（醫(yī)療藥品管理某某藥網(wǎng)絡(luò)設(shè)計方案目錄壹建網(wǎng)目標及功能1.1建網(wǎng)目標：1.2網(wǎng)絡(luò)功能：二網(wǎng)絡(luò)設(shè)計原三網(wǎng)絡(luò)結(jié)構(gòu)設(shè)3.1物理結(jié)構(gòu)設(shè)計3.2網(wǎng)絡(luò)系統(tǒng)的拓撲結(jié)構(gòu)圖四網(wǎng)絡(luò)設(shè)備數(shù)量規(guī)劃4.1網(wǎng)絡(luò)連接設(shè)備4.2服務(wù)器4.3交換4.4UPS五網(wǎng)絡(luò)安全性設(shè)計5.1網(wǎng)絡(luò)信息安全系統(tǒng)設(shè)計原則5.2網(wǎng)絡(luò)信息安全系統(tǒng)設(shè)計步驟5.3網(wǎng)絡(luò)安全需求5.4網(wǎng)絡(luò)安全層次及安全措施5.5網(wǎng)絡(luò)信息安全解決方案選型指導(dǎo)5.6網(wǎng)絡(luò)安全特性檢測六應(yīng)用子系統(tǒng)介七費用及時間某某藥業(yè)網(wǎng)絡(luò)設(shè)計方案網(wǎng)絡(luò)時代的到來促進了網(wǎng)絡(luò)于工業(yè)化生產(chǎn)和管理各個方面的普及應(yīng)用不僅從根本上改變了人們獲取信息管理企業(yè)的方式而且極大提高了工作質(zhì)量和效率網(wǎng)絡(luò)已經(jīng)成為現(xiàn)代企業(yè)不可或缺的必備物質(zhì)基礎(chǔ)利用網(wǎng)絡(luò)技術(shù)現(xiàn)代企業(yè)能夠于供應(yīng)商客戶合作伙伴員工之間實現(xiàn)代化的信息溝通企業(yè)內(nèi)部網(wǎng)絡(luò)的建設(shè)已經(jīng)成為提升企業(yè)核心競爭力的關(guān)鍵因素于某某藥業(yè)網(wǎng)絡(luò)建設(shè)過程中我們將遵“統(tǒng)壹標準整體規(guī)劃循序漸進持續(xù)發(fā)展的原則將某某藥業(yè)的網(wǎng)絡(luò)建設(shè)成為壹個先進高效功能卓越標準統(tǒng)壹安全可靠的網(wǎng)絡(luò)以滿足某某藥業(yè)現(xiàn)代管理規(guī)范化、程序化、標準化的需要。壹建網(wǎng)目標及功能1.1建網(wǎng)目標： 資源共享功能：通過該網(wǎng)絡(luò)系統(tǒng)能夠更多更及時地了解部門的動態(tài)實現(xiàn)各部門之間的息交流和資源共享網(wǎng)絡(luò)內(nèi)的各個桌面用戶可共享數(shù)據(jù)庫打印機能夠召開頻會議，實現(xiàn)辦公自動化系統(tǒng)中的各項功能。 通信服務(wù)功能：通過網(wǎng)關(guān)和防火墻實現(xiàn)和INTRANET的連接，能夠及時獲取外部信息，實信息交流最終用戶通過廣域網(wǎng)連接能夠收發(fā)電子郵件實現(xiàn)Web應(yīng)用接入聯(lián)網(wǎng)、進行安全的廣域網(wǎng)訪問。 多媒體功能：能夠傳播聲音和圖象，實現(xiàn)對生產(chǎn)流程的監(jiān)支持多媒體組播，具有卓的服務(wù)質(zhì)量保證功能。 遠程VPN撥入訪問功能：系統(tǒng)支持遠程PPTP接入，員工于外地可利用INTERNET遠程訪問公司資源。 該系統(tǒng)具有安全和易于維護的特點且充分考慮到今后升級，為將來遠程教育培訓(xùn)和電子商務(wù)提供良好的可擴展的支撐平臺。1.2網(wǎng)絡(luò)功能：利用Web電子出版發(fā)布企業(yè)各種信息，供企業(yè)內(nèi)部或指定客戶使用。利用電子郵件，降低通信費用，企業(yè)員工能夠方便快速地應(yīng)用電子郵件來傳遞信息。于Web上開展電子商貿(mào)。主要方式有全球范圍內(nèi)的企業(yè)形象展示、物資采購、工程招投標等信息服務(wù)。遠程用戶登錄，外地員工能夠通過多種方式訪問內(nèi)部信息，甚至監(jiān)控生產(chǎn)過程。遠程信息傳送，將企業(yè)內(nèi)部的信息傳送到用戶工作站及其他通訊工具上（如手機等。企業(yè)資源管理信息系統(tǒng)（ERP）應(yīng)用，如財務(wù)、物流、人事管理系統(tǒng)等。企業(yè)無紙化辦公。通過和Internet相連，進行全球范圍的通信及視頻會議。新聞組討論。企業(yè)員工可就某壹事件通過網(wǎng)絡(luò)進行深入討論且自動記錄于服務(wù)器中。Intranet于企業(yè)內(nèi)部構(gòu)成強大的信息網(wǎng)絡(luò)平臺網(wǎng)上用戶共享信息資源Intranet也可和Internet相連，向業(yè)務(wù)伙伴提供訪問網(wǎng)絡(luò)的通道。