计算机网络构建企业级网络方案.pdf

《计算机网络构建企业级网络方案.pdf》由会员分享，可在线阅读，更多相关《计算机网络构建企业级网络方案.pdf（25页珍藏版）》请在三一文库上搜索。

1、计算机网络课程设计 摘 要 针对该企业深刻认识到业务要发展，必须提高企业的内部核心竞争力，而建立一个方便 快捷安全的通信网络综合信息支撑系统，已迫在眉睫。 根据该企业的行业特点和用户需求，从实际出发， 制定合理的设计原则和行之有效的方 案。从现场勘察，到各个步骤的规划，每一步做到缜密的设计。 本次设计主要针对企业网络构建规划方案进行简单设计，对企业网络的组建，各楼层信 息点划分，企业网络拓扑图设计，使用防火墙及其设备的介绍，网络安全方案等。 关键词 ：企业网络，安全，天融信 防火墙 目录 第一章企业内网现状描述.1. 第二章企业内网安全需求分析1 第三章企业内网安全方案设计原则2 3.1 安全

2、体系结构2. 3.2 安全方案设计原则3. 3.2.1 需求、风险、代价平衡的原则.3 3.2.2 综合性、整体性原则3 3.2.3 一致性原则3. 3.2.4 易操作性原则.3. 3.2.5 适应性及灵活性原则3 3.2.6 多重保护原则.4. 第四章内网安全技术实现方案4 4.1 物理安全 4. 4.2 网络安全 5. 4.2.1 网络结构安全.5. 4.2.2 访问控制 6. 4.2.3 入侵检测 8. 4.2.4 病毒防护 9. 4.2.5 数据备份与恢复.9 4.3.1.安全管理原则10. 4.3.2.安全管理的实现. 11 第五章安全设备配置 11 5.1 企业内网网络安全拓扑图.

3、12 5.2 企业内网网络安全设备配置列表.12 第六章附件 13 6.1 防火墙产品介绍13. 6.2 天融信安全服务介绍15. 6.2.1 专业的安全服务描述.15 6.2.2 服务范围 17. 6.2.3 服务方式 17. 6.2.4 服务实现目标17. 6.2.5 服务标准和规范.17 总结 19 主要参考资料20 课程设计说明书（论文）用纸 第一章企业内网现状描述 企业内网由于网络建设时间比较早，网络设备比较老，很多现在先进的网络技术支持的 不是很好，导致了结构的划分上不是很清晰，但大致可以分为六个组成部分，即；核心骨干 区、内网用户区、数据库服务器区、应用服务器区、WEB 服务器区

4、和软件服务器区。核心 骨干区由两台IBM8265三层交换机组成，其中一台通过千兆光纤下联到各种楼层交换机， 形成了内网用户区；另外一台通过155M 光纤下联到2810 交换机， 2810 交换机通过100M 以太接口与各类软件服务器相联形成了软件服务器区；2810 交换机通过一条100M 以太线 路连接到Catalyst3550 交换机， Catalyst3550 通过 100M 以太接口与各类WEB 服务器相联形 成了WEB服务器区；IBM8265通过一条100M以太线路连接到Catalyst3548 交换机， Catalyst3548通过100M以太接口连接各类数据库服务器，形成了数据库服

5、务器区；另外 IBM8265 通过 100M 以太接口直接连接各类应用服务器，形成了应用服务器区。所有的内部 数据都在核心层进行快速的交换/路由，以保证整个企业内网高效、快捷、安全的运转。 第二章企业内网安全需求分析 企业内网为企业内网系统业务的开展带来了极大的方便?但随着网络应用的扩大和网络 设备的老化， 网络安全风险也变得更加严重和复杂，原来运转正常的网络现在经常发生网络 故障，严重影响了内部业务的开展?原来由单个计算机安全事故引起的损害可能传播到其它 系统和主机， 引起大范围的瘫痪和损失；另外，加上一些人缺乏安全控制机制和对网络安全 政策及防护意识的认识不足，这些风险可谓日益加重?这些风

6、险由多种因素引起，与网络系 统结构和系统的应用等因素密切相关? 在目前的网络中已经部署了一些安全产品，例如防病毒软件、防火墙系统等?原来清华 德实公司的四台防火墙设备，在访问控制方面已经有了基本的防护功能，但设备的部署不是 很合理， 没有充分发挥防火墙的访问控制功能，只有小部分服务器得到了防火墙的保护，大 部分服务器没有任何防护措施，完全暴露在公开网络中，其安全度可想而知?我们根据业务 的需求重新划分了新的网络安全域，在核心交换机和数据库安全域之间没有任何的安全防 护，而这些数据又是网络中的核心，一旦数据发生问题这个的业务都会受到影响，所以保护 这些数据的安全是重中之重?因此为了保证企业内部网

