网络安全需求分析.doc

1、一 、 网 络 需 求 调 研网 络 需 求 调 研 的 目 的 是 从 用 户 方 网 络 建 设 的 需 求 发 出 ， 通 过 对 用 户 方 现 场实 地 调 查 ， 了 解 用 户 方 的 要 求 、 现 场 的 地 理 环 境 、 网 络 应 用 及 工 程 预 计 投 资等 情 况 ， 使 网 络 工 程 设 计 方 获 得 对 整 个 工 程 的 总 体 认 识 ， 为 系 统 总 体 规 划 设 计打 下 基 础 。1 网 络 用 户 调 查网 络 用 户 方 调 查 是 与 需 要 建 网 的 企 事 业 单 位 的 信 息 化 主 管 、 网 络 信 息 化 应 用 的主

2、 要 部 门 的 用 户 进 行 交 流 。 一 般 情 况 下 可 以 把 用 户 方 的 需 求 归 纳 为 以 下 几 个 方面 。（ 1） 网 络 延 迟 与 可 预 测 响 应 时（ 2） 可 靠 性 /可 用 性 。 即 系 统 （ 包 含 路 由 器 、 交 换 机 等 设 备 ） 不 停 机 运 行 。（ 3） 伸 缩 性 。 网 络 系 统 能 否 适 应 用 户 不 断 增 长 的 需 求 。（ 4） 高 安 全 性 。 保 护 用 户 信 息 和 物 理 信 息 的 完 整 性 与 机 密 性 。 概 括 起 来 ， 系统 分 析 员 对 网 络 用 户 方 调 查 可

3、通 过 填 写 调 查 表 来 完 成 。2 网 络 应 用 调 查企 事 业 耽 误 网 络 建 设 就 是 为 变 革 传 统 的 管 理 模 式 ， 实 现 管 理 的 人 自 得 信 息化 。 不 同 行 业 有 不 同 的 应 用 要 求 ， 切 不 可 “张 冠 李 戴 ”。 应 用 调 查 就 是 要弄 清 用 户 方 建 设 网 络 的 真 正 目 的 。一 般 的 网 络 应 用 ， 从 企 事 业 的 OA 系 统 、 人 事 档 案 、 工 资 管 理 到 企 事 业的 MIS 系 统 、 企 业 资 源 规 划 等 。 实 际 上 ， 每 一 个 网 络 工 程 都 应

4、 该 按 照 用 户 方 的需 求 ， 进 行 “量 衣 体 裁 ”式 的 打 造 。3 网 络 工 程 综 合 布 线 调 查网 络 工 程 综 合 布 线 调 查 主 要 是 了 解 用 户 方 建 筑 楼 群 的 地 理 环 境 与 几 何 中 心 、建 筑 楼 内 的 布 线 环 境 与 几 何 中 心 ， 由 此 来 确 定 网 络 的 物 理 拓 扑 结 构 、 综 合布 线 系 统 材 料 预 算 。 主 要 包 括 以 下 几 项 内 容 ：（ 1） 用 户 方 信 息 点 的 数 量 及 其 位 置 ；（ 2） 建 筑 楼 内 局 域 网 布 线 规 划 ；4.用 户 方 前

5、 期 培 训网 络 需 求 分 析 离 不 开 用 户 方 的 参 与 。 一 般 企 业 、 政 府 、 学 校 都 有 负 责 信息 化 建 设 的 部 门 或 信 息 技 术 专 门 人 员 ： 如 果 没 有 ， 网 络 工 程 设 计 方 就 要 用 较 短的 时 间 对 用 户 方 指 定 的 工 程 洽 谈 人 员 进 行 与 网 络 工 程 相 关 的 网 络 基 础 知 识 的培 训 。 有 了 用 户 方 信 息 技 术 人 员 的 参 与 ， 双 方 才 能 建 立 交 流 的 基 础 。网 络 工 程 设 计 方 要 为 企 事 业 用 户 方 提 供 网 络 应 用

