1、 XX公司局域網(wǎng)安全管理方概述 本安全解決方案的目標(biāo)是在不影響XX當(dāng)前業(yè)務(wù)的前提下，實(shí)現(xiàn)對(duì)局域網(wǎng)全面的安全管 理，內(nèi)容包括： 1、公司重要文件的安全、保密，避免信息泄密。 2、定期進(jìn)行電腦操作系統(tǒng)、用友、ERP 系統(tǒng)漏洞掃描，加強(qiáng)審計(jì)跟蹤，及時(shí)發(fā)現(xiàn)問題，解決問題。 3、通過網(wǎng)絡(luò)檢測(cè)系統(tǒng)等方式實(shí)現(xiàn)實(shí)時(shí)安全監(jiān)控，提供快速響應(yīng)故障的手段。 4、使網(wǎng)絡(luò)管理員能夠很快重新組織被破壞了的文件或應(yīng)用。使系統(tǒng)重新恢復(fù)到破壞前的狀態(tài)，最大限度地減少損失。 5、在所有服務(wù)器、用戶電腦上安裝相應(yīng)的防病毒軟件，由系統(tǒng)控制臺(tái)統(tǒng)一控制和管理，實(shí)現(xiàn)全網(wǎng)統(tǒng)一防病毒。 6、將公司內(nèi)所有的硬件、軟件及安全策略等方法結(jié)合起來，構(gòu)成

2、一個(gè)統(tǒng)一的防御系統(tǒng)，有效阻止非法用戶進(jìn)入公司網(wǎng)絡(luò)，減少網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)。 網(wǎng)絡(luò)現(xiàn)狀 2.1 網(wǎng)絡(luò)概況 XX公司的局域網(wǎng)是一個(gè)信息點(diǎn)較為集中的百兆局域網(wǎng)絡(luò)系統(tǒng)，它所聯(lián)接的現(xiàn)有信息點(diǎn) 為XX公司各部門提供了一個(gè)快速、方便的信息共享與交流的平臺(tái)。不僅如此，通過ADSL、 DDN 專線與Internet 的連接，打通了一扇通向外部世界的窗戶，各個(gè)部門可以直接通過互聯(lián) 網(wǎng)與客戶進(jìn)行交流、聯(lián)系；操作ERP 等應(yīng)用系統(tǒng)、查詢資料等。通過公開的BQQ、郵件服 務(wù)器，企業(yè)可以直接對(duì)外發(fā)布信息或者發(fā)送電子郵件。從而達(dá)到節(jié)約通信成本、優(yōu)化資源的 目的。 網(wǎng)絡(luò)結(jié)構(gòu) 整個(gè)局域網(wǎng)按訪問區(qū)域可以劃分為三個(gè)主要的區(qū)域：Inte

3、rnet 區(qū)域、內(nèi)部網(wǎng)絡(luò)、公開服務(wù)器區(qū)域。 Internet 區(qū)域：用戶通過代理服務(wù)器，共享ADSL 進(jìn)行上網(wǎng)、網(wǎng)絡(luò) 、應(yīng)用企業(yè)QQ、了解最新信息等。 內(nèi)部網(wǎng)絡(luò)區(qū)域：ERP、用友、企業(yè)郵箱及打印共享的應(yīng)用。 公開服務(wù)器區(qū)域：ERP 服務(wù)、BQQ 服務(wù)、郵件服務(wù)等 網(wǎng)絡(luò)應(yīng)用 XX公司的局域網(wǎng)目前為用戶提供如下主要應(yīng)用： 1文件共享、辦公自動(dòng)化、WWW 服務(wù)、電子郵件服務(wù)、溝通與聯(lián)絡(luò)等 2文件數(shù)據(jù)的統(tǒng)一存儲(chǔ)與挎貝； 3財(cái)務(wù)系統(tǒng)、ERP 系統(tǒng)等的應(yīng)用； 4提供與Internet 的訪問、BQQ 聯(lián)系； 5通過公開服務(wù)器對(duì)外發(fā)布企業(yè)信息、發(fā)送電子郵件等； 6移動(dòng)辦公，包括手提電腦的應(yīng)用，或員工出差時(shí)使

