畢業(yè)設(shè)計(jì)（論文）企業(yè)網(wǎng)絡(luò)安全解決方案

平頂山工業(yè)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)說(shuō)明書(shū)PAGE畢業(yè)設(shè)計(jì)（說(shuō)明書(shū)）題目：企業(yè)網(wǎng)絡(luò)安全解決方案姓名：編號(hào)：()字號(hào)平頂山工業(yè)職業(yè)技術(shù)學(xué)院年月日平頂山工業(yè)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)（論文）任務(wù)書(shū)姓名_____________專(zhuān)業(yè)______計(jì)算機(jī)網(wǎng)絡(luò)管理與安全_______任務(wù)下達(dá)日期________2010________年______12____月_____1___日設(shè)計(jì)（論文）開(kāi)始日期_____2010_____年______12_____月_____1____日設(shè)計(jì)（論文）完成日期____2011______年______6______月_____10___日設(shè)計(jì)論文題目企業(yè)網(wǎng)絡(luò)安全解決方案_________A.編制設(shè)計(jì)___________________________________________________________________________________________________________________________B.設(shè)計(jì)專(zhuān)題（畢業(yè)論文）________________________________________________________________________________________________________________指導(dǎo)教師____________________系(部)主任_________________________2011_____年_________月_____日平頂山工業(yè)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)（論文）評(píng)語(yǔ)第________頁(yè)共________頁(yè)學(xué)生姓名：_____，____計(jì)算機(jī)網(wǎng)絡(luò)______專(zhuān)業(yè)_____08______年級(jí)畢業(yè)設(shè)計(jì)(論文)題目_企業(yè)網(wǎng)絡(luò)安全解決方案____________評(píng)閱人：____________________________________指導(dǎo)教師：_________________________（簽字）年月日成績(jī)：____________________________________系(部)主任：__________________________________（簽字）年月日畢業(yè)設(shè)計(jì)（論文）及答辯評(píng)語(yǔ)：平頂山工業(yè)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)（論文）答辯委員會(huì)記錄計(jì)算機(jī)系計(jì)算機(jī)網(wǎng)絡(luò)管理與安全專(zhuān)業(yè)，學(xué)生于2011年月日進(jìn)行了畢業(yè)設(shè)計(jì)（論文）答辯。設(shè)計(jì)題目：企業(yè)網(wǎng)絡(luò)安全解決方案_專(zhuān)題（論文）題目：指導(dǎo)教師：答辯委員會(huì)根據(jù)學(xué)生提交的畢業(yè)設(shè)計(jì)（論文）材料，根據(jù)學(xué)生答辯情況，經(jīng)答辯委員會(huì)討論評(píng)定，給予學(xué)生畢業(yè)設(shè)計(jì)（論文）成績(jī)?yōu)?。答辯委員會(huì)人，出席人。答辯委員會(huì)主任（簽字）：答辯委員會(huì)副主任（簽字）：答辯委員會(huì)委員：，，，，_，平頂山工業(yè)職業(yè)技術(shù)學(xué)院畢業(yè)設(shè)計(jì)說(shuō)明書(shū)PAGEPAGEIII摘要隨著計(jì)算機(jī)網(wǎng)絡(luò)在人類(lèi)生活領(lǐng)域中的廣泛應(yīng)用，針對(duì)計(jì)算機(jī)網(wǎng)絡(luò)的攻擊事件也隨之增加。網(wǎng)絡(luò)已經(jīng)無(wú)所不在的影響著社會(huì)的政治、經(jīng)濟(jì)、文化、軍事、意識(shí)形態(tài)和社會(huì)生活等各個(gè)方面。同時(shí)在全球范圍內(nèi)，針對(duì)重要信息資源和網(wǎng)絡(luò)基礎(chǔ)設(shè)施的入侵行為和企圖入侵行為的數(shù)量仍在持續(xù)不斷增加，網(wǎng)絡(luò)攻擊與入侵行為對(duì)國(guó)家安全、經(jīng)濟(jì)和社會(huì)生活造成了極大的威脅。計(jì)算機(jī)病毒不斷地通過(guò)網(wǎng)絡(luò)產(chǎn)生和傳播，計(jì)算機(jī)網(wǎng)絡(luò)被不斷地非法入侵，重要情報(bào)、資料被竊取，甚至造成網(wǎng)絡(luò)系統(tǒng)的癱瘓等等，諸如此類(lèi)的事件已給政府及企業(yè)造成了巨大的損失，甚至危害到國(guó)家的安全。網(wǎng)絡(luò)安全已成為世界各國(guó)當(dāng)今共同關(guān)注的焦點(diǎn)，網(wǎng)絡(luò)安全的重要性是不言而喻的。本文建設(shè)了一種企業(yè)網(wǎng)絡(luò)的安全方案，重點(diǎn)研究在物理隔離的情況下計(jì)算機(jī)網(wǎng)絡(luò)的安全問(wèn)題。在對(duì)網(wǎng)絡(luò)系統(tǒng)有了確切的了解之后，將局域網(wǎng)總體劃分為三個(gè)安全等級(jí)，每個(gè)等級(jí)中包含若干子網(wǎng)，各類(lèi)子網(wǎng)設(shè)置了各自的安全策略。按照計(jì)算機(jī)網(wǎng)絡(luò)安全設(shè)計(jì)的目標(biāo)及其計(jì)算機(jī)網(wǎng)絡(luò)安全系統(tǒng)的總體規(guī)劃，對(duì)計(jì)算機(jī)網(wǎng)絡(luò)安全問(wèn)題進(jìn)行了全面的分析。依照各個(gè)安全等級(jí)的安全需求，設(shè)計(jì)了網(wǎng)絡(luò)的安全方案。在滿(mǎn)足各子網(wǎng)系統(tǒng)建設(shè)的前提下，提出了包括病毒防護(hù)、動(dòng)態(tài)口令身份認(rèn)證、安全審計(jì)管理、訪問(wèn)控制、信息加密策略、入侵檢測(cè)系統(tǒng)的部署、漏洞掃描系統(tǒng)等管理措施和安全技術(shù)在內(nèi)的整套解決方案。目的是建立一個(gè)完整的、立體的網(wǎng)絡(luò)安全防御體系，使網(wǎng)絡(luò)安全系統(tǒng)真正獲得較好的效果。關(guān)鍵詞：網(wǎng)絡(luò)安全，掃描系統(tǒng)，防火墻目錄摘要 I目錄 II第1章緒論 11.1網(wǎng)絡(luò)安全背景知識(shí) 11.2網(wǎng)絡(luò)安全的概念和目標(biāo) 11.3網(wǎng)絡(luò)安全策略 3第2章企業(yè)網(wǎng)絡(luò)安全的威脅及需求 52.1物理層安全風(fēng)險(xiǎn) 52.2系統(tǒng)層安全風(fēng)險(xiǎn) 52.3病毒的安全風(fēng)險(xiǎn) 62.4數(shù)據(jù)傳輸?shù)陌踩L(fēng)險(xiǎn) 62.5管理的安全風(fēng)險(xiǎn) 6網(wǎng)絡(luò)結(jié)構(gòu)的安全風(fēng)險(xiǎn)分析 7操作系統(tǒng)的安全風(fēng)險(xiǎn)分析 8應(yīng)用的安全風(fēng)險(xiǎn)分析 8第3章網(wǎng)絡(luò)安全的方案設(shè)計(jì) 103.1總體設(shè)計(jì)方案 103.2企業(yè)網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì) 103.2.1安全體系結(jié)構(gòu)網(wǎng)絡(luò) 103.2.2安全體系層次模型 103.2.3安全體系設(shè)計(jì) 11第4章安全產(chǎn)品的配置與應(yīng)用 144.1防病毒及特洛伊木馬軟件 144.1.1病毒之后的解決辦法 14惡意網(wǎng)站的處理 154.2動(dòng)態(tài)口令身份認(rèn)證方案 164.3訪問(wèn)控制：防火墻系統(tǒng) 184.3.1包過(guò)濾型 184.3.2網(wǎng)絡(luò)地址轉(zhuǎn)化—NAT 194.3.3代理型 194.3.4監(jiān)測(cè)型 204.4入侵檢測(cè)系統(tǒng) 214.5漏洞掃描系統(tǒng) 23第5章安全方案測(cè)試 255.1安全管理機(jī)構(gòu)的建設(shè)原則 255.2網(wǎng)絡(luò)安全方案測(cè) 255.3展望 25參考文獻(xiàn) 27致謝 28PAGE30第1章緒論網(wǎng)絡(luò)安全背景知識(shí)以internet為代表的信息網(wǎng)絡(luò)技術(shù)應(yīng)用正日益普及和廣泛，應(yīng)用領(lǐng)域從傳統(tǒng)小型業(yè)務(wù)系統(tǒng)逐漸向大型關(guān)鍵業(yè)務(wù)系統(tǒng)擴(kuò)展，典型的例如黨政部門(mén)信息系統(tǒng)、金融業(yè)務(wù)系統(tǒng)、企業(yè)商務(wù)系統(tǒng)等。網(wǎng)絡(luò)安全已經(jīng)成為影響網(wǎng)絡(luò)效能重要的問(wèn)題，而internet所具有的開(kāi)放性、自由性和國(guó)際性在增加應(yīng)用自由度的時(shí)候，對(duì)安全提出了更高級(jí)的要求。一般來(lái)說(shuō)，網(wǎng)絡(luò)安全由信息安全和控制安全兩部分組成。信息安全指信息的完整性、可用性、保密性和可靠性;控制安全則指身份認(rèn)證、不可否認(rèn)性、授權(quán)和訪問(wèn)控制。互聯(lián)網(wǎng)的開(kāi)放性、分散性和交互性特征為信息交流、信息共享、信息服務(wù)創(chuàng)造了理想空間，網(wǎng)絡(luò)技術(shù)迅速的發(fā)展和廣泛的應(yīng)用，為人類(lèi)社會(huì)進(jìn)步提供了巨大推動(dòng)力。然而，正是由于互聯(lián)網(wǎng)的特性，產(chǎn)生了信息污染、信息泄漏、信息不易受控等諸多安全問(wèn)題。目前，我國(guó)網(wǎng)絡(luò)安全存在的主要問(wèn)題有：1.計(jì)算機(jī)系統(tǒng)遭受病毒感染和破壞的情況相當(dāng)嚴(yán)重。據(jù)國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心數(shù)據(jù)看，從國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心日常監(jiān)測(cè)結(jié)果看來(lái)，計(jì)算機(jī)病毒呈現(xiàn)出異?；钴S的態(tài)勢(shì)。2.電腦黑客活動(dòng)己形成重要威脅。網(wǎng)絡(luò)信息系統(tǒng)具有致命的脆弱性、易受攻擊性和開(kāi)放性，從國(guó)內(nèi)情況來(lái)看，目前我國(guó)95%與互聯(lián)網(wǎng)相聯(lián)的網(wǎng)絡(luò)管理中心都遭受過(guò)境內(nèi)外黑客的攻擊或侵入。3.信息基礎(chǔ)設(shè)施面臨網(wǎng)絡(luò)安全的挑戰(zhàn)。面對(duì)信息安全的嚴(yán)峻形勢(shì)，我國(guó)的網(wǎng)絡(luò)安全系統(tǒng)在預(yù)測(cè)、反應(yīng)、防范和恢復(fù)能力方面存在許多薄弱環(huán)節(jié)[1]。據(jù)英國(guó)《簡(jiǎn)氏戰(zhàn)略報(bào)告》和其它網(wǎng)絡(luò)組織對(duì)各國(guó)信息防護(hù)能力的評(píng)估，我國(guó)被列入防護(hù)能力最低的國(guó)家之一，不僅大大低于美國(guó)、俄羅斯和以色列等信息安全強(qiáng)國(guó)，而且排在印度、韓國(guó)之后。近年來(lái)，國(guó)內(nèi)與網(wǎng)絡(luò)有關(guān)的各類(lèi)違法行為以每年30%的速度遞增。網(wǎng)絡(luò)環(huán)境的多變性、復(fù)雜性，以及信息系統(tǒng)的脆弱性，決定了網(wǎng)絡(luò)安全威脅的客觀存在。我國(guó)日益開(kāi)放并且走向世界，建立保護(hù)屏障和加強(qiáng)安全監(jiān)管不可缺少。近年來(lái)，隨著網(wǎng)絡(luò)安全事件的發(fā)生，人們?cè)絹?lái)越清楚的意識(shí)到，信息時(shí)代所引發(fā)的信息安全問(wèn)題涉及到人們生活的方方面面。因此可以說(shuō)，在信息化社會(huì)里，信息安全的重要性再怎么強(qiáng)調(diào)也不過(guò)分。1.2網(wǎng)絡(luò)安全的概念和目標(biāo)國(guó)際標(biāo)準(zhǔn)化組織(IS0)對(duì)計(jì)算機(jī)系統(tǒng)安全的定義是為數(shù)據(jù)處理系統(tǒng)建立和采用的技術(shù)和管理的安全保護(hù)，保護(hù)計(jì)算機(jī)硬件、軟件和數(shù)據(jù)不因偶然和惡意的原因遭到破壞、更改和泄露。網(wǎng)絡(luò)安全基本上是一個(gè)實(shí)踐性的技術(shù)領(lǐng)域，它涉及到多種技術(shù)領(lǐng)域，網(wǎng)絡(luò)信息安全與保密主要是指保護(hù)網(wǎng)絡(luò)信息系統(tǒng)，使其沒(méi)有危險(xiǎn)、不受威脅、不出事故。從技術(shù)角度來(lái)說(shuō)，網(wǎng)絡(luò)信息安全與保密的目標(biāo)主要表現(xiàn)在系統(tǒng)的保密性、完整性、真實(shí)性、可用性、不可抵賴(lài)性等方面。網(wǎng)絡(luò)安全的意義，就在于資料、信賴(lài)關(guān)系和網(wǎng)絡(luò)的傳輸能力與端系統(tǒng)的處理能力三個(gè)要素的保護(hù)，保證這三者能為所適合的用戶(hù)服務(wù)。而且，只為合適的用戶(hù)服務(wù)。與此同時(shí)，由于計(jì)算機(jī)網(wǎng)絡(luò)自身存在的局限性和信息系統(tǒng)的脆弱性，使得計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)上的硬件資源，通信資源，軟件及信息資源等因可預(yù)見(jiàn)或不可預(yù)見(jiàn)的甚至是惡意的原因而遭到破壞，更改、泄露或功能失效，使信息系統(tǒng)處于異常狀態(tài)，甚至引起系統(tǒng)的崩潰癱瘓，造成巨大的經(jīng)濟(jì)損失。在這樣的形勢(shì)下，以保護(hù)網(wǎng)絡(luò)中的信息免受各種攻擊為根本目的網(wǎng)絡(luò)安全變得越來(lái)越重要。計(jì)算機(jī)網(wǎng)絡(luò)改變著人們賴(lài)以行動(dòng)的社會(huì)信息結(jié)構(gòu)，改變著人們獲取利用信息的方式，從而引起人類(lèi)生活方式的全面改觀。網(wǎng)絡(luò)安全威脅一般分為外部闖入、內(nèi)部滲透和不當(dāng)行為三種類(lèi)型。外部闖入是指未經(jīng)授權(quán)計(jì)算機(jī)系統(tǒng)用戶(hù)的入侵;內(nèi)部突破是指己授權(quán)的計(jì)算機(jī)系統(tǒng)用戶(hù)訪問(wèn)未經(jīng)授權(quán)的數(shù)據(jù);不正當(dāng)行為是指用戶(hù)雖經(jīng)授權(quán)，但對(duì)授權(quán)數(shù)據(jù)和資源的使用不合法或?yàn)E用授權(quán)。網(wǎng)絡(luò)自身的缺陷、開(kāi)放性以及黑客的攻擊是造成網(wǎng)絡(luò)不安全的主要原因。由于計(jì)算機(jī)網(wǎng)絡(luò)最重要的資源是它向用戶(hù)提供的服務(wù)及所擁有的信息，因而計(jì)算機(jī)網(wǎng)絡(luò)的安全性可以定義為：保障網(wǎng)絡(luò)服務(wù)的可用性和網(wǎng)絡(luò)信息的完整性。