【精品解決方案】協(xié)同辦公系統(tǒng)（OA）安全解決方案.doc

更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 協(xié)同辦公系統(tǒng)安全解決方案 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 1引言引言3 2網(wǎng)絡(luò)安全的威脅網(wǎng)絡(luò)安全的威脅4 網(wǎng)絡(luò)攻擊的定義4 攻擊的動機(jī)4 網(wǎng)絡(luò)安全系統(tǒng)為什么會失敗5 網(wǎng)絡(luò)安全體系6 安全服務(wù)維7 協(xié)議層次維7 系統(tǒng)單元維7 二維安全框架8 3網(wǎng)絡(luò)安全元素網(wǎng)絡(luò)安全元素9 物理安全9 網(wǎng)絡(luò)隔離與防火墻技術(shù)10 網(wǎng)絡(luò)隔離10 防火墻10 防火墻的基本類型10 對稱與不對稱加密信息加密的目的11 網(wǎng)絡(luò)加密傳送與認(rèn)證11 利用ca實現(xiàn)安全公文傳輸.13 數(shù)據(jù)級備份15 系統(tǒng)級備份15 “最小授權(quán)“原則.15 依據(jù)ca的授權(quán)機(jī)制.16 操作系統(tǒng)的授權(quán)機(jī)制16 系統(tǒng)的授權(quán)保證16 4網(wǎng)絡(luò)安全的實現(xiàn)網(wǎng)絡(luò)安全的實現(xiàn)16 完備適當(dāng)?shù)木W(wǎng)絡(luò)安全策略16 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 高水平的網(wǎng)絡(luò)安全技術(shù)隊伍17 建立專業(yè)的 ca 中心18 管理、管理、管理18 5我們公司的安全策略我們公司的安全策略19 客戶可能面臨的網(wǎng)絡(luò)安全隱患19 公司對客戶安全使用的控制級別19 我們公司目前可以為客戶解決的安全問題19 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 1引言 隨著政府上網(wǎng)、海關(guān)上網(wǎng)、電子商務(wù)、網(wǎng)上娛樂等一系列網(wǎng)絡(luò)應(yīng)用的蓬勃 發(fā)展，internet 正在越來越多地離開原來單純的學(xué)術(shù)環(huán)境，融入到社會的各個 方面。一方面，網(wǎng)絡(luò)用戶成分越來越多樣化，出于各種目的的網(wǎng)絡(luò)入侵和攻擊 越來越頻繁；另一方面，網(wǎng)絡(luò)應(yīng)用越來越深地滲透到國家、企業(yè)等關(guān)鍵要害領(lǐng) 域。換言之，網(wǎng)絡(luò)的安全，包括網(wǎng)絡(luò)上的信息數(shù)據(jù)安全和網(wǎng)絡(luò)設(shè)備服務(wù)的運(yùn)行 安全，日益成為與國家、政府、企業(yè)、個人的利益息息相關(guān)的“大事情“。 安全 保障能力是新世紀(jì)一個國家綜合國力、經(jīng)濟(jì)競爭實力和生存能力的重要組成部 分。不夸張地說，它在下個世紀(jì)里完全可以與核武器對一個國家的重要性相提 并論。這個問題解決不好將全方位地危及我國的政治、軍事、經(jīng)濟(jì)、文化、社 會生活的各個方面，使國家處于信息戰(zhàn)和高度經(jīng)濟(jì)金融風(fēng)險的威脅之中。 我們的企業(yè)也是如此，如果您的企業(yè)沒有一套好的網(wǎng)絡(luò)安全策略，那么你 們企業(yè)的一切資料都是公開的，不安全的。試想一下你們公司的保密文件在您 的競爭對手中人手一份，我想對你的企業(yè)是一個很大的打擊。 目前我國對計算機(jī)網(wǎng)絡(luò)安全產(chǎn)品的認(rèn)證研究剛開始起步，尚沒有對計算機(jī) 安全發(fā)布權(quán)威性的標(biāo)準(zhǔn)方案。新刑法中關(guān)于計算機(jī)網(wǎng)絡(luò)犯罪的條款也沒有解決 法律上的問題。所以，不管在設(shè)計網(wǎng)絡(luò)安全方案時，還是在確認(rèn)事故、攻擊、 入侵等級時都顯得無所適從。對于企業(yè)來說，尤其是大的 isp，等待國家去研 究發(fā)布相應(yīng)的標(biāo)準(zhǔn)是不恰當(dāng)?shù)?。?yīng)當(dāng)盡快組織自己的 it 部門或購買其它公司的 相應(yīng)服務(wù)來確立自己企業(yè)網(wǎng)的安全策略，并且下決心去實施，并且定期地檢查 實際情況與安全策略的差距。 企業(yè)的安全策略是企業(yè)在網(wǎng)絡(luò)安全工作中的法律。網(wǎng)絡(luò)安全工作要有法可 依。如果說網(wǎng)絡(luò)安全的目標(biāo)是一座大廈的話，那么相應(yīng)的安全策略就是施工的 藍(lán)圖。它使網(wǎng)絡(luò)建設(shè)和管理過程中的安全工作避免盲目性。但是，它并沒有得 到足夠的重視。國際調(diào)查顯示，目前 55%的企業(yè)網(wǎng)沒有自己的安全策略。網(wǎng)絡(luò) 安全策略應(yīng)該對企業(yè)的各種網(wǎng)絡(luò)服務(wù)的安全、檔次、地位和用戶的權(quán)限、分類、 安全故障處理、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、管理員的職責(zé)、入侵和攻擊的防御和檢測、備 份和災(zāi)難恢復(fù)計劃等內(nèi)容。 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 2網(wǎng)絡(luò)安全的威脅 網(wǎng)絡(luò)面臨的安全威脅大體可分為兩種： 一、是對網(wǎng)絡(luò)數(shù)據(jù)的威脅。 二、是對網(wǎng)絡(luò)設(shè)備的威脅。 這些威脅可能來源于各種各樣的因素： 可能是有意的，也可能是無意的； 可能是來源于企業(yè)外部的， 也可能是內(nèi)部人員造成的；可能是人為的，也可能 是自然力造成的。 總結(jié)起來，大致有下面幾種主要威脅： (1) 非人為、自然力造成的數(shù)據(jù)丟失、設(shè)備失效、線路阻斷 (2) 人為但屬于操作人員無意的失誤造成的數(shù)據(jù)丟失 (3) 來自外部和內(nèi)部人員的惡意攻擊和入侵 前面兩種的預(yù)防基本相同，可以加強(qiáng)企業(yè)內(nèi)部的管理，可以規(guī)范操作來減 少這種不必要的損失。 