计算机网络安全10网络安全解决方案

第十章网络安全解决方案第10章网络安全解决方案内容提要：网络安全体系结构网络安全解决方案单机用户网络安全解决方案内部网络安全管理制度小结第十章网络安全解决方案10.1网络安全体系结构1.网络信息安全的基本问题网络信息安全的基本问题是众所周知的诸要素：可用性、保密性、完整性、可控性与可审查性等。最终要解决是使用者对基础设施的信心和责任感的问题。返回本章首页第十章网络安全解决方案网络时代的信息安全有非常独特的特征，研究信息安全的困难在于：边界模糊评估困难安全技术滞后管理滞后返回本章首页第十章网络安全解决方案2.网络与信息安全体系要实施一个完整的网络与信息安全体系，至少应包括三类措施，并且三者缺一不可。一是社会的法律政策、规章制度措施二是技术措施三是审计和管理措施返回本章首页第十章网络安全解决方案数据安全、平台安全、服务安全要求用完整的信息保障体系，并不断发展传统的信息安全概念。保护、检测、响应、恢复涵盖了对现代网络信息系统保护的各个方面，构成了一个完整的体系，使网络信息安全建筑在更坚实的基础之上。返回本章首页第十章网络安全解决方案（1）保护（Protect）：保护包括传统安全概念的继承，用加解密技术、访问控制技术、数字签名技术，从信息动态舆、数据静态存储和经授权方可使用，以及可验证的信息交换过程等到方面对数据及其网上操作加以保护。返回本章首页第十章网络安全解决方案（2）检测（Detect）：检测的含义是，对信息传输的内容的可控性的检测，对信息平台访问过程的甄别检测，对违规与恶意攻击的检测，对系统与网络弱点与漏洞的检测等等。返回本章首页第十章网络安全解决方案（3）响应（React）：在复杂的信息环境中，保证在任何时候信息平台能高效正常运行，要求安全体系提供有力的响应机制。返回本章首页第十章网络安全解决方案（4）恢复（Restore）：狭义的恢复指灾难恢复，在系统受到攻击的时候，评估系统受到的危害与损失，按紧急响应预案进行数据与系统恢复，启动备份系统恢复工作等。广义的恢复还包括灾难生存等现代新兴学科的研究。返回本章首页第十章网络安全解决方案保护、检测、响应、恢复四个概念之间存在着一定的因果和依存关系，形成一个整体。如果全面的保护仍然不能确保安全（这在现阶段是必然的），就需要检测来为响应创造条件；有效与充分地响应安全事件，将大大减少对保护和恢复的依赖；恢复能力是在其他措施均失准备的情形下的最后保障机制。返回本章首页第十章网络安全解决方案3.网络安全体系结构要使信息系统免受攻击，关键要建立起安全防御体系，从信息的保密性，拓展到信息的完整性、信息的可用性、信息的可控性、信息的不可否认性等。为研究的方便，可以将其简化为用三维框架表示的结构模型，其构成要素是安全特性、系统单元及开放互连参考模型结构层次。返回本章首页第十章网络安全解决方案返回本章首页物理环境用户层应用层表示层会话层传输层网络层链路层物理层可靠性可用性审计管理防止否认数据完整数据保密访问控制身份鉴别信息处理单元通信网络安全管理安全特性结构层次系统单元安全防御体系结构框架第十章网络安全解决方案上述框架模型是一个立体空间结构，突破了以往分散孤立地考虑安全问题的旧模式，是站在顶层从整体上对网络安全进行分析和描述的。它把与网络安全相关的物理、规章及人员等安全要素都容纳其中，涉及系统保安和人员的行政管理等方面的各种法令、法规、条例和制度等也均在其考虑之列。返回本章首页第十章网络安全解决方案在进行计算机网络安全设计、规划时，应遵循以下原则：需求、风险、代价平衡分析的原则综合性、整体性原则一致性原则易操作性原则适应性、灵活性原则多重保护原则返回本章首页第十章网络安全解决方案任何安全保护措施都不是绝对安全的，都可能被攻破。为此需要构建全方位的安全体系。全方位的安全体系的主要内容包括：访问控制检查安全漏洞攻击监控加密通讯认证备份和恢复返回本章首页第十章网络安全解决方案10.2网络安全解决方案1.