信息中心
金諾網安KIDS網絡安全系統應用案例
入侵檢測系統是一種應用比較高級、投資相對比較大的網絡安全產品，用戶如何正確地選用它們，這對企業的網絡安全和企業的投資效益都有很大的影響。我們結合以下某一集團公司的實際網絡應用狀況來說明這一問題，方案中主要采用金諾網安reg；入侵檢測系統（KIDS）產品。
上海某一集團公司總部在上海，并在香港和其它地區設有分支機構，屬于制造型企業。總部的計算機網絡中心內具有公司最重要的設備和信息數據，其中最主要的應用為整個集團的ERP系統。各分支機構與集團總部采用租用專線來連接，形成企業自己的專網，網絡中心同時還通過128K的DDN專線與Internet相連，內部員工可以對外進行瀏覽訪問和使用自己的Mail系統，外界的人員也隨時能訪問該集團的Web網站，網絡中基本采用了windows系統。公司領導層對信息數據的保密性和安全性一直都比較重視，所以早在1999年的時候已經在網絡中部署了兩臺防火墻，另外也采用了一些系統本身能實現的認證、加密等簡單技術方法來提高網絡的安全性。雖然公司對安全風險有所防范，但是實際情況還是不盡人意，網絡曾在一段時間內依然遭受了幾次不小的破壞和干擾，而且系統管理人員也未找到真正的事發原因。
安全需求分析應客戶的要求，我們對該集團公司的網絡作了一些檢測和分析（檢測報告略）。僅從網絡結構來看，似乎該網絡還算比較安全，具有雙重防火墻保護內部網，但在做完檢測和分析后，我們發現該客戶網絡的安全的確還有很多不足之處。
檢測中我們發現該集團公司的防火墻配置都比較簡單、過于寬松，沒有用到的135至142端口正處于開放狀態，IP地址與MAC地址之間也沒有被作綁定；文件共享設置十分混亂，有幾臺服務器的C盤（含有系統文件）都能被內網上的用戶隨意進行訪問，IIS Web server 未被作最新的軟件補丁等等。以上問題足以使內部或外部的人員發生誤操作或進行惡意攻擊（如基于IPC的遠程控制、IP地址盜用或基于Web的Unicode攻擊和。printer攻擊等）。事實上，有了防火墻以后并不代表系統管理員就可以高枕無憂了，防火墻是一種靜態的安全防護設備，它只是按照定義好的安全策略對網絡的數據流進行過濾和訪問控制，而且，防火墻的設置不能影響用戶正常的應用服務，所以要被允許開放一定的端口或服務；防火墻對很多不斷更新、更加高級的入侵攻擊方法無能為力，難以適應瞬息萬變的各種安全威脅；它們不能自動調整相應的配置、不能發現繞過防火墻的攻擊、也不能排除來自內部的安全隱患。防火墻雖然在一定程度上解決了來自外部的安全問題，可它們的能力是有限的。
能彌補靜態防護技術的不足，采用動態檢測、實時記錄、及時報警和主動防御的動態防護技術——金諾網安reg；入侵檢測系統（KIDS）是對該企業網絡的最好補充。金諾網安reg；入侵檢測系統KIDS是綜合的入侵檢測系統，它將主機入侵檢測和網絡入侵檢測相結合，分別從計算機和網絡的各個關鍵點收集違反安全策略的行為或被攻擊的跡象，并且可以根據用戶的需要實時報警和響應；可以防止來自外網的黑客入侵，也可以制止來自內網的惡意行為、誤操作或資源濫用。金諾網安reg；入侵檢測系統，可以為該企業提供另外一種深層次的高級防護措施，能極大地提高信息安全基礎結構的完整性。
另外，我們發現企業在了解自身網絡實際安全狀況上明顯不足：某些應用系統有很多Bug，某些設備（包括防火墻等）配置也比較粗糙，企業也很需要專門的漏洞檢測和安全評估工具。
系統設計原則
對于該集團公司網絡系統安全方案的設計，我們遵循以下幾點原則：
1、靜態防護和動態防護的互補本方案主要從入侵檢測系統考慮，采用KIDS動態智能的防護體系來彌補防火墻等靜態防護技術的不足，實現靜態安全技術和動態安全技術的互補和統一，同時保證網絡邊界、網絡內部重要網段和各關鍵主機的安全性，以盡量形成完整的安全解決方案。
2、適合相應安全等級的需要結合企業網絡的應用情況，在滿足安全性的基礎上，綜合考慮系統的性價比，根據各應用服務關鍵點對安全等級要求的不同，恰當地選擇KIDS網絡傳感器和主機傳感器的數量，確定最優方案。
3、實現集中和統一的管理所采取的安全措施要易于網絡管理人員的操作與掌握，盡量實現管理的集中性和統一性，在部署和配置KIDS控制端口時，要實現KIDS控制臺的集中管理（包括對主機傳感器和網絡傳感器的統一配置和軟件的在線升級）。
4、可適應性和可擴充性所選擇的產品或系統模塊應能隨著網絡性能及業務需求的變化而變化，具有良好的可擴充性，要能滿足用戶對該產品的不斷調整和補充的需求。
5、符合有關標準符合國際有關通信協議和接口標準；符合國家有關信息系統安全保密標準。
文章作者：國脈電子政務網
集成系統網絡情報信息數據庫
CIO頻道人物視窗
CIO頻道方案案例庫
大數據建設方案案例庫
電子政務建設方案案例庫
互聯集成系統構建方案案例庫
商務智能建設方案案例庫
系統集成類軟件信息研發企業名錄