计算机网络构建企业级网络方案

计算机网络课程设计显然，为保证信息网络系统的物理安全，除在网络规划和场地、环境等要求之外，还要防止系统信息在空间的扩散计算机系统通过电磁辐射使信息被截获而失密的案例已经很多，在理论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米的复原显示给计算机系统信息的工作带来了极大的危害为了防止系统中的信息在空间上的扩散，通常是在物理上探取一定的防护措施，来减少或干扰扩散出去的空间信号政府、军队、金融机构在建设信息中心时都将成为首要设置的条件正常的防措施主要在三个方面；

1、对主机房与重要信息存储、收发部门进行屏蔽处理，即建设一个具有高效屏蔽效能的屏蔽室，用它来安装运行主要设备，以防止磁鼓、磁带与高辐射设备等的信号外泄为提高屏蔽室的效能，在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设计，如信号线、线、空调、消防控制线，以与通风、波导，门的关起等

2、对本地网、局域网传输线路传导辐射的抑制，由于电缆传输辐射信息的不可避免性，现均采光缆传输的方式，大多数均在Mod6m出来的设备用光电转换接口，用光缆接出屏蔽室外进行传输

3、对终端设备辐射的防，终端机尤其是CRT显示器，由于上万伏高压电子流的作用，辐射有极强的信号外泄，但又因终端分散使用不宜集中采用屏蔽室的办法来防止，故现在的要求除在订购设备上尽量选取低轴射产品外，目前主要采取主动式的干扰设备如干扰机来破坏对应信息的窃取，个别重要的首脑或集中的终端也可考虑采用有窗子的装饰性屏蔽室，这种方法虽降低了部份屏蔽效能，但可大大改善工作环境，使人感到在普通机房一样工作本方案暂不考虑这方面的安全网络安全

4.2网络安全主要涉与网络结构的安全和网络系统的安全网络结构安全涉与网络结构的合理性和可扩展性，网络系统的安全涉与到很多容，根据用户的实际情况本方案中只涉与了访问控制、入侵检测、病毒防护、数据的备份等，由于用户网络中已经有了病毒防护和数据的备份防护措施，所以下面的描述只涉与到了访问控制和入侵检测技术网络结构安全

4.

2.1在网络结构的安全方面，主要考虑优化网络结构、路由的优化和可扩展性网络结构的建立要考虑地域环境、现有线路状况、设备配置与应用情况、通信量的估算、网络维护管理、网络应用与业务定位等因素成熟的网络结构应具有开放性、标准化、可靠性、先迸性和实用性，并且应该有结构化的设计，充分利用现有资源，具有运营维护管理的简便性，完善的安全保障体系网络结构采用分层的体系结构，利于维护管理，利于更高的安全控制和业务发展网络结构的优化，在网络拓扑上主要考虑冗余链路、冗余路由，动态路由协议的安全认证，专用网管链路等；在企业网络的建设中我们方案在核心采用2台高端3层交换机，采用HSRP技术互为备份，实现备份与负载功能；采用VLAN技术，将网络根据业务关系划分为若千个强度不同安全域，减少网络广播数据包，减少数据冲突，提高带宽利用率，保障网络安全、稳定运转；在接入层交换机到核心层交换机之间采用双链路（STP技术），保障接入层到核心层的实时畅通；采用QOS技术来保障关键应用有可靠的带宽路由的优化，主要涉与到以下几个方面；防止单点失败；隔离路由波动；消除循环路由；较小的时延；使用路由认证，保证动态路由的安全；在企业网络的建设中我们方案采用浮动静态路由、动态路由、策略路由的方式实现路由的冗余备份可扩展性，网络发展极为迅速，用户需求也在不断提高，当为扩展业务围而增加设备时，能够方便、有效地接入，不至于因网络结构的局限性，而重新调整网络设备，由此而带来不安全因素；在在企业网络的安全建设中我们方案采用成熟的网络技术来构建这个网络基础设施，例如采用

802.3技术，也就是目前普遍使用的以太网技术根据网络目前的实际情况，现有的网络结构仍然保持不变，在下一次网络改造中主要遵循这个原则就可以了访问控制

5.

