网络架构分析暨网络安全评估

网络架构分析的主要内容包括根据IATF技术框架分析网络设计是否层次分明，是否采用了核心层、汇聚层、接入层等划分原则的网络架构（划分不规范不利于网络优化和调整）;网络边界是否清晰，是否符合IATF的网络基础设施、边界/外部连接、计算环境、支撑基础设施的深度防御原则（边界不清晰不便于安全控制）。应考虑的安全点主要有:

1.网络架构设计应符合层次分明、分级管理、统一规划的原则，应便于以后网络整体规划和改造。

2.根据组织实际情况进行区间划分，Internet、Intranet和Extranet之间以及它们内部各区域之间结构必须使网络应有的性能得到充分发挥。

3.根据各部门的工作职能、重要性、所涉及信息等级等因素划分不同的子网或网段。

4.网络规划应考虑把核心网络设备的处理任务分散到边缘设备，使其能将主要的处理能力放在对数据的转发或处理上。

5.实体的访问权限通常与其真实身份相关，身份不同，工作的内容、性质、所在的部门就不同，因此所应关注的网络操作也不同，授予的权限也就不同。

6.网络前期建设方案、网络拓扑结构图应和实际的网络结构一致;所有网络设备（包括交换机、路由器、防火墙、IDS以及其他网络设备）应由组织统一规划部署，并应符合实际需求。

7.应充分考虑Internet接入的问题，防止出现多Internet接入点，同时限制接入用户的访问数量。

8.备份也是需要考虑的重要因素，对广域网设备、局域网设备、广域网链路、局域网链路采用物理上的备份和采取冗余协议，防止出现单点故障。

网络边界分析

边界保护不仅存在于组织内部网络与外部网络之间，而且也存在于同一组织内部网络中，特别是不同级别的子网之间边界。有效的边界防护技术措施主要包括网络访问控制、入侵防范、网关防病毒、信息过滤、网络隔离部件、边界完整性检查，以及对于远程用户的标识与鉴别/访问控制。边界划分还应考虑关键业务系统和非关键业务系统之间是否进行了分离，分离后各业务区域之间的逻辑控制是否合理，业务系统之间的交叠不但影响网络的性能还会给网络带来安全上的隐患。应考虑的安全点主要有:

1.Internet、Intranet和Extranet之间及它们内部各VLAN或区域之间边界划分是否合理;在网络节点（如路由器、交换机、防火墙等设备）互连互通应根据实际需求进行严格控制;验证设备当前配置的有效策略是否符合组织确定的安全策略。

2.内网中的安全区域划分和访问控制要合理，各VLAN之间的访问控制要严格，不严格就会越权访问。

3.可检查网络系统现有的身份鉴别、路由器的访问控制、防火墙的访问控制、NAT等策略配置的安全性;防止非法数据的流入;对内防止敏感数据（涉密或重要网段数据）的流出。

4.防火墙是否划分DMZ区域;是否配置登录配置的安全参数。例如:最大鉴别失败次数、最大审计存储容量等数据。

5.网络隔离部件上的访问通道应该遵循“默认全部关闭，按需求开通的原则”;拒绝访问除明确许可以外的任何一种服务，也就是拒绝一切未经特许的服务。

6.实现基于源和目的的IP地址、源和目的端口号、传输层协议的出入接口的访问控制。对外服务采用用户名、IP、MAC等绑定，并限制变换的MAC地址数量，用以防止会话劫持、中间人攻击。

7.对于应用层过滤，应设置禁止访问java APPlet、ActiveX等以降低威胁。

8.采用业界先进的安全技术对关键业务系统和非关键业务系统进行逻辑隔离，保证各个业务系统间的安全性和高效性，例如:采用MPls-VPN对各业务系统间逻辑进行划分并进行互访控制。

9.必要时对涉密网络系统进行物理隔离;实现VPN传输系统;对重要网络和服务器实施动态口令认证;进行安全域的划分，针对不同的区域的重要程度，有重点、分期进行安全防护，逐步从核心网络向网络边缘延伸。例如，网络可以分成三个区域:信任域、非信任域和隔离区域。信任域和隔离区域进行重点保护，对于非信任域，可根据不同业务系统的重要程度进行重点保护。

