一、引言
隨著國內計算機和網絡技術的飛速發展及其廣泛普及，企業的各類業務系統逐漸建立在Internet/Intranet環境之上。然而，隨之而來的安全問題也給用戶帶來了巨大困擾。Internet的開放性、全球性和自由性在提升應用靈活性的同時，也對網絡安全提出了更高的要求。一旦網絡系統的安全受到嚴重威脅甚至癱瘓，不僅會給企業本身，也會對社會乃至國家帶來巨大的經濟損失。因此，如何確保企業信息網絡系統免受黑客和病毒的侵害，已成為信息產業健康發展的重要議題之一。
企業網絡的應用系統通常包括WEB、電子郵件（E-mail）、辦公自動化（OA）、管理信息系統（MIS）、財務系統及人事系統等。隨著企業規模的擴大，網絡架構愈加復雜，應用系統數量也不斷增加。從網絡系統管理的角度看，企業網絡涉及內部用戶、外部用戶以及內外網之間的連接，這使得企業網絡面臨三大主要安全問題：
（1）Internet的安全性：隨著互聯網的迅猛發展，各類網絡安全事件頻發。近年來，計算機病毒傳播、蠕蟲攻擊、垃圾郵件泛濫及敏感信息泄露等問題已成為常見的安全威脅。這些威脅對企業用戶的影響尤為顯著，可能導致數據損壞、系統異常、網絡癱瘓、信息泄漏，甚至嚴重降低工作效率，同時帶來直接或間接的經濟損失。
（2）企業內網的安全性：調查顯示，超過60%的企業員工利用內部網絡處理私人事務，這種不當使用不僅降低了生產效率，還可能造成網絡資源浪費、引入病毒與間諜軟件，甚至為不法員工泄露企業機密提供了途徑，由此可能給企業造成高額損失。企業內網的安全隱患主要包括：
未授權訪問
數據完整性破壞
拒絕服務（DoS）攻擊
計算機病毒傳播
缺乏完善的安全策略與監控手段
無有效評估網絡系統及操作系統安全性的措施
缺乏自動化的數據備份和災難恢復機制
（3）內部網絡之間、內外網絡之間的連接安全：隨著企業的擴展以及移動辦公的普及，形成了總部、分支機構與移動辦公人員間的互動運營模式。如何在保障信息共享及時性的同時防止機密泄露，已成為企業在成長過程中必須面對的挑戰。特別是總部與各地分支機構間的網絡連接安全，直接影響著企業的高效運作。
二、以某客戶為例，綜合型企業網絡簡圖如下，分析現狀并分析需求：
圖說明 圖一 企業網絡簡圖
該公司的信息安全系統，無論從整體構成，還是信息安全產品的功能與性能來看，都可能存在一定缺陷，具體表現在以下幾個方面：：
系統性不足
當前的安全防護范圍僅局限于網絡層面，而系統、應用和數據層的安全保障較為薄弱，存在較大的潛在風險。產品功能與性能落后
原有的網絡安全產品在功能和性能上難以適應新的安全形勢，暴露出較多安全隱患，亟需進行升級或替換。依賴性與復雜性增強
隨著經營管理對計算機應用系統依賴性的增強，以及計算機應用系統對網絡的依賴性加劇，網絡規模不斷擴大，結構日益復雜，正常運行對網絡安全提出了更高的要求。關鍵數據安全性不足
企業關鍵數據集中于公司總部的數據中心，對數據安全提出了更高的需求。現有措施在用戶管理、身份認證、數據備份及數據的機密性、完整性和可用性保障方面尚有不足，需要進一步加強。
由以上分析可知該公司信息系統存在較大的風險，該公司信息系統的主要需求集中在以下幾方面：
構建全面的安全防護體系
信息系統不僅需要提供安全可靠的計算機網絡，還需覆蓋系統、應用及數據的全方位安全防護。應加強安全防護的整體規劃，擴大覆蓋范圍，增加先進的防護手段，提升系統安全性。適應網絡規模與復雜性發展
隨著網絡規模擴大和結構復雜性增加，以及新型攻擊手段的不斷涌現，公司需對現有網絡安全產品進行升級或重新部署，以應對更大的安全挑戰。強化安全管理
隨著信息安全工作復雜性和重要性的提升，安全管理需更加規范化與系統化。應加快建立健全相關規章制度和技術規范，確保各項安全防范工作有序推進。實現動態安全防范
