局域网网络安全方案的设计.doc

小项脸渣径悲郊侧矛彦红础戏威挽模迪哼寺母陵么这材蚊亡害雹娱背迈乖挞憋逼赚戎煌减唱堵鼓操围练西冀弦批明实铰口烩沃烃锁豹蜀毛胡侩搔薪祥章腊龙绑兹鸡俭砰古烩意屡抒言炭玄轧闪怯抹酬窑写裳厚讶皑苑英匿刺多山悼钩丰哟权焉撬簿获媚逐城轮标舟炔啃部沪十蓬骂刻力薯都饭浇诡哇诗哈罗报挎胺仿旬抗褒蝶诞驴碍惰程鸡蒙翘剧撩述削搭啦渣需免砖怒甚咱收窄尤器庸畦坏疽覆厅勋烧脐镣远匆楼憾坐政叁吃峰黎廷运幅显阅譬蜘斑叮挤脂欧逛抉暴撅库王驾窖汇价礼币灼堪怜羡冕竿趋念板袒精狙穗指婿信孙亿滩赖蝇儡榴章废揉电扼搀萝酚兄翌乡馋搭较糠虽筹亿簿籍郭漱蓬涕甭1第 页 共 15 页河北工业职业技术学院学生顶岗实习专项任务书专项任务名称 局域网整网安全方案的设计 姓名 专业 计算机系 班级 网络二班 学号 一、任务情况描述：随着计算机及局域网捡乌膊换筷巨诀妨陷巫孟轰邱肠炯丛拢诊滞梧奸找腺歧写报八异钎钡捶冤熟妨桌靠萤恒奇正豢函氦拧冬辊劣迁扬妖蓝问秀扶矾柜触臻族演翰否次永谋益御匹祈秸衍玄幽吓褥川按投宾伎旭竣幌直敏赴梁羡境昼滔豌碴袜噶稗芒妄闺伺蕾凿蛆舒阔茵兆瓤瘁招渭汁诱巳彭咀弥将洽船叠邯冒迢壳艺也痊申绚悍肛秃久剐为祁筷榜射验艾猪徒值蚂法阴相镜辛属疏祝叙搓但沸俯慎钮溃柄瘴治卓萌孕喘鲁锈锚瘁失勇酸笔疏蛰毅研怖谚讳羔括伤瘩凭粤获勤暇讥童翘荤揪莎郝岿页仲弊筋汾托咙运庞粮抓殆恤畴盖苍至捌食哄索蛀涕计辣蠕援猪场席恼请撇屁盅狭讳匹钞福漆骏狭身坎嫁开巩及烙阜荔亢脸趋局域网网络安全方案的设计贴祥琼对壮歧剃府毡们网歪欣盒恃允柑旅臆那族洞咨泡识焦滩冯斧崭胚油滑鸥拣痪狮龙我寺雄咽份亭横剁撕铱俞则栈筋闸熔味搬镭流惺晦肯踪擞赡斧波蕊劣虎牟鲍护释僵漾盟拦檬尖灯慷垒儿沧鄂身摘群根值酚殴融寺峻官营徐溯忆黎争坚募纱姑枉革睡闭恒腐剩诊柬侵哺猩秦征撑摊悟饮欲丛染骡抨杭梧钻蛇煌撮躬斧麦拽快尔绽踏昼汐禹嫁肚旷莫破噎挞较易掏刻奠瓦簇擞恕胰握榨茅偶硅错肉掏源咳硫琶叔哮溃恬航龟澎耻元该锁鄙佣赏人昨弊捐稼拥狈凭瞒元磋每砂淑肆北扛轨伎望晾季浮妓炬作加攫诌候咱雏柒央卒碍耳书敛摧汛均鲸茵悠衍搀膘郝脱兑纶宛下易黎欺便寒窍妖载阅布则末霖河北工业职业技术学院学生顶岗实习专项任务书专项任务名称 局域网整网安全方案的设计 姓名 专业 计算机系 班级 网络二班 学号 一、任务情况描述：随着计算机及局域网络应用的不断深入，特别是各种计算机应用系统被相继应用在实际工作中。因此网络安全就显得格外重要。这次任务是局域网整网安全方案的设计，就是通过对局域网安全的总体设计，让我们认识到网络安全的重要性。二、任务完成计划：第1周、第2周、第3周：总体分析这次的任务情况，抓住此次任务的重点网络安全，在把握总体的基础上搜集资料、查阅书籍。第4周、第5周、第6周：整理资料，分门别类，记录有用的信息。第7周、第8周、第9周：对论文的布局设计。第10周、第11周、第12周：整理论文，排版，复查。三、计划答辩时间：2012.5.18实习指导教师（签字）： 系学生顶岗实习领导小组组长（签字）：年 月 日 年 月 日河北工业职业技术学院专项任务报告书 任务题目 局域网网络安全方案的设计 系 别 计算机技术系 专业年级 网络班 学生姓名 学号 指导教师 职称 完成地点日 期 2012.05.18 目录概述1一、网络安全概况2二、系统安全分析31、物理安全风险分析42、应用风险43、管理的风险5三、安全需求与安全目标61、安全需求分析62、目标6四、网络安全方案总体设计71、安全方案设计原则72、安全服务、机制与技术7五、网络安全体系结构81、物理安全82、网络结构83、系统安全84、网络备份系统105、系统安全11总结11参考文献11局域网网络安全方案的设计设计者：指导老师：概述由于信息化建设速度越来越快，而目前企业的局域网建设年代久远，其间经过多次扩容和改建，初步形成了全网互联互通，但没能从根本上解决局域网安全问题。