10.整体网络系统统一策略、统一升级、统一控制。

网络协议分析

深入分析组织整个网络系统的协议设计是否合理，是否存在协议设计混乱、不规范的情况，是否采用安全协议，协议的区域之间是否采用安全防护措施。协议是网络系统运行的神经，协议规划不合理就会影响整个网络系统的运行效率，甚至带来高度隐患和风险。应考虑的安全点主要有:

1.路由协议、路由相关的协议及交换协议应以安全的、对网络规划和设计方便为原则，应充分考虑局域网络的规划、建设、扩充、性能、故障排除、安全隐患、被攻击可能性，并应启用加密和验证功能。

2.应合理设计网络路由协议和路由策略，保证网络的连通性、可达性，以及网络业务流向分布的均衡性。

3.启用动态路由协议的认证功能，并设置具有一定强度的密钥，相互之间交换路由信息的路由器必须具有相同的密钥。默认的认证密码是明文传输的，建议启用加密认证。

4.对使用动态路由协议的路由设备设置稳定的逻辑地址，如Loopback地址，以减少路由振荡的可能性。

5.应禁止路由器上IP直接广播、ICMP重定向、Loopback数据包和多目地址数据包，保证网络路径的正确性，防止IP源地址欺骗。如禁止非公有地址、组播地址、全网络地址和自己内部的网络地址访问内部网络，同时禁止非内部网络中的地址访问外部网络。

6.重要网段应采取IP地址与MAC地址绑定措施，防止ARP欺骗。

7.如果不需要ARP代理（ARPProxy）服务则禁止它。

8.应限制SYN包流量带宽，控制ICMP、TCP、UDP的连接数。、

9.ICMP协议的安全配置。对于流入的ICMP数据包，只允许EchoReply、DestinationUnreachable、TimeOut及其他需要的类型。对于流出的ICMP数据包，只允许Echo及其他必需的类型。

10.SNMP协议的CommunityString字串长度应大于12位，并由数字、大小写字母和特殊字符共同组成。

11.禁用http服务，不允许通过HTTP方式访问路由器。如果不得不启用HTTP访问方式，则需要对其进行安全配置。

12.对于交换机，应防止VLAN穿越攻击。例如，所有连接用户终端的接口都应从VLAN1中排除，将Trunk接口划分到一个单独的VLAN中;为防止STP攻击，对用户侧端口，禁止发送BPDU;为防止VTP攻击，应设置口令认证，口令强度应大于12位，并由数字、大小写字母和特殊字符共同组成;尽量将交换机VTP设置为透明(Transparent)模式。

13.采用安全性较高的网络管理协议，如SNMPv3、RMONv2。

网络流量分析

流量分析系统主要从带宽的网络流量分析、网络协议流量分析、基于网段的业务流量分析、网络异常流量分析、应用服务异常流量分析等五个方面对网络系统进行综合流量分析。应考虑的安全点主要有:

1.带宽的网络流量分析。复杂的网络系统中不同的应用需占用不同的带宽，重要的应用是否得到了最佳的带宽？所占比例是多少？队列设置和网络优化是否生效？通过基于带宽的网络流量分析会使其更加明确。采用监控网络链路流量负载的工具软件，通过SNMP协议从设备得到设备的流量信息，并将流量负载以包含PNG格式的图形的HTML文档方式显示给用户，以非常直观的形式显示流量负载。

2.网络协议流量分析。对网络流量进行协议划分，针对不同的协议进行流量监控和分析，如果某一个协议在一个时间段内出现超常流量暴涨，就有可能是攻击流量或有蠕虫病毒出现。例如:CiscoNetFlowV5可以根据不同的协议对网络流量进行划分，对不同协议流量进行分别汇总。

