企业网络系统的安全策略

企业网络系统的安全策略<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

The Strategies of  the Network Security in a Corporation

                       张 坤­­¹       段宝霞²   麦 影³  

（ 1 广州暨南大学信息与科学技术学院， 2 、 3 广州暨南大学管理学院   510632 ）

 

摘   要： 本文针对企业目前面临的网络安全困境，提出一个网络安全模型，企业可以依据该模型为自己的网络制定安全策略，从而提高企业网络的安全性。文章还为企业的网络安全设计提出建议，最后给出了一个企业网络安全性设计的例子。

关键词： 网络系统   网络安全   加密   防火墙

 

Abstract: A pattern of network security is given aiming at the network security problem puzzling a corporation. Depending on this pattern, the corporation can make out its strategies of the network security, thus strengthen the safety of the network. At last, in this paper, some suggestions and an example are given to the design of the network security of the corporation.

Key words: network system, network security , encrypt , firewall

 

一．网络安全模型

企业网络安全性在网络界正受到越来越普遍的关注，一方面因为网络***事件经常发生，另一方面由于网络安全性技术的大量涌现。如何利用网络安全性技术保护企业网络系统的安全成为大家所关心的问题。首先我们来看一下网络的安全模型。

一般说来，如果网络系统能够满足以下规则或条件，则可以认为这个系统是安全的：

1．资源访问(包括逻辑和物理访问)前必须经过认证和授权(帐号或钥匙)。网络资源指网络基础设施设备，网络主机，网络中传输的数据。

2．只有访问这些资源的人员才能获得帐号或钥匙。用户不能以任何方式获得和其身份不符的帐号及权限。

3．合法用户接收的信息是完整的、正确的，即信息在传输或保存期间没有被篡改或者破坏。

4．以上规则被破坏的，或者违反以上规则所付出的代价要超过信息本身的价值。

5．系统能够拒绝非法的请求。

6．用户对资源的访问要受到监察记录。

满足前四个条件，可以认为这个系统的数据或信息是安全的，即保证非法用户不能够访问网络系统中的资源，包括不能读取更改网络设备、操作系统的配置和应用系统中的数据。第五个条件是保证系统免受DoS(Denial of Service)类型的***。只有完全满足前5个条件的系统才是真正安全的。事实上由于受系统所选择的产品和技术的限制，不可避免地存在某些缺陷，比如为防止用户窃取口令，系统对所有口令予以加密，由于算法的限制，理论上***者只要有足够的耐心和足够强的运算能力，最终是能够破解的；另外由于管理等方面的原因，也会导致帐号失窃等事件发生。所以一般来说，完全满足安全模型中前面四个条件是很困难的。第五个条件就是要保证如果系统的前面四个规则被破坏，系统管理员能够很快发现问题并知道问题发生的原因，从而有助于防范下一次***。

 

在进一步说明企业网络的安全解决方案之前，首先分析一下当前网络***类型和现有的一些安全性技术。

二．网络***类型

网络***大致可以分为这样几种类型：

l         由于管理员设置上的原因，让某些用户可以访问其不该访问的资源，即违反了上述安全模型的第二条。

l         由于网络产品本身设计上的缺陷，系统对用户访问某些资源没有作限制。

l         还有一些***不是利用管理或者系统的漏洞，而是由整个系统的安全性设计方面的问题，即由计算机网络安全性所导致。

前两种***一般是从管理和产品上予以防范，这类***也比较容易理解。第三种***的具体表现形式比较丰富，一般说来，计算机网络安全性的***类别有：

l         中断***(Interruption)，这种***是破坏系统的可用性。

l         窃听***(Interception)，获得机密数据或者信息，包括用户的帐号和机密文件。

l         修改数据***(Modification)，修改传输过程中的数据，破坏系统数据的完整性。

l         伪造数据***(Fabrication)，未经授权的用户向系统发送数据包破坏系统。

 

三．网络安全技术

在网络***类型中看到，***者的***对象有两类，一类传输中的网络数据；另一类是系统。针对系统的***又可以进一步分为两种：一种以获取或者更改系统的数据为目的，另一种是DoS(Denial of Service)***，也就是让网络中的重要系统停止服务。针对不同的***应该采用相应的网络技术来予以防范。

l         防止数据在传输中的受***

***传输中的数据有多个目的，其一为获得数据内容；其二为更改数据，破坏数据的完整性；其三为分析数据流。保护传输中数据的机密性和完整性的方法有多种，可以在应用层(或者会话层传输层)上实现，也可以在网络层上实现或者物理(数据)链路层上实现。下面是一个示意图：

