法院网络安全规划建设设计方案

第一篇：法院网络安全规划建设设计方案

****************************************

法院网络安全规划方案

*****************发展有限公司

2011年11月

*********************发展有限公司

第I页

目录 方案综述........................................................................................................................3 2 网络出口安全................................................................................................................4

2.1 法院网络出口安全设计.....................................................................................4

2.1.1 网络出口定义...........................................................................................4 2.1.2 网络出口安全定义...................................................................................4 2.1.3 出口主干安全设计...................................................................................5 2.1.4 DMZ区域安全.........................................................................................9 内网与外网安全隔离..................................................................................................13

3.1.1 防火墙的部署.........................................................................................13 3.1.2 安全隔离及数据交换系统.....................................................................13 安全管理区..................................................................................................................14 5 互联网用户区..............................................................................................................15

5.1 网络管理系统...................................................................................................16 5.2 可信运维系统...................................................................................................16 6 高可用集群软件..........................................................................................................17

*********************发展有限公司

第II页 方案综述

法院网络安全整体规划图如下：

ISP1ISP2网络出口网站服务器网页防篡改系统网站服务器网页防篡改系统路由器„ „ „链路负载OA系统抗DDos攻击交换机接入交换机IDS网闸负载均衡WEB防火墙防火墙上网行为管理透明桥接（bypass）防火墙入侵防御IDS数据库数字庭审DMZ区内部专网Si核心交换机SiSSL VPN双机接入交换机可信运维系统IDS审计监控服务器 网络防病毒服务器互联网用户区安全管理区网页防篡改发布系统管理服务器（安装网络管理系统）

将*****法院分为四个区域：网络出口区域、内部专网区域、安全管理区域、互联网用户区，其中网络出口区包含DMZ区。

另外采用高可用集群软件保障服务器及盘阵的稳定运行。各个区域网络安全设计在下面章节详细介绍。

**********发展有限公司

第3页 网络出口安全

2.1

法院网络出口安全设计

2.1.1

网络出口定义

如上图所示：网络出口是指企事业单位网络与外部网络（如互联网、教育网、银行专网）连接的网络边界区域，其范围一般是指从企事业单位网络核心交换到连接外部网络边界的部分，一个单位可能存在一个或多个网络出口。

网络出口是一个单位网络连接外界网络的纽带，是对外提供服务的窗口，面对的环境非常复杂，变化多端，此网络区域面临的安全风险最大，需要重点保护。

2.1.2

网络出口安全定义

网络出口安全是指通过一些安全措施和管理措施的实施，制止企事业单位内部人员的反动、虚假言论等非法上网行为，确保员工的上网行为符合国家、上级主管单位及本单位要求；防范来自外部网络的各种攻击行为，确保对外业务的正常运行，维护企事业单位的形象。

**********发展有限公司

第4页

2.1.3

出口主干安全设计

ISP1ISP2网站服务器网页防篡改系统网站服务器网页防篡改系统路由器链路负载抗DDos攻击接入交换机IDS入侵防御负载均衡WEB防火墙防火墙上网行为管理透明桥接（bypass）DMZ区Si核心交换机SiSSL VPN双机

在出口主干部署负载均衡、抗DDos攻击、入侵防御系统、防火墙、上网行为管理、VPN网关设备，以上设备均采用双机部署模式，其中上网行为管理具有审计功能。

下面介绍主要设备的功能特点。

2.1.3.1

简介： 负载均衡

负载均衡是建立在现有网络结构之上，它提供了一种廉价有效透明的方法扩展网**********发展有限公司

第5页

络设备和服务器的带宽、增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性。

功能：

 全面的负载均衡

包括动态速率、最少连接和观察模式的动态平衡，这些方法用于以整体方式跟踪服务器的动态性能。这保证了始终选择最佳的资源，以提高性能。可支持所有基于TCP/IP协议的服务器负载均衡。可支持最小连接数、轮询、比例、最快响应、哈希、预测、观察、动态比例等负载均衡算法。

 应用状态监控

用于检查设备、应用和内容的可用性，包括适合多种应用的专用监视器(包括多种应用服务器、SQL、SIP、LDAP、XML/SOAP、RTSP、SASP、SMB等)，以及用于检查内容和模拟应用调用的定制监视器。

 高可用性和交易保障

无论出现何种系统、服务器或应用故障，都能保证它是一个高可用的解决方案。BIG-IP LTM可以主动检测和响应任何服务器或应用错误。

 支持NAT地址转换

提供NAT地址转换功能，能够实现动态或静态地址转换。支持访问控制列表

能够实现防火墙的基本功能，建立访问控制列表，拒接IP网段或端口号吗。 支持路由

**********发展有限公司

第6页

该功能为多数设备中基本功能，但只支持静态路由，如果使用较为高级的OSPF路由协议，需要购买单独的模块来支持。

2.1.3.2 抗Ddos攻击

DDoS攻击一般通过Internet上那些“僵尸”系统完成，由于大量个人电脑联入Internet，且防护措施非常少，所以极易被黑客利用，通过植入某些代码，这些机器就成为DDoS攻击者的武器。当黑客发动大规模的DDoS时，只需要同时向这些将僵尸机发送某些命令，就可以由这些“僵尸”机器完成攻击。随着Botnet的发展，DDoS造成的攻击流量的规模可以非常惊人，会给应用系统或是网络本身带来非常大的负载消耗。

针对目前流行的DDoS攻击，包括未知的攻击形式，绿盟科技提供了自主研发的抗拒绝服务产品——NSFOCUS Anti-DDoS System，简称NSFOCUS ADS。通过及时发现背景流量中各种类型的攻击流量，NSFOCUS ADS可以迅速对攻击流量进行过滤或旁路，保证正常流量的通过。产品可以在多种网络环境下轻松部署，不仅能够避免单点故障的发生，同时也能保证网络的整体性能和可靠性。2.1.3.3 入侵防御系统

近年来，企业所面临的安全问题越来越复杂，安全威胁正在飞速增长，尤其混合威胁的风险，如黑客攻击、蠕虫病毒、木马后门、间谍软件、僵尸网络、垃圾邮件、网络资源滥用（P2P下载、IM即时通讯、网游、视频）等，极大地困扰着用户，给企业的信息网络造成严重的破坏。

能否及时发现并成功阻止网络黑客的入侵、保证计算机和网络系统的安全和正常运行便成为企业所面临的一个重要问题。针对日趋复杂的应用安全威胁和混合型网络攻击，绿盟科技提供了完善的安全防护方案。绿盟网络入侵防护系统（以下简称“NSFOCUS NIPS”）是绿盟科技拥有完全自主知识产权的新一代安全产品，作为一种在线部署的产品，其设计目标旨在准确监测网络异常流量，自动应对各类攻击流量，**********发展有限公司

第7页

第一时间将安全威胁阻隔在企业网络外部。这类产品弥补了防火墙、入侵检测等产品的不足，提供动态的、深度的、主动的安全防御，为企业提供了一个全新的入侵防护解决方案。

2.1.3.4 下一代应用防火墙

*****NGAF系列产品是一款以应用安全需求出发而设计的下一代应用防火墙。弥补了传统防火墙基于端口/IP无法防护应用层安全威胁的缺陷；改善了 UTM类设备简单功能堆砌，性能瓶颈的弱点。通过单次解析引擎真正做到将防火墙、VPN、入侵防御、服务器防护、病毒防护、内容过滤、流量控制等多种安全 技术有机的融合到一起，提供多功能、高性能的电信级安全设备。与传统安全设备相比它可以针对丰富的应用提供更完整的可视化内容安全防护。

NGAF继承了传统防火墙的优秀品质，能够适应各种复杂的网络环境，同时通过单次解析引擎、应用可视化引擎、灰度威胁关联分析引擎三大创新引擎技术，提供强大的网络安全防护、可视化的应用管控、全面的应用安全防护，形成2-7层一体化安全防护解决方案。2.1.3.5 VPN网关

现在，随着移动存储技术及商务模式的发展，选择远程办公的人越来越多。随着中国经济的腾飞，企事业单位对员工移动办公、远程接入总部内网办公的需求越来越强，特别是WLAN技术、无线技术的发展更加剧了这种趋势。如何实现网络中的数据隔离、服务器隔离，构建安全的业务子网，供组织日常办公，这已成为IT管理者面临的重大挑战。

*****VPN网关给远程移动办公所达到的效果

1、通过SSL VPN，远程办公和移动用户可以随时访问内部办公平台，获取、提交信息非常便捷；

2、*****SSL VPN提供目前最丰富的认证，包括USB Key、短信口令、软键盘、动**********发展有限公司

第8页

态令牌、CA、硬件特征码等，最大程度上确保接入用户身份的合法性；

3、*****SSL VPN能够对内网的访问权限进行细致地设定，对不同的用户分配不同的权限规则，避免内部出现安全隐患；

4、*****SSL VPN操作简易，支持多种部署模式，不会对现有网络造成任何影响，各种服务及应用均可正常使用，与中国人民银行的各种IT办公系统结合良好。2.1.3.6 上网行为管理系统

*****上网行为管理产品作为中国上网行为管理领域的第一品牌，可助您实现对互联网访问行为的全面管理。*****上网行为管理产品凭借强大的功能和简便的操作，可在网页过滤、行为控制、流量管理、防止内网泄密、防范法规风险、互联网访问行为记录、上网安全等多个方面为您提供最有效的解决方案。

2.1.4

DMZ区域安全

网站服务器网页防篡改系统网站服务器网页防篡改系统接入交换机IDS网络审计探针负载均衡WEB防火墙DMZ区

DMZ区域部署WEB防火墙、负载均衡、IDS。下面介绍主要设备的功能特点。

**********发展有限公司

第9页

2.1.4.1

简介： Web防火墙

Web防火墙（WAF）是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。

功能：

 异常检测协议

Web应用防火墙会对HTTP的请求进行异常检测，拒绝不符合HTTP标准的请求。并且，它也可以只允许HTTP协议的部分选项通过，从而减少攻击的影响范围。甚至，一些Web应用防火墙还可以严格限定HTTP协议中那些过于松散或未被完全制定的选项。

 增强的输入验证

增强输入验证，可以有效防止网页篡改、信息泄露、木马植入等恶意网络入侵行为。从而减小Web服务器被攻击的可能性。

 及时补丁

修补Web安全漏洞，是Web应用开发者最头痛的问题，没人会知道下一秒有什么样的漏洞出现，会为Web应用带来什么样的危害。现在WAF可以为我们做这项工作了——只要有全面的漏洞信息WAF能在不到一个小时的时间内屏蔽掉这个漏洞。当然，这种屏蔽掉漏洞的方式不是非常完美的，并且没有安装对应的补丁本身就是一种安全威胁，但我们在没有选择的情况下，任何保护措施都比没有保护措施更好。

 基于规则的保护和基于异常的保护

基于规则的保护可以提供各种Web应用的安全规则，WAF生产商会维护这个规则**********发展有限公司

第10页

库，并时时为其更新。用户可以按照这些规则对应用进行全方面检测。还有的产品可以基于合法应用数据建立模型，并以此为依据判断应用数据的异常。但这需要对用户企业的应用具有十分透彻的了解才可能做到，可现实中这是十分困难的一件事情。

 状态管理

WAF能够判断用户是否是第一次访问并且将请求重定向到默认登录页面并且记录事件。通过检测用户的整个操作行为我们可以更容易识别攻击。状态管理模式还能检测出异常事件（比如登陆失败），并且在达到极限值时进行处理。这对暴力攻击的识别和响应是十分有利的。

