第11章 网络安全方案设计,主要内容,2,网络安全技术使用教程,11.1.1 网络安全方案设计的目标,在设计网络安全方案时，一定要实地考察网络系统的环境，对当前可能遇到的安全风险和威胁做一个合理的量化和评估，只有这样才能设计出一份可观的解决方案。好的方案是一个网络工程项目中很重要的部分，也是网络工程实施的基础和前提。 网络安全方案设计的目标是实现动态安全，不会因为随着时间的推移和环境的变化而使得系统变得不安全，所以不仅需要考虑当前的状况，还要考虑到未来的需求，能为今后的网络升级准备好升级的接口。 没有一个网络是绝对安全的，即只有相对安全。而且现在相对安全的方案可能因为时间和空间的不断变化而出现安全问题，因此在设计方案时必须注意到这一点，并在方案中也应该告诉用户，只能做到避免风险，消除风险的根源，降低由于风险所带来的损失，而不能做到消灭风险。,3,网络安全技术使用教程,11.1.2网络安全方案设计的原则,1.系统性原则 网络安全系统的建设需要有系统性和适应性，而且不能因为网络技术的发展、网络信息系统的攻防技术的深化和演变、系统升级和配置的变化而导致在系统的整个生命周期内的安全保障能力和抵御风险的能力降低。 2.技术先进性原则 技术先进性是网络安全系统设计必须考虑的原则之一，只有选用先进、成熟的安全技术和设备，并在方案实施时采用先进可靠的工艺和技术，才能提高整个网络系统运行的可靠性和稳定性。,4,网络安全技术使用教程,11.1.2网络安全方案设计的原则,3.管理可控性原则 网络系统的所有安全设备（包括管理、维护和配置）都应该自主可控，网络系统安全设备的采购也必须有严格的手续和相应机构的认证或许可标记，另外，安全设备的供应商也须具备相应的资质并具有可信度。 4.适度安全性原则 网络系统安全方案应该充分考虑被保护对象的价值与保护成本之间的平衡性，在允许的风险范围内应该尽量减少安全服务的规模和复杂性，使之具有可操作性，避免超出用户所能理解的范围，从而造成方案的执行困难，甚至无法执行。,5,网络安全技术使用教程,11.1.2网络安全方案设计的原则,5.技术和管理相结合原则 网络系统安全建设是一个复杂的系统工程，它包括产品、过程和人的因素，因此它的安全解决方案必须在考虑技术解决方案的同时充分考虑管理、法律和法规方面的制约和调控作用。单靠技术或单靠管理都不可能真正解决安全问题，而必须坚持技术和管理相结合的原则。 6.测评认证原则 安全方案的设计必须通过国家有关部门的评审，采用的安全产品和保密设备需经过国家主管部门的认可。 7.系统可伸缩性原则 企业的网络系统会随着网络和应用技术的发展而发生变化，同时信息安全技术也在发展，因此，网络安全系统的建设必须考虑系统的可升级性和可伸缩性。重要和关键的安全设备不因网络的变化而更换或废弃。,6,网络安全技术使用教程,11.2.1技术解决方案,1.防火墙 防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。 防火墙在局域网中一般安装在局域网与路由器之间；在托管服务器机房中一般安装在服务器与托管机房局域网之间。,7,网络安全技术使用教程,11.2.1技术解决方案,1)局域网防火墙的主要作用 (1)实现单向访问，允许局域网用户访问Internet资源，但是严格限制Internet用户对局域网资源的访问； (2) 通过防火墙，将整个局域网划分Internet，DMZ区，内网访问区这三个逻辑上分开的区域，有利于对整个网络进行管理； (3)局域网所有工作站和服务器处于防火墙地整体防护之下，只要通过防火墙设置的修改，就能有限绝大部分防止来自Internet上的攻击，网络管理员只需要关注DMZ区对外提供服务的相关应用的安全漏洞； (4)通过防火墙的过滤规则，实现端口级控制，限制局域网用户对Internet的访问； (5)进行流量控制，确保重要业务对流量的要求； (6)通过过滤规则，以时间为控制要素，限制大流量网络应用在上班时间的使用。