企業(yè)網(wǎng)絡(luò)系統(tǒng)防火墻應(yīng)用方案

企業(yè)網(wǎng)絡(luò)系統(tǒng)防火墻應(yīng)用方案貝安科技20238..名目\l“_TOC_250009“前言 3\l“_TOC_250008“企業(yè)網(wǎng)絡(luò)系統(tǒng)概述 3\l“_TOC_250007“安全需求分析 5\l“_TOC_250006“風(fēng)險(xiǎn)分析 5\l“_TOC_250005“安全需求 6\l“_TOC_250004“基于網(wǎng)絡(luò)衛(wèi)士防火墻的企業(yè)網(wǎng)安全方案 7\l“_TOC_250003“網(wǎng)絡(luò)衛(wèi)士防火墻在企業(yè)網(wǎng)中的位置 7\l“_TOC_250002“網(wǎng)絡(luò)衛(wèi)士防火墻在企業(yè)網(wǎng)中的作用 9\l“_TOC_250001“網(wǎng)絡(luò)衛(wèi)士防火墻典型配置策略 13\l“_TOC_250000“企業(yè)網(wǎng)建設(shè)的其它安全考慮 13前言InternetInternet事業(yè)單位信息化安康進(jìn)展所要考慮的重要事情之一。企業(yè)網(wǎng)絡(luò)系統(tǒng)概述作為企業(yè)，其網(wǎng)絡(luò)系統(tǒng)的建設(shè)除了要滿足企業(yè)部工作人員訪問Internet和企業(yè)部相關(guān)部門的互訪外，還必需能夠使公眾通過INTRNET訪問企業(yè)網(wǎng)，查詢〔如財(cái)務(wù)部門或研發(fā)部門〕劃分到同一虛擬網(wǎng)，使未被授權(quán)的人員不能訪問其部門的信息。與升級(jí)，這就要求我們所選的網(wǎng)絡(luò)產(chǎn)品以及安全產(chǎn)品在當(dāng)今應(yīng)處于業(yè)界領(lǐng)先地位，且易于升級(jí)和留有擴(kuò)大容量。戶的進(jìn)入。DDN業(yè)核心網(wǎng)連接，安全問題也是格外重要的。LANLANInternetLAN路由器WAN/HUBWWW、DNS、MAIL/PROXYServerLAN安全需求分析建立網(wǎng)絡(luò)安全策略的一個(gè)重要要素是確保投入安全保護(hù)與維護(hù)上的代價(jià)得解決方案。風(fēng)險(xiǎn)分析風(fēng)險(xiǎn)分析的一個(gè)步驟是判定需要保護(hù)的全部資源，特別是受安全問題影響序、操作系統(tǒng)等軟件；在線存儲(chǔ)、傳輸、及備份數(shù)據(jù)；等等。針對(duì)上述的企業(yè)網(wǎng)絡(luò)系統(tǒng)，尚未建立系統(tǒng)的安全防護(hù)體制，存在著明顯的安全威逼。全網(wǎng)易受入侵，特別是對(duì)外供給效勞的公開效勞器如WWW效勞器等，使用安全的訪問把握系統(tǒng)。系統(tǒng)的認(rèn)證強(qiáng)度低。首先，整個(gè)網(wǎng)絡(luò)部用戶及合法的外部用戶均擁有假設(shè)通過簡(jiǎn)潔靜態(tài)的通行字進(jìn)展身份鑒別，一旦身份鑒別通過，用戶即可訪問整個(gè)網(wǎng)絡(luò)。侵襲者可以通過三種方式很簡(jiǎn)潔地獵取通行字：一是部的治理人員因安全治理不當(dāng)而造成泄密；二是通過在公用網(wǎng)上搭線竊取通行字；三是通過假冒，植入嗅探程序，截獲通行字。侵襲者一旦把握了通行字，即可在任何地方通過網(wǎng)絡(luò)訪問全網(wǎng)，并可能造成不行估量的損失。INTERNET公用網(wǎng)絡(luò)〔如X.25、FR、PSTN〕與企業(yè)中心部網(wǎng)建立連接，全部線路〔甚至是涉密信息，如有關(guān)企業(yè)商務(wù)數(shù)據(jù)信息竊取和篡改，造成泄密。TCP/IPIP效勞或應(yīng)用系統(tǒng)，竊取甚至篡改有關(guān)信息，乃至?xí)茐恼麄€(gè)網(wǎng)絡(luò)。