网络安全需求分析（1）网络安全需求分析的基本原则网络系统的安全性和易用性在很多时候是矛盾的，因此，在做安全需求分析时需要在其中找到一个恰当的平衡点，如果安全原则妨碍了系统应用，那么这个安全原则就不是一个好的原则。返回本章首页第十章网络安全解决方案在做需求分析时需要确立的几种意识：风险意识权衡意识相对意识集成意识返回本章首页第十章网络安全解决方案（2）安全威胁分析企业网络面临的安全威胁主要来自以下方面：操作系统的安全性。防火墙的安全性。来自内部网用户的安全威胁。缺乏有效的手段监视、评估网络系统的安全性。返回本章首页第十章网络安全解决方案采用的TCP/IP协议族软件，本身缺乏安全性。应用服务的安全性。未能对来自Internet的电子邮件夹带的病毒及Web浏览可能存在的Java/ActiveX控件进行有效控制。返回本章首页第十章网络安全解决方案一套完整的网络安全解决方案，应该根据目标网络系统的具体特征和应用特点，有针对性地解决可能面临的安全问题。具体来讲，需要考虑的问题包括：关于物理安全的考虑关于数据安全的考虑数据备份的考虑防病毒的考虑关于操作系统/数据库/应用系统的安全考虑返回本章首页第十章网络安全解决方案网络系统安全结构的考虑通信系统安全的考虑关于口令安全的考虑关于软件研发安全的考虑关于人员安全因素的考虑网络相关设施的设置和改造安全设备的选型安全策略与安全管理保障机制的设计返回本章首页第十章网络安全解决方案网络安全行政与法律保障体系的建立长期安全顾问服务服务的价格事件处理机制安全监控网络和安全监控中心的建立安全培训等返回本章首页第十章网络安全解决方案（3）企业网络的安全需求分析企业网络的基本安全需求企业网络内部部署了众多的网络设备、服务器，保护这些设备的正常运行，维护主要业务系统的安全，是企业网络的基本安全需求。返回本章首页第十章网络安全解决方案业务系统的安全需求企业网络应保障：访问控制，确保业务系统不被非法访问。数据安全，保证数据库软硬件系统的整体安全性和可靠性。入侵检测，能及时发现、记录和跟踪破坏业务系统的恶意行为，提供非法攻击的证据。来自网络内部其他系统带来的安全隐患。返回本章首页第十章网络安全解决方案Internet服务网络的安全需求Internet服务网络安全需求是保护网络不受破坏，确保网络服务的可用性。Internet服务网络分为两个部分：提供网络用户对Internet的访问提供Internet对网内服务的访问返回本章首页第十章网络安全解决方案作为信息网络之间互联的边界安全应作为主要安全需求包括：保证信息网络间安全互联，能够实现网络安全隔离；对于专有应用的安全服务；必要的信息交互的可信任性；能够提供对于主流网络应用的良好支持；返回本章首页第十章网络安全解决方案信息网络公共资源能够对开放用户提供安全访问；对网络安全事件的审计；对于网络安全状态的量化评估；对网络安全状态的实时监控；返回本章首页第十章网络安全解决方案信息网络内部的安全需求，包括：信息网络中的各单位网络之间建立连接控制手段；能够满足信息网络内的授权用户对相关专用网络资源访问；同时对于远程访问用户增强安全管理；加强对于整个信息网络资源和人员的安全管理与培训。返回本章首页第十章网络安全解决方案（4）安全需求分析的一般过程返回本章首页INTERNET工作站工作站…工作站工作站…交换机防火墙网管计算机路由器服务器…服务器本节以某公司网络为例，来介绍进行安全需求分析的一般过程，网络拓扑结构如右图所示。第十章网络安全解决方案网络系统的总体安全需求是建立在对网络安全层次分析基础上的。对于基于TCP/IP协议的网络系统来说，安全层次是与TCP/IP协议层次相对应的，针对网络的实际情况，可以将安全需求层次归纳为网络层安全和应用层安全两个技术层次，同时将在各层都涉及的安全管理部分单独作为一部分进行分析。