| 導購 | 订阅 | 在线投稿
分享
 
 
 

企業局域網安全解決方案

來源:互聯網  2008-05-31 05:59:11  評論

第一章 總則 本方案爲某大型局域網網絡安全解決方案,包括原有網絡系統分析、安全需求分析、安全目標的確立、安全體系結構的設計、等。本安全解決方案的目標是在不影響某大型企業局域網當前業務的前提下,實現對他們局域網全面的安全治理。

1.將安全策略、硬件及軟件等方法結合起來,構成一個統一的防禦系統,有效阻止非法用戶進入網絡,減少網絡的安全風險。

2.定期進行漏洞掃描,審計跟蹤,及時發現問題,解決問題。

3.通過入侵檢測等方式實現實時安全監控,提供快速響應故障的手段,同時具備很好的安全取證措施。

4.使網絡治理者能夠很快重新組織被破壞了的文件或應用。使系統重新恢複到破壞前的狀態,最大限度地減少損失。

5.在工作站、服務器上安裝相應的防病毒軟件,由中心控制台統一控制和治理,實現全網統一防病毒。

第二章 網絡系統概況

2.1 網絡概況

這個企業的局域網是一個信息點較爲密集的千兆局域網絡系統,它所聯接的現有上千個信息點爲在整個企業內辦公的各部門提供了一個快速、方便的信息交流平台。不僅如此,通過專線與Internet的連接,打通了一扇通向外部世界的窗戶,各個部門可以直接與互聯網用戶進行交流、查詢資料等。通過公開服務器,企業可以直接對外發布信息或者發送電子郵件。高速交換技術的采用、靈活的網絡互連方案設計爲用戶提供快速、方便、靈活通信平台的同時,也爲網絡的安全帶來了更大的風險。因此,在原有網絡上實施一套完整、可*作的安全解決方案不僅是可行的,而且是必需的。

2.1.1 網絡概述

這個企業的局域網,物理跨度不大,通過千兆交換機在主幹網絡上提供1000M的獨享帶寬,通過下級交換機與各部門的工作站和服務器連結,並爲之提供100M的獨享帶寬。利用與中心交換機連結的Cisco 路由器,所有用戶可直接訪問Internet。

2.1.2 網絡結構

這個企業的局域網按訪問區域可以劃分爲三個主要的區域:Internet區域、內部網絡、公開服務器區域。內部網絡又可按照所屬的部門、職能、安全重要程度分爲許多子網,包括:財務子網、領導子網、辦公子網、市場部子網、中心服務器子網等。在安全方案設計中,我們基于安全的重要程度和要保護的對象,可以在Catalyst 型交換機上直接劃分四個虛擬局域網(VLAN),即:中心服務器子網、財務子網、領導子網、其他子網。不同的局域網分屬不同的廣播域,由于財務子網、領導子網、中心服務器子網屬于重要網段,因此在中心交換機上將這些網段各自劃分爲一個獨立的廣播域,而將其他的工作站劃分在一個相同的網段。(圖省略)

2.2 網絡應用

這個企業的局域網可以爲用戶提供如?饕τ茫?

1.文件共享、辦公自動化、WWW服務、電子郵件服務;

2.文件數據的統一存儲;

3.針對特定的應用在數據庫服務器上進行二次開發(比如財務系統);

4.提供與Internet的訪問;

5.通過公開服務器對外發布企業信息、發送電子郵件等;

2.3 網絡結構的特點

在分析這個企業局域網的安全風險時,應考慮到網絡的如下幾個特點:

1.網絡與Internet直接連結,因此在進行安全方案設計時要考慮與Internet連結的有關風險,包括可能通過Internet傳播進來病毒,黑客攻擊,來自Internet的非授權訪問等。

2.網絡中存在公開服務器,由于公開服務器對外必須開放部分業務,因此在進行安全方案設計時應該考慮采用安全服務器網絡,避免公開服務器的安全風險擴散到內部。

3.內部網絡中存在許多不同的子網,不同的子網有不同的安全性,因此在進行安全方案設計時,應考慮將不同功能和安全級別的網絡分割開,這可以通過交換機劃分VLAN來實現。

4.網絡中有二台應用服務器,在應用程序開發時就應考慮加強用戶登錄驗證,防止非授權的訪問。

總而言之,在進行網絡方案設計時,應綜合考慮到這個企業局域網的特點,根據産品的性能、價格、潛在的安全風險進行綜合考慮。

第三章 網絡系統安全風險分析

隨著Internet網絡急劇擴大和上網用戶迅速增加,風險變得更加嚴重和複雜。原來由單個計算機安全事故引起的損害可能傳播到其他系統,引起大範圍的癱瘓和損失;另外加上缺乏安全控制機制和對Internet安全政策的熟悉不足,這些風險正日益嚴重。

針對這個企業局域網中存在的安全隱患,在進行安全方案設計時,下述安全風險我們必須要認真考慮,並且要針對面臨的風險,采取相應的安全措施。下述風險由多種因素引起,與這個企業局域網結構和系統的應用、局域網內網絡服務器的可靠性等因素密切相關。下面列出部分這類風險因素:

網絡安全可以從以下三個方面來理解:1 網絡物理是否安全;2 網絡平台是否安全;3 系統是否安全;4 應用是否安全;5 治理是否安全。針對每一類安全風險,結合這個企業局域網的實際情況,我們將具體的分析網絡的安全風險。

3.1物理安全風險分析

網絡的物理安全的風險是多種多樣的。

網絡的物理安全主要是指地震、水災、火災等環境事故;電源故障;人爲*作失誤或錯誤;設備被盜、被毀;電磁幹擾;線路截獲。以及高可用性的硬件、雙機多冗余的設計、機房環境及報警系統、安全意識等。它是整個網絡系統安全的前提,在這個企業區局域網內,由于網絡的物理跨度不大,,只要制定健全的安全治理制度,做好備份,並且加強網絡設備和機房的治理,這些風險是可以避免的。

3.2網絡平台的安全風險分析

網絡結構的安全涉及到網絡拓撲結構、網絡路由狀況及網絡的環境等。

公開服務器面臨的威脅

這個企業局域網內公開服務器區(WWW、EMAIL等服務器)作爲公司的信息發布平台,一旦不能運行後者受到攻擊,對企業的聲譽影響巨大。同時公開服務器本身要爲外界服務,必須開放相應的服務;天天,黑客都在試圖闖入Internet節點,這些節點假如不保持警惕,可能連黑客怎麽闖入的都不知道,甚至會成爲黑客入侵其他站點的跳板。因此,規模比較大網絡的治理人員對Internet安全事故做出有效反應變得十分重要。我們有必要將公開服務器、內部網絡與外部網絡進行隔離,避免網絡結構信息外泄;同時還要對外網的服務請求加以過濾,只答應正常通信的數據包到達相應主機,其他的請求服務在到達主機之前就應該遭到拒絕。

整個網絡結構和路由狀況

安全的應用往往是建立在網絡系統之上的。網絡系統的成熟與否直接影響安全系統成功的建設。在這個企業局域網絡系統中,只使用了一台路由器,用作與Internet連結的邊界路由器,網絡結構相對簡單,具體配置時可以考慮使用靜態路由,這就大大減少了因網絡結構和網絡路由造成的安全風險。

3.3系統的安全風險分析

所謂系統的安全顯而易見是指整個局域網網絡*作系統、網絡硬件平台是否可靠且值得信任。

網絡*作系統、網絡硬件平台的可靠性:對于中國來說,恐怕沒有絕對安全的*作系統可以選擇,無論是Microsoft的Windows NT或者其他任何商用UNIX*作系統,其開發廠商必然有其Back-Door。我們可以這樣講:沒有完全安全的*作系統。但是,我們可以對現有的*作平台進行安全配置、對*作和訪問權限進行嚴格控制,提高系統的安全性。因此,不但要選用盡可能可靠的*作系統和硬件平台。而且,必須加強登錄過程的認證(非凡是在到達服務器主機之前的認證),確保用戶的合法性;其次應該嚴格限制登錄者的*作權限,將其完成的*作限制在最小的範圍內。

3.4應用的安全風險分析

應用系統的安全跟具體的應用有關,它涉及很多方面。應用系統的安全是動態的、不斷變化的。應用的安全性也涉及到信息的安全性,它包括很多方面。

應用系統的安全動態的、不斷變化的:應用的安全涉及面很廣,以目前Internet上應用最爲廣泛的E-mail系統來說,其解決方案有幾十種,但其系統內部的編碼甚至編譯器導致的BUG是很少有人能夠發現的,因此一套詳盡的測試軟件是相當必須的。但是應用系統是不斷發展且應用類型是不斷增加的,其結果是安全漏洞也是不斷增加且隱藏越來越深。因此,保證應用系統的安全也是一個隨網絡發展不斷完善的過程。

應用的安全性涉及到信息、數據的安全性:信息的安全性涉及到:機密信息泄露、未經授權的訪問、破壞信息完整性、假冒、破壞系統的可用性等。由于這個企業局域網跨度不大,絕大部分重要信息都在內部傳遞,因此信息的機密性和完整性是可以保證的。對于有些非凡重要的信息需要對內部進行保密的(比如領導子網、財務系統傳遞的重要信息)可以考慮在應用級進行加密,針對具體的應用直接在應用系統開發時進行加密。