造成格外嚴(yán)峻的影響和損失。線索及破案依據(jù)，即缺乏對(duì)網(wǎng)絡(luò)的可控性與可審查性。安全需求精準(zhǔn)了解網(wǎng)絡(luò)信息系統(tǒng)需要解決哪些安全問題是建立合理安全需求的基企業(yè)中心局域網(wǎng)部的安全問題，包括安全域的劃分以及VLAN的實(shí)現(xiàn)WAN〕如何實(shí)現(xiàn)安全性，包括網(wǎng)絡(luò)的隔離與相互訪問把握應(yīng)用系統(tǒng)如何保證安全性如何防止黑客對(duì)網(wǎng)絡(luò)、主機(jī)、效勞器等的入侵如何實(shí)現(xiàn)數(shù)據(jù)庫(kù)與個(gè)人終端的安全跨公共網(wǎng)絡(luò)進(jìn)展信息傳輸?shù)陌踩?.基于網(wǎng)絡(luò)衛(wèi)士防火墻的企業(yè)網(wǎng)安全方案Internet的進(jìn)展給企業(yè)帶來(lái)了革命性的改革和開放。他們正努力通過利用Internet，Internet挑戰(zhàn)和危急：即客戶、銷售商、移動(dòng)用戶、異地員工此企業(yè)必需加筑安全的“戰(zhàn)壕“，而這個(gè)“戰(zhàn)壕“就是防火墻。防火墻技術(shù)是建立在現(xiàn)代通信網(wǎng)絡(luò)技術(shù)和信息安全技術(shù)根底上的應(yīng)用性安Internet網(wǎng)絡(luò)衛(wèi)士防火墻在企業(yè)網(wǎng)中的位置防火墻是指設(shè)置在不同網(wǎng)絡(luò)〔如可信任的企業(yè)部網(wǎng)和不行信的公共網(wǎng)〕或〔出入網(wǎng)絡(luò)的信息流，根底設(shè)施。InternetInternet防火墻安裝于邊界路..由器與部網(wǎng)之間，通常防火墻有兩個(gè)端口〔即兩塊物理網(wǎng)卡外部路由器，另以端口接部網(wǎng)〔如接部路由器、交換機(jī)等。為適應(yīng)越來(lái)越多的用戶向Internet上供給效勞時(shí)對(duì)效勞器保護(hù)的需要，網(wǎng)〔根本配置有三個(gè)接口承受分別保護(hù)的策略對(duì)用戶上網(wǎng)的對(duì)外效勞器既是部網(wǎng)的一部份，又與部網(wǎng)關(guān)完全隔離。這就是安全效勞器網(wǎng)絡(luò)〔SSN〕技術(shù)，對(duì)SSNFTP、Telnet網(wǎng)上治理。LANInternetLAN路由器WAN防火墻WWW、DNS、MAIL/PROXYServerLAN網(wǎng)絡(luò)衛(wèi)士防火墻在企業(yè)網(wǎng)中的作用實(shí)現(xiàn)企業(yè)部局域網(wǎng)與INTERNET之間的隔離與相互訪問把握如承受如下訪問把握安全策略：允許部那些主機(jī)〔基于IP地址〕訪問INTERNET；不容許部那些主機(jī)〔基于IP〕訪問INTERNET；允許部那些用戶〔基于一次性強(qiáng)口令認(rèn)證〕訪問INTERNET，而不受主機(jī)IPINTERNET〔WWW、FTP、SMTP，而不允許INTERNETINTERNET部網(wǎng)。實(shí)現(xiàn)對(duì)部網(wǎng)各網(wǎng)段之間的訪問把握造成的影響。訪問把握。防火墻的每一個(gè)接口代表一塊物理網(wǎng)卡，每塊物理網(wǎng)卡可重載十個(gè)虛擬網(wǎng)理十一個(gè)子網(wǎng)，極擴(kuò)展了設(shè)備的功能〔如不必再使用專用的部防火墻。實(shí)現(xiàn)對(duì)公開效勞器的安全保護(hù)網(wǎng)絡(luò)衛(wèi)士防火墻系統(tǒng)承受SSN方式實(shí)現(xiàn)對(duì)公開效勞器的安全保護(hù)。