6、一 揽 子 解 决 方 案 ， 就 应该 了 解 企 事 业 各 方 面 网 络 应 用 的 需 求 。 网 络 工 程 设 计 方 不 是 行 业 领 域 专 家 ， 不可 能 真 正 理 解 每 个 企 事 业 的 某 些 特 殊 需 求 ， 有 些 应 用 设 计 与 现 有 管 理 模 式 不匹 配 是 难 免 的 企 事 业 各 部 门 业 务 人 员 习 惯 性 的 思 维 方 式 以 及 权 力 和 利 益 的 再 分配 等 问 题 ， 都 有 可 能 对 提 出 的 系 统 需 求 产 生 影 响 。 在 大 多 数 企 事 业 中 ， 信 息化 建 设 中 遇 到 的 更 多

7、 的 不 是 技 术 问 题 ， 而 是 在 业 务 流 程 合 理 化 调 整 方 面 带 来 的困 扰 。从 这 里 我 们 可 以 看 出 ， 将 新 的 网 络 环 境 与 传 统 业 务 更 好 地 结 合 是 企 事 业IT(信 息 技 术 )部 门 的 职 责 ， 应 该 利 用 企 业 IT 人 员 自 身 的 有 利 条 件 ，1使 他 们 在 精 通 计 算 机 、 网 络 技 术 的 同 时 成 为 业 务 管 理 的 能 手 。 如 果 不 能 以 合理 的 方 式 让 用 户 方 的 IT 人 员 参 与 系 统 集 成 项 目 ， 那 么 即 使 企 业 信 息 系

8、 统 得以 实 施 ， 其 应 用 效 果 也 不 会 理 想 。二 、 网 络 的 基 本 安 全 需 求满 足 基 本 的 安 全 要 求 ， 是 该 网 络 成 功 运 行 的 必 要 条 件 ， 在 此 基 础 上 提 供 强有 力 的 安 全 保 障 ， 是 网 络 系 统 安 全 的 重 要 原 则 。 网 络 内 部 部 署 了 众 多 的 网 络 设备 、 服 务 器 ， 保 护 这 些 设 备 的 正 常 运 行 ， 维 护 主 要 业 务 系 统 的 安 全 ， 是 网 络 的基 本 安 全 需 求 。 对 于 各 种 各 样 的 网 络 攻 击 ， 如 何 在 提 供 灵

9、 活 且 高 效 的 网 络 通 讯及 信 息 服 务 的 同 时 ， 抵 御 和 发 现 网 络 攻 击 ， 并 且 提 供 跟 踪 攻 击 的 手 段 。 网 络 基本 安 全 要 求 主 要 表 现 为 ：1、 网 络 正 常 运 行 。 在 受 到 攻 击 的 情 况 下 ， 能 够 保 证 网 络 系 统 继 续 运 行 。2、 网 络 管 理 /网 络 部 署 的 资 料 不 被 窃 取 。3、 具 备 先 进 的 入 侵 检 测 及 跟 踪 体 系 。4、 提 供 灵 活 而 高 效 的 内 外 通 讯 服 务 。三 、 功 能 应 用 需 求应 用 名 称 类 型 说 明Ema

10、il 电 子 邮 件 校 园 网 内 邮 件 收 发 服 务Office 办 公 组 件 办 公 室 工 作杀 毒 软 件 杀 毒 维 护 计 算 机 安 全数 据 库 信 息 存 储 ， 检 索FTP 文 件 传 输WWW 网 上 冲 浪四 、 应 用 系 统 的 安 全 需 求与 普 通 网 络 应 用 不 同 的 是 ， 应 用 系 统 是 网 络 功 能 的 核 心 。 对 于 应 用 系 统 应 该具 有 最 高 的 网 络 安 全 措 施 。 应 用 系 统 的 安 全 体 系 应 包 含 ：1、 访 问 控 制 ， 通 过 对 特 定 网 段 、 服 务 建 立 的 访 问 控

