企業(yè)信息化網(wǎng)絡(luò)中存在的安全隱患及防治對(duì)策

馬晉明

摘要：概述了企業(yè)信息化網(wǎng)絡(luò)所面對(duì)的威脅和原因。對(duì)企業(yè)的網(wǎng)絡(luò)安全進(jìn)行全面分析，提出了企業(yè)的網(wǎng)絡(luò)安全體系，并以技術(shù)手段和管理方式為基礎(chǔ)，構(gòu)建企業(yè)的網(wǎng)絡(luò)安全體系。

關(guān)鍵詞：企業(yè)網(wǎng)絡(luò)；網(wǎng)絡(luò)安全；安全體系

前言

由于計(jì)算機(jī)與通信技術(shù)的快速發(fā)展，人們的工作方式以及生活方式都因?yàn)榫W(wǎng)絡(luò)而逐步的發(fā)生改變。網(wǎng)絡(luò)的共享性、開(kāi)放性以及互聯(lián)性程度逐漸擴(kuò)大，對(duì)社會(huì)的影響也日益增大，網(wǎng)絡(luò)也成為企業(yè)發(fā)展的主題。隨著企業(yè)的信息化、辦公的全球化以及網(wǎng)絡(luò)貿(mào)易等業(yè)務(wù)的出現(xiàn)，網(wǎng)絡(luò)安全也變得日益重要。為了保證企業(yè)網(wǎng)絡(luò)自身的安全性，必須采取有效的手段面對(duì)網(wǎng)絡(luò)中的各種威脅[1]。

1 企業(yè)網(wǎng)絡(luò)的威脅及其風(fēng)險(xiǎn)管理

企業(yè)網(wǎng)絡(luò)的信息是自由傳輸?shù)?，盡管有各種各樣的方式威脅著企業(yè)網(wǎng)絡(luò)的安全，但終究都是由于信息的泄露以及信息資源的破壞。所以應(yīng)從下列幾點(diǎn)解決對(duì)企業(yè)網(wǎng)絡(luò)構(gòu)成的威脅，并根據(jù)這些威脅所導(dǎo)致的企業(yè)風(fēng)險(xiǎn)進(jìn)行有效管理。首先，企業(yè)一定要確定哪些關(guān)鍵的內(nèi)容或資產(chǎn)需要被保護(hù)。明確什么設(shè)備需要被保護(hù)，針對(duì)設(shè)備可以提供什么樣的訪問(wèn)和怎么協(xié)調(diào)這樣的工作。其次，評(píng)估需要進(jìn)行網(wǎng)絡(luò)安全保護(hù)的資源和財(cái)產(chǎn)。最后，分析所有對(duì)企業(yè)網(wǎng)絡(luò)安全的可能威脅，并評(píng)估每個(gè)威脅的可能攻擊性。威脅是指可能對(duì)網(wǎng)絡(luò)和其中信息資源造成損失，它可以是偶然的，也可以是刻意的。威脅有很多方式，一般可以簡(jiǎn)單歸納為以下三種基本的類型：

1 未經(jīng)授權(quán)的訪問(wèn)。指未經(jīng)過(guò)授權(quán)的人員卻可以訪問(wèn)網(wǎng)絡(luò)資產(chǎn)，而且也存在對(duì)網(wǎng)絡(luò)資產(chǎn)進(jìn)行篡改的可能。

2 假冒。指由于偽造的憑證假冒其他人進(jìn)行活動(dòng)。

3 拒絕服務(wù)。指服務(wù)中斷。

2 企業(yè)信息化的網(wǎng)絡(luò)安全策略體系[2]

網(wǎng)絡(luò)的安全策略是對(duì)網(wǎng)絡(luò)的安全進(jìn)行管理指導(dǎo)與支持。企業(yè)應(yīng)該為網(wǎng)絡(luò)安全制定一套安全方針，而且在內(nèi)部發(fā)布網(wǎng)絡(luò)的安全策略以及身份證明，從而為網(wǎng)絡(luò)安全提供支持和認(rèn)證。

