摘要：随着计算机和网络技术的广泛应用，信息网络安全问题逐渐得到重视。在初期，部分企业就已经开始构建了自己的信息网络安全系统，但随着研究的深入、技术的发展，部分企业初期建立的信息网络安全系统已经不能满足企业的需求，并且存在诸多的安全隐患。在此背景下，越来越多的企业开始重新考虑企业信息网络系统的安全性。论文正是基于目前这种状况，以某企业为例，对该企业的信息网络安全进行分析，提出相应的信息网络安全解决设计方案，以期为其它企业提高信息网络安全提供参考范例。

关键字：信息网络安全； 信息网络安全系统； 安全管理；

第一章简介

第一节：某企业概况

某企业是一家生产型企业，创建于20世纪70年代，总公司位于南京，经过多年发展，分支机构已遍布全国，下辖省级分公司、地市支公司和营业部。在建立初期，某公司的信息网络安全系统安全性极高，并且能满足公司业务的需求。但随着相关研究的深入、技术的发展以及公司业务模式、管理模式的变化，如今的信息网路安全系统已经出现较多的安全漏洞和安全隐患，并对公司业务的正常开展产生一定的负面影响。因此，现在急需根据某企业实际业务需求以及现有的技术、设备对信息网络安全系统进行重新设计、部署。

第二章现状分析

第一节：网络安全的定义及特点

2.1.1网络安全定义

网络安全是指通过各种技术和管理使网络系统正常运行，免受各种侵害的保护措施。

2.1.2网络安全的特点

保密性信息小泄露给非授权用户、实体或过程，或供其利用的特性。完整性：数据未经授权小能进行改变的特性。可用性：可被授权实体访问并按需求使用的特性。可控性：对信息的传播及内容具有控制能力。可审查性：出现安全问题时提供依据与手段。

第二节某企业网络安全现状分析

2.2.1企业制度小健全

管理制度小健全、责权小明、缺乏可操作性都可能引起网络安全的少风险。当网络出现攻击行为时，无法提供黑客攻击行为的追踪线索及破案依据；当有内部人员出现违规操作时，无法进行实时的检测、监控、报告与预警。

2.2.2安全意识淡薄

在具有严格访问权限的系统中，使用弱密码的用户有可能成为安全系统中的缺陷，甚至有些人随意改动系统注册表，使得整个网络安全系统失效。

2.2.3企业内部网络局限性。据调查，在己有的网络安全攻击事件中，大多数是来自内部网络的侵犯，来自扫L构内部局域网的威胁包括：误用和滥用关键、敏感数据；随意设置IP地址；内部人员无意泄露内部网络的网络结构；企业内部员工网络隐患防范意识差。

2.2.4受到外部攻击。我们就曾经遭受过冲击波、震荡波、ARP病毒的攻击，导致系统莫名重启，无法联网的情况；现在操作系统的漏洞层出不穷，我们应该防范于未然，充分利用现有的桌而安全管理系统和Norton防病毒系统，将问题消火在萌芽状态。

第三节企业网络安全需求分析

鉴于以上计算机网络所而临的安全性威胁、以及企业口前的购置能力和需求，我们本着以局域网信息安全保护为重点的总体设想，提出构造安全网络结构和加强计算机病毒防范，从而建立起一套适用于企业信息网的最基本的安全体系结构。

2.3.1网络正常运行。即使有非法访问企图，能够被阻挡在内部网外，保证网络系统继续正常运行。满足基本的安全要求，是该网络成功运行的必要条件，在此基础上提供强有力的安全保障，是建设企业网络系统安全的重要原则。

2.3.2网络管理。网络部署，数据库及其他服务器的资料不被窃取。企业网络内部部署了众多的网络设备、服务器，保护这些设备的正常运行，维护主要业务系统的安全，是企业网络的基本安全需求。

2.3.3服务器、PC和Internet/Intranet网关的防病毒保障。对于各种各样的网络非法访问和攻击，以及日益猖獗的病毒袭击，阻挡非法访问并抵御网络攻击和清除病毒危害，以保证正常的灵活高效的网络通讯及信息服务，是需要解决的首要问题。

2.3.4提供灵活高效且安全的内外通讯服务。

第三章网络安全构架分析与解决方案及实施

3.1.1微软域用户策略部署方案设计

1、简化管理，提供对用户、应用程序和设备的单一性、一致性的管理点。

2、加强安全性，向用户提供单一的网络资源登录，为管理员提供有效监管

理工具，以便有效地管理集团局域网和广域网上各类计算机用户。

3、安全策略统一部署，向所有活动目录用户提供统一的安全策略部署机制，

所有用户在加入域并登录域后可以自动执行集团统一的安全策略，保证客户端系

统的安全性，避免由于客户端用户自身水平和安全意识的差异而产生安全隐患。

3.1.2防火墙部署及VLAN规划设计

ULAN技术己经成为提高网络运转效率、提供最大程度的可配置性而普遍采

用非常成熟的技术，因此集团内部整个局域网络采用ULAN划分技术，将局域网络划分成不同的子网，各子网之间的访问受到限制，避免病毒的传播及信息泄露。

所有交换机采用VTP技术，把CISCO 6513和CISCO 4507设为VTPSERVER，所有CISCO 3550-48-SMI交换机设为VTP CLIENT， VTP DOMAIN均设为LANGCHAO} CISCO 6513和CISCO 4507与所有CISCO 3550-48-SMI之间分别做TRUNK，封装类型选择ISL。

