葛永

摘要：針對企業(yè)網(wǎng)絡(luò)安全所面臨的現(xiàn)狀，分析企業(yè)在網(wǎng)絡(luò)安全問題上所面臨的主要威脅，提出解決企業(yè)網(wǎng)絡(luò)安全的設(shè)計(jì)原則，最大可能解決企業(yè)網(wǎng)絡(luò)安全問題。

關(guān)鍵詞：網(wǎng)絡(luò)安全；網(wǎng)絡(luò)設(shè)計(jì)原則

中圖分類號：TP393文獻(xiàn)標(biāo)識碼：A文章編號：1009-3044(2012)18-4332-02

隨著信息技術(shù)的快速發(fā)展、現(xiàn)代網(wǎng)絡(luò)的普及、企業(yè)網(wǎng)絡(luò)化運(yùn)作，企業(yè)門戶網(wǎng)站、企業(yè)電子商務(wù)等在企業(yè)經(jīng)營運(yùn)作過程中扮演著重要的角色，許多有遠(yuǎn)見的企業(yè)都認(rèn)識到依托先進(jìn)的信息技術(shù)構(gòu)建企業(yè)自身業(yè)務(wù)和運(yùn)營平臺將極大地提升企業(yè)的競爭力，使企業(yè)在殘酷的競爭中脫穎而出。然而，企業(yè)在具有信息優(yōu)勢的同時(shí)，也對企業(yè)的網(wǎng)絡(luò)安全提出了嚴(yán)峻的考驗(yàn)。據(jù)報(bào)道，現(xiàn)在全世界平均每20秒就會發(fā)生一次計(jì)算機(jī)網(wǎng)絡(luò)入侵事件。據(jù)智能網(wǎng)絡(luò)安全和數(shù)據(jù)保護(hù)解決方案的領(lǐng)先供應(yīng)商SonicWALL公司日前發(fā)布了其2011年年中網(wǎng)絡(luò)威脅情報(bào)報(bào)告：“報(bào)告顯示，企業(yè)正面臨越來越多網(wǎng)絡(luò)犯罪分子的攻擊，這些人企圖攻擊的主要對象是那些通過移動(dòng)設(shè)備連接訪問企業(yè)網(wǎng)絡(luò)以及越來越頻繁使用社交媒體的企業(yè)員工?；趷阂廛浖约吧缃幻襟w詐騙的增多，正引發(fā)新的以及更嚴(yán)重的來自數(shù)據(jù)入侵、盜竊和丟失等方面造成的企業(yè)業(yè)務(wù)漏洞。”可見，企業(yè)網(wǎng)絡(luò)安全面臨的壓力越來越大，認(rèn)清企業(yè)網(wǎng)絡(luò)安全面臨的主要威脅、設(shè)計(jì)實(shí)施合適的網(wǎng)絡(luò)安全策略，已成為擺在企業(yè)面前迫在眉睫的問題。

1企業(yè)網(wǎng)絡(luò)安全面臨的主要威脅

由于企業(yè)網(wǎng)絡(luò)由內(nèi)部網(wǎng)絡(luò)、外部網(wǎng)絡(luò)和企業(yè)廣域網(wǎng)所組成，網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜，面臨的主要威脅有以下幾個(gè)方面：

1.1網(wǎng)絡(luò)缺陷

Internet由于它的開放性迅速在全球范圍內(nèi)普及，但也正是因?yàn)殚_放性使其保護(hù)信息安全存在先天不足。Internet最初的設(shè)計(jì)考慮主要的是考慮資源共享基本沒有考慮安全問題，缺乏相應(yīng)的安全監(jiān)督機(jī)制。

1.2病毒侵襲

計(jì)算機(jī)病毒通常隱藏在文件或程序代碼內(nèi)，伺機(jī)進(jìn)行自我復(fù)制，并能夠通過網(wǎng)絡(luò)、磁盤等諸多手段進(jìn)行傳播，通過網(wǎng)絡(luò)傳播計(jì)算機(jī)病毒，其傳播速度相當(dāng)快、影響面大，破壞性大大高于單機(jī)系統(tǒng)，用戶也很難防范，因此它的危害最能引起人們的關(guān)注，病毒時(shí)時(shí)刻刻威脅著整個(gè)互聯(lián)網(wǎng)。