,8,网络安全技术使用教程,11.2.1技术解决方案,2)托管服务器机房防火墙的主要作用 (1) 通过防火墙的过滤规则，限制Internet用户对WWW服务器的访问，将访问权限控制在最小的限度，在这种情况下，网络管理员可以忽略服务器系统的安全漏洞，只需要关注WWW应用服务软件的安全漏洞； (2) 通过过滤规则，对远程更新的时间、来源(通过IP地址)进行限制。,9,网络安全技术使用教程,11.2.1技术解决方案,2.入侵检测与入侵防御 入侵检测（IDS）与入侵防御（IPS）设备一般局域网DMZ区以及托管服务器机房服务器区。 1)入侵检测的作用 (1)作为旁路设备，监控网络中的信息，统计并记录网络中的异常主机以及异常连接； (2)中断异常连接； (3)通过联动机制，向防火墙发送指令，在限定的时间内对特定的IP地址实施封堵。 2)入侵防御的作用 如果检测到攻击，IPS会在这种攻击扩散到网络的其它地方之前阻止这个恶意的通信。,10,网络安全技术使用教程,11.2.1技术解决方案,3.网络防病毒软件控制中心以及客户端软件 网络防病毒软件主要安装在防病毒服务器以及各个客户端计算机上。 1)防病毒服务器的主要作用 (1) 作为防病毒软件的控制中心，及时通过Internet更新病毒库，并强制局域网中已开机的客户端计算机及时更新病毒库软件； (2)记录各个客户端计算机的病毒库升级情况； (3)记录局域网中计算机病毒出现的时间、类型以及后续处理措施。 2)防病毒客户端软件的作用 (1) 对本机的内存、文件的读写进行监控，根据预定的处理方法处理带毒文件； (2) 监控邮件收发软件，根据预定处理方法处理带毒邮件。,11,网络安全技术使用教程,11.2.1技术解决方案,4.邮件防病毒服务器 邮件防病毒服务器一般安装在邮件服务器与防火墙之间，邮件防病毒软件对来之Internet的电子邮件进行检测，根据预先设定的处理方法处理带毒邮件。邮件防病毒软件的监控范围包括所有来自Internet的电子邮件及其所带附件(对于压缩文件同样也进行检测)。,12,网络安全技术使用教程,11.2.1技术解决方案,5.反垃圾邮件系统 与邮件防毒软件相同，如果软硬件条件允许，则两者可以安装在同一台服务器上。反垃圾邮件系统的作用是： (1) 拒绝转发来自Internet的垃圾邮件； (2) 拒绝转发来自局域网用户的垃圾邮件并将发垃圾邮件的局域网用户的IP地址通过电子邮件等方式通报网管； (3) 记录发垃圾邮件的终端地址； (4) 通过电子邮件等方式通知网管垃圾邮件的处理情况。,13,网络安全技术使用教程,11.2.1技术解决方案,6.动态口令认证系统 该系统一般安装在需要进行口令加强的敏感服务器端，如WWW服务器，它的作用是： 通过定期修改密码，确保密码的不可猜测性。,14,网络安全技术使用教程,11.2.1技术解决方案,7.网络管理软件 网管软件主要安装在局域网中，它的作用是： (1) 收集局域网中所有资源的硬件信息； (2) 收集局域网中所有终端和服务器的操作系统、系统补丁等软件信息； (3) 收集交换机等网络设备的工作状况等信息； (4) 判断局域网用户是否使用了MODEM等非法网络设备与Internet连接； (5) 显示实时网络连接情况； (6) 如果交换机等核心网络设备出现异常，及时向网管中心报警；,15,网络安全技术使用教程,11.2.1技术解决方案,8.QoS流量管理 专门的QoS（Quality of Service）产品安装在路由器和防火墙之间，但有些防火墙可能本身就带有QoS流量管理模块。它的作用是： (1) 通过IP地址，为重要用户分配足够的带宽； (2) 通过端口，为重要的应用分配足够的带宽资源； (3) 限制非业务流量的带宽； (4) 在资源闲置时期，允许其他人员使用资源，一旦重要用户或者重要应用需要使用带宽，则确保它们能够至少使用分配给他们的带宽资源。