構(gòu)建設(shè)計(jì)院安全信息網(wǎng)絡(luò)策略分析

郭龍勝,徐 妍

(黑龍江省水利水電勘測(cè)設(shè)計(jì)研究院,哈爾濱 150080)

1 引 言

信息化是當(dāng)今社會(huì)現(xiàn)代化發(fā)展的趨勢(shì)和潮流。信息化的程度標(biāo)志著企業(yè)的發(fā)展水平,且業(yè)已成為衡量一個(gè)企業(yè)的生產(chǎn)、經(jīng)營(yíng)、管理水平和綜合實(shí)力的重要標(biāo)志。隨著 C A D、O A、MI S等系統(tǒng)的深度應(yīng)用,信息網(wǎng)絡(luò)已發(fā)展到了生產(chǎn)經(jīng)營(yíng)的各個(gè)領(lǐng)域、各個(gè)層面,并通過(guò)互聯(lián)網(wǎng)繼續(xù)延伸。在取得高效、獲得便利的同時(shí)來(lái)自于內(nèi)網(wǎng)、外網(wǎng)的諸多安全問(wèn)題和隱患也相繼暴露出來(lái);因此逐層分析,并有針對(duì)性的采取措施,從而全面的提升信息網(wǎng)絡(luò)結(jié)構(gòu)的堅(jiān)固性,加強(qiáng)信息網(wǎng)絡(luò)各層次安全的防護(hù)水平。

2 安全狀況分析

目前企業(yè)網(wǎng)絡(luò)系統(tǒng)拓?fù)渲饕?干線——分支——終端三段式結(jié)構(gòu)。安全系統(tǒng)主要由防火墻、I D S、病毒防護(hù)等組成,這種結(jié)構(gòu)較為粗放,它的設(shè)計(jì)目標(biāo)主要以應(yīng)對(duì)網(wǎng)絡(luò)對(duì)端的外來(lái)威脅為主,對(duì)內(nèi)部基本不設(shè)防。而隨著計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)用的日益豐富,網(wǎng)絡(luò)環(huán)境也日趨復(fù)雜,各種網(wǎng)絡(luò)安全問(wèn)題日漸突顯,陳舊的安全理念應(yīng)對(duì)新形勢(shì)下的攻擊入侵已缺乏有效的防范手段及控制力度,整體防御能力已大為降低。

2.1 接入安全

2.1.1 互聯(lián)網(wǎng)接入

來(lái)自互聯(lián)網(wǎng)的潛在危險(xiǎn)是一直都存在的,由于互聯(lián)網(wǎng)使用的廣泛性,網(wǎng)絡(luò)應(yīng)用日趨復(fù)雜,感染手段變化多樣(如網(wǎng)頁(yè)瀏覽、郵件查看、捆綁應(yīng)用程序等等),近年來(lái)由于病毒工作目標(biāo)更是從“破壞型”向“竊取型”轉(zhuǎn)變,所以攻擊行為也變得更加隱蔽,令人防不勝防。現(xiàn)在計(jì)算機(jī)病毒與木馬程序緊密結(jié)合,使得一旦終端計(jì)算機(jī)遭到感染不但機(jī)主受害,同時(shí)也將給內(nèi)網(wǎng)安全造成巨大破壞,由此引起的文件泄密所造成損失將更為慘重,代價(jià)更大。而由內(nèi)部員工透過(guò)互聯(lián)網(wǎng)的“主動(dòng)泄密”行為,則更是極其嚴(yán)重的安全問(wèn)題。

2.1.2 移動(dòng)設(shè)備接入

最近的統(tǒng)計(jì)資料表明來(lái)自于內(nèi)網(wǎng)的安全問(wèn)題所占比例逐漸增大,內(nèi)網(wǎng)安全隱患已成為信息網(wǎng)絡(luò)安全中的最大威脅。其中由移動(dòng)設(shè)備(U盤(pán)、光刻錄、移動(dòng)硬盤(pán)、數(shù)碼卡、筆記本等外來(lái)接入設(shè)備)的濫用所帶來(lái)的危害占很大比重。如近來(lái)較流行的A u t o r u n病毒,A R P攻擊等主要都是依靠移動(dòng)介質(zhì)來(lái)進(jìn)行傳播。而越來(lái)越多的敏感數(shù)據(jù)、涉密文檔被存儲(chǔ)在移動(dòng)介質(zhì)里也給企業(yè)資源管理帶來(lái)相當(dāng)大的安全隱患。其中包括:非法拷貝涉密數(shù)據(jù),內(nèi)部數(shù)據(jù)外流造成非授權(quán)使用,存有數(shù)據(jù)的介質(zhì)遺失,報(bào)廢或維修的存儲(chǔ)介質(zhì)里含有未經(jīng)安全處理的資料文件等。

