防病毒軟件檢查和清除病毒。 (3) 病毒數(shù)據(jù)庫的升級。 病毒數(shù)據(jù)庫應(yīng)不斷更新，并下發(fā)到桌面系統(tǒng)。 (4) 在防火墻、代理服務(wù)器及PC上安裝Java及ActiveX控制掃描軟件，禁止未經(jīng)許可的控件下載和安裝。入侵檢測技術(shù) 利用防火墻技術(shù)，經(jīng)過仔細的配置，通常能夠在內(nèi)外網(wǎng)之間提供安全的網(wǎng)絡(luò)保護，降低了網(wǎng)絡(luò)安全風(fēng)險。但是，僅僅使用防火墻、網(wǎng)絡(luò)安全還遠遠不夠

34、： (1) 入侵者可尋找防火墻背后可能敞開的后門。 (2) 入侵者可能就在防火墻內(nèi)。 (3) 由于性能的限制，防火焰通常不能提供實時的入侵檢測能力。 入侵檢測系統(tǒng)是近年出現(xiàn)的新型網(wǎng)絡(luò)安全技術(shù)，目的是提供實時的入侵檢測及采取相應(yīng)的防護手段，如記錄證據(jù)用于跟蹤和恢復(fù)、斷開網(wǎng)絡(luò)連接等。 實時入侵檢測能力之所以重要首先它能夠?qū)Ω秮碜詢?nèi)部網(wǎng)絡(luò)的攻擊，其次它能夠縮短hacker入侵的時間。 入侵檢測系統(tǒng)可分為兩類： 基于主機 基于網(wǎng)絡(luò) 基于主機的入侵檢測系統(tǒng)用于保護關(guān)鍵應(yīng)用的服務(wù)器，實時監(jiān)視可疑的連接、系統(tǒng)日志檢查，非法訪問的闖入等，并且提供對典型應(yīng)用的監(jiān)視如Web服務(wù)器應(yīng)用?；诰W(wǎng)絡(luò)的入侵檢測系統(tǒng)用于實

35、時監(jiān)控網(wǎng)絡(luò)關(guān)鍵路徑的信息，其基本模型如下圖示：(i.e., close connection)(i.e.,detection of“phf”stringin session)Countermeasure(C) Box(i.e., store contentsof connectiondisk)Pattern-MatchingSignatureAnalysisStorage (D) BoxPassiveProtocolAnalysis (i.e, TCP Stream reconstruction) Ethernet圖2-1 入侵檢測系統(tǒng)的基本模型 上述模型由四個部分組成： (1) Passiv

36、e protocol Analyzer網(wǎng)絡(luò)數(shù)據(jù)包的協(xié)議分析器、將結(jié)果送給模式匹配部分并根據(jù)需要保存。 (2) Pattern-Matching Signature Analysis根據(jù)協(xié)議分析器的結(jié)果匹配入侵特征，結(jié)果傳送給Countermeasure部分。 (3) countermeasure執(zhí)行規(guī)定的動作。 (4) Storage保存分析結(jié)果及相關(guān)數(shù)據(jù)。 基于主機的安全監(jiān)控系統(tǒng)具備如下特點： (1) 精確，可以精確地判斷入侵事件。 (2) 高級，可以判斷應(yīng)用層的入侵事件。 (3) 對入侵時間立即進行反應(yīng)。 (4) 針對不同操作系統(tǒng)特點。 (5) 占用主機寶貴資源。 基于網(wǎng)絡(luò)的安全監(jiān)控系統(tǒng)具

