你好，歡迎您來(lái)到福建信息主管(CIO)網(wǎng)! 設(shè)為首頁(yè)|加入收藏|會(huì)員中心
第六章 網(wǎng)絡(luò)安全方案設(shè)計(jì)原則
在進(jìn)行網(wǎng)絡(luò)系統(tǒng)安全方案設(shè)計(jì)、規(guī)劃時(shí)，應(yīng)遵循以下原則：
6.1 需求、風(fēng)險(xiǎn)、代價(jià)平衡分析的原則
對(duì)任一網(wǎng)絡(luò)，絕對(duì)安全難以達(dá)到，也不一定是必要的。對(duì)一個(gè)網(wǎng)絡(luò)要進(jìn)行實(shí)際的研究(包括任務(wù)、性能、結(jié)構(gòu)、可靠性、可維護(hù)性等)，并對(duì)網(wǎng)絡(luò)面臨的威脅及可能承擔(dān)的風(fēng)險(xiǎn)進(jìn)行定性與定量相結(jié)合的分析，然后制定規(guī)范和措施，確定系統(tǒng)的安全策略。
6.2 綜合性、整體性原則
應(yīng)運(yùn)用系統(tǒng)工程的觀點(diǎn)、方法，分析網(wǎng)絡(luò)的安全及具體措施。安全措施主要包括：行政法律手段、各種管理制度(人員審查、工作流程、維護(hù)保障制度等)以及專業(yè)技術(shù)措施(訪問(wèn)控制、加密技術(shù)、認(rèn)證技術(shù)、攻出檢測(cè)技術(shù)、容錯(cuò)、防病毒等)。一個(gè)較好的安全措施往往是多種方法適當(dāng)綜合的應(yīng)用結(jié)果。
計(jì)算機(jī)網(wǎng)絡(luò)的各個(gè)環(huán)節(jié)，包括個(gè)人(使用、維護(hù)、管理)、設(shè)備(含設(shè)施)、軟件(含應(yīng)用系統(tǒng))、數(shù)據(jù)等，在網(wǎng)絡(luò)安全中的地位和影響作用，也只有從系統(tǒng)整體的角度去看待、分析，才可能得到有效、可行的措施。不同的安全措施其代價(jià)、效果對(duì)不同網(wǎng)絡(luò)并不完全相同。計(jì)算機(jī)網(wǎng)絡(luò)安全應(yīng)遵循整體安全性原則，根據(jù)確定的安全策略制定出合理的網(wǎng)絡(luò)體系結(jié)構(gòu)及網(wǎng)絡(luò)安全體系結(jié)構(gòu)。
6.3 一致性原則
一致性原則主要是指網(wǎng)絡(luò)安全問(wèn)題應(yīng)與整個(gè)網(wǎng)絡(luò)的工作周期(或生命周期)同時(shí)存在，制定的安全體系結(jié)構(gòu)必須與網(wǎng)絡(luò)的安全需求相一致。安全的網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)(包括初步或詳細(xì)設(shè)計(jì))及實(shí)施計(jì)劃、網(wǎng)絡(luò)驗(yàn)證、驗(yàn)收、運(yùn)行等，都要有安全的內(nèi)容及措施。實(shí)際上，在網(wǎng)絡(luò)建設(shè)的開(kāi)始就考慮網(wǎng)絡(luò)安全對(duì)策，比在網(wǎng)絡(luò)建設(shè)好后再考慮安全措施，不但容易，且花費(fèi)也少得多。
6.4 易操作性原則
安全措施需要人去完成，如果措施過(guò)于復(fù)雜，對(duì)人的要求過(guò)高，本身就降低了安全性；其次，措施的采用不能影響系統(tǒng)的正常運(yùn)行。
6.5 適應(yīng)性及靈活性原則
安全措施必須能隨著網(wǎng)絡(luò)性能及安全需求的變化而變化，要容易適應(yīng)、容易修改和升級(jí)。
6.6 多重保護(hù)原則
任何安全措施都不是絕對(duì)安全的，都可能被攻破。但是建立一個(gè)多重保護(hù)系統(tǒng)，各層保護(hù)相互補(bǔ)充，當(dāng)一層保護(hù)被攻破時(shí)，其它層保護(hù)仍可保護(hù)信息的安全。
