网络工程设计关键技术.docVIP

网络安全设计技术分析 摘 要 关键词 ； 1 网络安全体系与技术 1.1 IATF网络安全体系结构 IATF（信息保障技术框架）标准是美国国家安全局（NSA）组织世界安全专家制定的。它从整体和过程的角度看待信息安全问题，代表理论是“深度保护战略”。IATF标准强调人、技术和操作3个核心原则，关注4个信息安全保障领域，即保护网络和基础设施、保护边界、保护计算环境和保护支撑基础设施。IATF最重要的设计思想：在网络中进行不同等级的区域划分与网络边界保护。 1.2 TCP/IP各层安全技术 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改和泄漏，系统能连续、可靠地正常运行，网络服务不中断。在TCP/IP体系结构中，各个层次的安全措施有所不同，常用安全技术如表1-1所示。 表1-1 TCP/IP各个层次常用安全保护技术 网络层次 硬件安全保护技术 软件安全保护技术 应用层 较少，如数据加密机 文件加密、数字签名、安全认证、安全补丁、AAA、病毒防护、防火墙 传输层 SSL加密机、防火墙 软件SSL、TLS、防火墙 网络层 防火墙、IDS、IPS、VPN网关、ACL、NAT 软件防火墙、软件VPN网关、安全认证 接口层 链路加密网卡、链路加密机 MAC地址绑定、VLAN划分 物理隔离、线路屏蔽、设备屏蔽、设备冗余 极少 1.3 网络信息加密技术 信息加密技术是利用数学或物理手段，对电子信息在传输过程中和存储体内进行保护，以防止泄漏的技术。加密系统是一个复杂的系统，它包括4个组件：软件组件：负责各功能子系统的协调和用户交互；加密算法：根据一定规则对输入信息进行加密处理；协议：加密系统和运行环境需要；加密密钥：用户加密/解密信息所需的钥匙。常用加密算法有对称加密；非对称加密；Hash（哈希）加密。加密系统在网络中有3个基本的应用：存储、传输和认证。因此，在选择加密系统应该考虑到网络的业务流程和业务的主要安全威胁，并综合考虑产品的实现、性价比、部署后产生的影响等因素。例如根据业务要求选择加密系统；硬件加密系统和软件加密系统的选择；加密系统本身的安全性。 2 防火墙和DMZ设计 2.1 防火墙的类型和功能 所谓防火墙指的是一个有软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障。防火墙技术，最初是针对 Internet 网络不安全因素所采取的一种保护措施。顾名思义，防火墙就是用来阻挡外部不安全因素影响的内部网络屏障，其目的就是防止外部网络用户未经授权的访问。它是一种计算机硬件和软件的结合，使Internet与Internet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问政策、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件(其中硬件防火墙用的很少只有国防部等地才用,因为它价格昂贵)。该计算机流入流出的所有网络通信均要经过此防火墙。 按照防火墙的应用形式，可分为硬件防火墙和软件防火墙。硬件防火墙可以是一台独立的硬件设备（如Cisco PIX）；也可以在一台路由器上，经过配置成为一台具有安全功能的防火墙。软件防火墙是运行在服务器主机上的一个软件（如ISA Server）。硬件防火墙在功能和性能上都优于软件防火墙，但是成本较高。 防火墙具有以下功能：所有内部网络和外部网络之间的数据交换，都可以而且必须经过防火墙。只有符合防火墙安全策略的数据，才可以自由出入防火墙。防火墙受到攻击后，应能稳定有效地工作。应当记录和统计网络的使用情况。有效地过滤、筛选和屏蔽有害服务和数据包。能隔离网络中的某些网段，防止一个网段的故障传播到整个网络。 2.2 DMZ的功能和安全策略 2.2.1 DMZ（隔离区/非军事区）的基本结构和功能 DMZ设立在非安全系统与安全系统之间的缓冲区。DMZ的目的是将敏感的内部网络和提供外部访问服务的网络分离开，为网络提供深度防御。 2.2.2 DMZ访问安全策略 DMZ的设计基本原则：设计最小权限，例如定义允许访问的网络资源和网络的安全级别；确定可信用户和可信任区域；明确各个网络之间的访问关系，制定以下安全策略：内网可以访问外网；内网可以访问DMZ；外网不能访问内网；外网可以访问DMZ；DMZ不能访问内网；DMZ不能访问外网。 2.3 DMZ的网络结构设计 2.3.1单防火墙DMZ网络结构 单防火墙DMZ结构将网络划分为三个区域，内网（LAN）、外网（Internet）和DMZ。DMZ是外网与内网之间附加的一个安全层，这个安全区域也称为屏蔽子网、过滤子网等。这种网络结构构建成本低，多用于小型企业网络设计。如下