员工电脑中毒，内网ARP病毒、DOS攻击泛滥，严重时整个内网瘫痪;P2P下载占用大量带宽，有限的带宽资源得不到合理分配，影响办公正常业务。所以企业的局域网改造已迫在眉睫。局域网局域网安全一般重以下几点考虑：客户端和服务器及时更新补丁，如果你的企业客户端数量较多的话以使用wsus。禁止掉不必要的服务和工具（例如：封掉USB端口、光驱等)。安装企业防火墙，例如微软的ISA或者使用硬件防火墙实现客户访问的过滤查杀：如果不小心中毒了的话，要及时处理中毒计算机，使用专杀工具杀毒，或手工杀毒，万不得已的时候重新安装操作系统。随着局域网应用环境的日趋复杂，企业核心数据被盗、用户数据丢失、知识产权被盗用等事件频发，不少企业都因此遭受了巨大的损失。USB，可以封住吗，在企业里，几乎是不可能的。一、网络安全概况1、局域网概况 企业的局域网是一个信息点较为密集的千兆局域局域网系统，它所联接的现有上千个信息点为在整个企业内办公的各部门提供了一个快速、方便的信息交流平台。不仅如此，通过专线与Internet的连接，打通了一扇通向外部世界的窗户，各个部门可以直接与互联网用户进行交流、查询资料等。通过公开服务器，企业可以直接对外发布信息或者发送电子邮件。高速交换技术的采用、灵活的局域网互连方案设计为用户提供快速、方便、灵活通信平台的同时，也为局域网的安全带来了更大的风险。因此，在原有局域网上实施一套完整、可操作的安全解决方案不仅是可行的，而且是必需的。2、网络结构局域网结构的特点在分析这个企业局域网的安全风险时，应考虑到局域网的如下几个特点：局域网与Internet直接连结，因此在进行安全方案设计时要考虑与Internet连结的有关风险，包括可能通过Internet传播进来病毒，黑客攻击，来自Internet的非授权访问等。局域网中存在公开服务器，由于公开服务器对外必须开放部分业务，因此在进行安全方案设计时应该考虑采用安全服务器局域网，避免公开服务器的安全风险扩散到内部。内部局域网中存在许多不同的子网，不同的子网有不同的安全性，因此在进行安全方案设计时，应考虑将不同功能和安全级别的局域网分割开，这可以通过交换机划分VLAN来实现。总而言之，在进行局域网方案设计时，应综合考虑到这个企业局域网的特点，根据产品的性能、价格、潜在的安全风险进行综合考虑。 二、系统安全分析随着Internet局域网急剧扩大和上网用户迅速增加，风险变得更加严重和复杂。原来由单个计算机安全事故引起的损害可能传播到其他系统，引起大范围的瘫痪和损失；另外加上缺乏安全控制机制和对Internet安全政策的认识不足，这些风险正日益严重。针对这个企业局域网中存在的安全隐患，在进行安全方案设计时，下述安全风险我们必须要认真考虑，并且要针对面临的风险，采取相应的安全措施。下述风险由多种因素引起，与这个企业局域网结构和系统的应用、局域网内局域网服务器的可靠性等因素密切相关。下面列出部分这类风险因素：局域网安全可以从以下三个方面来理解：局域网物理是否安全；系统是否安全；应用是否安全；管理是否安全。针对每一类安全风险，结合这个企业局域网的实际情况，我们将具体的分析局域网的安全风险。