USDP产品安全解决方案.docx

1、USDP产品安全解决方案USDP产品安全解决方案XX市星系数据资讯XX2002年6月目 录1引言对于一个企业来说，安全在信息化管理系统的实施中是至关重要的。有时，一个关键数据的丢失，可能会造成企业很多业务的中止，或给其生产带来一系列的麻烦，所以，企业信息系统的安全性成为企业实施信息化管理系统的首要考虑因素。一般来说，安全主要包括以下两个方面，第一是本身非人为的安全性，这主要包括雷电，地震或服务器本身摔坏或其它因素使某些硬件和软件造成不可修复性损坏，这部分的安全措施主要是对数据进行及时备份。第二个安全方面是企业本身的信息系统要做到防病毒，防黑客或非合法用户的访问。通常来讲，第二个环节是重中之重，

2、因为黑客，病毒攻击的可能性随时会存在。XX星系的USDP产品在设计之初，就以安全，适用，灵活为设计原则。在安全方面，USDP采取了多层安全结构体系（分为网络安全、系统安全、数据安全、应用安全、管理安全），从根本上解决了企业信息化的安全隐患，使信息系统可以24*7的安全稳定地运行。多层安全结构体系是紧密联系的，从技术和业务两个方面上来保证系统的安全。2网络安全USDP产品采用B/S体系结构，所以在保证产品安全时，首先要保证网络系统的安全，在网络安全方面，我们采用了如下解决方案：网络规划、VPN、防火墙等。2.1网络规划一个成功的安全的网络系统设计，要先从网络规划开始，因为网络的拓扑结构是和安全性

3、息息相关的，如果网络的设计有问题，那么对整个系统构成不仅仅是性能上的问题，更有可能在安全上引起隐患。XX星系可以根据客户的实际情况，为客户设计出合理，经济的安全网络方案。2.2防火墙所谓“防火墙”，就是一种将内网和外网分开的方法，实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、拷贝、毁坏你的重要信息。它相当于一个阀门，一个过滤器或者说国家的海关、边防检查站，负责审查经过的数据和信息，根据设定的规则处理不同的情况。由此可见，建立一个安全的防

4、火墙系统并不仅仅取决于购买了什么牌子的设备，更重要的是在于使用者是否了解本企业网络的情况、掌握用户的实际需求并正确地付诸实施。一般的安全来说：防火墙是必不可少的，因为内部服务主机不能完全暴露在外网上，因为再主流的操作系统和应用软件，其中安全问题也屡见不鲜，例如最常见的缓冲区溢出漏洞存在于各种Unix，Linux和Window系统操作系统中，还有一些常用软件的漏洞，如IIS的安全漏洞，wu-ftp的漏洞，所以说防火墙是保证系统安全的首要考虑因素。目前防火墙主要有三类：建立在通用操作系统上的软件防火墙、具有安全操作系统的软硬件结合的防火墙和基于专用安全操作系统的硬件防火墙。代表产品有Check P

5、oint、东大阿派Neteye、Linux下的IPChains、Cisco的PIX等等。目前的防火墙从结构上讲，可分为两种：1用网关结构。内部网络代理网关(Proxy Gateway)Internet。2路由器加过滤器结构。内部网络过滤器(Filter)路由器(Router)Internet。总的来讲，应用网关结构的防火墙系统在安全控制的粒度上更加细致，多数基于软件系统，用户界面更加友好，管理控制较为方便；路由器加过滤器结构的防火墙系统多数基于硬件或软硬件结合，速度比较快，但是一般仅控制到第三层和第四层协议，不能细致区分各种不同业务；有一部分防火墙结合了包过滤和应用网关两种功能，形成复合型防火

6、墙。具体使用防火墙则应该根据本企业实际情况加以选择。下面我就用一个实际例子讲解建立安全防火墙系统的过程。网络结构拓扑图所有的内部网络用户通过两个路由器连接防火墙，防火墙作为本网络的唯一出口连接到Internet。内部网络有两个网段：192。168。1。0 /255。255。255。0和192。168。2。0 /255。255。255。0。一般来说，防火墙起以下几个作用：1障内部网络安全，禁止外部用户连接到内部网络。2要求具备防IP地址欺骗能力。3要求具备防止IP地址盗用功能，保证特权用户的IP不受侵害。4要求对可以访问Internet的用户进行限制，仅允许特定用户的IP地址可以访问外部网络。5

