淺議內(nèi)部網(wǎng)絡(luò)安全體系的構(gòu)建

計算機和網(wǎng)絡(luò)在我國的各個行業(yè)系統(tǒng)均承載了極大的作用，目前，內(nèi)部網(wǎng)絡(luò)的安全威脅給眾多企事業(yè)單位所造成的損失是顯而易見的，如何保護內(nèi)部網(wǎng)絡(luò)，使遭受的損失減少到最低限度是目前網(wǎng)絡(luò)安全研究人員不斷探索的目標。

一、內(nèi)部網(wǎng)絡(luò)的安全現(xiàn)狀

目前很多企事業(yè)單位都加快了企業(yè)信息化的進程，在網(wǎng)絡(luò)平臺上建立了內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)，并按照國家有關(guān)規(guī)定實行內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的物理隔離；在應(yīng)用上從傳統(tǒng)的、小型業(yè)務(wù)系統(tǒng)逐漸向大型、關(guān)鍵業(yè)務(wù)系統(tǒng)擴展，逐步實現(xiàn)企業(yè)信息的高度集成，構(gòu)成完善的企事業(yè)問題解決鏈。

在網(wǎng)絡(luò)安全方面，大多企業(yè)或是根據(jù)自己對安全的認識，或是根據(jù)國家和系統(tǒng)內(nèi)部的相關(guān)規(guī)定，購置部分網(wǎng)絡(luò)安全產(chǎn)品，然而這些產(chǎn)品主要是針對外部網(wǎng)絡(luò)可能遭受到安全威脅而采取的措施，在內(nèi)部網(wǎng)絡(luò)上的使用雖然針對性強，但往往有很大的局限性。事實證明，來自內(nèi)部的數(shù)據(jù)失竊和破壞，遠遠高于外部黑客的攻擊。由于內(nèi)部網(wǎng)絡(luò)的高性能、多應(yīng)用、涉密信息分散的特點，各種分立的安全產(chǎn)品通常只能解決安全威脅的部分問題，而沒有形成多層次的、嚴密的、相互協(xié)同工作的安全體系。同時在安全性和費用問題上形成一個相互對立的局面，如何在其中尋找到一個平衡點，也是眾多企業(yè)中普遍存在的焦點問題。

內(nèi)網(wǎng)更易被破壞的原因筆者認為有以下幾點：首先，在對Internet嚴防死守和物理隔離的措施下，對網(wǎng)絡(luò)的破壞大多數(shù)來自網(wǎng)絡(luò)內(nèi)部的安全空隙。另外也因為目前針對內(nèi)部網(wǎng)絡(luò)安全的重視程度不夠，系統(tǒng)的安裝有大量的漏洞沒有去打上補丁。也由于內(nèi)部擁有更多的應(yīng)用和不同的系統(tǒng)平臺，自然有更多的系統(tǒng)漏洞。其次，黑客工具在Internet上很容易獲得，這些工具對Internet及內(nèi)部網(wǎng)絡(luò)往往具有很大的危害性，這是內(nèi)部人員能夠?qū)?nèi)部網(wǎng)絡(luò)造成巨大損害的原因之一。而且，為了簡單和易用，在內(nèi)網(wǎng)傳輸?shù)臄?shù)據(jù)往往是不加密的，這為別有用心者提供了竊取機密數(shù)據(jù)的可能性。再次，內(nèi)部網(wǎng)絡(luò)的用戶往往直接面對數(shù)據(jù)庫、服務(wù)器進行操作，破壞者可以利用內(nèi)網(wǎng)速度快的特性，對關(guān)鍵數(shù)據(jù)進行竊取或者破壞。眾多的使用者有不同的權(quán)限，管理上更加困難，系統(tǒng)更容易遭到口令和越權(quán)操作的攻擊。服務(wù)器對使用者的管理也不是很嚴格，對于那些如記錄鍵盤敲擊的黑客工具比較容易得逞。涉密信息不僅限于服務(wù)器，同時也分布于各個工作計算機中，目前對個人硬盤上的涉密信息缺乏有效的控制和監(jiān)督管理辦法。

