企业内部信息系统安全浅析

摘要：随着企业的发展，企业内部的信息化要求越来越高，信息系统安全逐渐受到重视。本文从网络安全、病毒防护、主机系统安全三方面对信息系统的安全进行分析，并对实现技术进行了探讨。

关键词：网络安全；病毒防护；主机安全

中图分类号：TP393文献标识码：A文章编号：1009-3044(2007)05-11353-02

1 引言

随着网络技术的发展,电信企业的内部网络（DCN）覆盖范围越来越大，网上应用系统不断增多。已有的内部信息系统包括综合业务支撑系统、计费帐务系统、本地网联机工单系统、本地网“112”自动障碍系统、本地网客户服务系统、“180”系统、大客户管理系统、办公自动化系统、财务管理系统、维护资源管理系统、本地网管监控系统、物资管理系统等。随着网络平台的扩大和网上应用的增加，原有的安全隐患也不断暴露出来，迫切需要加强网络信息安全。

可以把网络信息安全技术分为以下几方面：网络安全、病毒防护和主机系统（服务器）安全等。

2 网络安全的实现

目前，保护内部网免遭外部入侵的比较有效的方法为防火墙技术。网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络互联设备。它是一个系统或一组系统，在企业内部网与Internet间执行一定的安全策略。一个有效的防火墙应该能够确保：所有从Internet流入或流向Internet的信息都将经过防火墙；所有流经防火墙的信息都应接受检查。它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。可以采取如下两种之一理念来定义防火墙应遵循的准则：其一、未经说明允可的就是拒绝。防火墙阻塞所有流经的信息，每一个服务请求或应用的实现都基于逐项审查的基础上。这是一个值得推荐的方法，它将创建一个非常安全的环境。当然，该理念的不足在于过于强调安全而减弱了可用性，限制了用户可以申请的服务的数量；其二、未说明拒绝的均为许可的。约定防火墙总是传递所有的信息，此方式认定每一个潜在的危害总是可以基于逐项审查而被杜绝。当然，该理念的不足在于它将可用性置于比安全更为重要的地位，增加了保证私有网安全性的难度。目前的防火墙产品主要有堡垒主机、包过滤路由器、应用层网关（服务器）以及电路层网关、屏蔽主机防火墙、双宿主机等类型。

那么我们究竟应该在哪些地方部署防火墙呢？首先，应该安装防火墙的位置是公司内部网络与外部Internet的接口处，以阻挡来自外部网络的入侵；其次，在各个VLAN之间设置防火墙，如果有条件，还应该同时将总部与各分支机构的重要部门组成虚拟专用网(VPN)，第三，各重要应用系统的入口处也应该设置防火墙，如计费帐务系统、资源管理系统和综合业务支撑系统等。安装防火墙的基本原则是：只要有恶意侵入的可能，无论是内部网络还是与外部公网的连接处，都应该安装防火墙。

虽然防火墙是目前保护网络免遭黑客袭击的有效手段，但也有明显不足：无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变节者和不经心的用户们带来的威胁，也不能完全防止传送已感染病毒的软件或文件，以及无法防范数据驱动型的攻击。

3 网络病毒防护

目前，病毒到底有多少？各反病毒公司说法不一。随着计算机的不断发展，和历史原因，以及软件、硬件上技术的垄断与操作系统、办公集成系统在习惯上根深蒂固的垄断及延续，造成了计算机所固有的脆弱性。DCN上病毒泛滥已成为一种共识。所以，我们必须加强反病毒手段的研究和全方位信息安全的研究。

病毒都具有一定的基本特性，这些基本特性主要指的是病毒的传染性、繁殖性、破坏性、恶作剧等表现，这是普通病毒所应具备的基本特性。在互联网时代，病毒会在互联网上通过一台机器自动传播到另一台机器上，一台机器中只有一个蠕虫病毒，当然，也有的蠕虫可以在当前机器中感染大量文件。我们必须正视如下现实：(1)防病毒软硬件不可能自动防今后一切病毒；(2)查解病毒软硬件不可能自动查解今后一切病毒而又能正确自动恢复被这些新病毒感染的文件；(3)防、查、解病毒软件和硬件，如果其对付的病毒种类越多，越会有误查误报现象，也不排除有误解或解坏现象。所以，杀病毒时，用户应遵循一查找、二备份、三解除的原则；(4)目前的防、查、解病毒软件和硬件是易耗品， 必须经常更新、升级或自我升级。

对病毒的防治应该遵循如下原则：

(1)制定安全策略：一定要端正态度，不要以为安装了杀病毒软件就没事了；要根据信息系统的价值选用适当的防火墙产品，进行适度的投资；要保持产品的连续使用性，做到物尽其用，可以找专业的安全公司进行第三方安全建议评估，进行监理，保护投资；另处应建立应急方案，如果遇到紧急情况应怎么办，是否可以实现紧急救援，这点是很重要的。

(2)在安全管理上下功夫：对用户进行专业的安全讲座，提高用户的安全观念；建立安全制度，“三分技术，七分管理”，可以看出管理的重要性，所有必须通过一个安全制度来落实。

(3)用安全技术做支撑，要求具备如下安全技术：1、数据备份与恢复:包括本地备份，异地备份，数据如何最快的恢复等等；2、硬盘数据修复技术：对于硬盘上的数据如何修复等等。

