<sup id="ujilt"></sup>
時間：2022-10-22 10:35:26
序論：在您撰寫網(wǎng)絡安全解決方案時，參考他人的優(yōu)秀作品可以開闊視野，小編為您整理的7篇范文，希望這些建議能夠激發(fā)您的創(chuàng)作熱情，引導您走向新的創(chuàng)作高度。
關鍵詞： 網(wǎng)絡安全；解決方案；建議
中圖分類號：P231 文獻標識碼：A 文章編號：1671－7597（2012）0610171－02
0 引言
隨著科學技術的發(fā)展，信息技術已經(jīng)成為人們工作生活中必不可少的一個部分，而這種必要性使得計算機網(wǎng)絡更呈現(xiàn)突飛猛進的發(fā)展趨勢。而網(wǎng)絡的發(fā)展以及其伴隨而來的網(wǎng)絡安全問題越來越受到人們的關注，由于網(wǎng)絡安全所造成的嚴重損失已經(jīng)有目共睹，所以如何在推廣網(wǎng)絡應用的同時提高網(wǎng)絡的安全性打造安全網(wǎng)絡成為廣大計算機網(wǎng)絡用戶關心的話題，這不但關系著網(wǎng)絡應用領域是否會受限，同時也關系著網(wǎng)絡是否能夠保持正常速度發(fā)展，以及是否能夠在現(xiàn)代化建設中發(fā)揮應有的作用。
1 網(wǎng)絡安全威脅概述
1）安全威脅的產(chǎn)生
主要是由于因特網(wǎng)的全球性、開放性、無縫連通性、共享性、動態(tài)性發(fā)展，使得網(wǎng)絡安全威脅從網(wǎng)絡誕生就一直伴隨著成長起來，而且隨著網(wǎng)絡發(fā)展速度不斷加快，網(wǎng)絡安全威脅問題也日益嚴重。而且隨著互聯(lián)網(wǎng)的應用領域日益廣泛，如金融、政府部門以及電子商務的盛行，使得網(wǎng)絡數(shù)據(jù)的安全重要性日益突出，如果網(wǎng)絡安全無法保障，則互聯(lián)網(wǎng)應用推廣必將遇到致命的瓶頸問題。如果從安全威脅的來源來看，可以將安全威脅主要分為自然威脅和人為威脅，自然威脅如天氣、環(huán)境、設備等；人為威脅如人為攻擊，通過尋找系統(tǒng)的弱點，以便破壞、欺騙、竊取數(shù)據(jù)等。
2）網(wǎng)絡安全面臨的威脅
網(wǎng)絡安全面臨的主要威脅可分為四個方面：即中斷、竊聽、篡改和偽造。中斷是對系統(tǒng)的可用性進行攻擊，如破壞計算機硬件、線路和文件管理系統(tǒng)等；竊聽是對系統(tǒng)的保密性進行攻擊，如搭線竊聽、對文件或程序的非法拷貝，包括獲取消息的內(nèi)容，進行業(yè)務流分析，獲得消息的格式、通信雙方的位置和身份、通信的次數(shù)和消息的長度等；篡改是對系統(tǒng)的完整性進行攻擊，如修改數(shù)據(jù)文件中的數(shù)據(jù)，替換某一程序使其執(zhí)行不同的功能、修改網(wǎng)絡中傳送的消息內(nèi)容等，通常包括假冒合法實體通過防線、截獲合法數(shù)據(jù)后進行拷貝或重新發(fā)送、通信數(shù)據(jù)在傳輸過程中被改變、刪除或替代、業(yè)務拒絕即對通信設備的使用和管理被無條件的拒絕；偽造是對系統(tǒng)的真實性進行攻擊，如在網(wǎng)絡中插入偽造的消息或在文件中插入偽造的記錄等。以上所劃分的網(wǎng)絡安全威脅的四個方面，其實可以從一個更加通俗地角度來說明，中斷就是故意破壞對方之間的通信，而自己不需要獲取這些信息，其目的就是讓第三方也無法正確獲得這些信息；而竊聽就是不影響對方接收信息，但是希望獲知對方的通信內(nèi)容，所以對于竊聽而言要講究隱蔽性，即最好的情況就是第三方之間的通信絲毫沒有覺察到他們之間的通信內(nèi)容被己方所接收；篡改則更進一步，不但要竊聽到對方的通信內(nèi)容，而且需要將這些信息根據(jù)己方利益最大化的原則進行修改。
3）安全業(yè)務——安全防護措施
保密業(yè)務：保護數(shù)據(jù)以防被動攻擊，保密業(yè)務流；加密機制，按照密鑰的類型不同，對稱密鑰算法和非對稱密鑰算法兩種，按照密碼體制的不同，分為序列密碼算法和分組密碼算法兩種；認證業(yè)務：保證通信的真實性，確保發(fā)送方或接收方的身份；完整性業(yè)務：防止對消息（流）的篡改和業(yè)務拒絕；不可否認業(yè)務：防止通信某一方對傳輸?shù)姆裾J；訪問控制：防止對網(wǎng)絡資源的非授權訪問，使用認證。
2 網(wǎng)絡安全解決方案建議
1）整體安全體系構建的幾個方面
網(wǎng)絡本身就是一個體系，是一個系統(tǒng)性的概念，在網(wǎng)絡通信中也涉及到多個實體或者協(xié)議，所以網(wǎng)絡安全涉及到多個方面，為了打造安全的網(wǎng)絡，就需要構建網(wǎng)絡安全的整體保護體系，只有這樣才能夠有效保護網(wǎng)絡的安全性。一般來說，網(wǎng)絡安全體系的構建可以從如下幾個方面加以考慮，也就是保護、檢測、響應、恢復，這四者構成了一個完整的體系，如果每一部分都能夠做好，則打造一個安全的計算機網(wǎng)絡不再是一句空話。保護是通過使用加解密技術、訪問控制技術、數(shù)字簽名技術，以及可驗證的信息交換過程等到方面對數(shù)據(jù)及其網(wǎng)上操作加以保護，保護也可以理解為對故意中斷網(wǎng)絡或者破壞數(shù)據(jù)的一種防護措施。檢測是對信息傳輸?shù)膬?nèi)容的可控性的檢測，對信息平臺訪問過程的甄別檢測，對違規(guī)與惡意攻擊的檢測，對系統(tǒng)與網(wǎng)絡弱點與漏洞的檢測等等，如果有對網(wǎng)絡通信的惡意竊聽發(fā)生也需要及時檢測到。及時響應是網(wǎng)絡的一個重要指標，響應是在復雜的信息環(huán)境中，保證在任何時候信息平臺能高效正常運行，要求安全體系提供強有力的響應機制。無論防護措施多么嚴密，網(wǎng)絡安全技術如何卓越，我們都無法承諾網(wǎng)絡永遠不會受到破壞，所以此時有效的恢復就顯得尤為重要，恢復是指災難恢復，在系統(tǒng)受到攻擊的時候，評估系統(tǒng)受到的危害與損失，按緊急響應預案進行數(shù)據(jù)與系統(tǒng)恢復，啟動備份系統(tǒng)恢復工作等。
2）保障物理安全
物理安全是最基本的，如果硬件發(fā)生故障或者被破壞，其他一切網(wǎng)絡安全保護措施都成為無源之水，所以網(wǎng)絡的物理安全保障是整個網(wǎng)絡安全保障體系的基石。物理安全是用來保護計算機硬件和存儲介質的裝置和工作程序，物理安全防護包括防盜、防火、防靜電、防雷擊和防電磁泄漏等內(nèi)容。屏蔽是防電磁泄漏的有效措施，屏蔽主要有電屏蔽、磁屏蔽和電磁蔽三種類型。
3）整體部署
網(wǎng)絡安全解決方案涉及安全操作系統(tǒng)技術、防火墻技術、病毒防護技術、入侵檢測技術、安全掃描技術、認證和數(shù)字簽名技術、VPN技術等多方面的安全技術。在整個體系中的每一個部分，都是具有特定的功能需求，都是針對某一種安全需要而采取的安全措施。下面以一個實際的安全解決方案為例，建立網(wǎng)絡安全防護體系。
在網(wǎng)關位置配置多接口防火墻，根據(jù)功能作用不同，將整個網(wǎng)絡劃分為外部網(wǎng)絡、內(nèi)部網(wǎng)絡、DMZ區(qū)等多個安全區(qū)域，由于工作主機在整個網(wǎng)絡中處于核心地位，而且主機如果發(fā)生安全問題將產(chǎn)生重要影響，所以將工作主機放置于內(nèi)部網(wǎng)絡區(qū)域可以更有效地保護主機的安全，將Web服務器、數(shù)據(jù)庫服務器等服務器放置在DMZ區(qū)域，其他區(qū)域對服務器區(qū)的訪問必須經(jīng)過防火墻模塊的檢查，這就相當于在服務器區(qū)提供了加固的安全作用。在中心交換機上配置基于網(wǎng)絡的IDS系統(tǒng)，監(jiān)控整個網(wǎng)絡內(nèi)的網(wǎng)絡流量，這是由于網(wǎng)絡流量的異常也是網(wǎng)絡是否安全是否受到攻擊的一個重要特征。在DMZ區(qū)內(nèi)的重要服務器上安裝基于主機的IDS系統(tǒng)，對所有對上述服務器的訪問進行監(jiān)控，并對相應的操作進行記錄和審計，這可以對故障診斷提供有效的輔助。
4）具體部署
下面對上一步中整個網(wǎng)絡安全體系中各個部分的具體配置進行介紹。防火墻設備，防火墻是用來連接兩個網(wǎng)絡并控制兩個網(wǎng)絡之間相互訪問的系統(tǒng)。包括用于網(wǎng)絡連接的軟件和硬件以及控制訪問的方案。這類防范措施可以只用路由器實現(xiàn)，可以用主機、子網(wǎng)、專用硬件來實現(xiàn)。所有在內(nèi)部網(wǎng)絡和外部網(wǎng)絡之間傳輸?shù)臄?shù)據(jù)必須通過防火墻；只有被授權的合法數(shù)據(jù)即防火墻系統(tǒng)中安全策略允許的數(shù)據(jù)可以通過防火墻；防火墻本身不受各種攻擊的影響。在本方案中選用的防火墻設備是CheckPoint FireWall-1防火墻。FireWall-1功能特點有對應用程序的廣泛支持；集中管理下的分布式客戶機/服務器結構；遠程網(wǎng)絡訪問的安全保障（FireWall-1 SecuRemote）。
防病毒設備。在本方案中防病毒設備選用的是趨勢科技的整體防病毒產(chǎn)品和解決方案，包括中央管理控制、服務器防病毒和客戶機防病毒三部分，這對于抵擋當前已知的絕大部分病毒已經(jīng)非常有效，而且由于防病毒產(chǎn)品的更新服務，所以只要在實際應用中時刻保持病毒庫版本為最新就可以保證系統(tǒng)的安全。
入侵監(jiān)測設備就是為了當有入侵行為發(fā)生時系統(tǒng)可以及時獲悉，在本方案中入侵監(jiān)測設備采用的是NFR入侵監(jiān)測設備，包括NFR NID和NFR HID。NFR把基于網(wǎng)絡的入侵檢測技術NID和基于主機的入侵檢測技術HID完美地結合起來，構成了一個完整的，一致的實時入侵監(jiān)控體系。
SAP身份認證設備對于任何系統(tǒng)的安全都是必不可少的，也是保障系統(tǒng)安全的基本措施。本方案采用的身份認證設備是Secure Computing的SafeWord。SafeWord具備分散式運作及無限制的可擴充特性。
3 結論
網(wǎng)絡安全是一個常說常新的話題，隨著攻防不斷升級，網(wǎng)絡攻擊入侵手段和網(wǎng)絡安全保護技術手段都更加先進，所以網(wǎng)絡的安全防護是一場沒有終點的戰(zhàn)役，只有時刻保持對網(wǎng)絡安全的高度重視，采用先進的網(wǎng)絡安全防護技術才有可能打造一個安全的網(wǎng)絡，本文對于網(wǎng)絡安全保障的一些措施希望能夠為網(wǎng)絡安全防護提供一些借鑒。
參考文獻：
[1]陳丹丹，網(wǎng)絡釣魚與網(wǎng)絡安全初探，消費電子，2012年，第5期.
