1、网络工程规划与设计网络工程规划与设计2网络工程规划与设计网络工程规划与设计网络工程规划与设计5网络工程规划与设计6起步阶起步阶段段（内部（内部信息化）信息化）政府政府与用户与用户单向单向互动互动（静态（静态信息发信息发布）布）政府政府与用户与用户双向双向互动互动（动态（动态信息发信息发布）布）网上网上事务事务的政的政府协同驱府协同驱动动网络工程规划与设计7公民或企业公安局海关军事部门税务局其他部门1.1.政府内部信息化不完善政府内部信息化不完善2.2.对外服务处于初级阶段对外服务处于初级阶段3.3.职能部门系统相互独立职能部门系统相互独立4.4.缺乏交流和协作，自动缺乏交流和协作，自动 化程度
2、低化程度低网络工程规划与设计8将来的政府将来的政府公民公民企业企业为公民提供的服务接口为公民提供的服务接口为为企业提供的服务接口企业提供的服务接口电子政府电子政府电子化、服务化、电子化、服务化、协作化、自动化的协作化、自动化的统一安全平台系统统一安全平台系统网络工程规划与设计9网络工程规划与设计10网络工程规划与设计11网络工程规划与设计12加强信息安全保障工作的总体要求和主要原则加强信息安全保障工作的总体要求和主要原则网络工程规划与设计13网络工程规划与设计网络工程规划与设计15互联网正与电话通讯网，电视网结合，但科学家声称：互联网（至今）存在致命的弱点。如果容纳高连接率节点的网络遭到黑客恶
3、意的攻击，摧毁关键性骨干节点，则互联网瘫痪是一瞬间的事。(人民日报海外版人民日报海外版20002000年年7 7月月3131日）日）网络工程规划与设计16网络工程规划与设计17网络工程规划与设计18网络工程规划与设计19部分网站被黑截图部分网站被黑截图网络工程规划与设计20网络工程规划与设计21网络工程规划与设计22网络工程规划与设计23网络工程规划与设计24网络工程规划与设计25网络工程规划与设计26网络工程规划与设计网络工程规划与设计28网络工程规划与设计29公文流转公文流转 信息发布信息发布运行稳定运行稳定 这些信息在网络传送过程中不能被窃听、泄密、篡改和伪这些信息在网络传送过程中不能被
4、窃听、泄密、篡改和伪造。因此，必须保证电子政务系统中的数据信息的安全和造。因此，必须保证电子政务系统中的数据信息的安全和传输安全。传输安全。不能被篡改、歪曲，同时，政府网站收集的各种公众反馈、不能被篡改、歪曲，同时，政府网站收集的各种公众反馈、网上办事信息必须真实、完整，因此，必须保证政府网站网上办事信息必须真实、完整，因此，必须保证政府网站的安全，不被攻击和破坏。的安全，不被攻击和破坏。电子政务系统必须运行稳定可靠，系统的可用性、数据的电子政务系统必须运行稳定可靠，系统的可用性、数据的完整性和机密性都必须得到确实的保护。完整性和机密性都必须得到确实的保护。需要通过建立完整的信息安全体系，使得
5、系统具有用户身份抗需要通过建立完整的信息安全体系，使得系统具有用户身份抗抵赖、系统可管理、操作可审计等特性，从物理、运行、信息、抵赖、系统可管理、操作可审计等特性，从物理、运行、信息、管理等多方面保护信息系统的安全、稳定与可靠运行。管理等多方面保护信息系统的安全、稳定与可靠运行。协同工作协同工作 网络工程规划与设计30基础网络安全基础网络安全保障能力保障能力信息存储安全信息存储安全信息传输安全信息传输安全保障目保障目标标保障体系保障体系电子政务安全保障体系规划框架构想电子政务安全保障体系规划框架构想网络工程规划与设计31电子政务网络和信息系统中使用的电子政务网络和信息系统中使用的操作系统、关键
