企業(yè)網(wǎng)絡(luò)與信息安全防護(hù)研究

張偉

摘 要 隨著網(wǎng)絡(luò)與信息技術(shù)在我們經(jīng)濟(jì)和生活各個(gè)領(lǐng)域的快速發(fā)展，企業(yè)也紛紛打造自身的網(wǎng)絡(luò)信息平臺(tái)。信息技術(shù)正逐漸影響著我們生活和工作的方式，在信息技術(shù)帶給我們巨大便利的同時(shí)，網(wǎng)絡(luò)與信息安全的各類問題也在不斷攀升。面對(duì)眾多網(wǎng)絡(luò)攻擊行為，安全風(fēng)險(xiǎn)面臨重要的挑戰(zhàn)。因此，探討企業(yè)網(wǎng)絡(luò)與信息安全風(fēng)險(xiǎn)，強(qiáng)化安全防護(hù)管理措施，保障企業(yè)業(yè)務(wù)安全穩(wěn)定發(fā)展具有十分重要的意義。

關(guān)鍵詞 企業(yè)網(wǎng)絡(luò)；信息安全；防護(hù)

中圖分類號(hào) TP3 文獻(xiàn)標(biāo)識(shí)碼 A 文章編號(hào) 1674-6708（2016）162-0089-02

隨著網(wǎng)絡(luò)與信息技術(shù)在我們經(jīng)濟(jì)和生活各個(gè)領(lǐng)域的快速發(fā)展，企業(yè)也紛紛打造自身的網(wǎng)絡(luò)信息平臺(tái)。信息技術(shù)正逐漸影響著我們生活和工作的方式，在信息技術(shù)帶給我們巨大便利的同時(shí)，網(wǎng)絡(luò)與信息安全的各類問題也在不斷攀升。面對(duì)眾多網(wǎng)絡(luò)攻擊行為，安全風(fēng)險(xiǎn)面臨重要的挑戰(zhàn)。因此，探討企業(yè)網(wǎng)絡(luò)與信息安全風(fēng)險(xiǎn)，強(qiáng)化安全防護(hù)管理措施，保障企業(yè)業(yè)務(wù)安全穩(wěn)定發(fā)展具有十分重要的意義。

1 網(wǎng)絡(luò)與信息安全風(fēng)險(xiǎn)分析

面對(duì)日益增加，不斷涌現(xiàn)的網(wǎng)絡(luò)攻擊行為，企業(yè)在鞏固和加強(qiáng)基本的網(wǎng)絡(luò)與信息安全的基礎(chǔ)上，仍不同程度上存在一定的安全風(fēng)險(xiǎn)，主要包括以下方面。

1.1 物理安全風(fēng)險(xiǎn)

物理安全是網(wǎng)絡(luò)與信息系統(tǒng)安全的基礎(chǔ)。物理安全風(fēng)險(xiǎn)主要包括雷擊、水災(zāi)、火災(zāi)等環(huán)境事故導(dǎo)致大部分或整個(gè)系統(tǒng)的癱瘓；供配電系統(tǒng)故障導(dǎo)致設(shè)備斷電而造成的業(yè)務(wù)服務(wù)中斷；機(jī)房環(huán)控及報(bào)警系統(tǒng)缺失造成設(shè)備被盜、被損；電磁輻射可能造成重要數(shù)據(jù)的信息泄露或非法截獲；人為操作失誤或錯(cuò)誤造成的系統(tǒng)宕機(jī)或數(shù)據(jù)庫信息丟失等。

1.2 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)

