论文部分内容阅读
摘要： 随着中小企业信息化进程的推进，大部分企业都搭建起了自己的网络信息平台，同时来自Internet甚至是内网的各种不安全因素每天都在增长，为企业局域网构建坚固的安全防御系统势在必行。该文着手于一般企业网架构，着重论述了构建企业网安全防御体系的方法。
关键词：企业网；网络安全；网络安全体系
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）21-4823-02
网络安全方案的设计是在不影响网络业务的前提下，实现对网络的全面的安全管理，当然要客观地考虑便捷性与安全性的矛盾对立关系的约束。但是，网络安全涉及的面既广泛又深刻，该文基于一般局域网构架，从网络物理安全性、网络结构安全性、系统安全性、应用安全性及管理安全性等五个方面入手，将安全策略、硬件与软件结合起来，讨论构造一个安全的防御系统的方法。
1 网络物理安全性
影响网络物理安全性的主要因素有地震、雷击、电磁辐射、水灾、火灾；设备被盗、线路截获；电源故障、操作失误或错误以及计算机、通信设施犯罪对网络的物理破坏。对此，主要通过以下措施来避免网络的物理风险：加强安全意识，制定健全的安全管理制度；权衡需求、风险、代价的平衡关系，建造防震机房，安装接地装置；综合考虑可能构成电磁辐射、水灾、火灾的各种因素，对相应的基础设施进行详细设计、精心选材等；健全系统备份、恢复机制；加强对网络机房及基础设施的监控与管理。
2 网络结构安全性
企业网按访问区域可以分为三个区域，即内部网络、外部网络及公开服务区（向外发布企业信息、提供Email服务等）。这三个区域用防火墙进行隔离，保护的重点是内部网络，公开服务区时企业信息发布的平台，一旦不能运行或者受到攻击，对企业的声誉影响巨大，同时公开服务器本身要为外界提供服务，必须开放相应的端口，但是必须警惕公开服务器成为黑客入侵内部网络的跳板，所以尽量关闭不必要的端口。外部网络直接连接Internet，是来自Internet的黑客攻击、病毒、非法访问入侵内网的必经之地。为了避免来自Internet的黑客攻击，在防火墙与内网交换机之间串联一个入侵防御系统（IPS），同时与防火墙并联一个入侵检测系统（IDS）；为了避免非法访问，可以利用防火墙的访问控制技术，来限制来自Internet的非法访问，必要时可以安装AAA服务器，对用户进行身份验证、授权、审计等。同时启动防火墙的NAT功能来隐藏内部网络结构，病毒的预防在下文讨论。
内部网络可以根据各区域的职能、安全等级利用交换机的VLAN技术进行子网划分，如财务子网、领导子网及数据中心子网等属于重要网段，是被保护的对象，所以在中心交换机上将这些网段各自划分为一个独立的广播域。为了避免来自内网的攻击，也可以用防火墙来隔离重要的网段，必要时可以在重要网段部署入侵防御系统（IPS）、入侵检测系统（IDS）进行实时监控、跟踪、预警、分析、捕获攻击行为。
3 系统安全性
系统安全性主要指操作系统、应用系统及硬件系统的安全性，对中国来说，恐怕没有绝对安全的操作系统可以选择，无论是Microsoft的Windows还算其他任何商用的Unix操作系统，其开发厂商必然有其Back-door，即使我们自己开发操作系统，其漏洞也是在所难免的。所以没有完全安全的操作系统。但是我们可以对现有操作系统进行周密的配置，严格限制操作和访问权限，以提高系统安全性。关键业务尽量采用安全性高的操作系统。针对操作系统的漏洞，可以在网络中部署一台操作系统自动更新服务器，以及早弥补系统中的漏洞，同时安装网络版病毒防御软件，使全网的所有主机都处于最新版的病毒防御系统的保护下。在网络的关键部位部署入侵监测系统和入侵防御系统以提供实时监测、监控、报告、预警及捕获各种攻击的功能。
在应用系统的二次开发过程中，要充分利用身份验证、授权、审计等机制对机密数据库服务器、应用服务器等重要服务器进行保护。
网络中的服务器和网络设备尽可能不采用同一家厂的设备，这样既可以避免通过Back-Door的攻击，又增加了黑客攻击的难度。
4 应用安全性
应用安全性涉及到网络数据、信息的安全存储、安全访问和安全传输。对重要数据的访问，实行身份认证、授权、审计，使访问者通过身份认证后在其权限允许的范围内进行最小限度的访问，同时跟踪访问轨迹，审计访问行为，对非法行为进行取证，基本能够阻止非法用户的访问。可是，当整个系统遭到灾难性破坏时，同时殃及备份数据。另一种方式是冷备份，将备份数据存储到另一个系统或存储介质中，此时，备份数据可存放在远离系统的地方，非常有利于灾难性恢复，但投资较昂贵。