二網(wǎng)絡(luò)設(shè)計原則為保證網(wǎng)絡(luò)的成功實施，于網(wǎng)絡(luò)設(shè)計過程中遵循如下原則： 先進性和成熟性系統(tǒng)設(shè)計既要采用先進的概念技術(shù)和方法又要注意結(jié)構(gòu)設(shè)備工具相對成熟不但能反映當(dāng)今的先進水平而且具有發(fā)展?jié)摿δ鼙ＷC于未來若年內(nèi)企業(yè)網(wǎng)絡(luò)仍占領(lǐng)先地位。 可靠性和穩(wěn)定性于考慮技術(shù)先進性和開放性的同時仍應(yīng)從系統(tǒng)結(jié)構(gòu)技術(shù)措施設(shè)備性能系統(tǒng)管理廠商技術(shù)支持及維修能力等方面著手確保系統(tǒng)運行的可靠性和穩(wěn)定性，達到最大的平均無故障時間。 安全性和保密性于系統(tǒng)設(shè)計中，既考慮信息資源的充分共享，更要注意信息的保護和隔離因此系統(tǒng)應(yīng)分別針對不同的應(yīng)用和不同的網(wǎng)絡(luò)通信環(huán)境采取不同的措施包括系統(tǒng)安全機制、數(shù)據(jù)存取的權(quán)限控制等，如劃分VLAN、MAC地址綁定、802.1x802.1d等。于技術(shù)上所選擇的服務(wù)器操作系統(tǒng)平臺通訊平臺及其數(shù)據(jù)庫平臺要采用嚴格的用戶設(shè)置操作權(quán)限控制設(shè)備鑰匙密碼控制系統(tǒng)日志監(jiān)督等種手段，以防止系統(tǒng)數(shù)據(jù)被竊取或篡于管理上，制定壹套完整的安全保密施和規(guī)章制度，保持系統(tǒng)的可持續(xù)發(fā)展空間。 可擴展性和易維護性為了適應(yīng)系統(tǒng)變化的要求必須充分考慮以最簡便的方法最低的投資現(xiàn)系統(tǒng)的擴展和維護采用可網(wǎng)管產(chǎn)品降低人力資源的費用提高網(wǎng)絡(luò)的易性，實現(xiàn)互聯(lián)互通。 實用性和經(jīng)濟性系統(tǒng)建設(shè)應(yīng)始終貫徹面向應(yīng)用，注重實效的方針，堅持實用、經(jīng)濟的原則建設(shè)企業(yè)的網(wǎng)絡(luò)系統(tǒng)。 包容性系統(tǒng)框架結(jié)構(gòu)能夠適應(yīng)多種應(yīng)用平臺具有良好的包容性易于移植和升級，不會造成重復(fù)投資。

三網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計3.1物理結(jié)構(gòu)設(shè)計為了滿足某某藥業(yè)的需求及長遠利益某某藥業(yè)企業(yè)網(wǎng)絡(luò)系統(tǒng)設(shè)備應(yīng)依據(jù)上述網(wǎng)絡(luò)設(shè)計原則進行選型于網(wǎng)絡(luò)設(shè)備方面選用先進可靠的網(wǎng)絡(luò)互聯(lián)廠商的產(chǎn)品通過智能安全及可靠的網(wǎng)絡(luò)將信息設(shè)備連為壹體具備很好的可靠性和穩(wěn)定性。利用千兆以太網(wǎng)技術(shù)建網(wǎng)，網(wǎng)絡(luò)中心交換機選用華為多功能千兆網(wǎng)管型交換機，選擇背板帶寬較大產(chǎn)品完全能夠滿足某某藥業(yè)企業(yè)內(nèi)辦公視頻和其他應(yīng)用的需要于主交換機下方可根據(jù)實際情況級聯(lián)智能型或基本型交換機來滿足不同用戶的不同需要另外考慮到企業(yè)內(nèi)部存于不方便布線地點或移動性很強的用戶接入問題于某些特定的區(qū)域設(shè)計了無線信號覆蓋通過無線接入點和無線網(wǎng)卡，以超過10M的帶寬高速連上企業(yè)網(wǎng)。整個企業(yè)網(wǎng)通過CISCO寬帶路由器實現(xiàn)和INTERNET的連接該產(chǎn)品支持各種常見接入方式且能支持局域網(wǎng)上網(wǎng)權(quán)限限制。某某藥業(yè)組建的網(wǎng)絡(luò)，通過設(shè)備選型實現(xiàn)以下幾個方面的技術(shù)：帶寬聚合技術(shù)：于倆臺交換機間提供鏈路的聚合，提供且行帶寬，將多條物理上的連接組成壹條邏輯通路（Trunk。主要功能包括成倍增加帶寬和為線路冗余提供可靠性實現(xiàn)核心網(wǎng)絡(luò)連接的線路冗余和平衡負載靈活的帶寬控制技術(shù)：以64K為單位，對每個端口的輸入和輸出帶寬根據(jù)實際需求進行靈活的控制，達到不讓某壹臺或壹組工作站占用網(wǎng)絡(luò)過多帶寬的目的。采用MAC地址限制技最大能夠設(shè)置256個MAC地址綁定實現(xiàn)網(wǎng)絡(luò)PORT接入的安全保護同時酌情采用802.1X技術(shù)實現(xiàn)對用戶接入的訪問控制，進壹步提高網(wǎng)絡(luò)安全性。 