7、络系统的安全、稳定、高效的运转， 有必要对其网络安全进行专门设计? 第1页共 20 页 课程设计说明书（论文）用纸 第三章企业内网安全方案设计原则 3.1 安全体系结构 网络安全的总体设计思想是围绕MPDR2 模型的，要实现企业网络系统的安全，就要从 保护、检测、响应、恢复及管理五个方面对纵向网信息系统建立一套全方位的信息保障体系。 P(Protection) ：防护D(Detection) ：扫描、检测R(Response ：) 回应 R(Recovery) ：恢复 /备份M(Management) ：管理 保护；安全保护技术包括访问控制技术、身份认证技术、加密技术、数字签名技术、系 统备份

8、等 ?信息系统的保护是安全策略的核心内容? 检测；检测的含义是对信息传输内容的可控性的检测，包括对信息平台访问过程的检测， 对违规与恶意攻击的检测，对系统与网络弱点与漏洞的检测等等?检测使信息安全环境从单 纯的被动防护演进到积极防御，从概念化安全对策演变到在对整体安全状态认知基础上的有 针对性的对策，并为进行及时有效的安全响应以及更加精确的安全评估奠定了基础? 回应；响应是保证在任何时候信息平台能高效正常运行，要求安全体系提供有力的响应 机制?包括在遇到攻击和紧急事件时及时采取措施，例如关闭受到攻击的服务器；反击进行 攻击的网站；按系统的安全状况加强和调整安全措施等等? 恢复；狭义的恢复指灾难

9、恢复，在系统受到攻击的时候，评估系统受到的危害与损失， 按紧急响应预案进行数据与系统恢复，启动备份系统恢复工作等?广义的恢复还包括灾难生 存等现代新兴学科的研究?保证信息系统在恶劣的条件下，甚至在遭到恶意攻击的条件下， 仍能有效地发挥效能? 管理；管理是实现整个网络系统安全的重要保证，有了安全网络环境，但缺乏有效的安 全管理， 安全就很难得以维持，只有建立严格安全管理制并强制执行，才能适应网络安全的 动态性和整体性? 网络安全是一个整体目标?如果全面的保护仍然不能确保安全，就需要检测来为响应创 造条件；有效与充分地响应安全事件?将大大减少对保护和恢复的依赖；恢复能力是在其它 措施均失效的情形下

10、的最后保障机制?因此，要在网络上构筑有效的安全保障体系，必须投 入必要的资源，全面加强五个方面的技术与管理，实现整体网络的安全目标? 第2页共 20 页 课程设计说明书（论文）用纸 3.2 安全方案设计原则 在对企业内网进行网络系统安全方案的设计和规划时，我们遵循以下原则： 3.2.1 需求、风险、代价平衡的原则 对任何一个网络，绝对安全难以达到，也不一定是必要的?对一个网络要进行实际的研 究(包括任务、性能、结构、可靠性、可维护性等)，并对网络面临的威胁及可能承担的风险 进行定性与定量相结合的分析，然后制定相应的规范和措施，确定系统的安全策略? 3.2.2 综合性、整体性原则 应运用系统工程

11、的观点、方法，分析网络的安全及具体措施?安全措施主要包括；行政 法律手段、各种管理制度(人员审查、工作流程、维护保障制度等)以及专业技术措施(访问 控制、加密技术、认证技术、攻击检测技术、容错、防病毒等)?一个较好的安全措施往往是 多种方法适当综合的应用结果? 3.2.3 一致性原则 一致性原则主要是指网络安全问题应与整个网络的工作周期(或生命周期 )同时存在， 制 定的安全体系结构必须与网络的安全需求相一致?安全的网络系统设计(包括初步或详细设 计)及实施计划、网络验证、验收、运行等，都要有详实的内容及措施?实际上，在网络建设 的开始就考虑网络安全对策，比在网络建设完成后再考虑安全措施，不但

12、容易， 而且花费也 少很多 ? 3.2.4 易操作性原则 安全措施需要人去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性； 其次，措施的采用不能影响系统的正常运行? 3.2.5 适应性及灵活性原则 安全措施必须能随着网络性能及安全需求的变化而变化，要容易适应、容易修改和升级。 第3页共 20 页 课程设计说明书（论文）用纸 3.2.6 多重保护原则 任何安全措施都不是绝对安全的，都可能被攻破?但是建立一个多重保护系统，各层保 护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全? 网络安全是整体的、动态的?网络安全的整体性是指一个安全系统的建立，即包括采用 相应的安全设备，

