淺析內網(wǎng)網(wǎng)絡安全體系建設

林正楷

(溫州市煙草公司瑞安分公司 浙江 325000)

0 前言

隨著信息技術的飛速發(fā)展，以及信息化應用對各行各業(yè)的逐漸滲透，越來越多的企事業(yè)單位都建立了自己的內部辦公網(wǎng)絡，并在自建的內部網(wǎng)絡中處理日常辦公事務。然而，在享受其為辦公帶來方便的同時，我們必須面對其所帶來的安全問題。目前，機構的辦公網(wǎng)絡大多是基于自建的內部網(wǎng)絡，雖然部分網(wǎng)絡也與Internet相連通，但是內部網(wǎng)絡運行環(huán)境的始終安全、可靠、保密，才能幫助機構內各類業(yè)務的開展提供保障。下面就辦公內網(wǎng)網(wǎng)絡談談其安全體系建設。

1 辦公網(wǎng)絡的結構

辦公網(wǎng)絡在結構上由外部網(wǎng)絡和內部網(wǎng)絡兩個部分組成。外部網(wǎng)絡主要用于機構與外部用戶之間的溝通及信息的發(fā)布和采集；內部網(wǎng)絡主要用于機構內部部門間、上下級間的公文流轉、信息交換和流程處理等。

2 辦公網(wǎng)絡安全

上世紀70年代中期，辦公業(yè)務量急劇增加對生產率產生巨大的影響，發(fā)達國家為解決問題，發(fā)展出了一門綜合性技術，也就是我們常說的OA，即辦公自動化。辦公網(wǎng)絡需要一種便利的內部通訊和消息傳送機制，在計算機上實現(xiàn)基于網(wǎng)絡的協(xié)同工作機制，將所有的辦公文檔匯集在一起，實現(xiàn)規(guī)范化和一致化，方便統(tǒng)計和查詢，實現(xiàn)內部成員基于不同權限共享資源。

辦公網(wǎng)絡安全一直隨著辦公自動化的發(fā)展而發(fā)展。從最初的“COMSEC”到上世紀70年代的“INFOSEC”，1973年Anderson提出了危害安全的三種情況：非授權的信息發(fā)布，非授權的信息修改、非授權的拒絕服務，用戶越來越關心如何防范計算機系統(tǒng)不被他人非授權使用。80年代末，美國出現(xiàn)了“莫里斯”蠕蟲事件，到了90年代，如何防止通過網(wǎng)絡對聯(lián)網(wǎng)計算機進行攻擊成為了人們關注的重點，學術界稱之為“NETSEC”。2000年，Stoneburg在NIST重申信息安全的目標包括機密性、完整性、可用性、可追蹤性和保障。進入新世紀，信息和系統(tǒng)的可控性、信息行為的不可否認性等要求也被加入到了信息安全的概念里，安全已經(jīng)不局限于信息的保護。用戶需要的是對整個信息和信息系統(tǒng)提供包括防范、檢測、反應和恢復四個方面在內的保護和防御。

如今，大部分的機構對外網(wǎng)和內網(wǎng)的隔離都從物理和邏輯兩方面開展，防火墻、入侵檢測、防病毒的常規(guī)組合基本隔絕了來自外網(wǎng)的威脅，但是對來自內部網(wǎng)絡的安全威脅基本沒有防范，造成了沈昌祥院士所說的“老三樣防外，防不勝防”的局面。

3 內網(wǎng)常見安全隱患分析

未經(jīng)允許，安裝各類軟件，容易導致內網(wǎng)遭受病毒的感染；

員工私自隨意更換、更改計算機軟硬件，或辦公計算機軟硬件變更后，管理人員沒有及時進行備案，造成軟硬件資源管理困難；

上網(wǎng)行為缺少有效監(jiān)控。員工隨意訪問外部網(wǎng)站，玩游戲、看電影、下載文件，不僅影響了自身的辦公效率，而且會占用大量帶寬資源，造成網(wǎng)絡擁堵，同時其所訪問的外部網(wǎng)站其安全性也是未知數(shù)；

非法修改IP地址或MAC地址，導致網(wǎng)絡內部地址沖突，造成內部網(wǎng)絡混亂；

外部終端設備非法接入辦公內網(wǎng)。移動終端設備和新增其他終端設備未經(jīng)過安全檢查和處理違規(guī)接入，很有可能帶來病毒傳播、黑客入侵等安全問題；

未經(jīng)備案和安全檢測，私自在內部網(wǎng)絡中的終端上使用外來的可移動存儲設備， 可能帶來病毒傳播、黑客入侵等安全問題；

利用系統(tǒng)漏洞、病毒入侵、非法接入、非法外鏈、網(wǎng)絡濫用、外設濫用、密碼過于簡單等各種原因與管理不善，繼而導致企業(yè)內部重要信息披露、修改或者毀滅，造成不可彌補的損失；

