河北工業(yè)職業(yè)技術(shù)學(xué)院學(xué)生頂崗實習(xí)專項任務(wù)書專項任務(wù)名稱局域網(wǎng)整網(wǎng)安全方案的設(shè)計姓名×××專業(yè)計算機系班級網(wǎng)絡(luò)二班學(xué)號××××××一、任務(wù)狀況描述：隨著計算機及局域網(wǎng)絡(luò)應(yīng)用的不停進一步，特別是多個計算機應(yīng)用系統(tǒng)被相繼應(yīng)用在實際工作中。因此網(wǎng)絡(luò)安全就顯得格外重要。這次任務(wù)是局域網(wǎng)整網(wǎng)安全方案的設(shè)計，就是通過對局域網(wǎng)安全的總體設(shè)計，讓我們認識到網(wǎng)絡(luò)安全的重要性。二、任務(wù)完畢計劃：第1周、第2周、第3周：總體分析這次的任務(wù)狀況，抓住本次任務(wù)的重點—網(wǎng)絡(luò)安全，在把握總體的基礎(chǔ)上收集資料、查閱書籍。第4周、第5周、第6周：整頓資料，分門別類，統(tǒng)計有用的信息。第7周、第8周、第9周：對論文的布局設(shè)計。第10周、第11周、第12周：整頓論文，排版，復(fù)查。三、計劃答辯時間：.5.18實習(xí)指導(dǎo)教師（簽字）：系學(xué)生頂崗實習(xí)領(lǐng)導(dǎo)小組組長（簽字）：年月日年月日河北工業(yè)職業(yè)技術(shù)學(xué)院專項任務(wù)報告書任務(wù)題目局域網(wǎng)網(wǎng)絡(luò)安全方案的設(shè)計系別計算機技術(shù)系專業(yè)年級網(wǎng)絡(luò)×班學(xué)生姓名×××學(xué)號×××××××××指導(dǎo)教師××××職稱×××××完畢地點××××××××××××××××××日期.05.18目錄TOC\o"1-2"\h\u16569概述 19355一、網(wǎng)絡(luò)安全概況 230422二、系統(tǒng)安全分析 3191071、物理安全風(fēng)險分析 4254382、應(yīng)用風(fēng)險 4164393、管理的風(fēng)險 519008三、安全需求與安全目的 6187801、安全需求分析 6142262、目的 68384四、網(wǎng)絡(luò)安全方案總體設(shè)計 798491、安全方案設(shè)計原則 7316082、安全服務(wù)、機制與技術(shù) 73113五、網(wǎng)絡(luò)安全體系構(gòu)造 893351、物理安全 8205052、網(wǎng)絡(luò)構(gòu)造 8134393、系統(tǒng)安全 8170524、網(wǎng)絡(luò)備份系統(tǒng) 10211895、系統(tǒng)安全 1128031總結(jié) 112982參考文獻 11局域網(wǎng)網(wǎng)絡(luò)安全方案的設(shè)計設(shè)計者：×××指導(dǎo)老師：×××概述由于信息化建設(shè)速度越來越快，而現(xiàn)在公司的局域網(wǎng)建設(shè)年代久遠，其間通過多次擴容和改建，初步形成了全網(wǎng)互聯(lián)互通，但沒能從根本上解決局域網(wǎng)安全問題。員工電腦中毒，內(nèi)網(wǎng)ARP病毒、DOS攻擊泛濫，嚴重時整個內(nèi)網(wǎng)癱瘓;P2P下載占用大量帶寬，有限的帶寬資源得不到合理分派，影響辦公正常業(yè)務(wù)。因此公司的局域網(wǎng)改造已迫在眉睫。局域網(wǎng)局域網(wǎng)安全普通重下列幾點考慮：客戶端和服務(wù)器及時更新補丁，如果你的公司客戶端數(shù)量較多的話以使用wsus。嚴禁掉不必要的服務(wù)和工具（例如：封掉USB端口、光驅(qū)等)。