返回本章首页第十章网络安全解决方案网络层需求分析网络层安全需求是保护网络不受攻击，确保网络服务的可用性。能够防范来自Internet的对提供服务的非法利用。防范来自Internet的网络入侵和攻击行为的发生。对于内部网络提供高于网络边界更高的安全保护。返回本章首页第十章网络安全解决方案应用层需求分析应用层的安全需求是针对用户和网络应用资源的，主要包括：合法用户可以以指定的方式访问指定的信息；合法用户不能以任何方式访问不允许其访问的信息；非法用户不能访问任何信息；用户对任何信息的访问都有记录。返回本章首页第十章网络安全解决方案安全管理需求分析能否制定一个统一的安全策略，在全网范围内实现统一的安全管理，对于企业网来说是至关重要的。安全管理主要包括三个方面：内部安全管理网络安全管理应用安全管理返回本章首页第十章网络安全解决方案2.网络安全解决方案（1）网络安全解决方案的层次划分第一部分为法律、法规与管理手段第二部分为增强的用户认证第三部分是授权第四部分是加密第五部分为审计、监控和数据备份返回本章首页第十章网络安全解决方案在上述网络和信息安全模型中，五个部分是相辅相成、缺一不可的。其中底层是上层保障的基础，如果缺少下面各层次的安全保障，上一层的安全措施则无从说起。返回本章首页第十章网络安全解决方案（2）网络安全解决方案返回本章首页INTERNET…安全网闸防病毒入侵检测安全审计交换机防火墙网管计算机身份认证服务器身份认证服务器工作站工作站工作站工作站……服务器根据上述网络安全解决方案的层次分析，可以设计出如图所示的网络安全解决方案。第十章网络安全解决方案在总部网关位置配置CheckPointFirewall-1防火墙，划分多安全区域，将内网，对外发布的WebServer和电子商务网站放置在不同的网络安全区域。在服务器区前放置CheckPointFirewall-1防火墙模块，其他区域对服务器区的访问必须经过防火墙模块的检查。在中心交换机上配置基于网络的IDS系统，监控整个网络内的网络流量。返回本章首页第十章网络安全解决方案在服务器区内的重要服务器，如Sybase数据库服务器等，安装基于主机的入侵检测系统，对所有对数据库服务器的访问进行监控，并对数据库服务器的操作进行记录和审计。将电子商务网站和进行公司普通Web发布服务器进行独立配置，对电子商务网站的访问将需要身份认证和加密传输，保证电子商务的安全性。返回本章首页第十章网络安全解决方案在DMZ区的电子商务网站配置基于主机的入侵检测系统，防止来自Internet对Http服务的攻击行为。在公司总部安装Spa统一认证服务器，对所有需要的认证进行统一管理，并根据客户的安全级别设置所需要的认证方式（如静态口令，动态口令，数字证书等）。返回本章首页第十章网络安全解决方案（3）设备说明防火墙设备在本方案中选用的防火墙设备是CheckPointFireWall-1防火墙。FireWall-1功能特点有：对应用程序的广泛支持集中管理下的分布式客户机/服务器结构远程网络访问的安全保障（FireWall-1SecuRemote）：返回本章首页第十章网络安全解决方案防病毒设备在本方案中防病毒设备选用的是趋势科技的整体防病毒产品和解决方案，包括中央管理控制、服务器防病毒和客户机防病毒三部分。返回本章首页第十章网络安全解决方案入侵监测设备在本方案中入侵监测设备采用的是NFR入侵监测设备，包括NFRNID和NFRHID。NFR把基于网络的入侵检测技术NID和基于主机的入侵检测技术HID完美地结合起来，构成了一个完整的，一致的实时入侵监控体系。返回本章首页第十章网络安全解决方案SPA身份认证设备本方案采用的身份认证设备是SecureComputing的SafeWord。SafeWord具备分散式运作及无限制的可扩充特性。返回本章首页第十章网络安全解决方案10.3单机用户网络安全解决方案由于当前个人用户使用Windows类操作系统的占大多数，因此本节所讨论的