2022年网络安全整体解决方案 .pdf

《2022年网络安全整体解决方案 .pdf》由会员分享，可在线阅读，更多相关《2022年网络安全整体解决方案 .pdf（37页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、第 1 页 共 37 页某证券研究所网络安全整体解决方案XX网络安全技术有限公司名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 1 页，共 37 页 - - - - - - - - - 第 2 页 共 37 页序言随着计算机技术和通讯技术的飞速发展，网络正逐步改变着人们的工作方式和生活方式，成为当今社会发展的一个主题。网络的开放性，互连性，共享性程度的扩大，特别是 Internet的出现，使网络的重要性和对社会的影响也越来越大。随着网络上电子商务，电子现金，数字货币，网络国税等新兴业

2、务的兴起，网络安全问题变得越来越重要。病毒是网络安全最大的隐患， 它对网络的威胁占导致经济损失的安全问题的76%。几乎所有的企业都不同程度的遭受过病毒的侵袭。目前全球已发现二万余种病毒样本，并且以每月新增 300 多种的速度继续破坏着网络和单机上宝贵的信息资源。病毒给每个计算机用户和企业带来了无法估量和弥补的损失。计算机网络犯罪所造成的经济损失也令人吃惊。仅在美国每年因计算机犯罪所造成的直接经济损失就达150 亿美元。在全球平均每二十秒就发生一次网上入侵事件。有近 80%的公司至少每周在网络上要被大规模的入侵一次，并且一旦黑客找到系统的薄弱环节，所有用户都会遭殃。面对计算机网络的种种安全威胁，

3、必须采取有力的措施来保证安全。此外，随着网络规模的不断扩大，复杂性不断增加，异构性不断提高，用户对网络性能要求的不断提高， 网络管理也逐步成为网络技术发展中一个极为关键的任务， 对网络的发展产生很大的影响， 成为现代信息网络中最重要的问题之一。如果没有一个高效的网络管理系统对网络进行管理，就很难向广大用户提供令人满意的服务。据测算，管理一台连网的PC机五年的成本就超过65,000美元。因此，找到一种使网络运作更高效，更实用，更低廉的解决方案已成为每一个企业领导人和网络管理人员的迫切要求。虽然其重要性已在各方面得到体现，并为越来越多的人所认识， 可迄今为止，在网络管理领域里仍有许多漏洞和亟待完善

4、的问题存在。某计算机信息安全有限公司创立于2000年，是中国最大的计算机信息安全产品提供商之一。 某在收购知名软件企业南京信源的基础上，组建了一支国内顶尖反病毒专家团队， 尖端产品不断推出， 企业规模迅速扩大， 现已发展成为国内反病毒软件行业技术服务实力最雄厚的企业。某拥有单机版个人反病毒软件、 企业级网络反病毒总体解决方案、 基于生物指纹特征技术的加密认证等一系列的网络安全产品。某突破传统的杀毒软件侧重查杀已知病毒，但不能有效阻止未知病毒和黑客入侵的局限性，在国际上率先提出病毒实时监测个人互联网防火墙的概念，并独立开发出集杀毒、防毒和反黒客于一体的反病毒软件安全之星XP，产品性能达到了国际领

5、先水平， 在中国计算机信息安全的发展历史上具有深远的意义。 2000年6月，某承担了国家 863项目信息安全领域专攻课题研究；2000年9月13日，负责国家信息安全示范工程XX219工程中信息安全工业技术的研究。与国家统计局、环保局、铁道部、中国科学院等众多单位进行着长期友好的合作。通过多项大型网络工程的建设实践，我们深切的认识到任何网络工程的建设都离不开网络安全和网络管理的建设工作。正是出于对广大用户和企业切身利益的考虑，某网络安全技术有限公司与全球网络安全与管理技术领域的领先多个企业结成战略合作伙伴关系， 本着“提供本行业最全面的系列网络安全与管理解决方案和安全服务” 的宗旨，荟萃全球的尖

6、端技术， 推出了最优秀的网络总体解决名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 2 页，共 37 页 - - - - - - - - - 第 3 页 共 37 页方案和安全服务。因此，我们有理由相信，有了这样优秀的解决方案，加之我们为您奉上的全方位的周到服务， 您的网络一定会变得安全而高效，您的事业也一定会因此而取得巨大的成功。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - -

7、 第 3 页，共 37 页 - - - - - - - - - 第 4 页 共 37 页目录第一章某证券研究所网络平台安全体系概述. 71.1 安全威胁 . 71.2 平台安全的需求. 71.2.1 研究所网络的基本安全需求 . 81.2.2 移动用户接入内部网的安全需求 . 81.3 平台安全与平台性能和功能的关系 . 91.4 平台安全的体系结构. 91.5 全方位的安全体系. 101.6 平台安全的管理因素. 10第二章某证券研究所网络结构分析及安全需求. 1221 某证券研究所现行网络整体结构分析 . 12211 网络结构. 12212 网络设备. 13213 主机设备. 13214

8、系统软件平台 . 13215 网络应用系统 . 1322 该研究所网络安全需求概述 . 13221 主要网络安全威胁 . 14222 来自外部网络与内部网络的安全威胁 . 142221 来自外部网络的安全威胁 . 142222 来自内部网络的安全威胁 . 15223 网络安全现状 . 1723 系统安全目标. 17第三章网络安全系统的总体规划. 18名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 4 页，共 37 页 - - - - - - - - - 第 5 页 共 37 页31

9、安全体系结构. 1832 安全体系设计. 18321 安全体系设计原则 . 18322 网络安全策略 . 19323 安全管理原则 . 19324 安全管理的实现 . 20325 网络安全设计 . 2033 安全产品选型原则. 21第四章网络安全整体解决方案详细设计. 2241 应用防火墙技术,控制访问权限,实现网络安全集中管理 . 22411 使用 Firewall的意义 . 22412 设置 Firewall的要素 . 23413 建设 Firewall的原则 . 23414 选择防火墙的要点 . 24415 理想网络结构下的防火墙设置 . 2542 应用入侵检测技术保护主机资源，防止非法

10、访问和恶意攻击 . 25421 入侵检测系统 . 26422 选择入侵监视系统的要点 . 26423 具体实施方案 . 2643 应用安全扫描技术主动探测网络安全漏洞，进行网络安全评估 . 28431 安全扫描工具的分类 . 28432 网络安全扫描的主要性能 . 28433 具体实施方案 . 294.4 应用 VPN技术，保证移动用户访问内部网的安全性 . 314.4.1网络系统对VPN技术的需求. 314.4.2 IPSec . 314.4.3如何保证移动用户远程访问内部网的安全性. 3245 应用网管工具，实现对网络的全面管理 . 33451 系统管理的目标 . 33名师资料总结 - -

11、 -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 5 页，共 37 页 - - - - - - - - - 第 6 页 共 37 页第五章安全体系中的其它问题. 35第六章报价 . 3661 网络安全检测服务内容. 3662 安全修复服务内容. 3663 整体工程费用. 37名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 6 页，共 37 页 - - - - - - - - - 第 7 页 共

12、37 页第一章某证券研究所网络平台安全体系概述某证券研究所是国内证券经营机构最早成立的、具有独立法人资格和中国证监会批准的证券咨询从业资格的综合性证券研究咨询机构。其网络主要由办公自动化网（OA ）和该研究所托管服务器网站所组成，由于出差在外的移动用户需要访问内部办公网， 以访问内部网络资源， 网络安全体系的建立和网络安全的全面解决方案更是迫在眉睫。总体上研究所的网络安全方案包括以下几个主要方面：（1）办公自动化网络安全。（2）托管服务器的网络安全。（3）移动用户访问内部网的认证和通信的安全。以上几个方面均有不同的安全需求，单一的防火墙远不能满足以上的复杂要求，每种应用会有不同的安全需求，要求

13、建立不同的安全策略，但同时，象不同的应用运行在同一个网络上样，网络安全也应该是个统一全面的解决方案。我们提供的解决方案力图从网络安全的威胁分析入手，在网络的各个层次上解决网络安全问题。1.1 安全威胁自信息系统开始运行以来就存在信息系统安全问题，通过网络远程访问而构成的安全威胁成为日益受到严重关注的问题。根据美国 FBI 的调查，美国每年因为网络安全造成的经济损失超过170 亿美元。由于某证券研究所网络内运行的主要是多种网络协议，而这些网络协议并非专为安全通讯而设计。所以，研究所网络可能存在的安全威胁来自以下方面：（1） 操作系统的安全性，目前流行的许多操作系统均存在网络安全漏洞，如UNIX服

