信息化系统网络安全解决方案

信息化系统安全网络解决方案设计

东莞市

2014年4月16日

系统的意义与目的

近年来，中国的网络发展非常迅速，同时，中国的网络安全也越来越引起人们的关注，国家权威部门曾对国内网站的安全系统进行测试，发现不少单位的计算机系统都存在安全漏洞，有些单位还非常严重，随时可能被黑客入侵。任何网络都不是绝对安全的，值得一提的是，当前一些单位在急忙赶搭"网络快车"时，只管好用，不管安全，这种短视必然带来严重的恶果，因此，从思想上提高对计算机网络安全重要性的认识，是我们当前的首要任务。本套系统设计的目的就是改善当前薄弱的网络安全状况，让Internet的发展给政府机构、企事业单位带来了革命性的改革和开放，使得他们能够利用网络提高办事效率和市场反应能力，以便更具竞争力。

当前网络状况调研

我们会根据以下调研的反馈结果，结合贵企业的未来信息化发展规划，定制一套合适的信息化系统网络安全解决方案：

1.贵企业目前使用的计算机数量多少？

2.贵企业专职从事信息技术工作的人员有多少人？

3.贵企业内部计算机是通过什么方式上网？（单独拨号，内网路由，代理服务器，其他）

4.内部员工可以自由访问互联网吗？（不可以，部分可以，全部可以）

5.关键部门（如财务部）与其他部门的PC能互相访问吗？是否需要限制？

6.外地分支机构可以连入本部的内网吗？

7.贵企业的网站是在外面托管，还是在集团内部机房？

8.贵企业目前的上网外线有多少条？专线光纤/拨号光纤/拨号铜缆/其他，分别的电信运

营商及上下行带宽多少？是合并带宽共享，还是分别用于不用用途？

9.贵企业在哪些方面采用的信息化管理？（财务管理，进销存管理，生产制造管理，物流

配送管理，客户关系管理，人力资源管理，其他）

10.贵企业当时网络状况是否有影响正常工作的地方？具体体现怎样？

11.贵企业对网络安全方面还有什么其他要求？

方案概述

根据贵企业的未来的发展目标和方向，以及贵企业人员的不断扩展和核心机房的扩大，为了进一步加强贵企业的服务器端和客户端的安全，防止外来的病毒侵害，恶意程序代码的攻击，加强维护贵企业的核心机密和员工的研发成果。实行统一的网络管理的配置防火墙方案。

几种流行防火墙配置方案分析与对比(组图)的建议

最简单的防火墙配置，就是直接在内部网和外部网之间加装一个包过滤路由器或者应用网关。为更好地实现网络安全，有时还要将几种防火墙技术组合起来构建防火墙系统。目前比较流行的有以下三种防火墙配置方案。

1、双宿主机网关(Dual Homed Gateway)

这种配置是用一台装有两个网络适配器的双宿主机做防火墙。双宿主机用两个网络适配器分别连接两个网络，又称堡垒主机。堡垒主机上运行着防火墙软件(通常是代理服务器)，可以转发应用程序，提供服务等。双宿主机网关有一个致命弱点，一旦入侵者侵入堡垒主机并使该主机只具有路由器功能，则任何网上用户均可以随便访问有保护的内部网络(如图1)。

2、屏蔽主机网关(Screened Host Gateway)

屏蔽主机网关易于实现，安全性好，应用广泛。它又分为单宿堡垒主机和双宿堡垒主机两种类型。先来看单宿堡垒主机类型。一个包过滤路由器连接外部网络，同时一个堡垒主机安装在内部网络上。堡垒主机只有一个网卡，与内部网络连接(如图2)。通常在路由器上设立过滤规则，并使这个单宿堡垒主机成为从Internet惟一可以访问的主机，确保了内部网络不受未被授权的外部用户的攻击。而Intranet内部的客户机，可以受控制地通过屏蔽主机和路由器访问Internet。

双宿堡垒主机型与单宿堡垒主机型的区别是，堡垒主机有两块网卡，一块连接内部网络，一块连接包过滤路由器(如图3)。双宿堡垒主机在应用层提供代理服务，与单宿型相比更加安全。

3、屏蔽子网(Screened Subnet)

这种方法是在Intranet和Internet之间建立一个被隔离的子网，用两个包过滤路由器将这一子网分别与Intranet和Internet分开。两个包过滤路由器放在子网的两端，在子网内构成一个“缓冲地带”(如图4)，两个路由器一个控制Intranet数据流，另一个控制Internet数据流，Intranet和Internet均可访问屏蔽子网，但禁止它们穿过屏蔽子网通信。可根据需要在屏蔽子网中安装堡垒主机，为内部网络和外部网络的互相访问提供代理服务，但是来自两网络的访问都必须通过两个包过滤路由器的检查。对于向Internet公开的服务器，像WWW、FTP、Mail等Internet服务器也可安装在屏蔽子网内，这样无论是外部用户，

还是内部用户都可访问。这种结构的防火墙安全性能高，具有很强的抗攻击能力，但需要的设备多，造价高。

当然，防火墙本身也有其局限性，如不能防范绕过防火墙的入侵，像一般的防火墙不能防止受到病毒感染的软件或文件的传输;难以避免来自内部的攻击等等。总之，防火墙只是一种整体安全防范策略的一部分，仅有防火墙是不够的，安全策略还必须包括全面的安全准则，即网络访问、本地和远程用户认证、拨出拨入呼叫、磁盘和数据加密以及病毒防护等有关的安全策略。

贵企业的定制方案

根据反馈回来的情况具体定制解决方案及硬件选型。