中小型企业网络安全规划与设计

. . 中小型网络安全规划与设计 摘要：中小企业在业务中对于信息技术和网络的依赖程度越来越高，必须引起对信 息安全的重视。然而，由于企业将主要的精力集中在各种业务应用的开展上，再加 之受限于资金、技术、人员以及安全意识等多方面因素，信息安全建设往往相对滞 后。部分企业已经采用了“防火墙+防病毒”的基本安全措施，但很多中小企业什么 安全保护措施都没有，不能不让人为此担忧。 随着网络技术的迅速发展，各种依托网络开展的攻击技术也得到了蔓延。黑客 攻击手段越来越丰富，各类破坏力较大的攻击工具、文摘在网上唾手可得；中小企 业的安全现状常常使得他们成了黑客攻击破坏的首选 “试验品” 。另外病毒的发展 已经远远超过人们预期的想象，破坏性越来越严重；加上企业内部信息安全管理制 度的疏漏，为一些不法人员提供了大量的犯罪途径。中小企业迅速建立完善的信息 安全体制已经势在必行。 关键字：中小型企业；网络；安全 . . Small and medium-sized network security planning and design Abstract: the small and medium-sized enterprise in the business for the information technology and network more and more rely on the information security, must cause the attention. However, because the enterprise will mainly focus on the various business applications development, coupled with the limited funds, technology, personnel and security awareness and other factors, the information security construction and often relatively lag. Some enterprises have adopted the firewall and antivirus basic security measures, but many small and medium-sized enterprise what safety protection measures are not, let a person worry about.With the rapid development of network technology, a variety of relying on network attack technology is also spread. Hackers means more and more abundant, all kinds of destructive force larger attack tools, abstracts online with extreme ease; small and medium-sized enterprise security status often makes them into a hacker attack preferred test materials. Another virus development has far exceeded the expectations of imagination, damage is more and more serious; plus enterprise internal information security management system for omissions, some unscrupulous persons to provide a large number of pathways in crime. Small and medium-sized enterprises rapidly establish and improve the information security system has be imperative. Key words: Small and medium-sized enterprises; network security . . 目 录 第 1 章 绪论 .1 第 2 章 网络环境现状 .3 2.1 网络环境介绍 .3 2.2 中小型网络情况分析 .5 第 3 章 网络安全风险分析 .7 3.1 概要风险分析 .7 3.2 实际风险分析 .10 3.3 安全缺口 .11 3.4 网络安全评估 .11 第 4 章 中小型企业网络安全的实现措施 .12 4.1 计算机安全 .12 4.1.1 访问控制策略 .12 4.1.2 确保网络安全的措施 .16 4.1.3. 提高企业内部网安全性的几个步骤 .18 4.2 网络安全 .19 4.3 网络安全原则 .23 第 5 章 实现中小型企业网络安全的规划与设计 .24 5.1 整体网络安全系统架构 .24 5.2 整体安全防护体系 .25 5.3 INTERNET 和信息发布服务 .26 5.4 INTERNET 和内部网 .27 结 论 .33 致 谢 .34 参考文献 .35 . . 第 1 章 绪论 国内中小企业信息化已经得到了迅速的发展，而且发挥着越来越重要的作用， 由于受资金、安全意识方面的限制，信息安全建设相对严重滞后。