辦公自動(dòng)化網(wǎng)絡(luò)安全防護(hù)策略探討

1、辦公自動(dòng)化網(wǎng)絡(luò)平安防護(hù)策略討論摘要：本文總結(jié)了辦公_自動(dòng)化網(wǎng)絡(luò)常見(jiàn)的平安問(wèn)題及其后果，討論理解決這些平安問(wèn)題的方法，提供了基于網(wǎng)絡(luò)內(nèi)部的平安策略。關(guān)鍵詞：1辦公自動(dòng)化網(wǎng)絡(luò)網(wǎng)絡(luò)平安病毒黑客1.引言企業(yè)內(nèi)部辦公自動(dòng)化網(wǎng)絡(luò)一般是基于TrilP協(xié)議并采用了Internet的通信標(biāo)準(zhǔn)和eb信息流通形式的Intra-net，它具有開(kāi)放性，因此使用極其方便。但開(kāi)放性卻帶來(lái)了系統(tǒng)人侵、病毒人侵等平安性問(wèn)題。一旦平安問(wèn)題得不到很好地解決，就可能出現(xiàn)商業(yè)機(jī)密泄漏、設(shè)備損壞、數(shù)據(jù)喪失、系統(tǒng)癱瘓等嚴(yán)重后果，給正常的企業(yè)經(jīng)營(yíng)活動(dòng)造成極大的負(fù)面影響。因此企業(yè)需要一個(gè)更平安的辦公自動(dòng)化網(wǎng)絡(luò)系統(tǒng)。辦公自動(dòng)化系統(tǒng)的平安包括網(wǎng)絡(luò)

2、設(shè)備、配套設(shè)備的平安、數(shù)據(jù)的平安、通訊的平安、運(yùn)行環(huán)境的平安，還包括網(wǎng)絡(luò)內(nèi)部每臺(tái)計(jì)算機(jī)的平安、計(jì)算機(jī)功能的正常發(fā)揮等部分。辦公自動(dòng)化網(wǎng)絡(luò)平安問(wèn)題的解決主要應(yīng)從預(yù)警、防護(hù)、災(zāi)難恢復(fù)等三方面人手，下面就平安預(yù)警、數(shù)據(jù)平安防護(hù)、人侵防范、病毒防治以及數(shù)據(jù)恢復(fù)等方面分別討論。2.辦公自動(dòng)化網(wǎng)絡(luò)常見(jiàn)的平安問(wèn)題2.1黑客入侵目前的辦公自動(dòng)化網(wǎng)絡(luò)根本上都采用以播送為技術(shù)根底的以太網(wǎng)。在同一以太網(wǎng)中，任何兩個(gè)節(jié)點(diǎn)之間的通信數(shù)據(jù)包，不僅可以為這兩個(gè)節(jié)點(diǎn)的網(wǎng)卡所接收，也同時(shí)可以為處在同一以太網(wǎng)上的任何一個(gè)節(jié)點(diǎn)的網(wǎng)卡所截齲另外，為了工作方便，辦公自動(dòng)化網(wǎng)絡(luò)都備有與外網(wǎng)和國(guó)際互聯(lián)網(wǎng)互相連接的出人口，因此，外網(wǎng)及國(guó)際互

3、聯(lián)網(wǎng)中的黑客只要侵人辦公自動(dòng)化網(wǎng)絡(luò)中的任意節(jié)點(diǎn)進(jìn)展偵聽(tīng)，就可以捕獲發(fā)生在這個(gè)以太網(wǎng)上的所有數(shù)據(jù)包，對(duì)其進(jìn)展解包分析，從而竊取關(guān)鍵信息;而本網(wǎng)絡(luò)中的黑客那么有可能非常方便的截取任何數(shù)據(jù)包，從而造成信息的失竊。2.2病毒感染隨著計(jì)算機(jī)和網(wǎng)絡(luò)的進(jìn)步和普及，計(jì)算機(jī)病毒也不斷出現(xiàn)，總數(shù)已經(jīng)超過(guò)20000種，并以每月300種的速度增加，其破環(huán)性也不斷增加，而網(wǎng)絡(luò)病毒破壞性就更強(qiáng)。一旦文件效勞器的硬盤(pán)被病毒感染，就可能造成系統(tǒng)損壞、數(shù)據(jù)喪失，使網(wǎng)絡(luò)效勞器無(wú)法起動(dòng)，應(yīng)用程序和數(shù)據(jù)無(wú)法正確使用，甚至導(dǎo)致整個(gè)網(wǎng)絡(luò)癱瘓，造成不可估量的損失。網(wǎng)絡(luò)病毒普遍具有較強(qiáng)的再活力制，可以通過(guò)網(wǎng)絡(luò)擴(kuò)散與傳染。一旦某個(gè)公用程序染了

