公司企業(yè)網(wǎng)絡(luò)安全解決方案模板

網(wǎng)絡(luò)安全解決方案XXXXXXXXX有限責(zé)任公司

網(wǎng)絡(luò)安全解決方案學(xué)號:姓名:班級:課程:指導(dǎo)老師:時間:網(wǎng)絡(luò)安全解決方案目錄TOC\o"1-5"\h\z\o"CurrentDocument"目錄 1\o"CurrentDocument"摘要 2\o"CurrentDocument"第一章xx網(wǎng)絡(luò)的需求分析 3\o"CurrentDocument"xx網(wǎng)絡(luò)現(xiàn)狀描述 3\o"CurrentDocument"xx網(wǎng)絡(luò)的漏洞分析 4\o"CurrentDocument"物理安全 4\o"CurrentDocument"主機安全 4\o"CurrentDocument"外部安全 5\o"CurrentDocument"內(nèi)部安全 5\o"CurrentDocument"內(nèi)部網(wǎng)絡(luò)之間、內(nèi)外網(wǎng)絡(luò)之間的連接安全 5\o"CurrentDocument"第二章網(wǎng)絡(luò)安全解決方案 7\o"CurrentDocument"物理安全 7兩套網(wǎng)絡(luò)的相互轉(zhuǎn)換 7\o"CurrentDocument"重要信息點的物理保護 7\o"CurrentDocument"主機安全 8\o"CurrentDocument"網(wǎng)絡(luò)安全 8網(wǎng)絡(luò)系統(tǒng)安全 9應(yīng)用系統(tǒng)安全 13\o"CurrentDocument"病毒防護 14數(shù)據(jù)安全處理系統(tǒng) 16\o"CurrentDocument"安全審計 17\o"CurrentDocument"認證、鑒別、數(shù)字簽名、抗抵賴 17\o"CurrentDocument"第二章安全設(shè)備選型 18\o"CurrentDocument"安全設(shè)備選型原則 18安全性要求 18可用性要求 19可靠性要求 19\o"CurrentDocument"安全設(shè)備的可擴展性 19\o"CurrentDocument"安全設(shè)備的升級 19\o"CurrentDocument"設(shè)備列表 19\o"CurrentDocument"第四章方案的驗證及調(diào)試 21\o"CurrentDocument"總結(jié) 22網(wǎng)絡(luò)安全解決方案摘要隨著網(wǎng)絡(luò)的高速發(fā)展，網(wǎng)絡(luò)的安全問題日益突出，近兩年間，黑客攻擊、網(wǎng)絡(luò)病毒等屢屢曝光，國家相關(guān)部門也一再三令五申要求切實做好網(wǎng)絡(luò)安全建設(shè)和管理工作。經(jīng)過調(diào)查，我們發(fā)現(xiàn)，xx存在以下幾個問題：第一、機房網(wǎng)絡(luò)管理成本過高，并且造成了人力資源上的浪費；第二、存在數(shù)據(jù)丟失的問題；第三、計算機病毒泛濫，給高效率工作造成極大的不便；第四、網(wǎng)絡(luò)攻擊嚴重，嚴重影響了日常的工作。本設(shè)計方案基于xx出現(xiàn)的問題在物理安全、主機安全、網(wǎng)絡(luò)安全三個方面提出了實際的解決措施。關(guān)鍵詞：網(wǎng)絡(luò)安全解決方案網(wǎng)絡(luò)安全解決方案第一章xx網(wǎng)絡(luò)的需求分析xx網(wǎng)絡(luò)現(xiàn)狀描述下屬機構(gòu)網(wǎng)絡(luò)拓撲圖隨著xx多年的發(fā)展，以及技術(shù)的更新，網(wǎng)絡(luò)設(shè)備也在不斷地更新?lián)Q代，同時企業(yè)間的收購，合并重組等商業(yè)行為，都會給企業(yè)網(wǎng)絡(luò)帶來一整套完全不同的網(wǎng)絡(luò)設(shè)備、獨立的辦公室以及工作團隊。由于以上種種原因，xx的網(wǎng)絡(luò)不斷擴充，問題也不斷出現(xiàn)。xx原有的安全系統(tǒng)的設(shè)計是采用被動防護模式，針對系統(tǒng)出現(xiàn)的各種情況采取相應(yīng)的防護措施，當(dāng)新的應(yīng)用系統(tǒng)被采納以后、或者發(fā)現(xiàn)了新的系統(tǒng)漏洞，使系統(tǒng)在實際運行中遭受攻擊，系統(tǒng)管理員再根據(jù)情況采取相應(yīng)的補救措施。這網(wǎng)絡(luò)安全解決方案種以應(yīng)用處理為核心的安全防護方案使系統(tǒng)管理人員忙于處理不同系統(tǒng)產(chǎn)生的各種故障。人力資源浪費很大，而且往往是在系統(tǒng)破壞造成以后才進行處理，防護效果不理想，也很難對網(wǎng)絡(luò)的整體防護做出規(guī)劃和評估，同時也提高了xx在這方面的維護經(jīng)費。