企业网络安全体系于规划随着互联网的飞速发展,网络的结构变的也越来越复杂,各种操作系统及应用系统也越来越庞大,相对应的问题也就日益增多,而互联网的许多协议在设计当初并没有过多的考虑后期的安全性,因此企业网络安全防护体系设计显的更为重要。对您耐心浏览此文，表示感谢。通过对网络结构的了解,网络也会面临同样的威胁，所以我们在知道网络功防基础上应该构筑企业网络安全体系，要从两个方面着手：一是采用一定的技术；二是不断改进管理方法。从技术角度看，目前常用的安全手段有内外网隔离技术、加密技术、身份认证、访问控制、准入、流控、病毒防范、数据备份、安全路由等，普遍运用于企业网安全建设中。注：网络安全部署图1.1 企业网络安全规范 在企业网的需求来讲，企业的网络安全是指利用各种网络监控和管理技术措施，对网络系统的硬件、软件及系统中的数据资源和其他应用实施保护，使其不会因为一些不利因素而遭到破坏，从而保证网络系统连续、安全、可靠地运行。企业网络分为内网和互联网两部分，技术上采用虚拟网管理。一般用户不提供与internet直接相连，需要直接连接的用户应向企业网管理者提出申请，获准后由网络中心分配IP地址并提供相应的入网软硬件，具有直接连接权限的用户应与企业网管中心签定保密协议书，并自觉接受网络安全员的检查。网络中心负责网络设备的运行管理，信息中心负责网络资源，用户帐户肯安全管理，系统管理员口令绝对保密，根据用户需求严格控制，合理分配用户权限。网络用户口令应经常更新，防杀病毒软件本身无毒，向用户开放的终端应禁止使用软驱和光驱，以杜绝病毒的传播。对不同操作人员，不同信息的内容需按等级分设口令。单位信息系统采用客户/服务器结构，数据由网络信息中心及网络管理部门进行定期备份，对备份后的数据应有专人保管，确保发生意外情况时能及时恢复系统运行，加强监督管理工作，使用过程中的重要信息记录要保存到事故文件中，以便掌握使用情况，发生可疑现象，及时追查安全事故责任。1.2 安全方案建议1.2.1 企业网络状况分析（1）资源分布和应用服务体系企业网络可向网络用户提供：域名服务（DNS），电子邮件服务（E-mail）,远程登录（telnet），文件传输服务（ftp）,BBS，电子新闻，WWW以及信息收集，存储，交换，检索等服务。（2）网络结构的划分整个网络是由各网络中心，和内网络通过各种通信方式互联而成的，所有网络可归纳为由连接子网、公共子网、服务子网、内网四个部分组成。这四部分组成一个独立单位的局域网，然后通过广域连接与其他网络连接。1.2.2 网络安全目标 为了增加网络安全性，必须对信息资源加以保护，对服务资源加以控制肯管理。（1）信息资源 a:公众信息；即不需要访问控制。 b:内部信息；即需要身份验证以及根据根据身份进行访问控制。 C:敏感信息；即需要验证身份和传输加密。（2）服务资源包括：内部服务资源、公众服务资源 内部服务资源：面向已知客户，管理和控制内部用户对信息资源的访问。 公众服务资源：面向匿名客户，防止和抵御外来的攻击。1.3 企业网络安全技术的应用1.3.1网络攻击的概念企业网的网络攻击主要来自internet中,所以对网络的攻击可以分为两种基本的类型，即服务攻击与非服务攻击。还有就是通过一些U盘等介质直接带入内网。（1）服务攻击指对为网络提供某种服务的服务器发起攻击，遭成该网络的“拒绝服务”，使网络工作部正常。拒绝服务攻击将会带来消耗带宽、消耗计算资源、使系统和应用崩溃等后果，它是阻止针对某种服务的合法使用者访问他有权的服务。（2）非服务攻击 非服务攻击是针对网络层等低层协议进行的，攻击者可能使用各种方法对网络通信设备发起攻击，使得网络通信设备工作严重阻塞或瘫痪，导致一个局域网或更多的网布能正常工作。