企业内网的安全性研究及品牌4S店二手车置换的发展前景分析

目录绪论 3第一章：企业网络安全分析 4一、现状分析 41.1Internet的安全性 41.2．企业内网的安全性 51.3项目背景 51.4项目分析 71.4.1安全设备分布 71.4.2网络设备安全现状 81.4.3服务器部署现状 81.4.4客户端计算机 91.4.5无线局域网安全现状 91.4.6网络隐患、风险分析 101.5项目需求 121.5.1网络安全需求 121.5.2网络访问安全需求 131.6项目规划 131.6.1服务器安全规划 141.6.2客户端安全规划 151.6.3网络设备安全规划 161.6.4无线准备安全规划 171.6.5防火墙、IDS、IPS规划 181.6.6局域网接入安全规划 191.6.7Internet接入安全规划 191.6.8远程接入安全规划 201.6.9网络可靠性规划 21第二章：企业网络安全的实际应用 212.1企业网络安全实施 212.2网络传输的实施 222.3访问控制 252.4入侵检测 252.5漏洞扫描 262.6其它 272.6.1应用系统安全 272.6.2系统平台安全 272.6.3应用平台安全 272.7病毒防护 272.8产品应用 282.9数据备份 312.10安全审计 322.11认证、鉴别、数字签名、抗抵赖 322.12物理安全 332.13两套网络的相互转换 332.14应用 332.15防电磁辐射 332.16网络防雷 342.17重要信息点的物理保护 34武汉理工大学华夏学院毕业论文PAGEPAGE39武汉理工大学华夏学院毕业论文摘要网络安全的本质是网络信息的安全性，包括信息的保密性、完整性、可用性、真实性、可控性等几个方面，它通过网络信息的存储、传输和使用过程体现。网络安全管理是在防病毒软件、防火墙或智能网关等构成的防御体系下，对于防止来自网外的攻击。防火墙，则是内外网之间一道牢固的安全屏障。安全管理是保证网络安全的基础，安全技术是配合安全管理的辅助措施。建立了一套网络安全系统是必要的。

绪论随着网络的高速发展，网络的安全问题日益突出，近年来，黑客攻击、网络病毒等屡屡曝光，国家相关部门也一再三令五申要求切实做好网络安全建设和管理工作。但是在企业网络建设的过程中，由于对技术的偏好和运营意识的不足，普遍都存在“重技术、轻安全、轻管理”的倾向，随着网络规模的急剧膨胀，网络用户的快速增长，关键性应用的普及和深入，企业网在企业的信息化建设中已经在扮演了至关重要的角色，作为数字化信息的最重要传输载体，如何保证企业网络能正常的运行不受各种网络黑客的侵害就成为各个企业不可回避的一个紧迫问题。

第一章：企业网络安全分析随着企业信息化的不断推进，各企业都相继建成了自己的企业网络并连入互联网，企业网在企业的信息化建设中扮演了至关重要的角色。但必须看到，随着企业网络规模的急剧膨胀,网络用户的快速增长，尤其是企业网络所面对的使用群体的特殊性（拥有一定的网络知识、具备强烈的好奇心和求知欲、法律纪律意识却相对淡漠），如何保证企业网络能正常的运行不受各种网络黑客的侵害就成为各个企业不可回避的一个紧迫问题，解决网络安全问题刻不容缓。现状分析随着国内计算机和网络技术的迅猛发展和广泛普及，企业经营活动的各种业务系统都立足于Internet/Intranet环境中。但是，Internet所具有的开放性、国际性和自由性在增加应用自由度的同时，对安全提出了更高的要求。一旦网络系统安全受到严重威胁，甚至处于瘫痪状态，将会给企业、社会、乃至整个国家带来巨大的经济损失。如何使信息网络系统免受黑客和病毒的入侵，已成为信息事业健康发展所要考虑的重要事情之一。大型企业不断发展的同时其网络规模也在不断的扩大，由于其自身业务的需要，在不同的地区建有分公司或分支机构，本地庞大的Intranet和分布在全国各地的Intranet之间互相连接形成一个更加庞大的网络。这样一个网网相连的企业网为企业提高了效率、增加企业竞争力，同样，这样复杂的网络面临更多的安全问题。首先本地网络的安全需要保证，同时总部与分支机构、分支机构之间的机密信息传输问题，以及集团的设备管理问题，这样的网络使用环境一般存在下列安全隐患和需求：1.1Internet的安全性目前互联网应用越来越广泛，黑客与病毒无孔不入，这极大地影响了Internet的可靠性和安全性，保护Internet、加强网络安全建设已经迫在眉捷。1.2．企业内网的安全性企业内部的网络安全同样需要重视，存在的安全隐患主要有未授权访问、破坏数据完整性、拒绝服务攻击、计算机病毒传播、缺乏完整的安全策略、缺乏监控和防范技术手段、缺乏有效的手段来评估网络系统和操作系统的安全性、缺乏自动化的集中数据备份及灾难恢复措施等。具体表现如下：• 计算机病毒在企业内部网络传播。• 内部网络可能被外部黑客攻击。• 对外的服务器（如：www、ftp、邮件服务器等）没有安全防护，容易被黑客攻击。• 内部某些重要的服务器或网络被非法访问，造成信息泄密。• 内部网络用户上网行为没有有效监控管理，影响日常工作效率，容易形成内部网络的安全隐患。• 分支机构网络安全问题。• 大量的垃圾邮件占用网络和系统资源，影响正常的工作。• 分支机构网络和总部网络连接安全和之间数据交换的安全问题。• 远程、移动用户对公司内部网络的安全访问。1.3项目背景假设某企业拥有员工2000余人，公司总部坐落在省会城市高新技术开发区，包括4个生产车间和两栋职工宿舍楼，产品展示、技术开发与企业办公均在总公司进行。该企业在外地另开设有两家分公司，由总公司进行统一管理和部署。目前，该企业的拓扑结构图如图1-1所示，基本情况如下。1、公司局域网已经基本覆盖整个厂区，中心机房位于总公司，职工宿舍楼和生产车间均有网络覆盖。2、网络拓扑结构为“星型+树型”，接入层交换机为CiscoCatalyst2960，汇聚层交换机为CiscoCatalyst3560，核心层交换机为CiscoCatalyst35603、现有接入用户数量为500个，客户端均使用私有IP地址，通过防火墙或代理服务器接入Internet。部分服务器IP地址为公有IP地址。4、Internet接入区的防火墙主要提供VPN接入功能，用于远程移动用户或子公司网络提供远程安全访问。5、会议室、员工宿舍等场所部署无线接入点，实现随时随地无线漫游接入。6、服务器操作系统平台多为WindowsServer2003和WindowsServer2008系统。客户端系统为WindowsXPProfessional和Windows77、网络中部署有Web服务器，为企业网站运行平台。8、企业网络办公平台为WSS，文件服务器可以为智能大厦的办公用户提供文件共享、存储于访问。9、E-mail、RTX为用户员工之间的彼此交流，以及企业与外界的通信网络。10、打印服务和传真服务主要满足企业用户网络办公的应用。11、企业分支结构通过VPN方式远程接入总部局域网，并且可以访问网络中的共享资源。图1-1项目背景1.4项目分析在普通小型局域网中，最常见的安全防护手段就是在路由器后部署一道防火墙，甚至安全需求较低的网络并无硬件防火墙，只是在路由器和交换机上进行简单的访问控制和数据包筛选机制就可以了。但是，在较大的企业网络中，许多重要应用都要依赖网络，势必对网络的安全性的要求高一些，在部署网络安全设备的同时，必须辅助多种访问控制与安全配置措施，加固网络安全。1.4.1安全设备分布防火墙由于企业局域网采用以太网接入方式，所以直接使用防火墙充当接入设备，部署在网络边缘，防火墙连接的内网路由器上配置访问列表和静态路由信息。另外，在会议室、产品展示厅等公共环境中的汇聚交换机和核心交换机之间部署硬件防火墙，防止公共环境中可能存在的安全风险通过核心设备传播到整个网络。