1.3黑客入侵

黑客入侵是指黑客利用企業(yè)網(wǎng)絡(luò)的安全漏洞、木馬等，不經(jīng)允許非法訪問企業(yè)內(nèi)部網(wǎng)絡(luò)或數(shù)據(jù)資源，從事刪除、復(fù)制甚至破壞數(shù)據(jù)的活動(dòng)。由于缺乏針對網(wǎng)絡(luò)犯罪卓有成效的反擊和跟蹤手段，使得黑客攻擊的隱蔽性好，“殺傷力”強(qiáng)，這是網(wǎng)絡(luò)安全的主要威脅之一。

1.4數(shù)據(jù)竊聽與攔截

這種方式是直接或間接截取網(wǎng)絡(luò)上的特定數(shù)據(jù)包并進(jìn)行分析來獲取所需信息。這使得企業(yè)在與第三方網(wǎng)絡(luò)進(jìn)行傳輸時(shí)，需要采取有效的措施來防止重要數(shù)據(jù)被中途截獲、竊聽。

1.5拒絕服務(wù)攻擊

拒絕服務(wù)攻擊即攻擊者不斷對網(wǎng)絡(luò)服務(wù)系統(tǒng)進(jìn)行干擾，改變其正常的作業(yè)流程，執(zhí)行無關(guān)程序使系統(tǒng)相應(yīng)減慢甚至癱瘓，影響正常用戶的使用，甚至使合法用戶被排斥而不能進(jìn)入計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)或不能得到相應(yīng)的服務(wù)，是黑客常用的攻擊手段之，其目的是阻礙合法網(wǎng)絡(luò)用戶使用該服務(wù)或破壞正常的商務(wù)活動(dòng)。

1.6內(nèi)部網(wǎng)絡(luò)威脅

據(jù)網(wǎng)絡(luò)安全界統(tǒng)計(jì)數(shù)據(jù)顯示，近80%的網(wǎng)絡(luò)安全事件是來自企業(yè)內(nèi)部。這樣的安全犯罪通常目的比較明確，如對企業(yè)機(jī)密信息的竊取、數(shù)據(jù)更改、財(cái)務(wù)欺騙等，因此內(nèi)部網(wǎng)絡(luò)威脅對企業(yè)的威脅更為嚴(yán)重。

2企業(yè)網(wǎng)絡(luò)安全設(shè)計(jì)的主要原則

針對企業(yè)網(wǎng)絡(luò)安全中主要面臨的威脅，考慮信息安全的機(jī)密性、完整性、可用性、可控性、可審查性等要素，建議在設(shè)計(jì)企業(yè)網(wǎng)絡(luò)時(shí)應(yīng)遵循以下幾個(gè)原則：

2.1整體性原則

在設(shè)計(jì)網(wǎng)絡(luò)時(shí)，要分析網(wǎng)絡(luò)中的安全隱患并制定整體網(wǎng)絡(luò)的安全策略，然后根據(jù)制定的安全策略設(shè)計(jì)出合理的網(wǎng)絡(luò)安全體系結(jié)構(gòu)。要清楚計(jì)算機(jī)網(wǎng)絡(luò)中的設(shè)備、數(shù)據(jù)等在整個(gè)網(wǎng)絡(luò)中的作用及其訪問使用權(quán)限，從系統(tǒng)整體的角度去分析，制定有效可行的方案。網(wǎng)絡(luò)的整體安全是由安全操作系統(tǒng)、應(yīng)用系統(tǒng)、防火墻、網(wǎng)絡(luò)監(jiān)控、安全掃描、通信加密、災(zāi)難恢復(fù)等多個(gè)安全組件共同組成的，每一個(gè)單獨(dú)的組件只能完成其中部分功能，而不能完成全部功能。

