中小型企业网络安全规划与设计文档格式.docx

中小型企业网络安全规划与设计文档格式.docx

《中小型企业网络安全规划与设计文档格式.docx》由会员分享，可在线阅读，更多相关《中小型企业网络安全规划与设计文档格式.docx（21页珍藏版）》请在冰豆网上搜索。

networksecurity

第1章绪论

国内中小企业信息化已经得到了迅速的发展，而且发挥着越来越重要的作用，由于受资金、安全意识方面的限制，信息安全建设相对严重滞后。

目前，很多企业已经建立了防火墙+防病毒的安全体系，是否就能取得较好的安全效果呢？

事实表明，这样的安全措施还是不够的。

蠕虫的爆发、网站遭到破坏、内部信息资外泄……中小企业会遇到许多“成长中的烦恼”比如：

外部安全

随着互联网的发展，网络安全事件层出不穷。

近年来，计算机病毒传播、蠕虫攻击、垃圾邮件泛滥、敏感信息泄露等已成为影响最为广泛的安全威胁。

对于企业级用户，每当遭遇这些威胁时，往往会造成数据破坏、系统异常、网络瘫痪、信息失窃，工作效率下降，直接或间接的经济损失也很大。

内部安全

最新调查显示，在受调查的企业中60%以上的员工利用网络处理私人事务。

对网络的不正当使用，降低了生产率、阻碍电脑网络、消耗企业网络资源、并引入病毒和间谍，或者使得不法员工可以通过网络泄漏企业机密，从而导致企业数千万美金的损失。

内部网络之间、内外网络之间的连接安全

随着企业的发展壮大及移动办公的普及，逐渐形成了企业总部、各地分支机构、移动办公人员这样的新型互动运营模式。

怎么处理总部与分支机构、移动办公人员的信息共享安全，既要保证信息的及时共享，又要防止机密的泄漏已经成为企业成长过程中不得不考虑的问题。

各地机构与总部之间的网络连接安全直接影响企业的高效运作。

本次论文将结合实际采用最合理的方式来对中小企业网络进行规划与设计。

第2章网络环境现状

2.1网络环境介绍

信息化已成为国际性发展趋势，作为国民经济信息化的基础，企业信息化建设受到国家和企业的广泛重视。

企业信息化，企业网络的建设是基础，从计算机网络技术和应用发展的现状来看，Intranet是得到广泛认同的企业网络模式。

Intranet并不完全是原来局域网的概念，通过与Internet的联结，企业网络的范围可以是跨地区的，甚至跨国界的。

现在，随着信息化技术的飞速发展，Internet的发展已成燎原之势，随着WWW上商业活动的激增，Intranet也应运而生。

近几年，许多有远见的企业领导者都已感到企业信息化的重要性,陆续建立起了自己的企业网和Intranet并通过各种WAN线路与Internet相连。

许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。

国际互联网Internet在带来巨大的资源和信息访问的方便的同时，它也带来了巨大的潜在的危险，至今仍有很多企业仍然没有感到企业网安全的重要性。

在我国网络急剧发展还是近几年的事，而在国外企业网领域出现的安全事故已经是数不胜数。

因此，我们应该在积极进行企业网建设的同时，就应借鉴国外企业网建设和管理的经验，在网络安全上多考虑一些，将企业网中可能出现的危险和漏洞降到最低。

使已经花了不少财力、人力和时间后，建立起来的网络真正达到预想的效果。

影响计算机网络安全的因索很多，既有自然因素，也有人为因素，其中人为因素危害较大，归结起来丰要以下几个方面：

1、病毒感染

从“蠕虫”病毒开始到CIH、爱虫病毒，病毒一直是计算机系统安全最直接的威胁。

病毒依靠网络迅速传播，它很容易地通过代理服务器以软件下载、邮件接收等方式进入网络，窃取网络信息，造成很人的损失。

2、来自网络外部的攻击

这是指来自局域网外部的恶意攻击，例如：

有选择地破坏网络信息的有效性和完整性；

伪装为合法用户进入网络并占用大量资源；

修改网络数据、窃取、破译机密信息、破坏软件执行；

在中间站点拦截和读取绝密信息等。

3、来自网络内部的攻击

在局域网内部，一些非法用户冒用合法用户的口令以合法身份登陆网站后。

窃取机密信息，破坏信息内容，造成应用系统无法运行。

4、系统的漏洞及“后门”