支持VLAN的劃分：基于端口VLAN和支持跨交換機802.1Q的VLAN，強網(wǎng)絡(luò)的靈活性，提高網(wǎng)絡(luò)安全，控制廣播風(fēng)暴。 支持無線WEP加密技術(shù)：對于無線產(chǎn)品的安全性有較好的保障，支持WEP256位的加密很大程度上杜絕了非法用戶于無線覆蓋區(qū)域內(nèi)的接入某某藥業(yè)網(wǎng)絡(luò)采用1000M快速交換以太網(wǎng)的星型拓撲結(jié)構(gòu)采用這種結(jié)構(gòu)有以下顯著特點：（1）局部故障不至于影響到整個網(wǎng)絡(luò)的正常運行，因而增強了系統(tǒng)的可靠性和穩(wěn)定性。（2）星型結(jié)構(gòu)便于故障定位，有利于網(wǎng)絡(luò)系統(tǒng)的維護。本網(wǎng)絡(luò)分二級設(shè)計第壹級為主干第二級通到各信息點個別二級無法到達的信息點采用三級到達第壹級主干網(wǎng)主要是網(wǎng)絡(luò)中心核心交換機和二級交換機對連采用光纖1000M傳輸連第二級可采用非智能型交換機和各終端相連傳輸速率100M物理層均采用超五類雙絞線連之上各級網(wǎng)絡(luò)均采用TCP／IP協(xié)議及其它通用協(xié)議。3.2網(wǎng)絡(luò)系統(tǒng)的拓撲結(jié)構(gòu)圖：四網(wǎng)絡(luò)設(shè)備數(shù)量規(guī)劃4.1網(wǎng)絡(luò)連接設(shè)備按照規(guī)劃所有節(jié)點均連入到交換機暫時不用的能夠不開通但從使用度考慮，能夠壹次接通。根據(jù)規(guī)劃，網(wǎng)絡(luò)設(shè)備數(shù)量如下表：網(wǎng)絡(luò)節(jié)點網(wǎng)絡(luò)配線架交換機數(shù)量室外光纖PC機數(shù)量辦公室9051臺48口1根12芯20生產(chǎn)車間3021臺24口1根12芯10庫房4021臺24口1根12芯17維修車間2011臺12口1根12芯5中心機房2011臺24口2合計200115臺4根544.2服務(wù)器除了上表列出的設(shè)備外網(wǎng)絡(luò)最核心的部分是網(wǎng)絡(luò)服務(wù)器所有的應(yīng)用服務(wù)器和基礎(chǔ)服務(wù)器全部采用機架式服務(wù)器集中放置于中心機房以便于統(tǒng)壹管理同時結(jié)合交換機技術(shù)對核心服務(wù)器的訪問做特定的條件限制提高系統(tǒng)的安全性防止非法入侵另外顯示器鍵盤鼠標從服務(wù)器室接出來讓操作人員盡量少進服務(wù)器室，減少噪音、灰塵對服務(wù)器的影響，提高服務(wù)器的物理安全性。（建議：主機房加設(shè)門禁系統(tǒng)）根據(jù)現(xiàn)有業(yè)務(wù)系統(tǒng)和可擴展原則，建議服務(wù)器規(guī)劃如下：服務(wù)名稱服務(wù)器配置級別需求數(shù)量功能說明域控制器工作組級1主域控制ERP服務(wù)企業(yè)級1企業(yè)財務(wù)、物流等核心業(yè)務(wù)管理OA服務(wù)器工作組級1辦公自動化WEB服務(wù)器工作組級1主頁服務(wù)FTP+WEB（外網(wǎng)）工作組級1郵件服務(wù)器工作組級1財務(wù)軟件授權(quán)服務(wù)器工作組級1GMP認證管理服務(wù)器工作組級1流媒體服務(wù)器部門級1視頻會議等培訓(xùn)考試服務(wù)器工作組級1職工教學(xué)、培訓(xùn)防病毒服務(wù)器工作組級1RAS服務(wù)器工作組級1文件服務(wù)器部門級1圖檔服務(wù)器部門級1根據(jù)上表規(guī)劃的功能，建議最少配備2臺服務(wù)器，壹臺主要安裝ERP系統(tǒng)，另壹臺完成辦公自動化功于其中壹臺上安裝WEB服務(wù)、郵件、RAS服務(wù)等等也能夠根據(jù)使用情況于倆臺服務(wù)器上分別安裝如果條件允許從使用角度出發(fā)多配置2-3臺服務(wù)器，將各項使用功能盡量分開，提高使用效率和可靠性。目前市場上比較流行的服務(wù)器品牌主要有IBMHPDELL和浪潮這些均國際知名的服務(wù)器產(chǎn)品供應(yīng)商其產(chǎn)品于國際國內(nèi)市場占有很大份額產(chǎn)品質(zhì)高，售后服務(wù)好，任何壹家的產(chǎn)品均能夠滿足某某藥業(yè)的需求。但這幾家服務(wù)器產(chǎn)品比較起來各有其特點IBMHP是老牌的服務(wù)器生產(chǎn)商產(chǎn)品性能優(yōu)越多級產(chǎn)品經(jīng)銷商能夠使其產(chǎn)品于世界各地均能根據(jù)客戶需求做出快速反應(yīng)，且于產(chǎn)品售后服務(wù)上能及時響應(yīng)客戶的故障請求。