文档介绍：*企业网络安全设计:案例分析*内容案例介绍安全评估安全方案设计*公司规模A公司是一家从事太阳能,电力,石油,化工,相关销售等项目等的公司。公司总部设在上海,有200名员工,并在北京拥有1家分公司,员工约100人。*公司的组织结构上海总部(200人)行政部人力资源部管理部公共关系部固定资产部采购部IT总部市场部销售部北京分公司(100人)行政部财务部人力资源部管理部销售市场部IT管理部太阳能部质量控制部法律事务部*公司的发展状况A公司从1985年成立,90年代起收购了多家公司,而且与政府及大型能源企业有合作。在国内的主要大城市有分公司和代表处。公司的急速扩张造成了公司IT管理部门的巨大工作压力,原有的IT管理构架早已不堪重负。于是决定对整个网络系统进行了一次重大升级,包括增加网络带宽,更换核心设备,并将整个系统从WindowsNT4平台全部迁移到了Windows2000平台,提高整个网络系统的可用性和可管理性。*A公司的网络拓扑结构*风险由于太多的日常维护工作而忽略了系统策略及安全政策的制订及执行不力,管理员的日常维护工作又没有标准可循,系统及数据备份也是没有考虑到灾难恢复,经常会有一些系统安全问题暴露出来。*危机该公司网站使用Windows2000上的IIS作为对外的WEB服务器,该网站WEB服务器负责公司的信息提供和电子商务。在外网上部署了硬件防火墙,只允许到服务器TCP80端口的访问。但是在X月X日上午,一个客户发邮件通知公司网站管理员,说该公司网站的首页被人修改,同时被发布到国内的某黑客论坛,介绍入侵的时间和内容。管理员立刻查看网站服务器,除了网站首页被更改,而且发现任务列表中存在未知可疑进程,并且不能杀死。,利用备份程序及时恢复网站服务器内容,但是没有过了半小时,又出现类似情况,于是紧急通知系统管理人员,告知该情况,并向某安全公司求助。*问题经过初步安全检查,发现以下问题:邮件服务器没有防病毒扫描模块;客户端有W32/******@MM邮件病毒问题路由器密码缺省没有修改过,非常容易被人攻击;网站服务器系统没有安装最新微软补丁没有移除不需要的功能组件;用户访问没有设置复杂密码验证,利用字典攻击,非常容易猜出用户名和密码,同时分厂员工对于网站访问只使用了简单密码验证,容易被人嗅听到密码。数据库系统SQL2000SA用户缺省没有设置密码;数据库系统SQL2000没有安装任何补丁程序*用户的目标“我们做了尽可能多的工作,努力提我们的响应速度,缩短解决问题的时间,但是很多情况下我们总是在问题出现了之后才开始解决,在这种情况下我们很难及时解决问题,每次都会有一天到两天大部份系统不能使用,而且也无法对可能发生的问题做有效的估计”------IT服务中心的观点。“我们在很多方面的工作都很成功,但是就是由于这些网络上令人讨厌的病毒,造成了我们还是经常收到来自个方面的投诉,显然这不是我们想看到的。我们需要严密的系统和严格的策略来保证我们业务系统的稳定性和可用性”------首席信息官(CIO)的观点。“我们需要一个可靠、稳定、安全,易于管理和维护的IT解决方案,以及基于此方案的优秀IT服务部门,用以支撑我们公司的运营,以及未来的发展。”-------公司总裁(CEO)的观点。