企业网络安全规划与设计

企业网络安全规划与设计

企业网络安全已成为当今值得关注的问题，它的重要性是不言而喻的，对于大多数网络黑客来说，成功地入侵一个企业特别是著名企业的网络系统，具有证明和炫耀其能耐的价值，尽管这种行为的初衷也许并不具有恶意的目的；窃取企业的网络数据，甚至破坏其网络系统，更加具有现实和长远的商业价值。因此，如何保障企业网络的安全变得重要起来。

网络安全性包括信息安全性，网络本身的安全性，保证系统的安全性。要从管理和技术角度制定不同的安全策略。安全设备的技术性能和功能，必须满足行业系统管理体制的要求，即能基于网络实现安全管理，具有接受网络信息安全管理机构管理的能力，还要不影响原网络拓扑结构。

在对企业局域网网络系统安全方案设计、规划时，也应遵循一定的原则。首先需求、风险、代价平衡的原则：对任一网络，绝对安全难以达到，也不一定是必要的。对一个网络进行实际额研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。一致性原则：一致性原则主要是指网络安全问题应与整个网络的工作周期（或生命周期）同时存在，制定的安全体系结构必须与网络的安全需求相一致。安全的网络系统设计（包括初步或详细设计）及实施计划、网络验证、验收、运行等，都要有安全的内容及措施，实际上，在网络建设的开始就考虑网络安全对策，比在网络建设好后再考虑安全措施，不但容易，且花费也小得多。适度安全性原则：系统安全方案应充分考虑保护对象的价值与保护成本之间的平衡性，在允许的风险范围内尽量减少安全服务的规模和复杂性，使之具有可操作性，避免超出用户所能理解的范围，变得很难执行或无法执行。易操作性原则：安全措施需要人为去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。其次，措施的采用不能影响系统的正常运行。多重保护原则：任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。

局域网络系统建成之后，应该达到如下的目标：建立一套完整可行的网络安全与网络管理策略；将内部网络、公开服务器网络和外网进行有效隔离，避免与外部网络的直接通信；建立网站各主机和服务器的安全保护措施，保证他们的系统安全；对网上服务请求内容进行控制，使非法访问在到达主机前被拒绝；加强合法用户的访问认证，同时将用户的访问权限控制在最低限度；全面监视对公开服务器的访问，及时发现和拒绝不安全的操作和黑客攻击行为；加强对各种访问的审计工作，详细记录对网络、公开服务器的访问行为，形成完整的系统日志；备份与灾难恢复——强化系统备份，实现系统快速恢复；加强网络安全管理，提高系统全体人员的网络安全意识和防范技术。

通常网络中的安全隐患，会涉及这样一些内容：网络的物理安全，主要是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获。以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。它是整个网络系统安全的前提，在这个企业区局域网内，由于网络的物理跨度不大，，只要制定健全的安全管理制度，做好备份，并且加强网络设备和机房的管理，这些风险是可以避免的。

保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提，物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。主要包括：设备安全，设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等；媒体安全，媒体数据的安全及媒体本身的安全。

还有其他的安全隐患，黑客们利用系统和管理上的漏洞，进入企业网的内部，篡改一些数据，例如将自己变为高级用户，或者监听登录会话，窃取他人的账户和口令；还有包括病毒、蠕虫、特洛伊木马等恶意代码；能够通过mail、internet传播的病毒；还有一些对网络的攻击手段，没有预先经过同意，就使用网络或计算机资源被看作非授权访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息，例如，假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作；破坏数据的完整性，使得信息/数据失去了原有的真实性，从而变得不可用或造成广泛的负面影响；以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应，恶意添加，修改数据，以干扰用户的正常使用。搭线(网络)窃听攻击者可以采用如Sniffer等网络协议分析工具，在internet网络安全的薄弱处进入internet，并非常容易地在信息传输过程中获取所有信息(尤其是敏感信息)的内容。

网络安全技术可以分为如下几大类，即：身份认证技术、防火墙技术、入侵检测技术、病毒防治技术、网络数据完整性技术和网络活动审计技术。他们应用于网络活动的不同阶段，来保护网络内的信息资源。

整个企业的局域网按访问区域可以划分为三个主要的区域：Internet区域、内部网络、公开服务器区域。内部网络又可按照所属的部门、职能、安全重要程度分为许多子网。企业局域网一般都进行文件共享、办公自动化、WWW服务、电子邮件服务，文件数据的统一存储，提供与Internet的访问，通过公开服务器对外发布企业信息、发送电子邮件等。

网络运行环境下，系统与系统、系统与用户、用户与用户之间频繁交换各种数据、信息，如电子文件、文档、报文甚至数据或代码。在网络通信环境下，也经常有假冒源点身份将报文插入网络中，或者假的报文接收者发回假确认，或不予接收；还有篡改报文内容、报文序号；报文延迟或回收；否认收到报文或否认发送报文等。在企业网络中，企业的账务、人事、新产品等重要的数据，不得随意修改。因此，除使用一般的网管软件和系统监控管理系统外，还应使用目前较为成熟的网络监控设备或实时入侵检测设备，以便对进出各级局域网的常见操作进行实时检查、监控、报警和阻断，从而防止针对网络的攻击与犯罪行为。数字签名可以防止否认收到报文或否认发送报文这类问题，所以解决的方法就是，对这些数据库的录入与修改的操作者的身份进行认证，也可用数字签名、证书技术保证数据交换过程中用户和信息的有效性，用于标明信息分发者的身份和对交换信息的认可，接收方也可以通过验证数字签名以判断信息是否来源于指定用户，以及交换信息的完整性。存取控制规定何种主体对何种客体具有何种操作权利，也是内部网络安全理论的重要方面，主要包括人员限制、数据标识、权限控制、控制类型和风险分析。