也正是這些特點，IBM服務(wù)器產(chǎn)品相對同類產(chǎn)品價格較高DELL是PC和服務(wù)器供應(yīng)商的后起之秀產(chǎn)品質(zhì)量可靠其最大特點就是直銷這種新型的產(chǎn)品銷售方式減少了銷售商這個中間環(huán)節(jié)降低了費用提高了效率使其服務(wù)器產(chǎn)品有很強的性價比過去壹年的銷售超過HP、IBM、SUN這些老牌的服務(wù)器廠家，成為服務(wù)器市場的領(lǐng)頭羊同樣是這種方式DELL的臺式機銷售增長也壹枝獨秀是市場此類機型的首選品牌浪潮服務(wù)器于國內(nèi)市場占有較大份額產(chǎn)品質(zhì)量能夠和國外服務(wù)器壹爭高下由于是本土企業(yè)售后服務(wù)不成問題選擇浪潮服務(wù)器同樣能夠滿足某某藥業(yè)對服務(wù)器產(chǎn)品的需求。4.3交換機交換機是網(wǎng)絡(luò)通暢的關(guān)鍵設(shè)備全面評估交換機特別是可堆疊交換機性能途徑是增加對可伸縮性和可管理性能的評估于談到可伸縮性時許多廠商列了用戶端口的數(shù)量來支持他們對高可靠性的保證這是不夠的仍要考慮這種置有沒有上行鏈路仍需確定交換機出現(xiàn)阻塞或飽和的位置這里有三點需要慮： 內(nèi)部可伸縮性：堆疊設(shè)備之間的互聯(lián)將可伸縮性限制到什么程度？ 帶寬擴展：有多少端口能夠于交換機過載前從10Mbps以太網(wǎng)升級到100Mbps以太網(wǎng)端口？ 外部可伸縮性：交換機上行鏈路將向網(wǎng)絡(luò)其它部分傳送的數(shù)據(jù)流限制到什么程度？許多研究證明涉及到運行和管理的費用于產(chǎn)品的生命期中耗費的資金比品的最初購買費用要更多因此可管理性成為了評估總體價值的另壹項關(guān)鍵素?？啥询B交換機固有的優(yōu)勢于于管理單壹邏輯實體比管理多臺必須獨立配置和監(jiān)控的設(shè)備更容易可是這里仍有其它壹些需要研究的因素包括用于優(yōu)數(shù)據(jù)流的服務(wù)質(zhì)量（QoS、執(zhí)行策略的能力、管理VLAN傳輸流的能力以及易于管理和操作性。QoS特性集中于保存所需帶寬和轉(zhuǎn)發(fā)傳輸流來支持不同服務(wù)水平的需要。壹般可堆疊交換機均支持描述優(yōu)先級和VLAN的IEEE802.1p及802.1Q標準?？僧?dāng)涉及到對資源保留協(xié)（用于為特定數(shù)據(jù)流保留規(guī)定帶寬的通用機制的支時結(jié)果卻不盡相同而資源保留對于于建立連接時保證有足夠的帶寬可供使用不可或缺的。策略是指控制交換機行為的規(guī)則，網(wǎng)絡(luò)管理員利用策略為應(yīng)用流分配帶寬優(yōu)先級以及控制網(wǎng)絡(luò)訪問其重點是滿足服務(wù)水平協(xié)議所需的帶寬管理策略及向交換機發(fā)布策略的方式由于壹次配置壹臺交換機需要耗費大量人力且有可能會出現(xiàn)輸入錯誤因此策略必須發(fā)布到交換機組于需要新策略時大量的交換機應(yīng)能夠被迅速修改因此需檢查可堆疊交換機是否支持目錄使能網(wǎng)絡(luò)和輕目錄訪問協(xié)議，以及通用開放策略服務(wù)（壹種有望實施的特性更豐富的協(xié)議。用戶能夠使用VLAN跨多臺交換機或堆疊設(shè)備來管理傳輸流。目前的產(chǎn)品均支持802.1Q標記定義的VLAN，許多產(chǎn)品仍支持基于交換機端口、媒體訪問控制地址、第3層協(xié)議或策略的其它VLAN。華為新型可堆疊交換機是性能優(yōu)越擴展性良好的網(wǎng)絡(luò)設(shè)備于交換機選上首推華為。自從和3COM合作以來，華為技術(shù)日臻完善，全球市場業(yè)績增幅直逼CISCO，成為壹款性能卓越、安全可靠的民族品牌，也是性價比最好的交換機產(chǎn)品。4.4UPS除了服務(wù)器和交換機，仍需配備壹定數(shù)量的UPS，特別是農(nóng)網(wǎng)地區(qū)（電壓不穩(wěn)，斷電等。中心機房壹定要配備UPS，如果按照2臺服務(wù)器配置，每臺耗電800W，1臺中心交換機，耗電2000W，2臺工作站，各耗電300W。所需負載計算如下：800X2+2000+300X2=4200W，UPS的容量按照VA計算：建議使用5KVA的APC不間斷電源。ACSmart-UPS，提供網(wǎng)絡(luò)級的高可靠電源，特別適于保護網(wǎng)絡(luò)設(shè)備例如對可用性要求極高的服務(wù)（無論是Intel架構(gòu)仍是UNIX架構(gòu)網(wǎng)絡(luò)交換機集線器等Smart-UPS不僅有傳統(tǒng)的塔式機型其機架式機型也是業(yè)界推出最早功率型號最全的機架式的服務(wù)器存儲產(chǎn)品、網(wǎng)絡(luò)設(shè)備等安裝于機柜內(nèi)的設(shè)備，機架式Smart-UPS是最佳配套電源。Smart-UPS隨機贈送PowerChute?