小型企业网络安全方案设计.docx

1、小型企业网络安全方案设计企业网络安全第一章计算机网络安全概述 31.1计算机网络的概念 31.2计算机网络安全的概念 31.3计算机网络安全的特征 3第二章方案设计原则 42.1先进性与成熟性 42.2实用性与经济性 42.3扩展性与兼容性 42.4标准化与开放性 42.5安全性与可维护性 42.6整合型好 5第三章企业网络信息安全需求分析 53.1企业信息网络安全需求 53.2企业信息网络安全内容 53.3网络拓扑图 6第四章 企业信息网络安全架构 64.1企业信息网络安全系统设计 64.2企业信息网络安全系统组建 6第五章企业信息网络安全工程的部署 75.1工程环节 75.1.1安全的互联

2、网接入 75.1.2防火墙访问控制 75.1.3用户认证系统 75.1.4入侵检测系统 75.1.5网络防病毒系统 85.1.6VPN加密系统 85.1.7网络设备及服务器加固 85.1.8办公电脑安全管理系统 85.1.9数据备份系统 95.2持续性计划 9第一章 计算机网络安全概述1.1计算机网络的概念是由计算机为主的资源子网和通信设备及传输介质为主的通信子网两部分 组成。因此，计算机网络的安全就是指这两部分的安全。1.2计算机网络安全的概念是指通过采用各种安全技术和管理上的安全措施，确保网络数据的可用性 完整性和保密性，其目的是确保经过网络传输和交换的数据不会被增加、修改、 丢失和泄露等

3、。1.3计算机网络安全的特征网络安全的基本定义是：确保网络服务的可用性和网络信息的完整性。（1）保密性（2）完整性：数据具有XX不能改变的特性。（3）可用性：通常是指网络中主机存放的静态信息具有可用性和可操作的 特性。（4）实用性：即保证信息具有实用的特性；（5）真实性：是指信息的可信度； （6）占有性：是指存储信息的主机、磁盘和信息载体等不被盗用，并具有该信息的 占有权。即保证不丧失对信息的所有权和控制权。第二章方案设计原则2.1 先进性与成熟性采用当今国内、国际上先进和成熟的计算机应用技术，使搭建的硬件平台能够最大限 度的适应今后的办公自动化技术和系统维护的需要。从现阶段的发展来看，系统的

4、总体设 计的先进性原则主要体现在使用 Thin-Client/Server 计算机体系是先进的、开放的体系结 构，当系统应用量发生变化时具备良好的可伸缩性，避免瓶颈的出现。2.2 实用性与经济性实用性就是能够最大限度地满足实际工作的要求，是每个系统平台在搭建过程中必须 考虑的一种系统性能，它是对用户最基本的承诺。办公自动化硬件平台是为实际使用而建立，应避免过度追求超前技术而浪费投资。2.3扩展性与兼容性系统设计除了可以适应目前的应用需要以外，应充分考虑日后的应用发展需要，随着 数据量的扩大，用户数的增加以及应用范围的拓展，只要相应的调整硬件设备即可满足需 求。通过采用先进的存储平台，保证对海量

5、数据的存取、查询以及统计等的高性能和高效 率。同时考虑整个平台的统一管理，监控，降低管理成本。2.4标准化与开放性系统设计应采用开放技术、开放结构、开放系统组件和开放用户接口，以利于网络的 维护、扩展升级及外界信息的沟通。计算机软硬件和网络技术有国际和国内的标准，但技术标准不可能详细得面面俱到， 在一些技术细节上各个生产厂商按照自己的喜好设计开发，结果造成一些产品只能在较低 的层面上互通，在较高层面或某些具体方面不能互通。我们不但选用符合标准的产品，而 且尽量选用市场占有率高、且发展前景好的产品，以提高系统互通性和开放性。2.5安全性与可维护性随着应用的发展，系统需要处理的数据量将有较大的增长

