xx企业网络安全综合设计方案.docx

1、重庆工业职业技术学院 信息安全课程实训报 告 告 题目：企业网络安全综合设计方案 班级：11信安301 姓名：陈巧2011206301111 何月2011206301110 指导老师：何静 责任系部：信息工程学院 xx企业网络安全综合设计方案 1、 企业网络分析 xxxx 科技有限公司是一家以信息安全产品销售为 主营业 务的小型企业，公司网络通过中国联通光纤接 入 InternetInternet 。 该公司拥有子公司若干，并与其它信 息安全产品销售公司建 立了兄弟公司关系。为了适应 业务的发展的需要，实现信息 的共享，协作和通讯， 并和各个部门互连，对该信息网络系 统的建设与实施 提出了方案

2、。 子公司 2、网络威胁、风险分析 2.12.1 黑客攻击 “黑客”（HackHack）对于大家来说可能并不陌生， 他们 是一群利用自己的技术专长专门攻击网站和计算 机而不暴 露身份的计算机用户，由于黑客技术逐渐被 越来越多的人掌 握和发展，目前世界上约有 2020 多万 个黑客网站，这些站点 都介绍一些攻击方法和攻击软 件的使用以及系统的一些漏 洞，因而任何网络系统、 站点都有遭受黑客攻击的可能。尤 其是现在还缺乏针 对网络犯罪卓有成效的反击和跟踪手段， 使得黑客们 善于隐蔽，攻击“杀伤力”强，这是网络安全的 主要 威胁。而就目前网络技术的发展趋势来看，黑客攻击 的 方式也越来越多的采用了病

3、毒进行破坏，它们采用 的攻击和 破坏方式多种多样，对没有网络安全防护设 备（防火墙）的 网站和系统（或防护级别较低）进行 攻击和破坏，这给网络 的安全防护带来了严峻的挑战。 2.22.2 网络自身和管理存在欠 缺 网络的共享性和开放性使网上信息安全存在先天 不足， 网络系统的严格管理是企业、组织及政府部门 和用户免受攻 击的重要措施。事实上，很多企业、机 构及用户的网站或系 统都疏于这方面的管理， 没有制 定严格的管理制度。 据 ITIT 界 企业团体 ITAAITAA 的调查显 示，美国 9090的 ITIT 企业对黑客 攻击准备不足。目前 美国 7575 8585的网站都抵挡不住黑 客的攻

4、击，约 有 7575的企业网上信息失窃。 2.32.3 软件设计 的漏洞或“后门”而产生的问题 随着软件系统规模的不断增大，新的软件产品 开发出 来，系统中的安全漏洞或“后门”也不可避免 的存在，比如 我们常用的操作系统，无论是 WindowsWindows 还是 UNIXUNIX 几乎都存 在或多或少的安全漏洞，众多的 各类服务器、浏览器、一些桌面软件等等都被发现过 存在安 全隐患。大家熟悉的一些病毒都是利用微软系 统的漏洞给用 户造成巨大损失 , , 可以说任何一个软件 系统都可能会因为 程序员的一个疏忽、设计中的一个 缺陷等原因而存在漏洞， 不可能完美无缺。 2.52.5 恶意网站设置的

5、陷阱 互联网世界的各类网站，有些网站恶意编制一 些盗取 他人信息的软件，并且可能隐藏在下载的信息 中，只要登录 或者下载网络的信息就会被其控制和感 染病毒，计算机中的 所有信息都会被自动盗走，该软 件会长期存在你的计算机中， 操作者并不知情，如 “木马”病毒。因此，不良网站和不安 全网站万不可 登录，否则后果不堪设想。 2.62.6 用户网络内部工作人员的不良行为引起的安全问 题 网络内部用户的误操作，资源滥用和恶意行为也 有可 能对网络的安全造成巨大的威胁。由于各行业， 各单位现在 都在建局域网，计算机使用频繁，但是由 于单位管理制度不 严，不能严格遵守行业内部关于信 息安全的相关规定，都容

