网络安全整体解决方案设计

园区网络安全整体解决

方案设计

目录

第1章需求分析 (3)

1.1实施背景 (3)

1.2 网络安全需求 (3)

1.2.1 防范非法用户非法访问 (3)

1.2.2 防范合法用户非授权访问 (3)

1.2.3 防范假冒合法用户非法访问 (3)

1.2 应用安全需求 (3)

第2章设计原则 (4)

2.1 先进性与成熟性 (4)

2.2实用性与经济性 (4)

2.3 扩展性与兼容性 (4)

2.4 标准化与开放性 (4)

2.5 安全性与可维护性 (5)

2.6 整合型好 (5)

第3章网络总体设计 (5)

3.1网络架构分析 (5)

3.2 设计思路 (5)

3.3 校园网的设计原则 (6)

3.4 网络三层结构设计 (6)

3.5 网络拓扑图 (6)

第4章网络安全解决方案 (8)

4.1网络病毒的认识和防范 (8)

4.1.1 网络病毒的传播方式 (8)

4.1.2 网络病毒的传播特点 (9)

4.1.3 网络病毒防范技巧 (9)

4.2 防止 IP、MAC 地址的盗用 (11)

4.2.1 IP地址盗用方法分析 (11)

4.2.2 防范技术研究 (12)

第5章校园网络安全管理制度 (12)

5.1 总则 (12)

5.2 安全保护 (13)

5.3 法律责任 (13)

5.4 附则 (13)

第1章需求分析

1.1实施背景

维护校园网络的安全，防范网络病毒入侵校园网，防止IP、MAC 地址的盗用，对学生用户上网时间的控制，用户网络权限的控制，有效屏蔽各种网络攻击，访问身份认证等等。

1.2 网络安全需求

所谓网络安全就是计算机系统安全概念在网络环境下的扩展和延伸，包括在网络内的访问是否充分得到授权与控制、网络内传输的数据是否得到加密性、完整性保护，网络内的数据包是否合乎安全策略的要求.

1.2.1 防范非法用户非法访问

非法用户的非法访问也就是黑客或间谍的攻击行为。在没有任何防范措施的情况下，网络的安全主要是靠主机系统自身的安全，如用户名及口令字这些简单的控制。但对于用户名及口令的保护方式，对有攻击目的的人而言，根本就不是一种障碍。他们可以通过对网络上信息的监听，得到用户名及口令或者通过猜测用户及口令，这都将不是难事，而且可以说只要花费很少的时间。因此，要采取一定的访问控制手段，防范来自非法用户的攻击，严格控制只有合法用户才能访问合法资源。

1.2.2 防范合法用户非授权访问

合法用户的非授权访问是指合法用户在没有得到许可的情况下访问了他本不该访问的资源。一般来说，每个成员的主机系统中，有一部份信息是可以对外开放，而有些信息是要求保密或具有一定的隐私性。外部用户（指数字网络合法用户）被允许正常访问的一定的信息，但他同时通过一些手段越权访问了别人不允许他访问的信息，因此而造成他人的信息泄密。所以，还得加密访问控制的机制，对服务及访问权限进行严格控制。

1.2.3 防范假冒合法用户非法访问

从管理上及实际需求上是要求合法用户可正常访问被许可的资源。既然合法用户可以访问资源。那么，入侵者便会在用户下班或关机的情况下，假冒合法用户的IP地址或用户名等资源进行非法访问。因此，必需从访问控制上做到防止假冒而进行的非法访问。

1.2 应用安全需求

应用安全主要涉及到应用系统信息资产的保密性和完整性保障，对应用安全的考虑主要集中两个方面，一是内容审计，审计是记录用户使用计算机网络系统所访问的所有资源和访问的过程，

它是提高安全性的重要工具。它不仅能够识别谁访问了系统，还能够成功的还原系统的相关协议。二是对应用系统访问的源、目的的双向鉴别与授权，针对校园网络系统而言，建立CA系统是满足这一要求的可行解决方案。CA认证体系使用了数字签名、加密和完整性机制，使两个或多个实体之间通信时，进行“交叉认证”，可以有效的鉴别对应用系统访问来的身份，并根据确认的身份确定其能够访问的资源。

此外，针对校园网重要业务系统，要规划全面的病毒防护体系，我们看到，随着网络的飞速发展，病毒的发展趋势是从面向文件型转到面向应用的，从面向单机转到面向网络的，防病毒软件面临着集中管理、智能更新等多方面的问题，病毒防护也已经步入到了一个网络化、多方位防护的阶段。

网络防病毒系统应基于策略集中管理的方式，使得移动、分布式的网络级病毒防护不再困难，而且应提供病毒定义的实时自动更新功能，所有操作都应对终端用户透明，不需用户的干预，使用户在不知不觉中将病毒拒之门外。

第2章设计原则

2.1 先进性与成熟性

采用当今国内、国际上先进和成熟的计算机应用技术，使搭建的硬件平台能够最大限度的适应今后的办公自动化技术和系统维护的需要。从现阶段的发展来看，系统的总体设计的先进性原则主要体现在使用Thin-Client/Server计算机体系是先进的、开放的体系结构，当系统应用量发生变化时具备良好的可伸缩性，避免瓶颈的出现。

2.2实用性与经济性

实用性就是能够最大限度地满足实际工作的要求，是每个系统平台在搭建过程中必须考虑的一种系统性能，它是对用户最基本的承诺。办公自动化硬件平台是为实际使用而建立，应避免过度追求超前技术而浪费投资。

2.3 扩展性与兼容性

系统设计除了可以适应目前的应用需要以外，应充分考虑日后的应用发展需要，随着数据量的扩大，用户数的增加以及应用范围的拓展，只要相应的调整硬件设备即可满足需求。通过采用先进的存储平台，保证对海量数据的存取、查询以及统计等的高性能和高效率。同时考虑整个平台的统一管理，监控，降低管理成本。

2.4 标准化与开放性

系统设计应采用开放技术、开放结构、开放系统组件和开放用户接口，以利于网络的维护、扩展升级及外界信息的沟通。

计算机软硬件和网络技术有国际和国内的标准，但技术标准不可能详细得面面俱到，在一些技术细节上各个生产厂商按照自己的喜好设计开发，结果造成一些产品只能在较低的层面上互通，在较高层面或某些具体方面不能互通。我们不但选用符合标准的产品，而且尽量选用市场占有率高、且发展前景好的产品，以提高系统互通性和开放性。

2.5 安全性与可维护性

随着应用的发展，系统需要处理的数据量将有较大的增长，并且将涉及到各类的关键性应用，系统的稳定性和安全性要求都相对较高，任意时刻系统故障都可能给用户带来不可估量的损失，建议采用负载均衡的服务器群组来提高系统整体的高可用。

2.6 整合型好

当前采用企业级的域控制管理模式，方便对所有公司内所有终端用户的管理，同时又可以将公司里计算机的纳入管理范围，极大地降低了网络维护量，并能整体提高当前网络安全管理。

第3章网络总体设计

3.1网络架构分析

现代网络结构化布线工程中多采用星型结构，主要用于同一楼层，由各个房间的计算机间用集线器或者交换机连接产生的，它具有施工简单，扩展性高，成本低和可管理性好等优点；而校园网在分层布线主要采用树型结构；每个房间的计算机连接到本层的集线器或交换机，然后每层的集线器或交换机在连接到本楼出口的交换机或路由器，各个楼的交换机或路由器再连接到校园网的通信网中，由此构成了校园网的拓补结构

校园网采用星形的网络拓扑结构，骨干网为1000M速率具有良好的可运行性、可管理性，能够满足未来发展和新技术的应用，另外作为整个网络的交换中心，在保证高性能、无阻塞交换的同时，还必须保证稳定可靠的运行。

因此在网络中心的设备选型和结构设计上必须考虑整体网络的高性能和高可靠性，我们选择热路由备份可以有效地提高核心交换的可靠性。

传输介质也要适合建网需要。在楼宇之间采用1000M光纤，保证了骨干网络的稳定可靠，不受外界电磁环境的干扰，覆盖距离大，能够覆盖全部校园。在楼宇内部采用超5类双绞线，其连接状态100m的传递距离能够满足室内布线的长度要求。

3.2 设计思路

进行校园网总体设计，首先要进行对象研究和需求调查，明确学校的性质、任务和改革发展的特点及系统建设的需求和条件，对学校的信息化环境进行准确的描述；其次，在应用需求分析的基础上，确定学校Intranet服务类型，进而确定系统建设的具体目标，包括网络设施、站点设置、开发应用和管理等方面的目标；第三是确定网络拓扑结构和功能，根据应用需求建设目标和学校主要建筑分布特点，进行系统分析和设计；第四，确定技术设计的原则要求，如在技术选型、布线设计、设备选择、软件配置等方面的标准和要求；第五，规划校园网建设的实施步骤。

