信息安全體系結構課程設計-中小型企業的網絡解決方案-資料下載頁

【導讀】1. 制作：。學號姓名。學號姓名。學號姓名。指導教師：。完成日期：。2. 目錄

　　

【正文】 MTP 服務器 完成 POP3 服務器的配置后，就可開始配置 SMTP 服務器了。點擊 “開始 → 程序 → 管理工具 →Inter信息服務（ IIS）管理器 ”，在 “IIS 管理器 ”窗口中右鍵點擊 “默認 SMTP 虛擬服務器 ”選項，在彈出的菜單中選中 “屬性 ”，進入 “默認 SMTP 虛擬服務器 ”窗口，切換到 “常規 ”標簽頁，在 “IP 地址 ”下拉列表框中選中郵件服務器的 IP 地址即可。 15 文件服務器的配置 微軟的 IIS 提供 Web 服務之外，還提供 FTP 的服務 ，我們用它架設文件服務器。 （ 1）啟 動 IIS，并啟動 IIS 上的 FTP 服務。在默認的情況下， FTP 服務器已經搭建好。 （ 2）鼠標右擊 IIS 中的 “默認 FTP 站點 ”項，選擇 “屬性 ”菜單。 （ 3）選擇 “主目錄 ”的標簽，在 FTP 站點目錄的 “本地路徑 ”處填上你要設置的共享文件路徑。默認情況下，此處的文件夾位置為 “C:\Ipub\Ftproot”。如果臨時想改變共享目錄，隨時都可在此處修改；在 “主目錄 ”的標簽處，可設置 FTP 服務器的文件訪問權限，分別有讀取、寫入和日志訪問； （ 4）設置登錄的用戶。 （ 5）在 “消息 ”標簽處，有 “歡迎 ”、 “退出 ”和 “最大 連接數 ”3 個輸入框，分別代表別人在登錄、退出時FTP 服務器上給出的提示信息，可根據需要設置。此外，最大連接數是設置同時連接本地 FTP 的最大主機臺數。 （ 6）在 “FTP 站點 ”的標簽處設置 FTP 標識，包括說明、 IP 地址和端口。 6 安全管理規則 使用中的 網絡安全問題 在平時使用過程中， 網絡安全主要 涉及 到內部網絡安全與外部網絡安全 兩個部分的 ，主要存在安全風險的對象包括網絡內的硬件設備，傳輸及存儲的數據。存在風險的途徑同時存在網絡的內部與外部、人為與自然，存在風險的原因分為主動與被動。 網絡安全問題的特征有：拒 絕服務攻擊頻繁，黑客活動，安全防范意識不夠，安全措施使用不當等等。 網絡安全的 外部問題 人為物理 攻擊 物理攻擊，即人為的竊取、破壞網絡線路或關鍵服務器。 網絡攻擊 網絡外部攻擊，已達到竊取或篡改網絡內部文件數據，破壞網絡的安全性，使部門內部無法正常工作；通過拒絕服務等攻擊手段使網絡服務器無法向內內部網絡數據請求，破壞網絡的可用性。 如駭客的竊取造成損失數據或者因為惡意攻擊造成服務器不可用的狀態。 天災 地震、閃電、洪水、火災等可以造成大面積物理毀壞的災害對于本地內部網絡無疑是毀滅性的打擊，若災害不 是很嚴重可能導致內部網絡線路斷連，使內部工作網絡癱瘓；若更嚴重些可能導致數據服務器破壞，從而導致數據丟失。 其他原因 硬件驅動不完善、硬件器材自身的損耗以及電磁輻射等原因造成的硬件系統的不可用和功能故障。 16 網絡 安全的 內部問題 再好的防御也頂不住內部堡壘的攻破。同樣 對于一個網絡安全來說，外部網絡安全可通過網絡本身的健壯性及網絡安全管理員的管理 和認真負責 來解決，但網絡內部若存在隱患的話，只能通過制定相應的政策來強制約束內部網絡的使用者，才能盡可能避免網絡內部有意或無意攻擊使外部健壯的網絡不堪一擊。 因 為 維護網絡安全即需 要建立一個 可信任 、 可控制 的內部安全網絡 。然而在建立內網時候我們通常會遇到如下問題： 非法 另辟 外聯問題 網絡中， 之所以有內外網絡之分，是因為在出入口我們加強了戒備從而保證內部網絡的安全。 內網和外網之間有防火墻等安全設備保障內網的安全性，對于保密網絡，甚至是要求絕對安全的與外網物理隔絕的部門（研發部）。