目前，很多企业 已经建立了防火墙+防病毒的安全体系，是否就能取得较好的安全效果呢？事实表明， 这样的安全措施还是不够的。蠕虫的爆发、网站遭到破坏、内部信息资外泄中 小企业会遇到许多 “成长中的烦恼”比如： 外部安全 随着互联网的发展，网络安全事件层出不穷。近年来，计算机病毒传播、蠕虫 攻击、垃圾邮件泛滥、敏感信息泄露等已成为影响最为广泛的安全威胁。对于企业 级用户，每当遭遇这些威胁时，往往会造成数据破坏、系统异常、网络瘫痪、信息 失窃，工作效率下降，直接或间接的经济损失也很大。 内部安全 最新调查显示，在受调查的企业中 60%以上的员工利用网络处理私人事务。对 网络的不正当使用，降低了生产率、阻碍电脑网络、消耗企业网络资源、并引入病 毒和间谍，或者使得不法员工可以通过网络泄漏企业机密，从而导致企业数千万美 金的损失。 内部网络之间、内外网络之间的连接安全 随着企业的发展壮大及移动办公的普及，逐渐形成了企业总部、各地分支机构、 移动办公人员这样的新型互动运营模式。怎么处理总部与分支机构、移动办公人员 . . 的信息共享安全，既要保证信息的及时共享，又要防止机密的泄漏已经成为企业成 长过程中不得不考虑的问题。各地机构与总部之间的网络连接安全直接影响企业的 高效运作。 本次论文将结合实际采用最合理的方式来对中小企业网络进行规划与设计。 . . 第 2 章 网络环境现状 2.1 网络环境介绍 信息化已成为国际性发展趋势，作为国民经济信息化的基础，企业信息化建设 受到国家和企业的广泛重视。 企业信息化，企业网络的建设是基础，从计算机网络技术和应用发展的现状来 看，Intranet 是得到广泛认同的企业网络模式。Intranet 并不完全是原来局域网的概 念，通过与 Internet 的联结，企业网络的范围可以是跨地区的，甚至跨国界的。 现在，随着信息化技术的飞速发展 ，Internet 的发展已成燎原之势，随着 WWW 上商业活动的激增，Intranet 也应运而生。近几年，许多有远见的企业领导者 都已感到企业信息化的重要性,陆续建立起了自己的企业网和 Intranet 并通过各种 WAN 线路与 Internet 相连。许多有远见的企业都认识到依托先进的 IT 技术构建企 业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环 境中脱颖而出。国际互联网 Internet 在带来巨大的资源和信息访问的方便的同时，它 也带来了巨大的潜在的危险，至今仍有很多企业仍然没有感到企业网安全的重要性。 在我国网络急剧发展还是近几年的事，而在国外企业网领域出现的安全事故已经是 数不胜数。因此，我们应该在积极进行企业网建设的同时，就应借鉴国外企业网建 设和管理的经验，在网络安全上多考虑一些，将企业网中可能出现的危险和漏洞降 到最低。使已经花了不少财力、人力和时间后，建立起来的网络真正达到预想的效 果。 . . 影响计算机网络安全的因索很多，既有自然因素，也有人为因素，其中人为因 素危害较大，归结起来丰要以下几个方面： 1、病毒感染 从“蠕虫”病毒开始到 CIH、爱虫病毒，病毒一直是计算机系统安全最直接的 威胁。病毒依靠网络迅速传播，它很容易地通过代理服务器以软件下载、邮件接收 等方式进入网络，窃取网络信息，造成很人的损失。 2、来自网络外部的攻击 这是指来自局域网外部的恶意攻击，例如：有选择地破坏网络信息的有效性和 完整性；伪装为合法用户进入网络并占用大量资源；修改网络数据、窃取、破译机 密信息、破坏软件执行；在中间站点拦截和读取绝密信息等。 3、来自网络内部的攻击 在局域网内部，一些非法用户冒用合法用户的口令以合法身份登陆网站后。窃 取机密信息，破坏信息内容，造成应用系统无法运行。 4、系统的漏洞及“后门” 操作系统及网络软件不可能是百分之百的无缺陷、无漏洞的。编程人员有时会 在软件中留有漏洞。一旦这个疏漏被不法分子所知，就会借这个薄弱环节对整个网 络系统进行攻击，大部分的黑客入侵网络事件就是由系统的“漏洞” 和“后门”所 造成的。 . . 经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增 强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统 的正常运行对网络安全提出了更高的要求。信息安全防范应做整体的考虑，全面覆 盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范 体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备， 安全管理应贯穿安全防范活动的始终。 2.2 中小型网络情况分析 中小企业由于规模大小、行业差异、工作方式及管理方式的不同有着不同的网 络拓扑机构。网络情况有以下几种。 集中型: 中小企业网络一般只在总部设立完善的网络布局。采取专线接入、ADSL 接入或 多条线路接入等网络接入方式，一般网络中的终端总数在几十到几百台不等。网络 中有的划分了子网，并部署了与核心业务相关的服务器，如数据库、邮件服务器、 文档资料库、甚至 ERP 服务器等。 分散型: 采取多分支机构办公及移动办公方式，各分支机构均有网络部署，数量不多。 大的分支采取专线接入，一般分支采取 ADSL 接入方式。主要是通过 VPN 访问公司主 机设备及资料库，通过邮件或内部网进行业务沟通交流。 综合型: . . 集中型与分散型的综合。 综合型企业网络简图 . . 第 3 章 网络安全风险分析 3.1 概要风险分析 1.