1、企业网络安全系统设计建议书 1 企业网网络安全系统 设设 计计 建建 议议 书书 NetScreen 目录 企业网络安全系统设计建议书 2 1 概述 . 4 1.1 企业建立网络安全系统的必要性 . 4 1.2 安全建议书的设计原则 . 4 1.3 安全技术体系分析模型介绍 . 5 1.3.1 安全服务维 . 5 1.3.2 协议层次维 . 6 1.3.3 系统单元维 . 6 1.4 安全技术体系的理解及实践 . 6 1.4.1 安全体系的理解 . 6 1.4.2 构建安全系统的基本目标 . 7 1.4.3 网络安全系统的技术实施 . 7 2 应用需求分析 . 9 2.1 网络基础层安全需求分
2、析 . 9 2.1.1 Internet 连接安全保护 . 9 2.1.2 广域网连接的安全保护 . 9 2.1.3 虚拟连接广域网的安全保护 . 11 2.1.4 其他安全保护辅助措施 . 11 2.2 系统安全需求分析 . 12 2.3 应用安全 管理需求分析 . 12 2.3.1 主机系统 . 12 2.3.2 网络设备安全管理 . 12 2.3.3 移动用户的访问控制访问 . 13 2.3.4 VPN 上的认证 . 13 2.3.5 应用层安全保护 . 13 2.4 应用对安全系统的要求分析 . 14 2.4.1 网络应用系统的现状及发展说明 . 14 2.4.2 面向应用系统的防火墙
3、系统设计要求 . 15 3 安全系统实现目标 . 16 3.1 网络基础层安全系统建设目标 . 16 3.1.1 Internet 及 Extranet 进出口控制 . 16 企业网络安全系统设计建议书 3 3.1.2 VPN 应用 . 16 3.1.3 防火墙系统的功能实现要求总结 . 17 3.2 应用辅助安全系统的建设目标 . 17 4 网络安全系统的实施建议 . 19 4.1 系统设计的基本原则 . 19 4.2 安全系统实施步骤建议 . 19 4.3 防火墙系统实施建议 . 20 4.3.1 Internet 进出口控制 . 20 4.3.2 广域网进出口控制 . 23 4.3.3
4、虚拟连接广域网出入口控制 . 25 4.4 VPN 系统设计 . 26 4.4.1 广域网链路加密 . 27 4.4.2 虚拟连接组网建议 . 27 4.4.3 虚拟连接通信加密 . 29 4.5 防火墙系统集中管理 . 29 4.6 防火墙选型设计说明 . 30 4.6.1 评价防火墙产品的基本要素 . 30 4.6.2 评价防火墙的一般方法 . 31 4.6.3 几种流行防火墙产品的比较 . 32 企业网络安全系统设计建议书 4 1 概述 建设功能强大和安全可靠的网络化信息管理系 统是企业实现现代化管理的必要手段。如何构建企业安全可靠的网络系统是本建 议书的目的。 本建议书是本公司为企 业
5、提出的“网络安全系统设计建议书”，建议 书只针对网络基础设施安全系统向企业提交网络安全的设计 及实施建议，将不涉及其他部分的内容，如“数据安全系统”等。 1.1 企业建立网络安全系统的必要性 毫无疑问，不需要任何形式的“说教”，在信 息和网络被广泛应用的今天，任何一个网络管理或使用者都非常清楚，所有被使用 的计算机网络都必然存在被有意或无意的攻击和破坏之风险。 企业的网络同样存在安全方面的风险问题。对 于大多数网络黑客来说，成功地侵入一企业特别是著名企业的网络系统，具有证明 和炫耀其“能耐”的价值，尽管这种行为的初衷也许并不 具有恶意的目的；窃取企业的网络数据，甚至 破坏其网络系统，更加具有现
6、实和长远的商业价值。 因此，企业网络建立完善的安全系统，其必要 性不言而喻。 1.2 安全建议书的设计原则 网络安全体系的核心目标是实现对网络系统和应用操作过程的有效控制和管理。任何安全系统必须建立在技术、组织和制度这三个基础之上。 在设计企业的网络安全系统时，我们将遵循以下原则： 体系化设计原则 通过分析信息网络的层次关系，提出科学的安全体系和安全框架，并根据安全体系分析存在的各种安全风险，从而最大限度地解决可能存在的安全问题。 全局性、均衡性、综合 性设计原则 安全建议书将从企业网络整体建设角度出发，提供一个具有相当高度、可扩展性强的安全解决方案；从企业的实际情况看，单纯依靠一种安全措施，
7、并不能解决全部的安全问题。本建议书将考虑到各种安全措施的使用。 本安全建议书将均衡考虑各种安全措施的效果，提供具有最优的性能价格比的安全解决方案。安全需要付出代价（资金、性能损失等），但是任何单纯为了安全而不考虑企业网络安全系统设计建议书 5 代价的安全建议书都是不切实际的。建议书同时提供了可操作的分步实施计划。 可行性、可靠性、安全性 作为一个工程项目，可行性是设计企业安全方案的根本，它将直接影响 到网络通信平台的畅通；可靠性是安全系统和网络通信平台正常运行的保证；而安全性是设计安全系统的最终目的。 1.3 安全 技术体系分析模型介绍 安全方案必须架构在科学的安全体系和安全框架之上，因为安全
