网络安全防护措施设计与实现

    本篇论文目录导航：

【题目】企业办公网络安全管理问题研究
【第一章】企业办公网络安全防护探析绪论
【2.1 - 2.4】防火墙技术与文档安全保护技术
【2.5 - 2.7】网络防病毒技术与双机热备技术
【第三章】办公网络安全系统分析与设计
【4.1 4.2】网络出入口监控管理策略
【4.3 - 4.5】网络安全防护措施设计与实现
【总结/参考文献】企业办公网安全升级方案研究总结与参考文献

　　4.3 安全防护措施设计与实现

　　4.3.1 文档安全保护。

　　企业的人事调动、人员流动等都容易引起资料的泄密，比如：员工通过单位的网络，单位的e-mail发走单位的重要文档，U盘软盘拷贝走单位的重要资料，用单位的打印机打印敏感的文件，显而易见这会给单位造成很大的损失。

　　如今的网络环境，病毒肆虐、木马横行，各种入侵方式不胜枚举。而作为一家企业，在如今快速的办公环境压力下，办公文档被感染或者窃取，严重妨碍办公效率，造成损失难以估算。

　　在这个信息代表金钱的年代，公司文档所代表的可能不仅仅只是一份文件，它可能会影响到公司接下来几年甚至十几年的发展方向。防火墙策略并不能完全保证企业信息安全，我们不能完全依赖防火墙来实现全面防护。因此，针对文档的保护，我们还需要增加额外的设备来单独保护。

　　对于单位来讲，必须面对或希望解决这些的安全和管理问题，这也造成了单位对这方面产品的需求。

　　（1） 图档加密文档保护系统图档加密管理帮助单位有效防范和应对各种网络安全问题。从源头杜绝文件泄密解决了外贼好治，家贼难防的管理局面。软件具有健全的管理体系，能实现高效、高性能的全方位监测，加强平台建设，具备了应急处理能力，对于突发事件能够做到判断准确、响应迅速、应对有效，能最大限度避免网络安全事故对企业的发展影响。

　　功能摘要：

　　（a）自动加密：根据用户需要，启用策略强制加密指定类型的文件。

　　（b）手动加解密：根据用户需要，可以对指定文件进行手动加解密操作。

　　（c）硬盘全加密：根据用户需要，实行指定的客户端全盘加密操作。

　　（d）硬盘全解密：根据用户需要，实行指定的客户端全盘解密操作。

　　（e）灾难数据恢复：根据用户需要，对客户端损坏的电脑进行解密，同时恢复数据。

　　（f）图档密级：根据用户需要，自行指定客户端文档类型和查阅级别。

　　（g）移动外发：根据用户需要，启用非安全环境文件执行策略，支持离线模式。

　　（h）外发审核日志：根据用户需要，外发文件需要进行审批。

　　（2） 图档管控文档保护系统图档管控功能，主要针对大型用户文件库服务器设计，部署简单，更加易于控制管理。这是一套成熟完善的图档集中管理和冗余抗灾方案，库内的文档进行分级管理和分权管理。

　　功能摘要：

　　（a）文档权限管控：根据用户需要，可以对客户端文件进行自定义，授权一些基础操作。

　　（b）图档备份：根据用户需要，可以设定客户端备份重要文件，分两种方式，一种是定时，一种是手工。

　　（c）备份日志查询：根据用户需要，可以查看文件服务器中客户端文档备份信息。

　　4.3.2Web 应用防护。

　　随着网络发展，Web应用程序越来越多，这些应用面临着来自网路的恶意攻击威胁，Web主页被篡改，用户信息被窃取等，时有发生。据不完全统计，网络攻击目前超过75%是针对Web应用服务的。这是基于应用层的攻击，通过一些社交工具和P2P协议进入企业网络。这种进入方式不像是攻击行为，就像是正常的数据访问，防火墙策略对其毫无办法。等它在本地网络上肆意破坏后，用户才会发现。

　　因此，单是传统的防火墙是无法进行Web应用防护的。防火墙工作在网络层，通过地址转换、访问控制及状态检测等功能，对单位网络进行保护。为了便于外部访问Web应用，防火墙是完全开放8080端口的，这就意味着防火墙对Web应用几乎没有半点防护措施。防火墙无法防护上述应用层的攻击，所以，这里我们选择了针对Web应用服务的防攻击设备。