信息安全是一個動態、循環的過程。公司需要引入專業安全服務，從事前防范到事中監控再到事后響應，形成完整的安全防護閉環，以應對不斷演變的各類安全威脅
三、設計原則
安全體系的建設應遵循“統一規劃、統籌安排、統一標準、分步實施”的原則，以避免重復投入和建設，最大限度地兼顧整體效益與局部利益。具體原則如下：
標準化原則
制定統一的技術和管理標準，確保各環節之間的兼容性和協同效應，從而形成統一、高效的安全體系。系統化原則
將信息安全視為一個整體，全面覆蓋網絡、系統、應用和數據層，建立端到端的安全防護架構，提升整體安全能力。規避風險原則
基于風險評估和預防性措施的實施，優先解決高風險領域的問題，有效降低信息系統遭受威脅的可能性。保護投資原則
在安全體系建設中，充分利用現有資源，避免資源浪費，同時選擇兼容性和擴展性強的解決方案，為未來升級和發展保留空間。多重保護原則
采用多層次、多維度的安全防護手段，通過縱深防御策略構建完善的安全體系，為系統提供全面而強大的保障。分步實施原則
根據企業實際情況，分階段、有重點地推進安全體系建設，確保每個階段目標明確、成果可見，逐步實現整體安全目標。
四、企業網絡安全解決方案的思路
1.安全系統架構
構建科學的網絡安全系統架構是設計和實施安全解決方案的基礎。
隨著針對應用層攻擊的頻率和威脅不斷增加，僅依靠網絡層以下的傳統安全措施已難以應對。例如，攜帶后門程序的蠕蟲病毒往往能夠繞過傳統的防火墻和VPN安全體系，造成嚴重威脅。因此，企業應采用立體多層次的安全系統架構。
這種多層次的架構不僅要求在網絡邊界部署防火墻和VPN，還需要在網絡邊緣部署專門針對網絡病毒、垃圾郵件及其他應用層攻擊的防護措施。通過主動防護技術，可以有效地將攻擊內容阻擋在企業內部網絡之外，顯著提高整體安全性。
2.安全防護體系
信息安全防護應從整體角度進行規劃，覆蓋信息系統的各個層次，針對網絡、系統、應用和數據等方面進行全面防護。
信息安全防護體系強調動態性，其防護過程包括事前預防、事中監控和事后響應，各階段應配備完備的技術手段，同時加強管理措施，確保安全管理貫穿始終。如圖二所示：
事前防護：通過風險評估、漏洞掃描和防御策略制定，提前降低潛在威脅。
事中監控：利用實時監控技術，發現并阻止攻擊行為，確保系統穩定運行。
事后響應：快速進行事件分析和恢復，保障業務的連續性和數據完整性。
圖說明 圖二 網絡與信息安全防范體系模型
3.企業網絡安全結構圖
通過以上分析可得總體安全結構應實現大致如圖三所示的功能:
圖說明 圖三 總體安全結構圖
五、整體網絡安全方案
1.網絡安全認證平臺
證書認證系統是企業內部信息網絡和外部網絡平臺構建安全可信環境的基礎。目前，應用PKI/CA數字認證服務是解決網絡安全問題的最佳選擇。
PKI（Public Key Infrastructure，公鑰基礎設施）是一種基于公鑰理論和技術的在線身份認證安全體系，能夠從技術層面解決網絡身份認證、信息完整性保障及抗抵賴性等問題，為網絡應用提供全面的安全保障。通過構建證書認證中心系統，建立完善的網絡安全認證平臺，可以實現以下目標：
1）身份認證（Authentication）
確認通信雙方的真實身份，防止身份被假冒或偽裝。利用數字證書可有效驗證通信雙方的身份真實性。
2）數據機密性（Confidentiality）
對敏感信息進行加密，防止信息泄露。通過數字證書實現數據加密，保障信息的機密性。
3）數據完整性（Integrity）
確保通信過程中信息未被截斷或篡改。通過哈希函數和數字簽名技術實現數據的完整性保護。
4）不可抵賴性（Non-Repudiation）
