導航：安全管理網>> 安全論文>> 電力安全論文>>正文

層次化網絡安全建設

文檔作者：景懷民，陳高輝，秦博，李世紅，高省庫文檔來源：長慶油田通信處		點擊數：	更新時間： 2022年12月31日
下載地址：點擊這里	文件大小： 948.99 KB 共6頁	文檔格式： PDF	下載點數： 1 點（VIP免費）

全屏查看

內容預覽 [文件共6頁]

本文件共6頁，如需編輯使用，請下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大小：948.99 KB 共6頁文件格式：PDF 下載點數：1 點（VIP會員免費）

下一篇：輸電網安全性需求評估指標集的構建

上一篇：電力調度內網安全監控平臺建設

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

No．2
Apr．．2011
微處理機
MICROPROCESSORS
第2期
2011年4月
層次化網絡安全建設
景懷民，陳高輝，秦博，李世紅，高省庫
(長慶油田通信處，西安710018)
摘要：隨著大型企業網絡快速發展，部分網絡已經實現了核心萬兆、千兆接入到桌面，網絡流
量快速增加，隨之而來的網絡安全風險加大，對網絡安全運行造成的影響變大。通過提出分層網絡
安全建設建議，可增強大型企業網絡的安全。
關鍵詞：ACL策略；P2P下載；DDOS攻擊；異常流量
DOI編碼：10．3969／j．issn．1002—2279．201 1．02．008
中圖分類號：TP393．1 文獻標識碼：A 文章編號：1002—2279(2011)02—0024—05
Construction of a Hierarchical Network Security
JING Huai—min，CHEN Gao—hui，QIN Bo，LI Shi—hong，GAO Sheng—ku
(Changqing Oilfield Communication Department，Xi&amp;amp;n 710018，China)
Abstract：With the rapid development of large enterprise networks，has formed a core part of the
network Gigabit，Gigabit access to the desktop，a rapid increase in network traffic，followed by increased
risk of network security，network security operation on the impact of larger that the proposed construction
of layered network security solutions，and enhance large—scale enterprise network security．
Key words：ACL policy；P2P download；DDOS attacks；Abnormal traffic
1引言
Intemet是20世紀對人類發展起到巨大推動作
用的科技發明之一。它提供了全新的通信手段、信
息交換及獲取手段，極大地加速了社會的信息化發
展，滿足了社會信息化進步的需要。回顧網絡發展
的歷史，世界各國電信部門和廠商共同花費巨大人
力物力制定的開放系統互連(OSI)標準，其精心設
計的分層結構作為網絡技術的典范出現在教科書
中。因為OSI協議過于復雜，資料數量巨大、龐雜，
難以讀懂而且不能免費閱讀，一個具有網絡知識的
專業人員，也很難在他(她)的有生之年讀完相關的
資料，導致OSI協議失敗。而TCP／IP協議卻相反，
它的協議十分簡單，協議文本易讀，易理解，可以免
費下載，協議容易實現，各廠商之間的協議容易做到
互通和兼容，因此TCP／IP協議成為Internet主協
議。Intemet后來的蓬勃發展，則主要歸功于網絡應
用的功勞。一方面，電子郵件(Email)、電子公告板
(BBS)、萬維網(WWw)等應用層協議的出現，極大
地吸引了用戶上網；另一方面，傳統的通信應用被
移植到Internet上來，例如IP電話、視頻會議、遠程
教育、視頻點播等多媒體應用，使得Internet有取代
其他通信手段的趨勢。
隨著光通信技術的發展，通信傳輸的帶寬、可靠
性和價格獲得了極大的改善。當網絡規模不斷發
展，網絡流量成指數增長，實時通信和通信質量保證
