企业网络安全方案的设计与实现

西安电子科技大学硕士学位论文企业网络安全方案的设计与实现姓名:李晶申请学位级别:硕士专业:电子与通信工程指导教师:陈彦辉;李建顺20100410摘要摘要网络安全是一个关系国家安全和主权、社会的稳定、民族文化的继承和发扬的重要问题。其重要性,正随着全球信息化步伐的加快而变到越来越重要。随着计算机网络的发展和互联网的迅速普及,网络攻击工具和攻击手法也日趋复杂化多样化,仅靠传统的网络安全防范措施己无法满足对网络安全的要求,网络信息安全已成为维护国家安全和社会稳定的焦点。本文主要讨论以中国联通咸阳市分公司办公网为实例的计算机网络安全问题。首先进行了网络安全风险分析并提出安全评估模型。然后通过对办公网使用现状各个环节的详细调研,掌握整体网络结构、网络设备类型、接入方式、管理模式及网络运行中存在的安全问题。并通过对问题的分析提出办公网的安全需求,结合安全需求从网络物理安全方面、网络结构安全方面、系统安全方面、病毒入侵防护安全方面和人工管理安全方面多层次提出网络安全设计方案,形成全方位均具有较高安全性的计算机网络。关键词关键词::网络网络安全安全安全信息信息信息安全安全安全安全技术安全技术安全技术局域网局域网局域网AbstractAbstractThenetworksafetyisimportantissuesaboutthenationalsecurityandsovereignty,socialstability,nationalcultureinheritingandpromoting.Itsimportanceisbecomemoreandmoreimportanttowiththeacceleratedpaceofglobalinformation.WiththedevelopmentofcomputernetworksandtherapidpopularizationoftheInternet,networkattacktoolsandattacktechniquesarebecomingincreasinglycomplexdiversity,onlybytraditionalnetworksecurityprecautions,therehasbeenunabletomeettherequirementsfornetworksecurity,networkinformationsecurityhasbecomeafocusofnationalsecurityandsocialstability.ThisarticlefocusesonthecomputernetworksecurityissuesasanexampleofChinaUnicomXianyangBranchofficenetwork.Firstofallfornetworksecurityanalysisandsecurityriskassessmentmodel.Throughadetailedresearchallaspectsoftheofficenetwork,graspoftheoverallnetworkstructure,networkdevicetype,accessmethods,management,operationmodeandnetworksecurityproblems.Analysisoftheproblemraisedbythesecurityneedsofofficenetwork,combinedwiththephysicalsecurityrequirementsfromnetworksecurity,networkstructuresecurity,systemsecurity,virusattacks,security,safetyandlabormanagementmadeamulti-levelnetworksecuritydesign,formedahighsecuritycomputernetwork.Keywords:NetworkSecurityInformationsecuritySecuritytechnologyLocalareanetwork西安电子科技大学西安电子科技大学学位论文独创性学位论文独创性((或创新性或创新性声明声明秉承学校严谨的学风和优良的科学道德,本人声明所呈交的论文是我个人在导师指导下进行的研究工作及取得的研究成果。尽我所知,除了文中特别加以标注和致谢中所罗列的内容以外,论文中不包含其他人已经发表或撰写过的研究成果;也不包含为获得西安电子科技大学或其它教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中做了明确的说明并表示了谢意。申请学位论文与资料若有不实之处,本人承担一切的法律责任。本人签名:日期西安电子科技大学西安电子科技大学关于论文使用授权的说明关于论文使用授权的说明本人完全了解西安电子科技大学有关保留和使用学位论文的规定,即:研究生在校攻读学位期间论文工作的知识产权单位属西安电子科技大学。学校有权保留送交论文的复印件,允许查阅和借阅论文;学校可以公布论文的全部或部分内容,可以允许采用影印、缩印或其它复制手段保存论文。同时本人保证,毕业后结合学位论文研究课题再攥写的文章一律署名单位为西安电子科技大学。(保密的论文在解密后遵守此规定本学位论文属于保密,在年解密后适用本授权书。本人签名:日期导师签名:日期第一章绪论1第一章绪论1.1论文的背景及意义随着计算机网络技术的不断发展,开放性、共享性和互联程度也越来越高,网络应用已经遍布国家的政府、军事、经济、文教等诸多领域。其中存贮、传输和处理的信息有许多是重要的政府宏观调控决策、商业经济信息、银行资金转帐、股票证券、能源资源数据、科研数据等重要信息。另外电子商务、数字货币、网络银行等业务的兴起以及各种专用网的建设,这些都使网络信息保密问题显得越来越重要。而计算机网络所具有的特性在增加应用自由度的时候,对安全也提出了更高级的要求。一般来说,网络安全由信息安全和控制安全两部分组成。信息安全指信息的完整性、可用性、保密性和可靠性,控制安全则指身份认证、不可否认性、授权和访问控制。互联网的开放性、分散性和交互性等特征为信息交流、信息共享、信息服务创造了理想空间,网络技术迅速的发展和广泛的应用,为人类社会进步提供了巨大推动力。然而,正是由于互联网的特性,产生了信息污染、信息泄漏、信息不易受控等诸多安全问题[1]。目前,全世界每年由于网络的脆弱性而导致的经济损失逐年上升,系统的安全问题日益严重。网络攻击事件之所以频频发生,其根本原因在于操作系统、网络设备甚至网络协议本身存在着严重的漏洞。只要稍有疏忽或防范不及时,网络安全灾难便如期而至。但随着网络应用越加普及和深入,网络内存储的重要和敏感数据越多;那么核心业务对网络的依赖性越大,人们对网络安全的要求也就越高。由此不难看出,网络安全已经成为在网络建设、网络升级和网络日常管理中的头等大事。网络环境的多变性、复杂性,以及信息系统的脆弱性,决定了网络安全威胁的客观存在。近年来,随着网络安全事件的发生,人们越来越清楚的意识到,信息时代网络安全所引发的信息安全问题涉及到人们生活的方方面面。因此,可以说,在信息化社会里,网络安全的重要性再怎么强调也不过分。加强网络安全建设,是关系到单位整体形象和利益的大问题。目前在各单位的网络中都存储着大量的信息资料,许多方面的工作也越来越依赖网络,一旦网络安全方面出现问题,造成信息的丢失或不能及时流通,或者被篡改、增删、破坏或窃用,都将带来难以弥补的巨大损失。而对于政府等许多单位来讲,加强网络安全建设的意义甚至关系到国家的安全、利益和发展。网络安全是网络应用的保证和前提,没有网络安全,网络应用就无法顺利进行。