操作系统及网络软件不可能是百分之百的无缺陷、无漏洞的。

编程人员有时会在软件中留有漏洞。

一旦这个疏漏被不法分子所知，就会借这个薄弱环节对整个网络系统进行攻击，大部分的黑客入侵网络事件就是由系统的“漏洞”和“后门”所造成的。

经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。

计算机网络规模不断扩大，网络结构日益复杂。

计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。

信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。

信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终。

2.2中小型网络情况分析

中小企业由于规模大小、行业差异、工作方式及管理方式的不同有着不同的网络拓扑机构。

网络情况有以下几种。

集中型:

　　中小企业网络一般只在总部设立完善的网络布局。

采取专线接入、ADSL接入或多条线路接入等网络接入方式，一般网络中的终端总数在几十到几百台不等。

网络中有的划分了子网，并部署了与核心业务相关的服务器，如数据库、邮件服务器、文档资料库、甚至ERP服务器等。

　　分散型:

　　采取多分支机构办公及移动办公方式，各分支机构均有网络部署，数量不多。

大的分支采取专线接入，一般分支采取ADSL接入方式。

主要是通过VPN访问公司主机设备及资料库，通过邮件或内部网进行业务沟通交流。

　　综合型:

　　集中型与分散型的综合。

综合型企业网络简图

第3章网络安全风险分析

3.1概要风险分析

1.物理安全分析

网络的物理安全是整个网络系统安全的前提。

在网络工程建设中，由于网络系统属于弱电工程，耐压值很低。

因此，在网络工程的设计和施工中，必须优先考虑保护人和网络设备不受电、火灾和雷击的侵害；

考虑布线系统与照明电线、动力电线、通信线路、暖气管道及冷热空气管道之间的距离；

考虑布线系统和绝缘线、裸体线以及接地与焊接的安全；

必须建设防雷系统，防雷系统不仅考虑建筑物防雷，还必须考虑计算机及其他弱电耐压设备的防雷。

总体来说物理安全的风险主要有，地震、水灾、火灾等环境事故；

电源故障；

人为操作失误或错误；

设备被盗、被毁；

电磁干扰；

线路截获；

高可用性的硬件；

双机多冗余的设计；

机房环境及报警系统、安全意识等，因此要尽量避免网络的物理安全风险。

2.网络结构的安全风险分析

　　网络拓扑结构设计也直接影响到网络系统的安全性。

企业网络与外网有互连。

基于网络系统的范围大、函盖面广，内部网络将面临更加严重的安全威胁，入侵者每天都在试图闯入网络节点。

假如在外部和内部网络进行通信时，网络系统中办公系统及员工主机上都有涉密信息，假如内部网络的一台电脑安全受损（被攻击或者被病毒感染），内部网络的机器安全就会受到威胁，同时也影响在同一网络上的许多其他系统。