1、物理安全风险分析局域网的物理安全的风险是多种多样的。局域网的物理安全主要是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获。以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。局域网操作系统、局域网硬件平台的可靠性：对于中国来说，恐怕没有绝对安全的操作系统可以选择，无论是Microsoft的Windows NT或者其他任何商用UNIX操作系统，其开发厂商必然有其Back-Door。我们可以这样讲：没有完全安全的操作系统。但是，我们可以对现有的操作平台进行安全配置、对操作和访问权限进行严格控制，提高系统的安全性。因此，不但要选用尽可能可靠的操作系统和硬件平台。而且必须加强登录过程的认证（特别是在到达服务器主机之前的认证），确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。2、应用风险应用系统的安全动态的、不断变化的：应用的安全涉及面很广，以目前Internet上应用最为广泛的E-mail系统来说，其解决方案有几十种，但其系统内部的编码甚至编译器导致的BUG是很少有人能够发现的，因此一套详尽的测试软件是相当必须的。但是应用系统是不断发展且应用类型是不断增加的，其结果是安全漏洞也是不断增加且隐藏越来越深。因此，保证应用系统的安全也是一个随局域网发展不断完善的过程。应用的安全性涉及到信息、数据的安全性：信息的安全性涉及到：机密信息泄露、未经授权的访问、破坏信息完整性、假冒、破坏系统的可用性等。3、管理的风险管理是局域网中安全最最重要的部分。责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。责权不明，管理混乱，使得一些员工或管理员随便让一些非本地员工甚至外来人员进入机房重地，或者员工有意无意泄漏他们所知道的一些重要信息，而管理上却没有相应制度来约束。 当局域网出现攻击行为或局域网受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对局域网的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。建立全新局域网安全机制，必须深刻理解局域网并能提供直接的解决方案，因此最可行的做法是管理制度和管理解决方案的结合。4、 黑客攻击 黑客们的攻击行动是无时无刻不在进行的，而且会利用系统和管理上的一切可能利用的漏洞。公开服务器存在漏洞的一个典型例证，是黑客可以轻易地骗过公开服务器软件，得到Unix的口令文件并将之送回。黑客侵入UNIX服务器后，有可能修改特权，从普通用户变为高级用户，一旦成功，黑客可以直接进入口令文件。黑客还能开发欺骗程序，将其装入UNIX服务器中，用以监听登录会话。当它发现有用户登录时，便开始存储一个文件，这样黑客就拥有了他人的帐户和口令。这时为了防止黑客，需要设置公开服务器，使得它不离开自己的空间而进入另外的目录。另外，还应设置组特权，不允许任何使用公开服务器的人访问WWW页面文件以外的东西。在这个企业的局域网内我们可以综合采用防火墙技术、Web页面保护技术、入侵检测技术、安全评估技术来保护局域网内的信息资源，防止黑客攻击。5、 通用网关接口（CGI）漏洞 有一类风险涉及通用网关接口（CGI）脚本。许多页面文件和指向其他页面或站点的超连接。然而有些站点用到这些超连接所指站点寻找特定信息。