3.5治理的安全風險分析

治理是網絡安全中最重要的部分

治理是網絡中安全最最重要的部分。責權不明,治理混亂、安全治理制度不健全及缺乏可*作性等都可能引起治理安全的風險。責權不明,治理混亂,使得一些員工或治理員隨便讓一些非本地員工甚至外來人員進入機房重地,或者員工有意無意泄漏他們所知道的一些重要信息,而治理上卻沒有相應制度來約束。

當網絡出現攻擊行爲或網絡受到其它一些安全威脅時(如內部人員的違規*作等),無法進行實時的檢測、監控、報告與預警。同時,當事故發生後,也無法提供黑客攻擊行爲的追蹤線索及破案依據,即缺乏對網絡的可控性與可審查性。這就要求我們必須對站點的訪問活動進行多層次的記錄,及時發現非法入侵行爲。

建立全新網絡安全機制,必須深刻理解網絡並能提供直接的解決方案,因此,最可行的做法是治理制度和治理解決方案的結合。

3.6黑客攻擊

黑客們的攻擊行動是無時無刻不在進行的,而且會利用系統和治理上的一切可能利用的漏洞。公開服務器存在漏洞的一個典型例證,是黑客可以輕易地騙過公開服務器軟件,得到Unix的口令文件並將之送回。黑客侵入UNIX服務器後,有可能修改特權,從普通用戶變爲高級用戶,一旦成功,黑客可以直接進入口令文件。黑客還能開發欺騙程序,將其裝入UNIX服務器中,用以監聽登錄會話。當它發現有用戶登錄時,便開始存儲一個文件,這樣黑客就擁有了他人的帳戶和口令。這時爲了防止黑客,需要設置公開服務器,使得它不離開自己的空間而進入另外的目錄。另外,還應設置組特權,不答應任何使用公開服務器的人訪問WWW頁面文件以外的東西。在這個企業的局域網內我們可以綜合采用防火牆技術、Web頁面保護技術、入侵檢測技術、安全評估技術來保護網絡內的信息資源,防止黑客攻擊。

3.7通用網關接口(CGI)漏洞

有一類風險涉及通用網關接口(CGI)腳本。許多頁面文件和指向其他頁面或站點的超連接。然而有些站點用到這些超連接所指站點尋找特定信息。搜索引擎是通過CGI腳本執行的方式實現的。黑客可以修改這些CGI腳本以執行他們的非法任務。通常,這些CGI腳本只能在這些所指WWW服務器中尋找,但假如進行一些修改,他們就可以在WWW服務器之外進行尋找。要防止這類問題發生,應將這些CGI腳本設置爲較低級用戶特權。提高系統的抗破壞能力,提高服務器備份與恢複能力,提高站點內容的防篡改與自動修複能力。

3.8惡意代碼

惡意代碼不限于病毒,還包括蠕蟲、特洛伊木馬、邏輯炸彈、和其他未經同意的軟件。應該加強對惡意代碼的檢測。

3.9病毒的攻擊

計算機病毒一直是計算機安全的主要威脅。能在Internet上傳播的新型病毒,例如通過E-Mail傳播的病毒,增加了這種威脅的程度。病毒的種類和傳染方式也在增加,國際空間的病毒總數已達上萬甚至更多。當然,查看文檔、浏覽圖像或在Web上填表都不用擔心病毒感染,然而,下載可執行文件和接收來曆不明的E-Mail文件需要非凡警惕,否則很輕易使系統導致嚴重的破壞。典型的「CIH」病毒就是一可怕的例子。

3.10不滿的內部員工

不滿的內部員工可能在WWW站點上開些小玩笑,甚至破壞。不論如何,他們最熟悉服務器、小程序、腳本和系統的弱點。對于已經離職的不滿員工,可以通過定期改變口令和刪除系統記錄以減少這類風險。但還有心懷不滿的在職員工,這些員工比已經離開的員工能造成更大的損失,例如他們可以傳出至關重要的信息、泄露安全重要信息、錯誤地進入數據庫、刪除數據等等。

3.11網絡的攻擊手段

一般認爲,目前對網絡的攻擊手段主要表現在:

非授權訪問:沒有預先經過同意,就使用網絡或計算機資源被看作非授權訪問,如有意避開系統訪問控制機制,對網絡設備及資源進行非正常使用,或擅自擴大權限,越權訪問信息。它主要有以下幾種形式:假冒、身份攻擊、非法用戶進入網絡系統進行違法*作、合法用戶以未授權方式進行*作等。

信息泄漏或丟失:指敏感數據在有意或無意中被泄漏出去或丟失,它通常包括,信息在傳輸中丟失或泄漏(如"黑客"們利用電磁泄漏或搭線竊聽等方式可截獲機密信息,或通過對信息流向、流量、通信頻度和長度等參數的分析,推出有用信息,如用戶口令、帳號等重要信息。),信息在存儲介質中丟失或泄漏,通過建立隱蔽隧道等竊取敏感信息等。

破壞數據完整性:以非法手段竊得對數據的使用權,刪除、修改、插入或重發某些重要信息,以取得有益于攻擊者的響應;惡意添加,修改數據,以幹擾用戶的正常使用。

拒絕服務攻擊:它不斷對網絡服務系統進行幹擾,改變其正常的作業流程,執行無關程序使系統響應減慢甚至癱瘓,影響正常用戶的使用,甚至使合法用戶被排斥而不能進入計算機網絡系統或不能得到相應的服務。

利用網絡傳播病毒:通過網絡傳播計算機病毒,其破壞性大大高于單機系統,而且用戶很難防範。

第四章 安全需求與安全目標

4.1安全需求分析

通過前面我們對這個企業局域網絡結構、應用及安全威脅分析,可以看出其安全問題主要集中在對服務器的安全保護、防黑客和病毒、重要網段的保護以及治理安全上。因此,我們必須采取相應的安全措施杜絕安全隱患,其中應該做到:

公開服務器的安全保護

防止黑客從外部攻擊

入侵檢測與監控

信息審計與記錄

病毒防護

數據安全保護

數據備份與恢複

網絡的安全治理

針對這個企業局域網絡系統的實際情況,在系統考慮如何解決上述安全問題的設計時應滿足如下要求:

1.大幅度地提高系統的安全性(重點是可用性和可控性);

2.保持網絡原有的能特點,即對網絡的協議和傳輸具有很好的透明性,能透明接入,無需更改網絡設置;

3.易于*作、維護,並便于自動化治理,而不增加或少增加附加*作;

4.盡量不影響原網絡拓撲結構,同時便于系統及系統功能的擴展;

5.安全保密系統具有較好的性能價格比,一次性投資,可以長期使用;

6.安全産品具有合法性,及經過國家有關治理部門的認可或認證;

7.分布實施。

4.2網絡安全策略

安全策略是指在一個特定的環境裏,爲保證提供一定級別的安全保護所必須遵守的規則。該安全策略模型包括了建立安全環境的三個重要組成部分,即:

威嚴的法律:安全的基石是社會法律、法規、與手段,這部分用于建立一套安全治理標准和方法。即通過建立與信息安全相關的法律、法規,使非法分子懾于法律,不敢輕舉妄動。

先進的技術:先進的安全技術是信息安全的根本保障,用戶對自身面臨的威脅進行風險評估,決定其需要的安全服務種類,選擇相應的安全機制,然後集成先進的安全技術。

嚴格的治理:各網絡使用機構、企業和單位應建立適宜的信息安全治理辦法,加強內部治理,建立審計和跟蹤體系,提高整體信息安全意識。

4.3系統安全目標

基于以上的分析,我們認爲這個局域網網絡系統安全應該實現以下目標:

建立一套完整可行的網絡安全與網絡治理策略

將內部網絡、公開服務器網絡和外網進行有效隔離,避免與外部網絡的直接通信

建立網站各主機和服務器的安全保護措施,保證他們的系統安全

對網上服務請求內容進行控制,使非法訪問在到達主機前被拒絕

加強合法用戶的訪問認證,同時將用戶的訪問權限控制在最低限度

全面監視對公開服務器的訪問,及時發現和拒絕不安全的*作和黑客攻擊行爲

加強對各種訪問的審計工作,具體記錄對網絡、公開服務器的訪問行爲,形成完 整的系統日志

備份與災難恢複——強化系統備份,實現系統快速恢複

加強網絡安全治理,提高系統全體人員的網絡安全意識和防範技術

第五章 網絡安全方案總體設計

5.1安全方案設計原則

在對這個企業局域網網絡系統安全方案設計、規劃時,應遵循以下原則:

綜合性、整體性原則:應用系統工程的觀點、方法,分析網絡的安全及具體措施。安全措施主要包括:行政法律手段、各種治理制度(人員審查、工作流程、維護保障制度等)以及專業措施(識別技術、存取控制、密碼、低輻射、容錯、防病毒、采用高安全産品等)。一個較好的安全措施往往是多種方法適當綜合的應用結果。一個計算機網絡,包括個人、設備、軟件、數據等。這些環節在網絡中的地位和影響作用,也只有從系統綜合整體的角度去看待、分析,才能取得有效、可行的措施。即計算機網絡安全應遵循整體安全性原則,根據規定的安全策略制定出合理的網絡安全體系結構。

