H3C工程案例-安全方案模板

XX数据骨干网网络安全

规划方案（草案）

华为3Com技术有限公司

目 录

一、 二、

**. **. **.

项目背景 ...................................................................................................................................... 3 安全系统整体规划 ...................................................................................................................... 4 方案设计原则 ........................................................................................................................... 4 安全体系模型 ........................................................................................................................... 4 方案设计思路 .............................................................................................................................. 6 三、 网络及应用现状分析 ............................................................................................................... 7 **. 网络结构分析 ........................................................................................................................... 7 **.

应用系统分析 .............................................................................................................................. 7 四、 系统安全需求分析 ................................................................................................................... 8 **. 安全层次的划分 ....................................................................................................................... 8

**. 需求层次化分析 ............................................................................................................. 8 **. 网络层 ............................................................................................................................. 8 **. 用户层 ............................................................................................................................. 9 **.

业务层 ........................................................................................................................................ 10 五、 网络安全解决方案 ................................................................................................................. 11 **. 网络层解决方案 ........................................................................................................... 11 **. 充分利用无线局域网的安全机制 ............................................................................... 11 **. 充分利用网络以及资源管理系统 ............................................................................... 11 **. 配置防火墙进行网络区域的隔离 ............................................................................... 12 **. 配置入侵监测系统监控攻击行为 ............................................................................... 13 **. 配置VPN设备对网络线路加密 ................................................................................. 13 **. 针对VPDN接入方式安全措施 ............................................................................................ 14

**. 用户层解决方案 ........................................................................................................... 15 **. 配置微软补丁自动分发系统 ....................................................................................... 15 **. 配置全面的网络防病毒系统 ....................................................................................... 15 **. 采取用户网络访问控制措施 ................................................................................................. 16

**. 业务层解决方案 ........................................................................................................... 17 **. 设备冗余及网络存储配置建议 ................................................................................... 17 **. 漏洞扫描及安全评估系统的配置 ............................................................................... 17 **.

应用系统开发中加强安全机制 ................................................................................................ 18 六、 安全方案分析总结 ................................................................................................................. 19 **. 安全方案的系统性 ................................................................................................................. 19 **.

安全方案的可行性

19

一、 项目背景

XX数据骨干网由华为3Com公司提供解决方案以及全线网络设备，随着与网络的应用系统的增加和成熟，整个网络承载的信息的价值也越来越高，如何有效的保证整个信息安全成为一个迫切需要解决的问题。

近期XX召开了信息化会议，对网络安全加强了重视，下一步将考虑全国网络安全规化，邀请对华为3Com XX全国网提出全网网络安全规化的草案，基于先进的安全理论模型，我们提出了此次安全方案规划草案，本方案的设计原则为：全面考虑可以采取的网络安全措施，为将来更有针对性的解决方案的设计提供完善的技术依据。

二、 安全系统整体规划

2.1. 方案设计原则

在规划XX数据骨干网网络安全系统时，我们将遵循以下原则，以这些原则为基础，提供完善体系化的整体网络安全解决方案：  体系化设计原则

通过分析信息网络的网络层次关系、安全需求要素以及动态的实施过程，提出科学的安全体系和安全模型，并根据安全体系和安全模型分析网络中可能存在的各种安全风险，针对这些风险以动态实施过程为基础，提出整体网络安全解决方案，从而最大限度地解决可能存在的安全问题。  全局性、均衡性原则

安全解决方案的设计从全局出发，综合考虑信息资产的价值、所面临的安全风险，平衡两者之间的关系，根据信息资产价值的大小和面临风险的大小，采取不同强度的安全措施，提供具有最优的性能价格比的安全解决方案。  可行性、可靠性原则

在采用全面的网络安全措施之后，应该不会对XX数据骨干网原有的网络，以及运行在此网络上的应用系统有大的影响，实现在保证网络和应用系统正常运转的前提下，有效的提高网络及应用的安全强度，保证整个信息资产的安全。  可动态演进的原则

方案应该针对XX数据骨干网制定统一技术和管理方案，采取相同的技术路线，实现统一安全策略的制定，并能实现整个网络从基本防御的网络，向深度防御的网络以及智能防御的网络演进，形成一个闭环的动态演进网络安全系统。

2.2. 安全体系模型

安全方案必须架构在科学的安全体系和安全模型之上，因为安全模型是安全方案设计和分析的基础。只有在先进的网络安全理论模型的基础上，才能够有效地实现我们在上面分析的网络安全系统规划的基本原则，从而保证整个网络安全解决方案的先进性。

