現(xiàn)代企業(yè)網(wǎng)絡(luò)安全防護(hù)策略與探討

摘要:現(xiàn)代企業(yè)網(wǎng)絡(luò)安全防護(hù)常見的安全問題及其影響，探討解決這些網(wǎng)絡(luò)安全問題的方法，提供了基于網(wǎng)絡(luò)內(nèi)部的安全策略。

關(guān)鍵詞:病毒防治;黑客入侵;數(shù)據(jù)恢復(fù)

中圖分類號:TP393.08 文獻(xiàn)標(biāo)識碼:A 文章編號:1009-3044(2009)15-3906-03

Enterprise Network Security Protection Strategy and Discussion

PAN Li-fu

Abstract: The modern enterprise network security protection common security issues and their implications， explore ways to solve these problems of network security， provides network-based security policy.

Key words: HIV prevention; hacking; data recovery

1 引言

當(dāng)我們需要和他人通過計(jì)算機(jī)協(xié)作處理問題的時(shí)候，就需要將計(jì)算機(jī)接入網(wǎng)絡(luò)。通過網(wǎng)絡(luò)，用戶可以發(fā)送電子郵件(E-mail)、上傳數(shù)據(jù)，下載文件等等，使用極其方便。但其開放性和復(fù)雜性卻帶來了黑客入侵、病毒感染等安全性問題。一旦安全問題得不到很好地解決，就可能出現(xiàn)商業(yè)秘密泄漏、設(shè)備損壞、數(shù)據(jù)丟失、系統(tǒng)癱瘓等嚴(yán)重后果(如帳戶信息，敏感數(shù)據(jù)，客戶資料)，給正常的企業(yè)經(jīng)營活動造成極大的負(fù)面影響。因此企業(yè)需要一個(gè)更安全的網(wǎng)絡(luò)系統(tǒng)。

企業(yè)的網(wǎng)絡(luò)系統(tǒng)的安全包括網(wǎng)絡(luò)設(shè)備、配套設(shè)備的安全、數(shù)據(jù)的安全、通訊的安全、運(yùn)行環(huán)境的安全，還包括網(wǎng)絡(luò)內(nèi)部每臺計(jì)算機(jī)的安全、計(jì)算機(jī)功能的正常發(fā)揮等部分。

2 影響企業(yè)網(wǎng)絡(luò)安全的因素

1)病毒:計(jì)算機(jī)病毒是指那些具有自我復(fù)制能力的計(jì)算機(jī)程序，它能影響計(jì)算機(jī)軟件、硬件的正常運(yùn)行，破壞數(shù)據(jù)的正確與完整。

隨著計(jì)算機(jī)和網(wǎng)絡(luò)的進(jìn)步和普及，計(jì)算機(jī)病毒也不斷出現(xiàn)，總數(shù)已經(jīng)兩萬多種，并以每月四百多種的速度增加，其破環(huán)性也不斷增加，而網(wǎng)絡(luò)病毒破壞性就更強(qiáng)。一旦文件服務(wù)器的硬盤被病毒感染，就可能造成系統(tǒng)損壞、數(shù)據(jù)丟失，使網(wǎng)絡(luò)服務(wù)器無法起動，應(yīng)用程序和數(shù)據(jù)無法正確使用，甚至導(dǎo)致整個(gè)網(wǎng)絡(luò)癱瘓，造成不可估量的損。網(wǎng)絡(luò)病毒普遍具有較強(qiáng)的再生機(jī)制，可以通過網(wǎng)絡(luò)擴(kuò)散與傳染。一旦某個(gè)公用程序染了毒，那么病毒將很快在整個(gè)網(wǎng)絡(luò)上傳播，感染其它的程序。由網(wǎng)絡(luò)病毒造成網(wǎng)絡(luò)癱瘓的損失是難以估計(jì)的。一旦網(wǎng)絡(luò)服務(wù)器被感染，其解毒所需的時(shí)間將是單機(jī)的幾十倍以上。