<?xml:namespace prefix = v ns = "urn:schemas-microsoft-com:vml" />

链路层加密是在每两个传输节点间的链路上实施加密，其优点明显，但是要求每个传输节点上均实施加密和解密，这在许多情况下是不现实的。

网络层的加密只在两个端系统上实施，比如在源和目的主机上实施，也可以由连接网络的网关或路由器设备实施。由于是网络层上的实施，对于采用该网络协议的应用来说是完全透明的。如果是在网关或者路由器上实施，则对所有的其它网络设备或用户，只要他们选择特定的网络协议，就能够满足网络数据安全传输的需要。IPSec就是工作在IP层的加密技术。

应用层加密，这里所指的应用层加密不是OSI 7层模型中的应用层，而是泛指该加密方法和应用直接相关。虽然有些技术可以支持多种技术，如工作于TCP上的SSL，可以支持HTTP、FTP、NNTP等协议，以及既支持TCP又支持UDP的SOCKS技术，由于它们对应用来说不是完全透明的或者对应用程序有一定的要求，对这一类加密技术在这里我们通称为应用层加密。应用层加密的特点是要求两端应用程序对该加密技术的支持。

这几种技术可单独使用，也可结合使用，以进一步提高系统的安全性。具体选择哪种技术应依据具体的应用环境而定。

l         防止对系统的***

针对***系统的不同目的，采用的安全性技术也不同。如果***者是为了进入系统窃取或更改数据，可以采用认证和授权技术予以防范；如果***者是采取DoS***系统停止服务，可以采用防火墙或者代理服务器对重要系统或网络予以保护。

1．认证技术

一般系统会有自己的认证系统或者认证技术。常见的认证技术有：S/Key、Token口令认证模式、PPP的PAP，CHAP，EAP、以及TACACS+、RADIUS、Kerberos、DCE、FORTEZZA等。

S/Key认证可以防止Replay***；PPP的PAP认证在网络上传输的ID/Password是明文方式；PPP CHAP通过两端共享相同密钥，认证过程不需要传送密钥，而且在连接建立后认证可以重复；TACACS+和RADIUS一般认证的客户端一般是NAS(Networks Access Server——访问服务器)，TACACS+能够接收任意长度和内容的认证，包括支持：PPP PAP、PPP CHAP、token cards和Kerberos；Kerberos一般用于认证网络资源请求，客户端和服务器端信任一个公共的服务器，客户访问服务器资源之前需要向该公共服务器申请，认证通过公共服务器会给客户端一个有时间限制的的Ticket。DCE(Distributed Computing Environment)是一组技术规范，这些技术提供对数据和名字服务访问的安全保护和控制，它同时提供授权和认证，认证事实上就是kerberos；FORTEZZA属于MISSI(Multilevel Information System Security Initiative)中的一部分，MISSI是美国NSA(National Security Agency)领导制定一个安全性解决方案框架，通过该框架内的各个部分用户可以灵活地搭建满足自己需要的安全性解决方案，FORTEZZA需要应用的支持，主要的FORTEZZA应用包括E-MAIL，EDI，WWW以及文件加密和身份标识及认证等内容。

2．防火墙技术

通过防火墙技术将不同安全等级的网络予以隔离，不同安全等级间网络的访问由防火墙设备来监控，防火墙通过检测每一个数据包并判断这些数据包是否符合某个特定的规则决定是否转发该数据包，从而达到保护网络以及使重要系统免受DoS***。防火墙有多种类型，它可以是一个专用的设备，也可以是一个软件，甚至某些路由器也可以执行某些类似防火墙的功能，一般来说，专用的防火墙设备或者软件由于其能够针对具体应用的数据包进行分析，所以所能防范的***类型也丰富得多。硬件防火墙目前市场占有率比较高的是Cisco公司的PIX防火墙，软件防火墙有Checkpoint公司的Firewall-I，整个防火墙市场目前市场份额最大的是Checkpoint公司的产品。关于防火墙技术的介绍目前有大量的资料，在有关网络安全性或者一般的IT媒体网站上均能找到相关资料，这里不作具体的分析。

3．代理服务器技术

代理服务器通过代理内部网络主机和外部网络主机进行通信，隔离内部网络和外部网络从而达到保护内部网络的目的。代理服务器一般是针对某种具体的应用，如HTTP和FTP代理，或者要求被代理的主机支持某些特定的标准或规范，如winsock或socks，所以对有些应用来说并不适合，典型的例子是一般代理服务器不支持H.323协议。

 

四．网络安全解决方案

网络的安全性不是单纯的技术问题，它和系统的管理维护制度等方面密切相关。下面是企业网络系统安全体系的说明图：

由上图看到，要实现完整的企业网络安全性，首先要制定一个完整的企业安全策略。一个完整的企业网络系统安全策略涵盖的内容很多，整个网络系统的安全性也不仅依赖于安全可靠的网络操作、应用系统和网络设备的安全性。