6.7 可評(píng)價(jià)性原則
如何預(yù)先評(píng)價(jià)一個(gè)安全設(shè)計(jì)并驗(yàn)證其網(wǎng)絡(luò)的安全性，這需要通過(guò)國(guó)家有關(guān)網(wǎng)絡(luò)信息安全測(cè)評(píng)認(rèn)證機(jī)構(gòu)的評(píng)估來(lái)實(shí)現(xiàn)。
網(wǎng)絡(luò)安全是整體的、動(dòng)態(tài)的。網(wǎng)絡(luò)安全的整體性是指一個(gè)安全系統(tǒng)的建立，即包括采用相應(yīng)的安全設(shè)備，又包括相應(yīng)的管理手段。安全設(shè)備不是指單一的某種安全設(shè)備，而是指幾種安全設(shè)備的綜合。網(wǎng)絡(luò)安全的動(dòng)態(tài)性是指，網(wǎng)絡(luò)安全是隨著環(huán)境、時(shí)間的變化而變化的，在一定環(huán)境下是安全的系統(tǒng)，環(huán)境發(fā)生變化了（如更換了某個(gè)機(jī)器），原來(lái)安全的系統(tǒng)就變的不安全了；在一段時(shí)間里安全的系統(tǒng)，時(shí)間發(fā)生變化了（如今天是安全的系統(tǒng)，可能因?yàn)楹诳桶l(fā)現(xiàn)了某種系統(tǒng)的漏洞，明天就會(huì)變的不安全了），原來(lái)的系統(tǒng)就會(huì)變的不安全。所以，建立網(wǎng)絡(luò)安全系統(tǒng)不是一勞永逸的事情。
針對(duì)安全體系的特性，我們可以采用"統(tǒng)一規(guī)劃、分步實(shí)施"的原則。具體而言，我們可以先對(duì)網(wǎng)絡(luò)做一個(gè)比較全面的安全體系規(guī)劃，然后，根據(jù)我們網(wǎng)絡(luò)的實(shí)際應(yīng)用狀況，先建立一個(gè)基礎(chǔ)的安全防護(hù)體系，保證基本的、應(yīng)有的安全性。隨著今后應(yīng)用的種類和復(fù)雜程度的增加，再在原來(lái)基礎(chǔ)防護(hù)體系之上，建立增強(qiáng)的安全防護(hù)體系。
對(duì)于政府行業(yè)網(wǎng)絡(luò)安全體系的建立，我們建議采取以上的原則，先對(duì)整個(gè)網(wǎng)絡(luò)進(jìn)行整體的安全規(guī)劃，然后，根據(jù)實(shí)際狀況建立一個(gè)從防護(hù)--檢測(cè)--響應(yīng)的基礎(chǔ)的安全防護(hù)體系，提高整個(gè)網(wǎng)絡(luò)基礎(chǔ)的安全性，保證應(yīng)用系統(tǒng)的安全性。
第七章 網(wǎng)絡(luò)安全體系結(jié)構(gòu)
通過(guò)對(duì)網(wǎng)絡(luò)應(yīng)用的全面了解，按照安全風(fēng)險(xiǎn)、需求分析結(jié)果、安全策略以及網(wǎng)絡(luò)的安全目標(biāo)。具體的安全控制系統(tǒng)可以從以下幾個(gè)方面分述: 物理安全、系統(tǒng)安全、網(wǎng)絡(luò)安全、應(yīng)用安全、管理安全。
7.1 物理安全
保證計(jì)算機(jī)信息系統(tǒng)各種設(shè)備的物理安全是保障整個(gè)網(wǎng)絡(luò)系統(tǒng)安全的前提。物理安全是保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故以及人為操作失誤或錯(cuò)誤及各種計(jì)算機(jī)犯罪行為導(dǎo)致的破壞過(guò)程。它主要包括三個(gè)方面：
7.1.1 環(huán)境安全
對(duì)系統(tǒng)所在環(huán)境的安全保護(hù)，如區(qū)域保護(hù)和災(zāi)難保護(hù)；（參見(jiàn)國(guó)家標(biāo)準(zhǔn)GB50173－93《電子計(jì)算機(jī)機(jī)房設(shè)計(jì)規(guī)范》、國(guó)標(biāo)GB2887－89《計(jì)算站場(chǎng)地技術(shù)條件》、GB9361－88《計(jì)算站場(chǎng)地安全要求》