安裝公司防火墻，例如微軟的ISA或者使用硬件防火墻實現(xiàn)客戶訪問的過濾查殺：如果不小心中毒了的話，要及時解決中毒計算機，使用專殺工具殺毒，或手工殺毒，萬不得已的時候重新安裝操作系統(tǒng)。隨著局域網(wǎng)應(yīng)用環(huán)境的日趨復(fù)雜，公司核心數(shù)據(jù)被盜、顧客數(shù)據(jù)丟失、知識產(chǎn)權(quán)被盜用等事件頻發(fā)，不少公司都因此遭受了巨大的損失。USB，能夠封住嗎，在公司里，幾乎是不可能的。一、網(wǎng)絡(luò)安全概況1、局域網(wǎng)概況公司的局域網(wǎng)是一種信息點較為密集的千兆局域局域網(wǎng)系統(tǒng)，它所聯(lián)接的現(xiàn)有上千個信息點為在整個公司內(nèi)辦公的各部門提供了一種快速、方便的信息交流平臺。不僅如此，通過專線與Internet的連接，打通了一扇通向外部世界的窗戶，各個部門能夠直接與互聯(lián)網(wǎng)顧客進行交流、查詢資料等。通過公開服務(wù)器，公司能夠直接對外公布信息或者發(fā)送電子郵件。高速交換技術(shù)的采用、靈活的局域網(wǎng)互連方案設(shè)計為顧客提供快速、方便、靈活通信平臺的同時，也為局域網(wǎng)的安全帶來了更大的風(fēng)險。因此，在原有局域網(wǎng)上實施一套完整、可操作的安全解決方案不僅是可行的，并且是必需的。2、網(wǎng)絡(luò)構(gòu)造局域網(wǎng)構(gòu)造的特點在分析這個公司局域網(wǎng)的安全風(fēng)險時，應(yīng)考慮到局域網(wǎng)的以下幾個特點：局域網(wǎng)與Internet直接連結(jié)，因此在進行安全方案設(shè)計時要考慮與Internet連結(jié)的有關(guān)風(fēng)險，涉及可能通過Internet傳輸進來病毒，黑客攻擊，來自Internet的非授權(quán)訪問等。局域網(wǎng)中存在公開服務(wù)器，由于公開服務(wù)器對外必須開放部分業(yè)務(wù)，因此在進行安全方案設(shè)計時應(yīng)當(dāng)考慮采用安全服務(wù)器局域網(wǎng)，避免公開服務(wù)器的安全風(fēng)險擴散到內(nèi)部。內(nèi)部局域網(wǎng)中存在許多不同的子網(wǎng)，不同的子網(wǎng)有不同的安全性，因此在進行安全方案設(shè)計時，應(yīng)考慮將不同功效和安全級別的局域網(wǎng)分割開，這能夠通過交換機劃分VLAN來實現(xiàn)?？偠灾谶M行局域網(wǎng)方案設(shè)計時，應(yīng)綜合考慮到這個公司局域網(wǎng)的特點，根據(jù)產(chǎn)品的性能、價格、潛在的安全風(fēng)險進行綜合考慮。二、系統(tǒng)安全分析隨著Internet局域網(wǎng)急劇擴大和上網(wǎng)顧客快速增加，風(fēng)險變得更加嚴重和復(fù)雜。原來由單個計算機安全事故引發(fā)的損害可能傳輸?shù)狡渌到y(tǒng)，引發(fā)大范疇的癱瘓和損失；另外加上缺少安全控制機制和對Internet安全政策的認識局限性，這些風(fēng)險正日益嚴重。針對這個公司局域網(wǎng)中存在的安全隱患，在進行安全方案設(shè)計時，下述安全風(fēng)險我們必須要認真考慮，并且要針對面臨的風(fēng)險，采用對應(yīng)的安全方法。下述風(fēng)險由多個因素引發(fā)，與這個公司局域網(wǎng)構(gòu)造和系統(tǒng)的應(yīng)用、局域網(wǎng)內(nèi)局域網(wǎng)服務(wù)器的可靠性等因素親密有關(guān)。下面列出部分這類風(fēng)險因素：局域網(wǎng)安全能夠從下列三個方面來理解：局域網(wǎng)物理與否安全；系統(tǒng)與否安全；應(yīng)用與否安全；管理與否安全。