經(jīng)過分析后發(fā)現(xiàn)，xx的安全漏洞主要存在于系統(tǒng)中最薄弱的環(huán)節(jié)，郵件系統(tǒng)、網(wǎng)關(guān)無一不直接威脅著網(wǎng)絡(luò)的正常運行；要防止網(wǎng)絡(luò)系統(tǒng)遭到非法入侵、未經(jīng)授權(quán)的存取或破壞可能造成的數(shù)據(jù)丟失、系統(tǒng)崩潰等問題，而這些都不是單一的防病毒軟件外加服務(wù)器就能夠解決的。xx網(wǎng)絡(luò)的漏洞分析物理安全網(wǎng)絡(luò)的物理安全是整個網(wǎng)絡(luò)系統(tǒng)安全的前提，在xx的企業(yè)局域網(wǎng)內(nèi)，由于網(wǎng)絡(luò)的物理跨度不大，只要制定健全的安全管理制度，做好備份，并且加強網(wǎng)絡(luò)設(shè)備和機房的管理，防止非法進入計算機控制室和各種盜竊、破壞活動的發(fā)生，這一方面的風(fēng)險是可以避免的。主機安全在中國，我們可以這樣講：沒有完全安全的操作系統(tǒng)。但是，我們可以對現(xiàn)有的操作平臺進行安全配置、對操作和訪問權(quán)限進行嚴格控制，提高系統(tǒng)的安全性。因此，在本方案中，不但要選用盡可能可靠的操作系統(tǒng)和硬件平臺。而且，必須加強登錄過程的認證，特別是在到達服務(wù)器主機之前的認證，確保用戶的合法性；其次應(yīng)該嚴格限制登錄者的操作權(quán)限，將其完成的操作限制在最小的范圍內(nèi)。同時，企業(yè)主機也存在著各種各樣的安全問題。使用者的使用權(quán)限不同，企業(yè)主機所付與的管理權(quán)限也不一樣，同一臺主機對不同的人有著不同的使用范圍。企業(yè)主機也會受到來自病毒，黑客等的襲擊，例如前一段時間xx受到非法入侵，入侵者上傳了大量的木馬，給公司的主機造成了很大的破壞，因此，企業(yè)主機對此也必須做好預(yù)防。在安裝應(yīng)用程序的時候，還得注意它的合法權(quán)限，以網(wǎng)絡(luò)安全解決方案防止它所攜帶的一些無用的插件或者木馬病毒來影響主機的運行和正常工作，甚至盜取企業(yè)機密。外部安全外部安全主要指來自外部的一些威脅和破壞，主要是以下幾個方面：1）拒絕服務(wù)攻擊2）外部入侵這里是通常所說的黑客威脅。當(dāng)前大多數(shù)電信網(wǎng)絡(luò)設(shè)備和服務(wù)都存在著被入侵的痕跡，甚至各種后門。這些是對網(wǎng)絡(luò)自主運行的控制權(quán)的巨大威脅，使得企業(yè)在重要和關(guān)鍵應(yīng)用場合沒有信心，損失業(yè)務(wù)，甚至造成災(zāi)難性后果。3）病毒病毒對信息系統(tǒng)的正常工作運行產(chǎn)生很大影響，據(jù)統(tǒng)計，信息系統(tǒng)的60%癱瘓是由于感染病毒引起的。內(nèi)部安全最新調(diào)查顯示，60%以上的員工利用網(wǎng)絡(luò)處理私人事務(wù)。對網(wǎng)絡(luò)的不正當(dāng)使用，降低了生產(chǎn)率、阻礙電腦網(wǎng)絡(luò)、消耗企業(yè)網(wǎng)絡(luò)資源、并引入病毒和間諜，或者使得不法員工可以通過網(wǎng)絡(luò)泄漏企業(yè)機密，從而導(dǎo)致企業(yè)蒙受巨大的的損失。不滿的內(nèi)部員工可能在WWW站點上開些小玩笑，甚至破壞。不論如何，他們最熟悉服務(wù)器、小程序、腳本和系統(tǒng)的弱點。對于已經(jīng)離職的不滿員工，可以通過定期改變口令和刪除系統(tǒng)記錄以減少這類風(fēng)險。但還有心懷不滿的在職員工，這些員工比已經(jīng)離開的員工能造成更大的損失，例如他們可以傳出至關(guān)重要的信息、泄露安全重要信息、錯誤地進入數(shù)據(jù)庫、刪除數(shù)據(jù)等等。這些都是xx內(nèi)部網(wǎng)絡(luò)中潛存的威脅。內(nèi)部網(wǎng)絡(luò)之間、內(nèi)外網(wǎng)絡(luò)之間的連接安全xx的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間沒有采取一定的安全防護措施，內(nèi)部網(wǎng)絡(luò)容易遭到來自外網(wǎng)的攻擊。包括來自Internet上的風(fēng)險和下級單位的風(fēng)險。內(nèi)部局網(wǎng)不同部門或用戶之間如果沒有采用相應(yīng)一些訪問控制，也可能造成網(wǎng)絡(luò)安全解決方案信息泄漏或非法攻擊。據(jù)調(diào)查統(tǒng)計，在xx已發(fā)生的網(wǎng)絡(luò)安全事件中，70%的攻擊是來自內(nèi)部。因此內(nèi)部網(wǎng)的安全風(fēng)險更嚴重。