對(duì)網(wǎng)絡(luò)內(nèi)部終端安全管理的思考

勞崢卿+++盛庚+++葉凡+++章婕

【摘要】隨著信息化水平的不斷提高，網(wǎng)絡(luò)安全問(wèn)題日益突出。如何建設(shè)維護(hù)一個(gè)穩(wěn)定、安全的內(nèi)部網(wǎng)絡(luò)，已成為稅務(wù)信息安全的重要問(wèn)題。本文從網(wǎng)絡(luò)終端入手，分析了網(wǎng)絡(luò)安全管理中的現(xiàn)狀及存在的問(wèn)題，進(jìn)而提出了解決問(wèn)題的建議和對(duì)策。

【關(guān)鍵詞】終端；安全；管理；對(duì)策

1引言

根據(jù)國(guó)際安全界的統(tǒng)計(jì)，每年全球計(jì)算機(jī)網(wǎng)絡(luò)遭受的攻擊和破壞70%是內(nèi)部人員所為。在稅務(wù)部門(mén)，內(nèi)部終端數(shù)量眾多，同時(shí)還存在與上級(jí)部門(mén)的縱向互聯(lián)，以及與外單位的橫向互聯(lián)。在如此復(fù)雜的應(yīng)用環(huán)境下，任何內(nèi)部人員的誤操作或者故意的非法操作都有可能導(dǎo)致信息資源的泄漏或被破壞。例如使用手提電腦在家上網(wǎng)，從互聯(lián)網(wǎng)上感染病毒，上班后沒(méi)有采取任何措施就接入內(nèi)網(wǎng)，導(dǎo)致病毒在整個(gè)內(nèi)網(wǎng)中傳播，可能會(huì)引起整個(gè)內(nèi)網(wǎng)的癱瘓；由于安全意識(shí)薄弱，沒(méi)有及時(shí)安裝操作系統(tǒng)補(bǔ)丁或者開(kāi)啟不安全端口或服務(wù)，導(dǎo)致黑客入侵，致使系統(tǒng)癱瘓或者信息被竊取。這些安全威脅問(wèn)題對(duì)于稅務(wù)部門(mén)來(lái)說(shuō)都是致命的，而主要側(cè)重于外部攻擊防范的網(wǎng)絡(luò)安全設(shè)備又無(wú)法解決此類(lèi)威脅。因此除了要求建設(shè)高效、便捷的稅務(wù)網(wǎng)絡(luò)外，建設(shè)一個(gè)有效的終端安全管理體系顯得更為重要，其緊密關(guān)系到稅收業(yè)務(wù)能否正常順利進(jìn)行，是稅收信息化建設(shè)的基礎(chǔ)和重要保證。

2網(wǎng)絡(luò)終端安全管理現(xiàn)狀

2.1網(wǎng)絡(luò)與信息安全管理體制尚不完善

目前，稅務(wù)網(wǎng)絡(luò)是一個(gè)與外界物理隔離的專(zhuān)用網(wǎng)絡(luò)。由于尚未在整體上建立成熟的信息安全結(jié)構(gòu)體系，管理上缺乏相應(yīng)的信息安全標(biāo)準(zhǔn)，因此網(wǎng)絡(luò)和信息安全管理基礎(chǔ)還很薄弱，甚至還存在一些漏洞，例如存在“一機(jī)雙網(wǎng)”——既可以連接稅務(wù)內(nèi)網(wǎng)，又可以連接互聯(lián)網(wǎng)，違規(guī)外聯(lián)等情況還時(shí)有發(fā)生。這些現(xiàn)象對(duì)稅務(wù)信息的安全使用與保護(hù)以及病毒傳播等，都留下了潛在的安全隱患，同時(shí)也為來(lái)自?xún)?nèi)部或外部系統(tǒng)的入侵提供了可趁之機(jī)。

