网 络 工 程 规 划 与 设 计
安全方案的设计和实现
（3）安全产品和安全服务 安全产品主要有： ● 网络安全类：扫描器、防火墙、入侵检测系统、网站恢复系统等 ● 反病毒类：涉及服务器、网关、邮件、专用系统等的反病毒系统 ● 商用密码类：虚拟私有网、公共密钥体系、密钥管理系统、加密机等 ● 身份认证类：动态口令、智能卡、证书、指纹、虹膜等 安全服务主要有： ● 安全需求分析 ● 安全策略制定 ● 系统漏洞审计 ● 系统安全加固 ● 系统漏洞修补 ● 渗透攻击测试 ● 数据库安全管理与加固 ● 安全产品配置 ● 紧急事件响应 ● 网络安全培训
网 络 技 术 专 业 教 学 资 源 库
网 络 工 程 规 划 与 设 计
网络安全因素
（6）网络入侵检测 网络入侵检测的目的主要是监控主机和网络系统上发生的一切事件 ，一旦发现有攻击的迹象或其它不正常现象就采取截断、报警等方式进 行处理并通知管理员，同时详细记录有关的事件日志，以备分析取证。 它的实时监控和反应大大增强了网络系统的安全性。 入侵检测系统一般分为主机型和网络型，前者监控宿主机系统上的 攻击特征，后者监控网络上有符合入侵特征的数据包，当前的入侵检测 系统大多都可以与防火墙和反病毒软件连动，从而更有效地阻断黑客或 病毒的入侵。 （7）最小化原则 从网络安全的角度考虑问题，打开的服务越多，可能出现的安全 问题就会越多。“最小化原则”指的是网络中账号设置、服务配置、主 机间信任关系配置等应该为网络正常运行所需的最小限度。关闭网络安 全策略中没有定义的网络服务并将用户的权限配置为策略定义的最小限 度、及时删除不必要的账号等措施可以将系统的危险性大大降低。在没 有明确的安全策略的网络环境中，网络管理员通过简单关闭不必要或者 不了解的网络服务、删除主机间的信任关系、及时删除不必要的账号等 手段也可以将入侵危险降低一半以上。
网 络 技 术 专 业 教 学 资 源 库
网 络 工 程 规 划 与 设 计
企业信息安全隐患
•拒绝服务 这是一种将对方机器的功能或服务给以远程摧毁或中断的攻击方式 ，拒绝服务（Denial of services）攻击的手段也是多种多样的，最早 出现的大概是叫“邮包炸弹”，即攻击者用一个程序不断地向被攻击者 的邮箱发出大量邮件同时还匿藏自己的地址信息，以至于邮件使用者几 乎无法处理。甚至导致邮件服务系统因为大量的服务进程而崩溃。而被 袭击者也无法确认谁是攻击者。另一些攻击手段是利用软件本身的设计 漏洞进行远程攻击，其中比较著名的是微软的OOB(Out Of Bond)漏洞， 只要对着运行95或NT的139口发出一个不合法的包，就会导致操作系统 轻则断掉网络连接，重则彻底死机或重启。 •信息窃取 有一些攻击手段允许攻击者即使不操作被攻击的电脑系统也能得到 想要的数据。比较典型的是用网络嗅查器(Sniffer)监听网络中的包信 息，从中发现有用的信息，如：用户名，密码，甚至付款信息等。 Sniffer的工作有点象现实社会里装电话窃听装置一样。在共享式网络 环境里，Sniffer是很可怕的，它可以监听大量的网络信息。
网 络 技 术 专 业 教 学 资 源 库
网 络 工 程 规 划 与 设 计
安全方案的设计和实现
（3）安全策略制定 •物理安全策略：如机房环境、门禁系统、设备锁、数据备份、CMOS 安全设置等。 •访问控制策略：为公司总部内部网与Internet网之间、公司总部与 分支机构之间、Internet用户与公司网络之间等需要进行互连的网络 制定访问控制规则。 •安全配置及更新策略：对操作系统、应用系统、安全产品等进行升 级更新、设置用户访问权限及信任关系等。 •管理员和用户策略：制定机房出入管理制度、实行安全责任制等安 全管理策略：安全规则设置、安全审计、日志分析、漏洞检测及修补 等。 •密码安全策略：密码复杂度、密码更改周期、密码有效期等。 •紧急事件策略：针对攻击和入侵可能导致的结果制定应急处理流程 和灾难恢复计划。
网 络 技 术 专 业 教 学 资 源 库
网 络 工 程 规 划 与 设 计
网络安全因素
（2）网络隔离技术 根据功能、保密水平、安全水平等要求的差异将网络进行分段隔离 ，对整个网络的安全性有很多好处。可以实现更为细化的安全控制体系 ，将攻击和入侵造成的威胁分别限制在较小的子网内，提高网络的整体 安全水平。路由器、虚拟局域网VLAN、防火墙是当前主要的网络分段手 段。 （3）加密与认证 信息加密的目的是保护网内的数据、文件、密码和控制信息，保护 网络会话的完整性。 对称密码的特点是有很强的保密强度且运算速度快，但其必需通过 安全的途径传送，因此密钥管理至关重要。 公钥密码的优点是可以适应网络的开放性要求，且方便密钥管理， 尤其可实现方便的数字签名和验证，但其算法复杂，加密数据速率较低 。
网 络 技 术 专 业 教 学 资 源 库
网 络 工 程 规 划 与 设 计
安全方案的设计和实现
网 络 技 术 专 业 教 学 资 源 库
