企业网络的安全问题分析与对策

企业网络的安全问题分析与对策

——企业网络安全

建设整体规划方案

内容摘要

网络安全问题近年来得到了企业界的广泛关注，企业对自身信息资产的保护意识大为增强。但由于许多大型企业在信息系统建设之初没有系统考虑安全问题，使已形成的不安全的网络架构长期运转。

网络安全整体需求分析与设计是在大中企业网络安全建设的核心，而不是简单购买安全产品，填补所谓的“IT黑洞”。本文介绍了网络安全建设整体规划设计与实现，充分分析了大中型企业网络面临的风险和安全需求，并设计了安全建设整体规划方案。最终目标是形成网络信息安全体系框架，该框架围绕安全方针为核心，形成管理体系、技术体系、保障体系、运维体系。本文为企业集团提供了整体安全解决方案，解决了企业所面临的安全问题，满足了企业的安全需求，有效提高了企业的核心竞争力。

关键词：网络安全、防火墙、VPN、防毒墙

目录

一、项目背景 (1)

（一）总体描述 (1)

（二）企业网络面临的风险 (1)

二、网络安全需求分析 (4)

（一）总体安全需求 (4)

（二）安全产品和技术需求 (6)

（三）安全服务和集成需求 (8)

三、网络安全设计体系 (10)

（一）信息安全体系框架 (10)

（二）方案建设原则 (11)

（三）安全体系设计 (11)

（三）安全实施策略 (15)

四、网络安全解决方案 (16)

（一）部署防火墙和VPN产品 (16)

（二）部署防病毒系统 (17)

（三）部署网络存储备份系统 (18)

五、网络安全部署实例 (18)

（一）防火墙部署实例 (18)

（二）防毒墙部署实例 (20)

六、结束语 (38)

七、参考文献 (38)

企业网络的安全问题分析与对策

——企业网络安全

建设整体规划方案

一、项目背景

（一）总体描述

网络安全问题近年来得到了企业界的广泛关注，企业对自身信息资产的保护意识大为增强。但由于许多大型企业在信息系统建设之初没有系统考虑安全问题，使已形成的不安全的网络架构长期运转。同时，大型企业网络环境复杂、节点众多、地理位置分散、应用复杂等特点的存在还导致了安全系统在分析、设计和实施上的困难。基于以上诸多原因，使企业网络安全建设，特别是大中型企业网络安全建设仍然成为目前网络安全行业实施的难点。本文介绍大中型企业的网络安全建设。

（二）企业网络面临的风险

1. 信息系统面临的安全威协

威胁是一种对系统、组织及其资产构成潜在破坏能力的可能性因素或者事件,主要有两个特点，一威胁总是针对具体的信息资产，比如企业信息网络中的机密及敏感信息、信息网络中的网络资源、信息网络中的关键应用等；二威胁总是在利用信息资产的弱点时，才会造成风险，针对企业信息网络，威胁可利用的弱点的各类缺陷；威胁从形式上划分为威胁来源和威胁手段，信息安全所面临的威胁来自很多方面，针对企业信息网络，其面临的安全威胁有非人为威胁和人为的威胁。

对于企业信息网络的主要威胁来源包括：

敌对国家：由政府主导，有很好的组织和充足的财力；利用国外的服务引擎来收集来自被认为是敌对国的信息；

黑客：攻击网络和系统以发现在运行系统中的弱点或其它错误的一些个人，从而达到自己的特定目标，这些人员可能在系统外部，也可能在系统内部，其对网络的攻击带有很强的预谋性，往往对系统的正常运行造成很大的破坏，或者造成机密信息的外泄；

恐怖分子/计算机恐怖分子：使用暴力或威胁使用暴力以迫使政府或社会同意其条件的恐怖分子或团伙，这些组织或团体会采用收买内部员工的方式，利用社交工程渗透到企业信息网络，造成涉密信息外泄。