11、制 体 系 ， 将 绝 大 多 数 攻 击阻 止 在 到 达 攻 击 目 标 之 前 ；2、 检 查 安 全 漏 洞 ， 通 过 对 安 全 漏 洞 的 周 期 检 查 ， 即 使 攻 击 可 到 达 攻 击 目 标 ，也 可 使 绝 大 多 数 攻 击 无 效 ；3、 攻 击 监 控 ， 通 过 对 特 定 网 段 、 服 务 建 立 的 攻 击 监 控 体 系 ， 可 实 时 检 测 出 绝大 多 数 攻 击 ， 并 采 取 相 应 的 行 动 （ 如 断 开 网 络 连 接 、 记 录 攻 击 过 程 、 跟 踪 攻 击源 等 ） ；4、 加 密 通 讯 ， 主 动 的 加 密 通 讯

12、， 可 使 攻 击 者 不 能 了 解 、 修 改 敏 感 信 息 ；5、 认 证 ， 良 好 的 认 证 体 系 可 防 止 攻 击 者 假 冒 合 法 用 户 ；6、 备 份 和 恢 复 ， 良 好 的 备 份 和 恢 复 机 制 ， 可 在 攻 击 造 成 损 失 时 ， 尽 快 地 恢 复数 据 和 系 统 服 务 ；7、 多 层 防 御 ， 攻 击 者 在 突 破 第 一 道 防 线 后 ， 延 缓 或 阻 断 其 到 达 攻 击 目 标 ；8、 隐 藏 内 部 信 息 ， 使 攻 击 者 不 能 了 解 系 统 内 的 基 本 情 况 ；9、 设 立 安 全 监 控 中 心 ， 为

13、 信 息 系 统 提 供 安 全 体 系 管 理 、 监 控 ， 维 护 及 紧 急 情况 服 务五 、 平 台 安 全 的 需 求网 络 平 台 将 支 持 多 种 应 用 系 统 ， 对 于 每 种 系 统 均 在 不 同 程 度 上 要 求 充 分 考 虑平 台 安 全 。1、 平 台 安 全 与 平 台 性 能 和 功 能 的 关 系2通 常 ， 系 统 安 全 与 性 能 和 功 能 是 一 对 矛 盾 的 关 系 。 如 果 某 个 系 统 不 向 外 界 提供 任 何 服 务 （ 断 开 )， 外 界 是 不 可 能 构 成 安 全 威 胁 的 。 但 是 ， 若 要 提 供 更

14、 多 的服 务 ， 将 网 络 建 成 了 一 个 开 放 的 网 络 环 境 ， 各 种 安 全 包 括 系 统 级 的 安 全 问 题 也随 之 产 生 。构 建 平 台 安 全 系 统 ， 一 方 面 由 于 要 进 行 认 证 、 加 密 、 监 听 、 分 析 、 记 录 等工 作 ， 由 此 影 响 网 络 效 率 ， 并 且 降 低 客 户 应 用 的 灵 活 性 ； 另 一 方 面 也 增 加 了 管理 费 用 。 但 是 ， 来 自 网 络 的 安 全 威 胁 是 实 际 存 在 的 ， 特 别 是 在 网 络 上 运 行 关 键业 务 时 ， 网 络 安 全 是 首 先 要

15、 解 决 的 问 题 。 选 择 适 当 的 技 术 和产 品 ， 制 订 灵 活 的 网 络 安 全 策 略 ， 在 保 证 网 络 安 全 的 情 况 下 ， 提 供 灵 活 的网 络 服 务 通 道 。 采 用 适 当 的 安 全 体 系 设 计 和 管 理 计 划 ， 能 够 有 效 降 低 网 络 安 全对 网 络 性 能 的 影 响 并 降 低 管 理 费 用 。2、 平 台 安 全 的 管 理 因 素平 台 安 全 可 以 采 用 多 种 技 术 来 增 强 和 执 行 。 但 是 ， 很 多 安 全 威 胁 来 源 于 管 理上 的 松 懈 及 对 安 全 威 胁 的 认 识

