1、,第12章 网络安全方案设计,Company Logo,2,主要内容,Company Logo,3,12.1.1 网络安全方案设计的目标,在设计网络安全方案时，一定要实地考察网络系统的环境，对当前可能遇到的安全风险和威胁做一个合理的量化和评估，只有这样才能设计出一份可观的解决方案。好的方案是一个网络工程项目中很重要的部分，也是网络工程实施的基础和前提。网络安全方案设计的目标是实现动态安全，不会因为随着时间的推移和环境的变化而使得系统变得不安全，所以不仅需要考虑当前的状况，还要考虑到未来的需求，能为今后的网络升级准备好升级的接口。没有一个网络是绝对安全的，即只有相对安全。而且现在相对安全的方案可
2、能因为时间和空间的不断变化而出现安全问题，因此在设计方案时必须注意到这一点，并在方案中也应该告诉用户，只能做到避免风险，消除风险的根源，降低由于风险所带来的损失，而不能做到消灭风险。,Company Logo,4,12.1.2网络安全方案设计的原则,1.系统性原则网络安全系统的建设需要有系统性和适应性，而且不能因为网络技术的发展、网络信息系统的攻防技术的深化和演变、系统升级和配置的变化而导致在系统的整个生命周期内的安全保障能力和抵御风险的能力降低。 2.技术先进性原则技术先进性是网络安全系统设计必须考虑的原则之一，只有选用先进、成熟的安全技术和设备，并在方案实施时采用先进可靠的工艺和技术，才能
3、提高整个网络系统运行的可靠性和稳定性。,Company Logo,5,12.1.2网络安全方案设计的原则,3.管理可控性原则网络系统的所有安全设备（包括管理、维护和配置）都应该自主可控，网络系统安全设备的采购也必须有严格的手续和相应机构的认证或许可标记，另外，安全设备的供应商也须具备相应的资质并具有可信度。 4.适度安全性原则网络系统安全方案应该充分考虑被保护对象的价值与保护成本之间的平衡性，在允许的风险范围内应该尽量减少安全服务的规模和复杂性，使之具有可操作性，避免超出用户所能理解的范围，从而造成方案的执行困难，甚至无法执行。,Company Logo,6,12.1.2网络安全方案设计的原则
4、,5.技术和管理相结合原则网络系统安全建设是一个复杂的系统工程，它包括产品、过程和人的因素，因此它的安全解决方案必须在考虑技术解决方案的同时充分考虑管理、法律和法规方面的制约和调控作用。单靠技术或单靠管理都不可能真正解决安全问题，而必须坚持技术和管理相结合的原则。 6.测评认证原则安全方案的设计必须通过国家有关部门的评审，采用的安全产品和保密设备需经过国家主管部门的认可。 7.系统可伸缩性原则企业的网络系统会随着网络和应用技术的发展而发生变化，同时信息安全技术也在发展，因此，网络安全系统的建设必须考虑系统的可升级性和可伸缩性。重要和关键的安全设备不因网络的变化而更换或废弃。,Company L
5、ogo,7,12.2.1技术解决方案,1.防火墙防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。防火墙在局域网中一般安装在局域网与路由器之间；在托管服务器机房中一般安装在服务器与托管机房局域网之间。,Company Logo,8,12.2.1技术解决方案,1)局域网防火墙的主要作用 (1)实现单向访问，允许局域网用户访问Internet资源，但是严格限制In
6、ternet用户对局域网资源的访问； (2) 通过防火墙，将整个局域网划分Internet，DMZ区，内网访问区这三个逻辑上分开的区域，有利于对整个网络进行管理； (3)局域网所有工作站和服务器处于防火墙地整体防护之下，只要通过防火墙设置的修改，就能有限绝大部分防止来自Internet上的攻击，网络管理员只需要关注DMZ区对外提供服务的相关应用的安全漏洞； (4)通过防火墙的过滤规则，实现端口级控制，限制局域网用户对Internet的访问； (5)进行流量控制，确保重要业务对流量的要求；(6)通过过滤规则，以时间为控制要素，限制大流量网络应用在上班时间的使用。,Company Logo,9,1
