移动集团网络安全整体解决方案样本.doc

网络安全整体处理方案第一部分 网络安全概述第一章 网络安全体系基础认识 自信息系统开始运行以来就存在信息系统安全问题，经过网络远程访问而组成安全威胁成为日益受到严重关注问题。依据美国FBI调查，美国每十二个月因为网络安全造成经济损失超出1.5万亿美元。（一）安全威胁 因为企业网络内运行关键是多个网络协议，而这些网络协议并非专为安全通讯而设计。所以，企业网络可能存在安全威胁来自以下方面： (1) 操作系统安全性。现在流行很多操作系统均存在网络安全漏洞，如UNIX服务器，NT服务器及Windows桌面PC。 (2) 防火墙安全性。防火墙产品本身是否安全，是否设置错误，需要经过检验。 (3) 来自内部网用户安全威胁。 (4) 缺乏有效手段监视、评定网络系统安全性。 (5) 采取TCP/IP协议族软件，本身缺乏安全性。 (6) 未能对来自Internet电子邮件夹带病毒及Web浏览可能存在Java/ActiveX控件进行有效控制。 (7) 应用服务安全，很多应用服务系统在访问控制及安全通讯方面考虑较少，而且，假如系统设置错误，很轻易造成损失。（二）网络安全需求1、企业网络基础安全需求 满足基础安全要求，是该网络成功运行必需条件，在此基础上提供强有力安全保障，是建设企业网络系统安全关键标准。 企业网络内部布署了众多网络设备、服务器，保护这些设备正常运行，维护关键业务系统安全，是企业网络基础安全需求。 对于各科各样网络攻击，怎样在提供灵活且高效网络通讯及信息服务同时，抵御和发觉网络攻击，而且提供跟踪攻击手段，是本项目需要处理问题。2、业务系统安全需求和一般网络应用不一样是，业务系统是企业应用关键。对于业务系统应该含有最高网络安全方法。企业网络应保障：l 访问控制，确保业务系统不被非法访问。l 数据安全，确保数据库软硬件系统整体安全性和可靠性。l 入侵检测，对于试图破坏业务系统恶意行为能够立即发觉、统计和跟踪，提供非法攻击犯罪证据。l 来自网络内部其它系统破坏，或误操作造成安全隐患。3、Internet服务网络安全需求Internet服务网络分为两个部分：提供网络用户对Internet访问：提供Internet对网内服务访问。网络内用户对Internet访问，有可能带来一些类型网络安全。如经过电子邮件、FTP引入病毒、危险Java或ActiveX应用等。所以，需要在网络内对上述情况提供集成网络病毒检测、消除等操作。网络安全需求是保护网络不受破坏，确保网络服务可用性，作为信息网络之间互联边界安全应作为关键安全需求： 需要确保信息网络之间安全互联，能够实现网络安全隔离； 对于专有应用安全服务； 必需信息交互可信任性； 能够提供对于主流网络应用（如WWW、Mail、Ftp、Oicq和NetMeeting等）良好支持，并能够实现安全应用； 同时信息网络公共资源能够对开放用户提供安全访问； 能够防范包含： 利用Http应用，经过Java Applet、ActiveX和Java Script形式； 利用Ftp应用，经过文件传输形式； 利用SMTP应用，经过对邮件分析及利用附件所造成信息泄漏和有害信息对于信息网络侵害； 对网络安全事件审计； 对于网络安全状态量化评定； 对网络安全状态实时监控；其次，对于信息网络内部一样存在安全需求，包含： 信息网络中各单位网络之间建立连接控制手段； 能够满足信息网络内授权用户对相关专用网络资源访问； 同时对于远程访问用户增强安全管理； 加强对于整个信息网络资源和人员安全管理和培训。（三） 网络安全和网络性能和功效关系 通常，系统安全和性能和功效是一对矛盾关系。假如某个系统不向外界提供任何服务（断开），外界是不可能组成安全威胁。不过，企业接入国际互连网络，提供网上商店和电子商务等服务，等于将一个内部封闭网络建成了一个开放网络环境，多种安全包含系统级安全问题也随之产生。构建网络安全系统，首先因为要进行认证、加密、监听，分析、统计等工作，由此影响网络效率，而且降低用户应用灵活性；其次也增加了管理费用。不过，来自网络安全威胁是实际存在，尤其是在网络上运行关键业务时，网络安全是首先要处理问题。