內(nèi)部員工對自身企業(yè)網(wǎng)絡(luò)結(jié)構(gòu)、應(yīng)用比較熟悉，自己攻擊或泄露重要信息內(nèi)外勾結(jié)，都將可能成為導(dǎo)致系統(tǒng)受攻擊的最致命安全威脅。隨著企業(yè)的發(fā)展壯大及移動辦公的普及，xx逐漸形成了企業(yè)總部、各地分支機構(gòu)、移動辦公人員這樣的新型互動運營模式。怎么處理總部與分支機構(gòu)、移動辦公人員的信息共享安全，既要保證信息的及時共享，又要防止機密的泄漏已經(jīng)成為不得不考慮的問題。各地機構(gòu)與總部之間的網(wǎng)絡(luò)連接安全直接影響企業(yè)的高效運作。網(wǎng)絡(luò)安全解決方案第二章網(wǎng)絡(luò)安全解決方案物理安全對于xx存在的兩套網(wǎng)絡(luò)系統(tǒng)切換問題和重點信息點的保護問題，我們提出以下解決方案。兩套網(wǎng)絡(luò)的相互轉(zhuǎn)換由于xx內(nèi)部網(wǎng)絡(luò)系統(tǒng)具有兩套網(wǎng)絡(luò)，這兩套網(wǎng)絡(luò)系統(tǒng)是完全物理隔離的，而企業(yè)內(nèi)部有部分用戶需要兩個網(wǎng)絡(luò)都要接入，這就涉及到兩個網(wǎng)絡(luò)之間的相互切換問題。而現(xiàn)在的實際使用是采用手工拔插網(wǎng)線的方式進行切換，這使得使用中非常不方便。建議采用網(wǎng)絡(luò)隔離卡的方式來解決網(wǎng)絡(luò)切換的問題。隔離卡上有兩個網(wǎng)絡(luò)接口，一個接內(nèi)網(wǎng)，一個接外網(wǎng)；另外還有一個控制口，通過控制口連接一個控制器（只有火柴盒大?。?，放置于電腦旁邊。同時，在隔離卡上接兩個硬盤，使一個計算機變?yōu)閮蓚€計算機使用，兩個硬盤上分別運行獨立的操作系統(tǒng)。這樣，可通過控制器進行切換，使計算機分別接到兩個網(wǎng)絡(luò)上。根據(jù)xx網(wǎng)絡(luò)的實際情況，需要在二、三、四樓共20個信息點上安裝隔離卡。其中二樓6個，三樓12個，四樓2個。重要信息點的物理保護xx各級網(wǎng)絡(luò)內(nèi)部存在重要的信息點，如內(nèi)部核心應(yīng)用系統(tǒng)，環(huán)境等都需要保護，它主要包括三個方面：1）環(huán)境安全：對系統(tǒng)所在環(huán)境的安全保護，如區(qū)域保護和災(zāi)難保護（參見國家標(biāo)準(zhǔn)GB50173-93《電子計算機機房設(shè)計規(guī)范》、國標(biāo)GB2887-89《計算站場地技術(shù)條件》、GB9361-88《計算站場地安全要求》）。2）設(shè)備安全：主要包括設(shè)備的防盜、防毀壞及電源保護等。對中心機房和關(guān)鍵信息點采取多種安全防范措施，確保非授權(quán)人員無法進網(wǎng)絡(luò)安全解決方案入。中心機房處理秘密級、機密級信息的系統(tǒng)均采用有效的電子門控系統(tǒng)等。3）媒體安全：包括媒體數(shù)據(jù)的安全及媒體本身的安全。主機安全根據(jù)xx網(wǎng)絡(luò)內(nèi)主機的安全防護現(xiàn)狀，我們制定了以下策略：1）對主機用戶進行分組管理，根據(jù)不同的安全級別將用戶分為若干等級，每一等級的用戶只能訪問與其等級相對應(yīng)的系統(tǒng)資源和數(shù)據(jù)。其次應(yīng)該考慮的是強有力的身份認證，確保用戶的密碼不會被他人所猜測到。2）及時更新主機系統(tǒng)，防止因系統(tǒng)漏洞而遭到黑客或病毒的攻擊。3）對于應(yīng)用服務(wù)，我們應(yīng)該只開放那些需要的服務(wù)，并隨時更新。而對于那些用不到的服務(wù)應(yīng)該盡量關(guān)閉。4）安裝并及時升級殺毒軟件以避免來自病毒的苦惱。5）安裝防火墻可以有效的防止黑客的攻擊。網(wǎng)絡(luò)安全針對xx的VLAN劃分情況，在某些情況下，它的一些局域網(wǎng)的某個網(wǎng)段比另一個網(wǎng)段更受信任，或者某個網(wǎng)段比另一個更敏感。通過將信任網(wǎng)段與不信任網(wǎng)段劃分在不同的VLAN段內(nèi)，就可以限制局部網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。將分散系統(tǒng)整合成一個異構(gòu)網(wǎng)絡(luò)系統(tǒng)，數(shù)據(jù)存儲系統(tǒng)整合成網(wǎng)絡(luò)數(shù)據(jù)中心，通過存儲局域網(wǎng)的形式對系統(tǒng)的各種應(yīng)用提供數(shù)據(jù)支持。隨著信息的訪問方式多樣化,信息的處理速度和信息的交換量都成倍數(shù)的增長。