企业网络安全设计方案（4篇）企业网络安全设计方案 企业网络安全方案设计 摘要:在这个信息技术飞速发展的时代，许多有远见的企业都认识到很有必要 依托先进的IT技术构建企业自身的业务下面是小编为大家整理的企业网络安全设计方案（4篇）,供大家参考。
篇一：企业网络安全设计方案
企业网络安全方案设计
摘要:在这个信息技术飞速发展的时代，许多有远见的企业都认识到很有必要
依托先进的IT技术构建企业自身的业务和运营平台来极大地提升企业的核心竞争力,使企业在残酷的竞争环境中脱颖而出。经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强.计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求.本文主要通过安全体系建设原则、实例化的企业整体网络安全方案以及该方案的组织和实施等方面的阐述，为企业提供一个可靠地、完整的方案。
关键词：信息安全、企业网络安全、安全防护
一、引言
随着国内计算机和网络技术的迅猛发展和广泛普及，企业经营活动的各种业务系统都立足于Internet/Intranet环境中。但随之而来的安全问题也在困扰着用户。Internet所具有的开放性、国际性和自由性在增加应用自由度的同时，对安全提出了更高的要求。一旦网络系统安全受到严重威胁，甚至处于瘫痪状态,将会给企业、社会、乃至整个国家带来巨大的经济损失。应此如何使企业信息网络系统免受黑客和病毒的入侵，已成为信息事业健康发展所要考虑的重要事情之一。
一般企业网络的应用系统,主要有WEB、E-mail、OA、MIS、财务系统、人事系统等。而且随着企业的发展，网络体系结构也会变得越来越复杂，应用系统也会越来越多。但从整个网络系统的管理上来看,通常包括内部用户，也有外部用户，以及内外网之间。因此，一般整个企业的网络系统存在三个方面的安全问题：
(1）Internet的安全性：随着互联网的发展，网络安全事件层出不穷.近年来，计算机病毒传播、蠕虫攻击、垃圾邮件泛滥、敏感信息泄露等已成为影响最为广泛的安全威胁。对于企业级用户,每当遭遇这些威胁时,往往会造成数据破坏、系统异常、网络瘫痪、信息失窃,工作效率下降，直接或间接的经济损失也很大。
(2）企业内网的安全性：最新调查显示，在受调查的企业中60％以上的员工利用网络处理私人事务。对网络的不正当使用，降低了生产率、阻碍电脑网络、
消耗企业网络资源、并引入病毒和间谍，或者使得不法员工可以通过网络泄漏企业机密，从而导致企业数千万美金的损失。所以企业内部的网络安全同样需要重视，存在的安全隐患主要有未授权访问、破坏数据完整性、拒绝服务攻击、计算机病毒传播、缺乏完整的安全策略、缺乏监控和防范技术手段、缺乏有效的手段来评估网络系统和操作系统的安全性、缺乏自动化的集中数据备份及灾难恢复措施等。
（3）内部网络之间、内外网络之间的连接安全:随着企业的发展壮大及移动办公的普及，逐渐形成了企业总部、各地分支机构、移动办公人员这样的新型互动运营模式.怎么处理总部与分支机构、移动办公人员的信息共享安全，既要保证信息的及时共享，又要防止机密的泄漏已经成为企业成长过程中不得不考虑的问题.各地机构与总部之间的网络连接安全直接影响企业的高效运作。
二、以某公司为例，综合型企业网络简图如下，分析现状并分析需求：
图说明图一企业网络简图
对该公司的信息安全系统无论在总体构成、信息安全产品的功能和性能上也都可能存在一定的缺陷,具体表现在：
（1）系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。
(2)原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的网络安全隐患，产品亟待升级.
(3）经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强.计算机网络规模不断扩大,网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。
（4）计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心，因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份，并运用技术手段,提高数据的机密性、完整性和可用性。
由以上分析可知该公司信息系统存在较大的风险,信息安全的需求主要体现在如下几点：
（1）某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此,要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。
（2）网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。
（3）信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求,为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行.
（4）信息安全防范是一个动态循环的过程,如何利用专业公司的安全服务,做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是某公司面临的重要课题。
三、设计原则
安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行,避免重复投入、重复建设,充分考虑整体和局部的利益。具体如下：
1。标准化原则2。系统化原则
3。规避风险原则4。保护投资原则5。多重保护原则6。分步实施原则
四、企业网络安全解决方案的思路
1。安全系统架构安全方案必须架构在科学网络安全系统架构之上，因为安全架构是安全方
案设计和分析的基础。随着针对应用层的攻击越来越多、威胁越来越大,只针对网络层以下的安全
解决方案已经不足以应付来自应用层的攻击了。举个简单的例子,那些携带着后门程序的蠕虫病毒是简单的防火墙VPN安全体系所无法对付的。因此我们建议企业采用立体多层次的安全系统架构。这种多层次的安全体系不仅要求在网络边界设置防火墙VPN，还要设置针对网络病毒和垃圾邮件等应用层攻击的防护措施，将应用层的防护放在网络边缘，这种主动防护可将攻击内容完全阻挡在企业内部网之外。2.安全防护体系
信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终。如图二所示：
图说明图二网络与信息安全防范体系模型
3。企业网络安全结构图通过以上分析可得总体安全结构应实现大致如图三所示的功能：
图说明图三总体安全结构图
五、整体网络安全方案
1。网络安全认证平台证书认证系统无论是企业内部的信息网络还是外部的网络平台，都必须建立
在一个安全可信的网络之上。目前,解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(PublicKeyInfrastructure,公钥基础设施）是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统，建立一个完善的网络安全认证平台,能够通过这个安全平台实现以下目标：
1)身份认证(Authentication）：确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。
2）数据的机密性(Confidentiality）:对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成.
3)数据的完整性(Integrity):确保通信信息不被破坏（截断或篡改）,通过哈希函数和数字签名来完成。
4）不可抵赖性（Non-Repudiation）：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。2.VPN系统
VPN(VirtualPrivateNetwork)虚拟专用网，是将物理分布在不同地点的网络通过公用骨干网（如Internet）连接而成的逻辑上的虚拟专用网。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。
通过安装部署VPN系统,可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道,使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接.
集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。3.网络防火墙
采用防火墙系统实现对内部网和广域网进行隔离保护。对内部网络中服务器子网通过单独的防火墙设备进行防护。其网络结构一般如下：
图说明图四防火墙此外在实际中可以增加入侵检测系统，作为防火墙的功能互补，提供对监控
网段的攻击的实时报警和积极响应等功能。4。病毒防护系统
应强化病毒防护系统的应用策略和管理策略，增强勤业网络的病毒防护功能。这里我们可以选择瑞星网络版杀毒软件企业版。瑞星网络杀毒软件是一个专门针对网络病毒传播特点开发的网络防病毒软件，通过瑞星网络防病毒体系在网络内客户端和服务器上建立反病毒系统，并且可以实现防病毒体系的统一、集中管理，实时掌握、了解当前网络内计算机病毒事件,并实现对网络内的所有计算机远程反病毒策略设置和安全操作。5.对服务器的保护
在一个企业中对服务器的保护也是至关重要的。在这里我们选择电子邮件为例来说明对服务器保护的重要性。
电子邮件是Internet上出现最早的应用之一。随着网络的快速发展,电子邮件的使用日益广泛,成为人们交流的重要工具，大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点,电子邮件存在着很大的安全隐患。
目前广泛应用的电子邮件客户端软件如OUTLOOK支持S/MIME（SecureMultipurposeInternetMailExtensions),它是从PEM(PrivacyEnhancedMail）和MIME（Internet邮件的附件标准）发展而来的。首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织（根证书）之间相互认证，整个信任关系基本是树状的。其次,S/MIME将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。下图五是邮件系统保护的简图（透明方式):
图说明图五邮件系统保护6。关键网段保护
企业中有的网段上传送的数据、信息是非常重要的，应此对外应是保密的。所以这些网段我们也应给予特别的防护。简图如下图六所示。
图说明图六关键网段的防护7.日志分析和统计报表能力
对网络内的安全事件也应都作出详细的日志记录，这些日志记录包括事件名称、描述和相应的主机IP地址等相关信息。此外,报表系统还应自动生成各种形式的攻击统计报表，形式包括日报表，月报表，年报表等，通过来源分析，目标
分析，类别分析等多种分析方式,以直观、清晰的方式从总体上分析网络上发生的各种事件，有助于管理人员提高网络的安全管理.8.内部网络行为的管理和监控
除对外的防护外，对网络内的上网行为也应该进行规范，并监控上网行为，过滤网页访问，过滤邮件，限制上网聊天行为，阻止不正当文件的下载.企业内部用户上网信息识别度应达到每一个URL请求和每一个URL请求的回应。通过对网络内部网络行为的监控可以规范网络内部的上网行为，提高工作效率，同时避免企业内部产生网络安全隐患。因此对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。
桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。分别有以下几种系统：
1)电子签章系统利用非对称密钥体系保证了文档的完整性和不可抵赖性.采用组件技术,可以无缝嵌入OFFICE系统,用户可以在编辑文档后对文档进行签章,或是打开文档时验证文档的完整性和查看文档的作者。2）安全登录系统安全登录系统提供了对系统和网络登录的身份认证。使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络.用户如果需要离开计算机，只需拔出智能密码钥匙，即可锁定计算机。3)文件加密系统文件加密应用系统保证了数据的安全存储.由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法,从而保证了存储数据的安全性.则内网综合保护简图如下图七所示：
图说明图七内网综合保护9。移动用户管理系统
对于企业内部的笔记本电脑在外工作，当要接入内部网也应进行安全控制，确保笔记本设备的安全性.有效防止病毒或黑客程序被携带进内网。10.身份认证的解决方案
身份认证是指计算机及网络系统确认操作者身份的过程.基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。USBKey是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USBKey内置的密码算法实现对用户身份的认证.
基于PKI的USBKey的解决方案不仅可以提供身份认证的功能,还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系，从而实现上述身份证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。
六、方案的组织与实施方式
由以上的分析及设计，可知网络与信息安全防范体系流程主要由三大部分组成：攻击前的防范、攻击过程中的防范和攻击后的应对.具体的安全管理贯穿全
流程图，如图八所示。安全管理贯穿全流程图不仅描述了安全防范的动态过程,也为本方案的实施提供了借鉴.
图说明图八安全管理贯穿全流程图
因此在本方案的组织和实施中，除了工程的实施外，还应重视以下各项工作:（1)在初步进行风险分析基础上，方案实施方应进行进一步的风险评估,明确需求所在，务求有的放矢,确保技术方案的针对性和投资的回报。(2）把应急响应和事故恢复作为技术方案的一部分，必要时可借助专业公司的安全服务，提高应对重大安全事件的能力。（3）该方案投资大，覆盖范围广，根据实际情况，可采取分地区、分阶段实施的方式。（4）在方案实施的同时,加强规章制度、技术规范的建设,使信息安全的日常工作进一步制度化、规范化.