6、芯片和核心软件操作系统、关键芯片和核心软件几乎全部依赖进口，客观上留下了长期隐患几乎全部依赖进口，客观上留下了长期隐患美国政府对网络和信息美国政府对网络和信息产品的出口进行了严格产品的出口进行了严格的限制，接受政府的控的限制，接受政府的控制和检查制和检查网络工程规划与设计32n信息系统的安全认证是针对其开通运行，一次性认证之后缺乏有效信息系统的安全认证是针对其开通运行，一次性认证之后缺乏有效的监管制度和体系的监管制度和体系n目前对于信息网络的测评工作大多仍停留在产品级和单一安全功能目前对于信息网络的测评工作大多仍停留在产品级和单一安全功能的测评阶段，的测评阶段，缺乏系统级安全测评与服务体系缺乏
7、系统级安全测评与服务体系n加快计算机网络信息系统安全检测的基础设施和手段建设，提高信加快计算机网络信息系统安全检测的基础设施和手段建设，提高信息安全技术和产品的检测评估能力息安全技术和产品的检测评估能力n注重信息安全技术标准化和安全产品评估体系的建设，积极推动信注重信息安全技术标准化和安全产品评估体系的建设，积极推动信息安全服务息安全服务网络工程规划与设计33涉密信息系统目前对内部人员和管理的漏洞导致的泄密防护不足。针涉密信息系统目前对内部人员和管理的漏洞导致的泄密防护不足。针对信息流和用户行为缺乏有效的技术监控措施，也缺乏先进管理技术的应对信息流和用户行为缺乏有效的技术监控措施，也缺乏先进管
8、理技术的应用用美国美国CIACIA监控互联网获取伊朗核情报监控互联网获取伊朗核情报网络工程规划与设计34目前国内的存储解决方案所依托的主要存储设备均为国外厂商的产目前国内的存储解决方案所依托的主要存储设备均为国外厂商的产品，缺少自主知品，缺少自主知 识产权，等于识产权，等于把自己的信息存储在别人的把自己的信息存储在别人的“口袋口袋”里里。网络工程规划与设计35网络工程规划与设计36网络工程规划与设计37网络工程规划与设计38网络工程规划与设计39国外：美国网络安全研究与开发法案国外：美国网络安全研究与开发法案 2002 2002年年2 2月和月和1111月，美国众议院和参议院分别通过了网络安月
9、，美国众议院和参议院分别通过了网络安全研究与开发法案，同意在全研究与开发法案，同意在5 5年内为大学和研究机构提供总额达年内为大学和研究机构提供总额达8.78.7亿美元的资助，用来研究保护计算机网络不受恐怖分子和黑客袭亿美元的资助，用来研究保护计算机网络不受恐怖分子和黑客袭击的技术。击的技术。加快建立信息安全科研体系和人才培养基地加快建立信息安全科研体系和人才培养基地网络工程规划与设计40 加强信息安全保障体系建设的加强信息安全保障体系建设的统筹规划统筹规划 加强信息安全核心技术和核心产品的加强信息安全核心技术和核心产品的自主研发自主研发 重视信息安全重视信息安全测评和服务测评和服务体系建设体
10、系建设 重视信息安全重视信息安全监控体系监控体系建设建设 重视重视灾难恢复与备份系统灾难恢复与备份系统的建设的建设 重视信息安全重视信息安全科研和人才培养科研和人才培养体系建设体系建设网络工程规划与设计网络工程规划与设计42网络工程规划与设计43因特网因特网网络对国民经济的影响在加强网络对国民经济的影响在加强安全漏洞危害在增大信息对抗的威胁在增加信息对抗的威胁在增加研究安全漏洞以防之研究安全漏洞以防之因特网因特网电力电力交通交通通讯通讯控制控制广播广播工业工业金融金融医疗医疗研究攻防技术以阻之研究攻防技术以阻之网络工程规划与设计44信息窃取信息窃取信息传递信息传递信息冒充信息冒充信息篡改信息篡
11、改信息抵赖信息抵赖加密技术加密技术完整性技术完整性技术认证技术认证技术数字签名数字签名网络工程规划与设计45信息传送自由信息传送自由有害信息泛滥有害信息泛滥信息来源信息来源不确定不确定.打击目标打击目标机动性强机动性强.主动发现有害信息源并给予封堵监测网上有害信息的传播并给予截获隐患隐患措施措施网络工程规划与设计46容灾容灾集群集群备份备份环境环境温度温度电磁电磁湿度湿度网络工程规划与设计47网络工程规划与设计48 15%15%外来的非法外来的非法入侵入侵60%的其他内的其他内部威胁部威胁14%盗窃机盗窃机密信息密信息11%破坏破坏网上数据网上数据网络工程规划与设计49网络工程规划与设计50网
