整體的安全方案分成技術(shù)方案、服務(wù)方案以及支持方案三部分。
一、技術(shù)解決方案
安全產(chǎn)品是網(wǎng)絡(luò)安全的基石，通過在網(wǎng)絡(luò)中安裝一定的安全設(shè)備，能夠使得網(wǎng)絡(luò)的結(jié)構(gòu)更加清晰，安全性得到顯著增強;同時能夠有效降低安全管理的難度，提高 安全管理的有效性。
下面介紹在局域網(wǎng)中增加的安全設(shè)備的安裝位置以及他們的作用。
1、防火墻
安裝位置：局域網(wǎng)與路由器之間;WWW服務(wù)器與托管機(jī)房局域網(wǎng)之間;
局域網(wǎng)防火墻作用：
(1) 實現(xiàn)單向訪問，允許局域網(wǎng)用戶訪問INTERNET資源，但是嚴(yán)格限制INTERNET用戶對局域網(wǎng)資源的訪問;
(2) 通過防火墻，將整個局域網(wǎng)劃分INTERNET，DMZ區(qū)，內(nèi)網(wǎng)訪問區(qū)這三個邏輯上分開的區(qū)域，有利于對整個網(wǎng)絡(luò)進(jìn)行管理;
(3)局 域網(wǎng)所有工作站和服務(wù)器處于防火墻地整體防護(hù)之下，只要通過防火墻設(shè)置的修改，就能有限絕大部分防止來自INTERNET上的攻擊，網(wǎng)絡(luò)管理員只需要關(guān)注 DMZ區(qū)對外提供服務(wù)的相關(guān)應(yīng)用的安全漏洞;
(4)通過防火墻的過濾規(guī)則，實現(xiàn)端口級控制，限制局域網(wǎng)用戶對INTERNET的訪 問;
(5)進(jìn)行流量控制，確保重要業(yè)務(wù)對流量的要求;
(6)通過過濾規(guī)則，以時間為控制要素，限制大流量網(wǎng)絡(luò)應(yīng) 用在上班時間的使用。
托管機(jī)房防火墻的作用：
(7) 通過防火墻的過濾規(guī)則，限制INTERNET用戶對WWW服務(wù)器的訪問，將訪問權(quán)限控制在最小的限度，在這種情況下，網(wǎng)絡(luò)管理員可以忽略服務(wù)器系統(tǒng)的安全 漏洞，只需要關(guān)注WWW應(yīng)用服務(wù)軟件的安全漏洞;
(8)通過過濾規(guī)則，對遠(yuǎn)程更新的時間、來源(通過IP地址)進(jìn)行限制。
2、入侵檢測
安裝位置：局域網(wǎng)DMZ區(qū)以及托管機(jī)房服務(wù)器區(qū)
IDS的作用：
(1) 作為旁路設(shè)備，監(jiān)控網(wǎng)絡(luò)中的信息，統(tǒng)計并記錄網(wǎng)絡(luò)中的異常主機(jī)以及異常連接;
(2)中 斷異常連接;
(3)通過聯(lián)動機(jī)制，向防火墻發(fā)送指令，在限定的時間內(nèi)對特定的IP地址實施封堵。
3、網(wǎng)絡(luò)防病毒軟件控制中心以及客戶端軟件
安裝位置：局域網(wǎng)防病毒服務(wù)器以及各個終 端
防病毒服務(wù)器作用：
(1) 作為防病毒軟件的控制中心，及時通過INTERNET更新病毒庫，并強制局域網(wǎng)中已開機(jī)的終端及時更新病毒庫軟件;
(2)記錄各個終 端的病毒庫升級情況;
(3)記錄局域網(wǎng)中計算機(jī)病毒出現(xiàn)的時間、類型以及后續(xù)處理措施。
防病毒客戶端軟件的作 用：
(4) 對本機(jī)的內(nèi)存、文件的讀寫進(jìn)行監(jiān)控，根據(jù)預(yù)定的處理方法處理帶毒文件;
(5) 監(jiān)控郵件收發(fā)軟件，根據(jù)預(yù)定處理方法處理帶毒郵件;
4、郵件防病毒服務(wù)器
安裝位置：郵件服務(wù)器與防火墻之間
郵件防病毒軟件：對來自INTERNET的電子郵件進(jìn)行檢測，根據(jù)預(yù)先設(shè)定的處理方法處理帶毒郵 件。郵件防病毒軟件的監(jiān)控范圍包括所有來自INTERNET的電子郵件以及所屬附件(對于壓縮文件同樣也進(jìn)行檢測)
5、反垃圾郵件系統(tǒng)
安裝位置：同郵件防病毒軟件，如果軟硬件條件允許的話，建議安 裝在同一臺服務(wù)器上。
反垃圾郵件系統(tǒng)作用：
(1) 拒絕轉(zhuǎn)發(fā)來自INTERNET的垃圾郵件;
(2) 拒絕轉(zhuǎn)發(fā)來自局域網(wǎng)用戶的垃圾郵件并將發(fā)垃圾郵件的局域網(wǎng)
用戶的IP地址通過電子郵件等方式通報網(wǎng)管;
(3) 記錄發(fā)垃圾郵件的終端地址;
(4) 通過電子郵件等方式通知網(wǎng)管垃圾郵件的處理情況。
6、動態(tài)口令認(rèn)證系統(tǒng)
安裝位置：服務(wù)器端安裝在WWW服務(wù)器(以及其他需要進(jìn)行口令 加強的敏感服務(wù)器)，客戶端配置給網(wǎng)頁更新人員(或者服務(wù)器授權(quán)訪問用戶);
動態(tài)口令認(rèn)證系統(tǒng)的作用：
通過定期 修改密碼，確保密碼的不可猜測性。
7、網(wǎng)絡(luò)管理軟件
安裝位置：局域網(wǎng)中。
網(wǎng)絡(luò)管理軟件的作用：
(1) 收集局域網(wǎng)中所有資源的硬件信息;
