計算機網絡信息系統安全管理策略

劉 賀

計算機網絡技術可以保證數據信息在網絡間共享，但數據信息在傳輸過程中容易被截獲，由此所造成的信息泄密、數據破壞等事件層出不窮，因此信息系統的安全保密是急需解決的問題。對網絡信息系統的安全性管理，不僅僅要注意對信息系統外部的防范安全，還需要注意信息系統的內部安全，因為很多網絡信息系統安全事件從根本上都是由系統內部引起的。

1 信息安全管理概述

信息安全的本質作用是防止數據傳輸過程中產生的數據泄漏、信息更改、破壞等問題，以為服務對象提供完整、正確的信息服務[1]。除了信息涉及的數據發送方和接收方外，其他任何實體，無論是網絡信息系統內部還是系統外部人員，都要保證數據信息對其不透明、保密、不可獲取性，不僅要防止未知的安全攻擊，還要同時提供可靠的安全性服務。系統信息安全管理是協調組織計算機安全體系的重要角色，可以理解成一種控制系統性的關于信息安全風險的相互協調的活動。傳統的系統安全管理大多關注采取合適的安全技術，選擇恰當的安全產品，因此雖然很多組織機構使用了大量的防火墻、入侵檢測以及掃描等設備，但由于沒有制定一套行之有效的安全管理策略，致使網絡系統安全仍然存在一定隱患。實際上網絡信息系統的安全管理還包括制定完備的安全管理策略，并按照既定的安全策略及流程規范，進行網絡信息系統安全性的審查控制。也就是說，網絡信息系統安全本質上并不僅僅是技術過程，還是一整套復雜的管理過程。

2 安全管理體系

計算機網絡信息系統安全不僅僅是技術上的問題，更重要的是管理；正如“三分技術、七分管理”所形容的那樣，管理策略中網絡信息系統安全的作用尤為重要。網絡信息系統安全管理中的相關制度包括：人員和設備的安全管理，系統、數據庫及網絡的安全管理，應用及操作的安全管理，文檔和數據的安全管理等[3]。人員管理包括對涉及人員的密級審查、技術能力考核等，要保證一線技術人員能力達標，同時要定期進行考核；對涉密人員，需要簽訂保密協議；當關鍵崗位人員離職時，嚴格辦理離職手續，并更換相應系統的口令。操作管理的目的是管理開發、維護、使用網絡信息系統及訪問網絡數據信息的各種行為；明確可行操作及禁止操作，高危操作要進行授權，具體操作時要有操作人員及復核人員。各類人員要按照分工行事，不能進行超越自己權限的操作；系統審計人員有權利對一線操作人員的相關操作進行監督。

對于計算機網絡信息系統涉及的設施，要根據國家相關標準進行安全等級劃分。信息系統機房要配備防火、防水、防靜電等功能，并滿足一定的技術標準。不論是網絡系統內部人員還是外部人員，訪問信息系統都要有相應的限制和規定并進行登記，以便后續審核。對于主機、存儲、網絡及供電設備等，無論是設備的采購，還是維修、使用等，都需要專門的管理，以免設備在無人監督的情況下被安裝惡意軟件；對于網絡設備及安全設備等關鍵產品，必須要經過有關部門的安全檢測認證；網絡設備必須按照規定的用途使用，并定期對設備進行性能評審。計算機網絡信息系統所采用的操作系統、數據庫、中間件以及其他工具、程序軟件等，都需要經過安全部門的審核，在確定其滿足信息系統的安全規范時，才可以進入生產系統使用；生產系統中要嚴格進行生產環境和系統用戶的有效管理，實行有效的系統安全訪問控制。信息系統各崗位在操作時，要記錄完整的操作日志；要對系統內部關鍵數據進行定期備份，并確保備份介質的安全可用。

網絡信息系統投入使用的前提是要保證有必要的安全措施，如果條件不具備，網絡不可正式投入使用；未經相關領導同意，不可隨便更改網絡拓撲、網絡配置及參數等；在網絡系統安全管理時，需要首先考慮存儲加密、傳輸加密以及數字簽名驗證等安全測試；生產系統網絡與辦公網絡之間的連通性要通過網絡隔離技術，而且隔離設備要關閉所有非業務生產所需要的端口；應用軟件的開發人員要經過安全審查，且開發環境要完全與生產環境隔離；為生產系統開發使用的相關軟件要進行專項測試及鑒定；相關的設計文檔、技術資料等要設置相應的保密級別；生產系統數據要進行定期備份。

