第十章 网络安全解决方案第 10章 网络安全解决方案内容提要：
网络安全体系结构
网络安全解决方案
单机用户网络安全解决方案
内部网络安全管理制度
小结第十章 网络安全解决方案
10.1 网络安全体系结构
1,网络信息安全的基本问题网络信息安全的基本问题是众所周知的诸要素：可用性,保密性,完整性,可控性与可审查性等 。
最终要解决是使用者对基础设施的信心和责任感的问题 。
返回本章首页第十章 网络安全解决方案网络时代的信息安全有非常独特的特征,
研究信息安全的困难在于：
边界模糊
评估困难
安全技术滞后
管理滞后返回本章首页第十章 网络安全解决方案
2,网络与信息安全体系要实施一个完整的网络与信息安全体系，
至少应包括三类措施，并且三者缺一不可。
一是社会的法律政策、规章制度措施
二是技术措施
三是审计和管理措施返回本章首页第十章 网络安全解决方案数据安全、平台安全、服务安全要求用完整的信息保障体系，并不断发展传统的信息安全概念。
保护、检测、响应、恢复涵盖了对现代网络信息系统保护的各个方面，构成了一个完整的体系，使网络信息安全建筑在更坚实的基础之上。
返回本章首页第十章 网络安全解决方案
（ 1） 保护 （ Protect）,
保护包括传统安全概念的继承,用加解密技术,访问控制技术,数字签名技术,从信息动态舆,数据静态存储和经授权方可使用,以及可验证的信息交换过程等到方面对数据及其网上操作加以保护 。
返回本章首页第十章 网络安全解决方案
（ 2） 检测 （ Detect）,
检测的含义是,对信息传输的内容的可控性的检测,对信息平台访问过程的甄别检测,
对违规与恶意攻击的检测,对系统与网络弱点与漏洞的检测等等 。
返回本章首页第十章 网络安全解决方案
（ 3） 响应 （ React）,
在复杂的信息环境中,保证在任何时候信息平台能高效正常运行,要求安全体系提供有力的响应机制 。
返回本章首页第十章 网络安全解决方案
（ 4） 恢复 （ Restore）,
狭义的恢复指灾难恢复,在系统受到攻击的时候,评估系统受到的危害与损失,按紧急响应预案进行数据与系统恢复,启动备份系统恢复工作等 。 广义的恢复还包括灾难生存等现代新兴学科的研究 。
返回本章首页第十章 网络安全解决方案保护,检测,响应,恢复四个概念之间存在着一定的因果和依存关系,形成一个整体 。
如果全面的保护仍然不能确保安全 （ 这在现阶段是必然的 ）,就需要检测来为响应创造条件；
有效与充分地响应安全事件,将大大减少对保护和恢复的依赖；恢复能力是在其他措施均失准备的情形下的最后保障机制 。
返回本章首页第十章 网络安全解决方案
3,网络安全体系结构要使信息系统免受攻击,关键要建立起安全防御体系,从信息的保密性,拓展到信息的完整性,信息的可用性,信息的可控性,信息的不可否认性等 。
为研究的方便,可以将其简化为用三维框架表示的结构模型,其构成要素是安全特性,
系统单元及开放互连参考模型结构层次 。
返回本章首页第十章 网络安全解决方案返回本章首页物理环境用户层应用层表示层会话层传输层网络层链路层物理层可靠性可用性审计管理防止否认数据完整数据保密访问控制身份鉴别信息处理单元通信网络安全管理安全特性结构层次系统单元安全防御体系结构框架第十章 网络安全解决方案上述框架模型是一个立体空间结构,突破了以往分散孤立地考虑安全问题的旧模式,是站在顶层从整体上对网络安全进行分析和描述的 。 它把与网络安全相关的物理,规章及人员等安全要素都容纳其中,涉及系统保安和人员的行政管理等方面的各种法令,法规,条例和制度等也均在其考虑之列 。
返回本章首页第十章 网络安全解决方案在进行计算机网络安全设计,规划时,应遵循以下原则：
需求、风险、代价平衡分析的原则
综合性、整体性原则
一致性原则
易操作性原则
适应性、灵活性原则
多重保护原则返回本章首页第十章 网络安全解决方案任何安全保护措施都不是绝对安全的，都可能被攻破。为此需要构建全方位的安全体系。
全方位的安全体系的主要内容包括：
访问控制
检查安全漏洞
攻击监控
加密通讯
认证
备份和恢复返回本章首页第十章 网络安全解决方案
10.2 网络安全解决方案
1,网络安全需求分析
（ 1）网络安全需求分析的基本原则网络系统的安全性和易用性在很多时候是矛盾的，因此，在做安全需求分析时需要在其中找到一个恰当的平衡点，如果安全原则妨碍了系统应用，那么这个安全原则就不是一个好的原则。
返回本章首页第十章 网络安全解决方案在做需求分析时需要确立的几种意识：
风险意识
权衡意识
相对意识
集成意识返回本章首页第十章 网络安全解决方案
（ 2）安全威胁分析企业网络面临的安全威胁主要来自以下方面：
操作系统的安全性。
防火墙的安全性。
来自内部网用户的安全威胁。
