局域網(wǎng)安全體系結(jié)構(gòu)的研究與設(shè)計(jì)

引 言

隨著計(jì)算機(jī)技術(shù)和信息技術(shù)的進(jìn)步和發(fā)展，特別是近年來(lái)移動(dòng)互聯(lián)網(wǎng)的迅猛發(fā)展，越來(lái)越多的單位、企業(yè)和家庭都建立了屬于自己的局域網(wǎng)。局域網(wǎng)為用戶內(nèi)部信息資源共享提供了方便，在人們的工作和生活中發(fā)揮著不可替代的作用。但由于網(wǎng)絡(luò)本身的開(kāi)放性和共享性，在網(wǎng)絡(luò)為大家?guī)?lái)便利的同時(shí)， 網(wǎng)絡(luò)本身存在的不安全因素也給各企業(yè)單位和家庭帶來(lái)了信息泄露的風(fēng)險(xiǎn)，為實(shí)現(xiàn)社會(huì)穩(wěn)定，保證計(jì)算機(jī)網(wǎng)絡(luò)安全，人們迫切需要解決目前計(jì)算機(jī)局域網(wǎng)應(yīng)用中存在的安全問(wèn)題 [1，2]。

1 局域網(wǎng)中主要的安全問(wèn)題

網(wǎng)絡(luò)安全問(wèn)題主要由網(wǎng)絡(luò)的開(kāi)放性和共享性造成。網(wǎng)絡(luò)安全問(wèn)題的實(shí)質(zhì)是對(duì)網(wǎng)絡(luò)安全缺陷的潛在利用，這些缺陷可能導(dǎo)致網(wǎng)絡(luò)的非法訪問(wèn)、信息泄露、資源耗盡、資源被盜或者被破壞等 ；網(wǎng)絡(luò)安全問(wèn)題產(chǎn)生的根源在于網(wǎng)絡(luò)協(xié)議的不完整性、網(wǎng)絡(luò)操作系統(tǒng)的漏洞缺陷、應(yīng)用程序漏洞、物理設(shè)備損壞及人為因素等。歸納起來(lái)，目前局域網(wǎng)安全問(wèn)題主要來(lái)源于物理設(shè)備的安全威脅、來(lái)自互聯(lián)網(wǎng)的安全威脅、來(lái)自局域網(wǎng)內(nèi)部用戶的安全威脅這三個(gè)方面[3-5]。

1.1 物理設(shè)備的安全威脅

來(lái)自物理設(shè)備的安全威脅主要有如下幾項(xiàng)：

(1) 自然災(zāi)害或非人為故意造成的軟、硬件故障或沖突以及水災(zāi)火災(zāi)等；

(2) 人為操作不當(dāng)（屬意外事件）導(dǎo)致數(shù)據(jù)信息的錯(cuò)誤、丟失或其它一些硬件故障等。

1.2 來(lái)自互聯(lián)網(wǎng)的安全威脅

一般情況下， 局域網(wǎng)都與 Internet進(jìn)行了互聯(lián)。由于Internet的開(kāi)放性、國(guó)際性與自由性，來(lái)自Internet的世界各地的黑客都可以通過(guò)Internet 和一些黑客工具來(lái)探測(cè)和掃描網(wǎng)絡(luò)上存在的各種安全問(wèn)題，如操作系統(tǒng)的類型及其它是否為弱口令、服務(wù)器開(kāi)放的各種易于攻擊的端口號(hào)及服務(wù)器應(yīng)用程序是否存在開(kāi)放權(quán)限或存在弱用戶弱口令等，并采取相應(yīng)的攻擊手段進(jìn)行攻擊。同時(shí)還可以通過(guò)協(xié)議分析軟件等手段監(jiān)聽(tīng)并獲得局域網(wǎng)內(nèi)部用戶的用戶名、口令及一些敏感數(shù)據(jù)等信息， 從而假冒內(nèi)部的合法用戶進(jìn)行非法操作，竊取內(nèi)部網(wǎng)絡(luò)中的重要信息。而這些黑客也能通過(guò)控制大量肉機(jī)向網(wǎng)絡(luò)中的服務(wù)器發(fā)送大量的數(shù)據(jù)包進(jìn)行 DDoS 攻擊，使服務(wù)器不能正常工作而拒絕為正常用戶服務(wù)。

