試論網(wǎng)絡(luò)化辦公的信息安全防范

劉亞岐　李星君

摘 要 從網(wǎng)絡(luò)的連接方式、Web服務(wù)器和數(shù)據(jù)庫(kù)幾方面分析了網(wǎng)絡(luò)化辦公中有關(guān)信息安全方面的問(wèn)題；從防范的角度闡述了保證信息安全必須要有安全防范意識(shí)，通過(guò)建立多層次的防病毒系統(tǒng)，運(yùn)用防火墻、安全檢測(cè)系統(tǒng)、漏洞掃描系統(tǒng)和監(jiān)聽(tīng)維護(hù)子網(wǎng)系統(tǒng)等多種方式來(lái)保證網(wǎng)絡(luò)辦公中信息的安全。

關(guān)鍵詞 信息 網(wǎng)絡(luò)安全 系統(tǒng)

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A

近年來(lái)，隨著經(jīng)濟(jì)水平的不斷提高，信息技術(shù)的不斷發(fā)展，一些單位、企業(yè)將辦公業(yè)務(wù)的處理、流轉(zhuǎn)和管理等過(guò)程都采用了電子化、信息化，大大提高了辦事效率。然而，正由于網(wǎng)絡(luò)技術(shù)的廣泛普及和各類信息系統(tǒng)的廣泛應(yīng)用使得網(wǎng)絡(luò)化辦公中必然存在眾多潛在的安全隱患。也即在連結(jié)信息能力、流通能力迅速提高的同時(shí)，基于網(wǎng)絡(luò)連接的安全問(wèn)題將日益突出。因此，在網(wǎng)絡(luò)開(kāi)放的信息時(shí)代為了保護(hù)數(shù)據(jù)的安全，讓網(wǎng)絡(luò)辦公系統(tǒng)免受黑客的威脅，就需要考慮網(wǎng)絡(luò)化辦公中的安全問(wèn)題并預(yù)以解決。

1網(wǎng)絡(luò)連接上的安全

目前，企業(yè)網(wǎng)絡(luò)辦公系統(tǒng)多數(shù)采用的是客戶機(jī)/服務(wù)器工作模式，遠(yuǎn)程用戶、公司分支機(jī)構(gòu)、商業(yè)伙伴及供應(yīng)商基本上是通過(guò)客戶端軟件使用調(diào)制解調(diào)器撥號(hào)或網(wǎng)卡連接到服務(wù)器，以獲取信息資源，通過(guò)網(wǎng)絡(luò)在對(duì)身份的認(rèn)證和信息的傳輸過(guò)程中如不采取有效措施就容易被讀取或竊聽(tīng)，入侵者將能以合法的身份進(jìn)行非法操作，這樣就會(huì)存在嚴(yán)重的安全隱患。

同時(shí)，企業(yè)為了完成各分支機(jī)構(gòu)間的數(shù)據(jù)、話音的傳送，需要建立企業(yè)專用網(wǎng)絡(luò)。早期由于網(wǎng)絡(luò)技術(shù)及網(wǎng)絡(luò)規(guī)模的限制，只能租用專線、自購(gòu)設(shè)備、投入大量資金及人員構(gòu)建自己實(shí)實(shí)在在的專用網(wǎng)絡(luò)（PN，Private Network）。隨著數(shù)據(jù)通信技術(shù)的發(fā)展，特別是ATM、Frame Relay（簡(jiǎn)稱FR）技術(shù)的出現(xiàn)，企業(yè)用戶可以通過(guò)租用面向連接的邏輯通道PVC組建與專線網(wǎng)絡(luò)性質(zhì)一樣的網(wǎng)絡(luò)，但是由于在物理層帶寬及介質(zhì)的非獨(dú)享性，所以叫虛擬專用網(wǎng)絡(luò)（VPN，Virtual Private Network）。特別是Internet的興起，為企業(yè)用戶提供了更加廣泛的網(wǎng)絡(luò)基礎(chǔ)和靈活的網(wǎng)絡(luò)應(yīng)用。

VPN（Virtual Private Network，虛擬專用網(wǎng)絡(luò)）是一種通過(guò)綜合利用網(wǎng)絡(luò)技術(shù)、訪問(wèn)控制技術(shù)和加密技術(shù)，并通過(guò)一定的用戶管理機(jī)制，在公共網(wǎng)絡(luò)中建立起安全的“專用”網(wǎng)絡(luò) 。它替代了傳統(tǒng)的撥號(hào)訪問(wèn)，通過(guò)一個(gè)公用網(wǎng)絡(luò)（Internet、幀中繼、ATM）建立一個(gè)臨時(shí)的、安全的連接，是一條穿過(guò)混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道，利用公網(wǎng)資源作為企業(yè)專網(wǎng)的延續(xù)，節(jié)省了租用專線的費(fèi)用。