2.2企业网络系统的访问控制可以通过配备访问控制设备来实现对于部网络，根据用户实际的业务数据流向和我们对网络安全的理解与经验，我们重新划分了不同强度的网络安全域要实现不同安全域之间的访问控制，在实现高效的访问控制的同时，又要保证网中关键的业务数据可以正常通过防火墙设备通过配置安全的访问控制策略可以过滤进、出防火墙的数据包；管理进、出网络的访问行为；封堵某些禁止的访问；记录通过防火墙的信息容和活动；对网络攻击的检测和告警根据需要我们重新划分了七个网络安全域，在不同的安全域之间分别放置了防火墙设备，设备的部署情况描述如下

1、根据网业务数据的实际情况，我们在核心交换机和CATALYST3500之间部署一台天融信公司的NGFW4000-E防火墙产品，以保障所有对安全域一中的数据库迸行调用时长连接的正常转发，不会因为防火墙的原因造成数据调用的失败，从而影响正常的业务应用

2、由于网络视频、视频会议、网络等应用对防火墙的要求很高，不断要求防火墙能够对H.

323、MMS、RTSP、NETMeeting、SIP等协议有很好的支持，并且对防火墙的转发率、对数据的延迟、丢包率以与对突发数据的处理能力都有严格的要求，因此在单独部署了一台清华德实公司的防火墙产品，以满足业务对防火墙的这种高要求的需要

3、在安全域二和核心交换机之间部署一台清华德实公司的防火墙，这样不仅能够保护原有的设备投资，也能够满足基本的访问控制的要求

4、在安全域三中部署了很多常见应用服务器，包括WEB服务器、服务器、DNS服务器等，这些服务器对网络的稳定性、转发速率和安全性有非常高的要求，一旦这些服务器出现问题整个办公系统将会瘫痪，严重影响办公效率，因此在安全域三和核心交换机之间部署一台天融信公司的NGFW4000防火墙，并且在服务器的前端部署冠群金辰公司的KSG防病毒过滤网关，以满足基本的访问控制的要求和系统对网络的稳定性、转发速率和安全性的高要求O

5、安全域四是部终端用户区，分部在各个楼层，并且链路是光纤接口，如果部署防火墙系统，一是设备数量很多，二是光纤设备非常昂贵，这样部署防火墙设备的造价很高，大量的投入也并不能提高网络的安全状况，但我们可以在连接终端用户的三层交换机端口上迸行简单的访问控制，满足基本的访问控制要求能否实现这个功能要看三层交换机的功能

6、在安全域五和核心交换机之间部署一台清华德实公司的防火墙，这样不仅能够保护原有的设备投资，也能够满足基本的访问控制的要求

7、在安全域六和核心交换机之间部署一台清华德实公司的防火墙，这样不仅能够保护原有的设备投资，也能够满足基本的访问控制的要求天融信防火墙NGFW4000在保证高可用性和高可靠性的同时还在以下几个方面起着重要的作用

1.通过防火墙的规则设置隔离了数据库安全域与其它安全域，实现了保护关键业务的应用、控制对服务器的访问、记录和统计网络利用数据以与非法使用数据和策略执行等功能到数据库安全域的全部通信都受到防火墙的监控，通过防护墙的策略可以设置成相应的保护级别，以保证系统的安全

2.过滤网络中不必要传输的无用数据防火墙是一种网关型的设备，各个区域之间的通信，可以通过防火墙的添加规则策略保障，如果在防火墙上添加一些有关重要应用的策略，就可以过滤掉部分无用的信息，只要网络中传输必要的应用数据，比如封闭目前常见的蠕虫病毒使用的端口

3.防火墙具有流量控制的特性，可以依据应用来限制流量，来调整链路的带宽利用，如在网络中，有数据库调用应用、域登陆应用等等，可以在防火墙中直接加载控制策略，使数据库调用应用、域登陆应用按照预定的带宽进行数据交换实现流量控制，调整链路带宽利用的功能