13、又包括相应的管理手段?安全设备不是指单一的某种安全设备，而是指几 种安全设备的综合?网络安全的动态性是指，网络安全是随着环境、时间的变化而变化的， 在一定环境下是安全的系统，环境发生变化了(如更换了某个机器)，原来安全的系统就变的 不安全了；在一段时间里安全的系统，时间发生变化了(如今天是安全的系统，可能因为黑 客发现了某种系统的漏洞，明天就会变的不安全了)，原来的系统就会变的不安全?所以，网 络安全不是一劳永逸的事情? 对于企业内网的网络建设，我们的方案采取以上的原则，先对整个网络进行整体的安全 规划，然后，根据实际状况建立一个从防护检测 响应的基础的安全防护体系，保证整个 网络安全的最根本

14、需要? 第四章内网安全技术实现方案 通过对企业内网网络应用的全面了解，根据企业内网网络的实际情况，按照安全风险、 需求分析的结果以及网络的安全目标，我们从物理安全、网络安全、 管理安全等几个方面对 现有的网络进行分析。 4.1 物理安全 保证计算机信息系统各种设备的物理安全是保障整个企业内网网络系统安全的前提。 物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及 人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。它主要包括三个方面： 环境安全：对系统所在环境的安全保护，如区域保护和灾难保护；（参见国家标准 GB50173-93 电子计算机机房设计规范、国标GB

15、2887-89 计算站场地技术条件、 GB9361-88 计算站场地安全要求） 设备安全；主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁 干扰及电源保护等；通过严格管理及提高员工的整体安全意识来实现? 媒体安全；包括媒体数据的安全及媒体本身的安全? 第4页共 20 页 课程设计说明书（论文）用纸 显然，为保证信息网络系统的物理安全，除在网络规划和场地、环境等要求之外，还要 防止系统信息在空间的扩散?计算机系统通过电磁辐射使信息被截获而失密的案例已经很 多，在理论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米的复原显示给 计算机系统信息的保密工作带来了极大的危害?

16、为了防止系统中的信息在空间上的扩散，通 常是在物理上探取一定的防护措施，来减少或干扰扩散出去的空间信号?政府、军队、金融 机构在建设信息中心时都将成为首要设置的条件? 正常的防范措施主要在三个方面； 1、对主机房及重要信息存储、收发部门进行屏蔽处理，即建设一个具有高效屏蔽效能 的屏蔽室，用它来安装运行主要设备，以防止磁鼓、磁带与高辐射设备等的信号外泄。为提 高屏蔽室的效能，在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设计，如 信号线、电话线、空调、消防控制线，以及通风、波导，门的关起等? 2、对本地网、 局域网传输线路传导辐射的抑制，由于电缆传输辐射信息的不可避免性， 现均采光缆传

17、输的方式，大多数均在Modem 出来的设备用光电转换接口，用光缆接出屏蔽 室外进行传输? 3、对终端设备辐射的防范，终端机尤其是CRT 显示器，由于上万伏高压电子流的作用， 辐射有极强的信号外泄，但又因终端分散使用不宜集中采用屏蔽室的办法来防止，故现在的 要求除在订购设备上尽量选取低辐射产品外，目前主要采取主动式的干扰设备如干扰机来破 坏对应信息的窃取，个别重要的首脑或集中的终端也可考虑采用有窗子的装饰性屏蔽室，这 种方法虽降低了部份屏蔽效能，但可大大改善工作环境，使人感到在普通机房内一样工作? 本方案暂不考虑这方面的安全? 4.2 网络安全 网络安全主要涉及网络结构的安全和网络系统的安全?网

18、络结构安全涉及网络结构的合 理性和可扩展性，网络系统的安全涉及到很多内容，根据用户的实际情况本方案中只涉及了 访问控制、入侵检测、病毒防护、数据的备份等，由于用户网络中已经有了病毒防护和数据 的备份防护措施，所以下面的描述只涉及到了访问控制和入侵检测技术? 4.2.1 网络结构安全 在网络结构的安全方面，主要考虑优化网络结构、路由的优化和可扩展性? 第5页共 20 页 课程设计说明书（论文）用纸 网络结构的建立要考虑地域环境、现有线路状况、 设备配置与应用情况、通信量的估算、 网络维护管理、网络应用与业务定位等因素?成熟的网络结构应具有开放性、标准化、可靠 性、先进性和实用性，并且应该有结构化

19、的设计，充分利用现有资源，具有运营维护管理的 简便性，完善的安全保障体系?网络结构采用分层的体系结构，利于维护管理，利于更高的 安全控制和业务发展? 网络结构的优化，在网络拓扑上主要考虑冗余链路、冗余路由， 动态路由协议的安全认 证，专用网管链路等；在企业网络的建设中我们方案在核心采用2 台高端 3 层交换机， 采用 HSRP 技术互为备份，实现备份与负载功能；采用 VLAN技术， 将网络根据业务关系划分为 若干个强度不同安全域，减少网络广播数据包，减少数据冲突，提高带宽利用率，保障网络 安全、稳定运转；在接入层交换机到核心层交换机之间采用双链路(STP 技术)，保障接入层 到核心层的实时畅通

