网络安全实施方案

网络安全实施方案

一、深彻了解现有网络资源

网络安全就是软件一样牵一发动全身，网络安全第一步是是整理出网络目前所有运行设备的型号、硬件版本、软件版本、补丁情况等。对现有的交换机、路由器、服务器等设备在现有的资源做好完全完善工作。

1.1网络交换、路由设备的基础网络安全部署

对登录的安全认证管理检查

启用ACL，针对已知的病毒（冲击波、振荡波）等端口进行封堵

vlan之间访问控制（做好部门之间的访问控制）

针对设备的管理做好限制（比如只允许网管机器管理网络设备）

检查SNMP安全漏洞（很多设备默认支持SNMP，会给网络带来很多安全隐患）

系统日志设置（很多设备标准配置系统日志很少，要进行调优）

系统时间是否一致（保持时间一致有助于问题排查，建议构建一台ntp Server）

对交换机、路由器开启DDOS防范攻击

1.2对服务器的基础安全部署

安装操作系统补丁

对系统进行安全加固（服务器很多默认配置是不安全）

对应用的系统的漏洞进行加固

关闭没有的服务

防病毒软件部署

如果可能安装防火墙软件

对于一些安全加固以及应用系统漏洞加固不知道如何做，那就要借助一些漏洞扫描设备来协助。

二、对网络进行分区域管理

把网络进行分区域管理，对重点防护对象需要列入日常安全防护重点，这样避免严重安全事故产生产生。网络可以分为以下几个区域来对待：

内网区域

★财务区域

★医疗区域

★开发区域

服务器区域

DMZ区域

外网区域

★互联网区域

★VPN拨入区域

★专线接入区域

边界网络区域

用户终端区域

对于一般的网络可为分为内网区域、外网区域、DMZ区域、用户终端区域，对于一些复杂的网络需要对网络区域进行细化。比如把内网区域分为财务区域、生产区域。一般是使用防火墙设备进行分区域，由防火墙来控制各个区域的安全，因此如何区域划得越细需要的防火墙设备。如果更高级一点就需要在各区域部署IPS、流量检测、病毒网关等安全设备来过滤。

三、用户终端安全

网络主干安全保证是网络管理员一个基本任务，接下来就要做好用户接入的安全，网络安全的最终目标是要让网络可控。对用户端安全控制可以从以下几个手段进行防护：

用户接入的交换机端口做MAC绑定，防止非法用户接入，防止ARP病毒

用户接入防Proxy，防止不可预知用户进入网络

防止DHCP欺骗、攻击（如果使用dhcp server）

如果有可能的话采用安全准入解决方案

★实现基于用户身份的网络接入控制

★隔离“危险”用户

★屏蔽不合法用户进入网络（系统没打，或安装黑客软件等等）

★基于用户做好acl

四、做好主动防御工作

以上几个动作都是一些被动的网络安全基本完善工作，接下来我们就要针对特定的应用部署相应的安全设备，比如针对邮件服务器的防病病毒过滤和防垃圾邮件等等，同时在网络出口出处部署流量监控、流量分析设备可以扼杀攻击萌芽状态。网络安全只是相对，没办法做到绝对安全。因此针对重要的服务器要做好加密工作，这样即使数据被黑客截取也看不懂。

五、建立科学的安全管理体系

电脑是死的人是活，想要网络安全设备来构建一个有效安全堡垒是不现实。做好网络安全防范工作最重要还是建立一个科学的安全管理体系，做好安全巡检工作，做到每个设备、每个应用都有专人负责。