企业网络安全设计方案

题目：大连理工大学网络高等教育毕业论文——网络安全设计学习中心：XXX层次：高中起点专科专业：网络计算机年级：200X年秋季学号：200X106329XX学生：XX指导教师：孙晰锐完毕日期：20XX年0X月1X日目录网络安全问题………………3设计的安全性………………3可用性…………..3机密性…………..3完整性…………..3可控性…………..3可审查性………..3访问控制………..3数据加密………..3安全审计………..33、安全设计方案………………5设备选型………..5网络安全………..7访问控制………...9入侵检测………..104、总结…………111、网络安全问题随着互联网的飞速发展，网络安全逐步成为一种潜在的巨大问题。网络安全性是一种涉及面很广泛的问题，其中也会涉及到与否构成犯罪行为的问题。在其最简朴的形式中，它重要关心的是确保无关人员不能读取，更不能修改传送给其它接受者的信息。此时，它关心的对象是那些无权使用，但却试图获得远程服务的人。安全性也解决正当消息被截获和重播的问题，以及发送者与否曾发送过该条消息的问题。大多数安全性问题的出现都是由于有恶意的人试图获得某种好处或损害某些人而故意引发的。能够看出确保网络安全不仅仅是使它没有编程错误。它涉及要防备那些聪颖的，普通也是狡猾的、专业的，并且在时间和金钱上是很充足、富有的人。同时，必须清晰地认识到，能够制止偶然实施破坏行为的敌人的办法对那些惯于作案的老手来说，收效甚微。网络安全性能够被粗略地分为4个互相交错的部分：保密、鉴别、反拒认以及完整性控制。保密是保护信息不被未授权者访问，这是人们提到的网络安全性时最常想到的内容。鉴别重要指在揭示敏感信息或进行事务解决之前先确认对方的身份。反拒认重要与签名有关。保密和完整性通过使用注册过的邮件和文献锁来2、设计的安全性通过对网络系统的风险分析及需要解决的安全问题，我们需要制订合理的安全方略及安全方案来确保网络系统的机密性、完整性、可用性、可控性与可审查性。即，可用性：授权实体有权访问数据机密性：信息不暴露给未授权实体或进程完整性：确保数据不被未授权修改可控性：控制授权范畴内的信息流向及操作方式可审查性：对出现的安全问题提供根据与手段访问控制：需要由防火墙将内部网络与外部不可信任的网络隔离，对与外部网络交换数据的内部网络及其主机、所交换的数据进行严格的访问控制。同样，对内部网络，由于不同的应用业务以及不同的安全级别，也需要使用防火墙将不同的LAN或网段进行隔离，并实现互相的访问控制。数据加密：数据加密是在数据传输、存储过程中避免非法窃取、篡改信息的有效手段。安全审计：是识别与避免网络攻击行为、追查网络泄密行为的重要方法之一。具体涉及两方面的内容，一是采用网络监控与入侵防备系统，识别网络多个违规操作与攻击行为，即时响应（如报警）并进行阻断；二是对信息内容的审计，能够避免内部机密或敏感信息的非法泄漏针对公司现阶段网络系统的网络构造和业务流程，结合公司此后进行的网络化应用范畴的拓展考虑，公司网重要的安全威胁和安全漏洞涉及下列几方面：

（1）内部窃密和破坏

由于公司网络上同时接入了其它部门的网络系统，因此容易出现其它部门不怀好意的人员(或外部非法人员运用其它部门的计算机)通过网络进入内部网络，并进一步窃取和破坏其中的重要信息(如领导的网络帐号和口令、重要文献等)，因此这种风险是必须采用方法进行防备的。

（2）搭线(网络)窃听

这种威胁是网络最容易发生的。攻击者能够采用如Sniffer等网络合同分析工具，在INTERNET网络安全的单薄处进入INTERNET，并非常容易地在信息传输过程中获取全部信息(特别是敏感信息)的内容。对公司网络系统来讲，由于存在跨越INTERNET的内部通信(与上级、下级)这种威胁等级是相称高的，因此也是本方案考虑的重点。

（3）假冒

这种威胁既可能来自公司网内部顾客，也可能来自INTERNET内的其它顾客。如系统内部攻击者伪装成系统内部的其它对的顾客。攻击者可能通过冒充正当系统顾客，诱骗其它顾客或系统管理员，从而获得顾客名/口令等敏感信息，进一步窃取顾客网络内的重要信息。或者内部顾客通过假冒的方式获取其不能阅读的秘密信息。

（4）完整性破坏

这种威胁重要指信息在传输过程中或者存储期间被篡改或修改，使得信息/数据失去了原有的真实性，从而变得不可用或造成广泛的负面影响。由于XXX公司网内有许多重要信息，因此那些不怀好意的顾客和非法顾客就会通过网络对没有采用安全方法的服务器上的重要文献进行修改或传达某些虚假信息，从而影响工作的正常进行。

