本篇論文目錄導航：

【題目】企業辦公網絡安全管理問題研究
【第一章】企業辦公網絡安全防護探析緒論
【2.1 - 2.4】防火墻技術與文檔安全保護技術
【2.5 - 2.7】網絡防病毒技術與雙機熱備技術
【第三章】辦公網絡安全系統分析與設計
【4.1 4.2】網絡出入口監控管理策略
【4.3 - 4.5】網絡安全防護措施設計與實現
【總結/參考文獻】企業辦公網安全升級方案研究總結與參考文獻

第三章 辦公網絡安全系統分析與設計

3.1 現狀介紹。

某水利局早已實現辦公自動化和無紙化辦公，公文扭轉與發布都是在辦公網絡上完成?？偩峙c各水利站的聯網辦公也已經實現了公文和檔案的聯機管理。

（1） 軟硬件設備情況：

水利局部署有3臺服務器（型號為DELL poweredge 2950,操作系統為Winserver2003）、3臺交換機（型號為CISCO CATALYST 2950）、2臺juniperSSG5安全網關和1臺路由器。設備型號陳舊，使用年限長，硬件老化。

（2） 網絡環境：

水利局中心端通過100M光纖接入，各水利站與局通過10M MPLS-VPN連接。樓內網絡布線采用超五類非屏蔽雙絞線，網絡規劃混亂，私接路由現象嚴重。

（3） 業務應用情況：

3個服務器都是DELL poweredge 2950,操作系統為win server 2003.

水利業務應用分別為：

（a）辦公自動化系統，（b）防汛抗旱指揮系統，（c）水利管理監視系統，（d）三維電子沙盤系統。

3.2 需求分析。

3.2.1 存在問題。

網絡中使用的交換機已過保修期，但目前仍在投入使用?？偩旨捌湎聦俚乃韭摼W主機臺數已經超過200臺，以其當前網絡結構已經早已不能達到現代化IT業務發展需求，需要進行重新規劃和硬件更換。

由于使用總局核心出口，所有分支站點均通過MPLS-VPN與總局核心網絡互聯，這對于總局的出口帶寬和網絡吞吐能力要求較高。但實際上，從整體上看，總局100M的光纖出口，和路由器的設置，并不能滿足這一條件。網絡傳輸能力低下，直觀反映就是用戶經常抱怨網速慢，下載經常中斷，郵件發不出去。

網絡結構幾乎沒有安全防護措施，對局內辦公網絡也沒有有效的監管措施，導致網絡內存在諸多不良的使用記錄，木馬、病毒等肆意傳播。

原有服務器被查出有黑客登錄痕跡，暫未發現重要信息泄露，但不排除有內部辦公文檔被竊取。很可能黑客借助該服務器進行危害操作，當肉雞對外進行攻擊行為，或者大肆傳播網絡病毒，妨礙水利局公共網站的正常運作。這一潛在威脅，不僅影響到局內辦公文件的保密性，同時對社會公共網絡也是一個極大的安全隱患。

該局所有的數據和核心業務都依存于數據中心，且沒有額外進行備份操作。倘若發生災害事故，短期內很難恢復工作，這將對當地水利工作造成極大影響。因此，部署雙機熱備和異地災備是當局必須考慮的方案，這是為了保證自身數據的完整性，以及核心業務應用的連續性。

局內的數據中心是整個辦公網絡數據交互的核心，該數據中心的設計和建設是進一步實現當局現代化信息化工作的重大事件。

3.2.2 建設要求。

隨著信息化發展加快，數據中心運作的數據量日益增加，辦公自動化對數據的依賴性也越來越強，數據的收集、管理、分析、備份等處理要求日益提高。為充分考慮本局各類用戶的實際需求，該數據中心具有以下的需求：

（1） 數據集中化收集下屬水利站遞交的監測數據，采取數據庫式的集中存儲和統一管理，由專職管理員進行維護。支持多種數據類型，包括但不限于文本、圖像、報表等，可以通過格式轉換，將信息數據有效儲存保管起來。

（2） 信息系統綜合化數據中心將各站資源統一為整體，在辦公網絡上共享，消除信息傳播障礙，給數據挖掘和深度分析打下基礎。

（3） 提高效率降低成本原有數據傳輸和保管都沒有專門設備管理，進場造成歷史文件丟失，檔案找尋困難。

本次數據中心建設，集成了管理機制，提供效率，同時降低了人力成本。

（4） 提高兼容性和可擴展性本次建設要考慮到兼容性和可擴展性，因為用戶數不斷增加，用戶數據信息的分析工作也會變得繁瑣且有針對性。伴隨對外Web應用業務的擴大，為保證業務的連續性，后期擴容勢在必行。

（5） 網絡流量的監控與管理本局的應用在逐步增加，為了適應業務需要，入口帶寬也在不斷提高，可局內的網絡速度卻沒有感知上的變化。經檢查，木馬等惡意程序，還有不良應用，嚴重占用了局內帶寬，導致正常辦公無法順利開展。