3.1.3信息传输加密系统设计

在集团内部许多员工都是通过邮件传输各种工作信息和商业信息，因此邮件信息传输的安全性至关重要。集团邮件加密系统采用公钥加密体系和对称密钥加密体系相结合的方式，公钥加密体系主要采用RSA算法，对称密钥加密体系主要采用ides加密算法，公钥签名算法主要采用SHA-1算法。由于RSA进行的都是大数计算，使得RSA最快的情况也比DES慢上100倍，无论是软件还是硬件实现。速度一直是RSA的缺陷，一般来说只用于少量数据加密。

第二节用户权限管理系统设计

3.2.1用户与角色管理设计

用户管理主要实现在系统中根据业务需要对用户进行管理，包括增加用户，

修改用户和删除用户等；在整个系统设立一个隶属于集团公司的集团公用账号授予该账号的权限被集团内的所有用户自然继承；进行安全级别管理，对于赋予该用户的数据资源进行过滤，如果该用户的安全级别低于赋予的数据资源的级别，则用户不能访问该资源；每次创建一个法人组织机构，就自动创建一个该法人组织机构下的公司级公用账号，授予该账号的权限被法人内部的所有用户自然继承。除集团公共用户和公司级公共用户之外的用户必须自动代理集团公共账号和公司级公共用户。角色管理主要实现根据业务需要对系统中的角色进行管理，包括对角色的增加、修改和删除。

3.2.2资源管理设计

数据资源管理主要实现定义可访问的数据资源，根据业务需要对数据资源进行查询和维护等工作，一般情况下，该功能由超级管理员或系统管理员进行操作。

3.2.3审计管理设计

审计管理主要包括在线用户管理，在线用户历史记录管理，安全日志管理等功能，通过审计管理系统的实施，增强了系统的安全性。 在线用户管理主要实现根据业务需要对在线用户进行查询，可以查看在线用户的详细信息，必要时还可以终止特定用户的会话。在线用户历史记录管理的主要功能是根据业务需要查询出用户的在线历史记录，此功能主要由超级管理员和系统管理员进行操作。

第三节防病毒系统设计

3.3.1集团整体防病毒系统规划设计

首先进行全方位，多层次防病毒部署部署多层次病毒防线，分别是服务器防病毒、邮件防毒、客户端防毒；其次邮件病毒的防范作为防病毒的重点目前集团许多办公信息通过邮件进行传输。再次防毒不完全依靠病毒代码，而是对病毒发作整个生命周期进行管理当一个恶性病毒入侵时，整个防毒系统要有完善的预警机制、清除机制、修复机制来保障病毒的高效处理。

3.3.2域策略及复杂密码策略的实施

为了加强整个集团网络系统的安全性，在整个集团内部实施了微软地域用户管理策略，每一位员工进入公司后都需要登录域才能够访问公司资源，以保证公司网络系统资源的安全，采用微软域登录策略后，用户登录系统必须进行域用户密码验证，这样增强了系统的安全性，同时防止了非法用户入侵网络系统。为了进一部增强系统的安全性，对于用户密码全部实施复杂密码策略，所有用户密码要求至少8位以上，包括数字、大写字母、小写字母和特殊字符等至少3种以上字符。

第四章 企业网络设计方案的测试

4.1.1测试平台

OPNET可以提供功能强大的编辑器实现对仿真网络或协议进行详细的刻画。常用的编辑有如下几个部分：

（1）网络编辑器（Network Editor ）。

（2）节点编辑器（Node Editor ）。

（3）进程编辑器（Process Editor ）。

（4）表格式编辑器（Packet Format Editor ）。

（5）探针编辑器（Probe Editor ）。

4.1.2测试流程

（1）确定网络仿真的目的，分析需要处理的问题和对象，对网络的拓扑结构、网络设备、网络协议和网络链路等具体内容做详尽的了解；（2）根据要处理的问题和对象建立相应的网络拓扑结构模型；（3）验证网络模型，对网络模型进行修改，将现有网络数据与优化后的网络数据进行比较，最后完善模型；（4）定义输入和输出，设置仿真参数以及要收集的统计量，如延迟（Delaysec）和负载（Load bits/sec）等；（5）运行仿真；（6）统计结果，得出结论并提交仿真报告，仿真报告既可使用图像处理的形式，也可使用数据分析的形式。

第三节测试结果

这里通过阐述网络仿真和性能测量的步骤和方法，并运用OPNET Modeler对设计完成的局域网进行了部分端点的仿真。本文对企业网络架构进行研究分析，然后根据中小型企业的资金能力和对网络的需求进行详细的分析，再对组建企业网所涉及的多方面技术进行对比，最终得到符合某企业目前形势的企业网络设计方案。

第五章总结

。防火墙作为网络边界的第一道防线，由最初的路由器设备配置访问策略进行安全防护，到形成专业独立的产品，己经充斥了整个网络世界。在网络安全领域，随着黑客应用技术的不断“傻瓜化”，入侵检测系统IDS的地位正在逐渐增加。一个网络中，只有有效实施了IDS，才能敏锐地察觉攻击者的侵犯行为，才能防患于未然!