浙江廣播電視集團網絡安全解決方案

　　第一章 引言

　　第一節(jié) 選題背景與意義

　　隨著互聯網的普及度越來越高，全世界的計算機都能通過互聯網連接到一起。各種網上活動的日益頻繁，使得網絡安全問題日益突出，信息安全成為了一個重要的課題。各種各樣的網絡攻擊層出不窮，如何防止網絡攻擊，保障各項業(yè)務的順利進行，為廣大用戶提供一個安全的網絡環(huán)境變得尤為重要。

　　本論文針對浙江廣播電視集團的計算機網絡、以及網絡安全的實際解決方案。在實施了本方案之后，有助于提高集團計算機網絡系統(tǒng)的可靠性、以及網絡的安全性。認真分析網絡面臨的威脅，計算機網絡系統(tǒng)的安全防范工作是一個極為復雜的系統(tǒng)工程，是一個安全管理和技術防范相結合的工程。首先是各計算機網絡應用部門領導的重視，加強工作人員的責任心和防范意識，自覺執(zhí)行各項安全制度，在此基礎之上，再采用先進的技術和產品，構造全方位的防御機制，使系統(tǒng)在最理想的狀態(tài)下運行。第二節(jié) 集團網絡安全發(fā)展與現狀

　　圖1-1網絡拓撲圖

　　浙江廣播電視集團作為省級廣電傳媒集團，現有計算機網絡于2002年10月建成，在集團的運作和管理中發(fā)揮著重要的作用。近年來隨著集團業(yè)務的發(fā)展，網絡應用的不斷深入，應用領域較以前傳統(tǒng)的、小型的業(yè)務系統(tǒng)逐漸向大型、關鍵業(yè)務系統(tǒng)方向擴展。大部分子系統(tǒng)已接入網絡，遠程數據傳輸、集團資料共享、動態(tài)數據查詢、流媒體數據業(yè)務、集團網站運營等都在該網絡上傳輸，整個網絡的用戶規(guī)模是原計算機網絡規(guī)模的數十倍。隨著網絡規(guī)模的不斷擴大、接入點數量的增多、內部網絡中存在的安全隱患問題就會愈加突出，安全日益成為影響網絡效能的重要問題，而互聯網所具有的開放性、國際性和自由性在增加應用自由度的同時，對自身網絡的安全性提出了更高的要求。雖然廣電集團前期的網絡建設有一定的安全措施，但因為網絡復雜性的逐步提高，網絡中存在隱患的可能性以及由此產生的危害性也大大提高，因此在網絡系統(tǒng)的進一步建設過程中，及時查清網絡隱患的必要性就體現了出來。第三節(jié) 網絡安全相關技術介紹

　　要保證計算機網絡系統(tǒng)的安全性，還要采用一些先進的技術和產品。目前主要采用的相關技術和產品有以下幾種。

　　一、防火墻技術

　　為保證網絡安全，防止外部網對內部網的非法入侵，在被保護的網絡和外部公共網絡之間設置一道屏障這就稱為防火墻。它是一個或一組系統(tǒng)，該系統(tǒng)可以設定哪些內部服務可已被外界訪問，外界的哪些人可以訪問內部的哪些服務，以及哪些外部服務可以被內部人員訪問。它可監(jiān)測、限制、更改跨越防火墻的數據流，確認其來源及去處，檢查數據的格式及內容，并依照用戶的規(guī)則傳送或阻止數據。其主要有：數據包過濾、監(jiān)測型、代理服務器等幾大類型。

　　二、數據加密技術

　　與防火墻配合使用的安全技術還有數據加密技術，是為提高信息系統(tǒng)及數據的安全性和保密性，防止秘密數據被外部破析所采用的主要技術手段之一。隨著信息技術的發(fā)展，網絡安全與信息保密日益引起人們的關注。目前各國除了從法律上、管理上加強數據的安全保護外，從技術上分別在軟件和硬件兩方面采取措施，推動著數據加密技術和物理防范技術的不斷發(fā)展。按作用不同, 數據加密技術主要分為數據傳輸、數據存儲、數據完整性的鑒別以及密鑰管理技術四種。