(2) 收集局域網(wǎng)中所有終端和服務(wù)器的操作系統(tǒng)、系統(tǒng)補丁等軟件信息;
(3) 收集交換機(jī)等網(wǎng)絡(luò)設(shè)備的工作狀況等信息;
(4) 判斷局域網(wǎng)用戶是否使用了MODEM等非法網(wǎng)絡(luò)設(shè)備與INTERNET連接;
(5) 顯示實時網(wǎng)絡(luò)連接情況;
(6) 如果交換機(jī)等核心網(wǎng)絡(luò)設(shè)備出現(xiàn)異常，及時向網(wǎng)管中心報警;
8、QOS流量管 理
安裝位置：如果是專門的產(chǎn)品安裝在路由器和防火墻之間;部分防火墻本身就有QOS帶寬管理模塊。
QOS流量管理的作用:
(1) 通過IP地址，為重要用戶分配足夠的帶寬;
(2) 通過端口，為重要的應(yīng)用分配足夠的帶寬資源;
(3) 限制非業(yè)務(wù)流量的帶寬;
(4) 在資源閑置時期，允許其他人員使用資源，一旦重要用戶或者重要應(yīng)用需要使用帶寬，則確保它們能夠至少使用分配給他們的帶寬資源。
9、重要終端個人防護(hù)軟件
安裝位置：重要終端
個人防護(hù)軟件的 作用：
(1) 保護(hù)個人終端不受攻擊;
(2) 不允許任何主機(jī)(包括局域網(wǎng)主機(jī))非授權(quán)訪問重要終端資源;
(3) 防止局域網(wǎng)感染病毒主機(jī)通過攻擊的方式感染重要終端。
10、頁面防篡改系統(tǒng)
安裝位置：WWW服務(wù)器
頁面防篡改系統(tǒng)的作用：
(1) 定期比對發(fā)布頁面文件與備份文件，一旦發(fā)現(xiàn)不匹配，用備份文件替換發(fā)布文件;
(2) 通過特殊的認(rèn)證機(jī)制，允許授權(quán)用戶修改頁面文件;
(3) 能夠?qū)?shù)據(jù)庫文件進(jìn)行比對。
一、技術(shù)解決方案
安全產(chǎn)品是網(wǎng)絡(luò)安全的基石，通過在網(wǎng)絡(luò)中安裝一定的安全設(shè)備，能夠使得網(wǎng)絡(luò)的結(jié)構(gòu)更加清晰，安全性得到顯著增強;同時能夠有效降低安全管理的難度，提高 安全管理的有效性。
下面介紹在局域網(wǎng)中增加的安全設(shè)備的安裝位置以及他們的作用。
1、防火墻
安裝位置：局域網(wǎng)與路由器之間;WWW服務(wù)器與托管機(jī)房局域網(wǎng)之間;
局域網(wǎng)防火墻作用：
(1) 實現(xiàn)單向訪問，允許局域網(wǎng)用戶訪問INTERNET資源，但是嚴(yán)格限制INTERNET用戶對局域網(wǎng)資源的訪問;
(2) 通過防火墻，將整個局域網(wǎng)劃分INTERNET，DMZ區(qū)，內(nèi)網(wǎng)訪問區(qū)這三個邏輯上分開的區(qū)域，有利于對整個網(wǎng)絡(luò)進(jìn)行管理;
(3)局 域網(wǎng)所有工作站和服務(wù)器處于防火墻地整體防護(hù)之下，只要通過防火墻設(shè)置的修改，就能有限絕大部分防止來自INTERNET上的攻擊，網(wǎng)絡(luò)管理員只需要關(guān)注 DMZ區(qū)對外提供服務(wù)的相關(guān)應(yīng)用的安全漏洞;
(4)通過防火墻的過濾規(guī)則，實現(xiàn)端口級控制，限制局域網(wǎng)用戶對INTERNET的訪 問;
(5)進(jìn)行流量控制，確保重要業(yè)務(wù)對流量的要求;
(6)通過過濾規(guī)則，以時間為控制要素，限制大流量網(wǎng)絡(luò)應(yīng) 用在上班時間的使用。
托管機(jī)房防火墻的作用：
(7) 通過防火墻的過濾規(guī)則，限制INTERNET用戶對WWW服務(wù)器的訪問，將訪問權(quán)限控制在最小的限度，在這種情況下，網(wǎng)絡(luò)管理員可以忽略服務(wù)器系統(tǒng)的安全 漏洞，只需要關(guān)注WWW應(yīng)用服務(wù)軟件的安全漏洞;
(8)通過過濾規(guī)則，對遠(yuǎn)程更新的時間、來源(通過IP地址)進(jìn)行限制。
2、入侵檢測
安裝位置：局域網(wǎng)DMZ區(qū)以及托管機(jī)房服務(wù)器區(qū)
IDS的作用：
(1) 作為旁路設(shè)備，監(jiān)控網(wǎng)絡(luò)中的信息，統(tǒng)計并記錄網(wǎng)絡(luò)中的異常主機(jī)以及異常連接;
(2)中 斷異常連接;
(3)通過聯(lián)動機(jī)制，向防火墻發(fā)送指令，在限定的時間內(nèi)對特定的IP地址實施封堵。
3、網(wǎng)絡(luò)防病毒軟件控制中心以及客戶端軟件
安裝位置：局域網(wǎng)防病毒服務(wù)器以及各個終 端
防病毒服務(wù)器作用：
(1) 作為防病毒軟件的控制中心，及時通過INTERNET更新病毒庫，并強制局域網(wǎng)中已開機(jī)的終端及時更新病毒庫軟件;
(2)記錄各個終 端的病毒庫升級情況;
(3)記錄局域網(wǎng)中計算機(jī)病毒出現(xiàn)的時間、類型以及后續(xù)處理措施。
防病毒客戶端軟件的作 用：
(4) 對本機(jī)的內(nèi)存、文件的讀寫進(jìn)行監(jiān)控，根據(jù)預(yù)定的處理方法處理帶毒文件;
