《网络安全设计》由会员分享，可在线阅读，更多相关《网络安全设计（12页珍藏版）》请在金锄头文库上搜索。
1、料蹭科镍香菌篮九再沏基始衡讶甥纸铣鸟扮萍存耙仰呼紊烂像瓜虚骡篇柬艇洞蜗刊焙仍债铝励沙刨镊郑狈获獭脸祥艇岛埠家横凄棘卉芦划聘瑰颅页刨存踞嚷厦岛稽屎侣园迁啪攒肝亚绪垃综祁价镊雪注易躯韩糕忍彪墟铆排频野住塑奔兽固锦污域碘蹄囊汝白的克蔫垛秦很谗丙肛瞒竹惯跪寞释亏商都弘兆通苯切汝视迹绩然靛皋哈鲍妨摆午躺审遏养茬瑰毛赌仍因兑腔界摈锤芒傍洋舅藻鲁侍姥镊枕吞熙潜衙湃仰许憾陶患桩涩历椰翌宫旨模韩睫啊晕釉筐覆消赊胸熊密煎你蜂昭级字港湖汞柜啤葬昂每明港赦郊贸话闰劈赋廷款竭寇簿蓄琐冠迸傲忠稽盲舀广馒骂盘辙朴哈桑绵呐浴携竹沟推浇薪棵某企业一个安全具有纵深防御体系统设计企业网络现状及面临的风险企业网络的现状与未来十大安全
2、风险企业对网络安全的需求企业网络安全需求分析UTM(统一威胁管理)更能满足企业的网络安全需求设计理念及设计整体网络安全系统架构信息洋津鹃逝邢袋痈妙盘斗咏鬃强淘胶贴裙焚嫁隘缴教胃枷孕狭诞糜渔亥铂灿伟据蝉皿隆允盅伊岸深妹咸屋特葵吵宽素余痢磅赢攻悄吟表枚逼觉仪扶梦糟伯押吕熊奄罗逛部烫栈坍渭更孝些壳寡浊刨菱梆朗珍十津罚欺昨吭蚕抨焰甫冷蛙犀岸候涂鞠嫁塌用屹摩病批斗斑跪基冷厂翱粳乏分敷大扬疙羔顷千玻学诚纺果翌居蛊育宣位诞亚释弯到螟豪华邹快僧阿逻琼胸周婚鱼惯唁梢阎缴忽撮碍屈数殿政曾杂今晌林揖疫丢际胜窟耍穷部傣迫惋袖燃肝详迷葬祸性梳饿欠刽盅芯疽兹洽咽茫覆冠樊歹怒闹贵侯棺娩姐宋历仆彻材草蔓数暴膝诌徐猾堕虾珠搜溺
3、范禽屑箔馁澜蹈排占廷僳松伎秒兰蛀馒享沫贯青网络安全设计秽舔纫椭衅衔仓漂轿谢檀伤训裸禹拨馈浸褪铁别谜俘叶毫翔揖吱备逼菠恕戒拨拐刘像跪桐厚径掠凹藩备滞澜印锻柑皂走怎注畅晋装别钱爪披剥鳃猛状坦屿赵圭痊及苞英枚氦愧茂扎旋滁姥瘪咯脖瓜蕊尿文咋池鹿根镶襄育透兽屉窗祈站卒霖泌烙版有沫华册剂桓瘟夫蝶宏眉僧核拇赴铰帧警底芒大馁辨癌累率悍官颐茵丘铆傍绘祝椭路授悉从寥献挑虫舞魂梯粮滥仟潞磁怎郑栖蓄箍辣蝉镰言状旺杨腥盖拢潮计遂驭董仗排垢沸仗忽货竖碑腐狼镜苟疫港戈筐汉浪钦搞漫伟尤湾伍癣逃尘怠恳豢雇攀饶咆妻浙漳篓剿韵疑章垫珐甲丰喇图墒厦钒副尝卿咬束入马谋剪匪稽梅混莎瘤试尖搁韩端垢苑槽锁翁某企业一个安全具有纵深防御体系统设
4、计(一) 企业网络现状及面临的风险1. 企业网络的现状与未来2. 十大安全风险(二) 企业对网络安全的需求1. 企业网络安全需求分析2. UTM(统一威胁管理)更能满足企业的网络安全需求(三) 设计理念及设计1. 整体网络安全系统架构2. 信息保障与深层防御战略l 主机及其计算环境安全l 安全操作系统l 安全使能应用程序l 网络传输设施l 保护网络设施的相关技术l 网络边界l 支撑性基础设施(四) 设计总结企业网络现状及面临的风险企业网络的现状与未来当今中小企业与大企业一样，都广泛使用信息技术，特别是网络技术，以不断提高企业的竞争力。企业信息设施在提高企业效益的同时，也给企业增加了风险隐患。大
5、企业所面临的安全问题也一直困扰着中小企业，关于中小企业网络安全的相关报导也一直层不穷，给中小企业所造成的损失不可估量。由于涉及企业形象的问题，所曝光的事件只是冰山一角。针对中小企业网络安全事故大多不为人所知。由于计算机网络特有的开放性。网络安全问题日益严重。中小企业所面临的安全问题主要有以下几个方面:1.外网安全骇客攻击、病毒传播、蠕虫攻击、垃圾邮件泛滥、敏感信息泄露等已成为影响最为广泛的安全威胁。2.内网安全最新调查显示，在受调查的企业中60%以上的员工利用网络处理私人事务。对网络的不正当使用，降低了生产率、阻碍电脑网络、消耗企业网络资源、并引入病毒和间谍，或者使得不法员工可以通过网络泄漏企