七、总结
本设计以某公司为例，分析了网络安全现状，指出目前存在的风险，随后提出了一整套完整的解决方案，涵盖了各个方面,从技术手段的改进，到规章制度的完善；从单机系统的安全加固，到整体网络的安全管理.也希望通过本方案的
实施，可以建立较完善的信息安全体系，有效地防范信息系统来自各方面的攻击和威胁，把风险降到最低水平。
篇二：企业网络安全设计方案
xxxxxxxxx有限责任公司网络安全解决方案目录目录第一章xx网络的需求分析11xx网络现状描述12xx网络的漏洞分析121物理安全122主机安全123外部安全124内部安全125内部网络之间内外网络之间的连接安全第二章网络安全解决方案21物理安全211两套网络的相互转换212重要信息点的物理保护22主机安全23网络安全231网络系统安全232应用系统安全13233病毒防护14234数据安全处理系统16235安全审计17236认证鉴别数字签名抗抵赖17第二章安全设备选型1831安全设备选型原则18311安全性要求18312可用性要求19313可靠性要求1932安全设备的可扩展性1933安全设备的升级1934设备列表19第四章方案的验证及调试21总结摘要随着网络的高速发展网络的安全问题日益突出近两年间黑客攻击网络病毒等屡屡曝光国家相关部门也一再三令五申要求切实做好网络安全建设和管理工作
网
络安全解决方
案
XXXXXXXXX有限责任公司网络安全解决方案
学姓班课
号：名：级：程：
指导老师：时间：
1
网
络安全解决方
案
目录
目录..................................................................................................................................................1摘要..................................................................................................................................................2第一章xx网络的需求分析............................................................................................................31.1xx网络现状描述.................................................................................................................31.2xx网络的漏洞分析.............................................................................................................41.2.1物理安全..................................................................................................................41.2.2主机安全..................................................................................................................41.2.3外部安全..................................................................................................................51.2.4内部安全..................................................................................................................51.2.5内部网络之间、内外网络之间的连接安全..........................................................5第二章网络安全解决方案.............................................................................................................72.1物理安全.............................................................................................................................72.1.1两套网络的相互转换..............................................................................................72.1.2重要信息点的物理保护..........................................................................................72.2主机安全.............................................................................................................................82.3网络安全.............................................................................................................................82.3.1网络系统安全..........................................................................................................92.3.2应用系统安全........................................................................................................132.3.3病毒防护................................................................................................................142.3.4数据安全处理系统................................................................................................162.3.5安全审计................................................................................................................172.3.6认证、鉴别、数字签名、抗抵赖........................................................................17第二章安全设备选型.............................................................................................................183.1安全设备选型原则...........................................................................................................183.1.1安全性要求............................................................................................................183.1.2可用性要求............................................................................................................193.1.3可靠性要求............................................................................................................193.2安全设备的可扩展性.......................................................................................................193.3安全设备的升级...............................................................................................................193.4设备列表...........................................................................................................................19第四章方案的验证及调试...........................................................................................................21总结................................................................................................................................................22
1
网
络安全解决方
案
摘要
随着网络的高速发展，网络的安全问题日益突出，近两年间，黑客攻击、网络病毒等屡屡曝光，国家相关部门也一再三令五申要求切实做好网络安全建设和管理工作。经过调查，我们发现，xx存在以下几个问题：第一、机房网络管理成本过高，并且造成了人力资源上的浪费；第二、存在数据丢失的问题；第三、计算机病毒泛滥，给高效率工作造成极大的不便；第四、网络攻击严重，严重影响了日常的工作。本设计方案基于xx出现的问题在物理安全、主机安全、网络安全三个方面提出了实际的解决措施。
关键词：网络安全
解决方案
2
网
络安全解决方
案
第一章xx网络的需求分析
1.1xx网络现状描述
网络拓扑图
随着xx多年的发展，以及技术的更新，网络设备也在不断地更新换代，同时企业间的收购，合并重组等商业行为，都会给企业网络带来一整套完全不同的网络设备、独立的办公室以及工作团队。由于以上种种原因，xx的网络不断扩充，问题也不断出现。xx原有的安全系统的设计是采用被动防护模式，针对系统出现的各种情况采取相应的防护措施，当新的应用系统被采纳以后、或者发现了新的系统漏洞，使系统在实际运行中遭受攻击，系统管理员再根据情况采取相应的补救措施。这
3
网
络安全解决方
案
种以应用处理为核心的安全防护方案使系统管理人员忙于处理不同系统产生的各种故障。人力资源浪费很大，而且往往是在系统破坏造成以后才进行处理，防护效果不理想，也很难对网络的整体防护做出规划和评估，同时也提高了xx在这方面的维护经费。经过分析后发现，xx的安全漏洞主要存在于系统中最薄弱的环节，邮件系统、网关无一不直接威胁着网络的正常运行；要防止网络系统遭到非法入侵、未经授权的存取或破坏可能造成的数据丢失、系统崩溃等问题，而这些都不是单一的防病毒软件外加服务器就能够解决的。
