有线电视网络安全管理系统方案

【网络安全管理】有线电视网络安全管理系统方案

2.1 服务器群集技术 数据中心的服务器采用双机Cluster来提高系统的安全性，双机系统通过群集(Cluster)技术，将两个或多个服务器连接到一个“群集”中，从而提供了低成本、可扩充的解决方案，并且使服务器资源更易于管理，它还具有透明的故障克服能力，当一台服务器或一条通信链出现故障时，系统依然正常运行。

2.2磁盘阵列技术 磁盘镜像备份技术的时代已经过去，应在网络数据中心采用磁盘阵列技术，以确保数据安全，提高系统可靠性。磁盘阵列技术是继磁盘镜像之后的一种新型数据备份技术，它是采用多块物理硬盘通过磁盘阵列控制卡组成的逻辑磁盘组。组成磁盘阵列至少需要三块物理硬盘，根据实际情况可以考虑使用多个磁盘阵列通道，每个通道管理2块硬盘，在一个磁盘阵列中有多块物理硬盘，如果某一个物理硬盘损坏，决不会造成数据丢失。

2.3 防火墙技术 有线电视宽带信息网络是一个营运级信息网络，开展的业务包括: IDC(数据中心)业务、主机托管、域名申请、Intemet接入、视频会议、IP电话等，为了保证信息网的数据安全，应在方案规划中采用防火墙技术，使宽带信息网安全可靠地运行。防火墙技术的核心思想是在不安全的网间环境中构造一个相对安全的子网环境，防火墙是内部网和外部网之间的“门户”，对两者的交流进行全面管理，以保障内部和外部安全通畅的信息交换。防火墙采用包过滤、电路网关、应用网关、网络地址转化、病毒防火墙、邮件过滤等技术，使外部网无法知晓内部网的情况，并对用户使用网络有严格的控制和详细记录。

防火墙的实现方式有两种，即基于包过滤(PacketFilter)的防火墙和基于代理(Proxy)的防火墙，包过滤型防火墙处在网络层，根据IP的包头信息来对信息的访问进行控制，IP包的包头包括以下信息: IP包的源地址、目的地址、包类型、端口号，因此包过滤型防火墙主要完成基于地址和端口的过滤功能。基于代

理的防火墙也叫应用层防火墙或层防火墙，处于应用层，可对IP地址和发生在该IP地址上的具体应用进行控制，它能识别应用协议，因此可对应用的整个过程进行控制。防火墙安全防范系统的功能有：控制不安全的服务、站点防问控制、集中安全保护、强化私有权、网络连接的日志记录及使用统计等。

2.3.1控制不安全的服务 防火墙可以控制不安全的服务，因为只有授权的协议和服务才能通过防火墙，这就大大降低了子网的暴露度，从而提高了网络的安全度，防火墙还能防止基于路由的攻击策略，防火墙会拒绝这种攻击试探并将情况通知系统管理员。

2.3.2 站点防问控制 防火墙还提供了对站点的访问控制，比如，从外界可以访问某些主机，而另一些主机则能有效地防止非法访问。一个站点应该拒绝外部的访问，除了一些特殊情形，比如邮件服务和信息服务等。防火墙不允许访问不需要访问的主机或服务，它在网络的边界形成了一道关卡，如果一个用户很少提供网络服务或几乎不跟别的站点打交道，防火墙就是保护自己的最好选择。

2.3.3 集中安全保护 如果一个子网的所有或大部分需要改动的软件以及附加的安全软件能集中地放在防火墙系统中，而不是分散到每个主机中，这样防火墙的保护就相对集中一些，也相对便宜一些，尤其是密码口令系统或其他的身份认证软件等，放在防火墙系统中更是优于放在每个Intemet能访问的机器上。

2.4 网络物理层的安全设计 物理层安全方案的实施需要电信等服务提供商提供全网范围安全方面的支持，但目前所有的服务提供商均不可能提供此类服务;数据链路层的安全方案可采用链路加密技术在内部网络通过广域网互联提供加、解密功能，但需针对不同的网络通信协议采用不同的协议加密设备，故物理层和数据链路层安全保护的要求不易实现。因此只有采用线路的冗余备份，骨干网络采用双物理线路专线，使用多条拨号线进行线路备份，并且分别在主干网络、多条拨号备份线路上实现负载均衡，同时对网络物理设备及其端口也进行备份设计。

2.5网络操作系统和监控系统控制 网络操作系统安全控制通过对主体标识和客体标注划分安全级别，实现由系统对主客体之间的访问关系进行强制性控制。基于安全服务环境的身份鉴别可防止非法用户进入系统，严格的访问控制机制，严格按权限检查各类人员的各种访问要求，以防止进入系统的合法用户越权访问不该访问的数据。在有线电视宽带信息网解决方案中无论采用何种操作系统(如W indowsNT、Unix等)，都能提供如下的安全控制体系:三权分离机制。将普通用户、系统管理员、安全员三者的权限限制在其完成自身任务的最小范围，从而最大限度地减少内部人员产生问题的可能性;安全审计机制。对与安全有关的事件进行跟踪、记录、报警，供有关人员进行分析，便于安全漏洞的检查和弥补;系统软件的安全控制。提供一个安全管理策略问题，可以在系统实施中加以明确。例如:在数据库权限设计时，为提高系统的安全性，应多采用视图等，在部分安全性要求较高的地方，还应采用加密等方法保证信息的安全性。