《内部网络安全防护系统的设计与实现》由会员分享，可在线阅读，更多相关《内部网络安全防护系统的设计与实现（48页珍藏版）》请在金锄头文库上搜索。
1、内部网络安全防护系统的设计与实现摘要：计算机网络是信息社会的基础，己经进入社会的各个角落。但网络本身的开放性、无界性等等特性，在给工作、学习、生活带来巨大便利的同时一，也带来了一些不容忽视的问题，网络安全就是其中最为显著的问题之一。本论文根据内部网络的结构特点，首先分别对内部网络的物理层、网络层、系统层、应用层、管理层进行了安全风险分析和需求分析，其次针对内部网络的这五个方面存在的问题设计了网络安全防护系统。最后从各个层面上具体部署了安全产品，构建了系统安全运行的平台，确保内部网络信息的安全，规范了网内用户的操作，并形成了一套完善的管理方法。本论文从内部网络入手，通过对内部网络结构的介绍，根据
2、内部网络安全防护的需求，构筑涉密计算机信息网络系统完整、安全、可靠、可控的保密安全防范体系，最大限度地消除网络目前尚存的安全隐患及漏洞，使计算机信息系统中的涉密数据及信息的机密性、完整性、可用性得到可靠的保护。关键词：网络安全；内部网络；风险分析；防护系统；安全产品目录引言第1章现存内部网络安全风险分析1.1 网络拓扑1.2 安全风险分析第2章安全防护系统设计2.1 网络安全方案设计的原则2.2 网络安全防护系统的设计第3章网络安全防护系统的实现3.1 安全产品选型的原则3.2 网络层安全产品3.3 应用层安全产品3.4 安全审计产品第4章系统运行及评估结束语致谢参考文献内部网络安全防护系统的
3、设计与实现引言1、问题的提出计算机网络是信息社会的基础，己经进入社会的各个角落。经济、文化、军事和社会生活越来越多地依赖计算机网络。在信息化时代的今天，政府部门、企事业单位计算机网络的应用范围逐步扩大。各类基于网络结构的信息系统大量涌现，所涉及的秘密信息更加广泛。由于网络的开放性体系结构，系统的安全控制和网络管理机制较弱，易受攻击和非授权访问，各种计算机信息暴露在各种攻击之下，安全保密已成为建设信息系统需要解决的首要问题之一。因此，研究信息安全关键技术，提由网络信息系统的安全保密体系，提高信息安全保障能力，解决计算机网络系统的安全保密问题，对信息系统和秘密信息实施可靠的保护，是一项迫切需要解决
4、的重大课题。在信息化迅猛发展的同时，信息安全事件日渐增多，政治和文化风险不断加大。网络泄密现象不胜枚举、触目惊心，网络窃密无孔不入、危害巨大。另据有关权威部门统计，目前网络泄密发案数已占泄密案件总数的70%,并呈逐年增长趋势，使国家利益受到严重损害。因此，网络和信息安全问题己不仅仅是信息系统本身的问题，而是事关经济发展、社会稳定、国家安全的重大问题。随着电子政务应用的推广，各部门之间、本系统内部的交流也电子化，遭遇病毒的感染和破坏几率也随之增加。可以想象，如果病毒爆发，轻者，部分工作站受损，工作效率下降；重者，数据库服务器的数据被破坏、丢失，文件服务器被攻击后造成内部信息化管理的混乱，所有服务
5、将处于瘫痪状态，其损失无疑是巨大的。尽管该网络与外界物理隔离，一定程度上避免了外部人员通过网络的攻击，但安全问题和隐患依然存在。据统计，大约80%的安全威胁均来自系统内部，和来自外部的威胁相比，来自内部的攻击和犯罪更难防范，而且是网络安全威胁的主要来源。例如：内部人员有意或无意泄密、更改记录信息；内部非授权人员有意偷窃机密信息、更改记录信息；内部人员破坏信息系统；内部人员的无意识的误操作造成数据丢失；内部人员好奇心的尝试造成恶性攻击，作为“合法用户”，他们通常能够很容易访问网络，了解网络系统及其缺陷，实际上也给本单位带来了严重威胁。目前，网络安全受到高度重视，网络安全产品也层出不穷，本论文将结
