山东香山装饰工程企业网络安全部署设计（硬件方向） 毕业设计.doc

云南工商学院学生毕业作业（设计）山东香山装饰工程企业网络安全部署设计（硬件方向）设计小组 二级学院 机电信息学院 专业 计算机网络技术专业 年 级 11级 班 级 网络技术一班 学号11013200001 姓名 指导教师 职 称 2013年12月2日山东香山装饰工程企业网络安全部署设计（硬件方向）摘要 于这几年由信息化技术的飞速发展，许多有远见的企业都认识到计算机网络信息安全在国民生活中受到越来越多的关注，原因在于：许多重要的信息存储在网络上，一旦这些信息泄露出去将造成无法估量的损失。之所以网络信息会泄露出去，一方面有许多入侵者千方百计想“看”到一些关心的数据或者信息；另一方面网络自身存在安全隐患才使得入侵者得逞。针对这些问题，该文归纳并提出了一些网络信息安全防护的方法和策略。重点研究在物理隔离的情况下计算机网络的安全问题。在对网络系统有了确切的了解之后，将局域网总体划分为三个安全等级，每个等级中包含若干子网，各类子网设置了各自的安全策略。按照计算机网络安全设计的目标及其计算机网络安全系统的总体规划，对计算机网络安全问题进行了全面的分析。依照各个安全等级的安全需求，设计了网络的安全方案。在满足各子网系统建设的前提下，提出了包括病毒防护、动态口令身份认证、安全审计管理、访问控制、信息加密策略、入侵检测系统的部署、漏洞扫描系统等管理措施和安全技术在内的整套解决方案。目的是建立一个完整的、立体的网络安全防御体系，使网络安全系统真正获得较好的效果。关键词 网络安全 扫描系统 防火墙 病毒入侵 网络威胁 安全防范措施。Shandong Xiangshan decoration engineering enterprise network security deployment design (hardware)Abstract Because of the rapid development of information technology in the past few years, many forward-looking companies recognize that the computer network information security is paid more and more attention, in the national life reason: many important information in the network, if the information leaked would cause immeasurable losses. The network information will leak out, on one hand many invaders make every attempt to "look" to some concerned data or information; on the other hand, the network's own existence safety hidden danger makes the intruder. Aiming at these problems, this paper summarizes and puts forward some methods and Strategies of network information security protection.Safety issues focus on the physical separation of the cases of computer network. To have a precise understanding of the network system, the LAN is generally divided into three security levels, each level includes several sub network, all kinds of network to set up