精华内容
下载资源
问答
  • 本书是一本实用的网络安全性设计指南,可以帮助读者掌握有关保护公司网络基础设施的各种知识和方法。本书共分为四部分,系统而全面地介绍了有关网络安全的理论基础知识和技术发展状况,通过对影响网络安全方面的各种...
  • 作为对有线网络的一个有益的补充,无线网络同样面临着无处不在的完全威胁,尤其是当无线网络安全性设计不够完善时,此问题更加严重。  2 无线网络所面临的安全威胁  安全威胁是指某个人、物或事件对某一资源...
  • 攻城狮论坛_网络安全性设计(第二版) 全中文 影印版 CCNP也可以使用
  •  ISO 的 OSI/RM 是著名的网络架构模型,但是,OSI/RM 并没有在安全性方面作专门的设计,因此该模型本身的安全性是很弱的。为了改善网络的安全状况,提高网络安全强度,ISO 又在 OSI/RM 的基础上提出了一套 OSI 安全...

     网络安全体系

        ISO 的 OSI/RM 是著名的网络架构模型,但是,OSI/RM 并没有在安全性方面作专门的设计,因此该模型本身的安全性是很弱的。为了改善网络的安全状况,提高网络安全强度,ISO 又在 OSI/RM 的基础上提出了一套 OSI 安全架构,用以强化网络的安全性。

    1 OSI 安全架构

        OSI 安全架构是一个面向对象的、多层次的结构,它认为安全的网络应用是由安全的服务实现的,而安全服务又是由安全机制来实现的。

        1.OSI 安全服务

        针对网络系统的技术和环境,OSI 安全架构中对网络安全提出了 5 类安全服务,即对象认证服务、访问控制服务、数据保密性服务、数据完整性服务、禁止否认服务。

        (1)对象认证服务。对象认证服务又可分为对等实体认证和信源认证,用于识别对等实体或信源的身份,并对身份的真实性、有效性进行证实。其中,对等实体认证用来验证在某一通信过程中的一对关联实体中双方的声称是一致的,确认对等实体中没有假冒的身份。信源认证可以验证所接收到的信息是否确实具有它所声称的来源。

        (2)访问控制服务。访问控制服务防止越权使用通信网络中的资源。访问控制服务可以分为自主访问控制、强制访问控制、基于角色的访问控制。由于 DAC、MAC 固有的弱点,以及 RBAC 的突出优势,所以 RBAC 一出现就成为在设计中最受欢迎的一种访问控制方法。访问控制的具体内容前面已有讲述,此处不再赘述。

        (3)数据保密性服务。数据保密性服务是针对信息泄漏而采取的防御措施,包括信息保密、选择段保密、业务流保密等内容。数据保密性服务是通过对网络中传输的数据进行加密来实现的。

        (4)数据完整性服务。数据完整性服务包括防止非法篡改信息,如修改、删除、插入、复制等。

        (5)禁止否认服务。禁止否认服务可以防止信息的发送者在事后否认自己曾经进行过的操作,即通过证实所有发生过的操作防止抵赖。具体的可以分为防止发送抵赖、防止递交抵赖和进行公证等几个方面。

        2.OSI 安全机制

        为了实现前面所述的 OSI 5 种安全服务,OSI 安全架构建议采用如下 8 种安全机制:加密机制、数字签名机制、访问控制机制、数据完整性机制、鉴别交换机制、流量填充机制、路由验证机制、公正机制。

        (1)加密机制。加密机制即通过各种加密算法对网络中传输的信息进行加密,它是对信息进行保护的最常用措施。加密算法有许多种,大致分为对称密钥加密与公开密钥加密两大类,其中有些(例如,DES 等)加密算法已经可以通过硬件实现,具有很高的效率。

       (2)数字签名机制。数字签名机制是采用私钥进行数字签名,同时采用公开密钥加密算法对数字签名进行验证的方法。用来帮助信息的接收者确认收到的信息是否是由它所声称的发送方发出的,并且还能检验信息是否被篡改、实现禁止否认等服务。

        (3)访问控制机制。访问控制机制可根据系统中事先设计好的一系列访问规则判断主体对客体的访问是否合法,如果合法则继续进行访问操作,否则拒绝访问。访问控制机制是安全保护的最基本方法,是网络安全的前沿屏障。

        (4)数据完整性机制。数据完整性机制包括数据单元的完整性和数据单元序列的完整性两个方面。它保证数据在传输、使用过程中始终是完整、正确的。数据完整性机制与数据加密机制密切相关。

        (5)鉴别交换机制。鉴别交换机制以交换信息的方式来确认实体的身份,一般用于同级别的通信实体之间的认证。要实现鉴别交换常常用到如下技术。

        ① 口令:由发送方提交,由接收方检测。

        ② 加密:将交换的信息加密,使得只有合法用户才可以解读。

        ③ 实体的特征或所有权:例如,指纹识别、身份卡识别等。

        (6)业务流填充机制。业务流填充机制是设法使加密装置在没有有效数据传输时,还按照一定的方式连续地向通信线路上发送伪随机序列,并且这里发出的伪随机序列也是经过加密处理的。这样,非法监听者就无法区分所监听到的信息中哪些是有效的,哪些是无效的,从而可以防止非法攻击者监听数据,分析流量、流向等,达到保护通信安全的目的。

