浙江廣播電視集團網(wǎng)絡(luò)安全解決方案

　　第一章 引言

　　第一節(jié) 選題背景與意義

　　隨著互聯(lián)網(wǎng)的普及度越來越高，全世界的計算機都能通過互聯(lián)網(wǎng)連接到一起。各種網(wǎng)上活動的日益頻繁，使得網(wǎng)絡(luò)安全問題日益突出，信息安全成為了一個重要的課題。各種各樣的網(wǎng)絡(luò)攻擊層出不窮，如何防止網(wǎng)絡(luò)攻擊，保障各項業(yè)務(wù)的順利進行，為廣大用戶提供一個安全的網(wǎng)絡(luò)環(huán)境變得尤為重要。

　　本論文針對浙江廣播電視集團的計算機網(wǎng)絡(luò)、以及網(wǎng)絡(luò)安全的實際解決方案。在實施了本方案之后，有助于提高集團計算機網(wǎng)絡(luò)系統(tǒng)的可靠性、以及網(wǎng)絡(luò)的安全性。認真分析網(wǎng)絡(luò)面臨的威脅，計算機網(wǎng)絡(luò)系統(tǒng)的安全防范工作是一個極為復(fù)雜的系統(tǒng)工程，是一個安全管理和技術(shù)防范相結(jié)合的工程。首先是各計算機網(wǎng)絡(luò)應(yīng)用部門領(lǐng)導(dǎo)的重視，加強工作人員的責任心和防范意識，自覺執(zhí)行各項安全制度，在此基礎(chǔ)之上，再采用先進的技術(shù)和產(chǎn)品，構(gòu)造全方位的防御機制，使系統(tǒng)在最理想的狀態(tài)下運行。第二節(jié) 集團網(wǎng)絡(luò)安全發(fā)展與現(xiàn)狀

　　圖1-1網(wǎng)絡(luò)拓撲圖

　　浙江廣播電視集團作為省級廣電傳媒集團，現(xiàn)有計算機網(wǎng)絡(luò)于2002年10月建成，在集團的運作和管理中發(fā)揮著重要的作用。近年來隨著集團業(yè)務(wù)的發(fā)展，網(wǎng)絡(luò)應(yīng)用的不斷深入，應(yīng)用領(lǐng)域較以前傳統(tǒng)的、小型的業(yè)務(wù)系統(tǒng)逐漸向大型、關(guān)鍵業(yè)務(wù)系統(tǒng)方向擴展。大部分子系統(tǒng)已接入網(wǎng)絡(luò)，遠程數(shù)據(jù)傳輸、集團資料共享、動態(tài)數(shù)據(jù)查詢、流媒體數(shù)據(jù)業(yè)務(wù)、集團網(wǎng)站運營等都在該網(wǎng)絡(luò)上傳輸，整個網(wǎng)絡(luò)的用戶規(guī)模是原計算機網(wǎng)絡(luò)規(guī)模的數(shù)十倍。隨著網(wǎng)絡(luò)規(guī)模的不斷擴大、接入點數(shù)量的增多、內(nèi)部網(wǎng)絡(luò)中存在的安全隱患問題就會愈加突出，安全日益成為影響網(wǎng)絡(luò)效能的重要問題，而互聯(lián)網(wǎng)所具有的開放性、國際性和自由性在增加應(yīng)用自由度的同時，對自身網(wǎng)絡(luò)的安全性提出了更高的要求。雖然廣電集團前期的網(wǎng)絡(luò)建設(shè)有一定的安全措施，但因為網(wǎng)絡(luò)復(fù)雜性的逐步提高，網(wǎng)絡(luò)中存在隱患的可能性以及由此產(chǎn)生的危害性也大大提高，因此在網(wǎng)絡(luò)系統(tǒng)的進一步建設(shè)過程中，及時查清網(wǎng)絡(luò)隱患的必要性就體現(xiàn)了出來。第三節(jié) 網(wǎng)絡(luò)安全相關(guān)技術(shù)介紹

　　要保證計算機網(wǎng)絡(luò)系統(tǒng)的安全性，還要采用一些先進的技術(shù)和產(chǎn)品。目前主要采用的相關(guān)技術(shù)和產(chǎn)品有以下幾種。

　　一、防火墻技術(shù)