选择合适技术和产品，制订灵活网络安全策略，在确保网络安全情况下，提供灵活网络服务通道。采取合适安全体系设计和管理计划，能够有效降低网络安全对网络性能影响并降低管理费用。全方位安全体系：和其它安全体系（如保安系统）类似，企业应用系统安全休系应包含：访问控制：经过对特定网段、服务建立访问控制体系，将绝大多数攻击阻止在抵达攻击目标之前。检验安全漏洞：经过对安全漏洞周期检验，即使攻击可抵达攻击目标，也可使绝大多数攻击无效。攻击监控：经过对特定网段、服务建立攻击监控体系，可实时检测出绝大多数攻击，并采取对应行动（如断开网络连接、统计攻击过程、跟踪攻击源等）。加密通讯：主动加密通讯，可使攻击者不能了解、修改敏感信息。认证：良好认证体系可预防攻击者假冒正当用户。备份和恢复：良好备份和恢复机制，可在攻击造成损失时，立即地恢复数据和系统服务。多层防御，攻击者在突破第一道防线后，延缓或阻断其抵达攻击目标。隐藏内部信息，使攻击者不能了解系统内基础情况。设置安全监控中心，为信息系统提供安全体系管理、监控，渠护及紧急情况服务。（四）网络安全管理原因 网络安全能够采取多个技术来增强和实施。不过，很多安全威胁起源于管理上松懈及对安全威胁认识。安全威胁关键利用以下路径：l 系统实现存在漏洞。l 系统安全体系缺点。l 使用人员安全意识微弱。l 管理制度微弱。良好网络管理有利于增强系统安全性：l 立即发觉系统安全漏洞。l 审查系统安全体系。l 加强对使用人员安全知识教育。l 建立完善系统管理制度。如前所述，能否制订一个统一安全策略，在全网范围内实现统一安全管理，对于信息网来说就至关关键了。安全管理关键包含两个方面：l 内部安全管理：关键是建立内部安全管理制度，如机房管理制度、设备管理制度、安全系统管理制度、病毒防范制度、操作安全管理制度、安全事件应急制度等，并采取切实有效方法确保制度实施。内部安全管理关键采取行政手段和技术手段相结合方法。l 网络安全管理：在网络层设置路由器、防火墙、安全检测系统后，必需确保路由器和防火墙ACL设置正确，其配置不许可被随便修改。网络层安全管理能够经过防火墙、安全检测、网络病毒防治和网管等部分网络层管理工具来实现。第二章 网络安全技术概述基于以上分析，企业网络系统包含到各方面网络安全问题，我们认为整个企业安全体系必需集成多个安全技术实现。如虚拟网技术、防火墙技术，入侵监控技术、安全漏洞扫描技术、病毒防护技术、加密技术、认证和数字署名技术等。下面就以上技术加以具体叙述：一. 虚拟网技术 虚拟网技术关键基于多年发展局域网交换技术(ATM和以太网交换）。交换技术将传统基于广播局域网技术发展为面向连接技术。所以，网管系统有能力限制局域网通讯范围而无需经过开销很大路由器。由以上运行机制带来网络安全好处是显而易见：信息只抵达应该抵达地点。所以、预防了大部分基于网络监听入侵手段。经过虚拟网设置访问控制，使在虚拟网外网络节点不能直接访问虚拟网内节点。不过，虚拟网技术也带来了新安全问题：实施虚拟网交换设备越来越复杂，从而成为被攻击对象。基于网络广播原理入侵监控技术在高速交换网络内需要特殊设置。基于MACVLAN不能预防MAC欺骗攻击。 以太网从本质上基于广播机制，但应用了交换器和VLAN技术后，实际上转变为点到点通讯，除非设置了监听口，信息交换也不会存在监听和插入（改变）问题。 不过，采取基于MACVLAN划分将面临假冒MAC地址攻击。所以，VLAN划分最好基于交换机端口。但这要求整个网络桌面使用交换端口或每个交换端口所在网段机器均属于相同VLAN。网络层通讯能够跨越路由器，所以攻击能够从远方提议。IP协议族各厂家实现不完善，所以，在网络层发觉安全漏洞相对更多，如IP sweep, teardrop, sync-flood, IP spoofing攻击等。二. 防火墙枝术 防火墙是多年发展起来关键安全技术，其关键作用是在网络入口点检验网络通讯，依据用户设定安全规则，在保护内部网络安全前提下，提供内外网络通讯。1、使用Firewall益处保护脆弱服务 经过过滤不安全服务，Firewall能够极大地提升网络安全和降低子网中主机风险。比如，Firewall能够严禁NIS、NFS服务经过，Firewall同时能够拒绝源路由和ICMP重定向封包。