2.1.3 非法外連

游離于設(shè)定系統(tǒng)外部的接入設(shè)備,其接入手段多樣,主要包括:m o d e m撥號(hào)、無(wú)線網(wǎng)、私網(wǎng)交叉、非授權(quán)移動(dòng)終端、藍(lán)牙、紅外等,由于其隨意性、不可預(yù)知性、隱蔽性等造成不好監(jiān)控,不好管理,難于取證、防范和制裁。這一種安全隱患經(jīng)常會(huì)給企業(yè)網(wǎng)造成意想不到的損害。

2.2 主機(jī)安全

伴隨企業(yè)信息網(wǎng)絡(luò)的發(fā)展,終端主機(jī)數(shù)量日漸龐大,日常計(jì)算機(jī)應(yīng)用日益繁多,計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境也變的越加惡化。在現(xiàn)有架構(gòu)下,當(dāng)終端主機(jī)系統(tǒng)被攻陷時(shí),就很可能導(dǎo)致大量主機(jī)并發(fā)爆發(fā)網(wǎng)絡(luò)病毒。海量的無(wú)用數(shù)據(jù)包充斥在網(wǎng)間,擠占有限的網(wǎng)絡(luò)資源,造成有用數(shù)據(jù)流堵塞,直至交換設(shè)備過(guò)載,網(wǎng)絡(luò)癱瘓;亦或造成大量?jī)?nèi)部文檔失竊外流、損毀,其損失更不可估量。

2.3 傳輸安全

伴隨網(wǎng)絡(luò)應(yīng)用的日趨復(fù)雜,一些新興的應(yīng)用,例如:新型下載、傳輸?shù)葏f(xié)議的開(kāi)發(fā)、應(yīng)用,使得所攜帶病毒文件或可規(guī)避于現(xiàn)有的檢測(cè)機(jī)制,更隱蔽、更難于被發(fā)現(xiàn);相反的一些由明文傳輸或弱口令加密的賬號(hào)、密碼、涉密文件等敏感信息則很容易被網(wǎng)絡(luò)上的不法“窺伺者”輕易獲取、破解,造成嚴(yán)重的安全事故。此外傳輸安全隱患還包括電磁泄露等方式。

2.4 文件安全

數(shù)據(jù)文件本身的安全是信息安全的重中之重。除去誤操作造成的文檔丟失、損毀等,未經(jīng)加密的數(shù)據(jù)文件通過(guò)非正常渠道外流,其中包括:非授權(quán)發(fā)送,非法接入流出,打印資料外流,計(jì)算機(jī)對(duì)無(wú)關(guān)人員共享,存儲(chǔ)介質(zhì)丟失、或外流,木馬病毒發(fā)送等等,都會(huì)給企業(yè)及個(gè)人造成不同程度的損失。若涉密信息已經(jīng)過(guò)加密處理,則即使不慎遺失也不會(huì)造成直接的重大損失。

電子郵件也是文件的一種形式。通過(guò)電子郵件夾帶病毒、惡意代碼往往更具有欺騙性和隱蔽性,危害也較大。而電郵的明文發(fā)送也是文件泄密事件的又一大渠道。

2.5 服務(wù)器安全

在現(xiàn)代化的信息網(wǎng)絡(luò)建設(shè)中服務(wù)器扮演著至關(guān)重要的角色。相比于對(duì)重重設(shè)防的外網(wǎng)來(lái)說(shuō),服務(wù)器機(jī)群幾乎是“裸露”在內(nèi)網(wǎng)里的“靶子”。在此情況下服務(wù)器更需要特別的安全保護(hù)。