        (7)路由控制机制。在一个大型的网络里,从源节点到目的节点之间往往有多种路由,其中有一些是安全的,而另一些可能是不安全的。在这种源节点到目的节点之间传送敏感数据时,就需要选择特定的安全的路由,使之只在安全的路径中传送,从而保证数据通信的安全。

        (8)公证机制。在一个复杂的信息系统中,一定有许多用户、资源等实体。由于各种原因,很难保证每个用户都是诚实的,每个资源都是可靠的,同时,也可能由于系统故障等原因造成信息延迟、丢失等。这些很可能会引起责任纠纷或争议。而公证机构是系统中通信的各方都信任的权威机构,通信的各方之间进行通信前,都与这个机构交换信息,从而借助于这个可以信赖的第三方保证通信是可信的,即使出现争议,也能通过公证机构进行仲裁。

        3.OSI 安全服务与安全机制之间的关系

        OSI 安全服务与安全机制之间不是一一对应的关系。有的服务需要借助多种机制来实线,同时,有些机制可以提供多种服务。一般来说,OSI 安全服务与安全机制之间具有如 表所示的关系,在设计中可以参考选用这些安全机制从而提供相应的安全服务。

    2 VPN 在网络安全中的应用

        虚拟专用网络(Virtual Private Network,VPN)是指利用不安全的公共网络如 Internet 等作为传输媒介,通过一系列的安全技术处理,实现类似专用网络的安全性能,保证重要信息的安全传输的一种网络技术。

        1.VPN 技术的优点

        VPN 技术具有非常突出的优点,主要包括:

        (1)网络通信安全。VPN 采用安全隧道等技术提供安全的端到端的连接服务,位于 VPN 两端的用户在 Internet 上通信时,其所传输的信息都是经过 RSA 不对称加密算法加密处理的,它的密钥则是通过 Diffie-Hellman 算法计算得出的,可以充分地保证数据通信的安全。

        (2)方便的扩充性。利用 VPN 技术实现企业内部专用网络,以及异地业务人员的远程接入等,具有方便灵活的可扩性。首先是重构非常方便,只需要调整配置等就可以重构网络;其次是扩充网络方便,只需要配置几个节点,不需要对已经建好的网络作工程上的调整。

        (3)方便的管理。利用 VPN 组网,可以把大量的网络管理工作放到互联网络服务提供商一端来统一实现,从而减轻了企业内部网络管理的负担。同时 VPN 也提供信息传输、路由等方面的智能特性及与其他网络设备相独立的特性,也给用户提供了网络管理的灵活的手段。

        (4)节约成本显著。利用已有的无处不在的 Internet 组建企业内部专用网络,可以节省大量的投资成本及后续的运营维护成本。以前,要实现两个远程网络的互联,主要是采用专线连接方式。这种方式成本太高。而 VPN 则是在 Internet 基础上建立的安全性较好的虚拟专用网,因此成本比较低,而且可以把一部分运行维护工作放到服务商端,又可以节约一部分维护成本。

         2.VPN 的原理

        实现 VPN 需要用到一系列关键的安全技术,包括:

        (1)安全隧道技术。即把传输的信息经过加密和协议封装处理后再嵌套装入另一种协议的数据包中送入网络中,像普通数据包一样进行传输。经过这样的处理,只有源端和目标端的用户对加密封装的信息能进行提取和处理,而对于其他用户而言,这些信息只是无意义的垃圾。

        (2)用户认证技术。在连接开始之前先确认用户的身份,然后系统根据用户的身份进行相应的授权和资源访问控制。

        (3)访问控制技术。由 VPN 服务的提供者与最终网络信息资源的提供者共同协商确定用户对资源的访问权限,以此实现基于用户的访问控制,实现对信息资源的保护。


        VPN 系统的结构如图所示。


        在图中,安全隧道代理和管理中心组成安全传输平面(Secure Transmission Plane, STP),实现在 Internet 上安全传输和相应的系统管理功能。用户认证管理中心和密钥分配中心组成公共功能平面(Common Function Plane,CFP),它是安全传输平面的辅助平面,主要向用户代理提供相对独立的用户身份认证与管理、密钥的分配与管理功能。

        建立 VPN 通信时,VPN 用户代理向安全隧道代理请求建立安全隧道,安全隧道代理接受后,在管理中心的控制和管理下在 Internet 上建立安全隧道,然后向用户提供透明的网络传输。VPN 用户代理包括安全隧道终端功能、用户认证功能和访问控制功能三个部分,它们共同向上层应用提供完整的 VPN 服务。

        (1)安全传输平面。安全传输平面实现在 Internet 上安全传输和相应的系统管理功能,这是由安全隧道代理和管理中心共同完成的。

        ① 安全隧道代理。安全隧道代理可以在管理中心的控制下将多段点到点的安全通路连接成一条端到端的安全隧道。它是 VPN 的主体,其主要作用有:

    建立与释放安全隧道。按照用户代理的请求,在用户代理与安全隧道代理之间建立点到点的安全通道,并在这个安全通道中进行用户身份验证和服务等级协商等交互。在安全通道中进行初始化过程,可以充分保护用户身份验证等重要信息的安全。然后在管理中心的控制下建立发送端到接收端之间由若干点到点的安全通道依次连接而成的端到端的安全隧道。在信息传输结束之后,由通信双方中的任一方代理提出释放隧道连接请求,就可以中断安全隧道连接。

    用户身份的验证。在建立安全隧道的初始化过程中,安全隧道代理要求用户代理提交用户认证管理中心提供的证书,通过验证该证书可以确认用户代理的身份。必要时还可以由用户代理对安全隧道代理进行反向认证以进一步提高系统的安全性。

    服务等级的协商。用户身份验证通过之后,安全隧道代理与用户代理进行服务等级的协商,根据其要求与 VPN 系统当时的实际情况确定提供的服务等级并报告至管理中心。

    信息的透明传输。安全隧道建立之后,安全隧道代理负责通信双方之间信息的传输,并根据商定的服务参数进行相应的控制,对其上的应用提供透明的 VPN 传输服务。

    控制与管理安全隧道。在维持安全隧道连接期间,安全隧道代理还要按照管理中心的管理命令对已经建立好的安全隧道进行网络性能及服务等级等有关的管理与调整。

        ② VPN 管理中心。VPN 管理中心是整个 VPN 的核心部分,它与安全隧道代理直接联系,负责协调安全传输平面上的各安全隧道代理之间的工作。具体功能包括:

    安全隧道的管理与控制。确定最佳路由,并向该路由上包含的所有安全隧道代理发出命令,建立安全隧道连接。隧道建立以后,管理中心继续监视各隧道连接的工作状态,对出错的安全隧道,管理中心负责重新选择路由并将该连接更换到新的路由。在通信过程中,还可以根据需要向相应安全隧道上的代理发送管理命令,以优化网络性能、调整服务等级等。

    网络性能的监视与管理。管理中心不断监视各安全隧道代理的工作状态,收集各种 VPN 性能参数,并根据收集到的数据完成 VPN 性能优化、故障排除等功能。同时,管理中心还负责完成对各种 VPN 事件进行日志记录、用户计费、追踪审计、故障报告等常用的网络管理功能。

        (2)公共功能平面。公共功能平面是安全传输平面的辅助平面,向 VPN 用户代理提供相对独立的用户身份认证与管理、密钥的分配与管理功能,分别由用户认证管理中心和 VPN 密钥分配中心完成。

        ① 认证管理中心。认证管理中心提供用户身份认证和用户管理。用户认证就是以第三者身份客观地向 VPN 用户代理和安全隧道代理中的一方或双方提供用户身份的认证,以便他们能够相互确认对方的身份。

        用户管理是指与用户身份认证功能直接相关的用户管理部分,即对各用户(包括用户代理、安全隧道代理及认证管理中心等)的信用程度和认证情况进行日志记录,并可在 VPN 与建立安全隧道双方进行服务等级的协商时参考。这里的管理是面向服务的,而与用户权限、访问控制等方面有关的用户管理功能则不在此列。

        ② 密钥分配中心。密钥分配中心向需要进行身份验证和信息加密的双方提供密钥的分配、回收与管理功能。在 VPN 系统里,用户代理、安全隧道代理、认证管理中心等都是密钥分配中心的用户。

        采用 VPN 技术,既能保证整个企业网络的连通性与数据的共享,又能保证财务等重要数据的安全,是一种实现企业内部本地网络互连的良好方案。

     

    展开全文
  • 传统的网络信息传输评估方案存在精准性差、评估速度慢,不能对安全要素进行量化等问题,为此,针对大型移动网络信息传输安全性设计了评估方案。构建网络信息传输安全性评估体系结构,分析了网络信息传输安全的机密性...
  • 网络规划设计师论文,给参加网络规划设计师考试的兄弟们参考!
  • 论计算机网络安全性设计 [摘要] 在计算机与网络技术飞速发展的今天,医院信息系统的建设已经成为医院现代化管理的重要标志,同时也是医院管理水平的一种体现。尤其是医疗保险制度的改革,与医院信息系统形成了相互...

    论计算机网络的安全性设计

    [摘要]

    在计算机与网络技术飞速发展的今天,医院信息系统的建设已经成为医院现代化管理的重要标志,同时也是医院管理水平的一种体现。尤其是医疗保险制度的改革,与医院信息系统形成了相互促进的态势,我国很多医院都建立了自己的信息系统。由于行业性质的缘故,医院信息系统必须7 X 24小时不间断运转,因此对网络系统的安全性和可靠性有很高的要求。
    本文通过一个医院信息系统项目,阐述了医院计算机网络的安全性设计方面的一些具体措施,并就保障网络的安全性与提高网络服务效率之间的关系,谈了自己的一点体会。

    [正文]

