企業網絡安全系統設計建議書(編輯修改稿)

　

【文章內容簡介】 的環境，這些應用程序本身設計的缺陷也會帶來安全漏洞。另外，系統權限管理的松懈也是造成安全漏洞的重要原因。此外，任 何東西的特性都是兩方面的，只要惡意的破壞者掌握了系統的特性，這些特性就可以被用來進行系統的破壞。 基于以上的原因，企業網絡需要對總部的 應用服務器進行操作系統和數據庫的備份，操作系統包括 Windows NT, Windows 20xx,Solaris,Linux，數據庫系統主要包括 Oracle，MS SQL 數據庫。需要對這些系統進行系統安全漏洞的掃描和實時入侵的檢測。 應用安全管理需求分析 應用層安全主要是對應用資源的有效性進行控制，管理和控制什么用戶對資源具有什么權限。資源包括信息資源和服務資源。需要提高身 份認證安全性的系統包括主機系統、網絡設備、移動用戶訪問、 VPN 和應用層。 主機系統 包括企業總部和各下屬公司中心主機、數據庫系統， WEB 服務器、 MAIL 服務器等等，這些主機系統是公司網絡系統的核心，存儲著公司最重要的信息資源，因此，保證這些主機系統的登錄的安全是極其重要的。 目前企業的主機系統仍然沿用單一密碼的身份認證方式，這種簡單的身份認證存在以下安全隱患： ? 網絡入侵者，很容易猜測或破解賬號、密碼，利用他人的帳戶登錄，進行非法操作。 ? 人員的流動、集成商自設等很多因素，使得每臺主機系統上的多余帳戶增加。 網 絡設備安全管理 企業全公司，網絡設備（路由器、交換機）數量以數十甚至數百計。公司所有的業企業網絡安全系統設計建議書 13 務系統都是建立在網絡設備基礎之上的，保證網絡設備的安全是保證系統正常運行的首要條件；而保護網絡設備的安全，通常考慮的最多的是設備的冗余，而網絡設備的配置保護卻不被重視，其實，當某一個人登錄了網絡設備（路由器、防火墻、 VPN 設備等），將配置進行了更改，為以后非法的登錄建立通道，對整個系統來說，所有的安全設施就形同虛設。因此對登錄網絡設備的人員進行強的身份認證是完全必要的。 移動用戶的訪問控制訪問 移動用戶進入公司內部網絡可 以通過本地撥號連接公司的內部網絡，也可以通過互聯網的 ISP 接入公司內部網。 對于企業來說，移動用戶將基本上采用 VPN 的方式對內部進行訪問，外出的員工可以通過 Inter 渠道的方式進入公司內部網絡，獲取所需要信息資源或回送需要提交的信息。而目前從終端上訪問也是采用單一靜態密碼，從我們前面的分析來看，顯然是不安全的。因此我們必須在移動用戶訪問上增加更加強大的手段對移動用戶進行控制管理。 VPN 上的認證 在網絡系統將配置 VPN 系統，遠程移動用戶可以通過撥號連接本地 ISP，用 VPN Client 建立安全通道訪 問公司信息資源。 而 VPN 技術能夠很好的解決系統傳輸的安全問題，極大的節約公司的費用，并且使外部非法用戶無法訪問公司內部信息；但是，對于公司內部用戶，由于 VPN 所提供的用戶認證機制依然是單一的密碼方式，使我們無法保證目前訪問信息資源帳戶和擁有該帳戶的員工的身份相符合，也就是說，還是存在內部用戶盜用他人密碼訪問特定的信息資源的安全隱患（可能這些信息資源是他無權瀏覽或更改的），因此，補充更強的身份認證機制對 VPN 系統應用來說也是非常必要的。 應用層安全保護 這里的應用層，主要指企業的信息資源管理系統（ ERP） 。在員工進入 ERP 系統時需要輸入用戶名稱和密碼，同樣的原因，單一靜態密碼不安全性使得我們有必要在ERP 系統上采用強的認證機制，保證不同權限的、不同級別的用戶安全合法的使用 ERP系統。 ERP 系統上單一靜態密碼的安全隱患主要有： 企業網絡安全系統設計建議書 14 ? 用戶無法保證辦公文件能正確的接受，在接受之前沒有被其他人瀏覽過。 ? 單一密碼容易泄露，一旦密碼泄露，其惡果可能會很嚴重。 ? 高級別的用戶在遠程授權以后，需要及時地更改密碼。 以上討論了企業網絡系統各個不同應用的安全認證問題，不難看出，上述的應用都必須在原有的單一靜態認證基礎上，增加更加 強大的認證手段，因此我們建議在企業網絡安全系統內引入動態認證機制，即動態的 SecurID。 