時間:2022-10-22 10:35:26
序論:在您撰寫網(wǎng)絡(luò)安全解決方案時,參考他人的優(yōu)秀作品可以開闊視野,小編為您整理的7篇范文,希望這些建議能夠激發(fā)您的創(chuàng)作熱情,引導(dǎo)您走向新的創(chuàng)作高度。
關(guān)鍵詞: 網(wǎng)絡(luò)安全;解決方案;建議
中圖分類號:P231 文獻標(biāo)識碼:A 文章編號:1671-7597(2012)0610171-02
0 引言
隨著科學(xué)技術(shù)的發(fā)展,信息技術(shù)已經(jīng)成為人們工作生活中必不可少的一個部分,而這種必要性使得計算機網(wǎng)絡(luò)更呈現(xiàn)突飛猛進的發(fā)展趨勢。而網(wǎng)絡(luò)的發(fā)展以及其伴隨而來的網(wǎng)絡(luò)安全問題越來越受到人們的關(guān)注,由于網(wǎng)絡(luò)安全所造成的嚴(yán)重?fù)p失已經(jīng)有目共睹,所以如何在推廣網(wǎng)絡(luò)應(yīng)用的同時提高網(wǎng)絡(luò)的安全性打造安全網(wǎng)絡(luò)成為廣大計算機網(wǎng)絡(luò)用戶關(guān)心的話題,這不但關(guān)系著網(wǎng)絡(luò)應(yīng)用領(lǐng)域是否會受限,同時也關(guān)系著網(wǎng)絡(luò)是否能夠保持正常速度發(fā)展,以及是否能夠在現(xiàn)代化建設(shè)中發(fā)揮應(yīng)有的作用。
1 網(wǎng)絡(luò)安全威脅概述
1)安全威脅的產(chǎn)生
主要是由于因特網(wǎng)的全球性、開放性、無縫連通性、共享性、動態(tài)性發(fā)展,使得網(wǎng)絡(luò)安全威脅從網(wǎng)絡(luò)誕生就一直伴隨著成長起來,而且隨著網(wǎng)絡(luò)發(fā)展速度不斷加快,網(wǎng)絡(luò)安全威脅問題也日益嚴(yán)重。而且隨著互聯(lián)網(wǎng)的應(yīng)用領(lǐng)域日益廣泛,如金融、政府部門以及電子商務(wù)的盛行,使得網(wǎng)絡(luò)數(shù)據(jù)的安全重要性日益突出,如果網(wǎng)絡(luò)安全無法保障,則互聯(lián)網(wǎng)應(yīng)用推廣必將遇到致命的瓶頸問題。如果從安全威脅的來源來看,可以將安全威脅主要分為自然威脅和人為威脅,自然威脅如天氣、環(huán)境、設(shè)備等;人為威脅如人為攻擊,通過尋找系統(tǒng)的弱點,以便破壞、欺騙、竊取數(shù)據(jù)等。
2)網(wǎng)絡(luò)安全面臨的威脅
網(wǎng)絡(luò)安全面臨的主要威脅可分為四個方面:即中斷、竊聽、篡改和偽造。中斷是對系統(tǒng)的可用性進行攻擊,如破壞計算機硬件、線路和文件管理系統(tǒng)等;竊聽是對系統(tǒng)的保密性進行攻擊,如搭線竊聽、對文件或程序的非法拷貝,包括獲取消息的內(nèi)容,進行業(yè)務(wù)流分析,獲得消息的格式、通信雙方的位置和身份、通信的次數(shù)和消息的長度等;篡改是對系統(tǒng)的完整性進行攻擊,如修改數(shù)據(jù)文件中的數(shù)據(jù),替換某一程序使其執(zhí)行不同的功能、修改網(wǎng)絡(luò)中傳送的消息內(nèi)容等,通常包括假冒合法實體通過防線、截獲合法數(shù)據(jù)后進行拷貝或重新發(fā)送、通信數(shù)據(jù)在傳輸過程中被改變、刪除或替代、業(yè)務(wù)拒絕即對通信設(shè)備的使用和管理被無條件的拒絕;偽造是對系統(tǒng)的真實性進行攻擊,如在網(wǎng)絡(luò)中插入偽造的消息或在文件中插入偽造的記錄等。以上所劃分的網(wǎng)絡(luò)安全威脅的四個方面,其實可以從一個更加通俗地角度來說明,中斷就是故意破壞對方之間的通信,而自己不需要獲取這些信息,其目的就是讓第三方也無法正確獲得這些信息;而竊聽就是不影響對方接收信息,但是希望獲知對方的通信內(nèi)容,所以對于竊聽而言要講究隱蔽性,即最好的情況就是第三方之間的通信絲毫沒有覺察到他們之間的通信內(nèi)容被己方所接收;篡改則更進一步,不但要竊聽到對方的通信內(nèi)容,而且需要將這些信息根據(jù)己方利益最大化的原則進行修改。
3)安全業(yè)務(wù)——安全防護措施
保密業(yè)務(wù):保護數(shù)據(jù)以防被動攻擊,保密業(yè)務(wù)流;加密機制,按照密鑰的類型不同,對稱密鑰算法和非對稱密鑰算法兩種,按照密碼體制的不同,分為序列密碼算法和分組密碼算法兩種;認(rèn)證業(yè)務(wù):保證通信的真實性,確保發(fā)送方或接收方的身份;完整性業(yè)務(wù):防止對消息(流)的篡改和業(yè)務(wù)拒絕;不可否認(rèn)業(yè)務(wù):防止通信某一方對傳輸?shù)姆裾J(rèn);訪問控制:防止對網(wǎng)絡(luò)資源的非授權(quán)訪問,使用認(rèn)證。
2 網(wǎng)絡(luò)安全解決方案建議
1)整體安全體系構(gòu)建的幾個方面
網(wǎng)絡(luò)本身就是一個體系,是一個系統(tǒng)性的概念,在網(wǎng)絡(luò)通信中也涉及到多個實體或者協(xié)議,所以網(wǎng)絡(luò)安全涉及到多個方面,為了打造安全的網(wǎng)絡(luò),就需要構(gòu)建網(wǎng)絡(luò)安全的整體保護體系,只有這樣才能夠有效保護網(wǎng)絡(luò)的安全性。一般來說,網(wǎng)絡(luò)安全體系的構(gòu)建可以從如下幾個方面加以考慮,也就是保護、檢測、響應(yīng)、恢復(fù),這四者構(gòu)成了一個完整的體系,如果每一部分都能夠做好,則打造一個安全的計算機網(wǎng)絡(luò)不再是一句空話。保護是通過使用加解密技術(shù)、訪問控制技術(shù)、數(shù)字簽名技術(shù),以及可驗證的信息交換過程等到方面對數(shù)據(jù)及其網(wǎng)上操作加以保護,保護也可以理解為對故意中斷網(wǎng)絡(luò)或者破壞數(shù)據(jù)的一種防護措施。檢測是對信息傳輸?shù)膬?nèi)容的可控性的檢測,對信息平臺訪問過程的甄別檢測,對違規(guī)與惡意攻擊的檢測,對系統(tǒng)與網(wǎng)絡(luò)弱點與漏洞的檢測等等,如果有對網(wǎng)絡(luò)通信的惡意竊聽發(fā)生也需要及時檢測到。及時響應(yīng)是網(wǎng)絡(luò)的一個重要指標(biāo),響應(yīng)是在復(fù)雜的信息環(huán)境中,保證在任何時候信息平臺能高效正常運行,要求安全體系提供強有力的響應(yīng)機制。無論防護措施多么嚴(yán)密,網(wǎng)絡(luò)安全技術(shù)如何卓越,我們都無法承諾網(wǎng)絡(luò)永遠(yuǎn)不會受到破壞,所以此時有效的恢復(fù)就顯得尤為重要,恢復(fù)是指災(zāi)難恢復(fù),在系統(tǒng)受到攻擊的時候,評估系統(tǒng)受到的危害與損失,按緊急響應(yīng)預(yù)案進行數(shù)據(jù)與系統(tǒng)恢復(fù),啟動備份系統(tǒng)恢復(fù)工作等。
2)保障物理安全
物理安全是最基本的,如果硬件發(fā)生故障或者被破壞,其他一切網(wǎng)絡(luò)安全保護措施都成為無源之水,所以網(wǎng)絡(luò)的物理安全保障是整個網(wǎng)絡(luò)安全保障體系的基石。物理安全是用來保護計算機硬件和存儲介質(zhì)的裝置和工作程序,物理安全防護包括防盜、防火、防靜電、防雷擊和防電磁泄漏等內(nèi)容。屏蔽是防電磁泄漏的有效措施,屏蔽主要有電屏蔽、磁屏蔽和電磁蔽三種類型。
3)整體部署
網(wǎng)絡(luò)安全解決方案涉及安全操作系統(tǒng)技術(shù)、防火墻技術(shù)、病毒防護技術(shù)、入侵檢測技術(shù)、安全掃描技術(shù)、認(rèn)證和數(shù)字簽名技術(shù)、VPN技術(shù)等多方面的安全技術(shù)。在整個體系中的每一個部分,都是具有特定的功能需求,都是針對某一種安全需要而采取的安全措施。下面以一個實際的安全解決方案為例,建立網(wǎng)絡(luò)安全防護體系。
在網(wǎng)關(guān)位置配置多接口防火墻,根據(jù)功能作用不同,將整個網(wǎng)絡(luò)劃分為外部網(wǎng)絡(luò)、內(nèi)部網(wǎng)絡(luò)、DMZ區(qū)等多個安全區(qū)域,由于工作主機在整個網(wǎng)絡(luò)中處于核心地位,而且主機如果發(fā)生安全問題將產(chǎn)生重要影響,所以將工作主機放置于內(nèi)部網(wǎng)絡(luò)區(qū)域可以更有效地保護主機的安全,將Web服務(wù)器、數(shù)據(jù)庫服務(wù)器等服務(wù)器放置在DMZ區(qū)域,其他區(qū)域?qū)Ψ?wù)器區(qū)的訪問必須經(jīng)過防火墻模塊的檢查,這就相當(dāng)于在服務(wù)器區(qū)提供了加固的安全作用。在中心交換機上配置基于網(wǎng)絡(luò)的IDS系統(tǒng),監(jiān)控整個網(wǎng)絡(luò)內(nèi)的網(wǎng)絡(luò)流量,這是由于網(wǎng)絡(luò)流量的異常也是網(wǎng)絡(luò)是否安全是否受到攻擊的一個重要特征。在DMZ區(qū)內(nèi)的重要服務(wù)器上安裝基于主機的IDS系統(tǒng),對所有對上述服務(wù)器的訪問進行監(jiān)控,并對相應(yīng)的操作進行記錄和審計,這可以對故障診斷提供有效的輔助。
4)具體部署
下面對上一步中整個網(wǎng)絡(luò)安全體系中各個部分的具體配置進行介紹。防火墻設(shè)備,防火墻是用來連接兩個網(wǎng)絡(luò)并控制兩個網(wǎng)絡(luò)之間相互訪問的系統(tǒng)。包括用于網(wǎng)絡(luò)連接的軟件和硬件以及控制訪問的方案。這類防范措施可以只用路由器實現(xiàn),可以用主機、子網(wǎng)、專用硬件來實現(xiàn)。所有在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)必須通過防火墻;只有被授權(quán)的合法數(shù)據(jù)即防火墻系統(tǒng)中安全策略允許的數(shù)據(jù)可以通過防火墻;防火墻本身不受各種攻擊的影響。在本方案中選用的防火墻設(shè)備是CheckPoint FireWall-1防火墻。FireWall-1功能特點有對應(yīng)用程序的廣泛支持;集中管理下的分布式客戶機/服務(wù)器結(jié)構(gòu);遠(yuǎn)程網(wǎng)絡(luò)訪問的安全保障(FireWall-1 SecuRemote)。
防病毒設(shè)備。在本方案中防病毒設(shè)備選用的是趨勢科技的整體防病毒產(chǎn)品和解決方案,包括中央管理控制、服務(wù)器防病毒和客戶機防病毒三部分,這對于抵擋當(dāng)前已知的絕大部分病毒已經(jīng)非常有效,而且由于防病毒產(chǎn)品的更新服務(wù),所以只要在實際應(yīng)用中時刻保持病毒庫版本為最新就可以保證系統(tǒng)的安全。
入侵監(jiān)測設(shè)備就是為了當(dāng)有入侵行為發(fā)生時系統(tǒng)可以及時獲悉,在本方案中入侵監(jiān)測設(shè)備采用的是NFR入侵監(jiān)測設(shè)備,包括NFR NID和NFR HID。NFR把基于網(wǎng)絡(luò)的入侵檢測技術(shù)NID和基于主機的入侵檢測技術(shù)HID完美地結(jié)合起來,構(gòu)成了一個完整的,一致的實時入侵監(jiān)控體系。
SAP身份認(rèn)證設(shè)備對于任何系統(tǒng)的安全都是必不可少的,也是保障系統(tǒng)安全的基本措施。本方案采用的身份認(rèn)證設(shè)備是Secure Computing的SafeWord。SafeWord具備分散式運作及無限制的可擴充特性。
3 結(jié)論
網(wǎng)絡(luò)安全是一個常說常新的話題,隨著攻防不斷升級,網(wǎng)絡(luò)攻擊入侵手段和網(wǎng)絡(luò)安全保護技術(shù)手段都更加先進,所以網(wǎng)絡(luò)的安全防護是一場沒有終點的戰(zhàn)役,只有時刻保持對網(wǎng)絡(luò)安全的高度重視,采用先進的網(wǎng)絡(luò)安全防護技術(shù)才有可能打造一個安全的網(wǎng)絡(luò),本文對于網(wǎng)絡(luò)安全保障的一些措施希望能夠為網(wǎng)絡(luò)安全防護提供一些借鑒。
參考文獻:
[1]陳丹丹,網(wǎng)絡(luò)釣魚與網(wǎng)絡(luò)安全初探,消費電子,2012年,第5期.