7.1.2 設(shè)備安全
設(shè)備安全主要包括設(shè)備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護(hù)等；設(shè)備冗余備份；通過(guò)嚴(yán)格管理及提高員工的整體安全意識(shí)來(lái)實(shí)現(xiàn)。
7.1.3 媒體安全
包括媒體數(shù)據(jù)的安全及媒體本身的安全。顯然，為保證信息網(wǎng)絡(luò)系統(tǒng)的物理安全，除在網(wǎng)絡(luò)規(guī)劃和場(chǎng)地、環(huán)境等要求之外，還要防止系統(tǒng)信息在空間的擴(kuò)散。計(jì)算機(jī)系統(tǒng)通過(guò)電磁輻射使信息被截獲而失密的案例已經(jīng)很多，在理論和技術(shù)支持下的驗(yàn)證工作也證實(shí)這種截取距離在幾百甚至可達(dá)千米的復(fù)原顯示技術(shù)給計(jì)算機(jī)系統(tǒng)信息的保密工作帶來(lái)了極大的危害。為了防止系統(tǒng)中的信息在空間上的擴(kuò)散，通常是在物理上采取一定的防護(hù)措施，來(lái)減少或干擾擴(kuò)散出去的空間信號(hào)。這對(duì)重要的政策、軍隊(duì)、金融機(jī)構(gòu)在興建信息中心時(shí)都將成為首要設(shè)置的條件。
正常的防范措施主要在三個(gè)方面：
對(duì)主機(jī)房及重要信息存儲(chǔ)、收發(fā)部門進(jìn)行屏蔽處理，即建設(shè)一個(gè)具有高效屏蔽效能的屏蔽室，用它來(lái)安裝運(yùn)行主要設(shè)備，以防止磁鼓、磁帶與高輻射設(shè)備等的信號(hào)外泄。為提高屏蔽室的效能，在屏蔽室與外界的各項(xiàng)聯(lián)系、連接中均要采取相應(yīng)的隔離措施和設(shè)計(jì)，如信號(hào)線、電話線、空調(diào)、消防控制線，以及通風(fēng)、波導(dǎo)，門的關(guān)起等。
對(duì)本地網(wǎng)、局域網(wǎng)傳輸線路傳導(dǎo)輻射的抑制，由于電纜傳輸輻射信息的不可避免性，現(xiàn)均采光纜傳輸?shù)姆绞?，大多?shù)均在Modem出來(lái)的設(shè)備用光電轉(zhuǎn)換接口，用光纜接出屏蔽室外進(jìn)行傳輸。
對(duì)終端設(shè)備輻射的防范。終端機(jī)尤其是CRT顯示器，由于上萬(wàn)伏高壓電子流的作用，輻射有極強(qiáng)的信號(hào)外泄，但又因終端分散使用不宜集中采用屏蔽室的辦法來(lái)防止，故現(xiàn)在的要求除在訂購(gòu)設(shè)備上盡量選取低輻射產(chǎn)品外，目前主要采取主動(dòng)式的干擾設(shè)備如干擾機(jī)來(lái)破壞對(duì)應(yīng)信息的竊取，個(gè)別重要的首腦或集中的終端也可考慮采用有窗子的裝飾性屏蔽室，這種方法雖降低了部份屏蔽效能，但可大大改善工作環(huán)境，使人感到在普通機(jī)房?jī)?nèi)一樣工作。
7.2 系統(tǒng)安全
7.2.1 網(wǎng)絡(luò)結(jié)構(gòu)安全
網(wǎng)絡(luò)結(jié)構(gòu)的安全主要指，網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)是否合理；線路是否有冗余；路由是否冗余，防止單點(diǎn)失敗等。工行網(wǎng)絡(luò)在設(shè)計(jì)時(shí)，比較好的考慮了這些因素，可以說(shuō)網(wǎng)絡(luò)結(jié)構(gòu)是比較合理的、比較安全的。
7.2.2 操作系統(tǒng)安全
