企业局域网的组建与应用_毕业论文.doc

《企业局域网的组建与应用_毕业论文.doc》由会员分享，可在线阅读，更多相关《企业局域网的组建与应用_毕业论文.doc（23页珍藏版）》请在三一文库上搜索。

1、 毕毕 业业 论论 文文 论文题目：论文题目： 企业局域网的组建与应用企业局域网的组建与应用 内 容 摘 要 本文结合当今企业网络安全的发展趋势，通过对当前中小企业存在的一些安全隐患 和安全建设的需求分析，提出了一种针对企业网络安全的解决方案。该解决方案在遵照 网络安全通用设计原则的情况下，融合了当前先进的网络安全技术和产品，如：防火墙/ 防水墙、网络反病毒软件、IDS/IPS、容灾和数据备份等，并强调了加强安全管理措施、 制定科学的管理策略的必要性。网络安全体系的建设是一个长期的、动态变化的过程， 在新的网络安全和防御技术不断出现的同时，新的入侵和攻击手段也不断变化。任何一 个安全体系的设计

2、方案都不能完全解决所有的安全问题。但随着企业网络化和信息化进 程的推进，对网络安全问题的认识也会在管理体制上、理论研究上、技术储备上不断地 深化和改进，为提出解决网络安全问题的更加有效的可行性方案提供思路和途径。 关键词关键词 网络安全 安全需求 管理策略 解决方案 Abstract In this paper, combining with the development trend of the enterprise network security, through the analysis of some security hidden danger and safety constr

3、uction on the existing small and medium-sized enterprises demand, presents a solution for the enterprise network security. The solution in accordance with the general design principles of network security situation, the fusion of the advanced network security technologies and products, such as: fire

4、wall / waterproof wall, network anti-virus software, IDS/IPS, disaster recovery and data backup, and emphasizes the necessity of strengthening the safety management measures, make scientific management strategy. The construction of network security system is a long-term process, dynamic change, in t

5、he new network security and defense technology constantly emerged at the same time, the new intrusion and attack means change rapidly. Design of any one security system cannot address all of the safety concerns completely. But along with the enterprise networking and informationization, understandin

6、g of network security problem also constantly deepening and improvement in technical reserves management system, theoretical research, put forward to solve the problem of network security, the more effective the feasibility scheme to provide ideas and approaches. Keywords:Keywords: safety and securi

7、ty requirements of the management strategy of network solutions 目 录 1 1、绪论、绪论1 1 2 2、企业网络安全综述、企业网络安全综述1 1 2.12.1 企业网络安全及存在的问题企业网络安全及存在的问题1 1 2.1.1|2.1.1|企业网络安全的概念企业网络安全的概念 1 1 2.2.1.21.2 企业网络安全所面临的问题企业网络安全所面临的问题1 1 2.22.2 网络安全建设的必要性网络安全建设的必要性1 1 2.2.12.2.1 网络的复杂型及其表现网络的复杂型及其表现1 1 2.2.22.2.2 网络安全建设中存

8、在的误区网络安全建设中存在的误区2 2 2.32.3 网络安全建设现状网络安全建设现状3 3 2.3.12.3.1 网络防护体系建设缺乏有效重视和投入网络防护体系建设缺乏有效重视和投入3 3 2 2.3.2.3.2 网络安全防护体系建设存在不足网络安全防护体系建设存在不足3 3 2.3.32.3.3 网络安全管理制度和措施不健全网络安全管理制度和措施不健全3 3 3 3、企业网络安全建设需求分析、企业网络安全建设需求分析3 3 3.13.1 网络安全的层次结构网络安全的层次结构4 4 3.1.13.1.1 网络安全问题的产生及影响网络安全问题的产生及影响4 4 3.1.23.1.2 网络安全体

9、系的层次划分网络安全体系的层次划分4 4 3.23.2 网络操作系统层的安全网络操作系统层的安全4 4 3.2.13.2.1 网络操作系统的概念网络操作系统的概念4 4 3.2.2.3.2.2.网络操作系统的安全防护网络操作系统的安全防护 4 4 3.33.3 用户层和应用层安全用户层和应用层安全5 5 3.3.13.3.1 企业网络应用层的安全威胁企业网络应用层的安全威胁5 5 3.3.23.3.2 网络应用软件的安全性防护网络应用软件的安全性防护5 5 3.43.4 数据链路层、传输层和网络层安全数据链路层、传输层和网络层安全5 5 3.4.13.4.1 数据链路层安全防护需求分析数据链路