需求、風險、代價平衡的原則:對任一網絡,絕對安全難以達到,也不一定是必要的。對一個網絡進行實際額研究(包括任務、性能、結構、可靠性、可維護性等),並對網絡面臨的威脅及可能承擔的風險進行定性與定量相結合的分析,然後制定規範和措施,確定本系統的安全策略。

一致性原則:一致性原則主要是指網絡安全問題應與整個網絡的工作周期(或生命周期)同時存在,制定的安全體系結構必須與網絡的安全需求相一致。安全的網絡系統設計(包括初步或具體設計)及實施計劃、網絡驗證、驗收、運行等,都要有安全的內容光煥發及措施,實際上,在網絡建設的開始就考慮網絡安全對策,比在網絡建設好後再考慮安全措施,不但輕易,且花費也小得多。

易*作性原則:安全措施需要人爲去完成,假如措施過于複雜,對人的要求過高,本身就降低了安全性。其次,措施的采用不能影響系統的正常運行。

分步實施原則:由于網絡系統及其應用擴展範圍廣闊,隨著網絡規模的擴大及應用的增加,網絡脆弱性也會不斷增加。一勞永逸地解決網絡安全問題是不現實的。同時由于實施信息安全措施需相當的費用支出。因此分步實施,即可滿足網絡系統及信息安全的基本需求,亦可節省費用開支。

多重保護原則:任何安全措施都不是絕對安全的,都可能被攻破。但是建立一個多重保護系統,各層保護相互補充,當一層保護被攻破時,其它層保護仍可保護信息的安全。

可評價性原則:如何預先評價一個安全設計並驗證其網絡的安全性,這需要通過國家有關網絡信息安全測評認證機構的評估來實

5.2安全服務、機制與技術

安全服務:安全服務主要有:控制服務、對象認證服務、可靠性服務等;

安全機制:訪問控制機制、認證機制等;

安全技術:防火牆技術、鑒別技術、審計監控技術、病毒防治技術等;在安全的開放環境中,用戶可以使用各種安全應用。安全應用由一些安全服務來實現;而安全服務又是由各種安全機制或安全技術來實現的。應當指出,同一安全機制有時也可以用于實現不同的安全服務。

第六章 網絡安全體系結構

通過對網絡的全面了解,按照安全策略的要求、風險分析的結果及整個網絡的安全目標,整個網絡措施應按系統體系建立。具體的安全控制系統由以下幾個方面組成:物理安全、網絡安全、系統安全、信息安全、應用安全和安全治理

6.1物理安全

保證計算機信息系統各種設備的物理安全是整個計算機信息系統安全的前提,物理安全是保護計算機網絡設備、設施以及其它媒體免遭地震、水災、火災等環境事故以及人爲*作失誤或錯誤及各種計算機犯罪行爲導致的破壞過程。 它主要包括三個方面:

環境安全:對系統所在環境的安全保護,如區域保護和災難保護;(參見國家標准GB50173-93《電子計算機機房設計規範》、國標GB2887-89《計算站場地技術條件》、GB9361-88《計算站場地安全要求》

設備安全:主要包括設備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁幹擾及電源保護等;

媒體安全:包括媒體數據的安全及媒體本身的安全。

在網絡的安全方面,主要考慮兩個大的層次,一是整個網絡結構成熟化,主要是優化網絡結構,二是整個網絡系統的安全。

6.2.1網絡結構

安全系統是建立在網絡系統之上的,網絡結構的安全是安全系統成功建立的基礎。在整個網絡結構的安全方面,主要考慮網絡結構、系統和路由的優化。

網絡結構的建立要考慮環境、設備配置與應用情況、遠程聯網方式、通信量的估算、網絡維護治理、網絡應用與業務定位等因素。成熟的網絡結構應具有開放性、標准化、可靠性、先進性和實用性,並且應該有結構化的設計,充分利用現有資源,具有運營治理的簡便性,完善的安全保障體系。網絡結構采用分層的體系結構,利于維護治理,利于更高的安全控制和業務發展。

網絡結構的優化,在網絡拓撲上主要考慮到冗余鏈路;防火牆的設置和入侵檢測的實時監控等。

6.2.2網絡系統安全

6.2.2.1 訪問控制及內外網的隔離

訪問控制

訪問控制可以通過如下幾個方面來實現:

1.制訂嚴格的治理制度:可制定的相應:《用戶授權實施細則》、《口令字及帳戶治理規範》、《權限治理制度》。

2.配備相應的安全設備:在內部網與外部網之間,設置防火牆實現內外網的隔離與訪問控制是保護內部網安全的最主要、同時也是最有效、最經濟的措施之一。防火牆設置在不同網絡或網絡安全域之間信息的唯一出入口。

防火牆主要的種類是包過濾型,包過濾防火牆一般利用IP和TCP包的頭信息對進出被保護網絡的IP包信息進行過濾,能根據企業的安全政策來控制(答應、拒絕、監測)出入網絡的信息流。同時可實現網絡地址轉換(NAT)、審記與實時告警等功能。由于這種防火牆安裝在被保護網絡與路由器之間的通道上,因此也對被保護網絡和外部網絡起到隔離作用。

防火牆具有以下五大基本功能:過濾進、出網絡的數據;治理進、出網絡的訪問行爲;封堵某些禁止的業務;記錄通過防火牆的信息內容和活動;對網絡攻擊的檢測和告警。

6.2.2.2 內部網不同網絡安全域的隔離及訪問控制

在這裏,主要利用VLAN技術來實現對內部子網的物理隔離。通過在交換機上劃分VLAN可以將整個網絡劃分爲幾個不同的廣播域,實現內部一個網段與另一個網段的物理隔離。這樣,就能防止影響一個網段的問題穿過整個網絡傳播。針對某些網絡,在某些情況下,它的一些局域網的某個網段比另一個網段更受信任,或者某個網段比另一個更敏感。通過將信任網段與不信任網段劃分在不同的VLAN段內,就可以限制局部網絡安全問題對全局網絡造成的影響。

6.2.2.3 網絡安全檢測

網絡系統的安全性取決于網絡系統中最薄弱的環節。如何及時發現網絡系統中最薄弱的環節?如何最大限度地保證網絡系統的安全?最有效的方法是定期對網絡系統進行安全性分析,及時發現並修正存在的弱點和漏洞。

網絡安全檢測工具通常是一個網絡安全性評估分析軟件,其功能是用實踐性的方法掃描分析網絡系統,檢查報告系統存在的弱點和漏洞,建議補救措施和安全策略,達到增強網絡安全性的目的。檢測工具應具備以下功能:

具備網絡監控、分析和自動響應功能

找出經常發生問題的根源所在;

建立必要的循環過程確保隱患時刻被糾正;控制各種網絡安全危險。

漏洞分析和響應

配置分析和響應

漏洞形勢分析和響應

認證和趨勢分析

具體體現在以下方面:

防火牆得到合理配置

內外WEB站點的安全漏洞減爲最低

網絡體系達到強壯的耐攻擊性

各種服務器*作系統,如E_MIAL服務器、WEB服務器、應用服務器、,將受黑客攻擊的可能降爲最低

對網絡訪問做出有效響應,保護重要應用系統(如財務系統)數據安全不受黑客攻擊和內部人員誤*作的侵害

6.2.2.4 審計與監控

審計是記錄用戶使用計算機網絡系統進行所有活動的過程,它是提高安全性的重要工具。它不僅能夠識別誰訪問了系統,還能看出系統正被怎樣地使用。對于確定是否有網絡攻擊的情況,審計信息對于去定問題和攻擊源很重要。同時,系統事件的記錄能夠更迅速和系統地識別問題,並且它是後面階段事故處理的重要依據。另外,通過對安全事件的不斷收集與積累並且加以分析,有選擇性地對其中的某些站點或用戶進行審計跟蹤,以便對發現或可能産生的破壞性行爲提供有力的證據。

因此,除使用一般的網管軟件和系統監控治理系統外,還應使用目前較爲成熟的網絡監控設備或實時入侵檢測設備,以便對進出各級局域網的常見*作進行實時檢查、監控、報警和阻斷,從而防止針對網絡的攻擊與犯罪行爲。

6.2.2.5 網絡防病毒

由于在網絡環境下,計算機病毒有不可估量的威脅性和破壞力,一次計算機病毒的防範是網絡安全性建設中重要的一環。

網絡反病毒技術包括預防病毒、檢測病毒和消毒三種技術:

1.預防病毒技術:它通過自身常駐系統內存,優先獲得系統的控制權,監視和判定系統中是否有病毒存在,進而阻止計算機病毒進入計算機系統和對系統進行破壞。這類技術有,加密可執行程序、引導區保護、系統監控與讀寫控制(如防病毒軟件等)。

