企业网络信息安全解决方案.docx

企业网络信息安全解决方案一、信息安全化定义企业信息安全管理即针对当前企业面临的病毒泛滥、黑客入侵、恶意软件、 信息失控等复杂的应用环境制定相应的防御措施，保护企业信息和企业信息系统 不被未经授权的访问、使用、泄露、中断、修改和破坏，为企业信息和企业信息 系统提供保密性、完整性、真实性、可用性、不可否认性服务。简而言之，使非 法者看不了、改不了信息，系统瘫不了、信息假不了、行为赖不了。二、企业信息安全管理现状当前企业在信息安全管理中普遍面临的问题：(1) 缺乏来自法律规范的推动力和约束；(2) 安全管理缺乏系统管理的思想。被动应付多于主动防御，没有做前期的 预防，而是出现问题才去想补救的办法，不是建立在风险评估基础上的动态的持 续改进的管理方法；(3) 重视安全技术，忽视安全管理。企业愿意在防火墙等安全技术上投资， 而相应的管理水平、手段没有体现，包括管理的技术和流程，以及员工的管理；(4) 在安全管理中不够重视人的因素；(5 )缺乏懂得管理的信息安全技术人员；(6)企业安全意识不强，员工接受的教育和培训不够。三、企业信息安全管理产品建立完善的企业信息安全管理系统，必须内外兼修，一方面要防止外部入侵， 另一方面也要防范内部人员泄密可能。所以在选择企业信息安全管理产品时，必 须是一个完整的体系结构。目前，在市场上比较流行，而又能够代表未来发展方 向的安全产品大致有以下几类：用户身份认证，如静态密码、动态密码(短信密 码、动态口令牌、手机令牌)、USB KEY、IC卡、数字证书、指纹虹膜等。防火墙即访问控制系统，它在内部网络与不安全的外部网络之间设置障碍，阻止外 界对内部资源的非法访问，防止内部对外部的不安全访问。但它其本身可能存在 安全问题，也可能会是一个潜在的瓶颈。安全路由器由于WAN连接需要专用的路由器设备，因而可通过路由器来控制网络传输。 通常采用访问控制列表技术来控制网络信息流。安全服务器安全服务器主要针对一个局域网内部信息存储、传输的安全保密问题，其实 现功能包括对局域网资源的管理和控制，对局域网内用户的管理，以及局域网中 所有安全相关事件的审计和跟踪。安全管理中心由于网上的安全产品较多，且分布在不同的位置，这就需要建立一套集中管 理的机制和设备，即安全管理中心。它用来给各网络安全设备分发密钥，监控网 络安全设备的运行状态，负责收集网络安全设备的审计信息等。入侵检测系统(IDS)入侵检测，作为传统保护机制（比如访问控制，身份识别等）的有效补充， 形成了信息系统中不可或缺的反馈链。入侵防御系统（IPS）入侵防御，入侵防御系统作为IDS很好的补充，是信息安全发展过程中占 据重要位置的计算机网络硬件。安全数据库由于大量的信息存储在计算机数据库内，有些信息是有价值的，也是敏感的， 需要保护。安全数据库可以确保数据库的完整性、可靠性、有效性、机密性、可 审计性及存取控制与用户身份识别等。数据容灾设备数据容灾作为一个重要的企业信息安全管理体系中的一个重要补救措施，在 整个企业信息安全管理体系中有着举足轻重的作用。数据容灾设备包括数据恢复 设备、数据复制设备、数据销毁设备等。目前应用较多的数据容灾设备包括效率 源HD Doctor、Data Compass数据指南针、Data Copy King硬盘复制机、开盘机 等。编辑本段企业信息安全管理对策1. 网络管理一般企业网与互联网物理隔离，因而与互联网相比，其安全性较高，但在日 常运行管理中我们仍然面临网络链路维护、违规使用网络事件等问题，具体而 言：（1）在IP资源管理方面，采用IP MAC捆绑的技术手段防止用户随意更改 IP地址和随意更换交换机上的端口。这分两种情况实现，第一种情况是如果客户 机连在支持网管的交换机上的，可以通过网管中心的管理软件，对该交换机远程 实施Port Security策略，将客户端网卡MAC地址固定绑在相应端口上。第二种 情况是如果客户机连接的交换机或集线器不支持网管，则可以通过Web网页调 用一个程序，通过该程序把MAC地址和IP地址捆绑在一起。这样，就不会出 现IP地址被盗用而不能正常使用网络的情况。（2）在网络流量监测方面，可使用网络监测软件对网络传输数据协议类型 进行分类统计，查看数据、视频、语音等各种应用的利用带宽，防止频繁进行大 文件的传输，甚至发现病毒的转移及传播方向。2. 服务器管理常见应用服务器安装的操作系统多为 Windows系列,服务器的管理包括服 务器安全审核、组策略实施、服务器的备份策略。