网络防护体系构建_法律资料_人文社科_专业资料

《网络防护体系构建_法律资料_人文社科_专业资料》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、网络防护体系建构虚拟化应用运行过程从图1中可以看出，虚拟化应用位于网络的DMZ区。Cisco6509.Cisco4506、Cisco3750和防火墙设备运行的都是路由模式。报社互联网上的用户要访问单位的虚拟化应用，数据包首先通过4506交换机，再到防火墙上。在防火墙上配置有相应的安全策略，会根据数据包的源和目的IP地址，以及端口号來判断是否对数据包进行路由，允许通过的数据包将会传输到DMZ区的Cisco3750交换机上，最终访问到虚拟化服务器上的业务应用。报社部分编辑、记者用户，需要通过虚拟化应用访问到报社内

2、部网络上的一些采编应用系统，这样图1中的虚拟化服务器就会作为代理服务器，通过Cisco3750、防火墙和Cisco6509,最终访问到报社内部服务器上的资源。从采编应用服务器上返回的数据包也是先到达DMZ区的虚拟化应用服务器上，然后服务器再把数据包返回给报社互联网上的用户。虚拟化应用安全思考安全是应用的基础。目前，使用报社虚拟化的用户主要來自互联网，但是随着报社信息化建设的不断发展，桌面熄拟化和网络熄拟化也相继在报社进行测试应用。所以随着虚拟化使用范围的越來越广，更应该注重虚拟化在安全方面的防护和加固。(1)

3、安全防护五要素。虚拟化应用和其它应用系统一样，都应该从五个方面进行安全加固，如图2所示。一是用户身份安全。它能够提供用户名密码、USB-KEY、硬件特征码、数字证书、短信认证中的一种或多种身份认证方式，保障用户身份接入的可靠性。二是终端安全。应当加強终端设备的病毒、木马防护，及时升级系统的漏洞补丁，检测、拦截和移除病毒、间谍软件。三是传输安全。要使用标准的加密算法保障数据的安全传输。四是应用权限安全。能够针对每个部门、每个用户进行应用、URL级别的授权，并可针对用户终端安全环境、登录时间的不同，进行差别授权和

4、灵活控制。五是审计安全。日志中心能提供详细的报告，作为网络规划的依据，并且具备管理员权限的分级功能，提髙管理安全性。(2)虚拟化应用安全隐患。报社虚拟化应用最普遍的方法是，用户用各种终端通过互联网连接到单位DMZIX的虚拟化服务器上，虚拟化服务器再作为代理就可以访问到内网的采编应用系统上，如图3所示。从图中可以看出，接入到虚拟化应用的终端有很多种，只婆能接入到互联网就可以访问到报社的虚拟化应用。但是，访问虚拟化应用的“用户身份安全”不是很好验证，存在用户不能通过科能手机或PDA掌上电脑，使用USB-Key认证

5、访问报社的虚拟化应用的问题，因为这些设备上没有USB接口。所以为了方便用户访问虚拟化应用，就开通了“用户名密码+认证码”的认证访问方式，这样用户无论使用什么样的终端都可以访问到虚拟化应用。但是，使用“用户名密码+认证码”的认证方式属于静态认证，一旦用户名和密码泄露会造成严重的后果。况且认证码也是一种非常简单的认证方式，它的忖的是保证登录网站的是人而不是程序。非法用户完全可以通过一些专用的破解软件，把密码破译出來。所以，在虚拟化应用中最好不要使用“用户名密码”的认证方式。虚拟化应用安全防护措施针对应用系统的安全

6、防护五要索，和报社虚拟化应用的实际情况，提出以下四点虚拟化应用的安全防护措施。(1)手机动态密码验证。报社很多业务应用系统，对安全性的要求也很高，而手机动态密码的认证方式，在国内有的银行已经广泛应用，例如交通银行。所以它的安全性己经得到认可，完全可以把它应用到报社的虚拟化认证中。它是一种动态的、互动的密码认证方式，即使非法用户盗用了银行用户的银行卡和支付密码，若他没有银行用户的手机也不能完成网上支付，因为动态密码只发送到银行用户本人的手机上。而且在向银行用户发送动态密码时会包括一个“密码序号"，如图4所示的上

7、半部分，是用户进入到银行支付页面的提示。在“动态密码"输入框的后边就有一个提示“密码序号：56”;同样在图4的下半部分的黄色显示区域，是银行用户木人手机上收到的动态密码提示信息，在其中也包含有“密码序列：56”，这两个序号的数值必须一致才是真实有效的密码,这就进一步提高了手机动态密码的安全性。(2)扩展USB-Key认证使用范围。人民日报社目前已部署有完善的PKI认证系统，用户在访问重要的业务应用前，都需要通过USB-Key认证。而且，从表1对几种认证方式的比较可以看出，安全性最高的是USB-Key和动态口令

8、认证方式。所以，在报社的虚拟化应用上，采用USB-Key认证就能保证所有业务应用系统在认证方式上的统一性。相比较而言，USB-Key认证方式性价比高，而且USB接口乂有通用性，因此USB-Key认证技术绘适合应用推广。山于USB-Key具有安全可靠、便于携带、使用方便、成木低廉的优点，加上PKI体系完善的数据保护机制，使用USB-Key存储数字证书的认证方式已经成为H前主耍的认证模式。报社用户通过互