大型企业网络安全整体解决方案-张仁杰.ppt

大型企业网络安全整体解决方案 张仁杰 北京瑞星信息技术有限公司 解决流程 一、网络现状分析 二、网络安全相关控制技术 三、选用产品（瑞星） 四、瑞星大型企业网络安全整体解决方案 一、现状分析 大型企业不断发展的同时其网络规模也在不断的扩大，由于其自身业务的需要，在不同的地区建有分公司或分支机构，本地庞大的Intranet和分布在全国各地的Intranet之间互相连接形成一个更加庞大的网络。这样一个网网相连的企业网为企业提高了效率、增加企业竞争力，同样，这样复杂的网络面临更多的安全问题。首先本地网络的安全需要保证，同时总部与分支机构、分支机构之间的机密信息传输问题，以及集团的设备管理问题。 两个方面 外部网络 www、ftp、邮件服务器、黑客攻击等 内部网络 计算机病毒、内部某些重要的服务器或网络被非法访问，造成信息泄密、内部网络用户上网行为没有有效监控管理、通过移动介质将病毒和木马传入内部、分支机构网络和总部网络连接安全和之间数据交换的安全问题 等 网络安全相关控制技术 一、身份验证技术 身份认证的目的是确定系统和网络的访问者是否是合法用户。主要采用密码、代表用户身份的物品（如磁卡、IC卡等）或反映用户生理特征的标识（如指纹、手掌图案、语音、视网膜扫描等）鉴别访问者的身份。 二、访问控制 访问控制的目的是防止合法用户越权访问系统和网络资源。因此，系统要确定用户对哪些资源（比如CPU、内存、I/O设备程序、文件等）享有使用权以及可进行何种类型的访问操作（比如读、写、运行等）。为此，系统要赋予用户不同的权限，比如普通用户或有特殊授权的计算机终端或工作站用户、超级用户、系统管理员等，用户的权限等级是在注册时赋予的。 三、防火墙技术 防火墙是采用综合的网络技术设置在被保护网络和外部网络之间的一道屏障，用以分隔被保护网络与外部网络系统防止发生不可预测的、潜在破坏性的侵入。它是不同网络或网络安全域之间信息的唯一出入口，像在两个网络之间设置了一道关卡，能根据企业的安全政策控制出入网络的信息流，防止非法信息流入被保护的网络内，并且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。 四、数据加密 数据加密就是按照确定的密码算法将敏感的明文数据变换成难以识别的密文数据，通过使用不同的密钥，可用同一加密算法将同一明文加密成不同的密文。当需要时，可使用密钥将密文数据还原成明文数据，称为解密。这样就可以实现数据的必威体育官网网址性。数据加密被公认为是保护数据传输安全惟一实用的方法和保护存储数据安全的有效方法，它是数据保护在技术上的最后防线。 五、一次性口令 为了解决固定口令的诸多问题，安全专家提出了一次性口令（OTP：One Time Password）的密码体制，以保护关键的计算资源。OTP的主要思路是：在登录过程中加入不确定因素，使每次登录过程中传送的信息都不相同，以提高登录过程安全性。例如：登录密码=MD5（用户名＋密码＋时间），系统接收到登录口令后做一个验算即可验证用户的合法性。 六、主机认证 主机认证是用IP地址来标志允许或禁止一个客户端。一旦有一个用户登录到X服务器上，一个叫做X主机的程序用来控制来自那个IP的客户允许连接。但是大多数主机支持多个一台客户机上用户，所以不可能控制在某一台客户机，允许他上而别人不行。 七、网际协议安全 IPSec 作为安全网络的长期方向，是基于密码学的保护服务和安全协议的套件。因为它不需要更改应用程序或协议，您可以很容易地给现有网络部署 IPSec。IPSec 对使用 L2TP 协议的 VPN 连接提供机器级身份验证和数据加密。在保护密码和数据的 L2TP 连接建立之前，IPSec 在计算机及其远程隧道服务器之间进行协商。 八、安全服务器网络 为适应越来越多的用户向Internet上提供服务时对服务器保护的需要，第四代防火墙采用分别保护的策略保护对外服务器。它利用一张网卡将对外服务器作为一个独立网络处理，对外服务器既是内部网的一部分，又与内部网关完全隔离 。这就是安全服务网络（SSN）技术，对SSN上的主机既可单独管理，也可设置成通过FTP、Telnet等方式从内部网上管理。SSN的方法提供的安全性要比传统的”隔离区（DMZ）”方法好得多，因为SSN与外部网之间有防火墙保护，SSN与内部网之 间也有防火墙保护，一旦SSN受破坏，内部网络仍会处于防火墙的保护之下。 九、网络安全漏洞扫描技术 漏洞检测和安全风险评估技术，因其可预知主体受攻击的可能性和具体地指证将要发生的行为和产生的后果，而受到网络安全业界的重视。这一技术的应用可帮助识别检测对名气的系统资源，分析这一资源被攻击的可能指数，了解支撑系统本身的脆弱性，评估所有存在的安全风险。网络漏洞扫描技术，主要包括网络摸拟