第一章 總則　
本方案為某大型區域網網路安全解決方案，包括原有網路系統分析、安全需求分析、安全目標的確立、安全體系結構的設計、等。本安全解決方案的目標是在不影響某大型企業區域網當前業務的前提下，實現對他們區域網全面的安全管理。
　　1.將安全策略、硬體及軟體等方法結合起來，構成一個統一的防禦系統，有效阻止非法使用者進入網路，減少網路的安全風險。
　　2.定期進行漏洞掃描，審計跟蹤，及時發現問題，解決問題。
　　3.通過入侵檢測等方式實現實時安全監控，提供快速響應故障的手段，同時具備很好的安全取證措施。
　　4.使網路管理者能夠很快重新組織被破壞了的檔案或應用。使系統重新恢復到破壞前的狀態，最大限度地減少損失。
　　5.在工作站、伺服器上安裝相應的防病毒軟體，由中央控制檯統一控制和管理，實現全網統一防病毒。
　　 第二章 網路系統概況
　2.1 網路概況
　　這個企業的區域網是一個資訊點較為密集的千兆區域網絡系統，它所聯接的現有上千個資訊點為在整個企業內辦公的各部門提供了一個快速、方便的資訊交流平臺。不僅如此，通過專線與internet的連線，打通了一扇通向外部世界的窗戶，各個部門可以直接與網際網路使用者進行交流、查詢資料等。通過公開伺服器，企業可以直接對外發布資訊或者傳送電子郵件。高速交換技術的採用、靈活的網路互連方案設計為使用者提供快速、方便、靈活通訊平臺的同時，也為網路的安全帶來了更大的風險。因此，在原有網路上實施一套完整、可操作的安全解決方案不僅是可行的，而且是必需的。
　 2.1.1 網路概述
　　這個企業的區域網，物理跨度不大，通過千兆交換機在主幹網路上提供1000m的獨享頻寬，通過下級交換機與各部門的工作站和伺服器連結，併為之提供100m的獨享頻寬。利用與中心交換機連結的cisco 路由器，所有使用者可直接訪問internet。
　 2.1.2 網路結構
　　這個企業的區域網按訪問區域可以劃分為三個主要的區域：internet區域、內部網路、公開伺服器區域。內部網路又可按照所屬的部門、職能、安全重要程度分為許多子網，包括：財務子網、領導子網、辦公子網、市場部子網、中心伺服器子網等。在安全方案設計中，我們基於安全的重要程度和要保護的物件，可以在catalyst 型交換機上直接劃分四個虛擬區域網（vlan），即：中心伺服器子網、財務子網、領導子網、其他子網。不同的區域網分屬不同的廣播域，由於財務子網、領導子網、中心伺服器子網屬於重要網段，因此在中心交換機上將這些網段各自劃分為一個獨立的廣播域，而將其他的工作站劃分在一個相同的網段。（圖省略）
　　2.2 網路應用
　　這個企業的區域網可以為使用者提供如下主要應用：
　　1．檔案共享、辦公自動化、www服務、電子郵件服務；
　　2．檔案資料的統一儲存；
　　3．針對特定的應用在資料庫伺服器上進行二次開發(比如財務系統)；
　　4．提供與internet的訪問；
　　5．通過公開伺服器對外發布企業資訊、傳送電子郵件等；
　　2.3 網路結構的特點
　　在分析這個企業區域網的安全風險時，應考慮到網路的如下幾個特點：
　　1.網路與internet直接連結，因此在進行安全方案設計時要考慮與internet連結的有關風險，包括可能通過internet傳播進來病毒，黑客攻擊，來自internet的非授權訪問等。
　　2.網路中存在公開伺服器，由於公開伺服器對外必須開放部分業務，因此在進行安全方案設計時應該考慮採用安全伺服器網路，避免公開伺服器的安全風險擴散到內部。
　　3.內部網路中存在許多不同的子網，不同的子網有不同的安全性，因此在進行安全方案設計時，應考慮將不同功能和安全級別的網路分割開，這可以通過交換機劃分vlan來實現。
　　4.網路中有二臺應用伺服器，在應用程式開發時就應考慮加強使用者登入驗證，防止非授權的訪問。
　　總而言之，在進行網路方案設計時，應綜合考慮到這個企業區域網的特點，根據產品的效能、價格、潛在的安全風險進行綜合考慮。
第三章 網路系統安全風險分析
　　隨著internet網路急劇擴大和上網使用者迅速增加，風險變得更加嚴重和複雜。原來由單個電腦保安事故引起的損害可能傳播到其他系統，引起大範圍的癱瘓和損失；另外加上缺乏安全控制機制和對internet安全政策的認識不足，這些風險正日益嚴重。