内部员工：内部员工包括一些怀有危害局域网络或系统想法的气愤、不满的员工，或者是一些技术爱好者，希望尝试一些技术，这些员工由于掌握了企业信息网络的一些资源，所以攻击成功的可能性很高，并且对系统的破坏也很可观。此外内部员工的误操作行为也会给企业信息网络造成威胁，误操作行为有可能导致信息网络的正常运行被中断，或者重要数据丢失，或者不慎将机密信息带出企业信息网络，造成泄密。

2.信息系统存的脆弱性。

（1）网络方面的

通过上面的分析可以明显地看到信息系统存在着几大安全隐患：

骨干网同互联网、银行等直接相连，会受到互联网等的很大影响。

企业信息系统的骨干网同互联网直接相连，网络暴露在互联网之下，任何扫描、攻击、入侵都会直接影响到企业信息系统的运行。

骨干网建立在中国电信的SDH网络上，信息安全上不可信任。

中国电信的SDH网络为企业信息系统建立了网络的基础设备，但是也要看到，中国电信通过SDH网络能够访问、控制、入侵企业信息系统，在信息安全上中国电信的SDH网络是不被信任的，骨干网必须大大加强防护。

拨号笔记本电脑拨入网络，形成不可控制的网络边界

（2）应用层方面的

在应用层中我们知道：

提供的访问接口为HTTP的方式，传输不安全。

系统仅通过用户名口令进行认证。

终端机用户无认证方式。

各人员的操作日志，缺乏分析方式。

数据库和WEB系统同机保存。

（3）管理方面的

企业信息系统在安全管理方面的脆弱性主要表现在缺乏针对性的安全策略、安全技术规范、安全事件应急计划，管理制度不完善，安全管理和运行维护组织不健全，对规章、制度落实的检查不够等。

3. 安全风险风析。

我们将从骨干通讯链路、办公网、网上业务等，描述各自的安全风险如下：

（1）互联网服务的安全风险

互联网服务主要是公开信息发布。公开信息发布功能由WWW服务器提供。

未来的互联网服务会包括网上业务交易等内容，所以先在必须掌握它的风险，整个服务则必须建立起安全的网上交易控制机制，确保交易信息的秘密性、完整性和交易行为的不可否认性。具体包括：

由于错误地实现访问控制，使攻击者对网上系统的访问未能检测到，从而造成对信息完整性、保密性、或可用性的潜在危害。

互联网黑客伪造网站，欺骗用户；

互联网黑客对网上主页发布服务器的直接攻击；

攻击者通过执行命令、发送数据、或执行其他操作使系统资源对用户失效，资源可能是带宽、处理器时间、内部存储器、数据存储器等。

攻击者通过窃听通信线路获取用户数据。

攻击者为获得消息内容对加密数据使用密码分析。

当截获了有效用户的标识和鉴别数据后，未授权用户在将来使用这些鉴别数据，访问系统提供的功能。

授权用户、信息系统、攻击者下载和执行恶意代码，产生异常的进程，破坏系统资产的完整性、可用性、或保密性。

攻击者欺骗用户使用户与伪造的系统服务交互。

消息的接收者（或发送者）为避免对接收（或发送）的信息负责而否认接收（或发送）过数据。

合法用户滥用授权不正当地收集、修改或发送敏感的或对系统安全关键的数据。

关键系统组件失效导致系统关键功能失败。

（2）互联网访问的安全风险

由于互联网的完全开放性，往往使组织对互联网的访问遇到极大的安全风险，针对企业网络系统，对互联网访问的安全风险主要包括：

对主页服务器的拒绝服务攻击；

黑客渗透；

扫描攻击；

恶意代码攻击；

垃圾邮件攻击；

蠕虫病毒传播；

不健康信息的传播；

网络嗅探攻击。

二、网络安全需求分析

信息系统对安全的需求是任何一种单元安全技术都无法解决的。安全方案的设计必须以科学的安全体系结构模型为依据，才能保障整个安全体系的完备性、合理性。

（一）总体安全需求

1. 物理层安全需求

保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提。对于现代企业物理层的安全策略与解决方案主要考虑以下两个方面：

