1、河北工业大学硕士学位论文大中型企业网络安全设计方案的研究与应用姓名：刘丽颖申请学位级别：硕士专业：计算机技术指导教师：吴清；李世武2010-12河北工业大学工程硕士学位论文 i 大中型企业网络安全设计方案的研究与应用 摘 要 大中型企业网络安全设计方案的研究与应用 摘 要 计算机网络作为信息社会的基础， 已经成为我们日常工作、 学习和生活中的重要工具。随着网络技术应用范围的日益拓宽，人们对计算机及网络的安全性的要求也越来越高。 本论文以河北省某地矿企业的一次内部网络的建设为例，着重解决了安全系统的方案设计和产品部署问题。此系统设计是以“信息安全等级保护”为指导思想，以内部网络的安全防护为核心目
2、标， 辅以对企业内网安全隐患和风险的分析， 并结合存在的风险及问题，采取了“防、测、控、管、评”的安全实施策略，完成了网络安全防护系统总体安全设计和架构实现，取得阶段性成效，达到预期的网络安全目标。本论文的具体工作成果如下: 1. 将“信息安全等级保护”的有关理论应用到方案的具体设计中，并分步部署安全产品，综合平衡了安全成本和风险，优化了信息安全资源的配置。 2. 在企业网关对防火墙、入侵检测等设备进行策略部署，加强网络安全系数，有效防御网络攻击、病毒感染等安全事件的发生。 3. 在企业内部网络中组建虚拟 VPN 专网，通过网到网的加密传输功能和访问控制功能，保证了企业数据在网络上传输的安全性
3、。 4. 对企业的互联网利用情况进行监督和管理，优化网络资源的利用，降低内网用户泄密的风险，构建了有效的上网行为监控系统。 5. 采用了硬件防病毒产品与企业版防病毒软件协同策略部署，实现全网病毒的集中防护。 通过该网络安全防护方案的具体实现，其结果验证了所提方法的有效性。 关键词:关键词:网络安全，等级保护，风险分析，策略研究，安全产品 大中型企业网络安全设计方案的研究与应用 ii THE APPLICATION STUDY ON THE DESIGN OF NETWORK SECURITY IN LARGE AND MEDIUM SIZED ENTERPRISES ABSTRACT As t
4、he basis of information society, computer network is the important tool of our daily work, study and life. As the application of network is increased, peoples requirements on the security of computer and network are more increasingly. This paper taking hebei province some enterprise of an internal n
5、etwork construction for example, emphatically resolve the security system design and product deployment issues. this system design is on information security level protection as the guiding ideology, taking the internal network security protection as the core target of enterprise, complementary netw
6、ork security hidden danger and risk analysis, and combining the risk and problems, the author puts forward the preventing and measurement, control, administer and commentariessecurity strategies, completed the network safe protection design and architecture realization of all safety system, its obta