37、備如下特點： (1) 能夠監(jiān)視經(jīng)過本網(wǎng)段的任何活動。 (2) 實時網(wǎng)絡(luò)監(jiān)視。 (3) 監(jiān)視粒度更細致。 (4) 精確度較差。 (5) 防入侵欺騙的能力較差。 (6) 交換網(wǎng)絡(luò)環(huán)境難于配置。 基于主機及網(wǎng)絡(luò)的入侵監(jiān)控系統(tǒng)通常均可配置為分布式模式： (1) 在需要監(jiān)視的服務(wù)器上安裝監(jiān)視模塊(agent)，分別向管理服務(wù)器報告及上傳證據(jù)，提供跨平臺的入侵監(jiān)視解決方案。 (2) 在需要監(jiān)視的網(wǎng)絡(luò)路徑上，放置監(jiān)視模塊(sensor),分別向管理服務(wù)器報告及上傳證據(jù)，提供跨網(wǎng)絡(luò)的入侵監(jiān)視解決方案。 選擇入侵監(jiān)視系統(tǒng)的要點是： (1) 協(xié)議分析及檢測能力。 (2) 解碼效率(速度)。 (3) 自身安全的完備

38、性。 (4) 精確度及完整度，防欺騙能力。 (5) 模式更新速度。安全掃描技術(shù) 網(wǎng)絡(luò)安全技術(shù)中，另一類重要技術(shù)為安全掃描技術(shù)。安全掃描技術(shù)與防火墻、安全監(jiān)控系統(tǒng)互相配合能夠提供很高安全性的網(wǎng)絡(luò)。 安全掃描工具源于Hacker在入侵網(wǎng)絡(luò)系統(tǒng)時采用的工具。商品化的安全掃描工具為網(wǎng)絡(luò)安全漏洞的發(fā)現(xiàn)提供了強大的支持。 安全掃描工具通常也分為基于服務(wù)器和基于網(wǎng)絡(luò)的掃描器。 基于服務(wù)器的掃描器主要掃描服務(wù)器相關(guān)的安全漏洞，如password文件，目錄和文件權(quán)限，共享文件系統(tǒng)，敏感服務(wù)，軟件，系統(tǒng)漏洞等，并給出相應(yīng)的解決辦法建議。通常與相應(yīng)的服務(wù)器操作系統(tǒng)緊密相關(guān)。 基于網(wǎng)絡(luò)的安全掃描主要掃描設(shè)定網(wǎng)絡(luò)內(nèi)的服

39、務(wù)器、路由器、網(wǎng)橋、變換機、訪問服務(wù)器、防火墻等設(shè)備的安全漏洞，并可設(shè)定模擬攻擊，以測試系統(tǒng)的防御能力。通常該類掃描器限制使用范圍(IP地址或路由器跳數(shù))。網(wǎng)絡(luò)安全掃描的主要性能應(yīng)該考慮以下方面： (1) 速度。在網(wǎng)絡(luò)內(nèi)進行安全掃描非常耗時。 (2) 網(wǎng)絡(luò)拓撲。通過GUI的圖形界面，可迭擇一步或某些區(qū)域的設(shè)備。 (3) 能夠發(fā)現(xiàn)的漏洞數(shù)量。 (4) 是否支持可定制的攻擊方法。通常提供強大的工具構(gòu)造特定的攻擊方法。因為網(wǎng)絡(luò)內(nèi)服務(wù)器及其它設(shè)備對相同協(xié)議的實現(xiàn)存在差別，所以預(yù)制的掃描方法肯定不能滿足客戶的需求。 (5) 報告，掃描器應(yīng)該能夠給出清楚的安全漏洞報告。 (6) 更新周期。提供該項產(chǎn)品的廠