10、层安全防护需求分析5 5 3.4.23.4.2 传输层安全防护需求分析传输层安全防护需求分析6 6 3.4.33.4.3 网络层安全防护需求分析网络层安全防护需求分析6 6 4 4、企业网络安全建设解决方案、企业网络安全建设解决方案7 7 4.14.1 企业网络安全建设总体规划企业网络安全建设总体规划7 7 4.1.14.1.1 企业网络建设的设计规划企业网络建设的设计规划7 7 4.24.2 企业网络安全建设详细设计方案企业网络安全建设详细设计方案8 8 4.2.14.2.1 网络拓扑结构设计方案网络拓扑结构设计方案8 8 4.2.24.2.2 网络拓扑结构的部署方案网络拓扑结构的部署方案9

11、 9 4.2.34.2.3 企业网络的防火墙防护设计企业网络的防火墙防护设计1 10 0 4.34.3 企业网络安全管理策略分析与设计企业网络安全管理策略分析与设计1 11 1 4.3.14.3.1 企业安全管理制度建设分析企业安全管理制度建设分析1 11 1 4.3.24.3.2 企业网络管理管理活动分析企业网络管理管理活动分析1 12 2 结论结论1 13 3 致谢致谢1 14 4 参考文献参考文献1 15 5 1 1、绪论 当前，随着全球信息化步伐的不断加快和计算机网络技术的迅猛发展，经济全球化 已经成为必然趋势，网络作为信息交互的主要手段,正引领企业信息化建设的巨大变革。 企业网络已经

12、由简单的单机互联和文件处理，发展为集办公自动化、业务流程处理、员 工绩效管理等为一体的复杂的企业内部网，并与企业外部的国际互联网相融合，发展为 计算机信息交互和协同处理的网络系统，已由传统的 C/S 模式向 B/S 模式再到企业网格 进行转变。 企业网络作为一种复杂而集成的网络系统出现的同时，传统的网络安全威胁依旧存 在，病毒、木马、蠕虫等肆虐，网络攻击手段日趋多样化，破坏力巨大并具有隐蔽性， 时刻威胁着企业的网络安全。 本文针对企业网络的安全建设问题，重点分析了如何构建一个可靠的网络安全防御 体系。面向当前中小企业网络安全建设的现状，提出了一种具有典型意义的企业网网络 安全的解决方案。 2

13、2、企业网络安全综述 2.1 企业网络安全及存在的问题 2.1.1 企业网络安全的概念 当前企业信息化的普及，使得企业的生产经营相关的业务体系，都立足于 Internet/Intranet 环境。基于此，企业网络安全也要从内部和外部，也就是 Intranet 和 Internet 两个方面来考量。企业网络安全建设方案，也包括内部的安全系统建设和外 部入侵的防御检测系统建设两个方面。 一般来说，企业网络安全是指企业内部网络系统（Intranet 环境）的所有软硬件设 施及网络系统中所存储的数据受到全方位的保护，不因来自内部网络或者外部网络 （Internet 环境）的偶然的或恶意原因而遭到破坏、

14、更改和泄露。即使在突发情况下， 网络系统依旧能够可靠运行，系统内部的重要数据得以保护和备份并使得网络服务不被 中断。 2.1.2 企业网络安全所面临的问题 企业网络一般都是接入 Internet 的，其网络环境的开放性，可以增强网络系统的应 用性，但也对企业网络信息安全提出了更多更高的要求。一般企业网络的都是基于 Windows 平台的应用系统，主要有 WEB 服务、E-mail 系统、MIS、进货和销售系统、财务 统计系统、人事管理系统等。这些系统往往自成体系,没有统一的资源管理与访问控制策 略。而且随着企业的发展系统的安全层次也会愈发多样。整个企业的网络系统存在两个 方面的安全问题： （1

15、）企业网络接入互联网的安全性。对接入互联网的子网，要采取严格的访问控制 策略和入侵检测措施。 （2）企业内部网络的安全性。企业内部的网络安全是传统网络安全建设最为注重的 方面。最常见的安全隐患主要有未授权访问、破坏数据完整性、拒绝服务攻击、计算机 病毒传播、缺乏完整的安全策略、缺乏监控和防范技术手段、缺乏有效的手段来评估网 络系统和操作系统的安全性、缺乏自动化的集中数据备份及灾难恢复措施等。 2.2 网络安全建设的必要性 2.2.1 网络的复杂型及其表现 计算机和电子技术的发展使得计算机网络技术不断融合新的技术，企业网络也因此 发展和进步，具备了许多新特性，这给网络建设带来了更大难度。 网格概