前者要求網(wǎng)絡(luò)向所有用戶(hù)有選擇地隨時(shí)提供各自應(yīng)得到的網(wǎng)絡(luò)服務(wù)，后者則要求網(wǎng)絡(luò)保證信息資源的保密性、完整性、可用性和準(zhǔn)確性?？梢?jiàn)建立安全的網(wǎng)絡(luò)系統(tǒng)要解決的根本問(wèn)題是如何在保證網(wǎng)絡(luò)的連通性、可用性的同時(shí)對(duì)網(wǎng)絡(luò)服務(wù)的種類(lèi)、范圍等行使適當(dāng)程度的控制以保障系統(tǒng)的可用性和信息的完整性不受影響。一個(gè)安全的計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)該具有以下幾個(gè)特點(diǎn)：(1)可靠性是網(wǎng)絡(luò)系統(tǒng)安全最基本的要求?？煽啃灾饕侵妇W(wǎng)絡(luò)系統(tǒng)硬件和軟件無(wú)故障運(yùn)行的性能。(2)可用性是指網(wǎng)絡(luò)信息可被授權(quán)用戶(hù)訪問(wèn)的特性，即網(wǎng)絡(luò)信息服務(wù)在需要時(shí)，能夠保證授權(quán)用戶(hù)使用。(3)保密性是指網(wǎng)絡(luò)信息不被泄露的特性。保密性是在可靠性和可用性的基礎(chǔ)上保證網(wǎng)絡(luò)信息安全的非常重要的手段。保密性可以保證信息即使泄露，非授權(quán)用戶(hù)在有限的時(shí)間內(nèi)也不能識(shí)別真正的信息內(nèi)容。(4)完整性是指網(wǎng)絡(luò)信息未經(jīng)授權(quán)不能進(jìn)行改變的特性，即網(wǎng)絡(luò)信息在存儲(chǔ)和傳輸過(guò)程中不被刪除、修改、偽造、亂序、重放和插入等操作，保也稱(chēng)做不可否認(rèn)性，主要用于網(wǎng)絡(luò)信息的交換過(guò)程，保證信息交換的參與者都不可能否認(rèn)或抵賴(lài)曾進(jìn)行的操作，類(lèi)似于在發(fā)文或收文過(guò)程中的簽名和簽收的過(guò)程。從技術(shù)角度看，網(wǎng)絡(luò)安全的內(nèi)容大體包括4個(gè)方面：由此可見(jiàn)，計(jì)算機(jī)網(wǎng)絡(luò)安全不僅要保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備安全，還要保護(hù)數(shù)據(jù)安全等。其特征是針對(duì)計(jì)算機(jī)網(wǎng)絡(luò)本身可能存在的安全問(wèn)題，實(shí)施網(wǎng)絡(luò)安全保護(hù)方案，以保證算機(jī)網(wǎng)絡(luò)自身的安全性為目標(biāo)。1.3網(wǎng)絡(luò)安全策略在網(wǎng)絡(luò)安全技術(shù)飛速發(fā)展的今天，只有將不同安全側(cè)重點(diǎn)的安全技術(shù)有效地融合起來(lái)，安全產(chǎn)品的性?xún)r(jià)比才能更高。目前，已有一些廠商在安全設(shè)備與安全策略管理、安全風(fēng)險(xiǎn)控制、集中安全審計(jì)等方面做了十分有效的工作。通過(guò)綜合分析，結(jié)合實(shí)際管理需求，我們認(rèn)為以下幾項(xiàng)技術(shù)需要重點(diǎn)掌握：協(xié)議聯(lián)通技術(shù)：目前國(guó)際上的網(wǎng)管軟件大多是基于SNMP設(shè)計(jì)的，一般只側(cè)重于設(shè)備管理，且編程復(fù)雜、結(jié)構(gòu)單一，不利于大規(guī)模集成。如果用戶(hù)要管理各類(lèi)網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)及安全產(chǎn)品，則要綜合使用諸如WBEM、UDDI和XML等協(xié)議與通信技術(shù)。因此應(yīng)盡量提高各協(xié)議接口間的透明訪問(wèn)程度，實(shí)現(xiàn)協(xié)議間的互聯(lián)互訪。探頭集成技術(shù)：目前各安全子系統(tǒng)要對(duì)網(wǎng)絡(luò)及用戶(hù)進(jìn)行實(shí)時(shí)管理，大多采用用戶(hù)端安裝插件的技術(shù)，在多個(gè)子系統(tǒng)都需插件的情況下，可能產(chǎn)生沖突，且給用戶(hù)系統(tǒng)增加負(fù)擔(dān)，因此各廠商除提供必要的接口信息外，集成單位也應(yīng)注意將各種信息技術(shù)進(jìn)行融合，通過(guò)編程實(shí)現(xiàn)對(duì)各系統(tǒng)探頭的集成?？梢暬芾砑夹g(shù)：為了讓用戶(hù)更好地通過(guò)安全管理平臺(tái)進(jìn)行集中管理，用戶(hù)管理界面最好能夠提供直觀的網(wǎng)絡(luò)拓樸圖，實(shí)時(shí)顯示整個(gè)網(wǎng)絡(luò)的安全狀況，使用戶(hù)可以便捷地查看各安全產(chǎn)品組件的狀態(tài)、日志以及信息處理結(jié)果，產(chǎn)生安全趨勢(shì)分析報(bào)表。因此可視化管理技術(shù)的研究與應(yīng)用尤為重要。事件關(guān)聯(lián)技術(shù)：由于從單獨(dú)的安全事件中很難發(fā)覺(jué)其它的攻擊行為，必須綜合多種安全設(shè)備的事件信息進(jìn)行分析，才能得到準(zhǔn)確的判斷。所以，事件關(guān)聯(lián)技術(shù)的研究和實(shí)現(xiàn)，可以大大提高安全管理平臺(tái)綜合處理與智能處理的能力，提高管理平臺(tái)分析及審計(jì)能力，更好地幫助網(wǎng)管人員進(jìn)行網(wǎng)絡(luò)安全的集中管控，發(fā)揮網(wǎng)絡(luò)安全管理平臺(tái)的重要作用。事件過(guò)濾技術(shù)：一個(gè)安全事件有可能同時(shí)觸動(dòng)多個(gè)安全單元，同時(shí)產(chǎn)生多個(gè)安全事件報(bào)警信息，造成同一事件信息“泛濫”，反而使關(guān)鍵的信息被淹沒(méi)。因此，事件過(guò)濾技術(shù)也是安全管理平臺(tái)需要解決的一個(gè)重要問(wèn)題?？焖夙憫?yīng)技術(shù)：發(fā)生網(wǎng)絡(luò)安全事件后，單靠人工處理可能會(huì)貽誤戰(zhàn)機(jī)，所以必須要開(kāi)發(fā)快速響應(yīng)技術(shù)，從而能使系統(tǒng)自動(dòng)響應(yīng)安全事件。如實(shí)現(xiàn)報(bào)警、阻塞、阻斷、引入陷阱，以及取證和反擊等。網(wǎng)絡(luò)安全策略目的是決定一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)的組織結(jié)構(gòu)怎樣來(lái)保護(hù)自己的網(wǎng)絡(luò)及其信息，一般來(lái)說(shuō)，安全策略包括兩個(gè)部分：一個(gè)總體的策略和具體的規(guī)則?？傮w的策略用于闡明公司安全政策的總體思想，而具體的規(guī)則用于說(shuō)明什么活動(dòng)是被允許的，什么活動(dòng)是被禁止的。1.網(wǎng)絡(luò)安全策略的等級(jí)網(wǎng)絡(luò)安全策略可分為以下4個(gè)等級(jí)：(1)不把內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)相連，因此一切都被禁止。(2)除那些被明確允許之外，一切都被禁止。(3)除那些被明確禁止之外，一切都被允許。(4)一切都被允許，當(dāng)然也包括那些本來(lái)被禁止的?？梢愿鶕?jù)實(shí)際情況，在這4個(gè)等級(jí)之間找出符合自己的安全策略[3]。當(dāng)系統(tǒng)自身的情況發(fā)生變化時(shí)，必須注意及時(shí)修改相應(yīng)的安全策略。第2章企業(yè)網(wǎng)絡(luò)安全的威脅及需求正確的風(fēng)險(xiǎn)分析是保證網(wǎng)絡(luò)環(huán)境安全的非常重要的一環(huán)，一個(gè)性能優(yōu)良的安全系統(tǒng)結(jié)構(gòu)和安全系統(tǒng)平臺(tái)，能夠以低的安全代價(jià)換得高的安全強(qiáng)度。下面對(duì)企業(yè)的具體狀況從物理層安全、網(wǎng)絡(luò)層安全、系統(tǒng)層安全、數(shù)據(jù)傳輸安全、病毒的安全威脅及管理安全進(jìn)行分類(lèi)描述網(wǎng)絡(luò)系統(tǒng)的安全風(fēng)險(xiǎn)。2.1物理層安全風(fēng)險(xiǎn)物理安全是保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故以及人為操作失誤或錯(cuò)誤及各種計(jì)算機(jī)犯罪行為導(dǎo)致的破壞過(guò)程。為保證信息網(wǎng)絡(luò)系統(tǒng)的物理安全，還要防止系統(tǒng)信息在空間的擴(kuò)散。通常是在物理上采取一定的防護(hù)措施，來(lái)減少或干擾擴(kuò)散出去的空間信號(hào)。這是政府、軍隊(duì)、金融機(jī)構(gòu)在興建信息中心時(shí)首要的設(shè)置的條件。為保證網(wǎng)絡(luò)的正常運(yùn)行，在物理安全方面應(yīng)采取如下措施：1．產(chǎn)品保障方面：主要指產(chǎn)品采購(gòu)、運(yùn)輸、安裝等方面的安全措施。2．運(yùn)行安全方面：網(wǎng)絡(luò)中的設(shè)備，特別是安全類(lèi)產(chǎn)品在使用過(guò)程中，必須能夠從生成廠家或供貨單位得到迅速的技術(shù)支持服務(wù)。對(duì)一些關(guān)鍵設(shè)備和系統(tǒng)，應(yīng)設(shè)置備份系統(tǒng)。3．防電磁輻射方面：所有重要涉密的設(shè)備都需安裝防電磁輻射產(chǎn)品，如輻射干擾機(jī)。4．保安方面：主要是防盜、防火等，還包括網(wǎng)絡(luò)系統(tǒng)所有網(wǎng)絡(luò)設(shè)備、計(jì)算機(jī)、安全設(shè)備的安全防護(hù)。2.2系統(tǒng)層安全風(fēng)險(xiǎn)所謂系統(tǒng)安全通常是指網(wǎng)絡(luò)操作系統(tǒng)、應(yīng)用系統(tǒng)的安全。系統(tǒng)級(jí)的安全風(fēng)險(xiǎn)分析主要針對(duì)企業(yè)企業(yè)校園采用的操作系統(tǒng)、數(shù)據(jù)庫(kù)、及相關(guān)商用產(chǎn)品的安全漏洞和病毒威脅進(jìn)行分析。企業(yè)企業(yè)校園網(wǎng)絡(luò)采用的操作系統(tǒng)[7](主要為Windows2000server/professional，/Workstation，WindowsME，Windows95/98、UNIX)本身在安全方面考慮的較少，服務(wù)器、數(shù)據(jù)庫(kù)的安全級(jí)別較低，存在若干安全隱患。同時(shí)病毒也是系統(tǒng)安全的主要威脅，所有這些都造成了系統(tǒng)安全的脆弱性。在企業(yè)的網(wǎng)絡(luò)系統(tǒng)中，包含的設(shè)備有：交換機(jī)，服務(wù)器，工作站等。在服務(wù)器上主要有操作系統(tǒng)、軟件系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)，交換機(jī)上也有相應(yīng)的操作系統(tǒng)。所有的這些設(shè)備、軟件系統(tǒng)都多多少少地存在著各種各樣的漏洞，這些都是重大安全隱患。一旦被利用并攻擊，將帶來(lái)不可估量的損失。2.3病毒的安全風(fēng)險(xiǎn)計(jì)算機(jī)病毒是指一種能使自己附加到目標(biāo)機(jī)系統(tǒng)的文件上的程序。它在所有破壞性設(shè)備中最具危險(xiǎn)性，可以導(dǎo)致服務(wù)拒絕、破壞數(shù)據(jù)，甚至使計(jì)算機(jī)系統(tǒng)完全癱瘓。當(dāng)病毒被釋放到網(wǎng)絡(luò)環(huán)境時(shí)，其無(wú)法預(yù)測(cè)的擴(kuò)散能力使它極具危險(xiǎn)性。在企業(yè)的網(wǎng)絡(luò)系統(tǒng)中，傳統(tǒng)的計(jì)算機(jī)病毒傳播手段是通過(guò)存儲(chǔ)介質(zhì)進(jìn)行的，師生在交換存儲(chǔ)著數(shù)據(jù)的介質(zhì)時(shí)，隱藏在其中的計(jì)算機(jī)病毒就從一臺(tái)計(jì)算機(jī)轉(zhuǎn)移到另外的計(jì)算機(jī)中。而現(xiàn)代的病毒傳播手段主要是通過(guò)網(wǎng)絡(luò)實(shí)現(xiàn)的，一臺(tái)客戶(hù)機(jī)被病毒感染，迅速通過(guò)網(wǎng)絡(luò)傳染到同一網(wǎng)絡(luò)的成百上千臺(tái)機(jī)器。師生上網(wǎng)瀏覽網(wǎng)頁(yè)、收發(fā)電子郵件，下載資料的時(shí)候，都有可能被病毒傳染，這種互聯(lián)網(wǎng)和校園內(nèi)聯(lián)網(wǎng)通訊模式下的傳播方式構(gòu)成了企業(yè)病毒傳播途徑的主流。2.4數(shù)據(jù)傳輸?shù)陌踩L(fēng)險(xiǎn)由于在企業(yè)內(nèi)部網(wǎng)絡(luò)數(shù)據(jù)傳輸線路之間存在被竊聽(tīng)的威脅，同時(shí)局域網(wǎng)絡(luò)內(nèi)部也存在著內(nèi)部攻擊行為，其中包括登錄密碼和一些敏感信息，可能被侵襲者搭線竊取和篡改，造成泄密。如果沒(méi)有專(zhuān)門(mén)的軟件或硬件對(duì)數(shù)據(jù)進(jìn)行控制，所有的通信都將不受限制地進(jìn)行傳輸，因此任何一個(gè)對(duì)通信進(jìn)行監(jiān)測(cè)的人都可以對(duì)通信數(shù)據(jù)進(jìn)行截取。這種形式的“攻擊”是相對(duì)比較容易成功的。造成泄密或者做一些篡改來(lái)破壞數(shù)據(jù)的完整性。因此，數(shù)據(jù)在線路中傳輸時(shí)必須加密，同時(shí)通過(guò)認(rèn)證技術(shù)及數(shù)字簽名來(lái)保數(shù)據(jù)在網(wǎng)上傳輸[9]的保密性、真實(shí)性、可靠性及完整性，以保護(hù)系統(tǒng)的重要信息數(shù)據(jù)的傳輸安全。2.5管理的安全風(fēng)險(xiǎn)管理混亂、安全管理制度不健全，責(zé)權(quán)不明及缺乏可操作性等都可能引起管理安全的風(fēng)險(xiǎn)。因此，最可行的做法是管理制度和管理解決方案相結(jié)合。管理方面的安全隱患包括：內(nèi)部管理人員或師生為了方便省事，設(shè)置的口令過(guò)短和過(guò)于簡(jiǎn)單，甚至不設(shè)置用戶(hù)口令，導(dǎo)致很容易破解。責(zé)任不清，使用相同的口令、用戶(hù)名，導(dǎo)致權(quán)限管理混亂，信息泄密。把內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)、管理員用戶(hù)名及口令以及系統(tǒng)的一些重要信息傳播給外人帶來(lái)信息泄漏風(fēng)險(xiǎn)。內(nèi)部不滿(mǎn)的人員有的可能造成極大的安全風(fēng)險(xiǎn)。網(wǎng)絡(luò)安全管理是防止來(lái)自?xún)?nèi)部網(wǎng)絡(luò)入侵的必須部分，管理上混亂、責(zé)權(quán)不明、安全管理制度缺乏可操作性及不健全等都可能引起管理安全的風(fēng)險(xiǎn)。即除了從技術(shù)上功夫外，還得靠安全管理來(lái)實(shí)現(xiàn)。隨著企業(yè)整個(gè)網(wǎng)絡(luò)安全系統(tǒng)的建設(shè)，必須建立嚴(yán)格的、完整的、健全的安全管理制度。網(wǎng)絡(luò)的安全管理制度策略包括：確定安全管理等級(jí)和安全管理范圍;制訂有關(guān)網(wǎng)絡(luò)操作使用規(guī)程和出入機(jī)房管理制度;制定網(wǎng)絡(luò)系統(tǒng)的維護(hù)制度和應(yīng)急措施等。通過(guò)制度的約束，確定不同學(xué)員的網(wǎng)絡(luò)訪問(wèn)權(quán)限，提高管理人員的安全防范意識(shí)，做到實(shí)時(shí)監(jiān)控檢測(cè)網(wǎng)絡(luò)的活動(dòng)，并在危害發(fā)生時(shí)，做到及時(shí)報(bào)警。網(wǎng)絡(luò)結(jié)構(gòu)的安全風(fēng)險(xiǎn)分析

