林正楷

(溫州市煙草公司瑞安分公司 浙江 325000)

0 前言

隨著信息技術的飛速發展，以及信息化應用對各行各業的逐漸滲透，越來越多的企事業單位都建立了自己的內部辦公網絡，并在自建的內部網絡中處理日常辦公事務。然而，在享受其為辦公帶來方便的同時，我們必須面對其所帶來的安全問題。目前，機構的辦公網絡大多是基于自建的內部網絡，雖然部分網絡也與Internet相連通，但是內部網絡運行環境的始終安全、可靠、保密，才能幫助機構內各類業務的開展提供保障。下面就辦公內網網絡談談其安全體系建設。

1 辦公網絡的結構

辦公網絡在結構上由外部網絡和內部網絡兩個部分組成。外部網絡主要用于機構與外部用戶之間的溝通及信息的發布和采集；內部網絡主要用于機構內部部門間、上下級間的公文流轉、信息交換和流程處理等。

2 辦公網絡安全

上世紀70年代中期，辦公業務量急劇增加對生產率產生巨大的影響，發達國家為解決問題，發展出了一門綜合性技術，也就是我們常說的OA，即辦公自動化。辦公網絡需要一種便利的內部通訊和消息傳送機制，在計算機上實現基于網絡的協同工作機制，將所有的辦公文檔匯集在一起，實現規范化和一致化，方便統計和查詢，實現內部成員基于不同權限共享資源。

辦公網絡安全一直隨著辦公自動化的發展而發展。從最初的“COMSEC”到上世紀70年代的“INFOSEC”，1973年Anderson提出了危害安全的三種情況：非授權的信息發布，非授權的信息修改、非授權的拒絕服務，用戶越來越關心如何防范計算機系統不被他人非授權使用。80年代末，美國出現了“莫里斯”蠕蟲事件，到了90年代，如何防止通過網絡對聯網計算機進行攻擊成為了人們關注的重點，學術界稱之為“NETSEC”。2000年，Stoneburg在NIST重申信息安全的目標包括機密性、完整性、可用性、可追蹤性和保障。進入新世紀，信息和系統的可控性、信息行為的不可否認性等要求也被加入到了信息安全的概念里，安全已經不局限于信息的保護。用戶需要的是對整個信息和信息系統提供包括防范、檢測、反應和恢復四個方面在內的保護和防御。

如今，大部分的機構對外網和內網的隔離都從物理和邏輯兩方面開展，防火墻、入侵檢測、防病毒的常規組合基本隔絕了來自外網的威脅，但是對來自內部網絡的安全威脅基本沒有防范，造成了沈昌祥院士所說的“老三樣防外，防不勝防”的局面。

3 內網常見安全隱患分析

未經允許，安裝各類軟件，容易導致內網遭受病毒的感染；

員工私自隨意更換、更改計算機軟硬件，或辦公計算機軟硬件變更后，管理人員沒有及時進行備案，造成軟硬件資源管理困難；

上網行為缺少有效監控。員工隨意訪問外部網站，玩游戲、看電影、下載文件，不僅影響了自身的辦公效率，而且會占用大量帶寬資源，造成網絡擁堵，同時其所訪問的外部網站其安全性也是未知數；

非法修改IP地址或MAC地址，導致網絡內部地址沖突，造成內部網絡混亂；

外部終端設備非法接入辦公內網。移動終端設備和新增其他終端設備未經過安全檢查和處理違規接入，很有可能帶來病毒傳播、黑客入侵等安全問題；

未經備案和安全檢測，私自在內部網絡中的終端上使用外來的可移動存儲設備， 可能帶來病毒傳播、黑客入侵等安全問題；

利用系統漏洞、病毒入侵、非法接入、非法外鏈、網絡濫用、外設濫用、密碼過于簡單等各種原因與管理不善，繼而導致企業內部重要信息披露、修改或者毀滅，造成不可彌補的損失；

內網用戶通過利用內網中的某一終端，實行網絡攻擊或欺騙，非法獲得內網中其他終端甚至是服務器的重要數據；

蠕蟲病毒、網絡阻塞、數據損壞或丟失，而且短期內無法定位故障來源以迅速采取隔離等處理措施，導致正常業務的開展遭受持續性的災難性的影響。

4 內網安全體系

隨著信息化的普及，用戶對信息安全的認識也逐漸深入，但對網絡安全的理解依舊存有誤區。在對風險的防范上，用戶在選擇上常常偏愛簡單的靜態安全模型，即將信息安全技術都集中在對系統本身的加固和防護上，認為利用網絡操作系統、數據庫系統以及應用系統的認證、授權和訪問控制等措施，加裝了防病毒系統后，網絡就安全了。但是隨著網絡的深入發展，靜態安全模型已無法完全應對動態變化的網絡安全問題。網絡安全是一個整體的、動態的、基于時間變化的概念，不再是僅依靠一個或幾個安全產品的簡單堆積就能實現的。

4.1 建設目標

內網安全體系的建設目標為：通過采用防范、檢測、反應、恢復四方面行之有效的安全措施，以將來實際運行過程中網絡可能遇到的各種安全威脅為切入點，構建一個全方位、易管理的安全體系，保障網絡運行的安全性、穩定性和可靠性。

4.2 基本原則

（1）安全第一：內網辦公要求網絡有較高的性能，而安全性的實施又會消耗掉部分網絡和計算資源，兩者存在一定的矛盾，在考量和實施的過程中，可以選擇在做好基礎安全的情況，兼顧額外的安全性和網絡性能。