7、隐蔽内部网络结构6过滤掉一些不允许出入的包，一般来说，只允许对业务有关的数据在端口上出入，并且能阻止某些病毒的特征串出入组建防火墙的关键在于对用户需求的掌握和对工具的熟练的运用和实施上面。因为防火墙把内外网隔离起来后，当我们要维护或远程备份等工作时，我们就面要使用下面的VPN技术来把公司或各分公司的内网和服务主机安全地联系在一起。2.3VPNVPN技术是指在公共的网络平台上传输用户私有的数据，实现方式是在公网如Internet上搭建隧道，从而使在互联网上传输私有数据得到保证。这种技术的效果类似于传统的租用专线联网方式，但其费用远比采用专线方式联网便宜。目前与企业相关的VPN隧道协议分三种：点到

8、点隧道协议PPTP，第二层隧道协议L2TP，网络层隧道协议IPSec。1点到点隧道协议-PPTP。PPTP协议在一个已存在的IP连接上封装PPP会话，只要网络层是连通的，就可以运行PPTP协议。PPTP协议将控制包与数据包分开，控制包采用TCP控制，用于严格的状态查询以及信令信息；数据包部分先封装在PPP协议中，然后封装到GRE V2协议中。GRE是通用路由封装协议，用于在标准IP包中封装任何形式的数据包，因此PPTP可以支持所有的协议，包括IP，IPX，NetBEUI等等。除了搭建隧道，PPTP本身没有定义加密机制，但它继承了PPP的认证和加密机制，包括认证机制PAP/CHAP/MS-CHA

9、P以及加密机制MPPE。2第二层隧道协议-L2TP。L2TP是一个国际标准隧道协议，它结合了PPTP协议以及第二层转发L2F协议的优点。L2TP与PPTP的最大不同在于L2TP将控制包和数据包合二为一，并运行在UDP上，而不是TCP上。UDP省去了TCP中同步、检错、重传等机制，因此L2TP速度很快。与PPTP类似，L2TP也可支持多种协议。L2TP协议本身并没有提供任何加密功能。3IPsec协议。IPsec是标准的第三层安全协议，用于保护IP数据包或上层数据，它可以定义哪些数据流需要保护，怎样保护以及应该将这些受保护的数据流转发给谁。由于它工作在网络层，因此可以用于两台主机之间，网络安全网关

10、之间（如防火墙，路由器），或主机与网关之间。IPsec协议分两种：ESP和AH，这两种协议都可以提供网络安全，如数据源认证（确保接收到的数据是来自发送方），数据完整性（确保数据没有被更改）以及防中继保护（确保数据到达次序的完整性）。除此之外，ESP协议还支持数据的XX性，能够确保其它人无法读取传送的数据，这实际上是采用加密算法来实现的。IPsec的安全服务要求支持共享钥匙完成认证和/或XX。在IPsec协议中引入了一个钥匙管理协议，称Internet钥匙交换协议-IKE，该协议可以动态认证IPsec对等体，协商安全服务，并自动生成共享钥匙。IPsec协议（AH或ESP）保护整个IP包或IP包中

11、的上层协议。IPsec有两种工作方式：传输方式保护上层协议如TCP；隧道方式保护整个IP包。在传输方式下，IPsecXX加在IPXX和上层协议XX之间；而在隧道方式下，整个IP包都封装在一个新的IP包中，并在新的IPXX和原来的IPXX之间插入IPsec头。两种IPsec协议AH 和ESP都可以工作在传输方式下或隧道方式下。4L2TP与IPsec传输方式的集成。鉴于IPsec缺少用户认证，只支持IP协议，目前有一种趋势将L2TP和IPsec结合起来使用，采用L2TP作为隧道协议，而用IPsec协议保护数据。PPTP和L2TP都支持多协议，但要记住L2TP协议缺少数据XX性的保护。PPTP和L2