[2]王志剛,淺談計算機網(wǎng)絡(luò)安全現(xiàn)狀及對策,今日財富(金融發(fā)展與監(jiān)管),2012年,第4期.
[3]王麗云,初中校園網(wǎng)絡(luò)安全分析和策略,今日財富(金融發(fā)展與監(jiān)管),2012年,第3期.
【關(guān)鍵詞】網(wǎng)絡(luò);安全;技術(shù)防范;對策
【中圖分類號】TP393.08 【文獻標(biāo)識碼】B 【文章編號】1672-5158(2013)01―0445―02
引言
近年來,隨著經(jīng)濟社會的快速發(fā)展,互聯(lián)網(wǎng)得到快速增長,互聯(lián)網(wǎng)的應(yīng)用領(lǐng)域不斷擴張,已經(jīng)從傳統(tǒng)領(lǐng)域拓展到非傳統(tǒng)領(lǐng)域,而且影響力越來越大。據(jù)中國互聯(lián)網(wǎng)絡(luò)信息中心(CNNIC)近期的《中國互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計報告》顯示:截至2012年12月底,手機網(wǎng)民數(shù)量為4.2億,中國網(wǎng)民數(shù)達(dá)到5.64億,全年新增網(wǎng)民5090萬人,普及率為42.1%;微博用戶規(guī)模為3.09億,較2011年底增長了5873萬。域名總數(shù)為1341萬個,其中“.CN”域名總數(shù)為751萬,“.中國”域名總數(shù)為28萬。中國網(wǎng)站總數(shù)(即網(wǎng)站的域名注冊者在中國境內(nèi)的網(wǎng)站數(shù))回升至268萬個(去年底只有183萬)。網(wǎng)絡(luò)安全從大的方面講,關(guān)系國家安全、社會穩(wěn)定;從小的方面講,網(wǎng)絡(luò)安全涉及個人信息安全、財產(chǎn)安全,因此,積極研究探討適應(yīng)新形勢發(fā)展要求的網(wǎng)絡(luò)安全方案,對確保網(wǎng)絡(luò)安全,提升網(wǎng)絡(luò)服務(wù)質(zhì)量具有十分重要的現(xiàn)實意義。
1 加強網(wǎng)絡(luò)安全的現(xiàn)實意義
隨著信息化技術(shù)的不斷發(fā)展,網(wǎng)絡(luò)已經(jīng)成為一種聯(lián)通各地、各個領(lǐng)域的重要基礎(chǔ)設(shè)施,計算機網(wǎng)絡(luò)的發(fā)展為人們的生產(chǎn)、生活、工作帶來了極大便利,拉近了全球的距離。但在看到網(wǎng)絡(luò)給人們帶來便捷的同時,還要清醒地認(rèn)識到網(wǎng)絡(luò)作為一個面向公眾的開放系統(tǒng),如果網(wǎng)絡(luò)安全意識不強、網(wǎng)絡(luò)安全防范措施不力,就會產(chǎn)生網(wǎng)絡(luò)安全隱患。特別是隨著信息網(wǎng)絡(luò)技術(shù)的飛速發(fā)展,網(wǎng)絡(luò)得到廣泛普及和應(yīng)用,應(yīng)用層次不斷深入,應(yīng)用領(lǐng)域從傳統(tǒng)的、小型業(yè)務(wù)系統(tǒng)逐漸向大型、關(guān)鍵業(yè)務(wù)系統(tǒng)擴展,已經(jīng)被行政部門、金融機構(gòu)、企業(yè)廣泛應(yīng)用,網(wǎng)絡(luò)在這些領(lǐng)域的廣泛應(yīng)用,也進―步加大了網(wǎng)絡(luò)安全的風(fēng)險。如何保持網(wǎng)絡(luò)的穩(wěn)定安全,防止諸如黑客攻擊、非正常入侵等安全問題的發(fā)生,是一項重要任務(wù)。
由于網(wǎng)絡(luò)系統(tǒng)結(jié)構(gòu)復(fù)雜、涉及終端眾多、系統(tǒng)開放,網(wǎng)絡(luò)系統(tǒng)面臨的威脅和風(fēng)險比較多,歸納起來主要來自外部的人為影響和自然環(huán)境的影響,這些威脅有的是對網(wǎng)絡(luò)設(shè)備的安全運行存在威脅,有的是對網(wǎng)絡(luò)中的信息安全存在威脅。這些威脅的集中起來主要有:非法授權(quán)訪問,假冒合法用戶,病毒破壞,線路竊聽,黑客入侵,干擾系統(tǒng)正常運行,修改或刪除數(shù)據(jù)等。這些威脅一旦成為現(xiàn)實,將對網(wǎng)絡(luò)系統(tǒng)產(chǎn)生致命的影響,嚴(yán)重的可能會導(dǎo)致系統(tǒng)癱瘓,傳輸信息被非法獲取和傳播,會給相關(guān)機構(gòu)和網(wǎng)絡(luò)用戶造成不可挽回的損失。
在網(wǎng)絡(luò)快速發(fā)展的新形勢下,全面加強網(wǎng)絡(luò)安全建設(shè),提升網(wǎng)絡(luò)安全等級,對確保和維護網(wǎng)絡(luò)用戶利益,維護單位整體形象都具有十分重要我。特別是在當(dāng)前,終端用戶往往會在終端中存儲大量的信息資料,工作手段也越來越依賴于網(wǎng)絡(luò),一旦網(wǎng)絡(luò)安全方面出現(xiàn)問題,造成信息的丟失或不能及時流通,或者被篡改、增刪、破壞或竊用,都將帶來難以彌補的巨大損失,因此,積極研究探索與網(wǎng)絡(luò)發(fā)展同步的網(wǎng)絡(luò)安全解決方案,全面加強網(wǎng)絡(luò)安全建設(shè),是各級網(wǎng)絡(luò)管理部門及用戶的重要職責(zé),必須要高度重視,扎實推進。
2 信息系統(tǒng)安全威脅與風(fēng)險分析
認(rèn)真分析信鼠系統(tǒng)安全威脅與存在的風(fēng)險,是進行風(fēng)險管理、制定網(wǎng)絡(luò)安全方案的前提和基礎(chǔ)。通過進行有效的系統(tǒng)安全威脅與風(fēng)險分析,可以幫助相關(guān)機構(gòu)和用戶選擇合作的控制措施來降低風(fēng)險。
2.1 物理安全風(fēng)險分析
網(wǎng)絡(luò)物理安全是整個網(wǎng)絡(luò)系統(tǒng)安全的前提,相關(guān)的物理安全風(fēng)險主要有:地震、水災(zāi)、火災(zāi)等環(huán)境事故造成整個系統(tǒng)毀滅;電源故障造成設(shè)備斷電以至操作系統(tǒng)引導(dǎo)失敗或數(shù)據(jù)庫信息丟失;設(shè)備被盜、被毀造成數(shù)據(jù)丟失或信息泄漏;電磁輻射可能造成數(shù)據(jù)信息被竊取或偷閱;報警系統(tǒng)的設(shè)計不足可能造成原本可以防止但實際發(fā)生了的事故。
2.2 鏈路傳輸風(fēng)險分析
網(wǎng)絡(luò)安全不僅是入侵者到企業(yè)內(nèi)部網(wǎng)上進行攻擊、竊取或其它破壞,他們完全有可能在傳輸線路上安裝竊聽裝置,竊取你在網(wǎng)上傳輸?shù)闹匾獢?shù)據(jù),再通過一些技術(shù)讀出數(shù)據(jù)信息,造成泄密或者做一些篡改來破壞數(shù)據(jù)的完整性;以上種種不安全因素都對網(wǎng)絡(luò)構(gòu)成嚴(yán)重的安全危脅。
2.3 網(wǎng)絡(luò)結(jié)構(gòu)的安全風(fēng)險分析
來自與公網(wǎng)互聯(lián)的安全危脅,基于Internet公網(wǎng)的開放性、國際性與自由性,內(nèi)部網(wǎng)絡(luò)將面臨更加嚴(yán)重的安全危脅。一些黑客會制造病毒透過網(wǎng)絡(luò)進行傳播,還會影響到與本系統(tǒng)網(wǎng)絡(luò)有連接的外單位網(wǎng)絡(luò);影響所及,還可能涉及法律、金融等安全敏感領(lǐng)域。
內(nèi)部網(wǎng)絡(luò)與系統(tǒng)外部網(wǎng)互聯(lián)安全威脅。如果系統(tǒng)內(nèi)部局域網(wǎng)絡(luò)與系統(tǒng)外部網(wǎng)絡(luò)間沒有采取一定的安全防護措施,內(nèi)部網(wǎng)絡(luò)容易造到來自外網(wǎng)一些不懷好意的入侵者的攻擊。入侵者通過網(wǎng)絡(luò)監(jiān)聽等先進手段獲得內(nèi)部網(wǎng)用戶的用戶名、口令等信息,進而假冒內(nèi)部合法身份進行非法登錄,竊取內(nèi)部網(wǎng)重要信息。惡意攻擊,入侵者通過發(fā)送大量PING包對內(nèi)部網(wǎng)重要服務(wù)器進行攻擊,使得服務(wù)器超負(fù)荷工作以至拒絕服務(wù)甚至系統(tǒng)癱瘓。
內(nèi)部局域網(wǎng)的安全威脅。據(jù)調(diào)查在已有的網(wǎng)絡(luò)安全攻擊事件中約70%是來自內(nèi)部網(wǎng)絡(luò)的侵犯。比如內(nèi)部人員故意泄漏內(nèi)部網(wǎng)絡(luò)的網(wǎng)絡(luò)結(jié)構(gòu);安全管理員有意透露其用戶名及口令;內(nèi)部不懷好意員工編些破壞程序在內(nèi)部網(wǎng)上傳播或者內(nèi)部人員通過各種方式盜取他人信息傳播出去。這些都將對網(wǎng)絡(luò)安全構(gòu)成嚴(yán)重威脅。
2.4 系統(tǒng)的安全風(fēng)險分析
系統(tǒng)的安全往往歸結(jié)于操作系統(tǒng)的安全性,決定于網(wǎng)絡(luò)操作系統(tǒng)、應(yīng)用系統(tǒng)的安全性。目前的操作系統(tǒng)或應(yīng)用系統(tǒng)無論是Windows還是其它任何商用UNIX操作系統(tǒng)以及其它廠商開發(fā)的應(yīng)用系統(tǒng),系統(tǒng)本身必定存在安全漏洞。這些安全漏洞都將存在重大安全隱患。但是從實際應(yīng)用上,系統(tǒng)的安全程度跟對其進行安全配置及系統(tǒng)的應(yīng)用面有很大關(guān)系,操作系統(tǒng)如果沒有采用相應(yīng)的安全配置,則其是漏洞百出,掌握一般攻擊技術(shù)的人都可能入侵得手。因此,必須要高度重視系統(tǒng)的安全風(fēng)險,科學(xué)進行系統(tǒng)安全配置,從而有效降低系統(tǒng)風(fēng)險。
2.5 應(yīng)用的安全風(fēng)險分析
應(yīng)用系統(tǒng)的安全涉及很多方面。應(yīng)用系統(tǒng)是動態(tài)的、不斷變化的。應(yīng)用的安全性也是動態(tài)的。這就需要我們對不同的應(yīng)用,檢測安全漏洞,采取相應(yīng)的安全措施,降低應(yīng)用的安全風(fēng)險。比如由于資源共享、使用電子郵件系統(tǒng)、受病毒侵害、數(shù)據(jù)信息被非法竊取,篡改等,這些都是應(yīng)用層面應(yīng)當(dāng)防范的安全風(fēng)險。
2.6 管理的安全風(fēng)險分析
內(nèi)部管理人員或員工把內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)、管理員用戶名及口令以及系統(tǒng)的一些重要信息傳播給外人帶來信息泄漏風(fēng)險。機房存在惡意的入侵者,內(nèi)部不滿的員工有的可能熟悉服務(wù)器、小程序、腳本和系統(tǒng)的弱點。利用網(wǎng)絡(luò)開些小玩笑,甚至破壞。一些網(wǎng)絡(luò)系統(tǒng)管理由于責(zé)權(quán)不明,管理混亂、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風(fēng)險。