 其他防护技术

WAF还有一些安全增强的功能，可以用来解决WEB程序员过分信任输入数据带来的问题。比如：隐藏表单域保护、抗入侵规避技术、响应监视和信息泄露保护。

2.1.4.2

简介： 入侵检测系统

入侵检测系统（IDS）就是依照一定的安全策略，通过软、硬件，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。

功能：

 攻击检测和防护

例如802.1Q支持、状态识别、协议解码、特征匹配、异常检测、DoS攻击、蠕虫/病毒/木马、BackDoor、缓冲区溢出、DoS/DDoS攻击等。

 事件响应

**********发展有限公司

第11页

应支持SNMP Trap、Linktrust简单互动协议（SLP）、控制台实时显示、记录至数据库、Mail邮件响应、SSH命令联动、Syslog日志、用户定制等。

 系统管理

IDS在管理上应支持串口管理、集中管理平台、安全运行中心（SOC）、在线/本地升级、与第三方管理系统集成。

 故障探测

对于故障探测需支持通信链路故障、设备故障、应用服务故障、监控链路故障。 抗逃避保护

如IP 分段重组、TCP 流重组、Unicode 解析、应用层协议状态追踪。 安全性

通讯加密、签名升级包/本地数据加密。

**********发展有限公司

第12页 内网与外网安全隔离

„ „ „OA系统数据库数字庭审交换机IDS网闸防火墙内部专网

依据上图所示，在内外网中间部署防火墙，防火墙后面串接网闸设备，而入侵检测系统（IDS）进行旁路部署，通过以上部署实现立体和多方位的安全防范，保证内部网络业务安全及数据安全。

3.1.1

防火墙的部署

在内网业务网络出口部署防火墙，可以抵挡外来的攻击，将外网核心交换机连接到防火墙的外网接口上，通过相应的策略来保护和控制内部网络不受外来的攻击。

3.1.2

安全隔离及数据交换系统

依据*****法院网络隔离及数据交换高安全性要求，建议采用安全隔离与信息交换子系统（以下简称网闸）实现法院内外和外网之间的安全隔离及数据交换。如下图所示：

**********发展有限公司

第13页

外部网络内部网络交换机网闸交换机 采用千兆网闸，实现法院内外网的安全隔离，切断内外网的TCP/IP会话穿透，有效地防止基于网络的各种攻击如后门木马攻击，安全隔离确保了物理链路层的安全和上层应用的安全，真正实现了网络的隔离，同时，通过网闸的数据库同步模块、web访问模块、邮件模块、文件同步模块、tcp代理模块、udp代理模块等实现内外网之间特定的数据交换。安全管理区

接入交换机可信运维系统IDS审计监控服务器 网络防病毒服务器安全管理区网页防篡改发布系统管理服务器（安装网络管理系统）

该区域作为整个网络系统的管理区域，其重要性不言而喻，该区域内部署可信运维系统、IDS、审计数据服务器、网络管理系统等。

**********发展有限公司

第14页 互联网用户区

互联网用户区

法院互联网用户区终端数量比较多，管理难度很大，有效管理该区的终端从而有效保障网络安全也显得尤为重要。近两年的安全防御调查也表明，政府、企业以及金融证券等单位中超过80%的管理和安全问题来自终端，计算机终端广泛涉及每个用户，由于其分散、不被重视、安全手段缺乏的特点，已使得终端安全成为信息安全体系的薄弱环节。因此，网络安全呈现出了新的发展趋势，对于各政府企业网络来说，安全战场已经逐步由核心与主干的防护，转向网络内部的每一个终端。

通过部署桌面安全管理系统来解决互联网用户区的安全隐患和管理难题。桌面安全管理系统主要着眼于网络中台式机、服务器、便携机、网络设备及终端用户的综合安全防护。PC Master 提供网络监视模块、网络管理、网络报警、软硬件资产管理、补丁管理和软件分发、远程桌面管理等功能模块，通过对每一个网络设备的监视和控制、网络用户行为的监视和记录，将网络的安全隐患可视化，能最大限度地防止敏感信息的泄漏、破坏和违规外传，并完整记录涉及敏感信息的操作日志以便事后审计和追究泄密责任，同时也能对个人桌面系统的软硬件资源实施安全管理，并对个人桌面系统的工作状况进行监控和审计，从而有效的控制和防范信息安全事故。最终实现内部网络始终处于安全、可靠、保密的环境下运行，帮助用户各类业务统一优化、规范管理，保障各类业务正常安全运行。

**********发展有限公司

第15页

5.1

网络管理系统

*****网络管理系统（*****）是针对解决各行业中、小型企事业单位，目前在IT管理过程中所面临的3个挑战以及所需要克服的1个矛盾（即内、外部客户满意度、成本控制与系统安全之间的挑战；IT系统日益增长的复杂性与运维人数、专业知识结构之间的矛盾）的第五代专家智能型综合网管系统。*****涵盖了网络设备、服务器、安全设备、存储设备、通讯设备、传输设备、数据库应用及中间件应用等管理，它结合了大型定制型网管及第三代网管的简单易用这两方面的特点，并以非编程扩展的方法，满足了用户单位不断增加IT资源管理的要求。同时系统能兼容整合第三代网管和其它工具，专注于用户各种设备、应用及服务等资源的健康度、可用率和服务水平的管理，保证IT部门用户的满意度，并通过智能化专家系统解决了用户单位日益复杂的IT资源与运维人员数量不足、专业知识结构之间的矛盾，将各种复杂的网络管理工作简易化、便捷化与自动化，有效帮助网络管理人员轻松驾驭网络，提高网络管理效率。

5.2

可信运维系统

随着国家信息化建设的不断深入开展，IT系统在各领域发挥的重要性越来越高。政府、医疗、运营商、金融、大型工业企业都高度依赖IT系统进行生产和服务。然而，随着IT系统规模的扩大，以及IT系统资产价值的增加，系统面临的安全威胁也随之增加。这些威胁中除了来自外部的黑客攻击以外，更多的是由于内部运维管理水平的不足而产生的，如：内部运维人员的恶意破坏操作、误操作，第三方维护人员的越权访问、数据窃取等等。这些由于内部(第三方支持人员)而产生的安全事件，对单位或者企业造成更大的负面影响，其所能造成的损失往往是不可估量。

此外，随着IT管理水平的提升，管理制度的健全，无论是政府还是企业单位、上市公司，对于国家或行业的法律法规的要求都越来越高，法规遵从的重点之一就是如何处理来自内部的运维管理风险日益，规避内部IT操作风险。因此，如何针对内部运维人员的运维行为进行审计，如何提高系统运维管理水平，满足相关法规标准要**********发展有限公司

第16页

求，已经成为所有信息部门急需解决的问题。

上海金电网安可信运维管理系统就是新一代运维安全审计产品，它能够对运维人员的访问过程进行细粒度的授权、全过程的操作记录及控制、全方位的操作审计、并支持事后操作过程回放功能，实现运维过程的“事前预防、事中控制、事后审计”，在简化运维操作的同时，全面解决各种复杂环境下的运维安全问题，提升企业IT运维管理水平。高可用集群软件

随着中国经济整体坚挺的增长，软件市场也持续着高速增长。特别是四川大地震等自然灾害的影响对提高系统的高可用性、保证企业业务连续性的需求逐年递增。

以前，具有高信赖性的高可用容错集群系统多用于UNIX系统下。现在,随着Windows/Linux系统的需求增长，出现对UNIX系统需求减少的趋势。能够适应于Windows/Linux市场需求的，是SIOS Technology Corp（SteelEye）的高可用容错集群系统软件「LifeKeeper」。

SIOS公司与美国、日本的HP集团有着紧密的合作关系、便于建立良好的合作关系。

「 LifeKeeper 」的易于配置、坚牢的的高可用容错集群的结构与HP系列服务器和存储设备特有的出色的能耗低、电源效率高、高扩展性的组合，可以提供具有系统冗余和环保性能的解决方案。促进具有高性能·高可靠性HP服务器和存储设备在高可用容错集群软件市场的普及，有效地扩大HP服务器和存储设备的市场占有率。

**********发展有限公司

第17页

**********发展有限公司

第18页

第二篇：网络安全设计方案

某校园网方案.........................................................2 网络防火墙设计中的问题..............................................17 如何构建网络整体安全方案............................................25 四台Cisco防火墙实现VPN网络........................................31 企业级防火墙选购热点................................................35 增强路由器安全的十个技巧............................................38 启明星辰银行安全防御方案............................................39 神码基金公司信息安全解决方案........................................40 安天校园网解决方案..................................................43 网络入侵检测解决方案................................................46 企业需要什么样的IDS 测试IDS的几个性能指标..........................48 东软安全助力武汉信用风险管理信息系统................................52 某校园网方案 1.1设计原则

1.充分满足现在以及未来3-5年内的网络需求，既要保证校园网能很好的为学校服务，又要保护学校的投资。

2.强大的安全管理措施，四分建设、六分管理，管理维护的好坏是校园网正常运行的关键

3.在满足学校的需求的前提下，建出自己的特色 1.2网络建设需求 网络的稳定性要求

 整个网络需要具有高度的稳定性，能够满足不同用户对网络访问的不同要求

网络高性能需求

 整个网络系统需要具有很高的性能，能够满足各种流媒体的无障碍传输，保证校园网各种应用的畅通无阻

 认证计费效率高，对用户的认证和计费不会对网络性能造成瓶颈 网络安全需求  防止IP地址冲突  非法站点访问过滤  非法言论的准确追踪  恶意攻击的实时处理  记录访问日志提供完整审计 网络管理需求

 需要方便的进行用户管理，包括开户、销户、资料修改和查询  需要能够对网络设备进行集中的统一管理  需要对网络故障进行快速高效的处理 第二章、某校园网方案设计 2.1校园网现网拓扑图 整个网络采用二级的网络架构：核心、接入。

核心采用一台RG－S4909，负责整个校园网的数据转发，同时为接入交换机S1926F+、内部服务器提供百兆接口。网络出口采用RG-WALL1200防火墙。原有网络设备功能较少，无法进行安全防护，已经不能满足应用的需求。

2.2校园网设备更新方案

方案一：不更换核心设备

核心仍然采用锐捷网络S4909交换机，在中校区增加一台SAM服务器，部署SAM系统，同时东校区和西校区各用3台S2126G替换原有S1926F+,其中汇聚交换机各采用一台新增的S2126G，剩余的两台S2126G用于加强对关键机器的保护，中校区的网络结构也做相应的调整，采用现有的两台S2126G做为汇聚设备，其它交换机分别接入这两台交换机，从而实现所有汇聚层交换机都能进行安全控制，重点区域在接入层进行安全控制的网络布局。

方案二：更换核心设备

核心采用一台锐捷网络面向10万兆平台设计的多业务IPV6路由交换机RG-S8606，负责整个校园网的数据转发。在中校区增加一台SAM服务器，部署SAM系统，同时东校区和西校区各用3台S2126G替换原有S1926F+。将原有的S4909放到东校区做为汇聚设备，下接三台S2126G实现安全控制，其它二层交换机分别接入相应的S2126G。西校区汇聚采用一台S2126G，剩余两台S2126G用于保护重点机器，其它交换机接入对应的S2126G。中校区的网络结构也做相应的调整，采用现有的两台S2126G做为汇聚设备，其它交换机分别接入这两台交换机，从而实现所有汇聚层交换机都能进行安全控制，重点区域在接入层进行安全控制的网络布局。