4.在天融信防火墙上还可以防止恶意的部员工通过网络对数据库安全域的服务器TCP/UDP端口进行非法扫描，消除系统安全的隐患可防止恶意的部员工通过网络对数据库安全域的服务器进行源路由攻击、IP碎片包攻击、DNS/RIP/ICMP攻击、SYN攻击、拒绝服务攻击等多种攻击天融信防火墙提供入侵检测的功能，当发现重要服务器被攻击时，防火墙将自动报警并根据策略进行响应

5.对于防火墙自身来说，日志的导出、日志服务器的安装，可使得通过防火墙的数据访问加以统计，为优化网络提供必要的数据，日志服务器可以完成，每个不同的源访问的流量统计，可以了解到每个源的流量是否在正常围，等等这样的数据对于网络安全是十分重要的

6.防火墙提供应用级透明代理，可以对高层应用（、FTPSMTPPOP

3、NNTP）做了更详细控制，如命令（GET，POST，HEAD）与URL，FTP命令（GEI，PUT）与文件控制，也就是说，在的网络中当通过防火墙对数据库安全域进行访问时，可在应用层上做更详细的访问控制

7.通过在数据库安全域添加入侵检测系统，保证入侵检测系统与防火墙产生联动当网络中发生攻击时，向防火墙发送策略，将攻击行为迸行过滤，使攻击行为的数据无法到达目的主机，实际上是斩断了攻击的路径如此往复，可以提供大量时间来追测攻击源，采取相应措施全面的联动延长了安全管理的触角，增加了安全管理的手段，加大了安全管理的强度入侵检测

4.

2.3防火墙的主要功能是对迸出防火墙的数据进行访问控制，防火墙无法阻止由于防火墙配置有误或者绕过防火墙而进入网络的非法数据数据一旦通过防火墙进入网络后，如果操作系统或者应用系统本身存在漏洞，由于防火墙系统是一个静态、被动的设备，这时候就无能为力了，入侵检测系统作为防火墙的一个有益补充，完全可以胜任此工作入侵检测是根据已有的、最新的攻击手段的信息代码对进出各个安区域的所有操作迸行主动的实时监控、审查，并按制定的策略实行响应（阻断、报警、发送E-mail），同时进行日志记录，并且入侵检测系统的动态防御还能实现入侵检测系统和防火墙与其它特定网络安全系统之间的互动（如路由器），动态的保护网络不受恶意的入侵与来自于部的攻击根据企业网的实际网络环境以与应用情况，我们方案目前只在数据库安全域部署一套入侵检测系统，以后可以根据业务的重要程度在需要的安全域添加入侵检测系统似实现对数据迸行主动的实时监控、审查，以发现违规行为，并对违规行为进行处理（报警、阻断、与防火墙进行联动等）管理员也可以定期的生产各种报表，根据报表与时的调整安全策略，完善网络中存在的安全问题病毒防护

5.

2.4目前企业网已经部署了一套完整的防病毒解决系统，包括客户端防病毒、服务器防病毒、群件系统防病毒、网关防病毒系统以与统一的升级、管理、监控，但面对日益猖狂的病毒，特别是蠕虫型的病毒，单靠一套完整的防病毒系统已经难以解决问题一套优秀的防病毒解决方案不但要有一套完整的技术解决方案，还要有一个勤奋努力的网络管理员和严格的管理制度数据备份与恢复

4.

2.5备份系统为一个目的而存在存档备份；当需要时，尽可能快地全盘恢复运行计算机系统所需的数据和系统信息根据系统安全需求可选择的备份机制有场地高速、高容量自动的数据存储、备份与恢复，场地外的数据存储、备份与恢复；对系统设备的备份备份不仅在网络系统硬件故障或人为失误时起到保护作用，也在入侵者非授权访问或对网络攻击破坏数据完整性时起到保护作用，同时亦是系统灾难恢复的前提之一一般的数据备份操作有三种一是全盘备份，即将所有文件写入备份介质；二是增量备份，只备份那些上次备份之后更改过的文件，是最有效的备份方法；三是差量备份，备份上次全盘备份之后更改过的所有文件嗔优点是只需两组磁带就可恢复最后一次全盘备份的磁带和最后一次差分备份的磁带在进行备份的过程中，常使用备份软件，它一般应具有以下功能备份数据的完整性，并具有对备份介质的管理能力；支持多种备份方式，可以定时自动备份，还可设置备份自动启动和停止日期；支持多种文件格式的备份；支持多种校验手段（如字节校验、CRC循环冗余校验、快速磁带扫描），以保证备份的正确性；提供联机数据备份功能；支持RAID容错技术和图像备份功能安全管理在企业网络系统中，已经根据自己实际的业务需求建立了比较完善的备份与恢复系统