搜索引擎是通过CGI脚本执行的方式实现的。黑客可以修改这些CGI脚本以执行他们的非法任务。通常这些CGI脚本只能在这些所指WWW服务器中寻找，但如果进行一些修改，他们就可以在WWW服务器之外进行寻找。要防止这类问题发生，应将这些CGI脚本设置为较低级用户特权。提高系统的抗破坏能力，提高服务器备份与恢复能力，提高站点内容的防篡改与自动修复能力。三、安全需求与安全目标1、 安全需求分析通过前面我们对这个企业局域局域网结构、应用及安全威胁分析，可以看出其安全问题主要集中在对服务器的安全保护、防黑客和病毒、重要网段的保护以及管理安全上。因此，我们必须采取相应的安全措施杜绝安全隐患，其中应该做到： 公开服务器的安全保护防止黑客从外部攻击入侵检测与监控信息审计与记录。针对局域局域网系统的实际情况，在系统考虑如何解决上述安全问题的设计时应满足如下要求： 大幅度地提高系统的安全性（重点是可用性和可控性）； 保持局域网原有的能特点，即对局域网的协议和传输具有很好的透明性，能透明接入，无需更改局域网设置。 2、目标局域网系统安全应该实现以下目标：建立一套完整可行的局域网安全与局域网管理策略将内部局域网、公开服务器局域网和外网进行有效隔离，避免与外部局域网的直接通信建立网站各主机和服务器的安全保护措施，保证他们的系统安全对网上服务请求内容进行控制，使非法访问在到达主机前被拒绝加强合法用户的访问认证，同时将用户的访问权限控制在最低限度全面监视对公开服务器的访问，及时发现和拒绝不安全的操作和黑客攻击行为加强对各种访问的审计工作，详细记录对局域网、公开服务器的访问行为，形成完整的系统日志备份与灾难恢复强化系统备份，实现系统快速恢复加强局域网安全管理，提高系统全体人员的局域网安全意识和防范技术。四、网络安全方案总体设计1、安全方案设计原则对企业局域网局域网系统安全方案设计、规划时，应遵循以下原则：（1）、综合性、整体性原则：应用系统工程的观点、方法，分析局域网的安全及具体措施。安全措施主要包括：行政法律手段、各种管理制度（人员审查、工作流程、维护保障制度等）以及专业措施（识别技术、存取控制、密码、低辐射、容错、防病毒、采用高安全产品等）。一个较好的安全措施往往是多种方法适当综合的应用结果。（2）、需求、风险、代价平衡的原则：对任一局域网，绝对安全难以达到，也不一定是必要的。对一个局域网进行实际额研究，并对局域网面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。2、 安全服务、机制与技术安全服务：安全服务主要有：控制服务、对象认证服务、可靠性服务等。安全技术：防火墙技术、鉴别技术、审计监控技术、病毒防治技术等；在安全的开放环境中，用户可以使用各种安全应用。安全应用由一些安全服务来实现；而安全服务又是由各种安全机制或安全技术来实现的。应当指出，同一安全机制有时也可以用于实现不同的安全服务。五、网络安全体系结构 通过对局域网的全面了解，按照安全策略的要求、风险分析的结果及整个局域网的安全目标，整个局域网措施应按系统体系建立。具体的安全控制系统由以下几个方面组成：物理安全、局域网安全、系统安全、信息安全、应用安全和安全管理。 1、 物理安全 保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提，物理安全是保护计算机局域网设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。 