2)惡意攻擊:是指任何試圖危及計(jì)算機(jī)資源的完整性、機(jī)密性、或是可用性的行為。

企業(yè)的網(wǎng)絡(luò)基本上都采用以廣播為技術(shù)基礎(chǔ)的以太網(wǎng)。在同一以太網(wǎng)中，任何兩個(gè)節(jié)點(diǎn)之間的通信數(shù)據(jù)包，不僅可以為這兩個(gè)節(jié)點(diǎn)的網(wǎng)卡所接收，也同時(shí)能夠?yàn)樘幵谕灰蕴W(wǎng)上的任何一個(gè)節(jié)點(diǎn)的網(wǎng)卡所截取。另外，為了工作方便，企業(yè)的辦公自動化網(wǎng)絡(luò)都備有與外網(wǎng)和國際互聯(lián)網(wǎng)相互連接的出入口，因此，外網(wǎng)及國際互聯(lián)網(wǎng)中的黑客只要侵入企業(yè)的ERP系統(tǒng)或是辦公自動化網(wǎng)絡(luò)中的任意節(jié)點(diǎn)進(jìn)行偵聽，就可以捕獲發(fā)生在這個(gè)以太網(wǎng)上的所有數(shù)據(jù)包，對其進(jìn)行解包分析，從而竊取關(guān)鍵信息;而本網(wǎng)絡(luò)中的黑客則有可能非常方便的截取任何數(shù)據(jù)包，從而造成信息的失竊。

3)非授權(quán)訪問:指對網(wǎng)絡(luò)設(shè)備及信息資源進(jìn)行非正常使用或越權(quán)使用等。

4)冒充合法用戶:主要指利用各種假冒或欺騙的手段非法獲得合法的使用權(quán)限，以達(dá)到占用合法資源的目的。

5)破壞數(shù)據(jù)的完整性:指利用非法手段，刪除、修改、重發(fā)某些重要信息，以干擾用戶的正常使用。

在現(xiàn)代企業(yè)網(wǎng)絡(luò)系統(tǒng)中，有多種因素可能導(dǎo)致數(shù)據(jù)的破壞，首先是黑客侵入，黑客基于各種原因侵入網(wǎng)絡(luò)，其中惡意侵入對網(wǎng)絡(luò)的危害可能是多方面的。其中一種危害就是破壞數(shù)據(jù)，可能破壞服務(wù)器硬盤引導(dǎo)區(qū)數(shù)據(jù)、刪除或覆蓋原始數(shù)據(jù)庫、破壞應(yīng)用程序數(shù)據(jù)等。其次是病毒破壞，病毒可能攻擊系統(tǒng)數(shù)據(jù)區(qū)，包括硬盤主引導(dǎo)扇區(qū)、Boot扇區(qū)、FAT表、文件目錄等;病毒還可能攻擊文件數(shù)據(jù)區(qū)，使文件數(shù)據(jù)被刪除、改名、替換、丟失部分程序代碼、丟失數(shù)據(jù)文件;病毒還可能攻擊CMOS，破壞系統(tǒng)CMOS中的數(shù)據(jù)。再就是災(zāi)難破壞，由于自然災(zāi)害、突然停電、強(qiáng)烈震動、誤操作等造成數(shù)據(jù)破壞。重要數(shù)據(jù)遭到破壞和丟失，會造成企業(yè)經(jīng)營困難、人力、物力、財(cái)力的巨大浪費(fèi)。

6)干擾系統(tǒng)正常運(yùn)行:指改變系統(tǒng)的正常運(yùn)行方法，減慢系統(tǒng)響應(yīng)時(shí)間等手段。

7)線路竊聽:指利用通信介質(zhì)的電磁泄漏或搭線竊聽等手段獲取非法信息。

3 確保企業(yè)網(wǎng)絡(luò)安全的策略

企業(yè)的網(wǎng)絡(luò)安全問題的解決主要應(yīng)從預(yù)警、防護(hù)、災(zāi)難恢復(fù)等三方面入手，下面就安全預(yù)警、數(shù)據(jù)安全防護(hù)、入侵防范、病毒防治以及數(shù)據(jù)恢復(fù)等方面分別探討。