（5）其它网络的攻击

公司网络系统是接入到INTERNET上的，这样就有可能会遭到INTERNET上黑客、恶意顾客等的网络攻击，如试图进入网络系统、窃取敏感信息、破坏系统数据、设立恶意代码、使系统服务严重减少或瘫痪等。因此这也是需要采用对应的安全方法进行防备。

（6）管理及操作人员缺少安全知识

由于信息和网络技术发展迅猛，信息的应用和安全技术相对滞后，顾客在引入和采用安全设备和系统时，缺少全方面和进一步的培训和学习，对信息安全的重要性与技术认识局限性，很容易使安全设备/系统成为摆设，不能使其发挥对的的作用。如原来对某些通信和操作需要限制，为了方便，设立成全开放状态等等，从而出现网络漏洞。

由于网络安全产品的技术含量大，因此，对操作管理人员的培训显得尤为重要。这样，使安全设备能够尽量发挥其作用，避免使用上的漏洞。

（7）雷击

由于网络系统中涉及诸多的网络设备、终端、线路等，而这些都是通过通信电缆进行传输，因此极易受到雷击，造成连锁反映，使整个网络瘫痪，设备损坏，造成严重后果。因此，为避免遭受感应雷击的危害和静电干扰、电磁辐射干扰等引发的瞬间电压浪涌电压的损坏，有必要对整个网络系统采用对应的防雷方法。

3、网络安全设计方案（1）网络拓扑构造图设备选型传统的组网已经不能满足现在网络应用的变化了，在组网的早期必须考虑到安全和网络的问题，考虑到这个问题我们就不能不考虑免疫网络的作用以及前景如何。免疫网络——免疫网络是公司信息网络的一种安全形式。“免疫”是生物医学的名词，它指的是人体所含有的“生理防御、本身稳定与免疫监视”的特定功效。就像我们耳熟能详的电脑病毒同样，在电脑行业，“病毒”就是对医学名词形象的借用。同样，“免疫”也被借用于阐明计算机网络的一种能力和作用。免疫就是让公司的内部网络也像人体同样含有“防御、稳定、监视”的功效。这样的网络就称之为免疫网络。免疫网络的重要理念是自主防御和管理，它通过源头克制、群防群控、全网联动使网络内每一种节点都含有安全功效，在面临攻击时调动多个安全资源进行应对。它含有安全和网络功效融合、全网设备联动、可信接入、深度防御和控制、精细带宽管理、业务感知、全网监测评定等重要特性。下面让我们看看这几个特性的距离内容安全和网络功效的融合①网络架构的融合，重要涉及网关和终端的融合网关方面：ARP先天免疫原理—NAT表中添加源MAC地址滤窗防火墙—封包检测，IP分片检查UDP洪水终端方面：驱动部分—免疫标记②网络合同的融合—行为特性和网络行为的融合全网设备的联动①驱动与运行中心的联动分收方略②驱动与驱动的联动IP地址冲突③网关和驱动的联动群防群控④运行中心和网关的联动（外网攻击，上下线可信接入①MAC地址的可信（类似于DNA），生物身份②传输的可信（免疫标记）深度防御和控制①进一步到每个终端的网卡进一步到合同的最低层进一步到二级路由，多级路由器下精细带宽管理①身份精细—IP/MAC的精确②位置精确—终端驱动③途径细分（特殊的IP）④流量去向（内，公网）⑤应用流控（QQ,MSN）业务感知合同分辨和应用感知它与防火墙（FW）、入侵检测系统（IDS）、防病毒等“老三样”构成的安全网络相比，突破了被动防御、边界防护的局限，着重从内网的角度解决攻击问题，应对现在网络攻击复杂性、多样性、更多从内网发起的趋势，更有效地解决网络威胁。同时，安全和管理密不可分。免疫网络对基于可信身份的带宽管理、业务感知和控制，以及对全网安全问题和工作效能的监测、分析、统计、评定，确保了公司网络的可管可控，大大提高了通信效率和可靠性。安全架构分析根据公司网络现状及发展趋势，重要安全方法从下列几个方面进行考虑：

