企业网络安全系统的设计方案需求

企业网网络安全系统设计建议书蓝狐网络名目1 概述 4.1.1 企业建立网络安全系统的必要性 4.1.2 安全建议书的设计原则 4.1.3 安全技术体系分析模型介绍 5.1.3.1 安全服务维 5.1.3.2 协议层次维 6.1.3.3 系统单元维 6.1.4 安全技术体系的理解及实践 6.1.4.1 安全体系的理解 6.1.4.2 构建安全系统的差不多目标 7.1.4.3 网络安全系统的技术实施 7.2 应用需求分析 9.2.1 网络基础层安全需求分析 9.2.1.1 In ternet连接安全爱护 9.2.1.2 广域网连接的安全爱护 92.1.3 虚拟连接广域网的安全爱护 1.12.1.4 其他安全爱护辅助措施 1.22.2 系统安全需求分析 1.22.3 应用安全治理需求分析 1.22.3.1 主机系统 1.2.2.3.2 网络设备安全治理 1.32.3.3 移动用户的访问操纵访问 1.32.3.4 VPN上的认证132.3.5 应用层安全爱护 1.42.4 应用对安全系统的要求分析 1.42.4.1 网络应用系统的现状及进展讲明1 52.4.2 面向应用系统的防火墙系统设计要求1 53 安全系统实现目标 1.7.3.1 网络基础层安全系统建设目标 1.73.1.1 Intern et 及 Extra net进出口操纵 1.73.1.2 VPN应用173.1.3 防火墙系统的功能实现要求总结 1 83.2 应用辅助安全系统的建设目标 1.84 网络安全系统的实施建议 2.0.4.1 系统设计的差不多原则 2.04.2 安全系统实施步骤建议 2.04.3 防火墙系统实施建议 2.14.3.1 In ternet 进出口操纵 214.3.2 广域网进出口操纵 2.34.3.3 虚拟连接广域网出入口操纵 2.54.4 VPN系统设计264.4.1 广域网链路加密 2.74.4.2 虚拟连接组网建议 2.74.4.3 虚拟连接通信加密 2.94.5 防火墙系统集中治理 2.94.6 防火墙选型设计讲明 2.94.6.1 评价防火墙产品的差不多要素 3.04.6.2 评价防火墙的一般方法 3.04.6.3 几种流行防火墙产品的比较 3.11 概述建设功能强大和安全可靠的网络化信息治理系统是企业实现现代化治理的必要手 段。如何构建企业安全可靠的网络系统是本建议书的目的。本建议书是本公司为企业提出的“网络安全系统设计建议书” ，建议书只针对网络 基础设施安全系统向企业提交网络安全的设计及实施建议，将不涉及其他部分的内容， 如“数据安全系统”等。1.1 企业建立网络安全系统的必要性毫无疑问，不需要任何形式的“讲教” ，在信息和网络被广泛应用的今天，任何一 个网络治理或使用者都特不清晰， 所有被使用的计算机网络都必定存在被有意或无意的 攻击和破坏之风险。企业的网络同样存在安全方面的风险问题。 关于大多数网络黑客来讲， 成功地侵入 一企业特不是闻名企业的网络系统，具有证明和炫耀其“能耐”的价值，尽管这种行为 的初衷也许并不具有恶意的目的； 窃取企业的网络数据，甚至破坏其网络系统，更加具 有现实和长远的商业价值。因此，企业网络建立完善的安全系统，其必要性不言而喻。1.2 安全建议书的设计原则网络安全体系的核心目标是实现对网络系统和应用操作过程的有效操纵和治理。任 何安全系统必须建立在技术、组织和制度这三个基础之上。在设计企业的网络安全系统时，我们将遵循以下原则：体系化设计原则通过分析信息网络的层次关系， 提出科学的安全体系和安全框架， 并依照安全体系 分析存在的各种安全风险，从而最大限度地解决可能存在的安全问题。全局性、均衡性、综合性设计原则安全建议书将从企业网络整体建设角度动身， 提供一个具有相当高度、 可扩展性强 的安全解决方案； 从企业的实际情况看，单纯依靠一种安全措施，并不能解决全部的安 全问题。本建议书将考虑到各种安全措施的使用。本安全建议书将均衡考虑各种安全措施的效果， 提供具有最优的性能价格比的安全 解决方案。安全需要付出代价（资金、性能损失等），然而任何单纯为了安全而不考虑 代价的安全建议书差不多上不切实际的。建议书同时提供了可操作的分步实施打算。