14、务器， NT服务器及 Windows桌面 PC ；（2） 防火墙的安全性，防火墙产品自身是否安全，是否设置错误，需要经过检验；（3） 来自内部网用户的安全威胁；（4） 缺乏有效的手段监视、评估网络系统的安全性；（5） 采用的 TCP/IP 协议族软件，本身缺乏安全性；（6） 应用服务的安全，许多应用服务系统在访问控制及安全通讯方面考虑较少，并且，如果系统设置错误，很容易造成损失。1.2 平台安全的需求研究所网络平台将支持多种应用系统，对于每种系统均在不同程度上要求充分考虑平台安全。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - -

15、名师精心整理 - - - - - - - 第 7 页，共 37 页 - - - - - - - - - 第 8 页 共 37 页1.2.1 研究所网络的基本安全需求满足基本的安全要求， 是该网络成功运行的必要条件， 在此基础上提供强有力的安全保障，是该网络系统安全的重要原则。研究所网络内部部署了众多的网络设备、 服务器，保护这些设备的正常运行，维护主要办公网，网站服务器系统的安全，是该网络的基本安全需求。对于各种各样的网络攻击， 如何在提供灵活且高效的网络通讯及信息服务的同时，抵御和发现网络攻击， 并且提供跟踪攻击的手段， 是本项目需要解决的问题。该网络基本安全要求：（1） 网络正常运行。在受

16、到攻击的情况下，能够保证网络系统继续运行。（2） 网络管理 / 网络部署的资料不被窃取。（3） 具备先进的入侵检测及跟踪体系。（4） 提供灵活而高效的内外通讯服务。1.2.2 移动用户接入内部网的安全需求与普通网络应用不同的是， 某研究所还存在人员经常出差情况，怎样保障移动用户远程安全接入内部网是迫在眉睫要解决的问题。对于移动用户进入内部网络应该具有较高的网络安全措施。移动用户进入内部网络应实施以下安全保障：（1） 增强的用户认证 , 用户认证在网络和信息的安全中属于技术措施的第一道大门, 最后防线为审计和数据备份, 不加强这道大门的建设 , 整个安全体系就会较脆弱。用户认证的主要目的是提供访

17、问控制和不可抵赖的作用。用户认证方法按其层次不同可以根据以下三种因素提供认证。 1.用户持有的证件 , 如大门钥匙、门卡等等 ; 2.用户知道的信息 , 如密码 ; 3.用户特有的特征 , 如指纹、声音、视网膜扫描等等。根据在认证中采用因素的多少, 可以分为单因素认证、 双因素认证 , 多因素认证等方法。（2） 授权, 这主要为特许用户提供合适的访问权限, 并监控用户的活动 , 使其不越权使用。该部分与访问控制 ( 常说的隔离功能 ) 是相对立的。隔离不是管理的最终目的 , 管理的最终目的是要加强信息有效、 安全的使用 , 同时对不同用户实施不同访问许可。（3）数据的传输加密， 加密是信息安全

18、应用中最早开展的有效手段之一, 数据通过加密可以保证在存取与传送的过程中不被非法查看、篡改、窃取等。（4）审计和监控 , 确切说 , 还应包括数据备份 , 这是系统安全的最后一道防线。系统一旦出了问题 , 这部分可以提供问题的再现、责任追查、重要数据复原等保障。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 8 页，共 37 页 - - - - - - - - - 第 9 页 共 37 页1.3 平台安全与平台性能和功能的关系通常，系统安全与性能和功能是一对矛盾的关系。如果某个系统不

19、向外界提供任何服务（断开 )，外界是不可能构成安全威胁的。但是，若要提供更多的服务，将网络建成了一个开放的网络环境，各种安全包括系统级的安全问题也随之产生。构建平台安全系统，一方面由于要进行认证、加密、监听、分析、记录等工作，由此影响网络效率， 并且降低客户应用的灵活性；另一方面也增加了管理费用。但是， 来自网络的安全威胁是实际存在的， 特别是在网络上运行关键业务时，网络安全是首先要解决的问题。选择适当的技术和产品， 制订灵活的网络安全策略， 在保证网络安全的情况下，提供灵活的网络服务通道。采用适当的安全体系设计和管理计划，能够有效降低网络安全对网络性能的影响并降低管理费用。1.4 平台安全的