[2]王志剛，淺談計算機網(wǎng)絡安全現(xiàn)狀及對策，今日財富（金融發(fā)展與監(jiān)管），2012年，第4期.
[3]王麗云，初中校園網(wǎng)絡安全分析和策略，今日財富（金融發(fā)展與監(jiān)管），2012年，第3期.
【關鍵詞】網(wǎng)絡；安全；技術防范；對策
【中圖分類號】TP393.08 【文獻標識碼】B 【文章編號】1672-5158（2013）01―0445―02
引言
近年來，隨著經(jīng)濟社會的快速發(fā)展，互聯(lián)網(wǎng)得到快速增長，互聯(lián)網(wǎng)的應用領域不斷擴張，已經(jīng)從傳統(tǒng)領域拓展到非傳統(tǒng)領域，而且影響力越來越大。據(jù)中國互聯(lián)網(wǎng)絡信息中心（CNNIC）近期的《中國互聯(lián)網(wǎng)絡發(fā)展狀況統(tǒng)計報告》顯示：截至2012年12月底，手機網(wǎng)民數(shù)量為4.2億，中國網(wǎng)民數(shù)達到5.64億，全年新增網(wǎng)民5090萬人，普及率為42.1%；微博用戶規(guī)模為3.09億，較2011年底增長了5873萬。域名總數(shù)為1341萬個，其中“.CN”域名總數(shù)為751萬，“.中國”域名總數(shù)為28萬。中國網(wǎng)站總數(shù)（即網(wǎng)站的域名注冊者在中國境內(nèi)的網(wǎng)站數(shù)）回升至268萬個（去年底只有183萬）。網(wǎng)絡安全從大的方面講，關系國家安全、社會穩(wěn)定；從小的方面講，網(wǎng)絡安全涉及個人信息安全、財產(chǎn)安全，因此，積極研究探討適應新形勢發(fā)展要求的網(wǎng)絡安全方案，對確保網(wǎng)絡安全，提升網(wǎng)絡服務質量具有十分重要的現(xiàn)實意義。
1 加強網(wǎng)絡安全的現(xiàn)實意義
隨著信息化技術的不斷發(fā)展，網(wǎng)絡已經(jīng)成為一種聯(lián)通各地、各個領域的重要基礎設施，計算機網(wǎng)絡的發(fā)展為人們的生產(chǎn)、生活、工作帶來了極大便利，拉近了全球的距離。但在看到網(wǎng)絡給人們帶來便捷的同時，還要清醒地認識到網(wǎng)絡作為一個面向公眾的開放系統(tǒng)，如果網(wǎng)絡安全意識不強、網(wǎng)絡安全防范措施不力，就會產(chǎn)生網(wǎng)絡安全隱患。特別是隨著信息網(wǎng)絡技術的飛速發(fā)展，網(wǎng)絡得到廣泛普及和應用，應用層次不斷深入，應用領域從傳統(tǒng)的、小型業(yè)務系統(tǒng)逐漸向大型、關鍵業(yè)務系統(tǒng)擴展，已經(jīng)被行政部門、金融機構、企業(yè)廣泛應用，網(wǎng)絡在這些領域的廣泛應用，也進―步加大了網(wǎng)絡安全的風險。如何保持網(wǎng)絡的穩(wěn)定安全，防止諸如黑客攻擊、非正常入侵等安全問題的發(fā)生，是一項重要任務。
由于網(wǎng)絡系統(tǒng)結構復雜、涉及終端眾多、系統(tǒng)開放，網(wǎng)絡系統(tǒng)面臨的威脅和風險比較多，歸納起來主要來自外部的人為影響和自然環(huán)境的影響，這些威脅有的是對網(wǎng)絡設備的安全運行存在威脅，有的是對網(wǎng)絡中的信息安全存在威脅。這些威脅的集中起來主要有：非法授權訪問，假冒合法用戶，病毒破壞，線路竊聽，黑客入侵，干擾系統(tǒng)正常運行，修改或刪除數(shù)據(jù)等。這些威脅一旦成為現(xiàn)實，將對網(wǎng)絡系統(tǒng)產(chǎn)生致命的影響，嚴重的可能會導致系統(tǒng)癱瘓，傳輸信息被非法獲取和傳播，會給相關機構和網(wǎng)絡用戶造成不可挽回的損失。
在網(wǎng)絡快速發(fā)展的新形勢下，全面加強網(wǎng)絡安全建設，提升網(wǎng)絡安全等級，對確保和維護網(wǎng)絡用戶利益，維護單位整體形象都具有十分重要我。特別是在當前，終端用戶往往會在終端中存儲大量的信息資料，工作手段也越來越依賴于網(wǎng)絡，一旦網(wǎng)絡安全方面出現(xiàn)問題，造成信息的丟失或不能及時流通，或者被篡改、增刪、破壞或竊用，都將帶來難以彌補的巨大損失，因此，積極研究探索與網(wǎng)絡發(fā)展同步的網(wǎng)絡安全解決方案，全面加強網(wǎng)絡安全建設，是各級網(wǎng)絡管理部門及用戶的重要職責，必須要高度重視，扎實推進。
2 信息系統(tǒng)安全威脅與風險分析
認真分析信鼠系統(tǒng)安全威脅與存在的風險，是進行風險管理、制定網(wǎng)絡安全方案的前提和基礎。通過進行有效的系統(tǒng)安全威脅與風險分析，可以幫助相關機構和用戶選擇合作的控制措施來降低風險。
2.1 物理安全風險分析
網(wǎng)絡物理安全是整個網(wǎng)絡系統(tǒng)安全的前提，相關的物理安全風險主要有：地震、水災、火災等環(huán)境事故造成整個系統(tǒng)毀滅；電源故障造成設備斷電以至操作系統(tǒng)引導失敗或數(shù)據(jù)庫信息丟失；設備被盜、被毀造成數(shù)據(jù)丟失或信息泄漏；電磁輻射可能造成數(shù)據(jù)信息被竊取或偷閱；報警系統(tǒng)的設計不足可能造成原本可以防止但實際發(fā)生了的事故。
2.2 鏈路傳輸風險分析
網(wǎng)絡安全不僅是入侵者到企業(yè)內(nèi)部網(wǎng)上進行攻擊、竊取或其它破壞，他們完全有可能在傳輸線路上安裝竊聽裝置，竊取你在網(wǎng)上傳輸?shù)闹匾獢?shù)據(jù)，再通過一些技術讀出數(shù)據(jù)信息，造成泄密或者做一些篡改來破壞數(shù)據(jù)的完整性；以上種種不安全因素都對網(wǎng)絡構成嚴重的安全危脅。
2.3 網(wǎng)絡結構的安全風險分析
來自與公網(wǎng)互聯(lián)的安全危脅，基于Internet公網(wǎng)的開放性、國際性與自由性，內(nèi)部網(wǎng)絡將面臨更加嚴重的安全危脅。一些黑客會制造病毒透過網(wǎng)絡進行傳播，還會影響到與本系統(tǒng)網(wǎng)絡有連接的外單位網(wǎng)絡；影響所及，還可能涉及法律、金融等安全敏感領域。
內(nèi)部網(wǎng)絡與系統(tǒng)外部網(wǎng)互聯(lián)安全威脅。如果系統(tǒng)內(nèi)部局域網(wǎng)絡與系統(tǒng)外部網(wǎng)絡間沒有采取一定的安全防護措施，內(nèi)部網(wǎng)絡容易造到來自外網(wǎng)一些不懷好意的入侵者的攻擊。入侵者通過網(wǎng)絡監(jiān)聽等先進手段獲得內(nèi)部網(wǎng)用戶的用戶名、口令等信息，進而假冒內(nèi)部合法身份進行非法登錄，竊取內(nèi)部網(wǎng)重要信息。惡意攻擊，入侵者通過發(fā)送大量PING包對內(nèi)部網(wǎng)重要服務器進行攻擊，使得服務器超負荷工作以至拒絕服務甚至系統(tǒng)癱瘓。
內(nèi)部局域網(wǎng)的安全威脅。據(jù)調查在已有的網(wǎng)絡安全攻擊事件中約70%是來自內(nèi)部網(wǎng)絡的侵犯。比如內(nèi)部人員故意泄漏內(nèi)部網(wǎng)絡的網(wǎng)絡結構；安全管理員有意透露其用戶名及口令；內(nèi)部不懷好意員工編些破壞程序在內(nèi)部網(wǎng)上傳播或者內(nèi)部人員通過各種方式盜取他人信息傳播出去。這些都將對網(wǎng)絡安全構成嚴重威脅。
2.4 系統(tǒng)的安全風險分析
系統(tǒng)的安全往往歸結于操作系統(tǒng)的安全性，決定于網(wǎng)絡操作系統(tǒng)、應用系統(tǒng)的安全性。目前的操作系統(tǒng)或應用系統(tǒng)無論是Windows還是其它任何商用UNIX操作系統(tǒng)以及其它廠商開發(fā)的應用系統(tǒng)，系統(tǒng)本身必定存在安全漏洞。這些安全漏洞都將存在重大安全隱患。但是從實際應用上，系統(tǒng)的安全程度跟對其進行安全配置及系統(tǒng)的應用面有很大關系，操作系統(tǒng)如果沒有采用相應的安全配置，則其是漏洞百出，掌握一般攻擊技術的人都可能入侵得手。因此，必須要高度重視系統(tǒng)的安全風險，科學進行系統(tǒng)安全配置，從而有效降低系統(tǒng)風險。
2.5 應用的安全風險分析
應用系統(tǒng)的安全涉及很多方面。應用系統(tǒng)是動態(tài)的、不斷變化的。應用的安全性也是動態(tài)的。這就需要我們對不同的應用，檢測安全漏洞，采取相應的安全措施，降低應用的安全風險。比如由于資源共享、使用電子郵件系統(tǒng)、受病毒侵害、數(shù)據(jù)信息被非法竊取，篡改等，這些都是應用層面應當防范的安全風險。
2.6 管理的安全風險分析
內(nèi)部管理人員或員工把內(nèi)部網(wǎng)絡結構、管理員用戶名及口令以及系統(tǒng)的一些重要信息傳播給外人帶來信息泄漏風險。機房存在惡意的入侵者，內(nèi)部不滿的員工有的可能熟悉服務器、小程序、腳本和系統(tǒng)的弱點。利用網(wǎng)絡開些小玩笑，甚至破壞。一些網(wǎng)絡系統(tǒng)管理由于責權不明，管理混亂、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風險。
3 網(wǎng)絡安全解決方案
可以通過配置諸如：標識、密鑰管理、安全管理、系統(tǒng)保護、鑒別、授權、訪問控制、抗抵賴、受保護通信、入侵檢測與抑制、完整性證明、恢復安全狀態(tài)、病毒檢測與根除等技術類安全控制來有效防止給定類型的風險與威脅；通過建立相關的安全管理機制，實現(xiàn)管理在的安全控制；通過建立一整套嚴謹?shù)目刂浦改?，實現(xiàn)操作類的安全控制，從而實現(xiàn)信息系統(tǒng)安全控制。
