企业网络安全案例分析概述.

13
使用安全评测工具



安全评测工具通过内置的已知漏洞和风险库，对 指定的系统进行全面的扫描 安全评测工具可以快速定位漏洞和风险 例：MBSA（Microsoft Baseline Security Analyzer，基准安全分析器）是微软提供的系统 安全分析及解决工具。 MBSA可以对本机或者网络上的Windows NT/2000/XP的系统进行安全性检测，还可以检测 其它的一些微软产品，诸如SQL7.0/2000、5.01以 上版本的Internet Explorer、IIS4.0/5.0/5.1和 Office2000/XP，并给出相应的解决方法。
9
用户的目标



―我们做了尽可能多的工作，努力提我们的响应速度，缩短解决问题的 时间，但是很多情况下我们总是在问题出现了之后才开始解决，在这 种情况下我们很难及时解决问题，每次都会有一天到两天大部份系统 不能使用，而且也无法对可能发生的问题做有效的估计” ------IT服务 中心的观点。 “我们在很多方面的工作都很成功，但是就是由于这些网络上令人讨 厌的病毒，造成了我们还是经常收到来自个方面的投诉，显然这不是 我们想看到的。我们需要严密的系统和严格的策略来保证我们业务系 统的稳定性和可用性” ------首席信息官（CIO）的观点。 “我们需要一个可靠、稳定、安全，易于管理和维护的IT解决方案， 以及基于此方案的优秀IT服务部门，用以支撑我们公司的运营，以及 未来的发展。”-------公司总裁(CEO)的观点。
企业网络安全设计：案例分析
1
Βιβλιοθήκη Baidu
内容

案例介绍 安全评估 安全方案设计
2
公司规模

A公司是一家从事太阳能，电力，石油，化 工，相关销售等项目等的公司。 公司总部设在上海，有200名员工，并在北 京拥有1家分公司，员工约100人。

3
公司的组织结构
上海总部 (200人) 行政部 人力资源部 管理部 公共关系部 固定资产部 采购部 IT总部 市场部 销售部 北京分公司（100人） 行政部 财务部 人力资源部 管理部 销售市场部 IT管理部 太阳能部 质量控制部 法律事务部
14
评价风险
问题严重程度 5 严重安全问题 4 高风险安全问题 定义 严重的安全漏洞，如果被利 用会对业务产生严重 的破坏 严重的安全漏洞，如果被利 用将/可能会对业务产 生严重的影响 中度风险的安全问题，可能 会影响业务的进行或 轻微风险的安全问题，不会 对业务带来直接的影 响 不属于安全问题，但改进后 可进一步提高安全 建议 记录，评估，立即更改

5
A公司的网络拓扑结构
internet 交换机 DMZ 路由器
防火墙
web服务器 交换机
Mail 服务器
DNS服务 器
交换机
数据库服务 器
打印服务 器
文件服 务器
DC服 务器
`
Client 客 户 机 移动计算机 台式机
Client 客户机
6
风险

由于太多的日常维护工作而忽略了系统策略 及安全政策的制订及执行不力，管理员的日 常维护工作又没有标准可循，系统及数据备 份也是没有考虑到灾难恢复，经常会有一些 系统安全问题暴露出来。
4
公司的发展状况

A公司从1985年成立，90年代起收购了多家公司，而且与 政府及大型能源企业有合作。在国内的主要大城市有分公 司和代表处。 公司的急速扩张造成了公司IT管理部门的巨大工作压力， 原有的IT管理构架早已不堪重负。于是决定对整个网络系 统进行了一次重大升级， 包括增加网络带宽，更换核心设 备， 并将整个系统从Windows NT4平台全部迁移到了 Windows2000平台， 提高整个网络系统的可用性和可管 理性。
问题
经过初步安全检查，发现以下问题： 邮件服务器没有防病毒扫描模块；


客户端有W32/Mydoom@MM邮件病毒问题 路由器密码缺省没有修改过，非常容易被人攻击； 网站服务器系统没有安装最新微软补丁 没有移除不需要的功能组件； 用户访问没有设置复杂密码验证，利用字典攻击，非常容 易猜出用户名和密码，同时分厂员工对于网站访问只使用 了简单密码验证，容易被人嗅听到密码。 数据库系统SQL 2000 SA用户缺省没有设置密码； 数据库系统SQL 2000 没有安装任何补丁程序
主机：
•服务器数量，名称，用途，分布 •服务器操作系统及版本 •用户身份验证方式 •工作站数量，用途和分布 •工作站操作系统及版本 •操作系统补丁部署 •防病毒部署 •主机防火墙 •计算机安全管理 安全管理： •企业安全策略和声明 •物理安全管理 •员工安全培训 •安全响应机制 •安全需求和满足程度
7
危机




该公司网站使用Windows 2000上的IIS作为对外 的WEB服务器，该网站WEB服务器负责公司的信 息提供和电子商务。在外网上部署了硬件防火墙， 只允许到服务器TCP 80端口的访问。 但是在X月X日上午，一个客户发邮件通知公司网 站管理员，说该公司网站的首页被人修改，同时 被发布到国内的某黑客论坛，介绍入侵的时间和 内容。 管理员立刻查看网站服务器，除了网站首页被更 改，而且发现任务列表中存在未知可疑进程，并 且不能杀死。同时发现网站数据库服务器有人正 在拷贝数据. 管理员及时断开数据服务器，利用备份程序及时 恢复网站服务器内容，但是没有过了半小时，又 出现类似情况，于是紧急通知系统管理人员，告 8 知该情况，并向某安全公司求助。
10
风险评估
11
风险评估的一般过程


只有经过全面的风险评估过程，才能够有针对性 地制定安全实施放案，选择合适的安全技术和产 品。 在风险评估过程，需要：

收集一切和网络安全相关的信息； 使用安全评测工具进行脆弱点检查； 分析收集到的信息，定义威胁级别。

安全不是最终结果，而是一种过程或者一种状态。 安全评估必须按照一定的周期不断进行，才能保 证持续的安全。
12
需要搜集的基本信息


企业信息： • 企业名称 • 业务范围 • 地理分布 • 员工数量 • 组织结构 • 管理模式 • 预期的增长或重组 网络： • 物理拓扑结构 • 网络设备 • 逻辑网络划分（活动目录结构） • 局域网结构 • 广域网结构 • 远程访问 • 互联网接入 • 网络协议类型 • 主要网络流量 • 防火墙和入侵检测系统