《企业网络安全系统方案设计》由会员分享，可在线阅读，更多相关《企业网络安全系统方案设计（15页珍藏版）》请在金锄头文库上搜索。
1、企业网络安全方案设计摘 要：在这个信息技术飞速发展的时代，许多有远见的企业都认识到很有必要 依托先进的 IT 技术构建企业自身的业务和运营平台来极大地提升企业的核心竞 争力，使企业在残酷的竞争环境中脱颖而出。经营管理对计算机应用系统的依赖 性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络 结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高 的要求。本文主要通过安全体系建设原则、实例化的企业整体网络安全方案以及 该方案的组织和实施等方面的阐述，为企业提供一个可靠地、完整的方案。关键词： 信息安全、企业网络安全 、安全防护一、引言随着国计算机和网络技术的迅
2、猛发展和广泛普及，企业经营活动的各种业务 系统都立足于 Internet/Intranet 环境中。但随之而来的安全问题也在困扰着用 户。Internet所具有的开放性、国际性和自由性在增加应用自由度的同时，对安 全提出了更高的要求。一旦网络系统安全受到严重威胁，甚至处于瘫痪状态，将 会给企业、社会、乃至整个国家带来巨大的经济损失。应此如何使企业信息网络 系统免受黑客和病毒的入侵，已成为信息事业健康发展所要考虑的重要事情之O般企业网络的应用系统，主要有WEB、E-mail、OA、MIS、财务系统、 人事系统等。而且随着企业的发展，网络体系结构也会变得越来越复杂，应用系 统也会越来越多。但从整个
3、网络系统的管理上来看，通常包括部用户，也有外部 用户，以及外网之间。因此，般整个企业的网络系统存在三个方面的安全问题：(1) Internet的安全性：随着互联网的发展，网络安全事件层出不穷。近 年来，计算机病毒传播、蠕虫攻击、垃圾泛滥、敏感信息泄露等已成为影响最为 广泛的安全威胁。对于企业级用户，每当遭遇这些威胁时，往往会造成数据破坏、 系统异常、网络瘫痪、信息失窃，工作效率下降，直接或间接的经济损失也很大。（2）企业网的安全性：最新调查显示，在受调查的企业中60%以上的员工 利用网络处理私人事务。对网络的不正当使用，降低了生产率、阻碍电脑网络、 消耗企业网络资源、并引入病毒和间谍，或者使得
4、不法员工可以通过网络泄漏企 业，从而导致企业数千万美金的损失。所以企业部的网络安全同样需要重视，存 在的安全隐患主要有未授权访问、破坏数据完整性、拒绝服务攻击、计算机病毒 传播、缺乏完整的安全策略、缺乏监控和防技术手段、缺乏有效的手段来评估网 络系统和操作系统的安全性、缺乏自动化的集中数据备份及灾难恢复措施等。（3）部网络之间、外网络之间的连接安全：随着企业的发展壮大及移动办公 的普及，逐渐形成了企业总部、各地分支机构、移动办公人员这样的新型互动运 营模式。怎么处理总部与分支机构、移动办公人员的信息共享安全，既要保证信 息的及时共享，又要防止的泄漏已经成为企业成长过程中不得不考虑的问题。各 地
5、机构与总部之间的网络连接安全直接影响企业的高效运作。二、以某公司为例，综合型企业网络简图如下，分析现状并分析 需求：手网二图说明图一企业网络简图对该公司的信息安全系统无论在总体构成、信息安全产品的功能和性能上也 都可能存在一定的缺陷，具体表现在：（1）系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在 较大的风险。（2 ）原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的 网络安全隐患，产品亟待升级。（3 ）经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依 赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机 应用系统的正常运行对网络安全
6、提出了更高的要求。（4 ）计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公 司总部数据中心，因此有必要加强各计算机应用系统的用户管理和身份的认证， 加强对数据的备份，并运用技术手段，提高数据的性、完整性和可用性。由以上分析可知该公司信息系统存在较大的风险，信息安全的需求主要体现在如下几点：（1）某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应 用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护 的覆盖面，增加新的安全防护手段。（2）网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某 公司计算机网络安全面临更大的挑战，原有的产品进行升级
7、或重新部署。（3）信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要 求，为此要加快规章制度和技术规的建设，使安全防的各项工作都能够有序、规 地进行。（4）信息安全防是一个动态循环的过程，如何利用专业公司的安全服务，做 好事前、事中和事后的各项防工作，应对不断出现的各种安全威胁，也是某公司 面临的重要课题。三、设计原则安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行，避免重复投入、重复建设，充分考虑整体和局部的利益。具体如下：1. 标准化原则2. 系统化原则3. 规避风险原则4. 保护投资原则5. 多重保护原则6. 分步实施原则、企业网络安全解决方案的思路1.安
8、全系统架构安全方案必须架构在科学网络安全系统架构之上，因为安全架构是安全方案设计和分析的基础。随着针对应用层的攻击越来越多、威胁越来越大，只针对网络层以下的安全 解决方案已经不足以应付来自应用层的攻击了。举个简单的例子，那些携带着后 门程序的蠕虫病毒是简单的防火墙VPN安全体系所无法对付的。因此我们建议 企业采用立体多层次的安全系统架构。这种多层次的安全体系不仅要求在网络边 界设置防火墙VPN，还要设置针对网络病毒和垃圾等应用层攻击的防护措施， 将应用层的防护放在网络边缘,这种主动防护可将攻击容完全阻挡在企业部网之 外。2安全防护体系攻击防I恢复击应急 应信息安全防应做整体的考虑，全面覆盖信息
