淺談企業辦公自動化網絡安全

摘要:隨著計算機網絡技術的普及，利用聯網實現辦公自動化，并將辦公自動化應用到政府、軍隊等安全性要求較高的機構已成為一種迫切的需要.所謂辦公自動化是指運用微機及相關外設，有效地管理和傳輸各種信息，達到提高工作效率的目的。辦公自動化網絡是一個中小型的局部網絡.辦公自動化網絡系統是自動化無紙辦公系統的重要組成部分。在實現聯網辦公時，由于覆蓋面大，使用人員混雜，管理水平各異，往往不能保證公文在網絡上安全傳輸和管理。還有一些人專門在網絡上從事信息破壞活動，給國家、企業造成巨大的損失.因此，加強網絡安全，防止信息被泄露、修改和非法竊取成為當前網絡辦公自動化普及與應用迫切需要解決的問題。本文總結了辦公自動化網絡常見的安全問題及其后果，探討了解決這些安全問題的方法，提供了基于網絡內部的安全策略。

關鍵詞:辦公自動化網絡網絡安全病毒黑客

0 引言

企業內部辦公自動化網絡一般是基于TcrilP協議并采用了Internet的通信標準和Web信息流通模式的Intra-net，它具有開放性，因而使用極其方便。但開放性卻帶來了系統人侵、病毒人侵等安全性問題。一旦安全問題得不到很好地解決，就可能出現商業秘密泄漏、設備損壞、數據丟失、系統癱瘓等嚴重后果，給正常的企業經營活動造成極大的負面影響。因此企業需要一個更安全的辦公自動化網絡系統。辦公自動化系統的安全包括網絡設備、配套設備的安全、數據的安全、通訊的安全、運行環境的安全，還包括網絡內部每臺計算機的安全、計算機功能的正常發揮等部分。辦公自動化網絡安全問題的解決主要應從預警、防護、災難恢復等三方面人手，下面就安全預警、數據安全防護、人侵防范、病毒防治以及數據恢復等方面分別探討。

1 辦公自動化網絡常見的安全問題

1.1 網絡病毒的傳播與感染 隨著計算機和網絡的進步和普及，計算機病毒也不斷出現，總數已經超過20000種，并以每月300種的速度增加，其破環性也不斷增加，而網絡病毒破壞性就更強。一旦文件服務器的硬盤被病毒感染，就可能造成系統損壞、數據丟失，使網絡服務器無法起動，應用程序和數據無法正確使用，甚至導致整個網絡癱瘓，造成不可估量的損失。

1.2 黑客網絡技術的入侵 目前的辦公自動化網絡基本上都采用以廣播為技術基礎的以太網。在同一以太網中，任何兩個節點之間的通信數據包，不僅可以為這兩個節點的網卡所接收，也同時能夠為處在同一以太網上的任何一個節點的網卡所截取。另外，為了工作方便，辦公自動化網絡都備有與外網和國際互聯網相互連接的出入口，因此，外網及國際互聯網中的黑客只要侵入辦公自動化網絡中的任意節點進行偵聽，就可以捕獲發生在這個以太網上的所有數據包，對其進行解包分析，從而竊取關鍵信息;而本網絡中的黑客則有可能非常方便的截取任何數據包，從而造成信息的失竊。

1.3 系統數據的破壞 在辦公自動化網絡系統中，有多種因素可能導致數據的破壞。首先是黑客侵入，黑客基于各種原因侵入網絡，其中惡意侵入對網絡的危害可能是多方面的。其中一種危害就是破壞數據。其次是病毒破壞，病毒可能攻擊系統數據區，包括硬盤主引導扇區、Boot扇區、FAT表、文件目錄等;病毒還可能攻擊文件數據區和CMOS，使文件數據被刪除、改名、替換、丟失部分程序代碼，甚至直接破壞系統CMOS中的數據。第三是災難破壞，由于自然災害、突然停電、強烈震動、誤操作等造成數據破壞。重要數據遭到破壞和丟失，會造成企業經營困難、人力、物力、財力的巨大浪費。

2 網絡安全策略

2.1 網絡安全預警 辦公自動化網絡安全預警系統分為入侵預警和病毒預警兩部分。入侵預警系統中，入侵檢測可以分析確定網絡中傳輸的數據包是否經過授權。一旦檢測到入侵信息，將發出警告，從而減少對網絡的威脅。它提供企業安全風險管理報告，報告集中于重要的風險管理范圍，如實時風險、攻擊條件、安全漏洞和攻擊分析。病毒預警系統通過對所有進出網絡的數據包實施不間斷的持續掃描，保持全天24小時監控所有進出網絡的文件，發現病毒時可立即產生報警信息，通知管理員，并可以通過IP地址定位、端口定位追蹤病毒來源，記錄規定時間內追蹤網絡所有病毒的活動。