VPN是對(duì)企業(yè)內(nèi)部網(wǎng)的擴(kuò)展，通過(guò)它可以幫助遠(yuǎn)程用戶、公司分支機(jī)構(gòu)、商業(yè)伙伴及供應(yīng)商同公司的內(nèi)部網(wǎng)建立可信的安全連接，并保證數(shù)據(jù)的安全傳輸。VPN可用于不斷增長(zhǎng)的移動(dòng)用戶的全球因特網(wǎng)接入，以實(shí)現(xiàn)安全連接；可用于實(shí)現(xiàn)企業(yè)網(wǎng)站之間安全通信的虛擬專用線路，用于經(jīng)濟(jì)有效地連接到商業(yè)伙伴和用戶的安全外聯(lián)網(wǎng)虛擬專用網(wǎng)。VPN也可作為電信專線（DDN、FR）備份線路，當(dāng)專線出現(xiàn)故障時(shí)可迅速切換到VPN鏈路進(jìn)行數(shù)據(jù)傳輸，確保數(shù)據(jù)無(wú)間斷性地傳輸。

進(jìn)行遠(yuǎn)程訪問(wèn)時(shí)，遠(yuǎn)程用戶可以通過(guò)VPN技術(shù)撥號(hào)到當(dāng)?shù)氐腎SP，然后通過(guò)共享路由網(wǎng)絡(luò)，連接到總公司的防火墻或是交換機(jī)上，在實(shí)現(xiàn)訪問(wèn)信息資源的同時(shí)可節(jié)省長(zhǎng)途撥號(hào)的費(fèi)用。當(dāng)一個(gè)數(shù)據(jù)傳輸通道的兩個(gè)端點(diǎn)被認(rèn)為是可信的時(shí)候，安全性主要在于加強(qiáng)兩個(gè)虛擬專用網(wǎng)服務(wù)器之間的加密和認(rèn)證手段上，而VPN通過(guò)對(duì)自己承載的隧道和數(shù)據(jù)包實(shí)施特定的安全協(xié)議，主機(jī)之間可通過(guò)這些協(xié)議協(xié)商用于保證數(shù)據(jù)保密性、數(shù)據(jù)完整性、數(shù)據(jù)收發(fā)雙方的認(rèn)證性等安全性所需的加密技術(shù)和數(shù)據(jù)簽字技術(shù)。

2Web服務(wù)器的安全

Intranet是目前最為流行的網(wǎng)絡(luò)技術(shù)。利用Intranet，各個(gè)企業(yè)，無(wú)論大中小，都可以很方便地建立起自己的內(nèi)部網(wǎng)絡(luò)信息系統(tǒng)。Intranet通過(guò)瀏覽器來(lái)查看信息，用戶的請(qǐng)求送到Web服務(wù)器，由Web服務(wù)器對(duì)用戶的請(qǐng)求進(jìn)行操作，直接提交靜態(tài)頁(yè)面；或通過(guò)CGI進(jìn)行交互式復(fù)雜處理，再由Web服務(wù)器負(fù)責(zé)將處理結(jié)果轉(zhuǎn)化為HTML格式，反饋給用戶。因此，Web服務(wù)器的安全是不容忽視的。而安全套接字層SSL（Securesocketlayer）的使用為其提供了較好的安全性。

SSL是用于服務(wù)器之上的一個(gè)加密系統(tǒng)，是利用傳輸控制協(xié)議（TCP）來(lái)提供可靠的端到端的安全服務(wù)，它可以確保在客戶機(jī)與服務(wù)器之間傳輸?shù)臄?shù)據(jù)是安全與隱密的。SSL協(xié)議分為兩層，底層是建立在可靠的TCP上的SSL記錄層，用來(lái)封裝高層的協(xié)議，上層通過(guò)握手協(xié)議、警示協(xié)議、更改密碼協(xié)議，用于對(duì)SSL交換過(guò)程的管理，從而實(shí)現(xiàn)超文體傳輸協(xié)議的傳輸。目前大部分的Web服務(wù)器和瀏覽器都支持SSL的資料加密傳輸協(xié)議。要使服務(wù)器和客戶機(jī)使用SSL進(jìn)行安全的通信，服務(wù)器必須有兩樣?xùn)|西：密鑰對(duì)（Key pair）和證書(shū)（Certificate）。SSL使用安全握手來(lái)初始化客戶機(jī)與服務(wù)器之間的安全連接。在握手期間，客戶機(jī)和服務(wù)器對(duì)它們將要為此會(huì)話使用的密鑰及加密方法達(dá)成一致。客戶機(jī)使用服務(wù)器證書(shū)驗(yàn)證服務(wù)器。握手之后，SSL被用來(lái)加密和解密HTTPS（組合SSL和HTTP的一個(gè)獨(dú)特協(xié)議）請(qǐng)求和服務(wù)器響應(yīng)中的所有信息。