3 應(yīng)對(duì)策略

應(yīng)對(duì)多層次的日趨復(fù)雜的網(wǎng)絡(luò)安全問(wèn)題,新技術(shù)手段的應(yīng)用和先進(jìn)的規(guī)范管理辦法的實(shí)施顯得尤為重要。技術(shù)與管理并舉,二者兼容并蓄、缺一不可。只重視技術(shù)不加強(qiáng)管理,信息安全工作就易被忽視,技術(shù)手段反而成為束縛,安全保密工作無(wú)法展開(kāi)。因而在信息安全這個(gè)信息工程中有著“三分技術(shù),七分管理”的說(shuō)法,技術(shù)為管理服務(wù)。管理是指從策略、組織、運(yùn)作 3個(gè)層面進(jìn)行管理;而技術(shù)是指基于多層次防護(hù)策略(由保護(hù)、檢測(cè)、響應(yīng)、恢復(fù)、審計(jì)等環(huán)節(jié)構(gòu)成),根據(jù)信息資產(chǎn)的重要程度實(shí)施相應(yīng)的安全策略;最終目標(biāo)則是要達(dá)到“外人進(jìn)不來(lái),進(jìn)來(lái)看不到,看見(jiàn)拿不走,拿了用不了,操作可追溯”的效果。

3.1 重視管理

建立網(wǎng)絡(luò)與信息安全保密組織,制定相關(guān)的管理制度,大力宣傳信息安全的重要性,最大程度地保護(hù)企業(yè)的內(nèi)部信息。具體工作任務(wù)有:①根據(jù)信息安全保密工作的具體要求建立適合本單位的規(guī)定,建立可操作的工作制度;②對(duì)本單位涉密部門(mén)劃分級(jí)別,對(duì)用戶電腦進(jìn)行詳細(xì)的安全規(guī)劃;③不明信息資料的界定由保密部門(mén)甄別;④為技術(shù)、管理部門(mén)提建議;⑤對(duì)全員培訓(xùn)教育,普及基本安全知識(shí),避免誤操作;⑥對(duì)涉密信息的流傳進(jìn)行監(jiān)督,具備審計(jì)能力;⑦協(xié)助公安部門(mén)對(duì)泄密事件調(diào)查、取證;⑧定期報(bào)告相關(guān)工作情況。

依據(jù)信息密級(jí),結(jié)合工作需要,對(duì)信息網(wǎng)絡(luò)進(jìn)行分級(jí)管理。例如可劃分:國(guó)密網(wǎng)、專用網(wǎng)、外網(wǎng)、辦公內(nèi)網(wǎng)(含服務(wù)器D MZ專屬區(qū))等安全區(qū),對(duì)于不同安全區(qū)內(nèi)的系統(tǒng)根據(jù)重要性進(jìn)行分級(jí)管理。

3.2 準(zhǔn)入制度

對(duì)終端主機(jī)實(shí)行實(shí)名注冊(cè)管理,接入網(wǎng)絡(luò)系統(tǒng)時(shí)需進(jìn)行設(shè)備和賬號(hào)雙重認(rèn)證控制。首先,通過(guò)系統(tǒng)后臺(tái)驗(yàn)證終端電腦是否已在系統(tǒng)中注冊(cè),是否符合安全標(biāo)準(zhǔn)(安裝準(zhǔn)入客戶端和指定病毒防火墻),驗(yàn)證合格后方允許接入網(wǎng)絡(luò);其次,用戶輸入賬號(hào)、密碼,經(jīng)身份驗(yàn)證后訪問(wèn)內(nèi)網(wǎng)信息資源。非注冊(cè)終端設(shè)備或非授權(quán)賬號(hào)不能接入內(nèi)部辦公網(wǎng)絡(luò),非安全認(rèn)證終端設(shè)備訪問(wèn)內(nèi)部辦公網(wǎng)資源時(shí)將受限。對(duì)企業(yè)內(nèi)網(wǎng)網(wǎng)站進(jìn)行分級(jí)授權(quán)管理,區(qū)分主頁(yè)訪問(wèn)權(quán)限、特定業(yè)務(wù)相關(guān)訪問(wèn)授權(quán)、應(yīng)用程序授權(quán)。使員工在權(quán)限內(nèi)查閱資料、利用網(wǎng)絡(luò)信息資源,在安全范圍內(nèi)進(jìn)行成果交流。