为了系统、科学地分析网络安全方案涉及的各种安全问题，在大量理论分析和调查研究的基础上，华为3Com公司提出了i3SAFE网络安全模型，以此模型为基础，可以进行整个网络安全体系的有效的分析与合理规划。下面我们对此网络安全模型进行具体的阐述和说明：

图例：i3SAFE安全理论模型示意图

i3SAFE安全理论模型是一个三维立体结构，基于此三维结构安全理论模型，形成一个智能的（intelligence），集成的（integrated），定制的（individuality）的网络安全解决方案，真正达到SAFE的目的，下面是每个层次的详细分析描述：

 第一维为应用层次维：

这个维度实现对整个信息体系进行描述，通过这个维度，以层次化对整个信息体系进行划分，层次的划分依据信息体系的建设结构，把整个信息体系划分为网络层：提供信息流通的平台；用户层：信息应用的终端；业务层：信息应用的提供层。通过这种抽象的层次的划分，可以以不同的层次对象为目标，分析这些层次对不同的安全服务要素的需求情况，进行层次化的、有针对性的系统安全需求分析。  第二维为网络空间维：

这个维度从实际的信息系统结构的组成的角度，对信息系统进行模块化的划分。基本的模块可以划分为桌面、服务器、、内网等几个模块，这些模块的划分可以根据需要进行组合或者细化，进行模块划分的主要目的是为前面相对抽象的安全需求分析提供具体可实施的对象，保证整个安全措施有效可实施性。  第三维为业务流程维：

这个维度主要描述一个完善的网络安全体系建设的流程，这个流程主要的参考P2DR模型，以我们前面进行的需求分析为基础，制定统一的安全策略，同时通过预防（Harden）、保护(Protect)、检测(Detect)、响应(Respond)以及改进(Improve)，形成一个闭环的网络安全措施流程。  纵深维为安全管理维：

贯穿于上述三个维度，以及各个维度内部各个层次的是安全管理，我们认为，全面的安全管理是信息网络安全的一个基本保证，只有通过切实的安全管理，才能够保证各种安全技术能够真正起到其应有的作用，常言说：“三分技术，七分管理”，安全管理是保证网络安全的基础，安全技术只是配合安全管理的有效的辅助措施。

2.3. 方案设计思路

通过上述三维安全理论模型，我们可以比较清晰的分析出在一个信息网络系统中，不同系统层次有各自的特点，对安全服务要素的不同的需求的强度，依据这些安全服务要素需求的重点不同，基于这些层次对应的实际结构模块，有针对性地采用一些安全技术和安全产品来实现这些安全服务要素，这些措施形成本层次的安全防护面，不同的层次相互组合衔接，形成一个立体的网络安全防御体系。

在下面的XX数据骨干网网络安全方案设计中，我们将首先通过信息网络的层次划分，把其安全系统划分成若干个安全层次，并针对每一个安全层次，分析其安全需求，提出安全解决方案，最后形成一个全面的安全解决方案。同时在方案的设计过程中，遵循我们安全理论模型中的业务流程体系，对所采取的安全措施进行实施阶段的划分，形成一个动态的、可调整的具有强大实施能力的整体安全解决方案。

本方案主要是技术方案，但是安全管理是网络安全中的核心部分，由于网络安全管理不仅与技术相关，而且涉及到相关的机构组织方式及行政管理制度，本方案将遵循安全管理的基本原则，提出原则性的安全管理建议。后期在与XX的技术及管理机构进行充分的交流的基础上，提供比较详细的，更有针对性的安全管理措施建议。

三、 网络及应用现状分析

3.1. 网络结构分析

XX数据骨干网整体网络解决方案为华为3CoM提供，基本的网络结构如下图所示：

图例：XX数据骨干网网络结构示意图

XX数据骨干网由总局、14个直属局、众多分支机构、众多派出机构广域网、局域网构成，根据XX单位系统的上下级的隶属关系、业务的流向的特点，决定了XX网络是一个典型的树型网络，即以XX网络中心为中心节点，14个直属局节点为一级节点、分支机构为二级节点、派出机构为三级节点的树型网络结构。