2.3骨干网络设计

骨干网络由RG-S8606构成，核心交换机RG-S8606主要具有5特性：

1、骨干网带宽设计：千兆骨干，可平滑升级到万兆

整个骨干网采用千兆双规线路的设计，二条线路通过VRRP冗余路由协议和OSPF动态路由协议实现负载分担和冗余备份，以后，随着网络流量的增加，可以将链路升级到万兆。

2、骨干设备的安全设计：CSS安全体系架构

3、CSS之硬件CPP CPP即CPU Protect Policy，RG-S8606采用硬件来实现，CPP提供管理模块和线卡CPU的保护功能，对发往CPU的数据流进行带宽限制（总带宽、QOS队列带宽、类型报文带宽），这样，对于ARP攻击的数据流、针对CPU的网络攻击和病毒数据流，RG-S8606分配给其的带宽非常的有限，不会影响其正常工作。

由于锐捷10万兆产品RG-S8606采用硬件的方式实现，不影响整机的运行效率

4、CSS之SPOH技术

现在的网络需要更安全、需要为不同的业务提供不同的处理优先级，这样，大量的ACL和QOS需要部署，需要核心交换机来处理，而这些应用属于对交换机硬件资源消耗非常大的，核心交换机RG-S8606通过在交换机的每一个用户端口上增加一个FFP(快速过滤处理器)，专门用来处理ACL和QOS，相当于把交换机的每一个端口都变成了一台独立的交换机，可以保证在非常复杂的网络环境中核心交换机的高性

能。

2.4网络安全设计

2.4.1某校园网网络安全需求分析

1、网络病毒的防范

病毒产生的原因：某校园网很重要的一个特征就是用户数比较多，会有很多的PC机缺乏有效的病毒防范手段，这样，当用户在频繁的访问INTERNET的时候，通过局域网共享文件的时候，通过U盘，光盘拷贝文件的时候，系统都会感染上病毒，当某个学生感染上病毒后，他会向校园网的每一个角落发送，发送给其他用户，发送给服务器。

病毒对校园网的影响：校园网万兆、千兆、百兆的网络带宽都被大量的病毒数据包所消耗，用户正常的网络访问得不到响应，办公平台不能使用；资源库、VOD不能点播；INTERNET上不了，学生、老师面临着看着丰富的校园网资源却不能使用的 尴尬境地。

2、防止IP、MAC地址的盗用

IP、MAC地址的盗用的原因：某校园网采用静态IP地址方案，如果缺乏有效的IP、MAC地址管理手段，用户可以随意的更改IP地址，在网卡属性的高级选项中可以随意的更改MAC地址。如果用户有意无意的更改自己的IP、MAC地址，会引起多方冲突，如果与网关地址冲突，同一网段内的所有用户都不能使用网络；如果恶意用户发送虚假的IP、MAC的对应关系，用户的大量上网数据包都落入恶意用户的手中，造成ARP欺骗攻击。

IP、MAC地址的盗用对校园网的影响：在用户看来，校园网络是一个很不可靠是会给我带来很多麻烦的网络，因为大量的IP、MAC冲突的现象导致了用户经常不能使用网络上的资源，而且，用户在正常工作和学习时候，自己的电脑上会经常弹出MAC地址冲突的对话框。由于担心一些机密信息比如银行卡账户、密码、邮箱密码泄漏，用户会尽量减少网络的使用，这样，学生、老师对校园网以及网络中心的信心会逐渐减弱，投入几百万的校园网也就不能充分发挥其服务于教学的作用，造成很大程度上的资源浪费。

3、安全事故发生时候，需要准确定位到用户 安全事故发生时候，需要准确定位到用户原因：

 国家的要求：2002年，朱镕基签署了282号令，要求各大INTERNET运营机构（包括高校）必须要保存60天的用户上网记录，以待相关部门审计。

 校园网正常运行的需求：如果说不能准确的定位到用户，学生会在网络中肆无忌弹进行各种非法的活动，会使得校园网变成“黑客”娱乐的天堂，更严重的是，如

果当某个学生在校外的某个站点发布了大量涉及政治的言论，这时候公安部门的网络信息安全监察科找到我们的时候，我们无法处理，学校或者说网络中心只有替学生背这个黑锅。

4、安全事故发生时候，不能准确定位到用户的影响：

一旦发生这种涉及到政治的安全事情发生后，很容易在社会上广泛传播，上级主管部门会对学校做出处理；同时也会大大降低学校在社会上的影响力，降低家长、学生对学校的满意度，对以后学生的招生也是大有影响的。

5、用户上网时间的控制

无法控制学生上网时间的影响：如果缺乏有效的机制来限制用户的上网时间，学生可能会利用一切机会上网，会旷课。学生家长会对学校产生强烈的不满，会认为学校及其的不负责任，不是在教书育人。这对学校的声誉以及学校的长期发展是及其不利的。

6、用户网络权限的控制

在校园网中，不同用户的访问权限应该是不一样的，比如学生应该只能够访问资源服务器，上网，不能访问办公网络、财务网络。办公网络的用户因该不能访问财务网络。因此，需要对用户网络权限进行严格的控制。

7、各种网络攻击的有效屏蔽

校园网中常见的网络攻击比如MAC FLOOD、SYN FLOOD、DOS攻击、扫描攻击、ARP欺骗攻击、流量攻击、非法组播源、非法DHCP服务器及DHCP攻击、窃取交换机的管理员密码、发送大量的广播报文，这些攻击的存在，会扰乱网络的正常运行，降低了校园网的效率。

2.4.2某校园网网络安全方案设计思想 2.4.2.1安全到边缘的设计思想

用户在访问网络的过程中，首先要经过的就是交换机，如果我们能在用户试图进入网络的时候，也就是在接入层交换机上部署网络安全无疑是达到更好的效果。2.4.2.2全局安全的设计思想

锐捷网络提倡的是从全局的角度来把控网络安全，安全不是某一个设备的事情，应该让网络中的所有设备都发挥其安全功能，互相协作，形成一个全民皆兵的网络，最终从全局的角度把控网络安全。2.4.2.3全程安全的设计思想

用户的网络访问行为可以分为三个阶段，包括访问网络前、访问网络的时候、访问网络后。对着每一个阶段，都应该有严格的安全控制措施。2.4.3某校园网网络安全方案

锐捷网络结合SAM系统和交换机嵌入式安全防护机制设计的特点，从三个方面实现网络安全：事前的准确身份认证、事中的实时处理、事后的完整审计。2.4.3.1事前的身份认证

对于每一个需要访问网络的用户，我们需要对其身份进行验证，身份验证信息包括用户的用户名/密码、用户PC的IP地址、用户PC的MAC地址、用户PC所在交换机的IP地址、用户PC所在交换机的端口号、用户被系统定义的允许访问网络的时间，通过以上信息的绑定，可以达到如下的效果：

 每一个用户的身份在整个校园网中是唯一，避免了个人信息被盗用. 当安全事故发生的时候，只要能够发现肇事者的一项信息比如IP地址，就可以准确定位到该用户，便于事情的处理。

 只有经过网络中心授权的用户才能够访问校园网，防止非法用户的非法接入，这也切断了恶意用户企图向校园网中传播网络病毒、黑客程序的通道。2.4.3.2网络攻击的防范

1、常见网络病毒的防范

对于常见的比如冲击波、振荡波等对网络危害特别严重的网络病毒，通过部署扩展的ACL，能够对这些病毒所使用的TCP、UDP的端口进行防范，一旦某个用户不小心感染上了这种类型的病毒，不会影响到网络中的其他用户，保证了校园网网络带宽的合理使用。

2、未知网络病毒的防范

对于未知的网络病毒，通过在网络中部署基于数据流类型的带宽控制功能，为不同的网络应用分配不同的网络带宽，保证了关键应用比如WEB、课件资源库、邮件数据流有足够可用的带宽，当新的病毒产生时，不会影响到主要网络应用的运行，从而保证了网络的高可用性。

3、防止IP地址盗用和ARP攻击

通过对每一个ARP报文进行深度的检测，即检测ARP报文中的源IP和源MAC是否和端口安全规则一致，如果不一致，视为更改了IP地址，所有的数据包都不能进入网络，这样可有效防止安全端口上的ARP欺骗，防止非法信息点冒充网络关键设备的IP（如服务器），造成网络通讯混乱。

4、防止假冒IP、MAC发起的MAC FloodSYN Flood攻击 通过部署IP、MAC、端口绑定和IP+MAC绑定（只需简单的一个命令就可以实现）。并实现端口反查功能，追查源IP、MAC访问，追查恶意用户。有效的防止通过假冒源IP/MAC地址进行网络的攻击，进一步增强网络的安全性。

5、非法组播源的屏蔽

锐捷产品均支持IMGP源端口检查，实现全网杜绝非法组播源，指严格限定IGMP组播流的进入端口。当IGMP源端口检查关闭时，从任何端口进入的视频流均是合法的，交换机会把它们转发到已注册的端口。当IGMP源端口检查打开时，只有从路由连接口进入的视频流才是合法的，交换机把它们转发向已注册的端口；而从非路由连接口进入的视频流被视为是非法的，将被丢弃。锐捷产品支持IGMP源端口检查，有效控制非法组播，实现全网杜绝非法组播源，更好地提高了网络的安全性和全网的性能，同时可以有效杜绝以组播方式的传播病毒.在校园网流媒体应用多元化和潮流下具有明显的优势，而且也是网络带宽合理的分配所必须的。同时IGMP源端口检查，具有效率更高、配置更简单、更加实用的特点，更加适用于校园运营网络大规模的应用环境。

6、对DOS攻击，扫描攻击的屏蔽

通过在校园网中部署防止DOS攻击，扫描攻击，能够有效的避免这二种攻击行为，节省了网络带宽，避免了网络设备、服务器遭受到此类攻击时导致的网络中断。

2.4.3.3事后的完整审计

当用户访问完网络后，会保存有完备的用户上网日志纪录，包括某个用户名，使用那个IP地址，MAC地址是多少，通过那一台交换机的哪一个端口，什么时候开始访问网络，什么时候结束，产生了多少流量。如果安全事故发生，可以通过查询该日志，来唯一的确定该用户的身份，便于了事情的处理。2.5网络管理设计

网络管理包括设备管理、用户管理、网络故障管理 2.5.1网络用户管理

网络用户管理见网络运营设计开户部分 2.5.2网络设备管理

网络设备的管理通过STARVIEW实现，主要提供以下功能，这些功能也是我们常见的解决问题的思路：

1、网络现状及故障的自动发现和了解

STARVIEW能自动发现网络拓扑结构，让网络管理员对整个校园网了如指掌，对于用户私自挂接的HUB、交换机等设备能及时地发现，提前消除各种安全隐患。对于网络中的异常故障，比如某台交换机的CPU利用率过高，某条链路上的流量负载过大，STARVIEW都可以以不同的颜色进行显示，方便管理员及时地发现网络中的异常情况。

2、网络流量的查看

STARVIEW在网络初步异常的情况下，能进一步的察看网络中的详细流量，从而为网络故障的定位提供了丰富的数据支持。

3、网络故障的信息自动报告

STARVIEW支持故障信息的自动告警，当网络设备出现故障时，会通过TRAP的方式进行告警，网络管理员的界面上能看到各种故障信息，这些信息同样为管理员的故

障排除提供了丰富的信息。

4、设备面板管理

STARVIEW的设备面板管理能够很清楚的看到校园中设备的面板，包括端口数量、状态等等，同时可以很方便的登陆到设备上，进行配置的修改，完善以及各种信息

的察看。

5、RGNOS操作系统的批量升级

校园网很大的一个特点就是规模大，需要使用大量的接入层交换机，如果需要对这些交换机进行升级，一台一台的操作，会给管理员的工作带来很大的压力，STARVIEW提供的操作系统的批量升级功能，能够很方便的一次对所有的相同型号的交换机进行升级，加大的较少了网络管理员的工作量。

