ch10 网络安全解决方案

《ch10 网络安全解决方案》由会员分享，可在线阅读，更多相关《ch10 网络安全解决方案（46页珍藏版）》请在金锄头文库上搜索。

1、第10章 网络安全解决方案,内容提要： 网络安全体系结构 网络安全解决方案 网络安全解决方案设计 单机用户网络安全解决方案 内部网络安全管理制度 小结,10.1 网络安全体系结构,1. 网络信息安全的基本问题 网络信息安全的基本问题是众所周知的诸要素：可用性、保密性、完整性、可控性与可审查性等。最终要解决是使用者对基础设施的信心和责任感的问题。,返回本章首页,网络时代的信息安全有非常独特的特征，研究信息安全的困难在于： 边界模糊 评估困难 安全技术滞后 管理滞后,返回本章首页,2. 网络与信息安全体系要实施一个完整的网络与信息安全体系，至少应包括三类措施，并且三者缺一不可。 一是社会的法律政策

2、、规章制度措施 二是技术措施 三是审计和管理措施,返回本章首页,数据安全、平台安全、服务安全要求用完整的信息保障体系，并不断发展传统的信息安全概念。保护、检测、响应、恢复涵盖了对现代网络信息系统保护的各个方面，构成了一个完整的体系，使网络信息安全建筑在更坚实的基础之上。,返回本章首页,（1）保护（Protect）：保护包括传统安全概念的继承，用加解密技术、访问控制技术、数字签名技术，从信息动态舆、数据静态存储和经授权方可使用，以及可验证的信息交换过程等到方面对数据及其网上操作加以保护。,返回本章首页,（2）检测（Detect）：检测的含义是，对信息传输的内容的可控性的检测，对信息平台访问过程的

3、甄别检测，对违规与恶意攻击的检测，对系统与网络弱点与漏洞的检测等等。,返回本章首页,（3）响应（React）：在复杂的信息环境中，保证在任何时候信息平台能高效正常运行，要求安全体系提供有力的响应机制。,返回本章首页,（4）恢复（Restore）：狭义的恢复指灾难恢复，在系统受到攻击的时候，评估系统受到的危害与损失，按紧急响应预案进行数据与系统恢复，启动备份系统恢复工作等。广义的恢复还包括灾难生存等现代新兴学科的研究。,返回本章首页,保护、检测、响应、恢复四个概念之间存在着一定的因果和依存关系，形成一个整体。如果全面的保护仍然不能确保安全（这在现阶段是必然的），就需要检测来为响应创造条件；有效与

4、充分地响应安全事件，将大大减少对保护和恢复的依赖；恢复能力是在其他措施均失准备的情形下的最后保障机制。,返回本章首页,3. 网络安全设计的基本原则要使信息系统免受攻击，关键要建立起安全防御体系，从信息的保密性，拓展到信息的完整性、信息的可用性、信息的可控性、信息的不可否认性等。,返回本章首页,在进行计算机网络安全设计、规划时，应遵循以下原则： 需求、风险、代价平衡分析的原则 综合性、整体性原则 一致性原则 易操作性原则 适应性、灵活性原则 多重保护原则,返回本章首页,任何安全保护措施都不是绝对安全的，都可能被攻破。为此需要构建全方位的安全体系。全方位的安全体系的主要内容包括： 访问控制 检查安

5、全漏洞 攻击监控 加密通讯 认证 备份和恢复,返回本章首页,10.2 网络安全解决方案,1. 网络安全解决方案的基本概念 网络安全解决方案可以看作是一张有关网络系统安全工程的图纸，图纸设计的好坏直接关系到工程质量的优劣。总体来说，网络安全解决方案涉及安全操作系统技术、防火墙技术、病毒防护技术、入侵检测技术、安全扫描技术、认证和数字签名技术、VPN技术等多方面的安全技术。,返回本章首页,一份好的网络安全解决方案，不仅仅要考虑到技术，还要考虑到策略和管理。 技术是关键 策略是核心 管理是保证在整个网络安全解决方案中，始终要体现出这三个方面的关系。,返回本章首页,一套完整的网络安全解决方案应有针对性