2企业网络安全方案的设计与实现1.2网络安全的概念网络安全是指网络系统的硬件、软件及其系统中的数据受到保护,不受任何破坏、更改和泄露,确保系统能连续可靠正常运行,确保网络服务不中断。网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性科学[2]。为了保证计算机网络的安全性,通常需要从计算机安全、链路传输安全、网络应用和服务安全等多方面入手。计算机网络安全之所以如此重要,其主要原因在于:1.存储和处理重要信息的政府部门的计算机,往往直接关系国家政治稳定、经济兴衰、军事国防等多领域,而这些重要机密信息往往成为不法分子、敌对势力热衷的攻击目标。2.随着计算机系统的不断扩展,系统组成越来越复杂、系统规模越来越大,特别是Internet的迅猛发展,存取控制、逻辑连接数量不断增加,软件规模空前膨胀,任何隐含的漏洞都可能造成巨大的损失。3.人们对计算机系统的依赖性越来越强,甚至在有些领域这种依赖已经无法替代。4.计算机应用人员技术水平有限,教育和培训却往往跟不上知识更新的需要,操作人员、编程人员和系统分析人员的失误和缺乏经验,都会造成系统的安全功能不足。5.计算机网络安全问题涉及许多科学领域,如自然科学、社会科学、密码学等。就计算机系统的应用而言,安全技术涉及计算机技术、通信技术、存取控制技术、检验认证技术、容错技术、加密技术、防病毒技术、抗干扰技术、防泄密技术等。因此,它是一个非常复杂的综合问题,并且其技术、方法和措施都要随着系统应用环境的变化而不断变化。6.对网络安全问题重视度不够,广泛存在着重应用轻安全、质量法律意识淡薄、计算机素养不高的问题。计算机系统的安全是相对不安全而言的,许多危险、隐患和攻击都是隐藏的、潜在的、难以明确却又是广泛存在的。建立安全的网络系统要解决的根本问题是如何在保证网络的连通性、可用性的同时对网络服务的种类、范围等行使适当程度的控制以保障系统的可用性和信息的完整性不受影响。一个安全的计算机网络应该具有以下几个特点[3]:1.可靠性是网络系统安全最基本的要求,可靠性主要是指网络系统硬件和软件无故障运行的性能。2.可用性是指网络信息可被授权用户访问的特性,即网络信息服务在需要时,第一章绪论3能够保证授权用户使用。3.保密性是指网络信息不被泄露的特性,保密性是在可靠性和可用性的基础上保证网络信息安全的非常重要的手段。保密性可以保证信息即使泄露,非授权用户在有限的时间内也不能识别真正的信息内容。4.完整性是指网络信息未经授权不能进行改变的特性,即网络信息在存储和传输过程中不被删除、修改、伪造、乱序、重放和插入等操作,保持信息的原样。5.不可抵赖性也称作不可否认性,主要用于网络信息的交换过程,保证信息交换的参与者都不可能否认或抵赖曾进行的操作,类似于在发文或收文过程中的签名和签收的过程。1.3本论文的主要内容本论文首先对计算机网络安全问题进行风险分析,根据风险分析提出了安全评估模型。然后以中国联合网络通信有限公司咸阳市分公司(以下简称咸阳联通公司办公网系统为实例,通过对该网络存在的安全问题研究分析,有针对性的提出安全方面的优化建设方案并实施,使该网络在系统安全、访问安全、接入安全、设备安全等多方面具有尽可能强的安全性。主要的工作如下:1.进行网络安全风险分析并提出安全评估模型。2.对咸阳联通公司办公网各个层次进行全面的考察,了解整体网络结构、网络设备类型、接入方式、管理模式等方面的情况,充分掌握目前网络运行中存在的安全问题。3.结合考察中发现的安全问题,查找相关网络安全资料,分析影响网络安全的各种因素。4.以科学理论为基础,结合公司网络现状及网络发展情况,设计高安全性网络体系结构。5.根据设计方案,从多个层面进行网络安全优化,形成在全方位均具有较高安全性的计算机网络。第一章阐述本论文的研究背景和意义,分析网络安全的概念及其目标,概括4企业网络安全方案的设计与实现本论文的主要内容。第二章对计算机网络进行多个层面的网络安全风险分析,并根据风险分析提出安全评估模型。第三章根据咸阳联通公司办公网的网络现状提出安全需求并进行相应技术分析和经济分析。第四章提出网络安全方案的设计目标、原则和重点。第五章根据网络安全分析提出实施方案,并运用先进的网络安全技术和网络安全产品对方案进行实现。第六章总结网络安全系统的研究内容,探讨研究方向,并对今后的研究工作进行了展望。第二章网络安全风险分析及评估模型5第二章网络安全风险分析及评估模型网络安全主要是保障网络的可靠性、稳定性、畅通性,保证信息的机密性、完整性、可用性。在建立、实施网络信息系统安全体系时,需要全面考虑网络安全、信息安全、信息介质安全、设备安全、系统安全、数据库安全、网络安全教育与网络安全检查、技术培训和计算机病毒防治等方面。这样,才能实现真正意义上的网络系统的安全。一个完整的网络安全体系和网络安全解决方案,必须根据网络信息系统的网络风险分析和体系结构的现实情况来确定,所以没有一个通用的网络安全解决方案。尽管网络安全要竭尽全力地保护网络系统信息资产免受威胁,甚至要考虑到所有类型的威胁,但是,从目前的网络安全技术总体发展水平与诸多因素情况来看,网络完全安全实现通常很难,而且实现成本很高,绝对安全的网络是不存在的,只是把安全问题控制在一个可管理的范围之内,任何设备都有配置错误或者缺陷,只能通过一定的措施把风险降低到一个可以接受的程度[4]。网络安全的具体含义会随着“角度”的变化而变化。从网络运行和管理者角度说,他们希望对本地网络信息的访问、读写等操作受到保护和控制,避免出现后门、病毒、非法存取、拒绝服务和网络资源非法占用和非法控制等威胁,制止和防御网络黑客的攻击。对安全保密部门来说,他们希望对非法的、有害的或涉及国家机密的信息进行过滤和防堵,避免机要信息泄露,避免对社会产生危害,对国家造成巨大损失。从社会教育和意识形态角度来讲,网络上不健康的内容,会对社会的稳定和人类的发展造成阻碍,必须对其进行控制。网络安全是整体的、动态的。网络安全的整体性是指一个安全系统的建立,即包括采用相应的安全设备,又包括相应的管理手段。安全设备不是指单一的某种安全设备,而是指几种安全设备的综合。网络安全的动态性是指,网络安全是随着环境、时间的变化而变化的,在一定环境下是安全的系统,环境发生变化了(如更换了某个机器,原来安全的系统就变的不安全了;在一段时间里安全的系统,时间发生变化了(如今天是安全的系统,可能因为黑客发现了某种系统的漏洞,明天就会变的不安全了,原来的系统就会变的不安全。所以建立网络安全系统不是一劳永逸的事情。随着计算机技术的迅速发展,在计算机上处理的业务也由基于单机的数学运算、文件处理,基于简单连接的内部网络的内部业务处理、办公自动化等发展到基于复杂的内部网(Intranet、企业外部网(Extranet、全球互联网(Internet的企业级计算机处理系统和世界范围内的信息共享和业务处理。在系统处理能力6企业网络安全方案的设计与实现提高的同时,系统的连接能力也在不断的提高[5]。但在连接能力和流通能力提高的同时,基于网络连接的安全问题也日益突出,整体的网络安全主要表现在以下几个方面:物理安全、网络结构安全、系统安全、病毒入侵防护安全和人工管理安全等。2.1网络安全风险分析近年来随着Internet的飞速发展,计算机网络的资源共享进一步加强,随之而来的信息安全问题日益突出。据有关方面统计,美国每年由于网络安全问题而遭受的经济损失超过170亿美元,德国、英国也均在数十亿美元以上,法国为100亿法郎,日本、新加坡问题也很严重。在国际刑法界列举的现代社会新型犯罪排行榜上,计算机犯罪已名列榜首。我国的计算机网络发展起步较晚,网络安全保障工作尚处于起步阶段,基础薄弱,水平不高,网络安全系统在预测、反应、防范和恢复能力方面存在许多薄弱环节,安全防护能力不仅大大低于美国、俄罗斯和以色列等信息安全强国,而且排在印度、韩国之后。