網絡安全綜合設計方案畢業論文-文庫吧

【正文】 　l 應用系統安全。　　l 物理安全。　　l 安全管理。　　 安全設計總體考慮　　根據XXX企業網絡現狀及發展趨勢，主要安全措施從以下幾個方面進行考慮：　　l 網絡傳輸保護　　主要是數據加密保護　　l 主要網絡安全隔離　　通用措施是采用防火墻　　l 網絡病毒防護　　采用網絡防病毒系統　　l 廣域網接入部分的入侵檢測　　采用入侵檢測系統　　l 系統漏洞分析　　采用漏洞分析設備　　l 定期安全審計　　主要包括兩部分：內容審計和網絡通信審計　　l 重要數據的備份　　l 重要信息點的防電磁泄露　　l 網絡安全結構的可伸縮性　　包括安全設備的可伸縮性，即能根據用戶的需要隨時進行規模、功能擴展　　l 網絡防雷　　 網絡安全　　作為XXX企業應用業務系統的承載平臺，網絡系統的安全顯得尤為重要。由于許多重要的信息都通過網絡進行交換，　　 網絡傳輸　　由于XXX企業中心內部網絡存在兩套網絡系統，其中一套為企業內部網絡，主要運行的是內部辦公、業務系統等。另一套是與INTERNET相連，通過ADSL接入，并與企業系統內部的上、下級機構網絡相連。通過公共線路建立跨越INTERNET的企業集團內部局域網，并通過網絡進行數據交換、信息共享。而INTERNET本身就缺乏有效的安全保護，如果不采取相應的安全措施，易受到來自網絡上任意主機的監聽而造成重要信息的泄密或非法篡改，產生嚴重的后果。　　由于現在越來越多的政府、金融機構、企業等用戶采用VPN技術來構建它們的跨越公共網絡的內聯網系統，因此在本解決方案中對網絡傳輸安全部分推薦采用VPN設備來構建內聯網。可在每級管理域內設置一套VPN設備，由VPN設備實現網絡傳輸的加密保護。根據XXX企業三級網絡結構，VPN設置如下圖所示：　　圖41三級 VPN設置拓撲圖　　每一級的設置及管理方法相同。即在每一級的中心網絡安裝一臺VPN設備和一臺VPN認證服務器(VPNCA)，在所屬的直屬單位的網絡接入處安裝一臺VPN設備，由上級的VPN認證服務器通過網絡對下一級的VPN設備進行集中統一的網絡化管理。可達到以下幾個目的：　　l 網絡傳輸數據保護。　　由安裝在網絡上的VPN設備實現各內部網絡之間的數據傳輸加密保護，并可同時采取加密或隧道的方式進行傳輸　　l 網絡隔離保護。　　與INTERNET進行隔離，控制內網與INTERNET的相互訪問　　l 集中統一管理，提高網絡安全性。　　l 降低成本(設備成本和維護成本)。　　其中，在各級中心網絡的VPN設備設置如下圖：　　圖42 中心網絡VPN設置圖　　由一臺VPN管理機對CA、中心VPN設備、分支機構VPN設備進行統一網絡管理。將對外服務器放置于VPN設備的DMZ口與內部網絡進行隔離，禁止外網直接訪問內網，控制內網的對外訪問、記錄日志。這樣即使服務器被攻破，內部網絡仍然安全。　　下級單位的VPN設備放置如下圖所示：　　圖43 下級單位VPN設置圖　　從圖44可知，下屬機構的VPN設備放置于內部網絡與路由器之間，其配置、管理由上級機構通過網絡實現，下屬機構不需要做任何的管理，僅需要檢查是否通電即可。由于安全設備屬于特殊的網絡設備，其維護、管理需要相應的專業人員，而采取這種管理方式以后，就可以降低下屬機構的維護成本和對專業技術人員的要求，這對有著龐大下屬、分支機構的單位來講將是一筆不小的費用。　　由于網絡安全的是一個綜合的系統工程，是由許多因素決定的，而不是僅僅采用高檔的安全產品就能解決，因此對安全設備的管理就顯得尤為重要。由于一般的安全產品在管理上是各自管理，因而很容易因為某個設備的設置不當，而使整個網絡出現重大的安全隱患。