王希忠 段志鳴 黃俊強(qiáng)

（黑龍江省電子信息產(chǎn)品監(jiān)督檢驗(yàn)院 黑龍江 150090）

0 引言

目前，很多單位和領(lǐng)導(dǎo)都認(rèn)為網(wǎng)絡(luò)建設(shè)中的安全問題關(guān)鍵是資金的問題，只要資金到位，所有的安全問題都會迎刃而解，只要設(shè)備到位，就萬事大吉，其實(shí)這是對網(wǎng)絡(luò)安全存在的一個誤區(qū)。應(yīng)該承認(rèn)，網(wǎng)絡(luò)安全的建設(shè)水平確實(shí)需要相應(yīng)的資金投入來支撐，但是應(yīng)該認(rèn)識到網(wǎng)絡(luò)建設(shè)中安全問題不僅僅需要硬件設(shè)施來完善，更多時候是我們在考慮和設(shè)計(jì)的網(wǎng)絡(luò)架構(gòu)中忽略了關(guān)鍵的安全要素，本文面將結(jié)合四種常見的網(wǎng)絡(luò)架構(gòu)進(jìn)行研究和分析，并提出安全的網(wǎng)絡(luò)架構(gòu)應(yīng)該具備的基本要素。

1 常見的網(wǎng)絡(luò)架構(gòu)及存在的安全問題分析

筆者通過長期的信息安全評估和測評實(shí)踐，總結(jié)了以下常見的四種網(wǎng)絡(luò)架構(gòu)，作為研究的重點(diǎn)，分析其設(shè)計(jì)上的優(yōu)勢和可取之處，指出其存在的不足之處和安全問題，與之類似的網(wǎng)絡(luò)系統(tǒng)也可參照以下模型進(jìn)行分析和研究。

（1）缺乏健壯性的網(wǎng)絡(luò)架構(gòu)

圖1 缺乏健壯性的網(wǎng)絡(luò)架構(gòu)

圖1是現(xiàn)在網(wǎng)絡(luò)安全建設(shè)中比較常見的一種網(wǎng)絡(luò)架構(gòu)，采用防火墻實(shí)現(xiàn)內(nèi)外網(wǎng)的邏輯隔離，網(wǎng)絡(luò)邊界處部署了防毒墻、入侵防御系統(tǒng)；在終端接入?yún)^(qū)域和核心交換機(jī)之間、服務(wù)接入?yún)^(qū)域和核心交換機(jī)之間都部署了防火墻，網(wǎng)絡(luò)核心處部署了網(wǎng)絡(luò)安全審計(jì)系統(tǒng)和入侵檢測系統(tǒng)，在管理區(qū)域部署了漏洞掃描系統(tǒng)、防病毒系統(tǒng)、桌面安全管理系統(tǒng)和網(wǎng)絡(luò)管理系統(tǒng)，應(yīng)該說整個網(wǎng)絡(luò)架構(gòu)不論在面對外部攻擊或是內(nèi)部破壞方面都具備相當(dāng)強(qiáng)的抵御能力，而且也考慮到內(nèi)部惡意代碼防范，網(wǎng)絡(luò)綜合管理，系統(tǒng)漏洞檢測修復(fù)等方面?，F(xiàn)在研究分析該網(wǎng)絡(luò)架構(gòu)存在的安全問題：網(wǎng)絡(luò)中主核心交換機(jī)只有一臺，主核心交換機(jī)與各區(qū)域匯聚交換機(jī)都是單鏈路連接，如果主核心交換機(jī)發(fā)生故障，整個網(wǎng)絡(luò)基本上就陷于癱瘓狀態(tài)，因?yàn)楦鱾€區(qū)域的數(shù)據(jù)交換完全依靠主核心的路由轉(zhuǎn)發(fā)來實(shí)現(xiàn)，整個單位的業(yè)務(wù)數(shù)據(jù)傳輸就陷于停滯狀態(tài)，因此結(jié)論是該網(wǎng)絡(luò)架構(gòu)不滿足網(wǎng)絡(luò)健壯性方面的要求，存在較大的安全隱患。另一方面，從網(wǎng)絡(luò)系統(tǒng)中部署的安全設(shè)備和各類支持管理系統(tǒng)判斷，該網(wǎng)絡(luò)運(yùn)營支持單位應(yīng)該并不缺乏建設(shè)資金支持，只是在當(dāng)初進(jìn)行網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)時，對網(wǎng)絡(luò)的冗余性考慮不足，形成現(xiàn)在的基礎(chǔ)運(yùn)行架構(gòu)。

（2）缺乏防護(hù)能力的網(wǎng)絡(luò)架構(gòu)

圖2 缺乏防護(hù)能力的網(wǎng)絡(luò)架構(gòu)

