一大型局域网安全解决方案.docx

1、一大型局域网安全解决方案一大型局域网安全解决方案本方案为某大型局域网网络安全解决方案，包括原有网络系统分析、安全需求分析、安全目标的确立、安全体系结构的设计、等。本安全解决方案的目标是在不阻碍某大型企业局域网当前业务的前提下，实现对他们局域网全面的安全治理。 1.将安全策略、硬件及软件等方法结合起来，构成一个统一的防备系统，有效阻止非法用户进入网络，减少网络的安全风险。 2.定期进行漏洞扫描，审计跟踪，及时发觉问题，解决问题。 3.通过入侵检测等方式实现实时安全监控，提供快速响应故障的手段，同时具备专门好的安全取证措施。 4.使网络治理者能够专门快重新组织被破坏了的文件或应用。使系统重新复原到

2、破坏前的状态，最大限度地减少缺失。 5.在工作站、服务器上安装相应的防病毒软件，由中央操纵台统一操纵和治理，实现全网统一防病毒。 第二章 网络系统概况 2.1 网络概况 那个企业的局域网是一个信息点较为密集的千兆局域网络系统，它所联接的现有上千个信息点为在整个企业内办公的各部门提供了一个快速、方便的信息交流平台。不仅如此，通过专线与Internet的连接，打通了一扇通向外部世界的窗户，各个部门能够直截了当与互联网用户进行交流、查询资料等。通过公布服务器，企业能够直截了当对外公布信息或者发送电子邮件。高速交换技术的采纳、灵活的网络互连方案设计为用户提供快速、方便、灵活通信平台的同时，也为网络的安

3、全带来了更大的风险。因此，在原有网络上实施一套完整、可操作的安全解决方案不仅是可行的，而且是必需的。 2.1.1 网络概述 那个企业的局域网，物理跨度不大，通过千兆交换机在主干网络上提供1000M的独享带宽，通过下级交换机与各部门的工作站和服务器连结，并为之提供100M的独享带宽。利用与中心交换机连结的Cisco 路由器，所有用户可直截了当访问Internet。 2.1.2 网络结构 那个企业的局域网按访问区域能够划分为三个要紧的区域：Internet区域、内部网络、公布服务器区域。内部网络又可按照所属的部门、职能、安全重要程度分为许多子网，包括：财务子网、领导子网、办公子网、市场部子网、中心

4、服务器子网等。在安全方案设计中，我们基于安全的重要程度和要爱护的对象，能够在Catalyst 型交换机上直截了当划分四个虚拟局域网VLAN，即：中心服务器子网、财务子网、领导子网、其他子网。不同的局域网分属不同的广播域，由于财务子网、领导子网、中心服务器子网属于重要网段，因此在中心交换机上将这些网段各自划分为一个独立的广播域，而将其他的工作站划分在一个相同的网段。图省略 2.2 网络应用 那个企业的局域网能够为用户提供如下要紧应用： 1文件共享、办公自动化、WWW服务、电子邮件服务； 2文件数据的统一储备； 3针对特定的应用在数据库服务器上进行二次开发(比如财务系统)； 4提供与Interne

5、t的访问； 5通过公布服务器对外公布企业信息、发送电子邮件等； 2.3 网络结构的特点 在分析那个企业局域网的安全风险时，应考虑到网络的如下几个特点： 1.网络与Internet直截了当连结，因此在进行安全方案设计时要考虑与Internet连结的有关风险，包括可能通过Internet传播进来病毒，黑客攻击，来自Internet的非授权访问等。 2.2.网络中存在公布服务器，由于公布服务器对外必须开放部分业务，因此在进行安全方案设计时应该考虑采纳安全服务器网络，幸免公布服务器的安全风险扩散到内部。3.3.内部网络中存在许多不同的子网，不同的子网有不同的安全性，因此在进行安全方案设计时，应考虑将不