20、；采用QOS 技术来保障关键应用有可靠的带宽? 路由的优化， 主要涉及到以下几个方面；防止单点失败； 隔离路由波动；消除循环路由； 较小的时延； 使用路由认证，保证动态路由的安全；在企业网络的建设中我们方案采用浮动 静态路由、动态路由、策略路由的方式实现路由的冗余备份? 可扩展性， 网络发展极为迅速，用户需求也在不断提高，当为扩展业务范围而增加设备 时，能够方便、有效地接入，不至于因网络结构的局限性，而重新调整网络设备，由此而带 来不安全因素；在在企业网络的安全建设中我们方案采用成熟的网络技术来构建这个网络基 础设施，例如采用802.3 技术，也就是目前普遍使用的以太网技术? 根据网络目前的实

21、际情况，现有的网络结构仍然保持不变，在下一次网络改造中主要遵 循这个原则就可以了? 4.2.2 访问控制 企业网络系统的访问控制可以通过配备访问控制设备来实现? 对于内部网络，根据用户实际的业务数据流向和我们对网络安全的理解与经验，我们重 新划分了不同强度的网络安全域?要实现不同安全域之间的访问控制，在实现高效的访问控 制的同时，又要保证内网中关键的业务数据可以正常通过防火墙设备?通过配置安全的访问 控制策略可以过滤进、出防火墙的数据包；管理进、出网络的访问行为；封堵某些禁止的访 问；记录通过防火墙的信息内容和活动；对网络攻击的检测和告警? 根据需要我们重新划分了七个网络安全域，在不同的安全域

22、之间分别放置了防火墙设 备，设备的部署情况描述如下： 第6页共 20 页 课程设计说明书（论文）用纸 1、根据内网业务数据的实际情况，我们在核心交换机和CATALYST3500 之间部署一台 天融信公司的NGFW4000-E 防火墙产品，以保障所有对安全域一中的数据库进行调用时长 连接的正常转发，不会因为防火墙的原因造成数据调用的失败，从而影响正常的业务应用? 2、由于网络视频、视频会议、网络电话等应用对防火墙的要求很高，不断要求防火墙 能够对H.323、MMS 、RTSP、NETMeeting 、SIP 等协议有很好的支持，并且对防火墙的转 发率、 对数据的延迟、丢包率以及对突发数据的处理能

23、力都有严格的要求，因此在单独部署 了一台清华德实公司的防火墙产品，以满足业务对防火墙的这种高要求的需要? 3、在安全域二和核心交换机之间部署一台清华德实公司的防火墙，这样不仅能够保护 原有的设备投资，也能够满足基本的访问控制的要求? 4、在安全域三中部署了很多常见应用服务器，包括WEB 服务器、邮件服务器、DNS 服务器等， 这些服务器对网络的稳定性、转发速率和安全性有非常高的要求，一旦这些服务 器出现问题整个办公系统将会瘫痪，严重影响办公效率，因此在安全域三和核心交换机之间 部署一台天融信公司的NGFW4000 防火墙，并且在邮件服务器的前端部署冠群金辰公司的 KSG 防病毒过滤网关，以满足

24、基本的访问控制的要求和系统对网络的稳定性、转发速率和 安全性的高要求? 5、安全域四是内部终端用户区，分部在各个楼层，并且链路是光纤接口，如果部署防 火墙系统，一是设备数量很多，二是光纤设备非常昂贵，这样部署防火墙设备的造价很高， 大量的投入也并不能提高网络的安全状况，但我们可以在连接终端用户的三层交换机端口上 进行简单的访问控制，满足基本的访问控制要求?能否实现这个功能要看三层交换机的功能。 6、在安全域五和核心交换机之间部署一台清华德实公司的防火墙，这样不仅能够保护 原有的设备投资，也能够满足基本的访问控制的要求? 7、在安全域六和核心交换机之间部署一台清华德实公司的防火墙，这样不仅能够保

25、护 原有的设备投资，也能够满足基本的访问控制的要求? 天融信防火墙NGFW4000 在保证高可用性和高可靠性的同时还在以下几个方面起着重 要的作用： 1. 通过防火墙的规则设置隔离了数据库安全域与其它安全域，实现了保护关键业务的 应用、控制对服务器的访问、记录和统计网络利用数据以及非法使用数据和策略执行等功能。 到数据库安全域的全部通信都受到防火墙的监控，通过防护墙的策略可以设置成相应的保护 级别，以保证系统的安全? 2. 过滤网络中不必要传输的无用数据?防火墙是一种网关型的设备，各个区域之间的通 第7 页共 20 页 课程设计说明书（论文）用纸 信，可以通过防火墙的添加规则策略保障，如果在防

