吉通公司金桥网安全项目实施建议书

《吉通公司金桥网安全项目实施建议书》由会员分享，可在线阅读，更多相关《吉通公司金桥网安全项目实施建议书（37页珍藏版）》请在金锄头文库上搜索。

1、吉通公司金桥网全网安全项目建议书第一章 安全体系的认识1.1 安全威胁 自信息系统开始运行以来就存在信息系统安全问题,通过网络远程访问而构成的安全威胁成为日益受到严重关注的问题。根据美国FBI的调查,美国每年因为网络安全造成的经济损失超过170亿美元。 由于企业网络运行的主要是多种网络协议,而这些网络协议并非专为安全通讯而设计。所以,企业网络可能存在的安全威胁来自以下方面： 操作系统的安全性。目前流行的许多操作系统均存在网络安全漏洞,如UNIX服务器,NT服务器及Windows桌面PC。 防火墙的安全性。防火墙产品自身是否安全,是否设置错误,需要经过检验。 来自部网用户的安全威胁。 缺乏有效的

2、手段监视、评估网络系统的安全性。 采用的TCP/IP协议族软件,本身缺乏安全性。 未能对来自Internet的电子夹带的病毒及Web浏览可能存在的Java/ActiveX控件进行有效控制。 应用服务的安全,许多应用服务系统在访问控制及安全通讯方面考虑较少,并且,如果系统设置错误,很容易造成损失。1.2 平台安全的需求1.2.1 网络的基本安全需求 满足基本的安全要求,是该网络成功运行的必要条件,在此基础上提供强有力的安全保障,是建设企业网络系统安全的重要原则。 网络部部署了众多的网络设备、服务器,保护这些设备的正常运行,维护主要业务系统的安全,是网络的基本安全需求。 对于各科各样的网络攻击,如

3、何在提供灵活且高效的网络通讯及信息服务的同时,抵御和发现网络攻击,并且提供跟踪攻击的手段,是本项目需要解决的问题。1.2.2 业务系统的安全需求 与普通网络应用不同的是,业务系统是应用的核心。对于业务系统应该具有最高的网络安全措施。 企业网络应保障：(1) 访问控调,确保业务系统不被非法访问。(2) 数据安全,保证数据库软硬件系统的整体安全性和可靠性。(3) 入侵检测,对于试图破坏业务系统的恶意行为能够及时发现、记录和跟踪,提供非法攻击的犯罪证据。(4) 来自网络部其他系统的破坏,或误操作造成的安全隐患。1.2.3 Internet服务平台的安全需求 Internet服务平台分为两个部分：提供

4、网络用户对Internet的访问：提供Internet对网服务的访问。 网络客户对Internet的访问,有可能带来某些类型的网络安全隐患。如通过电子、FTP引入病毒、危险的Java或ActiveX应用等。因此,需要在网络对上述情况提供集成的网络病毒检测、消除等操作。 Internet对网服务的访问,还会带来更加严重的网络安全隐患。如Telnet、Tlogin等远程服务。因此,需要在网关处,设立严格的监控手段,确保合法用户登录到合法主机,执行合法应用程序。1.3 平台安全与平台性能和功能的关系 通常,系统安全与性能和功能是一对矛盾的关系。如果某个系统不向外界提供任何服务断开,外界是不可能构成安

5、全威胁的。但是,企业接入国际互连网络,提供网上业务和电子商务等服务,等于将一个部封闭的网络建成了一个开放的网络环境,各种安全包括系统级的安全问题也随之产生。 构建平台安全系统,一方面由于要进行认证、加密、监听,分析、记录等工作,由此影响网络效率,并且降低客户应用的灵活性；另一方面也增加了管理费用。 但是,来自网络的安全威胁是实际存在的,特别是在网络上运行关键业务时,网络安全是首先要解决的问题。 选择适当的技术和产品,制订灵活的网络安全策略,在保证网络安全的情况下,提供灵活的网络服务通道。 采用适当的安全体系设计和管理计划,能够有效降低网络安全对网络性能的影响并降低管理费用。1.4 平台安全的管