(5) 監(jiān)控郵件收發(fā)軟件，根據(jù)預(yù)定處理方法處理帶毒郵件;
4、郵件防病毒服務(wù)器
安裝位置：郵件服務(wù)器與防火墻之間
郵件防病毒軟件：對來自INTERNET的電子郵件進(jìn)行檢測，根據(jù)預(yù)先設(shè)定的處理方法處理帶毒郵 件。郵件防病毒軟件的監(jiān)控范圍包括所有來自INTERNET的電子郵件以及所屬附件(對于壓縮文件同樣也進(jìn)行檢測)
5、反垃圾郵件系統(tǒng)
安裝位置：同郵件防病毒軟件，如果軟硬件條件允許的話，建議安 裝在同一臺服務(wù)器上。
反垃圾郵件系統(tǒng)作用：
(1) 拒絕轉(zhuǎn)發(fā)來自INTERNET的垃圾郵件;
(2) 拒絕轉(zhuǎn)發(fā)來自局域網(wǎng)用戶的垃圾郵件并將發(fā)垃圾郵件的局域網(wǎng)
用戶的IP地址通過電子郵件等方式通報網(wǎng)管;
(3) 記錄發(fā)垃圾郵件的終端地址;
(4) 通過電子郵件等方式通知網(wǎng)管垃圾郵件的處理情況。
6、動態(tài)口令認(rèn)證系統(tǒng)
安裝位置：服務(wù)器端安裝在WWW服務(wù)器(以及其他需要進(jìn)行口令 加強的敏感服務(wù)器)，客戶端配置給網(wǎng)頁更新人員(或者服務(wù)器授權(quán)訪問用戶);
動態(tài)口令認(rèn)證系統(tǒng)的作用：
通過定期 修改密碼，確保密碼的不可猜測性。
7、網(wǎng)絡(luò)管理軟件
安裝位置：局域網(wǎng)中。
網(wǎng)絡(luò)管理軟件的作用：
(1) 收集局域網(wǎng)中所有資源的硬件信息;
(2) 收集局域網(wǎng)中所有終端和服務(wù)器的操作系統(tǒng)、系統(tǒng)補丁等軟件信息;
(3) 收集交換機(jī)等網(wǎng)絡(luò)設(shè)備的工作狀況等信息;
(4) 判斷局域網(wǎng)用戶是否使用了MODEM等非法網(wǎng)絡(luò)設(shè)備與INTERNET連接;
(5) 顯示實時網(wǎng)絡(luò)連接情況;
(6) 如果交換機(jī)等核心網(wǎng)絡(luò)設(shè)備出現(xiàn)異常，及時向網(wǎng)管中心報警;
8、QOS流量管 理
安裝位置：如果是專門的產(chǎn)品安裝在路由器和防火墻之間;部分防火墻本身就有QOS帶寬管理模塊。
QOS流量管理的作用:
(1) 通過IP地址，為重要用戶分配足夠的帶寬;
(2) 通過端口，為重要的應(yīng)用分配足夠的帶寬資源;
(3) 限制非業(yè)務(wù)流量的帶寬;
(4) 在資源閑置時期，允許其他人員使用資源，一旦重要用戶或者重要應(yīng)用需要使用帶寬，則確保它們能夠至少使用分配給他們的帶寬資源。
9、重要終端個人防護(hù)軟件
安裝位置：重要終端
個人防護(hù)軟件的 作用：
(1) 保護(hù)個人終端不受攻擊;
(2) 不允許任何主機(jī)(包括局域網(wǎng)主機(jī))非授權(quán)訪問重要終端資源;
(3) 防止局域網(wǎng)感染病毒主機(jī)通過攻擊的方式感染重要終端。
10、頁面防篡改系統(tǒng)
安裝位置：WWW服務(wù)器
頁面防篡改系統(tǒng)的作用：
(1) 定期比對發(fā)布頁面文件與備份文件，一旦發(fā)現(xiàn)不匹配，用備份文件替換發(fā)布文件;
(2) 通過特殊的認(rèn)證機(jī)制，允許授權(quán)用戶修改頁面文件;
(3) 能夠?qū)?shù)據(jù)庫文件進(jìn)行比對。
二、安全服務(wù)解決方案
在安全服務(wù)方案中，采用不同的安全服務(wù)，定期對網(wǎng)絡(luò)進(jìn)行檢測、改進(jìn)，以達(dá)到動態(tài)增進(jìn)網(wǎng)絡(luò)安全性，最大限度發(fā)揮安全設(shè)備作用的目的。安全服務(wù)分為以下幾 類：
1、網(wǎng)絡(luò)拓?fù)浞治?br />
服務(wù)對象：整個網(wǎng)絡(luò)
服務(wù)周期：半年一次
服務(wù)內(nèi) 容：(1)根據(jù)網(wǎng)絡(luò)的實際情況，繪制網(wǎng)絡(luò)拓?fù)鋱D;(2)分析網(wǎng)絡(luò)中存在的安全缺陷并提出整改建議意見。
服務(wù)作用：針對網(wǎng)絡(luò)的整體情 況，進(jìn)行總體、框架性分析。一方面，通過網(wǎng)絡(luò)拓?fù)浞治觯軌蛐纬删W(wǎng)絡(luò)整體拓?fù)鋱D，為網(wǎng)絡(luò)規(guī)劃、網(wǎng)絡(luò)日常管理等管理行為提供必要的技術(shù)資料;另一方面，通過 整體的安全性分析，能夠找出網(wǎng)絡(luò)設(shè)計上的安全缺陷，找到各種網(wǎng)絡(luò)設(shè)備在協(xié)同工作中可能產(chǎn)生的安全問題。
2、中心機(jī)房管理制度制訂以及 修改
服務(wù)對象：中心機(jī)房
服務(wù)周期：半年一次
服務(wù)內(nèi)容：協(xié)助用戶制訂并修改機(jī)房管理制度。制 度內(nèi)容涉及人員進(jìn)出機(jī)房的登記制度、設(shè)備進(jìn)出機(jī)房的登記制度、設(shè)備配置修改的登記制度等。