3 網(wǎng)絡(luò)安全解決方案
可以通過配置諸如:標(biāo)識、密鑰管理、安全管理、系統(tǒng)保護、鑒別、授權(quán)、訪問控制、抗抵賴、受保護通信、入侵檢測與抑制、完整性證明、恢復(fù)安全狀態(tài)、病毒檢測與根除等技術(shù)類安全控制來有效防止給定類型的風(fēng)險與威脅;通過建立相關(guān)的安全管理機制,實現(xiàn)管理在的安全控制;通過建立一整套嚴(yán)謹(jǐn)?shù)目刂浦改?,實現(xiàn)操作類的安全控制,從而實現(xiàn)信息系統(tǒng)安全控制。
3.1 做好物理防護
保證計算機信息系統(tǒng)各種設(shè)備的物理安全是保障整個網(wǎng)絡(luò)系統(tǒng)安全的前提。物理安全是保護計算機網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導(dǎo)致的破壞過程。要嚴(yán)格按照相關(guān)標(biāo)準(zhǔn)建設(shè)網(wǎng)絡(luò),防止人為降低建設(shè)標(biāo)準(zhǔn)。確保設(shè)備安全,采取有力措施搞好防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護等。
3.2 確保系統(tǒng)安全
要認(rèn)真判斷網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)是否合理;線路是否有冗余;路由是否冗余,防止單點失敗等。工行網(wǎng)絡(luò)在設(shè)計時,比較好的考慮了這些因素,可以說網(wǎng)絡(luò)結(jié)構(gòu)是比較合理的、比較安全的。對于操作系統(tǒng)要盡可能采用安全性較高的網(wǎng)絡(luò)操作系統(tǒng)并進行必要的安全配置、關(guān)閉一些起不常用卻存在安全隱患的應(yīng)用、對一些保存有用戶信息及其口令的關(guān)鍵文件,對使用權(quán)限進行嚴(yán)格限制;加強口令字的使用,增加口令復(fù)雜程度、不要使用與用戶身份有關(guān)的、容易猜測的信息作為口令,并及時給系統(tǒng)打補丁、系統(tǒng)內(nèi)部的相互調(diào)用不對外公開。通過配備操作系統(tǒng)安全掃描系統(tǒng)對操作系統(tǒng)進行安全性掃描,發(fā)現(xiàn)其中存在的安全漏洞,并有針對性地進行對網(wǎng)絡(luò)設(shè)備重新配置或升級。在應(yīng)用系統(tǒng)安全上,應(yīng)用服務(wù)器盡量不要開放一些沒有經(jīng)常用的協(xié)議及協(xié)議端口號。充分利用操作系統(tǒng)和應(yīng)用系統(tǒng)本身的日志功能,對用戶所訪問的信息做記錄,為事后審查提供依據(jù)。
3.3 突出網(wǎng)絡(luò)安全
網(wǎng)絡(luò)安全是整個安全解決方案的重中之重,要從訪問控制、通信保密、入侵檢測、網(wǎng)絡(luò)安全掃描系統(tǒng)、防病毒等方面,采取切實可行的對策措施,確保網(wǎng)絡(luò)安全。要嚴(yán)格落實《用戶授權(quán)實施細(xì)則》、《口令字及帳戶管理規(guī)范》、《權(quán)限管理制度》、《安全責(zé)任制度》等安全管理制度。設(shè)置虛擬子網(wǎng),各子網(wǎng)間不能實現(xiàn)互訪,實現(xiàn)初級訪問控制。設(shè)置高等級防火墻,通過制定嚴(yán)格的安全策略實現(xiàn)內(nèi)外網(wǎng)絡(luò)或內(nèi)部網(wǎng)絡(luò)不同信任域之間的隔離與訪問控制。利用防火墻并經(jīng)過嚴(yán)格配置,可以阻止各種不安全訪問通過防火墻,從而降低安全風(fēng)險。但是,網(wǎng)絡(luò)安全不可能完全依靠防火墻單一產(chǎn)品來實現(xiàn),網(wǎng)絡(luò)安全是個整體的,必須配相應(yīng)的安全產(chǎn)品,作為防火墻的必要補充。入侵檢測系統(tǒng)就是最好的安全產(chǎn)品,入侵檢測系統(tǒng)是根據(jù)已有的、最新的攻擊手段的信息代碼對進出網(wǎng)段的所有操作行為進行實時監(jiān)控、記錄,并按制定的策略實行響應(yīng)(阻斷、報警、發(fā)送E-mail)。建立網(wǎng)絡(luò)掃描系統(tǒng),對網(wǎng)絡(luò)系統(tǒng)中的所有操作系統(tǒng)進行安全性掃描,檢測操作系統(tǒng)存在的安全漏洞,并產(chǎn)生報表,并自動進行相關(guān)修復(fù)。通過預(yù)防病毒技術(shù)、檢測病毒技術(shù)、殺毒技術(shù),實施反病毒措施,防止病毒進入網(wǎng)絡(luò)進行傳播擴散。
3.4 確保應(yīng)用安全
應(yīng)用是信息系統(tǒng)安全應(yīng)當(dāng)關(guān)注的重要內(nèi)容,要通過規(guī)范用戶的行為,來實現(xiàn)應(yīng)用安全。要嚴(yán)格控制內(nèi)部員工對網(wǎng)絡(luò)共享資源的使用,尤其要限制共享資源的濫用,在內(nèi)部子網(wǎng)中一般不隨意開放共享目錄,否則較容易因為疏忽而在與員工間交換信息時泄漏重要信息。對有經(jīng)常交換信息需求的用戶,在共享時也必須加上必要的口令認(rèn)證機制,即只有通過口令的認(rèn)證才允許訪問數(shù)據(jù)。雖然說用戶名加口令的機制不是很安全,但對一般用戶而言,還是起到一定的安全防護,即使有刻意破解者,只要口令設(shè)得復(fù)雜些,也得花費相當(dāng)長的時間。適當(dāng)配置資源控制,要精心設(shè)置訪問權(quán)限,并拒絕未經(jīng)授權(quán)人員的登錄,減少有意或無意的案例漏洞。對數(shù)據(jù)庫服務(wù)器中的數(shù)據(jù)庫必須做安全備份,通過網(wǎng)絡(luò)備份系統(tǒng),可以對數(shù)據(jù)庫進行遠(yuǎn)程備份存儲。
摘 要 隨著信息化技術(shù)的飛速發(fā)展,許多有遠(yuǎn)見的企業(yè)都認(rèn)識到依托先進的it技術(shù)構(gòu)建企業(yè)自身的業(yè)務(wù)和運營平臺將極大地提升企業(yè)的核心競爭力,使企業(yè)在殘酷的競爭環(huán)境中脫穎而出。經(jīng)營管理對計算機應(yīng)用系統(tǒng)的依賴性增強,計算機應(yīng)用系統(tǒng)對網(wǎng)絡(luò)的依賴性增強。計算機網(wǎng)絡(luò)規(guī)模不斷擴大,網(wǎng)絡(luò)結(jié)構(gòu)日益復(fù)雜。計算機網(wǎng)絡(luò)和計算機應(yīng)用系統(tǒng)的正常運行對網(wǎng)絡(luò)安全提出了更高的要求。信息安全防范應(yīng)做整體的考慮,全面覆蓋信息系統(tǒng)的各層次,針對網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、數(shù)據(jù)做全面的防范。信息安全防范體系模型顯示安全防范是一個動態(tài)的過程,事前、事中和事后的技術(shù)手段應(yīng)當(dāng)完備,安全管理應(yīng)貫穿安全防范活動的始終。 關(guān)鍵詞 信息安全;pki;ca;vpn 1 引言 隨著計算機網(wǎng)絡(luò)的出現(xiàn)和互聯(lián)網(wǎng)的飛速發(fā)展,企業(yè)基于網(wǎng)絡(luò)的計算機應(yīng)用也在迅速增加,基于網(wǎng)絡(luò)信息系統(tǒng)給企業(yè)的經(jīng)營管理帶來了更大的經(jīng)濟效益,但隨之而來的安全問題也在困擾著用戶,在2003年后,木馬、蠕蟲的傳播使企業(yè)的信息安全狀況進一步惡化。這都對企業(yè)信息安全提出了更高的要求。 隨著信息化技術(shù)的飛速發(fā)展,許多有遠(yuǎn)見的企業(yè)都認(rèn)識到依托先進的it技術(shù)構(gòu)建企業(yè)自身的業(yè)務(wù)和運營平臺將極大地提升企業(yè)的核心競爭力,使企業(yè)在殘酷的競爭環(huán)境中脫穎而出。面對這瞬息萬變的市場,企業(yè)就面臨著如何提高自身核心競爭力的問題,而其內(nèi)部的管理問題、效率問題、考核問題、信息傳遞問題、信息安全問題等,又時刻在制約著自己,企業(yè)采用pki技術(shù)來解決這些問題已經(jīng)成為當(dāng)前眾多企業(yè)提高自身競爭力的重要手段。 在下面的描述中,以某公司為例進行說明。 2 信息系統(tǒng)現(xiàn)狀 2.1 信息化整體狀況 1)計算機網(wǎng)絡(luò) 某公司現(xiàn)有計算機500余臺,通過內(nèi)部網(wǎng)相互連接,根據(jù)公司統(tǒng)一規(guī)劃,通過防火墻與外網(wǎng)互聯(lián)。在內(nèi)部網(wǎng)絡(luò)中,各計算機在同一網(wǎng)段,通過交換機連接。
圖1 2)應(yīng)用系統(tǒng) 經(jīng)過多年的積累,某公司的計算機應(yīng)用已基本覆蓋了經(jīng)營管理的各個環(huán)節(jié),包括各種應(yīng)用系統(tǒng)和辦公自動化系統(tǒng)。隨著計算機網(wǎng)絡(luò)的進一步完善,計算機應(yīng)用也由數(shù)據(jù)分散的應(yīng)用模式轉(zhuǎn)變?yōu)閿?shù)據(jù)日益集中的模式。 2.2 信息安全現(xiàn)狀 為保障計算機網(wǎng)絡(luò)的安全,某公司實施了計算機網(wǎng)絡(luò)安全項目,基于當(dāng)時對信息安全的認(rèn)識和安全產(chǎn)品的狀況,信息安全的主要內(nèi)容是網(wǎng)絡(luò)安全,部署了防火墻、防病毒服務(wù)器等網(wǎng)絡(luò)安全產(chǎn)品,極大地提升了公司計算機網(wǎng)絡(luò)的安全性,這些產(chǎn)品在此后防范網(wǎng)絡(luò)攻擊事件、沖擊波等網(wǎng)絡(luò)病毒攻擊以及網(wǎng)絡(luò)和桌面日常保障等方面發(fā)揮了很大的作用。 3 風(fēng)險與需求分析 3.1 風(fēng)險分析 通過對我們信息系統(tǒng)現(xiàn)狀的分析,可得出如下結(jié)論: (1)經(jīng)營管理對計算機應(yīng)用系統(tǒng)的依賴性增強,計算機應(yīng)用系統(tǒng)對網(wǎng)絡(luò)的依賴性增強。計算機網(wǎng)絡(luò)規(guī)模不斷擴大,網(wǎng)絡(luò)結(jié)構(gòu)日益復(fù)雜。計算機網(wǎng)絡(luò)和計算機應(yīng)用系統(tǒng)的正常運行對網(wǎng)絡(luò)安全提出了更高的要求。 (2)計算機應(yīng)用系統(tǒng)涉及越來越多的企業(yè)關(guān)鍵數(shù)據(jù),這些數(shù)據(jù)大多集中在公司總部數(shù)據(jù)中心,因此有必要加強各計算機應(yīng)用系統(tǒng)的用戶管理和身份的認(rèn)證,加強對數(shù)據(jù)的備份,并運用技術(shù)手段,提高數(shù)據(jù)的機密性、完整性和可用性。 