淺析辦公自動化網絡安全防護策略探討

【摘 要】本文總結了辦公自動化網絡常見的安全問題及其后果，探討了解決這些安全問題的方法，提供了基于網絡內部的安全策略。

【關鍵詞】辦公自動化；網絡；網絡安全；病毒；黑客

企業內部辦公自動化網絡一般是基于TcpIP協議并采用了Internet的通信標準和Web信息流通模式的Intranet，它具有開放性、互通性，因而使用極其方便。但開放性卻帶來了系統入侵、病毒入侵等安全問題。

一、辦公自動化網絡常見的安全問題

（1）病毒感染。隨著計算機和網絡的進步和普及，計算機病毒也不斷出現，總數已經超過幾萬種，并以每月400種的速度增加，其破環性也不斷增強。一旦文件服務器的硬盤被病毒感染，就可能造成系統損壞、數據丟失，使網絡服務器無法起動，應用程序和數據無法正確使用，甚至導致整個網絡癱瘓，造成不可估量的損失。（2）黑客入侵。目前的辦公自動化網絡基本上都采用以廣播為技術基礎的以太網。在同一以太網中，任何兩個節點之間的通信數據包，不僅可以為這兩個節點的網卡所接收，也同時能夠為處在同一以太網上的任何一個節點的網卡所截取。另外，為了工作方便，辦公自動化網絡都備有與外網和國際互聯網相互連接的出入口，因此，外網及國際互聯網中的黑客只要侵入辦公自動化網絡中的任意節點進行偵聽，就可以捕獲發生在這個以太網上的所有數據包，對其進行解包分析，從而竊取關鍵信息；而本網絡中的黑客則有可能非常方便的截取任何數據包，從而造成信息的失竊。（3）數據破壞。在辦公自動化網絡系統中，有多種因素可能導致數據的破壞。首先是黑客侵入，黑客基于各種原因侵入網絡，其中惡意侵入對網絡的危害可能是多方面的。其中一種危害就是破壞數據，可能破壞服務器硬盤引導區數據、刪除或覆蓋原始數據庫、破壞應用程序數據等。其次是病毒破壞，病毒可能攻擊系統數據區，包括硬盤主引導扇區、Boot扇區、FAT表、文件目錄等；病毒還可能攻擊文件數據區，使文件數據被刪除、改名、替換、丟失部分程序代碼、丟失數據文件；病毒還可能攻擊CMOS，破壞系統CMOS中的數據。最后是災難破壞，由于自然災害、突然停電、強烈震動、誤操作等造成數據破壞。（4）垃圾郵件和病毒郵件泛濫。電子郵件系統是辦公自動化系統的基本需求，隨著信息化的快速發展，郵件系統的功能和技術已經非常成熟，但是也避免不了垃圾郵件和病毒郵件的傳送。垃圾郵件和病毒郵件是全球問題，2011年初，俄羅斯在全球垃圾郵件市場上的份額增長了4%～5%。垃圾郵件和病毒郵件是破壞網絡營銷環境的罪魁之一，垃圾郵件影響了用戶網上購物的信心，從而進一步危害到了電子商務網站的發展。垃圾郵件和病毒郵件占用了大量的網絡資源，使得正常的業務運作變得緩慢。