6、地解决可能面临的安全问题，主要包括： 关于物理安全的考虑 关于数据安全的考虑 数据备份的考虑 防病毒的考虑 关于操作系统/数据库/应用系统的安全考虑 网络系统安全结构的考虑 通信系统安全的考虑 关于口令安全的考虑 关于软件研发安全的考虑 关于人员安全因素的考虑,返回本章首页,网络相关设施的设置和改造 安全设备的选型 安全策略与安全管理保障机制的设计 网络安全行政与法律保障体系的建立 长期安全顾问服务 服务的价格 事件处理机制 安全监控网络和安全监控中心的建立 安全培训等,2. 网络安全解决方案的层次划分 第一部分是社会法律、法规与手段 第二部分为增强的用户认证 第三部分是授权 第四部分是加密

7、第五部分为审计和监控和数据备份这五部分相辅相成、缺一不可，其中底层是上层保障的基础。,返回本章首页,3. 网络安全解决方案的框架完整的网络安全解决方案应该包括以下7个主要方面： 网络安全需求分析 网络安全风险分析 网络安全威胁分析 网络系统的安全原则 网络安全产品 风险评估 安全服务,返回本章首页,10.3 网络安全解决方案设计,1. 目标系统状况,返回本章首页,本节以某企业网络为例，来介绍网络安全解决方案设计的一般过程，目标网络拓扑结构如右图所示。,2. 安全需求分析网络系统的总体安全需求是建立在对网络安全层次分析基础上的。对于基于TCP / IP协议的网络系统来说，安全层次是与TCP/IP

8、协议层次相对应的。针对该企业网络的实际情况，可以将安全需求层次归纳为网络层安全和应用层安全两个技术层次，同时将在各层都涉及的安全管理部分单独作为一部分进行分析。,返回本章首页,网络层需求分析网络层安全需求是保护网络不受攻击，确保网络服务的可用性。 保证同Internet互联的边界安全 能够防范来自Internet的对提供服务的非法利用。 防范来自Internet的网络入侵和攻击行为的发生。 对于内部网络提供高于网络边界更高的安全保护。,返回本章首页,应用层需求分析应用层的安全需求是针对用户和网络应用资源的，主要包括： 合法用户可以以指定的方式访问指定的信息； 合法用户不能以任何方式访问不允许其

9、访问的信息； 非法用户不能访问任何信息； 用户对任何信息的访问都有记录。,返回本章首页,应用层要解决的安全问题包括： 非法用户利用应用系统的后门或漏洞，强行进入系统 用户身份假冒 非授权访问 数据窃取 数据篡改 数据重放攻击 抵赖,返回本章首页,企业网络应用系统的安全体系应包含： 访问控制 检查安全漏洞 攻击监控 加密通讯 认证 备份和恢复 多层防御 隐藏内部信息 设立安全监控中心,返回本章首页,安全管理需求分析能否制定一个统一的安全策略，在全网范围内实现统一的安全管理，对于企业网来说是至关重要的。安全管理主要包括三个方面： 内部安全管理 网络安全管理 应用安全管理,返回本章首页,3. 网络安

10、全解决方案,返回本章首页,根据上述网络安全解决方案的层次分析，可以设计出如图所示的网络安全解决方案。,在网关位置配置多接口防火墙，将整个网络划分为外部网络、内部网络、DMZ区等多个安全区域，将工作主机放置于内部网络区域，将Web服务器、数据库服务器等服务器放置在DMZ区域，其他区域对服务器区的访问必须经过防火墙模块的检查。在中心交换机上配置基于网络的IDS系统，监控整个网络内的网络流量。在DMZ区内的重要服务器上安装基于主机的IDS系统，对所有对上述服务器的访问进行监控，并对相应的操作进行记录和审计。,返回本章首页,将电子商务网站和进行企业普通Web发布的服务器进行独立配置，对电子商务网站的访

11、问将需要身份认证和加密传输，保证电子商务的安全性。在DMZ区的电子商务网站配置基于主机的入侵检测系统，防止来自Internet 对Http服务的攻击行为。在企业总部安装统一身份认证服务器，对所有需要的认证进行统一管理，并根据客户的安全级别设置所需要的认证方式（如静态口令，动态口令，数字证书等）。,返回本章首页,设备说明 防火墙设备在本方案中选用的防火墙设备是CheckPoint FireWall-1防火墙。FireWall-1功能特点有： 对应用程序的广泛支持 集中管理下的分布式客户机/服务器结构 远程网络访问的安全保障（FireWall-1 SecuRemote）：,返回本章首页,防病毒设备

