【摘要】隨著互聯(lián)網(wǎng)+技術(shù)的快速發(fā)展，網(wǎng)絡(luò)DDOS攻擊、勒索病毒、SQL注入、暴力破解、數(shù)據(jù)泄密等等網(wǎng)絡(luò)安全事件經(jīng)常發(fā)生，網(wǎng)絡(luò)信息安全面臨嚴重的挑戰(zhàn)，為保障客戶的信息資產(chǎn)安全，保障客戶業(yè)務(wù)系統(tǒng)安全穩(wěn)定運行，實現(xiàn)“高效預(yù)防、高效檢測，快速處理”，本文對網(wǎng)絡(luò)信息安全規(guī)劃及防護策略進行梳理、總結(jié)，希望對大家在實際工作起到借鑒與參考作用。
【作者】陳勇，一名從事IT行業(yè)10多年的老兵，熟悉各類系統(tǒng)，曾分別獲得IBM CATE、HP CSA、SUN SCSA、VMware VCP、HUAWEI HCNP等多項專業(yè)認證。
網(wǎng)絡(luò)信息安全的運行和防護不僅關(guān)系到整個數(shù)據(jù)中心業(yè)務(wù)系統(tǒng)穩(wěn)定運行，同時，由于網(wǎng)絡(luò)系統(tǒng)的多樣性、復(fù)雜性、開放性、終端分布的不均勻性，致使網(wǎng)絡(luò)極易遭到黑客、惡性軟件或非法授權(quán)的入侵與攻擊。
鑒于數(shù)據(jù)信息的嚴肅性和敏感性，為了保障和加強系統(tǒng)安全，防止偶然因素和惡意原因破壞、更改、泄密，保障工作正常持續(xù)進行，同時，提高系統(tǒng)應(yīng)對威脅和抵御攻擊的對抗能力和恢復(fù)能力，需要建設(shè)安全保障系統(tǒng)，滿足信息安全等級保護的要求。使系統(tǒng)具有抵御和防范大規(guī)模、較強惡意攻擊、較為嚴重的自然災(zāi)害、計算機病毒和惡意代碼危害的能力；具有檢測、發(fā)現(xiàn)、報警、記錄入侵行為的能力；具有對安全事件進行響應(yīng)處置，并能夠追蹤安全責(zé)任的能力；在系統(tǒng)遭到損害后具有能夠較快恢復(fù)正常運行狀態(tài)的能力，對于服務(wù)保障性要求高的系統(tǒng)，應(yīng)能快速恢復(fù)正常運行狀態(tài)；具有對系統(tǒng)資源、用戶、安全機制等進行集中控管的能力。
網(wǎng)絡(luò)信息安全范圍主要包括：網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)邊界以及網(wǎng)絡(luò)設(shè)備自身安全等，具體的控制點包括：結(jié)構(gòu)安全、訪問控制、安全審計、邊界完整性檢查、入侵防范、惡意代碼防范、網(wǎng)絡(luò)設(shè)備防護等，通過網(wǎng)絡(luò)安全的防護，為用戶信息系統(tǒng)運行提供一個安全的環(huán)境。
結(jié)構(gòu)安全范圍包括：
1) 應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；
2) 應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要；
3) 應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進行路由控制，建立安全的訪問路徑；
4) 應(yīng)根據(jù)各業(yè)務(wù)系統(tǒng)類型、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；
5) 應(yīng)避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段；
6) 應(yīng)按照對業(yè)務(wù)服務(wù)的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時候優(yōu)先保護重要主機。
訪問控制范圍包括：
1)、應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能；
2)、應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；
3)、 應(yīng)對進出網(wǎng)絡(luò)的信息內(nèi)容進行過濾，實現(xiàn)對應(yīng)用層 HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制；
4)、 應(yīng)在會話處于非活躍一定時間或會話結(jié)束后終止網(wǎng)絡(luò)連接；
5)、 應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；
6)、 重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙；
7)、 應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問，控制粒度為單個用戶；
8)、 應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量。
安全審計范圍包括：
