安全评估方案建议书.docx

《安全评估方案建议书.docx》由会员分享，可在线阅读，更多相关《安全评估方案建议书.docx（77页珍藏版）》请在优知文库上搜索。

1、安全评估方案建议书安全评估方案建议书网御神州secworld源于联想网御神州二零零七年七月1.网络安全概述错误!未定义书签。1.1 安全威胁错误!未定义书签。1.2 网络安全的需求错误!未定义书签。1.3 网络安全与网络性能和功能的关系错误!未定义书签。1.4 网络安全的管理因素错误!未定义书签。2 .网络安全需求分析错误!未定义书签。3 .总体规划错误!未定义书签。3.1 体未定乂书签。3.2 安全体系层次模型错误!未定义书签。3.3 安全体系设计错误!未定义书签。331安全体系设计原则.错误!未定义书签。3.3.1 网络安全风险分析.错误!未定义书签。3.3.2 网络安全策略错误!未定义书

2、签。33.4安全管理原则.错误!未定义书签。3.3.5 安全管理的实现.错误!未定义书签。3.3.6 网络安全设计.错误!未定义书签。4.安全解决方案分析错误!未定义书签。4.1网络配置结构图错误!未定义书签。4.2安全酉己置错误!未定义书签。5.1 网御神州SECGATE3600-G7防火墙错误味定义书签。5.1.1 概述.错误!未定义书签。5.1.2 防火墙主要功能列表.错误!未定义书签。5.1.3 ecGate3600-G7防火墙六大特色错误!未定义书签。5.1.45 eCGate3600-G7防火墙主要功能介绍.错误!未定义书签。5.2 网御神州SECIDS-3600入侵检测错误味定义

3、书签。5.2 J概述.错误!未定义书签。5.3 主要技术特色错误!未定义书签。5.4 3产品功能特点.错误!未定义书签。524产品主要功能亮点.错误!未定义书签。5.5 5产品功能描述.错误!未定义书签。5.3 网御神州SecSIS3600隔离网闸错误!未定义书签。5.3.1 概述.错误!未定义书签。5.3.2 产品特点.错误!未定义书签。5.3.3 主要功能错误!未定义书签。5.3.4 系统功能详述.错误!未定义书签。535产品技术优势.错误!未定义书签。5.4 网御神州SecFox-SIM安全信息管理系统错误!未定义书签。5.4.1 产品概述错误!未定义书签。5.4.2 品特点.错误!未定

4、义书签。5.4.3 产品简介.错误!未定义书签。5.4.4 产品功能.错误!未定义书签。文档仅供参考1 .网络安全概述自信息系统开始运行以来就存在信息系统安全问题,经过网络远程访问而构成的安全威胁成为日益受到严重关注的问题。根据美国FBI的调查,美国每年因为网络安全造成的经济损失超过1.5万亿美元。1.1 安全威胁由于企业网络内运行的主要是多种网络协议,而这些网络协议并非专为安全通讯而设计。因此,企业网络可能存在的安全威胁来自以下方面：操作系统的安全性。当前流行的许多操作系统均存在网络安全漏洞,如UNIX服务器,NT服务器及Windows桌面PCo防火墙的安全性。防火墙产品自身是否安全,是否设

5、置错误,需要经过检验。来自内部网用户的安全威胁I。缺乏有效的手段监视、评估网络系统的安全性。(5)采用的TCP/IP协议族软件,本身缺乏安全性。(6) 未能对来自Internet的电子邮件夹带的病毒及Web浏览可能存在的Java/ActiveX控件进行有效控制。应用服务的安全,许多应用服务系统在访问控制及安全通讯方面考虑较少,而且,如果系统设置错误,很容易造成损失。1.2 网络安全的需求1、企业网络的基本安全需求满足基本的安全要求,是该网络成功运行的必要条件,在此基础上提供强有力的安全保障,是建设企业网络系统安全的重要原则。企业网络内部部署了众多的网络设备、服务器,保护这些设备的正常运行,维护

