网络信息安全方案Word格式文档下载.docx
《网络信息安全方案Word格式文档下载.docx》由会员分享，可在线阅读，更多相关《网络信息安全方案Word格式文档下载.docx（29页珍藏版）》请在冰豆网上搜索。
由于Internet的开放性、国际性与自由性，
Internet已成为国家之间信息战的主要战场；
商业间谍会利用Internet窃取政府的机密数据；
黑客也随时随地想攻入政府网络。
因此，只要与Internet相连，内部网络将面临着严重的安全危胁。
与Internet相连，因此存在间接来自公网的安全威胁。
●来自各行业专网的安全威胁
据调查在已有的网络安全事件中，约70%是来自内部网络的侵犯。
这类安全威胁可分为意外的人为安全威胁和有意的人为威胁。
1．意外的人为威胁
这类安全威胁是由于各种不确定因素综合在一起时偶然发生的，并不是有人故意造成的，常常是出于不正确的操作、配置、设计或疏忽大意而发生的。
这类安全威胁在人为威胁中是经常发生的，其发生的几率甚至比有意而为的安全威胁发生的几率还要大，产生的损失也有可能是非常巨大的，无法挽回的。
用户、数据处理人员、系统管理员以及程序员都会经常地无意地产生一些错误或疏忽，从而造成了直接或间接的后果。
在某些情况下，这些错误就会成为一种威胁，如某一数据项的错误而导致了系统的崩溃；
而在另一些情况下，这些错误或疏忽就有可能使信息系统的某一部门成为这个系统中的一个薄弱环节，从而有可能被各种威胁所利用而造成各种损失。
程序设计开发中的错误通常被叫做“BUG”，这些BUG可能是很微小的，也可能是灾难性的。
另外，系统的配置及维护中也可能发生错误及疏忽的问题。
如现在的网络中有很多系统配置有多处漏洞，有的是由于采用默认配置，有的是身份验证不严格，而有的是因为没能及时为系统打补丁升级而造成的；
而另一些就是对路由器、防火墙的配置错误，而造成各种漏洞或薄弱环节。
这些都为黑客的非法侵入或病毒的感染开了方便之门。
2.有意的人为威胁
有意的人为威胁可以是欺诈或偷窃、内部员工的有意破坏、怀有恶意的黑客行为、侵犯他人个人隐私、恶意代码、工业间谍以及外国间谍等等行为。
公司内网的使用人员众多，并不能保证所有的员工都是良性用户。
很多人可能出于对敏感信息的好奇心，或者抱有其他不良目的，而使用一些黑客软件，对一些敏感的服务器或应用系统，进行攻击或非法入侵，这样有可能导致数据库被破坏、网络阻塞等严重后果。
如来自内部入侵者利用Sniffer等嗅探程序通过网络探测、扫描网络及操作系统存在的安全漏洞，如网络IP地址、应用操作系统的类型、开放哪些TCP端口号、系统保存用户名和口令等安全信息的关键文件等，并采用相应的攻击程序对内网进行攻击。
入侵者通过网络监听等先进手段获得内部网用户的用户名、口令等信息，进而假冒内部合法身份进行非法登录，窃取内部网重要信息。
入侵者通过拒绝服务攻击，使得服务器超负荷工作以至拒绝服务甚至系统瘫痪。
一.5系统安全风险
系统安全是指主机操作系统的安全性问题。
任何操作系统都会有安全漏洞、缺陷和稳定性问题。
基于检查系统的安全漏洞、缺陷和稳定性问题，来攻击一个系统，达到控制系统的目的。
控制该系统之后，入侵者从一个不可信的主机转换为一个可信的主机，从而进行下一步的攻击。
同时病毒也是系统安全漏洞的主要威胁，所有这些都造成了系统安全的脆弱性。
公司内网的应用系统，将会基于多众操作系统来构建。
WindowsNT、Windows2000、XP、2003等，特别是Windows系统，是安全性最差的操作系统，其漏洞最多，黑客对该系统也最熟悉，因此存在极大的系统安全威胁。