控制对系统访问 Firewall能够提供对系统访问控制。如许可从外部访问一些主机，同时严禁访问另外主机。比如，Firewall许可外部访问特定Mail Server和Web Server。集中安全管理 Firewall对企业内部网实现集中安全管理，在Firewall定义安全规则能够利用于整个内部网络系统，而无须在内部网每台机器上分别设置安全策略。如在Firewall能够定义不一样认证方法，而不需在每台机器上分别安装特定认证软件。外部用户也只需要经过次认证即可访问内部网。增强保密性 使用Firewall能够阻止攻击者获取攻击网络系统有用信息，如Finger和DNS。统计和统计网络利用数据和非法使用数据 Firewall能够统计和统计经过Firewall网络通讯，提供相关网络使用统计数据，而且，Firewall能够提供统计数据，来判定可能攻击和探测。策略实施 Firewall提供了制订和实施网络安全策略手段。未设置Firewall时，网络安全取决于每台主机用户。2、 设置Firewall要素网络策略 影响Firewall系统设计、安装和使用网络策略可分为两级，高级网络策略定义许可和严禁服务和怎样使用服务，低级网络策略描述Firewall怎样限制和过滤在高级策略中定义服务。服务访问策略 服务访问策略集中在Internet访问服务和外部网络访问（如拨入策略、SLIP/PPP连接等）。 服务访问策略必需是可行和合理。可行策略必需在阻止己知网络风险和提供用户服务之间取得平衡。经典服务访问策略是：许可经过增强认证用户在必需情况下从Internet访问一些内部主机和服务；许可内部用户访问指定Internet主机和服务。Firewall设计策略 Firewall设计策略基于特定firewall，定义完成服务访问策略规则。通常有两种基础设计策略：许可任何服务除非被明确严禁；严禁任何服务除非被明确许可。通常采取第二种类型设计策略。3、 Firewall基础分类包过滤 IP包过滤： 源IP地址； 目标IP地址； TCP/UDP源端口； TCP/UDP目标端口。 包过滤路由器存在很多弱点： 包过滤规则难于设置并缺乏已经有测试工具验证规则正确性(手工测试除外)。部分包过滤路由器不提供任何日志能力，直到闯进发生后，危险封包才可能检测出来。 实际运行中，常常会发生规则例外，即要求许可通常情况下严禁访问经过。不过，规则例外使包过滤规则过于复杂而难以管理。比如，定义规则-严禁全部抵达(Inbound)端口23连接(telnet)，假如一些系统需要直接Telnet连接，此时必需为内部网每个系统分别定义一条规则。 一些包过滤路由器不支持TCP/UDP源端口过滤，可能使过滤规则集愈加复杂，并在过滤模式中打开了安全漏洞。如SMTP连接源端口是随机产生(1023)，此时假如许可双向SMTP连接，在不支持源端口过滤路由器上必需定义一条规则：许可全部1023端口双向连接。此时用户经过重新映射端口，能够绕过过滤路由器。 对很多RPC(Remoute Procedure Call服务进行包过滤很困难。因为RPCListen口是在主机开启后随机地分配，要严禁RPC服务，通常需要严禁全部UDP(绝大多数RPC使用UDP)，如此可能需要许可DNS连接就会被严禁。应用网关 为了处理包过滤路由器弱点，Firewall要求使用软件应用来过滤和传送服务连接（如Telnet和Ftp)。这么应用称为代理服务，运行代理服务主机被称为应用网关。应用网关和包过滤器混合使用能提供比单独使用应用网关和包过滤器更高安全性和更大灵活性。 应用网关优点是： 比包过滤路由器更高安全件。 提供对协议过滤，如能够严禁FTP连接Put命令。 信息隐藏，应用网关为外部连接提供代理。 健壮认证和日志。 节省费用，第三方认证设备(软件或硬件)只需安装在应用网关上。 简化和灵活过滤规则，路由器只需简单地经过抵达应用网关包并拒绝其它包经过。 应用网关缺点在于： 新服务需要安装新代理服务器。 有时需要对用户软件进行修改。 可能会降低网络性能。 应用网关可能被攻击。线路级网关线路级网关提供内部网和外部网连接中继，但不提供额外处理和过滤能力。