信息安全设计方案

一、立项背景

随着高校内各种网络工程的深入实施，学校教育信息化、校园网络化已经成为网络时代教育的发展方向。在当今的互联网环境下，计算机被攻击、破坏的事件经常发生，我们经常需要面对的信息安全问题有：黑客侵袭、内部漏洞、病毒干扰、人为错误等。因此，在校园网络建设中，网络信息安全成为需要特别考虑的问题。 1.1、校园息系统安全现状

校园息系统安全现状 1、安全意识淡薄校园网2、安全体系松散缺乏安3、网络上病毒、攻击泛上的接入终端仍存在用户空口令或简易口令的终端设备;有些个人计算机系统漏洞百出;既不安装防火墙又不安装(或更新)杀毒软件;网络 IP地址盗用;专用网与公网混用等等

全预警及监控体系, 管理员不能及时发现网络系统存在的最新漏洞。 滥随着校园网络规模的不断扩大、性能的不断提高, 计算机病毒的传播途径日益增多、传播速度越来越快, 造成的影响也就越来越严重 1.2、现有安全技术和需求

1．操作系统和应用软件自身的身份认证功能，实现访问。 2．定期对重要数据进行备份数据备份。 3．每台校园网电脑安装有防毒杀毒软件。

1．构建涵盖校园网所有入网设备的病毒立体防御体系。

计算机终端防病毒软件能及时有效地发现、抵御病毒的攻击和彻底清除病毒，通过计算机终端防病毒软件实现统一的安装、统一的管理和病毒库的更新。 2. 建立全天候监控的网络信息入侵检测体系

在校园网关键部位安装网络入侵检测系统，实时对网络和信息系统访问的异常行为进行监测和报警。

3. 建立高效可靠的内网安全管理体系

只有解决网络内部的安全问题，才可以排除网络中最大的安全隐患，内网安全管理体系可以从技术层面帮助网管人员处理好繁杂的客户端问题。 4. 建立虚拟专用网(VPN)和专用通道

使用VPN网关设备和相关技术手段，对机密性要求较高的用户建立虚拟专用网。

经调查，现有校园网络拓扑图如下：

二、设计方案拓扑图

三、设计原则

根据防范安全攻击的安全需求、需要达到的安全目标、对应安全机制所需的安全服务等因素，参照SSE-CMM(\"系统安全工程能力成熟模型\")和ISO17799(信息安全管理标准)等国际标准，综合考虑可实施性、可管理性、可扩展性、综合完备性、系统均衡性等方面，网络安全防范体系在整体设计过程中应遵循以下9项原则：

设计原则 1．网络信息安全的木桶原则 2．网络3．安全4．标准5．技术信息安性评价化与一与管理全的整与平衡致性原相结合体性原原则 则 原则 则 6．统筹7．等级8．动态9．易操规划，性原则 发展原作性原分步实则 则 施原则

3.2.物理层设计 3.2.1物理位置选择

物理位置选择 1、物理2、防盗3.防雷4.防火 5.防水6.防静7. 温8、电力9.电磁访问控窃和防击 和防潮 电 湿度控供应 防护要 制 破坏 制 求

3.3网络层设计 3.3.1防火墙技术

建立在现代通信网络技术和信息安全技术基础上的防火墙技术是目前应用最广泛的防护技术．在逻辑上，它既是一个分离器也是一个器，同时它还是一个分析器，通过设置在异构网络(如可信的校园网与不可信的公共网)之间的一系列部件的组合有效监控内部网与外层网络之间的信息流动，使得只有经过精心选择的应用协议才能通过，保证了内网环境的安全，如图所示：

作为校园网安全的屏障，防火墙是连接内、外层网络之间信息的唯一出入口，根据具体的安全控制(允许、拒绝、监测)出入网络的信息流．校园网络管理员要将诸如口令、加密、身份认证、审计等的所有安全软件配置在防火墙上以便对网络存取和访问进行监控审计．同时利用防火墙的日志记录功能做好备份，提供网络使用情况的统计数据。

假定校园网通过Cisco路由器与CERNET相连。校园内的IP地址范围是确定 的，且有明确的闭和边界。它有一个C类的IP地址，有DNS，Email，WWW，FTP等服务器， 可采用以下存取控制策略。

对进入CERNET主干网的存取控制

校园网有自己IP地址，应禁止IP地址从本校路由器访问CERNET。可用下述命令设 置与校园网连接的路由器： Interface E0

Decription campusNet Ipadd 162.105.17.1 access_list group 20 out !

access_list 20 permit ip 162.105.17.0 0.0.225 2: 对网络中心资源主机的访问控制

网络中心的DNS，Email，FTP，WWW等服务器是重要的资源，要特别的保护，可对 网络中心所在子网禁止DNS，Email，WWW，FTP以外的一切服务。 3：对校外非法网址的访问

一般情况，一些传播非法信息的站点主要在校外，而这些站点的域名可能是已知 的，这时可通过计费系统获得最新的IP访问信息，利用域名查询或字符匹配等方法确定 来自某个IP的访问是非法的。

3.3.2、拓扑结构：

3.4、网络层设计

网络层设计 1.防火墙技术 2.虚拟专网(VPN)技术 3.身份认证技术 4．加密技术 5．物理隔离 6．防毒网关 7.网络地址转换技术 8.代理服务及路由器 9.安全扫描 10.入侵检测 11.用户的身份认证 12.权限控制 13.客户端安全防护 14.安全检测

3.5传输层安全

操作系统是整个园区网系统工作的基础，也是系统安全的基础，因而必须采取措施保证操作系统平台的安全。安全措施主要包括：采用安全性较高的系统，对系统文件加密，操作系统防病毒、系统漏洞及入侵检测等。

传输层安全 5.入侵检测 1.采用安全性较高的系统 2.加密技术 3.病毒的防范 4.安全扫描 3.6、应用层安全

应用层安全 1.蠕虫过滤 2.病毒过滤 3.垃圾邮件过滤 4.内容过滤

3.7、管理层安全

1. 制定一套严谨严格的操作守则。要求网管人员严格按照守则进行管理工作。

2．加强网络管理人员的培训。定期对网管人员进行培训，并出外考察，多增长与时俱进的网管技术。

四、材料清单和工程设计 4.1、材料清单