6、主要业务系统的安全,是企业网络的基本安全需求。对于各科各样的网络攻击,如何在提供灵活且高效的网络通讯及信息服务的同时,抵御和发现网络攻击,而且提供跟踪攻击的手段,是本项目需要解决的问题。2、业务系统的安全需求与普通网络应用不同的是,业务系统是企业应用的核心。对于业务系统应该具有最高的网络安全措施。企业网络应保障： 访问控制,确保业务系统不被非法访问。数据安全,保证数据库软硬件系统的整体安全性和可靠性。 入侵检测,对于试图破坏业务系统的恶意行为能够及时发现、记录和跟踪,提供非法攻击的犯罪证据。 来自网络内部其它系统的破坏,或误操作造成的安全隐患。3、IIIternet服务网络的安全需求Inter

7、net服务网络分为两个部分:提供网络用户对Internet的访问:提供Intemet对网内服务的访问。网络内客户对Internet的访问,有可能带来某些类型的网络安全。如经过电子邮件、FTP引入病毒、危险的JaVa或ACtiVeX应用等。因此,需要在网络内对上述情况提供集成的网络病毒检测、消除等操作。网络安全需求是保护网络不受破坏,确保网络服务的可用性,作为信息网络之间的互联的边界安全应作为主要安全需求：令需要保证信息网络之间安全互联,能够实现网络安全隔离；令对于专有应用的安全服务；必要的信息交互的可信任性；令能够提供对于主流网络应用（如WWW、Mail.Ftp、Oicq和NetMeeting

8、等）良好支持,并能够实现安全应用；令同时信息网络公共资源能够对开放用户提供安全访问；Q能够防范包括：/利用Http应用,经过JavaApplet、ActiveX以及JavaScript形式；/利用FtP应用,经过文件传输形式；/利用SMTP应用,经过对邮件分析及利用附件所造成的信息泄漏和有害信息对于信息网络的侵害；对网络安全事件的审计；令对于网络安全状态的量化评估；令对网络安全状态的实时监控；其次,对于信息网络内部同样存在安全需求,包括：令信息网络中的各单位网络之间建立连接控制手段；令能够满足信息网络内的授权用户对相关专用网络资源访问；同时对于远程访问用户增强安全管理；令加强对于整个信息网络资

9、源和人员的安全管理与培训。1.3 网络安全与网绮性能和功能的关系一般,系统安全与性能和功能是一对矛盾的关系。如果某个系统不向外界提供任何服务（断开）,外界是不可能构成安全威胁的。可是,企业接入国际互连网络,提供网上商店和电子商务等服务,等于将一个内部封闭的网络建成了一个开放的网络环境,各种安全包括系统级的安全问题也随之产生。构建网络安全系统,一方面由于要进行认证、加密、监听,分析、记录等工作,由此影响网络效率,而且降低客户应用的灵活性;另一方面也增加了管理费用。可是,来自网络的安全威胁是实际存在的,特别是在网络上运行关键业务时,网络安全是首先要解决的问题。选择适当的技术和产品,制订灵活的网络安

10、全策略,在保证网络安全的情况下,提供灵活的网络服务通道。采用适当的安全体系设计和管理计划,能够有效降低网络安全对网络性能的影响并降低管理费用。全方位的安全体系：与其它安全体系（如保安系统）类似,企业应用系统的安全休系应包含：访问控制:经过对特定网段、服务建立的访问控制体系,招绝大多数攻击阻止在到达攻击目标之前。检查安全漏洞:经过对安全漏洞的周期检查,即使攻击可到达攻击目标,也可使绝大多数攻击无效。攻击监控:经过对特定网段、服务建立的攻击监控体系,可实时检测出绝大多数攻击,并采取相应的行动（如断开网络连接、记录攻击过程、跟踪攻击源等）。加密通讯:主动的加密通讯,可使攻击者不能了解、修改敏感信息O