缺乏有效的手段监视、评估网络系统的安全性。
返回本章首页第十章 网络安全解决方案
采用的 TCP/IP协议族软件，本身缺乏安全性。
应用服务的安全性。
未能对来自 Internet的电子邮件夹带的病毒及 Web浏览可能存在的 Java/ActiveX控件进行有效控制。
返回本章首页第十章 网络安全解决方案一套完整的网络安全解决方案,应该根据目标网络系统的具体特征和应用特点,有针对性地解决可能面临的安全问题 。 具体来讲,需要考虑的问题包括：
关于物理安全的考虑
关于数据安全的考虑
数据备份的考虑
防病毒的考虑
关于操作系统 /数据库 /应用系统的安全考虑返回本章首页第十章 网络安全解决方案
网络系统安全结构的考虑
通信系统安全的考虑关于口令安全的考虑
关于软件研发安全的考虑
关于人员安全因素的考虑
网络相关设施的设置和改造
安全设备的选型
安全策略与安全管理保障机制的设计返回本章首页第十章 网络安全解决方案
网络安全行政与法律保障体系的建立
长期安全顾问服务
服务的价格
事件处理机制
安全监控网络和安全监控中心的建立
安全培训等返回本章首页第十章 网络安全解决方案
（ 3） 企业网络的安全需求分析企业网络的基本安全需求企业网络内部部署了众多的网络设备、服务器，保护这些设备的正常运行，维护主要业务系统的安全，是企业网络的基本安全需求。
返回本章首页第十章 网络安全解决方案业务系统的安全需求企业网络应保障：
访问控制，确保业务系统不被非法访问。
数据安全，保证数据库软硬件系统的整体安全性和可靠性。
入侵检测，能及时发现、记录和跟踪破坏业务系统的恶意行为，提供非法攻击的证据。
来自网络内部其他系统带来的安全隐患。
返回本章首页第十章 网络安全解决方案
Internet服务网络的安全需求
Internet服务网络安全需求是保护网络不受破坏，确保网络服务的可用性。 Internet服务网络分为两个部分：
提供网络用户对 Internet的访问
提供 Internet对网内服务的访问返回本章首页第十章 网络安全解决方案作为信息网络之间互联的边界安全应作为主要安全需求包括：
保证信息网络间安全互联，能够实现网络安全隔离；
对于专有应用的安全服务；
必要的信息交互的可信任性；
能够提供对于主流网络应用的良好支持；
返回本章首页第十章 网络安全解决方案
信息网络公共资源能够对开放用户提供安全访问；
对网络安全事件的审计；
对于网络安全状态的量化评估；
对网络安全状态的实时监控；
返回本章首页第十章 网络安全解决方案信息网络内部的安全需求，包括：
信息网络中的各单位网络之间建立连接控制手段；
能够满足信息网络内的授权用户对相关专用网络资源访问；
同时对于远程访问用户增强安全管理；
加强对于整个信息网络资源和人员的安全管理与培训。
返回本章首页第十章 网络安全解决方案
（ 4）安全需求分析的一般过程返回本章首页
I N T E R N E T
工 作 站工 作 站
…
工 作 站工 作 站
…
交 换 机防 火 墙网 管 计 算 机路 由 器服 务 器
…
服 务 器本节以某公司网络为例，来介绍进行安全需求分析的一般过程，
网络拓扑结构如右图所示。
第十章 网络安全解决方案网络系统的总体安全需求是建立在对网络安全层次分析基础上的。对于基于 TCP / IP协议的网络系统来说，安全层次是与 TCP/IP协议层次相对应的，针对网络的实际情况，可以将安全需求层次归纳为网络层安全和应用层安全两个技术层次，同时将在各层都涉及的安全管理部分单独作为一部分进行分析。
返回本章首页第十章 网络安全解决方案网络层需求分析
网络层安全需求是保护网络不受攻击，确保网络服务的可用性。
能够防范来自 Internet的对提供服务的非法利用。
防范来自 Internet的网络入侵和攻击行为的发生。
对于内部网络提供高于网络边界更高的安全保护。
返回本章首页第十章 网络安全解决方案应用层需求分析应用层的安全需求是针对用户和网络应用资源的，主要包括：
合法用户可以以指定的方式访问指定的信息；
合法用户不能以任何方式访问不允许其访问的信息；
非法用户不能访问任何信息；
用户对任何信息的访问都有记录。
返回本章首页第十章 网络安全解决方案安全管理需求分析能否制定一个统一的安全策略，在全网范围内实现统一的安全管理，对于企业网来说是至关重要的。
安全管理主要包括三个方面：
内部安全管理
网络安全管理
应用安全管理返回本章首页第十章 网络安全解决方案
2,网络安全解决方案
（ 1）网络安全解决方案的层次划分
第一部分为法律、法规与管理手段
第二部分为增强的用户认证
第三部分是授权
第四部分是加密
第五部分为审计、监控和数据备份返回本章首页第十章 网络安全解决方案在上述网络和信息安全模型中，五个部分是相辅相成、缺一不可的。其中底层是上层保障的基础，如果缺少下面各层次的安全保障，