針對每一類安全風(fēng)險，結(jié)合這個公司局域網(wǎng)的實際狀況，我們將具體的分析局域網(wǎng)的安全風(fēng)險。1、物理安全風(fēng)險分析局域網(wǎng)的物理安全的風(fēng)險是多個多樣的。局域網(wǎng)的物理安全重要是指地震、水災(zāi)、火災(zāi)等環(huán)境事故；電源故障；人為操作失誤或錯誤；設(shè)備被盜、被毀；電磁干擾；線路截獲。以及高可用性的硬件、雙機多冗余的設(shè)計、機房環(huán)境及報警系統(tǒng)、安全意識等。局域網(wǎng)操作系統(tǒng)、局域網(wǎng)硬件平臺的可靠性：對于中國來說，恐怕沒有絕對安全的操作系統(tǒng)能夠選擇，無論是Microsoft的WindowsNT或者其它任何商用UNIX操作系統(tǒng)，其開發(fā)廠商必然有其Back-Door。我們能夠這樣講：沒有完全安全的操作系統(tǒng)。但是，我們能夠?qū)ΜF(xiàn)有的操作平臺進行安全配備、對操作和訪問權(quán)限進行嚴格控制，提高系統(tǒng)的安全性。因此，不僅要選用盡量可靠的操作系統(tǒng)和硬件平臺。并且必須加強登錄過程的認證（特別是在達成服務(wù)器主機之前的認證），確保顧客的正當(dāng)性；另首先應(yīng)當(dāng)嚴格限制登錄者的操作權(quán)限，將其完畢的操作限制在最小的范疇內(nèi)。2、應(yīng)用風(fēng)險應(yīng)用系統(tǒng)的安全動態(tài)的、不停變化的：應(yīng)用的安全涉及面很廣，以現(xiàn)在Internet上應(yīng)用最為廣泛的E-mail系統(tǒng)來說，其解決方案有幾十種，但其系統(tǒng)內(nèi)部的編碼甚至編譯器造成的BUG是極少有人能夠發(fā)現(xiàn)的，因此一套詳盡的測試軟件是相稱必須的。但是應(yīng)用系統(tǒng)是不停發(fā)展且應(yīng)用類型是不停增加的，其成果是安全漏洞也是不停增加且隱藏越來越深。因此，確保應(yīng)用系統(tǒng)的安全也是一種隨局域網(wǎng)發(fā)展不停完善的過程。應(yīng)用的安全性涉及到信息、數(shù)據(jù)的安全性：信息的安全性涉及到：機密信息泄露、未經(jīng)授權(quán)的訪問、破壞信息完整性、假冒、破壞系統(tǒng)的可用性等。3、管理的風(fēng)險管理是局域網(wǎng)中安全最最重要的部分。責(zé)權(quán)不明，管理混亂、安全管理制度不健全及缺少可操作性等都可能引發(fā)管理安全的風(fēng)險。責(zé)權(quán)不明，管理混亂，使得某些員工或管理員隨便讓某些非本地員工甚至外來人員進入機房重地，或者員工故意無意泄漏他們所懂得的某些重要信息，而管理上卻沒有對應(yīng)制度來約束。當(dāng)局域網(wǎng)出現(xiàn)攻擊行為或局域網(wǎng)受到其它某些安全威脅時（如內(nèi)部人員的違規(guī)操作等），無法進行實時的檢測、監(jiān)控、報告與預(yù)警。同時，當(dāng)事故發(fā)生后，也無法提供黑客攻擊行為的追蹤線索及破案根據(jù)，即缺少對局域網(wǎng)的可控性與可審查性。這就規(guī)定我們必須對站點的訪問活動進行多層次的統(tǒng)計，及時發(fā)現(xiàn)非法入侵行為。建立全新局域網(wǎng)安全機制，必須深刻理解局域網(wǎng)并能提供直接的解決方案，因此最可行的做法是管理制度和管理解決方案的結(jié)合。黑客攻擊黑客們的攻擊行動是無時無刻不在進行的，并且會運用系統(tǒng)和管理上的一切可能運用的漏洞。