12、络工程规划与设计51 网络工程规划与设计52网络工程规划与设计53网络工程规划与设计54网络工程规划与设计55网络工程规划与设计56网络工程规划与设计57网络工程规划与设计58字符串变量数组字符串变量数组函数返回点函数返回点n字节字节输入数据输入数据nn字节字节,尾部为跳转的地址尾部为跳转的地址缓冲区缓冲区用户输入用户输入正常流程正常流程字符串变量数组字符串变量数组函数返回点函数返回点n字节字节输入数据输入数据nn字节字节缓冲区缓冲区用户输入用户输入正常流程正常流程网络工程规划与设计59网络工程规划与设计60站点服务器正常连接用户名：abcde密码：12345屏幕显示用户名：abcde密码：1
13、2345信息被截获安全网络工程规划与设计61网络工程规划与设计62李丝张衫Email偷盗者邮件在传送过程中被截取偷盗者篡改邮件后以甲的身份重新发送如果偷盗者截取Email后不发给乙，怎么办？如果偷盗者直接假冒甲的身份给乙发了假邮件，怎么办？乙收到该Email甲给乙发出Email安全网络工程规划与设计63网络工程规划与设计64网络工程规划与设计65网络工程规划与设计66网络工程规划与设计67网络工程规划与设计68网络工程规划与设计692001年7月以来，红色代码、蓝色代码、SirCam、Nimda、求职信等病毒不断出现，仅红色代码就造成全球26亿美元的损失据CERT公布的数据:2004年在网络上
14、发生的病毒攻击事件是2000年的四倍网络工程规划与设计7020012001年年7 7月月1919日，全球的入侵检测系统日，全球的入侵检测系统(IDS)(IDS)几乎同时报告遭到不名蠕虫几乎同时报告遭到不名蠕虫攻击攻击在红色代码首次爆发的短短在红色代码首次爆发的短短9 9小时内，以迅雷不及掩耳之势迅速感染了小时内，以迅雷不及掩耳之势迅速感染了250,000250,000台服务器台服务器最初发现的红色代码蠕虫只是篡改英文站点主页，显示最初发现的红色代码蠕虫只是篡改英文站点主页，显示“Welcome to Welcome to http:/http:/!Hacked by Chinese!Hacke
15、d by Chinese!”随后的红色代码蠕虫便如同洪水般在互联网上泛滥，发动拒绝服务随后的红色代码蠕虫便如同洪水般在互联网上泛滥，发动拒绝服务(DoS)(DoS)攻击以及格式化目标系统硬盘，并会在每月攻击以及格式化目标系统硬盘，并会在每月2020日日2828日对白宫的日对白宫的WWWWWW站点站点的的IPIP地址发动地址发动DoSDoS攻击，使白宫的攻击，使白宫的WWWWWW站点不得不全部更改自己的站点不得不全部更改自己的IPIP地址。地址。红色代码网络工程规划与设计71“红色代码”的蔓延速度网络工程规划与设计72“红色代码”的蔓延速度网络工程规划与设计738小时之后网络工程规划与设计74希
16、腊人攻打特洛伊城十年，始希腊人攻打特洛伊城十年，始终未获成功，后来建造了一个终未获成功，后来建造了一个大木马，并假装撤退，希腊将大木马，并假装撤退，希腊将士却暗藏于马腹中。特洛伊人士却暗藏于马腹中。特洛伊人以为希腊人已走，就把木马当以为希腊人已走，就把木马当作是献给雅典娜的礼物搬入城作是献给雅典娜的礼物搬入城中。晚上，木马中隐藏的希腊中。晚上，木马中隐藏的希腊将士冲出来打开城门，希腊将将士冲出来打开城门，希腊将士里应外合毁灭了特洛伊城。士里应外合毁灭了特洛伊城。后来我们把进入敌人内部攻破后来我们把进入敌人内部攻破防线的手段叫做木马计，木马防线的手段叫做木马计，木马计中使用的里应外合的工具叫计中