但如果內部人員使用撥號、寬帶等方式接入外網，使內網與外網間開出新的連接通道，外部的黑客攻擊或者病毒就能夠繞過原本連接在內、外網之間的防護屏障，順利侵入非法外聯的計算機，盜竊內網的敏感信息和機密數 據，造成泄密事件，甚至利用該機作為跳板，攻擊、傳染內網的重要服務器，導致整個內網工作癱瘓。 軟件使用不當 問題 內部人員在計算機上安裝使用盜版軟件，不但引入了潛在的安全漏洞，降低了計算機系統的安全系數，還有可能惹來版權訴訟的麻煩。而一些內部人員出于好奇心或者惡意破壞的目的，在計算機上安裝使用一些黑客軟件，從內部發起攻擊。還有一些內部人員安全意識淡薄，不安裝指定的防毒軟件等等。這些行為都對內網構成了重大的安全威脅。 安全防護配置不當問題 部分內部人員因為殺毒軟件等安全防護措施占用部分系統資源，他們為了追求一定得 娛樂效果而將這些安全措施廢棄不用，甚至某些內部員工為非法分子大開方便之門，將防火墻和其他安全防范軟件關閉從而導致內部其他機器完全暴露于威脅之下。 網絡防護 由于以上內外部網絡安全問題的存在，我們 需要通過增加安全模塊、制定安全規則及安全政策 等等來規范使用和應對干擾。 登陸 控制 用于控制用戶對網絡系統和資源的訪問。該功能由安裝有網絡操作系統 Windows Server 20xx 的服務器提供，它采用域（ Domain）模式建立網絡安全環境。在主域控制器 PDC（ Primary Domain Controller）上，對用戶實施身份驗證和訪問控制。 提供的功能： （ 1）身份驗證： Windows Server 20xx 通過用戶名和口令來驗證登陸網絡的用戶身份，對非法用戶拒之門外； （ 2）訪問控制：用戶登入網后， 因為用戶權限不一樣所以有限制的訪問系統 資源。 （ 3）操作審核：對用戶操作行為跟蹤，管理員可根據審核結果來控制用戶的操作。 17 防火墻 防火墻就是 根據一定的安全策略和規則對外來的信息流進行安全檢查，然后確定是否將信息流轉發給內網。采用的防火墻應用模式是屏蔽子網網關（ Screened Host Gateway）：在內部網和 Inter 之間設置獨立的屏蔽子網，在內部網和屏蔽子網之間和屏蔽子網與 Inter 之間都設置一個屏蔽路由器，堡壘主機連在屏蔽子網上。因此，內部網服務器設有三道安全屏障，入侵者代價更高。 外部屏蔽路由器的作用是保證外部網發來的數據包只能達到屏蔽子網，并且只能將屏蔽子網中的數據包輸出到外部網上。內部屏蔽路由器的作用是保證內部網發來的數據包只能輸出到屏蔽子網上，而不能到達外部網。另外，內部屏蔽路由器還提供網絡地址轉換（ NAT）功能，它允許在內部網絡中使用私有 IP 地址。這樣，在 屏蔽內部子網結構的同時，還解決了公用 IP 地址短缺問題。 功能： （ 1）單向 控制 訪問：允許局域網用戶訪問互聯網資源，但是嚴格限制互聯網用戶對局域網資源的訪問； （ 2）區域 協調 劃分：通過防火墻，將整個局域網劃分互聯網， DMZ 區，內網訪問區這三個邏輯上分開的區域； （ 3）整體 安全 防護：局域網所有工作站和服務器處于防火墻地整體 安全 防護之下； （ 4）流量 精確 控制：確保重要業務對流量 和帶寬 的要求 優先輔助完成 ； （ 5）過濾 完美 規則：通過防火墻的過濾規則，實現端口級別控制，限制局域網用戶對互聯網的訪問；以時間為控制要素，限 制大流量網絡應用在上班時間的使用；限制互聯網用戶對 WEB 服務器的訪問，將訪問權限控制在最小的限度；對遠程更新的時間、來源（通過 IP 地址）進行限制。 由于在網絡環境下，病毒有不可估量的威脅性和破壞力，病毒的防范是網絡安全性建設中重要的一環。網絡反病毒包括預防病毒、檢測病毒和殺毒： （ 1）預防病毒：加密可執行程序、引導區保護、系統監控與讀寫控制； （ 2）檢測病毒：它是通過對病毒的特征來進行判斷的技術，如自身校驗、關鍵字、文件長度的變化、注冊表的改變等。 （ 3）清除病毒：它通過對病毒的分析，在原有防毒軟件不起作用 的情況下，尋找相關的專殺工具進行清除，并對注冊表進和維護。 對網絡服務器中的文件進行頻繁地掃描和監測；在用戶機器裝可受服務控制的客戶端殺毒軟件和對網絡目錄及文件設置訪問權限。 后期 安全服務 安全措施實施后并不意味著一勞永逸，對各種安全措施必須定期維護更新 來應對日益更新的情況 ，因此需要制定安全服務方案。在安全服務方案中，采用不同的安全服務，定期對網絡進行檢測、改進，以達到動態增進網絡安全性，最大限度發揮安全設備作用的目的。安全服務分為： 網絡拓撲分析 對象：整個網絡；周期：半年一次； 內容 ：根據網絡的實際情況，繪制網絡拓撲圖；分析網絡中存在的安全缺陷并提出整改建議意見。 18 操作系統補丁升級 對象：服務器、工作站、終端；周期：不定期；（出現更新，及時升級） 內容：一旦出現重大安全補丁，及時更新所有相關系統；出現大型補丁（如微軟的 SP），及時更新所有相關系統。 防病毒軟件病毒庫定期升級 對象：安裝防病毒客戶端的終端；周期：每 半 周一次； 內容：防病毒服務器通過 Inter 更新病毒庫；防病毒服務器強制所有在線客戶端更新病毒庫。 服務器定期掃描加固 對象：服務器；周期 ：半年一次； 內容：使用專用的掃描工具，在用戶網絡管理人員的配合，對主要的服務器進行掃描。 防火墻日志備份、分析 對象：防火墻設備；周期：一周一次； 內容：導出防火墻日志并進行分析。 入侵檢測等安全設備日志備份 對象：入侵檢測等安全設備；周期：一周一次； 內容：備份安全設備日志。 服務器日志備份 對象：主要服務器（ Web 服務器、文件服務器等）；周期：一周一次； 內容：備份服務器訪問日志。 設備備份系統 對象：骨干交換機、路由器等網絡骨干設備；周期：實時； 內容：根據用 戶的網絡情況，提供骨干交換機、路由器等核心網絡設備的備份。備份設備可以在段時間內替代網絡中實際使用的設備。 19 信息備份系統 對象：所有重要信息；周期：根據網絡情況定完全備份和增量備份的時間； 內容：定期備份電子信息。 網絡管理員的責任 依據上述解決方案，企業的網絡安全有了全面的保障，但是網絡管理員還不可以高枕無憂。網絡的安全管理是一個動態的、不斷完善的過程，即使忽略了很小的一個細節，也可能帶來意想不到的危險。因此，網絡管理員責任重大。 因此在選聘的時候要認真嚴謹選取可靠專業細心地人員擔當。 網 絡管理人員責任： （ 1）對網絡設備和服務器的物理訪問應作嚴格限制； （ 2）建立良好的密碼管理機制； （ 3）無效的用戶應及時清除； （ 4）不提供非必需服務；對提供的服務應作全面安全性設置，不依賴于系統的默認設置； （ 5）經常備份系統數據； （ 6）經常檢查系統日志； （ 7）所有的計算機都應有病毒防護機制。 公司內部制定安全 規章 在使用安全硬件及網絡管理員對網絡管理的同時，還需制定安全政策，對內部硬件、軟件管理，及工作人員有相應的安全約束，已達到網絡安全的目的。 （ 1）同一臺計算機不可同時使用內部網絡并且通 過別的方式連接外網；或使用專用的計算機連接內部網絡，另一臺計算機通過別的方式連接外部網絡；對于安全級別較高的數據服務器不允許連接任何網絡； （ 2）統一安裝并更新計算機軟件防火墻及殺毒軟件； （ 3）要求工作人員將個人計算機設置安全級別較高的密碼并定期更換，在離開時自動鎖定電腦； （ 4）只允許在工作電腦上使用固定的軟件，不允許安裝與使用其他軟件。不允許使用私人電腦接入公司內部網絡； （ 5）不允許使用外部存儲介質 如 U 盤，光盤，數碼相機等等 介入工作電腦； （ 6）對于使用內部網絡的員工有嚴格的身份驗證機制（證件卡、指 紋等特征），嚴格控制外來不明人員接入網絡。 （ 7）不允許私自介入外部網絡 （ 8）要求各項安全軟件正常啟用不得進行不當配置。