最后一種是當(dāng)前 internet 網(wǎng)絡(luò)所面臨的最大威脅，是 電子商務(wù)、政府、企業(yè)、個人上網(wǎng)等順利發(fā)展的最大障礙，也是企業(yè)網(wǎng)絡(luò)安全 策略最需要解決的問題。 網(wǎng)網(wǎng)絡(luò)絡(luò)攻攻擊擊的定的定義義 對網(wǎng)絡(luò)安全管理員來說，可能導(dǎo)致一個網(wǎng)絡(luò)受到破壞、網(wǎng)絡(luò)服務(wù)受到影響 的所有行為都應(yīng)稱為攻擊，也可以說攻擊是指謀取超越目標(biāo)網(wǎng)絡(luò)安全策略所限 定的服務(wù)（入侵）或者使目標(biāo)網(wǎng)絡(luò)服務(wù)受到影響甚至停止（攻擊）的所有行為。 攻擊行為從攻擊者開始在接觸目標(biāo)機(jī)的那個時刻起可以說就已經(jīng)開始了。 攻攻擊擊的的動動機(jī)機(jī) 招致網(wǎng)絡(luò)攻擊的原因有方方面面。國家機(jī)密、商業(yè)競爭、對顧主單位的不 滿、對網(wǎng)絡(luò)安全技術(shù)的挑戰(zhàn)、對企業(yè)核心機(jī)密的企望、網(wǎng)絡(luò)接入帳號、信用卡 號等金錢利益的誘惑、利用攻擊網(wǎng)絡(luò)站點而出名、對網(wǎng)絡(luò)的好奇心等，當(dāng)然其 它一些原因也都可能引起攻擊者的蓄意攻擊行為。目前國內(nèi)多數(shù)網(wǎng)絡(luò)系統(tǒng)管理 人員和工程施工人員對網(wǎng)絡(luò)安全問題重視不夠，意識淡漠，建設(shè)中或建設(shè)后在 沒有采取足夠的安全防護(hù)措施的情況下，將網(wǎng)絡(luò)接入因特網(wǎng)上，給企業(yè)造成不 必要的損失。值得注意的是當(dāng)前出于政治目的和商業(yè)競爭目的的網(wǎng)絡(luò)攻擊日益 增多。某集成商的演示系統(tǒng)在開標(biāo)前夕突然失去服務(wù)，而該系統(tǒng)之前從未出現(xiàn) 類似問題。競爭對手出于競爭目的， 為打擊對手的商業(yè)信譽(yù)可能會發(fā)動攻擊行 為。從前言的敘述中，我們也看到了網(wǎng)絡(luò)攻擊和入侵對于獲取其它目標(biāo)國家或 機(jī)構(gòu)的機(jī)密信息是一種非常重要的手段。 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 網(wǎng)網(wǎng)絡(luò)絡(luò)安全系安全系統(tǒng)為統(tǒng)為什么會失什么會失敗敗 網(wǎng)絡(luò)安全概念中有一個“木桶“理論，講的是一個淺顯而重要的原則：一個 桶能裝的水量不取決于桶有多高，而取決于組成該桶的最短的那塊木條的高度。 應(yīng)用在網(wǎng)絡(luò)安全領(lǐng)域就是：網(wǎng)絡(luò)安全系統(tǒng)的強(qiáng)度取決于其中最為薄弱的一環(huán)。 這是由攻擊和防守的特性決定的。相對于攻擊來說，防守的任務(wù)更為艱巨，任 何一個節(jié)點、某一個軟件、其中的某個服務(wù)、某個用戶的脆弱口令等等都可能 造成整個防御系統(tǒng)的失效。攻擊者的做法則是耐心地收集、測試可能出現(xiàn)的漏 洞，只要找到一處，則攻擊往往就成功了多半。但防守者也有自己很大的優(yōu)勢， 那就是擁有對設(shè)備的物理控制權(quán)。并且，通常情況下，防守者總是擁有對網(wǎng)絡(luò) 安全體系更為準(zhǔn)確的了解。但是，據(jù)統(tǒng)計約 90%的網(wǎng)站都遭受過網(wǎng)絡(luò)攻擊。 從技術(shù)角度分析，網(wǎng)絡(luò)安全體系失敗的原因有以下幾種原因： 首先，從芯片、操作系統(tǒng)到應(yīng)用程序，任何一個環(huán)節(jié)都可能被開發(fā)者留下“ 后門“。現(xiàn)在的制造技術(shù)水平下，可以在 cpu 芯片中植入無線發(fā)射接收功能；在 操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)或應(yīng)用程序中能夠預(yù)先安置從事情報收集、受控激 發(fā)破壞的程序。這些“內(nèi)奸“，可以接收特殊病毒、 接收來自網(wǎng)絡(luò)或無線電指令 來觸發(fā) cpu 的自殺功能、搜集和發(fā)送敏感信息、將敏感信息隱藏在網(wǎng)絡(luò)協(xié)議層 中傳輸?shù)?。最近揭發(fā)出來的 piii 芯片序列號和 ms office 文檔中隱藏 mac 地址 等內(nèi)幕已經(jīng)告訴了我們許多東西。另外，設(shè)計編程人員為了自便或測試目的也 經(jīng)常設(shè)置一些“后門“。 這些“后門“ 對網(wǎng)絡(luò)安全造成了非常嚴(yán)重的威脅，但對 于普通網(wǎng)絡(luò)運(yùn)行者來說，基本上不能控制。 其次，網(wǎng)絡(luò)設(shè)備和軟件不可能是完美的，在設(shè)計開發(fā)過程中必然會出現(xiàn)缺 陷和漏洞。這些漏洞和缺陷恰恰是黑客進(jìn)行攻擊的目標(biāo)。這些安全漏洞的發(fā)現(xiàn) 依賴于艱辛的測試和研究。國際上現(xiàn)在有許多的研究組、討論組頻繁地公布各 種各樣新發(fā)現(xiàn)的安全漏洞。網(wǎng)絡(luò)安全管理員和黑客通過研究或其它渠道都有可 能率先獲知。網(wǎng)絡(luò)安全體系隨著黑客發(fā)現(xiàn)新的安全漏洞而變得脆弱，同時也隨 著安全管理員首先發(fā)現(xiàn)安全漏洞并及時更改配置彌補(bǔ)而重新變得堅固。其中的 時間差往往是成敗的歸因。這需要網(wǎng)絡(luò)運(yùn)行者投入相當(dāng)?shù)募夹g(shù)力量研究或者購 買相當(dāng)?shù)木W(wǎng)絡(luò)安全服務(wù)。 事實上，對于網(wǎng)絡(luò)企業(yè)網(wǎng)或者 isp 的公網(wǎng)來說，管理的失敗是網(wǎng)絡(luò)安全體 系失敗的非常重要的原因。 最近報道的若干網(wǎng)絡(luò)入侵案件證明了這一點。網(wǎng)絡(luò) 管理員配置不當(dāng)或者網(wǎng)絡(luò)應(yīng)用升級不及時造成的安全漏洞、使用脆弱的用戶口 令、隨意使用普通網(wǎng)絡(luò)站點下載的軟件、在防火墻內(nèi)部架設(shè)撥號服務(wù)器卻沒有 對帳號認(rèn)證等嚴(yán)格限制、用戶安全意識不強(qiáng)，將自己的帳號隨意轉(zhuǎn)借他人或與 別人共享等 等，這些管理落實上的問題都是無論多么精妙的安全策略和網(wǎng)絡(luò)安 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 全體系都不能解決的，都會使網(wǎng) 絡(luò)處于危險之中。 