對網(wǎng)絡(luò)內(nèi)部終端安全管理的思考

勞崢卿+++盛庚+++葉凡+++章婕

【摘要】隨著信息化水平的不斷提高，網(wǎng)絡(luò)安全問題日益突出。如何建設(shè)維護一個穩(wěn)定、安全的內(nèi)部網(wǎng)絡(luò)，已成為稅務(wù)信息安全的重要問題。本文從網(wǎng)絡(luò)終端入手，分析了網(wǎng)絡(luò)安全管理中的現(xiàn)狀及存在的問題，進而提出了解決問題的建議和對策。

【關(guān)鍵詞】終端；安全；管理；對策

1引言

根據(jù)國際安全界的統(tǒng)計，每年全球計算機網(wǎng)絡(luò)遭受的攻擊和破壞70%是內(nèi)部人員所為。在稅務(wù)部門，內(nèi)部終端數(shù)量眾多，同時還存在與上級部門的縱向互聯(lián)，以及與外單位的橫向互聯(lián)。在如此復(fù)雜的應(yīng)用環(huán)境下，任何內(nèi)部人員的誤操作或者故意的非法操作都有可能導(dǎo)致信息資源的泄漏或被破壞。例如使用手提電腦在家上網(wǎng)，從互聯(lián)網(wǎng)上感染病毒，上班后沒有采取任何措施就接入內(nèi)網(wǎng)，導(dǎo)致病毒在整個內(nèi)網(wǎng)中傳播，可能會引起整個內(nèi)網(wǎng)的癱瘓；由于安全意識薄弱，沒有及時安裝操作系統(tǒng)補丁或者開啟不安全端口或服務(wù)，導(dǎo)致黑客入侵，致使系統(tǒng)癱瘓或者信息被竊取。這些安全威脅問題對于稅務(wù)部門來說都是致命的，而主要側(cè)重于外部攻擊防范的網(wǎng)絡(luò)安全設(shè)備又無法解決此類威脅。因此除了要求建設(shè)高效、便捷的稅務(wù)網(wǎng)絡(luò)外，建設(shè)一個有效的終端安全管理體系顯得更為重要，其緊密關(guān)系到稅收業(yè)務(wù)能否正常順利進行，是稅收信息化建設(shè)的基礎(chǔ)和重要保證。

2網(wǎng)絡(luò)終端安全管理現(xiàn)狀

2.1網(wǎng)絡(luò)與信息安全管理體制尚不完善

目前，稅務(wù)網(wǎng)絡(luò)是一個與外界物理隔離的專用網(wǎng)絡(luò)。由于尚未在整體上建立成熟的信息安全結(jié)構(gòu)體系，管理上缺乏相應(yīng)的信息安全標準，因此網(wǎng)絡(luò)和信息安全管理基礎(chǔ)還很薄弱，甚至還存在一些漏洞，例如存在“一機雙網(wǎng)”——既可以連接稅務(wù)內(nèi)網(wǎng)，又可以連接互聯(lián)網(wǎng)，違規(guī)外聯(lián)等情況還時有發(fā)生。這些現(xiàn)象對稅務(wù)信息的安全使用與保護以及病毒傳播等，都留下了潛在的安全隱患，同時也為來自內(nèi)部或外部系統(tǒng)的入侵提供了可趁之機。

此外還缺乏有效的監(jiān)控機制和管理手段，無法對現(xiàn)有終端進行實時監(jiān)控。在上班時間時常有人在網(wǎng)絡(luò)內(nèi)部終端上做一些與工作無關(guān)的行為，如上網(wǎng)聊天、網(wǎng)絡(luò)游戲，使用下載工具瘋狂下載電影、游戲、軟件等大型文件等。這些行為不但嚴重影響工作效率，而且經(jīng)常會在不經(jīng)意間引入大量的病毒、木馬和惡意代碼，還無謂地消耗了網(wǎng)絡(luò)資源，致使關(guān)鍵業(yè)務(wù)應(yīng)用系統(tǒng)帶寬無法保證，嚴重影響內(nèi)部網(wǎng)絡(luò)的正常運行。