6、同功能和安全级别的网络分割开，这能够通过交换机划分VLAN来实现。4.4.网络中有二台应用服务器，在应用程序开发时就应考虑加强用户登录验证，防止非授权的访问。 总而言之，在进行网络方案设计时，应综合考虑到那个企业局域网的特点，依照产品的性能、价格、潜在的安全风险进行综合考虑。 第三章 网络系统安全风险分析 随着Internet网络急剧扩大和上网用户迅速增加，风险变得更加严峻和复杂。原先由单个运算机安全事故引起的损害可能传播到其他系统，引起大范畴的瘫痪和缺失；另外加上缺乏安全操纵机制和对Internet安全政策的认识不足，这些风险正日益严峻。 针对那个企业局域网中存在的安全隐患，在进行安全方案设

7、计时，下述安全风险我们必须要认真考虑，同时要针对面临的风险，采取相应的安全措施。下述风险由多种因素引起，与那个企业局域网结构和系统的应用、局域网内网络服务器的可靠性等因素紧密相关。下面列出部分这类风险因素： 网络安全能够从以下三个方面来明白得：1 网络物理是否安全；2 网络平台是否安全；3 系统是否安全；4 应用是否安全；5 治理是否安全。针对每一类安全风险，结合那个企业局域网的实际情形，我们将具体的分析网络的安全风险。 3.1物理安全风险分析 网络的物理安全的风险是多种多样的。 网络的物理安全要紧是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获

8、。以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。它是整个网络系统安全的前提，在那个企业区局域网内，由于网络的物理跨度不大，只要制定健全的安全治理制度，做好备份，同时加强网络设备和机房的治理，这些风险是能够幸免的。 3.2网络平台的安全风险分析 网络结构的安全涉及到网络拓扑结构、网络路由状况及网络的环境等。 公布服务器面临的威逼 那个企业局域网内公布服务器区WWW、EMAIL等服务器作为公司的信息公布平台，一旦不能运行后者受到攻击，对企业的声誉阻碍庞大。同时公布服务器本身要为外界服务，必须开放相应的服务；每天，黑客都在试图闯入Internet节点，这些节点假如不保持小心，

9、可能连黑客如何闯入的都不明白，甚至会成为黑客入侵其他站点的跳板。因此，规模比较大网络的治理人员对Internet安全事故做出有效反应变得十分重要。我们有必要将公布服务器、内部网络与外部网络进行隔离，幸免网络结构信息外泄；同时还要对外网的服务要求加以过滤，只承诺正常通信的数据包到达相应主机，其他的要求服务在到达主机之前就应该遭到拒绝。 整个网络结构和路由状况 安全的应用往往是建立在网络系统之上的。网络系统的成熟与否直截了当阻碍安全系统成功的建设。在那个企业局域网络系统中，只使用了一台路由器，用作与Internet连结的边界路由器，网络结构相对简单，具体配置时能够考虑使用静态路由，这就大大减少了因

10、网络结构和网络路由造成的安全风险。 3.3系统的安全风险分析 所谓系统的安全显而易见是指整个局域网网络操作系统、网络硬件平台是否可靠且值得信任。 网络操作系统、网络硬件平台的可靠性：关于中国来说，可能没有绝对安全的操作系统能够选择，不管是Microsoft的Windows NT或者其他任何商用UNIX操作系统，其开发厂商必定有其Back-Door。我们能够如此讲：没有完全安全的操作系统。然而，我们能够对现有的操作平台进行安全配置、对操作和访问权限进行严格操纵，提高系统的安全性。因此，不但要选用尽可能可靠的操作系统和硬件平台。而且，必须加强登录过程的认证专门是在到达服务器主机之前的认证，确保用户

11、的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范畴内。 3.4应用的安全风险分析 应用系统的安全跟具体的应用有关，它涉及专门多方面。应用系统的安全是动态的、不断变化的。应用的安全性也涉及到信息的安全性，它包括专门多方面。 应用系统的安全动态的、不断变化的：应用的安全涉及面专门广，以目前Internet上应用最为广泛的E-mail系统来说，其解决方案有几十种，但其系统内部的编码甚至编译器导致的BUG是专门少有人能够发觉的，因此一套详尽的测试软件是相当必须的。然而应用系统是不断进展且应用类型是不断增加的，其结果是安全漏洞也是不断增加且隐藏越来越深。因此，保证应用系统的安全也

