某企业网络安全综合设计方案

某企业网络安全综合设计方案内容摘要：

提出解决措施，或参考意见，提醒网络安全管理员作好相应调整。 其它 对复杂或有特殊要求的网络环境，在采取安全措施上应当特殊考虑，增加新的安全措施。 应用系统安全 系统平台安全 XXX 企业各级网络系统平台安全主要是指操作系统的安 全。 由于目前主要的操作系统平台是建立在国外产品的基础上，因而存在很大的安全隐患。 XXX 企业网络系统在主要的应用服务平台中采用国内自主开发的安全操作系统，针对通用 OS 的安全问题，对操作系统平台的登录方式、文件系统、网络传输、安全日志审计、加密算法及算法替换的支持和完整性保护等方面进行安全改造和性能增强。 一般用户运行在PC 机上的 NT 平台，在选择性地用好 NT 安全机制的同时，应加强监控管理。 应用平台安全 XXX 企业网络系统的应用平台安全，一方面涉及用户进入系统的身份鉴别与控制，以及使用网 络资源的权限管理和访问控制，对安全相关操作进行的审计等。 其中的用户应同时包括各级管理员用户和各类业务用户。 另一方面涉及各种数据库系统、 WWW 服务、 EMAIL服务、 FTP 和 TELNET 应用中服务器系统自身的安全以及提供服务的安全。 在选择这些应用系统时，应当尽量选择国内软件开发商进行开发，系统类型也应当尽量采用国内自主开发的应用系统。 病毒防护 因为病毒在网络中存储、传播、感染的方式各异且途径多种多样，相应地企业在构建网络防病毒系统时，应利用全方位的企业防毒产品，实施 “层层设防、集中控制、 以防为主、防杀结合 ”的策略。 具体而言，就是针对网络中所有可能的病毒攻击设置对应的防毒软件，通过全方位、多层次的防毒系统配置，使网络没有薄弱环节成为病毒入侵的缺口。 本方案中在选择杀毒软件时应当注意几个方面的要求：具有卓越的病毒防治技术、程序内核安全可靠、对付国产和国外病毒能力超群、全中文产品，系统资源占用低，性能优越、可管理性高，易于使用、产品集成度高、高可靠性、可调配系统资源占用率、便捷的网络化自动升级等优点。 病毒对信息系统的正常工作运行产生很大影响，据统计，信息系统的 60%瘫痪是由于感染病毒引起的。 系统设计原则 为了更好的解决病毒的防范，一般要求病毒防范系统满足如下要求： ● 采用世界最先进的防毒产品与 XXX 网络网络系统的实际需要相结合，确保 XXX 网络系统具有最佳的病毒防护能力的情况下综合成本最少。 ● 贯彻川大能士 “层层设防，集中控管，以防为主、防治结合 ”的企业防毒策略。 在 XXX 网络中所有可能的病毒攻击点或通道中设置对应的防病毒软件，通过这种全方位的、多层次的防毒系统配置，使企业网络免遭所有病毒的入侵和危害。 ● 充分考虑 XXX 网络的系统数据、文件的安全可靠性， 所选产品与现系统具有良好的一致性和兼容性，以及最低的系统资源占用，保证不对现有系统运行产生不良影响。 ● 应用全球最为先进的 “实时监控 ”技术，充分体现趋势科技 “以防为主 ”的反病毒思想。 ● 所选用产品具备对多种压缩格式文件的病毒检测。 ● 所选用产品易于安装、操作简便、便于管理和维护，具有友好的用户界面。 ● 应用经由 ICSA(国际电脑安全协会 )技术认证的扫描引擎，保证对包括各种千面人病毒、变种病毒和黑客程序等具有最佳的病毒侦测率，除对已知病毒具备全面的侦防能力，对未知病毒亦有良好的侦测能力。 强调在 XXX 网络防毒系统内，实施统一的防病毒策略、集中的防毒管理和维护，最大限度地减轻使用人员和维护人员的工作量。 ● 完全自动化的日常维护，便于进行病毒码及扫描引擎的更新。 ● 提供良好的售后服务及技术支持。 ● 具有良好的可扩充性，充分保护用户的现有投资，适应 XXX网络系统的今后发展需要 产品应用 根据 XXX 企业网络系统的结构和应用特点，病毒防御可采取多种措施： ● 网关防毒。 ● 服务器防毒。 ● 客户端防毒。 ● 邮件防毒。 应用拓扑如下图： 图 44 病毒应用拓扑图 在网络骨干接入处，安装防毒墙 (即安装有网关杀毒软件的独立网关设备 )，由防毒墙实现网络接入处的病毒防护。 由于是安装在网络接入处，因此，对主要网络协议进行杀毒处理 (SMTP、 FTP、 HTTP)。 在服务器上安装单独的服务器杀毒产品，对 服务器进行病毒保护。 由于内部存在几十个网络客户端，如采用普通杀毒软件会造成升级麻烦、使用不便等问题。 可在服务器上安装客户端防病毒产品 (客户端杀毒软件的工作模式是服务器端、客户端的方式 )的服务器端，由客户端通过网络与服务器端连接后进行网络化安装。 对产品升级，可通过在服务器端进行设置，自动通过 INETRNET 进行升级，再由客户端到服务器端进行升级，大大简化升级过程，并且整个升级是自动完成，不需要人工操作。 对邮件系统，可采取安装专用邮件杀毒产品，通过在邮件服务器上安装邮件杀毒程序，实现对内部邮件的杀毒 ，保证邮件在收、发时都是经过检查的，确保邮件无毒。 通过这种方法，可以达到层层设防的作用，最终实现病毒防护。 数据备份 作为国家机关， XXX 企业内部存在大量的数据，而这里面又有许多重要的、机密的信息。 而整个数据的安全保护就显得特别重要，对数据进行定期备份是必不可少的安全措施。 在采取数据备份时应该注意以下几点： ● 存储介质安全 在选择存储介质上应选择保存时间长，对环境要求低的存储产品，并采取多种存储介质备份。 如同时采用硬盘、光盘备份的方式。 ● 数据安全 即数据在备份 前是真实数据，没有经过篡改或含有病毒。 ● 备份过程安全 确保数据在备份时是没有受到外界任何干扰，包括因异常断电而使数据备份中断的或其它情况。 ● 备份数据的保管 对存有备份数据的存储介质，应保存在安全的地方，防火、防盗及各种灾害，并注意保存环境 (温度、湿度等 )的正常。 同时对特别重要的备份数据，还应当采取异地备份保管的方式，来确保数据安全。 对重要备份数据的异地、多处备份 (避免类似美国 911 事件为各公司产生的影响 ) 安全审计 作为一个良好的安全系统，安全审计必不可少。 由于 XXX 企业是一个非常庞大的网络系统，因而对整个网络 (或重要网络部分 )运行进行记录、分析是非常重要的，它可以让用户通过对记录的日志数据进行分析、比较，找出发生的网络安全问题的原因，并可作为以后的法律证据或者为以后的网络安全调整提供依据。 认证、鉴别、数字签名、抗抵赖 由于 XXX 企业网络系统庞大，上面存在很多分级的重要信息。 同时，由于现在国家正在大力推进电子政务的发展，网上办公已经越来越多的被应用到各级政府部门当中，因此，需要对网上用户的身份、操作权限等进行控制和授权。 对不同等级、类型的 信息只允许相应级别的人进行审阅。 对网上公文的处理采取数字签名、抗抵赖等相应的安全措施。 物理安全 XXX 企业网络系统的物理安全要求是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾和雷击等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。 两套网络的相互转换 由于 XXX 企业内部网络系统具有两套网络，这两套网络系统是完全物理隔离的，而企业内部有部分用户需要两个网络都要接入，这就涉及到两个网络之间的相互切换问题。 而现在的实际使用是采用手工拔插网线的方式 进行切换，这使得使用中非常不方便。 因此，本方案建议采用网络隔离卡的方式来解决网络切换的问题。 隔离卡工作方式 隔离卡上有两个网络接口，一个接内网，一个接外网。 另外还有一个。