9、系统的各层次，针对网络、系统、 应用、数据做全面的防。信息安全防体系模型显示安全防是一个动态的过程，事 前、事中和事后的技术手段应当完备，安全管理应贯穿安全防活动的始终。如图 二所示：图说明图二网络与信息安全防体系模型3企业网络安全结构图通过以上分析可得总体安全结构应实现大致如图三所示的功能:图说明图三总体安全结构图1网络安全认证平台证书认证系统无论是企业部的信息网络还是外部的网络平台都必须建立在 个安全可信的网络之上目前解决这些安全问题的最佳方案当数应用PKI/CA 数字认证服务。PKI（Public Key Infrastructure，公钥基础设施）是利用公开密钥 理论和技术建立起来的提
10、供在线身份认证的安全体系，它从技术上解决了网上身 份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向 用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统，建立一个 完善的网络安全认证平台，能够通过这个安全平台实现以下目标：1) 身份认证(Authentication):确认通信双方的身份，要求通信双方的身 份不能被假冒或伪装，在此体系过数字证书来确认对方的身份。2) 数据的性(Confidentiality):对敏感信息进行加密，确保信息不被泄露， 在此体系中利用数字证书加密来完成。3) 数据的完整性(Integrity):确保通信信息不被破坏(截断或篡改)，
11、通过哈 希函数和数字签名来完成。4)不可抵赖性(Non-Repudiation):防止通信对方否认自己的行为，确保通 信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。2. VPN系统VPN(Virtual Private Network)虚拟专用网，是将物理分布在不同地点的网 络通过公用骨干网(如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理 方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。通过安装部署VPN系统，可以为企业构建虚拟专用网络提供了一整套安全 的解决方案。它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以 及密钥交换技
12、术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的 私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接。集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配 置。3. 网络防火墙采用防火墙系统实现对部网和广域网进行隔离保护。对部网络中服务器子网 通过单独的防火墙设备进行防护。其网络结构一般如下:iliHlP ISISHP:企业园区网裁图说明图防火墙此外在实际中可以增加入侵检测系统，乍为防火墙的功能互补，是供对监控 网段的攻击的实时报警和积极响应等功能。4. 病毒防护系统应强化病毒防护系统的应用策略和管理策略，曾强勤业网络的病毒防护功能。这里我们可以选择瑞星网络版
13、杀毒软件企业版。瑞星网络杀毒软件是一个专 门针对网络病毒传播特点开发的网络防病毒软件，通过瑞星网络防病毒体系在网 络客户端和服务器上建立反病毒系统，并且可以实现防病毒体系的统一、集中管 理，实时掌握、了解当前网络计算机病毒事件，并实现对网络的所有计算机远程 反病毒策略设置和安全操作。5. 对服务器的保护在一个企业中对服务器的保护也是至关重要的。在这里我们选择电子为例来 说明对服务器保护的重要性。电子是Internet上出现最早的应用之一。随着网络的快速发展，电子的使 用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在网络上传播。然而由于网络的开放性和协议自身的缺点，电子存在着很大的安全隐
14、患。目前广泛应用的电子客户端软件如OUTLOOK支持S/MIME（ Secure Multipurpose Internet Mail Extensions ），它是从 PEM（Privacy Enhanced Mail）和MIME（Internet的附件标准）发展而来的。首先，它的认证机制依 赖于层次结构的证书认证机构,所有下一级的组织和个人的证书由上一级的组织 负责认证，而最上一级的组织（根证书）之间相互认证，整个信任关系基本是 树状的。其次，S/MIME将信件容加密签名后作为特殊的附件传送。保证了信 件容的安全性。下图五是系统保护的简图（透明方式）：图说明图五系统保护6. 关键网段保护企
15、业中有的网段上传送的数据、信息是非常重要的，应此对外应是的。所 以这些网段我们也应给予特别的防护。简图如下图六所示。图说明图六关键网段的防护7. 日志分析和统计报表能力对网络的安全事件也应都作出详细的日志记录，这些日志记录包括事件名 称、描述和相应的主机IP地址等相关信息。此外，报表系统还应自动生成各种 形式的攻击统计报表，形式包括日报表，月报表，年报表等，通过来源分析，目 标分析，类别分析等多种分析方式，以直观、清晰的方式从总体上分析网络上发生的各种事件，有助于管理人员提高网络的安全管理。8. 部网络行为的管理和监控除对外的防护外，对网络的上网行为也应该进行规，并监控上网行为，过滤 网页访问
16、，过滤，限制上网聊天行为，阻止不正当文件的下载。企业部用户上网 信息识别度应达到每一个URL请求和每一个URL请求的回应。通过对网络部网 络行为的监控可以规网络部的上网行为，提高工作效率，同时避免企业部产生网 络安全隐患。因此对于桌面微机的管理和监控是减少和消除部威胁的有效手段。桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管 理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。分别有 以下几种系统：1）电子签章系统禾I用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术，可 以无缝嵌入OFFICE系统，用户可以在编辑文档后对文档进行签章，或是打开文 档时验