2.檢測病毒技術:它是通過對計算機病毒的特征來進行判定的技術,如自身校驗、要害字、文件長度的變化等。

3.清除病毒技術:它通過對計算機病毒的分析,開發出具有刪除病毒程序並恢複原文件的軟件。

網絡反病毒技術的具體實現方法包括對網絡服務器中的文件進行頻繁地掃描和監測;在工作站上用防病毒芯片和對網絡目錄及文件設置訪問權限等。

所選的防毒軟件應該構造全網統一的防病毒體系。主要面向MAIL 、Web服務器,以及辦公網段的PC服務器和PC機等。支持對網絡、服務器、和工作站的實時病毒監控;能夠在中心控制台向多個目標分發新版殺毒軟件,並監視多個目標的病毒防治情況;支持多種平台的病毒防範;能夠識別廣泛的已知和未知病毒,包括宏病毒;支持對Internet/ Intranet服務器的病毒防治,能夠阻止惡意的Java或ActiveX小程序的破壞;支持對電子郵件附件的病毒防治,包括Word、Excel中的宏病毒;支持對壓縮文件的病毒檢測;支持廣泛的病毒處理選項,如對染毒文件進行實時殺毒,移出,重新命名等;支持病毒隔離,當客戶機試圖上載一個染毒文件時,服務器可自動關閉對該工作站的連接;提供對病毒特征信息和檢測引擎的定期在線更新服務;支持日志記錄功能;支持多種方式的告警功能(聲音、圖像、電子郵件等)等。

6.2.2.6 網絡備份系統

備份系統爲一個目的而存在:盡可能快地全盤恢複運行計算機系統所需的數據和系統信息。根據系統安全需求可選擇的備份機制有:場點內高速度、大容量自動的數據存儲、備份與恢複;場點外的數據存儲、備份與恢複;對系統設備的備份。備份不僅在網絡系統硬件故障或人爲失誤時起到保護作用,也在入侵者非授權訪問或對網絡攻擊及破壞數據完整性時起到保護作用,同時亦是系統災難恢複的前提之一。

在確定備份的指導思想和備份方案之後,就要選擇安全的存儲媒介和技術進行數據備份,有「冷備份」和「熱備份」兩種。熱備份是指「在線」的備份,即下載備份的數據還在整個計算機系統和網絡中,只不過傳到令一個非工作的分區或是另一個非實時處理的業務系統中存放。「冷備份」是指「不在線」的備份,下載的備份存放到安全的存儲媒介中,而這種存儲媒介與正在運行的整個計算機系統和網絡沒有直接聯系,在系統恢複時重新安裝,有一部分原始的數據長期保存並作爲查詢使用。熱備份的優點是投資大,但調用快,使用方便,在系統恢複中需要反複調試時更顯優勢。熱備份的具體做法是:可以在主機系統開辟一塊非工作運行空間,專門存放備份數據,即分區備份;另一種方法是,將數據備份到另一個子系統中,通過主機系統與子系統之間的傳輸,同樣具有速度快和調用方便的特點,但投資比較昂貴。冷備份彌補了熱備份的一些不足,二者優勢互補,相輔相成,因爲冷備份在回避風險中還具有便于保管的非凡優點。

6.3系統安全

系統的安全主要是指*作系統、應用系統的安全性以及網絡硬件平台的可靠性。對于*作系統的安全防範可以采取如下策略:

對*作系統進行安全配置,提高系統的安全性;系統內部調用不對Internet公開;要害性信息不直接公開,盡可能采用安全性高的*作系統。

應用系統在開發時,采用規範化的開發過程,盡可能的減少應用系統的漏洞;

網絡上的服務器和網絡設備盡可能不采取同一家的産品;

通過專業的安全工具(安全檢測系統)定期對網絡進行安全評估。

6.4信息安全

在這個企業的局域網內,信息主要在內部傳遞,因此信息被竊聽、篡改的可能性很小,是比較安全的。

6.5應用安全

在應用安全上,主要考慮通信的授權,傳輸的加密和審計記錄。這必須加強登錄過程的認證(非凡使在到達服務器主機之前的認證),確保用戶的合法性;其次應該嚴格限制登錄者的*作權限,將其完成的*作限制在最小的範圍內。另外,在加強主機的治理上,除了上面談的訪問控制和系統漏洞檢測外,還可以采用訪問存取控制,對權限進行分割和治理。應用安全平台要加強資源目錄治理和授權治理、傳輸加密、審計記錄和安全治理。對應用安全,主要考慮確定不同服務的應用軟件並緊密注視其Bug ;對掃描軟件不斷升級。

6.6安全治理

爲了保護網絡的安全性,除了在網絡設計上增加安全服務功能,完善系統的安全保密措施外,安全治理規範也是網絡安全所必須的。安全治理策略一方面從純粹的治理上即安全治理規範來實現,另一方面從技術上建立高效的治理平台(包括網絡治理和安全治理)。安全治理策略主要有:定義完善的安全治理模型;建立長遠的並且可實施的安全策略;徹底貫徹規範的安全防範措施;建立恰當的安全評估尺度,並且進行經常性的規則審核。當然,還需要建立高效的治理平台。

6.6.1安全治理規範

面對網絡安全的脆弱性,除了在網絡設計上增加安全服務功能,完善系統的安全保密措施外,還必須花大力氣加強網絡安全治理規範的建立,因爲諸多的不安全因素恰恰反映在組織治理和人員錄用等方面,而這又是計算機網絡安全所必須考慮的基本問題,所以應引起各計算機網絡應用部門領導的重視。

1.安全治理原則

網絡信息系統的安全治理主要基于三個原則。

多人負責原則:每一項與安全有關的活動,都必須有兩人或多人在場。這些人應是系統主管領導指派的,他們忠誠可靠,能勝任此項工作;他們應該簽署工作情況記錄以證實安全工作已得到保障。具體的活動有:

訪問控制使用證件的發放與回收;

信息處理系統使用的媒介發放與回收;

處理保密信息;

硬件和軟件的維護;

系統軟件的設計、實現和修改;

重要程序和數據的刪除和銷毀等;

任期有限原則:一般地講,任何人最好不要長期擔任與安全有關的職務,以免使他認爲這個職務是專有的或永久性的。爲遵循任期有限原則,工作人員應不定期地循環任職,強制實行休假制度,並規定對工作人員進行*流培訓,以使任期有限制度切實可行。

職責分離原則:在信息處理系統工作的人員不要打聽、了解或參與職責以外的任何與安全有關的事情,除非系統主管領導批准。出于對安全的考慮,下面每組內的兩項信息處理工作應當分開。

計算機*作與計算機編程;

機密資料的接收和傳送;

安全治理和系統治理;

應用程序和系統程序的編制;

訪問證件的治理與其它工作;

計算機*作與信息處理系統使用媒介的保管等。

2.安全治理的實現

信息系統的安全治理部門應根據治理原則和該系統處理數據的保密性,制定相應的治理制度或采用相應的規範。具體工作是:

根據工作的重要程度,確定該系統的安全等級

根據確定的安全等級,確定安全治理的範圍

制訂相應的機房出入治理制度對于安全等級要求較高的系統,要實行分區控制,限制工作人員出入與己無關的區域。出入治理可采用證件識別或安裝自動識別登記系統,采用磁卡、身份卡等手段,對人員進行識別、登記治理。

制訂嚴格的*作規程

*作規程要根據職責分離和多人負責的原則,各負其責,不能超越自己的管轄範圍。

制訂完備的系統維護制度

對系統進行維護時,應采取數據保護措施,如數據備份等。維護時要首先經主管部門批准,並有安全治理人員在場,故障的原因、維護內容和維護前後的情況要具體記錄。

制訂應急措施

要制定系統在緊急情況下,如何盡快恢複的應急措施,使損失減至最小。建立人員雇用和解聘制度,對工作調動和離職人員要及時調整響應的授權。

6.6.2網絡治理

治理員可以在治理機器上對整個內部網絡上的網絡設備、安全設備、網絡上的防病毒軟件、入侵檢測探測器進行綜合治理,同時利用安全分析軟件可以從不同角度對所有的設備、服務器、工作站進行安全掃描,分析他們的安全漏洞,並采取相應的措施。

6.6.3安全治理

安全治理的主要功能指對安全設備的治理;監視網絡危險情況,對危險進行隔離,並把危險控制在最小範圍內;身份認證,權限設置;對資源的存取權限的治理;對資源或用戶動態的或靜態的審計;對違規事件,自動生成報警或生成事件消息;口令治理(如*作員的口令鑒權),對無權*作人員進行控制;密鑰治理:對于與密鑰相關的服務器,應對其設置密鑰生命期、密鑰備份等治理功能;冗余備份:爲增加網絡的安全系數,對于要害的服務器應冗余備份。安全治理應該從治理制度和治理平台技術實現兩個方面來實現。安全治理産品盡可能的支持統一的中心控制平台。

第七章 安全解決配置方案

以下省略主要涉及到一些東西,這篇文章的目的教你怎樣去設計一個安全解決方案,所以具體的安全解決配置,我就不在敘述了,具體的思路已經寫出來了,剩下的配置就要根據實際情況去做了。

QQread.com 推出遊戲功略 http://www.qqread.com/netgame/game/index.Html 魔獸世界 跑跑卡丁車 街頭籃球 水浒Q傳 龍與地下城OL 征服 軒轅劍5 FIFA07 熱血江湖 大唐風雲 夢幻西遊 武林外傳