上一层的安全措施则无从说起。
返回本章首页第十章 网络安全解决方案
（ 2）网络安全解决方案返回本章首页
I N T E R N E T
…
安 全 网 闸防 病 毒 入 侵 检 测 安 全 审 计交 换 机防 火 墙网 管 计 算 机身 份 认 证 服 务 器身 份 认 证服 务 器工 作 站 工 作 站工 作 站 工 作 站
……
服 务 器根据上述网络安全解决方案的层次分析，
可以设计出如图所示的网络安全解决方案。
第十章 网络安全解决方案在总部网关位置配置 CheckPoint
Firewall-1 防火墙，划分多安全区域，将内网，
对外发布的 Web Server 和电子商务网站放置在不同的网络安全区域。
在服务器区前放置 CheckPoint Firewall
-1 防火墙模块，其他区域对服务器区的访问必须经过防火墙模块的检查。
在中心交换机上配置基于网络的 IDS系统，
监控整个网络内的网络流量。
返回本章首页第十章 网络安全解决方案在服务器区内的重要服务器，如 Sybase
数据库服务器等，安装基于主机的入侵检测系统，对所有对数据库服务器的访问进行监控，
并对数据库服务器的操作进行记录和审计。
将电子商务网站和进行公司普通 Web发布服务器进行独立配置，对电子商务网站的访问将需要身份认证和加密传输，保证电子商务的安全性。
返回本章首页第十章 网络安全解决方案在 DMZ区的电子商务网站配置基于主机的入侵检测系统，防止来自 Internet 对 Http服务的攻击行为。
在公司总部安装 Spa统一认证服务器，对所有需要的认证进行统一管理，并根据客户的安全级别设置所需要的认证方式（如静态口令，
动态口令，数字证书等）。
返回本章首页第十章 网络安全解决方案
（ 3）设备说明防火墙设备在本方案中选用的防火墙设备是 CheckPoint
FireWall-1防火墙。 FireWall-1功能特点有：
对应用程序的广泛支持
集中管理下的分布式客户机 /服务器结构
远程网络访问的安全保障（ FireWall-1
SecuRemote）：
返回本章首页第十章 网络安全解决方案防病毒设备在本方案中防病毒设备选用的是趋势科技的整体防病毒产品和解决方案，包括中央管理控制、服务器防病毒和客户机防病毒三部分。
返回本章首页第十章 网络安全解决方案入侵监测设备在本方案中入侵监测设备采用的是 NFR入侵监测设备，包括 NFR NID和 NFR HID。
NFR把基于网络的入侵检测技术 NID和基于主机的入侵检测技术 HID完美地结合起来,
构成了一个完整的,一致的实时入侵监控体系 。
返回本章首页第十章 网络安全解决方案
SPA身份认证设备本方案采用的身份认证设备是 Secure
Computing的 SafeWord。 SafeWord具备分散式运作及无限制的可扩充特性。
返回本章首页第十章 网络安全解决方案
10.3 单机用户网络安全解决方案由于当前个人用户使用 Windows类操作系统的占大多数,因此本节所讨论的单机用户网络安全解决方案主要是针对 Windows系列操作系统的 。 单机上网用户面临的安全问题主要包括：
返回本章首页第十章 网络安全解决方案
计算机硬件设备的安全
计算机病毒
网络蠕虫
恶意攻击
木马程序
网站恶意代码
操作系统和应用软件漏洞等返回本章首页第十章 网络安全解决方案
1,Windows98安全解决方案
（ 1） Windows98系统面临的安全威胁
Windows98系统的可控性和可管理性相对较差，从自身来讲安全性不强，但同时来自于 Internet上的安全威胁又相对较少，主要体现在：
返回本章首页第十章 网络安全解决方案
恶意网络攻击
网络共享漏洞
恶意网站代码
不明来历的包含病毒与木马的应用程序
恶意电子邮件攻击等返回本章首页第十章 网络安全解决方案其中电子邮件带来的安全问题主要包括：
电子邮件容易被截获
电子邮件客户端软件设计存在缺陷返回本章首页第十章 网络安全解决方案
（ 2） Windows98安全解决方案根据以上的分析对 Windows98系统的安全解决方案主要包括：
防病毒与木马
防网络攻击
防网站恶意代码
电子邮件安全返回本章首页第十章 网络安全解决方案防病毒与木马防病毒与木马主要依赖于防病毒软件，目前比较流行的有代表性的防病毒软件有：
Norton Anti-Virus,Kaspersky Anti-Virus、
江民的 KV系列、金山毒霸和瑞星等。
防病毒软件通常也具有一定防木马的能力，
专业的防木马软件有：木马克星,Anti-
Trojan,Trojan Remover等。
