企业网络安全 正文.docx

《企业网络安全 正文.docx》由会员分享，可在线阅读，更多相关《企业网络安全 正文.docx（59页珍藏版）》请在三一办公上搜索。

1、新疆交通职业技术学院毕 业 设 计设计课题：网络安全与管理 班 级： 网 络 D071 专 业： 计算机网络技术 姓 名： 王 富 国 指导教师： 丁 朝 阳 2010 年 6 月1日摘 要随着计算机在工作生活中应用的普及，人们对网络的依赖也不断上升，各种组织机构的运行也架构在网络环境中，并且由于企业不断扩大规模，网络的规模也越来越大，随之而来的网络管理也带来了越来越多的隐患。有些人利用网络和系统的各种漏洞，非法获得未授权的访问信息，修改破坏各种信息，加以各种病毒黑客的趁机泛滥，给网络造成巨大的威胁，给企业造成重大损失，所以做好企业网络安全与管理的问题是十分重要的，应该充分利用公司现有的资源，

2、通过防火墙、路由器等的合理配置以及VPN等技术的应用，确保企业网络的安全稳定。关键词安全；管理；防火墙；VPN目 录摘 要关键词1、企业网络分析71.1企业网络建设目标分析71.2企业网络建设目标分析81.2.1网络设备配置81.2.2网管系统设计81.2.3内、外网隔离81.3企业网络的需求分析82、企业网络存在的安全隐患92.1内部窃密和破坏92.2网络窃听92.3 非法入侵92.4 完整性破坏102.5 其它网络的攻击102.6 管理及操作人员缺乏安全知识102.7 其它113、安全系统建设原则113.1系统性113.2技术先进性113.3管理可控性113.4可靠性123.5可管理性12

3、3.6兼容性133.7系统可伸缩性134、网络安全总体设计134.1 安全设计总体考虑134.2 网络安全144.2.1 网络传输144.2.2 访问控制174.2.3 入侵检测184.2.4 漏洞扫描194.2.5 其它204.3 应用系统安全204.3.1 系统平台安全204.3.2 应用平台安全204.3.3 病毒防护214.4 物理安全254.5 安全管理284.6 安全特性315、安全设备要求325.1 安全设备选型原则 385.2 安全设备的可扩展性395.3 安全设备的升级405.4 设备列表406、技术支持与服务406.1 保障机制416.2 咨询服务416.3 故障响应416

4、.6 性能分析426.7 保修服务错误！未定义书签。6.8 保修期后的技术支持服务错误！未定义书签。6.9 网络安全培训42结束语致 谢参考文献附 录1、企业网络分析1.1企业网络建设目标分析企业主要建设一个管理信息为主体，连接生产、销售、维护、运营子系统，是一个面向企业日常业务、立足生产、面向社会，辅助领导决策的企业网络。本企业网络的目标是建立如下功能：1构造一个既能服务本网络又能与外界进行网络互通、共享信息、资源共享、展示企业信息的企业网络。2选用先进的技术、具有容错能力的网络产品，在投资和条件允许的情况下也可采用结构容错的方法。网络设计完全符合开放性规范，考虑将当前高端品牌的网络产品融于

5、该网络平台之中。该网络具有较好的可扩展性，为今后的网络扩容作好准备。 3采用OA办公，做到集数据、图像、声音三位一体，提高企业管理效率、降低企业信息传递成本。4整个公司计划采用100M光纤接入到运营商提供的Internet。企业统一一个出口，便于控制网络安全。5设备选型上必须在技术上具有先进性，通用性，且必须便于管理、维护。应具备未来良好的可扩展性，可升级性，保护公司的投资。设备要在满足该项目的功能和性能上还具有良好的性价比。设备在选型上要是拥有足够实力和市场份额的主流产品，同时也要有好的售后服务。 1.2企业网络建设目标分析1.2.1网络设备配置配备网络交换设备，实现楼宇间的千兆光纤连接，保

6、证未来各应用系统的实施以及满足集团各种计算机应用系统的大信息量的传输。1.2.2网管系统设计提供可以对整个网络系统进行管理的中文图形界面工具，使系统维护人员可以集中控制网络的所有设备。1.2.3内、外网隔离过硬盘隔离卡及双布线系统、双网络设备实现办公内网与外网隔离。1.3企业网络的需求分析整个企业综合布线系统共包括200个高速信息点，其中数据点70个，无线点130个，企业网络需求信息表1-1如下：单 位网络节点无线点有线点办 公 室90900生产车间30030库 房40400维修车间20020中心机房20020合 计 2001307企业网络总体原则要求如下：1.中心机房设在办公楼，集中办公室所