网络传输保护

重要是数据加密保护

重要网络安全隔离

通用方法是采用防火墙

网络病毒防护

采用网络防病毒系统

广域网接入部分的入侵检测

采用入侵检测系统

系统漏洞分析

采用漏洞分析设备

定时安全审计

重要涉及两部分：内容审计和网络通信审计

重要数据的备份

重要信息点的防电磁泄露

网络安全构造的可伸缩性

涉及安全设备的可伸缩性，即能根据顾客的需要随时进行规模、功效扩展

网络防雷

（2）网络安全

作为公司应用业务系统的承载平台，网络系统的安全显得尤为重要。由于许多重要的信息都通过网络进行交换，

网络传输

由于公司中心内部网络存在两套网络系统，其中一套为公司内部网络，重要运行的是内部办公、业务系统等;另一套是与INTERNET相连，通过ADSL接入，并与公司系统内部的上、下级机构网络相连。通过公共线路建立跨越INTERNET的公司集团内部局域网，并通过网络进行数据交换、信息共享。而INTERNET本身就缺少有效的安全保护，如果不采用对应的安全方法，易受到来自网络上任意主机的监听而造成重要信息的泄密或非法篡改，产生严重的后果。

由于现在越来越多的政府、金融机构、公司等顾客采用VPN技术来构建它们的跨越公共网络的内联网系统，因此在本解决方案中对网络传输安全部分推荐采用VPN设备来构建内联网。可在每级管理域内设立一套VPN设备，由VPN设备实现网络传输的加密保护。根据公司三级网络构造，VPN设立以下图所示：图为三级VPN设立拓扑图每一级的设立及管理办法相似。即在每一级的中心网络安装一台VPN设备和一台VPN认证服务器(VPN-CA)，在所属的直属单位的网络接入处安装一台VPN设备，由上级的VPN认证服务器通过网络对下一级的VPN设备进行集中统一的网络化管理。可达成下列几个目的：

网络传输数据保护

由安装在网络上的VPN设备实现各内部网络之间的数据传输加密保护，并可同时采用加密或隧道的方式进行传输

网络隔离保护

与INTERNET进行隔离，控制内网与INTERNET的互相访问

集中统一管理，提高网络安全性

减少成本(设备成本和维护成本)

其中，在各级中心网络的VPN设备设立以下图：

图为中心网络VPN设立图由一台VPN管理机对CA、中心VPN设备、分支机构VPN设备进行统一网络管理。将对外服务器放置于VPN设备的DMZ口与内部网络进行隔离，严禁外网直接访问内网，控制内网的对外访问、统计日志。这样即使服务器被攻破，内部网络仍然安全。

下级单位的VPN设备放置以下图所示：图为下级单位VPN设立图从图可知，下属机构的VPN设备放置于内部网络与路由器之间，其配备、管理由上级机构通过网络实现，下属机构不需要做任何的管理，仅需要检查与否通电即可。由于安全设备属于特殊的网络设备，其维护、管理需要对应的专业人员，而采用这种管理方式后来，就能够减少下属机构的维护成本和对专业技术人员的规定，这对有着庞大下属、分支机构的单位来讲将是一笔不小的费用。

由于网络安全的是一种综合的系统工程，是由许多因素决定的，而不是仅仅采用高档的安全产品就能解决，因此对安全设备的管理就显得尤为重要。由于普通的安全产品在管理上是各自管理，因而很容易由于某个设备的设立不当，而使整个网络出现重大的安全隐患。而顾客的技术人员往往不可能都是专业的，因此，容易出现上述现象;同时，每个维护人员的水平也有差别，容易出现互相配备上的错误使网络中断。因此，在安全设备的选择上应当选择能够进行网络化集中管理的设备，这样，由少量的专业人员对重要安全设备进行管理、配备，提高整体网络的安全性和稳定性。

（3）访问控制

由于公司广域网网络部分通过公共网络建立，其在网络上必然会受到来自INTERNET上许多非法顾客的攻击和访问，如试图进入网络系统、窃取敏感信息、破坏系统数据、设立恶意代码、使系统服务严重减少或瘫痪等，因此，采用对应的安全方法是必不可少的。普通，对网络的访问控制最成熟的是采用防火墙技术来实现的，本方案中选择带防火墙功效的VPN设备来实现网络安全隔离，可满足下列几个方面的规定：

控制外部正当顾客对内部网络的网络访问;

控制外部正当顾客对服务器的访问;

严禁外部非法顾客对内部网络的访问;

控制内部顾客对外部网络的网络;

制止外部顾客对内部的网络攻击;

避免内部主机的IP欺骗;

对外隐藏内部IP地址和网络拓扑构造;

网络监控;

网络日志审计;

具体配备拓扑图见图

由于采用防火墙、VPN技术融为一体的安全设备，并采用网络化的统一管理，因此含有下列几个方面的优点：

管理、维护简朴、方便;

安全性高(可有效减少在安全设备使用上的配备漏洞);

硬件成本和维护成本低;

网络运行的稳定性更高

由于是采用一体化设备，比之传统解决方案中采用防火墙和加密机两个设备而言，其稳定性更高，故障率更低。

（4）