　　針對這個企業區域網中存在的安全隱患，在進行安全方案設計時，下述安全風險我們必須要認真考慮，並且要針對面臨的風險，採取相應的安全措施。下述風險由多種因素引起，與這個企業區域網結構和系統的應用、區域網內網路伺服器的可靠性等因素密切相關。下面列出部分這類風險因素：
　　網路安全可以從以下三個方面來理解：1 網路物理是否安全；2 網路平臺是否安全；3 系統是否安全；4 應用是否安全；5 管理是否安全。針對每一類安全風險，結合這個企業區域網的實際情況，我們將具體的分析網路的安全風險。
　　3.1物理安全風險分析
　　網路的物理安全的風險是多種多樣的。網路的物理安全主要是指地震、水災、火災等環境事故；電源故障；人為操作失誤或錯誤；裝置被盜、被毀；電磁干擾；線路截獲。以及高可用性的硬體、雙機多冗餘的設計、機房環境及報警系統、安全意識等。它是整個網路系統安全的前提，在這個企業區區域網內，由於網路的物理跨度不大，，只要制定健全的安全管理制度，做好備份，並且加強網路裝置和機房的管理，這些風險是可以避免的。
　　3.2網路平臺的安全風險分析
　　網路結構的安全涉及到網路拓撲結構、網路路由狀況及網路的環境等。
　　公開伺服器面臨的威脅
　　這個企業區域網內公開伺服器區（www、email等伺服器）作為公司的資訊釋出平臺，一旦不能執行後者受到攻擊，對企業的聲譽影響巨大。同時公開伺服器本身要為外界服務，必須開放相應的服務；每天，黑客都在試圖闖入internet節點，這些節點如果不保持警惕，可能連黑客怎麼闖入的都不知道，甚至會成為黑客入侵其他站點的跳板。因此，規模比較大網路的管理人員對internet安全事故做出有效反應變得十分重要。我們有必要將公開伺服器、內部網路與外部網路進行隔離，避免網路結構資訊外洩；同時還要對外網的服務請求加以過濾，只允許正常通訊的資料包到達相應主機，其他的請求服務在到達主機之前就應該遭到拒絕。
　　整個網路結構和路由狀況
　　安全的應用往往是建立在網路系統之上的。網路系統的成熟與否直接影響安全系統成功的建設。在這個企業區域網絡系統中，只使用了一臺路由器，用作與internet連結的邊界路由器，網路結構相對簡單，具體配置時可以考慮使用靜態路由，這就大大減少了因網路結構和網路路由造成的安全風險。
　　3.3系統的安全風險分析
　　所謂系統的安全顯而易見是指整個區域網網路作業系統、網路硬體平臺是否可靠且值得信任。
　　網路作業系統、網路硬體平臺的可靠性：對於中國來說，恐怕沒有絕對安全的作業系統可以選擇，無論是microsoft的windows nt或者其他任何商用unix作業系統，其開發廠商必然有其back-door。我們可以這樣講：沒有完全安全的作業系統。但是，我們可以對現有的操作平臺進行安全配置、對操作和訪問許可權進行嚴格控制，提高系統的安全性。因此，不但要選用盡可能可靠的作業系統和硬體平臺。而且，必須加強登入過程的認證（特別是在到達伺服器主機之前的認證），確保使用者的合法性；其次應該嚴格限制登入者的操作許可權，將其完成的操作限制在最小的範圍內。
　　3.4應用的安全風險分析
　　應用系統的安全跟具體的應用有關，它涉及很多方面。應用系統的安全是動態的、不斷變化的。應用的安全性也涉及到資訊的安全性，它包括很多方面。
　　應用系統的安全動態的、不斷變化的：應用的安全涉及面很廣，以目前internet上應用最為廣泛的e-mail系統來說，其解決方案有幾十種，但其系統內部的編碼甚至編譯器導致的bug是很少有人能夠發現的，因此一套詳盡的測試軟體是相當必須的。但是應用系統是不斷髮展且應用型別是不斷增加的，其結果是安全漏洞也是不斷增加且隱藏越來越深。因此，保證應用系統的安全也是一個隨網路發展不斷完善的過程。
　　應用的安全性涉及到資訊、資料的安全性：資訊的安全性涉及到：機密資訊洩露、未經授權的訪問、破壞資訊完整性、假冒、破壞系統的可用性等。由於這個企業區域網跨度不大，絕大部分重要資訊都在內部傳遞，因此資訊的機密性和完整性是可以保證的。對於有些特別重要的資訊需要對內部進行保密的（比如領導子網、財務系統傳遞的重要資訊）可以考慮在應用級進行加密，針對具體的應用直接在應用系統開發時進行加密。
