小型企业网络安全方案设计

小型企业网络安全管理目录第一章 计算机网络安全概述31.1计算机网络的概念31.2计算机网络安全的概念31.3计算机网络安全的特征3第二章方案设计原则42.1先进性与成熟性42.2 实用性与经济性42.3扩展性与兼容性42.4标准化与开放性42.5安全性与可维护性42.6 整合型好5第三章 企业网络信息安全需求分析53.1 企业信息网络安全需求53.2 企业信息网络安全内容53.3网络拓扑图6第四章 企业信息网络安全架构64.1企业信息网络安全系统设计64.2 企业信息网络安全系统组建6第五章 企业信息网络安全工程的部署75.1 工程环节75.1.1安全的互联网接入75.1.2防火墙访问控制75.1.3用户认证系统75.1.4入侵检测系统75.1.5网络防病毒系统85.1.6 VPN加密系统85.1.7网络设备及服务器加固85.1.8办公电脑安全管理系统85.1.9数据备份系统95.2 持续性计划9第一章 计算机网络安全概述1.1计算机网络的概念 是由计算机为主的资源子网和通信设备及传输介质为主的通信子网两部分组成。因此，计算机网络的安全就是指这两部分的安全。1.2计算机网络安全的概念 是指通过采用各种安全技术和管理上的安全措施，确保网络数据的可用性完整性和保密性，其目的是确保经过网络传输和交换的数据不会被增加、修改、丢失和泄露等。1.3计算机网络安全的特征 网络安全的基本定义是：确保网络服务的可用性和网络信息的完整性。（1）保密性（2）完整性：数据具有未经授权不能改变的特性。（3）可用性：通常是指网络中主机存放的静态信息具有可用性和可操作的特性。（4）实用性：即保证信息具有实用的特性；（5）真实性：是指信息的可信度；（6）占有性：是指存储信息的主机、磁盘和信息载体等不被盗用，并具有该信息的占有权。即保证不丧失对信息的所有权和控制权。第二章方案设计原则2.1先进性与成熟性采用当今国内、国际上先进和成熟的计算机应用技术，使搭建的硬件平台能够最大限度的适应今后的办公自动化技术和系统维护的需要。从现阶段的发展来看，系统的总体设计的先进性原则主要体现在使用Thin-Client/Server计算机体系是先进的、开放的体系结构，当系统应用量发生变化时具备良好的可伸缩性，避免瓶颈的出现。2.2 实用性与经济性实用性就是能够最大限度地满足实际工作的要求，是每个系统平台在搭建过程中必须考虑的一种系统性能，它是对用户最基本的承诺。办公自动化硬件平台是为实际使用而建立，应避免过度追求超前技术而浪费投资。2.3扩展性与兼容性系统设计除了可以适应目前的应用需要以外，应充分考虑日后的应用发展需要，随着数据量的扩大，用户数的增加以及应用范围的拓展，只要相应的调整硬件设备即可满足需求。通过采用先进的存储平台，保证对海量数据的存取、查询以及统计等的高性能和高效率。同时考虑整个平台的统一管理，监控，降低管理成本。2.4标准化与开放性系统设计应采用开放技术、开放结构、开放系统组件和开放用户接口，以利于网络的维护、扩展升级及外界信息的沟通。计算机软硬件和网络技术有国际和国内的标准，但技术标准不可能详细得面面俱到，在一些技术细节上各个生产厂商按照自己的喜好设计开发，结果造成一些产品只能在较低的层面上互通，在较高层面或某些具体方面不能互通。我们不但选用符合标准的产品，而且尽量选用市场占有率高、且发展前景好的产品，以提高系统互通性和开放性。2.5安全性与可维护性随着应用的发展，系统需要处理的数据量将有较大的增长，并且将涉及到各类的关键性应用，系统的稳定性和安全性要求都相对较高，任意时刻系统故障都可能给用户带来不可估量的损失，建议采用负载均衡的服务器群组来提高系统整体的高可用。