1.2xx网络的漏洞分析
1.2.1物理安全网络的物理安全是整个网络系统安全的前提，在xx的企业局域网内，由于网络的物理跨度不大，只要制定健全的安全管理制度，做好备份，并且加强网络设备和机房的管理，防止非法进入计算机控制室和各种盗窃、破坏活动的发生，这一方面的风险是可以避免的。1.2.2主机安全在中国，我们可以这样讲：没有完全安全的操作系统。但是，我们可以对现有的操作平台进行安全配置、对操作和访问权限进行严格控制，提高系统的安全性。因此，在本方案中，不但要选用尽可能可靠的操作系统和硬件平台。而且，必须加强登录过程的认证，特别是在到达服务器主机之前的认证，确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。同时，企业主机也存在着各种各样的安全问题。使用者的使用权限不同，企业主机所付与的管理权限也不一样，同一台主机对不同的人有着不同的使用范围。企业主机也会受到来自病毒，黑客等的袭击，例如前一段时间xx受到非法入侵，入侵者上传了大量的木马，给公司的主机造成了很大的破坏，因此，企业主机对此也必须做好预防。在安装应用程序的时候，还得注意它的合法权限，以
4
网
络安全解决方
案
防止它所携带的一些无用的插件或者木马病毒来影响主机的运行和正常工作，甚至盗取企业机密。1.2.3外部安全外部安全主要指来自外部的一些威胁和破坏，主要是以下几个方面：1)拒绝服务攻击2)外部入侵这里是通常所说的黑客威胁。当前大多数电信网络设备和服务都存在着被入侵的痕迹，甚至各种后门。这些是对网络自主运行的控制权的巨大威胁，使得企业在重要和关键应用场合没有信心，损失业务，甚至造成灾难性后果。3)病毒病毒对信息系统的正常工作运行产生很大影响，据统计，信息系统的60%瘫痪是由于感染病毒引起的。1.2.4内部安全最新调查显示，60%以上的员工利用网络处理私人事务。对网络的不正当使用，降低了生产率、阻碍电脑网络、消耗企业网络资源、并引入病毒和间谍，或者使得不法员工可以通过网络泄漏企业机密，从而导致企业蒙受巨大的的损失。不满的内部员工可能在WWW站点上开些小玩笑，甚至破坏。不论如何，他们最熟悉服务器、小程序、脚本和系统的弱点。对于已经离职的不满员工，可以通过定期改变口令和删除系统记录以减少这类风险。但还有心怀不满的在职员工，这些员工比已经离开的员工能造成更大的损失，例如他们可以传出至关重要的信息、泄露安全重要信息、错误地进入数据库、删除数据等等。这些都是xx内部网络中潜存的威胁。1.2.5内部网络之间、内外网络之间的连接安全xx的内部网络与外部网络间没有采取一定的安全防护措施，内部网络容易遭到来自外网的攻击。包括来自Internet上的风险和下级单位的风险。内部局网不同部门或用户之间如果没有采用相应一些访问控制，也可能造成
5
网
络安全解决方
案
信息泄漏或非法攻击。据调查统计，在xx已发生的网络安全事件中，70%的攻击是来自内部。因此内部网的安全风险更严重。内部员工对自身企业网络结构、应用比较熟悉，自已攻击或泄露重要信息内外勾结，都将可能成为导致系统受攻击的最致命安全威胁。随着企业的发展壮大及移动办公的普及，xx逐渐形成了企业总部、各地分支机构、移动办公人员这样的新型互动运营模式。怎么处理总部与分支机构、移动办公人员的信息共享安全，既要保证信息的及时共享，又要防止机密的泄漏已经成为不得不考虑的问题。各地机构与总部之间的网络连接安全直接影响企业的高效运作。
6
网
络安全解决方
案
第二章网络安全解决方案
2.1物理安全
对于xx存在的两套网络系统切换问题和重点信息点的保护问题，我们提出以下解决方案。2.1.1两套网络的相互转换由于xx内部网络系统具有两套网络，这两套网络系统是完全物理隔离的，而企业内部有部分用户需要两个网络都要接入，这就涉及到两个网络之间的相互切换问题。而现在的实际使用是采用手工拔插网线的方式进行切换，这使得使用中非常不方便。建议采用网络隔离卡的方式来解决网络切换的问题。隔离卡上有两个网络接口，一个接内网，一个接外网；另外还有一个控制口，通过控制口连接一个控制器(只有火柴盒大小)，放置于电脑旁边。同时，在隔离卡上接两个硬盘，使一个计算机变为两个计算机使用，两个硬盘上分别运行独立的操作系统。这样，可通过控制器进行切换，使计算机分别接到两个网络上。根据xx网络的实际情况，需要在二、三、四楼共20个信息点上安装隔离卡。其中二楼6个，三楼12个，四楼2个。2.1.2重要信息点的物理保护xx各级网络内部存在重要的信息点，如内部核心应用系统，环境等都需要保护，它主要包括三个方面：1)环境安全：对系统所在环境的安全保护，如区域保护和灾难保护(参见国家标准GB50173-93《电子计算机机房设计规范》、国标GB2887-89《计算站场地技术条件》、GB9361-88《计算站场地安全要求》)。2)设备安全：主要包括设备的防盗、防毁坏及电源保护等。对中心机房和关键信息点采取多种安全防范措施，确保非授权人员无法进
7
网
络安全解决方
案
入。中心机房处理秘密级、机密级信息的系统均采用有效的电子门控系统等。3)媒体安全：包括媒体数据的安全及媒体本身的安全。
2.2主机安全
根据xx网络内主机的安全防护现状，我们制定了以下策略：1)对主机用户进行分组管理，根据不同的安全级别将用户分为若干等级，每一等级的用户只能访问与其等级相对应的系统资源和数据。其次应该考虑的是强有力的身份认证，确保用户的密码不会被他人所猜测到。2)及时更新主机系统，防止因系统漏洞而遭到黑客或病毒的攻击。3)对于应用服务，我们应该只开放那些需要的服务，并随时更新。而对于那些用不到的服务应该尽量关闭。4)安装并及时升级杀毒软件以避免来自病毒的苦恼。5)安装防火墙可以有效的防止黑客的攻击。
2.3网络安全
针对xx的VLAN划分情况，在某些情况下，它的一些局域网的某个网段比另一个网段更受信任，或者某个网段比另一个更敏感。通过将信任网段与不信任网段划分在不同的VLAN段内，就可以限制局部网络安全问题对全局网络造成的影响。将分散系统整合成一个异构网络系统，数据存储系统整合成网络数据中心，通过存储局域网的形式对系统的各种应用提供数据支持。随着信息的访问方式多样化,信息的处理速度和信息的交换量都成倍数的增长。使整个信息系统对数据的依赖程度越来越高。采取以数据为核心，为数据访问和数据处理采用整体防护解决方案也是系统必然的选择。基于联动联防和网络集中管理、监控技术，本方案将所有网络安全和数据安全产品有机的结合在一起，在漏洞预防、攻击处理、破坏修复三方面给用户提供整体的解决方案，能够极大地提高系统防护效果，降低网络管理的风险和复杂性。下图是防护系统对一个完整的网络攻击及防护方法的演示效果图：
8
网
络安全解决方
案
2.3.1网络系统安全作为企业应用业务系统的承载平台，网络系统的安全显得尤为重要。因为许多重要的信息都通过网络进行交换。（一）网络传输由于xx中心内部网络存在两套网络系统，其中一套为内部网络，主要运行的是内部办公、业务系统等；另一套是与INTERNET相连，通过ADSL接入，并与企业系统内部的上、下级机构网络相连。通过公共线路建立跨越INTERNET的企业集团内部局域网，并通过网络进行数据交换、信息共享。而INTERNET本身就缺乏有效的安全保护，如果不采取相应的安全措施，易受到来自网络上任意主机的监听而造成重要信息的泄密或非法篡改，产生严重的后果。在本解决方案中对网络传输安全部分推荐采用VPN设备来构建内联网。可在每级管理域内设置一套VPN设备，由VPN设备实现网络传输的加密保护。根据企
9
网
络安全解决方
案
业三级网络结构，VPN设置如下图所示：
每一级的设置及管理方法相同。即在每一级的中心网络安装一台VPN设备和一台VPN认证服务器(VPN-CA)，在所属的直属单位的网络接入处安装一台VPN设备，由上级的VPN认证服务器通过网络对下一级的VPN设备进行集中统一的网络化管理。可达到以下几个目的：网络传输数据保护：由安装在网络上的VPN设备实现各内部网络之间的数据传输加密保护，并可同时采取加密或隧道的方式进行传输；网络隔离保护：与INTERNET进行隔离，控制内网与INTERNET的相互访问；集中统一管理，提高网络安全性；降低成本(设备成本和维护成本)；其中，在各级中心网络的VPN设备设置如下图：
10
网
络安全解决方
案
由一台VPN管理机对CA、中心VPN设备、分支机构VPN设备进行统一网络管理。将对外服务器放置于VPN设备的DMZ口与内部网络进行隔离，禁止外网直接访问内网，控制内网的对外访问、记录日志。这样即使服务器被攻破，内部网络仍然安全。下级单位的VPN设备放置如下图所示：
从上图可知，下属机构的VPN设备放置于内部网络与路由器之间，其配置、管理由上级机构通过网络实现，下属机构不需要做任何的管理，仅需要检查是否通电即可。由于安全设备属于特殊的网络设备，其维护、管理需要相应的专业人员，而采取这种管理方式以后，就可以降低下属机构的维护成本和对专业技术人员的要求，从而降低企业的成本。由于网络安全不是仅仅采用高档的安全产品就能解决，因此对安全设备的管理就显得尤为重要。由于一般的安全产品在管理上是各自管理，因而很容易因为某个设备的设置不当，而使整个网络出现重大的安全隐患。而用户的技术人员往往不可能都是专业的，因此，容易出现上述现象；同时，每个维护人员的水平也有差异，容易出现相互配置上的错误使网络中断。所以，在安全设备的选择上应当选择可以进行网络化集中管理的设备，这样，由少量的专业人员对主要安全设备进行管理、配置，提高整体网络的安全性和稳定性。
11
网
络安全解决方
案
（二）访问控制由于xx广域网网络部分通过公共网络建立，其在网络上必定会受到来自INTERNET上许多非法用户的攻击和访问，如试图进入网络系统、窃取敏感信息、破坏系统数据、设置恶意代码、使系统服务严重降低或瘫痪等，因此，采取相应的安全措施是必不可少的。通常，对网络的访问控制最成熟的是采用防火墙技术来实现的，本方案中选择带防火墙功能的VPN设备来实现网络安全隔离，可满足以下几个方面的要求：1)控制外部合法用户对内部网络的网络访问；2)控制外部合法用户对服务器的访问；3)禁止外部非法用户对内部网络的访问；4)控制内部用户对外部网络的网络；5)阻止外部用户对内部的网络攻击；6)防止内部主机的IP欺骗；7)对外隐藏内部IP地址和网络拓扑结构；8)网络监控；9)网络日志审计。由于采用防火墙、VPN技术融为一体的安全设备，并采取网络化的统一管理，因此具有以下几个方面的优点：1)管理、维护简单、方便；2)安全性高(可有效降低在安全设备使用上的配置漏洞)；3)硬件成本和维护成本低；4)网络运行的稳定性更高。由于是采用一体化设备，比之传统解决方案中采用防火墙和加密机两个设备而言，其稳定性更高，故障率更低。（三）入侵检测网络安全不可能完全依靠单一产品来实现，网络安全是个整体的，必须配相应的安全产品。作为必要的补充，入侵检测系统(IDS)可与安全VPN系统形成互补。入侵检测系统是根据已有的、最新的和可预见的攻击手段的信息代码对进出网络的所有操作行为进行实时监控、记录，并按制定的策略实行响应(阻断、报
12
网
络安全解决方
案
警、发送E-mail)。从而防止针对网络的攻击与犯罪行为。入侵检测系统一般包括控制台和探测器(网络引擎)。控制台用作制定及管理所有探测器(网络引擎)。探测器(网络引擎)用作监听进出网络的访问行为，根据控制台的指令执行相应行为。由于探测器采取的是监听而不是过滤数据包，因此，入侵检测系统的应用不会对网络系统性能造成多大影响。入侵检测系统的设置如下图：
