计算机网络安全之二.docVIP

计算机网络安全之二:安全的组成要素及策略 2008-03-05 14:20:56 标签：网络安全 安全策略 纵深防御模型 MPDRR 版权声明：原创作品，谢绝转载！否则将追究法律责任。 2.1 要为组织建立一个有效的安全防御体系，必须要了解安全的基本要素，然后将这些要素运用到企业的安全策略中并进行具体实施。 ? 安全基本要素主要包括以下六类： ? ???划分安全级别 ???划分安全域 ???身份认证 ???访问控制 ???加密 ???安全审核 网络安全策略的第一步就是为企业的各种网络资源划分安全级别。在划分安全级别之前，我们需要先了解企业中包括了哪些网络资源。 ???网络资源分组 企业的网络资源一般可以分为以下几类： ? ???终端用户资源。包括客户工作站以及相关外设，主要作为企业员工平常办公所用。 ???网络资源。包括路由器、交换机、集线器、配线柜以及墙里的网线等，作为网络互联的中间系统，进行网络数据的路由、存储和转发。 ???服务器资源。为企业用户提供各种服务，如WWW、E-Mail、FTP服务等。 ???信息存储资源。一般为数据库服务器，存储了企业种运作所需的各种数据信息，如信用卡号、人力资源和敏感信息等。 ??? 在将企业资源进行分类后，就可以根据它们在企业网络中扮演的角色以及数据的敏感程度进行安全级别的划分以便进行不同级别的安全保护。 ? 一般企业网络资源的安全级别可以划分为以下三类： ? ???级别一，商业运作的中心。级别一的资源是一些运行关键业务并有高可需求的系统，不能容忍几小时甚至几分钟的停机，如电子商务公司的Web服务器或企业网络的域控制器。此类资源一般占系统比例的5%左右，但安全的保护级别却最高，需要额外的安全措施、专用的系统级审核以及监视和其它安全功能等。 ???级别二，商业运作需要的，但不是至关重要的的资源。如存储员工通讯信息的数据库被破坏，对组织不会造成致命影响，所受的损失只是工作上的不方便而已。级别二资源通常约占系统比例的20%，需要普通的安全保护、审核和恢复措施。 ???级别三，普通系统。此类系一般为终端用户资源，在组织中比例最大，约占75%左右，但它的破坏通常不会对级别一和级别二产生影响。 一般常常理解的安全域（网络安全域）是指同一系统内有相同的安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策略的子网或网络，且相同的网络安全域共享一样的安全策略。广义上则可认为安全域是具有相同业务要求和安全要求的IT系统要素的集合。一个安全域内可进一步被划分为安全子域，安全子域也可继续依次细化。任何一处的安全薄弱点被恶意攻击者利用的话，都有可能导致整个安全体系的崩溃，这就是安全的“木桶原理”。但我们如果进行了安全域的划分，则可能将这种破坏屏蔽在一个单个的域中。所以安全域的分割是抗渗透的防护方式，安全域边界是灾难发生时的抑制点，防止影响的扩散，同时安全域也是基于网络和系统进行安全建设部署的依据，是基于网络和系统进行安全检查和评估的基础。 ??? IT系统网结构的安全域划分与传统意义上的物理隔离不同。物理隔离是由于存在信息安全的威胁而消极地隔断网络使信息不能得以共享。而安全域划分是在认真分析各套IT系统的安全需求和面临的安全威胁的前提下，既重视各类安全威胁，也允许IT系统之间以及与其他系统之间正常传输和交换的合法数据。 ? 在安全域划分时应该遵循以下的一些基本原则： ? 1、根据角色和安全级别进行划分。根据IT系统中各设备其所承担的工作角色和对安全方面要求的不同进行划分。 2、在划分的同时有针对性的考虑安全产品的部署。从网络构架层面来讲， IT系统网络整体结构安全域的划分是与安全产品的部署密不可分的，一方面安全域的划分为安全产品的部署提供了一个健康规范灵活的网络环境。另一方面，将安全域划分为域内划分和域外划分两种，域和域之间主要采用通过交换设备划分VLAN和防火墙来彼此策略隔离，在域内主要根据不同被保护对象的安全需求采用部署AAA、IDS和防病毒系统等来完成，因此，安全域的划分不能脱离安全产品的部署。 3、安全域的个数不应过多。安全域数量过多，会导致在安全策略设置上过于复杂，会给今后管理带来很大不便。 3、兼容当前的IT结构。安全域划分的目的是发挥安全产品的整体效能，并不是对运营商IT系统原有局域网整体结构的彻底颠覆。因此在对运营商IT系统局域网结构改造的同时需要考虑保护已有投资，避免重复投入与建设。 ??? 为满足组织网络安全分区防护的需求，我们需要为企业网络划分不同的安全区域。划分安全区域可以根据以下方法进行： ? ???基于分布式结构划分安全域 ? 分布式结构的网络是将分布在不同地点的计算机通过线路互连起来的一种网络形式，由于采用分散控制，即使整个网络中的某个局部出现故障，也不会影响全网