透过网络传播，还会影响到连上Internet/Intrant的其他的网络；

影响所及，还可能涉及法律、金融等安全敏感领域。

因此，我们在设计时有必要将公开服务器（WEB、DNS、EMAIL等）和外网及内部其它业务网络进行必要的隔离，避免网络结构信息外泄；

同时还要对外网的服务请求加以过滤，只允许正常通信的数据包到达相应主机，其它的请求服务在到达主机之前就应该遭到拒绝。

3.操作系统的安全风险分析

所谓系统的安全是指整个网络操作系统和网络硬件平台是否可靠且值得信任。

目前恐怕没有绝对安全的操作系统可以选择，无论是Microsfot的WindowsNT或者其它任何商用UNIX操作系统，其开发厂商必然有其后门。

因此，我们可以得出如下结论：

没有完全安全的操作系统。

不同的用户应从不同的方面对其网络作详尽的分析，选择安全性尽可能高的操作系统。

因此不但要选用尽可能可靠的操作系统和硬件平台，并对操作系统进行安全配置。

而且，必须加强登录过程的认证（特别是在到达服务器主机之前的认证），确保用户的合法性；

其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。

4.应用的安全风险分析

应用系统的安全跟具体的应用有关，它涉及面广。

应用系统的安全是动态的、不断变化的。

应用的安全性也涉及到信息的安全性，它包括很多方面。

应用的安全性也是动态的。

这就需要我们对不同的应用，检测安全漏洞，采取相应的安全措施，降低应用的安全风险。

主要有文件服务器的安全风险、数据库服务器的安全风险、病毒侵害的安全风险、数据信息的安全风险等

应用的安全涉及方面很多，以目前Internet上应用最为广泛的E-mail系统来说，其解决方案有sendmail、NetscapeMessagingServer、Software.ComPost.Office、LotusNotes、ExchangeServer、SUNCIMS等不下二十多种。

其安全手段涉及LDAP、DES、RSA等各种方式。

应用系统是不断发展且应用类型是不断增加的。

在应用系统的安全性上，主要考虑尽可能建立安全的系统平台，而且通过专业的安全工具不断发现漏洞，修补漏洞，提高系统的安全性。

应用的安全性涉及到信息、数据的安全性。

　　信息的安全性涉及到机密信息泄露、XX的访问、破坏信息完整性、假冒、破坏系统的可用性等。

在某些网络系统中，涉及到很多机密信息，如果一些重要信息遭到窃取或破坏，它的经济、社会影响和政治影响将是很严重的。

因此，对用户使用计算机必须进行身份认证，对于重要信息的通讯必须授权，传输必须加密。

采用多层次的访问控制与权限控制手段，实现对数据的安全保护；

采用加密技术，保证网上传输的信息（包括管理员口令与帐户、上传信息等）的机密性与完整性。

5.管理的安全分析

管理是网络中安全最最重要的部分。

责权不明，安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。

当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。

同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。

这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。

建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案，因此，最可行的做法是制定健全的管理制度和严格管理相结合。

保障网络的安全运行，使其成为一个具有良好的安全性、可扩充性和易管理性的信息网络便成为了首要任务。

一旦上述的安全隐患成为事实，所造成的对整个网络的损失都是难以估计的。

因此，网络的安全建设是网络安全建设过程中重要的一环。

管理方面的安全隐患包括：

内部管理人员或员工图方便省事，不设置用户口令，或者设置的口令过短和过于简单，导致很容易破解。

责任不清，使用相同的用户名、口令，导致权限管理混乱，信息泄密。

把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。

内部不满的员工有的可能造成极大的安全风险。

3.2实际风险分析

现今的网络安全存在的威胁主要表现在以下几个方面。

1.非授权访问。

指对网络设备及信息资源进行非正常使用或越权使用等。

2.冒充合法用户。

主要指利用各种假冒或欺骗的手段非法获得合法用户的使用权限,以达到占用合法用户资源的目的。

3.破坏数据的完整性。

指使用非法手段,删除、修改、重发某些重要信息,以干扰用户的正常使用。

4.干扰系统正常运行。

指改变系统的正常运行方法,减慢系统的响应时间等手段。

5.病毒与恶意攻击。

指通过网络传播病毒或恶意Java、XActive等。

6.线路窃听。

指利用通信介质的电磁泄漏或搭线窃听等手段获取非法信息。

3.3安全缺口

安全策略经常会与用户方便性相矛盾,从而产生相反的压力,使安全措施与安全策略相脱节。

这种情况称为安全缺口。

为什么会存在安全缺口呢?