从上图可知，入侵检测仪在网络接如上与VPN设备并接使用。入侵检测仪在使用上是独立网络使用的，网络数据全部通过VPN设备，而入侵检测设备在网络上进行疹听，监控网络状况，一旦发现攻击行为将通过报警、通知VPN设备中断网络(即IDS与VPN联动功能)等方式进行控制(即安全设备自适应机制)，最后将攻击行为进行日志记录以供以后审查。（四）漏洞扫描作为一个完善的通用安全系统，应当包含完善的安全措施，定期的安全评估及安全分析同样相当重要。由于网络安全系统在建立后并不是长期保持很高的安全性，而是随着时间的推移和技术的发展而不断下降的，同时，在使用过程中会出现新的安全问题，因此，作为安全系统建设的补充，采取相应的措施也是必然。本方案中，采用漏洞扫描设备对网络系统进行定期扫描，对存在的系统漏洞、网络漏洞、应用程序漏洞、操作系统漏洞等进行探测、扫描，发现相应的漏洞并告警，自动提出解决措施，或参考意见，提醒网络安全管理员作好相应调整。2.3.2应用系统安全（一）系统平台安全各级网络系统平台安全主要是指操作系统的安全。由于目前主要的操作系统
13
网
络安全解决方
案
平台是建立在国外产品的基础上，因而存在很大的安全隐患。企业网络系统在主要的应用服务平台中采用国内自主开发的安全操作系统，针对通用OS的安全问题，对操作系统平台的登录方式、文件系统、网络传输、安全日志审计、加密算法及算法替换的支持和完整性保护等方面进行安全改造和性能增强。一般用户运行在PC机上的NT平台，在选择性地用好NT安全机制的同时，应加强监控管理。（二）应用平台安全企业网络系统的应用平台安全，一方面涉及用户进入系统的身份鉴别与控制，以及使用网络资源的权限管理和访问控制，对安全相关操作进行的审计等。其中的用户应同时包括各级管理员用户和各类业务用户。另一方面涉及各种数据库系统、WWW服务、E-MAIL服务、FTP和TELNET应用中服务器系统自身的安全以及提供服务的安全。对于xx，在选择这些应用系统时，应当尽量选择国内软件开发商进行开发，系统类型也应当尽量采用国内自主开发的应用系统。2.3.3病毒防护因为病毒在网络中存储、传播、感染的方式各异且途径多种多样，所以我们利用全方位的企业防毒产品，对xx采用“层层设防、集中控制、以防为主、防杀结合”的策略。具体而言，就是针对网络中所有可能的病毒攻击设置对应的防毒软件，通过全方位、多层次的防毒系统配置，使网络没有薄弱环节成为病毒入侵的缺口。本方案中在选择杀毒软件时有几个方面的要求：具有卓越的病毒防治技术、程序内核安全可靠、对付国产和国外病毒能力超群、全中文产品，系统资源占用低，性能优越、可管理性高，易于使用、产品集成度高、高可靠性、可调配系统资源占用率、便捷的网络化自动升级等优点。病毒对信息系统的正常工作运行产生很大影响，据统计，信息系统的60%瘫痪是由于感染病毒引起的。（一）系统设计原则为了更好的解决病毒的防范，一般要求病毒防范系统满足如下要求：1)采用世界最先进的防毒产品与xx网络系统的实际需要相结合，确保xx网络系统具有最佳的病毒防护能力的情况下综合成本最少；
14
网
络安全解决方
案
2)贯彻“层层设防，集中控管，以防为主、防治结合”的企业防毒策略。在网络中所有可能的病毒攻击点或通道中设置对应的防病毒软件，通过这种全方位的、多层次的防毒系统配置，使企业网络免遭所有病毒的入侵和危害；3)充分考虑xx网络的系统数据、文件的安全可靠性，所选产品与现系统具有良好的一致性和兼容性，以及最低的系统资源占用，保证不对现有系统运行产生不良影响。4)应用全球最为先进的“实时监控”技术，充分体现趋势科技“以防为主”的反病毒思想。5)所选用产品具备对多种压缩格式文件的病毒检测。6)所选用产品易于安装、操作简便、便于管理和维护，具有友好的用户界面。7)应用经由ICSA(国际电脑安全协会)技术认证的扫描引擎，保证对包括各种千面人病毒、变种病毒和黑客程序等具有最佳的病毒侦测率，除对已知病毒具备全面的侦防能力，对未知病毒亦有良好的侦测能力。强调在XXX网络防毒系统内，实施统一的防病毒策略、集中的防毒管理和维护，最大限度地减轻使用人员和维护人员的工作量。8)完全自动化的日常维护，便于进行病毒码及扫描引擎的更新。9)提供良好的售后服务及技术支持。10)具有良好的可扩充性，充分保护用户的现有投资，适应XXX网络系统的今后发展需要（二）产品应用根据xx网络系统的结构和应用特点，病毒防御可采取多种措施：1)网关防毒；2)服务器防毒；3)客户端防毒；4)邮件防毒；应用拓扑如下图：
15
网
络安全解决方
案
在网络骨干接入处，安装防毒墙(即安装有网关杀毒软件的独立网关设备)，由防毒墙实现网络接入处的病毒防护。由于是安装在网络接入处，因此，对主要网络协议进行杀毒处理(SMTP、FTP、HTTP)。在服务器上安装单独的服务器杀毒产品，对服务器进行病毒保护。由于内部存在几十个网络客户端，如采用普通杀毒软件会造成升级麻烦、使用不便等问题。可在服务器上安装客户端防病毒产品(客户端杀毒软件的工作模式是服务器端、客户端的方式)的服务器端，由客户端通过网络与服务器端连接后进行网络化安装。对产品升级，可通过在服务器端进行设置，自动通过INETRNET进行升级，再由客户端到服务器端进行升级，大大简化升级过程，并且整个升级是自动完成，不需要人工操作。对邮件系统，可采取安装专用邮件杀毒产品，通过在邮件服务器上安装邮件杀毒程序，实现对内部邮件的杀毒，保证邮件在收、发时都是经过检查的，确保邮件无毒。通过这种方法，可以达到层层设防的作用，最终实现病毒防护。2.3.4数据安全处理系统随着信息的访问方式多样化,信息的处理速度和信息的交换量都成倍数的增长。使整个信息系统对数据的依赖程度越来越高。采取以数据为核心，为数据访问和数据处理采用整体防护解决方案也是系统必然的选择。
16
网
络安全解决方
案
1）数据存储——基于RAID的存储技术防止系统硬件故障。2）双机容错——提供系统应用级的故障处理，适用于高可靠性需求。3）数据备份——基于时间对文件和数据库级别的系统故障提供解决方案。xx内部存在大量的数据，而这里面又有许多重要的、机密的商业信息。而整个数据的安全保护就显得特别重要，对数据进行定期备份是必不可少的安全措施。在采取数据备份时应该注意以下几点：存储介质安全：在选择存储介质上应选择保存时间长，对环境要求低的存储产品，并采取多种存储介质备份。如同时采用硬盘、光盘备份的方式。数据安全：即数据在备份前是真实数据，没有经过篡改或含有病毒。备份过程安全：确保数据在备份时是没有受到外界任何干扰，包括因异常断电而使数据备份中断的或其它情况。备份数据的保管：对存有备份数据的存储介质，应保存在安全的地方，防火、防盗及各种灾害，并注意保存环境(温度、湿度等)的正常。同时对特别重要的备份数据，还应当采取异地备份保管的方式，来确保数据安全。4）灾难恢复——对整个主机系统提供保障和系统的快速故障修复能力。2.3.5安全审计作为一个良好的安全系统，安全审计必不可少。由于xx是一个比较庞大的网络系统，因而对整个网络(或重要网络部分)运行进行记录、分析是非常重要的，它可以让用户通过对记录的日志数据进行分析、比较，找出发生的网络安全问题的原因，并可作为以后的法律证据或者为以后的网络安全调整提供依据。2.3.6认证、鉴别、数字签名、抗抵赖由于xx网络系统庞大，上面存在很多分级的重要信息;同时，由于现在国家正在大力推进电子政务的发展，网上办公已经越来越多的被应用到各级政府部门当中，因此，需要对网上用户的身份、操作权限等进行控制和授权。对不同等级、类型的信息只允许相应级别的人进行审阅；对网上公文的处理采取数字签名、抗抵赖等相应的安全措施。
17
网
络安全解决方
案
第二章安全设备选型
3.1安全设备选型原则
对xx网络系统的安全设备选型时，必须在满足国家对信息安全产品的政策性要求前提下，综合考察设备的功能和性能，必须符合xx网络系统的网络安全需求。3.1.1安全性要求政策性原则信息安全设备(硬件/软件)均应经过信息安全产品的主管部门的测评认证、鉴定和许可。技术性原则(1)安全设备必须具有自我系统保护能力。安全设备的软件平台应为专用定制的基于最小内核的操作系统，不应采用一般商业Dos,Windows或Unix操作系统。安全设备应提供避免或禁止内外网络用户进入系统的手段，即使对安全管理员而言，也应遵循对系统操作的最小授权原则。对安全设备的配置必须具备多重安全措施且拥有最高安全授权，同时具备进行严格的操作审计功能，在出现安全故障时应具有安全应急措施。安全设备遇故障工作失效，系统应自动转为缺省禁止状态。(2)安全设备必须至少具有履行所需安全服务的最小能力。安全设备所采用的技术，不单纯追求先进、完善，而必须保证实用和成熟性，相关技术标准应采用、引用和接近国家标准。安全设备的接入不影响原网络拓扑结构，安全设备的运行不明显影响原网络系统的运行效率，更不能导致产生通信瓶颈。安全设备的机械、电气及电磁辐射性能必须符合国家标准，且能满足全天候运行的可靠性要求。
18
网
络安全解决方
案
3.1.2可用性要求(1)安全设备的技术性能和功能，必须满足行业系统管理体制的要求，即能基于网络实现安全管理，具有接受网络信息安全管理机构管理的能力。(2)安全设备所采用的技术，不单纯追求先进、完善，而必须保证实用和成熟性，相关技术标准应采用、引用和接近国家标准。(3)安全设备的接入不影响原网络拓扑结构，安全设备的运行不明显影响原网络系统的运行效率，更不能导致产生通信瓶颈。(4)安全设备的使用必须简便、实用。3.1.3可靠性要求(1)安全设备的机械、电气及电磁辐射性能必须符合国家标准(2)能满足7*24小时无人值守工作模式
3.2安全设备的可扩展性
根据xx网络系统安全的原始结构和应用系统的发展需要，对安全产品的功能、规模进行扩充，不能影响xx网络系统的结构。
3.3安全设备的升级
在本方案中涉及的安全产品，必须是能够升级的安全产品。由于网络技术飞速发展，网络应用越来越广泛，网络安全的新的软件、硬件、协议等漏洞不断涌现，因此，对安全产品进行升级是必不可少的。如VPN系统的软件升级、杀毒软件的定期升级病毒特征代码库、入侵检测系统升级攻击行为特征库等。
3.4设备列表
针对xx网络安全改造需要，本方案中主要的安全产品见下表：
产品名称SVPN系统主要作用传输加密保护、网络隔离。
19
网
防病毒系统入侵检测仪漏洞分析仪网络隔离卡
络安全解决方
病毒防护。
案
网络入侵行为检测，并对攻击行为作出阻隔、记录、报警。定期对网络系统的软、硬件漏洞进行分析，便于调整网络安全设置。用于在两套网络间进行切换，保证物理安全。
对没有列出的安全产品，根据用户实际情况进行调整。
20
网
络安全解决方
案
第四章方案的验证及调试
采用集中管理、统一监控的整体防护改造方案，极大的提高内部网络对网络攻击的防范能力和数据故障的处理能力，降低了网络管理的复杂性，提高了整个网络的可用性和稳定性。具体表现在以下方面：1)漏洞扫描和防病毒系统增强了各个网络节点自身系统的稳定性和抗攻击能力。2)防火墙作为网络系统的屏障极大地降低了内部系统遭受网络攻击的可能性。3)入侵检测与防火墙采用联动联防提高了系统自动对网络攻击的识别和防御能力。4)网络隔离系统将内部核心业务系统与外部网络物理隔离，降低了网络风险。5)网络存储方案将系统应用与数据读写分离，提高了系统的处理速度，节省了网络带宽。6)数据备份和灾难恢复降低了由于数据丢失造成的网络风险，提高了系统管理员排除故障的速度和效果。7)系统主干的所有防护设备都采用了冗余设计，防止了单点失效产生的故障隐患。8)采用网络管理工具使系统管理员对整个网络的运行状况一目了然，使网络管理更加简单、方便。整个安全防护系统的效果评估作为一个整体的安全防护系统，方案设计中对于攻击行为的每一个步骤都有相应的措施进行防御，并且系统管理员可以通过网络管理软件掌握内部所有的安全隐患和攻击企图，根据具体情况采取灵活的处理措施，从而达到最大的防护效果。
21
网
络安全解决方
案
总结
通过这次项目实训，我才了解到做一个解决企业网络安全问题方案的复杂。在我经历了网上查资料，书本找资料的过程中，我也只是完成了这么一些。对于一个企业网络来说，我想，理论终究是理论，还需要时间验证，而且在企业网络中面临着各种各样的问题，或者是在这个方案中没有提到的，那么在整体方案设计的方面我需要学习的东西还有很多。
22
篇三：企业网络安全设计方案
公司网络安全方案设计
网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断.下面是有关公司网络安全的方案设计,供大家参考！
公司网络安全方案设计【1】网络信息系统的安全技术体系通常是在安全策略指导下合理配置和部署：网络隔离与访问控制、入侵检测与响应、漏洞扫描、防病毒、数据加密、身份认证、安全监控与审计等技术设备,并且在各个设备或系统之间，能够实现系统功能互补和协调动作。