4、用的其它電腦 2.3 網(wǎng)絡(luò)結(jié)構(gòu)的特點(diǎn) 從安全風(fēng)險(xiǎn)考慮，XX網(wǎng)絡(luò)有如下幾個(gè)特點(diǎn)： 1網(wǎng)絡(luò)與Internet 直接連結(jié)，因此存在許多與Internet 連結(jié)的有關(guān)風(fēng)險(xiǎn)，包括可能通過Internet 傳播進(jìn)來病毒，黑客攻擊，來自Internet 的非授權(quán)訪問等。 2網(wǎng)絡(luò)中存在公開服務(wù)器，由于公開服務(wù)器對(duì)外必須開放部分業(yè)務(wù)，因此在進(jìn)行安全方案設(shè)計(jì)時(shí)應(yīng)該考慮采用安全服務(wù)器網(wǎng)絡(luò)，避免公開服務(wù)器的安全風(fēng)險(xiǎn)擴(kuò)散到內(nèi)部。 現(xiàn)有網(wǎng)絡(luò)系統(tǒng)的安全風(fēng)險(xiǎn)分析 1、帶有目的的員工將給公司造成不可估量的損失： 對(duì)于已經(jīng)離職的不滿員工，可以通過定期改變口令和刪除系統(tǒng)記錄以減少這類風(fēng)險(xiǎn)。但還有心懷不滿的在職員工，這些員工比已經(jīng)離

5、開的員工能造成更大的損失， 例如他們可以通過郵件、QQ、盜用同事密碼等手段，傳出至關(guān)重要的信息、泄露 安全重要信息、錯(cuò)誤地進(jìn)入數(shù)據(jù)庫、刪除數(shù)據(jù)等等。 2、網(wǎng)絡(luò)平臺(tái)風(fēng)險(xiǎn)分析 網(wǎng)絡(luò)結(jié)構(gòu)的安全涉及到網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、網(wǎng)路狀況及網(wǎng)絡(luò)的環(huán)境等。 公開服務(wù)器面臨的威脅 XX企業(yè)局域網(wǎng)內(nèi)公開服務(wù)器區(qū)（ERP、EMAIL、BQQ 等服務(wù)器）作為公司的信 息發(fā)布平臺(tái)，一旦不能運(yùn)行后者受到攻擊，對(duì)企業(yè)的聲譽(yù)影響巨大。同時(shí)公開服務(wù) 器本身要為外界服務(wù)，必須開放相應(yīng)的服務(wù)；因此，對(duì)Internet 安全做出有效反應(yīng) 變得十分重要。我們有必要將公開服務(wù)器、內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)進(jìn)行隔離，避免網(wǎng) 絡(luò)結(jié)構(gòu)信息外泄；同時(shí)還要對(duì)外網(wǎng)的

6、服務(wù)請(qǐng)求加以過濾，只允許正常通信的數(shù)據(jù)包 到達(dá)相應(yīng)主機(jī)，其他的請(qǐng)求服務(wù)在到達(dá)主機(jī)之前就應(yīng)該遭到拒絕。 3、系統(tǒng)安全風(fēng)險(xiǎn)分析 主要是指操作系統(tǒng)、應(yīng)用系統(tǒng)的安全性以及網(wǎng)絡(luò)硬件平臺(tái)的可靠性。對(duì)于操作系統(tǒng) 的安全防范可以采取如下策略： 對(duì)操作系統(tǒng)進(jìn)行規(guī)范、統(tǒng)一的安全配置，提高系統(tǒng)的安全性；系統(tǒng)內(nèi)部調(diào)用不對(duì) Internet 公開；關(guān)鍵性信息不直接公開，盡可能都采用安全性高的windows2000 操 作系統(tǒng)。 網(wǎng)絡(luò)上的服務(wù)器和網(wǎng)絡(luò)設(shè)備盡可能不采取同一家的產(chǎn)品； 通過專業(yè)的安全工具(安全檢測(cè)系統(tǒng),如：SnifferPRO ）定期對(duì)網(wǎng)絡(luò)進(jìn)行安全評(píng)估。 4、應(yīng)用安全風(fēng)險(xiǎn)分析 主要考慮ERP 系統(tǒng)的應(yīng)用，確保

