电视台网络安全解决方案0522

辽宁电视台网络系统安全

规划方案

沈阳荣信华科技有限公司

二00五年五月

一、辽宁电视台当前网络与应用现状分析 (3)

二、辽宁电视台网络安全改造规划 (7)

三、辽宁电视台网络管理解决方案 (17)

四、L AND esk客户端管理解决方案 (24)

（一）LANDesk管理套件主要功能及技术介绍 (25)

1.1资产管理 (26)

1.2 软件分发 (28)

1.3 远程帮助 (31)

1.4软件许可监控 (32)

1.5操作系统部署及配置迁移 (33)

1.6补丁管理器 (34)

（二）LANDesk管理套件的管理目标 (40)

五、辽宁电视台现有服务器安全改进分析 (42)

六、辽宁电视台数据库安全分析 (47)

七、辽宁电视台网络系统改造所需设备配置及实施规划 (49)

一、辽宁电视台当前网络现状分析

辽宁电视台经过多年IT 建设，当前已经建立了规模化的计算机网络应用系统。网络中运行着新闻采编播系统、节目生产管理系统、固定资产管理系统、广告管理系统、电子图书馆系统等各多种应用系统。在网络设备方面，现有核心交换机Passport 8610两台，作分核心层交换设备进行相互负载分担及冗余备份，其下通过双链路连接各楼层交换机BayStack 450-24T ，实现链路冗余备份。其主要的网络设备有Nortel Passport 8610核心交换机两台，楼层交换机Nortel BayStack 450－24T 三十台左右，天融信防火墙 NGFW 4000，绿盟 NIDS ，福信科技的非法外联检测系统等设备，当前网络结构如下：

辽宁电视台当前网络结构图

内部网采用Vlan方式进行逻辑分割，采用天融信防火墙进行内外网的隔离。并且部署了入侵检测，网络防病毒体系。建立了覆盖各部门的计算机应用信息系统。

经我公司对辽宁电视台网络应用系统的全面分析，结合半年来我公司对辽宁电视台IT系统运行维护的经验总结，辽宁电视台当前的网络应用系统，还存在许多不足之处，主要表现在以下几个方面：

1. 网络整体安全性能不够

网络内时常由于蠕虫病毒爆发，造成网络阻塞，正常应用时断时续。服务器时而受到网络攻击，曾经造成FTP服务器的文件丢失。

2. 网络的可管理性较差

辽宁电视台现有客户端计算机800台左右,计算机中心在客户端计算机的日常维护中，需花费大量的人力与时间进行客户机的日常维护管理工作。虽然在网络内部署了瑞星网络版杀毒软件，但由于当前计算机中心管理人员无法对客户端机器进行全面控制，大量客户端机器不安装杀毒软件或曾经安装但现在卸载或停用,计算机中心人员无法对客户端计算机进行管理性控制，瑞星网络版杀毒软件未能起到应有的作用，造成蠕虫病毒交叉感染、严重泛滥，严重影响了网络的正常应用。

同时，由于计算机设备的更新和变化，对台内的计算机设备的管理和统计经常处于一种无序及手工统计的状态，当设备更新频繁时，原本的设备管理记录往往由于管理的滞后和对实际情况的掌握程度不够无法及时更新，从而造成设备管理的混乱；安全漏洞与日俱增，原有的手工安装和分发升级文件包和补丁需要更多的人力资源，还会造成时间的迟滞，影响企业的运行效率，给企业带来损失。非合法办公软件及其他软件的使用，不但造成了生产效率的低下，也给企业的形象造成了极差的影响。

根据我公司在以往的网络维护当中，蠕虫病毒爆发时，对辽宁电视台网络数

据流量的采样分析，下图为某一客户机在某一时刻向网络发送数据包的情况。

在蠕虫病毒爆发时，类似此台客户机向网络内频发大量数据包的机器数量很多，造成网络阻塞，正常应用时断时续。发生此种情况为目前由于计算机中心对客户机的控制能力较弱而引起，为改善此种情况的发生，首要问题是加强计算机中心对全部客户机与整个网络系统的监视与控制能力。