8、框架是安全方案设计和分析的基础。 为了系统、科学地分析网络安全系统涉及的各种安全问题，网络安全技术专家们提出了三维安全体系结构，并在其基础上抽象地总结了能够指导安全系统总体设计的三维安全体系（见图 1-1），它反映了信息系统安全需求和体系结构的共性。具体说明如下： 图 1-1 安全框架示意图 1.3.1 安全服务维 安全服务维（第一维， X 轴 ）定义了 7 种主要完全属性。具体如下： 身份认证，用于确认所声明的身份的有效性； 协议 层次安 全 管 理安全管理认证访问控制数据完整性数据保密抗抵赖审计可用性安全 服务通 信 平 台网 络 平 台系 统 平 台应 用 平 台物 理 环 境安理管全层
9、用应传层层层层链络网输理物路系统 单元企业网络安全系统设计建议书 6 访问控制，防止非授权使用资源或以非授权的方式使用资源； 数据保密，数据存储和传输时加密，防止数据窃取、窃听； 数据完整，防止数据篡改； 不可抵赖，取两种形式的一种，用于防止发送者企图否认曾经发送过数据或其内容和用以防止接收者对所收到数据或内容的抗否认； 审计管理，设置审计记录措施，分析审计记录； 可用性、可靠性，在系统降级或受到破坏时能使系统继续完成其功能，使得在不利的条件下尽可能少地受到侵害者的破坏。 1.3.2 协议层次维 协议层次维（ Y 轴）由 ISO/OSI 参考模型的七层构成。与 TCP/IP 层次对应，可以把会
10、话层、表示、应用层统一为“应用层”。 1.3.3 系统单元维 系统单元维（ Z 轴）描述了信息网络基础构件的各个成分。 通信平台，信息网络的通信平台； 网络平台，信息网络的网络系统； 系统平台，信息网络的操作系统平台； 应用平台，信息网络各种应用的开发、运行平台； 物理环境，信息网络运行的物理环境及人员管理。 1.4 安全技术体系的理解及实践 贯穿于安全体系的三个方面，各个层次的是安全管理。通过技术手段和行政管理手段，安全管理将涉及到各系统单元在各个协议层次 提供的各种安全服务。 1.4.1 安全体系的理解 在图 1-1 的安全体系分析模型中，完整地将网络安全系统的全部内容进行了科学和系统的归
11、纳，详尽地描述了网络安全系统所使用的技术、服务的对象和涉及的范围（即网络层次）。对于上图的理解，不妨简单说明如下： 安全服务维是网络安全系统所提供可实现的全部技术手段； 网络协议维是网络安全系统应该将所采纳之安全技术手段实施的范围； 企业网络安全系统设计建议书 7 系统单元维是网络安全系统应该提供安全保护的对象。 作为一个现实的网络安全系统，首先要考虑的是安全建议书所涉及的有哪些系统单元，然后根据这些系统单元的不同，确定 该单元所需要的安全服务，再根据所需要的安全服务，确定这些安全服务在哪些 OSI 层次实现。 1.4.2 构建安全系统的基本目标 在上述的三维结构的安全体系中，安全服务维 是向
12、网络系统的各个部分和每一个层次，提供安全保证的各种技术手段和措施。虽 然并不是每一个应用网络都需要安全服务维提出的所有手段，但是对于一个包含各种应 用和具有一定规模的企业网络，这些安全措施应该都基本具备，因此安全服务维所涉及 的所有安全服务措施，是网络安全系统的基本建设目标。 根据我们对企业网络系统应用现状的认识，以 及未来将要实现的各种应用目标了解，我们认为企 业网络安全系统，最终需要全部实现图 1-1 中安全服务维所提出的基本技术手段。 1.4.3 网络安全系统的技术实施 构筑网络安全系统的最终目的是对网络资源或 者说是保护对象，实施最有效的安全保护。 从网络的系统和应用平台对网络协议层次
13、的依 赖关系不难看出，只有对网络协议结构层次的所有层实施相应有效的技术措施，才 能实现对网络资源的安全保护。 针对一般网络系统的结构和应用要求，为了达到保护网络资源的目的，必须在网络协议层实施相应的安全措施，如下表 1。 表 1 （ * 表示需要实施） 物理层 数据链路层 网络层 传输层 会话层 表示层 应用层 认证 * * * * 访问控制 * * * * 数据保密 * * * * * * 数据完整性 * * * 企业网络安全系统设计建议书 8 不可抵赖性 * 审计 * * * * 可用性 * * * * 在本建议书中，我们建议企业网络系统通过防 火墙系统、 VPN 应用系统、认证系统和网络