their security strategy. In accordance with the overall planning and design of computer network security goal and security of computer network system, the security of computer network are analyzed. According to different security level security needs, design the security scheme of network. In order to meet the system construction of each sub network, including the proposed virus protection, dynamic password authentication, secure audit management, access control, information encryption, intrusion detection system deployment, vulnerability scanning system and other management measures and safety technology, set of solutions. The purpose is to establish a complete, the three-dimensional network security defense system, so that the network security system truly achieve better effect.清空内容Keywords network security firewall virus scanning system network threat security measures.目录第1章 绪论11.1 引言11.2 网络安全背景知识11.3 网络安全的概念和目标2第2章 企业网络安全的威胁及需求32.1 物理层安全风险32.2 系统层安全风险32.3 病毒的安全风险32.4 管理的安全风险4第3章 安全产品的配置与应用53.1 安全产品53.2 访问控制：防火墙系统53.3 入侵检测系统63.4 漏洞扫描系统7第4章 公司网络安全设计94.1 网络设计原则94.2 公司需求94.3 项目要求104.4 企业设计前网络拓扑图114.5 企业项目设计图124.6 实施方案12第5章 安全方案测试145.1 测试管理方案145.2 测试安全方案14第6章 结论15致谢16参考文献17第1章 绪论1.1 引言近年来，伴随着互联网技术在全球迅猛发展，人们在提供了极大的方便，然而，信息化在给人们带来种种物质和文化享受的同时，我们也正受到日益严重的来自网络的安全威胁，诸如网络的数据窃贼、黑客的侵袭、病毒发布者，甚至系统内部的泄密者。尽管我们正在广泛地使用各种复杂的软件技术，如防火墙、代理服务器、侵袭探测器、通道控制机制，但是，无论在发达国家，还是在发展中国家，黑客活动越来越猖狂，他们无孔不入，对社会造成了严重的危害。与此同时，更让人不安的是，互联网上黑客网站还在不断增加，学习黑客技术、获得黑客攻击工具变得轻而易举。这样，使原本就十分脆弱的互联网越发显得不安全。针对各种来自网上的安全威胁，怎样才能确保网络信息的安全性，尤其是网络上重要的数据的安全性。本文通过对几起典型的网络安全事件的分析，以及对威胁网络安全的几种典型方法研究的结果，提出实现防护网络安全的具体策略。1.2 网络安全背景知识1.计算机系统遭受病毒感染和破坏的情况相当严重。据国家计算机病毒应急处理中心数据看，从国家计算机病毒应急处理中心日常监测结果看来，计算机病毒呈现出异常活跃的态势。2.电脑黑客活动己形成重要威胁。网络信息系统具有致命的脆弱性、易受攻击性和开放性，从国内情况来看，目前我国95%与互联网相联的网络管理中心都遭受过境内外黑客的攻击或侵入。