（2）多重保護：如前文提到的，單個安全產品無法做到全方位的保護。建立一個多重保護系統，系統間相互支持，相互補充。當一種安全產品被攻破后，其他產品依舊可以維持對系統的保護。

（3）模塊化：根據網絡模型和網絡中數據傳播的階段，將整個數據的傳播和加拆包過程模塊化，分模塊做好保護。

（4）網段劃分：在物理劃分的基礎上做好邏輯上的子網劃分，控制好各網段的訪問權限，同時可以在網絡設備中做好訪問控制的相關設置，以達到訪問控制。

（5）最小授權：對各網段做好訪問權限管理，防止權限過于集中，避免一旦發生入侵，受到災害過大。

（6）平衡點：網絡的安全通過增加功能和設置，或安裝第三方軟件來實現，而這些都會消耗系統資源，在性能和安全中進行平衡，防止以偏廢全。

（7）非純技術：網絡系統的安全既是技術的，又是管理的。既要做好技術保障，又要做好管理上的配套制度和措施，相互彌補和完善，須知管理的漏洞有時也能轉變成系統的漏洞。

4.3 安全體系架構

（1）系統安全體系

從物理上做好保障是系統安全體系建設的前提。首先，機房的建設需嚴格按照國家相關標準，如GB50173-93《電子計算機機房設計規范》、GB-2887-89《計算站抄底技術條件》、GB9361-88《計算站場地安全要求》。[2]其次，做好設備安全，做好防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護等。最后，要做好針對重要網路設備和服務器的冗余備份。

從物理和邏輯兩方面建立隔離平臺，不僅要對內外網間的數據做好過濾和隔離，對內網內的數據也要根據權限做好過濾和隔離措施。

建立嚴謹完善的網絡拓撲。對內網中的硬件進行嚴格的網段劃分，并配合信任策略表，嚴格控制設備間的信任關系。一個網段必須有足夠的理由才能夠信任另一個網段，這樣網段間的信任關系就很小，一旦出現監聽問題，能確保受災面只存在在小范圍內。

（2）信息安全體系

做好基于角色的安全控制，基本思路是：在系統中根據工作應用的需要為不同的崗位創建對應的角色，將角色與權限聯系起來，對用戶的職務和責任指派相應的角色，用戶通過角色所匹配的權限，實現對系統的訪問。通過加密算法和數字簽名算法對用戶的身份驗證進行加密，用戶在登錄門戶時需做好相應的身份驗證，驗證通過后才能訪問系統。這種方法可以有效地簡化權限管理，同時還可以支持最小授權原則。

做好網絡安全審計。作為識別和防止網絡攻擊行為、追查網絡泄密行為的一種重要措施，網絡安全審計主要包括采用網絡監控與入侵檢測系統，識別網絡中與各個主體相關的違規操作與攻擊行為，做到即時響應并阻斷；還有對數據信息內容的審計，可有效防止內部機密或敏感信息泄漏。[3]

做好網絡重點資源監控、網絡設備使用監控、內網網絡信息采集及分析，對內部發起的攻擊進行報警及阻斷，并做好基于終端的集中式訪問控制管理。

根據系統的安全需求，對系統有選擇地實行不同的備份機制。依據系統設置和數據的重要程度，備份機制主要分為：實時、高速、大容量的自動數據存儲、備份和恢復；定期的數據存儲、備份和恢復；對系統設備的備份。

（3）安全制度體系

加強網絡安全教育，提高網絡安全意識。

首先，必須要在思想上對網絡安全十分重視。自機構領導至普通員工，都必須對網絡安全的重要性有足夠清晰、全面的認識，充分了解潛在的網絡安全隱患所能帶來的后果。要定期或不定期地、有針對性地開展信息安全教育，提高網絡安全意識，并適當地用典型案例進行教育，使其充分認識到網絡安全的重要性。

其次，不斷提高管理人員的專業素養。網絡安全管理需要大量對信息化知識精通、掌握網絡管理技能的復合型人才。因此，在聘用相關人才管理網絡的同時，還需要定期對管理人員進行網絡安全管理方面的技能培訓，提高網絡安全防護能力，做好網絡安全管理的技術儲備。

加強網絡安全管理，健全網絡管理制度

七分管理，三分技術。管理是機構網絡安全的核心，技術是安全管理的保證，安全管理是安全體系的核心，必須始終貫穿整個安全體系。網絡安全技術與完整的規章制度、行為準則相結合，網絡安全管理才能落地，網絡安全才能有最大的保障。作為機構，應制定機房管理制度、各類人員職責分工、安全保密規定、口令管理制度、網絡安全指南、用戶上網使用手冊、系統操作規范、應急響應預案、安全防護記錄等一整套的制度來保證網絡安全、可靠地運作。

5 結語

內部網絡安全在實現辦公自動化的企業中占據著尤為重要的地位。本文對辦公網絡安全和內網安全隱患進行了簡要的闡述，并對內網安全體系的建設進行了較為詳細的論述。隨著信息化在各行各業的進一步推廣和深入，機構內部網絡的安全體系建設也要跟據技術的發展進行動態的調整和更新。

[1]《打造電子辦公安全環境》；周琪娟；《中國石化》；2011年04期

[2]《共青團中央機關辦公局域網安全體系的構建》；盧炎生；李文革；《計算機安全》；2002-08-25

[3]《關注網絡安全》；傅莉；《信息網絡》；2003-03-25