網(wǎng)網(wǎng)絡(luò)絡(luò)安全體系安全體系 安全方案的科學(xué)性、可行性是其順利實施的保障。 安全方案必須架構(gòu)在科學(xué)的安全體系和安全框架之上。安全框架是安全方 案設(shè)計和分析的基礎(chǔ)。 為了系統(tǒng)、科學(xué)地分析安全方案涉及的各種安全問題，在大量調(diào)查研究的 基礎(chǔ)上，我們重點分析、借鑒了提出的三維安全體系結(jié)構(gòu)，并在其基礎(chǔ)上提出 了能夠指導(dǎo)安全方案總體設(shè)計的安全體系（見圖） ，它反映了信息系統(tǒng)安全需求 和體系結(jié)構(gòu)的共性。 協(xié)議層次 安 全 管 理 安 全 管 理 認(rèn) 證 訪 問 控 制 數(shù) 據(jù) 完 整 性 數(shù) 據(jù) 保 密 抗 抵 賴 審 計 可 用 性 安全服務(wù) 通 信 平 臺 網(wǎng) 絡(luò) 平 臺 系 統(tǒng) 平 臺 應(yīng) 用 平 臺 物 理 環(huán) 境 安 理 管 全 層 用 應(yīng) 傳 層 層 層 層 鏈 絡(luò) 網(wǎng) 輸 理 物 路 系統(tǒng)單元 安全體系結(jié)構(gòu)安全體系結(jié)構(gòu) 具體說明如下： 安全體系是一個三維結(jié)構(gòu)： 1. 第一維（x 軸）是安全服務(wù)特性，給出了 7 種安全屬性； 2. 第二維（y 軸）是系統(tǒng)單元，給出了信息網(wǎng)絡(luò)系統(tǒng)的組成； 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 3. 第三維（z 軸）是協(xié)議層次，給出了國際標(biāo)準(zhǔn)化組織 iso 的開放系統(tǒng)互 連（osi）模型。 安全體系的具體模型介紹如下： 安全服安全服務(wù)維務(wù)維 安全服務(wù)具體如下： 1) 身份認(rèn)證，用于確認(rèn)所聲明的身份的有效性； 2) 訪問控制，防止非授權(quán)使用資源或以非授權(quán)的方式使用資源； 3) 數(shù)據(jù)保密，數(shù)據(jù)存儲和傳輸時加密，防止數(shù)據(jù)竊取、竊聽； 4) 數(shù)據(jù)完整，防止數(shù)據(jù)篡改； 5) 不可抵賴，取兩種形式的一種，用于防止發(fā)送者企圖否認(rèn)曾經(jīng)發(fā)送過數(shù) 據(jù)或其內(nèi)容和用以防止接收者對所收到數(shù)據(jù)或內(nèi)容的抗否認(rèn)； 6) 審計管理，設(shè)置審計記錄措施，分析審計記錄； 7) 可用性、可靠性，在系統(tǒng)降級或受到破壞時能使系統(tǒng)繼續(xù)完成其功能， 使得在不利的條件下盡可能少地受到侵害者的破壞。 協(xié)議層協(xié)議層次次維維 協(xié)議層次維由 iso/osi 參考模型的七層構(gòu)成。與 tcp/ip 層次對應(yīng)，可以 把會話層、表示、應(yīng)用層統(tǒng)一為“應(yīng)用層”。 系系統(tǒng)單統(tǒng)單元元維維 系統(tǒng)單元維描述了信息網(wǎng)絡(luò)的各個成分。 1) 通信平臺，信息網(wǎng)絡(luò)的通信平臺； 2) 網(wǎng)絡(luò)平臺，信息網(wǎng)絡(luò)的網(wǎng)絡(luò)系統(tǒng)； 3) 系統(tǒng)平臺，信息網(wǎng)絡(luò)的操作系統(tǒng)平臺； 4) 應(yīng)用平臺，信息網(wǎng)絡(luò)各種應(yīng)用的開發(fā)、運(yùn)行平臺； 5) 物理環(huán)境，信息網(wǎng)絡(luò)運(yùn)行的物理環(huán)境及人員管理。 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 貫穿于上述三個方面，各個層次的是安全管理。通過技術(shù)手段和行政管理 手段，安全管理將涉及到各系統(tǒng)單元在各個協(xié)議層次提供的各種安全服務(wù)。 二二維維安全框架安全框架 上述安全體系給出了一個科學(xué)的信息系統(tǒng)安全解決方案的體系結(jié)構(gòu)。為直 觀起見，同時也為了便于提出可實施的安全方案，我們把這一模型投影到系統(tǒng) 單元平面，并把系統(tǒng)單元分成網(wǎng)絡(luò)平臺和應(yīng)用平臺兩個層次，形成一個二維結(jié) 構(gòu)。投影的方法是把協(xié)議層平面和功能平面折疊到系統(tǒng)單元平面，如圖-2 所示。 這種投影所得到的結(jié)果將直接指導(dǎo)我們網(wǎng)絡(luò)安全方案的設(shè)計和實施。 身份認(rèn) 證 用戶授權(quán) 與訪問控 制 應(yīng)用層安 全通信協(xié) 議 數(shù)字簽名主機(jī)和服 務(wù)的審計 記錄分析 應(yīng)用系統(tǒng)的容 錯容災(zāi)、服務(wù) 管理 應(yīng)用層代理或網(wǎng) 管 電路層防火 墻 (如socks) 傳輸層安 全通信協(xié) 議 包過濾防火 墻 主機(jī)、 路由器 等源發(fā) 認(rèn)證 主機(jī)或路由器 間ipsec等協(xié) 議 第三方公 證 流量分析 入侵檢測 相鄰節(jié) 點間的 認(rèn)證 點到點之 間的鏈路 加密 網(wǎng)絡(luò)結(jié)構(gòu)設(shè) 計， 路由系統(tǒng)安 全， 基礎(chǔ)服務(wù)安 全， 網(wǎng)絡(luò)管理 應(yīng)用層 傳輸層 網(wǎng)絡(luò)層 數(shù)據(jù)鏈 路層與 物理層 應(yīng) 用 系 統(tǒng) 網(wǎng) 絡(luò) 平 臺 認(rèn) 證 訪 問 控 制 數(shù) 據(jù) 完 整 性 數(shù) 據(jù) 保 密 性 抗 抵 賴 審 計 可 用 性 二維安全框架 盡管這一結(jié)構(gòu)反映了信息系統(tǒng)的安全需求，但是沒有反映各種安全服務(wù)之 間的邏輯關(guān)系。因此，我們在圖-3 中給出了各種安全服務(wù)之間的關(guān)系模型。 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 主 體 標(biāo)識/認(rèn)證 完整/保密 訪問控制 審計/抗抵賴 授權(quán)數(shù)據(jù)庫 資 源 之 之之 之之 之之 之之 之之 之之 之之 之之 之之 之之 之之 之之 之 在網(wǎng)絡(luò)不同的協(xié)議層次，盡管網(wǎng)絡(luò)中的實體不同，但都有主體和資源之分。 在網(wǎng)絡(luò)層，主體是客戶機(jī)，資源是服務(wù)器或網(wǎng)絡(luò)服務(wù)。