校园网总体设计方案的科学性，应该体现在能否满足以下基本要求方面：

（1）整体规划安排；

（2）先进性、开放性和标准化相结合；

（3）结构合理，便于维护；

（4）高效实用；

（5）支持宽带多媒体业务；

（6）能够实现快速信息交流、协同工作和形象展示。

3.3 校园网的设计原则

（1）先进性原则

以先进、成熟的网络通信技术进行组网，支持数据、语音和视频图像等多媒体应用，采用基于交换的技术代替传统的基于路由的技术，并且能确保网络技术和网络产品在几年内基本满足需求。

（2）开放性原则

校园网的建设应遵循国际标准，采用大多数厂家支持的标准协议及标准接口，从而为异种机、异种操作系统的互连提供便利和可能。

（3）可管理性原则

网络建设的一项重要内容是网络管理，网络的建设必须保证网络运行的可管理性。在优秀的网络管理之下，将大大提高网络的运行速率，并可迅速简便地进行网络故障的诊断。

（4）安全性原则

信息系统安全问题的中心任务是保证信息网络的畅通，确保授权实体经过该网络安全地获取信息，并保证该信息的完整和可靠。网络系统的每一个环节都可能造成安全与可靠性问题。（5）灵活性和可扩充性

选择网络拓扑结构的同时还需要考虑将来的发展，由于网络中的设备不是一成不变的，如需要添加或删除一个工作站，对一些设备进行更新换代，或变动设备的位置，因此所选取的网络拓扑结构应该能够容易的进行配置以满足新的需要。

（6）稳定性和可靠性

可靠性对于一个网络拓扑结构是至关重要的，在局域网中经常发生节点故障或传输介质故障，一个可靠性高的网络拓扑结构除了可以使这些故障对整个网络的影响尽可能小以外，同时还应具有良好的故障诊断和故障隔离功能。

3.4 网络三层结构设计

校园网网络整体分为三个层次：核心层、汇聚层、接入层。为实现校区内的高速互联，核心层由1个核心节点组成，包括教学区区域、服务器群；汇聚层设在每栋楼上，每栋楼设置一个汇聚节点，汇聚层为高性能“小核心”型交换机，根据各个楼的配线间的数量不同，可以分别采用1台或是2台汇聚层交换机进行汇聚，为了保证数据传输和交换的效率，现在各个楼内设置三层楼内汇聚层，楼内汇聚层设备不但分担了核心设备的部分压力，同时提高了网络的安全性；接入层为每个楼的接入交换机，是直接与用户相连的设备。本实施方案从网络运行的稳定性、安全性及易于维护性出发进行设计，以满足客户需求。

3.5 网络拓扑图

网络拓扑图

物理图

第4章网络安全解决方案

4.1网络病毒的认识和防范

网络病毒是一种新型病毒，它的传播媒介不再是移动式载体，而是网络通道，这种病毒的传染能力更强，破坏力更大。同时有关调查显示，通过电子邮件和网络进行病毒传播的比例正逐步攀升，它们给人们的工作和生活带来了很多麻烦。因此我们有必要了解一些网络病毒的特点，并对其采取相应的措施，以减少被网络病毒感染的机会。

4.1.1 网络病毒的传播方式

网络病毒一般会试图通过以下四种不同的方式进行传播：

(1)邮件附件

病毒经常会附在邮件的附件里，然后起一个吸引人的名字，诱惑人们去打开附件，一旦人们执行之后，机器就会染上附件中所附的病毒。

(2)Email

有些蠕虫病毒会利用在Microsoft Security Bulletin在MS01-020中讨论过的安全漏洞将自身藏在邮件中，并向其他用户发送一个病毒副本来进行传播。正如在公告中所描述的那样，该漏洞存在于Internet Explorer之中，但是可以通过e-mail来利用。只需简单地打开邮件就会使机器感染上病毒——并不需要您打开邮件附件。

(3)Web服务器

有些网络病毒攻击IIS 4.0和5.0 Web服务器。就拿“尼姆达病毒”来举例说明吧，它主要通过两种手段来进行攻击：第一，它检查计算机是否已经被红色代码II病毒所破坏，因为红色代码II病毒会创建一个“后门”，任何恶意用户都可以利用这个“后门”获得对系统的控制权。如果Nimda病毒发现了这样的机器，它会简单地使用红色代码II病毒留下的后门来感染机器。第二，病毒会试图利用“Web Server Folder Traversal”漏洞来感染机器。如果它成功地找到了这个漏洞，病毒会使用它来感染系统。

(4)文件共享

病毒传播的最后一种手段是通过文件共享来进行传播。Windows系统可以被配置成允许其他用户读写系统中的文件。允许所有人访问您的文件会导致很糟糕的安全性，而且默认情况下，Windows系统仅仅允许授权用户访问系统中的文件。然而，如果病毒发现系统被配置为其他用户可以在系统中创建文件，它会在其中添加文件来传播病毒。

4.1.2 网络病毒的传播特点

(1)感染速度快

在单机环境下，病毒只能通过软盘从一台计算机带到另一台，而在网络中则可以通过网络通讯机制迅速扩散。根据测定，针对一台典型的PC网络在正常使用情况，只要有一台工作站有病毒，就可在几十分钟内将网上的数百台计算机全部感染。

(2)扩散面广

由于病毒在网络中扩散非常快，扩散范围很大，不但能迅速传染局域网内所有计算机，还能通过远程工作站将病毒在一瞬间传播到千里之外。

(3)传播的形式复杂多样

计算机病毒在网络上一般是通过“工作站服务器工作站”的途径进行传播的，但传播的形式复杂多样。

(4)难于彻底清除

单机上的计算机病毒有时可通过删除带毒文件或低级格式化硬盘等措施将病毒彻底清除，而网络中只要有一台工作站未能消毒干净就可使整个网络重新被病毒感染，甚至刚刚完成清除工作的一台工作站就有可能被网上另一台带毒工作站所感染。因此，仅对工作站进行病毒杀除，并不能解决病毒对网络的危害。

(5)破坏性大

网络上病毒将直接影响网络的工作，轻则降低速度，影响工作效率，重则使网络崩溃，破坏服务器信息，使多年工作毁于一旦。

4.1.3 网络病毒防范技巧

作为个人用户，我们在防范网络病毒时，需要注意以下几点：

(1)留心邮件的附件

对于邮件附件尽可能小心，安装一套杀毒软件，在你打开邮件之前对附件进行预扫描。因为

有的病毒邮件恶毒之极，只要你将鼠标移至邮件上，哪怕并不打开附件，它也会自动执行。更不要打开陌生人来信中的附件文件，当你收到陌生人寄来的一些自称是“不可不看”的有趣东东时，千万不要不假思索地贸然打开它，尤其对于一些“.exe”之类的可执行程序文件，更要慎之又慎！

(2)注意文件扩展名

因为Windows允许用户在文件命名时使用多个扩展名，而许多电子邮件程序只显示第一个扩展名，有时会造成一些假像。所以我们可以在“文件夹选项”中，设置显示文件名的扩展名，这样一些有害文件，如VBS文件就会原形毕露。注意千万别打开扩展名为VBS、SHS和PIF的邮件附件，因为一般情况下，这些扩展名的文件几乎不会在正常附件中使用，但它们经常被病毒和蠕虫使用。例如，你看到的邮件附件名称是wow.jpg，而它的全名实际是wow.jpg.vbs，打开这个附件意味着运行一个恶意的VBScript病毒，而不是你的JPG察看器。

(3)不要轻易运行程序

对于一般人寄来的程序，都不要运行，就算是比较熟悉、了解的朋友们寄来的信件，如果其信中夹带了程序附件，但是他却没有在信中提及或是说明，也不要轻易运行。因为有些病毒是偷偷地附着上去的——也许他的电脑已经染毒，可他自己却不知道。比如“happy 99”就是这样的病毒，它会自我复制，跟着你的邮件走。当你收到邮件广告或者主动提供的电子邮件时，尽量也不要打开附件以及它提供的链接。

(4)不要盲目转发信件

收到自认为有趣的邮件时，不要盲目转发，因为这样会帮助病毒的传播；给别人发送程序文件甚至包括电子贺卡时，一定要先在自己的电脑中试试，确认没有问题后再发，以免好心办了坏事。另外，应该切忌盲目转发：有的朋友当收到某些自认为有趣的邮件时，还来不及细看就打开通讯簿给自己的每一位朋友都转发一份，这极有可能使病毒的制造者恶行得逞，而你的朋友对你发来的信无疑是不会产生怀疑的，结果你无意中成为病毒传播者。

(5)堵住系统漏洞

现在很多网络病毒都是利用了微软的IE和Outlook的漏洞进行传播的，因此大家需要特别注意微软网站提供的补丁，很多网络病毒可以通过下载和安装补丁文件或安装升级版本来消除阻止它们。同时，及时给系统打补丁也是一个良好的习惯，可以让你的系统时时保持最新、最安全。但是要注意最好从信任度高的网站下载补丁。

