企業(yè)網(wǎng)絡(luò)安全解決方案的設(shè)計(jì)(編輯修改稿)

　

【文章內(nèi)容簡(jiǎn)介】 Microsoft 的 Windows NT 或者其他任何商用 UNIX 操作系統(tǒng)，其開(kāi)發(fā)廠商必然有其 BackDoor。我們可以這樣講，沒(méi)有完全安全的操作系統(tǒng)。但是，我們可以對(duì)現(xiàn)有的操作平臺(tái)進(jìn)行安全配置、對(duì)操作和訪問(wèn)權(quán)限進(jìn)行嚴(yán)格控制，提高系統(tǒng)的安全性。因此，不但要選用盡可能可靠的操作系統(tǒng)和硬件平臺(tái)，而且必須加強(qiáng)登錄過(guò)程的認(rèn)證（特別是在到達(dá)服務(wù)器主機(jī)之前的認(rèn)證），確保用戶的合法性。其次應(yīng)該嚴(yán)格限制登錄者的操作權(quán)限，將其操作權(quán)限限制在最小的范圍內(nèi)。 來(lái)自局域網(wǎng)內(nèi)部的威脅 (1) 應(yīng)用的安全風(fēng)險(xiǎn) 應(yīng)用系統(tǒng)的安全是動(dòng)態(tài)的、不斷變化的，其結(jié)果是安全漏洞也不斷增加且隱藏越來(lái)越深。因此，保證應(yīng)用系統(tǒng)的安全也是一個(gè)隨網(wǎng)絡(luò)發(fā)展不斷完善的過(guò)程。 應(yīng)用的安全性涉及到信息、數(shù)據(jù)的安全性。信息的安全性涉及到機(jī)密信息泄露、未經(jīng)授權(quán)的訪問(wèn)、破壞信息完整性、假冒、破壞系統(tǒng)的可用性等。由于這個(gè)企業(yè)局域網(wǎng)跨度不大，絕大部分重要信息都在內(nèi)部傳遞，因此信息的機(jī)密性和完整性是可以保證的。對(duì)于有些特別重要的信息需要對(duì)內(nèi)部進(jìn)行保密的可以考慮在應(yīng)用級(jí)進(jìn)行加密，針對(duì)具體的應(yīng)用直接在應(yīng)用系統(tǒng)開(kāi)發(fā)時(shí)進(jìn)行加密。 (2) 管理的安全風(fēng)險(xiǎn) 管理是網(wǎng)絡(luò)安全中最重要的部分。責(zé)權(quán)不明，管理混亂、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風(fēng)險(xiǎn)。管理混亂使得一些員工或管理員隨東華理工大學(xué)畢業(yè)設(shè)計(jì)（論文） 網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險(xiǎn)分析6便讓一些非本地員工甚至外來(lái)人員進(jìn)入機(jī)房重地，或者員工有意無(wú)意泄漏他們所知道的一些重要信息，而管理上卻沒(méi)有相應(yīng)制度來(lái)約束。當(dāng)網(wǎng)絡(luò)出現(xiàn)攻擊行為或網(wǎng)絡(luò)受到其它一些安全威脅時(shí)（如內(nèi)部人員的違規(guī)操作等），無(wú)法進(jìn)行實(shí)時(shí)的檢測(cè)、監(jiān)控、報(bào)告與預(yù)警。同時(shí)，當(dāng)事故發(fā)生后，也無(wú)法提供黑客攻擊行為的追蹤線索及破案依據(jù)，即缺乏對(duì)網(wǎng)絡(luò)的可控性與可審查性。所以我們必須對(duì)站點(diǎn)的訪問(wèn)活動(dòng)進(jìn)行多層次的記錄，及時(shí)發(fā)現(xiàn)非法入侵行為。 建立全新的網(wǎng)絡(luò)安全機(jī)制，必須深刻理解網(wǎng)絡(luò)并能提供直接的解決方案，因此，最可行的做法是管理制度和網(wǎng)絡(luò)安全解決方案的結(jié)合。 (3) 不滿的內(nèi)部員工 不滿的內(nèi)部員工可能在 WWW 站點(diǎn)上開(kāi)些小玩笑，甚至破壞。