26、火墙上添加一些有关重要应用的策略， 就可以过滤掉部分无用的信息，只要网络中传输必要的应用数据，比如封闭目前常见的蠕虫 病毒使用的端口? 3. 防火墙具有流量控制的特性，可以依据应用来限制流量，来调整链路的带宽利用， 如：在网络中，有数据库调用应用、域登陆应用等等，可以在防火墙中直接加载控制策略， 使数据库调用应用、域登陆应用按照预定的带宽进行数据交换?实现流量控制，调整链路带 宽利用的功能? 4. 在天融信防火墙上还可以防止恶意的内部员工通过网络对数据库安全域的服务器 TCP/UDP 端口进行非法扫描，消除系统安全的隐患?可防止恶意的内部员工通过网络对数据 库安全域的服务器进行源路由攻击、IP

27、 碎片包攻击、DNS / RIP / ICMP 攻击、 SYN 攻击、 拒绝服务攻击等多种攻击?天融信防火墙提供入侵检测的功能，当发现重要服务器被攻击时， 防火墙将自动报警并根据策略进行响应? 5. 对于防火墙自身来说，日志的导出、日志服务器的安装，可使得通过防火墙的数据 访问加以统计，为优化网络提供必要的数据，日志服务器可以完成，每个不同的源访问的流 量统计，可以了解到每个源的流量是否在正常范围内，等等?这样的数据对于网络安全是十 分重要的 ? 6. 防火墙提供应用级透明代理，可以对高层应用(HTTP 、FTP、SMTP 、POP3、NNTP) 做了更详细控制，如HTTP 命令(GET，PO

28、ST ，HEAD 及)URL，FTP 命令(GEI，PUT) 及文件控 制，也就是说， 在的网络中当通过防火墙对数据库安全域进行访问时，可在应用层上做更详 细的访问控制? 7. 通过在数据库安全域添加入侵检测系统，保证入侵检测系统与防火墙产生联动?当网 络中发生攻击时，向防火墙发送策略，将攻击行为进行过滤，使攻击行为的数据无法到达目 的主机，实际上是斩断了攻击的路径?如此往复，可以提供大量时间来追测攻击源，采取相 应措施 ?全面的联动延长了安全管理的触角，增加了安全管理的手段，加大了安全管理的强 度? 4.2.3 入侵检测 防火墙的主要功能是对进出防火墙的数据进行访问控制，防火墙无法阻止由于防

29、火墙配 置有误或者绕过防火墙而进入网络的非法数据?数据一旦通过防火墙进入网络后，如果操作 系统或者应用系统本身存在漏洞，由于防火墙系统是一个静态、被动的设备， 这时候就无能 第8 页共 20 页 课程设计说明书（论文）用纸 为力了，入侵检测系统作为防火墙的一个有益补充，完全可以胜任此工作?入侵检测是根据 已有的、最新的攻击手段的信息代码对进出各个安区域的所有操作进行主动的实时监控、审 查，并按制定的策略实行响应(阻断、报警、发送E-mail) ，同时进行日志记录，并且入侵检 测系统的动态防御还能实现入侵检测系统和防火墙及其它特定网络安全系统之间的互动(如 路由器 )，动态的保护网络不受恶意的入

30、侵及来自于内部的攻击?根据企业内网的实际网络环 境以及应用情况，我们方案目前只在数据库安全域部署一套入侵检测系统，以后可以根据业 务的重要程度在需要的安全域添加入侵检测系统，以实现对数据进行主动的实时监控、审查， 以发现违规行为，并对违规行为进行处理(报警、阻断、与防火墙进行联动等)?管理员也可 以定期的生产各种报表，根据报表及时的调整安全策略，完善网络中存在的安全问题。 4.2.4 病毒防护 目前企业内网已经部署了一套完整的防病毒解决系统，包括客户端防病毒、服务器防病 毒、群件系统防病毒、网关防病毒系统以及统一的升级、管理、监控，但面对日益猖狂的病 毒，特别是蠕虫型的病毒，单靠一套完整的防病

31、毒系统已经难以解决问题?一套优秀的防病 毒解决方案不但要有一套完整的技术解决方案，还要有一个勤奋努力的网络管理员和严格的 管理制度 ? 4.2.5 数据备份与恢复 备份系统为一个目的而存在：存档备份； 当需要时， 尽可能快地全盘恢复运行计算机系 统所需的数据和系统信息?根据系统安全需求可选择的备份机制有：场地内高速、高容量自 动的数据存储、备份与恢复，场地外的数据存储、备份与恢复；对系统设备的备份?备份不 仅在网络系统硬件故障或人为失误时起到保护作用，也在入侵者非授权访问或对网络攻击破 坏数据完整性时起到保护作用，同时亦是系统灾难恢复的前提之一? 一般的数据备份操作有三种?一是全盘备份，即将所