此外還缺乏有效的監(jiān)控機(jī)制和管理手段，無(wú)法對(duì)現(xiàn)有終端進(jìn)行實(shí)時(shí)監(jiān)控。在上班時(shí)間時(shí)常有人在網(wǎng)絡(luò)內(nèi)部終端上做一些與工作無(wú)關(guān)的行為，如上網(wǎng)聊天、網(wǎng)絡(luò)游戲，使用下載工具瘋狂下載電影、游戲、軟件等大型文件等。這些行為不但嚴(yán)重影響工作效率，而且經(jīng)常會(huì)在不經(jīng)意間引入大量的病毒、木馬和惡意代碼，還無(wú)謂地消耗了網(wǎng)絡(luò)資源，致使關(guān)鍵業(yè)務(wù)應(yīng)用系統(tǒng)帶寬無(wú)法保證，嚴(yán)重影響內(nèi)部網(wǎng)絡(luò)的正常運(yùn)行。

2.2終端安全防護(hù)和控制手段缺乏

內(nèi)部終端的安全管理尚存許多問(wèn)題。由于對(duì)不安全終端的接入缺少控制，存在安全問(wèn)題的計(jì)算機(jī)能夠隨意接入網(wǎng)絡(luò)，促使各類(lèi)病毒的大面積傳播。終端安裝的防護(hù)軟件其策略設(shè)置不夠科學(xué)，有病毒不報(bào)警，有病毒不查殺，視而不見(jiàn)無(wú)法發(fā)揮其作用。

常見(jiàn)防病毒、防火墻等軟件只能被動(dòng)的防護(hù)已知的病毒和攻擊行為，一旦升級(jí)包沒(méi)有及時(shí)更新時(shí)就會(huì)出現(xiàn)較為嚴(yán)重的安全漏洞，一些未知的病毒將會(huì)有可乘之機(jī)，嚴(yán)重時(shí)導(dǎo)致計(jì)算機(jī)癱瘓甚至無(wú)法啟動(dòng)。終端計(jì)算機(jī)安全防護(hù)手段控制的缺乏，是導(dǎo)致安全問(wèn)題頻發(fā)的主要原因。

2.3數(shù)據(jù)安全尚存隱患

如何消除數(shù)據(jù)安全存在的隱患，確保數(shù)據(jù)的完整性、保密性和可信性，已成為信息化工作的核心內(nèi)容。

雖然目前已采用許多安全措施來(lái)保證數(shù)據(jù)安全，如雙機(jī)熱備、遠(yuǎn)程備份等，但是數(shù)據(jù)安全仍然存在一定的隱患。

一是數(shù)據(jù)保密性和可信性受到的重視不夠，缺乏一套有效的機(jī)制對(duì)數(shù)據(jù)產(chǎn)生、存儲(chǔ)、傳輸、使用和銷(xiāo)毀整個(gè)生命周期進(jìn)行控制、跟蹤和保護(hù)。

二是存在著因軟、硬件故障造成的服務(wù)不可用或者數(shù)據(jù)丟失，以及自然災(zāi)害等物理破壞所帶來(lái)的安全隱患。

三是系統(tǒng)應(yīng)急預(yù)案不完善，缺乏一套業(yè)務(wù)與技術(shù)相對(duì)應(yīng)的完整的應(yīng)急體系，而且應(yīng)急預(yù)案平時(shí)缺少演練，特別是需要多部門(mén)協(xié)同的預(yù)案仍停留在書(shū)面上。

這些問(wèn)題都使數(shù)據(jù)安全存在隱患。

3進(jìn)一步完善稅務(wù)網(wǎng)絡(luò)終端的建議及對(duì)策

3.1使用桌面終端管理系統(tǒng)，實(shí)現(xiàn)可控管理

稅務(wù)部門(mén)內(nèi)網(wǎng)終端較多，而且管理分散，安全策略不統(tǒng)一，缺乏全局防御能力。如何對(duì)內(nèi)網(wǎng)終端進(jìn)行統(tǒng)一認(rèn)證和安全控制，從源頭上防御威脅，將不符合安全要求的終端限制在“隔離區(qū)” 內(nèi)或拒絕其入網(wǎng)，從而保證網(wǎng)絡(luò)和信息安全，已成為終端管理的一個(gè)重要課題。筆者認(rèn)為在目前的安全設(shè)備中，桌面終端管理系統(tǒng)可以有效地解決上述問(wèn)題。