電池管理軟件，應(yīng)用它，網(wǎng)絡(luò)管理員能夠遠程或自動地安全關(guān)閉系統(tǒng)。US和網(wǎng)絡(luò)設(shè)備的通訊，即可通過串口、也可通過UPS接口實現(xiàn)。Smart-UPS同時提供SmartSlot智能附件卡插槽，用戶能夠根據(jù)需要自由擴充附件卡實現(xiàn)管理功能的定制化純正弦波輸出保證兼容所有負載智能電池管理更確保了UPS的高可用性先進的圖形顯示信息方便了系統(tǒng)管理員對UPS的管理。APC的US成為網(wǎng)絡(luò)用戶非常合適的保護神。不包含連接線等附屬設(shè)施服務(wù)器交換機UPS所需費用于12—20萬元間，具體數(shù)額根據(jù)數(shù)量、性能、品牌不同而變?nèi)绻由吓_式機，仍需增加萬元左右。

五網(wǎng)絡(luò)安全性設(shè)計隨著網(wǎng)絡(luò)應(yīng)用的日益廣泛各種大型企業(yè)或單位也將通過網(wǎng)絡(luò)和用戶及其關(guān)聯(lián)行業(yè)系統(tǒng)之間進行交流提供各種網(wǎng)上的信息服務(wù)但這些網(wǎng)絡(luò)用戶中乏競爭對手和惡意破壞者這些人可能會不斷地尋找系統(tǒng)內(nèi)部網(wǎng)絡(luò)上的漏洞圖潛入內(nèi)部網(wǎng)絡(luò)壹旦網(wǎng)絡(luò)被人攻破機密的數(shù)據(jù)資料可能會被盜取網(wǎng)絡(luò)能會被破壞給系統(tǒng)帶來難以預(yù)測的損失因此防火墻便成為網(wǎng)絡(luò)安全必不少的產(chǎn)品防火墻于系統(tǒng)網(wǎng)絡(luò)和外部網(wǎng)絡(luò)用戶之間建起了壹道安全的屏障從有效地抵御外來攻擊，防止不法分子的入侵。計算機網(wǎng)絡(luò)是壹個分層次的拓撲結(jié)構(gòu)因此網(wǎng)絡(luò)的安全防護也需采用分層次的拓撲防護措施即壹個完整的網(wǎng)絡(luò)信息安全解決方案應(yīng)該覆蓋網(wǎng)絡(luò)的各個層次且且和安全管理相結(jié)合。以該思想為出發(fā)點，提出網(wǎng)絡(luò)信息安全解決方案。5.1網(wǎng)絡(luò)信息安全系統(tǒng)設(shè)計原則滿足Internet分級管理需求需求、風(fēng)險、代價平衡的原則綜合性、整體性原則可用性原則分步實施原則目前對于新建網(wǎng)絡(luò)及已投入運行的網(wǎng)絡(luò)必須盡快解決網(wǎng)絡(luò)的安全保密題，考慮技術(shù)難度及經(jīng)費等因素，設(shè)計時應(yīng)遵循如下思想：大幅度地提高系統(tǒng)的安全性和保密性；保持網(wǎng)絡(luò)原有的性能特點，即對網(wǎng)絡(luò)的協(xié)議和傳輸具有很好的透明性；易于操作、維護，且便于自動化管理，而不增加或少增加附加操作；盡量不影響原網(wǎng)絡(luò)拓撲結(jié)構(gòu)，便于系統(tǒng)及系統(tǒng)功能的擴展；安全保密系統(tǒng)具有較好的性能價格比，壹次性投資，能夠長期使用；安全和密碼產(chǎn)品具有合法性，且便于安全管理單位和密碼管理單位的檢查和監(jiān)督?；谏鲜鏊枷?，網(wǎng)絡(luò)信息安全系統(tǒng)應(yīng)遵循如下設(shè)計原則：5.1.1滿足因特網(wǎng)的分級管理需求根據(jù)Internet網(wǎng)絡(luò)規(guī)模大、用戶眾多的特點，對Internet/Intranet信息安全實施分級管理的解決方案，將對它的控制點分為三級實施安全管理。第壹中心級網(wǎng)絡(luò)，主要實現(xiàn)內(nèi)外網(wǎng)隔內(nèi)外網(wǎng)用戶的訪問控內(nèi)部網(wǎng)監(jiān)控；內(nèi)部網(wǎng)傳輸數(shù)據(jù)的備份和稽查。第二部門級，主要實現(xiàn)內(nèi)部網(wǎng)和外部網(wǎng)用戶的訪問控同級部門間的訪控制；部門網(wǎng)內(nèi)部的安全審計。第三級：終端/個人用戶級，實現(xiàn)部門網(wǎng)內(nèi)部主機的訪問控制；數(shù)據(jù)庫及終端信息資源的安全保護。5.1.2需求、風(fēng)險、代價平衡的原則對任壹網(wǎng)絡(luò)絕對安全難以達到也不壹定是必要的對壹個網(wǎng)絡(luò)進行實額研究（包括任務(wù)、性能、結(jié)構(gòu)、可靠性、可維護性等，且對網(wǎng)絡(luò)面臨的威脅及可能承擔(dān)的風(fēng)險進行定性和定量相結(jié)合的分析然后制定規(guī)范和措施確定系統(tǒng)的安全策略。5.1.3綜合性、整體性原則應(yīng)用系統(tǒng)工程的觀點方法分析網(wǎng)絡(luò)的安全及具體措施安全措施主要行政法律手段、各種管理制度（人員審查、工作流程、維護保障制度等）及專業(yè)措（識別技術(shù)存取控制密碼低輻射容錯防病毒采用高安產(chǎn)品等。