安装防病毒软件绝对不是一劳永逸的，一定要养成定期更新病毒代码库的良好习惯。
返回本章首页第十章 网络安全解决方案防网络攻击防网络攻击的有效手段是安装个人防火墙。
应用防火墙软件最主要的是要设置好防火墙的规则，只有这样才能正常发挥抵御网络攻击的能力。典型的个人防火墙软件主要有：
Norton Internet Security,ZoneAlarm
Pro,Black Ice、天网防火墙（个人版）、绿色警戒等。
返回本章首页第十章 网络安全解决方案防网站恶意代码对于单机上网用户来说，网站恶意代码是威胁用户安全的主要因素。
为了防网站恶意代码的危害，不让其执行是其中的关键。可以在 IE浏览器的安全设置中禁止 VBScript和 JavaScript的执行。此外，
如今的防病毒软件大多数也具有检测并杀除网站恶意代码的能力。
返回本章首页第十章 网络安全解决方案电子邮件安全从技术上看，没有任何办法可以阻止攻击者截获需要在网络上传输的数据包。
保护电子邮件安全的唯一方法就是让攻击者截获了数据包但无法阅读它，即对电子邮件的内容进行某种形式的加密处理。目前已经出现了不少解决电子邮件安全问题的加密系统解决方案，其中最具代表性的是 PGP加密系统。
返回本章首页第十章 网络安全解决方案
2,Windows 2000/XP安全解决方案针对 Windows98的安全措施对 Windows
2000/XP同样有效，也是 Windows 2000/XP
安全解决方案的重要组成部分。此外 Windows
2000/XP的可管理性比 Windows 98要强得多，
本小节主要从安全管理和安全配置方面进行介绍。
返回本章首页第十章 网络安全解决方案
（ 1） Windows 2000/XP安全管理
停用 Guest 帐号
限制不必要的用户数量
创建 2个管理员用帐号
把系统 administrator帐号改名
创建一个陷阱帐号
把共享文件的权限从 "everyone"组改成 "授权用户 "
返回本章首页第十章 网络安全解决方案
使用安全密码
设置屏幕保护密码
使用 NTFS格式分区
保障备份盘的安全返回本章首页第十章 网络安全解决方案
（ 2） Windows 2000 安全配置
利用 win2000/XP的安全配置工具来配置策略
关闭不必要的服务
关闭不必要的端口
打开审核策略
开启密码策略
开启帐户策略
设定安全记录的访问权限返回本章首页第十章 网络安全解决方案
不让系统显示上次登陆的用户名
到微软网站下载最新的补丁程序
禁止建立空连接
关闭默认共享
禁止 dump file的产生
关机时清除掉页面文件
禁止从软盘和 CD Rom启动系统
考虑使用智能卡来代替密码
虑使用 IPSec
返回本章首页第十章 网络安全解决方案
10.4 内部网络安全管理制度面对网络安全的脆弱性,除在网络设计上增加安全服务功能,完善系统的安全保密措施外,还必须花大力气加强网络的安全管理 。 下面提出有关信息系统安全管理的若干原则和实施措施以供参考 。
返回本章首页第十章 网络安全解决方案
1,安全管理原则计算机信息系统的安全管理主要基于三个原则。
多人负责原则
任期有限原则
职责分离原则返回本章首页第十章 网络安全解决方案
2．安全管理的实现信息系统的安全管理部门应根据管理原则和该系统处理数据的保密性，制订相应的管理制度或采用相应规范，其具体工作是：
确定该系统的安全等级。
根据确定的安全等级，确定安全管理的范围。
制订相应的机房出入管理制度。
返回本章首页第十章 网络安全解决方案
制订严格的操作规程。
制订完备的系统维护制度。
制订应急措施。
建立人员雇用和解聘制度,对工作调动和离职人员要及时调整相应的授权。
返回本章首页第十章 网络安全解决方案
3．网络安全管理制度
（ 1）网络安全管理的基本原则
①分离与制约原则
内部人员与外部人员分离
用户与开发人员分离
用户机与开发机分离
权限分级管理
②有限授权原则
③预防为主原则
④可审计原则返回本章首页第十章 网络安全解决方案
（ 2）安全管理制度的主要内容包括：
机构与人员安全管理
系统运行环境安全管理
硬设施安全管理
软设施安全管理
网络安全管理
数据安全管理
技术文档安全管理
应用系统运营安全管理
操作安全管理
应用系统开发安全管理返回本章首页第十章 网络安全解决方案
10.5 小结网络安全是一项复杂的系统工程,涉及技术,设备,管理和制度等多方面的因素,安全解决方案的制定需要从总体上进行把握 。 网络安全解决方案的内涵是综合运用各种计算机网络信息系统安全技术,将安全操作系统技术,
防火墙技术,病毒防护技术,入侵检测技术,
安全扫描技术,认证和数字签名技术,VPN技术等综合起来,形成一个完整的,协调一致的网络安全防护体系 。
返回本章首页第十章 网络安全解决方案返回本章首页本章到此结束，谢谢！
