2023年11月29日发(作者：)

网络安全设计说明

1.引言

一个安全的信息网络应该能够解决以下3 方面的问题

l)内部网用户对信息的安全访问;

2) Internet 用户对信息的安全访问;

3)内部网与Internet 的信息交流.

既要能做到：

内部员工访问Internet不受限制

Internet用户有权访问公司的Web服务器和E-mail服务器

任何经过公司内部网络的数据必须经过安全认证和加密

根据应用划分为以下的层次结构

.

1) :,

核心层指内部不同部门的局域网本部门的大量信息在该网络上传输，核心业务服务器

也安置在这一区，最受保护的区域

.

2) Intranet :,,

层 通过专网将分支机构与核心层连接起来组成集团网络部门之间的内部

信息在这个连接层上传输

.

3) Exteranet :,

层由于地域的限制驻外地的作业人员必须通过公网接入系统，移动用户可

通过电话拨号接入该网，一般业务服务器处于本区

.

4) : Intranet ,Internet ,

对外发布层网络通过统一的网管中心管理通过防火墙与连接主

要用于信息发布，企业对外公开服务器安置在本区。

2.网络安全体系框架

网络技术安全策略是指一个网络中关于安全技术问题所采取的原则、对安全使用的要求,以及采

用哪些措施如何保护网络的安全运行和保证网上传输信息的安全. 网络安全问题与网络本身固

有的特性有关,所以网络的复杂性决定了其安全的复杂性. 在企业网络中,对网络资源(服务和

信息) 的安全保障主要有以下几个方面:

1) 访问控制,限制对资源的应用;

2) 身份认证,提供通信实体身份保证;

3) 数据完整性,采用一定的方法防止非法篡改数据信息的企图;

4) 保密性,加密数据信息,以防在传送中被泄露,按照该标准可设计出不同的安全保障系统,以

满足不同网络环境对安全保密的需要;

5) 备份和恢复,良好的备份和恢复机制,可在数据毁坏时,尽快地恢复数据和系统;

6) 多层防御,采用分布式的攻击监测并进行防御;

7) 设立安全监控中心,为系统提供安全体系管理、监控、维护和紧急情况服务.

3. 安全性结构

网络安全拓扑结构如图所示. 总的来说,网络分为2 个部分:内部网和公共网. 内部网段由企业

内各部门专用的设备组成,主要是指内部客户机和数据库服务器. 内部网主要用于公司内部各

部门工作数据的管理和维护,它没有直接接入Internet ,公司以外的设备无法直接存取内部网的

资源.

公共网与内部网不同,它一方面直接与Internet 相连,另一方面与内部网相连,以向Internet

用户提供公司的信息或服务,同时内部网也可以通过它们访问到Internet 上的资源,这个部分

至少应该包括认证服务器、Web 服务器和代理服务器,也可以根据需要设置域名服务器(DNS) 、

邮件服务器等. 认证服务器负责用户证书的生成、发布、维护和用户身份的鉴别,同时,它也起

着协调Web 服务器和数据库服务器工作的作用.

Web 服务器在公司的网站所在地,有条件地向外提供公司的信息,远程用户可以根据身份方便可

靠地存取或管理公司的内部数据. 代理服务器(或应用网关) 是内部网与公共网、公共网和

Internet 之间的桥梁和关卡,一方面协助相邻2 个网段的信息互访,另一方面适当地控制两者

之间的信息交流.