4、毒，那么病毒將很快在整個(gè)網(wǎng)絡(luò)上傳播，感染其它的程序。由網(wǎng)絡(luò)病毒造成網(wǎng)絡(luò)癱瘓的損失是難以估計(jì)的。一旦網(wǎng)絡(luò)效勞器被感染，其解毒所需的時(shí)間將是單機(jī)的幾十倍以上。2.3數(shù)據(jù)破壞在辦公自動(dòng)化網(wǎng)絡(luò)系統(tǒng)中，有多種因素可能導(dǎo)致數(shù)據(jù)的破壞。首先是黑客侵人，黑客基于各種原因侵人網(wǎng)絡(luò)，其中惡意侵人對(duì)網(wǎng)絡(luò)的危害可能是多方面的。其中一種危害就是破壞數(shù)據(jù)，可能破壞效勞器硬盤(pán)引導(dǎo)區(qū)數(shù)據(jù)、刪除或覆蓋原始數(shù)據(jù)庫(kù)、破壞應(yīng)用程序數(shù)據(jù)等。其次是病毒破壞，病毒可能攻擊系統(tǒng)數(shù)據(jù)區(qū)，包括硬盤(pán)主引導(dǎo)扇區(qū)、Bt扇區(qū)、FAT表、文件目錄等;病毒還可能攻擊文件數(shù)據(jù)區(qū)，使文件數(shù)據(jù)被刪除、改名、交換、喪失部分程序代碼、喪失數(shù)據(jù)文件;病毒還可能攻擊S，

5、破壞系統(tǒng)S中的數(shù)據(jù)。第三是災(zāi)難破壞，由于自然災(zāi)害、突然停電、強(qiáng)烈震動(dòng)、誤操作等造成數(shù)據(jù)破壞。重要數(shù)據(jù)遭到破壞和喪失，會(huì)造成企業(yè)經(jīng)營(yíng)困難、人力、物力、財(cái)力的宏大浪費(fèi)。3.網(wǎng)絡(luò)平安策略3.1網(wǎng)絡(luò)平安預(yù)警辦公自動(dòng)化網(wǎng)絡(luò)平安預(yù)誓系統(tǒng)分為人侵預(yù)警和病毒預(yù)警兩部分。人侵預(yù)警系統(tǒng)中，人侵檢測(cè)可以分析確定網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)包是否經(jīng)過(guò)受權(quán)。一旦檢測(cè)到人侵信息，將發(fā)出警告，從而減少對(duì)網(wǎng)絡(luò)的威脅。它把包括網(wǎng)絡(luò)掃描、互聯(lián)網(wǎng)掃描、系統(tǒng)掃描、實(shí)時(shí)監(jiān)控和第三方的防火墻產(chǎn)生的重要平安數(shù)據(jù)綜合起來(lái)，提供內(nèi)部和外部的分析并在實(shí)際網(wǎng)絡(luò)中發(fā)現(xiàn)風(fēng)險(xiǎn)源和直接響應(yīng)。它提供企業(yè)平安風(fēng)險(xiǎn)管理報(bào)告，報(bào)告集中于重要的風(fēng)險(xiǎn)管理范圍，如實(shí)時(shí)風(fēng)險(xiǎn)、攻擊條