使整個信息系統(tǒng)對數(shù)據(jù)的依賴程度越來越高。采取以數(shù)據(jù)為核心，為數(shù)據(jù)訪問和數(shù)據(jù)處理采用整體防護解決方案也是系統(tǒng)必然的選擇?；诼?lián)動聯(lián)防和網(wǎng)絡(luò)集中管理、監(jiān)控技術(shù)，本方案將所有網(wǎng)絡(luò)安全和數(shù)據(jù)安全產(chǎn)品有機的結(jié)合在一起，在漏洞預(yù)防、攻擊處理、破壞修復(fù)三方面給用戶提供整體的解決方案，能夠極大地提高系統(tǒng)防護效果，降低網(wǎng)絡(luò)管理的風(fēng)險和復(fù)雜性。下圖是防護系統(tǒng)對一個完整的網(wǎng)絡(luò)攻擊及防護方法的演示效果圖：網(wǎng)絡(luò)安全解決方案業(yè)務(wù)系虢網(wǎng)箱管理甥g中心雙機密錯 校制臺客戶端不門端業(yè)務(wù)系虢網(wǎng)箱管理甥g中心雙機密錯 校制臺客戶端不門端春士襦 rj防火堵（1：防病再防病再防病再 / VPJI尸識用內(nèi)部兩 y 」& 0-擄號路由器電信DBS光殲四維公共服符曰區(qū)匍洞掃描「眄幫f為），PSTN力防火箱 、H-下黑M鞫Serve5enr&Serve網(wǎng)絡(luò)系統(tǒng)安全作為企業(yè)應(yīng)用業(yè)務(wù)系統(tǒng)的承載平臺，網(wǎng)絡(luò)系統(tǒng)的安全顯得尤為重要。因為許多重要的信息都通過網(wǎng)絡(luò)進行交換。（一）網(wǎng)絡(luò)傳輸由于xx中心內(nèi)部網(wǎng)絡(luò)存在兩套網(wǎng)絡(luò)系統(tǒng)，其中一套為內(nèi)部網(wǎng)絡(luò)，主要運行的是內(nèi)部辦公、業(yè)務(wù)系統(tǒng)等；另一套是與INTERNET相連，通過ADSL接入，并與企業(yè)系統(tǒng)內(nèi)部的上、下級機構(gòu)網(wǎng)絡(luò)相連。通過公共線路建立跨越INTERNET的企業(yè)集團內(nèi)部局域網(wǎng)，并通過網(wǎng)絡(luò)進行數(shù)據(jù)交換、信息共享。而INTERNET本身就缺乏有效的安全保護，如果不采取相應(yīng)的安全措施，易受到來自網(wǎng)絡(luò)上任意主機的監(jiān)聽而造成重要信息的泄密或非法篡改，產(chǎn)生嚴重的后果。在本解決方案中對網(wǎng)絡(luò)傳輸安全部分推薦采用VPN設(shè)備來構(gòu)建內(nèi)聯(lián)網(wǎng)?？稍诿考壒芾碛騼?nèi)設(shè)置一套VPN設(shè)備，由VPN設(shè)備實現(xiàn)網(wǎng)絡(luò)傳輸?shù)募用鼙Ｗo。根據(jù)企

網(wǎng)絡(luò)安全解決方案業(yè)三級網(wǎng)絡(luò)結(jié)構(gòu)，VPN設(shè)置如下圖所示:VPMCAT內(nèi)翎網(wǎng)絡(luò)InternetIiiteiTifilInleniel三級內(nèi)學(xué)悶皓三普內(nèi)部閾縮 三塊內(nèi)郃兩堵 三段內(nèi)部網(wǎng)緒VPMCAT內(nèi)翎網(wǎng)絡(luò)InternetIiiteiTifilInleniel三級內(nèi)學(xué)悶皓三普內(nèi)部閾縮 三塊內(nèi)郃兩堵 三段內(nèi)部網(wǎng)緒每一級的設(shè)置及管理方法相同。即在每一級的中心網(wǎng)絡(luò)安裝一臺VPN設(shè)備和一臺VPN認證服務(wù)器(VPN-CA)，在所屬的直屬單位的網(wǎng)絡(luò)接入處安裝一臺VPN設(shè)備，由上級的VPN認證服務(wù)器通過網(wǎng)絡(luò)對下一級的VPN設(shè)備進行集中統(tǒng)一的網(wǎng)絡(luò)化管理?？蛇_到以下幾個目的：網(wǎng)絡(luò)傳輸數(shù)據(jù)保護：由安裝在網(wǎng)絡(luò)上的VPN設(shè)備實現(xiàn)各內(nèi)部網(wǎng)絡(luò)之間的數(shù)據(jù)傳輸加密保護，并可同時采取加密或隧道的方式進行傳輸；網(wǎng)絡(luò)隔離保護：與INTERNET進行隔離，控制內(nèi)網(wǎng)與INTERNET的相互訪問；集中統(tǒng)一管理，提高網(wǎng)絡(luò)安全性；降低成本(設(shè)備成本和維護成本)；其中，在各級中心網(wǎng)絡(luò)的VPN設(shè)備設(shè)置如下圖：10網(wǎng)絡(luò)安全解決方案由一臺VPN管理機對CA、中心VPN設(shè)備、分支機構(gòu)VPN設(shè)備進行統(tǒng)一網(wǎng)絡(luò)管理。