IPSIPS（IntrusionPreventionSystem，入侵防御系统）部署在Internet接入区的路由器和核心交换机之间，用于扫描所有来自Internet的信息，以便及时发现网络攻击和制定解决方案。IDSIDS（InternetDetectionSystem，入侵检测系统）本身是一个典型的探测设备，类似于网络嗅探器，无需转发任何流量，而只需要在网络上被动地、无声息地收集相应的报文即可。IDS无法跨越物理网段收集信息，只能收集所在交换机的某个端口上的所有数据信息。该网络中的IDS部署在安全需求最高的服务区，用于实时侦测服务器区交换机转发的所有信息，对收集来的报文，IDS将提取相应的流量统计特征值，并利用内置的入侵知识库，与这些流量特征进行智能分析比较匹配。根据默认的阀值，匹配耦合度较高的报文流量将被认为是进攻，IDS将根据相应的配置进行报警或进行有限度的反击。CiscoSecurityMARSCiscoSecurityMARS(MonitoringAnalysisResponseSystem)是基于设备的全方位解决方案，是网络管理的关键组成部分。MARS可以自动识别、管理并抵御安全威胁，它能与现有网络和安全部署协作，自动识别并隔离网络威胁，同时提出准确的清除建议。在本例企业网络中，MARS直接连接在核心交换机上，用于收集经过核心交换机的所有数据信息，自动生成状态日志，供管理员调阅。1.4.2网络设备安全现状当网络中的交换机、路由器等网络设备都是可网管的智能设备，并且提供Web管理方式，同时配置了基本的安全防御措施，如登陆密码、用户账户权限等。交换机和路由器安全设置交换机的主要功能就是提供网络所需的接入接口。目前，该网络中基于交换机的安全管理仅限于VLAN划分、Enable密码和Telnet密码等基本安全措施，并未进行任何高级安全配置，如流量控制，远程监控、IEEE802.1x安全认证等，存在较大的安全隐患。企业网络采用以太网接入Internet,而网络中部署的网络防火墙已具备接入功能，所以该网络中的路由器上只配置简单的静态路由、访问控制列表和网络地址转换，可以满足基本的安全要求。办公设备安全配置企业网络中的集中办公设备包括打印机和传真机，均支持网络接入功能，部署在楼层的集中办公区。由于缺乏访问权限控制措施，致使网络打印机和传真机被滥用，造成不必要的资源浪费。另外，用户计算机到打印机之间的数据传输是未经加密的明文，存在一定的安全隐患。1.4.3服务器部署现状网络中应用服务器包括域控制器、DHCP服务器、文件服务器、传真服务器、网络办公平台、数据库服务器等，其中有许多网络服务合用一台服务器，网络中共有服务器10台，通过单独的交换机高速连接至核心交换机，完全采用链路冗余结束双线连接，确保连接的可靠性。所有服务器均已加入域中，接受域控制器的统一管理，并且已开启远程终端功能，用户可以使用有效的管理员账户凭据远程登录服务器，实现相应的配置与管理任务。1.4.4客户端计算机客户端计算机主要以Windows操作系统为主，极少数用户是运行Linux和MacOS操作系统。客户端计算机的安全防御比较薄弱，仅限于用户账户登录密码、个人防火墙、杀毒软件等。因此，由于个别客户端感染病毒而导致网络瘫痪的问题时有发生。对于Windows系统而言，应用最多的WindowsXPProfessional和WindowsVista系统已经集成了比较完善的安全防御功能，如Internet防火墙、Windows防火墙、WindowsDefender、WindowsUpdate等，客户端用户只需对这些功能简单配置，即可增强系统安全性。另外，对于中型规模的企业网络而言，统一的网络管理才是最重要的。例如，统一配置客户端计算机安全功能、增强网络访问控制、部署NAP系统、部署WSUS服务器等。1.4.5无线局域网安全现状在企业网络中部署无线局域网，延伸了有线局域网的覆盖范围，避免网络布线对现有整体布局和装修的破坏，既是环境需求，也是企业发展和生存的需要。用户在无线网络覆盖范围内可以自由访问网络，充分享受无线畅游的便利。但是，由于无线网络传输的特殊性，无线局域网的安全问题也是不容忽视的。该企业网络中的无线网络安全问题，主要表现在以下几个方面。WEP密钥发布问题802.11本身并未规定密钥如何分发。所有安全性考虑的前提是假定密钥已通过与802.11无关的安全渠道送到了工作站点上，而在实际应用中，一般都是手工设置，并长期固定使用4个可选密钥之一。因此，当工作站点增多时，手工方法的配置和管理将十分繁琐且效率低下，而且密钥一旦丢失，WLAN将无安全性可言。2.WEP用户身份认证方法的缺陷802.11标准规定了两种认证方式：开放系统认证和共享密钥认证。开发系统认证是默认的认证方法，任何移动站点都可加入BSS（BasicServiceSet,基本服务集），并可以跟AP（AccessPoint,接入点）通信，能“听到”所有未加密的数据，可见，这种方法根本密钥提供认证，也就不存在安全性。共享密钥认证是一种请求响应认证机制：AP在收到工作站点STA（StaticTimingAnalysis，静态时序分析）的请求接入消息时发送询问消息，STA对询问消息使用共享密钥进行加密并送回AP，AP解密并校验消息的完整性，若成功，则允许STA接入WLAN。攻击者只需抓住加密前后的询问消息，加以简单的数字运算就可以得到共享密钥生成的伪随机密码流，然后伪造合法的响应消息通过AP认证后接入WLAN。3.SSID和MAC地址过滤WEP服务集标识SSID由Lucent公司提出，用于对封闭网络进行访问控制。只有与AP有相同的SSID的客户站点才允许访问WLAN。MAC地址过滤的想法是AP中存有合法客户站点MAC地址列表，拒绝MAC地址不在列表中的站点接入被保护的网络。但由于SSID和MAC地址很容易被窃取，因此安全性较低。4．WEP加密机制的天生脆弱性WEP加密机制的天生脆弱性是受网络攻击的最主要原因，WEP2算法作为802.11i的安全标准，对现有系统改进相对较小并易于实现。1.4.6网络隐患、风险分析企业现阶段网络系统的网络结构和业务流程，结合企业今后进行的网络化应用范围的拓展考虑，企业网主要的安全威胁和安全漏洞包括以下几方面：1内部窃密和破坏企业网络上同时接入了其它部门的网络系统，因此容易出现其它部门不怀好意的人员(或外部非法人员利用其它部门的计算机)通过网络进入内部网络，并进一步窃取和破坏其中的重要信息(如领导的网络帐号和口令、重要文件等)，因此这种风险是必须采取措施进行防范的。2搭线(网络)窃听这种威胁是网络最容易发生的。攻击者可以采用如Sniffer等网络协议分析工具，在INTERNET网络安全的薄弱处进入INTERNET，并非常容易地在信息传输过程中获取所有信息(尤其是敏感信息)的内容。企业网络系统来讲，由于存在跨越INTERNET的内部通信(与上级、下级)这种威胁等级是相当高的，因此也是本方案考虑的重点。3假冒这种威胁既可能来自企业网内部用户，也可能来自INTERNET内的其它用户。如系统内部攻击者伪装成系统内部的其他正确用户。攻击者可能通过冒充合法系统用户，诱骗其他用户或系统管理员，从而获得用户名/口令等敏感信息，进一步窃取用户网络内的重要信息。或者内部用户通过假冒的方式获取其不能阅读的秘密信息。4完整性破坏这种威胁主要指信息在传输过程中或者存储期间被篡改或修改，使得信息/数据失去了原有的真实性，从而变得不可用或造成广泛的负面影响。由于XXX企业网内有许多重要信息，因此那些不怀好意的用户和非法用户就会通过网络对没有采取安全措施的服务器上的重要文件进行修改或传达一些虚假信息，从而影响工作的正常进行。