內網(wǎng)用戶通過利用內網(wǎng)中的某一終端，實行網(wǎng)絡攻擊或欺騙，非法獲得內網(wǎng)中其他終端甚至是服務器的重要數(shù)據(jù)；

蠕蟲病毒、網(wǎng)絡阻塞、數(shù)據(jù)損壞或丟失，而且短期內無法定位故障來源以迅速采取隔離等處理措施，導致正常業(yè)務的開展遭受持續(xù)性的災難性的影響。

4 內網(wǎng)安全體系

隨著信息化的普及，用戶對信息安全的認識也逐漸深入，但對網(wǎng)絡安全的理解依舊存有誤區(qū)。在對風險的防范上，用戶在選擇上常常偏愛簡單的靜態(tài)安全模型，即將信息安全技術都集中在對系統(tǒng)本身的加固和防護上，認為利用網(wǎng)絡操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)以及應用系統(tǒng)的認證、授權和訪問控制等措施，加裝了防病毒系統(tǒng)后，網(wǎng)絡就安全了。但是隨著網(wǎng)絡的深入發(fā)展，靜態(tài)安全模型已無法完全應對動態(tài)變化的網(wǎng)絡安全問題。網(wǎng)絡安全是一個整體的、動態(tài)的、基于時間變化的概念，不再是僅依靠一個或幾個安全產品的簡單堆積就能實現(xiàn)的。

4.1 建設目標

內網(wǎng)安全體系的建設目標為：通過采用防范、檢測、反應、恢復四方面行之有效的安全措施，以將來實際運行過程中網(wǎng)絡可能遇到的各種安全威脅為切入點，構建一個全方位、易管理的安全體系，保障網(wǎng)絡運行的安全性、穩(wěn)定性和可靠性。

4.2 基本原則

（1）安全第一：內網(wǎng)辦公要求網(wǎng)絡有較高的性能，而安全性的實施又會消耗掉部分網(wǎng)絡和計算資源，兩者存在一定的矛盾，在考量和實施的過程中，可以選擇在做好基礎安全的情況，兼顧額外的安全性和網(wǎng)絡性能。

（2）多重保護：如前文提到的，單個安全產品無法做到全方位的保護。建立一個多重保護系統(tǒng)，系統(tǒng)間相互支持，相互補充。當一種安全產品被攻破后，其他產品依舊可以維持對系統(tǒng)的保護。

（3）模塊化：根據(jù)網(wǎng)絡模型和網(wǎng)絡中數(shù)據(jù)傳播的階段，將整個數(shù)據(jù)的傳播和加拆包過程模塊化，分模塊做好保護。

（4）網(wǎng)段劃分：在物理劃分的基礎上做好邏輯上的子網(wǎng)劃分，控制好各網(wǎng)段的訪問權限，同時可以在網(wǎng)絡設備中做好訪問控制的相關設置，以達到訪問控制。

（5）最小授權：對各網(wǎng)段做好訪問權限管理，防止權限過于集中，避免一旦發(fā)生入侵，受到災害過大。

（6）平衡點：網(wǎng)絡的安全通過增加功能和設置，或安裝第三方軟件來實現(xiàn)，而這些都會消耗系統(tǒng)資源，在性能和安全中進行平衡，防止以偏廢全。

（7）非純技術：網(wǎng)絡系統(tǒng)的安全既是技術的，又是管理的。既要做好技術保障，又要做好管理上的配套制度和措施，相互彌補和完善，須知管理的漏洞有時也能轉變成系統(tǒng)的漏洞。

4.3 安全體系架構

（1）系統(tǒng)安全體系

從物理上做好保障是系統(tǒng)安全體系建設的前提。首先，機房的建設需嚴格按照國家相關標準，如GB50173-93《電子計算機機房設計規(guī)范》、GB-2887-89《計算站抄底技術條件》、GB9361-88《計算站場地安全要求》。[2]其次，做好設備安全，做好防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護等。最后，要做好針對重要網(wǎng)路設備和服務器的冗余備份。

從物理和邏輯兩方面建立隔離平臺，不僅要對內外網(wǎng)間的數(shù)據(jù)做好過濾和隔離，對內網(wǎng)內的數(shù)據(jù)也要根據(jù)權限做好過濾和隔離措施。

建立嚴謹完善的網(wǎng)絡拓撲。對內網(wǎng)中的硬件進行嚴格的網(wǎng)段劃分，并配合信任策略表，嚴格控制設備間的信任關系。一個網(wǎng)段必須有足夠的理由才能夠信任另一個網(wǎng)段，這樣網(wǎng)段間的信任關系就很小，一旦出現(xiàn)監(jiān)聽問題，能確保受災面只存在在小范圍內。