网络连接方式为：骨干数据采用中国网通专线连接；下属三、四级节点、有部分移动用户采有用VPDN接入；节点内部局域网有部分采用无限局域网的接入方式。

3.2. 应用系统分析

整个应用系统在网络中的分布相对比较分散，每级节点内部都有相对的应用服务器，主要用于提供本区域的网络应用服务；在XX单位局域网内部有一个相对比较集中的应用服务中心，提供面向整个海事系统的网络应用服务；在XX单位提供一个Interenet连接出口，提供内部用户访问Interenet能力，同时为XX单位Interenet服务器提供Interenet连接线路。

四、 系统安全需求分析

4.1. 安全层次的划分

以前面介绍的三维安全理论模型为基础，参照我们进行的信息网络系统的层次划分，我们认为整个网络安全系统可以划分为以下几个层次，分别为：

1. 网络层：核心的安全需求为保证网络数据传输的可靠性和安全性，防范因为物理介质、

信号辐射等造成的安全风险，保证整体网络结构的安全，保证网络设备配置的安全、同时提供网络层有效的访问控制能力、提供对网络攻击的实时检测能力等。 2. 用户层：核心的安全需求为保证用户节点的安全需求，保证用户操作系统平台的安全，

防范网络防病毒的攻击，提高用户节点的攻击防范和检测能力；同时加强对用户的网络应用行为管理，包括网络接入能力以及资源访问控制能力等。 3. 业务层：核心的安全需求为能够提供机密的、可用的网络应用服务，包括业务数据存储

和传输的安全，业务访问的身份认证及资源访问权限分配，业务访问的有效的记录和审计，以及特殊应用模式的安全风险：比如垃圾Mail、Web攻击等。 下面我们将通过分析在前面描述的XX数据骨干网的网络及应用现状，全面分析归纳出在不同层次的安全需求。

4.2. 需求层次化分析

4.2.1. 网络层

网络层的核心的安全需求为保证网络数据传输的可靠性和安全性，存在的安全风险主要包括以下几个方面：

1) 线路的物理安全以及信号辐射的风险：

 局域网线路采用综合布线系统，基本不存在太大的物理安全问题。广域通信线路的

如果是租用ISP供应商线路的方式，不会存在太大的安全风险，ISP供应商已经采取了足够的物理保护措施以及线路冗余措施；如果是进行的线路铺设，需要采取物理保护、有效标示等防范措施；  通信线路的信号辐射风险可以采用比较有效的方式为：屏蔽式线缆，线路电磁屏蔽、

或者光通信等方式，相对来说信号辐射造成的安全风险不是太大，在一般安全需求强度的应用环境下，不需要采取太多的防范措施。  XX数据骨干网，由于安全需求的强度不是非常高，并且这些防范措施的实施需要

付出较大的代价，建议可以忽略这些安全风险，不采取上面描述的防范措施。 2) 无线局域网网络接入的安全风险：

 对于无线局域网的网络接入方式，由于无线具有广播性的原因，肯定存在信息窃取

以及假冒接入的问题，因此必须采取完善的安全措施来保证这种接入方式的安全，我们将在后面的解决方案中进行详细的分析和描述。 3) 网络结构以及网络数据流通模式的风险：

 现有主要的网络结构为星形、树形、环形以及网状，随着网络节点间的连接密度的

增加，整个网络提供的线路冗余能力也会增加，提供的网络数据的流动模式会更灵活，整个网络可靠性和可用性也会大大的增加。  XX数据骨干网为典型的树形结构，能够满足XX单位数据流动模式的需求，是一

种性价比最高的连接方式，为了保证网络系统的可靠性，已经采取了一定的线路备份措施，将来可以采取的有效可行的措施是加强线路备份措施的实施。 4) 网络设备安全有效配置的风险：

 网络设备是网络数据传输的核心，是整个网络的基础设施，各种网络设备本身的安

全与可靠性以及这些设备上应用策略的安全都需要进行合理的配置才能够保证。 5) 网络层有效的访问控制的风险：

 网络结构越来越复杂，接入网络的用户也越来越多，必须能够在不同的网络区域之

间采取一定的控制措施，有效控制不同的网络区域之间的网络通信，以此来控制网络元素间的互访能力，避免网络滥用，同时实现安全风险的有效的隔离，把安全风险隔离在相对比较以及比较小的网络区域。 6) 网络攻击行为的监测和防范的风险：

