企业网络安全解决方案
《NEWT770网络安全管理》结课考核
企业网络安全解决方案
班级：
姓名:
学号:
日期:
【摘要】随着信息技术和信息产业的发展,企业面临日益增加的网络安全威胁，采取措施加强安全防护愈显重要,许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。网络安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。
【关键字】信息安全;网络入侵；PＫＩ；VPＮ；数据加密
1 引言
以Inｔeｒnｅt为代表的全球性信息化浪潮，使得信息网络技术的应用日益普及,越来越多的企业建立了自己的企业网络，并与Internet相联。在网络中存储、传输和处理的信息有许多是重要的政府宏观调控决策、商业经济信息、银行资金转账、股票证券、能源资源数据、科研数据等重要信息。这些有的是敏感性信息,有的甚至是国家机密。所以不可避免会受到各种主动或被动的人为攻击，如信息泄漏、信息窃取、数据篡改、数据增删、计算机病毒等。近年来,垃圾邮件日益蔓延,企业网页不时遭到黑客篡改攻击,计算机病毒泛滥成灾，网络信息系统中的各种犯罪活动已经严重危害着社会的发展和企业的安全,给全球的企业造成了巨大的损失。下面将以某企业为例主要对网络入侵进行分析并提出解决方案。
2 网络整体分析
2.1信息化整体状况
1)计算机网络
某企业计算机通过内部网相互连接,根据公司统一规划,通过防火墙与外网
互联。在内部网络中,各计算机在同一网段,通过交换机连接。
２)应用系统
经过多年的积累,该企业的计算机应用已基本覆盖了经营管理的各个环节,
包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善,计算机应用也由数据分散的应用模式转变为数据日益集中的模式。
2.2 信息安全现状
为保障计算机网络的安全，公司实施计算机网络安全项目，基于当时对信息安全的认识和安全产品的状况，信息安全的主要内容是网络安全,防止网络入侵、防病毒服务器等网络安全产品，为提升了公司计算机网络的安全性，使其在范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥作用。
2.3网络入侵行为分析
网络入侵威胁归类来源主要分三大类：
1）物理访问：指非法用户能接触机器，坐在了计算机面前,可以直接控制终端乃至整个系统。
2)局域网内用户威胁：一般指局域网内用户,具有了一般权限后对主机进行非法访问。
3)远程入侵:外部人员在通过Inｔernｅt或者拨号的方式远程非法访问主机获取非法访问。
2.4防火墙的局限性分析
网络服务器上各种各样的应用程序的弱点和操作系统的很类似,一个被开放的服务,如果存在漏洞,防火墙是无能为力的。防火墙技术是内部网最重要的安全技术之一,是一个很好的安全策略，其主要功能就是控制对受保护网络的非法访问，它通过监视、限制、更改通过网络的数据流，一方面尽可能屏蔽内部网的拓扑结构，另一方面对内屏蔽外部危险站点，用以防范外对内、内对外的非法访问。但防火墙也有其明显的局限性，有一种普遍存在的观念认为，防火墙可以识别攻击并且冻结这些攻击，这是其实是不对的。这里我们做一些介绍。
１）防火墙难以防止应用程序的漏洞:
如果被防火墙视为正常服务的程序存在漏洞（如wｅb服务）,那么黑客利用这种漏洞成功就等于已经绕过了防火墙。在这种情况下,他可以用最高的权限做任何事情，窃取数据,破解密码，启动任何一个程序，甚至是任意转帐，最后将系统日志删去而轻松离去。在入侵者特别小心的情况下,如果不采取特殊措施，这种破坏无任何蛛丝马迹可循。
2)防火墙难于防内:
防火墙的安全控制只能作用于外对内或内对外，即:对外可屏蔽内部网的拓扑结构，封锁外部网上的用户连接内部网上的重要站点或某些端口，对内可屏蔽外部危险站点，但它很难解决内部网控制内部人员的安全问题。即防外不防内。而据权威部门统计结果表明，网络上的安全攻击事件有70%以上来自内部攻击，而对于金融证券业来说，这种内部的入侵行为更达到了80%以上。
3）防火墙难于管理和配置,易造成安全漏洞
防火墙的管理及配置相当复杂,要想成功地维护防火墙,要求防火墙管理员对网络安全攻击的手段及其与系统配置的关系有相当深刻的了解。防火墙的安全策略无法进行集中管理。一般来说，由多个系统(路由器、过滤器、代理服务器、网关、堡垒主机)组成的防火墙,管理上有所疏忽是在所难免的。而过于严密的过滤规则必将影响到系统的正常服务。随着利用系统致命漏洞获取最高权限的入侵方法的流行,根据美国财经杂志统计资料表明，以前只有30%的入侵发生在有防火墙的情况下，而现在上升到超过了45%。
４)防火墙安全控制的弱点
防火墙的安全控制主要是基于ＩP地址的，难于为用户在防火墙内外提供一致的安全策略，许多防火墙对用户的安全控制主要是基于用户所用机器的IＰ地址而不是用户身份，这样就很难为同一用户在防火墙内外提供一致的安全控制策略，限制了企业网的物理范围。
5)防火墙不是一种动态的防御系统：
比如低级的入侵技术如Back Orifice后门,很多最新的防火墙版本能阻止这些行为，但只能做到80%。因为防火墙是靠识别入侵者发送的包中的头8个字节来断定它是Ｂack Oｒiｆｉce的入侵的。有经验的黑客完全可以利用更改包头的办法来进行欺骗，绕过防火墙的访问控制。而相比之下,网络入侵预警检测系统能识别和分析可疑报文，从而达到防止未知入侵行为的目的（在已知的黑客攻击手段中，大多数的攻击行为都具有某种相似的特征）。
３风险与需求分析
3.１风险分析
通过对我们信息系统现状的分析,可得出如下结论:
1)经营管理对计算机应用系统的依赖性增强,计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大,网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。
