明华企业网络安全系统设计方案

第1章 背景

1.1 现状分析

现在是数据信息化的时代，计算机网络安全方面的应用也是已经渗透到我们生活的各个领域当中，现在比较成熟的信息网络安全技术产品有漏洞扫描器啊，防病毒的软件啊，计算机防火墙啊都是特别重要的，但是只单单依赖某个安全产品是不能为整个企业网络安全系统有所帮助的，所以企业就要着重关注企业目前所要解决的网络安全困境积极的创新，推动企业在相关领域不断发展。

每个公司在网络信息安全水平上都有很大的威胁和风险，可能会阻碍公司自身的扩展和发展趋势，不利于公司的日常运营。因此，本设计方案是对明华网络信息安全的威胁和风险进行科学研究，并得出对明华有实际影响的意见和建议

1.2 意义分析

在此方案设计中，每个人都将根据明华企业的当前要求和现状完成明华网络信息安全的基础建设，从而来确保企业信息的安全系数，并且不断提高明华网络信息安全性。系统软件运行的可靠性可以合理地防止公司商业秘密设计图和商业秘密文本文件的丢失或泄漏。因此，公司将根据手机软件及其他安全方法，对手机客户端的电子计算机进行多方面的维护，并记录客户应用重要文件目录和文件的实际操作，以便公司能够一种将电子技术应用于客户的方法。对计算机的状态进行后续检查，以防止由于其他电子计算机的入侵而造成的一系列损害。而且，根据网络信息安全系统软件的更新和改造，管理人员可以更方便地对服务器，移动客户端和系统软件的安装以及网络信息安全中的个人行为进行全面了解。监管和管理方法。

第2章 明华企业网络安全风险缺陷及目标需求分析

2.1 企业网络安全风险分析

　2.1.1 信息安全影响因素分析

(1)APT等新攻击方式出现，仅靠技术堆砌难以奏效

发生了诸如APT之类的新的拒绝服务攻击，仅依靠技术积累无法生效。现如今，越来越多的新式攻击在不时的产生，例如有跨云攻击和编辑级攻击等。

(2)新技术发展和应用

新技术应用的发展趋势和软件应用开始对网络信息安全 提出挑战。还有就是，在现在的技术网络信息安全也在科学研究的发展趋势当中。立即解决挑战是迅速提高Internet网络信息安全水平并赶上良好机遇的机会。

①云计算

云计算技术的应用将引起新的网络信息安全问题：边际贡献率逐渐下降，并明确提出了更高的数据传输，存储和云安全法规。根据IAAS，PAAS和SAAS技术框架的实现，网络信息安全性的安全模型显然的面临着更高的挑战。

②大数据

如今在互联网 大数据中，数据聚合和数据分析已经是信息内容隐私泄漏的安全隐患。根据诸如hadoop之类的技术服务平台的安全预防措施，它显然对网络信息安全的技术性构成了挑战。连接的终端设备的多样化使得网络安全审核不仅限于PC终端设备，而且还包括移动终端，平板电脑和其他远程控制网络安全审核。

③BYOD

BYOD基于远程登录的特性，将其对网络信息安全的关注从公司的Intranet转移到了外部Internet。

④工业4.0

除了提高工业生产和制造的效率外，我们还必须考虑工业控制安全性的威胁，例如无线网络安全性，病毒入侵和远程操作。工业自动化系统软件和传统信息管理系统体系结构的异质性对网络信息安全提出了明确的挑战。

　2.1.2 企业网络安全风险分析

明华在经过了漫长的互联网建设之中，并且已经具有了一定的运作规模。 Minghua当前的ERP（集成管理方法） 系统软件，OA（移动软件自动化技术办公室）系统软件，PLM（商品生命周期的管理方法）系统软件等。Minghua公司已经发布了多个安全信息系统，MES（数字制造管理）系统的软件，WMS（仓库智能的管理系统），SRM（经销商协会管理方法）系统软件已经实施，关键业务流程软件系统的总体规划非常严格。着眼于新项目在我国智能制造系统新模式中的应用，智能车间的基本建设已基本开展，但缺乏安全防护管理体系，软件系统的基本建设和运行维护。面临的挑战并不乐观。 Minghua公司目前拥有150台重要的信息管理设备，列如说服务器，Internet啊，存储设备啊等。该网络结构是由HPE TSS精英团队当时建立的，并一直在为项目服务。