2.5.3网络故障管理

随着校园网用户数的增多，尤其是宿舍网运营的开始，用户网络故障的排除会成为校园网管理工作的重点和难点，传统的网络故障解决方式主要是这样一个流程：

2.6流量管理系统设计

网络中的流量情况是网络是否正常的关键，网络中大量的P2P软件的使用，已经对各种网络业务的正常开展产生了非常严重的影响，有的学校甚至因为P2P软件的泛滥，直接导致了网络出口的瘫痪。2.6.1方案一：传统的流量管理方案

传统的流量管理方案的做法很多就是简单的封堵这些P2P软件，从而达到控制流量的目的，这有三大弊端， 第一：这些软件之所以有如此强大的生命力，是因为用户通过使用这些软件的确能快速的获取各种有用的资源，如果简单的通过禁止的方式，用户的意见会非常的大，同时，各种有用的资源我们很难获取。

 第二：各种新型的，对网络带宽消耗更大的应用软件也在不断的出现。所谓道高一尺，魔高一丈，一味的封堵这些软件，我们永远处于被动的局面，显然不能从根本上解决这个问题。

 第三：我们无法获取网络中的流量信息，无法为校园网的优化，网络管理，网络故障预防和排除提供数据支撑。

2.6.2方案二：锐捷的流量管理与控制方案

锐捷网络的流量管理主要通过RG-NTD+日志处理软件+RG-SAM系统来实现。

NTD是锐捷流量管理解决方案的重要组成部分，我们希望能为用户提供一种流量控制和管理的方法而不单纯是流量计费，锐捷的流量管理方案有三大功能：

 第一：为SAM系统对用户进行流量计费提供原始数据，这是我们已经实现了的功能。该功能能满足不同消费层次的用户对带宽的需求，经济条件好一点，可以多用点流量，提高了用户的满意度。而且，对于以后新出现的功能更加强大的下载软件，都不必担心用户任意使用造成带宽拥塞。

 第二：提供日志审计和带宽管理功能，通过NTD、SAM、日志系统的结合，能够做到基于用户身份对用户进行管理，做到将用户名、源IP、目的IP直接关联，通过目的IP，可以直接定位到用户名，安全事件处理起来非常的方便，同时还能提供P2P的限速，带宽管理等功能，这一部分的功能我们会在明年4月份提供。 第三：能够对网络中的各种流量了如指掌，可以对用户经常访问的资源进行分析对比，为应用系统的建设、服务器的升级改造提供数据支持；能够及时的发现网络中的病毒、恶意流量，从而进行有效的防范，结合认证计费系统SAM，能够捕捉到事件源头，并于做出处理。

总体来说，流量控制和管理和日志系统的整体解决方案对于校园网的长期健康可持续发展是很有帮助的。

网络防火墙设计中的问题

1．方案：硬件？还是软件？

现在防火墙的功能越来越多越花哨，如此多的功能必然要求系统有一个高效的处理能力。

防火墙从实现上可以分为软件防火墙和硬件防火墙。软件防火墙以checkpoint 公司的Firewall-I为代表，其实现是通过 dev_add_pack的办法加载过滤函数（Linux，其他操作系统没有作分析，估计类似），通过在操作系统底层做工作来实现防火墙的各种功能和优 化。国内也有一些所谓的软件防火墙，但据了解大多是所谓“个人”防火墙，而且功能及其有限，故不在此讨论范围。

在国内目前已通过公安部检验的防火墙中，硬件防火墙占绝大多数。硬件防火墙一种是从硬件到软件都单独设计，典型如Netscreen防火墙不但软件部分单独设计，硬件部分也采用专门的ASIC集成电路。

另外一种就是基于PC架构的使用经过定制的通用操作系统的所谓硬件防火墙。目前国内绝大

多数防火墙都属于这种类型。

虽然都号称硬件防火墙，国内厂家和国外厂家还是存在着巨大区别。硬件防火墙需要在硬 件和软件两方面同时下功夫，国外厂家的通常做法是软件运算硬件化，其所设计或选用的运行平台本身的性能可能并不高，但它将主要的运算程序（查表运算是防火 墙的主要工作）做成芯片，以减少主机CPU的运算压力。国内厂家的防火墙硬件平台基本上采用通用PC系统或工业PC架构（直接原因是可以节省硬件开发成 本），在提高硬件性能方面所能做的工作仅仅是提升系统CPU的处理能力，增大内存容量而已。现在国内防火墙的一个典型结构就是：工业主板+x86+128（256）M内存+DOC/DOM+硬盘（或不要硬盘而另增加一个日志服务器）+百兆网卡 这 样一个工业PC结构。

在软件性能方面，国内外厂家的差别就更大了，国外（一些著名）厂家均是采用专用的操 作系统，自行设计防火墙。而国内所有厂家操作系统系统都是基于通用的 Linux，无一例外。各厂家的区别仅仅在于对Linux系统本身和防火墙部分（2.2内核为ipchains，2.4以后内核为netfilter）所 作的改动量有多大。

事实上，Linux只是一个通用操作系统，它并没有针对防火墙功能做什么优化，而且 其处理大数据量通信方面的能力一直并不突出，甚至比较低下（这也是 Linux一直只是低端服务器的宠儿的重要原因，我自己认为，在这一点上它还不如BSD系列，据说国外有用BSD做防火墙的，国内尚未见到）。现在绝大部 分厂家，甚至包括号称国内最大的天融信，在软件方面所作的工作无非也就是系统有针对性的裁减、防火墙部分代码的少量改动（绝大部分还是没有什么改动）和少 量的系统补丁。而且我们在分析各厂家产品时可以注意这一点，如果哪个厂家对系统本身做了什么大的改动，它肯定会把这个视为一个重要的卖点，大吹特吹，遗憾 的是似乎还没有什么厂家有能力去做宣传（天融信似乎有一个类似于checkpoint的功能：开放式的安全应用接口 TOPSEC，但它究竟做了多少工作，还需要去仔细了解）。

目前国内厂家也已经认识到这个问题，有些在做一些底层的工作，但有明显成效的，似乎还没有。

在此我们仅针对以Linux（或其他通用操作系统）为基础的、以PC架构为硬件载体的防火墙做讨论，以下如不特别提出，均同。2．内核和防火墙设计

现在有一种商业卖点，即所谓“建立在安全操作系统之上的第四代防火墙”（关于防火墙 分代的问题，目前有很多讨论，比较一致的是把包过滤防火墙称为第一代防火墙，把应用型防火墙（一般结合了包过滤功能，因此也成为混合型防火墙）称为第二代 防火墙，有些厂家把增加了检测通信信息、状态检测和应用监测的防火墙称为第三代防火墙，更有甚者在此基础上提出了采用安全操作系统的防火墙，并把这个称为 第四代防火墙）。所谓安全操作系统，其实大多用的还是Linux，所不同的是需要做一些内核加固和简单改造的工作，主要有以下： 取消危险的系统调用，或者截获系统调用，稍加改动（如加载一些llkm）； 限制命令执行权限； 取消IP转发功能； 检查每个分组的接口； 采用随机连接序号； 驻留分组过滤模块； 取消动态路由功能；

采用多个安全内核（这个只见有人提出，但未见到实例，对此不是很清楚）。以上诸多工作，其实基本上都没有对内核源码做太大改动，因此从个人角度来看算不上可以太夸大的地方。

对于防火墙部分，国内大部分已经升级到2.4内核所支持的netfilter。netfilter已经是一个功能比较完善的防火墙框架，它已经支持基于状态的监测（通过connection track模块实现）。而且netfilter是一个设计很合理的框架，可以在适当的位置上登记一些需要的处理函数，正式代码中已经登记了许多处理函数，如在NF_IP_FORWARD点上登记了装发的包过滤功能（包过滤等功能便是由这些正式登记的函数实现的）。我们也可以登记自己的处理函数，在功能上作 扩展（如加入简单的IDS功能等等）。这一点是国内厂家可以做文章的地方，至于netfilter源码的修改，对国内厂家来说似乎不太现实。

至于采用其它防火墙模型的，目前还没有看到（可能是netfilter已经设计的很成功，不需要我们再去做太多工作）。3．自我保护能力（安全性）

由于防火墙的特殊功能和特殊位置，它自然是众多攻击者的目标，因此它的自我包括能力在设计过程中应该放在首要的位置。A．管理上的安全性

防火墙需要一个管理界面，而管理过程如何设计的更安全，是一个很重要的问题。目前有两种方案。

a．设置专门的服务端口

为了减少管理上的风险和降低设计上的难度，有一些防火墙（如东方龙马）在防火墙上专 门添加了一个服务端口，这个端口只是用来和管理主机连接。除了专用的服务口外，防火墙不接受来自任何其它端口的直接访问。这样做的显著特点就是降低了设计 上的难度，由于管理通信是单独的通道，无论是内网主机、外网主机还是DMZ内主机都无法窃听到该通信，安全性显然很高，而且设计时也无需考虑通信过程加密 的问题。

然而这样做，我们需要单独设置一台管理主机，显然太过浪费，而且这样管理起来的灵活性也不好。b．通信过程加密

这样无需一个专门的端口，内网任意一台主机都可以在适当的情况下成为管理主机，管理主

机和防火墙之间采用加密的方式通信。

目前国内有采用的是使用自定义协议、一次性口令认证。对加密这个领域了解不多，不做详 细讨论。

B．对来自外部（和内部）攻击的反应能力 目前常见的来自外部的攻击方式主要有： a．DOS（DDOS）攻击

（分布式）拒绝服务攻击是目前一种很普遍的攻击方式，在预防上也是非常困难的。目前 防火墙对于这种攻击似乎没有太多的解决办法，主要是提高防火墙本身的健壮性（如增加缓冲区大小）。在Linux内核中有一个防止Syn flooding攻击的选项：CONFIG_SYN_COOKIES，它是通过为每一个Syn建立一个缓冲（cookie）来分辨可信请求和不可信请求。另外对于ICMP攻击，可以通过关闭ICMP 回应来实现。

b．IP假冒（IP spoofing）

IP假冒是指一个非法的主机假冒内部的主机地址，骗取服务器的“信任”，从而达到对网络的攻击目的。

第一，防火墙设计上应该知道网络内外的IP地址分配，从而丢弃所有来自网络外部但却有内部地址的数据包。实际实现起来非常简单，只要在内核中打开rp_filter功能即可。

第二，防火墙将内网的实际地址隐蔽起来，外网很难知道内部的IP地址，攻击难度加大。IP假冒主要来自外部，对内网无需考虑此问题（其实同时内网的IP假冒情况也可以得到遏制）。c．特洛伊木马

防火墙本身预防木马比较简单，只要不让系统不能执行下载的程序即可。

一个需要说明的地方是必须指出的是，防火墙能抗特洛伊木马的攻击并不意味着内网主机 也能防止木马攻击。事实上，内网主机可能会透过防火墙下载执行携带木马的程序而感染。内网主机的在预防木马方面的安全性仍然需要主机自己解决（防火墙只能 在内网主机感染木马以后起一定的防范作用）。d．口令字攻击

口令字攻击既可能来自外部，也可能来自内部，主要是来自内部。（在管理主机与防火墙通过单独接口通信的情况下，口令字攻击是不存在的）

来自外部的攻击即用穷举的办法猜测防火墙管理的口令字，这个很容易解决，只要不把管理部分提供给外部接口即可。

内部的口令字攻击主要是穷举和嗅探，其中以嗅探危害最大。嗅探指监测网络截获管理主机给防火墙的口令字，如果口令字已加密，则解密得到口令字。目前一般采用一次性口令和禁止直接登录防火墙的措施来防止对口令字的攻击。e．邮件诈骗