40、商應(yīng)盡快給出新發(fā)現(xiàn)的安生漏洞掃描特性升級，并給出相應(yīng)的改進建議。 安全掃描器不能實時監(jiān)視網(wǎng)絡(luò)上的入侵，但是能夠測試和評價系統(tǒng)的安全性，并及時發(fā)現(xiàn)安全漏洞。認(rèn)證和數(shù)宇簽名技術(shù) 認(rèn)證技術(shù)主要解決網(wǎng)絡(luò)通訊過程中通訊雙方的身份認(rèn)可，數(shù)字簽名作為身份認(rèn)證技術(shù)中的一種具體技術(shù)，同時數(shù)字簽名還可用于通信過程中的不可抵賴要求的實現(xiàn)。 認(rèn)證技術(shù)將應(yīng)用到企業(yè)網(wǎng)絡(luò)中的以下方面： (1) 路由器認(rèn)證，路由器和交換機之間的認(rèn)證。 (2) 操作系統(tǒng)認(rèn)證。操作系統(tǒng)對用戶的認(rèn)證。 (3) 網(wǎng)管系統(tǒng)對網(wǎng)管設(shè)備之間的認(rèn)證。 (4) VPN網(wǎng)關(guān)設(shè)備之間的認(rèn)證。 (5) 撥號訪問服務(wù)器與客戶間的認(rèn)證。 (6) 應(yīng)用服務(wù)器(如Web

41、Server)與客戶的認(rèn)證。 (7) 電子郵件通訊雙方的認(rèn)證。 數(shù)字簽名技術(shù)主要用于： (1) 基于PKI認(rèn)證體系的認(rèn)證過程。 (2) 基于PKI的電子郵件及交易(通過Web進行的交易)的不可抵賴記錄。 認(rèn)證過程通常涉及到加密和密鑰交換。通常，加密可使用對稱加密、不對稱加密及兩種加密方法的混合。 UserName/Password認(rèn)證 該種認(rèn)證方式是最常用的一種認(rèn)證方式，用于操作系統(tǒng)登錄、telnet、rlogin等，但由于此種認(rèn)證方式過程不加密，即password容易被監(jiān)聽和解密。 使用摘要算法的認(rèn)證 Radius(撥號認(rèn)證協(xié)議)、路由協(xié)議(OSPF)、SNMP Security Proto

42、col等均使用共享的Security Key，加上摘要算法(MD5)進行認(rèn)證，由于摘要算法是一個不可逆的過程，因此，在認(rèn)證過程中，由摘要信息不能計算出共享的security key，敏感信息不在網(wǎng)絡(luò)上傳輸。市場上主要采用的摘要算法有MD5和SHA-1。 基于PKI的認(rèn)證 使用公開密鑰體系進行認(rèn)證和加密。該種方法安全程度較高，綜合采用了摘要算法、不對稱加密、對稱加密、數(shù)字簽名等技術(shù)，很好地將安全性和高效率結(jié)合起來。后面描述了基于PKI認(rèn)證的基本原理。這種認(rèn)證方法目前應(yīng)用在電子郵件、應(yīng)用服務(wù)器訪問、客戶認(rèn)證、防火墻驗證等領(lǐng)域。 該種認(rèn)證方法安全程度很高，但是涉及到比較繁重的證書管理任務(wù)。VPN技術(shù)

43、1、 企業(yè)對VPN 技術(shù)的需求 企業(yè)總部和各分支機構(gòu)之間采用internet網(wǎng)絡(luò)進行連接，由于internet是公用網(wǎng)絡(luò)，因此，必須保證其安全性。我們將利用公共網(wǎng)絡(luò)實現(xiàn)的私用網(wǎng)絡(luò)稱為虛擬私用網(wǎng)(VPN)。 因為VPN利用了公共網(wǎng)絡(luò)，所以其最大的弱點在于缺乏足夠的安全性。企業(yè)網(wǎng)絡(luò)接入到internet，暴露出兩個主要危險：來自internet的未經(jīng)授權(quán)的對企業(yè)內(nèi)部網(wǎng)的存取。當(dāng)企業(yè)通過INTERNET進行通訊時，信息可能受到竊聽和非法修改。 完整的集成化的企業(yè)范圍的VPN安全解決方案，提供在INTERNET上安全的雙向通訊，以及透明的加密方案以保證數(shù)據(jù)的完整性和保密性。 企業(yè)網(wǎng)絡(luò)的全面安全要求保證