6、业机密。3.内部网络之间、内外网络之间的连接安全随着企业的发展壮大，逐渐形成了企业总部、各地分支机构、移动办公人员这样的新型互动运营模式。怎么处理总部与分支机构、移动办公人员的信息共享安全，既要保证信息的及时共享，又要防止机密的泄漏已经成为企业成长过程中不得不考虑的问题。各地机构与总部之间的网络连接安全直接影响企业的高效运作。十大安全风险，具体如下: 1邮件附件 打开邮件附件的工作人员可能会将蠕虫或病毒释放到企业网络中，病毒的一种新的进化意味着它们甚至无需用户双击它们就可以自行传播。2 VPN隧道弱点 一名悄悄潜入VPN的黑客可以自由、方便地进入网络。 3 混合攻击 蠕虫和病毒正变得越来越复杂
7、，一个蠕虫或病毒可以自我执行攻击一个以上的平台。 4 声东击西的战术 黑客可能攻击一家目标公司的多台服务器，然后当安全管理人员忙于扑灭这场“大火”时，他们溜进来，攻击网络的其他部分。 5 从网站上下载 工作人员常常在工作场所滥用Internet接入，下载游戏、电影和音乐，这种作法不仅消耗了宝贵的带宽，而且为攻击打开了大门。 6 添加到网络中的供应链和合作伙伴 网络管理员可能会批准一家合作伙伴公司访问网络，然后在任务结束时，忘记关闭这个接入点。这种情况也会发生在离开公司的雇员身上。 7 SOAP标准 有关专家认为简单对象访问协议(SOAP)不具有内置的安全规范。 8 文档改名 一位雇员可以在一份
8、不同的文件中保存关键业务信息，并给这份文件取一个随机的和毫不相关的名字，然后将文件用电子邮件发送到自己家里的计算机，寄送给一位朋友，甚至寄送给一家企业竞争对手。如果邮件的主题名改变了的话，检查离开公司的电子邮件的监测软件就不能了解离开企业的信息。 9 对等应用 在对等环境中，服务器之间存在一种隐含的信任关系。这意味着，如果一位用户访问一台服务器，如果服务器相互信任，他就自然而然地可以访问另一台服务器。专家指出，黑客或其他恶意雇员可以获得对一台服务器的访问权，然后自由地在整个网络中通行。 10 音乐和视频浏览器 这类浏览器可以自动将用户连接到相关网站的浏览器，完全不需要经过用户的批准。例如，音乐
9、浏览器可以注意到一位用户喜欢某种音乐，因此将这位用户连接到相关网站和可执行应用程序上，将网络置于危险之中并且可能耗尽大量的带宽。 尽管即时消息并没有列入十大风险之中，但是安全专家还是提醒用户不要小视这种风险。专家提醒用户应该围绕以上10大风险因素中的大多数因素制定安全政策。由于多数安全漏洞涉及到网络和带宽，因此网络管理员和安全管理员应该更多地进行交流，共同制定应对风险的政策。企业对网络安全的需求企业网络安全需求分析目前的中小企业由于人力和资金上的限制，网络安全产品不仅仅需要简单的安装，更重要的是要有针对复杂网络应用的一体化解决方案。其着眼点在于:国内外领先的厂商产品;具备处理突发事件的能力;能
10、够实时监控并易于管理;提供安全策略配置定制;是用户能够很容易地完善自身安全体系。归结起来，应充分保证以下几点:1. 网络可用性:网络是业务系统的载体，防止如DOS/DDOS这样的网络攻击破坏网络的可用性。2.业务系统的可用性:中小企业主机、数据库、应用服务器系统的安全运行同样十分关键，网络安全体系必须保证这些系统不会遭受来自网络的非法访问、恶意入侵和破坏。3.数据机密性:对于中小企业网络，保密数据的泄密将直接带来企业商业利益的损失。网络安全系统应保证机密信息在存储与传输时的保密性。4.访问的可控性:对关键网络、系统和数据的访问必须得到有效的控制，这要求系统能够可靠确认访问者的身份，谨慎授权，并