3.1 網(wǎng)絡(luò)安全預(yù)警

現(xiàn)代企業(yè)網(wǎng)絡(luò)安全預(yù)誓系統(tǒng)分為入侵預(yù)警和病毒預(yù)警兩部分。入侵預(yù)警系統(tǒng)中，入侵檢測可以分析確定網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)包是否經(jīng)過授權(quán)。一旦檢測到入侵信息，將發(fā)出警告，從而減少對網(wǎng)絡(luò)的威脅。它把包括網(wǎng)絡(luò)掃描、互聯(lián)網(wǎng)掃描、系統(tǒng)掃描、實(shí)時(shí)監(jiān)控和第三方的防火墻產(chǎn)生的重要安全數(shù)據(jù)綜合起來，提供內(nèi)部和外部的分析并在實(shí)際網(wǎng)絡(luò)中發(fā)現(xiàn)風(fēng)險(xiǎn)源和直接響應(yīng)。它提供企業(yè)安全風(fēng)險(xiǎn)管理報(bào)告，報(bào)告集中于重要的風(fēng)險(xiǎn)管理范圍，如實(shí)時(shí)風(fēng)險(xiǎn)、攻擊條件、安全漏洞和攻擊分析;提供詳細(xì)的入侵告警報(bào)告，顯示入侵告警信息(如入侵IP地址及目的IP地址、目的端口、攻擊特征)，并跟蹤分析入侵趨勢，以確定網(wǎng)絡(luò)的安全狀態(tài);信息可以發(fā)往相關(guān)數(shù)據(jù)庫，作為有關(guān)網(wǎng)絡(luò)安全的決策依據(jù)。病毒預(yù)警系統(tǒng)通過對所有進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)包實(shí)施不間斷的持續(xù)掃描，保持全天24小時(shí)監(jiān)控所有進(jìn)出網(wǎng)絡(luò)的文件，發(fā)現(xiàn)病毒時(shí)可立即產(chǎn)生報(bào)警信息，通知網(wǎng)絡(luò)管理員，并可以通過IP地址定位、端口定位追蹤病毒來源，并產(chǎn)生功能強(qiáng)大的掃描日志與報(bào)告，記錄規(guī)定時(shí)間內(nèi)追蹤網(wǎng)絡(luò)所有病毒的活動。

3.2 數(shù)據(jù)安全保護(hù)

3.2.1 針對入侵的安全保護(hù)

對于數(shù)據(jù)庫來說，其物理完整性、邏輯完整性、數(shù)據(jù)元素完整性都是十分重要的。數(shù)據(jù)庫中的數(shù)據(jù)有純粹信息數(shù)據(jù)和功能文件數(shù)據(jù)兩大類，入侵保護(hù)應(yīng)主要考慮以下幾條原則:

1)物理設(shè)備和安全防護(hù)，包括服務(wù)器、路由器、交換機(jī)、有線、無線通信線路的安全防護(hù);

2)服務(wù)器安全保護(hù)，不同類型、不同重要程度的數(shù)據(jù)應(yīng)盡可能在不同的服務(wù)器上實(shí)現(xiàn)，重要數(shù)據(jù)采用分布式管理，服務(wù)器應(yīng)有合理的訪問控制和身份認(rèn)證措施保護(hù)，并記錄訪問日志。系統(tǒng)中的重要數(shù)據(jù)在數(shù)據(jù)庫中應(yīng)有加密和驗(yàn)證措施。

