淺談計算機(jī)網(wǎng)絡(luò)安全防護(hù)

張斌

摘要：隨著以計算機(jī)網(wǎng)絡(luò)為代表的信息技術(shù)在各行各業(yè)的廣泛應(yīng)用，網(wǎng)絡(luò)安全已經(jīng)成為影響各產(chǎn)業(yè)發(fā)展的重要瓶頸，找出計算機(jī)網(wǎng)絡(luò)可能面臨的諸多具體威脅和隱患，制定切實可行的防范措施已勢在必行。

關(guān)鍵詞：計算機(jī)網(wǎng)絡(luò)安全隱患防范措施

中圖分類號：TP393 文獻(xiàn)標(biāo)識碼：A 文章編號：1672-3791（2012）08（b）-0024-01

1計算機(jī)網(wǎng)絡(luò)面臨的安全威脅及隱患

（1）網(wǎng)絡(luò)硬件存在安全隱患。一是核心技術(shù)受制于人。當(dāng)前我國所使用的計算機(jī)芯片、骨干路由器和微機(jī)主板等主要是從國外進(jìn)口的，且對引進(jìn)技術(shù)和設(shè)備缺少必要的技術(shù)改造，一旦不法分子在硬件設(shè)備中預(yù)先安置后門程序，后果不堪設(shè)想。二是操作系統(tǒng)存在隱患。目前，我們使用的主要操作系統(tǒng)都是微軟的Windows系列操作系統(tǒng)，這個系統(tǒng)設(shè)計之初考慮的是易用性而忽視了系統(tǒng)的安全，非授權(quán)用戶或黑客可通過漏洞對網(wǎng)絡(luò)進(jìn)行攻擊，而且此系統(tǒng)本身比較脆弱，易受溫濕度、磁場、污染等外部環(huán)境的影響而出現(xiàn)故障。三是易遭非法終端接入。現(xiàn)有硬件設(shè)備很可能被非法分子在現(xiàn)有終端上并接一個終端，或非法終端在合法終端從網(wǎng)上撤下時乘機(jī)接入并操縱計算機(jī)通信接口，或通過某種技術(shù)手段冒充主機(jī)使敏感信息傳到非法終端。四是易受非法入侵。非法分子通過技術(shù)滲透或通信線路入侵網(wǎng)絡(luò)，非法盜用、破壞或獲取敏感信息或數(shù)據(jù)及系統(tǒng)資源。利用目標(biāo)計算機(jī)的漏洞進(jìn)入系統(tǒng)或通過口令猜測進(jìn)入系統(tǒng)，采用IP地址欺騙等手段來入侵。

（2）技術(shù)缺陷帶來入侵威脅。一是網(wǎng)絡(luò)協(xié)議的缺陷。包括源地址認(rèn)證、網(wǎng)絡(luò)控制機(jī)制及路由協(xié)議等使用TCP協(xié)議的缺陷，造成入侵者的入侵，進(jìn)行訪問、修改、拒絕訪問、否認(rèn)等攻擊。二是軟件出現(xiàn)缺陷。由于程序員在編程時考慮不周而造成的問題，如輸入確認(rèn)、訪問確認(rèn)、設(shè)計、特殊條件和競爭條件等錯誤引起的軟件缺陷。三是病毒防護(hù)薄弱。計算機(jī)病毒可多種方式入侵計算機(jī)網(wǎng)絡(luò)，且不斷繁殖和擴(kuò)散，使計算機(jī)系統(tǒng)出現(xiàn)錯誤或處理能力下降，甚至是丟失數(shù)據(jù)或文件。四是安全測試設(shè)備落后。目前的安全保密測試設(shè)備落后于系統(tǒng)發(fā)展，對部分系統(tǒng)隱患無法偵測，無法通過有效的定性定量分析來加強(qiáng)系統(tǒng)防范，使網(wǎng)絡(luò)系統(tǒng)難以應(yīng)對新出現(xiàn)的安全隱患。

