企业网络安全方案设计分析

◆李常福



企业网络安全方案设计分析

◆李常福

（郑州市中心医院 河南 450000）

目前计算机网络已成为企业生存和发展不可或缺的组成部分，但随着网络安全问题的频发，以及网络安全问题所带来的严重影响，有必要针对目前企业网络安全主要存在的问题，提出综合、有效、可行的企业网络安全防护设计方案。

企业网络；安全；病毒；物理

0 引言

在现代企业的生存与发展过程中，企业网络安全威胁与企业网络安全防护是并行存在的。虽然企业网络安全技术与以往相比取得了突破性的进展，但过去企业网络处于一个封闭或者是半封闭的状态，只需简单的防护设备和防护方案即可保证其安全性。而当今大多数企业网络几乎处于全球互联的状态，这种时空的无限制性和准入的开放性间接增加了企业网络安全的影响因素，自然给企业网络安全带来了更多的威胁。因此，企业网络安全防护一个永无止境的过程，对其进行研究无论是对于网络安全技术的应用，还是对于企业的持续发展，都具有重要的意义。

1 企业网络安全问题分析

基于企业网络的构成要素以及运行维护条件，目前企业网络典型的安全问题主要表现于以下几个方面。

1.1 网络设备安全问题

企业网络系统服务器、网络交换机、个人电脑、备用电源等硬件设备，时常会发生安全问题，而这些设备一旦产生安全事故很有可能会泄露企业的机密信息，进而给企业带来不可估量经济损失。以某企业为例，该企业网络的服务器及相关网络设备的运行电力由UPS接12V的SOAK蓄电池组提供，该蓄电池组使用年限行、容量低，在长时间停电的情况下，很容易由于蓄电池的电量耗尽而导致整个企业网络的停运。当然，除了电源问题外，服务器、交换机也存在诸多安全隐患。

1.2 服务器操作系统安全问题

随着企业规模的壮大以及企业业务的拓展，对企业网络服务器的安全需求也有所提高。目前诸多企业网络服务器采用的是Windows XP或Windows7操作系统，由于这些操作系统存在安全漏洞，自然会降低服务器的安全防御指数。加上异常端口、未使用端口以及不规范的高权限账号管理等问题的存在，在不同程度上增加了服务器的安全威胁。

1.3 访问控制问题

企业网络访问控制安全问题也是较为常见的，以某企业为例，该企业采用Web sense管理软件来监控企业内部人员的上网行为，但未限制存在安全隐患的上网活动。同时对于内部上网终端及外来电脑未设置入网认证及无线网络访问节点安全检查，任何电脑都可在信号区内接入到无线网络。

2 企业网络安全防护方案

基于上述企业网络普遍性的安全问题，可以针对性的提出以下综合性的安全防护方案来提高企业网络的整体安全性能。

2.1 网络设备安全方案

企业网络相关设备的安全性能是保证整个企业网络安全的基本前提，为了提高网络设备的整体安全指数，可采取以下具体措施。首先，合适传输介质的选用。尽量选择抗干扰能力强、传输频带宽、传输误码率低的传输介质，例如屏蔽式双绞线、光纤等。其次是保证供电的安全可靠。企业网络相关主干设备对交流电源的生产质量、供电连续性、供电可靠性以及抗干扰性等指标提出了更高的要求，这就要求对企业网络的供电系统进行优化。以上述某企业网络系统电源供电不足问题为例，为了彻底解决传统电源供给不足问题，可以更换为大容量的蓄电池组，并安装固定式发电机组，进而保证在长时间停电状态下企业网络设备的可持续供电，避免因为断电而导致文件损坏及数据丢失等安全问题的发生。

