由于信息化建设速度越来越快，而目前企业的局域网建设年代久远，其间经过多次扩容和改建，初步形成了全网互联互通，但没能从根本上解决局域网安全问题。员工电脑中毒，内网ARP病毒、DOS攻击泛滥，严重时整个内网瘫痪;P2P下载占用大量带宽，有限的带宽资源得不到合理分配，影响办公正常业务。所以企业的局域网改造已迫在眉睫。
局域网局域网安全一般重以下几点考虑：
客户端和服务器及时更新补丁，如果你的企业客户端数量较多的话以使用wsus。
禁止掉不必要的服务和工具（例如：封掉USB端口、光驱等)。
安装企业防火墙，例如微软的ISA或者使用硬件防火墙实现客户访问的过滤查杀：如果不小心中毒了的话，要及时处理中毒计算机，使用专杀工具杀毒，或手工杀毒，万不得已的时候重新安装操作系统。随着局域网应用环境的日趋复杂，企业核心数据被盗、用户数据丢失、知识产权被盗用等事件频发，不少企业都因此遭受了巨大的损失。USB，可以封住吗，在企业里，几乎是不可能的。
一、网络安全概况1、局域网概况
企业的局域网是一个信息点较为密集的千兆局域局域网系统，它所联接的现有上千个信息点为在整个企业内办公的各部门提供了一个快速、方便的信息交流平台。不仅如此，通过专线与Internet的连接，打通了一扇通向外部世界的窗户，各个部门可以直接与互联网用户进行交流、查询资料等。通过公开服务器，企业可以直接对外发布信息或者发送电子邮件。高速交换技术的采用、灵活的局域网互连方案设计为用户提供快速、方便、灵活通信平台的同时，也为局域网的安全带来了更大的风险。因此，在原有局域网上实施一套完整、可操作的安全解决方案不仅是可行的，而且是必需的。
2、网络结构
局域网结构的特点
在分析这个企业局域网的安全风险时，应考虑到局域网的如下几个特点：
局域网与Internet直接连结，因此在进行安全方案设计时要考虑与Internet连结的有关风险，包括可能通过Internet传播进来病毒，黑客攻击，来自Internet的非授权访问等。
局域网中存在公开服务器，由于公开服务器对外必须开放部分业务，因此在进行安全方案设计时应该考虑采用安全服务器局域网，避免公开服务器的安全风险扩散到内部。
内部局域网中存在许多不同的子网，不同的子网有不同的安全性，因此在进行安全方案设计时，应考虑将不同功能和安全级别的局域网分割开，这可以通过交换机划分VLAN来实现。
总而言之，在进行局域网方案设计时，应综合考虑到这个企业局域网的特点，根据产品的性能、价格、潜在的安全风险进行综合考虑。
二、系统安全分析随着Internet局域网急剧扩大和上网用户迅速增加，风险变得更加严重和复杂。原来由单个计算机安全事故引起的损害可能传播到其他系统，引起大范围的瘫痪和损失；另外加上缺乏安全控制机制和对Internet安全政策的认识不足，这些风险正日益严重。针对这个企业局域网中存在的安全隐患，在进行安全方案设计时，下述安全风险我们必须要认真考虑，并且要针对面临的风险，采取相应的安全措施。下述风险由多种因素引起，与这个企业局域网结构和系统的应用、局域网内局域网服务器的可靠性等因素密切相关。下面列出部分这类风险因素：
局域网安全可以从以下三个方面来理解：
局域网物理是否安全；系统是否安全；应用是否安全；管理是否安全。针对每一类安全风险，结合这个企业局域网的实际情况，我们将具体的分析局域网的安全风险。
1、物理安全风险分析局域网的物理安全的风险是多种多样的。局域网的物理安全主要是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获。以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。
局域网操作系统、局域网硬件平台的可靠性：对于中国来说，恐怕没有绝对安全的操作系统可以选择，无论是Microsoft的WindowsNT或者其他任何商用UNIX操作系统，其开发厂商必然有其Back-Door。我们可以这样讲：没有完全安全的操作系统。但是，我们可以对现有的操作平台进行安全配置、对操作和访问权限进行严格控制，提高系统的安全性。因此，不但要选用尽可能可靠的操作系统和硬件平台。而且必须加强登录过程的认证（特别是在到达服务器主机之前的认证），确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。
2、应用风险应用系统的安全动态的、不断变化的：应用的安全涉及面很广，以目前Internet上应用最为广泛的E-mail系统来说，其解决方案有几十种，但其系统内部的编码甚至编译器导致的BUG是很少有人能够发现的，因此一套详尽的测试软件是相当必须的。但是应用系统是不断发展且应用类型是不断增加的，其结果是安全漏洞也是不断增加且隐藏越来越深。因此，保证应用系统的安全也是一个随局域网发展不断完善的过程。应用的安全性涉及到信息、数据的安全性：信息的安全性涉及到：机密信息泄露、未经授权的访问、破坏信息完整性、假冒、破坏系统的可用性等。
