网络安全设计说明

1、网络安全设计说明1. 引言一个安全的信息网络应该能够解决以下 3 方面的问题l) 内部网用户对信息的安全访问 ;2) Internet 用户对信息的安全访问 ;3) 内部网与 Internet 的信息交流 .既要能做到：内部员工访问 Internet 不受限制Internet 用户有权访问公司的 Web 服务器和 E-mail 服务器 任何经过公司内部网络的数据必须经过安全认证和加密 根据应用划分为以下的层次结构 .1) 核心层 : 指内部不同部门的局域网 , 本部门的大量信息在该网络上传输，核心业务服务器 也安置在这一区，最受保护的区域 .2) Intranet层: 通过专网将分支机构与核心

2、层连接起来 ,组成集团网络 , 部门之间的内部信息在这个连接层上传输 .3) Exteranet 层:由于地域的限制 , 驻外地的作业人员必须通过公网接入系统，移动用户可 通过电话拨号接入该网，一般业务服务器处于本区 .4) 对外发布层 : Intranet网络通过统一的网管中心管理 , 通过防火墙与 Internet 连接 , 主要用于信息发布，企业对外公开服务器安置在本区。2. 网络安全体系框架网络技术安全策略是指一个网络中关于安全技术问题所采取的原则、 对安全使用的要求 , 以及采 用哪些措施如何保护网络的安全运行和保证网上传输信息的安全 . 网络安全问题与网络本身固 有的特性有关 ,

3、所以网络的复杂性决定了其安全的复杂性 . 在企业网络中 , 对网络资源 ( 服务和 信息 ) 的安全保障主要有以下几个方面 :1) 访问控制 , 限制对资源的应用 ;2) 身份认证 , 提供通信实体身份保证 ;3) 数据完整性 , 采用一定的方法防止非法篡改数据信息的企图 ;4) 保密性 ,加密数据信息 ,以防在传送中被泄露 ,按照该标准可设计出不同的安全保障系统, 以满足不同网络环境对安全保密的需要 ;5) 备份和恢复 , 良好的备份和恢复机制 ,可在数据毁坏时 , 尽快地恢复数据和系统 ;6) 多层防御 , 采用分布式的攻击监测并进行防御 ;7) 设立安全监控中心 , 为系统提供安全体系管

4、理、监控、维护和紧急情况服务 .3. 安全性结构网络安全拓扑结构如图所示 . 总的来说 ,网络分为 2 个部分 : 内部网和公共网 . 内部网段由企业 内各部门专用的设备组成 , 主要是指内部客户机和数据库服务器 . 内部网主要用于公司内部各 部门工作数据的管理和维护 , 它没有直接接入 Internet , 公司以外的设备无法直接存取内部网的 资源.公共网与内部网不同 , 它一方面直接与 Internet 相连 , 另一方面与内部网相连 , 以向 Internet 用户提供公司的信息或服务 , 同时内部网也可以通过它们访问到 Internet 上的资源 , 这个部分 至少应该包括认证服务器、

5、 Web 服务器和代理服务器 , 也可以根据需要设置域名服务器 (DNS) 、 邮件服务器等 . 认证服务器负责用户证书的生成、发布、维护和用户身份的鉴别 , 同时, 它也起 着协调 Web 服务器和数据库服务器工作的作用 .Web服务器在公司的网站所在地，有条件地向外提供公司的信息，远程用户可以根据身份方便可靠地存取或管理公司的内部数据代理服务器（或应用网关）是内部网与公共网、公共网和In ternet 之间的桥梁和关卡，一方面协助相邻2个网段的信息互访，另一方面适当地控制两者 之间的信息交流4. 关键实现技术企业安全网络是通过在传统企业网络的基础上增加认证服务器、代理服务器和在数据库服务器

6、 上设置防火墙来实现的。这些技术包括： 物理安全网络设备，服务器应该安放在安装了监视器的隔离房间内，并且监视器要保留15天以上的摄像记录。确保通信线路的安全。机房内机箱，键盘，电脑桌抽屉要上锁，以确保旁人即使进入房间也无法使用 电脑，钥匙要放在安全的地方。防火墙规则集包括 12个方面切断默认允许内部出网添加锁定丢弃不匹配的数据包丢弃并不记录允许DNS访问允许邮件访问允许Web访问阻塞DMZ允许内部的POP访问强化DMZ的规则允许管理员访问 VPNs远程访问 VPNs提供通过In ternet安全访问公司网络内部资源的方法点到点VPNs利用In ternet安全连接多个分支机构减少对frame

