构建设计院安全信息网络策略分析

郭龙胜,徐 妍

(黑龙江省水利水电勘测设计研究院,哈尔滨 150080)

1 引 言

信息化是当今社会现代化发展的趋势和潮流。信息化的程度标志着企业的发展水平,且业已成为衡量一个企业的生产、经营、管理水平和综合实力的重要标志。随着 C A D、O A、MI S等系统的深度应用,信息网络已发展到了生产经营的各个领域、各个层面,并通过互联网继续延伸。在取得高效、获得便利的同时来自于内网、外网的诸多安全问题和隐患也相继暴露出来;因此逐层分析,并有针对性的采取措施,从而全面的提升信息网络结构的坚固性,加强信息网络各层次安全的防护水平。

2 安全状况分析

目前企业网络系统拓扑主要是:干线——分支——终端三段式结构。安全系统主要由防火墙、I D S、病毒防护等组成,这种结构较为粗放,它的设计目标主要以应对网络对端的外来威胁为主,对内部基本不设防。而随着计算机网络应用的日益丰富,网络环境也日趋复杂,各种网络安全问题日渐突显,陈旧的安全理念应对新形势下的攻击入侵已缺乏有效的防范手段及控制力度,整体防御能力已大为降低。

2.1 接入安全

2.1.1 互联网接入

来自互联网的潜在危险是一直都存在的,由于互联网使用的广泛性,网络应用日趋复杂,感染手段变化多样(如网页浏览、邮件查看、捆绑应用程序等等),近年来由于病毒工作目标更是从“破坏型”向“窃取型”转变,所以攻击行为也变得更加隐蔽,令人防不胜防。现在计算机病毒与木马程序紧密结合,使得一旦终端计算机遭到感染不但机主受害,同时也将给内网安全造成巨大破坏,由此引起的文件泄密所造成损失将更为惨重,代价更大。而由内部员工透过互联网的“主动泄密”行为,则更是极其严重的安全问题。

2.1.2 移动设备接入

最近的统计资料表明来自于内网的安全问题所占比例逐渐增大,内网安全隐患已成为信息网络安全中的最大威胁。其中由移动设备(U盘、光刻录、移动硬盘、数码卡、笔记本等外来接入设备)的滥用所带来的危害占很大比重。如近来较流行的A u t o r u n病毒,A R P攻击等主要都是依靠移动介质来进行传播。而越来越多的敏感数据、涉密文档被存储在移动介质里也给企业资源管理带来相当大的安全隐患。其中包括:非法拷贝涉密数据,内部数据外流造成非授权使用,存有数据的介质遗失,报废或维修的存储介质里含有未经安全处理的资料文件等。

2.1.3 非法外连

游离于设定系统外部的接入设备,其接入手段多样,主要包括:m o d e m拨号、无线网、私网交叉、非授权移动终端、蓝牙、红外等,由于其随意性、不可预知性、隐蔽性等造成不好监控,不好管理,难于取证、防范和制裁。这一种安全隐患经常会给企业网造成意想不到的损害。

2.2 主机安全

伴随企业信息网络的发展,终端主机数量日渐庞大,日常计算机应用日益繁多,计算机网络环境也变的越加恶化。在现有架构下,当终端主机系统被攻陷时,就很可能导致大量主机并发爆发网络病毒。海量的无用数据包充斥在网间,挤占有限的网络资源,造成有用数据流堵塞,直至交换设备过载,网络瘫痪;亦或造成大量内部文档失窃外流、损毁,其损失更不可估量。

2.3 传输安全

伴随网络应用的日趋复杂,一些新兴的应用,例如:新型下载、传输等协议的开发、应用,使得所携带病毒文件或可规避于现有的检测机制,更隐蔽、更难于被发现;相反的一些由明文传输或弱口令加密的账号、密码、涉密文件等敏感信息则很容易被网络上的不法“窥伺者”轻易获取、破解,造成严重的安全事故。此外传输安全隐患还包括电磁泄露等方式。