桌面終端管理系統(tǒng)是以數(shù)據(jù)安全為核心的計(jì)算機(jī)終端信息安全管理系統(tǒng)。通過(guò)加強(qiáng)用戶(hù)身份管理、數(shù)據(jù)安全管理、設(shè)備安全管理和綜合安全審計(jì)等手段，對(duì)數(shù)據(jù)的存儲(chǔ)、傳輸和使用整個(gè)生命周期進(jìn)行控制和保護(hù)， 確保數(shù)據(jù)的完整性和保密性， 從而達(dá)到防止敏感信息泄漏。

目前桌面終端管理系統(tǒng)在終端安全管理方面主要有幾個(gè)功能。

3.1.1聯(lián)網(wǎng)控制

為防止非法用戶(hù)通過(guò)非正常途徑獲取網(wǎng)絡(luò)參數(shù)，非法聯(lián)入稅務(wù)內(nèi)網(wǎng)，導(dǎo)致安全事件的發(fā)生，系統(tǒng)可阻斷這部分非法終端的訪問(wèn)。

3.1.2 IP地址和MAC地址綁定

計(jì)算機(jī)使用人擅自修改IP地址，往往會(huì)導(dǎo)致網(wǎng)絡(luò)沖突，影響稅務(wù)內(nèi)網(wǎng)的正常運(yùn)行。系統(tǒng)會(huì)主動(dòng)收集計(jì)算機(jī)終端的IP和MAC地址，通過(guò)管理員審核后，在數(shù)據(jù)庫(kù)中進(jìn)行匹配綁定，從而有效解決IP地址盜用問(wèn)題，并從根本上解決ARP病毒的傳播。

3.1.3殺毒軟件監(jiān)控

在稅務(wù)部門(mén)內(nèi)部終端都必須安裝統(tǒng)一部署的殺毒軟件，便于全網(wǎng)的計(jì)算機(jī)病毒監(jiān)控。通過(guò)信息安全策略部署，系統(tǒng)可以實(shí)時(shí)探測(cè)終端殺毒軟件的安裝和運(yùn)行情況。只有符合安全要求的終端才能正常訪問(wèn)內(nèi)部網(wǎng)絡(luò)資源，否則訪問(wèn)會(huì)受到限制，甚至被阻斷。

3.1.4違規(guī)外聯(lián)監(jiān)控

為保證內(nèi)部數(shù)據(jù)的安全，防止黑客侵入盜取信息等安全事件的發(fā)生，稅務(wù)部門(mén)內(nèi)部終端是絕對(duì)不允許聯(lián)入互聯(lián)網(wǎng)。為了杜絕這部分內(nèi)部終端非法外聯(lián)，系統(tǒng)可通過(guò)違規(guī)外聯(lián)策略，進(jìn)行實(shí)時(shí)探測(cè)。一旦發(fā)生非法外聯(lián)，系統(tǒng)會(huì)發(fā)出報(bào)警信息，并根據(jù)策略響應(yīng)機(jī)制，對(duì)計(jì)算采取關(guān)閉或阻斷網(wǎng)絡(luò)訪問(wèn)等操作。endprint

3.1.5系統(tǒng)補(bǔ)丁分發(fā)

為解決在脫離互聯(lián)網(wǎng)的情況下給網(wǎng)絡(luò)內(nèi)部終端安裝系統(tǒng)補(bǔ)丁的問(wèn)題，系統(tǒng)有一套完善的系統(tǒng)補(bǔ)丁分發(fā)策略。平時(shí)，系統(tǒng)會(huì)自動(dòng)監(jiān)測(cè)內(nèi)部終端的系統(tǒng)補(bǔ)丁安裝情況，并根據(jù)最新系統(tǒng)補(bǔ)丁庫(kù)，自動(dòng)更新系統(tǒng)補(bǔ)丁，有效防止計(jì)算機(jī)病毒利用系統(tǒng)漏洞在網(wǎng)絡(luò)上大規(guī)模傳播。