16、。 来 自 平 台 方 面 的 安 全 威 胁 主 要 利 用 以 下 途 径 ： 系 统 实 现 存 在 的 漏 洞 ； 系 统 安 全 体 系 的 缺 陷 ； 使 用 人 员 的 安 全 意 识 薄 弱 ； 管 理 制 度 的 薄 弱 ； 良 好 的 平 台 管 理 有 助 于 增 强 系 统 的 安 全 性 ： 及 时 发 现 系 统 安 全 的 漏 洞 ； 审 查 系 统 安 全 体 系 ； 加 强 对 使 用 人 员 的 安 全 知 识 教 育 ； 建 立 完 善 的 系 统 管 理 制 度 。网 络 安 全 问 题 ， 从 网 络 结 构 上 来 讲 涉 及 到 网 络 结 构 的

17、 各 个 层 次 ， 按 照OSI 七 层 模 型 ， 网 络 安 全 贯 穿 于 整 个 七 层 模 型 ， 针 对 网 络 实 际 运 行 的TCP/IP 协 议 ， 网 络 安 全 贯 穿 于 信 息 系 统 的 4 个 层 次 ， 即 物 理 层 、 链 路 层 、网 络 层 和 应 用 层 （ 包 括 应 用 系 统 和 应 用 平 台 ） 。六 、 网 络 层 解 决 方 案对 网 络 层 的 安 全 控 制 机 制 ， 主 要 是 保 证 网 络 数 据 传 输 的 合 法 性 ， 放 置 未 经 授权 的 非 法 攻 击 等 。 对 与 网 络 层 的 安 全 解 决 方 案

18、的 主 要 技 术 措 施 有 ： 通 过 防 火 墙或 者 物 理 隔 离 网 闸 隔 离 技 术 、 VPN 技 术 及 入 侵 检 测 技 术 等 对 网 络 设 备 进 行 有效 的 隔 离 、 对 非 法 的 会 话 连 接 进 行 阻 断 并 提 供 报 警 及 审 计 功 能 。 使 网 络 的 风 险降 到 最 低 。 根 据 不 同 的 业 务 应 用 ， 采 用 不 同 的 结 构 模 式 和 安 全 策 略 ， 保 证 系 统不 同 等 级 的 安 全 措 施 。网 络 层 安 全 结 构 图 ： 3在 企 业 的 内 部 网 络 里 ， 根 据 不 同 的 业 务 安

19、全 要 求 等 级 ， 布 设 不 同 类 型 性 能 的防 火 墙 ， 进 一 步 从 网 络 层 保 障 结 构 安 全 ， 内 部 的 服 务 系 统 、 业 务 应 用 服 务 器 等放 置 在 军 事 区 （ 安 全 区 ） 。 对 外 的 网 站 系 统 、 业 务 发 布 平 台 等 放 置 在 非 军 事 区 ，提 供 内 部 和 外 部 用 户 的 访 问 接 入 。 连 接 Internet 处 可 以 充 分 考 虑 采 用 冗余 结 构 布 置 防 火 墙 。 为 了 进 一 步 与 外 网 系 统 物 理 隔 离 ， 可 以 选 择 物 理 网 闸 设 备连 接 In

20、ternet。网 络 的 性 能 结 构 上 面 首 要 的 保 证 整 个 网 络 层 次 的 安 全 体 系 ， 充 分 考 虑 实 现 如 下内 容 ：1、 满 足 桥 模 式 、 VLAN、 ADSL 拨 号 等 形 式 接 入 ， 可 以 满 足 多 种 网 络 环 境 的需 要 。2、 通 过 多 重 地 址 转 换 （ MAT） 功 能 ， 可 以 保 护 内 部 网 络 服 务 器 的 安 全 ， 又可 以 分 散 外 部 服 务 到 不 同 的 IP 地 址 。 通 过 端 口 转 换 ， 为 服 务 指 定 特 定 的 端口 ， 增 强 了 系 统 的 安 全 性 。3、