公開服務(wù)器存在漏洞的一種典型例證，是黑客能夠容易地騙過公開服務(wù)器軟件，得到Unix的口令文獻并將之送回。黑客侵入UNIX服務(wù)器后，有可能修改特權(quán)，從普通顧客變?yōu)楦呒夘櫩停坏┏晒?，黑客能夠直接進入口令文獻。黑客還能開發(fā)欺騙程序，將其裝入UNIX服務(wù)器中，用以監(jiān)聽登錄會話。當(dāng)它發(fā)現(xiàn)有顧客登錄時，便開始存儲一種文獻，這樣黑客就擁有了別人的帳戶和口令。這時為了避免黑客，需要設(shè)立公開服務(wù)器，使得它不離開自己的空間而進入另外的目錄。另外，還應(yīng)設(shè)立組特權(quán)，不允許任何使用公開服務(wù)器的人訪問WWW頁面文獻以外的東西。在這個公司的局域網(wǎng)內(nèi)我們能夠綜合采用防火墻技術(shù)、Web頁面保護技術(shù)、入侵檢測技術(shù)、安全評定技術(shù)來保護局域網(wǎng)內(nèi)的信息資源，避免黑客攻擊。通用網(wǎng)關(guān)接口（CGI）漏洞有一類風(fēng)險涉及通用網(wǎng)關(guān)接口（CGI）腳本。許多頁面文獻和指向其它頁面或站點的超連接。然而有些站點用到這些超連接所指站點尋找特定信息。搜索引擎是通過CGI腳本執(zhí)行的方式實現(xiàn)的。黑客能夠修改這些CGI腳本以執(zhí)行他們的非法任務(wù)。普通這些CGI腳本只能在這些所指WWW服務(wù)器中尋找，但如果進行某些修改，他們就能夠在WWW服務(wù)器之外進行尋找。要避免這類問題發(fā)生，應(yīng)將這些CGI腳本設(shè)立為較低檔顧客特權(quán)。提高系統(tǒng)的抗破壞能力，提高服務(wù)器備份與恢復(fù)能力，提高站點內(nèi)容的防篡改與自動修復(fù)能力。三、安全需求與安全目的安全需求分析 通過前面我們對這個公司局域局域網(wǎng)構(gòu)造、應(yīng)用及安全威脅分析，能夠看出其安全問題重要集中在對服務(wù)器的安全保護、防黑客和病毒、重要網(wǎng)段的保護以及管理安全上。因此，我們必須采用對應(yīng)的安全方法杜絕安全隱患，其中應(yīng)當(dāng)做到：公開服務(wù)器的安全保護避免黑客從外部攻擊入侵檢測與監(jiān)控信息審計與統(tǒng)計。針對局域局域網(wǎng)系統(tǒng)的實際狀況，在系統(tǒng)考慮如何解決上述安全問題的設(shè)計時應(yīng)滿足以下規(guī)定：

大幅度地提高系統(tǒng)的安全性（重點是可用性和可控性）；

保持局域網(wǎng)原有的能特點，即對局域網(wǎng)的合同和傳輸含有較好的透明性，能透明接入，無需更改局域網(wǎng)設(shè)立。2、目的局域網(wǎng)系統(tǒng)安全應(yīng)當(dāng)實現(xiàn)下列目的：建立一套完整可行的局域網(wǎng)安全與局域網(wǎng)管理方略將內(nèi)部局域網(wǎng)、公開服務(wù)器局域網(wǎng)和外網(wǎng)進行有效隔離，避免與外部局域網(wǎng)的直接通信建立網(wǎng)站各主機和服務(wù)器的安全保護方法，確保他們的系統(tǒng)安全對網(wǎng)上服務(wù)請求內(nèi)容進行控制，使非法訪問在達成主機前被回絕加強正當(dāng)顧客的訪問認證，同時將顧客的訪問權(quán)限控制在最低程度全方面監(jiān)視對公開服務(wù)器的訪問，及時發(fā)現(xiàn)和回絕不安全的操作和黑客攻擊行為加強對多個訪問的審計工作，具體統(tǒng)計對局域網(wǎng)、公開服務(wù)器的訪問行為，形成完整的系統(tǒng)日志備份與災(zāi)難恢復(fù)——強化系統(tǒng)備份，實現(xiàn)系統(tǒng)快速恢復(fù)加強局域網(wǎng)安全管理，提高系統(tǒng)全體人員的局域網(wǎng)安全意識和防備技術(shù)。