（3）人為操作導(dǎo)致失泄密發(fā)生。一是安全防護(hù)人員少，專業(yè)人才不夠。如網(wǎng)絡(luò)管理員配置不當(dāng)，安全觀念不強(qiáng)，造成人為泄密，或由于責(zé)任心不強(qiáng)網(wǎng)絡(luò)應(yīng)用升級不及時造成安全漏洞，隨意使用普通網(wǎng)絡(luò)站（點）下載的軟件。二是用戶安全意識薄弱。部分用戶將自己的賬號隨意轉(zhuǎn)借他人或與別人共享，從而導(dǎo)致信息泄漏。三是現(xiàn)有安保人員業(yè)務(wù)不夠精，安全管理不到位，特別是對不安全事件的處理不及時，方法不妥當(dāng)。這些人為因素是無論多么精妙的安全策略和網(wǎng)絡(luò)安全體系均無法防范和解決的。

（4）管理機(jī)制存在安全漏洞。一是安全措施不到位。信息網(wǎng)絡(luò)越來越具有綜合性和動態(tài)性特點，這同時也是信息網(wǎng)絡(luò)不安全的原因所在。然而，部分操作人員對此缺少認(rèn)識，未進(jìn)入安全就緒狀態(tài)就急于操作，結(jié)果導(dǎo)致敏感數(shù)據(jù)暴露，使系統(tǒng)遭受風(fēng)險。二是缺乏綜合性的解決方案。面對復(fù)雜的不斷變化的網(wǎng)絡(luò)世界，大多數(shù)單位缺乏綜合性的安全管理解決方案，安全意識較強(qiáng)的單位也只是依賴防火墻和加密技術(shù)。三是防范機(jī)制不到位。不少單位沒有從管理制度上建立相應(yīng)的安全防范，在整個運行過程中，缺乏行之有效的安全檢查和應(yīng)對保護(hù)制度。

2計算機(jī)網(wǎng)絡(luò)安全防護(hù)的對策及措施

（1）發(fā)展自主信息安全產(chǎn)業(yè)。網(wǎng)絡(luò)硬件要確保安全，發(fā)展具有我國自主知識產(chǎn)權(quán)的信息化產(chǎn)業(yè)成為重中之重。在未來的信息化發(fā)展過程中，要高度重視計算機(jī)網(wǎng)絡(luò)安全保密設(shè)備和系統(tǒng)的“國產(chǎn)化”、“自主化”建設(shè)。一是積極組織核心技術(shù)攻關(guān)，如自主操作系統(tǒng)、密碼專用芯片和安全處理器等，要狠抓技術(shù)及系統(tǒng)的綜合集成，以確保信息系統(tǒng)的安全。二是加強(qiáng)關(guān)鍵技術(shù)研究，如密碼技術(shù)、鑒別技術(shù)、病毒防御技術(shù)等，以提高技術(shù)防護(hù)能力。三是監(jiān)測評估手段，如網(wǎng)絡(luò)偵察技術(shù)、信息監(jiān)測技術(shù)、風(fēng)險管理技術(shù)、測試評估技術(shù)等，構(gòu)建具有我國特色、行之有效的網(wǎng)絡(luò)安全保密平臺，實現(xiàn)網(wǎng)絡(luò)及終端的可信、可管、可控，擺脫網(wǎng)絡(luò)安全控制于人的被動局面。