1外部網(wǎng)絡(luò)的安全威脅

企業(yè)網(wǎng)絡(luò)與外網(wǎng)有互連?；诰W(wǎng)絡(luò)系統(tǒng)的范圍大、函蓋面廣，內(nèi)部網(wǎng)絡(luò)將面臨更加嚴(yán)重的安全威脅，入侵者每天都在試圖闖入網(wǎng)絡(luò)節(jié)點(diǎn)。網(wǎng)絡(luò)系統(tǒng)中辦公系統(tǒng)及員工主機(jī)上都有涉密信息。假如內(nèi)部網(wǎng)絡(luò)的一臺(tái)電腦安全受損（被攻擊或者被病毒感染），就會(huì)同時(shí)影響在同一網(wǎng)絡(luò)上的許多其他系統(tǒng)。透過(guò)網(wǎng)絡(luò)傳播，還會(huì)影響到與本系統(tǒng)網(wǎng)絡(luò)有連接的外單位網(wǎng)絡(luò)。

如果系統(tǒng)內(nèi)部局域網(wǎng)與系統(tǒng)外部網(wǎng)絡(luò)間沒(méi)有采取一定的安全防護(hù)措施，內(nèi)部網(wǎng)絡(luò)容易遭到來(lái)自外網(wǎng)一些不懷好意的入侵者的攻擊。

2.內(nèi)部局域網(wǎng)的安全威脅

據(jù)調(diào)查在已有的網(wǎng)絡(luò)安全攻擊事件中約70%是來(lái)自?xún)?nèi)部網(wǎng)絡(luò)的侵犯。來(lái)自機(jī)構(gòu)內(nèi)部局域網(wǎng)的威脅包括：誤用和濫用關(guān)鍵、敏感數(shù)據(jù)；內(nèi)部人員故意泄漏內(nèi)部網(wǎng)絡(luò)的網(wǎng)絡(luò)結(jié)構(gòu)；內(nèi)部不懷好意的員工通過(guò)各種方式盜取他人涉密信息傳播出去。

3.網(wǎng)絡(luò)設(shè)備的安全隱患

網(wǎng)絡(luò)設(shè)備中包含路由器、交換機(jī)、防火墻等，它們的設(shè)置比較復(fù)雜，可能由于疏忽或不正確理解而使這些設(shè)備可用但安全性不佳。2.7操作系統(tǒng)的安全風(fēng)險(xiǎn)分析

所謂系統(tǒng)安全通常是指操作系統(tǒng)的安全。操作系統(tǒng)的安裝以正常工作為目標(biāo)，一般很少考慮其安全性，因此安裝通常都是以缺省選項(xiàng)進(jìn)行設(shè)置。從安全角度考慮，其表現(xiàn)為裝了很多用不著的服務(wù)模塊，開(kāi)放了很多不必開(kāi)放的端口，其中可能隱含了安全風(fēng)險(xiǎn)。

目前的操作系統(tǒng)無(wú)論是Windows還是UNIX操作系統(tǒng)以及其它廠商開(kāi)發(fā)的應(yīng)用系統(tǒng)，其開(kāi)發(fā)廠商必然有其Back-Door。而且系統(tǒng)本身必定存在安全漏洞。這些后門(mén)和安全漏洞都將存在重大安全隱患。系統(tǒng)的安全程度跟安全配置及系統(tǒng)的應(yīng)用有很大關(guān)系，操作系統(tǒng)如果沒(méi)有采用相應(yīng)的安全配置，則其是漏洞百出，掌握一般攻擊技術(shù)的人都可能入侵得手。如果進(jìn)行安全配置，填補(bǔ)安全漏洞，關(guān)閉一些不常用的服務(wù)，禁止開(kāi)放一些不常用而又比較敏感的端口等，那么入侵者要成功進(jìn)入內(nèi)部網(wǎng)是不容易的，這需要相當(dāng)高的技術(shù)水平及相當(dāng)長(zhǎng)時(shí)間。2.8應(yīng)用的安全風(fēng)險(xiǎn)分析

應(yīng)用系統(tǒng)的安全涉及很多方面。應(yīng)用系統(tǒng)是動(dòng)態(tài)的、不斷變化的。應(yīng)用的安全性也是動(dòng)態(tài)的。這就需要我們對(duì)不同的應(yīng)用，檢測(cè)安全漏洞，采取相應(yīng)的安全措施，降低應(yīng)用的安全風(fēng)險(xiǎn)。

文件服務(wù)器的安全風(fēng)險(xiǎn)：辦公網(wǎng)絡(luò)應(yīng)用通常是共享網(wǎng)絡(luò)資源。可能存在著員工有意、無(wú)意把硬盤(pán)中重要信息目錄共享，長(zhǎng)期暴露在網(wǎng)絡(luò)鄰居上，可能被外部人員輕易偷取或被內(nèi)部其他員工竊取并傳播出去造成泄密，因?yàn)槿鄙俦匾脑L問(wèn)控制策略。

數(shù)據(jù)庫(kù)服務(wù)器的安全風(fēng)險(xiǎn)：內(nèi)網(wǎng)服務(wù)區(qū)部署著大量的服務(wù)器作為數(shù)據(jù)庫(kù)服務(wù)器，在其上運(yùn)行數(shù)據(jù)庫(kù)系統(tǒng)軟件，主要提供數(shù)據(jù)存儲(chǔ)服務(wù)。數(shù)據(jù)庫(kù)服務(wù)器的安全風(fēng)險(xiǎn)包括：非授權(quán)用戶(hù)的訪問(wèn)、通過(guò)口令猜測(cè)獲得系統(tǒng)管理員權(quán)限、數(shù)據(jù)庫(kù)服務(wù)器本身存在漏洞容易受到攻擊等。數(shù)據(jù)庫(kù)中數(shù)據(jù)由于意外（硬件問(wèn)題或軟件崩潰）而導(dǎo)致不可恢復(fù)，也是需要考慮的安全問(wèn)題。

病毒侵害的安全風(fēng)險(xiǎn)：網(wǎng)絡(luò)是病毒傳播的最好、最快的途徑之一。病毒程序可以通過(guò)網(wǎng)上下載、電子郵件、使用盜版光盤(pán)或軟盤(pán)、人為投放等傳播途徑潛入內(nèi)部網(wǎng)。因此，病毒的危害的不可以輕視的。網(wǎng)絡(luò)中一旦有一臺(tái)主機(jī)受病毒感染，則病毒程序就完全可能在極短的時(shí)間內(nèi)迅速擴(kuò)散，傳播到網(wǎng)絡(luò)上的所有主機(jī)，可能造成信息泄漏、文件丟失、機(jī)器死機(jī)等不安全因素。

