摘要：本文主要講述了在Internet為代表的全球性信息化浪潮迅猛發(fā)展時(shí)期，面對日益突出的網(wǎng)絡(luò )安全問(wèn)題，提出了一個(gè)具體的解決方案。
以Internet為代表的全球性信息化浪潮迅猛發(fā)展，信息網(wǎng)絡(luò )技術(shù)的應用正日益普及和廣泛，應用層次正在深入，應用領(lǐng)域也從傳統的、小型業(yè)務(wù)系統逐漸向大型、關(guān)鍵業(yè)務(wù)系統擴展，典型的如行政部門(mén)業(yè)務(wù)系統、金融業(yè)務(wù)系統、企業(yè)商務(wù)系統等。伴隨網(wǎng)絡(luò )的普及，網(wǎng)絡(luò )安全也日益成為影響網(wǎng)絡(luò )效能的重要問(wèn)題，Internet所具有的開(kāi)放性、國際性和自由性在增加應用自由度的同時(shí)，對安全提出了更高的要求。如何使網(wǎng)絡(luò )信息系統不受黑客和工業(yè)間諜的入侵，已成為政府機構、企事業(yè)單位信息化健康發(fā)展所必需考慮和解決的重要問(wèn)題。
一、 系統簡(jiǎn)要描述
公司網(wǎng)絡(luò )為24個(gè)節點(diǎn)。網(wǎng)絡(luò )中包括：業(yè)務(wù)網(wǎng)、辦公網(wǎng)系統，同時(shí)為方便該公司辦公人員與外部的溝通，辦公網(wǎng)絡(luò )用ADSL接入Internet。
二、 網(wǎng)絡(luò )安全風(fēng)險分析
1、 內部辦公網(wǎng)之間的安全隱患由于該公司辦公網(wǎng)絡(luò )除了有正常的辦公功能以外還與其他主機相連接，如果辦公網(wǎng)絡(luò )遭到惡意攻擊，直接會(huì )影響到其他主機的安全性。比如：(1)入侵者使用Sniffer等嗅探程序通過(guò)網(wǎng)絡(luò )探測掃描網(wǎng)絡(luò )及操作系統存在的安全漏洞，如網(wǎng)絡(luò )IP地址、應用操作系統的類(lèi)型、開(kāi)放的TCP端口、系統保存用戶(hù)名和口令等安全信息的關(guān)鍵文件等，并通過(guò)相應攻擊程序對內網(wǎng)進(jìn)行攻擊。(2)入侵者通過(guò)網(wǎng)絡(luò )監聽(tīng)等先進(jìn)手段獲得內部網(wǎng)用戶(hù)的用戶(hù)名、口令等信息，進(jìn)而假冒內部合法身份進(jìn)行非法登錄，竊取內部網(wǎng)重要信息。(3)入侵者通過(guò)發(fā)送大量PING包對內部網(wǎng)重要服務(wù)器進(jìn)行攻擊，使得服務(wù)器超負荷工作以至拒絕服務(wù)甚至系統癱瘓。
2、 內部局域網(wǎng)帶來(lái)安全威脅在已知的網(wǎng)絡(luò )安全事件中,約70%的攻擊是來(lái)自?xún)炔烤W(wǎng)。首先，各節點(diǎn)內部網(wǎng)中用戶(hù)之間通過(guò)網(wǎng)絡(luò )共享網(wǎng)絡(luò )資源。對于常用的操作系統Windows 98/2000，其網(wǎng)絡(luò )共享的數據便是局域網(wǎng)所有用戶(hù)都可讀甚至可寫(xiě)，這樣就可能因無(wú)意中把重要的涉密信息或個(gè)人隱私信息存放在共享目錄下，因此造成信息泄漏。另外，內部管理人員有意或者無(wú)意泄漏系統管理員的用戶(hù)名、口令等關(guān)鍵信息；泄漏內部網(wǎng)的網(wǎng)絡(luò )結構以及重要信息的分布情況，甚至存在內部人員編寫(xiě)程序通過(guò)網(wǎng)絡(luò )進(jìn)行傳播，或者故意把黑客程序放在共享資源目錄做個(gè)陷阱，乘機控制并入侵他人主機。因此，網(wǎng)絡(luò )安全不僅要防范外部網(wǎng)，同時(shí)更防范內部網(wǎng)。
3、 電子郵件應用安全電子郵件是最為廣泛的網(wǎng)絡(luò )應用之一。內部網(wǎng)用戶(hù)可能通過(guò)拔號或其它方式進(jìn)行電子郵件發(fā)送和接收。這就存在被黑客跟蹤或收到一些特洛伊木馬、病毒程序等。由于許多用戶(hù)安全意識比較淡薄，對一些來(lái)歷不明的郵件，沒(méi)有警惕性，給入侵者提供機會(huì )，給系統帶來(lái)不安全因素。