3.基于网段的业务流量分析。流量分析系统可以针对不同的VLAN来进行网络流量监控，大多数组织都是基于不同的业务系统通过VLAN来进行逻辑隔离的，所以可以通过流量分析系统针对不同的VLAN来对不同的业务系统的业务流量进行监控。例如:CiscoNetFlowV5可以针对不同的VLAN进行流量监控。

4.网络异常流量分析。异常流量分析系统支持异常流量发现和报警，能够通过对一个时间窗内历史数据的自动学习，获取包括总体网络流量水平、流量波动、流量跳变等在内的多种网络流量测度，并自动建立当前流量的置信度区间作为流量异常监测的基础。通过积极主动鉴定和防止针对网络的安全威胁，保证了服务水平协议(SLA)并且改进顾客服务，从而为组织节约成本。

抗击异常流量系统必须完备，网络系统数据流比较大，而且复杂，如果抗异常流量系统不完备，当网络流量异常时或遭大规模DDOS攻击时，就很难有应对措施。

5.应用服务异常流量分析。当应用层出现异常流量时，通过IDS&Ips的协议分析、协议识别技术可以对应用层进行深层的流量分析，并通过IPS的安全防护技术进行反击。

网络QoS

合理的QoS配置会增加网络的可用性，保证数据的完整性和安全性，因此应对网络系统的带宽、时延、时延抖动和分组丢失率等方面进行深入分析，进行QoS配置来优化网络系统。应考虑的安全点主要有:

1.采用RSVP协议。RSVP使IP网络为应用提供所要求的端到端的QoS保证。

2.采用路由汇聚。路由器把QoS需求相近的业务流看成一个大类进行汇聚，减少流量交叠，保证QoS。

3.采用MPLSVPN技术。多协议标签交换(MPLS)将灵活的3层IP选路和高速的2层交换技术完美地结合起来，从而弥补了传统IP网络的许多缺陷。

4.采用队列技术和流量工程。队列技术主要有队列管理机制、队列调度机制、CAR和流量工程。

5.QoS路由。QoS路由的主要目标是为接入的业务选择满足其服务质量要求的传输路径，同时保证网络资源的有效利用路由选择。

6.应保证正常应用的连通性。保证网络和应用系统的性能不因网络设备上的策略配置而有明显下降，特别是一些重要应用系统。

7.通过对不同服务类型数据流的带宽管理，保证正常服务有充足的带宽，有效抵御各种拒绝服务类型的攻击。

网络的规范性

应考虑的安全点主要有:

1.IP地址规划是否合理，IP地址规划是否连续，在不同的业务系统采用不同的网段，便于以后网络IP调整。

2.网络设备命名是否规范，是否有统一的命名原则，并且很容易区分各个设备的。

3.应合理设计网络地址，应充分考虑地址的连续性管理以及业务流量分布的均衡性。

4.网络系统建设是否规范，包括机房、线缆、配电等物理安全方面，是否采用标准材料和进行规范设计，设备和线缆是否贴有标签。

5.网络设备名称应具有合理的命名体系和名称标识，便于网管人员迅速准确识别，所有网络端口应进行充分描述和标记。

6.应对所有网络设备进行资产登记，登记记录上应该标明硬件型号、厂家、操作系统版本、已安装的补丁程序号、安装和升级的时间等内容。

7.所有网络设备旁都必须以清晰可见的形式张贴类似声明:“严格禁止未经授权使用此网络设备。

8.应制定网络设备用户账号的管理制度，对各个网络设备上拥有用户账号的人员、权限以及账号的认证和管理方式做出明确规定。对于重要网络设备应使用Radius或者TACACS+的方式实现对用户的集中管理。

网络设备安全

对设备本身安全进行配置，并建设完备的安全保障体系，包括:使用访问控制、身份验证配置;关闭不必要的端口、服务、协议;用户名口令安全、权限控制、验证;部署安全产品等。应考虑的安全点主要有:

1.安全配置是否合理，路由、交换、防火、IDS等网络设备及网络安全产品的不必要的服务、端口、协议是否关闭，网络设备的安全漏洞及其脆弱的安全配置方面的优化，如路由器的安全漏洞、访问控制设置不严密、数据传输未加密、网络边界未完全隔离等。