　　為保證網(wǎng)絡(luò)安全，防止外部網(wǎng)對內(nèi)部網(wǎng)的非法入侵，在被保護的網(wǎng)絡(luò)和外部公共網(wǎng)絡(luò)之間設(shè)置一道屏障這就稱為防火墻。它是一個或一組系統(tǒng)，該系統(tǒng)可以設(shè)定哪些內(nèi)部服務(wù)可已被外界訪問，外界的哪些人可以訪問內(nèi)部的哪些服務(wù)，以及哪些外部服務(wù)可以被內(nèi)部人員訪問。它可監(jiān)測、限制、更改跨越防火墻的數(shù)據(jù)流，確認其來源及去處，檢查數(shù)據(jù)的格式及內(nèi)容，并依照用戶的規(guī)則傳送或阻止數(shù)據(jù)。其主要有：數(shù)據(jù)包過濾、監(jiān)測型、代理服務(wù)器等幾大類型。

　　二、數(shù)據(jù)加密技術(shù)

　　與防火墻配合使用的安全技術(shù)還有數(shù)據(jù)加密技術(shù)，是為提高信息系統(tǒng)及數(shù)據(jù)的安全性和保密性，防止秘密數(shù)據(jù)被外部破析所采用的主要技術(shù)手段之一。隨著信息技術(shù)的發(fā)展，網(wǎng)絡(luò)安全與信息保密日益引起人們的關(guān)注。目前各國除了從法律上、管理上加強數(shù)據(jù)的安全保護外，從技術(shù)上分別在軟件和硬件兩方面采取措施，推動著數(shù)據(jù)加密技術(shù)和物理防范技術(shù)的不斷發(fā)展。按作用不同, 數(shù)據(jù)加密技術(shù)主要分為數(shù)據(jù)傳輸、數(shù)據(jù)存儲、數(shù)據(jù)完整性的鑒別以及密鑰管理技術(shù)四種。

　　三、認證技術(shù)

　　認證技術(shù)是防止主動攻擊的重要手段，它對于開放環(huán)境中的各種信息的安全有重要作用。認證是指驗證一個最終用戶或設(shè)備的身份過程，即認證建立信息的發(fā)送者或接收者的身份。認證的主要目的有兩個：第一，驗證信息的發(fā)送者是真正的，而不是冒充的，這稱為信號源識別;第二，驗證信息的完整性，保證信息在傳送過程中未被竄改或延遲等。目前使用的認證技術(shù)主要有：消息認證、身份認證、數(shù)字簽名。

　　四、虛擬專用網(wǎng)絡(luò)(VPN)技術(shù)

　　虛擬專用網(wǎng)(VPN)是企業(yè)網(wǎng)在因特網(wǎng)等公共網(wǎng)絡(luò)上的延伸,通過一個私有的通道在公共網(wǎng)絡(luò)上創(chuàng)建一個安全的私有連接。它通過安全的數(shù)據(jù)通道將遠程用戶、公司分支機構(gòu)、公司業(yè)務(wù)伙伴等與公司的企業(yè)網(wǎng)連接起來，構(gòu)成一個擴展的公司企業(yè)網(wǎng)。在該網(wǎng)中的主機將不會覺察到公共網(wǎng)絡(luò)的存在，仿佛所有的機器都處于一個網(wǎng)絡(luò)之中。公共網(wǎng)絡(luò)似乎只由本網(wǎng)絡(luò)在獨占使用，而事實上并非如此。

　　VPN技術(shù)主要提供在公網(wǎng)上的安全的雙向通訊，采用透明的加密方案以保證數(shù)據(jù)的完整性和保密性。

　　VPN技術(shù)的工作原理：VPN系統(tǒng)可使分布在不同地方的專用網(wǎng)絡(luò)在不可信任的公共網(wǎng)絡(luò)上實現(xiàn)安全通信，它采用復(fù)雜的算法來加密傳輸?shù)男畔�，使得敏感的�?shù)據(jù)不會被竊聽。

　　五、計算機病毒的防范

　　首先要加強工作人員防病毒的意識，其次是安裝好的殺毒軟件。合格的防病毒軟件應(yīng)該具備以下條件：

　　(一)較強的查毒、殺毒能力。在當前全球計算機網(wǎng)絡(luò)上流行的計算機病毒有4萬多種，在各種操作系統(tǒng)中包括Windows、 UNIX和Netware系統(tǒng)都有大量能夠造成危害的計算機病毒，這就要求安裝的防病毒軟件能夠查殺多種系統(tǒng)環(huán)境下的病毒，具有查毒、殺毒范圍廣、能力強的特點。