在互聯(lián)網(wǎng)出口實(shí)施認(rèn)證和流量管理,加強(qiáng)互聯(lián)網(wǎng)系統(tǒng)的監(jiān)控和管理。禁止聯(lián)機(jī)游戲、基金炒股、P 2P下載、視頻等;限制使用 B B S、博客、即時(shí)通訊工具等網(wǎng)絡(luò)操作;嚴(yán)格控制超文本傳輸(H T T P)以外的應(yīng)用;禁止一個(gè)賬號(hào)在多點(diǎn)登陸;按國(guó)家相關(guān)規(guī)定對(duì)訪問(wèn)互聯(lián)網(wǎng)的行為進(jìn)行后臺(tái)監(jiān)控,在必要時(shí)對(duì)日志進(jìn)行審計(jì);禁止訪問(wèn)非工作相關(guān)網(wǎng)站和不良網(wǎng)站。對(duì)違規(guī)人員回收權(quán)限并通告。

3.3 主機(jī)策略

終端計(jì)算機(jī)的安全是構(gòu)建可信網(wǎng)不可或缺的重要組成部分,信息網(wǎng)絡(luò)系統(tǒng)的強(qiáng)壯也離不開(kāi)單點(diǎn)的良性可控。在日常計(jì)算機(jī)操作中一些必要的安全設(shè)置往往能夠防患于未然。例如:G u e s t賬號(hào)的禁用;系統(tǒng)、重要文件的定期備份;關(guān)閉非必要服務(wù);及時(shí)更新防毒軟件;合理設(shè)置防火墻屏蔽有害連接等都是很必要的安全措施。

而正確的安裝系統(tǒng)補(bǔ)丁也極為重要。大部分的網(wǎng)絡(luò)攻擊都是基于操作系統(tǒng)或應(yīng)用程序的漏洞進(jìn)行的,及時(shí)打補(bǔ)丁可以有效的防止系統(tǒng)被攻擊或破壞。部署補(bǔ)丁自動(dòng)分發(fā)機(jī)制(比如S MS、V R V等內(nèi)網(wǎng)管理系統(tǒng))還能夠協(xié)助系統(tǒng)管理員收集企業(yè)內(nèi)部計(jì)算機(jī)軟、硬件配置信息,為遠(yuǎn)程故障處理、設(shè)備配給、策略落實(shí)等管理提供方便。

3.4 文件傳輸

就傳輸通道的健壯性而言,數(shù)據(jù)加密一般可分為應(yīng)用層加密、網(wǎng)絡(luò)層加密和鏈路層加密等幾種方式,不同的加密方式采用不同的加密設(shè)備。其中鏈路層加密屬于一一對(duì)應(yīng)的關(guān)系,主要用于安全級(jí)別較高的專用聯(lián)接,在網(wǎng)絡(luò)中應(yīng)用較少。應(yīng)用層加密主要是對(duì)業(yè)務(wù)數(shù)據(jù)或關(guān)鍵信息的加密,它通過(guò)加密機(jī)設(shè)備和依據(jù)其硬件廠商提供的 A P I庫(kù)所開(kāi)發(fā)的應(yīng)用軟件來(lái)配合實(shí)現(xiàn),信息傳輸時(shí)直接調(diào)用該A P I庫(kù)進(jìn)行加密解密。應(yīng)用層加密能夠保證信息在傳輸過(guò)程中的全程加密,安全性很高。但也因其A P I庫(kù)標(biāo)準(zhǔn)不統(tǒng)一,故而靈活性差和擴(kuò)展性不佳。網(wǎng)絡(luò)層加密一般是對(duì)網(wǎng)絡(luò)層數(shù)據(jù)加密,即對(duì)I P包加密。由于T C P/I P協(xié)議是一個(gè)開(kāi)放性協(xié)議,標(biāo)準(zhǔn)統(tǒng)一,因此網(wǎng)絡(luò)加密設(shè)備可應(yīng)用于大部分網(wǎng)絡(luò),靈活性高,可擴(kuò)展性強(qiáng),除提供加密功能外,還可作為V P N網(wǎng)關(guān),因此被廣泛應(yīng)用與各個(gè)網(wǎng)絡(luò)環(huán)境。通常采用內(nèi)置國(guó)家密碼管理局認(rèn)證硬件加密卡的網(wǎng)絡(luò)加密機(jī)(V P N)進(jìn)行數(shù)據(jù)傳輸通道的加密。即利用低成本的公共網(wǎng)絡(luò)來(lái)進(jìn)行企業(yè)機(jī)要數(shù)據(jù)的安全傳輸。

