淺析企業網絡安全及防范

摘要：隨著計算機網絡的普及，網絡安全日趨重要，本文從網絡不安全因素談起，對企業網絡安全進行了分析，并提出了個人的一些見解。

關鍵詞：網絡安全 安全威脅 防范措施

隨著網絡技術的不斷發展，許多企業建立了自己的局域網及應用系統，為生產、辦公提供了關鍵的數據傳輸平臺。網絡系統長期穩定安全地運行，是為企業生產、辦公提供優質服務的保障。目前，企業網絡平臺建設已經延伸到了各個單位的各個層面。在這樣大范圍分布的網絡中，業務系統、網絡的分散管理勢必會制約管理效率的提高，而且，也帶來了諸多安全隱患。本人結合實際經驗，談一談網絡安全與防范技術。

1 企業網絡威脅分析

許多企業計算機網絡當前所面臨的威脅大體可分為兩種：一是對網絡中資源的威脅；二是對網絡中設備的威脅。影響計算機網絡的因素很多，有些因素可能是有意的，也可能是無意的；可能是人為的，也可能是非人為的；可能是外來黑客對網絡系統資源的非法使有，歸結起來，針對網絡安全的威脅主要有以下幾點：

1.1 人為的無意失誤 如用戶對計算機安全配置不當造成的安全漏洞，用戶安全意識不強，密碼口令設置較弱，用戶將自己的賬號隨意轉借他人或與別人共享等都會對網絡安全帶來威脅。

1.2 人為的惡意攻擊 這是計算機網絡所面臨的最大威脅。此類攻擊又可以分為以下兩種：一種是主動攻擊，它以各種方式有選擇地破壞信息的有效性和完整性；另一類是被動攻擊，它是在不影響網絡正常工作的情況下，進行截獲、竊取、破譯以獲得重要機密信息。這兩種攻擊均可對計算機網絡造成極大的危害，并導致機密數據的泄漏。

1.3 網絡軟件的漏洞和系統后門 網絡軟件不可能是百分之百的無缺陷和無漏洞的，然而，這些漏洞和缺陷恰恰是黑客進行攻擊的首選目標。另外，系統后門都是軟件公司的設計編程人員為了自己方便而設置的，一般不為外人所知，但一旦后門洞開，其造成的后果將不堪設想。

1.4 病毒是網絡安全的一大隱患 目前，全球已發現四萬余種病毒，并且以每月新增300多種的速度繼續破壞著網絡上寶貴的信息資源。計算機病毒不但本身具有破壞性，更有害的是具有傳染性，一旦病毒被復制或產生變種，其速度之快令人難以預防。

2 企業網絡脆弱性分析

2.1 難以抵制針對系統自身缺陷的攻擊 此類攻擊手段包括特洛伊木馬、口令猜測、緩沖區溢出等。利用系統固有的或系統配置及管理過程中的安全漏洞，穿透或繞過安全設施的防護策略，達到非法訪問直至控制系統的目的，并以此為跳板，繼續攻擊其它系統。

2.2 安全監控手段不多 許多企業沒有部署有效的流量管理措施，不能對企業網絡中的流量進行監控。當網絡中垃圾數據包大量產生，P2P、BT下載猖獗，會嚴重阻塞網絡，拖慢網絡中重要業務應用，并最終導致系統癱瘓。

2.3 防病毒系統難以應對復雜多變的病毒環境 現在很多病毒為利用操作系統漏洞進行傳播的蠕蟲病毒，這種類型的病毒整合了傳統病毒傳播和黑客攻擊的技術，以多種方式進行傳播和攻擊。它不需要人工干預，能夠自動發現和利用系統漏洞，并自動對有系統漏洞的計算機進行傳播和攻擊，其傳播和感染速度極快，破壞性也更強，受感染的系統通常伴隨著木馬程序種植。這種類型的病毒除了破壞被感染的機器，在傳播過程中也會形成DOS攻擊，阻塞網絡。

2.4 網絡設計不合理 網絡設計是指拓撲結構的設計和各種網絡設備的選擇、配置等。網絡設備、網絡協議、網絡操作系統等都會直接帶來安全隱患。合理的網絡設計在節約資源的情況下，還可以提供較好的安全性。企業的網絡架構簡單，交換機配置不合理，都會對網絡造成威脅。

2.5 缺少嚴格合理的安全管理制度 政策的不完善、落實不徹底、安全管理制度的不健全、措施不得力和缺乏有效的動態管理網絡系統安全策略的能力等都可能形成對系統安全的威脅。