(6)禁止Windows Scripting Host

对于通过脚本“工作”的病毒，可以采用在浏览器中禁止JA V A或ActiveX运行的方法来阻止病毒的发作。禁用Windows Scripting Host。Windows Scripting Host(WSH) 运行各种类型的文本，但基本都是VBScript或Jscript。许多病毒/蠕虫，如Bubbleboy和KAK.worm使用Windows Scripting Host，无需用户单击附件，就可自动打开一个被感染的附件。同时应该把浏览器的隐私设置设为“高”。

(7)注意共享权限

一般情况下勿将磁盘上的目录设为共享，如果确有必要，请将权限设置为只读，读操作须指定口令，也不要用共享的软盘安装软件，或者是复制共享的软盘，这是导致病毒从一台机器传播到另一台机器的方式。

(8)不要随便接受附件

尽量不要从在线聊天系统的陌生人那里接受附件，比如ICQ或QQ中传来的东西。有些人通过在QQ聊天中取得对你的信任之后，给你发一些附有病毒的文件，所以对附件中的文件不要打开，先保存在特定目录中，然后用杀毒软件进行检查，确认无病毒后再打开。

(9)从正规网站下载软件

不要从任何不可靠的渠道下载任何软件，因为通常我们无法判断什么是不可靠的渠道，所以

比较保险的办法是对安全下载的软件在安装前先做病毒扫描。

(10)多做自动病毒检查

确保你的计算机对插入的软盘、光盘和其他的可插拔介质，以及对电子邮件和互联网文件都会做自动的病毒检查。

(11)使用最新杀毒软件

我们要养成用最新杀毒软件及时查毒的好习惯。但是千万不要以为安装了杀毒软件就可以高枕无忧了，一定要及时更新病毒库，否则杀毒软件就会形同虚设；另外要正确设置杀毒软件的各项功能，充分发挥它的功效。

4.2 防止 IP、MAC 地址的盗用

Internet是一个开放的、互操作的通信系统，其基础协议是TCP/IP。Internet协议地址（简称IP地址）是TCP/IP网络中可寻址设施的唯一逻辑标识，它是一个32位的二进制无符号数。对于Internet上的任一主机，它都必须有一个唯一的IP地址。IP地址由InterNIC及其下级授权机构分配，没有分配到自己的IP地址的主机不能够直接连接到Internet。

随着Internet的迅速发展，IP地址的消耗非常快，据权威机构预测，现行IPv4版本的IP只够用到2007年。现在，企业、机构、个人要申请到足够的IP地址都非常困难，作为一种稀缺资源，IP地址的盗用就成为很常见的问题。特别是在按IP流量计费的CERNET网络，由于费用是按IP地址进行统计的，许多用户为了逃避网络计费，用IP地址盗用的办法，将网络流量计费转嫁到他人身上。另外，一些用户因为一些不可告人的目的，采用IP地址盗用的方式来逃避追踪，隐藏自己的身份。

IP地址盗用侵害了Internet网络的正常用户的权利，并且给网络计费、网络安全和网络运行带来了巨大的负面影响，因此解决IP地址盗用问题成为当前一个迫切的课题。

4.2.1 IP地址盗用方法分析

IP地址的盗用方法多种多样，其常用方法主要有以下几种：

1．静态修改IP地址

对于任何一个TCP/IP实现来说，IP地址都是其用户配置的必选项。如果用户在配置TCP/IP或修改TCP/IP配置时，使用的不是授权机构分配的IP地址，就形成了IP地址盗用。由于IP地址是一个逻辑地址，是一个需要用户设置的值，因此无法限制用户对于IP地址的静态修改，除非使用DHCP服务器分配IP地址，但又会带来其它管理问题。

2．成对修改IP-MAC地址

对于静态修改IP地址的问题，现在很多单位都采用静态路由技术加以解决。针对静态路由技术，IP盗用技术又有了新的发展，即成对修改IP-MAC地址。MAC地址是设备的硬件地址，对于我们常用的以太网来说，即俗称的计算机网卡地址。每一个网卡的MAC地址在所有以太网设备中必须是唯一的，它由IEEE分配，是固化在网卡上的，一般不能随意改动。但是，现在的一些兼容网卡，其MAC地址可以使用网卡配置程序进行修改。如果将一台计算机的IP地址和MAC 地址都改为另外一台合法主机的IP地址和MAC地址，那静态路由技术就无能为力了。

另外，对于那些MAC地址不能直接修改的网卡来说，用户还可以采用软件的办法来修改MAC地址，即通过修改底层网络软件达到欺骗上层网络软件的目的。

3．动态修改IP地址

对于一些黑客高手来说，直接编写程序在网络上收发数据包，绕过上层网络软件，动态修改自己的IP地址（或IP-MAC地址对），达到IP欺骗并不是一件很困难的事。

4.2.2 防范技术研究

针对IP盗用问题，网络专家采用了各种防范技术，现在比较通常的防范技术主要是根据TCP/IP的层次结构，在不同的层次采用不同的方法来防止IP地址的盗用。

1．交换机控制

解决IP地址的最彻底的方法是使用交换机进行控制，即在TCP/IP第二层进行控制：使用交换机提供的端口的单地址工作模式，即交换机的每一个端口只允许一台主机通过该端口访问网络，任何其它地址的主机的访问被拒绝[1]。但此方案的最大缺点在于它需要网络上全部采用交换机提供用户接入，这在交换机相对昂贵的今天不是一个能够普遍采用的解决方案。

2．路由器隔离

采用路由器隔离的办法其主要依据是MAC地址作为以太网卡地址全球唯一不能改变。其实现方法为通过SNMP协议定期扫描校园网各路由器的ARP表，获得当前IP和MAC的对照关系，和事先合法的IP和MAC地址比较，如不一致，则为非法访问[2]。对于非法访问，有几种办法可以制止，如：

使用正确的IP与MAC地址映射覆盖非法的IP-MAC表项；

向非法访问的主机发送ICMP不可达的欺骗包，干扰其数据发送；

修改路由器的存取控制列表，禁止非法访问。

路由器隔离的另外一种实现方法是使用静态ARP表，即路由器中IP与MAC地址的映射不通过ARP来获得，而采用静态设置。这样，当非法访问的IP地址和MAC地址不一致时，路由器根据正确的静态设置转发的帧就不会到达非法主机。

路由器隔离技术能够较好地解决IP地址的盗用问题，但是如果非法用户针对其理论依据进行破坏，即成对修改IP-MAC地址，对这样的IP地址盗用它就无能为力了。

3．防火墙与代理服务器

使用防火墙与代理服务器相结合，也能较好地解决IP地址盗用问题：防火墙用来隔离内部网络和外部网络，用户访问外部网络通过代理服务器进行[3]。使用这样的办法是将IP防盗放到应用层来解决，变IP管理为用户身份和口令的管理，因为用户对于网络的使用归根结底是要使用网络应用。这样实现的好处是，盗用IP地址只能在子网内使用，失去盗用的意义；合法用户可以选择任意一台IP主机使用，通过代理服务器访问外部网络资源，而无权用户即使盗用IP，也没有身份和密码，不能使用外部网络。

使用防火墙和代理服务器的缺点也是明显的，由于使用代理服务器访问外部网络对用户不是透明的，增加了用户操作的麻烦；另外，对于大数量的用户群（如高校的学生）来说，用户管理也是一个问题。

第5章校园网络安全管理制度

5.1 总则

第一条为了保护中学校园网络系统的安全，促进学校计算机网络系统的应用和发展，保证校园网络的正常运行，根据《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网管理暂行规定》、《计算机信息网络国际联网安全保护管理办法》以及其他法律、法规，制定本制度。

第二条本管理制度所称的校园网络系统，是指由校园网络设备、配套的网络线缆设施、网络

服务器、工作站、学校网站所构成的，为校园网络应用目标及规则服务的硬件、软件的集成系统。

第三条任何单位和个人，未经校园网网管中心同意、不得擅自安装、拆卸或改变网络设备。

第四条所有工作人员和用户必须遵守国家有关法律、法规，严格执行安全保密制度，并对所提供的信息负责。任何单位和个人不得利用连网计算机从事危害校园网及本地局域网服务器、工作站的活动，不得危害或侵入未授权的（包括CERNET在内）服务器、工作站。

5.2 安全保护

第五条与校园网相连的计算机房建设应当符合国家的有关标准和规定。

第六条校园内从事施工、建设，不得危害计算机网络系统的安全。

第七条校园网上与国际联网的计算机必须在校园网网管中心备案

第八条校园网主干服务系统发生案件，由校园网网管中心向校保卫处及龙游县公安机关报告。

第九条严禁在校园网上使用来历不明、引发病毒传染的软件；对于来历不明的可能引起计算机病毒的软件应使用合格的杀毒软件进行检查、消毒。

第十条校园网及其子网上应使用具有合法版权的软件，维护知识产权。

第十一条任何单位和个人不得在校园网及其连网计算机上录阅传送有政治问题和淫秽色情内容的信息。

第十二条未经校园网网管中心同意，不得将有关服务器、工作站上的系统软件、应用软件转录、传递到校外。

第十三条校园网系统软件、应用软件及信息数据要实施保密措施。信息资源保密等级可分为：（1）可向Internet公开的；（2）可向校内公开的；（3）可向本系（单位）公开的；（4）可向有关单位或个人公开的；（5）仅限于个人使用的。