通過對現(xiàn)有的信息安全體系的分析,也可以看出:隨著計算機技術(shù)的發(fā)展、安全威脅種類的增加,某公司的信息安全無論在總體構(gòu)成、信息安全產(chǎn)品的功能和性能上都存在一定的缺陷,具體表現(xiàn)在: (1)系統(tǒng)性不強,安全防護僅限于網(wǎng)絡(luò)安全,系統(tǒng)、應(yīng)用和數(shù)據(jù)的安全存在較大的風(fēng)險。 目前實施的安全方案是基于當(dāng)時的認(rèn)識進行的,主要工作集中于網(wǎng)絡(luò)安全,對于系統(tǒng)和應(yīng)用的安全防范缺乏技術(shù)和管理手段。如缺乏有效的身份認(rèn)證,對服務(wù)器、網(wǎng)絡(luò)設(shè)備和應(yīng)用系統(tǒng)的訪問都停留在用戶名/密碼的簡單認(rèn)證階段,很容易被冒充;又如數(shù)據(jù)備份缺乏整體方案和制度規(guī)范,容易造成重要數(shù)據(jù)的丟失和泄露。 當(dāng)時的網(wǎng)絡(luò)安全的基本是一種外部網(wǎng)絡(luò)安全的概念,是基于這樣一種信任模型的,即網(wǎng)絡(luò)內(nèi)部的用戶都是可信的。在這種信任模型下,假設(shè)所有可能的對信息安全造成威脅的攻擊者都來自于組織外部,并且是通過網(wǎng)絡(luò)從外部使用各種攻擊手段進入內(nèi)部網(wǎng)絡(luò)信息系統(tǒng)的。 針對外部網(wǎng)絡(luò)安全,人們提出了內(nèi)部網(wǎng)絡(luò)安全的概念,它基于這樣一種信任模型:所有的用戶都是不可信的。在這種信任模型中,假設(shè)所有用戶都可能對信息安全造成威脅,并且可以各種更加方便的手段對信息安全造成威脅,比如內(nèi)部人員可以直接對重要的服務(wù)器進行操控從而破壞信息,或者從內(nèi)部網(wǎng)絡(luò)訪問服務(wù)器,下載重要的信息并盜取出去。內(nèi)部網(wǎng)絡(luò)安全的這種信任模型更符合現(xiàn)實的狀況。 美國聯(lián)邦調(diào)查局(fbi)和計算機安全機構(gòu)(csi)等權(quán)威機構(gòu)的研究也證明了這一點:超過80%的信息安全隱患是來自組織內(nèi)部,這些隱患直接導(dǎo)致了信息被內(nèi)部人員所竊取和破壞。 信息系統(tǒng)的安全防范是一個動態(tài)過程,某公司缺乏相關(guān)的規(guī)章制度、技術(shù)規(guī)范,也沒有選用有關(guān)的安全服務(wù)。不能充分發(fā)揮安全產(chǎn)品的效能。 (2)原有的網(wǎng)絡(luò)安全產(chǎn)品在功能和性能上都不能適應(yīng)新的形勢,存在一定的網(wǎng)絡(luò)安全隱患,產(chǎn)品亟待升級。 已購買的網(wǎng)絡(luò)安全產(chǎn)品中,有不少在功能和性能上都不能滿足進一步提高信息安全的要求。如為進一步提高全網(wǎng)的安全性,擬對系統(tǒng)的互聯(lián)網(wǎng)出口進行嚴(yán)格限制,原有的防火墻將成為企業(yè)內(nèi)網(wǎng)和公網(wǎng)之間的瓶頸。同時病毒的防范、新的攻擊手段也對防火墻提出了更多的功能上的要求,現(xiàn)有的防火墻不具備這些功能。 網(wǎng)絡(luò)信息系統(tǒng)的安全建設(shè)建立在風(fēng)險評估的基礎(chǔ)上,這是信息化建設(shè)的內(nèi)在要求,系統(tǒng)主管部門和運營、應(yīng)用單位都必須做好本系統(tǒng)的信息安全風(fēng)險評估工作。只有在建設(shè)的初期,在規(guī)劃的過程中,就運用風(fēng)險評估、風(fēng)險管理的手段,用戶才可以避免重復(fù)建設(shè)和投資的浪費。 3.2 需求分析 如前所述,某公司信息系統(tǒng)存在較大的風(fēng)險,信息安全的需求主要體現(xiàn)在如下幾點: (1)某公司信息系統(tǒng)不僅需要安全可靠的計算機網(wǎng)絡(luò),也需要做好系統(tǒng)、應(yīng)用、數(shù)據(jù)各方面的安全防護。為此,要加強安全防護的整體布局,擴大安全防護的覆蓋面,增加新的安全防護手段。 (2)網(wǎng)絡(luò)規(guī)模的擴大和復(fù)雜性的增加,以及新的攻擊手段的不斷出現(xiàn),使某公司計算機網(wǎng)絡(luò)安全面臨更大的挑戰(zhàn),原有的產(chǎn)品進行升級或重新部署。 (3)信息安全工作日益增強的重要性和復(fù)雜性對安全管理提出了更高的要求,為此要加快規(guī)章制度和技術(shù)規(guī)范的建設(shè),使安全防范的各項工作都能夠有序、規(guī)范地進行。 (4)信息安全防范是一個動態(tài)循環(huán)的過程,如何利用專業(yè)公司的安全服務(wù),做好事前、事中和事后的各項防范工作,應(yīng)對不斷出現(xiàn)的各種安全威脅,也是某公司面臨的重要課題。 4 設(shè)計原則 安全體系建設(shè)應(yīng)按照“統(tǒng)一規(guī)劃、統(tǒng)籌安排、統(tǒng)一標(biāo)準(zhǔn)、分步實施”的原則進行,避免重復(fù)投入、重復(fù)建設(shè),充分考慮整體和局部的利益。 4.1 標(biāo)準(zhǔn)化原則 本方案參照信息安全方面的國家法規(guī)與標(biāo)準(zhǔn)和公司內(nèi)部已經(jīng)執(zhí)行或正在起草標(biāo)準(zhǔn)及規(guī)定,使安全技術(shù)體系的建設(shè)達(dá)到標(biāo)準(zhǔn)化、規(guī)范化的要求,為拓展、升級和集中統(tǒng)一打好基礎(chǔ)。 4.2 系統(tǒng)化原則 信息安全是一個復(fù)雜的系統(tǒng)工程,從信息系統(tǒng)的各層次、安全防范的各階段全面地進行考慮,既注重技術(shù)的實現(xiàn),又要加大管理的力度,以形成系統(tǒng)化的解決方案。 4.3 規(guī)避風(fēng)險原則 安全技術(shù)體系的建設(shè)涉及網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用等方方面面,任何改造、添加甚至移動,都可能影響現(xiàn)有網(wǎng)絡(luò)的暢通或在用系統(tǒng)的連續(xù)、穩(wěn)定運行,這是安全技術(shù)體系建設(shè)必須面對的最大風(fēng)險。本規(guī)劃特別考慮規(guī)避運行風(fēng)險問題,在規(guī)劃與應(yīng)用系統(tǒng)銜接的基礎(chǔ)安全措施時,優(yōu)先保證透明化,從提供通用安全基礎(chǔ)服務(wù)的要求出發(fā),設(shè)計并實現(xiàn)安全系統(tǒng)與應(yīng)用系統(tǒng)的平滑連接。 4.4 保護投資原則 由于信息安全理論與技術(shù)發(fā)展的歷史原因和自身的資金能力,某公司分期、分批建設(shè)了一些整體的或區(qū)域的安全技術(shù)系統(tǒng),配置了相應(yīng)的設(shè)施。因此,本方案依據(jù)保護信息安全投資效益的基本原則,在合理規(guī)劃、建設(shè)新的安全子系統(tǒng)或投入新的安全設(shè)施的同時,對現(xiàn)有安全系統(tǒng)采取了完善、整合的辦法,以使其納入總體安全技術(shù)體系,發(fā)揮更好的效能,而不是排斥或拋棄。 4.5 多重保護原則 任何安全措施都不是絕對安全的,都可能被攻破。但是建立一個多重保護系統(tǒng),各層保護相互補充,當(dāng)一層保護被攻破時,其它層保護仍可保護信息的安全。 4.6 分步實施原則 由于某公司應(yīng)用擴展范圍廣闊,隨著網(wǎng)絡(luò)規(guī)模的擴大及應(yīng)用的增加,系統(tǒng)脆弱性也會不斷增加。一勞永逸地解決安全問題是不現(xiàn)實的。針對安全體系的特性,尋求安全、風(fēng)險、開銷的平衡,采取“統(tǒng)一規(guī)劃、分步實施”的原則。即可滿足某公司安全的基本需求,亦可節(jié)省費用開支。
5 設(shè)計思路及安全產(chǎn)品的選擇和部署 信息安全防范應(yīng)做整體的考慮,全面覆蓋信息系統(tǒng)的各層次,針對網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、數(shù)據(jù)做全面的防范。信息安全防范體系模型顯示安全防范是一個動態(tài)的過程,事前、事中和事后的技術(shù)手段應(yīng)當(dāng)完備,安全管理應(yīng)貫穿安全防范活動的始終,如圖2所示。 圖2 網(wǎng)絡(luò)與信息安全防范體系模型 信息安全又是相對的,需要在風(fēng)險、安全和投入之間做出平衡,通過對某公司信息化和信息安全現(xiàn)狀的分析,對現(xiàn)有的信息安全產(chǎn)品和解決方案的調(diào)查,通過與計算機專業(yè)公司接觸,初步確定了本次安全項目的內(nèi)容。通過本次安全項目的實施,基本建成較完整的信息安全防范體系。 5.1 網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施 證書認(rèn)證系統(tǒng)無論是企業(yè)內(nèi)部的信息網(wǎng)絡(luò)還是外部的網(wǎng)絡(luò)平臺,都必須建立在一個安全可信的網(wǎng)絡(luò)之上。目前,解決這些安全問題的最佳方案當(dāng)數(shù)應(yīng)用pki/ca數(shù)字認(rèn)證服務(wù)。pki(public key infrastructure,公鑰基礎(chǔ)設(shè)施)是利用公開密鑰理論和技術(shù)建立起來的提供在線身份認(rèn)證的安全體系,它從技術(shù)上解決了網(wǎng)上身份認(rèn)證、信息完整性和抗抵賴等安全問題,為網(wǎng)絡(luò)應(yīng)用提供可靠的安全保障,向用戶提供完整的pki/ca數(shù)字認(rèn)證服務(wù)。通過建設(shè)證書認(rèn)證中心系統(tǒng),建立一個完善的網(wǎng)絡(luò)安全認(rèn)證平臺,能夠通過這個安全平臺實現(xiàn)以下目標(biāo): 身份認(rèn)證(authentication):確認(rèn)通信雙方的身份,要求通信雙方的身份不能被假冒或偽裝,在此體系中通過數(shù)字證書來確認(rèn)對方的身份。 數(shù)據(jù)的機密性(confidentiality):對敏感信息進行加密,確保信息不被泄露,在此體系中利用數(shù)字證書加密來完成。 數(shù)據(jù)的完整性(integrity):確保通信信息不被破壞(截斷或篡改),通過哈希函數(shù)和數(shù)字簽名來完成。 不可抵賴性(non-repudiation):防止通信對方否認(rèn)自己的行為,確保通信方對自己的行為承認(rèn)和負(fù)責(zé),通過數(shù)字簽名來完成,數(shù)字簽名可作為法律證據(jù)。 5.2 邊界防護和網(wǎng)絡(luò)的隔離 vpn(virtual private network)虛擬專用網(wǎng),是將物理分布在不同地點的網(wǎng)絡(luò)通過公用骨干網(wǎng)(如internet)連接而成的邏輯上的虛擬專用網(wǎng)。和傳統(tǒng)的物理方式相比,具有降低成本及維護費用、易于擴展、數(shù)據(jù)傳輸?shù)母甙踩浴? 通過安裝部署vpn系統(tǒng),可以為企業(yè)構(gòu)建虛擬專用網(wǎng)絡(luò)提供了一整套安全的解決方案。