3.信息基础设施面临网络安全的挑战。面对信息安全的严峻形势，我国的网络安全系统在预测、反应、防范和恢复能力方面存在许多薄弱环节。据英国简氏战略报告和其它网络组织对各国信息防护能力的评估，我国被列入防护能力最低的国家之一，不仅大大低于美国、俄罗斯和以色列等信息安全强国，而且排在印度、韩国之后。近年来，国内与网络有关的各类违法行为以每年30%的速度递增。网络环境的多变性、复杂性，以及信息系统的脆弱性，决定了网络安全威胁的客观存在。我国日益开放并且走向世界，建立保护屏障和加强安全监管不可缺少。近年来，随着网络安全事件的发生，人们越来越清楚的意识到，信息时代所引发的信息安全问题涉及到人们生活的方方面面。因此可以说，在信息化社会里，信息安全的重要性再怎么强调也不过分。1.3 网络安全的概念和目标一个安全的计算机网络应该具有以下几个特点：(1)可靠性是网络系统安全最基本的要求。可靠性主要是指网络系统硬件和软件无故障运行的性能。(2)可用性是指网络信息可被授权用户访问的特性，即网络信息服务在需要时，能够保证授权用户使用。(3) 保密性是指网络信息不被泄露的特性。保密性是在可靠性和可用性的基础上保证网络信息安全的非常重要的手段。保密性可以保证信息即使泄露，非授权用户在有限的时间内也不能识别真正的信息内容。(4)完整性是指网络信息未经授权不能进行改变的特性，即网络信息在存储和传输过程中不被删除、修改、伪造、乱序、重放和插入等操作，保也称做不可否认性，主要用于网络信息的交换过程，保证信息交换的参与者都不可能否认或抵赖曾进行的操作，类似于在发文或收文过程中的签名和签收的过程。从技术角度看，网络安全的内容大体包括4个方面：1.网络实体安全2.软件安全3.网络数据安全4.网络安全管理由此可见，计算机网络安全不仅要保护计算机网络设备安全，还要保护数据安全等。其特征是针对计算机网络本身可能存在的安全问题，实施网络安全保护方案，以保证算机网络自身的安全性为目标。第2章 企业网络安全的威胁及需求2.1 物理层安全风险物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。 为保证信息网络系统的物理安全，还要防止系统信息在空间的扩散。通常是在物理上采取一定的防护措施，来减少或干扰扩散出去的空间信号。这是政府、军队、金融机构在兴建信息中心时首要的设置的条件。 为保证网络的正常运行，在物理安全方面应采取如下措施： 1产品保障方面：主要指产品采购、运输、安装等方面的安全措施。 2运行安全方面：网络中的设备，特别是安全类产品在使用过程中，必须能够从生成厂家或供货单位得到迅速的技术支持服务。对一些关键设备和系统，应设置备份系统。 3防电磁辐射方面：所有重要涉密的设备都需安装防电磁辐射产品，如辐射干扰机。 4保安方面：主要是防盗、防火等，还包括网络系统所有网络设备、计算机、安全设备的安全防护。 2.2 系统层安全风险所谓系统安全通常是指网络操作系统、应用系统的安全。系统级的安全风险分析主要针对企业企业校园采用的操作系统、数据库、及相关商用产品的安全漏洞和病毒威胁进行分析。企业企业校园网络采用的操作系统7 (主要为Windows2000server/professional，Windows.NET/Workstation，Windows ME，Windows95/98、UNIX)本身在安全方面考虑的较少，服务器、数据库的安全级别较低，存在若干安全隐患。同时病毒也是系统安全的主要威胁，所有这些都造成了系统安全的脆弱性。在企业的网络系统中，包含的设备有：交换机，服务器，工作站等。在服务器上主要有操作系统、软件系统和数据库系统，交换机上也有相应的操作系统。所有的这些设备、软件系统都多多少少地存在着各种各样的漏洞，这些都是重大安全隐患。一旦被利用并攻击，将带来不可估量的损失。2.3 病毒的安全风险计算机病毒是指一种能使自己附加到目标机系统的文件上的程序。它在所有破坏性设备中最具危险性，可以导致服务拒绝、破坏数据，甚至使计算机系统完全瘫痪。当病毒被释放到网络环境时，其无法预测的扩散能力使它极具危险性。