论文部分内容阅读
随着企业信息化技术的不断完善，信息系统已经成为中小企业必不可少的基础设施与技术支持环境。而信息系统的安全可靠运行，对于企业来说更是越发重要。当信息系统投入运行后，一旦发生系统崩溃或数据泄密，对企业所造成的损失将是难以估量的。因此，构建一个完整的、安全的企业内部信息环境，为公司的商业数据，打造一个绿色的家园，也日渐成为SMB用户的IT愿望。
目前，企业信息系统的开发一般采用Client/Server和Browser/Server两种体系结构。无论哪种体系结构，要确保信息系统的安全，需要做好三方面的规划或设计。一是针对实际安全需求做好应用平台的选择、硬件和网络设备的合理配置。二是数据库管理员要针对所选用数据库的特点制定相应的安全策略。三是编程设计人员在具体编程过程中根据实际需求控制好用户的权限。
1 硬件平台
硬件平台是中小企业信息系统生存的平台，一个稳定和安全的硬件平台是整个信息系统正常发挥作用的物质基础。一般来说包括以下三个方面：
1、服务器的选购
信息系统服务器是中小企业信息系统的核心，服务器的速度、稳定性、安全性是中小企业信息系统能否正常运行的关键。考虑到性价比，目前国内许多中小企业选择PC服务器。考虑到机器整体性能和售后服务，购买PC服务器时一般可以考虑惠普、戴尔和浪潮、曙光、华硕等服务器品牌。并重点考察“双机热备”性能，即一台服务器出现故障，另一台服务器迅速接管，以确保信息系统不间断运转。
2、局域网的设计
构建一个安全稳定的局域网，是中小企业信息系统赖以生存的物质平台。典型的中小企业信息系统局域网应该具有较高的灵活性和整体性，既要考虑当前企业信息系统的整体建设，又要注重其规模和信息系统扩大后网络的扩充能力。在进行规划设计时，重点规划以下五项指标。
(1)主干带宽指标
局域网主干的带宽尽量选1000Mbps，且至少要有100Mbps交换到桌面上。
(2)支持VLAN
局域网支持虚网划分技术(VLAN)，这样便于以后根据需要对网段进行分级授权管理。建议局域网采用以交换机为中心、路由器为边界的网络格局，并基于中心交换机的访问控制功能和三层交换功能，综合应用物理分段与逻辑分段两种方法，来实现对局域网的安全控制，其目的就是将非法用户与敏感的网络资源相互隔离，从而防止可能的非法侦听，这是一项重要的措施。
目前的VLAN技术主要有三种：基于交换机端口的VLAN、基于节点MAC地址的VLAN和基于应用协议的VLAN。基于交换机端口的VLAN虽然稍欠灵活，但却比较成熟，在实际中应用较多，且效果显著。
我们可以将中心的所有主机系统集中到一个VLAN里，在这个VLAN里不允许任何用户节点，从而较好地保护敏感的主机资源。然后按机构或部门的设置来划分VLAN。各部门内部的所有服务器和用户节点都在各自的VLAN内，互不侵扰。VLAN内部的连接采用交换方式通讯，而VLAN与VLAN之间的连接则由路由实现。
(3)以交换机代替集线器(Hub)
或许由于一些原因，我们看到有很多老企业仍在使用早期的共享式集线器进行用户接人。这样，当用户与主机进行数据通信时，两台机器之间的数据包还是会被同一台集线器上的其他用户所侦听。如一种危险的情况是：用户TELNET到一台主机上，由于TELNET程序本身缺加密功能，用户所键入的每一个字符(包括用户名、密码、关键配置等重要信息)，都将被明文发送，这就是一个很大的安全隐患。
因此，强烈建议以交换机代替共享式集线器，使单播包仅在两个节点之间传送，从而防止非法侦听。
(4)强化Server端的安全措施
在c／S结构中，C端的重要性是显而易见的。虽然C／S系统的安全已比较成熟，然而这种安全体系中还有其潜在问题，尤其是在一个复杂系统中，由于存在着大量的数据库实体及拥有不同操作权限的用户，存在多个用户对数据库实体的操作可以是增、删、改、查的任意组合。因此，即使用角色或工作组的方式为其授权，也会显得相当复杂，甚至存在着严重的安全漏洞。
(5)关键节点应有冗余的网络设备
3、硬件平台的整合
(1)企业网出口统一威胁管理
在企业网出口的位置，利用SGS建立出DMZ区域，放入一些对应的服务器，如WEB服务器、邮件服务器等。为了避免企业网出口的单点故障，可以部署两台或多台SGS设备的集群环境。该架构可以同时承担负载均衡和高可用性责任。除了在企业网出口部署统一威胁管理方案，还可以在企业内部的网段之间部署。
