如何在現(xiàn)代企業(yè)內(nèi)部構(gòu)建安全信息化網(wǎng)絡(luò)

楊瑤姬

中南空管局氣象中心 廣東 510405

0 前言

現(xiàn)代社會是飛速發(fā)展的信息化社會，如何打造一個安全的信息化網(wǎng)絡(luò)就顯得至關(guān)重要，無論大小企業(yè)都面臨著如何構(gòu)建安全的信息化網(wǎng)絡(luò)的難題。下面我們首先對信息化網(wǎng)絡(luò)中的幾大大安全因素進(jìn)行簡要分析。

1 信息化網(wǎng)絡(luò)安全性分析

1.1 網(wǎng)絡(luò)管理

網(wǎng)絡(luò)是互連的計(jì)算機(jī)系統(tǒng)和設(shè)備的集合，允許個人共享資源，比如計(jì)算機(jī)程序和信息。因?yàn)槊舾械某绦蚝托畔⒁彩峭ㄟ^網(wǎng)絡(luò)存儲或傳輸?shù)?，因此有效地保證網(wǎng)絡(luò)安全對保護(hù)計(jì)算機(jī)資源和數(shù)據(jù)免受未經(jīng)授權(quán)的訪問，操縱，和使用是必不可少的。如果不安全地配置網(wǎng)絡(luò)服務(wù)和設(shè)備，會使一個系統(tǒng)極容易受到內(nèi)部或外部威脅，如：

(1) 在一些網(wǎng)絡(luò)系統(tǒng)中沒有適當(dāng)?shù)叵拗七M(jìn)入系統(tǒng)管理的權(quán)利，以及不必要的服務(wù)；

(2) 應(yīng)用軟件本身的一些弱點(diǎn)或者功能上的缺陷，可能導(dǎo)致未經(jīng)授權(quán)的訪問或服務(wù)中斷；

(3) 雖然實(shí)施了隔離網(wǎng)絡(luò)流量的控制，在應(yīng)用和基礎(chǔ)設(shè)施系統(tǒng)中仍然有可能發(fā)生外部攻擊者繞過網(wǎng)絡(luò)控制，來達(dá)到對內(nèi)部網(wǎng)絡(luò)的非法訪問；

(4) 對穿越內(nèi)部網(wǎng)絡(luò)的某些重要設(shè)置敏感信息沒有進(jìn)行加密，反而使用明文傳輸從而導(dǎo)致這些信息很容易被竊聽；

1.2 補(bǔ)丁管理

絕大部分的網(wǎng)絡(luò)攻擊都是基于操作系統(tǒng)或應(yīng)用程序的漏洞進(jìn)行的。當(dāng)系統(tǒng)發(fā)現(xiàn)漏洞時，攻擊者可能利用他們，從而造成重大損害。這些惡意的行為可能包括利用網(wǎng)站漏洞控制整個系統(tǒng)，從而能夠閱讀，修改，刪除敏感信息；毀壞系統(tǒng)；破壞操作；或發(fā)動針對其他系統(tǒng)的攻擊。如果我們能夠根據(jù)具體的應(yīng)用環(huán)境，及時發(fā)現(xiàn)這些漏洞并采取適當(dāng)?shù)奶幚泶胧┻M(jìn)行修補(bǔ)，就可以有效地阻止入侵、蠕蟲等事件的發(fā)生。隨著操作系統(tǒng)和各種應(yīng)用軟件復(fù)雜化的增加，其內(nèi)部存在的安全隱患也越來越多。一旦這些安全隱患被公布，系統(tǒng)和軟件提供商就將推出更新補(bǔ)丁，以彌補(bǔ)安全隱患。這些補(bǔ)丁和軟件更新程序的及時安裝，是保障系統(tǒng)安全性的必要措施。

但是隨著信息化建設(shè)步伐的加強(qiáng)，網(wǎng)絡(luò)覆蓋范圍越來越大，網(wǎng)絡(luò)上運(yùn)行的服務(wù)器、客戶端也越來越多。這種情況下，補(bǔ)丁管理成為對信息化網(wǎng)絡(luò)的一個非常關(guān)鍵的過程，一個好的補(bǔ)丁管理流程可以幫助減輕許多來自系統(tǒng)安全性反面的挑戰(zhàn)，確保電腦系統(tǒng)的安全。