　　3.5管理的安全風險分析
　　管理是網路安全中最重要的部分
　　管理是網路中安全最最重要的部分。責權不明，管理混亂、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風險。責權不明，管理混亂，使得一些員工或管理員隨便讓一些非本地員工甚至外來人員進入機房重地，或者員工有意無意洩漏他們所知道的一些重要資訊，而管理上卻沒有相應制度來約束。
　　當網路出現攻擊行為或網路受到其它一些安全威脅時（如內部人員的違規操作等），無法進行實時的檢測、監控、報告與預警。同時，當事故發生後，也無法提供黑客攻擊行為的追蹤線索及破案依據，即缺乏對網路的可控性與可審查性。這就要求我們必須對站點的訪問活動進行多層次的記錄，及時發現非法入侵行為。
　　建立全新網路安全機制，必須深刻理解網路並能提供直接的解決方案，因此，最可行的做法是管理制度和管理解決方案的結合。
　　3.6黑客攻擊
　　黑客們的攻擊行動是無時無刻不在進行的，而且會利用系統和管理上的一切可能利用的漏洞。公開伺服器存在漏洞的一個典型例證，是黑客可以輕易地騙過公開伺服器軟體，得到unix的口令檔案並將之送回。黑客侵入unix伺服器後，有可能修改特權，從普通使用者變為高階使用者，一旦成功，黑客可以直接進入口令檔案。黑客還能開發欺騙程式，將其裝入unix伺服器中，用以監聽登入會話。當它發現有使用者登入時，便開始儲存一個檔案，這樣黑客就擁有了他人的帳戶和口令。這時為了防止黑客，需要設定公開伺服器，使得它不離開自己的空間而進入另外的目錄。另外，還應設定組特權，不允許任何使用公開伺服器的人訪問www頁面檔案以外的東西。在這個企業的區域網內我們可以綜合採用防火牆技術、web頁面保護技術、入侵檢測技術、安全評估技術來保護網路內的資訊資源，防止黑客攻擊。
3.7通用閘道器介面（cgi）漏洞
　　有一類風險涉及通用閘道器介面（cgi）指令碼。許多頁面檔案和指向其他頁面或站點的超連線。然而有些站點用到這些超連線所指站點尋找特定資訊。搜尋引擎是通過cgi指令碼執行的方式實現的。黑客可以修改這些cgi指令碼以執行他們的非法任務。通常，這些cgi指令碼只能在這些所指www伺服器中尋找，但如果進行一些修改，他們就可以在www伺服器之外進行尋找。要防止這類問題發生，應將這些cgi指令碼設定為較低階使用者特權。提高系統的抗破壞能力，提高伺服器備份與恢復能力，提高站點內容的防篡改與自動修復能力。
　　3.8惡意程式碼
　　惡意程式碼不限於病毒，還包括蠕蟲、特洛伊木馬、邏輯炸彈、和其他未經同意的軟體。應該加強對惡意程式碼的檢測。
　　3.9病毒的攻擊
　　計算機病毒一直是電腦保安的主要威脅。能在internet上傳播的新型病毒，例如通過e-mail傳播的病毒，增加了這種威脅的程度。病毒的種類和傳染方式也在增加，國際空間的病毒總數已達上萬甚至更多。當然，檢視文件、瀏覽影象或在web上填表都不用擔心病毒感染，然而，下載可執行檔案和接收來歷不明的e-mail檔案需要特別警惕，否則很容易使系統導致嚴重的破壞。典型的“cih”病毒就是一可怕的例子。
　　3.10不滿的內部員工
　　不滿的內部員工可能在www站點上開些小玩笑，甚至破壞。不論如何，他們最熟悉伺服器、小程式、指令碼和系統的弱點。對於已經離職的不滿員工，可以通過定期改變口令和刪除系統記錄以減少這類風險。但還有心懷不滿的在職員工，這些員工比已經離開的員工能造成更大的損失，例如他們可以傳出至關重要的資訊、洩露安全重要資訊、錯誤地進入資料庫、刪除資料等等。
　　3.11網路的攻擊手段
　　一般認為，目前對網路的攻擊手段主要表現在：
　　非授權訪問：沒有預先經過同意，就使用網路或計算機資源被看作非授權訪問，如有意避開系統訪問控制機制，對網路裝置及資源進行非正常使用，或擅自擴大許可權，越權訪問資訊。它主要有以下幾種形式：假冒、身份攻擊、非法使用者進入網路系統進行違法操作、合法使用者以未授權方式進行操作等。