44、：保密-通訊過程不被竊聽。通訊主體真實性確認(rèn)-網(wǎng)絡(luò)上的計算機不被假冒。2、數(shù)字簽名 數(shù)字簽名作為驗證發(fā)送者身份和消息完整性的根據(jù)。公共密鑰系統(tǒng)(如RSA)基于私有/公共密鑰對，作為驗證發(fā)送者身份和消息完整性的根據(jù)。CA使用私有密鑰計算其數(shù)字簽名，利用CA提供的公共密鑰，任何人均可驗證簽名的真實性。偽造數(shù)字簽名從計算能力上是不可行的。 并且，如果消息隨數(shù)字簽名一同發(fā)送，對消息的任何修改在驗證數(shù)字簽名時都將會被發(fā)現(xiàn)。 通訊雙方通過Diffie-Hellman密鑰系統(tǒng)安全地獲取共享的保密密鑰，并使用該密鑰對消息加密。Diffie-Hellman密鑰由CA進行驗證。 類 型技 術(shù)用 途基本會話密鑰DE

45、S加密通訊加密密鑰Deff-Hellman生成會話密鑰認(rèn)證密鑰RSA驗證加密密鑰表1 加密模式使用的密鑰技術(shù) 基于此種加密模式，需要管理的密鑰數(shù)目與通訊者的數(shù)量為線性關(guān)系。而其它的加密模式需要管理的密鑰數(shù)目與通訊者數(shù)目的平方成正比。3、IPSEC IPSec作為在IP v4及IP v6上的加密通訊框架，已為大多數(shù)廠商所支持，預(yù)計在1998年將確定為IETF標(biāo)準(zhǔn)，是VPN實現(xiàn)的Internet標(biāo)準(zhǔn)。 IPSec主要提供IP網(wǎng)絡(luò)層上的加密通訊能力。該標(biāo)準(zhǔn)為每個IP包增加了新的包頭格式，Authentication Header(AH)及encapsualting security payload(

46、ESP)。IPsec使用ISAKMP/Oakley及SKIP進行密鑰交換、管理及加密通訊協(xié)商(Security Association)。 Ipsec包含兩個部分： (1) IP security Protocol proper，定義Ipsec報文格式。 (2) ISAKMP/Oakley，負責(zé)加密通訊協(xié)商。 Ipsec提供了兩種加密通訊手段： Ipsec Tunnel：整個IP封裝在Ipsec報文。提供Ipsec-gateway之間的通訊。 Ipsec transport：對IP包內(nèi)的數(shù)據(jù)進行加密，使用原來的源地址和目的地址。 Ipsec Tunnel不要求修改已配備好的設(shè)備和應(yīng)用，網(wǎng)絡(luò)黑客

47、戶不能看到實際的的通訊源地址和目的地址，并且能夠提供專用網(wǎng)絡(luò)通過Internet加密傳輸?shù)耐ǖ?，因此，絕大多數(shù)均使用該模式。 ISAKMP/Oakley使用X.509數(shù)字證書，因此，使VPN能夠容易地擴大到企業(yè)級。(易于管理)。 在為遠程撥號服務(wù)的Client端，也能夠?qū)崿F(xiàn)Ipsec的客戶端，為撥號用戶提供加密網(wǎng)絡(luò)通訊。 由于Ipsec即將成為Internet標(biāo)準(zhǔn)，因此不同廠家提供的防火墻(VPN)產(chǎn)品可以實現(xiàn)互通。應(yīng)用系統(tǒng)的安全技術(shù) 由于應(yīng)用系統(tǒng)的復(fù)雜性，有關(guān)應(yīng)用平臺的安全問題是整個安全體系中最復(fù)雜的部分。下面的幾個部分列出了在Internet/Intranet中主要的應(yīng)用平臺服務(wù)的安全問題