對(duì)于操作系統(tǒng)的安全防范可以采取如下策略：盡量采用安全性較高的網(wǎng)絡(luò)操作系統(tǒng)并進(jìn)行必要的安全配置、關(guān)閉一些起不常用卻存在安全隱患的應(yīng)用、對(duì)一些保存有用戶信息及其口令的關(guān)鍵文件（如UNIX下：/.rhost、etc/host、passwd、shadow、group等；Windows NT下的LMHOST、SAM等）使用權(quán)限進(jìn)行嚴(yán)格限制；加強(qiáng)口令字的使用（增加口令復(fù)雜程度、不要使用與用戶身份有關(guān)的、容易猜測(cè)的信息作為口令），并及時(shí)給系統(tǒng)打補(bǔ)丁、系統(tǒng)內(nèi)部的相互調(diào)用不對(duì)外公開(kāi)。
通過(guò)配備操作系統(tǒng)安全掃描系統(tǒng)對(duì)操作系統(tǒng)進(jìn)行安全性掃描，發(fā)現(xiàn)其中存在的安全漏洞，并有針對(duì)性地進(jìn)行對(duì)網(wǎng)絡(luò)設(shè)備重新配置或升級(jí)。
7.2.3 應(yīng)用系統(tǒng)安全
在應(yīng)用系統(tǒng)安全上，應(yīng)用服務(wù)器盡量不要開(kāi)放一些沒(méi)有經(jīng)常用的協(xié)議及協(xié)議端口號(hào)。如文件服務(wù)、電子郵件服務(wù)器等應(yīng)用系統(tǒng)，可以關(guān)閉服務(wù)器上如HTTP、FTP、TELNET、RLOGIN等服務(wù)。還有就是加強(qiáng)登錄身份認(rèn)證。確保用戶使用的合法性；并嚴(yán)格限制登錄者的操作權(quán)限，將其完成的操作限制在最小的范圍內(nèi)。充分利用操作系統(tǒng)和應(yīng)用系統(tǒng)本身的日志功能，對(duì)用戶所訪問(wèn)的信息做記錄，為事后審查提供依據(jù)。
7.3 網(wǎng)絡(luò)安全
網(wǎng)絡(luò)安全是整個(gè)安全解決方案的關(guān)鍵，從訪問(wèn)控制、通信保密、入侵檢測(cè)、網(wǎng)絡(luò)安全掃描系統(tǒng)、防病毒分別描述。
7.3.1 隔離與訪問(wèn)控制
7.3.1.1 嚴(yán)格的管理制度
可制定的制度有：《用戶授權(quán)實(shí)施細(xì)則》、《口令字及帳戶管理規(guī)范》、《權(quán)限管理制度》、《安全責(zé)任制度》等。
7.3.1.2 劃分虛擬子網(wǎng)(VLAN)
內(nèi)部辦公自動(dòng)化網(wǎng)絡(luò)根據(jù)不同用戶安全級(jí)別或者根據(jù)不同部門的安全需求，利用三層交換機(jī)來(lái)劃分虛擬子網(wǎng)（VLAN），在沒(méi)有配置路的情況下，不同虛擬子網(wǎng)間是不能夠互相訪問(wèn)。通過(guò)虛擬子網(wǎng)的劃分,能夠?qū)嵼^粗略的訪問(wèn)控制。
7.3.1.3 配備防火墻
防火墻是實(shí)現(xiàn)網(wǎng)絡(luò)安全最基本、最經(jīng)濟(jì)、最有效的安全措施之一。防火墻通過(guò)制定嚴(yán)格的安全策略實(shí)現(xiàn)內(nèi)外網(wǎng)絡(luò)或內(nèi)部網(wǎng)絡(luò)不同信任域之間的隔離與訪問(wèn)控制。并且防火墻可以實(shí)現(xiàn)單向或雙向控制，對(duì)一些高層協(xié)議實(shí)現(xiàn)較細(xì)粒的訪問(wèn)控制。FortiGate產(chǎn)品從網(wǎng)絡(luò)層到應(yīng)用層都實(shí)現(xiàn)了自由控制。
7.3.2 通信保密
數(shù)據(jù)的機(jī)密性與完整性，主要是為了保護(hù)在網(wǎng)上傳送的涉及企業(yè)秘密的信息，經(jīng)過(guò)配備加密設(shè)備，使得在網(wǎng)上傳送的數(shù)據(jù)是密文形式，而不是明文?？梢赃x擇以下幾種方式：