12、在本方案中防病毒设备选用的是趋势科技的整体防病毒产品和解决方案，包括中央管理控制、服务器防病毒和客户机防病毒三部分。,返回本章首页,入侵监测设备在本方案中入侵监测设备采用的是NFR入侵监测设备，包括NFR NID和NFR HID。NFR把基于网络的入侵检测技术NID和基于主机的入侵检测技术HID完美地结合起来， 构成了一个完整的，一致的实时入侵监控体系。,返回本章首页,SAP身份认证设备本方案采用的身份认证设备是Secure Computing的SafeWord。SafeWord具备分散式运作及无限制的可扩充特性。,返回本章首页,10.4 单机用户网络安全解决方案,1. 单机用户面临的安全威胁

13、单机上网用户面临的安全问题主要包括：计算机硬件设备的安全、计算机病毒、网络蠕虫、恶意攻击、木马程序、网站恶意代码、操作系统和应用软件漏洞等。电子邮件（Email）在给人们带来方便的同时也会带来一些安全问题，主要包括： 电子邮件容易被截获 电子邮件客户端软件设计存在缺陷,返回本章首页,2. 单机用户网络安全解决方案由于当前个人用户使用Windows类操作系统的占大多数，因此本书所讨论的单机用户网络安全解决方案主要针对Windows系列操作系统。以上对单机用户所面临安全威胁的分析，单机用户网络安全解决方案需要解决防病毒与木马、防网络攻击、防网站恶意代码，以及电子邮件安全等方面的问题。,返回本章首页

14、,防病毒与木马防病毒与木马主要依赖于防病毒软件，目前比较流行的有代表性的防病毒软件有：Norton Anti-Virus、Kaspersky Anti-Virus、江民的KV系列、金山毒霸和瑞星等。 防病毒软件通常也具有一定防木马的能力，专业的防木马软件有：木马克星、Anti-Trojan、Trojan Remover等。安装防病毒软件绝对不是一劳永逸的，一定要养成定期更新病毒代码库的良好习惯。,返回本章首页,防网络攻击防网络攻击的有效手段是安装个人防火墙。应用防火墙软件最主要的是要设置好防火墙的规则，只有这样才能正常发挥抵御网络攻击的能力。典型的个人防火墙软件主要有：Norton Inter

15、net Security、ZoneAlarm Pro、Black Ice、天网防火墙（个人版）等。,返回本章首页,防网站恶意代码对于单机上网用户来说，网站恶意代码是威胁用户安全的主要因素。为了防网站恶意代码的危害，不让其执行是其中的关键。可以在IE浏览器的安全设置中禁止VBScript和JavaScript的执行。此外，如今的防病毒软件大多数也具有检测并杀除网站恶意代码的能力。,返回本章首页,电子邮件安全从技术上看，没有任何办法可以阻止攻击者截获需要在网络上传输的数据包。保护电子邮件安全的唯一方法就是让攻击者截获了数据包但无法阅读它，即对电子邮件的内容进行某种形式的加密处理。目前已经出现了不少

16、解决电子邮件安全问题的加密系统解决方案，其中最具代表性的是PGP加密系统。,返回本章首页,10.5 内部网络安全管理制度,面对网络安全的脆弱性，除在网络设计上增加安全服务功能，完善系统的安全保密措施外，还必须花大力气加强网络的安全管理。下面提出有关信息系统安全管理的若干原则和实施措施以供参考。,返回本章首页,1. 安全管理原则计算机信息系统的安全管理主要基于三个原则。 多人负责原则 任期有限原则 职责分离原则,返回本章首页,2安全管理的实现信息系统的安全管理部门应根据管理原则和该系统处理数据的保密性，制订相应的管理制度或采用相应规范，其具体工作是： 确定该系统的安全等级。 根据确定的安全等级，确定安全管理的范围。 制订相应的机房出入管理制度。,返回本章首页,制订严格的操作规程。 制订完备的系统维护制度。 制订应急措施。 建立人员雇用和解聘制度,对工作调动和离职人员要及时调整相应的授权。,返回本章首页,3网络安全管理制度 （1）网络安全管理的基本原则 分离与制约原则 内部人员与外部人员分离 用户与开发人员分离 用户机与开发机分离 权限分级管理 有限授权原则 预防为主原则 可审计原则,