3. 现有服务器安全有待进一步提高

现在台内的服务器应用主要有FTP服务器、Mail服务器、Web服务器以及DNS 服务器。在这里我首先针对服务器设备所存在的问题、隐患进行分析：

1、现在的机房管理制度还不够完善。一些非技术人员可以随意进出机房，有可能导致服务器端的直接故障。

2、现行机房规划不够完善。服务器分布散乱，没有固定标示，而且部分服务暂由PC机承担，导致服务的稳定性受到影响。

3、部分设备老化。导致服务器的效率低下，甚至已经影响到了服务器的正常应用。

4、现行服务器中，存在一些与服务器应用无关的软件、服务、协议，他们的

存在会降低服务器的安全性。

5、现行服务器中，密码口令规律性太强，且较容易被人掌握，需要进一步规范。

6、数据备份策略不完善。导致在数据受损时，不能及时挽回损失。

7、各个服务器权限划分不规范，没能仔细划分用户权限。

8、各个服务器在初始安装以及使用过程中出现问题，存在安全漏洞。

二、辽宁电视台网络安全改造规划

为改善辽宁电视台网络系统的整体安全性能，使辽宁电视台的网络系统应用水平进一步提高，需对辽宁电视台的网络系统进行全面的安全改造。

通过在企业中实施全面、有效、合理的安全措施将达到以下目标：

1、保护企业运营网的业务不间断的正常运作。包括构成网络系统的所有设施、系统、以及系统所处理的数据（信息）。

2、企业中的重要信息在可控的范围内传播，即有效的控制信息传播的范围，防止重要信息泄露给企业外部的组织或人员，如当前的或潜在的竞争对手。

3、以有限的代价，提高企业为其客户提供优于竞争对手的服务的能力，以获得竞争优势。

根据辽宁电视台网络系统的特点，对其网络安全策略的制定力图达到一个整体性的设计考虑。

由于网络信息安全是一个系统工程，任何一个环节的安全漏洞都可能带来全系统的不安全。因此为保证系统的全面安全，我们在网络系统中从系统多个层面入手，采用了多种有效的安全措施来实现网络系统安全。

网络安全结构模型

为简化网络结构复杂度，方便问题的分析，我们将网络结构图简化为网络结

构模块框架图。简化后的系统网络结构模块框架图如下：

在上图中，我们将用户网络分为几个模块：应用服务器群、用户工作站、内网设备、边界路由器（或防火墙）等，其中内网设备包括内部各种网络交换机等。在辽宁电视台的网络环境中，服务器主要为两台Sun 3500作为应用服务器，FTP、WWW、DNS等PC服务器。此服务器部分应为网络安全的重点区域。

网络的安全是一个动态的概念。网络的动态安全模型能够提供给用户更完整、更合理的安全机制，全网动态安全体系可由下面的公式概括：

网络安全 = 风险分析 + 制定策略 + 防御系统+ 实时监测 + 实时响应 + 灾难恢复

即：网络的安全是一个“APPDRR”的动态安全模型，如图所示。

上图的安全模型为网络建立了四道防线：安全保护是网络的第一道防线，能够阻止对网络的入侵和危害；安全监测是网络的第二道防线，可以及时发现入侵

和破坏；实时响应是网络的第三道防线，当攻击发生时维持网络“打不垮”；恢

复是第四道防线，使网络在遭受攻击后能以最快的速度“起死回生”，最大程度上降低安全事件带来的损失。

从安全体系的可实施、动态性角度，动态安全体系的设计充分考虑到风险评估、安全策略的制定、防御系统、监控与检测、响应与恢复等各个方面，并且考虑到各个部分之间的动态关系与依赖性。

进行风险评估和提出安全需求是制定网络安全策略的依据。风险分析（又称风险评估、风险管理），是指确定网络资产的安全威胁和脆弱性、并估计可能由此造成的损失或影响的过程。风险分析有两种基本方法：定性分析和定量分析。在制定网络安全策略的时候，我们要从全局进行考虑，基于风险分析的结果进行决策。采取科学的风险分析方法对公司的网络进行风险分析是非常关键的。

在确认了有关的安全要求的前提下，下一步应是制定及实施安全策略，来保证把风险控制在可接受的范围之内。安全策略的制定，依据相关的国内外标准或行业标准进行设计。安全策略的制定，针对辽宁电视台的网络应用、安全环境、安全目标而量身定制，选择合适的安全体系规划网络的安全。

安全策略制定后，在与用户技术人员进行充分的沟通确认后，进行全网安全策略的实施。包括在交换机上设置访问控制列表（Traffic filter）, 防火墙策略的调整、入侵检测IDS策略的调整等。

经过我公司对辽宁电视台当前网络安全系统的充分分析论证，提出的网络安

全整体规划结构如下：

Sun 3500

下面，基于网络安全系统中各个方面，分析系统的安全风险并提出安全规划建议。（一）内网服务器区域

内网服务器区域的当前网络连接情况如下所示：

小型机SUN 3500及所有PC 服务器都直接连在核心交换机Passport 8610上，网内的所有客户机都可不限权限的对服务器进行访问。服务器区域与内网客户机没有进行安全隔离，存在较大的安全隐患。内网蠕虫病毒爆发，也同时对服务器区域造成较大的安全威胁。