7、用戶的合法性；應(yīng)該嚴(yán)格限制登錄者的操作權(quán)限， 將其完成的操作限制在最小的范圍內(nèi)。另外，在加強(qiáng)主機(jī)和系統(tǒng)漏洞檢測(cè)并緊密注 視其Bug ； 對(duì)掃描軟件不斷升級(jí)。 5、互聯(lián)網(wǎng)病毒風(fēng)險(xiǎn)分析 計(jì)算機(jī)病毒一直是計(jì)算機(jī)安全的主要威脅。能在Internet 上傳播的新型病毒，例如通過E-Mail 傳播的病毒，增加了這種威脅的程度。病毒的種類和傳染方式也在增 加，國際空間的病毒總數(shù)已達(dá)上萬甚至更多。當(dāng)然，查看文檔、瀏覽圖像或在Web 上填表都不用擔(dān)心病毒感染，然而，下載可執(zhí)行文件和接收來歷不明的E-Mail 文 件需要特別警惕，否則很容易使系統(tǒng)導(dǎo)致嚴(yán)重的破壞。典型的“沖擊波”病毒就是 一可怕的例子。 安全需求與

8、安全目標(biāo) 通過前面我們對(duì)這個(gè)企業(yè)局域網(wǎng)絡(luò)結(jié)構(gòu)、應(yīng)用及安全威脅分析，可以看出其安全問 題主要集中在對(duì)重要文檔資料的管理、服務(wù)器的安全保護(hù)、防黑客和病毒以及重要網(wǎng)點(diǎn) 的保護(hù)上。因此，我們必須采取相應(yīng)的安全措施杜絕安全隱患，其中應(yīng)該做到： 􀁺 ERP、用友、各部門文檔等數(shù)據(jù)的安全保護(hù) 􀁺 ERP、用友、各部門文檔等數(shù)據(jù)的數(shù)據(jù)備份與恢復(fù) 􀁺 EMAIL、BQQ 與ERP 公開服務(wù)器的安全保護(hù) 􀁺 防止公司重要資料與文件的外泄 􀁺 防止黑客從外部攻擊 􀁺 入侵檢測(cè)與監(jiān)控 􀁺 信息

9、審計(jì)與記錄 􀁺 病毒防護(hù) 􀁺 網(wǎng)絡(luò)的安全管理 安全解決配置方案 通過對(duì)網(wǎng)絡(luò)的全面了解，按照安全策略的要求、風(fēng)險(xiǎn)分析的結(jié)果及整個(gè)網(wǎng)絡(luò)的安全 目標(biāo)，整個(gè)網(wǎng)絡(luò)措施應(yīng)按系統(tǒng)體系建立。具體的安全控制系統(tǒng)由以下幾個(gè)方面組成：物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、信息安全、應(yīng)用安全和安全管理。 1、物理安全 電腦系統(tǒng)的各種設(shè)備的物理安全是整個(gè)信息系統(tǒng)安全的前提，物理安全是保護(hù) 電腦網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭水災(zāi)、火災(zāi)等環(huán)境事故以及人為操作失誤或 錯(cuò)誤導(dǎo)致的破壞過程。 2、網(wǎng)絡(luò)的安全方面，主要考慮兩個(gè)大的層次，一是整個(gè)網(wǎng)絡(luò)結(jié)構(gòu)成熟化，主要是 優(yōu)化網(wǎng)絡(luò)結(jié)構(gòu)；二是整個(gè)網(wǎng)絡(luò)系統(tǒng)的安全