5其它网络的攻击企业网络系统是接入到INTERNET上的，这样就有可能会遭到INTERNET上黑客、恶意用户等的网络攻击，如试图进入网络系统、窃取敏感信息、破坏系统数据、设置恶意代码、使系统服务严重降低或瘫痪等。因此这也是需要采取相应的安全措施进行防范。6管理及操作人员缺乏安全知识由于信息和网络技术发展迅猛，信息的应用和安全技术相对滞后，用户在引入和采用安全设备和系统时，缺乏全面和深入的培训和学习，对信息安全的重要性与技术认识不足，很容易使安全设备/系统成为摆设，不能使其发挥正确的作用。如本来对某些通信和操作需要限制，为了方便，设置成全开放状态等等，从而出现网络漏洞。由于网络安全产品的技术含量大，因此，对操作管理人员的培训显得尤为重要。这样，使安全设备能够尽量发挥其作用，避免使用上的漏洞。7雷击由于网络系统中涉及很多的网络设备、终端、线路等，而这些都是通过通信电缆进行传输，因此极易受到雷击，造成连锁反应，使整个网络瘫痪，设备损坏，造成严重后果。因此，为避免遭受感应雷击的危害和静电干扰、电磁辐射干扰等引起的瞬间电压浪涌电压的损坏，有必要对整个网络系统采取相应的防雷措施。1.5项目需求由于该公司的主要业务为高新产品的开发和生产，掌握众多机密信息，并且下设多个部门，所以对网络安全性和稳定性要求比较高。无论是基础网络还是客户端都必须严格做好安全防御工作。1.5.1网络安全需求综合项目成本和实际应用等多方面因素，可以从如下几个方面满足用户需求。一、将防火墙部署在网络边缘，用于隔离来自Internet的所有网络风险。二、在路由器和核心交换机之间部署IPS，对全网的所有Internet通信进行检测，以便可以自动阻止、调整或隔离非正常网络请求和危险信息的传输。三、生产区和办公区分别通过汇聚交换机连接至核心交换机，在相应的汇聚交换机上分别进行适当的安全设置，将可能存在的安全风险因素隔离在网络局部。四、在办公区网络中，将安全需求和应用需求不同的用户指定到不同的VLAN中，充分确保部门内部和部门间的信息安全。五、在会议室和展示厅等移动用户比较集中的场所，部署无线接入系统，在无线接入点以及无线接入点连接的交换机上，分别部署相应的安全防御措施，如IEEE802.1x认证、禁止广播SSID、WEP加密等。六、网络管理区和服务器区直接连接至核心交换机，以确保网络传输的可靠性。网络管理区中部署有MARS系统，用于监控、分析和处理网络中所有通过核心交换机的数据通信，以便及时发现网络中存在的恶意攻击、非正常访问等情况，并协助管理员制定相应的解决方案。七、为了确保服务器的安全，在服务器集中区部署IDS，可以对服务区网络以及系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。1.5.2网络访问安全需求由于公司大部分用户信息安全意识较差，因此必须对安全需求较高的部门的用户进行集中管理，防止机密信息外泄。另外，本公司在外地设有分公司，只能通过远程接入方式访问内部网络资源，可以借助VPN技术实现加密传输，充分确保信息安全。目前，该网络中网络访问安全需求如下。一、客户端更新需要集中管理。大多数用户都已启用WindowsUpdate功能，但是每个用户都从微软官方站点下载更新程序，会占用大量的网络带宽。另外，还有部分用户并未开启WindowsUpdate功能，存在可能招致网络攻击的安全漏洞。二、网络病毒不得不防。网络病毒和攻击是目前最主要的信息安全威胁因素。网络病毒的防御工作绝非一蹴而就，必须从各方面严格防范。通常情况下，大部分用户都安装了杀毒软件和个人防火墙软件，可以起到一定的安全防护作用，但是未能升级病毒库同样可能感染病毒。更严重的是，部分用户不安装任何杀毒软件和防火墙就开始使用，这是非常危险的。三、网络访问控制需求。网络中缺乏严格的访问控制措施，用户只需使用相应的用户账户和密码即可接入网络和访问共享资源，而对客户端系统健康程度没有任何要求和限制。如果接入用户的计算机已经感染病毒，则病毒可能通过网络快速蔓延至整个网络的所有分支。四、远程访问安全的保护。远程接入是该网络中的重要应用之一，用于实现分公司网络到总公司网络的互联。远程访问VPN技术本身就是具有一定的安全性，同时采用隧道和加密等多种技术，但是为了确保远程访问的安全，应加强远程访问的保护与控制。1.6项目规划网络安全与网络应用是相互制约和影响的。网络应用需要安全措施的保护，但是安全措施过于严格，就会影响到应用的易用性。因此，部署网络安全措施之前，必须经过严格的规划。另外，网络安全的管理遍布网络的所有分支，包括设备安全、访问安全、服务器安全。客户端安全等。1.6.1服务器安全规划服务器是企业网络的重要基础，其安全性将直接影响到企业网站以及网络应用的安全，甚至会影响到企业的生存与发展。服务器的大部分应用都是基于网络操作系统等软件实现的，因此，无论是应用程序出错，还是硬件故障都可能导致服务器瘫痪。若想做好服务器安全防护工作，必须从多方面入手。一、服务器硬件安全服务器硬件设备的维护主要包括增加和卸载设备、更换设备、工作环境维护等。因为服务器的运行是不间断的，因此这些维护工作必须在确保服务器正常运行的状态下进行。1、增加内存和硬盘容量。服务器的内存和硬盘都是支持热插拔的，建议增加与原设备同厂商、同型号、同容量的内存或硬盘，避免由于兼容性问题而导致服务器死机。2、定期为服务器除尘。很多服务器故障都是由于内部灰尘导致的，因此建议管员每个月定期拆机打扫一次。3、控制机房温度和湿度。虽然服务器对工作环境的要求比较宽泛，但是当服务器周边环境比较恶劣时同样会降低其处理速度和稳定性。二、操作系统的安全服务器操作系统的安全是指操作系统、应用系统的安全性以及网络硬件平台的可靠性。对于操作系统的安全防范可以采取如下策略。1、对操作系统进行安全配置，提高系统的安全性。系统内部调用不对Internet公开，关键性信息不直接公开，尽可能采用安全性高的操作系统。2、应用系统在开发时，采用规范化的开发过程，尽可能地减少应用系统的漏洞。3、网络上的服务器和网络设备尽可能不采取同一家的产品。4、通过专业的安全工具（安全监测系统）定期对网络系统进行安全评估。三、网络应用服务安全局域网中常用的网络服务包括WWW服务、FTP服务、DNS服务、DHCP服务、ActiveDirectory服务等，随着服务器提供的服务越来越多，系统也容易混乱、安全性也降低，因此就需要对网络服务的相关参数进行设置，以增强其安全性和稳定性。通常情况下，网络应用服务安全可以分为如下4层。1、网络与应用平台安全：主要包括网络的可靠性与生存性。信息系统的可靠性和可用性。网络的可靠性与生存性依靠环境安全、物理安全、节点安全、链路安全、拓扑安全、系统安全等方面来保障。信息系统的可靠性和可用性主要由计算机系统安全性决定。2、应用服务提供安全：主要包括应用服务的可用性与可控性。服务可控性依靠服务接入安全以及服务防否认、服务防攻击、国家对应用服务的管制等方面来保障。服务可用性与承载业务网络可靠性以及维护能力等先关。3、信息存储于传输安全：主要包括信息在网络传输和信息系统存储时的完整性、机密性和不可否认性。信息的完整性可以依靠报文鉴别机制；信息机密性可以依靠加密机制以及密钥分发来保障；信息不可否认性可以依靠数字签名等技术来保障。4、信息内容安全：主要指通过网络应用服务所传递的信息内容不涉及危害国家安全，泄露国家机密或商业秘密，侵犯国家利益、公共利益或公民合法权益，从事违法犯罪活动。1.6.2客户端安全规划目前，WindowsXP和Windows7是首选客户端操作系统，为了便于统一管理，应将相对固定的客户端计算机加入域，接受域控制器的统一管理。通常情况下，可以从如下5个方面做好客户端计算机的安全防御工作。