20、体系结构网络的安全涉及到平台的各个方面。按照网络 OSI的 7 层模型，网络安全贯穿于整个 7 层模型。针对 XX网络实际运行的TCP/IP 协议，网络安全贯穿于信息系统的 4 个层次。平台安全的层次模型下图表示了对应网络的安全体系层次模型：图 1-1 安全体系层次模型物理层的安全物理层信息安全， 主要防止物理通路的损坏、 物理通路的窃听、 对物理通路的攻击（干扰等）。链路层的安全链路层的网络安全需要保证通过网络链路传送的数据不被窃听。主要采用划分 VLAN （局域网） 、加密通讯（远程网）等手段。会话层应用层应用系统应用平台网络层链路层物理层会话安全应用层应用系统安全应用平台安全安全路由 /

21、访问机链路安全物理层信息安全名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 9 页，共 37 页 - - - - - - - - - 第 10 页 共 37 页网络层的安全网络层的安全需要保证网络只给授权的客户使用授权的服务，保证网络路由正确，避免被拦截或监听。操作系统的安全操作系统安全要求保证客户资料、操作系统访问控制的安全， 同时能够对该操作系统上的应用进行审计。应用平台的安全应用平台指建立在网络系统之上的应用软件服务，如数据库服务器、 电子邮件服务器、Web服务器等。由于应用平

22、台的系统非常复杂， 通常采用多种技术 （如SSL等) 来增强应用平台的安全性。应用系统的安全应用系统完成网络系统的最终目的- 为用户服务。应用系统的安全与系统设计和实现关系密切。 应用系统使用应用平台提供的安全服务来保证基本安全，如通讯内容安全，通讯双方的认证，审计等手段。1.5 全方位的安全体系与其它安全体系（如保安系统）类似，应用系统的安全体系应包含：（1） 访问控制，通过对特定网段、 服务建立的访问控制体系， 将绝大多数攻击阻止在到达攻击目标之前；（2） 检查安全漏洞，通过对安全漏洞的周期检查， 即使攻击可到达攻击目标，也可使绝大多数攻击无效；（3） 攻击监控，通过对特定网段、 服务建立

23、的攻击监控体系， 可实时检测出绝大多数攻击，并采取相应的行动（如断开网络连接、记录攻击过程、跟踪攻击源等）；（4） 加密通讯，主动的加密通讯，可使攻击者不能了解、修改敏感信息；（5） 认证，良好的认证体系可防止攻击者假冒合法用户；（6） 备份和恢复， 良好的备份和恢复机制， 可在攻击造成损失时， 尽快地恢复数据和系统服务；（7） 多层防御，攻击者在突破第一道防线后，延缓或阻断其到达攻击目标；（8） 隐藏内部信息，使攻击者不能了解系统内的基本情况；（9） 设立安全监控中心， 为信息系统提供安全体系管理、监控，维护及紧急情况服务；1.6 平台安全的管理因素平台安全可以采用多种技术来增强和执行。但是

24、，很多安全威胁来源于管理上的松懈及对安全威胁的认识。安全威胁主要利用以下途径：（1） 系统实现存在的漏洞；（2） 系统安全体系的缺陷；（3） 使用人员的安全意识薄弱；（4） 管理制度的薄弱；良好的平台管理有助于增强系统的安全性：名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 10 页，共 37 页 - - - - - - - - - 第 11 页 共 37 页（1） 及时发现系统安全的漏洞；（2） 审查系统安全体系；（3） 加强对使用人员的安全知识教育；（4） 建立完善的系统管理制度

25、。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 11 页，共 37 页 - - - - - - - - - 第 12 页 共 37 页第二章某证券研究所网络结构分析及安全需求某证券研究所经过多年的建设， 已经形成比较完善的综合网络， 具体的网络拓扑结构如下图所示。21 某证券研究所现行网络整体结构分析211 网络结构以下我们将从内部网络结构和外部网络连接两个方面讨论研究所网络的结构。（1）内部网络结构：从网络结构拓扑图中可以看出，将整个托管服务器网站与办公自动化网设为内部网络，它包