2.在网络建设完成、测试通过、投入使用前，应删除测试用户和口令，最小化合法用户的权限，最优化系统配置。

3.在接入层交换机中，对于不需要用来进行第三层连接的端口，通过设置使其属于相应的VLAN，应将所有空闲交换机端口设置为Disable，防止空闲的交换机端口被非法使用。

4.应尽量保持防火墙规则的清晰与简洁，并遵循“默认拒绝，特殊规则靠前，普通规则靠后，规则不重复”的原则，通过调整规则的次序进行优化。

5.应为不同的用户建立相应的账号，根据对网络设备安装、配置、升级和管理的需要为用户设置相应的级别，并对各个级别用户能够使用的命令进行限制，严格遵循“不同权限的人执行不同等级的命令集”。同时对网络设备中所有用户账号进行登记备案。

6.应制订网络设备用户账号口令的管理策略，对口令的选取、组成、长度、保存、修改周期以及存储做出规定。

7.使用强口令认证，对于不宜定期更新的口令，如SNMP字串、VTP认证密码、动态路由协议认证口令等，其口令强度应大于12位，并由数字、大小写字母和特殊字符共同组成。

8.设置网络登录连接超时，例如，超过60秒无操作应自动退出。

9.采用带加密保护的远程访问方式，如用ssh代替telnet。

10.严格禁止非本系统管理人员直接进入网络设备进行操作，若在特殊情况下（如系统维修、升级等）需要外部人员（主要是指厂家技术工程师、非本系统技术工程师、安全管理员等）进入网络设备进行操作时，必须由本系统管理员登录，并对操作全过程进行记录备案。

11.对设备进行安全配置和变更管理，并且对设备配置和变更的每一步更改，都必须进行详细的记录备案。

12.安全存放路由器的配置文件，保护配置文件的备份和不被非法获取。

13.应立即更改相关网络设备默认的配置和策略。

14.应充分考虑网络建设时对原有网络的影响，并制定详细的应急计划，避免因网络建设出现意外情况造成原有网络的瘫痪。

15.关键业务数据在传输时应采用加密手段，以防止被监听或数据泄漏。

16.对网络设备本身的扩展性、性能和功能、网络负载、网络延迟、网络背板等方面应充分考虑。设备功能的有效性与部署、配置及管理密切相关，倘若功能具备却没有正确配置及管理，就不能发挥其应有的作用。

17.网络安全技术体系建设主要包括安全评估、安全防护、入侵检测、应急恢复四部分内容，要对其流程完备性进行深入分析。

18.安全防护体系是否坚固，要分析整个网络系统中是否部署了防火墙及VPN系统、抗拒绝服务系统、漏洞扫描系统、IDS&IPS系统、流量负载均衡系统部署、防病毒网关、网络层验证系统、动态口令认证系统，各个安全系统之间的集成是否合理。

19.应安全存放防火墙的配置文件，专人保管，保护配置文件不被非法获取。

20.及时检查入侵检测系统厂商的规则库升级信息，离线下载或使用厂商提供的定期升级包对规则库进行升级。具体包括:

●查看硬件和软件系统的运行情况是否正常、稳定;

●查看OS版本和补丁是否最新;

●OS是否存在已知的系统漏洞或者其他安全缺陷。

网络管理

网络管理和监控系统是整个网络安全防护手段中的重要部分，网络管理应该遵循SDLC(生命周期)的原则，从网络架构前期规划、网络架构开发建设到网络架构运行维护、网络架构系统废弃都应全面考虑安全问题，这样才能够全面分析网络系统存在的风险。应考虑的安全点主要有:

1.网络设备网管软件的部署和网络安全网管软件的部署;部署监控软件对内部网络的状态、网络行为和通信内容进行实时有效的监控，既包括对网络内部的计算机违规操作、恶意攻击行为、恶意代码传播等现象进行有效地发现和阻断，又包括对网络进行的安全漏洞评估。