7、relay和租用线路的依靠操作系统安全配置方案常规的操作系统安全配置包括十二条基本配置原则：物理安全停止Guest帐号限制用户数量创建多个管理员帐号管理员帐号改名陷阱帐号更改默认权限设置安全密码屏幕保护密码使用NTFS分区运行防毒软件 确保备份盘安全卩！ 认证机制DES对称加密技术RSA公开密钥体制.Web应用的安全Web会话和cookie服务器端的安全 客户端的安全入侵检测系统的作用是实时地监控计算机系统的活动，发现可疑的攻击行为，以避免攻击的发生，或减少攻击造成的危害。由此也划分了入侵检测的三个基本步骤：信息收集数据分析 响应信息收集的来源系统或网络的日志文件网络流量系统目录和文件的异常变

8、化 程序执行中的异常行为下面就如何利用这些部分实现网络安全作详细说明4. 1企业内部网用户对企业信息的安全访问内部用户要通过本地应用访问数据库服务器中的数据，两者之间的网络必须是连通的，这无形中给企业的信息带来了不安全的因素解决方案是在系统内部增加防火墙，内部存在一张表，为访问控制列表ACL （Access Cont rolList）.这张表记录了所有已经通过认证的内部网络用户的地址、寿命（即用户还能使用这次认证访问数据库的时间）和已经交换的数量如果表是空的，表明客户机、代理服务器和 域名服务器与数据库服务器之间的网络通路被断开ACL是由认证服务器控制和维护的 .每当用户需要存取数据库资源时

9、，它就必须先通过认证 服务器的身份认证,认证服务器根据认证的结果在 ACL中增加或清除该用户的认证记录 ，以 达到连通或切断网络通路的目的 通过在数据库服务器上增设这一道防火墙 ，确保了只有通 过身份认证的用户才能够访问数据库资源 4. 2In ternet用户对企业信息的安全访问在B/ S结构中，数据资源不是直接由客户端程序存取的，而是由Web服务器存取和处理后，再以Html的形式传送给客户端的.因此,真正访问数据库的是 Web服务器.Web服务器与数 据库服务器之间的网络通路在任何时候都是连通的，由于数据库服务器位于内部网段，远程用户无法绕过 Web服务器来直接访问数据库.关于用户身份问题

10、，可以通过在应用层上进行 控制数据库的数据分为2部分：1）应用数据库，包含所有远程应用程序存取的数据2）认证信息库，记录了所有通过认证用户的地址、用户名、密码和身份（或权限）等信息.这些信息由认证服务器根据用户认证的信息动态地管理，供远程应用确定用户身份3）证书库，存放所有用户的证书有了认证信息库，Web服务器上远程应用就能灵活地控制用户访问数据的方式和可以访问的数据 .每当用户使用远程应用访问数据库资源时 , 远程应用首先判断数据的类型 , 根据数据的类型 来决定是否需要用户进行身份认证 . 如果是 , 远程应用就到认证信息库去检查用户的认证信 息. 若认证信息库中没有该用户的信息 （说明该

11、用户还没有通过身份认证 ） , 远程应用就要 求该用户先到认证服务器进行身份认证 ;若该用户已经通过了认证 , 远程应用就根据认证信 息库中保存的身份信息 , 决定该用户有没有访问数据的权限 .4. 3 内部网与 Internet 的信息交流内部网与 Internet 的信息交流通过代理服务器 ,代理服务器又称为应用网关,它是 2 个不同的网络 （ 最典型的就是企业内部网与 Internet） 在一定的控制下互相通信的软件或运行软件 的计算机 . 使用代理服务器的主要优点是 : 实现内部网与 Internet 之间的单点连接 ; 对 In ter net保护内部IP地址;在IP信息包层过滤；共享带宽和IP地址.5. 总结 基于安全策略的网络设计是安全设