邮件诈骗是目前越来越突出的攻击方式。防火墙本身防止邮件诈骗非常简单，不接收任何邮件就可以了。然而象木马攻击一样，内网主机仍可收发邮件，邮件诈骗的危险仍然存在，其解决办法一个是内网主机本身采取措施防止邮件诈骗，另一个是在防火墙上做过滤。

f．对抗防火墙（anti-firewall）

目前一个网络安全中一个研究的热点就是对抗网络安全产品如防火墙。一种是分析防火墙 功能和探测防火墙内部网络结构，典型的如Firewalk。另外有一些其他的网络安全性分析工具本身具有双刃性，这类工具用于攻击网络，也可能会很有效的 探测到防火墙和内部网络的安全缺陷，典型的如SATAN和ISS公司的 Internet Security Scanner。目前对于这种探测（攻击）手段，尚无有效的预防措施，因为防火墙本身是一个被动的东西，它只能靠隐藏内部网络结构和提高自身的安全性来对 抗这些攻击。

C．透明代理的采用 应用代理防火墙一般是通过设置不同用户的访问权限来实现，这样就需要有用户认证体 系。以前的防火墙在访问方式上主要是要求用户登录进系统（如果采用 sock代理的方式则需要修改客户应用）。透明代理的采用，可以降低系统登录固有的安全风险和出错概率，从而提高了防火墙的安全性。4．透明性

防火墙的透明性指防火墙对于用户是透明的，在防火墙接入网络时，网络和用户无需做任何设置和改动，也根本意识不到防火墙的存在。

防火墙作为一个实际存在的物理设备，要想放入已存在地网络中又不对网络有任何影响，就必须以网桥的方式置入网络。传统方式下，防火墙安装时，更象是一台路由器或者网关，原有网络拓扑结构往往需要改变，网络设备（包括主机和路由器）的设置（IP和网关、DNS、路由表等等）也需要改变。但如果防火墙采用了透明模式，即采用类似网桥的方式运行，用户将不必重新设定和修改路由，也不需要知道防 火墙的位置，防火墙就可以直接安装和放置到网络中使用。

透明模式最大的好处在于现有网络无需做任何改动，这就方便了很多客户，再者，从透明 模式转换到非透明模式又很容易，适用性显然较广。当然，此时的防火墙仅仅起到一个防火墙的作用，其他网关位置的功能如NAT、VPN功能不再适用，当然，其他功能如透明代理还可以 继续使用。

目前透明模式的实现上可采用ARP代理和路由技术实现。此时防火墙相当于一个ARP代理的功能。内网（可以仍含有路由器或子网，依次类推）、防火墙、路由器的位置大致如下：

内网―――――防火墙―――――路由器

（需要说明的是，这种方式是绝大多数校园网级网络的实现方式）

内网主机要想实现透明访问，必须能够透明的传送内网和路由器之间的ARP包，而此时 由于事实上内网和路由器之间无法连通，防火墙就必须配置成一个ARP代理（ARP Proxy）在内网主机和路由器之间传递ARP包。防火墙所要做的就是当路由器发送ARP广播包询问内网内的某一主机的硬件地址时，防火墙用和路由器相连 接口的MAC地址回送ARP包；内网内某一主机发送ARP广播包询问路由器的硬件地址时，防火墙用和内网相连接口的MAC地址回送ARP包，因此路由器和 内网主机都认为将数据包发给了对方，而实际上是发给了防火墙转发。

显然，此时防火墙还必须实现路由转发，使内外网之间的数据包能够透明的转发。另外，防火墙要起到防火墙的作用，显然还需要把数据包上传给本身应用层处理（此时实现应用层代理、过滤等功能），此时需要端口转发来实现（？这个地方不是十分清 楚，也没找到相关资料）。透明模式和非透明模式在网络拓扑结构上的最大区别就是：透明模式的两块网卡（与路由器相连的和与内网相连的）在一个网段（也和子 网在同一个网段）；而非透明模式的两块网卡分别属于两个网段（内网可能是内部不可路由地址，外网则是合法地址）。这个过程如下：

1.用ARP代理实现路由器和子网的透明连接（网络层）2.用路由转发在IP层实现数据包传递（IP层）3.用端口重定向实现IP包上传到应用层（IP层）

前边我们讨论过透明代理，和这里所说的防火墙的透明模式是两个概念。透明代理主要是 为实现内网主机可以透明的访问外网，而无需考虑自己是不可路由地址还是可路由地址。内网主机在使用内部网络地址的情况下仍然可以使用透明代理，此时防火墙 既起到网关的作用又起到代理服务器的作用（显然此时不是透明模式）。

需要澄清的一点是，内外网地址的转换（即NAT，透明代理也是一种特殊的地址转换）和透明模式之间并没有必然的联系。透明模式下的防火墙能实现透明代理，非透明模式下的防火墙（此时它必然又是一个网关）也能实现透明代理。它们的共同点在于可以简化内网客户的设置而已。

目前国内大多防火墙都实现了透明代理，但实现了透明模式的并不多。这些防火墙可以很明显的从其广告中看出来：如果哪个防火墙实现了透明模式，它的广告中肯定会和透明代理区分开而大书特书的。5．可靠性

防火墙系统处于网络的关键部位，其可靠性显然非常重要。一个故障频频、可靠性很差的 产品显然不可能让人放心，而且防火墙居于内外网交界的关键位置，一旦防火墙出现问题，整个内网的主机都将根本无法访问外网，这甚至比路由器故障（路由器的 拓扑结构一般都是冗余设计）更让人无法承受。防火墙的可靠性也表现在两个方面：硬件和软件。

国外成熟厂商的防火墙产品硬件方面的可靠性一般较高，采用专门硬件架构且不必多说，采用PC架构的其硬件也多是专门设计，系统各个部分从网络接口到存储设备（一般为电子硬盘）集成在一起（一块板子），这样自然提高了产品的可靠性。国内则明显参差不齐，大相径庭，大多直接使用PC架构，且多为工业PC，采用现成的网卡，DOC/DOM作为存储设备。工业PC虽然可靠性比普通PC要高不少，但是毕竟其仍然是拼凑式的，设备各部分分立，从可靠性的角度看显然不如集成的（著名的水桶原理）。

国内已经有部分厂家意识到了这个问题，开始自行设计硬件。但大多数厂家还是从成本的角度考虑使用通用PC架构。

另外一方面，软件可靠性的提高也是防火墙优劣的主要差别所在。而国内整个软件行业的 可靠性体系还没有成熟，软件可靠性测试大多处于极其初级的水平（可靠性测试和bug测试完全是两个概念）。一方面是可靠性体系建立不起来，一方面是为了迎 合用户的需求和跟随网络应用的不断发展，多数防火墙厂商一直处于不断的扩充和修改中，其可靠性更不能让人恭维。

总的来说，如同国内大多数行业（除了少数如航天、航空）一样，网络安全产品特别是防火墙的可靠性似乎还没有引起人们的重视。6．市场定位

市场上防火墙的售价极为悬殊，从数万元到数十万元，甚至到百万元不等。由于用户数量不同，用户安全要求不同，功能要求不同，因此防火墙的价格也不尽相同。厂商因而也有所区分，多数厂家还推出模块化产品，以符合各种不同用户的要求。总的说来，防火墙是以用户数量作为大的分界线。如checkpoint的一个报价： CheckPoint Firewall-1 4.1 25user 19000.00 CheckPoint Firewall-1 4.1 50user 31000.00 CheckPoint Firewall-1 4.1 100user 51000.00 CheckPoint Firewall-1 4.1 250user 64000.00 CheckPoint Firewall-1 4.1 无限用户 131000.00 从用户量上防火墙可以分为： a． 10－25用户：

这个区间主要用户为单一用户、家庭、小型办公室等小型网络环境。防火墙一般为10M（针对

硬件防火墙而言），两网络接口，涵盖防火墙基本功能：包过滤、透明模式、网络地址转换、状态检测、管理、实时报警、日志。一般另有可选功能：VPN、带宽管理等等。

这个区间的防火墙报价一般在万元以上2万元以下（没有VPN和带宽管理的价格更低）。

据调查，这个区间的防火墙反而种类不多，也许是国内厂商不屑于这个市场的缘故？

b． 25－100用户

这个区间用户主要为小型企业网。防火墙开始升级到100M，三或更多网络接口。VPN、带宽管

理往往成为标准模块。

这个区间的防火墙报价从3万到15万不等，根据功能价格有较大区别。相对来说，这个区间上

硬件防火墙价格明显高于软件防火墙。

目前国内防火墙绝大部分集中在这个区间中。c． 100－数百用户

这个区间主要为中型企业网，重要网站、ISP、ASP、数据中心等使用。这个区间的 防火墙较多考虑高容量、高速度、低延迟、高可靠性以及防火墙本身的健壮性。并且开始支持双机热备份。这个区间的防火墙报价一般在20万以上。这样的中高端 防火墙国内较少，有也是25－100用户的升级版，其可用性令人怀疑。d． 数百用户以上

这个区间是高端防火墙，主要用于校园网、大型IDC等等。我们接触较少，不多做讨论。当然其价格也很高端，从数十万到数百万不等。

总的来说，防火墙的价格和用户数量、功能模块密切相关，在用户数量相同的情况下，功 能越多，价格就越贵。如Netscreen的百兆防火墙： NetScreen-100f(AC Power)-带防火墙+流量控制等功能,交流电源,没有VPN功能报价在￥260,000而在此基础上增加了128位VPN功能的报价则高出5万元： ￥317,500 7． 研发费用

如同其他网络安全产品一样，防火墙的研发费用也是很高的。防火墙由于技术含量较高，人员技术储备要求较高，防火墙核心部分的研发必须要对操作系统有相当的熟悉，所需为UNIX系统下开发人员，而目前国内真正能拿的出手的UNIX程序员数 量还是太少（远远少于Windows平台下开发人员），人员成本很高。

总的来说，防火墙的研发是一个大项目，而且其前期定位一定要准确，该做什么、不该做什么，哪些功能得实现，哪些功能不必实现、哪些功能可以在后期实现，一定要清楚，否则费用会远远超出预计。

下边对一个中小型企业级防火墙的研发费用作个简单的估计。研发时，防火墙可以细分为（当然在具体操作时往往需要再具体划分）： 内核模块

防火墙模块（含状态检测模块）NAT模块 带宽管理模块 通信协议模块 管理模块

图形用户界面模块（或者Web界面模块）透明代理模块（实质属于NAT模块）

透明模式模块（包括ARP代理子模块、路由转发子模块等）各应用代理模块（包括URL过滤模块）VPN模块

流量统计与计费模块 审计模块

其他模块（如MAC、IP地址绑定模块、简单的IDS、自我保护等等）

上边把防火墙划分为12个模块，其中每一个模块都有相当的工作量要做，除了弹性较大 的内核模块和防火墙模块（它们的工作量可能异常的大，视设计目标不同），其他模块暂定10人周的话就需要120周（VPN的工作量也相当大），两个主模块 各按20人周计算，防火墙实现总共需要150人周。加上前期10－ 15人周论证、定方案，后期20人周（保守数字）集成、测试，前后总共需要约210人周。按每人周1200元开发费用（折合工资5000月，但由于有运行 费用、保险等费用摊分，个人工资应远低于这个数字），开发费用约需25万。