3)用戶對數(shù)據(jù)的存取應(yīng)有明確的授權(quán)策略，保證用戶只能打開自己權(quán)限范圍之內(nèi)的文件;通過審計(jì)和留痕技術(shù)避免非法者從系統(tǒng)外取得系統(tǒng)數(shù)據(jù)或是合法用戶為逃避系統(tǒng)預(yù)警報(bào)告的監(jiān)督而從系統(tǒng)中取得數(shù)據(jù);客戶端安全保護(hù)，客戶端的安全主要是要求能配合服務(wù)器的安全措施，提供身份認(rèn)證、加密、解密、數(shù)字簽名和信息完整性驗(yàn)證功能，并通過軟件強(qiáng)制實(shí)現(xiàn)各客戶機(jī)口令的定期更換，以防止口令泄漏可能帶來的損失。

3.2.2 針對病毒破壞及災(zāi)難破壞的安全保護(hù)

對于病毒和災(zāi)難破壞的數(shù)據(jù)保護(hù)來說，最為有效的保護(hù)方式有兩大類:物理保護(hù)和數(shù)據(jù)備份。

要防止病毒和災(zāi)難破壞數(shù)據(jù)，首先要在網(wǎng)絡(luò)核心設(shè)備上設(shè)置物理保護(hù)措施，包括設(shè)置電源冗余模塊和交換端口的冗余備份;其次是采用磁盤鏡像或磁盤陣列存儲數(shù)據(jù)，避免由于磁盤物理故障造成數(shù)據(jù)丟失;另外，還要使用其他物理媒體對重要的數(shù)據(jù)進(jìn)行備份，包括實(shí)時(shí)數(shù)據(jù)備份和定期數(shù)據(jù)備份，以便數(shù)據(jù)丟失后及時(shí)有效地恢復(fù)。

3.3 入侵防范

要有效地防范非法入侵，應(yīng)做到內(nèi)外網(wǎng)隔離、訪問控制、內(nèi)部網(wǎng)絡(luò)隔離和分段管理。

3.3.1 內(nèi)外網(wǎng)隔離

在內(nèi)部辦公自動化網(wǎng)絡(luò)和外網(wǎng)之間，設(shè)置物理隔離，以實(shí)現(xiàn)內(nèi)外網(wǎng)的隔離是保護(hù)辦公自動化網(wǎng)絡(luò)安全的最主要、同時(shí)也是最有效、最經(jīng)濟(jì)的措施之一。

第一層隔離防護(hù)措施是路由器。路由器濾掉被屏蔽的IP地址和服務(wù)。可以首先屏蔽所有的IP地址，然后有選擇的放行一些地址進(jìn)入辦公自動化網(wǎng)絡(luò)。

第二層隔離防護(hù)措施是防火墻。大多數(shù)防火墻都有認(rèn)證機(jī)制，無論何種類型防火墻，從總體上看，都應(yīng)具有以下五大基本功能:過濾進(jìn)、出網(wǎng)絡(luò)的數(shù)據(jù);管理進(jìn)、出網(wǎng)絡(luò)的訪問行為;封堵某些禁止的業(yè)務(wù);記錄通過防火墻的信息內(nèi)容和活動;對網(wǎng)絡(luò)攻擊的檢測和告警。

3.3.2 訪問控制

現(xiàn)代企業(yè)網(wǎng)絡(luò)應(yīng)采用訪問控制的安全措施，將整個(gè)網(wǎng)絡(luò)結(jié)構(gòu)分為三部分，內(nèi)部網(wǎng)絡(luò)、隔離區(qū)以及外網(wǎng)。每個(gè)部分設(shè)置不同的訪問控制方式。其中內(nèi)部網(wǎng)絡(luò)是不對外開放的區(qū)域，它不對外提供任何服務(wù)，所以外部用戶檢測不到它的IP地址，也難以對它進(jìn)行攻擊。隔離區(qū)對外提供服務(wù)，系統(tǒng)開放的信息都放在該區(qū)，由于它的開放性，就使它成為黑客們攻擊的對象，但由于它與內(nèi)部網(wǎng)是隔離開的，所以即使受到了攻擊也不會危及內(nèi)部網(wǎng)，這樣雙重保護(hù)了內(nèi)部網(wǎng)絡(luò)的資源不受侵害，也方便網(wǎng)絡(luò)管理員監(jiān)視和診斷網(wǎng)絡(luò)故障。

