網絡安全建設項目實施方案(編輯修改稿)

　

【文章內容簡介】 。辦公網可按各個職能來劃分 VLAN，如將領導所在的網絡單獨作為一個 Leader VLAN (LVLAN )，技術人員劃分為一個VLAN，工作人員劃分為一個 VLAN，而其它機構分別劃作一個 VLAN。其共享服務器（如 EMAIL 服務器、DNS 服務器、WEB 服務器等）單獨劃作一個VLAN (MVLAN)。其他服務器如數據庫服務器劃為 Data VLAN。 辦公網整體安全建議根據以上的安全風險分析、需求分析和某公司的具體情況，建議從以下方面考慮進行安全方面的部署：? 終端防護A. 在系統內所有客戶端部署統一管理的企業級防病毒系統。通過防病毒系統的統一部署，可以防止病毒的感染和傳播。這可以解決常見的計算機癱瘓、網絡阻塞等安全問題。B. 在系統內所有客戶端部署統一管理的終端安全防護系統。通過終端安全防護系統的統一部署，可以某公司安全管理制度提供有利的技術保障措施，保障終端的系統安全和終端的安全管理。C. 在中心部署身份認證登陸系統，終端必須通過身份認證才能進入，避免非法進入。? 邊界的防護A. 通過防火墻系統的部署，可以根據不同的安全要求，設置不同的安全區域，來限制不同信任度區域之間的相互訪問，保護各關鍵應用網絡安全建設實施方案13服務器系統免受網絡上的非法訪問和惡意攻擊，可以在服務器區的前端增加一臺防火墻設備。B. 通過入侵檢測系統的部署，幫助系統對付網絡攻擊，擴展系統管理員的安全管理能力，提高信息安全基礎結構的完整性。? 服務器的防護A. 與客戶端一起，在系統內所有服務器部署統一管理的企業級防病毒系統。通過防病毒系統的統一部署，可以防止服務器免受病毒的感染和傳播。這可以解決常見的服務器癱瘓、信息資產丟失等安全問題，為服務器病毒防護提供有效的安全保障。B. 與客戶端一起，在系統內所有服務器部署統一管理的終端安全防護系統。通過終端安全防護系統的統一部署，為服務器提供訪問控制、系統的安全、補丁的有效管理、和為服務器的安全管理提供技術保障措施。C. 服務器安全加固，對關鍵服務器進行安全加固，保證服務器的安全使用和穩固。? 系統安全防護A. 在辦公網系統上部署漏洞掃描系統，可以隨時的對網絡內的所有終端、服務器、數據庫系統進行掃描，以發現安全隱患。B. 在系統當中部署安全強審計系統。根據用戶的安全策略制定詳細的審計保護規則，對整個網絡和主機中違反安全策略的行為進行阻斷，并向管理中心報警。系統整體安全體系結構圖見圖 1：網絡安全建設實施方案14W E B 服務器郵件服務器病毒服務器I N T E R N E T出口生產系統區辦公系統區入侵檢測系統安全審計系統K V M審計服務器網管工作站舊辦公區各個樓層交換入侵檢測系統入侵檢測系統公共系統區入侵檢測系統網絡管理區圖 1： 系統整體安全體系結構示意圖 防火墻實施方案（1） 整體性? 安全防范體系的建立和多層保護的相互配合；? 實現技術、產品選型、質量保證與技術服務的統一。（2） 先進性? 安全技術先進；? 安全產品成熟；? 安全系統技術生命的周期適度。（3） 可用性? 安全系統本身的可用性；? 安全管理友好，并于其他系統管理的有效集成；? 避免造成網絡系統結構的復雜；網絡安全建設實施方案15? 盡量降低對原有網絡系統的性能影響和不影響應用業務的開展。（4） 擴充性? 安全系統能適應客戶網絡和業務應用需求的變化而變化；? 安全系統遵循標準，系統的變化易實現、易修改、易擴充。? 采取核心保護策略，盡可能的以最小的投資達到最大的安全防護。? 采用可以提供集中管理控制的產品，同時要求考慮產品適應性可擴展性，以適應網絡擴展的需要。? 產品在使用上應具有友好的用戶界面，使用戶在管理、使用、維護上盡量簡單、直觀。? 建立層次化的防護體系和管理體系。從某公司網絡結構和功能劃分上，可以看出，辦公網中的服務器區域是很重要的安全區域，這些服務器承載著整個公司全部網絡功能的需求，對網絡安全系數的要求很高，一旦重要服務器遭到攻擊破壞，將對整個公司的業務產生非常大的影響，所以可以在服務器交換機與核心交換機的連接中設置防火墻設備，根據用戶設定的安全規則，在保護內部網絡安全的前提下，提供內外網絡通信，是必不可少的安全防御措施。? 