加入的 RSA SecurID必須提供通用的 API，使用戶可以將 RSA SecurID 認證內嵌到 ERP系統或其他的應用系統中，保證公司內部網絡用戶接收 MAIL 和文件的安全，驗證用戶身份，并創建用戶登錄日志文件。 為了使系統的認證操作和對非法訪問的攔截更加有效，所有認證的轉發和認證結果的處理都由防火墻來操作完成，即對所有被認證系統認定為非合法訪問的服務請求，通過防火墻“掐斷”其訪問連接，而不是通過應用系統直接拒絕訪問服務 。這是防火墻系統設計時必須考慮的可實現功能之一 應用對安全系統的要求分析 任何一個完整的網絡安全系統，從其功能和物理層次來看，它將分別是網絡基礎設施和網絡應用系統的組成部分。防火墻作為網絡基礎設施的一部分，和其他網絡設備一樣，其性能目標應該按照網絡系統的應用要求進行選型設計。如果防火墻選型設計的不恰當，即使網絡其他設備的選型設計滿足要求，同樣也會因為防火墻的效率妨礙網絡的應用，嚴重的話會導致整個網絡應用建設的失敗，這已經是被事實證明的。因此，本建議書有必要針對企業的網絡應用進行防火墻系統的要求分析。 網絡應 用系統的現狀及發展說明 企業的網絡應用包括了集團公司幾乎所有的業務活動和管理方面的應用，例如 ERP、OA、財務、網絡視頻會議應用等等。 任何一個應用系統提供的應用，都是依賴于網絡的各個層次來實現應用信息的處理和傳送，應用系統最終是通過向所有的網絡用戶提供使用來達到其應用的目的。由此可以看出從網絡用戶電腦（客戶端）到應用系統平臺（服務器端）的結構形式會對網絡設備（尤其防火墻）提出相應的要求；簡單而言，不同的應用模式，對網絡防火墻系統有不同的技術指標要求。 企業網絡目前的應用系統結構是 C/S 和 B/S 兩種應用結構 的混合形式，主要的業務企業網絡安全系統設計建議書 15 應用系統現在是分布式的 C/S 結構。現在正在進行的已有應用系統升級開發將使應用系統從 C/S 結構向 B/S 結構遷移；新增加的應用系統開發，也是集中式的 B/S 結構。在未來一兩年內，企業的應用系統將大部分實現集中式的 B/S 結構模式。同時隨著公司規模的擴大和業務領域的拓展，目前已經在企業網絡系統內應用的網絡視頻會議系統（對網絡的傳輸性能要求很高的應用系統）會隨著系統應用規模的擴大，為網絡系統帶來越來越大的數據傳輸壓力。 以上兩種主要的因素，在很大程度上決定我們在防火墻選型設計時對產品的取舍。 面向 應用系統的防火墻系統設計要求 根據企業網絡應用系統的現狀以及未來系統的結構發展，我們認為著重考慮企業的B/S 結構應用特點，是防火墻系統技術指標設計的主要依據。 眾所周知，防火墻作為網絡設備，對網絡性能影響最為主要的是兩個參數指標，一個是防火墻的 TCP 連接處理能力（并發會話處理數），另一個是防火墻對網絡數據流量的吞吐能力（帶寬參數）。 B/S 結構的應用系統雖然具有管理簡單，客戶端開發、使用和維護的成本很低的優點，但是在網絡上 B/S 結構應用系統將會給網絡帶來巨大的網絡流動數據處理壓力，而且是并發的。具 體來說， B/S 結構的應用系統在網絡上使用，會給網絡防火墻帶來數倍甚至數十倍于 C/S 結構應用系統的并發 TCP 會話數量，而且這些會話絕大部分是包長很短的“垃圾” IP 包。 由此可見，在設計企業防火墻系統時，足夠大的 TCP 會話處理能力，是我們選擇防火墻（包括 VPN）產品考慮的主要因素。 通過對各類防火墻的比較分析，我們認為目前面向 B/S 結構應用的防火墻設備，硬件防火墻是最為明智的選擇。 企業網絡安全系統設計建議書 16 3 安全系統實現目標 根據上一章的需求分析，從網絡安全的技術手段而言，企業企業網的安全系統必須實現從 Inter 和廣域網進入內部 資源網絡的數據被有效檢查和過濾、所有對內部資源網絡的訪問可以被有效控制、移動用戶從 Inter 進入內部網絡進行業務操作的通信和通過廣域網進入內部網的用戶通信必須加密、所有網絡訪問行為能夠被記錄和審計、非法訪問被預警和阻攔（條件允許時實施）、應用系統平臺及數據可以被有效備份以抗擊災難風險、用戶的身份的真實性認證等幾方面的目標。 網絡基礎層安全系統建設目標 網絡層安全系統通過防火墻系統（帶 VPN 功能）實現訪問控制、網絡信息檢查、通信加密、非法入侵檢測和攔截，異常情況告警和審計幾大功能目標。 