Stateful防火墙 该类防火墙综合了包过滤防火墙及应用网关特征。能够提供比应用网关更多连接特征，不过安全性比较应用网关差。4、 建设Firewall标准 分析安全和服务需求 以下问题有利于分析安全和服务需求： 计划使用哪些Internet服务(如http，ftp，gopher)，从何处使用Internet服务(当地网，拨号，远程办公室)。 增加需要，如加密或拔号接入支持。 提供以上服务和访问风险。 提供网络安全控制同时，对系统应用服务牺牲代价。 策略灵活性 Internet相关网络安全策略总来说，应该保持一定灵活性，关键有以下原因： Internet本身发展很快，机构可能需要不停使用Internet提供新服务开展业务。新协议和服务大量涌现带来新安全问题，安全策略必需能反应和处理这些问题。 机构面临风险并非是静态，机构职能转变、网络设置改变全部有可能改变风险。 远程用户认证策略 远程用户不能经过放置于Firewall后未经认证Modem访问系统。 PPP/SLIP连接必需经过Firewall认证。 对远程用户进行认证方法培训。拨入/拨出策略 拨入/拨出能力必需在设计Firewall时进行考虑和集成。 外部拨入用户必需经过Firewall认证。 Information Server策略 公共信息服务器安全必需集成到Firewall中。 必需对公共信息服务器进行严格安全控制，不然将成为系统安全缺口。 为Information server定义折中安全策略许可提供公共服务。 对公共信息服务和商业信息(如email)讲行安全策略区分。 Firewall系统基础特征 Firewall必需支持“严禁任何服务除非被明确许可”设计策略。 Firewall必需支持实际安全政策，而非改变安全策略适应Firewall。 Firewall必需是灵活，以适应新服务和机构智能改变带来安全策略改变。 Firewall必需支持增强认证机制。 Firewall应该使用过滤技术以许可或拒绝对特定主机访问。 IP过滤描述语言应该灵活，界面友好，并支持源IP和目标IP，协议类型，源和目标TCP/UDP口，和抵达和离开界面。 Firewall应该为FTP、TELNET提供代理服务，以提供增强和集中认证管理机制。假如提供其它服务(如NNTP，http等)也必需经过代理服务器。 Firewall应该支持集中SMTP处理，降低内部网和远程系统直接连接。 Firewall应该支持对公共Information server访问，支持对公共Information server保护，而且将Information server同内部网隔离。 Firewall可支持对拨号接入集中管理和过滤。 Firewall应支持对交通、可疑活动日志统计。 假如Firewall需要通用操作系统，必需确保使用操作系统安装了全部己知安全漏洞Patch。 Firewall设计应该是可了解和管理。 Firewall依靠操作系统应立即地升级以填补安全漏洞。5、选择防火墙关键点 (1) 安全性：即是否经过了严格入侵测试。 (2) 抗攻击能力：对经典攻击防御能力 (3) 性能：是否能够提供足够网络吞吐能力 (4) 自我完备能力：本身安全性，Fail-close (5) 可管理能力：是否支持SNMP网管 (6) VPN支持 (7) 认证和加密特征(8) 服务类型和原理(9)网络地址转换能力三. 病毒防护技术 病毒一向是信息系统安全关键问题之一。因为网络广泛互联，病毒传输路径和速度大大加紧。 我们将病毒路径分为： (1 ) 经过FTP，电子邮件传输。 (2) 经过软盘、光盘、磁带传输。 (3) 经过Web游览传输，关键是恶意Java控件网站。 (4) 经过群件系统传输。 病毒防护关键技术以下： (1) 阻止病毒传输。 在防火墙、代理服务器、SMTP服务器、网络服务器、群件服务器上安装病毒过滤软件。在桌面PC安装病毒监控软件。 (2) 检验和清除病毒。 使用防病毒软件检验和清除病毒。 (3) 病毒数据库升级。 病毒数据库应不停更新，并下发到桌面系统。 (4) 在防火墙、代理服务器及PC上安装Java及ActiveX控制扫描软件，严禁未经许可控件下载和安装。