网络安全方案技术建议书.docx

1、网络安全方案技术建议书网络安全方案技术建议书1 网络安全方案摘要 .3 1.1 网络安全方案描述.3 1.2 网络安全解决思路.5 1.3 网络安全问题解决建议.6 2 网络安全详细技术建议书 .7 2.1 网络架构分析.7 2.1.1 应用系统架构.7 2.1.2 应用系统平台.8 2.2 系统风险分析.8 2.2.1 网络架构风险分析.8 2.2.2 应用系统风险分析. 11 2.2.3 安全风险分析汇总.16 2.3 安全需求分析.18 .18 2.3.1边界防护的需求2.3.2 入侵检测需求.22 2.3.3 病毒防护安全需求.25 2.4 系统安全建议.26 2.4.1 防火墙子系统

2、规划.27 2.4.2 入侵检测子系统规划.30 2.4.3 安全隔离子系统规划.36 2.4.4 病毒防护规划.40 2.5 安全产品选型.42 2.5.1 防火墙产品选型.42 2.5.2 入侵检测产品选型.44 2.5.3 安全隔离产品选型.47 2.5.4 病毒防护产品选型.48 SAV主要功能、特点 .48 建立防病毒系统主要考虑内容.51 MCAFEE公司防病毒产品介绍 .51 2.5.5 主要功能:.52 集中管理的防病毒管理体系.54 防病毒管理系统的主要特点及功能.54 强大的广域网管理能力.54 防病毒软件的管理:.56 配置和集中管理 .56 任务调度和执行 .57 病毒

3、自动更新和升级 .57 小结 .59 2.5.6 产品清单.60 1 网络安全方案摘要 1.1 网络安全方案描述 众所周知，网络为人们提供了极大的便利。但由于构成Internet的TCP/IP协议本身缺乏安全性，提供一种开放式的环境，网络安全成为一个在开放式环境中必要的技术，成为必须面对的一个实际问题。而由于目前网络应用的自由性、广泛性以及黑客的“流行”，网络面临着各种安全威胁，存在着各种类型的机密泄漏和攻击方式，包括: 窃听报文 攻击者使用报文获取设备，从传输的数据流中获取数据并进行分析，以获取用户名/口令或者是敏感的数据信息。通过Internet的数据传输，存在时间上的延迟，更存在地理位置

4、上的跨越，要避免数据彻底不受窃听，基本是不可能的。 IP地址欺骗 攻击者通过改变自己的IP地址来伪装成内部网用户或可信任的外部网络用户，发送特定的报文以扰乱正常的网络数据传输，或者是伪造一些可接受的路由报文(如发送ICMP的特定报文)来更改路由信息，以窃取信息。 源路由攻击 报文发送方通过在IP报文的Option域中指定该报文的路由，使报文有可能被发往一些受保护的网络。 端口扫描 通过探测防火墙在侦听的端口，来发现系统的漏洞;或者事先知道路由器软件的某个版本存在漏洞，通过查询特定端口，判断是否存在该漏洞。然后利用这些漏洞对路由器进行攻击，使得路由器整个DOWN掉或无法正常运行。 拒绝服务攻击

5、攻击者的目的是阻止合法用户对资源的访问。比如通过发送大量报文使得网络带宽资源被消耗。Mellisa宏病毒所达到的效果就是拒绝服务攻击。最近拒绝服务攻击又有了新的发展，出现了分布式拒绝服务攻击，Distributed Denial Of Service，简称DDOS。许多大型网站都曾被黑客用DDOS方式攻击而造成很大的损失。 应用层攻击 有多种形式，包括探测应用软件的漏洞、“特洛依木马”等等。 另外，网络本身的可靠性与线路安全也是值得关注的问题。 随着网络应用的日益普及，尤其是在一些敏感场合(如公安、政府机关等)的应用，网络安全成为日益迫切的重要需求。网络安全包括两层内容:其一是网络资源的安全性

6、，其二是数据交换的安全性。网络设备作为网络资源和数据通讯的关键设备，有必要提供充分的安全保护功能，交换机、路由器、防火墙、入侵检测、防病毒、网闸、管理平台等产品提供了多种网络安全机制，为网络资源和数据交换提供了有力的安全保护。本文将对其技术与实现作详细的介绍。 为了便于分析网络安全和设计网络安全解决方案，我们采取对网络分层的方法，并且在每个层面上进行细致的分析，根据风险分析的结果设计出符合具体实际的、可行的网络安全整体解决方案。 从网络、系统和应用出发，网络的安全因素可以划分到如下的五个安全层中，即物理层、网络层、系统层、应用层和安全管理。 物理层安全,网络的物理安全主要指网络周边环境和物理特