將對外服務(wù)器放置于VPN設(shè)備的DMZ口與內(nèi)部網(wǎng)絡(luò)進行隔離，禁止外網(wǎng)直接訪問內(nèi)網(wǎng)，控制內(nèi)網(wǎng)的對外訪問、記錄日志。這樣即使服務(wù)器被攻破，內(nèi)部網(wǎng)絡(luò)仍然安全。下級單位的VPN設(shè)備放置如下圖所示：從上圖可知，下屬機構(gòu)的VPN設(shè)備放置于內(nèi)部網(wǎng)絡(luò)與路由器之間，其配置、管理由上級機構(gòu)通過網(wǎng)絡(luò)實現(xiàn)，下屬機構(gòu)不需要做任何的管理，僅需要檢查是否通電即可。由于安全設(shè)備屬于特殊的網(wǎng)絡(luò)設(shè)備，其維護、管理需要相應(yīng)的專業(yè)人員，而采取這種管理方式以后，就可以降低下屬機構(gòu)的維護成本和對專業(yè)技術(shù)人員的要求，從而降低企業(yè)的成本。由于網(wǎng)絡(luò)安全不是僅僅采用高檔的安全產(chǎn)品就能解決，因此對安全設(shè)備的管理就顯得尤為重要。由于一般的安全產(chǎn)品在管理上是各自管理，因而很容易因為某個設(shè)備的設(shè)置不當(dāng)，而使整個網(wǎng)絡(luò)出現(xiàn)重大的安全隱患。而用戶的技術(shù)人員往往不可能都是專業(yè)的，因此，容易出現(xiàn)上述現(xiàn)象；同時，每個維護人員的水平也有差異，容易出現(xiàn)相互配置上的錯誤使網(wǎng)絡(luò)中斷。所以，在安全設(shè)備的選擇上應(yīng)當(dāng)選擇可以進行網(wǎng)絡(luò)化集中管理的設(shè)備，這樣，由少量的專業(yè)人員對主要安全設(shè)備進行管理、配置，提高整體網(wǎng)絡(luò)的安全性和穩(wěn)定性。11網(wǎng)絡(luò)安全解決方案（二）訪問控制由于xx廣域網(wǎng)網(wǎng)絡(luò)部分通過公共網(wǎng)絡(luò)建立，其在網(wǎng)絡(luò)上必定會受到來自INTERNET上許多非法用戶的攻擊和訪問，如試圖進入網(wǎng)絡(luò)系統(tǒng)、竊取敏感信息、破壞系統(tǒng)數(shù)據(jù)、設(shè)置惡意代碼、使系統(tǒng)服務(wù)嚴重降低或癱瘓等，因此，采取相應(yīng)的安全措施是必不可少的。通常，對網(wǎng)絡(luò)的訪問控制最成熟的是采用防火墻技術(shù)來實現(xiàn)的，本方案中選擇帶防火墻功能的VPN設(shè)備來實現(xiàn)網(wǎng)絡(luò)安全隔離，可滿足以下幾個方面的要求：1）控制外部合法用戶對內(nèi)部網(wǎng)絡(luò)的網(wǎng)絡(luò)訪問；2）控制外部合法用戶對服務(wù)器的訪問；3）禁止外部非法用戶對內(nèi)部網(wǎng)絡(luò)的訪問；4）控制內(nèi)部用戶對外部網(wǎng)絡(luò)的網(wǎng)絡(luò)；5）阻止外部用戶對內(nèi)部的網(wǎng)絡(luò)攻擊；6）防止內(nèi)部主機的IP欺騙；7）對外隱藏內(nèi)部IP地址和網(wǎng)絡(luò)拓撲結(jié)構(gòu)；8）網(wǎng)絡(luò)監(jiān)控；9）網(wǎng)絡(luò)日志審計。由于采用防火墻、VPN技術(shù)融為一體的安全設(shè)備，并采取網(wǎng)絡(luò)化的統(tǒng)一管理，因此具有以下幾個方面的優(yōu)點：1）管理、維護簡單、方便；2）安全性高（可有效降低在安全設(shè)備使用上的配置漏洞）；3）硬件成本和維護成本低；4）網(wǎng)絡(luò)運行的穩(wěn)定性更高。由于是采用一體化設(shè)備，比之傳統(tǒng)解決方案中采用防火墻和加密機兩個設(shè)備而言，其穩(wěn)定性更高，故障率更低。（三）入侵檢測網(wǎng)絡(luò)安全不可能完全依靠單一產(chǎn)品來實現(xiàn)，網(wǎng)絡(luò)安全是個整體的，必須配相應(yīng)的安全產(chǎn)品。作為必要的補充，入侵檢測系統(tǒng)（IDS）可與安全VPN系統(tǒng)形成互補。入侵檢測系統(tǒng)是根據(jù)已有的、最新的和可預(yù)見的攻擊手段的信息代碼對進出網(wǎng)絡(luò)的所有操作行為進行實時監(jiān)控、記錄，并按制定的策略實行響應(yīng)（阻斷、報12網(wǎng)絡(luò)安全解決方案警、發(fā)送E-mail）。從而防止針對網(wǎng)絡(luò)的攻擊與犯罪行為。入侵檢測系統(tǒng)一般包括控制臺和探測器（網(wǎng)絡(luò)引擎）?？刂婆_用作制定及管理所有探測器（網(wǎng)絡(luò)引擎）。探測器（網(wǎng)絡(luò)引擎）用作監(jiān)聽進出網(wǎng)絡(luò)的訪問行為，根據(jù)控制臺的指令執(zhí)行相應(yīng)行為。