在监督管理方面缺乏依据和标准,监管措施不到位,监管体系尚待完善,网络信息安全保障制度不健全、责任不落实、管理不到位。网络信息安全法律法规不够完善,关键技术和产品受制于人,网络信息安全服务机构专业化程度不高,行为不规范,网络安全技术与管理人才缺乏[6]。网络安全成为2009年中国IT业界不容回避的重要主题,相较往年,2009年网络安全主题内容有更广的扩张和延伸。大型黑客攻击事件不时发生,木马病毒井喷式大肆传播,传播途径千变万化让人防不胜防。Conficker蠕虫、5.19南方断网事件、网络司令部、云计算安全、社交网络威胁、木马产业链、螃蟹集团、小耗子木马、色情淫秽、网络打手等成为2009年度火爆的网络安全关键词。使网络安全与个人,与企业甚至与国家的联系到了前所未有的高度。针对目前我国计算机网络发展情况,影响我国企业网络安全性的因素主要有以下几个方面。1.网络结构因素网络基本拓扑结构有3种:星型、总线型和环型。一个单位在建立自己的内部网之前,各部门可能已建造了自己的局域网,所采用的拓扑结构也可能完全不同。在建造内部网时,为了实现异构网络间信息的通信,往往要牺牲一些安全机制的设置和实现,从而提出更高的网络开放性要求。2.网络协议因素在建造内部网时,用户为了节省开支,必然会保护原有的网络基础设施。另外,网络公司为生存的需要,对网络协议的兼容性要求越来越高,使众多厂商的协议能互联、兼容和相互通信。这在给用户和厂商带来利益的同时,也带来了安全隐患。3.地域因素由于内部网既可以是LAN也可能是WAN,网络往往跨越城际,甚至国际。地理位置复杂,通信线路质量难以保证,这会造成信息在传输过程中的损坏和丢失,也给一些“黑客”造成可乘之机。4.用户因素企业建造自己的内部网是为了加快信息交流,更好地适应市场需求。建立之后,用户的范围必将从企业员工扩大到客户和想了解企业情况的人。用户的增加,也给网络的安全性带来了威胁,因为这里可能就有商业间谍或“黑客”。5.主机因素建立内部网时,使原来的各局域网、单机互联,增加了主机的种类,如工作站、服务器,甚至小型机、大中型机。由于它们所使用的操作系统和网络操作系统不尽相同,某个操作系统出现漏洞(如某些系统有一个或几个没有口令的账户,就可能造成整个网络的大隐患。6.单位安全政策实践证明,80%的安全问题是由网络内部引起的,因此,单位对自己内部网的安全性要有高度的重视,必须制订出一套安全管理的规章制度。7.人员因素人的因素是安全问题的薄弱环节。要对用户进行必要的安全教育,选择有较高职业道德修养的人做网络管理员,制订出具体措施,提高安全意识。8.其他其他因素如水灾、火灾、地震、电磁辐射等,也是影响网络安全的因素。一个性能优良的网络结构和系统平台,能给信息的传输及存储提供较高的安全强度。然而正确的安全分析又是保证网络环境安全的一项非常重要的工作。网络安全中可能存在着来自各方面的威胁,如图2.1所示。所以对网络安全问题进行风险分析,必须从多层面入手,形成整体的安全评估,从而为需求分析提供可靠的依据。下面主要从物理安全、网络结构安全、系统安全、病毒入侵防护和人工管理等方面进行风险分析。物理安全是整个网络系统存在的前提,是网络系统中最重要的部分。在其他安全类别出现之前,物理安全性早已存在了。埃及人在两千年以前就已经开始使用锁。很重要的信息首先会刻在石头上,而后被纸张记录。对重要信息采取很多经典的措施,例如警卫、高墙、警犬、网栏等进行保护。所以在没有物理控制跟进的情况下,逻辑控制的意义很小[7]。物理安全风险主要有:1.电源故障造成设备断电以至操作系统引导失败或数据库信息丢失。2.水灾、火灾等环境事故或人为破坏造成整个系统毁灭。3.服务器或网络存储设备失窃造成重要数据丢失。4.不能保证几个不同机密程度网络的物理隔离。5.光、电缆的不合理敷设及采用无线电波传输数据使非法接入的可能性提高及数据传输的可靠性降低。网络结构安全是整个网络系统正常运行的基础和前提。网络中的主机会受到非法入侵者的攻击,网络中的敏感数据有可能泄露或被修改,从内网向公网传送的信息可能被他人窃听或篡改,造成的这些网络安全威胁,有的来自外部,有的可能来自网络内部[8]。网络结构的安全是多方面的,关乎网络的整体安全,网络结构安全风险主要有:1.边界安全是首要问题,未在网络边界设置网络防火墙或未正确配置防火墙,将会使来自互联网的威胁增大。2.网络设备(如交换机自身安全性也会直接关系各种网络及应用的正常运转。特洛伊木马信息丢失、后门、隐蔽通道拒绝服务攻击设备丢失、损坏蠕虫图2.1网络安全中存在的威胁3.网络不相关的各部分在无法实现物理隔离的情况下,如也未实现软件层面的隔离,将会使增大来自网络内部的攻击。4.交换机的配置不完善,对网络中非法数据传输的控制不够。操作系统是计算机系统的内核与基石,是应用软件同系统硬件的接口,其目标是高效地、最大限度地、合理地使用计算机资源。在信息系统安全涉及的众多内容中,操作系统、网络系统与数据库管理系统的安全问题是核心,没有系统的安全就没有信息的安全。作为系统软件中最基础部分的操作系统,其安全问题的解决又是关键中之关键。若没有安全操作系统的支持,数据库就不可能具有存取控制的安全可信性,就不可能有网络系统的安全性,也不可能有应用软件信息处理的安全性。因此,安全操作系统是整个信息系统安全的基础[9]。操作系统安全风险主要有:1.操作系统的漏洞是无法避免的,在新版操作系统弥补旧版本中漏洞的同时,还会引入一些新的漏洞。2.端口是服务器提供网络服务的主要通道,端口的不安全管理将会给非法者提供入侵的跳板。3.用户账户是计算机安全设置的重要对象,具有高权限的账户是黑客主要的攻击目标。4.资源共享是Windows系统的重要功能之一,共享资源权限授权管理的不足将会给系统及数据造成极大的安全隐患。5.Internet信息服务是用于配置应用程序池或网络站点的工具,其安全运行是正常提供网络服务的基础。计算机病毒是一种恶意计算机代码,可以破坏系统程序,占用空间,盗取账号密码。严重可以导致网络、系统瘫痪。当病毒被释放到网络环境时,其无法预测的扩散能力使它极具危险性。Internet上最常见的威胁是计算机病毒或蠕虫。其主要原因是一旦病毒发布,他就会迅速、且以不可预测的方式传播[10]。网络内的计算机每天或多或少的要访问网内的服务器进行网页浏览或文件上传下载,另外网内通过共享文件夹、FTP、聊天工具等途径互相频繁传输文件,如果网内有计算机中危害性较大的病毒时,其病毒的传播途径将是多样的,传输速度也是惊人的。那些防病毒做的不到位的服务器或计算机将会受到感染。部分中毒的计算机会向网络上发送错误ARP报文,使网内的计算机无法将数据包发送至目的地,造成网络无法正常访问。此种病毒攻击被黑客利用极易造成用户私密信息丢失,如账号密码丢失等。另外如果网络中存在着可以被攻击者所利用的安全弱点、漏洞及不安全的配置,这将会给攻击者提供非法入侵的机会,其行为可以造成系统数据丢失和破坏,甚至会造成系统拒绝对合法用户服务等后果。人是企业最大的漏洞,无论在企业内外,人都是一种威胁。人的威胁分为两种,一种是以操作失误为代表的无意威胁(偶然失误,另一种是以计算机犯罪为代表的有意威胁(恶意攻击[11]。人工管理是安全网络中最为薄弱的环节,该环节管理的好坏对网络安全起着举足轻重的作用。人工管理存在着如下的一些安全风险:1.数据库管理员或掌握企业重要信息的员工在某种利益的驱使下,通过非法途径将信息泄露。2.网络管理员、系统管理员安全意识淡薄,为了方便省事,设置简单的口令,易遭到破解。为多个用户提供相同的账号,造成管理混乱、责任不清,易引起信息泄露。3.网络管理员、系统管理员将网络设备或信息系统管理员账号泄露给其他人员,增大网络瘫痪或信息泄露的可能性。4.重要网络节点、服务器机房出入人员混乱,给网络设备的正常运行造成较大安全隐患。5.