(2)企业网内部安全攻击监控和防御
结合企业网的网络环境，可以针对企业网主要核心交换机部署赛门铁克网络安全设备，根据企业网交换机带宽的实际利用率，在每台SNS设备上应用的授权带宽可从50MB到2GB。SNS可以监控整个企业网络的通信信息，不需要另外安装任何代理程序，对网络结构的影响也几乎没有。对于SNS的网络监控模式，可以采用IPS／IDS部署模式。SNS IPS模式可以支持多个in-line pair(内嵌式)，同时支持报警和拦截模式。
SNS直接串接在网络上，发现恶意攻击、非法请求，立即拦截。如果使
2 软件平台
1、信息系统软件的安全性下来备查；三是在数据库中对关键数据加密。
2、操作系统的安全性
中小企业信息系统可用的操作系统比较多，服务器端可用Unix、Linux等，客户端可用Win 98、Win 2k、Win XP。对不同的操作系统有不同的安全性要求，总的来说有以下几点：操作系统应设置相应的用户权限、登录口令、目录权限和文件属性；操作系统应经常打补丁来修补漏洞。
3、数据库的安全性
中小企业信息系统对其所用数据库的安全性有以下要求：实行“双机热备”，实现一台服务器出故障，另一台服务器迅速接管；每天进行几次磁带机数据库的备份；对数据库服务软件如SQL server数据库服务器、Oracle数据库服务器，不断打补丁，修补安全漏洞。
4、对病毒和非法攻击的防范
对中小企业信息系统的病毒和非法攻击的防范，主要在两个方面：一是针对非法攻击，可以考虑不断升级硬件防火墙上运行的软件，或者是购买了硬件防火墙后再购买软件防火墙；二是针对病毒，可以购买网络杀毒软件，经常监控，并不断升级病毒库及杀毒引擎。
此外，还有数据库的安全策略、信息化制度管理建设等等问题，也都是企业安全环境的重要保障。
总之，要想给企业打造一个真正绿色舒心的商用信息平台，并非简单地一个防火墙、一个杀毒软件就能够真正解决的。它实际是一个有机的安全体系，从基础设施的构建，到管理人员的实施手段，再到每个用户的安防意识等等。企业用户必须把安全防护意识提高到整个企业信息化战略的层面，才能真正净化你的企业计算环境，给你一个安心的绿色IT家园。
目前，企业信息系统的开发一般采用Client/Server和Browser/Server两种体系结构。无论哪种体系结构，要确保信息系统的安全，需要做好三方面的规划或设计。一是针对实际安全需求做好应用平台的选择、硬件和网络设备的合理配置。二是数据库管理员要针对所选用数据库的特点制定相应的安全策略。三是编程设计人员在具体编程过程中根据实际需求控制好用户的权限。
1 硬件平台
硬件平台是中小企业信息系统生存的平台，一个稳定和安全的硬件平台是整个信息系统正常发挥作用的物质基础。一般来说包括以下三个方面：
1、服务器的选购
信息系统服务器是中小企业信息系统的核心，服务器的速度、稳定性、安全性是中小企业信息系统能否正常运行的关键。考虑到性价比，目前国内许多中小企业选择PC服务器。考虑到机器整体性能和售后服务，购买PC服务器时一般可以考虑惠普、戴尔和浪潮、曙光、华硕等服务器品牌。并重点考察“双机热备”性能，即一台服务器出现故障，另一台服务器迅速接管，以确保信息系统不间断运转。
2、局域网的设计
构建一个安全稳定的局域网，是中小企业信息系统赖以生存的物质平台。典型的中小企业信息系统局域网应该具有较高的灵活性和整体性，既要考虑当前企业信息系统的整体建设，又要注重其规模和信息系统扩大后网络的扩充能力。在进行规划设计时，重点规划以下五项指标。
(1)主干带宽指标
局域网主干的带宽尽量选1000Mbps，且至少要有100Mbps交换到桌面上。
(2)支持VLAN
局域网支持虚网划分技术(VLAN)，这样便于以后根据需要对网段进行分级授权管理。建议局域网采用以交换机为中心、路由器为边界的网络格局，并基于中心交换机的访问控制功能和三层交换功能，综合应用物理分段与逻辑分段两种方法，来实现对局域网的安全控制，其目的就是将非法用户与敏感的网络资源相互隔离，从而防止可能的非法侦听，这是一项重要的措施。