网络安全体系结构
网络安全解决方案
单机用户网络安全解决方案
内部网络安全管理制度
小结第十章 网络安全解决方案
10.1 网络安全体系结构
1,网络信息安全的基本问题网络信息安全的基本问题是众所周知的诸要素：可用性,保密性,完整性,可控性与可审查性等 。
最终要解决是使用者对基础设施的信心和责任感的问题 。
返回本章首页第十章 网络安全解决方案网络时代的信息安全有非常独特的特征,
研究信息安全的困难在于：
边界模糊
评估困难
安全技术滞后
管理滞后返回本章首页第十章 网络安全解决方案
2,网络与信息安全体系要实施一个完整的网络与信息安全体系，
至少应包括三类措施，并且三者缺一不可。
一是社会的法律政策、规章制度措施
二是技术措施
三是审计和管理措施返回本章首页第十章 网络安全解决方案数据安全、平台安全、服务安全要求用完整的信息保障体系，并不断发展传统的信息安全概念。
保护、检测、响应、恢复涵盖了对现代网络信息系统保护的各个方面，构成了一个完整的体系，使网络信息安全建筑在更坚实的基础之上。
返回本章首页第十章 网络安全解决方案
（ 1） 保护 （ Protect）,
保护包括传统安全概念的继承,用加解密技术,访问控制技术,数字签名技术,从信息动态舆,数据静态存储和经授权方可使用,以及可验证的信息交换过程等到方面对数据及其网上操作加以保护 。
返回本章首页第十章 网络安全解决方案
（ 2） 检测 （ Detect）,
检测的含义是,对信息传输的内容的可控性的检测,对信息平台访问过程的甄别检测,
对违规与恶意攻击的检测,对系统与网络弱点与漏洞的检测等等 。
返回本章首页第十章 网络安全解决方案
（ 3） 响应 （ React）,
在复杂的信息环境中,保证在任何时候信息平台能高效正常运行,要求安全体系提供有力的响应机制 。
返回本章首页第十章 网络安全解决方案
（ 4） 恢复 （ Restore）,
狭义的恢复指灾难恢复,在系统受到攻击的时候,评估系统受到的危害与损失,按紧急响应预案进行数据与系统恢复,启动备份系统恢复工作等 。 广义的恢复还包括灾难生存等现代新兴学科的研究 。
返回本章首页第十章 网络安全解决方案保护,检测,响应,恢复四个概念之间存在着一定的因果和依存关系,形成一个整体 。
如果全面的保护仍然不能确保安全 （ 这在现阶段是必然的 ）,就需要检测来为响应创造条件；
有效与充分地响应安全事件,将大大减少对保护和恢复的依赖；恢复能力是在其他措施均失准备的情形下的最后保障机制 。
返回本章首页第十章 网络安全解决方案
3,网络安全体系结构要使信息系统免受攻击,关键要建立起安全防御体系,从信息的保密性,拓展到信息的完整性,信息的可用性,信息的可控性,信息的不可否认性等 。
为研究的方便,可以将其简化为用三维框架表示的结构模型,其构成要素是安全特性,
系统单元及开放互连参考模型结构层次 。
返回本章首页第十章 网络安全解决方案返回本章首页物理环境用户层应用层表示层会话层传输层网络层链路层物理层可靠性可用性审计管理防止否认数据完整数据保密访问控制身份鉴别信息处理单元通信网络安全管理安全特性结构层次系统单元安全防御体系结构框架第十章 网络安全解决方案上述框架模型是一个立体空间结构,突破了以往分散孤立地考虑安全问题的旧模式,是站在顶层从整体上对网络安全进行分析和描述的 。 它把与网络安全相关的物理,规章及人员等安全要素都容纳其中,涉及系统保安和人员的行政管理等方面的各种法令,法规,条例和制度等也均在其考虑之列 。
返回本章首页第十章 网络安全解决方案在进行计算机网络安全设计,规划时,应遵循以下原则：
需求、风险、代价平衡分析的原则
综合性、整体性原则
一致性原则
易操作性原则
适应性、灵活性原则
多重保护原则返回本章首页第十章 网络安全解决方案任何安全保护措施都不是绝对安全的，都可能被攻破。为此需要构建全方位的安全体系。
全方位的安全体系的主要内容包括：
访问控制
检查安全漏洞
攻击监控
加密通讯
认证
备份和恢复返回本章首页第十章 网络安全解决方案
10.2 网络安全解决方案
1,网络安全需求分析
（ 1）网络安全需求分析的基本原则网络系统的安全性和易用性在很多时候是矛盾的，因此，在做安全需求分析时需要在其中找到一个恰当的平衡点，如果安全原则妨碍了系统应用，那么这个安全原则就不是一个好的原则。
返回本章首页第十章 网络安全解决方案在做需求分析时需要确立的几种意识：
风险意识
权衡意识
相对意识
集成意识返回本章首页第十章 网络安全解决方案
（ 2）安全威胁分析企业网络面临的安全威胁主要来自以下方面：
操作系统的安全性。
防火墙的安全性。
来自内部网用户的安全威胁。
缺乏有效的手段监视、评估网络系统的安全性。