26、括：各种服务器（如： Lotus domino SERVER,Proxy server 等）运行 Win9x的工作站通过 DDN 专线连接的托管服务器网站与办公自动化网托管服务器网站通过ISP 与 Internet连通，办公自动化网通过ADSL与Internet连通，托管服务器网站与办公自动化网之间通过路由器通过DDN专线连接。网络间各节点通过TCP/IP 协议进行通讯。（2）外部网络连接：由于业务需要，某研究所员工经常需要出差，并且要保证该移动用户能使用名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - -

27、- - - - 第 12 页，共 37 页 - - - - - - - - - 第 13 页 共 37 页当地 ISP 拨号上网连接上Internet，安全进入内部网网络，形成一个虚拟私有网络（ VPN ） 。以上连接属于内部网络与外部网络的连接，一方面虽然满足了该研究所的需要，同时也导致了新的安全问题。 这些外部连接的安全防范也成为研究所网络安全的重要方面之一。212 网络设备在整个网络中，各节点是通过租用ISP 的通讯线路进行连接的，局域网主要使用了以下设备：MODEM 以太网交换机；HUB ；以太网接口卡；213 主机设备PC SERVER；PC机；214 系统软件平台操作系统平台主要包

28、括以下内容：WINDOWS NT/2000 网络操作系统；WINDOWS 95/98；215 网络应用系统从网络应用的角度来看，在研究所的整个网络上运行着多种应用，是一个典型的多任务平台，主要包括以下内容：服务器网站系统服务器网站系统是研究所对外提供宣传手段的重要部分，实时性和可靠性要求高，是安全系统考虑的重点；办公自动化系统办公自动化系统是研究所业务的辅助系统，处理日常事务，包括邮件、决策和公文流转等业务，实时性要求不是很高，但是数据传输量大，占用带宽多。22 该研究所网络安全需求概述在第一章中我们已经对研究所计算机网络系统的安全问题进行了概括性的论述，以下我们将针对研究所的网络进行具体的分

29、析。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 13 页，共 37 页 - - - - - - - - - 第 14 页 共 37 页221 主要网络安全威胁网络系统的可靠运转是基于通讯子网、计算机硬件和操作系统及各种应用软件等各方面、 各层次的良好运行。 因此，它的风险将来自对企业的各个关键点可能造成的威胁， 这些威胁可能造成总体功能的失效。由于在这种广域网分布式计算环境中，相对于过去的局域网、主机环境、单机环境，安全问题变得越来越复杂和突出，所以网络安全风险分析成为制定有效的

30、安全管理策略和选择有作用的安全技术实施措施的基础。安全保障不能完全基于思想教育或信任。而应基于“最低权限”和“相互监督”的法则，减少保密信息的介入范围， 尽力消除使用者为使用资源不得不信任他人或被他人信任的问题，建立起完整的安全控制体系和保证体系。通过以上对网络结构的分析不难看出，目前研究所网络的规模庞大，结构复杂，网络上运行着各种各样的主机和应用程序，使用了多种网络设备；同时，由于多种业务的需要，又和许多其他网络进行连接。因此，我们认为，研究所计算机网络安全应该从以下几个层面进行考虑：第一层： 外部网络连接及数据访问，其中包括出差在外的移动用户的连接托管服务器网站对外提供的公共服务办公自动化

31、网使用ADSL 与 Internet连接第二层： 内部网络连接，其中包括通过 DDN 专线连接的托管服务器网站与办公自动化网第三层： 同一网段中不同部门间的连接这里主要是指同一网段中，即连接在同一个HUB 或交换机上的不同部门的主机和工作站的安全问题。其中外部网络攻击威胁主要来自第一层，内部网络的安全问题集中在第二、三层上。以下我们将就外部网络安全和内部网络的安全问题展开具体讨论。222 来自外部网络与内部网络的安全威胁2221 来自外部网络的安全威胁由于业务的需要，研究所网络与外部网络进行了连接，这些连接集中在安全威胁的第一层，包括：内部网络和这些外部网络之间的连接为直接连接，外部网络可以直

32、接访问内部网络的主机，由于内部和外部没有隔离措施，内部系统较容易遭到攻击。（1）出差在外的移动用户的连接由于业务需要，某研究所员工经常需要出差，并且该移动用户使用当地 ISP 拨号上网连接上 Internet，进入内部网网络， 这时非法的 internet用户也可以通过各种手段访问内部网络。这种连接使研究所内部网络很容易受到来自 internet的攻击。攻击一旦发生， 首先遭到破坏的将是办公自动化网的主机，另外，通过使用连接托管服务器网站与办公自动化网的DDN专线，侵入者可以继续攻击托管服务器网站部分。攻击的手段以及可能造成的危害多种多样，如名师资料总结 - - -精品资料欢迎下载 - - -