5.3 法律责任

第十四条违反本制度的规定，由校园网网管中心会同校保卫处向学校报告，提请学校乃至公安部门处以警告或停机整顿，以至刑事处罚。

第十五条故意输入计算机病毒，造成危害校园网及子网安全的按《中华人民共和国计算机信息系统安全保护条例》中第二十三条的规定予以处罚。

第十六条对于运行无合法版权的网络软件而引起的版权纠纷由网络服务器、工作站的管理单位（及个人）承担责任。

第十七条任何单位或个人违反本规定，给学校校园网系统造成损失的，应当依法承担民事责任。

5.4 附则

第十八条本制度中所指的网管中心目前是指中学校园网网络管理中心。

第十九条本管理制度自学校发布之日起实行。

计算机网络安全设计方案

《计算机网络安全》期末考核 项目名称：星河科技公司网络安全设计 学院：电气工程学院 班级：**级电子信息工程(1)班 姓名：** 学号：******** 指导老师：****** 普瑞网络安全公司(公司名为虚构)通过招标,以100万人民币工程造价的到项目实施,在解决方案设计中需要包含8个方面的内容:公司背景简介、星河科技公司安全风险分析、完整网络安全实施方案设计、实施方案计划、技术支持和服务承诺、产品报价、产品介绍和

安全技术培训。 1、公司背景简介 1.1公司背景简介 普瑞网络安全公司成立于1996年,同年,通过ISO9001认证。是一个独立软件公司，并致力于提供网络信息安全和管理的专业厂商，利用最新的加速处理和智能识别技术全面更新了其防病毒产品引擎。同时提供咨询（Consulting Service）、教育（Total Education Service）、产品支持（World Wide Product Support）等全面服务方案。 24X7 防病毒监测——普瑞永久在线的防病毒专家可以随时处理与病毒相关的各种情况。普瑞的全方位解决方案涵盖了回答询问、扫描特征文件分析、清除工具以及病毒爆发预防策略(OPP)。 Virus Lab ——普瑞接收和复制的所有病毒都存储在这里，并且能够在45分钟内全面检测病毒特征库文件，从而确保普瑞客户能得到最新的防病毒技术和更新。 病毒研究及分析实验室—— TrendLabs的研究工程师们在这里从事病毒行为的深入分析和其它安全研究来改善现有防病毒技术或保护。 病毒清除及模拟实验室——最新的损害清除模板发布之前在这里进行测试，以确保在多平台、多语言环境中的兼容性。 防垃圾邮件实验室——研究、创建并维护诸如智能反垃圾产品等普瑞内容过滤产品所使用的防垃圾邮件规则。

网络安全体系建设方案(2018)

网络安全体系建设方案（2018） 编制： 审核： 批准： 2018-xx-xx

目录 1 安全体系发布令 (2) 2 安全体系设计 (3) 2.1 总体策略 (4) 2.1.1 安全方针 (4) 2.1.2 安全目标 (4) 2.1.3 总体策略 (4) 2.1.4 实施原则 (4) 2.2 安全管理体系 (4) 2.2.1 组织机构 (5) 2.2.2 人员安全 (5) 2.2.3 制度流程 (5) 2.3 安全技术体系 (6) 2.3.1 物理安全 (6) 2.3.2 网络安全 (8) 2.3.3 主机安全 (11) 2.4.4 终端安全 (14) 2.4.5 应用安全 (15) 2.4.6 数据安全 (18) 2.4 安全运行体系 (19) 2.4.1 系统建设 (19) 2.4.2 系统运维 (22)

1 安全体系发布令 根据《网络安全法》《信息安全等级保护管理办法》的相关规及指导要求，参照GB/T22080-2008idtISO27001:2005《信息技术-安全技术-信息安全管理体系要求》，为进一步加强公司运营系统及办公系统的安全运行及防护，避免公司核心业务系统及日常办公系统遭受到病毒、木马、黑客攻击等网络安全威胁，防止因网络安全事件（系统中断、数据丢失、敏感信息泄密）导致公司和客户的损失，制定本网络安全体系。 本网络安全体系是公司的法规性文件，是指导公司各部门建立并实施信息安全管理、技术、运行体系的纲领和行动准则，用于贯彻公司的网络安全管理方针、目标，实现网络安全体系有效运行、持续改进，体现公司对社会的承诺，现正式批准发布，自 2018年 XX月 XX 日起实施。 全体员工必须严格按照本网络安全体系的要求，自觉遵循信息安全管理方针，贯彻实施本安全体系的各项要求，努力实现公司信息安全管理方针和目标。 总经理： 批准日期：2018-xx-xx

企业网络安全方案的设计

海南经贸职业技术学院信息技术系 ︽ 网 络 安课 全程 ︾设 计 报 告 题目 XX网络安全方案的设计 学号 310609040104 班级网络工程06-1班 姓名王某某 指导老师王天明

设计企业网络安全方案 摘要：在这个信息技术飞速发展的时代，许多有远见的企业都认识到很有必要依托先进的IT技术构建企业自身的业务和运营平台来极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。本文主要通过安全体系建设原则、实例化的企业整体网络安全方案以及该方案的组织和实施等方面的阐述，为企业提供一个可靠地、完整的方案。 关键词：信息安全、企业网络安全、安全防护 一、引言 随着国内计算机和网络技术的迅猛发展和广泛普及，企业经营活动的各种业务系统都立足于Internet/Intranet环境中。但随之而来的安全问题也在困扰着用户。Internet所具有的开放性、国际性和自由性在增加应用自由度的同时，对安全提出了更高的要求。一旦网络系统安全受到严重威胁，甚至处于瘫痪状态，将会给企业、社会、乃至整个国家带来巨大的经济损失。应此如何使企业信息网络系统免受黑客和病毒的入侵，已成为信息事业健康发展所要考虑的重要事情之一。 一般企业网络的应用系统，主要有WEB、E-mail、OA、MIS、财务系统、人事系统等。而且随着企业的发展，网络体系结构也会变得越来越复杂，应用系统也会越来越多。但从整个网络系统的管理上来看，通常包括内部用户，也有外部用户，以及内外网之间。因此，一般整个企业的网络系统存在三个方面的安全问题： （1）Internet的安全性：随着互联网的发展，网络安全事件层出不穷。近年来，计算机病毒传播、蠕虫攻击、垃圾邮件泛滥、敏感信息泄露等已成为影响最为广泛的安全威胁。对于企业级用户，每当遭遇这些威胁时，往往会造成数据破坏、系统异常、网络瘫痪、信息失窃，工作效率下降，直接或间接的经济损失也很大。 （2）企业内网的安全性：最新调查显示，在受调查的企业中60%以上的员

网络安全协议课程设计-IPsec隧道协议的安全分析与改进

《网络安全协议》 课程设计 题目IPsec隧道协议的安全分析与改进班级 学号 姓名 指导老师 2015年 7 月 4 日

目录 一、概述 (2) 1.1课程设计的目的 (2) 1.2课程设计的内容 (2) 1.3课程设计的要求 (3) 二、问题分析 (3) 2.1系统需求 (3) 2.2 GRE协议分析 (3) 2.3 IPsec协议分析 (4) 三、协议漏洞 (5) 3.1协议漏洞解决措施 (5) 3.2协议漏洞解决详解 (5) 四、协议完善具体实现 (6) 4.1实现分析 (6) 4.2 GRE实现流程分析 (8) 4.3简单设备设置 (10) 五、案安全性分析 (11) 六、程设计心得、总结 (11) 七、参考文献 (12)