一.6应用安全风险
应用安全是指主机系统上应用软件层面的安全，如Web服务器、门户网站、各种应用系统、数据库的安全问题等。
应用系统软件引入了新的威胁，大部分应用系统软件协议没有进行很好的安全性设计，且网络服务器程序经常用超级用户特权来执行，这便造成诸多安全问题。
如何防范应用系统软件引入的安全问题？
如何更好地发挥应用软件的功能？
这是要解决的一个问题。
应用系统是动态的、不断变化的。
应用的安全性也是动态的。
这就需要我们对不同的应用，检测其安全漏洞，采取相应的安全措施，降低应用系统的安全风险。
应用子系统较多、较复杂，有些应用系统是早期开发的应用系统，考虑的安全措施也停留在以前技术水平上，并且随着未来应用需求的发展，还将有更多的应用子系统，因此应重视应用安全风险问题。
应用层面的安全风险包括如下方面：
●资源共享
如自动化办公系统，其大部分应用通常是共享网络资源，比如文件共享、打印机共享等。
由此就可能存在着：
员工有意、无意把硬盘中重要信息目录共享，长期暴露在网络邻居上，可能被外部人员轻易偷取或被内部其他员工窃取并传播出去造成泄密，因为缺少必要的访问控制策略。
●邮件系统
邮件为专网上最主要的应用系统之一。
内部网用户可够通过拔号或其它方式进行邮件发送和接收，这就存在被黑客跟踪或收到一些特洛伊木马、病毒程序等，由于许多用户安全意识比较淡薄，对一些来历不明的邮件，没有警惕性，给入侵者提供机会，给系统带来不安全因至素。
●病毒侵害
网络是病毒传播的最好、最快的途径之一。
病毒程序可以通过网上下载、邮件、使用盗版光盘或软盘、人为投放等传播途径潜入内部网。
网络中一旦有一台主机受病毒感染，则病毒程序就完全可能在极短的时间内迅速扩散，传播到网络上的所有主机，可能造成信息泄漏、文件丢失、机器死机等不安全因素。
●数据信息安全
敏感数据在广域网线路上传输，很难保证在传输过程中不被非法窃取，篡改。
现今很多先进技术，黑客或一些工业间谍会通过一些手段，设法在线路上做些手脚，获得在网上传输的数据信息。
也就造成的泄密。
这对政府行业用户来说，是决不允许的。
一.7管理安全风险
再安全的网络设备离不开人的管理，再好的安全策略最终要靠人来实现，因此管理是整个网络安全中最为重要的一环，尤其是对于一个比较庞大和复杂的网络，更是如此。
因此我们有必要认真的分析管理所带来的安全风险，并采取相应的安全措施。
内部管理人员或员工把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。
机房重地如果是任何人都可以进进出出、来去自由，那么，有恶意目的入侵者便有机会得到入侵的条件。
内部不满的员工有的可能熟悉服务器、小程序、脚本和系统的弱点。
利用网络开些小玩笑，甚至破坏。
如传出至关重要的信息、错误地进入数据库、删除数据等等。
这些都将给网络造成极大的安全风险。
管理是网络中安全得到保证的重要组成部分，是防止来自内部网络入侵必须的部分。
责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。
即除了从技术上下功夫外，还得依靠安全管理来实现。
第二章建议方案
二.1技术措施综述
前面对网络与信息安全威胁因素进行了分析，从理论上来说，有如下技术对策措施：
对于人员管理安全风险，一方面要加强安全意识的教育，加强安全制度的落实，明确责任制；
从技术的角度讲，可以通过上网行为管理系统解决。
对于数据安全风险，采用UTM（UnifiedThreatManagement）统一威胁管理设备。