　　(二)完善的升級服務(wù)。與其它軟件相比，防病毒軟件更需要不斷地更新升級，以查殺層出不窮的計算機病毒。

　　第二章 集團網(wǎng)絡(luò)安全系統(tǒng)概況及風險分析

　　第一節(jié) 集團網(wǎng)絡(luò)機房環(huán)境

　　目前，浙江廣播電視集團計算機網(wǎng)絡(luò)絕大多數(shù)的設(shè)備都是安放在新大樓13樓機房內(nèi)的，只有樓層交換機是分布在各樓層的設(shè)備機柜中。根據(jù)本文的現(xiàn)場勘察和了解，目前大多數(shù)信息機房在機房的裝修、溫度和濕度控制、消防、照明、防靜電、防雷等方面已經(jīng)作了很多的考慮，主要有如下方面:

　　一、網(wǎng)絡(luò)機房都作了可靠的防雷措施，建設(shè)有防雷接地網(wǎng)，其接地電阻小于1歐姆;大樓頂部建設(shè)有避雷針。

　　二、所有從網(wǎng)絡(luò)機房大樓外接入網(wǎng)絡(luò)機房的數(shù)據(jù)信號，全部采用光纖接入。

　　三、網(wǎng)絡(luò)機房內(nèi)大多配備UPS電源系統(tǒng)。

　　四、機房內(nèi)鋪設(shè)防靜電地板、吊頂，對墻面進行了無塵處理。

　　五、安裝機房防盜監(jiān)控系統(tǒng)。

　　六、配備機房消防系統(tǒng)和應(yīng)急照明系統(tǒng)。

　　七、所有樓層交換機的供電都是由機房內(nèi) UPS 通過專用的線路直接供電，與樓層內(nèi)的其它電源系統(tǒng)沒有任何連接。

　　第二節(jié) 網(wǎng)絡(luò)應(yīng)用數(shù)據(jù)備份

　　在廣電集團的計算機網(wǎng)絡(luò)中大多己經(jīng)有功能數(shù)據(jù)備份與恢復(fù)系統(tǒng)，它是一套基于磁帶介質(zhì)的備份與恢復(fù)系統(tǒng)，有2套文件備份的License和1套Oracle數(shù)據(jù)庫備份的License，進行服務(wù)器的文件備份和Oracle數(shù)據(jù)庫的實時備份和恢復(fù)。

　　浙江廣電集團網(wǎng)絡(luò)中已經(jīng)有了以下幾個網(wǎng)絡(luò)安全方面的考慮:

　　一、病毒防護

　　網(wǎng)絡(luò)中使用了諾頓病毒防護系統(tǒng)，該病毒防御系統(tǒng)是基于網(wǎng)絡(luò)的病毒防護系統(tǒng)，在網(wǎng)絡(luò)內(nèi)能夠遠程的安裝網(wǎng)絡(luò)客戶端的病毒防護軟件，進行病毒特征庫的自動更新，集中控制和管理。但是，網(wǎng)絡(luò)中的病毒防護系統(tǒng)沒有集中控制和管理的控制臺，不能實時了解網(wǎng)絡(luò)中防病毒客戶端程序的安裝情況、病毒感染和爆發(fā)的情況。

　　二、外網(wǎng)接入安全防護

　　網(wǎng)絡(luò)目前大多沒有單獨的外網(wǎng)接入點，沒有自己的外網(wǎng)接入安全防護，使用統(tǒng)一的出口和安全策略。

　　三、入侵檢測系統(tǒng)

　　在集團總部局域網(wǎng)與其他網(wǎng)絡(luò)連接處采用的一套入侵檢測系統(tǒng)具體部署如圖2-1

　　圖2-1 廣電集團入侵檢測系統(tǒng)示意圖第三節(jié) 網(wǎng)絡(luò)安全弱點分析

　　浙江廣電集團網(wǎng)絡(luò)系統(tǒng)安全弱點主要包括:

　　一、硬件弱點: 硬件隱患存在于服務(wù)器、終瑞、路由器、交換機和安全設(shè)備等設(shè)備中，一旦發(fā)生硬件的安全問題，將給主機和網(wǎng)絡(luò)系統(tǒng)的可靠性、可控性、可用性和安全性等造成嚴重損害。

