中小企業網絡安全問題和策略研究

趙向梅，杜曉春，侯亞玲

(西安歐亞學院信息工程學院，西安陜西，710065)

0 引言

2011年的CSDN泄密事件直接拉開了我國互聯網史上最嚴重的網絡安全事件的序幕，波及范圍不斷擴大，網絡安全再一次震憾進入人們視野。

在當今企業中，信息化已經遍布企業工作、生活的角角落落，信息安全對企業的發展至關重要。同時企業核心的數據關系到民生、國家安全等各個方面。目前，中小型企業在我國占據多數，但是由于有限的資金預算，基本上中小型企業只注重有直接利益回報的投資項目。并且從企業的管理、技術設備或是對員工的安全意識培養，都缺乏一定的重視，企業經營者對于安全問題經常會抱有僥幸的心理。因此，企業網絡安全普遍處于不容樂觀的狀況，而且由信息安全問題導致企業損失的案例數不勝數，有不斷蔓延的趨勢，中下企業網絡安全問題亟待整治、處理。

1 企業網絡系統安全要求

按照網絡OSI的七層模型，在整個七層模型中皆有網絡安全貫穿其中，表1-1所展示的就是網絡系統的安全模型。

該表發映出部分信息內容，其中鏈路安全主要負責通過網絡鏈路傳送的數據不被竊聽；防止物理通路的損壞主要由物理層負責，同時防止對物理通路的干擾等；網絡層主要在安全路由，保證網絡路由正確，避免被攔截或監聽；應用平臺是建立在網絡系統上的應用軟件服務，比如電子郵件服務，通常情況下應用平臺的安全性主要采用多種技術來增強；為了保證基本安全，一般地應用系統會使用應用平臺提供的安全父類，其中包括通訊內容安全，審計等手段。

2 中小企業網絡安全分析

網絡安全主要分為兩大部分，其中也是從這兩部分進行安全管理處理的，一種是外網安全，一種是內網安全。企業外網主要的功能在于使得企業快速獲得信息，為了獲得資源、訂單等，需要為各種問題提供不同的解決方案。而此類信息離不開網絡，需要借助網絡進行上傳或是獲取，在這一過程中極有可能被網絡中的黑客或是病毒等進行惡意的利用。因此，網絡安全中最先要處理的內容便是外網安全。

企業內網主要指的是建立在企業內部的溝通、交流的平臺，用于規避網絡中的病毒。然而內網的使用或者架設不當也有可能造成企業損失。企業內網不設防的缺陷或者企業員工安全意識淡薄等，都會被黑客利用，從而導致企業信息失竊。

表1-1 網絡安全體系層次模型

由于企業領導人對企業網絡安全問題認識不足，因此當下企業所面臨的相關的安全隱患問題主要是缺乏一些保護企業內部信息的軟件和設備，資金投入不足所致。

3 目前中小企業網絡安全問題與威脅

以下將深入分析目前中小企業網絡安全存在問題與威脅。

3.1 網絡安全管理及員工安全意識

目前中小企業中，一些員工在網絡安全方面意識淡薄，相應地有關網絡安全的知識貫徹以及培訓企業員工尚未得到良好的普及、鍛煉；此外，員工對資源共享的使用方式，共享與企業有關的資源時警惕性不高，未設置訪問控制權限。而未設置訪問控制權限。或者在網絡上下載相關信息時沒有經過相應安全檢測，導致企業資源被侵入或者將病毒帶至企業內網。電子郵件是企業常用的溝通方式，也是破壞中小企業網絡安全最常見的一種方式。因為企業內部員工可以直接發送或是接收郵件，網絡連接各個員工用戶，所以企業員工大多數都放松警惕，對于郵件中文件沒有進行可靠性驗證，從而讓病毒侵襲。

3.2 技術保障問題

一般情況下，被攻擊的對象往往是計算機操作系統，尤其是服務器。若是黑客攻擊了計算機操作系統，機器本身不僅會遇到問題，而且還會造成正常用戶無法使用，形成損失，慎重造成系統癱瘓。在企業內部使用互聯網，如果沒有進行有效的IP保護，會導致黑客入侵企業服務器，從而盜取相應信息資料。