显然，这个数字只是一个局外人估计的下限，实际的研发应该超出这个数字很多。8． 可升级能力（适用性）和灵活性

对用户来说，防火墙作为大成本投入的商品，势必要考虑到可升级性的问题，如果防火墙 不能升级，那它的可用性和可选择余地势必要大打折扣。目前国内防火墙一般都是软件可升级的，这是因为大多数防火墙采用电子硬盘（少数采用磁盘），实现升级 功能只要很小的工作量要做。但究竟升级些什么内容？升级周期多长一次？这就涉及到一个灵活性的问题。防火墙的灵活性主要体现在以下几点： a． 易于升级

b． 支持大量协议

c． 易于管理（如纳入通用设备管理体系（支持SNMP）而不是单列出来）d． 功能可扩展

这里对功能可扩展做一简单讨论。一般情况下，防火墙在设计完成以后，其过滤规则都是 定死的，用户可定制的余地很小。特别如URL过滤规则（对支持URL过滤的防火墙而言），当前网络中的漏洞是不断发现的，如最近很猖獗的codered攻 击的就是Windows机器IIS服务器的ida漏洞，而我们如果能够及时定义过滤规则，对于“GET /default.ida”的请求及时过滤，那么内网主机（此时一般为DMZ内主机）的安全性就会高很多，内网管理人员也不必时时密切关注网络漏洞（这是 个工作量很大，既耗费体力又容易出现遗漏的工作）。这样大部分工作留给防火墙厂家来做（相应需要有一个漏洞监测体系），用户肯定会满意很多。另外，灵活性 一开始也往往不是前期设计所能设计的很完美的，它需要和用户具体实践相配合。另外灵活性也是和具体环境密切结合的，往往需要在不同的用户环境里考虑。

如何构建网络整体安全方案

整体的安全方案分成技术方案、服务方案以及支持方案三部分。

一、技术解决方案

安全产品是网络安全的基石，通过在网络中安装一定的安全设备，能够使得网络的结构更加清晰，安全性得到显著增强;同时能够有效降低安全管理的难度，提高安全管理的有效性。

下面介绍在局域网中增加的安全设备的安装位置以及他们的作用。

1、防火墙

安装位置：局域网与路由器之间;%3Fid%3D1974 上下载Stick，其编译起来并不麻烦，只需查看帮助即可。需要指出的是，绝大多数的IDS都是从Snort得到众多借鉴的，建议用户试用一下 Stick。

2．IDS漏报

和IDS误报相比，漏报其实更危险。采用IDS技术就是为了在发现入侵时给出告警信息。如果入侵者入侵成功而IDS尚未告警，IDS便失去存在的意义。笔者从国外网站上看到一篇文章，它对利用TCP连接特点让 IDS做漏报进行了详细的描述，同时还给出一些实现漏报的办法，给笔者提供了一种新思路: IDS想要防止欺骗，就要尽可能地模仿TCP/IP栈的实现。但是从效率和实现的复杂性考虑，IDS并不能很容易地做到这一点。

这种方法比较适合智能化的IDS，好的IDS一般为了减少误报，会像现在一些高端的防火墙一样基于状态进行判断，而不是根据单个的报文进行判断。这样上面谈到的Stick对这种IDS一般不起作用。但是用户应该注意到，这种简单的IDS只是字符串匹配，一旦匹配成功，即可报警。

2001年4月，又出了一个让IDS漏报的程序ADMmutate，据说它可以动态改变Shellcode。本来IDS依靠提取公开的溢出程序的特征码来报警，特征码变了以后，IDS就报不出来了。但是程序还一样起作用，服务器一样被黑。这个程序的作者是ktwo(http: //www.ktwo.ca)，我们可以从http://www.ktwo.ca/c/ADMmutate-0.7.3.tar.gz上下载该程序。用户不妨也试试它，以检测自己的IDS产品性能。不过，ADMmutate只能对依靠检查字符串匹配告警的IDS起作用，如果IDS还依靠长度和可打印字符等综合指标，则ADMmutate将很容易被IDS监控到。

第三篇：校园网网络安全设计方案

[摘要] 计算机网络安全建设是涉及我国经济发展、社会发展和国家安全的重大问题。本文结合网络安全建设的全面信息，在对网络系统详细的需求分析基础上，依照计算机网络安全设计目标和计算机网络安全系统的总体规划，设计了一个完整的、立体的、多层次的网络安全防御体系。

[关键词] 网络安全方案设计实现

一、计算机网络安全方案设计与实现概述

影响网络安全的因素很多，全的主要技术有防火墙技术、入侵检测技术、安全评估技术、防病毒技术、加密技术、身份认证技术，等等。为了保护网络系统的安全，行整合，建立一个完整的、立体的、解决方案，可以防止安全风险的各个方面的问题。

二、计算机网络安全方案设计并实现

1.桌面安全系统

用户的重要信息都是以文件的形式存储在磁盘上，这样可以提高办公的效率，动办公的情况更是如此。件泄密等安全隐患。

本设计方案采用清华紫光公司出品的紫光信息安全保护系统”的商品名称。紫光算协处理器（CAU）、只读存储器（储器（E2PROM）等，以及固化在tem）、硬件ID号、各种密钥和加密算法等。紫光artCOS，其安全模块可防止非法数据的侵入和数据的篡改，2.病毒防护系统

基于单位目前网络的现状，在网络中添加一台服务器，用于安装必须结合网络的具体需求，将多种安全措施进多层次的网络安全防御体系，SS锁的内部集成了包括中央处理器（ROM），随机存储器（ROM内部的芯片操作系统这样一个全面的网络安全使用户可以方便地存取、修改、分发。造成泄密。特别是对于移防止文“紫光S锁”是清华紫光“桌面计算机CPU）、加密运RAM）、电可擦除可编程只读存COS（Chip Operating SysS锁采用了通过中国人民银行认证的Sm防止非法软件对S锁进行操作。IMSS。

保护网络安全的技术、手段也很多。一般来说，保护网络安但同时也造成用户的信息易受到攻击，因此，需要对移动用户的文件及文件夹进行本地安全管理，锁产品，（1)邮件防毒。采用趋势科技的ScanMail for Notes。该产品可以和Domino的群件服务器无缝相结合并内嵌到Notes的数据库中，可防止病毒入侵到LotueNotes的数据库及电子邮件，实时扫描并清除隐藏于数据库及信件附件中的病毒。可通过任何Notes工作站或Web界面远程控管防毒管理工作，并提供实时监控病毒流量的活动记录报告。ScanMail是Notes Domino Server使用率最高的防病毒软件。

（2)服务器防毒。采用趋势科技的ServerProtect。该产品的最大特点是内含集中管理的概念，防毒模块和管理模块可分开安装。一方面使所有服务器的防毒系统可以从单点进行部署，管理和更新。（3)客户端防毒。采用趋势科技的使管理者通过单点控制所有客户机上的防毒模块，更新。其最大特点是拥有灵活的产品集中部署方式，不受支持SMS，登录域脚本，共享安装以外，还支持纯（4)集中控管TVCS。管理员可以通过此工具在整个趋势科技的防病毒软件，支持跨域和跨网段的管理，无论运行于何种平台和位置，装和分发代理部署，网络的分析和病毒统计功能以及自动下载病毒代码文件和病毒爆发警报，给管理带来极大的便利。3.动态口令身份认证系统动态口令系统在国际公开的密码算法基础上，通过十次以上的非线性迭代运算，先进的身份认证及加解密流程、先进的密钥管理方式，从整体上保证了系统的安全性。4.访问控制“防火墙”

单位安全网由多个具有不同安全信任度的网络部分构成，访问、辨别身份伪装等方面存在着很大的缺陷，方案选用四台网御防火墙，这些重要部门的访问控制。通过在核心交换机和高性能服务器群之间及核心交换机和重要部门之间部署防火墙，过防火墙将网络内部不同部门的网络或关键服务器划分为不同的网段，保护了单位网络服务器，使其不受来自内部的攻击，来自单位网内部其他部门的网络的攻击。一方面减少了整个防毒系统对原系统的影响，另

OfficeScan。该产品作为网络版的客户端防毒系统，并可以自动对所有客户端的防毒模块进行Windows域管理模式的约束，除Web的部署方式。

企业范围内进行配置、监视和维护并能显示基于服务器的防病毒产品状态。TVCS在整个网络中总起一个单一管理控制台作用。简便的安

结合生成动态口令的特点，加以精心修改，完成时间参数与密钥充分的混合扩散。在此基础上，采用在控制不可信连接、分辨非法从而构成了对网络安全的重要隐患。本设计实现通彼此隔离。这样不仅也保护了各部门网络和数据服务器不受如果有人闯进您的一个部门，或者如果病毒开始蔓

分别配置在高性能服务器和三个重要部门的局域网出入口，延，网段能够限制造成的损坏进一步扩大。5.信息加密、信息完整性校验

为有效解决办公区之间信息的传输安全，可以在多个子网之间建立起独立的安全通道，通过严格的加密和认证措施来保证通道中传送的数据的完整性、真实性和私有性。SJW-22网络密码机系统组成网络密码机（硬件）:是一个基于专用内核，具有自主版权的高级通信保护控制系统。本地管理器（软件）络密码机本地管理系统软件。中心管理器（软件）机设备进行统一管理的系统软件。6.安全审计系统根据以上多层次安全防范的策略，安全网的安全建设可采取的方法，“内审息是否泄密，以解决内层安全。安全审计系统能帮助用户对安全网的安全进行实时监控，及时发现整个网络上的动态，发现网络入侵和违规行为，重要的一种手段，安全审计系统包括识别、记录、存储、分析与安全相关行为有关的信息。

在安全网中使用的安全审计系统应实现如下功能：成、安全审计分析、安全审计浏览、安全审计事件存储、安全审计事件选择等。本设计方案选用汉邦安全审计系统是针对目前网络发展现状及存在的安全问题，人员而设计的一套网络安全产品，制系统。

（1）安全审计系统由安全监控中心和主机传感器两个部分构成。主机传感器安装在要监视的目标主机上，其监视目标主机的人机界面操作、监控及共享资源的使用情况。心为主机传感器设定监控规则，文件保护审计和主机信息审计。①文件保护审计：:是一个安装于密码机本地管理平台上的基于网络或串口方式的网

:是一个安装于中心管理平台（忠实记录网络上发生的一切，”的安全审计系统作为安全审计工具。是一个分布在整个安全网范围内的网络安全监视监测、同时获得监控结果、Windows系统）上的对全网的密码“加密”、“外防”、“内审”相结合提供取证手段。作为网络安全十分安全审计数据生

面向企事业的网络管理控RAS连接、监控网络连接情况网络管理员通过安全监控中主要功能有

”是对系统内部进行监视、审查，识别系统是否正在受到攻击以及内部机密信安全审计自动响应、“汉邦软科安全监控中心是管理平台和监控平台，报警信息以及日志的审计。文件保护安装在审计中心，可有效的对被审计主机端的文件进行管理

规则设置，包括禁止读、禁止写、禁止删除、禁止修改属性、禁止重命名、记录日志、提供报警等功能。以及对文件保护进行用户管理。

②主机信息审计:对网络内公共资源中，所有主机进行审计，可以审计到主机的机器名、当前用户、操作系统类型、IP地址信息。

（2)资源监控系统主要有四类功能。①监视屏幕:在用户指定的时间段内，系统自动每隔数秒或数分截获一次屏幕;用户实时控制屏幕截获的开始和结束。

②监视键盘:在用户指定的时间段内，截获户实时控制键盘截获的开始和结束。③监测监控RAS连接：在用户指定的时间段内，记录所有的时控制ass连接信息截获的开始和结束。当连接的操作。

④监测监控网络连接：在用户指定的时间段内，记录所有的网络连接信息UDP，NetBios）。用户实时控制网络连接信息截获的开始和结束。由用户指定非法的网络连接列表，当出现非法连接时，系统将自动进行报警或挂断连接的操作。单位内网中安全审计系统采集的数据来源于安全传感器，保证探头能够采集进出网络的所有数据。上，负责为主机传感器设定监控规则，同时获得监控结果、报警信息以及日志的审计。内网中的安全计算机为600台，需要安装7.入侵检测系统IDS

