論企業信息網絡系統安全方案

胡麗君

摘要：在網絡攻擊手段日益增多，攻擊頻率日益增高的背景下，為了確保企業的信息資源、生產數據資料的安全保密，解決企業計算機網絡中存在的安全隱患。需要一種靜態技術和動態技術相結合的安全解決方案，即在網絡中的各個部分采取多種安全防范技術來構筑企業網絡整體安全體系。包括防病毒技術；防火墻技術；入侵檢測技術；網絡性能監控及故障分析技術；漏洞掃描安全評估技術；主機訪問控制等。

關鍵詞：網絡安全；病毒防火墻；入侵檢測；整體防護

一、防病毒技術

對于企業網絡及網內大量的計算機，各種病毒更是防不勝防，如宏病毒和變形病毒。徹底清除病毒，必須采用多層的病毒防護體系。企業網絡防病毒系統采用多層的病毒防衛體系和層次化的管理結構，即在企業信息中心設防病毒控制臺，通過該控制臺控制各二級網絡中各個服務器和工作站的防病毒策略，監督整個網絡系統的防病毒軟件配置和運行情況，并且能夠進行相應策略的統一調整和管理：在較大的下屬子公司設置防病毒服務器，負責防病毒策略的設置、病毒代碼分發等工作。管理服務器負責收集網絡中的客戶端的實時信息，分發管理員制定的防毒安全策略等。

配套軟件：冠群金辰KILL6.0。KILL采用服務器/客戶端構架，實時保護Windows NT/Windows 2000、Unix、Linux、NetWare、Windows95/98、Windows3.X、DOS工作站、Lotus Notes 和 Microsoft Exchange 群件系統的服務器及Internet網關服務器，防止各種引導型病毒、文件型病毒、宏病毒、傳播速度快且破壞性很大的蠕蟲病毒進入企業內部網，阻止不懷好意的Java、ActiveX小程序等攻擊企業內部網絡系統。它通過全方位的網絡管理、多種報警機制、完整的病毒報告、支持遠程服務器、軟件自動分發，幫助管理員更好的實施網絡防病毒工作。

二、防火墻技術

防火墻是一種形象的說法， 其實它是一種由計算機硬件和軟件的組合， 使互聯網與內部網之間建立起一個安全網關（ scurity gateway）， 從而抵御網絡外部安全威脅，保護內部網絡免受非法用戶的侵入，它是一個把互聯網與內部網（局域網或城域網）隔開的屏障，控制客戶機和真實服務器之間的通訊，主要包括以下幾方面的功能：①隔離不信任網段間的直接通訊；②拒絕非法訪問；③系統認證；④日志功能。在計算機網絡中設置防火墻后，可以有效防止非法訪問，保護重要主機上的數據，提高網絡的安全性。

配套軟件：NetScreen。NetScreen是唯一把防火墻、負載均衡及流量控制結合起來，且提供100M的線速性能的軟硬件相結合的產品，在Internet出口、撥號接入入口、企業關鍵服務器的前端及與電信、聯通的連接出口處增設NetScreen- 100f防火墻，可以實現企業網絡與外界的安全隔離，保護企業的關鍵信息。

三、入侵檢測系統

入侵檢測系統（IDS）是一種為保證計算機系統的安全而設計與配置的一種能夠及時發現并報告系統中未授權或異?，F象的技術，是對防火墻的必要補充，它可以對系統或網絡資源進行實時檢測，及時發現惡意入侵者或識別出對計算機的非法訪問行為，并對其進行隔離，并能收集可以用來訴訟的犯罪證據。

配套軟件： eTrust Intrusion Detection（Sessionwall- 3）。利用基于網絡的eTrust Intrusion Detection建立入侵檢測系統來保證企業網絡系統的安全性。

首先，信息管理中心設立整個網絡監控系統的控制中心。通過該控制臺，管理員能夠對其它網絡入侵檢測系統進行監控和配置。在該機器上安裝集中控制的eID中央控制臺模塊、eID日志服務器模塊和eID日志瀏覽器模塊，使所有eTrust Intrusion Detection監控工作站處于集中控制之下，該安全主控臺也被用于集中管理所有的主機保護系統軟件。

其次，在Internet出口路由器和防火墻之間部署一套eTrust Intrusion Detection的監控工作站，重點解決與Internet的邊界安全問題，在這些工作站上安裝代理軟件，包括eID基本模塊、eID代理模塊和日志數據庫客戶端。

四、網絡性能監控及故障分析

性能監控和故障分析就是利用計算機的網絡接口截獲目的地址為其他計算機的數據報文的一種技術。該技術被廣泛應用于網絡維護和管理方面，它自動接收著來自網絡的各種信息，通過對這些數據的分析，網絡管理員可以了解網絡當前的運行狀況，以便找出所關心的網絡中潛在的問題。

配套軟件——NAI Sniffer。NAI Sniffer是一套功能強大的網絡故障偵測工具，它可以幫助用戶快速診斷網絡故障原因，并提出具體的解決辦法。在信息中心安裝這樣的工具，用于對網絡流量和狀態進行監控，而且無論全網任何地方發生問題時，都可以利用它及時診斷并排除故障。

五、網絡系統的安全評估

網絡安全性之所以這么低的一個主要原因就是系統漏洞。

網絡安全掃描的主要性能應該考慮以下方面：①速度。在網絡內進行安全掃描非常耗時；②網絡拓撲。通過GUI的圖形界面，可選擇一個或某些區域的設備；③能夠發現的漏洞數量；④是否支持可定制的攻擊方法；⑤掃描器應該能夠給出清楚的安全漏洞報告。⑥更新周期。提供該項產品的廠商應盡快給出新發現的安全漏洞掃描特性升級，并給出相應的改進建議。

配套軟件：Symantec Enterprise Security Manger 5.5。

六、主機防護系統

在一個企業的網絡環境中，大部分信息是以文件、數據庫的形式存放在服務器中的。在信息中心，使用WWW、Mail、文件服務器、數據庫服務器來對內部、外部用戶提供信息。但無論是UNIX還是Windows 9X/NT/2K，都存在著這樣和那樣的安全薄弱環節，存放在這些機器上的關鍵業務數據存在著被破壞和竊取的風險[1]。

通過以上幾種安全措施的實施，從系統級安全到桌面級安全，從靜態訪問控制到動態入侵檢測主要層面：方案覆蓋網絡安全的事前弱點漏洞分析修正、事中入侵行為監控響應和事后信息監控取證的全過程，從而全面解決企業的信息安全問題，使企業網絡避免來自內外部的攻擊，防止病毒對主機的侵害和在網絡中的傳播。使整個網絡的安全水平有很大程度的提高。

參考文獻

[1] 戴麗莉. 企業信息網絡系統安全方案[J]. 新西部（下半月），2008，（06）：228+230.endprint