企业网络安全建设整体规划方案

久爱奥鹏晓林

企业网络的安全问题分析与对策
——企业网络安全
建设整体规划方案

一、项目背景
（一）总体描述
网络安全问题近年来得到了企业界的广泛关注，企业对自身信息资产的保护意识大为增强。但由于许多大型企业在信息系统建设之初没有系统考虑安全问题，使已形成的不安全的网络架构长期运转。同时，大型企业网络环境复杂、节点众多、地理位置分散、应用复杂等特点的存在还导致了安全系统在分析、设计和实施上的困难。基于以上诸多原因，使企业网络安全建设，特别是大中型企业网络安全建设仍然成为目前网络安全行业实施的难点。本文介绍大中型企业的网络安全建设。
（二）企业网络面临的风险
1. 信息系统面临的安全威协
威胁是一种对系统、组织及其资产构成潜在破坏能力的可能性因素或者事件,主要有两个特点，一威胁总是针对具体的信息资产，比如企业信息网络中的机密及敏感信息、信息网络中的网络资源、信息网络中的关键应用等；二威胁总是在利用信息资产的弱点时，才会造成风险，针对企业信息网络，威胁可利用的弱点的各类缺陷；威胁从形式上划分为威胁来源和威胁手段，信息安全所面临的威胁来自很多方面，针对企业信息网络，其面临的安全威胁有非人为威胁和人为的威胁。
对于企业信息网络的主要威胁来源包括：
敌对国家：由政府主导，有很好的组织和充足的财力； 利用国外的服务引擎来收集来自被认为是敌对国的信息；
黑客：攻击网络和系统以发现在运行系统中的弱点或其它错误的一些个人，从而达到自己的特定目标，这些人员可能在系统外部，也可能在系统内部，其对网络的攻击带有很强的预谋性，往往对系统的正常运行造成很大的破坏，或者造成机密信息的外泄；
恐怖分子/计算机恐怖分子：使用暴力或威胁使用暴力以迫使政府或社会同意其条件的恐怖分子或团伙，这些组织或团体会采用收买内部员工的方式，利用社交工程渗透到企业信息网络，造成涉密信息外泄。
内部员工：内部员工包括一些怀有危害局域网络或系统想法的气愤、不满的员工，或者是一些技术爱好者，希望尝试一些技术，这些员工由于掌握了企业信息网络的一些资源，所以攻击成功的可能性很高，并且对系统的破坏也很可观。此外内部员工的误操作行为也会给企业信息网络造成威胁，误操作行为有可能导致信息网络的正常运行被中断，或者重要数据丢失，或者不慎将机密信息带出企业信息网络，造成泄密。
2.信息系统存的脆弱性。
（1）网络方面的
通过上面的分析可以明显地看到信息系统存在着几大安全隐患：
        骨干网同互联网、银行等直接相连，会受到互联网等的很大影响。
企业信息系统的骨干网同互联网直接相连，网络暴露在互联网之下，任何扫描、攻击、入侵都会直接影响到企业信息系统的运行。
        骨干网建立在中国电信的SDH网络上，信息安全上不可信任。
中国电信的SDH网络为企业信息系统建立了网络的基础设备，但是也要看到，中国电信通过SDH网络能够访问、控制、入侵企业信息系统，在信息安全上中国电信的SDH网络是不被信任的，骨干网必须大大加强防护。
        拨号笔记本电脑拨入网络，形成不可控制的网络边界
（2）应用层方面的
在应用层中我们知道：
        提供的访问接口为HTTP的方式，传输不安全。
        系统仅通过用户名口令进行认证。
        终端机用户无认证方式。
        各人员的操作日志，缺乏分析方式。
        数据库和WEB系统同机保存。
（3）管理方面的
企业信息系统在安全管理方面的脆弱性主要表现在缺乏针对性的安全策略、安全技术规范、安全事件应急计划，管理制度不完善，安全管理和运行维护组织不健全，对规章、制度落实的检查不够等。
3. 安全风险风析。
我们将从骨干通讯链路、办公网、网上业务等，描述各自的安全风险如下：
（1）互联网服务的安全风险
互联网服务主要是公开信息发布。公开信息发布功能由WWW服务器提供。
未来的互联网服务会包括网上业务交易等内容，所以先在必须掌握它的风险，整个服务则必须建立起安全的网上交易控制机制，确保交易信息的秘密性、完整性和交易行为的不可否认性。具体包括：
        由于错误地实现访问控制，使攻击者对网上系统的访问未能检测到，从而造成对信息完整性、保密性、或可用性的潜在危害。
        互联网黑客伪造网站，欺骗用户；
        互联网黑客对网上主页发布服务器的直接攻击；
        攻击者通过执行命令、发送数据、或执行其他操作使系统资源对用户失效，资源可能是带宽、处理器时间、内部存储器、数据存储器等。
        攻击者通过窃听通信线路获取用户数据。
        攻击者为获得消息内容对加密数据使用密码分析。
        当截获了有效用户的标识和鉴别数据后，未授权用户在将来使用这些鉴别数据，访问系统提供的功能。
        授权用户、信息系统、攻击者下载和执行恶意代码，产生异常的进程，破坏系统资产的完整性、可用性、或保密性。
        攻击者欺骗用户使用户与伪造的系统服务交互。
        消息的接收者（或发送者）为避免对接收（或发送）的信息负责而否认接收（或发送）过数据。
        合法用户滥用授权不正当地收集、000或发送敏感的或对系统安全关键的数据。
        关键系统组件失效导致系统关键功能失败。
（2）互联网访问的安全风险
由于互联网的完全开放性，往往使组织对互联网的访问遇到极大的安全风险，针对企业网络系统，对互联网访问的安全风险主要包括：
        对主页服务器的拒绝服务攻击；
        黑客渗透；
        扫描攻击；
        恶意代码攻击；
        垃圾邮件攻击；
        蠕虫病毒传播；
        不健康信息的传播；
        网络嗅探攻击。