它利用開放性網(wǎng)絡(luò)作為信息傳輸?shù)拿襟w,通過加密、認(rèn)證、封裝以及密鑰交換技術(shù)在公網(wǎng)上開辟一條隧道,使得合法的用戶可以安全的訪問企業(yè)的私有數(shù)據(jù),用以代替專線方式,實現(xiàn)移動用戶、遠(yuǎn)程lan的安全連接。 集成的防火墻功能模塊采用了狀態(tài)檢測的包過濾技術(shù),可以對多種網(wǎng)絡(luò)對象進行有效地訪問監(jiān)控,為網(wǎng)絡(luò)提供高效、穩(wěn)定地安全保護。 集中的安全策略管理可以對整個vpn網(wǎng)絡(luò)的安全策略進行集中管理和配置。 5.3 安全電子郵件 電子郵件是internet上出現(xiàn)最早的應(yīng)用之一。隨著網(wǎng)絡(luò)的快速發(fā)展,電子郵件的使用日益廣泛,成為人們交流的重要工具,大量的敏感信息隨之在網(wǎng)絡(luò)上傳播。然而由于網(wǎng)絡(luò)的開放性和郵件協(xié)議自身的缺點,電子郵件存在著很大的安全隱患。 目前廣泛應(yīng)用的電子郵件客戶端軟件如 outlook 支持的 s/mime( secure multipurpose internet mail extensions ),它是從 pem(privacy enhanced mail) 和 mime(internet 郵件的附件標(biāo)準(zhǔn) ) 發(fā)展而來的。首先,它的認(rèn)證機制依賴于層次結(jié)構(gòu)的證書認(rèn)證機構(gòu),所有下一級的組織和個人的證書由上一級的組織負(fù)責(zé)認(rèn)證,而最上一級的組織 ( 根證書 ) 之間相互認(rèn)證,整個信任關(guān)系基本是樹狀的。其次, s/mime 將信件內(nèi)容加密簽名后作為特殊的附件傳送。 保證了信件內(nèi)容的安全性。 5.4 桌面安全防護 對企業(yè)信息安全的威脅不僅來自企業(yè)網(wǎng)絡(luò)外部,大量的安全威脅來自企業(yè)內(nèi)部。很早之前安全界就有數(shù)據(jù)顯示,近80%的網(wǎng)絡(luò)安全事件,是來自于企業(yè)內(nèi)部。同時,由于是內(nèi)部人員所為,這樣的安全犯罪往往目的明確,如針對企業(yè)機密和專利信息的竊取、財務(wù)欺騙等,因此,對于企業(yè)的威脅更為嚴(yán)重。對于桌面微機的管理和監(jiān)控是減少和消除內(nèi)部威脅的有效手段。 桌面安全系統(tǒng)把電子簽章、文件加密應(yīng)用和安全登錄以及相應(yīng)的智能卡管理工具集成到一起,形成一個整體,是針對客戶端安全的整體解決方案。 1)電子簽章系統(tǒng) 利用非對稱密鑰體系保證了文檔的完整性和不可抵賴性。采用組件技術(shù),可以無縫嵌入office系統(tǒng),用戶可以在編輯文檔后對文檔進行簽章,或是打開文檔時驗證文檔的完整性和查看文檔的作者。 2) 安全登錄系統(tǒng) 安全登錄系統(tǒng)提供了對系統(tǒng)和網(wǎng)絡(luò)登錄的身份認(rèn)證。使用后,只有具有指定智能密碼鑰匙的人才可以登錄計算機和網(wǎng)絡(luò)。用戶如果需要離開計算機,只需拔出智能密碼鑰匙,即可鎖定計算機。 3)文件加密系統(tǒng) 文件加密應(yīng)用系統(tǒng)保證了數(shù)據(jù)的安全存儲。由于密鑰保存在智能密碼鑰匙中,加密算法采用國際標(biāo)準(zhǔn)安全算法或國家密碼管理機構(gòu)指定安全算法,從而保證了存儲數(shù)據(jù)的安全性。 5.5 身份認(rèn)證 身份認(rèn)證是指計算機及網(wǎng)絡(luò)系統(tǒng)確認(rèn)操作者身份的過程?;趐ki的身份認(rèn)證方式是近幾年發(fā)展起來的一種方便、安全的身份認(rèn)證技術(shù)。它采用軟硬件相結(jié)合、一次一密的強雙因子認(rèn)證模式,很好地解決了安全性與易用性之間的矛盾。usb key是一種usb接口的硬件設(shè)備,它內(nèi)置單片機或智能卡芯片,可以存儲用戶的密鑰或數(shù)字證書,利用usb key內(nèi)置的密碼算法實現(xiàn)對用戶身份的認(rèn)證。 基于pki的usb key的解決方案不僅可以提供身份認(rèn)證的功能,還可構(gòu)建用戶集中管理與認(rèn)證系統(tǒng)、應(yīng)用安全組件、客戶端安全組件和證書管理系統(tǒng)通過一定的層次關(guān)系和邏輯聯(lián)系構(gòu)成的綜合性安全技術(shù)體系,從而實現(xiàn)上述身份認(rèn)證、授權(quán)與訪問控制、安全審計、數(shù)據(jù)的機密性、完整性、抗抵賴性的總體要求。 6 方案的組織與實施方式 網(wǎng)絡(luò)與信息安全防范體系流程主要由三大部分組成:攻擊前的防范、攻擊過程中的防范和攻擊后的應(yīng)對。安全管理貫穿全流程如圖3所示。網(wǎng)絡(luò)與信息安全防范體系模型流程不僅描述了安全防范的動態(tài)過程,也為本方案的實施提供了借鑒。 圖3 因此在本方案的組織和實施中,除了工程的實施外,還應(yīng)重視以下各項工作: (1)在初步進行風(fēng)險分析基礎(chǔ)上,方案實施方應(yīng)進行進一步的風(fēng)險評估,明確需求所在,務(wù)求有的放矢,確保技術(shù)方案的針對性和投資的回報。 (2)把應(yīng)急響應(yīng)和事故恢復(fù)作為技術(shù)方案的一部分,必要時可借助專業(yè)公司的安全服務(wù),提高應(yīng)對重大安全事件的能力。 (3)該方案投資大,覆蓋范圍廣,根據(jù)實際情況,可采取分地區(qū)、分階段實施的方式。 (4)在方案實施的同時,加強規(guī)章制度、技術(shù)規(guī)范的建設(shè),使信息安全的日常工作進一步制度化、規(guī)范化。 7 結(jié)論 本文以某公司為例,分析了網(wǎng)絡(luò)安全現(xiàn)狀,指出目前存在的風(fēng)險,隨后提出了一整套完整的解決方案,涵蓋了各個方面,從技術(shù)手段的改進,到規(guī)章制度的完善;從單機系統(tǒng)的安全加固,到整體網(wǎng)絡(luò)的安全管理。本方案從技術(shù)手段上、從可操作性上都易于實現(xiàn)、易于部署,為眾多行業(yè)提供了網(wǎng)絡(luò)安全解決手段。 也希望通過本方案的實施,可以建立較完善的信息安全體系,有效地防范信息系統(tǒng)來自各方面的攻擊和威脅,把風(fēng)險降到最低水平。 參考文獻 [1] 國家信息安全基礎(chǔ)設(shè)施研究中心、國家信息安全工程技術(shù)研究中心.《電子政務(wù)總體設(shè)計與技術(shù)實現(xiàn)》
關(guān)鍵詞:網(wǎng)絡(luò)安全威脅;安全需求;防火墻;IDS;網(wǎng)絡(luò)安全
中圖分類號:C913.3文獻標(biāo)識碼:A文章編號:1005-5312(2010)12-0088-01
一、網(wǎng)絡(luò)安全概述
(一)網(wǎng)絡(luò)安全的基本概念
網(wǎng)絡(luò)安全包括物理安全和邏輯安全。對于物理安全,需要加強計算機房管理,如門衛(wèi)、出入者身份檢查、下班鎖門以及各種硬件安全手段等預(yù)防措施;而對于后者,則需要用口令、文件許可和查帳等方法來實現(xiàn)。
(二)網(wǎng)絡(luò)面臨的主要攻擊
⑴ 緩沖區(qū)溢出。
⑵ 遠(yuǎn)程攻擊。
⑶ 口令破解。
⑷ 超級權(quán)限。
⑸ 拒絕服務(wù)(DDOS)。
二、安全需求
通過對網(wǎng)絡(luò)系統(tǒng)的風(fēng)險分析,我們需要制定合理的安全策略及安全方案來確保網(wǎng)絡(luò)系統(tǒng)的機密性、完整性、可用性、可控性與可審查性。即,
可用性: 授權(quán)實體有權(quán)訪問數(shù)據(jù)。
機密性: 信息不暴露給未授權(quán)實體或進程。
完整性: 保證數(shù)據(jù)不被未授權(quán)修改。
可控性: 控制授權(quán)范圍內(nèi)的信息流向及操作方式。
可審查性:對出現(xiàn)的安全問題提供依據(jù)與手段。
訪問控制:需要由防火墻將內(nèi)部網(wǎng)絡(luò)與外部不可信任的網(wǎng)絡(luò)隔離,對與外部網(wǎng)絡(luò)交換數(shù)據(jù)的內(nèi)部網(wǎng)絡(luò)及其主機、所交換的數(shù)據(jù)進行嚴(yán)格的訪問控制。同樣,對內(nèi)部網(wǎng)絡(luò),由于不同的應(yīng)用業(yè)務(wù)以及不同的安全級別,也需要使用防火墻將不同的LAN或網(wǎng)段進行隔離,并實現(xiàn)相互的訪問控制。
數(shù)據(jù)加密:數(shù)據(jù)加密是在數(shù)據(jù)傳輸、存儲過程中防止非法竊取、篡改信息的有效手段。
安全審計: 是識別與防止網(wǎng)絡(luò)攻擊行為、追查網(wǎng)絡(luò)泄密行為的重要措施之一。具體包括兩方面的內(nèi)容,一是采用網(wǎng)絡(luò)監(jiān)控與入侵防范系統(tǒng),識別網(wǎng)絡(luò)各種違規(guī)操作與攻擊行為,即時響應(yīng)(如報警)并進行阻斷;二是對信息內(nèi)容的審計,可以防止內(nèi)部機密或敏感信息的非法泄漏
三、網(wǎng)絡(luò)安全防護策略
個人建議采用如下的安全拓?fù)浼軜?gòu)來確保網(wǎng)站的安全性,其中我們主要采用以下五項高強度的安全防護措施:如圖3-1所示:
(一)層層布防
從上圖中,我們可以看到,我們將安全層次劃分為四個層次,不同的層次采用不同的策略進行有效的安全防護。
第一個層次,是外部Internet,是不能有效確定其安全風(fēng)險的層次,我們的安全策略就是要重點防護來自于第一個層次的攻擊。
第二個層次,是通過路由器后進入網(wǎng)站的第一個安全屏障。該層主要由防火墻進行防護和訪問控制,防火墻在安全規(guī)則上,只開放WWW,POP3,SMTP等少數(shù)端口和服務(wù),完全封閉其他不必要的服務(wù)端口,阻擋來自于外部的攻擊企圖。同時,為了反映防火墻之內(nèi)的實際安全狀態(tài),部署網(wǎng)絡(luò)入侵檢測系統(tǒng)(IDS)。入侵檢測系統(tǒng)可以檢測出外部穿過防火墻之后的和網(wǎng)絡(luò)內(nèi)部經(jīng)過交換機對外的所有數(shù)據(jù)流中,有無非法的訪問內(nèi)網(wǎng)的企圖、對WWW服務(wù)器和郵件服務(wù)器等關(guān)鍵業(yè)務(wù)平臺的攻擊行為和內(nèi)部網(wǎng)絡(luò)中的非法行為。對DDOS攻擊行為及時報警,并通過與防火墻的聯(lián)動及時阻斷,網(wǎng)絡(luò)遭受DDOS攻擊。
第三個層次,是一個中心網(wǎng)絡(luò)的核心層,部署了網(wǎng)絡(luò)處置中心的所有重要的服務(wù)器。在該層次中,部署了網(wǎng)站保護系統(tǒng),防范網(wǎng)頁被非法篡改。
此外,還部署網(wǎng)絡(luò)漏洞掃描系統(tǒng),定期或不定期的對接服務(wù)器區(qū)進行漏洞掃描,幫助網(wǎng)管人員及時了解和修補網(wǎng)絡(luò)中的安全漏洞。這種掃描服務(wù)可以由網(wǎng)絡(luò)安全管理人員完成,或者由安全服務(wù)的安全廠商及其高級防黑客技術(shù)人員完成。