UTM作为统一威胁管理类产品，功能涵盖了入侵防御、防病毒、防垃圾邮件、内容过滤和流量管理、日志查询等多项功能。
对于网络结构安全风险，采用网络隔离技术，各个子区域之间互访完全受到管理的控制。
对于系统安全风险，采用无盘网络系统，无盘系统使得内网电脑得到统一集中管理，由于系统内无硬件存储设备，使得病毒无处可藏，大大加大了系统的安全性。
而通过桌面管理系统对于所有的系统操作行做到实时的监控和管理；
对于员工的计算机使用行为例如拷贝、打印等行为统一受到管理和监控。
二.2不同区域之间的隔离思路
通过安全交换机产品，对不同的安全域之间进行隔离，对不同的安全域进行隔离，主要解决以下安全威胁
屏蔽不同安全域的网络结构；
对不同的应用系统进行访问控制限制；
避免病毒、木马、恶意代码等在网上泛滥成灾；
避免安全级别低的网络影响安全级别高的网络；
在内网，为保证系统安全接入及服务器的安全，建议通过划分VLAN使得公司物理隔离为几个子网，即把内网划分为：
应用服务器子网，及办公子网。
如下图所示可以把内网隔离为：
VLAN1服务器子网
VLAN2财务子网
VLAN3普通员工子网
VLAN4业务子网
在其中应用服务器子网中部署各种常规服务器，如ERP,OA办公服务器。
这些服务器不能访问外网，通过VPN的方式可以被分公司访问，对内可以指定部分办公子网的某些机器访问，比如办公子网中的财务部门等等。
最大限度的保证服务器安全。
对办公子网，可以把办公子网划分为很多小的子网，比如财务部门，业务部门等等，每个独立的子网不能互访，每个独立的子网可以被指定允许访问服务器。
这样最大程度的保证病毒不会大面积的感染到整个网络。
部署示意图
二.3部署UTM统一威胁管理设备。
二.3.1信息中心UTM系统部署
在信息中心部署UTM统一威胁管理设备，UTM设备支持透明模式,只要接入到内网交换机上,就可以实现内网安全的防护。
部署UTM主要解决以下安全威胁
解决内外网络边界安全，防止外部攻击，保护内部网络；
●根据IP包的目的IP地址、源IP地址、协议号、端口号等进行数据包过滤；
●精确抵御黑客攻击、蠕虫、木马、后门
●应用还原重组技术，抑制间谍软件、灰色软件、网络钓鱼
●网络异常分析技术，全面防止拒绝服务攻击
●网络防病毒技术，防止文件感染病毒、宏病毒、脚本病毒、蠕虫、木马、恶意软件、灰色软件的破坏
●启动入侵检测及告警功能；
●日志记录，做到有据可查；
●多种应用协议的支持。
二.3.2UTM技术概述
UTM（UnifiedThreatManagement）统一威胁管理设备是指通过安全策略的统一部署，融合多种安全能力，针对对网络自身与应用系统进行破坏、利用网络进行非法活动、网络资源滥用等威胁，实现深层控制的高可靠、高性能、易管理的网关安全设备。
UTM概念最早出现在2002年，当时由于混合网络威胁的出现，为了满足用户对防火墙、IDS、VPN、反病毒等产品的集中部署与管理需求，一些安全厂商提出将多种安全技术整合在同一个产品当中，这便是UTM的雏形。
2004年，IDC正式提出UTM的概念。
网络建设者通常需要在网络边际上面对五、六家厂商的安全产品，这带来诸多不便，尽管这些产品各自解决不同的安全问题，但是串接在网关处，不仅带来兼容性问题，而且性能也受到影响，总体安全性不理想。
实质上，接入安全的实施正在由原来简单的防火墙式的边界防御向立体化的边界防御转移，在包过滤技术之上，融合了多种威胁控制管理措施的安全网关，即UTM，能够大大降低安全系统构建的复杂性，简化产品集成、配置和服务支持的工作量，符合用户未来的应用心理和需求，是未来安全网关发展的方向。