圖2中的網(wǎng)絡(luò)架構(gòu)主要特點(diǎn)是，主核心交換機(jī)雙冗余部署，所有與核心的連接線路都是雙鏈路考慮，內(nèi)部網(wǎng)絡(luò)通過路由器作為邊界與互聯(lián)網(wǎng)連接，整個網(wǎng)絡(luò)的健壯性良好，同時內(nèi)部部署了網(wǎng)絡(luò)管理系統(tǒng)和桌面安全終端管理系統(tǒng)，對整個網(wǎng)絡(luò)和終端有統(tǒng)一管理。但是整個網(wǎng)絡(luò)缺乏對安全防護(hù)方面的考慮，首先是邊界缺少訪問控制設(shè)備或是入侵防范設(shè)備，內(nèi)部沒有惡意代碼防范措施，沒有事件回溯考慮，也沒有網(wǎng)絡(luò)安全掃描手段，應(yīng)該說整個網(wǎng)絡(luò)系統(tǒng)缺少基本的安全保障，即使是面對一般的網(wǎng)絡(luò)攻擊，也可能導(dǎo)致整個系統(tǒng)的被破壞和被癱瘓。因此結(jié)論是該網(wǎng)絡(luò)架構(gòu)存在極大的安全問題，如果不及時完善，一旦出現(xiàn)安全事件，后果將不堪設(shè)想。

（3）缺乏統(tǒng)一管理的網(wǎng)絡(luò)架構(gòu)

圖3 缺乏統(tǒng)一管理的網(wǎng)絡(luò)架構(gòu)

圖3所示網(wǎng)絡(luò)架構(gòu)的基本特點(diǎn)是，網(wǎng)絡(luò)邊界通過防火墻與互聯(lián)網(wǎng)做邏輯隔離和訪問控制，內(nèi)部通過部署各種安全及檢測設(shè)備降低安全風(fēng)險系數(shù)，健壯性方面采取雙核心雙鏈路冗余部署進(jìn)行保障，整個網(wǎng)絡(luò)架構(gòu)在抗攻擊和預(yù)防故障方面都有良好的表現(xiàn)。但是結(jié)論仍然是存在比較明顯的安全問題：業(yè)務(wù)系統(tǒng)服務(wù)器和各類安全檢測設(shè)備都直接與核心交換機(jī)相連，沒有劃分區(qū)域進(jìn)行單獨(dú)管理或者是占用了核心交換機(jī)寶貴的連接端口，很可能造成當(dāng)主核心交換個別端口故障時沒有可替代端口；因?yàn)閮?nèi)部沒有部署網(wǎng)絡(luò)綜合管理系統(tǒng)，系統(tǒng)管理人員對整個網(wǎng)絡(luò)的運(yùn)行維護(hù)缺少監(jiān)測和管理手段，交換、路由和安全設(shè)備陷入各自為戰(zhàn)的局面；缺少桌面終端安全管理，將使網(wǎng)絡(luò)管理中心失去對內(nèi)部網(wǎng)絡(luò)用戶的安全監(jiān)管，非法外聯(lián)者和非法內(nèi)聯(lián)者就有可能乘虛而入。

（4）缺乏安全規(guī)劃的網(wǎng)絡(luò)架構(gòu)

圖4 缺乏安全規(guī)劃的網(wǎng)絡(luò)架構(gòu)

圖4中的網(wǎng)絡(luò)架構(gòu)，采用中轉(zhuǎn)服務(wù)器進(jìn)行內(nèi)外網(wǎng)邏輯隔離，外部網(wǎng)絡(luò)因?yàn)闆]有安全需要所以省略了安全方面的考慮，內(nèi)部網(wǎng)絡(luò)雙核心雙鏈路冗余設(shè)計(jì)，同時部署了相應(yīng)的安全檢測、掃描、審計(jì)設(shè)備和管理系統(tǒng)，并且為了保證應(yīng)用系統(tǒng)的安全訪問，在服務(wù)器的前端又增設(shè)了兩臺防火墻，如果忽略中轉(zhuǎn)服務(wù)器的因素，整個網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)應(yīng)該說是比較安全和充分可行的，但是問題出在中轉(zhuǎn)服務(wù)器的部署位置上。該中轉(zhuǎn)服務(wù)器兩塊網(wǎng)卡同時連接內(nèi)外網(wǎng)，通過一個軟件將內(nèi)部數(shù)據(jù)定時導(dǎo)出發(fā)布到外部網(wǎng)站上，考慮到如果中轉(zhuǎn)服務(wù)器失去控制權(quán)變成攻擊者的跳板，那么數(shù)據(jù)庫服務(wù)器2和應(yīng)用服務(wù)器2將面對來自外網(wǎng)的直接攻擊，因此該網(wǎng)絡(luò)架構(gòu)存在較大安全隱患。中轉(zhuǎn)服務(wù)器本應(yīng)接在應(yīng)用服務(wù)區(qū)域邊界的防火墻上，而不是接在接入交換機(jī)上，通過防火墻來控制中轉(zhuǎn)服務(wù)器對應(yīng)用服務(wù)區(qū)的訪問，會大大提高該網(wǎng)絡(luò)架構(gòu)的安全系數(shù)?？紤]到該網(wǎng)絡(luò)架構(gòu)里中轉(zhuǎn)服務(wù)器所在的外網(wǎng)區(qū)域缺少必要的安全防護(hù)措施，中轉(zhuǎn)服務(wù)器被攻擊者控制的風(fēng)險還是客觀存在的。