服務(wù)作用：嚴(yán)格控制中心機(jī)房的人員進(jìn)出、設(shè) 備進(jìn)出并及時登記設(shè)備的配置更新情況，有助于網(wǎng)絡(luò)核心設(shè)備的監(jiān)控，確保網(wǎng)絡(luò)的正常運行。
3、操作系統(tǒng)補丁升級
服 務(wù)對象：服務(wù)器、工作站、終端
服務(wù)周期：不定期
服務(wù)內(nèi)容：(1) 一旦出現(xiàn)重大安全補丁，及時更新所有相關(guān)系統(tǒng);(2)出現(xiàn)大型補丁(如微軟的SP)，及時更新所有相關(guān)系統(tǒng);
服務(wù)作用：通過及時、有 效的補丁升級，能夠有效防止局域網(wǎng)主機(jī)和服務(wù)器相互之間的攻擊，降低現(xiàn)代網(wǎng)絡(luò)蠕蟲病毒對網(wǎng)絡(luò)的整體影響，增加網(wǎng)絡(luò)帶寬的有效利用率。
4、防病毒軟件病毒庫定期升級
服務(wù)對象：防病毒服務(wù)器、安裝防病毒客戶端的終端
服務(wù)周期：每周一次
服務(wù)內(nèi)容：(1) 防病毒服務(wù)器通過INTERNET更新病毒庫;(2)防病毒服務(wù)器強制所有在線客戶端更新病毒庫;
服務(wù)作用：通 過不斷升級病毒庫確保防病毒軟件能夠及時發(fā)現(xiàn)新的病毒。
5、服務(wù)器定期掃描、加固
服務(wù)對象：服務(wù)器
服務(wù)周期：半年一次
服務(wù)內(nèi)容：使用專用的掃描工具，在用戶網(wǎng)絡(luò)管理人員的配合，對主要的服務(wù)器進(jìn)行掃描。
服務(wù) 作用：(1) 找出對應(yīng)服務(wù)器操作系統(tǒng)中存在的系統(tǒng)漏洞;(2) 找出服務(wù)器對應(yīng)應(yīng)用服務(wù)中存在的系統(tǒng)漏洞;(3) 找出安全強度較低的用戶名和用戶密碼。
6 、防火墻日志備份、分析
服務(wù)對象：防火墻設(shè)備
服 務(wù)周期：一周一次
服務(wù)內(nèi)容：導(dǎo)出防火墻日志并進(jìn)行分析。
服務(wù)作用：通過流量簡圖找出流量異常的時間段，通過檢查 流量較大的主機(jī)，找出局域網(wǎng)中的異常主機(jī)。
7、入侵檢測等安全設(shè)備日志備份
服務(wù)對象：入侵檢測等安全設(shè)備
服務(wù)周期：一周一次
服務(wù)內(nèi)容：備份安全設(shè)備日志。
服務(wù)作用：防止日志過大導(dǎo)致檢索、分析的難度，另一方面也有 利于事后的檢查。
8、服務(wù)器日志備份
服務(wù)對象：主要服務(wù)器(如WWW服務(wù)器、文件服務(wù)器等)
服務(wù)周期：一周一次
服務(wù)內(nèi)容：備份服務(wù)器訪問日志
服務(wù)作用： 防止日志過大導(dǎo)致檢索、分析的難度，另一方面也有利于事后的檢查。
9、白客滲透
服務(wù)對象：對INTERNET提 供服務(wù)的服務(wù)器
服務(wù)周期：半年一次
服務(wù)內(nèi)容：服務(wù)商在用戶指定的時間段內(nèi)，通過INTERNET，使用各種工具 在不破壞應(yīng)用的前提下攻擊服務(wù)器，最終提供檢測報告。
服務(wù)作用：先于黑客進(jìn)行探測性攻擊以檢測系統(tǒng)漏洞。根據(jù)最終檢測報告進(jìn)一步增強 系統(tǒng)的安全性
10、設(shè)備備份系統(tǒng)
服務(wù)對象：骨干交換機(jī)、路由器等網(wǎng)絡(luò)骨干設(shè)備
服務(wù)周期：實 時
服務(wù)內(nèi)容：根據(jù)用戶的網(wǎng)絡(luò)情況，提供骨干交換機(jī)、路由器等核心網(wǎng)絡(luò)設(shè)備的備份。備份設(shè)備可以在段時間內(nèi)替代網(wǎng)絡(luò)中實際使用的設(shè)備。
服務(wù)作用：一旦核心設(shè)備出現(xiàn)故障，使用備件替換以減少網(wǎng)絡(luò)故障時間。
11、信息備份系統(tǒng)
服務(wù)對象：所有重要信 息
服務(wù)周期：根據(jù)網(wǎng)絡(luò)情況定完全備份和增量備份的時間
服務(wù)內(nèi)容：定期備份電子信息
服務(wù)作 用：防止核心服務(wù)器崩潰導(dǎo)致網(wǎng)絡(luò)應(yīng)用癱瘓。
12、定期總體安全分析報告
服務(wù)對象：整個網(wǎng)絡(luò)
服務(wù)周期：半年一次
服務(wù)內(nèi)容：綜合網(wǎng)絡(luò)拓?fù)鋱蟾?、各種安全設(shè)備日志、服務(wù)器日志等信息，對網(wǎng)絡(luò)進(jìn)行總體安全綜合性分析，分析內(nèi)容包括 網(wǎng)絡(luò)安全現(xiàn)狀、網(wǎng)絡(luò)安全隱患分析，并提出改進(jìn)建議意見。
服務(wù)作用：提供綜合性、全面的安全報告，針對全網(wǎng)絡(luò)進(jìn)行安全性討論，為全面提 高網(wǎng)絡(luò)的安全性提供技術(shù)資料。