6、 易引起一系列安全问题。 2.72.7 竞争对手的恶意窃取、破坏以及攻击 xxxx 企业是以销售为主的 itit 行业，所以用户信 息异 常珍贵和重要，如果遭到竞争对手的恶意窃取、 破坏以及攻 击，后果不堪设想。 3、安全系统 建设原则 （1）整体性原则：“木桶原理”，单纯一种安全手段 不可能 解决全部安全问题 ; ; （2） 多重保护原则：不把整个系统的安全寄托在单一 安全措 施或安全产品上 ; ; （3） 性能保障原则：安全产品的性能不能成为影响整 个网络 传输的瓶颈 ; ; （4） 平衡性原则：制定规范措施，实现保护成本与被 保护信 息的价值平衡 ; ; （5） 可管理、易操作原则：尽量

7、采用最新的安全技术， 实现 安全管理的自动化，以减轻安全管理的负担，同 时减小因为 管理上的疏漏而对系统安全造成的威胁 （6）适应性、灵活性原则：充分考虑今后业务和网络 安全协调 发展的需求，避免因只满足了系统安全要求， 而给业务发展 带来障碍的情况发生 ; ; （7）高可用原则：安全方案、安全产品也要遵循网络 高可用 性原则 ; ; （8）技术与管理并重原则：“三分技术，七分管理”， 从技术 角度出发的安全方案的设计必须有与之相适应 的管理制度 同步制定，并从管理的角度评估安全设计 方案的可操作性 （9）投资保护原则：要充分发挥现有设备的潜能，避 免投资 的浪费。 4、网络安全总体设计 4.

8、14.1 需求分析 根据 XXXX 企业满足内部网络机构，根据 XXXXXX 企业 各级 内部网络机构、广域网结构、和三级网络管理、 应用业系统 的特点，本方案主要从以下几个方面进行 安全设计： 1 1、 数据安全保护 , ,使用加密技术 , ,保护重要数据的保 密 性. . 2 2、 网络系统安全 , , 防火墙的设置 3 3、 物理安全 , , 应用硬件等安装配置 . . 4 4、 应用系统安全 , , 局域网内数据传输的安全保证 . . 4.4.2 2 方案综述 1 1、 首先设置 VPN,VPN, 方便内网与外网的连接 , , 虚拟专用 网 是对企业内部网的扩展 . .可以帮助远程用户

9、 , , 公司分 支机 构, , 商业伙伴及供应商同公司的内部网建立可信 的安全连接， 并保证数据 (Data)(Data) 的安全传输 . . 虚拟专 用网可以用于不 断增长的移动用户的全球因特网接入， 以实现安全连接；可 以用于实现企业网站之间安全通 信的虚拟专用线路，用于经 济有效地连接到商业伙伴 和用户的安全外联网虚拟专用网 . . 2 2、 设置 防火墙，防火墙是对通过互联网连接进入专 用网 络或计算机系统的信息进行过滤的程序或硬件设 备。所以如 果过滤器对传入的信息数据包进行标记， 则不允许该数据包 通过。能够保证使用的网站的安全 性，以及防止恶意攻击以 及破坏企业网络正常运行和

10、软硬件，数据的安全。防止服务 器拒绝服务攻击 . . 3 3、 网络病毒防护，采用网络防病毒系统 . . 在网络中部 署 被动防御体系(防病毒系统) , , 采用主动防御机制 （防火墙、安全策略、漏洞修复等） ，将病毒隔离在 网 络大门之外。从总部到分支机构，由上到下，各个 局域网的 防病毒系统相结合，最终形成一个立体的、 完整的企业网病 毒防护体系。 4 4、设置 DMDM，Z Z 数据冗余存储系统 . . 将需要保护的 WebWeb 应 用程序服务器和数据库系统放在内网中，把没有包 含敏感数 据、担当代理数据访问职责的主机放置于 DMZDMZK这样就为应 用系统安全提供了保障。DMNDMN

11、 吏 包含重要数据的内部系统免 于直接暴露给外部网络而 受到攻击，攻击者即使初步入侵成 功，还要面临 DMZDMZ 设置的新的障碍。 5 5、设置数据备份管理系统，专门备份企业重要数据。 为避 免客观原因、自然灾害等原因造成的数据损坏、 丢失，可采 用异地备份方式。 6 6、双重数据 信息保护，在重要部门以及工作组前设 置交换 机，可以在必要时候断开网络连接，防止网络 攻击，并且设 置双重防火墙，进出的数据都将受到保 护。 7 7、设置备份服务器，用于因客观原因、自然灾害等 原因造 成的服务器崩溃。 8 8 广域网接入部分，采用入侵检测系统（IDSIDS）。对 外界入 侵和内部人员的越界行为进