數(shù)據(jù)信息的安全風(fēng)險(xiǎn)：數(shù)據(jù)安全對(duì)企業(yè)來(lái)說(shuō)尤其重要，數(shù)據(jù)在公網(wǎng)線路上傳輸，很難保證在傳輸過(guò)程中不被非法竊取、篡改。現(xiàn)今很多先進(jìn)技術(shù)，黑客或一些企業(yè)間諜會(huì)通過(guò)一些手段，設(shè)法在線路上做些手腳，獲得在網(wǎng)上傳輸?shù)臄?shù)據(jù)信息，也就造成的泄密。

第3章網(wǎng)絡(luò)安全的方案設(shè)計(jì)總體設(shè)計(jì)方案網(wǎng)絡(luò)安全體系建設(shè)應(yīng)按照“統(tǒng)一規(guī)劃、統(tǒng)籌安排，統(tǒng)一標(biāo)準(zhǔn)、相互配套“的原則進(jìn)行，采用先進(jìn)的”平臺(tái)化“建設(shè)思想，避免重復(fù)投入、重復(fù)建設(shè)，充分考慮整體和局部的利益，堅(jiān)持近期目標(biāo)與遠(yuǎn)期目標(biāo)相結(jié)合。在實(shí)際建設(shè)中遵循以下指導(dǎo)思想：宏觀上統(tǒng)一規(guī)劃，同步開(kāi)展，相互配套;在實(shí)現(xiàn)上分步實(shí)施，漸進(jìn)獲取;在具體設(shè)計(jì)中結(jié)構(gòu)上一體化，標(biāo)準(zhǔn)化，平臺(tái)化;安全保密功能上多級(jí)化，對(duì)信道適應(yīng)多元化。針對(duì)企業(yè)系統(tǒng)在實(shí)際運(yùn)行中所面臨的各種威脅，采用防護(hù)、檢測(cè)、反應(yīng)、恢復(fù)四方面行之有效的安全措施，建立一個(gè)全方位并易于管理的安全體系，確保企業(yè)系統(tǒng)安全可靠的運(yùn)行。企業(yè)網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)建設(shè)功能的強(qiáng)大和安全可靠的網(wǎng)絡(luò)信息管理系統(tǒng)是企業(yè)實(shí)現(xiàn)現(xiàn)代化管理的必要手段。如何構(gòu)建企業(yè)安全可靠的網(wǎng)絡(luò)系統(tǒng)是當(dāng)前工作的重點(diǎn)。毫無(wú)疑問(wèn)，不需要任何的形式的“說(shuō)教”，在信息和網(wǎng)絡(luò)被廣泛應(yīng)用的今天，任何一個(gè)網(wǎng)絡(luò)管理使用者都非常清楚，所有被使用的計(jì)算機(jī)網(wǎng)絡(luò)都必然存在被有意外或無(wú)意外的攻擊和破壞之風(fēng)險(xiǎn)。企業(yè)網(wǎng)絡(luò)同樣存在的安全方面的風(fēng)險(xiǎn)問(wèn)題。對(duì)于大多說(shuō)網(wǎng)絡(luò)黑客來(lái)說(shuō)，成功地入侵一企業(yè)特別是著名的網(wǎng)絡(luò)系統(tǒng)，具有證明和炫耀其“能耐”的價(jià)值，盡管這種行為的初衷也許并不具有惡意的目的；竊取企業(yè)的網(wǎng)絡(luò)數(shù)據(jù)，甚至破壞其網(wǎng)絡(luò)系統(tǒng)，更加具有現(xiàn)實(shí)和長(zhǎng)遠(yuǎn)的商業(yè)價(jià)值。因此，企業(yè)網(wǎng)絡(luò)建立完善的安全系統(tǒng)，其必要性不言而喻。安全體系結(jié)構(gòu)網(wǎng)絡(luò)安全體系結(jié)構(gòu)主要考慮安全機(jī)制和安全對(duì)象，安全對(duì)象主要有網(wǎng)絡(luò)安全、信息安全、設(shè)備安全、系統(tǒng)安全、數(shù)據(jù)庫(kù)安全、信息介質(zhì)安全和計(jì)算機(jī)病毒防治等。安全體系層次模型按照網(wǎng)絡(luò)OSI的7層模型，網(wǎng)絡(luò)安全貫穿于整個(gè)7層。針對(duì)網(wǎng)絡(luò)系統(tǒng)實(shí)際運(yùn)行的TCP/IP協(xié)議，網(wǎng)絡(luò)安全貫穿于信息系統(tǒng)的4個(gè)層次。1.物理層。物理層信息安全，主要防止物理通路的損壞、物理通路的竊聽(tīng)、對(duì)物理通路的攻擊(干擾等)。2.鏈路層。鏈路層的網(wǎng)絡(luò)安全需要保證通過(guò)網(wǎng)絡(luò)鏈路傳送的數(shù)據(jù)不被竊聽(tīng)。主要采用劃分VLAN、加密通訊等手段。3.網(wǎng)絡(luò)層。網(wǎng)絡(luò)層的安全要保證網(wǎng)絡(luò)只給授權(quán)的人員使用授權(quán)的服務(wù)，保證網(wǎng)絡(luò)路由正確，避免被監(jiān)聽(tīng)或攔截。4.操作系統(tǒng)。操作系統(tǒng)安全要求保證客戶(hù)資料、操作系統(tǒng)訪問(wèn)控制的安全，同時(shí)能夠?qū)υ摬僮飨到y(tǒng)上的應(yīng)用進(jìn)行安全審計(jì)。5.應(yīng)用平臺(tái)。應(yīng)用平臺(tái)指建立在網(wǎng)絡(luò)系統(tǒng)之上的應(yīng)用軟件服務(wù)，如數(shù)據(jù)庫(kù)服務(wù)器、電子郵件服務(wù)器、Web服務(wù)器等。由于應(yīng)用平臺(tái)的系統(tǒng)非常復(fù)雜，通常采用多種技術(shù)來(lái)增強(qiáng)應(yīng)用平臺(tái)的安全性。6.應(yīng)用系統(tǒng)應(yīng)用系統(tǒng)完成網(wǎng)絡(luò)系統(tǒng)的最終目的是為用戶(hù)服務(wù)。應(yīng)用系統(tǒng)的安全與系統(tǒng)設(shè)計(jì)和實(shí)現(xiàn)關(guān)系密切。應(yīng)用系統(tǒng)使用應(yīng)用平臺(tái)提供的安全服務(wù)來(lái)保證基本安全，如通訊雙方的認(rèn)證，通訊內(nèi)容安全，審計(jì)等手段。安全體系設(shè)計(jì)安全體系設(shè)計(jì)原則在進(jìn)行計(jì)算機(jī)網(wǎng)絡(luò)安全設(shè)計(jì)和規(guī)劃時(shí)，應(yīng)遵循以下原則：1.需求、風(fēng)險(xiǎn)、代價(jià)平衡分析的原則對(duì)任一網(wǎng)絡(luò)來(lái)說(shuō)，絕對(duì)安全難以達(dá)到，也不一定必要。對(duì)一個(gè)網(wǎng)絡(luò)要進(jìn)行實(shí)際分析，對(duì)網(wǎng)絡(luò)面臨的威脅及可能承擔(dān)的風(fēng)險(xiǎn)進(jìn)行定性與定量相結(jié)合的分析，然后制定規(guī)范和措施，確定本系統(tǒng)的安全策略。保護(hù)成本與被保護(hù)信息的價(jià)值必須平衡，價(jià)值僅2萬(wàn)元的信息如果用6萬(wàn)元的技術(shù)和設(shè)備去保護(hù)是一種不適當(dāng)?shù)谋Ｗo(hù)。2.綜合性、整體性原則運(yùn)用系統(tǒng)工程的觀點(diǎn)、方法，分析網(wǎng)絡(luò)的安全問(wèn)題，并制定具體措施。一個(gè)較好的安全措施往往是多種方法適當(dāng)綜合的應(yīng)用結(jié)果。一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)包括個(gè)人、設(shè)備、軟件、數(shù)據(jù)等環(huán)節(jié)。它們?cè)诰W(wǎng)絡(luò)安全中的地位和影響作用，只有從系統(tǒng)綜合的整體角度去看待和分析，才可能獲得有效、可行的措施。3.一致性原則這主要是指網(wǎng)絡(luò)安全問(wèn)題應(yīng)與整個(gè)網(wǎng)絡(luò)的工作周期同時(shí)存在，制定的安全體系結(jié)構(gòu)必須與網(wǎng)絡(luò)的安全需求相一致。實(shí)際上，在網(wǎng)絡(luò)建設(shè)之初就應(yīng)考慮網(wǎng)絡(luò)安全對(duì)策，比等網(wǎng)絡(luò)建設(shè)好后再考慮，不但容易，而且花費(fèi)也少很多。第3章網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)4.安全、可靠性原則最大保證系統(tǒng)的安全性。使用的信息安全產(chǎn)品和技術(shù)方案在設(shè)計(jì)和實(shí)現(xiàn)的全過(guò)程中有具體的措施來(lái)充分保證其安全性;對(duì)項(xiàng)目實(shí)施過(guò)程實(shí)現(xiàn)嚴(yán)格的技術(shù)管理和設(shè)備的冗余配置，保證產(chǎn)品質(zhì)量，保證系統(tǒng)運(yùn)行的可靠性。5.先進(jìn)、標(biāo)準(zhǔn)、兼容性原則先進(jìn)的技術(shù)體系，標(biāo)準(zhǔn)化的技術(shù)實(shí)現(xiàn)。6.易操作性原則安全措施要由人來(lái)完成，如果措施過(guò)于復(fù)雜，對(duì)人的要求過(guò)高，本身就降低了安全性。其次，采用的措施不會(huì)影響系統(tǒng)正常運(yùn)行。7.適應(yīng)性、靈活性原則安全措施必須能隨著網(wǎng)絡(luò)性能及安全需求的變化而變化，要容易修改、容易適應(yīng)。8.多重保護(hù)原則任何安全保護(hù)措施都不是絕對(duì)安全的，都可能被攻破。但是建立一個(gè)多重保護(hù)系統(tǒng)，各層保護(hù)相互補(bǔ)充，當(dāng)一層保護(hù)被攻破時(shí)，還有其它層保護(hù)信息的安全。網(wǎng)絡(luò)安全風(fēng)險(xiǎn)分析網(wǎng)絡(luò)系統(tǒng)的可靠運(yùn)轉(zhuǎn)是基于通訊子網(wǎng)、計(jì)算機(jī)硬件和0S及各種應(yīng)用軟件等各方面、各層次的良好運(yùn)行。因此，網(wǎng)絡(luò)系統(tǒng)的風(fēng)險(xiǎn)將來(lái)自對(duì)企業(yè)的各個(gè)關(guān)鍵點(diǎn)可能造成的威脅，這些威脅可能造成總體功能的失效。由于在當(dāng)前計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境中，相對(duì)于主機(jī)環(huán)境、單機(jī)環(huán)境，安全問(wèn)題變得越來(lái)越復(fù)雜和突出，所以網(wǎng)安全風(fēng)險(xiǎn)分析成為制定有效的安全管理策略和選擇有作用的安全技術(shù)實(shí)施措施的重要依據(jù)。安全保障不能完全基于思想教育或信任。而應(yīng)基于“最低權(quán)限”和“相互監(jiān)督”的法則，減少保密信息的介入范圍，盡力消除使用者為使用資源不得不信任他人或被他人信任的問(wèn)題，建立起完整的安全控制體系和保證體系。網(wǎng)絡(luò)安全策略安全策略分為安全管理策略和安全技術(shù)實(shí)施策略?xún)蓚€(gè)方面：(l)管理策略第3章網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)安全系統(tǒng)需要人來(lái)執(zhí)行，即使是最好的、最值得信賴(lài)的系統(tǒng)安全措施，也不能完全由計(jì)算機(jī)系統(tǒng)來(lái)完全承擔(dān)安全保證任務(wù)，因此必須建立完備的安全組織和管理制度。(2)技術(shù)策略技術(shù)策略要針對(duì)網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫(kù)、信息共享授權(quán)提出具體的措施。安全管理原則計(jì)算機(jī)信息系統(tǒng)的安全管理主要基于三個(gè)原則。1.多人負(fù)責(zé)原則每項(xiàng)與安全有關(guān)的活動(dòng)都必須有兩人或多人在場(chǎng)。這些人應(yīng)是系統(tǒng)主管領(lǐng)導(dǎo)指派的，應(yīng)忠誠(chéng)可靠，能勝任此項(xiàng)工作。2.任期有限原則一般地講，任何人最好不要長(zhǎng)期擔(dān)任與安全有關(guān)的職務(wù)，以免誤認(rèn)為這個(gè)職務(wù)是專(zhuān)有的或永久性的。