目前，我們習慣使用的防火墻技術往往會忽視對企業內部的防護，主要的是對外部采取保護。防火墻容易被利用企業內部計算機對企業局域網進行攻擊，這就是防火墻防護企業內部網絡呈現出的極大的局限性。

4 企業網絡安全策略

基于以上企業網絡安全問題分析，對企業網絡安全應有一個全面規劃，圖4-1是一個完整的網絡安全架構模型。

圖4-1 企業網絡安全模型

基于以上模型，中小企業提升企業網絡安全可以選擇從企業管理和各種技術方案的實施來進行，具體內容如下：

4.1 重視網絡安全管理

首先企業領導人需要正確認識企業網絡安全問題，投入合理的資金加強網絡安全管理，并及時更新、生計原有的網絡操作系統；篩選合適的管理人員專門負責企業的網絡安全，對網絡操作權限進行設置，根據權限等級限制企業網絡操作行為。就企業內部工作人員而言，需要加強對他們的網絡安全管理培訓，提高員工網絡安全意識及網絡安全技能，避免員工認為因素造成的網絡危害。

企業可以對內部用戶桌面進行管理和監控，桌面安全系統把電子簽章、安全登錄和文件加密應用等集成起來，形成一個整體，解決網絡客戶端安全防護。電子簽章系統采用組件技術嵌入office系統，用戶可以在編輯文檔后對文檔進行簽章；安全登錄系統并提供個人信息進行身份驗證， 能夠順利登錄計算機和網絡的是被指定智能密碼鑰匙的人，當用戶沒有將智能密碼鑰匙拔出時，計算機可進行鎖定；此外，采用國家密碼管理機構指定安全算法或是國際標準安全算法進行文件加密系統，從而確保了數據的安全存儲。

4.2 加強企業網絡入侵防范

實行企業內外網隔離，對企業內網與外部互聯網連接進行隔離。設置企業網絡防火墻，通過防火墻的認證機制，過濾訪問網絡數據。通過防火墻設置權限，嚴格審核外網用戶的非法登錄，定期檢測和查看防火墻的訪問日志，可以對有攻擊性的網絡訪問行為進行告警。

可以在核心交換機監控端口部署入侵檢測系統，對網絡入侵進行檢測和響應。對于內外網之間傳輸的所有數據，入侵檢測系統會實時進行捕獲，可以有效識別各種網絡攻擊和異常現象，對于嚴重的網絡入侵事件，也可動態調整防火墻的防護策略，從而進行有效防護。

4.3 加強企業網絡安全病毒防護

對企業的網絡操作系統進行完善，病毒查殺軟件進行全方位的安裝，集中管理局域網，對局域網上各個節點采取分布式殺毒形式對其進行監控和查殺。為防御最新病毒滋生，采取自動升級殺毒軟件的方法。同時，對服務器操作系統，使用漏洞掃描和及時修復漏洞，從而增強系統安全性。

4.4 建立企業網絡安全應急預案

通過一定的策略可以保障網絡安全，但是要真正防止中小企業網絡安全問題的發生是不可能的。一個企業網絡安全萬一出現問題，如果企業有一套科學、有效、反應迅速的應急工作機制，就會最大限度的減輕網絡信息安全突發事件的危害。所以，中小企業在進行網絡防護的同時，應根據企業自身實際情況，制訂切實有效的網絡安全應急預案。

5 結語

綜上所述，網絡安全是一項綜合的管理工程，意義重大。中小企業能夠重視并投入足夠資金購買相關軟件和河北，那么便可以最大程度的保障企業資源、信息的安全，從而保證企業發展壯大。企業的網絡安全一旦出現問題，極有可能造成巨大損失，到那時即使再投入大量資金進行彌補也為時已晚。因此，中小企業應未雨綢繆，認清事實、正視事實、立足長遠，重視網絡安全問題，事前準備一套科學應急方案以備不時之需。