公司网络安全解决方案模板.doc

xx公司网络安全解决方案1第3页
业三级网络结构，VPN设置如下图所示：
每一级的设置及管理方法相同。

即在每一级的中心网络安装一台VPN设备和一台VPN认证服务器(VPN-CA)，在所属的直属单位的网络接入处安装一台VPN 设备，由上级的VPN认证服务器通过网络对下一级的VPN设备进行集中统一的网络化管理。

可达到以下几个目的：
网络传输数据保护：由安装在网络上的VPN设备实现各内部网络之间的数据传输加密保护，并可同时采取加密或隧道的方式进行传输；
网络隔离保护：与INTERNET进行隔离，控制内网与INTERNET的相互访问；
集中统一管理，提高网络安全性；
降低成本(设备成本和维护成本)；
其中，在各级中心网络的VPN设备设置如下图：
由一台VPN管理机对CA、中心VPN设备、分支机构VPN 设备进行统一网络管理。

将对外服务器放置于VPN设备的DMZ 口与内部网络进行隔离，禁止外网直接访问内网，控制内网的对外访问、记录日志。

这样即使服务器被攻破，内部网络仍然安全。

下级单位的VPN设备放置如下图所示：
从上图可知，下属机构的VPN设备放置于内部网络与路由
器之间，其配置、管理由上级机构通过网络实现，下属机构不需要做任何的管理，仅需要检查是否通电即可。

由于安全设备属于特殊的网络设备，其维护、管理需要相应的专业人员，而采取这种管理方式以后，就可以降低下属机构的维护成本和对专业技术人员的要求，从而降低企业的成本。

由于网络安全不是仅仅采用高档的安全产品就能解决，因此对安全设备的管理就显得尤为重要。

由于一般的安全产品在管理上是各自管理，因而很容易因为某个设备的设置不当，而使整个网络出现重大的安全隐患。

而用户的技术人员往往不可能都是专业的，因此，容易出现上述现象；同时，每个维护人员的水平也有差异，容易出现相互配置上的错误使网络中断。

所以，在安全设备的选择上应当选择可以进行网络化集中管理的设备，这样，由少量的专业人员对主要安全设备进行管理、配置，提高整体网络的安全性和稳定性。

（二）访问控制
由于xx广域网网络部分通过公共网络建立，其在网络上必定会受到来自INTERNET上许多非法用户的攻击和访问，如试图进入网络系统、窃取敏感信息、破坏系统数据、设置恶意代码、使系统服务严重降低或瘫痪等，因此，采取相应的安全措施是必不可少的。

通常，对网络的访问控制最成熟的是采用防火墙技术来实现的，本方案中选择带防火墙功能的VPN设备来实现网络安全隔离，可满足以下几个方面的要求：
1)控制外部合法用户对内部网络的网络访问；
2)控制外部合法用户对服务器的访问；
3)禁止外部非法用户对内部网络的访问；
4)控制内部用户对外部网络的网络；
5)阻止外部用户对内部的网络攻击；
6)防止内部主机的IP欺骗；
7)对外隐藏内部IP地址和网络拓扑结构；
8)网络监控；
9)网络日志审计。

由于采用防火墙、VPN技术融为一体的安全设备，并采取网络化的统一管理，因此具有以下几个方面的优点：
1)管理、维护简单、方便；
2)安全性高(可有效降低在安全设备使用上的配置漏洞)；
3)硬件成本和维护成本低；
4)网络运行的稳定性更高。

由于是采用一体化设备，比之传统解决方案中采用防火墙和加密机两个设备而言，其稳定性更高，故障率更低。

（三）入侵检测
网络安全不可能完全依靠单一产品来实现，网络安全是个整体的，必须配相应的安全产品。

作为必要的补充，入侵检测系统(IDS)可与安全VPN系统形成互补。

入侵检测系统是根据已有的、
最新的和可预见的攻击手段的信息代码对进出网络的所有操作行为进行实时监控、记录，并按制定的策略实行响应(阻断、报
警、发送E-mail)。