3.1.6外設(shè)接入嚴(yán)格控制

移動(dòng)存儲(chǔ)等設(shè)備已成為病毒傳播、信息泄露的重災(zāi)區(qū)。對(duì)此，系統(tǒng)可對(duì)這部分設(shè)備進(jìn)行注冊(cè)授權(quán)認(rèn)證，只有注冊(cè)認(rèn)證過(guò)的才可以在內(nèi)部終端上使用，從而有效管理濫用行為。同時(shí)，系統(tǒng)對(duì)移動(dòng)存儲(chǔ)等設(shè)備上傳輸、存儲(chǔ)文件進(jìn)行實(shí)時(shí)監(jiān)控，甚至可以根據(jù)特定的文件類(lèi)型進(jìn)行特殊審計(jì)。

此外，通過(guò)桌面終端策略還可以有效地防止惡意軟件的安裝、監(jiān)控計(jì)算機(jī)設(shè)備硬件資產(chǎn)的變化等情況，有效地保證桌面系統(tǒng)管理安全。

3.2使用IDS技術(shù)，實(shí)時(shí)監(jiān)測(cè)入侵行為

入侵檢測(cè)系統(tǒng)（Intrusion Detection System，IDS）能彌補(bǔ)防火墻等傳統(tǒng)安全設(shè)備的不足，為受保護(hù)的網(wǎng)絡(luò)提供有效的入侵檢測(cè)及采取相應(yīng)的防護(hù)手段。IDS可以對(duì)計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中若干關(guān)鍵點(diǎn)的信息進(jìn)行收集和分析，從中檢測(cè)到網(wǎng)絡(luò)或系統(tǒng)中可能存在的各種非法攻擊、惡意破壞、錯(cuò)誤操作等違反安全策略的行為或跡象，并聯(lián)動(dòng)防火墻等安全設(shè)備進(jìn)行有效防范，擴(kuò)展系統(tǒng)管理員的安全管理能力，提高信息安全基礎(chǔ)結(jié)構(gòu)的完整性。

根據(jù)稅務(wù)部門(mén)網(wǎng)絡(luò)現(xiàn)狀，充分考慮各種可能存在的信息安全風(fēng)險(xiǎn)隱患，建議在網(wǎng)絡(luò)關(guān)鍵部位部署入侵檢測(cè)系統(tǒng)。

一是在提供互聯(lián)網(wǎng)服務(wù)的區(qū)域中部署入侵檢測(cè)系統(tǒng)，實(shí)時(shí)監(jiān)測(cè)來(lái)自互聯(lián)網(wǎng)的入侵行為，對(duì)發(fā)生的入侵行為及時(shí)告警，從而保護(hù)系統(tǒng)安全，提高稅務(wù)部門(mén)對(duì)納稅人的服務(wù)水平。

二是在地稅與橫向數(shù)據(jù)交換的網(wǎng)絡(luò)中部署入侵檢測(cè)系統(tǒng)，實(shí)時(shí)監(jiān)測(cè)來(lái)自橫向部門(mén)的非法訪問(wèn)行為，并利用報(bào)警與防護(hù)系統(tǒng)阻斷非法訪問(wèn)。

三是在地稅內(nèi)部網(wǎng)絡(luò)中部署入侵檢測(cè)系統(tǒng)，實(shí)時(shí)監(jiān)測(cè)內(nèi)部網(wǎng)絡(luò)中不正常的數(shù)據(jù)流量，幫助系統(tǒng)管理員分析內(nèi)網(wǎng)中可能存在的病毒傳播，及時(shí)消除安全隱患，確保內(nèi)部終端安全。

3.3應(yīng)用防護(hù)技術(shù)，確保數(shù)據(jù)安全

計(jì)算機(jī)存儲(chǔ)的信息越來(lái)越多，而且越來(lái)越重要，特別在稅務(wù)部門(mén)數(shù)據(jù)安全問(wèn)題顯得尤為突出。為防止計(jì)算機(jī)中的數(shù)據(jù)意外丟失，需要采用一些安全防護(hù)技術(shù)來(lái)確保數(shù)據(jù)的安全。