6、理因素 平台安全可以采用多种技术来增强和执行。但是,很多安全威胁来源于管理上的松懈及对安全威胁的认识。 安全威胁主要利用以下途径：(1) 系统实现存在的漏洞。(2) 系统安全体系的缺陷。(3) 使用人员的安全意识薄弱。(4) 管理制度的薄弱。 良好的平台管理有助于增强系统的安全性：(1) 及时发现系统安全的漏洞。(2) 审查系统安全体系。(3) 加强对使用人员的安全知识教育。(4) 建立完善的系统管理制度。1.5 全方位的安全体系 与其它安全体系如保安系统类似,应用系统的安全体系应包含：(1) 访问控制。通过对特定网段、服务建立的访问控制体系,将绝大多数攻击阻止在到达攻击目标之前。(2) 检查

7、安全漏洞。通过对安全漏洞的周期检查,即使攻击可到达攻击目标,也可使绝大多数攻击无效。(3) 攻击监控。通过对特定网段、服务建立的攻击监控体系,可实时检测出绝大多数攻击,并采取相应的行动如断开网络连接、记录攻击过程、跟踪攻击源等。(4) 加密通讯。主动的加密通讯,可使攻击者不能了解、修改敏感信息。(5) 认证。良好的认证体系可防止攻击者假冒合法用户。(6) 备份和恢复。良好的备份和恢复机制,可在攻击造成损失时,尽快地恢复数据和系统服务。(7) 多层防御,攻击者在突破第一道防线后,延缓或阻断其到达攻击目标。(8) 隐藏部信息,使攻击者不能了解系统的基本情况。(9) 设立安全监控中心,为信息系统提供

8、安全体系管理、监控,渠护及紧急情况服务。第二章 用户网络现状分析金桥工程是我国九五信息化重点工程之一。金桥信息网是一个以数据通信为基础的计算机综合信息网,通过金桥工程的建设,建立跨行业、跨部门的公用计算机信息交换平台,实现信息通信和资源共享,面向社会提供网络服务和信息服务。经过几年的努力,金桥网已经建设了具有一定规模的、融合了各种数据通信技术的、卫星与地面通信线路互为备份的网络,骨干网络的带宽已达155M,国际出口达到了67M,网络节点超过50个大中城市；可以向各种用户提供卫星VSAT、帧中继Frame Relay、Internet接入、Internet信息服务、IP、IP/VPN、电子商务等

9、服务。20XX是金桥网建设大发展的一年,骨干网带宽及国际出口带宽将进一步扩宽以满足用户的需要；网络节点将大规模增加以增加网络的覆盖；在已经建设的网管中心、维护中心的基础上,还将建设计费与结算中心、客服中心、认证中心、数据中心,使网络的规模、业务与服务的水平都上到一个新的台阶。随着用户数量的不断扩大,应用水平的不断提高,一个不容忽视的问题网络安全越来越受到人们的关注,对网络安全体系的建立和全面解决方案的需求迫在眉睫。于是,吉通通信XX公司作为金桥工程的业主提出招标,为金桥网提供一整套的安全解决方案。包括安全政策的制定、体系结构的设计、安全产品的选择和集成,以及长期的合作和技术支持服务。工程总体目

10、标是在不影响金桥网当前业务的前提下,实现对金桥网的全面安全管理。1) 将安全策略、硬件及软件等方法结合起来,构成一个统一的防御系统,有效阻止非法用户进入网络,减少网络的安全风险。2) 定期进行漏洞扫描,审计跟踪,及时发现问题,解决问题。3) 通过入侵检测等方式实现实时安全监控,提供快速响应故障的手段,同时具备很好的安全取证措施。4) 使网络管理者能够很快重新组织被破坏了的文件或应用。使系统重新恢复到破坏前的状态。最大限度地减少损失。一套完整的安全管理体系应能覆盖包括金桥网国际出口、国网间互联、骨干节点、一级节点,以及即将建设的二级节点在的所有节点设备、链路和业务服务系统等,并且根据金桥网的网络

