淺談園區網安全體系構建

邊瑞卿

摘 要：分析了網絡安全威脅因素，介紹了安全網絡的設計原則和構建安全園區網應采取的必要措施，從網絡攻擊、安全機制和安全服務之間的相互關系，討論了構建安全園區網的問題。

關鍵詞：園區網；網絡安全；網絡設計原則

1.引言

近年來，隨著計算機網絡技術的飛速發展以及在教學中的廣泛應用，各個大學都已建立起了自己的園區網，為合理配置教育資源，充分利用優質教育資源提供了可能。然而，不少園區網由于安全建設滯后，在建設初期就埋下了安全隱患；投入運行后，又未建立或嚴格執行必要的規章制度，不少工作人員安全意識淡薄，疏于安全管理。這些現象都會導致園區網安全危機，嚴重影響園區網信息數據傳輸與網絡設備的正常運行。因此加強安全建設是建好、用好園區網的重要保障。

2.網絡安全分析

網絡安全威脅主要來自以下幾個方面：

（1）本地資源的潛在威脅。本地資源指的是本地局域網中的個人計算機操作系統，或者是服務器的應用操作部分，這部分資源不僅僅受到黑客攻擊的威脅，個人用戶在使用應用程序或者操作系統時下載或者打開了FSO、JAVA、ActiveX、病毒或后門程序的文件，都會對本地計算機的操作系統構成威脅，攻擊者可以通過這些應用程序使操作系統崩潰，計算機無法使用。

（2）來自網絡內部用戶的安全威脅。內部人員作為該系統的使用者，擁有或高或低的使用權限。當內部網用戶成為攻擊者時，其危害遠大于來自外部的攻擊者。網絡未進行分段、用戶權限劃分不清、機密文檔隨意存放、口令系統設計過于簡單等現象在園區網中相當普遍，這使得從內部發起的攻擊十分容易得逞。工作人員網絡安全意識淡薄是網絡安全致命的隱患。隨意讓別人使用自己的電腦、將自己的密鑰告訴他人、不經審查就在聯網的電腦上使用自帶的軟件、移動存儲設備等，都將會使安全網絡陷入不安全之中。

（3）采用的TCP/IP協議族本身缺乏安全性。TCP/IP協議族并非專為安全通訊而設計，其各層中都未加入信息加密及認證體制，所以TCP/IP協議族本身就不是一個安全的協議。

（4）防火墻安全的不確定性。防火墻在很多方面存在弱點。它無法防止來自防火墻內側的攻擊，對各種已識別類型的攻擊的防御有賴于正確的配置，對各種最新的攻擊類型的防御取決于防火墻知識庫更新的速度和相應配置的更新速度。防火墻產品自身是否安全，設置是否正確，需要經過檢驗。防火墻擅長于保護設備，而不擅長保護數據，而且防火墻的配置可能使管理人員思想麻痹，導致內部網絡安全管理松懈。

（5）程序編寫漏洞及“后門”。操作系統及網絡軟件不可能是百分之百的無缺陷、無漏洞的。另外，編程人員為自便而在軟件中留有“后門”，一旦“漏洞”及“后門”為外人所知，就會成為整個網絡系統受攻擊的首選目標和薄弱環節。大部分的黑客入侵網絡事件就是由系統的“漏洞”和“后門”所造成的。另外許多應用服務系統在訪問控制及通訊安全方面考慮較少，諸如遠程控制功能、TELNET服務等，往往成為攻擊者入侵的捷徑。正是由于存在著上述安全威脅，網絡容易受到非法入侵者的攻擊。主要的攻擊方式有：竊聽、重傳、偽造、篡改、拒絕服務、非授權訪問、行為否認、傳播病毒等。

3.安全網絡設計原則

（1）起點進入原則：從系統建設一開始就考慮安全問題，否則就會因為錯誤選擇留下基礎性隱患，以致在網絡運行中為保證系統的安全要花費成倍的代價。長遠安全預期原則：對安全需求要有總體設計和長遠的打算，包括設置一些可能暫時不會用到的潛在功能。