16、念的提出和互联网的建设，在使得网络极大的发挥其效能的同时，也使得企 业网络环境复杂性和多样行凸显。这表现在以下几个方面： 首先，网络拓扑结构具有复杂性。网络互联是个拓扑结构，除掉各个计算机终端节 3 点之外，还需要各种互连设备，比如交换机、路由器等。各式各样的设备互连设备，又 同时将整个企业网络划分为几个小局域网，组成了网络互连结构。 其次，网络软硬件设备的复杂性。网络设备一方面是指网络互联的硬件设备以及运 行其上的网络管理软件。另一方面，是指各个网络终端结点设备以及搭载其上的软件系 统。网络软件在链路层、传输层和应用层都可以发挥数据检测作用，单机操作系统可以 选择服务器版本，并安装防火墙软件

17、和杀毒软件，同时根据网络特性配置过滤规则。 最后，网络管理和网络用户的复杂性。网络管理，一方面是针对网络用户的访问管 理，一方面是针对网络设备和运行其上的网络软件的管理。网络管理一般由专人负责， 称为网络管理员。他一方面要负责通过各种网络管理软件，对网络上进行数据访问和存 储的用户行为进行监控，另一方面要制定各种网络访问策略和监控策略，比如过滤规则， 路由规则等。 总之，网络的多样性和复杂性，使得网络自身和网络的管理存在诸多问题，需要专 人负责网络安全建设。 2.2.2 网络安全建设中存在的误区 通过调查发现，无论是网络用户还是网络管理者，都对网络安全存在一些认识上的 误区，主要表现在： （1

18、）网络建设无需太多投入。 出于成本的压力，中小企业一般在网络建设的投入上不足。中小企业网络一般只有 十几到几十台客户端，网络互联产品一般选用 24 口交换机，带动其他的交换机，选用家 用级别的路由器接入互联网，从而组成一个小型办公网络环境，事实上，这种接入方式 和网络拓扑结构，会导致网速非常慢，堵塞严重，掉包频繁。 （2）网络管理无需专人负责。 没有网络管理人员对企业网络进行维护的原因在于，大多数中小企业网络安全需求 没有得到管理者的足够重视，大部分中小企业没有设置专职网络管理员，而采用兼职管 理方式，没有针对企业网络配置网络环境，选用管理和安全软件，并对过滤规则进行设 计。这必然会导致技术基

19、础和技术储备的匮乏，使得网络管理在软硬件方面上都有先天 缺陷，在网络稳定性和安全性方面存在严重隐患。这种情况下，即使有网络攻击或者病 毒的入侵，网络使用者也很难及时发现以阻止入侵，更不用说挽回损失了。 （3）网络安全软件无需专业化。 很多中小企业网络安全，都是依靠桌面杀毒软件解决的。桌面杀毒软件并不适用于 复杂的网络环境。一旦有恶性病毒大规模爆发时，网络病毒在内部局域网疯狂流窜，一 方面病毒的肆虐传播造成网络堵塞，破坏系统文件使电脑不能正常工作，另一方面，会 导致病毒感染网络内部主机，潜伏下来，借助网络漏洞，伺机在网络内部传输，普通的 杀毒软件并不能消灭干净。 网络管理中，需要一种具备全局控制

20、能力的杀毒软件，在局域网中任何一台机器感 染病毒时，都可以检测到，并阻止其传播，否则局域网病毒严重的导致局域网瘫痪，更 甚至可能使整个系统崩溃。 4 2.3 网络安全建设现状 网络安全建设普遍存在着如下问题：网络拓扑结构，缺乏宏观的了解；对于网络的 构成，缺乏清晰的认识；对于网络拓扑结构中，关键节点缺乏有效管理；对于网络管理 和网络安全软件缺乏深入的原理理解和足够的应用经验等等。 2.3.1 网络防护体系建设缺乏有效重视和投入 企业网络中，用户主要来自于内部，由受信任的内部用户发起的攻击是最危险的一 种形式。因此内部安全威胁已经上升为主要矛盾。 一方面，网络的拓扑结构一般是针对内部网络设计的，

21、互连设备的部署也主要是针 对内部网络。如何针对内部网络设计网络拓扑结构，选用互连设备，构建内部局域网中 的局域网，杜绝网络拥塞的出现，是当前研究领域的热点问题。这需要针对企业网络的 性能，需要特定的优化设计。 另一方面，对于网络安全，更需要一体化的管理和安全防御体系建设，在防御软件 上，要针对特定的网络应用，部署专门的网络防火墙和杀毒软件。通过制定特定的防御 规划，设计或者修改软件过滤规则，过滤网络环境中的不良信息，这些都需要企业管理 者投入人力物力进行设计和研发。 2.3.2 网络安全防护体系建设存在不足 每一种网络拓扑结构，对应一种网络体系结构设计，在相应的网络安全体系建设中， 安全软件的