Inter 及 Extra 進出口控制 在國際互聯網（ Inter）和企業廣域網（ Extra）的進出口，防火墻系統通過有效的策略選擇，可以阻斷有害的網絡數據和被禁止的數據源進入企業內部網絡。 從互聯網入口進入企業網的用戶，可以被防火墻有效地進行類別劃分，即區分為通過互聯網進入內部網的企業移動用戶或外部的公共訪問者，對于要求進入企業內部網的訪問者進行用戶的授權認證，攔截沒有用戶權限的訪問者試圖進入內部網。 對于通過 Inter 入口和廣域網入口進入總部企業內部網或分支機構內部網的用戶，設置在網絡出入口的防火 墻系統不僅可以對訪問者進行能否被允許進入的權限認證，同時可以實現按照企業資源被訪問權限劃分的訪問路由控制。對于內部或外部的本企業用戶而言，防火墻系統可以實現，企業各類資源的應用系統在邏輯上進行子網系統的劃分，即在技術上提供可以獨立選擇安全策略的虛擬系統劃分。 VPN 應用 VPN 應用是為網絡通信提供有效的信息加密手段。 在企業企業網的 VPN 應用中，采用三倍 DES 的加密技術，這是目前可以獲得的最先進和實用的網絡通信加密技術手段。 網絡的 VPN 應用范圍包括移動用戶的客戶機到企業網絡 Inter 出入口的防火墻、各分支機構的廣域網出入口防火墻到集團總部廣域網出入口防火墻。 企業網絡安全系統設計建議書 17 防火墻系統的功能實現要求總結 網絡層的安全保證是企業網絡系統安全的最關鍵，因此在企業網絡安全系統中，防火墻系統是整個系統的最重要組成部分，它將擔負完成大部分的安全服務（安全技術手段）實現和執行的任務。 傳統的網絡安全系統由于受設備功能和性能的限制，在網絡層（從物理層到傳輸層）很難全部由單一的防火墻或其他安全設備全部完成表 1 中提出的功能要求，所以系統的實施難度和費用（包括設備、人力投入和管理成本）會比較驚人。但是在今天已經出現了滿足網絡層全部應用的 、功能強大、性能優異的防火墻產品，如 Cisco 防火墻。 為了使企業的網絡安全系統結構簡化、建設成本降低，本建議書在網絡防火墻系統建設目標方面，提出了下表 2 的功能目標要求。 表 2 防火墻系統實現功能目標 物理層 數據鏈路層 網絡層 傳輸層 會話層 表示層 應用層 認證 * * * * 訪問控制 * * * 數據保密 * * * * 數據完整性 * * * 不可抵賴性 審計 * * * 可用性 * * * * 應用輔助安全系統的建設目 標 應用系統的安全性主要在用戶和服務器間的雙向身份認證以及信息和服務資源的訪問控制，具有審計和記錄機制，確保防止拒絕和防抵賴的防否認機制。 對于重要的主機系統和應用系統、網絡設備管理系統，在原有的靜態密碼認證管理的基礎上，增加動態密碼認證管理系統，通過 動態的密碼方式實時不間斷地驗證所有訪問這些系統用戶的真實身份。 企業網絡安全系統設計建議書 18 企業網絡安全系統設計建議書 19 4 網絡安全系統的實施建議 基于以上的規劃和分析，我們建議企業網絡安全系統按照系統的實現目的，分兩個步驟（兩期）分別實現以下各個安全子系統： 防火墻系統 VPN 系統 動態認證系統 系統設計的基本原 則 實用、先進、可發展是安全系統設計的基本原則。 本建議書設計的安全系統首先是滿足企業現有和可預見未來幾年內的應用要求；其次是考慮在投資增加很少的前提下，選擇目前可以提供最先進技術手段的設備和系統方案；最后要考慮實現的安全系統面對應用要有長遠發展的能力。 防火墻系統作為網絡出入口的內外連接控制和網絡通信加密 /解密設施，不僅需要有足夠的數據吞吐能力，如網絡物理接口的帶寬，也需要優越的網絡連接的數據處理能力，例如并發連接數量和網絡連接會話處理能力等。以下的防火墻系統設計將根據這些原則合理的設計系統。 本建議書將 重點對防火墻系統（包括 VPN 應用系統）提出設計建議。 安全系統實施步驟建議 任何一個網絡應用系統在實施和建設階段，在進行應用系統開發的同時，首先是考慮網絡基礎設施的建設。防火墻系統和 VPN 應用系統作為現代網絡系統基礎設施的重要部分，毫無疑問也是我們建設網絡安全系統首先需要構架的系統。這也是我們建議企業網絡安全系統第一階段需要完成的系統建設部分。 動態認證系統是對網絡用戶對具體的應用系統或網絡資源訪問控制的一種加強手段。正