6、合本单位内部网络的实际问题，对网络安全产品有选择的做出评判取舍，以便找到一个适合的安全解决方案。2、国内外网络和信息安全现状计算机网络在给人们带来便利的同时，也带来了一些不容忽视的问题，网络安全就是其中最为显著的问题之一。网络安全问题随着网络基础设施的建设和互联网的迅速普及而激增，并随着信息网络的不断更新而愈显严重。电脑病毒、黑客攻击、系统漏洞等等，使得网络安全问题不断增多，而且有可能会长期存在下去。换而言之，计算机与网络发展同安全问题呈现一种正比关系，即随着信息网络技术的发展，也会带来新的和更多的安全问题。根据美国防务新闻2003年5月12日的报告，2002处入侵国防部网络的企图约发生450
7、00次，国防部网络安全事故为1890次，美国商务和学术界网络信息安全事故为82094次，预计2003年全年将达到18万次以上。欧美等国家金融机构的计算机网络被入侵的比例高达77%。2011年1月19日，中国互联网络信息中心(CNNIC在京发布了第27次中国互联网络发展状况统计报告显示，截至2010年12月底，我国网民规模达到4.57亿，较2009年底增加7330万人。国家信息化发展预示着我国面对的将是一个更加开放的数字化、网络化和信息化的发展环境，同时网络和信息安全问题也逐渐凸现。2002年3月，国家信息化领导小组把电子政务建设作为今后一个时期我国信息化工作的重点，各地方、各部门积极响应，建立
8、了不同规模的政务网、商务网，但据有关部门统计，国内90%以上的网站存在严重的安全漏洞，网络的安全问题正面临着严重的威胁。国际上信息安全研究起步旱，力度大，积累多，应用广。在20世纪70年代美国的网络安全技术基础理论成果“计算机保密模型”的基础上，指定了“可信计算机系统安全评估准则”(ICSEC,其后又制定了关于网络系统数据库方面和系列安全解释，形成了安全信息系统体系结构的准则。安全协议作为信息安全的重要内容，其形式化方法分析始于20世纪S0年代初，目前有基于状态机、模态逻辑和代数工具的三种分析方法，但仍有局限性和漏洞，处于发展的提高阶段。作为信息安全关键技术密码学,近年来空前活跃。1976年美
9、国学者提由的公开密钥密码体制，克服了网络信息系统密钥管理的困难，同时解决了数字签名问题，它是当前研究的热点。而电子商务的安全性己是当前人们普遍关注的焦点，目前正处于研究和发展阶段，它带动了论证理论、密钥管理等研究，由于计算机运算速度的不断提高，各种密码算法面临着新的密码体制，如量子密码、DNA密码、混沌理论等密码新技术正处于探索之中。当人类步入21世纪这一信息社会、网络社会的时候，我国将建立起一套完整的网络安全体系，特别是从政策上和法律上建立起有中国自己特色的网络安全体系。一个国家的信息安全体系实际上包括国家的法规和政策，以及技术与市场的发展平台。我国在构建信息防御体系时，着力发展自己独特的安
10、全产品。3、网络安全的主要威胁和漏洞3.1 内部泄密和破坏内部人员可能对信息网络形成的威胁包括：内部泄密人员有意或无意泄密、更改记录信息；内部非授权人员有意偷窃机密信息、更改记录信息；内部人员破坏信息系统等。3.2 截收网络攻击者可能通过搭线或在电磁波辐射范围内安装截收装置等方式，截获机密信息，或通过对信息流量和流向、通信频度和长度等参数的分析，推由有用信息。这种方式是过去军事对抗、政治对抗和当今经济对抗中最常采用的窃密方式，也是一种针对计算机通信网的被动攻击方式，它不破坏传输信息的内容，不易被察觉。3.3 非法访问非法访问是指未经授权使用信息资源或以未授权的方式使用信息资源，它包括：非法用户
11、（通常称为黑客）进入网络或系统，进行违法操作；合法用户以未授权的方式进行操作。3.4 破坏信息的完整性网络攻击者可能从三个方面破坏信息的完整性篡改一改变信息流的次序、时序、流向，更改信息的内容和形式；删除一删除某个消息或消息的某些部分；插入一在消息中插入一些信息，让接收方读不懂或接收错误的信息。3.5 冒充网络攻击者可能进行的冒充行为包括：冒充领导发布命令、调阅密件；冒充主机欺骗合法主机及合法用户；冒充网络控制程序套取或修改使用权限、口令、密钥等信息，越权使用网络设备和资源；接管合法用户，欺骗系统，占用合法用户的资源。3.6 破坏系统的可用性网络攻击者可能从以下几个方面破坏计算机通信网的可用性