7、性引起的网络设备和线路的不可用,而造成网络系统的不可用。它是整个网络系统安全的前提。在网络安全考虑时，首先要考虑物理安全。例如:设备被盗、被毁坏;设备老化、意外故障;计算机系统通过无线电辐射泄露秘密信息等。除此之外，在一些特殊重要的网络应用中，可利用“网络隔离和信息交换”技术，将两个网络从物理上隔断而保证应用上连通实现的“信息摆渡”。 网络层安全,网络层安全主要分为两个方面:网络传送安全和网络服务安全。网络传送安全主要需要注意的有重要业务数据泄漏和重要业务数据破坏。 重要业务数据泄漏:由于在同级局域网和上下级网络数据传输线路之间存在被窃听的威胁，同时局域网络内部也存在着内部攻击行为，其中包括登

8、录通行字和一些敏感信息，可能被侵袭者搭线窃取和篡改，造成泄密。 重要数据被破坏:是指不法分子针对网上传输数据做出伪造、删除、窃取、窜改等攻击。存储数据对于网络系统来说极为重要，如果由于通信线路的质量原因或者人为的恶意篡改，都将导致难以想象的后果，这也是网络犯罪的最大特征。 网络服务安全是指:入侵者通过Sniffer等嗅探程序来探测扫描网络及操作系统存在的安全漏洞;入侵者通过网络监听等先进手段获得内部网用户的用户名、口令等信息，进而假冒内部合法身份进行非法登录，窃取内部网的重要信息;入侵者通过发送大量PING包对内部网中重要服务器进行攻击，使得服务器超负荷工作以至拒绝服务甚至系统瘫痪。 网络安全

9、不仅来自外部网络，同样存在于内部网，而且来自内部的攻击更严重、更难防范。如果办公系统与业务系统没有采取相应安全措施，同样是内部网用户的个别员工可能访问到他本不该访问的信息。还可能通过可以访问的条件制造一些其它不安全因素(伪造、篡改数据等)。或者在别的用户关机后，盗用其IP进行非法操作，来隐瞒自已的身份。 应用层安全,网络应用系统中主要存在以下安全风险:业务网之间的非法访问;中间业务的安全;用户提交的业务信息被监听或修改;用户对成功提交的业务进行事后抵赖。同时还有:与INTERNET连接带来的安全隐患;身份认证漏洞;高速局域网服务器群安全;内部管理服务平台的安全。 系统层安全,系统级的安全风险分

10、析主要针对专用网络采用的操作系统、数据库、及相关商用产品的安全漏洞和病毒威胁进行分析。专用网络通常采用的操作系统(主要为UNIX)本身在安全方面有一定考虑，但服务器、数据库的安全级别较低，存在一些安全隐患。 管理层安全,再安全的网络设备离不开人的管理，再好的安全策略最终要靠人来实现，因此管理是整个网络安全中最为重要的一环，尤其是对于一个比较庞大和复杂的网络，更是如此。因此我们有必要认真的分析管理所带来的安全风险，并采取相应的安全措施。 当网络出现攻击行为或网络受到其它一些安全威胁时(如内部人员的违规操作等)，必须实时的检测、监控、报告与预警。同时，当事故发生后，必须提供黑客攻击行为的追踪线索及

11、破案依据，即网络应该有可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案。因此，最可行的做法是管理制度和管理解决方案的结合。 1.2 网络安全解决思路 网络的安全覆盖系统的各个层面，由“物理级安全、网络级安全、应用级安全、系统级安全和管理级安全”五个层次组成。在物理层次的安全主要依靠物理线路的可靠保障、维护等措施防护，对于不同安全级别网络区域，可以采用网闸设备实现信息摆渡，同样网闸设备也可以使攻击者无法通过系统漏洞攻击受保护的服务器。系统级层次的安全主要依靠操作系统的可靠性、漏洞补救、病毒防护等

12、措施保障，该层次的安全性可以结合网络层、应用层和管理层的措施共同防护。 所以网络的安全解决方案应该主要从三个层次解决:网络层、应用层和管理层。包括网络传送、网络服务、应用安全、安全识别、安全防御、安全监控、审计分析、集中管理等多个方面。这需要依靠技术方面的安全保护和管理方面的安全管理进行全面防护。 其中在技术方面主要由数据安全识别、防御、传送、监控四个部分支撑;在管理方面需要进行实时的安全保护、审计、分析、智能管理。此外，仅仅依靠安全技术和安全的管理是无法彻底解决安全问题的，解决安全问题是个循序的过程，还需要对紧急事件进行及时的处理响应并完善更新策略规则，增强整个系统安全性。 安全解决方案层次