在企业的网络系统中，传统的计算机病毒传播手段是通过存储介质进行的，师生在交换存储着数据的介质时，隐藏在其中的计算机病毒就从一台计算机转移到另外的计算机中。而现代的病毒传播手段主要是通过网络实现的，一台客户机被病毒感染，迅速通过网络传染到同一网络的成百上千台机器。师生上网浏览网页、收发电子邮件，下载资料的时候，都有可能被病毒传染，这种互联网和校园内联网通讯模式下的传播方式构成了企业病毒传播途径的主流。2.4 管理的安全风险管理混乱、安全管理制度不健全，责权不明及缺乏可操作性等都可能引起管理安全的风险。因此，最可行的做法是管理制度和管理解决方案相结合。管理方面的安全隐患包括：内部管理人员或师生为了方便省事，设置的口令过短和过于简单，甚至不设置用户口令，导致很容易破解。责任不清，使用相同的口令、用户名，导致权限管理混乱，信息泄密。把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。内部不满的人员有的可能造成极大的安全风险。网络安全管理是防止来自内部网络入侵的必须部分，管理上混乱、责权不明、安全管理制度缺乏可操作性及不健全等都可能引起管理安全的风险。即除了从技术上功夫外，还得靠安全管理来实现。随着企业整个网络安全系统的建设，必须建立严格的、完整的、健全的安全管理制度。网络的安全管理制度策略包括：确定安全管理等级和安全管理范围;制订有关网络操作使用规程和出入机房管理制度;制定网络系统的维护制度和应急措施等。通过制度的约束，确定不同学员的网络访问权限，提高管理人员的安全防范意识，做到实时监控检测网络的活动，并在危害发生时，做到及时报警。2.5操作系统的安全风险分析所谓系统安全通常是指操作系统的安全。操作系统的安装以正常工作为目标，一般很少考虑其安全性，因此安装通常都是以缺省选项进行设置。从安全角度考虑，其表现为装了很多用不着的服务模块，开放了很多不必开放的端口，其中可能隐含了安全风险。 目前的操作系统无论是Windows还是UNIX操作系统以及其它厂商开发的应用系统，其开发厂商必然有其Back-Door。而且系统本身必定存在安全漏洞。这些后门和安全漏洞都将存在重大安全隐患。系统的安全程度跟安全配置及系统的应用有很大关系，操作系统如果没有采用相应的安全配置，则其是漏洞百出，掌握一般攻击技术的人都可能入侵得手。如果进行安全配置，填补安全漏洞，关闭一些不常用的服务，禁止开放一些不常用而又比较敏感的端口等，那么入侵者要成功进入内部网是不容易的，这需要相当高的技术水平及相当长时间。第3章 安全产品的配置与应用3.1 安全产品常用的安全产品有5种：防火墙、防病毒、身份认证、传输加密的入侵检测。结合用户的网络、系统和应用的实际情况，对安全产品和安全技术作比较和分析，分析要客观、结果要中肯，帮助用户选择最能解决他们所遇到的问题的产品，不要求新、求好和求大（1）防火墙：对包过滤技术、代理技术和状态检测技术的防火墙，都做一个概括和比较，结合用户网络系统的特点，帮助用户选择一种安全产品，对于选择的产品，一定要从中立的角度来说明。（2）防病毒：针对用户的系统和应用的特点，对桌面防病毒、服务器防病毒和网关防病毒做一个概括和比较，详细指出用户必须如何做，否则就会带来什么样的安全危险，一定要中肯、合适，不要夸大和缩小。(3)身份认证：从用户的系统和用户的认证的情况进行详细的分析，指出网络和应用本身的认证法会出现哪些风险，结合相关的产品和技术，通过部署这些产品和采用相关的安全技术，能够帮助用户解决所带来的危害和风险。(4)传输加密：要用户加密技术来分析，指出明文传输的巨大危害，通过结合相关的加密产品的技术，能够指出用户的现有情况存在哪些危害和风险。(5)入侵检测：对入侵检测技术要有一个详细的解释，指出在用户的网络和系统部署了相关的产品之后，对现有的安全情况会产生一个怎样的影响要有一个详细的分析。结合相关的产品和技术，指出对用户的系统和网络会带来哪些好处，指出为什么必须要这样做，不这样做怎么样，会带来什么样的后果。防病毒及特洛伊木马软件3.2 访问控制：防火墙系统防火墙是一种网络安全保障手段,是网络通信时执行的一种访问控制尺度,其主要目标就是通过控制入、出一个网络的权限,并迫使所有的连接都经过这样的检查,防止一个需要保护的网络遭外界因素的干扰和破坏。