1.3 來(lái)自局域網(wǎng)內(nèi)部用戶的安全威脅

內(nèi)部的網(wǎng)絡(luò)管理人員有時(shí)為了對(duì)外進(jìn)行宣傳，會(huì)不經(jīng)意間把內(nèi)部網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)及系統(tǒng)的一些重要信息（如設(shè)備型號(hào)、操作系統(tǒng)的類型等）放在網(wǎng)站上，這就致使網(wǎng)絡(luò)內(nèi)部信息嚴(yán)重泄露，網(wǎng)絡(luò)上的不法分子可以利用這些包括網(wǎng)絡(luò)拓?fù)?、網(wǎng)絡(luò)設(shè)備信息及應(yīng)用系統(tǒng)信息等內(nèi)部信息，制定有針對(duì)性的入侵策略，從而大大增加被攻破的機(jī)率，給內(nèi)部局域網(wǎng)造成巨大的安全隱患。由于內(nèi)部網(wǎng)絡(luò)的大多數(shù)用戶對(duì)計(jì)算機(jī)的操作及網(wǎng)絡(luò)運(yùn)行不熟悉，不知道哪些軟件是安全的，若下載并使用了帶有病毒或木馬的軟件，那么這些病毒或木馬會(huì)收集并泄漏內(nèi)部用戶的重要信息，尤其是用戶名及密碼等重要信息，或是對(duì)計(jì)算機(jī)操作不當(dāng)，誤刪除了重要數(shù)據(jù)等，這些都將給網(wǎng)絡(luò)造成極大的安全威脅。

2 安全體系結(jié)構(gòu)的設(shè)計(jì)

2.1 局域網(wǎng)安全總體設(shè)計(jì)思路

局域網(wǎng)安全是一項(xiàng)系統(tǒng)工程，需要充分考慮各層次各方面的安全因素。根據(jù)局域網(wǎng)運(yùn)行所涉及到的層次，建立一個(gè)全方位的、可持續(xù)循環(huán)改進(jìn)的局域網(wǎng)安全解決方案。以網(wǎng)絡(luò)安全技術(shù)為主導(dǎo)，輔以法律法規(guī)和規(guī)章制度的安全管理，設(shè)計(jì)一個(gè)包含五個(gè)層次（物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全、數(shù)據(jù)安全）的局域網(wǎng)安全體系結(jié)構(gòu)，如圖 1 所示。

2.1.1 物理安全

在局域網(wǎng)安全系統(tǒng)中，物理安全是最基本的安全。如果物理安全得不到保證，那么其它一切安全措施都變得毫無(wú)意義。如果網(wǎng)絡(luò)設(shè)備遭到破壞或被人非法接觸，將會(huì)給局域網(wǎng)造成毀滅性的破壞，若安裝有數(shù)據(jù)庫(kù)的服務(wù)器被非法人員或是自然災(zāi)害損壞，就可能致使數(shù)據(jù)丟失且不可恢復(fù)，這同樣是毀滅性的破壞。因此，要確保局域網(wǎng)有一個(gè)安全的物理環(huán)境， 就應(yīng)對(duì)接觸到的網(wǎng)絡(luò)設(shè)備及系統(tǒng)人員有一套完善的技術(shù)控制手段和規(guī)章制度約束，并且還要充分考慮自然災(zāi)害可能對(duì)局域網(wǎng)中的網(wǎng)絡(luò)設(shè)備及線路等造成的威脅并加以規(guī)避。

2.1.2 網(wǎng)絡(luò)安全

網(wǎng)絡(luò)安全主要是整個(gè)數(shù)據(jù)傳輸網(wǎng)的安全，包括數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層及傳輸層等的安全。