2.2終端安全防護和控制手段缺乏

內(nèi)部終端的安全管理尚存許多問題。由于對不安全終端的接入缺少控制，存在安全問題的計算機能夠隨意接入網(wǎng)絡(luò)，促使各類病毒的大面積傳播。終端安裝的防護軟件其策略設(shè)置不夠科學(xué)，有病毒不報警，有病毒不查殺，視而不見無法發(fā)揮其作用。

常見防病毒、防火墻等軟件只能被動的防護已知的病毒和攻擊行為，一旦升級包沒有及時更新時就會出現(xiàn)較為嚴重的安全漏洞，一些未知的病毒將會有可乘之機，嚴重時導(dǎo)致計算機癱瘓甚至無法啟動。終端計算機安全防護手段控制的缺乏，是導(dǎo)致安全問題頻發(fā)的主要原因。

2.3數(shù)據(jù)安全尚存隱患

如何消除數(shù)據(jù)安全存在的隱患，確保數(shù)據(jù)的完整性、保密性和可信性，已成為信息化工作的核心內(nèi)容。

雖然目前已采用許多安全措施來保證數(shù)據(jù)安全，如雙機熱備、遠程備份等，但是數(shù)據(jù)安全仍然存在一定的隱患。

一是數(shù)據(jù)保密性和可信性受到的重視不夠，缺乏一套有效的機制對數(shù)據(jù)產(chǎn)生、存儲、傳輸、使用和銷毀整個生命周期進行控制、跟蹤和保護。

二是存在著因軟、硬件故障造成的服務(wù)不可用或者數(shù)據(jù)丟失，以及自然災(zāi)害等物理破壞所帶來的安全隱患。

三是系統(tǒng)應(yīng)急預(yù)案不完善，缺乏一套業(yè)務(wù)與技術(shù)相對應(yīng)的完整的應(yīng)急體系，而且應(yīng)急預(yù)案平時缺少演練，特別是需要多部門協(xié)同的預(yù)案仍停留在書面上。

這些問題都使數(shù)據(jù)安全存在隱患。

3進一步完善稅務(wù)網(wǎng)絡(luò)終端的建議及對策

3.1使用桌面終端管理系統(tǒng)，實現(xiàn)可控管理

稅務(wù)部門內(nèi)網(wǎng)終端較多，而且管理分散，安全策略不統(tǒng)一，缺乏全局防御能力。如何對內(nèi)網(wǎng)終端進行統(tǒng)一認證和安全控制，從源頭上防御威脅，將不符合安全要求的終端限制在“隔離區(qū)” 內(nèi)或拒絕其入網(wǎng)，從而保證網(wǎng)絡(luò)和信息安全，已成為終端管理的一個重要課題。筆者認為在目前的安全設(shè)備中，桌面終端管理系統(tǒng)可以有效地解決上述問題。

桌面終端管理系統(tǒng)是以數(shù)據(jù)安全為核心的計算機終端信息安全管理系統(tǒng)。通過加強用戶身份管理、數(shù)據(jù)安全管理、設(shè)備安全管理和綜合安全審計等手段，對數(shù)據(jù)的存儲、傳輸和使用整個生命周期進行控制和保護， 確保數(shù)據(jù)的完整性和保密性， 從而達到防止敏感信息泄漏。

目前桌面終端管理系統(tǒng)在終端安全管理方面主要有幾個功能。

3.1.1聯(lián)網(wǎng)控制

為防止非法用戶通過非正常途徑獲取網(wǎng)絡(luò)參數(shù)，非法聯(lián)入稅務(wù)內(nèi)網(wǎng)，導(dǎo)致安全事件的發(fā)生，系統(tǒng)可阻斷這部分非法終端的訪問。

3.1.2 IP地址和MAC地址綁定

計算機使用人擅自修改IP地址，往往會導(dǎo)致網(wǎng)絡(luò)沖突，影響稅務(wù)內(nèi)網(wǎng)的正常運行。系統(tǒng)會主動收集計算機終端的IP和MAC地址，通過管理員審核后，在數(shù)據(jù)庫中進行匹配綁定，從而有效解決IP地址盜用問題，并從根本上解決ARP病毒的傳播。