四. 入侵检测技术 利用防火墙技术，经过仔细配置，通常能够在内外网之间提供安全网络保护，降低了网络安全风险。不过，仅仅使用防火墙、网络安全还远远不够： (1) 入侵者可寻求防火墙背后可能敞开后门。 (2) 入侵者可能就在防火墙内。 (3) 因为性能限制，防火焰通常不能提供实时入侵检测能力。 入侵检测系统是多年出现新型网络安全技术，目标是提供实时入侵检测及采取对应防护手段，如统计证据用于跟踪和恢复、断开网络连接等。 实时入侵检测能力之所以关键首先它能够对付来自内部网络攻击，其次它能够缩短hacker入侵时间。 入侵检测系统可分为两类： 基于主机 基于网络 基于主机入侵检测系统用于保护关键应用服务器，实时监视可疑连接、系统日志检验，非法访问闯进等，而且提供对经典应用监视如Web服务器应用。基于网络入侵检测系统用于实时监控网络关键路径信息，其基础模型以下图示：(i.e., close connection)(i.e.,detection of“phf”stringin session)Countermeasure(C) Box(i.e., store contentsof connectiondisk)Pattern-MatchingSignatureAnalysisStorage (D) BoxPassiveProtocolAnalysis (i.e, TCP Stream reconstruction) Ethernet图2-1 入侵检测系统基础模型 上述模型由四个部分组成： (1) Passive protocol Analyzer网络数据包协议分析器、将结果送给模式匹配部分并依据需要保留。 (2) Pattern-Matching Signature Analysis依据协议分析器结果匹配入侵特征，结果传送给Countermeasure部分。 (3) countermeasure实施要求动作。 (4) Storage保留分析结果及相关数据。 基于主机安全监控系统含有以下特点： (1) 正确，能够正确地判定入侵事件。 (2) 高级，能够判定应用层入侵事件。 (3) 对入侵时间立即进行反应。 (4) 针对不一样操作系统特点。 (5) 占用主机宝贵资源。 基于网络安全监控系统含有以下特点： (1) 能够监视经过本网段任何活动。 (2) 实时网络监视。 (3) 监视粒度更细致。 (4) 正确度较差。 (5) 防入侵欺骗能力较差。 (6) 交换网络环境难于配置。 基于主机及网络入侵监控系统通常均可配置为分布式模式： (1) 在需要监视服务器上安装监视模块(agent)，分别向管理服务器汇报及上传证据，提供跨平台入侵监视处理方案。 (2) 在需要监视网络路径上，放置监视模块(sensor),分别向管理服务器汇报及上传证据，提供跨网络入侵监视处理方案。 选择入侵监视系统关键点是： (1) 协议分析及检测能力。 (2) 解码效率(速度)。 (3) 本身安全完备性。 (4) 正确度及完整度，防欺骗能力。 (5) 模式更新速度。五. 安全扫描技术 网络安全技术中，另一类关键技术为安全扫描技术。安全扫描技术和防火墙、安全监控系统相互配合能够提供很高安全性网络。 安全扫描工具源于Hacker在入侵网络系统时采取工具。商品化安全扫描工具为网络安全漏洞发觉提供了强大支持。 安全扫描工具通常也分为基于服务器和基于网络扫描器。 基于服务器扫描器关键扫描服务器相关安全漏洞，如password文件，目录和文件权限，共享文件系统，敏感服务，软件，系统漏洞等，并给出对应处理措施提议。通常和对应服务器操作系统紧密相关。 基于网络安全扫描关键扫描设定网络内服务器、路由器、网桥、变换机、访问服务器、防火墙等设备安全漏洞，并可设定模拟攻击，以测试系统防御能力。通常该类扫描器限制使用范围(IP地址或路由器跳数)。网络安全扫描关键性能应该考虑以下方面： (1) 速度。在网络内进行安全扫描很耗时。 (2) 网络拓扑。经过GUI图形界面，可迭择一步或一些区域设备。 (3) 能够发觉漏洞数量。 (4) 是否支持可定制攻击方法。通常提供强大工具结构特定攻击方法。