2.2 數據安全保護

2.2.1 針對入侵的安全保護:數據庫中的數據有純粹信息數據和功能文件數據兩大類，入侵保護應主要考慮以下幾條原則:物理設備和安全防護，包括服務器、有線、無線通信線路的安全防護。用戶對數據的存取應有明確的授權策略，保證用戶只能打開自己權限范圍之內的文件;通過審計和留痕技術避免非法者從系統外取得系統數據;客戶端的安全主要是要求能配合服務器的安全措施，提供身份認證、加密、解密、數字簽名和信息完整性驗證功能，并通過軟件強制實現各客戶機口令的定期更換，以防止口令泄漏可能帶來的損失。

2.2.2 針對病毒破壞及災難破壞的安全保護:對于病毒和災難破壞的數據保護來說，最為有效的保護方式有兩大類:物理保護和數據備份。要防止病毒和災難破壞數據，首先要在網絡核心設備上設置物理保護措施，包括設置電源冗余模塊和交換端口的冗余備份;其次是采用磁盤鏡像或磁盤陣列存儲數據，避免由于磁盤物理故障造成數據丟失;另外，還要使用其他物理媒體對重要的數據進行備份，包括實時數據備份和定期數據備份，以便數據丟失后及時有效地恢復。

2.3 入侵防范 要有效地防范非法入侵，應做到內外網隔離、訪問控制、內部網絡隔離和分段管理。

2.3.1 內外網隔離:在內部辦公自動化網絡和外網之間，設置物理隔離，以實現內外網的隔離是保護辦公自動化網絡安全的最主要、同時也是最有效、最經濟的措施之一。第一層隔離防護措施是路由器。路由器濾掉被屏蔽的IP地址和服務。可以首先屏蔽所有的IP地址，然后有選擇的放行一些地址進人辦公自動化網絡。第二層隔離防護措施是防火墻。無論何種類型防火墻，都應具有以下五大基本功能:過濾進、出網絡的數據;管理進、出網絡的訪問行為;封堵某些禁止的業務;記錄通過防火墻的信息內容和活動;對網絡攻擊的檢測和告警。

2.3.2 訪問控制:企業自動化網絡應采用訪問控制的安全措施，將整個網絡結構分為三部分，內部網絡、隔離區以及外網。每個部分設置不同的訪問控制方式。其中:內部網絡是不對外開放的區域，它不對外提供任何服務，所以外部用戶檢測不到它的IP地址，也難以對它進行攻擊。隔離區對外提供服務，系統開放的信息都放在該區，由于它的開放性，就使它成為黑客們攻擊的對象，但由于它與內部網是隔離開的，所以即使受到了攻擊也不會危及內部網。

2.3.3 內部網絡的隔離及分段管理:內部網絡分段是保證安全的一項重要措施，同時也是一項基本措施，其指導思想在于將非法用戶與網絡資源相互隔離，從而達到限制用戶非法訪問的目的。辦公自動化網絡可以根據部門或業務需要分段.網絡分段可采用物理分段或邏輯分段兩種方式:物理分段通常是指將網絡從物理層和數據鏈路層上分為若干網段，各網段相互之間無法進行直接通訊;邏輯分段則是指將整個系統在網絡層上進行分段。并能實現子網隔離。在實際應用過程中，通常采取物理分段與邏輯分段相結合的方法來實現隔離。

2.4 病毒防治 相對于單機病毒的防護來說，網絡病毒的防治具有更大的難度，網絡病毒防治應與網絡管理緊密結合。網絡防病毒最大的特點在于網絡的管理功能，如果沒有管理功能，很難完成網絡防毒的任務。只有管理與防范相結合，才能保證系統正常運行。計算機病毒的預防在于完善操作系統和應用軟件的安全機制。在網絡環境下，病毒傳播擴散快，僅用單機防殺病毒產品已經難以清除網絡病毒，必須有適用于局域網、廣域網的全方位防殺病毒產品。為實現計算機病毒的防治，可在辦公自動化網絡系統上安裝網絡病毒防治服務器，并在內部網絡服務器上安裝網絡病毒防治軟件，在單機上安裝單機環境的反病毒軟件。

2.5 數據恢復 辦公自動化系統數據遭到破壞之后，其數據恢復程度依賴于數據備份方案。數據備份的目的在于盡可能快地全盤恢復運行計算機系統所需的數據和系統信息。備份不僅在網絡系統硬件故障或人為失誤時起到保護作用，也在入侵者非授權訪問或對網絡攻擊及破壞數據完整性時起到保護作用，同時亦是系統災難恢復的前提之一。

隨著企業各部門之間、企業和企業之間、國際間信息交流的日益頻繁，辦公自動化網絡的安全問題已經提到重要的議事日程上來，一個技術上可行、設計上合理、投資上平衡的安全策略已經成為成功的辦公自動化網絡的重要組成部分。

參考文獻:

[1]吳若松:新的網絡威脅無處不在[J].信息安全與通信保密，2005年12期.

[2]唐朝京張權張森強:有組織的網絡攻擊行為結果的建模[J].信息與電子工程.2003年2期.

[3]王秋華:網絡安全體系結構的設計與實現[J].杭州電子科技大學學報.2005年5期.