到目前为止，明华公司的网络信息安全信息智能管理的发展趋势已经充分发挥了很大的作用。但是，随着智能制造系统的迅速问世，明华的网络信息安全信息管理已经遇到了新的发展趋势。有了新系统的发布要求，原来的网络空间和外部网络地址的相对性就关闭了。此外，根据VDI（虚拟桌面系统体系结构）技术，USB和其他可能的外部连接端口号或机器设备也被屏蔽。在内部，基于vlan（现阶段有数十种）和ACL（有数百种）进行区域规划。明华公司必须发布MES系统软件。新系统必须连接当前Internet生产的CNC车床。从技术上讲，在此阶段无法屏蔽USB和其他输出设备或CNC车床的端口号。 IT信息管理系统会产生诸如病毒感染和信息内容泄漏之类的风险。明华人人计划发布CRM（客户关系管理级别管理方法），ERM（公司资源级别管理方法）和其他系统软件。该系统软件必须连接到外部网络地址，以方便客户和经销商的应用，并且必须避免黑客入侵并窃取企业的关键商业秘密。

明华企业拓扑布局就如下图2-1所示。在下图就可以看出网络大致分为4部分:销售网络部分 、员工领导办公网络部分、销售网络、研发网络等。结构较为简单。

　　图2-1 明华企业子公司网络拓扑结构

明华企业而今所利用的网站是Windows Vista的IIS。每个人都将其视为外部世界的Web服务器。主要的责任便是展示出明华企业的信息。 Minghua在其外部网络上部署了服务器防火墙，这要求仅允许浏览网络服务器的TCP端口80。互联网风险评估首先是包括了四个关键要素：财产，威胁，脆弱性和风险。通过对可能性，危险类别和损害程度的预测和分析，可以提高预防性维护的准确性。如果最初创建了公司的信息管理系统，则将存在安全风险，就像在敏感路基上盖房子一样。随着地方的 建筑物的数目增加，房屋坍毁的风险也将跟着 增长。互联网风险评估就像只有保证系统的路基质量检查工作之后的一系列操作。下图2-2是明华企业网络系统中各干系的演化图，这样就可以更加清楚地向我们展现应该 怎样提高网络安全。

　　图2-2 明华企业网络系统中各个部分的关系演变图

下文会将上图中的信息进行一些具体的说明。

（1）资产

首先对明华企业集团进行了资产 评估分析，将资产分为了数 据、软 件、硬件，服务的人员等几类，各种类型的资产就如下表2-1所示。

　　(2)威胁类型方面

明华企业中的威胁类型分为三类，第一个是合法用户的威胁，第二个是非法用 户的威胁，第三个就是物理环境中的威胁。如下表 2-2所示：

表 2-2 企业威胁分类

　　(3)脆弱性方面

脆弱性就是存在威胁的 最薄弱的关键之处。以资产为中心并且根据保护过的资产从而来展开本次的分析评估。在这之外也可以从系统软件和应用软件以及 网络等中来进行判断。下面的表是现在最常见的脆弱性识别方式 2- 3：

表2-3 脆弱性识别方式

　　目前以脆弱性评估符合性检 查 为例进行说明检查的对象为：

负责系统网络的和负责技能的以及负责网络安全的人员等。所要检查的内容是：等级保护模式 以及其他必要的规范要求。

表 2-4 安全性符合检查表

2.2 企业网络安全缺陷

　2.2.1 黑客攻击

（1）黑客攻击Web应用程序

在许多情况下，某些网络黑客会故意攻击此程序流，以发现其中的系统漏洞，然后销毁此信息内容。

（2）黑客社会方面的工程

如今，信息管理系统全部基于手机软件的维护和物理机械设备来进行技术操作。但是，这种类型的技术操纵通常很难执行安全防御角色。

（3）黑客SQL注入

在数据库查询和某些网站相互连接后，SQL的引入常常会阻碍网络信息安全。因此，在介绍的整个过程中，黑客将很容易发现其中发生的系统漏洞，并会基于此系统漏洞故意攻击网站。

