移動企業網絡安全整體項目解決方案1(編輯修改稿)

　

【文章內容簡介】 信息隱藏，應用網關為外部連接提供代理。 √ 健壯的認證和日志。 √ 節省費用，第三方的認證設備(軟件或硬件)只需安裝在應用網關上。 √ 簡化和靈活的過濾規則，路由器只需簡單地通過到達應用網關的包并拒絕其余的包通過。 應用網關的缺點在于： √ 新的服務需要安裝新的代理服務器。 √ 有時需要對客戶軟件進行修改。 √ 可能會降低網絡性能。√ 應用網關可能被攻擊。線路級網關線路級網關提供內部網和外部網連接的中繼，但不提供額外的處理和過濾能力。Stateful防火墻 該類防火墻綜合了包過濾防火墻及應用網關的特性。能夠提供比應用網關更多的連接特性，但是安全性比較應用網關差。 建設Firewall的原則 分析安全和服務需求 以下問題有助于分析安全和服務需求： √ 計劃使用哪些Internet服務(如，ftp，gopher)，從何處使用Internet服務(本地網，撥號，遠程辦公室)。 √ 增加的需要，如加密或拔號接入支持。 √ 提供以上服務和訪問的風險。 √ 提供網絡安全控制的同時，對系統應用服務犧牲的代價。 策略的靈活性 Internet相關的網絡安全策略總的來說，應該保持一定的靈活性，主要有以下原因： √ Internet自身發展非常快，機構可能需要不斷使用Internet提供的新服務開展業務。新的協議和服務大量涌現帶來新的安全問題，安全策略必須能反應和處理這些問題。 √ 機構面臨的風險并非是靜態的，機構職能轉變、網絡設置改變都有可能改變風險。 遠程用戶認證策略 √ 遠程用戶不能通過放置于Firewall后的未經認證的Modem訪問系統。 √ PPP/SLIP連接必須通過Firewall認證。 √ 對遠程用戶進行認證方法培訓。　　撥入/撥出策略　　√ 撥入/撥出能力必須在設計Firewall時進行考慮和集成。 √ 外部撥入用戶必須通過Firewall的認證。 Information Server策略 √ 公共信息服務器的安全必須集成到Firewall中。 √ 必須對公共信息服務器進行嚴格的安全控制，否則將成為系統安全的缺口。 √ 為Information server定義折中的安全策略允許提供公共服務。 √ 對公共信息服務和商業信息(如)講行安全策略區分。 Firewall系統的基本特征 √ Firewall必須支持．“禁止任何服務除非被明確允許”的設計策略。 √ Firewall必須支持實際的安全政策，而非改變安全策略適應Firewall。 √ Firewall必須是靈活的，以適應新的服務和機構智能改變帶來的安全策略的改變。　　√ Firewall必須支持增強的認證機制。 √ Firewall應該使用過濾技術以允許或拒絕對特定主機的訪問。 √ IP過濾描述語言應該靈活，界面友好，并支持源IP和目的IP，協議類型，源和目的TCP/UDP口，以及到達和離開界面。 √ Firewall應該為FTP、TELNET提供代理服務，以提供增強和集中的認證管理機制。如果提供其它的服務(如NNTP，等)也必須通過代理服務器。 √ Firewall應該支持集中的SMTP處理，減少內部網和遠程系統的直接連接。 √ Firewall應該支持對公共Information server的訪問，支持對公共Information server的保護，并且將Information server同內部網隔離。 √ Firewall可支持對撥號接入的集中管理和過濾。 √ Firewall應支持對交通、可疑活動的日志記錄。 √ 如果Firewall需要通用的操作系統，必須保證使用的操作系統安裝了所有己知的安全漏洞Patch。 √ Firewall的設計應該是可理解和管理的。 √ Firewall依賴的操作系統應及時地升級以彌補安全漏洞。選擇防火墻的要點 (1) 安全性：即是否通過了嚴格的入侵測試。 (2) 抗攻擊能力：對典型攻擊的防御能力 (3) 性能：是否能夠提供足夠的網絡吞吐能力 (4) 自我完備能力：自身的安全性，Failclose (5) 可管理能力：是否支持SNMP網管 (6) VPN支持 (7) 認證和加密特性(8) 服務的類型和原理(9)網絡地址轉換能力三. 病毒防護技術 病毒歷來是信息系統安全的主要問題之一。由于網絡的廣泛互聯，病毒的傳播途徑和速度大大加快。 我們將病毒的途徑分為： (1 ) 通過FTP，電子郵件傳播。 (2) 通過軟盤、光盤、磁帶傳播。 (3) 通過Web游覽傳播，主要是惡意的Java控件網站。 (4) 通過群件系統傳播。 病毒防護的主要技術如下： (1) 阻止病毒的傳播。 在防火墻、代理服務器、SMTP服務器、網絡服務器、群件服務器上安裝病毒過濾軟件。在桌面PC安裝病毒監控軟件。 (2) 檢查和清除病毒。 使用防病毒軟件檢查和清除病毒。 (3) 病毒數據庫的升級。 病毒數據庫應不斷更新，并下發到桌面系統。 (4) 在防火墻、代理服務器及PC上安裝Java及ActiveX控制掃描軟件，禁止未經許可的控件下載和安裝。四. 入侵檢測技術 利用防火墻技術，經過仔細的配置，通常能夠在內外網之間提供安全的網絡保護，降低了網絡安全風險。但是，僅僅使用防火墻、網絡安全還遠遠不夠： (1) 入侵者可尋找防火墻背后可能敞開的后門。 (2) 入侵者可能就在防火墻內。 (3) 由于性能的限制，防火焰通常不能提供實時的入侵檢測能力。 入侵檢測系統是近年出現的新型網絡安全技術，目的是提供實時的入侵檢測及采取相應的防護手段，如記錄證據用于跟蹤和恢復、斷開網絡連接等。 實時入侵檢測能力之所以重要首先它能夠對付來自內部網絡的攻擊，其次它能夠縮短hacker入侵的時間。 入侵檢測系統可分為兩類：√ 基于主機 √ 基于網絡 基于主機的入侵檢測系統用于保護關鍵應用的服務器，實時監視可疑的連接、系統日志檢查，非法訪問的闖入等，并且提供對典型應用的監視如Web服務器應用。基于網絡的入侵檢測系統用于實時監控網絡關鍵路徑的信息，其基本模型如下圖示：(., close connection)(.,