返回本章首页第十章 网络安全解决方案
采用的 TCP/IP协议族软件，本身缺乏安全性。
应用服务的安全性。
未能对来自 Internet的电子邮件夹带的病毒及 Web浏览可能存在的 Java/ActiveX控件进行有效控制。
返回本章首页第十章 网络安全解决方案一套完整的网络安全解决方案,应该根据目标网络系统的具体特征和应用特点,有针对性地解决可能面临的安全问题 。 具体来讲,需要考虑的问题包括：
关于物理安全的考虑
关于数据安全的考虑
数据备份的考虑
防病毒的考虑
关于操作系统 /数据库 /应用系统的安全考虑返回本章首页第十章 网络安全解决方案
网络系统安全结构的考虑
通信系统安全的考虑关于口令安全的考虑
关于软件研发安全的考虑
关于人员安全因素的考虑
网络相关设施的设置和改造
安全设备的选型
安全策略与安全管理保障机制的设计返回本章首页第十章 网络安全解决方案
网络安全行政与法律保障体系的建立
长期安全顾问服务
服务的价格
事件处理机制
安全监控网络和安全监控中心的建立
安全培训等返回本章首页第十章 网络安全解决方案
（ 3） 企业网络的安全需求分析企业网络的基本安全需求企业网络内部部署了众多的网络设备、服务器，保护这些设备的正常运行，维护主要业务系统的安全，是企业网络的基本安全需求。
返回本章首页第十章 网络安全解决方案业务系统的安全需求企业网络应保障：
访问控制，确保业务系统不被非法访问。
数据安全，保证数据库软硬件系统的整体安全性和可靠性。
入侵检测，能及时发现、记录和跟踪破坏业务系统的恶意行为，提供非法攻击的证据。
来自网络内部其他系统带来的安全隐患。
返回本章首页第十章 网络安全解决方案
Internet服务网络的安全需求
Internet服务网络安全需求是保护网络不受破坏，确保网络服务的可用性。 Internet服务网络分为两个部分：
提供网络用户对 Internet的访问
提供 Internet对网内服务的访问返回本章首页第十章 网络安全解决方案作为信息网络之间互联的边界安全应作为主要安全需求包括：
保证信息网络间安全互联，能够实现网络安全隔离；
对于专有应用的安全服务；
必要的信息交互的可信任性；
能够提供对于主流网络应用的良好支持；
返回本章首页第十章 网络安全解决方案
信息网络公共资源能够对开放用户提供安全访问；
对网络安全事件的审计；
对于网络安全状态的量化评估；
对网络安全状态的实时监控；
返回本章首页第十章 网络安全解决方案信息网络内部的安全需求，包括：
信息网络中的各单位网络之间建立连接控制手段；
能够满足信息网络内的授权用户对相关专用网络资源访问；
同时对于远程访问用户增强安全管理；
加强对于整个信息网络资源和人员的安全管理与培训。
返回本章首页第十章 网络安全解决方案
（ 4）安全需求分析的一般过程返回本章首页
I N T E R N E T
工 作 站工 作 站
…
工 作 站工 作 站
…
交 换 机防 火 墙网 管 计 算 机路 由 器服 务 器
…
服 务 器本节以某公司网络为例，来介绍进行安全需求分析的一般过程，
网络拓扑结构如右图所示。
第十章 网络安全解决方案网络系统的总体安全需求是建立在对网络安全层次分析基础上的。对于基于 TCP / IP协议的网络系统来说，安全层次是与 TCP/IP协议层次相对应的，针对网络的实际情况，可以将安全需求层次归纳为网络层安全和应用层安全两个技术层次，同时将在各层都涉及的安全管理部分单独作为一部分进行分析。
返回本章首页第十章 网络安全解决方案网络层需求分析
网络层安全需求是保护网络不受攻击，确保网络服务的可用性。
能够防范来自 Internet的对提供服务的非法利用。
防范来自 Internet的网络入侵和攻击行为的发生。
对于内部网络提供高于网络边界更高的安全保护。
返回本章首页第十章 网络安全解决方案应用层需求分析应用层的安全需求是针对用户和网络应用资源的，主要包括：
合法用户可以以指定的方式访问指定的信息；
合法用户不能以任何方式访问不允许其访问的信息；
非法用户不能访问任何信息；
用户对任何信息的访问都有记录。
返回本章首页第十章 网络安全解决方案安全管理需求分析能否制定一个统一的安全策略，在全网范围内实现统一的安全管理，对于企业网来说是至关重要的。
安全管理主要包括三个方面：
内部安全管理
网络安全管理
应用安全管理返回本章首页第十章 网络安全解决方案
2,网络安全解决方案
（ 1）网络安全解决方案的层次划分
第一部分为法律、法规与管理手段
第二部分为增强的用户认证
第三部分是授权
第四部分是加密
第五部分为审计、监控和数据备份返回本章首页第十章 网络安全解决方案在上述网络和信息安全模型中，五个部分是相辅相成、缺一不可的。其中底层是上层保障的基础，如果缺少下面各层次的安全保障，