    我于2001年4月至2003年10月参加了某医院的医院信息系统的建设工作,在项目中,我担任了系统分析与系统设计工作。医院信息系统是指利用计算机软硬件技术、网络通讯技术等现代化手段,对医院及其所属各部门对人流、物流、财流进行综合管理,对在医疗活动各阶段中产生的数据进行采集、存贮、处理、提取、传输、汇总、加工生成各种信息,从而为医院的整体运行提供全面的、自动化的管理及各种服务的信息系统。由于行业性质的缘故,医院信息系统必须7 X 24小时不间断运转,因此对网络系统的安全性和可靠性有很高的要求,在该项目的系统设计阶段,我们就将网络系统的安全性作为一个重要部分考虑在内。由于该信息系统是建立在一个物理上与公众网完全隔离的局域网基础上的,所以我们并没有过多地考虑防御来自外部入侵者的威胁方面的安全问题,我们认为该系统的安全核心一是保证信息系统的正常运行,二是保证数据的安全,也就是说该医院网络信息系统的安全可以分为信息系统安全和数据安全。下面就我们在这两方面所采取的措施加以论述。

    信息系统安全

    信息系统安全涉及网络安全、服务器组的安全、供电安全、病毒防范等。

    1、网络安全

    対于医院的业务局域网,威胁网络安全的主要因素有:网络设计缺陷、网络设备损坏、非法访问等。经过充分调研,认真分析,结合该医院的的实际情况,我们设计了一个主干为三层路由千兆交换以太网的网络方案。
    我们采用具有三层路由功能的两台核心交换机NORTEL PASSPORT 8600、两台具有三层路由功能的NORTEL ACCELAR 1150交换机和千兆级光纤组成网络主干,边沿交换机为BAYSTACK45O.本方案我们采用 SMLT (Split Multi-Link Trunking) +VRRP (Virtual RouterRedundancy Protocol)技术。NORTEL 公司的 MLT (Multi-Link Trunking)是一种允许多条物理链路模拟成一条逻辑链路的聚合链路协议,它通过将两个交换机之间(或交换机与服务器之间)的两条或以上的物理传输链路虚拟为一条逻辑上的传输线路进行数据传输,进而可以成倍地提高两个交换机之间(或交换机与服务器之间)的数据传输帯宽,同时提供了传输斑路的冗余备份。当构成虚拟传输链路的几条物理链路有一条由于端口或传输介质本身失效时,不会影响数据的正常传输,所受到的影响仅仅是虚拟链路的传输帯宽。SMLT,分离的多斑路聚合主干,同MLT相比,SMLT在构成上,不再是两个交换机之间,SMLT的一端是一个支持MLT的交换机,而另一端则是由两个交换机通过1ST (Inter Switch Trunk,是连接两台聚合交换机以实现信息共享,使两台聚合交换机能作为一台逻辑交换机运转的点对点链路)形成的一个逻辑上的交换机。MLT交换机分别与这两个SMLT交换机连接,因此,SMLT在増加帯宽的同时,可以提供最高级别的可靠性一交换机级别的可靠性。两个SMLT交换机不论是端口失效还是端口模板失效,甚至是交换机失效都不会影响数据的正常传输,避免了单点失效对网络正常连通帯来的影响。同时,传输负载由两个交换机来均衡完成,可以大幅度提高网络主干的传输性。SMLT体系结构由SMLT Aggregation Switch、1ST (Inter Switch Trunk)和SMLT Client构成,其结构图如下:
    在这里插入图片描述
    在没有使用SMLT的情况下启动虚拟路由冗余协议(VRRP),通常只有主交换机进行数据包的转发,如果主交换机出了故障,备用交换机会自动顶替主交换机,完成数据包的转发工作;使用SMLT,使得VKRP的性能得到扩展,除了主交换机进行数据包的转发外,备用交换机也进行数据包的转发,主交换机和备用交换机互为备份并互相侦听,这样既可以实现流量的负载均衡,也可以实现故障恢复,避免单点失效。为了避免边沿交换机出现单点失效,我们采用了堆叠技术,把若干台BAYSTACK45O用堆叠电缆堆叠起来,在堆叠的某些交换机上加装光纤模块,由这些光纤端口捆绑成一条逻辑链路上联到网络主干,这样就算堆叠中的某台交换机损坏了,整个堆叠还可以正常工作。特别地,门诊收款处和门诊药房是医院的窗口单位,为了避免由于门诊楼交换机堆叠中的某台交换机出现了故障而导致门诊收款系统和门诊发药系统瘫痪,我们把门诊收款工作站和门诊发药站分散地接到堆叠中的七台交换机中。在防止非法访问方面,我们采用了密码管理、权限设置、虚拟子网(也緬)的划分等措施。

