对网络安全技术管理的探讨

在当今这个信息化社会中, 网络安全管理技术已经成为网络技术中人们公认的关键技术。由于网络安全对网络信息系统的性能、管理的关联及影响趋于复杂严重, 网络安全管理正逐渐成为网络管理技术中的一个重要分支, 网络安全管理系统呈现出了从通常网管系统中分离出来的趋势。影响网络安全的因素有许多, 有自然因素, 也有人为因素, 其中人为因素的危害最大。归纳起来, 对网络安全造成威胁的有:硬件设备故障或突然断电;计算机病毒的攻击;人为的进攻。加强网络安全管理, 降低不安全因素的影响, 就要制定一系列的安全规范、安全措施, 建立安全保障体系, 以消除上述的安全威胁。

1 影响网络安全因素的分析

影响局域网网络安全的因素很多, 既有自然因素, 也有人为因素, 其中人为因素危害较大, 归结起来, 主要有六个方面构成对网络的威胁。

1.1 人为失误

一些无意的行为, 如:丢失口令、非法操作、资源访问控制不合理、管理员安全配置不当以及疏忽大意允许不应进入网络的人上网等, 都会对网络系统造成极大的破坏。

1.2 病毒感染

从“蠕虫”病毒开始到CIH、爱虫病毒。病毒一直是计算机系统安全最直接的威胁, 网络更是为病毒提供了迅速传播的途径, 病毒很容易地通过代理服务器以软件下载、邮件接收等方式进入网络, 然后对网络进行攻击, 造成很大的损失。

1.3 来自网络外部的攻击

这是指来自局域网外部的恶意攻击, 例如:有选择地破坏网络信息的有效性和完整性;伪装为合法用户进入网络并占用大量资源;修改网络数据、窃取、破译机密信息、破坏软件执行;在中间站点拦截和读取绝密信息等。

1.4 来自网络内部的攻击

在局域网内部, 一些非法用户冒用合法用户的口令以合法身份登陆网站后, 查看机密信息, 修改信息内容及破坏应用系统的运行。

1.5 系统的漏洞及“后门”

操作系统及网络软件不可能是百分之百的无缺陷、无漏洞的。另外, 编程人员为自便而在软件中留有“后门”, 一旦“漏洞”及“后门”为外人所知, 就会成为整个网络系统受攻击的首选目标和薄弱环节。大部分的黑客入侵网络事件就是由系统的“漏洞”和“后门”所造成的。

2 加强网络安全管理

2.1 计算机设备的安全管理

加强设备安全管理首先要给计算机设备提供一个良好的运行环境, 除严格的控制温度、湿度外, 还要做好防尘、防电磁泄漏和干扰、防火、防有害物质、防水防盗等一系列防护措施, 减少安全隐患。另外, 为减少安全威胁, 必须制定安全规范, 严格管理制度:未经网络管理员许可, 任何人不得以任何原由打开机箱, 随意拆卸或更改集成线路板 (卡) ;计算机及网络设备的搬迁或更改有关硬件设备, 必须有网络管理员负责, 任何人不得私自进行;计算机及网络设备出现硬件故障时, 应及时向网络管理员报告, 由网络管理员处理;计算机及外围设备要定期进行维护;新的计算机接入系统前, 应对一些重要信息进行备份;每台微机都必须连UPS, 尤其是服务器要安装大容量的UPS。

2.2 软件的安全管理及其反病毒技术

这是网络安全一个重要环节。计算机系统的不安全很多来源于计算机病毒。在单机环境下, 病毒主要是通过软盘和硬盘传输。软件管理可采取以下措施:用硬盘启动机器, 如有必要用软盘启动, 要对软盘作仔细的检查, 确认无病毒后方可使用;若使用外来软盘, 必须事先检查, 确认无毒方可使用;设置开机及进入系统的口令, 限制其他非工作人员使用;经常用病毒检测软件进行检查, 一旦发现病毒, 及时采取措施;对重要的计算机和硬盘信息做好备份, 以便在病毒侵入受破坏后, 恢复重要信息;对重要的应用软件做备份, 加上写保护。在网络环境下, 大部分的病毒以电子邮件的形式传播, 并利用黑客技术, 不但删除文件和操作系统, 而且窃取用户信息, 具有不可估量的威胁力和破坏力, 维护网络安全必须采取网络反病毒技术。网络反病毒技术包括预防病毒、检测病毒和消除病毒三种技术。

网络反病毒技术的具体实现方法包括对网络服务器中的文件进行频繁的扫描和监视, 工作站上采用防病毒芯片、指定口令字和对网络目录及文件设置访问权限等。

2.3 人员管理

人为攻击是计算机网络所面临的最大威胁。敌手的攻击和计算机犯罪就属于这一类。此类攻击可分为以下两种:一种是主动攻击, 它以各种方式有选择地破坏信息的有效性和完整性, 截取网上的信息包, 并对其进行更改使它失效, 或者故意添加一些有利于自己的信息, 起到信息误导的作用, 或者登陆进入系统使用并占用大量的网络资源, 造成资源的消耗, 损害合法用户的利益。另一种是被动攻击, 它是在不影响网络正常工作的情况下进行截取、窃取、破译以获得更重要的机密。这两种攻击均可对计算机网络造成极大的危害, 并导致机密数据的泄露。网络管理员应该做到以下几点。