数据在传输过程中可能被非法截获，从而破坏信息的机密性，完整性。为了保证数据传输的安全性，我们可以借助VPN技术，这样即使数据被截获，但由于数据是加密的，保证了数据的机密性，同时所传输的数据附有哈希消息认证码，可以保证数据的完整性，这种技术又具有身份认证及数字签名功能，保证了消息不会是假冒的，同时也是不可抵赖的。根据具体情况可以采用接入VPN（Access Vpn）、内部网VPN（Intranet VPN）和外部网VPN（Extranet VPN）。
5 管理安全性
安全管理策略包括定义完善的、合理的、长远的、可实施的安全管理规范和高效、可靠的安全管理技术平台。这两个方面必须齐抓共建、有机整合才能保证管理安全性。
5.1 安全管理规范
必须花大气力建立网络安全管理规范，因为诸多不安全因素恰恰反映在组织管理和人员录用等方面，而这又是计算机网络安全所必须考虑的基本问题。
5.1.1安全管理原则
网络信息系统的安全管理主要基于三个原则：① 多人负责原则。每一项与安全有关的活动，都必须有两人以上参加，他们忠实可靠、能胜任工作，应记录、签署工作情况以证明相应安全得到保障。具体工作有：访问控制权限的授予与回收；所使用存储介质发放与回收；保密信息的处理；系统的维护；重要程序和数据的删除与销毁等。②任期有限原则。制定切实可行的任期有限制度，对工作人员进行操流培训，不要任命任何人长期担任与安全有关的职务，应不定期循环任职，强制实行休假制度。③职责分离原则。除非领导批准，信息系统工作的任何人员不要打听、参与职责以为的任何与安全有关的事情，为了安全，计算机操作与计算机编程要分开，机密资料的接受与传送要分开，应用程序与系统程序的编制要分开，访问证件的管理与其它工作要分开，计算机操作与存储媒体的管理要分开等。 5.1.2 安全管理规范的实施
首先严格遵照安全管理规范，认真完成下面工作：根据工作的实际需要，把该系统的安全等级确认一下；其次根据我们以前确认好的安全等级，来更好的确认其安全的可控管理范围；再次机房出入管理制度要制定好，实行分区管理，彻底限制好工作人员的工作区域；第三要根据每个人的职责逐个分离和每个人负责的原则，不准有任何人超越各自的管理范围；第五要对系统进行维护管理时，要经各个主管部门的批准，并采取一定的有力保护手段，同时对发生故障原因、维护内容及维护前后的状态进行详细记录；第六要制定应急方案，以不变应万变，以防不测；第七要健全人员雇佣和解聘制度，对调动和离职人员及时调整访问权限。
5.2 安全管理技术平台
建立能够对整个网络设备（包括服务器、客户端）、安全设备、网络防病毒软件、系统升级软件、入侵检测、预防系统等各个网络系统部件进行综合管理的统一安全管理控制中心，按计划定期对全网进行安全扫描，漏洞分析，并及时采取相应的措施；对资源访问进行身份认证、权限设置、轨迹跟踪、行为审计，如遇到异常行为系统能够自动报警或生成事件消息并及时报告管理员或其他访问控制设备，及时阻止对网络的威胁，如果攻击已经发生，要及时取证，并妥善保存；对与密钥相关的服务器，要设置合理的密钥生命周期、进行及时的密钥备份等；对关键的服务器应冗余备份，以增加网络的安全系数。
安全管理应从网络管理制定和安全管理技术平台两个方面来实现，二者相辅相成，缺一不可。
6 结束语
按以上论述设计局域网安全方案基本能够满足一般企业局域网的安全要求，个别企业根据自身特殊需求可能提出一些特殊的安全要求，如：安全E-MAIL服务，安全WEB服务，安全电子交易（SET）等，但我们讨论的是局域网的基本安全构架，并不影响用户的特殊安全需求，用户可以在此基础上构筑符合自身网络安全需求的合理的安全体系。
参考文献：
[1] 万振凯，苏华，韩青.网络安全与维护[M].北京：清华大学出版社，2004.
[2] 中软.中软统一终端安全管理系统技术白皮书[M].中国软件与技术服务股份有限公司，2006.
[3] 赵洪彪.信息安全策略[M].北京：清华大学出版社，2004.
[4] 蒋东兴，郭大勇，符群卫.清华大学新一代数字校园建设规划与实践[J].厦门大学学报：自然科学版，2007.