而針對(duì)文件發(fā)送,建立公開(kāi)密鑰基礎(chǔ)設(shè)施(P K I)證書(shū)系統(tǒng),要求發(fā)送郵件采用P K I/C A加密與數(shù)字簽名的方式增加郵件系統(tǒng)的安全性。同時(shí)建立歸檔機(jī)制及備份措施,以備需要時(shí)查詢、監(jiān)督、審計(jì),也可有效的保護(hù)知識(shí)產(chǎn)權(quán)。禁止在企業(yè)網(wǎng)內(nèi)存儲(chǔ)、處理、傳輸涉密電子文件、信息,對(duì)涉密的數(shù)據(jù)要進(jìn)行加密處理。包括:對(duì)網(wǎng)頁(yè)中的附件形式的文檔加密,限制查閱、下載、打印、修改等權(quán)限;對(duì)部門(mén)和個(gè)人的最終成果類文檔提供基于加密和授權(quán)保護(hù)的方式進(jìn)行共享存儲(chǔ)及備份管理;涉密文檔的在線式授權(quán)使用,防范二次傳輸泄密(授權(quán)人向無(wú)關(guān)人員泄露或資料意外遺失)。

3.5 移動(dòng)設(shè)備的管理

對(duì)移動(dòng)存儲(chǔ)的使用進(jìn)行注冊(cè)管理。授權(quán)設(shè)備可在網(wǎng)內(nèi)工作主機(jī)上正常使用交換數(shù)據(jù),在外部使用時(shí)則需要將其設(shè)置為商旅模式并輸入密碼后才能使用;非注冊(cè)存儲(chǔ)設(shè)備上的數(shù)據(jù)資料可以向網(wǎng)內(nèi)拷貝,反之則被禁止;因工作需要向外傳送的數(shù)據(jù)資料則須經(jīng)保密審查后統(tǒng)一由相關(guān)責(zé)任機(jī)要員將該移動(dòng)存儲(chǔ)設(shè)備設(shè)置為商旅模式并進(jìn)行解密;對(duì)注冊(cè)設(shè)備中資料的更改、轉(zhuǎn)移、交換、解密等行為進(jìn)行后臺(tái)記錄,作為審計(jì)依據(jù)。

3.6 監(jiān)控審計(jì)

完整記錄用戶的互聯(lián)網(wǎng)訪問(wèn)、收發(fā)郵件、文檔拷貝、電腦操作以及信息系統(tǒng)管理員操作等所有信息傳遞活動(dòng)日志;對(duì)重點(diǎn)部門(mén)及各人電腦進(jìn)行監(jiān)控;根據(jù)需要對(duì)各種信息進(jìn)行統(tǒng)計(jì)審計(jì)。審計(jì)工作由審計(jì)人員組織執(zhí)行,便于稽核追蹤管理;明確區(qū)分操作權(quán)(用戶)、管理權(quán)(管理員)、審計(jì)權(quán)(審計(jì)人員);提供監(jiān)控和追溯審查手段。

4 總 結(jié)

隨著進(jìn)一步完善各類安全應(yīng)急預(yù)案,健全信息網(wǎng)絡(luò)安全責(zé)任體系,加強(qiáng)各級(jí)管理人員的責(zé)任意識(shí),把信息網(wǎng)絡(luò)安全提高到安全生產(chǎn)的高度,在保障內(nèi)部網(wǎng)絡(luò)信息的安全的前提下為院及職工的網(wǎng)上業(yè)務(wù)提供有力支持,努力建成安全、可靠、高速的“現(xiàn)代化數(shù)字信息網(wǎng)絡(luò)”。建設(shè)目標(biāo)為以網(wǎng)絡(luò)為支撐,以C A D、3D協(xié)同設(shè)計(jì)和O A為基礎(chǔ),以數(shù)據(jù)庫(kù)為核心,以工程項(xiàng)目管理為主線,設(shè)計(jì)與管理一體化的集成應(yīng)用信息系統(tǒng)。打造先進(jìn)的數(shù)字化企業(yè)。為企業(yè)管理水平的提高和企業(yè)持續(xù)發(fā)展提供有力支撐,為發(fā)展成為一流設(shè)計(jì)企業(yè)奠定良好基礎(chǔ)。

[1] 管虎.三分技術(shù)七分管理[J].信息安全與通信保密,2006, (6):39.

[2] 李海泉.計(jì)算機(jī)網(wǎng)絡(luò)安全與加密技術(shù)[M].北京:科學(xué)出版社, 2007.

[3] 沈昌祥.高安全級(jí)信息系統(tǒng)等級(jí)保護(hù)建設(shè)整改技術(shù)框架.信息安全與通信保密,2008,12:11.