可行性、可靠性、安全性作为一个工程项目，可行性是设计企业安全方案的全然， 它将直接阻碍到网络通信 平台的畅通；可靠性是安全系统和网络通信平台正常运行的保证； 而安全性是设计安全 系统的最终目的。1.3安全技术体系分析模型介绍安全方案必须架构在科学的安全体系和安全框架之上，因为安全框架是安全方案设 计和分析的基础。为了系统、科学地分析网络安全系统涉及的各种安全问题，网络安全技术专家们提 出了三维安全体系结构，并在其基础上抽象地总结了能够指导安全系统总体设计的三维 安全体系（见图1-1），它反映了信息系统安全需求和体系结构的共性。具体讲明如下：1.3.1 安全服务维安全服务维（第一维，X轴）定义了 7种要紧完全属性。具体如下: 身份认证，用于确认所声明的身份的有效性； 访问操纵，防止非授权使用资源或以非授权的方式使用资源； 数据保密，数据存储和传输时加密，防止数据窃取、窃听； 数据完整，防止数据篡改；不可抵赖， 取两种形式的一种， 用于防止发送者企图否认曾经发送过数据或其内容 和用以防止接收者对所收到数据或内容的抗否认；审计治理，设置审计记录措施，分析审计记录； 可用性、可靠性，在系统降级或受到破坏时能使系统接着完成其功能，使得在不利 的条件下尽可能少地受到侵害者的破坏。1.3.2 协议层次维协议层次维（ Y 轴）由 ISO/OSI 参考模型的七层构成。与 TCP/IP 层次对应，能够 把会话层、表示、应用层统一为“应用层” 。1.3.3 系统单元维系统单元维（ Z 轴）描述了信息网络基础构件的各个成分。 通信平台，信息网络的通信平台； 网络平台，信息网络的网络系统； 系统平台，信息网络的操作系统平台； 应用平台，信息网络各种应用的开发、运行平台； 物理环境，信息网络运行的物理环境及人员治理。1.4 安全技术体系的理解及实践贯穿于安全体系的三个方面， 各个层次的是安全治理。 通过技术手段和行政治理手 段，安全治理将涉及到各系统单元在各个协议层次提供的各种安全服务。1.4.1 安全体系的理解在图 1-1 的安全体系分析模型中， 完整地将网络安全系统的全部内容进行了科学和 系统的归纳，详尽地描述了网络安全系统所使用的技术、服务的对象和涉及的范围（即网络层次）。关于上图的理解，不妨简单讲明如下:安全服务维是网络安全系统所提供可实现的全部技术手段；网络协议维是网络安全系统应该将所采纳之安全技术手段实施的范围；系统单元维是网络安全系统应该提供安全爱护的对象。作为一个现实的网络安全系统，首先要考虑的是安全建议书所涉及的有哪些系统单 元，然后依照这些系统单元的不同，确定该单元所需要的安全服务，再依照所需要的安 全服务，确定这些安全服务在哪些 OSI层次实现。142 构建安全系统的差不多目标在上述的三维结构的安全体系中，安全服务维是向网络系统的各个部分和每一个层 次，提供安全保证的各种技术手段和措施。 尽管并不是每一个应用网络都需要安全服务 维提出的所有手段，然而关于一个包含各种应用和具有一定规模的企业网络，这些安全措施应该都差不多具备，因此安全服务维所涉及的所有安全服务措施，是网络安全系统的差不多建设目标。依照我们对企业网络系统应用现状的认识，以及以后将要实现的各种应用目标了 解，我们认为企业网络安全系统，最终需要全部实现图 1-1中安全服务维所提出的差不 多技术手段。143 网络安全系统的技术实施构筑网络安全系统的最终目的是对网络资源或者讲是爱护对象，实施最有效的安全爱护。从网络的系统和应用平台对网络协议层次的依靠关系不难看出，只有对网络协议结构层次的所有层实施相应有效的技术措施，才能实现对网络资源的安全爱护。针对一般网络系统的结构和应用要求， 为了达到爱护网络资源的目的，必须在网络 协议层实施相应的安全措施，如下表 1。表1（ *表示需要实施）物理层数据链路层网络层传输层会话层表示层应用层认证*访问操纵*数据保密*数据完整性*不可抵赖性*审计*可用性*在本建议书中，我们建议企业网络系统通过防火墙系统、VPN应用系统、认证系统和网络漏洞扫描及攻击检测系统实现表 1中的安全手段实施。2 应用需求分析企业网络结构将会包括企业内部网络 Intranet和企业互联网络Extra net，同时网络 连接In ternet，满足互联网访问、 WWW公布、外部移动用户应用等需求。本章将依照 企业网络系统的结构及应用，详细分析企业网络系统的安全需求。