有線電視網(wǎng)絡安全管理措施

1、有線電視網(wǎng)絡安全管理措施 摘要：文章分析了上海嘉定區(qū)有線電視中心網(wǎng)絡的安全管理所涉及的問題，并根據(jù)本身的工作實踐介紹了對于網(wǎng)絡內(nèi)外的供電設備系統(tǒng)、計算機病毒防治、防火墻技術等問題采取的安全管理措施。 關鍵詞：網(wǎng)絡安全；防火墻；數(shù)據(jù)庫；病毒；黑客 當今許多的企業(yè)都廣泛的使用信息技術，特別是網(wǎng)絡技術的應用越來越多，而寬帶接入已經(jīng)成為企業(yè)內(nèi)部計算機網(wǎng)絡接入國際互聯(lián)網(wǎng)的主要方式。而與此同時，因為計算機網(wǎng)絡特有的開放性，企業(yè)的網(wǎng)絡安全問題也隨之而來，由于安全問題給企業(yè)造成了相當大的損失。因此，預防和檢測網(wǎng)絡設計的安全問題和來自國際互聯(lián)網(wǎng)的黑客攻擊以及病毒入侵成為網(wǎng)絡管理員一個重要課題。 一、網(wǎng)絡安全問題

2、 在實際應用過程中，遇到了不少網(wǎng)絡安全方面的問題。網(wǎng)絡安全是一個十分復雜的問題，它的劃分大體上可以分為內(nèi)網(wǎng)和外網(wǎng)。如下表所示： 由上表可以看出，外部網(wǎng)的安全問題主要集中在入侵方面，主要的體現(xiàn)在：未授權(quán)的訪問，破壞數(shù)據(jù)的完整性，拒絕服務攻擊和利用網(wǎng)絡、網(wǎng)頁瀏覽和電子郵件夾帶傳播病毒。但是網(wǎng)絡安全不僅要防范外部網(wǎng)，同時更防范內(nèi)部網(wǎng)。因為內(nèi)部網(wǎng)安全措施對網(wǎng)絡安全的意義更大。據(jù)調(diào)查，在已知的網(wǎng)絡安全事件中,約70%的攻擊是來自內(nèi)部網(wǎng)。內(nèi)部網(wǎng)的安全問題主要體現(xiàn)在：物理層的安全，資源共享的訪問控制策略，網(wǎng)內(nèi)病毒侵害，合法用戶非授權(quán)訪問，假冒合法用戶非法授權(quán)訪問和數(shù)據(jù)災難性破壞。 二、安全管理措施 綜合以上

3、對于網(wǎng)絡安全問題的初步認識，有線中心采取如下的措施： （一）針對與外網(wǎng)的一些安全問題 對于外網(wǎng)造成的安全問題，使用防火墻技術來實現(xiàn)二者的隔離和訪問控制。 防火墻是實現(xiàn)網(wǎng)絡安全最基本、最經(jīng)濟、最有效的措施之一。防火墻可以對所有的訪問進行嚴格控制（允許、禁止、報警）。 防火墻可以監(jiān)視、控制和更改在內(nèi)部和外部網(wǎng)絡之間流動的網(wǎng)絡通信；用來加強網(wǎng)絡之間訪問控制，防止外部網(wǎng)絡用戶以非法手段通過外部網(wǎng)絡進入內(nèi)部網(wǎng)絡，訪問內(nèi)部網(wǎng)絡資源，從而保護內(nèi)部網(wǎng)絡操作環(huán)境。所以，安裝防火墻對于網(wǎng)絡安全來說具有很多優(yōu)點：（1）集中的網(wǎng)絡安全；（2）可作為中心“扼制點”；（3）產(chǎn)生安全報警；（4）監(jiān)視并記錄Internet的

4、使用；（5）NAT的位置；（6）WWW和FTP服務器的理想位置。 但防火墻不可能完全防止有些新的攻擊或那些不經(jīng)過防火墻的其它攻擊。為此，中心選用了RealSecureSystemAgent和NetworkEngine。其中，RealSecureSystemAgent是一種基于主機的實時入侵檢測產(chǎn)品，一旦發(fā)現(xiàn)對主機的入侵，RealSecure可以中斷用戶進程和掛起用戶賬號來阻止進一步入侵，同時它還會發(fā)出警報、記錄事件等以及執(zhí)行用戶自定義動作。RealSecureSystemAgent還具有偽裝功能，可以將服務器不開放的端口進行偽裝，進一步迷惑可能的入侵者，提高系統(tǒng)的防護時間。Re?鄄alSecu

5、reNetworkEngin是基于網(wǎng)絡的實時入侵檢測產(chǎn)品，在網(wǎng)絡中分析可疑的數(shù)據(jù)而不會影響數(shù)據(jù)在網(wǎng)絡上的傳輸。網(wǎng)絡入侵檢測RealSecureNetworkEngine在檢測到網(wǎng)絡入侵后，除了可以及時切斷攻擊行為之外，還可以動態(tài)地調(diào)整防火墻的防護策略，使得防火墻成為一個動態(tài)的、智能的防護體系。 通過部署入侵檢測系統(tǒng)，我們實現(xiàn)了以下功能： 對于WWW服務器，配置主頁的自動恢復功能，即如果WWW服務器被攻破、主頁被纂改，系統(tǒng)能夠自動識別并把它恢復至事先設定的頁面。 入侵檢測系統(tǒng)與防火墻進行“互動”，即當入侵檢測系統(tǒng)檢測到網(wǎng)絡攻擊后，通知防火墻，由防火墻對攻擊進行阻斷。 （二）針對網(wǎng)絡物理層的穩(wěn)定