第一个方面，对主机房及重要信息存储来说：首先要保证重要地点的安全防范工作，如：非工莫入；出入记录；录像监控；门磁、窗磁、红外报警等。以上非工莫入、出入记录可以采用目前先进的IC卡技术、指纹技术、虹膜技术、面纹技术等来实现，可以做到实时记录，方便查询等优点。另外，在机房内外安装摄像机实时记录机房内外的各种情况，便于今后查询。门磁、窗磁、红外报警等作为安全技术防范的辅助手段加以使用，可以获得优异的效果，可以通过门窗、通道放置磁性、红外报警装置，当报警装置被触动后，激发摄像机定位，以便实时记录并触发警报；也可以当报警装置被触动后，激发摄像机定位，启动实时记录并触发警报。

第二个方面，对主机房及重要信息存储等重要部门来说：一旦电源发生故障，就会造成信息的丢失，正常工作无法进行，给不法分子造成可乘之机。

2. 网络层安全需求

网络层的安全需求是信息系统安全的基础安全设施之一，我们可以通过网络环境的分析、网络层风险评估和网络层策略确定网络层的安全需求。

网络层的安全是企业信息网安全的核心和灵魂，我们需要考虑以下的安全策略与解决方案。

（1）网络设备和服务器的身份认证：为了保证企业内部网络中重要的网络设备（路由、交换等）、服务器和其它设备的有序管理，我们可以采用基于第三方认证的集中式的身份认证。

（2）对内部网络不同的安全区域有不同的安全需求，做不同的安全访问控制措施（通过

使用路由交换的ACL或者划分VLan做访问控制的地方尽量去使用原有网络安全设备去做访问控制，对于分支机构不同的安全区域主要是指应用服务核心层和网络接入层之间，要考虑使用防火墙的机制来完成访问控制）

（3）对所有的上网用户的上网行为进行审计，防止利用网络访问非授权网站。

（4）对于重要服务器，网络交换、路由设备的系统日志采取集中的基于行为的审计从根本上防止别人对重要的系统及设备进行攻击。

（5）建立网络安全主动防御机制，采用基于网络的入侵检测系统对企业重要网段和重要应用服务器的安全提供主动性的安全保证措施。

（6）采取脆弱性扫描软件和安全评估服务主动的发现企业信息网中存在的安全隐患，便于先于入侵者发现安全问题，解决安全问题。

3.系统层安全需求

系统层是应用建立的最后一道防线，故在系统层也应该建立良好的安全机制：

及时防御网络病毒和恶意代码的侵害

建立及时检测外部入侵和非法行为

建立及时的响应和报警机制。

利用安全扫描技术实现主机的弱点分析，同时还能实现对其他设备的弱点分析。

重点加强关键主机的防护和加固，全面提升操作系统的安全等级。

实现主动防御，防患于未然。

4.应用层安全需求

在企业网络应用系统中，财务服务器、业务服务器以及办公自动化服务器的传输可能面对如下安全问题。

数据传输的安全性

数据传输的安全性即是要保证在公网上传输的数据不被第三方窃取。

数据的完整性

对数据的完整性需求是指数据在传输过程中不被篡改。

身份验证

由于网上的通信双方互不见面，必须在相互通信时（交换敏感信息时）确认对方的真实身份。

不可抵赖性

在网上开展业务的各方在进行数据传输时，必须带有自身特有的、无法被别人复制的信息，以保证发生纠纷时有所对证。

从信息安全的角度来看，解决信息安全的策略和技术主要有以下方面：

建立基于PKI的统一信任体系。为系统提供身份认证、数字签名。

基于PKI技术实现统一授权管理和统一密钥管理。

对各种用户进行的任何与安全相关的操作进行记录和追踪。

建立内部人员非法操作或发生安全事故后的追查和审计。

5. 管理层安全需求

机房人员管理制度、机房UPS管理制度、机房安全管理制度、网络管理及服务制度、网络管理及服务制度、网络保密管理制度、防病毒管理制度、信息资源管理制度、计算机设备维护管理制度、数据备份管理制度、应急响应预案制度、操作系统及数据库安全管理制度、审计规范制度、公司主页发布信息制度、上互联网规定制度、违法犯罪案件报案制度等制度。