3.職責(zé)分離原則除非系統(tǒng)主管領(lǐng)導(dǎo)批準(zhǔn)，在信息處理系統(tǒng)工作的人員不要打聽(tīng)、了解或參與職責(zé)以外、與安全有關(guān)的任何事情。安全管理的實(shí)現(xiàn)信息系統(tǒng)的安全管理部門(mén)應(yīng)根據(jù)管理原則和該系統(tǒng)處理數(shù)據(jù)的保密性，制訂相應(yīng)的管理制度或采用相應(yīng)規(guī)范，其具體工作是：1、確定該系統(tǒng)的安全等級(jí)。根據(jù)確定的安全等級(jí)，確定安全管理的范圍。2、制訂相應(yīng)的機(jī)房出入管理制度。對(duì)安全等級(jí)要求較高的系統(tǒng)，要實(shí)行分區(qū)控制，限制工作人員出入與己無(wú)關(guān)的區(qū)域。3、制訂嚴(yán)格的操作規(guī)程。操作規(guī)程要根據(jù)職責(zé)分離和多人負(fù)責(zé)的原則，各負(fù)其責(zé)，不能超越自己的管轄范圍。4、制訂完備的系統(tǒng)維護(hù)制度。維護(hù)時(shí)，要首先經(jīng)主管部門(mén)批準(zhǔn)，并有安全管理人員在場(chǎng)，故障原因、維護(hù)內(nèi)容和維護(hù)前后的情況要詳細(xì)記錄。5、制訂應(yīng)急措施。要制訂在緊急情況下，系統(tǒng)如何盡快恢復(fù)的應(yīng)急措施，使損失減至最小。6、建立人員雇用和解聘制度，對(duì)工作調(diào)動(dòng)和離職人員要及時(shí)調(diào)整相應(yīng)的授第3章網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)權(quán)。安全系統(tǒng)需要由人來(lái)計(jì)劃和管理，任何系統(tǒng)安全設(shè)施也不能完全由計(jì)算機(jī)系統(tǒng)獨(dú)立承擔(dān)系統(tǒng)安全保障的任務(wù)。一方面，各級(jí)領(lǐng)導(dǎo)一定要高度重視并積極支持有關(guān)系統(tǒng)安全方面的各項(xiàng)措施[14]。其次，對(duì)各級(jí)用戶(hù)的培訓(xùn)也十分重要，只有當(dāng)用戶(hù)對(duì)網(wǎng)絡(luò)安全性有了深入了解后，才能降低網(wǎng)絡(luò)信息系統(tǒng)的安全風(fēng)險(xiǎn)?？傊?，制定系統(tǒng)安全策略、安裝網(wǎng)絡(luò)安全系統(tǒng)只是網(wǎng)絡(luò)系統(tǒng)安全性實(shí)施的第一步，只有當(dāng)各級(jí)組織機(jī)構(gòu)均嚴(yán)格執(zhí)行網(wǎng)絡(luò)安全的各項(xiàng)規(guī)定，認(rèn)真維護(hù)各自負(fù)責(zé)的分系統(tǒng)的網(wǎng)絡(luò)安全性，才能保證整個(gè)系統(tǒng)網(wǎng)絡(luò)的整體安全性。網(wǎng)絡(luò)安全設(shè)計(jì)由于網(wǎng)絡(luò)的互連是在鏈路層、網(wǎng)絡(luò)層、傳輸層、應(yīng)用層不同協(xié)議層來(lái)實(shí)現(xiàn)，各個(gè)層的功能特性和安全特性也不同，因而其網(wǎng)絡(luò)安全措施也不相同[15]。物理層安全涉及傳輸介質(zhì)的安全特性，抗干擾、防竊聽(tīng)將是物理層安全措施制定的重點(diǎn)。在鏈路層，通過(guò)“橋”這一互連設(shè)備的監(jiān)視和控制作用，使我們可以建立一定程度的虛擬局域網(wǎng)，對(duì)物理和邏輯網(wǎng)段進(jìn)行有效的分割和隔離，消除不同安全級(jí)別邏輯網(wǎng)段間的竊聽(tīng)可能。在網(wǎng)絡(luò)層，可通過(guò)對(duì)路由器的路由表控制和對(duì)不同子網(wǎng)的定義來(lái)限制子網(wǎng)間的接點(diǎn)通信，通過(guò)對(duì)主機(jī)路由表的控制來(lái)控制與之直接通信的節(jié)點(diǎn)。同時(shí)，利用網(wǎng)關(guān)的安全控制能力，可以限制節(jié)點(diǎn)的通信、應(yīng)用服務(wù)，并加強(qiáng)外部用戶(hù)識(shí)別和驗(yàn)證能力。對(duì)網(wǎng)絡(luò)進(jìn)行級(jí)別劃分與控制，網(wǎng)絡(luò)級(jí)別的劃分大致包括外網(wǎng)與內(nèi)網(wǎng)等，其中internet外網(wǎng)的接口要采用專(zhuān)用防火墻，各網(wǎng)絡(luò)級(jí)別的接口利用物理隔離設(shè)備、防火墻、安全郵件服務(wù)器、路由器的可控路由表、安全撥號(hào)驗(yàn)證服務(wù)器和安全級(jí)別較高的操作系統(tǒng)。增強(qiáng)網(wǎng)絡(luò)互連的分割和過(guò)濾控制，也可以大大提高安全保密性。3.3設(shè)計(jì)依據(jù)經(jīng)過(guò)確切了解企業(yè)信息系統(tǒng)需要解決哪些安全問(wèn)題后，校園網(wǎng)網(wǎng)絡(luò)信息系統(tǒng)需要解決如下安全問(wèn)題：1.局域網(wǎng)內(nèi)部的安全問(wèn)題，包括網(wǎng)段的劃分以及Vlan的實(shí)現(xiàn)。2.在連接internet時(shí)，如何在網(wǎng)絡(luò)層實(shí)現(xiàn)安全性。第3章網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)3.應(yīng)用系統(tǒng)如何保證安全性。4.如何防止黑客對(duì)主機(jī)、網(wǎng)絡(luò)、服務(wù)器等的入侵。5.如何實(shí)現(xiàn)廣域網(wǎng)信息傳輸?shù)陌踩Ｃ苄浴?.如何實(shí)現(xiàn)遠(yuǎn)程訪問(wèn)的安全性。7.如何評(píng)價(jià)網(wǎng)絡(luò)系統(tǒng)的整體安全性。8.加密系統(tǒng)如何布置，包括建立證書(shū)管理中心、應(yīng)用系統(tǒng)集成加密等?；谶@些安全問(wèn)題的提出，網(wǎng)絡(luò)信息系統(tǒng)一般應(yīng)包括如下安全機(jī)制：訪問(wèn)控制、加密通信、安全檢測(cè)、攻擊監(jiān)控、認(rèn)證、隱藏網(wǎng)絡(luò)內(nèi)部信息等。第4章安全產(chǎn)品的配置與應(yīng)用防病毒及特洛伊木馬軟件為了實(shí)現(xiàn)在整個(gè)局域網(wǎng)內(nèi)杜絕病毒的感染、傳播和發(fā)作，我們應(yīng)該在整個(gè)網(wǎng)絡(luò)內(nèi)可能感染和傳播病毒的地方采取相應(yīng)的防病毒手段。同時(shí)為了有效、快捷地實(shí)施和管理整個(gè)網(wǎng)絡(luò)的防病毒體系，應(yīng)能實(shí)現(xiàn)遠(yuǎn)程安裝、智能升級(jí)、遠(yuǎn)程報(bào)警、集中管理、分布查殺病毒等多種功能。網(wǎng)絡(luò)采用上機(jī)機(jī)房與辦公區(qū)相分離的結(jié)構(gòu)。1、不使用盜版或來(lái)歷不明的軟件，特別不能使用盜版的殺毒軟件。2、寫(xiě)保護(hù)所有系統(tǒng)盤(pán)，絕不把用戶(hù)數(shù)據(jù)寫(xiě)到系統(tǒng)盤(pán)上。3、安裝真正有效的防毒軟件，并經(jīng)常進(jìn)行升級(jí)。4、對(duì)外來(lái)程序要使用盡可能多的查毒軟件進(jìn)行檢查（包括從硬盤(pán)、軟盤(pán)、局域網(wǎng)、Internet、Email中獲得的程序），未經(jīng)檢查的可執(zhí)行文件不能拷入硬盤(pán)，更不能使用。5、盡量不要使用軟盤(pán)啟動(dòng)計(jì)算機(jī)。6、一定要將硬盤(pán)引導(dǎo)區(qū)和主引導(dǎo)扇區(qū)備份下來(lái)并經(jīng)常對(duì)重要數(shù)據(jù)進(jìn)行備份，防患于未然。7、隨時(shí)注意計(jì)算機(jī)的各種異?，F(xiàn)象（如速度變慢、出現(xiàn)奇怪的文件、文件尺寸發(fā)生變化、內(nèi)存減少等），一旦發(fā)現(xiàn)，應(yīng)立即用殺毒軟件仔細(xì)檢查。8、對(duì)于軟盤(pán)，光盤(pán)傳染的病毒，預(yù)防的方法就是不要隨便打開(kāi)程序或安裝軟件?？梢韵葟?fù)制到硬盤(pán)上，接著用殺毒軟件檢查一遍，再執(zhí)行安裝或打開(kāi)命令。平時(shí)的積極預(yù)防，定期的查毒，殺毒。在病毒和反病毒技術(shù)的較量過(guò)程中，病毒總是領(lǐng)先一步，先有病毒，然后有反病毒。新的病毒層出不窮，而老的，舊的殺毒軟件在新的病毒面前可能束手無(wú)策。好在目前大多殺毒軟件都提供了讓用戶(hù)自己升級(jí)的能力，這樣就要多多的留心收集報(bào)刊，雜志中的反病毒公告，。如果有條件，最好多準(zhǔn)備幾種殺毒軟件，進(jìn)行交叉殺毒。還有就是平時(shí)留心病毒的發(fā)展動(dòng)態(tài)，譬如目前流行的CIH病毒，知道了它的發(fā)作條件是每月的二十六日，那么在不能確定自己的電腦是否被CIH病毒感染的時(shí)候，最簡(jiǎn)單的做法就是每月的二十六日不用機(jī)器，或通過(guò)更改電腦的日期跳過(guò)二十六日這一天。想要知道自己的計(jì)算機(jī)中是否染有病毒，最簡(jiǎn)單的方法是實(shí)用較新的反病毒軟件對(duì)磁盤(pán)進(jìn)行全面的檢測(cè)。病毒之后的解決辦法①在解毒之前，要先備份重要的數(shù)據(jù)文件。②啟動(dòng)反病毒軟件，并對(duì)整個(gè)硬盤(pán)進(jìn)行掃描。③發(fā)現(xiàn)病毒后，我們一般應(yīng)利用反病毒軟件清除文件中的病毒，如果可執(zhí)行文件中的病毒不能被清除，一般應(yīng)將其刪除，然后重新安裝相應(yīng)的應(yīng)用程序。④某些病毒在Windows98狀態(tài)下無(wú)法完全清除（如CIH病毒就是如此），此時(shí)我們應(yīng)采用事先準(zhǔn)備的干凈的系統(tǒng)引導(dǎo)盤(pán)引導(dǎo)系統(tǒng)，然后在DOS下運(yùn)行相關(guān)殺毒軟件進(jìn)行清除?？梢噪S時(shí)隨地防護(hù)任何病毒反病毒軟件是不存在的。隨著各種新病毒的不斷出現(xiàn)，反病毒軟件必須快速升級(jí)才能達(dá)到殺除病毒的目的。具體來(lái)說(shuō)，我們?cè)趯?duì)抗病毒時(shí)需要的是一種安全策略和一個(gè)完善的反病毒系統(tǒng)，用備份作為防病毒的第一道防線，將反病毒軟件作為第二道防線。而及時(shí)升級(jí)反病毒軟件的病毒代碼則是加固第二道防線的唯一方法。4.1.2惡意網(wǎng)站的處理我們經(jīng)常會(huì)遇到IE被修改了，或注冊(cè)表不能打開(kāi)了，開(kāi)機(jī)后IE瘋狂地打開(kāi)窗口等等?？磥?lái)惡意網(wǎng)站流毒不淺。下面我們就來(lái)看看如何與“惡意網(wǎng)站”斗爭(zhēng)到底吧！如何判斷自己是遇到了惡意網(wǎng)站的攻擊，癥狀多種多樣：1.開(kāi)機(jī)自動(dòng)登錄網(wǎng)站。2.啟動(dòng)IE，自動(dòng)登錄網(wǎng)站，無(wú)法修復(fù)主頁(yè)設(shè)置。3.IE不斷打開(kāi)窗口。4.修改[主頁(yè)]按鈕和[搜索]按鈕。5.修改右鍵菜單，甚至屏蔽右鍵菜單。6.更改收藏夾的內(nèi)容。7.安裝自動(dòng)撥號(hào)程序。8.自動(dòng)安裝木馬程序。9.自動(dòng)格式化硬盤(pán)或刪除某個(gè)文件夾中的所有文件。10.更新文件關(guān)聯(lián)和鎖死EXE程序。11.鎖死注冊(cè)表。動(dòng)態(tài)口令身份認(rèn)證方案動(dòng)態(tài)口令身份認(rèn)證具有隨機(jī)性、動(dòng)態(tài)性、一次性、不可逆等特點(diǎn)，不僅保留了靜態(tài)口令方便性的優(yōu)點(diǎn)，而且很好地彌補(bǔ)了靜態(tài)口令存在的各種缺陷。