安全方案的好坏直接关系着企业的信息安全能否真正得到解决， 一个不合适的方案不仅浪费了企业宝贵的财力、物力和人力，而且还 无法达到保护企业信息资源的效果，而一个好的安全方案，则能够用 合适的投入带来最佳的安全回报，所以说，安全方案的设计是至关重 要的。 企业要了解一定的安全知识，具备一定的辨识力，必要的情况下 可以聘请专业安全咨询公司做监理来完成安全方案的设计和实现。
网 络 工 程 规 划 与 设 计
安全方案的设计和实现
（1）安全需求分析
网 络 技 术 专 业 教 学 资 源 库
●机房、主机环境、网络设备和通信线路对安全的需求 ● Internet接入服务器的安全需求 ● 内部网用户安全访问Internet的安全需求 ● 对内网用户访问Internet的监控及带宽控制的需求 ● 内部网服务器和外部网站系统的安全需求 ● 电子邮件系统的安全需求 ● 内外网网络数据传输安全的需求 ● 计算机病毒防范的需求 ● 用户身份鉴别和认证的安全需求 ● 数据保密存储的需求
网 络 技 术 专 业 教 学 资 源 库
网 络 工 程 规 划 与 设 计
网络安全因素
（4）网络安全漏洞扫描 安全扫描是网络安全防御中的一项重要技术，其原理是采用模拟 攻击的形式对目标可能存在的已知安全漏洞进行逐项检查。目标可以是 工作站、服务器、路由器、交换机、数据库等各种对象。然后根据扫描 结果向系统管理员提交安全性分析报告，为提高网络安全整体水平产生 重要依据。 （5）网络反病毒 在传统的企业安全方案中，考虑网络安全因素的时候往往只重视 网络系统，而忽视了反病毒的重要性，尽管后来购买了反病毒软件，但 因为在设计时没有考虑反病毒策略，结果导致反病毒效果大打折扣。事 实上，随着新技术的发展，病毒的概念在逐渐的发生演变，已经从过去 单纯的对引导区和系统文件感染发展到了可通过网络自动传播，并且有 的不再以系统文件为宿主，而直接寄生在操作系统之上，网页、Email 、共享目录等都成了网络病毒传播的途径，就近年来发生的安全事件来 看，多半都是网络型病毒造成的，因此，反病毒技术也由扫描查杀发展 到了到实时监控，并且针对特殊的应用服务还出现了相应的防毒系统， 如：网关型病毒防火墙，邮件反病毒系统等。
网 络 技 术 专 业 教 学 资 源 库
网 络 工 程 规 划 与 设 计
网络安全因素
影响网络安全的方面有物理安全、网络隔离技术、加密与认证、 网络安全漏洞扫描、网络反病毒、网络入侵检测和最小化原则等多种因 素，它们是设计信息安全方案所必须考虑的，是制定信息安全方案的策 略和技术实现的基础。 （1）物理安全 物理安全的目的是保护路由器、交换机、工作站、网络服务器、 打印机等硬件实体和通信链路免受自然灾害、人为破坏、和搭线窃听攻 击。验证用户的身份和权限，防止越权操作；确保网络设备有一个良好 的电磁兼容环境，建立完备的机房安全管理制度，妥善保管备份磁带和 文档资料；防止非法人员进入机房进行偷窃和破坏活动等。此外，抑制 和防止电磁泄漏也是物理安全的主要问题，往往采用屏蔽措施和伪噪声 技术来解决。
术 专 业 教 学 资 源 库
●物理安全策略 ● 访问控制策略 ● 开放的网络服务及运行级别策略 ● 网络拓扑、隔离手段、依赖和信任关系 ● 机房设备和数据的物理安全及保障 ● 网络管理职能的分割与责任分担 ● 用户的权利分级和责任 ● 攻击和入侵应急处理流程和灾难恢复计划 ● 密码安全 ● 网络安全管理 ● 操作系统及应用和安全产品的更新策略 ● 系统安全配置策略
网 络 技 术 专 业 教 学 资 源 库
网 络 工 程 规 划 与 设 计
典型的企业信息安全解决方案
网 络 技 术 专 业 教 学 资 源 库
网 络 工 程 规 划 与 设 计
安全方案的设计和实现
（1）网络应用概述 该企业的网络系统是典型的Intranet系统，总部的主网络系统 通过DDN专线与Internet相连，运行有网站服务器系统、邮件服务器系 统和Intranet服务器及内部服务器，分别用于发布公司的网站、构建 公司的Email系统及实现本地和远程网络化办公，其中总部的主网络系 统和分支机构的子网络系统的数据通信是通过Internet公网来完成的 ，此外，公司的研发中心等重要部门设置在总部。 （2）安全需求分析 为确保公司的整个网络系统能够安全稳定的运行，需要对重要 服务器、重要子网进行安全保护，对传输的数据进行加密，用户的身 份进行鉴别等，主要必须解决以下方面的安全问题： •服务器系统的安全：包括网站服务器、邮件服务器、Intranet服务器 和内部服务器等。 •公司总部和分支机构的内部网安全：以防备来自Internet的攻击，如 ：病毒、木马和黑客等。 •用户的身份认定：包括公司员工、网站访客和网络会员等。 •数据传输安全：包括总部与分支机构之间、内部网用户到服务器、移 动用户和家庭用户到服务器等。 •保护重要部门：如研发中心有公司产品源代码等重要的资料。
网 络 技 术 专 业 教 学 资 源 库
企业信息安全解决方案