4.关键实现技术

企业安全网络是通过在传统企业网络的基础上增加认证服务器、代理服务器和在数据库服务器

上设置防火墙来实现的。这些技术包括：

物理安全

网络设备，服务器应该安放在安装了监视器的隔离房间内，并且监视器要保留

15天以上的摄像记录。

确保通信线路的安全。

机房内机箱，键盘，电脑桌抽屉要上锁，以确保旁人即使进入房间也无法使用

电脑，钥匙要放在安全的地方。

防火墙规则集包括12个方面

切断默认

允许内部出网

添加锁定

丢弃不匹配的数据包

丢弃并不记录

允许DNS访问

允许邮件访问

允许Web访问

阻塞DMZ

允许内部的POP访问

强化DMZ的规则

允许管理员访问

VPNs

远程访问 VPNs

提供通过Internet安全访问公司网络内部资源的方法

点到点 VPNs

利用Internet安全连接多个分支机构

减少对frame relay 和租用线路的依靠

操作系统安全配置方案

常规的操作系统安全配置包括十二条基本配置原则：

物理安全

停止Guest帐号

限制用户数量

创建多个管理员帐号

管理员帐号改名

陷阱帐号

更改默认权限

设置安全密码

屏幕保护密码

使用NTFS分区

运行防毒软件

确保备份盘安全

认证机制

DES对称加密技术

RSA公开密钥体制

Web应用的安全

Web会话和cookie

服务器端的安全

客户端的安全

入侵检测系统的作用是实时地监控计算机系统的活动，发现可疑的攻击行为，以避免攻击的

发生，或减少攻击造成的危害。由此也划分了入侵检测的三个基本步骤：

信息收集

数据分析

响应

信息收集的来源

系统或网络的日志文件

网络流量

系统目录和文件的异常变化

程序执行中的异常行为

下面就如何利用这些部分实现网络安全作详细说明.

4. 1 企业内部网用户对企业信息的安全访问

内部用户要通过本地应用访问数据库服务器中的数据,两者之间的网络必须是连通的,这无

形中给企业的信息带来了不安全的因素.

解决方案是在系统内部增加防火墙,内部存在一张表,为访问控制列表ACL (Access Cont rol

List) . 这张表记录了所有已经通过认证的内部网络用户的地址、寿命(即用户还能使用这

次认证访问数据库的时间) 和已经交换的数量. 如果表是空的,表明客户机、代理服务器和

域名服务器与数据库服务器之间的网络通路被断开.

ACL 是由认证服务器控制和维护的. 每当用户需要存取数据库资源时,它就必须先通过认证

服务器的身份认证,认证服务器根据认证的结果在ACL 中增加或清除该用户的认证记录,以

达到连通或切断网络通路的目的. 通过在数据库服务器上增设这一道防火墙,确保了只有通

过身份认证的用户才能够访问数据库资源.

4. 2 Internet 用户对企业信息的安全访问

在B/ S 结构中,数据资源不是直接由客户端程序存取的,而是由Web 服务器存取和处理后,

再以Html的形式传送给客户端的. 因此,真正访问数据库的是Web 服务器. Web 服务器与数

据库服务器之间的网络通路在任何时候都是连通的,由于数据库服务器位于内部网段,远程

用户无法绕过Web 服务器来直接访问数据库. 关于用户身份问题,可以通过在应用层上进行

控制.

数据库的数据分为2 部分:

1) 应用数据库,包含所有远程应用程序存取的数据.

2) 认证信息库,记录了所有通过认证用户的地址、用户名、密码和身份(或权限) 等信息. 这

些信息由认证服务器根据用户认证的信息动态地管理,供远程应用确定用户身份.

3) 证书库,存放所有用户的证书.

有了认证信息库,Web 服务器上远程应用就能灵活地控制用户访问数据的方式和可以访问的

数据.

每当用户使用远程应用访问数据库资源时,远程应用首先判断数据的类型,根据数据的类型

来决定是否需要用户进行身份认证如果是远程应用就到认证信息库去检查用户的认证信

. ,

息若认证信息库中没有该用户的信息说明该用户还没有通过身份认证远程应用就要

. () ,

求该用户先到认证服务器进行身份认证若该用户已经通过了认证远程应用就根据认证信

;,

息库中保存的身份信息决定该用户有没有访问数据的权限

,.

4. 3 Internet

内部网与的信息交流

内部网与的信息交流通过代理服务器代理服务器又称为应用网关它是个不同

Internet ,,2

的网络最典型的就是企业内部网与在一定的控制下互相通信的软件或运行软件

(Internet)

的计算机使用代理服务器的主要优点是实现内部网与之间的单点连接对

. :Internet ;

Internet IP ;IP ;IP .

保护内部地址在信息包层过滤共享带宽和地址

5.总结

基于安全策略的网络设计是安全设计和网络设计的有机结合，是安全、管理、技术和产品

的相互支撑，只有设计好安全策略才会有良好的企业网络。

安全的网络管理需要一个整体的方法,在安全体系结构中网络安全的实现机制包括以下几

个主要的领域:安全行为记录,网络操作认证,网络操作授权,加密,安全远程访问,隔离网络的防

火墙和VLANs ,入侵监测,主机加固和反病毒保护。