　2.2.2 软件设计的漏洞

软件开发中的系统漏洞安全漏洞是一段时间内编写或设计计算机操作系统手机软件的缺点。有许多非法网络攻击，其网络黑客经常使用它们在应用程序系统上嵌入病毒感染或特洛伊木马病毒攻击。因此，他们可以获得公司应用程序系统的运行和管理权限。

　2.2.3 拒绝服务攻击

一般拒绝服务攻击通常将拒绝服务攻击分为以下三类：

(1)有毒数据包攻击（也称为杀手数据包攻击）在用户使用电子计算机时会发送格式错误的数据文件。它将损坏Internet，然后危及所有系统软件的正常运行。

(2)飓风型袭击。因为某些数据文件不是没有有完成 使用者的正常工作请求，所以会被称为 无用数据包， 只要它们汇聚到一起那么网络安全就会受到损害。

(3)跳高进攻的类型。尽管这种攻击不同于上述两种攻击方法，但它会基于Internet上的主要参数数据信息发起攻击，从而改变总体目标，并窃取另一方的相关数据信息。计算机网络病毒

(1)病毒类型分为正确的指导类型，文件类型和复杂类型

①正确的引导型病毒感染，这种病毒感染将在正确的引导区域中使用系统软件来筛选系统漏洞，使其在入侵系统软件时作为攻击点，然后感染整个目标计算机。当病毒感染成功入侵计算机软件后，将被主动伏击，然后意外破坏电子计算机的内部程序流。

②文件类型的病毒感染，这种类型的病毒感染可能会影响电子计算机内部的数据库文件和可执行程序。

③复合病毒由文档型病毒感染和正确的引导型病毒组成，具有很大的不利影响，并可能破坏电子计算机内部正确的引导区和文件。

(2)按破坏性分为良好病毒感染和恶性病毒感染

恶性的病毒是非常拥有毁灭性的。一旦被激怒，它们将会逐渐破坏计算机的内部系统软件和文件，导致计算机偏瘫，例如说火炬病毒感染啊，黑色星期五啊等。而良好的病毒感染与恶性病毒却是非常不一样的。它本身不是很具有破坏性，但是会占用CPU时间，导致负载扩大，然后降低电子计算机的高效率运行。

　2.2.4 信息的丢失或者泄露

(1)接发邮件。主要目的是为了更好地便利公司进行外部环境信息内容的传递和通信，但是由于电子邮件通常包含很多公司私人信息内容，因此疏忽还可能导致数据泄漏。

(2)数据库中的漏洞。数据库查询中的系统漏洞通常立即导致大量信息内容和数据泄漏。

(3)员工辞职。有数据调查报告，一些员工在辞职时会带来以前公司的重要信息。为了更好地获得更强的地位，将原始公司的秘密工作移交给下一任老板，这也是企业披露的最常见的方式。

(4)在没有屏幕保护程序的情况下，很容易导致计算机上的数据泄漏。

(5)合作伙伴。公司合作伙伴通常还拥有公司的许多关键内部信息内容，因此，每家公司都必须高度重视对合作伙伴的精心选择。

2.3 企业安全需求与安全目标

2.3.1 企业网络安全现状评价

经过以上分析，可以了解到，明华现阶段拥有许多分布式系统的企业网络和业务流程智能管理系统。但是，这种管理系统软件的应用性强，则安全系数相对较差。随着信息时代的到来以及新系统的发布要求，原始网络空间相对于外部网络地址变得相对封闭，所有网络结构都必须进行更新和升级。当前，使用的许多网络信息安全对策仅是设置安全服务器防火墙，而仅是大多数服务器防火墙采取任何预防措施来阻止外部未经授权的Internet浏览基本上是不容易的。许多具有自身安全因素的应用程序仅基于身份验证或动态密码身份验证等方法来确保浏览安全。在企业内部，将限制员工上网的时间，这对于规避互联网风险具有一定的积极作用。在智能制造系统时期，明华公司基本完成了智能车间的基础建设，但缺乏网络信息安全保护水平，应用架构系统软件方面的基础建设，运维管理不容乐观。挑战。

