1、 CHANGSHA UNIVERSITY OF SCIENCE & TECHNOLOGY网络工程设计课程设计论文 企业网络系统安全需求分析与设计学 院 专 业 班 级 学 号 学生姓名 指导教师 课程成绩 完成日期 课程论文成绩评定学 院 专 业 班 级 学 号 学生姓名 指导教师 课程成绩 完成日期 指导教师对学生在课程设计中的评价评分项目优良中及格不及格课程论文中的创造性成果学生掌握课程内容的程度课程论文完成情况课程论文动手能力文字表达学习态度规范要求课程论文的质量指导教师对课程论文的评定意见综合成绩 指导教师签字 2010年12月15日课程设计任务书学院 专业 课程名称网络工程时间学生姓
2、名指导老师题 目企业网络系统安全需求分析与设计主要内容：1) 了解企业建立网络安全系统的必要性；2) 理解网络安全技术体系；3) 掌握网络安全系统设计的方法。要求：（1）掌握网络网络系统安全设计的基本原理；（2）熟悉网络安全技术体系；（3）通过实际设计网络安全系统，掌握企业网络系统安全设计的方法与步骤。（4）按要求编写课程设计报告书，能正确阐述设计结果。（5）通过课程设计培养学生严谨的科学态度，认真的工作作风和团队协作精神。（6）在老师的指导下，要求每个学生独立完成课程设计的全部内容。应当提交的文件：课程设计报告。课程设计附件（源程序、各类图纸、实验数据、运行截图等）企业网络系统安全需求分析与
3、设计学生姓名： 指导老师：摘 要 企业通过Internet 可以把遍布世界各地的资源互联互享，但因为其开放性，在Internet 上传输的信息在安全性上不可避免地会面临很多危险。当越来越多的企业把自己的商务活动放到网络上后，针对网络系统的各种非法入侵、病毒等活动也随之增多。面临的这些信息安全问题的解决，我们需要设计出相应的解决方案。本课程设计主要对企业网络系统安全进行网络基础安全、系统安全、应用管理安全及应用对安全系统的要求等方面的需求分析，并确定企业安全系统实现的目标。最后提出企业网络安全系统实施建议，建议包括系统设计的基本原则，安全系统实施的步骤，防火墙系统实施建议，VPN系统设计方案及防
4、火墙系统集中管理方法也选型设计。本课程设计对企业网络系统安全既进行了全面的需求分析也设计出了一个符合题目要求的网络安全系统，初步实现了设计目标，达到了预期的效果。关键词 VPN；网络安全；防火墙；需求分析目 录1概述 11.1企业建立网络安全系统的必要性11.2安全建议书的设计原则11.3安全技术体系分析模型介绍21.4安全技术体系的理解及实践32应用需求分析62.1网络基础层安全需求分析62.2系统安全需求分析92.3应用安全管理需求分析92.4应用对安全系统的要求分析123安全系统实现目标133.1网络基础层安全系统建设目标133.2应用辅助安全系统的建设目标144网络安全系统的设计154
5、.1系统设计的基本原则154.2安全系统实施步骤154.3防火墙系统设计164.4VPN系统设计214.5防火墙系统集中管理244.6防火墙选型设计说明245结束语29参考文献30 企业网络系统安全需求分析与设计 第30页 共30页1概述建设功能强大和安全可靠的网络化信息管理系统是企业实现现代化管理的必要手段。如何构建企业安全可靠的网络系统是本课程设计的目的。本课程设计是为企业提出的“网络安全系统设计方案”，只针对网络基础设施安全系统向企业提交网络安全的设计及设计实施方案，没有涉及其他部分的内容，如“数据安全系统”等。1.1企业建立网络安全系统的必要性毫无疑问，不需要任何形式的“说教”，在信息
6、和网络被广泛应用的今天，任何一个网络管理或使用者都非常清楚，所有被使用的计算机网络都必然存在被有意或无意的攻击和破坏之风险。企业的网络同样存在安全方面的风险问题。对于大多数网络黑客来说，成功地侵入一企业特别是著名企业的网络系统，具有证明和炫耀其“能耐”的价值，尽管这种行为的初衷也许并不具有恶意的目的；窃取企业的网络数据，甚至破坏其网络系统，更加具有现实和长远的商业价值5。因此，企业网络建立完善的安全系统，其必要性不言而喻。1.2安全建议书的设计原则网络安全体系的核心目标是实现对网络系统和应用操作过程的有效控制和管理。任何安全系统必须建立在技术、组织和制度这三个基础之上。在设计企业的网络安全系统