一、概述 网络如若想实现交流传输，必须以网络协议为载体进行。而网络协议（Network Protcol）是控制计算机在网络介质上进行信息交换的规则和约定。网络协议通常会被按OSI参考模型的层次进行划分。OSI参考模型是国际标准化组织制定的网络体系结构参考模型，提供各种网络互联的标准，共分七层：物理层、数据链路层、网络层、传输层、会话层、表示层和应用层，会话层、表示层和应用层往往被合并称为高层。当前的计算机网络的体系结构是以TCP/IP协议为主的Internet结构。伴随着网络的诞生近几年频繁出现的安全事故引起了各国计算机安全界的高度重视，计算机网络安全技术也因此出现了日新月异的变化。安全核心系统、VPN安全隧道、身份认证、网络底层数据加密和网络入侵主动监测等越来越高深复杂的安全技术极大地从不同层次加强了计算机网络的整体安全性。网络安全的实现首先需要网络协议的安全，但是网络协议都是人为写的，存在先天的不足与缺陷，以至于只能慢慢实践发现并给与补充。这里先谈一下VPN中的GRE协议。GRE（Generic Routing Encapsulation，通用路由封装）协议是由Cisco和Net-smiths等公司于1994年提交给IETF（Internet Engineering Task Force，网络工程工作小组）的，标号为RFC1701和RFC1702。GRE协议规定了如何用一种网络协议去封装另一种网络协议的方法，是一种最简单的隧道封装技术，它提供了将一种协议的报文在另一种协议组成的网络中传输的能力。GRE协议就是一种应用非常广泛的第三层VPN隧道协议。GRE隧道使用GRE协议封装原始数据报文，基于公共IP网络实现数据的透明传输。GRE隧道不能配置二层信息，但可以配置IP地址。本文从GRE协议的工作原理入手，从安全性角度出发，详细分析了GRE隧道协议的不足与缺陷，最后提出了相关的安全防护方案。 1.1课程设计的目的 详细分析IPsec隧道协议不支持对多播和广播的加密的不足，并针对其漏洞设计实施完善可行的策略。 1.2课程设计的内容 将GRE与IPsec结合使用，弥补IPsec不能保护组播数据的缺陷。因为GRE可以封装组播数据并在GRE隧道中传输，所以对于诸如路由协议、语音、视频等组播

网络安全建设方案

网络安全建设方案 2016年7月

1. 前言 (3) 1.1. 方案涉及范围 (3) 1.2. 方案参考标准 (3) 1.3. 方案设计原则 (4) 2. 安全需求分析 (5) 2.1. 符合等级保护的安全需求 (6) 2.1.1. 等级保护框架设计 (6) 2.1.2. 相应等级的安全技术要求 (6) 2.2. 自身安全防护的安全需求 (7) 2.2.1. 物理层安全需求 (7) 2.2.2. 网络层安全需求 (7) 2.2.3. 系统层安全需求 (9) 2.2.4. 应用层安全需求 (9) 3. 网络安全建设内容 (10) 3.1. 边界隔离措施 (11) 3.1.1. 下一代防火墙 (11) 3.1.2. 入侵防御系统 (13) 3.1.3. 流量控制系统 (14) 3.1.4. 流量清洗系统 (15) 3.2. 应用安全措施 (16) 3.2.1. WEB应用防火墙 (16) 3.2.2. 上网行为管理系统 (16) 3.2.3. 内网安全准入控制系统 (17) 3.3. 安全运维措施 (18) 3.3.1. 堡垒机 (18) 3.3.2. 漏洞扫描系统 (19) 3.3.3. 网站监控预警平台 (19) 3.3.4. 网络防病毒系统 (21) 3.3.5. 网络审计系统 (22)

1.前言 1.1. 方案涉及范围 方案设计中的防护重点是学校中心机房的服务器区域，这些服务器承载了学校内部的所有业务系统，因此是需要重点防护的信息资产。 学校目前采取了数据大集中的模式，将所有的业务数据集中在中心机房，数据大集中模式将导致数据中心的安全风险也很集中，因此必须对中心机房服务器区域进行重点防护。 方案中还要对综合网管区域、数据存储区域、办公区域进行规划和设计，纳入到整体的安全防护体系内。 1.2. 方案参考标准 本方案的主要规划的重点内容是网络安全防护体系，规划的防护对象以学校数据中心为主，规划的参考标准是等级保护，该方案的设计要点就是定级和保障技术的规划，针对教育部和省教育厅对等级保护的相关要求，本方案将主要参考以下的标准进行规划： 方案的建设思想方面，将严格按照湘教发【2011】33号文件关于印发《湖南省教育信息系统安全等级保护工作实施方案》的通知，该文件对计算机信息系统的等级化保护提出了建设要求，是我省今后一段时期内信息安全保障工作的纲领性文件，文件中对我省教育行业信息安全保障工作指出了总体思路。 系统定级方面：参考《信息系统安全等级保护定级指南》，该指南适用于党政机关网络于信息系统，其中涉及国家秘密的网络与信息系统，按照国家有关保密规定执行，其他网络与信息系统定级工作参考本指南进行，本指南对定级工作的原则、职责分工、工作程序、定级要素和方法进行了描述，并对网络与信息系统提出了最低安全等级要求，高等职业学校应不低于最低安全等级要求。在本项目中我们建议学校数据中心可按照二级的建设目标进行规划。 本方案参考的指南和标准具体见下表：

公司网络安全方案设计书

网络安全方案设计书 公司网络安全隐患与需求分析 1.1 网络现状公司计算机通过内部网相互连接与外网互联，在内部网络中，各服务部门计算机在同一网段，通过交换机连接。如下图所示： 1.2 安全隐患分析 1.2.1 应用系统的安全隐患应用系统的安全跟具体的应用有关，它涉及面广。应用系统的安全是动态的、不断变化的。应用的安全性也涉及到信息的安全性，它包括很多方面。应用的安全性也是动态的。需要对不同的应用，检测安全漏洞，采取相应的安全措施，降低应用的安全风险。主要有文件服务器的安全风险、数据库服务器的安全风险、病毒侵害的安全风险、数据信息的安全风险等。 1.2.2 管理的安全隐患管理方面的安全隐患包括：内部管理人员或员工图方便省事，不设置用户口令，或者设置的口令过短和过于简单，导致很容易破解。责任不清，使用相同的用户名、口令，导致权限管理混乱，信息泄密。用户权限设置过大、开放不必要的服务端口，或者一般用户因为疏忽，丢失帐号和口令，从而造成非授权访问，以及把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。可能造成极大的安全风险。 1.2.3 操作系统的安全漏洞计算机操作系统尤其服务器系统是被攻击的重点，如果操作系统因本身遭到攻击，则不仅影响机器本身而且会消耗大量的网络资源，致使整个网络陷入瘫痪。 1.2.4 病毒侵害 一旦有主机受病毒感染，病毒程序就完全可能在极短的时间内迅速扩散，传播到网络上的其他主机，可能造成信息泄漏、文件丢失、机器不能正常运行等。

2.1 需求分析 公司根据业务发展需求，建设一个小型的企业网，有Web、Mail 等服务器和办公区客 户机。企业分为财务部门和综合部门，需要他们之间相互隔离。同时由于考虑到Internet 的安全性，以及网络安全等一些因素。因此本企业的网络安全构架要求如下： 1. 根据公司现有的网络设备组网规划； 2. 保护网络系统的可用性； 3. 保护网络系统服务的连续性； 4. 防范网络资源的非法访问及非授权访问； 5. 防范入侵者的恶意攻击与破坏； 6. 保护企业信息通过网上传输过程中的机密性、完整性； 7. 防范病毒的侵害； 8. 实现网络的安全管理。 通过了解公司的需求与现状，为实现网络公司的网络安全建设实施网络系统改造，提高企业网络系统运行的稳定性，保证企业各种设计信息的安全性，避免图纸、文档的丢失和外泄。通过软件或安全手段对客户端的计算机加以保护，记录用户对客户端计算机中关键目录和文件的操作，使企业有手段对用户在客户端计算机的使用情况进行追踪，防范外来计算机的侵入而造成破坏。通过网络的改造，使管理者更加便于对网络中的服务器、客户端、登陆用户的权限以及应用软件的安装进行全面的监控和管理。因此需要 （1）构建良好的环境确保企业物理设备的安全 （2）划分VLAN 控制内网安全 （3）安装防火墙体系 （4）安装防病毒服务器 （5）加强企业对网络资源的管理 如前所述，公司信息系统存在较大的风险，网络信息安全的需求主要体现在如下几点： （1）公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。 （2）网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。 （3）信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要制定健全的管理制度和严格管理相结合。保障网络的安全运行，使其成为一个具有良好的安全性、可扩充性和易管理性的信息网络便成为了首要任务。 （4）信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是公司面临的重要课题。

网络安全课程设计报告书

网络安全课程设计 --------------------企业网络搭建 组长： 成员： 成员：

项目规划目录 1.企业网络现状及设计目标（需求分析） 1.1概述 1.2实际网络的特点及目前企业网络优缺点分析 1.3设计目标 2. 要解决的几个关键问题 2.1研究设计中要解决的问题 2.2针对现在网络中出现的网络安全问题，本课题所作的改善设计 3. 系统设计关键技术 3.1.目标具体实现中采用的关键技术及分析 3.2设计实现的策略和途径描述 3.3 设计模型及系统结构（新的拓扑图） 4. 系统实现技术 概述 4.1物理设备安全 4.2 VPN技术 4.3 访问控制列表与QOS技术 4.4服务器的安全