33、 - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 14 页，共 37 页 - - - - - - - - - 第 15 页 共 37 页修改网站页面，甚至利用该服务器攻击其他单位网站，导致研究所声誉受损；释放病毒，占用系统资源，导致主机不能完成相应的工作，造成系统乃至全网的瘫痪；释放“特洛伊木马”，取得系统的控制权，进而攻击整个研究所内部网络；窃取研究所的研究信息成果，谋取非法所得，而且这种攻击研究所是很难发现。对于以上各种攻击我们可以利用防病毒、防火墙和防黑客技术加以防范。（2）托管服务器网站对外提供的公共服务由于公司宣传的需要，研究

34、所网络提供对外的公共服务。这种情况下，必须借助综合的防范手段才能有效的抵御黑客的攻击。该破坏的主要方式为：修改网站页面， 甚至利用该服务器攻击其他单位网站，导致研究所声誉受损；（3）办公自动化网使用 ADSL与 Internet连接由于办公自动化网使用ADSL与 Internet连接，内部用户使用ADSL拨号服务器作为网关连接到Internet。这种情况下，传统的网络安全体系无法解决网络的安全问题，必须借助综合的防范手段才能有效的抵御黑客的攻击。综上所述，外部网络破坏的主要方式为：外部网络的非法用户的恶意攻击、窃取信息；通过网络传送的病毒和电子邮件夹带的病毒；内部网络缺乏有效的手段监视系统、评

35、估网络系统和操作系统的安全性；目前流行的许多操作系统均存在网络安全漏洞，如UNIX服务器、 NT服务器及 Windows 、桌面 PC ；来自 Internet 的 Web 浏览可能存在的恶意Java/ActiveX控件。2222 来自内部网络的安全威胁从以上研究所网络图中可以看到，整个研究所的计算机网络有一定的规模，分为多个层次，网络上的节点众多，网络应用复杂，网络管理困难。这些问题主要体现在安全威胁的第二和第三个层面上，具体包括：网络的实际结构无法控制网管人员无法及时了解网络的运行状况无法了解网络的漏洞和可能发生的攻击对于已经或正在发生的攻击缺乏有效的追查手段内部网络的安全涉及到技术、应用

36、以及管理等多方面的因素，只有及时发现问题，确定网络安全威胁的来源， 才能制定全面的安全策略， 有效的保证网络安全。（1）网络的实际结构无法控制研究所计算机网络上的用户众多，用户的应用水平差异较大，给管理带来很多困难。网络的物理连接经常会发生变化，这种变化主要由以下原因造成：名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 15 页，共 37 页 - - - - - - - - - 第 16 页 共 37 页办公地点调整，如迁址、装修等；网络应用人员的调整，如员工的加入或调离；网络设备的

37、调整，如设备升级更新；人为错误，如网络施工中的失误。这些因素都会导致网络结构发生变化，网络管理者如果不能及时发现，将其纳入网络安全的总体策略， 很可能发生网络配置不当， 从而造成网络性能的下降，更严重的是会造成网络安全的严重隐患，导致直接经济损失。因此，我们需要一种有效的扫描工具，定期对网络进行扫描，发现网络结构的变化，及时纠正错误，调整网络安全策略。（2）网管人员无法及时了解网络的运行状况该研究所网络是一个多应用的平台，上面运行着多种应用，其中包括网站系统、办公自动化系统、邮件系统等。作为网络管理员，应该能够全面了解这些应用的运行情况。 同时，由于网络用户众多， 很可能发生用户运行其他应用程

38、序的情况，这样做的后果一方面可能影响网络的正常工作，降低系统的工作效率， 另一方面还可能破坏系统的总体安全策略，对网络安全造成威胁。因此，网络管理员应拥有有效的工具，及时发现错误，关闭非法应用，保证网络的安全。（3）无法了解网络的漏洞和可能发生的攻击网络建成后，应该制定完善的网络安全和网络管理策略，但是实际情况是，再有经验的网络管理者也不可能完全依靠自身的能力建立十分完善的安全系统。具体原因表现为：即使最初制定的安全策略已经十分可靠，但是随着网络结构和应用的不断变化，安全策略也应该及时进行相应的调整；目前黑客的活动越来越猖獗、越来越隐蔽；黑客工具可以轻易得到，依靠网络管理人员的个人力量无法与巨

