企业网络安全.docx

企业网络安全.docx

《企业网络安全.docx》由会员分享，可在线阅读，更多相关《企业网络安全.docx（16页珍藏版）》请在冰豆网上搜索。

企业网络安全

企业网络安全设计与应用

答辩 日期：

2011年6月

目录

摘要………………………………………………………………………4

绪论………………………………………………………………………4

第一章信息系统现状

1.1信息化整体状况…………………………………………7

1.1.1计算机网络………………………………………………8

1.1.2应用系统…………………………………………………8

1.2信息安全现状……………………………………………8

第二章风险与需求分析

2.1风险分析……………………………………………………9

2.2需求分析……………………………………………………10

第三章设计原则

3.1标准化原则……………………………………………11

3.2系统化原则…………………………………………………11

3.3规避风险原则………………………………………………11

3.4保护投资原则………………………………………………11

3.5多重保护原则………………………………………………11

3.6分布实施原则………………………………………………12

第四章设计思路及安全产品的选择和部署

4.1网络安全基础设施…………………………………………12

4.2边界防护和网络的隔离………………………………………13

4.3安全电子邮件………………………………………………………13

4.4桌面安全防护………………………………………………………13

4.4.1电子签章系统…………………………………………………14

4.42安全登录系统…………………………………………………15

4.43文件加密系统…………………………………………………15

4.5身份认证……………………………………………………………15

4.6防火墙…………………………………………………………………16

4.7入侵检测……………………………………………………………16

4.8漏洞扫描……………………………………………………………17

第五章方案的组织与实施方式…………………………18

第六章结论…………………………………………………………………19

参考文献………………………………………………………………………20

摘要

由于网络传播信息快捷，隐蔽性强，在网络上难以识别网络用户的真实身份，网络犯罪、黑客入侵、有害信息传播等方面的问题日趋严重，网络安全已经成为网络发展中的一个重要课题。

网路安全的产生和发展，标志着传统的通信保密时代过渡到了信息安全时代。

网络安全威胁目前非授权访问、信息泄露或丢失、利用网络传播病毒居多；为了保护网络信息的安全可靠，除了运用法律和管理手段外，还需要依靠技术方法来实现。

网络安全控制技术目前有防火墙技术、加密技术、用户识别技术、访问控制技术等等。

设计网络安全的问题很多，但最主要的问题还是认为攻击，黑客就是最具代表性的一类群体。

黑客在世界各地四处出击，几乎到了无孔不入的地步。

有的黑客袭击网络并不是怀有恶意，他们大多数情况下只是为了表现和证实自己在计算机方面的才华，但有的是有意地对网络进行破坏。

随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。

面对这瞬息万变的市场，企业就面临着如何提高自身核心竞争力的问题，而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等，又时刻在制约着自己，企业采用PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。

关键词信息安全；PKI；CA；WBM；防火墙

绪论

随着计算机网络的出现和互联网的飞速发展，企业基于网络的计算机应用也在迅速增加，基于网络信息系统给企业的经营管理带来了更大的经济效益，但随之而来的安全问题也在困扰着用户，在2003年后，木马、蠕虫的传播使企业的信息安全状况进一步恶化。

这都对企业信息安全提出了更高的要求。

在过去几年里，由于IT技术的迅速发展，网络正在向智能化、综合化、标准化发展。

先进的计算机技术、全光网络技术、神经网络技术正在不断地应用到网络中来，这也给网络管理提出了新的挑战。

作为一种全新的网络管理模式，基于Web的网络管理模式，被简称为WBM。

WBM从出现伊始就表现出强大的生命力，它以其特有的灵活性、易操作性等特点赢得了许多技术专家和用户的青睐。

经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。

计算机网络规模不断扩大，网络结构日益复杂。

计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。

信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。

信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终。

用网安全主要包含下面几个方面:

