第四章 安需求与安目标

　　通过前面我们对这个企业局域网络结构、应用及安威胁分析，可以看出其安问题主要集中在对服务器的安保护、防黑客和病毒上。因此，我们必须采取相应的安措施杜绝安隐患，其中应该做到：

　　公开服务器的安保护

　　防止黑客从外部攻击

　　入侵检测与监控

　　病毒防护

　　数据安保护

　　数据备份与恢复

　　针对这个企业局域网络系统的实际情况，在系统考虑如何解决上述安问题的设计时应满足如下要求：

　　1.大幅度地提高系统的安性（重点是可用性和可控性）；

　　2.保持网络原有的能特点，即对网络的协议和传输具有很好的透明性，能透明接入，无需更改网络设置；

　　3.易于操作、维护，并便于自动化管理，而不增加或少增加附加操作；

　　4.尽量不影响原网络拓扑结构，同时便于系统及系统功能的扩展；

　　5.安保密系统具有较好的性能价格比，一次性投资，可以长期使用；

　　6.安产品具有合法性，及经过有关管理部门的认可或认证；

　　7.分布实施。

4.2系统安目标

　　建立一套完整可行的网络安与网络管理策略

　　将内部网络、公开服务器网络和外网进行有效隔离，避免与外部网络的直接通信

　　建立网站各主机和服务器的安保护措施，保证他们的系统安

　　对网上服务请求内容进行控制，使非法访问在到达主机前被拒绝

　　加强合法用户的访问认证，同时将用户的访问权限控制在低限度

　　面监视对公开服务器的访问，及时发现和拒绝不安的操作和黑客攻击行为

　　备份与灾难恢复——强化系统备份，实现系统快速恢复

第五章 网络安方案总体设计

　　在对这个企业局域网网络系统安方案设计、规划时，应遵循以下原则：

　　综合性、整体性原则：应用系统工程的观点、方法，分析网络的安及具体措施。安措施主要包括：专业措施（识别技术、存取控制、密码、低辐射、容错、防病毒、采用高安产品等）。一个较好的安措施往往是多种方法适当综合的应用结果。一个计算机网络，包括个人、设备、软件、数据等。这些环节在网络中的地位和影响作用，也只有从系统综合整体的角度去看待、分析，才能取得有效、可行的措施。

　　需求、风险、代价平衡的原则：对任一网络，安难以达到，也不一定是必要的。对一个网络进行实际额研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安策略。

　　一致性原则：一致性原则主要是指网络安问题应与整个网络的工作周期（或生命周期）同时存在，制定的安体系结构必须与网络的安需求相一致。安的网络系统设计（包括初步或详细设计）及实施计划、网络验证、验收、运行等，都要有安的内容光焕发及措施，实际上，在网络建设的开始就考虑网络安对策，比在网络建设好后再考虑安措施，不但容易，且花费也小得多。

　　分步实施原则：由于网络系统及其应用扩展范围广阔，随着网络规模的扩大及应用的增加，网络脆弱性也会不断增加。一劳永逸地解决网络安问题是不现实的。同时由于实施信息安措施需相当的费用支出。因此分步实施，即可满足网络系统及信息安的基本需求，亦可节省费用开支。

　　多重保护原则：任何安措施都不是安的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安。

5.2安服务、机制与技术

　　安服务：安服务主要有：控制服务、对象认证服务、可靠性服务等；

　　安机制：访问控制机制、认证机制等；

　　安技术：防火墙技术、鉴别技术、审计监控技术、病毒防治技术等；在安的开放环境中，用户可以使用各种安应用。安应用由一些安服务来实现；而安服务又是由各种安机制或安技术来实现的。应当指出，同一安机制有时也可以用于实现不同的安服务。

第六章 网络安体系结构

6.1 网络结构

　　安系统是建立在网络系统之上的，网络结构的安是安系统成功建立的基础。在整个网络结构的安方面，主要考虑网络结构、系统和路由的优化。

　　网络结构的建立要考虑环境、设备配置与应用情况、远程联网方式、通信量的估算、网络维护管理、网络应用与业务定位等因素。成熟的网络结构应具有开放性、标准化、可靠性、先进性和实用性，并且应该有结构化的设计，充分利用现有资源，具有运营管理的简便性，完善的安体系。网络结构采用分层的体系结构，利于维护管理，利于更高的安控制和业务发展。