7.3.2.1 鏈路層加密
對(duì)于連接各涉密網(wǎng)節(jié)點(diǎn)的廣域網(wǎng)線路，根據(jù)線路種類不同可以采用相應(yīng)的鏈路級(jí)加密設(shè)備，以保證各節(jié)點(diǎn)涉密網(wǎng)之間交換的數(shù)據(jù)都是加密傳送，以防止非授權(quán)用戶讀懂、篡改傳輸?shù)臄?shù)據(jù)。
 |
7.3.2.2 網(wǎng)絡(luò)層加密
鑒于網(wǎng)絡(luò)分布較廣，網(wǎng)點(diǎn)較多，而且可能采用DDN、FR等多種通訊線路。如果采用多種鏈路加密設(shè)備的設(shè)計(jì)方案則增加了系統(tǒng)投資費(fèi)用，同時(shí)為系統(tǒng)維護(hù)、升級(jí)、擴(kuò)展也帶來(lái)了相應(yīng)困難。因此在這種情況下我們建議采用網(wǎng)絡(luò)層加密設(shè)備（VPN），VPN是網(wǎng)絡(luò)加密機(jī)，是實(shí)現(xiàn)端至端的加密，即一個(gè)網(wǎng)點(diǎn)只需配備一臺(tái)VPN加密機(jī)。根據(jù)具體策略，來(lái)保護(hù)內(nèi)部敏感信息和企業(yè)秘密的機(jī)密性、真實(shí)性及完整性。
IPsec是在TCP/IP體系中實(shí)現(xiàn)網(wǎng)絡(luò)安全服務(wù)的重要措施。而VPN設(shè)備正是一種符合IPsec標(biāo)準(zhǔn)的IP協(xié)議加密設(shè)備。它通過(guò)利用跨越不安全的公共網(wǎng)絡(luò)的線路建立IP安全隧道，能夠保護(hù)子網(wǎng)間傳輸信息的機(jī)密性、完整性和真實(shí)性。經(jīng)過(guò)對(duì)VPN的配置，可以讓網(wǎng)絡(luò)內(nèi)的某些主機(jī)通過(guò)加密隧道，讓另一些主機(jī)仍以明文方式傳輸，以達(dá)到安全、傳輸效率的最佳平衡。一般來(lái)說(shuō)，VPN設(shè)備可以一對(duì)一和一對(duì)多地運(yùn)行，并具有對(duì)數(shù)據(jù)完整性的保證功能，它安裝在被保護(hù)網(wǎng)絡(luò)和路由器之間的位置。設(shè)備配置見(jiàn)下圖。目前全球大部分廠商的網(wǎng)絡(luò)安全產(chǎn)品都支持IPsec標(biāo)準(zhǔn)。
 |
7.3.3 入侵檢測(cè)
利用防火墻并經(jīng)過(guò)嚴(yán)格配置，可以阻止各種不安全訪問(wèn)通過(guò)防火墻，從而降低安全風(fēng)險(xiǎn)。但是，網(wǎng)絡(luò)安全不可能完全依靠防火墻單一產(chǎn)品來(lái)實(shí)現(xiàn)，網(wǎng)絡(luò)安全是個(gè)整體的，必須配相應(yīng)的安全產(chǎn)品，作為防火墻的必要補(bǔ)充。入侵檢測(cè)系統(tǒng)就是最好的安全產(chǎn)品，入侵檢測(cè)系統(tǒng)是根據(jù)已有的、最新的攻擊手段的信息代碼對(duì)進(jìn)出網(wǎng)段的所有操作行為進(jìn)行實(shí)時(shí)監(jiān)控、記錄，并按制定的策略實(shí)行響應(yīng)（阻斷、報(bào)警、發(fā)送E-mail）。從而防止針對(duì)網(wǎng)絡(luò)的攻擊與犯罪行為。入侵檢測(cè)系統(tǒng)一般包括控制臺(tái)和探測(cè)器（網(wǎng)絡(luò)引擎）?？刂婆_(tái)用作制定及管理所有探測(cè)器（網(wǎng)絡(luò)引擎）。探測(cè)器（網(wǎng)絡(luò)引擎）用作監(jiān)聽(tīng)進(jìn)出網(wǎng)絡(luò)的訪問(wèn)行為，根據(jù)控制臺(tái)的指令執(zhí)行相應(yīng)行為。由于探測(cè)器采取的是監(jiān)聽(tīng)不是過(guò)濾數(shù)據(jù)包，因此，入侵檢測(cè)系統(tǒng)的應(yīng)用不會(huì)對(duì)網(wǎng)絡(luò)系統(tǒng)性能造成多大影響。