2)计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心,因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份,并运用技术手段,提高数据的机密性、完整性和可用性。
通过对现有的信息安全体系的分析,也可以看出:随着计算机技术的发展、安全威胁种类的增加,某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷，具体表现在:
1）系统性不强,安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。
目前实施的安全方案是基于当时的认识进行的,主要工作集中于网络安全，对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证,对服
务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺乏整体方案和制度规范，容易造成重要数据的丢失和泄露。
当时的网络安全的基本是一种外部网络安全的概念，是基于这样一种信任模型的，即网络内部的用户都是可信的。在这种信任模型下,假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部，并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。
针对外部网络安全,人们提出了内部网络安全的概念,它基于这样一种信任
模型:所有的用户都是不可信的。在这种信任模型中,假设所有用户都可能对信息安全造成威胁，并且可以各种更加方便的手段对信息安全造成威胁，比如内部人员可以直接对重要的服务器进行操控从而破坏信息，或者从内部网络访问服务器,下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。
信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有选用有关的安全服务。不能充分发挥安全产品的效能。
2）原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的网络安全隐患,产品亟待升级。
已购买的网络安全产品中，有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性，拟对系统的互联网出口进行严格限制,原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求，现有的防火墙不具备这些功能。网络信息系统的安全建设建立在风险评估的基础上，这是信息化建设的内在要求,系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期,在规划的过程中，就运用风险评估、风险管理的手段，用户才可以避免重复建设和投资的浪费。
3.２需求分析
如前所述,某公司信息系统存在较大的风险,信息安全的需求主要体现在如
下几点：
(1)某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此,要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。
(2)网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现,使某公司计算机网络安全面临更大的挑战,原有的产品进行升级或重新部署。
（３)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行。
(４）信息安全防范是一个动态循环的过程,如何利用专业公司的安全服务,做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是某公司面临的重要课题。
4 设计原则
安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行,避免重复投入、重复建设,充分考虑整体和局部的利益。
4.１标准化原则
本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定，使安全技术体系的建设达到标准化、规范化的要求，为拓展、升级和集中统一打好基础。
4.2 系统化原则
信息安全是一个复杂的系统工程,从信息系统的各层次、安全防范的各阶段全面地进行考虑，既注重技术的实现,又要加大管理的力度,以形成系统化的解决方案。
4.3 规避风险原则
安全技术体系的建设涉及网络、系统、应用等方方面面,任何改造、添加甚至移动,都可能影响现有网络的畅通或在用系统的连续、稳定运行,这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题，在规划与应用系统衔接的基础安全措施时，优先保证透明化,从提供通用安全基础服务的要求出发，设计并实现安全系统与应用系统的平滑连接。
４.４保护投资原则
由于信息安全理论与技术发展的历史原因和自身的资金能力，某公司分期、分批建设了一些整体的或区域的安全技术系统，配置了相应的设施。因此，本方案依据保护信息安全投资效益的基本原则,在合理规划、建设新的安全子系统或投入新的安全设施的同时，对现有安全系统采取了完善、整合的办法,以使其纳入总体安全技术体系，发挥更好的效能，而不是排斥或抛弃。
4．5 多重保护原则
任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。
５设计思路及安全产品的选择和部署
信息安全又是相对的,需要在风险、安全和投入之间做出平衡，通过对某公司信息化和信息安全现状的分析，对现有的信息安全产品和解决方案的调查，通过与计算机专业公司接触,初步确定了本次安全项目的内容。通过本次安全项目的实施,基本建成较完整的信息安全防范体系。
5.1 网络安全基础设施