3、管理的风险管理是局域网中安全最最重要的部分。责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。责权不明，管理混乱，使得一些员工或管理员随便让一些非本地员工甚至外来人员进入机房重地，或者员工有意无意泄漏他们所知道的一些重要信息，而管理上却没有相应制度来约束。
当局域网出现攻击行为或局域网受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对局域网的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。
建立全新局域网安全机制，必须深刻理解局域网并能提供直接的解决方案，因此最可行的做法是管理制度和管理解决方案的结合。
4、黑客攻击
黑客们的攻击行动是无时无刻不在进行的，而且会利用系统和管理上的一切可能利用的漏洞。公开服务器存在漏洞的一个典型例证，是黑客可以轻易地骗过公开服务器软件，得到Unix的口令文件并将之送回。黑客侵入UNIX服务器后，有可能修改特权，从普通用户变为高级用户，一旦成功，黑客可以直接进入口令文件。黑客还能开发欺骗程序，将其装入UNIX服务器中，用以监听登录会话。当它发现有用户登录时，便开始存储一个文件，这样黑客就拥有了他人的帐户和口令。这时为了防止黑客，需要设置公开服务器，使得它不离开自己的空间而进入另外的目录。另外，还应设置组特权，不允许任何使用公开服务器的人访问WWW页面文件以外的东西。在这个企业的局域网内我们可以综合采用防火墙技术、Web页面保护技术、入侵检测技术、安全评估技术来保护局域网内的信息资源，防止黑客攻击。
5、通用网关接口（CGI）漏洞
有一类风险涉及通用网关接口（CGI）脚本。许多页面文件和指向其他页面或站点的超连接。然而有些站点用到这些超连接所指站点寻找特定信息。搜索引擎是通过CGI脚本执行的方式实现的。黑客可以修改这些CGI脚本以执行他们的非法任务。通常这些CGI脚本只能在这些所指WWW服务器中寻找，但如果进行一些修改，他们就可以在WWW服务器之外进行寻找。要防止这类问题发生，应将这些CGI脚本设置为较低级用户特权。提高系统的抗破坏能力，提高服务器备份与恢复能力，提高站点内容的防篡改与自动修复能力。
三、安全需求与安全目标1、安全需求分析
通过前面我们对这个企业局域局域网结构、应用及安全威胁分析，可以看出其安全问题主要集中在对服务器的安全保护、防黑客和病毒、重要网段的保护以及管理安全上。因此，我们必须采取相应的安全措施杜绝安全隐患，其中应该做到：
公开服务器的安全保护防止黑客从外部攻击入侵检测与监控信息审计与记录。针对局域局域网系统的实际情况，在系统考虑如何解决上述安全问题的设计时应满足如下要求：大幅度地提高系统的安全性（重点是可用性和可控性）；保持局域网原有的能特点，即对局域网的协议和传输具有很好的透明性，能透明接入，无需更改局域网设置。
2、目标局域网系统安全应该实现以下目标：
建立一套完整可行的局域网安全与局域网管理策略将内部局域网、公开服务器局域网和外网进行有效隔离，避免与外部局域网的直接通信建立网站各主机和服务器的安全保护措施，保证他们的系统安全对网上服务请求内容进行控制，使非法访问在到达主机前被拒绝加强合法用户的访问认证，同时将用户的访问权限控制在最低限度全面监视对公开服务器的访问，及时发现和拒绝不安全的操作和黑客攻击行为加强对各种访问的审计工作，详细记录对局域网、公开服务器的访问行为，形成完整的系统日志备份与灾难恢复——强化系统备份，实现系统快速恢复加强局域网安全管理，提高系统全体人员的局域网安全意识和防范技术。
四、网络安全方案总体设计1、安全方案设计原则
对企业局域网局域网系统安全方案设计、规划时，应遵循以下原则：（1）、综合性、整体性原则：
应用系统工程的观点、方法，分析局域网的安全及具体措施。安全措施主要包括：行政法律手段、各种管理制度（人员审查、工作流程、维护保障制度等）以及专业措施（识别技术、存取控制、密码、低辐射、容错、防病毒、采用高安全产品等）。一个较好的安全措施往往是多种方法适当综合的应用结果。
（2）、需求、风险、代价平衡的原则：
对任一局域网，绝对安全难以达到，也不一定是必要的。对一个局域网进行实际额研究，并对局域网面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。
2、安全服务、机制与技术
安全服务：安全服务主要有：控制服务、对象认证服务、可靠性服务等。安全技术：防火墙技术、鉴别技术、审计监控技术、病毒防治技术等；在安全的开放环境中，用户可以使用各种安全应用。安全应用由一些安全服务来实现；而安全服务又是由各种安全机制或安全技术来实现的。应当指出，同一安全机制有时也可以用于实现不同的安全服务。