（2）構(gòu)建安全技術(shù)防護(hù)體系。面對網(wǎng)絡(luò)系統(tǒng)存在的風(fēng)險和威脅，應(yīng)堅持積極防御、綜合防護(hù)的原則，加強(qiáng)技術(shù)防護(hù)研究，采取有效技術(shù)手段，從預(yù)防、監(jiān)控和處置等環(huán)節(jié)科學(xué)構(gòu)建安全技術(shù)防護(hù)體系，確保網(wǎng)絡(luò)系統(tǒng)安全。一是安全監(jiān)察體系。落實網(wǎng)絡(luò)安全防護(hù)中心編制，加強(qiáng)配套監(jiān)察手段建設(shè)，建立健全網(wǎng)絡(luò)安全監(jiān)察機(jī)制；配套網(wǎng)絡(luò)入侵檢測、流量分析、行為審計等系統(tǒng)，增強(qiáng)安全事件的融合分析能力。二是終端防護(hù)體系。建立協(xié)調(diào)管理機(jī)制，規(guī)范和加強(qiáng)以身份認(rèn)證、授權(quán)管理、責(zé)任認(rèn)定等為主要內(nèi)容的網(wǎng)絡(luò)信任體系建設(shè)；強(qiáng)化系統(tǒng)訪問控制，設(shè)定用戶訪問權(quán)限，限制對資源的訪問，防止非法用戶侵入或合法用戶不慎操作所造成的破壞。三是安全評估體系。綜合運用漏洞掃描、取證分析、滲透測試、入侵監(jiān)測等系統(tǒng)和手段對網(wǎng)絡(luò)進(jìn)行掃描分析，客觀分析網(wǎng)絡(luò)與信息系統(tǒng)面臨的威脅及其存在的脆弱性，對安全事件一旦發(fā)生可能造成的危害程度進(jìn)行定性定量分析，并提出有針對性的防護(hù)對策和整改措施，防患于未然，全面防范、化解和減少信息安全風(fēng)險。

（3）強(qiáng)化人員安全防護(hù)意識。讓每個人都認(rèn)識到信息安全是確保各項工作正常高效運轉(zhuǎn)的基礎(chǔ)，是保障企業(yè)利益的重要前提，從而牢固樹立信息安全第一的思想。一是通過多種形式進(jìn)行安全宣傳教育，信托信息服務(wù)網(wǎng)站開設(shè)信息網(wǎng)絡(luò)安全知識普及專欄，增強(qiáng)全體人員信息安全防范意識。二是組織各種專題講座和培訓(xùn)班，積極開展安全策略研究，培養(yǎng)信息安全人才，特別要抓好信息安全保密設(shè)備操作訓(xùn)練，并確保防范手段和技術(shù)措施等授課內(nèi)容的先進(jìn)性和主動性，使單位內(nèi)容有安全防護(hù)方面的“明白人”。

（4）建立健全安全管理機(jī)制。確保網(wǎng)絡(luò)信息安全，不僅要有較強(qiáng)的保密觀念和先進(jìn)的安全技術(shù)、還需要在制度上、管理上對網(wǎng)絡(luò)信息安全進(jìn)行規(guī)范。一是建立健全網(wǎng)絡(luò)信息安全法規(guī)。信息安全法規(guī)的制定既要符合國家有關(guān)政策要求，又要切實據(jù)預(yù)測本單位建設(shè)實際，尤其是要適應(yīng)信息革命的發(fā)展，適應(yīng)信息化戰(zhàn)爭的需要；既要能與時俱進(jìn)，緊跟信息技術(shù)的發(fā)展，又要能結(jié)合實際，全面考慮信息安全的現(xiàn)狀。二是制訂完善的信息安全制度。與法律法規(guī)相比，規(guī)章制度具有更強(qiáng)的針對性和可操作性，與實際工作聯(lián)系要更緊密。在制度的內(nèi)容上，要具有信息化條件下信息安全防護(hù)的特點，從信息的開發(fā)、管理、使用等各個環(huán)節(jié)對信息行為進(jìn)行規(guī)范，從制度上堵塞漏洞。三是組建設(shè)安全隊伍。要在本單位建立安全防護(hù)中心，明確安全防護(hù)機(jī)制，建立安全防護(hù)組織管理機(jī)構(gòu)，明確領(lǐng)導(dǎo)及工作人員責(zé)任，制定管理崗位責(zé)任制及有關(guān)措施，嚴(yán)格內(nèi)部安全管理機(jī)制，并對各類破壞網(wǎng)絡(luò)信息安全的事件進(jìn)行調(diào)查和處理。