7、ined phased effect and achieved the desired goal of network security. Main results in this article are as follows: 1. Relevant theories on information security protection level is applied in the design, planed security products in turn, comprehensively reduced security cost and risk and optimized re
8、source allocation for information security. 2. Equipment for firewall and detecting intrusion was strategically carried out in the gateway of the enterprise. In which not only can strengthen network security, but can effectively prevent accidences from network attack and virus infection. 3. One inve
9、nted net is established in internal network of the enterprise. It guaranteed transfer security through encrypting from net to net and visit control. 河北工业大学工程硕士学位论文 iii4. One effective internet connecting system is established for supervision and management of internet utilization to internal enterpr
10、ise, to optimize network utilization and reduce risks from internal user. 5. Virus intensively protection is realized in the network making use of joint strategy to combine hardware anti-virus products with anti-virus software of enterprise vision. Method effectivity mentioned in this article was id
11、entified by the network security protection practically realized. KEY WORDS:network security, protection level, risk analysis, strategy study, security products 河北工业大学工程硕士学位论文 1 第一章 第一章 绪论绪论 1-11-1 论文的研究背景论文的研究背景 当今世界经济已经进入信息化时代， 信息技术成为推动全球经济和社会发展的重要生产力。 面对信息化的浪潮，河北省提出了“以信息化带动工业化，实现社会生产力跨越式发展”的战略。河北
12、省地矿企业面临着市场化和国际化竞争的挑战，充分利用信息化利器，进一步提高工作效率，推动地矿行业改革与发展，是时代赋予的机遇和挑战。 该地矿企业信息化建设的发展思路是根据市场竞争和业务发展需要， 结合国家经济发展提供的社会环境与综合技术条件以及企业总体规划目标，以信息资源开发利用为核心，以改革创新为动力，运用现代企业管理系统的理念，依据对物流、资金流、工作流程的统一规划，建成整体化的信息网络，实现地矿系统内部管理的信息化。然而，在信息化迅猛发展的同时，我国信息安全事件日渐增多、风险不断加大。根据国家计算机病毒应急处理中心病毒样本库的统计，截至2009年底，新增病毒样本299万个，是2008年新增