（2）信息安全體系

做好基于角色的安全控制，基本思路是：在系統(tǒng)中根據(jù)工作應用的需要為不同的崗位創(chuàng)建對應的角色，將角色與權限聯(lián)系起來，對用戶的職務和責任指派相應的角色，用戶通過角色所匹配的權限，實現(xiàn)對系統(tǒng)的訪問。通過加密算法和數(shù)字簽名算法對用戶的身份驗證進行加密，用戶在登錄門戶時需做好相應的身份驗證，驗證通過后才能訪問系統(tǒng)。這種方法可以有效地簡化權限管理，同時還可以支持最小授權原則。

做好網(wǎng)絡安全審計。作為識別和防止網(wǎng)絡攻擊行為、追查網(wǎng)絡泄密行為的一種重要措施，網(wǎng)絡安全審計主要包括采用網(wǎng)絡監(jiān)控與入侵檢測系統(tǒng)，識別網(wǎng)絡中與各個主體相關的違規(guī)操作與攻擊行為，做到即時響應并阻斷；還有對數(shù)據(jù)信息內容的審計，可有效防止內部機密或敏感信息泄漏。[3]

做好網(wǎng)絡重點資源監(jiān)控、網(wǎng)絡設備使用監(jiān)控、內網(wǎng)網(wǎng)絡信息采集及分析，對內部發(fā)起的攻擊進行報警及阻斷，并做好基于終端的集中式訪問控制管理。

根據(jù)系統(tǒng)的安全需求，對系統(tǒng)有選擇地實行不同的備份機制。依據(jù)系統(tǒng)設置和數(shù)據(jù)的重要程度，備份機制主要分為：實時、高速、大容量的自動數(shù)據(jù)存儲、備份和恢復；定期的數(shù)據(jù)存儲、備份和恢復；對系統(tǒng)設備的備份。

（3）安全制度體系

加強網(wǎng)絡安全教育，提高網(wǎng)絡安全意識。

首先，必須要在思想上對網(wǎng)絡安全十分重視。自機構領導至普通員工，都必須對網(wǎng)絡安全的重要性有足夠清晰、全面的認識，充分了解潛在的網(wǎng)絡安全隱患所能帶來的后果。要定期或不定期地、有針對性地開展信息安全教育，提高網(wǎng)絡安全意識，并適當?shù)赜玫湫桶咐M行教育，使其充分認識到網(wǎng)絡安全的重要性。

其次，不斷提高管理人員的專業(yè)素養(yǎng)。網(wǎng)絡安全管理需要大量對信息化知識精通、掌握網(wǎng)絡管理技能的復合型人才。因此，在聘用相關人才管理網(wǎng)絡的同時，還需要定期對管理人員進行網(wǎng)絡安全管理方面的技能培訓，提高網(wǎng)絡安全防護能力，做好網(wǎng)絡安全管理的技術儲備。

加強網(wǎng)絡安全管理，健全網(wǎng)絡管理制度

七分管理，三分技術。管理是機構網(wǎng)絡安全的核心，技術是安全管理的保證，安全管理是安全體系的核心，必須始終貫穿整個安全體系。網(wǎng)絡安全技術與完整的規(guī)章制度、行為準則相結合，網(wǎng)絡安全管理才能落地，網(wǎng)絡安全才能有最大的保障。作為機構，應制定機房管理制度、各類人員職責分工、安全保密規(guī)定、口令管理制度、網(wǎng)絡安全指南、用戶上網(wǎng)使用手冊、系統(tǒng)操作規(guī)范、應急響應預案、安全防護記錄等一整套的制度來保證網(wǎng)絡安全、可靠地運作。

5 結語

內部網(wǎng)絡安全在實現(xiàn)辦公自動化的企業(yè)中占據(jù)著尤為重要的地位。本文對辦公網(wǎng)絡安全和內網(wǎng)安全隱患進行了簡要的闡述，并對內網(wǎng)安全體系的建設進行了較為詳細的論述。隨著信息化在各行各業(yè)的進一步推廣和深入，機構內部網(wǎng)絡的安全體系建設也要跟據(jù)技術的發(fā)展進行動態(tài)的調整和更新。

[1]《打造電子辦公安全環(huán)境》；周琪娟；《中國石化》；2011年04期

[2]《共青團中央機關辦公局域網(wǎng)安全體系的構建》；盧炎生；李文革；《計算機安全》；2002-08-25

[3]《關注網(wǎng)絡安全》；傅莉；《信息網(wǎng)絡》；2003-03-25