12、行报警。在服务器 区域的交换机 上、 InternetInternet 接入路由器之后的第一 台交换机上和重点保 护网段的局域网交换机上装上 IDSIDS。 9 9、系统漏洞分析。采用漏洞分析设备。 5 、安全设备 要求 5.15.1 硬件设备 1 1、pcpc 机若干台，包括网络管理机，员工工作用机； 干台, , 包括网络管理机 , ,员工工作用机； 2 2、交换机 2 2 台； 3 3、服务器 4 4 台； 4 4、防火墙 5 5 台； 5 5、内外网隔离卡 6 6、AMTTinnFORAMTTinnFOR IDSIDS 。 5.25.2 软件设备 1 1 、病毒防御系统； 2 2、查杀病

13、毒软件； 3 3、访问控制设置。 6、技 术支持与服 务 6.16.1 虚拟网技术 虚拟网技术主要基于近年发展的局域网交换 技术 （ATMATM 和以太网交换）。交换技术将传统的基于广播 的局域 网技术发展为面向连接的技术。因此，网管系 统有能力限制 局域网通讯的范围而无需通过开销很大 的路由器 . . 由以上 运行机制带来的网络安全的好处是 显而易见的：信息只到达 应该到达的地点。因此、防 止了大部分基于网络监听的入侵 手段。通过虚拟网设 置的访问控制，使在虚拟网外的网络节 点不能直接访 问虚拟网内节点。以太网从本质上基于广播机 制， 但 应用了交换器和 VLANVLAN 技术后， 实际上转

14、变为点到点 通 讯， 除非设置了监听口， 信息交换也不会存在监听 和插入 （改 变）问题。但是，采用基于 MACMAC 勺 VLANVLAN 划分将面临假冒 MAMAC C 地址的攻击。因此，VLANVLAN 的划 分最好基于交换机端口。但 这要求整个网络桌面使用 交换端口或每个交换端口所在的 网段机器均属于相同 的 VLANVLAN。 6.26.2 防火墙技术 网络防火墙技术是一种用来加强网络之间访 问 控制, , 防止外部网络用户以非法手段通过外部网络进 入 内部网络, ,访问内部网络资源 , ,保护内部网络操作环 境的特 殊网络互联设备 . . 它对两个或多个网络之间传 输的数据包 如链

15、接方式按照一定的安全策略来实施检 查, , 以决定网络之 间的通信是否被允许 , , 并监视网络运 行状态. . 6.2.16.2.1 包过滤型 包过滤型技术是防火墙技术的一种 , , 其技术依据 是网 络中的分包传输技术 . . 网络上的数据都是以 包 为单位进 行传输的 , , 数据被分割成为一定大小的数据 包, , 每一个数 据包中都会包含一些特定信息 , , 如数据的 源地址，目标地 址,TCP/UDP,TCP/UDP 源端口和目标端口等. .防 火墙通过读取数据包中 的地址信息来判断这些 包 是 否来自可信任的安全站点 ， 一旦发现来自危险站点的 数据包，防火墙便会将这些数据拒 之门

16、外 . .系统管理员 也可以根据实际情况灵活制订判断规 则 . . 6.36.3 病毒防护技术 病毒历来是信息系统安全的主要问题之一。由于 网络 的广泛互联，病毒的传播途径和速度大大加快。 我们将病毒 的途径分为： (1(1 ) )通过 FTP,FTP,电子邮件传播。 (2)(2) 通过软盘、光盘、磁带传播。 (3)(3)通过 WebWeb 游览传播，主要是恶意的 JavaJava 控件网 站。 (4)(4) 通过群件系统传播。 病毒防护的主要技术如下： (1)(1) 阻止病毒的传播。 在防火墙、代理服务器、SMTPSMTP 艮务器、网络服务器、 群件 服务器上安装病毒过滤软件。在桌面 PCP