22、部署也要有其特点，适应网络信息流动和安全检测工作。然而，企业特别是 中小型企业，在网络安全体系的建设中还存在以下不足： 传统防护体系在系统化设计上存在欠缺。 企业对外部互联网的接入，应该设计系统化的防护体系,这并非是简简单单的防火墙 就可以完成的，应由专业认识进行设计。一般可采取防火墙与入侵检测系统(IDS)联动的 方式，对网络进行动静结合的保护。网络管理软件和安全软件的协作，对网络内外两个 部分都进行可靠管理。 2.3.3 网络安全管理制度和措施不健全 在网络的管理上，国家有关部门也颁布了一些法律法规，比如计算机信息网络国 际互联网安全保护管理办法 。各个企业也有自己的一套管理办法，具体到不

23、同的网络部 门，也应该有自己的一套经过实践检验并行之有效的网络安全设计规程。 作为企业网络安全保证的网络安全管理制度，一方面，它是一个企业针对网络使用 和网络信息安全，所采取的切实有效的规章制度，是规范网络用户行为的准则。另一方 面，安全管理制度也是网络管理人员对网络用户行为进行审核的标准，任何违反网络安 全规章制度的行为，都应该被网络管理系统发现，网络用户不安全的操作行为，也应该 由网络管理软件或者网络管理员发出警告。 构建一套合理的网络安全管理规章和制度，是一个企业在制度上落实网络安全建设 5 的重要环节，也是经过许多企业网络建设的成功和失败的经验教训检测之后的行之有效 的举措之一。 6

24、3、企业网络安全建设需求分析 通过第二章中对网络安全和企业网络安全建设的现状分析，可知构建一个合理有效 的企业网络安全体系和规则，对于解决网络安全建设中所暴露出来的诸多问题是大有必 要的。本章将对网络安全建设进行需求分析，在网络安全的系统层次设计和应用软件设 计方面，对网络安全建设的需求情况进行详尽的论述。 3.1 网络安全的层次结构 3.1.1 网络安全问题的产生及影响 网络安全涉及到网络体系结构的各个方面,网络安全问题的出现一般是由以下三个原 因造成的：一是操作网络的内部人员的操作失误；二是企业外部有目的的攻击和窃取信 息的行为；三是某些网络设备和软件系统制造商在网络设备的软、硬件中放置危

25、害网络、 盗窃信息的程序。 3.1.2 网络安全体系的层次划分 网络安全中安全措施划分，主要有如下几个方面： （1）数据源鉴别。在连接和传送数据时鉴别相应的协议实体，而后决定提供或者拒 绝服务。 （2）访问控制。限制用户访问网络资源的授权，可以防止未经许可暴露所传输数据 的内容。 （3）完整性服务。包含网络协议不受篡改，确保服务顺利完成。主要用于防止他人 利用网络修改传输数据，以保证发送和接收的数据一致。 3.2 网络操作系统层的安全 3.2.1.网络操作系统的概念 计算机网络是由多个相互独立的计算机系统通过通信媒体连接起来的各计算机都具 有一个完整独立的操作系统,网络操作系统(NOS)是建立

26、在这些独立的操作系统基础上用 以扩充网络功能的系统(系统平台) 3.2.2 网络操作系统的安全防护 网络设备中主流操作系统有类 UNIX 和 Windows 系列，LINUX 作为开源系统，兼具 UNIX 强大的网络功能。而 Windows 平台更是推出了 Windows Server 系列，满足网络服 务的需求。用户的应用系统和安全工具软件都在操作系统上运行，操作系统为各工具软 件提供支持，因此操作系统的安全与否直接影响到网络系统的安全。 网络操作系统的安全问题。企业接入互联网以及 B/S 模式的管理系统在企业网络中 7 的应用，难免会带来源源不断的软件安全问题，一般的操作系统都会提供以下的