二、構(gòu)建內(nèi)部網(wǎng)絡(luò)的安全體系

筆者認為完整的內(nèi)部網(wǎng)絡(luò)的安全體系包括安全產(chǎn)品、安全技術(shù)和策略、安全管理以及安全制度等多個方面，整個體系為分層結(jié)構(gòu)，分為水平層面上的安全產(chǎn)品、安全技術(shù)和策略、安全管理，其在使用模式上是支配與被支配的關(guān)系。在垂直層面上為安全制度，從上至下地規(guī)定各個水平層面上的安全行為。

1、安全產(chǎn)品

安全產(chǎn)品是各種安全策略和安全制度的執(zhí)行載體。雖然有了安全制度，還必須有好的安全工具把安全管理的措施具體化。目前市場上的網(wǎng)絡(luò)安全產(chǎn)品林林總總，各個廠家的安全產(chǎn)品在遵守安全標準的同時，會利用廠家聯(lián)盟內(nèi)部的協(xié)議提供附加的功能。這些附加功能的實現(xiàn)是建立在全面使用同一廠家聯(lián)盟的產(chǎn)品基礎(chǔ)之上的，那么選擇每個方面的頂尖產(chǎn)品在價格上會居高不下，而且在性能上并不能達到l+1等于2甚至大于2的效果。這是因為這些產(chǎn)品不存在內(nèi)部之間的協(xié)同工作，不能形成聯(lián)動的、動態(tài)的安全保護層，一方面使得這些網(wǎng)絡(luò)安全產(chǎn)品本身所具有的強大功效遠沒有得到充分的發(fā)揮；另一方面，這些安全產(chǎn)品在技術(shù)實現(xiàn)上，有許多重復(fù)工作，這也影響了應(yīng)用的效率。因此網(wǎng)絡(luò)安全產(chǎn)品的選擇應(yīng)該是建立在相關(guān)安全產(chǎn)品能夠相互通信并協(xié)同工作的基礎(chǔ)上，即實現(xiàn)防火墻、IDS、病毒防護系統(tǒng)、信息審計系統(tǒng)等的互通與聯(lián)動，以實現(xiàn)最大程度和最快效果的安全保證。

2、網(wǎng)絡(luò)安全技術(shù)和策略

內(nèi)部網(wǎng)絡(luò)的安全具體來說包括攻擊檢測、攻擊防范、攻擊后的恢復(fù)這三個大方向，那么安全技術(shù)和策略的實現(xiàn)也應(yīng)從這三個方面來考慮。

積極主動的安全策略把入侵檢測概念提升到了更有效、更合理的入侵者檢測（甚至是內(nèi)部入侵者）層面。內(nèi)部安全漏洞在于人，而不是技術(shù)。因此，應(yīng)重點由發(fā)現(xiàn)問題并填補漏洞迅速轉(zhuǎn)向查出誰是破壞者、采取彌補措施并消除事件再發(fā)的可能性。真正的安全策略的最佳工具應(yīng)包括實時審查目錄和服務(wù)器的功能，具體包括：不斷地自動監(jiān)視目錄，檢查用戶權(quán)限和用戶組帳戶有無變更；警惕地監(jiān)視服務(wù)器，檢查有無可疑的文件活動。無論未授權(quán)用戶企圖訪問敏感信息還是員工使用下載的工具蓄意破壞，真正的安全管理工具會通知相應(yīng)管理員，并自動采取預(yù)定行動。在積極查詢的同時，也應(yīng)該采用必要的攻擊防范手段。對于數(shù)據(jù)的安全保護，理想的辦法是在內(nèi)部網(wǎng)絡(luò)中采用基于密碼技術(shù)的數(shù)字身份認證和高強度的加密數(shù)據(jù)傳輸技術(shù)，同時采用安全的密鑰分發(fā)技術(shù)，這樣既防止用戶對業(yè)務(wù)的否認和抵賴，同時又防止數(shù)據(jù)遭到竊聽后被破解，保證了數(shù)據(jù)在網(wǎng)上傳輸?shù)目煽啃?。攻擊后恢?fù)首先是數(shù)據(jù)的安全存儲和備份，在發(fā)現(xiàn)遭受攻擊后可以利用備份的數(shù)據(jù)快速的恢復(fù)；針對WWW服務(wù)器網(wǎng)頁安全問題，實施對Web文件內(nèi)容的實時監(jiān)控，一旦發(fā)現(xiàn)被非法篡改，可及時報警并自動恢復(fù)，同時形成監(jiān)控和恢復(fù)日志，并提供友好的用戶界面以便用戶查看、使用，有效地保證了Web文件的完整性和真實性。