7、有的信息点以及其他建筑物配线间的上联主干。2.企业网共设3个建筑物配线间，分别为生产车间，库房、维修车间均通过光缆主干连接到中心机房。3.各建筑配物线间之间、数据主干采用多模光纤。4.130个无线点要求提供中程或短程的高速率传输或者远程的低速率传输支持。5.各个代理商通过Internet连接到企业网。2、企业网络存在的安全隐患针对企业现阶段网络系统的网络结构和业务流程，结合企业今后进行的网络化应用范围的拓展考虑，企业安全隐患包括以下几方面：2.1内部窃密和破坏由于企业网络上同时接入了其它部门的网络系统，因此容易出现其它部门不怀好意的人员(或外部非法人员和黑客利用其它部门的计算机)通过网络进入企

8、业内部网络，并进一步窃取和破坏其中的重要信息(如领导的网络帐号和口令、重要文件等等)，因此这种风险是必须采取措施进行防范的。2.2网络窃听这种威胁是网络最容易发生的。攻击者可以采用如Sniffer等网络协议分析工具，在Internet网络安全的薄弱处进入Internet，并非常容易地在信息传输过程中获取所有信息(尤其是敏感信息)的内容。对企业网络系统来讲，由于存在跨越Internet的内部通信(与上级、下级)这种威胁等级是相当高的，因此也是本方案考虑的重点。2.3 非法入侵这种威胁既可能来自企业网内部用户，也可能来自Internet内的其它用户。如系统内部攻击者伪装成系统内部的其他正确用户。攻

9、击者可能通过冒充合法系统用户，诱骗其他用户或系统管理员，从而获得用户名/口令等敏感信息，进一步窃取用户网络内的重要信息。或者内部用户通过假冒的方式获取其不能阅读的秘密信息。2.4 完整性破坏这种威胁主要指信息在传输过程中或者存储期间被篡改或修改，使得信息/数据失去了原有的真实性，从而变得不可用或造成广泛的负面影响。由于企业网内有许多重要信息，因此那些不怀好意的用户和非法用户以及黑客通过网络对没有采取安全措施的服务器上的重要文件进行修改或传达一些虚假信息，从而影响工作的正常进行。2.5 其它网络的攻击企业网络系统是接入到Internet上的，这样就有可能会遭到Internet上黑客、恶意用户等的

10、网络攻击，如试图进入网络系统、窃取敏感信息、破坏系统数据、设置恶意代码、使系统服务严重降低或瘫痪等。因此这也是需要采取相应的安全措施进行防范。2.6 管理及操作人员缺乏安全知识由于信息和网络技术发展迅猛，信息的应用和安全技术相对滞后，用户在引入和采用安全设备和系统时，缺乏全面和深入的培训、学习，对信息安全的重要性与技术认识不足，很容易使安全设备/系统成为摆设，不能使其发挥正确的作用。如本来对某些通信和操作需要限制，为了方便，设置成全开放状态等等，从而出现网络漏洞。由于网络安全产品的技术含量大，因此，对操作管理人员的培训显得尤为重要。这样，使安全设备能够尽量发挥其作用，避免使用上的漏洞。2.7

11、其它黑客攻击、内网病毒的防范。蠕虫、冲击波木马等恶性病毒造成网络资源迅速减少；盗用 IP等非法手段访问Internet，分散精力影响工作效率及影响带宽等。3、安全系统建设原则企业网络系统安全建设原则为：3.1系统性企业网络系统整个安全系统的建设要有系统性和适应性，不因网络和应用技术的发展、信息系统攻防技术的深化和演变、系统升级和配置的变化，而导致在系统的整个生命期内的安全保护能力和抗御风险的能力降低。 3.2技术先进性企业网络系统整个安全系统的设计采用先进的安全体系进行结构性设计，选用先进、成熟的安全技术和设备，实施中采用先进可靠的工艺和技术，提高系统运行的可靠性和稳定性。3.3管理可控性系统