1.1概述 中国国内目前的企业需要的网络安全产品不仅仅是简单的安装，更重要的是要有针对复杂网络应用的一体化解决方案，如：网络安全、病毒检测、网站过滤等等。其着眼点在于：国内外领先的厂商产品；具备处理突发事件的能力；能够实时监控并易于管理；提供安全策略配置定制；是用户能够很容易地完善自身安全体系。 然而，有网络的地方就有安全的问题。过去的网络大多是封闭式的，因而比较容易确保其安全性，简单的安全性设备就足以承担其任务。然而，当今的网络已经发生了变化，确保网络的安全性和可用性已经成为更加复杂而且必需的任务。用户每一次连接到网络上，原有的安全状况就会发生变化。所以，很多企业频繁地成为网络犯罪的牺牲品。因为当今网络业务的复杂性，依靠早期的简单安全设备已经对这些安全问题无能为力了。 网络攻击在迅速地增多 网络攻击通常利用网络某些内在特点，进行非授权的访问、窃取密码、拒绝服务等等。 考虑到业务的损失和生产效率的下降，以及排除故障和修复损坏设备所导致的额外

网络安全加固 解决方案

网络系统安全加固方案北京*****有限公司 2018年3月

目录 1.1项目背景 ..................................... 1.2项目目标 ..................................... 1.3参考标准 ..................................... 1.4方案设计原则 ................................. 1.5网络系统现状 ................................. 2网络系统升级改造方案............................... 2.1网络系统建设要求 ............................. 2.2网络系统升级改造方案 ......................... 2.3网络设备部署及用途 ........................... 2.4核心交换及安全设备UPS电源保证 ............... 2.5网络系统升级改造方案总结 ..................... 3网络系统安全加固技术方案........................... 3.1网络系统安全加固建设要求 ..................... 3.2网络系统安全加固技术方案 ..................... 3.3安全设备部署及用途 ........................... 3.4安全加固方案总结 ............................. 4产品清单...........................................

信息系统网络安全设计方案

内外网安全等级保护建设项目初步设计方案 编制单位：

编制时间：二〇一五年三月

目录 1.信息安全概述 (77) 什么是信息安全？ (77) 为什么需要信息安全 (77) 1.1 安全理念 (88) 1.1.1系统生命周期与安全生命周期 (88) 1.1.2 ..........................3S安全体系－以客户价值为中心88 1.1.3关注资产的安全风险 (99) 1.1.4安全统一管理 (1010) 1.1.5安全 = 管理 + 技术 (1010) 1.2 计算机系统安全问题 (1010) 1.2.1 从计算机系统的发展看安全问题 (1111) 1.2.2 从计算机系统的特点看安全问题 (1111) 2.物理安全 (1212) 2.1 设备的安全 (1212) 3.访问控制 (1515) 3.1访问控制的业务需求 (1616) 3.2用户访问的管理 (1616) 3.3用户责任 (1818) 3.4网络访问控制 (2020) 3.5操作系统的访问控制 (2323) 3.6应用系统的访问控制 (2727) 3.7系统访问和使用的监控 (2727)

3.8移动操作及远程办公 (3030) 4.网络与通信安全 (3131) 4.1网络中面临的威胁 (3232) 5.系统安全设计方案............ 错误!未定义书签。错误!未定义书签。 5.1系统安全设计原则........... 错误!未定义书签。错误!未定义书签。 5.2建设目标................... 错误!未定义书签。错误!未定义书签。 5.3总体方案................... 错误!未定义书签。错误!未定义书签。 5.4总体设计思想............... 错误!未定义书签。错误!未定义书签。 5.4.1内网设计原则..... 错误!未定义书签。错误!未定义书签。 5.4.2有步骤、分阶段实现安全建设错误!未定义书签。错误!未定义书签。 5.4.3完整的安全生命周期错误!未定义书签。错误!未定义书签。 5.5网络区域划分与安全隐患.. 错误!未定义书签。错误!未定义书签。 6.0网络安全部署............... 错误!未定义书签。错误!未定义书签。 保护目标.............. 错误!未定义书签。错误!未定义书签。 威胁来源.............. 错误!未定义书签。错误!未定义书签。 安全策略.............. 错误!未定义书签。错误!未定义书签。 6.1防火墙系统................. 错误!未定义书签。错误!未定义书签。 6.1.1防火墙系统的设计思想错误!未定义书签。错误!未定义书签。 6.1.2 防火墙的目的.... 错误!未定义书签。错误!未定义书签。 6.1.3 防火墙的控制能力错误!未定义书签。错误!未定义书签。 6.1.4 防火墙特征...... 错误!未定义书签。错误!未定义书签。 6.1.5 第四代防火墙的抗攻击能力错误!未定义书签。错误!未定义书签。 6.1.6 防火墙产品的选型与推荐错误!未定义书签。错误!未定义书签。

网络安全设计方案.doc

目录 1、网络安全问题 (3) 2、设计的安全性 (3) 可用性 (3) 机密性 (3) 完整性 (3) 可控性 (3) 可审查性 (3) 访问控制 (3) 数据加密 (3) 安全审计 (3) 3、安全设计方案 (5) 设备选型 (5) 网络安全 (7) 访问控制 (9) 入侵检测 (10) 4、总结 (11) 1、网络安全问题 随着互联网的飞速发展，网络安全逐渐成为一个潜在的巨大问题。网络安全性是一个涉及面很广泛的问题，其中也会涉及到是否构成犯罪行为的问题。在其最简单的形式中，它主要关心的是确保无关人员不能读取，更不能修改传送给其他接收者的信息。此时，它关心的对象是那些无权使用，但却试图获得远程服务的人。安全性也处理合法消息被截获和重播的问题，以及发送者是否曾发送过该条消息的问题。 大多数安全性问题的出现都是由于有恶意的人试图获得某种好处或损害某些人而故意引起的。可以看出保证网络安全不仅仅是使它没有编程错误。它包括要防范那些聪明的，通常也是狡猾的、专业的，并且在时间和金钱上是很充足、富有的人。同时，必须清楚地认识到，能够制止偶然实施破坏行为的敌人的方法对那些惯于作案的老手来说，收效甚微。 网络安全性可以被粗略地分为4个相互交织的部分：保密、鉴别、反拒认以及完整性控制。保密是保护信息不被未授权者访问，这是人们提到的网络安全性时最常想到的内容。鉴别主要指在揭示敏感信息或进行事务处理之前先确认对方的身份。反拒认主要与签名有关。保密和完整性通过使用注册过的邮件和文件锁来

2、设计的安全性 通过对网络系统的风险分析及需要解决的安全问题，我们需要制定合理的安全策略及安全方案来确保网络系统的机密性、完整性、可用性、可控性与可审查性。即， 可用性：授权实体有权访问数据 机密性：信息不暴露给未授权实体或进程 完整性：保证数据不被未授权修改 可控性：控制授权范围内的信息流向及操作方式 可审查性：对出现的安全问题提供依据与手段 访问控制：需要由防火墙将内部网络与外部不可信任的网络隔离，对与外部网络交换数据的内部网络及其主机、所交换的数据进行严格的访问控制。同样，对内部网络，由于不同的应用业务以及不同的安全级别，也需要使用防火墙将不同的LAN或网段进行隔离，并实现相互的访问控制。 数据加密：数据加密是在数据传输、存储过程中防止非法窃取、篡改信息的有效手段。 安全审计：是识别与防止网络攻击行为、追查网络泄密行为的重要措施之一。具体包括两方面的内容，一是采用网络监控与入侵防范系统，识别网络各种违规操作与攻击行为，即时响应（如报警）并进行阻断；二是对信息内容的审计，可以防止内部机密或敏感信息的非法泄漏 针对企业现阶段网络系统的网络结构和业务流程，结合企业今后进行的网络化应用范围的拓展考虑，企业网主要的安全威胁和安全漏洞包括以下几方面：（1）内部窃密和破坏 由于企业网络上同时接入了其它部门的网络系统，因此容易出现其它部门不怀好意的人员(或外部非法人员利用其它部门的计算机)通过网络进入内部网络，并进一步窃取和破坏其中的重要信息(如领导的网络帐号和口令、重要文件等)，因此这种风险是必须采取措施进行防范的。 （2）搭线(网络)窃听 这种威胁是网络最容易发生的。攻击者可以采用如Sniffer等网络协议分析工具，在INTERNET网络安全的薄弱处进入INTERNET，并非常容易地在信息传输过程中获取所有信息(尤其是敏感信息)的内容。对企业网络系统来讲，由于存在跨越INTERNET的内部通信(与上级、下级)这种威胁等级是相当高的，因此也是本方案考虑的重点。 （3）假冒 这种威胁既可能来自企业网内部用户，也可能来自INTERNET内的其它用户。如系统内部攻击者伪装成系统内部的其他正确用户。攻击者可能通过冒充合法系统用户，诱骗其他用户或系统管理员，从而获得用户名/口令等敏感信息，进一步窃取用户网络内的重要信息。或者内部用户通过假冒的方式获取其不能阅读的秘密信息。 （4）完整性破坏 这种威胁主要指信息在传输过程中或者存储期间被篡改或修改，使得信息/