UTM出现以来，许多用户甚至安全厂商对UTM存在不少认识上的误区，认为只要把一系列安全产品简单相加就是UTM了。
这种认识只强调了UTM概念的外延，仅仅看到了UTM的表象。
事实上，从产品设计或技术实现的角度来看，UTM并不能简单地理解为多种高端技术和设备的集大成者。
如果仅仅是把多项功能模块生硬地堆积在一起，则很可能产生兼容性、性能等瓶颈，并不能实现UTM的设计初衷。
UTM是一种革命性的一体化的设计，不但综合了各项功能需求，还要能够降低用户购买成本，同时在统一处理的前提下，更好地把握产品性能和稳定性。
就安全网关类产品而言，UTM既然不是单项产品的简单相加，那么两者自然也不能简单地相互替代。
一切都取决于用户的实际需求。
用户面临什么威胁，就要着力解决什么问题。
如果用户的网络架构比较简单，只有内部网络，传统的产品和方案也许就可以解决问题，没有必要再购买UTM。
而目前大部分用户面临着来自互联网的混和威胁，则需要集成多种功能的UTM。
用户进行安全建设应考虑自身需求的特殊性，如果网络所面临的威胁只来自于一个方面，那么单项产品是能满足安全需要的；
反之，对于大多数用户网络面临的安全威胁纷繁复杂，安全需求非常高，UTM则是更理想的选择。
对于非安全网关类产品而言，UTM与它们更多的是互补关系，都是整体安全解决方案的一部分。
例如与入侵检测类产品的关系，UTM是串联网关式的防御阻断类产品，入侵检测是旁路监听式检测类产品；
它们的部署方式和所起作用不同，尤其是网关产品要解决可靠性稳定性和防止误报的问题，检测产品要解决敏感性完整性和防止漏报的问题；
他们之间不能互相取代，各自在发挥独特的重要作用，使得网络安全保障形成一个有效体系。
在这个大的体系中，UTM的出现将使得串联网关式的多种产品得到有效的整合，在网络边界树起了强大的立体防线，用户不再需要在网络边际上部署一连串的安全设备，在管理和成本上都将为用户带来极大的效益。
对于UTM未来的发展趋势，统一化、标准化是必然的道路。
尽管各大安全厂商的技术和产品各有千秋，但用户面临的问题却具有极大的共性，几乎都来源于具有标准化特征的互联网，用户的现实需求必将推动UTM同业者共同实现UTM的标准化。
同时，UTM还将实现更完善的、软硬一体的模块化。
未来的网络必然会不断出现新的威胁，用户可能需要适时在UTM中增加新模块，以解决新的安全问题。
这就要求UTM能够实现便捷的升级，让用户不必大动干戈地改造网络，而只是通过增加新的功能模块、升级软件系统，就能增强防御能力。
二.3.3总体部署示意图
二.4部署上网行为管理系统
通过部署上网行为管理系统，对内网用户集中统一管理，使用金盾上网行为管理系统可以方便接入到用户内网,采用透明模式的接入方式完全不用更改任何网络拓扑就可以实现全方位的只能监控和管理。
只需要把上网行为管理系统接入到内网的交换机上即可。
上网行为管理系统主要解决以下几个问题：
1．无效益的网络应用：
色情网站、拍卖网站、娱乐网站、购物网站、线上音乐、聊天室、即时通讯软件…
此类应用不会对其它人造成影响，但会造成员工自身工作效率下降，实际投入工作时间减少，间接带来企业效益流失
危害指数：
★★★
2．危害性的网络应用：
浏览具有病毒、间谍软体、木马程式的网页
此类应用可能造成病毒和木马程序在局域网内传播，干扰系统正常运作,严重影响办公正常进行。
★★★★
3．消耗性的网络应用：
下载共享软件、MP3、网路游戏；
FTP、P2P档案传输