的要求不斷增長時，網絡設備不堪重負，因此大型企
業網絡都采用層次化網絡體系結構。采用這種新的
網絡架構，讓網絡回歸簡潔，設備簡單、高效；層次化
網絡體系結構下的網絡行為和數據路徑的確定性，
有利于真正實現QoS；網絡結構故障和網絡失效事件
局部化，避免全局網絡拓撲結構信息和失效事件，從
而避免全局性的震蕩、回路以及長的路由收斂時間。
通過分析當前大型企業的網絡安全風險，提出
一種新的網絡安全解決方案一“層次化網絡安全方
案”。對普遍使用的分層網絡架構進行研究，通過
不同網絡層次采用不同的安全解決方案完成企業網
絡安全的建設(見圖1)。
作者簡介：景懷民(1963一)，男，甘肅靈臺人，學士，主研方向：信息工程。
收稿日期：2010—10—15
萬方數據
*懷*蟀：目狀化目镕安±建設
2企業網絡安全風險
目I^Ⅲ∞月女m月培*撲目
2 1骨千網安全
大型企業網絡用戶接^帶寬達到干兆．計算機上
網帶寬達到百兆部分達到千兆。隨著計算機性能提
高很快，加之企業內部網絡帶寬大幅提高．單臺計算
機時阿絡沖擊流量達到百兆以上．發包速度達到10
萬PPS(包每秒)以上甚至上百萬PPS。如此多的報
史，導致骨干網絡流量增大．骨干阿設備負荷增大，處
理性能下降．影響骨干網絡的穩定運行，嚴重情況下
的DDOS病毒攻擊更會造成整個企業阿絡的癱瘓。
2 2互聯回出口安全
目前瓦聯網資源豐富，阿絡用戶已經習慣從互
聯網下載各種信息。隨著BT、迅笛、在線視頻等
P2P應J}l的廣泛使用，互聯網下載流量增大．影響到
企業辦公網絡應用的使用。通過對某企業互聯網出
口流量敷據進行分析，互聯網出口流量中上行76％
是P2p流量下行35％是P2P，周頁瀏覽占用50％．
其它應用占用比例較少。當骨干網和互聯網m口流
量充斥P2P等非正常應用時．嚴重影響了網絡運行
效宰和正常的阿絡應用。
通過對企業互聯網安全設備記錄信息的統計，
發現大量DDOS(拒絕式服務攻擊)攻擊行為。萁中
某單臺主機發包速度可達80萬PPS．報文都是64字
節吼下的小報文。小報文對網絡設備性能影響最大．
其攻擊報文路徑l所有的網絡設備都會受到影響．設
備處理能力太幅下降．甚至導致整個喇絡癱瘓。
2 3應用服務器安全
企業網絡基礎應用服務器DNs、網頁、數據等．
用來提供企業應用服務及存儲企業關鍵應用數據。
隨著企業生產的數字化發展．更多更復雜的應用服
務器投人運行，隨之而來的應用系統安全漏洞也愈
來愈多，需要加強安全防范以抵御網絡安全威脅。
一旦這些服務器因為安全問題而il起全同癱瘓．則
會造成不可彌補的損失。
3層次化網絡安全方案
針對層次化網絡結構的特點，大型企業阿絡安
全建沒包括：互聯削出口架設脅火墻攔截互聯網攻
擊．使用防火墻內置IPS模塊檢測防范網絡人侵行
為；核心層網絡配置流量清洗設備，對內部網絡異常
流量清洗過濾；使用流量檢測系統分析網絡流量構
成．采用發送干擾報文形式對互聯罔出口P'2P流量
進行控制；應用服務器樂統通過防火墻進行安全防
護；定期使用安全評估系統對企業阿絡主機進行近
程安全評估。
萬方數據
3I接入屢安全防范
接^層直接接八H絡H】戶主機．接人交換機町
使用ACI策略塒常見的病毒端口進行關閉。部署
^刪，策略來用分層方法，對常見病毒端口、用戶地
址段坡¨標地址段進行控制，保護f11戶側安全；以
下ACL配置是楚思科交換機配置柏ACI。示例：
m‘c—11m105 denyItl，any any。n1 35
n“e—list 105 deny lop any any。a l 39
?一11sI 105 deny lcn any any eq 445
acce—list 105 deny IeI?v any eq 1023
accc—list 105 deny lop any un)eq
1025
aPre—llst 105 d?tep any any eq 1026
accc—list 105 deny top any 8nv eq 1027
aece—list 105 deny tcp any any eq 4000
arce—list 105 deny”n any anv eq 5554
?一list 105 deny kn any any eq 9898
accc—Iisl 105 deny udp any anl eq 1023
arce—list 105 deny udp 8nv any eq 1025
access—lisl 105 deny udp 8T_v an)eq 1026
af ce?list 105 deny udp any any eq】027