(1) 數(shù)據(jù)鏈路安全主要是保障通信鏈路不被非法竊聽(tīng)并防止借助鏈路的連接進(jìn)行各種類型的攻擊。

(2) 網(wǎng)絡(luò)層的安全主要包括網(wǎng)絡(luò)訪問(wèn)控制、各種網(wǎng)絡(luò)協(xié)議本身的缺陷和對(duì)這些協(xié)議的攻擊等問(wèn)題。

(3) 傳輸層的安全與鏈路層的安全類型涉及的層次不一樣，但也是關(guān)于數(shù)據(jù)被非法竊聽(tīng)的問(wèn)題。

2.1.3 系統(tǒng)安全

系統(tǒng)安全主要是操作系統(tǒng)本身的安全問(wèn)題，體現(xiàn)在系統(tǒng)是否完整堅(jiān)固，是否存在漏洞，以避免攻擊者通過(guò)系統(tǒng)漏洞實(shí)施入侵，主要涉及到以下兩個(gè)問(wèn)題：

(1) 病毒和木馬對(duì)局域網(wǎng)中系統(tǒng)的威脅。

(2) Internet上的黑客入侵了局域網(wǎng)中的系統(tǒng)后通過(guò)該系統(tǒng)對(duì)其它局域網(wǎng)設(shè)備和系統(tǒng)進(jìn)行入侵和破壞。

2.1.4 應(yīng)用安全

應(yīng)用安全主要是應(yīng)用平臺(tái)和應(yīng)用程序的安全。主要涉及到以下兩方面問(wèn)題：

(1) 應(yīng)用程序?qū)?shù)據(jù)的合法權(quán)限，即應(yīng)用程序?qū)?shù)據(jù)的訪問(wèn)是否合法。

(2) 應(yīng)用程序?qū)τ脩舻暮戏?quán)限，即用戶是否有合法的權(quán)限訪問(wèn)該應(yīng)用程序。

2.1.5 數(shù)據(jù)安全

數(shù)據(jù)安全是這些安全中最重要的一項(xiàng)，所有采取的措施都以數(shù)據(jù)安全為目標(biāo)。保證信息資源的機(jī)密性、完整性、真實(shí)性、不可抵賴性以及可用性是安全防護(hù)的最終目標(biāo)。

2.1.6 安全管理

安全管理包括國(guó)家制訂的法律法規(guī)和單位組織制定的管理和技術(shù)操作規(guī)范，從法律和管理層面對(duì)人的行為進(jìn)行規(guī)范。

2.1.7 網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)

網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)是為局域網(wǎng)設(shè)計(jì)的一個(gè)高安全性網(wǎng)絡(luò)結(jié)構(gòu)， 涉及各種網(wǎng)絡(luò)安全設(shè)備與技術(shù)的有機(jī)結(jié)合、綜合應(yīng)用與部署。

2.2 局域網(wǎng)安全方案設(shè)計(jì)

2.2.1 各層次技術(shù)解決方案設(shè)計(jì)

局域網(wǎng)工作的每個(gè)層次都有相應(yīng)的安全措施，每個(gè)層次在大技術(shù)層面上常用的安全措施如圖 2 所示。

2.2.1.1 物理安全技術(shù)與措施

物理安全最重要的就是選擇地理位置安全的場(chǎng)所建設(shè)網(wǎng)絡(luò)機(jī)房，應(yīng)盡量遠(yuǎn)離生產(chǎn)或儲(chǔ)存易燃、易爆物品和強(qiáng)電磁場(chǎng)場(chǎng)所的周圍及低洼地帶。對(duì)于網(wǎng)絡(luò)設(shè)備應(yīng)配備防電磁泄漏機(jī)柜或屏蔽機(jī)房等 ；關(guān)鍵設(shè)備要配備 UPS 電源 ；機(jī)房要配備空調(diào)以保持機(jī)房的恒溫恒濕環(huán)境，并配備消防報(bào)警和滅火設(shè)施 ；建立嚴(yán)格的機(jī)房準(zhǔn)入制度等。如果有更高級(jí)別的安全需要，需對(duì)機(jī)房中的網(wǎng)絡(luò)設(shè)備及線路做遠(yuǎn)程的冗余備份。