责权不明,安全管理制度不健全及缺乏可操作性等都可能引起安全风险。2.2网络安全评估模型网络安全防御体系是一个动态的、基于时间变化的概念,为确保网络与信息系统的抗攻击性能,在设计网络安全防御体系时需创建一个综合保护屏障。多层、安全互动的安全防护将大大增加黑客攻击的难度和成本,因此他们对网络系统的攻击也将大大减少[12]。安全评估模型的建立可以使复杂的问题简单化,更好的解决安全问题。参考P2DR模型,建立面向企业网络的安全评估模型,该模型由安全策略、防护、检测、响应、恢复几部分组成。如图2.2所示。安全策略是指在一个特定的环境中,为保证提供一定级别的安全保护所必须遵守的规则。防护是指综合运用各种安全技术对系统进行保护。检测是指利用检测工具来监视和评估系统的安全状态。响应是指在出现或检测到安全问题时网络相关部分对安全问题及时做出处理。恢复是指通过适当的手段将系统调整到相对“最安全”和“风险最低”的状态。图2.2网络安全评估模型模型中各部分都有对应的网络安全手段[13],见表2.1。表2.1评估模型各部分对应的安全手段模型组成安全手段确定网络安全组织机构及安全指导方针制定网络安全相关的制度及政策安全策略制定培训计划对员工进行安全培训建立网络安全的监督机制,提高安全策略的执行力度通过管理制度保护网络设备物理安全利用安全设备(如防火墙减少入侵事件防护进行缺陷及漏洞扫描发现系统不安全因素个人防病毒软件及个人防火墙提高终端安全性数据加密及身份认证等技术提高网络安全性检测利用IDS进行入侵检测对检测到的入侵行为对应的不安全点进行修复响应对扫描发现的系统漏洞或软件漏洞有相应的修复机制通过管理制度明确网络安全问题相应的处理机制进行系统升级、软件升级、打补丁恢复除去后门通过完备的数据备份机制确保在数据丢失时可进行数据恢复12企业网络安全方案的设计与实现防护、检测、响应和恢复组成了一个完整的、动态的安全循环，在安全策略的指导下保证网络系统的安全。其具有动态性、过程性、全面性、层次性和平衡性等特点。第三章网络现状分析13第三章网络现状分析3.1网络情况概述咸阳联通公司办公网采用星型网络拓扑结果，核心节点在人民路办公大楼三层信息化支撑中心机房，由办公大楼各层节点、富安路办公楼、各县级分公司及多个信息服务器等组成。各层次设备均为华为公司产品，设备互联采用100M全双工模式。拓扑图如图3.1：外网服务器办公网办公网故障派单物业费用管运维管理FTP服务器web服务器bbs服务器服务器理服务器服务器省公司办公网交换机新楼二层InternetS6502新楼三层富安路办公楼新楼五层……监控室兴平分公司三原分公司旬邑分公司十个县级分公司图3.1咸阳联通公司办公网拓扑图网络核心设备为S6502路由交换机，下挂各接入层节点均为S3026E交换机，接入层节点直接汇聚终端。另外办公网web服务器、办公网bbs服务器、FTP服务器、故障派单服务器、物业费用管理服务器均直接上联S6502路由交换机。S6502第三章网络现状分析151．营业体验区子网（1）安全接入互联网，可获得对外服务子网提供的服务；（2）统一部署防毒、杀毒系统；（3）具备系统还原能力。2．办公子网（1）安全接入互联网；（2）可根据部门需求选择性获得对外内服务子网提供的服务；（3）单机部署防毒、杀毒系统。3．对外服务子网（1）发布企业信息并为互联网用户提供服务；（2）能够抵御来自互联网的各类攻击；（3）可实现访问控制；（4）有系统漏洞监测功能；（5）部署防毒、杀毒系统。4．对内服务子网（1）为企业内部用户提供信息服务；（2）可根据服务类型选择性的向相关部门提供信息服务；（3）与互联网隔离；（4）系统漏洞能较快得到修复；（5）部署防毒、杀毒系统。5．财务子网（1）与其他子网物理隔离；（2）与互联网物理隔离；（3）严格的身份认证和访问控制策略；（4）部署防毒、杀毒系统[15]。根据调研，办公网安全需求主要有以下几个方面：1．办公网设备实体安全需求办公网内的设备实体，如交换机、服务器、个人电脑等的管理存在安全隐患，如出现安全问题，将会造成较为严重的后果。调研中发现公司办公网核心设备和服务器在一个机房内，均同时使用UPS接12V50Ah蓄电池组，由于蓄电池组容量较小且已使用多年，实际容量远远小于标称容量，如机房市电停电时间较长，蓄电池组放电完毕后，设备将会停止工作。另外该机房没有完善的管理制度，对机房的出入没有管理制度，公司员工均可任意出入，还有楼层的三层交换机机柜均设置在每层的会议室内且没有上锁。这些安全隐患均有可能造成人为原因主观或非主观的网络中断，影响正常办公，严重时还可能造成服务器数据丢失，甚至16企业网络安全方案的设计与实现设备失窃。2．个人办公电脑系统安全需求公司的文件、报表等重要信息都是以电子文件的形式存储在个人办公电脑上，可以方便地存取、修改、分发。这样可以提高办公的效率，但同时也使信息易受到攻击，造成泄密，特别是对于移动办公的情况更是如此。所以移动办公和重要的涉密计算机，应采取专门的安全措施进行重点防护，以保证其信息的存储安全。另外计算机使用者对计算机不设置访问口令，或使用简单易破解的口令，都容易造成公司的文件丢失或信息泄密。3．服务器操作系统安全需求公司有多台服务器，均提供着不同的服务。随着公司的发展，对服务器的安全性要求也将不断提高。这些服务器均使用Windows2000Server或WindowsServer2003操作系统，任何操作系统，任何版本的操作系统，均存在系统漏洞，对系统漏洞的及时修复是保证系统免受攻击的基本条件。另外关闭不使用的端口和异常端口、高权限账号的安全管理、资源共享的正确设置及Internet信息服务的正常运行都是服务器正常提供服务的保障。4．病毒防护需求随着计算机网络技术的日益发展，病毒的技术也在不断发展提高，其破坏力也逐渐加强。必须对服务器及单机均配备防毒杀毒软件，防止病毒入侵，同时防止病毒扩散到网络，实现全网的病毒安全防护，来确保整个网络的业务数据不受到病毒的破坏，日常工作不受病毒的侵扰。由于新病毒的出现比较快，所以要求防病毒系统的病毒代码库必须及时更新。在调研中发现公司部分个人办公电脑未配置查毒杀毒软件，有部分虽配置查毒杀毒软件，但其病毒库也没有及时更新，另外普遍存在使用外接移动存储设备没有先杀毒后打开的习惯。5．访问控制需求根据公司各部门的职责和公司信息服务器的提供的服务类型，结合安全的考虑，在网络内部层面上，各部门与服务器之间需有一定的通信策略。具体各部门及服务器之间的访问规则如图3.3所示。另外办公网各子网对互联网的访问也需有一定的限制，办公子网、营业体验区子网及对外服务子网均接入互联网，对内服务子网虽与互联网物理连通，但必须通过三层交换机或防火墙的设置来做好隔离，另外财务专网需要严格与互联网进行物理隔离。调研中还发现部分会议室安装有接入办公网的WiFiAP，这些无线接入设备如果配置不当，不但会使网络资源暴漏在外，造成信息丢失，还会成为入侵者进入内部网络的跳板，给网络造成极大的威胁，所以对无线接入的恰当管理是保障网络安全的一项重要工作。第三章网络现状分析17人力资源部信息化支撑中心综合、党群、工会办公网web服务器市场销售部办公网bbs服务器FTP服务器集团客户部故障派单服务器客户服务部物业费用管理服务器运维管理服务器网络优化中心网络建设部运行维护部图3.3各部门及服务器之间通信策略图6．人工安全管理需求在各种安全需求里，人工安全管理需求是最不易完善的，也是最难完美实现的，是网络中安全中最最重要的部分，更是网络安全中最薄弱的环节。人工安全管理存在的问题如同之前风险分析中提到的，如果管理不当造成的危害将比其他由于技术不完善造成的危害大得多，且不可预知。在调研中也发现了在网络安全的多个层次存在由于制度不完善或监管不力造成的安全隐患，比如网络或系统管理员长时间只有一人担任，无监督机制，且长期担任此岗位工作；网络设备或服务器口令设置简单且未定期修改；重要机房、设备或网络节点无相关管理制度；有用的信息使用不严谨，随意发送、复制；废弃的信息未及时销毁；个人办公电脑不设置口令、重要文件不加密、随意让他人使用等等。