壹個較好的安全措施往往是多種方法適當(dāng)綜合的應(yīng)用結(jié)果。壹個計算機網(wǎng)絡(luò)包括個人設(shè)備軟件數(shù)據(jù)等這些環(huán)節(jié)于網(wǎng)絡(luò)中的地位和影響作用也只有從系統(tǒng)綜合整體的角度去見待分析才能取得有效可行的措施即計算機網(wǎng)絡(luò)安全應(yīng)遵循整體安全性原則根據(jù)規(guī)定的安全策略制定出合理的網(wǎng)絡(luò)安全體系結(jié)構(gòu)。5.1.4可用性原則安全措施需要人為去完成如果措施過于復(fù)雜對人的要求過高本身就低了安全性如密鑰管理就有類似的問題其次措施的采用不能影響系統(tǒng)的常運行，如不采用或少采用極大地降低運行速度的密碼算法。5.1.5分步實施原則：分級管理分步實施由于網(wǎng)絡(luò)系統(tǒng)及其應(yīng)用擴展范圍廣闊，隨著網(wǎng)絡(luò)規(guī)模的擴大及應(yīng)用的增加網(wǎng)絡(luò)脆弱性也會不斷增加壹勞永逸地解決網(wǎng)絡(luò)安全問題是不現(xiàn)實的同時由于實施信息安全措施需相當(dāng)?shù)馁M用支出因此分步實施即可滿足網(wǎng)絡(luò)系統(tǒng)及信息安全的基本需求，亦可節(jié)省費用開支。5.2網(wǎng)絡(luò)信息安全系統(tǒng)設(shè)計步驟網(wǎng)絡(luò)安全需求分析:確立合理的目標基線和安全策略明確準備付出的代價制定可行的技術(shù)方案工程實施方案（產(chǎn)品的選購和定制）制定配套的法規(guī)、條例和管理辦法本方案主要從網(wǎng)絡(luò)安全需求上進行分析且基于網(wǎng)絡(luò)層次結(jié)構(gòu)提出不同次和安全強度的網(wǎng)絡(luò)信息安全解決方案。5.3網(wǎng)絡(luò)安全需求確切了解網(wǎng)絡(luò)信息系統(tǒng)需要解決哪些安全問題是建立合理安全需求的基礎(chǔ)壹般來講，網(wǎng)絡(luò)信息系統(tǒng)需要解決如下安全問題：局域網(wǎng)LAN內(nèi)部的安全問題，包括網(wǎng)段的劃分以及VLAN的實現(xiàn)于連接Internet時，如何于網(wǎng)絡(luò)層實現(xiàn)安全性應(yīng)用系統(tǒng)如何保證安全性l如何防止黑客對網(wǎng)絡(luò)主機服務(wù)器等的入侵如何實現(xiàn)廣域網(wǎng)信息傳輸?shù)陌踩Ｃ苄约用芟到y(tǒng)如何布置，包括建立證書管理中心、應(yīng)用系統(tǒng)集成加密等如何實現(xiàn)遠程訪問的安全性如何評價網(wǎng)絡(luò)系統(tǒng)的整體安全性基于這些安全問題的提出，網(wǎng)絡(luò)信息系統(tǒng)壹般應(yīng)包括如下安全機訪問制、安全檢測、攻擊監(jiān)控、加密通信、認證、隱藏網(wǎng)絡(luò)內(nèi)部信息（如NAT）等。5.4網(wǎng)絡(luò)安全層次及安全措施鏈路安全網(wǎng)絡(luò)安全信息安全網(wǎng)絡(luò)的安全層次分為:鏈路安全、網(wǎng)絡(luò)安全、信息安全網(wǎng)絡(luò)的安全層次及于相應(yīng)層次上采取的安全措施見下表。信息安全信息傳安（動安全）數(shù)據(jù)加密數(shù)據(jù)完整性別防抵賴安全管信息存安（靜安全）數(shù)據(jù)庫安全終端安全理信息的防泄密信息內(nèi)容審計用戶鑒別授權(quán)（CA）網(wǎng)絡(luò)安全訪問控制（防火墻)網(wǎng)絡(luò)安全檢測入侵檢（監(jiān))IPSEC（IP安全審計分析鏈路安全鏈路加密）5.4.1鏈路安全）鏈路安全保護措施主要是鏈路加密設(shè)備如各種鏈路加密機它對所有用數(shù)據(jù)壹起加密用戶數(shù)據(jù)通過通信線路送到另壹節(jié)點后立即解密加密后的數(shù)不能進行路由交換因此于加密后的數(shù)據(jù)不需要進行路由交換的情況下如直通專線用戶就能夠選擇路由加密設(shè)備。壹般，線路加密產(chǎn)品主要用于電話網(wǎng)、DDN、專線、衛(wèi)星點對點通信環(huán)境，它包括異步線路密碼機和同步線路密碼機異步線路密碼機主要用于電話網(wǎng)步線路密碼機則可用于許多專線環(huán)境。