7.3.4 掃描系統(tǒng)
網(wǎng)絡(luò)掃描系統(tǒng)可以對(duì)網(wǎng)絡(luò)中所有部件（Web站點(diǎn)，防火墻，路由器，TCP/IP及相關(guān)協(xié)議服務(wù)）進(jìn)行攻擊性掃描、分析和評(píng)估，發(fā)現(xiàn)并報(bào)告系統(tǒng)存在的弱點(diǎn)和漏洞，評(píng)估安全風(fēng)險(xiǎn)，建議補(bǔ)救措施。
系統(tǒng)掃描系統(tǒng)可以對(duì)網(wǎng)絡(luò)系統(tǒng)中的所有操作系統(tǒng)進(jìn)行安全性掃描，檢測(cè)操作系統(tǒng)存在的安全漏洞，并產(chǎn)生報(bào)表，以供分析；還會(huì)針對(duì)具體安全漏洞提出補(bǔ)救措施。
7.3.5 病毒防護(hù)
由于在網(wǎng)絡(luò)環(huán)境下，計(jì)算機(jī)病毒有不可估量的威脅性和破壞力。我們都知道，政府網(wǎng)絡(luò)系統(tǒng)中使用的操作系統(tǒng)一般均為WINDOWS系統(tǒng)，比較容易感染病毒。因此計(jì)算機(jī)病毒的防范也是網(wǎng)絡(luò)安全建設(shè)中應(yīng)該考濾的重要的環(huán)節(jié)之一。反病毒技術(shù)包括預(yù)防病毒、檢測(cè)病毒和殺毒三種技術(shù)：
7.3.5.1 預(yù)防病毒技術(shù)
預(yù)防病毒技術(shù)通過(guò)自身常駐系統(tǒng)內(nèi)存，優(yōu)先獲得系統(tǒng)的控制權(quán)，監(jiān)視和判斷系統(tǒng)中是否有病毒存在，進(jìn)而阻止計(jì)算機(jī)病毒進(jìn)入計(jì)算機(jī)系統(tǒng)和對(duì)系統(tǒng)進(jìn)行破壞。這類技術(shù)有，加密可執(zhí)行程序、引導(dǎo)區(qū)保護(hù)、系統(tǒng)監(jiān)控與讀寫控制（如防病毒卡等）。
7.3.5.2 檢測(cè)病毒技術(shù)
檢測(cè)病毒技術(shù)是通過(guò)對(duì)計(jì)算機(jī)病毒的特征來(lái)進(jìn)行判斷的技術(shù)（如自身校驗(yàn)、關(guān)鍵字、文件長(zhǎng)度的變化等），來(lái)確定病毒的類型。
7.3.5.3 殺毒技術(shù)
殺毒技術(shù)通過(guò)對(duì)計(jì)算機(jī)病毒代碼的分析，開(kāi)發(fā)出具有刪除病毒程序并恢復(fù)原文件的軟件。反病毒技術(shù)的具體實(shí)現(xiàn)方法包括對(duì)網(wǎng)絡(luò)中服務(wù)器及工作站中的文件及電子郵件等進(jìn)行頻繁地掃描和監(jiān)測(cè)。一旦發(fā)現(xiàn)與病毒代碼庫(kù)中相匹配的病毒代碼，反病毒程序會(huì)采取相應(yīng)處理措施（清除、更名或刪除），防止病毒進(jìn)入網(wǎng)絡(luò)進(jìn)行傳播擴(kuò)散。
7.4 應(yīng)用安全
7.4.1 內(nèi)部OA系統(tǒng)中資源共享
嚴(yán)格控制內(nèi)部員工對(duì)網(wǎng)絡(luò)共享資源的使用。在內(nèi)部子網(wǎng)中一般不要輕易開(kāi)放共享目錄，否則較容易因?yàn)槭韬龆谂c員工間交換信息時(shí)泄漏重要信息。對(duì)有經(jīng)常交換信息需求的用戶，在共享時(shí)也必須加上必要的口令認(rèn)證機(jī)制，即只有通過(guò)口令的認(rèn)證才允許訪問(wèn)數(shù)據(jù)。雖然說(shuō)用戶名加口令的機(jī)制不是很安全，但對(duì)一般用戶而言，還是起到一定的安全防護(hù)，即使有刻意破解者，只要口令設(shè)得復(fù)雜些，也得花費(fèi)相當(dāng)長(zhǎng)的時(shí)間。