27、安全防 护措施： （1）过滤保护。分析所有针对受保护对象的访问,过滤恶意攻击以及可能带来不安全 因素的非法访问。 （2）安全检测保护。对所有用户的操作进行分析,阻止那些超越权限的用户操作以及 可能给操作系统带来不安全因素的用户操作。 （3）隔离保护。保证同时运行的多个进程和线程之间是相互隔离的,即各个进程和线 程分别调用不同的系统资源。 3.3 用户层和应用层安全 作为终端使用者的用户，直接面对应用层，应该确切落实网络管理规章制度的要求， 杜绝安全隐患。用户层安全的防范措施，主要包含对用户的识别、认证、数字签名等。 3.3.1 企业网络应用层的安全威胁 来自企业内部和外部的动态变化的安全威胁随

28、时会给企业运营带来巨大的灾难。常 见的危害应用层安全的的因素如下： （1）网络蠕虫、病毒等危害网络信息安全。 （2）信息窃取和网络攻击危害网络数据安全。 信息窃取是黑客和网络攻击的常见目标。信息窃取会对中小型企业的发展造成严重 影响，会破坏中小型企业赖以生存的企业商誉和客户关系。 （3）垃圾邮件成为传播病毒的主要手段。 收到垃圾邮件的用户往往由于对邮件缺乏了解而不幸激活病毒却不知情，网络犯罪 将更多地采用这种介质发布木马病毒。 3.3.2 网络应用软件的安全性防护 应用系统层的安全需求需要保证应用软件和数据库软件的安全性，如：WWW 服务、 应用网关系统、DNS 系统、防火墙软件、业务应用软件

29、等。应用软件必须保证以下要求： （1）购买的应用软件应通过安全测试并要求销售商确认其无后门或漏洞。 （2）能够对用户身份进行鉴别与认证。 （3）保证存储或存档的所有数据的完整性、真实性和可用性。 （4）对已使用的应用系统定期进行漏洞扫描，及时修补存在的漏洞。 3.4 数据链路层、传输层和网络层安全 数据链路层、传输层和网络层，在 OSI 参考模型中，都是负责数据流传输的，企业 对于数据访问和存取的控制，一般都是针对这三个层次制定网络协议，监控和过滤数据 流。 8 3.4.1 数据链路层安全防护需求分析 数据链路层位于物理硬件层网络层之间，担负起第一道数据监控和过滤的重任。与 数据链路层的安全有

30、两方面内容：一是涉及到数据传输过程中的加密和数据的修改，也 就是影响到数据的完整性；另一个是涉及到物理地址的盗用问题，影响到网络管理。 针对数据链路层的攻击主要有： （1）局域网 ARP 欺骗攻击。 数据链路层的协议 ARP 协议，具有完成 IP 地址到 MAC 地址的转换的功能。通过伪 造 IP 地址和 MAC 地址实现 ARP 欺骗，能够在网络中产生大量的 ARP 通信量使网络阻 塞。 （2）针对 MAC 地址的泛洪攻击。 网络互连设备路由器和交换机具有主动学习客户端的 MAC 地址，然后建立和维护端 口和 MAC 地址的对应表。MAC 地址泛洪攻击利用工具产生欺骗 MAC，快速填满 MA

31、C 地址表，交换机此后一直广播信息，会造成负载过大，网络缓慢和丢包甚至瘫痪。 3.4.2 传输层安全防护需求分析 传输层处于通信子网和资源子网之间，起着承上启下的作用。无论是局域网还是广 域网，目前最为流行的传输层协议主要有 TCP 和 UDP 协议族许多安全协议也运行于 TCP 之上，为不安全的通信双方建立数据传输的可靠通道，使得数据避免被窃听、篡改或假 冒。 基于传输层的网络安全协议众多。传输层支持的安全服务有：1) 对等实体认证服务； 2)访问控制服务；3)数据保密服务；4)数据完整性服务；5)数据源点认证服务。传输层主 要有两个安全协议：SSL（Secure Sockets Layer

32、）和 PCT（Private Communications Technology） 。 企业网络对于传输层的需求一般有： （1）文件传输的安全需求。 企业的一些管理者为了方便，通过一些通讯工具来收发一些有保密级别的文件的或 者重要信息，而网络本身都存在着较多的缺陷，为此，保证重要文件的秘密性、完整性、 和可靠性，建议在传输之前对文件进行加密。 （2）网络边界通信的安全需求。 网络交换设备主要包括路由器和 ATM。由于路由器普遍采用无连接存储转发技术,一 旦某一个路由器发生故障或出现问题，将迅速波及到与该路由器联系的网络区域。 网络层边界安全需求包括整个局域网通过防火墙接入互联网时边界的安全需求