　　三、認證技術

　　認證技術是防止主動攻擊的重要手段，它對于開放環(huán)境中的各種信息的安全有重要作用。認證是指驗證一個最終用戶或設備的身份過程，即認證建立信息的發(fā)送者或接收者的身份。認證的主要目的有兩個：第一，驗證信息的發(fā)送者是真正的，而不是冒充的，這稱為信號源識別;第二，驗證信息的完整性，保證信息在傳送過程中未被竄改或延遲等。目前使用的認證技術主要有：消息認證、身份認證、數字簽名。

　　四、虛擬專用網絡(VPN)技術

　　虛擬專用網(VPN)是企業(yè)網在因特網等公共網絡上的延伸,通過一個私有的通道在公共網絡上創(chuàng)建一個安全的私有連接。它通過安全的數據通道將遠程用戶、公司分支機構、公司業(yè)務伙伴等與公司的企業(yè)網連接起來，構成一個擴展的公司企業(yè)網。在該網中的主機將不會覺察到公共網絡的存在，仿佛所有的機器都處于一個網絡之中。公共網絡似乎只由本網絡在獨占使用，而事實上并非如此。

　　VPN技術主要提供在公網上的安全的雙向通訊，采用透明的加密方案以保證數據的完整性和保密性。

　　VPN技術的工作原理：VPN系統(tǒng)可使分布在不同地方的專用網絡在不可信任的公共網絡上實現安全通信，它采用復雜的算法來加密傳輸的信息，使得敏感的數據不會被竊聽。

　　五、計算機病毒的防范

　　首先要加強工作人員防病毒的意識，其次是安裝好的殺毒軟件。合格的防病毒軟件應該具備以下條件：

　　(一)較強的查毒、殺毒能力。在當前全球計算機網絡上流行的計算機病毒有4萬多種，在各種操作系統(tǒng)中包括Windows、 UNIX和Netware系統(tǒng)都有大量能夠造成危害的計算機病毒，這就要求安裝的防病毒軟件能夠查殺多種系統(tǒng)環(huán)境下的病毒，具有查毒、殺毒范圍廣、能力強的特點。

　　(二)完善的升級服務。與其它軟件相比，防病毒軟件更需要不斷地更新升級，以查殺層出不窮的計算機病毒。

　　第二章 集團網絡安全系統(tǒng)概況及風險分析

　　第一節(jié) 集團網絡機房環(huán)境

　　目前，浙江廣播電視集團計算機網絡絕大多數的設備都是安放在新大樓13樓機房內的，只有樓層交換機是分布在各樓層的設備機柜中。根據本文的現場勘察和了解，目前大多數信息機房在機房的裝修、溫度和濕度控制、消防、照明、防靜電、防雷等方面已經作了很多的考慮，主要有如下方面:

　　一、網絡機房都作了可靠的防雷措施，建設有防雷接地網，其接地電阻小于1歐姆;大樓頂部建設有避雷針。

　　二、所有從網絡機房大樓外接入網絡機房的數據信號，全部采用光纖接入。

　　三、網絡機房內大多配備UPS電源系統(tǒng)。

　　四、機房內鋪設防靜電地板、吊頂，對墻面進行了無塵處理。

　　五、安裝機房防盜監(jiān)控系統(tǒng)。

　　六、配備機房消防系統(tǒng)和應急照明系統(tǒng)。

　　七、所有樓層交換機的供電都是由機房內 UPS 通過專用的線路直接供電，與樓層內的其它電源系統(tǒng)沒有任何連接。

　　第二節(jié) 網絡應用數據備份

　　在廣電集團的計算機網絡中大多己經有功能數據備份與恢復系統(tǒng)，它是一套基于磁帶介質的備份與恢復系統(tǒng)，有2套文件備份的License和1套Oracle數據庫備份的License，進行服務器的文件備份和Oracle數據庫的實時備份和恢復。

　　浙江廣電集團網絡中已經有了以下幾個網絡安全方面的考慮:

　　一、病毒防護

　　網絡中使用了諾頓病毒防護系統(tǒng)，該病毒防御系統(tǒng)是基于網絡的病毒防護系統(tǒng)，在網絡內能夠遠程的安裝網絡客戶端的病毒防護軟件，進行病毒特征庫的自動更新，集中控制和管理。但是，網絡中的病毒防護系統(tǒng)沒有集中控制和管理的控制臺，不能實時了解網絡中防病毒客戶端程序的安裝情況、病毒感染和爆發(fā)的情況。

　　二、外網接入安全防護

　　網絡目前大多沒有單獨的外網接入點，沒有自己的外網接入安全防護，使用統(tǒng)一的出口和安全策略。

　　三、入侵檢測系統(tǒng)

　　在集團總部局域網與其他網絡連接處采用的一套入侵檢測系統(tǒng)具體部署如圖2-1

　　圖2-1 廣電集團入侵檢測系統(tǒng)示意圖第三節(jié) 網絡安全弱點分析

　　浙江廣電集團網絡系統(tǒng)安全弱點主要包括:

　　一、硬件弱點: 硬件隱患存在于服務器、終瑞、路由器、交換機和安全設備等設備中，一旦發(fā)生硬件的安全問題，將給主機和網絡系統(tǒng)的可靠性、可控性、可用性和安全性等造成嚴重損害。

　　二、操作系統(tǒng)弱點: 由于操作系統(tǒng)自身的漏洞和缺陷可能構成安全隱患。操作系統(tǒng)是計算機應用程序執(zhí)行的基本平臺，一旦操作系統(tǒng)被滲透，就能夠破壞所有安全措施�？看蜓a丁開發(fā)的操作系統(tǒng)不能夠從根本上解決安全問題，動態(tài)連接給廠商提供開發(fā)空間的同時為黑客開啟了方便之門。

　　三、數據庫系統(tǒng)弱點: 由于數據庫系統(tǒng)本身的漏洞和缺陷可能構成的安全隱患。

　　四、網絡系統(tǒng)弱點： TCP/IP協(xié)議本身的開放性導致網絡存在安全隱患。如：TCP/IP 數據通信協(xié)議集本身就存在著安全缺點，如：大多數底層協(xié)議采用廣播方式，網上任何設備均可能竊聽到情報; 協(xié)議規(guī)程中缺乏可靠的對通信雙方身份認證手段，無法確定信息包地址真?zhèn)螌е律矸?ldquo;假冒”可能;由于TCP 連接建立時服務器初始序號的可推測性，使得黑客可以由“后門”進入系統(tǒng)漏洞。

　　五、通用軟件系統(tǒng)弱點:如Web服務器等常用應用軟件本身可能存在的安全弱點。

　　六、業(yè)務系統(tǒng)弱點: 節(jié)目視頻業(yè)務系統(tǒng)等本身的“Bug”或缺陷可能構成弱點。

　　七、安全設計的弱點: 安全設計不周全可能構成系統(tǒng)防護的弱點，由于安全漏洞的動態(tài)性和安全威脅的增長性要求以及安全需求本身的限制，安全體系設計要求具有良好的可擴展性和動態(tài)自適應性。

　　八、管理弱點: 工具不多，技術水平不高，意識淡薄，人員不到位。第四節(jié) 網絡安全風險分析

　　網絡本身所固有的結構復雜、高度開放、邊界脆弱和管理困難等特點，增加了廣電集團網絡系統(tǒng)的安全風險。

　　由于網絡自身的開放性和廣電集團網絡系統(tǒng)的特殊性使網絡系統(tǒng)存在很大的安全風險性，主要有：

　　一、人為因素：

　　未經授權訪問重要信息

　　惡意破壞重要數據

　　數據竊取、數據篡改

　　利用網絡設計和協(xié)議漏洞進行網絡攻擊

　　假冒、偽造、欺騙、敲詐、勒索

　　內部人員惡意泄露重要的信息

　　管理員失職

　　二、自然因素：

　　設備的老化

　　火災、水災 (包括供水故障)