　　資訊洩漏或丟失：指敏感資料在有意或無意中被洩漏出去或丟失，它通常包括，資訊在傳輸中丟失或洩漏（如"黑客"們利用電磁洩漏或搭線竊聽等方式可截獲機密資訊，或通過對資訊流向、流量、通訊頻度和長度等引數的分析，推出有用資訊，如使用者口令、帳號等重要資訊。），資訊在儲存介質中丟失或洩漏，通過建立隱蔽隧道等竊取敏感資訊等。
　　破壞資料完整性：以非法手段竊得對資料的使用權，刪除、修改、插入或重發某些重要資訊，以取得有益於攻擊者的響應；惡意新增，修改資料，以干擾使用者的正常使用。
　　拒絕服務攻擊：它不斷對網路服務系統進行干擾，改變其正常的作業流程，執行無關程式使系統響應減慢甚至癱瘓，影響正常使用者的使用，甚至使合法使用者被排斥而不能進入計算機網路系統或不能得到相應的服務。
　　利用網路傳播病毒：通過網路傳播計算機病毒，其破壞性大大高於單機系統，而且使用者很難防範。
　　 第四章 安全需求與安全目標
4.1安全需求分析
　　通過前面我們對這個企業區域網絡結構、應用及安全威脅分析，可以看出其安全問題主要集中在對伺服器的安全保護、防黑客和病毒、重要網段的保護以及管理安全上。因此，我們必須採取相應的安全措施杜絕安全隱患，其中應該做到：
　　公開伺服器的安全保護
　　防止黑客從外部攻擊
　　入侵檢測與監控
　　資訊審計與記錄
　　病毒防護
　　資料安全保護
　　資料備份與恢復
　　網路的安全管理
　　針對這個企業區域網絡系統的實際情況，在系統考慮如何解決上述安全問題的設計時應滿足如下要求：
　　1.大幅度地提高系統的安全性（重點是可用性和可控性）；
　　2.保持網路原有的能特點，即對網路的協議和傳輸具有很好的透明性，能透明接入，無需更改網路設定；
　　3.易於操作、維護，並便於自動化管理，而不增加或少增加附加操作；
　　4.儘量不影響原網路拓撲結構，同時便於系統及系統功能的擴充套件；
　　5.安全保密系統具有較好的效能價格比，一次性投資，可以長期使用；
　　6.安全產品具有合法性，及經過國家有關管理部門的認可或認證；
　　7.分佈實施。
　　4.2網路安全策略
　安全策略是指在一個特定的環境裡，為保證提供一定級別的安全保護所必須遵守的規則。該安全策略模型包括了建立安全環境的三個重要組成部分，即：
　　威嚴的法律：安全的基石是社會法律、法規、與手段，這部分用於建立一套安全管理標準和方法。即通過建立與資訊保安相關的法律、法規，使非法分子懾於法律，不敢輕舉妄動。
　　先進的技術：先進的安全技術是資訊保安的根本保障，使用者對自身面臨的威脅進行風險評估，決定其需要的安全服務種類，選擇相應的安全機制，然後整合先進的安全技術。
　　嚴格的管理：各網路使用機構、企業和單位應建立相宜的資訊保安管理辦法，加強內部管理，建立審計和跟蹤體系，提高整體資訊保安意識。
　　4.3系統安全目標
　　基於以上的分析，我們認為這個區域網網路系統安全應該實現以下目標：
　　建立一套完整可行的網路安全與網路管理策略
　　將內部網路、公開伺服器網路和外網進行有效隔離，避免與外部網路的直接通訊
　　建立網站各主機和伺服器的安全保護措施，保證他們的系統安全
　　對網上服務請求內容進行控制，使非法訪問在到達主機前被拒絕
　　加強合法使用者的訪問認證，同時將使用者的訪問許可權控制在最低限度
　　全面監視對公開伺服器的訪問，及時發現和拒絕不安全的操作和黑客攻擊行為
　　加強對各種訪問的審計工作，詳細記錄對網路、公開伺服器的訪問行為，形成完 整的系統日誌
　　備份與災難恢復——強化系統備份，實現系統快速恢復
　　加強網路安全管理，提高系統全體人員的網路安全意識和防範技術
　　 第五章 網路安全方案總體設計
5.1安全方案設計原則
　　在對這個企業區域網網路系統安全方案設計、規劃時，應遵循以下原則：
　　綜合性、整體性原則：應用系統工程的觀點、方法，分析網路的安全及具體措施。安全措施主要包括：行政法律手段、各種管理制度（人員審查、工作流程、維護保障制度等）以及專業措施（識別技術、存取控制、密碼、低輻射、容錯、防病毒、採用高安全產品等）。一個較好的安全措施往往是多種方法適當綜合的應用結果。一個計算機網路，包括個人、裝置、軟體、資料等。這些環節在網路中的地位和影響作用，也只有從系統綜合整體的角度去看待、分析，才能取得有效、可行的措施。即計算機網路安全應遵循整體安全性原則，根據規定的安全策略制定出合理的網路安全體系結構。