第一章 總則 本方案爲某大型局域網網絡安全解決方案,包括原有網絡系統分析、安全需求分析、安全目標的確立、安全體系結構的設計、等。本安全解決方案的目標是在不影響某大型企業局域網當前業務的前提下,實現對他們局域網全面的安全治理。 1.將安全策略、硬件及軟件等方法結合起來,構成一個統一的防禦系統,有效阻止非法用戶進入網絡,減少網絡的安全風險。 2.定期進行漏洞掃描,審計跟蹤,及時發現問題,解決問題。 3.通過入侵檢測等方式實現實時安全監控,提供快速響應故障的手段,同時具備很好的安全取證措施。 4.使網絡治理者能夠很快重新組織被破壞了的文件或應用。使系統重新恢複到破壞前的狀態,最大限度地減少損失。 5.在工作站、服務器上安裝相應的防病毒軟件,由中心控制台統一控制和治理,實現全網統一防病毒。 第二章 網絡系統概況 2.1 網絡概況 這個企業的局域網是一個信息點較爲密集的千兆局域網絡系統,它所聯接的現有上千個信息點爲在整個企業內辦公的各部門提供了一個快速、方便的信息交流平台。不僅如此,通過專線與Internet的連接,打通了一扇通向外部世界的窗戶,各個部門可以直接與互聯網用戶進行交流、查詢資料等。通過公開服務器,企業可以直接對外發布信息或者發送電子郵件。高速交換技術的采用、靈活的網絡互連方案設計爲用戶提供快速、方便、靈活通信平台的同時,也爲網絡的安全帶來了更大的風險。因此,在原有網絡上實施一套完整、可*作的安全解決方案不僅是可行的,而且是必需的。 2.1.1 網絡概述 這個企業的局域網,物理跨度不大,通過千兆交換機在主幹網絡上提供1000M的獨享帶寬,通過下級交換機與各部門的工作站和服務器連結,並爲之提供100M的獨享帶寬。利用與中心交換機連結的Cisco 路由器,所有用戶可直接訪問Internet。 2.1.2 網絡結構 這個企業的局域網按訪問區域可以劃分爲三個主要的區域:Internet區域、內部網絡、公開服務器區域。內部網絡又可按照所屬的部門、職能、安全重要程度分爲許多子網,包括:財務子網、領導子網、辦公子網、市場部子網、中心服務器子網等。在安全方案設計中,我們基于安全的重要程度和要保護的對象,可以在Catalyst 型交換機上直接劃分四個虛擬局域網(VLAN),即:中心服務器子網、財務子網、領導子網、其他子網。不同的局域網分屬不同的廣播域,由于財務子網、領導子網、中心服務器子網屬于重要網段,因此在中心交換機上將這些網段各自劃分爲一個獨立的廣播域,而將其他的工作站劃分在一個相同的網段。(圖省略) 2.2 網絡應用 這個企業的局域網可以爲用戶提供如?饕τ茫? 1.文件共享、辦公自動化、WWW服務、電子郵件服務; 2.文件數據的統一存儲; 3.針對特定的應用在數據庫服務器上進行二次開發(比如財務系統); 4.提供與Internet的訪問; 5.通過公開服務器對外發布企業信息、發送電子郵件等; 2.3 網絡結構的特點 在分析這個企業局域網的安全風險時,應考慮到網絡的如下幾個特點: 1.網絡與Internet直接連結,因此在進行安全方案設計時要考慮與Internet連結的有關風險,包括可能通過Internet傳播進來病毒,黑客攻擊,來自Internet的非授權訪問等。 。 2.網絡中存在公開服務器,由于公開服務器對外必須開放部分業務,因此在進行安全方案設計時應該考慮采用安全服務器網絡,避免公開服務器的安全風險擴散到內部。 3.內部網絡中存在許多不同的子網,不同的子網有不同的安全性,因此在進行安全方案設計時,應考慮將不同功能和安全級別的網絡分割開,這可以通過交換機劃分VLAN來實現。 4.網絡中有二台應用服務器,在應用程序開發時就應考慮加強用戶登錄驗證,防止非授權的訪問。 總而言之,在進行網絡方案設計時,應綜合考慮到這個企業局域網的特點,根據産品的性能、價格、潛在的安全風險進行綜合考慮。 第三章 網絡系統安全風險分析 隨著Internet網絡急劇擴大和上網用戶迅速增加,風險變得更加嚴重和複雜。原來由單個計算機安全事故引起的損害可能傳播到其他系統,引起大範圍的癱瘓和損失;另外加上缺乏安全控制機制和對Internet安全政策的熟悉不足,這些風險正日益嚴重。 針對這個企業局域網中存在的安全隱患,在進行安全方案設計時,下述安全風險我們必須要認真考慮,並且要針對面臨的風險,采取相應的安全措施。下述風險由多種因素引起,與這個企業局域網結構和系統的應用、局域網內網絡服務器的可靠性等因素密切相關。下面列出部分這類風險因素: 網絡安全可以從以下三個方面來理解:1 網絡物理是否安全;2 網絡平台是否安全;3 系統是否安全;4 應用是否安全;5 治理是否安全。針對每一類安全風險,結合這個企業局域網的實際情況,我們將具體的分析網絡的安全風險。 3.1物理安全風險分析 網絡的物理安全的風險是多種多樣的。 網絡的物理安全主要是指地震、水災、火災等環境事故;電源故障;人爲*作失誤或錯誤;設備被盜、被毀;電磁幹擾;線路截獲。以及高可用性的硬件、雙機多冗余的設計、機房環境及報警系統、安全意識等。它是整個網絡系統安全的前提,在這個企業區局域網內,由于網絡的物理跨度不大,,只要制定健全的安全治理制度,做好備份,並且加強網絡設備和機房的治理,這些風險是可以避免的。 3.2網絡平台的安全風險分析 網絡結構的安全涉及到網絡拓撲結構、網絡路由狀況及網絡的環境等。 公開服務器面臨的威脅 這個企業局域網內公開服務器區(WWW、EMAIL等服務器)作爲公司的信息發布平台,一旦不能運行後者受到攻擊,對企業的聲譽影響巨大。同時公開服務器本身要爲外界服務,必須開放相應的服務;天天,黑客都在試圖闖入Internet節點,這些節點假如不保持警惕,可能連黑客怎麽闖入的都不知道,甚至會成爲黑客入侵其他站點的跳板。因此,規模比較大網絡的治理人員對Internet安全事故做出有效反應變得十分重要。我們有必要將公開服務器、內部網絡與外部網絡進行隔離,避免網絡結構信息外泄;同時還要對外網的服務請求加以過濾,只答應正常通信的數據包到達相應主機,其他的請求服務在到達主機之前就應該遭到拒絕。 整個網絡結構和路由狀況 安全的應用往往是建立在網絡系統之上的。網絡系統的成熟與否直接影響安全系統成功的建設。在這個企業局域網絡系統中,只使用了一台路由器,用作與Internet連結的邊界路由器,網絡結構相對簡單,具體配置時可以考慮使用靜態路由,這就大大減少了因網絡結構和網絡路由造成的安全風險。 3.3系統的安全風險分析 所謂系統的安全顯而易見是指整個局域網網絡*作系統、網絡硬件平台是否可靠且值得信任。 網絡*作系統、網絡硬件平台的可靠性:對于中國來說,恐怕沒有絕對安全的*作系統可以選擇,無論是Microsoft的Windows NT或者其他任何商用UNIX*作系統,其開發廠商必然有其Back-Door。我們可以這樣講:沒有完全安全的*作系統。但是,我們可以對現有的*作平台進行安全配置、對*作和訪問權限進行嚴格控制,提高系統的安全性。因此,不但要選用盡可能可靠的*作系統和硬件平台。而且,必須加強登錄過程的認證(非凡是在到達服務器主機之前的認證),確保用戶的合法性;其次應該嚴格限制登錄者的*作權限,將其完成的*作限制在最小的範圍內。 3.4應用的安全風險分析 應用系統的安全跟具體的應用有關,它涉及很多方面。應用系統的安全是動態的、不斷變化的。應用的安全性也涉及到信息的安全性,它包括很多方面。 應用系統的安全動態的、不斷變化的:應用的安全涉及面很廣,以目前Internet上應用最爲廣泛的E-mail系統來說,其解決方案有幾十種,但其系統內部的編碼甚至編譯器導致的BUG是很少有人能夠發現的,因此一套詳盡的測試軟件是相當必須的。但是應用系統是不斷發展且應用類型是不斷增加的,其結果是安全漏洞也是不斷增加且隱藏越來越深。因此,保證應用系統的安全也是一個隨網絡發展不斷完善的過程。 應用的安全性涉及到信息、數據的安全性:信息的安全性涉及到:機密信息泄露、未經授權的訪問、破壞信息完整性、假冒、破壞系統的可用性等。由于這個企業局域網跨度不大,絕大部分重要信息都在內部傳遞,因此信息的機密性和完整性是可以保證的。對于有些非凡重要的信息需要對內部進行保密的(比如領導子網、財務系統傳遞的重要信息)可以考慮在應用級進行加密,針對具體的應用直接在應用系統開發時進行加密。 