2.2.1.2 網(wǎng)絡(luò)安全技術(shù)與措施

網(wǎng)絡(luò)安全技術(shù)與措施較多，主要涉及網(wǎng)絡(luò)安全設(shè)備和技術(shù)及安全協(xié)議。常用的有各種防火墻設(shè)備和技術(shù)、入侵檢測(cè)設(shè)備和技術(shù)、VPN 設(shè)備和技術(shù)以及入侵防御設(shè)備和技術(shù)等。

(1) 防火墻是常用的網(wǎng)絡(luò)設(shè)備和技術(shù)，根據(jù)策略控制進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)權(quán)限，并可強(qiáng)制檢查所有進(jìn)出網(wǎng)絡(luò)的各種鏈接， 以避免局域網(wǎng)遭受外界入侵和破壞。因此，通過(guò)建立防火墻安全策略， 可在內(nèi)部網(wǎng)（局域網(wǎng)）和外網(wǎng)（Internet）之間， 或者在內(nèi)部網(wǎng)的各部分之間（即不同安全域之間）實(shí)施安全防護(hù)。

(2) 入侵檢測(cè)系統(tǒng)（IDS）對(duì)那些異常的、可能是入侵行為的數(shù)據(jù)進(jìn)行檢測(cè)和報(bào)警，實(shí)時(shí)監(jiān)測(cè)局域網(wǎng)的運(yùn)行狀況，常與防火墻聯(lián)動(dòng)運(yùn)作。常用的安全協(xié)議有 PPTP，L2TP，IPSec及SSL 協(xié)議等。

除此之外，還有其它訪問(wèn)控制技術(shù)，常用的有 VLAN 劃分技術(shù)和訪問(wèn)列表控制（ACL）技術(shù)等。

2.2.1.3 系統(tǒng)安全技術(shù)與措施

系統(tǒng)安全措施主要為系統(tǒng)安裝防病毒和防木馬軟件以及為系統(tǒng)打補(bǔ)丁，加固系統(tǒng)的安全性，設(shè)置用戶的訪問(wèn)權(quán)限等級(jí)和口令，可對(duì)系統(tǒng)的訪問(wèn)進(jìn)行訪問(wèn)權(quán)限控制。安裝分布式的網(wǎng)絡(luò)防病毒軟件，對(duì)局域網(wǎng)內(nèi)的服務(wù)器和個(gè)人計(jì)算機(jī)進(jìn)行有效防護(hù)，使局域網(wǎng)上的各個(gè)節(jié)點(diǎn)都不受病毒的侵害。同時(shí)，應(yīng)盡量實(shí)時(shí)更新系統(tǒng)補(bǔ)丁和殺毒軟件，確保系統(tǒng)和殺毒軟件處于最新?tīng)顟B(tài)，并定期更換用戶密碼，使用戶口令被破解的可能性降至最低。

2.2.1.4 應(yīng)用安全技術(shù)與措施

應(yīng)用安全包括應(yīng)用平臺(tái)和應(yīng)用程序的安全性?？梢酝ㄟ^(guò)身份認(rèn)證來(lái)判別用戶使用系統(tǒng)的合法性。身份認(rèn)證一般通過(guò)用戶名和口令來(lái)驗(yàn)證。身份認(rèn)證可以有效防止數(shù)據(jù)被篡改及非法用戶訪問(wèn)網(wǎng)絡(luò)資源。同時(shí)還能通過(guò)審計(jì)用戶相關(guān)的活動(dòng)信息進(jìn)行記錄、存儲(chǔ)和分析，系統(tǒng)通過(guò)分析網(wǎng)絡(luò)信息系統(tǒng)的實(shí)際使用狀況來(lái)對(duì)應(yīng)用服務(wù)器的安全事件進(jìn)行有效監(jiān)控。