建立对网络设备综合管理的系统

建立对安全系统进行管理的系统

实现对核心业务和服务进行全面管理和报警的安全运行中心

建立相应的紧急应急体系

（二）安全产品和技术需求

1. 主干网络安全需求

行数据通讯时，必须确保数据的秘密性和完整性，防止数据在传输通讯过程中被窃听和篡改，采用在IP层建立虚拟专用网机制来实现对通讯数据的加密。

在IP层建立数据的安全传输机制，确保数据在传输过程中的秘密性和完整性。

2. 服务器区安全需求

（1）业务应用的安全需求

业务应用数据的保密性，可通过网点应用和主机端应用的对称加密方法实现；

业务应用数据的完整性，对业务交易数据包中，增加包含交易信息的数字邮戳，在数字邮戳后附加数字邮戳的MD5校验；

应使用磁条卡或IC卡建立网点操作员的身份认证机制；

对业务的访问应该有较好的审计措施，能够实现对重要服务器访问过程的记录，在发现安全故障后能够及时报警并采取相应的安全措施。

（2）中间业务的安全需求

应建立中间业务网络的隔离机制，防止代理方机侵入内部计算机网络；

应建立交易双方的认证机制，采用数字签名保证交易的不可抵赖性和交易数据的完整性；

应建立安全审计机制，记录双方的交易过程与行为。

3. 办公区安全需求

（1）计算机病毒检测与防范安全

建立严密的防病毒系统，对所有代理服务器进行病毒监测，尤其要保护众多的邮件服务器；建立病毒监测系统，监控病毒的传播。

建立病毒特征码库，动态自动更新防病毒软件的病毒特征码。

（2）关键数据的保密安全

机密数据主要是指敏感经营数据和经济信息，出于办公自动化的需要，这些数据也被放到了企业内部网络上，尽管这些数据并不适合企业的网络管理员看到。如果这些数据不通过独立于操作系统以外的保护机制进行保护以外，这些数据的机密性将受到挑战。

（3）互联网安全访问需求

需要针对互联网进行边界隔离；

需要有抗黑客攻击的边界防护产品；

需要有防扫描的产品；

需要有防垃圾邮件的措施；

需要对终端上网行为进行监测和控制。

（4）终端访问行为审计的需求

安全审计系统是根据跟踪检测、协议还原技术开发的功能强大的安全审计系统为网上信息的监测和审查提供完备的解决方案。它能以旁路、透明的方式实时高速的对进出内部网络的电子邮件和传输信息等进行数据截取和还原，并可根据用户需求对通信内容进行审计，提供高速的敏感关键词检索和标记功能，从而为防止内部网络敏感信息的泄漏以及非法信息的传播，它能完整的记录各种信息的起始地址和使用者，为调查取证提供第一手的资料。

通常安全审计系统为了分析、判断特定行为或者事件是否为违反安全策略的异常行为，需要经过下列四个过程。

数据采集：网络安全审计系统需要采集必要的数据用于审计分析。

数据过滤/协议还原：根据预定义的设置，进行必要的数据过滤及缩略，从而提高检测、分析的效率。同时对数据进行协议还原，提取用户关心的内容数据。

数据存储：将内容数据按一定的策略进行本地或远程存储。

数据分析/审计/报警：根据定义的安全策略，进行审计/分析。一旦检测到违反安全