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监视了内部网络和Internet之间地任何活动，保证了内部网络地安全；在物理实现上，防火墙是位于网络特殊位置地以组硬件设备路由器、计算机或其他特制地硬件设备。防火墙可以是独立地系统，也可以在一个进行网络互连地路由器上实现防火墙。用防火墙来实现网络安全必须考虑防火墙的网络拓扑结构： （1）屏蔽路由器：又称包过滤防火墙。 （2）双穴主机：双穴主机是包过滤网关的一种替代。 （3）主机过滤结构：这种结构实际上是包过滤和代理的结合。 （4）屏蔽子网结构：这种防火墙是双穴主机和被屏蔽主机的变形。 根据防火墙所采用的技术不同,我们可以将它分为四种基本类型:包过滤型、网络地址转换NAT、代理型和监测型。 包过滤型 包过滤型产品是防火墙的初级产品,其技术依据是网络中的分包传输技术。网络上的数据都是以“包”为单位进行传输的,数据被分割成为一定大小的数据包,每一个数据包中都会包含一些特定信息,如数据的源地址、目标地址、TCP/UDP源端口和目标端口等。防火墙通过读取数据包中的地址信息来判断这些“包”是否来自可信任的安全站点 ,一旦发现来自危险站点的数据包,防火墙便会将这些数据拒之门外。系统管理员也可以根据实际情况灵活制订判断规则。包过滤技术的优点是简单实用,实现成本较低,在应用环境比较简单的情况下,能够以较小的代价在一定程度上保证系统的安全。但包过滤技术的缺陷也是明显的。包过滤技术是一种完全基于网络层的安全技术,只能根据数据包的来源、目标和端口等网络信息进行判断,无法识别基于应用层的恶意侵入,如恶意的Java小程序以及电子邮件中附带的病毒。有经验的黑客很容易伪造IP地址,骗过包过滤型防火墙。3.3 入侵检测系统入侵是指任何企图破坏资源的完整性、机密性及可用性的活动集合。一般而言，入侵包括尝试性闯入、伪装攻击、安全控制系统渗透、泄漏、拒绝服务，恶意使用六种类型。概括的说，入侵表示系统发生了违反系统安全策略的事件。入侵检测是指通过检查操作系统的审计数据或网络数据包信息来检测系统中违背安全策略或危机系统安全的行为或活动，从而保护系统的资源不受攻击、防止系统数据的泄漏、篡改和破坏。入侵检测系统是指能够通过分析与系统安全相关的数据来检测入侵活动的系统，包括入侵检测的软件和硬件的组合20。从系统所执行的功能上来考虑，入侵检测系统必须包括如下三个功能部件：提供事件记录流的数据收集部件、发现入侵迹象的分析引擎和基于分析引擎的结果产生的响应部件。“入侵检测”是一种网络实时自动攻击识别和响应系统它通过多种途径收集单位内部网的主机和网络信息，对这些信息加以分析，查看网络安全体系结构是否存在漏洞，主机系统和网络上是否有入侵事件发生，如果发现有入侵事件，自动对这些事件响应，同时给出相应提示。企业办公部门比较多，内部网根据部门划分不同的子网网段。每个部门或子网都有一个交换机，设置网络中心，有专门的网络管理员。各个子网汇总到网络中，自连接到高性能服务器群，高性能服务器群放置在防火墙的DMZ区。根据网络流量和保护数据的重要程度，选择IDS探测器配置在内部关键子网的交换机处放置，核心交换机放置控制台，监控和管理所有的探测器因此提供了对内部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。IDS部署方案图在企业安全内网中，入侵检测系统运行于有敏感数据的几个要害部门子网和其它部门子网之间，通过实时截取网络上的是数据流，分析网络通讯会话轨迹，寻找网络攻击模式和其它网络违规活动。当发现网络攻击或未授权访问时，入侵检测可以进行如下反应：(l)控制台报警。(2)记录网络攻击事件。(3)实时阻断网络连接。(4)入侵检测可以过滤和监视TCP/工P协议。系统管理员通过配置入侵检测，可以按协议，源端口，目的端口，源工P/目的工P地址过滤。(5)入侵检测还支持用户自定义的网络安全事件监视。(6)入侵检测能生成系统安全日志以利于系统安全审计并以开放数据库方式支持安全分析决策系统，从而为网络安全提供有效的保障。