网络工程规划与设计项目二-任务二企业信息安全解决方案.ppt

1、企业信息安全解决方案企业信息安全解决方案1、外来的攻击 大部分外来攻击可分为三类：闯入、拒绝服务、信息窃取。闯入闯入 最常见的攻击就是闯入，他们闯进计算机里，就向普通合法用户一样使用你的电脑。闯入的手段是比较多的，常见的类型是，利用社会工程学攻击（如：你打个电话给ISP，说你是某个用户，为了做某些工作，要求立即改变密码）。比如一种最简单的方式是猜测用户名的密码，在有些情况下这是比较容易的，有许多一般用户并不太重视自己的密码，或嫌麻烦怕忘记密码而将密码取的容易猜测到，还有一种方法，是搜索整个系统，发现软件，硬件的漏洞（BUG）或配置错误，以获得系统的进入权。企业信息安全隐患拒绝服务拒绝服务 这是

2、一种将对方机器的功能或服务给以远程摧毁或中断的攻击方式，拒绝服务（Denial of services）攻击的手段也是多种多样的，最早出现的大概是叫“邮包炸弹”，即攻击者用一个程序不断地向被攻击者的邮箱发出大量邮件同时还匿藏自己的地址信息，以至于邮件使用者几乎无法处理。甚至导致邮件服务系统因为大量的服务进程而崩溃。而被袭击者也无法确认谁是攻击者。另一些攻击手段是利用软件本身的设计漏洞进行远程攻击，其中比较著名的是微软的OOB(Out Of Bond)漏洞，只要对着运行95或NT的139口发出一个不合法的包，就会导致操作系统轻则断掉网络连接，重则彻底死机或重启。信息窃取信息窃取 有一些攻击手段允

3、许攻击者即使不操作被攻击的电脑系统也能得到想要的数据。比较典型的是用网络嗅查器(Sniffer)监听网络中的包信息，从中发现有用的信息，如：用户名，密码，甚至付款信息等。Sniffer的工作有点象现实社会里装电话窃听装置一样。在共享式网络环境里，Sniffer是很可怕的，它可以监听大量的网络信息。企业信息安全隐患2 2、来自企业内部的威胁、来自企业内部的威胁 随着各行各业信息化建设的推进，内部泄密已经成为威胁企业信息安全的最大隐患。FBI和CSI对484家公司的信息安全作了调查，结果发现：有超过85%的安全威胁来自企业内部 有16%来自内部未授权的存取 有14%专利信息被窃取 有12%内部人员

4、的财务欺骗 有11%资料或网络的破坏 中国国内80的网站存在安全隐患，20的网站有严重安全问题 企业信息安全隐患 为了解除内外因素对企业造成的信息安全危机，把由其带来的经济损失降到最低，配备一个适合企业自身且行之有效的网络安全方案就显得迫在眉睫了。仅仅是单纯的网络安全产品已经不能满足企业的网络安全防护需求。企业用户的整体需求要求网络安全产品必须向综合方向发展，那么技术也就必须要朝融合的方向发展。用户需要能够系统地完善和保障自己的网络安全。网络安全解决方案市场的出现和发展，既是用户需求带动的结果，也是网络安全领域向全方位、纵深化、专业化方向发展的结果。信息安全解决方案的市场需求信息安全解决方案的

5、市场需求 影响网络安全的方面有物理安全、网络隔离技术、加密与认证、网络安全漏洞扫描、网络反病毒、网络入侵检测和最小化原则等多种因素，它们是设计信息安全方案所必须考虑的，是制定信息安全方案的策略和技术实现的基础。（1）物理安全 物理安全的目的是保护路由器、交换机、工作站、网络服务器、打印机等硬件实体和通信链路免受自然灾害、人为破坏、和搭线窃听攻击。验证用户的身份和权限，防止越权操作；确保网络设备有一个良好的电磁兼容环境，建立完备的机房安全管理制度，妥善保管备份磁带和文档资料；防止非法人员进入机房进行偷窃和破坏活动等。此外，抑制和防止电磁泄漏也是物理安全的主要问题，往往采用屏蔽措施和伪噪声技术来解

6、决。网络安全因素（2）网络隔离技术根据功能、保密水平、安全水平等要求的差异将网络进行分段隔离，对整个网络的安全性有很多好处。可以实现更为细化的安全控制体系，将攻击和入侵造成的威胁分别限制在较小的子网内，提高网络的整体安全水平。路由器、虚拟局域网VLAN、防火墙是当前主要的网络分段手段。（3）加密与认证信息加密的目的是保护网内的数据、文件、密码和控制信息，保护网络会话的完整性。对称密码的特点是有很强的保密强度且运算速度快，但其必需通过安全的途径传送，因此密钥管理至关重要。公钥密码的优点是可以适应网络的开放性要求，且方便密钥管理，尤其可实现方便的数字签名和验证，但其算法复杂，加密数据速率较低。网络

