企业网络安全策略设计与实现

《企业网络安全策略设计与实现》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、企业网络安全策略设计与实现企业网络安全策略设计与实现【摘耍】随着各类企业的业务向信息化管理模式转移，信息安全成为一个必须面对的问题。企业信息系统往往规模庞大，其信息安全一般会涉及到系统硬件环境、软件应用，以至于企业组织与企业管理。随着当前网络安全花样的翻新，各种类型的网络攻击与信息欺骗对企业网络的可靠性造成了威胁，本文结合企业网络信息系统的安全风险与安全需求，探讨相关安全策略的部署与实现方法，具有比较好的理论价值与实践意义。【关键词】企业网络信息安全策略设计一、企业网络信息系统安全需求（一）企业网络信息安全威胁分析大

2、部分企业在网络信息安全封面均有一些必耍措施，因为网络拓扑结构和网络部署不是一成不变的，因此还会面临一些安全威胁，总结如下：（1）监控手段不足：企业员工有可能将没有经过企业注册的终端引入企业网络，也有可能使用存在安全漏洞的软件产品，对网络安全造成威胁。（2）数据明文传输：在企业网络中，不少数据都未加密，以明文的方式传输，外界可以通过网络监听、扫描窃取到企业的保密信息或关键数据。（3）访问控制不足：企业信息系统由于对访问控制重要性的忽视，加之成本因素，往往不配备认证服务器，各类网络设备的口令也没有进行权限的分组。（4）网

3、间隔离不足：企业内部网络往往具有较为复朵的拓扑结构，下属机构多，用户数量多。但网络隔离仅仅依靠交换机和路由器来实现，使企业受到安全威胁。（二）企业网络信息安全需求分析企业信息系统中，不同的对象具备不同的安全需求:（1）企业核心数据库：必须能够保证数据的可靠性和完整性，禁止没有经过授权的用户非法访问，能够避免各种攻击带来的数据安全风险。（2）企业应用服务器：重耍数据得到有效保护，禁止没有经过授权的用户非法访问，能够避免各种攻击带来的数据安全风险。（3）企业web服务器：能够有效避免非法用户篡改数据，能够及时发现并清除木

4、马及恶意代码，禁止没有经过授权的用户非法访问。(4)企业邮件服务器：能够识别并拒绝垃圾邮件，能够及吋发现并清除木马及蠕虫。(5)企业用户终端：防止恶意病毒的植入,防止非法连接，防止未被授权的访问行为。二、企业网络安全策略设计与实现企业网络的信息安全策略是涵盖多方面的，既有管理安全，也有技术安全，既有物理安全策略，也有网络安全策略。结合上文的安全分析与安全需求，企业网络应实现科学的安全管理模式，结合网络设备功能的不同对整体网络进行有效分区，可分为专网区、服务器区以及内网公共区，并部署入侵检测系统与防火墙系统,对内部用户

5、威胁到网络安全的行为进行阻断。在此基础上，本文着重阐述企业信息系统的网络层安全策略：(-)企业信息系统网络设备安全策略随着网络安全形势的FI趋严峻，不断有新的攻击手段被发现，而这些手段的攻击目标也已经从用户终端、服务器厌延展至交换机、路由器等硬件设施。而交换机与路由器属于网络核心层的重点设备，如果这些设备退出服务，企业信息系统网络安全便会面临很大的威胁。由此本文给出以下的网络设备安全策略。最大化地关闭网络交换机上的服务种类。尤其是不经常使用的服务更应关闭，举例来讲：交换机的邻居发现服务CDP,其功能是辨认一个网络端口

6、连接到哪一个另外的网络端口，邻居发现服务锁发出和接收的数据包很容易暴露用户终端的属性信息，包括交换机端口与用户终端的IP信息，网络交换机的型号与版木信息，本地虚拟局域网属性等。因此，本文建议在不常使用此服务的情况下，应该关闭邻居发现服务。另外，一些同样不常使用的服务，包括交换机自举服务、文件传输服务、简单文件传输服务、网络吋间同步服务、查询用户情况服务、简单网络管理服务、源路径路由服务、代理ARP服务等等。企业信息系统的网管往往以Telnet协议实现对全网所有交换机、路由器的配置与管理。众所周知，此协议使用的是明文传

7、输模式，因此在信息安全方面不输于非常可靠的协议。入侵者只要以抓包软件便能够轻易得知网管的登录ID与密码，以抓包软件同样能够获取网络管理员发出、受到的全部数据。所以在网络管理中，应引入安全性能更高的协议，本文推荐SSH(SecureShellClient)协议。这种协议借助RSA生成安全性能极高的签名证书，通过该证书，全部以SSII协议进行传输的数据包都被良好加密。此外VTP的安全使用也是一个应该得到重视的问题，VTP应配置强口令。（二）企业信息系统网络端口安全策略由于大部分企业网络的终端均以网络交换机在接入层连入网络

8、，而网络交换机属于工作在ISO第二层的设备，当前有不少以第二层为冃标的非法攻击行为，为网络带来了不容忽视的安全威胁。二层网络交换机使用的数据转发方式是以CAM表为基础的。在网络交换机加点之后，首选会清空CAM表，并立即启动数据帧源地址学习，并将这些信息存入交换机CAM表中。这吋候，加入非法入侵者通过伪造自身的MAC地址并不停地发出数据帧结构，便