四、網(wǎng)絡(luò)安全方案總體設(shè)計1、安全方案設(shè)計原則對公司局域網(wǎng)局域網(wǎng)系統(tǒng)安全方案設(shè)計、規(guī)劃時，應(yīng)遵照下列原則：（1）、綜合性、整體性原則：應(yīng)用系統(tǒng)工程的觀點、辦法，分析局域網(wǎng)的安全及具體方法。安全方法重要涉及：行政法律手段、多個管理制度（人員審查、工作流程、維護保障制度等）以及專業(yè)方法（識別技術(shù)、存取控制、密碼、低輻射、容錯、防病毒、采用高安全產(chǎn)品等）。一種較好的安全方法往往是多個辦法適宜綜合的應(yīng)用成果。（2）、需求、風(fēng)險、代價平衡的原則：對任一局域網(wǎng)，絕對安全難以達成，也不一定是必要的。對一種局域網(wǎng)進行實際額研究，并對局域網(wǎng)面臨的威脅及可能承當(dāng)?shù)娘L(fēng)險進行定性與定量相結(jié)合的分析，然后制訂規(guī)范和方法，擬定本系統(tǒng)的安全方略。安全服務(wù)、機制與技術(shù)安全服務(wù)：安全服務(wù)重要有：控制服務(wù)、對象認證服務(wù)、可靠性服務(wù)等。安全技術(shù)：防火墻技術(shù)、鑒別技術(shù)、審計監(jiān)控技術(shù)、病毒防治技術(shù)等；在安全的開放環(huán)境中，顧客能夠使用多個安全應(yīng)用。安全應(yīng)用由某些安全服務(wù)來實現(xiàn)；而安全服務(wù)又是由多個安全機制或安全技術(shù)來實現(xiàn)的。應(yīng)當(dāng)指出，同一安全機制有時也能夠用于實現(xiàn)不同的安全服務(wù)。

五、網(wǎng)絡(luò)安全體系構(gòu)造通過對局域網(wǎng)的全方面理解，按照安全方略的規(guī)定、風(fēng)險分析的成果及整個局域網(wǎng)的安全目的，整個局域網(wǎng)方法應(yīng)按系統(tǒng)體系建立。具體的安全控制系統(tǒng)由下列幾個方面構(gòu)成：物理安全、局域網(wǎng)安全、系統(tǒng)安全、信息安全、應(yīng)用安全和安全管理。物理安全確保計算機信息系統(tǒng)多個設(shè)備的物理安全是整個計算機信息系統(tǒng)安全的前提，物理安全是保護計算機局域網(wǎng)設(shè)備、設(shè)施以及其它媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故以及人為操作失誤或錯誤及多個計算機犯罪行為造成的破壞過程。2、網(wǎng)絡(luò)構(gòu)造安全系統(tǒng)是建立在局域網(wǎng)系統(tǒng)之上的，局域網(wǎng)構(gòu)造的安全是安全系統(tǒng)成功建立的基礎(chǔ)。在整個局域網(wǎng)構(gòu)造的安全方面，重要考慮局域網(wǎng)構(gòu)造、系統(tǒng)和路由的優(yōu)化。局域網(wǎng)構(gòu)造的建立要考慮環(huán)境、設(shè)備配備與應(yīng)用狀況、遠程聯(lián)網(wǎng)方式、通信量的估算、局域網(wǎng)維護管理、局域網(wǎng)應(yīng)用與業(yè)務(wù)定位等因素。成熟的局域網(wǎng)構(gòu)造應(yīng)含有開放性、原則化、可靠性、先進性和實用性，并且應(yīng)當(dāng)有構(gòu)造化的設(shè)計，充足運用現(xiàn)有資源，含有運行管理的簡便性，完善的安全保障體系。局域網(wǎng)構(gòu)造采用分層的體系構(gòu)造，利于維護管理，利于更高的安全控制和業(yè)務(wù)發(fā)展。