不論如何，他們最熟悉服務(wù)器、小程序、腳本和系統(tǒng)的弱點(diǎn)。例如他們可以傳出至關(guān)重要的信息、泄露安全重要信息、錯(cuò)誤地進(jìn)入數(shù)據(jù)庫(kù)、刪除數(shù)據(jù)等等。 來(lái)自互聯(lián)網(wǎng)的威脅 (1) 黑客攻擊 黑客們的攻擊行動(dòng)是無(wú)時(shí)無(wú)刻不在進(jìn)行的，而且會(huì)利用系統(tǒng)和管理上一切可能利用的漏洞。公開(kāi)服務(wù)器存在漏洞的一個(gè)典型例證，是黑客可以輕易地騙過(guò)公開(kāi)服務(wù)器軟件，得到服務(wù)器的口令文件并將之送回。黑客侵入服務(wù)器后，有可能修改特權(quán)，從普通用戶變?yōu)楦呒?jí)用戶，一旦成功，黑客可以直接進(jìn)入口令文件。黑客還能開(kāi)發(fā)欺騙程序，將其裝入服務(wù)器中，用以監(jiān)聽(tīng)登錄會(huì)話。當(dāng)它發(fā)現(xiàn)有用戶登錄時(shí)，便開(kāi)始存儲(chǔ)一個(gè)文件，這樣黑客就擁有了他人的帳戶和口令。這時(shí)為了防止黑客，需要設(shè)置公開(kāi)服務(wù)器，使得它不離開(kāi)自己的空間而進(jìn)入另外的目錄。另外，還應(yīng)設(shè)置組特權(quán)，不允許任何使用公開(kāi)服務(wù)器的人訪問(wèn) WWW 頁(yè)面文件以外的東西。在這個(gè)企業(yè)的局域網(wǎng)內(nèi)我們可以綜合采用防火墻技術(shù)、入侵檢測(cè)技術(shù)、訪問(wèn)控制技術(shù)來(lái)保護(hù)網(wǎng)絡(luò)內(nèi)的信息資源，防止黑客攻擊。 (2) 惡意代碼 惡意代碼不限于病毒，還包括蠕蟲(chóng)、特洛伊木馬、邏輯炸彈和其他未經(jīng)同意的軟件。所以應(yīng)該加強(qiáng)對(duì)惡意代碼的檢測(cè)。 (3) 病毒的攻擊 計(jì)算機(jī)病毒一直是計(jì)算機(jī)安全的主要威脅。病毒不是獨(dú)立存在的，它隱蔽在其他可執(zhí)行的程序之中，既有破壞性，又有傳染性和潛伏性。輕則影響機(jī)器運(yùn)行速度，使機(jī)器不能正常運(yùn)行，重則使機(jī)器處于癱瘓，會(huì)給用戶帶來(lái)不可估量的損失。能在Inter 上傳播的新型病毒，例如通過(guò) EMail 傳播的病毒，增加了這種威脅的程度。 網(wǎng)絡(luò)的攻擊手段東華理工大學(xué)畢業(yè)設(shè)計(jì)（論文） 網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險(xiǎn)分析7 一般認(rèn)為，目前對(duì)網(wǎng)絡(luò)的攻擊手段主要表現(xiàn)在： 非授權(quán)訪問(wèn)：沒(méi)有預(yù)先經(jīng)過(guò)同意，就使用網(wǎng)絡(luò)或計(jì)算機(jī)資源被看作非授權(quán)訪問(wèn)，如有意避開(kāi)系統(tǒng)訪問(wèn)控制機(jī)制，對(duì)網(wǎng)絡(luò)設(shè)備及資源進(jìn)行非正常使用，或擅自擴(kuò)大權(quán)限，越權(quán)訪問(wèn)信息。 信息泄漏或丟失：指敏感數(shù)據(jù)在有意或無(wú)意中被泄漏出去或丟失，通常包括信息在傳輸中或者存儲(chǔ)介質(zhì)中丟失、泄漏，或通過(guò)建立隱蔽隧道竊取敏感信息等。 破壞數(shù)據(jù)完整性：以非法手段竊得對(duì)數(shù)據(jù)的使用權(quán)，刪除、修改、插入或重發(fā)某些重要信息，以取得有益于攻擊者的響應(yīng)；惡意修改數(shù)據(jù)，以干擾用戶的正常使用。 