而用戶的技術人員往往不可能都是專業的，因此，容易出現上述現象。同時，每個維護人員的水平也有差異，容易出現相互配置上的錯誤使網絡中斷。所以，在安全設備的選擇上應當選擇可以進行網絡化集中管理的設備，這樣，由少量的專業人員對主要安全設備進行管理、配置，提高整體網絡的安全性和穩定性。　　 訪問控制　　由于XXX企業廣域網網絡部分通過公共網絡建立，其在網絡上必定會受到來自INTERNET上許多非法用戶的攻擊和訪問，如試圖進入網絡系統、竊取敏感信息、破壞系統數據、設置惡意代碼、使系統服務嚴重降低或癱瘓等，因此，采取相應的安全措施是必不可少的。通常，對網絡的訪問控制最成熟的是采用防火墻技術來實現的，本方案中選擇帶防火墻功能的VPN設備來實現網絡安全隔離，可滿足以下幾個方面的要求：　　l 控制外部合法用戶對內部網絡的網絡訪問。　　l 控制外部合法用戶對服務器的訪問。　　l 禁止外部非法用戶對內部網絡的訪問。　　l 控制內部用戶對外部網絡的網絡。　　l 阻止外部用戶對內部的網絡攻擊。　　l 防止內部主機的IP欺騙。　　l 對外隱藏內部IP地址和網絡拓撲結構。　　l 網絡監控。　　l 網絡日志審計。　　詳細配置拓撲圖見圖4圖4圖43。　　由于采用防火墻、VPN技術融為一體的安全設備，并采取網絡化的統一管理，因此具有以下幾個方面的優點：　　l 管理、維護簡單、方便。　　l 安全性高(可有效降低在安全設備使用上的配置漏洞)。　　l 硬件成本和維護成本低。　　l 網絡運行的穩定性更高　　由于是采用一體化設備，比之傳統解決方案中采用防火墻和加密機兩個設備而言，其穩定性更高，故障率更低。　　 入侵檢測　　網絡安全不可能完全依靠單一產品來實現，網絡安全是個整體的，必須配相應的安全產品。作為必要的補充，入侵檢測系統(IDS)可與安全VPN系統形成互補。入侵檢測系統是根據已有的、最新的和可預見的攻擊手段的信息代碼對進出網絡的所有操作行為進行實時監控、記錄，并按制定的策略實行響應(阻斷、報警、發送Email)。從而防止針對網絡的攻擊與犯罪行為。入侵檢測系統一般包括控制臺和探測器(網絡引擎)。控制臺用作制定及管理所有探測器(網絡引擎)。探測器(網絡引擎)用作監聽進出網絡的訪問行為，根據控制臺的指令執行相應行為。由于探測器采取的是監聽而不是過濾數據包，因此，入侵檢測系統的應用不會對網絡系統性能造成多大影響。　　入侵檢測系統的設置如下圖：　　從上圖可知，入侵檢測儀在網絡接如上與VPN設備并接使用。入侵檢測儀在使用上是獨立網絡使用的，網絡數據全部通過VPN設備，而入侵檢測設備在網絡上進行疹聽，監控網絡狀況，一旦發現攻擊行為將通過報警、通知VPN設備中斷網絡(即IDS與VPN聯動功能)等方式進行控制(即安全設備自適應機制)，最后將攻擊行為進行日志記錄以供以后審查。　 漏洞掃描　　作為一個完善的通用安全系統，應當包含完善的安全措施，定期的安全評估及安全分析同樣相當重要。由于網絡安全系統在建立后并不是長期保持很高的安全性，而是隨著時間的推移和技術的發展而不斷下降的，同時，在使用過程中會出現新的安全問題，因此，作為安全系統建設的補充，采取相應的措施也是必然。　　本方案中，采用漏洞掃描設備對網絡系統進行定期掃描，對存在的系統漏洞、網絡漏洞、應用程序漏洞、操作系統漏洞等進行探測、掃描，發現相應的漏洞并告警，自動提出解決措施，或參考意見，提醒網絡安全管理員作好相應調整。　　 其它　　對復雜或有特殊要求的網絡環境，在采取安全措施上應當特殊考慮，增加新的安全措施。　　 應用系統安全　　 系統平臺安全　　XXX