另外，作为大中型工业化生产企业，工业自动化系统软件互联网还存在一些问题：

（1）在电子邮件服务项目级别没有病毒扫描控制模块；

（2）没有解决新的黑客攻击的积极对策；

（3）默认的路由器密码设置很容易被他人攻击；

（4）公司的网络安全管理计划还不够健全完好，内部员工的安全认识还需有待提升起；

（5）当客户在设置密码的时候，系统软件则是无法检查到登录密码的复杂性的。因此通过某些方法，就会很容易破解客户的登录密码。

　2.3.2 企业的网络安全建设目标

链接1（2018年第三季度）总体目标：创建满足IS027001和网络信息安全级别保护评估及其网络管理员管理中心的特定网络信息安全系统管理，并实际实现以下四点：

（1）对当前的网络安全管理方法乃及技术进行了评估分析；

（2）完善了安全组织的结构，培养形成复合型人才；

（3）对于主要的资产上，就会根据所使用的价值和风险来进行分类识别；

（4）创建了一个从网络安全管理系统的开发策略到实际运营层的文本文档管理系统；

（5）进行关键系统软件的结构加固和改进，操纵信息内容和财产风险。

第二个环节的总体目标（2019年上半年）：为公司业务创建必要的网络信息安全管理系统并达到相应的安全级别，并实际完成以下四点：

（1）统一的智能基础设施安全运行的管理办公室；

（2）加强和升级所有关键业务管理系统的结构，操纵信息内容和财产以暴露风险；

（3）依据IS027001和等级保护的管理系统认证，完成并编辑网络信息安全管理系统等级4文本文件的文本文件；

（4）网络信息安全管理系统文本文件是根据IS027001和等级保护管理系统认证编写的， 以确保创建所有信息内容和属性的生命周期。申请和废止的整个过程将进行监视，操纵和财务审计。

第三个环节的总体目标是（从2019年第三季度的第一个开始）：全面实施该信函及系统的安全，展现对公司战略的支持，具体的表现如下:

(1)提高统一智能安全运行的管理中心，工控园区全方位的采集数据；

(2)对网络安全风险的监控手段转换成了流程化的管理方式。

第3章明华企业网络安全系统架构设计

3.1企业网络安全系统架构

网络安全必需是基于科学研究上和有用的管理体统架构的。所以，安全管理系统架构是Internet信息管理系统的设计和分析的首先决条件。在分析明华网络安全风险，企业安全要求和计划的基础上，设计提出了明华网络信息安全的总体安全的框架。如下图3-1所示。

图3-1 网络安全防护架构

此结构从下至上包括系统软件安全保护，网络信息安全域分配，基本安全支持点资源池，专题讲座安全工作能力资源池，统一安全大数据存储服务平台和统一网络信息。以上系统软件安全防范措施的具体内容包括数据管理， 网络信息安全设备和服务器操作程序等；网络信息安全域分为互联网技术套接字区域，网络系统套接字区域，DMZ区域，密钥工厂区域等；根本安全支撑点资源池分为传统的网络基本知识安全维护资源池，传统的服务器安全保护资源池和云基本的自然环境安全维护资源池。特殊演讲安全工作能力资源池可以根据其功能分为数据信息资源池和应用资源。最高级别的安全智能管理办公室和展览中心分为智能管理办公室和数据分析系统管理中心。

3.2 企业网络安全防范设计

　3.2.1 基础资源的安全防范

基础资源中包括传统网络基础资源、传统主机等部分，针对基础资源的一些安全防范方案如下表3-1所示: 表3-1基础资源的安全防范

　　3.2.2 专题安全能力资源防范

这个专题安全部分是包括了统一身份认证安全管理，应用安全管理以及数据安全管理等部分。针对这部分的安全防范方案如下表3-2所示:

表3-2专题部分的的安全防范

　3.2.3 管理安全防范

一个企业想要自己的网络系统变得越发的坚韧，那么单单只依靠技术堆砌而成是非常难以胜利的，所以这个企业就必须加强内部管理。表3-3展示了部分管理安全防范方案。

表3-3 管理安全防范

　　第4章明华企业网络安全系统总体设计

4.1网络安全保护与设备部署

在Internet网络信息安全系统软件的基础结构中，不仅要保证信息内容的灵活使用，还要保证信息内容的安全性。因此，在开发控制系统设计时，应设计一个不同的Internet解决方案来解决自然环境。根据网络拓扑和特定的业务流程要求，明华的Internet适用于不同的应用软件，其互联网分为四个子域：边界安全，大数据中心安全，安全工作和虚拟连接网络，如图4-1所示。

图4-1 网络分域保护架构图

通常，边界网络虚拟化应选择服务器防火墙，远程登录，逻辑保护，病毒防护，入侵防御系统软件，Internet 漏洞扫描系统，网络审核技术的方法；努力部署WAF设备和数据库的审核设备以及NGFW设备（下一代防火墙，即下一代服务器防火墙）是非常重要的，用以维护大数据中心域的网络安全。想要维护自身的安全工作域，就有必要去部署运维审计安全审计系统，漏洞扫描的系统软件，并且创建了安全入侵检测管理系统。

4.2 企业网络安全的防护设计

　4.2.1 边界防火墙安全防护措施

　　图4-2 边界安全域设备部署

增加10G服务器防火墙F1070，选择SCF技术，完成两台服务器防火墙的部署，统一执行对策，转发项目和对话，具有很高的可靠性。简单点来说，服务器防火墙最大的作用就是一下几点：

（1）根据应用系统选择信息内容；

（2）检测互联网登录状态；

（3）封锁特殊干扰信息内容，严格禁止特殊应用；

（4）可以监督服务器防火墙使用的信息内容记录；

（5）可以检测到黑客攻击个人行为时并明确提供预警信息；

即使这样，服务器防火墙仍然存在一些缺点：

（1）无法检测没有基于服务器防火墙的黑客攻击的个人行为，并且也无法检测到有存在对网络信息安全的隐 患。

（2）不可能防止和检测Intranet的错误数据信号。服务器防火墙可以设置为在设置系统时检测系统中的系统漏洞，但是由于使用方便，许多公司不会选择这种设计方法。

（3）无法检测出由对策设备引起的安全隐患。服务器防火墙的执行功能必须符合某个相对被动的管理系统。

（4）服务器防火墙本身不能承受人为因素的破坏。需要确保服务器防火墙是处于安全的自然环境中。

（5）无法检测防止系统漏洞所引起的安全风险问题。例如，如果允许某些网络层协议，则不可能防止由于协议中的系统漏洞而引起的网络信息安全问题。

（6）就是依靠服务器防火墙也并不是很好的阻止病毒信息的传播。因为服务器防火墙也无法检测到病毒感染。即使它可以依赖于其他病毒检查和防病毒应用程序软件，也不能保证它能有效抵御所有病毒感染。

（7）服务器防火墙也无法检测到因为数据发生驱动而发生的攻击。一旦在Internet上使用了一些看似安全的数据信息，由于驱动器问题，很可能会引起网络信息安全问题。

（8）如果服务器防火墙本身的安全因素存在问题，也将导致某些安全风险。到目前为止，并不是应用程序系统的所有服务器防火墙都能保证100％的安全性。在这里，每个人都选择H3C的10G服务器防火墙F1070和F10X0系列服务器防火墙来发布基于区域Internet技术和中小企业网络信息安全问题而具有高安全系数的产品。

在服务器防火墙中，布置个人行为财政审计设备ACG 1000，以替代当前的个人行为财务审计设备。新的机械和设备会自动更新全新的功能库，可以对当今的全新应用程序执行流量监控和财务审计。以确保办公室的业务流程的网络带宽，并且能够满足公安82号令，对用户的网络行为可审计。

4.2.2 数据中心安全防护措施

　　图4-3 数据中心安全域设备部署

如今，互联网技术与工业生产和制造的集成已成为大势所趋。该公司基于Internet技术的宣传和计划及其与客户业务流程的交互已成为必不可少的营销方法。该公司的官方网站受到安全保护，可以合理抵抗该网站。为了防止损害公司的整体形象。