13、病毒数的3.2倍，其中新增木马246万多个，是2008年新增木马的5.5倍。跟踪监测和研究分析表明，当前，木马病毒本土化日趋严重，变种速度更快、变化更多，潜伏性和隐蔽性增强，与防病毒软件的对抗能力不断增强，攻击目标明确，趋利性目的更加明显1。因此，网络与信息安全问题己经不仅仅是计算机信息系统本身的问题了，而是事关企业经济发展的重大问题。 该企业 1998 年搭建了内部网络，在网上实现综合办公系统。随着网上业务应用的推广，本系统内部的交流也日趋电子化，遭遇病毒感染和破坏几率随之增加。我们假设一旦计算机病毒在内网爆发，轻者，部分工作站受损，工作效率下降；重者，数据库被破坏、服务器被攻击，造成内部信
14、息管理混乱，所有服务将陷于瘫痪状态， 其损失无疑是巨大的。 尽管该企业在内部网络与互联网之间设置了简单的防护策略，一定程度上避免了来自外部网络的攻击，但安全问题和隐患依然存在。除病毒威胁以外，据统计大约 80%的安全威胁均来自系统内部。 与来自外部的威胁相比， 来自内部的攻击和泄密更加难以防范，而且是网络信息安全的主要威胁之一2。 该企业在信息化建设的过程中起步较早， 但当时在信息网络安全方面考虑的不是很多， 对某些重点部门的数据安全性、完整性保护不到位，同时针对不同的部门也有不同的安全需求，基于目前网络安全的限制， 更深更广的业务不能在网络上开展， 因此此次对整个网络安全防护方案的设计与实现
15、更是迫在眉睫。 目前，网络安全受到高度重视，网络安全产品也层出不穷，本论文将根据信息安全等级保护管理大中型企业网络安全设计方案的研究与应用 2办法及国家在网络安全产品选购方面的指导性意见，结合本企业内部网络的实际问题，对网络安全产品做出评判选择，找到一个适合的安全解决方案。 1-2 1-2 研究意义及目的研究意义及目的 1-2-11-2-1 必要性与意义必要性与意义 1. 信息安全建设是企业信息化建设的必要组成部分，解决好信息安全问题有助于企业信息化工作顺利推进。 2. 信息安全建设“防患于未然”，可以有效控制企业信息系统的总体运营成本。 3. 利用“信息安全等级保护”的思想指导企业网络安全建
16、设工作，可以有效促进企业信息安全管理工作，使企业信息系统建设、运维符合相关法律、法规和标准，进一步提升企业在国际、国内市场上的竞争力。 1-2-21-2-2 解决的目标解决的目标 1. 明确企业信息安全体系建设的总体目标，部署企业信息安全体系建设的主要工作和重大项目。 2. 根据企业业务的不同及网络建设的实际需求，对其信息系统进行划分等级，并按相应等级部署网络安全产品， 使信息安全体系建设科学化、 规范化、 制度化， 保障企业整体信息化建设的可持续发展，满足企业对于信息安全的需求。 3. 提高对网络信息安全工作的认识，应用“信息安全等级保护”、“动态安全管理”等先进的管理理念，做好信息安全管理
17、工作，提升企业综合实力。 1-3 1-3 国内外研究现状国内外研究现状 计算机网络在给人们带来便利的同时， 也带来了一些不容忽视的问题， 信息安全就是其中最为显著的问题之一。 信息安全问题随着信息网络的不断更新而愈显严重， 电脑病毒、 黑客攻击、 系统漏洞等等，使得安全问题不断增多， 并且会长期存在下去。 换而言之， 随着信息网络技术的发展， 会不断出现更新、更多的安全问题。 信息安全在其发展过程中经历了三个阶段。20 世纪初期，通信技术还不发达，面对电话、电报、传真等信息交换过程中存在的安全问题， 人们强调的主要是信息的保密性， 对安全理论和技术的研究侧重于密码学，这一阶段的信息安全可以简单
18、称为通信安全，即 COMSEC（Communication Security）。20 世纪 60 年代后，半导体和集成电路技术的飞速发展推动了计算机软硬件的发展，计算机和网络技术的应用进入了实用化和规模化阶段， 人们对安全的关注已经逐渐扩展为以保密性、 完整性和可用性为目河北工业大学工程硕士学位论文 3标的信息安全阶段，即 INFOSEC（Information Security）。20 世纪 80 年代开始，由于互联网技术的飞速发展，信息无论是对内还是对外都得到极大开放，由此产生的信息安全问题跨越了时间和空间，其焦点已经不仅是传统的保密性、完整性和可用性三个原则了，还衍生出了诸如可控性、抗抵
19、赖性、真实性等其他的原则和目标，信息安全由此转化为从整体角度考虑其体系建设的信息保障（Information Assurance）阶段。 随着信息技术的发展，信息安全的内涵从最初的信息保密发展到信息的完整性、可用性、可控性和不可否认性，进而又发展为“攻防、测评、管控”等多方面的基础理论和实施技术，信息安全成为一个综合、交叉的学科领域。为了适应技术发展的需求和体现国家主权，信息安全的研究相比其它学科，其更强调创新性和自主性。例如，在安全体系结构理论与技术方面的研究：早在 80 年代中期，美国国防部为适应军事计算机的保密需要， 在计算机保密模型的基础上， 制订了 “可信计算机系统安全评价准则”（T