17、使用的里应外合的工具叫做特洛伊木马做特洛伊木马来源于希腊神话中的特洛伊战争来源于希腊神话中的特洛伊战争网络工程规划与设计75直接攻击直接攻击电子邮件电子邮件文件下载文件下载浏览网页浏览网页+合并文件合并文件经过伪装的木马经过伪装的木马被植入目标机器被植入目标机器网络工程规划与设计76网络工程规划与设计77寻找突破方式寻找突破方式1突破边界防护突破边界防护2寻找、获取信息寻找、获取信息34删除证据退出删除证据退出5PERIMETER外部外部内部内部时间时间危危害害程程度度网络工程规划与设计78预攻击预攻击内容：内容：获得域名及获得域名及IPIP分布分布获得拓扑及获得拓扑及OSOS等等获得端口和服
18、务获得端口和服务获得应用系统情况获得应用系统情况跟踪新漏洞发布跟踪新漏洞发布目的：目的：收集信息，进行进收集信息，进行进一步攻击决策一步攻击决策攻击攻击内容：内容：获得远程权限获得远程权限进入远程系统进入远程系统提升本地权限提升本地权限进一步扩展权限进一步扩展权限进行实质性操作进行实质性操作目的：目的：进行攻击，获得系进行攻击，获得系统的一定权限统的一定权限后攻击后攻击内容：内容：植入后门木马植入后门木马删除日志删除日志修补明显的漏洞修补明显的漏洞进一步渗透扩展进一步渗透扩展目的：目的：消除痕迹，长期维消除痕迹，长期维持一定的权限持一定的权限网络工程规划与设计79网络工程规划与设计80网络工程
19、规划与设计81网络工程规划与设计82网络工程规划与设计83网络工程规划与设计84网络工程规划与设计85网络工程规划与设计86攻击手段越发“高超”漏洞发布到攻击出现的时间越来越短Witty蠕虫事件花样翻新，防不胜防尼姆达蠕虫：通过email、共享网络资源、IIS服务器传播变种速度令人惊叹黑客：从单打独斗到“精诚”合作Botnet攻击程序日益自动化、并辍手可得网络工程规划与设计87攻击范围和时间的变化全面框架全面框架区域网络区域网络多个局域网多个局域网单个局域网单个局域网单个单个pc目标和破坏目标和破坏的范围的范围1980s1990sTodayFuture第一代第一代 Boot virusesWe
20、eks第二代第二代 Macro viruses Denial of serviceDays第三代第三代 Distributed denial of service Blended threatsMinutes下一代下一代 Flash threats Massive worm-driven DDoS Damaging payload wormsSeconds快速变化的威胁快速变化的威胁网络工程规划与设计88攻击复杂度与攻击者的技术水平高高低低19801985199019952000猜口令猜口令自我复制程序自我复制程序口令破解口令破解攻击已知漏洞攻击已知漏洞破坏审计破坏审计后门程序后门程序干扰通信
21、干扰通信手动探测手动探测窃听窃听数据包欺骗数据包欺骗图形化界面图形化界面自动扫描自动扫描拒绝服务拒绝服务www攻击攻击工具工具攻击者攻击者攻击者的攻击者的知识水平知识水平攻击的复杂度攻击的复杂度隐秘且高级的扫描工具隐秘且高级的扫描工具偷窃信息偷窃信息网管探测网管探测分布式攻击工具分布式攻击工具新型的跨主机工具新型的跨主机工具网络工程规划与设计89没有绝对的安全，只有绝对的不安全如果非要给绝对安全下一个定义的话那将是这样的：将要保存的硬盘封闭到一个抽成真空的金属箱内，沉到一个不知名的大洋底下，那么硬盘中的数据是绝对安全的。网络工程规划与设计90网络工程规划与设计91网络工程规划与设计92Prot
22、ectDetectResponseRecoveryManagementPolicy网络工程规划与设计93网络工程规划与设计网络工程规划与设计95安全的信息系统是风险在可承受范围内的系统，信息系统的安全防护问题是风险控制问题。网络工程规划与设计96保护保护P检测检测D响应响应R恢复恢复R网络工程规划与设计97G.Mark Hardy网络工程规划与设计98保密性完整性可用性保密性完整性可用性可控性不可否认性可靠性等保密性早期上一世纪“主机时代”上一世纪80年代以后攻（攻击）防（防范）测（检测）控（控制）管（管理）评（评估）目前网络工程规划与设计99网络工程规划与设计100防火墙防火墙安全网关安全网