　　需求、風險、代價平衡的原則：對任一網路，絕對安全難以達到，也不一定是必要的。對一個網路進行實際額研究（包括任務、效能、結構、可靠性、可維護性等），並對網路面臨的威脅及可能承擔的風險進行定性與定量相結合的分析，然後制定規範和措施，確定本系統的安全策略。
　　一致性原則：一致性原則主要是指網路安全問題應與整個網路的工作週期（或生命週期）同時存在，制定的安全體系結構必須與網路的安全需求相一致。安全的網路系統設計（包括初步或詳細設計）及實施計劃、網路驗證、驗收、執行等，都要有安全的內容光煥發及措施，實際上，在網路建設的開始就考慮網路安全對策，比在網路建設好後再考慮安全措施，不但容易，且花費也小得多。
　　易操作性原則：安全措施需要人為去完成，如果措施過於複雜，對人的要求過高，本身就降低了安全性。其次，措施的採用不能影響系統的正常執行。
　　分步實施原則：由於網路系統及其應用擴充套件範圍廣闊，隨著網路規模的擴大及應用的增加，網路脆弱性也會不斷增加。一勞永逸地解決網路安全問題是不現實的。同時由於實施資訊保安措施需相當的費用支出。因此分步實施，即可滿足網路系統及資訊保安的基本需求，亦可節省費用開支。
　　多重保護原則：任何安全措施都不是絕對安全的，都可能被攻破。但是建立一個多重保護系統，各層保護相互補充，當一層保護被攻破時，其它層保護仍可保護資訊的安全。
　　可評價性原則：如何預先評價一個安全設計並驗證其網路的安全性，這需要通過國家有關網路資訊保安測評認證機構的評估來實現。
　　5.2安全服務、機制與技術
　　安全服務：安全服務主要有：控制服務、物件認證服務、可靠性服務等；
　　安全機制：訪問控制機制、認證機制等；
　　安全技術：防火牆技術、鑑別技術、審計監控技術、病毒防治技術等；在安全的開放環境中，使用者可以使用各種安全應用。安全應用由一些安全服務來實現；而安全服務又是由各種安全機制或安全技術來實現的。應當指出，同一安全機制有時也可以用於實現不同的安全服務。
　　 第六章 網路安全體系結構
通過對網路的全面瞭解，按照安全策略的要求、風險分析的結果及整個網路的安全目標，整個網路措施應按系統體系建立。具體的安全控制系統由以下幾個方面組成：物理安全、網路安全、系統安全、資訊保安、應用安全和安全管理
　　6.1物理安全
　　保證計算機資訊系統各種裝置的物理安全是整個計算機資訊系統安全的前提，物理安全是保護計算機網路裝置、設施以及其它媒體免遭地震、水災、火災等環境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導致的破壞過程。 它主要包括三個方面：
環境安全：對系統所在環境的安全保護，如區域保護和災難保護；（參見國家標準gb50173－93《電子計算機機房設計規範》、國標gb2887－89《計算站場地技術條件》、gb9361－88《計算站場地安全要求》
　　裝置安全：主要包括裝置的防盜、防毀、防電磁資訊輻射洩漏、防止線路截獲、抗電磁干擾及電源保護等；
　　媒體安全：包括媒體資料的安全及媒體本身的安全。
　　在網路的安全方面，主要考慮兩個大的層次，一是整個網路結構成熟化，主要是優化網路結構，二是整個網路系統的安全。
　　6.2.1網路結構
　　安全系統是建立在網路系統之上的，網路結構的安全是安全系統成功建立的基礎。在整個網路結構的安全方面，主要考慮網路結構、系統和路由的優化。
　　網路結構的建立要考慮環境、裝置配置與應用情況、遠端聯網方式、通訊量的估算、網路維護管理、網路應用與業務定位等因素。成熟的網路結構應具有開放性、標準化、可靠性、先進性和實用性，並且應該有結構化的設計，充分利用現有資源，具有運營管理的簡便性，完善的安全保障體系。網路結構採用分層的體系結構，利於維護管理，利於更高的安全控制和業務發展。
　　網路結構的優化，在網路拓撲上主要考慮到冗餘鏈路；防火牆的設定和入侵檢測的實時監控等。
　　6.2.2網路系統安全
　　6.2.2.1 訪問控制及內外網的隔離