与服务攻击相比，非服务攻击与特定服务无关，它往往利用协议或操作系统实现协议时的漏洞来达到目的。（3）非授权访问 非授权访问是指存储在联网计算机中的信息或服务被未授权的网络用户非法使用，或者被授权用户越权滥用。 网络的非法用户可以通过猜测用户口令，窃取口令的办法，或者设法绕过网络安全认证系统来冒充合法用户，非法查看、下载、修改、删除未授权访问的信息，以及使用未授权的网络服务。访问授权一般是由计算机操作系统、数据库管理系统、应用软件与网络操作系统和防火墙来共同保障，通常采用的方法是用户访问权限设置、用户口令加密、用户身份认证、数据加密与结点地址过滤等。1.3.2 建立网络安全模型通信双方在网络上传输信息时，需要先在发送和接收方之间建立一条逻辑通道。为了在开放的网络环境中安全地传输信息，需要对信息提供安全机制和安全服务。信息的安全传输包括两个基本部分：（1）对发送的信息进行安全转换（如信息加密），实现信息的保密性。或者附加一些特征信息，以便进行发送方身份验证。（2）发送和接收双方共享的某些信息（如加密密钥），这些信息除了对可信任的第三方外，对于其他用户是保密的。 为了信息的安全传输，通常需要一个可信任的第三方。第三方的作用是负责向通信双方秘密信息，并在双方发生争议时进行仲裁。设计一个网络安全方案时，需要完成以下四个基本任务：（1）设计一个算法，执行安全相关的转换；（2）生成该算法的秘密信息（如密钥）；（3）研制秘密信息的分发与共享的方法；（4）设定两个责任者使用的协议，利用算法和秘密信息取得安全服务。1.3.3 防火墙技术防火墙是在网络之间通过执行控制策略来保护网络的系统，它包括硬件和软件。设置防火墙的目的是保护内部网络资源不被外部非授权用户使用。防火墙的功能包括：（1）检查所有从外部网络进入内部网络流出到外部网络的数据包。（2）执行安全策略，限制所有不符合安全策略要求的数据包通过。（3）具有防攻击能力，保证自身的安全性。防火墙是一个由软件与硬件组成的系统。由于不同内网的安全策略与防护目的不同，防火墙系统的配置与实现方式也有很大的区别。简单的一个包过滤路由器或应用网关、应用代理服务器都可以作为防火墙使用。1.3.4入侵检测技术 入侵检测系统是对计算机和网络资源的恶意使用行为进行识别的系统。它的目的是监测和发现可能存在的攻击行为，包括来自系统外部的入侵行为和来自内部的非法授权行为，并采取相应的防护手段。它的基本功能包括：（1）监控、分析用户和系统的行为。（2）检查系统的配置和漏洞。（3）评估重要的系统和数据文件的完整性。（4）对异常行为的统计分析，识别攻击类型，并向网络管理人员报警。（5）对操作系统进行审计、跟踪管理，识别违反授权的用户活动。1.3.5 网络安全评估网络安全评估系统是一种集网络安全检测、风险评估、修复、统计分析和网络安全风险集中控制管理功能于一体的网络安全设备。通过扫描某个网络内的主机，再进行智能分析，得到该网络的安全状况分析图表，以及每个机器的详细的安全登记评估图表。从本质来讲评估技术就是一种检测技术。网络安全评估分析技术可以分为基于应用和基于网络的两种评估分析技术。（1）基于应用的技术采用被动、非破坏的办法检测应用软件包的设置，发现安全漏洞。 （2）基于网络的技术采用积极的、非破坏的办法来检验系统是否有可能被攻击。1.4 企业安全隐患当下，企业网络主要存在的安全隐患和漏洞有：（1）企业网通过与Internet相连，在享受Internet方便快捷的同时，也面临着遭遇攻击的风险。（2）企业网内部也存在很大的安全隐患，由于内部用户对网络的结构和应用模式都比较了解，因此来自内部的安全威胁更大一些。而现在，黑客攻击工具在网上十分常见，一般人员并不需要很复杂的知识就能用，所以存在很大的危险。