13、结构 安全识别技术包括用户接入身份认证、用户访问权限区分、管理员权限识别与限制、业务使用访问控制、网络服务使用控制、管理员视图控制、访问策略服务等等。 安全防御是通过防火墙来进行安全访问控制，防火墙是在内部可信任设施和外部非信任网络之间的屏障，防火墙的设计的原则是:只信任内部网络，对一切来自外部/去往外部的流量进行监控。 安全传送包括采用IPsec、SSL等技术，采用VPN隧道对传输数据进行加密。 安全监控一般采用防火墙和入侵检测系统配合的方式，防火墙是处于网络边界的设备，自身可能被攻破，需要在内部进行监控，采用入侵检测设备识别网络行为的可信任性，判断是否是内部系统网络或数据资源的可疑行为，并

14、对这些行为做出处理响应;入侵检测是对防御技术的重要补充，入侵检测设备的能效既针对外部网络，也针对内部网络。 1.3 网络安全问题解决建议 安全方案阐述: 1.1 在榆林市政府应急中心网络和外部网络(电子政务网、互联网)之间部署防火墙产品，用于对进出榆林市政府应急中心网络的数据包进行过滤和有效控制; 1.2 在榆林市政府应急中心网络中需要监控的核心交换机上部署入侵检测设备，用于监测通过内网核心交换机的数据包行为并与防火墙设备进行联动，一旦发现有可疑数据包，则通知防火墙对该数据包作相应处理; 1.3 按照国家有关规定，在榆林市政府应急中心网络中数据中心和外部局域网之间部署网络隔离和信息交换设备，实

15、现内部局域网与外部局域网的物理隔离，从根本上杜绝攻击者利用操作系统或数据库本身的漏洞来窃取重要数据或攻击数据中心服务器或小机等设备。 1.4 在榆林市政府应急中心网络中建立整体防病毒体系，对从网络入口到网络内的服务器和所有计算机设备采取全面病毒防护，并且根据需要在网络中心设置病毒防护管理中心，可以使反病毒工作按照不同部门或地域的实际情况，分组设置反病毒管理工作。 2 网络安全详细技术建议书 2.1 网络架构分析 2.1.1 应用系统架构 2.1.1.1 接入与表示层 该层的主要作用是访问应用逻辑层提供的各种应用系统功能，并将应用逻辑层返回的结果通过各种技术手段展现给用户，使用户能通过不同的界面

16、和通讯方式连入应用系统。 应用系统主要有以下几类用户:市应急平台、市内各部门、分中心、各局办，都是通过电子政务内网或互联网直接连接和市应急平台应用系统进行通讯。 2.1.1.2 应用逻辑层 应用逻辑层是整个应用系统架构的核心，主要的业务逻辑都是由应用逻辑层中的应用系统实现的。 此外，应用逻辑层的另一个主要作用是与数据层交换数据。 2.1.1.3 数据层 数据层存储的主要是业务数据，包括文件级数据和机密级数据。 2.1.2 应用系统平台 2.1.2.1 硬件平台 2.1.2.2 操作系统平台 2.1.2.3 数据库系统平台 2.1.2.4 中间件系统平台 2.1.2.5 办公自动化系统平台 2.

17、1.2.6 网站系统平台 2.2 系统风险分析 2.2.1 网络架构风险分析 从网络架构的角度，我们认为存在的安全隐患主要来自于以下几个方面，包括榆林市政府应急中心网络的基础-TCP/IP自身的弱点，网络设备存在的安全隐患、网络服务器存在的安全风险、网络访问的合理性和数据传输的安全性。具体描述如下: 2.2.1.1 TCP/IP协议的弱点 由于TCP/IP协议作为事实上的工业标准，以其IP Over Everything的思想，简化了网络构建的复杂性，并随着技术的发展，并最终实现Everything Over IP的网络融合，这种网络发展的趋势是不可逆转的，是由IP技术的竞争优势确定的。具有非

18、常好的扩展性，适合于构造大型的计算机网络。 但同时我们也看到，由于TCP/IP协议在产生之处，还没有全面考虑安全方面的因素，就使得该协议组自身便存在一些先天的安全问题，而对于榆林市政府应急中心网络系统来讲，由于大量的应用程序都是以TCP作为数据的传输层协议，因此TCP/IP协议的安全性会给榆林市政府应急中心网络带来严重的后果。 典型利用TCP/IP协议的弱点，发起攻击行为的就是“拒绝服务攻击”，比如“SYN FLOOD”攻击，它就是利用了TCP协议中，建立可靠连接所必须经过的三次握手行为，攻击者只向攻击目标发送带“SYN”表示的数据包，导致攻击目标一味地等待发起连接请求的源地址再次发送确认信息，而导致系统处于长期等待