32、有文件写入备份介质；二是增量备 份，只备份那些上次备份之后更改过的文件，是最有效的备份方法；三是差量备份，备份上 次全盘备份之后更改过的所有文件，其优点是只需两组磁带就可恢复最后一次全盘备份的磁 带和最后一次差分备份的磁带? 在进行备份的过程中，常使用备份软件，它一般应具有以下功能?备份数据的完整性， 并具有对备份介质的管理能力；支持多种备份方式，可以定时自动备份，还可设置备份自动 启动和停止日期；支持多种文件格式的备份；支持多种校验手段(如字节校验、 CRC 循环冗 第9页共 20 页 课程设计说明书（论文）用纸 余校验、快速磁带扫描)，以保证备份的正确性；提供联机数据备份功能；支持RAID

33、容错 技术和图像备份功能? 在企业网络系统中，已经根据自己实际的业务需求建立了比较完善的备份及恢复系统。 4.3 安全管理 面对网络安全的脆弱性，除了在网络设计上增加安全服务功能，完善系统的安全保密措 施外，还必须花大力气加强网络的安全管理规范的建立，因为诸多的不安全因素恰恰反映在 组织管理和人员录用等方面，而这又是计算机网络安全所必须考虑的基本问题，所以应引起 各计算机网络应用部门领导的重视? 安全管理可以通过相应的规章制度来实现? 制订完善的管理制度，包括：机房安全管理制度，安全设施系统操作制度，网络、系统 安全操作规程，数据备份制度，普通用户操作规范等? 4.3.1.安全管理原则 网络信

34、息系统的安全管理主要基于三个原则? 1、多人负责原则 每一项与安全有关的活动，都必须有两人或多人在场?这些人应是系统主管领导指派的， 他们忠诚可靠，能胜任此项工作；他们应该签署工作情况记录以证明安全工作已得到保障? 以下各项是与安全有关的活动： （1）访问控制使用证件的发放与回收； （2）信息处理系统使用的媒介发放与回收； （3）处理保密信息； （4）硬件和软件的维护； （5）系统软件的设计、实现和修改； （6）重要程序和数据的删除和销毁等； 2、任期有限原则 一般地讲，任何人最好不要长期担任与安全有关的职务，以免使他认为这个职务是专有 的或永久性的?为遵循任期有限原则，工作人员应不定期地循环

35、任职，强制实行休假制度， 并规定对工作人员进行轮流培训，以使任期有限制度切实可行? 3、职责分离原则 第10页共 20 页 课程设计说明书（论文）用纸 在信息处理系统工作的人员不要打听、了解或参与职责以外的任何与安全有关的事情， 除非系统主管领导批准? 出于对安全的考虑，下面每组内的两项信息处理工作应当分开? （1） 计算机操作与计算机编程； （2） 机密资料的接收和传送； （3） 安全管理和系统管理； （4） 应用程序和系统程序的编制； （5） 访问证件的管理与其它工作； （6） 计算机操作与信息处理系统使用媒介的保管等? 4.3.2.安全管理的实现 信息系统的安全管理部门应根据管理原则和该

36、系统处理数据的保密性，制订相应的管理 制度或采用相应的规范?具体工作是； 1、根据工作的重要程度，确定该系统的安全等级? 根据确定的安全等级，确定安全管理的范围? 2、制订相应的机房出入管理制度 对于安全等级要求较高的系统，要实行分区控制，限制工作人员出入与己无关的区域。 出入管理可采用证件识别或安装自动识别登记系统，采用磁卡、 身份卡等手段，对人员进行 识别、登记管理? 3、制订严格的操作规程 操作规程要根据职责分离和多人负责的原则，各负其责，不能超越自己的管辖范围? 4、制订完备的系统维护制度 对系统进行维护时，应采取数据保护措施，如数据备份等?维护时要首先经主管部门批 准，并有安全管理人

37、员在场，故障的原因、维护内容和维护前后的情况要详细记录? 5、制订应急措施 要制订系统在紧急情况下，如何尽快恢复的应急措施，使损失减至最小?建立人员雇用 和解聘制度，对工作调动和离职人员要及时调整相应的授权? 第五章安全设备配置 上面列出了我们对企业内网系统网络安全措施的总体原则，下面结合具体网络结构情 第11页共 20 页 课程设计说明书（论文）用纸 况，就安全设备的配置和相应的安全策略做一描述? 5.1 企业内网网络安全拓扑图 网络连接见下图： 图 5.1 企业内网网络安全设备配置图 5.2 企业内网网络安全设备配置列表 企业内网网络安全设备配置见下表： 表 5.1 企业内网网络安全配置表