對主體和資源的識別以 服務(wù)器或協(xié)議端口為粒度，認(rèn)證服務(wù)主要指服務(wù)器地址的認(rèn)證。網(wǎng)絡(luò)層的訪問 控制主要指防火墻等過濾機(jī)制。在應(yīng)用層系統(tǒng)中，對主體的認(rèn)證是指用戶身份 認(rèn)證，訪問控制的粒度可以具體到某種操作，如對數(shù)據(jù)項的追加、修改和刪除。 從這一模型可以得出如下結(jié)論：對資源的訪問控制是安全保密的核心，而 對用戶的身份認(rèn)證或服務(wù)器的地址的認(rèn)證是訪問控制的前提。 3網(wǎng)絡(luò)安全元素 物理安全物理安全 物理安全的目的是保護(hù)路由器、交換機(jī)、工作站、各種網(wǎng)絡(luò)服務(wù)器、打 印機(jī)等硬件實體和通信鏈路免受自然災(zāi)害、人為破壞和搭線竊聽攻擊；驗證用 戶的身份和使用權(quán)限、防止用戶越權(quán)操作；確保網(wǎng)絡(luò)設(shè)備有一個良好的電磁兼 容工作環(huán)境；建立完備的機(jī)房安全管理制度，妥善保管備份磁帶和文檔資料； 防止非法人員進(jìn)入機(jī)房進(jìn)行偷竊和破壞活動。 抑制和防止電磁泄漏是物理安全 的一個主要問題。目前主要防護(hù)措施有兩類：一類是對傳導(dǎo)發(fā)射的防護(hù)，主要 采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導(dǎo)線間的交叉 耦合。另一類是對輻射的防護(hù)，這類防護(hù)措施又可分為以下兩種：一是采用各 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 種電磁屏蔽措施，如對設(shè)備的金屬屏蔽和各種接插件的屏蔽，同時對機(jī)房的下 水管、暖氣管和金屬門窗進(jìn)行屏蔽和隔離；二是干擾的防護(hù)措施，即在計算機(jī) 系統(tǒng)工作的同時，利用干擾裝置產(chǎn)生一種與計算機(jī)系統(tǒng)輻射相關(guān)的偽噪聲向空 間輻射來掩蓋計算機(jī)系統(tǒng)的工作頻率和信息特征。 在物理安全方面，internet 網(wǎng)和傳統(tǒng)電信網(wǎng)非常類似。 網(wǎng)網(wǎng)絡(luò)絡(luò)隔離與防火隔離與防火墻墻技技術(shù)術(shù) 網(wǎng)網(wǎng)絡(luò)絡(luò)隔離隔離 根據(jù)功能、保密水平、安全水平等要求的差異將網(wǎng)絡(luò)進(jìn)行分段隔離，對整 個網(wǎng)絡(luò)的安全性有很多好處?？梢詫崿F(xiàn)更為細(xì)化的安全控制體系，將攻擊和入 侵造成的威脅分別限制在較小的子網(wǎng)內(nèi)，提高網(wǎng)絡(luò)整體的安全水平。路由器、 虛擬局域網(wǎng)(vlan)、防火墻是當(dāng)前主要的網(wǎng)絡(luò)分段手段。前面兩種的配置較為 直觀，下面主要分析防火墻技術(shù)。 防火防火墻墻 防火墻在網(wǎng)絡(luò)中的地位與它的名字非常相似，它根據(jù)網(wǎng)絡(luò)安全水平和可信 任關(guān)系將網(wǎng)絡(luò)劃分成一些相對獨立的子網(wǎng)，兩側(cè)間的通信受到防火墻的檢查控 制。它可以根據(jù)即定的安全策略允許特定的用戶和數(shù)據(jù)包穿過，同時將安全策 略不允許的用戶和數(shù)據(jù)包隔斷，達(dá)到保護(hù)高安全等級的子網(wǎng)、阻止墻外黑客的 攻擊、限制入侵蔓延等目的。根據(jù)防火墻的位置，可以分為外部防火墻和內(nèi)部 防火墻。外部防火墻將企業(yè)網(wǎng)與外部因特網(wǎng)隔離開來，而內(nèi)部防火墻的任務(wù)經(jīng) 常是在各個部門子網(wǎng)之間進(jìn)行通信檢查控制。網(wǎng)絡(luò)安全體系不應(yīng)該提供外部系 統(tǒng)跨越安全系統(tǒng)直接到達(dá)受保護(hù)的內(nèi)部網(wǎng)絡(luò)系統(tǒng)的途徑。安全體系在任何情況 下都不應(yīng)該被旁路。 防火墻并不是萬能的，它在很多方面存在弱點。它無法防 止來自防火墻內(nèi)側(cè)的攻擊，對各種已識別類型的攻擊的防御有賴于正確的配置， 對各種最新的攻擊類型的防御取決于防火墻知識庫更新的速度和相應(yīng)的配置更 新的速度。一般來說，防火墻擅長于保護(hù)設(shè)備服務(wù)，而不擅長保護(hù)數(shù)據(jù)。并且， 防火墻可能會導(dǎo)致內(nèi)部網(wǎng)絡(luò)安全管理的松懈。 防火防火墻墻的基本的基本類類型型 實現(xiàn)防火墻的技術(shù)包括兩大類型：包過濾(pf)、應(yīng)用級防火墻。它們之間 各有所長，具體使用哪一種或是否混合使用，要看具體需要。 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 加密與加密與認(rèn)證認(rèn)證 對對稱與不稱與不對對稱加密信息加密的目的稱加密信息加密的目的 對稱與不對稱加密信息加密的目的是保護(hù)網(wǎng)內(nèi)的數(shù)據(jù)、文件、口令和控制 信息，保護(hù)網(wǎng)絡(luò)會話的完整性。 網(wǎng)絡(luò)加密可以在鏈路級、網(wǎng)絡(luò)級、應(yīng)用級等進(jìn)行。信息加密過程是由形形 色色的加密算法來具體實施。據(jù)不完全統(tǒng)計，到目前為止，已經(jīng)公開發(fā)表的各 種加密算法多達(dá)數(shù)百種。如果按照收發(fā)雙方密鑰是否相同來分類，可以將這些 加密算法分為對稱（私鑰）密碼算法和不對稱（公鑰）密碼算法。 在對稱密碼中，加密和解密使用相同的密鑰，即加密密鑰和解密密鑰是相 同或等價的。比較著名的常規(guī)密碼算法有：美國的 des 及其各種變形、歐洲的 idea、rc4、rc5 以及以代換密碼和轉(zhuǎn)輪密碼為代表的古典密碼等。 對稱密碼 的優(yōu)點是有很強(qiáng)的保密強(qiáng)度，且經(jīng)受住時間的檢驗和攻擊，但其密鑰必須通過 安全的途徑傳送。因此，其密鑰管理成為系統(tǒng)安全的重要因素。 在不對稱密碼中，加密和解密使用的密鑰互不相同，而且?guī)缀醪豢赡軓募?密密鑰推導(dǎo)出解密密鑰。比較著名的公鑰密碼算法有：rsa、diffe-hellman 等。 最有影響的公鑰密碼算法是 rsa，它能抵抗到目前為止已知的所有密碼攻擊。 公鑰密碼的優(yōu)點是可以適應(yīng)網(wǎng)絡(luò)的開放性要求，且密鑰管理問題也較為簡單， 尤其可方便的實現(xiàn)數(shù)字簽名和驗證。但其算法復(fù)雜。加密數(shù)據(jù)的速率較低。 