4.3面对网络安全的脆弱性，除了在网络设计上增加安全服务功能，完善系统的安全措施外，还必须花大力气加强网络的安全管理规的建立但为诸多的不安全因素恰恰反映在组织管理和人员录用等方面，而这又是计算机网络安全所必须考虑的基本问题，所以应引起各计算机网络应用部门领导的重视安全管理可以通过相应的规章制度来实现制订完善的管理制度，包括机房安全管理制度，安全设施系统操作制度，网络、系统安全操作规程，数据备份制度，普通用户操作规等.安全管理原则

5.

3.1网络信息系统的安全管理主要基于三个原则

1、多人负责原则每一项与安全有关的活动嘟必须有两人或多人在场这些人应是系统主管领导指派的，他们忠诚可靠，能胜任此项工作；他们应该签署工作情况记录以证明安全工作已得到保障以下各项是与安全有关的活动1访问控制使用证件的发放与回收；2信息处理系统使用的媒介发放与回收；3处理信息；4硬件和软件的维护；5系统软件的设计、实现和修改；6重要程序和数据的删除和销毁等；

2、任期有限原则一般地讲，任何人最好不要长期担任与安全有关的职务，以免使他认为这个职务是专有的或永久性的为遵循任期有限原则，工作人员应不定期地循环任职，强制实行休假制度，并规定对工作人员进行轮流培训，以使任期有限制度切实可行

3、职责分离原则在信息处理系统工作的人员不要打听、了解或参与职责以外的任何与安全有关的事情，除非系统主管领导批准出于对安全的考虑，下面每组的两项信息处理工作应当分开1计算机操作与计算机编程；2资料的接收和传送；3安全管理和系统管理；4应用程序和系统程序的编制；5访问证件的管理与其它工作；6计算机操作与信息处理系统使用媒介的保管等

4.

3.

2.安全管理的实现信息系统的安全管理部门应根据管理原则和该系统处理数据的性，制订相应的管理制度或采用相应的规具体工作是；

1、根据工作的重要程度，确定该系统的安全等级根据确定的安全等级，确定安全管理的围

2、制订相应的机房出入管理制度对于安全等级要求较高的系统，要实行分区控制，限制工作人员出入与己无关的区域出入管理可采用证件识别或安装自动识别登记系统，采用磁卡、身份卡等手段，对人员迸行识别、登记管理

3、制订严格的操作规程操作规程要根据职责分离和多人负责的原则，各负其责，不能超越自己的管辖围

4、制订完备的系统维护制度对系统进行维护时，应采取数据保护措施，如数据备份等维护时要首先经主管部门批准，并有安全管理人员在场，故障的原因、维护容和维护前后的情况要详细记录

5、制订应急措施要制订系统在紧急情况下，如何尽快恢复的应急措施，便损失减至最小建立人员雇用和解聘制度，对工作调动和离职人员要与时调整相应的授权第五章安全设备配置上面列出了我们对企业网系统网络安全措施的总体原则，下面结合具体网络结构情况，就安全设备的配置和相应的安全策略做一描述企业网网络安全拓扑图

5.1DTUPrimar DNSSeconai yDNSRouterHubWUWV ServerlllllllllllllllllllllllllllPrinterFiles ServerDatabaseServerplication Server针对该企业深刻认识到业务要发展，必须提高企业的部核心竞争力，而建立一个方便快捷安全的通信网络综合信息支撑系统，已迫在眉睫根据该企业的行业特点和用户需求，从实际出发，制定合理的设计原则和行之有效的方案从现场勘察，到各个步骤的规划，每一步做到缜密的设计本次设计主要针对企业网络构建规划方案进行简单设计，对企业网络的组建，各楼层信息点划分，企业网络拓扑图设计，使用防火墙与其设备的介绍，网络安全方案等关键词企业网络,安全，天融信防火墙图