2.1 安全策略的文檔結(jié)構(gòu)

a) 最高方針。是安全策略的主文檔，屬于綱領(lǐng)性的。陳述安全策略的適用范圍、支持目標(biāo)、對(duì)網(wǎng)絡(luò)安全管理的意圖、目的以及其它指導(dǎo)原則，網(wǎng)絡(luò)安全各個(gè)方面所應(yīng)遵守的原則方法和指導(dǎo)性策略。

b) 技術(shù)的規(guī)范與標(biāo)準(zhǔn)。其內(nèi)容包含：各個(gè)主機(jī)的操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備以及主要應(yīng)用程序等應(yīng)該遵守的管理技術(shù)的標(biāo)準(zhǔn)、安全配置以及規(guī)范。

c) 管理的制度與規(guī)定.其中包含各種管理辦法、管理規(guī)定或是暫行規(guī)定。從最高方針中引出一些具體的管理規(guī)定、實(shí)施辦法以及管理辦法。得到的規(guī)定或辦法不但可操作，還能有效的推廣及實(shí)行,是由最高方針引申而來(lái)，對(duì)用戶協(xié)議具有規(guī)范作用。而用戶協(xié)議對(duì)其不能違背。

d) 組織機(jī)構(gòu)以及人員的職責(zé)。負(fù)責(zé)安全管理的組織機(jī)構(gòu)以及人員職責(zé)，包含負(fù)責(zé)安全管理的機(jī)構(gòu)的組織形式以及運(yùn)作方式，還有機(jī)構(gòu)與人員的具體責(zé)任或是連帶責(zé)任。是機(jī)構(gòu)及員工工作時(shí)的依照標(biāo)準(zhǔn)。具有可操作性，需得到有效推廣及實(shí)行。

e) 用戶的協(xié)議。與用戶所簽署的文檔及協(xié)議，包含安全管理的網(wǎng)絡(luò)、人員以及系統(tǒng)管理員的保密協(xié)議、安全使用承諾、安全責(zé)任書(shū)等等。作為用戶及員工在日常工作中承諾遵守規(guī)定，并在違反安全規(guī)定時(shí)的處罰依據(jù)[3]。

2.2 建立策略體系

目前，大部分企業(yè)都缺少完整的策略體系。也沒(méi)有使其成為可操作的、成文的、正式的策略以及規(guī)定來(lái)體現(xiàn)出機(jī)關(guān)或是企業(yè)高層對(duì)于網(wǎng)絡(luò)安全性的重視。企業(yè)應(yīng)該建立好網(wǎng)絡(luò)安全的策略體系，制定出安全策略的系列文檔。

建議企業(yè)按照上文描述的安全策略的文檔結(jié)構(gòu)進(jìn)行文檔體系的建立。企業(yè)的安全策略的編制原則是一個(gè)一體式的企業(yè)安全的策略體系，其內(nèi)容可以覆蓋到企業(yè)中的全部人員、部門、網(wǎng)絡(luò)、地點(diǎn)以及分支機(jī)構(gòu)。目前，由于企業(yè)中機(jī)構(gòu)間的網(wǎng)絡(luò)現(xiàn)狀與業(yè)務(wù)情況的差別較大，所以在基本的策略體系和框架下，可以讓各個(gè)機(jī)構(gòu)以自身情況為基礎(chǔ)，對(duì)策略和體系中的組織、用戶協(xié)議、操作流程、管理制度以及人員的職責(zé)逐步地細(xì)化。但細(xì)化后的策略所要求的安全程度不允許下降。

2.3 策略的發(fā)布與執(zhí)行

企業(yè)網(wǎng)絡(luò)安全的策略系列文檔在制定完成后，必須得到發(fā)布以及有效執(zhí)行。發(fā)布與執(zhí)行的過(guò)程除了需要得到高層領(lǐng)導(dǎo)的支持與推動(dòng)外，而且還要有可行的、合適的發(fā)布以及正確的推動(dòng)手段。同時(shí)在策略發(fā)布與執(zhí)行前，還需要對(duì)每個(gè)員工進(jìn)行相關(guān)的培訓(xùn)，以確保每個(gè)員工都掌握與內(nèi)容中其相關(guān)的部分。而且還要明白這是一個(gè)艱苦的、長(zhǎng)期的工作，需要經(jīng)過(guò)艱苦努力。況且由于牽涉到企業(yè)內(nèi)眾多部門與大部分員工，工作的方式與流程可能還需要改變，所以其推行難度相當(dāng)大；同時(shí)，安全策略的本身還可能存在這樣那樣的缺陷，例如太過(guò)復(fù)雜及繁瑣、不切實(shí)際以及規(guī)定有所缺欠等，都會(huì)影響到整體策略的落實(shí)[4]。

3 企業(yè)信息化網(wǎng)絡(luò)安全技術(shù)的總體方案

3.1 引入防火墻系統(tǒng)[5]