12、的所有安全设备(管理、维护和配置)都应自主可控；安全系统实施方案的设计和施工单位应具备相应资质并可信。网络中的任何设备均可以通过网络管理平台进行控制，网络的设备状态，故障报警等都可以通过网管平台进行监控，通过网络管理平台简化管理工作，提高网络管理的效率。 3.4可靠性本企业网络是7x24小时连续运行系统，从硬件和软件两方面来保证系统的高可靠性。硬件可靠性：系统的主要部件采用冗余结构，如：传输方式的备份，提供备份组网结构；主要的计算机设备（如数据库服务器）；支持双机或多机高可用结构；配备不间断电源等。软件可靠性：充分考虑异常情况的处理，具有强的容错能力、错误恢复能力、错误记录及预警能力并给用户以

13、提示；并具有进程监控管理功能，保证各进程的可靠运行数据库系统应。网络结构稳定性：当增加/扩充应用子系统时，不影响网络的整体结构以及整体性能，对关键的网络连接采用主备方式，已保证数据的传输的可靠性。网络具有较强的容灾容错能力，具有完善的系统恢复和安全机制；网络安全方案应充分考虑保护对象的价值与保护成本之间的平衡性，在允许的风险范围内尽量减少安全服务的规模和复杂性，使之具有可操作性，避免超出用户所能理解的范围，变得很难执行或无法执行。3.5可管理性企业网络系统安全建设是一个复杂的系统工程，它包括产品、过程和人的因素，因此它的安全解决方案，必须在考虑技术解决方案的同时充分考虑管理、法律、法规方面的制

14、约和调控作用。单靠技术或单靠管理都不可能真正解决安全问题的，必须坚持技术和管理相结合的原则。3.6兼容性跟踪世界科技发展动态，网络规划与现有光纤传输网及将要改造的分配网有良好的兼容，在采用先进技术的前提下，最大可能地保护已有投资，并能在已有的网络上扩展多种业务。3.7系统可伸缩性企业网络系统将随着网络和应用技术的发展而发生变化，同时信息安全技术也在发展，因此安全系统的建设必须考虑系统可升级性和可伸缩性。重要和关键的安全设备不因网络变化或更换而废弃。4、网络安全总体设计一个网络系统的安全建设通常包括许多方面，包括物理安全、数据安全、网络安全、系统安全、安全管理等，而一个安全系统的安全等级，又是按

15、照木桶原理来实现的。根据企业各级内部网络机构、广域网结构、和三级网络管理、应用业务系统的特点，本方案主要从以下几个方面进行安全设计：1网络系统安全；2应用系统安全；3物理安全；4安全管理；4.1 安全设计总体考虑根据企业网络现状及发展趋势，主要安全措施从以下几个方面进行考虑：1、网络传输保护：主要是数据加密保护2、主要网络安全隔离：通用措施是采用防火墙3、网络病毒防护：采用网络防病毒系统4、广域网接入部分的入侵检测：采用入侵检测系统5、系统漏洞分析：采用漏洞分析设备6、定期安全审计：主要包括两部分：内容审计和网络通信审计7、重要数据的备份：8、重要信息点的防电磁泄露9、网络安全结构的可伸缩性：

16、包括安全设备的可伸缩性，即能根据用户的需要随时进行规模、功能扩展4.2 网络安全作为企业应用业务系统的承载平台，网络系统的安全显得尤为重要。由于许多重要的信息都通过网络进行交换。4.2.1 网络传输由于企业中心内部网络存在两套网络系统，其中一套为企业内部网络，主要运行的是内部办公、业务系统等；另一套是与Internet相连，通过路由器接入，并与企业系统内部的上、下级机构网络相连。通过公共线路建立跨越Internet的企业集团内部局域网，并通过网络进行数据交换、信息共享。而Internet本身就缺乏有效的安全保护，如果不采取相应的安全措施，易受到来自网络上任意主机的监听而造成重要信息的泄密或非法

17、篡改，产生严重的后果。由于现在越来越多的政府、金融机构、企业等用户采用VPN技术来构建它们的跨越公共网络的内联网系统，因此在本解决方案中对网络传输安全部分推荐采用VPN设备来构建内联网。可在每级管理域内设置一套VPN设备，由VPN设备实现网络传输的加密保护。根据企业三级网络结构，VPN设置如下图所示：图4-1三级 VPN设置拓扑图每一级的设置及管理方法相同。即在每一级的中心网络安装一台VPN设备和一台VPN认证服务器(VPN-CA)，在所属的直属企业部门的网络接入处安装一台VPN设备，由上级的VPN认证服务器通过网络对下一级的VPN设备进行集中统一的网络化管理。可达到以下几个目的： （1）网络