企業(yè)在網(wǎng)絡(luò)平臺(tái)建設(shè)的初期，安全意識(shí)不高，沒有從整體網(wǎng)絡(luò)與信息安全的角度出發(fā)進(jìn)行統(tǒng)籌規(guī)劃，網(wǎng)絡(luò)與信息安全風(fēng)險(xiǎn)主要存在網(wǎng)絡(luò)結(jié)構(gòu)風(fēng)險(xiǎn)、網(wǎng)絡(luò)邊界風(fēng)險(xiǎn)、入侵檢測(cè)風(fēng)險(xiǎn)、流量管理風(fēng)險(xiǎn)、遠(yuǎn)程安全接入風(fēng)險(xiǎn)5個(gè)方面。網(wǎng)絡(luò)結(jié)構(gòu)風(fēng)險(xiǎn)方面，企業(yè)網(wǎng)絡(luò)結(jié)構(gòu)中缺少冗余設(shè)計(jì)，網(wǎng)絡(luò)中關(guān)鍵設(shè)備易形成單點(diǎn)故障，影響了整體網(wǎng)絡(luò)系統(tǒng)故障恢復(fù)的能力。網(wǎng)絡(luò)邊界風(fēng)險(xiǎn)方面，企業(yè)網(wǎng)絡(luò)系統(tǒng)中不同網(wǎng)絡(luò)區(qū)域間通信管控能力不足，數(shù)據(jù)的安全訪問不能得到有效控制，存在非法訪問的風(fēng)險(xiǎn)。入侵檢測(cè)風(fēng)險(xiǎn)方面，在企業(yè)局域網(wǎng)內(nèi)缺少入侵檢測(cè)手段，無法對(duì)局域網(wǎng)內(nèi)引發(fā)的網(wǎng)絡(luò)安全攻擊事件進(jìn)行有效檢測(cè)與報(bào)警。入侵者通過滲透以獲取用戶系統(tǒng)控制權(quán)，并傳播木馬病毒形成僵尸網(wǎng)絡(luò)，甚至發(fā)起拒絕服務(wù)攻擊，使企業(yè)的業(yè)務(wù)服務(wù)面臨中斷風(fēng)險(xiǎn)。流量管理風(fēng)險(xiǎn)方面，企業(yè)用戶在網(wǎng)絡(luò)帶寬使用過程中，存在過度資源濫用情況，業(yè)務(wù)流量帶寬受到擠壓，帶寬使用效率大幅降低。遠(yuǎn)程接入風(fēng)險(xiǎn)方面，企業(yè)網(wǎng)絡(luò)系統(tǒng)沒有采取可信認(rèn)證與加密遠(yuǎn)程接入的訪問機(jī)制，造成非可信身份訪問企業(yè)內(nèi)部網(wǎng)絡(luò)，導(dǎo)致信息泄露風(fēng)險(xiǎn)。

1.3 系統(tǒng)安全風(fēng)險(xiǎn)

系統(tǒng)安全風(fēng)險(xiǎn)一般指主機(jī)或終端自身系統(tǒng)防護(hù)能力不足導(dǎo)致容易發(fā)生病毒和惡意代碼攻擊、非法使用、數(shù)據(jù)截取等安全事件。系統(tǒng)安全風(fēng)險(xiǎn)主要包括身份認(rèn)證風(fēng)險(xiǎn)、系統(tǒng)安全配置風(fēng)險(xiǎn)、系統(tǒng)漏洞風(fēng)險(xiǎn)、病毒和惡意代碼風(fēng)險(xiǎn)這4個(gè)方面。身份認(rèn)證風(fēng)險(xiǎn)方面，企業(yè)在網(wǎng)絡(luò)系統(tǒng)中由于采用單一身份鑒別技術(shù)，導(dǎo)致攻擊者易假冒合法用戶獲得資源的訪問權(quán)限，對(duì)系統(tǒng)和數(shù)據(jù)安全造成威脅。系統(tǒng)漏洞與安全配置風(fēng)險(xiǎn)方面，由于系統(tǒng)補(bǔ)丁未得到及時(shí)更新，安全配置未能形成統(tǒng)一化、標(biāo)準(zhǔn)化安全部署，導(dǎo)致企業(yè)網(wǎng)絡(luò)與信息系統(tǒng)存在大量的安全盲點(diǎn)。病毒和惡意代碼風(fēng)險(xiǎn)方面，企業(yè)網(wǎng)絡(luò)中主機(jī)及終端系統(tǒng)中防病毒軟件升級(jí)滯后，導(dǎo)致防護(hù)軟件存在查殺能力不足，系統(tǒng)易受病毒和惡意代碼的攻擊。

1.4 應(yīng)用安全風(fēng)險(xiǎn)

應(yīng)用安全風(fēng)險(xiǎn)涉及很多方面，并且與具體的應(yīng)用有關(guān)。應(yīng)用系統(tǒng)的安全是動(dòng)態(tài)的、不斷變化的，需要我們針對(duì)不同的應(yīng)用進(jìn)行安全漏洞的檢測(cè)，從而采取相應(yīng)的安全措施，降低應(yīng)用的安全風(fēng)險(xiǎn)。應(yīng)用安全風(fēng)險(xiǎn)主要包括文件及數(shù)據(jù)庫安全風(fēng)險(xiǎn)、病毒侵害風(fēng)險(xiǎn)、未經(jīng)授權(quán)的訪問、數(shù)據(jù)信息篡改，破壞了數(shù)據(jù)的完整性等。

1.5 管理安全風(fēng)險(xiǎn)