一、对于加入域的计算机可以通过组策略等工具统一部署安全策略，例如用户账户策略、密码策略、硬件设备安装限制策略等，确保客户端的安全。二、对于未加入域的计算机，应提高用户网络安全的意识，通过设置登录密码、计算机锁定、防火墙等方式，确保系统安全。三、在网络中部署WSUS服务器，负责为所有客户端计算机和服务器提供系统更新，避免系统漏洞的产生。四、在所有客户端上部署Symantec网络防病毒客户端软件，并接受服务器端的统一管理，开启自动更新病毒库功能。五、灵活部署和运用Windows防火墙、WindowsDefender等系统集成安全防护程序。1.6.3网络设备安全规划局域网中的网络设备主要包括路由器、交换机和防火墙，分别用于提供不同的网络功能和应用。网络设备的部署方式、工作环境、配置管理等，都可能影响其安全性。网络设备的脆弱性通常情况下，当用户按照组网规划方案购入并部署好网络设备之后，设备中的主要组成系统即可在一段时间内保持相对稳定地运行。但是，网络设备本身就有一定的脆弱性，这也往往会成为入侵者攻击的目标。网络设备的安全脆弱性主要表现在如下5个方面。1.提供不必要的网络服务，提高了攻击者的攻击机会。2.存在不安全的配置，带来不必要的安全隐患。3.不适当的访问控制。4.存在系统软件上的安全漏洞。5.物理上没有得到安全存放，容易遭受临近攻击。针对这些与生俱来的安全弱点，用户可以通过如下措施加固系统安全。1.禁用不必要的网络服务。2.修改不安全的配置。3.利用最小特权原则严格对设备的访问控制。4.及时对系统进行软件升级。5.提供符合IPP（InformationProtectionPolicy，信息保护策略）要求的物理保护环境。二、部署网络安全设备局域网中常见的网络安全设备包括网络防火墙、入侵检测设备、入侵防御设备等。网络防火墙是必不可少的，用于拦截处理来自Internet的各种攻击行为，并且可以隔离内部网络有效避免内部攻击。入侵检测设备只能用于记录入侵行为，局域网中已经很少使用。通常情况下，可以再网络中部署入侵防御系统，保护内部服务器或局域网的安全。三、IOS安全IOS就是智能网络设备的网络操作系统，主要用于提供软件管理平台。IOS与计算机操作系统类似，难免存在系统漏洞，入侵者同样可以通过这些漏洞进入网络设备的IOS，进行各种破坏活动，从而影响网络的正常运行。通常情况下，用户可以从如下6个方面实现网络设备的IOS安全。1、配置登录密码，主要包括Enable密码和Telnet密码，必要时可以以加密方式存储密码，以确保其安全性。2、配置用户访问安全级别，为不同的管理账户赋予不同的访问和管理权限。3、控制终端访问安全，严格控制允许终端连接的数量，以及终端会话超时限制。4、配置SNMP安全。SNMP字符串用于验证用户与交换机的连接，确保其身份的有效性，类似于用户账户和密码。5、及时备份IOS映像，以便出现错误操作或遭遇攻击时可以迅速恢复。6、升级IOS版本。IOS的系统漏洞是不可避免的，用户可以通过安装补丁或升级IOS版本的方法避免由于系统漏洞导致的网络攻击。1.6.4无线准备安全规划无线接入不仅是企业发展的需要，更是企业形象的代表。无线局域网是有线网络的扩展，主要用于移动终端用户提供网络接入。该公司中的AP（AccessPoint,无线接入点）主要分布在产品展示区和会议室，方面移动用户随时随地访问公司网络。如今，许多笔记本电脑、掌上电脑、手机等提供无线接入功能，在无线网络覆盖范围内“噌网”已经成为一种时尚，对于管理员而言，无线网络安全自然也就成了管理重点。在无线局域网管理中，可以采用如下措施确保网络安全。1、确保桌面计算机和服务器系统实现尽可能的安全。这种保护提高了攻击的门槛，即使攻击者进入了WLAN，仍然很难渗透进用户的计算机。2、启用无线AP和工作站所支持的最强WEP。同时，确保拥有一个强健的WEP密码，这个密码应该符合有线网络中所应用的相同的密码强度规则。3、确保无线网络的网络名称（SSID）不是可以轻松识别的。不要使用公司名称、自己的姓名或者地址作为SSID。4、如果无线AP支持SSID广播，应当关闭。这个措施可以创建一个封闭网络，这样，新的客户端必须在连接之前输入正确的SSID。5、使用IEEE802.1x身份验证协议保护无线网络的安全。6、在网络中部署无线网络控制器，统一管理和部署网络中的所有无线接入点，实时监测网络攻击情况。1.6.5防火墙、IDS、IPS规划在安全性需求较高的网络中，网络安全设备是必不可少的。该公司网络中使用的安全设备包括网络防火墙、IDS和IPS。一、网络防火墙防火墙适用于用户网络系统的边界，属于用户网络边界的安全保护设备。所谓网络边界即采用不同安全策略的两个网络连接处，如用户和Internet之间、同一企业内部同部门之间等。防火墙的目的就是在网络连接之间建立一个安全控制点，通过设定一定的筛选机制来决定允许或拒绝数据包通过，实现对进入网络内部的服务和访问的审计与控制。防火墙是内、外网络数据传输的必经之路。二、IDSIDS是继“防火墙”、“信息加密”等传统安全保护方法之后的新一代安全保障技术，入侵检测技术是为保证计算机系统的安全，而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术。IDS通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。该网络中的IDS部署在服务器区的接入交换机处。IDS能够检测到的攻击类型通常包括：系统扫描（SystemScanning）、拒绝服务（DenyofService）和系统渗透（SystemPenetration）。IDS对攻击的检测方法主要包括：被动、非在线地发现和实时、在线地发现计算机网络中的攻击者。IDS的主要优势是监听网络流量，但又不会影响网络的性能。作为对防火墙的有益补充，IDS能够帮助网络系统快速发现网络攻击的发生，可开展系统管理员的安全管理能力，包括安全审计、监视、进攻识别和响应等，从而提高了信息安全基础结构的完整性，被认为是继防火墙之后的第二道安全闸门。三、IPS网络中的IPS主要用于拦截和处理传统网络防火墙无法解决的网络攻击，部署在网络中的Internet接入区。传统的防火墙旨在拒绝那些明显可疑的网络流量，但仍然允许某些流量通过，因此，防火墙对于很多入侵攻击仍然无计可施，而绝大多数IDS系统都是被动的，不是主动的，即在攻击实际发生前，往往无法预先发出警报。而入侵防御系统IPS则倾向于提供主动防御，其设计宗旨是预先对入侵活动和攻击性网络流量进行拦截，避免其造成损失，而不是简单地在恶意流量传送时或传送后才发出报警。IPS是通过直接嵌入到网络流量中实现这一功能的，即通过一个网络端口接收来自外部系统的流量，经过检查确认其中不包含异常活动或可疑内容后，再通过另外一个端口将其传送到内部系统中。此时，有问题的数据包，以及所有来自同一数据流的后续数据包，都能在IPS中被清除掉。1.6.6局域网接入安全规划NAP技术NAP（NetworkAccessProtection,网络访问保护）是Microsoft在WindowsVista和WindowsServer2008提供的全新系统组件，它可以再访问私有网络时提供系统平台健康校验。NAP平台提供了一套完整性校验的方法来判断接入网络的客户端的健康状态，对不符合健康策略需求的客户端限制其网络访问权限。为了校验网络访问的主机的健康状况，网络架构需要提供如下功能性领域。健康策略认证：判断计算机是否适应健康策略的需求。网络访问限制：限制不适应策略的计算机访问。自动补救：为不适应策略的计算机提供必要的升级，使其适应健康策略。