 基于网络协议的缺陷，尤其是TCP/IP协议的开放特性，带来了非常大的安全风险，

常见的IP地址窃取、IP地址假冒，网络端口扫描以及危害非常大的拒绝服务攻击（DOS、DDOS）等，必须能够提供对这些攻击行为有效的监测和防范能力的措施。 7) 网络数据传输的机密性和完整性的风险：

 网络数据在传输的过程中，很可能被通过各种方式窃取，因此保证数据在传输的过程中机密性（保证数据传递的信息不被第三方获得），完整性（保证数据在传递过程中不被人修改）是非常重要的，尤其是在传递的信息的价值不断提高情况下。

4.2.2. 用户层

1) 用户操作系统平台安全漏洞的风险：

 大部分的网络攻击行为以及网络病毒的传播都是由于操作系统平台本身存在的安全

漏洞，微软不断发布系统补丁即是明证，因此必须有效避免系统漏洞造成的安全风险，同时对操作系统的安全机制进行合理的配置。 2) 用户主机遭受网络病毒攻击的风险：

 网络给病毒的传播提供了很好的路径，网络病毒传播速度之快、危害之大是令人吃

惊的，特别是最近开始流行的一些蠕虫病毒，更是防不胜防，环境下必须建设全面的网络防病毒系统，层层设防，逐层把关，堵住病毒传播的各种可能途径。 3) 针对用户主机网络攻击的安全风险：

 目前Internet上有各种完善的网络攻击工具，在局域网的环境下，这种攻击会更加

有效，针对的目标会更加明确，据统计，有97％的攻击是来自内部的攻击，而且内部攻击成功的概率要远远高于来自于Internet的攻击，造成的后果也严重的多。 4) 用户网络访问行为有效控制的风险：

 首先需要对用户接入网络的能力进行控制，同时需要更细粒度的访问控制，尤其是

对Internet资源的访问控制，比如应该能够控制内部用户访问Internet的什么网站。

4.2.3. 业务层

1) 服务器及数据存储系统的可用性风险：

 业务系统的可靠性和可用性是网络安全的一个很重要的特性，必须保证业务系统硬件平台（主要是大量的服务器）以及数据硬件平台（主要是存储系统）的可靠性。 2) 操作系统和网络服务平台的安全风险：

 通过对各种流行的网络攻击行为的分析，可以发现绝大多数的攻击是利用各种操作

系统和一些网络服务平台存在的一些已公开的安全漏洞发起，因此，杜绝各种操作系统和网络服务平台的已公开的安全漏洞，可以在很大程度上防范系统攻击的发生。 3) 用户身份认证及资源访问权限的控制：

 由于网络中的各个应用系统上有很多信息是提供给不同权限用户查阅的，不同级别、不同部门、不同人员能够访问的资源都不一样，因此需要严格区分用户的身份，设置合理的访问权限，保证信息可以在被有效控制下共享。 4) 用户对业务访问的有效的记录和审计：

 业务系统必须能够对用户的各种访问行为进行详细的记录，以便进行事后查证。

五、 网络安全解决方案

5.1. 网络层解决方案

根据前面对网络层的安全需求分析，我们认为主要需要从以下几个方面进行配置，或选择相应的安全产品，在网络层保证XX数据骨干网的安全：

5.1.1. 充分利用无线局域网的安全机制

今年6月，802.11工作组正式发布了IEEE 802.11i，以加强无线网络的安全性和保证不同无线安全技术之间的兼容性，802.11i标准包括WPA和RSN两部分。WPA协议已经升级到WPA2，WPA2的核心是IEEE 802.1x和CCMP加密包，RSN是接入点与移动设备之间的动态协商认证和加密算法。通过IEEE 802.11i可以使括802.11b、802.11a和802.11g在内的无线装置的安全性得到有效的保证。

通过合理有效的利用IEEE 802.11i提供的安全机制，可以实现无线用户接入无线局域网的身份认证和数据加密，基本上可保证无线局域网的应用安全， 对于安全性要求比较高的用户，可以考虑将无线本身提供的安全技术与VPN技术结合，增强身份认证以及数据加密的安全强度，提供更高层次的安全防护能力。

5.1.2. 充分利用网络以及资源管理系统

在网络系统中，整个网络的安全首先要确保网络设备的安全，保证非授权用户不能访问任一台服务器、路由器、交换机或防火墙等网络设备，采用网络管理系统是一种有效的解决方法，XX数据骨干网已经采用了华为Quidview网络管理软件，Quidview网络管理软件是华为公司针对数据通信设备如路由器、交换机、视讯等进行统一管理和维护的网管产品，是华为iManager N2000系列网管产品之一，位于网络解决方案的管理层次，能够实现网元管理和网络管理的功能。它与华为公司的数据通信设备产品一起提供全网解决方案，对数据通信设备的维护和网络管理提供支持。