拒絕服務(wù)攻擊：它不斷對(duì)網(wǎng)絡(luò)服務(wù)系統(tǒng)進(jìn)行干擾，改變其正常的作業(yè)流程，執(zhí)行無(wú)關(guān)程序使系統(tǒng)響應(yīng)減慢甚至癱瘓，影響正常用戶的使用，甚至使合法用戶被排斥而不能進(jìn)入計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)或不能得到相應(yīng)的服務(wù)。 利用網(wǎng)絡(luò)傳播病毒：通過(guò)網(wǎng)絡(luò)傳播計(jì)算機(jī)病毒，其破壞性大大高于單機(jī)系統(tǒng)，而且用戶很難防范。3 企業(yè)局域網(wǎng)的安全設(shè)計(jì)方案本公司有 100 臺(tái)左右的計(jì)算機(jī)，主要使用網(wǎng)絡(luò)的部門(mén)有：生產(chǎn)部(20)、財(cái)務(wù)部(15)、人事部(8)和信息中心(12)四大部分，如圖 所示。網(wǎng)絡(luò)基本結(jié)構(gòu)為：整個(gè)網(wǎng)絡(luò)中干部分采用 3 臺(tái) Catalyst 1900 網(wǎng)管型交換機(jī)（分別命名為：SwitchSwitch2 和 Switch3，各交換機(jī)根據(jù)需要下接若干個(gè)集線器，主要用于非 VLAN 用戶）、一臺(tái) Cisco 2514 路由器，整個(gè)網(wǎng)絡(luò)都通過(guò)路由器Cisco 2514 與外部互聯(lián)網(wǎng)進(jìn)行連接。圖 企業(yè)局域網(wǎng)的安全設(shè)計(jì)方案東華理工大學(xué)畢業(yè)設(shè)計(jì)（論文） 企業(yè)局域網(wǎng)的安全設(shè)計(jì)方案9 企業(yè)局域網(wǎng)安全設(shè)計(jì)的原則 企業(yè)局域網(wǎng)網(wǎng)絡(luò)系統(tǒng)安全方案設(shè)計(jì)、規(guī)劃時(shí)，應(yīng)遵循以下原則： 綜合性、整體性原則：應(yīng)用系統(tǒng)工程的觀點(diǎn)、方法，分析網(wǎng)絡(luò)的安全及具體措施。安全措施主要包括行政法律手段、各種管理制度（人員審查、工作流程、維護(hù)保障制度等）以及專業(yè)措施（識(shí)別技術(shù)、存取控制、密碼、低輻射、容錯(cuò)、防病毒、采用高安全產(chǎn)品等） 。 一致性原則：一致性原則主要是指網(wǎng)絡(luò)安全問(wèn)題應(yīng)與整個(gè)網(wǎng)絡(luò)的工作周期（或生命周期）同時(shí)存在，制定的安全體系結(jié)構(gòu)必須與網(wǎng)絡(luò)的安全需求相一致。 易操作性原則：安全措施需要人為去完成，如果措施過(guò)于復(fù)雜，對(duì)人的要求過(guò)高，本身就降低了安全性。其次，措施的采用不能影響系統(tǒng)的正常運(yùn)行。 分步實(shí)施原則：由于網(wǎng)絡(luò)系統(tǒng)及其應(yīng)用擴(kuò)展范圍廣闊，隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)大及應(yīng)用的增加，網(wǎng)絡(luò)脆弱性也會(huì)不斷增加。一勞永逸地解決網(wǎng)絡(luò)安全問(wèn)題是不現(xiàn)實(shí)的。同時(shí)由于實(shí)施信息安全措施需要相當(dāng)?shù)馁M(fèi)用支出。因此分步實(shí)施，既可滿足網(wǎng)絡(luò)系統(tǒng)及信息安全的基本需求，亦可節(jié)省費(fèi)用開(kāi)支。 多重保護(hù)原則：任何安全措施都不是絕對(duì)安全的，都可能被攻破。但是建立一個(gè)多重保護(hù)系統(tǒng)，各層保護(hù)相互補(bǔ)充，當(dāng)一層保護(hù)被攻破時(shí)，其它層保護(hù)仍可保護(hù)信息的安全。 