病毒防护是一项长期的工作，需要所有微机使用者的共同努力。作为系统维护和管理人员应致力于提高大家的防病毒意识和防病毒能力，在网络上使用防病毒服务器并实时进行升级。建议采用如下策略进行病毒防护：1、经常跟随微软进行安全升级；2、随时保证病毒防火墙的打开，定期升级病毒代码库；3、下载或邮件附件存盘后用杀毒软件查毒再执行；4、共享目录要加口令保护；5、数据要多台，多处备份；6、经常查看Windows系统中自启动项的程序；7、如能够使用英文操作系统尽量使用英文操作系统。

4 主机系统安全

防火墙的最大缺点就是它的防外不防内的特点，而服务器经常是对外提供服务，这样实际上防火墙并不能从根本上解决主机安全问题。操作系统本身虽然提供了一些安全措施，但是其功能非常有限，并且经常存在各种漏洞，这只有经验丰富的系统管理员才能保证操作系统的安全。因此，如何保证主机安全，同时防止内、外非法用户的攻击就成为我们当前信息系统建设中一个至关重要的问题。

计算机安全通常与三个方面相关，它们可以简写为“ CIA”：

保密性（Confidentiality）―确保信息不被非授权用户访问。

完整性（Integrity）―确保信息不被未授权用户更改，但对授权用户开放。

确定性（Authentication）―确保用户就是它所声明的使用者。

一个强壮的安全协议强调所有这三个方面。例如Netscape的SSL（Secure Sockets Layer）协议能够发现哪些是真正可信的（更确切地说是不可信的）。SSL克服了事务处理中缺少可信度的问题，如通过译码确保保密性，通过校验和来确保完整性，通过服务器认证保证确定性。

计算机安全并不限于这三个概念。在为计算机安全分类时还有一些需要考虑：

访问控制―确保用户仅能访问那些被授权访问的资源和服务，使有资格的用户能够使用他们想得到的合法服务。

无可拒认―确保消息的发出者不能拒认发送消息的事实[9]。

可用性―保证一个系统在给定时刻是可以正常操作的，通常通过冗余来提供；失去可用性通常指“拒绝服务”。

隐私权―保证个人拥有控制自己信息的权利，如怎样使用，谁能够使用，谁来维护和为了什么目的使用等。

4.1 系统目标

主机安全系统应实现下列目标：

①把整个系统的用户根据需要分为不同级别；不同级别的用户享有对系统的文件、数据、网络、进程等资源的权限，并进行记费管理；还可根据不同的用户设置不同的安全策略，将超级用户的权限细化（可分为系统管理员、安全管理员、数据库管理员、用户管理员等）[1]。

②所有用户的登录都要进行认证，并且用户和主机之间的关键信息的传输，都采取加密的方式进行传输。

③对访问系统的数据包进行分析，整个系统应能识别合法数据包和非法数据包；并可设置合法及非法地址的访问；建设攻击特征库，力图实现智能化，争取实现自学习能力，不断增强识别包内容的能力。

④应能克服操作系统本身存在的漏洞，防止TROJAN 和系统的后门，不断发现新的漏洞并进行补救。

⑤能对系统用户的行为进行跟踪，确保其对自己的行为负责，预测并阻止其非法行为对系统造成的损害。

4.2 系统的设计原则

主机安全系统的设计按下列原则进行详细的描述：①不修改系统内核程序；②系统的安装和拆卸不停机；③用户的进入不需要繁琐的输入；④是一种预防和保卫系统，但不影响访问信息和资源的方便性。

下面对整个系统结构进行详细描述：

安全管理员主要有两个工作界面，一个就是整个系统的安全策略管理（相当于一个防火墙，对来访或出去的数据的协议，端口，来源等做限制）；另外一个就是对系统的用户的管理界面（包括用户级别的管理、权利管理。在实现上有两个模块：对主机上资源的访问控制和对网络资源的访问控制）。

安全特征数据库是系统的一个关键部件，系统具有一个安全数据库，不断的补充新发现的网络安全漏洞，攻击手段和系统漏洞。

如下图所示，系统包含用户认证、安全检查、用户访问控制（包括外部资源访问控制、内部资源访问控制）等部件，各模块主要功能如下：

主机网络安全系统结构

用户认证是对访问系统的用户进行比现有的操作系统所提供的口令认证更高安全性的认证。

安全检查中包括对外部进来的可疑信息的检查、对系统漏洞的补救、发现并防止攻击。它还执行一部分防火墙的执能，对系统与网络之间的数据报交换进行相应控制（可以根据IP和端口号）。

用户访问控制对系统的用户权限进行更加详细的划分，并对用户的行为进行跟踪、非法行为的发现和控制。它主要包括两个模块：内部资源访问控制和外部资源访问控制。

内部资源访问控制：主要是对内部合法用户的权限进行限制，规范用户的行为。包括对用户的权限进行详细的分类控制，跟踪（这一部分是执行传统的IDS）并阻止非法行为，防止用户利用系统存在的安全漏洞所进行的攻击。

外部资源访问控制：对用户访问系统之外信息资源（网络上其他资源）的控制，并进行计费管理。

主控制模块是对安全检查的策略和用户的访问控制进行设置，同时也可以提供WWW服务，便于远程安全管理员进行设置。

5 结束语

随着网络攻击手段不断多样化，简单的采用多种孤立的安全手段已不能满足我们的需求。企业内部信息系统安全应对内部网络上各种可能发生的攻击进行安全防护，结合了主机的网络特性和操作系统特性，为各信息系统提供更为完善的保护。随着网络技术的发展，内部信息系统安全技术在计算机安全领域将占有越来越重要的地位。

参考文献：

[1]余巍，等. Unix系统的安全研究[J]. 微电脑世界，1997.5.

本文中所涉及到的图表、注解、公式等内容请以PDF格式阅读原文。