第四個層次,是網(wǎng)絡(luò)安全中心網(wǎng)絡(luò)的數(shù)據(jù)存儲中心,放置了數(shù)據(jù)庫服務(wù)器和數(shù)據(jù)庫備份服務(wù)器。在該層次中,部署了防火墻,對數(shù)據(jù)庫的訪問通過防火墻進行過濾,保證數(shù)據(jù)的安全性。
(二)多種防護手段
我們設(shè)計的高強度安全防護措施,包括多種防護手段,即有靜態(tài)的防護手段,如防火墻,又有動態(tài)的防護手段,如網(wǎng)絡(luò)IDS、網(wǎng)絡(luò)防病毒系統(tǒng)。同時,也考慮到了恢復(fù)和響應(yīng)技術(shù),如網(wǎng)站保護和恢復(fù)系統(tǒng)。不同的防護手段針對不同的安全需求,解決不同的安全問題,使得網(wǎng)絡(luò)防護過程中不留安全死角。
(三)防火墻系統(tǒng)
防火墻是設(shè)置在被保護網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的一道屏障,以防止發(fā)生不可預(yù)測的、潛在破壞性的侵入。防火墻是指設(shè)置在不同網(wǎng)絡(luò)(如可信任的企業(yè)內(nèi)部網(wǎng)和不可信的公共網(wǎng))或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口,能根據(jù)企業(yè)的安全政策控制(允許、拒絕、監(jiān)測)出入網(wǎng)絡(luò)的信息流,且本身具有較強的抗攻擊能力。它是提供信息安全服務(wù),實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。
防火墻可通過監(jiān)測、限制、更改跨越防火墻的數(shù)據(jù)流,盡可能地對外部屏蔽網(wǎng)絡(luò)內(nèi)部的信息、結(jié)構(gòu)和運行狀況,以此來實現(xiàn)網(wǎng)絡(luò)的安全保護。在此次的網(wǎng)絡(luò)系統(tǒng)安全建設(shè)完成后,防火墻將承擔(dān)起對合法地址用戶的路由和對私網(wǎng)地址用戶的地址轉(zhuǎn)換任務(wù)(NAT),同時,將根據(jù)需要對進出訪問進行控制。防火墻可將網(wǎng)絡(luò)分成若干個區(qū)域,Trust(可信任區(qū),連接內(nèi)部局域網(wǎng)),Untrust(不信任區(qū),連接Internet ),DMZ(中立區(qū),連接對外的WEB server、e-Mail server 等)之后,還可以由客戶自行定義安全區(qū)域。
(四)網(wǎng)絡(luò)入侵檢測系統(tǒng)的作用
通過使用網(wǎng)絡(luò)入侵檢測系統(tǒng),我們可以做到:發(fā)現(xiàn)誰在攻擊網(wǎng)絡(luò):解決網(wǎng)絡(luò)防護的問題(網(wǎng)絡(luò)出入口、DMZ、關(guān)鍵網(wǎng)段)。了解接網(wǎng)絡(luò)如何被攻擊:例如,如果有人非法訪問服務(wù)器,需要知道他們是怎么做的,這樣可以防止再次發(fā)生同樣的情況。IDS可以提供攻擊特征描述,還可以進行逐條的記錄回放,使網(wǎng)絡(luò)系統(tǒng)免受二次攻擊。
處置中心網(wǎng)絡(luò)的內(nèi)部危險:放置在網(wǎng)絡(luò)中的IDS會識別不同的安全事件。減輕潛在威脅:可以安裝在特定的網(wǎng)絡(luò)中,確定依具體情況而定的或是所懷疑的威脅,通過策略阻斷和其它安全產(chǎn)品進行全面防護。事后取證:從相關(guān)的事件和活動的多個角度提供具有標(biāo)準(zhǔn)格式的獨特數(shù)據(jù)。實現(xiàn)安全事件來源追查。 DDOS攻擊防范:通過實時監(jiān)控網(wǎng)絡(luò)流量,及時發(fā)現(xiàn)異常流量并報警,通過和防火墻聯(lián)動,對DDOS攻擊進行阻斷。
四、安全服務(wù)
網(wǎng)絡(luò)是個動態(tài)的系統(tǒng),它的變化包括網(wǎng)絡(luò)設(shè)備的調(diào)整,網(wǎng)絡(luò)配置的變化,各種操作系統(tǒng)、應(yīng)用程序的變化,管理人員的變化。即使最初制定的安全策略十分可靠,但是隨著網(wǎng)絡(luò)結(jié)構(gòu)和應(yīng)用的不斷變化,安全策略可能失效,必須及時進行相應(yīng)的調(diào)整。由于這方面相對比較復(fù)雜、篇幅所限,在此就不累述了,有興趣讀者可以另行查閱相關(guān)資料。
五、總結(jié)
毫無疑問,安全是一個動態(tài)的問題。在做未來的計劃時,既要考慮用戶環(huán)境的發(fā)展,也要考慮風(fēng)險的發(fā)展,這樣才能讓安全在操作進程中占有一席之地。最謹(jǐn)慎、最安全的人會將他們的信息放在屋子里鎖好,妥善地保護起來。歸納起來,對網(wǎng)絡(luò)安全的解決方案從人員安全、物理層安全、邊界安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用程序和數(shù)據(jù)安全這幾方面入手即可。上述幾個方面做好之后,我們就可以讓一個網(wǎng)絡(luò)系統(tǒng):
進不來: 通過物理隔離等手段,阻止非授權(quán)用戶進入網(wǎng)絡(luò)。
拿不走: 使用屏蔽、防下載機制,實現(xiàn)對用戶的權(quán)限控制。
讀不懂: 通過認(rèn)證和加密技術(shù),確信信息不暴露給未經(jīng)授權(quán)的人或程序。
改不了: 使用數(shù)據(jù)完整性鑒別機制,保證只有允許的人才能修改數(shù)據(jù)。
走不脫: 使用日志、安全審計、監(jiān)控技術(shù)使得攻擊者不能抵賴自己的行為。
參考文獻:
[1]沈昌祥.信息安全縱論[M].武漢:湖北科學(xué)技術(shù)出版社.2002年版.
[2]杜宇峰.網(wǎng)絡(luò)安全與防護[J].電腦知識與技術(shù).2007(18).
關(guān)鍵詞:網(wǎng)絡(luò)安全;醫(yī)院網(wǎng)絡(luò);防火墻
中圖分類號:TP393文獻標(biāo)識碼:A文章編號:1009-3044(2009)26-7364-02
Hospital-based Network Security Solutions
SUN Ping-bo
(Department of Information, Changhai Hospital, Shanghai 200433, China)
Abstract: The hospital network security is to protect the basis of normal medical practice, this paper, the hospital network security solutions design and implementation of safety programs related to the model, firewalls isolation, and health care business data capture. This article is the construction of the hospital network security system to provide a reference for the role.
Key words: network security; the hospital network; firewall
隨著科學(xué)技術(shù)的發(fā)展和信息時代的來臨,幾乎所有的醫(yī)院都建立了信息網(wǎng)絡(luò),實現(xiàn)了信息資源的網(wǎng)絡(luò)共享。但在具體建設(shè)這個醫(yī)院網(wǎng)絡(luò)平臺時中,往往都只重視怎樣迅速把平臺搭建起來和能夠馬上投入使用,而忽視了在醫(yī)院網(wǎng)絡(luò)平臺建設(shè)過程中信息安全的建設(shè),包括如何保障醫(yī)療業(yè)務(wù)的正常進行、患者及醫(yī)生信息的合法訪問,如何使醫(yī)院網(wǎng)絡(luò)平臺免受黑客、病毒、惡意軟件和其它不良意圖的攻擊已經(jīng)成為急需解決的問題。
1 醫(yī)院網(wǎng)絡(luò)安全解決方案的設(shè)計
1.1網(wǎng)絡(luò)方案的模型
本文研究的醫(yī)院網(wǎng)絡(luò)安全解決方案是采用基于主動策略的醫(yī)院網(wǎng)絡(luò)安全系統(tǒng),它的主導(dǎo)思想是圍繞著P2DR模型思想建立一個完整的信息安全體系框架。P2DR模型最早是由ISS公司提出的動態(tài)安全模型的代表性模型,它主要包含4個部分:安全策略(Policy)、防護(Protection)、檢測(Detection)和響應(yīng)(Response)。
安全策略是P2DR安全模型的核心。在整體安全策略的控制和指導(dǎo)下,運用防護工具(防火墻、操作系統(tǒng)身份認(rèn)證、加密等)對網(wǎng)絡(luò)進行安全防護;利用檢測工具(如漏洞掃描、入侵檢測系統(tǒng)等等)了解和評估系統(tǒng)的安全狀態(tài),檢測針對系統(tǒng)的攻擊行為;通過適當(dāng)?shù)姆磻?yīng)機制將系統(tǒng)的安全狀態(tài)提升到最優(yōu)狀態(tài)。這個過程是一個動態(tài)的、不斷循環(huán)的過程,檢測到的威脅將作為響應(yīng)和加強防護的依據(jù),防護加強后,將繼續(xù)進行檢測過程,依次循環(huán)下去,從而達(dá)到網(wǎng)絡(luò)安全性不斷增強的目的[1]。
根據(jù)對網(wǎng)絡(luò)安全的技術(shù)分析和設(shè)計目標(biāo),醫(yī)院網(wǎng)絡(luò)安全解決方案要解決7個實現(xiàn)的技術(shù)問題,分別是:數(shù)據(jù)檢測,入侵行為控制,行為分析,行為記錄,服務(wù)模擬,行為捕獲和數(shù)據(jù)融合。醫(yī)院網(wǎng)絡(luò)安全解決方案以P2DR模型為基礎(chǔ),合理利用主動防御技術(shù)和被動防御技術(shù)來構(gòu)建動態(tài)安全防御體系,根據(jù)現(xiàn)有安全措施和工具,在安全策略的基礎(chǔ)上,提出基于主動策略的醫(yī)院網(wǎng)絡(luò)安全方案模型,如圖1所示。
醫(yī)院網(wǎng)絡(luò)安全解決方案模型入侵檢測監(jiān)視網(wǎng)絡(luò)的異常情況,當(dāng)發(fā)現(xiàn)有可疑行為或者入侵行為時,將監(jiān)測結(jié)果通知入侵行為控制,并將可疑行為數(shù)據(jù)傳給服務(wù)模擬;服務(wù)模擬在入侵行為控制的監(jiān)控下向可疑行為提供服務(wù),并調(diào)用行為捕獲對系統(tǒng)所有活動作嚴(yán)格和詳細(xì)的記錄;數(shù)據(jù)融合定期地從行為記錄的不同數(shù)據(jù)源提取數(shù)據(jù),按照統(tǒng)一數(shù)據(jù)格式整理、融合、提煉后,一發(fā)給行為分析,對可疑行為及入侵行為作進一步分析,同時通知入侵行為控制對入侵行為進行控制,并提取未知攻擊特征通過入侵行為控制對入侵檢測知識庫進行更新,將新的模式添加進去。