23、关VPNVPN反病毒反病毒风险评估风险评估入侵检测入侵检测审计分析审计分析用户用户/组管理组管理单机登录单机登录身份认证身份认证访问控制访问控制授权授权加密加密存储备份存储备份网络工程规划与设计101网络工程规划与设计102q 边界防护边界防护 防火墙 路由器 交换机q 节点防护节点防护 主机入侵检测 单机查杀病毒 安全审计 漏洞扫描q 区域防护区域防护 网络监控分析 网络查杀病毒 网络入侵检测q 核心防护核心防护 VPN CA 强身份认证 存储备份网络工程规划与设计103网络工程规划与设计104 I In nt te er rn ne et t 信任网络信任网络防火墙防火墙非信任网络非信任网
24、络 防火墙是用于将信任网络与非信任网络隔离的一种技术，防火墙是用于将信任网络与非信任网络隔离的一种技术，它通过单一集中的安全检查点，强制实施相应的安全策略进行它通过单一集中的安全检查点，强制实施相应的安全策略进行检查，防止对重要信息资源进行非法存取和访问，以达到保护检查，防止对重要信息资源进行非法存取和访问，以达到保护系统安全的目的。系统安全的目的。网络工程规划与设计105q 数据包过滤（数据包过滤（Packet FilteringPacket Filtering）q 网络地址转换（网络地址转换（Network Address TranslationNetwork Address Transl
25、ation）q 应用级代理（应用级代理（Proxy ServiceProxy Service）q 身份认证（身份认证（AuthenticationAuthentication）q 虚拟专用网（虚拟专用网（Virtual Private NetworkVirtual Private Network）网络工程规划与设计106q 包过滤型包过滤型q 代理服务型代理服务型q 状态检测型状态检测型网络工程规划与设计107表示层表示层会话层会话层网络层网络层数据链路层数据链路层物理层物理层传输层传输层应用层应用层表示层表示层会话层会话层网络层网络层数据链路层数据链路层物理层物理层传输层传输层应用层应用层表
26、示层表示层会话层会话层网络层网络层数据链路层数据链路层物理层物理层传输层传输层 非信任域非信任域 防火墙防火墙 信任域信任域应用层应用层 网络层网络层 网络层网络层 网络层网络层网络工程规划与设计108应用层应用层表示层表示层会话层会话层网络层网络层数据链路层数据链路层物理层物理层传输层传输层应用层应用层表示层表示层会话层会话层NETWORK数据链路层数据链路层物理层物理层传输层传输层应用层应用层表示层表示层会话层会话层NETWORK数据链路层数据链路层物理层物理层传输层传输层 非信任域非信任域 防火墙防火墙 信任域信任域网络层网络层网络层网络层网络工程规划与设计109表示层表示层会话层会话层
27、网络层网络层数据链路层数据链路层物理层物理层传输层传输层应用层应用层表示层表示层会话层会话层网络层网络层数据链路层数据链路层物理层物理层传输层传输层应用层应用层表示层表示层会话层会话层网络层网络层数据链路层数据链路层物理层物理层传输层传输层 非信任域非信任域 防火墙防火墙 信任域信任域 网络层网络层 网络层网络层 网络层网络层应用层应用层检测引擎检测引擎网络工程规划与设计110q 双重宿主主机结构双重宿主主机结构q 屏蔽主机结构屏蔽主机结构q 屏蔽子网结构屏蔽子网结构网络工程规划与设计111网络工程规划与设计112网络工程规划与设计113公司网络公司网络 I In nt te er rn ne