必須確保局內的關鍵應用：辦公自動化系統、防汛抗旱指揮系統、水利管理監視系統等能夠獲得充足的帶寬。還必須保證職員正常的上網辦公需求，這樣單位就可以避免無休止的帶寬擴容，降低單位網絡的運營成本。

（6） 病毒防護病毒隨著科技發展，亦是更新換代，無孔不入。本局系統遭受著病毒的侵蝕和破壞，急需部署一個切實可靠的方案來解決病毒問題，保證日常工作和應用服務不受其威脅，同時也能解決網速異常等問題。

（7） 數據備份數據重要要想不斷發展和完善，必須實行有效的數據安全保護措施。所以，本次要采取有效的數據備份手段來確保數據業務的安全，打造一個高自動化、跨平臺的備份管理系統。

（8） 遠程數據容災災難總是多種多樣，與計算機數據中心有關的，小到人工操作失誤導致的數據丟失、系統癱瘓；中到硬盤損壞、硬件老化、系統失靈；大到非人為因素的地震、火災等，都會造成數據的損失。當今信息安全，保證業務應用的持續性是首要方面，因此，遠程的數據災備技術是保證本局業務不會中斷的關鍵。

數據中心數據管理策略采用"分類存儲、統一備份、關鍵應用和關鍵數據異地雙重保護"的數據資源集中管理方案。

3.3 建設目標。

針對局內目前的網絡狀況，本次數據中心改造將分為網絡結構升級、網絡安全改造、數據雙機熱備三個方面展開闡述。

3.3.1 網絡升級目標。

網絡系統的改造本著實用性、安全性、可靠性、開放性、先進性、可擴充性、可管理性相結合的原則，改變原有的網絡結構，參考最實用的網絡布局進行設計。

（1） 實用性原則以實際需要為基礎，結合將來發展需要，確定改造規模，控制成本。

（2） 安全性原則根據實際需求，建立完善的安全管理體系和策略。

（3） 可靠性原則為本系統考慮冗余備份，在關鍵設備選型時，要保證降低故障發生幾率，并且可實現快速修復。

（4） 成熟和先進性原則系統整體結構采用當前IT信息化行業最成熟的技術。

（5） 規范性原則所有設計要求符合國家標準，設備選型采用國內一線品牌，為后續產品的對接提供良好基礎。

（6） 開放性和標準化原則設計方案要具有開放性，同時符合標準化原則。

（7） 可擴充和擴展化原則設備選擇不但滿足本次方案要求，更要可以在未來五年十年內不被淘汰，可以和往后最先進的設備進行擴展互聯，不影響其性能。保證本次投資的價值。

（8） 可管理性原則本方案的軟硬件都采用圖形界面化，方便管理、易于維護，管理員通過一臺PC聯網，就能遠程管理所有設備運行。

綜上所述，本次網絡設計更換和升級硬件設備，并部署新的系統。解決目前存在的問題，并大大提高系統運行的速度，對網絡進行VLAN劃分和IP子網的重新劃分，提高網絡系統的可管理性。在機房部署核心交換機，在每個樓層設備間部署接入交換機，采用星型連接方式，光纖傳輸。按照樓層和部門劃分子網，同時將分局接入的網段進行單獨規劃。

3.3.2 網絡安全改造目標。

從設計方案上來看，要增加網絡安全設備，同時為管理員制定網絡運維規范，用以提高網絡安全性。從技術的角度看，將著重從邊界防護、行為管理、Web應用系統的安全防護、數據災備恢復等多個方面同步進行。

在戶外光纖入口部署防火墻，對應申請的公共網段配置映射路由，對基礎訪問進行篩選，主動防御惡意攻擊。

在防火墻和核心交換機之間配置網絡流量監控管理設備，實時監控網絡瀏覽信息和帶寬占用情況，對大量占用帶寬的P2P協議等應用進行封鎖或限速。

在應用服務器和核心交換機之間部署文檔安全保護設備和Web應用防護設備，做到有效防護內部重要文檔被竊取、本地重要服務被攻擊，并有效組織在辦公內網發起的攻擊和竊取行為。

在服務器上安裝網絡防病毒管理平臺，實時更新病毒庫，并開放對內網用戶的下載權限，防止病毒攻擊從內部開始傳播。

3.3.3 數據熱備設計目標。

建設本地雙機熱備系統，新用單臺服務器旁接入核心交換機作為熱備份服務器，在其系統中安裝虛擬機和同步備份軟件，將本地所有應用服務器虛擬進該熱備份服務器，保證本地應用服務器因故障等停機后，可以實時切換到熱備份服務器繼續工作。

在另一辦公分局安裝一臺新服務器，建立異地災備系統，保證數據中心核心業務和關鍵數據的有效性。有效避免發生災難等事故造成中心機房硬件全部損毀、數據丟失的情況發生，以及其造成嚴重影響和巨大損失。

雙機和災備服務采取同步校對功能，在占用極少帶寬的前提下，可以實現同步更新數據，保證數據保存到災害發生前那一刻。同時可以實現按小時的鏡像存儲，可以人工還原數據。

3.4 本章小結。

按照3.3所述建設目標，增加了如上各項安全功能后，本案例改進后的辦公安全網絡拓撲。