物理安全分析 网络的物理安全是整个网络系统安全的前提。在网络工程建设中，由于网络系 统属于弱电工程，耐压值很低。因此，在网络工程的设计和施工中，必须优先考虑 保护人和网络设备不受电、火灾和雷击的侵害；考虑布线系统与照明电线、动力电 线、通信线路、暖气管道及冷热空气管道之间的距离；考虑布线系统和绝缘线、裸 体线以及接地与焊接的安全；必须建设防雷系统，防雷系统不仅考虑建筑物防雷， 还必须考虑计算机及其他弱电耐压设备的防雷。总体来说物理安全的风险主要有， 地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁； 电磁干扰；线路截获；高可用性的硬件；双机多冗余的设计；机房环境及报警系统、 安全意识等，因此要尽量避免网络的物理安全风险。 2.网络结构的安全风险分析 网络拓扑结构设计也直接影响到网络系统的安全性。企业网络与外网有互连。 基于网络系统的范围大、函盖面广，内部网络将面临更加严重的安全威胁，入侵者 每天都在试图闯入网络节点。 假如在外部和内部网络进行通信时，网络系统中办公 系统及员工主机上都有涉密信息，假如内部网络的一台电脑安全受损(被攻击或者被 病毒感染)，内部网络的机器安全就会受到威胁，同时也影响在同一网络上的许多其 他系统。透过网络传播，还会影响到连上 Internet/Intrant 的其他的网络；影响所 . . 及，还可能涉及法律、金融等安全敏感领域。因此，我们在设计时有必要将公开服 务器（WEB、DNS、EMAIL 等）和外网及内部其它业务网络进行必要的隔离，避免网 络结构信息外泄；同时还要对外网的服务请求加以过滤，只允许正常通信的数据包 到达相应主机，其它的请求服务在到达主机之前就应该遭到拒绝。 3.操作系统的安全风险分析 所谓系统的安全是指整个网络操作系统和网络硬件平台是否可靠且值得信任。 目前恐怕没有绝对安全的操作系统可以选择，无论是 Microsfot 的 Windows NT 或 者其它任何商用 UNIX 操作系统，其开发厂商必然有其后门。因此，我们可以得出如 下结论：没有完全安全的操作系统。不同的用户应从不同的方面对其网络作详尽的 分析，选择安全性尽可能高的操作系统。因此不但要选用尽可能可靠的操作系统和 硬件平台，并对操作系统进行安全配置。而且，必须加强登录过程的认证（特别是 在到达服务器主机之前的认证） ，确保用户的合法性；其次应该严格限制登录者的操 作权限，将其完成的操作限制在最小的范围内。 4.应用的安全风险分析 应用系统的安全跟具体的应用有关，它涉及面广。应用系统的安全是动态的、 不断变化的。应用的安全性也涉及到信息的安全性，它包括很多方面。 应用的安全性也是动态的。这就需要我们对不同的应用，检测安全漏洞，采取 相应的安全措施，降低应用的安全风险。主要有文件服务器的安全风险、数据库服 务器的安全风险、病毒侵害的安全风险、数据信息的安全风险等 应用的安全涉及方面很多，以目前 Internet 上应用最为广泛的 E-mail 系统来 . . 说，其解决方案有 sendmail、Netscape Messaging Server、Software.Com Post.Office、Lotus Notes、Exchange Server、SUN CIMS 等不下二十多种。其安 全手段涉及 LDAP、DES、RSA 等各种方式。应用系统是不断发展且应用类型是不断增 加的。在应用系统的安全性上，主要考虑尽可能建立安全的系统平台，而且通过专 业的安全工具不断发现漏洞，修补漏洞，提高系统的安全性。 应用的安全性涉及到信息、数据的安全性。 信息的安全性涉及到机密信息泄露、未经授权的访问、 破坏信息完整性、假冒、 破坏系统的可用性等。在某些网络系统中，涉及到很多机密信息，如果一些重要信 息遭到窃取或破坏，它的经济、社会影响和政治影响将是很严重的。因此，对用户 使用计算机必须进行身份认证，对于重要信息的通讯必须授权，传输必须加密。采 用多层次的访问控制与权限控制手段，实现对数据的安全保护；采用加密技术，保 证网上传输的信息（包括管理员口令与帐户、上传信息等）的机密性与完整性。 5.管理的安全分析 管理是网络中安全最最重要的部分。责权不明，安全管理制度不健全及缺乏可 操作性等都可能引起管理安全的风险。当网络出现攻击行为或网络受到其它一些安 全威胁时（如内部人员的违规操作等） ，无法进行实时的检测、监控、报告与预警。 同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对 网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录， 及时发现非法入侵行为。 建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案，因此， . . 最可行的做法是制定健全的管理制度和严格管理相结合。保障网络的安全运行，使 其成为一个具有良好的安全性、可扩充性和易管理性的信息网络便成为了首要任务。 一旦上述的安全隐患成为事实，所造成的对整个网络的损失都是难以估计的。因此， 网络的安全建设是网络安全建设过程中重要的一环。 管理方面的安全隐患包括：内部管理人员或员工图方便省事，不设置用户口令， 或者设置的口令过短和过于简单，导致很容易破解。责任不清，使用相同的用户名、 口令，导致权限管理混乱，信息泄密。把内部网络结构、管理员用户名及口令以及 系统的一些重要信息传播给外人带来信息泄漏风险。内部不满的员工有的可能造成 极大的安全风险。 3.2 实际风险分析 现今的网络安全存在的威胁主要表现在以下几个方面。 