　　网络结构的优化，在网络拓扑上主要考虑到冗余链路；防火墙的设置和入侵检测的实时监控等。

6.2 网络系统安

　6.2.1 网络安检测

　　网络安检测工具通常是一个网络安性评估分析软件，其功能是用实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安策略，达到增强网络安性的目的。检测工具应具备以下功能：

　　具备网络监控、分析和自动响应功能

　　找出经常发生问题的根源所在；

　　建立必要的循环过程确保隐患时刻被纠正；控制各种网络安危险。

　　漏洞分析和响应

　　配置分析和响应

　　漏洞形势分析和响应

　　认证和趋势分析

6.2.2 网络防病毒

　　由于在网络环境下，计算机病毒有不可估量的威胁性和破坏力，一次计算机病毒的防范是网络安性建设中重要的一环。

　　所选的防毒软件应该构造网统一的防病毒体系。主要面向MAIL 、Web服务器，以及办公网段的PC服务器和PC机等。支持对网络、服务器、和工作站的实时病毒监控；能够在中心控制台向多个目标分发新版杀毒软件，并监视多个目标的病毒防治情况；支持多种平台的病毒防范；能够识别广泛的已知和未知病毒，包括宏病毒；支持对Internet/ Intranet服务器的病毒防治，能够阻止恶意的Java或ActiveX小程序的破坏；支持对电子邮件附件的病毒防治，包括WORD、EXCEL中的宏病毒；支持对压缩文件的病毒检测；支持广泛的病毒处理选项，如对染毒文件进行实时杀毒，移出，重新命名等；支持病毒隔离，当客户机试图上载一个染毒文件时，服务器可自动关闭对该工作站的连接；提供对病毒特征信息和检测引擎的定期在线更新服务；支持日志记录功能；支持多种方式的告警功能（声音、图像、电子邮件等）等。

6.2.3 网络备份系统

　　备份系统为一个目的而存在：尽可能快地盘恢复运行计算机系统所需的数据和系统信息。根据系统安需求可选择的备份机制有：场点内高速度、大容量自动的数据存储、备份与恢复；场点外的数据存储、备份与恢复；对系统设备的备份。备份不在网络系统硬件故障或人为失误时起到保护作用，也在入侵者非授权访问或对网络攻击及破坏数据完整性时起到保护作用，同时亦是系统灾难恢复的前提之一。

6.3系统安

　　系统的安主要是指操作系统、应用系统的安性以及网络硬件平台的可靠性。对于操作系统的安防范可以采取如下策略：

　　对操作系统进行安配置，提高系统的安性；系统内部调用不对Internet公开；关键性信息不直接公开，尽可能采用安性高的操作系统。

　　应用系统在开发时，采用规范化的开发过程，尽可能的减少应用系统的漏洞；

　　网络上的服务器和网络设备尽可能不采取同一家的产品；

　　通过专业的安工具（安检测系统）定期对网络进行安评估。

6.4应用安

　　在应用安上，主要考虑通信的授权，传输的加密和审计记录。这必须加强登录过程的认证（特别使在到达服务器主机之前的认证），确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在小的范围内。另外，在加强主机的管理上，除了上面谈的访问控制和系统漏洞检测外，还可以采用访问存取控制，对权限进行分割和管理。应用安平台要加强资源目录管理和授权管理、传输加密、审计记录和安管理。对应用安，主要考虑确定不同服务的应用软件并紧密注视其Bug ；对扫描软件不断升级。

看过该网络安全教程的还看过

本文标题：大型企业网络解决方案（二)，责任编辑：宏鹏，来源：武汉北大青鸟鲁广校区栏目，于12-23发布于北大青鸟鲁广校区。大型网络解决方案的目标是在不影响某大型企业局域网当前业务的前提下，实现对他们局域网面的安管理。