3.1.3殺毒軟件監(jiān)控

在稅務(wù)部門內(nèi)部終端都必須安裝統(tǒng)一部署的殺毒軟件，便于全網(wǎng)的計算機病毒監(jiān)控。通過信息安全策略部署，系統(tǒng)可以實時探測終端殺毒軟件的安裝和運行情況。只有符合安全要求的終端才能正常訪問內(nèi)部網(wǎng)絡(luò)資源，否則訪問會受到限制，甚至被阻斷。

3.1.4違規(guī)外聯(lián)監(jiān)控

為保證內(nèi)部數(shù)據(jù)的安全，防止黑客侵入盜取信息等安全事件的發(fā)生，稅務(wù)部門內(nèi)部終端是絕對不允許聯(lián)入互聯(lián)網(wǎng)。為了杜絕這部分內(nèi)部終端非法外聯(lián)，系統(tǒng)可通過違規(guī)外聯(lián)策略，進行實時探測。一旦發(fā)生非法外聯(lián)，系統(tǒng)會發(fā)出報警信息，并根據(jù)策略響應(yīng)機制，對計算采取關(guān)閉或阻斷網(wǎng)絡(luò)訪問等操作。endprint

3.1.5系統(tǒng)補丁分發(fā)

為解決在脫離互聯(lián)網(wǎng)的情況下給網(wǎng)絡(luò)內(nèi)部終端安裝系統(tǒng)補丁的問題，系統(tǒng)有一套完善的系統(tǒng)補丁分發(fā)策略。平時，系統(tǒng)會自動監(jiān)測內(nèi)部終端的系統(tǒng)補丁安裝情況，并根據(jù)最新系統(tǒng)補丁庫，自動更新系統(tǒng)補丁，有效防止計算機病毒利用系統(tǒng)漏洞在網(wǎng)絡(luò)上大規(guī)模傳播。

3.1.6外設(shè)接入嚴格控制

移動存儲等設(shè)備已成為病毒傳播、信息泄露的重災(zāi)區(qū)。對此，系統(tǒng)可對這部分設(shè)備進行注冊授權(quán)認證，只有注冊認證過的才可以在內(nèi)部終端上使用，從而有效管理濫用行為。同時，系統(tǒng)對移動存儲等設(shè)備上傳輸、存儲文件進行實時監(jiān)控，甚至可以根據(jù)特定的文件類型進行特殊審計。

此外，通過桌面終端策略還可以有效地防止惡意軟件的安裝、監(jiān)控計算機設(shè)備硬件資產(chǎn)的變化等情況，有效地保證桌面系統(tǒng)管理安全。

3.2使用IDS技術(shù)，實時監(jiān)測入侵行為

入侵檢測系統(tǒng)（Intrusion Detection System，IDS）能彌補防火墻等傳統(tǒng)安全設(shè)備的不足，為受保護的網(wǎng)絡(luò)提供有效的入侵檢測及采取相應(yīng)的防護手段。IDS可以對計算機網(wǎng)絡(luò)或計算機系統(tǒng)中若干關(guān)鍵點的信息進行收集和分析，從中檢測到網(wǎng)絡(luò)或系統(tǒng)中可能存在的各種非法攻擊、惡意破壞、錯誤操作等違反安全策略的行為或跡象，并聯(lián)動防火墻等安全設(shè)備進行有效防范，擴展系統(tǒng)管理員的安全管理能力，提高信息安全基礎(chǔ)結(jié)構(gòu)的完整性。

根據(jù)稅務(wù)部門網(wǎng)絡(luò)現(xiàn)狀，充分考慮各種可能存在的信息安全風(fēng)險隱患，建議在網(wǎng)絡(luò)關(guān)鍵部位部署入侵檢測系統(tǒng)。

一是在提供互聯(lián)網(wǎng)服務(wù)的區(qū)域中部署入侵檢測系統(tǒng)，實時監(jiān)測來自互聯(lián)網(wǎng)的入侵行為，對發(fā)生的入侵行為及時告警，從而保護系統(tǒng)安全，提高稅務(wù)部門對納稅人的服務(wù)水平。

二是在地稅與橫向數(shù)據(jù)交換的網(wǎng)絡(luò)中部署入侵檢測系統(tǒng)，實時監(jiān)測來自橫向部門的非法訪問行為，并利用報警與防護系統(tǒng)阻斷非法訪問。