1．网络隔离与访问控制。通过对特定网段、服务进行物理和逻辑隔离，并建立访问控制机制，将绝大多数攻击阻止在网络和服务的边界以外。
2．漏洞发现与堵塞.通过对网络和运行系统安全漏洞的周期检查，发现可能被攻击所利用的漏洞，并利用补丁或从管理上堵塞漏洞。
3．入侵检测与响应.通过对特定网络、服务建立的入侵检测与响应体系，实时检测出攻击倾向和行为，并采取相应的行动。
4．加密保护。主动的加密通信，可使攻击者不能了解、修改敏感信息或数据加密通信方式；对保密或敏感数据进行加密存储,可防止窃取或丢失。
5．备份和恢复。良好的备份和恢复机制，可在攻击造成损失时，尽快地恢复数据和系统服务。
6．监控与审计。在办公网络和主要业务网络内配置集中管理、分布式控制的监控与审计系统.一方面以计算机终端为单元强化桌面计算的内外安全控制与日志记录；另一方面通过集中管理方式对内部所有计算机终端的安全态势予以掌控。
在利用公共网络与外部进行连接的“内"外网络边界处使用防火墙，为“内部"网络与“外部"网络划定安全边界.在网络内部进行各种连接的地方使用带防火墙功能的VPN设备，在进行“内"外网络的隔离的同时建立网络之间的安全通道。
1．防火墙应具备如下功能：使用NAT把DMZ区的服务器和内部端口影射到Firewall的对外端口；允许Internet公网用户访问到DMZ区的应用服务:http、ftp、smtp、dns等；允许DMZ区内的工作站与应用服务器访问Internet公网；允许内部用户访问DMZ的应用服务：http、ftp、smtp、dns、pop3、https；允许内部网用户通过代理访问Internet公网；
禁止Internet公网用户进入内部网络和非法访问DMZ区应用服务器；
禁止DMZ区的公开服务器访问内部网络;防止来自Internet的DOS一类的攻击；能接受入侵检测的联动要求，可实现对实时入侵的策略响应；对所保护的主机的常用应用通信协议能够替换服务器的Banner信息，防止恶意用户信息刺探;提供日志报表的自动生成功能，便于事件的分析；提供实时的网络状态监控功能，能够实时的查看网络通信行为的连接状态，通信数据流量。提供连接查询和动态图表显示.防火墙自身必须是有防黑客攻击的保护能力.2．带防火墙功能的VPN设备是在防火墙基本功能基础上，通过功能扩展，同时具有在IP层构建端到端的具有加密选项功能的ESP隧道能力,这类设备也有SVPN的，主要用于通过外部网络将两个或两个以上“内部"局域网安全地连接起来,一般要求SVPN应具有一下功能：防火墙基本功能,主要包括：IP包过虑、应用代理、提供DMZ端口和NAT功能等；具有对连接两端的实体鉴别认证能力；支持移动用户远程的安全接入；
支持IPESP隧道内传输数据的完整性和机密性保护；提供系统内密钥管理功能；SVPN设备自身具有防黑客攻击以及网上设备认证的能力。在网络边界配置入侵检测设备，不仅是对防火墙功能的必要补充，而且可与防火墙一起构建网络边界的防御体系。通过入侵检测设备对网络行为和流量的特征分析，可以检测出侵害“内部”网络或对外泄漏的网络行为和流量，与防火墙形成某种协调关系的互动，从而在“内部"网与外部网的边界处形成保护体系。入侵检测系统的基本功能如下：通过检测引擎对各种应用协议，操作系统,网络交换的数据进行分析，检测出网络入侵事件和可疑操作行为。对自身的数据库进行自动维护，无需人工干预，并且不对网络的正常运行造成任何干扰。采取多种报警方式实时报警、音响报警，信息记录到数据库，提供电子邮件报警、SysLog报警、SNMPTrap报警、Windows日志报警、Windows消息报警信息,并按照预设策略,根据提供的报警信息切断攻击连接。与防火墙建立协调联动，运行自定义的多种响应方式，及时阻隔或消除异常行为。全面查看网络中发生的所有应用和连接，完整的显示当
前网络连接状态.可对网络中的攻击事件，访问记录进行适时查询,并可
根据查询结果输出图文报表，能让管理人员方便的提取信息。
入侵检测系统犹如摄像头、监视器,在可疑行为发生前有预警,在攻击行为发生时有报警，在攻击事件发生后能记录，做到事前、事中、事后有据可查。
除利用入侵检测设备检测对网络的入侵和异常流量外，还需要针对主机系统的漏洞采取检查和发现措施.目前常用的方法是配置漏洞扫描设备.主机漏洞扫描可以主动发现主机系统中存在的系统缺陷和可能的安全漏洞，并提醒系统管理员对该缺陷和漏洞进行修补或堵塞。
对于漏洞扫描的结果，一般可以按扫描提示信息和建议,属外购标准产品问题的，应及时升级换代或安装补丁程序；属委托开发的产品问题的,应与开发商协议修改程序或安装补丁程序；属于系统配置出现的问题，应建议系统管理员修改配置参数，或视情况关闭或卸载引发安全漏洞的程序模块或功能模块。
漏洞扫描功能是协助安全管理、掌握网络安全态势的必要辅助，对使用这一工具的安全管理员或系统管理员有较高的技术素质要求。
考虑到漏洞扫描能检测出防火墙策略配置中的问题,能
与入侵检测形成很好的互补关系:漏洞扫描与评估系统使系统管理员在事前掌握主动地位,在攻击事件发生前找出并关闭安全漏洞；而入侵检测系统则对系统进行监测以期在系统被破坏之前阻止攻击得逞。因此，漏洞扫描与入侵检测在安全保护方面不但有共同的安全目标,而且关系密切。本方案建议采购将入侵检测、管理控制中心与漏洞扫描一体化集成的产品,不但可以简化管理，而且便于漏洞扫描、入侵检测和防火墙之间的协调动作。
网络防病毒产品较为成熟，且有几种主流产品。本方案建议，网络防病毒系统应具备下列功能:
网络&单机防护-提供个人或家庭用户病毒防护；文件及存储服务器防护-提供服务器病毒防护;
邮件服务器防护—提供LotusNotes，MicrosoftExchange等病毒防护；
网关防护—在SMTP，HTTP,和FTPservergateway阻挡计算机病毒;
集中管理—为企业网络的防毒策略,提供了强大的集中控管能力。
关于安全设备之间的功能互补与协调运行各种网络安全设备,都有自己独特的安全探测与安全保护能力，但又有基于自身主要功能的扩展能力和与其它安全功能的对接能力或延续能力。因此，在安全设备选型和配置
时，尽可能考虑到相关安全设备的功能互补与协调运行,对于提高网络平台的整体安全性具有重要意义.
防火墙是目前广泛用于隔离网络边界并实施进/出信息流控制的大众型网络安全产品之一。作为不同网络之间的逻辑隔离设备,防火墙将内部可信区域与外部危险区域有效隔离,将网络的安全策略制定和信息流动集中管理控制，为网络边界提供保护，是抵御入侵控制内外非法连接的。
但防火墙具有局限性。这种局限性并不说明防火墙功能有失缺,而且由于本身只应该承担这样的职能。因为防火墙是配置在网络连接边界的通道处的，这就决定了它的基本职能只应提供静态防御，其规则都必须事先设置，对于实时的攻击或异常的行为不能做出实时反应.这些控制规则只能是粗颗粒的，对一些协议细节无法做到完全解析。而且，防火墙无法自动调整策略设置以阻断正在进行的攻击,也无法防范基于协议的攻击。
为了弥补防火墙在实际应用中存在的局限，防火墙厂商主动提出了协调互动思想即联动问题。防火墙联动即将其它安全设备探测或处理的结果通过接口引入系统内调整防火墙的安全策略，增强防火墙的访问控制能力和范围，提高整体安全水平。
1．与入侵检测实现联动目前，实现入侵检测和防火墙之间的联动有两种方式。
一种是实现紧密结合，即把入侵检测系统嵌入到防火墙中，即入侵检测系统的数据来源不再来源于抓包，而是流经防火墙的数据流。但由于入侵检测系统本身也是一个很庞大的系统，从目前的软硬件处理能力来看,这种联动难于达到预期效果.第二种方式是通过开放接口来实现联动，即防火墙或者入侵检测系统开放一个接口供对方调用，按照一定的协议进行通信、警报和传输,这种方式比较灵活，不影响防火墙和入侵检测系统的性能。
防火墙与入侵检测系统联动，可以对网络进行动静结合的保护,对网络行为进行细颗粒的检查，并对网络内外两个部分都进行可靠管理。
2．与防病毒实现联动防火墙处于内外网络信息流的必经之地,在网关一级对病毒进行查杀是网络防病毒的理想措施。目前已有一些厂商的防火墙可以与病毒防治软件进行联动，通过提供API定义异步接口，将数据包转发到装载了网关病毒防护软件的服务器上进行检查，但这种联动由于性能影响，目前并不适宜部署在网络边界处。3．与日志处理间实现联动防火墙与日志处理之间的联动，目前国内厂商做的不多。比较有代表性的是CheckPoint的防火墙，它提供两个API：LEA和ELA，允许第三方访问日志数据。报表和事件分
析采用LEAAPI,而安全与事件整合采用ELAAPI.防火墙产品利用这个接口与其他日志服务器合作,将大量的日志处理工作由专门的服务设备完成，提高了专业化程度。
上面的安全措施配置解决了网络边界的隔离与保护，网络与主机的健康运行,以及用户访问网络资源的身份认证和授权问题。
然而，县卫生局网络内部各办公网络、业务网络的运行秩序的维护，网络操作行为的监督，各种违规、违法行为的取证和责任认定，以及对操作系统漏洞引发的安全事件的监视和控制等问题，则是必须予以解决的问题。因此有必要在各种内部办公网络、业务网内部部署集中管理、分布式控制的监控与审计系统。这种系统通过在局域网内的管理中心安装管理器，在各台主机中安装的代理软件形成一个监控与审计系统,通过对代理软件的策略配置,使得每台工作主机按照办公或业务操作规范进行操作,并对可能经过主机外围接口引入的非法入侵，或非法外连和外泄的行为予以阻断和记录;同时管理器通过网络还能及时收集各主机上的安全状态信息并下达控制命令,形成“事前预警、事中控制和事后审计”的监控链。
监控与审计系统应具有下列功能:管理器自动识别局域网内所有被监控对象之间的网络拓扑关系,并采用图形化显示，包括被监控主机的状态等；
支持对包含有多个子网的局域网进行全面监控;系统对被监控对象的USB移动存储设备、光驱、软驱等外设的使用以及利用这些设备进行文件操作等非授权行为进行实时监视、控制和审计；系统对被监控对象的串/并口等接口的活动状态进行实时监视、控制和审计；系统对进出被监控对象的网络通信(www，ftp,pop,smtp)数据包进行实时拦截、分析、处理和审计，对telnet通信数据包进行拦截；系统可根据策略规定，禁止被监控对象进行拨号(普通modem拨号、ADSL拨号、社区宽带拨号）连接，同时提供审计；系统对被监控对象运行的所有进程进行实时监视和审计;系统支持群组管理，管理员可以根据被监控对象的属性特征，将其划分成不同的安全组，对每个组制定不同的安全策略，所有组的成员都根据该策略执行监控功能;支持多角色管理，系统将管理员和审计员的角色分离，各司其职；强审计能力，系统具有管理员操作审计、被监控对象发送的事件审计等功能；系统自身有极强的安全性，能抗欺骗、篡改、伪造、嗅
探、重放等攻击。公司网络安全方案设计【2】集团内联网主要以总
部局域网为核心，采用广域网方式与外地子公司联网。集团广域网采用MPLS—VPN技术,用来为各个分公司提供骨干网络平台和VPN接入，各个分公司可以在集团的骨干信息网络系统上建设各自的子系统，确保各类系统间的相互独立。
某公司属于大型上市公司，在北京,上海、广州等地均有分公司。公司内部采用无纸化办公，OA系统成熟。每个局域网连接着该所有部门，所有的数据都从局域网中传递.同时，各分公司采用VPN技术连接公司总部。该单位为了方便，将相当一部分业务放在了对外开放的网站上，网站也成为了既是对外形象窗口又是内部办公窗口。
由于网络设计部署上的缺陷，该单位局域网在建成后就不断出现网络拥堵、网速特别慢的情况，同时有些个别机器上的杀毒软件频频出现病毒报警，网络经常瘫痪,每次时间都持续几十分钟,网管简直成了救火队员，忙着清除病毒,重装系统。对外WEB网站同样也遭到黑客攻击，网页遭到非法篡改，有些网页甚至成了传播不良信息的平台，不仅影响到网站的正常运行，而且还对政府形象也造成不良影响。从网络安全威胁看，集团网络的威胁主要包括外部的攻击和入侵、内部的攻击或误用、企业内的病毒传播，以及安全管理漏洞等信息安全现状：经过分析发现该公司信息安全基本上
是空白,主要有以下问题：公司没有制定信息安全政策,信息管理不健全。公司在
建内网时与internet的连接没有防火墙。内部网络之间没有任何安全保障为了让网络正常运行。
根据我国《信息安全等级保护管理办法》的信息安全要求，近期公司决定对该网络加强安全防护，解决目前网络出现的安全问题.