有下面四个因素:

1、网络设备种类繁多——当前使用的有各种各样的网络设备,从WindowsNT和UNIX服务器到防火墙、路由器和Web服务器,每种设备均有其独特的安全状况和保密功能;

2、访问方式的多样化——一般来说,您的网络环境存在多种进出方式,许多过程拔号登录点以及新的Internet访问方式可能会使安全策略的设立复杂化;

3、网络的不断变化——网络不是静态的,一直都处于发展变化中。

启用新的硬件设备和操作系统,实施新的应用程序和Web服务器时,安全配置也有不尽相同;

4、用户保安专业知识的缺乏——许多组织所拥有的对网络进行有效保护的保安专业知识十分有限,这实际上是造成安全缺口最为主要的一点。

3.4网络安全评估

为堵死安全策略和安全措施之间的缺口,必须从以下三方面对网络安全状况进行评估:

1、从企业外部进行评估:

考察企业计算机基础设施中的防火墙;

2、从企业内部进行评估:

考察内部网络系统中的计算机;

3、从应用系统进行评估:

考察每台硬件设备上运行的操作系统。

第4章中小型企业网络安全的实现措施

4.1计算机安全

4.1.1访问控制策略

访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非常访问。

它也是维护网络系统安全、保护网络资源的重要手段。

各种安全策略必须相互配合才能真正起到保护作用，但访问控制可以说是保证网络安全最重要的核心策略之一。

下面我们分述各种访问控制策略。

1、入网访问控制

入网访问控制为网络访问提供了第一层访问控制。

它控制哪些用户能够登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。

用户的入网访问控制可分为三个步骤：

用户名的识别与验证、用户口令的识别与验证、用户帐号的缺省限制检查。

三道关卡中只要任何一关未过，该用户便不能进入该网络。

对网络用户的用户名和口令进行验证是防止非法访问的第一道防线。

用户注册时首先输入用户名和口令，服务器将验证所输入的用户名是否合法。

如果验证合法，才继续验证用户输入的口令，否则，用户将被拒之网络之外。

用户的口令是用户入网的关键所在。

为保证口令的安全性，用户口令不能显示在显示屏上，口令长度应不少于6个字符，口令字符最好是数字、字母和其他字符的混合，用户口令必须经过加密，加密的方法很多，其中最常见的方法有：