2 安全網(wǎng)絡(luò)架構(gòu)的幾個基本要素分析

本文上面舉例說明了幾種常見的網(wǎng)絡(luò)架構(gòu)中存在的安全隱患和問題，現(xiàn)在筆者按照一般應(yīng)用條件下，安全網(wǎng)絡(luò)架構(gòu)應(yīng)該具有基本要素進(jìn)行講解，并解釋這些要素的具體作用。

（1）健壯性：網(wǎng)絡(luò)中的核心處理設(shè)備在性能和業(yè)務(wù)處理能力要能滿足當(dāng)前系統(tǒng)業(yè)務(wù)高峰期的需要，并且有冗余考慮，雙機(jī)雙鏈路配置，避免骨干網(wǎng)絡(luò)存在單點(diǎn)故障安全的情況。

（2）安全域、安全路徑：根據(jù)系統(tǒng)使用單位管理需要和所涉及信息的重要程度等因素，劃分子網(wǎng)或網(wǎng)段，按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段，建立相應(yīng)的安全區(qū)域；將重要網(wǎng)段部署在系統(tǒng)核心區(qū)域，在重要網(wǎng)段與其他網(wǎng)段之間部署防火墻、IPS、網(wǎng)閘等防護(hù)手段進(jìn)行邏輯隔離。在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進(jìn)行路由控制建立安全的訪問路徑，嚴(yán)格控制業(yè)務(wù)終端的訪問區(qū)域。

（3）訪問控制：在網(wǎng)絡(luò)邊界部署防火墻，啟用訪問控制功能。限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)，部署流控設(shè)備對流量進(jìn)行管理和控制；采用IP+MAC地址綁定或其他手段防止地址欺騙攻擊；采取訪問控制措施控制主機(jī)對受控系統(tǒng)資源的訪問；限制具有撥號訪問權(quán)限的用戶數(shù)量。[1]

（4）事件的回溯：通過部署主機(jī)日志集中審計(jì)系統(tǒng)和網(wǎng)絡(luò)集中審計(jì)系統(tǒng)，能根據(jù)記錄數(shù)據(jù)進(jìn)行分析并生成審計(jì)報表，以便對事件的追溯和回放。

（5）非法連接管控：通過部署桌面安全管控系統(tǒng)或是內(nèi)網(wǎng)安全管理系統(tǒng)，控制非法接入或不授權(quán)的外聯(lián)。

（6）入侵防范：在網(wǎng)絡(luò)中部署入侵防御系統(tǒng)（IPS）、入侵檢測系統(tǒng)（IDS），或者是具備此類功能的安全設(shè)備來防止惡意攻擊和入侵。

（7）惡意代碼防范：在網(wǎng)絡(luò)邊界部署防毒墻系統(tǒng)或者在網(wǎng)管區(qū)部署網(wǎng)絡(luò)防病毒系統(tǒng)，或者具備此類功能的安全設(shè)備，防止病毒感染泛濫。

（8）安全掃描：在網(wǎng)絡(luò)中部署漏洞掃描系統(tǒng)或者具備此類功能的安全設(shè)備，能及時掌握網(wǎng)絡(luò)中的存在的安全漏洞和系統(tǒng)的安全狀況。

（9）網(wǎng)絡(luò)管理：在網(wǎng)絡(luò)中部署網(wǎng)絡(luò)綜合管理系統(tǒng)對網(wǎng)絡(luò)的整體運(yùn)行情況進(jìn)行監(jiān)控，實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備、安全設(shè)備、重要服務(wù)器等的統(tǒng)一管理。[2]

3 結(jié)束語

隨著計(jì)算機(jī)技術(shù)的迅速發(fā)展，基于網(wǎng)絡(luò)連接的安全問題也日益突出，由于網(wǎng)絡(luò)架構(gòu)是為設(shè)計(jì)、構(gòu)建和管理一個通信網(wǎng)絡(luò)提供一個構(gòu)架和技術(shù)基礎(chǔ)的藍(lán)圖。同時也決定了系統(tǒng)使用單位在面對外部網(wǎng)絡(luò)威脅時的安全性，這就要求對網(wǎng)絡(luò)架構(gòu)的設(shè)計(jì)思路也要及時跟上網(wǎng)絡(luò)安全形勢發(fā)展的需要，不管是網(wǎng)絡(luò)的建設(shè)單位還是網(wǎng)絡(luò)的承建單位，都要充分考慮網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)過程中的安全要素問題，避免工程建設(shè)期間和完成后才發(fā)現(xiàn)網(wǎng)絡(luò)存在重要安全隱患，還需要進(jìn)行二次建設(shè)或者整改工作，造成不必要的資金和資源的浪費(fèi)。

[1]中國國家標(biāo)準(zhǔn)化管理委員會、中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局[S].《GB/T22239-2008 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求》.

[2]曹子建，趙宇峰，容曉峰.網(wǎng)絡(luò)入侵檢測與防護(hù)墻聯(lián)動平臺設(shè)計(jì)[J].信息網(wǎng)絡(luò)安全，2012，（09）：12-14.