3 防范措施

3.1 防火墻部署 防火墻是建立在內部專有網絡和外部公有網絡之間的。所有來自公網的傳輸信息或從內網發出的信息都必須穿過防火墻。網絡訪問的安全一方面我們要配置防火墻禁止對內訪問，以防止互聯網上黑客的非法入侵；另一方面對允許對內訪問的合法用戶設立安全訪問區域。防火墻是在系統內部和外部之間的隔離層，可保護內部系統不被外部系統攻擊。

通過配置安全訪問控制策略，可確保與外界可靠、安全連接。防火墻的功能是對訪問用戶進行過濾，通過防火墻的設置，對內網、公網、DMZ區進行劃分，并實施安全策略，防止外部用戶或內部用戶彼此之間的惡性攻擊。同時防火墻支持VPN功能，對經常出差的領導、員工支持遠程私有網絡，用戶通過公網可以象訪問本地內部局域網一樣任意進行訪問。此外，防火墻還可以收集和記錄關于系統和網絡使用的多種信息，為流量監控和入侵檢測提供可靠的數據支持。

3.2 防病毒系統 在網絡環境下，計算機病毒有不可估量的威脅性和破壞力，因此計算機病毒的防范是網絡安全性建設中重要的一環。

通過部署防病毒系統，做到實現集中病毒管理，在中心控制臺可監視所有部署防病毒客戶端的計算機和服務器。并可據具體需要制定出相應的防范和救治措施，如刪除，隔離，殺毒等；能夠對進入系統的病毒做實時的響應。自動由中心控制臺向其它計算機和服務器更新病毒庫。可以預先設定對某些重要文件進行實時掃描監控。

3.3 流量監控系統 什么是流量監控？眾所周知，網絡通信是通過數據包來完成的，所有信息都包含在網絡通信數據包中。兩臺計算機通過網絡“溝通”，是借助發送與接收數據包來完成的。所謂流量監控，實際上就是針對這些網絡通信數據包進行管理與控制，同時進行優化與限制。流量監控的目的是允許并保證有用數據包的高效傳輸，禁止或限制非法數據包傳輸，一保一限是流量監控的本質。在P2P技術廣泛應用的今天，企業部署流量監控是非常有必要的。

3.4 合理的配置策略 通過將企業網絡劃分為虛擬網絡VLAN網段，可以強化網絡管理和網絡安全。

3.4.1 增加了網絡連接的靈活性 借助VLAN技術，能將不同地點、不同網絡、不同用戶組合在一起，形成一個虛擬的網絡環境，就像使用本地LAN一樣方便、靈活、有效。VLAN可以降低移動或變更工作站地理位置的管理費用，特別是一些業務情況有經常性變動的公司使用了VLAN后，這部分管理費用大大降低。

3.4.2 控制網絡上的廣播 VLAN可以提供建立防火墻的機制，防止交換網絡的過量廣播。使用VLAN，可以將某個交換端口或用戶賦于某一個特定的VLAN組，該VLAN組可以在一個交換網中或跨接多個交換機，在一個VLAN中的廣播不會送到VLAN之外。同樣，相鄰的端口不會收到其他VLAN產生的廣播。這樣可以減少廣播流量，釋放帶寬給用戶應用，減少廣播的產生。

3.4.3 增加網絡的安全性 因為一個VLAN就是一個單獨的廣播域，VLAN之間相互隔離，這大大提高了網絡的利用率，確保了網絡的安全保密性。交換端口可以基于應用類型和訪問特權來進行分組，被限制的應用程序和資源一般置于安全性VLAN中。

3.5 安全管理制度 面對網絡安全的脆弱性，除了在網絡設計上增加安全服務功能，完善系統的安全保密措施外，還必須花大力氣加強網絡的安全管理，制訂相應的管理制度或采用相應的規范。對于安全等級要求較高的系統，要實行分區控制，限制工作人員出入與己無關的區域。出入管理可安裝自動識別登記系統，采用指紋鎖、身份卡等手段，對人員進行識別、登記管理。

4 結束語

總之，網絡安全是需要綜合的部署和完善的策略來做保證的。企業的網絡安全是一項綜合性很強的工作，并且持續的時間將隨著整個拓撲和應用的周期而擴展。網絡管理人員必須明確網絡安全的框架體系、安全防范的層次結構和系統設計的基本原則，根據規定的安全策略制定出合理靈活的部署，這樣才能真正做到整個網絡的安全。

參考文獻：

[1]文興苑.《網絡安全技術》.科技出版社.

[2]張義.《網絡入侵檢測與防范》.人民郵電出版社.