我们建议对服务器区域进行安全隔离，规划后的网络结构如下：

内网区域访问服务器需经过防火墙认证控制，同时，由于防病毒网关的隔离，内网的病毒也无法感染服务器区域，极大的提高了服务器区域的安全性。当前，辽宁电视台内的其他部门还有应用服务器放置在本部门内，没有在计算机中心统一管理。经网络安全改造后，由于服务器区域安全性能的极大提高，此部分服务器可统一放置于计算机中心的服务器区域，提高了访问的安全性，同时方便统一管理，对以前服务器的正常应用不会造成任何影响。

（二）DMZ 区域

原DMZ 区域的网络连接情况如下所示：

防火墙连接只在主核心交换机上，其DMZ 接口连接DMZ 区域交换机，服务器连接在DMZ 交换机上。

规划后的网络结构如下：

采用两台防火墙进行热备配置，分别连接两台核心交换机。设备及链路都进行了冗余配置，提高了网络的健壮性。

（三）Internet 连接

当前连接情况：

防火墙经外网交换机接入Internet 。此区域当前存在一定的安全隐患：首先，防火墙作为企业接入Internet 的出口，占有及其重要的作用，一旦此防火墙出现故障或防火墙与主交换机连接链路出现问题，都会造成全台与Internet 失去连接；其次，当前的防火墙无法对进入网络的病毒进行有效的拦截。

规划后的结构：

新增加一台防火墙和一台防病毒过滤网关。防病毒网关可对进入网络的流量进行有效过滤，使病毒数据包无法进入网络，提高内网的安全性。

当前城域网Internet连接的带宽为20M，根据辽宁电视台未来的应用需求，可考虑网络改造后，将Internet连接带宽升级为100M。

（四）与播出系统的网络连接情况

当前网络由于出于安全性考虑，播出系统与台内的网络系统没有进行连接。在网络安全改造后，由于安全性能的提高，可将两个网络进行连接，提高网络的使用效率。两个网络之间采用防火墙和病毒过滤网关进行安全隔离，即使主网络内即

使有病毒也不会影响到播出系统。

内网网络设备包括网络系统内部二层交换机和三层核心交换设备。它们是网

络访问和网络服务的桥梁，修改或破坏网络设备或配置都会带来用户业务的安全

损失。网络设备可能遭遇的网络攻击有：

非法登入

地址欺骗

服务攻击，如DoS攻击

窃听

要消除和减轻对系统网络设备的安全攻击或危险，对辽宁电视台的网络采取以下措施：

◆利用网络入侵检测系统监视、发现对网络设备的攻击行为，如DoS攻击。

◆利用防火墙（包括边界和主机防火墙）制止非法网络访问和地址欺骗。

◆在核心交换机上配置访问控制列表（Traffic Filter）限制非法用户对网络设备的访问及限制网络中的非法数据流量。

为实时监控网络中可能的对系统内网网络设备的攻击行为，在网络中采用入侵检测产品IDS自动检测网络数据流中潜在的入侵、攻击和滥用行为，提供网络保护功能。

（五）物理设备的安全

在中心机房与外网互连部分使用了部分D-link非网管交换机和集线器，此部分低端网络设备性能不够稳定，且难于进行网络管理。此部分设备一旦出现问题，将会影响全台对Internet的连接，建议对此部分设备进行更换。

现在此部分的线路连接不够规范合理，走线较为凌乱，且没有线路标识，给网络故障的排除造成一定的困难。建议在此部分设备更换后，对线路进行规范整理。

维护及改善机房内的UPS供电系统,确保设备供电的安全性。

（六）荣科公司网络安全的其它建议

仅仅依靠纯技术工具来实现安全目标也是不现实的，经验表明，没有一套好的网络安全管理规章制度、安全风险评估和处置办法等管理手段，没有对具体业务的安全特点和安全环境的正确分析和认识，任何安全技术、产品都解决不了真正的安全问题。一个好的安全管理应包括以下要素：

公司对网络安全高度重视

成员知晓并遵从安全管理规则和指南

完备的安全职责和安全评价方法，处理渠道

了解企业的业务需求，制定相适应的安全措施

了解安全风险所在

长远安全规划

专业的安全管理队伍

采用面向业务的全面安全解决方案

没有两个用户的业务形式、业务行为、业务环境是完全相同的，这就注定每个用户的业务对安全的需求是各不相同的。真正解决用户的安全问题就必须去了

解用户的业务并制定出真正满足用户业务的安全解决方案。

三、辽宁电视台网络管理解决方案

保障全网网络设备的稳定正常运行是保障应用系统正常运行的基础。当前辽宁电视台没有一套系统的网络管理软件对全网进行实时管理故障分析，使网络故障定位比较困难，延缓了网络故障的解决时间，效率较低。在辽宁电视台当前的网络规模下，选择一套系统的网络管理软件平台进行全网的监控与管理已经显得尤为必要。