证书认证系统无论是企业内部的信息网络还是外部的网络平台，都必须建立在一个安全可信的网络之上。目前,解决这些安全问题的最佳方案当数应用PKI ／CA数字认证服务。PKＩ(Pubｌiｃ Key Inｆrastrucｔuｒe,公钥基础设施）是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统,建立一个完善的网络安全认证平台，能够通过这个安全平台实现以下目标: 身份认证（Ａutｈentiｃation):确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。
数据的机密性（Confidｅｎｔiａlity):对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成。
数据的完整性(Intｅgriｔy）:确保通信信息不被破坏(截断或篡改),通过哈希函数和数字签名来完成。
不可抵赖性(Nｏn-Rｅｐudｉaｔion)：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成,数字签名可作为法律证据。
５.２边界防护和网络的隔离
ＶPN(Virｔｕａl Pｒｉvaｔe Nｅｔｗork)虚拟专用网,是将物理分布在不同地点的网络通过公用骨干网(如Ｉnterｎeｔ)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。
通过安装部署VPＮ系统,可以为企业构建虚拟专用网络提供了一整套安全的解
决方案。它利用开放性网络作为信息传输的媒体,通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道,使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式,实现移动用户、远程LＡN的安全连接。
集成的防火墙功能模块采用了状态检测的包过滤技术，可以对多种网络对象进行有效地访问监控,为网络提供高效、稳定地安全保护。
5．3 安全电子邮件
电子邮件是Ｉnternet上出现最早的应用之一。随着网络的快速发展,电子邮件的使用日益广泛，成为人们交流的重要工具,大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点，电子邮件存在着很大的安全隐患。
目前广泛应用的电子邮件客户端软件如 OＵＴLOOK 支持的Ｓ/ＭIＭ
E( Secure Multipｕrpoｓe Internet Ｍail Ｅxtensions )，它是从 PＥM （Pｒivacy Ｅnｈａnced Maiｌ) 和 MIMＥ(Iｎternet 邮件的附件标准 ) 发展而来的。首先,它的认证机制依赖于层次结构的证书认证机构,所有下一级的组织和个人的证书由上一级的组织负责认证,而最上一级的组织（根证书 ) 之间相互认证，整个信任关系基本是树状的。其次， S/MIME 将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。
5.４桌面安全防护
对企业信息安全的威胁不仅来自企业网络外部,大量的安全威胁来自企业内部。很早之前安全界就有数据显示,近80%的网络安全事件,是来自于企业内部。同时,由于是内部人员所为,这样的安全犯罪往往目的明确，如针对企业机密和专利信息的窃取、财务欺骗等，因此,对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。
桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起,形成一个整体,是针对客户端安全的整体解决方案。
1)电子签章系统
利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术，可以无缝嵌入OFFICE系统,用户可以在编辑文档后对文档进行签章,或是打开文档时验证文档的完整性和查看文档的作者。
2) 安全登录系统
安全登录系统提供了对系统和网络登录的身份认证。使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机,只需拔出智能密码钥匙，即可锁定计算机。
3)文件加密系统
文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法，从而保证了存储数据的安全性。
6 方案的组织与实施方式
网络与信息安全防范体系流程主要由三大部分组成:攻击前的防范、攻击过程中的防范和攻击后的应对。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程，也为本方案的实施提供了借鉴。
因此在本方案的组织和实施中,除了工程的实施外，还应重视以下各项工作：(1)在初步进行风险分析基础上，方案实施方应进行进一步的风险评估,明确需求所在，务求有的放矢,确保技术方案的针对性和投资的回报。
(2）把应急响应和事故恢复作为技术方案的一部分，必要时可借助专业公司的安全服务，提高应对重大安全事件的能力。
(3)该方案投资大，覆盖范围广,根据实际情况,可采取分地区、分阶段实施的方式。
（4)在方案实施的同时,加强规章制度、技术规范的建设,使信息安全的日常工作进一步制度化、规范化。
7 结论
一个严密的网络安全防御体系，应该同时具备弥补管理上的不足和技术上的漏洞的能力,既要避免主观失误，又要防止客观攻击。具体来说要求具备主动探测弱点，漏洞分析,实时监控和过滤可疑行为这四大功能。这四大功能，主要由网络安全在线检测系统、入侵检测预警系统和防火墙三种手段来实现，这三种手段,缺乏任何一种,都难以形成坚固的保护屏障。
本文以某企业为例,分析了网络安全现状,指出目前存在的风险，随后主要根据网络入侵提出了一整套完整的解决方案,从技术手段的改进，到规章制度的完善；从单机系统的安全加固,到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署，为众多其他企业提供了网络安全解决手段。