5.1企业网网络安全设备配置图企业网网络安全设备配置列表

5.2企业网网络安全设备配置见下表表

5.1企业网网络安全配置表序号产品名称产品型号数量生产商备注1入侵检测系统NGIDS-E1台启明星辰已有防火墙系统NGFW4000-E1台天融信公司新增2NGFW40001台天融信公司已有防火墙4台清华德实已有3病毒防护系统网络版防病毒软件1套已有防病毒网关1台冠群金辰已有第六章附件防火墙产品介绍

6.1产品名称NG FW-4000生产厂商天融信公司天融信公司是我国最早专业从事因特网（Internet）与计算机通信网络信息安全研究、产品开发、系统集成与安全服务的高科技企业之一1996年6月，天融信公司就推出了我国第一套具有完全国自主的防火墙系统，并在相关单位成功应用目前，天融信公司已成功开发出了防火墙系列产品和其他信息安全产品，并分别获得了公安部、国家安全部、国家局、国家密码管理委员会、中国人民解放军总参谋部等国家或军队信息安全主管部门的许可或认证天融信公司推出的网络安全系列产品在国的邮电、电子、教育、科研、国防等行业与国家政府部门、企事业单位得到广泛应用，赢得了政府、社会和用户的广泛赞誉天融信防火墙4000的特性采用自主的专用安全操作系统，保证了防火墙自身的安全性；一般建立在通用操作系统之上的防火墙，它的安全性很大程度上依赖操作系统本身的安全，采用专用操作系统的防火墙，极大提高了防火墙自身和所保护网络的安全性模块化结构设计，可扩展性好，方便用户定制与升级；网络卫士防火墙使用模块化设计，可依据用户的特定安全需求定制采用面向对象的管理；面向对象的管理方式，极大的提高了管理的方便性和灵活性可选VPN模块；防火墙拥有VPN模块，可以更加安全地实现对企业网的保护全状态检测技术；状态检测技术是任何一个高性能防火墙必须采用的技术，能保证最高水平的网络安全和性能采用独创的透明路由混合工作模式，方便灵活接入和部署；网络卫士防火墙支持多种工作模式，可以透明接入与透明连接5不影响原有网络设计和配置；也可以路由模式接入5提供路由功能；还有独创的混合工作模式，使透明模式和路由模式同时工作，极大提高网络应用的灵活性高性能，高吞吐率；防火墙的接入不影响原来网络的性能，消除了传统防火墙的网络带宽瓶颈，有效的保证了用户使用的高效性和安全性专用硬件设计；高集成度，高可靠性采用多接口设计；防火墙的多接口设计一方面可以灵活适用用户网络的改变，另一个更为重要的方面是可以形成多个网络，并将其中一个网络作为SSN即把这个网络（一般是对外公共服务器网络）作为一个独立网络来处理SSN的方法提供的安全性要比传统的“隔离区（DMZ）”方法好得多，因为DMZ网络只起到了将公共服务器与部网相分离的作用，并没有起到隔离子网的作用而SSN更好的达到了一种保护子网的作用对SSN上的主机既可单独管理，也可设置成通过FTP、Telnet等方式从部网上迸行管理多种安全灵活的管理方式，保证了管理的灵活性；本地、远程多种管理方式，安全策略的定义既有GUI模式、又可采用命令行的形式，保证了整个网络高性能、可伸缩性和灵活的管理控制在迸行远程管理时，管理机和防火墙之间的通讯可进行加密以保证安全，真正实现远程管理提供负载均衡功能，保证系统在安全的环境中达到最高的性能提供双机热备份功能，增加系统运行中的安全性天融信防火墙基本功能1）防火墙应支持多种工作模式；透明、路由以与透明加路由的混合模式2）防火墙访问控制策略能够基于源、目IP地址，源、目端口号和时间进行设置3）支持IP与MAC地址的绑定，可以扩展IP+mac+用户名密码同时绑定，彻底防止IP盗用4）身份认证协议支持,具有多个认证方案,如RADIUS、OTP、S/KEY、SECURE ID、TACACS/TACACS+、口令方式、数字证书等5）防火墙应采用先进的状态检测技术6）可支持动态、静态、双向的网络地址转换（NAT）7）具备完善的日志功能，能够提供日志自动导出功能，支持向日志服务器导出日志8）能够与第三方安全产品迸行联动，尤其是与IDS产品的联动，注明联动协议，举例说明9）支持分级带宽管理，可以利用防火墙对带宽进行精细的控制10）应支持常见的动态路由协议，如OSPF、RIP、RIPH，支持生成树协议并能参与生成树算法计算11）防火墙应支持SNMP协议，同时提供相应的MIB库文件，能通过第三方网管软件对防火墙迸行监测和控制12）可扩展支持VPN功能13）要求能够提供基于源地址和目的地址的路由功能14）应支持