从安全性和实用性角度考虑，安全需求主要包括以下几个方面:
1、安全管理咨询安全建设应该遵照7分管理3分技术的原则，通过本次安全项目，可以发现集团现有安全问题,并且协助建立起完善的安全管理和安全组织体系。2、集团骨干网络边界安全主要考虑骨干网络中Internet出口处的安全，以及移动用户、远程拨号访问用户的安全.3、集团骨干网络服务器安全主要考虑骨干网络中网关服务器和集团内部的服务器，包括OA、财务、人事、内部WEB等内部信息系统服务器区和安全管理服务器区的安全.4、集团内联网统一的病毒防护主要考虑集团内联网中，包括总公司在内的所有公司的
病毒防护。5、统一的增强口令认证系统由于系统管理员需要管理大量的主机和网络设备，如何
确保口令安全称为一个重要的问题。6、统一的安全管理平台通过在集团内联网部署统一的安全管理平台，实现集团
总部对全网安全状况的集中监测、安全策略的统一配置管理、统计分析各类安全事件、以及处理各种安全突发事件.
7、专业安全服务过专业安全服务建立全面的安全策略、管理组织体系及相关管理制度，全面评估企业网络中的信息资产及其面临的安全风险情况，在必要的情况下,进行主机加固和网络加固.通过专业紧急响应服务保证企业在面临紧急事件情况下的处理能力,降低安全风险。骨干网边界安全集团骨干网共有一个Internet出口，位置在总部，在Internet出口处部署LinkTrustCyberwall-200F/006防火墙一台。在Internet出口处部署一台LinkTrustNetworkDefender领信网络入侵检测系统，通过交换机端口镜像的方式，将进出Internet的流量镜像到入侵检测的监听端口,LinkTrust
NetworkDefender可以实时监控网络中的异常流量，防止恶意入侵。
在各个分公司中添加一个DMZ区，保证各公司的信息安全，内部网络之间没有任何安全保障骨干网服务器安全
集团骨干网服务器主要指网络中的网关服务器和集团内部的应用服务器包括OA、财务、人事、内部WEB等，以及专为此次项目配置的、用于安全产品管理的服务器的安全。主要考虑为在服务器区配置千兆防火墙，实现服务器区与办公区的隔离，并将内部信息系统服务器区和安全管理服务器区在防火墙上实现逻辑隔离。还考虑到在服务器区配置主机入侵检测系统，在网络中配置百兆网络入侵检测系统，实现主机及网络层面的主动防护。
漏洞扫描了解自身安全状况，目前面临的安全威胁，存在的安全隐患，以及定期的了解存在那些安全漏洞，新出现的安全问题等，都要求信息系统自身和用户作好安全评估。安全评估主要分成网络安全评估、主机安全评估和数据库安全评估三个层面.内联网病毒防护病毒防范是网络安全的一个基本的、重要部分。通过对病毒传播、感染的各种方式和途径进行分析,结合集团网络的特点，在网络安全的病毒防护方面应该采用“多级防范，
集中管理，以防为主、防治结合”的动态防毒策略.病毒防护体系主要由桌面网络防毒、服务器防毒和邮件
防毒三个方面。增强的身份认证系统由于需要管理大量的主机和网络设备,如何确保口令安
全也是一个非常重要的问题。减小口令危险的最为有效的办法是采用双因素认证方式.双因素认证机制不仅仅需要用户提供一个类似于口令或者PIN的单一识别要素，而且需要第二个要素，也即用户拥有的，通常是认证令牌，这种双因素认证方式提供了比可重用的口令可靠得多的用户认证级别。用户除了知道他的PIN号码外，还必须拥有一个认证令牌。而且口令一般是一次性的，这样每次的口令是动态变化的，大大提高了安全性.
统一安全平台的建立通过建立统一的安全管理平台，建立起集团的安全风险监控体系，利于从全局的角度发现网络中存在的安全问题，并及时归并相关人员处理。这里的风险监控体系包括安全信息库、安全事件收集管理系统、安全工单系统等，同时开发有效的多种手段实时告警系统，定制高效的安全报表系统。故障管理是网络管理中最基本的功能之一.用户都希望有一个可靠的计算机网络。当网络中某个组成失效时,网络管理器必须迅速查找到故障并及时排除。通常不大可能迅速
隔离某个故障,因为网络故障的产生原因往往相当复杂，特别是当故障是由多个网络组成共同引起的。在此情况下，一般先将网络修复,然后再分析网络故障的原因。分析故障原因对于防止类似故障的再发生相当重要。网络故障管理包括故障检测、隔离和纠正三方面，应包括以下典型功能:
(1）故障监测：主动探测或被动接收网络上的各种事件信息，并识别出其中与网络和系统故障相关的内容,对其中的关键部分保持跟踪,生成网络故障事件记录。
(2)故障报警：接收故障监测模块传来的报警信息,根据报警策略驱动不同的报警程序，以报警窗口／振铃(通知一线网络管理人员）或电子邮件(通知决策管理人员）发出网络严重故障警报。
（3）故障信息管理：依靠对事件记录的分析，定义网络故障并生成故障卡片，记录排除故障的步骤和与故障相关的值班员日志，构造排错行动记录，将事件-故障—日志构成逻辑上相互关联的整体，以反映故障产生、变化、消除的整个过程的各个方面.
（4）排错支持工具:向管理人员提供一系列的实时检测工具,对被管设备的状况进行测试并记录下测试结果以供技术人员分析和排错；根据已有的徘错经验和管理员对故障状态的描述给出对徘错行动的提示。
（5）检索／分析故障信息:浏阅并且以关键字检索查询
故障管理系统中所有的数据库记录,定期收集故障记录数据,在此基础上给出被管网络系统、被管线路设备的可靠性参数。对网络故障的检测依据对网络组成部件状态的监测。不严重的简单故障通常被记录在错误日志中，并不作特别处理;而严重一些的故障则需要通知网络管理器，即所谓的"警报".一般网络管理器应根据有关信息对警报进行处理，排除故障。当故障比较复杂时，网络管理器应能执行一些诊断测试来辨别故障原因.
计费管理记录网络资源的使用，目的是控制和监测网络操作的费用和代价。它对一些公共商业网络尤为重要。它可以估算出用户使用网络资源可能需要的费用和代价,以及已经使用的资源.网络管理员还可规定用户可使用的最大费用，从而控制用户过多占用和使用网络资源.这也从另一方面提高了网络的效率.另外，当用户为了一个通信目的需要使用多个网络中的资源时,计费管理应可计算总计费用。
（1）计费数据采集:计费数据采集是整个计费系统的基础，但计费数据采集往往受到采集设备硬件与软件的制约，而且也与进行计费的网络资源有关。
(2）数据管理与数据维护：计费管理人工交互性很强，虽然有很多数据维护系统自动完成,但仍然需要人为管理，包括交纳费用的输入、联网单位信息维护，以及账单样式决定等。
(3)计费政策制定；由于计费政策经常灵活变化，因此实现用户自由制定输入计费政策尤其重要。这样需要一个制定计费政策的友好人机界面和完善的实现计费政策的数据模型。
（4)政策比较与决策支持：计费管理应该提供多套计费政策的数据比较，为政策制订提供决策依据.
（5）数据分析与费用计算：利用采集的网络资源使用数据，联网用户的详细信息以及计费政策计算网络用户资源的使用情况，并计算出应交纳的费用。
(6）数据查询：提供给每个网络用户关于自身使用网络资源情况的详细信息，网络用户根据这些信息可以计算、核对自己的收费情况。
配置管理同样相当重要。它初始化网络、并配置网络，以使其提供网络服务。配置管理是一组对辨别、定义、控制和监视组成一个通信网络的对象所必要的相关功能，目的是为了实现某个特定功能或使网络性能达到最优。
(1)配置信息的自动获取:在一个大型网络中,需要管理的设备是比较多的，如果每个设备的配置信息都完全依靠管理人员的手工输入，工作量是相当大的,而且还存在出错的可能性。对于不熟悉网络结构的人员来说,这项工作甚至无法完成‘因此，一个先进的网络管理系统应该具有配置信息自动获取功能。即使在管理人员不是很熟悉网络结构和配置
状况的情况下，也能通过有关的技术手段来完成对网络的配置和管理。在网络设备的配置信息中，根据获取手段大致可以分为三类：一类是网络管理协议标准的MIB中定义的配置信息(包括SNMP；和CMIP协议)；二类是不在网络管理协议标准中有定义，但是对设备运行比较重要的配置信息;三类就是用于管理的一些辅助信息。
（2)自动配置、自动备份及相关技术：配置信息自动获取功能相当于从网络设备中“读”信息，相应的，在网络管理应用中还有大量“写"信息的需求。同样根据设置手段对网络配置信息进行分类：一类是可以通过网络管理协议标准中定义的方法（如SNMP中的set服务）进行设置的配置信息；二类是可以通过自动登录到设备进行配置的信息；三类就是需要修改的管理性配置信息。
（3)配置一致性检查：在一个大型网络中，由于网络设备众多，而且由于管理的原因,这些设备很可能不是由同一个管理人员进行配置的。实际上‘即使是同一个管理员对设备进行的配置，也会由于各种原因导致配置一致性问题.因此，对整个网络的配置情况进行一致性检查是必需的。在网络的配置中，对网络正常运行影响最大的主要是路由器端口配置和路由信息配置,因此,要进行、致性检查的也主要是这两类信息。
(4)用户操作记录功能:配置系统的安全性是整个网络
管理系统安全的核心，因此,必须对用户进行的每一配置操作进行记录。在配置管理中,需要对用户操作进行记录，并保存下来。管理人员可以随时查看特定用户在特定时间内进行的特定配置操作。
性能管理估价系统资源的运行状况及通信效率等系统性能。其能力包括监视和分析被管网络及其所提供服务的性能机制。性能分析的结果可能会触发某个诊断测试过程或重新配置网络以维持网络的性能。性能管理收集分析有关被管网络当前状况的数据信息，并维持和分析性能日志.一些典型的功能包括：
(1)性能监控：由用户定义被管对象及其属性。被管对象类型包括线路和路由器;被管对象属性包括流量、延迟、丢包率、CPU利用率、温度、内存余量。对于每个被管对象，定时采集性能数据，自动生成性能报告.