1.2 防火墻隔離的設(shè)計
防火墻技術(shù)是醫(yī)院網(wǎng)絡(luò)安全系統(tǒng)中使用最廣泛的一項網(wǎng)絡(luò)安全技術(shù)。它的作用是防止不希望的、未經(jīng)授權(quán)的通信進入被保護的內(nèi)部網(wǎng)絡(luò),通過邊界控制強化內(nèi)部網(wǎng)絡(luò)的安全策略。在醫(yī)院網(wǎng)絡(luò)中,既有允許被內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)同時訪問的一些應(yīng)用服務(wù)器(如醫(yī)療費用查詢系統(tǒng)、專家號預(yù)約系統(tǒng)、病情在線咨詢系統(tǒng)等),也有只允許醫(yī)院網(wǎng)絡(luò)內(nèi)部之間進行通信,不可以外部網(wǎng)絡(luò)訪問的內(nèi)部網(wǎng)絡(luò)[2]。因此,對應(yīng)用服務(wù)器和內(nèi)部網(wǎng)絡(luò)應(yīng)該采用不同的安全策略。
本文研究的醫(yī)院網(wǎng)絡(luò)安全解決方案采用的是屏蔽子網(wǎng)結(jié)構(gòu)的防火墻配置。將應(yīng)用服務(wù)器放置在屏蔽子網(wǎng)機構(gòu)中的DMZ區(qū)域內(nèi),由外部防火墻保護,內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的用戶都可以訪問該區(qū)域。內(nèi)部網(wǎng)絡(luò)除了外部防火墻的保護外。還采用堡壘主機(服務(wù)器)對內(nèi)部網(wǎng)絡(luò)進行更加深一些層的保護。通過核心交換機的路由功能將想要進入內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包路由到服務(wù)器中,由包過濾原則。過濾一些內(nèi)部網(wǎng)絡(luò)不應(yīng)看到的網(wǎng)站信息等。內(nèi)部路由器將所有內(nèi)部用戶到因特網(wǎng)的訪問均路由到服務(wù)囂,服務(wù)器進行地址翻譯。為這些用戶提供服務(wù).以此屏蔽內(nèi)部網(wǎng)絡(luò)。這種結(jié)構(gòu)使得應(yīng)用服務(wù)器與內(nèi)部網(wǎng)絡(luò)采用不同級別的安全策略,既實現(xiàn)醫(yī)院網(wǎng)絡(luò)的需求,也保護醫(yī)院網(wǎng)絡(luò)的安全。防火墻系統(tǒng)結(jié)構(gòu)設(shè)計如圖2所示。
雖然防火墻系統(tǒng)能夠為醫(yī)院的網(wǎng)絡(luò)提供很多安全方面的保障,但并不能夠解決全部安全問題。因此,醫(yī)院的網(wǎng)絡(luò)安全系統(tǒng)還采取了其他的網(wǎng)絡(luò)安全技術(shù)和手段來確保醫(yī)院網(wǎng)絡(luò)的安全。
1.3 醫(yī)療業(yè)務(wù)數(shù)據(jù)的捕獲
如果本文研究的醫(yī)院網(wǎng)絡(luò)安全系統(tǒng)不能捕獲到任何數(shù)據(jù),那它將是一堆廢物。只有捕獲到數(shù)據(jù),我們才能利用這些數(shù)據(jù)研究攻擊者的技術(shù)、工具和動機。本文設(shè)計的醫(yī)院安全系統(tǒng)實現(xiàn)了三層數(shù)據(jù)捕獲,即防火墻日志、嗅探器捕獲的網(wǎng)絡(luò)數(shù)據(jù)包、管理主機系統(tǒng)日志。
其中,嗅探器記錄各種進出醫(yī)院內(nèi)管理網(wǎng)的數(shù)據(jù)包內(nèi)容,嗅探器可以用各種工具,如Ethereal等,我們使用了Tcpdump。記錄的數(shù)據(jù)以Tcpdump日志的格式進行存儲,這些數(shù)據(jù)不僅以后可用通過Tcpreplay進行回放,也可以在無法分析數(shù)據(jù)時,發(fā)送給別的研究人員進行分析。
防火墻和嗅探器捕獲的是網(wǎng)絡(luò)數(shù)據(jù),還需要捕獲發(fā)生有管理主機上的所有系統(tǒng)和用戶活動。對于windows系統(tǒng),可以借助第三方應(yīng)用程序來記錄系統(tǒng)日志信息?,F(xiàn)在大多數(shù)的攻擊者都會使用加密來與被黑系統(tǒng)進行通信。要捕獲擊鍵行為,需要從管理主機中獲得,如可以通過修改系統(tǒng)庫或者開發(fā)內(nèi)核模塊來修改內(nèi)核從而記錄下攻擊者的行為。
2 醫(yī)院網(wǎng)絡(luò)安全解決方案的實現(xiàn)
2.1 防火墻系統(tǒng)的布置
本文研究的醫(yī)院防火墻系統(tǒng)采用的是屏蔽子網(wǎng)結(jié)構(gòu),在該結(jié)構(gòu)中,采用Quidway SecPath 1000F硬件防火墻與外部網(wǎng)絡(luò)直接相連,通過核心交換機Quidway S6506R將屏蔽子網(wǎng)結(jié)構(gòu)中的DMZ區(qū)域和內(nèi)部網(wǎng)絡(luò)連接起來,DMZ區(qū)域中的各種應(yīng)用的服務(wù)器都采用的是IBM xSeries 346,其中一臺作為堡壘主機使用。這臺堡壘主機起到的就是服務(wù)器的作用。防火墻根據(jù)管理員設(shè)定的安全規(guī)則保護內(nèi)部網(wǎng)絡(luò),提供完善的安全設(shè)置,通過高性能的醫(yī)院網(wǎng)絡(luò)核心進行訪問控制。
2.2 醫(yī)療業(yè)務(wù)數(shù)據(jù)捕獲的實現(xiàn)
本文研究的數(shù)據(jù)捕獲主要從三層進行數(shù)據(jù)捕獲。我們在網(wǎng)橋下運行如下命令進行捕獲:
TCPDUMP -c 10 Ci eth1 -s 0 Cw /log
為了不讓攻擊者知道我們在監(jiān)視他在主機上的活動,我們采用Sebek來實現(xiàn)我們的目標(biāo)。Sebek是個隱藏的記錄攻擊者行為的內(nèi)核補丁。一旦在主機上安裝了Sebek的客戶端,它就在系統(tǒng)的內(nèi)核級別運行,記錄的數(shù)據(jù)并不是記錄在本地硬盤上,而是通過UDP數(shù)據(jù)包發(fā)送到遠(yuǎn)程服務(wù)器上,入侵者很難發(fā)現(xiàn)它的存在。
醫(yī)院的網(wǎng)絡(luò)安全系統(tǒng)數(shù)據(jù)捕獲是由內(nèi)核模塊來完成的,本文研究使用這個模塊獲得主機內(nèi)核空間的訪問,從而捕獲所有read()的數(shù)據(jù)。Sebek替換系統(tǒng)調(diào)用表的read()函數(shù)來實現(xiàn)這個功能,這個替換的新函數(shù)只是簡單的調(diào)用老read()函數(shù),并且把內(nèi)容拷貝到一個數(shù)據(jù)包緩存,然后加上一個頭,再把這個數(shù)據(jù)包發(fā)送到服務(wù)端。替換原來的函數(shù)就是改變系統(tǒng)調(diào)用表的函數(shù)指針。
本文通過配置參數(shù)決定了Sebek收集什么樣的信息,發(fā)送信息的目的地。以下就是一個linux配置文件的實例:
INTERFACE="eth0" //設(shè)定接口
DESTINATION_IP="172.17.1.2" //設(shè)定遠(yuǎn)程服務(wù)器IP
DESTINATION_MAC="00:0C:29:I5:96:6E" //設(shè)定遠(yuǎn)程服務(wù)器MAC
SOURCE_PORT=1101 //設(shè)定源地址UDP端口
DESTINATION_PORT=1101 //設(shè)定目標(biāo)地址UDP端口
MAGIC_VALUE=XXXXX //如果同一網(wǎng)段有多個客戶端,則設(shè)定相同的數(shù)值
KEYSTOKE_ONLY=1 //是否只記錄鍵擊記錄
3 結(jié)束語
該文對醫(yī)院網(wǎng)絡(luò)安全的解決方案進行了較深入的研究,但該系統(tǒng)采用的技術(shù)也不能說是完善的,一方面因為它們也在不斷發(fā)展中,另一方面是因為設(shè)計者的水平有局限。比如醫(yī)院網(wǎng)絡(luò)的數(shù)據(jù)捕獲技術(shù),它本身就是一個十分復(fù)雜的技術(shù)問題,解決的手段也是多樣的。
參考文獻:
隨著信息高度共享,信息化程度不斷提高,給企業(yè)帶來了諸多便利的同時,網(wǎng)絡(luò)安全問題日趨嚴(yán)重,由外網(wǎng)迅速延伸至內(nèi)網(wǎng)。從近來病毒發(fā)作的情況來看,病毒的攻擊目標(biāo)沒有特定性,而且越來越隱蔽,如不提前防范,一旦被襲,網(wǎng)絡(luò)阻塞、系統(tǒng)癱瘓、信息傳輸中斷、數(shù)據(jù)丟失等等,無疑將給企業(yè)業(yè)務(wù)帶來巨大的經(jīng)濟損失。
二、中小企業(yè)網(wǎng)絡(luò)安全解決方案
這種典型的網(wǎng)絡(luò)規(guī)模較小的企業(yè)平均不到50臺計算機,企業(yè)處理的信息量不是很大。
2.1 訪問控制解決方案
網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)是否合理是決定網(wǎng)絡(luò)安全的重要環(huán)節(jié),不同的目的子網(wǎng)的要求,有不同的網(wǎng)絡(luò)設(shè)計。把具有相同安全目的的主機劃分在同一子網(wǎng)之內(nèi),區(qū)別不同的安全水平。只有更好地考慮這些因素,將網(wǎng)絡(luò)結(jié)構(gòu)存在的安全隱患將至最低。
(1)安全物理隔離。內(nèi)網(wǎng)與互聯(lián)網(wǎng)直接連接是不安全的。只要是內(nèi)網(wǎng)與互聯(lián)網(wǎng)直接鏈接,無論通過什么樣的手段,肯定存在著被黑客攻擊的可能。
因此,從安全角度來考慮,應(yīng)該對企業(yè)計算機內(nèi)網(wǎng)與企業(yè)計算機網(wǎng)絡(luò)外網(wǎng)之間架設(shè)一道物理屏蔽,對內(nèi)部網(wǎng)絡(luò)中需要上因特網(wǎng)的用戶機器安裝物理隔離卡,從而保證內(nèi)部信息不被泄露。
(2)配備防火墻。網(wǎng)絡(luò)安全最經(jīng)濟,安全最有效措施就是防火墻。防火墻通過制定嚴(yán)格的安全策略來實施內(nèi)部和外部網(wǎng)絡(luò)區(qū)域之間的隔離和訪問控制,單向或雙向控制的實現(xiàn)是通過各種信任的網(wǎng)絡(luò)和防火墻,可根據(jù)時間、流量的訪問控制,過濾一些不安全服務(wù)。
2.2 網(wǎng)絡(luò)系統(tǒng)解決方案
(1)網(wǎng)絡(luò)操作系統(tǒng)安全。使用更高版本的網(wǎng)絡(luò)操作系統(tǒng),使一些不常用,不安全的應(yīng)用程序和端口處于關(guān)閉狀態(tài)。對于一些保存了用戶信息和使用密鑰的文件嚴(yán)格限制,加強密碼的水平,并及時對系統(tǒng)漏洞補丁,不對外公開系統(tǒng)內(nèi)部的使用情況。