这些日常工作中不易引起重视的细节，更容易带来危害。可见加强人工安全管理是网络安全管理中最重要的一环。通过对咸阳联通公司办公网各个层次进行全面的调研，了解了整体网络结构、网络设备类型、接入方式、管理模式等方面的情况，并充分掌握目前网络运行中存在的安全问题。另外对发现的安全问题，结合网络安全相关理论，分析了影响网络安全的因素，且提出了网络安全需求。为下一步设计整体网络安全优化方案并进一步实现做好了准备工作。避开病毒或木马对你计算机造成的威胁。2.利用具有系统漏洞扫描功能的软件(如360安全卫士、迅雷等定期扫描系统,对操作系统和应用软件的漏洞补丁及时进行更新安装,修补系统或软件漏洞,防止受到病毒或木马的威胁。3.关闭Guest帐户,Guest帐户即所谓的来宾帐户,它可以访问计算机,但受到很多限制。不幸的是,Guest也为黑客入侵打开了方便之门。办公网电脑多用户使用时可创建多个用户而不是打开Guest账户。4.所有电脑的Administrator账户必须配置密码。如果创建了其他用户名,Administrator这个管理员账户必须从安全模式才能进入,所以该账户的安全性往往被人忽视,Administrator账户不设置密码将会给黑客入侵提供便利的条件。所以Administrator须配置密码且不可太过简单,方可避免电脑从此途径被攻击。5.当电脑需连接移动存储设备(如U盘、移动硬盘、MP3、存储卡等时必需先杀毒后打开,以防这些移动存储设备带有病毒程序而感染到电脑[18]。没有安全操作系统的支持,数据库就不可能具有存取控制的安全可信性,就不可能有网络系统的安全性,也不可能有应用软件信息处理的安全性。安全操作系统是整个网络系统安全的重要一部分。针对操作系统的安全,我们需要从Windows系统漏洞安全、Windows端口安全、Windows用户账户安全及Internet信息服务安全等方面入手。漏洞是攻击的可能的途径。在计算机网络安全领域,系统漏洞是指系统中存在的弱点或者缺点,可能会降低系统对对来自外界的入侵或攻击的敏感性,从而影响到系统的安全性。对于Windows这样一个庞大的系统而言,漏洞的存在是不可避免的[19]。对于互联网上的大型服务器,通常都有专门的漏洞扫描服务器,专职负责多台服务器的漏洞扫描工作。采用模拟攻击的形式对目标可能存在的安全漏洞进行逐项扫描,然后根据扫描结果提供可靠的安全评估分析报告。根据办公网的规模和现状,进行专门漏洞扫描大可不必。对于出现的系统漏洞,我们需要通过其他手段来解决。及时安装系统更新,无疑是解决系统漏洞安全问题最好的方法。安装补丁需要遵循下面几点原则:1.安装补丁不能与所使用的应用软件冲突;2.根据实际需要安装补丁;3.系统补丁宜少不宜多[20]。端口是服务器对外提供网络服务的主要通道,不同的网络服务使用不同的端口一台服务器可以同时绑定多个IP地址,每个IP地址又可以通过不同的端口来提供不同的网络服务。但开放的端口越多,服务器的安全就越差。限制了端口也就限制了相应的服务,进而也就限制了系统漏洞[21]。所有网络攻击,都必须借助相应TCP/UDP端口才能实现。因此,及时了解和控制系统端口的开放情况才是应对各种网络攻击的有效措施。管理端口可以通过命令行来控制,对于不是非常专业的人员还可以使用端口管理软件进行操作。用户账户是计算机安全设置的重要对象,许多安全功能的实现都是基于用户账户的,如文件访问权限设置、用户环境设置等。默认情况下,管理员账户是Windows系统中权限最高的账户,拥有管理员权限,也就相当于拥有了整个系统或网络。因此管理员账户成为黑客们的主要攻击目标,许多黑客攻击服务器时,总是试图破解Administrator账户的密码,如果此时密码安全性不高,则后果不堪设想。为了提高管理员账户的安全性,我们对办公网服务器的Administrator管理员账户的名称全部进行了修改,修改为黑客通常无法猜到的名称。这样一来试图破解密码的黑客由于无法得知用户名而无从下手。对于已经知道管理员用户名称的黑客,如果需要进入服务器,就必须获取管理员权限,即破解管理员账户密码。弱密码会使得攻击者易于破解而得以访问计算机和网络,而强密码则难以破解,即使是密码破解软件也难以办到。密码破解软件的工作机制主要有巧妙猜测、词典攻击和自动尝试字符组合三种方式。从理论上讲只要有足够的时间,使用这些方法可以破解任何账户密码,破解一个弱密码可能只需几秒钟即可完成,而要破解一个安全性较高的强密码则可能需要几个月甚至几年的时间[22]。所以管理员账户必须使用强密码,并且经常更改密码。设置密码时应注意下面几个问题:1.不可设置和账户名相同的密码;2.不可使用自己的姓名;3.不可使用英文单词;4.不可使用特定意义的日期。Internet信息服务是一个用于配置应用程序池或网络站点的工具。管理员可以配置IIS安全、性能和可靠性功能,可添加或删除站点,启动、停止和暂停站点,备份和还原服务器配置,创建虚拟目录以改善内容管理等。正是因为IIS具有如此强大的功能,其安全问题也更加受到人们的重视,并需要设置IIS的安全来保护系统中的数据。办公网内的web服务器、bbs服务器、故障派单服务器、物业费用管理服务器、运维管理服务器均采用B/S模式,另外还有一台FTP服务器。根据网络情况及服务范围,对服务器的安全需要从如下几方面加强[23]。1.应用NTFS文件系统。NTFS文件系统可以对文件和目录进行管理,FAT文件系统则只能提供共享级的安全,而Windows2000的安全机制是建立在NTFS文件系统之上的,所以在安装Windows2000时选用NTFS文件系统,即可建立相应的安全机制。2.避免安装在系统分区上。把IIS安装在系统分区上,会使系统文件与IIS同样面临非法访问,容易使非法用户侵入系统分区,必须将IIS服务器安装在非系统分区上。3.修改服务端口号。通常情况下基于IIS的网络服务使用的端口都是固定的,一般常用的端口为:FTP是21,HTTP是80,HTTPS是443,SMTP是25。使用默认端口号可以使访问便捷,但也造成了安全性降低,黑客可以利用对应端口程序的漏洞攻击服务器。为了提高办公网服务器的安全性,需要对部分服务器的网络服务端口号进行修改。4.根据IP地址进行访问控制。IIS具有基于IP地址的访问控制限制,配置后IIS会检查每个来访者的IP地址,通过IP地址就可以阻止或允许某些特定的计算机访问站点。对于办公网内的服务器提供的业务类型需要进行相应的访问限制。随着计算机网络应用的深入,计算机的安全日益受到威胁,特别是在网络环境下,多样化的途径和应用环境更使病毒的发生率高、潜伏性强、范围面广,造成是损失大。另外办公自动化的运行、互联网的日益普及,计算机病毒也给自动化办公程序的安全带来了隐患。由于互联网病毒的猖獗,一不小心,极易招惹上身。病毒的干扰和破坏严重影响了正常工作,浪费了大量的维护、处理时间。如何有效防范网络病毒侵害,保护系统安全,是一个亟待解决的问题。在网络环境中,网络病毒具有可传播性、可执行性、可触发性、破坏性等计算机病毒的共同点。要做好网络病毒的防范工作,必须先掌握病毒的传播途径及特点[24]。1.系统、工具软件的漏洞。很多病毒利用操作系统和网络工具的漏洞进行传播,例如它会利用浏览器软件的“Iframe”漏洞,即使用户没有打开邮件的附件,仅仅是点击了邮件,病毒就会自动运行。2.局域网、办公网传播。局域网、办公网是由相互连接的一组计算机组成的,这是数据共享和相互协作的需要。组成网络的每一台计算机都能连接到其他计算机,数据也能从一台计算机发送到其他计算机上。如果发送的数据感染了计算机病毒及木马程序,接收方的计算机将自动被感染。