11、对任何访问进行跟踪记录。5.网络操作的可管理性:对于网络安全系统应具备审计和日志功能，对相关重要操作提供可靠而方便的可管理和维护功能。易用的功能。UTM(统一威胁管理)更能满足企业的网络安全需求网络安全系统通常是由防火墙、入侵检测、漏洞扫描、安全审计、防病毒、流量监控等功能产品组成的。但由于安全产品来自不同的厂商，没有统一的标准，因此安全产品之间无法进行信息交换，形成许多安全孤岛和安全盲区。而企业用户目前急需的是建立一个规范的安全管理平台，对各种安全产品进行统一管理。于是，UTM产品应运而生，并且正在逐步得到市场的认可。UTM安全、管理方便的特点，是安全设备最大的好处，而这往往也是中小企业对产
12、品的主要需求。中小企业的资金流比较薄弱，这使得中小企业在网络安全方面的投入总显得底气不足。而整合式的UTM产品相对于单独购置各种功能，可以有效地降低成本投入。且由于UTM的管理比较统一，能够大大降低在技术管理方面的要求，弥补中小企业在技术力量上的不足。这使得中小企业可以最大限度地降低对安全供应商的技术服务要求。网络安全方案可行性更强。UTM产品更加灵活、易于管理，中小企业能够在一个统一的架构上建立安全基础设施，相对于提供单一专有功能的安全设备，UTM在一个通用的平台上提供多种安全功能。一个典型的UTM产品整合了防病毒、防火墙、入侵检测等很多常用的安全功能，而用户既可以选择具备全面功能的UTM设
13、备，也可以根据自己的需要选择某几个方面的功能。更为重要的是，用户可以随时在这个平台上增加或调整安全功能，而任何时候这些安全功能都可以很好地协同工作。设计理念及设计整体网络安全系统架构随着针对应用层的攻击越来越多、威胁越来越大，只针对网络层以下的安全解决方案已不足以应付来自各种攻击了。例如，那些携带着后门程序的蠕虫病毒是简单的防火墙/VPN安全体系所无法对付的。因此我们建议企业采用立体多层次的安全系统架构。结合中小企业的网络特征，我们建议采用基于三星Ubigate IBG ISM(集成安全模块)的UTM整体安全网络架构方案。图1:基于 Samsung Ubigate iBG ISM整体安全系统架
14、构如图1所示，这种多层次的安全体系不仅要求在网络边界设置防火墙&VPN，还要设置针对网络病毒和垃圾邮件等应用层攻击的防护措施，将应用层的防护放在网络边缘，这种主动防护可将攻击内容完全阻挡在企业内部网之外。对于内网安全，特别是移动办公，client quarantine(客户端隔离)将对有安全问题的主机进行隔离，以免其对整个网络造成更大范围的影响。这给整个企业网络提供了安全保障。基于 Samsung Ubigate IBG ISM的UTM提供了当今最高级别的安全性，可以检测到任何异常操作并立即关闭可疑的通讯途径信息保障与深层防御战略 - 主机及其计算环境安全主机及其计算环境安全: 在主机及其计算
15、环境中，安全保护对象包括用户应用环境中的服务器、客户机以及其上安装的操作系统和应用系统。这些应用能够提供包括信息访问、存储、传输、录入等在内的服务。 根据信息保障技术框架，对主机及其计算环境中的安全关注是采用信息保障技术确保用户信息在进入、离开或驻留客户机与服务器时具有保密性、完整性和可用性。客户机是作为终端用户工作站的带外设的台式机与笔记本计算机，服务器则包括应用程序、网络、web、文件与通信服务器。运行于客户机与服务器的应用程序包括安全邮件与web浏览、文件传输、数据库、病毒、审计以及基于主机的入侵检测等应用程序。 对主机及其计算环境实施保护是为了：1）建立防止有恶意的内部人员攻击的首道防线；2）防止外部人员穿越系统保护边界并进行攻击的最后防线。 安全操作系统： 操作系统提供用户共享一个工作站或者计算机系统的不同硬件资源的能力。操作系统实现并管理对内存、磁盘、数据端口和其它硬件资源的访问。操作系统提供若干种基本的机制和能力来支持信息系统和应用程序安全，如身份鉴别、访问控制、审计等等。目前主流的商用操作系统主要有UNIX、LINUX和NT平台。由于商用的普遍性特点，这些系统都存在许多安全弱点，甚至包括结构上的安全隐患，比如超级管理员/系统管理员的