11、认证:良好的认证体系可防止攻击者假冒合法用户。备份和恢复:良好的备份和恢复机制,可在攻击造成损失时,尽快地恢复数据和系统服务。多层防御,攻击者在突破第一道防线后,延缓或阻断其到达攻击目标。隐藏内部信息,使攻击者不能了解系统内的基本情况。设立安全监控中心,为信息系统提供安全体系管理、监控,渠护及紧急情况服务。1.4 网络安全的管理因素网络安全能够采用多种技术来增强和执行。可是,很多安全威胁来源于管理上的松懈及对安全威胁的认识。安全威胁主要利用以下途径：系统实现存在的漏洞。系统安全体系的缺陷。使用人员的安全意识薄弱。管理制度的薄弱。良好的网络管理有助于增强系统的安全性：及时发现系统安全的漏洞。审查

12、系统安全体系。加强对使用人员的安全知识教育。建立完善的系统管理制度。如前所述,能否制定一个统一的安全策略,在全网范围内实现统一的安全管理,对于信息网来说就至关重要了。安全管理主要包括两个方面：内部安全管理:主要是建立内部安全管理制度,如机房管理制度、设备管理制度、安全系统管理制度、病毒防范制度、操作安全管理制度、安全事件应急制度等,并采取切实有效的措施保证制度的执行。内部安全管理主要采取行政手段和技术手段相结合的方法。网络安全管理:在网络层设置路由器、防火墙、安全检测系统后,必须保证路由器和防火墙的配置正确,其配置不允许被随便修改。网络层的安全管理能够经过防火墙、安全检测、网络病毒防治以及网管

13、等一些网络层的管理工具来实现。2 .网络安全需求分析1 .防止内网的主机遭受非法用户的非授权访问或恶意攻击。2 .加强对各种网络安全事件的检测与审计,其中包括:检测来自内部和外部的黑客入侵行为,监视网络流量及各种主机设备,监视数据库系统及应用系统的运行情况,并及时告警。3 .防止来自本地网络病毒对提供网络中重要服务器的攻击与破坏。4 .防止提供服务的Web服务器受到恶意攻击、非法篡改或者系统崩溃,加强对网站文件属性和文件内容的实时监控,能够自动、安全恢复网站文件系统。5 .在重要的网络和系统中充分考虑灾备和容错措施,防止因系统故障导致系统服务中断。6,定期对办公网络平台进行安全分析和安全评估,

14、及时发现并修正存在的漏洞和弱点,及时调整和完善安全策略,保证政务内网的动态安全与持续安全。7 .建立完整的网络安全系统管理体系,实现对全网的设备的统一管理,安全策略的统一制定,安全事件的统一管理等等。8 .建立完善的安全管理机制,能够有效地确保安全策略的准确执行,减少人为因素造成的系统安全事故。9 .完善的咨询、评估、设计、实施、培训以及实时安全响应等信息安全专业服务。3 .总体规划3.1 安全体系结构网络安全体系结构主要考虑安全对象和安全机制,安全对象主要有网络安全、系统安全、数据库安全、信息安全、设备安全、信息介质安全和计算机病毒防治等,其安全体系结构如下图所示:3.2 安全体系层次模型按

15、照网络OSl的7层模型,网络安全贯穿于整个7层。针对网络系统实际运行的TCP/IP协议,网络安全贯穿于信息系统的4个层次。卜图表示了对应网络系统网络的安全体系层次模型:物理层信息安全,主要防止物理通路的损坏、物理通路的窃听、对物理通路的攻击（干扰等）链路层链路层的网络安全需要保证经过网络链路传送的数据不被窃听。主要采用划分V1.AN（局域网）、加密通讯（远程网）等手段。网络层网络层的安全需要保证网络只给授权的客户使用授权的服务,保证网络路由正确,避免被拦截或监听。操作系统操作系统安全要求保证客户资料、操作系统访问控制的安全,同时能够对该操作系统上的应用进行审计。应用平台应用平台指建立在网络系统之上的应用软件服务,如数据库服务器、电子邮件服务器、Web服务器等。由于应用平台的系统非常复杂,一般采用多种技术（如S