21、可 以 作 为 DHCP 服 务 器 又 可 以 充 当 DHCP 客 户 机 ， 以 实 现 对 动 态 IP的 支 持 功 能 。4、 支 持 策 略 路 由 ， 即 根 据 通 讯 源 地 址 和 目 标 地 址 来 做 出 路 由 选 择 ， 可 以 将内 网 流 量 分 摊 到 多 个 网 络 出 口 ， 增 加 用 户 带 宽 。5、 多 台 服 务 器 之 间 的 负 载 均 衡 ； 同 时 做 到 心 跳 线 和 VRRP 两 种 方 式 的 双机 热 备 份 。 全 交 叉 冗 余 链 路 ， 两 台 防 火 墙 同 时 工 作 进 行 流 量 均 衡 ， 同 时 进 行 端

22、口 备 份 ， 从 而 提 高 整 个 系 统 的 稳 定 性 和 容 错 性 。6、 支 持 Tcp/Ip 协 议 簇 的 各 种 协 议 。 支 持 802.1Q VLAN、 SNMP 网 管 协 议 、DHCP 协 议 ， GRE、 IPSEC、 PPTP 。7、 提 供 透 明 模 式 、 路 由 和 NAT 方 式 下 对 多 种 多 媒 体 协 议 的 支 持 ， 包 括H.323、 MSN/SIP、 MMS 等 。七 、 应 用 层 解 决 方 案应 用 层 就 是 针 对 客 户 的 实 际 应 用 ， 要 求 做 到 提 供 强 大 的 数 据 传 输 加 密 功 能 ，提

23、供 详 实 的 审 计 日 志 服 务 ， 提 供 安 全 的 管 理 服 务 。 资 源 对 象 的 合 理 访 问 控 制 ，4建 立 基 于 双 向 的 身 份 认 证 机 制 。为 应 用 层 提 供 安 全 的 保 障 措 施 应 充 分 考 虑 实 现 如 下 内 容 ：1、 Syn 代 理 技 术 防 止 Dos、 D-Dos 攻 击 。2、 对 常 见 病 毒 端 口 可 以 在 数 据 链 路 层 进 行 主 动 丢 弃 。3、 访 问 模 式 匹 配 功 能 ， 可 根 据 需 要 有 效 地 防 止 木 马 软 件 以 及 QQ， BT等 软 件 。4、 IDS 功 能

24、， 安 全 级 别 ， 抗 攻 击 功 能 。 防 范 各 种 拒 绝 服 务 攻 击 、 端 口 扫 描 、IP 欺 骗 等 攻 击 手 段 。5、 提 供 对 可 能 的 危 险 信 息 或 容 易 挤 占 网 络 带 宽 的 数 据 的 过 滤 ， 如 URL攻 击 检 测 、 URL 关 键 字 、 对 HTTP 协 议 中 携 带 的 Java Applet、 JavaScript、 ActiveX 脚 本 、 Servlet、 CGI、 PHP、 图 像 、 音 频视 频 、 Flash 等 信 息 的 过 滤 ， 提 供 对 PROXY 方 式 下 的 内 容 过 滤 和HTTP

25、、 FTP、 SMTP、 POP3 协 议 的 深 度 内 容 过 滤 。6、 IP 与 MAC 地 址 绑 定 的 功 能 ； 对 VPN 通 信 的 安 全 控 制 ； 带 宽 流 量 管 理 ，可 以 有 效 的 对 用 户 进 行 带 宽 流 量 控 制 ； 对 单 IP 进 行 连 接 数 限 制 ， 用 户 自 定义 最 大 并 发 连 接 数 ； 多 出 口 的 路 由 均 衡 。7、 安 全 的 管 理 功 能 ： 本 地 管 理 和 远 程 管 理 两 种 方 式 。8、 智 能 日 志 审 计 与 状 态 监 视 。9、 安 全 性 扩 展 功 能 ： 与 入 侵 检 测