控制從外網區到安全服務區的訪問，確保允許的訪問才能夠進行，而其他未經過允許的行為全部被禁止；? 限制安全服務區對非安全服務區的直接訪問；? 防火墻有效記錄區域之間的訪問日志，為出現安全問題時提供備查資料；具體配置情況如圖 1 所示，在網絡邊界處部署一臺防火墻作為網絡系統與Inter 連接的第一道安全防護，通過防火墻提供的功能來達到訪問控制的目的；另外，在各個系統區的出口處也部署一臺防火墻，用來保證各個區域的安全，制定不同的安全策略，實現對重要服務器系統的防護和訪問控制。網絡安全建設實施方案16針對公司辦公局域網的具體情況，我們建議制定以下的安全策略：? 安全區域隔離策略由于網絡安全的整體性要求，為了使網絡系統達到一定的安全水平，必須保證對網絡中各部分都采取了均衡的保護措施，但對于公司整個辦公網來說都采用相同的手段是不可能也沒有必要的，本辦公網可以采用的方法是根據網絡不同部分的重要性劃分為不同的安全區域，并著重對其中重要的安全區域進行隔離和保護。建議采用防火墻系統審查和控制不同區域之間的通信連接，重點是各服務器區域與辦公網內用戶區域之間的連接。? 訪問控制策略防火墻被部署后，將根據實際應用需要定義適當的安全策略，針對源地址、目的地址、網絡協議、服務、時間、帶寬等條件的實現訪問控制，確保不同網絡區域之間的授權、有序訪問，特別是防止互聯網中非法用戶的訪問或一些惡意的攻擊。例如，服務器區域防火墻上可制定如下安全策略： 允許業務相關的用戶區域主機訪問本區域服務器的特定端口，拒絕其他任何訪問請求，這樣可以保護服務器系統不受非法入侵和攻擊； 缺省規則應該是拒絕一切訪問。 本次項目我們將在實施的過程中，根據網絡的真實環境和應用系統數據交互的實際需要，來制定詳細的訪問控制策略。基本原則是開放最少端口。作為區域邊界保護的準則，防火墻的訪問控制策略與業務的一致性是保證系統訪問控制策略是否得到實施的關鍵，因此對防火墻訪問控制策略的定期檢查和調整是區域邊界保護中要注意的問題。? 用戶認證和授權策略選擇一種既方便實用又具備足夠安全性的用戶認證機制，通過防火墻實現對網絡用戶身份的可靠鑒別和訪問授權管理，防止非法人員盜用合法用戶的網絡地址來假冒合法用戶訪問關鍵資源，同時也便于針對實際用戶進行行為審計。網絡安全建設實施方案17? 帶寬管理策略我們可以依據應用需要來限制流量，來調整鏈路的帶寬利用。可以在防火墻中直接加載控制策略，為比較重要的訪問定義可用的最大帶寬和優先級，確保為重要的應用預留足夠的帶寬進行數據交換。我們還可以定義任意兩個網絡對象之間通信時的最大帶寬。例如，通過防火墻的帶寬管理，可為內部網絡的重要用戶如領導、網絡管理人員等定義進行網絡通信時的最大帶寬和優先級，而且帶寬分配可以是分層的，例如部門帶寬下面有小組帶寬然后是個人帶寬等，可以防止帶寬被濫用，保證重要的通信的順暢。? 日志和審計策略一個安全防護體系中的審計系統的作用是記錄安全系統發生的事件、狀態的改變歷史、通過該節點的符合安全策略的訪問和不符合安全策略的企圖，使管理員可以隨時審核系統的安全效果、追蹤危險事件、調整安全策略。進行信息審計的前提是必須有足夠的多的日志信息。防火墻系統提供了強大的日志功能，可對重要關鍵資源的使用情況進行有效的監控，實現日志的分級管理、自動報表、自動報警功能，用戶可以根據需要對不同的通訊內容記錄不同的日志，包括會話日志（主要描述通訊的時間、源目地址、源目端口、通信流量、通訊協議等）和命令日志（主要描述使用了那些命令，執行了那些操作） 。用戶可以根據需要記錄不同的日志，從而為日志分析、事后追蹤提供更多的依據。同時，產生的日志能夠以多種方式導出，有利于網絡內部署的安全集中管理平臺進行統一的管理。由于將各個系統按照區域化分進行分別防護，在總出口處已經部署一臺高性能千兆防火墻，根據流量及應用實際分析，在辦公系統和生產系統處可分別部署一臺千兆防火墻，考慮到部分有可能系統采用 VPN 設備，所以可以選擇帶VPN 功能模塊的防火墻。產品功能：功能類別 功能項 功能細項網絡安全建設實施方案18工作模式 路由、透明、混合支持基于流、數據包、透明代理的過濾方式。支持對 HTTP、SMTP、POPFTP 等協議的深度內容過濾。