目前的VLAN技术主要有三种：基于交换机端口的VLAN、基于节点MAC地址的VLAN和基于应用协议的VLAN。基于交换机端口的VLAN虽然稍欠灵活，但却比较成熟，在实际中应用较多，且效果显著。
我们可以将中心的所有主机系统集中到一个VLAN里，在这个VLAN里不允许任何用户节点，从而较好地保护敏感的主机资源。然后按机构或部门的设置来划分VLAN。各部门内部的所有服务器和用户节点都在各自的VLAN内，互不侵扰。VLAN内部的连接采用交换方式通讯，而VLAN与VLAN之间的连接则由路由实现。
(3)以交换机代替集线器(Hub)
或许由于一些原因，我们看到有很多老企业仍在使用早期的共享式集线器进行用户接人。这样，当用户与主机进行数据通信时，两台机器之间的数据包还是会被同一台集线器上的其他用户所侦听。如一种危险的情况是：用户TELNET到一台主机上，由于TELNET程序本身缺加密功能，用户所键入的每一个字符(包括用户名、密码、关键配置等重要信息)，都将被明文发送，这就是一个很大的安全隐患。
因此，强烈建议以交换机代替共享式集线器，使单播包仅在两个节点之间传送，从而防止非法侦听。
(4)强化Server端的安全措施
在c／S结构中，C端的重要性是显而易见的。虽然C／S系统的安全已比较成熟，然而这种安全体系中还有其潜在问题，尤其是在一个复杂系统中，由于存在着大量的数据库实体及拥有不同操作权限的用户，存在多个用户对数据库实体的操作可以是增、删、改、查的任意组合。因此，即使用角色或工作组的方式为其授权，也会显得相当复杂，甚至存在着严重的安全漏洞。
(5)关键节点应有冗余的网络设备
3、硬件平台的整合
(1)企业网出口统一威胁管理
在企业网出口的位置，利用SGS建立出DMZ区域，放入一些对应的服务器，如WEB服务器、邮件服务器等。为了避免企业网出口的单点故障，可以部署两台或多台SGS设备的集群环境。该架构可以同时承担负载均衡和高可用性责任。除了在企业网出口部署统一威胁管理方案，还可以在企业内部的网段之间部署。
(2)企业网内部安全攻击监控和防御
结合企业网的网络环境，可以针对企业网主要核心交换机部署赛门铁克网络安全设备，根据企业网交换机带宽的实际利用率，在每台SNS设备上应用的授权带宽可从50MB到2GB。SNS可以监控整个企业网络的通信信息，不需要另外安装任何代理程序，对网络结构的影响也几乎没有。对于SNS的网络监控模式，可以采用IPS／IDS部署模式。SNS IPS模式可以支持多个in-line pair(内嵌式)，同时支持报警和拦截模式。
SNS直接串接在网络上，发现恶意攻击、非法请求，立即拦截。如果使
2 软件平台
1、信息系统软件的安全性下来备查；三是在数据库中对关键数据加密。
2、操作系统的安全性
中小企业信息系统可用的操作系统比较多，服务器端可用Unix、Linux等，客户端可用Win 98、Win 2k、Win XP。对不同的操作系统有不同的安全性要求，总的来说有以下几点：操作系统应设置相应的用户权限、登录口令、目录权限和文件属性；操作系统应经常打补丁来修补漏洞。
3、数据库的安全性
中小企业信息系统对其所用数据库的安全性有以下要求：实行“双机热备”，实现一台服务器出故障，另一台服务器迅速接管；每天进行几次磁带机数据库的备份；对数据库服务软件如SQL server数据库服务器、Oracle数据库服务器，不断打补丁，修补安全漏洞。
4、对病毒和非法攻击的防范
对中小企业信息系统的病毒和非法攻击的防范，主要在两个方面：一是针对非法攻击，可以考虑不断升级硬件防火墙上运行的软件，或者是购买了硬件防火墙后再购买软件防火墙；二是针对病毒，可以购买网络杀毒软件，经常监控，并不断升级病毒库及杀毒引擎。
此外，还有数据库的安全策略、信息化制度管理建设等等问题，也都是企业安全环境的重要保障。
总之，要想给企业打造一个真正绿色舒心的商用信息平台，并非简单地一个防火墙、一个杀毒软件就能够真正解决的。它实际是一个有机的安全体系，从基础设施的构建，到管理人员的实施手段，再到每个用户的安防意识等等。企业用户必须把安全防护意识提高到整个企业信息化战略的层面，才能真正净化你的企业计算环境，给你一个安心的绿色IT家园。