7.4.2 信息存儲(chǔ)
對(duì)有涉及企業(yè)秘密信息的用戶主機(jī)，使用者在應(yīng)用過(guò)程中應(yīng)該做到盡量少開(kāi)放一些不常用的網(wǎng)絡(luò)服務(wù)。對(duì)數(shù)據(jù)庫(kù)服務(wù)器中的數(shù)據(jù)庫(kù)必須做安全備份。通過(guò)網(wǎng)絡(luò)備份系統(tǒng)，可以對(duì)數(shù)據(jù)庫(kù)進(jìn)行遠(yuǎn)程備份存儲(chǔ)。
7.5 構(gòu)建CA體系
針對(duì)信息的安全性、完整性、正確性和不可否認(rèn)性等問(wèn)題，目前國(guó)際上先進(jìn)的方法是采用信息加密技術(shù)、數(shù)字簽名技術(shù)。具體實(shí)現(xiàn)的辦法是使用數(shù)字證書，通過(guò)數(shù)字證書，把證書持有者的公開(kāi)密鑰（Public Key）與用戶的身份信息緊密安全地結(jié)合起來(lái)，以實(shí)現(xiàn)身份確認(rèn)和不可否認(rèn)性。簽發(fā)數(shù)字證書的機(jī)構(gòu)即數(shù)字證書認(rèn)證中心（CA，Certification Authority），數(shù)字證書認(rèn)證中心為用戶簽發(fā)數(shù)字證書，為用戶身份確認(rèn)提供各種相應(yīng)的服務(wù)。在數(shù)字證書中有證書擁有者的甄別名稱（DN，Distinguish Name），并且還有其公開(kāi)密鑰，對(duì)應(yīng)于該公開(kāi)密鑰的私有密鑰由證書的擁有者持有，這對(duì)密鑰的作用是用來(lái)進(jìn)行數(shù)字簽名和驗(yàn)證簽名，這樣就能夠保證通訊雙方的真實(shí)身份，同時(shí)采用數(shù)字簽名技術(shù)還很好地解決了不可否認(rèn)性的問(wèn)題。根據(jù)機(jī)構(gòu)本身的特點(diǎn)，可以考濾先構(gòu)建一個(gè)本系統(tǒng)內(nèi)部的CA系統(tǒng)，即所有的證書只能限定在本系統(tǒng)內(nèi)部使用有效。隨著不斷發(fā)展及需求情況下，可以對(duì)CA系統(tǒng)進(jìn)行擴(kuò)充與國(guó)家級(jí)CA系統(tǒng)互聯(lián)，實(shí)現(xiàn)不同企業(yè)間的交叉認(rèn)證。
7.6 安全管理
7.6.1 制定健全的安全管理體制
制定健全的安全管理體制將是網(wǎng)絡(luò)安全得以實(shí)現(xiàn)的重要保證。各政府機(jī)關(guān)單位可以根據(jù)自身的實(shí)際情況，制定如安全操作流程、安全事故的獎(jiǎng)罰制度以及對(duì)任命安全管理人員的考查等。
7.6.2 構(gòu)建安全管理平臺(tái)
構(gòu)建安全管理平臺(tái)將會(huì)降彽很多因?yàn)闊o(wú)意的人為因素而造成的風(fēng)險(xiǎn)。構(gòu)建安全管理平臺(tái)從技術(shù)上如，組成安全管理子網(wǎng)，安裝集中統(tǒng)一的安全管理軟件，如病毒軟件管理系統(tǒng)、網(wǎng)絡(luò)設(shè)備管理系統(tǒng)以及網(wǎng)絡(luò)安全設(shè)備統(tǒng)管理軟件。通過(guò)安全管理平臺(tái)實(shí)現(xiàn)全網(wǎng)的安全管理。
7.6.3增強(qiáng)人員的安全防范意識(shí)
政府機(jī)關(guān)單位應(yīng)該經(jīng)常對(duì)單位員工進(jìn)行網(wǎng)絡(luò)安全防范意識(shí)的培訓(xùn)，全面提高員工的整體網(wǎng)絡(luò)安全防范意識(shí)。
IT168信息化專家委員會(huì) 賈永年點(diǎn)評(píng)：