7、时，我们将遵循以下原则：l 体系化设计原则通过分析信息网络的层次关系，提出科学的安全体系和安全框架，并根据安全体系分析存在的各种安全风险，从而最大限度地解决可能存在的安全问题。l 全局性、均衡性、综合性设计原则安全建议书将从企业网络整体建设角度出发，提供一个具有相当高度、可扩展性强的安全解决方案；从企业的实际情况看，单纯依靠一种安全措施，并不能解决全部的安全问题。本建议书将考虑到各种安全措施的使用。本安全建议书将均衡考虑各种安全措施的效果，提供具有最优的性能价格比的安全解决方案。安全需要付出代价（资金、性能损失等），但是任何单纯为了安全而不考虑代价的安全建议书都是不切实际的。建议书同时提供了可
8、操作的分步实施计划。l 可行性、可靠性、安全性作为一个工程项目，可行性是设计企业安全方案的根本，它将直接影响到网络通信平台的畅通；可靠性是安全系统和网络通信平台正常运行的保证；而安全性是设计安全系统的最终目的。1.3安全技术体系分析模型介绍安全方案必须架构在科学的安全体系和安全框架之上，因为安全框架是安全方案设计和分析的基础。为了系统、科学地分析网络安全系统涉及的各种安全问题，网络安全技术专家们提出了三维安全体系结构，并在其基础上抽象地总结了能够指导安全系统总体设计的三维安全体系（见图1-1），它反映了信息系统安全需求和体系结构的共性。具体说明如下：图1-1安全框架示意图（1）安全服务安全服务
9、（X轴）定义了7种主要完全属性。具体如下：身份认证，用于确认所声明的身份的有效性；访问控制，防止非授权使用资源或以非授权的方式使用资源；数据保密，数据存储和传输时加密，防止数据窃取、窃听；数据完整，防止数据篡改；不可抵赖，取两种形式的一种，用于防止发送者企图否认曾经发送过数据或其内容和用以防止接收者对所收到数据或内容的抗否认；审计管理，设置审计记录措施，分析审计记录；可用性、可靠性，在系统降级或受到破坏时能使系统继续完成其功能，使得在不利的条件下尽可能少地受到侵害者的破坏。（2）协议层次协议层次（Y轴）由ISO/OSI参考模型的七层构成。与TCP/IP层次对应，可以把会话层、表示、应用层统一为
10、“应用层”。（3）系统单元系统单元（Z轴）描述了信息网络基础构件的各个成分。通信平台，信息网络的通信平台；网络平台，信息网络的网络系统；系统平台，信息网络的操作系统平台；应用平台，信息网络各种应用的开发、运行平台；物理环境，信息网络运行的物理环境及人员管理。1.4安全技术体系的理解及实践贯穿于安全体系的三个方面，各个层次的是安全管理。通过技术手段和行政管理手段，安全管理将涉及到各系统单元在各个协议层次提供的各种安全服务。（1）安全体系的理解在图1-1的安全体系分析模型中，完整地将网络安全系统的全部内容进行了科学和系统的归纳，详尽地描述了网络安全系统所使用的技术、服务的对象和涉及的范围（即网络层
11、次）。对于上图的理解，不妨简单说明如下：安全服务是网络安全系统所提供可实现的全部技术手段；网络协议是网络安全系统应该将所采纳之安全技术手段实施的范围；系统单元是网络安全系统应该提供安全保护的对象。作为一个现实的网络安全系统，首先要考虑的是安全建议书所涉及的有哪些系统单元，然后根据这些系统单元的不同，确定该单元所需要的安全服务，再根据所需要的安全服务，确定这些安全服务在哪些OSI层次实现。（2）构建安全系统的基本目标在上述的三维结构的安全体系中，安全服务维是向网络系统的各个部分和每一个层次，提供安全保证的各种技术手段和措施。虽然并不是每一个应用网络都需要安全服务维提出的所有手段，但是对于一个包含
12、各种应用和具有一定规模的企业网络，这些安全措施应该都基本具备，因此安全服务维所涉及的所有安全服务措施，是网络安全系统的基本建设目标。根据我们对企业网络系统应用现状的认识，以及未来将要实现的各种应用目标了解，我们认为企业网络安全系统，最终需要全部实现图1-1中安全服务维所提出的基本技术手段。（3）网络安全系统的技术实施构筑网络安全系统的最终目的是对网络资源或者说是保护对象，实施最有效的安全保护1。从网络的系统和应用平台对网络协议层次的依赖关系不难看出，只有对网络协议结构层次的所有层实施相应有效的技术措施，才能实现对网络资源的安全保护。针对一般网络系统的结构和应用要求，为了达到保护网络资源的目的，