2.2.1.5 數(shù)據(jù)安全技術(shù)與措施

采用數(shù)據(jù)安全技術(shù)與措施的最終目的在于確保網(wǎng)絡(luò)數(shù)據(jù)的可用性、完整性和保密性。為了確保數(shù)據(jù)的安全性，可以采用多種數(shù)據(jù)備份技術(shù)來(lái)確保數(shù)據(jù)的可用性和完整性，如磁盤冗余陣列技術(shù)、雙機(jī)容錯(cuò)技術(shù)及SAN 技術(shù)等。同時(shí)，為了增強(qiáng)數(shù)據(jù)的保密性，可采用加密技術(shù)對(duì)數(shù)據(jù)進(jìn)行加密，如DES 加密算法、IDEA 加密算法及RSA 加密算法等。

2.2.2 網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)

一個(gè)設(shè)計(jì)合理的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)可以大大增加局域網(wǎng)的安全性，如圖 3 所示的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)綜合運(yùn)用了多種安全技術(shù)， 對(duì)局域網(wǎng)起到了很好的保護(hù)作用，大大提高了局域網(wǎng)的安全性。

圖 3 所示為雙路由單防火墻的拓?fù)湓O(shè)計(jì)，對(duì)外網(wǎng)（Internet） 進(jìn)入局域網(wǎng)內(nèi)部的訪問(wèn)起到了三層過(guò)濾的作用，大大增強(qiáng)了局域網(wǎng)的安全性。對(duì)于一些常用的對(duì)外服務(wù)，設(shè)置一個(gè)DMZ 區(qū)域，盡量減少外網(wǎng)用戶對(duì)內(nèi)網(wǎng)的訪問(wèn)，這也是增強(qiáng)局域網(wǎng)安全的一種措施。同時(shí)，DMZ 為了保證服務(wù)器的安全，使用了入侵檢測(cè)系統(tǒng)以提高 DMZ 區(qū)域的安全性。

2.2.3 安全管理規(guī)范

人是局域網(wǎng)安全中最不穩(wěn)定的因素，也是最主要的因素。因此，規(guī)范人的行為對(duì)局域網(wǎng)的安全起到了至關(guān)重要的作用。建立健全的法律法規(guī)對(duì)入侵網(wǎng)絡(luò)的不法分子有極大的震懾作用，使之不敢輕易破壞網(wǎng)絡(luò)。同時(shí)，對(duì)于網(wǎng)絡(luò)的管理也要建立規(guī)范的管理制度，嚴(yán)格機(jī)房管理?？刹扇∪缦麓胧?

(1) 建立完整的計(jì)算機(jī)運(yùn)行日志、操作記錄及其它與安全有關(guān)的資料；

(2) 機(jī)房必須有當(dāng)班值班人員；

(3) 嚴(yán)禁易燃易爆和強(qiáng)磁物品及其它與機(jī)房工作無(wú)關(guān)的物品進(jìn)入機(jī)房，重要技術(shù)資料應(yīng)有副本并異地存放等。

結(jié) 語(yǔ)

局域網(wǎng)安全是一項(xiàng)系統(tǒng)工程，涉及到網(wǎng)絡(luò)工作的各個(gè)層次，任何一個(gè)層次都可以通過(guò)安全技術(shù)措施來(lái)加強(qiáng)局域網(wǎng)的安全，但任何層次也有可能成為局域網(wǎng)的弱點(diǎn)。因此，在綜合應(yīng)用安全措施的同時(shí)應(yīng)全面考慮各層次的特點(diǎn)，采用相應(yīng)的安全技術(shù)措施，建立一個(gè)較完善合理的安全機(jī)制。同時(shí)還要運(yùn)用技術(shù)之外的管理措施，從制度方面確保局域網(wǎng)的安全。