因为网络内服务器及其它设备对相同协议实现存在差异，所以预制扫描方法肯定不能满足用户需求。 (5) 汇报，扫描器应该能够给出清楚安全漏洞汇报。 (6) 更新周期。提供该项产品厂商应立即给出新发觉安生漏洞扫描特征升级，并给出对应改善提议。 安全扫描器不能实时监视网络上入侵，不过能够测试和评价系统安全性，并立即发觉安全漏洞。六. 认证和数宇署名技术 认证技术关键处理网络通讯过程中通讯双方身份认可，数字署名作为身份认证技术中一个具体技术，同时数字署名还可用于通信过程中不可抵赖要求实现。 认证技术将应用到企业网络中以下方面： (1) 路由器认证，路由器和交换机之间认证。 (2) 操作系统认证。操作系统对用户认证。 (3) 网管系统对网管设备之间认证。 (4) VPN网关设备之间认证。 (5) 拨号访问服务器和用户间认证。 (6) 应用服务器(如Web Server)和用户认证。 (7) 电子邮件通讯双方认证。 数字署名技术关键用于： (1) 基于PKI认证体系认证过程。 (2) 基于PKI电子邮件及交易(经过Web进行交易)不可抵赖统计。 认证过程通常包含到加密和密钥交换。通常，加密可使用对称加密、不对称加密及两种加密方法混合。 UserName/Password认证 该种认证方法是最常见一个认证方法，用于操作系统登录、telnet、rlogin等，但因为此种认证方法过程不加密，即password轻易被监听和解密。 使用摘要算法认证 Radius(拨号认证协议)、路由协议(OSPF)、SNMP Security Protocol等均使用共享Security Key，加上摘要算法(MD5)进行认证，因为摘要算法是一个不可逆过程，所以，在认证过程中，由摘要信息不能计算出共享security key，敏感信息不在网络上传输。市场上关键采取摘要算法有MD5和SHA-1。 基于PKI认证 使用公开密钥体系进行认证和加密。该种方法安全程度较高，综合采取了摘要算法、不对称加密、对称加密、数字署名等技术，很好地将安全性和高效率结合起来。后面描述了基于PKI认证基础原理。这种认证方法现在应用在电子邮件、应用服务器访问、用户认证、防火墙验证等领域。 该种认证方法安全程度很高，不过包含到比较繁重证书管理任务。七. VPN技术1、 企业对VPN 技术需求 企业总部和各分支机构之间采取internet网络进行连接，因为internet是公用网络，所以，必需确保其安全性。我们将利用公共网络实现私用网络称为虚拟私用网(VPN)。 因为VPN利用了公共网络，所以其最大弱点在于缺乏足够安全性。企业网络接入到internet，暴露出两个关键危险：来自internet未经授权对企业内部网存取。当企业经过INTERNET进行通讯时，信息可能受到窃听和非法修改。 完整集成化企业范围VPN安全处理方案，提供在INTERNET上安全双向通讯，和透明加密方案以确保数据完整性和保密性。 企业网络全方面安全要求确保：保密-通讯过程不被窃听。通讯主体真实性确定-网络上计算机不被假冒。2、数字署名 数字署名作为验证发送者身份和消息完整性依据。公共密钥系统(如RSA)基于私有/公共密钥对，作为验证发送者身份和消息完整性依据。CA使用私有密钥计算其数字署名，利用CA提供公共密钥，任何人均可验证署名真实性。伪造数字署名从计算能力上是不可行。 而且，假如消息随数字署名一同发送，对消息任何修改在验证数字署名时全部将会被发觉。 通讯双方经过Diffie-Hellman密钥系统安全地获取共享保密密钥，并使用该密钥对消息加密。Diffie-Hellman密钥由CA进行验证。 类 型技 术用 途基础会话密钥DES加密通讯加密密钥Deff-Hellman生成会话密钥认证密钥RSA验证加密密钥表1 加密模式使用密钥技术 基于此种加密模式，需要管理密钥数目和通讯者数量为线性关系。而其它加密模式需要管理密钥数目和通讯者数目标平方成正比。3、IPSEC IPSec作为在IP v4及IP v6上加密通讯框架，已为大多数厂商所支持，估计在1998年将确定为IETF标准，是VPN实现Internet标准。 IPSec关键提供IP网络层上加密通讯能力。