因此,有可能在很短的时间内感染整个网络中的计算机病毒,严重时造成网络瘫痪。局域网网络技术的应用,为网络化办公、促进各项工作的效率提高,作出了巨大的贡献。但是,同时也为计算机病毒的迅速传播拓展了渠道,造成系统漏洞所产生的安全隐患,使病毒在局域网中传播。3.文件共享,携带传播。Windows系统可以被配置成允许其他用户读写系统中的文件,允许所有人访问您的文件会导致很糟糕的安全性,而且在默认情况下,Windows系统仅仅允许授权用户访问系统中的文件。然而,如果病毒发现系统被配置为其他用户可以在系统中创建文件,它会在添加文件时传播病毒。另外软盘和移动硬盘是最方便、使用量最大的一种传递文件的方式,通过软盘、移动硬盘的使用,很容易将病毒从一台电脑传播到另一台电脑中。再有就是盗版光盘的泛滥,却为病毒传播带来了方便。盗版光盘上的软件未经过严格的病毒检测,难免不带有病毒,即使发现病毒用户也无法清除。4.病毒伪装,引诱用户上当。这是大多数木马、蠕虫类病毒的常用手段。这些病毒经常会利用QQ、MSN等聊天工具传播藏有恶意代码的网址等。因此,我们要养成一个良好的上网习惯,不去浏览一些不良和一些安全性差的网站,避免不必要的损失。5.用户安全意识薄弱。很多计算机用户以为,计算机安装了杀毒软件和防火墙就可以高枕无忧了。其实则不然,应该经常对杀毒软件及防火墙进行及时升级,保持杀毒工具的病毒库时刻处于最新状态。使用电脑时打开实时监控,使防火墙始终处于防御状态,及时检查并下载安装系统及软件的漏洞补丁[25]。对于病毒的防范,前面的分析中做了一部分工作,如细分网段、根据需求进行通信访问控制等就是为了防止病毒在局域网内传播。为了防止来自于互联网的病毒攻击,在互联网出口的防火墙上需要对一些常见的病毒端口进行了限制,这样对来自网络的一些已知病毒或入侵可以起到防范的作用,另外在核心交换机S6502上进行类似的限制,也可以对网内出现的病毒或入侵起到一定防扩散的作用。除了在网络层面做的防病毒工作以外,还需要加强办公网内计算机自身的防毒工作,如果计算机自身防毒工作做的不好,仅靠外界为其防毒,其感染病毒的可能性还是很大。相比于影响网络安全的其他因素而言,人工管理是最脆弱的一环。一旦计算机的程序一定时,其行为方式也是一定的。然而人则不会具有这种一致性,因为他们是主要的风险源。计算机网络使用了尽可能多的网络安全手段保证了信息的安全,但如果出现了人的漏洞,其他的所有手段就显得徒劳,结果将会比网络某处的其他隐患造成的危害更严重。人工管理已被各种不同性质、不同规模的企业组织、社会传媒、专家学者提到了前所未有的重要程度[26]。和面对其他安全问题一样,出现了人工管理方面的安全问题,我们就需要有规避这些安全问题引起风险的措施[27]。所有的安全性都来自于政策,政策决定了公司运作的大方向,并成为任何决策的基础。政策决定员工在企业环境下的行为方式。大政策往往是宽泛的,没有设计具体的细节。制度则是一种细节性的指导,告诉人们如何以合乎政策的方式完成任务。公司需要制定相关的制度,从细节出发,全面说明网络安全各项工作的责任主体及工作内容,确保公司在网络安全工作有制度可依,防止由于人工管理问题不细致引起网络安全问题。公司网络内部的任何部分都可能发生安全性破坏事件,因此安全是公司每个员工的任务。每个持有敏感信息或可以访问敏感系统的员工都可能成为公司安全性的漏洞。安全性不是与生俱来的,不同的人对安全的理解也不尽相同。如果员工的安全性不高,其造成的威胁将是坚锁、防火墙或监控摄像头无法阻碍的。公司的每位员工都是潜在的漏洞,而员工又不具备必要的意识和知识,那么必须进行安全培训。公司的网络安全培训须得到重视,且要培训到参与网络的每一位员工。建立起各种安全控制措施,并主观认为它们会正常工作是不够的,必须具有监督措施来推进措施的执行。为了确保安全措施的执行力度,公司需要确定办公网安全工作的负责部门,并设置网络安全监督人员,监督人员负责对口部门的网络安全工作。并为监督工作明确工作职责和权利,另外还需形成完善的汇报、通知、处理等工作环节。3.4经济分析根据办公网网络规模,结合中标入围设备厂家,合适的防火墙设备为华为技术有限公司的QuidwayEudemon100防火墙和中兴通讯股份有限公司的ZXECSUS180防火墙。第三章网络现状分析27华为QuidwayEudemon100防火墙支持丰富的协议状态检测及地址转换功能,具备强大的攻击防范能力,提供静态和动态黑名单过滤等特性,可提供丰富的统计分析功能和日志。Eudemon100还可支持QoS、VPN等特性,提供完善的组网应用解决方案。Eudemon100是基于华为专业电信级硬件平台和VRP软件平台,在性能档次、接口规格方面有所不同,适用于为小型网络提供安全保证。中兴ZXSECUS350宙斯盾防火墙是基于专用ASIC芯片的硬件产品,在网络边界处提供了实时的保护。基于专业内容处理器芯片,ZXSECUS350能够在不影响网络性能情况下检测病毒、蠕虫及其他基于内容的安全威胁,包括Web过滤这样的实时应用。系统还集成了防火墙、VPN、入侵检测和防护(IPS、内容过滤和流量控制功能,提供具有高性价比、强大的企业安全解决方案。经过与厂家询价,华为QuidwayEudemon100防火墙价格为25000元,中兴ZXSECUS350防火墙价格为30000元。从办公网设备生产厂家统一和价格优惠的角度考虑,确定购买华为QuidwayEudemon100防火墙。由于目前免费的防毒杀毒软件很多,出于网络安全级别的考虑,公司决定对办公网内的电脑,可安装集团统一提供的正版杀毒软件或者使用口碑较好的杀毒软件,此次只对服务器采购正版的防毒杀毒软件。现在市面上的防毒杀毒软件品牌众多,经过考察,我们初步选择市场上使用较多的瑞星全功能安全软件和金山毒霸安全组合装。瑞星全功能安全软件是一款基于瑞星“云安全”系统设计的新一代杀毒软件。其“整体防御系统”可将所有互联网威胁拦截在用户电脑以外。深度应用“云安全”的全新木马引擎、“木马行为分析”和“启发式扫描”等技术保证将病毒彻底拦截和查杀。再结合“云安全”系统的自动分析处理病毒流程,能第一时间极速将未知病毒的解决方案实时提供给用户。金山毒霸运用金山“云安全”技术,新病毒反应速度缩短,病毒处理能力提高。内含病毒查杀、防火墙、上网保护、漏洞修复等10余项安全功能。简单易用,经VB100国际严格测试。具有极速漏洞修复功能,且杀毒模块可自我保护。价格方面,瑞星全功能安全软件售价299元,金山毒霸安全组合装售价298元,价格和口碑的相当。根据公司以往的使用习惯,确定为购买瑞星全功能安全软件。根据前面提出的方案,方案一为更换大容量的蓄电池组,方案二为从公司电28企业网络安全方案的设计与实现源室接入交流电。方案一需要采购新的蓄电池组,根据核心机房的用电量,需要配置300Ah2V的蓄电池组,根据厂家询价,该蓄电池组报价为12000元。方案二需要购买10mm2的BVR电源线120米,经过市场考察,其价格为55元/米左右,所需120米总价为6600元。方案二具有更高的安全性,且价格较便宜,另外考虑到办公网机房的电源接入对公司专业机房总体电源的影响甚微,确定采用方案二进行供电改造。第四章网络安全方案的实现29第四章网络安全方案的实现有了安全方案之后,下一步就是实现它。实现安全方案不是一件简单的事情,他包括技术性和非技术性两方面的内容。虽然能够找到在一起工作的设备,并且通过这些设备可以真正的实现安全策略,但对所有相关部分提出一个切实可行的设计同样具有挑战性[28]。影响网络安全的因素很多,保护网络安全的技术、手段也很多。一般来说,保护网络安全的主要技术有防火墙技术、入侵检测技术、加密技术、安全评估技术、防病毒技术、身份认证技术等等。为了保护网络系统的安全,必须结合网络的具体需求,将多种安全措施进行整合,建立一个立体的、完整的、多层次的网络安全防御体系,这样一个全方位的网络安全解决方案,可以防止安全风险各个方面的问题。