20、CSEC），形成了安全信息系统体系结构的最初准则；90 年代初，英、法、德、荷四国针对 TCSEC准则只考虑保密性的局限，联合提出了包括保密性、完整性、可用性概念的“信息技术安全评价准则”（ITSEC） ； 近年来美、 加、 英、 法、 德、 荷六国共同提出 “信息技术安全评价通用准则” （CC for ITSEC） 。CC 标准对安全的内容和级别给予了更完整的规范，为用户对安全需求的选取提供了充分的灵活性。该标准于 1999 年 7 月通过国际标准化组织认可，确立为国际标准，编号为 ISO/IEC 15408。我国在近几年对安全操作系统、安全数据库、多级安全机制等方面也进行了研究，但由于核心
21、技术受控于人，难以保证没有漏洞。而且大部分研究以美国的 TCSEC 标准为主要参照，研发的安全产品和技术，主要集中在系统应用环境的较高层次上，在多平台的兼容性、多协议的适应性、多接口的满足性方面存在许多不足， 其理论基础和自主的技术手段也有待于发展和强化。 虽然我国在系统安全的研究与应用方面具备了一定的基础和条件，但是与先进国家和地区存在很大差距。 人大代表、浪潮集团董事长兼 CEO 孙丕恕作为我国服务器方面的专家，在第十一届全国人民代表大会上提交了关于全面落实安全等级保护制度、提升我国信息安全保护水平的建议。1994 年至今，国家先后出台了中华人民和国计算机信息系统安全保护条例和信息安全等级
22、保护管理办法等法律法规，对信息与信息系统、信息安全产品按标准实行五级保护，力图将信息安全建立在可信、可控的安全科学技术之上，保护并促进我国自主信息安全技术和产业的发展。2009 年 10 月发布了关于开展信息安全等级保护安全建设整改工作的指导意见 ， 该指导意见为安全系统的建设和管理提供了技术指导。如图 1.1 所示： 大中型企业网络安全设计方案的研究与应用 4 图 1.1 我国近几年在信息安全方面出台的文件 Fig. 1.1 The documents about information security which our country published recentlly 孙丕恕指出
23、:一是信息系统主管部门、 信息系统建设和运营单位对信息安全等级保护的政策、 步骤、方法和措施认识不足，在保护制度的具体实施中存在定级不准、定级偏低的现象；二是我国基础信息网络和重要信息系统关键技术、设备和系统运维基本上由外国厂商把持，给信息安全带来隐患；三是核心关键技术和产品缺乏， 自主可控能力不强， 特别是主机等主要设备操作系统安全功能的缺失使整体的安全体系出现漏洞；四是等级保护实施队伍还比较弱，人才比较匮乏 3。以上情况严重阻碍了我国信息安全保护水平的提高。 信息安全保护问题已经成为制约我国经济社会发展的关键问题之一，打破瓶颈要从“制度落实”、“安全壁垒”和“国产化”三个方面入手，即要“通
24、过建立、健全信息安全法律法规体系和监管队伍确保相关制度的落实； 进一步建立和完善信息安全标准体系， 通过对相关标准的普及规范和对核心关键技术、 产品的资金投入构筑自主知识产权的信息安全技术壁垒； 制定出台国家信息安全等级保护产品和安全服务管理办法以及产品采购和安全服务机构目录，实施重要信息系统的关键设备、安全产品、安全服务准入管控措施， 限制外国供应商进入重要安全系统采购市场， 尽快实现关键设备和安全技术的国产化，实现我国信息系统安全、可信和可控。 开放复杂的信息系统面临着诸多风险， 为了解决这些风险问题， 人们不断地研究着信息安全的自身特点，并且寻找问题的解决之道，最直接的做法就是各种安全技
25、术和产品的选择使用，这也是一个从单一到全面、从静态防护到动态保障的发展过程4。目前国际上已有众多的网络安全解决方案和产品，但中华人民共和国计算机信息系统安全保护条例 （国务院 147 号令） 国家信息化领导小组关于加强信息安全保障工作的意见 （中办发200327 号）1994 年 2 月 2003 年 7 月 关于信息安全等级保护工作的实施意见 （公通字200466 号） 信息安全等级保护管理办法 （公通字200743 号） 2004 年 9 月 2007 年 6 月 关于开展全国重要信息系统安全等级保护定级工作的通知 （公信安2007861 号）信息安全等级保护备案实施细则 （公信安2007