7、安全因素（4）网络安全漏洞扫描 安全扫描是网络安全防御中的一项重要技术，其原理是采用模拟攻击的形式对目标可能存在的已知安全漏洞进行逐项检查。目标可以是工作站、服务器、路由器、交换机、数据库等各种对象。然后根据扫描结果向系统管理员提交安全性分析报告，为提高网络安全整体水平产生重要依据。（5）网络反病毒 在传统的企业安全方案中，考虑网络安全因素的时候往往只重视网络系统，而忽视了反病毒的重要性，尽管后来购买了反病毒软件，但因为在设计时没有考虑反病毒策略，结果导致反病毒效果大打折扣。事实上，随着新技术的发展，病毒的概念在逐渐的发生演变，已经从过去单纯的对引导区和系统文件感染发展到了可通过网络自动传播，

8、并且有的不再以系统文件为宿主，而直接寄生在操作系统之上，网页、Email、共享目录等都成了网络病毒传播的途径，就近年来发生的安全事件来看，多半都是网络型病毒造成的，因此，反病毒技术也由扫描查杀发展到了到实时监控，并且针对特殊的应用服务还出现了相应的防毒系统，如：网关型病毒防火墙，邮件反病毒系统等。网络安全因素（6）网络入侵检测 网络入侵检测的目的主要是监控主机和网络系统上发生的一切事件，一旦发现有攻击的迹象或其它不正常现象就采取截断、报警等方式进行处理并通知管理员，同时详细记录有关的事件日志，以备分析取证。它的实时监控和反应大大增强了网络系统的安全性。入侵检测系统一般分为主机型和网络型，前者监

9、控宿主机系统上的攻击特征，后者监控网络上有符合入侵特征的数据包，当前的入侵检测系统大多都可以与防火墙和反病毒软件连动，从而更有效地阻断黑客或病毒的入侵。（7）最小化原则 从网络安全的角度考虑问题，打开的服务越多，可能出现的安全问题就会越多。“最小化原则”指的是网络中账号设置、服务配置、主机间信任关系配置等应该为网络正常运行所需的最小限度。关闭网络安全策略中没有定义的网络服务并将用户的权限配置为策略定义的最小限度、及时删除不必要的账号等措施可以将系统的危险性大大降低。在没有明确的安全策略的网络环境中，网络管理员通过简单关闭不必要或者不了解的网络服务、删除主机间的信任关系、及时删除不必要的账号等手

10、段也可以将入侵危险降低一半以上。网络安全因素 安全方案的好坏直接关系着企业的信息安全能否真正得到解决，一个不合适的方案不仅浪费了企业宝贵的财力、物力和人力，而且还无法达到保护企业信息资源的效果，而一个好的安全方案，则能够用合适的投入带来最佳的安全回报，所以说，安全方案的设计是至关重要的。企业要了解一定的安全知识，具备一定的辨识力，必要的情况下可以聘请专业安全咨询公司做监理来完成安全方案的设计和实现。安全方案的设计和实现（1）安全需求分析 机房、主机环境、网络设备和通信线路对安全的需求 Internet接入服务器的安全需求 内部网用户安全访问Internet的安全需求 对内网用户访问Intern

11、et的监控及带宽控制的需求 内部网服务器和外部网站系统的安全需求 电子邮件系统的安全需求 内外网网络数据传输安全的需求 计算机病毒防范的需求 用户身份鉴别和认证的安全需求 数据保密存储的需求安全方案的设计和实现（2）制定安全策略 安全策略在安全方案中起着统领全局的重要作用，对于网络的建设者和运营者而言，实现安全的第一要务是明确本网的业务定位、提供的服务类型和提供服务的对象。企业的安全策略的制定应该在充分的考察和研究以后，至少要对下面的内容进行限定：物理安全策略 访问控制策略 开放的网络服务及运行级别策略 网络拓扑、隔离手段、依赖和信任关系 机房设备和数据的物理安全及保障 网络管理职能的分割与责

12、任分担 用户的权利分级和责任 攻击和入侵应急处理流程和灾难恢复计划 密码安全 网络安全管理 操作系统及应用和安全产品的更新策略 系统安全配置策略安全方案的设计和实现（3）安全产品和安全服务 安全产品主要有：网络安全类：扫描器、防火墙、入侵检测系统、网站恢复系统等 反病毒类：涉及服务器、网关、邮件、专用系统等的反病毒系统 商用密码类：虚拟私有网、公共密钥体系、密钥管理系统、加密机等 身份认证类：动态口令、智能卡、证书、指纹、虹膜等安全服务主要有：安全需求分析 安全策略制定 系统漏洞审计 系统安全加固 系统漏洞修补 渗透攻击测试 数据库安全管理与加固 安全产品配置 紧急事件响应 网络安全培训安全方