动态适应：自动升级适应策略的计算机以使其可以跟上健康策略的计算机。1.6.7Internet接入安全规划企业局域网采用共享方式接入Internet，并将硬件防火墙Cisco5540部署在局域网边缘。为了便于管理客户端Internet接入安全，在硬件防火墙的后面部署了ForefrontTMG服务器，可以提供如下功能。一、网络防火墙TMG服务器提供了灵活的防火墙策略配置，允许管理员根据实际需要制定Internet访问规则，例如限制特定的用户访问Internet、禁止浏览视频网站等。二、Web访问缓存。TMG服务器既是防火墙，又可以作为Web访问代理服务器。管理员可以在TMG服务器上开辟专用于存储客户端请求的Internet数据空间，暂时缓存常用数据。当客户端需要再次访问这些Internet数据时，在局域网中即可完成，提高了客户端的访问效率。三、安全VPN接入功能。通过TMG服务器创建VPN连接，能够很轻松地建立起各种情况下的VPN连接。当本地计算机要和远程计算机通过TMG服务器进行通信时，数据封装好后，将通过VPN进行收发，充分确保通信过程的安全。1.6.8远程接入安全规划目前，最常用的远程访问方式是VPN，主流的安全技术包括SSLVPN和IPSecVPN。SSLVPN应用比较简单，用户无需进行配置，基于Web页面即可实现。IPSecVPN技术应用比较广泛，不再局限于Web方式，同时由于其安装和配置过程比较复杂，应用难度也比较大。1、IPSecVPN远程安全接入IPSecVPN提供了多种安全特性，如数据加密、设备验证、数据完整性、地址隐藏和安全机构（SA）密钥老化等功能。IPSec标准提供数据完整性或数据加密两种功能。数据完整性分两类：128位强度MessageDigests(MD-5)-HMAC和160位强度安全散列算法（SHA）-HMAC。由于SHA的强度更大。所以更加安全。2、SSLVPN远程安全接入SSLVPN是工作在应用层和TCP层之间的远程接入技术。通常SSLVPN的实现方式是在企业的防火墙后面放置一个SSL代理服务器。如果用户希望安全地连接到公司网络上，那么当用户在浏览器上输入一个URL后，连接将被SSL代理服务器取得，并验证该用户的身份，然后SSL代理服务器将连接映射到不同的应用服务器上。1.6.9网络可靠性规划对于企业网络而言，许多金融、贸易、电子商务等活动都是通过网络完成的，这就要求企业的网络具备很高的可靠性。提高网络可靠性的方法很多，最常见的是冗余和容错。在硬件设备方面，可以通过配置交换机生成树、链路汇聚和链路冗余技术来提高局域网线路连接的可靠性。其中生成树协议可以帮助管理员快速检查网络连接。当住链路发生故障时，确保网络正常工作。链路汇聚技术可以将多条链路聚合为一条干路，还可以提高网络带宽，更重要的是，链路汇聚可以实现负载均衡，从而大大提高了网络的可靠性。局域网接入区域的路由器虽然仅提供路由选择功能，但其重要性也是不容忽视的。可以通过配置路由冗余充分保证Internet连接的可靠性。在软件方面则可以通过服务器群集技术和网络负载均衡技术，来提高重要服务器的可靠性。除此之外，常规的数据备份也是必不可少的，包括服务器角色状态信息备份、服务器系统备份、数据库备份、网络设备配置备份等。第二章：企业网络安全的实际应用一个网络系统的安全建设通常包括许多方面，包括物理安全、数据安全、网络安全、系统安全、安全管理等，而一个安全系统的安全等级，又是按照木桶原理来实现的。根据企业各级内部网络机构、广域网结构、和三级网络管理、应用业务系统的特点●网络系统安全;●应用系统安全;●物理安全;●安全管理;2.1企业网络安全实施根据企业网络现状及发展趋势，主要安全措施从以下几个方面进行实施：●网络传输保护主要是数据加密保护●主要网络安全隔离通用措施是采用防火墙●网络病毒防护采用网络防病毒系统●广域网接入部分的入侵检测采用入侵检测系统●系统漏洞分析采用漏洞分析设备●定期安全审计主要包括两部分：内容审计和网络通信审计●重要数据的备份●重要信息点的防电磁泄露●网络安全结构的可伸缩性包括安全设备的可伸缩性，即能根据用户的需要随时进行规模、功能扩展●网络防雷2.2网络传输的实施企业中心内部网络存在两套网络系统，其中一套为企业内部网络，主要运行的是内部办公、业务系统等;另一套是与INTERNET相连，通过ADSL接入，并与企业系统内部的上、下级机构网络相连。通过公共线路建立跨越INTERNET的企业集团内部局域网，并通过网络进行数据交换、信息共享。而INTERNET本身就缺乏有效的安全保护，易受到来自网络上任意主机的监听而造成重要信息的泄密或非法篡改。由于现在越来越多的政府、金融机构、企业等用户采用VPN技术来构建它们的跨越公共网络的内联网系统，因此在本解决方案中对网络传输安全部分推荐采用VPN设备来构建内联网。可在每级管理域内设置一套VPN设备，由VPN设备实现网络传输的加密保护。根据企业三级网络结构，VPN设置如下图所示：图2-1三级VPN设置拓扑图每一级的设置及管理方法相同。即在每一级的中心网络安装一台VPN设备和一台VPN认证服务器(VPN-CA)，在所属的直属单位的网络接入处安装一台VPN设备，由上级的VPN认证服务器通过网络对下一级的VPN设备进行集中统一的网络化管理。可达到以下几个目的：●网络传输数据保护;由安装在网络上的VPN设备实现各内部网络之间的数据传输加密保护，并可同时采取加密或隧道的方式进行传输●网络隔离保护;与INTERNET进行隔离，控制内网与INTERNET的相互访问●集中统一管理，提高网络安全性;●降低成本(设备成本和维护成本);其中，在各级中心网络的VPN设备设置如下图：图2-2中心网络VPN设置图由一台VPN管理机对CA、中心VPN设备、分支机构VPN设备进行统一网络管理。将对外服务器放置于VPN设备的DMZ口与内部网络进行隔离，禁止外网直接访问内网，控制内网的对外访问、记录日志。这样即使服务器被攻破，内部网络仍然安全。下级单位的VPN设备放置如下图所示：图2-3下级单位VPN设置图从图2-3可知，下属机构的VPN设备放置于内部网络与路由器之间，其配置、管理由上级机构通过网络实现，下属机构不需要做任何的管理，仅需要检查是否通电即可。由于安全设备属于特殊的网络设备，其维护、管理需要相应的专业人员，而采取这种管理方式以后，就可以降低下属机构的维护成本和对专业技术人员的要求，这对有着庞大下属、分支机构的单位来讲将是一笔不小的费用。由于网络安全的是一个综合的系统工程，是由许多因素决定的，而不是仅仅采用高档的安全产品就能解决，因此对安全设备的管理就显得尤为重要。由于一般的安全产品在管理上是各自管理，因而很容易因为某个设备的设置不当，而使整个网络出现重大的安全隐患。而用户的技术人员往往不可能都是专业的，因此，容易出现上述现象;同时，每个维护人员的水平也有差异，容易出现相互配置上的错误使网络中断。所以，在安全设备的选择上应当选择可以进行网络化集中管理的设备，这样，由少量的专业人员对主要安全设备进行管理、配置，提高整体网络的安全性和稳定性。2.3访问控制企业广域网网络部分通过公共网络建立，其在网络上必定会受到来自INTERNET上许多非法用户的攻击和访问，如试图进入网络系统、窃取敏感信息、破坏系统数据、设置恶意代码、使系统服务严重降低或瘫痪等，因此，采取相应的安全措施是必不可少的。