XXX网络安全系统设计方案XXXXXX有限公司XXXX年XX月XX日目录第一章前言 (2)1.1 概述 (2)第二章系统安全需求分析 (4)2.1计算机网络环境描述 (4)2.2网络安全需求分析 (5)第三章网络安全解决方案设计 (9)3.2网络安全系统设计的原则 (9)3.3安全防范方案设计构思 (10)3.4总体设计架构 (12)3.5防火墙系统设计 (13)3.5.1方案原理 (13)3.5.2设计目标 (14)3.5.3部署说明 (14)3.5.4防火墙功能设置及安全策略 (16)第四章产品简介 (18)4.1防火墙简介 (18)第一章前言1.1 概述随着我国信息化建设的快速发展，各级单位和部门都正在建设或者已经建成自己的信息网络，而随之而来的网络安全问题也日益突出。

安全包括其上的信息数据安全，日益成为与公安、教育、司法、军队、企业、个人的利益息息相关的“大事情”。

结合国内的实际情况，网络安全涉及到网络系统的多个层次和多个方面，而且它也是个动态变化的过程，因此，国内的网络安全实际上是一项系统工程。

它既涉及对外部攻击的有效防范，又包括制定完善的内部安全保障制度；既涉及防病毒攻击，又涵盖实时检测、数据加密和安全评估等内容。

因此，网络安全解决方案不应仅仅提供对于某种安全隐患的防范能力，而是应涵盖对于各种可能造成网络安全问题隐患的整体防范能力；同时，它还应该是一种动态的解决方案，能够随着网络安全需求的增加而不断改进和完善。

同时，网络安全服务在行业领域已逐渐成为一种产品。

在信息化建设过程中，国内用户面临的最大问题就是网络安全服务的缺乏。

信息安全服务已不再仅仅局限于产品售后服务，而是贯穿从前期咨询、安全风险评估、安全项目实施到安全培训、售后技术支持、系统维护、产品更新这种项目周期的全过程。

服务水平的高低，在一定程度上反映了厂商的实力，厂商的安全管理水平也成为阻碍用户对安全问题认识的一个主要方面。

这就对安全厂商提出了比较高的要求，如何为用户服务、并使用户满意，已经成为每个网络安全产品厂商和解决方案提供者需要认真思考的问题。

在XXX网络络安全方案初步设想的基础上，根据XXX网络安全的特点和需求，本着切合实际、保护投资、着眼未来、分步建设的原则，提出了针对XXX网络安全需求的解决方案。

第二章系统安全需求分析2.1计算机网络环境描述随着XXX系统信息化需求的不断增长，网络应用的不断扩展、现有的信息基础设施和信息系统安全措施逐渐暴露出了诸多问题，如原有的信息系统业务信息化程度较低，安全方面考虑较少，所以在网络和信息安全及其管理方面的基础非常薄弱：整体上没有成熟的安全体系结构的设计，管理上缺乏安全标准和制度，应用中缺乏实践经验；信息系统缺乏有效的评估与审计，外网的接入无完善的保护措施等等。

其网络拓扑如下图所示：网络拓扑图说明：➢X XX网络以一台路由器连接到互连网。

➢X XX网络内部设立五台服务器。

➢X XX网络内部设立有多了LAN，通过路由器连接互连网。

2.2网络安全需求分析主要的网络安全风险主要体现在如下几个方面：内部局域网风险、应用服务安全风险、互联网风险，我们将对XXX网络各个层面存在的安全风险进行需求分析：内部局域网风险分析主要是保证XXX网络结构的安全、在网络层加强访问控制能力、加强对攻击的实时检测能力和先于入侵者发现网络中存在漏洞的能力；加强全网的安全防范能力。