可評(píng)價(jià)性原則：如何預(yù)先評(píng)價(jià)一個(gè)安全設(shè)計(jì)并驗(yàn)證其網(wǎng)絡(luò)的安全性，這需要通過(guò)國(guó)家有關(guān)網(wǎng)絡(luò)信息安全測(cè)評(píng)認(rèn)證機(jī)構(gòu)的評(píng)估來(lái)實(shí)現(xiàn)。 安全服務(wù)、機(jī)制與技術(shù) 安全服務(wù)：控制服務(wù)、對(duì)象認(rèn)證服務(wù)、可靠性服務(wù)等； 安全機(jī)制：訪問(wèn)控制機(jī)制、認(rèn)證機(jī)制等；安全技術(shù)：防火墻技術(shù)、病毒防治技術(shù)、攻擊檢測(cè)技術(shù)、審計(jì)監(jiān)控技術(shù)等；在安全的開(kāi)放環(huán)境中，用戶可以使用各種安全應(yīng)用。安全應(yīng)用由一些安全服務(wù)來(lái)實(shí)現(xiàn)，而安全服務(wù)又是由各種安全機(jī)制或安全技術(shù)來(lái)實(shí)現(xiàn)的。應(yīng)當(dāng)指出，同一安全機(jī)制有時(shí)也可以用于實(shí)現(xiàn)不同的安全服務(wù)。 企業(yè)局域網(wǎng)安全配置方案 物理安全技術(shù) 保證計(jì)算機(jī)信息系統(tǒng)各種設(shè)備的物理安全是整個(gè)計(jì)算機(jī)信息系統(tǒng)安全的前提，它主要包括三個(gè)方面： 環(huán)境安全：對(duì)系統(tǒng)所在環(huán)境的安全保護(hù)，如區(qū)域保護(hù)和災(zāi)難保護(hù)； 設(shè)備安全：主要包括設(shè)備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護(hù)等； 東華理工大學(xué)畢業(yè)設(shè)計(jì)（論文） 企業(yè)局域網(wǎng)的安全設(shè)計(jì)方案10 媒體安全：包括媒體數(shù)據(jù)的安全及媒體本身的安全。 路由器安全配置 作為企業(yè)局域網(wǎng)與外部 Inter 互聯(lián)網(wǎng)絡(luò)連接的第一關(guān)，路由器的配置是很重要的，既要保證網(wǎng)絡(luò)的暢通，也不能忽略網(wǎng)絡(luò)的安全性而只取其一（我們所使用的是 Cisco 2514 路由器），因此，除了對(duì)路由器與 Inter 外網(wǎng)連接配置外，我們對(duì)路由器還采用了如下安全配置：(1) 路由器網(wǎng)絡(luò)服務(wù)安全配置a、禁止 CDP(Cisco Discovery Protocol)。Router(Config)no cdp run Router(Configif) no cdp enableb、禁止其他的 TCP、UDP Small 服務(wù)。Router(Config) no service tcpsmallserversRouter(Config) no service udpsmallservers c、禁止 Finger 服務(wù)。Router(Config) no ip fingerRouter(Config) no service fingerd、禁止 HTTP 服務(wù)。 Router(Config) no ip server 啟用了 HTTP 服務(wù)則需要對(duì)其進(jìn)行安全配置：設(shè)置用戶名和密碼，采用訪問(wèn)列表進(jìn)行控制。 e、禁止 BOOTP 服務(wù)。Router(Config) no ip bootp server f、禁止 IP Source Routing。Router(Config) no ip sourceroute g、禁止 IP Directed Broadcast。