3.3.3 內(nèi)部網(wǎng)絡(luò)的隔離及分段管理

內(nèi)部網(wǎng)絡(luò)分段是保證安全的一項(xiàng)重要措施，同時(shí)也是一項(xiàng)基本措施，其指導(dǎo)思想在于將非法用戶與網(wǎng)絡(luò)資源相互隔離，從而達(dá)到限制用戶非法訪問的目的。

企業(yè)網(wǎng)絡(luò)可以根據(jù)部門或業(yè)務(wù)需要分段。網(wǎng)絡(luò)分段可采用物理分段或邏輯分段兩種方式。物理分段通常是指將網(wǎng)絡(luò)從物理層和數(shù)據(jù)鏈路層上分為若干網(wǎng)段，各網(wǎng)段相互之間無法進(jìn)行直接通訊;邏輯分段則是指將整個(gè)系統(tǒng)在網(wǎng)絡(luò)層上進(jìn)行分段。并能實(shí)現(xiàn)子網(wǎng)隔離。在實(shí)際應(yīng)用過程中，通常采取物理分段與邏輯分段相結(jié)合的方法來實(shí)現(xiàn)隔離。

采取相應(yīng)的安全措施后，子網(wǎng)間可相互訪問。對于TCP/IP網(wǎng)絡(luò)，可把網(wǎng)絡(luò)分成若干IP子網(wǎng)，各子網(wǎng)間必須通過路由器、路由交換機(jī)、網(wǎng)關(guān)或防火墻等設(shè)備進(jìn)行連接，利用這些中間設(shè)備(含軟件、硬件)的安全機(jī)制來控制各子網(wǎng)間的訪問。在這里，防火墻被用來隔離內(nèi)部網(wǎng)絡(luò)的一個(gè)網(wǎng)段與另一個(gè)網(wǎng)段，可以限制局部網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。

3.4 病毒防治

相對于單機(jī)病毒的防護(hù)來說，網(wǎng)絡(luò)病毒的防治具有更大的難度，網(wǎng)絡(luò)病毒防治應(yīng)與網(wǎng)絡(luò)管理緊密結(jié)合。網(wǎng)絡(luò)防病毒最大的特點(diǎn)在于網(wǎng)絡(luò)的管理功能，如果沒有管理功能，很難完成網(wǎng)絡(luò)防毒的任務(wù)。只有管理與防范相結(jié)合，才能保證系統(tǒng)正常運(yùn)行。

計(jì)算機(jī)病毒的預(yù)防在于完善操作系統(tǒng)和應(yīng)用軟件的安全機(jī)制。在網(wǎng)絡(luò)環(huán)境下，病毒傳播擴(kuò)散快，僅用單機(jī)防殺病毒產(chǎn)品已經(jīng)難以清除網(wǎng)絡(luò)病毒，必須有適用于局域網(wǎng)、廣域網(wǎng)的全方位防殺病毒產(chǎn)品。為實(shí)現(xiàn)計(jì)算機(jī)病毒的防治，可在企業(yè)網(wǎng)絡(luò)系統(tǒng)上安裝網(wǎng)絡(luò)病毒防治服務(wù)器，并在內(nèi)部網(wǎng)絡(luò)服務(wù)器上安裝網(wǎng)絡(luò)病毒防治軟件，在單機(jī)上安裝單機(jī)環(huán)境的反病毒軟件。安裝網(wǎng)絡(luò)病毒防治服務(wù)器的目標(biāo)是以實(shí)時(shí)作業(yè)方式掃描所有進(jìn)出網(wǎng)絡(luò)的文件。本地網(wǎng)絡(luò)與其它網(wǎng)絡(luò)和各種局域網(wǎng)間的數(shù)據(jù)交換、本地網(wǎng)絡(luò)工作站與服務(wù)器間的數(shù)據(jù)交換、本地網(wǎng)絡(luò)各工作站之間的數(shù)據(jù)交換都要經(jīng)過網(wǎng)絡(luò)病毒防治服務(wù)器的檢測與過濾，這樣就保證了網(wǎng)絡(luò)病毒的實(shí)時(shí)查殺與防治。