[5] 查贵庭.校园网安全威胁及安全系统构建[J].计算机应用研究，2005.
[6] 殷伟.计算机安全与病毒防治[M].合肥：安徽科技出版社，2004.
关键词：企业网；网络安全；网络安全体系
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）21-4823-02
网络安全方案的设计是在不影响网络业务的前提下，实现对网络的全面的安全管理，当然要客观地考虑便捷性与安全性的矛盾对立关系的约束。但是，网络安全涉及的面既广泛又深刻，该文基于一般局域网构架，从网络物理安全性、网络结构安全性、系统安全性、应用安全性及管理安全性等五个方面入手，将安全策略、硬件与软件结合起来，讨论构造一个安全的防御系统的方法。
1 网络物理安全性
影响网络物理安全性的主要因素有地震、雷击、电磁辐射、水灾、火灾；设备被盗、线路截获；电源故障、操作失误或错误以及计算机、通信设施犯罪对网络的物理破坏。对此，主要通过以下措施来避免网络的物理风险：加强安全意识，制定健全的安全管理制度；权衡需求、风险、代价的平衡关系，建造防震机房，安装接地装置；综合考虑可能构成电磁辐射、水灾、火灾的各种因素，对相应的基础设施进行详细设计、精心选材等；健全系统备份、恢复机制；加强对网络机房及基础设施的监控与管理。
2 网络结构安全性
企业网按访问区域可以分为三个区域，即内部网络、外部网络及公开服务区（向外发布企业信息、提供Email服务等）。这三个区域用防火墙进行隔离，保护的重点是内部网络，公开服务区时企业信息发布的平台，一旦不能运行或者受到攻击，对企业的声誉影响巨大，同时公开服务器本身要为外界提供服务，必须开放相应的端口，但是必须警惕公开服务器成为黑客入侵内部网络的跳板，所以尽量关闭不必要的端口。外部网络直接连接Internet，是来自Internet的黑客攻击、病毒、非法访问入侵内网的必经之地。为了避免来自Internet的黑客攻击，在防火墙与内网交换机之间串联一个入侵防御系统（IPS），同时与防火墙并联一个入侵检测系统（IDS）；为了避免非法访问，可以利用防火墙的访问控制技术，来限制来自Internet的非法访问，必要时可以安装AAA服务器，对用户进行身份验证、授权、审计等。同时启动防火墙的NAT功能来隐藏内部网络结构，病毒的预防在下文讨论。
内部网络可以根据各区域的职能、安全等级利用交换机的VLAN技术进行子网划分，如财务子网、领导子网及数据中心子网等属于重要网段，是被保护的对象，所以在中心交换机上将这些网段各自划分为一个独立的广播域。为了避免来自内网的攻击，也可以用防火墙来隔离重要的网段，必要时可以在重要网段部署入侵防御系统（IPS）、入侵检测系统（IDS）进行实时监控、跟踪、预警、分析、捕获攻击行为。
3 系统安全性
系统安全性主要指操作系统、应用系统及硬件系统的安全性，对中国来说，恐怕没有绝对安全的操作系统可以选择，无论是Microsoft的Windows还算其他任何商用的Unix操作系统，其开发厂商必然有其Back-door，即使我们自己开发操作系统，其漏洞也是在所难免的。所以没有完全安全的操作系统。但是我们可以对现有操作系统进行周密的配置，严格限制操作和访问权限，以提高系统安全性。关键业务尽量采用安全性高的操作系统。针对操作系统的漏洞，可以在网络中部署一台操作系统自动更新服务器，以及早弥补系统中的漏洞，同时安装网络版病毒防御软件，使全网的所有主机都处于最新版的病毒防御系统的保护下。在网络的关键部位部署入侵监测系统和入侵防御系统以提供实时监测、监控、报告、预警及捕获各种攻击的功能。
在应用系统的二次开发过程中，要充分利用身份验证、授权、审计等机制对机密数据库服务器、应用服务器等重要服务器进行保护。
网络中的服务器和网络设备尽可能不采用同一家厂的设备，这样既可以避免通过Back-Door的攻击，又增加了黑客攻击的难度。
4 应用安全性
应用安全性涉及到网络数据、信息的安全存储、安全访问和安全传输。对重要数据的访问，实行身份认证、授权、审计，使访问者通过身份认证后在其权限允许的范围内进行最小限度的访问，同时跟踪访问轨迹，审计访问行为，对非法行为进行取证，基本能够阻止非法用户的访问。可是，当整个系统遭到灾难性破坏时，同时殃及备份数据。另一种方式是冷备份，将备份数据存储到另一个系统或存储介质中，此时，备份数据可存放在远离系统的地方，非常有利于灾难性恢复，但投资较昂贵。