動(dòng)態(tài)口令系統(tǒng)在國(guó)際公開(kāi)的密碼算法基礎(chǔ)上，結(jié)合生成動(dòng)態(tài)口令的特點(diǎn)，加以精心修改，通過(guò)數(shù)十次以上的非線性迭代運(yùn)算，完成時(shí)間參數(shù)與密鑰充分的混合擴(kuò)散。在此基礎(chǔ)上，采用先進(jìn)的身份認(rèn)證及加解密流程、先進(jìn)的密鑰管理方式，從整體上保證了系統(tǒng)的安全性。特點(diǎn)如下：1、動(dòng)態(tài)口令系統(tǒng)的抗截獲攻擊能力在動(dòng)態(tài)口令認(rèn)證系統(tǒng)的設(shè)計(jì)中，每個(gè)正確的動(dòng)態(tài)口令只能使用一次。因此，不用擔(dān)心口令在傳輸認(rèn)證期間被第三方監(jiān)聽(tīng)到。因?yàn)檎_的口令在認(rèn)證服務(wù)器上被認(rèn)證之后，在數(shù)據(jù)庫(kù)中會(huì)有相應(yīng)的日志記錄，這時(shí)即使再有使用這個(gè)正確口令的用戶(hù)提交認(rèn)證，也不能通過(guò)。動(dòng)態(tài)口令系統(tǒng)的這個(gè)特點(diǎn)使得截獲攻擊無(wú)法實(shí)現(xiàn)。2、動(dòng)態(tài)口令系統(tǒng)的抗實(shí)物解剖能力動(dòng)態(tài)口令卡采用了帶加密位的數(shù)據(jù)處理器，防止有人企圖解算法程序從其中讀出，具有很高的抗實(shí)物解剖能力。另外，由于每個(gè)用戶(hù)的密鑰都不相同(在初始化時(shí)隨時(shí)生成)，并且密鑰與同口令計(jì)算有關(guān)的信息存貯在動(dòng)態(tài)RAM中，當(dāng)有人對(duì)其進(jìn)行分析時(shí)，數(shù)據(jù)處理一旦掉電，這些密鑰將消失。即使有人破譯了其中的程序，由于不知道用戶(hù)的密鑰，以及初始化時(shí)間等相關(guān)信息，也無(wú)法正確地計(jì)算出用戶(hù)實(shí)時(shí)的口令。3、動(dòng)態(tài)口令系統(tǒng)的抗窮舉攻擊能力窮舉攻擊是破解口令時(shí)常用的攻擊手段之一。這種攻擊手段的特點(diǎn)就是大量頻繁地對(duì)一個(gè)用戶(hù)的口令進(jìn)行反復(fù)認(rèn)證。針對(duì)這一特點(diǎn)，在動(dòng)態(tài)口令認(rèn)證系統(tǒng)中對(duì)每一個(gè)用戶(hù)在一個(gè)時(shí)段內(nèi)的認(rèn)證結(jié)果設(shè)計(jì)了日志記錄，當(dāng)發(fā)現(xiàn)一個(gè)用戶(hù)的認(rèn)證記錄為多次失敗時(shí)，系統(tǒng)將鎖住這個(gè)用戶(hù)的認(rèn)證行為。這樣也就杜絕了窮舉攻擊的可能性。4、系統(tǒng)的密鑰管理和安全數(shù)據(jù)庫(kù)的加密。系統(tǒng)安全數(shù)據(jù)庫(kù)保存用戶(hù)信息、用戶(hù)密鑰等等，這些敏感數(shù)據(jù)如果泄露，將使第三者獲得合法用戶(hù)的身份，因此是絕對(duì)需要保密的。我們對(duì)安全數(shù)據(jù)庫(kù)均進(jìn)行加密后存放在服務(wù)器上，絕對(duì)不以明碼的形式出現(xiàn)。系統(tǒng)主密鑰存放在系統(tǒng)維護(hù)員的IC卡上，只有掌握系統(tǒng)維護(hù)員的IC卡的人才能對(duì)這些敏感數(shù)據(jù)庫(kù)進(jìn)行操作。因此不掌握系統(tǒng)密鑰的話，即使有機(jī)會(huì)接觸到服務(wù)器，也無(wú)法取得各用戶(hù)密鑰。本網(wǎng)絡(luò)系統(tǒng)采用南京眾力科技生產(chǎn)的VPN動(dòng)態(tài)口令身份認(rèn)證系統(tǒng)。VPN動(dòng)態(tài)口令身份認(rèn)證系統(tǒng)主要由以下幾個(gè)主要模塊組成[18]：認(rèn)證系統(tǒng)管理員界面、帳號(hào)管理服務(wù)器(UAM)、RADIUS認(rèn)證服務(wù)器、NAS(網(wǎng)絡(luò)接入服務(wù)器采用帶VPN功能的防火墻，例如：NOKIAIP380)、ORACLE數(shù)據(jù)庫(kù)管理系統(tǒng)、VPN客戶(hù)端、防火墻管理軟件(例如：NOKIA防火墻軟件CheekPointExpress)。VPN用戶(hù)從頂tenet遠(yuǎn)程訪問(wèn)內(nèi)部網(wǎng)絡(luò)，需要對(duì)用戶(hù)身份進(jìn)行認(rèn)證，允許合法的用戶(hù)訪問(wèn)網(wǎng)絡(luò)，不合法的用戶(hù)不允許訪問(wèn)。密碼通過(guò)遠(yuǎn)程網(wǎng)絡(luò)傳輸有被黑客攔截的危險(xiǎn)，而采用動(dòng)態(tài)口令作為密碼，真正做到一次一密，即每次用戶(hù)通過(guò)身份認(rèn)證后本次密碼立即失效。用戶(hù)下次登錄時(shí)，通過(guò)VPN客戶(hù)端獲得新的密碼，并通過(guò)短信將新密碼發(fā)送給用戶(hù)。圖4.1動(dòng)態(tài)口令身份認(rèn)證系統(tǒng)部署方案圖采用該方案后，在企業(yè)的認(rèn)證系統(tǒng)中能夠?qū)崿F(xiàn)：1、密鑰/時(shí)間雙因素的身份認(rèn)證機(jī)制;2、登錄口令隨時(shí)間變化;3、口令使用次數(shù)和時(shí)效自由控制，有效抵御重播攻擊行為;4、開(kāi)放的應(yīng)用程序接口，與應(yīng)用系統(tǒng)方便集成;5、使用經(jīng)過(guò)國(guó)家認(rèn)可的自主密碼算法，具有優(yōu)秀的安全性;6、提供客戶(hù)端設(shè)備與認(rèn)證服務(wù)器之間的時(shí)間補(bǔ)償機(jī)制，提高系和可用性7、用戶(hù)端設(shè)備設(shè)計(jì)小巧，性能穩(wěn)定，使用方便;8、提供完善靈活的安全事件日志審計(jì)和查詢(xún)功能。避免了靜態(tài)口令中的不足，譬如：1.網(wǎng)絡(luò)數(shù)據(jù)流竊聽(tīng)(Sniffer)2.認(rèn)證信息截取/重放(Reeord/Rplay)4.窮舉嘗試(BruteForee)訪問(wèn)控制：防火墻系統(tǒng)防火墻是一種網(wǎng)絡(luò)安全保障手段,是網(wǎng)絡(luò)通信時(shí)執(zhí)行的一種訪問(wèn)控制尺度,其主要目標(biāo)就是通過(guò)控制入、出一個(gè)網(wǎng)絡(luò)的權(quán)限,并迫使所有的連接都經(jīng)過(guò)這樣的檢查,防止一個(gè)需要保護(hù)的網(wǎng)絡(luò)遭外界因素的干擾和破壞。在邏輯上，防火墻是一個(gè)分離器，一個(gè)限制器，也是一個(gè)分析器，有效地監(jiān)視了內(nèi)部網(wǎng)絡(luò)和Internet之間地任何活動(dòng)，保證了內(nèi)部網(wǎng)絡(luò)地安全；在物理實(shí)現(xiàn)上，防火墻是位于網(wǎng)絡(luò)特殊位置地以組硬件設(shè)備――路由器、計(jì)算機(jī)或其他特制地硬件設(shè)備。防火墻可以是獨(dú)立地系統(tǒng)，也可以在一個(gè)進(jìn)行網(wǎng)絡(luò)互連地路由器上實(shí)現(xiàn)防火墻。用防火墻來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)安全必須考慮防火墻的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)：（1）屏蔽路由器：又稱(chēng)包過(guò)濾防火墻。（2）雙穴主機(jī)：雙穴主機(jī)是包過(guò)濾網(wǎng)關(guān)的一種替代。（3）主機(jī)過(guò)濾結(jié)構(gòu)：這種結(jié)構(gòu)實(shí)際上是包過(guò)濾和代理的結(jié)合。（4）屏蔽子網(wǎng)結(jié)構(gòu)：這種防火墻是雙穴主機(jī)和被屏蔽主機(jī)的變形。根據(jù)防火墻所采用的技術(shù)不同,我們可以將它分為四種基本類(lèi)型:包過(guò)濾型、網(wǎng)絡(luò)地址轉(zhuǎn)換—NAT、代理型和監(jiān)測(cè)型。包過(guò)濾型包過(guò)濾型產(chǎn)品是防火墻的初級(jí)產(chǎn)品,其技術(shù)依據(jù)是網(wǎng)絡(luò)中的分包傳輸技術(shù)。網(wǎng)絡(luò)上的數(shù)據(jù)都是以“包”為單位進(jìn)行傳輸?shù)?數(shù)據(jù)被分割成為一定大小的數(shù)據(jù)包,每一個(gè)數(shù)據(jù)包中都會(huì)包含一些特定信息,如數(shù)據(jù)的源地址、目標(biāo)地址、TCP/UDP源端口和目標(biāo)端口等。防火墻通過(guò)讀取數(shù)據(jù)包中的地址信息來(lái)判斷這些“包”是否來(lái)自可信任的安全站點(diǎn),一旦發(fā)現(xiàn)來(lái)自危險(xiǎn)站點(diǎn)的數(shù)據(jù)包,防火墻便會(huì)將這些數(shù)據(jù)拒之門(mén)外。系統(tǒng)管理員也可以根據(jù)實(shí)際情況靈活制訂判斷規(guī)則。包過(guò)濾技術(shù)的優(yōu)點(diǎn)是簡(jiǎn)單實(shí)用,實(shí)現(xiàn)成本較低,在應(yīng)用環(huán)境比較簡(jiǎn)單的情況下,能夠以較小的代價(jià)在一定程度上保證系統(tǒng)的安全。但包過(guò)濾技術(shù)的缺陷也是明顯的。包過(guò)濾技術(shù)是一種完全基于網(wǎng)絡(luò)層的安全技術(shù),只能根據(jù)數(shù)據(jù)包的來(lái)源、目標(biāo)和端口等網(wǎng)絡(luò)信息進(jìn)行判斷,無(wú)法識(shí)別基于應(yīng)用層的惡意侵入,如惡意的Java小程序以及電子郵件中附帶的病毒。有經(jīng)驗(yàn)的黑客很容易偽造IP地址,騙過(guò)包過(guò)濾型防火墻。4網(wǎng)絡(luò)地址轉(zhuǎn)化—NAT網(wǎng)絡(luò)地址轉(zhuǎn)換是一種用于把IP地址轉(zhuǎn)換成臨時(shí)的、外部的、注冊(cè)的IP地址標(biāo)準(zhǔn)。它允許具有私有IP地址的內(nèi)部網(wǎng)絡(luò)訪問(wèn)因特網(wǎng)。它還意味著用戶(hù)不許要為其網(wǎng)絡(luò)中每一臺(tái)機(jī)器取得注冊(cè)的IP地址。在內(nèi)部網(wǎng)絡(luò)通過(guò)安全網(wǎng)卡訪問(wèn)外部網(wǎng)絡(luò)時(shí)，將產(chǎn)生一個(gè)映射記錄。系統(tǒng)將外出的源地址和源端口映射為一個(gè)偽裝的地址和端口，讓這個(gè)偽裝的地址和端口通過(guò)非安全網(wǎng)卡與外部網(wǎng)絡(luò)連接，這樣對(duì)外就隱藏了真實(shí)的內(nèi)部網(wǎng)絡(luò)地址。在外部網(wǎng)絡(luò)通過(guò)非安全網(wǎng)卡訪問(wèn)內(nèi)部網(wǎng)絡(luò)時(shí)，它并不知道內(nèi)部網(wǎng)絡(luò)的連接情況，而只是通過(guò)一個(gè)開(kāi)放的IP地址和端口來(lái)請(qǐng)求訪問(wèn)。OLM防火墻根據(jù)預(yù)先定義好的映射規(guī)則來(lái)判斷這個(gè)訪問(wèn)是否安全。當(dāng)符合規(guī)則時(shí)，防火墻認(rèn)為訪問(wèn)是安全的，可以接受訪問(wèn)請(qǐng)求，也可以將連接請(qǐng)求映射到不同的內(nèi)部計(jì)算機(jī)中。當(dāng)不符合規(guī)則時(shí)，防火墻認(rèn)為該訪問(wèn)是不安全的，不能被接受，防火墻將屏蔽外部的連接請(qǐng)求。網(wǎng)絡(luò)地址轉(zhuǎn)換的過(guò)程對(duì)于用戶(hù)來(lái)說(shuō)是透明的，不需要用戶(hù)進(jìn)行設(shè)置，用戶(hù)只要進(jìn)行常規(guī)操作即可。4.3.3代理型代理型防火墻也可以被稱(chēng)為代理服務(wù)器,它的安全性要高于包過(guò)濾型產(chǎn)品,并已經(jīng)開(kāi)始向應(yīng)用層發(fā)展。