入侵检测作为一种积极主动的安全防护技术，实时保护，在网络系统受到危害之前拦截和响应入侵。的角度出发，入侵检测理应受到人们的高度重视，可以看出。

根据网络流量和保护数据的重要程度，选择的交换机处放置，核心交换机放置控制台，和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。在单位安全内网中，入侵检测系统运行于有敏感数据的几个要害部门子网和其他部门子网之间，通过实时截取网络上的是数据流，他网络违规活动。8.漏洞扫描系统

本内网网络的安全性决定了整个系统的安全性。患扫描I型联动型产品。I型联动型产品适用于该内网这样的高端用户，持式扫描仪和机架型扫描服务器结合一体，网管人员就可以很方便的实现了集中管理的功能。网络人员使用I型联动型产品，程较高的扫描速度的扫描，可以实现和策略。同时移动式扫描仪可以跨越网段、支持定时和多IP地址的自动扫描，网管人员可以很轻松的就可以进行整个网络的扫描，根据系统提供的扫描报告，配合我们提供的三级服务体系，高了工作效率。

联动扫描系统支持多线程扫描，网管人员可以很轻松的对自己的网络进行扫描和漏洞的弥补。同时提供了Host Sensor Programgas连接非法时，系统将自动进行报警或挂断计算机，所以应在安全计算机安装主机安全监控中心安装在信息中心的一台主机600个传感器。提供了对内部攻击、从网络安全的立体纵深、这从国际入侵检测产品市场的蓬勃IDS探测器（百兆）配置在内部关键子网监控和管理所有的探测器因此提供了对内部攻击分析网络通讯会话轨迹，在内网高性能服务器处配置一台网络隐200信息点以上的多个网络进行多线IDS、防火墙联动，尤其适合于制定全网统一的安全穿透防火墙，实现分布式扫描，服务器和扫描仪都大大的减轻了工作负担，支持定时和多RAS连接信息。用户实(外部攻击和误操作的 寻找网络攻击模式和其I型联动型产品由手IP地址的自动扫描，Web，单位发展就用户的所有键盘输入，用

包括:TCP多层次防御 就可以很方便的对极大的提有较高的扫描速度，方式的远程

管理，网管不需要改变如何的网络拓扑结构和添加其他的应用程序就可以轻轻松松的保证了网络的安全性。另外对于信息点少、网络环境变化大的内网配置网络隐患扫描II型移动式扫描仪。移动式扫描仪使用灵活，可以跨越网段、穿透防火墙，对重点的服务器和网络设备直接扫描防护，这样保证了网络安全隐患扫描仪和其他网络安全产品的合作和协调性，最大可能地消除安全隐患。

在防火墙处部署联动扫描系统，在部门交换机处部署移动式扫描仪，实现放火墙、联动扫描系统和移动式扫描仪之间的联动，保证了网络安全隐患扫描仪和其他网络安全产品的合作和协调性，最大可能的消除安全隐患，尽可能早地发现安全漏洞并进行修补，优化资源，提高网络的运行效率和安全性。

三、结束语

随着网络应用的深入普及，网络安全越来越重要，有了更高的要求。一个特定系统的网络安全方案，系统的实际应用而做。由于各个系统的应用不同，化为一个模式，用这个模子去套所有的信息系统。本文根据网络安全系统设计的总体规划控制、信息加密、信息完整性校验、抗抵赖、安全审计、入侵检测、漏洞扫描等方面安全技术和管理措施设计出一整套解决方案，目的是建立一个完整的、防御体系。

论文参考

国家和企业都对建立一个安全的网络应建立在对网络风险分析的基础上，结合不能简单地把信息系统的网络安全方案固,从桌面系统安全、病毒防护、身份鉴别、访问立体的、多层次的网络安全

第四篇：XX公司网络安全设计方案

XX公司网络信息系统的安全方案设计书

XX公司网络安全隐患与需求分析

1.1网络现状

公司现有计算机500余台，通过内部网相互连接与外网互联。在内部网络中，各服务部门计算机在同一网段，通过交换机连接。如下图所示：

1.2安全隐患分析

1.2.1应用系统的安全隐患

应用系统的安全跟具体的应用有关，它涉及面广。应用系统的安全是动态的、不断变化的。应用的安全性也涉及到信息的安全性，它包括很多方面。应用的安全性也是动态的。需要对不同的应用，检测安全漏洞，采取相应的安全措施，降低应用的安全风险。主要有文件服务器的安全风险、数据库服务器的安全风险、病毒侵害的安全风险、数据信息的安全风险等

1.2.2管理的安全隐患

管理方面的安全隐患包括：内部管理人员或员工图方便省事，不设置用户口令，或者设置的口令过短和过于简单，导致很容易破解。责任不清，使用相同的用户名、口令，导致权限管理混乱，信息泄密。用户权限设置过大﹑开放不必要的服务端口，或者一般用户因为疏忽，丢失帐号和口令，从而造成非授权访问，以及把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。内部不满的员工有的可能造成极大的安全风险。

1.2.3操作系统的安全漏洞

计算机操作系统尤其服务器系统是被攻击的重点，如果操作系统因本身遭到攻击，则不仅影响机器本身而且会消耗大量的网络资源，致使整个网络陷入瘫痪。1.2.4病毒侵害

网络是病毒传播最好、最快的途径之一。一旦有主机受病毒感染，病毒程序就完全可能在极短的时间内迅速扩散，传播到网络上的所有主机，可能造成信息泄漏、文件丢失、机器不能正常运行等。

2.1需求分析

XX公司根据业务发展需求，建设一个小型的企业网，有Web、Mail等服务器和办公区客户机。企业分为财务部门和业务部门，需要他们之间相互隔离。同时由于考虑到Internet的安全性，以及网络安全等一些因素。因此本企业的网络安全构架要求如下：

1.根据公司现有的网络设备组网规划；2.保护网络系统的可用性；3.保护网络系统服务的连续性；4.防范网络资源的非法访问及非授权访问；5.防范入侵者的恶意攻击与破坏；6.保护企业信息通过网上传输过程中的机密性、完整性；7.防范病毒的侵害；8.实现网络的安全管理。

通过了解XX公司的虚求与现状，为实现XX网络公司的网络安全建设实施网络系统改造，提高企业网络系统运行的稳定性，保证企业各种设计信息的安全性，避免图纸、文档的丢失和外泄。通过软件或安全手段对客户端的计算机加以保护，记录用户对客户端计算机中关键目录和文件的操作，使企业有手段对用户在客户端计算机的使用情况进行追踪，防范外来计算机的侵入而造成破坏。通过网络的改造，使管理者更加便于对网络中的服务器、客户端、登陆用户的权限以及应用软件的安装进行全面的监控和管理。因此需要

（1）构建良好的环境确保企业物理设备的安全（2）划分VLAN控制内网安全（3）安装防火墙体系（4）安装防病毒服务器（5）加强企业对网络资源的管理

如前所述，XX公司信息系统存在较大的风险，网络信息安全的需求主要体现在如下几点：

(1)XX公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。

(2)网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使XX公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。

(3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要制定健全的管理制度和严格管理相结合。保障网络的安全运行，使其成为一个具有良好的安全性、可扩充性和易管理性的信息网络便成为了首要任务。

(4)信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是XX公司面临的重要课题。

网络信息安全策略及整体方案

信息安全的目标是通过系统及网络安全配置，应用防火墙及入侵检测、安全扫描、网络防病毒等技术，对出入口的信息进行严格的控制；对网络中所有的装置（如Web服务器、路由器和内部网络等）进行检测、分析和评估，发现并报告系统内存在的弱点和漏洞，评估安全风险，建议补救措施，并有效地防止黑客入侵和病毒扩散，监控整个网络的运行状况。

3.1 方案综述

XX公司整个网络安全系统从物理上划分4个部分，即计算机网络中心、财务部、业务部及网络开发中心。从而在结构上形成以计算机网络中心为中心，对其他部分进行统一的网络规划和管理。每个安全区域有一套相对独立的网络安全系统，这些相对独立的网络安全系统能被计算机网络中心所管理。同时每个安全区域都要进行有效的安全控制，防止安全事件扩散，将事件控制在最小范围。通过对XX公司现状的分析与研究以及对当前安全技术的研究分析，我们制定如下企业信息安全策略。

3．1．1防火墙实施方案

根据网络整体安全及保证财务部的安全考虑，采用两台cisco pix535防火墙，一防火墙对财务部与企业内网进行隔离，另一防火墙对Internet与企业内网之间进行隔离，其中DNS、邮件等对外服务器连接在防火墙的DMZ区与内、外网间进行隔离。

防火墙设置原则如下所示：建立合理有效的安全过滤原则对网络数据包的协议、端口、源/目的地址、流向进行审核，严格控制外网用户非法访问；防火墙DMZ区访问控制，只打开服务必须的HTTP、FTP、SMTP、POP3以及所需的其他服务，防范外部来的拒绝服务攻击；定期查看防火墙访问日志；对防火墙的管理员权限严格控制。

3．1．2 Internet连接与备份方案

防火墙经外网交换机接入Internet。此区域当前存在一定的安全隐患：首先，防火墙作为企业接入Internet的出口，占有及其重要的作用，一旦此防火墙出现故障或防火墙与主交换机连接链路出现问题，都会造成全台与Internet失去连接；其次，当前的防火墙无法对进入网络的病毒进行有效的拦截。

为此，新增加一台防火墙和一台防病毒过滤网关与核心交换机。防病毒网关可对进入网络的流量进行有效过滤，使病毒数据包无法进入网络，提高内网的安全性。防火墙连接只在主核心交换机上，并且采用两台防火墙进行热备配置，分别连接两台核心交换机。设备及链路都进行了冗余配置，提高了网络的健壮性。

根据改企业未来的应用需求，可考虑网络改造后，将Internet连接带宽升级为100M。

3．1．3入侵检测方案

在核心交换机监控端口部署CA入侵检测系统(eTrust Intrusion Detection)，并在不同网段(本地或远程)上安装由中央工作站控制的网络入侵检测代理，对网络入侵进行检测和响应。

3．1．4 VPN系统

考虑到改公司和其子公司与其它兄弟公司的通信，通过安装部署VPN系统，可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接。

集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。

3．1．5网络安全漏洞

企业网络拥有WWW、邮件、域、视频等服务器，还有重要的数据库服务器，对于管理人员来说，无法确切了解和解决每个服务器系统和整个网络的安全缺陷及安全漏洞.因此需要借助漏洞扫描工具定期扫描、分析和评估，发现并报告系统内存在的弱点和漏洞，评估安全风险，建议补救措施，达到增强网络安全性的目的。

3．1．6防病毒方案

采用Symantec网络防病毒软件，建立企业整体防病毒体系，对网络内的服务器和所有计算机设备采取全面病毒防护。并且需要在网络中心设置病毒防护管理中心，通过防病毒管理中心将局域网内所有计算机创建在同一防病毒管理域内。通过防病毒管理域的主服务器，对整个域进行防病毒管理，制定统一的防毒策略，设定域扫描作业，安排系统自动查、杀病毒。

可实现对病毒侵入情况、各系统防毒情况、防毒软件的工作情况等的集中监控；可实现对所有防毒软件的集中管理、集中设置、集中维护；可集中反映整个系统内的病毒入侵情况,设置各种消息通报方式，对病毒的爆发进行报警；可集中获得防毒系统的日志信息；管理人员可方便地对系统情况进行汇总和分析。

根据企业内部通知或官方网站公布的流行性或重大恶性病毒及时下载系统补丁和杀毒工具，采取相关措施，防范于未然。3．1．7访问控制管理

实施有效的用户口令和访问控制，确保只有合法用户才能访问合法资源。在内网中系统管理员必须管理好所有的设备口令，不要在不同系统上使用同一口令；口令中最好要有大小写字母、字符、数字；定期改变自己的口令。3．1．8重要文件及内部资料管理