通常，对网络的访问控制最成熟的是采用防火墙技术来实现的，本方案中选择带防火墙功能的VPN设备来实现网络安全隔离，可满足以下几个方面的要求：●控制外部合法用户对内部网络的网络访问;●控制外部合法用户对服务器的访问;●禁止外部非法用户对内部网络的访问;●控制内部用户对外部网络的网络;●阻止外部用户对内部的网络攻击;●防止内部主机的IP欺骗;●对外隐藏内部IP地址和网络拓扑结构;●网络监控;●网络日志审计;由于采用防火墙、VPN技术融为一体的安全设备，并采取网络化的统一管理，因此具有以下几个方面的优点：●管理、维护简单、方便;●安全性高(可有效降低在安全设备使用上的配置漏洞);●硬件成本和维护成本低;●网络运行的稳定性更高由于是采用一体化设备，比之传统解决方案中采用防火墙和加密机两个设备而言，其稳定性更高，故障率更低。2.4入侵检测网络安全不可能完全依靠单一产品来实现，网络安全是个整体的，必须配相应的安全产品。作为必要的补充，入侵检测系统(IDS)可与安全VPN系统形成互补。入侵检测系统是根据已有的、最新的和可预见的攻击手段的信息代码对进出网络的所有操作行为进行实时监控、记录，并按制定的策略实行响应(阻断、报警、发送E-mail)。从而防止针对网络的攻击与犯罪行为。入侵检测系统一般包括控制台和探测器(网络引擎)。控制台用作制定及管理所有探测器(网络引擎)。探测器(网络引擎)用作监听进出网络的访问行为，根据控制台的指令执行相应行为。由于探测器采取的是监听而不是过滤数据包，因此，入侵检测系统的应用不会对网络系统性能造成多大影响。入侵检测系统的设置如下图：从上图可知，入侵检测仪在网络接如上与VPN设备并接使用。入侵检测仪在使用上是独立网络使用的，网络数据全部通过VPN设备，而入侵检测设备在网络上进行疹听，监控网络状况，一旦发现攻击行为将通过报警、通知VPN设备中断网络(即IDS与VPN联动功能)等方式进行控制(即安全设备自适应机制)，最后将攻击行为进行日志记录以供以后审查。2.5漏洞扫描作为一个完善的通用安全系统，应当包含完善的安全措施，定期的安全评估及安全分析同样相当重要。由于网络安全系统在建立后并不是长期保持很高的安全性，而是随着时间的推移和技术的发展而不断下降的，同时，在使用过程中会出现新的安全问题，因此，作为安全系统建设的补充，采取相应的措施也是必然。本方案中，采用漏洞扫描设备对网络系统进行定期扫描，对存在的系统漏洞、网络漏洞、应用程序漏洞、操作系统漏洞等进行探测、扫描，发现相应的漏洞并告警，自动提出解决措施，或参考意见，提醒网络安全管理员作好相应调整。2.6其它对复杂或有特殊要求的网络环境，在采取安全措施上应当特殊考虑，增加新的安全措施。2.6.1应用系统安全2.6.2系统平台安全企业各级网络系统平台安全主要是指操作系统的安全。由于目前主要的操作系统平台是建立在国外产品的基础上，因而存在很大的安全隐患。企业网络系统在主要的应用服务平台中采用国内自主开发的安全操作系统，针对通用OS的安全问题，对操作系统平台的登录方式、文件系统、网络传输、安全日志审计、加密算法及算法替换的支持和完整性保护等方面进行安全改造和性能增强。一般用户运行在PC机上的NT平台，在选择性地用好NT安全机制的同时，应加强监控管理。2.6.3应用平台安全企业网络系统的应用平台安全，一方面涉及用户进入系统的身份鉴别与控制，以及使用网络资源的权限管理和访问控制，对安全相关操作进行的审计等。其中的用户应同时包括各级管理员用户和各类业务用户。另一方面涉及各种数据库系统、WWW服务、E-MAIL服务、FTP和TELNET应用中服务器系统自身的安全以及提供服务的安全。在选择这些应用系统时，应当尽量选择国内软件开发商进行开发，系统类型也应当尽量采用国内自主开发的应用系统。2.7病毒防护因为病毒在网络中存储、传播、感染的方式各异且途径多种多样，相应地企业在构建网络防病毒系统时，应利用全方位的企业防毒产品，实施“层层设防、集中控制、以防为主、防杀结合”的策略。具体而言，就是针对网络中所有可能的病毒攻击设置对应的防毒软件，通过全方位、多层次的防毒系统配置，使网络没有薄弱环节成为病毒入侵的缺口。本方案中在选择杀毒软件时应当注意几个方面的要求：具有卓越的病毒防治技术、程序内核安全可靠、对付国产和国外病毒能力超群、全中文产品，系统资源占用低，性能优越、可管理性高，易于使用、产品集成度高、高可靠性、可调配系统资源占用率、便捷的网络化自动升级等优点。病毒对信息系统的正常工作运行产生很大影响，据统计，信息系统的60%瘫痪是由于感染病毒引起的。为了更好的解决病毒的防范，一般要求病毒防范系统满足如下要求：●采用世界最先进的防毒产品与网络系统的实际需要相结合，确保网络系统具有最佳的病毒防护能力的情况下综合成本最少。●充分考虑网络的系统数据、文件的安全可靠性，所选产品与现系统具有良好的一致性和兼容性，以及最低的系统资源占用，保证不对现有系统运行产生不良影响。●应用全球最为先进的“实时监控”技术，充分体现趋势科技“以防为主”的反病毒思想。●所选用产品具备对多种压缩格式文件的病毒检测。●所选用产品易于安装、操作简便、便于管理和维护，具有友好的用户界面。●应用经由ICSA(国际电脑安全协会)技术认证的扫描引擎，保证对包括各种千面人病毒、变种病毒和黑客程序等具有最佳的病毒侦测率，除对已知病毒具备全面的侦防能力，对未知病毒亦有良好的侦测能力。强调在XXX网络防毒系统内，实施统一的防病毒策略、集中的防毒管理和维护，最大限度地减轻使用人员和维护人员的工作量。●完全自动化的日常维护，便于进行病毒码及扫描引擎的更新。●提供良好的售后服务及技术支持。●具有良好的可扩充性，充分保护用户的现有投资，适应网络系统的今后发展需要2.8产品应用ESET杀毒软件高级企业版：针对大型网络特点专业设计，拥有网络版产品的所有功能，可以建立超级病毒监控管理（系统）中心，其中上级中心不仅可集中管理各个下级系统中心，上级中心还可直接管理下级中心的任一个防病毒客户端。通过建立“集中管理、分布处理”的多级中心防病毒监控管理系统，在大型企业内部的服务器和客户端同时部署杀毒软件共同完成对整个网络的病毒防护工作，为用户的网络系统提供全方位防病毒解决方案。图2-5大型区域网络的监控与管理图防毒墙：防毒墙是一款多功能、高性能的产品，它不但能够在网络边缘病毒检测、拦截和清除的功能，同时，它还是一个高性能的防火墙，通过在总部、分支机构网络边缘分别布置不同性能的防毒墙保护总部和分支机构内部网络和对外服务器不受黑客的攻击，同时通过VPN功能，为分支机构、远程、移动用户提供一个安全的远程连接功能，是大型企业网络边缘安全的首选产品。网络安全预警系统：网络安全预警系统集病毒扫描、入侵检测和网络监视功能于一身，它能实时捕获网络之间传输的所有数据，利用内置的病毒和攻击特征库，通过使用模式匹配和统计分析的方法，可以检测出网络上发生的病毒入侵、违反安全策略的行为和异常现象，并在数据库中记录有关事件，作为事后分析的依据。网络安全预警系统的目标是：全面，准确，高效，稳定，安全，快速。全面是指能检测已知的各种病毒和攻击；准确是指检测的结果准确，误报率低；高效是指检测引擎的运行效率高，由于现在的网络带宽越来越宽，只有高效的引擎才能在检测时不丢包；稳定是指系统运行稳定可靠；安全是指预警系统自身的安全，由于引擎中保存了大量检测到的敏感信息，因此对其自身的保护是十分重要的；快速是指对新的漏洞和新的攻击方法反应快，系统升级简便。通过ESET杀毒软件高级企业版、防毒墙和网络安全预警共同为大型企业建立一个统一的防黑、防毒的安全网络。设计后的安全网络拓扑图如下：图2-6大型企业网络安全实施图三、选用产品ESET网络版杀毒软件高级企业版防毒墙网络安全预警系统四、企业整体解决方案实现的主要功能1. 安全的网络边缘防护防毒墙可以根据用户的不同需要，具备针对HTTP、FTP、SMTP和POP3协议内容检查、清除病毒的能力，同时通过实施安全策略可以在网络环境中的内外网之间建立一道功能强大的防火墙体系，不但可以保护内部资源不受外部网络的侵犯，同时可以阻止内部用户对外部不良资源的滥用。