上一层的安全措施则无从说起。
返回本章首页第十章 网络安全解决方案
（ 2）网络安全解决方案返回本章首页
I N T E R N E T
…
安 全 网 闸防 病 毒 入 侵 检 测 安 全 审 计交 换 机防 火 墙网 管 计 算 机身 份 认 证 服 务 器身 份 认 证服 务 器工 作 站 工 作 站工 作 站 工 作 站
……
服 务 器根据上述网络安全解决方案的层次分析，
可以设计出如图所示的网络安全解决方案。
第十章 网络安全解决方案在总部网关位置配置 CheckPoint
Firewall-1 防火墙，划分多安全区域，将内网，
对外发布的 Web Server 和电子商务网站放置在不同的网络安全区域。
在服务器区前放置 CheckPoint Firewall
-1 防火墙模块，其他区域对服务器区的访问必须经过防火墙模块的检查。
在中心交换机上配置基于网络的 IDS系统，
监控整个网络内的网络流量。
返回本章首页第十章 网络安全解决方案在服务器区内的重要服务器，如 Sybase
数据库服务器等，安装基于主机的入侵检测系统，对所有对数据库服务器的访问进行监控，
并对数据库服务器的操作进行记录和审计。
将电子商务网站和进行公司普通 Web发布服务器进行独立配置，对电子商务网站的访问将需要身份认证和加密传输，保证电子商务的安全性。
返回本章首页第十章 网络安全解决方案在 DMZ区的电子商务网站配置基于主机的入侵检测系统，防止来自 Internet 对 Http服务的攻击行为。
在公司总部安装 Spa统一认证服务器，对所有需要的认证进行统一管理，并根据客户的安全级别设置所需要的认证方式（如静态口令，
动态口令，数字证书等）。
返回本章首页第十章 网络安全解决方案
（ 3）设备说明防火墙设备在本方案中选用的防火墙设备是 CheckPoint
FireWall-1防火墙。 FireWall-1功能特点有：
对应用程序的广泛支持
集中管理下的分布式客户机 /服务器结构
远程网络访问的安全保障（ FireWall-1
SecuRemote）：
返回本章首页第十章 网络安全解决方案防病毒设备在本方案中防病毒设备选用的是趋势科技的整体防病毒产品和解决方案，包括中央管理控制、服务器防病毒和客户机防病毒三部分。
返回本章首页第十章 网络安全解决方案入侵监测设备在本方案中入侵监测设备采用的是 NFR入侵监测设备，包括 NFR NID和 NFR HID。
NFR把基于网络的入侵检测技术 NID和基于主机的入侵检测技术 HID完美地结合起来,
构成了一个完整的,一致的实时入侵监控体系 。
返回本章首页第十章 网络安全解决方案
SPA身份认证设备本方案采用的身份认证设备是 Secure
Computing的 SafeWord。 SafeWord具备分散式运作及无限制的可扩充特性。
返回本章首页第十章 网络安全解决方案
10.3 单机用户网络安全解决方案由于当前个人用户使用 Windows类操作系统的占大多数,因此本节所讨论的单机用户网络安全解决方案主要是针对 Windows系列操作系统的 。 单机上网用户面临的安全问题主要包括：
返回本章首页第十章 网络安全解决方案
计算机硬件设备的安全
计算机病毒
网络蠕虫
恶意攻击
木马程序
网站恶意代码
操作系统和应用软件漏洞等返回本章首页第十章 网络安全解决方案
1,Windows98安全解决方案
（ 1） Windows98系统面临的安全威胁
Windows98系统的可控性和可管理性相对较差，从自身来讲安全性不强，但同时来自于 Internet上的安全威胁又相对较少，主要体现在：
返回本章首页第十章 网络安全解决方案
恶意网络攻击
网络共享漏洞
恶意网站代码
不明来历的包含病毒与木马的应用程序
恶意电子邮件攻击等返回本章首页第十章 网络安全解决方案其中电子邮件带来的安全问题主要包括：
电子邮件容易被截获
电子邮件客户端软件设计存在缺陷返回本章首页第十章 网络安全解决方案
（ 2） Windows98安全解决方案根据以上的分析对 Windows98系统的安全解决方案主要包括：
防病毒与木马
防网络攻击
防网站恶意代码
电子邮件安全返回本章首页第十章 网络安全解决方案防病毒与木马防病毒与木马主要依赖于防病毒软件，目前比较流行的有代表性的防病毒软件有：
Norton Anti-Virus,Kaspersky Anti-Virus、
江民的 KV系列、金山毒霸和瑞星等。
防病毒软件通常也具有一定防木马的能力，
专业的防木马软件有：木马克星,Anti-
Trojan,Trojan Remover等。
安装防病毒软件绝对不是一劳永逸的，一定要养成定期更新病毒代码库的良好习惯。