（2）網絡信息安全的木桶原則“木桶的最大容積取決于最短的一塊木板”。網絡信息安全的木桶原則是指對信息均衡、全面的保護。網絡信息系統是一個復雜的計算機系統，它本身在物理上、操作上和管理上的種種漏洞構成了系統的安全脆弱性，尤其是多用戶網絡系統自身的復雜性、資源共享性使單純的技術保護防不勝防。攻擊者使用的“最易滲透原則”，必然在系統中最薄弱的地方攻擊。因此，充分、全面、完整地對系統的安全漏洞和安全威脅進行分析，評估和檢測（包括模擬攻擊）是設計信息安全系統的必要前提條件。

（3）網絡信息安全的整體性原則要求在網絡發生被攻擊、破壞事件的情況下，必須盡可能地快速恢復網絡信息中心的服務，減少損失。因此，信息安全系統應該包括安全防護機制、安全檢測機制和安全恢復機制。安全防護機制是根據具體系統存在的各種安全威脅采取的相應的防護措施，避免非法攻擊的進行。安全檢測機制是檢測系統的運行情況，及時發現和制止對系統進行的各種攻擊。安全恢復機制是在安全防護機制失效的情況下，進行應急處理和盡量、及時地恢復信息，減少供給的破壞程度。

（4）安全性評價與平衡原則俗話說“道高一尺，魔高一丈”，對任何網絡，絕對安全是不可能達到的。我們需要做的是建立合理的實用安全性與用戶需求評價與平衡體系。安全體系設計要正確處理需求、風險與代價的關系，做到安全性與可用性相容。信息是否安全，沒有絕對的評判標準和衡量指標，只能決定于系統的用戶需求和具體的應用環境，具體取決于系統的規模和范圍，系統的性質和信息的重要程度。

（5）標準化與一致性原則系統是一個龐大的系統工程，其安全體系的設計必須遵循一系列的標準，這樣才能確保各個分系統的一致性，使整個系統安全地互聯互通、信息共享。

（6）技術與管理相結合原則網絡安全體系是一個復雜的系統工程，涉及人、技術、操作等要素，單靠技術或單靠管理都不可能實現。因此，必須將各種安全技術與運行管理機制、人員思想教育與技術培訓、安全規章制度建設相結合。

（7）統籌規劃，分步實施原則由于政策規定、服務需求的不明朗，環境、條件、時間的變化，攻擊手段的進步，安全防護不可能一步到位，可在一個比較全面的安全規劃下，根據網絡的實際需要，先建立基本的安全體系，保證基本的、必須的安全性。今后隨著網絡規模的擴大及應用的增加，網絡應用和復雜程度的變化，網絡脆弱性也會不斷增加，調整或增強安全防護力度，保證整個網絡最根本的安全需求。

（8）等級性原則等級性原則是指安全層次和安全級別。良好的信息安全系統必然是分為不同等級的，包括對信息保密程度分級，對用戶操作權限分級，對網絡安全程度分級（安全子網和安全區域），對系統實現結構的分級（應用層、網絡層、鏈路層等），從而針對不同級別的安全對象，提供全面、可選的安全算法和安全體制，以滿足網絡中不同層次的各種實際需求。

（9）動態發展原則要根據網絡安全的變化不斷調整安全措施，適應新的網絡環境，滿足新的網絡安全需求。

（10）易操作性原則首先，安全措施需要人去完成，如果措施過于復雜，對人的要求過高，本身就降低了安全性。其次，措施的采用不能影響系統的正常運行。考慮安全機制的經濟合理性，在保證系統安全達到要求的同時，要盡量降低安全機制規模和復雜性，使之具有可操作性。

4結束語

由于互聯網絡的開放性和通信協議的安全缺陷，以及在網絡環境中數據信息存儲和對其訪問與處理的分布性特點，網上傳輸的數據信息很容易泄露和被破壞，網絡受到的安全攻擊非常嚴重，因此建立有效的網絡安全防范體系就更為迫切。實際上，保障網絡安全不但需要參考網絡安全的各項標準以形成合理的評估準則，更重要的是必須明確網絡安全的框架體系、安全防范的層次結構和系統設計的基本原則，分析網絡系統的各個不安全環節，找到安全漏洞，做到有的放矢。

參考文獻：

[1]董玉格，攻擊與防護——網絡安全與實用防護技術.人民郵電出版社，2014.