12、TP都不具有机器认证的能力，而必须依赖于用户认证。在所有的VPN协议中，IPsec提供最好的安全性，但IPsec无法提供用户认证，也不支持多协议。许多厂家都采用的附加的特性来支持用户认证，比如支持Radius协议。IPsec协议十分灵活，可以满足所有网关到网关的VPN连接。如下图：上图的解决方案是把带有VPN功能的3公司的防火墙，采用硬件加速引擎的硬件防火墙。网络安全产品推荐厂商： NetScreen Cisco 安氏 3 Lucent Technologies推荐产品： 东大阿尔派NetEye Cisco PIX防火墙 3 SuperStack防火墙 Check Point FireWall

13、 朗新科技NetShine(适合Linux平台) 中科院安全中心的ERCIST(安胜)防火墙3系统安全系统安全至关重要，因为系统一旦被入侵，那么应用系统的数据就可能会被泄露出去，虽然在数据存储上有加密措施，但整个系统被控制，将对数据的安全性造成重大的安全隐患，因为系统有被入侵者全部偷走，毁掉，解密的可能，还有，如果被移植木马系统，将对整个公司的信息网造成重大的损失，这一个步骤，我们主要措施如下。3.1核心策略分层安全防护在网络和系统的安全领域，往往其进步是同一些具有标志性概念的提出联系在一起的，“分层安全防护”就是这样一个概念。它提出了这样一种思路：结合不同的安全保护因素，例如防病毒软件、防火

14、墙和安全漏洞检测工具，来创建一个比单一防护有效得多的综合保护屏障。分层的安全防护成倍地增加了黑客攻击的成本和难度，从而大大减少了他们的攻击频度。分层的安全防护技术具体来说包括攻击检测、攻击防X、攻击后的恢复三个大方向，其中每一个方向有一个代表性的产品：入侵检测系统负责进行攻击检测，防火墙和强制访问控制系统负责攻击防X，攻击后的恢复则由自动恢复系统来解决。这三大方向体现了在网络安全防护上的多层安全防护的思想。下面我们就多层次保护中的主要环节做具体说明。防火墙我们在网络安全上已经讲过，不过，由于病毒防X和实时检测系统方面的技术因素比较多，所以归并到系统安全上来。3.2操作系统的安全配置操作系统的安

15、全配置的涉及面很广，第一要去掉一些操作系统本身安装时自带的不安全的东西，例如，UNIX安装后有一些不安全的服务如Rlogin，还有一些无用的用户名等，这些都需要重新清理，第二：消除一些应用软件的漏洞。这部分工作可以配合安全评估软件来找出漏洞，还有密切关注安全公司和软件提供商的安全公告，及时安装安全补丁。3.3数据库系统的安全配置 数据库的安全首先要对口令进行严格的控制，因为口令的管理的不妥，可能会造成攻击都很大的机会。还有，在数据库访问时，口令不能是文安放，在USDP产品中，在系统初始化后，数据库的口令不会明文放在配置文件中，而是以动态加密的方法保存着。 数据库的安全配置还包括数据库的权限的分

16、配问题，应该删掉一些不必要的用户，数据库维护人员和应用人员的权限严格分开。一般的数据库本身有一些安全机制可选取，例如只允许某几台或某网段的机器可访问本数据库等，这时我们可以用这个规则来制订安全，只允许维护人员和应用服务器等的IP可以访问数据库服务。 另外，有一些数据库本身因为技术的复杂性，其产品其身设计有漏洞，这时就应该及时地打好补丁，来防X数据库的入侵。3.4应用服务器的安全配置应用服务器的安全性也必须考虑在系统安全中，一个很明显的例子就是有些应用服务器本身有源码泄露的漏洞，这样，入侵者可透过防火墙直接从WEB方式得到源码，给系统造成很大的威胁。应用服务器配置在安装后，一般有一些管理程序或X例在系统里面，这里我们必须要删掉或移走这些程序，因为这些程序也能