14、漏洞扫描及攻击检测系统实现表 1 中的安全手段实施。 企业网络安全系统设计建议书 9 2 应用需求分析 企业网络结构将会包括企业内部网络 Intranet 和企业互联网络 Extranet，同时网络连接 Internet，满足互联网访问、 WWW 发布、外部移动用户应用等需求。本章将根据企业网络系统的结构及应用，详细分析企业网络系统的安全需求。 2.1 网络基础层安全需求分析 网络基础层（在此网络基础层是指网络通信链路、路由 /交换设备、网络节点接口设备 /网卡 包括了 OSI 物理层到传输层设备的集合）作为现代计算机信息系统不可缺或的基础设施部分，其安全性是每一个用户最为关心的问题。从企业的
15、应用网络结构分析，企业网络层的安全涉及到 Internet 连接安全、广域网连接安全、应用系统内部资源网络连接安全保护几方面的安全问题。 2.1.1 Internet 连接安全保护 企业在网络应用中有三种情况需要进行 Internet 连接，即向外大众用户提供业务和宣传信息服务、公司内部用户和外界的电子邮件往来、通过互联网在异地进行业务办公的移动用户服务等。由此企业企业网必须向外“开门”，象所有连接互联网的企业网一样，企业网不可避免地存在，遭受到来自外部的恶意攻击和破坏、各种各样病毒传播的可能性。因此，在 Internet 出入口连接点，必须采取措施进行保护 布置防火墙系统，对集团总部的 In
16、ternet 出入口实施有效的控制，包括进出的数据检查和资源访问的控制。另外，仅仅设置 1 台防火墙，容易出现单点故障，为了保证网络对外的 7X24 小时不间断服务，还必须考虑网络安全设备的冗余配置。 2.1.2 广域网连接的安全保护 企业部分异地的下属企业和部门将通过广域网的方式与绵阳总部进行连接。因此企业的网络系统从其结构而言是一个在物理上广域连接的企业网络系统，我们认为企业广域连接的网络系统必须考虑两方面的安全措施： （一）网络通信加密（ VPN 应用） 广域网络通信连接将通过第三方链路进行。尽管租用电信或其他传输服务提供商的专用链路传输数据的安全性会高于通过 Internet 传输，但
17、是由于第三方提供的专用链路所使用的设备是公共的，其安全性具有相对性，不仅在链路上传输的数据存在被窃取的企业网络安全系统设计建议书 10 可能，同时也存在由于链路供应商安全管理和保护措施不完善的原因，导致被别有用心者有可能通过盗接而非法访问网络资源的风险，在国内就曾有类似的案件发生 非法分子通过在公共设备上偷偷接入自己的电脑，窃取了别人的股票交易帐户资料，盗用他人的帐户进行证券交易而非法获利。 如果仅仅是窃取资料对于网络系统本身也许不会产生太严重的破坏，但是假设盗接者是一个恶意攻击者，即使仅仅是一个普通的网络高手，把在网络通信链路上截取的数据进行篡改或者置换，再 通过网络链路将属性被异动的数据对
18、系统进行回放，其对网络系统可能造成的破坏程度是用户无法预计的。 现有的设备和技术手段要实现以上的非法目的不难，如果仅仅是通过盗接来窃取资料，只需要物理上存在接入的可能（实际上目前国内所有的链路服务供应商都存在比较大的漏洞），就非常容易实现；即使是通过链路盗接进行恶意攻击的“高难度”动作，“网络高手”只需花很低的代价购买用于网络测试的专业设备和软件，就可在通信链路上通过数据回放对网络系统实施攻击。 因此，为了消除这类风险的存在，我们认为企业网络安全系统必须能够对在广域网上传输的 所有数据进行加密（数据发出方）和解密（数据接收方）处理，即 VPN 应用。VPN 采用 3DES 的加密算法，一方面可
19、以使在广域网链路上传输的数据变成外来者不可“读”，防止流失数据的信息泄露；另一方面通过 VPN 加密和解密的规则，可以对具有不良属性的被异动数据进行过滤或使之属性失效，避免这些恶意数据对网络系统造成破坏。 （二）防火墙保护应用 从网络系统的应用来说，企业广域连接的网络系统实际上就是规模庞大的企业内部网。在这种复杂的网络环境中实现对各类网络资源的有效保护和管理，仅仅利用现有的网络来完成，显然是做不到的。我们 认为在企业广域连接的网络系统内有必要引入防火墙的应用，原因如下两方面。 其一，类似企业这种在物理上分布广泛的网络系统，每一个在地理上属异地的分支机构或部门，甚至同属于一个地方（如总部）的不同机构和部门，其网络应用和管理都有相对的独立性，因此在网络安全管理实施和执行上就很容易产生差异，从而出现网络安全漏洞。虽然企业在网络实施和管理上可以强制性地要求企业内部网络到 Internet 的接入为统一出入口，但是在网络的使用过程中，也许总部和个别管理严格的异地分支机构和部门，可以比较容易地始终如一执行这一规章制度，却不能 完全保证所有在网上的用户因为一些别的原因使用了另外的途径进入 Internet，如异地机构的企业网络用户通