802.IQ、Cisco ISL等VLAN协议，不仅能够识别协议而且可以给VLAN做路由15）支持WATCH DOG电路，能够实现防火墙的自动检测和恢复16）支持基于服务器的负载均衡技术，支持基于网络的负载均衡技术17）支持基于数据库的长连接应用技术性能指标1）标准提供3个10/lOOBase-TX自适应百兆端口，可以扩展到7个接口；2）最大并发连接数在1600，000以上；3）吞吐量不低于100M；4）平均无故障时间MTBF不低于60000小时天融信安全服务介绍

6.2专业的安全服务描述

6.

2.1天融信科技公司是经国家信息安全产品测评认证中心认证通过的第一批具有网络安全服务资质的单位，同时公司拥有专业的通过国家认可的可信的安全服务专业人员，目前主要提供以下服务容；安全顾问服务

1、根据用户的安全需求协助其制定安全方针、安全策略

2、在安全方针、安全策略的指导下为客户设计详细的安全解决方案，包括管理方案、技术方案、运行维护方案

3、根据方案为客户设计产品招标书、服务招标书、评标原则安全评估服务

1、信息资产的界定

2、信息资产的赋值

3、资产弱点的评估

4、资产面临威胁的评估

5、现有安全措施的评估

6、安全弱点综合分析

7、安全威胁综合分析

8、安全风险综合分析评估包括技术评估、业务评估、管理流程评估三个层面；技术评估层面包括人工评估和采用安全工具进行扫描、渗透测试等手段业务和管理流程评估侧重于人工访谈和调查安全检测加固服务

1、利用安全工具或者通过人工服务对客户信息系统的脆弱性、配置、策略等进行检测

2、根据检测结果，利用多种技术手段对客户信息系统迸行安全加固、策略调整和配置优化安全通告服务以安全通告的形式为客户提供最新的安全动态、安全漏洞信息、病毒信息、安全培训信息等；同时为客户提供对应的解决方案，包括漏洞补丁的下载地址、病毒的预防方法、需要在设备上做哪些配置改动等TCSP认证培训学期40课时，约五天，理论教学+实践演示；有教材、教学连续剧VCD；网上考试，通过者颁发TCSE认证证书，主要针对信息安全管理维护人员、信息安全实施人员等CISP认证培训学期56课时，理论教学+实践演示；有教材、教学连续居I VCD；国家信息安全测评中心命题、监考、发证，通过者颁发CISP认证证书安全管理服务

1、天融信安全运营中心对客户的设备或者服务器迸行远程在线监控，包括设备的连通性、设备的流量、资源利用率等，发现问题与时通知客户迸行处理

2、对客户设备的日志进行远程审计和分析，将被监控设备的日志安全的传输到天融信安全运营中心，由安全专家进行审计，定期为客户提供相应的审计报告和方案方案

3、定期为客户提供安全通告服务安全应急响应服务

1、最短时间修复系统

2、查找入侵来源，清除系统中的后门

3、对被入侵系统进行安全增强和加固

4、为客户提供详细的解决方案

5、提供详细的事件处理报告安全认证咨询服务

1、标准导入

2、风险评估；对信息系统迸行全面风险评估

3、管理体系建设；根据风险评估结果，建立一套风险管理体系，包括建立程序文件、部署安全技术与产品等

4、审，同时为客户培养审员

5、邀请第三方认证机构进行安全认证

6、通过认证后获得系统安全认证证书服务围

6.