13、必须在网络协议层实施相应的安全措施，如下表1-1所示。表1-1 网络协议层实施相应的安全措施 物理层数据链路层网络层传输层会话层表示层应用层认证*访问控制*数据保密*数据完整性*不可抵赖性*审计*可用性*说明：* 表示需要实施的项目在本项目设计中，我们建议企业网络系统通过防火墙系统、VPN应用系统、认证系统和网络漏洞扫描及攻击检测系统实现表1-1中的安全手段实施。2应用需求分析企业网络结构包括企业内部网络Intranet和企业外部网络Extranet，外部网络连接到Internet，满足互联网访问、WWW发布、外部移动用户应用等需求。本章将根据企业网络系统的结构及应用，详细分析企业网络系统的安
14、全需求。2.1网络基础层安全需求分析网络基础层（在此网络基础层是指网络通信链路、路由/交换设备、网络节点接口设备/网卡包括了OSI物理层到传输层设备的集合）作为现代计算机信息系统不可缺或的基础设施部分，其安全性是每一个用户最为关心的问题。从企业的应用网络结构分析，企业网络层的安全涉及到Internet连接安全、广域网连接安全、应用系统内部资源网络连接安全保护几方面的安全问题。（1）Internet连接安全保护企业在网络应用中有三种情况需要进行Internet连接，即向外大众用户提供业务和宣传信息服务、公司内部用户和外界的电子邮件往来、通过互联网在异地进行业务办公的移动用户服务等。由此企业企业网
15、必须向外“开门”，象所有连接互联网的企业网一样，企业网不可避免地存在，遭受到来自外部的恶意攻击和破坏、各种各样病毒传播的可能性。因此，在Internet出入口连接点，必须采取措施进行保护 布置防火墙系统，对集团总部的Internet出入口实施有效的控制，包括进出的数据检查和资源访问的控制。另外，仅仅设置1台防火墙，容易出现单点故障，为了保证网络对外的7X24小时不间断服务，还必须考虑网络安全设备的冗余配置。（2）广域网连接的安全保护企业部分异地的下属企业和部门将通过广域网的方式与总部进行连接。因此企业的网络系统从其结构而言是一个在物理上广域连接的企业网络系统，企业广域连接的网络系统必须考虑两方
16、面的安全措施：l 网络通信加密（VPN应用）广域网络通信连接将通过第三方链路进行。尽管租用电信或其他传输服务提供商的专用链路传输数据的安全性会高于通过Internet传输，但是由于第三方提供的专用链路所使用的设备是公共的，其安全性具有相对性，不仅在链路上传输的数据存在被窃取的可能，同时也存在由于链路供应商安全管理和保护措施不完善的原因，导致被别有用心者有可能通过盗接而非法访问网络资源的风险，在国内就曾有类似的案件发生 非法分子通过在公共设备上偷偷接入自己的电脑，窃取了别人的股票交易帐户资料，盗用他人的帐户进行证券交易而非法获利。如果仅仅是窃取资料对于网络系统本身也许不会产生太严重的破坏，但是假
17、设盗接者是一个恶意攻击者，即使仅仅是一个普通的网络高手，把在网络通信链路上截取的数据进行篡改或者置换，再通过网络链路将属性被异动的数据对系统进行回放，其对网络系统可能造成的破坏程度是用户无法预计的4。现有的设备和技术手段要实现以上的非法目的不难，如果仅仅是通过盗接来窃取资料，只需要物理上存在接入的可能（实际上目前国内所有的链路服务供应商都存在比较大的漏洞），就非常容易实现；即使是通过链路盗接进行恶意攻击的“高难度”动作，“网络高手”只需花很低的代价购买用于网络测试的专业设备和软件，就可在通信链路上通过数据回放对网络系统实施攻击。因此，为了消除这类风险的存在，企业网络安全系统必须能够对在广域网上
18、传输的所有数据进行加密（数据发出方）和解密（数据接收方）处理，即VPN应用。VPN采用3DES的加密算法，一方面可以使在广域网链路上传输的数据变成外来者不可“读”，防止流失数据的信息泄露；另一方面通过VPN加密和解密的规则，可以对具有不良属性的被异动数据进行过滤或使之属性失效，避免这些恶意数据对网络系统造成破坏。l 防火墙保护应用从网络系统的应用来说，企业广域连接的网络系统实际上就是规模庞大的企业内部网。在这种复杂的网络环境中实现对各类网络资源的有效保护和管理，仅仅利用现有的网络来完成，显然是做不到的。因此在企业广域连接的网络系统内有必要引入防火墙的应用，原因如下两方面。其一，类似企业这种在物