通过网络管理管理系统提供的配置管理、性能管理、失效管理和安全管理功能，可以实现网络设备安全有效的配置，为整个网络系统提供安全运行的基石，基本的功能描述如下：

配置管理：主要包括设备监控、远程控制、远程维护、自动搜索等

性能管理：主要包括性能数据可视化、阈值设置和报警、性能分析和预测、性能策略支持等 失效管理：主要包括故障定位、故障报警、故障恢复等

安全管理：访问认证和授权、网络隔离、远程访问控制、应用访问控制等

5.1.3. 配置防火墙进行网络区域的隔离

防火墙是网络层的核心防护措施，它可以对整个网络进行网络区域分割，提供基于IP地址和TCP/IP服务端口等的访问控制；对常见的网络攻击方式，如拒绝服务攻击（ping of death, land, syn flooding, ping flooding, tear drop, …）、端口扫描（port scanning）、IP欺骗(ip spoofing)、IP盗用等进行有效防护；并提供NAT地址转换、流量、用户认证、IP与MAC绑定等安全增强措施。

图例：防火墙基本应用模式

图例：防火墙复杂应用模式

5.1.4. 配置入侵监测系统监控攻击行为

配置防火墙是保证网络安全的一个基本措施，但是它只是一种被动和静态的防御措施，我们还需要主动出击，实时地掌握网络中的各种访问连接情况，及时发现各种可能的攻击企图，为此我们建议在某些重要的位置配置入侵监测系统，监测这些位置可能发生的攻击企图。

目前的实时入侵检测系统分为基于网络和基于主机两种，一般采用基于网络的入侵检测系统，基于网络的入侵检测系统具有检测范围广、对网络性能影响小等有限。基于网络的入侵检测系统都分为探测头和监控中心两部分，如同大楼电视监控系统一样，探测头一般配置在某一个敏感区域，对这个区域的所有活动进行监视，并把信号传送给监控中心，管理员只需要在监控中心的终端上就可以看到所有探测头传来的信息，并进行处理，如发送命令，要求某个探测头中断某一连接或继续跟踪等。

图例：典型IDS系统部署示意图

5.1.5. 配置VPN设备对网络线路加密

随着VPN技术的发展，VPN技术已经成为一种非常成熟的网络连接方式，VPN具有高性价比、强适应能力、具备很强的网络安全特性以及动态的扩展能力等优势，已经被广泛的用来进行广域网络的衔接，VPN核心的功能是实现网络通信隧道的建立以及通信数据的加密。

XX骨干数据采用中国网通专线连接，可以采用VPN的方式对线路中的数据进行加密，可以采取的方式有两种：

1) 利用已有的网络设备（主要是路由器）的VPN支持能力，建立全面的VPN链路，这种

方案的优势在于不用增加任何设备，存在的问题是可能有些节点的路由器设备不支持VPN，另外基于路由器的VPN加密性能没有保证，可能会影响网络的应用； 2) 另外一种方案是采取专门的VPN设备，建立全面的VPN链路，这种方案的优势在于VPN

的性能和组网的灵活性有保证，但是需要增加很多的专用VPN设备，加大了投资。 综合上述两种方案，由于XX骨干数据采用中国网通专线连接，基本上不存在太大的数据失密的风险，因此不建议全面建立VPN链路，而是采取一种折衷的方案：在数据机密性要求比较高的线路上，配置专门的VPN设备，建立有性能和安全保证的VPN通道。

5.1.6. 针对VPDN接入方式安全措施

VPDN的基本的技术原理为：用户通过拨指定的号码接入网络，并提交自己的用户名和密码，在ISP商端的LAC设备会智能的根据用户提交的密码的附属参数，确定用户所属的机构，然后自动地把这个用户名和密码通过L2TP隧道转发到设置在该用户总部的LNS设备上，由LNS设备来完成真正的身份认证，同时建立L2TP隧道进行数据交互。