五、网络安全体系结构通过对局域网的全面了解，按照安全策略的要求、风险分析的结果及整个局域网的安全目标，整个局域网措施应按系统体系建立。具体的安全控制系统由以下几个方面组成：物理安全、局域网安全、系统安全、信息安全、应用安全和安全管理。
1、物理安全
保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提，物理安全是保护计算机局域网设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。
2、网络结构
安全系统是建立在局域网系统之上的，局域网结构的安全是安全系统成功建立的基础。在整个局域网结构的安全方面，主要考虑局域网结构、系统和路由的优化。
局域网结构的建立要考虑环境、设备配置与应用情况、远程联网方式、通信量的估算、局域网维护管理、局域网应用与业务定位等因素。成熟的局域网结构应具有开放性、标准化、可靠性、先进性和实用性，并且应该有结构化的设计，充分利用现有资源，具有运营管理的简便性，完善的安全保障体系。局域网结构采用分层的体系结构，利于维护管理，利于更高的安全控制和业务发展。
3、系统安全
（1）、访问控制及内外网的隔离------防火墙的应用配备相应的安全设备：在内部网与外部网之间，设置防火墙实现内外网的隔离与访问控制是保护内部网安全的最主要、同时也是最有效、最经济的措施之一。防火墙设置在不同局域网或局域网安全域之间信息的唯一出入口。
防火墙,顾名思义,是一种隔离设备。防火墙是一种高级访问控制设备,置于不同网络安全域之间的一系列部件的组合,它是不同网络安全域之间通信流的唯一通道,能根据用户有关的安全策略控制进出网络的访问行为。从专业角度讲,防火墙是位于两个或多个网络间,实施网络访问控制的组件集合。
包过滤（Packetfiltering）型
包过滤方式是一种通用、廉价和有效的安全手段。之所以通用，是因为它不是针对各个具体的网络服务采取特殊的处理方式，适用于所有网络服务；之所以廉价，是因为大多数路由器都提供数据包过滤功能，所以这类防火墙多数是由路由器集成的；之所以有效，是因为它能很大程度上满足了绝大多数安全要求。
包过滤方式的优点是不用改动客户机和主机上的应用程序，因为它工作在网络层和传输层，与应用层无关。但其弱点也是明显的：过滤判别的依据只是网络层和传输层的有限信息，因而各种安全要求不可能充分满足；在许多过滤器中，过滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影响；由于缺少上下文关联信息，不能有效地过滤如UDP、RPC（远程过程调用）一类的协议。
应用代理（ApplicationProxy）型
应用代理型防火墙是工作在OSI的最高层，即应用层。其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。
防火墙主要的种类是包过滤型，包过滤防火墙一般利用IP和TCP包的头信息对进出被保护局域网的IP包信息进行过滤，能根据企业的安全政策来控制（允许、拒绝、监测）出入局域网的信息流。同时可实现局域网地址转换（NAT）、审记与实时告警等功能。由于这种防火墙安装在被保护局域网与路由器之间的通道上，因此也对被保护局域网和外部局域网起到隔离作用。
（2）、内部网不同局域网安全域的隔离及访问控制在这里，主要利用VLAN技术来实现对内部子网的物理隔离。通过在交换机上划分VLAN可以将整个局域网划分为几个不同的广播域，实现内部一个网段与另一个网段的物理隔离。这样，就能防止影响一个网段的问题穿过整个局域网传播。
（3）、局域网安全检测
局域网系统的安全性取决于局域网系统中最薄弱的环节。如何及时发现局域网系统中最薄弱的环节？如何最大限度地保证局域网系统的安全？最有效的方法是定期对局域网系统进行安全性分析，及时发现并修正存在的弱点和漏洞。
因此，除使用一般的网管软件和系统监控管理系统外，还应使用目前较为成熟的局域网监控设备或实时入侵检测设备，以便对进出各级局域网的常见操作进行实时检查、监控、报警和阻断，从而防止针对局域网的攻击与犯罪行为。
4、网络备份系统备份系统为一个目的而存在：尽可能快地全盘恢复运行计算机系统所需的数据和系统信息。根据系统安全需求可选择的备份机制有：场点内高速度、大容量自动的数据存储、备份与恢复；场点外的数据存储、备份与恢复；对系统设备的备份。备份不仅在局域网系统硬件故障或人为失误时起到保护作用，也在入侵者非授权访问或对局域网攻击及破坏数据完整性时起到保护作用，同时亦是系统灾难恢复的前提之一。
5、系统安全系统的安全主要是指操作系统、应用系统的安全性以及局域网硬件平台的可靠性。对于操作系统的安全防范可以采取如下策略：
对操作系统进行安全配置，提高系统的安全性；系统内部调用不对Internet公开；关键性信息不直接公开，尽可能采用安全性高的操作系统。 应用系统在开发时，采用规范化的开发过程，尽可能的减少应用系统的漏洞；局域网上的服务器和局域网设备尽可能不采取同一家的产品。
赞赏