以上是服務(wù)解決方案，眾所周知，安全產(chǎn)品一般是共性的產(chǎn)品，通過安全服務(wù)，能夠配制出適合本網(wǎng)絡(luò)的安全 設(shè)備，使得安全產(chǎn)品在特定的網(wǎng)絡(luò)中發(fā)揮最大的效能，使得各種設(shè)備協(xié)同工作，增強網(wǎng)絡(luò)的安全性和可用性。
當(dāng)然，在網(wǎng)絡(luò)中，不安全是絕對 的，即使采取種種措施，網(wǎng)絡(luò)也可能遭到應(yīng)用某種原因無法正常運作，這時候，就需要有及時有效的技術(shù)支持，使得網(wǎng)絡(luò)在盡可能短的時間內(nèi)恢復(fù)正常。下面將提出 技術(shù)支持解決方案。
在安全服務(wù)方案中，采用不同的安全服務(wù)，定期對網(wǎng)絡(luò)進(jìn)行檢測、改進(jìn)，以達(dá)到動態(tài)增進(jìn)網(wǎng)絡(luò)安全性，最大限度發(fā)揮安全設(shè)備作用的目的。安全服務(wù)分為以下幾 類：
1、網(wǎng)絡(luò)拓?fù)浞治?br />
服務(wù)對象：整個網(wǎng)絡(luò)
服務(wù)周期：半年一次
服務(wù)內(nèi) 容：(1)根據(jù)網(wǎng)絡(luò)的實際情況，繪制網(wǎng)絡(luò)拓?fù)鋱D;(2)分析網(wǎng)絡(luò)中存在的安全缺陷并提出整改建議意見。
服務(wù)作用：針對網(wǎng)絡(luò)的整體情 況，進(jìn)行總體、框架性分析。一方面，通過網(wǎng)絡(luò)拓?fù)浞治觯軌蛐纬删W(wǎng)絡(luò)整體拓?fù)鋱D，為網(wǎng)絡(luò)規(guī)劃、網(wǎng)絡(luò)日常管理等管理行為提供必要的技術(shù)資料;另一方面，通過 整體的安全性分析，能夠找出網(wǎng)絡(luò)設(shè)計上的安全缺陷，找到各種網(wǎng)絡(luò)設(shè)備在協(xié)同工作中可能產(chǎn)生的安全問題。
2、中心機(jī)房管理制度制訂以及 修改
服務(wù)對象：中心機(jī)房
服務(wù)周期：半年一次
服務(wù)內(nèi)容：協(xié)助用戶制訂并修改機(jī)房管理制度。制 度內(nèi)容涉及人員進(jìn)出機(jī)房的登記制度、設(shè)備進(jìn)出機(jī)房的登記制度、設(shè)備配置修改的登記制度等。
服務(wù)作用：嚴(yán)格控制中心機(jī)房的人員進(jìn)出、設(shè) 備進(jìn)出并及時登記設(shè)備的配置更新情況，有助于網(wǎng)絡(luò)核心設(shè)備的監(jiān)控，確保網(wǎng)絡(luò)的正常運行。
3、操作系統(tǒng)補丁升級
服 務(wù)對象：服務(wù)器、工作站、終端
服務(wù)周期：不定期
服務(wù)內(nèi)容：(1) 一旦出現(xiàn)重大安全補丁，及時更新所有相關(guān)系統(tǒng);(2)出現(xiàn)大型補丁(如微軟的SP)，及時更新所有相關(guān)系統(tǒng);
服務(wù)作用：通過及時、有 效的補丁升級，能夠有效防止局域網(wǎng)主機(jī)和服務(wù)器相互之間的攻擊，降低現(xiàn)代網(wǎng)絡(luò)蠕蟲病毒對網(wǎng)絡(luò)的整體影響，增加網(wǎng)絡(luò)帶寬的有效利用率。
4、防病毒軟件病毒庫定期升級
服務(wù)對象：防病毒服務(wù)器、安裝防病毒客戶端的終端
服務(wù)周期：每周一次
服務(wù)內(nèi)容：(1) 防病毒服務(wù)器通過INTERNET更新病毒庫;(2)防病毒服務(wù)器強制所有在線客戶端更新病毒庫;
服務(wù)作用：通 過不斷升級病毒庫確保防病毒軟件能夠及時發(fā)現(xiàn)新的病毒。
5、服務(wù)器定期掃描、加固
服務(wù)對象：服務(wù)器
服務(wù)周期：半年一次
服務(wù)內(nèi)容：使用專用的掃描工具，在用戶網(wǎng)絡(luò)管理人員的配合，對主要的服務(wù)器進(jìn)行掃描。
服務(wù) 作用：(1) 找出對應(yīng)服務(wù)器操作系統(tǒng)中存在的系統(tǒng)漏洞;(2) 找出服務(wù)器對應(yīng)應(yīng)用服務(wù)中存在的系統(tǒng)漏洞;(3) 找出安全強度較低的用戶名和用戶密碼。
6 、防火墻日志備份、分析
服務(wù)對象：防火墻設(shè)備
服 務(wù)周期：一周一次
服務(wù)內(nèi)容：導(dǎo)出防火墻日志并進(jìn)行分析。
服務(wù)作用：通過流量簡圖找出流量異常的時間段，通過檢查 流量較大的主機(jī)，找出局域網(wǎng)中的異常主機(jī)。
7、入侵檢測等安全設(shè)備日志備份
服務(wù)對象：入侵檢測等安全設(shè)備
服務(wù)周期：一周一次
服務(wù)內(nèi)容：備份安全設(shè)備日志。
服務(wù)作用：防止日志過大導(dǎo)致檢索、分析的難度，另一方面也有 利于事后的檢查。
8、服務(wù)器日志備份
服務(wù)對象：主要服務(wù)器(如WWW服務(wù)器、文件服務(wù)器等)
服務(wù)周期：一周一次
