《网络安全改造方案》由会员分享，可在线阅读，更多相关《网络安全改造方案（60页珍藏版）》请在金锄头文库上搜索。
1、北京安盟信息技术有限公司 解决方案XX市工商局网络安全改造方案北京安盟信息技术有限公司2009年1月目 录1 前言42项目定义43 环境描述44 安全需求及分析54.1 需要保护的资源54.2 面临的风险54.3安全需求分析94.4 安全建设目标124.5 建设原则125 解决方案135.1部署说明185.2安全产品205.2.1网络管理205.2.1.1拓扑自动生成255.2.1.2网络事件报警265.2.1.3网络管理系统的事件关联系统265.2.1.4定制事件275.2.2入侵检测/防御285.2.2.1结构与工作方式295.2.2.2实时监控预警与自动响应305.2.2.3数据包解析能
2、力315.2.2.4识别的攻击类型315.2.2.5系统的策略配置335.2.2.6日志与审计345.2.3 安全评估355.2.3.1扫描范围365.2.3.2可检测的漏洞种类365.2.3.3策略配置415.2.3.4生成报告415.2.3.5速度、误报率及网络影响425.2.4 防火墙425.2.5安全隔离445.2.5.1安全隔离技术原理445.2.5.2交易分析455.2.5.3交易重构465.2.5.4安全通道传输465.2.5.5安全隔离技术与管理制度的结合475.2.6防病毒475.2.7容灾容错495.2.8综合审计504.8.1审计范围514.8.2综合审计功能目标515.
3、2.9上网行为管理525.2.9.1 规范员工上网行为（比如禁止员工上班时间聊天/打游戏）、提高互联网效率525.2.9.2 内网安全，保护内部数据安全、防止机密信息泄漏525.2.9.3 流量控制、带宽管理，提升带宽利用率525.2.9.4 降低法律责任525.2.9.5 整合式UTM设备，可提供内网和外网的安全联动535.2.10网页防篡改535.2.10.1安全传输545.2.10.2 身份鉴别545.2.10.3 安全发布545.2.10.4 网页上传与备份555.2.10.5更加人性的多种发布模式555.2.10.6 不同的管理权限设置555.2.10.7 支持多虚拟目录555.2.
4、10.8 支持多终端565.2.10.9 支持日志导出查询565.3安全策略制订565.4制度建设575.5方案总结586 实施591 前言XX市工商局计算机网络已运行多年，部分网络结构、性能、安全性已不能满足日常办公需要，以及未来应用系统扩展的需要。为此，改造XX市工商局的计算机网络已势在必行。XX市工商局从事的行业性质是跟国家紧密联系的，所涉及信息均带有机密性，所以其信息安全问题，如敏感信息的泄露、黑客的侵扰、网络资源的非法使用以及计算机病毒等。都将对XX市工商局信息安全构成威胁。为保证网络系统的安全，有必要对其网络进行专门安全设计。2项目定义项目名称：XX市工商局网络安全建设本项目的提出
5、者： XX市工商局信息中心规划范围：l XX市工商局局域网l 建设安全管理体系，结合网络管理提出基础安全保护方法与未来扩展框架l 整体考虑应用扩展，建设综合数据交换平台3 环境描述XX市工商局计算机网络是由安全需求级别较高的业务网络和日常办公网络组成组成，并且办公网通过防火墙与Internet联接。其中日常办公网络通过防火墙连接Internet，经常会有病毒、木马等有害信息进入办公网络。为了提高全系统服务质量，XX市工商局要逐步开展电子政务业务。4 安全需求及分析4.1 需要保护的资源保障XX市工商局内网的安全，业务内网绝对不可以被来自非信任网络的病毒、木马感染、控制、破坏，不允许任何敏感数据
6、的非法外泻。保护办公网的安全，尽量避免病毒、木马等有害信息对办公网造成严重的破坏。4.2 面临的风险随着网络的急剧扩大和网络用户迅速增加，风险变得更加严重和复杂。原来由单个计算机安全事故引起的损害可能传播到其他系统，引起大范围的瘫痪和损失；另外加上缺乏安全控制机制和对网络安全政策的认识不足，这些风险正日益严重。 针对XX市工商局局域网中存在的安全隐患，在进行安全方案设计时，下述安全风险我们必须要认真考虑，并且要针对面临的风险，采取相应的安全措施。下述风险由多种因素引起，与这个局域网结构和系统的应用、局域网内网络服务器的可靠性等因素密切相关。下面列出部分这类风险因素： 网络安全可以从以下三个方面
7、来理解：1 网络物理是否安全；2 网络平台是否安全；3 系统是否安全；4 应用是否安全；5 管理是否安全。针对每一类安全风险，结合这个局域网的实际情况，我们将具体的分析网络的安全风险。 （1）物理安全风险分析 网络的物理安全主要是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获。以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。它是整个网络系统安全的前提，在XX市工商局局域网内，由于各子网络间的物理跨度是通过电信运营商实现的，只要制定健全的安全管理制度，做好备份，并且加强网络设备和机房的管理，这些风险是可以避免的。 （2）网络平
8、台的安全风险分析 网络结构的安全涉及到网络拓扑结构、网络路由状况及网络的环境等。l 公开服务器面临的威胁 这个局域网内部公开服务器区（WWW、EMAIL等服务器）作为XX市工商局内部信息交换的平台，一旦不能运行或者受到攻击，对XX市工商局的办公影响巨大。虽然公开服务器本身不为外界提供服务，但是员工的误操作以及病毒的感染也会对它们造成影响甚至造成破坏。因此，XX市工商局网络的管理人员对各种安全事故做出有效反应变得十分重要。我们有必要将内部服务器、内部网络与普通员工的办公区进行隔离，避免网络结构信息外泄；同时还要对进入服务器的服务请求加以过滤，只允许正常通信的数据包到达相应服务器主机，其他的请求服