2.2平衡性原則

任何一個(gè)網(wǎng)絡(luò)，不可能達(dá)到絕對的安全。這就要求我們對企業(yè)的網(wǎng)絡(luò)需求（包括網(wǎng)絡(luò)的作用、性能、結(jié)構(gòu)、可靠性、可維護(hù)性等）進(jìn)行分析研究，制定出符合需求、風(fēng)險(xiǎn)、代價(jià)相平衡的網(wǎng)絡(luò)安全體系結(jié)構(gòu)。

2.3擴(kuò)展性原則

隨著信息技術(shù)的發(fā)展、網(wǎng)絡(luò)規(guī)模的擴(kuò)大及應(yīng)用的增加，面臨的網(wǎng)絡(luò)威脅的也會隨之增多，網(wǎng)絡(luò)的脆弱性也會增多，一勞永逸地解決網(wǎng)絡(luò)中的安全問題也是不可能的，這就要求我們在做網(wǎng)絡(luò)安全設(shè)計(jì)時(shí)要考慮到系統(tǒng)的可擴(kuò)展性，包括接入能力的擴(kuò)展、帶寬的擴(kuò)展、處理能力的擴(kuò)展等。

2.4多層保護(hù)原則

任何的網(wǎng)絡(luò)安全措施都不會是絕對的安全，都有可能被攻擊被破壞。這就要求我們要建立一個(gè)多層保護(hù)系統(tǒng)，各層保護(hù)相互補(bǔ)充、相互協(xié)調(diào)，組成一個(gè)統(tǒng)一的安全防護(hù)整體，當(dāng)一層保護(hù)被攻擊時(shí)，其它層保護(hù)仍可保護(hù)信息的安全。

圖1基于網(wǎng)絡(luò)安全設(shè)計(jì)原則的拓?fù)涫疽鈭D

防火墻：網(wǎng)絡(luò)安全的大門，用來鑒別什么樣的數(shù)據(jù)包可以進(jìn)出企業(yè)內(nèi)部網(wǎng)絡(luò)，阻斷來自外部的威脅，防火墻是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，防止外部的非法入侵，能根據(jù)網(wǎng)絡(luò)的安全策略控制訪問資源。

VPN：是Internet公共網(wǎng)絡(luò)在局域網(wǎng)絡(luò)之間或單點(diǎn)之間安全傳遞數(shù)據(jù)的技術(shù)，是進(jìn)行加密的最好辦法。一條VPN鏈路是一條采用加密隧道構(gòu)成的遠(yuǎn)程安全鏈路，遠(yuǎn)程用戶可以通過VNP鏈路來訪問企業(yè)內(nèi)部數(shù)據(jù)，提高了系統(tǒng)安全性。

訪問控制：為不同的用戶設(shè)置不同的訪問權(quán)限，為特定的文件或應(yīng)用設(shè)定密碼保護(hù)，將訪問限制在授權(quán)用戶的范圍內(nèi)，提高數(shù)據(jù)訪問的安全性。

數(shù)據(jù)備份：是為確保企業(yè)數(shù)據(jù)在發(fā)生故障或?yàn)?zāi)難性事件的情況下不丟失，可以將數(shù)據(jù)恢復(fù)到發(fā)生故障、災(zāi)難數(shù)據(jù)備份的那個(gè)狀態(tài)，盡可能的減少損失。

3小結(jié)

通過分析企業(yè)網(wǎng)絡(luò)安全面臨的主要威脅及主要設(shè)計(jì)原則，提出了一個(gè)簡單的企業(yè)網(wǎng)絡(luò)安全設(shè)計(jì)拓?fù)涫疽鈭D，該圖從技術(shù)手段、可操作性上都易于實(shí)現(xiàn)，易于部署，為企業(yè)提供了一個(gè)解決網(wǎng)絡(luò)安全問題的方案。

參考文獻(xiàn)：

[1]鄧吉,張奎亭,羅詩堯.網(wǎng)絡(luò)安全攻防實(shí)戰(zhàn)[M].北京:電子工業(yè)出版社,2008.

[2]陳雷.企業(yè)網(wǎng)絡(luò)安全防護(hù)體系的建立與維護(hù)[J].企業(yè)信息化,2010.