服務(wù)內(nèi)容：備份服務(wù)器訪問日志
服務(wù)作用： 防止日志過大導(dǎo)致檢索、分析的難度，另一方面也有利于事后的檢查。
9、白客滲透
服務(wù)對象：對INTERNET提 供服務(wù)的服務(wù)器
服務(wù)周期：半年一次
服務(wù)內(nèi)容：服務(wù)商在用戶指定的時間段內(nèi)，通過INTERNET，使用各種工具 在不破壞應(yīng)用的前提下攻擊服務(wù)器，最終提供檢測報告。
服務(wù)作用：先于黑客進(jìn)行探測性攻擊以檢測系統(tǒng)漏洞。根據(jù)最終檢測報告進(jìn)一步增強 系統(tǒng)的安全性
10、設(shè)備備份系統(tǒng)
服務(wù)對象：骨干交換機(jī)、路由器等網(wǎng)絡(luò)骨干設(shè)備
服務(wù)周期：實 時
服務(wù)內(nèi)容：根據(jù)用戶的網(wǎng)絡(luò)情況，提供骨干交換機(jī)、路由器等核心網(wǎng)絡(luò)設(shè)備的備份。備份設(shè)備可以在段時間內(nèi)替代網(wǎng)絡(luò)中實際使用的設(shè)備。
服務(wù)作用：一旦核心設(shè)備出現(xiàn)故障，使用備件替換以減少網(wǎng)絡(luò)故障時間。
11、信息備份系統(tǒng)
服務(wù)對象：所有重要信 息
服務(wù)周期：根據(jù)網(wǎng)絡(luò)情況定完全備份和增量備份的時間
服務(wù)內(nèi)容：定期備份電子信息
服務(wù)作 用：防止核心服務(wù)器崩潰導(dǎo)致網(wǎng)絡(luò)應(yīng)用癱瘓。
12、定期總體安全分析報告
服務(wù)對象：整個網(wǎng)絡(luò)
服務(wù)周期：半年一次
服務(wù)內(nèi)容：綜合網(wǎng)絡(luò)拓?fù)鋱蟾?、各種安全設(shè)備日志、服務(wù)器日志等信息，對網(wǎng)絡(luò)進(jìn)行總體安全綜合性分析，分析內(nèi)容包括 網(wǎng)絡(luò)安全現(xiàn)狀、網(wǎng)絡(luò)安全隱患分析，并提出改進(jìn)建議意見。
服務(wù)作用：提供綜合性、全面的安全報告，針對全網(wǎng)絡(luò)進(jìn)行安全性討論，為全面提 高網(wǎng)絡(luò)的安全性提供技術(shù)資料。
以上是服務(wù)解決方案，眾所周知，安全產(chǎn)品一般是共性的產(chǎn)品，通過安全服務(wù)，能夠配制出適合本網(wǎng)絡(luò)的安全 設(shè)備，使得安全產(chǎn)品在特定的網(wǎng)絡(luò)中發(fā)揮最大的效能，使得各種設(shè)備協(xié)同工作，增強網(wǎng)絡(luò)的安全性和可用性。
當(dāng)然，在網(wǎng)絡(luò)中，不安全是絕對 的，即使采取種種措施，網(wǎng)絡(luò)也可能遭到應(yīng)用某種原因無法正常運作，這時候，就需要有及時有效的技術(shù)支持，使得網(wǎng)絡(luò)在盡可能短的時間內(nèi)恢復(fù)正常。下面將提出 技術(shù)支持解決方案。
三、技術(shù)支持解決方案
技術(shù)支持是整個安全方案的重要補充。其主要作用是在用戶網(wǎng)絡(luò)發(fā)生重要安全事件后，通過及時、高效的安全服務(wù)，達(dá)到盡快恢復(fù)網(wǎng)絡(luò)應(yīng)用的目的。技術(shù)支持主要 包括以下幾方面：
1、故障排除
支持范圍：
(1) 用戶無法訪問網(wǎng)絡(luò)(如局域網(wǎng)用戶無法訪問INTERNET);
(2)應(yīng)用服務(wù)無法訪問(如不能對外提供WWW服務(wù));
(3)網(wǎng)絡(luò)訪問異常(如訪問速度慢)。
作用：一旦網(wǎng)絡(luò)出現(xiàn)異常，為用戶提供及時、有效的網(wǎng)絡(luò)服務(wù)。在最短的時間內(nèi)恢復(fù)網(wǎng)絡(luò)應(yīng)用。
2、災(zāi)難恢復(fù)
支持范圍：設(shè)備遇到物理損害網(wǎng)絡(luò)網(wǎng)絡(luò)應(yīng)用異常。
作用：通過備品備件，快速恢復(fù)網(wǎng)絡(luò)硬件環(huán)境;通過 備份文件的復(fù)原，盡快恢復(fù)網(wǎng)絡(luò)的電子資源;由此可在最短的時間內(nèi)恢復(fù)整個網(wǎng)絡(luò)應(yīng)用。
3、查找攻擊源
支持范圍： 網(wǎng)絡(luò)管理員發(fā)現(xiàn)網(wǎng)絡(luò)遭到攻擊，并需要確定攻擊來源。
作用： 通過日志文件等信息，確定攻擊的來源，為進(jìn)一步采取措施提供依據(jù)。
4、實時檢索日志文件
支持范圍： 遭到實時的攻擊(如DOS，SYN FLOODING等)，需要及時了解攻擊源以及攻擊強度。
作用：通過實時檢索日志文件，可以當(dāng)時存在的針對本網(wǎng)絡(luò)的攻擊并查找出攻擊源。如果攻擊強度超出網(wǎng)絡(luò)能夠承受的范圍，可采取進(jìn)一步措施進(jìn)行防范。
5、即時查殺病毒
支持范圍： 由不可確定的因素導(dǎo)致網(wǎng)絡(luò)中出現(xiàn)計算機(jī)病毒。