3數(shù)據(jù)庫(kù)的安全

在辦公自動(dòng)化中， 數(shù)據(jù)庫(kù)在描述、存儲(chǔ)、組織和共享數(shù)據(jù)中發(fā)揮了巨大的作用，它的安全直接關(guān)系到系統(tǒng)的有效性、數(shù)據(jù)和交易的完整性、保密性。但并不是訪問(wèn)并鎖定了關(guān)鍵的網(wǎng)絡(luò)服務(wù)和操作系統(tǒng)的漏洞，服務(wù)器上的所有應(yīng)用程序就得到了安全保障。現(xiàn)代數(shù)據(jù)庫(kù)系統(tǒng)具有多種特征和性能配置方式，在使用時(shí)可能會(huì)誤用，或危及數(shù)據(jù)的保密性、有效性和完整性。所有現(xiàn)代關(guān)系型數(shù)據(jù)庫(kù)系統(tǒng)都是“可從端口尋址的”，這意味著任何人只要有合適的查詢工具，就都可與數(shù)據(jù)庫(kù)直接相連，并能躲開(kāi)操作系統(tǒng)的安全機(jī)制。例如：可以用TCP/IP協(xié)議從1521和1526端口訪問(wèn)Oracle 7.3和8數(shù)據(jù)庫(kù)。多數(shù)數(shù)據(jù)庫(kù)系統(tǒng)還有眾所周知的默認(rèn)帳號(hào)和密碼，可支持對(duì)數(shù)據(jù)庫(kù)資源的各級(jí)訪問(wèn)。從這兩個(gè)簡(jiǎn)單的數(shù)據(jù)相結(jié)合，很多重要的數(shù)據(jù)庫(kù)系統(tǒng)很可能受到威協(xié)。因此，要保證數(shù)據(jù)庫(kù)的完整性，首先應(yīng)做好備份，同時(shí)要有嚴(yán)格的用戶身份鑒別，對(duì)使用數(shù)據(jù)庫(kù)的時(shí)間、地點(diǎn)加以限制，另外還需要使用數(shù)據(jù)庫(kù)管理系統(tǒng)提供的審計(jì)功能，用以跟蹤和記錄用戶對(duì)數(shù)據(jù)庫(kù)和數(shù)據(jù)庫(kù)對(duì)象的操作，全方面保障數(shù)據(jù)庫(kù)系統(tǒng)的安全。

4網(wǎng)絡(luò)安全防范

現(xiàn)階段為了保證網(wǎng)絡(luò)信息的安全，企業(yè)辦公的正常運(yùn)行，我們將采用以下幾種方式來(lái)對(duì)網(wǎng)絡(luò)安全進(jìn)行防范：

（1）配置防病毒軟件

在網(wǎng)絡(luò)環(huán)境下，病毒傳播擴(kuò)散快，僅用單機(jī)防病毒產(chǎn)品已經(jīng)很難徹底清除網(wǎng)絡(luò)病毒，必須有適合于局域網(wǎng)的全方位防病毒產(chǎn)品。如果與互聯(lián)網(wǎng)相連，就需要網(wǎng)關(guān)的防病毒軟件，加強(qiáng)上網(wǎng)計(jì)算機(jī)的安全。如果在網(wǎng)絡(luò)內(nèi)部使用電子郵件進(jìn)行信息交換，還需要一套基于郵件服務(wù)器平臺(tái)的郵件防病毒軟件，識(shí)別出隱藏在電子郵件和附件中的病毒。所以最好使用全方位的防病毒產(chǎn)品，針對(duì)網(wǎng)絡(luò)中所有可能的病毒攻擊點(diǎn)設(shè)置對(duì)應(yīng)的防病毒軟件，通過(guò)全方位、多層次的防病毒系統(tǒng)的配置，通過(guò)定期或不定期的自動(dòng)升級(jí)，使網(wǎng)絡(luò)免受病毒的侵襲。

（2）利用防火墻

利用防火墻可以將不允許的用戶與數(shù)據(jù)拒之門(mén)外，最大限度地阻止網(wǎng)絡(luò)中的黑客來(lái)訪問(wèn)自己的網(wǎng)絡(luò)，防止他們隨意更改、移動(dòng)甚至刪除網(wǎng)絡(luò)上的重要信息。防火墻是一種行之有效且應(yīng)用廣泛的網(wǎng)絡(luò)安全機(jī)制，防止Internet上的不安全因素蔓延到局域網(wǎng)內(nèi)部，所以，防火墻是網(wǎng)絡(luò)安全的重要一環(huán)。雖然防火墻是目前保護(hù)網(wǎng)絡(luò)免遭黑客襲擊的有效手段，但不能防止來(lái)自內(nèi)部變節(jié)者和不經(jīng)心的用戶們帶來(lái)的威脅，也不能完全防止傳送已感染病毒的軟件或文件，以及無(wú)法防范數(shù)據(jù)驅(qū)動(dòng)型的攻擊。