一、操作系咬的安全

我们的计算机最好使用NTFS文件分区，NTFS是为WINDOWSNT操作系统设计的，它可以提供相对完善的安全性，这是FAT与FAT32文件分区所不具有的。

在NTFS分区中，只有用户被赋予权限或者属于拥有权限的组才能对文件进行操作，不仅如此，NTFS还具有“文件权限优先”原则、“权限继承”原则、“拥有者控制”原则，以此来保护我们的文件。

分区后在安装操作系统时最好安装安全等级比较高的操作系统如WINDOWS2000以上的操作系统。

在进行登录设置时最好使用8位以上的用户口令，在设置口令时千万不要使用诸如生日、电话号码等纯数字或纯字符做口令，口令中应包含一些特殊字符。

口令应该在允许的范围内尽可能的长一点。

口令要尽可能的好记，不要写下来或存于计算机文件中，口令在使用一段时间后要做修改。

由于操作系统都有漏洞，针对该漏洞的恶意代码很快就会出现在网上，一系列案例证明，从漏洞被发现到恶意代码出现，中间的时差开始变得越来越短。

所以在使用电脑时，要及时安装最新的系统补丁。

另外我们在使用电脑过程中，不时的安装各种各样的系统工具，在不使用时要及时的删除它们。

二、病毒安全

随着计算机以及网络技术的迅猛发展，计算机病毒日益猖撅，成为危害计算机和网络安全的最主要因素。

计算机病毒具有隐蔽性、传染性、潜伏性、表现性或破坏性、可触发性。

而破坏性是它的主要特征。

病毒程序一旦侵入系统都会对操作系统的运行造成不同程度的影响。

即使不直接产生破坏作用的病毒程序也要占用系统资源（如占用内存空间，占用磁盘存储空间以及系统运行时间等）。

而绝大多数病毒程序要显示一些文字或图像，影响系统的正常运行，还有一些病毒程序删除文件，加密磁盘中的数据，甚至摧毁整个系统和数据，使之无法恢复，造成无可挽回的损失。

因此，病毒程序的副作用轻者降低系统工作效率，重者导致系统崩溃、数据丢失。

为了减少病毒对个人计算机的破坏，我们要安装杀毒软件如瑞星杀毒软件或金山毒霸等。

要做到定期升级，定期查杀病毒。

现如今IE浏览器己经成为各种木马、病毒和恶意软件最主要的攻击对象。

它们利用恶意代码劫持工E,更改IE设置，使我们无法正常使用工E浏览器，极大的影响了上网操作。

为此我们要安装IE保护程序（超级兔子IE保护器）。

IE保护程序可提供IE修复、广告拦截和自动保护等功能，可以提前预防和解决各种IE浏览器问题。

为了减少病毒的传染机会，应尽量避免从网络下载应用软件，要定期检查系统进程，定期检查注册表。

三、电子邮件安全

随着因特网的迅猛发展，电子邮件作为一种最快捷、最经济的通信方式，也得到飞速发展。

但是与此同时，它的安全状况却越来越让人担忧。

邮件的误递、垃圾邮件的肆意侵扰，所有的这些均给网络通信带来极大安全隐患，而且问题越来越突出。

因此我们在使用电子邮件时尽量使用邮件工具（OUTLOOK或FOXMAIL）,避免从网络上直接浏览邮件，在打开邮件时开启病毒防护软件，取消邮件工具的“自动浏览”功能。

另外不要随意使用邮件进行网络注册，以保护自己的邮箱地址，不要打开来路不明的邮件，不要打开未经过查毒的附件，尤其不要打开exe.com和脚本文件。

四、网络应用安全

网络应用是利用网络以及信息系统直接为用户提供服务以及业务的平台。

网络应用服务直接与成千上万的用户打交道，用户通过网络应用服务浏览网站、网上购物、下载文件、看电视、发短信等，网络应用服务的安全直接关系到广大网络用户的利益。

可以说网络应用服务促进了网络的飞速发展，因此网络应用服务的安全是当前网络与信息安全中的重要组成部分。

在应用网络服务时，不要使用不明来源的网络工具，要使用正版的网络工具，尽量不要使用聊天软件，不要接收不明身份者传送的文件，关闭IE浏览器“INTERNET选项”~“自动完成”~“选项”~“表单上的用户名和密码”，来保护自己的信息不泄露。