　　訪問控制
　　訪問控制可以通過如下幾個方面來實現：
　　1.制訂嚴格的管理制度:可制定的相應：《使用者授權實施細則》、《口令字及帳戶管理規範》、《許可權管理制度》。
　　2.配備相應的安全裝置：在內部網與外部網之間，設定防火牆實現內外網的隔離與訪問控制是保護內部網安全的最主要、同時也是最有效、最經濟的措施之一。防火牆設定在不同網路或網路安全域之間資訊的唯一出入口。
　　防火牆主要的種類是包過濾型，包過濾防火牆一般利用ip和tcp包的頭資訊對進出被保護網路的ip包資訊進行過濾，能根據企業的安全政策來控制（允許、拒絕、監測）出入網路的資訊流。同時可實現網路地址轉換（nat）、審記與實時告警等功能。由於這種防火牆安裝在被保護網路與路由器之間的通道上，因此也對被保護網路和外部網路起到隔離作用。
　　防火牆具有以下五大基本功能：過濾進、出網路的資料；管理進、出網路的訪問行為；封堵某些禁止的業務；記錄通過防火牆的資訊內容和活動；對網路攻擊的檢測和告警。
　　6.2.2.2 內部網不同網路安全域的隔離及訪問控制
　　在這裡，主要利用vlan技術來實現對內部子網的物理隔離。通過在交換機上劃分vlan可以將整個網路劃分為幾個不同的廣播域，實現內部一個網段與另一個網段的物理隔離。這樣，就能防止影響一個網段的問題穿過整個網路傳播。針對某些網路，在某些情況下，它的一些區域網的某個網段比另一個網段更受信任，或者某個網段比另一個更敏感。通過將信任網段與不信任網段劃分在不同的vlan段內，就可以限制區域性網路安全問題對全域性網路造成的影響。
　　6.2.2.3 網路安全檢測
　　網路系統的安全性取決於網路系統中最薄弱的環節。如何及時發現網路系統中最薄弱的環節？如何最大限度地保證網路系統的安全？最有效的方法是定期對網路系統進行安全性分析，及時發現並修正存在的弱點和漏洞。
　　網路安全檢測工具通常是一個網路安全性評估分析軟體，其功能是用實踐性的方法掃描分析網路系統，檢查報告系統存在的弱點和漏洞，建議補救措施和安全策略，達到增強網路安全性的目的。檢測工具應具備以下功能：
　　具備網路監控、分析和自動響應功能
　　找出經常發生問題的根源所在；
　　建立必要的迴圈過程確保隱患時刻被糾正；控制各種網路安全危險。
　　漏洞分析和響應
　　配置分析和響應
　　漏洞形勢分析和響應
　　認證和趨勢分析
　　具體體現在以下方面：
　　防火牆得到合理配置
　　內外web站點的安全漏洞減為最低
　　網路體系達到強壯的耐攻擊性
　　各種伺服器作業系統，如e_mial伺服器、web伺服器、應用伺服器、，將受黑客攻擊的可能降為最低
　　對網路訪問做出有效響應，保護重要應用系統（如財務系統）資料安全不受黑客攻擊和內部人　員誤操作的侵害
6.2.2.4 審計與監控
　　審計是記錄使用者使用計算機網路系統進行所有活動的過程，它是提高安全性的重要工具。它不僅能夠識別誰訪問了系統，還能看出系統正被怎樣地使用。對於確定是否有網路攻擊的情況，審計資訊對於去定問題和攻擊源很重要。同時，系統事件的記錄能夠更迅速和系統地識別問題，並且它是後面階段事故處理的重要依據。另外，通過對安全事件的不斷收集與積累並且加以分析，有選擇性地對其中的某些站點或使用者進行審計跟蹤，以便對發現或可能產生的破壞性行為提供有力的證據。
　　因此，除使用一般的網管軟體和系統監控管理系統外，還應使用目前較為成熟的網路監控裝置或實時入侵檢測裝置，以便對進出各級區域網的常見操作進行實時檢查、監控、報警和阻斷，從而防止針對網路的攻擊與犯罪行為。
　　6.2.2.5 網路防病毒
　　由於在網路環境下，計算機病毒有不可估量的威脅性和破壞力，一次計算機病毒的防範是網路安全性建設中重要的一環。
　　網路反病毒技術包括預防病毒、檢測病毒和消毒三種技術：
　　1.預防病毒技術：它通過自身常駐系統記憶體，優先獲得系統的控制權，監視和判斷系統中是否有病毒存在，進而阻止計算機病毒進入計算機系統和對系統進行破壞。這類技術有，加密可執行程式、引導區保護、系統監控與讀寫控制（如防病毒軟體等）。
　　2.檢測病毒技術：它是通過對計算機病毒的特徵來進行判斷的技術，如自身校驗、關鍵字、檔案長度的變化等。