39、大的黑客群体进行抗衡；传统方式的安全策略采取被动挨打的方式，等待入侵者的攻击，而缺乏主动防范的功能；由于网络配置不当导致的安全隐患；来自内部网的病毒的破坏；内部网络各网段上运行不同应用，而这些应用又要共享某些数据，这些放有共享数据的主机没有有效的保护措施，容易受到攻击；因此，我们需要一种强有力的工具来帮助网络管理者对网络风险进行客观的评估，及时发现网络中的安全隐患，并提出切实可行的防范措施。（4）对于已经或正在发生的攻击缺乏有效的追查手段网络的安全策略一旦建立，会对整个网络起到全面的保护作用，但是我们都清楚没有绝对安全的网络， 少数攻击行为会穿过防火墙最终发生。攻击行为一旦发生，最重要的问题在

40、于怎样减小损失和追查当事人的责任。首先，一旦发现有攻击行为， 系统应该能够及时报警， 自动采取相应的对策，如关闭有关服务、切断物理线路的连接等。有些攻击行为相当隐蔽，攻击发生之后很长时间才会被发现。这种情况下，就需要网络管理者通过有关线索，追踪攻击行为的发起者，追究当事人的责任。但是，由于多种原因，类似的追查工作往往难以进行，其中包括操作系统日志不健全，如Windows95/98 不提供操作日志功能；名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 16 页，共 37 页 - - -

41、- - - - - - 第 17 页 共 37 页对于某些欺骗行为不能够识别；对于日志文件记录的内容无法进行有效的分析；缺乏对攻击现场回放工具；缺乏防御同样攻击的解决办法。由此可见，为了能够追查攻击的来源，系统应该具备有效的工具，记录攻击行为的全过程，为调查工作提供依据，同时也是对非法入侵者的有效震慑。另外，由于人手有限，某些工作人员经常一身数职，违反安全系统原则，对系统安全构成严重威胁。因此，我们应该从技术和管理等多种渠道加强管理和监控，杜绝这个层面上的安全问题。223 网络安全现状目前，对网络安全采取的主要措施有：（1）利用操作系统、数据库、电子邮件、应用系统本身的安全性，对用户进行权限控

42、制；（2）某些桌面防病毒软件。实际上，仅靠以上几项安全措施，不能达到整体网络安全的要求。23 系统安全目标基于以上的分析，我们认为研究所网络安全应该实现以下内容：（1）建立一套完备可行的网络安全和网络管理策略；（2）在内外网上设置隔离手段，将研究所内部网与其他网络隔离；（3）建立全面的用户权限认证体系，健全系统访问日志， 提供有效的监督机制；（4）实现安全认证和数字签名技术，保证通讯安全和通讯的不可抵赖性；（5）提供网络安全扫描工具，主动发现网络安全漏洞，进行风险评估；（6）及时发现黑客攻击活动，提出报警，并自动采取相应对策；（7）建立完整的系统防病毒体系，防止病毒的侵害；（8）提供监控和安全

43、维护工具，及时分析和排除网络故障；（9）加强人员管理，提高全体人员的网络安全意识和防范技术。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 17 页，共 37 页 - - - - - - - - - 第 18 页 共 37 页第三章网络安全系统的总体规划31 安全体系结构网络安全体系结构主要考虑安全对象和安全机制，安全对象主要有网络安全、系统安全、数据库安全、信息安全、设备安全、信息介质安全和计算机病毒防治等，其安全体系结构如图3-1 所示：32 安全体系设计321 安全体系设计原则

44、在进行计算机网络安全设计、规划时，应遵循以下原则：（1） 需求、风险、代价平衡分析的原则：对任一网络来说，绝对安全难以达到，也不一定必要。对一个网络要进行实际分析，对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施， 确定本系统的安全策略。 保护成本、 被保护信息的价值必须平衡，价值仅 1 万元的信息如果用5 万元的技术和设备去保护是一种不适当的保护。（2） 综合性、整体性原则：运用系统工程的观点、方法，分析网络的安全问题，并制定具体措施。一个较好的安全措施往往是多种方法适当综合的应用结果。一个计算机网络包括个人、设备、软件、数据等环节。它们在网络安全中的地位和影响