　　Web应用防护系统，可以"实时"切断应用的攻击，包括检测、防御、响应这三个部分。检测，建立扫描检查机制，实时扫描Web服务器，保证第一时间确认入侵情况，同时记录漏洞并提出安全修改建议；防御，结合当今主流入侵防御产品，联合扫描漏洞和安全威胁，完善自身的防护能力；响应，由专业支撑人员组成外援团队，及时有效的处理问题，做到人工确认漏洞，并加强防护代码审核。

　　主要采用两种解决技术手段，见图4.9:

　　（1） 基于自动学习功能，能形成机制，自主防御攻击。首先会建立一个模型，所有访问会进行流量抽取，并根据模型进行校对，若匹配，则被判定为攻击行为，进行阻断隔离。

　　（2） 基于对入侵行为的检测分析，增加了对数据的实时控制。

　　（a）事前检测阶段，通过实施扫描，来查找Web应用系统可能存在的系统漏洞，在扫描过程中，检查是不是有木马等攻击行为存在，或者是否已经感染木马。

　　（b）事中防御阶段，明确针对Web应用系统的几大恶意行为，对这类行为加强防御，同时保护Web应用运行所在的操作系统。

　　（c）事后响应阶段，对扫描出的漏洞等进行处理，修补漏洞、补全Web页面的代码，清理残留的木马程序和恶意代码，必要情况下，对原有Web应用进行数据恢复，保证其不会复发感染。

　　4.3.3 网络防病毒。

　　网络防病毒并不是简单的扫描网络环境，清除已经潜伏并感染服务器系统的病毒。而是要先建立防御体系，部署好足够的安全防御硬件设备，如防火墙、Web应用防护设备等。然后通过服务器平台，部署一套防病毒系统，用来抵御病毒入侵。这套系统要求便于管理，可远程访问，统一防病毒策略。

　　本办公网络是跨区域的，若要确保整个网络内无病毒，就得先保证主干核心网络无毒。

　　本防病毒软件平台安装在核心网络的一台服务器上，实现实时更新和定时扫描。同时生产访问链接，对内网用户开放客户端下载。保证内网的每一台主机都可以享受到防病毒的保护。打造成一个完全无毒的办公网络环境。

　　如果选择安装策略服务器for Cisco NAC.

　　"策略服务器安装"窗口上显示的设置和选项与在防毒墙网络版服务器安装期间指定的大多数设置类似。

　　许可协议：接受许可协议的条款以继续。

　　安装路径：接受缺省安装路径或者指定将在本地计算机上安装策略服务器的位置。

　　Web服务器：指定是否使用IIS或Apache Web服务器。

　　Web服务器配置：为选定的Web服务器指定设置。

　　Web控制台密码：指定用于访问策略服务器控制台的密码。虽然可以从防毒墙网络版启动该控制台，但是该控制台独立于防毒墙网络版服务器控制台。

　　ACS服务器认证：

　　ACS服务器通过网络访问设备从客户端接收防毒墙网络版客户端防病毒数据，并将其传递到外部用户数据库以用于评估。在稍后的过程中，ACS服务器还会将评估的结果（其中可能包括防毒墙网络版客户端的说明）传递到网络访问设备。

　　安装信息：查看安装信息。

　　4.4 数据安全保护措施。

　　4.4.1 数据安全备份软件的选择与功能要求。

　　如今越来越多的应用伴随着信息化发展大量涌现，流通在网络上的数据量也越来越大。信息是当今最珍贵的资源，数据是信息的表现形式和存储载体。数据作为网络办公行为一项重要资源，其重要程度不言而喻。如何能保证数据的完整性、准确性、安全性，已经是当前需要研究的一大课题。

　　数据遭到破坏的因素多种多样，小到人为失误，大到自然灾害，主要包括以下几个方面：

　　硬件故障：计算机是数据运作的载体，是一台电子硬件。是硬件就会发生故障，无论是正常情况下的设备老化，还是产品问题导致的设备故障，计算机"报错"后，保存的数据就会存在极大风险。