　　3.清除病毒技術：它通過對計算機病毒的分析，開發出具有刪除病毒程式並恢復原檔案的軟體。
　　網路反病毒技術的具體實現方法包括對網路伺服器中的檔案進行頻繁地掃描和監測；在工作站上用防病毒晶片和對網路目錄及檔案設定訪問許可權等。
　　所選的防毒軟體應該構造全網統一的防病毒體系。主要面向mail 、web伺服器，以及辦公網段的pc伺服器和pc機等。支援對網路、伺服器、和工作站的實時病毒監控；能夠在中心控制檯向多個目標分發新版防毒軟體，並監視多個目標的病毒防治情況；支援多種平臺的病毒防範；能夠識別廣泛的已知和未知病毒，包括巨集病毒；支援對internet/ intranet伺服器的病毒防治，能夠阻止惡意的java或activex小程式的破壞；支援對電子郵件附件的病毒防治，包括word、excel中的巨集病毒；支援對壓縮檔案的病毒檢測；支援廣泛的病毒處理選項，如對染毒檔案進行實時防毒，移出，重新命名等；支援病毒隔離，當客戶機試圖上載一個染毒檔案時，伺服器可自動關閉對該工作站的連線；提供對病毒特徵資訊和檢測引擎的定期線上更新服務；支援日誌記錄功能；支援多種方式的告警功能（聲音、影象、電子郵件等）等。
　　6.2.2.6 網路備份系統
　　備份系統為一個目的而存在：儘可能快地全盤恢復執行計算機系統所需的資料和系統資訊。根據系統安全需求可選擇的備份機制有：場點內高速度、大容量自動的資料儲存、備份與恢復；場點外的資料儲存、備份與恢復；對系統裝置的備份。備份不僅在網路系統硬體故障或人為失誤時起到保護作用，也在入侵者非授權訪問或對網路攻擊及破壞資料完整性時起到保護作用，同時亦是系統災難恢復的前提之一。
　　在確定備份的指導思想和備份方案之後，就要選擇安全的儲存媒介和技術進行資料備份，有“冷備份”和“熱備份”兩種。熱備份是指“線上”的備份，即下載備份的資料還在整個計算機系統和網路中，只不過傳到令一個非工作的分割槽或是另一個非實時處理的業務系統中存放。“冷備份”是指“不線上”的備份，下載的備份存放到安全的儲存媒介中，而這種儲存媒介與正在執行的整個計算機系統和網路沒有直接聯絡，在系統恢復時重新安裝，有一部分原始的資料長期儲存並作為查詢使用。熱備份的優點是投資大，但呼叫快，使用方便，在系統恢復中需要反覆除錯時更顯優勢。熱備份的具體做法是：可以在主機系統開闢一塊非工作執行空間，專門存放備份資料，即分割槽備份；另一種方法是，將資料備份到另一個子系統中，通過主機系統與子系統之間的傳輸，同樣具有速度快和呼叫方便的特點，但投資比較昂貴。冷備份彌補了熱備份的一些不足，二者優勢互補，相輔相成，因為冷備份在迴避風險中還具有便於保管的特殊優點。
　　6.3系統安全
　　系統的安全主要是指作業系統、應用系統的安全性以及網路硬體平臺的可靠性。對於作業系統的安全防範可以採取如下策略：
　　對作業系統進行安全配置，提高系統的安全性；系統內部呼叫不對internet公開；關鍵性資訊不直接公開，儘可能採用安全性高的作業系統。
　　應用系統在開發時，採用規範化的開發過程，儘可能的減少應用系統的漏洞；
　　網路上的伺服器和網路裝置儘可能不採取同一家的產品；
　　通過專業的安全工具（安全檢測系統）定期對網路進行安全評估。
　　6.4資訊保安
　　在這個企業的區域網內，資訊主要在內部傳遞，因此資訊被竊聽、篡改的可能性很小，是比較安全的。
　　6.5應用安全
　　在應用安全上，主要考慮通訊的授權，傳輸的加密和審計記錄。這必須加強登入過程的認證（特別使在到達伺服器主機之前的認證），確保使用者的合法性；其次應該嚴格限制登入者的操作許可權，將其完成的操作限制在最小的範圍內。另外，在加強主機的管理上，除了上面談的訪問控制和系統漏洞檢測外，還可以採用訪問存取控制，對許可權進行分割和管理。應用安全平臺要加強資源目錄管理和授權管理、傳輸加密、審計記錄和安全管理。對應用安全，主要考慮確定不同服務的應用軟體並緊密注視其bug ；對掃描軟體不斷升級。
6.6安全管理