通过这种技术可以非常灵活的实现拨号用户灵活的以本地电话号码，通过VPN的方式接入到总部的网络中，访问总部网络的资源。但是L2TP方式建立的VPN并不提供数据加密的功能，因此数据在传输过程中的机密性不能得到保证，基于此原因，我们建议在用户的总部的LNS设备后端再配置一台支持IPSec协议的VPN设备，拨号用户通过专用的VPN客户端，在客户主机与总部VPN设备之间建立加密的VPN隧道，保证数据传输的安全，同时对原有的网络接入能力没有任何影响。

5.2. 用户层解决方案

5.2.1. 配置微软补丁自动分发系统

伴随“冲击波”病毒的出现，微软升级网站的知名度迅速攀升。每当微软有新补丁发布时，网民们蜂拥而至，抱怨登不上去者大有人在。而此刻最辛苦的还要算局域网的网管员。他除了要争取在第一时间为自己管辖的所有服务器升级外，还要为客户端下载适用于多种平台、多种语言环境的补丁包，之后还要检验这些补丁包是否都升级到位。往往一个补丁还未处理完毕，另一补丁又来了。

基于此现状，微软推出了SUS（Software Update Services）服务，以此来兑现提出的“零管理”补丁省级策略，SUS的部署模式非常简单，基本步骤为：在局域网内部搭建SUS服务器→定期有选择地与微软升级网站做内容同步→重新定向内网客户端的升级URL，使之从微软升级网站转到

内部SUS服务器上来→利用组策略自动安装SUS客户端程序→同时定制客户端的升级方式和升级时间表。通过这种方式，可以有效地完成Windows操作系统的补丁升级，大大减轻维护工作量。

5.2.2. 配置全面的网络防病毒系统

网络环境下的防病毒必须层层设防，逐层把关，堵住病毒传播的各种可能途径，为XX数据骨干网网络系统提供一个稳定高效、技术一流、方便管理、服务周全的网络病毒防护体系，网络防病毒体系主要包括：

➢ 网关防病毒：

Internet是现在病毒传播的一个最主要的路径，访问Internet网站可能会感染蠕虫病毒，从Internet下载软件和数据可能会同时把病毒、黑客程序都带进来，对外开放的WEB服务器也可能在接受来自Internet的访问时被感染上病毒。因此需要在XX数据骨干网与Internet接口处重点防范病毒的传播。 ➢ 邮件防病毒：

邮件附件是当前网络病毒传播的一个重要途径，因此要在邮件服务器上配置邮件防病毒软件，检查所有从邮件服务器发送和接收的邮件，特别是其邮件附件。另一方面，防范邮件病毒传播要加强对用户的安全教育，对于所有来源不明的邮件不要轻易打开，特别是其附带的邮件附件。在打开邮件之前，最好打电话与发件人确认，因为很多邮件病毒是自动从通讯录中查找收件人的。发送邮件时，最好不要使用复杂的格式，可以直接使用纯文本格式，这样邮件带病毒传播的机会就很小了。 ➢ 服务器防病毒：

对重要的服务器，配置服务器防病毒软件，XX数据骨干网包含了大量复杂的应用系统，需要大量的不同平台的服务器，我们建议对这些服务器分别安装防病毒系统，加强这些重点服务器的病毒防范能力。 ➢ 主机防病毒：

网络中的主要用户使很多主机终端，因此必须为所有的单机，特别是一些处理关键业务的用户机配置主机防病毒软件。 ➢ 集中控管能力：

防病毒需要具有集中控管能力，对所有的防病毒产品模块提供一个集中的管理机制，监控各个防毒产品的防杀状态，病毒码及杀毒引擎的更新升级等，并在各个防毒产品上收集病毒防护情况的日志，并进行分析报告。

图例：趋势网络防病毒体系

5.2.3. 采取用户网络访问控制措施

对用户网络访问能力的控制有很多可行的方式，一个可以采用比较有效的方式是利用华为3Com提供的网络设备对IEEE 802.1x协议支持能力，对每个接入网络的用户进行身份认证，只有具有正确的身份的网络用户才可以接入网络，访问网络的相关资源。

更高层次，更细粒度的访问控制措施为在Internet的接入边界采取一定的内容访问控制措施，可采取的措施包括URL过滤，这个功能可以由防火墙来基本实现，也可采用专门的URL过滤系统，比如WebSense提供的URL过滤服务器；另外可以采取的措施还有网关邮件的过滤，防火墙同样能够一定程度上实现这个功能，也可以采用专门的邮件过滤网关来实现，上述措施都是有效可行的细粒度的网络访问控制措施。