3.1 做好物理防護
保證計算機信息系統(tǒng)各種設備的物理安全是保障整個網(wǎng)絡系統(tǒng)安全的前提。物理安全是保護計算機網(wǎng)絡設備、設施以及其它媒體免遭地震、水災、火災等環(huán)境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導致的破壞過程。要嚴格按照相關標準建設網(wǎng)絡，防止人為降低建設標準。確保設備安全，采取有力措施搞好防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護等。
3.2 確保系統(tǒng)安全
要認真判斷網(wǎng)絡拓撲結構是否合理；線路是否有冗余；路由是否冗余，防止單點失敗等。工行網(wǎng)絡在設計時，比較好的考慮了這些因素，可以說網(wǎng)絡結構是比較合理的、比較安全的。對于操作系統(tǒng)要盡可能采用安全性較高的網(wǎng)絡操作系統(tǒng)并進行必要的安全配置、關閉一些起不常用卻存在安全隱患的應用、對一些保存有用戶信息及其口令的關鍵文件，對使用權限進行嚴格限制；加強口令字的使用，增加口令復雜程度、不要使用與用戶身份有關的、容易猜測的信息作為口令，并及時給系統(tǒng)打補丁、系統(tǒng)內(nèi)部的相互調用不對外公開。通過配備操作系統(tǒng)安全掃描系統(tǒng)對操作系統(tǒng)進行安全性掃描，發(fā)現(xiàn)其中存在的安全漏洞，并有針對性地進行對網(wǎng)絡設備重新配置或升級。在應用系統(tǒng)安全上，應用服務器盡量不要開放一些沒有經(jīng)常用的協(xié)議及協(xié)議端口號。充分利用操作系統(tǒng)和應用系統(tǒng)本身的日志功能，對用戶所訪問的信息做記錄，為事后審查提供依據(jù)。
3.3 突出網(wǎng)絡安全
網(wǎng)絡安全是整個安全解決方案的重中之重，要從訪問控制、通信保密、入侵檢測、網(wǎng)絡安全掃描系統(tǒng)、防病毒等方面，采取切實可行的對策措施，確保網(wǎng)絡安全。要嚴格落實《用戶授權實施細則》、《口令字及帳戶管理規(guī)范》、《權限管理制度》、《安全責任制度》等安全管理制度。設置虛擬子網(wǎng)，各子網(wǎng)間不能實現(xiàn)互訪，實現(xiàn)初級訪問控制。設置高等級防火墻，通過制定嚴格的安全策略實現(xiàn)內(nèi)外網(wǎng)絡或內(nèi)部網(wǎng)絡不同信任域之間的隔離與訪問控制。利用防火墻并經(jīng)過嚴格配置，可以阻止各種不安全訪問通過防火墻，從而降低安全風險。但是，網(wǎng)絡安全不可能完全依靠防火墻單一產(chǎn)品來實現(xiàn)，網(wǎng)絡安全是個整體的，必須配相應的安全產(chǎn)品，作為防火墻的必要補充。入侵檢測系統(tǒng)就是最好的安全產(chǎn)品，入侵檢測系統(tǒng)是根據(jù)已有的、最新的攻擊手段的信息代碼對進出網(wǎng)段的所有操作行為進行實時監(jiān)控、記錄，并按制定的策略實行響應（阻斷、報警、發(fā)送E-mail）。建立網(wǎng)絡掃描系統(tǒng)，對網(wǎng)絡系統(tǒng)中的所有操作系統(tǒng)進行安全性掃描，檢測操作系統(tǒng)存在的安全漏洞，并產(chǎn)生報表，并自動進行相關修復。通過預防病毒技術、檢測病毒技術、殺毒技術，實施反病毒措施，防止病毒進入網(wǎng)絡進行傳播擴散。
3.4 確保應用安全
應用是信息系統(tǒng)安全應當關注的重要內(nèi)容，要通過規(guī)范用戶的行為，來實現(xiàn)應用安全。要嚴格控制內(nèi)部員工對網(wǎng)絡共享資源的使用，尤其要限制共享資源的濫用，在內(nèi)部子網(wǎng)中一般不隨意開放共享目錄，否則較容易因為疏忽而在與員工間交換信息時泄漏重要信息。對有經(jīng)常交換信息需求的用戶，在共享時也必須加上必要的口令認證機制，即只有通過口令的認證才允許訪問數(shù)據(jù)。雖然說用戶名加口令的機制不是很安全，但對一般用戶而言，還是起到一定的安全防護，即使有刻意破解者，只要口令設得復雜些，也得花費相當長的時間。適當配置資源控制，要精心設置訪問權限，并拒絕未經(jīng)授權人員的登錄，減少有意或無意的案例漏洞。對數(shù)據(jù)庫服務器中的數(shù)據(jù)庫必須做安全備份，通過網(wǎng)絡備份系統(tǒng)，可以對數(shù)據(jù)庫進行遠程備份存儲。
摘 要 隨著信息化技術的飛速發(fā)展，許多有遠見的企業(yè)都認識到依托先進的it技術構建企業(yè)自身的業(yè)務和運營平臺將極大地提升企業(yè)的核心競爭力，使企業(yè)在殘酷的競爭環(huán)境中脫穎而出。經(jīng)營管理對計算機應用系統(tǒng)的依賴性增強，計算機應用系統(tǒng)對網(wǎng)絡的依賴性增強。計算機網(wǎng)絡規(guī)模不斷擴大，網(wǎng)絡結構日益復雜。計算機網(wǎng)絡和計算機應用系統(tǒng)的正常運行對網(wǎng)絡安全提出了更高的要求。信息安全防范應做整體的考慮，全面覆蓋信息系統(tǒng)的各層次，針對網(wǎng)絡、系統(tǒng)、應用、數(shù)據(jù)做全面的防范。信息安全防范體系模型顯示安全防范是一個動態(tài)的過程，事前、事中和事后的技術手段應當完備，安全管理應貫穿安全防范活動的始終。 關鍵詞 信息安全；pki；ca；vpn 1 引言 隨著計算機網(wǎng)絡的出現(xiàn)和互聯(lián)網(wǎng)的飛速發(fā)展，企業(yè)基于網(wǎng)絡的計算機應用也在迅速增加，基于網(wǎng)絡信息系統(tǒng)給企業(yè)的經(jīng)營管理帶來了更大的經(jīng)濟效益，但隨之而來的安全問題也在困擾著用戶，在2003年后，木馬、蠕蟲的傳播使企業(yè)的信息安全狀況進一步惡化。這都對企業(yè)信息安全提出了更高的要求。 隨著信息化技術的飛速發(fā)展，許多有遠見的企業(yè)都認識到依托先進的it技術構建企業(yè)自身的業(yè)務和運營平臺將極大地提升企業(yè)的核心競爭力，使企業(yè)在殘酷的競爭環(huán)境中脫穎而出。面對這瞬息萬變的市場，企業(yè)就面臨著如何提高自身核心競爭力的問題，而其內(nèi)部的管理問題、效率問題、考核問題、信息傳遞問題、信息安全問題等，又時刻在制約著自己，企業(yè)采用pki技術來解決這些問題已經(jīng)成為當前眾多企業(yè)提高自身競爭力的重要手段。 在下面的描述中，以某公司為例進行說明。 2 信息系統(tǒng)現(xiàn)狀 2.1 信息化整體狀況 1)計算機網(wǎng)絡 某公司現(xiàn)有計算機500余臺，通過內(nèi)部網(wǎng)相互連接，根據(jù)公司統(tǒng)一規(guī)劃，通過防火墻與外網(wǎng)互聯(lián)。在內(nèi)部網(wǎng)絡中，各計算機在同一網(wǎng)段，通過交換機連接。
圖1 2)應用系統(tǒng) 經(jīng)過多年的積累，某公司的計算機應用已基本覆蓋了經(jīng)營管理的各個環(huán)節(jié)，包括各種應用系統(tǒng)和辦公自動化系統(tǒng)。隨著計算機網(wǎng)絡的進一步完善，計算機應用也由數(shù)據(jù)分散的應用模式轉變?yōu)閿?shù)據(jù)日益集中的模式。 2.2 信息安全現(xiàn)狀 為保障計算機網(wǎng)絡的安全，某公司實施了計算機網(wǎng)絡安全項目，基于當時對信息安全的認識和安全產(chǎn)品的狀況，信息安全的主要內(nèi)容是網(wǎng)絡安全，部署了防火墻、防病毒服務器等網(wǎng)絡安全產(chǎn)品，極大地提升了公司計算機網(wǎng)絡的安全性，這些產(chǎn)品在此后防范網(wǎng)絡攻擊事件、沖擊波等網(wǎng)絡病毒攻擊以及網(wǎng)絡和桌面日常保障等方面發(fā)揮了很大的作用。 3 風險與需求分析 3.1 風險分析 通過對我們信息系統(tǒng)現(xiàn)狀的分析，可得出如下結論： (1)經(jīng)營管理對計算機應用系統(tǒng)的依賴性增強，計算機應用系統(tǒng)對網(wǎng)絡的依賴性增強。計算機網(wǎng)絡規(guī)模不斷擴大，網(wǎng)絡結構日益復雜。計算機網(wǎng)絡和計算機應用系統(tǒng)的正常運行對網(wǎng)絡安全提出了更高的要求。 (2)計算機應用系統(tǒng)涉及越來越多的企業(yè)關鍵數(shù)據(jù)，這些數(shù)據(jù)大多集中在公司總部數(shù)據(jù)中心，因此有必要加強各計算機應用系統(tǒng)的用戶管理和身份的認證，加強對數(shù)據(jù)的備份，并運用技術手段，提高數(shù)據(jù)的機密性、完整性和可用性。 通過對現(xiàn)有的信息安全體系的分析，也可以看出：隨著計算機技術的發(fā)展、安全威脅種類的增加，某公司的信息安全無論在總體構成、信息安全產(chǎn)品的功能和性能上都存在一定的缺陷，具體表現(xiàn)在： (1)系統(tǒng)性不強，安全防護僅限于網(wǎng)絡安全，系統(tǒng)、應用和數(shù)據(jù)的安全存在較大的風險。 目前實施的安全方案是基于當時的認識進行的，主要工作集中于網(wǎng)絡安全，對于系統(tǒng)和應用的安全防范缺乏技術和管理手段。