网络安全系统的基本组成

如下内容摘自业界惟一一本真正从全局视角介绍网络安全系统设计的图书——《网络工程师必读——网络安全系统设计》一书。目前该书在卓越网上仅须要72折:http://www.amazon.cn/mn/detailApp?ref=DT_BG&uid=479-8465001-9671654&prodid=bkbk975360

1.1.4 网络安全系统的基本组成

上节介绍到了，网络安全系统是一个相对完整的安全保障体系。那么这些安全保障措施具体包括哪些，又如何体现呢？这能够从OSI/RM的7层网络结构来一一分析。由于计算机的网络通讯，都离不开OSIR/RM的这7层（注意，并非全部计算机网络通讯都须要通过完整的7层）。固然，网络安全系统又不只体如今OSI/RM的7层结构中，由于安全风险还能够不是在计算机网络通讯过程当中产生的，如咱们的操做系统（是属于系统层的）、应用软件、用户帐户信息的保护、数据的容灾和备份，以及机房的管理等。

针对上节介绍的这几类主要安全隐患类型，咱们所采起的安全策略最多见的就包括：

n 安装专业的网络版病毒防御系统（目前一般都已包括***、恶意软件的检测和清除功能），固然也要增强内部网络的安全管理，由于这些也能够经过内部网络进行传播的；

n 配置好防火墙、路由器过滤策略和系统自己的各项安全措施（如针对各种***所进行的通讯协议安全配置）；

n 及时安装操做系统、应用软件的安全漏洞补丁，尽量地堵住操做系统、应用软件自己所带来的安全漏洞；

n 有条件的用户还可在内、外网之间安装网络扫描检测、网络嗅探器（Sniffer）、***检测（IDS）和***防护（IPS）系统，以便及时发现和阻止来自各方面的***；

n 配置网络安全隔离系统，对内、外网络进行安全隔离；增强内部网络安全管理，严格实行“最小权限”原则，为各用户配置好恰当的用户权利和权限；同时对一些敏感数据进行加密保护，对发出去的数据还可采起数字签名措施；

n 根据企业实际须要配置好相应的数据容易策略，并按策略认真执行。

以上具体安全措施将在本书后章中体现。但整体来讲，一个完善的网络安全系统应该包括计算机网络通讯过程当中针对OSI/RM的所有层次安全保护和系统层的安全保护，如图1-1所示。系统层次的安全保护主要包括操做系统、应用服务器和数据库服务器等的安全保护。这样就能够构成一个立体的多层次、全方位的安全保护体系。

图1-1 网络安全系统的基本组成

OSI/RM各个层次的安全保护就是为了预防非法***、非法访问、病毒感染和******。而非计算机网络通讯过程当中的安全保护则是为了预防网络的物理瘫痪和网络数据损坏。

【注意】并非全部计算机网络通讯都须要对OSI/RM的全部7层采起安全保护措施，由于有些计算机网络中只有其中的少数几层，如同一个局域网内部的通讯仅物理层和数据链路层两层，在TCP/IP网络中，又能够把OSI/RM参考模型中的“会话层”、“表示层”和“应用层”合并在一个TCP/IP参考模型中的“应用层”，没必要一层层采起单独的安全保护措施。

总的来讲，网络安全系统的防御策略中应包括如下四大方面：

n 计算机病毒、***、恶意软件的清除与预防

这个很常见，你们也很容易理解。主要措施就是安装各种专业的计算机病毒、***和恶意软件防御系统，有单机版，也有网络版，在企业网络中，一般是采用网络版的。

n ******的拦截与预防

网络安全威胁中绝大部分是来自******的，由于它带来的后果可能很是大，也多是毁灭性的。别看“***”就这两个字，如今的“***”可再也不是那么简单了，能够针对OSI/RM的全部7层进行，还能够针对全部应用软件和网络设备进行，能够说***风险无处不在，防不胜防。

n 物理损坏的阻止与预防

这主要包括正常状况下的网络设备和网络线路故障，以及非正常状况下，一些别有用心的用户对网络设备和网络线路的故意破坏，这一般是因为管理不善形成的。

n 数据保护

这是网络安全的最后防线，网络能够瘫痪，能够重建，但数据不能损坏，不能丢失，由于数据没法从新人为获得。单位的网络数据有时关系着企业的发展和存亡。

以上这四个方面（固然具体涉及到很是多的安全技术和防御方案）就构成了一个完善的网络安全系统。OSI/RM参考模型中各层可采起的安全措施如图1-2所示，各层的安全保护分析将在下节分析。固然，这里显示的不多是全部能够采用的安全保护方案的汇总，而仅提供一个基本防御方向，具体的安全保护方案不只很是之多，并且还会不断发生变化，不断有新的可行安全保护方案的出现。各层所用的主要安全技术、产品和方案将在本书后面各章具体介绍。

图1-2 OSI/RM参考模型各层可采起的安全保护措施