19、理上分布广泛的网络系统，每一个在地理上属异地的分支机构或部门，甚至同属于一个地方（如总部）的不同机构和部门，其网络应用和管理都有相对的独立性，因此在网络安全管理实施和执行上就很容易产生差异，从而出现网络安全漏洞。虽然企业在网络实施和管理上可以强制性地要求企业内部网络到Internet的接入为统一出入口，但是在网络的使用过程中，也许总部和个别管理严格的异地分支机构和部门，可以比较容易地始终如一执行这一规章制度，却不能完全保证所有在网上的用户因为一些别的原因使用了另外的途径进入Internet，如异地机构的企业网络用户通过向当地ISP供应商购买帐户使用PSTN/ISDN/ADSL拨号上网，这就等于
20、给企业网络为外部Internet的使用者提供了一个甚至多个“后门”。这种“后门”对于别有用心的网络黑客来说，是非常有用的，他们可以避开企业网络“门户”的防火墙系统，通过网络的“后门”直接攻击企业网络的内部资源，这也是网络黑客最常用的攻击手段之一；在国外就曾经有某个利益集团利用这一手法，获取了某国海关大量的内部资料，利用所掌握的内部资料，达到其变相走漏海关关税的目的，而且这一手法在被发现的时候已经被有效地利用了相当长的时间。所以在企业广域网内采取网络连接保护是必须的措施。其二，内部网络连接安全保护。企业网内部处理和存放了几乎所有的企业数据和信息，这些信息根据不同的应用被不同的对象使用，有许多信息
21、系统会根据应用目的进行分类独立使用（虚拟系统），而且其共享的用户范围也是有限制的，因此在网络上需要有比较好的手段对内部用户进行信息资源访问的控制；另一方面，来自于企业内部的攻击不容忽视，其成功的可能性要远远大于来自于Internet的攻击，而且内部攻击的目标主要是获取企业的机密信息，这就更需要有措施对内部用户进行访问控制。由此可见，在企业通过第三方专线连接的企业广域网内，实施网络安全保护是非常必要的举措。能够有效地担负这一保护作用角色的是性能和功能强大的防火墙系统。因此，本课程设计采用企业广域网系统配置内部的防火墙系统。（3）虚拟连接广域网的安全保护对于企业众多的异地分支机构（规模比较小的）、
22、商业合作伙伴、出差在外的流动用户，将其远程电脑或小规模LAN纳入企业网系统的接入模式，更多的将会采用通过公共Internet的虚拟连接方式。正如前面所言，这种连接方式尽管实现的代价和技术条件相对比较低，但其所能提供的安全保证更加不可信赖。因此毫无疑问，同样的理由，这种连网方式的广域网，其VPN和防火墙的应用，比通过第三方专线链路更加迫切需要。（4）其他安全保护辅助措施企业网络环境比较复杂，设备众多，这使管理人员查找和修补网络中的全部安全隐患有相当大的难度。利用先进的技术、工具进行网络系统自身的脆弱性检查，先于入侵者发现漏洞并及时弥补，以及建立实时入侵检测系统，是十分有效的安全防护措施，将能极大
23、提高、完善企业系统安全。在条件允许的情况下，我们建议企业网增加网络漏洞扫描和入侵检测系统1。2.2系统安全需求分析各种操作系统是应用运行的基础，应用系统的安全性，在相当大的程度之上受到操作系统安全性的影响。目前运行大多数应用的各种操作系统，都是针对可以运行多种应用来开发的，其开发要兼顾到各种应用的多个方面，在程序开发过程中，会出现一些人为的疏忽，以及一些人为设置的后门等。这些人为的疏忽或者后门就成了操作系统的安全漏洞。还有，安装在操作系统上的各种应用系统形成了一个复杂的环境，这些应用程序本身设计的缺陷也会带来安全漏洞。另外，系统权限管理的松懈也是造成安全漏洞的重要原因。此外，任何东西的特性都是
24、两方面的，只要恶意的破坏者掌握了系统的特性，这些特性就可以被用来进行系统的破坏。基于以上的原因，企业网络需要对总部的应用服务器进行操作系统和数据库的备份，操作系统包括Windows NT, Windows 2000,Solaris,Linux，数据库系统主要包括Oracle，MS SQL数据库。需要对这些系统进行系统安全漏洞的扫描和实时入侵的检测。2.3应用安全管理需求分析应用层安全主要是对应用资源的有效性进行控制，管理和控制什么用户对资源具有什么权限。资源包括信息资源和服务资源。需要提高身份认证安全性的系统包括主机系统、网络设备、移动用户访问、VPN和应用层。（1）主机系统包括企业总部和各下