2.2经用户书面授权许可操作的各种网络、主机系统服务方式

7.

2.3现场、、远程连接技术支持服务实现目标

8.

2.4国际标准IS017799定义信息安全具有保护以下三个方面的特点；a）性；保证信息只被经过授权的人使用；b）完整性；保护信息与处理方法的精确与完整；c）可用性；保证当经过授权的用户需要时即可享用信息与相关资产要实现的信息安全是可通过实施合适的信息安全管理来获得的，这些管理可以是策略、实践、进程、机构结构和软件等这些管理的建立需要保证满足机构特定的安全目标安全目标可以理解为以下几点要素

4、授权机制

5、审计能力

6、，灰复能力服务标准和规

9.

2.5ISO15408/GB/T18336信息技术安全技术信息技术安全性评估准则，第一部分简介和一般模型ISO15408/GB/T18336信息技术安全技术信息技术安全性评估准则，第二部分安全功能要求ISO15408/GB/T18336信息技术安全技术信息技术安全性评估准则，第三部分安全保证要求网络Baseline ProtectionManual/Model FederalAgency ofSecurity inInformationTechnology,GermanyCanadian Handbookon InformationTechnology Security,1997IS017799Part I,Code ofPractice forInformation SecurityManagementIS017799Part II，Specification forInformation SecurityManagement SSE-CMM天融信在提供的安全服务中，除了依据相关的国和国际标准之外，还要参考一些没有成为国际和国标准，但是已经成为业界事实上标准的一些规和约定总结我们已经踏入了飞速发展的信息工程时代，时代要求我们要加强自身的各项专业能力，以应付我们即将踏入的社会所给予我们的考验和锻炼通过完成本次的课程设计，自身能力有所长进，很多学习的理论知识终于有所实现，解决问题思路也变得更加清晰了，面对问题也更加有逻辑性了在设计过程中，也遇到了很多的困难，要想将课程设计做得更加完善，还得真下上一番功夫所锻炼的不只是我们学到的知识和技能，更重要的是锻炼了我们的实际动手操作能力和应付各种困难的应变能力此外，在本次的课程设计中，对网络中相关知识理论方面的理解也更迸一步的加深了，让我懂得规划一个企业网络需要具备丰富的网络知识和经验，使我初步了解了构建一个企业网络的设计流程与步骤，与此同时，在准备此次的课程设计的过程中，也更好的拓展了自己的知识面，掌握了很多更好的学习方法，相信这便是此次课程设计中最大的收获主要参考资料

[1]希仁.计算机网络教程.人民邮电，

2006.[21Peterson L.L.andDavie B.S puterNetworks ASystem ApprochMorgan Kaufmann.:机械工业，

33.

34.

35.

46.

47.

48.

74.

74.

84.

[3]雷振甲.网络工程师教程.清华大学，

20044.

114.

124.

3.

139.

3.

206.

207.

228.

229.

3.1网络安全的总体设计思想是围绕MPDR2模型的，要实现企业网络系统的安全，就要从保护、检测、响应、恢复与管理五个方面对纵向网信息系统建立一套全方位的信息保障体系PProtection:防护DDetection:扫描、检测RResponse:回应RRecovery:恢复/备份MManagement管理保护；安全保护技术包括访问控制技术、身份认证技术、加密技术、数字签名技术、系统备份等信息系统的保护是安全策略的核心容检测;检测的含义是对信息传输容的可控性的检测，包括对信息平台访问过程的检测，对违规与恶意攻击的检测，对系统与网络弱点与漏洞的检测等等检测使信息安全环境从单纯的被动防护演进到积极防御，从概念化安全对策演变到在对整体安全状态认知基础上的有针对性的对策，并为迸行与时有效的安全响应以与更加精确的安全评估奠定了基础回应；响应是保证在任何时候信息平台能高效正常运行，要求安全体系提供有力的响应机制包括在遇到攻击和紧急事件时与时采取措施，例如关闭受到攻击的服务器；反击进行攻击的；按系统的安全状况加强和调整安全措施等等恢复；狭义的恢复指灾难恢复，在系统受到攻击的时候，评估系统受到的危害与损失，按紧急响应预案进行数据与系统恢复，启动备份系统恢复工作等广义的恢复还包括灾难生存等现代新兴学科的研究保证信息系统在恶劣的条件下，甚至在遭到恶意攻击的条件下，仍能有效地发挥效能管理；管理是实现整个网络系统安全的重要保证，有了安全网络环境，但缺乏有效的安全管理，安全就很难得以维持，只有建立严格安全管理制并强制执行，才能适应网络安全的动态性和整体性网络安全是一个整体目标如果全面的保护仍然不能确保安全，就需要检测来为响应创造条件；有效与充分地响应安全事件将大大减少对保护和恢复的依赖；恢复能力是在其它措施均失效的情形下的最后保障机制因此，要在网络上构筑有效的安全保障体系，必须投入必要的资源，全面加强五个方面的技术与管理，实现整体网络的安全目标安全方案设计原则