    2、服务器组的安全

    服务器是全院计算机网络的大脑和神经中枢,保证服务器可靠长期有效的运行是网络信息系统安全的一个特别重要的问题。
    由于本方案中的应用程序是采用安全性较高的三层体系结构,所以服务器组包括域控制器、应用服务器和数据库服务器。域控制器我们采用了两台稳定性较好的IBM xserials 230服务器,一台做主域控制器,另一台做备份域控制器,这样既可以实现登陆验证的负载均衡,又可以避免域控制器的单点失效问题。
    应用服务器部分我们采用了六台HP 380G3服务器和一台F5 BIG-IP50CO控制器.BIG-IP控制器是针对企业本地网站或数据中心的一种产品。它能够提供高可用性和智能负载平衡功能。六台HP 380G3服务器曲F5 BIG-IP5OOO控制器连接到核心交换机PASSPORT 8600, F5BIG-IP5OOO控制器可以持续监视六台HP 380G3服务器,以确保服务器运行正常,然后再自动将输入的服务淸求路由到六台中可用性最高的服务器。这样连接,只要有一台HP 380G3服务器不出现故障,中间层应用程序便可以正常运行。这样设计既可以实现中间层应用程序的负载均衡,同时在F5 BIG-IP5OOO控制器不出现故障的前提下,又避免了应用服务器的单点失效问题。
    数据库服务器部分我们采用了一台稳定性较高、存储性能较好的HP DL760 G2服务器、一台HP DL580 G2服务器和一台HP MSA10O)光纤磁盘阵列柜。两台服务器分别通过光纤通道连接到磁盘阵列柜,组成存储局域网(SAN).本方案采用了微软的群集技术,实现了Active/Passive双机热备份模式,HP DL760 G2做主数据库服务器,HP DL580 G2做备份数据库服务器,在主服务器发生故障的情况下,备份服务器将自动在30秒内将所有服务接管过来,从而保证了数据库服务器的正常运行。在磁盘阵列柜,我们安装了 5块146G的SCSI服务器硬盘,其中4块硬盘做RAID5, —块硬盘做Hot spare,这样可以保证阵列柜在两块硬盘发生故障时,系统还可以正常运行。

    3、供电安全

    由于医院许多大型诊疗仪器设备启动时有瞬间高压、高磁场等,会对计算机产生影响因此我们要求院方做到中心机房的电源专线专供,同时采用功率足够大的UPS.

    4、病毒防范

    我们通过设置VLAN和要求院方安装网络版杀毒软件来防范病毒。我们采用数据雷份来保证数据安全。
    本方案我们采用冗余备份策略。

    • 4.1 利用Veritas Backup Exec 9.1软件将数据备份到磁带库中。Veritas Backup Exec能为跨网络的服务器和工作站提供快速可靠的备份和恢复能力。我们利用Veritas Backup Exec的作业管理功能设置备份定时任务,毎天进行一次数据库数据完全备份,毎三个月进行一次系统的灾难备份。灾难备份能在数据库服务器崩溃时,避免免重装系统,利用最新的数据备份使系统尽快恢复到运行状态。
    • 4.2利用MS SQL SERVER 2000自身的备份功能,毎天定时自动地进行一次数据完全备份,备份数据存放到另一台数据备份服务器HPML57O中,同时在HPML57O中设置一定时任务,对每天的备份数据进行一次完整性检测,这样可以保证备份数据是完整、可用的。
      通过数据备份,能使医院在破坏数据的灾难事件中造成的损失降到最低。计算机网络安全是一个系统工程,除了采用保障网络安全的技术外,还要加强安全教育和制度管理,因此我们强烈要求院方重视对各级计算机操作人员进行计算机网络安全的教育,并制定较为完善的计算机网络管理制度,如严禁非操作人员使用电脑;计算机中心指定专职系统管理员掌握服务器密码,毎次更新或升级计算机软件必须有两人同时在场,并做好记录等。
      在整个项目方案中,我们用于保障计算机网络系统安全的措施主要是设备的冗余、链路的冗余。采用冗余措施,除了可以避免单点失效问题,还可以増加网络帯宽和实现业务流量的负载均衡。因此,保障计算机网络的安全性不仅可以保证网络服务的持续不中断,还可以更好地提高网络服务效率。
      整个项目完成至今近一年,从系统运行的情况来看,整个方案是合理的,高可靠性的,院方也感到很满意。当然,方案中也有不足的地方,如F5 BIG-IP5OOO控制器存在单点失效问题;随着院方的网上挂号等业务的开展,本方案中没有考虑到内网与公众网相连的安全措施等。
    展开全文
  • 论计算机网络安全性设计 -证券网络交易系统 [摘要] 我在一家证券公司信息技术部门工作,我公司在97-98年建成了与各公司总部及营业网点的企业网络,并已先后在企业网络上建设了交易系统、办公系统,并开通了互联网...

    论计算机网络的安全性设计

    -证券网络交易系统

    [摘要]

    我在一家证券公司信息技术部门工作,我公司在97-98年建成了与各公司总部及营业网点的企业网络,并已先后在企业网络上建设了交易系统、办公系统,并开通了互联网应用。因将対安全要求不同、安全可信度不同的各种应用运行在同一网络上,给黒客的攻击、病毒的蔓延打开了方便之门,给我公司的网络安全造成了很大的威胁。作为信息技术中心部门经理及项目负责人,我在资金投入不足的前提下,充分利用现有条件及成熟技术,対公司网络进行了全面细致的规划,使改造后的网络安全级别大大提高。
    本文将介绍我在网络安全性和保密性方面采取的一些方法和策略,主要包括网络安全隔离、网络辺界安全控制、交叉病毒防治、集中网络安全管理等,同时分析了因投入资金有限,我公司网络目前仍存在的一些问题或不足,并提出了一些改进办法。

    [正文]

