信息系統(tǒng)安全整體解決方案

千里之行，始于足下。第2頁/共2頁精品文檔推薦信息系統(tǒng)安全整體解決方案《安全系統(tǒng)整體解決方案設(shè)計》

企業(yè)網(wǎng)絡(luò)整體解決方案設(shè)計第一章企業(yè)網(wǎng)絡(luò)的現(xiàn)狀描述

1.1企業(yè)網(wǎng)絡(luò)的現(xiàn)狀描述

網(wǎng)絡(luò)拓?fù)鋱D

以Internet進(jìn)展為代表的全球性信息化浪潮日益深刻，信息網(wǎng)絡(luò)技術(shù)的應(yīng)用正日益普及和廣泛，應(yīng)用層次正在深入，應(yīng)用領(lǐng)域從傳統(tǒng)的、小型業(yè)務(wù)系統(tǒng)逐漸向大型、關(guān)鍵業(yè)務(wù)系統(tǒng)擴展,以往向來保持獨立的大型機和中-高端開放式系統(tǒng)（Unix和NT）部分迅速融合成為一具異構(gòu)企業(yè)部分。

以往安全系統(tǒng)的設(shè)計是采納被動防護(hù)模式，針對系統(tǒng)浮現(xiàn)的各種事情采取相應(yīng)的防護(hù)措施，當(dāng)新的應(yīng)用系統(tǒng)被采用往后、或者發(fā)覺了新的系統(tǒng)漏洞，使系統(tǒng)在實際運行中遭受攻擊，系統(tǒng)治理員再依照事情采取相應(yīng)的補救措施。這種以應(yīng)用處理為核心的安全防護(hù)方案使系統(tǒng)治理人員忙于處理別同系統(tǒng)產(chǎn)生的各種故障。人力資源白費非常大，而且往往是在系統(tǒng)破壞造成往后才舉行處理，防護(hù)效果別理想，也非常難對網(wǎng)絡(luò)的整體防護(hù)做出規(guī)劃和評估。

安全的漏洞往往存在于系統(tǒng)中最薄弱的環(huán)節(jié)，郵件系統(tǒng)、網(wǎng)關(guān)無一別直截了當(dāng)威脅著企業(yè)網(wǎng)絡(luò)的正常運行;中小企業(yè)需要防止網(wǎng)絡(luò)系統(tǒng)遭到非法入侵、未經(jīng)授權(quán)的存取或破壞也許造成的數(shù)據(jù)丟失、系統(tǒng)崩潰等咨詢題，而這些都別是單一的防病毒軟件外加服務(wù)器就可以解決的。所以不管是網(wǎng)絡(luò)安全的現(xiàn)狀，依然中小企業(yè)自身都向廣闊安全廠商提出了更高的要求。

第二章企業(yè)網(wǎng)絡(luò)的漏洞分析

物理安全

網(wǎng)絡(luò)的物理安全的風(fēng)險是多種多樣的。

網(wǎng)絡(luò)的物理安全要緊是指地震、水災(zāi)、火災(zāi)等環(huán)境事故；電源故障；人為操作失誤或錯誤；

設(shè)備被盜、被毀；電磁干擾；線路截獲。以及高可用性的硬件、雙機多冗余的設(shè)計、機房環(huán)境及報警系統(tǒng)、安全意識等。它是整個網(wǎng)絡(luò)系統(tǒng)安全的前提，在那個企業(yè)區(qū)局域網(wǎng)內(nèi)，由于網(wǎng)絡(luò)的物理跨度別大，只要制定健全的安全治理制度，做好備份，同時加強網(wǎng)絡(luò)設(shè)備和機房的治理，防止非法進(jìn)入計算機操縱室和各種盜竊，破壞活動的發(fā)生，這些風(fēng)險是能夠幸免的。

主機安全

關(guān)于中國來講，估計沒有絕對安全的操作系統(tǒng)能夠挑選，不管是Microsoft的WindowsNT

或者其他任何商用UNIX操作系統(tǒng)，其開辟廠商必定有其Back-Door。我們能夠如此說：沒有徹底安全的操作系統(tǒng)。然而，我們能夠?qū)ΜF(xiàn)有的操作平臺舉行安全配置、對操作和拜訪權(quán)限舉行嚴(yán)格操縱，提高系統(tǒng)的安全性。所以，別但要選用盡量可靠的操作系統(tǒng)和硬件平臺。而且，必須加強登錄過程的認(rèn)證，特殊是在到達(dá)服務(wù)器主機之前的認(rèn)證，確保用戶的合法性；其次應(yīng)該嚴(yán)格限制登錄者的操作權(quán)限，將其完成的操作限制在最小的范圍內(nèi)。