確保通信方不能否認其行為。利用數字簽名作為法律證據，確保通信方對其行為負責。
2. VPN系統
VPN（Virtual Private Network，虛擬專用網絡）是一種利用公共網絡（如Internet）將分布在不同地點的網絡連接為邏輯上的虛擬專用網絡的技術。與傳統物理專線相比，VPN具有以下優勢：
成本與維護費用低
易于擴展
數據傳輸安全性高
通過部署VPN系統，企業可以實現以下目標：
安全數據傳輸：在公網上開辟一條通過加密、認證、封裝和密鑰交換技術建立的安全隧道，確保合法用戶能夠安全訪問企業私有數據。
替代物理專線：支持移動用戶及遠程LAN的安全連接，實現成本更低且更靈活的網絡訪問。
集中管理：提供統一的安全策略管理和配置能力，對整個VPN網絡進行集中式安全控制。
3. 網絡防火墻
通過部署防火墻系統，實現對內部網絡與廣域網的隔離與保護。對于內部網絡中的服務器子網，可采用專用防火墻設備進行針對性防護。其典型的網絡結構如下：
圖說明 圖四 防火墻
此外，在實際應用中可以增加入侵檢測系統（IDS），作為防火墻功能的有效補充。入侵檢測系統能夠實時監控網絡流量，對監控網段的攻擊行為進行報警，并提供積極的響應措施，從而進一步增強網絡安全防護能力。
4. 病毒防護系統
強化病毒防護系統的應用策略與管理機制是提升網絡安全的重要舉措。例如，可以采用瑞星網絡版殺毒軟件企業版，這是一款專門針對網絡病毒傳播特點設計的防病毒解決方案。
通過瑞星網絡防病毒體系，企業能夠在客戶端和服務器上建立統一的反病毒系統。其主要功能包括：
統一、集中管理：實現對整個網絡的病毒防護策略統一配置和集中管理。
實時監控：隨時掌握網絡內病毒事件，快速響應潛在威脅。
遠程管理：支持對網絡內所有計算機的遠程防病毒策略設置與安全操作。
5. 服務器保護
在企業環境中，服務器的安全防護至關重要。以下以電子郵件服務器為例，說明保護服務器的重要性與方法：
電子郵件的安全隱患
電子郵件作為Internet上最早的應用之一，隨著網絡的發展已成為人們日常交流的重要工具。然而，由于網絡的開放性和電子郵件協議的局限性，大量敏感信息在傳輸過程中可能面臨泄露、篡改等風險。
S/MIME的保護機制
目前，主流電子郵件客戶端軟件（如Outlook）支持S/MIME（Secure Multipurpose Internet Mail Extensions）協議。該協議源自PEM（Privacy Enhanced Mail）和MIME（Internet郵件附件標準），具有以下特點：
認證機制：
基于分層結構的證書認證體系。下級組織和個人證書由上級機構認證，頂級機構（根證書）間進行互相認證，形成樹狀信任關系，確保身份可信。加密與簽名：
S/MIME對郵件內容進行加密和數字簽名處理，并將其作為特殊附件發送，從而有效保障郵件內容的機密性和完整性。
下圖五是郵件系統保護的簡圖（透明方式）:
圖說明 圖五 郵件系統保護
6. 關鍵網段保護
企業中某些網段傳輸的數據和信息至關重要，因此需要對外保持嚴格的保密性。這些關鍵網段應得到特別的安全防護。其網絡結構示意圖如圖六所示。
圖說明 圖六 關鍵網段的防護
7. 日志分析和統計報表能力
所有網絡安全事件應詳細記錄日志，內容包括事件名稱、描述、相關主機IP地址等關鍵信息。此外，報表系統應自動生成各種形式的統計報表，例如日報、月報和年報。通過來源分析、目標分析、類別分析等多種方式，報表可以直觀、清晰地展示網絡中發生的安全事件，從而幫助管理人員全面分析和評估網絡安全態勢，提升安全管理能力。
8. 內部網絡行為的管理和監控