48、及相關(guān)技術(shù)。1、域名服務(wù) Internet域名服務(wù)為Internet/Intranet應(yīng)用提供了極大的靈活性。幾乎所有的網(wǎng)絡(luò)應(yīng)用均利用域名服務(wù)。 但是，域名服務(wù)通常為hacker提供了入侵網(wǎng)絡(luò)的有用信息，如服務(wù)器的IP、操作系統(tǒng)信息、推導(dǎo)出可能的網(wǎng)絡(luò)結(jié)構(gòu)等。同時，新發(fā)現(xiàn)的針對BIND-NDS實現(xiàn)的安全漏洞也開始發(fā)現(xiàn)，而絕大多數(shù)的域名系統(tǒng)均存在類似的問題。如由于DNS查詢使用無連接的UDP協(xié)議，利用可預(yù)測的查詢ID可欺騙域名服務(wù)器給出錯誤的主機名-IP對應(yīng)關(guān)系。 因此，在利用域名服務(wù)時，應(yīng)該注意到以上的安全問題。主要的措施有： (1) 內(nèi)部網(wǎng)和外部網(wǎng)使用不同的域名服務(wù)器，隱藏內(nèi)部網(wǎng)絡(luò)信息。 (2

49、) 域名服務(wù)器及域名查找應(yīng)用安裝相應(yīng)的安全補丁。 (3) 對付Denial-of-Service攻擊，應(yīng)設(shè)計備份域名服務(wù)器。2、Web Server應(yīng)用安全 Web Server是企業(yè)對外宣傳、開展業(yè)務(wù)的重要基地。由于其重要性，成為Hacker攻擊的首選目標(biāo)之一。 Web Server經(jīng)常成為Internet用戶訪問公司內(nèi)部資源的通道之一，如Web server通過中間件訪問主機系統(tǒng)，通過數(shù)據(jù)庫連接部件訪問數(shù)據(jù)庫，利用CGI訪問本地文件系統(tǒng)或網(wǎng)絡(luò)系統(tǒng)中其它資源。 但Web服務(wù)器越來越復(fù)雜，其被發(fā)現(xiàn)的安全漏洞越來越多。為了防止Web服務(wù)器成為攻擊的犧牲品或成為進入內(nèi)部網(wǎng)絡(luò)的跳板，我們需要給予更多

50、的關(guān)心： (1) Web服務(wù)器置于防火墻保護之下。 (2) 在Web服務(wù)器上安裝實時安全監(jiān)控軟件。 (3) 在通往Web服務(wù)器的網(wǎng)絡(luò)路徑上安裝基于網(wǎng)絡(luò)的實時入侵監(jiān)控系統(tǒng)。 (4) 經(jīng)常審查Web服務(wù)器配置情況及運行日志。 (5) 運行新的應(yīng)用前，先進行安全測試。如新的CGI應(yīng)用。 (6) 認(rèn)證過程采用加密通訊或使用X.509證書模式。 (7) 小心設(shè)置Web服務(wù)器的訪問控制表。3、 電子郵件系統(tǒng)安全 電子郵件系統(tǒng)也是網(wǎng)絡(luò)與外部必須開放的服務(wù)系統(tǒng)。由于電子郵件系統(tǒng)的復(fù)雜性，其被發(fā)現(xiàn)的安全漏洞非常多，并且危害很大。 加強電子郵件系統(tǒng)的安全性，通常有如下辦法： (1) 設(shè)置一臺位于停火區(qū)的電子郵件服

51、務(wù)器作為內(nèi)外電子郵件通訊的中轉(zhuǎn)站(或利用防火墻的電子郵件中轉(zhuǎn)功能)。所有出入的電子郵件均通過該中轉(zhuǎn)站中轉(zhuǎn)。 (2) 同樣為該服務(wù)器安裝實施監(jiān)控系統(tǒng)。 (3) 該郵件服務(wù)器作為專門的應(yīng)用服務(wù)器，不運行任何其它業(yè)務(wù)(切斷與內(nèi)部網(wǎng)的通訊)。 (4) 升級到最新的安全版本。4、 操作系統(tǒng)安全 市場上幾乎所有的操作系統(tǒng)均已發(fā)現(xiàn)有安全漏洞，并且越流行的操作系統(tǒng)發(fā)現(xiàn)的問題越多。對操作系統(tǒng)的安全，除了不斷地增加安全補丁外，還需要： (1) 檢查系統(tǒng)設(shè)置(敏感數(shù)據(jù)的存放方式，訪問控制，口令選擇/更新)。(2) 基于系統(tǒng)的安全監(jiān)控系統(tǒng)。第二部分 XXX責(zé)任有限公司安全方案網(wǎng)絡(luò)安全需求分析當(dāng)前網(wǎng)絡(luò)狀況二、安全需求分