5.3. 业务层解决方案

5.3.1. 设备冗余及网络存储配置建议

业务系统的可靠性和可用性是网络安全的一个很重要的特性，可靠性与可用性的重要基础是各种设备的冗余配置，下面我们对业务系统的涉及到的设备（主要是服务器和存储系统）进行分析，并给出建议性的配置方案，主要包括：

服务器可以采用的冗余配置主要包括冗余电源、冗余CPU、冗余网卡等重要的配件的冗余配置，对于核心服务器可以采用双机热备措施来保证服务的不间断性，现在有很成熟的系统支持这种应用模式。

存储系统的冗余配置是最重要的，因为数据安全才是整个安全系统的根本目的，数据的可靠性和可用性是数据安全的根本。存储系统主要的冗余配置模式是磁盘阵列系统，现在磁盘阵列技术已经发展得很完善了，各种现有的存储设备对磁盘阵列的技术的支持也已经完善了，另外在磁盘阵列的基础上发展起来的网络存储系统（SAN、SNA），提供了更高的存储性能和可靠性。

图例：SAN部署结构示意图

5.3.2. 漏洞扫描及安全评估系统的配置

为了事先发现网络中各种操作系统和应用平台的安全性，可以采用漏洞扫描系统对重要的服务器先进行扫描，以发现系统中可能存在的安全漏洞和安全薄弱环节，通过漏洞扫描系统可以解决我们前面分析的操作系统以及服务平台的安全隐患。

漏洞扫描系统在网络当中并不是一个实时启动的系统，只需要定期挂接到网络中，对当前网段上的重点服务器（如WEB服务器、邮件服务器、DNS服务器、主域服务器等）以及主机进行一次扫描，即可得到当前系统中存在的各种安全漏洞，并会针对性地提出补救措施。

图例：安全评估系统部署示意图

5.3.3. 应用系统开发中加强安全机制

我们建议XX数据骨干网在应用系统开发时，要在应用程序中加强对程序代码的控制，提高应用系统自身的安全性，在开发应用系统时，有以下几个方面要特别注意：

1）要加强对输入的判断，除了在浏览器端要进行简单的判断之外，更主要的是要在服务器端做相应的判断：一要检查输入值的长度和大小；二要检查输入值中是否带有非法字符，特别是在WEB应用中的单引号和一些控制字符。 2）在调用数据库资源时，要使用类似ODBC的接口，不要把数据库对象、对数据库具有操作权限的用户名、帐号等信息泄漏在WEB CGI程序中。 3）很多数据库在安装之后会有一个缺省的管理员帐号，且其口令一般为空或是通用口令，数据库管理员要及时更改这些帐号，并且设置高强度的口令字。 4）在WEB服务器上，要检查每一个目录、文件上的权限是否合适，如是否可以列表、读取、执行等，源程序或脚本是否可下载等。

六、 安全方案分析总结

6.1. 安全方案的系统性

本方案从提供完整的安全解决方案的原则出发，依据华为3Com公司提出的安全理论模型，根据XX数据骨干网网络和应用现状，针对各种可能的各种安全风险，提出了相应的安全措施，本方案从网络层、用户层、业务层三个层次角度出发，提出了一个多层次的安全解决方案：

1) 在网络层：

我们提出了充分利用无线局域网的安全机制、充分利用网络以及资源管理系统、配置防火墙进行网络区域的隔离、配置入侵监测系统监控攻击行为以及配置VPN设备对网络线路加密等防范措施。

2) 在用户层：

我们提出了配置微软补丁自动分发系统、配置全面的网络防病毒系统、采取用户网络访问控制技术等防范措施。

3) 在业务层：

我们提出了设备冗余及网络存储配置、漏洞扫描及安全评估系统的配置、应用系统开发中加强安全机制等防范措施。

6.2. 安全方案的可行性

由于整体方案的设计遵循体系化的原则，并采用层次划分的设计形式，充分分析了每个层次可以采取的安全防范措施，以全面的安全防范点构建每个安全层次防范面，整合三个安全层，就构成了一个体系化的安全解决方案。这样的设计思路充分保证了安全方案的可实施性和分步实施性，XX可以充分考虑自己的资金、人力、时间等因素，选择采取网络安全体系建设的实施的进程，具有极大的灵活性。

总之，我们衷心希望能够得到XX领导和各位专家的批评和指正，使我们能够进一步完善本方案。