2.6 整合型好当前采用企业级的域控制管理模式，方便对所有公司内所有终端用户的管理，同时又可以将公司里计算机的纳入管理范围，极大地降低了网络维护量，并能整体提高当前网络安全管理！ 第三章 企业网络信息安全需求分析对企业网络信息安全的网络调查显示：有超过85%的安全威胁来自企业内部；有16%来自内部未授权的访问；有11%资料或网络的破坏。可以看出：来自于企业内部的安全威胁比来自于外部的威胁要大得多，必要的安全措施对企业是非常重要的。安全风险分析通常包括对系统资源的价值属性的分析、资源面临的威胁分析、系统的安全缺陷分析等等。分析的目标就是确定安全系统的建设环境，建立信息系统安全的基本策略。3.1 企业信息网络安全需求企业对信息网络安全方面的需求主要包含：（1）业务系统与其它信息系统充分隔离。（2）企业局域网与互联的其它网络充分隔离。（3）全面的病毒防御体系，恢复已被病毒感染的设备及数据。（4）关键业务数据必须进行备份，具有完善的灾难恢复功能。（5）管理员必须对企业信息网络系统的安全状况和安全漏洞进行周期性评估，并根据评估结果采用相应措施。（6）关键业务数据和敏感数据在公网上的传输必须加密，防止非法获取和篡改。（7）加强内部人员操作的技术监控，采用强有力的认证系统，代替一些不安全的用户名/口令系统授权模式。（8）建立完善的入侵审计和监控措施，监视和记录外部或者内部人员可能发起的攻击。（9）对整个信息系统进行安全审计，可预见管理和总拥有成本控制。3.2 企业信息网络安全内容从企业整体考虑，它的信息网络安全包括以下六个方面：（1）企业信息网络安全策略建设，它是安全系统执行的安全策略建设的依据。（2）企业信息网络管理体系建设，它是安全系统的安全控制策略和安全系统体系结构建设的依据。（3）企业信息网络资源管理体系建设，它是安全系统体系结构规划的依据。（4）企业信息网络人员管理建设，它是保障安全系统可靠建设、维护和应用的前提。（5）企业信息网络工程管理体系建设，信息安全系统工程必须与它统一规划和管理。（6）企业信息网络事务持续性保障规划，它是信息安全事件处理和安全恢复系统建设的依据。3.3网络拓扑图第四章 企业信息网络安全架构4.1企业信息网络安全系统设计安全系统设计是在信息系统安全策略的基础上，从安全策略的分析中抽象出安全系统及其服务。安全系统的设计如图1所示。安全系统设计的目标是设计出系统安全防御体系，设计和部署体系中各种安全机制从而形成自动的安全防御、监察和反应体系，忠实地贯彻系统安全策略。4.2 企业信息网络安全系统组建安全系统设计关心的是抽象定义的系统。具体系统组建是建立在设计基础上的实现。通常系统功能组件的实现方式是软件、硬件和固体等。安全系统组建的另一项重要内容是配制安全系统，并将安全系统与整个信息系统形成一体。第五章 企业信息网络安全工程的部署信息系统安全是信息系统服务质量的要求，网络安全系统应当融于信息网络服务系统之中，其建设与维护应当与信息网络系统的建设和维护保持一致，遵循系统工程的方法。网络安全工程就是应用系统工程建设和维护网络安全系统。5.1 工程环节系统工程总是与被建设的系统特性紧密结合，工程环节与系统生命周期保持同步。安全系统的生命周期也是基本如此，因而安全系统工程典型的基本环节包括信息系统安全需求分析、安全系统设计、安全系统组建、安全系统认证、系统安全运行维护和安全系统改造等。5.1.1安全的互联网接入企业内部网络的每位员工要随时登录互联网，因此Internet接入平台的安全是该企业信息系统安全的关键部分，可采用外部边缘防火墙，其内部用户登录互联网时经过内部防火墙，再由外部边缘防火墙映射到互联网。外部边缘防火墙与内部防火墙之间形成了DMZ区。5.1.2防火墙访问控制外部边缘防火墙提供PAT服务，配置IPSec加密协议实现VPN拨号连接以及端到端VPN连接，并通过扩展ACL对进出防火墙的流量进行严格的端口服务控制。