12、：使合法用户不能正常访问网络资源；使有严格时间要求的服务不能及时得到响应：摧毁系统等。3.7重放重演指的是攻击者截收并录制信息，然后在必要的时候重发或反复发送这些信息。例如，一个实体可以重发含有另一个实体鉴别信息的消息，以证明自己是该实体，达到冒充的目的。3.8 抵赖可能由现的抵赖行为包括：发送信息者事后否认曾经发送过某条消息；发送信息者事后否认曾经发送过某条消息的内容；接收信息者事后否认曾经收到过某条消息；接收信息者事后否认曾经收到过某条消息的内容。3.9 其他威胁对计算机通信网的威胁还包括计算机病毒、电磁泄漏、各种灾害、操作失误等。4论文来源网络安全是要保护用户业务的安全，离开用户的业务来
13、谈安全无疑是没有意义的。实际工作中，每个用户的业务都是各有不同的，这导致他们对安全的需求也是各不相同的。本文根据某单位现有内部网络情况进行介绍，从现有网络的物理层、网络层、系统层、应用层和管理层这五方面进行安全风险分析。然后依据这五个层面存在的安全风险及网络的实际需求，提出安全防护的设计思想，从各个层面加强网络的安全。第1章现存内部网络安全风险分析1.1 网络拓扑某单位有一内部网络，该网络与其他网络（互联网、系统内网）物理隔离，现有客户端近万台，分布在公司多个部门，因为各部门涉密程度不一样，要求其相互问涉密信息不能互访，共享信息交换只能通过信息中心。信息中心有单独的封闭房问作为中心服务器机房和
14、中心配线机房，中心服务器机房有该局内部网络的web服务器、数据库服务器、业务专用服务器等，中心配线机房有CISCO4006作为全公司的核心交换机，用光纤连接到楼层配线间，用双绞线或光纤连接到各服务器。楼层配线间共有五个，分布在各个楼层内，负责本楼层各部门，楼层配线间的交换机全部是CISCO3500系列，各交换机到客户端平台采用双绞线连接。根据现有计算机网络的业务应用特点，必须保证网络中的数据具有实时性、机密性、安全性、完整性、可用性、不可抵赖性以及可审计性等，安全问题如果得不到解决，将直接影响网络发展及工作效率，带来严重的安全隐患。1.2 安全风险分析传统的网络体系结构存在诸多不安全因素。为了
15、保证涉密计算机信息系统的完整、安全、可靠，必须在系统结构的设计上增强安全功能，提高防范能力。网络安全必须架构在科学的安全体系和安全框架之上。安全框架是安全方案设计和分析的基础。内部信息网作为本单位业务工作的主要的信息平台，是一个涉密网络。为了系统地描述和分析安全问题，根据内部网络及应用实际情况出发，根据信息系统的安全要求，本节将从层次结构的角度展开，详细分析内部网络各个层次可能存在的安全漏洞和安全风险，并提出解决方案。我们从以下几个层面对存在的安全风险进行详细分析针对某单位网络的情况，把网络的信息安全划分为五个层次，从低层往上依次为物理层、网络层、系统层、应用层及管理层。1.2.1 物理层安全
16、及需求物理安全是整个网络信息安全的基础和前提。物理安全应考虑到环境安全和设备、设施安全。为保护计算机设备、设施（含网络）以及其他媒体免遭地震、水灾、火灾、有害气体和其他环境事故（如电磁污染等）破坏及各种以物理手段进行违法犯罪行为导致的破坏、丢失。主要包括环境安全、设备安全、媒体安全等方面。在环境安全上，主要指涉密系统所在的环境的安全，包括防毁、防电磁泄漏等内容。为此在核心机房内，要施行严格的保安制度，配备好防火、防盗报警等设备。外来信号的干扰破坏、电子线路、计算机主机（服务器等）及其附属电子设备如视频显示终端、打印机等在工作时不可避免地会产生电磁波辐射，这些辐射中携带有计算机正在进行处理的数据信息。尤其是显示器，