25、属公司中心主机、数据库系统，WEB服务器、MAIL服务器等等，这些主机系统是公司网络系统的核心，存储着公司最重要的信息资源，因此，保证这些主机系统的登录的安全是极其重要的。目前企业的主机系统仍然沿用单一密码的身份认证方式，这种简单的身份认证存在以下安全隐患：l 网络入侵者，很容易猜测或破解账号、密码，利用他人的帐户登录，进行非法操作。l 人员的流动、集成商自设等很多因素，使得每台主机系统上的多余帐户增加。（2）网络设备安全管理企业全公司，网络设备（路由器、交换机）数量以数十甚至数百计。公司所有的业务系统都是建立在网络设备基础之上的，保证网络设备的安全是保证系统正常运行的首要条件；而保护网络设备
26、的安全，通常考虑的最多的是设备的冗余，而网络设备的配置保护却不被重视，其实，当某一个人登录了网络设备（路由器、防火墙、VPN设备等），将配置进行了更改，为以后非法的登录建立通道，对整个系统来说，所有的安全设施就形同虚设。因此对登录网络设备的人员进行强的身份认证是完全必要的。（3）移动用户的访问控制访问移动用户进入公司内部网络可以通过本地拨号连接公司的内部网络，也可以通过互联网的ISP接入公司内部网6。对于企业来说，移动用户将基本上采用VPN的方式对内部进行访问，外出的员工可以通过Internet渠道的方式进入公司内部网络，获取所需要信息资源或回送需要提交的信息。而目前从终端上访问也是采用单一静
27、态密码，从我们前面的分析来看，显然是不安全的。因此我们必须在移动用户访问上增加更加强大的手段对移动用户进行控制管理。（4）VPN上的认证在网络系统将配置VPN系统，远程移动用户可以通过拨号连接本地ISP，用VPN Client 建立安全通道访问公司信息资源。而VPN技术能够很好的解决系统传输的安全问题，极大的节约公司的费用，并且使外部非法用户无法访问公司内部信息；但是，对于公司内部用户，由于VPN所提供的用户认证机制依然是单一的密码方式，使我们无法保证目前访问信息资源帐户和拥有该帐户的员工的身份相符合，也就是说，还是存在内部用户盗用他人密码访问特定的信息资源的安全隐患（可能这些信息资源是他无权
28、浏览或更改的），因此，补充更强的身份认证机制对VPN系统应用来说也是非常必要的。 （5）应用层安全保护这里的应用层，主要指企业的信息资源管理系统（ERP）。在员工进入ERP系统时需要输入用户名称和密码，同样的原因，单一静态密码的不安全性使得我们有必要在ERP系统上采用强的认证机制，保证不同权限的、不同级别的用户安全合法的使用ERP系统。ERP系统上单一静态密码的安全隐患主要有：l 用户无法保证办公文件能正确的接受，在接受之前没有被其他人浏览过。l 单一密码容易泄露，一旦密码泄露，其恶果可能会很严重。l 高级别的用户在远程授权以后，需要及时地更改密码。以上讨论了企业网络系统各个不同应用的安全认证
29、问题，不难看出，上述的应用都必须在原有的单一静态认证基础上，增加更加强大的认证手段，因此我们建议在企业网络安全系统内引入动态认证机制，即动态的SecurID。加入的RSA SecurID必须提供通用的API，使用户可以将RSA SecurID认证内嵌到ERP系统或其他的应用系统中，保证公司内部网络用户接收MAIL和文件的安全，验证用户身份，并创建用户登录日志文件。为了使系统的认证操作和对非法访问的拦截更加有效，所有认证的转发和认证结果的处理都由防火墙来操作完成，即对所有被认证系统认定为非合法访问的服务请求，通过防火墙“掐断”其访问连接，而不是通过应用系统直接拒绝访问服务。这是防火墙系统设计时必须考虑的可实现功能之一4。2.4应用对安全系统的要求分析任何一个完整的网络安全系统，从其功能和物理层次来看，它将分别是网络基础设施和网络应用系统的组成部分。防火墙作为网络基础设施的一部分，和其他网络设备一样，其性能目标应该按照网络系统的应用要求进行选型设计。如果防火
