一、引言

    隨著計算機網(wǎng)絡(luò)的發(fā)展和廣泛應(yīng)用，它對社會經(jīng)濟、文化以及科學和教育都產(chǎn)生了極其深遠的影響。計算機網(wǎng)絡(luò)發(fā)展呈現(xiàn)出以下三大特點：一是網(wǎng)絡(luò)系統(tǒng)規(guī)模不斷擴大；二是網(wǎng)絡(luò)系統(tǒng)復(fù)雜度增加；三是在—個網(wǎng)絡(luò)內(nèi)經(jīng)常會由于集成了多個計算機和網(wǎng)絡(luò)廠家的產(chǎn)品而出現(xiàn)在一個網(wǎng)內(nèi)存在多個網(wǎng)管的現(xiàn)象。與此同時，我們又發(fā)現(xiàn)計算機網(wǎng)絡(luò)的廣泛應(yīng)用也產(chǎn)生了一些新的問題，比如站點被攻擊、重要數(shù)據(jù)被盜用等計算機網(wǎng)絡(luò)安全問題，使計算機網(wǎng)絡(luò)面臨極大的挑戰(zhàn)。如何在安全的計算機網(wǎng)絡(luò)環(huán)境下辦公成為計算機網(wǎng)絡(luò)技術(shù)的一個重要領(lǐng)域，尤其是局域網(wǎng)安全問題�，F(xiàn)在的許多單位都有自己的局域網(wǎng)，特別是涉密機關(guān)單位，許多涉密的數(shù)據(jù)關(guān)系著小到每個人，大到國家的切實利益，一旦出現(xiàn)問題后果不堪設(shè)想。如何使這些重要的數(shù)據(jù)在局域網(wǎng)中安全的正常的使用，是我們亟待解決的問題。本文從局域網(wǎng)安全管理出發(fā)，提出了涉密機關(guān)中小型局域網(wǎng)的安全策略。

二、涉密局域網(wǎng)所面臨的安全問題

    當前，對安全保密要求較高的政府部門和工商企業(yè)而言，涉密局域網(wǎng)主要面臨以下安全問題：

    2．1不安全的網(wǎng)絡(luò)體系

    在網(wǎng)絡(luò)安全領(lǐng)域，我們始終無法回避黑客／駭客(Hacker／Cracker)的存在，并且，隨著黑客攻擊軟件功能不斷強大、操作不斷簡化及獲取更加簡便，有越來越多的人參與到攻擊中來，導(dǎo)致黑客攻擊事件呈現(xiàn)不斷上升趨勢。成千上萬的黑客無時無刻地掃描存在漏洞的計算機系統(tǒng)和缺乏有效保護的網(wǎng)絡(luò)。如果局域網(wǎng)沒有得到應(yīng)有的維護和保護，例如服務(wù)器操作系統(tǒng)沒有及時安裝補丁程序、沒有良好地執(zhí)行網(wǎng)絡(luò)隔離措施等，這些網(wǎng)絡(luò)則會受到黑客們的攻擊，進而產(chǎn)生巨大的損失。

    2．2來自內(nèi)部的非授權(quán)訪問

    標識、認證和授權(quán)是訪問控制中非常重要的概念。標識是確保某主體(用戶、程序或進程)就是它所宣稱的那個實體的方法，標識之后，將會通過認證來核對主體信息，認證通過后，將通過授權(quán)來確定他是否有權(quán)限完成他將要執(zhí)行的操作。相關(guān)技術(shù)應(yīng)該保證較低級別的用戶無法執(zhí)行高權(quán)限的操作，而當前多數(shù)涉密局域網(wǎng)的管理者缺乏口令管理的概念，所采用的用戶名和口令難當此任，有的高級別用戶的口令一直沿用初始口令，有的直接向他人透露密碼，同時，標識認證技術(shù)也要兼顧出錯率和系統(tǒng)開銷的平衡。

    2．3遠程訪問和傳輸加密

    不論是黨政機關(guān)還是工商企業(yè)，都可能存在異地的工作部門或異地終端，這就使得局域網(wǎng)的地理范圍不再局限于一個樓層或一棟建筑，帶來的問題就是如何讓這些異地的工作部門聯(lián)入政府或企業(yè)的涉密局域網(wǎng)，進行遠程訪問、數(shù)據(jù)交換，如何在一定的時延要求下對數(shù)據(jù)傳輸進行加解密。