33、、服 务器群组成的服务子网和主交换机与通过防火墙与外网接入层之间不同安全等级而使用 不同访问控制策略的安全需求。 （3）内网访问及网络权限控制需求。 内网的访问控制为网络访问提供了第一层访问控制。它对用户进行权限的分配，控 制不同用户对网络资源的访问或者服务器访问的权限，为用户指定能够访问的对象和获 取的资源。一般可分为三步：用户名验证、用户口令验证和用户账号的缺省限制检查。 9 只要用户在这三个环节中的任何一个环节中没有通过，该用户将不被允许接入网络。 3.4.3 网络层安全防护需求分析 网络层主要是指 IP 协议簇。IP 地址是在网络层标识一台计算机的唯一身份识别码， 无论是企业内网还是外

34、部互联网，都需要有独立的 IP 地址。可以通过网络交换的监控， 对网络状况动态的检测和控制。网络层安全协议的最大特点是其透明性，即不过问高层 协议数据包的内容，可以提供认证、保密性、完整性等服务。 一般而言，设计网络时，内部网络自成体系，有自己的子网网段，各子网必须通过 中间设备进行连接，利用这些中间设备的安全机制来控制各子网之间的访问。 对于网络层的防护，主要包含以下几个方面： （1）WEB 网站安全防护需求。 目前企业内部网络各种应用系统，一般都是采用 B/S 模式的 WEB 网站形式,WEB 系统 防护是一个复杂的问题，包括应对网页篡改、DDoS 攻击、信息泄漏、导致系统可用性问 题的攻

35、击等各种形式,WEB 系统需要专人管理。 （2）DNS 服务器系统的安全防护需求。 域名服务器 DNS 系统，作为互联网的神经系统，关乎网络层服务数据能否成功到达 的问题。针对 DNS 系统的攻击比较突出的为 DoS 攻击、DNS 投毒、域名劫持及重定向等, DNS 系统的安全防护需要部署流量清洗设备，保障 DNS 业务系统的正常运行。 10 4、企业网络安全建设解决方案 4.1 企业网络安全建设总体规划 根据第二章对企业网络安全的论述以及第三章企业网络安全需求分析的基础上，遵 守通用的设计原则，本章研究制定了一个可满足企业网络对可靠性、保密性、可管理性 及可扩展性等方面需求的企业网络安全建设

36、的总体设计规划方案。 4.1.1 企业网络建设的设计规划 一般来说，企业网络的建设，通常会首先考虑建设内部 MIS 系统，而后展开其他业 务系统的建设，构造企业信息网络的局域网，通过添加各种网络互连设备，逐步形成网 络监控数据中心、数据库服务中心、 OA 办公系统、ERP 人力管理系统等子系统同时运 行的网络系统。 内部网络建设以搭建各种应用服务器集群，包括 WEB、Mail、FTP 等服务，以及提供 数据存储和备份服务的数据库服务器集群，数据服务中心包括业务管理和网络管理两种 功能，控制和监控整个网络的运行情况并采取相应的措施，各网络模块之间通过交换机、 路由器等互连设备联系在一起。企业网络

37、总体规划如图 4-1 所示： 图 4.1 企业网络总体规划 11 对于企业来说，网络管理已经从最初的单一网管需求发展到 IT 综合管理需求,这些 管理都是紧密关联、不可分割的整体.企业网络一般是建立以业务为核心管理系统，如图 4-2 所示： 2.企业网络安全建设的设计目标 （1）合理规划的拓扑结构。易于部署强化，保证物理安全。 （2）强大的协同工作和自我防护能力。 把入侵检测系统 IDS 与入侵防御系统 IPS 结合起来部署在关键节点； 把防火墙与防水墙相结合保护关键子网； 安装漏洞扫描工具对应用层和系统层进行定期的漏洞扫描； （3）完善的网络管理能力。 引入先进的防病毒软件，加强网络安全；

38、使用网络系统管理软件对服务器和终端系统进行统一的管理； 配置 VPN 以提供统一的外部入口，达到隔离内网与外网的效果； 以关键业务为中心的网络管理模型，保证关键业务持续性； 单一网络设备管理到融合式应用网络管理； （4）完善的数据安全保障机制。 网络管理员保障关键数据的安全； 使用容灾备份系统对关键业务进行实时备份； 制定安全管理相关策略，加强对网络使用人员的管理； 4.2 企业网络安全建设详细设计方案 4.2.1 网络拓扑结构设计方案 （1）企业网络拓扑结构设计。 网络的拓扑结构是抛开网络物理连接来讨论网络系统的连接形式，网络中各站点相 互连接的方法和形式称为网络拓扑。拓扑图给出网络服务器、