與日常日子當(dāng)中一樣，企業(yè)主機也存在著各種各樣的安全咨詢題。使用者的使用權(quán)限別同，企業(yè)主機所付與的治理權(quán)限也別一樣，同一臺主機對別同的人有著別同的使用范圍。并且，企業(yè)主機也會受到來自病毒，黑客等的突擊，企業(yè)主機對此也必須做好預(yù)防。在安裝應(yīng)用程序的時候，還得注意它的合法權(quán)限，以防止它所攜帶的一些無用的插件或者木馬病毒來妨礙主機的運行和正常工作，甚至盜取企業(yè)機密。

外部安全

拒絕服務(wù)攻擊。值得注意的是，當(dāng)前運行商受到的拒絕服務(wù)攻擊的威脅正在變得越來越緊迫。對拒絕服務(wù)攻擊的解決方案也越來越受到國際上先進(jìn)電信提供商的關(guān)注。對大規(guī)模拒絕服務(wù)攻擊可以阻撓、減輕、逃避的能力是標(biāo)志著一具電信企業(yè)能夠向客戶答應(yīng)更為茁壯、具有更高可用性的服務(wù)，也是真?zhèn)€企業(yè)的網(wǎng)絡(luò)安全水平進(jìn)入一具新境地的重要標(biāo)志。

外部入侵。這個地方是通常所講的黑客威脅。從前面幾年時刻的網(wǎng)絡(luò)安全治理經(jīng)驗和滲透測試結(jié)果來看，當(dāng)前大多數(shù)電信網(wǎng)絡(luò)設(shè)備和服務(wù)都存在著被入侵的痕跡，甚至各種后門。這些是對網(wǎng)絡(luò)自主運行的操縱權(quán)的巨大威脅，使得客戶在重要和關(guān)鍵應(yīng)用場合沒有信心，損失業(yè)務(wù)，甚至造成災(zāi)害性后果。

病毒。病毒時時間刻威脅著整個互聯(lián)網(wǎng)。前段時刻美國國防部和全年北京某部內(nèi)部網(wǎng)遭受的大規(guī)模病毒爆發(fā)都使得整個內(nèi)部辦公和業(yè)務(wù)癱瘓數(shù)個小時，而MSBlaster及Nimda和CodeRed的爆發(fā)更是具有深遠(yuǎn)的妨礙，促使人們別得別在網(wǎng)絡(luò)的各個環(huán)節(jié)思考關(guān)于各種病毒的檢測防治。對病毒的完全防備重要性毋庸置疑。

內(nèi)部安全

最新調(diào)查顯示，在受調(diào)查的企業(yè)中60%以上的職員利用網(wǎng)絡(luò)處理私人事務(wù)。對網(wǎng)絡(luò)的別正當(dāng)使用，落低了生產(chǎn)率、阻礙電腦網(wǎng)絡(luò)、消耗企業(yè)網(wǎng)絡(luò)資源、并引入病毒和間諜，或者使得別法職員能夠經(jīng)過網(wǎng)絡(luò)泄漏企業(yè)機密，從而導(dǎo)致企業(yè)數(shù)千萬美金的損失。

別滿的內(nèi)部職員也許在WWW站點上開些小玩笑，甚至破壞。別論怎么，他們最熟悉服務(wù)器、小程序、足本和系統(tǒng)的弱點。關(guān)于差不多離職的別滿職員，能夠經(jīng)過定期改變口令和刪除系統(tǒng)

記錄以減少這類風(fēng)險。但還有心懷別滿的在員工工，這些職員比差不多離開的職員能造成更大的損失，例如他們能夠傳出至關(guān)重要的信息、泄露安全重要信息、錯誤地進(jìn)入數(shù)據(jù)庫、刪除數(shù)據(jù)等等。內(nèi)部網(wǎng)絡(luò)之間、內(nèi)外網(wǎng)絡(luò)之間的連接安全

內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)間假如在沒有采取一定的安全防護(hù)措施，內(nèi)部網(wǎng)絡(luò)容易遭到來自外網(wǎng)的攻擊。包括來自internet上的風(fēng)險和下級單位的風(fēng)險。