（3）目前使用的操作系统存在安全漏洞，对网络安全构成了威胁。大部分的网络服务器安装的操作系统有WindowsNT/Windows2000/2003、Unix、Linux等，这些系统安全风险级别不同，例如WINNT/WIN2000/2003的普遍性和可操作性使得它也是最不安全的系统：本身系统的漏洞、浏览器的漏洞、IIS的漏洞；Unix由于其技术的复杂性导致高级黑客对其进行攻击：自身安全漏洞（RIP路由转移等）、服务安全漏洞、Unix自身的病毒等等，这些都对原有网络安全构成威胁。（4）随着企业内计算机应用的大范围普及，接入企业网节点日渐增多，而这些节点大部分都没有采取一定的防护措施，随时有可能造成病毒泛滥、信息丢失、数据损坏、网络被攻击、系统瘫痪等严重后果。由此可见，构筑具有必要的信息安全防护体系，建立一套有效的网络安全体系显得尤其重要。1.5 企业网主动防御体系企业网的安全威胁既有来自内部的，也有来自外网的。在设计企业网网络安全系统时，首先要了解单位的需要和目标，制定安全策略，需要注意的是，网络上的业务目标、安全策略与安全设计之间的关系是一体的。因此网络安全防范体系应该是动态变化的，在完成安全防范体系的设计后，必须不断适应安全环境的变化，以保证网络安全防范体系的良性发展，确保它的有效性和先进性。美国国际互联网安全系统公司( ISS )提出的 P 2 D R模型是指：策略 ( P o l i c y )、防护( P r o t e c t i o n )、检测( D e t e c t i o n ) 和响应 ( R e s p o n s e )。P 2 D R模型强调防护、检测和响应等环节的动态循环过程，通过这种过程达到保持网络系统的相对安全。所以P 2 D R模型是“整体的、动态的”的安全循环，在安全策略整体的控制下指导下保证信息系统的安全。P2DR模型是美国ISS公司提出的动态网络安全体系的代表模型，也是动态安全模型的雏形。P2DR模型包括四个主要部分：Policy(安全策略)、Protection(防护)、Detection(检测)和 Response(响应)。P2DR 模型是在整体的安全策略的控制和指导下，在综合运用防护工具(如防火墙、操作系统身份认证、加密等)的同时，利用检测工具(如漏洞评估、入侵检测等)了解和评估系统的安全状态，通过适当的反应将系统调整到“最安全”和“风险最低”的状态。防护、检测和响应组成了一个完整的、动态的安全循环，在安全策略的指导下保证信息系统的安全。该理论的最基本原理就是认为，信息安全相关的所有活动，不管是攻击行为、防护行为、检测行为和响应行为等等都要消耗时间。因此可以用时间来衡量一个体系的安全性和安全能力。作为一个防护体系，当入侵者要发起攻击时，每一步都需要花费时间。当然攻击成功花费的时间就是安全体系提供的防护时间Pt；在入侵发生的同时，检测系统也在发挥作用，检测到入侵行为也要花费时间检测时间Dt；在检测到入侵后，系统会做出应有的响应动作，这也要花费时间响应时间Rt。P2DR 模型就可以用一些典型的数学公式来表达安全的要求：（1）公式 1：Pt Dt + Rt 。Pt代表系统为了保护安全目标设置各种保护后的防护时间；或者理解为在这样的保护方式下，黑客（入侵者）攻击安全目标所花费的时间。Dt代表从入侵者开始发动入侵开始，系统能够检测到入侵行为所花费的时间。Rt代表从发现入侵行为开始，系统能够做出足够的响应，将系统调整到正常状态的时间。那么，针对于需要保护的安全目标，如果上述数学公式满足防护时间大于检测时间加上响应时间，也就是在入侵者危害安全目标之前就能被检测到并及时处理。（2）公式 2：Et = Dt + Rt，如果 Pt = 0。公式的前提是