　　二、操作系統(tǒng)弱點: 由于操作系統(tǒng)自身的漏洞和缺陷可能構(gòu)成安全隱患。操作系統(tǒng)是計算機應(yīng)用程序執(zhí)行的基本平臺，一旦操作系統(tǒng)被滲透，就能夠破壞所有安全措施�？看蜓a丁開發(fā)的操作系統(tǒng)不能夠從根本上解決安全問題，動態(tài)連接給廠商提供開發(fā)空間的同時為黑客開啟了方便之門。

　　三、數(shù)據(jù)庫系統(tǒng)弱點: 由于數(shù)據(jù)庫系統(tǒng)本身的漏洞和缺陷可能構(gòu)成的安全隱患。

　　四、網(wǎng)絡(luò)系統(tǒng)弱點： TCP/IP協(xié)議本身的開放性導(dǎo)致網(wǎng)絡(luò)存在安全隱患。如：TCP/IP 數(shù)據(jù)通信協(xié)議集本身就存在著安全缺點，如：大多數(shù)底層協(xié)議采用廣播方式，網(wǎng)上任何設(shè)備均可能竊聽到情報; 協(xié)議規(guī)程中缺乏可靠的對通信雙方身份認證手段，無法確定信息包地址真?zhèn)螌?dǎo)致身份“假冒”可能;由于TCP 連接建立時服務(wù)器初始序號的可推測性，使得黑客可以由“后門”進入系統(tǒng)漏洞。

　　五、通用軟件系統(tǒng)弱點:如Web服務(wù)器等常用應(yīng)用軟件本身可能存在的安全弱點。

　　六、業(yè)務(wù)系統(tǒng)弱點: 節(jié)目視頻業(yè)務(wù)系統(tǒng)等本身的“Bug”或缺陷可能構(gòu)成弱點。

　　七、安全設(shè)計的弱點: 安全設(shè)計不周全可能構(gòu)成系統(tǒng)防護的弱點，由于安全漏洞的動態(tài)性和安全威脅的增長性要求以及安全需求本身的限制，安全體系設(shè)計要求具有良好的可擴展性和動態(tài)自適應(yīng)性。

　　八、管理弱點: 工具不多，技術(shù)水平不高，意識淡薄，人員不到位。第四節(jié) 網(wǎng)絡(luò)安全風險分析

　　網(wǎng)絡(luò)本身所固有的結(jié)構(gòu)復(fù)雜、高度開放、邊界脆弱和管理困難等特點，增加了廣電集團網(wǎng)絡(luò)系統(tǒng)的安全風險。

　　由于網(wǎng)絡(luò)自身的開放性和廣電集團網(wǎng)絡(luò)系統(tǒng)的特殊性使網(wǎng)絡(luò)系統(tǒng)存在很大的安全風險性，主要有：

　　一、人為因素：

　　未經(jīng)授權(quán)訪問重要信息

　　惡意破壞重要數(shù)據(jù)

　　數(shù)據(jù)竊取、數(shù)據(jù)篡改

　　利用網(wǎng)絡(luò)設(shè)計和協(xié)議漏洞進行網(wǎng)絡(luò)攻擊

　　假冒、偽造、欺騙、敲詐、勒索

　　內(nèi)部人員惡意泄露重要的信息

　　管理員失職

　　二、自然因素：

　　設(shè)備的老化

　　火災(zāi)、水災(zāi) (包括供水故障)

　　爆炸、煙霧、灰塵

　　通風

　　供電中斷

　　電磁輻射、靜電

　　以上都可能引起設(shè)備的失效、損壞，造成線路擁塞和系統(tǒng)癱瘓等。

　　第三章 集團網(wǎng)絡(luò)安全需求與安全目標第一節(jié) 網(wǎng)絡(luò)安全需求分析

　　為了確保廣電集團網(wǎng)絡(luò)系統(tǒng)的安全，其安全需求可以從安全管理層面、物理安全層面、系統(tǒng)安全層面、網(wǎng)絡(luò)安全層面、應(yīng)用安全層面等方面來分析。

　　從安全管理要求來分析，要考慮政策、法規(guī)、制度、管理權(quán)限和級別劃分、安全培訓等，特別要考慮基層人員計算機水平不高，系統(tǒng)設(shè)計和培訓等方面要周密考慮，制定切實有效的管理制度和運行維護機制。