3.2在对企业网迸行网络系统安全方案的设计和规划时，我们遵循以下原则需求、风险、代价平衡的原则

3.

2.1对任何一个网络，绝对安全难以达到，也不一定是必要的对一个网络要进行实际的研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁与可能承担的风险进行定性与定量相结合的分析，然后制定相应的规和措施，确定系统的安全策略

3.

2.2综合性、整体性原则应运用系统工程的观点、方法，分析网络的安全与具体措施安全措施主要包括；行政法律手段、各种管理制度（人员审查、工作流程、维护保障制度等）以与专业技术措施（访问控制、加密技术、认证技术、攻击检测技术、容错、防病毒等）一个较好的安全措施往往是多种方法适当综合的应用结果一致性原则

3.

2.3一致性原则主要是指网络安全问题应与整个网络的工作周期（或生命周期）同时存在，制定的安全体系结构必须与网络的安全需求相一致安全的网络系统设计（包括初步或详细设计）与实施计划、网络验证、验收、运行等，都要有详实的容与措施实际上，在网络建设的开始就考虑网络安全对策，比在网络建设完成后再考虑安全措施，不但容易，而且花费也少很多易操作性原则

3.

2.4安全措施需要人去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性；其次，措施的采用不能影响系统的正常运行适应性与灵活性原则

3.

2.5安全措施必须能随着网络性能与安全需求的变化而变化，要容易适应、容易修改和升级・多重保护原则

3.26任何安全措施都不是绝对安全的，都可能被攻破但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全网络安全是整体的、动态的网络安全的整体性是指一个安全系统的建立，即包括采用相应的安全设备，又包括相应的管理手段安全设备不是指单一的某种安全设备，而是指几种安全设备的综合网络安全的动态性是指，网络安全是随着环境、时间的变化而变化的，在一定环境下是安全的系统，环境发生变化了（如更换了某个机器），原来安全的系统就变的不安全了；在一段时间里安全的系统，时间发生变化了（如今天是安全的系统，可能因为黑客发现了某种系统的漏洞，明天就会变的不安全了），原来的系统就会变的不安全所以，网络安全不是一劳永逸的事情对于企业网的网络建设，我们的方案采取以上的原则，先对整个网络迸行整体的安全规划，然后，根据实际状况建立一个从防护一检测一响应的基础的安全防护体系，保证整个网络安全的最根本需要第四章网安全技术实现方案通过对企业网网络应用的全面了解，根据企业网网络的实际情况，按照安全风险、需求分析的结果以与网络的安全目标，我们从物理安全、网络安全、管理安全等几个方面对现有的网络进行分析物理安全

4.1保证计算机信息系统各种设备的物理安全是保障整个企业网网络系统安全的前提物理安全是保护计算机网络设备、设施以与其它媒体免遭地震、水灾、火灾等环境事故以与人为操作失误或错误与各种计算机犯罪行为导致的破坏过程它主要包括三个方面环境安全对系统所在环境的安全保护，如区域保护和灾难保护；（参见国家标准GB50173-93《电子计算机机房设计规》、国标GB2887-89《计算站场地技术条件》、GB9361-88《计算站场地安全要求》）设备安全；主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰与电源保护等；通过严格管理与提高员工的整体安全意识来实现媒体安全；包括媒体数据的安全与媒体本身的安全。