9、务在到达服务器主机之前就应该遭到拒绝。 （3）系统的安全风险分析 所谓系统的安全显而易见是指整个局域网网络操作系统、网络硬件平台是否可靠且值得信任。 网络操作系统、网络硬件平台的可靠性：对于中国来说，恐怕没有绝对安全的操作系统可以选择，无论是Microsoft的Windows 2003或者其他任何商用UNIX操作系统，其开发厂商必然有其Back-Door。我们可以这样讲：没有完全安全的操作系统。但是，我们可以对现有的操作平台进行安全配置、对操作和访问权限进行严格控制，提高系统的安全性。因此，不但要选用尽可能可靠的操作系统和硬件平台。而且，必须加强登录过程的认证（特别是在到达服务器主机之前的认证
10、），确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。 （4）应用的安全风险分析 应用系统的安全跟具体的应用有关，它涉及很多方面。应用系统的安全是动态的、不断变化的。应用的安全性也涉及到信息的安全性，它包括很多方面。 应用系统的安全状况在动态地、不断地变化，应用的安全涉及面很广，以目前Internet上应用最为广泛的E-mail系统来说，其解决方案有几十种，但其系统内部的编码甚至编译器导致的BUG是很少有人能够发现的，因此一套详尽的测试软件是相当必须的。但是应用系统是不断发展且应用类型是不断增加的，其结果是安全漏洞也是不断增加且隐藏越来越深。因此，保证应用系
11、统的安全也是一个随网络发展不断完善的过程。 应用的安全性涉及到信息、数据的安全性：信息的安全性涉及到：机密信息泄露、未经授权的访问、破坏信息完整性、假冒、破坏系统的可用性等。 （5）管理的安全风险分析 管理是网络中安全最重要的部分。责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。责权不明，管理混乱，使得一些员工或管理员随便让一些非本地员工甚至外来人员进入机房重地，或者员工有意无意泄漏他们所知道的一些重要信息，而管理上却没有相应制度来约束。 当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当事故
12、发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。 建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案，因此，最可行的做法是管理制度和管理解决方案的结合。 （6）黑客攻击 黑客们的攻击行动是无时无刻不在进行的，而且会利用系统和管理上的一切可能利用的漏洞。公开服务器存在漏洞的一个典型例证，是黑客可以轻易地骗过公开服务器软件，得到服务器的口令文件并将之送回。黑客侵入服务器后，有可能修改特权，从普通用户变为高级用户，一旦成功，黑客可以直接进入口令文件。黑客还能开发欺骗程序，将其载入服务
13、器中，用以监听登录会话。当它发现有用户登录时，便开始存储一个文件，这样黑客就拥有了他人的帐户和口令。这时为了防止黑客，需要设置公开服务器，使得它不离开自己的空间而进入另外的目录。另外，还应设置组特权，不允许任何使用公开服务器的人访问WWW页面文件以外的东西。在XX市工商局的局域网内我们可以综合采用防火墙技术、Web页面保护技术、入侵检测技术、安全评估技术来保护网络内的信息资源，防止黑客攻击。 （7）通用网关接口（CGI）漏洞 有一类风险涉及通用网关接口（CGI）脚本。许多页面文件和指向其他页面或站点的超链接。然而有些站点用到这些超链接所指站点寻找特定信息。搜索引擎是通过CGI脚本执行的方式实现
14、的。黑客可以修改这些CGI脚本以执行他们的非法任务。通常，这些CGI脚本只能在这些所指WWW服务器中寻找，但如果进行一些修改，他们就可以在WWW服务器之外进行寻找。要防止这类问题发生，应将这些CGI脚本设置为较低级用户特权。提高系统的抗破坏能力，提高服务器备份与恢复能力，提高站点内容的防篡改与自动修复能力。 （8）恶意代码 恶意代码不限于病毒，还包括蠕虫、特洛伊木马、逻辑炸弹、和其他未经同意的软件。应该加强对恶意代码的检测。 （9）病毒的攻击 计算机病毒一直是计算机安全的主要威胁。能在Internet上传播的新型病毒，例如通过E-Mail传播的病毒，增加了这种威胁的程度。病毒的种类和传染方式也
15、在增加，国际空间的病毒总数已达上万甚至更多。当然，查看文档、浏览图像或在Web上填表都不用担心病毒感染，然而，下载可执行文件和接收来历不明的E-Mail文件需要特别警惕，否则很容易使系统导致严重的破坏。典型的“CIH”病毒就是一可怕的例子。 （10）不满的内部员工 不满的内部员工可能在WWW站点上开些小玩笑，甚至破坏。不论如何，他们最熟悉服务器、小程序、脚本和系统的弱点。对于已经离职的不满员工，可以通过定期改变口令和删除系统记录以减少这类风险。但还有心怀不满的在职员工，这些员工比已经离开的员工能造成更大的损失，例如他们可以传出至关重要的信息、泄露安全重要信息、错误地进入数据库、删除数据、制造传播一些有政治影响的或荒诞淫秽内容的信息等等。 （11）网络的攻击手段 一般认为，目前对网络的攻击手段主要表现在： 非授权访问