    我在一家证券公司工作,公司在98年就建成了与各公司总部及营业网点的企业网络,随着公司业务的不断拓展,公司先后建设了集中报盘系统、网上交易系统、0A、财务系统、总部监控系统等等,为了保证各业务正常开展,特别是为了确保证券交易业务的实时高效,公司已于2002年已经将中心至各营业部的通讯链路由初建时的主链路64K的DDN和备链路33。3KTSN,扩建成主链路为2M光绞作为主链路和256K的DDN作为备链路,实现了通讯线路及关键网络设备的冗余,较好地保证了公司业务的需要。并且随着网上交易系统的建设和网上办公的需要,公司企业网与互联网之间建起了桥梁。改造前,应用系统在用户认证及加密传输方面采取了相应措施,如集中交易在进行身份确认后信息采用了 Blow fish 128位加密技术,网上交易运用了対称加密和非対称加密相结合的方法进行身份认证和数据传输加密,但公司办公系统、交易系统、互联网应用之间没有进行安全隔离,只在互联网入口安装了软件放防火墙,给黒客的攻击、病毒的蔓延打开了方便之门。
    作为公司信息技术中心运保部经理,系统安全一直是困扰着我的话题,特别是随着公司集中报盘系统、网上交易系统的建设,以及网上办公需要,网络安全系统的建设更显得犹为迫切。但公司考虑到目前证券市场疲软,竟争十分激励,公司暂时不打算投入较大资金来建设安全系统。作为部门经理及项目负责人,我在投入较少资金的前提下,在公司可以容忍的风险级别和可以接受的成本之间作出取舍,充分利用现有的条件及成熟的技术,対公司网络
    进行了全面细致的规划,并且最大限度地发挥管理功效,尽可能全方位地提高公司的网络安全水平…在网络安全性和保密性方面,我采用了以下技术和策略:

    • 1、将企业网划分成交易网、办公网、互联网应用网,进行网络隔离。
    • 2、在网络辺界采取防火墙、存/取控制、并□隔离等技术进行安全控制。
    • 3、运用多版本的防病毒软件対系统交叉杀毒。
    • 4、制定公司网络安全管理办法,进行网络安全集中管理。
    一、网络安全隔离

    为了达到网络互相不受影响,最好的办法是将网络进行隔离,网络隔离分为物理隔离和逻辑隔离,我主要是从系统的重要程度即安全等级考虑划分合理的网络安全辺界,使不同安全级别的网络或信息媒介不能相互访问或有控制的进行访问。针対我公司的网络系统的应用特点把公司证券交易系统、业务办公系统之间进行逻辑分离,划分成交易子网和办公子网,将互联网应用与公司企业网之间进行物理隔离,形成独立的互联网应用子网。公司中心与各营业部之间建有两套网络,中心路由器是两台CISC07206,营业部是两台CISC02612,一条通讯链路是联通2M光纤,一条是电信256K DDN,改造前两套链路一主一备,为了充分利用网络资源实现两条链路的均衡负载和线路故障的无缝切换,子网的划分采用VLAN技术,并将中心端和营业部端的路由器分别采用两组虚拟地址的HSRP技术,一组地址対应交易子网,一组地址対应办公网络,形成两个逻辑上独立的网络。改造后原来一机两用(需要同时访问两个网络信息)的工作站采用双硬盘网络隔离卡的方法,在确保隔离的前提下实现双网数据的安全交换。

    二、网络边界安全控制

    网络安全的需求一方面要保护网络不受破坏,另一方面要确保网络服务的可用性。将网络进行隔离后,为了能够满足网络内的授权用户対相关子网资源的访问,保证各业务不受影响,在各子网之间采取了不同的存取策略。

    • (1)互联网与交易子网之间:为了保证网上交易业务的顺利进行,互联网与交易子网之间建有通讯链路,为了保证交易网不受互联网影响,在互联网与中心的专线之间安装了NETSCEEEN委托防火墙,并进行了以下控制:
      • a)、只允许股民访问网上交易相应地址的相应端口。
      • b)、只允许信息技术中心的维护机地址PING、TELNET委托机和路由器。
      • c)、只允许行情发送机向行情主站上传行情的端口。
      • d)、其他服务及端口全部禁止。并且在互联网和交易网之间还采用了 SSL并□隔离,进一歩保证了交易网的安全。
    • (2)交易网和办公网之间:対于办公网与交易网之间的互访,采用CISC02501路由器进行双向控制或有限访问原则,使受控的子网或主机访问权限和信息流向能得到有效控制,主要采用的策略主要是対具体IP进行IP地址与02地址的绑定。
    • (3)办公子网与互联网之间:采用东大NE7EYE硬件防火墙,并进行了以下控制:
      • a)允许中心上网的地址访问互联网的任何地址和任何端口。
      • b)允许股民访问网上交易备份地址的8002端口。
      • c)允许短消息访问公司邮件110、25端口,访问电信SP的8001端口。
      • d)其他的都禁止。
    三、病毒防治

    网络病毒往往令人防不胜防,尽管対网络进行网络隔离,但网络资源互防以及人为原因,病毒防治依然不可掉以轻心。因此,采用适当的措施防治病毒,是进一歩提高网络安全的重要手段。我分别在不同子网上部署了能够统一分发、集中管理的熊描卫士网络病毒软件,同时购置单机版KV3000和瑞星防病毒软件进行交叉杀毒;限制共享目录及读写权限的使用;限制网上软件的下载和禁用盗版软件;软盘数据和邮件先查毒后使用等等。