52、析網(wǎng)絡(luò)安全總體安全需求是建立在，對網(wǎng)絡(luò)安全層次分析基礎(chǔ)上確定的。依據(jù)網(wǎng)絡(luò)安全分層理論，根據(jù)ISO七層網(wǎng)絡(luò)協(xié)議，在不同層次上，相應(yīng)的安全需求和安全目標(biāo)的實現(xiàn)手段各不相同，主要是針對在不同層次上安全技術(shù)實現(xiàn)而定。對于以TCP / IP為主的XXX責(zé)任有限公司網(wǎng)來說，安全層次是與TCP/IP網(wǎng)絡(luò)層次相對應(yīng)的，針對XXX責(zé)任有限公司網(wǎng)的實際情況，我們將安全需求層次歸納為網(wǎng)絡(luò)層和應(yīng)用層安全兩個技術(shù)層次，同時將在每層涉及的安全管理部分單獨作為分析內(nèi)容，具體描述如下：網(wǎng)絡(luò)層需求分析網(wǎng)絡(luò)層安全需求是保護網(wǎng)絡(luò)不受攻擊，確保網(wǎng)絡(luò)服務(wù)的可用性。首先，作為XXX責(zé)任有限公司網(wǎng)絡(luò)同Internet的互聯(lián)的邊界安全應(yīng)作為

53、網(wǎng)絡(luò)層的主要安全需求：需要保證XXX責(zé)任有限公司網(wǎng)絡(luò)與Internet安全互聯(lián)，能夠?qū)崿F(xiàn)網(wǎng)絡(luò)的安全隔離；必要的信息交互的可信任性；要保證XXX責(zé)任有限公司網(wǎng)絡(luò)不能夠被Internet訪問；同時XXX責(zé)任有限公司網(wǎng)絡(luò)公共資源能夠?qū)﹂_放用戶提供安全訪問能力；能夠防范來自Internet的包括：利用Http應(yīng)用，通過Java Applet、ActiveX以及Java Script形式；利用Ftp應(yīng)用，通過文件傳輸形式；利用SMTP應(yīng)用，通過對郵件分析及利用附件所造成的信息泄漏和有害信息對于XXX責(zé)任有限公司網(wǎng)絡(luò)的侵害；對網(wǎng)絡(luò)安全事件的審計；對于網(wǎng)絡(luò)安全狀態(tài)的量化評估；對網(wǎng)絡(luò)安全狀態(tài)的實時監(jiān)控；防范來

54、自Internet的網(wǎng)絡(luò)入侵和攻擊行為的發(fā)生，并能夠做到：對網(wǎng)絡(luò)入侵和攻擊的實時鑒別；對網(wǎng)絡(luò)入侵和攻擊的預(yù)警；對網(wǎng)絡(luò)入侵和攻擊的阻斷與記錄；其次，對于XXX責(zé)任有限公司網(wǎng)絡(luò)內(nèi)部同樣存在網(wǎng)絡(luò)層的安全需求，包括：XXX責(zé)任有限公司網(wǎng)絡(luò)與下級分支機構(gòu)網(wǎng)絡(luò)之間建立連接控制手段，對集團網(wǎng)絡(luò)網(wǎng)提供高于網(wǎng)絡(luò)邊界更高的安全保護。應(yīng)用層需求分析建設(shè)XXX責(zé)任有限公司網(wǎng)的目的是實現(xiàn)信息共享、資源共享。因此，必須解決XXX責(zé)任有限公司網(wǎng)在應(yīng)用層的安全。應(yīng)用層安全主要與企業(yè)的管理機制和業(yè)務(wù)系統(tǒng)的應(yīng)用模式相關(guān)。管理機制決定了應(yīng)用模式，應(yīng)用模式?jīng)Q定了安全需求。因此，在這里主要針對各局域網(wǎng)內(nèi)的應(yīng)用的安全進行討論，并就建設(shè)全