安全管理是網(wǎng)絡(luò)與信息安全得到保證的重要組成部分，從管理層面分析，管理安全風(fēng)險(xiǎn)主要包括：安全管理制度不夠健全，關(guān)鍵活動(dòng)的審批流程未建立或不夠明確，導(dǎo)致責(zé)權(quán)不明；工作人員的操作權(quán)限缺乏合理的劃分與分配，操作混亂；網(wǎng)絡(luò)安全管理和技術(shù)人員缺乏必要的安全意識(shí)、安全知識(shí)和教育的培訓(xùn)；安全管理體系有待健全和完善，在主動(dòng)防范網(wǎng)絡(luò)與信息安全風(fēng)險(xiǎn)的管理手段有所不足，安全控制措施有待進(jìn)一步有效發(fā)揮。

從上述網(wǎng)絡(luò)與信息安全風(fēng)險(xiǎn)分析，由此所引發(fā)的安全事件，一般情況下將會(huì)導(dǎo)致網(wǎng)絡(luò)與信息系統(tǒng)在可用性、可靠性、可恢復(fù)性方面大幅下降。因此，針對(duì)安全風(fēng)險(xiǎn)制定切實(shí)可行的解決措施，提高網(wǎng)絡(luò)與信息安全的整體防護(hù)能力和水平，是保障企業(yè)網(wǎng)絡(luò)與信息系統(tǒng)安全穩(wěn)定運(yùn)行的關(guān)鍵所在。

2 網(wǎng)絡(luò)與信息安全防護(hù)的主要措施

參照信息系統(tǒng)安全等級(jí)保護(hù)基本要求，根據(jù)網(wǎng)絡(luò)與信息安全建設(shè)存在的主要問題，切實(shí)結(jié)合企業(yè)自身實(shí)際需求，逐步建設(shè)形成多層保護(hù)、重點(diǎn)突出、持續(xù)運(yùn)行的安全保障體系，將企業(yè)網(wǎng)絡(luò)與信息安全防護(hù)工作落實(shí)到建設(shè)、防護(hù)、管理等的各個(gè)環(huán)節(jié)，保障企業(yè)網(wǎng)絡(luò)與信息安全的整體性。因此，根據(jù)此主要思路提出保障企業(yè)網(wǎng)絡(luò)與信息安全的總體原則與主要措施意見。

2.1 總體原則

1）統(tǒng)籌規(guī)劃，分步實(shí)施。建立健全完善企業(yè)網(wǎng)絡(luò)與信息整體安全防護(hù)體系是一項(xiàng)長(zhǎng)期的系統(tǒng)工程，其所涉及到各層面、各系統(tǒng)的安全問題要在國(guó)家信息安全法律法規(guī)及標(biāo)準(zhǔn)規(guī)范框架內(nèi)，根據(jù)對(duì)信息安全風(fēng)險(xiǎn)分析的綜合考慮進(jìn)行統(tǒng)籌規(guī)劃，制定統(tǒng)一、完整、動(dòng)態(tài)，可控的安全防護(hù)系統(tǒng)設(shè)計(jì)，分步驟、分階段的進(jìn)行實(shí)施。

2）以用促建，合理投入。為保障企業(yè)網(wǎng)絡(luò)系統(tǒng)長(zhǎng)期、安全、穩(wěn)定運(yùn)行，依據(jù)企業(yè)網(wǎng)絡(luò)不同時(shí)期所面臨威脅的嚴(yán)重程度，在考慮安全防護(hù)經(jīng)費(fèi)投入與數(shù)據(jù)及其應(yīng)用系統(tǒng)防護(hù)價(jià)值的性價(jià)比基礎(chǔ)上實(shí)施安全防護(hù)體系的建設(shè)。安全設(shè)備在性能功能的選擇上，要安全適度，不盲目超前，既要滿足業(yè)務(wù)應(yīng)用當(dāng)前安全防護(hù)需求，又能適應(yīng)未來安全防護(hù)的調(diào)整升級(jí)。

3）主動(dòng)預(yù)防為主，應(yīng)急恢復(fù)為輔。考慮到現(xiàn)代網(wǎng)絡(luò)安全防護(hù)的復(fù)雜性和多變性，企業(yè)網(wǎng)絡(luò)與信息安全防護(hù)，應(yīng)以主動(dòng)預(yù)防為主，盡量將安全隱患消除在安全事件發(fā)生之前。要提前制定好安全事件處理的應(yīng)急預(yù)案，熟悉并掌握應(yīng)對(duì)各種事件發(fā)生的安全措施及辦法，最大限度地降低安全事件的損失程度。