由于探測器采取的是監(jiān)聽而不是過濾數(shù)據(jù)包，因此，入侵檢測系統(tǒng)的應(yīng)用不會對網(wǎng)絡(luò)系統(tǒng)性能造成多大影響。入侵檢測系統(tǒng)的設(shè)置如下圖：從上圖可知，入侵檢測儀在網(wǎng)絡(luò)接如上與VPN設(shè)備并接使用。入侵檢測儀在使用上是獨立網(wǎng)絡(luò)使用的，網(wǎng)絡(luò)數(shù)據(jù)全部通過VPN設(shè)備，而入侵檢測設(shè)備在網(wǎng)絡(luò)上進行疹聽，監(jiān)控網(wǎng)絡(luò)狀況，一旦發(fā)現(xiàn)攻擊行為將通過報警、通知VPN設(shè)備中斷網(wǎng)絡(luò)（即IDS與VPN聯(lián)動功能）等方式進行控制（即安全設(shè)備自適應(yīng)機制），最后將攻擊行為進行日志記錄以供以后審查。（四）漏洞掃描作為一個完善的通用安全系統(tǒng)，應(yīng)當(dāng)包含完善的安全措施，定期的安全評估及安全分析同樣相當(dāng)重要。由于網(wǎng)絡(luò)安全系統(tǒng)在建立后并不是長期保持很高的安全性，而是隨著時間的推移和技術(shù)的發(fā)展而不斷下降的，同時，在使用過程中會出現(xiàn)新的安全問題，因此，作為安全系統(tǒng)建設(shè)的補充，采取相應(yīng)的措施也是必然。本方案中，采用漏洞掃描設(shè)備對網(wǎng)絡(luò)系統(tǒng)進行定期掃描，對存在的系統(tǒng)漏洞、網(wǎng)絡(luò)漏洞、應(yīng)用程序漏洞、操作系統(tǒng)漏洞等進行探測、掃描，發(fā)現(xiàn)相應(yīng)的漏洞并告警，自動提出解決措施，或參考意見，提醒網(wǎng)絡(luò)安全管理員作好相應(yīng)調(diào)整。應(yīng)用系統(tǒng)安全（一）系統(tǒng)平臺安全各級網(wǎng)絡(luò)系統(tǒng)平臺安全主要是指操作系統(tǒng)的安全。由于目前主要的操作系統(tǒng)13網(wǎng)絡(luò)安全解決方案平臺是建立在國外產(chǎn)品的基礎(chǔ)上，因而存在很大的安全隱患。企業(yè)網(wǎng)絡(luò)系統(tǒng)在主要的應(yīng)用服務(wù)平臺中采用國內(nèi)自主開發(fā)的安全操作系統(tǒng)，針對通用OS的安全問題，對操作系統(tǒng)平臺的登錄方式、文件系統(tǒng)、網(wǎng)絡(luò)傳輸、安全日志審計、加密算法及算法替換的支持和完整性保護等方面進行安全改造和性能增強。一般用戶運行在PC機上的NT平臺，在選擇性地用好NT安全機制的同時，應(yīng)加強監(jiān)控管理。（二）應(yīng)用平臺安全企業(yè)網(wǎng)絡(luò)系統(tǒng)的應(yīng)用平臺安全，一方面涉及用戶進入系統(tǒng)的身份鑒別與控制，以及使用網(wǎng)絡(luò)資源的權(quán)限管理和訪問控制，對安全相關(guān)操作進行的審計等。其中的用戶應(yīng)同時包括各級管理員用戶和各類業(yè)務(wù)用戶。另一方面涉及各種數(shù)據(jù)庫系統(tǒng)、WWW服務(wù)、E-MAIL服務(wù)、FTP和TELNET應(yīng)用中服務(wù)器系統(tǒng)自身的安全以及提供服務(wù)的安全。對于xx，在選擇這些應(yīng)用系統(tǒng)時，應(yīng)當(dāng)盡量選擇國內(nèi)軟件開發(fā)商進行開發(fā)，系統(tǒng)類型也應(yīng)當(dāng)盡量采用國內(nèi)自主開發(fā)的應(yīng)用系統(tǒng)。病毒防護因為病毒在網(wǎng)絡(luò)中存儲、傳播、感染的方式各異且途徑多種多樣，所以我們利用全方位的企業(yè)防毒產(chǎn)品，對xx采用“層層設(shè)防、集中控制、以防為主、防殺結(jié)合”的策略。具體而言，就是針對網(wǎng)絡(luò)中所有可能的病毒攻擊設(shè)置對應(yīng)的防毒軟件，通過全方位、多層次的防毒系統(tǒng)配置，使網(wǎng)絡(luò)沒有薄弱環(huán)節(jié)成為病毒入侵的缺口。本方案中在選擇殺毒軟件時有幾個方面的要求：具有卓越的病毒防治技術(shù)、程序內(nèi)核安全可靠、對付國產(chǎn)和國外病毒能力超群、全中文產(chǎn)品，系統(tǒng)資源占用低，性能優(yōu)越、可管理性高，易于使用、產(chǎn)品集成度高、高可靠性、可調(diào)配系統(tǒng)資源占用率、便捷的網(wǎng)絡(luò)化自動升級等優(yōu)點。病毒對信息系統(tǒng)的正常工作運行產(chǎn)生很大影響，據(jù)統(tǒng)計，信息系統(tǒng)的60%癱瘓是由于感染病毒引起的。