1) 應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行日志記錄；
2) 審計記錄應(yīng)包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；
3) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；
4) 應(yīng)對審計記錄進行保護，避免受到未預(yù)期的刪除、修改或覆蓋等。
邊界完整性檢查范圍包括：
1) 應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行檢查，準確定出位置，并對其進行有效阻斷；
2) 應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進行檢查，準確定出位置，并對其進行有效阻斷。
入侵防范范圍包括：
1)、應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP 碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等；
2)、當檢測到攻擊行為時，記錄攻擊源 IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴重入侵事件時應(yīng)提供報警。
惡意代碼范圍包括：
a) 應(yīng)在網(wǎng)絡(luò)邊界處對惡意代碼進行檢測和清除；
b) 應(yīng)維護惡意代碼庫的升級和檢測系統(tǒng)的更新。
網(wǎng)絡(luò)設(shè)備范圍包括：
1) 應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進行身份鑒別；
2) 應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進行限制；
3) 網(wǎng)絡(luò)設(shè)備用戶的標識應(yīng)唯一；
4) 主要網(wǎng)絡(luò)設(shè)備應(yīng)對同一用戶選擇兩種或兩種以上組合的鑒別技術(shù)來進行身份鑒別；
5) 身份鑒別信息應(yīng)具有不易被冒用的特點，口令應(yīng)有復(fù)雜度要求并定期更換；
6) 應(yīng)具有登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和當網(wǎng)絡(luò)登錄連接超時自動退出等措施；
7) 當對網(wǎng)絡(luò)設(shè)備進行遠程管理時，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；
8) 應(yīng)實現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離。
網(wǎng)絡(luò)層安全主要設(shè)計的方面包括結(jié)構(gòu)安全、訪問控制、安全審計、邊界完整性檢查、入侵防范、惡意代碼防范、網(wǎng)絡(luò)設(shè)備防護幾大類安全控制，下面我們來結(jié)合信息系統(tǒng)等級保護網(wǎng)絡(luò)安全要求，詳細聊聊網(wǎng)絡(luò)安全設(shè)計。
為了實現(xiàn)信息系統(tǒng)的等級化劃分與保護，依據(jù)等級保護的相關(guān)原則規(guī)劃、區(qū)分不同安全保障對象，并根據(jù)保障對象設(shè)定不同業(yè)務(wù)功能及安全級別的安全區(qū)域，以根據(jù)各區(qū)域的重要性進行分級的安全管理。
根據(jù)系統(tǒng)的業(yè)務(wù)功能、特點及各業(yè)務(wù)系統(tǒng)的安全需求，并根據(jù)網(wǎng)絡(luò)的具體應(yīng)用、功能需求及安全需求，規(guī)劃設(shè)計功能區(qū)域。
具體功能說明及安全需求見下表：
為了對信息系統(tǒng)實現(xiàn)良好的安全保障，依據(jù)等級保護三級的要求對系統(tǒng)進行安全建設(shè)。通過對系統(tǒng)的安全區(qū)域劃分設(shè)計，并對主要區(qū)域進行冗余建設(shè)，用以保障關(guān)鍵業(yè)務(wù)系統(tǒng)的可用性與連續(xù)性。建議采用如下方式構(gòu)建網(wǎng)絡(luò)架構(gòu)：
在網(wǎng)絡(luò)架構(gòu)的建設(shè)過程中，要充分考慮到信息系統(tǒng)的發(fā)展及后期建設(shè)的需求，在設(shè)備的采購及安全域的構(gòu)建與劃分時，就要為后期的發(fā)展與建設(shè)做好準備，如產(chǎn)品的功能、性能至少要滿足未來3-5年的業(yè)務(wù)發(fā)展要求，產(chǎn)品的接口、規(guī)格要滿足冗余部署的需要，VLAN的劃分要為后期建設(shè)實現(xiàn)安全隔離提供預(yù)留VLAN等。
區(qū)域邊界的訪問控制防護可以通過利用各區(qū)域邊界區(qū)交換機設(shè)置ACL列表實現(xiàn)，但該方法不便于維護管理，并且對于訪問控制的粒度把控的效果較差。從便于管理維護及安全性的角度考慮，可以通過在關(guān)鍵網(wǎng)絡(luò)區(qū)域邊界部署專業(yè)的訪問控制設(shè)備（如防火墻產(chǎn)品），實現(xiàn)對區(qū)域邊界的訪問控制。訪問控制措施需滿足以下功能需求：