10、。 2.1 網(wǎng)絡(luò)結(jié)構(gòu) 安全系統(tǒng)是建立在網(wǎng)絡(luò)系統(tǒng)之上的，網(wǎng)絡(luò)結(jié)構(gòu)的安全是安全系統(tǒng)成功建立 的基礎(chǔ)。在整個(gè)網(wǎng)絡(luò)結(jié)構(gòu)的安全方面，主要考慮網(wǎng)絡(luò)結(jié)構(gòu)和系統(tǒng)的優(yōu)化。 目前XX的網(wǎng)絡(luò)結(jié)構(gòu)由于規(guī)劃的局限性，存在許多不合理、不可控的因素， 例如：網(wǎng)絡(luò)布線的不規(guī)范，必然增加了維護(hù)的難度，影響網(wǎng)路的通暢；物理空 間的限制，使服務(wù)器的檢測(cè)、維護(hù)更加困難?？傊墒斓木W(wǎng)絡(luò)結(jié)構(gòu)應(yīng)具有開 放性、標(biāo)準(zhǔn)化、可靠性、先進(jìn)性和實(shí)用性，并且應(yīng)該有結(jié)構(gòu)化的設(shè)計(jì)。使我們 的網(wǎng)絡(luò)朝利于維護(hù)管理，利于更高的安全控制和業(yè)務(wù)發(fā)展。 2.2 網(wǎng)絡(luò)系統(tǒng)安全 訪問控制及內(nèi)外網(wǎng)的隔離 訪問控制 訪問控制可以通過如下幾個(gè)方面來實(shí)現(xiàn)： 1、制訂嚴(yán)格的管理制

11、度:可制定的相應(yīng)：用戶授權(quán)實(shí)施細(xì)則、權(quán)限管理制 度等。 2、配備相應(yīng)的安全設(shè)備：目前公司的ERP、BQQ、郵件服務(wù)器等，通過設(shè)置 現(xiàn)有的sonicwall 防火墻實(shí)現(xiàn)內(nèi)外網(wǎng)的隔離與訪問控制。 3、取消電腦不安全設(shè)備的應(yīng)用：禁止U盤的使用、禁止所有電腦USB接口的應(yīng)用、取消軟盤的應(yīng)用、禁止不經(jīng)授權(quán)使用光盤刻錄機(jī)。 4、配備相應(yīng)的安全軟件：由于XX采用ADSL 共享上網(wǎng)的方式，用戶上網(wǎng)、 BQQ 等應(yīng)用都由代理服務(wù)器共享上網(wǎng)，由于ADSL 未經(jīng)防火墻管理，導(dǎo)致容 易感染病毒、受黑客攻擊。我們目前采用微軟公司的ISA 軟件，配置相關(guān)的 安全策略來降低不安全事件的發(fā)生。例如：控制某個(gè)用戶可以收郵件，但

12、不可 上網(wǎng)。但是，由于此軟件功能的限制，無法完全滿足我司的需求。 2.2.2 網(wǎng)絡(luò)安全檢測(cè) 定期對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行安全性分析，及時(shí)發(fā)現(xiàn)并修正存在的弱點(diǎn)和漏洞。最 大限度地保證網(wǎng)絡(luò)系統(tǒng)的安全，網(wǎng)絡(luò)安全檢測(cè)工具通常是一個(gè)網(wǎng)絡(luò)安全性評(píng)估 分析軟件，其功能是用實(shí)踐性的方法掃描分析網(wǎng)絡(luò)系統(tǒng)，檢查報(bào)告系統(tǒng)存在的 弱點(diǎn)和漏洞，建議補(bǔ)救措施和安全策略，達(dá)到增強(qiáng)網(wǎng)絡(luò)安全性的目的。具體體 現(xiàn)在以下方面： 1. 防火墻得到合理配置 2. 內(nèi)外WEB 站點(diǎn)的安全漏洞減為最低 3. 網(wǎng)絡(luò)體系達(dá)到強(qiáng)壯的耐攻擊性 4. 各種服務(wù)器操作系統(tǒng)，如E_MIAL 服務(wù)器、WEB 服務(wù)器、ERP 應(yīng)用服務(wù) 器、，將受黑客攻擊的可能降為最