　　為了保護網路的安全性，除了在網路設計上增加安全服務功能，完善系統的安全保密措施外，安全管理規範也是網路安全所必須的。安全管理策略一方面從純粹的管理上即安全管理規範來實現，另一方面從技術上建立高效的管理平臺（包括網路管理和安全管理）。安全管理策略主要有：定義完善的安全管理模型；建立長遠的並且可實施的安全策略；徹底貫徹規範的安全防範措施；建立恰當的安全評估尺度，並且進行經常性的規則稽核。當然，還需要建立高效的管理平臺。
　　6.6.1安全管理規範
　　面對網路安全的脆弱性，除了在網路設計上增加安全服務功能，完善系統的安全保密措施外，還必須花大力氣加強網路安全管理規範的建立，因為諸多的不安全因素恰恰反映在組織管理和人員錄用等方面，而這又是計算機網路安全所必須考慮的基本問題，所以應引起各計算機網路應用部門領導的重視。
　　1.安全管理原則
　　網路資訊系統的安全管理主要基於三個原則。
　　多人負責原則：每一項與安全有關的活動，都必須有兩人或多人在場。這些人應是系統主管領導指派的，他們忠誠可靠，能勝任此項工作；他們應該簽署工作情況記錄以證明安全工作已得到保障。具體的活動有：
　　訪問控制使用證件的發放與回收；
　　資訊處理系統使用的媒介發放與回收；
　　處理保密資訊；
　　硬體和軟體的維護；
　　系統軟體的設計、實現和修改；
　　重要程式和資料的刪除和銷燬等；
　　任期有限原則：一般地講，任何人最好不要長期擔任與安全有關的職務，以免使他認為這個職務是專有的或永久性的。為遵循任期有限原則，工作人員應不定期地迴圈任職，強制實行休假制度，並規定對工作人員進行輪流培訓，以使任期有限制度切實可行。
　　職責分離原則：在資訊處理系統工作的人員不要打聽、瞭解或參與職責以外的任何與安全有關的事情，除非系統主管領導批准。出於對安全的考慮，下面每組內的兩項資訊處理工作應當分開。
　　計算機操作與計算機程式設計；
　　機密資料的接收和傳送；
　　安全管理和系統管理；
　　應用程式和系統程式的編制；
　　訪問證件的管理與其它工作；
　　計算機操作與資訊處理系統使用媒介的保管等。
　　2.安全管理的實現
　　資訊系統的安全管理部門應根據管理原則和該系統處理資料的保密性，制定相應的管理制度或採用相應的規範。具體工作是：
　　根據工作的重要程度，確定該系統的安全等級
　　根據確定的安全等級，確定安全管理的範圍
　　制訂相應的機房出入管理制度對於安全等級要求較高的系統，要實行分割槽控制，限制工作人員出入與己無關的區域。出入管理可採用證件識別或安裝自動識別登記系統，採用磁卡、身份卡等手段，對人員進行識別、登記管理。
　　制訂嚴格的操作規程
　　操作規程要根據職責分離和多人負責的原則，各負其責，不能超越自己的管轄範圍。
　　制訂完備的系統維護制度
　　對系統進行維護時，應採取資料保護措施，如資料備份等。維護時要首先經主管部門批准，並有安全管理人員在場，故障的原因、維護內容和維護前後的情況要詳細記錄。
　　制訂應急措施
　　要制定系統在緊急情況下，如何儘快恢復的應急措施，使損失減至最小。建立人員僱用和解聘制度，對工作調動和離職人員要及時調整響應的授權。
　　6.6.2網路管理
　　管理員可以在管理機器上對整個內部網路上的網路裝置、安全裝置、網路上的防病毒軟體、入侵檢測探測器進行綜合管理，同時利用安全分析軟體可以從不同角度對所有的裝置、伺服器、工作站進行安全掃描，分析他們的安全漏洞，並採取相應的措施。
　　6.6.3安全管理
　　安全管理的主要功能指對安全裝置的管理；監視網路危險情況，對危險進行隔離，並把危險控制在最小範圍內；身份認證，許可權設定；對資源的存取許可權的管理；對資源或使用者動態的或靜態的審計；對違規事件，自動生成報警或生成事件訊息；口令管理（如操作員的口令鑑權），對無權操作人員進行控制；金鑰管理：對於與金鑰相關的伺服器，應對其設定金鑰生命期、金鑰備份等管理功能；冗餘備份：為增加網路的安全係數，對於關鍵的伺服器應冗餘備份。安全管理應該從管理制度和管理平臺技術實現兩個方面來實現。安全管理產品儘可能的支援統一的中心控制平臺。
第七章 安全解決配置方案
　這篇文章的目的教你怎樣去設計一個安全解決方案，所以具體的安全解決配置，我就不在敘述了，具體的思路已經寫出來了，剩下的配置就要根據實際情況去做了。（有一些圖被省略了，不過思路出來了圖也就出來了）