支持 URL 過濾支持對移動代碼如 Java applet、ActiveX、VBScript、Jscript、Java script的過濾支持對郵件的收發郵件地址、文件名、文件類型過濾支持對郵件主題、正文、收發件人、附件名、附件內容等關鍵字匹配過濾內容過濾動態端口支持協議：FTP、RTSP 、SQL*NET 、MMS、RPC(msrpc,dcerpc)、TFTP。對通過的數據進行在線過濾，查殺郵件正文附件、網頁及下載文件中包含的病毒，病毒庫更新提供快速掃描及完全掃描兩種掃描方式防病毒系統狀態實時監控基于狀態檢測的動態包過濾實現基于源/目的 IP 地址、源/目的 MAC 地址、源/目的端口、協議、時間等數據包快速過濾支持報文合法性檢查包過濾可實現 IP/MAC 綁定非法報文攻擊：land 、Smurf、Pingofdeath、winnuke、tcp_sscan、ip_option、teardrop 、targaipspoof統計型報文攻擊：Synflood、Icmpflood、Udpflood 、Portscan、ipsweepTopsec 聯動：可與支持 TOPSEC 協議的 IDS 設備聯動，以提高入侵檢測效率。端口阻斷：可以根據數據包的來源和數據包的特征進行阻斷設置防御攻擊SYN 代理：對來自定義區域的 Syn Flood 攻擊行為進行阻斷過濾支持使用一次性口令認證（OTP）、本地認證、雙因子認證（SecureID）以及數字證書（CA）等常用的安全認證方式支持使用第三方認證如 RADIUS、TACACS/TACACS+ 、LDAP 、域認證等安全認證方式支持 Session 認證、 HTTP 會話認證支持認證保活功能AAA 服務可將認證用戶信息加密存放在本地數據庫支持雙向 NAT支持動態地址轉換和靜態地址轉換支持多對一、一對多和一對一等多種方式的地址轉換網絡安全性NAT支持虛擬服務器功能支持靜態路由、動態路由網絡適應性 路由支持基于源/目的地址、接口、Metric 的策略路由網絡安全建設實施方案19支持單臂路由，可通過單臂模式接入網絡，并提供路由轉發功能。支持 Vlan 路由，能夠在不同的 VLAN 虛接口間實現路由功能。支持 RIP、OSPF 等路由協議。支持 IGMP 組播協議支持 IGMP SNOOPING組播可有效地實現視頻會議等多媒體應用支持與交換機的 Trunk 接口對接，并且能夠實現 Vlan 間通過安全設備傳播路由支持 ，能進行 的封裝和解封支持 ISL，能進行 ISL 的封裝和解封VLAN在同一個 Vlan 內能進行二層交換生成樹 支持 生成樹協議，包括 PVST+及 CST 等協議。支持 ARP 代理、 ARP 學習ARP可設置靜態 ARP非 IP 協議 支持對非 IP 協議 IPX/NetBEUI 的傳輸與控制。DHCP 支持 DHCP Client、DHCP Relay、DHCP Server支持 ADSL 接入功能，可滿足中小企業的多種接入需求。接入支持 PPPOE 撥號接入支持網絡時鐘協議 SNTP，可以自動根據 NTP 服務器的時鐘調整本機時間其它支持 IPX、NetBEUI 等非 IP 協議。支持基于標準 IKE 協商的 VPN 通信隧道支持多種 IKE 認證方式，如預共享密鑰，數字證書等IKE支持 IKE 擴展認證，如 Radius 認證等。支持網關到網關、遠程移動用戶到網關的 VPN 隧道在具有 SCM 的解決方案中，支持靈活的移動用戶到移動用戶的隧道。解決方案可以和密碼機產品，遠程客戶端產品及 VPN 安全管理系統（SCM ）共同組成完整的 VPN 解決方案。支持 3DES、DES、國密辦等加密算法支持標準 MDSHA1 認證算法算法支持加密卡提供的 MDSHA1 認證算法支持 HUBSPOKE 方式支持網狀連接方式工作模式支持分級的樹狀連接方式支持網絡鄰居（利用 WINS）支持隧道的 NAT 穿越支持對隧道內明文的訪問控制VPN其它功能可同時支持明密傳輸支持 Welf、Syslog 等多種日志格式的輸出支持通過第三方軟件來查看日志支持日志分級安全管理 日志支持對接收到的日志進行緩沖存儲網絡安全建設實施方案20通過安全審計系統（TAL ），可獲得更詳盡的日志分析和審計功能,并能提供員工上網行為管理功能。可選高級日志審計功能模塊，除接受防火墻日志外還能接受交換機、路由器、操作系統、應用系統和其他安全產品的日志進行聯合分析。支持網絡接口監測、C