6、，并且将涉及到各类的关键 性应用，系统的稳定性和安全性要求都相对较高，任意时刻系统故障都可能给用户带来不 可估量的损失，建议采用负载均衡的服务器群组来提高系统整体的高可用。2.6整合型好当前采用企业级的域控制管理模式，方便对所有公司内所有终端用户的管理，同时又 可以将公司里计算机的纳入管理范围，极大地降低了网络维护量，并能整体提高当前网络 安全管理！第三章企业网络信息安全需求分析对企业网络信息安全的网络调查显示：有超过 85%的安全威胁来自企业内 部；有16%来自内部未授权的访问；有11%资料或网络的破坏。可以看出：来 自于企业内部的安全威胁比来自于外部的威胁要大得多，必要的安全措施对企 业是

7、非常重要的。安全风险分析通常包括对系统资源的价值属性的分析、资源 面临的威胁分析、系统的安全缺陷分析等等。分析的目标就是确定安全系统的 建设环境，建立信息系统安全的基本策略。3.1企业信息网络安全需求企业对信息网络安全方面的需求主要包含：（1） 业务系统与其它信息系统充分隔离。（2） 企业局域网与互联的其它网络充分隔离。（3） 全面的病毒防御体系，恢复已被病毒感染的设备及数据。（4） 关键业务数据必须进行备份，具有完善的灾难恢复功能。（5） 管理员必须对企业信息网络系统的安全状况和安全漏洞进行周期性评 估，并根据评估结果采用相应措施。（6） 关键业务数据和敏感数据在公网上的传输必须加密，防止非

8、法获取和 篡改。（7） 加强内部人员操作的技术监控，采用强有力的认证系统，代替一些不 安全的用户名/口令系统授权模式。（8） 建立完善的入侵审计和监控措施，监视和记录外部或者内部人员可 能发起的攻击。（9） 对整个信息系统进行安全审计，可预见管理和总拥有成本控制。3.2企业信息网络安全内容从企业整体考虑，它的信息网络安全包括以下六个方面：（1） 企业信息网络安全策略建设，它是安全系统执行的安全策略建设的依 据。（2） 企业信息网络管理体系建设，它是安全系统的安全控制策略和安全系 统体系结构建设的依据。（3） 企业信息网络资源管理体系建设，它是安全系统体系结构规划的依据（4） 企业信息网络人员管

9、理建设，它是保障安全系统可靠建设、维护和应 用的前提。（5） 企业信息网络工程管理体系建设，信息安全系统工程必须与它统一规 划和管理。（6） 企业信息网络事务持续性保障规划，它是信息安全事件处理和安全恢 复系统建设的依据。3.3网络拓扑图第四章企业信息网络安全架构4.1企业信息网络安全系统设计安全系统设计是在信息系统安全策略的基础上，从安全策略的分析中抽象 出安全系统及其服务。安全系统的设计如图 1所示。安全系统设计的目标是设 计出系统安全防御体系，设计和部署体系中各种安全机制从而形成自动的安全 防御、监察和反应体系，忠实地贯彻系统安全策略。4.2企业信息网络安全系统组建安全系统设计关心的是抽

10、象定义的系统。具体系统组建是建立在设计基础 上的实现。通常系统功能组件的实现方式是软件、硬件和固体等。安全系统组 建的另一项重要内容是配制安全系统，并将安全系统与整个信息系统形成一体。第五章 企业信息网络安全工程的部署信息系统安全是信息系统服务质量的要求，网络安全系统应当融于信息网 络服务系统之中，其建设与维护应当与信息网络系统的建设和维护保持一致， 遵循系统工程的方法。网络安全工程就是应用系统工程建设和维护网络安全系 统。5.1工程环节系统工程总是与被建设的系统特性紧密结合，工程环节与系统生命周期保 持同步。安全系统的生命周期也是基本如此，因而安全系统工程典型的基本环 节包括信息系统安全需求

11、分析、安全系统设计、安全系统组建、安全系统认证、 系统安全运行维护和安全系统改造等。5.1.1安全的互联网接入企业内部网络的每位员工要随时登录互联网，因此 In ternet接入平台的安全是该企业信息系统安全的关键部分，可采用外部边缘防火墙，其内部用户登 录互联网时经过内部防火墙，再由外部边缘防火墙映射到互联网。外部边缘防 火墙与内部防火墙之间形成了 DMZ区。5.1.2防火墙访问控制外部边缘防火墙提供PAT服务，配置IPSec加密协议实现VPN拨号连接 以及端到端VPN连接，并通过扩展ACL对进出防火墙的流量进行严格的端口 服务控制。内部防火墙处于内部网络与DMZ区之间，它允许内网所有主机能