定期对重要资料进行备份，以防止因为各种软硬件故障、病毒的侵袭和黑客的破坏等原因导致系统崩溃，进而蒙受重大损失。可选择功能完善、使用灵活的备份软件配合各种灾难恢复软件，全面地保护数据的安全。

系统软件、应用软件及信息数据要实施保密，并自觉对文件进行分级管理，注意对系统文件、重要的可执行文件进行写保护。对于重要的服务器，利用RAID5等数据存储技术加强数据备份和恢复措施；对敏感的设备和数据要建立必要的物理或逻辑隔离措施。

3．2网络信息管理策略 计算机网络中心设计即公司网络安全管理策略的建设如下：

（1）身份认证中心建设。身份认证是指计算机及网络系统确认操作者身份的过程。基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。USB Key是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USB Key内置的密码算法实现对用户身份的认证。

基于PKI的USB Key的解决方案不仅可以提供身份认证的功能，还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系，从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。

（2）安全登录系统。由于网络开发中心以及财务部门涉及公司的网络部署以及财务状况，需要高度保密，只有公司网络安全主管、财务主管以及公司法人才可以登录相应的网络，而安全登录系统正是提供了对系统和网络登录的身份认证，使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机，只需拔出智能密码钥匙，即可锁定计算机。

（3）文件加密系统。与普通网络应用不同的是，业务系统是企业应用的核心。对于业务系统应该具有最高的网络安全措施，文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法，从而保证了存储数据的安全性。

（4）防毒中心建设。病毒对公司网络的攻击对公司的整体运转造成威胁，因此公司各部门均需要建设完善的防毒中心，使用企业版的防病毒系统的分级管理功能，对网络进行管理单元划分。在网络中心建立以及防病毒服务器，负责所有二级防病毒服务器的统一管理。在不同的子系统建立二级防病毒服务器，负责本部的防病毒客户端管理。

第五篇：网络安全设计方案供借鉴

网络安全设计方案3篇供借鉴

一、培养目标

本专业培养系统掌握信息安全的基础理论与方法，具备系统工程、计算机技术和网络技术等方面的专业知识和综合能力，能够从事计算机、通信、电子信息、电子商务、电子金融、电子政务等领域的信息安全研究、应用、开发、管理等方面工作的应用性高级信息安全专门人才。

二、培养规格

（一）毕业生应掌握以下知识:

1.专业必须的基础理论知识，包括高等数学、大学英语、大学物理、线性代数等；

2.计算机科学与技术专业基础知识，包括计算机科学导论、计算机组成原理、离散数学、数据结构、C语言程序设计、面向对象程序设计、数据库原理、计算机网络、网络程序设计等；

3.本专业方向的理论知识，包括网络安全基础、应用密码学、操作系统安全、数据备份与灾难恢复、计算机病毒原理与防范、安全认证技术、安全扫描技术、计算机取证技术等；

4.具有本专业先进的和面向现代人才市场需求所需要的科学知识。

（二）毕业生应具备以下能力:

1.基本能力

（1）具备运用辩证唯物主义的基本观点和方法去认识，分析和解决问题的能力；

（2）具备较强的语言及文字表达能力；

（3）具备运用外语进行简单会话，能够阅读本专业外语期刊，并具有一定的听、说、读、写、译能力；

（4）具备利用计算机常用应用软件进行文字及其他信息处理的能力；

（5）具备撰写专业科技文档和软件文档写作的基本能力；

（6）具有掌握新知识、新技术的自学和继续学习及自主创业的能力；

（7）具有自尊、自爱、自律、自强的优良品格和人际交往及企业管理能力。

2.专业能力

（1）具备根据实际应用需求进行信息安全系统规划设计与开发，信息安全管理，信息安全技术服务的能力；

（2）具有较强的信息安全系统分析与设计、安全防护、安全策略制订、操作管理、综合集成、工程设计和技术开发能力；

（3）具有信息安全产品性能分析、应用选择、管理维护、故障检测及排除、设计信息安全实验等专业能力；

（4）掌握信息系统安全策略设计及设置、信息系统数据备份及恢复、信息系统数据保护等专业技能能力；

（5）职业技能或岗位资格水平达到国家有关部门规定的相应职业资格认证的要求或通过计算机技术与软件专业技术资格（水平）考试。

3.综合能力

（1）具有从事本专业相关职业活动所需要的方法能力、社会行为能力和创新能力；

（2）具备获取新知识、不断开发自身潜能和适应知识经济、技术进步及岗位要求变更的能力；

（3）具有较强的组织、协调能力；

（4）具备将自身技能与群体技能融合以及积极探索、开拓进取、勇于创新、自主创业的能力；

（5）具有良好的社会公德、职业道德和安心生产第一线，严格认真，求实守纪的敬业精神。

（三）毕业生应具备以下素质:

1.具备良好的思想品德、行为规范以及职业道德；

2.具备大学层次的文化素质和人文素质；

3.具备创新、实践、创业的专业技术开发素质；

4.具备竞争意识、合作精神、坚强毅力；

5.具有健康的体魄、良好的体能和适应本岗位工作的身体素质和心理素质；

6.具有良好的气质和形象，较强的语言与文字表达能力及人际沟通能力。

三、学制与学位

学制：四年

学位：授予工学学士学位

四、主要课程

本专业主要课程包括大学语文、大学英语、汽车驾驶、C语言程序设计、数据通信原理、计算机网络、数据结构、网络安全基础、操作系统安全、数据库原理与应用、网络程序设计、算法设计与分析、应用密码学、软件工程、数据库安全、计算机病毒原理与防范、安全认证技术、数据备份与灾难恢复、计算机取证技术、电子商务安全、安全扫描技术、防火墙原理与技术等。

五、实践教学

（一）校内、校外实训。

加大各类课程尤其是专业课程的实践课时比例，注重以提高学生动手能力为重点的操作性实验实训，主干课程中设置综合设计与实践环节。

（二）假期见习或社会调查。

时间原则上不少于9周，安排在假期进行。

（三）毕业实习。

第八个学期进行，实习时间为3个月。

（四）毕业设计或毕业论文。

毕业实习期间收集与毕业设计或毕业论文相关的资料，紧密结合实践，完成毕业设计或毕业论文，时间为4周。

六、考核办法

（一）课程考核包括考试和考查，成绩评定一律采用百分制计分。

实训比较多的课程，分理论和操作两个部分进行考核。要不断改革考核方法，丰富考试考查载体和手段，采用开卷、闭卷，笔试、口试、机试、实训操作、综合设计等多种考核形式，加强对学生动手能力、实践能力、分析解决问题能力和综合素质的全面考核。成绩合格者给予学分。

（二）毕业设计或毕业论文成绩评定采用五级制（优、良、中、及格和不及格），由指导老师写出评语，学院组织论文答辩。

（三）每位学生必须选修满选修课14个学分，方可毕业。

其中限选课中，《形势与政策》、《当代世界经济与政治》等限选课，要求每个学生必选；《艺术导论》、《音乐鉴赏》、《美术鉴赏》、《影视鉴赏》、《舞蹈鉴赏》、《书法鉴赏》、《戏剧鉴赏》、《戏曲鉴赏》等8门公共艺术教育类限选课，要求每个学生必须选修两门或两门以上。

（四）学生毕业时必须达到大学生体质健康标准。

网络安全设计方案3篇供借鉴

为增强我区教育系统网络安全意识，提高网络安全防护技能，根据中央网信办、市区网信办相关要求，我校决定开展网络安全宣传周活动，现制定方案如下。

一、活动主题

网络安全为人民，网络安全靠人民

二、活动时间

xxxx年9月19日——9月25日，其中9月20为主题教育日。

三、参加对象

全校教职工、学生和家长。

四、活动形式

（一）氛围营造

学校在宣传活动期间，用LED电子显示屏、微信公众号、网站、Q群等多种形式宣传网络安全，营造良好的宣传氛围。

（二）电子屏滚动播出

利用学校大门处的LED电子屏，滚动播出网络安全宣传知识，介绍防信息泄露、防网络诈骗等网络安全相关知识。

（三）开展活动

学校以网络安全宣传为主题，通过开展主题队会、举办讲座、国旗下讲话等形式开展网络安全宣传活动。（班主任和德育处提供图片）

（四）网络宣传

学校网站、学校Q群、班级Q群和翼校通多渠道宣传网络安全知识。（班主任提供发家长Q群、发翼校通的图片）

五、活动要求

（一）各部门、每一位教师要高度重视此次宣传活动，按学校方案落实好每一项工作，学校将组织人员对活动情况进行检查。

（二）各班主任务必将活动开展图片于9月23日上午12：00前传余xx，邮箱：xx，联系电话xx。

网络安全设计方案3篇供借鉴

为了进一步提升全系统网络信息安全工作水平，加强网络安全教育宣传，营造安全健康文明和谐的网络环境。按照省市有关工作安排，现就开展第五届国家网络安全宣传周活动制定如下方案。

一、活动时间

20xx年9月17至9月23日

二、活动主题

网络安全为人民

网络安全靠人民

三、活动形式

（一）悬挂网络安全宣传横幅。

活动期间，利用LED大屏、横幅、板报等载体刊载网络安全宣传标语，营造良好的活动氛围。

（二）认真学习网络安全知识。

坚持问题导向，认真学习网络安全法律法规和技术，深入学习市教育局《关于进一步加强全系统网络与信息安全工作的通知》和《加强新媒体管理的实施意见（试行）》。集中开展一次网络安全知识学习，对路由器、U盘、电子邮箱等网络和存储设备使用的基本技能、网络应急基础知识涉密信息的存储传输程序等进行培训，提高普及率。各科室、局直各单位和招生、学籍、财务等涉及关键基础信息的领域要进一步加强对涉及网络信息安全工作人员的培训，提高网络安全意识和防范应急能力。

（三）开展网络安全知识专题宣传活动。

各园校要以信息技术课堂、板报、专栏为载体，大力宣传网络安全知识；要动员教师和家长利用微信、微博等平台学习宣传相关网络安全知识；要结合实际自制宣传资料、通过宣传活动进社区等方式扩大活动的覆盖面和影响力。

（四）召开网络安全知识主题班会。

要利用9月18日“校园日”活动契机，结合学生认知特点，以班级为单位召开主题班会，通过分享故事、体会和交流发言、观看视频等形式，重点做好网络安全、防范电信诈骗、合理使用手机上网等方面基础知识的普及，提高学生网络安全意识，增强识别和应对网络危险的能力。

（五）开展网络安全科普教育活动。

要开展“小手拉大手、网络安全同参与”家校互动活动。9月22日，本届“青少年日”活动当天，要引导广大家长和学生一起学习网络安全科普知识，通过家长的微信和微博推送一条网络安全信息。

（六）开展成果检验活动。

各园校要结合实际，开展一次以网络安全知识为主要内容的小知识竞赛、手抄报展示、主题演讲等活动，提升宣传教育的效果。

四、活动要求

（一）加强组织领导。

各园校、各单位要加强对此次活动的组织领导，主要负责同志（网络和信息安全工作领导小组组长）要充分认识加强师生网络安全教育的重要性，有始有终安排落实好此项活动。

（二）创新活动载体。

要结合学生认知特点和教师培训实际，创新思路开展工作，积极创设适合师生的学习宣传环境和活动载体，提高活动的参与度和效果。

（三）做好宣传总结。

活动期间要及时报送信息，以大家喜闻乐见的形式开展宣传。同时，认真做好总结，9月24日前将总结报送市教育局综合宣传科（局直单位、市属学校直接报送，各园校由教育组统一报送）。