大型企业网络安全解决方案

大型企业网络安全处理方案第一章本方案为某大型局域网网络安全处理方案，包括原有网络系统分析、安全需求分析、安全目的J确实立、安全体系构造的设计等本安全处理方案的目的是在不影响某大型企业局域网目前业务的前提下，实现对他们局域网全面的安全管理

1.将安全方略、硬件及软件等措施结合起来，构成一种统一的防御系统，有效制止非法顾客进入网络，减少网络日勺安全风险

2.定期进行漏洞扫描，及时发现问题，处理问题3,通过入侵检测等方式实现实时安全监控，提供迅速响应故障的手段，同步具有很好日勺安全取证措施

4.使网络管理者可以很快重新组织被破坏了的文献或应用使系统重新恢复到破坏前的安全系统是建立在网络系统之上的，网络构造日勺安全是安全系统成功建立的基础在整个网络构造的安全面，重要考虑网络构造、系统和路由的优化网络构造的建立要考虑环境、设备配置与应用状况、远程联网方式、通信量日勺估算、网络维护管理、网络应用与业务定位等原因成熟的网络构造应具有开放性、原则化、可靠性、先进性和实用性，并且应当有构造化的设计，充足运用既有资源，具有运行管理的简便性，完善的安全保障体系网络构造采用分层的体系构造，利于维护管理，利于更高日勺安全控制和业务发展网络构造的优化，在网络拓扑上重要考虑到冗余链路；防火墙时设置和入侵检测的I实时监控等

6.2网络系统安全

6.

2.1网络安全检测网络安全检测工具一般是一种网络安全性评估分析软件，其功能是用实践性日勺措施扫描分析网络系统，检查汇报系统存在的弱点和漏洞，提议补救措施和安全方略，到达增强网络安全性日勺目的检测工具应具有如下功能具有网络监控、分析和自动响应功能找出常常发生问题时本源所在；建立必要的循环过程保证隐患时刻被纠正；控制多种网络安全危险漏洞分析和响应配置分析和响应漏洞形势分析和响应认证和趋势分析

6.

2.2网络防病毒由于在网络环境下，计算机病毒有不可估计日勺威胁性和破坏力，一次计算机病毒的防备是网络安全性建设中重要日勺一环所选日勺防毒软件应当构造全网统一的防病毒体系重要面向MAIL、Web服务器，以及办公网段的I PC服务器和PC机等支持对网络、服务器、和工作站区）实时病毒监控；可以在中心控制台向多种目的分发新版杀毒软件，并监视多种目的的I病毒防治状况；支持多种平台的I病毒防备；可以识别广泛的J已知和未知病毒，包括宏病毒；支持对Internet/Intranet服务器的病毒防治，可以制止恶意H勺Java或ActiveX小程序日勺破坏；支持对电子邮件附件H勺病毒防治，包括WORD、EXCEL中日勺宏病毒；支持对压缩文献日勺病毒检测；支持广泛的病毒处理选项，如对染毒文献进行实时杀毒，移出，重新命名等；支持病毒隔离，当客户机试图上载一种染毒文献时，服务器可自动关闭对该工作站口勺连接；提供对病毒特性信息和检测引擎的定期在线更新服务；支持日志记录功能；支持多种方式的告警功能（声音、图像、电子邮件等）等

6.

2.3网络备份系统备份系统为一种目的I而存在尽量快地全盘恢复运行计算机系统所需的数据和系统信息根据系统安全需求可选择的备份机制有场点内高速度、大容量自动区I数据存储、备份与恢复；场点外H勺数据存储、备份与恢复；对系统设备H勺备份备份不仅在网络系统硬件故障或人为失误时起到保护作用，也在入侵者非授权访问或对网络袭击及破坏数据完整性时起到保护作用，同步亦是系统劫难恢复的前提之一

6.3系统安全系统日勺安全重要是指操作系统、应用系统的安全性以及网络硬件平台日勺可靠性对于操作系统日勺安全防备可以采用如下方略对操作系统进行安全配置，提高系统的安全性；系统内部调用不对Internet公开；关键性信息不直接公开，尽量采用安全性高的操作系统应用系统在开发时，采用规范化的I开发过程，尽量的减少应用系统的I漏洞；网络上的服务器和网络设备尽量不采用同一家日勺产品；通过专业的安全工具（安全检测系统）定期对网络进行安全评估在应用安全上，重要考虑通信的授权，传播H勺加密和审计记录这必须加强登录过程日勺认证（尤其使在抵达服务器主机之前口勺认证），保证顾客口勺合法性；另一方面应当严格限制登录者的操作权限，将其完毕的操作限制在最小的范围内此外，在加强主机的管理上，除了上面谈日勺访问控制和系统漏洞检测外，还可以采用访问存取控制，对权限进行分割和管理应用安全平台要加强资源目录管理和授权管理、传播加密、审计记录和安全管理对应用安全，重要考虑确定不一样服务的应用软件并紧密注视其Bug；对扫描软件不停升级状态，最大程度地减少损失