3.4 漏洞扫描系统网络设备和软件在设计开发过程中不可避免存在缺陷和漏洞，漏洞随着时间推移越来越多;攻击者也从传统上的黑客高手，变成初学者用自动程序来完成攻击，这些都导致黑客攻击越来越容易实现，威胁程度越来越高。由于网络本身及应用系统的复杂性，网络管理员失去了对网络资源的精确控制。采用网络漏洞扫描器对存在的安全隐患进行检查，帮助管理员找出解决的方法。企业内网网络的安全性决定了整个系统的安全性。在企业内网高性能服务器处配置网络隐患扫描联动型产品。联动型适用于企业内网这样的高端用户，联动型扫描系统包括扫描服务器和移动扫描仪。扫描服务器部署于网络中心，高速高效且稳定的扫描防护整体网络;移动扫描仪使用灵活，可以跨越网段、穿透防火墙、主流IDS产品，多种主流联动协议Topsee、Opensec联动，与多种安全管理平台兼容，统一安全策略配置，保障全网安全。通过部署多级联动型产品实现榕基分布式整体安全扫描，网络管理人员可以方便的通过控制扫描器就可以实现对多级管辖区域的服务器进行统一和及时管理，实现对管辖区域服务器，网络设备等的安全性，以保证整体网络的安全性，整体可控性、整体安全资源共享。网络人员使用联动型产品，就可以很方便的对200信息点以上的多个网络进行多线程较高的扫描速度的扫描，可以实现和IDS、防火墙联动，尤其适合于制定全网统一的安全策略。同时移动式扫描仪可以跨越网段、穿透防火墙，实现分布式扫描，服务器和扫描仪都支持定时和多IP地址的自动扫描，网管人员可以很轻松的就可以进行整个网络的扫描，根据系统提供的扫描报告，配合我们提供的三级服务体系，大大的减轻了工作负担，极大的提高了工作效率。通过部署漏洞扫描的联动设备，保障企业内网重要部门的网络安全的同时，提高每个部门的安全性就显得尤其重要。只有部门的安全得到保证的前提下，企业内网才能够安全。我们对这些部门进行合理的规划，可以将这些部门根据统一的配置策略，给下属部门、网络管理应用服务系统配置网络联动扫描系统来保证各个部门的安全性。这样就可以很方便的管理信息点多、网络环境较固定、与企业的业务应用紧密相关的内网中。联动扫描系统支持多线程扫描，有较高的扫描速度，支持定时和多IP地址的自动扫描，网管人员可以很轻松的对自己的网络进行扫描和漏洞的弥补。同时提供了Web方式的远程管理，网管不需要改变如何的网络拓扑结构和添加其他的应用程序就可以轻轻松松的保证了网络的安全性。另外对于信息点少、网络环境变化大的内网配置网络移动式扫描仪。移动式扫描仪手持式设计，使用简单、灵活，携带方便。随着网络规模的逐步庞大、复杂，各个网络之间存在着防火墙、交换机等过滤机制的存在，隐患扫描发送的数据包大部分将被这些设备过滤，降低了扫描的时效性和准确性。针对这种分布式的复杂网络，移动式扫描仪能够充分发挥自身可移动的优势，能够很好的适应这种分布式网络扫描，移动扫描，随时随处保护网络安全。在防火墙处部署联动扫描系统，在部门交换机处部署移动式扫描仪，实现防火墙、联动扫描系统和移动式扫描仪之间的联动，保证了网络安全隐患扫描仪和其他网络安全产品的合作和协调性，最大可能的消除安全隐患，尽可能早地发现安全漏洞并进行修补，优化资源，提高网络的运行效率和安全性。第4章 公司网络安全设计4.1 网络设计原则对于我们学网络技术的人来说，网络必须有一个整体。整体的意思就是说在整个项目中，有一种总体把握的能力，不能中关注自己熟悉的某一个领域，从而对别的领域不关心，甚至不理解，否则就写不出一份好的安全方案。网络设计安全原则体现5个方面：动态性、唯一性、整体性、专业性和严密性。（1）动态性：不要把安全静态化，动态性是安全的一个重要的原则。网络、系统和应用会不断出现新的风险和危险，这决定了安全动态性的重要性。（2）唯一性：安全的动态性决定了安全的唯一性，针对每个网络系统安全的解决，都应该是独一无二的。（3）整体性：对于网络系统所遇到的风险和危险，要从整体来分析和把握，不能哪里有问题就补哪里，要全面地保护和评估。（4）专业性：对于用户的网络、系统和应用，要从专业的角度来分析和把握不能是大概的做法。（5）严密性：整个解决方案，要有一种很强的严密性，不要给人一种虚假的感觉，在设计方案的时候，需要从多方面对方案进行论证。