應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；
應(yīng)在會話處于非活躍一定時間或會話結(jié)束后終止網(wǎng)絡(luò)連接；
應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問，控制粒度為單個用戶。
在網(wǎng)絡(luò)結(jié)構(gòu)中，需要對各區(qū)域的邊界進行訪問控制，對于關(guān)鍵區(qū)域，應(yīng)采用部署防火墻的方式實現(xiàn)網(wǎng)絡(luò)區(qū)域邊界端口級的訪問控制，其它區(qū)域，應(yīng)考慮通過交換機的VLAN劃分\\ACL以及防火墻的訪問控制等功能的方式實現(xiàn)訪問控制。
通過部署防火墻設(shè)備，利用其虛擬防火墻功能，實現(xiàn)不同區(qū)域之間的安全隔離和訪問控制。同時，在數(shù)據(jù)中心內(nèi)部區(qū)域與網(wǎng)絡(luò)互聯(lián)區(qū)之間部署防火墻。主要實現(xiàn)以下安全功能：
1)實現(xiàn)縱向?qū)＞W(wǎng)與業(yè)務(wù)網(wǎng)的雙向訪問控制；
2)實現(xiàn)核心網(wǎng)與應(yīng)用服務(wù)區(qū)、數(shù)據(jù)交換區(qū)之間端口級訪問控制，關(guān)閉不必要端口；
3)實現(xiàn)應(yīng)用層協(xié)議命令級的訪問控制；
4)實現(xiàn)長鏈接的管理與控制。
安全審計設(shè)計時，在網(wǎng)絡(luò)層做好對網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等要素的審計工作。審計系統(tǒng)需具備以下功能：
實時不間斷地將來自不同廠商的安全設(shè)備、網(wǎng)絡(luò)設(shè)備、主機、操作系統(tǒng)、用戶業(yè)務(wù)系統(tǒng)的日志、警報等信息匯集到審計中心，實現(xiàn)全網(wǎng)綜合安全審計；
將收集到的審計信息集中存儲，通過嚴格的權(quán)限控制，對審計記錄進行保護，避免受到未預(yù)期的刪除、修改或覆蓋；
審計記錄包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；
能夠?qū)崟r地對采集到的不同類型的信息進行歸并和實時分析，通過統(tǒng)一的控制臺界面進行實時、可視化的呈現(xiàn)。
根據(jù)網(wǎng)絡(luò)特點及業(yè)務(wù)重要性，建議部署相關(guān)網(wǎng)絡(luò)安全審計設(shè)備。
網(wǎng)絡(luò)安全審計涉及網(wǎng)絡(luò)行為審計、數(shù)據(jù)庫審計、日志審計和運維審計等。
網(wǎng)絡(luò)行為審計：主要在核心業(yè)務(wù)區(qū)交換機旁路部署2臺網(wǎng)絡(luò)審計設(shè)備，可針對常見的網(wǎng)絡(luò)協(xié)議進行內(nèi)容和行為的審計，主要包括TCP五元組、應(yīng)用協(xié)議識別結(jié)果、IP地址溯源結(jié)果等。可根據(jù)用戶審計級別配置，實現(xiàn)不同協(xié)議的不同粒度審計要求。通過流量分析，分析NetFlow信息，統(tǒng)計分析當前網(wǎng)絡(luò)流量狀況，用戶可根據(jù)此功能分析網(wǎng)絡(luò)中的應(yīng)用分布以及網(wǎng)絡(luò)帶寬使用情況等。
數(shù)據(jù)庫審計：需要在核心業(yè)務(wù)區(qū)交換機旁路部署2臺數(shù)據(jù)庫審計設(shè)備，審計數(shù)據(jù)庫的操作過程變化，可以將數(shù)據(jù)庫的增刪改查等操作全部審計并提供實時查詢統(tǒng)計功能。包括SQL語句的解析、SQL語句的操作類型、操作字段和操作表名等的分析等。通過對瀏覽器與Web服務(wù)器、Web服務(wù)器與數(shù)據(jù)庫服務(wù)器之間所產(chǎn)生的HTTP事件、SQL事件進行業(yè)務(wù)關(guān)聯(lián)分析，管理者可以快速、方便的查詢到某個數(shù)據(jù)庫訪問是由哪個HTTP訪問觸發(fā)，定位追查到真正的訪問者，從而將訪問Web的資源賬號和相關(guān)的數(shù)據(jù)庫操作關(guān)聯(lián)起來。包括訪問者用戶名、源IP地址、SQL語句、業(yè)務(wù)用戶IP、業(yè)務(wù)用戶主機等信息。根據(jù)解析的SQL，對用戶數(shù)據(jù)庫服務(wù)器進行安全判斷、攻擊檢測。
日志審計：需要在在核心業(yè)務(wù)區(qū)交換機旁路部署2臺日志審計設(shè)備，以全面采集各種網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機和應(yīng)用系統(tǒng)日志，將收集到的各種格式日志進行解析、歸一化處理，提供給后續(xù)模塊進行分析存儲，以支持事后審計和定責(zé)取證。幫助實現(xiàn)網(wǎng)絡(luò)日志和信息的有效管理及全面審計。