1.3 用戶賬號和密碼

一個計(jì)算機(jī)系統(tǒng)必須能夠識別和區(qū)分用戶，這樣計(jì)算機(jī)系統(tǒng)上的活動才能與特定的個人相對應(yīng)。當(dāng)一個用戶被分配到惟一的一個特定賬戶時，系統(tǒng)就能把該用戶與其他用戶區(qū)別開來，這一過程被稱為識別。該系統(tǒng)還必須通過一些認(rèn)證手段，來識別用戶身份的正確性，比如密碼，因?yàn)槊艽a通常只有本人知道。身份識別和認(rèn)證手段相結(jié)合，比如說用戶賬戶和密碼，提供了建立個人問責(zé)制和訪問控制系統(tǒng)的基礎(chǔ)。相應(yīng)地，可以通過：

(1) 建立密碼參數(shù)，如一些加密的位數(shù)，類型，和頻率，用戶根據(jù)這些參數(shù)來改變他們的密碼，從而增強(qiáng)用來識別用戶身份的密碼強(qiáng)度：

(2) 利用密碼進(jìn)行加密來防止他們未經(jīng)授權(quán)的個人信息的泄露；

(3) 應(yīng)用程序來控制用戶賬戶的使用。

來充分控制用戶賬戶和密碼，確保只有經(jīng)過授權(quán)的用戶才能訪問系統(tǒng)。

1.4 用戶權(quán)限和文件權(quán)限

“最小特權(quán)”是一個確保計(jì)算機(jī)系統(tǒng)和數(shù)據(jù)安全的基本原則。這意味著只有那些履行自己職責(zé)的用戶才能被授予訪問權(quán)限和權(quán)利。每個用戶只能擁有剛夠完成工作的最小權(quán)限?！坝脩魴?quán)利”是能分配給用戶或用戶組的權(quán)利。文件和目錄權(quán)限是與特定的文件或者目錄綁定在一起的規(guī)則以及用戶能夠訪問他們和訪問程度的規(guī)范。為了避免用戶無意中不必要的訪問敏感文件和目錄，任何組織都必須認(rèn)真考慮其權(quán)利的轉(zhuǎn)讓和許可。一個安全的信息化網(wǎng)絡(luò)應(yīng)該考慮只授予用戶能夠執(zhí)行工作職責(zé)所需的最低水平的特權(quán)。

2 構(gòu)造安全的信息化網(wǎng)絡(luò)

2.1 充分利用網(wǎng)絡(luò)設(shè)備提高信息化網(wǎng)絡(luò)的安全性

就信息化網(wǎng)絡(luò)而言，因?yàn)楝F(xiàn)代企業(yè)大部分選擇從物理上對生產(chǎn)網(wǎng)和互聯(lián)網(wǎng)進(jìn)行了分離，因此很大程度上阻止了外界對內(nèi)部網(wǎng)絡(luò)的非法訪問。但是依然存在內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的接入點(diǎn)。如果不能安全地配置這些接入點(diǎn)，將增大敏感信息的泄露和系統(tǒng)被非法修改的風(fēng)險，甚至引起服務(wù)的中斷。

在某種程度上，通過安裝和配置這些接入點(diǎn)的網(wǎng)絡(luò)設(shè)備，允許授權(quán)的網(wǎng)絡(luò)服務(wù)請求，拒絕未經(jīng)授權(quán)的請求，和限制某些不必要的服務(wù)和端口，是可以達(dá)到提高整個網(wǎng)絡(luò)安全性能的目的。用來確保網(wǎng)絡(luò)安全的設(shè)備包括：

(1) 防火墻，強(qiáng)化安全策略，有效地記錄Internet上的活動，防止影響一個網(wǎng)段的問題通過整個網(wǎng)絡(luò)傳播，使可疑的訪問被拒絕于門外；

(2) 路由器，訪問控制列表，控制和過濾通過路由器的不同接口去往不同方向的信息點(diǎn)；

(3) 交換機(jī)，基于交換機(jī)端口劃分VLAN，可以有效限制不同工作組間的用戶二層互訪。

2.2 建立完善的補(bǔ)丁管理流程

在建立補(bǔ)丁管理流程之前，首先需要針對網(wǎng)絡(luò)環(huán)境現(xiàn)狀進(jìn)行分析，也就是分析系統(tǒng)環(huán)境，網(wǎng)絡(luò)環(huán)境，信息系統(tǒng)重要等級等，以便下一步有針對性地跟蹤系統(tǒng)所需要的補(bǔ)丁和要采取的措施。企業(yè)內(nèi)部同時擁有多個系統(tǒng)，每個系統(tǒng)的重要性等級不同，操作系統(tǒng)及版本號也不同，我們需要在前期對這些系統(tǒng)數(shù)據(jù)進(jìn)行收集，然后根據(jù)收集的數(shù)據(jù)制定相應(yīng)的補(bǔ)丁安裝計(jì)劃。