数据在传输过程中可能被非法截获，从而破坏信息的机密性，完整性。为了保证数据传输的安全性，我们可以借助VPN技术，这样即使数据被截获，但由于数据是加密的，保证了数据的机密性，同时所传输的数据附有哈希消息认证码，可以保证数据的完整性，这种技术又具有身份认证及数字签名功能，保证了消息不会是假冒的，同时也是不可抵赖的。根据具体情况可以采用接入VPN（Access Vpn）、内部网VPN（Intranet VPN）和外部网VPN（Extranet VPN）。
5 管理安全性
安全管理策略包括定义完善的、合理的、长远的、可实施的安全管理规范和高效、可靠的安全管理技术平台。这两个方面必须齐抓共建、有机整合才能保证管理安全性。
5.1 安全管理规范
必须花大气力建立网络安全管理规范，因为诸多不安全因素恰恰反映在组织管理和人员录用等方面，而这又是计算机网络安全所必须考虑的基本问题。
5.1.1安全管理原则
网络信息系统的安全管理主要基于三个原则：① 多人负责原则。每一项与安全有关的活动，都必须有两人以上参加，他们忠实可靠、能胜任工作，应记录、签署工作情况以证明相应安全得到保障。具体工作有：访问控制权限的授予与回收；所使用存储介质发放与回收；保密信息的处理；系统的维护；重要程序和数据的删除与销毁等。②任期有限原则。制定切实可行的任期有限制度，对工作人员进行操流培训，不要任命任何人长期担任与安全有关的职务，应不定期循环任职，强制实行休假制度。③职责分离原则。除非领导批准，信息系统工作的任何人员不要打听、参与职责以为的任何与安全有关的事情，为了安全，计算机操作与计算机编程要分开，机密资料的接受与传送要分开，应用程序与系统程序的编制要分开，访问证件的管理与其它工作要分开，计算机操作与存储媒体的管理要分开等。 5.1.2 安全管理规范的实施
首先严格遵照安全管理规范，认真完成下面工作：根据工作的实际需要，把该系统的安全等级确认一下；其次根据我们以前确认好的安全等级，来更好的确认其安全的可控管理范围；再次机房出入管理制度要制定好，实行分区管理，彻底限制好工作人员的工作区域；第三要根据每个人的职责逐个分离和每个人负责的原则，不准有任何人超越各自的管理范围；第五要对系统进行维护管理时，要经各个主管部门的批准，并采取一定的有力保护手段，同时对发生故障原因、维护内容及维护前后的状态进行详细记录；第六要制定应急方案，以不变应万变，以防不测；第七要健全人员雇佣和解聘制度，对调动和离职人员及时调整访问权限。
5.2 安全管理技术平台
建立能够对整个网络设备（包括服务器、客户端）、安全设备、网络防病毒软件、系统升级软件、入侵检测、预防系统等各个网络系统部件进行综合管理的统一安全管理控制中心，按计划定期对全网进行安全扫描，漏洞分析，并及时采取相应的措施；对资源访问进行身份认证、权限设置、轨迹跟踪、行为审计，如遇到异常行为系统能够自动报警或生成事件消息并及时报告管理员或其他访问控制设备，及时阻止对网络的威胁，如果攻击已经发生，要及时取证，并妥善保存；对与密钥相关的服务器，要设置合理的密钥生命周期、进行及时的密钥备份等；对关键的服务器应冗余备份，以增加网络的安全系数。
安全管理应从网络管理制定和安全管理技术平台两个方面来实现，二者相辅相成，缺一不可。
6 结束语
按以上论述设计局域网安全方案基本能够满足一般企业局域网的安全要求，个别企业根据自身特殊需求可能提出一些特殊的安全要求，如：安全E-MAIL服务，安全WEB服务，安全电子交易（SET）等，但我们讨论的是局域网的基本安全构架，并不影响用户的特殊安全需求，用户可以在此基础上构筑符合自身网络安全需求的合理的安全体系。
参考文献：
[1] 万振凯，苏华，韩青.网络安全与维护[M].北京：清华大学出版社，2004.
[2] 中软.中软统一终端安全管理系统技术白皮书[M].中国软件与技术服务股份有限公司，2006.
[3] 赵洪彪.信息安全策略[M].北京：清华大学出版社，2004.
[4] 蒋东兴，郭大勇，符群卫.清华大学新一代数字校园建设规划与实践[J].厦门大学学报：自然科学版，2007.
[5] 查贵庭.校园网安全威胁及安全系统构建[J].计算机应用研究，2005.
[6] 殷伟.计算机安全与病毒防治[M].合肥：安徽科技出版社，2004.