18、传输数据保护。由安装在网络上的VPN设备实现各内部网络之间的数据传输加密保护，并可同时采取加密或隧道的方式进行传输。 （2）网络隔离保护。与Internet进行隔离，控制内网与Internet的相互访问。 （3）集中统一管理，提高网络安全性。 （4）降低成本(设备成本和维护成本)。其中，在各级中心网络的VPN设备设置如下图：图4-2 中心网络VPN设置图由一台VPN管理机对CA、中心VPN设备、分支机构VPN设备进行统一网络管理。将对外服务器放置于VPN设备的DMZ口与内部网络进行隔离，禁止外网直接访问内网，控制内网的对外访问、记录日志。这样即使服务器被攻破，内部网络仍然安全。下级单位的VPN

19、设备放置如下图所示：图4-3 下级单位VPN设置图从图4-3可知，下属机构的VPN设备放置于内部网络与路由器之间，其配置、管理由上级机构通过网络实现，下属机构不需要做任何的管理，仅需要检查是否通电即可。由于安全设备属于特殊的网络设备，其维护、管理需要相应的专业人员，而采取这种管理方式以后，就可以降低下属机构的维护成本和对专业技术人员的要求，这对有着庞大下属、分支机构的单位来讲将是一笔不小的费用。由于网络安全的是一个综合的系统工程，是由许多因素决定的，而不是仅仅采用高档的安全产品就能解决，因此对安全设备的管理就显得尤为重要。由于一般的安全产品在管理上是各自管理，因而很容易因为某个设备的设置不当，

20、而使整个网络出现重大的安全隐患。而用户的技术人员往往不可能都是专业的，因此，容易出现上述现象；同时，每个维护人员的水平也有差异，容易出现相互配置上的错误使网络中断。所以，在安全设备的选择上应当选择可以进行网络化集中管理的设备，这样，由少量的专业人员对主要安全设备进行管理、配置，提高整体网络的安全性和稳定性。4.2.2 访问控制由于企业广域网网络部分通过公共网络建立，其在网络上必定会受到来自Internet上许多非法用户、黑客攻击和访问，如试图进入网络系统、窃取敏感信息、破坏系统数据、设置恶意代码、使系统服务严重降低或瘫痪等，因此，采取相应的安全措施是必不可少的。通常，对网络的访问控制最成熟的是

21、采用防火墙技术来实现的，本方案中选择带防火墙功能的VPN设备来实现网络安全隔离，可满足以下几个方面的要求：1 控制外部合法用户对内部网络的网络访问；2 控制外部合法用户对服务器的访问；3 禁止外部非法用户对内部网络的访问；4 控制内部用户对外部网络的网络；5 阻止外部用户对内部的网络攻击；6 防止内部主机的IP欺骗；7 对外隐藏内部IP地址和网络拓扑结构；8 网络监控；9 网络日志审计；详细配置拓扑图见图4-1、图4-2、图4-3。由于采用防火墙、VPN技术融为一体的安全设备，并采取网络化的统一管理，因此具有以下几个方面的优点：1 管理、维护简单、方便；2 安全性高(可有效降低在安全设备使用上

22、的配置漏洞)；3 硬件成本和维护成本低；4 网络运行的稳定性更高由于是采用一体化设备，比之传统解决方案中采用防火墙和加密机两个设备而言，其稳定性更高，故障率更低。4.2.3 入侵检测网络安全不可能完全依靠单一产品来实现，网络安全是个整体的，必须配相应的安全产品。作为必要的补充，入侵检测系统(IDS)可与安全VPN系统形成互补。入侵检测系统是根据已有的、最新的和可预见的攻击手段的信息代码对进出网络的所有操作行为进行实时监控、记录，并按制定的策略实行响应(阻断、报警、发送E-mail)。从而防止针对网络的攻击与犯罪行为。入侵检测系统一般包括控制台和探测器(网络引擎)。控制台用作制定及管理所有探测器

23、(网络引擎)。探测器(网络引擎)用作监听进出网络的访问行为，根据控制台的指令执行相应行为。由于探测器采取的是监听而不是过滤数据包，因此，入侵检测系统的应用不会对网络系统性能造成多大影响。入侵检测系统的设置如下图：从上图可知，入侵检测仪在网络接如上与VPN设备并接使用。入侵检测仪在使用上是独立网络使用的，网络数据全部通过VPN设备，而入侵检测设备在网络上进行疹听，监控网络状况，一旦发现攻击行为将通过报警、通知VPN设备中断网络(即IDS与VPN联动功能)等方式进行控制(即安全设备自适应机制)，最后将攻击行为进行日志记录以供以后审查。4.2.4 漏洞扫描作为一个完善的通用安全系统，应当包含完善的安