代理服務(wù)器位于客戶(hù)機(jī)與服務(wù)器之間,完全阻擋了二者間的數(shù)據(jù)交流。從客戶(hù)機(jī)來(lái)看,代理服務(wù)器相當(dāng)于一臺(tái)真正的服務(wù)器;而從服務(wù)器來(lái)看,代理服務(wù)器又是一臺(tái)真正的客戶(hù)機(jī)。當(dāng)客戶(hù)機(jī)需要使用服務(wù)器上的數(shù)據(jù)時(shí),首先將數(shù)據(jù)請(qǐng)求發(fā)給代理服務(wù)器,代理服務(wù)器再根據(jù)這一請(qǐng)求向服務(wù)器索取數(shù)據(jù),然后再由代理服務(wù)器將數(shù)據(jù)傳輸給客戶(hù)機(jī)。由于外部系統(tǒng)與內(nèi)部服務(wù)器之間沒(méi)有直接的數(shù)據(jù)通道,外部的惡意侵害也就很難傷害到企業(yè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)。代理型防火墻的優(yōu)點(diǎn)是安全性較高,可以針對(duì)應(yīng)用層進(jìn)行偵測(cè)和掃描,對(duì)付基于應(yīng)用層的侵入和病毒都十分有效。其缺點(diǎn)是對(duì)系統(tǒng)的整體性能有較大的影響,而且代理服務(wù)器必須針對(duì)客戶(hù)機(jī)可能產(chǎn)生的所有應(yīng)用類(lèi)型逐一進(jìn)行設(shè)置,大大增加了系統(tǒng)管理的復(fù)雜性。4.3.4監(jiān)測(cè)型監(jiān)測(cè)型防火墻是新一代的產(chǎn)品,這一技術(shù)實(shí)際已經(jīng)超越了最初的防火墻定義。監(jiān)測(cè)型防火墻能夠?qū)Ω鲗拥臄?shù)據(jù)進(jìn)行主動(dòng)的、實(shí)時(shí)的監(jiān)測(cè),在對(duì)這些數(shù)據(jù)加以分析的基礎(chǔ)上,監(jiān)測(cè)型防火墻能夠有效地判斷出各層中的非法侵入。同時(shí),這種檢測(cè)型防火墻產(chǎn)品一般還帶有分布式探測(cè)器,這些探測(cè)器安置在各種應(yīng)用服務(wù)器和其他網(wǎng)絡(luò)的節(jié)點(diǎn)之中,不僅能夠檢測(cè)來(lái)自網(wǎng)絡(luò)外部的攻擊,同時(shí)對(duì)來(lái)自?xún)?nèi)部的惡意破壞也有極強(qiáng)的防范作用。據(jù)權(quán)威機(jī)構(gòu)統(tǒng)計(jì),在針對(duì)網(wǎng)絡(luò)系統(tǒng)的攻擊中,有相當(dāng)比例的攻擊來(lái)自網(wǎng)絡(luò)內(nèi)部。因此,監(jiān)測(cè)型防火墻不僅超越了傳統(tǒng)防火墻的定義,而且在安全性上也超越了前兩代產(chǎn)品,雖然監(jiān)測(cè)型防火墻安全性上已超越了包過(guò)濾型和代理服務(wù)器型防火墻,但由于監(jiān)測(cè)型防火墻技術(shù)的實(shí)現(xiàn)成本較高,也不易管理,所以目前在實(shí)用中的防火墻產(chǎn)品仍然以第二代代理型產(chǎn)品為主,但在某些方面也已經(jīng)開(kāi)始使用監(jiān)測(cè)型防火墻。基于對(duì)系統(tǒng)成本與安全技術(shù)成本的綜合考慮,用戶(hù)可以選擇性地使用某些監(jiān)測(cè)型技術(shù)。這樣既能夠保證網(wǎng)絡(luò)系統(tǒng)的安全性需求,同時(shí)也能有效地控制安全系統(tǒng)的總擁有成本。實(shí)際上,作為當(dāng)前防火墻產(chǎn)品的主流趨勢(shì),大多數(shù)代理服務(wù)器(也稱(chēng)應(yīng)用網(wǎng)關(guān))也集成了包過(guò)濾技術(shù),這兩種技術(shù)的混合應(yīng)用顯然比單獨(dú)使用具有更大的優(yōu)勢(shì)。由于這種產(chǎn)品是基于應(yīng)用的,應(yīng)用網(wǎng)關(guān)能提供對(duì)協(xié)議的過(guò)濾。例如,它可以過(guò)濾掉FTP連接中的PUT命令,而且通過(guò)代理應(yīng)用,應(yīng)用網(wǎng)關(guān)能夠有效地避免內(nèi)部網(wǎng)絡(luò)的信息外泄。正是由于應(yīng)用網(wǎng)關(guān)的這些特點(diǎn),使得應(yīng)用過(guò)程中的矛盾主要集中在對(duì)多種網(wǎng)絡(luò)應(yīng)用協(xié)議的有效支持和對(duì)網(wǎng)絡(luò)整體性能的影響上。圖4.2防火墻系統(tǒng)部署方案入侵檢測(cè)系統(tǒng)入侵是指任何企圖破壞資源的完整性、機(jī)密性及可用性的活動(dòng)集合。一般而言，入侵包括嘗試性闖入、偽裝攻擊、安全控制系統(tǒng)滲透、泄漏、拒絕服務(wù)，惡意使用六種類(lèi)型。概括的說(shuō)，入侵表示系統(tǒng)發(fā)生了違反系統(tǒng)安全策略的事件。入侵檢測(cè)是指通過(guò)檢查操作系統(tǒng)的審計(jì)數(shù)據(jù)或網(wǎng)絡(luò)數(shù)據(jù)包信息來(lái)檢測(cè)系統(tǒng)中違背安全策略或危機(jī)系統(tǒng)安全的行為或活動(dòng)，從而保護(hù)系統(tǒng)的資源不受攻擊、防止系統(tǒng)數(shù)據(jù)的泄漏、篡改和破壞。入侵檢測(cè)系統(tǒng)是指能夠通過(guò)分析與系統(tǒng)安全相關(guān)的數(shù)據(jù)來(lái)檢測(cè)入侵活動(dòng)的系統(tǒng)，包括入侵檢測(cè)的軟件和硬件的組合[20]。從系統(tǒng)所執(zhí)行的功能上來(lái)考慮，入侵檢測(cè)系統(tǒng)必須包括如下三個(gè)功能部件：提供事件記錄流的數(shù)據(jù)收集部件、發(fā)現(xiàn)入侵跡象的分析引擎和基于分析引擎的結(jié)果產(chǎn)生的響應(yīng)部件?！叭肭謾z測(cè)”是一種網(wǎng)絡(luò)實(shí)時(shí)自動(dòng)攻擊識(shí)別和響應(yīng)系統(tǒng)它通過(guò)多種途徑收集單位內(nèi)部網(wǎng)的主機(jī)和網(wǎng)絡(luò)信息，對(duì)這些信息加以分析，查看網(wǎng)絡(luò)安全體系結(jié)構(gòu)是否存在漏洞，主機(jī)系統(tǒng)和網(wǎng)絡(luò)上是否有入侵事件發(fā)生，如果發(fā)現(xiàn)有入侵事件，自動(dòng)對(duì)這些事件響應(yīng)，同時(shí)給出相應(yīng)提示。企業(yè)辦公部門(mén)比較多，內(nèi)部網(wǎng)根據(jù)部門(mén)劃分不同的子網(wǎng)網(wǎng)段。每個(gè)部門(mén)或子網(wǎng)都有一個(gè)交換機(jī)，設(shè)置網(wǎng)絡(luò)中心，有專(zhuān)門(mén)的網(wǎng)絡(luò)管理員。各個(gè)子網(wǎng)匯總到網(wǎng)絡(luò)中，自連接到高性能服務(wù)器群，高性能服務(wù)器群放置在防火墻的DMZ區(qū)。根據(jù)網(wǎng)絡(luò)流量和保護(hù)數(shù)據(jù)的重要程度，選擇IDS探測(cè)器配置在內(nèi)部關(guān)鍵子網(wǎng)的交換機(jī)處放置，核心交換機(jī)放置控制臺(tái)，監(jiān)控和管理所有的探測(cè)器因此提供了對(duì)內(nèi)部攻擊和誤操作的實(shí)時(shí)保護(hù)，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截和響應(yīng)入侵。圖4.5IDS部署方案圖在企業(yè)安全內(nèi)網(wǎng)中，入侵檢測(cè)系統(tǒng)運(yùn)行于有敏感數(shù)據(jù)的幾個(gè)要害部門(mén)子網(wǎng)和其它部門(mén)子網(wǎng)之間，通過(guò)實(shí)時(shí)截取網(wǎng)絡(luò)上的是數(shù)據(jù)流，分析網(wǎng)絡(luò)通訊會(huì)話軌跡，尋找網(wǎng)絡(luò)攻擊模式和其它網(wǎng)絡(luò)違規(guī)活動(dòng)。當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)攻擊或未授權(quán)訪問(wèn)時(shí)，入侵檢測(cè)可以進(jìn)行如下反應(yīng)：(l)控制臺(tái)報(bào)警。(2)記錄網(wǎng)絡(luò)攻擊事件。(3)實(shí)時(shí)阻斷網(wǎng)絡(luò)連接。(4)入侵檢測(cè)可以過(guò)濾和監(jiān)視TCP/工P協(xié)議。系統(tǒng)管理員通過(guò)配置入侵檢測(cè)，可以按協(xié)議，源端口，目的端口，源工P/目的工P地址過(guò)濾。(5)入侵檢測(cè)還支持用戶(hù)自定義的網(wǎng)絡(luò)安全事件監(jiān)視。(6)入侵檢測(cè)能生成系統(tǒng)安全日志以利于系統(tǒng)安全審計(jì)并以開(kāi)放數(shù)據(jù)庫(kù)方式支持安全分析決策系統(tǒng)，從而為網(wǎng)絡(luò)安全提供有效的保障。漏洞掃描系統(tǒng)網(wǎng)絡(luò)設(shè)備和軟件在設(shè)計(jì)開(kāi)發(fā)過(guò)程中不可避免存在缺陷和漏洞，漏洞隨著時(shí)間推移越來(lái)越多;攻擊者也從傳統(tǒng)上的黑客高手，變成初學(xué)者用自動(dòng)程序來(lái)完成攻擊，這些都導(dǎo)致黑客攻擊越來(lái)越容易實(shí)現(xiàn)，威脅程度越來(lái)越高。由于網(wǎng)絡(luò)本身及應(yīng)用系統(tǒng)的復(fù)雜性，網(wǎng)絡(luò)管理員失去了對(duì)網(wǎng)絡(luò)資源的精確控制。采用網(wǎng)絡(luò)漏洞掃描器對(duì)存在的安全隱患進(jìn)行檢查，幫助管理員找出解決的方法。企業(yè)內(nèi)網(wǎng)網(wǎng)絡(luò)的安全性決定了整個(gè)系統(tǒng)的安全性。在企業(yè)內(nèi)網(wǎng)高性能服務(wù)器處配置網(wǎng)絡(luò)隱患掃描聯(lián)動(dòng)型產(chǎn)品。聯(lián)動(dòng)型適用于企業(yè)內(nèi)網(wǎng)這樣的高端用戶(hù)，聯(lián)動(dòng)型掃描系統(tǒng)包括掃描服務(wù)器和移動(dòng)掃描儀。掃描服務(wù)器部署于網(wǎng)絡(luò)中心，高速高效且穩(wěn)定的掃描防護(hù)整體網(wǎng)絡(luò);移動(dòng)掃描儀使用靈活，可以跨越網(wǎng)段、穿透防火墻、主流IDS產(chǎn)品，多種主流聯(lián)動(dòng)協(xié)議Topsee、Opensec聯(lián)動(dòng)，與多種安全管理平臺(tái)兼容，統(tǒng)一安全策略配置，保障全網(wǎng)安全。通過(guò)部署多級(jí)聯(lián)動(dòng)型產(chǎn)品實(shí)現(xiàn)榕基分布式整體安全掃描，網(wǎng)絡(luò)管理人員可以方便的通過(guò)控制掃描器就可以實(shí)現(xiàn)對(duì)多級(jí)管轄區(qū)域的服務(wù)器進(jìn)行統(tǒng)一和及時(shí)管理，實(shí)現(xiàn)對(duì)管轄區(qū)域服務(wù)器，網(wǎng)絡(luò)設(shè)備等的安全性，以保證整體網(wǎng)絡(luò)的安全性，整體可控性、整體安全資源共享。網(wǎng)絡(luò)人員使用聯(lián)動(dòng)型產(chǎn)品，就可以很方便的對(duì)200信息點(diǎn)以上的多個(gè)網(wǎng)絡(luò)進(jìn)行多線程較高的掃描速度的掃描，可以實(shí)現(xiàn)和IDS、防火墻聯(lián)動(dòng)，尤其適合于制定全網(wǎng)統(tǒng)一的安全策略。