在公司网络系统的安全项目中,根据网络的拓扑结构,我们将根据网络安全风险分析中的层次逐一进行网络安全改造。4.1网络安全方案研究公司办公网安全方案设计按照“统一规划、统筹安排,安全第一、节约成本”的思路进行。采用平台化建设思想,避免重复投入、重复建设,充分考虑整体和局部的利益,坚持近期目标与远期目标相结合。在实际建设中遵循以下指导思想:宏观上统一规划,同步开展,相互配套,实现上分步实施,循序渐进;具体设计中结构一体化、标准化、平台化;安全保密方面手段多元化[29]。针对公司网络系统在实际运行中所面临的各种威胁,采用防护、检测、反应、恢复四方面行之有效的安全措施,配合完善规章制度、加强安全培训等手段,提高应对网络安全事件的能力和水平,最大限度地控制、减轻网络安全事件造成的危害和影响,建立一个网络规模合理、安全措施得当、便于扩容、易于管理的全方位安全体系。在进行办公网安全方案设计、规划时,应遵循以下原则[30]:1.需求、风险、代价平衡分析的原则30企业网络安全方案的设计与实现对任何一个网络来说,绝对安全难以达到,也不一定必要。对一个网络要进行实际研究(包括任务、性能、结构、可靠性、可维护性等,对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析,然后制定规范和措施,确定本系统的安全策略。保护成本与被保护信息的价值必须平衡,价值仅2万元的信息如果用6万元的技术和设备去保护是一种不适当的保护。2.综合性、整体性原则应运用系统工程的观点、方法,分析网络的安全及具体措施。安全措施主要包括:行政法律手段、各种管理制度(人员审查、工作流程、维护保障制度等以及专业技术措施(访问控制、加密技术、认证技术、攻出检测技术、容错、防病毒等。一个较好的安全措施往往是多种方法适当综合的应用结果。计算机网络的各个环节,包括个人(使用、维护、管理、设备(含设施、软件(含应用系统、数据等,在网络安全中的地位和影响作用,也只有从系统整体的角度去看待、分析,才可能得到有效、可行的措施。不同的安全措施其代价、效果对不同网络并不完全相同。计算机网络安全应遵循整体安全性原则,根据确定的安全策略制定出合理的网络体系结构及网络安全体系结构。3.一致性原则一致性原则主要是指网络安全问题应与整个网络的工作周期(或生命周期同时存在,制定的安全体系结构必须与网络的安全需求相一致。安全的网络系统设计(包括初步或详细设计及实施计划、网络验证、验收、运行等,都要有安全的内容及措施。实际上,在网络建设的开始就考虑网络安全对策,比在网络建设好后再考虑安全措施,不但容易,且花费也少得多。4.安全、可靠性原则最大保证系统的安全性。使用的信息安全产品和技术方案在设计和实现的全过程中有具体的措施来充分保证其安全性;对项目实施过程实现严格的技术管理和设备的冗余配置,保证产品质量,保证系统运行的可靠性。5.易操作性原则安全措施要由人来完成,如果措施过于复杂,对人的要求过高,本身就降低了安全性。其次,采用的措施不会影响系统正常运行。6.适应性、灵活性原则安全措施必须能随着网络性能及安全需求的变化而变化,要容易适应、容易修改和升级。7.多重保护原则任何安全措施都不是绝对安全的,都可能被攻破。但是建立一个多重保护系统,各层保护相互补充,当一层保护被攻破时,其它层保护仍可保护信息的安全。第四章网络安全方案的实现31通过对咸阳联通公司办公网的调研,收集了办公网在结构、使用、维护、管理、检测等多方面是数据,经过分析,确定了办公网安全方案的设计主要围绕以下几个重点进行:1.保障网络设备的物理安全;2.减小来自互联网的攻击;3.根据办公网内部通信策略进行访问控制;4.提高服务器操作系统的安全;5.实现全面的防毒杀毒工作;6.通过完善制度减少由于人员管理方面的不足造成的安全隐患。4.2物理安全方案的实现物理安全是整体网络安全的基础,网络设备或线路出现硬件故障,网络的安全性则无从谈起,其他一切安全措施均无法发挥作用,其重要性不言而喻。根据之前对办公网物理安全的分析,下面主要从完善制度、优化核心机房供电、加强网络节点安全性等方面进行方案实现。为了确保网络核心设备机房、网络节点、线缆的物理安全,公司制定了《办公网机房管理制度》和《办公网机房施工管理制度》。《办公网机房管理制度》主要从如下几个方面进行了规定:1.明确进入机房的人员及条件;2.在机房内维护、装机等工作时可进行的操作;3.外部人员在机房内进行工作的随工要求;4.机房内各项操作的规范要求;5.机房出现紧急情况的通知汇报流程。《办公网机房施工管理制度》主要从如下几个方面进行了规定:1.施工单位进入机房前需要履行的手续;2.施工单位出入机房的制度;3.单位人员在机房内的注意事项;4.施工时机房维护单位的随工要求;5.施工影响网络正常运行时的申请流程及施工条件;6.施工出现紧急情况的通知汇报流程。结合技术分析和经济分析,权衡利弊,最终选择方案二,通过布放电源电缆来优化办公网核心机房的供电问题。通过改造,办公网核心机房的市电接入由公司电源室提供,由于电源室有固定的专用大功率柴油发电机组和专业的维护人员,可确保供电万无一失,即确保了办公网核心设备的供电安全,使设备正常运行无后顾之忧。调研中发现的办公网核心机房外的各网络节点均处于办公楼公共场所且没有任何安全措施。如果出现人为主观或非主观的错误操作,将会造成该节点下部分网络瘫痪或该节点下全部网络瘫痪,另外如果非专业人员操作造成交换机端口环路的话,还有可能造成全网瘫痪的情况。针对此情况,必须限制非维护人员对办公网网络节点设备的操作。机械锁作为最简单的安全工具,看似不起眼,但其作用可谓不小,针对防范目标是办公网的情况,在每个节点设备的机箱上加一把锁就可以达到限制非维护人员对网络节点设备的操作。加锁后,出现在网络节点层面的故障大幅度减少,由于人为原因造成的节点故障再没有发生。4.3网络结构安全方案的实现前面对办公网在网络设备方面存在的问题进行了详细的分析,并提出了相应的解决方案。下面从细分网络减小广播域、利用防火墙减小外部威胁、加强通信访问控制、加强网络设备自身的安全性及加强办公电脑的安全性等方面进行方案的实现。的IP地址。另外办公网还有6台内网服务器,在划分的时候为这6台服务器各分配一个vlan,各配置30位IP地址段。表4.1就是办公网各部门及服务器对应vlan、IP的情况:表4.1办公网vlan及IP地址分配表序号部门/服务器vlanIP地址续表4.1原先的组网模式中,办公网内除核心交换机外,其他三层交换机均未进行网管,也未配置端口隔离等任何数据,只充当了一个二层交换机进行线路汇接的功能。新的组网方案中对公司各部门重新分配了IP地址,各部门有独立的IP地址段,利用vlan进行隔离。如果按照原先的组网模式对核心交换机以外的网络节点交换机不进行管理的话,按照部门进行IP分配的工作将无法进行。所以我们对办公楼内的各节点交换机全部进行了配置,为每台交换机配置管理IP,这样以后有数据操作就可以远程进行了。另外根据节点交换机下挂的部门,分别从核心交换机透传相应部门的vlan,再在节点交换机上根据端口进行划分。表4.2即为网络节点的相关数据资料。表4.2办公网网络节点资料序号节点交换机名称管理IP地址上联S6502端口透传业务vlan2s2/0/6101,102,103,201,2023s2/0/7106,107,109,110,2024s2/0/8104-108,2025s2/0/9202完成此项工作的具体配置过程如下:将S6502核心交换机下挂节点交换机的接口模式由原先的access改为trunkportlink-typetrunk在S6502交换机端口透传对应的管理vlan和业务vlanporttrunkpermitvlan101to103201202将节点交换机的上连口的接口模式同样由原先的access改为trunkportlink-typetrunk在节点交换机的上连口透传从S6502透传下来的管理vlan和业务vlanporttrunkpermitvlan101to103201202根据下挂部门所在的端口,在节点交换机的其余access口配置对应的业务vlanportaccessvlan101访问控制根据各部门的职责不同来确定,此项工作需要由S6502核心路由器和Eudemon100防火墙共同配合来完成,下面逐一对其实现方法进行说明。