26、1360 号） 2007 年 7 月 2007年10月关于加强国家电子政务工程建设项目信息安全风险评估工作的通知（发改高技20082071 号）关于开展信息安全等级保护安全建设整改工作的指导意见 （公信安200981429 号）2008 年 6 月 2009年10月河北工业大学工程硕士学位论文 5为了避免安全漏洞和泄密隐患， 不能直接用于我国政务系统和其它重要的信息系统， 因此我们只能借鉴这些先进技术和产品， 自主研发国产网络安全产品。 可幸的是目前国内已有一些网络安全解决方案和产品，但与国外同类产品相比尚有一定的差距5。 根据 2007 年第三季度网络安全市场季度报告显示：中国网络安全市场总
27、销售额稳健增长，达到19.36 亿元，比 2006 年同比增长 25.1%。其中网关设备的销售额达到 9.37 亿元，占网络安全设备市场总量的 48.4%6。2010 年全球安全软件行业销售收入将达到 165 亿美元，增长 11.3%。这个预测比 2009年的 148 亿美元的销售收入有显著的增长7。这既说明政府、事业单位及大中型企业对信息安全的高度重视， 也说明了中国信息安全产业在高速发展。 同时国家信息化发展也预示着我国面对的将是一个更加开放的发展环境，网络信息安全问题也更加突出。 此外，决定信息安全成败的除了技术因素，还有管理8。安全技术是信息安全控制的重要手段，但是只有安全技术是不行的
28、，如果要让安全技术发挥应有的作用，必须有适当的策略管理支持9，否则，安全技术只能趋于僵化和失败。 传统的安全管理主要依靠用户自身的经验和对各种底层设备的熟悉， 而在目前大规模分布式环境下，网络安全设备越来越多、应用范围越来越广、结构越来越复杂，随着安全管理的发展，安全策略管理己成为目前国内外信息安全研究的热点10。安全策略是由系统管理员制定的一组规则，这些规则由条件和动作组成。它们描述了访问系统内资源所能采取的动作，以防止未授权动作对系统内资源的访问11。基于策略的管理将策略和管理分开，管理对象从传统的设备转化为策略12，网管员只需通过配置策略即可实现对设备的管理，提高了管理的效率和灵活性13
29、。 如果将安全技术比喻成信息安全大厦的砖瓦， 那么安全管理就是钢筋， 只有将有效的管理策略落实到安全建设中， 信息安全的长期性和稳定性才有所保证。 当然， 无论是选择技术产品还是实施策略管理，要真正实现信息安全，必须充分考虑信息安全的多样性、动态性等特点，立足于一个完整的信息安全体系来解决安全问题14。 1-4 1-4 论文的组织结构论文的组织结构 该地矿企业作为全省经济发展的重要企业，特别强调信息的安全性和可靠性。为了安全、高效的利用网络开展工作， 必须加强其网络安全管理。 然而在实际工作中， 企业的每个部门具体工作都各不相同，这导致他们对安全的需求也是各不相同的。该企业信息化建设起步较早，
30、随着信息化的发展，电子业务的推广，安全因素的制约，目前的网络己不能满足业务工作的需要。本人作为该企业的负责网络建设及推广应用的主要人员，为了进一步推广网络应用，推进企业信息化建设，针对具体业务的实际安全环境和需求，设计了较为全面、整体的网络安全解决方案。 本课题是 2008 年底，专为河北省某地矿企业进行的一次网络建设所做的设计，现已经基本完成防火墙、防毒墙、上网行为管理、网络版杀毒软件等产品的策略部署，阶段性实现了对企业内网信息系统的防护目标， 体现了 “外防内控” 的设计思想。 本论文就是依据实际的网络部署及安全配置总结出来的。大中型企业网络安全设计方案的研究与应用 6论文的组织结构是这样
31、的： 第一章， 从研究网络安全的意义和国内外研究现状入手阐述了论文的研究背景。第二章，详细阐述了网络安全的定义，并创新性的引入了“信息安全等级保护”的理念，为企业做好网络安全建设提供指导思想。第三章，根据企业内部网络的结构特点，分别对总部与分部、总部及分部的内部网络中存在的安全隐患进行了风险分析和需求分析。第四章，针对网络中存在的外网入侵、病毒防护、 内部人员上网行为管理等主要安全问题进行了安全策略分析， 并从各个层面上具体部署了安全产品，构建整体防护系统。对整体防护系统的设计及运行进行了可行性评估。最后一章是结论，介绍了本论文的完成情况和下一步的工作方向。 河北工业大学工程硕士学位论文 7