二、网络安全需求分析
信息系统对安全的需求是任何一种单元安全技术都无法解决的。安全方案的设计必须以科学的安全体系结构模型为依据，才能保障整个安全体系的完备性、合理性。
（一）总体安全需求
1. 物理层安全需求
保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提。 对于现代企业物理层的安全策略与解决方案主要考虑以下两个方面：
第一个方面，对主机房及重要信息存储来说：首先要保证重要地点的安全防范工作，如：非工莫入；出入记录；录像监控；门磁、窗磁、红外报警等。以上非工莫入、出入记录可以采用目前先进的IC卡技术、指纹技术、虹膜技术、面纹技术等来实现，可以做到实时记录，方便查询等优点。另外，在机房内外安装摄像机实时记录机房内外的各种情况，便于今后查询。门磁、窗磁、红外报警等作为安全技术防范的辅助手段加以使用，可以获得优异的效果，可以通过门窗、通道放置磁性、红外报警装置，当报警装置被触动后，激发摄像机定位，以便实时记录并触发警报；也可以当报警装置被触动后，激发摄像机定位，启动实时记录并触发警报。
第二个方面，对主机房及重要信息存储等重要部门来说：一旦电源发生故障，就会造成信息的丢失，正常工作无法进行，给不法分子造成可乘之机。
2. 网络层安全需求
网络层的安全需求是信息系统安全的基础安全设施之一，我们可以通过网络环境的分析、网络层风险评估和网络层策略确定网络层的安全需求。
网络层的安全是企业信息网安全的核心和灵魂，我们需要考虑以下的安全策略与解决方案。
（1）网络设备和服务器的身份认证：为了保证企业内部网络中重要的网络设备（路由、交换等）、服务器和其它设备的有序管理，我们可以采用基于第三方认证的集中式的身份认证。
（2）对内部网络不同的安全区域有不同的安全需求，做不同的安全访问控制措施（通过使用路由交换的ACL或者划分VLan做访问控制的地方尽量去使用原有网络安全设备去做访问控制，对于分支机构不同的安全区域主要是指应用服务核心层和网络接入层之间，要考虑使用防火墙的机制来完成访问控制）
（3）对所有的上网用户的上网行为进行审计，防止利用网络访问非授权网站。
（4）对于重要服务器，网络交换、路由设备的系统日志采取集中的基于行为的审计从根本上防止别人对重要的系统及设备进行攻击。
（5）建立网络安全主动防御机制，采用基于网络的入侵检测系统对企业重要网段和重要应用服务器的安全提供主动性的安全保证措施。
（6）采取脆弱性扫描软件和安全评估服务主动的发现企业信息网中存在的安全隐患，便于先于入侵者发现安全问题，解决安全问题。
3.系统层安全需求
系统层是应用建立的最后一道防线，故在系统层也应该建立良好的安全机制：
        及时防御网络病毒和恶意代码的侵害
        建立及时检测外部入侵和非法行为
        建立及时的响应和报警机制。
        利用安全扫描技术实现主机的弱点分析，同时还能实现对其他设备的弱点分析。
        重点加强关键主机的防护和加固，全面提升操作系统的安全等级。
        实现主动防御，防患于未然。
4.应用层安全需求
在企业网络应用系统中，财务服务器、业务服务器以及办公自动化服务器的传输可能面对如下安全问题。
        数据传输的安全性
数据传输的安全性即是要保证在公网上传输的数据不被第三方窃取。
        数据的完整性
对数据的完整性需求是指数据在传输过程中不被篡改。
        身份验证
由于网上的通信双方互不见面，必须在相互通信时（交换敏感信息时）确认对方的真实身份。
        不可抵赖性
在网上开展业务的各方在进行数据传输时，必须带有自身特有的、无法被别人复制的信息，以保证发生纠纷时有所对证。  
从信息安全的角度来看，解决信息安全的策略和技术主要有以下方面：
        建立基于PKI的统一信任体系。为系统提供身份认证、数字签名。
        基于PKI技术实现统一授权管理和统一密钥管理。
        对各种用户进行的任何与安全相关的操作进行记录和追踪。
        建立内部人员非法操作或发生安全事故后的追查和审计。