13、低 5. 對(duì)網(wǎng)絡(luò)訪問做出有效響應(yīng)，保護(hù)重要應(yīng)用系統(tǒng)（ 如ERP、用友系統(tǒng)）數(shù) 據(jù)安全不受黑客攻擊和內(nèi)部人員誤操作的侵害 2.2.4 審計(jì)與監(jiān)控 加強(qiáng)公司內(nèi)的系統(tǒng)安全審計(jì)工作，也是行之有效的安全解決方案。審計(jì)是 記錄用戶使用計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)進(jìn)行所有活動(dòng)的過程，它是提高安全性的重要工 具。它不僅能夠識(shí)別誰訪問了系統(tǒng)，還能看出系統(tǒng)正被怎樣地使用。同時(shí)，系 統(tǒng)事件的記錄能夠更迅速和系統(tǒng)地識(shí)別問題，并且它是后面階段事故處理的重 要依據(jù)。另外，通過對(duì)安全事件的不斷收集與積累并且加以分析，有選擇性地 對(duì)其中的某些站點(diǎn)或用戶進(jìn)行審計(jì)跟蹤，以便對(duì)發(fā)現(xiàn)或可能產(chǎn)生的破壞性行為 提供有力的證據(jù)。 因此，除使用一般的網(wǎng)管

14、軟件和系統(tǒng)監(jiān)控管理系統(tǒng)外，還可以考慮使用目 前較為成熟的網(wǎng)絡(luò)監(jiān)控設(shè)備或?qū)崟r(shí)入侵檢測(cè)設(shè)備，以便對(duì)進(jìn)出各級(jí)局域網(wǎng)的常 見操作進(jìn)行實(shí)時(shí)檢查、監(jiān)控、報(bào)警和阻斷，從而防止針對(duì)網(wǎng)絡(luò)的攻擊與犯罪行 為。 2.2.5 網(wǎng)絡(luò)防病毒 由于在網(wǎng)絡(luò)環(huán)境下，病毒有不可估量的威脅性和破壞力，病毒的防范是網(wǎng) 絡(luò)安全性建設(shè)中重要的一環(huán)。 網(wǎng)絡(luò)反病毒包括預(yù)防病毒、檢測(cè)病毒和殺毒： 1.預(yù)防病毒：它通過自身常駐系統(tǒng)內(nèi)存，優(yōu)先獲得系統(tǒng)的控制權(quán)，監(jiān)視和判斷 系統(tǒng)中是否有病毒存在，進(jìn)而阻止電腦病毒進(jìn)入系統(tǒng)和對(duì)系統(tǒng)進(jìn)行破壞。這類 技術(shù)有，加密可執(zhí)行程序、引導(dǎo)區(qū)保護(hù)、系統(tǒng)監(jiān)控與讀寫控制（如防病毒軟件 等）。 2.檢測(cè)病毒：它是通過對(duì)病毒的

15、特征來進(jìn)行判斷的技術(shù)，如自身校驗(yàn)、關(guān)鍵字、 文件長度的變化、注冊(cè)表的改變等。 3.清除病毒：它通過對(duì)病毒的分析，在原有防毒軟件不起作用的情況下，尋找 相關(guān)的專殺工具進(jìn)行清除，并對(duì)注冊(cè)表進(jìn)和維護(hù)。 目前具體實(shí)現(xiàn)方法包括每天對(duì)網(wǎng)絡(luò)服務(wù)器中的文件進(jìn)行頻繁地掃描和監(jiān) 測(cè)；在用戶機(jī)器裝可受服務(wù)控制的客戶端殺毒軟件和對(duì)網(wǎng)絡(luò)目錄及文件設(shè)置訪 問權(quán)限等。 2.2.6 網(wǎng)絡(luò)備份系統(tǒng) 備份系統(tǒng)為一個(gè)目的而存在：盡可能快地全盤恢復(fù)運(yùn)行計(jì)算機(jī)系統(tǒng)所需的數(shù)據(jù) 和系統(tǒng)信息。根據(jù)系統(tǒng)安全需求可選擇的備份機(jī)制有：場(chǎng)點(diǎn)內(nèi)高速度、大容量 自動(dòng)的數(shù)據(jù)存儲(chǔ)、備份與恢復(fù)；場(chǎng)點(diǎn)外的數(shù)據(jù)存儲(chǔ)、備份與恢復(fù)；對(duì)系統(tǒng)設(shè)備 的備份。備份不僅在網(wǎng)絡(luò)