该标准为每个IP包增加了新包头格式，Authentication Header(AH)及encapsualting security payload(ESP)。IPsec使用ISAKMP/Oakley及SKIP进行密钥交换、管理及加密通讯协商(Security Association)。 Ipsec包含两个部分： (1) IP security Protocol proper，定义Ipsec报文格式。 (2) ISAKMP/Oakley，负责加密通讯协商。 Ipsec提供了两种加密通讯手段： Ipsec Tunnel：整个IP封装在Ipsec报文。提供Ipsec-gateway之间通讯。 Ipsec transport：对IP包内数据进行加密，使用原来源地址和目标地址。 Ipsec Tunnel不要求修改已配置好设备和应用，网络黑用户不能看到实际通讯源地址和目标地址，而且能够提供专用网络经过Internet加密传输通道，所以，绝大多数均使用该模式。 ISAKMP/Oakley使用X.509数字证书，所以，使VPN能够轻易地扩大到企业级。(易于管理)。 在为远程拨号服务Client端，也能够实现Ipsec用户端，为拨号用户提供加密网络通讯。 因为Ipsec立即成为Internet标准，所以不一样厂家提供防火墙(VPN)产品能够实现互通。八. 应用系统安全技术 因为应用系统复杂性，相关应用平台安全问题是整个安全体系中最复杂部分。下面多个部分列出了在Internet/Intranet中关键应用平台服务安全问题及相关技术。1、域名服务 Internet域名服务为Internet/Intranet应用提供了极大灵活性。几乎全部网络应用均利用域名服务。 不过，域名服务通常为hacker提供了入侵网络有用信息，如服务器IP、操作系统信息、推导出可能网络结构等。同时，新发觉针对BIND-NDS实现安全漏洞也开始发觉，而绝大多数域名系统均存在类似问题。如因为DNS查询使用无连接UDP协议，利用可估计查询ID可欺骗域名服务器给犯错误主机名-IP对应关系。 所以，在利用域名服务时，应该注意到以上安全问题。关键方法有： (1) 内部网和外部网使用不一样域名服务器，隐藏内部网络信息。 (2) 域名服务器及域名查找应用安装对应安全补丁。 (3) 对付Denial-of-Service攻击，应设计备份域名服务器。2、Web Server应用安全 Web Server是企业对外宣传、开展业务关键基地。因为其关键性，成为Hacker攻击首选目标之一。 Web Server常常成为Internet用户访问企业内部资源通道之一，如Web server经过中间件访问主机系统，经过数据库连接部件访问数据库，利用CGI访问当地文件系统或网络系统中其它资源。 但Web服务器越来越复杂，其被发觉安全漏洞越来越多。为了预防Web服务器成为攻击牺牲品或成为进入内部网络跳板，我们需要给更多关心： (1) Web服务器置于防火墙保护之下。 (2) 在Web服务器上安装实时安全监控软件。 (3) 在通往Web服务器网络路径上安装基于网络实时入侵监控系统。 (4) 常常审查Web服务器配置情况及运行日志。 (5) 运行新应用前，优异行安全测试。如新CGI应用。 (6) 认证过程采取加密通讯或使用X.509证书模式。 (7) 小心设置Web服务器访问控制表。3、 电子邮件系统安全 电子邮件系统也是网络和外部必需开放服务系统。因为电子邮件系统复杂性，其被发觉安全漏洞很多，而且危害很大。 加强电子邮件系统安全性，通常有以下措施： (1) 设置一台在停火区电子邮件服务器作为内外电子邮件通讯中转站(或利用防火墙电子邮件中转功效)。全部出入电子邮件均经过该中转站中转。 (2) 一样为该服务器安装实施监控系统。 (3) 该邮件服务器作为专门应用服务器，不运行任何其它业务(切断和内部网通讯)。 (4) 升级到最新安全版本。4、 操作系统安全 市场上几乎全部操作系统均已发觉有安全漏洞，而且越流行操作系统发觉问题越多。对操作系统安全，除了不停地增加安全补丁外，还需要： (1) 检验系统设置(敏感数据存放方法，访问控制，口令选择/更新)。(2) 基于系统安全监控系统。