6、件、平安破綻和攻擊分析;提供詳細(xì)的人侵告警報(bào)告，顯示人侵告警信息(如人侵IP地址及目的IP地址、目的端口、攻擊特征)，并跟蹤分析人侵趨勢(shì)，以確定網(wǎng)絡(luò)的平安狀態(tài);信息可以發(fā)往相關(guān)數(shù)據(jù)庫(kù)，作為有關(guān)網(wǎng)絡(luò)平安的決策根據(jù)。病毒預(yù)警系統(tǒng)通過(guò)對(duì)所有進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)包施行不連續(xù)的持續(xù)掃描，保持全天24小時(shí)監(jiān)控所有進(jìn)出網(wǎng)絡(luò)的文件，發(fā)現(xiàn)病毒時(shí)可立即產(chǎn)生報(bào)警信息，通知管理員，并可以通過(guò)IP地址定位、端口定位追蹤病毒來(lái)源，并產(chǎn)生功能強(qiáng)大的掃描日志與報(bào)告，記錄規(guī)定時(shí)間內(nèi)追蹤網(wǎng)絡(luò)所有病毒的活動(dòng)。轉(zhuǎn)貼于論文聯(lián)盟.ll.3.2數(shù)據(jù)平安保護(hù)3.2.1針對(duì)入侵的平安保護(hù)對(duì)于數(shù)據(jù)庫(kù)來(lái)說(shuō)，其物理完好性、邏輯完好性、數(shù)據(jù)元素完好性都是非

7、常重要的。數(shù)據(jù)庫(kù)中的數(shù)據(jù)有純粹信息數(shù)據(jù)和功能文件數(shù)據(jù)兩大類(lèi)，人侵保護(hù)應(yīng)主要考慮以下幾條原那么:物理設(shè)備和平安防護(hù)，包括效勞器、有線、無(wú)線通信線路的平安防護(hù);效勞器平安保護(hù)，不同類(lèi)型、不同重要程度的數(shù)據(jù)應(yīng)盡可能在不同的效勞器上實(shí)現(xiàn)，重要數(shù)據(jù)采用分布式管理，效勞器應(yīng)有合理的訪問(wèn)控制和身份認(rèn)證措施保護(hù)，并記錄訪問(wèn)日志。系統(tǒng)中的重要數(shù)據(jù)在數(shù)據(jù)庫(kù)中應(yīng)有加密和驗(yàn)證措施。用戶對(duì)數(shù)據(jù)的存取應(yīng)有明確的受權(quán)策略，保證用戶只能翻開(kāi)自己權(quán)限范圍之內(nèi)的文件;通過(guò)審計(jì)和留痕技術(shù)防止非法者從系統(tǒng)外獲得系統(tǒng)數(shù)據(jù)或是合法用戶為逃避系統(tǒng)預(yù)警報(bào)告的監(jiān)視而從系統(tǒng)中獲得數(shù)據(jù);客戶端平安保護(hù)，客戶端的平安主要是要求能配合效勞器的平安措施

8、，提供身份認(rèn)證、加密、解密、數(shù)字簽名和信息完好性驗(yàn)證功能，并通過(guò)軟件強(qiáng)迫實(shí)現(xiàn)各客戶機(jī)口令的定期更換，以防止口令泄漏可能帶來(lái)的損失。3.2.2針對(duì)病毒破壞及災(zāi)難破壞的平安保護(hù)對(duì)于病毒和災(zāi)難破壞的數(shù)據(jù)保護(hù)來(lái)說(shuō)，最為有效的保護(hù)方式有兩大類(lèi):物理保護(hù)和數(shù)據(jù)備份。要防止病毒和災(zāi)難破壞數(shù)據(jù)，首先要在網(wǎng)絡(luò)核心設(shè)備上設(shè)置物理保護(hù)措施，包括設(shè)置電源冗余模塊和交換端口的冗余備份;其次是采用磁盤(pán)鏡像或磁盤(pán)陣列存儲(chǔ)數(shù)據(jù)，防止由于磁盤(pán)物理故障造成數(shù)據(jù)喪失;另外，還要使用其他物理媒體對(duì)重要的數(shù)據(jù)進(jìn)展備份，包括實(shí)時(shí)數(shù)據(jù)備份和定期數(shù)據(jù)備份，以便數(shù)據(jù)喪失后及時(shí)有效地恢復(fù)。3.3人侵防范要有效地防范非法入侵，應(yīng)做到內(nèi)外網(wǎng)隔離、訪