11、结构,管理模式,业务划分,确定安全等级,针对不同的安全等级,实施相应的安全策略。2.1金桥网安全总体需求 根据金桥网的特点,全面的安全解决方案需要涉及到网络安全、系统安全、数据库系统安全、数据安全以及防病毒等多个方面。每个方面都需要结合相关的安全产品,相应的安全政策,实施包括预防、检测、反映在的全过程。2.1.1安全政策包括安全管理制度的制定和安全策略的实施。 根据管理原则,管理对象,卖方应协助买方修改、制定切实可行的安全管理制度或规,同时结合安全策略的实施,建立完善的安全管理体系。2.1.2网络安全 针对网络设备和链路的保护。由于金桥网网络结构的复杂性,不可能对全网做到集中式的安全管理,可采

12、取分布式,针对各地分公司节点的不同网段如网管网段、办公网段、用户接入网段或根据提供的不同业务类别,实施不同级别的安全管理措施。2.1.3系统安全1) 针对主机系统的安全,主要以Solaris和NT为主；2) 针对业务系统的安全,包括网管系统、计费系统和网络应用服务器系统例如：DNS、MAIL、WWW、FTP、NEWS等。2.1.4数据库系统安全 目前金桥网上数据库以Oracle、SQL Server为主,数据库的安全管理涉及到用户的权限管理,数据的访问控制,数据的安全与备份等。2.1.5数据安全 管理对象主要是网络应用服务器中向用户提供信息服务的各类信息,以及计划建设的数据中心等。 卖方应能够

13、提出建设数据中心的安全解决方案建议。2.1.6防病毒 构造全网统一的防病毒体系。主要面向MAIL、FTP服务器,以及办公网段的PC服务器和PC机等。第三章 安全体系的实现技术 基于以上的分析,企业网络系统涉及到各方面的网络安全问题,我们认为整个企业的安全体系必须集成多种安全技术实现。如虚拟网技术、防火墙技术,入侵监控技术、安全漏洞扫描技术、加密技术、认证和数字签名技术等。3.1 虚拟网技术 虚拟网技术主要基于近年发展的局域网交换技术ATM和以太网交换。交换技术将传统的基于广播的局域网技术发展为面向连接的技术。因此,网管系统有能力限制局域网通讯的围而无需通过开销很大的路由器。 由以上运行机制带来

14、的网络安全的好处是显而易见的：(1) 信息只到达应该到达的地点。因此、防止了大部分基于网络监听的入侵手段。(2) 通过虚拟网设置的访问控制,使在虚拟网外的网络节点不能直接访问虚拟网节点。但是,虚拟网技术也带来了新的安全问题：(1) 执行虚拟网交换的设备越来越复杂,从而成为被攻击的对象。(2) 基于网络广播原理的入侵监控技术在高速交换网络需要特殊的设置。(3) 基于MAC的VLAN不能防止MAC欺骗攻击。3.1.1 以太网的链路安全 以太网从本质上基于广播机制,但应用了交换器和VLAN技术后,实际上转变为点到点通讯,除非设置了监听口,信息交换也不会存在监听和插入改变问题。 但是,采用基于MAC的

15、VLAN划分将面临假冒MAC地址的攻击。因此,VLAN的划分最好基于交换机端口。但这要求整个网络桌面使用交换端口或每个交换端口所在的网段机器均属于相同的VLAN。 网络层通讯可以跨越路由器,因此攻击可以从远方发起。IP协议族各厂家实现的不完善,因此,在网络层发现的安全漏洞相对更多,如IP sweep, teardrop, sync-flood, IP spoofing攻击等。3.2 防火墙枝术 防火墙是近年发展起来的重要安全技术,其主要作用是在网络入口点检查网络通讯,根据客户设定的安全规则,在保护部网络安全的前提下,提供外网络通讯。3.2.1 使用Firewall的益处l 保护脆弱的服务 通过过滤不安全的服务,Firewall可以极提高网络安全和减少子网中主机的风险。 例如,Firewall可以禁止NIS、NFS服务通过,F