5.在工作站、服务器上安装对应的防病毒软件，由中央控制台统一控制和管理，实现全网统一防病毒第二章网络系统概况

2.1网络概况这个企业的局域网是一种信息点较为密集的千兆局域网络系统，它所联接的既有上千个信息点为在整个企业内办公的I各部门提供了一种迅速、以便欧I信息交流平台不仅如此，通过专线与Internet的连接，打通了一扇通向外部世界的窗户，各个部门可以直接与互联网顾客进行交流、查询资料等通过公开服务器，企业可以直接对外公布信息或者发送电子邮件高速互换技术的采用、灵活的网络互连方案设计为顾客提供迅速、以便、灵活通信平台日勺同步，也为网络的I安全带来了更大日勺风险因此，在原有网络上实行一套完整、可操作的安全处理方案不仅是可行的，并且是必需的I

2.2网络构造的特点在分析这个企业局域网的安全风险时，应考虑到网络时如下几种特点

1.网络与Internet直接连结，因此在进行安全方案设计时要考虑与Internet连结时有关风险，包括也许通过Internet传播进来病毒，黑客袭击，来自Internet的非授权访问等

2.网络中存在公开服务器，由于公开服务器对外必须开放部分业务，因此在进行安全方案设计时应当考虑采用安全服务器网络，防止公开服务器日勺安全风险扩散到内部

3.内部网络中存在许多不一样日勺子网，不一样的子网有不一样的安全性，因此在进行安全方案设计时，应考虑将不一样功能和安全级别的网络分割开，这可以通过互换机划分VLAN来实现

4.网络中有二台应用服务器，在应用程序开发时就应考虑加强顾客登录验证，防止非授权欧I访问第三章网络系统安全风险分析伴随Internet网络急剧扩大和上网顾客迅速增长，风险变得愈加严重和复杂本来由单个计算机安全事故引起的损害也许传播到其他系统，引起大范围的瘫痪和损失；此外加上缺乏安全控制机制和对Internet安全政策的认识局限性，这些风险正日益严重网络安全可以从如下三个方面来理解1网络平台与否安全；2系统与否安全；3应用与否安全；针对每一类安全风险，结合这个企业局域网日勺实际状况，我们将详细的分析网络的安全风险网络构造的安全波及到网络拓扑构造、网络路由状况及网络的环境等公开服务器面临的威胁这个企业局域网内公开服务器区（、EMAIL等服务器）作为企业的信息公布平台，一旦不能运行后者受到袭击，对企业的声誉影响巨大同步公开服务器自身要为外界服务，必须开放对应的服务；每天,黑客都在试图闯入Internet节点，这些节点假如不保持警惕，也许连黑客怎么闯入时都不懂得，甚至会成为黑客入侵其他站点日勺跳板因此，规模比较大网络的J管理人员对Internet安全事故做出有效反应变得十分重要我们有必要将公开服务器、内部网络与外部网络进行隔离，防止网络构造信息外泄；同步还要对外网的服务祈求加以过滤，只容许正常通信的数据包抵达对应主机，其他的祈求服务在抵达主机之前就应当遭到拒绝整个网络构造和路由状况安全日勺应用往往是建立在网络系统之上日勺网络系统的成熟与否直接影响安全系统成功H勺建设在这个企业局域网络系统中，只使用了一台路由器，用作与Internet连结日勺边界路由器，网络构造相对简朴，详细配置时可以考虑使用静态路由，这就大大减少了因网络构造和网络路由导致日勺安全风险所谓系统的安全显而易见是指整个局域网网络操作系统、网络硬件平台与否可靠且值得信任网络操作系统、网络硬件平台日勺可靠性，我们可以这样讲没有完全安全的操作系统不过，我们可以对既有的操作平台进行安全配置、对操作和访问权限进行严格控制，提高系统的安全性因此，不仅要选用尽量可靠日勺操作系统和硬件平台并且，必须加强登录过程日勺认证（尤其是在抵达服务器主机之前的认证），保证顾客的I合法性；另一方面应当严格限制登录者的操作权限，将其完毕的操作限制在最小日勺范围内