作用：即使網(wǎng)絡(luò)中出現(xiàn)病毒，通過及 時有效的技術(shù)支持，在最短的時間內(nèi)查處感染病毒的主機(jī)并即時查殺病毒，恢復(fù)網(wǎng)絡(luò)應(yīng)用。
6、即時網(wǎng)絡(luò)監(jiān)控
支持范 圍： 網(wǎng)絡(luò)出現(xiàn)異常，但應(yīng)用基本正常。
作用：通過網(wǎng)絡(luò)監(jiān)控，近可能發(fā)現(xiàn)網(wǎng)絡(luò)中存在的前期網(wǎng)絡(luò)故障，在故障擴(kuò)大化以前及時進(jìn)行防治。
以上是技術(shù)支持解決方案，技術(shù)支持是安全服務(wù)的重要補充部分，即使在完善的安全體系下，也存在不可預(yù)測的因素導(dǎo)致網(wǎng)絡(luò)故障，此時，需要及時、有效的技術(shù) 支持服務(wù)，在盡可能短的時間內(nèi)恢復(fù)網(wǎng)絡(luò)的正常運行。
綜上所述，局域網(wǎng)的安全由三大部分組成，涵蓋設(shè)備、技術(shù)、制度、管理、服務(wù)等各個 部分。
四、分布實施建議意見
網(wǎng)絡(luò)安全涉及面相當(dāng)廣，同時進(jìn)行建設(shè)的可行性較差，因此，建議按照以下方式進(jìn)行分階段實 施。
1、第一階段
(1)技術(shù)方面，采用防火墻、網(wǎng)絡(luò)防病毒軟件、頁面防篡改系統(tǒng)來建立一個結(jié)構(gòu)上較完善的網(wǎng)絡(luò)系 統(tǒng)。
(2)服務(wù)方面，進(jìn)行網(wǎng)絡(luò)拓?fù)浞治?、建立中心機(jī)房管理制度、建立操作系統(tǒng)以及防病毒軟件定期升級機(jī)制、對重要服務(wù)器的訪問日志進(jìn) 行備份，通過這些服務(wù)，增強網(wǎng)絡(luò)的抗干擾性。
(3)支持方面，要求服務(wù)商提供故障排除服務(wù)，以提高網(wǎng)絡(luò)的可靠性，降低網(wǎng)絡(luò)故障對網(wǎng)絡(luò) 的整體影響。
2、第二階段
在第一階段安全建設(shè)的基礎(chǔ)上，進(jìn)一步增加網(wǎng)絡(luò)安全設(shè)備，采納新的安全服務(wù)和技術(shù)支持來 增強網(wǎng)絡(luò)的可用性。
(1)技術(shù)方面，采用入侵檢測、郵件防病毒軟件、動態(tài)口令認(rèn)證系統(tǒng)、并在重要客戶端安裝個人版防護(hù)軟件。
(2)服務(wù)方面，對服務(wù)器進(jìn)行定期掃描與加固、對防火墻日志進(jìn)行備份與分析、對入侵檢測設(shè)備的日志進(jìn)行備份、建立設(shè)備備份系統(tǒng)以及文件備份系統(tǒng)。
(3)支持方面，要求服務(wù)商提供災(zāi)難恢復(fù)、實時日志檢索、實時查殺病毒、實時網(wǎng)絡(luò)監(jiān)控等技術(shù)支持。
3、第三階段
在這一階段，采取的措施以進(jìn)一步提高網(wǎng)絡(luò)效率為主。
(1)技術(shù)方面，采用反垃圾郵件系統(tǒng)、網(wǎng)絡(luò)管理軟件、QOS流量管理軟件。
(2)服務(wù)方面，采用白客滲透測試，要求服務(wù)商定期提供整體安全分析報告。
(3)支持方面，要求能夠?qū)崟r或者時候查找攻擊源。
以上針對用戶網(wǎng)絡(luò)分別從三個方面提出了安全解決方案，并按照實施的緊迫性分成三個階段來實現(xiàn)，但是實際針對某個用戶，對于安全的要求可能各不相同，具體 網(wǎng)絡(luò)情況也可能有很大的差異，因此建議用戶根據(jù)實際情況建立網(wǎng)絡(luò)安全建設(shè)的時間表。
另外，隨著新技術(shù)、新產(chǎn)品的不斷涌現(xiàn)，網(wǎng)絡(luò)技術(shù)的 不斷發(fā)展，對于網(wǎng)絡(luò)安全的要求不斷提高，在實際實施過程中采取的措施完全可能超越本文中提及的產(chǎn)品、服務(wù)、支持，這也是安全建設(shè)的最基本原則：不斷改進(jìn)， 不斷增強，安全無止境。
技術(shù)支持是整個安全方案的重要補充。其主要作用是在用戶網(wǎng)絡(luò)發(fā)生重要安全事件后，通過及時、高效的安全服務(wù)，達(dá)到盡快恢復(fù)網(wǎng)絡(luò)應(yīng)用的目的。技術(shù)支持主要 包括以下幾方面：
1、故障排除
支持范圍：
(1) 用戶無法訪問網(wǎng)絡(luò)(如局域網(wǎng)用戶無法訪問INTERNET);
(2)應(yīng)用服務(wù)無法訪問(如不能對外提供WWW服務(wù));
(3)網(wǎng)絡(luò)訪問異常(如訪問速度慢)。
作用：一旦網(wǎng)絡(luò)出現(xiàn)異常，為用戶提供及時、有效的網(wǎng)絡(luò)服務(wù)。在最短的時間內(nèi)恢復(fù)網(wǎng)絡(luò)應(yīng)用。
2、災(zāi)難恢復(fù)
支持范圍：設(shè)備遇到物理損害網(wǎng)絡(luò)網(wǎng)絡(luò)應(yīng)用異常。