Router(Config) no ip directedbroadcast h、禁止 IP Classless。Router(Config) no ip classless i、禁止 ICMP 協(xié)議的 IP Unreachables, Redirects, Mask Replies。Router(Configif) no ip unreacheablesRouter(Configif) no ip redirectsRouter(Configif) no ip maskreply j、明確禁止不使用的端口。Router(Config) interface eth0/3Router(Config) shutdown/PP東華理工大學(xué)畢業(yè)設(shè)計(jì)（論文） 企業(yè)局域網(wǎng)的安全設(shè)計(jì)方案11(2) 路由器路由協(xié)議安全配置 a、啟用 IP Unicast ReversePath Verification。它能夠檢查源 IP 地址的準(zhǔn)確性，從而可以防止一定的 IP Spooling。b、配置 uRPF。uRPF 有三種方式，strict 方式、ACL 方式和 loose 方式。在接入路由器上實(shí)施時(shí)，對(duì)于通過(guò)單鏈路接入網(wǎng)絡(luò)的用戶，建議采用 strict 方式；對(duì)于通過(guò)多條鏈路接入到網(wǎng)絡(luò)的用戶，可以采用 ACL 方式和 loose 方式。在出口路由器上實(shí)施時(shí)，采用 loose 方式。/PPStrict 方式：Router config t！啟用 CEFRouter(Config) ip cef！啟用 Unicast ReversePath VerificationRouter(Config) interface eth0/1Router(Configif) ip verify unicast reversepath /PPACL 方式：interface pos1/0ip verify unicast reversepath 190accesslist 190 permit ip {customer work} {customer work mask} any accesslist 190 deny ip any any [log] 這個(gè)功能檢查每一個(gè)經(jīng)過(guò)路由器的數(shù)據(jù)包的源地址，若是不符合 ACL 的，路由器將丟棄該數(shù)據(jù)包。Loose 方式：interface pos 1/0ip ver unicast source reachablevia any這個(gè)功能檢查每一個(gè)經(jīng)過(guò)路由器的數(shù)據(jù)包，在路由器的路由表中若沒(méi)有該數(shù)據(jù)包源 IP 地址的路由，路由器將丟棄該數(shù)據(jù)包。/PP2 啟用 OSPF 路由協(xié)議的認(rèn)證。默認(rèn)的 OSPF 認(rèn)證密碼是明文傳輸?shù)模ㄗh啟用 MD5 認(rèn)證。并設(shè)置一定強(qiáng)度密鑰(key,相對(duì)的路由器必須有相同的 Key)。 c、RIP 協(xié)議的認(rèn)證。只有 RIPV2 支持，RIP1 不支持。建議啟用 RIPV2。并且采用 MD5 認(rèn)證。普通認(rèn)證同樣是明文傳輸?shù)摹?d、啟用 passiveinterface 命令可以禁用一些不需要接收和轉(zhuǎn)發(fā)路由信息的端口。建議對(duì)于不需要路由的端口，啟用 passiveinterface。但是，在 RIP 協(xié)議是只是禁止轉(zhuǎn)發(fā)路由信息，并沒(méi)有禁止接收。在 OSPF 協(xié)議中是禁止轉(zhuǎn)發(fā)和接收路由信息。 e、啟用訪問(wèn)列表過(guò)濾一些垃圾和惡意路由信息,控制網(wǎng)絡(luò)的垃圾信息流。如：Router(Config) acce