（一）系統(tǒng)設(shè)計原則為了更好的解決病毒的防范，一般要求病毒防范系統(tǒng)滿足如下要求：1）采用世界最先進的防毒產(chǎn)品與xx網(wǎng)絡(luò)系統(tǒng)的實際需要相結(jié)合，確保xx網(wǎng)絡(luò)系統(tǒng)具有最佳的病毒防護能力的情況下綜合成本最少；14網(wǎng)絡(luò)安全解決方案2）貫徹“層層設(shè)防，集中控管，以防為主、防治結(jié)合”的企業(yè)防毒策略。在網(wǎng)絡(luò)中所有可能的病毒攻擊點或通道中設(shè)置對應(yīng)的防病毒軟件，通過這種全方位的、多層次的防毒系統(tǒng)配置，使企業(yè)網(wǎng)絡(luò)免遭所有病毒的入侵和危害；3）充分考慮xx網(wǎng)絡(luò)的系統(tǒng)數(shù)據(jù)、文件的安全可靠性，所選產(chǎn)品與現(xiàn)系統(tǒng)具有良好的一致性和兼容性，以及最低的系統(tǒng)資源占用，保證不對現(xiàn)有系統(tǒng)運行產(chǎn)生不良影響。4）應(yīng)用全球最為先進的“實時監(jiān)控”技術(shù)，充分體現(xiàn)趨勢科技“以防為主”的反病毒思想。5）所選用產(chǎn)品具備對多種壓縮格式文件的病毒檢測。6）所選用產(chǎn)品易于安裝、操作簡便、便于管理和維護，具有友好的用戶界面。7）應(yīng)用經(jīng)由ICSA（國際電腦安全協(xié)會）技術(shù)認證的掃描引擎，保證對包括各種千面人病毒、變種病毒和黑客程序等具有最佳的病毒偵測率，除對已知病毒具備全面的偵防能力，對未知病毒亦有良好的偵測能力。強調(diào)在XXX網(wǎng)絡(luò)防毒系統(tǒng)內(nèi)，實施統(tǒng)一的防病毒策略、集中的防毒管理和維護，最大限度地減輕使用人員和維護人員的工作量。8）完全自動化的日常維護，便于進行病毒碼及掃描引擎的更新。9）提供良好的售后服務(wù)及技術(shù)支持。10）具有良好的可擴充性，充分保護用戶的現(xiàn)有投資，適應(yīng)XXX網(wǎng)絡(luò)系統(tǒng)的今后發(fā)展需要（二）產(chǎn)品應(yīng)用根據(jù)xx網(wǎng)絡(luò)系統(tǒng)的結(jié)構(gòu)和應(yīng)用特點，病毒防御可采取多種措施：1）網(wǎng)關(guān)防毒；2）服務(wù)器防毒；3）客戶端防毒；4）郵件防毒；應(yīng)用拓撲如下圖：15網(wǎng)絡(luò)安全解決方案在網(wǎng)絡(luò)骨干接入處，安裝防毒墻（即安裝有網(wǎng)關(guān)殺毒軟件的獨立網(wǎng)關(guān)設(shè)備），由防毒墻實現(xiàn)網(wǎng)絡(luò)接入處的病毒防護。由于是安裝在網(wǎng)絡(luò)接入處，因此，對主要網(wǎng)絡(luò)協(xié)議進行殺毒處理（SMTP、FTP、HTTP）。在服務(wù)器上安裝單獨的服務(wù)器殺毒產(chǎn)品，對服務(wù)器進行病毒保護。由于內(nèi)部存在幾十個網(wǎng)絡(luò)客戶端，如采用普通殺毒軟件會造成升級麻煩、使用不便等問題?？稍诜?wù)器上安裝客戶端防病毒產(chǎn)品（客戶端殺毒軟件的工作模式是服務(wù)器端、客戶端的方式）的服務(wù)器端，由客戶端通過網(wǎng)絡(luò)與服務(wù)器端連接后進行網(wǎng)絡(luò)化安裝。對產(chǎn)品升級，可通過在服務(wù)器端進行設(shè)置，自動通過INETRNET進行升級，再由客戶端到服務(wù)器端進行升級，大大簡化升級過程，并且整個升級是自動完成，不需要人工操作。對郵件系統(tǒng)，可采取安裝專用郵件殺毒產(chǎn)品，通過在郵件服務(wù)器上安裝郵件殺毒程序，實現(xiàn)對內(nèi)部郵件的殺毒，保證郵件在收、發(fā)時都是經(jīng)過檢查的，確保郵件無毒。通過這種方法，可以達到層層設(shè)防的作用，最終實現(xiàn)病毒防護。數(shù)據(jù)安全處理系統(tǒng)隨著信息的訪問方式多樣化，信息的處理速度和信息的交換量都成倍數(shù)的增長。使整個信息系統(tǒng)對數(shù)據(jù)的依賴程度越來越高。采取以數(shù)據(jù)為核心，為數(shù)據(jù)訪問和數(shù)據(jù)處理采用整體防護解決方案也是系統(tǒng)必然的選擇。16網(wǎng)絡(luò)安全解決方案1）數(shù)據(jù)存儲一一基于RAID的存儲技術(shù)防止系統(tǒng)硬件故障。2）雙機容錯一一提供系統(tǒng)應(yīng)用級的故障處理，適用于高可靠性需求。3）數(shù)據(jù)備份一一基于時間對文件和數(shù)據(jù)庫級別的系統(tǒng)故障提供解決方案。xx內(nèi)部存在大量的數(shù)據(jù)，而這里面又有許多重要的、機密的商業(yè)信息。而整個數(shù)據(jù)的安全保護就顯得特別重要，對數(shù)據(jù)進行定期備份是必不可少的安全措施。