9、問(wèn)控制、內(nèi)部網(wǎng)絡(luò)隔離和分段管理。3.3.1內(nèi)外網(wǎng)隔離在內(nèi)部辦公自動(dòng)化網(wǎng)絡(luò)和外網(wǎng)之間，設(shè)置物理隔離，以實(shí)現(xiàn)內(nèi)外網(wǎng)的隔離是保護(hù)辦公自動(dòng)化網(wǎng)絡(luò)平安的最主要、同時(shí)也是最有效、最經(jīng)濟(jì)的措施之一。第一層隔離防護(hù)措施是路由器。路由器濾掉被屏蔽的IP地址和效勞?？梢允紫绕帘嗡械腎P地址，然后有選擇的放行一些地址進(jìn)人辦公自動(dòng)化網(wǎng)絡(luò)。第二層隔離防護(hù)措施是防火墻。大多數(shù)防火墻都有認(rèn)證機(jī)制，無(wú)論何種類(lèi)型防火墻，從總體上看，都應(yīng)具有以下五大根本功能:過(guò)濾進(jìn)、出網(wǎng)絡(luò)的數(shù)據(jù);管理進(jìn)、出網(wǎng)絡(luò)的訪問(wèn)行為;封堵某些制止的業(yè)務(wù);記錄通過(guò)防火墻的信息內(nèi)容和活動(dòng);對(duì)網(wǎng)絡(luò)攻擊的檢測(cè)和告警。3.3.2訪問(wèn)控制力、公自動(dòng)化網(wǎng)絡(luò)應(yīng)采用訪問(wèn)控

10、制的平安措施，將整個(gè)網(wǎng)絡(luò)構(gòu)造分為三部分，內(nèi)部網(wǎng)絡(luò)、隔離區(qū)以及外網(wǎng)。每個(gè)部分設(shè)置不同的訪問(wèn)控制方式。其中:內(nèi)部網(wǎng)絡(luò)是不對(duì)外開(kāi)放的區(qū)域，它不對(duì)外提供任何效勞，所以外部用戶檢測(cè)不到它的IP地址，也難以對(duì)它進(jìn)展攻擊。隔離區(qū)對(duì)外提供效勞，系統(tǒng)開(kāi)放的信息都放在該區(qū)，由于它的開(kāi)放性，就使它成為黑客們攻擊的對(duì)象，但由于它與內(nèi)部網(wǎng)是隔分開(kāi)的，所以即使受到了攻擊也不會(huì)危及內(nèi)部網(wǎng)，這樣雙重保護(hù)了內(nèi)部網(wǎng)絡(luò)的資源不受損害，也方便管理員監(jiān)視和診斷網(wǎng)絡(luò)故障。3.3.3內(nèi)部網(wǎng)絡(luò)的隔離及分段管理內(nèi)部網(wǎng)絡(luò)分段是保證平安的一項(xiàng)重要措施，同時(shí)也是一項(xiàng)根本措施，其指導(dǎo)思想在于將非法用戶與網(wǎng)絡(luò)資源互相隔離，從而到達(dá)限制用戶非法訪問(wèn)的目的