45、作用，只有从系统综合的整体角度去看待和分析，才可能获得有效、可行的措施。物 理 实 体 安 全企业安全策略用户责任病毒防治保密教育信息安全信息服务操作系统计算机网络安全图 3-1 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 18 页，共 37 页 - - - - - - - - - 第 19 页 共 37 页（3）一致性原则：这主要是指网络安全问题应与整个网络的工作周期（或生命周期）同时存在，制定的安全体系结构必须与网络的安全需求相一致。实际上，在网络建设之初就考虑网络安全对策，

46、 比等网络建设好后再考虑， 不但容易， 而且花费也少得多。（4）易操作性原则：安全措施要由人来完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。其次，采用的措施不能影响系统正常运行。（5）适应性、灵活性原则安全措施必须能随着网络性能及安全需求的变化而变化，要容易适应、容易修改。（6）多重保护原则任何安全保护措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统， 各层保护相互补充， 当一层保护被攻破时， 其它层保护仍可保护信息的安全。322 网络安全策略安全策略分安全管理策略和安全技术实施策略两个方面：（1） 管理策略安全系统需要人来执行，即使是最好的、最值得信赖的系统安全措施

47、，也不能完全由计算机系统来完全承担安全保证任务，因此必须建立完备的安全组织和管理制度。（2）技术策略技术策略要针对网络、操作系统、数据库、信息共享授权提出具体的措施。323 安全管理原则计算机信息系统的安全管理主要基于三个原则。（1）多人负责原则每项与安全有关的活动都必须有两人或多人在场。这些人应是系统主管领导指派的，应忠诚可靠，能胜任此项工作。（2）任期有限原则一般地讲，任何人最好不要长期担任与安全有关的职务，以免误认为这个职务是专有的或永久性的。（3）职责分离原则除非系统主管领导批准，在信息处理系统工作的人员不要打听、了解或参与职责以外、与安全有关的任何事情。名师资料总结 - - -精品资

48、料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 19 页，共 37 页 - - - - - - - - - 第 20 页 共 37 页324 安全管理的实现信息系统的安全管理部门应根据管理原则和该系统处理数据的保密性，制订相应的管理制度或采用相应规范，其具体工作是：确定该系统的安全等级；根据确定的安全等级，确定安全管理的范围；制订相应的机房出入管理制度， 对安全等级要求较高的系统， 要实行分区控制，限制工作人员出入与己无关的区域；制订严格的操作规程， 操作规程要根据职责分离和多人负责的原则，各负其责，不能超越自己

49、的管辖范围；制订完备的系统维护制度， 维护时，要首先经主管部门批准， 并有安全管理人员在场，故障原因、维护内容和维护前后的情况要详细记录；制订应急措施，要制订在紧急情况下，系统如何尽快恢复的应急措施，使损失减至最小；建立人员雇用和解聘制度， 对工作调动和离职人员要及时调整相应的授权。安全系统需要由人来计划和管理，任何系统安全设施也不能完全由计算机系统独立承担系统安全保障的任务。一方面， 各级领导一定要高度重视并积极支持有关系统安全方面的各项措施。 其次，对各级用户的培训也十分重要，只有当用户对网络安全性有了深入了解后，才能降低网络信息系统的安全风险。总之，制定系统安全策略、安装网络安全系统只是

50、网络系统安全性实施的第一步，只有当各级组织机构均严格执行网络安全的各项规定，认真维护各自负责的分系统的网络安全性，才能保证整个系统网络的整体安全性。325 网络安全设计由于网络的互连是在链路层、网络层、传输层、应用层不同协议层来实现，各个层的功能特性和安全特性也不同，因而其网络安全措施也不相同。物理层安全涉及传输介质的安全特性，抗干扰、防窃听将是物理层安全措施制定的重点。在链路层，通过“桥”这一互连设备的监视和控制作用，使我们可以建立一定程度的虚拟局域网， 对物理和逻辑网段进行有效的分割和隔离，消除不同安全级别逻辑网段间的窃听可能。在网络层，可通过对不同子网的定义和对路由器的路由表控制来限制子