(1) 网络管理员应采取层次、分区、表格各种授权方式, 控制用户对网络信息存取权限。妥善保管系统口令, 不得轻易泄露, 以防未经授权的人使用。另外, 经常去有关的安全网站下载系统补丁程序, 尽可能地将系统的漏洞补上。

(2) 对网络数据和资料除进行常规备份 (完全式、增量式、差分式) 外, 还要设置自动启动和停止日志, 记录系统配置以供重新使用, 处理备份中发生的各种情况。定期检查备份的正确性。对重要的数据和资料必须多份拷贝异地存放。同时, 对备份所用的存储设备单独存放, 不要连在互联网上。

(3) 特别重要的网站要做到24h有网络管理员值班, 并采取技术措施循环检查系统日志, 以及动态IP的变化。保证网络系统的正常工作。无人值守网站时, 关闭一切连在互联网上的供工作人员使用的电脑终端设备。

3 网络安全技术措施

3.1 局域网安全技术

目前的局域网基本上都采用以广播为技术基础的以太网, 任何两个节点之间的通信数据包, 不仅为这两个节点的网卡所接收, 也同时为处在同一以太网上的任何接点的网卡所截取。因此, 黑客只要接入以太网上的任一节点进行侦听, 就可以捕获发生在这个以太网上的所有数据包, 对其进行解包分析, 从而窃取关键信息, 这就是以太网所固有的安全隐患。当前, 局域网安全的解决办法有以下几种。

(1) 网络分段。网络分段通常被认为是控制网络广播风暴的一种基本手段, 但其实也是保证网络安全的一项重要措施。其目的就是将非法用户与敏感的网络资源相互隔离, 从而防止可能的非法侦听。网络分段可分为物理分段和逻辑分段两种。

(2) 以交换式集线器代替共享式集线器。对局域网的中心交换机进行网络分段后, 以太网侦听的危险仍然存在。这是因为网络最终用户的接入往往是通过分支集线器而不是中心交换机, 而使用最广泛的分支集线器通常是共享式集线器。这样, 当用户与主机进行数据通信时, 两台机器之间的数据包 (称为单播包Unicast Packet) 还是会被同一台集线器上其他用户所侦听。因此, 应该以交换式集线器代替共享式集线器, 使单播包仅在两个节点之间传送, 从而防止非法侦听。

(3) VLAN的划分。为了克服以太网的广播问题, 除了上述方法外, 还可以运用VLAN (虚拟局域网) 技术, 将以太网通信变为点到点通信, 防止大部分基于网络的侦听的入侵。

3.2 广域网安全技术

由于广域网大多采用共用网进行数据传播, 信息在广域网上传输时被载取和利用的可能性要比局域网大得多。如果没有专用的软件对数据进行控制, 只要使用Internet上免费下载的“包检测”工具软件就可以很容易地对通信数据进行截取和破译。广域网通常采用以下安全解决办法。

(1) 防火墙技术。防火墙是一种非常有效的网络安全管理技术。它是一种由计算机硬件和软件的组合, 使互联网与内部网之间建立起一个安全网 (Scurity Gateway) , 从而保护内部网免受非法用户的侵入。防火墙是立体防护体系的联动中心, 是安全决策的焦点。

(2) 数据加密技术。数据加密技术是为提高信息系统及数据的安全性和保密性, 防止秘密数据被外部剖析所采用的主要技术手段之一。信息加密过程是由各种加密算法 (如常规密码算法、公钥密码算法) 来实现的。按其功能不同, 数据加密技术主要分数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种。

(3) 智能卡技术。与数据加密技术密切相关的另一项技术是智能卡技术。所谓的智能卡就是密钥的一种媒体, 一般就像信用卡一样, 由授权用户所持有并由该用户赋与它一个口令或密码。该密码与内部网络服务器上注册的密码一致。当口令与身份特征共同使用时, 智能卡的保密性能还是相当有效的。

4 结语

网络安全是一个综合性的课题, 涉及技术、管理、使用等许多方面, 既包括信息系统本身的安全问题, 也有物理的和逻辑的技术措施, 一种技术只能解决一方面的问题, 而不是万能的。因此只有严格的保密政策、明晰的安全策略才能完好、实时地保证信息的完整性和确证性, 为网络提供强大的安全服务。

摘要：本文主要对企业网络安全管理进行了探讨, 可供同行参考。

关键词：网络安全,管理,技术

参考文献

[1] 李晓勇.网络安全的目标[N].中国电脑教育报, 2002.

[2] 企业网络安全存在的隐患及其对策 (2) [J].计算机世界, 2003.

[3] 陈兵, 王立松.网络安全体系结构研究[J].计算机工程与应用, 2002 (7) .