此类应用会造成网络带宽被有限人员全部占用，致使其它人和其他网络应用无法进行，严重影响办公正常进行，对于信息化程度高的用户，几乎是企业运作陷入瘫痪。
★★★★★
4．泄密性的网络应用：
透过MSN、Yahoo等即时通讯软体或EMAIL、WEBMAIL对外泄密或传送机密资料
此类应用由于个人无意或有意的行为，导致企业资讯外流，严重时，对企业造成的损失无法以金钱来估量。
2.4.1网络行文管理部署示意图
二.4.1网康科技ICG解决方案
二.4.1.1网站访问与应用控制
网康ICG上网行为管理设备不仅可以对员工访问WEB、FTP、MAIL等常用服务的内容进行控制，更可以对QQ、BT、MSN、迅雷等各种IM与P2P软件的行为进行限制和控制。
丰富的报表功能还可以分析出企业的Internet的详细使用情况，为网络管理员和决策者分配和了解员工网络资源提供有效数据支持。
基于Web和LDAP/Radius以及第三方集成的用户认证功能，使得对上网用户的管理变得十分灵活方便。
表：
访问控制功能一览表
功能
详细指标
不良网站阻隔
使用更新的不良网站列表阻隔对色情、病毒、钓鱼网站的访问
访问控制策略
提供基于组、时间、服务、网址策略、内容策略等多种对象组合的安全访问控制策略
P2P拦截
使用DPI技术实现对包括BT、迅雷、QQ旋风、电驴等任何P2P软件的流量阻隔
网络游戏
使用DPI技术实现对包括魔兽世界、泡泡堂、跑跑卡丁车、中国游戏中心、梦幻西游等进行管理
网络电视
使用DPI技术实现对包括PPlive、QQ直播、PPStream、沸点UUsee、磊客、Mysee、风行、青娱乐等进行控制
炒股软件
使用DPI技术实现对包括大智慧、指南针、同花顺、证券之星、钱龙、盘口王、大策略等控制
用户认证
提供Web登录认证功能，提供本地用户数据库和LDAP、RADIUS用户数据集成功能以及POP3认证功能
文件上传下载控制控制
对HTTP、FTP文件上传、下载类型和大小进行控制，也能对QQ、MSN等P2P软件的文件传送进行拦截
跨三层IPMAC绑定
提供跨三层的IPMAC绑定策略
代理识别功能
能识别采用Http、Https、Socks等代理服务器绕过防火墙检查的行为，从而进行阻断
二.4.1.2内容过滤与安全审计
有调查表明，企业的机密信息，超过80%是由内部用户泄露，而不是由黑客窃取的，网康ICG完善的访问审计和监控功能能够有效防止信息通过Internet泄漏，并建立强大的内部安全的威慑，减少内部泄密的行为。
对于通过邮件的泄密行为，可以智能的自动化的识别。
表：
访问审计功能一览表
邮件发送审计
对外发邮件进行自动化的智能识别，包括webmail形式的邮件发送
实时监控
实时监控用户的上网行为，如在某时刻使用某协议的应用软件
网站访问监控
针对员工在网上的网页访问行为，进行详细的记录，以满足公安部82号令保存上网日志记录的需要
发帖审计
通过http方式，在论坛、博客、空间等发送的文字进行记录
IM聊天记录
包括QQ、MSN等的聊天账号、登陆时间、动作、内容等进行日志记录
FTP行为审计
通过FTP上传、下载文件等行为的审计
搜索关键字记录
记录用户通过搜索引擎所搜索的关键字，按照时间、用户、关键字、搜索引擎、类别等进行记录或过滤
Telnet审计
记录用户Telnet进行操作
文件传输审计
通过HTTP、MSN、邮件等多种方式传输的文件进行记录和还原
二.4.1.3日志分析与报表统计
日志中心一览表
流量统计日志
包含内网流量统计概要、组流量排行、流量日志、流量趋势等，用饼状、柱型等直观地表示网络内部的流量排名
