企业网络安全规划与设计

企业网络安全规划与设计

企业网络安全已成为当今值得关注的问题，它的重要性是不言而喻的，对于大多数网络黑客来说，成功地入侵一个企业特别是著名企业的网络系统，具有证明和炫耀其能耐的价值，尽管这种行为的初衷也许并不具有恶意的目的；窃取企业的网络数据，甚至破坏其网络系统，更加具有现实和长远的商业价值。因此，如何保障企业网络的安全变得重要起来。

网络安全性包括信息安全性，网络本身的安全性，保证系统的安全性。要从管理和技术角度制定不同的安全策略。安全设备的技术性能和功能，必须满足行业系统管理体制的要求，即能基于网络实现安全管理，具有接受网络信息安全管理机构管理的能力，还要不影响原网络拓扑结构。

在对企业局域网网络系统安全方案设计、规划时，也应遵循一定的原则。首先需求、风险、代价平衡的原则：对任一网络，绝对安全难以达到，也不一定是必要的。对一个网络进行实际额研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。一致性原则：一致性原则主要是指网络安全问题应与整个网络的工作周期（或生命周期）同时存在，制定的安全体系结构必须与网络的安全需求相一致。安全的网络系统设计（包括初步或详细设计）及实施计划、网络验证、验收、运行等，都要有安全的内容及措施，实际上，在网络建设的开始就考虑网络安全对策，比在网络建设好后再考虑安全措施，不但容易，且花费也小得多。适度安全性原则：系统安全方案应充分考虑保护对象的价值与保护成本之间的平衡性，在允许的风险范围内尽量减少安全服务的规模和复杂性，使之具有可操作性，避免超出用户所能理解的范围，变得很难执行或无法执行。易操作性原则：安全措施需要人为去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。其次，措施的采用不能影响系统的正常运行。多重保护原则：任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。

局域网络系统建成之后，应该达到如下的目标：建立一套完整可行的网络安全与网络管理策略；将内部网络、公开服务器网络和外网进行有效隔离，避免与外部网络的直接通信；建立网站各主机和服务器的安全保护措施，保证他们的系统安全；对网上服务请求内容进行控制，使非法访问在到达主机前被拒绝；加强合法用户的访问认证，同时将用户的访问权限控制在最低限度；全面监视对公开服务器的访问，及时发现和拒绝不安全的操作和黑客攻击行为；加强对各种访问的审计工作，详细记录对网络、公开服务器的访问行为，形成完整的系统日志；备份与灾难恢复——强化系统备份，实现系统快速恢复；加强网络安全管理，提高系统全体人员的网络安全意识和防范技术。

通常网络中的安全隐患，会涉及这样一些内容：网络的物理安全，主要是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获。以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。它是整个网络系统安全的前提，在这个企业区局域网内，由于网络的物理跨度不大，，只要制定健全的安全管理制度，做好备份，并且加强网络设备和机房的管理，这些风险是可以避免的。

保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提，物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。主要包括：设备安全，设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等；媒体安全，媒体数据的安全及媒体本身的安全。

还有其他的安全隐患，黑客们利用系统和管理上的漏洞，进入企业网的内部，篡改一些数据，例如将自己变为高级用户，或者监听登录会话，窃取他人的账户和口令；还有包括病毒、蠕虫、特洛伊木马等恶意代码；能够通过mail、internet传播的病毒；还有一些对网络的攻击手段，没有预先经过同意，就使用网络或计算机资源被看作非授权访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息，例如，假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作；破坏数据的完整性，使得信息/数据失去了原有的真实性，从而变得不可用或造成广泛的负面影响；以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应，恶意添加，修改数据，以干扰用户的正常使用。搭线(网络)窃听攻击者可以采用如Sniffer等网络协议分析工具，在internet网络安全的薄弱处进入internet，并非常容易地在信息传输过程中获取所有信息(尤其是敏感信息)的内容。

网络安全技术可以分为如下几大类，即：身份认证技术、防火墙技术、入侵检测技术、病毒防治技术、网络数据完整性技术和网络活动审计技术。他们应用于网络活动的不同阶段，来保护网络内的信息资源。

整个企业的局域网按访问区域可以划分为三个主要的区域：Internet区域、内部网络、公开服务器区域。内部网络又可按照所属的部门、职能、安全重要程度分为许多子网。企业局域网一般都进行文件共享、办公自动化、WWW服务、电子邮件服务，文件数据的统一存储，提供与Internet的访问，通过公开服务器对外发布企业信息、发送电子邮件等。

网络运行环境下，系统与系统、系统与用户、用户与用户之间频繁交换各种数据、信息，如电子文件、文档、报文甚至数据或代码。在网络通信环境下，也经常有假冒源点身份将报文插入网络中，或者假的报文接收者发回假确认，或不予接收；还有篡改报文内容、报文序号；报文延迟或回收；否认收到报文或否认发送报文等。在企业网络中，企业的账务、人事、新产品等重要的数据，不得随意修改。因此，除使用一般的网管软件和系统监控管理系统外，还应使用目前较为成熟的网络监控设备或实时入侵检测设备，以便对进出各级局域网的常见操作进行实时检查、监控、报警和阻断，从而防止针对网络的攻击与犯罪行为。数字签名可以防止否认收到报文或否认发送报文这类问题，所以解决的方法就是，对这些数据库的录入与修改的操作者的身份进行认证，也可用数字签名、证书技术保证数据交换过程中用户和信息的有效性，用于标明信息分发者的身份和对交换信息的认可，接收方也可以通过验证数字签名以判断信息是否来源于指定用户，以及交换信息的完整性。存取控制规定何种主体对何种客体具有何种操作权利，也是内部网络安全理论的重要方面，主要包括人员限制、数据标识、权限控制、控制类型和风险分析。

在内部网与外部网之间，设置防火墙实现内外网的隔离与访问控制是保护内部网安全的最主要、同时也是最有效、最经济的措施之一。防火墙设置在不同网络或网络安全域之间信息的唯一出入口。包过滤防火墙工作在网络层上，有选择的让数据包在内部网络与外部网络之间进行交换。一般利用IP和TCP包的头信息对进出被保护网络的IP包信息进行过滤，能根据企业的安全政策来控制（允许、拒绝、监测）出入网络的信息流。同时可实现网络地址转换（NAT）、审记与实时告警等功能。代理服务防火墙也有一定功效，是一种增加了安全功能的应用层网关，位于internet和intranet之间，自动截取内部用户访问internet的请求，验证其有效性，代表用户建立访问外部网络的连接。代理服务器在很大程度上对用户是透明的，如果外部网络个站点之间的连接被切断了，必须通过代理服务器方可相互连通。

网络系统的安全性取决于网络系统中最薄弱的环节，所以要及时发现并修正网络中存在的弱点和漏洞。网络安全检测工具通常是一个网络安全性评估分析软件，其功能是用实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安全策略，达到增强网络安全性的目的。这样，防火墙将得到合理配置，内外WEB站点的安全漏洞减为