1.非授权访问。指对网络设备及信息资源进行非正常使用或越权使用等。 2.冒充合法用户。主要指利用各种假冒或欺骗的手段非法获得合法用户的使用 权限,以达到占用合法用户资源的目的。 3.破坏数据的完整性。指使用非法手段,删除、修改、重发某些重要信息,以干 扰用户的正常使用。 4.干扰系统正常运行。指改变系统的正常运行方法,减慢系统的响应时间等手段。 5.病毒与恶意攻击。指通过网络传播病毒或恶意 Java、XActive 等。 . . 6.线路窃听。指利用通信介质的电磁泄漏或搭线窃听等手段获取非法信息。 3.3 安全缺口 安全策略经常会与用户方便性相矛盾,从而产生相反的压力,使安全措施与安全策略 相脱节。这种情况称为安全缺口。为什么会存在安全缺口呢?有下面四个因素: 1、网络设备种类繁多当前使用的有各种各样的网络设备,从 Windows NT 和 UNIX 服务器到防火墙、路由器和 Web 服务器,每种设备均有其独特的安全状况和 保密功能; 2、访问方式的多样化一般来说,您的网络环境存在多种进出方式,许多过程 拔号登录点以及新的 Internet 访问方式可能会使安全策略的设立复杂化; 3、网络的不断变化网络不是静态的,一直都处于发展变化中。启用新的硬 件设备和操作系统,实施新的应用程序和 Web 服务器时,安全配置也有不尽相同; 4、用户保安专业知识的缺乏许多组织所拥有的对网络进行有效保护的保安 专业知识十分有限,这实际上是造成安全缺口最为主要的一点。 3.4 网络安全评估 为堵死安全策略和安全措施之间的缺口,必须从以下三方面对网络安全状况进行评估: 1、从企业外部进行评估:考察企业计算机基础设施中的防火墙; 2、从企业内部进行评估:考察内部网络系统中的计算机; 3、从应用系统进行评估:考察每台硬件设备上运行的操作系统。 . . 第 4 章 中小型企业网络安全的实现措施 4.1 计算机安全 4.1.1 访问控制策略 访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不 被非法使用和非常访问。它也是维护网络系统安全、保护网络资源的重要手段。各 种安全策略必须相互配合才能真正起到保护作用，但访问控制可以说是保证网络安 全最重要的核心策略之一。下面我们分述各种访问控制策略。 1、入网访问控制 入网访问控制为网络访问提供了第一层访问控制。它控制哪些用户能够登录到 服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。 用户的入网访问控制可分为三个步骤：用户名的识别与验证、用户口令的识别 与验证、用户帐号的缺省限制检查。三道关卡中只要任何一关未过，该用户便不能 进入该网络。 对网络用户的用户名和口令进行验证是防止非法访问的第一道防线。用户注册 时首先输入用户名和口令，服务器将验证所输入的用户名是否合法。如果验证合法， 才继续验证用户输入的口令，否则，用户将被拒之网络之外。用户的口令是用户入 网的关键所在。为保证口令的安全性，用户口令不能显示在显示屏上，口令长度应 不少于 6 个字符，口令字符最好是数字、字母和其他字符的混合，用户口令必须经 过加密，加密的方法很多，其中最常见的方法有：基于单向函数的口令加密，基于 . . 测试模式的口令加密，基于公钥加密方案的口令加密，基于平方剩余的口令加密， 基于多项式共享的口令加密，基于数字签名方案的口令加密等。经过上述方法加密 的口令，即使是系统管理员也难以得到它。用户还可采用一次性用户口令，也可用 便携式验证器（如智能卡）来验证用户的身份。 网络管理员应该可以控制和限制普通用户的帐号使用、访问网络的时间、方式。 用户名或用户帐号是所有计算机系统中最基本的安全形式。用户帐号应只有系统管 理员才能建立。用户口令应是每用户访问网络所必须提交的“证件” 、用户可以修改 自己的口令，但系统管理员应该可以控制口令的以下几个方面的限制：最小口令长 度、强制修改口令的时间间隔、口令的唯一性、口令过期失效后允许入网的宽限次 数。 用户名和口令验证有效之后，再进一步履行用户帐号的缺省限制检查。网络应 能控制用户登录入网的站点、限制用户入网的时间、限制用户入网的工作站数量。 当用户对交费网络的访问“资费”用尽时，网络还应能对用户的帐号加以限制，用 户此时应无法进入网络访问网络资源。网络应对所有用户的访问进行审计。如果多 次输入口令不正确，则认为是非法用户的入侵，应给出报警信息。 2、网络的权限控制 网络的权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户 组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和 其他资源。可以指定用户对这些文件、目录、设备能够执行哪些操作。受托者指派 和继承权限屏蔽（IRM）可作为其两种实现方式。受托者指派控制用户和用户组如何 . . 使用网络服务器的目录、文件和设备。继承权限屏蔽相当于一个过滤器，可以限制 子目录从父目录那里继承哪些权限。我们可以根据访问权限将用户分为以下几类： 特殊用户（即系统管理员） ； 一般用户，系统管理员根据他们的实际需要为他们分配操作权限； 审计用户，负责网络的安全控制与资源使用情况的审计。用户对网络资源的 访问权限可以用一个访问控制表来描述。 3、目录级安全控制 网络应允许控制用户对目录、文件、设备的访问。用户在目录一级指定的权限 对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件的权限。 