从而防止针对网络的攻击与犯罪行为。

入侵检测系统一般包括控制台和探测器(网络引擎)。

控制台用作制定及管理所有探测器(网络引擎)。

探测器(网络引擎)用作监听进出网络的访问行为，根据控制台的指令执行相应行为。

由于探测器采取的是监听而不是过滤数据包，因此，入侵检测系统的应用不会对网络系统性能造成多大影响。

入侵检测系统的设置如下图：
从上图可知，入侵检测仪在网络接如上与VPN设备并接使用。

入侵检测仪在使用上是独立网络使用的，网络数据全部通过VPN设备，而入侵检测设备在网络上进行疹听，监控网络状况，一旦发现攻击行为将通过报警、通知VPN设备中断网络(即IDS 与VPN联动功能)等方式进行控制(即安全设备自适应机制)，最后将攻击行为进行日志记录以供以后审查。

（四）漏洞扫描
作为一个完善的通用安全系统，应当包含完善的安全措施，定期的安全评估及安全分析同样相当重要。

由于网络安全系统在建立后并不是长期保持很高的安全性，而是随着时间的推移和技术的发展而不断下降的，同时，在使用过程中会出现新的安全问题，因此，作为安全系统建设的补充，采取相应的措施也是必然。

本方案中，采用漏洞扫描设备对网络系统进行定期扫描，对存在的系统漏洞、网络漏洞、应用程序漏洞、操作系统漏洞等进
行探测、扫描，发现相应的漏洞并告警，自动提出解决措施，或参考意见，提醒网络安全管理员作好相应调整。

2.3.2应用系统安全
（一）系统平台安全
各级网络系统平台安全主要是指操作系统的安全。

由于目前主要的操作系统
平台是建立在国外产品的基础上，因而存在很大的安全隐患。

企业网络系统在主要的应用服务平台中采用国内自主开发的安全操作系统，针对通用OS的安全问题，对操作系统平台的登录方式、文件系统、网络传输、安全日志审计、加密算法及算法替换的支持和完整性保护等方面进行安全改造和性能增强。

一般用户运行在PC机上的NT平台，在选择性地用好NT安全机制的同时，应加强监控管理。

（二）应用平台安全
企业网络系统的应用平台安全，一方面涉及用户进入系统的身份鉴别与控制，以及使用网络资源的权限管理和访问控制，对安全相关操作进行的审计等。

其中的用户应同时包括各级管理员用户和各类业务用户。

另一方面涉及各种数据库系统、WWW服务、E-MAIL服务、FTP和TELNET应用中服务器系统自身的安全以及提供服务的安全。

对于xx，在选择这些应用系统时，应当尽量选择国内软件开发商进行开发，系统类型也应当尽量采用国内自主开发的应用系统。

2.3.3病毒防护
因为病毒在网络中存储、传播、感染的方式各异且途径多种多样，所以我们利用全方位的企业防毒产品，对xx采用“层层设防、集中控制、以防为主、防杀结合”的策略。

具体而言，就是针对网络中所有可能的病毒攻击设置对应的防毒软件，通过全方位、多层次的防毒系统配置，使网络没有薄弱环节成为病毒入侵的缺口。

本方案中在选择杀毒软件时有几个方面的要求：具有卓越的病毒防治技术、程序内核安全可靠、对付国产和国外病毒能力超群、全中文产品，系统资源占用低，性能优越、可管理性高，易于使用、产品集成度高、高可靠性、可调配系统资源占用率、便捷的网络化自动升级等优点。

病毒对信息系统的正常工作运行产生很大影响，据统计，信息系统的60%瘫痪是由于感染病毒引起的。

（一）系统设计原则
为了更好的解决病毒的防范，一般要求病毒防范系统满足如下要求：
1)采用世界最先进的防毒产品与xx网络系统的实际需要相结合，确保xx 网络系统具有最佳的病毒防护能力的情况下综合成本最少；。