如缺乏有效的身份認證，對服務器、網(wǎng)絡設備和應用系統(tǒng)的訪問都停留在用戶名/密碼的簡單認證階段，很容易被冒充；又如數(shù)據(jù)備份缺乏整體方案和制度規(guī)范，容易造成重要數(shù)據(jù)的丟失和泄露。 當時的網(wǎng)絡安全的基本是一種外部網(wǎng)絡安全的概念，是基于這樣一種信任模型的，即網(wǎng)絡內(nèi)部的用戶都是可信的。在這種信任模型下，假設所有可能的對信息安全造成威脅的攻擊者都來自于組織外部，并且是通過網(wǎng)絡從外部使用各種攻擊手段進入內(nèi)部網(wǎng)絡信息系統(tǒng)的。 針對外部網(wǎng)絡安全，人們提出了內(nèi)部網(wǎng)絡安全的概念，它基于這樣一種信任模型：所有的用戶都是不可信的。在這種信任模型中，假設所有用戶都可能對信息安全造成威脅，并且可以各種更加方便的手段對信息安全造成威脅，比如內(nèi)部人員可以直接對重要的服務器進行操控從而破壞信息，或者從內(nèi)部網(wǎng)絡訪問服務器，下載重要的信息并盜取出去。內(nèi)部網(wǎng)絡安全的這種信任模型更符合現(xiàn)實的狀況。 美國聯(lián)邦調查局(fbi)和計算機安全機構(csi)等權威機構的研究也證明了這一點：超過80%的信息安全隱患是來自組織內(nèi)部，這些隱患直接導致了信息被內(nèi)部人員所竊取和破壞。 信息系統(tǒng)的安全防范是一個動態(tài)過程，某公司缺乏相關的規(guī)章制度、技術規(guī)范，也沒有選用有關的安全服務。不能充分發(fā)揮安全產(chǎn)品的效能。 (2)原有的網(wǎng)絡安全產(chǎn)品在功能和性能上都不能適應新的形勢，存在一定的網(wǎng)絡安全隱患，產(chǎn)品亟待升級。 已購買的網(wǎng)絡安全產(chǎn)品中，有不少在功能和性能上都不能滿足進一步提高信息安全的要求。如為進一步提高全網(wǎng)的安全性，擬對系統(tǒng)的互聯(lián)網(wǎng)出口進行嚴格限制，原有的防火墻將成為企業(yè)內(nèi)網(wǎng)和公網(wǎng)之間的瓶頸。同時病毒的防范、新的攻擊手段也對防火墻提出了更多的功能上的要求，現(xiàn)有的防火墻不具備這些功能。 網(wǎng)絡信息系統(tǒng)的安全建設建立在風險評估的基礎上，這是信息化建設的內(nèi)在要求，系統(tǒng)主管部門和運營、應用單位都必須做好本系統(tǒng)的信息安全風險評估工作。只有在建設的初期，在規(guī)劃的過程中，就運用風險評估、風險管理的手段，用戶才可以避免重復建設和投資的浪費。 3.2 需求分析 如前所述，某公司信息系統(tǒng)存在較大的風險，信息安全的需求主要體現(xiàn)在如下幾點： (1)某公司信息系統(tǒng)不僅需要安全可靠的計算機網(wǎng)絡，也需要做好系統(tǒng)、應用、數(shù)據(jù)各方面的安全防護。為此，要加強安全防護的整體布局，擴大安全防護的覆蓋面，增加新的安全防護手段。 (2)網(wǎng)絡規(guī)模的擴大和復雜性的增加，以及新的攻擊手段的不斷出現(xiàn)，使某公司計算機網(wǎng)絡安全面臨更大的挑戰(zhàn)，原有的產(chǎn)品進行升級或重新部署。 (3)信息安全工作日益增強的重要性和復雜性對安全管理提出了更高的要求，為此要加快規(guī)章制度和技術規(guī)范的建設，使安全防范的各項工作都能夠有序、規(guī)范地進行。 (4)信息安全防范是一個動態(tài)循環(huán)的過程，如何利用專業(yè)公司的安全服務，做好事前、事中和事后的各項防范工作，應對不斷出現(xiàn)的各種安全威脅，也是某公司面臨的重要課題。 4 設計原則 安全體系建設應按照“統(tǒng)一規(guī)劃、統(tǒng)籌安排、統(tǒng)一標準、分步實施”的原則進行，避免重復投入、重復建設，充分考慮整體和局部的利益。 4.1 標準化原則 本方案參照信息安全方面的國家法規(guī)與標準和公司內(nèi)部已經(jīng)執(zhí)行或正在起草標準及規(guī)定，使安全技術體系的建設達到標準化、規(guī)范化的要求，為拓展、升級和集中統(tǒng)一打好基礎。 4.2 系統(tǒng)化原則 信息安全是一個復雜的系統(tǒng)工程，從信息系統(tǒng)的各層次、安全防范的各階段全面地進行考慮，既注重技術的實現(xiàn)，又要加大管理的力度，以形成系統(tǒng)化的解決方案。 4.3 規(guī)避風險原則 安全技術體系的建設涉及網(wǎng)絡、系統(tǒng)、應用等方方面面，任何改造、添加甚至移動，都可能影響現(xiàn)有網(wǎng)絡的暢通或在用系統(tǒng)的連續(xù)、穩(wěn)定運行，這是安全技術體系建設必須面對的最大風險。本規(guī)劃特別考慮規(guī)避運行風險問題，在規(guī)劃與應用系統(tǒng)銜接的基礎安全措施時，優(yōu)先保證透明化，從提供通用安全基礎服務的要求出發(fā)，設計并實現(xiàn)安全系統(tǒng)與應用系統(tǒng)的平滑連接。 4.4 保護投資原則 由于信息安全理論與技術發(fā)展的歷史原因和自身的資金能力，某公司分期、分批建設了一些整體的或區(qū)域的安全技術系統(tǒng)，配置了相應的設施。因此，本方案依據(jù)保護信息安全投資效益的基本原則，在合理規(guī)劃、建設新的安全子系統(tǒng)或投入新的安全設施的同時，對現(xiàn)有安全系統(tǒng)采取了完善、整合的辦法，以使其納入總體安全技術體系，發(fā)揮更好的效能，而不是排斥或拋棄。 4.5 多重保護原則 任何安全措施都不是絕對安全的，都可能被攻破。但是建立一個多重保護系統(tǒng)，各層保護相互補充，當一層保護被攻破時，其它層保護仍可保護信息的安全。 4.6 分步實施原則 由于某公司應用擴展范圍廣闊，隨著網(wǎng)絡規(guī)模的擴大及應用的增加，系統(tǒng)脆弱性也會不斷增加。一勞永逸地解決安全問題是不現(xiàn)實的。針對安全體系的特性，尋求安全、風險、開銷的平衡，采取“統(tǒng)一規(guī)劃、分步實施”的原則。即可滿足某公司安全的基本需求，亦可節(jié)省費用開支。
5 設計思路及安全產(chǎn)品的選擇和部署 信息安全防范應做整體的考慮，全面覆蓋信息系統(tǒng)的各層次，針對網(wǎng)絡、系統(tǒng)、應用、數(shù)據(jù)做全面的防范。信息安全防范體系模型顯示安全防范是一個動態(tài)的過程，事前、事中和事后的技術手段應當完備，安全管理應貫穿安全防范活動的始終，如圖2所示。 圖2 網(wǎng)絡與信息安全防范體系模型 信息安全又是相對的，需要在風險、安全和投入之間做出平衡，通過對某公司信息化和信息安全現(xiàn)狀的分析，對現(xiàn)有的信息安全產(chǎn)品和解決方案的調查，通過與計算機專業(yè)公司接觸，初步確定了本次安全項目的內(nèi)容。通過本次安全項目的實施，基本建成較完整的信息安全防范體系。 5.1 網(wǎng)絡安全基礎設施 證書認證系統(tǒng)無論是企業(yè)內(nèi)部的信息網(wǎng)絡還是外部的網(wǎng)絡平臺，都必須建立在一個安全可信的網(wǎng)絡之上。目前，解決這些安全問題的最佳方案當數(shù)應用pki/ca數(shù)字認證服務。pki(public key infrastructure，公鑰基礎設施)是利用公開密鑰理論和技術建立起來的提供在線身份認證的安全體系，它從技術上解決了網(wǎng)上身份認證、信息完整性和抗抵賴等安全問題，為網(wǎng)絡應用提供可靠的安全保障，向用戶提供完整的pki/ca數(shù)字認證服務。通過建設證書認證中心系統(tǒng)，建立一個完善的網(wǎng)絡安全認證平臺，能夠通過這個安全平臺實現(xiàn)以下目標： 身份認證(authentication)：確認通信雙方的身份，要求通信雙方的身份不能被假冒或偽裝，在此體系中通過數(shù)字證書來確認對方的身份。 數(shù)據(jù)的機密性(confidentiality)：對敏感信息進行加密，確保信息不被泄露，在此體系中利用數(shù)字證書加密來完成。 數(shù)據(jù)的完整性(integrity)：確保通信信息不被破壞(截斷或篡改)，通過哈希函數(shù)和數(shù)字簽名來完成。 不可抵賴性(non-repudiation)：防止通信對方否認自己的行為，確保通信方對自己的行為承認和負責，通過數(shù)字簽名來完成，數(shù)字簽名可作為法律證據(jù)。 5.2 邊界防護和網(wǎng)絡的隔離 vpn(virtual private network)虛擬專用網(wǎng)，是將物理分布在不同地點的網(wǎng)絡通過公用骨干網(wǎng)(如internet)連接而成的邏輯上的虛擬專用網(wǎng)。和傳統(tǒng)的物理方式相比，具有降低成本及維護費用、易于擴展、數(shù)據(jù)傳輸?shù)母甙踩浴? 通過安裝部署vpn系統(tǒng)，可以為企業(yè)構建虛擬專用網(wǎng)絡提供了一整套安全的解決方案。它利用開放性網(wǎng)絡作為信息傳輸?shù)拿襟w，通過加密、認證、封裝以及密鑰交換技術在公網(wǎng)上開辟一條隧道，使得合法的用戶可以安全的訪問企業(yè)的私有數(shù)據(jù)，用以代替專線方式，實現(xiàn)移動用戶、遠程lan的安全連接。 集成的防火墻功能模塊采用了狀態(tài)檢測的包過濾技術，可以對多種網(wǎng)絡對象進行有效地訪問監(jiān)控，為網(wǎng)絡提供高效、穩(wěn)定地安全保護。 集中的安全策略管理可以對整個vpn網(wǎng)絡的安全策略進行集中管理和配置。 5.3 安全電子郵件 電子郵件是internet上出現(xiàn)最早的應用之一。