(2）阈值控制:可对每一个被管对象的每一条属性设置阈值，对于特定被管对象的特定属性，可以针对不同的时间段和性能指标进行阈值设置。可通过设置阈值检查开关控制阂值检查和告警，提供相应的阈值管理和溢出告警机制。
（3)性能分桥：对历史数据进行分析，统计和整理,计算性能指标，对性能状况作出判断，为网络规划提供参考。
（4）可视化的性能报告：对数据进行扫描和处理,生成性能趋势曲线，以直观的图形反映性能分析的结果。
(5)实时性能监控:提供了一系列实时数据采集；分析和可视化工具，用以对流量、负载、丢包、温度、内存、延迟等网络设备和线路的性能指标进行实时检测，可任意设置数据采集间隔。
（6)网络对象性能查询：可通过列表或按关键字检索被管网络对象及其属性的性能记录.
安全性一直是网络的薄弱环节之一,而用户对网络安全的要求又相当高，因此网络安全管理非常重要.网络中主要有以下几大安全问题：
网络数据的私有性（保护网络数据不被侵入者非法获取)，
授权(authentication)（防止侵入者在网络上发送错误信息）,
访问控制（控制访问控制（控制对网络资源的访问）.相应的,网络安全管理应包括对授权机制、访问控制、加密和加密关键字的管理,另外还要维护和检查安全日志。包括:网络管理过程中，存储和传输的管理和控制信息对网络的运行和管理至关重要，一旦泄密、被篡改和伪造,将给网络造成灾难性的破坏。网络管理本身的安全由以下机制来保证：（1）管理员身份认证，采用基于公开密钥的证书认证
机制；为提高系统效率,对于信任域内（如局域网)的用户,可以使用简单口令认证。
(2)管理信息存储和传输的加密与完整性，Web浏览器和网络管理服务器之间采用安全套接字层(SSL)传输协议,对管理信息加密传输并保证其完整性;内部存储的机密信息，如登录口令等，也是经过加密的。
（3）网络管理用户分组管理与访问控制，网络管理系统的用户(即管理员）按任务的不同分成若干用户组，不同的用户组中有不同的权限范围,对用户的操作由访问控制检查,保证用户不能越权使用网络管理系统。
（4）系统日志分析，记录用户所有的操作,使系统的操作和对网络对象的修改有据可查，同时也有助于故障的跟踪与恢复.
（1）网络资源的访问控制，通过管理路由器的访问控制链表，完成防火墙的管理功能,即从网络层(1P)和传输层（TCP)控制对网络资源的访问，保护网络内部的设备和应用服务，防止外来的攻击.
(2)告警事件分析，接收网络对象所发出的告警事件,分析员安全相关的信息(如路由器登录信息、SNMP认证失败信息)，实时地向管理员告警，并提供历史安全事件的检索与分析机制，及时地发现正在进行的攻击或可疑的攻击迹象。
(3）主机系统的安全漏洞检测,实时的监测主机系统的
重要服务(如WWW，DNS等）的状态，提供安全监测工具，以搜索系统可能存在的安全漏洞或安全隐患,并给出弥补的措施。
篇四：企业网络安全设计方案
驱动部分免疫标记网络协议的融合行为特征和网络行为的融合全网设备的联动驱动与驱动的联动ip地址冲突运营中心和网关的联动外网攻击上下线可信接入mac地址的可信类似于dna生物身份传输的可信免疫标记深度防御和控制深入到每个终端的网卡深入到协议的最低层深入到二级路由多级路由器下精细带宽管理身份精细ipmac的精确位置精确终端驱动路径细分特殊的ip应用流控qqmsn业务感知协议区分和应用感知它与防火墙fw入侵检测系统ids防病毒等老三样组成的安全网络相比突破了被动防御边界防护的局限着重从内网的角度解决攻击问题应对目前网络攻击复杂性多样性更多从内网发起的趋势更有效地解决网络威同时安全和管理密不可分
目录1、网络安全问题………………………………………………32、设计的安全性………………………………………………3可用性…………………………………………………………..3机密性…………………………………………………………..3完整性…………………………………………………………..3可控性…………………………………………………………..3可审查性………………………………………………………..3访问控制………………………………………………………..3数据加密………………………………………………………..3安全审计………………………………………………………..33、安全设计方案………………………………………………5设备选型………………………………………………………..5网络安全………………………………………………………..7访问控制………………………………………………………...9入侵检测………………………………………………………..104、总结…………………………………………………………11
1、网络安全问题随着互联网的飞速发展，网络安全逐渐成为一个潜在的巨大问题。网络安全性是一个涉及面很广泛的问题，其中也会涉及到是否构成犯罪行为的问题。在其最简单的形式中，它主要关心的是确保无关人员不能读取，更不能修改传送给其他接收者的信息。此时，它关心的对象是那些无权使用，但却试图获得远程服务的人。安全性也处理合法消息被截获和重播的问题，以及发送者是否曾发送过该条消息的问题。矚慫润厲钐瘗睞枥庑赖。大多数安全性问题的出现都是由于有恶意的人试图获得某种好处或损害某些人而故意引起的。可以看出保证网络安全不仅仅是使它没有编程错误。它包括要防范那些聪明的，通常也是狡猾的、专业的，并且在时间和金钱上是很充足、富有的人。同时，必须清楚地认识到，能够制止偶然实施破坏行为的敌人的方法对那些惯于作案的老手来说，收效甚微。聞創沟燴鐺險爱氇谴净。网络安全性可以被粗略地分为4个相互交织的部分：保密、鉴别、反拒认以及完整性控制。保密是保护信息不被未授权者访问，这是人们提到的网络安全性时最常想到的内容。鉴别主要指在揭示敏感信息或进行事务处理之前先确认对方
1
的身份。反拒认主要与签名有关。保密和完整性通过使用注册过的邮件和文件锁来残骛楼諍锩瀨濟溆塹籟。2、设计的安全性通过对网络系统的风险分析及需要解决的安全问题，我们需要制定合理的安全策略及安全方案来确保网络系统的机密性、完整性、可用性、可控性与可审查性。即，酽锕极額閉镇桧猪訣锥。可用性：授权实体有权访问数据机密性：信息不暴露给未授权实体或进程完整性：保证数据不被未授权修改可控性：控制授权范围内的信息流向及操作方式可审查性：对出现的安全问题提供依据与手段访问控制：需要由防火墙将内部网络与外部不可信任的网络隔离，对与外部网络交换数据的内部网络及其主机、所交换的数据进行严格的访问控制。同样，对内部网络，由于不同的应用业务以及不同的安全级别，也需要使用防火墙将不同的LAN或网段进行隔离，并实现相互的访问控制。彈贸摄尔霁毙攬砖卤庑。数据加密：数据加密是在数据传输、存储过程中防止非法窃取、篡改信息的有效手段。安全审计：是识别与防止网络攻击行为、追查网络泄密行为的重要措施之一。具体包括两方面的内容，一是采用网络监控与入侵防范系统，识别网络各种违规操作与攻击行为，即时响应（如报警）并进行阻断；二是对信息内容的审计，可以防止内部机密或敏感信息的非法泄漏謀荞抟箧飆鐸怼类蒋薔。针对企业现阶段网络系统的网络结构和业务流程，结合企业今后进行的网络化应用范围的拓展考虑，企业网主要的安全威胁和安全漏洞包括以下几方面：（1）内部窃密和破坏由于企业网络上同时接入了其它部门的网络系统，因此容易出现其它部门不怀好意的人员(或外部非法人员利用其它部门的计算机)通过网络进入内部网络，并进一步窃取和破坏其中的重要信息(如领导的网络帐号和口令、重要文件等)，因此这种风险是必须采取措施进行防范的。（2）搭线(网络)窃听这种威胁是网络最容易发生的。攻击者可以采用如Sniffer等网络协议分析工具，在INTERNET网络安全的薄弱处进入INTERNET，并非常容易地在信息传输过程中获取所有信息(尤其是敏感信息)的内容。对企业网络系统来讲，由于存在跨越INTERNET的内部通信(与上级、下级)这种威胁等级是相当高的，因此也是本方案考虑的重点。（3）假冒这种威胁既可能来自企业网内部用户，也可能来自INTERNET内的其它用户。如系统内部攻击者伪装成系统内部的其他正确用户。攻击者可能通过冒充合法系统用户，诱骗其他用户或系统管理员，从而获得用户名/口令等敏感信息，进一步窃取用户网络内的重要信息。或者内部用户通过假冒的方式获取其不能阅读的秘密信息。
2
（4）完整性破坏这种威胁主要指信息在传输过程中或者存储期间被篡改或修改，使得信息/数据失去了原有的真实性，从而变得不可用或造成广泛的负面影响。由于XXX企业网内有许多重要信息，因此那些不怀好意的用户和非法用户就会通过网络对没有采取安全措施的服务器上的重要文件进行修改或传达一些虚假信息，从而影响工作的正常进行。（5）其它网络的攻击企业网络系统是接入到INTERNET上的，这样就有可能会遭到INTERNET上黑客、恶意用户等的网络攻击，如试图进入网络系统、窃取敏感信息、破坏系统数据、设置恶意代码、使系统服务严重降低或瘫痪等。因此这也是需要采取相应的安全措施进行防范。（6）管理及操作人员缺乏安全知识由于信息和网络技术发展迅猛，信息的应用和安全技术相对滞后，用户在引入和采用安全设备和系统时，缺乏全面和深入的培训和学习，对信息安全的重要性与技术认识不足，很容易使安全设备/系统成为摆设，不能使其发挥正确的作用。如本来对某些通信和操作需要限制，为了方便，设置成全开放状态等等，从而出现网络漏洞。由于网络安全产品的技术含量大，因此，对操作管理人员的培训显得尤为重要。这样，使安全设备能够尽量发挥其作用，避免使用上的漏洞。（7）雷击由于网络系统中涉及很多的网络设备、终端、线路等，而这些都是通过通信电缆进行传输，因此极易受到雷击，造成连锁反应，使整个网络瘫痪，设备损坏，造成严重后果。因此，为避免遭受感应雷击的危害和静电干扰、电磁辐射干扰等引起的瞬间电压浪涌电压的损坏，有必要对整个网络系统采取相应的防雷措施。