网络安全技术课程设计报告

信息工程系 课程设计报告书 2015-2016学年第2学期 系部：信息工程系 专业：计算机网络专业 班级：14计算机网络1班 课程名称：网络安全技术 姓名学号： 起迄日期: 6月10日-6月24日 课程设计地点:实验楼C211 指导教师:庄晓华 下达任务书日期: 2015 年06月16日

一、内容要求 独立设计一个小型网络的安全方案，采用的安全技术可以包括以下几种：加密技术、认证技术、VPN技术、防火墙技术、防病毒系统等局域网核心服务功能。其中必须用Packet Tracer实现的功能为防火墙技术的配置与管理或网络安全隔离。 二、评分标准 （一）网络安全方案评分标准（40分） 网络安全方案及测试报告（40分） 1、网络安全方案2000字（30分） 1）相关概念定义准确。（10分） 2）安全方案叙述完整清晰。（10分） 3）设计合理，符合实际应用需求。（10分） 2、测试报告（10分） 确定测试结果是否符合设计要求，完成测试总结报告。 （二）网络设备系统配置评分标准（60 分） 1、系统设计（10分） 1、在Packet Tracer中实现，要求：网络设备选型合理，（5分） 2、网络设备连接，要求：正确使用连接介质（5分）。 2、网络设备配置（40分） 1、PC机、服务器配置，要求：能作必要TCP/IP属性设置（10分） 2、网络设备接口配置，要求：正确配置端口，实现网络连通。（10分） 3、网络安全配置，要求：实现设定的网络安全防护（20分） 3、安全防护测试（10分） 使用正确测试方法，步骤完整.(10分) 三、设计要求： 1、所有PC机的默认网关地址中第四个数为学生学号，如“a.b.c.学号” （注意：PC机的地址不能与此默认网关地址冲突）。 2、所有网络设备、PC机的名称以学生姓名开头，如“azgSW1”。 四、设计成果形式及要求： 1、提交网络安全方案（.doc文档），文件命名格式：学号姓名.doc, 如01安志国.doc。 2、提交Packet Tracer文档（.pkt文档），文件命名格式：学号姓名.pkt, 如01安志国.pkt。

网络安全设计方案一

网络安全设计方案 2009-03-27 23:02:39 标签： IDC网络系统安全实施方案 1 吉通上海 IDC网络安全功能需求 1.1 吉通上海公司对于网络安全和系统可靠性的总体设想 （1）网络要求有充分的安全措施，以保障网络服务的可用性和网络信息的完整性。要把网络安全层，信息服务器安全层，数据库安全层，信息传输安全层作为一个系统工程来考虑。 网络系统可靠性：为减少单点失效，要分析交换机和路由器应采用负荷或流量分担方式，对服务器、计费服务器和DB服务器，WWW服务器，分别采用的策略。说明对服务器硬件、操作系统及应用软件的安全运行保障、故障自动检测/报警/排除的措施。 对业务系统可靠性，要求满足实现对硬件的冗余设计和对软件可靠性的分析。网络安全应包含：数据安全； 预防病毒； 网络安全层； 操作系统安全； 安全系统等； （2）要求卖方提出完善的系统安全政策及其实施方案，其中至少覆盖以下几个方面： l 对路由器、服务器等的配置要求充分考虑安全因素 l 制定妥善的安全管理政策，例如口令管理、用户帐号管理等。l 在系统中安装、设置安全工具。要求卖方详细列出所提供的安全工具清单及说明。 l 制定对黑客入侵的防范策略。 l 对不同的业务设立不同的安全级别。 （3）卖方可提出自己建议的网络安全方案。 1.2 整体需求 l 安全解决方案应具有防火墙,入侵检测,安全扫描三项基本功能。 l 针对IDC网络管理部分和IDC服务部分应提出不同的安全级别解决方案。 l 所有的IDC安全产品要求厂家稳定的服务保障和技术支持队伍。服务包括产品的定时升级，培训，入侵检测,安全扫描系统报告分析以及对安全事故的快速响应。 l 安全产品应能与集成商方案的网管产品，路由，交换等网络设备功能兼容并有效整合。 l 所有的安全产品应具有公安部的销售许可和国家信息化办公室的安全认证。

校园网网络安全设计方案

[摘要] 计算机网络安全建设是涉及我国经济发展、社会发展和国家安全的重大问题。本文结合网络安全建设的全面信息，在对网络系统详细的需求分析基础上，依照计算机网络安全设计目标和计算机网络安全系统的总体规划，设计了一个完整的、立体的、多层次的网络安全防御体系。 [关键词] 网络安全方案设计实现 一、计算机网络安全方案设计与实现概述 影响网络安全的因素很多，保护网络安全的技术、手段也很多。一般来说，保护网络安全的主要技术有防火墙技术、入侵检测技术、安全评估技术、防病毒技术、加密技术、身份认证技术，等等。为了保护网络系统的安全，必须结合网络的具体需求，将多种安全措施进行整合，建立一个完整的、立体的、多层次的网络安全防御体系，这样一个全面的网络安全解决方案，可以防止安全风险的各个方面的问题。 二、计算机网络安全方案设计并实现 1.桌面安全系统 用户的重要信息都是以文件的形式存储在磁盘上，使用户可以方便地存取、修改、分发。这样可以提高办公的效率，但同时也造成用户的信息易受到攻击，造成泄密。特别是对于移动办公的情况更是如此。因此，需要对移动用户的文件及文件夹进行本地安全管理，防止文件泄密等安全隐患。 本设计方案采用清华紫光公司出品的紫光S锁产品，“紫光S锁”是清华紫光“桌面计算机信息安全保护系统”的商品名称。紫光S锁的内部集成了包括中央处理器（CPU）、加密运算协处理器（CAU）、只读存储器（ROM），随机存储器（RAM）、电可擦除可编程只读存储器（E2PROM）等，以及固化在ROM内部的芯片操作系统COS（Chip Operating Sys tem）、硬件ID号、各种密钥和加密算法等。紫光S锁采用了通过中国人民银行认证的Sm artCOS，其安全模块可防止非法数据的侵入和数据的篡改，防止非法软件对S锁进行操作。 2.病毒防护系统 基于单位目前网络的现状，在网络中添加一台服务器，用于安装IMSS。

小型企业网络安全方案设计

小型企业网络安全管理

目录 第一章计算机网络安全概述 (3) 1.1计算机网络的概念 (3) 1.2计算机网络安全的概念 (3) 1.3计算机网络安全的特征 (3) 第二章方案设计原则 (3) 2.1先进性与成熟性 (3) 2.2 实用性与经济性 (3) 2.3扩展性与兼容性 (4) 2.4标准化与开放性 (4) 2.5安全性与可维护性 (4) 2.6 整合型好 (4) 第三章企业网络信息安全需求分析 (4) 3.1 企业信息网络安全需求 (5) 3.2 企业信息网络安全内容 (5) 3.3网络拓扑图 (6) 第四章企业信息网络安全架构 (6) 4.1企业信息网络安全系统设计 (6) 4.2 企业信息网络安全系统组建 (6) 第五章企业信息网络安全工程的部署 (6) 5.1 工程环节 (7) 5.1.1安全的互联网接入 (7) 5.1.2防火墙访问控制 (7) 5.1.3用户认证系统 (7) 5.1.4入侵检测系统 (7) 5.1.5网络防病毒系统 (7) 5.1.6 VPN加密系统 (8) 5.1.7网络设备及服务器加固 (8) 5.1.8办公电脑安全管理系统 (8) 5.1.9数据备份系统 (8) 5.2 持续性计划 (8)

第一章计算机网络安全概述 1.1计算机网络的概念 是由计算机为主的资源子网和通信设备及传输介质为主的通信子网两部分组成。因此，计算机网络的安全就是指这两部分的安全。 1.2计算机网络安全的概念 是指通过采用各种安全技术和管理上的安全措施，确保网络数据的可用性完整性和保密性，其目的是确保经过网络传输和交换的数据不会被增加、修改、丢失和泄露等。 1.3计算机网络安全的特征 网络安全的基本定义是：确保网络服务的可用性和网络信息的完整性。 （1）保密性 （2）完整性：数据具有未经授权不能改变的特性。 （3）可用性：通常是指网络中主机存放的静态信息具有可用性和可操作的特性。 （4）实用性：即保证信息具有实用的特性； （5）真实性：是指信息的可信度； （6）占有性：是指存储信息的主机、磁盘和信息载体等不被盗用，并具有该信息的占有权。即保证不丧失对信息的所有权和控制权。 第二章方案设计原则 2.1先进性与成熟性 采用当今国内、国际上先进和成熟的计算机应用技术，使搭建的硬件平台能够最大限度的适应今后的办公自动化技术和系统维护的需要。从现阶段的发展来看，系统的总体设计的先进性原则主要体现在使用Thin-Client/Server计算机体系是先进的、开放的体系结构，当系统应用量发生变化时具备良好的可伸缩性，避免瓶颈的出现。 2.2 实用性与经济性 实用性就是能够最大限度地满足实际工作的要求，是每个系统平台在搭建过程中必须考虑的一种系统性能，它是对用户最基本的承诺。办公自动化硬件平台是为实际使用而建立，