32、第二章 第二章 网络安全的相关理论网络安全的相关理论 2-12-1 网络安全的定义网络安全的定义 网络安全是当前信息安全领域中的研究热点。 研究内容包括安全系统的开发、 安全产品的研发及整体解决方案的设计与实施等，它是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。现代的网络安全定义认为：网络及信息安全是指信息系统的硬件、 软件及其系统中的数据受到保护， 不因恶意的或偶然的原因而遭到破坏， 系统连续、可靠、正常地运行，网络服务不中断15。凡是涉及到网络上信息的保密性、完整性、可用性、真实性及可控性的相关技术和理论都是网络安全的研究内
33、容。它已发展成为一个涉及网络应用、系统开发、数据库管理和人员管理等多方面的研究领域，因此，我们对网络安全防护方案的研究就必须综合考虑。 2-2 2-2 网络安全的弱点和威胁网络安全的弱点和威胁 2-2-12-2-1 安全弱点安全弱点 安全弱点和信息资产紧密相连， 它可能被威胁利用、 引起资产损失。 但是， 弱点本身不会造成损失，它只是一种条件或者环境，可能导致被利用而造成资产损失。有很多原因会导致弱点的出现，例如，软件开发过程中的质量问题、系统管理员配置和管理方面的问题等等。但是，它们都为攻击者提供了对信息资产进行攻击的机会。 2-2-22-2-2 安全威胁及其分类安全威胁及其分类 安全威胁是
34、一种对系统、 组织及其资产构成潜在破坏的因素或事件。 产生安全威胁的主要因素可以分为人为因素和环境因素。 人为因素包括有意的和无意的因素。 环境因素包括自然界的不可抗力因素和其它物理因素。威胁也可能源于偶发的、或蓄意的事件，例如非授权的泄露、篡改、删除等，在机密性、完整性或可用性等方面造成损害，这些都是对企业信息直接或间接的攻击。一般来说，威胁总是利用安全弱点对资产造成伤害。 网络中的安全威胁主要有： 1. 身份窃取，指用户身份在通信时被非法截取； 2. 数据窃取，指非法用户截获通信网络的数据； 大中型企业网络安全设计方案的研究与应用 83. 假冒，指非法用户假冒合法用户身份获取敏感信息的行为
35、； 4. 拒绝服务，指合法用户的正当申请被拒绝、延迟、更改等； 5. 非授权访问； 6. 否认，指通信方事后否认曾经参与某次活动的行为16； 7. 错误路由； 8. 物理损坏。 2-2-32-2-3 网络安全事件分析网络安全事件分析 在开放的互联网上，由于病毒泛滥、不良信息传播、黑客入侵等大量的安全事件发生，因此，人们越来越关注对网络安全的研究。例如，因 1988 年著名的“Internet 蠕虫事件”和“计算机系统 Y2k 问题”，人们开始高度关注信息系统的安全解决方案研究；黑客攻击大型网站,导致网络服务瘫痪的事件，激发了人们研究入侵检测的热情。 从大量的安全事件分析和安全技术的研究成果来看
36、， 不难发现我们使用的系统中存在许多设计缺陷，这也可能是某些情报机构有意埋伏的安全陷阱17。因此，系统脆弱性检测技术、入侵报警技术、信息内容分级标识机制、智能化信息内容分析等技术已经被广泛用于安全工具软件的研发。利用信息系统安全的独特性，人们也将这些研究成果用于军事对抗领域，信息对抗技术的发展将会改变以往的军事竞争形式18。计算机病毒和网络黑客攻击技术也必将成为新一代的军事武器。 近年来，利用互联网实施犯罪的案件也急剧上升，网络犯罪已经成为普遍的国际性问题。据美国联邦调查局的报告， 目前网络犯罪是商业犯罪中最大的犯罪类型之一， 每笔犯罪的平均金额为 4.5 万美元，每年由网络犯罪造成的经济损失
37、高达 50 亿美元。2008 年，一个全球性的黑客组织，利用 ATM 程序的漏洞攻破了一种名为 RBS WorldPay 的银行系统，并在 11 月 8 日午夜，利用团伙作案从世界 49 个城市总计超过 130 台 ATM 机上提取了 900 万美元。最关键的是，目前 FBI 还没破案，甚至据说连一个嫌疑人都没找到。正是因为网络犯罪都具有瞬时性、专业性、时空分离性等特点，使得罪犯很难留下犯罪证据，这就大大刺激了此类犯罪案件的发生，给各大计算机系统特别是商业网络系统带来很大的威胁。 当前在网络安全领域最引人瞩目的问题是网络攻击， 攻击的对象可能是政治敌对， 也可能是商业对手，但其目的已然不再单纯