39、工作站的网络配置和相互 间的连接。图 4-3 就是典型的中小企业网络拓扑结构图。企业通过一边界路由器和因特 网相连，在局域网内部，主要有 4 个区域：办公区，服务器，生产子网和安全管理区。 图 4. 2 以业务为核心的网络管理系统 12 如图 4-3 所示： （2）企业网络安全架构设计。 本系统在设计中，融合网络拓扑技术、防火墙技术、反病毒技术、VPN 技术、数字 签名、认证和授权技术、加密传输技术、VLAN 技术等等，构建出企业安全网络架构，其 架构如图 4-4 所示的企业网络安全系统架构： 图 4.3 企业安全架构 （3）企业安全层次模型设计。 由于网络安全实际是在不同的安全模型和网络层次

40、实现的，因此，针对开放系统互 联参考模型（OSI）网络安全特性，可以可以分别在分层参考模型协议栈的不同协议层中 实现。 一般来说，物理层不处理网络安全问题，主要负责信号传输。数据链路层的主要任 务是加强物理层传输原始比特的功能，数据链路层有一些适用于有线、无线网络的 MAC 层安全协议，网络层建立端到端的路由，利用 IPSec（互联网安全协议）增强其安全性能;第 五层以上（含第五层）的安全机制根据不同应用的安全性需求，需要系统设计者根据自 身需求量身定做。针对特定的安全应用，设计合理的防护措施并部署到环境中。 4.2.2 网络拓扑结构的部署方案 （1）网络拓扑结构部署整体设计。 在对网络拓扑就

41、行分析和设计之后，就要选择适用的安全防护技术和方案就行部署。 经过对企业的网络特点和存在的问题进行认真细致的分析后，考虑到不同层次的安全需 求以及整体安全的需求以及企业的可承载能力，设计了一个网络安全体系建设的整体方 案， （2）网络拓扑结构部署的要点。 网络系统数据处理能力强。各种应用要求实时性强，对系统的处理能力及稳定性 要求很高； 数据存储的安全性强。应用系统数据量庞大适宜数据集中存储； 网络结构健壮性强。根据应用系统的广泛性，业务运算及传输对系统的处理能力 13 以及网络的负载能力提出了非常高的要求； 4.2.3 企业网络的防火墙防护设计 （1）企业级防火墙的概念。 防火墙(firew

42、all)是一项协助确保信息安全的设备或者软件，会依照特定的规则， 允许在具体应用中,一方面，从硬件层级上讲， 防火墙是位于被保护网和外部网之间的 一组硬件设备，位于路由器和各个计算机之间，一般是由系统管理员控制防火墙的规则， 确保在能够提供访问的同时,保护内部网络。 或是限制传输的数据通过。防火墙用来控制各种网络之间所有的数据流量，也可以 控制企业内部对某些关键数据的存储或者数据服务器的访问。如下图 4.4 所示： 图 4.4 防火墙在企业网络中的位置 （2）企业级防火墙的功能。 数据流量监控和数据安全防护； 防火墙适用于用户网络系统的边界，属于用户网络边界的安全保护设备。网络边界 即是采用不

43、同安全策略的两个网络连接处，防火墙的目的就是在网络连接之间建立一个 安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络 的服务和访问的审计和控制。 被保护子网和信息的隐藏； 由于所有进出网络的信息，都要经过防火墙的审核，因此防火墙为网络安全起到了 看门人的作用。结合授权访问，防火墙可以有效的屏蔽内部信息不为外部可见，防火墙 可以限制被保护子网的暴露。因此，防火期可以限制局部网络安全问题对整个网络的影 响。 防火墙具有强大的自我学习和抗攻击免疫力； 防火墙通过对事件的处理和知识学习，可以将本网络安全等级进行划分，对本网络 的安全事件就行分类，并根据网络管理员的选项，自主

44、的决定如何处理某些网络时间。 防火墙技术作为网络出入的守卫，基于操作系统发挥其防护作用。当然，嵌入式防火墙 系统，也是一种专用的防火墙设备。 本系统设计中，企业内网通过网通的公共网络线路与 Internet 互联，网络内部邮件 服务器，实现邮件的收发，内部的 WWW 服务器，对外提供网页访问服务。考虑到企业与 外网的信息交换量的大小以及企业网络安全的需要，可选择了硬件防火墙作为网络边界 14 的安全设备。典型的硬件防火墙如 Cisco PIX 525 等。Cisco PIX 525 使用思科的专用自 适应算法 ASA 与状态表进行会话以及进行其他事务的处理。它以专门的硬件化的操作系 统为中心，