在内部网与外部网之间，设置防火墙实现内外网的隔离与访问控制是保护内部网安全的最主要、同时也是最有效、最经济的措施之一。防火墙设置在不同网络或网络安全域之间信息的唯一出入口。包过滤防火墙工作在网络层上，有选择的让数据包在内部网络与外部网络之间进行交换。一般利用IP和TCP包的头信息对进出被保护网络的IP包信息进行过滤，能根据企业的安全政策来控制（允许、拒绝、监测）出入网络的信息流。同时可实现网络地址转换（NAT）、审记与实时告警等功能。代理服务防火墙也有一定功效，是一种增加了安全功能的应用层网关，位于internet和intranet之间，自动截取内部用户访问internet的请求，验证其有效性，代表用户建立访问外部网络的连接。代理服务器在很大程度上对用户是透明的，如果外部网络个站点之间的连接被切断了，必须通过代理服务器方可相互连通。

网络系统的安全性取决于网络系统中最薄弱的环节，所以要及时发现并修正网络中存在的弱点和漏洞。网络安全检测工具通常是一个网络安全性评估分析软件，其功能是用实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安全策略，达到增强网络安全性的目的。这样，防火墙将得到合理配置，内外WEB站点的安全漏洞减为

最低，网络体系达到强壮的耐攻击性，对网络访问做出有效响应，保护重要应用系统（如财务系统）数据安全不受黑客攻击和内部人员误操作的侵害。入侵检测系统是根据已有的、最新的和可预见的攻击手段的信息代码对进出网络的所有操作行为进行实时监控、记录，并按制定的策略实行响应(阻断、报警、发送E-mail)，一般包括控制台和探测器，也不会对网络系统性能造成多大影响。

由于企业需要的是一个非常庞大的网络系统，因而对整个网络(或重要网络部分)运行进行记录、分析是非常重要的，它可以让用户通过对记录的日志数据进行分析、比较，找出发生的网络安全问题的原因，并可作为以后的法律证据或者为以后的网络安全调整提供依据。审计可以记录用户使用计算机网络系统进行所有活动的过程，它是提高安全性的重要工具。它不仅能够识别谁访问了系统，还能看出系统正被怎样地使用。对于确定是否有网络攻击的情况，审计信息对于去定问题和攻击源很重要。

由于在网络环境下，计算机病毒有不可估量的威胁性和破坏力，因为病毒在网络中存储、传播、感染的方式各异且途径多种多样，因此计算机病毒的防范是网络安全性建设中重要的一环。所选的防毒软件应该构造全网统一的防病毒体系。主要面向MAIL 、Web服务器，以及办公网段的PC服务器和PC机等。支持对网络、服务器、和工作站的实时病毒监控；能够在中心控制台向多个目标分发新版杀毒软件，并监视多个目标的病毒防治情况；支持多种平台的病毒防范；能够识别广泛的已知和未知病毒，包括宏病毒；支持对Internet/ Intranet 服务器的病毒防治，能够阻止恶意的Java或ActiveX小程序的破坏；支持对电子邮件附件的病毒防治，包括WORD、EXCEL中的宏病毒；支持对压缩文件的病毒检测；支持广泛的病毒处理选项，如对染毒文件进行实时杀毒，移出，重新命名等；支持病毒隔离，当客户机试图上载一个染毒文件时，服务器可自动关闭对该工作站的连接；提供对病毒特征信息和检测引擎的定期在线更新服务；支持日志记录功能；支持多种方式的告警功能（声音、图像、电子邮件等）等。

除此之外，也要进行系统备份，备份不仅在网络系统硬件故障或人为失误时起到保护作用，也在入侵者非授权访问或对网络攻击及破坏数据完整性时起到保护作用，同时亦是系统灾难恢复的前提之一。在确定备份的指导思想和备份方案之后，就要选择安全的存储媒介和技术进行数据备份，有“冷备份”和“热备份”两种。热备份是指“在线”的备份，即下载备份的数据还在整个计算机系统和网络中，只不过传到令一个非工作的分区或是另一个非实时处理的业务系统中存放。“冷备份”是指“不在线”的备份，下载的备份存放到安全的存储媒介中，而这种存储媒介与正在运行的整个计算机系统和网络没有直接联系，在系统恢复时重新安装，有一部分原始的数据长期保存并作为查询使用。热备份的优点是投资大，但调用快，使用方便，在系统恢复中需要反复调试时更显优势。

为了保护网络的安全性，除了在网络设计上增加安全服务功能，完善系统的安全保密措施外，安全管理规范也是网络安全所必须的。安全管理策略一方面从纯粹的管理上即安全管理规范来实现，另一方面从技术上建立高效的管理平台（包括网络管理和安全管理）。安全管理策略主要有：定义完善的安全管理模型；建立长远的并且可实施的安全策略；彻底贯彻规范的安全防范措施；建立恰当的安全评估尺度，并且进行经常性的规则审核。当然，还需要建立高效的管理平台。管理员可以在管理机器上对整个内部网络上的网络设备、安全设备、网络上的防病毒软件、入侵检测探测器进行综合管理，同时利用安全分析软件可以从不同角度对所有的设备、服务器、工作站进行安全扫描，分析他们的安全漏洞，并采取相应的措施。