3.3应用的安全风险分析应用系统的安全跟详细时应用有关，它波及诸多方面应用系统的安全是动态的、不停变化的应用的安全性也波及到信息的安全性，它包括诸多方面应用日勺安全性波及到信息、数据的安全性信息的安全性波及到机密信息泄露、未经授权欧I访问、破坏信息完整性、假冒、破坏系统的I可用性等由于这个企业局域网跨度不大,绝大部分重要信息都在内部传递，因此信息的机密性和完整性是可以保证的对于有些尤其重要的信息需要对内部进行保密的（例如领导子网、财务系统传递日勺重要信息）可以考虑在应用级进行加密，针对详细的应用直接在应用系统开发时进行加密第四章安全需求与安全目的

4.1安全需求分析通过前面我们对这个企业局域网络构造、应用及安全威胁分析，可以看出其安全问题重要集中在对服务器的）安全保护、防黑客和病毒上因此，我们必须采用对应的安全措施杜绝安全隐患，其中应当做到公开服务器日勺安全保护防止黑客从外部袭击入侵检测与监控病毒防护数据安全保护数据备份与恢复针对这个企业局域网络系统的实际状况，在系统考虑怎样处理上述安全问题口勺设计时应满足如下规定

1.大幅度地提高系统日勺安全性（重点是可用性和可控性）；

2.保持网络原有的能特点，即对网络的协议和传播具有很好的透明性，能透明接入，无需更改网络设置；

3.易于操作、维护，并便于自动化管理，而不增长或少增长附加操作；

4.尽量不影响原网络拓扑构造，同步便于系统及系统功能的I扩展;

5.安全保密系统具有很好的性能价格比，一次性投资，可以长期使用;

6.安全产品具有合法性，及通过国家有关管理部门的承认或认证；

7.分布实行

4.2系统安全目的J建立一套完整可行的网络安全与网络管理方略将内部网络、公开服务器网络和外网进行有效隔离，防止与外部网络的直接通信建立网站各主机和服务器的安全保护措施，保证他们的系统安全对网上服务祈求内容进行控制，使非法访问在抵达主机前被拒绝加强合法顾客的访问认证，同步将顾客的访问权限控制在最低程度全面监视对公开服务器的访问，及时发现和拒绝不安全日勺操作和黑客袭击行为备份与劫难恢复——强化系统备份，实现系统迅速恢复第五章网络安全方案总体设计

5.1安全方案设计原则在对这个企业局域网网络系统安全方案设计、规划时，应遵照如下原则综合性、整体性原则应用系统工程H勺观点、措施，分析网络H勺安全及详细措施安全措施重要包括专业措施（识别技术、存取控制、密码、低辐射、容错、防病毒、采用高安全产品等）一种很好的安全措施往往是多种措施合适综合的应用成果一种计算机网络，包括个人、设备、软件、数据等这些环节在网络中的地位和影响作用，也只有从系统综合整体的角度去看待、分析，才能获得有效、可行的措施需求、风险、代价平衡的原则对任一网络，绝对安全难以到达，也不一定是必要时对一种网络进行实际额研究（包括任务、性能、构造、可靠性、可维护性等），并对网络面临时威胁及也许承担的风险进行定性与定量相结合日勺分析，然后制定规范和措施，确定本系统欧I安全方略一致性原则一致性原则重要是指网络安全问题应与整个网络的工作周期（或生命周期）同步存在，制定日勺安全体系构造必须与网络的安全需求相一致安全的网络系统设计（包括初步或详细设计）及实行计划、网络验证、验收、运行等，都要有安全的J内容光焕发及措施,实际上，在网络建设的开始就考虑网络安全对策，比在网络建设好后再考虑安全措施，不仅轻易，且花费也小得多分步实行原则由于网络系统及其应用扩展范围广阔，伴随网络规模的扩大及应用的I增长，网络脆弱性也会不停增长一劳永逸地处理网络安全问题是不现实日勺同步由于实行信息安全措施需相称的费用支出因此分步实行，即可满足网络系统及信息安全的基本需求,亦可节省费用开支多重保护原则任何安全措施都不是绝对安全的I,都也许被攻破不过建立一种多重保护系统，各层保护互相补充，当一层保护被攻破时，其他层保护仍可保护信息的安全

5.2安全服务、机制与技术安全服务安全服务重要有控制服务、对象认证服务、可靠性服务等；安全机制访问控制机制、认证机制等；安全技术防火墙技术、鉴别技术、审计监控技术、病毒防治技术等；在安全的开放环境中，顾客可以使用多种安全应用安全应用由某些安全服务来实现；而安全服务又是由多种安全机制或安全技术来实现的I应当指出，同一安全机制有时也可以用于实现不一样日勺安全服务第六章网络安全体系构造通过对网络的全面理解,按照安全方略附规定、风险分析的成果及整个网络日勺安全目日勺,整个网络措施应按系统体系建立详细的安全控制系统由如下几种方面构成物理安全、网络安全、系统安全、信息安全、应用安全。