7、2.2.1技术解决方案,2)托管服务器机房防火墙的主要作用(1) 通过防火墙的过滤规则，限制Internet用户对WWW服务器的访问，将访问权限控制在最小的限度，在这种情况下，网络管理员可以忽略服务器系统的安全漏洞，只需要关注WWW应用服务软件的安全漏洞；(2) 通过过滤规则，对远程更新的时间、来源(通过IP地址)进行限制。,Company Logo,10,12.2.1技术解决方案,2.入侵检测与入侵防御入侵检测（IDS）与入侵防御（IPS）设备一般局域网DMZ区以及托管服务器机房服务器区。 1)入侵检测的作用(1)作为旁路设备，监控网络中的信息，统计并记录网络中的异常主机以及异常连接；(2)
8、中断异常连接；(3)通过联动机制，向防火墙发送指令，在限定的时间内对特定的IP地址实施封堵。 2)入侵防御的作用如果检测到攻击，IPS会在这种攻击扩散到网络的其它地方之前阻止这个恶意的通信。,Company Logo,11,12.2.1技术解决方案,3.网络防病毒软件控制中心以及客户端软件网络防病毒软件主要安装在防病毒服务器以及各个客户端计算机上。 1)防病毒服务器的主要作用(1) 作为防病毒软件的控制中心，及时通过Internet更新病毒库，并强制局域网中已开机的客户端计算机及时更新病毒库软件；(2)记录各个客户端计算机的病毒库升级情况；(3)记录局域网中计算机病毒出现的时间、类型以及后续处
9、理措施。 2)防病毒客户端软件的作用(1) 对本机的内存、文件的读写进行监控，根据预定的处理方法处理带毒文件；(2) 监控邮件收发软件，根据预定处理方法处理带毒邮件。,Company Logo,12,12.2.1技术解决方案,4.邮件防病毒服务器邮件防病毒服务器一般安装在邮件服务器与防火墙之间，邮件防病毒软件对来之Internet的电子邮件进行检测，根据预先设定的处理方法处理带毒邮件。邮件防病毒软件的监控范围包括所有来自Internet的电子邮件及其所带附件(对于压缩文件同样也进行检测)。,Company Logo,13,12.2.1技术解决方案,5.反垃圾邮件系统与邮件防毒软件相同，如果软硬
10、件条件允许，则两者可以安装在同一台服务器上。反垃圾邮件系统的作用是：(1) 拒绝转发来自Internet的垃圾邮件；(2) 拒绝转发来自局域网用户的垃圾邮件并将发垃圾邮件的局域网用户的IP地址通过电子邮件等方式通报网管；(3) 记录发垃圾邮件的终端地址；(4) 通过电子邮件等方式通知网管垃圾邮件的处理情况。,Company Logo,14,12.2.1技术解决方案,6.动态口令认证系统该系统一般安装在需要进行口令加强的敏感服务器端，如WWW服务器，它的作用是：通过定期修改密码，确保密码的不可猜测性。,Company Logo,15,12.2.1技术解决方案,7.网络管理软件 网管软件主要安装在
11、局域网中，它的作用是：(1) 收集局域网中所有资源的硬件信息；(2) 收集局域网中所有终端和服务器的操作系统、系统补丁等软件信息；(3) 收集交换机等网络设备的工作状况等信息；(4) 判断局域网用户是否使用了MODEM等非法网络设备与Internet连接；(5) 显示实时网络连接情况；(6) 如果交换机等核心网络设备出现异常，及时向网管中心报警；,Company Logo,16,12.2.1技术解决方案,8.QoS流量管理专门的QoS（Quality of Service）产品安装在路由器和防火墙之间，但有些防火墙可能本身就带有QoS流量管理模块。它的作用是：(1) 通过IP地址，为重要用户分
12、配足够的带宽；(2) 通过端口，为重要的应用分配足够的带宽资源；(3) 限制非业务流量的带宽；(4) 在资源闲置时期，允许其他人员使用资源，一旦重要用户或者重要应用需要使用带宽，则确保它们能够至少使用分配给他们的带宽资源。,Company Logo,17,12.2.1技术解决方案,9.页面防篡改系统 该系统主要安装在WWW服务器上，它的作用是： (1) 定期比对发布页面文件与备份文件，一旦发现不匹配，用备份文件替换发布文件； (2) 通过特殊的认证机制，允许授权用户修改页面文件； (3) 能够对数据库文件进行比对。,Company Logo,18,12.2.2网络安全服务解决方案,1.网络拓扑