4.2 公司需求山东香山装饰工程有限公司根据业务发展需求，建设一个小型的企业网，有Web、Mail等服务器和办公区客户机。公司已经完成了综合布线工程的施工与网络设备的架设。企业分为财务部门和业务部门，需要他们之间相互隔离。网络管理员在实际维护公司网络的过程中，常遇到各种网络安全问题，例如：网络黑客攻击、网络蠕虫病毒泛滥、各种木马程序等等。由于考虑到Inteneter的安全性，以及网络安全等一些因素，如DDoS、ARP等。需要在防火墙设置相关的策略和其他一些安全策略。网络管理员需要随时排除企业网络在日常运转中出现的各种网络安全问题，保证企业网络的稳定工作。结构图根据山东香山装饰工程有限公司的整体网络情况网络安全需求分析我们针对山东香山装饰工程有限公司的网络安全状况和网络结构来进行需求分析。山东香山装饰工程有限公司的第一个网络安全需求是根据部门需要划分VLAN，使用VPN技术。山东香山装饰工程有限公司的第二个网络安全需求是要安装一个基于安全的操作系统平台的高级通信保护控制系统-网络防火墙，保护公司内部网络的计算机免遭来自国际互联网的黑客攻击、病毒侵扰。山东香山装饰工程有限公司的第三个网络安全需求是企业内部的计算机网络安全问题。山东香山装饰工程有限公司网内有很多计算机均有上网需求，这就导致常出现网络黑客攻击、网络蠕虫病毒泛滥、各种木马程序盗取密码等网络安全问题。因此，依据公司内计算机的使用状况，分别安装软件防火墙、杀毒软件、网络安全软件。4.3 项目要求山东香山装饰工程有限公司在网络安全方面提出下述5方面的要求。（1）安全性：全面有效地保护企业网络系统的安全，保护计算机硬件、软件、数据、网络不因偶然的或恶意破坏的原因遭到更改、泄露和丢失，确保数据的完整性。（2）可控性和可管理性：可自动和手动分析网络安全状况，适时检测并及时发现危险，制定安全策略，及时报警、阻断不良行为，具有很强的可控性和可管理性。（3）系统的可用性在某部分系统出现问题时，不影响企业信息系统的正常运行，具有很强的可用性和及时恢复性。（4）可持续发展性：满足山东香山装饰工程有限公司业务需求和企业可持续发展的要求，具有很强的可开展性和柔韧性。（5）合法性：所采用的安全设备和技术具有我国安全产品管理部门的合法认证。4.4 企业设计前网络拓扑图图4-1 山东香山装饰工程有限公司网络拓扑图4.5 企业项目设计图图4-2 山东香山装饰工程有限公司网络设计图企业项目设计图企业VLAN划分企业主要分两个部门，所以只要划分两个VLAN，分别为：财务部门 VLAN 10 交换机S1接入交换机（神州数码DCS-5526）业务部门 VLAN 20 交换机S2接入交换机（神州数码DCS-5526）核心交换机 S3核心交换机（神州数码DCRS-5526）客户机的地址范围：192.168.2.2 - 192.168.2.254山东香山装饰工程有限公司内网中管理远东网安防火墙主机的计算机地址：192.168.1.2外网的网关：192.168.2.254 防火墙的LAN（eth0）口的IP：192.168.2.1（默认）直接管理远东网安防火墙的计算机地址：192.168.0.114.6 实施方案(1)按照项目要求、项目设计图实施，并保证项目顺利实施。（2）按照写出的管理制度，主要是保证项目实施的质量，项目管理主要包括人的管理、产品的管理和技术的管理。（3）按照项目进度图查看项目实施进度表，作为项目实施的时间标准，要全面考虑完成项目所需要的物质条件，计划出一个比较合适的时间进度表（4）执行人员要保证质量职责、项目质量的保证措施和项目验收。执行人员如项目经理、技术负责人、技术工程师、后勤人员等，以保证整个安全项目的顺利实施。（5）项目质量保证严格质量保证，主要的内容涉及参与项目的相关人员、项目中所涉及的安全产品和技术、用户派出支持该项目的相关人员管理。（6）根据项目具体情况，与用户确定项目验收的详细事项，包括安全产品、技术、完成情况、达到的安全目的等验收。第5章 安全方案测试5.1 测试管理方案记得大二上课的时候赵祖应老师说过信息安全管理机构的职能建设遵照从上至下的垂直管理原则，即：上级机关信息安全管理机构指导下一级机关信息系统安全管理机构的工作原则：下一级机关信息系统的安全管理机构接受并执行上一级机关信息系统安全管理机构的安全策略;信息系统的安全管理机构，不隶属于同级信息系统管理和业务机构。