　　從物理安全要求來分析，要根據(jù)浙江廣電集團實際情況，確定各物理實體的安全級別，建立相應(yīng)的安全防護機制。

　　從系統(tǒng)安全需求來分析，需要解決操作系統(tǒng)安全、數(shù)據(jù)庫系統(tǒng)安全、TCP/IP 等協(xié)議的安全、系統(tǒng)缺陷、病毒防范等問題。

　　從網(wǎng)絡(luò)安全需求來分析，要考慮系統(tǒng)掃描、入侵檢測、設(shè)備監(jiān)控和安全審計等，要防范黑客入侵、身份冒充、非法訪問。要保證信息在公共傳輸通道上的機密性，撥號線路的保密性和身份鑒別。

　　從應(yīng)用安全和信息安全需求來分析，要解決重要終端用戶數(shù)據(jù)的加密、數(shù)據(jù)的完整性、數(shù)據(jù)的訪問控制和授權(quán)以及數(shù)據(jù)承載終端設(shè)備 (各種計算機、筆記本電腦、無線WAP終端及其它終端設(shè)備) 以及其中運行的操作系統(tǒng)的安全可靠。

　　因此，廣電集團網(wǎng)絡(luò)系統(tǒng)安全要重點做好以下幾方面的工作，同時也是本安全方案的設(shè)計需要解決的問題;

　　一、解決內(nèi)部外部系統(tǒng)間的入侵檢測、信息過濾 (防止有害信息的傳播)、網(wǎng)絡(luò)隔離問題;

　　二、解決內(nèi)部外部黑客針對網(wǎng)絡(luò)基礎(chǔ)設(shè)施、主機系統(tǒng)和應(yīng)用服務(wù)的各種攻擊所造成的網(wǎng)絡(luò)或系統(tǒng)不可用、信息泄密、數(shù)據(jù)篡改等所帶來的問題;

　　三、解決重要信息的備份和系統(tǒng)的病毒防范等問題;

　　四、建立系統(tǒng)安全運行所匹配的管理制度和各種規(guī)范條例;

　　五、建立健全浙江廣電集團網(wǎng)絡(luò)系統(tǒng)安全培訓制度及程序等方面的問題;

　　六、解決浙江廣電集團和其它相關(guān)單位部門網(wǎng)絡(luò)信息交流帶來的安全問題。

　　第二節(jié) 網(wǎng)絡(luò)安全目標

　　計算機網(wǎng)絡(luò)的安全問題與單臺計算機的安全在實際中存在著非常大的差別。網(wǎng)絡(luò)不是分裝在一個機箱內(nèi)，存在著傳輸系統(tǒng)的地域分布問題。這些傳輸通信系統(tǒng)可以是有線的，也可以是無線的。這類傳輸可以在中途被截獲，存在著“中間攻擊”的問題。從攻擊的手段來看，攻擊種類和機制非常多。訪問控制和鑒別也比單臺計算機困難，網(wǎng)絡(luò)安全要特別重視防截獲，防泄露和信息加密的實施。

　　目前所采用的網(wǎng)絡(luò)防護方法也就是在進入計算機操作系統(tǒng)控制中的網(wǎng)絡(luò)訪問和網(wǎng)絡(luò)協(xié)議上實施的。

　　網(wǎng)絡(luò)防護的基本服務(wù): 網(wǎng)絡(luò)訪問控制(MAC)、鑒別、數(shù)據(jù)保密性、數(shù)據(jù)完整性、行為的完整性、抗抵賴性、可用性等。

　　網(wǎng)絡(luò)安全的目的是保護在網(wǎng)絡(luò)系統(tǒng)中存儲、傳輸和處理的信息的安全，概括為確保信息的完整性、保密性、可用性和不可抵賴性。

　　信息的保密性指的是在計算機網(wǎng)絡(luò)系統(tǒng)中存儲、傳輸和處理的信息不被非授權(quán)的查看;

　　信息的完整性指的是在計算機網(wǎng)絡(luò)系統(tǒng)中存儲、傳輸和處理的信息不被非授權(quán)的改變;

　　信息的可用性和可靠性指的是在計算機網(wǎng)絡(luò)系統(tǒng)中存儲、傳輸和處理的信息為授權(quán)用戶提供及時、方便、有效的服務(wù);

　　信息的不可抵賴性指的是內(nèi)部人員對信息的操作不可抵賴。