38、 序号产品名称产品型号数量生产商备注 1 入侵检测系统NGIDS-E 1 台启明星辰已有 防火墙系统NGFW4000-E 1 台天融信公司新增 2 NGFW4000 1 台天融信公司已有 防火墙4 台清华德实已有 3 病毒防护系统网络版防病毒软件1 套已有 第12 页共 20 页 课程设计说明书（论文）用纸 防病毒网关1 台冠群金辰已有 第六章附件 6.1 防火墙产品介绍 产品名称： NG FW-4000 生产厂商：北京天融信公司 北京天融信公司是我国最早专业从事因特网(Internet) 及计算机通信网络信息安全研究、 产品开发、系统集成与安全服务的高科技企业之一? 1996 年 6 月，天

39、融信公司就推出了我国第一套具有完全国内自主版权的防火墙系统， 并在相关单位成功应用? 目前，天融信公司已成功开发出了防火墙系列产品和其他信息安全产品，并分别获得了 公安部、国家安全部、国家保密局、国家密码管理委员会、中国人民解放军总参谋部等国家 或军队信息安全保密主管部门的许可或认证? 天融信公司推出的网络安全系列产品在国内的邮电、电子、教育、科研、国防等行业及 国家政府部门、企事业单位得到广泛应用，赢得了政府、社会和用户的广泛赞誉? 天融信防火墙4000 的特性 : 采用自主版权的专用安全操作系统，保证了防火墙自身的安全性；一般建立在通用操作 系统之上的防火墙，它的安全性很大程度上依赖操作系

40、统本身的安全，采用专用操作系统的 防火墙，极大提高了防火墙自身和所保护网络的安全性? 模块化结构设计，可扩展性好， 方便用户定制与升级；网络卫士防火墙使用模块化设计， 可依据用户的特定安全需求定制? 采用面向对象的管理；面向对象的管理方式，极大的提高了管理的方便性和灵活性? 可选 VPN 模块；防火墙拥有VPN 模块，可以更加安全地实现对企业网的保护? 全状态检测技术；状态检测技术是任何一个高性能防火墙必须采用的技术，能保证最高 水平的网络安全和性能? 采用独创的透明路由混合工作模式，方便灵活接入和部署；网络卫士防火墙支持多种工 作模式，可以透明接入与透明连接，不影响原有网络设计和配置；也可以

41、路由模式接入，提 供路由功能； 还有独创的混合工作模式，使透明模式和路由模式同时工作，极大提高网络应 用的灵活性 ? 第13 页共 20 页 课程设计说明书（论文）用纸 高性能， 高吞吐率； 防火墙的接入不影响原来网络的性能，消除了传统防火墙的网络带 宽瓶颈，有效的保证了用户使用的高效性和安全性? 专用硬件设计；高集成度，高可靠性? 采用多接口设计；防火墙的多接口设计一方面可以灵活适用用户网络的改变，另一个更 为重要的方面是可以形成多个网络，并将其中一个网络作为SSN，即把这个网络(一般是对 外公共服务器网络)作为一个独立网络来处理? SSN 的方法提供的安全性要比传统的“隔离区(DMZ) ”

42、方法好得多，因为DMZ 网络只 起到了将公共服务器与内部网相分离的作用，并没有起到隔离子网的作用?而 SSN 更好的达 到了一种保护子网的作用?对 SSN 上的主机既可单独管理，也可设置成通过FTP、Telnet 等 方式从内部网上进行管理? 多种安全灵活的管理方式，保证了管理的灵活性；本地、远程多种管理方式，安全策略 的定义既有GUI 模式、又可采用命令行的形式，保证了整个网络高性能、可伸缩性和灵活 的管理控制?在进行远程管理时，管理机和防火墙之间的通讯可进行加密以保证安全，真正 实现远程管理? 提供负载均衡功能，保证系统在安全的环境中达到最高的性能? 提供双机热备份功能，增加系统运行中的安

43、全性? 天融信防火墙基本功能： 1) 防火墙应支持多种工作模式；透明、路由以及透明加路由的混合模式? 2) 防火墙访问控制策略能够基于源、目IP 地址，源、目端口号和时间进行设置? 3) 支持 IP 与 MAC 地址的绑定，可以扩展IP+mac+ 用户名密码同时绑定，彻底防止IP 盗用? 4)身份认证协议支持，具有多个认证方案，如 RADIUS 、OTP 、S/KEY 、SECUREID 、 TACACS/TACACS+ 、口令方式、数字证书等? 5) 防火墙应采用先进的状态检测技术 6) 可支持动态、静态、双向的网络地址转换(NAT) ? 7)具备完善的日志功能，能够提供日志自动导出功能，支

44、持向日志服务器导出日志? 8) 能够与第三方安全产品进行联动，尤其是与IDS 产品的联动，注明联动协议，举例 说明? 9) 支持分级带宽管理，可以利用防火墙对带宽进行精细的控制? 10) 应支持常见的动态路由协议，如OSPF 、RIP、RIPII，支持生成树协议并能参与生 第14 页共 20 页 课程设计说明书（论文）用纸 成树算法计算? 11) 防火墙应支持SNMP 协议，同时提供相应的MIB 库文件，能通过第三方网管软件 对防火墙进行监测和控制? 12)可扩展支持VPN 功能? 13)要求能够提供基于源地址和目的地址的路由功能? 14)应支持 802.1Q 、Cisco ISL 等 VLA