5.4.2網(wǎng)絡(luò)安全網(wǎng)絡(luò)的安全問題主要是由網(wǎng)絡(luò)的開放性無邊界性自由性造成的所以們考慮信息網(wǎng)絡(luò)的安全首先應(yīng)該考慮把被保護的網(wǎng)絡(luò)由開放的無邊界的網(wǎng)絡(luò)境中獨立出來成為可管理可控制的安全的內(nèi)部網(wǎng)絡(luò)也只有做到這壹點現(xiàn)信息網(wǎng)絡(luò)的安全才有可能而最基本的分隔手段就是防火墻利用防火墻夠?qū)崿F(xiàn)內(nèi)部（信任網(wǎng)絡(luò)和外部不可信任網(wǎng)（如因特網(wǎng)之間或是內(nèi)部網(wǎng)同網(wǎng)絡(luò)安全域的隔離和訪問控制，保證網(wǎng)絡(luò)系統(tǒng)及網(wǎng)絡(luò)服務(wù)的可用性。目前市場上成熟的防火墻主要有如下幾類壹類是包過濾型防火墻壹類應(yīng)用代理型防火墻仍有壹類是復(fù)合型防火墻即包過濾和應(yīng)用代理型防火墻結(jié)合包過濾防火墻通?；贗P數(shù)據(jù)包的源或目標IP地址協(xié)議類型協(xié)議口號等對數(shù)據(jù)流進行過濾包過濾防火墻比其它模式的防火墻有著更高的網(wǎng)絡(luò)能和更好的應(yīng)用程序透明性代理型防火墻作用于應(yīng)用層壹般能夠?qū)Χ喾N應(yīng)協(xié)議進行代理，且對用戶身份進行鑒別，且提供比較詳細的日志和審計信缺點是對每種應(yīng)用協(xié)議均需提供相應(yīng)的代理程序且且基于代理的防火墻常常使網(wǎng)絡(luò)性能明顯下降應(yīng)指出的是于網(wǎng)絡(luò)安全問題日益突出的今天防火墻術(shù)發(fā)展迅速目前壹些領(lǐng)先防火墻廠商已將很多網(wǎng)絡(luò)邊緣功能及網(wǎng)管功能集成防火墻當(dāng)中，這些功能有：VPN功能、計費功能、流量統(tǒng)計和控制功能、監(jiān)控功能、NAT功能等等。信息系統(tǒng)是動態(tài)發(fā)展變化的確定的安全策略和選擇合適的防火墻產(chǎn)品只壹個良好的開端但它只能解決40%－60%的安全問題其余的安全問題仍有待決這些問題包括信息系統(tǒng)高智能主動性威脅后續(xù)安全策略和響應(yīng)的弱化統(tǒng)的配置錯誤對安全風(fēng)險的感知程度低動態(tài)變化的應(yīng)用環(huán)境充滿弱點等些均是對信息系統(tǒng)安全的挑戰(zhàn)。信息系統(tǒng)的安全應(yīng)該是壹個動態(tài)的發(fā)展過程應(yīng)該是壹種檢測──監(jiān)視安全響應(yīng)的循環(huán)過程動態(tài)發(fā)展是系統(tǒng)安全的規(guī)律網(wǎng)絡(luò)安全風(fēng)險評估和入侵測產(chǎn)品正是實現(xiàn)這壹目標的必不可少的環(huán)節(jié)。網(wǎng)絡(luò)安全檢測是對網(wǎng)絡(luò)進行風(fēng)險評估的重要措施通過使用網(wǎng)絡(luò)安全性分析系統(tǒng)能夠及時發(fā)現(xiàn)網(wǎng)絡(luò)系統(tǒng)中最薄弱的環(huán)節(jié)檢查方案系統(tǒng)存于的弱點漏和不安全配置，建議補救措施和安全策略，達到增強網(wǎng)絡(luò)安全性的目的。入侵檢測系統(tǒng)是實時網(wǎng)絡(luò)違規(guī)自動識別和響應(yīng)系統(tǒng)它位于有敏感數(shù)據(jù)需保護的網(wǎng)絡(luò)上或網(wǎng)絡(luò)上任何有風(fēng)險存于的地方通過實時截獲網(wǎng)絡(luò)數(shù)據(jù)流能夠識別、記錄入侵和破壞性代碼流，尋找網(wǎng)絡(luò)違規(guī)模式和未授權(quán)的網(wǎng)絡(luò)訪問嘗試當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)違規(guī)模式和未授權(quán)的網(wǎng)絡(luò)訪問時入侵檢測系統(tǒng)能夠根據(jù)系統(tǒng)安全略做出反應(yīng)包括實時報警事件登錄自動阻斷通信連接或執(zhí)行用戶自定義的安全策略等。另外使用IP信道加密技（IPSEC也能夠于倆個網(wǎng)絡(luò)結(jié)點之間建立透明的安全加密信道其中利用IP認證（IPAH能夠提供認證和數(shù)據(jù)完整性機制利用IP封裝凈（IPESP能夠?qū)崿F(xiàn)通信內(nèi)容的保密IP信道加密技術(shù)的優(yōu)點是對應(yīng)用透明，能夠提供主機到主機的安全服務(wù)，且通過建立安全的IP隧道實現(xiàn)虛擬專網(wǎng)即VN。目前基于IPSEC的安全產(chǎn)品主要有網(wǎng)絡(luò)加密機，另外，有些防火墻也提供相同功能。