3.5治理的安全風險分析 治理是網絡安全中最重要的部分 治理是網絡中安全最最重要的部分。責權不明,治理混亂、安全治理制度不健全及缺乏可*作性等都可能引起治理安全的風險。責權不明,治理混亂,使得一些員工或治理員隨便讓一些非本地員工甚至外來人員進入機房重地,或者員工有意無意泄漏他們所知道的一些重要信息,而治理上卻沒有相應制度來約束。 當網絡出現攻擊行爲或網絡受到其它一些安全威脅時(如內部人員的違規*作等),無法進行實時的檢測、監控、報告與預警。同時,當事故發生後,也無法提供黑客攻擊行爲的追蹤線索及破案依據,即缺乏對網絡的可控性與可審查性。這就要求我們必須對站點的訪問活動進行多層次的記錄,及時發現非法入侵行爲。 建立全新網絡安全機制,必須深刻理解網絡並能提供直接的解決方案,因此,最可行的做法是治理制度和治理解決方案的結合。 3.6黑客攻擊 黑客們的攻擊行動是無時無刻不在進行的,而且會利用系統和治理上的一切可能利用的漏洞。公開服務器存在漏洞的一個典型例證,是黑客可以輕易地騙過公開服務器軟件,得到Unix的口令文件並將之送回。黑客侵入UNIX服務器後,有可能修改特權,從普通用戶變爲高級用戶,一旦成功,黑客可以直接進入口令文件。黑客還能開發欺騙程序,將其裝入UNIX服務器中,用以監聽登錄會話。當它發現有用戶登錄時,便開始存儲一個文件,這樣黑客就擁有了他人的帳戶和口令。這時爲了防止黑客,需要設置公開服務器,使得它不離開自己的空間而進入另外的目錄。另外,還應設置組特權,不答應任何使用公開服務器的人訪問WWW頁面文件以外的東西。在這個企業的局域網內我們可以綜合采用防火牆技術、Web頁面保護技術、入侵檢測技術、安全評估技術來保護網絡內的信息資源,防止黑客攻擊。 3.7通用網關接口(CGI)漏洞 有一類風險涉及通用網關接口(CGI)腳本。許多頁面文件和指向其他頁面或站點的超連接。然而有些站點用到這些超連接所指站點尋找特定信息。搜索引擎是通過CGI腳本執行的方式實現的。黑客可以修改這些CGI腳本以執行他們的非法任務。通常,這些CGI腳本只能在這些所指WWW服務器中尋找,但假如進行一些修改,他們就可以在WWW服務器之外進行尋找。要防止這類問題發生,應將這些CGI腳本設置爲較低級用戶特權。提高系統的抗破壞能力,提高服務器備份與恢複能力,提高站點內容的防篡改與自動修複能力。 3.8惡意代碼 惡意代碼不限于病毒,還包括蠕蟲、特洛伊木馬、邏輯炸彈、和其他未經同意的軟件。應該加強對惡意代碼的檢測。 3.9病毒的攻擊 計算機病毒一直是計算機安全的主要威脅。能在Internet上傳播的新型病毒,例如通過E-Mail傳播的病毒,增加了這種威脅的程度。病毒的種類和傳染方式也在增加,國際空間的病毒總數已達上萬甚至更多。當然,查看文檔、浏覽圖像或在Web上填表都不用擔心病毒感染,然而,下載可執行文件和接收來曆不明的E-Mail文件需要非凡警惕,否則很輕易使系統導致嚴重的破壞。典型的「CIH」病毒就是一可怕的例子。 3.10不滿的內部員工 不滿的內部員工可能在WWW站點上開些小玩笑,甚至破壞。不論如何,他們最熟悉服務器、小程序、腳本和系統的弱點。對于已經離職的不滿員工,可以通過定期改變口令和刪除系統記錄以減少這類風險。但還有心懷不滿的在職員工,這些員工比已經離開的員工能造成更大的損失,例如他們可以傳出至關重要的信息、泄露安全重要信息、錯誤地進入數據庫、刪除數據等等。 3.11網絡的攻擊手段 一般認爲,目前對網絡的攻擊手段主要表現在: 非授權訪問:沒有預先經過同意,就使用網絡或計算機資源被看作非授權訪問,如有意避開系統訪問控制機制,對網絡設備及資源進行非正常使用,或擅自擴大權限,越權訪問信息。它主要有以下幾種形式:假冒、身份攻擊、非法用戶進入網絡系統進行違法*作、合法用戶以未授權方式進行*作等。 信息泄漏或丟失:指敏感數據在有意或無意中被泄漏出去或丟失,它通常包括,信息在傳輸中丟失或泄漏(如"黑客"們利用電磁泄漏或搭線竊聽等方式可截獲機密信息,或通過對信息流向、流量、通信頻度和長度等參數的分析,推出有用信息,如用戶口令、帳號等重要信息。),信息在存儲介質中丟失或泄漏,通過建立隱蔽隧道等竊取敏感信息等。 破壞數據完整性:以非法手段竊得對數據的使用權,刪除、修改、插入或重發某些重要信息,以取得有益于攻擊者的響應;惡意添加,修改數據,以幹擾用戶的正常使用。 拒絕服務攻擊:它不斷對網絡服務系統進行幹擾,改變其正常的作業流程,執行無關程序使系統響應減慢甚至癱瘓,影響正常用戶的使用,甚至使合法用戶被排斥而不能進入計算機網絡系統或不能得到相應的服務。 利用網絡傳播病毒:通過網絡傳播計算機病毒,其破壞性大大高于單機系統,而且用戶很難防範。 第四章 安全需求與安全目標 4.1安全需求分析 通過前面我們對這個企業局域網絡結構、應用及安全威脅分析,可以看出其安全問題主要集中在對服務器的安全保護、防黑客和病毒、重要網段的保護以及治理安全上。因此,我們必須采取相應的安全措施杜絕安全隱患,其中應該做到: 公開服務器的安全保護 防止黑客從外部攻擊 入侵檢測與監控 信息審計與記錄 病毒防護 數據安全保護 數據備份與恢複 網絡的安全治理 針對這個企業局域網絡系統的實際情況,在系統考慮如何解決上述安全問題的設計時應滿足如下要求: 1.大幅度地提高系統的安全性(重點是可用性和可控性); 2.保持網絡原有的能特點,即對網絡的協議和傳輸具有很好的透明性,能透明接入,無需更改網絡設置; 3.易于*作、維護,並便于自動化治理,而不增加或少增加附加*作; 4.盡量不影響原網絡拓撲結構,同時便于系統及系統功能的擴展; 5.安全保密系統具有較好的性能價格比,一次性投資,可以長期使用; 6.安全産品具有合法性,及經過國家有關治理部門的認可或認證; 7.分布實施。 4.2網絡安全策略 安全策略是指在一個特定的環境裏,爲保證提供一定級別的安全保護所必須遵守的規則。該安全策略模型包括了建立安全環境的三個重要組成部分,即: 威嚴的法律:安全的基石是社會法律、法規、與手段,這部分用于建立一套安全治理標准和方法。即通過建立與信息安全相關的法律、法規,使非法分子懾于法律,不敢輕舉妄動。 先進的技術:先進的安全技術是信息安全的根本保障,用戶對自身面臨的威脅進行風險評估,決定其需要的安全服務種類,選擇相應的安全機制,然後集成先進的安全技術。 嚴格的治理:各網絡使用機構、企業和單位應建立適宜的信息安全治理辦法,加強內部治理,建立審計和跟蹤體系,提高整體信息安全意識。 4.3系統安全目標 基于以上的分析,我們認爲這個局域網網絡系統安全應該實現以下目標: 建立一套完整可行的網絡安全與網絡治理策略 將內部網絡、公開服務器網絡和外網進行有效隔離,避免與外部網絡的直接通信 建立網站各主機和服務器的安全保護措施,保證他們的系統安全 對網上服務請求內容進行控制,使非法訪問在到達主機前被拒絕 加強合法用戶的訪問認證,同時將用戶的訪問權限控制在最低限度 全面監視對公開服務器的訪問,及時發現和拒絕不安全的*作和黑客攻擊行爲 加強對各種訪問的審計工作,具體記錄對網絡、公開服務器的訪問行爲,形成完 整的系統日志 備份與災難恢複——強化系統備份,實現系統快速恢複 加強網絡安全治理,提高系統全體人員的網絡安全意識和防範技術 第五章 網絡安全方案總體設計 5.1安全方案設計原則 在對這個企業局域網網絡系統安全方案設計、規劃時,應遵循以下原則: 綜合性、整體性原則:應用系統工程的觀點、方法,分析網絡的安全及具體措施。安全措施主要包括:行政法律手段、各種治理制度(人員審查、工作流程、維護保障制度等)以及專業措施(識別技術、存取控制、密碼、低輻射、容錯、防病毒、采用高安全産品等)。一個較好的安全措施往往是多種方法適當綜合的應用結果。一個計算機網絡,包括個人、設備、軟件、數據等。這些環節在網絡中的地位和影響作用,也只有從系統綜合整體的角度去看待、分析,才能取得有效、可行的措施。即計算機網絡安全應遵循整體安全性原則,根據規定的安全策略制定出合理的網絡安全體系結構。 需求、風險、代價平衡的原則:對任一網絡,絕對安全難以達到,也不一定是必要的。