除了對外部的防護外，企業還應規范和監控內部員工的上網行為。這包括過濾網頁訪問、限制郵件使用、禁止不當聊天行為以及阻止不正當文件的下載。企業內部用戶的上網行為應得到精確識別，確保每個URL請求及其響應都能被記錄和監控。
通過對內部網絡行為的有效監控，不僅能夠規范員工的上網行為、提高工作效率，還能減少潛在的安全隱患。桌面安全管理和監控是防范和消除內部威脅的有效手段。
桌面安全系統結合了電子簽章、文件加密、身份驗證和智能卡管理工具，形成一個完整的客戶端安全解決方案。該系統包括以下幾種功能：
電子簽章系統
通過非對稱密鑰體系，確保文檔的完整性和不可抵賴性。該系統采用組件技術，可以無縫集成到Office系統中，用戶在編輯完文檔后可以進行簽章，或在打開文檔時驗證其完整性并查看文檔作者。安全登錄系統
安全登錄系統提供系統和網絡登錄的身份認證功能。只有持有指定智能密碼鑰匙的用戶才能登錄計算機和網絡。如果用戶離開計算機，只需拔出智能密碼鑰匙即可鎖定計算機，確保設備安全。文件加密系統
文件加密系統確保數據的安全存儲。密鑰保存在智能密碼鑰匙中，采用國際標準的加密算法或國家密碼管理機構指定的安全算法，保障存儲數據的安全性。
則內網綜合保護簡圖如下圖七所示：
圖說明 圖七 內網綜合保護
9. 移動用戶管理系統
對于企業內部的筆記本電腦，尤其是在外出工作時，接入企業內部網絡時必須進行嚴格的安全控制，以確保設備的安全性。這樣可以有效防止病毒或黑客程序被攜帶進內網，從而避免外部威脅對企業網絡安全造成潛在風險。
10. 身份認證解決方案
身份認證是計算機及網絡系統用于確認操作人員身份的過程。近年來，基于PKI（公鑰基礎設施）的身份認證技術迅速發展，成為一種便捷且安全的認證方式。該技術結合軟硬件并采用“一次一密”的強雙因子認證模式，解決了安全性與易用性之間的矛盾。
USB Key是一種通過USB接口連接的硬件設備，內置單片機或智能卡芯片，能夠存儲用戶的密鑰或數字證書。通過USB Key的密碼算法，可以實現對用戶身份的安全認證。
基于PKI的USB Key解決方案不僅可以提供身份認證功能，還可以構建一個包括用戶集中管理與認證系統、應用安全組件、客戶端安全組件以及證書管理系統等組成的綜合安全技術體系。這一體系通過層次化關系和邏輯聯接，滿足身份認證、授權與訪問控制、安全審計、數據機密性、完整性及抗抵賴等多方面的安全需求。
六、方案的組織與實施方式
根據以上分析與設計，網絡與信息安全防范體系的流程主要由三大部分組成：攻擊前的防范、攻擊過程中的防范和攻擊后的應對。具體的安全管理流程如圖八所示。該流程圖不僅展示了安全防范的動態過程，還為本方案的實施提供了重要參考。
圖說明 圖八 安全管理貫穿全流程圖
因此，在本方案的組織和實施過程中，除了工程實施本身外，還應重視以下幾個方面的工作：
風險評估與需求明確：在初步風險分析的基礎上，方案實施方應進一步進行風險評估，明確具體需求，確保方案的針對性，并確保投資回報的最大化。
應急響應與事故恢復：應將應急響應和事故恢復納入技術方案的一部分。必要時，可以借助專業安全服務公司，提升應對重大安全事件的能力。
分階段實施：鑒于該方案的投資規模較大且覆蓋范圍廣泛，可以根據實際情況采取分地區、分階段實施的方式，以確保實施過程更加高效和靈活。
規章制度與技術規范建設：在方案實施過程中，要加強規章制度和技術規范的建設，使信息安全的日常工作更加制度化和規范化。
七、總結
本設計以某客戶為例，分析了其網絡安全現狀，識別了當前存在的風險，并提出了一整套完整的解決方案。該方案涵蓋了各個方面，從技術手段的改進到規章制度的完善；從單機系統的安全加固到整體網絡的安全管理。通過本方案的實施，旨在建立一個完善的信息安全體系，有效防范信息系統面臨的各類攻擊和威脅，最大程度地降低風險。