內(nèi)部局網(wǎng)別同部門或用戶之間假如沒有采納相應(yīng)一些拜訪操縱，也也許造成信息泄漏或非法攻擊。據(jù)調(diào)查統(tǒng)計，已發(fā)生的網(wǎng)絡(luò)安全事件中，70%的攻擊是來自內(nèi)部。所以內(nèi)部網(wǎng)的安全風(fēng)險更嚴(yán)峻。內(nèi)部職員對自身企業(yè)網(wǎng)絡(luò)結(jié)構(gòu)、應(yīng)用比較熟悉，自已攻擊或泄露重要信息內(nèi)外勾結(jié)，都將也許成為導(dǎo)致系統(tǒng)受攻擊的最致命安全威脅。

隨著企業(yè)的進(jìn)展壯大及挪移辦公的普及，逐漸形成了企業(yè)總部、各地分支機構(gòu)、挪移辦公人員如此的新型互動運營模式。如何處理總部與分支機構(gòu)、挪移辦公人員的信息共享安全，既要保證信息的及時共享，又要防止機密的泄漏差不多成為企業(yè)成長過程中別得別思考的咨詢題。各地機構(gòu)與總部之間的網(wǎng)絡(luò)連接安全直截了當(dāng)妨礙企業(yè)的高效運作

第三章企業(yè)網(wǎng)絡(luò)安全整體解決方案設(shè)計

企業(yè)網(wǎng)絡(luò)的設(shè)計目標(biāo)

企業(yè)網(wǎng)絡(luò)安全的設(shè)計目標(biāo)與其他網(wǎng)絡(luò)安全的設(shè)計目標(biāo)一致，包括：保密性，完整性等面向數(shù)據(jù)的安全及可用性，可控性，可審查性等面向用戶的安全。面向用戶的安全即網(wǎng)絡(luò)安全又包含：鑒不，授權(quán)，拜訪操縱，抗否認(rèn)性和可服務(wù)性，以及在于內(nèi)容的個人隱私，知識產(chǎn)權(quán)等的愛護(hù)。企業(yè)網(wǎng)絡(luò)的安全即指該網(wǎng)絡(luò)系統(tǒng)的硬件，軟件及其系統(tǒng)中的數(shù)據(jù)的安全。網(wǎng)絡(luò)信息的傳輸，存儲，處理和使用都要求處于安全的狀態(tài)。

保密性：指信息別泄露給非授權(quán)的個人，實體和過程，或供其使用的特性。

完整性：指信息未經(jīng)授權(quán)別能被修改，別被破壞，別被插入，別延遲，別亂序和別丟失的特性。對網(wǎng)絡(luò)信息安全舉行攻擊其最后目的算是破壞信息的完整性。

可用性：指合法用戶拜訪并能按要求順序使用信息的特性，即保證合法用戶在需要時能夠拜訪到信息及相關(guān)資產(chǎn)。

可控性：指授權(quán)機構(gòu)對信息的內(nèi)容及傳播具有操縱能力的特性，能夠操縱授權(quán)范圍內(nèi)的信息流向以及方式。

可審查性：指在信息交流過程結(jié)束后，通信雙方別能抵賴曾經(jīng)做出的行為，也別能否認(rèn)曾經(jīng)接收到對方的信息。

企業(yè)網(wǎng)絡(luò)的設(shè)計原則

在對那個企業(yè)局域網(wǎng)網(wǎng)絡(luò)系統(tǒng)安全方案設(shè)計、規(guī)劃時，應(yīng)遵循以下原則：

綜合性、整體性原則：應(yīng)用系統(tǒng)工程的觀點、辦法，分析網(wǎng)絡(luò)的安全及具體措施。安全措施要緊包括：行政法律手段、各種治理制度（人員審查、工作流程、維護(hù)保障制度等）以及專業(yè)措施（識不技術(shù)、存取操縱、密碼、低輻射、容錯、防病毒、采納高安全產(chǎn)品等）。一具較好的安全措施往往是多種辦法適當(dāng)綜合的應(yīng)用結(jié)果。一具計算機網(wǎng)絡(luò)，包括個人、設(shè)備、軟件、數(shù)據(jù)等。這些環(huán)節(jié)在網(wǎng)絡(luò)中的地位和妨礙作用，也惟獨從系統(tǒng)綜合整體的角度去看待、分析，才干取

得有效、可行的措施。即計算機網(wǎng)絡(luò)安全應(yīng)遵循整體安全性原則，依照規(guī)定的安全策略制定出合理的網(wǎng)絡(luò)安全體系結(jié)構(gòu)。