对目录和文件的访问权限一般有八种： 系统管理员权限（Supervisor） ； 读权限（Read） 、 ； 写权限（Write） ； 创建权限（Create） ； 删除权限（Erase） ； 修改权限（Modify） ； 文件查找权限（File Scan） ； 存取控制权限（Access Control） ； 用户对文件或目标的有效权限取决于以下二个因素：用户的受托者指派、用户 所在组的受托者指派、继承权限屏蔽取消的用户权限。一个网络系统管理员应当为 . . 用户指定适当的访问权限，这些访问权限控制着用户对服务器的访问。八种访问权 限的有效组合可以让用户有效地完成工作，同时又能有效地控制用户对服务器资源 的访问，从而加强了网络和服务器的安全性。 4、属性安全控制 当用文件、目录和网络设备时，网络系统管理员应给文件、目录等指定访问属 性。属性安全控制可以将给定的属性与网络服务器的文件、目录和网络设备联系起 来。 属性安全在权限安全的基础上提供更进一步的安全性。网络上的资源都应预先 标出一组安全属性。用户对网络资源的访问权限对应一张访问控制表，用以表明用 户对网络资源的访问能力。 属性设置可以覆盖已经指定的任何受托者指派和有效权限。属性往往能控制以 下几个方面的权限：向某个文件写数据、拷贝一个文件、删除目录或文件、查看目 录和文件、执行文件、隐含文件、共享、系统属性等。网络的属性可以保护重要的 目录和文件，防止用户对目录和文件的误删除、执行修改、显示等。 5、网络服务器安全控制 网络允许在服务器控制台上执行一系列操作。用户使用控制台可以装载和卸载 模块，可以安装和删除软件等操作。网络服务器的安全控制包括可以设置口令锁定 服务器控制台，以防止非法用户修改、删除重要信息或破坏数据；可以设定服务器 登录时间限制、非法访问者检测和关闭的时间间隔。 6、网络监测和锁定控制 . . 网络管理员应对网络实施监控，服务器应记录用户对网络资源的访问，对非法 的网络访问，服务器应以图形或文字或声音等形式报警，以引起网络管理员的注意。 如果不法之徒试图进入网络，网络服务器应会自动记录企图尝试进入网络的次数， 如果非法访问的次数达到设定数值，那么该帐户将被自动锁定。 7、网络端口和节点的安全控制 网络中服务器的端口往往使用自动回呼设备、静默调制解调器加以保护，并以 加密的形式来识别节点的身份。自动回呼设备用于防止假冒合法用户，静默调制解 调器用以防范黑客的自动拨号程序对计算机进行攻击。网络还常对服务器端和用户 端采取控制，用户必须携带证实身份的验证器（如智能卡、磁卡、安全密码发生器） 。 在对用户的身份进行验证之后，才允许用户进入用户端。然后，用户端和服务器端 再进行相互验证 4.1.2 确保网络安全的措施 由于网络安全的目的是保障用户的重要信息的安全，因此限制直接接触十分重 要。如果用户的网络连入 Internet，那麽最好尽可能地把与 Internet 连接的机器 与网络的其余部分隔离开来。实现这个目标的最安全的方法是将 Internet 服务器与 网络实际隔开。当然，这种解决方案增加了机器管理的难度。但是如果有人闯入隔 离开的机器，那麽网络的其余部分不会受到牵连。 最重要的是限制访问。不要让不需要进入网关的人都进入网关。在机器上用户 仅需要一个用户帐号，严格限制它的口令。只有在使用 su 时才允许进入根帐号。这 . . 个方法保留一份使用根帐号者的记录。 在 Internet 服务器上提供的一些服务有 FTP、HTTP、远程登陆和 WAIS（广域信 息服务） 。但是，FTP 和 HTTP 是使用最普遍的服务。它们还有潜力泄露出乎用户意 料之外的秘密。 与任何其它 Internet 服务一样，FTP 一直是（而且仍是）易于被滥用的。值得 一提的弱点涉及几个方面。第一个危险是配置不当。它使站点的访问者（或潜在攻 击者）能够获得更多超出其预期的数据。 他们一旦进入，下一个危险是可能破坏信息。一个未经审查的攻击者可以抹去 用户的整个 FTP 站点。 最后一个危险不必长篇累牍，这是因为它不会造成破坏，而且是低水平的。它 由用户的 FTP 站点构成，对于交换文件的人来说，用户的 FTP 站点成为“麻木不仁 的窝脏点” 。这些文件无所不包，可以是盗版软件，也可以是色情画。这种交换如何 进行的呢？简单的很。发送者发现了一个他们有权写入和拷入可疑文件的 FTP 站点。 通过某些其它方法，发送者通知它们的同伙文件可以使用。 所有这些问题都是由未正确规定许可条件而引起的。最大的一个问题可能是允 许 FTP 用户有机会写入。当用户通过 FTP 访问一个系统时，这一般是 FTP 用户所做 的事。因此，FTP 用户可以访问，用户的访问者也可以使用。所有这些问题都是由 未正确规定许可条件而引起的。最大的一个问题可能是允许 FTP 用户有机会写入。 当用户通过 FTP 访问一个系统时，这一般是 FTP 用户所做的事。因此，FTP 用户可 以访问，用户的访问者也可以访问。 . . 一般说来，FTP 用户不是用户的系统中已经有的。因此，用户要建立 FTP 用户。 无论如何要保证将外壳设置为真正外壳以外的东西。这一步骤防止 FTP 用户通过远 程登录进行注册（用户或许已经禁止远程登录，但是万一用户没有这样做，确认一 下也不会有错） 。 将所有文件和目录的主人放在根目录下，不要放在 ftp 下。这个预防措施防止 FTP 用户修改用户仔细构思出的口令。然后，将口令规定为 755（读和执行，但不能 写，除了主人之外） 。在用户希望匿名用户访问的所有目录上做这项工作。尽管这个 规定允许他们读目录，但它也防止他们把什麽东西放到目录中来。 用户还需要编制某些可用的库。