2.确认网络安全技术人员是否定期通过强加密通道进行远程登录监控网络状况。

3.应尽可能加强网络设备的安全管理方式，例如应使用SSH代替Telnet，使用https代替HTTP，并且限定远程登录的超时时间、远程管理的用户数量、远程管理的终端IP地址，同时进行严格的身份认证和访问权限的授予，并在配置完后，立刻关闭此类远程连接;应尽可能避免使用SNMP协议进行管理。如果的确需要，应使用V3版本替代V1、V2版本，并启用MD5等验证功能。进行远程管理时，应设置控制口和远程登录口的超时时间，让控制口和远程登录口在空闲一定时间后自动断开。

4.及时监视、收集网络以及安全设备生产厂商公布的软件以及补丁更新，要求下载补丁程序的站点必须是相应的官方站点，并对更新软件或补丁进行评测，在获得信息安全工作组的批准下，对生产环境实施软件更新或者补丁安装。

5.应立即提醒信息安全工作组任何可能影响网络正常运行的漏洞，并及时评测对漏洞采取的对策，在获得信息安全工作组的批准的情况下，对生产环境实施评测过的对策，并将整个过程记录备案。

6.应充分考虑设备认证、用户认证等认证机制，以便在网络建设时采取相应的安全措施。

7.应定期提交安全事件和相关问题的管理报告，以备管理层检查，以及方便安全策略、预警信息的顺利下发。检测和告警信息的及时上报，保证响应流程的快速、准确而有效。

8.系统开发建设人员在网络建设时应严格按照网络规划中的设计进行实施，需要变更部分，应在专业人士的配合下，经过严格的变更设计方案论证方可进行。

9.网络建设的过程中，应严格按照实施计划进行，并对每一步实施，都进行详细记录，最终形成实施报告。

10.网络建设完成投入使用前，应对所有组件包括设备、服务或应用进行连通性测试、性能测试、安全性测试，并做详细记录，最终形成测试报告。测试机构应由专业的信息安全测试机构或第三方安全咨询机构进行。

11.应对日常运维、监控、配置管理和变更管理在职责上进行分离，由不同的人员负责。

12.应制订网络设备日志的管理制定，对于日志功能的启用、日志记录的内容、日志的管理形式、日志的审查分析做明确的规定。对于重要网络设备，应建立集中的日志管理服务器，实现对重要网络设备日志的统一管理，以利于对网络设备日志的审查分析。

13.应保证各设备的系统日志处于运行状态，每两周对日志做一次全面的分析，对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时应及时向信息安全工作组报告。

14.对防火墙管理必须经过安全认证，所有的认证过程都应记录。认证机制应综合使用多种认证方式，如密码认证、令牌认证、会话认证、特定IP地址认证等。

15.应设置可以管理防火墙的IP范围，对登录防火墙管理界面的权限进行严格限制。

16.在防火墙和入侵检测系统联动的情况下，最好是手工方式启用联动策略，以避免因入侵检测系统误报造成正常访问被阻断。

17.部署安全日志审计系统。安全日志审计是指对网络系统中的网络设备、网络流量、运行状况等进行全面的监测、分析、评估，通过这些记录来检查、发现系统或用户行为中的入侵或异常。目前的审计系统可以实现安全审计数据的输入、查询、统计等功能。

18.安全审计内容包括操作系统的审计、应用系统的审计、设备审计、网络应用的审计等。操作系统的审计、应用系统的审计以及网络应用的审计等内容本文不再赘述。在此仅介绍网络设备中路由器的审计内容：操作系统软件版本、路由器负载、登录密码有无遗漏，enable密码、telnet地址限制、HTTP安全限制、SNMP有无安全隐患;是否关闭无用服务;必要的端口设置、Cisco发现协议（CDP协议）;是否已修改了缺省旗标（BANNER）、日志是否开启、是否符合设置RPF的条件、设置防SYN攻击、使用CAR（ControlaccessRate）限制ICMP包流量;设置SYN数据包流量控制（非核心节点）。