16、系統(tǒng)硬件故障或人為失誤時(shí)起到保護(hù)作用，也在入侵 者非授權(quán)訪問或?qū)W(wǎng)絡(luò)攻擊及破壞數(shù)據(jù)完整性時(shí)起到保護(hù)作用，同時(shí)亦是系統(tǒng) 災(zāi)難恢復(fù)的前提之一。 在確定備份的指導(dǎo)思想和備份方案之后，就要選擇安全的存儲(chǔ)媒介和技術(shù)進(jìn)行 數(shù)據(jù)備份，有“冷備份”和“熱備份”兩種。熱備份是指“在線”的備份，即 下載備份的數(shù)據(jù)還在整個(gè)計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)中，只不過傳到令一個(gè)非工作的分 區(qū)或是另一個(gè)非實(shí)時(shí)處理的業(yè)務(wù)系統(tǒng)中存放。“ 冷備份”是指“不在線”的備 份，下載的備份存放到安全的存儲(chǔ)媒介中，而這種存儲(chǔ)媒介與正在運(yùn)行的整個(gè) 計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)沒有直接聯(lián)系，在系統(tǒng)恢復(fù)時(shí)重新安裝，有一部分原始的數(shù) 據(jù)長期保存并作為查詢使用。熱備份的優(yōu)點(diǎn)

17、是投資大，但調(diào)用快，使用方便， 在系統(tǒng)恢復(fù)中需要反復(fù)調(diào)試時(shí)更顯優(yōu)勢(shì)。熱備份的具體做法是：可以在主機(jī)系 統(tǒng)開辟一塊非工作運(yùn)行空間，專門存放備份數(shù)據(jù)，即分區(qū)備份；另一種方法是， 將數(shù)據(jù)備份到另一個(gè)子系統(tǒng)中，通過主機(jī)系統(tǒng)與子系統(tǒng)之間的傳輸，同樣具有 速度快和調(diào)用方便的特點(diǎn)，但投資比較昂貴。冷備份彌補(bǔ)了熱備份的一些不足， 二者優(yōu)勢(shì)互補(bǔ)，相輔相成，因?yàn)槔鋫浞菰诨乇茱L(fēng)險(xiǎn)中還具有便于保管的特殊優(yōu) 點(diǎn)。 3、系統(tǒng)安全 系統(tǒng)的安全主要是指操作系統(tǒng)、應(yīng)用系統(tǒng)的安全性以及網(wǎng)絡(luò)硬件平臺(tái)的可靠 性。對(duì)于操作系統(tǒng)的安全防范可以采取如下策略： 對(duì)操作系統(tǒng)進(jìn)行安全配置，提高系統(tǒng)的安全性；系統(tǒng)內(nèi)部調(diào)用不對(duì)Internet 公

18、開；關(guān)鍵性信息不直接公開，盡可能采用安全性高的操作系統(tǒng)。 網(wǎng)絡(luò)上的服務(wù)器和網(wǎng)絡(luò)設(shè)備盡可能不采取同一家的產(chǎn)品； 通過專業(yè)的安全工具（安全檢測(cè)系統(tǒng)）定期對(duì)網(wǎng)絡(luò)進(jìn)行安全評(píng)估。 4、應(yīng)用安全 限制與開放軟件的應(yīng)用： 例如企業(yè)QQ 的應(yīng)用：在應(yīng)用安全上，主要考慮通信的授權(quán)，傳輸?shù)募用芎蛯徲?jì)記錄。必須加強(qiáng)登錄過程的認(rèn)證（特別使在到達(dá)服務(wù)器主機(jī)之前的認(rèn)證），確保用戶的合法性；其次應(yīng)該嚴(yán)格限制登錄者的操作權(quán)限，將其完成的操作限制在最小的范圍內(nèi)，如只可語音、文字聯(lián)系，不可傳送文件。 另外，在加強(qiáng)主機(jī)的管理上，除了上面談的訪問控制和系統(tǒng)漏洞檢測(cè)外，還可以采用訪問存取控制，對(duì)權(quán)限進(jìn)行分割和管理。應(yīng)用安全平臺(tái)要加強(qiáng)資