對一個網絡進行實際額研究(包括任務、性能、結構、可靠性、可維護性等),並對網絡面臨的威脅及可能承擔的風險進行定性與定量相結合的分析,然後制定規範和措施,確定本系統的安全策略。 一致性原則:一致性原則主要是指網絡安全問題應與整個網絡的工作周期(或生命周期)同時存在,制定的安全體系結構必須與網絡的安全需求相一致。安全的網絡系統設計(包括初步或具體設計)及實施計劃、網絡驗證、驗收、運行等,都要有安全的內容光煥發及措施,實際上,在網絡建設的開始就考慮網絡安全對策,比在網絡建設好後再考慮安全措施,不但輕易,且花費也小得多。 易*作性原則:安全措施需要人爲去完成,假如措施過于複雜,對人的要求過高,本身就降低了安全性。其次,措施的采用不能影響系統的正常運行。 分步實施原則:由于網絡系統及其應用擴展範圍廣闊,隨著網絡規模的擴大及應用的增加,網絡脆弱性也會不斷增加。一勞永逸地解決網絡安全問題是不現實的。同時由于實施信息安全措施需相當的費用支出。因此分步實施,即可滿足網絡系統及信息安全的基本需求,亦可節省費用開支。 多重保護原則:任何安全措施都不是絕對安全的,都可能被攻破。但是建立一個多重保護系統,各層保護相互補充,當一層保護被攻破時,其它層保護仍可保護信息的安全。 可評價性原則:如何預先評價一個安全設計並驗證其網絡的安全性,這需要通過國家有關網絡信息安全測評認證機構的評估來實 5.2安全服務、機制與技術 安全服務:安全服務主要有:控制服務、對象認證服務、可靠性服務等; 安全機制:訪問控制機制、認證機制等; 安全技術:防火牆技術、鑒別技術、審計監控技術、病毒防治技術等;在安全的開放環境中,用戶可以使用各種安全應用。安全應用由一些安全服務來實現;而安全服務又是由各種安全機制或安全技術來實現的。應當指出,同一安全機制有時也可以用于實現不同的安全服務。 第六章 網絡安全體系結構 通過對網絡的全面了解,按照安全策略的要求、風險分析的結果及整個網絡的安全目標,整個網絡措施應按系統體系建立。具體的安全控制系統由以下幾個方面組成:物理安全、網絡安全、系統安全、信息安全、應用安全和安全治理 6.1物理安全 保證計算機信息系統各種設備的物理安全是整個計算機信息系統安全的前提,物理安全是保護計算機網絡設備、設施以及其它媒體免遭地震、水災、火災等環境事故以及人爲*作失誤或錯誤及各種計算機犯罪行爲導致的破壞過程。 它主要包括三個方面: 環境安全:對系統所在環境的安全保護,如區域保護和災難保護;(參見國家標准GB50173-93《電子計算機機房設計規範》、國標GB2887-89《計算站場地技術條件》、GB9361-88《計算站場地安全要求》 設備安全:主要包括設備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁幹擾及電源保護等; 媒體安全:包括媒體數據的安全及媒體本身的安全。 在網絡的安全方面,主要考慮兩個大的層次,一是整個網絡結構成熟化,主要是優化網絡結構,二是整個網絡系統的安全。 6.2.1網絡結構 安全系統是建立在網絡系統之上的,網絡結構的安全是安全系統成功建立的基礎。在整個網絡結構的安全方面,主要考慮網絡結構、系統和路由的優化。 網絡結構的建立要考慮環境、設備配置與應用情況、遠程聯網方式、通信量的估算、網絡維護治理、網絡應用與業務定位等因素。成熟的網絡結構應具有開放性、標准化、可靠性、先進性和實用性,並且應該有結構化的設計,充分利用現有資源,具有運營治理的簡便性,完善的安全保障體系。網絡結構采用分層的體系結構,利于維護治理,利于更高的安全控制和業務發展。 網絡結構的優化,在網絡拓撲上主要考慮到冗余鏈路;防火牆的設置和入侵檢測的實時監控等。 6.2.2網絡系統安全 6.2.2.1 訪問控制及內外網的隔離 訪問控制 訪問控制可以通過如下幾個方面來實現: 1.制訂嚴格的治理制度:可制定的相應:《用戶授權實施細則》、《口令字及帳戶治理規範》、《權限治理制度》。 2.配備相應的安全設備:在內部網與外部網之間,設置防火牆實現內外網的隔離與訪問控制是保護內部網安全的最主要、同時也是最有效、最經濟的措施之一。防火牆設置在不同網絡或網絡安全域之間信息的唯一出入口。 防火牆主要的種類是包過濾型,包過濾防火牆一般利用IP和TCP包的頭信息對進出被保護網絡的IP包信息進行過濾,能根據企業的安全政策來控制(答應、拒絕、監測)出入網絡的信息流。同時可實現網絡地址轉換(NAT)、審記與實時告警等功能。由于這種防火牆安裝在被保護網絡與路由器之間的通道上,因此也對被保護網絡和外部網絡起到隔離作用。 防火牆具有以下五大基本功能:過濾進、出網絡的數據;治理進、出網絡的訪問行爲;封堵某些禁止的業務;記錄通過防火牆的信息內容和活動;對網絡攻擊的檢測和告警。 6.2.2.2 內部網不同網絡安全域的隔離及訪問控制 在這裏,主要利用VLAN技術來實現對內部子網的物理隔離。通過在交換機上劃分VLAN可以將整個網絡劃分爲幾個不同的廣播域,實現內部一個網段與另一個網段的物理隔離。這樣,就能防止影響一個網段的問題穿過整個網絡傳播。針對某些網絡,在某些情況下,它的一些局域網的某個網段比另一個網段更受信任,或者某個網段比另一個更敏感。通過將信任網段與不信任網段劃分在不同的VLAN段內,就可以限制局部網絡安全問題對全局網絡造成的影響。 6.2.2.3 網絡安全檢測 網絡系統的安全性取決于網絡系統中最薄弱的環節。如何及時發現網絡系統中最薄弱的環節?如何最大限度地保證網絡系統的安全?最有效的方法是定期對網絡系統進行安全性分析,及時發現並修正存在的弱點和漏洞。 網絡安全檢測工具通常是一個網絡安全性評估分析軟件,其功能是用實踐性的方法掃描分析網絡系統,檢查報告系統存在的弱點和漏洞,建議補救措施和安全策略,達到增強網絡安全性的目的。檢測工具應具備以下功能: 具備網絡監控、分析和自動響應功能 找出經常發生問題的根源所在; 建立必要的循環過程確保隱患時刻被糾正;控制各種網絡安全危險。 漏洞分析和響應 配置分析和響應 漏洞形勢分析和響應 認證和趨勢分析 具體體現在以下方面: 防火牆得到合理配置 內外WEB站點的安全漏洞減爲最低 網絡體系達到強壯的耐攻擊性 各種服務器*作系統,如E_MIAL服務器、WEB服務器、應用服務器、,將受黑客攻擊的可能降爲最低 對網絡訪問做出有效響應,保護重要應用系統(如財務系統)數據安全不受黑客攻擊和內部人員誤*作的侵害 6.2.2.4 審計與監控 審計是記錄用戶使用計算機網絡系統進行所有活動的過程,它是提高安全性的重要工具。它不僅能夠識別誰訪問了系統,還能看出系統正被怎樣地使用。對于確定是否有網絡攻擊的情況,審計信息對于去定問題和攻擊源很重要。同時,系統事件的記錄能夠更迅速和系統地識別問題,並且它是後面階段事故處理的重要依據。另外,通過對安全事件的不斷收集與積累並且加以分析,有選擇性地對其中的某些站點或用戶進行審計跟蹤,以便對發現或可能産生的破壞性行爲提供有力的證據。 因此,除使用一般的網管軟件和系統監控治理系統外,還應使用目前較爲成熟的網絡監控設備或實時入侵檢測設備,以便對進出各級局域網的常見*作進行實時檢查、監控、報警和阻斷,從而防止針對網絡的攻擊與犯罪行爲。 6.2.2.5 網絡防病毒 由于在網絡環境下,計算機病毒有不可估量的威脅性和破壞力,一次計算機病毒的防範是網絡安全性建設中重要的一環。 網絡反病毒技術包括預防病毒、檢測病毒和消毒三種技術: 1.預防病毒技術:它通過自身常駐系統內存,優先獲得系統的控制權,監視和判定系統中是否有病毒存在,進而阻止計算機病毒進入計算機系統和對系統進行破壞。這類技術有,加密可執行程序、引導區保護、系統監控與讀寫控制(如防病毒軟件等)。 2.檢測病毒技術:它是通過對計算機病毒的特征來進行判定的技術,如自身校驗、要害字、文件長度的變化等。 3.清除病毒技術:它通過對計算機病毒的分析,開發出具有刪除病毒程序並恢複原文件的軟件。 網絡反病毒技術的具體實現方法包括對網絡服務器中的文件進行頻繁地掃描和監測;在工作站上用防病毒芯片和對網絡目錄及文件設置訪問權限等。 所選的防毒軟件應該構造全網統一的防病毒體系。主要面向MAIL 、Web服務器,以及辦公網段的PC服務器和PC機等。