　　软件故障：软件是数据的使用载体，从操作系统到文档报表，都是以软件的形式呈现。

　　但由于软件BUG、漏洞等，很可能造成软件崩溃，进而导致数据保存错误、丢失。

　　人为误操作：人为事故，无法避免。通常一个不小心，就有可能将正在使用的重要数据给删除，或者，一个不留神的操作导致数据库报错，进而丢失了大部分重要的数据。

　　破坏性木马与病毒：这个一个不可回避的风险，也是数据最大的安全威胁。木马和病毒，都可能突破防护系统潜伏进数据库中，随着数据使用自我复制，到处传播。很可能一个诱因激发，病毒就能将所有数据毁于一旦。木马则可能将数据神不知鬼不觉地窃取走，这对于企业来说，很可能就是一大损失。

　　自然灾害：不可抗力因素，无论是火灾、水灾、地震等，通常发生时都是声势浩大，这是人力不可抗拒的。

　　丢失数据，通常不能以金钱来衡量，而是要看这数据对企业的重要性，以及其丢失后的影响有多大。假如丢的只是几天的工作邮件，可能对于企业来说，并没有什么损失，但是会加强安全保护措施。倘若丢失的是可口可乐的配方，可能数据量很小，但它的价值可能会让可口可乐公司失去全球一半的市场份额。

　　在这种情况下，数据备份的需求就被提出来，同时是针对应用服务的实时备份。

　　要保证业主遇到故障不会中断，我们现在提出的就是双机热备技术。利用一台服务器，与客户原有服务器业务数据同步保存，当原服务器因故障停止工作时，新的备用服务器就会接替它继续运行Web应用服务。这个切换过程非常迅速，通常只需要一分钟左右。考虑到热备服务器和原主服务器在同一数据中心，若是发生火灾等导致两台设备都损坏的情况，故在异地再准备一台备份服务器，通关过内部网络连接，保证数据绝对不会丢失，一直保持最新的时效。

　　4.4.2 双机热备及异地备份策略部署备份方案部署。

　　（1） 本地双机作业说明Double-Take Availability安装在主数据库和本地双机备份数据库服务器上（建议采用一台性能高的服务器，安装VMWARE虚拟软件将服务器物理上虚拟为三台，对应三台生产数据库服务器实现双机），可以实现全操作系统的容灾切换，当主服务器出现故障，系统可以自动（或手工确认）切换到双机数据服务器上。

　　Double-Take Availability实现全操作系统的容灾服务，不要求有相同的硬件环境，可在物理服务器和虚拟服务器之间实现容灾，不需要对服务器上的具体应用进行专门的复杂的设置。

　　Double-Take Availability软件的部署和管理非常简单，全窗口化，不需要对数据库等软件做有过多的了解就可以轻松管理容灾系统。

　　（2） 异地容灾备份作业说明对于Windows服务器中操作系统及应用的保护，采用Double-Take Backup实时备份解决方案，将Double-Take Backup客户端软件安装在每台Windows应用服务器，对服务器实现系统、应用及数据实时备份至Double-Take Backup系统备份服务器中。

　　Double-Take Backup支持各种Windows平台的应用，且不需针对应用的专属模块就能对整个操作系统及应用系统进行全面的保护。

　　Double-Take Backup能逐条校对主服务器中的数据，对不同的部分进行同步，通过记录的快照实现系统恢复，当系统中毒或者数据丢失时，可以选择任意还原点进行恢复。

　　第一次完成服务器的全操作系统备份镜像后对服务器及网络资源占用很少，对主业务系统的影响也最小。

　　可以将备份的全操作系统镜像在物理机和虚拟机上无缝的迁移和恢复，这样降低了对硬件的要求。

　　4.5 本章小结。

　　每层办公楼的网络按照区域规划到不同的VLAN进行管理，网络出口有防火墙进行策略管控。所有的上网行为得到监视和限制，避免了带宽占用和浪费。重要文档、网站服务应用得到策略化的保护，内网环境因为防病毒系统而更加安全稳定。服务器数据进行冗余备份，在突发事件下，本地、异地服务器也能迅速后备起用，维持原有服务功能。

　　经过实际使用测试，在部署完新安全系统后，防火墙受到的攻击警告逐日减少，上网访问操作规范化也得以实现。根据企业用户使用反馈，上网速率明显提高。实现了第三章预期的设计要求。