13、分析 服务对象：整个网络。 服务周期：半年一次。 服务内容：(1)根据网络的实际情况，绘制网络拓扑图；(2)分析网络中存在的安全缺陷并提出整改建议意见。 服务作用：针对网络的整体情况，进行总体、框架性分析。一方面，通过网络拓扑分析，能够形成网络整体拓扑图，为网络规划、网络日常管理等管理行为提供必要的技术资料；另一方面，通过整体的安全性分析，能够找出网络设计上的安全缺陷，找到各种网络设备在协同工作中可能产生的安全问题。,Company Logo,19,12.2.2网络安全服务解决方案,2.中心机房管理制度制订以及修改 服务对象：中心机房。 服务周期：半年一次。 服务内容：协助用户制订并修改机房管
14、理制度。制度内容涉及人员进出机房的登记制度、设备进出机房的登记制度、设备配置修改的登记制度等。 服务作用：严格控制中心机房的人员进出、设备进出并及时登记设备的配置更新情况，有助于网络核心设备的监控，确保网络的正常运行。,Company Logo,20,12.2.2网络安全服务解决方案,3.操作系统补丁升级 服务对象：服务器、工作站、终端。 服务周期：不定期。 服务内容：(1) 一旦出现重大安全补丁，及时更新所有相关系统；(2)出现大型补丁(如微软的SP)，及时更新所有相关系统；服务作用：通过及时、有效的补丁升级，能够有效防止局域网主机和服务器相互之间的攻击，降低现代网络蠕虫病毒对网络的整体影响
15、，增加网络带宽的有效利用率。,Company Logo,21,12.2.2网络安全服务解决方案,4.服务器定期扫描、加固 服务对象：服务器。 服务周期：半年一次。 服务内容：使用专用的扫描工具，在用户网络管理人员的配合，对主要的服务器进行扫描。 服务作用：(1) 找出对应服务器操作系统中存在的系统漏洞；(2) 找出服务器对应应用服务中存在的系统漏洞；(3) 找出安全强度较低的用户名和用户密码。,Company Logo,22,12.2.2网络安全服务解决方案,5.防病毒软件病毒库定期升级 服务对象：防病毒服务器、安装防病毒客户端的终端。 服务周期：每周一次。 服务内容：(1) 防病毒服务器通过
16、Internet更新病毒库；(2)防病毒服务器强制所有在线客户端更新病毒库。 服务作用：通过不断升级病毒库，确保防病毒软件能够及时检测到新的病毒病进行查杀。,Company Logo,23,12.2.2网络安全服务解决方案,6.防火墙日志备份、分析 服务对象：防火墙设备. 服务周期：一周一次. 服务内容：导出防火墙日志并进行分析。 服务作用：通过流量简图找出流量异常的时间段，通过检查流量较大的主机，找出局域网中的异常主机。,Company Logo,24,12.2.2网络安全服务解决方案,7.入侵检测、入侵防御等安全设备日志备份 服务对象：入侵检测、入侵防御等安全设备。 服务周期：一周一次。
17、服务内容：备份安全设备日志。 服务作用：防止日志过大导致检索、分析的难度，另一方面也有利于事后的检查。,Company Logo,25,12.2.2网络安全服务解决方案,8.服务器日志备份 服务对象：主要服务器(如MAIL服务器、WWW服务器、文件服务器等)。 服务周期：一周一次。 服务内容：备份服务器访问日志。 服务作用： 防止日志过大导致检索、分析的难度，另一方面也有利于事后的检查。,Company Logo,26,12.2.2网络安全服务解决方案,9.白客渗透 服务对象：对Internet提供服务的服务器。 服务周期：半年一次。 服务内容：服务商在用户指定的时间段内，通过Internet
18、，使用各种工具在不破坏应用的前提下攻击服务器，最终提供检测报告。 服务作用：先于黑客进行探测性攻击以检测系统漏洞。根据最终检测报告进一步增强系统的安全性。,Company Logo,27,12.2.2网络安全服务解决方案,10.网络硬件设备冗余系统 服务对象：骨干交换机、路由器等网络骨干设备。 服务周期：实时。 服务内容：根据用户的网络情况，提供骨干交换机、路由器等核心网络设备的备份。备份设备可以在段时间内替代网络中实际使用的设备。 服务作用：一旦核心设备出现故障，使用备件替换以减少网络故障时间。,Company Logo,28,12.2.2网络安全服务解决方案,11.数据备份系统 服务对象：
19、所有重要服务数据。 服务周期：根据网络情况制定完全备份和增量备份的时间 服务内容：定期备份电子信息。 服务作用：防止核心服务器崩溃导致网络应用瘫痪。,Company Logo,29,12.2.2网络安全服务解决方案,12.定期总体安全分析报告 服务对象：整个网络。 服务周期：半年一次。 服务内容：综合网络拓扑报告、各种安全设备日志、服务器日志等信息，对网络进行总体安全综合性分析，分析内容包括网络安全现状、网络安全隐患分析，并提出改进建议意见。 服务作用：提供综合性、全面的安全报告，针对全网络进行安全性讨论，为全面提高网络的安全性提供技术资料。以上是网络安全服务解决方案，其中，网络安全产品一般是