28、 et t 网络工程规划与设计114入侵检测即通过从网络系统中的若干关键节点入侵检测即通过从网络系统中的若干关键节点并并信息，信息，网络中是否有违反安全策略的行为或者是否存在入侵网络中是否有违反安全策略的行为或者是否存在入侵行为。它能够提供行为。它能够提供、和和等多项功等多项功能，对能，对、和和进行实时监控，在网络安全进行实时监控，在网络安全技术中起到了不可替代的作用。技术中起到了不可替代的作用。网络工程规划与设计115监控室监控室=控制中心控制中心后门后门保安保安=防火墙防火墙摄像机摄像机=探测引擎探测引擎网络工程规划与设计116网络工程规划与设计117网络工程规划与设计118网络工程规划与
29、设计119q 基于主机的入侵检测系统结构基于主机的入侵检测系统结构q 基于网络的入侵检测系统结构基于网络的入侵检测系统结构q 基于分布式的入侵检测系统结构基于分布式的入侵检测系统结构网络工程规划与设计120网络工程规划与设计121美国国家航天局在遭受黑客攻击时美国国家航天局在遭受黑客攻击时,所采取的措施是拔掉网所采取的措施是拔掉网线线 美国能源部选择路由器断电美国能源部选择路由器断电“据说保证一个系统真正安全的途径只有一个：据说保证一个系统真正安全的途径只有一个：断开网络，这也许正在成为一个真正的解决方案。断开网络，这也许正在成为一个真正的解决方案。”Michael BobbinMichael
30、 Bobbin 计算机安全杂志主编计算机安全杂志主编网络工程规划与设计122涉及国家秘密的计算机信息系统，不得直接或涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相联接间接地与国际互联网或其它公共信息网络相联接网络工程规划与设计123l保证信息的有限交换保证信息的有限交换l控制信息的流向，实现有序交换控制信息的流向，实现有序交换l控制信息流的内容，实现可控交换控制信息流的内容，实现可控交换网络工程规划与设计124隔离控制电路USB接口硬盘内网处理单元外网处理单元非信任域非信任域信任域信任域网络工程规划与设计125网闸技术的应用模式网闸技术的应用模式安全网闸用于互相
31、隔离的不同信任网络间的信息交换 l典型应用一典型应用一网络工程规划与设计126安全网闸用于内部网络与外部网络信息交换安全网闸用于内部网络与外部网络信息交换 网闸技术的应用模式网闸技术的应用模式l典型应用二典型应用二网络工程规划与设计127网络工程规划与设计128合作伙伴合作伙伴/客户客户公司总部公司总部办事处办事处/SOHO公共网络公共网络DDN网络工程规划与设计129公司总部公司总部办事处办事处/SOHO公共网络公共网络VPN通道通道VPN设备设备VPN设备设备VPN设备设备VPN client网络工程规划与设计130公司总部公司总部办事处办事处/SOHO公共网络公共网络PKI SGWPKI
32、 SGWPKI SGW 公钥基础设施（公钥基础设施（PKI）CA中心中心个人证书载体个人证书载体Sure client网络工程规划与设计131网络工程规划与设计132对网络系统中所有组件进行攻击性扫描、分析和评估，发现并报对网络系统中所有组件进行攻击性扫描、分析和评估，发现并报告系统中存在的告系统中存在的，然后评估安全风险，并提供补救措，然后评估安全风险，并提供补救措施的建议。施的建议。网络工程规划与设计133安全扫描是一个完整的安全解决方案中的一个关键部分，安全扫描是一个完整的安全解决方案中的一个关键部分，在部署安全策略中处于非常重要的地位。在部署安全策略中处于非常重要的地位。网络工程规划与
33、设计134安全扫描系统可以弥补防火墙对内网安全扫描系统可以弥补防火墙对内网安全威胁检测不足的问题安全威胁检测不足的问题 网络工程规划与设计135网络工程规划与设计136网络工程规划与设计137 I In nt te er rn ne et t 网络工程规划与设计138网络工程规划与设计139安全审计的概念就是在这样的需求下被提出来的安全审计的概念就是在这样的需求下被提出来的它相当于飞机上使用的它相当于飞机上使用的 网络工程规划与设计140网络工程规划与设计141安全审计主要是指对与安全有关活动的相关信息进行安全审计主要是指对与安全有关活动的相关信息进行识别、记录、存储和分析。识别、记录、存储和