厦礴恳蹒骈時盡继價骚。
3、网络安全设计方案
（1）网络拓扑结构图
3
设备选型传统的组网已经不能满足现在网络应用的变化了，在组网的初期必须考虑到安全和网络的问题，考虑到这个问题我们就不能不考虑免疫网络的作用以及前景如何。茕桢广鳓鯡选块网羈泪。免疫网络——免疫网络是企业信息网络的一种安全形式。“免疫”是生物医学的名词，它指的是人体所具有的“生理防御、自身稳定与免疫监视”的特定功能。就像我们耳熟能详的电脑病毒一样，在电脑行业，“病毒”就是对医学名词形象的借用。同样，“免疫”也被借用于说明计算机网络的一种能力和作用。免疫就是让企业的内部网络也像人体一样具备“防御、稳定、监视”的功能。这样的网络就称之为免疫网络。鹅娅尽損鹌惨歷茏鴛賴。免疫网络的主要理念是自主防御和管理，它通过源头抑制、群防群控、全网联动使网络内每一个节点都具有安全功能，在面临攻击时调动各种安全资源进行应对。籟丛妈羥为贍偾蛏练淨。它具有安全和网络功能融合、全网设备联动、可信接入、深度防御和控制、精细带宽管理、业务感知、全网监测评估等主要特征。預頌圣鉉儐歲龈讶骅籴。下面让我们看看这几个特征的距离内容安全和网络功能的融合①网络架构的融合，主要包括网关和终端的融合网关方面：ARP先天免疫原理—NAT表中添加源MAC地址滤窗防火墙—封包检测，IP分片检查
4
UDP洪水终端方面：驱动部分—免疫标记②网络协议的融合—行为特征和网络行为的融合全网设备的联动①驱动与运营中心的联动分收策略②驱动与驱动的联动IP地址冲突③网关和驱动的联动群防群控④运营中心和网关的联动（外网攻击，上下线可信接入①MAC地址的可信（类似于DNA），生物身份②传输的可信（免疫标记）深度防御和控制①深入到每个终端的网卡深入到协议的最低层深入到二级路由，多级路由器下精细带宽管理①身份精细—IP/MAC的精确②位置精确—终端驱动③路径细分（特殊的IP）④流量去向（内，公网）⑤应用流控（QQ,MSN）业务感知协议区分和应用感知它与防火墙（FW）、入侵检测系统（IDS）、防病毒等“老三样”组成的安全网络相比，突破了被动防御、边界防护的局限，着重从内网的角度解决攻击问题，应对目前网络攻击复杂性、多样性、更多从内网发起的趋势，更有效地解决网络威胁。渗釤呛俨匀谔鱉调硯錦。同时，安全和管理密不可分。免疫网络对基于可信身份的带宽管理、业务感知和控制，以及对全网安全问题和工作效能的监测、分析、统计、评估，保证了企业网络的可管可控，大大提高了通信效率和可靠性。铙誅卧泻噦圣骋贶頂廡。
安全架构分析根据企业网络现状及发展趋势，主要安全措施从以下几个方面进行考虑：网络传输保护主要是数据加密保护主要网络安全隔离通用措施是采用防火墙网络病毒防护
5
采用网络防病毒系统广域网接入部分的入侵检测采用入侵检测系统系统漏洞分析采用漏洞分析设备定期安全审计主要包括两部分：内容审计和网络通信审计重要数据的备份重要信息点的防电磁泄露网络安全结构的可伸缩性包括安全设备的可伸缩性，即能根据用户的需要随时进行规模、功能扩展网络防雷擁締凤袜备訊顎轮烂蔷。
（2）网络安全作为企业应用业务系统的承载平台，网络系统的安全显得尤为重要。由于许多重要的信息都通过网络进行交换，网络传输由于企业中心内部网络存在两套网络系统，其中一套为企业内部网络，主要运行的是内部办公、业务系统等;另一套是与INTERNET相连，通过ADSL接入，并与企业系统内部的上、下级机构网络相连。通过公共线路建立跨越INTERNET的企业集团内部局域网，并通过网络进行数据交换、信息共享。而INTERNET本身就缺乏有效的安全保护，如果不采取相应的安全措施，易受到来自网络上任意主机的监听而造成重要信息的泄密或非法篡改，产生严重的后果。由于现在越来越多的政府、金融机构、企业等用户采用VPN技术来构建它们的跨越公共网络的内联网系统，因此在本解决方案中对网络传输安全部分推荐采用VPN设备来构建内联网。可在每级管理域内设置一套VPN设备，由VPN设备实现网络传输的加密保护。根据企业三级网络结构，VPN设置如下图所示：贓熱俣阃
歲匱阊邺镓騷。
6
图为三级VPN设置拓扑图每一级的设置及管理方法相同。即在每一级的中心网络安装一台VPN设备和一台VPN认证服务器(VPN-CA)，在所属的直属单位的网络接入处安装一台VPN设备，由上级的VPN认证服务器通过网络对下一级的VPN设备进行集中统一的网络化管理。可达到以下几个目的：网络传输数据保护由安装在网络上的VPN设备实现各内部网络之间的数据传输加密保护，并可同时采取加密或隧道的方式进行传输网络隔离保护与INTERNET进行隔离，控制内网与INTERNET的相互访问集中统一管理，提高网络安全性降低成本(设备成本和维护成本)其中，在各级中心网络的VPN设备设置如下图：坛摶乡囂忏蒌鍥铃氈淚。
图为中心网络VPN设置图由一台VPN管理机对CA、中心VPN设备、分支机构VPN设备进行统一网络管理。将对外服务器放置于VPN设备的DMZ口与内部网络进行隔离，禁止外网直接访问内网，控制内网的对外访问、记录日志。这样即使服务器被攻破，内部网络仍然安全。
7
下级单位的VPN设备放置如下图所示：蜡變黲癟報伥铉锚鈰赘。
图为下级单位VPN设置图从图可知，下属机构的VPN设备放置于内部网络与路由器之间，其配置、管理由上级机构通过网络实现，下属机构不需要做任何的管理，仅需要检查是否通电即可。由于安全设备属于特殊的网络设备，其维护、管理需要相应的专业人员，而采取这种管理方式以后，就可以降低下属机构的维护成本和对专业技术人员的要求，这对有着庞大下属、分支机构的单位来讲将是一笔不小的费用。由于网络安全的是一个综合的系统工程，是由许多因素决定的，而不是仅仅采用高档的安全产品就能解决，因此对安全设备的管理就显得尤为重要。由于一般的安全产品在管理上是各自管理，因而很容易因为某个设备的设置不当，而使整个网络出现重大的安全隐患。而用户的技术人员往往不可能都是专业的，因此，容易出现上述现象;同时，每个维护人员的水平也有差异，容易出现相互配置上的错误使网络中断。所以，在安全设备的选择上应当选择可以进行网络化集中管理的设备，这样，由少量的专业人员对主要安全设备进行管理、配置，提高整体网络的安全性和稳定性。（3）访问控制由于企业广域网网络部分通过公共网络建立，其在网络上必定会受到来自INTERNET上许多非法用户的攻击和访问，如试图进入网络系统、窃取敏感信息、破坏系统数据、设置恶意代码、使系统服务严重降低或瘫痪等，因此，采取相应的安全措施是必不可少的。通常，对网络的访问控制最成熟的是采用防火墙技术来实现的，本方案中选择带防火墙功能的VPN设备来实现网络安全隔离，可满足以下几个方面的要求：控制外部合法用户对内部网络的网络访问;控制外部合法用户对服务器的访问;禁止外部非法用户对内部网络的访问;控制内部用户对外部网络的网络;阻止外部用户对内部的网络攻击;防止内部主机的IP欺骗;对外隐藏内部IP地址和网络拓扑结构;网络监控;网络日志审计;详细配置拓扑图见图由于采用防火墙、VPN技术融为一体的安全设备，并采取网络化的统一管理，因此具有以下几个方面的优点：管理、维护简单、方便;安全性高(可有效降低在安全设备使用上的配置漏洞);硬件成本和维护成本低;网络运行的稳定性更高
8
由于是采用一体化设备，比之传统解决方案中采用防火墙和加密机两个设备而言，其稳定性更高，故障率更低。（4）入侵检测网络安全不可能完全依靠单一产品来实现，网络安全是个整体的，必须配相应的安全产品。作为必要的补充，入侵检测系统(IDS)可与安全VPN系统形成互补。入侵检测系统是根据已有的、最新的和可预见的攻击手段的信息代码对进出网络的所有操作行为进行实时监控、记录，并按制定的策略实行响应(阻断、报警、发送E-mail)。从而防止针对网络的攻击与犯罪行为。入侵检测系统一般包括控制台和探测器(网络引擎)。控制台用作制定及管理所有探测器(网络引擎)。探测器(网络引擎)用作监听进出网络的访问行为，根据控制台的指令执行相应行为。由于探测器采取的是监听而不是过滤数据包，因此，入侵检测系统的应用不会对网络系统性能造成多大影响。買鲷鴯譖昙膚遙闫撷凄。入侵检测系统的设置如下图：
从上图可知，入侵检测仪在网络接如上与VPN设备并接使用。入侵检测仪在使用上是独立网络使用的，网络数据全部通过VPN设备，而入侵检测设备在网络上进行疹听，监控网络状况，一旦发现攻击行为将通过报警、通知VPN设备中断网络(即IDS与VPN联动功能)等方式进行控制(即安全设备自适应机制)，最后将攻击行为进行日志记录以供以后审查。綾镝鯛駕櫬鹕踪韦辚糴。
9
4、总结随着互联网的飞速发展，网络安全逐渐成为一个潜在的巨大问题。网络安全性是一个涉及面很广泛的问题，其中也会涉及到是否构成犯罪行为的问题。在其最简单的形式中，它主要关心的是确保无关人员不能读取，更不能修改传送给其他接收者的信息。此时，它关心的对象是那些无权使用，但却试图获得远程服务的人。安全性也处理合法消息被截获和重播的问题，以及发送者是否曾发送过该条消息的问题。驅踬髏彦浃绥譎饴憂锦。
10
【企业网络安全设计方案（4篇）】相关文章：