24、全措施，定期的安全评估及安全分析同样相当重要。由于网络安全系统在建立后并不是长期保持很高的安全性，而是随着时间的推移和技术的发展而不断下降的，同时，在使用过程中会出现新的安全问题，因此，作为安全系统建设的补充，采取相应的措施也是必然。本企业网络中，采用漏洞扫描设备对网络系统进行定期扫描，对存在的系统漏洞、网络漏洞、应用程序漏洞、操作系统漏洞等进行探测、扫描，发现相应的漏洞并告警，自动提出解决措施，或参考意见，提醒网络安全管理员作好相应调整。4.2.5 其它对复杂或有特殊要求的网络环境，在采取安全措施上应当特殊考虑，增加新的安全措施。4.3 应用系统安全4.3.1 系统平台安全企业各级网络系统平

25、台安全主要是指操作系统的安全。由于目前主要的操作系统平台是建立在国外产品的基础上，因而存在很大的安全隐患。企业网络系统在主要的应用服务平台中采用国内自主开发的安全操作系统，针对通用OS的安全问题，对操作系统平台的登录方式、文件系统、网络传输、安全日志审计、加密算法及算法替换的支持和完整性保护等方面进行安全改造和性能增强。一般用户运行在PC机上的NT平台，在选择性地用好NT安全机制的同时，应加强监控管理。4.3.2 应用平台安全企业网络系统的应用平台安全，一方面涉及用户进入系统的身份鉴别与控制，以及使用网络资源的权限管理和访问控制，对安全相关操作进行的审计等。其中的用户应同时包括各级管理员用户和

26、各类业务用户。另一方面涉及各种数据库系统、WWW服务、E-MAIL服务、FTP和TELNET应用中服务器系统自身的安全以及提供服务的安全。在选择这些应用系统时，应当尽量选择国内软件开发商进行开发，系统类型也应当尽量采用国内自主开发的应用系统。4.3.3 病毒防护因为病毒在网络中存储、传播、感染的方式各异且途径多种多样，相应地企业在构建网络防病毒系统时，应利用全方位的企业防毒产品，实施“层层设防、集中控制、以防为主、防杀结合”的策略。具体而言，就是针对网络中所有可能的病毒攻击设置对应的防毒软件，通过全方位、多层次的防毒系统配置，使网络没有薄弱环节成为病毒入侵的缺口。本企业设计方案中在选择杀毒软件

27、时应当注意几个方面的要求：具有卓越的病毒防治技术、程序内核安全可靠、对付国产和国外病毒能力超群、全中文产品，系统资源占用低，性能优越、可管理性高，易于使用、产品集成度高、高可靠性、可调配系统资源占用率、便捷的网络化自动升级等优点。病毒对信息系统的正常工作运行产生很大影响，据统计，信息系统的60%瘫痪是由于感染病毒引起的。4.3.3.1 病毒防范系统的要求为了更好的解决病毒的防范，一般要求病毒防范系统满足如下要求：1、采用世界最先进的防毒产品与企业网络的实际需要相结合，确保企业网络系统具有最佳的防护病毒能力的情况下综合成本最少。2、贯彻“层层设防，集中控管，以防为主、防治结合”的企业防毒策略。在

28、企业网络中所有可能的病毒攻击点或通道中设置对应的防病毒软件，通过这种全方位的、多层次的防毒系统配置，使企业网络免遭所有病毒的入侵和危害。3、充分考虑企业网络的系统数据、文件的安全可靠性，所选产品与现有网络系统具有良好的一致性和兼容性，以及最低的系统资源占用，保证不对现有系统运行产生不良影响。4、应用全球最为先进的“实时监控”技术，充分体现趋势科技“以防为主”的反病毒思想。5、所选用产品具备对多种压缩格式文件的病毒检测。6、所选用产品易于安装、操作简便、便于管理和维护，具有友好的用户中文界面。7、应用经由ICSA(国际电脑安全协会)技术认证的扫描引擎，保证对包括各种千面人病毒、变种病毒和黑客程序