    2．4不安全的數(shù)據(jù)傳遞

    在局域網(wǎng)中，每個終端都有可能通過光驅(qū)或USB存儲設(shè)備與局域網(wǎng)外進行數(shù)據(jù)交換，并在硬盤存儲。而這些數(shù)據(jù)雖然存儲在終端的硬盤上，但若包含網(wǎng)絡(luò)病毒或攻擊腳本，則會給局域網(wǎng)帶來很大的破壞。以網(wǎng)絡(luò)病毒為例，它除與單機病毒一樣具有傳播性、破壞性外，還具有感染速度快、擴散面廣、傳播形式多、潛在性大等特點，有的可設(shè)定一定觸發(fā)條件進行觸發(fā)。同時，對網(wǎng)絡(luò)病毒的查殺工作常常無法徹底進行，因為只要有一個工作站沒有殺盡病毒，就會再次造成全網(wǎng)感染，因此具有更大的破壞性。

    2．5來自物理安全方面的威脅

    一個上了規(guī)模的局域網(wǎng)來說，物理安全也是一個不容忽視的問題。當每張辦公桌上都有一臺計算機，設(shè)備和資源遍布單位的各個角落、工作的環(huán)境和人員變得越來越復(fù)雜之時，保護這些系統(tǒng)和設(shè)備的任務(wù)也變得異常艱巨。因此，必須建立物理安全的機制，包括設(shè)備陳放地點的設(shè)計和布置、環(huán)境因素、突發(fā)事件響應(yīng)的敏捷性、人員的訓練、訪問控制、入侵檢測以及電氣和火災(zāi)保護等諸多方面，同時物理安全機制也應(yīng)該能為人員、數(shù)據(jù)、器材、應(yīng)用系統(tǒng)以及這些設(shè)備的自身安全提供有力保障。

    2．6缺乏有效的安全策略和統(tǒng)一的安全意識

    安全策略是高層決定—個全面的聲明，它規(guī)定在組織中安全問題扮演什么樣的角色。安全策略可以是—個組織策略、針對專門問題的策略或是針對系統(tǒng)的策略，如果缺乏有效的安全策略，那么安全規(guī)程、安全標準和安全方針將無從談起。事實上，安全策略是實現(xiàn)對有關(guān)安全問題的提示，而標準、規(guī)程和方針用以支持這些提示，但如果沒有入知道這些或沒人知道具體的執(zhí)行方法，那所有這些就失去了意義。這就是安全意識的問題，要成功解決局域網(wǎng)安全問題，上到管理層，下至普通員工都需要充分了解計算機和信息安全的重要性，了解安全的潛在意義以及他們被要求的和安全有關(guān)的特定要求。

三、涉密局域網(wǎng)安全策略

    3．1對涉密局域網(wǎng)進行安全級別劃分

    根據(jù)數(shù)據(jù)的密級劃分成不同子網(wǎng)，即絕密級數(shù)據(jù)單獨成網(wǎng)(下稱絕密子網(wǎng))，機密級及秘密級數(shù)據(jù)合并組網(wǎng)(下稱機密子網(wǎng))。其次。由于絕密級數(shù)據(jù)敏感性較高，所以絕密子網(wǎng)必須與其它網(wǎng)絡(luò)實行物理隔離，對涉密局域網(wǎng)中高密級數(shù)據(jù)必須執(zhí)行嚴格的保護措施，把可能面臨的風險減小到最小，因為對于涉密局域網(wǎng)中的絕密信息來說，如果發(fā)生泄漏將會造成極其嚴重的損害，所以必須實行網(wǎng)絡(luò)隔離。同時，所有產(chǎn)生及處理的絕密信息的過程和渠道也必須在絕密子網(wǎng)上完成，或通過國家認可的其它途徑如機要通信完成，而不得與機密、秘密甚至普通信息共同傳輸或共用設(shè)備。第三，每個子網(wǎng)均配備專用的打印機、掃描儀等，禁止任何形式的跨網(wǎng)設(shè)備共享，也禁止使用無線網(wǎng)絡(luò)。