（3）Web、Email的安全監(jiān)測(cè)系統(tǒng)

在網(wǎng)絡(luò)的WWW服務(wù)器、Email服務(wù)器等中使用網(wǎng)絡(luò)安全監(jiān)測(cè)系統(tǒng)，實(shí)時(shí)跟蹤、監(jiān)視網(wǎng)絡(luò)，截獲Internet網(wǎng)上傳輸?shù)膬?nèi)容，并將其還原成完整的WWW、Email、FTP、Telnet應(yīng)用的內(nèi)容，建立保存相應(yīng)記錄的數(shù)據(jù)庫(kù)。及時(shí)發(fā)現(xiàn)在網(wǎng)絡(luò)上傳輸?shù)姆欠▋?nèi)容，及時(shí)向上級(jí)安全網(wǎng)管中心報(bào)告，采取措施。

（4）漏洞掃描系統(tǒng)

解決網(wǎng)絡(luò)層安全問(wèn)題，首先要清楚網(wǎng)絡(luò)中存在哪些安全隱患、脆弱點(diǎn)。面對(duì)大型網(wǎng)絡(luò)的復(fù)雜性和不斷變化的情況，僅僅依靠網(wǎng)絡(luò)管理員的技術(shù)和經(jīng)驗(yàn)尋找安全漏洞、做出風(fēng)險(xiǎn)評(píng)估，顯然是不現(xiàn)實(shí)的。解決的方案是，尋找一種能查找網(wǎng)絡(luò)安全漏洞、評(píng)估并提出修改建議的網(wǎng)絡(luò)安全掃描工具，利用優(yōu)化系統(tǒng)配置和打補(bǔ)丁等各種方式最大可能地彌補(bǔ)最新的安全漏洞和消除安全隱患。在要求安全程度不高的情況下，可以利用各種黑客工具，對(duì)網(wǎng)絡(luò)模擬攻擊從而暴露出網(wǎng)絡(luò)的漏洞。

（5）利用網(wǎng)絡(luò)監(jiān)聽(tīng)維護(hù)子網(wǎng)系統(tǒng)安全

對(duì)于網(wǎng)絡(luò)外部的入侵可以通過(guò)安裝防火墻來(lái)解決，但是對(duì)于網(wǎng)絡(luò)內(nèi)部的侵襲則無(wú)能為力。在這種情況下，我們可以采用對(duì)各個(gè)子網(wǎng)做一個(gè)具有一定功能的審計(jì)文件，為管理人員分析自己的網(wǎng)絡(luò)運(yùn)作狀態(tài)提供依據(jù)。設(shè)計(jì)一個(gè)子網(wǎng)專用的監(jiān)聽(tīng)程序。該軟件的主要功能為長(zhǎng)期監(jiān)聽(tīng)子網(wǎng)絡(luò)內(nèi)計(jì)算機(jī)間相互聯(lián)系的情況，為系統(tǒng)中各個(gè)服務(wù)器的審計(jì)文件提供備份。

總之，網(wǎng)絡(luò)辦公中的信息安全是一個(gè)系統(tǒng)的工程，不能僅僅依靠防毒軟件或者防火墻等單個(gè)的系統(tǒng)，必須將各種安全技術(shù)結(jié)合在一起，才能生成一個(gè)高效、通用、安全的網(wǎng)絡(luò)系統(tǒng)。但由于系統(tǒng)中的安全隱患、黑客的攻擊手段和技術(shù)在不斷提高，因此我們對(duì)安全的概念要不斷的擴(kuò)展，安全的技術(shù)也應(yīng)不斷更新，這就有大量的工作需要我們?nèi)パ芯?、開(kāi)發(fā)和探索，以此才能保證我國(guó)信息網(wǎng)絡(luò)的安全，推動(dòng)我國(guó)國(guó)民經(jīng)濟(jì)的高速發(fā)展。

參考文獻(xiàn)

[1] 楊波.網(wǎng)絡(luò)安全理論與應(yīng)用.北京電子工業(yè)出版社，2002.

[2] 蔡立軍.計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù).中國(guó)水利水電出版社，2005.

[3] 鄧文淵，陳惠貞，陳俊榮.ASP與網(wǎng)絡(luò)數(shù)據(jù)庫(kù)技術(shù).中國(guó)鐵道出版社，2007.

[4] 馬宜興.網(wǎng)絡(luò)安全與病毒防范.上海交通大學(xué)出版社，2007.