29、等具有最佳的病毒侦测率，除对已知病毒具备全面的侦防能力，对未知病毒亦有良好的侦测能力。强调在企业网络防毒系统内，实施统一的防病毒策略、集中的防毒管理和维护，最大限度地减轻使用人员和维护人员的工作量。8、完全自动化的日常维护，便于进行病毒库及扫描引擎的更新。9、具有良好的可扩充性，充分保护用户的现有投资，适应企业网络系统的今后发展需要。4.3.3.2 病毒防御措施根据企业网络系统的结构和应用特点，病毒防御可采取多种措施：1、网关防毒；2、服务器防毒；3、客户端防毒；4、邮件防毒；应用拓扑如下图：图4-4病毒应用拓扑图在网络骨干接入处，安装防毒墙(即安装有网关杀毒软件的独立网关设备)，由防毒墙实现

30、网络接入处的病毒防护。由于是安装在网络接入处，因此，对主要网络协议进行杀毒处理(SMTP、FTP、HTTP)。在服务器上安装单独的服务器杀毒产品，对服务器进行病毒保护。由于内部存在几十个网络客户端，如采用普通杀毒软件会造成升级麻烦、使用不便等问题。可在服务器上安装客户端防病毒产品(客户端杀毒软件的工作模式是服务器端、客户端的方式)的服务器端，由客户端通过网络与服务器端连接后进行网络化安装。对产品升级，可通过在服务器端进行设置，自动通过Internet进行升级，再由客户端到服务器端进行升级，大大简化升级过程，并且整个升级是自动完成，不需要人工操作。对邮件系统，可采取安装专用邮件杀毒产品，通过在邮

31、件服务器上安装邮件杀毒程序，实现对内部邮件的杀毒，保证邮件在收、发时都是经过检查的，确保邮件无毒。通过这种方法，可以达到层层设防的作用，最终实现病毒防护。4.3.4 数据备份作为国家机关，企业内部存在大量的数据，而这里面又有许多重要的、机密的信息。而整个数据的安全保护就显得特别重要，对数据进行定期备份是必不可少的安全措施。在采取数据备份时应该注意以下几点：1 存储介质安全在选择存储介质上应选择保存时间长，对环境要求低的存储产品，并采取多种存储介质备份。如同时采用硬盘、光盘备份的方式。2 数据安全即数据在备份前是真实数据，没有经过篡改或含有病毒。3 备份过程安全确保数据在备份时是没有受到外界任何

32、干扰，包括因异常断电而使数据备份中断的或其它情况。4 备份数据的保管对存有备份数据的存储介质，应保存在安全的地方，防火、防盗及各种灾害，并注意保存环境(温度、湿度等)的正常。同时对特别重要的备份数据，还应当采取异地备份保管的方式，来确保数据安全。对重要备份数据的异地、多处备份(避免类似美国911事件为各公司产生的影响)4.3.5 安全审计作为一个良好的安全系统，安全审计必不可少。由于企业是一个非常庞大的网络系统，因而对整个网络(或重要网络部分)运行进行记录、分析是非常重要的，它可以让用户通过对记录的日志数据进行分析、比较，找出发生的网络安全问题的原因，并可作为以后的法律证据或者为以后的网络安全

33、调整提供依据。4.3.6 认证、鉴别、数字签名、抗抵赖由于企业网络系统庞大，上面存在很多分级的重要信息；同时，由于现在国家正在大力推进电子商务的发展，网上办公已经越来越多的被应用到各级政府部门当中，因此，需要对网上用户的身份、操作权限等进行控制和授权。对不同等级、类型的信息只允许相应级别的人进行审阅；对网上公文的处理采取数字签名、抗抵赖等相应的安全措施。4.4 物理安全企业网络系统的物理安全要求是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾和雷击等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。4.4.1 两套网络的相互转换由于企业内部网络系统具有两套网络，这两套

34、网络系统是完全物理隔离的，而企业内部有部分用户需要两个网络都要接入，这就涉及到两个网络之间的相互切换问题。而现在的实际使用是采用手工拔插网线的方式进行切换，这使得使用中非常不方便。因此，本企业网络方案采用网络隔离卡的方式来解决网络切换的问题。4.4.1.1 隔离卡工作方式隔离卡上有两个网络接口，一个接内网，一个接外网；另外还有一个控制口，通过控制口连接一个控制器(只有火柴盒大小)，放置于电脑旁边。同时，在隔离卡上接两个硬盘，使一个计算机变为两个计算机使用，两个硬盘上分别运行独立的操作系统。这样，可通过控制器进行切换(简单的开关，类似电源开关)，使计算机分别接到两个网络上。4.4.1.2 应用根