信息系统安全管理机构由系统管理、系统分析、软件硬件、安全保卫、系统稽核、人事、通信等有关方面的人员组成。能建设遵照从上至下的垂直管理原则，即：上级机关信息安全管理机构指导下一级机关信息系统安全管理机构的工作原则：下一级机关信息系统的安全管理机构接受并执行上一级机关信息系统安全管理机构的安全策略;信息系统的安全管理机构，不隶属于同级信息系统管理和业务机构。信息系统安全管理机构由系统管理、系统分析、软件硬件、安全保卫、系统稽核、人事、通信等有关方面的人员组成。5.2 测试安全方案随着网络应用的深入普及，网络安全越来越重要，国家和企业都对建立一个安全的网络有了更高的要求。鉴于国家和各单位领导的重视，涉及信息安全的经费逐年增加，但是信息安全并不是在市场上所有安全产品的堆叠，因为这种堆叠不仅会在经济造成极大的浪费、在人力上造成非常大浪费，更重要的是它没有达到防护的效果，因此完善的计算机网络安全方案就显得十分重要。一个特定的系统网络安全方案，应建立在对网络风险分析的基础上，结合系统实际的应用而做。由于各个系统的应用不同，不能简单地把信息系统的网络安全方案固定为一个模式，用这个模式去套所有的网络系统。本系统通过网络的连通性测试、各应用系统功能的实现测试、网络管理功能的实现测试、实际数据传输的测试均达到网络管理的需求第6章 结论学了三年的大学，三年的计算机现在知道网络安全存在巨大大的问题，在网络设计中，没有一种设计方案可以适合所以的网络。网络设计技术非常复杂而且更新很快，因此我们必须根据实际情况具体分析。网络安全性是一个涉及面很广泛的问题，其中也会涉及到是否构成犯罪行为的问题。在其最简单的形式中，它主要关心的是确保无关人员不能读取，更不能修改传送给其他接收者的信息。此时，它关心的对象是那些无权使用，但却试图获得远程服务的人。安全性也处理合法消息被截获和重播的问题，以及发送者是否曾发送过该条消息的问题。通过这次毕业设计让我更加熟悉了从理论到实践的跨越，也发现在课本中学习到是不足以应付实际发生的问题，这也要我们树立起不断学习，终身学习的概念。本论文从企业角度描述了网络安全的解决方案，目的在于为用户提供信息的保密，认证和完整性保护机制，使网络中的服务，数据以及系统免受侵扰和破坏。比如防火墙，认证，加密技术等都是当今常用的方法，本论文从这些方法入手深入研究各个方面的网络安全问题的解决，可以使读者有对网络安全技术的更深刻的了解。致谢在这几个星期的毕业设计中，我真心的感谢我的指导老师何斌颖，她热情关怀和悉心指导，在她没教我们怎么做之前，我们什么都不会，怎么开头都不会，是她抽了她宝贵的时间给我们上了一课，讲了一课怎么写，怎么开头写，要写些什么。这节课是我最用心听的一课，前面大二的时候一直以为她很凶，很男人，就没不怎么想听她讲课。可到给我们指导怎么写毕业论文的时候，一进来我就被她吸引了，她今天化了谈谈的妆，感觉很清秀。这就是要感谢的蕙质兰心和颜悦色和蔼可亲、菩萨低眉的何斌颖老师。最后，我还要感谢所有所有帮助过我和关心我的老师和朋友，表示我真挚的感谢！参考文献（1）计算机网络安全教材（第2版）（2）网络管理员考试全程指导(3)微软公司，网络安全的实现和管理。背京：高等教育出版社。(4) 高冬梅，网络时代计算机病毒的防范。 考试周刊2006,(07) (5) 那罡. 入侵检测系统未“死”J. 中国计算机用户, 2006,(36) (6) 金雪花. 浅析网络安全技术J. 中国科技信息, 2007,(05)(7) 科技辞典J. 天津科技, 2005,(03) (8) 梁羽. 基于NIDS的立体防御系统方案设计与探讨J. 民营科技, 2008,(05) (9) 张琳, 黄仙姣. 浅谈网络安全技术J. 电脑知识与技术(学术交流), 2006,(11) (10) 杨桦.矿业权评估系统的研究与开发D. 中国优秀硕士学位论文全文数据库,2009,(10)(11) 王明虎.基于信息网格的决策支持系统研究D. 中国优秀博硕士学位论文全文数据库 (硕士),2005,(05)