26、器 的 无 缝 衔 接 ， 同 时 提 供 开 放 的 IDS接 口 。10、 统 一 用 户 认 证 功 能 ： 进 行 用 户 级 鉴 别 和 过 滤 控 制 ； 支 持 多 种 认 证 方 式 ，包 括 防 火 墙 自 身 实 现 的 用 户 认 证 和 扩 展 的 RADIUS、 LDAP 认 证 。11、 多 级 过 滤 措 施 ： 可 以 根 据 网 络 地 址 、 网 络 协 议 以 及 TCP、 UDP 端 口进 行 过 滤 。八 、 平 台 解 决 方 案实 现 网 络 化 、 自 动 化 信 息 交 流 及 办 公 ， 维 护 整 个 网 络 的 正 常 运 行 和 信 息

27、 安 全 ，及 时 高 效 地 处 理 病 毒 是 平 台 解 决 方 案 的 一 个 重 要 环 节 。 病 毒 在 网 络 中 存 储 、 传播 、 感 染 的 方 式 给 整 个 系 统 的 安 全 造 成 隐 患 ， 合 理 的 构 建 网 络 防 毒 系 统 ， 设 置相 对 应 的 防 病 毒 软 件 ， 通 过 全 方 位 、 多 层 次 的 防 毒 系 统 配 置 ， 使 整 体 网 络 应 用平 台 免 受 病 毒 的 入 侵 和 危 害 。网 络 防 病 毒 安 全 的 保 障 措 施 应 充 分 考 虑 实 现 反 病 毒 安 全 解 决 方 案 ， 使 内 部 范围 的

28、 防 病 毒 管 理 易 于 维 护 和 管 理 。 可 以 在 每 个 进 入 点 抵 御 病 毒 和 恶 意 小 程 序 的入 侵 ， 保 护 网 络 中 的 PC 机 、 服 务 器 和 Internet 网 关 。 采 用 功 能 强 大 的 管理 工 具 ， 自 动 进 行 文 件 更 新 ， 使 管 理 和 服 务 作 业 合 理 化 ， 并 可 用 来 控 制 中 心 管理 内 部 范 围 内 的 反 病 毒 安 全 机 制 。 形 成 的 目 标 ： 从 桌 面 到 整 个 企 业 系 统 ， 优 化系 统 性 能 、 解 决 及 预 防 问 题 、 处 理 管 理 事 务 和

29、 执 行 正 常 的 管 理 工 作 、 保 护 内 部免 受 攻 击 和 危 害 、 降 低 成 本 并 提 高 用 户 工 作 效 率 。九 、 网 络 安 全 体 系 结 构 模 型1、 安 全 体 系 结 构 框 架2、 物 理 安 全 构 架53、 网 络 安 全 构 架4、 信 息 安 全 构 架十 、 结 束 语随 着 网 络 应 用 的 深 入 普 及 ， 网 络 安 全 越 来 越 重 要 ， 国 家 和 企 业 都 对 建 立一 个 安 全 的 网 络 有 了 更 高 的 要 求 。 文 中 在 所 提 出 的 网 络 安 全 系 统 设 计 框 架 的 基础 上 ， 细 化 了 网 络 安 全 的 设 计 过 程 ， 给 出 了 安 全 体 系 结 构 模 型 和 策 略 管 理 执 行模 型 的 设 计 与 实 现 ， 把 安 全 体 系 结 构 、 安 全 策 略 管 理 的 实 现 和 网 络 安 全 的 实 现机 制 有 机 地 结 合 在 一 起 从 而 实 现 了 从 高 级 安 全 策 略 向 网 络 安 全 实 现 机 制 的 平 滑过 渡 。五 、 指 导 教 师 评 语成 绩 日 期 批 阅 人