随着智能制造系统管理系统的基础建设，各种数据库查询的应用将进一步增加。因此，将在大数据中心前部署数据库审计机器和设备，进行财务审计和记录，并及时处理违反法规的数据库查询。写出个人行为的能力，立即提醒风险，避免诸如拖拽图书馆等个人行为的方法。

在汇聚交换机和大数据中心内，依次部署NGFW机器和设备，并在不同办公区域内操纵大数据中心的浏览个人行为，以确保合理合法的终端设备浏览与管理权限匹配的业务流程。提高大数据中心区域的安全系数。

　　4.2.3 安全管理域防护措施

　　图4-4 安全管理域设备部署数据

当前，随着智能制造的发展趋势，明华在IT级别对机械设备的要求也在不断提高，还必须部署运维管理级别进行运维审计。而运维管理人员要在操作机械和设备之前需去登录安全审计系统进行验证，为安全审计系统分派运维的管理权限，然后在运维管理下进行实际的操作。管理权限。所有的操作程序都可以记录下来，可以进行追溯，从而可以提高安全管理能力，确保业务流程的安全因素，还可以及时处理和处理发生的问题。

(1)管控全局的攻击事件

从全局的角度分析方面，给我们展示出了网络攻击事件的数目情况，攻击类型的分布情况以及攻击类型的趋势情况等等，

　　图4-5统一智能安全运行管理中心建设

(2)攻击态势分析

对网络攻击事件进行分析，会呈现出攻击的源头情况，攻击目的资产的情况，攻击目的IP和端口的情况以及攻击的类型和协议等等。

　　图4-6 攻击态势分析图

（3）全网脆弱性态势分析

对全网脆弱性态势进行全面的分析，那么就会展现出这个漏洞的总体分布情况，高危的漏洞资产情况和漏洞的类型分布情况等。

　　图4-7全网脆弱性态势分析

　4.2.4终端管理接入安全防护措施

　　图4-8 接入安全域设备部署

现如今明华企业网络系统的终端数目正在不断增加并且负责的人员多，这样就使得信息泄露风险更大。而以前那个单一的管理方式满足不了当前的网络安全需要。所以我们为了能够全面提高安全水平，设置了只有符合认证的用户人员才可以接入网络，有效的防止企业的信息泄露。所以对于网络内存在的终端，比如办公用的电脑啊，摄像头啊，门禁卡啊，就必须统一管理，以确保安全。

第5章明华企业系统安全性能测试及运行结果

5.1 软件安全检测

软件方面的检测我们会从界面劫持方面，动态的调试方面，数据的存储方面，来对系统软件进行全面的检测。

5.2 代码审计

代码审计检测就是利用各种测试的工具来进行白盒测试，并且通过对系统源代码的脆弱性方面和缺陷方面进行检查，要及时准确的发现存在的网络安全隐患。

5.3对Web漏洞进行脆弱性评估

(1)深度扫描

运用扫描软件来对web软件应用系统来进行比较深度的扫描，并且是以安全风险的管理做为基础，对Web软件的应用程序来进行扫描。

(2)Web漏洞方面的检测

对Web软件应用程序系统和其他的软件应用程序的漏洞进行全方面检测，比如数据库SQL注入，比如各种代码注入，比如Cookie注入等等。

(3)网页木马方面的检测

要对各种木马病毒进行有效的分析和判断并且对病毒会产生的位置做出准确无错的定位。

(4)逻辑漏洞方面的检测在逻辑漏洞方面会进行检测操作比如说水平操作方面的权限，常见的短信炸弹以及转账支付中的漏洞，垂直操作方面的权限等等。

明华企业网络安全的测试结果就如下表的5-1以及5-2所示:

表5-1 资产威胁测试结果

从测试当中我们就可以看出，在内审时所发现的问题现在也已经全部改进完成了得，而改进率也已经达到了

100 %。达到了《信息安全等级保护基本要求》，其中当然也包括了管理制度以及系统运行维修方面的规定。

致 谢

感谢！

​​​​​​​

明华企业网络安全系统设计方案

价格 ¥9.90 发布时间 2023年10月2日

下载查看全文内容

已付费？登录 或 刷新