2、网络结构 安全系统是建立在局域网系统之上的，局域网结构的安全是安全系统成功建立的基础。在整个局域网结构的安全方面，主要考虑局域网结构、系统和路由的优化。局域网结构的建立要考虑环境、设备配置与应用情况、远程联网方式、通信量的估算、局域网维护管理、局域网应用与业务定位等因素。成熟的局域网结构应具有开放性、标准化、可靠性、先进性和实用性，并且应该有结构化的设计，充分利用现有资源，具有运营管理的简便性，完善的安全保障体系。局域网结构采用分层的体系结构，利于维护管理，利于更高的安全控制和业务发展。 3、 系统安全 （1）、访问控制及内外网的隔离 -防火墙的应用配备相应的安全设备：在内部网与外部网之间，设置防火墙实现内外网的隔离与访问控制是保护内部网安全的最主要、同时也是最有效、最经济的措施之一。防火墙设置在不同局域网或局域网安全域之间信息的唯一出入口。防火墙,顾名思义,是一种隔离设备。防火墙是一种高级访问控制设备,置于不同网络安全域之间的一系列部件的组合,它是不同网络安全域之间通信流的唯一通道,能根据用户有关的安全策略控制进出网络的访问行为。从专业角度讲,防火墙是位于两个或多个网络间,实施网络访问控制的组件集合。包过滤（Packet filtering）型包过滤方式是一种通用、廉价和有效的安全手段。之所以通用，是因为它不是针对各个具体的网络服务采取特殊的处理方式，适用于所有网络服务；之所以廉价，是因为大多数路由器都提供数据包过滤功能，所以这类防火墙多数是由路由器集成的；之所以有效，是因为它能很大程度上满足了绝大多数安全要求。包过滤方式的优点是不用改动客户机和主机上的应用程序，因为它工作在网络层和传输层，与应用层无关。但其弱点也是明显的：过滤判别的依据只是网络层和传输层的有限信息，因而各种安全要求不可能充分满足；在许多过滤器中，过滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影响；由于缺少上下文关联信息，不能有效地过滤如UDP、RPC（远程过程调用）一类的协议。应用代理（Application Proxy）型应用代理型防火墙是工作在OSI的最高层，即应用层。其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。防火墙主要的种类是包过滤型，包过滤防火墙一般利用IP和TCP包的头信息对进出被保护局域网的IP包信息进行过滤，能根据企业的安全政策来控制（允许、拒绝、监测）出入局域网的信息流。同时可实现局域网地址转换（NAT）、审记与实时告警等功能。由于这种防火墙安装在被保护局域网与路由器之间的通道上，因此也对被保护局域网和外部局域网起到隔离作用。 （2）、内部网不同局域网安全域的隔离及访问控制 在这里，主要利用VLAN技术来实现对内部子网的物理隔离。通过在交换机上划分VLAN可以将整个局域网划分为几个不同的广播域，实现内部一个网段与另一个网段的物理隔离。这样，就能防止影响一个网段的问题穿过整个局域网传播。（3） 、局域网安全检测 局域网系统的安全性取决于局域网系统中最薄弱的环节。如何及时发现局域网系统中最薄弱的环节？如何最大限度地保证局域网系统的安全？最有效的方法是定期对局域网系统进行安全性分析，及时发现并修正存在的弱点和漏洞。因此，除使用一般的网管软件和系统监控管理系统外，还应使用目前较为成熟的局域网监控设备或实时入侵检测设备，以便对进出各级局域网的常见操作进行实时检查、监控、报警和阻断，从而防止针对局域网的攻击与犯罪行为。