35、据整个企业网络综合布线系统共包含200个高速信息点，其中数据点70个，无线点130个的实际情况，需要在100个信息点上安装隔离卡。4.4.2 防电磁辐射普通的综合布线系统通常都采用5类UTP的方式，由于电信号在传输时存在电磁场，并随着信号的改变而改变磁场的强弱，而UTP本身没有任何的屏蔽功能，因此容易被国外间谍机构或不法分子采取电磁波复原的方法窃取重要机密信息，造成严重后果。因而对重要信息点的数据传输介质应采取相应的安全措施，如使用屏蔽双绞线等。终端设备尤其是CRT显示器均有程度不同的电磁辐射问题，但又因终端分散使用不宜集中采用屏蔽室的办法来防止，因此除要求在订购设备上尽量选取低辐射产品外，还

36、应根据保护对象分别采取主动式的干扰设备(如干扰机来破坏对信息的侦窃)，或采用加装带屏蔽门窗的屏蔽室。4.4.3 网络防雷由于企业网络系统的物理范围主要是在一栋大楼内，而大楼本身已采取相应的防雷措施，因此，本企业网络中主要针对网络系统防雷进行设计，不包括电源防雷(这一般属于大楼防雷的部分)。不少用户为防止计算机及其局域网或广域网遭雷击，便简单地在与外部线路连接的调制解调器上安装避雷器，但由于静电感应雷、防电磁感应雷主要是通过供电线路破坏设备的，因此对计算机信息系统的防雷保护首先是合理地加装电源避雷器，其次是加装信号线路和天馈线避雷器。如果大楼信息系统的设备配置中有计算机中心机房、程控交换机房及机

37、要设备机房，那么在总电源处要加装电源避雷器。按照有关标准要求，必须在0区、1区、2区分别加装避雷器(0区、1区、2区是按照雷电出现的强度划分的)。在各设备前端分别要加装串联型电源避雷器(多级集成型)，以最大限度地抑制雷电感应的能量。同时，计算机中心的MODEM、路由器、甚至HUB等都有线路出户，这些出户的线路都应视为雷电引入通道，都应加装信号避雷器。对楼内计算机等电子设备进行防护的同时，对建(构)筑物再安装防雷设施就更安全了。根据企业网络结构、物理结构、电源结构分析，防雷系统可采取两级防雷措施。1 骨干网络防雷；2 终端防雷；以上两级避雷可使用信号避雷器来实现。根据网络连接线路的类型和带宽选择

38、相应的避雷器。4.4.4 重要信息点的物理保护企业各级网络内部存在重要的信息点，如内部核心应用系统，环境等都需要保护，它主要包括三个方面：(1) 环境安全：对系统所在环境的安全保护，如区域保护和灾难保护(参见国家标准GB50173-93电子计算机机房设计规范、国标GB2887-89计算站场地技术条件、GB9361-88计算站场地安全要求)。(2) 设备安全：主要包括设备的防盗、防毁坏及电源保护等。对中心机房和关键信息点采取多种安全防范措施，确保非授权人员无法进入。中心机房处理秘密级、机密级信息的系统均采用有效的电子门控系统等。(3) 媒体安全：包括媒体数据的安全及媒体本身的安全。4.5 安全管

39、理任何网络系统的安全建设，不仅仅是采用安全产品，而是结合相应的安全管理来进行的。企业及下属各级机构在行政管理上采取逐级纵向管理的方式，因此在企业网络管理上也采用这种方式。组织机构体系指是企业网络系统安全的组织保障系统，由机构、部门和人事等各部门组成模块构成一个体系。企业网络系统的安全组织体系是安全管理体系的组织保障。这个组织体系在国家有关安全部门(如机要局、保密局、公安厅、安全厅、信息安全协调机构等)的指导下，遵循国家相关法律法规，制定相应的安全管理制度和内部的法规政策，并对内部人员进行安全教育和管理，指导、监督、考核安全制度的执行。安全组织建立原则企业网络系统的安全组织体系，是网络系统安全的

40、组织保障系统，由企业各个部门的每个部分构成一个体系。安全组织结构企业网络系统的安全管理机构设置为三个层次：决策层、管理层和执行层。决策层是企业网络系统主体单位决定系统安全重大事宜的领导机构，由主管信息工作的负责人为首，有行使国家安全、公共安全、机要和保密职能的部门负责人和信息系统主要负责人参与组成。管理层是决策层的日常管理机关，根据决策机构的决定全面规划并协调各方面力量实施信息系统的安全方案，制定、修改安全策略，处理安全事故，设置安全相关的部门。执行层是在管理层协调下具体负责某一个或某几个特定安全事务的一个逻辑群体，这个群体分布在信息系统的各个操作层或部门上。部门是企业网络系统安全管理部门，根