2.1 网络基础层安全需求分析网络基础层（在此网络基础层是指网络通信链路、路由 / 交换设备、网络节点接口 设备/网卡一一包括了 OSI物理层到传输层设备的集合）作为现代计算机信息系统不可 缺或的基础设施部分， 其安全性是每一个用户最为关怀的问题。 从企业的应用网络结构 分析，企业网络层的安全涉及到 Internet 连接安全、广域网连接安全、应用系统内部资 源网络连接安全爱护几方面的安全问题。2.1.1 Internet 连接安全爱护企业在网络应用中有三种情况需要进行 Internet 连接，即向外大众用户提供业务和 宣传信息服务、 公司内部用户和外界的电子邮件往来、 通过互联网在异地进行业务办公 的移动用户服务等。由此企业企业网必须向外“开门”，象所有连接互联网的企业网一 样，企业网不可幸免地存在，遭受到来自外部的恶意攻击和破坏、各种各样病毒传播的 可能性。因此，在 Internet 出入口连接点，必须采取措施进行爱护 布置防火墙系 统，对集团总部的 Internet 出入口实施有效的操纵，包括进出的数据检查和资源访问的 操纵。另外，仅仅设置 1台防火墙，容易出现单点故障，为了保证网络对外的 7X24 小 时不间断服务，还必须考虑网络安全设备的冗余配置。2.1.2 广域网连接的安全爱护企业部分异地的下属企业和部门将通过广域网的方式与绵阳总部进行连接。 因此企 业的网络系统从其结构而言是一个在物理上广域连接的企业网络系统， 我们认为企业广 域连接的网络系统必须考虑两方面的安全措施：（一）网络通信加密（VPN应用）广域网络通信连接将通过第三方链路进行。 尽管租用电信或其他传输服务提供商的专用链路传输数据的安全性会高于通过 Internet 传输，然而由于第三方提供的专用链路 所使用的设备是公共的， 其安全性具有相对性， 不仅在链路上传输的数据存在被窃取的 可能，同时也存在由于链路供应商安全治理和爱护措施不完善的缘故， 导致被不有用心 者有可能通过盗接而非法访问网络资源的风险， 在国内就曾有类似的案件发生 非 法分子通过在公共设备上偷偷接入自己的电脑， 窃取了不人的股票交易帐户资料， 盗用 他人的帐户进行证券交易而非法获利。假如仅仅是窃取资料关于网络系统本身也许可不能产生太严峻的破坏， 然而假设盗 接者是一个恶意攻击者， 即使仅仅是一个一般的网络高手， 把在网络通信链路上截取的 数据进行篡改或者置换， 再通过网络链路将属性被异动的数据对系统进行回放， 其对网 络系统可能造成的破坏程度是用户无法可能的。现有的设备和技术手段要实现以上的非法目的不难， 假如仅仅是通过盗接来窃取资 料，只需要物理上存在接入的可能 （实际上目前国内所有的链路服务供应商都存在比较 大的漏洞），就特不容易实现；即使是通过链路盗接进行恶意攻击的“高难度”动作， “网络高手” 只需花专门低的代价购买用于网络测试的专业设备和软件， 就可在通信链 路上通过数据回放对网络系统实施攻击。因此，为了消除这类风险的存在， 我们认为企业网络安全系统必须能够对在广域网 上传输的所有数据进行加密（数据发出方）和解密（数据接收方）处理，即VPN 应用。VPN采纳3DES的加密算法，一方面能够使在广域网链路上传输的数据变成外来者不可 “读”，防止流失数据的信息泄露；另一方面通过 VPN 加密和解密的规则，能够对具 有不良属性的被异动数据进行过滤或使之属性失效， 幸免这些恶意数据对网络系统造成 破坏。（二）防火墙爱护应用 从网络系统的应用来讲， 企业广域连接的网络系统实际上确实是规模庞大的企业内 部网。在这种复杂的网络环境中实现对各类网络资源的有效爱护和治理， 仅仅利用现有 的网络来完成， 显然是做不到的。 我们认为在企业广域连接的网络系统内有必要引入防 火墙的应用，缘故如下两方面。Internet其一，类似企业这种在物理上分布广泛的网络系统， 每一个在地理上属异地的分支 机构或部门，甚至同属于一个地点（如总部）的不同机构和部门，其网络应用和治理都 有相对的独立性， 因此在网络安全治理实施和执行上就专门容易产生差异， 从而出现网 络安全漏洞。