然而，由于用户已经在以前建立了必要的目录， 因此这一步仅执行一部分。因此，用户需要做的一切是将/usr/lib/libe.so.1 和 /usr/lib/libsock-et.so/1 拷贝到ftp/usr/lib 中。接着将ftp/usr/lib 上的口 令改为 555，并建立主接收器。 最后，用户需要在ftp/dev/中建立/dev/null 和/dev/socksys 设备结点。用户 可以用 mknod 手工建立它们。然而，让系统为用户工作会更加容易。SCO 文档说用 cpio,但是 copy（非 cp）很管用。 如果用户想建立一个人们都可用留下文件的目录，那麽可将它称作输入。允许 其他人写入这个目录，但不能读。这个预防措施防止它成为麻木不仁的窝脏点。人 们可以在这里放入他们想放的任何东西，但是他们不能将它们取出。如果用户认为 信息比较适合共享，那麽将拷贝到另一个目录中。 . . 4.1.3. 提高企业内部网安全性的几个步骤 1) 限制对网关的访问。限制网关上的帐号数。不要允许关不信任任何机器。没有 一台机器应该信任网关； 2) 不要用 NFS 向网关传输或接收来自网关的任何文件系统； 3) 不要在网关上使用 NIS（网络信息服务） ； 4) 制订和执行一个非网关机器上的安全性方针； 5) 关闭所有多余服务和删除多余程序 6) 删除网关的所有多余程序（远程登录、rlogin、FTP 等等） ； 7) 定期阅读系统记录。 4.2 网络安全 1.物理安全策略 物理安全策略的目的是保护计算机系统、网络服务器、打印机等硬件实体和信 链路免受自然灾害、人为破坏和搭线攻击；验证用户的身份和使用权限、防用户越 权操作；确保计算机系统有一个良好的电磁兼容工作环境；建立完备的安全管理制 度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。 抑制和防止电磁泄漏（即 TEMPEST 技术）是物理安全策略的一个主要问题。目 前主要防护措施有两类：一类是对传导发射的防护，主要采取对电源线和信号线加 装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合。另一类是对辐射的防护， 这类防护措施又可分为以下两种： . . 一是采用各种电磁屏蔽措施，如对设备的金属屏蔽和各种接插件的屏蔽，同时 对机房的下水管、暖气管和金属门窗进行屏蔽和隔离； 二是干扰的防护措施，即在计算机系统工作的同时，利用干扰装置产生一种与 计算机系统辐射相关的伪噪声向空间辐射来掩盖计算机系统的工作频率和信息特征。 2.网络结构的安全 网络结构布局的合理与否，也影响着网络的安全性对银行系统业务网，办公网， 与外单位互联的接口网络之间必须按各自的应用范围，安全保密程度进行合理分布， 以免局部安全性较低的网络系统造成的威胁，传播到整个网络系统，所以必须从两 个方面入手，一是加强|力问控制：在内部局网内可以通过交换机划分 VLAN 功能来 实现；或是通过配备防火墙来实现内、外网或不同信任域之间的隔离与访问控制： 也可以配备应用层的访问控制软件系统，针对局域网具体的应用进行更细致的访问 控制。二是作好安全检测工作：在局域网络的共享网络设备上配备入侵检测系统， 实时分析进出网络数据流，对网络违规事件跟踪，实时报警，阻断连接并做日志。 3.操作系统的安全 对操作系统必须进行安全配置，打上最新的补丁，还要利用相应的扫描软件对 其进行安全性扫描评估，检测其存在的安全漏洞，分析系统的安全性，提出补救措 施，管理人员应用时必须加强身份认证机制及认证强度尽量采用安全性较高的网络 操作系统并进行必要的安全配置，关闭一些起不常用却存在安全隐患的应用，对一 些关键文件使用权限进行严格限制，加强口令字的使用，及时给系统打补丁，系统 . . 内部的相互调用不对外公开。 4.应用的安全 要确保计算机网络应用的安全，主要从以下几个方面作好安全防范工作：一要 配备防病毒系统，防止病毒入侵主机并扩散到全网，实现全网的病毒安全防护；二 作好数据备份工作，最安全的，最保险的方法是对重要数据信息进行安全备份，如 果遇到系统受损时，可以利用灾难恢复系统进行快速恢复；三是对数据进行加密传 输，保护数据在传输过程中不被泄露，保证用户数据的机密性，数据加密的方法有 从链路层加密，网络层加密及应用层加密；四是进行信息鉴别，为了保证数据的完 整性，就必须采用信息鉴别技术，VPN 设备便能实现这样的功能，数据源身份认证 也是信息鉴别的一种手段，它可以确认信息的来源的可靠性，结合传输加密技术， 我们可以选择 VPN 设备，实现保护数据的机密性，完整性，真实性，可靠性。 我们可以做的有： 第一部分是增强用户认证,用户认证在网络和信息的安全中属于技术措施的第一 道大门,最后防线为审计和数据备份,不加强这道大门的建设,整个安全体系就会较脆 弱。用户认证的主要目的是提供访问控制和不可抵赖的作用。用户认证方法按其层 次不同可以根据以下三种因素提供认证。 1.用户持有的证件,如大门钥匙、门卡等等; 2.用户知道的信息,如密码; 3.用户特有的特征,如指纹、声音、视网膜扫描等等。 根据在认证中采用因素的多少,可以分为单因素认证、双因素认证,多因素认证 . . 等方法。 第二部分是授权,这主要为特许用户提供合适的访问权限,并监控用户的活动,使 其不越权使用。该部分与访问控制(常说的隔离功能)是相对立的。隔离不是管理的 最终目的,管理的最终目的是要加强信息有效、安全的使用,同时对不同用户实施不 同访问许可。 第三部分是加密。在上述的安全体系结构中,加密主要满足以下几个需求。 1.认证识别用户身份,提供访问许可; 2.