41、据安全需要设定的负责某一个或某几个安全事务的职位，部门在系统内部可以是具有垂直领导关系的若干层次的一个序列，一个人可以负责一个或几个安全部门，但一个人不得同时兼任安全部门所对应的系统管理或具体业务部门。因此部门并不是一个机构，它由管理机构设定，由人事机构管理。人事机构是根据管理机构设定的部门，对部门上在职和待职的工作人员进行素质教育、业绩考核和管理，以及对离职工作人员进行监管的机构。人事机构的全部管理活动在国家有关安全的法律、法规、政策规定范围内依法进行。在企业主管部门直接领导下，自上而下地构建层次清楚、职责明确的安全组织体系。安全组织职责企业网络系统的各级安全工作小组的职责是：在企业网络系统

42、安全管理机构的领导下，严格执行各项安全管理规章制度，进行日常的安全保密工作，对内部人员进行安全教育和管理，指导、监督和考核安全制度的执行。管理体系管理是企业网络系统安全的灵魂。网络信息系统安全的管理体系由法律管理、制度管理和培训管理三部分组成。企业网络系统安全管理组织根据国家、各省有关的法律、法规和政策，在安全领导组织的领导下制定具体的安全管理制度，并进行培训。安全管理制度的分类原则企业网络系统安全管理组织制定的安全管理制度主要包括：(1) 人事安全管理制度(2) 操作安全管理制度(3) 场地与设施安全管理制度(4) 设备安全管理制度(5) 软件平台安全管理制度(6) 计算机网络安全管理制度(

43、7) 应用软件安全管理制度(8) 技术文档安全管理制度(9) 数据安全管理制度(10)密码安全管理制度(11)应急管理制度4.6 安全特性企业网络系统的安全性建设措施应能满足当前企业网络系统安全的主要需求及以后系统建设的发展需要，使网络系统不易受到内部和外部的攻击，从而达到网络能够正常运行，满足主要业务对安全的需要：(1) 确保企业中心网络系统与下属各级机构等网络系统互连的安全，并必须能防范来自外部的各种形式的攻击。(2) 确保企业中心网络系统与下属各级机构网络之间的信息在交换过程中保持完整、真实、可用和不被非法泄露的特性。信息交换必须遵照约定的层次管理需要和授权管理需要。(3) 确保企业中心

44、网络系统与平级机构等网络系统的网络连接安全。(4) 确保企业中心网络关键系统入口数据访问的可监视性，作到有据可查，提供完善的信息安全审计系统支持。(5) 确保企业中心网络、各级机构网络的系统受到病毒的破坏。(6) 确保企业各级网络重要信息的数据安全。包括防电磁泄露、数据备份、防火、防盗等。(7) 确保网络系统不受雷击。(8) 确保建立一套完善的网络安全管理制度，做到专人管理、维护。(9) 确保企业内部移动用户与内部网络系统连接的识别，确保连接安全及信息交换安全。(10) 确保网络系统的长期安全。(11) 实现在两套网络系统之间的安全转换，做到安全、易用、方便。4.7 综合布线设计（1）、布线设

45、计系统根据企业内各个信息点的位置以及各个部门之间的距离，经考察它们之间的距离已超过双绞线布线的技术要求，因此采用光纤进行布线。由于涉及的建筑物较多，规模较大，应此将其定位为智能化企业区综合布线系统。企业区的综合布线系统是一个高标准的布线系统，水平系统和工作区采用超五类元件，主干采用光纤，构成主干千兆以太网。楼寓间的光缆采用OTT多模光纤系统，大楼内的布线采用AVAYA的超五类双绞线结构化布线系统。（2）、综合布线系统的结构综合布线系统部分结构如下图所示：根据综合布线国际标准ISO 11801的定义，综合布线系统可由以下子系统组成： 工作区子系统(Work Area Subsystem)工作区子系统由信息插座延伸至用户终端设备的布线组成，包括信息插座和相应的连接软线。用户能方便地把计算机、电话、传真等不同的终端设备接入大楼的通信网络系统。 水平布线子系统(Horizontal Subsystem)水平布线子系统由楼层配线间延伸至信息插座的布线组成，通常可采用超五类双绞线，我们这里采用的是超五类双绞线，也可采用光缆以满足高传输带宽应用或长传输距离的要求。水平布线提供大楼网络通信系统到用户终端设备的信息