55、網(wǎng)范圍內(nèi)的應(yīng)用系統(tǒng)提出我們的一些建議。應(yīng)用層的安全需求是針對用戶和網(wǎng)絡(luò)應(yīng)用資源的，主要包括：合法用戶可以以指定的方式訪問指定的信息；合法用戶不能以任何方式訪問不允許其訪問的信息；非法用戶不能訪問任何信息；用戶對任何信息的訪問都有記錄。要解決的安全問題主要包括：非法用戶利用應(yīng)用系統(tǒng)的后門或漏洞，強行進入系統(tǒng)。用戶身份假冒：非法用戶利用合法用戶的用戶名，破譯用戶密碼，然后假冒合法用戶身份，訪問系統(tǒng)資源。非授權(quán)訪問：非法用戶或者合法用戶訪問在其權(quán)限之外的系統(tǒng)資源。數(shù)據(jù)竊?。汗粽呃镁W(wǎng)絡(luò)竊聽工具竊取經(jīng)由網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)包。數(shù)據(jù)篡改：攻擊者篡改網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)包。數(shù)據(jù)重放攻擊：攻擊者抓獲網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)

56、包，再發(fā)送到目的地。抵賴：信息發(fā)送方或接收方抵賴曾經(jīng)發(fā)送過或接收到了信息。一般來說，各應(yīng)用系統(tǒng)，如Notes、數(shù)據(jù)庫、Web Server自身也都有一些安全機制，傳統(tǒng)的應(yīng)用系統(tǒng)安全性也主要依靠系統(tǒng)自身的安全機制來保證。其主要優(yōu)點是與系統(tǒng)結(jié)合緊密，但也存在很明顯的缺點：開發(fā)量大：據(jù)統(tǒng)計，傳統(tǒng)的應(yīng)用系統(tǒng)開發(fā)中，安全體系的設(shè)計和開發(fā)約占開發(fā)量的三分之一。當(dāng)應(yīng)用系統(tǒng)需要在廣域網(wǎng)運行時，隨著安全需求的增加，其開發(fā)量占的比重會更大。安全強度參差不齊：有些應(yīng)用系統(tǒng)的安全機制很弱，如數(shù)據(jù)庫系統(tǒng)，只提供根據(jù)用戶名/口令的認(rèn)證，而且用戶名/口令是在網(wǎng)絡(luò)上明文傳輸?shù)?，很容易被竊聽到。有些應(yīng)用系統(tǒng)有很強的安全機制，如

57、Notes，但由于設(shè)計、開發(fā)人員對其安全體系的理解程度以及投入的工作量，也可能使不同的應(yīng)用系統(tǒng)的安全強度會相去甚遠。安全沒有保障：目前很多應(yīng)用系統(tǒng)設(shè)計、開發(fā)人員的第一概念是系統(tǒng)能夠運行，而不是系統(tǒng)能夠安全運行，因此在系統(tǒng)設(shè)計、開發(fā)時對安全考慮很少，甚至為了簡單或趕進度而有意削弱安全機制。維護復(fù)雜：每個應(yīng)用系統(tǒng)的安全機制各不相同，導(dǎo)致很多重復(fù)性工作（如建立用戶帳號等）；系統(tǒng)管理員必須熟悉每個應(yīng)用系統(tǒng)獨特的安全機制，工作量成倍增加。用戶使用不方便：用戶使用不同的應(yīng)用系統(tǒng)時，都必須做相應(yīng)的身份認(rèn)證，且有些系統(tǒng)需要在訪問不同資源時分別做授權(quán)（如IIS Web Server是在用戶訪問不同的頁面時輸入不