一致性保证数据不被非法篡改; 3.隐密性保护数据不被非法用户查看; 4.不可抵赖使信息接收者无法否认曾经收到的信息。 加密是信息安全应用中最早开展的有效手段之一,数据通过加密可以保证在存取 与传送的过程中不被非法查看、篡改、窃取等。在实际的网络与信息安全建设中,利 用加密技术至少应能解决以下问题: 1.钥匙的管理,包括数据加密钥匙、私人证书、私密等的保证分发措施; 2.建立权威钥匙分发机构; 3.保证数据完整性技术; 4.数据加密传输; 5.数据存储加密等。 第四部分为审计和监控,确切说,还应包括数据备份,这是系统安全的最后一道防 线。系统一旦出了问题,这部分可以提供问题的再现、责任追查、重要数据复原等保 . . 障。在网络和信息安全模型中,这五个部分是相辅相成、缺一不可的。其中底层是上 层保障的基础,如果缺少下面各层次的安全保障,上一层的安全措施则无从说起。如 果一个企业没有对授权用户的操作规范、安全政策和教育等方面制定有效的管理标 准,那么对用户授权的控制过程以及事后的审计等的工作就会变得非常困难。 5.管理的安全 安全体系的建立和维护需要有良好的管理制度和很高的安全意识来保障。安全 意识可以通过安全常识培训来提高，行为的约束只能通过严格的管理体制，并利用 法律手段来实现，因国这些必须在电信部门系统内根据自身的应用与安全需求，制 定安全管理制度并严格按执行，并通过安全知识及法律常识的培训，加强整体员工 的自身安全意识及防范外部入侵的安全技术。 4.3 网络安全原则 网络安全体系的核心目标是实现对网络系统和应用操作过程的有效控制和管理。 任何安全系统必须建立在技术、组织和制度这三个基础之上。 体系化设计原则。通过分析信息网络的层次关系，提出科学的安全体系和安全 框架，并根据安全体系分析存在的各种安全风险，从而最大限度地解决可能存在的 安全问题。 全局综合性设计原则。从中小企业的实际情况看，单纯依靠一种安全措施，并 不能解决全部的安全问题。建议考虑到各种安全措施的使用，使用一个具有相当高 度、可扩展性强的安全解决方案及产品。 . . 可行性、可靠性及安全性。可行性是安全方案的根本，它将直接影响到网络通 信平台的畅通，可靠性是安全系统和网络通信平台正常运行的保证，而安全性是设 计安全系统的最终目的。 . . 第 5 章 实现中小型企业网络安全的规划与设计 5.1 整体网络安全系统架构 安全方案必须架构在科学网络安全系统架构之上，因为安全架构是安全方案设 计和分析的基础。 随着针对应用层的攻击越来越多、威胁越来越大，只针对网络层以下的安全解 决方案已经不足以应付来自应用层的攻击了。举个简单的例子，那些携带着后门程 序的蠕虫病毒是简单的防火墙/VPN 安全体系所无法对付的。因此我们建议企业采用 立体多层次的安全系统架构。如图所示，这种多层次的安全体系不仅要求在网络边 界设置防火墙/VPN，还要设置针对网络病毒和垃圾邮件等应用层攻击的防护措施， 将应用层的防护放在网络边缘，这种主动防护可将攻击内容完全阻挡在企业内部网 之外。 . . 5.2 整体安全防护体系 基于以上的规划和分析，建议中小企业企业网络安全系统按照系统的实现目的， 采用一种整合型高可靠性安全防火墙。 (1)访问控制 实施企业网与外部、企业内部不同部门之间的隔离。其关键在于应支持目前 Internet 中的所有协议,包括传统的面向连接的协议、无连接协议、多媒体、视频、商 业应用协议以及用户自定义协议等。 (2)普通授权与认证 提供多种认证和授权方法,控制不同的信息源。 (3)内容安全 对流入企业内部的网络信息流实施内部检查,包括 URL 过滤等等。 (4)加密 提供防火墙与防火墙之间、防火墙与移动用户之间信息的安全传输。 (5)网络设备安全管理 目前一个企业网络可能会有多个连通外界的出口,如连接 ISP 的专线、拨号线等, 同时,在大的企业网内不同部门和分公司之间可能亦会有由多级网络设备隔离的小网 络。根据信息源的分布情况,有必要对不同网络和资源实施不同的安全策略和多种级 别的安全保护,如可以在防火墙上实施路由器、交换机、访问服务器的安全管理。 (6)集中管理 实施一个企业一种安全策略,实现集中管理、集中监控等。 . . (7)提供记帐、报警功能 实施移动方式的报警功能,包括 E-mail、SNMP 等。 5.3 INTERNET 和信息发布服务 这种情况非常普遍，ISP 或 ICP，企业的网页，在 INTERNET 上提供息服务或提 供数据库服务等。任何一种想提供普遍服务或广而告之的网络行为，必须允许用户 能够访问到你提供服务的主机，都属于这种情况。 对访问服务行业而言，访问服务提供者必须把要提供服务的服务器主机放在外 部用户可以访问的地方，也就是说，主机安全几乎是唯一的保证。除非明确地知道 谁会对你的访问惊醒破坏，才可以对出口路由器或出口防火墙惊醒一些针对性的限 制访问控制的设定，否则，访问控制变得毫无意义。 主机安全是一个非常有效的手段。所谓的主机安全是一个非常广义的概念，首 先是要有一个安全的操作系统，建立在一个不安全、甚至稳定性都很差的操作系统 上，是无法作到一个安全的主机。然后是仔细的检查你所提供的服务，如果不是你 所必须提供的服务，建议除掉一切你所不需要的进程，对你的服务而言，它们都是 你安全上的隐患。可以采用一些安全检测或网络扫描工具来确定你的服务器上到底 有伸麽服务，以保证是否有安全漏洞或隐患。最后是对主机确定非常严格的访问限 制规则，除了允许提供商愿意提供的服务之外，宣纸并拒绝所有未允许的服务，这 是一个非常严格的措施。 除了主机安全以外，如果还需要提高服务的安全性，就该考虑采用网络实时监 . . 