20、共性的，通过安全服务，能够配置出适合本网络的安全设备，使得安全产品在特定的网络中发挥最大的效能，使得各种设备协同工作，增强网络的安全性和可用性。,Company Logo,30,12.2.3技术支持解决方案,1.故障排除 支持范围： (1)用户无法访问网络(如局域网用户无法访问Internet)； (2)应用服务无法访问(如不能对外提供WWW服务)； (3)网络访问异常(如访问速度慢)。 作用：一旦网络出现异常，为用户提供及时、有效的网络服务。在最短的时间内恢复网络应用。,Company Logo,31,12.2.3技术支持解决方案,2.灾难恢复 支持范围：设备遇到物理损害网络、网络应用异常。
21、 作用：通过备品备件，快速恢复网络硬件环境；通过备份文件的复原，尽快恢复网络的电子资源；由此可在最短的时间内恢复整个网络应用。,Company Logo,32,12.2.3技术支持解决方案,3.查找攻击源 支持范围： 网络管理员发现网络遭到攻击，并需要确定攻击来源。作用： 通过日志文件等信息，确定攻击的来源，为进一步采取措施提供依据。,Company Logo,33,12.2.3技术支持解决方案,4.实时检索日志文件 支持范围： 遭到实时的攻击(如DOS，SYN FLOODING等)，需要及时了解攻击源以及攻击强度。 作用：通过实时检索日志文件，可以当时存在的针对本网络的攻击并查找出攻击源。如
22、果攻击强度超出网络能够承受的范围，可采取进一步措施进行防范。,Company Logo,34,12.2.3技术支持解决方案,5.即时查杀病毒 支持范围：由不可确定的因素导致网络中出现计算机病毒。 作用：即使网络中出现病毒，通过及时有效的技术支持，在最短的时间内查处感染病毒的主机并即时查杀病毒，恢复网络应用。,Company Logo,35,12.2.3技术支持解决方案,6.即时网络监控 支持范围： 网络出现异常，但应用基本正常。 作用：通过网络监控，尽可能发现网络中存在的前期网络故障，在故障扩大化以前及时进行防治。,Company Logo,36,12.3.1某电力公司项目背景,某电力公司电网
23、已发展成为以火电为主，水力发电为辅，500kv输电线路为骨干，220kv线路为网架、分层分区结构完整的电网。与生产网络的发展相匹配，该公司已经组建了调度网络和OA网络，并正在发展和银行之间的互联，开展业务往来；而且随着信息化的深入发展，各个公司也有接入Internet网的需求，这就对电力内部的各种信息构成威胁。为防范对电网和电厂计算机监控系统及调度数据网络的攻击侵害及由此引起的电力系统事故，保障电力系统的安全稳定运行，建立和完善电网和电厂计算机监控系统及调度数据网络的安全防护体系，国电已依据全国人大常委会关于维护网络安全和信息安全的决议和中华人民共和国计算机信息系统安全保护条例及国家关于计算机
24、信息与网络系统安全防护的有关规定，制定了电网和电厂计算机监控系统及调度网络安全防护规定。,Company Logo,37,12.3.2网络威胁及需求分析,1.网络威胁该公司的网络安全采取的主要措施有：利用操作系统、数据库、电子邮件、应用系统本身的安全性，对用户进行权限控制。在连接广域网接口处，通过Cisco 2600路由器的IP包过滤及访问控制列表（ACL）功能，做了一定的安全控制。但实际上，仅依靠以上几项安全措施，不能达到公司网络安全的要求。所以的目前主要网络安全威胁如下： (1)内部网络和外部网络之间的连接为直接连接，外部用户不但可以访问对外服务的服务器，同时也容易地访问内部的网络服务器，
25、这样，由于内部和外部没有隔离措施，内部系统较容易遭到攻击。 (2)来自内部网的病毒的破坏； (3)内部用户的恶意攻击、误操作，但由于目前发生的概率较小，本部分暂不作考虑。 (4)如果调度网与办公网相联，调度网的安全将受到来自办公网的威胁。 (5)来自外部网络的攻击,Company Logo,38,12.3.2网络威胁及需求分析,2.需求分析 该公司的网络安全需求如下： (1)防止县级用户与地市级之间内部用户进行非授权访问和恶意攻击； (2)防止不同部门之间用户非授权访问和恶意攻击;； (3)防止外联单位对县级网络的非授权访问和恶意攻击； (4)调度网与办公网的安全隔离； (4)防止本地邮件病毒