在采取數(shù)據(jù)備份時應(yīng)該注意以下幾點：存儲介質(zhì)安全：在選擇存儲介質(zhì)上應(yīng)選擇保存時間長，對環(huán)境要求低的存儲產(chǎn)品，并采取多種存儲介質(zhì)備份。如同時采用硬盤、光盤備份的方式。數(shù)據(jù)安全：即數(shù)據(jù)在備份前是真實數(shù)據(jù)，沒有經(jīng)過篡改或含有病毒。備份過程安全：確保數(shù)據(jù)在備份時是沒有受到外界任何干擾，包括因異常斷電而使數(shù)據(jù)備份中斷的或其它情況。備份數(shù)據(jù)的保管：對存有備份數(shù)據(jù)的存儲介質(zhì)，應(yīng)保存在安全的地方，防火、防盜及各種災(zāi)害，并注意保存環(huán)境（溫度、濕度等）的正常。同時對特別重要的備份數(shù)據(jù)，還應(yīng)當(dāng)采取異地備份保管的方式，來確保數(shù)據(jù)安全。4）災(zāi)難恢復(fù)一一對整個主機系統(tǒng)提供保障和系統(tǒng)的快速故障修復(fù)能力。安全審計作為一個良好的安全系統(tǒng)，安全審計必不可少。由于xx是一個比較龐大的網(wǎng)絡(luò)系統(tǒng)，因而對整個網(wǎng)絡(luò)（或重要網(wǎng)絡(luò)部分）運行進行記錄、分析是非常重要的，它可以讓用戶通過對記錄的日志數(shù)據(jù)進行分析、比較，找出發(fā)生的網(wǎng)絡(luò)安全問題的原因，并可作為以后的法律證據(jù)或者為以后的網(wǎng)絡(luò)安全調(diào)整提供依據(jù)。認證、鑒別、數(shù)字簽名、抗抵賴由于xx網(wǎng)絡(luò)系統(tǒng)龐大，上面存在很多分級的重要信息；同時，由于現(xiàn)在國家正在大力推進電子政務(wù)的發(fā)展，網(wǎng)上辦公已經(jīng)越來越多的被應(yīng)用到各級政府部門當(dāng)中，因此，需要對網(wǎng)上用戶的身份、操作權(quán)限等進行控制和授權(quán)。對不同等級、類型的信息只允許相應(yīng)級別的人進行審閱；對網(wǎng)上公文的處理采取數(shù)字簽名、抗抵賴等相應(yīng)的安全措施。17網(wǎng)絡(luò)安全解決方案第二章安全設(shè)備選型安全設(shè)備選型原則對xx網(wǎng)絡(luò)系統(tǒng)的安全設(shè)備選型時，必須在滿足國家對信息安全產(chǎn)品的政策性要求前提下，綜合考察設(shè)備的功能和性能，必須符合xx網(wǎng)絡(luò)系統(tǒng)的網(wǎng)絡(luò)安全需求。安全性要求政策性原則信息安全設(shè)備(硬件/軟件)均應(yīng)經(jīng)過信息安全產(chǎn)品的主管部門的測評認證、鑒定和許可。技術(shù)性原則(1)安全設(shè)備必須具有自我系統(tǒng)保護能力。安全設(shè)備的軟件平臺應(yīng)為專用定制的基于最小內(nèi)核的操作系統(tǒng)，不應(yīng)采用一般商業(yè)Dos,Windows或Unix操作系統(tǒng)。安全設(shè)備應(yīng)提供避免或禁止內(nèi)外網(wǎng)絡(luò)用戶進入系統(tǒng)的手段，即使對安全管理員而言，也應(yīng)遵循對系統(tǒng)操作的最小授權(quán)原則。對安全設(shè)備的配置必須具備多重安全措施且擁有最高安全授權(quán)，同時具備進行嚴格的操作審計功能，在出現(xiàn)安全故障時應(yīng)具有安全應(yīng)急措施。安全設(shè)備遇故障工作失效，系統(tǒng)應(yīng)自動轉(zhuǎn)為缺省禁止?fàn)顟B(tài)。(2)安全設(shè)備必須至少具有履行所需安全服務(wù)的最小能力。安全設(shè)備所采用的技術(shù)，不單純追求先進、完善，而必須保證實用和成熟性，相關(guān)技術(shù)標(biāo)準(zhǔn)應(yīng)采用、引用和接近國家標(biāo)準(zhǔn)。安全設(shè)備的接入不影響原網(wǎng)絡(luò)拓撲結(jié)構(gòu)，安全設(shè)備的運行不明顯影響原網(wǎng)絡(luò)系統(tǒng)的運行效率，更不能導(dǎo)致產(chǎn)生通信瓶頸。安全設(shè)備的機械、電氣及電磁輻射性能必須符合國家標(biāo)準(zhǔn)，且能滿足全天候運行的可靠性要求。18網(wǎng)絡(luò)安全解決方案可用性要求(1)安全設(shè)備的技術(shù)性能和功能，必須滿足行業(yè)系統(tǒng)管理體制的要求，即能基于網(wǎng)絡(luò)實現(xiàn)安全管理，具有接受網(wǎng)絡(luò)信息安全管理機構(gòu)管理的能力。(2)安全設(shè)備所采用的技術(shù)，不單純追求先進、完善，而必須保證實用和成熟性，相關(guān)技術(shù)標(biāo)準(zhǔn)應(yīng)采用、