控和交互式动态防火墙。网络实时监控系统，会自动捕捉网络上所有的通信包，并 对其进行分析和解析，并判断出用户的行为和企图。如果发现用户的行为或企图与 服务商所允许的服务不同，交互式防火墙立即采取措施，封堵或拒绝用户的访问， 将其拒绝在防火墙之外，并报警。网络实时监控系统和交互式防火墙具有很强的审 计功能，但成本相对偏高。 5.4 INTERNET 和内部网 企业一方面访问 INTERNET，得到 INTERNET 所带来的好处，另一方面，却不希 望外部用户去访问企业的内部数据库和网络。企业当然没有办法去建立两套网络来 满足这种需求。 防火墙的基本思想不是对每台主机系统进行保护，而是让所有对系统的访问通 过某一点，并且保护这一点，并尽可能地对受保护的内部网和不可信任的外界网络 之间建立一道屏障，它可以实施比较惯犯的安全政策来控制信息流，防止不可预料 的潜在的入侵破坏。 根据企业内部网安全政策的不同，采取防火墙的技术手段也有所不同。 1、包过滤防火墙 包过滤防火墙的安全性是基于对包的 IP 地址的校验。在 Internet 上，所有信 息都是以包的形式传输的，信息包中包含发送方的 IP 地址和接收方的 IP 地址。包 过滤防火墙将所有通过的信息包中发送方 IP 地址、接收方 IP 地址、TCP 端口、TCP 链路状态等信息读出，并按照预先设定过滤原则过滤信息包。那些不符合规定的 IP . . 地址的信息包会被防火墙过滤掉，以保证网络系统的安全。 包过滤防火墙是基于访问控制来实现的。它利用数据包的头信息（源 IP 地址、 封装协议、端口号等）判定与过滤规则相匹配与否决定舍取。建立这类防火墙需按 如下步骤去做；建立安全策略；写出所允许的和禁止的任务；将安全策略转化为数 据包分组字段的逻辑表达式；用相应的句法重写逻辑表达式并设置之， 包过滤防火墙主要是防止外来攻击，或是限制内部用户访问某些外部的资源。 如果是防止外部攻击，针对典型攻击的过滤规则，大体有： 对付源 IP 地址欺骗式攻击（Source IP Address Spoofing Attacks） 对入侵者假冒内部主机，从外部传输一个源 IP 地址为内部网络 IP 地址的数据 包的这类攻击，防火墙只需把来自外部端口的使用内部源地址的数据包统统丢弃掉。 对付残片攻击（Tiny Fragment Attacks） 入侵者使用 TCP/IP 数据包 分段特性，创建极小的分段并强行将 TCP/IP 头信息 分成多个数据包，以绕过用户防火墙的过滤规则。黑客期望防火墙只检查第一个分 段而允许其余的分段通过。对付这类攻击，防火墙只需将 TCP/IP 协议片断位移植 （Fragment Offset）为 1 的数据包全部丢弃即可。 包过滤防火墙简单、透明，而且非常行之有效，能解决大部分的安全问题，但 必须了解包过滤防火墙不能做伸麽和有伸麽缺点。 对于采用动态分配端口的服务，如很多 RPC（远程过程调用）服务相关联的服 务器在系统启动时随机分配端口的，就很难进行有效地过滤。 . . 包过滤防火墙只按照规则丢弃数据包而不对其作日志，导致对过滤的 IP 地址的 不同用户，不具备用户身份认证功能，不具备检测通过高层协议（如应用层）实现 的安全攻击的能力。 2、代理防火墙 包过滤防火墙从很大意义上像一场战争，黑客想攻击，防火墙坚决予以拒绝。 而代理服务器则是另外一种方式，能回避就回避，甚至干脆隐藏起来。代理服务器 接收客户请求后会检查验证其合法性，如其合法，代理服务器象一台客户机一样取 回所需的信息再转发给客户。它将内部系统与外界隔离开来，从外面只能看到代理 服务器而看不到任何内部资源。代理服务器只允许有代理的服务通过，而其他所有 服务都完全被封锁住。 代理服务器非常适合那些根本就不希望外部用户访问企业内部的网络，而也不 希望内部的用户无限制的使用或滥用 INTERNET。采用代理服务器，可以把企业的内 部网络隐藏起来，内部的用户需要验证和授权之后才可以去访问 INTERNET。 代理服务器包含两大类：一类是电路级代理网关，另一类是应用级代理网关。 电路级网关又称线路级网关，它工作在会话层。它在两主机收次建立 TCP 连接 时创立一个电子屏障。它作为服务器接收外来请求，转发请求；与被保护的主机连 接时则担当客户机角色、起代理服务的作用。它监视两主机建立连接时的握手信息， 如 Syn、Ack 和序列数据等是否合乎逻辑，信号有效后网关仅复制、传递数据，而不 进行过滤。电路网关中特殊的客户程序只在初次连接时进行安全协商控制，其后就 透明了。只有懂得如何与该电路网关通信的客户机才能到达防火墙另一边的服务器。 . . 电路级网关的防火墙的安全性比较高，但它仍不能检查应用层的数据包以消除 应用层攻击的威胁。 应用级网关使用软件来转发和过滤特定的应用服务，如 TELNET、FTP 等服务的 连接。这是一种代理服务。它只允许有代理的服务通过，也就是说只有那些被认为 “可信赖的”服务才被允许通过防火墙。另外代理服务还可以过滤协议，如过滤 FTP 连接、拒绝使用 FTP 放置命令等。应用级网关的安全性高，其不足是要为每种 应用提供专门的代理服务程序。 两种代理技术都具有登记、日记、统计和报告功能，有很好的审计功能。还可 以具有严格的用户认证功能。先进的认证措施，如验证授权 RADIUS、智能卡、认证 令牌、生物统计学和基于软件的工具已被用来克服传统口令的弱点。 3、状态监控技术 网络状态监控技术普遍被认为是下一代的网络安全技术。传统的网络状态监控 技术对网络安全正常的工作完全没有影响的前提下，采用捕捉网络数据包的方法对 网络通信的各个层次实行监测，并作安全决策的依据。监视模块支持多种网