2.2 服务器系统安全方案

企业网络服务器系统的安全尤为重要，然而其安全问题的产生又是多方面因素所导致的，需要从多个层面来构建安全防护方案。

2.2.1 操作系统漏洞安全

目前企业网络服务器操作系统以Windows为主，该系统漏洞的出现成为了诸多攻击者的重点对象，除了采取常规的更新Windows系统、安装系统补丁外，还应针对企业网络服务器及个人电脑的操作系统使用实际情况，实施专门的漏洞扫描和检测，并根据扫描结果做出科学、客观、全面的安全评估，如图1所示，将证书授权入侵检测系统部署在核心交换机的监控端口，并在不同网段安装由中央工作站控制的网络入侵检测代理，以此来检测和响应网络入侵威胁。

图1 漏洞扫描及检测系统

2.2.2 Windows 端口安全

在Windows系统中，端口是企业实现网络信息服务主要通道，一般一台服务器会绑定多个IP，而这些IP又通过多个端口来提高企业网络服务能力，这种多个端口的对外开放在一定程度反而增加了安全威胁因素。从目前各种服务器网络攻击的运行路径来看，大多数都要通过服务器TCP/UDP端口，可充分这一点来预防各种网络攻击，只需通过命令或端口管理软件来实现系统端口的控制管理即可。

2.2.3 Internet信息服务安全

Internet信息服务是以TCP/IP为基础的，可通过诸多措施来提高Internet信息服务安全。

（1）基于IP地址实现访问控制。通过对IIS配置，可实现对来访IP地址的检测，进而以访问权限的设置来阻止或允许某些特定计算机的访问站点。（2）在非系统分区上安装IIS服务器。若在系统分区上安装IIS，IIS就会具备非法访问属性，给非法用户侵入系统分区提供便利，因此，在非系统分区上安全IIS服务器较为科学。（3）NTFS文件系统的应用。NTFS文件系统具有文件及目录管理功能，服务器Windows2000的安全机制是基于NTFS文件系统的，因此Windows2000安装时选用NTFS文件系统，安全性能更高。（4）服务端口号的修改。虽然IIS网络服务默认端口的使用为访问提供了诸多便捷，但会降低安全性，更容易受到基于端口程序漏洞的服务器攻击，因此，通过修改部分服务器的网络服务端口可提高企业网络服务器的安全性。

2.3 网络结构安全方案

2.3.1 强化网络设备安全

强化企业网络设备的自身安全是保障企业网络安全的基础措施，具体包含以下措施。

（1）网络设备运行安全。对各设备、各端口运行状态的实时监控能有效发现各种异常，进而预防各种安全威胁。一般可通过可视化管理软件的应用来实现上述目标，例如What’s up Gold能实现对企业网络设备状态的监控，而Solar Winds NetworkPerformance monitor可实现对各个端口流量的实时监控。（2）网络设备登录安全。为了保证网络设备登录安全指数，对于企业网络中的核心设备应配置专用的localuser用户名，用户名级别设置的一级，该级别用户只具备读权限，一般用于console、远程telnet 登录等需求。除此之外，还可设置一个单独的super密码，只有拥有super密码的管理员才有资格对核心交换机实施相关配置设置。（3）无线AP安全。一般在企业内部有多个无线AP设备，应采用较为成熟的加密技术设置一个较为复杂的高级秘钥，从而确保无线接入网的安全性。

2.3.2 细分网络安全区域

目前，广播式局域的企业网络组网模式存在着一个严重缺陷就是当其中各个局域网存在ARP病毒时，未设置ARP本地绑定或未设置ARP防火墙的终端则无法有效访问系统，同时还可能泄露重要信息。为了解决这种问题，可对整个网络进行细分，即按某种规则如企业职能部门将企业网络终端设备划分为多个网段，在每个网段均有不同的vlan，从而保证安全性。

2.3.3 加强通信访问控制

针对企业各个部门对网络资源的需求，在通信访问控制时需要注意以下几点：对内服务器应根据提供的业务与对口部门互通；对内服务器需要与互联网隔离；体验区只能访问互联网，不能访问办公网。以上功能的实现，可在核心路由器和防火墙上共同配合完成。

[1]王东.企业网络安全方案的设计与实现的研究[D].天津大学，2014.