1.对内服务器需要与互联网隔离。aclnumber3000设置rule0再撰写一个advancedaclaclnumber3001设置rule0在端口上启用aclpacket-filteroutboundip-group3000rule0packet-filterinboundip-group3001rule0通过以上方法,即可实现对内服务器与互联网的隔离。2.对内服务器应根据提供的业务与对口部门互通。对内服务器有6台,其中有3台要求办公网全网均可进行访问,这3台就不用做特别的设置,而另外3台只允许与个别部门互通,其他部门则不允许访问。此项操作需要在S6502上进行设置,仍然是通过ACL来控制,在服务器对应的接口通过限制进出的数据包,只允许指定部门的数据包通过,其他一律丢弃。具体操作方法为:撰写一个advancedaclaclnumber3002设置rule再撰写一个advancedaclaclnumber3003设置rule在端口上启用aclpacket-filteroutboundip-group3002packet-filterinboundip-group3003通过以上方法,即可实现对内服务器有选择性的对指定部门开放,同时禁止其他部门访问。3.营业厅体验区只能访问互联网,不能访问办公网。对于营业厅体验区只能访问互联网,不能访问办公网的问题,本可以直接将其接入互联网,不通过办公网接入互联网即可完全实现。但目前的情况是营业厅体验区接入到了主楼二层的办公网交换机上,没有单独的物理路由直接上联主楼四层的互联网核心交换机。所以只能将其接入到办公网,再通过办公网接入互联网。其和办公网不能互通只能通过软件来实现。IP进行互通限制的配置时,可以很大程度减小数据配置的工作量。出于安全考虑,单独设置地址池aclnumber3009rule100denyip在trust和untrust区域间配置NATfirewallinterzonetrustuntrustnatoutbound3009address-group3通过以上方法,即可实现营业厅体验区只能访问互联网,不能访问办公网的功能。4.网络监控组的网络摄像头及监控终端只能彼此互通,与办公网内其他部门和互联网均隔离。网络监控组的日常工作就是通过网络摄像头视频监控办公主楼内的情况,其工作性质决定其网络不需要与公司内其他部门通信,另外公司为了视频监控的安全性,规定不允许其网络与互联网通信。根据分析,需要在网络边界增设硬件防火墙一台,结合经济分析和网络设备的统一性,选用华为公司的Eudemon100硬件防火墙。增加了Eudemon100防火墙后,其承担了办公网私网地址的NAT转换工作。另外还进行了IP欺骗防范、SYN泛洪攻击防范、Ping攻击防范和DoS(DDoS攻击防范等方面的配置。1.IP欺骗防范具体配置如下:撰写访问控制列表并增加下面的规则2.SYN泛洪攻击防范SYN泛洪攻击主要被用来攻击开放了TCP端口的网络设备,攻击者主要利用TCP连接建立过程的三次握手原理。攻击者伪造TCP的连接请求,向被攻击的设备正在监听的端口发送大量的连接请求(SYN报文,被攻击的设备按照正常的处理过程,回应这个请求报文,同时为它分配了相应的资源。但是攻击者本意并不需要连接建立成功,因此服务器根本不会接收到第三个ACK报文,现有分配的资源只能等待超时释放。如果攻击者能够在超时时间到达之前发出足够的攻击报文,使被攻击的系统所预留所有资源(TCP缓存都被耗尽。那么被攻击的设备将无法再向正常的用户提供服务,攻击者也就达到了攻击的目的[31]。Eudemon100可以通过配置Syn-flood防御功能来对服务器进行保护,Eudemon100上进行Syn-flood防御所采用的是TCPProxy技术,启动这个功能之后,对于每个针对受保护设备的TCP连接请求,防火墙会屏蔽这个报文并代替服务器返回一个SYNACK,如果发起连接请求的是真正的客户端,那么在接收到第三个ACK报文之后,防火墙会向受保护的服务器发起真正的连接请求,并在连接成功建立之后,作为中转,在两个会话间转换数据,使客户端可以正常访问服务器。而如果连接的发起者是一个假冒的IP地址,防火墙会很快的将没有收到ACK报文的表项进行回收,此时,由于被攻击的服务器并没有真正收到这个攻击请求,因此,服务器还是可以正常的响应连接的。这个功能利用了防火墙强大的处理能力,代替受保护的设备承受攻击。具体配置如下:[Eudemon]firewalldefendsyn-floodzonetrustmax-rate100[Eudemon]firewalldefendsyn-floodenable[Eudemon]firewallzonetrust[Eudemon-zone-trust]statisticenableipinzone3.Ping攻击防范Ping是通过发送ICMP报文探寻网络主机是否存在的一个工具。部分主机不能很好的处理过大的ping包,从而出现PingtoDeath攻击方式,即用超过TCP/IP最大限度65536字节的Ping包搞垮目的主机[32]。所以,对于进入办公网的ICMP流,要禁止和与Ping命令有关的ICMP类型具体配置如下:撰写访问控制列表并增加下面的规则rule0denyicmpsourceanydestinationanyicmp-typeechologgingrule1denyicmpsourceanydestinationanyicmp-typenet-redirectloggingrule2denyicmpsourceanydestinationanyicmp-typeinformation-requestloggingrule3permiticmpsourceanydestinationany4.DoS和DDoS攻击防范DoS攻击是目前黑客广泛使用的一个攻击手段,它通过独占网络资源,使其他主机不能进行正常访问,从而导致宕机或者网络瘫痪。DDoS则是利用多台机器同时攻击来达到妨碍正常使用者使用服务的目的[33]。我们用在Eudemon100上限制DoS攻击常用端口的方法来进行防范。具体配置如下:撰写访问控制列表并增加下面的规则rule0denytcpsourceanydestination-porteq27665rule1denyudpsourceanydestination-porteq31335rule2denyudpsourceanydestination-porteq27444rule3denytcpsourceanydestination-porteq16660rule4denytcpsourceanydestination-porteq65000rule5denytcpsourceanydestination-porteq33270rule6denytcpsourceanydestination-porteq39168rule7denytcpsourceanydestination-porteq6711rule8denytcpsourceanydestination-porteq6712rule9denytcpsourceanydestination-porteq6776rule10denytcpso