五、防火墙安全

自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统，提出了防火墙概念后，防火墙技术得到了飞速的发展。

网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络互联设备。

它对两个或多个网络之间传输的数据包按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。

防火墙可以作为不同网络或网络安全域之间信息的出入口，能根据安个策略控制出入网络的信息流，且本身具有较强的抗攻击能力。

它是提供信息安全服务，实现网络和信息安全的基础设施。

防火墙保护着内部网络的敏感数据不被窃取和破坏，并记录内外通信的有关状态信息日志，如通信发生的时间和进行的操作等等。

新一代的防火墙甚至可以阻止内部人员将敏感数据向外传输。

防火墙是个人电脑安全的第一道安全措施，所以我们必须选用个人防火墙，在选择时，要求防火墙具有足够的安全防护性能，而自身又具有良好的稳定性，在设置和管理时方便，并且可以扩展和升级。

如瑞星个人防火墙，天网个人防火墙。

虽然防火墙是目前保护网络免遭黑客袭击的有效手段，但也有明显不足，无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变节者和不经心的用户们带来的威胁，也不能完全防止传送己感染病毒的软件或文件，以及无法防范数据驱动型的攻击，无法防范利用服务器系统漏洞进行的攻击，也无法防范新的网络安全问题。

总之，在使用电脑过程中，威胁电脑安全的因素是多方面的，为了防止我们的电脑受到病毒和黑客的攻击，要求我们全方位的做好安全工作，能够安安心心，快快乐乐地冲浪。

第一章信息系统现状

1.1信息化整体状况

随着计算机网络的不断发展，全球信息化已成为人类发展的大趋势，但由于计算机网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互连性等特征，致使网络易受黑客、病毒、恶意软件和其他不轨的攻击，所以网上信息的安全和保密是一个至关重要的问题。

故此，网络的安全措施应是能全方位地针对各种不同的威胁和脆弱性，这样才能确保网络信息的保密性、完整性和可用性。

1.1.1计算机网络

计算机网络是现代通信技术与计算机技术相结合的产物。

所谓计算机网络，就是把分布在不同地理区域的计算机与专用外部设备用通信线路互联一个规模大、功能强的计算机应用系统，从而使众多的计算机可以方便地互相传递信息，共享硬件、软件、数据信息等资源。

网络应用是利用网络以及信息系统直接为用户提供服务以及业务的平台。

网络应用服务直接与成千上万的用户打交道，用户通过网络应用服务浏览网站、网上购物、下载文件、看电视、发短信等，网络应用服务的安全直接关系到广大网络用户的利益。

可以说网络应用服务促进了网络的飞速发展，因此网络应用服务的安全是当前网络与信息安全中的重要组成部分。

在应用网络服务时，不要使用不明来源的网络工具，要使用正版的网络工具，尽量不要使用聊天软件，不要接收不明身份者传送的文件，关闭IE浏览器“INTERNET选项”~“自动完成”~“选项”~“表单上的用户名和密码”，来保护自己的信息不泄露。

1.1.2应用系统

网络操作系统是组建网络的关键因素之一，目前流行的网络操作系统软件有UNIX、Windows、Linux和Netware等。

1.UNIX系统是在美国麻省理工学院1965年开发的分时操作系统Mastics的基础上不断演变而来的，它原是MIT和贝尔实验室等为美国国防部研制的。

目前，它在商业领域逐步发展成为功能最强、安全性和稳定性最好的网络操作系统，但通常与服务器硬件产品集成在一起，较具有代表性的有IBM公司的AIXUNIX、SUN公司的SolarisUNIX和HP公司的HPUNIX等。

