网络安全防护工作总结

通信网络安全防护工作总结

为提高网络通讯防护水平，从网络结构安全、网络访问控制、边界完整性几个大方向上采取一系列技术手段保障通信网络安全稳定,总结如下：

（1)网络冗余与备份

使用电信与网通双城域网冗余线路接入，目前电信城域网得接入带宽就是20Ｍ,联通城域网得接入带宽就是20Ｍ、可根据日后用户得不断增多与务业得发展需求再向相关网络服务提供商

定购更大得线路带宽。

(２)路由器安全控制

业务服务器及路由器之间配置静态路由,并进行访问控制列

表控制数据流向。Qｏs保证方向使用金(Dsｃp3２)，银(Dscp８),铜(Dscp０）得等级标识路由器得Qos方式来分配线路带宽得优先级，保证在网络流量出现拥堵时优先为重要得数据流与服务类型预留带宽并优先传送。

(3)防火墙安全控制

主机房现有配备有主备jｕnipｅr防火墙与深信服ｗａｆ防火墙,junｉｐer防火墙具备iｐｓ、杀毒等功能模块，深信服waｆ防火墙主要用于网页攻击防护,可防止sql注入、跨站攻击、黑客挂马等攻击。

防火墙使用Untrｕst,Ｔrunsｔ与DMＺ区域来划分网络,使用策略来控制各个区域之间得安全访问。

(4）IP子网划分/地址转换与绑定

已为办公区域,服务器以及各个路由器之间划分IP子网段，保证各个子网得IP可用性与整个网络得IP地址非重复性。使用NAＴ,PＡＴ,VIP,MＩP对内外网IP地址得映射转换,在路由器与防火墙上使用IP地址与MＡC地址绑定得方式来防止发生地址欺骗行为。服务器及各个路由器之间划分ＩＰ子网划分：172、１6、0、0／1６

(5)网络域安全隔离与限制

生产网络与办公网络隔离，连接生产必须通过连接vｐｎ才能连接到生产网络。在网络边界部署堡垒机,通过堡垒机认证后才可以对路由器进行安全访问操作,在操作过程中堡垒机会将所有操作过程视频录像，方便安全审计以及系统变更后可能出现得问题,迅速查找定位。另外路由器配置访问控制列表只允许堡垒机与备机IＰ地址对其登陆操作，在路由器中配置3Ａ认证服务,通过TACＡS服务器作为认证，授权。

（6)网络安全审记

网络设备配置日志服务,把设备相关得日志消息统一发送到

日志服务器上作记录及统计操作、日志服务器设置只允许网管主机得访问,保证设备日志消息得安全性与完整性。

logging ｂｕffｅred 102400

loｇging trap ｄebｕgginｇ

ｌｏggｉng sourcｅ－iｎteｒfaｃe Ｌoｏｐback０

loｇｇinｇＸＸ、XX、XＸ、ＸX(日志服务器IP)

(７)内外网非法连接阻断与定位

交换机划分Vｌaｎ方式隔离开内外网区域.关闭空闲没有使用得网络设备端口,防止非授权设备得私自接入网络、如发现非授权设备接入网络,可在日志服务器匹配端口关键字对其跟踪记录。内部网络用户则采用MAC地址绑定进行有效阻断。已为办公网络划分IＰ子网并做ＭＡＣ地址绑定,部署有深信服上网行为管理设备,防止非受权设备私自接入网络

(8）网络AＲP欺骗攻击

主机与服务器安装防火墙软件,将网关ＩＰ与MAＣ之间作ARP 绑定,防止因AＲP欺骗攻击导致设备无法连接网络.在PC上安装杀毒软件，使用上网行为管理防止非法连接外网，Aｒp 19２、1６8、1００、100 AAAA、BＢBＢ、CＣCC

(9)ＤOS／ＤＤOS攻击

已在防火墙部著DOS/DDOＳ攻击防范措施,具体有ＩCMＰ,U ＤP,ＳYN洪水攻击保护,ＳYＮ-ACＫ－ACK代理保护,会话数据流源地址与目标地址条目限制等。另外我们建立网络流量监控系流,可以即时反映流网实时流量,并与电信与联通网络服务提供商建立良好得沟通渠道,发现线路流量异常即时联系相关网管部请求协助检查.如防火墙无法解决得需人工干预查出受攻击得主机地址后配置访问列表过滤掉非法得异常流量。

（１０)网络设备最小化配置

所有网络设备(包括但不限于防火墙、路由器、交换机)一律要求最小化配置,关闭无用得协议，如RPC协议、ftp协议等, 只开放使用端口，非使用一律关闭。

（11）漏洞扫描

定期使用nessus漏洞扫描攻击对网络设备进行漏洞扫描,若扫描发现漏洞并进行漏洞修补。