Tivoli Netview可以满足大型和小型网络管理人员的需要，能够提供可扩展的全面、分布式网络解决方案，以及灵活的管理关键任务的能力。从确保关键业务系统的可用性和提供快速的问题解决方案。

Tivoli Netview网络管理解决方案可以实现：

通过可用性评估和故障隔离来进行问题的管理；

通过一个Web控制台为不同地域的网络管理员提供网络管理功能；

提供一个可扩展、分布式的管理解决方案；

生成网络运行趋势和分析报告。

Tivoli netview生成的网络实时拓扑图：

Tivoli NetView 是IBM 公司著名的网络管理软件，能够提供整个网络环境的

完整视图，实现网络产品的管理。它采用标准的SNMP 协议对网络上符合该协议的设备进行实时的监控，对网络中发生的故障进行报警，从而减少系统管理的管理难度和管理工作量。NetView 以其先进性、可靠性、安全性获得多项大奖，在市场上有较高的占有率。Tivoli Netview 能够帮助企业用户快速实施低成本的网络管理解决方案。

（一）Tivoli Netview 的主要功能

对网络设备的自动发现

自动发现管辖区域内的网上的IP 资源，如：服务器、工作站、路由器和交换机等，并自动以不同的图标表示不同的设备，也可以规定搜索的地址范围。NetView 能够根据发现的数据自动生成整个网络的拓朴图，即可在图形用户界面上再现直观的网络拓扑结构图，使系统管理员对整个区域的网络系统有一个全面的了解。 事件处理/报警

NetView 通过轮循或请示/应答方式对整个网络的设备进行监控，网上IP 资源会在需要的时候发生相应的报告，NetView 可以持续不间断地对网上的IP 资源的状

态，配置和事件进行监控。事件自动响应机制可使网络管理员从手动操作中解放出来。在NetView中可以对某些监控的对象，如某块网卡的网络流量等，设置阀值。当所设定的阀值一旦达到的时候，NetView会报警、自动执行相应的处理等。NetView具有处理网络事件的Correlation Engine的功能。使管理人员只对关键事件加以关注，使其在大网及超大网的事件管理上，达到很高的效率。

两级管理模式

对于大型网络，透过WAN进行单点网络管理时，往往会出现SNMP包占用大量并不宽裕的网络带宽的情况，从而影响客户业务系统的应用。在NetView中可以采用两级管理的模式：

NetView级联：

在中心和一些广域连接的节点，分别安装NetView，对该节点的网络进行管理，然后可将各节点的事件根据重要级别发送到中心的NetView，中心可以对整个网络进行全局管理和控制，从而提高管理效率。

MLM模式：

这是NetView的独特功能，MLM（中级管理器）是在各节点运行的NetView进程，该进程没有界面，不需用户管理。网络管理人员可以在中心通过MLM所具有的过滤、阀值和自动功能对相关进程系统进行管理。

支持多种数据库，促进业务智能：

NetView支持DB2,Sybase,Oracle,Informix等业界著名的数据库管理系统，可以将网络管理数据传入关系型数据库系统中。从而为大量网络管理数据的处理，分析，报表制作提供了方便。

强大的报表功能

NetView产生了大量信息，可以存储在关系型数据库中，所以查询、制作报表十

分简单。

强大的Web集成能力

NetView有极强的Web能力，自带Web Server，支持图形化的拓扑显示。通过Web浏览器，可以实现许多管理能力。

灵活的两次开发接口

网络管理的世界是灵活多变的，NetView提供多种机制让用户扩展功能以满足特殊需要。客户可以对标准的MIB数据进行扩充，建立自己的MIB应用。

企业和服务提供商越来越认识到在当今计算环境中网络管理的重要战略地位。IBM Tivoli NetView 扩展了传统网络管理技术特性，确保关键业务系统的可用性并提供快速问题解决。

IBM Tivoli NetView 检测TCP/IP 网络、显示网络拓扑结构、关联和管理事件和SNMP 陷阱、监控网络运行状况并收集性能数据。通过提供可伸缩性和灵活性，Tivoli NetView 满足了大型网络管理人员的需要，用以管理关键任务环境。

IBM Tivoli NetView 通过以下功能实现其管理目标：

提供可升缩的分布式管理解决方案。

迅速识别导致网络故障的根源。

构建管理关键业务系统的集合。

与领先的软件产品集成，例如CiscoWorks2000。

维护资产管理的设备清单。

评估系统可用性并提供问题控制和管理的故障隔离。

报告网络趋势并进行分析。