网络安全架构设计和网络安全设备的部署(PPT234页)

合法用户可以以指定的方式访问指定的信息； 合法用户不能以任何方式访问不允许其访问的
信息； 非法用户不能访问任何信息； 用户对任何信息的访问都有记录。
11
应用层要解决的安全问题包括
非法用户利用应用系统的后门或漏洞，强 行进入系统
用户身份假冒 非授权访问 数据窃取 数据篡改 数据重放攻击 抵赖
电源
2
3
5
6
8
9
0
?
安全认证服务器
交换机
NEsec300 FW
告警 内网接口 外网接口 电源
2
3
5
6
8
9
0
?
安全网关SG1
路由器
INTERNET
路由器
NEsec300 FW
告警 内网接口 外网接口 电源
2
3
5
6
8
9
0
?
安全网关SG2
分支机构1
NEsec300 FW
路由器
告警 内网接口 外网接口
电源
2
网络安全架构设计和 网络安全设备的部署
1
主要内容
内网安全架构的设计与安全产品的部署 安全扫描技术 防火墙技术 入侵检测技术 IPSec VPN和SSL VPN技术
2
网络信息安全的基本问题
网络信息安全的基本问题
保密性 完整性 可用性 可控性 可审查性
最终要解决是使用者对基础设施的信心和 责任感的问题。
9
网络层需求分析
网络层安全需求是保护网络不受攻击，确保 网络服务的可用性。
保证同Internet互联的边界安全 能够防范来自Internet的对提供服务的非法利用 防范来自Internet的网络入侵和攻击行为的发生 对于内部网络提供高于网络边界更高的安全保护
10
应用层需求分析
应用层的安全需求是针对用户和网络应用 资源的，主要包括：
NEsec300 FW
告警 内网接口 外网接口
电源
2
3
5
6
8
9
0
?
安全网关SG2
分支机构1
NEsec300 FW
路由器
告警 内网接口 外网接口 电源
2
3
5
6
8
9
0
?
安全网关SG3
分支机构2
19
内网网络入侵检测系统设计
内部核心子网
安全管理器
NEsec300 FW
告警 内网接口 外网接口
电源
2
3
5
6
8
分支机构1
防火墙FW3
NEsec300 FW
告警
内网接口 外网接口 电源
2
3
5
6
8
9
0
?
安全认证服务器
安全管理器
路由器
NEsec300 FW
告警 内网接口
外网接口 电源
2
3
5
6
8
9
0
?
安全网关SG3
分支机构2
17
内网核心网络与各级子网间的安全设计
内部核心子网
安全管理器
NEsec300 FW
告警 内网接口 外网接口
总体来说，网络安全解决方案涉及安全操作系 统技术、防火墙技术、病毒防护技术、入侵检 测技术、安全扫描技术、认证和数字签名技术、 VPN技术等多方面的安全技术。
6
一份好的网络安全解决方案，不仅仅要考 虑到技术，还要考虑到策略和管理。
技术是关键 策略是核心 管理是保证
在整个网络安全解决方案中，始终要体现 出这三个方面的关系。
12
网络安全解决方案
13
电子政务网络拓扑概述
内部核心子网
INTERNET
分支机构1
分支机构2
14
电子政务网络拓扑详细分析
领导层子网
业务处 室子网
公共处 室子网
服务处 室子网
直属人 事机构 处室子网
共享数据 库子网
INTERNET
分支机构1
分支机构2
15
电子政务网络风险及需求分析
领导层子网
业务处 室子网
7பைடு நூலகம்
网络安全解决方案设计
8
安全需求分析
网络系统的总体安全需求是建立在对网络 安全层次分析基础上的。对于基于TCP / IP 协议的网络系统来说，安全层次是与 TCP/IP协议层次相对应的。
针对该企业网络的实际情况，可以将安全 需求层次归纳为网络层安全和应用层安全 两个技术层次，同时将在各层都涉及的安 全管理部分单独作为一部分进行分析。
领导层子网
业务处 室子网
公共处 室子网
服务处 室子网
直属人 事机构 处室子网
共享数据 库子网
防火墙FW1
防火墙FW2
交换机
NEsec300 FW
告警 内网接口
外网接口 电源
2
3
5
6
8
9
0
?
安全网关SG1
路由器
INTERNET
路由器
NEsec300 FW
告警 内网接口
外网接口 电源
2
3
5
6
8
9
0
?
安全网关SG2
电源
2
3
5
6
8
9
0
?
安全网关SG3
分支机构2
20
电子政务外网基础平台安全设计
INTERNET
路由器
E-MAIL 服务器
防火墙FW 交换机
应用服 数据库 务器 服务器
物理隔离器（K1)
安全管理器
办公厅办公业务网 （简称“内网”）
3
5
6
8
9
0
?
安全网关SG3
分支机构2
18
内网网络漏洞扫描系统设计
内部核心子网
安全管理器
NEsec300 FW
告警 内网接口 外网接口
电源
2
3
5
6
8
9
0
?
安全认证服务器
网络漏洞扫描器
交换机
NEsec300 FW
告警 内网接口 外网接口 电源
2
3
5
6
8
9
0
?
安全网关SG1
路由器
INTERNET
路由器
9
0
?
安全认证服务器
网络入侵检测探头
NEsec300 FW
告警 内网接口 外网接口
电源
2
3
5
6
8
9
0
?
交换机
网络入侵策略管理器 安全网关SG1
路由器
INTERNET
路由器
NEsec300 FW
告警 内网接口 外网接口
电源
2
3
5
6
8
9
0
?
安全网关SG2
分支机构1
NEsec300 FW
路由器
告警 内网接口 外网接口
3
网络与信息安全体系
要实施一个完整的网络与信息安全体系， 至少应包括三类措施，并且三者缺一不可。
社会的法律政策、规章制度措施 技术措施 审计和管理措施
4
网络安全设计的基本原则
要使信息系统免受攻击，关键要建立起安全防御 体系，从信息的保密性，拓展到信息的完整性、 信息的可用性、信息的可控性、信息的不可否认 性等。
公共处 室子网
服务处 室子网
直属人 事机构 处室子网
共享数据 库子网
分支机构工作 人员正试图在 领导层子网安
装木马
分支机构工作 人员正试图越 权访问业务子
网安装木马
非内部人员正试 图篡改公共网络 服务器的数据
INTERNET
此人正试图进 入网络监听并 窃取敏感信息
分支机构1
分支机构2
16
电子政务网络内网基础网络平台安全
在进行计算机网络安全设计、规划时，应遵循以 下原则：
需求、风险、代价平衡分析的原则 综合性、整体性原则 一致性原则 易操作性原则 适应性、灵活性原则 多重保护原则
5
网络安全解决方案
网络安全解决方案的基本概念
网络安全解决方案可以看作是一张有关网络系 统安全工程的图纸，图纸设计的好坏直接关系 到工程质量的优劣。