　　爆炸、煙霧、灰塵

　　通風

　　供電中斷

　　電磁輻射、靜電

　　以上都可能引起設備的失效、損壞，造成線路擁塞和系統(tǒng)癱瘓等。

　　第三章 集團網絡安全需求與安全目標第一節(jié) 網絡安全需求分析

　　為了確保廣電集團網絡系統(tǒng)的安全，其安全需求可以從安全管理層面、物理安全層面、系統(tǒng)安全層面、網絡安全層面、應用安全層面等方面來分析。

　　從安全管理要求來分析，要考慮政策、法規(guī)、制度、管理權限和級別劃分、安全培訓等，特別要考慮基層人員計算機水平不高，系統(tǒng)設計和培訓等方面要周密考慮，制定切實有效的管理制度和運行維護機制。

　　從物理安全要求來分析，要根據浙江廣電集團實際情況，確定各物理實體的安全級別，建立相應的安全防護機制。

　　從系統(tǒng)安全需求來分析，需要解決操作系統(tǒng)安全、數據庫系統(tǒng)安全、TCP/IP 等協(xié)議的安全、系統(tǒng)缺陷、病毒防范等問題。

　　從網絡安全需求來分析，要考慮系統(tǒng)掃描、入侵檢測、設備監(jiān)控和安全審計等，要防范黑客入侵、身份冒充、非法訪問。要保證信息在公共傳輸通道上的機密性，撥號線路的保密性和身份鑒別。

　　從應用安全和信息安全需求來分析，要解決重要終端用戶數據的加密、數據的完整性、數據的訪問控制和授權以及數據承載終端設備 (各種計算機、筆記本電腦、無線WAP終端及其它終端設備) 以及其中運行的操作系統(tǒng)的安全可靠。

　　因此，廣電集團網絡系統(tǒng)安全要重點做好以下幾方面的工作，同時也是本安全方案的設計需要解決的問題;

　　一、解決內部外部系統(tǒng)間的入侵檢測、信息過濾 (防止有害信息的傳播)、網絡隔離問題;

　　二、解決內部外部黑客針對網絡基礎設施、主機系統(tǒng)和應用服務的各種攻擊所造成的網絡或系統(tǒng)不可用、信息泄密、數據篡改等所帶來的問題;

　　三、解決重要信息的備份和系統(tǒng)的病毒防范等問題;

　　四、建立系統(tǒng)安全運行所匹配的管理制度和各種規(guī)范條例;

　　五、建立健全浙江廣電集團網絡系統(tǒng)安全培訓制度及程序等方面的問題;

　　六、解決浙江廣電集團和其它相關單位部門網絡信息交流帶來的安全問題。

　　第二節(jié) 網絡安全目標

　　計算機網絡的安全問題與單臺計算機的安全在實際中存在著非常大的差別。網絡不是分裝在一個機箱內，存在著傳輸系統(tǒng)的地域分布問題。這些傳輸通信系統(tǒng)可以是有線的，也可以是無線的。這類傳輸可以在中途被截獲，存在著“中間攻擊”的問題。從攻擊的手段來看，攻擊種類和機制非常多。訪問控制和鑒別也比單臺計算機困難，網絡安全要特別重視防截獲，防泄露和信息加密的實施。

　　目前所采用的網絡防護方法也就是在進入計算機操作系統(tǒng)控制中的網絡訪問和網絡協(xié)議上實施的。

　　網絡防護的基本服務: 網絡訪問控制(MAC)、鑒別、數據保密性、數據完整性、行為的完整性、抗抵賴性、可用性等。

　　網絡安全的目的是保護在網絡系統(tǒng)中存儲、傳輸和處理的信息的安全，概括為確保信息的完整性、保密性、可用性和不可抵賴性。

　　信息的保密性指的是在計算機網絡系統(tǒng)中存儲、傳輸和處理的信息不被非授權的查看;

　　信息的完整性指的是在計算機網絡系統(tǒng)中存儲、傳輸和處理的信息不被非授權的改變;

　　信息的可用性和可靠性指的是在計算機網絡系統(tǒng)中存儲、傳輸和處理的信息為授權用戶提供及時、方便、有效的服務;

　　信息的不可抵賴性指的是內部人員對信息的操作不可抵賴。