北京神州泰岳計(jì)算機(jī)技術(shù)有限責(zé)任公司提供的政府網(wǎng)絡(luò)安全解決方案抓住了網(wǎng)絡(luò)安全問(wèn)題的動(dòng)態(tài)性和艱巨性，從而提供了一個(gè)可供用戶選擇的符合當(dāng)前技術(shù)狀態(tài)的先進(jìn)方案。該方案主要有下列特點(diǎn)：
1、方案的總體設(shè)計(jì)思路是很正確的。通過(guò)對(duì)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)分析、對(duì)用戶的需求調(diào)查，抓住影響網(wǎng)絡(luò)安全的諸多因素，提出了可供用戶選擇的網(wǎng)絡(luò)安全體系結(jié)構(gòu)。
2、設(shè)計(jì)者在了解用戶對(duì)網(wǎng)絡(luò)安全的特殊性要求之后，則在網(wǎng)絡(luò)安全體系結(jié)構(gòu)中采用了綜合處理技術(shù)，通過(guò)在物理層、鏈路層、網(wǎng)絡(luò)層、應(yīng)用層和系統(tǒng)級(jí)以及管理等多層面上，采取多技術(shù)途徑與綜合考慮的手段，來(lái)到達(dá)網(wǎng)絡(luò)安全工作的最終目的。也就是說(shuō)通過(guò)層層把關(guān)的辦法實(shí)現(xiàn)信息的安全傳輸、安全處理與安全管理。首先在物理層面從機(jī)房、設(shè)備、信息入/出口端防止信息外泄入手；接著對(duì)網(wǎng)絡(luò)傳輸上重點(diǎn)采取訪問(wèn)控制、劃分子網(wǎng)、設(shè)防火墻，信息傳輸通路上采用加密技術(shù)，系統(tǒng)內(nèi)部采取入侵撿測(cè)、對(duì)系統(tǒng)與網(wǎng)絡(luò)的掃描手段以發(fā)現(xiàn)漏洞，并對(duì)病毒進(jìn)行防護(hù)等綜合技術(shù)手段，確保信息正確接收（或發(fā)送）；信息到達(dá)應(yīng)用層后又采取許多確保信息安全處理的技術(shù)；除技術(shù)層面外還對(duì)管理方面進(jìn)行了針對(duì)性設(shè)計(jì)。通過(guò)在各層面上采取的技術(shù)與管理相結(jié)合的綜合處理辦法來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)的安全工作。應(yīng)該說(shuō)這些技術(shù)手段對(duì)網(wǎng)絡(luò)安全和信息安全都是行之有效的。
3、設(shè)計(jì)者完全站在用戶的立場(chǎng)上，方案中許多想法都是為用戶著想的。網(wǎng)絡(luò)安全設(shè)計(jì)原則中的需求、風(fēng)險(xiǎn)、價(jià)格平衡原則，綜合性、整體性原則，易操作性和多重保護(hù)等都是為用戶長(zhǎng)遠(yuǎn)和現(xiàn)在考慮的；方案中對(duì)各種技術(shù)進(jìn)行了通俗的解釋，有利于用戶對(duì)計(jì)算機(jī)、網(wǎng)絡(luò)的理解；方案中提出了幾種可選的技術(shù)途徑，并指出利弊，供用戶選擇；提出建立管理制度也是為了確保用戶用好、管好網(wǎng)絡(luò)系統(tǒng)，使其發(fā)揮應(yīng)有作用。
該方案中最后看到的是一個(gè)網(wǎng)絡(luò)安全體系結(jié)構(gòu)或結(jié)構(gòu)的框架。如能在不影響用戶利益（如保密要求許可）的前提下，提供應(yīng)用情況或?qū)嵤┓桨竸t更好，那就更有說(shuō)服力了。
專家介紹
賈永年 IT168專家委員會(huì)顧問(wèn)委員、中電集團(tuán)15所聯(lián)合中心副總工。著有《計(jì)算機(jī)在測(cè)控網(wǎng)中的應(yīng)用》《測(cè)控計(jì)算機(jī)與監(jiān)控顯示系統(tǒng)》（國(guó)防工業(yè)出版社）等著作。