    3．2對內(nèi)部局域網(wǎng)實施準入機制

    在涉密局域網(wǎng)中應(yīng)采用雙因子認證的方法進行標識和認證。所謂雙因子認證，tiVOli強認證，是指至少包含三種認證中兩項的認證方法，如密碼與證件或指紋與密碼等的組合。筆者推薦的方式是采用生物識別技術(shù)與口令的組合認證。

    生物識別技術(shù)是一種個人標識技術(shù)，它通過每個人所具有的唯一特征進行標識，這是準確標識的最有效且最準確的技術(shù)之一，它包括指紋、手掌掃描、手形掃描、視網(wǎng)膜掃描、虹膜掃描、動態(tài)簽名、動態(tài)鍵盤輸入、語音識別、面部掃描和手形拓撲。在各種技術(shù)中，指紋識別技術(shù)不僅使用方便、安傘性較高，而且發(fā)展比較成熟，更容易獲得在錯誤接受和錯誤拒絕之間的平衡，開銷也相對低廉，容易推廣接受。具體地說，指紋是由一些曲線和分叉以及一些非常微小的特征構(gòu)成，正是這些微小的特征使得每一個人都具有明顯的唯一的指紋特征，當一個把他的手指放在認證裝置上時，裝置會讀出他帶有一定體溫的指紋(防止制作指紋模板)并且和參考文件中的數(shù)據(jù)進行比較，如果兩者非常吻合，那么這個人的身份就得到了確認。要注意的是，如果系統(tǒng)存儲了完整的指紋，那將會占用大量的硬盤資源并且會使用戶很難快速完成比較過程。而如果采用指紋掃描技術(shù)提取指紋中的一些特征并且存儲這些特征信息，這樣就占用了少量的硬盤資源并且獲得了快速的數(shù)據(jù)庫查詢和比較。

    指紋與口令的組合既為涉密局域網(wǎng)提供足夠安全的標識和認證，在一定程度卜杜絕非授權(quán)訪問的發(fā)生，也便于操作實施，不會給頻繁登錄的用戶增加過多的麻煩。

    3．3對人員進行安全培訓

    安全培訓在傘面的基礎(chǔ)上應(yīng)具有較強的針對性，應(yīng)根據(jù)聽眾的職務(wù)不同而有所側(cè)重。

    例如管理層可以通過探討安全損失、各種危害、安全措施等對安全計劃的重要性產(chǎn)生足夠的認識。而針對中層的培訓，應(yīng)說明特定部門的支持的重要性，以及他對保證工作人員執(zhí)行安全措施的重要性及個人違反規(guī)程的后果和管理者必須對這種錯誤的舉動所采取的措施。安全培訓應(yīng)該定期地、持續(xù)地進行，從而改變工作人員的行為和對安全的態(tài)度。

    除了安全培訓之外，也有必要設(shè)立專門的安全監(jiān)督機構(gòu)對相關(guān)進行監(jiān)督評估，并間隔一定的時間進行測試或演習。以確保：全體人員的安全意識始終處于—個合適的水平。

    3．4物理安全

    在涉密局域網(wǎng)的物理安全防護中，實現(xiàn)這些安全的因素包括良好的物理的、技術(shù)的和管理上的控制機制。管理上的控制措施包括設(shè)施的選擇和建設(shè)、設(shè)施的管理、員工的管控、培訓以及突發(fā)事件的響應(yīng)和處理步驟。技術(shù)上的控制措施包括訪問控制、報警裝置、監(jiān)視裝置、供暖通風空調(diào)、電力供應(yīng)、火災(zāi)的檢測和排除以及備份等。而物理上的措施包括柵欄、大門、護柱、加鎖、照明和建筑設(shè)施的材料。

四、結(jié)論

    由于涉密單位的特殊性，使其對安全性的要求較高，如果我們能加強安全意識，嚴格遵守操作規(guī)范，在技術(shù)有保障的情形下，我們的局域網(wǎng)安全性就會大大提高，那么，由于局域網(wǎng)不安全因素造成的損失就會大大減少。

核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.ezxoed.cn/

本文標題：涉密機關(guān)中小型局域網(wǎng)的安全策略

本文網(wǎng)址：http://www.ezxoed.cn/html/support/1112156448.html