尽管企业在网络实施和治理上能够强制性地要求企业内部网络到的接入为统一出入口， 然而在网络的使用过程中， 也许总部和个不治理严格的异地分支 机构和部门， 能够比较容易地始终如一执行这一规章制度， 却不能完全保证所有在网上 的用户因为一些不的缘故使用了另外的途径进入 Internet ，如异地机构的企业网络用户 通过向当地ISP供应商购买帐户使用PSTN/ISDN/ADSL拨号上网，这就等于给企业网络 为外部 Internet 的使用者提供了一个甚至多个“后门”。这种“后门”关于不有用心的 网络黑客来讲，是特不有用的，他们能够避开企业网络“门户”的防火墙系统，通过网 络的“后门”直接攻击企业网络的内部资源，这也是网络黑客最常用的攻击手段之一； 在国外就曾经有某个利益集团利用这一手法， 猎取了某国海关大量的内部资料， 利用所 掌握的内部资料， 达到其变相走漏海关关税的目的， 而且这一手法在被发觉的时候差不 多被有效地利用了相当长的时刻。因此在企业广域网内采取网络连接爱护是必须的措 施。其二，内部网络连接安全爱护。 企业企业网内部处理和存放了几乎所有的企业数据 和信息， 这些信息依照不同的应用被不同的对象使用， 有许多信息系统会依照顾用目的 进行分类独立使用（虚拟系统），而且其共享的用户范围也是有限制的，因此在网络上 需要有比较好的手段对内部用户进行信息资源访问的操纵； 另一方面， 来自于企业内部 的攻击不容忽视，其成功的可能性要远远大于来自于 Internet 的攻击，而且内部攻击的 目标要紧是猎取企业的机密信息，这就更需要有措施对内部用户进行访问操纵。由此可见， 在企业通过第三方专线连接的企业广域网内， 实施网络安全爱护是特不 必要的举措。 能够有效地担负这一爱护作用角色的是性能和功能强大的防火墙系统。 因 此，本建议书建议企业广域网系统配置内部的防火墙系统。2.1.3 虚拟连接广域网的安全爱护关于企业众多的异地分支机构（规模比较小的）、商业合作伙伴、出差在外的流淌 用户，将其远程电脑或小规模 LAN 纳入企业网系统的接入模式，更多的将会采纳通过 公共 Internet 的虚拟连接方式。正如前面所言， 这种连接方式尽管实现的代价和技术条件相对比较低， 但其所能提 供的安全保证更加不可信赖。因此毫无疑问，同样的理由，这种连网方式的广域网，其 VPN和防火墙的应用，比通过第三方专线链路更加迫切需要。2.1.4 其他安全爱护辅助措施企业网络环境比较复杂， 设备众多， 这使治理人员查找和修补网络中的全部安全隐 患有相当大的难度。 利用先进的技术、工具进行网络系统自身的脆弱性检查，先于入侵 者发觉漏洞并及时弥补， 以及建立实时入侵检测系统，是十分有效的安全防护措施，将 能极大提高、完善企业系统安全。在条件同意的情况下，我们建议企业企业网增加网络 漏洞扫描和入侵检测系统。2.2 系统安全需求分析各种操作系统是应用运行的基础， 应用系统的安全性， 在相当大的程度之上受到操 作系统安全性的阻碍。 目前运行大多数应用的各种操作系统， 差不多上针对能够运行多 种应用来开发的， 其开发要兼顾到各种应用的多个方面，在程序开发过程中，会出现一 些人为的疏忽， 以及一些人为设置的后门等。 这些人为的疏忽或者后门就成了操作系统 的安全漏洞。还有，安装在操作系统上的各种应用系统形成了一个复杂的环境，这些应 用程序本身设计的缺陷也会带来安全漏洞。 另外，系统权限治理的松懈也是造成安全漏 洞的重要缘故。此外，任何东西的特性差不多上两方面的，只要恶意的破坏者掌握了系 统的特性，这些特性就能够被用来进行系统的破坏。基于以上的缘故，企业网络需要对总部的应用服务器进行操作系统和数据库的备份，操作系统包括 Windows NT, Windows 2000,Solaris,Linux，数据库系统要紧包括Oracle， MS SQL 数据库。 需要对这些系统进行系统安全漏洞的扫描和实时入侵的检测。2.3 应用安全治理需求分析应用层安全要紧是对应用资源的有效性进行操纵， 治理和操纵什么用户对资源具有 什么权限。 资源包括信息资源和服务资源。 需要提高身份认证安全性的系统包括主机系 统、网络设备、移动用户访问、 VPN 和应用层。主机系统包括企业总部和各下属公司中心主机、数据库系统， WEB 服务器、 MAIL 服务器 等等，这些主机系统是公司网络系统的核心，存储着公司最重要的信息资源，因此，保 证这些主机系统的登录的安全是极其重要的。