隨著網(wǎng)絡的快速發(fā)展，電子郵件的使用日益廣泛，成為人們交流的重要工具，大量的敏感信息隨之在網(wǎng)絡上傳播。然而由于網(wǎng)絡的開放性和郵件協(xié)議自身的缺點，電子郵件存在著很大的安全隱患。 目前廣泛應用的電子郵件客戶端軟件如 outlook 支持的 s/mime( secure multipurpose internet mail extensions )，它是從 pem(privacy enhanced mail) 和 mime(internet 郵件的附件標準 ) 發(fā)展而來的。首先，它的認證機制依賴于層次結構的證書認證機構，所有下一級的組織和個人的證書由上一級的組織負責認證，而最上一級的組織 ( 根證書 ) 之間相互認證，整個信任關系基本是樹狀的。其次， s/mime 將信件內(nèi)容加密簽名后作為特殊的附件傳送。 保證了信件內(nèi)容的安全性。 5.4 桌面安全防護 對企業(yè)信息安全的威脅不僅來自企業(yè)網(wǎng)絡外部，大量的安全威脅來自企業(yè)內(nèi)部。很早之前安全界就有數(shù)據(jù)顯示，近80%的網(wǎng)絡安全事件，是來自于企業(yè)內(nèi)部。同時，由于是內(nèi)部人員所為，這樣的安全犯罪往往目的明確，如針對企業(yè)機密和專利信息的竊取、財務欺騙等，因此，對于企業(yè)的威脅更為嚴重。對于桌面微機的管理和監(jiān)控是減少和消除內(nèi)部威脅的有效手段。 桌面安全系統(tǒng)把電子簽章、文件加密應用和安全登錄以及相應的智能卡管理工具集成到一起，形成一個整體，是針對客戶端安全的整體解決方案。 1)電子簽章系統(tǒng) 利用非對稱密鑰體系保證了文檔的完整性和不可抵賴性。采用組件技術，可以無縫嵌入office系統(tǒng)，用戶可以在編輯文檔后對文檔進行簽章，或是打開文檔時驗證文檔的完整性和查看文檔的作者。 2) 安全登錄系統(tǒng) 安全登錄系統(tǒng)提供了對系統(tǒng)和網(wǎng)絡登錄的身份認證。使用后，只有具有指定智能密碼鑰匙的人才可以登錄計算機和網(wǎng)絡。用戶如果需要離開計算機，只需拔出智能密碼鑰匙，即可鎖定計算機。 3)文件加密系統(tǒng) 文件加密應用系統(tǒng)保證了數(shù)據(jù)的安全存儲。由于密鑰保存在智能密碼鑰匙中，加密算法采用國際標準安全算法或國家密碼管理機構指定安全算法，從而保證了存儲數(shù)據(jù)的安全性。 5.5 身份認證 身份認證是指計算機及網(wǎng)絡系統(tǒng)確認操作者身份的過程?；趐ki的身份認證方式是近幾年發(fā)展起來的一種方便、安全的身份認證技術。它采用軟硬件相結合、一次一密的強雙因子認證模式，很好地解決了安全性與易用性之間的矛盾。usb key是一種usb接口的硬件設備，它內(nèi)置單片機或智能卡芯片，可以存儲用戶的密鑰或數(shù)字證書，利用usb key內(nèi)置的密碼算法實現(xiàn)對用戶身份的認證。 基于pki的usb key的解決方案不僅可以提供身份認證的功能，還可構建用戶集中管理與認證系統(tǒng)、應用安全組件、客戶端安全組件和證書管理系統(tǒng)通過一定的層次關系和邏輯聯(lián)系構成的綜合性安全技術體系，從而實現(xiàn)上述身份認證、授權與訪問控制、安全審計、數(shù)據(jù)的機密性、完整性、抗抵賴性的總體要求。 6 方案的組織與實施方式 網(wǎng)絡與信息安全防范體系流程主要由三大部分組成：攻擊前的防范、攻擊過程中的防范和攻擊后的應對。安全管理貫穿全流程如圖3所示。網(wǎng)絡與信息安全防范體系模型流程不僅描述了安全防范的動態(tài)過程，也為本方案的實施提供了借鑒。 圖3 因此在本方案的組織和實施中，除了工程的實施外，還應重視以下各項工作： (1)在初步進行風險分析基礎上，方案實施方應進行進一步的風險評估，明確需求所在，務求有的放矢，確保技術方案的針對性和投資的回報。 (2)把應急響應和事故恢復作為技術方案的一部分，必要時可借助專業(yè)公司的安全服務，提高應對重大安全事件的能力。 (3)該方案投資大，覆蓋范圍廣，根據(jù)實際情況，可采取分地區(qū)、分階段實施的方式。 (4)在方案實施的同時，加強規(guī)章制度、技術規(guī)范的建設，使信息安全的日常工作進一步制度化、規(guī)范化。 7 結論 本文以某公司為例，分析了網(wǎng)絡安全現(xiàn)狀，指出目前存在的風險，隨后提出了一整套完整的解決方案，涵蓋了各個方面，從技術手段的改進，到規(guī)章制度的完善；從單機系統(tǒng)的安全加固，到整體網(wǎng)絡的安全管理。本方案從技術手段上、從可操作性上都易于實現(xiàn)、易于部署，為眾多行業(yè)提供了網(wǎng)絡安全解決手段。 也希望通過本方案的實施，可以建立較完善的信息安全體系，有效地防范信息系統(tǒng)來自各方面的攻擊和威脅，把風險降到最低水平。 參考文獻 [1] 國家信息安全基礎設施研究中心、國家信息安全工程技術研究中心.《電子政務總體設計與技術實現(xiàn)》
關鍵詞:網(wǎng)絡安全威脅;安全需求;防火墻;IDS;網(wǎng)絡安全
中圖分類號:C913.3文獻標識碼:A文章編號:1005-5312(2010)12-0088-01
一、網(wǎng)絡安全概述
(一)網(wǎng)絡安全的基本概念
網(wǎng)絡安全包括物理安全和邏輯安全。對于物理安全,需要加強計算機房管理,如門衛(wèi)、出入者身份檢查、下班鎖門以及各種硬件安全手段等預防措施;而對于后者,則需要用口令、文件許可和查帳等方法來實現(xiàn)。
(二)網(wǎng)絡面臨的主要攻擊
⑴ 緩沖區(qū)溢出。
⑵ 遠程攻擊。
⑶ 口令破解。
⑷ 超級權限。
⑸ 拒絕服務(DDOS)。
二、安全需求
通過對網(wǎng)絡系統(tǒng)的風險分析,我們需要制定合理的安全策略及安全方案來確保網(wǎng)絡系統(tǒng)的機密性、完整性、可用性、可控性與可審查性。即,
可用性: 授權實體有權訪問數(shù)據(jù)。
機密性: 信息不暴露給未授權實體或進程。
完整性: 保證數(shù)據(jù)不被未授權修改。
可控性: 控制授權范圍內(nèi)的信息流向及操作方式。
可審查性:對出現(xiàn)的安全問題提供依據(jù)與手段。
訪問控制:需要由防火墻將內(nèi)部網(wǎng)絡與外部不可信任的網(wǎng)絡隔離,對與外部網(wǎng)絡交換數(shù)據(jù)的內(nèi)部網(wǎng)絡及其主機、所交換的數(shù)據(jù)進行嚴格的訪問控制。同樣,對內(nèi)部網(wǎng)絡,由于不同的應用業(yè)務以及不同的安全級別,也需要使用防火墻將不同的LAN或網(wǎng)段進行隔離,并實現(xiàn)相互的訪問控制。
數(shù)據(jù)加密:數(shù)據(jù)加密是在數(shù)據(jù)傳輸、存儲過程中防止非法竊取、篡改信息的有效手段。
安全審計: 是識別與防止網(wǎng)絡攻擊行為、追查網(wǎng)絡泄密行為的重要措施之一。具體包括兩方面的內(nèi)容,一是采用網(wǎng)絡監(jiān)控與入侵防范系統(tǒng),識別網(wǎng)絡各種違規(guī)操作與攻擊行為,即時響應(如報警)并進行阻斷;二是對信息內(nèi)容的審計,可以防止內(nèi)部機密或敏感信息的非法泄漏
三、網(wǎng)絡安全防護策略
個人建議采用如下的安全拓撲架構來確保網(wǎng)站的安全性,其中我們主要采用以下五項高強度的安全防護措施:如圖3-1所示:
(一)層層布防
從上圖中,我們可以看到,我們將安全層次劃分為四個層次,不同的層次采用不同的策略進行有效的安全防護。
第一個層次,是外部Internet,是不能有效確定其安全風險的層次,我們的安全策略就是要重點防護來自于第一個層次的攻擊。
第二個層次,是通過路由器后進入網(wǎng)站的第一個安全屏障。該層主要由防火墻進行防護和訪問控制,防火墻在安全規(guī)則上,只開放WWW,POP3,SMTP等少數(shù)端口和服務,完全封閉其他不必要的服務端口,阻擋來自于外部的攻擊企圖。同時,為了反映防火墻之內(nèi)的實際安全狀態(tài),部署網(wǎng)絡入侵檢測系統(tǒng)(IDS)。入侵檢測系統(tǒng)可以檢測出外部穿過防火墻之后的和網(wǎng)絡內(nèi)部經(jīng)過交換機對外的所有數(shù)據(jù)流中,有無非法的訪問內(nèi)網(wǎng)的企圖、對WWW服務器和郵件服務器等關鍵業(yè)務平臺的攻擊行為和內(nèi)部網(wǎng)絡中的非法行為。對DDOS攻擊行為及時報警,并通過與防火墻的聯(lián)動及時阻斷,網(wǎng)絡遭受DDOS攻擊。
第三個層次,是一個中心網(wǎng)絡的核心層,部署了網(wǎng)絡處置中心的所有重要的服務器。在該層次中,部署了網(wǎng)站保護系統(tǒng),防范網(wǎng)頁被非法篡改。
此外,還部署網(wǎng)絡漏洞掃描系統(tǒng),定期或不定期的對接服務器區(qū)進行漏洞掃描,幫助網(wǎng)管人員及時了解和修補網(wǎng)絡中的安全漏洞。這種掃描服務可以由網(wǎng)絡安全管理人員完成,或者由安全服務的安全廠商及其高級防黑客技術人員完成。
第四個層次,是網(wǎng)絡安全中心網(wǎng)絡的數(shù)據(jù)存儲中心,放置了數(shù)據(jù)庫服務器和數(shù)據(jù)庫備份服務器。在該層次中,部署了防火墻,對數(shù)據(jù)庫的訪問通過防火墻進行過濾,保證數(shù)據(jù)的安全性。
(二)多種防護手段
