公司網絡安全設計方案(編輯修改稿)

　

【文章內容簡介】 ，但對一般用戶而言，還是起到一定的安全防護，即使有刻意破解者，只要口令設得復雜些，也得花費相當長的時間。（2）信息存儲 對有涉及企業秘密信息的用戶主機，使用者在應用過程中應該做到盡量少開放一些不常用的網絡服務。對數據庫服務器中的數據庫必須做安全備份。通過網絡備份系統，可以對數據庫進行遠程備份存儲。 配置防火墻 防火墻是實現網絡安全最基本、最經濟、最有效的安全措施之一。防火墻通過制定嚴格的安全策略實現內外網絡或內部網絡不同信任域之間的隔離與訪問控制。并且防火墻可以實現單向或雙向控制，對一些高層協議實現較細粒的訪問控制。華城公司網絡中使用的是神州數碼的DCFW1800S UTM，里面包含了防火墻和VPN等功能。　由于采用防火墻、VPN技術融為一體的安全設備，并采取網絡化的統一管理，因此具有以下幾個方面的優點：　　（1） 管理、維護簡單、方便。　　（2） 安全性高(可有效降低在安全設備使用上的配置漏洞)。　　（3） 硬件成本和維護成本低。　　（4） 網絡運行的穩定性更高由于是采用一體化設備，比之傳統解決方案中采用防火墻和加密機兩個設備而言，其穩定性更高，故障率更低。 網絡結構 網絡拓撲圖， ，直接經由防火墻分為DMZ區域和普通區域。防火墻上做NAT轉換， 。 。DMZ內主要有各類的服務器， 。 。內網主要由3層交換機作為核心交換機，下面有兩臺2層交換機做接入。第三章 系統安全架構 系統設計 安全系統設計是在信息系統安全策略的基礎上，從安全策略的分析中抽象出安全系統及其服務。安全系統的設計如圖1所示。安全系統設計的目標是設計出系統安全防御體系，設計和部署體系中各種安全機制從而形成自動的安全防御、監察和反應體系，忠實地貫徹系統安全策略。 系統組建 目前市場主流終端架構有獨立PC機、無盤工作站和虛擬化終端。從節約成本和簡化管理工作量角度來看，PC機的模式基本不予以考慮。綜合對比無盤工作站和虛擬化終端無盤工作站要求前端硬件型號及配置一致，擴展性較差。而瘦客戶機訪問虛擬桌面時采用的是統一架構與協議，與瘦客戶機及后端服務器品牌及型號均無要求。 無盤工作站與傳統PC 的唯一不同就是將本地的硬盤移除，但用戶數據仍會駐留在工作站的內存中，非常容易被竊取。而虛擬桌面的運算均駐留在數據中心的服務器上，保證了數據及應用的安全性。采用無盤工作站方式對客戶端及服務器的資源要求均很高，當無盤工作站數量達到一定數量時，速度會變得緩慢，同時整體系統的穩定性不高，由此帶來的維護成本也較高。因此綜合如上因素：我們推薦針對辦公計算機和試驗辦公計算機均采用虛擬化終端架構。但是針對試驗計算機終端需要通過傳統的口連接試驗儀器，而一般虛擬化瘦客戶端機器都不具備這些接口。因此為試驗室使用計算機我們還是采用傳統的獨立PC機終端模式。第四章 數據安全設計 數據層的架構 該數據層架構主要是針對實驗計算機上所有機密數據采用何種數據存儲而言。首先我們明確要對實驗計算機每日生成的機密實驗數據需要進行集中存儲，而且要實現自動存儲。一般來說，會被企業采用的存儲架構，可分為3種，以下作簡單的說明：一、DAS：在數字數據尚未大量暴增的早期，比較簡單的存儲架構就是采用直接附加存儲（Direct Attached Storage；DAS）。所有的存儲裝置，包括硬盤、光盤、軟盤、隨身碟等存儲設備，皆附屬于計算機本身，這些由個人使用的計算機延伸出來的裝置，透由計算機連接到服務器上，就形成1個簡單的存儲架構。現今企業數據的復雜化，種類也漸趨多元，伴隨著異質平臺互相分享文件的需求，也就需要更為完整的存儲架構，作為理想的解決方案。不過，只要企業數據量增加，就必須另外購買存儲設備與服務器，因為這些零散的服務器大大增加管理者的工作份量。由于DAS多是透過SCSI硬盤進行存儲，在硬盤的I/O表現比網絡慢的情形下，DAS架構效能及存取速度也的確是1個問題，因此透過網絡進行存儲的方式，成為企業采取的主要存儲架構，而NAS和SAN又為企業最常用的2種。二、NAS：運用以太網絡所建構的局域網絡，來串連公司內部的存儲設備，就是網絡附加存儲（Network Attached Storage；NAS）的基本精神。簡單說來，NAS就是網絡硬盤的概念，透過1臺NAS主機來管理數據，以減少在個人使用者端，所必須花費的存儲設備購買成本。NAS已經是相當成熟且便利的解決方案，對于進行文件式的數據存取，也相當方便，不過，由于是透過IP網絡進行數據的存取，走的是開放架構，代表流竄于網絡上的病毒、黑客攻擊，極有可能造成網絡磁盤驅動器的癱瘓。此外，當終端使用者人數增加，多人同時存取的時候，就會造成服務器的過度負擔，甚至當機，這些狀況往往會延誤到前端使用者的工作進行。三、SAN：所謂的存儲局域網絡（Storage Area Network；SAN），是1種更為專門、精準的存儲架構。透過光纖信道，以及光纖交換機（switch）、HBA卡、和存儲設備的串接，自成1個網絡。和NAS不同的是，為了保護數據的完整性，SAN完全藉由光纖網絡將網絡存儲元素串起來，并自成1個系統。不會受到網絡頻寬質量與服務器速度的限制。因此在本次項目中的數據存儲架構中，我們推薦IP SAN存儲架構。將一個大的存儲空間為每個實驗計算機映射為一定空間大小的本地磁盤，讓所有生成的實驗數據保存到該空間中。 數據安全測試 數據加密保護通過每臺實驗計算機上安裝加密程序，對存儲設備對應本地的磁盤空間進行全盤加密，這樣保存在上面的文件即為密文。只有安裝了加密程序并且被授權的計算機才有權限以明文方式看到對應的文檔。 數據備份異地備份通過一臺備份服務器和備份軟件對IP SAN存儲設備中的數據每天進行數據備份。可以采用離線備份如磁帶機，或者采用另外一臺磁盤陣列存儲設備。第五章 安全設備選型 設備選型服務器選型IBM x3400 M2(7837I01)基本資料產品型號System x3400 M2(7837I01)產品類型塔式產品結構5U處理器處理器型號Intel Xeon,5504 處理器主頻(MHz)2