二、網絡安全策略

（1）網絡安全預警。辦公自動化網絡安全預誓系統分為入侵預警和病毒預警兩部分。入侵預警系統中，入侵檢測可以分析確定網絡中傳輸的數據包是否經過授權。一旦檢測到入侵信息，將發出警告，從而減少對網絡的威脅。它把包括網絡掃描、互聯網掃描、系統掃描、實時監控和第三方的防火墻產生的重要安全數據綜合起來，提供內部和外部的分析并在實際網絡中發現風險源和直接響應。它提供企業安全風險管理報告，報告集中于重要的風險管理范圍，如實時風險、攻擊條件、安全漏洞和攻擊分析；提供詳細的入侵告警報告，顯示入侵告警信息（如入侵IP地址及目的IP地址、目的端口、攻擊特征），并跟蹤分析入侵趨勢，以確定網絡的安全狀態；信息可以發往相關數據庫，作為有關網絡安全的決策依據。病毒預警系統通過對所有進出網絡的數據包實施不間斷的持續掃描，保持全天24小時監控所有進出網絡的文件，發現病毒時可立即產生報警信息，通知管理員，并可以通過IP地址定位、端口定位追蹤病毒來源，并產生功能強大的掃描日志與報告，記錄規定時間內追蹤網絡所有病毒的活動。（2）數據安全保護。對入侵保護應主要考慮以下幾條原則：物理設備和安全防護，包括服務器、有線、無線通信線路的安全防護；服務器安全保護，不同類型、不同重要程度的數據應盡可能在不同的服務器上實現，重要數據采用分布式管理，服務器應有合理的訪問控制和身份認證措施保護，并記錄訪問日志。系統中的重要數據在數據庫中應有加密和驗證措施。（3）入侵防范。一是內外網隔離。在內部辦公自動化網絡和外網之間，設置物理隔離，以實現內外網的隔離是保護辦公自動化網絡安全的最主要、同時也是最有效、最經濟的措施之一。第一層隔離防護措施是路由器。路由器濾掉被屏蔽的IP地址和服務。可以首先屏蔽所有的IP地址，然后有選擇的放行一些地址進入辦公自動化網絡。第二層隔離防護措施是防火墻。大多數防火墻都有認證機制，無論何種類型防火墻，從總體上看，都應具有以下五大基本功能：過濾進、出網絡的數據；管理進、出網絡的訪問行為；封堵某些禁止的業務；記錄通過防火墻的信息內容和活動；對網絡攻擊的檢測和告警。二是訪問控制。辦公自動化網絡應采用訪問控制的安全措施，將整個網絡結構分為三部分，內部網絡、隔離區以及外網。每個部分設置不同的訪問控制方式。其中內部網絡是不對外開放的區域，它不對外提供任何服務，所以外部用戶檢測不到它的IP地址，也難以對它進行攻擊。隔離區對外提供服務，系統開放的信息都放在該區，由于它的開放性，就使它成為黑客們攻擊的對象，但由于它與內部網是隔離開的，所以即使受到了攻擊也不會危及內部網，這樣雙重保護了內部網絡的資源不受侵害，也方便管理員監視和診斷網絡故障。三是身份認證。系統對用戶身份證明的核查的過程就是身份認證，就是對用戶是否具有它所請求資源的存儲使用權進行查明。用戶向系統出示自己的身份證明的過程就是所謂的身份識別。一般情況下，將身份認證和身份識別統稱為身份認證。隨著黑客或木馬程序從網上截獲密碼的事件越來越多，用戶關鍵信息被竊情況越來越多，用戶已經越來越認識到身份認證這一技術的重要性。身份認證技術可以用于解決用戶的物理身份和數字身份的一致性問題，給其他安全技術提供權限管理的依據。對于身份認證系統而言，合法用戶的身份是否易于被其他人冒充，這是最重要的技術指標。身份認證技術有以下幾種：基于口令的認證技術、給予密鑰的認證鑒別技術、基于智能卡和智能密碼鑰匙（UsBKEY）的認證技術、基于生物特征識別的認證技術。對于生物識別技術而言，其核心就是如何獲取這些生物特征，并將之轉換為數字信息、存儲于計算機中，并且完成驗證與識別個人身份是需要利用可靠的匹配算法來進行的。四是內部網絡的隔離及分段管理。內部網絡分段是保證安全的一項重要措施，同時也是一項基本措施，其指導思想在于將非法用戶與網絡資源相互隔離，從而達到限制用戶非法訪問的目的。辦公自動化網絡可以根據部門或業務需要分段。網絡分段可采用物理分段或邏輯分段兩種方式：物理分段通常是指將網絡從物理層和數據鏈路層上分為若干網段，各網段相互之間無法進行直接通訊；邏輯分段則是指將整個系統在網絡層上進行分段。并能實現子網隔離。在實際應用過程中，通常采取物理分段與邏輯分段相結合的方法來實現隔離。（4）病毒防治。相對于單機病毒的防護來說，網絡病毒的防治具有更大的難度，網絡病毒防治應與網絡管理緊密結合。（5）數據恢復。辦公自動化系統數據遭到破壞之后，其數據恢復程度依賴于數據備份方案。數據備份的目的在于盡可能快地全盤恢復運行計算機系統所需的數據和系統信息。根據系統安全需求可選擇的備份機制有：實時高速度、大容量自動的數據存儲、備份與恢復；定期的數據存儲、備份與恢復；對系統設備的備份。備份不僅在網絡系統硬件故障或人為失誤時起到保護作用，也在入侵者非授權訪問或對網絡攻擊及破壞數據完整性時起到保護作用，同時亦是系統災難恢復的前提之一。

三、結語

隨著企業各部門之間、企業和企業之間、國際間信息交流的日益頻繁，辦公自動化網絡的安全問題已經提到重要的議事日程上來，一個技術上可行、設計上合理、投資上平衡的安全策略已經成為成功的辦公自動化網絡的重要組成部分。

參 考 文 獻

[1]林敏，李哲宇.影響計算機網絡安全的因素探討[J].科技資訊.2007（20）

[2]胡瑞卿，田杰榮.關于網絡安全防護的幾點思考[J].電腦知識與技術.2008（16）