2.4 文件安全

数据文件本身的安全是信息安全的重中之重。除去误操作造成的文档丢失、损毁等,未经加密的数据文件通过非正常渠道外流,其中包括:非授权发送,非法接入流出,打印资料外流,计算机对无关人员共享,存储介质丢失、或外流,木马病毒发送等等,都会给企业及个人造成不同程度的损失。若涉密信息已经过加密处理,则即使不慎遗失也不会造成直接的重大损失。

电子邮件也是文件的一种形式。通过电子邮件夹带病毒、恶意代码往往更具有欺骗性和隐蔽性,危害也较大。而电邮的明文发送也是文件泄密事件的又一大渠道。

2.5 服务器安全

在现代化的信息网络建设中服务器扮演着至关重要的角色。相比于对重重设防的外网来说,服务器机群几乎是“裸露”在内网里的“靶子”。在此情况下服务器更需要特别的安全保护。

3 应对策略

应对多层次的日趋复杂的网络安全问题,新技术手段的应用和先进的规范管理办法的实施显得尤为重要。技术与管理并举,二者兼容并蓄、缺一不可。只重视技术不加强管理,信息安全工作就易被忽视,技术手段反而成为束缚,安全保密工作无法展开。因而在信息安全这个信息工程中有着“三分技术,七分管理”的说法,技术为管理服务。管理是指从策略、组织、运作 3个层面进行管理;而技术是指基于多层次防护策略(由保护、检测、响应、恢复、审计等环节构成),根据信息资产的重要程度实施相应的安全策略;最终目标则是要达到“外人进不来,进来看不到,看见拿不走,拿了用不了,操作可追溯”的效果。

3.1 重视管理

建立网络与信息安全保密组织,制定相关的管理制度,大力宣传信息安全的重要性,最大程度地保护企业的内部信息。具体工作任务有:①根据信息安全保密工作的具体要求建立适合本单位的规定,建立可操作的工作制度;②对本单位涉密部门划分级别,对用户电脑进行详细的安全规划;③不明信息资料的界定由保密部门甄别;④为技术、管理部门提建议;⑤对全员培训教育,普及基本安全知识,避免误操作;⑥对涉密信息的流传进行监督,具备审计能力;⑦协助公安部门对泄密事件调查、取证;⑧定期报告相关工作情况。

依据信息密级,结合工作需要,对信息网络进行分级管理。例如可划分:国密网、专用网、外网、办公内网(含服务器D MZ专属区)等安全区,对于不同安全区内的系统根据重要性进行分级管理。

3.2 准入制度

对终端主机实行实名注册管理,接入网络系统时需进行设备和账号双重认证控制。首先,通过系统后台验证终端电脑是否已在系统中注册,是否符合安全标准(安装准入客户端和指定病毒防火墙),验证合格后方允许接入网络;其次,用户输入账号、密码,经身份验证后访问内网信息资源。非注册终端设备或非授权账号不能接入内部办公网络,非安全认证终端设备访问内部办公网资源时将受限。对企业内网网站进行分级授权管理,区分主页访问权限、特定业务相关访问授权、应用程序授权。使员工在权限内查阅资料、利用网络信息资源,在安全范围内进行成果交流。

在互联网出口实施认证和流量管理,加强互联网系统的监控和管理。禁止联机游戏、基金炒股、P 2P下载、视频等;限制使用 B B S、博客、即时通讯工具等网络操作;严格控制超文本传输(H T T P)以外的应用;禁止一个账号在多点登陆;按国家相关规定对访问互联网的行为进行后台监控,在必要时对日志进行审计;禁止访问非工作相关网站和不良网站。对违规人员回收权限并通告。

3.3 主机策略

终端计算机的安全是构建可信网不可或缺的重要组成部分,信息网络系统的强壮也离不开单点的良性可控。在日常计算机操作中一些必要的安全设置往往能够防患于未然。例如:G u e s t账号的禁用;系统、重要文件的定期备份;关闭非必要服务;及时更新防毒软件;合理设置防火墙屏蔽有害连接等都是很必要的安全措施。