三是在地稅內(nèi)部網(wǎng)絡(luò)中部署入侵檢測系統(tǒng)，實時監(jiān)測內(nèi)部網(wǎng)絡(luò)中不正常的數(shù)據(jù)流量，幫助系統(tǒng)管理員分析內(nèi)網(wǎng)中可能存在的病毒傳播，及時消除安全隱患，確保內(nèi)部終端安全。

3.3應(yīng)用防護技術(shù)，確保數(shù)據(jù)安全

計算機存儲的信息越來越多，而且越來越重要，特別在稅務(wù)部門數(shù)據(jù)安全問題顯得尤為突出。為防止計算機中的數(shù)據(jù)意外丟失，需要采用一些安全防護技術(shù)來確保數(shù)據(jù)的安全。

3.3.1完整備份和增量備份

備份管理包括備份的可計劃性，自動化操作，歷史記錄的保存或日志記錄。有兩種基本的備份方法：完整備份和增量備份。完整備份會把所選的數(shù)據(jù)完整地復(fù)制到其他介質(zhì)，增量備份僅備份上次完整備份以來添加或更改的數(shù)據(jù)。通過增量備份擴充完整備份通常較快且占用較少的存儲空間， 可以考慮每周進行一次完整備份，然后每天進行增量備份。

3.3.2對敏感數(shù)據(jù)加密

對數(shù)據(jù)加密意味著把其轉(zhuǎn)換為一種可偽裝數(shù)據(jù)的格式，確保其機密性和完整性。加密技術(shù)大致可分為硬件加密和軟件加密兩種。相對而言，硬件加密更加安全，操作比較簡單，如電子狗加密設(shè)備等，但是加密設(shè)備費用相對昂貴。而軟件加密成本較低，不過，軟件加密主要依賴于算法，存在被破譯的風(fēng)險。因此，建議對終端敏感數(shù)據(jù)的加密可采用軟硬件混合的加密方式，比如對機密等級的數(shù)據(jù)采用硬件加密，對其他敏感數(shù)據(jù)可采用軟件加密。

3.4完善信息化制度，培養(yǎng)實干型人才

從工作實際來看，僅僅依靠安全設(shè)備尚達不到絕對安全的目的。為了真正實現(xiàn)對數(shù)量眾多和環(huán)境復(fù)雜的終端進行有效的管理，還需要配套制定嚴格的管理制度，如針對計算機終端移動存儲設(shè)備的安全與保密管理制度，并加強系統(tǒng)應(yīng)急演練。同時還要加強安全意識教育，通過定期舉辦各類終端安全培訓(xùn)、講座，以及安全宣傳，增強廣大干部職工的安全意識。

另外，應(yīng)注重計算機人才的培養(yǎng)，提倡“專才專用”。在工作實踐中，鼓勵其結(jié)合專業(yè)知識提升實際工作能力，從而有效地解決知識與實際相脫節(jié)的矛盾，為稅務(wù)部門儲備一批安全管理力量，實現(xiàn)信息化工作的可持續(xù)發(fā)展。

參考文獻

[1] 王常青.淺析基層分局網(wǎng)絡(luò)終端安全防護難點及對策[M].稅務(wù)信息化論文集，2009（3），北京：中國稅務(wù)出版社，1792-1794.

[2] 鄒錦民.也談稅務(wù)部門信息化建設(shè)中的網(wǎng)絡(luò)信息安全問題與對策[M].浙江地稅信息化建設(shè)探索研究（2000-2006），北京：中國稅務(wù)出版社，244-246.

[3] 余京洋.終端安全解析[J].計算機安全，2006，（4），74-75.

[4] 王義申.終端安全管理系統(tǒng)在企事業(yè)單位內(nèi)網(wǎng)應(yīng)用的分析[J].計算機安全，2007，（7），64-65.

作者簡介：

勞崢卿（1981-），男，浙江嘉善人，上海交通大學(xué)，碩士研究生，浙江省嘉善縣地稅局信息中心副主任，工程師，2012年獲得浙江省地稅系統(tǒng)個人嘉獎；主要研究方向和關(guān)注領(lǐng)域：網(wǎng)絡(luò)信息安全及數(shù)據(jù)庫設(shè)計。endprint