26、、文件病毒及网络病毒的危害和传播； (5)防止来自Internet病毒对县级网络中重要服务器的攻击与破坏； (6)加强对内部用户的身份鉴别、权限控制、角色管理和访问控制管理，防止对应用系统的数据库服务器、邮件服务器及文档服务器的非法存取、删改和破坏； (7)加强对移动办公用户和拨号用户的身份鉴别、权限控制和访问控制管理； (8)防止在各级网络进行数据传输过程中，传输的信息可能被窃取、篡改或破坏； (9)防止电磁辐射和电磁传导泄漏； (10)在重要的网络和系统中充分考虑灾备和容错措施，防止因系统故障导致系统服务中断； (11)实现对网站文件属性和文件内容的实时监控，可以自动、安全恢复网站文件系统
27、； (12)建立完整的网络安全系统管理体系，实现对全网的设备的统一管理，安全策略的统一制定，安全事件的统一管理等等。,Company Logo,39,12.3.3网络安全方案设计,1.第一级方案 1)设计目标 (1)将地市局的网络系统与县级网络系统隔离开来，拒绝非法访问，保护网络边界的安全； (2)保护各县级网络系统，抵御来自于广域网的攻击，保护网络资源安全； (3)将县级网络与其所属乡镇供电所安全隔离，保护网络边界的安全； (4)各县级网络与银行代收付系统隔离开，防止来自外联业务方面的攻击，确保内部资源的安全； (5)隐藏内部网络的拓扑结构； (6)抵挡木马攻击、蠕虫攻击、后门攻击、利用漏洞
28、攻击和拒绝服务攻击； (7)强化对网络的控制，确保关键业务的网络带宽,Company Logo,40,12.3.3网络安全方案设计,XXX电力公司网中络拓扑结构（如图10-1所示）是县级网络安全项目实施的第一步，在县级网络中设置放火墙，在保证地市公司、乡镇供电所及银行等外联单位正常接入内部网络的同时，对各个接入单位设置合理的安全策略，防止来自接入单位的非法访问甚至恶意攻击，保护内部网络资源。具体安全策略视不同接入单位的不同权限而定。本方案中使用的放火墙提供各种安全策略，例如防止拒绝服务攻击：MPSec FW通过限制流量的方法保护安全子网不受常见的DOS攻击。MPSec FW也允许配置是否过滤带
29、源路由选项的IP包。同时，按照RFC1858的要求对IP分片进行处理，如果IP分片的第一个分片或者重组后的数据包头中不包含进行过滤判断地所需包头信息（如TCP报文不包括端口），防火墙丢弃该包，以防止分片攻击。MPSec FW能正确识别TCPflood、UDPflood、ICMPflood攻击并进行防御，并且提供详细的日志功能，配合管理员找出非法攻击者。,Company Logo,41,12.3.3网络安全方案设计,第一级方案网络拓扑结构,Company Logo,42,12.3.3网络安全方案设计,2.第二级方案 1)设计目标本级方案实施的目的是在电力信息网和Internet之间建立边界，拒绝
30、来自Internet的攻击，本方案设计拓扑图如图所示。 2)方案内容在第一级方案实施的基础之上，县级网络将考虑接入Internet，利用丰富的网络资源，获取所需的信息。同时，将有大量的垃圾信息通过Internet传送到电力县级网络，对电力信息网的安全构成威胁；在接入Internet后，还可能遭到来自网络方面的恶意攻击，这种攻击一旦成功，将对电力信息网造成严重危害。本方案通过在放火墙上配置合理的安全策略，允许电力信息网访问Internet，拒绝来自Internet的攻击。,Company Logo,43,12.3.3网络安全方案设计,第二级方案拓扑图,Company Logo,44,12.3.3网络安全方案设计,3.第三级方案 1)设计目标本级方案实施的目的是保护电力调度网，防止来自同级OA网和其它网络的攻击；允许OA网中被授权的主机访问调度网。 2)方案内容调度网是电力系统的核心网络，对安全策略要求很高。Internet网、银行等外联单位、乡镇供电所甚至地市公司都不允许访问调度网，在同级的OA网中也只允许少数被授权的主机访问调度网。,Company Logo,45,12.3.3网络安全方案设计,第三级方案拓扑图,Thank You !,