通過(guò)引入防火墻系統(tǒng)，可以利用防火墻功能中的“訪問(wèn)控制+邊界隔離”，從而實(shí)現(xiàn)控制企業(yè)網(wǎng)進(jìn)出的訪問(wèn)。尤其是對(duì)一些內(nèi)部服務(wù)器進(jìn)行資源訪問(wèn)的，可以重點(diǎn)進(jìn)行監(jiān)控，以提高企業(yè)網(wǎng)絡(luò)層面的安全。防火墻的子系統(tǒng)還能夠與入侵檢測(cè)的子系統(tǒng)聯(lián)動(dòng)，當(dāng)入侵檢測(cè)的系統(tǒng)對(duì)數(shù)據(jù)包進(jìn)行檢測(cè)，發(fā)現(xiàn)異常并告知防火墻時(shí)，防火墻可以生成相應(yīng)的安全策略，并將訪問(wèn)源拒絕于防火墻之外。

3.2 引入網(wǎng)絡(luò)防病毒的子系統(tǒng)

防病毒的子系統(tǒng)是用來(lái)對(duì)網(wǎng)絡(luò)病毒進(jìn)行實(shí)時(shí)查殺的，從而保證企業(yè)免遭病毒的危害。企業(yè)需要在內(nèi)部部署郵件級(jí)、服務(wù)器級(jí)、個(gè)人主機(jī)級(jí)和網(wǎng)關(guān)級(jí)的病毒防護(hù)。在整體范圍內(nèi)提高系統(tǒng)的防御能力，提高企業(yè)網(wǎng)絡(luò)層面安全性。

3.3 引入漏洞掃描的子系統(tǒng)

漏洞掃描的子系統(tǒng)可以定期分析安全隱患，并在其萌牙狀態(tài)時(shí)就把安全隱患消滅。由于企業(yè)網(wǎng)絡(luò)中包含眾多類型的數(shù)據(jù)庫(kù)系統(tǒng)和操作系統(tǒng)，還運(yùn)行著人力資源系統(tǒng)、產(chǎn)品管理系統(tǒng)、客戶的信息系統(tǒng)、財(cái)務(wù)系統(tǒng)等諸多重要系統(tǒng)，如何確保眾多信息的安全以及各類系統(tǒng)的穩(wěn)定應(yīng)用，便成為需要高度關(guān)注的重點(diǎn)。對(duì)漏洞掃描的子系統(tǒng)進(jìn)行定期掃描，并在定期掃描后提交漏洞和弱點(diǎn)分析報(bào)告，可使企業(yè)網(wǎng)的整體系統(tǒng)的安全性得以提高。

3.4 引入數(shù)據(jù)加密的子系統(tǒng)

對(duì)企業(yè)網(wǎng)重要的數(shù)據(jù)進(jìn)行加密，以確保數(shù)據(jù)以密文的形式在網(wǎng)絡(luò)中被傳遞。能夠有效防范竊取企業(yè)重要的數(shù)據(jù)，可以使企業(yè)網(wǎng)絡(luò)的整體安全性得以提高。

4 結(jié)語(yǔ)

通過(guò)以上對(duì)企業(yè)網(wǎng)絡(luò)的安全和隱患進(jìn)行的著重分析，提出了保護(hù)企業(yè)信息安全的解決方法。由于網(wǎng)絡(luò)技術(shù)的快速發(fā)展和應(yīng)用的廣泛，所以對(duì)于企業(yè)網(wǎng)絡(luò)安全的建設(shè)，需要遵循一個(gè)穩(wěn)定的體系框架，同時(shí)還要不斷更新技術(shù)。這樣才能有效地降低企業(yè)網(wǎng)絡(luò)安全隱患的系數(shù)，進(jìn)一步保證企業(yè)信息化在網(wǎng)絡(luò)時(shí)代能夠更安全、更健康的發(fā)展。

參考文獻(xiàn)

[1] 顧晟. 企業(yè)信息化網(wǎng)絡(luò)的安全隱患及解決策略[J].計(jì)算機(jī)時(shí)代，2010，3：19~22.

[2]丁國(guó)華，丁國(guó)強(qiáng). 企業(yè)網(wǎng)絡(luò)安全體系研究[J].福建電腦，2007，2：66~67.

[3]陸耀賓. 企業(yè)網(wǎng)絡(luò)安全體系結(jié)構(gòu)[J].電子工程師，2004，4：55~56.

[4]于國(guó)華，于國(guó)強(qiáng). 網(wǎng)絡(luò)安全研究[J].科技情報(bào)開(kāi)發(fā)與經(jīng)濟(jì)，2006，16(7)：241.

[5]王靜燕，高偉. 企業(yè)網(wǎng)絡(luò)安全系統(tǒng)的設(shè)計(jì)[J].科技信息，2009，17.