,16,网络安全技术使用教程,11.2.1技术解决方案,9.页面防篡改系统 该系统主要安装在WWW服务器上，它的作用是： (1) 定期比对发布页面文件与备份文件，一旦发现不匹配，用备份文件替换发布文件； (2) 通过特殊的认证机制，允许授权用户修改页面文件； (3) 能够对数据库文件进行比对。,17,网络安全技术使用教程,11.2.2网络安全服务解决方案,1.网络拓扑分析 服务对象：整个网络。 服务周期：半年一次。 服务内容： (1)根据网络的实际情况，绘制网络拓扑图； (2)分析网络中存在的安全缺陷并提出整改建议意见。 服务作用：针对网络的整体情况，进行总体、框架性分析。一方面，通过网络拓扑分析，能够形成网络整体拓扑图，为网络规划、网络日常管理等管理行为提供必要的技术资料；另一方面，通过整体的安全性分析，能够找出网络设计上的安全缺陷，找到各种网络设备在协同工作中可能产生的安全问题。,18,网络安全技术使用教程,11.2.2网络安全服务解决方案,2.中心机房管理制度制订以及修改 服务对象：中心机房。 服务周期：半年一次。 服务内容：协助用户制订并修改机房管理制度。制度内容涉及人员进出机房的登记制度、设备进出机房的登记制度、设备配置修改的登记制度等。 服务作用：严格控制中心机房的人员进出、设备进出并及时登记设备的配置更新情况，有助于网络核心设备的监控，确保网络的正常运行。,19,网络安全技术使用教程,11.2.2网络安全服务解决方案,3.操作系统补丁升级 服务对象：服务器、工作站、终端。 服务周期：不定期。 服务内容： (1) 一旦出现重大安全补丁，及时更新所有相关系统； (2)出现大型补丁(如微软的SP)，及时更新所有相关系统；服务作用：通过及时、有效的补丁升级，能够有效防止局域网主机和服务器相互之间的攻击，降低现代网络蠕虫病毒对网络的整体影响，增加网络带宽的有效利用率。,20,网络安全技术使用教程,11.2.2网络安全服务解决方案,4.服务器定期扫描、加固 服务对象：服务器。 服务周期：半年一次。 服务内容：使用专用的扫描工具，在用户网络管理人员的配合，对主要的服务器进行扫描。 服务作用： (1) 找出对应服务器操作系统中存在的系统漏洞； (2) 找出服务器对应应用服务中存在的系统漏洞； (3) 找出安全强度较低的用户名和用户密码。,21,网络安全技术使用教程,11.2.2网络安全服务解决方案,5.防病毒软件病毒库定期升级 服务对象：防病毒服务器、安装防病毒客户端的终端。 服务周期：每周一次。 服务内容： (1) 防病毒服务器通过Internet更新病毒库； (2)防病毒服务器强制所有在线客户端更新病毒库。 服务作用：通过不断升级病毒库，确保防病毒软件能够及时检测到新的病毒病进行查杀。,22,网络安全技术使用教程,11.2.2网络安全服务解决方案,6.防火墙日志备份、分析 服务对象：防火墙设备. 服务周期：一周一次. 服务内容：导出防火墙日志并进行分析。 服务作用：通过流量简图找出流量异常的时间段，通过检查流量较大的主机，找出局域网中的异常主机。,23,网络安全技术使用教程,11.2.2网络安全服务解决方案,7.入侵检测、入侵防御等安全设备日志备份 服务对象：入侵检测、入侵防御等安全设备。 服务周期：一周一次。 服务内容：备份安全设备日志。 服务作用：防止日志过大导致检索、分析的难度，另一方面也有利于事后的检查。,24,网络安全技术使用教程,11.2.2网络安全服务解决方案,8.服务器日志备份 服务对象：主要服务器(如MAIL服务器、WWW服务器、文件服务器等)。 服务周期：一周一次。 服务内容：备份服务器访问日志。 服务作用： 防止日志过大导致检索、分析的难度，另一方面也有利于事后的检查。,25,网络安全技术使