内部防火墙处于内部网络与DMZ区之间，它允许内网所有主机能够访问DMZ区，但DMZ区进入内网的流量则进行严格的过滤。 5.1.3用户认证系统用户认证系统主要用于解决拨号和VPN接入的安全问题，它是从完善系统用户认证、访问控制和使用审计方面的功能来增强系统的安全性。 拨号用户和VPN用户身份认证在主域服务器上进行，用户账号集中在主域服务器上开设。系统中设置严格的用户访问策略和口令策略，强制用户定期更改口令。同时配置VPN日志服务器，记录所有VPN用户的访问，作为系统审计的依据。5.1.4入侵检测系统企业可在互联网流量汇聚的交换机处部署入侵检测系统，它可实时监控内网中发生的安全事件，使得管理员及时做出反应，并可记录内部用户对Internet的访问，管理者可审计Internet接入平台是否被滥用。5.1.5网络防病毒系统企业应全面地布置防病毒系统，包括客户机、文件服务器、邮件服务器和OA服务器。 5.1.6 VPN加密系统企业可建立虚拟专网VPN，主要为企业移动办公的员工提供通过互联网访问企业内网OA系统，同时为企业内网用户访问公司的SAP系统提供VPN加密连接。需要注意的是，由于VPN机制需要执行加密和解密过程，其传输效率将降低3040，因此对于关键业务，如果有条件应该尽可能采用数据专线方式。 5.1.7网络设备及服务器加固企业网络管理员应定期对各种网络设备和主机进行安全性扫描和渗透测试，及时发现漏洞并采取补救措施。安全性扫描主要是利用一些扫描工具，模拟黑客的方法和手段，以匿名身份接入网络，对网络设备和主机进行扫描并进行分析，目的是发现系统存在的各种漏洞。根据安全扫描和渗透测试的结果，网络管理员即可有针对性地进行系统加固，具体加固措施包括：关闭不必要的网络端口；视网络应用情况禁用ICMP、SNMP等协议；安装最新系统安全补丁；采用SSH而不是Telnet进行远程登录；调整本地安全策略，禁用不需要的系统缺省服务；启用系统安全审计日志。 5.1.8办公电脑安全管理系统企业应加强对桌面电脑的安全管理。主要有：补丁管理：主要用于修复桌面电脑系统漏洞，避免蠕虫病毒、黑客攻击和木马程序等。间谍软件检测：能够自动检测和清除来自间谍软件、广告软件、键盘记录程序、特洛伊木马和其他恶意程序的已知威胁。安全威胁分析：能够自动检测桌面电脑的配置风险，包括共享、口令、浏览器等安全问题，并自动进行修补或提出修改建议。应用程序阻止：用户随意安装的游戏等应用程序可能导致系统紊乱、冲突，影响正常办公。管理员可以通过远程执行指令，阻止有关应用程序的运行。设备访问控制：对用户电脑的硬件采用适当的访问控制策略，防止关键数据丢失和未授权访问。5.1.9数据备份系统企业应制定备份策略，定期对一些重要数据进行备份。5.2 持续性计划（1）架构评估。企业网络信息安全管理架构的评估应由IT部门、相关责任部门以及终端用户代表来共同参与，确保所有的部门都能纳入安全框架中。（2）系统安全运行管理。 要保障信息系统安全，就必须维护安全系统充分发挥作用的环境。这种环境包括安全系统的配置、系统人员的安全职责分工与培训。（3）安全系统改造。信息系统安全的对抗性必然导致信息安全系统不断改造。导致安全系统改造的因素可以归结为4个方面：技术发展因素；系统环境因素；系统需求因素；安全事件因素。（4）网络安全制度建设及人员安全意识教育。企业应当采取积极防御措施，主动防止非授权访问操作，从客户端操作平台实施高等级防范，使不安全因素在源头被控制。这对工作流程相对固定的重要信息系统显得更为重要而可行。需开展计算机安全意识教育和培训，加强计算机安全检查，以此提高最终用户对计算机安全的重视程度。为各级机构的系统管理员提供信息系统安全方面的专业培训，提高处理计算机系统安全问题的能力。