    四、集中网络安全營理

    网络安全的保障不能仅仅依靠安全设备,更重要的是要制定一个全方位的安全策略,在全网范围内实现统一集中的安全管理。在网络安全改造完成后,我制订了公司网络安全管理办法,主要措施如下:

    • 1)、多人负责原则,每一项与安全有关的活动,都必须有两人或多人在场,并且一人操作一人复核。
    • 2)、任期有限原则,技术人员不定期地轮岗。
    • 3)、职责分离原则,非本岗人员不得掌握用户、密码等关键信息。
    • 4)、营业部进行网络改造的方案必须经过中心网络安全小组审批后方可实施.
    • 5)、跨网互访须绑定IP及MAC地址,増加互访机器时须经过中心批准并进行存取控制设置后方可运行。
    • 6)、及时升级系统软件补丁,关闭不用的服务和端口等等。
      保障网络安全性与网络服务效率永远是一対矛盾,在计算机应用日益广泛的今天,要想网络系统安全可靠,势必会増加许多控制措施和安全设备,从而会或多或少的影响使用效率和使用方便性。如,我在互联网和交易网之间设置了放防火墙的前提下再进行了 SSL并□隔离后,网上交易股民访问交易网的并发人数达到一定量时就会出现延时现象,为了保证股民交易及时快捷,我只好采用増加通讯机的办法来消除交易延时问题。
      在进行网络改造后,我公司的网络安全级别大大提高。但我知道安全永远只是一个相対概念,随着计算机技术不断进歩,有关网络安全的讨论也将是一个无休无止的话题。审视改造后的网络系统,我认为尽管我们在Internet的入口处部署了防火墙,有效阻挡了来自外部的攻击,并且将网络分成三个子网较减少了各系统之间的影响,但在公司内部的访问控制以及入侵检测等方面仍显不足,如果将来公司投资允许,我将在以下几方面加强:
    • 1、在中心与营业部之间建立防火墙,通过访问控制防止通过内网的非法入侵。
    • 2、中心与营业部之间的通讯,采用通过IP层加密构建证券公司虚拟专用网(VPN),保证证券公司总部与各营业部之间信息传输的机密性。
    • 3、建立由入侵监测系统、网络扫描系统、系统扫描系统、信息审计系统、集中身份识别系统等构成的安全控制中心,作为公司网络监控预警系统。
    展开全文
  • 网络数据挖掘算法设计及其安全性探讨 浙江工业大学 宣琦 2019年5月10 日于大连 研究背景网络数据挖掘 2 数据集 开源类GitHubApache 点评类大众点评Yelp豆瓣 问答类StackExchange百度问答 百科类Wikipedia百度知道 ...
  • 里面包含了计算机网络课程设计文档和答辩时的ppt以及.pkt的文件。此课程设计内容含括了ACL+动态NAT+安全性等其它网络知识。
  • 系统安全性设计

    2016-06-12 15:21:48
    系统安全性设计可以划分为如下几个层次: 程序设计安全性 程序部署及操作系统安全性 数据库安全性 网络安全性 物理安全性 就程设计的安全性,针对现在大多系统的分布式结构,因为同时要面向不同地理位置,不同...
    系统安全性设计可以划分为如下几个层次:
    程序设计安全性
    程序部署及操作系统安全性
    数据库安全性
    网络安全性
    物理安全性

    就程设计的安全性,针对现在大多系统的分布式结构,因为同时要面向不同地理位置,不同网络地址,不同级别,不同权限的用户提供服务,稍不留神就可能产生潜在的安全隐患,

    如下是最常见的由设计不当产生的安全漏洞分类:
    1、输入验证漏洞:嵌入到查询字符串、表单字段、cookie 和 HTTP 头中的恶意字符串的攻击。这些攻击包括命令执行、跨站点脚本(XSS)、SQL 注入和缓冲区溢出攻击。
    2、身份验证漏洞:标识欺骗、密码破解、特权提升和未经授权的访问。
    3、授权漏洞:非法用户访问保密数据或受限数据、篡改数据以及执行未经授权的操作。
    4、敏感数据保护漏洞:泄露保密信息以及篡改数据。
    5、日志记录漏洞:不能发现入侵迹象、不能验证用户操作,以及在诊断问题时出现困难。
    对于以上的漏洞,可用的防范措施有:
    1、针对输入验证漏洞,在后台代码中必须验证输入信息安全后,才能向服务层提交由用户输入产生的操作。
    2、针对身份验证漏洞,程序设计中,用户身份信息必须由服务器内部的会话系统提供,避免通过表单提交和页面参数的形式获取用户身份。
    3、针对授权漏洞,在访问保密数据或受限数据时,一定要根据用户身份和相应的权限配置来判断操作是否允许。
    4、针对敏感数据漏洞,在储存敏感数据时,一定要采用合适的加密算法来对数据进行加密。
    5、针对日志记录漏洞,程序设计中,对改变系统状态的操作,一定要记录下尽可能详细的操作信息,以便操作记录可溯源。