需求、風(fēng)險、代價平衡的原則：對任一網(wǎng)絡(luò)，絕對安全難以達(dá)到，也別一定是必要的。對一具網(wǎng)絡(luò)舉行實際、額研究（包括任務(wù)、性能、結(jié)構(gòu)、可靠性、可維護(hù)性等），并對網(wǎng)絡(luò)面臨的威脅及也許承擔(dān)的風(fēng)險舉行定性與定量相結(jié)合的分析，然后制定規(guī)范和措施，確定本系統(tǒng)的安全策略。

一致性原則：一致性原則要緊是指網(wǎng)絡(luò)安全咨詢題應(yīng)與整個網(wǎng)絡(luò)的工作周期（或生命周期）并且存在，制定的安全體系結(jié)構(gòu)必須與網(wǎng)絡(luò)的安全需求相一致。安全的網(wǎng)絡(luò)系統(tǒng)設(shè)計（包括初步或詳細(xì)設(shè)計）及實施打算、網(wǎng)絡(luò)驗證、驗收、運行等，都要有安全的內(nèi)容光煥發(fā)及措施，實際上，在網(wǎng)絡(luò)建設(shè)的開始就思考網(wǎng)絡(luò)安全對策，比在網(wǎng)絡(luò)建設(shè)好后再思考安全措施，別但容易，且花費也小得多。

易操作性原則：安全措施需要人為去完成，假如措施過于復(fù)雜，對人的要求過高，本身就落低了安全性。其次，措施的采納別能妨礙系統(tǒng)的正常運行。

分步實施原則：由于網(wǎng)絡(luò)系統(tǒng)及其應(yīng)用擴展范圍廣大，隨著網(wǎng)絡(luò)規(guī)模的擴大及應(yīng)用的增加，網(wǎng)絡(luò)脆弱性也會別斷增加。一勞永逸地解決網(wǎng)絡(luò)安全咨詢題是別現(xiàn)實的。并且由于實施信息安全措施需相當(dāng)?shù)馁M用支出。所以分步實施，即可滿腳網(wǎng)絡(luò)系統(tǒng)及信息安全的基本需求，亦可節(jié)約費用開支。

多重愛護(hù)原則：任何安全措施都別是絕對安全的，都也許被攻破。然而建立一具多重愛護(hù)系統(tǒng)，各層愛護(hù)相互補充，當(dāng)一層愛護(hù)被攻破時，其它層愛護(hù)仍可愛護(hù)信息的安全。

可評價性原則：怎么預(yù)先評價一具安全設(shè)計并驗證其網(wǎng)絡(luò)的安全性，這需要經(jīng)過國家有關(guān)網(wǎng)絡(luò)信息安全測評認(rèn)證機構(gòu)的評估來實現(xiàn)。

物理安全解決方案

環(huán)境安全：對系統(tǒng)所在環(huán)境的安全愛護(hù)，如區(qū)域愛護(hù)和災(zāi)害愛護(hù)。

設(shè)備安全：要緊包括設(shè)備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源愛護(hù)等。

媒體安全：包括媒體數(shù)據(jù)的安全及媒體本身的安全。

主機安全解決方案

1.對主機用戶舉行分組治理，依照別同的安全級不將用戶分為若干等級，每一等級的用戶只能拜訪與其等級相對應(yīng)的系統(tǒng)資源和數(shù)據(jù)。其次應(yīng)該思考的是強有力的身份認(rèn)證，確保用戶的密碼不可能被他人所推測到。

2.及時更新主機系統(tǒng)，防止因系統(tǒng)漏洞而遭到黑客或病毒的攻擊。

3.關(guān)于應(yīng)用服務(wù)，我們應(yīng)該只開放那些需要的服務(wù)，并隨時更新。而關(guān)于那些用別到的服務(wù)應(yīng)該盡可能關(guān)閉。

4.安裝并及時升級殺毒軟件以幸免來自病毒的苦惱

5.安裝防火墻能夠有效的防止黑客的攻擊

網(wǎng)絡(luò)安全解決方案

在內(nèi)部網(wǎng)絡(luò)中，要緊利用VLAN技術(shù)來實現(xiàn)對內(nèi)部子網(wǎng)的物理隔離。經(jīng)過在交換機上劃分VLAN能夠?qū)⒄麄€網(wǎng)絡(luò)劃分為幾個別同的廣播域，實現(xiàn)內(nèi)部一具網(wǎng)段與另一具網(wǎng)段的物理隔離。如此，就能防止妨礙一具網(wǎng)段的咨詢題穿過整個網(wǎng)絡(luò)傳播。針對某些網(wǎng)絡(luò)，在某些事情下，它的一些局域網(wǎng)的某個網(wǎng)段比另一具網(wǎng)段更受信任，或者某個網(wǎng)段比另一具更敏感。經(jīng)過將信任網(wǎng)段與別信任網(wǎng)段劃分在別同的VLAN段內(nèi)，就能夠限制局部網(wǎng)絡(luò)安全咨詢題對全局網(wǎng)絡(luò)造成的妨礙。