12、是一个随网络进展不断完善的过程。 应用的安全性涉及到信息、数据的安全性：信息的安全性涉及到：隐秘信息泄露、XX的访问、破坏信息完整性、假冒、破坏系统的可用性等。由于那个企业局域网跨度不大，绝大部分重要信息都在内部传递，因此信息的隐秘性和完整性是能够保证的。关于有些专门重要的信息需要对内部进行保密的比如领导子网、财务系统传递的重要信息能够考虑在应用级进行加密，针对具体的应用直截了当在应用系统开发时进行加密。 3.5治理的安全风险分析 治理是网络安全中最重要的部分 治理是网络中安全最最重要的部分。责权不明，治理纷乱、安全治理制度不健全及缺乏可操作性等都可能引起治理安全的风险。责权不明，治理纷乱，使

13、得一些职员或治理员随便让一些非本地职员甚至外来人员进入机房重地，或者职员有意无意泄漏他们所明白的一些重要信息，而治理上却没有相应制度来约束。 当网络显现攻击行为或网络受到其它一些安全威逼时如内部人员的违规操作等，无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发觉非法入侵行为。 建立全新网络安全机制，必须深刻明白得网络并能提供直截了当的解决方案，因此，最可行的做法是治理制度和管明白得决方案的结合。 3.6黑客攻击 黑客们的攻击行动是无时无刻不在进行的，而且

14、会利用系统和治理上的一切可能利用的漏洞。公布服务器存在漏洞的一个典型例证，是黑客能够轻易地骗过公布服务器软件，得到Unix的口令文件并将之送回。黑客侵入UNIX服务器后，有可能修改特权，从一般用户变为高级用户，一旦成功，黑客能够直截了当进入口令文件。黑客还能开发欺诈程序，将其装入UNIX服务器中，用以监听登录会话。当它发觉有用户登录时，便开始储备一个文件，如此黑客就拥有了他人的帐户和口令。这时为了防止黑客，需要设置公布服务器，使得它不离开自己的空间而进入另外的名目。另外，还应设置组特权，不承诺任何使用公布服务器的人访问WWW页面文件以外的东西。在那个企业的局域网内我们能够综合采纳防火墙技术、W

15、eb页面爱护技术、入侵检测技术、安全评估技术来爱护网络内的信息资源，防止黑客攻击。 3.7通用网关接口CGI漏洞 有一类风险涉及通用网关接口CGI脚本。许多页面文件和指向其他页面或站点的超连接。然而有些站点用到这些超连接所指站点查找特定信息。搜索引擎是通过CGI脚本执行的方式实现的。黑客能够修改这些CGI脚本以执行他们的非法任务。通常，这些CGI脚本只能在这些所指WWW服务器中查找，但假如进行一些修改，他们就能够在WWW服务器之外进行查找。要防止这类问题发生，应将这些CGI脚本设置为较低级用户特权。提高系统的抗破坏能力，提高服务器备份与复原能力，提高站点内容的防篡改与自动修复能力。 3.8恶意

16、代码 恶意代码不限于病毒，还包括蠕虫、特洛伊木马、逻辑炸弹、和其他未经同意的软件。应该加强对恶意代码的检测。 3.9病毒的攻击 运算机病毒一直是运算机安全的要紧威逼。能在Internet上传播的新型病毒，例如通过E-Mail传播的病毒，增加了这种威逼的程度。病毒的种类和传染方式也在增加，国际空间的病毒总数已达上万甚至更多。因此，查看文档、扫瞄图像或在Web上填表都不用担忧病毒感染，然而，下载可执行文件和接收来历不明的E-Mail文件需要专门小心，否那么专门容易使系统导致严峻的破坏。典型的CIH病毒确实是一可怕的例子。 3.10不满的内部职员 不满的内部职员可能在WWW站点上开些小玩笑，甚至破坏。不论如何，他们最熟悉服务器、小程序、脚本和系统的弱点。关于差不多离职的不满职员，能够通过定期改变口