3.3.1完整備份和增量備份

備份管理包括備份的可計(jì)劃性，自動(dòng)化操作，歷史記錄的保存或日志記錄。有兩種基本的備份方法：完整備份和增量備份。完整備份會(huì)把所選的數(shù)據(jù)完整地復(fù)制到其他介質(zhì)，增量備份僅備份上次完整備份以來(lái)添加或更改的數(shù)據(jù)。通過(guò)增量備份擴(kuò)充完整備份通常較快且占用較少的存儲(chǔ)空間， 可以考慮每周進(jìn)行一次完整備份，然后每天進(jìn)行增量備份。

3.3.2對(duì)敏感數(shù)據(jù)加密

對(duì)數(shù)據(jù)加密意味著把其轉(zhuǎn)換為一種可偽裝數(shù)據(jù)的格式，確保其機(jī)密性和完整性。加密技術(shù)大致可分為硬件加密和軟件加密兩種。相對(duì)而言，硬件加密更加安全，操作比較簡(jiǎn)單，如電子狗加密設(shè)備等，但是加密設(shè)備費(fèi)用相對(duì)昂貴。而軟件加密成本較低，不過(guò)，軟件加密主要依賴(lài)于算法，存在被破譯的風(fēng)險(xiǎn)。因此，建議對(duì)終端敏感數(shù)據(jù)的加密可采用軟硬件混合的加密方式，比如對(duì)機(jī)密等級(jí)的數(shù)據(jù)采用硬件加密，對(duì)其他敏感數(shù)據(jù)可采用軟件加密。

3.4完善信息化制度，培養(yǎng)實(shí)干型人才

從工作實(shí)際來(lái)看，僅僅依靠安全設(shè)備尚達(dá)不到絕對(duì)安全的目的。為了真正實(shí)現(xiàn)對(duì)數(shù)量眾多和環(huán)境復(fù)雜的終端進(jìn)行有效的管理，還需要配套制定嚴(yán)格的管理制度，如針對(duì)計(jì)算機(jī)終端移動(dòng)存儲(chǔ)設(shè)備的安全與保密管理制度，并加強(qiáng)系統(tǒng)應(yīng)急演練。同時(shí)還要加強(qiáng)安全意識(shí)教育，通過(guò)定期舉辦各類(lèi)終端安全培訓(xùn)、講座，以及安全宣傳，增強(qiáng)廣大干部職工的安全意識(shí)。

另外，應(yīng)注重計(jì)算機(jī)人才的培養(yǎng)，提倡“專(zhuān)才專(zhuān)用”。在工作實(shí)踐中，鼓勵(lì)其結(jié)合專(zhuān)業(yè)知識(shí)提升實(shí)際工作能力，從而有效地解決知識(shí)與實(shí)際相脫節(jié)的矛盾，為稅務(wù)部門(mén)儲(chǔ)備一批安全管理力量，實(shí)現(xiàn)信息化工作的可持續(xù)發(fā)展。

參考文獻(xiàn)

[1] 王常青.淺析基層分局網(wǎng)絡(luò)終端安全防護(hù)難點(diǎn)及對(duì)策[M].稅務(wù)信息化論文集，2009（3），北京：中國(guó)稅務(wù)出版社，1792-1794.

[2] 鄒錦民.也談稅務(wù)部門(mén)信息化建設(shè)中的網(wǎng)絡(luò)信息安全問(wèn)題與對(duì)策[M].浙江地稅信息化建設(shè)探索研究（2000-2006），北京：中國(guó)稅務(wù)出版社，244-246.

[3] 余京洋.終端安全解析[J].計(jì)算機(jī)安全，2006，（4），74-75.

[4] 王義申.終端安全管理系統(tǒng)在企事業(yè)單位內(nèi)網(wǎng)應(yīng)用的分析[J].計(jì)算機(jī)安全，2007，（7），64-65.

作者簡(jiǎn)介：

勞崢卿（1981-），男，浙江嘉善人，上海交通大學(xué)，碩士研究生，浙江省嘉善縣地稅局信息中心副主任，工程師，2012年獲得浙江省地稅系統(tǒng)個(gè)人嘉獎(jiǎng)；主要研究方向和關(guān)注領(lǐng)域：網(wǎng)絡(luò)信息安全及數(shù)據(jù)庫(kù)設(shè)計(jì)。endprint