將分散系統(tǒng)整合成一具異構(gòu)網(wǎng)絡(luò)系統(tǒng)，數(shù)據(jù)存儲系統(tǒng)整合成網(wǎng)絡(luò)數(shù)據(jù)中心，經(jīng)過存儲局域網(wǎng)的形式對系統(tǒng)的各種應(yīng)用提供數(shù)據(jù)支持。隨著信息的拜訪方式多樣化,信息的處理速度和信息的交換量都成倍數(shù)的增長。使整個信息系統(tǒng)對數(shù)據(jù)的依靠程度越來越高。采取以數(shù)據(jù)為核心，為數(shù)據(jù)拜訪和數(shù)據(jù)處理采納整體防護(hù)解決方案也是系統(tǒng)必定的挑選?；诼?lián)動聯(lián)防和網(wǎng)絡(luò)集中治理、監(jiān)控技術(shù)，將所有網(wǎng)絡(luò)安全和數(shù)據(jù)安全產(chǎn)品有機的結(jié)合在一起，在漏洞預(yù)防、攻擊處理、破壞修復(fù)三方面給用戶提供整體的解決方案，可以極大地提高系統(tǒng)防護(hù)效果，落低網(wǎng)絡(luò)治理的風(fēng)險和復(fù)雜性。

整體防護(hù)要緊包括以下方面：

數(shù)據(jù)拜訪操縱系統(tǒng):

·防火墻——對別同安全域之間信息交換舉行拜訪操縱。

·防病毒——對計算機病毒舉行檢測、查殺和系統(tǒng)修復(fù)。

·入侵檢測——對網(wǎng)絡(luò)舉行監(jiān)測,提供對網(wǎng)絡(luò)攻擊的實時愛護(hù),是防火墻的合理補充。

·漏洞掃描——對網(wǎng)絡(luò)安全性經(jīng)過掃描舉行分析評估。

·VPN加密——對網(wǎng)絡(luò)數(shù)據(jù)舉行封包和加密，使公網(wǎng)上傳輸私有數(shù)據(jù)，達(dá)到私有網(wǎng)絡(luò)的安全級不。

·物理隔離——內(nèi)部網(wǎng)別得直截了當(dāng)或間接地連接公共網(wǎng)，滿腳高度數(shù)據(jù)安全要求。

數(shù)據(jù)安全處理系統(tǒng)：

·數(shù)據(jù)存儲——基于RAID的存儲技術(shù)防止系統(tǒng)硬件故障。

·雙機容錯——提供系統(tǒng)應(yīng)用級的故障處理，適用于高可靠性需求。

·數(shù)據(jù)備份——基于時刻對文件和數(shù)據(jù)庫級不的系統(tǒng)故障提供解決方案。

·災(zāi)害恢復(fù)——對整個主機系統(tǒng)提供保障和系統(tǒng)的快速故障修復(fù)能力。

下圖是防護(hù)系統(tǒng)對一具完整的網(wǎng)絡(luò)攻擊及防護(hù)辦法的演示效果圖：

第四章方案的驗證及調(diào)試

采納集中治理、統(tǒng)一監(jiān)控的整體防護(hù)解決方案，可以極大的提高內(nèi)部網(wǎng)絡(luò)對網(wǎng)絡(luò)攻擊的防范能力和數(shù)據(jù)故障的處理能力，落低了網(wǎng)絡(luò)治理的復(fù)雜性，提高了整個網(wǎng)絡(luò)的可用性和穩(wěn)定性。具體表如今以下方面：

·漏洞掃描和防病毒系統(tǒng)增強了各個網(wǎng)絡(luò)節(jié)點自身系統(tǒng)的穩(wěn)定性和抗攻擊能力。

·防火墻作為網(wǎng)絡(luò)系統(tǒng)的屏障極大地落低了內(nèi)部系統(tǒng)遭受網(wǎng)絡(luò)攻擊的也許性。

·入侵檢測與防火墻采納聯(lián)動聯(lián)防提高了系統(tǒng)自動對網(wǎng)絡(luò)攻擊的識不和防備