返回本章首页第十章 网络安全解决方案防网络攻击防网络攻击的有效手段是安装个人防火墙。
应用防火墙软件最主要的是要设置好防火墙的规则，只有这样才能正常发挥抵御网络攻击的能力。典型的个人防火墙软件主要有：
Norton Internet Security,ZoneAlarm
Pro,Black Ice、天网防火墙（个人版）、绿色警戒等。
返回本章首页第十章 网络安全解决方案防网站恶意代码对于单机上网用户来说，网站恶意代码是威胁用户安全的主要因素。
为了防网站恶意代码的危害，不让其执行是其中的关键。可以在 IE浏览器的安全设置中禁止 VBScript和 JavaScript的执行。此外，
如今的防病毒软件大多数也具有检测并杀除网站恶意代码的能力。
返回本章首页第十章 网络安全解决方案电子邮件安全从技术上看，没有任何办法可以阻止攻击者截获需要在网络上传输的数据包。
保护电子邮件安全的唯一方法就是让攻击者截获了数据包但无法阅读它，即对电子邮件的内容进行某种形式的加密处理。目前已经出现了不少解决电子邮件安全问题的加密系统解决方案，其中最具代表性的是 PGP加密系统。
返回本章首页第十章 网络安全解决方案
2,Windows 2000/XP安全解决方案针对 Windows98的安全措施对 Windows
2000/XP同样有效，也是 Windows 2000/XP
安全解决方案的重要组成部分。此外 Windows
2000/XP的可管理性比 Windows 98要强得多，
本小节主要从安全管理和安全配置方面进行介绍。
返回本章首页第十章 网络安全解决方案
（ 1） Windows 2000/XP安全管理
停用 Guest 帐号
限制不必要的用户数量
创建 2个管理员用帐号
把系统 administrator帐号改名
创建一个陷阱帐号
把共享文件的权限从 "everyone"组改成 "授权用户 "
返回本章首页第十章 网络安全解决方案
使用安全密码
设置屏幕保护密码
使用 NTFS格式分区
保障备份盘的安全返回本章首页第十章 网络安全解决方案
（ 2） Windows 2000 安全配置
利用 win2000/XP的安全配置工具来配置策略
关闭不必要的服务
关闭不必要的端口
打开审核策略
开启密码策略
开启帐户策略
设定安全记录的访问权限返回本章首页第十章 网络安全解决方案
不让系统显示上次登陆的用户名
到微软网站下载最新的补丁程序
禁止建立空连接
关闭默认共享
禁止 dump file的产生
关机时清除掉页面文件
禁止从软盘和 CD Rom启动系统
考虑使用智能卡来代替密码
虑使用 IPSec
返回本章首页第十章 网络安全解决方案
10.4 内部网络安全管理制度面对网络安全的脆弱性,除在网络设计上增加安全服务功能,完善系统的安全保密措施外,还必须花大力气加强网络的安全管理 。 下面提出有关信息系统安全管理的若干原则和实施措施以供参考 。
返回本章首页第十章 网络安全解决方案
1,安全管理原则计算机信息系统的安全管理主要基于三个原则。
多人负责原则
任期有限原则
职责分离原则返回本章首页第十章 网络安全解决方案
2．安全管理的实现信息系统的安全管理部门应根据管理原则和该系统处理数据的保密性，制订相应的管理制度或采用相应规范，其具体工作是：
确定该系统的安全等级。
根据确定的安全等级，确定安全管理的范围。
制订相应的机房出入管理制度。
返回本章首页第十章 网络安全解决方案
制订严格的操作规程。
制订完备的系统维护制度。
制订应急措施。
建立人员雇用和解聘制度,对工作调动和离职人员要及时调整相应的授权。
返回本章首页第十章 网络安全解决方案
3．网络安全管理制度
（ 1）网络安全管理的基本原则
①分离与制约原则
内部人员与外部人员分离
用户与开发人员分离
用户机与开发机分离
权限分级管理
②有限授权原则
③预防为主原则
④可审计原则返回本章首页第十章 网络安全解决方案
（ 2）安全管理制度的主要内容包括：
机构与人员安全管理
系统运行环境安全管理
硬设施安全管理
软设施安全管理
网络安全管理
数据安全管理
技术文档安全管理
应用系统运营安全管理
操作安全管理
应用系统开发安全管理返回本章首页第十章 网络安全解决方案
10.5 小结网络安全是一项复杂的系统工程,涉及技术,设备,管理和制度等多方面的因素,安全解决方案的制定需要从总体上进行把握 。 网络安全解决方案的内涵是综合运用各种计算机网络信息系统安全技术,将安全操作系统技术,
防火墙技术,病毒防护技术,入侵检测技术,
安全扫描技术,认证和数字签名技术,VPN技术等综合起来,形成一个完整的,协调一致的网络安全防护体系 。
返回本章首页第十章 网络安全解决方案返回本章首页本章到此结束，谢谢！