6、網(wǎng)絡物理層的穩(wěn)定主要包括設備的電源保護，抗電磁干擾和防雷擊。 本中心采用二路供電的措施，并且在配電箱后面接上穩(wěn)壓器和不間斷電源。所有的網(wǎng)絡設備都放在機箱中，所有的機箱都必須有接地的設計，在機房安裝的時候必須按照接地的規(guī)定做工程；對于供電設備，也必須做好接地的工作。這樣就可以防止靜電對設備的破壞，保證了網(wǎng)內(nèi)硬件的安全。 （三）針對病毒感染的問題 病毒程序可以通過電子郵件、使用盜版光盤等傳播途徑潛入內(nèi)部網(wǎng)。網(wǎng)絡中一旦有一臺主機受病毒感染，則病毒程序就完全可能在極短的時間內(nèi)迅速擴散，傳播到網(wǎng)絡上的所有主機，可能造成信息泄漏、文件丟失、機器死機等不安全因素。防病毒解決方案體系結(jié)構(gòu)中用于降低或消除惡意代

7、碼；廣告軟件和間諜軟件帶來的風險的相關技術。中心使用企業(yè)網(wǎng)絡版殺毒軟件，（例如：SymantecAntivirus等）并控制寫入服務器的客戶端，網(wǎng)管可以隨時升級并殺毒，保證寫入數(shù)據(jù)的安全性，服務器的安全性，以及在客戶端安裝由奇虎安全衛(wèi)士之類來防止廣告軟件和間諜軟件。 （四）針對應用系統(tǒng)的安全 應用系統(tǒng)的安全主要面對的是服務器的安全，對于服務器來說，安全的配置是首要的。對于本中心來說主要需要2個方面的配置：服務器的操作系統(tǒng)（Windows2003）的安 全配置和數(shù)據(jù)庫（SQLServer2000）的安全配置。 1操作系統(tǒng)（Windows2003）的安全配置 （1）系統(tǒng)升級、打操作系統(tǒng)補丁，尤其是

8、IIS6.0補丁。 （2）禁止默認共享。 （3）打開管理工具-本地安全策略，在本地策略-安全選項中，開啟不顯示上次的登錄用戶名。 （4）禁用TCP/IP上的NetBIOS。 （5）停掉Guest帳號，并給guest加一個異常復雜的密碼。 （6）關閉不必要的端口。 （7）啟用WIN2003的自身帶的網(wǎng)絡防火墻，并進行端口的改變。 （8）打開審核策略，這個也非常重要，必須開啟。 2數(shù)據(jù)庫（SQLServer2000）的安全配置 （1）安裝完SQLServer2000數(shù)據(jù)庫上微軟網(wǎng)站打最新的SP4補丁。 （2）使用安全的密碼策略設置復雜的sa密碼。 （3）在IPSec過濾拒絕掉1434端口的UDP通

9、訊，可以盡可能地隱藏你的SQLServer。 （4）使用操作系統(tǒng)自己的IPSec可以實現(xiàn)IP數(shù)據(jù)包的安全性。 （五）管理員的工具 除了以上的一些安全措施以外，作為網(wǎng)絡管理員還要準備一些針對網(wǎng)絡監(jiān)控的管理工具，通過這些工具來加強對網(wǎng)絡安全的管理。 Ping、Ipconfig/winipcfg、Netstat： Ping，TCP/IP協(xié)議的探測工具。 Ipconfig/winipcfg，查看和修改網(wǎng)絡中的TCP/IP協(xié)議的有關配置， Netstat，利用該工具可以顯示有關統(tǒng)計信息和當前TCP/IP網(wǎng)絡連接的情況，用戶或網(wǎng)絡管理人員可以得到非常詳盡的統(tǒng)計結(jié)果。 SolarWindsEngineers

10、EditionToolset 另外本中心還采用SolarWindsEngineersEditionToolset。它的用途十分廣泛，涵蓋了從簡單、變化的ping監(jiān)控器及子網(wǎng)計算器（Subnetcalculators）到更為復雜的性能監(jiān)控器何地址管理功能?！?SolarWindsEngineersEditionToolset的介紹： SolarWindsEngineersEdition是一套非常全面的網(wǎng)絡工具庫，包括了網(wǎng)絡恢復、錯誤監(jiān)控、性能監(jiān)控和管理工具等等。除了包含ProfessionalPLUSEdition中所有的工具外，EngineersEdition還增加了新的SwitchPortM

11、apper工具，它可以在您的switch上自動執(zhí)行Layer2和Layer3恢復。工程師版包含了SolarwindsMIB瀏覽器和網(wǎng)絡性能監(jiān)控器（NetworkPerformanceMonitor），以及其他附加網(wǎng)絡管理工具。 SnifferPro能夠了解本機網(wǎng)絡的使用情況，它使用流量顯示和圖表繪制功能在眾多網(wǎng)管軟件中最為強大最為靈活；它能在于混雜模式下的監(jiān)聽，也就是說它可以監(jiān)聽到來自于其他計算機發(fā)往另外計算機的數(shù)據(jù)，當然很多混雜模式下的監(jiān)聽是以一定的設置為基礎的，只有了解了對本機流量的監(jiān)聽設置才能夠進行高級混雜模式監(jiān)聽。 除了上面說的五個措施以外，還有不少其他的措施加強了安全問題的管理： 制訂相應的機房管理制度； 制訂相應的軟件管理制度； 制訂嚴格的操作管理規(guī)程； 制訂在緊急情況下系統(tǒng)如何盡快恢復的應急措施，使損失減至最??； 建立人員雇用和解聘制度，對工作調(diào)動和離職人員要及時調(diào)整相應的