2.内部网络行为监控和规范网络安全预警系统SDS-1000对HTTP、SMTP、POP3和基于HTTP协议的其他应用协议具有100%的记录能力,企业内部用户上网信息识别粒度达到每一个URL请求和每一个URL请求的回应。通过对网络内部网络行为的监控可以规范网络内部的上网行为，提高工作效率，同时避免企业内部产生网络安全隐患。3. 计算机病毒的监控和清除网络杀毒软件是一个专门针对网络病毒传播特点开发的网络防病毒软件，通过网络防病毒体系在网络内客户端和服务器上建立反病毒系统，并且可以实现防病毒体系的统一、集中管理，实时掌握、了解当前网络内计算机病毒事件，并实现对网络内的所有计算机远程反病毒策略设置和安全操作。4. 强大的日志分析和统计报表能力对网络内的安全事件都作出详细的日志记录，这些日志记录包括事件名称、描述和相应的主机IP地址等相关信息。此外，报表系统可以自动生成各种形式的攻击统计报表，形式包括日报表，月报表，年报表等，通过来源分析，目标分析，类别分析等多种分析方式，以直观、清晰的方式从总体上分析网络上发生的各种事件，有助于管理人员提高网络的安全管理。5. 模块化的安全组合本方案中使用的瑞星网络安全产品分别具有不同的功能，用户可以根据自身企业的实际情选择不同的产品构建不同安全级别的网络，产品选择组合方便、灵活，既有独立性有整体性。2.9数据备份企业内部存在大量的数据，而这里面又有许多重要的、机密的信息。而整个数据的安全保护就显得特别重要，对数据进行定期备份是必不可少的安全措施。在采取数据备份时应该注意以下几点：●存储介质安全在选择存储介质上应选择保存时间长，对环境要求低的存储产品，并采取多种存储介质备份。如同时采用硬盘、光盘备份的方式。●数据安全即数据在备份前是真实数据，没有经过篡改或含有病毒。●备份过程安全确保数据在备份时是没有受到外界任何干扰，包括因异常断电而使数据备份中断的或其它情况。●备份数据的保管对存有备份数据的存储介质，应保存在安全的地方，防火、防盗及各种灾害，并注意保存环境(温度、湿度等)的正常。同时对特别重要的备份数据，还应当采取异地备份保管的方式，来确保数据安全。对重要备份数据的异地、多处备份(避免类似美国911事件为各公司产生的影响)2.10安全审计作为一个良好的安全系统，安全审计必不可少。企业是一个非常庞大的网络系统，因而对整个网络(或重要网络部分)运行进行记录、分析是非常重要的，它可以让用户通过对记录的日志数据进行分析、比较，找出发生的网络安全问题的原因，并可作为以后的法律证据或者为以后的网络安全调整提供依据。2.11认证、鉴别、数字签名、抗抵赖企业网络系统庞大，上面存在很多分级的重要信息，同时，由于现在国家正在大力推进电子政务的发展，网上办公已经越来越多的被应用到各级政府部门当中，因此，需要对网上用户的身份、操作权限等进行控制和授权。对不同等级、类型的信息只允许相应级别的人进行审阅;对网上公文的处理采取数字签名、抗抵赖等相应的安全措施。2.12物理安全企业网络系统的物理安全要求是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾和雷击等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。2.13两套网络的相互转换企业内部网络系统具有两套网络，这两套网络系统是完全物理隔离的，而企业内部有部分用户需要两个网络都要接入，这就涉及到两个网络之间的相互切换问题。而现在的实际使用是采用手工拔插网线的方式进行切换，这使得使用中非常不方便。因此，本方案建议采用网络隔离卡的方式来解决网络切换的问题。隔离卡工作方式隔离卡上有两个网络接口，一个接内网，一个接外网;另外还有一个控制口，通过控制口连接一个控制器(只有火柴盒大小)，放置于电脑旁边。同时，在隔离卡上接两个硬盘，使一个计算机变为两个计算机使用，两个硬盘上分别运行独立的操作系统。这样，可通过控制器进行切换(简单的开关，类似电源开关)，使计算机分别接到两个网络上。2.14应用企业网络的实际情况，需要在楼层中安装隔离卡。并且做好规划2.15防电磁辐射普通的综合布线系统通常都采用5类UTP的方式，由于电信号在传输时存在电磁场，并随着信号的改变而改变磁场的强弱，而UTP本身没有任何的屏蔽功能，因此容易被国外间谍机构或不法分子采取电磁波复原的方法窃取重要机密信息，造成严重后果。因而对重要信息点的数据传输介质应采取相应的安全措施，如使用屏蔽双绞线等终端设备尤其是CRT显示器均有程度不同的电磁辐射问题，但又因终端分散使用不宜集中采用屏蔽室的办法来防止，因此除要求在订购设备上尽量选取低辐射产品外，还应根据保护对象分别采取主动式的干扰设备(如干扰机来破坏对信息的侦窃)，或采用加装带屏蔽门窗的屏蔽室。2.16网络防雷企业网络系统的物理范围主要是在一栋大楼内，而大楼本身已采取相应的防雷措施，因此，本方案中主要针对网络系统防雷进行设计，不包括电源防雷(这一般属于大楼防雷的部分)。不少用户为防止计算机及其局域网或广域网遭雷击，便简单地在与外部线路连接的调制解调器上安装避雷器，但由于静电感应雷、防电磁感应雷主要是通过供电线路破坏设备的，因此对计算机信息系统的防雷保护首先是合理地加装电源避雷器，其次是加装信号线路和天馈线避雷器。如果大楼信息系统的设备配置中有计算机中心机房、程控交换机房及机要设备机房，那么在总电源处要加装电源避雷器。按照有关标准要求，必须在0区、1区、2区分别加装避雷器(0区、1区、2区是按照雷电出现的强度划分的)。在各设备前端分别要加装串联型电源避雷器(多级集成型)，以最大限度地抑制雷电感应的能量。同时，计算机中心的MODEM、路由器、甚至HUB等都有线路出户，这些出户的线路都应视为雷电引入通道，都应加装信号避雷器。对楼内计算机等电子设备进行防护的同时，对建(构)筑物再安装防雷设施就更安全了。根据企业网络结构、物理结构、电源结构分析，防雷系统可采取两级防雷措施。●骨干网络防雷;●终端防雷;以上两级避雷可使用信号避雷器来实现。根据网络连接线路的类型和带宽选择相应的避雷器。2.17重要信息点的物理保护企业各级网络内部存在重要的信息点，如内部核心应用系统，环境等都需要保护，它主要包括三个方面：(1)环境安全：对系统所在环境的安全保护，如区域保护和灾难保护(参见国家标准GB50173-93《电子计算机机房设计规范》、国标GB2887-89《计算站场地技术条件》、GB9361-88《计算站场地安全要求》)。(2)设备安全：主要包括设备的防盗、防毁坏及电源保护等。对中心机房和关键信息点采取多种安全防范措施，确保非授权人员无法进入。中心机房处理秘密级、机密级信息的系统均采用有效的电子门控系统等。(3)媒体安全：包括媒体数据的安全及媒体本身的安全。总结没有安全保证的企业网络就像没有刹车的车子跑在高速公路上。互联网络的飞速发展，对企业网络中用户的工作和管理已经产生了深远的影响，网络在我们的生活中已经无处不在。但在享受高科技带来的便捷同时，我们需要清醒的认识到，网络安全问题的日益严重也越来越成为网络应用的巨大阻碍，企业网络安全已经到了必须要统一管理和彻底解决的地步，只有很好的解决了网络安全问题，企业网络的应用才能健康、高速的发展.本文分析了企业网络的安全规划，并针对规划提出了相应的安全解决措施。文中分析认为，企业网络安全重点在防病毒和防攻击。为此．文中针对病毒的特点和网络攻击的特性，提出了企业网络的相应措施。采用上述措施，基本能够解决企业网络面临威胁风险，从而建构一个安全、高效的网络。