13、案的设计和实现典型的企业信息安全解决方案（1）网络应用概述 该企业的网络系统是典型的Intranet系统，总部的主网络系统通过DDN专线与Internet相连，运行有网站服务器系统、邮件服务器系统和Intranet服务器及内部服务器，分别用于发布公司的网站、构建公司的Email系统及实现本地和远程网络化办公，其中总部的主网络系统和分支机构的子网络系统的数据通信是通过Internet公网来完成的，此外，公司的研发中心等重要部门设置在总部。（2）安全需求分析 为确保公司的整个网络系统能够安全稳定的运行，需要对重要服务器、重要子网进行安全保护，对传输的数据进行加密，用户的身份进行鉴别等，主要必须解决

14、以下方面的安全问题：服务器系统的安全：包括网站服务器、邮件服务器、Intranet服务器和内部服务器等。公司总部和分支机构的内部网安全：以防备来自Internet的攻击，如：病毒、木马和黑客等。用户的身份认定：包括公司员工、网站访客和网络会员等。数据传输安全：包括总部与分支机构之间、内部网用户到服务器、移动用户和家庭用户到服务器等。保护重要部门：如研发中心有公司产品源代码等重要的资料。安全方案的设计和实现（3）安全策略制定物理安全策略：如机房环境、门禁系统、设备锁、数据备份、CMOS安全设置等。访问控制策略：为公司总部内部网与Internet网之间、公司总部与分支机构之间、Internet用户

15、与公司网络之间等需要进行互连的网络制定访问控制规则。安全配置及更新策略：对操作系统、应用系统、安全产品等进行升级更新、设置用户访问权限及信任关系等。管理员和用户策略：制定机房出入管理制度、实行安全责任制等安全管理策略：安全规则设置、安全审计、日志分析、漏洞检测及修补等。密码安全策略：密码复杂度、密码更改周期、密码有效期等。紧急事件策略：针对攻击和入侵可能导致的结果制定应急处理流程和灾难恢复计划。安全方案的设计和实现（4）产品选择及部署 使用安全产品是贯彻安全策略的有效手段，能够解决大多数的安全问题。往往需要把安全产品与安全管理和服务有机地结合起来，才能达到较高的安全水平。交换机：划分VLAN进

16、行子网隔离、抵抗嗅探类程序和提高网络传输效率。防火墙：解决内外网隔离及服务器安全防范等问题，主要部署在网络的Internet接点和重要部门的子网与其它内部子网之间，其中个人防火墙系统安装在客户端。虚拟私有网：解决网络间数据传输的安全保密，主要部署需要安全保密的线路两端的节点处，如：防火墙和客户端。身份认证：解决用户身份鉴定问题，主要部署在专用认证服务器或需要认证的服务器系统中。反病毒：防范病毒、木马、蠕虫等有害程序的感染与传播，主要部署在服务器系统和客户机系统。入侵检测系统：安全监控和黑客入侵实时报警拦截，主要部署在需要保护的服务器主机和需要保护的子网。安全方案的设计和实现（5）安全教育培训

17、在安全方案里面，安全教育也是比较重要的一个环节，安全教育能使得掌握基本的安全知识，有利于安全意识的提高，能够及时制止或避免有可能发生的安全事件，能够使安全产品更好地发挥其作用，也方便了安全管理和服务的实施。一般来说，主要是针对一般网络用户和网络管理员及信息主管等对象实施安全培训，内容至少要包含以下一些方面：基本网络知识 OSI七层网络模型及TCP/IP协议 计算机病毒及防治 常见网络入侵手段的分析与防范 操作系统及其应用的安全设置 安全产品的安装和配置 企业网络系统的安全管理和维护 数据备份与恢复安全方案的设计和实现 下面我们通过一个简单的案例来了解一下信息网络安全建设的实例：国内一知名电子设

18、备制造企业，有员工1000人左右，内部主机总数约400台。整个网络采用分层的单出口结构，接入层采用一台CISCO 设备，通过一条至电信部门的10M专线与广域网相连。主要应用为内部办公、网站发布、邮件系统、财务办公、部分电子商务以及客户关系管理系统、人事管理系统等。安全方案的设计和实现 企业总部设在广州，在南京有一分支机构。网络曾经过多次改造扩建，目前初具规模，设备主要采用CISCO设备，服务器系统大多数采用Windows系列，提供服务的服务器目前有5台，正打算扩展部分服务系统；此外还有内部服务器系统，主要做用户文件管理与共享；内部网络各子网分布在不同的楼层，在交换设备上作了VLAN的划分，各子