45、以命令的方式实现配置和管理。它还具备故障时的无缝切换功能、URL 过滤、 冗余以及检测病毒的功能。 （3）基于 iptables 的企业网络防火墙设计。 数据包过滤技术； 数据包过滤是一种访问控制技术, 用于控制流入流出网络的数据。包过滤技术可以 允许或不允许某些包在网络上传递，它依据以下的根据：将包的目的地址作为判断依据； 将包的源地址作为判断依据；将包的传送协议作为判断依据。路由器通过实现设定的过 滤规则，对流入流出数据流中的数据包进行检查，确定是否要发送。不符合规则的包会 被路由器丢弃。 iptables 防火墙设计； iptables 防火墙是 LINUX 下的免费防火墙，它是 LIN

46、UX 内核中 netfilter 架构的一 种策略管理工具，随着 LINUX 发行版的推广而流行开来。它可以代替昂贵的商业防火墙 解决方案，完成封包过滤、封包重定向和网络地址转换 NAT 等功能。 iptables 允许建立状态(stateful)防火墙， ，这对于有效地配置 FTP 和 DNS 以及其它网络 服务是必要的。iptables 能够过滤 TCP 标志任意组合报文，还能够过滤 MAC 地址。 iptable 能够阻止某些 DOS 攻击，例如 SYS 洪泛攻击。 iptables 提供多种命令和参数，可以通过脚本文件使用命令行针对不同的网络环境，比 如 NAT、ADSL 拨号等，对防

47、火墙的策略规则进行配置，有效管理网络数据的流入和流出。 4.3 企业网络安全管理策略分析与设计 4.3.1 企业安全管理制度建设分析 通过参考大量的管理策略和实施办法，企业的安全管理制度的健全可以从以下几个 方面着手： （1）职责分离 在信息处理系统工作的员工，不允许参与职责以外的与安全相关的事情。有些信息 处理工作不能由一个人负责，比如：系统软件与应用软件的开发、机密文件的传送与接 收、信息处理系统相关媒介的保管与电脑操作、电脑操作与编程、系统管理与安全管理、 管理访问证件与其它工作等等。 （2）责任原则 每项与安全相关的活动，须多人在场（两人及两人以上） 。由主管人指派一些忠诚可 靠，可以

48、胜任此项工作的人参加。并填写工作情况记录本，证明安全工作已经得到保障。 （3）按届选举相关人员 一般来说，一个人不能长期担任安全相关职务。工作人员要不定期换岗，强制休假， 为保证工作效率还要对工作人员进行轮流培训。 15 4.3.2 企业网络管理管理活动分析 相关安全的具体活动如下： （1）访问控制权限的管理； （2）保密信息处理； （3）相关媒介的使用； （4）删除重要数据； （5）系统软件的开发与修改； （6）软硬件维护等； 企业内部网络的安全问题，不仅是设备，技术的问题，更是管理的问题。对于企业 网络的管理人员来讲，一定要提高网络安全意识，加强网络安全技术的掌握，注重对领 导和员工的网络

49、安全知识培训，而且更需要制定一套完整的规章制度来规范上网人员的 行为。 综上所述，企业管理策略和管理方案是确保人员素质和网络可靠运行的有力保障。 良好的管理策略对于企业网络安全状况的提升具有积极的促进意义。 16 5 结论 本文深入分析了当前中小企业的网络安全建设存在的问题，从网络的复杂性以及网 络安全意识欠缺给企业带来安全风险的角度，探讨了网络安全建设的必要性。 针对当前中小企业网络安全的现实需求进行了细致分析。首先，本论文从网络总体规划、 安全层次模型设计和网络拓扑结构部署三个方面，宏观上构建了一个网络安全模型。然 后，从企业级防火墙体系建设、企业级防病毒软件体系建设、入侵检测系统的联动机制 设计以及企业数据存储和备份等几个主要方面，细致论述了一种企业网络安全建设中技 术上可行的解决方案。最后，针对网络安全解决方案的落实问题，强调了在企业中加强 安全管理制度和安全策略建设的重要性。 总之，本文结合网络安全实际，以现实需求为出发点，不仅从技术实现的角度，而 且从管理策略的角度，详细论述了如何构建一个安全的企业网络，最终提出了一种科学 的可行的网络安全建设的解决方案。因此，本文对企业网络的构建和企业网络安全建设 具有一定的参考价值。 17 注释 1段水福：无线局域网(WLAN)设计与实践 ，杭州浙江大学出版社