    就程序部署及操作系统安全性而言,可用以下的防范措施:
    1、无论部署于何种操作系统,需要保证操作系统在部署前,安装了全部的安全升级补丁,关闭了所有不需要的系统服务,只对外开放必须的端口
    2、定期查看所部署服务器系统安全通告,及时安装安全补丁。
    3、定期检查系统日志,对可疑操作进行分析汇报。
    4、应用服务器程序在服务器中文件系统中的目录结构位置应该尽量清晰。目录命名需要尽可能的有意义。
    5、应用服务器程序不能以具有系统管理员权限的操作系统用户运行。最好能建立专门的操作系统用户来运行应用服务器。

    就数据库安全性而言,可用以下的防范措施:
    1、数据库监听地址要有限制,只对需要访问的网络地址进行监听。
    2、定数据库备份制度。定期备份库中的数据。
    3、数据库操作授权限制,对表一级及其以上级别的数据库操作授权不应对应用服务器开放。

    就网络安全性而言,可用以下的防范措施:
    1、选用企业级防火墙。
    2、根据具体网络环境,制定尽可能周密的防火墙规则。
    3、需要在外网中传输的数据,应选用合适的加密算法进行加密。

    就物理安全性而言,可用以下的防范措施:
    1、服务器应部署于专业的数据机房,做好机房管理工作。
    2、对于支持热插拔的各种接口,需要在部署前在系统BIOS中关闭。服务器在运行过程中,应该做好各种防护措施。
    展开全文
  • 分布式波束成形设计可提高无线中继网络中的物理层安全性
  • 企业网络安全性设计是网络设计中极其重要的内容。 企业网络信息系统是计算机技术和通信技术相结合的产物,是计算机资源在更广泛的地理区域内的共享,具有分布广域性、体系结构开放性、资源共享性、通信信道的共同性等...
  • web安全性,网络安全性,密码安全性,协议安全性等
  • 基于Web的网络教学系统的设计及其安全性分析,卢慧,赵锦明,随着网络的广泛使用,网络化教学受到了众多教育工作者的关注和研究。网络化教学的基础是教学平台的设计,另外,保证教学平台的稳
  • 然后设计计算机网络安全存储系统,主要包括云计算服务、云架构、节点管理模型、负载均衡机制、加密上传等设计,通过设计此模块保证数据上传、存储过程中的安全性。另外,在系统中设置网络安全方案设计,布置防火墙,...
  • 网络安全体系设计

    2007-11-06 21:33:32
    对于一个企业,为保证信息的安全性,就需要制定一系列的安全措施以达到安全要求。
  • 安全架构治理的目标,是在设计过程中尽可能早地将安全性集成到数字业务的结构中,而非传统的“与业务对齐”的目标。这意味着须将重点从维护保障性和遵从性,转向提供务实的业务成果。 由于业务和IT呈现出“双模”...
  • 思科IP通信系统能够为IP电话、统一消息传送、IP视频和音频...思科系统公司为思科IP通信设计了详细的安全特性——思科IP电话SAFE蓝图,该蓝图包含许多功能,包括话音和数据流量分段、入侵检测、话音防火墙和安全监控等。
  • 针对开放软件即服务(SaaS)平台网络安全性差的问题,文中基于软件定义网络(SDN)技术,结合国内外SDN的研究现状和开放SaaS平台的特点,自顶而下设计了一套基于SDN的开放SaaS平台网络安全体系。分析了系统物理和...
  • BSNL实习:使用具有物理网络安全性的虚拟局域网(VLAN)设计园区网络,并使用Cisco Packet Tracer通过有线和无线访问实现Internet的连通性
  • 嵌入式系统设计师经常认为他们必须在安全性、可靠性和产品上市时间之间进行艰难的平衡。大多数设计师将上市时间定在第一位,“足够好的”可靠性放在第二位,之后才考虑安全性问题。
  • 校园网络信息安全技术发展分析信息安全和网络安全工作探讨信息安全管理中心设计研究 1云计算环境下校园网络信息安全技术的基本目标1.1数据保密基于云计算环境下的校园网络安全信息技术对于数据往往有着一定的保密...
  • SysML:神经网络安全性

    2021-02-23 23:22:43
    SysML简介:SysML,全名为SystemandMachineLearning,其目标群体是计算机系统和机器学习的交叉研究。...图片来自于openai.com对抗攻击威胁了现存的神经网络的应用安全。如果通过图像识别的银行,或者
  • 网络安全设计方案

    千次阅读 2009-03-27 23:02:39
    1 吉通上海 IDC网络安全功能需求1.1 吉通上海公司对于网络安全和系统可靠的总体设想(1)网络要求有充分的安全措施,以保障网络服务的可用和网络信息的完整。要把网络安全层,信息服务器安全层,数据库安全层...
  • 设计了一种提高LonWorks控制网络安全性的安全鉴别系统。采用基于Time Server硬件的不重复数鉴别方法,可利用时间服务器的信息用于鉴别,克服了传统的控制网络鉴别"长报文"低效问题,可以应对"重放攻击",适应工业控制...
  • 计算机普及越来越广泛,计算机网络的运用也已经渗透到了各行各业。计算机的网络安全逐渐成为了...文章根据当前计算机网络的应用环境以及应用规范进行网络安全设计的分析,并通过系统化的管理加强计算机网络的安全性

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 7,706
精华内容 3,082
关键字:

网络安全性设计