制定企业的网络安全策略时，要注意一些原则，这些原则是企业设计网络安全策略时通常需要考虑的：

1). 需求、风险、代价平衡分析的原则：对一个网络要进行实际分析，对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。保护成本、被保护信息的价值必须平衡。

2). 授权、认证原则：对那些确实需要保护的企业网络资源——包括设备、软件、数据等，保证在对这些资源的访问前，用户必须经过授权和认证，符合身份验证及授权的用户才能够获得相应的访问权限。

3). 一致性原则：主要指只有应该具备访问权的人才能够获得相应的访问资源的帐号。这里要特别注意因为员工更换部门，或者离开公司，其相应的帐号或者权限也要相应取消。

4). 综合性、完整性原则：运用系统工程的观点、方法，分析网络的安全问题，并制定具体措施。一个较好的安全措施往往是多种方法适当综合的应用结果。

5). 建立安全监控、报警手段或者机制：可对网络的安全策略是否得到了正确实施，以及对违反安全策略的行为予以报警，有助于确保整个网络系统的安全性。

6). 易操作性原则：如果措施过于复杂，对人的要求过高，本身就降低了安全性。

7). 适应性、灵活性原则：安全措施必须能随网络性能及安全需求的变化而变化，要容易适应、容易修改。

8). 多重保护原则

 

制定一个完整的企业网络安全策略后，就可以采用相应的技术及产品实现这些安全策略，保证系统的安全性。

依据对安全性要求的不同，通常可以将企业网络分成三个不同的部分：园区网络主体，拨入连接以及Internet连接，如下图所示：

园区网络主体部分包括企业网络的核心，拨入部分包括远程分支连接和移动用户及远程计算。Internet部分提供中心园区网络到internet的连接。这三个部分要单独考虑创建一个复杂的安全策略。

 

五．企业网安全设计举例

由于不同的企业网络状况以及其对安全性要求的不同，各个企业在设计自身的网络系统安全性时所采用的策略必然不尽相同。这里只是针对企业所共有或者常见的部分提出作者的一点看法供大家参考。

l         在园区网络，划分VLAN隔离网络的广播域，通过将不同用户或资源划分到不同的VLAN中，利用路由器或者防火墙对VLAN间的访问进行控制；对于更重要的系统，建议采用全交换式网络使共享域减小，交换式网络可以防止用户采用简单的网络数据分析软件窃听网络数据。

l         在拨号接入上，建立AAA认证服务器，一方面方便用户经常更换口令，另一方面可以实施更加严格的安全策略，并且对这些策略的实施予以监视。

l         在Internet接入方面，对于安全性要求不高的企业，可以选择代理服务器接入，对于安全性要求高的企业，建议选用防火墙设备接入，为保护企业WWW、邮件等服务器，所选择的防火墙最好能够对这一类服务器提供专门的保护，目前市场上有大量关于防火墙的书籍，如果对防火墙产品不是特别熟悉，建议阅读相关的资料。

l         为方便用户对资源访问以及方便网络管理，有必要建立一个统一的安全认证及授权系统，比如用户在企业内部访问邮件服务器和其拨号帐号，与访问Internet的帐号是一致的，统一的帐号管理有助于确保安全策略的实施及管理。

l         如果您的网络规模比较大，网络设备比较多，建议在网络上配置能够对***进行检测的主动防御系统。Cisco、ISS、Abirnet以及Internet tools等公司均提供产品。

 

参考文献：

1．   ( 美 )Peter Norton,( 美 )Mike Stockman ；潇湘工作室译 《网络安全指南》人民邮电出版社， 2000

2．   ( 美 )Terry William Ogletree 著；李之棠 , 李伟明，陈琳 等译   《防火墙原理与实施》 电子工业出版社， 2001   

3．  赵斌斌编 《网络安全与***工具防范》   科学出版社， 2001

4．   江志强 , 傅航   《信息网络安全技术综述》　中国民用航空 2001 年 12 期

5．  吕锋锋 , 韩继华 , 王秦   《计算机网络安全概论   》 通讯世界 2002 年 02 期

6．   钱榕   《***行为与网络安全》 电力机车技术 2002 年 01 期

作者简介： 张坤，女，汉族， 1977 年生，硕士研究生，专业：通信与信息系统   主要研究方向：专用集成电路（ ASIC ）

电话： 020-85225048  E-mail : [email]zh503@21cn.com[/email]

通讯地址：

（ 510632  广州暨南大学金陵一栋 335 房）张坤