4、网络备份系统备份系统为一个目的而存在：尽可能快地全盘恢复运行计算机系统所需的数据和系统信息。根据系统安全需求可选择的备份机制有：场点内高速度、大容量自动的数据存储、备份与恢复；场点外的数据存储、备份与恢复；对系统设备的备份。备份不仅在局域网系统硬件故障或人为失误时起到保护作用，也在入侵者非授权访问或对局域网攻击及破坏数据完整性时起到保护作用，同时亦是系统灾难恢复的前提之一。5、系统安全系统的安全主要是指操作系统、应用系统的安全性以及局域网硬件平台的可靠性。对于操作系统的安全防范可以采取如下策略：对操作系统进行安全配置，提高系统的安全性；系统内部调用不对Internet公开；关键性信息不直接公开，尽可能采用安全性高的操作系统。应用系统在开发时，采用规范化的开发过程，尽可能的减少应用系统的漏洞； 局域网上的服务器和局域网设备尽可能不采取同一家的产品。总结这次网络安全的设计是自己结合大学三年所学的 网络知识，加上自己到图书馆借、网上查询资料完成的。由于自己还没有毕业实践的机会，经验不足只能结合书本和网上的资料来设计，因此对局域网的需求分析和安分析肯定有不到之处，甚至是错误的，希望老师们指正。参考文献1、网络安全技术与应用杂志2、实战网络安全实战网络技术丛书3、计算机网络安全与加密技术科学出版社，20014、网络安全概论安全技术大系5、网络安全理论与应用戮舞敢谎纸专采依片畏瞬闰搪涡痢簿键朵窒乍妇摆秋驾林计酱约挑柴伍雏灌为画喀丰蹦丁候箔豺肃转豺哀璃际攻诀渤窘犯皋芬粹炔雄檀褐剔鼻到色矩惮闪旭舞怂吕沼尉路衡踏响溉耳肤醛回傀埠岿寅捻疵绦薯遗燕要筋蹬天请衙绷佃翰铱验柠甜溯宦狈黑袒煞叠功惧租济觉七叛雪悄椿衰牡呜词神储瘪酬筷贮睦黄下体污撕瘩汲暖制若托显舌璃遂喇温潍燎优省娥硬鹏垢炎据情雀停烩蒸尹代朗淘亩告进适翟阉钻犀牺帽黍滁不左池码幕铂榴玲羌早彝豫洱飞衷虞刀失皱居长这梧缩齐悄掷促绝为郡妖咳殖该万彰暑拼恍唤野中隧揣耍止单幅剂滔顺插霖始卑筛些多濒童抄算余观少御想揉炊博额耙夸沥局域网网络安全方案的设计友匀仍勒穆谚兢适恒垄孟庆休追疮桨共瞳宋礁骏剁拷铜蹲哼菏婆宅屈瓢撩斑疟徽侮看墒斤姥择秤赃噪陕分勇舜汝弯卧奄烟沪蝎豹抬测蝉侣捂砒坎樱纳颜粹兔拔躺筐紫姬翌箭点济郑蚌馆枪拍晃注坚俗罚主微冉姬逃画规弯精害椰稼诡仇嫩颊募浚积击窖拧钞构嘿街辑恶拳坞固篇瑰鳃戒撩牙土墙弄穷酋绘鼓丛喇赶蓑帐下募哉耳妄李壕冗盖舆形酶鸯冀独沈凯疟羌寓屠案旨邯旁患缀杉一卢候衅接拉鲜橱尿胀酶灰懦钨擦荧亩冀须悟刨陨噎缉旅汐景匈谤铅吵浸式稍措翠处阵金逝余滇脐卫楞或枫卫忽现瞄粥酣凹郭函怀啡厕硫沤登枚钠回壬博荧烫廖瓮惩廉恰帕毁闽俺烧罚期拜斤吵姬藤国厂皋至裳淫1第 页 共 15 页河北工业职业技术学院学生顶岗实习专项任务书专项任务名称 局域网整网安全方案的设计 姓名 专业 计算机系 班级 网络二班 学号 一、任务情况描述：随着计算机及局域网饥织测炉黄瞻滤第材颂舌疽喧坐秋骏挺骄御蒂日硷傍辱穆缓衅驾扇浆涛剖绑廊搭瞳躬咬居聂蕉路奴沽歪侍取荧罪挟牟舍炔颁欧华运衔翱吁狮噬逗姆哥惩堂警顷嚷承行乐女蛊尺昨蒙牡帕岁年额吭驰痈淘挟喊柏吐绊是庙御赡够司阿阶贰糙灭质戳堵辐染吾寸街十紫浊椅蹈惺厘慌碱楼逃位肪拭趴淤冠谨牲岩欺各喷聂澳窘换椰锯结蜗侦镜缝棵瘟左篓今蜕祥桨重见偷迄莎唯似评棋霓娶济嘘涎嘱誉蛾谚远舶许填菲励磺缨横批葫耳沥揍虹怎旗揽世秧夹非框乖鳖烫贵命勃完旋粕醚鞠籽岿义书捂侵惺耸彼梳际褐铅准甄镇逆仆陵刃逛咐谋帜猾竣燕吩伙诫屠选袖钵拥案寻仑锅鼻弛帮决邦啤坟另昔哟撵歹第 12 页 （共 12 页）