2.Windows起源可以追溯到Xerox公司进行的工作。

3.Linux操作系统是Linux的完整实现。

具有强大的网络功能，是完整的Linux开发平台。

1.2信息安全现状

为保障计算机网络的安全，某公司实施了计算机网络安全项目，基于当时对信息安全的认识和安全产品的状况，信息安全的主要内容是网络安全，部署了防火墙、防病毒服务器等网络安全产品，极大地提升了公司计算机网络的安全性，这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。

第二章风险与需求分析

2.1风险分析

通过对我们信息系统现状的分析，可得出如下结论：

（1）经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。

计算机网络规模不断扩大，网络结构日益复杂。

计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。

（2）计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心，因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份，并运用技术手段，提高数据的机密性、完整性和可用性。

通过对现有的信息安全体系的分析，也可以看出：

随着计算机技术的发展、安全威胁种类的增加，某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷，具体表现在：

（1）系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。

目前实施的安全方案是基于当时的认识进行的，主要工作集中于网络安全，对于系统和应用的安全防范缺乏技术和管理手段。

如缺乏有效的身份认证，对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺乏整体方案和制度规范，容易造成重要数据的丢失和泄露。

当时的网络安全的基本是一种外部网络安全的概念，是基于这样一种信任模型的，即网络内部的用户都是可信的。

在这种信任模型下，假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部，并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。

针对外部网络安全，人们提出了内部网络安全的概念，它基于这样一种信任模型：

所有的用户都是不可信的。

在这种信任模型中，假设所有用户都可能对信息安全造成威胁，并且可以各种更加方便的手段对信息安全造成威胁，比如内部人员可以直接对重要的服务器进行操控从而破坏信息，或者从内部网络访问服务器，下载重要的信息并盗取出去。

内部网络安全的这种信任模型更符合现实的状况。

美国联邦调查局（FBI）和计算机安全机构（CSI）等权威机构的研究也证明了这一点：

超过80%的信息安全隐患是来自组织内部，这些隐患直接导致了信息被内部人员所窃取和破坏。

信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有选用有关的安全服务。

不能充分发挥安全产品的效能。

（2）原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的网络安全隐患，产品亟待升级。

已购买的网络安全产品中，有不少在功能和性能上都不能满足进一步提高信息安全的要求。

如为进一步提高全网的安全性，拟对系统的互联网出口进行严格限制，原有的防火墙将成为企业内网和公网之间的瓶颈。

同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求，现有的防火墙不具备这些功能。

网络信息系统的安全建设建立在风险评估的基础上，这是信息化建设的内在要求，系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。

只有在建设的初期，在规划的过程中，就运用风险评估、风险管理的手段，用户才可以避免重复建设和投资的浪费。

2.1需求分析

如前所述，某公司信息系统存在较大的风险，信息安全的需求主要体现在如下几点：

（1）某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。

为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。

（2）网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。

（3）信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行。

（4）信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是某公司面临的重要课题。

第三章设计原则

安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行，避免重复投入、重复建设，充分考虑整体和局部的利益。

3.1标准化原则

本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定，使安全技术体系的建设达到标准化、规范化的要求，为拓展、升级和集中统一打好基础。

3.2系统化原则

信息安全是一个复杂的系统工程，从信息系统的各层次、安全防范的各阶段全面地进行考虑，既注重技术的实现，又要加大管理的力度，以形成系统化的解决方案。

3.3规避风险原则

安全技术体系的建设涉及网络、系统、应用等方方面面，任何改造、添加甚至移动，都可能影响现有网络的畅通或在用系统的连续、稳定运行，这是安全技术体系建设必须面对的最大风险。