34、分析。在在TCSECTCSEC和和CCCC等安全认证体系中安全审计的功能均放在首要位置，等安全认证体系中安全审计的功能均放在首要位置，它是评判一个系统是否真正安全的重要尺码它是评判一个系统是否真正安全的重要尺码网络工程规划与设计142网络工程规划与设计143网络工程规划与设计144 为解决电子商务、电子政务、电子事务系统内所有计为解决电子商务、电子政务、电子事务系统内所有计算机及网络设备在信息交互中相互之间的身份算机及网络设备在信息交互中相互之间的身份以及数以及数据的据的、和和，需要建设一个数字证书，需要建设一个数字证书认证系统。认证系统。网络工程规划与设计145CA证书认证中心是整个认证系统
35、的核心，主要职能包括：l 签发数字证书；l 管理下级审核注册机构；l 接受下级审核注册机构的业务申请；l 维护和管理所有证书目录服务；l 向密钥管理中心申请密钥；l 实体签别密码器的管理；网络工程规划与设计146网络工程规划与设计147网络工程规划与设计148网络工程规划与设计149猜测口令猜测口令监听监听.窃取窃取.篡改篡改.伪造伪造盗取盗取 网络工程规划与设计150网络工程规划与设计151网络工程规划与设计152网络工程规划与设计153 硬件故障硬件故障 软件故障软件故障 误操作误操作 病毒入侵病毒入侵 保留历史记录保留历史记录 发生灾难性事件发生灾难性事件网络工程规划与设计154q 集群
36、集群-Cluster-Clusterq 数据备份数据备份q 容灾容灾网络工程规划与设计155解决方案解决方案秒秒分分时时日日 周周秒秒分分时时日日 周周网络工程规划与设计156网络工程规划与设计157管理成本管理成本网络工程规划与设计158管理策略服务器管理策略服务器管理应用服务器管理应用服务器综合审计服务器综合审计服务器桌面管理服务器桌面管理服务器数据服务器数据服务器事件服务器事件服务器安全管理控制台安全管理控制台病毒管理中心病毒管理中心桌面主机桌面主机防火墙防火墙VPN楼层交换机楼层交换机服务器服务器IDS安全管理中心结构示意图结构示意图监管信息网络工程规划与设计159网络工程规划与设计1
37、60网络工程规划与设计161网络工程规划与设计162网络工程规划与设计163 整个网络的安全解决方案包括防火墙、防病毒、扫描分析、整个网络的安全解决方案包括防火墙、防病毒、扫描分析、网络入侵检测、监控与恢复、线路传输加密、存储备份、安全管理网络入侵检测、监控与恢复、线路传输加密、存储备份、安全管理等几个方面，形成了从物理层到应用层，从策略到管理的多角度、等几个方面，形成了从物理层到应用层，从策略到管理的多角度、多层次的立体防护体系。多层次的立体防护体系。网络工程规划与设计164网络工程规划与设计165网络工程规划与设计网络工程规划与设计167网络工程规划与设计168规章制度规章制度应急响应计划
38、应急响应计划人员安排人员安排工作流程工作流程事故演练事故演练合理的组织结构安全小组的成立应急响应应急响应人员培训人员培训安全检查安全检查其他其他岗位责任制度岗位责任制度设备管理制度设备管理制度日常工作规定日常工作规定系统审计制度系统审计制度等等等等操作流程培训操作流程培训安全意识培训安全意识培训专业安全知识培训专业安全知识培训等等等等制度执行检查制度执行检查安全配置检查安全配置检查人员安全素质检查人员安全素质检查等等等等资产风险评估资产风险评估专业安全服务专业安全服务等等等等网络工程规划与设计169网络工程规划与设计170网络工程规划与设计171网络工程规划与设计172网络工程规划与设计173网络工程规划与设计174网络工程规划与设计175网络工程规划与设计176网络工程规划与设计177网络工程规划与设计178网络工程规划与设计179