盡管如此，隨著現(xiàn)代電子技術(shù)和密碼技術(shù)的發(fā)展，公鑰密碼算法將是一種很有 前途的網(wǎng)絡(luò)安全加密體制。 現(xiàn)在流行的 pgp 和 ssl 等加密技術(shù)將常規(guī)密碼和公鑰密碼結(jié)合在一起使用，利 用 des 或 idea 來加密信息，而采用 rsa 來傳遞會話密鑰。 加密技術(shù)是網(wǎng)絡(luò)安 全最有效的技術(shù)之一。 網(wǎng)網(wǎng)絡(luò)絡(luò)加密加密傳傳送與送與認(rèn)證認(rèn)證 對網(wǎng)絡(luò)用戶的用戶名和口令進(jìn)行驗證是防止非法訪問的第一道防線。用戶 注冊時首先輸入用戶名和口令，服務(wù)器將驗證所輸入的用戶名是否合法。如果 驗證合法，才繼續(xù)驗證用戶輸入的口令，否則，用戶將被拒之網(wǎng)絡(luò)之外。用戶 的口令是用戶入網(wǎng)的關(guān)鍵所在。 為保證口令的安全性，用戶口令不能顯示在顯示屏上，用戶口令通常是經(jīng) 過加密后存儲在主機(jī)系統(tǒng)中的，即使是系統(tǒng)管理員也難以破解。但是，非常遺 憾的是傳統(tǒng)的因特網(wǎng)上傳輸?shù)氖敲魑模?telnet、ftp、http、pop3 等應(yīng)用， 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 這樣網(wǎng)絡(luò)竊聽可以非常容易地得到明文的用戶口令。針對明文網(wǎng)絡(luò)傳輸?shù)娜觞c， 可以采用的加強(qiáng)措施包括： 1. ssh：加強(qiáng) telnet，登錄時的口令加密后傳輸。該軟件網(wǎng)絡(luò)上可以免費獲得。 2. ssl：幾乎可以和大多數(shù)應(yīng)用配合使用。最典型的應(yīng)用是加強(qiáng) http。它 使用公鑰與私鑰結(jié)合的方法，可以抵御重發(fā)（replay）、人中介（man-in- the-middle）、窮舉分析（plain-text）等攻擊。關(guān)于三種攻擊方法的原理 超出了本文的討論范圍。該軟件網(wǎng)絡(luò)上也可以免費獲得。但 ca 證書的申請 一般需要交費。 3. 一次性用戶口令：如 s/key 系統(tǒng)等。這樣即使明文口令被截獲，但由于 下次登錄時系統(tǒng)將使用新口令，而使攻擊無效。 4. pgp：通用的公鑰加密工具?？梢杂脕砑用茈娮余]件、機(jī)密文檔等。安全 性的關(guān)鍵在于私鑰本身的安全性。網(wǎng)絡(luò)上可以免費獲得該軟件的國際版。 5. 自動回呼設(shè)備：撥號服務(wù)器設(shè)定特定用戶對特定電話號碼的自動回?fù)芸?以防止假冒的撥號用戶。多數(shù)撥號服務(wù)器支持該功能。 3.3.3 如何建立 ca 中心 作為 pki 的解決方案決策者，有以下關(guān)鍵的因素影響 ca 的運(yùn)營能否成功。 1. 提供成熟的且經(jīng)受考驗的 ca 技術(shù)。完整的 pki 功能包括證書簽發(fā)、證 書生命周期管理、各種類型證書的處理、全面的系統(tǒng)管理、目錄集成、密鑰管 理等等。在 pki 投入運(yùn)行前，需要確定這些功能在高強(qiáng)度、實時的環(huán)境下不會 有問題。 2. 適用于廣泛應(yīng)用的開放結(jié)構(gòu)。pki 運(yùn)營者需要考慮 pki 是否能集成到所 有的應(yīng)用中，這些應(yīng)用的原有用戶能否很容易地安裝和使用數(shù)字證書 3. 高可靠性和可擴(kuò)展性。需要保證 ca 中心提供 724 的可靠服務(wù)，包括 系統(tǒng)、網(wǎng)絡(luò)、客戶支持、災(zāi)難恢復(fù)等等。需要具備擴(kuò)展性，讓開始很小的系統(tǒng) 能隨著應(yīng)用的擴(kuò)展而支持上百萬的用戶。 4. 安全的運(yùn)營架構(gòu)。不僅在設(shè)施上，而且在策略、資金、法律等方面都需 要建立安全的架構(gòu)。 5. 滿足外部電子商務(wù)的需求。在電子商務(wù)中，pki 需要與外界的認(rèn)證體系 相互操作。 基于服務(wù)的 ca 與自建 ca 在這些成功關(guān)鍵因素方面的對比如表所示。通過 比較可以看出，基于服務(wù)的 ca 在成功運(yùn)作的各個方面，比自建 ca 有著明顯的 優(yōu)勢。 a 證書的發(fā)放與回收 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 為了用戶的網(wǎng)絡(luò)安全，我們會對我們公司的 id 用戶發(fā)放證書，對沒有權(quán)限 的人員或證書遺失的人員采取證書的回收。以保證我們的用戶的網(wǎng)絡(luò)安全。也 就是說沒有安全權(quán)限的人員是不可能進(jìn)入我們公司的網(wǎng)站的。 b ca 機(jī)制設(shè)置 我們的傳輸是經(jīng)過非常安全的加密處理過的，我們的密碼加密已經(jīng)達(dá)到了 120 位，可以說是非常的安全。我們公司的機(jī)制設(shè)置是非常緊密的，目前全國 軟件公司做到這一點的也屈指可數(shù)。 利用利用 ca 實現(xiàn)實現(xiàn)安全公文安全公文傳輸傳輸 我們可以集成第三方提供安全公文 安全電子公文可以采用經(jīng)過國家主管部門鑒定和認(rèn)可的密碼算法和密碼 模塊，如 pci 數(shù)據(jù)密碼卡、usb 數(shù)據(jù)密碼機(jī)、pcmcia 安全 pc 卡等，綜合運(yùn)用對 稱和非對稱密碼體制，結(jié)合數(shù)字證書、數(shù)字信封、電子蓋章、身份認(rèn)證、授權(quán) 訪問等安全技術(shù)，對電子公文和電子印章的存儲、傳輸和使用進(jìn)行全程加解密 和簽名驗證。同時，采用國辦認(rèn)可的方正 ceb 及國際通行的 adobe pdf 作為公 文交換的標(biāo)準(zhǔn)格式，能夠有效保證公文的嚴(yán)肅性、保密性和真實性，真正滿足 了通過網(wǎng)絡(luò)傳輸公文時所要求的準(zhǔn)確、及時、安全、保密等條件，可以廣泛應(yīng) 用于黨政機(jī)關(guān)和企事業(yè)單位的公文交換、傳輸領(lǐng)域。 安全電子公文中特別強(qiáng)調(diào)了安全性，體現(xiàn)在以下幾個方面： 采用專用硬件密碼設(shè)備，保護(hù)電子公文、電子印章等數(shù)據(jù)的保密性， 確保信息不被非授權(quán)竊取或泄漏； 采用專用硬件密碼設(shè)備，保護(hù)公文等數(shù)據(jù)信息的完整性，確保信息不 被非法篡改、刪除、丟失或重放； 能夠確保用戶身份可鑒別和信息不可偽造； 能夠確保只有經(jīng)過授權(quán)的合法用戶才能使用電子印章； 能夠確保收發(fā)文行為的不可否認(rèn)性； 能夠保證起草、用印、審核、打印等諸多環(huán)節(jié)的安全性，防止了篡改 草稿、非授權(quán)獲得電子印章、打印超過規(guī)定數(shù)量的公文等安全漏洞。 