4）動(dòng)態(tài)管理，持續(xù)改進(jìn)。企業(yè)網(wǎng)絡(luò)與信息安全防護(hù)是一個(gè)動(dòng)態(tài)的變化過程，要對(duì)安全風(fēng)險(xiǎn)實(shí)施動(dòng)態(tài)管理，針對(duì)不斷出現(xiàn)的新的安全威脅與漏洞持續(xù)改進(jìn)完善企業(yè)網(wǎng)絡(luò)安全措施，始終將網(wǎng)絡(luò)與信息安全風(fēng)險(xiǎn)控制在可接受的范圍。

2.2 主要措施意見

1）合理劃分網(wǎng)絡(luò)安全區(qū)域。企業(yè)從整體網(wǎng)絡(luò)與信息安全角度出發(fā)，綜合分析網(wǎng)絡(luò)系統(tǒng)中存在的普遍問題，采取結(jié)構(gòu)化網(wǎng)絡(luò)設(shè)計(jì)思想，結(jié)合網(wǎng)絡(luò)安全域劃分原則，對(duì)企業(yè)網(wǎng)絡(luò)系統(tǒng)進(jìn)行合理的安全區(qū)域劃分。依據(jù)安全域劃分，建議采取相應(yīng)的網(wǎng)絡(luò)邊界安全防護(hù)措施，實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離，邊界間聯(lián)合防御，對(duì)病毒進(jìn)行有效攔截及區(qū)域管控。在應(yīng)對(duì)滲透攻擊方面也能積極起到縱深防御效果，完善企業(yè)網(wǎng)絡(luò)系統(tǒng)抗攻擊，抗風(fēng)險(xiǎn)的能力。

2）規(guī)范網(wǎng)絡(luò)資源的有效使用。規(guī)范企業(yè)網(wǎng)絡(luò)資源的有效使用，增強(qiáng)局域網(wǎng)終端用戶的安全審計(jì)，有效對(duì)網(wǎng)絡(luò)中的各種行為采取更加細(xì)粒度的安全識(shí)別和控制的措施。同時(shí)，可對(duì)網(wǎng)絡(luò)流量、終端上網(wǎng)行為進(jìn)行實(shí)時(shí)分析和審計(jì)，做到有據(jù)可查。從而，有效優(yōu)化網(wǎng)絡(luò)資源使用效率，幫助企業(yè)管理層全面了解網(wǎng)絡(luò)應(yīng)用狀況與趨勢(shì)，增強(qiáng)網(wǎng)絡(luò)資源對(duì)企業(yè)業(yè)務(wù)服務(wù)提供強(qiáng)支撐能力。

3）增強(qiáng)終端用戶的網(wǎng)絡(luò)安全防護(hù)措施。增強(qiáng)企業(yè)網(wǎng)絡(luò)安全意識(shí)，提高終端用戶安全防護(hù)措施，采取網(wǎng)絡(luò)防病毒、終端安全核心配置等措施，通過安全策略的統(tǒng)一分發(fā)及部署，企業(yè)管理人員可全面直觀掌握網(wǎng)絡(luò)中的安全狀況，如終端漏洞、終端病毒、終端升級(jí)等情況一目了然。有助于管理人員提高企業(yè)安全風(fēng)險(xiǎn)分析的能力及快速解除安全威脅的響應(yīng)能力。

4）創(chuàng)新開展具有自身特色的網(wǎng)絡(luò)運(yùn)維管理服務(wù)新模式。面對(duì)信息化技術(shù)的飛速發(fā)展及網(wǎng)絡(luò)應(yīng)用的不斷深入，在增強(qiáng)自身網(wǎng)絡(luò)安全意識(shí)的同時(shí)，應(yīng)不斷學(xué)習(xí)新的防范技術(shù)，豐富防范手段；不斷借鑒成熟的技術(shù)成果，對(duì)照自身網(wǎng)絡(luò)特點(diǎn)，研究符合自身網(wǎng)絡(luò)安全防護(hù)技術(shù)，不斷深入實(shí)踐，總結(jié)經(jīng)驗(yàn)教訓(xùn)，把技術(shù)理論與實(shí)踐經(jīng)驗(yàn)有效結(jié)合，創(chuàng)新開展具有自身特色的網(wǎng)絡(luò)運(yùn)維管理服務(wù)新模式。

總之，我國(guó)網(wǎng)絡(luò)與信息技術(shù)取得了快速發(fā)展，建設(shè)一個(gè)安全可靠的網(wǎng)絡(luò)系統(tǒng)，是企業(yè)決策者和信息部門亟待解決的問題，需要我們持續(xù)深入的研究，這樣才能將網(wǎng)絡(luò)安全問題最小化，確保企業(yè)經(jīng)營(yíng)活動(dòng)具備安全可靠的網(wǎng)絡(luò)環(huán)境。