45、N 协议，不仅能够识别协议而且可以给VLAN 做 路由? 15)支持 WATCH DOG 电路，能够实现防火墙的自动检测和恢复 16)支持基于服务器的负载均衡技术，支持基于网络的负载均衡技术? 17)支持基于数据库的长连接应用 技术性能指标： 1)标准提供3 个 10/100Base-TX 自适应百兆端口，可以扩展到7 个接口； 2)最大并发连接数在1600，000 以上； 3)吞吐量不低于100M ； 4)平均无故障时间MTBF：不低于60000 小时? 6.2 天融信安全服务介绍 6.2.1 专业的安全服务描述 北京天融信科技公司是经国家信息安全产品测评认证中心认证通过的第一批具有网络 安

46、全服务资质的单位，同时公司拥有专业的通过国家认可的可信的安全服务专业人员，目前 主要提供以下服务内容； 安全顾问服务 1、根据用户的安全需求协助其制定安全方针、安全策略 2、在安全方针、安全策略的指导下为客户设计详细的安全解决方案，包括管理方案、 技术方案、运行维护方案 3、根据方案为客户设计产品招标书、服务招标书、评标原则 安全评估服务 1、信息资产的界定2、信息资产的赋值 3、资产弱点的评估4、资产面临威胁的评估 第15 页共 20 页 课程设计说明书（论文）用纸 5、现有安全措施的评估6、安全弱点综合分析 7、安全威胁综合分析8、安全风险综合分析 评估包括技术评估、业务评估、 管理流程评

47、估三个层面；技术评估层面包括人工评估和 采用安全工具进行扫描、渗透测试等手段?业务和管理流程评估侧重于人工访谈和调查。 安全检测加固服务 1、利用安全工具或者通过人工服务对客户信息系统的脆弱性、配置、策略等进行检测。 2、根据检测结果，利用多种技术手段对客户信息系统进行安全加固、策略调整和配置 优化? 安全通告服务 以安全通告的形式为客户提供最新的安全动态、安全漏洞信息、病毒信息、 安全培训信 息等；同时为客户提供对应的解决方案，包括漏洞补丁的下载地址、病毒的预防方法、需要 在设备上做哪些配置改动等? TCSP 认证培训 学期 40 课时，约五天，理论教学+ 实践演示；有教材、教学连续剧VCD

48、 ；网上考试， 通过者颁发TCSE 认证证书，主要针对信息安全管理维护人员、信息安全实施人员等? CISP 认证培训 学期 56 课时，理论教学+ 实践演示；有教材、教学连续剧VCD；国家信息安全测评中 心命题、监考、发证，通过者颁发CISP 认证证书 ? 安全管理服务 1、天融信安全运营中心对客户的设备或者服务器进行远程在线监控，包括设备的连通 性、设备的流量、资源利用率等，发现问题及时通知客户进行处理? 2、对客户设备的日志进行远程审计和分析，将被监控设备的日志安全的传输到天融信 安全运营中心，由安全专家进行审计，定期为客户提供相应的审计报告和方案方案? 3、定期为客户提供安全通告服务 安

49、全应急响应服务 1、最短时间内修复系统 2、查找入侵来源，清除系统中的后门 3、对被入侵系统进行安全增强和加固 4、为客户提供详细的解决方案 5、提供详细的事件处理报告 第16页共 20 页 课程设计说明书（论文）用纸 安全认证咨询服务 1、标准导入 2、风险评估；对信息系统进行全面风险评估 3、管理体系建设；根据风险评估结果，建立一套风险管理体系，包括建立程序文件、 部署安全技术与产品等 4、内审，同时为客户培养内审员 5、邀请第三方认证机构进行安全认证 6、通过认证后获得系统安全认证证书 6.2.2 服务范围 经用户书面授权许可操作的各种网络、主机系统 6.2.3 服务方式 现场、电话、远程连接技术支持? 6.2.4 服务实现目标 国际标准ISO17799 定义信息安全具有保护以下三个方面的特点； a) 机密性；保证信息只被经过授权的人使用； b) 完整性；保护信息与处理方法的精确与完整； c) 可用性；保证当经过授权的用户需要时即可享用信息与相关资产? 要实现的信息安全是可通过实施合适的信息安全管理来获得的，这些管理可以是策略、 实践、进程、机构结构和软件等?这些管理的建立需要保证满足机构特定的安全目标。安全 目标可以理解为以下几点要素： 1、保护可用性2、保护机密性3、保护完整性 4、授权机制5、审计能力6、恢复能力 6.2.5 服务标准和规范 ISO154