作用：通過備品備件，快速恢復(fù)網(wǎng)絡(luò)硬件環(huán)境;通過 備份文件的復(fù)原，盡快恢復(fù)網(wǎng)絡(luò)的電子資源;由此可在最短的時間內(nèi)恢復(fù)整個網(wǎng)絡(luò)應(yīng)用。
3、查找攻擊源
支持范圍： 網(wǎng)絡(luò)管理員發(fā)現(xiàn)網(wǎng)絡(luò)遭到攻擊，并需要確定攻擊來源。
作用： 通過日志文件等信息，確定攻擊的來源，為進(jìn)一步采取措施提供依據(jù)。
4、實時檢索日志文件
支持范圍： 遭到實時的攻擊(如DOS，SYN FLOODING等)，需要及時了解攻擊源以及攻擊強度。
作用：通過實時檢索日志文件，可以當(dāng)時存在的針對本網(wǎng)絡(luò)的攻擊并查找出攻擊源。如果攻擊強度超出網(wǎng)絡(luò)能夠承受的范圍，可采取進(jìn)一步措施進(jìn)行防范。
5、即時查殺病毒
支持范圍： 由不可確定的因素導(dǎo)致網(wǎng)絡(luò)中出現(xiàn)計算機(jī)病毒。
作用：即使網(wǎng)絡(luò)中出現(xiàn)病毒，通過及 時有效的技術(shù)支持，在最短的時間內(nèi)查處感染病毒的主機(jī)并即時查殺病毒，恢復(fù)網(wǎng)絡(luò)應(yīng)用。
6、即時網(wǎng)絡(luò)監(jiān)控
支持范 圍： 網(wǎng)絡(luò)出現(xiàn)異常，但應(yīng)用基本正常。
作用：通過網(wǎng)絡(luò)監(jiān)控，近可能發(fā)現(xiàn)網(wǎng)絡(luò)中存在的前期網(wǎng)絡(luò)故障，在故障擴(kuò)大化以前及時進(jìn)行防治。
以上是技術(shù)支持解決方案，技術(shù)支持是安全服務(wù)的重要補充部分，即使在完善的安全體系下，也存在不可預(yù)測的因素導(dǎo)致網(wǎng)絡(luò)故障，此時，需要及時、有效的技術(shù) 支持服務(wù)，在盡可能短的時間內(nèi)恢復(fù)網(wǎng)絡(luò)的正常運行。
綜上所述，局域網(wǎng)的安全由三大部分組成，涵蓋設(shè)備、技術(shù)、制度、管理、服務(wù)等各個 部分。
四、分布實施建議意見
網(wǎng)絡(luò)安全涉及面相當(dāng)廣，同時進(jìn)行建設(shè)的可行性較差，因此，建議按照以下方式進(jìn)行分階段實 施。
1、第一階段
(1)技術(shù)方面，采用防火墻、網(wǎng)絡(luò)防病毒軟件、頁面防篡改系統(tǒng)來建立一個結(jié)構(gòu)上較完善的網(wǎng)絡(luò)系 統(tǒng)。
(2)服務(wù)方面，進(jìn)行網(wǎng)絡(luò)拓?fù)浞治?、建立中心機(jī)房管理制度、建立操作系統(tǒng)以及防病毒軟件定期升級機(jī)制、對重要服務(wù)器的訪問日志進(jìn) 行備份，通過這些服務(wù)，增強網(wǎng)絡(luò)的抗干擾性。
(3)支持方面，要求服務(wù)商提供故障排除服務(wù)，以提高網(wǎng)絡(luò)的可靠性，降低網(wǎng)絡(luò)故障對網(wǎng)絡(luò) 的整體影響。
2、第二階段
在第一階段安全建設(shè)的基礎(chǔ)上，進(jìn)一步增加網(wǎng)絡(luò)安全設(shè)備，采納新的安全服務(wù)和技術(shù)支持來 增強網(wǎng)絡(luò)的可用性。
(1)技術(shù)方面，采用入侵檢測、郵件防病毒軟件、動態(tài)口令認(rèn)證系統(tǒng)、并在重要客戶端安裝個人版防護(hù)軟件。
(2)服務(wù)方面，對服務(wù)器進(jìn)行定期掃描與加固、對防火墻日志進(jìn)行備份與分析、對入侵檢測設(shè)備的日志進(jìn)行備份、建立設(shè)備備份系統(tǒng)以及文件備份系統(tǒng)。
(3)支持方面，要求服務(wù)商提供災(zāi)難恢復(fù)、實時日志檢索、實時查殺病毒、實時網(wǎng)絡(luò)監(jiān)控等技術(shù)支持。
3、第三階段
在這一階段，采取的措施以進(jìn)一步提高網(wǎng)絡(luò)效率為主。
(1)技術(shù)方面，采用反垃圾郵件系統(tǒng)、網(wǎng)絡(luò)管理軟件、QOS流量管理軟件。
(2)服務(wù)方面，采用白客滲透測試，要求服務(wù)商定期提供整體安全分析報告。
(3)支持方面，要求能夠?qū)崟r或者時候查找攻擊源。
以上針對用戶網(wǎng)絡(luò)分別從三個方面提出了安全解決方案，并按照實施的緊迫性分成三個階段來實現(xiàn)，但是實際針對某個用戶，對于安全的要求可能各不相同，具體 網(wǎng)絡(luò)情況也可能有很大的差異，因此建議用戶根據(jù)實際情況建立網(wǎng)絡(luò)安全建設(shè)的時間表。
另外，隨著新技術(shù)、新產(chǎn)品的不斷涌現(xiàn)，網(wǎng)絡(luò)技術(shù)的 不斷發(fā)展，對于網(wǎng)絡(luò)安全的要求不斷提高，在實際實施過程中采取的措施完全可能超越本文中提及的產(chǎn)品、服務(wù)、支持，這也是安全建設(shè)的最基本原則：不斷改進(jìn)， 不斷增強，安全無止境。