具体可以概括为：在XXX网络中，保证非授权用户不能访问任何一台服务器、路由器、交换机或防火墙等网络设备。

内部网络与外部网络（相对于本地局域网以外的网络），考虑采用硬件防火墙设备进行逻辑隔离，控制来自内外网络的用户对重要业务系统的访问。

在XXX网络上，一般来说，只允许内部用户访问Internet上的HTTP、FTP、TELNET、邮件等服务，而不允许访问更多的服务；更进一步的是要能够控制内部用户访问外部的非授权色情暴力等非法网站、网页，以防员工利用网络之便上黄色网站、聊天、打网络游戏等，导致办公效率降低。

应用层的安全风险分析系统中各个节点有各种应用服务，这些应用服务提供给XXX网络内部各级单位使用，如果不能防止未经验证的操作人员利用应用系统的脆弱性来攻击应用系统，会造成系统数据丢失、数据更改、非法获得数据等。

防火墙的访问控制功能能够很好的对使用应用服务的用户进行严格的控制，配合以入侵检测系统就能安全的保护信息网的各种应用系统。

WWW服务器安全风险服务器崩溃，各种WEB应用服务停止；WEB服务脚本的安全漏洞，远程溢出(.Printer漏洞)；通过WEB服务服务获取系统的超级用户特权；WEB页面被恶意删改；通过WEB服务上传木马等非法后门程序，以达到对整个服务器的控制；WEB服务器的数据源，被非法入侵，用户的一些私有信息被窃；利用WEB服务器作为跳板，进而攻击内部的重要数据库服务器；拒绝服务器攻击或分布式拒绝服务攻击；针对IIS攻击的工具，如IIS Crash；各种网络病毒的侵袭，如Nimda,Redcode II等；恶意的JavaApplet,Active X攻击等；WEB 服务的某些目录可写；CGI-BIN目录未授权可写，采用默认设置，一些系统程序没有删除。

软件的漏洞或者“后门”随着软件类型的多样化，软件上的漏洞也是日益增加，一些系统软件、桌面软件等等都被发现过存在安全隐患。

可以说任何一个软件系统都可能会因为程序员的一个疏忽、设计中的一个缺陷等原因而存在漏洞，这也是XXX网络网信息安全的主要威胁之一。

资源共享XXX网络系统内部自动化办公系统。

因为缺少必要的访问控制策略。

而办公网络应用通常是共享网络资源，比如文件共享、打印机共享等。

由此就可能存在着：同事有意、无意把硬盘中重要信息目录共享，长期暴露在网络邻居上，可能被外部人员轻易偷取或被内部其他用户窃取并传播出去造成泄密.电子邮件为网络系统用户提供电子邮件应用。

内部网用户能够通过拔号或其它方式进行电子邮件发送和接收这就存在被黑客跟踪或收到一些特洛伊木马、病毒程序等，由于许多用户安全意识比较淡薄，对一些来历不明的邮件，没有警惕性，给入侵者提供机会，给系统带来不安全因素。

服务漏洞Web服务器本身不能保证没有漏洞，不法分子可能利用服务的漏洞修改页面，甚至破坏服务器。

系统中的BUG，使得黑客可以远程对公开服务器发出指令，从而导致对系统进行修改和损坏，包括无限制地向服务器发出大量指令，以至于服务器“拒绝服务”，最终引起整个系统的崩溃。

这就要求我们必须提高服务器的抗破坏能力，防止拒绝服务（D.O.S）或分布式拒绝服务（DDOS）之类的恶意攻击，提高服务器备份与恢复、防篡改与自动修复能力。

数据信息的安全风险分析数据安全对XXX网络来说是至关重要的，在网上传输的数据可能存在保密性质，而出于网络本身的自由、广泛等特性，数据在广域网线路上传输，很难保证在传输过程中不被非法窃取和篡改。

黑客或一些不法份子会通过一些手段，设法在线路上获得传输的数据信息，造成信息的泄密。

对于XXX网络信息通信网来说，数据丢失、破坏、被修改或泄漏等情况都是不允许发生的。

互连网的安全风险分析因特网的共享性和开放性使网上信息安全存在先天不足，因为其赖以生存的TCP/IP协议族，缺乏相应的安全机制，而且因特网最初的设计考虑是该网不会因局部故障而影响信息的传输，基本没有考虑安全问题，因此他在安全可靠、服务质量、带宽和方便性等方面存在着不适应性。