系統(tǒng)安全（1）、訪問控制及內(nèi)外網(wǎng)的隔離防火墻的應(yīng)用配備對應(yīng)的安全設(shè)備：在內(nèi)部網(wǎng)與外部網(wǎng)之間，設(shè)立防火墻實現(xiàn)內(nèi)外網(wǎng)的隔離與訪問控制是保護內(nèi)部網(wǎng)安全的最重要、同時也是最有效、最經(jīng)濟的方法之一。防火墻設(shè)立在不同局域網(wǎng)或局域網(wǎng)安全域之間信息的唯一出入口。防火墻,顧名思義,是一種隔離設(shè)備。防火墻是一種高級訪問控制設(shè)備,置于不同網(wǎng)絡(luò)安全域之間的一系列部件的組合,它是不同網(wǎng)絡(luò)安全域之間通信流的唯一通道,能根據(jù)顧客有關(guān)的安全方略控制進出網(wǎng)絡(luò)的訪問行為。從專業(yè)角度講,防火墻是位于兩個或多個網(wǎng)絡(luò)間,實施網(wǎng)絡(luò)訪問控制的組件集合。包過濾（Packetfiltering）型包過濾方式是一種通用、便宜和有效的安全手段。之因此通用，是由于它不是針對各個具體的網(wǎng)絡(luò)服務(wù)采用特殊的解決方式，合用于全部網(wǎng)絡(luò)服務(wù)；之因此便宜，是由于大多數(shù)路由器都提供數(shù)據(jù)包過濾功效，因此這類防火墻多數(shù)是由路由器集成的；之因此有效，是由于它能很大程度上滿足了絕大多數(shù)安全規(guī)定。包過濾方式的優(yōu)點是不用改動客戶機和主機上的應(yīng)用程序，由于它工作在網(wǎng)絡(luò)層和傳輸層，與應(yīng)用層無關(guān)。但其弱點也是明顯的：過濾鑒別的根據(jù)只是網(wǎng)絡(luò)層和傳輸層的有限信息，因而多個安全規(guī)定不可能充足滿足；在許多過濾器中，過濾規(guī)則的數(shù)目是有限制的，且隨著規(guī)則數(shù)目的增加，性能會受到很大地影響；由于缺少上下文關(guān)聯(lián)信息，不能有效地過濾如UDP、RPC（遠程過程調(diào)用）一類的合同。應(yīng)用代理（ApplicationProxy）型應(yīng)用代理型防火墻是工作在OSI的最高層，即應(yīng)用層。其特點是完全“阻隔”了網(wǎng)絡(luò)通信流，通過對每種應(yīng)用服務(wù)編制專門的代理程序，實現(xiàn)監(jiān)視和控制應(yīng)用層通信流的作用。防火墻重要的種類是包過濾型，包過濾防火墻普通運用IP和TCP包的頭信息對進出被保護局域網(wǎng)的IP包信息進行過濾，能根據(jù)公司的安全政策來控制（允許、回絕、監(jiān)測）出入局域網(wǎng)的信息流。同時可實現(xiàn)局域網(wǎng)地址轉(zhuǎn)換（NAT）、審記與實時告警等功效。由于這種防火墻安裝在被保護局域網(wǎng)與路由器之間的通道上，因此也對被保護局域網(wǎng)和外部局域網(wǎng)起到隔離作用。（2）、內(nèi)部網(wǎng)不同局域網(wǎng)安全域的隔離及訪問控制在這里，重要運用VLAN技術(shù)來實現(xiàn)對內(nèi)部子網(wǎng)的物理隔離。通過在交換機上劃分VLAN能夠?qū)⒄麄€局域網(wǎng)劃分為幾個不同的廣播域，實現(xiàn)內(nèi)部一種網(wǎng)段與另一種網(wǎng)段的物理隔離。這樣，就能避免影響一種網(wǎng)段的問題穿過整個局域網(wǎng)傳輸。、局域網(wǎng)安全檢測局域網(wǎng)系統(tǒng)的安全性取決于局域網(wǎng)系統(tǒng)中最單薄的環(huán)節(jié)。如何及時發(fā)現(xiàn)局域網(wǎng)系統(tǒng)中最單薄的環(huán)節(jié)？如何最大程度