我們設計的高強度安全防護措施,包括多種防護手段,即有靜態(tài)的防護手段,如防火墻,又有動態(tài)的防護手段,如網(wǎng)絡IDS、網(wǎng)絡防病毒系統(tǒng)。同時,也考慮到了恢復和響應技術,如網(wǎng)站保護和恢復系統(tǒng)。不同的防護手段針對不同的安全需求,解決不同的安全問題,使得網(wǎng)絡防護過程中不留安全死角。
(三)防火墻系統(tǒng)
防火墻是設置在被保護網(wǎng)絡和外部網(wǎng)絡之間的一道屏障,以防止發(fā)生不可預測的、潛在破壞性的侵入。防火墻是指設置在不同網(wǎng)絡(如可信任的企業(yè)內(nèi)部網(wǎng)和不可信的公共網(wǎng))或網(wǎng)絡安全域之間的一系列部件的組合。它是不同網(wǎng)絡或網(wǎng)絡安全域之間信息的唯一出入口,能根據(jù)企業(yè)的安全政策控制(允許、拒絕、監(jiān)測)出入網(wǎng)絡的信息流,且本身具有較強的抗攻擊能力。它是提供信息安全服務,實現(xiàn)網(wǎng)絡和信息安全的基礎設施。
防火墻可通過監(jiān)測、限制、更改跨越防火墻的數(shù)據(jù)流,盡可能地對外部屏蔽網(wǎng)絡內(nèi)部的信息、結構和運行狀況,以此來實現(xiàn)網(wǎng)絡的安全保護。在此次的網(wǎng)絡系統(tǒng)安全建設完成后,防火墻將承擔起對合法地址用戶的路由和對私網(wǎng)地址用戶的地址轉換任務(NAT),同時,將根據(jù)需要對進出訪問進行控制。防火墻可將網(wǎng)絡分成若干個區(qū)域,Trust(可信任區(qū),連接內(nèi)部局域網(wǎng)),Untrust(不信任區(qū),連接Internet ),DMZ(中立區(qū),連接對外的WEB server、e-Mail server 等)之后,還可以由客戶自行定義安全區(qū)域。
(四)網(wǎng)絡入侵檢測系統(tǒng)的作用
通過使用網(wǎng)絡入侵檢測系統(tǒng),我們可以做到:發(fā)現(xiàn)誰在攻擊網(wǎng)絡:解決網(wǎng)絡防護的問題(網(wǎng)絡出入口、DMZ、關鍵網(wǎng)段)。了解接網(wǎng)絡如何被攻擊:例如,如果有人非法訪問服務器,需要知道他們是怎么做的,這樣可以防止再次發(fā)生同樣的情況。IDS可以提供攻擊特征描述,還可以進行逐條的記錄回放,使網(wǎng)絡系統(tǒng)免受二次攻擊。
處置中心網(wǎng)絡的內(nèi)部危險:放置在網(wǎng)絡中的IDS會識別不同的安全事件。減輕潛在威脅:可以安裝在特定的網(wǎng)絡中,確定依具體情況而定的或是所懷疑的威脅,通過策略阻斷和其它安全產(chǎn)品進行全面防護。事后取證:從相關的事件和活動的多個角度提供具有標準格式的獨特數(shù)據(jù)。實現(xiàn)安全事件來源追查。 DDOS攻擊防范:通過實時監(jiān)控網(wǎng)絡流量,及時發(fā)現(xiàn)異常流量并報警,通過和防火墻聯(lián)動,對DDOS攻擊進行阻斷。
四、安全服務
網(wǎng)絡是個動態(tài)的系統(tǒng),它的變化包括網(wǎng)絡設備的調整,網(wǎng)絡配置的變化,各種操作系統(tǒng)、應用程序的變化,管理人員的變化。即使最初制定的安全策略十分可靠,但是隨著網(wǎng)絡結構和應用的不斷變化,安全策略可能失效,必須及時進行相應的調整。由于這方面相對比較復雜、篇幅所限,在此就不累述了,有興趣讀者可以另行查閱相關資料。
五、總結
毫無疑問,安全是一個動態(tài)的問題。在做未來的計劃時,既要考慮用戶環(huán)境的發(fā)展,也要考慮風險的發(fā)展,這樣才能讓安全在操作進程中占有一席之地。最謹慎、最安全的人會將他們的信息放在屋子里鎖好,妥善地保護起來。歸納起來,對網(wǎng)絡安全的解決方案從人員安全、物理層安全、邊界安全、網(wǎng)絡安全、主機安全、應用程序和數(shù)據(jù)安全這幾方面入手即可。上述幾個方面做好之后,我們就可以讓一個網(wǎng)絡系統(tǒng):
進不來: 通過物理隔離等手段,阻止非授權用戶進入網(wǎng)絡。
拿不走: 使用屏蔽、防下載機制,實現(xiàn)對用戶的權限控制。
讀不懂: 通過認證和加密技術,確信信息不暴露給未經(jīng)授權的人或程序。
改不了: 使用數(shù)據(jù)完整性鑒別機制,保證只有允許的人才能修改數(shù)據(jù)。
走不脫: 使用日志、安全審計、監(jiān)控技術使得攻擊者不能抵賴自己的行為。
參考文獻:
[1]沈昌祥.信息安全縱論[M].武漢:湖北科學技術出版社.2002年版.
[2]杜宇峰.網(wǎng)絡安全與防護[J].電腦知識與技術.2007(18).
關鍵詞:網(wǎng)絡安全;醫(yī)院網(wǎng)絡;防火墻
中圖分類號:TP393文獻標識碼:A文章編號:1009-3044(2009)26-7364-02
Hospital-based Network Security Solutions
SUN Ping-bo
(Department of Information, Changhai Hospital, Shanghai 200433, China)
Abstract: The hospital network security is to protect the basis of normal medical practice, this paper, the hospital network security solutions design and implementation of safety programs related to the model, firewalls isolation, and health care business data capture. This article is the construction of the hospital network security system to provide a reference for the role.
Key words: network security; the hospital network; firewall
隨著科學技術的發(fā)展和信息時代的來臨,幾乎所有的醫(yī)院都建立了信息網(wǎng)絡,實現(xiàn)了信息資源的網(wǎng)絡共享。但在具體建設這個醫(yī)院網(wǎng)絡平臺時中,往往都只重視怎樣迅速把平臺搭建起來和能夠馬上投入使用,而忽視了在醫(yī)院網(wǎng)絡平臺建設過程中信息安全的建設,包括如何保障醫(yī)療業(yè)務的正常進行、患者及醫(yī)生信息的合法訪問,如何使醫(yī)院網(wǎng)絡平臺免受黑客、病毒、惡意軟件和其它不良意圖的攻擊已經(jīng)成為急需解決的問題。
1 醫(yī)院網(wǎng)絡安全解決方案的設計
1.1網(wǎng)絡方案的模型
本文研究的醫(yī)院網(wǎng)絡安全解決方案是采用基于主動策略的醫(yī)院網(wǎng)絡安全系統(tǒng),它的主導思想是圍繞著P2DR模型思想建立一個完整的信息安全體系框架。P2DR模型最早是由ISS公司提出的動態(tài)安全模型的代表性模型,它主要包含4個部分:安全策略(Policy)、防護(Protection)、檢測(Detection)和響應(Response)。
安全策略是P2DR安全模型的核心。在整體安全策略的控制和指導下,運用防護工具(防火墻、操作系統(tǒng)身份認證、加密等)對網(wǎng)絡進行安全防護;利用檢測工具(如漏洞掃描、入侵檢測系統(tǒng)等等)了解和評估系統(tǒng)的安全狀態(tài),檢測針對系統(tǒng)的攻擊行為;通過適當?shù)姆磻獧C制將系統(tǒng)的安全狀態(tài)提升到最優(yōu)狀態(tài)。這個過程是一個動態(tài)的、不斷循環(huán)的過程,檢測到的威脅將作為響應和加強防護的依據(jù),防護加強后,將繼續(xù)進行檢測過程,依次循環(huán)下去,從而達到網(wǎng)絡安全性不斷增強的目的[1]。
根據(jù)對網(wǎng)絡安全的技術分析和設計目標,醫(yī)院網(wǎng)絡安全解決方案要解決7個實現(xiàn)的技術問題,分別是:數(shù)據(jù)檢測,入侵行為控制,行為分析,行為記錄,服務模擬,行為捕獲和數(shù)據(jù)融合。醫(yī)院網(wǎng)絡安全解決方案以P2DR模型為基礎,合理利用主動防御技術和被動防御技術來構建動態(tài)安全防御體系,根據(jù)現(xiàn)有安全措施和工具,在安全策略的基礎上,提出基于主動策略的醫(yī)院網(wǎng)絡安全方案模型,如圖1所示。
醫(yī)院網(wǎng)絡安全解決方案模型入侵檢測監(jiān)視網(wǎng)絡的異常情況,當發(fā)現(xiàn)有可疑行為或者入侵行為時,將監(jiān)測結果通知入侵行為控制,并將可疑行為數(shù)據(jù)傳給服務模擬;服務模擬在入侵行為控制的監(jiān)控下向可疑行為提供服務,并調用行為捕獲對系統(tǒng)所有活動作嚴格和詳細的記錄;數(shù)據(jù)融合定期地從行為記錄的不同數(shù)據(jù)源提取數(shù)據(jù),按照統(tǒng)一數(shù)據(jù)格式整理、融合、提煉后,一發(fā)給行為分析,對可疑行為及入侵行為作進一步分析,同時通知入侵行為控制對入侵行為進行控制,并提取未知攻擊特征通過入侵行為控制對入侵檢測知識庫進行更新,將新的模式添加進去。
1.2 防火墻隔離的設計
