cxi_石家庄电信分公司网络安全方案.doc

XXX电信分公司网络安全方案
背景介绍
项目总述
XXX电信分公司网络安全系统主要涉及计费网络、OA网络和客服网络设计和布局。需要在一些对外接口处放置防火墙系统,以保障数据和信息在网络上传输的安全。
网络环境总述
XXX电信分公司网络安全系统是非涉密的内部业务工作处理网络,传输、处理、查询工作中非涉密的信息。防火墙系统需要集中在数据中心控制机上面进行管理和审计。
信息安全方案的组成
信息安全产品的选型原则
XXX电信分公司网络安全系统是一个要求高可靠性和安全性的网络系统,若干重要的信息在网络传输过程中不可泄露,如果数据被黑客修改或者删除,那么就会严重的影响工作。所以XXX电信分公司网络安全系统安全产品的选型事关重大,要提到国家战略的高度来衡量,否则一旦被黑客或者敌国攻入,其代价将是不能想象的。
XXX电信分公司网络安全系统网络安全系统方案必须遵循如下原则:
全局性原则:安全威胁来自最薄弱的环节,必须从全局出发规划安全系统。XXX电信分公司网络安全系统安全体系,遵循中心统一规划,局部实施的原则。
综合性原则:网络安全不单靠技术措施,必须结合管理,当前我国发生的网络安全问题中,管理问题占相当大的比例,在各地方建立网络安全设施体系的同时必须建立相应的制度和管理体系。
均衡性原则:安全措施的实施必须以根据安全级别和经费限度统一考虑。网络中相同安全级别的保密强度要一致。
节约性原则:整体方案的设计应该尽可能的不改变原来网络的设备和环境,以免资源的浪费和重复投资。
集中性原则:所有的防火墙产品要求在数据中心可以进行集中管理,这样才能保证在数据中心的服务器上可以掌握全局。
角色化原则:防火墙产品在管理上面不仅在数据中心可以完全控制外,在地方还需要分配适当的角色使地方可以在自己的权利下修改和查看防火墙策略和审计。
目前,很多公开的新闻表明美国国家安全局(NSA)有可能在许多美国大软件公司的产品中安装“后门”,其中包括一些应用广泛的操作系统。为此德国军方前些时候甚至规定在所有牵涉到机密的计算机里,不得使用美国的操作系统。作为信息安全的保障,我们在安全产品选型时强烈建议使用国内自主开发的优秀的网络安全产品,将安全风险降至最低。
在为各安全产品选型时,我们立足国内,同时保证所选产品的先进性及可靠性,并要求通过国家各主要安全测评认证。
网络安全现状
正在越来越多地融入到社会的各个方面。一方面,随着网络用户成分越来越多样化,出于各种目的的网络入侵和攻击越来越频繁;另一方面,和以电子商务为代表的网络应用的日益发展,越来越深地渗透到各行各业的关键要害领域。的安全包括其上的信息数据安全,日益成为与政府、军队、企业、个人的利益休戚相关的“大事情”。尤其对于政府和军队而言,如果网络安全问题不能得到妥善的解决,将会对国家安全带来严重的威胁。
2000年二月,在三天的时间里,黑客使美国数家顶级互联网站-Yahoo!、Amazon、N陷入瘫痪,造成了十几亿美元的损失,令美国上下如临大敌。黑客使用了DDoS(分布式拒绝服务)的攻击手段,用大量无用信息阻塞网站的服务器,使其不能提供正常服务。在随后的不到一个月的时间里,又先后有微软、
和E*TRADE等著名网站遭受攻击。
国内网站也未能幸免于难,新浪、当当书店、EC123等知名网站也先后受到黑客攻击。国内第一家大型网上连锁商城IT163网站3月6日开始运营,然而仅四天,该商城突遭网上黑客袭击,界面文件全部被删除,各种数据库遭到不同程度的破坏,致使网站无法运作。
客观地说,没有任何一个网络能够免受安全的困扰,依据Financial Times曾做过的统计,平均每20秒钟就有一个网络遭到入侵。仅在美国,每年由于网络安全问题造成的经济损失就超过100亿美元。
典型的黑客攻击
黑客们进行网络攻击的目的各种各样,有的是出于政治目的,有的是员工内部破坏,还有的是出于好奇或者满足自己的虚荣心。的高速发展,也出现了有明确军事目的的军方黑客组织。
在典型的网络攻击中,黑客一般会采取如下的步骤:
自我隐藏,在以前攻克的主机上跳转、通过错误配置的proxy主机跳转等各种技术来隐藏他们的IP地址,更高级一点的黑客,精通利用电话交换侵入主机。
网络侦探和信息收集,开始对目标网络进行攻击前,典型的黑客将会对网络的外部主机进行一些初步的探测。黑客通常在查找其他弱点之前首先试图收集网络结构本身的信息。通过查看上面查询来的结果列表,通常很容易建立一个主机列表并且开始了解主机之间的联系。黑客在这个阶段使用一些简单的命令来获得外部和内部主机的名称:例如,使用nslookup来执行“ls <domain work>”, finger外部主机上的用户等。
确认信任的网络组成,一般而言,网络中的主控主机都会受