企業網管看過來
一、引 言
隨著資訊化程序的深入和網際網路的快速發展，網路化已經成為企業資訊化的發展大趨勢，資訊資源也得到最大程度的共享。但是，緊隨資訊化發展而來的網路安全問題日漸凸出，網路安全問題已成為資訊時代人類共同面臨的挑戰，網路資訊保安問題成為當務之急，如果不很好地解決這個問題，必將阻礙資訊化發展的程序。
二、安全攻擊、安全機制和安全服務
itu-t x.800標準將我們常說的「網路安全(networksecurity)」進行邏輯上的分別定義，即安全攻擊
(security attack)是指損害機構所擁有資訊的安全的任何行為;安全機制(security mechanism)是指設計用於檢測、預防安全攻擊或者恢復系統的機制;安全服務(security service)是指採用一種或多種安全機制以抵禦安全攻擊、提高機構的資料處理系統安全和資訊傳輸安全的服務。三者之間的關係如表1所示。
三、網路安全防範體系框架結構
為了能夠有效了解使用者的安全需求，選擇各種安全產品和策略，有必要建立一些系統的方法來進行網路安全防範。網路安全防範體系的科學性、可行性是其可順利實施的保障。圖1給出了基於dissp擴充套件的乙個三維安全防範技術體系框架結構。第一維是安全服務，給出了八種安全屬性(itu-t rec-x.800-199103-i)。第二維是系統單元，給出了資訊網路系統的組成。第三維是結構層次，給出並擴充套件了國際標準化組織iso的開放系統互聯(osi)模型。
框架結構中的每乙個系統單元都對應於某乙個協議層次，需要採取若干種安全服務才能保證該系統單元的安全。網路平台需要有網路節點之間的認證、訪問控制，應用平台需要有針對使用者的認證、訪問控制，需要保證資料傳輸的完整性、保密性，需要有抗抵賴和審計的功能，需要保證應用系統的可用性和可靠性。針對乙個資訊網路系統，如果在各個系統單元都有相應的安全措施來滿足其安全需求，則我們認為該資訊網路是安全的。
四、網路安全防範體系層次
作為全方位的、整體的網路安全防範體系也是分層次的，不同層次反映了不同的安全問題，根據網路的應用現狀情況和網路的結構，我們將安全防範體系的層次(見圖2)劃分為物理層安全、系統層安全、網路層安全、應用層安全和安全管理。
1.物理環境的安全性(物理層安全)
該層次的安全包括通訊線路的安全，物理裝置的安全，機房的安全等。物理層的安全主要體現在通訊線路的可靠性(線路備份、網管軟體、傳輸介質)，軟硬體裝置安全性(替換裝置、拆卸裝置、增加裝置)，裝置的備份，防災害能力、防干擾能力，裝置的執行環境(溫度、濕度、煙塵)，不間斷電源保障，等等。
2.作業系統的安全性(系統層安全)
該層次的安全問題來自網路內使用的作業系統的安全，如windows nt，windows 2000等。主要表現在三方面，一是作業系統本身的缺陷帶來的不安全因素，主要包括身份認證、訪問控制、系統漏洞等。二是對作業系統的安全配置問題。三是病毒對作業系統的威脅。
3.網路的安全性(網路層安全)
該層次的安全問題主要體現在網路方面的安全性，包括網路層身份認證，網路資源的訪問控制，資料傳輸的保密與完整性，遠端接入的安全，網域名稱系統的安全，路由系統的安全，入侵檢測的手段，網路設施防病毒等。
4.應用的安全性(應用層安全)
該層次的安全問題主要由提供服務所採用的應用軟體和資料的安全性產生，包括web服務、電子郵件系統、dns等。此外，還包括病毒對系統的威脅。
5.管理的安全性(管理層安全)
安全管理包括安全技術和裝置的管理、安全管理制度、部門與人員的組織規則等。管理的制度化極大程度地影響著整個網路的安全，嚴格的安全管理制度、明確的部門安全職責劃分、合理的人員角色配置都可以在很大程度上降低其它層次的安全漏洞。
五、網路安全防範體系設計準則
根據防範安全攻擊的安全需求、需要達到的安全目標、對應安全機制所需的安全服務等因素，參照sse-cmm("系統安全工程能力成熟模型")和iso17799(資訊保安管理標準)等國際標準，綜合考慮可實施性、可管理性、可擴充套件性、綜合完備性、系統均衡性等方面，網路安全防範體系在整體設計過程中應遵循以下9項原則：
1.網路資訊保安的木桶原則