38、了。2009 年 7 月 7 日，黑客利用分布式拒绝服务方法攻击了韩国总统府、国会、国情院和国防部等国家机关，以及金融界、媒体和防火墙企业的网站。9 日韩国国家情报院和国民银行网站无法被访问，国会、国防部、外交通商部等机构的网站也一度无法打开。2010 年 1 月 12 日上午 7 点钟开始，全球最大中文搜索引擎“百度”遭到黑客攻击，长时间无法正常访问。网民访问百度时，会被定向到一个位于荷兰的 IP 地址，主要表现为跳转到一雅虎出错页面、伊朗网军图片，出现“天外符号”等，范围涉及国内大部分省市，百度旗下所有子域名均无法正常访问。这就是黑客利用了 DNS记录篡改的方式在境外成功实施的一次攻击。
39、事实上， 我们听到的网络安全事件只是实际发生的事例中的一小部分， 而大部分网络入侵或者攻击行为并没有被发现。 据专家估计， 公开报道的网络入侵或攻击事件与实际发生的事件的比例高达 1： 500，其中，商业信息被窃取的事件以每月 260%的速率在增加。目前网络安全威胁的手段多样，背景复杂，河北工业大学工程硕士学位论文 9已经成为国际性 “公害” 。 同时， 网络信息安全问题也已经成为制约我国经济社会发展的关键问题之一，亟待国家出台相应的措施、制度，来提升我国信息安全保护水平。 2-3 2-3 信息安全等级保护信息安全等级保护 信息安全等级保护是根据信息系统在国家安全、 经济安全、 社会稳定和保护
40、公共利益等方面的重要程度，结合系统面临的风险、系统特定安全保护要求和成本开销等因素，将其划分成不同的安全保护等级， 采取相应的安全保护措施， 以保障信息和信息系统的安全。 信息系统等级保护工作具体分两个方面，一方面，管理层制定信息系统信息安全等级保护诉讼的管理办法、定级指南、基本安全要求、等级评估规范以及对信息系统等级保护工作的管理等；另一方面用户层依据管理层的要求对信息系统进行定级，确定系统应采取的安全保障措施，进行系统安全设计与建设，以及运行监控与改进。 信息化发展的不同阶段和不同的信息系统有着不同的安全需求，先明确安全需求，再进行规划、建设，确保从实际出发，综合平衡安全成本和风险，优化信
41、息安全资源的配置，可以有效的避免因盲目选择安全技术策略、建设或整改方案设计缺乏完整性和系统性，而导致信息安全整体防护水平不高，给日后的信息系统正常运行留下安全隐患。 根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级： 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第四级，信息系统受到破坏后，会对社会秩
42、序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。 信息系统的安全保护等级由两个定级要素决定： 等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。定级要素与信息系统安全保护等级的关系，如表 2.1 所示： 表 2.1 定级要素与安全保护等级的关系 Table 2.1 Rating elements and the security level of protection 受侵害的客体 对客体的侵害程度 一般损害 严重损害特别严重损害 公民、法人和其他组织的合法权益第一级 第二级 第二级 社会秩序、公共利益 第二级 第三
43、级 第四级 国家安全 第三级 第四级 第五级 大中型企业网络安全设计方案的研究与应用 10信息系统安全包括业务信息安全和系统服务安全， 与之相关的受侵害客体和对客体的侵害程度可能不同，因此，信息系统定级也应由业务信息安全和系统服务安全两方面确定：从业务信息安全角度反映的信息系统安全保护等级称业务信息安全保护等级； 从系统服务安全角度反映的信息系统安全保护等级称系统服务安全保护等级。确定信息系统安全保护等级的一般流程如下： 1确定作为定级对象的信息系统； 2确定业务信息安全受到破坏时所侵害的客体； 3根据不同的受侵害客体，从多个方面综合评定业务信息安全被破坏对客体的侵害程度； 4依据表2.1，得
44、到业务信息安全保护等级； 5确定系统服务安全受到破坏时所侵害的客体； 6根据不同的受侵害客体，从多个方面综合评定系统服务安全被破坏对客体的侵害程度； 7依据表2.1，得到系统服务安全保护等级； 8将业务信息安全保护等级和系统服务安全保护等级的较高者确定为定级对象的安全保护等级。 上述步骤如图2.1所示： 图 2.1 信息系统确定等级的流程图 Fig. 2.1 The level of a flow chart for information system determine 3、 综合评定对客体的侵害2、确定业务信息安全受到破坏时所侵害的客体 6、 综合评定对客体的侵害5、确定系统服务安全受到