支持對網絡、服務器、和工作站的實時病毒監控;能夠在中心控制台向多個目標分發新版殺毒軟件,並監視多個目標的病毒防治情況;支持多種平台的病毒防範;能夠識別廣泛的已知和未知病毒,包括宏病毒;支持對Internet/ Intranet服務器的病毒防治,能夠阻止惡意的Java或ActiveX小程序的破壞;支持對電子郵件附件的病毒防治,包括Word、Excel中的宏病毒;支持對壓縮文件的病毒檢測;支持廣泛的病毒處理選項,如對染毒文件進行實時殺毒,移出,重新命名等;支持病毒隔離,當客戶機試圖上載一個染毒文件時,服務器可自動關閉對該工作站的連接;提供對病毒特征信息和檢測引擎的定期在線更新服務;支持日志記錄功能;支持多種方式的告警功能(聲音、圖像、電子郵件等)等。 6.2.2.6 網絡備份系統 備份系統爲一個目的而存在:盡可能快地全盤恢複運行計算機系統所需的數據和系統信息。根據系統安全需求可選擇的備份機制有:場點內高速度、大容量自動的數據存儲、備份與恢複;場點外的數據存儲、備份與恢複;對系統設備的備份。備份不僅在網絡系統硬件故障或人爲失誤時起到保護作用,也在入侵者非授權訪問或對網絡攻擊及破壞數據完整性時起到保護作用,同時亦是系統災難恢複的前提之一。 在確定備份的指導思想和備份方案之後,就要選擇安全的存儲媒介和技術進行數據備份,有「冷備份」和「熱備份」兩種。熱備份是指「在線」的備份,即下載備份的數據還在整個計算機系統和網絡中,只不過傳到令一個非工作的分區或是另一個非實時處理的業務系統中存放。「冷備份」是指「不在線」的備份,下載的備份存放到安全的存儲媒介中,而這種存儲媒介與正在運行的整個計算機系統和網絡沒有直接聯系,在系統恢複時重新安裝,有一部分原始的數據長期保存並作爲查詢使用。熱備份的優點是投資大,但調用快,使用方便,在系統恢複中需要反複調試時更顯優勢。熱備份的具體做法是:可以在主機系統開辟一塊非工作運行空間,專門存放備份數據,即分區備份;另一種方法是,將數據備份到另一個子系統中,通過主機系統與子系統之間的傳輸,同樣具有速度快和調用方便的特點,但投資比較昂貴。冷備份彌補了熱備份的一些不足,二者優勢互補,相輔相成,因爲冷備份在回避風險中還具有便于保管的非凡優點。 6.3系統安全 系統的安全主要是指*作系統、應用系統的安全性以及網絡硬件平台的可靠性。對于*作系統的安全防範可以采取如下策略: 對*作系統進行安全配置,提高系統的安全性;系統內部調用不對Internet公開;要害性信息不直接公開,盡可能采用安全性高的*作系統。 應用系統在開發時,采用規範化的開發過程,盡可能的減少應用系統的漏洞; 網絡上的服務器和網絡設備盡可能不采取同一家的産品; 通過專業的安全工具(安全檢測系統)定期對網絡進行安全評估。 6.4信息安全 在這個企業的局域網內,信息主要在內部傳遞,因此信息被竊聽、篡改的可能性很小,是比較安全的。 6.5應用安全 在應用安全上,主要考慮通信的授權,傳輸的加密和審計記錄。這必須加強登錄過程的認證(非凡使在到達服務器主機之前的認證),確保用戶的合法性;其次應該嚴格限制登錄者的*作權限,將其完成的*作限制在最小的範圍內。另外,在加強主機的治理上,除了上面談的訪問控制和系統漏洞檢測外,還可以采用訪問存取控制,對權限進行分割和治理。應用安全平台要加強資源目錄治理和授權治理、傳輸加密、審計記錄和安全治理。對應用安全,主要考慮確定不同服務的應用軟件並緊密注視其Bug ;對掃描軟件不斷升級。 6.6安全治理 爲了保護網絡的安全性,除了在網絡設計上增加安全服務功能,完善系統的安全保密措施外,安全治理規範也是網絡安全所必須的。安全治理策略一方面從純粹的治理上即安全治理規範來實現,另一方面從技術上建立高效的治理平台(包括網絡治理和安全治理)。安全治理策略主要有:定義完善的安全治理模型;建立長遠的並且可實施的安全策略;徹底貫徹規範的安全防範措施;建立恰當的安全評估尺度,並且進行經常性的規則審核。當然,還需要建立高效的治理平台。 6.6.1安全治理規範 面對網絡安全的脆弱性,除了在網絡設計上增加安全服務功能,完善系統的安全保密措施外,還必須花大力氣加強網絡安全治理規範的建立,因爲諸多的不安全因素恰恰反映在組織治理和人員錄用等方面,而這又是計算機網絡安全所必須考慮的基本問題,所以應引起各計算機網絡應用部門領導的重視。 1.安全治理原則 網絡信息系統的安全治理主要基于三個原則。 多人負責原則:每一項與安全有關的活動,都必須有兩人或多人在場。這些人應是系統主管領導指派的,他們忠誠可靠,能勝任此項工作;他們應該簽署工作情況記錄以證實安全工作已得到保障。具體的活動有: 訪問控制使用證件的發放與回收; 信息處理系統使用的媒介發放與回收; 處理保密信息; 硬件和軟件的維護; 系統軟件的設計、實現和修改; 重要程序和數據的刪除和銷毀等; 任期有限原則:一般地講,任何人最好不要長期擔任與安全有關的職務,以免使他認爲這個職務是專有的或永久性的。爲遵循任期有限原則,工作人員應不定期地循環任職,強制實行休假制度,並規定對工作人員進行*流培訓,以使任期有限制度切實可行。 職責分離原則:在信息處理系統工作的人員不要打聽、了解或參與職責以外的任何與安全有關的事情,除非系統主管領導批准。出于對安全的考慮,下面每組內的兩項信息處理工作應當分開。 計算機*作與計算機編程; 機密資料的接收和傳送; 安全治理和系統治理; 應用程序和系統程序的編制; 訪問證件的治理與其它工作; 計算機*作與信息處理系統使用媒介的保管等。 2.安全治理的實現 信息系統的安全治理部門應根據治理原則和該系統處理數據的保密性,制定相應的治理制度或采用相應的規範。具體工作是: 根據工作的重要程度,確定該系統的安全等級 根據確定的安全等級,確定安全治理的範圍 制訂相應的機房出入治理制度對于安全等級要求較高的系統,要實行分區控制,限制工作人員出入與己無關的區域。出入治理可采用證件識別或安裝自動識別登記系統,采用磁卡、身份卡等手段,對人員進行識別、登記治理。 制訂嚴格的*作規程 *作規程要根據職責分離和多人負責的原則,各負其責,不能超越自己的管轄範圍。 制訂完備的系統維護制度 對系統進行維護時,應采取數據保護措施,如數據備份等。維護時要首先經主管部門批准,並有安全治理人員在場,故障的原因、維護內容和維護前後的情況要具體記錄。 制訂應急措施 要制定系統在緊急情況下,如何盡快恢複的應急措施,使損失減至最小。建立人員雇用和解聘制度,對工作調動和離職人員要及時調整響應的授權。 6.6.2網絡治理 治理員可以在治理機器上對整個內部網絡上的網絡設備、安全設備、網絡上的防病毒軟件、入侵檢測探測器進行綜合治理,同時利用安全分析軟件可以從不同角度對所有的設備、服務器、工作站進行安全掃描,分析他們的安全漏洞,並采取相應的措施。 6.6.3安全治理 安全治理的主要功能指對安全設備的治理;監視網絡危險情況,對危險進行隔離,並把危險控制在最小範圍內;身份認證,權限設置;對資源的存取權限的治理;對資源或用戶動態的或靜態的審計;對違規事件,自動生成報警或生成事件消息;口令治理(如*作員的口令鑒權),對無權*作人員進行控制;密鑰治理:對于與密鑰相關的服務器,應對其設置密鑰生命期、密鑰備份等治理功能;冗余備份:爲增加網絡的安全系數,對于要害的服務器應冗余備份。安全治理應該從治理制度和治理平台技術實現兩個方面來實現。安全治理産品盡可能的支持統一的中心控制平台。 第七章 安全解決配置方案 以下省略主要涉及到一些東西,這篇文章的目的教你怎樣去設計一個安全解決方案,所以具體的安全解決配置,我就不在敘述了,具體的思路已經寫出來了,剩下的配置就要根據實際情況去做了。 QQread.com 推出遊戲功略 http://www.qqread.com/netgame/game/index.Html 魔獸世界 跑跑卡丁車 街頭籃球 水浒Q傳 龍與地下城OL 征服 軒轅劍5 FIFA07 熱血江湖 大唐風雲 夢幻西遊 武林外傳
󰈣󰈤
王朝萬家燈火計劃
期待原創作者加盟
 
 
 
>>返回首頁<<
 
 
 
 
 熱帖排行
 
王朝網路微信公眾號
微信掃碼關註本站公眾號 wangchaonetcn
 
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有