17、C 安装病 毒监控软件。 (2)(2) 检查和清除病毒。 使用防病毒软件检查和清除病毒。 (3)(3) 病毒数据库的升级。 病毒数据库应不断更新，并下发 到桌面系统。 (4)(4)在防火墙、代理服务器及 PCPC 上安装 JavaJava 及 ActiveXActiveX 控制扫描软件，禁止未经许可的控件下载和 安装。 6.46.4 入侵检测技术 入侵检测系统是近年出现的新型网络安全技术， 目的是 提供实时的入侵检测及采取相应的防护手段， 如记录证据用 于跟踪和恢复、断开网络连接等。 实时入侵检测能力之所以 重要首先它能够对付来自内 部网络的攻击，其次它能够缩短 hackerhacker 入侵

18、的时间。 入侵检测系统可分为两类： V基于主机 V基于网络 基于主机及网络的入侵监控系统通常均可配置为 分布 式模式： (1)(1)在需要监视的服务器上安装监视模块 (agent)(agent) ， 分 别向管理服务器报告及上传证据，提供跨平台的入 侵监视解 决方案。 (2)(2)在需要监视的网络路径上，放置监视模块 (sensor),(sensor), 分别向管理服务器报告及上传证据，提供 跨网络 的入侵监视解决方案。 6,56,5 安全扫描技术 安全扫描技术与防火墙、安全监控系统互 相配合 能够提供很高安全性的网络。 6.66.6 认证和数字签名技术 认证技术主要解决网络通讯过程中 通讯双

19、方的身 份认可，数字签名作为身份认证技术中的一种 具体技 术，同时数字签名还可用于通信过程中的不可抵赖要 求的实现。 认证技术将应用到企业网络中的以下方面： (1)(1) 路由器认证，路由器和交换机之间的认证。 (2)(2) 操作系统认证。操作系统对用户的认证。 (3)(3) 网管系统对网管设备之间的认证。 (4)(4) VPNVPN 网关设备之间的认证。 (5)(5) 拨号访问服务器与客户间的认证。 (6)(6) 应用服务器 ( (如 WebServer)WebServer) 与客户的认证。 (7)(7) 电子邮件通讯双方的认证。 数字签名技术主要用于： (1)(1) 基于 PKIPKI 认

20、证体系的认证过程。 (2)(2)基于 PKIPKI 的电子邮件及交易( (通过 WebWeb 进行的交 易) )的 不可抵赖记录。 6.76.7 VPNVPN 技术 完整的集成化的企业范围的 VPNVPN 安全解决方案， 提供 在 INTERNEINTERNE 上安全的双向通讯，以及透明的加 密方案以保证 数据的完整性和保密性。企业网络的全面安全要求保证：保 密- - 通讯过程不被窃听。 通讯主体真实性确认 - - 网络上的计算机不被假冒。 6.86.8 应用系统的安全技术 InternetInternet 域名服务为 Internet/IntranetInternet/Intranet 应用

21、 提供 了极大的灵活性。几乎所有的网络应用均利用域 名服务。 1 1、ServerServer 经常成为 InternetInternet 用户访问公司内部资 源的 通道之一,如 WebWeb serverserver 通过中间件访问主机 系统，通过 数据库连接部件访问数据库，利用 CGICGI 访 问本地文件系统 或网络系统中其它资源。 2 2、 操作系统安全 市场上几乎所有的操作系统均已发现有 安全漏洞，并 且越流行的操作系统发现的问题越多。对操作 系统的 安全，除了不断地增加安全补丁外，还需要： （1 1） 检查系统设置 （敏感数据的存放方式，访问控制， 口 令选择/ /更新） 。 （2 2） 基于系统的安全监控系统。 6.96.9 计算机网络安全措施 计算机网络安全措施主要包括保护网络安全、保 护应用服务安全和保护系统安全三个方面，各个方面 都要结 合考虑安全防护的物理安全、防火墙、信息安 全、WebWeb 安全、 媒体安全等等。 （一） 保护网络安全。 （二） 保护应用安全。 （三） 保护系统安全。 企业网络安全 综合设计方 门或工作组部 入侵检测系统 DM亦 Vpn. 兄弟公司 Vpn Vpn INTERNET 出差员工 务数据月服务器实时监控 基于主机的入侵检测系统 . 基于网络的入侵检测系统 子公司