邮件日志
包含邮件统计概要、邮件排行、邮件查询、邮件趋势等功能，可详细统计用户所有收发邮件的具体情况
网络监控日志
包括监控统计摘要、监控排行、监控查询、监控趋势等功能。
管理员可详细监控内网用户使用互联网资源的具体使用情况
策略违反日志
管理员可对内部网络的违规机器进行详细统计和查看
日志库管理
主要包含日志库信息、日志库查询、日志库切换等功能
用户管理
管理员可在此新增用户、查询用户
报告报表
可提供报告报表模板，生成图形化的网络情况统计信息，可制作饼图、柱图等多种图形。
统计功能
可根据网络情况，设置适当的统计条件，统计处当前网络的使用情况，可递进式统计相关信息
二.4.1.4带宽保障及流量管理
网康ICG强大的访问控制和QOS功能可以使得企业合理利用Internet资源，为不同的用户分配不同的带宽和上网权限，使得Internet资源得到有效利用，并大大提高员工的工作效率。
网康ICG可以详细记录和分析所有流量的内容，按用户、部门、应用、协议和时间对Internet流量进行统计分析，以优化员工对Internet的资源使用。
使得企业有限的带宽能得到最充分的利用，提高企业的网络利用率。
带宽及流量管理功能一览表
QOS保证
根据带宽通道的优先级，实现QoS质量保证
部门带宽保障
针对业务部门的不同，根据其对带宽的需要，进行必要的带宽保障和突发速率，可精确到1kbps
应用带宽保障
针对业务系统的不同，根据其对带宽的需要，进行必要的带宽保障和突发速率，可精确到1kbps
流量控制
能针对内网每个用户或者不同的组，或某个协议，某种应用限定其上网能占用的带宽资源，使企业内网带宽资源得到充分有效的利用
时长限额
可根据应用或用户、部门的需要，设置不同的上网时长，可灵活结合用户、时间、应用等综合控制管理。
二.5部署无盘网络系统
锐起无盘XP的基本实现原理简而言之就是，利用底层技术通过网络将服务器上的磁盘映像文件模拟成硬盘，并从其启动。
锐起无盘XP的实现层面处于计算机系统的“控制器/虚拟控制器”一层（见下图灰色部分），由于处在硬盘控制器之下，与存储设备硬件的驱动程序处于同一层面，与真实硬盘的实现层面相同，因此通过网络虚拟出的硬盘与真实硬盘一般无二，可以正常分区、格式化，并且具有最佳的软件兼容性，支持任何在真实硬盘上可以安装的软件。
（计算机软硬件系统结构图）
简述：
1，本方案要求网络设备采用主干千M布线；
建议采用全千M（即千M到桌面）布线；
2，采用3台服务器负载全场200台终端；
3，为保证数据安全，采用光纤接口磁盘阵列柜存储日常工作中的工作站数据；
二.5.1方案重点详解
1．部署示意图
2．基本工作原理：
本方案采用3台服务器带动全场200台客户机工作，3台服务器中存放客户机工作的公用数据，如操作系统镜像，应用软件镜像，等预先设置好的数据和程序，并存放客户机工作中所产生的临时数据，所有这些数据在客户机重新启动后都会被复原，除非用超级用户身份做的改动才能被记录，这样大大降低了系统管理员的系统维护难度，并使软件分发变的非常容易；
极大的降低了客户机中病毒的可能；
下图为锐起无盘XP系统基本工作流程：
部署示意图
3．锐起个性化磁盘
在客户机日常工作中，无疑需要有自己单独的文件存放空间，这些文件也是最重要和值得保存的，利用锐起独有的个性化网络磁盘，我们可以为每个客户机准备一个属于自己的个性化磁盘空间，并设定使其存储于磁盘阵列柜中，这样便保证了每个客户机的重要数据不会丢失或毁坏，系统管理员更可方便管理所有员工的数据、程序；
可以为每
升级会员 