系統(tǒng)組成 實現(xiàn)整個安全電子公文系統(tǒng)包括以下組成部分： 公文交換服務(wù)器； 公文交換客戶端； 密鑰管理系統(tǒng)； 證書管理工具； 印章制作工具； 終端密碼模塊； 高精度掃描儀； 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 高清晰彩色打印機(jī)。 其中，公文交換服務(wù)器完成公文傳輸與交換相關(guān)的業(yè)務(wù)流程；公文交換客 戶端是用戶進(jìn)行公文處理的平臺，用戶在公文交換客戶端完成收發(fā)文操作；密 鑰管理系統(tǒng)主要用于產(chǎn)生和分發(fā)密鑰，并對用戶信息和密鑰進(jìn)行管理，包括用 戶 ic 卡的分發(fā)、用戶證書的生成以及密鑰的備份、恢復(fù)等；證書管理工具主要 完成個人證書的管理，包括導(dǎo)入導(dǎo)出個人證書、驗證證書等功能；印章制作工 具對電子印章進(jìn)行統(tǒng)一的制作、分發(fā)和管理；終端密碼模塊用于完成所需要的 密碼運(yùn)算服務(wù)，包括對印章加密和簽名、對公文加密和簽名等；高精度掃描儀 用于把紙質(zhì)的印章圖案掃描成圖形文件以及把紙質(zhì)的公文文件通過掃描轉(zhuǎn)換為 圖片文件；高清晰彩色打印機(jī)用于打印收到的公文。 在安全電子公文系統(tǒng)中，一次完整的公文辦理流程如下圖所示： 打字員 審核人 蓋章人 公文接收員 公文受控使用 起草公文并上傳到服務(wù)器上 公文交換服務(wù)器 a 公文交換服務(wù)器 b 審核公文內(nèi)容，并 指定公文 的接收人以及使用的電子印章 對已審核過的公文加蓋指定 的電子印章，并加密后傳遞 公文通過網(wǎng)絡(luò)傳遞 解密驗證公文的完整性和合 法性，并發(fā)送回執(zhí)給發(fā)文方 公文發(fā)送單位 公文接收單位 生成便于傳閱和歸檔的黑章 電子公文（ceb 或 pdf 格式） 內(nèi)部辦公（oa） 服務(wù)器 打印生成正式公文 圖.公文辦理流程圖 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 從圖中可以看出，這里的公文的辦理流程，涉及到公文發(fā)送和公文接收兩 個流程。其中，公文發(fā)送流程包含四個關(guān)鍵環(huán)節(jié)，分別是上傳公文、公文審核、 電子蓋章和公文發(fā)送。公文接收流程包含三個關(guān)鍵環(huán)節(jié)，分別是驗證公文并發(fā) 送回執(zhí)、公文打印和生成黑章公文。 3.4 備份與恢復(fù) 備份磁帶是在網(wǎng)絡(luò)系統(tǒng)由于各種原因出現(xiàn)災(zāi)難事件時最為重要的恢復(fù)和分 析的手段和依據(jù)。網(wǎng)絡(luò)運(yùn)行部門應(yīng)該制定完整的系統(tǒng)備份計劃，并嚴(yán)格實施。 備份計劃中應(yīng)包括網(wǎng)絡(luò)系統(tǒng)和用戶數(shù)據(jù)備份、完全和增量備份的頻度和責(zé)任人。 備份數(shù)據(jù)磁帶的物理安全是整個網(wǎng)絡(luò)安全體系中最重要的環(huán)節(jié)之一。通過 備份磁帶，一方面可以恢復(fù)被破壞的系統(tǒng)和數(shù)據(jù)；另一方面，通過恢復(fù)磁帶數(shù) 據(jù)，攻擊者也可以獲得系統(tǒng)的重要數(shù)據(jù)，例如系統(tǒng)加密口令、數(shù)據(jù)庫各種存檔 以及用戶其它數(shù)據(jù)，從而為正面進(jìn)攻網(wǎng)絡(luò)系統(tǒng)獲得入手點。甚至，通過恢復(fù)備 份數(shù)據(jù)，攻擊者已經(jīng)獲得足夠的數(shù)據(jù)，使得入侵網(wǎng)絡(luò)已無必要，直接造成重要 失密事件。 定期地檢驗備份磁帶的有效性也非常重要。機(jī)械地定期備份，到急需恢復(fù) 數(shù)據(jù)時發(fā)現(xiàn)磁帶數(shù)據(jù)損壞不管怎樣也是一件非常讓人氣憤的事。所以，定期的 恢復(fù)演習(xí)是對備份數(shù)據(jù)有效性的有力鑒定，同時也是對網(wǎng)管人員數(shù)據(jù)恢復(fù)技術(shù) 操作的演練，作到遇問題不慌，從容應(yīng)付，保障網(wǎng)絡(luò)服務(wù)的提供。 數(shù)據(jù)數(shù)據(jù)級備級備份份 數(shù)據(jù)級備份就是備份我們系統(tǒng)上的初始化數(shù)據(jù)，我們建議用戶在使用我們 系統(tǒng)的時候，經(jīng)常的備份我們的數(shù)據(jù)，保證我們的系統(tǒng)在崩潰的時候可以恢復(fù) 數(shù)據(jù)。 系系統(tǒng)級備統(tǒng)級備份份 系統(tǒng)級備份就是把我們的系統(tǒng)的文件全部的備份下來，我們系統(tǒng)崩潰的時 候可以直接的啟動我們的系統(tǒng)備份文件。 我再補(bǔ)充一點，我們的系統(tǒng)崩潰的機(jī)率很小，至少我們現(xiàn)在還沒有發(fā)現(xiàn)我 們的系統(tǒng)崩潰。 “最小授最小授權(quán)權(quán)“原原則則 從網(wǎng)絡(luò)安全的角度考慮問題，打開的服務(wù)越多，可能出現(xiàn)的安全漏洞就會 越多。“最小授權(quán)“原則指得是網(wǎng)絡(luò)中帳號設(shè)置、服務(wù)配置、主機(jī)間信任關(guān)系配 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 置等應(yīng)該為網(wǎng)絡(luò)正常運(yùn)行所需的最小限度。關(guān)閉網(wǎng)絡(luò)安全策略中沒有定義的網(wǎng) 絡(luò)服務(wù)并將用戶的權(quán)限配置為策略定義的最小限度、及時刪除不必要的帳號等 措施可以將系統(tǒng)的危險性大大降低。在沒有明確的安全策略的網(wǎng)絡(luò)環(huán)境中，網(wǎng) 絡(luò)安全管理員通過簡單關(guān)閉不必要或者不了解的網(wǎng)絡(luò)服務(wù)、刪除主機(jī)信任關(guān)系、 及時刪除不必要的帳號等手段也可以將入侵危險降低一半以上。 當(dāng)前最為簡單、流行的攻擊手段包括主機(jī)掃描、端口掃描、用戶掃描、猜 口令、緩沖區(qū)溢出等一系列手段。 但是普通版本 unix 的標(biāo)準(zhǔn)配置中卻缺少限制特定地址訪問特定服務(wù)的 功能，例如根據(jù)網(wǎng)絡(luò)安全策略，可能只能允許某個 ip 地址使用 telnet 服務(wù)， 另一個子網(wǎng)用戶可以使用 ftp 服務(wù)。 “最小授權(quán)“原則雖然只是一個思想原則，但是通過具體實現(xiàn)可以以最小的 代價迅速地大大加強(qiáng)網(wǎng)絡(luò)安全水平。所以將其獨立列為網(wǎng)絡(luò)安全的一個重要元 素。 依據(jù)依據(jù) ca 的授的授權(quán)權(quán)機(jī)制機(jī)制 操作系操作系統(tǒng)統(tǒng)的授的授權(quán)權(quán)機(jī)制機(jī)制 系系統(tǒng)統(tǒng)的授的授權(quán)權(quán)保保證證 4 網(wǎng)絡(luò)安全的實現(xiàn) 沒有絕對的網(wǎng)絡(luò)安全。不同屬性的網(wǎng)絡(luò)具有不同的安全需求。國家安全、 軍事等網(wǎng)絡(luò)對于前面所述的三種威脅都適用，需要調(diào)動整個國家的技術(shù)力量來 研究專門的網(wǎng)絡(luò)安全技術(shù)。對于 isp 網(wǎng)絡(luò)和企業(yè)網(wǎng)，對于上面論述的網(wǎng)絡(luò)安全 幾個重要元素，受投資規(guī)模的限制，不可能全部最高強(qiáng)度的實施，但是正確的 做法是分析網(wǎng)絡(luò)中最為脆弱的部分而著重解決，將有限的資金用在最為關(guān)鍵的 地方。這有賴于網(wǎng)絡(luò)安全策略分析的充分投入。本文認(rèn)為實現(xiàn)整體網(wǎng)絡(luò)安全包 括三個要素：完備適當(dāng)?shù)木W(wǎng)絡(luò)安全策略、高水平的網(wǎng)絡(luò)安全技術(shù)隊伍、嚴(yán)格的 管理落實。 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 完完備備適當(dāng)?shù)木W(wǎng)適當(dāng)?shù)木W(wǎng)絡(luò)絡(luò)安全策略安全策略 對于網(wǎng)絡(luò)的建設(shè)者和運(yùn)行者來說，實現(xiàn)安全的第一要務(wù)是明確本網(wǎng)的業(yè)務(wù) 定位、提供的服務(wù)類型和提供服務(wù)的對象。這些數(shù)據(jù)直接影響到安全策略的制 定和實施過程。對于較大規(guī)模的企業(yè)網(wǎng)和 isp 網(wǎng)絡(luò)，運(yùn)行者應(yīng)該有自己的網(wǎng)絡(luò) 安全技術(shù)專家，它們直接參與工程的設(shè)計、談判、運(yùn)行,擁有對整體網(wǎng)絡(luò)拓?fù)浜?服務(wù)非常透徹的了解。這樣可以保證網(wǎng)絡(luò)安全策略自始至終的連續(xù)性。 網(wǎng)絡(luò)安全的技術(shù)研究國內(nèi)起步較晚，雖然目前許多網(wǎng)絡(luò)專家開始注意并研究相 關(guān)的技術(shù)，但是總體來說網(wǎng)絡(luò)安全技術(shù)的專門人才還比較缺乏。因此多數(shù)網(wǎng)絡(luò) 的建設(shè)者和運(yùn)行者并不擁有相應(yīng)的技術(shù)力量。這時，購買市場上的網(wǎng)絡(luò)安全服 務(wù)是比較明智的策略。例如，網(wǎng)絡(luò)安全風(fēng)險評估、網(wǎng)絡(luò)設(shè)計安全評估、網(wǎng)絡(luò)安 全維護(hù)等服務(wù)。其中第一項在發(fā)達(dá)國家已經(jīng)非常普遍。許多大的網(wǎng)絡(luò)公司也雇 傭?qū)ｉT的安全評估小組對其網(wǎng)絡(luò)進(jìn)行模擬攻擊，以求避免類似“不識廬山真面目， 只緣身在此山中“的效果。多方位、多角度地考察網(wǎng)絡(luò)安全漏洞和弱點是提高網(wǎng) 絡(luò)安全水平的重要保證。 l、機(jī)房設(shè)備和數(shù)據(jù)的物理安全及其保障 這一項與傳統(tǒng)電信網(wǎng)類似。 2、網(wǎng)絡(luò)安全管理職能的分割與責(zé)任分擔(dān) 責(zé)任明確化、具體化永遠(yuǎn)是有力的實施手段。如果運(yùn)維人力資源允許，將網(wǎng)絡(luò) 的安全維護(hù)、系統(tǒng)和數(shù)據(jù)備份、軟件配置和升級等責(zé)任具體到網(wǎng)管人員，實行 包機(jī)制度和機(jī)歷本制度等，保證責(zé)任人之間的備份和替換關(guān)系。一般來說，不 可能網(wǎng)管安全責(zé)任人全部具有非常高的安全技術(shù)水平，同時出于人力資源的考 慮，設(shè)立網(wǎng)絡(luò)安全技術(shù)支援小組，將技術(shù)的跟蹤研究與措施的具體實施分割開 來是一種較為經(jīng)濟(jì)的考慮。 不同于電信網(wǎng)應(yīng)用軟件管理的特點，internet 網(wǎng)的軟件升級是非常頻繁和細(xì)碎 的事情。軟件升級的目的除了提供新得功能以外，就是彌補(bǔ)過去的安全漏洞。 所以往往需要網(wǎng)管人員經(jīng)常及時地更新和升級軟件。這應(yīng)該列為網(wǎng)管人員的重 要責(zé)任之一。 3、用戶的權(quán)利分級和責(zé)任 各種用戶應(yīng)該享受的服務(wù)種類；用戶在享受服務(wù)的同時，應(yīng)該承當(dāng)?shù)牧x務(wù)范圍； 對發(fā)現(xiàn)有惡意使用網(wǎng)絡(luò)、利用網(wǎng)絡(luò)騷擾攻擊其它網(wǎng)絡(luò)或用戶的使用者應(yīng)該采取 的處理辦法。 4、攻擊和入侵應(yīng)急處理流程和災(zāi)難恢復(fù)計劃 發(fā)現(xiàn)黑客入侵后的處理流程，該問題與安全運(yùn)行級別和安全故障等級的劃分直 接相關(guān)。流程應(yīng)該保證發(fā)現(xiàn)入侵后不使入侵造成的損失擴(kuò)大，不會造成運(yùn)行的 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 混亂，及時得到安全技術(shù)人員的支持，某種等級的安全故障必須向上級主管部 門匯報等等。 5、口令安全管理 包括口令的選取、保存、更改周期、定期檢查、保密等內(nèi)容。 網(wǎng)絡(luò)安全策略就是企業(yè)安全工作的法律，任何用戶和管理員都必須遵守。發(fā)現(xiàn) 問題要立即糾正。安全工作要作到有法可依、有法必依、違法必糾。 高水平的網(wǎng)高水平的網(wǎng)絡(luò)絡(luò)安全技安全技術(shù)隊術(shù)隊伍伍 安全技術(shù)力量的形成首先必須是專業(yè)化。抽調(diào)專門的技術(shù)人員專門從事企 業(yè)的網(wǎng)絡(luò)安全建設(shè)和管理?？