表1 系統(tǒng)信息收集表

2.3 利用分層的密碼管理實(shí)現(xiàn)用戶區(qū)分

分層密碼管理是指自上而下，系統(tǒng)的重要性越高，用戶的權(quán)限越大，密碼就越少人知道。信息化網(wǎng)絡(luò)的其中一個特點(diǎn)就是，這個網(wǎng)絡(luò)在同時為許多企業(yè)用戶服務(wù)，同時也有許多技術(shù)人員在對這個網(wǎng)絡(luò)進(jìn)行維護(hù)。這種情形就需要利用不用的賬戶和密碼來區(qū)分不同的用戶。不同的用戶使用不同的賬戶和密碼來登錄同一個系統(tǒng)，用戶能夠使用的功能由用戶的角色來決定。這樣就將維護(hù)人員和使用人員區(qū)分開來，大大降低了維護(hù)難度，從安全性上來講，只有專業(yè)的技術(shù)人員才能對系統(tǒng)進(jìn)行增加或限制服務(wù)，刪除或安裝程序，極大地保證了系統(tǒng)的可靠性和安全性。

2.4 對用戶權(quán)限和文件權(quán)限實(shí)行“最小特權(quán)原則”

最小特權(quán)原則要求每個用戶和程序在操作時應(yīng)當(dāng)使用盡可能少的特權(quán)，而角色允許主體以參與某特定工作所需要的最小特權(quán)去簽入(Sign)系統(tǒng)。被授權(quán)擁有強(qiáng)力角色(Powerful Roles)的主體，不需要動輒運(yùn)用到其所有的特權(quán)，只有在那些特權(quán)有實(shí)際需求時，主體才去運(yùn)用它們。如此一來，將可減少由于不注意的錯誤或是侵入者假裝合法主體所造成的損壞發(fā)生，限制了事故、錯誤或攻擊帶來的危害。它還減少了特權(quán)程序之間潛在的相互作用，從而使對特權(quán)無意的、沒必要的或不適當(dāng)?shù)氖褂貌惶赡馨l(fā)生。這種想法還可以引伸到程序內(nèi)部：只有程序中需要那些特權(quán)的最小部分才擁有特權(quán)。

在現(xiàn)代信息化網(wǎng)絡(luò)中貫徹“最小特權(quán)原則”有利于防止，當(dāng)入侵者取得系統(tǒng)管理員權(quán)限后欲訪問一個高安全級別的文件，則很有可能被拒絕。因?yàn)橛脩?包括系統(tǒng)管理員)在登錄后默認(rèn)的安全級別是最低的，他無法訪問高級別的文件，而安全級別的調(diào)整只有通過安全管理員才能完成。因此，安全管理員只要對敏感文件配置了合理的安全標(biāo)記，系統(tǒng)管理員就無法訪問這些文件。由此可知，安全管理員對系統(tǒng)管理員的權(quán)限進(jìn)行了有力的限制。

3 結(jié)束語

本文從應(yīng)用的角度出發(fā)，從網(wǎng)絡(luò)設(shè)備，補(bǔ)丁管理，密碼管理，用戶權(quán)限和文件權(quán)限管理四個方面闡述了如何增強(qiáng)信息化網(wǎng)絡(luò)的安全性。構(gòu)建安全的信息化網(wǎng)絡(luò)是一個長期并艱巨的過程，只要我們根據(jù)網(wǎng)絡(luò)環(huán)境具體分析，制定了相應(yīng)的安全方案，就一定能夠逐步實(shí)現(xiàn)。

[1] INFORMATION SECURITY Progress Made, but Federal Aviation Administration Needs to Improve Controls over Air Traffic Control Systems.

[2] 張琳,黃仙姣.淺談網(wǎng)絡(luò)安全技術(shù)[J].電腦知識與技術(shù).2010.

[3] 盧云燕.網(wǎng)絡(luò)安全及其防范措施[J].科技情報開發(fā)與經(jīng)濟(jì).2011.