防火墻技術是醫(yī)院網(wǎng)絡安全系統(tǒng)中使用最廣泛的一項網(wǎng)絡安全技術。它的作用是防止不希望的、未經(jīng)授權的通信進入被保護的內(nèi)部網(wǎng)絡,通過邊界控制強化內(nèi)部網(wǎng)絡的安全策略。在醫(yī)院網(wǎng)絡中,既有允許被內(nèi)部網(wǎng)絡和外部網(wǎng)絡同時訪問的一些應用服務器(如醫(yī)療費用查詢系統(tǒng)、專家號預約系統(tǒng)、病情在線咨詢系統(tǒng)等),也有只允許醫(yī)院網(wǎng)絡內(nèi)部之間進行通信,不可以外部網(wǎng)絡訪問的內(nèi)部網(wǎng)絡[2]。因此,對應用服務器和內(nèi)部網(wǎng)絡應該采用不同的安全策略。
本文研究的醫(yī)院網(wǎng)絡安全解決方案采用的是屏蔽子網(wǎng)結構的防火墻配置。將應用服務器放置在屏蔽子網(wǎng)機構中的DMZ區(qū)域內(nèi),由外部防火墻保護,內(nèi)部網(wǎng)絡和外部網(wǎng)絡的用戶都可以訪問該區(qū)域。內(nèi)部網(wǎng)絡除了外部防火墻的保護外。還采用堡壘主機(服務器)對內(nèi)部網(wǎng)絡進行更加深一些層的保護。通過核心交換機的路由功能將想要進入內(nèi)部網(wǎng)絡的數(shù)據(jù)包路由到服務器中,由包過濾原則。過濾一些內(nèi)部網(wǎng)絡不應看到的網(wǎng)站信息等。內(nèi)部路由器將所有內(nèi)部用戶到因特網(wǎng)的訪問均路由到服務囂,服務器進行地址翻譯。為這些用戶提供服務.以此屏蔽內(nèi)部網(wǎng)絡。這種結構使得應用服務器與內(nèi)部網(wǎng)絡采用不同級別的安全策略,既實現(xiàn)醫(yī)院網(wǎng)絡的需求,也保護醫(yī)院網(wǎng)絡的安全。防火墻系統(tǒng)結構設計如圖2所示。
雖然防火墻系統(tǒng)能夠為醫(yī)院的網(wǎng)絡提供很多安全方面的保障,但并不能夠解決全部安全問題。因此,醫(yī)院的網(wǎng)絡安全系統(tǒng)還采取了其他的網(wǎng)絡安全技術和手段來確保醫(yī)院網(wǎng)絡的安全。
1.3 醫(yī)療業(yè)務數(shù)據(jù)的捕獲
如果本文研究的醫(yī)院網(wǎng)絡安全系統(tǒng)不能捕獲到任何數(shù)據(jù),那它將是一堆廢物。只有捕獲到數(shù)據(jù),我們才能利用這些數(shù)據(jù)研究攻擊者的技術、工具和動機。本文設計的醫(yī)院安全系統(tǒng)實現(xiàn)了三層數(shù)據(jù)捕獲,即防火墻日志、嗅探器捕獲的網(wǎng)絡數(shù)據(jù)包、管理主機系統(tǒng)日志。
其中,嗅探器記錄各種進出醫(yī)院內(nèi)管理網(wǎng)的數(shù)據(jù)包內(nèi)容,嗅探器可以用各種工具,如Ethereal等,我們使用了Tcpdump。記錄的數(shù)據(jù)以Tcpdump日志的格式進行存儲,這些數(shù)據(jù)不僅以后可用通過Tcpreplay進行回放,也可以在無法分析數(shù)據(jù)時,發(fā)送給別的研究人員進行分析。
防火墻和嗅探器捕獲的是網(wǎng)絡數(shù)據(jù),還需要捕獲發(fā)生有管理主機上的所有系統(tǒng)和用戶活動。對于windows系統(tǒng),可以借助第三方應用程序來記錄系統(tǒng)日志信息。現(xiàn)在大多數(shù)的攻擊者都會使用加密來與被黑系統(tǒng)進行通信。要捕獲擊鍵行為,需要從管理主機中獲得,如可以通過修改系統(tǒng)庫或者開發(fā)內(nèi)核模塊來修改內(nèi)核從而記錄下攻擊者的行為。
2 醫(yī)院網(wǎng)絡安全解決方案的實現(xiàn)
2.1 防火墻系統(tǒng)的布置
本文研究的醫(yī)院防火墻系統(tǒng)采用的是屏蔽子網(wǎng)結構,在該結構中,采用Quidway SecPath 1000F硬件防火墻與外部網(wǎng)絡直接相連,通過核心交換機Quidway S6506R將屏蔽子網(wǎng)結構中的DMZ區(qū)域和內(nèi)部網(wǎng)絡連接起來,DMZ區(qū)域中的各種應用的服務器都采用的是IBM xSeries 346,其中一臺作為堡壘主機使用。這臺堡壘主機起到的就是服務器的作用。防火墻根據(jù)管理員設定的安全規(guī)則保護內(nèi)部網(wǎng)絡,提供完善的安全設置,通過高性能的醫(yī)院網(wǎng)絡核心進行訪問控制。
2.2 醫(yī)療業(yè)務數(shù)據(jù)捕獲的實現(xiàn)
本文研究的數(shù)據(jù)捕獲主要從三層進行數(shù)據(jù)捕獲。我們在網(wǎng)橋下運行如下命令進行捕獲:
TCPDUMP -c 10 Ci eth1 -s 0 Cw /log
為了不讓攻擊者知道我們在監(jiān)視他在主機上的活動,我們采用Sebek來實現(xiàn)我們的目標。Sebek是個隱藏的記錄攻擊者行為的內(nèi)核補丁。一旦在主機上安裝了Sebek的客戶端,它就在系統(tǒng)的內(nèi)核級別運行,記錄的數(shù)據(jù)并不是記錄在本地硬盤上,而是通過UDP數(shù)據(jù)包發(fā)送到遠程服務器上,入侵者很難發(fā)現(xiàn)它的存在。
醫(yī)院的網(wǎng)絡安全系統(tǒng)數(shù)據(jù)捕獲是由內(nèi)核模塊來完成的,本文研究使用這個模塊獲得主機內(nèi)核空間的訪問,從而捕獲所有read()的數(shù)據(jù)。Sebek替換系統(tǒng)調用表的read()函數(shù)來實現(xiàn)這個功能,這個替換的新函數(shù)只是簡單的調用老read()函數(shù),并且把內(nèi)容拷貝到一個數(shù)據(jù)包緩存,然后加上一個頭,再把這個數(shù)據(jù)包發(fā)送到服務端。替換原來的函數(shù)就是改變系統(tǒng)調用表的函數(shù)指針。
本文通過配置參數(shù)決定了Sebek收集什么樣的信息,發(fā)送信息的目的地。以下就是一個linux配置文件的實例:
INTERFACE="eth0" //設定接口
DESTINATION_IP="172.17.1.2" //設定遠程服務器IP
DESTINATION_MAC="00:0C:29:I5:96:6E" //設定遠程服務器MAC
SOURCE_PORT=1101 //設定源地址UDP端口
DESTINATION_PORT=1101 //設定目標地址UDP端口
MAGIC_VALUE=XXXXX //如果同一網(wǎng)段有多個客戶端,則設定相同的數(shù)值
KEYSTOKE_ONLY=1 //是否只記錄鍵擊記錄
3 結束語
該文對醫(yī)院網(wǎng)絡安全的解決方案進行了較深入的研究,但該系統(tǒng)采用的技術也不能說是完善的,一方面因為它們也在不斷發(fā)展中,另一方面是因為設計者的水平有局限。比如醫(yī)院網(wǎng)絡的數(shù)據(jù)捕獲技術,它本身就是一個十分復雜的技術問題,解決的手段也是多樣的。
參考文獻:
隨著信息高度共享，信息化程度不斷提高，給企業(yè)帶來了諸多便利的同時，網(wǎng)絡安全問題日趨嚴重，由外網(wǎng)迅速延伸至內(nèi)網(wǎng)。從近來病毒發(fā)作的情況來看，病毒的攻擊目標沒有特定性，而且越來越隱蔽，如不提前防范，一旦被襲，網(wǎng)絡阻塞、系統(tǒng)癱瘓、信息傳輸中斷、數(shù)據(jù)丟失等等，無疑將給企業(yè)業(yè)務帶來巨大的經(jīng)濟損失。
二、中小企業(yè)網(wǎng)絡安全解決方案
這種典型的網(wǎng)絡規(guī)模較小的企業(yè)平均不到50臺計算機，企業(yè)處理的信息量不是很大。
2.1 訪問控制解決方案
網(wǎng)絡的拓撲結構是否合理是決定網(wǎng)絡安全的重要環(huán)節(jié)，不同的目的子網(wǎng)的要求，有不同的網(wǎng)絡設計。把具有相同安全目的的主機劃分在同一子網(wǎng)之內(nèi)，區(qū)別不同的安全水平。只有更好地考慮這些因素，將網(wǎng)絡結構存在的安全隱患將至最低。
（1）安全物理隔離。內(nèi)網(wǎng)與互聯(lián)網(wǎng)直接連接是不安全的。只要是內(nèi)網(wǎng)與互聯(lián)網(wǎng)直接鏈接，無論通過什么樣的手段，肯定存在著被黑客攻擊的可能。
因此，從安全角度來考慮，應該對企業(yè)計算機內(nèi)網(wǎng)與企業(yè)計算機網(wǎng)絡外網(wǎng)之間架設一道物理屏蔽，對內(nèi)部網(wǎng)絡中需要上因特網(wǎng)的用戶機器安裝物理隔離卡，從而保證內(nèi)部信息不被泄露。
（2）配備防火墻。網(wǎng)絡安全最經(jīng)濟，安全最有效措施就是防火墻。防火墻通過制定嚴格的安全策略來實施內(nèi)部和外部網(wǎng)絡區(qū)域之間的隔離和訪問控制，單向或雙向控制的實現(xiàn)是通過各種信任的網(wǎng)絡和防火墻，可根據(jù)時間、流量的訪問控制，過濾一些不安全服務。
2.2 網(wǎng)絡系統(tǒng)解決方案
（1）網(wǎng)絡操作系統(tǒng)安全。使用更高版本的網(wǎng)絡操作系統(tǒng)，使一些不常用，不安全的應用程序和端口處于關閉狀態(tài)。對于一些保存了用戶信息和使用密鑰的文件嚴格限制，加強密碼的水平，并及時對系統(tǒng)漏洞補丁，不對外公開系統(tǒng)內(nèi)部的使用情況。
（2）應用系統(tǒng)安全。應用服務器盡量不要打開一些不經(jīng)常使用的協(xié)議和協(xié)定窗口。作為檔案服務和E―mail服務器的應用系統(tǒng)等，可關閉HTYP、FTP、遠程登錄服務等不常用協(xié)議。還有就是加強登錄時的密碼強度。管理者限制登陸者操作權限，限制在最小的范圍內(nèi)。