3 技術防范體系

除了安全管理體系外，技術防范體系在計算機網絡信息系統安全管理中也起著重要的作用。加強對計算機安全技術的研究，從技術防范能力上提高計算機網絡信息系統的安全性，具體而言可以從以下方面考慮：

3.1 身份鑒別和驗證機制

計算機信息系統要能夠在網絡通信層、操作系統層以及應用層對用戶及其他實體進行驗證。網絡通信層選擇帶有身份認證及接入控制的路由器等網絡設備，這些設備可以采用口令驗證協議進行身份認證，同時進行接入控制；對于系統層的系統用戶和應用用戶，系統用戶采用口令方式進行密鑰的加密傳輸，應用用戶利用公開密鑰體制進行數字簽名認證。

3.2 訪問控制

訪問控制的目的是保證計算機信息系統內的資源不被非法訪問及使用，這是維護計算機信息系統安全的重要方式，一般被認為是保證信息系統安全的核心機制之一。訪問控制有對網絡服務和服務器系統的訪問控制兩種，其任務是控制哪些用戶具有訪問信息系統資源的權利及用戶訪問資源時的權限等。訪問控制對要訪問信息資源的主體和客體都設置安全屬性，從而對主體和客體的訪問權限進行控制。對網絡服務進行訪問控制時，可以通過在生產系統網絡和與其連接的辦公系統網絡之間建立防火墻并添加訪問控制列表的方式來實現；防火墻的規則是借助源IP地址、目的IP地址以及服務端口來實現訪問控制。對服務器的訪問一般從底層操作系統、應用系統以及數據庫系統進行控制，操作系統上利用系統本身提供的存取控制機制及用戶權限進行控制；應用系統層為每個用戶設置不同的操作權限；數據庫系統對用戶訪問數據庫進行授權。

3.3 加密機制

原始數據在網絡信息系統中傳輸時是未加密的，為防止未加密的數據被截取后很容易地解析，可以對數據進行加密，以此進行加密傳輸、數據完整性驗證或防抵賴驗證。為簡化系統配置、降低成本，一般選取集成的安全保密設備，不僅可以為網絡系統中的服務器提供加密服務，而且可以為應用系統提供數字簽名機制；另外，加密設備一般還能提供單向散列函數，實現對數據完整性的驗證。當把端到端加密方式和鏈路加密方式結合起來時，可以提供數據加密的強度，增加惡意入侵者破解數據的難度。每當客戶機開機時，數據傳輸過程中的加密機制自動向安全服務器申請傳輸密鑰，此密鑰隨機產生并存放在共享內存中，而且不同客戶機/服務器對之間的傳輸密鑰是不同的，有效保障了數據的安全性。

3.4 操作系統底層安全控制

操作系統本身也可以進行安全控制，從賬戶、文件及目錄、網絡服務、審計等方面都能夠實現。對賬戶進行識別和認證時是借助注冊標識和口令進行的，加密的口令存儲在/etc/passwd文件中，用戶設置口令時強制其設置具有足夠強度的口令；指定口令存活期限，限制用戶登錄失敗次數等都是口令機制的內容。系統中的每個文件和目錄都設置了其屬主和屬組及其他用戶的權限，為限制訪問文件和目錄，系統管理員需要正確對文件和目錄的權限進行賦值。為加強信息系統的安全性，除了必須保留的服務之外，其他服務都應該關閉；另外，還需要合理配置系統日志和審計功能，加強對系統的審計和監控。

傳統的計算機網絡信息系統安全管理策略大多以技術方法為主，忽視了安全管理體系在信息系統安全中的作用。本文以信息安全管理為基礎，介紹了計算機網絡信息系統安全管理策略中的安全管理體系和技術防范體系，克服了傳統計算機網絡信息系統安全管理策略固有的缺陷。

[1]劉廣良.建設銀行計算機網絡信息系統安全管理策略研究[D].長沙:湖南大學,2011.

[2]常華斌.電信企業信息安全管理策略[D].北京:北京交通大學,2009.

[3]向波.某涉密企業內網安全管理策略的研究[D].成都:電子科技大學,2010.