梢韵葟妮^小的核心開始，通過各種渠道呼吁、宣 傳、教育，提高各級領(lǐng)導(dǎo)對網(wǎng)絡(luò)安全問題的重視程度，向大家演示黑客攻擊的 現(xiàn)實威脅是一種有效的辦法。使領(lǐng)導(dǎo)層、管理層和技術(shù)人員大家形成一個共識： 網(wǎng)絡(luò)安全工作非常重要，投資是必要的。 其次，逐步加強(qiáng)安全工作核心小組的實力。根據(jù)企業(yè)使用的技術(shù)種類和以 后的發(fā)展方向，形成一定的內(nèi)部研究分工，比如 unix、nt、路由、數(shù)據(jù)庫和其 它應(yīng)用、國際相關(guān)討論組、以及上述的各種網(wǎng)絡(luò)安全元素等。在技術(shù)上保證不 落后國際領(lǐng)先水平很遠(yuǎn)，以電話、電子郵件或者 bbs 的方式為全網(wǎng)提供普遍的 技術(shù)咨詢和技術(shù)支持，對本網(wǎng)和客戶技術(shù)人員提供培訓(xùn)服務(wù)，在建設(shè)和維護(hù)上 為領(lǐng)導(dǎo)決策提供網(wǎng)絡(luò)安全方面的參考。 再次，繼續(xù)充實安全技術(shù)隊伍，形成自己的安全技術(shù)特長，承擔(dān)國家重大網(wǎng)絡(luò) 安全研究應(yīng)用任務(wù)。 建立建立專業(yè)專業(yè)的的 ca 中心中心 運(yùn)作一個 ca 系統(tǒng)的關(guān)鍵 由于網(wǎng)上交易是實時在線的，對于建立并運(yùn)營 ca 系統(tǒng)的企業(yè)，必須滿足用 戶對高可靠、高安全服務(wù)的要求。從用戶的角度看，一個成功的 ca 意味著較容 易地獲得數(shù)字證書，能夠在訪問控制、信息加密、安全交易等商業(yè)應(yīng)用中方便 地使用這些數(shù)字證書。從企業(yè)的角度來看，運(yùn)營 pki 意味著為用戶提供一個可 信的在線服務(wù)。 我們可以建立我們專業(yè)的 ca 中心 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 管理、管理、管理管理、管理、管理 即使是一個完美的安全策略，如果得不到很好的實施，也是空紙一張。一 般來說，安全與方便通常是互相矛盾的。據(jù)反映，有些網(wǎng)絡(luò)安全專家雖然知道 自己網(wǎng)絡(luò)中存在的安全漏洞以及可能招致的攻擊，但是出于管理協(xié)調(diào)方面的問 題，卻無法去更正。因為是大家一起在管理使用一個網(wǎng)絡(luò)，包括用戶數(shù)據(jù)更新 管理、路由政策管理、數(shù)據(jù)流量統(tǒng)計管理、新服務(wù)開發(fā)管理、域名和地址管理 等等。網(wǎng)絡(luò)安全管理只是其中的一部分，并且在服務(wù)層次上，處于對其它管理 提供服務(wù)的地位上。這樣，在與其它管理服務(wù)存在沖突的時候，網(wǎng)絡(luò)安全往往 需要作出讓步。 流于形式是安全管理失敗的主要原因。筆者作為安全管理員期間，在多個公共 服務(wù)器用戶的目錄中都曾經(jīng)發(fā)現(xiàn)管理單位發(fā)給用戶的警告文件，內(nèi)容大致是不 要使用簡單單詞作為自己的口令，尤其不要使用用戶名做口令以及其它注意事 項。但是，這樣的警告是否起作用了呢？事實上，相當(dāng)部分用戶從來沒有登錄 過，當(dāng)然也就根本沒有看到過該警告。在相當(dāng)部分公共服務(wù)主機(jī)上，使用脆弱 口令的用戶往往超過 10%，有些站點甚至超過 30%。這通常關(guān)系到各地數(shù)據(jù)業(yè)務(wù) 部門為用戶初始化口令時的安全政策，有的初始化成了用戶名，有的初始化成 了統(tǒng)一口令（如 123456），同時沒有保證用戶及時修改的措施。于是，上面的 警告和口令安全策略也就流于形式，根本沒有起到加強(qiáng)網(wǎng)絡(luò)安全的作用。 管理落實是實現(xiàn)網(wǎng)絡(luò)安全的關(guān)鍵。 5我們公司的安全策略 客客戶戶可能面可能面臨臨的網(wǎng)的網(wǎng)絡(luò)絡(luò)安全安全隱隱患患 客戶在使用我們的軟件的時候，可能會遇到一些安全隱患，譬如： 客戶的密碼可能丟失，密碼被別人修改，造成客戶不能進(jìn)入我們的系統(tǒng)， 并且客戶的個人資料可能被別人竊取，這樣就給單位和個人造成了很大的不不 必要損失。 公司公司對對客客戶戶安全使用的控制安全使用的控制級別級別 我們公司對客戶有一定的控制，以驗證客戶的權(quán)限。客戶的上傳和下載要 有驗證的權(quán)限，這個權(quán)限是只有我們的 id 用戶才有。我們要在我們公司的網(wǎng)站 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 上核實客戶的 id 權(quán)限。 我我們們公司目前可以公司目前可以為為客客戶戶解決的安全解決的安全問題問題 （1） 我們對每一個客戶都有用戶 id 的驗證，只有通過我們驗證的用戶才可以 登陸我們的系統(tǒng)。沒有通過驗證的人員是無法進(jìn)入我們的系統(tǒng)的。 （2） 我們公司在 ca 認(rèn)證方面已經(jīng)達(dá)到了 128 位加密。 （3） 在公司的內(nèi)部我們采用了 ip 和用戶名之間的綁定。 （4） 在公司的外網(wǎng)，我們采用了一定區(qū)域內(nèi)的 ip 和用戶名之間的綁定，我們 還對加密狗進(jìn)行加密，這樣就更加保障了我們公司的網(wǎng)絡(luò)安全。 （5） 我們公司在對付一些人員和網(wǎng)絡(luò)黑客對我們公司員工密碼的攻擊和猜測 上作到了反攻擊和反猜測，我們還把輸入密碼錯誤后的滯留時間控制為 1 秒鐘，這樣一來不管對方的計算機(jī)再快，也無發(fā)在短時間內(nèi)攻擊我們 的軟件。 （6） 如果您認(rèn)為這樣還不夠安全我們還可以給公司的領(lǐng)導(dǎo)配一個個人使用的 加密狗。用戶必須要有我們公司提供的與您的用戶名和密碼匹配的加密 狗才可以遠(yuǎn)程登陸。這樣實現(xiàn)后，就算用戶的密碼被盜，但沒有加密狗， 也沒有辦法登陸到服務(wù)器上。如果加密狗也同時被盜，只要用戶及時的 把加密狗掛失，我們就會取消該加密狗的所有權(quán)限，該用戶的登陸名和 密碼也會及時作廢。這樣就沒有人可以登陸您的帳號，使您個人和公司 的信息資料都得到了保障。 ut2apodfxxc02gybkskcww97mrqqwhoj5tl15zt6jipyytycummtarp3v1n5luizi3xh3bhwyreko8d9g7nmzqowpjetldrw08gvs8dsdqqygc3ce7moo2tlf0jf1gk74iuxybmtivr97ckrfvqult5fn2t6mpjr6rbzvpsortzvij5nb5ndvvsr4iwr1t