网络安全课程设计

上海应用技术学院课程设计任务书 2014年 7 月1 日 2014年 7 月 1 日

1. 课程设计目的和要求 1.1 目的 本课程设计是计算机科学与技术专业、网络工程专业重要的实践性环节之一，是在学生学习完《密码学与网络安全技术》课程后进行的一次全面的综合练习。通过课程设计，使学生熟练掌握计算机网络安全知识的基本概念和原理，熟悉了解网络安全的基本技术和攻防方法，培养学生将专业理论知识和工程技术应用有机结合的高级应用能力，使学生具备从事网络管理维护和信息安全管理方向的职业的基本素质和技能，提高设计文档的撰写能力。 1.2要求 (1) 分析课程设计题目的要求； (2) 要求在设计的过程中，完成清晰的功能设计； (3) 要求系统架构合理，模块划分清晰； (4) 对于程序设计课题，应编写程序代码，调试程序使其能正确运行；对于操作应用课 题，应有清楚明确的执行步骤和过程； (5) 设计完成后提交课程设计报告（按学校要求装订）、报告的电子文档和程序源代码 文件。 2、课程设计任务内容 设计主要内容如下 (1)根据任务要求，选择了T1、T2、T3、T4、T5和T6题目。其中T1要求完成。。。。。； T2要求完成。。。。。；T3要求完成。。。。。；T4要求完成。。。。。；T5要求完成。。。。。；T6 要求完成。。。。。 (2)最终提供的主操作界面应该为便于操作和使用，文档结构清晰简洁，内容完整准确。 (3)最后提交的课程设计成果包括： a)课程设计报告打印稿； b)课程设计报告电子稿； c)源程序文件； d)可执行文件。 3、详细设计 3.1 敏感信息搜集

(1)课题内容： 分析监控安全协议数据，解析IPSec报文格式及内容 …………………………………………….(略，详情见电子文档) (2)具体实现或操作流程 在人人网上搜陈洛洛，男，上海，年龄16~22岁，天蝎座 第一个名字相符合 查看相册

网络安全设计的解决方案.doc

1.1 某市政府网络系统现状分析 《某市电子政务工程总体规划方案》主要建设内容为：一个专网(政务通信专网)，一个平台(电子政务基础平台)，一个中心(安全监控和备份中心)，七大数据库(经济信息数据库、法人单位基础信息数据库、自然资源和空间地理信息数据库、人口基础信息库、社会信用数据库、海洋经济信息数据库、政务动态信息数据库)，十二大系统(政府办公业务资源系统、经济管理信息系统、政务决策服务信息系统、社会信用信息系统、城市通卡信息系统、多媒体增值服务信息系统、综合地理信息系统、海洋经济信息系统、金农信息系统、金水信息系统、金盾信息系统、社会保障信息系统)。主要包括： 政务通信专网 电子政务基础平台 安全监控和备份中心 政府办公业务资源系统 政务决策服务信息系统 综合地理信息系统 多媒体增值服务信息系统

某市政府中心网络安全方案设计 1.2 安全系统建设目标 本技术方案旨在为某市政府网络提供全面的网络系统安全解决方案，包括安全管理制度策略的制定、安全策略的实施体系结构的设计、安全产品的选择和部署实施，以及长期的合作和技术支持服务。系统建设目标是在不影响当前业务的前提下，实现对网络的全面安全管理。 1) 将安全策略、硬件及软件等方法结合起来，构成一个统一的防御系统，有效阻止非法用户进入网络，减少网络的安全风险； 2) 通过部署不同类型的安全产品，实现对不同层次、不同类别网络安全问题的防护； 3) 使网络管理者能够很快重新组织被破坏了的文件或应用。使系统重新恢复到破坏前的状态。最大限度地减少损失。 具体来说，本安全方案能够实现全面网络访问控制，并能够对重要控制点进行细粒度的访问控制； 其次，对于通过对网络的流量进行实时监控，对重要服务器的运行状况进行全面监控。 1.2.1 防火墙系统设计方案 1.2.1.1 防火墙对服务器的安全保护 网络中应用的服务器，信息量大、处理能力强，往往是攻击的主要对象。另外，服务器提供的各种服务本身有可能成为"黑客"攻击的突破口，因此，在实施方案时要对服务器的安全进行一系列安全保护。 如果服务器没有加任何安全防护措施而直接放在公网上提供对外服务，就会面临着"黑客"各种方式的攻击，安全级别很低。因此当安装防火墙后，所有访问服务器的请求都要经过防火墙安全规则的详细检测。只有访问服务器的请求符合防火墙安全规则后，才能通过防火墙到达内部服务器。防火墙本身抵御了绝大部分对服务器的攻击，外界只能接触到防火墙上的特定服务，从而防止了绝大部分外界攻击。 1.2.1.2 防火墙对内部非法用户的防范 网络内部的环境比较复杂，而且各子网的分布地域广阔，网络用户、设备接入的可控性比较差，因此，内部网络用户的可靠性并不能得到完全的保证。特别是对于存放敏感数据的主机的攻击往往发自内部用户，如何对内部用户进行访问控制和安全防范就显得特别重要。为了保障内部网络运行的可靠性和安全性，我们必须要对它进行详尽的分析，尽可能防护到网络的每一节点。 对于一般的网络应用，内部用户可以直接接触到网络内部几乎所有的服务，网络服务器对于内部用户缺乏基本的安全防范，特别是在内部网络上，大部分的主机没有进行基本的安

XX公司网络安全设计方案

XX公司网络信息系统的安全方案设计书 XX公司网络安全隐患与需求分析 1.1网络现状 公司现有计算机500余台，通过内部网相互连接与外网互联。在内部网络中，各服务部门计算机在同一网段，通过交换机连接。如下图所示： 1.2安全隐患分析 1.2.1应用系统的安全隐患 应用系统的安全跟具体的应用有关，它涉及面广。应用系统的安全是动态的、不断变化的。应用的安全性也涉及到信息的安全性，它包括很多方面。应用的安全性也是动态的。需要对不同的应用，检测安全漏洞，采取相应的安全措施，降低应用的安全风险。主要有文件服务器的安全风险、数据库服务器的安全风险、病毒侵害的安全风险、数据信息的安全风险等 1.2.2管理的安全隐患 管理方面的安全隐患包括：内部管理人员或员工图方便省事，不设置用户口令，

或者设置的口令过短和过于简单，导致很容易破解。责任不清，使用相同的用户名、口令，导致权限管理混乱，信息泄密。用户权限设置过大﹑开放不必要的服务端口，或者一般用户因为疏忽，丢失帐号和口令，从而造成非授权访问，以及把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。内部不满的员工有的可能造成极大的安全风险。 1.2.3操作系统的安全漏洞 计算机操作系统尤其服务器系统是被攻击的重点，如果操作系统因本身遭到攻击，则不仅影响机器本身而且会消耗大量的网络资源，致使整个网络陷入瘫痪。 1.2.4病毒侵害 网络是病毒传播最好、最快的途径之一。一旦有主机受病毒感染，病毒程序就完全可能在极短的时间内迅速扩散，传播到网络上的所有主机，可能造成信息泄漏、文件丢失、机器不能正常运行等。 2.1需求分析 XX公司根据业务发展需求，建设一个小型的企业网，有Web、Mail等服务器和办公区客户机。企业分为财务部门和业务部门，需要他们之间相互隔离。同时由于考虑到Internet的安全性，以及网络安全等一些因素。因此本企业的网络安全构架要求如下： 1.根据公司现有的网络设备组网规划； 2.保护网络系统的可用性； 3.保护网络系统服务的连续性； 4.防范网络资源的非法访问及非授权访问； 5.防范入侵者的恶意攻击与破坏； 6.保护企业信息通过网上传输过程中的机密性、完整性； 7.防范病毒的侵害；8.实现网络的安全管理。 通过了解XX公司的虚求与现状，为实现XX网络公司的网络安全建设实施网络系统改造，提高企业网络系统运行的稳定性，保证企业各种设计信息的安全性，避免图纸、文档的丢失和外泄。通过软件或安全手段对客户端的计算机加以保护，记录用户对客户端计算机中关键目录和文件的操作，使企业有手段对用户在客户端计算机的使用情况进行追踪，防范外来计算机的侵入而造成破坏。通过网络的改造，使管理者更加便于对网络中的服务器、客户端、登陆用户的权限以及应用软件的安装进行全面的监控和管理。因此需要 （1）构建良好的环境确保企业物理设备的安全 （2）划分VLAN控制内网安全