12、够访问 DMZ区，但DMZ区进入内网的流量则进行严格的过滤。5.1.3用户认证系统用户认证系统主要用于解决拨号和 VPN接入的安全问题，它是从完善系 统用户认证、访问控制和使用审计方面的功能来增强系统的安全性。拨号用户和VPN用户身份认证在主域服务器上进行，用户账号集中在主域 服务器上开设。系统中设置严格的用户访问策略和口令策略，强制用户定期更 改口令。同时配置VPN日志服务器，记录所有VPN用户的访问，作为系统审 计的依据。5.1.4入侵检测系统企业可在互联网流量汇聚的交换机处部署入侵检测系统，它可实时监控内网中发生的安全事件，使得管理员及时做出反应，并可记录内部用户对 In ternet的

13、访问，管理者可审计In ternet接入平台是否被滥用。5.1.5网络防病毒系统企业应全面地布置防病毒系统，包括客户机、文件服务器、邮件服务器和 OA服务器。5.1.6VPN 加密系统企业可建立虚拟专网 VPN ，主要为企业移动办公的员工提供通过互联网访 问企业内网OA系统，同时为企业内网用户访问公司的 SAP系统提供VPN加 密连接。需要注意的是，由于 VPN 机制需要执行加密和解密过程，其传输效率将 降低30%40%,因此对于关键业务，如果有条件应该尽可能采用数据专线方 式。5.1.7网络设备及服务器加固企业网络管理员应定期对各种网络设备和主机进行安全性扫描和渗透测试， 及时发现漏洞并采取

14、补救措施。安全性扫描主要是利用一些扫描工具，模拟黑 客的方法和手段，以匿名身份接入网络，对网络设备和主机进行扫描并进行分 析，目的是发现系统存在的各种漏洞。根据安全扫描和渗透测试的结果，网络管理员即可有针对性地进行系统加 固，具体加固措施包括：关闭不必要的网络端口；视网络应用情况禁用ICMP、SNMP等协议；安装最新系统安全补丁；采用 SSH而不是Telnet进行远程登录；调整本地安全策略，禁用不需要的系统缺省服务；启用系统安全审 5.1.8办公电脑安全管理系统企业应加强对桌面电脑的安全管理。主要有：1补丁管理：主要用于修复桌面电脑系统漏洞，避免蠕虫病毒、黑客攻击 和木马程序等。2间谍软件检测

15、：能够自动检测和清除来自间谍软件、广告软件、键盘记 录程序、特洛伊木马和其他恶意程序的已知威胁。3安全威胁分析：能够自动检测桌面电脑的配置风险，包括共享、口令、 浏览器等安全问题，并自动进行修补或提出修改建议。4应用程序阻止：用户随意安装的游戏等应用程序可能导致系统紊乱、冲 突，影响正常办公。管理员可以通过远程执行指令，阻止有关应用程序的运行5设备访问控制：对用户电脑的硬件采用适当的访问控制策略，防止关键 数据丢失和未授权访问。5.1.9数据备份系统企业 应制定备份策略，定期对一些重要数据进行备份5.2持续性计划（1架构评估。企业网络信息安全管理架构的评估应由IT部门、相关责任部门以及终端用

16、户代表来共同参与，确保所有的部门都能纳入安全框架中。（2） 系统安全运行管理。要保障信息系统安全，就必须维护安全系统充分发挥作用的环境。这种环 境包括安全系统的配置、系统人员的安全职责分工与培训。（3） 安全系统改造。信息系统安全的对抗性必然导致信息安全系统不断改造。导致安全系统改 造的因素可以归结为4个方面：技术发展因素；系统环境因素；系统需求因素; 安全事件因素。（4） 网络安全制度建设及人员安全意识教育。企业应当采取积极防御措施，主动防止非授权访问操作，从客户端操作平 台实施高等级防范，使不安全因素在源头被控制。这对工作流程相对固定的重 要信息系统显得更为重要而可行。需开展计算机安全意识教育和培训，加强计算机安全检查，以此提高最终 用户对计算机安全的重视程度。为各级机构的系统管理员提供信息系统安全方 面的专业培训，提高处理计算机系统安全问题的能力。