19、网间不允许互访。财务网络采用独立网段，与其它子网逻辑隔离；不允许进行外部访问，只可以通过电话线路拨号上网。分支机构和部分出差移动办公人员通过电话拨号上网与内部网络通过邮件进行信息传递。安全方案的设计和实现 该企业由于内部网上病毒危害较大，采购了一套国外网络防病毒系统；网络管理人员对服务器系统大约2个月左右进行升级一次，此外在路由设备上作了基本的地址转换等访问控制规则设置。实际情况是仅采取以上措施仍然没有达到预期效果，发生了多起严重的安全事件：蠕虫爆发造成了网络阻塞；垃圾邮件占用了邮件服务器过多的空间；web服务时常中断，在采用监听工具查找时，发现了经常被外部扫描窥探的痕迹；内部员工在上班时间利

20、用网络做大流量文件传输，严重占用了网络带宽资源，经常会影响到正常的业务信息查询等工作；此外还有内部员工出于好奇作一些尝试性的攻击破坏，使得内部服务器区的服务器经常性的需要进行备份恢复处理等等。为此，该公司信息管理人员深感安全防护已经成为迫在眉睫的工作。安全方案的设计和实现 在方案设计时主要遵循以下几个重要原则：1)统一性与整体性原则 一个完整网络系统的各个环节，包括设备、软件、数据、人员等，在网络安全中的地位和影响作用，只有从系统整体的角度去看待、分析，才可能得到有效、可行的安全措施。因此，整体安全保障体系建设应遵循统一性、整体性原则，便于今后系统的扩展。2)技术与管理相结合原则 信息网络系统

21、是一个相对复杂的系统工程，涉及人、技术、操作等要素，单靠技术或单靠管理都不可能实现。必须将各种安全技术与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合。3)积极防御原则 消极防御只能是被动挨打，所以应在技术和管理上创建一个灵活机动、适应性强的安全保障体系，做到积极防御。安全方案的设计和实现4)多重保护原则 任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层被攻破时，其他层仍可保护系统的安全。5)分阶段实施原则 要根据实际安全需求情况，以及建设内容的重要程度和建设成本等，实行分阶段建设的原则，做到安全体系的建设既能够满足现阶段相当一段时间

22、内安全的需要，又能够充分利用有限的资金和资源。6)动态防护原则 要根据网络安全的变化不断调整安全措施，适应新的网络环境，满足新的网络安全需求。安全方案的设计和实现在经过整体分析后，整体安全需求及解决方法描述如下：1)1)边界安全边界安全 服务器以及内部网络和外部网络连接处的入口，保证服务器区以及内部资源不被非法访问；在防火墙系统中设VPN模块，防止各种非授权访问，也满足了分支机构的访问和移动办公的安全访问需要；对于财务网络还设置了代理服务器多重保护；2)2)抗拒绝服务抗拒绝服务 不仅仅能对内部各服务器系统进行抗拒绝服务保护，还能够对防火墙系统进行防护；设置专业防拒绝服务的专用黑洞系统；安全方案

23、的设计和实现3)3)入侵检测入侵检测 对于分布环境下重要网段的攻击检测，发现来源于内部或外部的攻击，进行记录和阻断；也便于发现网络内部的异常信息流，如访问非法网站、内部异常扫描、非主流业务的大流量传输等；对于蠕虫大规模爆发时即可以查出源地址，便于及时进行处理；利用基于网络的分布式入侵检测技术，在服务器区以及在内部网络各子网接入部分部署入侵检测系统；在后期建设中随着网络规模的扩大，在各子网中也可以部署入侵检测系统，并且采用同一控制台进行集中统一管理；4)4)安全检查安全检查 保证动态网络在变化时的风险检测，同时评估安全风险变化和安全工程的作用；部署专业级风险评估系统，周期性对网络内部进行评估检测

24、，提供专家级补救建议；安全方案的设计和实现5)5)安全服务安全服务 保证网络遇到各种突发安全事件时能得到妥善处理；在日常维护中提供专家级咨询服务；并有利于提高整体安全意识等，满足动态性安全需要；在进行安全项目实施前作一次脆弱性安全评估，确定整体安全策略；提供一年内安全咨询、紧急响应、安全通告、专业安全培训、安全制度的更新完善；安全方案的设计和实现建设后安全方案的设计和实现 项目所采取的安全系统考虑到了现阶段的需求，并充分考虑到今后的扩展性，整个安全系统的投入仅占信息网络整体建设的8%。网络管理人员和各类业务人员参加培训之后对安全体系的认识有了显著的提高，出台了各种安全制度，完善了安全策略措施，该企业的领导对信息化的进一步建设也表示出了从未有过的信心。安全方案的设计和实现