而正确的安装系统补丁也极为重要。大部分的网络攻击都是基于操作系统或应用程序的漏洞进行的,及时打补丁可以有效的防止系统被攻击或破坏。部署补丁自动分发机制(比如S MS、V R V等内网管理系统)还能够协助系统管理员收集企业内部计算机软、硬件配置信息,为远程故障处理、设备配给、策略落实等管理提供方便。

3.4 文件传输

就传输通道的健壮性而言,数据加密一般可分为应用层加密、网络层加密和链路层加密等几种方式,不同的加密方式采用不同的加密设备。其中链路层加密属于一一对应的关系,主要用于安全级别较高的专用联接,在网络中应用较少。应用层加密主要是对业务数据或关键信息的加密,它通过加密机设备和依据其硬件厂商提供的 A P I库所开发的应用软件来配合实现,信息传输时直接调用该A P I库进行加密解密。应用层加密能够保证信息在传输过程中的全程加密,安全性很高。但也因其A P I库标准不统一,故而灵活性差和扩展性不佳。网络层加密一般是对网络层数据加密,即对I P包加密。由于T C P/I P协议是一个开放性协议,标准统一,因此网络加密设备可应用于大部分网络,灵活性高,可扩展性强,除提供加密功能外,还可作为V P N网关,因此被广泛应用与各个网络环境。通常采用内置国家密码管理局认证硬件加密卡的网络加密机(V P N)进行数据传输通道的加密。即利用低成本的公共网络来进行企业机要数据的安全传输。

而针对文件发送,建立公开密钥基础设施(P K I)证书系统,要求发送邮件采用P K I/C A加密与数字签名的方式增加邮件系统的安全性。同时建立归档机制及备份措施,以备需要时查询、监督、审计,也可有效的保护知识产权。禁止在企业网内存储、处理、传输涉密电子文件、信息,对涉密的数据要进行加密处理。包括:对网页中的附件形式的文档加密,限制查阅、下载、打印、修改等权限;对部门和个人的最终成果类文档提供基于加密和授权保护的方式进行共享存储及备份管理;涉密文档的在线式授权使用,防范二次传输泄密(授权人向无关人员泄露或资料意外遗失)。

3.5 移动设备的管理

对移动存储的使用进行注册管理。授权设备可在网内工作主机上正常使用交换数据,在外部使用时则需要将其设置为商旅模式并输入密码后才能使用;非注册存储设备上的数据资料可以向网内拷贝,反之则被禁止;因工作需要向外传送的数据资料则须经保密审查后统一由相关责任机要员将该移动存储设备设置为商旅模式并进行解密;对注册设备中资料的更改、转移、交换、解密等行为进行后台记录,作为审计依据。

3.6 监控审计

完整记录用户的互联网访问、收发邮件、文档拷贝、电脑操作以及信息系统管理员操作等所有信息传递活动日志;对重点部门及各人电脑进行监控;根据需要对各种信息进行统计审计。审计工作由审计人员组织执行,便于稽核追踪管理;明确区分操作权(用户)、管理权(管理员)、审计权(审计人员);提供监控和追溯审查手段。

4 总 结

随着进一步完善各类安全应急预案,健全信息网络安全责任体系,加强各级管理人员的责任意识,把信息网络安全提高到安全生产的高度,在保障内部网络信息的安全的前提下为院及职工的网上业务提供有力支持,努力建成安全、可靠、高速的“现代化数字信息网络”。建设目标为以网络为支撑,以C A D、3D协同设计和O A为基础,以数据库为核心,以工程项目管理为主线,设计与管理一体化的集成应用信息系统。打造先进的数字化企业。为企业管理水平的提高和企业持续发展提供有力支撑,为发展成为一流设计企业奠定良好基础。

[1] 管虎.三分技术七分管理[J].信息安全与通信保密,2006, (6):39.

[2] 李海泉.计算机网络安全与加密技术[M].北京:科学出版社, 2007.

[3] 沈昌祥.高安全级信息系统等级保护建设整改技术框架.信息安全与通信保密,2008,12:11.