2.3 入侵檢測解決方案
功能強大的反病毒反入侵的手段是入侵檢測手段，是在特定網(wǎng)絡環(huán)境中未經(jīng)授權或惡意攻擊和入侵被識別和反應的過程。它主要有搜集資料，并分析這些信息，計算機系統(tǒng)是否有被違反安全策略的行為和遭到攻擊的跡象。具有監(jiān)測分析用戶和系統(tǒng)的能力，評測系統(tǒng)完整的數(shù)據(jù)，對統(tǒng)計異常的行為進行識別，并自動收集和相關系統(tǒng)的修補程序，使用服務器記錄黑客的功能。入侵檢測是在不影響網(wǎng)絡性能的情況下的監(jiān)控，是一種積極的安全保護技術，為內(nèi)部和外部的攻擊提供實時保護。
但是入侵檢測設備雖然很實用，價格卻普遍偏高，如果中小企業(yè)資金允許，人員齊備的話，建議加裝入侵檢測設備，這樣可以做到防患于未然。
2.4 網(wǎng)絡防病毒解決方案
衡量反病毒技術是基于計算機病毒功能來判斷技術來確定病毒的類型。計算機防病毒技術在分析病毒代碼的基礎上，制定了刪除病毒程序并恢復原始文件的軟件。反病毒的具體實現(xiàn)方法包括網(wǎng)絡服務器、文件、E-mail等工作站技術進行頻繁掃描和監(jiān)測。一旦發(fā)現(xiàn)和病毒代碼庫匹配病毒代碼，反病毒程序將采取相應措施，防止病毒進入網(wǎng)絡相互傳播。防病毒系統(tǒng)可以防止病毒侵權使用。但是，新的病毒會隨著時間的推移不斷出現(xiàn)。這就需要及時通過互聯(lián)網(wǎng)或防病毒系統(tǒng)更新等手段安全管理員或用戶升級。一般中小型企業(yè)大都采用windows服務器的操作系統(tǒng)根據(jù)國內(nèi)外各種網(wǎng)上的反病毒軟件的綜合比較，所以本文建議采用Symantec公司Symantec系列或是微軟公司的ForeFront系列等產(chǎn)品。
2.5 數(shù)據(jù)備份和恢復安全解決方案
備份和恢復系統(tǒng)存在的目的，是盡快分發(fā)給計算機系統(tǒng)整體必要的數(shù)據(jù)和系統(tǒng)信息。備份不僅在網(wǎng)絡系統(tǒng)硬件故障或人為錯誤時起到保護，在黑客的網(wǎng)絡攻擊時起到保護作用，也同時作為一個系統(tǒng)崩潰恢復的先決條件。
這個解決方案我們使用Symantec Ghost，Ghost備份和恢復系統(tǒng)具有以下功能：備份數(shù)據(jù)的完整性，并要備份介質的管理技巧。支持多個備份，定期自動備份，還可以設置備份自動啟動和停止為多個文件的格式備份，支持多種日期標定方法，以保證備份的正確性，提供在線數(shù)據(jù)備份功能；支持RAID的容錯技術和圖像備份功能。由于Ghost操作簡便快捷，功能強大，所以本方案推薦使用。
關鍵詞 網(wǎng)絡安全；物理隔離；地形圖保密
中圖分類號：TP393 文獻標識碼：A 文章編號：1671-7597（2014）09-0179-01
1 勘察設計企業(yè)網(wǎng)絡現(xiàn)狀
勘察設計企業(yè)在設計工作中經(jīng)常會用到或產(chǎn)生一些文件，尤其是地形圖等密級較高的文件資料。我國2000年1月1日起頒布實施的《計算機信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定》第二章保密制度第六條規(guī)定：“涉及國家秘密的計算機信息系統(tǒng)，不得直接或間接地與國際互聯(lián)網(wǎng)或其他公共信息網(wǎng)絡相連接，必須實行物理隔離”。為保護國家秘密不外泄，同時滿足信息化辦公的生產(chǎn)需求，目前國內(nèi)勘察類企業(yè)主要采用兩種網(wǎng)絡架構方式。一種是設置內(nèi)部辦公網(wǎng)絡和外部網(wǎng)絡，員工各自配置兩臺分別連接內(nèi)外網(wǎng)絡的計算機，兩者完全物理隔離。這種方式建設和維護成本大，員工操控靈活度低。內(nèi)部辦公網(wǎng)絡實現(xiàn)公司信息化辦公和資源內(nèi)部共享等需求，外部網(wǎng)絡實現(xiàn)互聯(lián)網(wǎng)資料查詢和外部交流，同時嚴禁內(nèi)部網(wǎng)絡信息向外部網(wǎng)絡流通。另一種設立指定的互聯(lián)網(wǎng)訪問區(qū)，專門人員或機構采集互聯(lián)網(wǎng)信息復制到內(nèi)部網(wǎng)絡，或者設立專門的可訪問互聯(lián)網(wǎng)的設備或區(qū)域，這種方式實時性不好。
2 網(wǎng)絡隔離技術趨勢
物理隔離是網(wǎng)絡隔離的一種重要形式，它是通過網(wǎng)絡與計算機設備的空間分離來實現(xiàn)的網(wǎng)絡隔離[1]。與物理隔離不同的另一種網(wǎng)絡隔離方式是采用密碼技術的VPN隔離。虛擬專用網(wǎng)（VPN）是通過使用密碼和隧道技術、在公共網(wǎng)絡設施上構建的、具有專用網(wǎng)絡安全特性的邏輯網(wǎng)絡[2]。VPN隔離追求的是數(shù)據(jù)的分離或不可讀，而物理隔離強調的是設備的分離。盡管VPN的實現(xiàn)成本較低，但是在網(wǎng)絡的邊界點，隔離設備容易被攻擊，特別是來自公共網(wǎng)絡的拒絕服務攻擊[2]。
物理隔離網(wǎng)閘的思路決定了它是一種比VPN更高級的安全隔離形式，因為它是在保證必須安全的前提下，盡可能互聯(lián)互通，如果不能保證安全則完全斷開。然而，這種技術成熟的產(chǎn)品還是無法擺脫“擺渡”病毒的攻擊。因此，國家保密局信息系統(tǒng)安全保密測評中心頒發(fā)的網(wǎng)閘類產(chǎn)品檢測證書中明確注明“該產(chǎn)品不可用于互聯(lián)網(wǎng)和網(wǎng)絡之間的信息交換”。
3 雙網(wǎng)物理隔離解決方案架構
除去地形圖等國家秘密文件外，勘察設計企業(yè)商業(yè)秘密的保護也是極為迫切的要求。將操作地形圖資料的計算機與內(nèi)部工作網(wǎng)絡和外部互聯(lián)網(wǎng)隔離，內(nèi)外兩條網(wǎng)絡之間通過有效的隔離設備和網(wǎng)絡安全措施建立可信連接，既能滿足國家保密局對于國家秘密的保護要求，又能滿足公司內(nèi)部與互聯(lián)網(wǎng)之間的資源共享需要。
利用物理隔離網(wǎng)閘安裝在工作內(nèi)網(wǎng)核心交換機和外網(wǎng)核心交換機之間，對于公司內(nèi)部業(yè)務使用的計算機和服務器等設備直接或通過級聯(lián)設備連接到核心交換機，公司對外交流所用計算機或外網(wǎng)服務器直接或通過級聯(lián)連接到外網(wǎng)核心交換機。內(nèi)外網(wǎng)絡間數(shù)據(jù)訪問必須經(jīng)過網(wǎng)閘的“擺渡”。這樣，通過內(nèi)外網(wǎng)之間的網(wǎng)閘不僅實現(xiàn)了兩個網(wǎng)絡間的物理隔離，還能滿足內(nèi)外網(wǎng)之間實時、適度、可控的內(nèi)外網(wǎng)絡數(shù)據(jù)交換和應用服務。比如：文件交換、數(shù)據(jù)庫的數(shù)據(jù)交換與同步、HTTP/HTTPS標準訪問、FTP服務、郵件服務等。
圖1 基于網(wǎng)閘隔離的網(wǎng)絡拓撲結構
通過安全隔離網(wǎng)閘可以對辦公網(wǎng)絡到外部網(wǎng)之間的傳輸數(shù)據(jù)和文件嚴格執(zhí)行格式和內(nèi)容檢查，檢查的內(nèi)容可以包括內(nèi)容檢測、防惡意代碼、防泄密、文件類型控制等。可以對瀏覽器中輸入的各種關鍵詞和敏感字符串進行限制，預防內(nèi)網(wǎng)用戶因訪問外網(wǎng)網(wǎng)站時，在瀏覽器的訪問請求中出現(xiàn)有意或無意泄密的可能。
在公司網(wǎng)絡建設中對于地形圖等高密級資料的使用必須采取單獨網(wǎng)絡或單機運行模式，同時出臺相應的規(guī)章制度，對地形圖資料的復制、傳遞進行嚴格的規(guī)范，并出臺相應的懲罰措施，從公司制度層面對網(wǎng)絡安全保密行為進行約束。
4 性能分析
物理隔離網(wǎng)閘通過雙主機之間的物理斷開來達到數(shù)據(jù)隔離的目的。內(nèi)外主機間信息交換只能借助拷貝、鏡像、反射等非網(wǎng)絡方式來完成。另外，根據(jù)內(nèi)外網(wǎng)間數(shù)據(jù)交換的具體情況還可以選擇不同流向的單向或雙向隔離網(wǎng)閘，實現(xiàn)更高級別的數(shù)據(jù)保密要求。市場上部分物理隔離網(wǎng)閘支持基于文件特征庫的文件類型過濾和用戶自定義關鍵字的文件內(nèi)容篩查，可有效防止商業(yè)信息的無意泄漏。
應用物理隔離網(wǎng)閘的雙網(wǎng)隔離解決方案具備如下優(yōu)點。
1）屏蔽了內(nèi)部的網(wǎng)絡拓撲結構，屏蔽了內(nèi)部主機的操作系統(tǒng)漏洞，消除了來自互聯(lián)網(wǎng)上對網(wǎng)的攻擊。
2）內(nèi)部服務器不對外部網(wǎng)絡提供任何端口，不允許來自任何互聯(lián)網(wǎng)主機的主動請求，降低了自身風險。
3）通過嚴格的內(nèi)容過濾和檢查機制嚴防泄密。
4）可根據(jù)需要選擇單項或雙向數(shù)據(jù)流動方向，靈活性強。
但是，采用物理隔離網(wǎng)閘對內(nèi)部工作網(wǎng)絡和外部網(wǎng)絡進行隔離較采用VPN隔離在費用方面不占優(yōu)勢，同時，涉及地形圖的計算機部分仍需單獨劃分網(wǎng)絡。
參考文獻
[1]網(wǎng)絡隔離的技術分析與安全模型應用[J].數(shù)據(jù)通信，2002（3）：23-25.