(2)應(yīng)用系統(tǒng)安全。應(yīng)用服務(wù)器盡量不要打開一些不經(jīng)常使用的協(xié)議和協(xié)定窗口。作為檔案服務(wù)和E―mail服務(wù)器的應(yīng)用系統(tǒng)等,可關(guān)閉HTYP、FTP、遠(yuǎn)程登錄服務(wù)等不常用協(xié)議。還有就是加強登錄時的密碼強度。管理者限制登陸者操作權(quán)限,限制在最小的范圍內(nèi)。
2.3 入侵檢測解決方案
功能強大的反病毒反入侵的手段是入侵檢測手段,是在特定網(wǎng)絡(luò)環(huán)境中未經(jīng)授權(quán)或惡意攻擊和入侵被識別和反應(yīng)的過程。它主要有搜集資料,并分析這些信息,計算機系統(tǒng)是否有被違反安全策略的行為和遭到攻擊的跡象。具有監(jiān)測分析用戶和系統(tǒng)的能力,評測系統(tǒng)完整的數(shù)據(jù),對統(tǒng)計異常的行為進行識別,并自動收集和相關(guān)系統(tǒng)的修補程序,使用服務(wù)器記錄黑客的功能。入侵檢測是在不影響網(wǎng)絡(luò)性能的情況下的監(jiān)控,是一種積極的安全保護技術(shù),為內(nèi)部和外部的攻擊提供實時保護。
但是入侵檢測設(shè)備雖然很實用,價格卻普遍偏高,如果中小企業(yè)資金允許,人員齊備的話,建議加裝入侵檢測設(shè)備,這樣可以做到防患于未然。
2.4 網(wǎng)絡(luò)防病毒解決方案
衡量反病毒技術(shù)是基于計算機病毒功能來判斷技術(shù)來確定病毒的類型。計算機防病毒技術(shù)在分析病毒代碼的基礎(chǔ)上,制定了刪除病毒程序并恢復(fù)原始文件的軟件。反病毒的具體實現(xiàn)方法包括網(wǎng)絡(luò)服務(wù)器、文件、E-mail等工作站技術(shù)進行頻繁掃描和監(jiān)測。一旦發(fā)現(xiàn)和病毒代碼庫匹配病毒代碼,反病毒程序?qū)⒉扇∠鄳?yīng)措施,防止病毒進入網(wǎng)絡(luò)相互傳播。防病毒系統(tǒng)可以防止病毒侵權(quán)使用。但是,新的病毒會隨著時間的推移不斷出現(xiàn)。這就需要及時通過互聯(lián)網(wǎng)或防病毒系統(tǒng)更新等手段安全管理員或用戶升級。一般中小型企業(yè)大都采用windows服務(wù)器的操作系統(tǒng)根據(jù)國內(nèi)外各種網(wǎng)上的反病毒軟件的綜合比較,所以本文建議采用Symantec公司Symantec系列或是微軟公司的ForeFront系列等產(chǎn)品。
2.5 數(shù)據(jù)備份和恢復(fù)安全解決方案
備份和恢復(fù)系統(tǒng)存在的目的,是盡快分發(fā)給計算機系統(tǒng)整體必要的數(shù)據(jù)和系統(tǒng)信息。備份不僅在網(wǎng)絡(luò)系統(tǒng)硬件故障或人為錯誤時起到保護,在黑客的網(wǎng)絡(luò)攻擊時起到保護作用,也同時作為一個系統(tǒng)崩潰恢復(fù)的先決條件。
這個解決方案我們使用Symantec Ghost,Ghost備份和恢復(fù)系統(tǒng)具有以下功能:備份數(shù)據(jù)的完整性,并要備份介質(zhì)的管理技巧。支持多個備份,定期自動備份,還可以設(shè)置備份自動啟動和停止為多個文件的格式備份,支持多種日期標(biāo)定方法,以保證備份的正確性,提供在線數(shù)據(jù)備份功能;支持RAID的容錯技術(shù)和圖像備份功能。由于Ghost操作簡便快捷,功能強大,所以本方案推薦使用。
關(guān)鍵詞 網(wǎng)絡(luò)安全;物理隔離;地形圖保密
中圖分類號:TP393 文獻標(biāo)識碼:A 文章編號:1671-7597(2014)09-0179-01
1 勘察設(shè)計企業(yè)網(wǎng)絡(luò)現(xiàn)狀
勘察設(shè)計企業(yè)在設(shè)計工作中經(jīng)常會用到或產(chǎn)生一些文件,尤其是地形圖等密級較高的文件資料。我國2000年1月1日起頒布實施的《計算機信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定》第二章保密制度第六條規(guī)定:“涉及國家秘密的計算機信息系統(tǒng),不得直接或間接地與國際互聯(lián)網(wǎng)或其他公共信息網(wǎng)絡(luò)相連接,必須實行物理隔離”。為保護國家秘密不外泄,同時滿足信息化辦公的生產(chǎn)需求,目前國內(nèi)勘察類企業(yè)主要采用兩種網(wǎng)絡(luò)架構(gòu)方式。一種是設(shè)置內(nèi)部辦公網(wǎng)絡(luò)和外部網(wǎng)絡(luò),員工各自配置兩臺分別連接內(nèi)外網(wǎng)絡(luò)的計算機,兩者完全物理隔離。這種方式建設(shè)和維護成本大,員工操控靈活度低。內(nèi)部辦公網(wǎng)絡(luò)實現(xiàn)公司信息化辦公和資源內(nèi)部共享等需求,外部網(wǎng)絡(luò)實現(xiàn)互聯(lián)網(wǎng)資料查詢和外部交流,同時嚴(yán)禁內(nèi)部網(wǎng)絡(luò)信息向外部網(wǎng)絡(luò)流通。另一種設(shè)立指定的互聯(lián)網(wǎng)訪問區(qū),專門人員或機構(gòu)采集互聯(lián)網(wǎng)信息復(fù)制到內(nèi)部網(wǎng)絡(luò),或者設(shè)立專門的可訪問互聯(lián)網(wǎng)的設(shè)備或區(qū)域,這種方式實時性不好。
2 網(wǎng)絡(luò)隔離技術(shù)趨勢
物理隔離是網(wǎng)絡(luò)隔離的一種重要形式,它是通過網(wǎng)絡(luò)與計算機設(shè)備的空間分離來實現(xiàn)的網(wǎng)絡(luò)隔離[1]。與物理隔離不同的另一種網(wǎng)絡(luò)隔離方式是采用密碼技術(shù)的VPN隔離。虛擬專用網(wǎng)(VPN)是通過使用密碼和隧道技術(shù)、在公共網(wǎng)絡(luò)設(shè)施上構(gòu)建的、具有專用網(wǎng)絡(luò)安全特性的邏輯網(wǎng)絡(luò)[2]。VPN隔離追求的是數(shù)據(jù)的分離或不可讀,而物理隔離強調(diào)的是設(shè)備的分離。盡管VPN的實現(xiàn)成本較低,但是在網(wǎng)絡(luò)的邊界點,隔離設(shè)備容易被攻擊,特別是來自公共網(wǎng)絡(luò)的拒絕服務(wù)攻擊[2]。
物理隔離網(wǎng)閘的思路決定了它是一種比VPN更高級的安全隔離形式,因為它是在保證必須安全的前提下,盡可能互聯(lián)互通,如果不能保證安全則完全斷開。然而,這種技術(shù)成熟的產(chǎn)品還是無法擺脫“擺渡”病毒的攻擊。因此,國家保密局信息系統(tǒng)安全保密測評中心頒發(fā)的網(wǎng)閘類產(chǎn)品檢測證書中明確注明“該產(chǎn)品不可用于互聯(lián)網(wǎng)和網(wǎng)絡(luò)之間的信息交換”。
3 雙網(wǎng)物理隔離解決方案架構(gòu)
除去地形圖等國家秘密文件外,勘察設(shè)計企業(yè)商業(yè)秘密的保護也是極為迫切的要求。將操作地形圖資料的計算機與內(nèi)部工作網(wǎng)絡(luò)和外部互聯(lián)網(wǎng)隔離,內(nèi)外兩條網(wǎng)絡(luò)之間通過有效的隔離設(shè)備和網(wǎng)絡(luò)安全措施建立可信連接,既能滿足國家保密局對于國家秘密的保護要求,又能滿足公司內(nèi)部與互聯(lián)網(wǎng)之間的資源共享需要。
利用物理隔離網(wǎng)閘安裝在工作內(nèi)網(wǎng)核心交換機和外網(wǎng)核心交換機之間,對于公司內(nèi)部業(yè)務(wù)使用的計算機和服務(wù)器等設(shè)備直接或通過級聯(lián)設(shè)備連接到核心交換機,公司對外交流所用計算機或外網(wǎng)服務(wù)器直接或通過級聯(lián)連接到外網(wǎng)核心交換機。內(nèi)外網(wǎng)絡(luò)間數(shù)據(jù)訪問必須經(jīng)過網(wǎng)閘的“擺渡”。這樣,通過內(nèi)外網(wǎng)之間的網(wǎng)閘不僅實現(xiàn)了兩個網(wǎng)絡(luò)間的物理隔離,還能滿足內(nèi)外網(wǎng)之間實時、適度、可控的內(nèi)外網(wǎng)絡(luò)數(shù)據(jù)交換和應(yīng)用服務(wù)。比如:文件交換、數(shù)據(jù)庫的數(shù)據(jù)交換與同步、HTTP/HTTPS標(biāo)準(zhǔn)訪問、FTP服務(wù)、郵件服務(wù)等。
圖1 基于網(wǎng)閘隔離的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)
通過安全隔離網(wǎng)閘可以對辦公網(wǎng)絡(luò)到外部網(wǎng)之間的傳輸數(shù)據(jù)和文件嚴(yán)格執(zhí)行格式和內(nèi)容檢查,檢查的內(nèi)容可以包括內(nèi)容檢測、防惡意代碼、防泄密、文件類型控制等??梢詫g覽器中輸入的各種關(guān)鍵詞和敏感字符串進行限制,預(yù)防內(nèi)網(wǎng)用戶因訪問外網(wǎng)網(wǎng)站時,在瀏覽器的訪問請求中出現(xiàn)有意或無意泄密的可能。
在公司網(wǎng)絡(luò)建設(shè)中對于地形圖等高密級資料的使用必須采取單獨網(wǎng)絡(luò)或單機運行模式,同時出臺相應(yīng)的規(guī)章制度,對地形圖資料的復(fù)制、傳遞進行嚴(yán)格的規(guī)范,并出臺相應(yīng)的懲罰措施,從公司制度層面對網(wǎng)絡(luò)安全保密行為進行約束。
4 性能分析
物理隔離網(wǎng)閘通過雙主機之間的物理斷開來達(dá)到數(shù)據(jù)隔離的目的。內(nèi)外主機間信息交換只能借助拷貝、鏡像、反射等非網(wǎng)絡(luò)方式來完成。另外,根據(jù)內(nèi)外網(wǎng)間數(shù)據(jù)交換的具體情況還可以選擇不同流向的單向或雙向隔離網(wǎng)閘,實現(xiàn)更高級別的數(shù)據(jù)保密要求。市場上部分物理隔離網(wǎng)閘支持基于文件特征庫的文件類型過濾和用戶自定義關(guān)鍵字的文件內(nèi)容篩查,可有效防止商業(yè)信息的無意泄漏。
應(yīng)用物理隔離網(wǎng)閘的雙網(wǎng)隔離解決方案具備如下優(yōu)點。
1)屏蔽了內(nèi)部的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu),屏蔽了內(nèi)部主機的操作系統(tǒng)漏洞,消除了來自互聯(lián)網(wǎng)上對網(wǎng)的攻擊。
2)內(nèi)部服務(wù)器不對外部網(wǎng)絡(luò)提供任何端口,不允許來自任何互聯(lián)網(wǎng)主機的主動請求,降低了自身風(fēng)險。
3)通過嚴(yán)格的內(nèi)容過濾和檢查機制嚴(yán)防泄密。
4)可根據(jù)需要選擇單項或雙向數(shù)據(jù)流動方向,靈活性強。
但是,采用物理隔離網(wǎng)閘對內(nèi)部工作網(wǎng)絡(luò)和外部網(wǎng)絡(luò)進行隔離較采用VPN隔離在費用方面不占優(yōu)勢,同時,涉及地形圖的計算機部分仍需單獨劃分網(wǎng)絡(luò)。
參考文獻
[1]網(wǎng)絡(luò)隔離的技術(shù)分析與安全模型應(yīng)用[J].數(shù)據(jù)通信,2002(3):23-25.