SSN的方法供給的安全性要比傳統(tǒng)的“隔離區(qū)DMZ”方法好得多，由于SSN之間有防火墻保護(hù)，SSNDMZDMZ另外，利用網(wǎng)絡(luò)衛(wèi)士防火墻的應(yīng)用安全把握功能，可以實(shí)現(xiàn)URL阻斷及、FTPWWWURL、名目文件等，同時(shí)把握用戶的操作〔如GETPUT非法修改等。IP了。實(shí)現(xiàn)對(duì)遠(yuǎn)程移動(dòng)用戶的安全認(rèn)證與訪問權(quán)限把握Internet防火墻訪問部網(wǎng)絡(luò)。入網(wǎng)絡(luò)，從而保證網(wǎng)絡(luò)系統(tǒng)的可用性。一次性口令用戶認(rèn)證的根本過程是：首先用戶向防火墻發(fā)送身份認(rèn)證懇求口令與部網(wǎng)建立連接。另外，網(wǎng)絡(luò)衛(wèi)士防火墻系統(tǒng)可以依據(jù)企業(yè)安全策略，將一次性口令認(rèn)證與用來(lái)把握部網(wǎng)絡(luò)用戶的對(duì)外訪問。代理部用戶訪問INTERNETNATIPIP，強(qiáng)化了部網(wǎng)的安全。IPIPMACIP地IP與其物理網(wǎng)卡捆綁，這樣其他部機(jī)器就不行能使用它的IP。實(shí)現(xiàn)對(duì)專線資源的流量治理與把握FTP使用網(wǎng)絡(luò)。對(duì)于專線用戶，這個(gè)問題特別嚴(yán)峻。資源的不正常消耗，有效地治理專線資源，從而使網(wǎng)絡(luò)得到充分利用。防攻擊與入侵檢測(cè)網(wǎng)絡(luò)衛(wèi)士防火墻系統(tǒng)承受多種手段或方式防止攻擊行為并實(shí)現(xiàn)對(duì)入侵的檢測(cè)：網(wǎng)絡(luò)衛(wèi)士防火墻承受專用安全操作系統(tǒng)，安全級(jí)別高。網(wǎng)絡(luò)衛(wèi)士防火墻承受無(wú)IP地址技術(shù)，使攻擊者找不到攻擊目標(biāo)。IP擊、抗微小碎片攻擊等。〔防IP地址哄騙數(shù)據(jù)包的IPIP攻擊檢測(cè)功能：網(wǎng)絡(luò)衛(wèi)士防火墻系統(tǒng)可以檢測(cè)到對(duì)網(wǎng)絡(luò)或部主機(jī)的全部TCP/UDP掃描以及多種拒絕效勞攻擊，如SynFlooding攻擊、LandofAttack攻擊、Pingof Dead攻擊等。掃描和多種攻擊進(jìn)展實(shí)時(shí)響應(yīng)。安全記錄與審計(jì)用狀況。清楚防火墻是否能夠抵抗攻擊者的探測(cè)和攻擊，并且清楚防火墻的把握是否充分。而網(wǎng)絡(luò)使用統(tǒng)計(jì)對(duì)網(wǎng)絡(luò)需求分析和威逼分析等而言也是格外重要的。網(wǎng)絡(luò)衛(wèi)士防火墻典型配置策略INTERNETPINGWWW效勞器SSNWWW允許SSN區(qū)的其他工作站訪問外部網(wǎng)絡(luò)WWW：WWW、DNS、POP3、SMTP允許部網(wǎng)絡(luò)訪問WWW效勞器的效勞：FTP、TELNET訪問制止外部網(wǎng)絡(luò)訪問部網(wǎng)絡(luò)允許部網(wǎng)絡(luò)訪問INTERNET設(shè)置防黑客或入侵檢測(cè)的圍開放一些一次性口令認(rèn)證用戶并設(shè)置其訪問權(quán)限等等。企業(yè)網(wǎng)建設(shè)的其它安全考慮網(wǎng)絡(luò)防病毒對(duì)于計(jì)算機(jī)病毒的防，是一項(xiàng)常常性的安全工作，在規(guī)劃一個(gè)網(wǎng)絡(luò)信息系統(tǒng)毒相結(jié)合的安全策略。目前常用的幾種加密方法：FR〕實(shí)現(xiàn)。應(yīng)當(dāng)指出，承受鏈路加密會(huì)對(duì)網(wǎng)絡(luò)擴(kuò)展與升級(jí)帶來(lái)系列問題，由于一般狀況下，網(wǎng)絡(luò)設(shè)備與鏈路加密設(shè)備是配套使用的，當(dāng)網(wǎng)絡(luò)升級(jí)、