3.5 數(shù)據(jù)恢復(fù)

企業(yè)的數(shù)據(jù)遭到破壞之后，其數(shù)據(jù)恢復(fù)程度依賴于數(shù)據(jù)備份方案。

數(shù)據(jù)備份的目的在于盡可能快地全盤恢復(fù)運(yùn)行計(jì)算機(jī)系統(tǒng)所需的數(shù)據(jù)和系統(tǒng)信息。根據(jù)系統(tǒng)安全需求可選擇的備份機(jī)制有實(shí)時(shí)高速度、大容量自動的數(shù)據(jù)存儲、備份與恢復(fù);定期的數(shù)據(jù)存儲、備份與恢復(fù);對系統(tǒng)設(shè)備的備份。備份不僅在網(wǎng)絡(luò)系統(tǒng)硬件故障或人為失誤時(shí)起到保護(hù)作用，也在入侵者非授權(quán)訪問或?qū)W(wǎng)絡(luò)攻擊及破壞數(shù)據(jù)完整性時(shí)起到保護(hù)作用，同時(shí)亦是系統(tǒng)災(zāi)難恢復(fù)的前提之一。

4 提高現(xiàn)代企業(yè)網(wǎng)絡(luò)安全的幾個(gè)重要步驟

1)限制對網(wǎng)關(guān)的訪問。限制網(wǎng)關(guān)上的帳號數(shù)。不要允許在網(wǎng)絡(luò)上進(jìn)行根注冊。

2)不要信任任何人。網(wǎng)關(guān)不信任任何機(jī)器。沒有一臺機(jī)器應(yīng)該信任網(wǎng)關(guān)。

3)不要用NFS向網(wǎng)關(guān)傳輸或接收來自網(wǎng)關(guān)的任何文件系統(tǒng)。

4)不要在網(wǎng)關(guān)上使用NIS(網(wǎng)絡(luò)信息服務(wù))。

5)制訂和執(zhí)行一個(gè)非網(wǎng)關(guān)機(jī)器上的安全性方針。

6)關(guān)閉所有多余服務(wù)和刪除多余程序。

7)刪除網(wǎng)關(guān)的所有多余程序(遠(yuǎn)程登錄、rlogin、FTP等等)。

8)定期閱讀系統(tǒng)記錄。

5 結(jié)束語

無論是現(xiàn)實(shí)世界還是在數(shù)字世界都存在各種各樣的威脅和安全問題，認(rèn)為只要購買了防火墻，防病毒軟件等安全產(chǎn)品，就可以萬事大吉，那是不可能的。企業(yè)各部門之間、企業(yè)和企業(yè)之間、國際間信息交流的日益頻繁，現(xiàn)代企業(yè)網(wǎng)絡(luò)的安全問題已經(jīng)提到重要的議事日程上來。所以，一個(gè)技術(shù)上可靠、設(shè)計(jì)上可行、投資上合理的網(wǎng)絡(luò)安全防護(hù)措施已經(jīng)成為成功的現(xiàn)代企業(yè)網(wǎng)絡(luò)策略。

參考文獻(xiàn):

[1] 蔡立軍.計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)[M].北京:中國水利水電出版社，2002.

[2] 劉彥保.防火墻技術(shù)及其在網(wǎng)絡(luò)安全中的應(yīng)用[J] .安教育學(xué)院學(xué)報(bào)，2006，19(2).

[3] 吳世忠，馬芳.網(wǎng)絡(luò)信息安全的真相[M].北京:機(jī)械工業(yè)出版社.