45、破坏时所侵害的客体 7、系统服务安全等级 4、业务信息安全等级8、定级对象的安全保护等依表 2.1依表 2.11、确定定级对象 河北工业大学工程硕士学位论文 11 第三章 第三章 企业网络的现状分析及需求分析企业网络的现状分析及需求分析 3-13-1 企业网络现状企业网络现状 互联网应用的普及给企业的利益带来高回报的同时， 也给企业的网络管理带来更高的危险性和复杂性，黑客攻击、病毒传播、网络资源利用不合理等问题随之而来。如何让企业的 IT 管理者及时了解网络运行的基本状况，并对网络整体状况作出准确的分析，发现网络异常，并快速的排除故障，这都是对企业网络信息安全管理的挑战。该地矿企业信息化起步较
46、早，随着信息化的发展，电子政务的推广，安全因素的制约，目前的网络己不能满足业务工作的需要。 3-1-13-1-1 企业总体网络现状企业总体网络现状 图 3.1 企业总体网络拓扑图 Fig. 3.1 The network topology diagram for enterprise overall 如图 3.1 所示，该企业在不同城市设有分部，分部通过 ADSL 拨号上网方式与总部进行通信和数据传输。 同时， 还有第三方合作伙伴和个别移动用户通过互联网访问该企业总部内网的业务系统和数据中心。总体网络分为总部和分部两个部分。总部业务系统是由计算机及相关设备构成的，并按照一定的应用目标和规则对业
47、务信息进行采集、加工、存储、传输、检索等处理的人机系统。该信息系统主要包括：地质科研信息的采集、更新和维护，地质资料查询、检索，财务报账、审批、核算等业务。 大中型企业网络安全设计方案的研究与应用 123-1-23-1-2 企业总部网络现状企业总部网络现状 图 3.2 企业总部网络拓扑图 Fig. 3.2 The network topology diagram for corporate headquarters 如图 3.2 所示，该企业总部网内约有 100 台计算机，使用路由器通过 10M 光纤连接互联网；路由器作为企业网络连接互联网的网管设备，设置了简单的防火墙策略；路由器连接核心交换
48、机；核心交换机下连接分组交换机，再连接办公区域内的计算机。 3-1-33-1-3 企业分部网络现状企业分部网络现状 图 3.3 企业分部网络拓扑图 Fig. 3.3 The network topology diagram for enterprise branch 如图 3.3 所示，该企业分部网内有部分计算机使用 ADSL 路由器宽带拨号连接互联网。总部与分河北工业大学工程硕士学位论文 13部之间的文件和数据传输未使用任何加密、保护方式。 3-2 3-2 企业网络安全主要存在的问题及需求分析企业网络安全主要存在的问题及需求分析 通过对该企业总体、 总部及分部网络现状的基本分析， 我们发现该
49、企业的网络安全存在的主要问题有以下几个方面： 1分部通过 ADSL 拨号上网方式与总部进行通信和数据传输，这种方式无法保证数据的安全性。一方面， 对安全性要求较高的部门在互联网上进行数据传输时， 数据没有一系列的安全加密措施非常容易导致数据被窃取、篡改；另一方面，企业业务系统的操作没有明确授权人员，这就导致一些非授权人员也可以访问甚至修改内网服务器的重要数据。 这两方面安全问题直接导致了企业信息的泄露， 给企业带来不可估量的损失。 2随着企业的网络规模不断扩大，在网关边界仍使用很传统的路由器连接企业内部网和互联网，已经远远不适用于现在高速发展的互联网络。 虽然在路由器上设置了一些简单的访问控制
50、策略， 但是大量数据包的转发，和来自内外网的 DoS、DDoS 攻击，ARP 欺骗，IP 碎片攻击，对 DMZ 区域的划分不明显，命令行操作界面的不易管理等等因素，都表明企业的网络需要一台可以满足企业上网需求，并且可以对企业网络进行保护的防火墙设备。 3随着企业网络规模的扩大，网络内各种终端每时每刻在网络中传输的数据包是否是有害的、是否是中了病毒以后对内网设备的攻击、 外网来的数据包是否是对企业内部网的攻击， 这些行为都需要有一个专门的入侵防御设备去判断，从而作出更为有效的防御措施，防止企业内部网遭受攻击，降低网络威胁的风险。 4因为网络的发展带来了丰富的资源，除了办公正常使用的业务之外，还有