致谢首先，感谢老师给我机会，使我能够对网络安全进行技能操作，再一次的对网络安全掌握了不少的知识，使得原本不了解实训内容的我又扩充了一些知识，在这次为期一个多月的网络安全毕业设计过程中，在同学的帮助和老师的指导下，我确实学到了很多东西，再次我真诚的感谢老师和同学们给予我的帮助。整个毕业设计的过程是在我的指导老师付X的亲切关怀和悉心指导下完成的。他严肃的态度，严谨的精神，精益求精的工作作风，深深地感染和激励着我。这段时间来，老师不仅在论文上给我以精心指导，同时还在思想、生活上给我以无微不至的关怀，在此谨向本次毕业设计的老师致以诚挚的谢意和崇高的敬意。在设计即将完成之际，我的心情无法平静，从开始进入到设计的顺利完成，有多少可敬的师长、同学、朋友给了我无言的帮助，在这里请接受我诚挚的谢意!最后我还要感谢培养我长大含辛茹苦的父母，谢谢你们!计算机网络技术日新月异地飞速发展，人们总是处在不断学习阶段，再加上自己水平有限，所以本设计肯定存在不少错误和不尽人意之处，欢迎广大老师和同学批评指正，在此深表感谢！目录摘要……………………………1Abstract…………………………2绪论……………………………31我国二手车市场分析………………………52国外二手车市场介绍………………………82.1国外二手车交易规模………………………82.2国外二手车交易特点………………………82.3国内外二手车市场比较…………………113二手车置换的4S模式……………………133.1二手车置换的定义………………………133.2二手车置换的要求与条件………………133.3二手车置换的流程步骤…………………133.44S店做二手车置换的优势分析…………153.54S店和旧车市场相比有何优势…………153.64S店旧车置换新车操作特点……………164阻挠二手车置换发展的因素………………184.1没有规范的汽车消费环境………………184.2没有健全的二手车评价体系……………194.3没有共享的信息资源……………………214.4没有合理的税费制度……………………215结论…………………………22参考文献………………………23致谢…………………………24摘要随着我国进入汽车时代，汽车保有量的不断增加，汽车也从有钱人才买得起的奢侈品变成了大部分人都能承担的代步工具。此时，二手车置换应运而生，作为汽车营销的新型产物，在发展前景方面本应有着巨大的前景。但是由于没有规范的汽车消费环境和健全的二手车评估系统，导致我国二手车置换发展缓慢，通过研究对比国外的成功经验，结合我国的二手车市场的现状，在未来几年中肯定能够使品牌4S店二手车置换有长足的发展。关键词：汽车；二手车置换；消费环境；二手车评估；4S店ABSTRACTWithChinaisentryintotheageoftheautomobile,theincreaseofautopossession,thecaralsoaffordableluxurygoodsfromwealthybecamemostpeoplecanbeartransport.Usedcarsreplacementalsoarisesatthehistoricmoment,butwithoutthespecificationoftheconsumermarket,thereisnosoundusedcarevaluationsystem,leadingtothedevelopmentoftheusedcarreplacementistooslow.Throughthestudycomparedforeignsuccessfulexperience,andcombiningthecurrentsituationofthesecond-handmarketinChina,inthenextfewyearsissuretokeepbrandauto4Sshopusedcarreplacementhaveconsiderabledevelopment.Keywords：usedcarsreplacement；second-handmarket；auto4Sshop绪论随着我国汽车工业的高速发展，二手车市场的交易量和规模也日益扩大，其巨大的发展潜力和市场空间已逐渐凸显出来。与此相伴，二手车交易的一个基本方式——二手车置换业务也应运而生。通俗来讲二手车置换就是用手头上的二手车来置换新车，就是将卖旧车和买新车两个过程合并成了一个过程。其中包括：相同品牌内的旧车换新车；多个品牌置换某一品牌新车的业务；不同品牌二手车之间以旧换新，比如二手富康置换二手宝马。而理论上，二手车置换的概念有狭义和广义之分：狭义的二手车置换就是“以旧换新”业务，即经销商通过二手车的收购与新车的对等销售获取利益；广义的置换则是指以旧换新业务的基础上，还同时兼容二手车的整新、跟踪服务、二手车再销售乃至折抵分期付款等项目的一系列业务组合，从而成为一种有机而独立运营的营销方式。现如今，中国已经进入了汽车时代，汽车产业蓬勃发展，汽车消费市场日趋成熟，汽车保有量逐年增长，并且增长势头惊人，随之而带来的二手车及交易问题也成为不可避免的难题。鉴定评估缺乏统一标准，二手车的诚信问题，售后服务不到位，二手车的信贷欠缺等等，都是时刻制约着二手车交易市场的健康发展的问题。二手车置换业务，便是在这种纠结的市场情况下诞生，当然也是必然结果。首先，汽车置换业务可以加快经济发达地区的车辆更新速度，同时能刺激内地和经济不发达地区对机动车的需求，是满足特定消费市场的重要营销手段；其次，汽车置换可以在某种程度上调剂高车价与低收入之间的矛盾，使其成为汽车真正进入家庭的前奏和过渡预演；最后，汽车置换为置换客户提供全方位的配套服务外，也能使其在购买新车的同时，快速变现旧车。因此，汽车置换是汽车产业一种新型的业态，是汽车营销创新的产物，是汽车消费是新趋势。但是，在二手车置换开展的这些年里，不但没有带给汽车厂家和4S店惊喜，反而成了负担、摆设而已。2004年6月1日，国家新《汽车产业发展政策》出台，为培育和发展二手车市场，政策明确鼓励二车经营主体多元化，并对汽车厂家经营二手车业务大开方便之门。政策开闸，一时间上海大众、一汽-大众、上海通用等整车厂家经销商蜂拥而入。2004年底，一汽-大众旗下347家经销商中，有13个城市的16家经销商作为首批认证二手车样板店开展二手车业务；上海通用也将旗下“诚新二手车”授权专营店发展至80家。与此同时，上海大众也选定90家经销商经营二手车业务。据中国汽车流通协会2006年统计数据显示，全国有备案的15000多家品牌经销商中，40%的经销商已设置二手车的品牌部门，15%-20%的经销商已正式开展二手车的业务。但是二手车流通基本处于二手车交易市场控制中，价格由二手车交易市场说了算。目前绝大部分4S店月置换量不足3辆，占不到新车销量的十分之一，几乎是名存实亡，更不用说促进新车销售了。因为4S店置换的车辆很少，很难和二手车市场进行竞争，最后这些置换的车辆还是被4S店拿到二手车交易市场，成为了他们的货源。相对于3000元/月每个的停车位，200辆以上的日均交易量，4S店置换的车辆的利润少的可怜。上海大众“特选二手车”经销商广东德宝大众二手车业务经理潘光耀说：“不是我们不努力，而是品牌二手车业务在运作模式上存在先天不足。大众品牌二手车要经过100多项检测，不合格的项目要按标准修复。这虽然能让产品更加保值，但较之旧车交易市场的交易价格根本不具优势，这让国内消费者很难适应。”例如同一款二手帕萨特，经过认证后的4S店给出的价格是15万元，而二手车交易市场给出的价格却只有12万元。

不仅如此，消费者在4S店置换新车后，还要被征收2%的增值税，以一辆10万元的二手车为例，就要额外缴纳1000元的税，而在传统交易市场中，消费者只需要缴纳过户费和交易费10元左右。这也造成了二手车置换业务的无人问津。虽然现在的二手车置换