acce—list 105 deny udpⅡ“y a“y cq 4000
M㈣一11ml∞1?icmpl0 71 0 0 0 0 255∞v
?一㈦1∞permiticmpⅢ1v10 71 00 0 0 255
a?一list 166 deny icmp?lv
?一lⅢ1∞permitipl0 7 n0 0 0 255 255 any ?一listl05 permitip mlyln7 0 00 O 255 255
?一IIm 105 deny ip any anv
3 2核心層安全防范
制對目前發牛在夫型企業網絡安爭攻擊事件多
發生在內部瑚}芹(內阿對外阿攻擊行為多．因為互
聯阿出口NAT原因，外網對內網攻擊行為少)的特
點．網絡安全事件以預防為豐的策略下．需要通過技
術手段提的發現肝及時處理網絡異常流鼎、DOS攻
擊及DDOS攻擊行為，將網絡攻擊對骨干網絡的影
響降到最低。針對大型企業應用H＆務器系統集中互
聯網出口集中的特點．內部流量多為應用系統及互
聯嘲防剛．對異常流量及DDOS攻擊防范．可使用內
網異常流量監測和清洗系統達到保護內部阿絡安全
的gt的．如圖2所示。異常流量清洗i殳備選擇網絡
架掏要對阿絡用戶影響降至最小。可選擇旁路部署
流量清洗設備，流量監測及分析系統因為使用鏈路
分光旁路部署所“對用戶沒有影響。異常流量清洗
{殳備對企業內咧的重要單位、服務器系統進行有效
保護，網絡r行流量通過策略路由至清洗設備，清洗
檢測后回注，互聯網下行流量通過監測分析中心檢
測發現網絡攻擊，通過管理中心給清洗設備發送
RcP路由控制命令，清洗設備給互聯的檀心路由交
換設備發布精確的BCP攻擊主機路由，攻擊流量被
引流至清洗設備．清洗設備完成攻擊流量清洗后同
件數據。
目2 mi＆Ⅻj清洗#自目
3 3互聯網出口安全防范
互聯網出口防火墑是控制內外網訪問的關鍵醴
薔，大型企業耳聯網Ⅲ口流量大．防火墻除了正常的
互聯網地址轉換外．還要對內外網訪問進行策略控
制．因此對防火墻性能要求較高。目前互聯同出口
的網絡安全事什較多，斟此在互聯剛出口配置IPS
已經成為出n安全建設的土流。考慮到出口設備的
冗余，出u結構就出現2+防火墻+2+IPS的復雜
情況。為r減少出口設備的故障點+降低復雜度．建
議使用防火墻山置[PS的方式，既保護]，互聯網出
口安全電降低了拓撲復雜度。
大型企、№網部面臨互聯網出口帶寬需求不斷增
加的難地。分析企業網互聯網出L1漉量情況發現
P2P業務占用帶寬比較大，需要對P2P流量進行監
管。通_過限制P2P流罱保證正常札務流的通暢。
大型企業網絡中的核心刷絡都是飆設備冗余架掏，
如果采用串聯網關式流量分析監管系統結構，會增
加閘絡內部的單一故障點。同時網關式設備處理性
能不能滿足大型企業網培需求。因此可采用旁路流
量分析監管設備，重點分析核心網關鍵節點和互聯
網出口協泌流量情況。對重點業務流進行統計分
析，提煉重要業務的特性，建立阿絡流量模型．為網
絡規劃建設提供依據。旁路設備通過發送下擾報文
的方式對用戶P2P下載進行有效干擾．限制P2P、lP
萬方數據
21 ．——：!!苧!!!!!!!!!堡一二!!：
舟對帶寬的一’1用．d：府迎人流最骨干網陽刈用戶的
影響是蛀小的安辛鄙署l勤如閉3所示．
”I#l 90#；m *。％自№二￡i髓1 【￥i#n
0 e·一1bE “一*t÷1
月3Ⅱ聯嘲fIj口安全部署目
3 4應用系統安全防范
大顰企業財務、音同、ERP、OA、DNS等煎要的
△
血用服務器系統．除r需要加強刪務器自身的安全
防護外(如：烈機熱薔的措施外)．為成時柬自網絡
的安全威脅．還需要通過J|}i務器使用防火墻+lPs
系統來保護應川。防火墻針對胍箭器設性定制的安
全過濾策略以保護服務器，IPS‘I『以引對DNS／
WER／DHCP等流量請求進行檢測保護．攻擊畝jc量被
隔離以避免服務受到影響。
3 5使用遠程安全評估系統
企業網絡安傘是一項系統工程，除r服務器m
＆阿絡麒而的安全防護外，需要通過技術千段對企
業阿珞沒備、服務器、計算機主機等定Il目進行安全評
估。目前比較成熟的足通過遠程安全評估系統．對
蜘內設薔進行地址掃描應用類安壘評估。太型企業
州需受駛時掌握削內各種設備杖朋戶的安全風險．
網此使’{1精{|14扣捕技術對網內路巾交換沒備、服務
器及計蛸．HI終端遜竹‘譬令評估．能夠艘現阿絡安全
隱患．并針塒舭務囂及剮絡設備進}r安侖加固，起到
提前預防刪絡安全風險的作用(見剛4)。
蘑8麴Hn
日oE＆{$【硅Lr{ETm§％{g目目Ⅲ0隅月
女*q# 10 78173 6910 78173150