網路資訊保安的木桶原則是指對資訊均衡、全面的進行保護。「木桶的最大容積取決於最短的一塊木板」。網路資訊系統是乙個複雜的計算機系統，它本身在物理上、操作上和管理上的種種漏洞構成了系統的安全脆弱性，尤其是多使用者網路系統自身的複雜性、資源共享性使單純的技術保護防不勝防。攻擊者使用的「最易滲透原則」，必然在系統中最薄弱的地方進行攻擊。因此，充分、全面、完整地對系統的安全漏洞和安全威脅進行分析，評估和檢測(包括模擬攻擊)是設計資訊保安系統的必要前提條件。安全機制和安全服務設計的首要目的是防止最常用的攻擊手段，根本目的是提高整個系統的"安全最低點"的安全效能。
2.網路資訊保安的整體性原則
要求在網路發生被攻擊、破壞事件的情況下，必須盡可能地快速恢復網路資訊中心的服務，減少損失。因此，資訊保安系統應該包括安全防護機制、安全檢測機制和安全恢復機制。安全防護機制是根據具體系統存在的各種安全威脅採取的相應的防護措施，避免非法攻擊的進行。安全檢測機制是檢測系統的運**況，及時發現和制止對系統進行的各種攻擊。安全恢復機制是在安全防護機制失效的情況下，進行應急處理和盡量、及時地恢復資訊，減少供給的破壞程度。
3.安全性評價與平衡原則
對任何網路，絕對安全難以達到，也不一定是必要的，所以需要建立合理的實用安全性與使用者需求評價與平衡體系。安全體系設計要正確處理需求、風險與代價的關係，做到安全性與可用性相容，做到組織上可執行。評價資訊是否安全，沒有絕對的評判標準和衡量指標，只能決定於系統的使用者需求和具體的應用環境，具體取決於系統的規模和範圍，系統的性質和資訊的重要程度。
4.標準化與一致性原則
系統是乙個龐大的系統工程，其安全體系的設計必須遵循一系列的標準，這樣才能確保各個分系統的一致性，使整個系統安全地互聯互通、資訊共享。
5.技術與管理相結合原則
安全體系是乙個複雜的系統工程，涉及人、技術、操作等要素，單靠技術或單靠管理都不可能實現。因此，必須將各種安全技術與執行管理機制、人員思想教育與技術培訓、安全規章制度建設相結合。
6.統籌規劃，分步實施原則
由於政策規定、服務需求的不明朗，環境、條件、時間的變化，攻擊手段的進步，安全防護不可能一步到位，可在乙個比較全面的安全規劃下，根據網路的實際需要，先建立基本的安全體系，保證基本的、必須的安全性。隨著今後隨著網路規模的擴大及應用的增加，網路應用和複雜程度的變化，網路脆弱性也會不斷增加，調整或增強安全防護力度，保證整個網路最根本的安全需求。
7.等級性原則
等級性原則是指安全層次和安全級別。良好的資訊保安系統必然是分為不同等級的，包括對資訊保密程度分級，對使用者操作許可權分級，對網路安全程度分級(安全子網和安全區域)，對系統實現結構的分級(應用層、網路層、鏈路層等)，從而針對不同級別的安全物件，提供全面、可選的安全演算法和安全體制，以滿足網路中不同層次的各種實際需求。
8.動態發展原則
要根據網路安全的變化不斷調整安全措施，適應新的網路環境，滿足新的網路安全需求。
9.易操作性原則
首先，安全措施需要人為去完成，如果措施過於複雜，對人的要求過高，本身就降低了安全性。其次，措施的採用不能影響系統的正常執行。
六、結束語
由於網際網路絡的開放性和通訊協議的安全缺陷，以及在網路環境中資料資訊儲存和對其訪問與處理的分布性特點，網上傳輸的資料資訊很容易洩露和被破壞，網路受到的安全攻擊非常嚴重，因此建立有效的網路安全防範體系就更為迫切。實際上，保障網路安全不但需要參考網路安全的各項標準以形成合理的評估準則，更重要的是必須明確網路安全的框架體系、安全防範的層次結構和系統設計的基本原則，分析網路系統的各個不安全環節，找到安全漏洞，做到有的放矢。
網路安全防範
所屬課程 網路攻防實踐 作業要求 第六次作業 實踐內容 學習總結 其中的五個規則鏈對應者netfilter在tcp ip協議中的五個hook檢查點 上下兩部分分別對應外內資料通道 prerouting 對應檢查點 1，檢查進入主機的資料報，用於源位址nat轉換 input對應檢查點2，檢查發往本地網...
如何建設企業網路安全體系
隨著網路的泛化和無邊界化，網路安全問題會越來越嚴峻。單就惡意 一項，就呈現出 增長的趨勢。目前全球已經有 50億惡意樣本，每天還將以300萬種的速度產生。如果把惡意 問題看作天災的話，那麼現代網路同時還面臨著 人禍 稜鏡門 事件揭露了網路資料被監聽的事實，暴露出 網路安全角勢嚴峻。無論資料被惡意 破...
企業網路安全對策
摘要 本文針對企業資訊系統安全性作了分析，提出資訊系統安全實施方案，建立防病毒 防火牆 系統保護以及入侵檢測的多級多方位的安全防禦系統，以達到保護資訊系統安全執行的目的，保證網路上執行的資料安全 資訊完整，防範各種安全風險。0 引言 隨著資訊科技的飛速發展，為了更好地適應資訊化建設的要求，提高企業競...