5.4.3信息安全（應(yīng)用和數(shù)據(jù)安全）于這里我們把信息安全定義為應(yīng)用層和數(shù)據(jù)安全于這壹層次上主要應(yīng)用密碼技術(shù)解決用戶身份鑒別用戶權(quán)限控制數(shù)據(jù)的機密性完整性等網(wǎng)上信息的安全問題由于網(wǎng)絡(luò)的開放性和資源的共享使得網(wǎng)絡(luò)上的信（無是動態(tài)的仍是靜態(tài)的的使用和修改均是自由的如非法修改越權(quán)使用改信息的流向等這也必然威脅到信息的可控性可用性保密性完整性等安屬性為了保證信息的安全我們必須采取有效的技術(shù)措施這些措施主要從下幾個方面解決信息的安全問題，用戶身份鑒別、用戶權(quán)限控制、信息的輸安全、信息的存儲安全以及對信息內(nèi)容的審計。天融信公司為解決這壹層次的安全問題而提供的關(guān)聯(lián)產(chǎn)品有：Internet/Intranet加密系統(tǒng)：它為應(yīng)用程序提供身份鑒別、數(shù)據(jù)加密數(shù)字簽名和自動密鑰分發(fā)等安全功能。CA系統(tǒng)：建立證書中心（CA）即公鑰密碼證書管理中心，是公鑰密碼技術(shù)得以大規(guī)模應(yīng)用的前提條件公鑰密碼算法于密鑰自動管理數(shù)字簽名身份識別等方面是傳統(tǒng)對稱密碼算法所不可代替的壹項關(guān)鍵技術(shù)尤其于當(dāng)前迅猛發(fā)展的電子商務(wù)中數(shù)字簽名是電子商務(wù)安全的核心部分公鑰密碼算法用于數(shù)字簽名時須借助可信的第三方對簽名者的公開密鑰提供擔(dān)保這個可信的第三方就是CA因此建立CA是開展電子商務(wù)的先決條件。另外，CA仍可為各種基于公鑰密碼算法建立的網(wǎng)絡(luò)安全系統(tǒng)提供認證服務(wù)。端端加密這類密碼機只對用戶數(shù)據(jù)中的數(shù)據(jù)字段部分加密，控制字部分則不加密用戶數(shù)據(jù)加密后通過網(wǎng)絡(luò)路由交換到達目的地后才進行密用戶數(shù)據(jù)于網(wǎng)絡(luò)的各個交換節(jié)點中傳輸時始終處于加密狀態(tài)有效防止了用戶信息于網(wǎng)絡(luò)各個環(huán)節(jié)上的泄漏和篡改問題端端系列加密機列目前主要用于X.25分組交換網(wǎng)等端到端通信環(huán)境為X.25網(wǎng)用戶提全程加密服務(wù)，它支持專線及電話撥號倆種入網(wǎng)方式。信息稽查系是針對信息內(nèi)容進行審計的安全管理手段，該系統(tǒng)采用進的狀態(tài)檢查技術(shù)以透明方式實時對進出內(nèi)部網(wǎng)絡(luò)的電子郵件和傳輸件等進行數(shù)據(jù)備份且可根據(jù)用戶需求對通信內(nèi)容進行審計且對壓縮文件進行解壓仍原從而為防止內(nèi)部網(wǎng)絡(luò)敏感信息的泄漏以及外部不良息的侵入和外部的非法攻擊提供有效的技術(shù)手段。辦公自動化文電加密系文電辦公自動化安全保密系統(tǒng)是用于文件和電子郵件傳送存儲以及訪問控制的應(yīng)用系統(tǒng)是應(yīng)用層加密系統(tǒng)系統(tǒng)采用對稱和非對稱算法相結(jié)合的體系為適應(yīng)國家有關(guān)規(guī)定算法可根據(jù)用戶的安全強度需求不同進行定制；而且具有操作簡單、使用方便的特點可廣泛應(yīng)用于企業(yè)內(nèi)部網(wǎng)、局域網(wǎng)、廣域網(wǎng)以及利用Internet開展的諸多應(yīng)用中。安全數(shù)據(jù)庫系安全數(shù)據(jù)庫系統(tǒng)是壹套完全自主版權(quán)實用化的數(shù)據(jù)庫軟件產(chǎn)品，系統(tǒng)主要的安全機制包管理員、審計員、安全員三權(quán)分立的管理機對用戶和數(shù)據(jù)的分級管理機同時提供可靠的故障恢復(fù)機制該系統(tǒng)是客戶/服務(wù)器體系機構(gòu)的分布式多媒體數(shù)據(jù)庫管理系統(tǒng)，支持多臺服務(wù)器且行協(xié)同工作提供良好的分布式數(shù)據(jù)庫環(huán)境確保分布數(shù)據(jù)的完整性；支持存儲過程和遠程數(shù)據(jù)訪問；系統(tǒng)性能和功能強度，相當(dāng)于ORACLEV7，且可和ORACLE等流行數(shù)據(jù)庫互聯(lián)互訪。數(shù)據(jù)庫安全保密系數(shù)據(jù)庫安全保密系統(tǒng)是針對目前已選用的通用數(shù)庫開發(fā)的安全措施，是于目前流行的通用數(shù)據(jù)庫（如Oracle）基礎(chǔ)上加控件，以實現(xiàn)對數(shù)據(jù)庫的訪問/存取控制及加密控制等。5.5網(wǎng)絡(luò)信息安全解決方案選型指導(dǎo)5.5.1鏈路安全解決方案用戶需求：鏈路加密，防信息泄漏，對用戶透明，設(shè)備自身安全管理解決方異步線路密碼（適用于電話網(wǎng)同步線路密碼機適用專線、X.25專線、衛(wèi)星線路）5.5.2