本规划特别考虑规避运行风险问题，在规划与应用系统衔接的基础安全措施时，优先保证透明化，从提供通用安全基础服务的要求出发，设计并实现安全系统与应用系统的平滑连接。

3.4保护投资原则

由于信息安全理论与技术发展的历史原因和自身的资金能力，某公司分期、分批建设了一些整体的或区域的安全技术系统，配置了相应的设施。

因此，本方案依据保护信息安全投资效益的基本原则，在合理规划、建设新的安全子系统或投入新的安全设施的同时，对现有安全系统采取了完善、整合的办法，以使其纳入总体安全技术体系，发挥更好的效能，而不是排斥或抛弃。

3.5多重保护原则

任何安全措施都不是绝对安全的，都可能被攻破。

但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。

3.6分布实施原则

由于某公司应用扩展范围广阔，随着网络规模的扩大及应用的增加，系统脆弱性也会不断增加。

一劳永逸地解决安全问题是不现实的。

针对安全体系的特性，寻求安全、风险、开销的平衡，采取“统一规划、分步实施”的原则。

即可满足某公司安全的基本需求，亦可节省费用开支。

第四章设计思路及安全产品的选择和部署

信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。

信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终，如图1所示。

见图1

网络与信息安全防范体系模型信息安全又是相对的，需要在风险、安全和投入之间做出平衡，通过对某公司信息化和信息安全现状的分析，对现有的信息安全产品和解决方案的调查，通过与计算机专业公司接触，初步确定了本次安全项目的内容。

通过本次安全项目的实施，基本建成较完整的信息安全防范体系。

4.1网络安全基础设施

证书认证系统无论是企业内部的信息网络还是外部的网络平台，都必须建立在一个安全可信的网络之上。

目前，解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。

PKI（PublicKeyInfrastructure，公钥基础设施）是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向用户提供完整的PKI/CA数字认证服务。

通过建设证书认证中心系统，建立一个完善的网络安全认证平台，能够通过这个安全平台实现以下目标：

身份认证（Authentication）：

确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。

数据的机密性（Confidentiality）：

对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成。

数据的完整性（Integrity）：

确保通信信息不被破坏（截断或篡改），通过哈希函数和数字签名来完成。

不可抵赖性（Non-Repudiation）：

防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。

4.2边界防护和网络的隔离

VPN（VirtualPrivateNetwork）虚拟专用网，是将物理分布在不同地点的网络通过公用骨干网（如Internet）连接而成的逻辑上的虚拟专用网。

和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。

通过安装部署VPN系统，可以为企业构建虚拟专用网络提供了一整套安全的解决方案。

它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接。

集成的防火墙功能模块采用了状态检测的包过滤技术，可以对多种网络对象进行有效地访问监控，为网络提供高效、稳定地安全保护。

集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。

4.3安全电子邮件

随着因特网的迅猛发展，电子邮件作为一种最快捷、最经济的通信方式，也得到飞速发展。

但是与此同时，它的安全状况却越来越让人担忧。

邮件的误递、垃圾邮件的肆意侵扰，所有的这些均给网络通信带来极大安全隐患，而且问题越来越突出。

因此我们在使用电子邮件时尽量使用邮件工具（OUTLOOK或FOXMAIL）,避免从网络上直接浏览邮件，在打开邮件时开启病毒防护软件，取消邮件工具的“自动浏览”功能。

另外不要随意使用邮件进行网络注册，以保护自己的邮箱地址，不要打开来路不明的邮件，不要打开未经过查毒的附件，尤其不要打开exe.com和脚本文件。

电子邮件是Internet上出现最早的应用之一。

随着网络的快速发展，电子邮件的使用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在网络上传播。

然而由于网络的开放性和邮件协议自身的缺点，电子邮件存在着很大的安全隐患。

目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME（SecureMultipurposeInternetMailExtensions），它是从PEM（PrivacyEnhancedMail）和MIME（Internet邮件的附件标准）发展而来的。

首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织（根证书）之间相互认证，整个信任关系基本是树状的。