3、安全管理

有了好的安全工具和策略，還必須有好的安全管理人員來有效的使用工具和實現(xiàn)策略。經(jīng)過培訓(xùn)的安全管理員能夠隨時掌握網(wǎng)絡(luò)安全的最新動態(tài)，實時監(jiān)控網(wǎng)絡(luò)上的用戶行為，保障網(wǎng)絡(luò)設(shè)備自身和網(wǎng)上信息的安全，并對可能存在的網(wǎng)絡(luò)威脅有一定的預(yù)見能力并采取相應(yīng)的應(yīng)對措施，同時對已經(jīng)發(fā)生的網(wǎng)絡(luò)破壞行為在最短的時間內(nèi)做出響應(yīng)，使企業(yè)的損失減少到最低限度。企業(yè)領(lǐng)導(dǎo)應(yīng)當投入相當?shù)慕?jīng)費用于網(wǎng)絡(luò)安全管理人員的培訓(xùn)，或者聘請安全服務(wù)提供商來維護內(nèi)部網(wǎng)絡(luò)的安全。

4、網(wǎng)絡(luò)安全制度

要從網(wǎng)絡(luò)安全的角度來實施對人的管理，企業(yè)的領(lǐng)導(dǎo)必須首先認識到網(wǎng)絡(luò)安全的重要性，在此基礎(chǔ)上制定相應(yīng)的政策法規(guī)，使網(wǎng)絡(luò)安全的相關(guān)問題做到有法可依、有據(jù)可查，最大限度地提高員工的安全意識和安全技能，并在一定程度上造成對蓄意破壞分子的心理震懾。

目前許多企業(yè)已認識到網(wǎng)絡(luò)安全的重要性，已采取了一些措施并購買了相應(yīng)的設(shè)備，但在網(wǎng)絡(luò)安全法規(guī)上還沒有清醒的認識，或是沒有較為系統(tǒng)和完善的制度，這樣往往會給不法分子以可乘之機。國際上，以ISO17799/BSI7799為基礎(chǔ)的信息安全管理體系已經(jīng)確立，并已被廣泛采用，企業(yè)可以此為標準開展安全制度的建立工作。安全組織應(yīng)當有企業(yè)高層掛帥，由專職的安全管理員負責安全設(shè)備的管理與維護，監(jiān)督其他人員設(shè)備安全配置的執(zhí)行情況，還應(yīng)當形成定期的安全評審機制。只有通過以上手段加強安全管理，才能保證由安全產(chǎn)品和安全技術(shù)組成的安全防護體系能夠被有效地使用。

總之，要想保證內(nèi)部網(wǎng)絡(luò)的安全，在做好邊界防護的同時，更要做好內(nèi)部網(wǎng)絡(luò)的管理。安全重在管理，沒有好的管理思想、嚴格的管理制度、負責的管理人員和實施到位的管理程序，就沒有真正的安全。在有了“法治”的同時，還要有“人治”，即經(jīng)驗豐富的安全管理人員和先進的網(wǎng)絡(luò)安全工具，有了這兩方面的治理，才能得到一個真正安全的網(wǎng)絡(luò)。

作者簡介：

樊恒舒（1980-），政工師，碩士研究生，天津市信息中心，從事信息服務(wù)工作.endprint