同時(shí)移動(dòng)式掃描儀可以跨越網(wǎng)段、穿透防火墻，實(shí)現(xiàn)分布式掃描，服務(wù)器和掃描儀都支持定時(shí)和多IP地址的自動(dòng)掃描，網(wǎng)管人員可以很輕松的就可以進(jìn)行整個(gè)網(wǎng)絡(luò)的掃描，根據(jù)系統(tǒng)提供的掃描報(bào)告，配合我們提供的三級(jí)服務(wù)體系，大大的減輕了工作負(fù)擔(dān)，極大的提高了工作效率。通過(guò)部署漏洞掃描的聯(lián)動(dòng)設(shè)備，保障企業(yè)內(nèi)網(wǎng)重要部門(mén)的網(wǎng)絡(luò)安全的同時(shí)，提高每個(gè)部門(mén)的安全性就顯得尤其重要。只有部門(mén)的安全得到保證的前提下，企業(yè)內(nèi)網(wǎng)才能夠安全。我們對(duì)這些部門(mén)進(jìn)行合理的規(guī)劃，可以將這些部門(mén)根據(jù)統(tǒng)一的配置策略，給下屬部門(mén)、網(wǎng)絡(luò)管理應(yīng)用服務(wù)系統(tǒng)配置網(wǎng)絡(luò)聯(lián)動(dòng)掃描系統(tǒng)來(lái)保證各個(gè)部門(mén)的安全性。這樣就可以很方便的管理信息點(diǎn)多、網(wǎng)絡(luò)環(huán)境較固定、與企業(yè)的業(yè)務(wù)應(yīng)用緊密相關(guān)的內(nèi)網(wǎng)中。聯(lián)動(dòng)掃描系統(tǒng)支持多線程掃描，有較高的掃描速度，支持定時(shí)和多IP地址的自動(dòng)掃描，網(wǎng)管人員可以很輕松的對(duì)自己的網(wǎng)絡(luò)進(jìn)行掃描和漏洞的彌補(bǔ)。同時(shí)提供了Web方式的遠(yuǎn)程管理，網(wǎng)管不需要改變?nèi)绾蔚木W(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和添加其他的應(yīng)用程序就可以輕輕松松的保證了網(wǎng)絡(luò)的安全性。另外對(duì)于信息點(diǎn)少、網(wǎng)絡(luò)環(huán)境變化大的內(nèi)網(wǎng)配置網(wǎng)絡(luò)移動(dòng)式掃描儀。移動(dòng)式掃描儀手持式設(shè)計(jì)，使用簡(jiǎn)單、靈活，攜帶方便。隨著網(wǎng)絡(luò)規(guī)模的逐步龐大、復(fù)雜，各個(gè)網(wǎng)絡(luò)之間存在著防火墻、交換機(jī)等過(guò)濾機(jī)制的存在，隱患掃描發(fā)送的數(shù)據(jù)包大部分將被這些設(shè)備過(guò)濾，降低了掃描的時(shí)效性和準(zhǔn)確性。針對(duì)這種分布式的復(fù)雜網(wǎng)絡(luò)，移動(dòng)式掃描儀能夠充分發(fā)揮自身可移動(dòng)的優(yōu)勢(shì)，能夠很好的適應(yīng)這種分布式網(wǎng)絡(luò)掃描，移動(dòng)掃描，隨時(shí)隨處保護(hù)網(wǎng)絡(luò)安全。圖4.6漏洞掃描系統(tǒng)部署方案在防火墻處部署聯(lián)動(dòng)掃描系統(tǒng)，在部門(mén)交換機(jī)處部署移動(dòng)式掃描儀，實(shí)現(xiàn)防火墻、聯(lián)動(dòng)掃描系統(tǒng)和移動(dòng)式掃描儀之間的聯(lián)動(dòng)，保證了網(wǎng)絡(luò)安全隱患掃描儀和其他網(wǎng)絡(luò)安全產(chǎn)品的合作和協(xié)調(diào)性，最大可能的消除安全隱患，盡可能早地發(fā)現(xiàn)安全漏洞并進(jìn)行修補(bǔ)，優(yōu)化資源，提高網(wǎng)絡(luò)的運(yùn)行效率和安全性。第5章安全方案測(cè)試5.1安全管理機(jī)構(gòu)的建設(shè)原則單位安全網(wǎng)內(nèi)網(wǎng)系統(tǒng)安全具有高度的敏感性和特殊性，通過(guò)設(shè)立專(zhuān)門(mén)的主管機(jī)關(guān)強(qiáng)制性執(zhí)行上述國(guó)家相關(guān)法規(guī)來(lái)進(jìn)行管理。信息安全管理機(jī)構(gòu)的職能建設(shè)遵照從上至下的垂直管理原則，即：上級(jí)機(jī)關(guān)信息安全管理機(jī)構(gòu)指導(dǎo)下一級(jí)機(jī)關(guān)信息系統(tǒng)安全管理機(jī)構(gòu)的工作原則：下一級(jí)機(jī)關(guān)信息系統(tǒng)的安全管理機(jī)構(gòu)接受并執(zhí)行上一級(jí)機(jī)關(guān)信息系統(tǒng)安全管理機(jī)構(gòu)的安全策略;信息系統(tǒng)的安全管理機(jī)構(gòu)，不隸屬于同級(jí)信息系統(tǒng)管理和業(yè)務(wù)機(jī)構(gòu)。信息系統(tǒng)安全管理機(jī)構(gòu)由系統(tǒng)管理、系統(tǒng)分析、軟件硬件、安全保衛(wèi)、系統(tǒng)稽核、人事、通信等有關(guān)方面的人員組成。能建設(shè)遵照從上至下的垂直管理原則，即：上級(jí)機(jī)關(guān)信息安全管理機(jī)構(gòu)指導(dǎo)下一級(jí)機(jī)關(guān)信息系統(tǒng)安全管理機(jī)構(gòu)的工作原則：下一級(jí)機(jī)關(guān)信息系統(tǒng)的安全管理機(jī)構(gòu)接受并執(zhí)行上一級(jí)機(jī)關(guān)信息系統(tǒng)安全管理機(jī)構(gòu)的安全策略;信息系統(tǒng)的安全管理機(jī)構(gòu)，不隸屬于同級(jí)信息系統(tǒng)管理和業(yè)務(wù)機(jī)構(gòu)。信息系統(tǒng)安全管理機(jī)構(gòu)由系統(tǒng)管理、系統(tǒng)分析、軟件硬件、安全保衛(wèi)、系統(tǒng)稽核、人事、通信等有關(guān)方面的人員組成。5.2網(wǎng)絡(luò)安全方案測(cè) 隨著網(wǎng)絡(luò)應(yīng)用的深入普及，網(wǎng)絡(luò)安全越來(lái)越重要，國(guó)家和企業(yè)都對(duì)建立一個(gè)安全的網(wǎng)絡(luò)有了更高的要求。鑒于國(guó)家和各單位領(lǐng)導(dǎo)的重視，涉及信息安全的經(jīng)費(fèi)逐年增加，但是信息安全并不是在市場(chǎng)上所有安全產(chǎn)品的堆疊，因?yàn)檫@種堆疊不僅會(huì)在經(jīng)濟(jì)造成極大的浪費(fèi)、在人力上造成非常大浪費(fèi)，更重要的是它沒(méi)有達(dá)到防護(hù)的效果，因此完善的計(jì)算機(jī)網(wǎng)絡(luò)安全方案就顯得十分重要。一個(gè)特定的系統(tǒng)網(wǎng)絡(luò)安全方案，應(yīng)建立在對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)分析的基礎(chǔ)上，結(jié)合系統(tǒng)實(shí)際的應(yīng)用而做。由于各個(gè)系統(tǒng)的應(yīng)用不同，不能簡(jiǎn)單地把信息系統(tǒng)的網(wǎng)絡(luò)安全方案固定為一個(gè)模式，用這個(gè)模式去套所有的網(wǎng)絡(luò)系統(tǒng)。本系統(tǒng)通過(guò)網(wǎng)絡(luò)的連通性測(cè)試、各應(yīng)用系統(tǒng)功能的實(shí)現(xiàn)測(cè)試、網(wǎng)絡(luò)管理功能的實(shí)現(xiàn)測(cè)試、實(shí)際數(shù)據(jù)傳輸?shù)臏y(cè)試均達(dá)到網(wǎng)絡(luò)管理的需求5.3展望本文實(shí)際上重點(diǎn)討論了對(duì)非授權(quán)用戶(hù)非法訪問(wèn)網(wǎng)絡(luò)信息的保護(hù)方法，這是和外界物理隔離的保密網(wǎng)絡(luò)現(xiàn)階段遇到的最為主要問(wèn)題。系統(tǒng)管理人員應(yīng)該清楚在自己的系統(tǒng)上所注冊(cè)的合法用戶(hù)究竟都有哪些;他們各自的權(quán)限又在哪兒。其次詳細(xì)討論了針對(duì)計(jì)算機(jī)操作系統(tǒng)普遍存在的安全漏洞對(duì)用戶(hù)計(jì)算機(jī)的威脅，以及采取哪些防護(hù)手段。由于時(shí)間、精力的有限以及技術(shù)方面的不足，本文還存在著許多需要進(jìn)一步加以完善的工作：1.本文做的工作對(duì)企業(yè)網(wǎng)絡(luò)安全系統(tǒng)中的幾個(gè)模塊進(jìn)行了詳細(xì)的分析和設(shè)計(jì)。2.本文對(duì)方案具體實(shí)施效果沒(méi)提及，對(duì)于這方面的應(yīng)用要進(jìn)行深入研究。3.在該方案開(kāi)發(fā)完成后需要和所有其它的應(yīng)用系統(tǒng)整合，這樣才能滿(mǎn)足安全統(tǒng)建設(shè)的需求。4.雖然給出了方案的設(shè)計(jì)，但其合理性和適用性還有待研究。參考文獻(xiàn)[1]孫立民,韓慧蓮.入侵檢測(cè)技術(shù)綜述[J].機(jī)械管理開(kāi)發(fā),2007,(01)[2]薛開(kāi)平,洪佩琳,李津生.防火墻與入侵檢測(cè)系統(tǒng)的自動(dòng)協(xié)同[J].安徽電子信息職業(yè)技術(shù)學(xué)院學(xué)報(bào),2005,(02)[3]鹿建銀.認(rèn)識(shí)入侵檢測(cè)系統(tǒng)IDS[J].消費(fèi)導(dǎo)刊,2008,(09)[4]馮景林.網(wǎng)絡(luò)防火墻的安全技術(shù)[J].科技信息(科學(xué)教研),2007,(13)[5]張徐娟,李建民.防火墻與入侵檢測(cè)系統(tǒng)結(jié)合的安全模型設(shè)計(jì)[J].計(jì)算機(jī)與現(xiàn)代化,2006,(07)[6]那罡.入侵檢測(cè)系統(tǒng)未“死”[J].中國(guó)計(jì)算機(jī)用戶(hù),2006,(36)[7]金雪花.淺析網(wǎng)絡(luò)安全技術(shù)[J].中國(guó)科技信息,2007,(05)[8]科技辭典[J].天津科技,2005,(03)[9]梁羽.基于NIDS的立體防御系統(tǒng)方案設(shè)計(jì)與探討[J].民營(yíng)科技,2008,(05)[10]張琳,黃仙姣.淺談網(wǎng)絡(luò)安全技術(shù)[J].電腦知識(shí)與技術(shù)(學(xué)術(shù)交流),2006,(11)[13]楊樺.礦業(yè)權(quán)評(píng)估系統(tǒng)的研究與開(kāi)發(fā)[D].中國(guó)優(yōu)秀碩士學(xué)位論文全文數(shù)據(jù)庫(kù),2009,(10)[14]王明虎.基于信息網(wǎng)格的決策支持系統(tǒng)研究[D].中國(guó)優(yōu)秀博碩士學(xué)位論文全文數(shù)據(jù)庫(kù)(碩士),2005,(05)致謝本文是在孫老師的悉心指導(dǎo)下完成的，從文獻(xiàn)的查閱、論文的選題、撰寫(xiě)、修改、定稿，我的每一步進(jìn)步都和孫老師的關(guān)注與知道密不可分。孫老師在研究方向、資料的收集、論文的選題、研究工作的開(kāi)展以及論文的最終定稿，給予我巨大、無(wú)私的幫助。論文字里行間無(wú)不凝聚著老師的悉心指導(dǎo)和淳淳教誨，老師的淵博的學(xué)識(shí)和嚴(yán)謹(jǐn)?shù)闹螌W(xué)態(tài)度給我留下了深刻的印象，我從他那里學(xué)到的不僅僅是專(zhuān)業(yè)知識(shí)，更重要的是嚴(yán)謹(jǐn)?shù)闹螌W(xué)態(tài)度、對(duì)事業(yè)忘我的追求、高度的使命感、責(zé)任感和熱情的品質(zhì)，這些將使我受益一生，并將激勵(lì)我不斷向前奮進(jìn)。最后，向所有幫助和和關(guān)心我的老師和朋友，表示我真摯的感謝！HYPERLINK"://action.utops.cc/click.jsp?adsId=146&adsLeagueId=5&adsUserId=1&siteId=54&siteLeagueId=5&siteUserId=24&scId=3&adsType=2&prices=1.11&checkCode=68fd88fd6b&click=1&url=%3A//totole&v=0&keyword=%u7ECF%u5178&s=%3A///Article/719/sho