運維審計： 需要在在核心業(yè)務(wù)區(qū)交換機旁路部署2臺運維審計設(shè)備（堡壘機），實現(xiàn)數(shù)據(jù)中心內(nèi)所有設(shè)備的統(tǒng)一運維和集中管理。通過運維審計功能記錄所有運維會話，以充足的審計數(shù)據(jù)方便事后查詢和追溯，解決了數(shù)據(jù)中心內(nèi)眾多服務(wù)器、網(wǎng)絡(luò)設(shè)備在運維過程中所面臨的“越權(quán)使用、權(quán)限濫用、權(quán)限盜用”等安全威脅。
在區(qū)域邊界部署檢測設(shè)備實現(xiàn)探測非法外聯(lián)和入侵等行為，完成對區(qū)域邊界的完整性保護。檢測需具備以下功能：
能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行檢查，準確定出位置，并對其進行有效阻斷；
能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進行檢查，準確定出位置，并對其進行有效阻斷。
具體技術(shù)實現(xiàn)如下：
1)在邊界防火墻上實現(xiàn)基于業(yè)務(wù)的端口級訪問控制，并嚴格限制接入IP及外聯(lián)IP，杜絕在網(wǎng)絡(luò)層發(fā)生的非法外聯(lián)與內(nèi)聯(lián)；
2)在服務(wù)器上進行安全加固，防止因服務(wù)器設(shè)備自身安全性而造成后邊界完整性損害。
在網(wǎng)絡(luò)區(qū)域的邊界處，通過部署入侵防御設(shè)備對網(wǎng)絡(luò)攻擊行為進行監(jiān)測或者阻斷，并及時產(chǎn)生報警和詳盡的報告，通過入侵防御功能實現(xiàn)。
通過在網(wǎng)絡(luò)中部署入侵防御系統(tǒng)，可有效實現(xiàn)以下防御手段：
1)滿足了重要網(wǎng)絡(luò)邊界處對攻擊行為的監(jiān)控需求，符合等級保護中對端口掃描、強力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等的監(jiān)控要求。
2)實現(xiàn)了對網(wǎng)絡(luò)中攻擊行為的高效記錄：當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴重入侵事件時提供報警。
3)實現(xiàn)了對網(wǎng)絡(luò)中的重要信息的保護功能，可以按照等級保護要求對重要服務(wù)器的入侵行為，記錄其入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴重入侵事件時提供報警。
區(qū)域邊界防惡意代碼設(shè)備需具備以下功能：
應(yīng)在網(wǎng)絡(luò)邊界處對惡意代碼進行檢測和清除；
應(yīng)維護惡意代碼庫的升級和檢測系統(tǒng)的更新。
通過部署防病毒網(wǎng)關(guān)系統(tǒng)可以有效實現(xiàn)網(wǎng)絡(luò)邊界的惡意代碼的入侵行為。網(wǎng)關(guān)防病毒系統(tǒng)實現(xiàn)了在業(yè)務(wù)系統(tǒng)邊界網(wǎng)絡(luò)攻擊、入侵行為的檢測與控制，能夠有效針對惡意代碼進行識別并控制。
基礎(chǔ)網(wǎng)絡(luò)設(shè)施安全防范設(shè)計，主要對交換機等設(shè)備需要實現(xiàn)如下功能：
1)啟用對遠程登錄用戶的IP地址校驗功能，保證用戶只能從特定的IP設(shè)備上遠程登錄交換機進行操作；
2)啟用交換機對用戶口令的加密功能，使本地保存的用戶口令進行加密存放，防止用戶口令泄密；
3)對于使用SNMP進行網(wǎng)絡(luò)管理的交換機必須使用SNMP V2以上版本，并啟用MD5等校驗功能；
4)在每次配置等操作完成或者臨時離開配置終端時必須退出系統(tǒng)；
5)設(shè)置控制口和遠程登錄口的idle timeout時間，讓控制口或遠程登錄口在空閑一定時間后自動斷開；
6)一般情況下關(guān)閉交換機的Web配置服務(wù)，如果實在需要，應(yīng)該臨時開放，并在做完配置后立刻關(guān)閉；
7)對于接入層交換機，應(yīng)該采用VLAN技術(shù)進行安全的隔離控制，根據(jù)業(yè)務(wù)的需求將交換機的端口劃分為不同的VLAN；
8)在接入層交換機中，對于不需要用來進行第三層連接的端口，應(yīng)該設(shè)置使其屬于相應(yīng)的VLAN，必要時可以將所有尚未使用的空閑交換機端口設(shè)置為“Disable”，防止空閑的交換機端口被非法使用。
原題：淺談網(wǎng)絡(luò)信息安全設(shè)計及防護策略研究
網(wǎng)絡(luò)安全區(qū)域劃分
http://www.talkwithtrend.com/Document/detail/tid/408129
系統(tǒng)主機信息安全設(shè)計及防護策略研究
http://www.talkwithtrend.com/Article/241923
聯(lián)系客服