謝瞄m同iimTELNET璐#&amp;amp;E女噍■，#E涮t{e嗍7#口々．
，啵女＆ ^TELNE瑗*M■■目設■一十t翻nb口審．
圖4安±口估報☆范倒
4結束語
層次化阿絡安全建設．能有效降低大型企業網
絡受到網絡嶄毒攻擊的影響程度。舉例某企業同內
單位用戶千兆接^企業網，因J{i戶主機UDP—
FLOOD攻擊互聯網主機造成其所在單位網絡幾乎
中斷．流量清洗設備對攻擊流量進行清洗，骨干網及
互聯網出口網絡未受到影響。某病毒主機11日開
@丑≮髻 渺曠驢＼君§9 乓＼g妒＼～，話～曠，諺。月
一妻|
h霹=．胡w
j}
萬方數據
散*m機
始攻擊嘲絡，攻擊沉量達到200Mbpg．t 3日關閉此
{一機后流量正常，核心剛絡流世清洗設備髓時檢測
■，*
¨-IE3酷1Ⅲ瓤舊^-H e
12???real???一9?1●0?∞-一?11一??m一??i+i1W枷11●1●*1● ¨5●∞?●?一?口??mOl?∞H’，"酗一一??m?∞·J∞*’e1B0 W??∞?1*??1?0?一??1一??l∞?‘∞1 I41 4?t■????????l???l?1??l ??1?■?1?????l1●?1l??i??1 ??l?41???????i???i??11 ?l???1????
???????????1?????●11 ■???●?l?l????1??1???1{11
到攻擊行為井進行攻擊流量清洗(見圖5
m■ s8s??—Do●●M■_●?n??1㈣M s?～?“D’“■?●?'一
篆b～。目5目镕&amp;amp;女∞卻目
參考女*： H镕女±，2007(6)：36—37
【I J錢畢#，葛觸目．{瘦H☆女*M镕镕§镕掏【M] [4]戚建方互E月##mt镕詵&amp;amp;$女H自I＆宴誰
北《：清華^{＆舨Ⅱ，2009 【D】rH：十Ⅲ大學20。9
[2】高P崗實月日絡％t**&amp;amp;術fM]北《：自}IⅡ [5]華為技術#m公目SIGi#【EB／OL]耀Ⅷ：華為公
∞版#．2009 目，2008一l 30／2008—9一18 ww huaweisy—tee
【3]％口奇分布式拒絕m務目擊mⅫ宴例分*[J]信息corn／on／download do?id=646363
(}．接第23頁
4結束語
該篇只是用一個簡單的實驗米介紹I：％xRay網
絡的通信原理及通信優勢。FlexRay作為一種新型
高速具有容錯性的總線．在汽車上的應片j．能夠保證
汽車系統的安全性達到個新的水平。Flexaay用
在實時性安全性賈求比較高的阿絡中．同樣也能夠
在工業控制系統中發揮出巨^的作用。因此
FlexRay的r鹺應用也指日可待。
●≈it：
【I】I：lexRny¨HⅢ，ZHANG H∞，PENG I)柏一(，”g．
HIIANG Wen Design and Application ofCommunication
cBIew8v b衄ed?FI x舳?d CAN『c]2009 Jnl?．
t±oⅢC口m?on Eleetmaic Compact 1kh∞1w
Ncw York：IEEE 2009t664一fi68
2】Em菲，H茂#^≈ECUⅫmg十自--I“LEXRAY
(v2 I)**規≈[J】R{自*．2006(10)：46—47
3]±*自，候成林．Ⅱ女B#f TJAI∞0∞I；'lexRay n
拽接u*計f Jj$Rn#＆^^§‰＆月．2007(8)
42-“
4】Rok^Shaw，Bmnd"J∞kmn An fnl刊u?”
n“R?ⅡId?d NeI啪^『c]IEEE 2008：
Ig帕一1854
51 LI Ilui ZHANG H∞XIA nl HUANG Wen R杈amh
on co??Controllerh?ne曲vMd Mdbu8(
c]2009 Int?㈨d cnk?$i口al Aecmisillon
¨d Pteceesi”g New York：IEEE．2009 73 76
萬方數據
層次化網絡安全建設
作者： 景懷民， 陳高輝， 秦博， 李世紅， 高省庫， JING Huai-min， CHEN Gao-hui， QIN Bo
， LI Shi-hong， GAO Sheng-ku
作者單位： 長慶油田通信處,西安,710018
刊名：
微處理機
英文刊名： MICROPROCESSORS
年，卷(期)： 2011,32(2)
本文鏈接：http://d.g.wanfangdata.com.cn/Periodical_wclj201102008.aspx

網友評論 more

電力安全論文最新內容

05-01