11、。辦公自動(dòng)化網(wǎng)絡(luò)可以根據(jù)部門(mén)或業(yè)務(wù)需要分段.網(wǎng)絡(luò)分段可采用物理分段或邏輯分段兩種方式:物理分段通常是指將網(wǎng)絡(luò)從物理層和數(shù)據(jù)鏈路層上分為假設(shè)干網(wǎng)段，各網(wǎng)段互相之間無(wú)法進(jìn)展直接通訊;邏輯分段那么是指將整個(gè)系統(tǒng)在網(wǎng)絡(luò)層上進(jìn)展分段。并能實(shí)現(xiàn)子網(wǎng)隔離。在實(shí)際應(yīng)用過(guò)程中，通常采取物理分段與邏輯分段相結(jié)合的方法來(lái)實(shí)現(xiàn)隔離。采取相應(yīng)的平安措施后，子網(wǎng)間可互相訪問(wèn)。對(duì)于TP/IP網(wǎng)絡(luò)，可把網(wǎng)絡(luò)分成假設(shè)干IP子網(wǎng)，各子網(wǎng)間必須通過(guò)路由器、路由交換機(jī)、網(wǎng)關(guān)或防火墻等設(shè)備進(jìn)展連接，利用這些中間設(shè)備(含軟件、硬件)的平安機(jī)制來(lái)控制各子網(wǎng)間的訪問(wèn)。在這里，防火墻被用來(lái)隔離內(nèi)部網(wǎng)絡(luò)的一個(gè)網(wǎng)段與另一個(gè)網(wǎng)段，可以限制部分網(wǎng)絡(luò)平

12、安問(wèn)題對(duì)全局網(wǎng)絡(luò)造成的影響。3.4病毒防治相對(duì)于單機(jī)病毒的防護(hù)來(lái)說(shuō)，網(wǎng)絡(luò)病毒的防治具有更大的難度，網(wǎng)絡(luò)病毒防治應(yīng)與網(wǎng)絡(luò)管理嚴(yán)密結(jié)合。網(wǎng)絡(luò)防病毒最大的特點(diǎn)在于網(wǎng)絡(luò)的管理功能，假如沒(méi)有管理功能，很難完成網(wǎng)絡(luò)防毒的任務(wù)。只有管理與防范相結(jié)合，才能保證系統(tǒng)正常運(yùn)行。計(jì)算機(jī)病毒的預(yù)防在于完善操作系統(tǒng)和應(yīng)用軟件的平安機(jī)制。在網(wǎng)絡(luò)環(huán)境下，病毒傳播擴(kuò)散快，僅用單機(jī)防殺病毒產(chǎn)品已經(jīng)難以去除網(wǎng)絡(luò)病毒，必須有適用于局域網(wǎng)、廣域網(wǎng)的全方位防殺病毒產(chǎn)品。為實(shí)現(xiàn)計(jì)算機(jī)病毒的防治，可在辦公自動(dòng)化網(wǎng)絡(luò)系統(tǒng)上安裝網(wǎng)絡(luò)病毒防治效勞器，并在內(nèi)部網(wǎng)絡(luò)效勞器上安裝網(wǎng)絡(luò)病毒防治軟件，在單機(jī)上安裝單機(jī)環(huán)境的反病毒軟件。安裝網(wǎng)絡(luò)病毒防治效勞器的目的是以實(shí)時(shí)作業(yè)方式掃描所有進(jìn)出網(wǎng)絡(luò)的文件。本地網(wǎng)絡(luò)與其它網(wǎng)絡(luò)(包括I11ITR1V1和各種局域網(wǎng))間的數(shù)據(jù)交換、本地網(wǎng)絡(luò)工作站與效勞器間的數(shù)據(jù)交換、本地網(wǎng)絡(luò)各工作站之間的數(shù)據(jù)交換都要經(jīng)過(guò)網(wǎng)絡(luò)病毒防治效勞器的檢測(cè)與過(guò)濾，這樣就保證了網(wǎng)絡(luò)病毒的實(shí)時(shí)查殺與防治。3.5數(shù)據(jù)恢復(fù)辦公自動(dòng)化系統(tǒng)數(shù)據(jù)遭到破壞之后，其數(shù)據(jù)恢復(fù)程度依賴于數(shù)據(jù)備份方案。數(shù)據(jù)備份的目的在于盡可能快地全盤(pán)恢復(fù)運(yùn)行計(jì)算機(jī)系統(tǒng)所需的數(shù)據(jù)和系統(tǒng)信息。根據(jù)系統(tǒng)平安需求可選擇的備份機(jī)制有:實(shí)時(shí)高速度、大容量自動(dòng)的數(shù)據(jù)存儲(chǔ)、備份與恢復(fù);定期的數(shù)據(jù)存儲(chǔ)、備份與恢復(fù)