基于单向函数的口令加密，基于测试模式的口令加密，基于公钥加密方案的口令加密，基于平方剩余的口令加密，基于多项式共享的口令加密，基于数字签名方案的口令加密等。

经过上述方法加密的口令，即使是系统管理员也难以得到它。

用户还可采用一次性用户口令，也可用便携式验证器（如智能卡）来验证用户的身份。

网络管理员应该可以控制和限制普通用户的帐号使用、访问网络的时间、方式。

用户名或用户帐号是所有计算机系统中最基本的安全形式。

用户帐号应只有系统管理员才能建立。

用户口令应是每用户访问网络所必须提交的“证件”、用户可以修改自己的口令，但系统管理员应该可以控制口令的以下几个方面的限制：

最小口令长度、强制修改口令的时间间隔、口令的唯一性、口令过期失效后允许入网的宽限次数。

用户名和口令验证有效之后，再进一步履行用户帐号的缺省限制检查。

网络应能控制用户登录入网的站点、限制用户入网的时间、限制用户入网的工作站数量。

当用户对交费网络的访问“资费”用尽时，网络还应能对用户的帐号加以限制，用户此时应无法进入网络访问网络资源。

网络应对所有用户的访问进行审计。

如果多次输入口令不正确，则认为是非法用户的入侵，应给出报警信息。

2、网络的权限控制

网络的权限控制是针对网络非法操作所提出的一种安全保护措施。

用户和用户组被赋予一定的权限。

网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。

可以指定用户对这些文件、目录、设备能够执行哪些操作。

受托者指派和继承权限屏蔽（IRM）可作为其两种实现方式。

受托者指派控制用户和用户组如何使用网络服务器的目录、文件和设备。

继承权限屏蔽相当于一个过滤器，可以限制子目录从父目录那里继承哪些权限。

我们可以根据访问权限将用户分为以下几类：

●特殊用户（即系统管理员）；

●一般用户，系统管理员根据他们的实际需要为他们分配操作权限；

●审计用户，负责网络的安全控制与资源使用情况的审计。

用户对网络资源的访问权限可以用一个访问控制表来描述。

3、目录级安全控制

网络应允许控制用户对目录、文件、设备的访问。

用户在目录一级指定的权限对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件的权限。

对目录和文件的访问权限一般有八种：

系统管理员权限（Supervisor）；

读权限（Read）、；

写权限（Write）；

创建权限（Create）；

删除权限（Erase）；

修改权限（Modify）；

文件查找权限（FileScan）；

存取控制权限（AccessControl）；

用户对文件或目标的有效权限取决于以下二个因素：

用户的受托者指派、用户所在组的受托者指派、继承权限屏蔽取消的用户权限。

一个网络系统管理员应当为用户指定适当的访问权限，这些访问权限控制着用户对服务器的访问。

八种访问权限的有效组合可以让用户有效地完成工作，同时又能有效地控制用户对服务器资源的访问，从而加强了网络和服务器的安全性。

4、属性安全控制

当用文件、目录和网络设备时，网络系统管理员应给文件、目录等指定访问属性。

属性安全控制可以将给定的属性与网络服务器的文件、目录和网络设备联系起来。

属性安全在权限安全的基础上提供更进一步的安全性。

网络上的资源都应预先标出一组安全属性。

用户对网络资源的访问权限对应一张访问控制表，用以表明用户对网络资源的访问能力。

属性设置可以覆盖已经指定的任何受托者指派和有效权限。

属性往往能控制以下几个方面的权限：

向某个文件写数据、拷贝一个文件、删除目录或文件、查看目录和文件、执行文件、隐含文件、共享、系统属性等。

网络的属性可以保护重要的目录和文件，防止用户对目录和文件的误删除、执行修改、显示等。

5、网络服务器安全控制

网络允许在服务器控制台上执行一系列操作。

用户使用控制台可以装载和卸载模块，可以安装和删除软件等操作。

网络服务器的安全控制包括可以设置口令锁定服务器控制台，以防止非法用户修改、删除重要信息或破坏数据；

可以设定服务器登录时间限制、非法访问者检测和关闭的时间间隔。

6、网络监测和锁定控制

网络管理员应对网络实施监控，服务器应记录用户对网络资源的访问，对非法的网络访问，服务器应以图形或文字或声音等形式报警，以引起网络管理员的注意。

如果不法之徒试图进入网络，网络服务器应会自动记录企图尝试进入网络的次数，如果非法访问的次数达到设定数值，那么该帐户将被自动锁定。

7、网络端口和节点的安全控制

网络中服务器的端口往往使用自动回呼设备、静默调制解调器加以保护，并以加密的形式来识别节点的身份。

自动回呼设备用于防止假冒合法用户，静默调制解调器用以防范黑客的自动拨号程序对计算机进行攻击。

网络还常对服务器端和用户端采取控制，用户必须携带证实身份的验证器（如智能卡、磁卡、安全密码发生器）。

在对用户的身份进行验证之后，才允许用户进入用户端。

然后，用户端和服务器端再进行相互验证

4.1.2确保网络安全的措施

由于网络安全的目的是保障用户的重要信息的安全，因此限制直接接触十分重要。

如果用户的网络连入Internet，那麽最好尽可能地把与Internet连接的机器与网络的其余部分隔离开来。

实现这个目标的最安全的方法是将Internet服务器与网络实际隔开。

当然，这种解决方案增