同时网上有各种各样的人，他们的意图也是形形色色的。

所以说当连入Internet时，网络便面临着严重的安全威胁。

每天黑客都在试图闯入Internet节点，如果不保持警惕，很容易被入侵，甚至连黑客怎么闯入都不知道，而且该系统还可能成为黑客入侵其他网络系统的跳板。

影响所及，还可能涉及许多其它安全敏感领域，如网络传输中的数据被黑客篡改和删除，其后果将不堪设想。

第三章网络安全解决方案设计3.2网络安全系统设计的原则结合XXX网络的实际情况，针对目前计算机网络硬件安全设备的总体设计和实施，依据国家有关信息安全政策、法规，根据XXX网络工作实际需要和我国政府工作信息化建设的实际情况，使之达到安全、可靠运行、节俭使用，便于工作和管理维护，符合国家有关规定信息安全系统的设计和实现应遵循如下原则：✓通用性原则：系统设计所选择的设备具有一定的通用性，采用标准的技术、结构、系统组件和用户接口，支持所有流行的网络标准及协议。

✓综合性原则：网络安全不单靠技术措施，必须结合管理，当前我国发生的网络安全问题中，管理问题占相当大的比例，在建立网络安全设施体系的同时必须建立相应的制度和管理体系。

✓标准化原则：有效的降低用户安全风险以及成本折中。

✓节约性原则：整体方案的设计应该尽可能的不改变原来网络的设备和环境，以免资源的浪费和重复投资。

✓集中性原则：所有的安全产品要求在管理中心可以进行集中管理，这样才能保证在网管中心的服务器上可以掌握全局。

✓角色化原则：防火墙、入侵检测和漏洞扫描产品在管理上面不仅在管理中心可以完全控制外，在地方节点还需要分配适当的角色使地方可以在自己的权利下修改和查看防火墙和入侵检测策略和审计。

✓可靠性原则：网络中心网络不允许有异常情况发生，因为一旦网络发生异常情况，就会带来很大的损失。

同时又由于一些网络设备一旦发生故障，网络便会断开，比如防火墙、入侵检测设备。

在这种情况下，就必须要求这些性质的安全产品需要有很高的性能，从而保障网络运行的可靠性。

✓可扩展性原则：由于网络技术更新比较快，而且针对XXX网络本次安全项目的实际情况，因此整体系统需要有很好的可扩展性和可升级性，主要是为XXX网络以后网络安全系统和其他安全系统提供优越的条件。

✓性价比原则：整个系统应具有较高的性能价格比并能够很好地保护投资。

✓高效性原则：整个系统应具备较高的资源利用率并便于管理和维护。

3.3安全防范方案设计构思我们以防火墙为重点，结合漏洞检测和安全评估技术、访问控制和安全管理等技术，主要从网络边界、内部重要网段、关键主机等三个方面综合地为用户进行防护管理，以使客户能达到尽量完整的安全防御措施的目的。

而且，客户也可以通过分析参考防护系统所反馈的信息，充分调动人员的能动性，逐步实现对自身网络资源的高效管理。

网络边界的安全和管理内部网和外部公用信息网的连接处为网络边界，通常情况下网络边界是最薄弱、最容易被攻击的地方，所以企业最先考虑对该处的防护和管理。

通过采取对进出网络数据流的监测、分析、过滤或计量等方式，以包过滤、地址转换、包状态检测、应用代理、流量统计或带宽控制等技术，来实现对Internet出口处的统一、有效的管理。

内部网段的安全在内部局域网中，有的网段（也包括指VLAN、DMZ区）运行着非常重要的业务应用，它们对数据、系统的安全性和可靠性都很高的要求，所以要与其它的网段进行一定的隔离措施，以防止受到内外人员的攻击或误操作行为的干扰或破坏；同时，要对网段内的活动状况进行实时的监控和记录。