您好, 访客   登录/注册

政府网络安全

来源:用户上传      作者:

  【中图分类号】G250【文献标识码】A【文章编号】1004-1079(2008)10-0196-01
  
  网络极大地提高了政府办事的效率,但同时也带来网络安全的风险。政府网络设计中必须制定网络安全策略,保证内部网络的完整性和安全性。为了保证网络的安全,可以采取以下安全措施。
  1.防火墙部署
  在政府官方网站与Inter之间采用状态检测包过滤技术,实现快速的基于源/目的IP地址、服务、用户和时间的细粒度访问控制。通过记录新建应用连接,状态检测检查预先设置的安全规则,允许符合规则的连接通过,并在系统中记录下该连接的相关信息,生成状态表。对该连接的后续数据包,只要符合状态检查表,就可以快速通过。这种方式的好处在于:由于不需要对每个数据包进行规则检查,而是通过专门设计的算法实现同一连接的后续数据包(通常是大量的数据包)直接进入状态检查,从而较大提升系统性能。
  2.网络安全预警系统的部署
  入侵检测能力是衡量一个防御体系是否完整有效的重要因素,根据政府网络的特点,我们采用瑞星网络安瑞星网络版杀毒软件的部署,为了实现在整个局域网内病毒的防护,我们在可能感染和传播病毒的地方采取相应的防病毒手段,实现远程安装、智能升级、远程报警、集中管理、分布查杀病毒等多种安全防护功能。
  3.防毒墙的部署
  在Internet与政府网内网之间部署瑞星防毒墙或其他防毒设施。其中WWW、E-mail、FTP、DNS服务器连接在防火墙的DMZ区,与内、外网间进行隔离,内网口连接校园网内网交换机,外网口通过路由器与Internet连接。这样,通过Internet进来的外网用户只能访问到对外公开的一些服务(如WWW、E-mail、FTP、DNS等),既保护内网资源不被非法访问或破坏,也阻止了内部用户对外部不良资源的使用,并能够对发生的安全事件进行跟踪和审计。
  4.病毒的防范
  设立防毒网关,防火墙无法防止病毒的传播,因而需要安装基于Internet网关的防毒软件,具体可以安装到代理服务器上,以防止Internet病毒及Java程序对系统的破坏。
  5.访问控制
  利用身份认证技术对于拨号进入政府网的用户进行严格控制,在拨号线路上加装保密机,使无保密机的用户无法拨通;通过用户名和口令的认真检查用户身份;利用回拨技术再次确认和限制非法用户的入侵。
  这是政府网络安全的一个方案。另外,可以采取另一个方案。那就是构筑整体的网络安全架构。
  1.ARP攻击防范和伪DHCP防范以及其他
  (1)政府网的ARP防范方案
  政府网的分布层交换机为三层交换机,支持硬件ACL功能。这样就可以将中毒机器单独隔离。在二层半(或者三层)交换机端口上手工添加IP+MAC绑定,交换机端口芯片则会根据所绑定的信息对所有报文进行检查,不匹配的报文将被丢弃。而且当ARP报文内部内容部分(sender address项)不符合绑定内容或者伪造有假网关信息,则该ARP报文也会被丢弃,该过程由硬件完成,对交换性能无影响。中毒机器被单独隔离,所有PC的IP地址被绑定,不会再有IP冲突的问题。
  (2)针对伪DHCP欺骗
  我们将用户端口设置为非信任端口,非信任端口下是不允许接DHCP服务器的,所以即使有伪DHCP服务器挂在内网,也不会欺骗到其他的用户。
  (3)针对用户私改IP地址
  内网用户都是通过自动获取地址的方式上网,但是如果有用户手动篡改自己的IP修改为其他用户通过自动获取得来的IP,这样就会导致正常用户发现内网地址有重复,可能会导致此用户不能上网。针对这种情况,我们在汇聚层交换机开启DHCP snooping分发地址保护功能,一旦用户获取到了一个地址,那么交换机就会对这个分发出去的IP和用户的MAC进行保护,自动绑定到对应端口,其他用户即使手动篡改为此IP,修改者也发现无法上网,而正常获取到地址的用户还是正常上网。
  2.FLOOD攻击防范、环路检测防范
  针对FLOOD攻击,我们可以在端口下设置IP计时器――IP计时器和ARP计时器的处理机制比较相似,如果一台设备在一段时间内发送目的IP不同的数据包过多,交换机同样会封锁此设备一段时间。
  二层以上的交换机支持生成数协议,这就意味着如果一根网线在交换机上自环,交换机为了保护整个网络不会产生环路,会主动关闭掉一个端口来清除环路。


转载注明来源:https://www.xzbu.com/9/view-66070.htm