58、同的口令，口令正確才允許訪問）。當(dāng)用戶需要訪問多個應(yīng)用系統(tǒng)時，會有很多用戶名、口令需要記憶，有可能就取幾個相同的簡單口令，從而降低了系統(tǒng)的安全性。綜上，我們建議在建設(shè)XXX責(zé)任有限公司網(wǎng)應(yīng)用系統(tǒng)時，采用具有以下功能的商品化的應(yīng)用層安全產(chǎn)品作為安全應(yīng)用平臺。安全應(yīng)用平臺必須能夠為各種應(yīng)用系統(tǒng)提供統(tǒng)一的入口控制，而且只有通過了安全應(yīng)用平臺的身份認(rèn)證和訪問授權(quán)以后，才可能訪問某個具體的應(yīng)用系統(tǒng)。安全應(yīng)用平臺自身的安全機制必須是系統(tǒng)的、健壯的，以免因為各種應(yīng)用系統(tǒng)安全機制參差不齊而導(dǎo)致系統(tǒng)不安全的現(xiàn)象出現(xiàn)。安全應(yīng)用平臺必須可以無縫集成第三方應(yīng)用系統(tǒng)，如Notes、數(shù)據(jù)庫、Web Server等的安全機

59、制。安全應(yīng)用平臺可以集中對各種第三方應(yīng)用系統(tǒng)進行安全管理，包括用戶注冊、用戶身份認(rèn)證、資源目錄管理、訪問授權(quán)以及審計記錄，以減少重復(fù)勞動，減輕系統(tǒng)管理人員的工作負擔(dān)。安全應(yīng)用平臺具有可伸縮性，并且安全可靠。安全管理需求分析如前所述，能否制定一個統(tǒng)一的安全策略，在全網(wǎng)范圍內(nèi)實現(xiàn)統(tǒng)一的安全管理，對于XXX責(zé)任有限公司網(wǎng)來說就至關(guān)重要了。安全管理主要包括三個方面：內(nèi)部安全管理：主要是建立內(nèi)部安全管理制度，如機房管理制度、設(shè)備管理制度、安全系統(tǒng)管理制度、病毒防范制度、操作安全管理制度、安全事件應(yīng)急制度等，并采取切實有效的措施保證制度的執(zhí)行。內(nèi)部安全管理主要采取行政手段和技術(shù)手段相結(jié)合的方法。網(wǎng)絡(luò)安全管

60、理：在網(wǎng)絡(luò)層設(shè)置路由器、防火墻、安全檢測系統(tǒng)后，必須保證路由器和防火墻的ACL設(shè)置正確，其配置不允許被隨便修改。網(wǎng)絡(luò)層的安全管理可以通過網(wǎng)管、防火墻、安全檢測等一些網(wǎng)絡(luò)層的管理工具來實現(xiàn)。應(yīng)用安全管理：應(yīng)用系統(tǒng)的安全管理是一件很復(fù)雜的事情。由于各個應(yīng)用系統(tǒng)的安全機制不一樣，因此需要通過建立統(tǒng)一的應(yīng)用安全平臺來管理，包括建立建立統(tǒng)一的用戶庫、統(tǒng)一維護資源目錄、統(tǒng)一授權(quán)等。安全解決方案分析一. 網(wǎng)絡(luò)配置結(jié)構(gòu)圖 總體結(jié)構(gòu)示意圖二. 公司總部安全配置在總部網(wǎng)關(guān)位置配置CheckPoint Firewall-1 防火墻，劃分多安全區(qū)域，將內(nèi)網(wǎng)，對外發(fā)布的Web Server 和電子商務(wù)網(wǎng)站放置在不同的網(wǎng)