4、 網(wǎng)上瀏覽應用安全網(wǎng)上瀏覽也是網(wǎng)絡(luò )系統被入侵的一個(gè)不安全因素。我們都知道，網(wǎng)絡(luò )具有地域廣、自由度大等特點(diǎn)，同時(shí)上網(wǎng)的有各種各樣的人，網(wǎng)上瀏覽不安全因素如從網(wǎng)上下載資料可能帶來(lái)病毒程序或者是特洛伊木馬程序；還有利用假冒手段騙取你的關(guān)鍵信息，比如，入侵者首先偽造一個(gè)用戶(hù)登錄界面，當你輸入用戶(hù)名及口令時(shí)，系統提示你用戶(hù)名或口令不正確要求重新輸入，但其實(shí)你第一次輸入的也是正確信息，只是第一次信息已經(jīng)被入侵者傳送到他的郵箱中去了，你也就因此泄漏了你的用戶(hù)名及口令字。這將對你的主機受到攻擊埋下的安全隱患。
三、 方案實(shí)施：
針對以上需求在此建議配備一臺硬件守護神?防火墻，防火墻是一種用來(lái)加強網(wǎng)絡(luò )之間訪(fǎng)問(wèn)控制的特殊網(wǎng)絡(luò )互聯(lián)設備。它對兩個(gè)或多個(gè)網(wǎng)絡(luò )之間傳輸的數據包按照一定的安全策略進(jìn)行檢查，來(lái)決定是否允許網(wǎng)絡(luò )間的通信。其中被保護的網(wǎng)絡(luò )稱(chēng)為內部網(wǎng)絡(luò )，另一方則稱(chēng)為外部網(wǎng)絡(luò )或公用網(wǎng)絡(luò )，它能有效地控制內部網(wǎng)絡(luò )與外部網(wǎng)絡(luò )之間的訪(fǎng)問(wèn)及數據傳輸，從而過(guò)到保護內部網(wǎng)絡(luò )的信息不受外部非授權用戶(hù)的訪(fǎng)問(wèn)和過(guò)濾不良信息的目的。一個(gè)完善的防火墻系統應具有3方面的特性：
<一>所有在內部網(wǎng)絡(luò )和外部網(wǎng)絡(luò )之間傳輸的數據必須通過(guò)防火墻；
<二>只有被授權的合法數據即防火墻系統中安全策略允許的數據可以通過(guò)防火墻；
<三>防火墻本身不受各種攻擊的影響。
守護神防火墻的優(yōu)點(diǎn)：
1、 自主產(chǎn)權
軟硬件一體化設計，采用專(zhuān)用安全操作系統，擁有軟件和硬件的全部自主產(chǎn)權。
2、 多工作模式
StopHacker守護神防火墻的工作模式有三種：路由模式、透明網(wǎng)橋模式、混合模式。
* 路由模式
路由模式是防火墻的基本工作模式，該模式運行在網(wǎng)絡(luò )層。在路由模式下，一般要做NAT地址轉換，這時(shí)防火墻的各個(gè)端口IP地址都位于不同的網(wǎng)段。在路由模式支持NAT地址轉換和PAT端口轉換。
* 透明網(wǎng)橋模式
透明網(wǎng)橋模式在數據鏈路層實(shí)現。防火墻在該模式下工作時(shí)，可以透明的接入到網(wǎng)絡(luò )的任何部位，無(wú)需改動(dòng)用戶(hù)網(wǎng)絡(luò )結構和配置，即插即用，簡(jiǎn)便高效，使用方便。
* 混合模式
在混合模式下，防火墻可以有部分端口在路由模式下工作，部分端口在透明模式下工作。
3、 一次性口令用戶(hù)認證模塊
一次性口令(OTP，One-Time Password)機制是一種高強度的認證，它無(wú)須在網(wǎng)上傳輸用戶(hù)的真實(shí)口令，并且由于具有一次性的特點(diǎn)，可以有效防止重放攻擊(Replay Attack)。
在采用了一次性口令認證機制后，即使有竊聽(tīng)者在網(wǎng)絡(luò )上截取網(wǎng)絡(luò )傳輸信息，由于該信息的有效期僅為一次，故也無(wú)法再利用這個(gè)信息進(jìn)行認證鑒別。
StopHacker守護神防火墻的功能一次性口令認證還可以結合智能IC卡、ikey等硬件進(jìn)行輔助認證。
4、 計費
StopHacker守護神防火墻支持按用戶(hù)或者IP地址進(jìn)行計費，可按時(shí)間或者流量設置計費規則，支持預交費管理，并可以結合一次性口令用戶(hù)認證實(shí)現使用智能IC卡等硬件計費管理。
5、 用戶(hù)與MAC地址、IP地址的綁定
在網(wǎng)絡(luò )管理中IP地址盜用現象經(jīng)常發(fā)生，不僅對網(wǎng)絡(luò )的正常使用造成影響，同時(shí)由于被盜用的地址往往具有較高的權限，因此也會(huì )對用戶(hù)造成大量的經(jīng)濟上的損失和潛在的安全隱患；守護神防火墻支持MAC地址和IP地址綁定。另外，通過(guò)使用一次性口令用戶(hù)認證，可以實(shí)現跨網(wǎng)段的用戶(hù)、MAC和IP地址的綁定。
6、 支持和StopHacker守護神系列安全產(chǎn)品聯(lián)動(dòng)。
聯(lián)系客服