服务器安全审核是网管日常工 作项目之一，审核的范围包括安全漏洞检查、日志分析、补丁安装情况检查等，审 核的对象可以是DC、Exchange Server、SQLServer、IIS等。在组策略实施时，如果想使用软件限制策略，即哪些客户不能使用哪个软件，则需要把操作 系统升级到Windows 2003 Server。服务器的备份策略包括系统软件备份和数据 库备份两部分，系统软件备份拟利用现有的专用备份程序，制定一个合理的备份 策略，如每周日晚上做一次完全备份，然后周一到周五晚上做增量备份或差额备 份；定期对服务器备份工作情况等。3. 客户端管理对大多数单位的网管来说，客户端的管理都是最头痛的问题，只有得力的措 施才能解决这个问题，这里介绍以下几种方法：1）将客户端都加入到域中，这一点很重要，因为只有这样，客户端才能纳入管理员集中管理的范围。2）只给用户以普通域用户的身份登录到域，因为普通域用户不属于本地 Administrators和Power Users组，这样就可以限制他们在本地计算机上安装大 多数软件（某些软件普通用户也可以安装）。当然为了便于用户工作，应通过本 地安全策略，授予他们“关机”和“修改系统时间”等权利。3）实现客户端操作系统补丁程序的自动安装。4）实现客户端防病毒软件的自动更新。5）利用SMS对客户端进行不定期监控，发现不正常情况及时处理。4. 数据备份与数据加密由于应用系统的加入，各种数据库日趋增长,如何确保数据在发生故障或灾 难性事件情况下不丢失，是当前面临的一个难题。这里介绍四种解决方法:第一 种解决办法是用磁带机或硬盘进行数据备份。该办法价格最低，保存性最强，不 足之处是备份的只是某个时间点。第二种方案是采用本地磁盘阵列来分别实现各 服务器的本地硬盘数据冗余。第三种方案是采用双机容错方式，两台机器系统相 互备份，应用层数据全部放在共享的磁盘阵列柜中，这种方式能解决单机故障或 宕机的问题，同时又能防止单个硬盘故障导致的数据丢失，但前期投资较大。第 四种方案是采用NAS或SAN来实现各服务器的集中区域存储，实现较高级别 的磁盘等硬件故障的数据备份，但是成本较高，一般不能防止系统层的故障，如 感染病毒或系统崩溃。考虑到网络上非认证用户可能试图旁路系统的情况，如物 理地“取走”数据库，在通信线路上窃听截获。对这样的威胁最有效的解决方法就 是数据加密，即以加密格式存储和传输敏感数据。发送方用加密密钥，通过加密 设备或算法，将信息加密后发送出去。接收方在收到密文后，用解密密钥将密文 解密，恢复为明文。如果传输中有人窃取，他只能得到无法理解的密文，从而对信 息起到保密作用。5. 病毒防治对防病毒软件的要求是：能支持多种平台，至少是在Windows系列操作系 统上都能运行；能提供中心管理工具，对各类服务器和工作站统一管理和控制； 在软件安装、病毒代码升级等方面，可通过服务器直接进行分发，尽可能减少客 户端维护工作量；病毒代码的升级要迅速有效。在实施过程中，本单位以一台服 务器作为中央控制一级服务器，实现对网络中所有计算机的保护和监控，并使用 其中有效的管理功能，如：管理员可以向客产端发送病毒警报、强制对远程客户 端进行病毒扫描、锁定远程客产端等。正常情况下一级服务器病毒代码库升级 后半分钟内，客户端的病毒代码库也进行了同步更新。四、企业网络、信息安全解决方案1）大型企业服务器及存储接入交换机普通科室PC 财务PC防泄密系统 研发部PC防泄密系统大型企业部门林立，相当一部分会在外地有分支机构，业务系统普遍采用建 设虚拟专网的方式，起到外部分支访问总部数据的通道和安全加密作用。传统的 网络安全设备基本都已经部署，比如防火墙，可以把企业访问互联网的风险降低， 但是大型企业的网络、信息安全威胁主要来源于恶意的攻击行为和企业员工有意、无意的操作行为，致使业务系统不能正常使用，或者机密数据外泄，对企业 的网络安全，信息保密造成很大的威胁，拥有功能强大的上网行为管理设备、入 侵检测系统和防泄密系统能有效杜绝各个环节可能出现的不安全隐患，保障业务 系统的政策正常安全运行和企业机密数据的安全。建议大型企业在网络中部署：防火墙、IDS、上网行为管理、防泄密系统、 VPN、安全服务器等。2）中型企业核心交换机 3 I普通科室PC财务PC防泄密系统研发部PC防泄密系统中型企业基本已具备完整的网络体系，但是企业的信息化技术力量相对大型 企业可能薄弱一点，对于员工的上网行为和电脑操作行为可能要求得不会太严 格，即使向员工制定了一定的管理制度，也会在制度的执行过程中因为人为的因 素而变成一纸空文，所以用硬件设备来保障和规范网络、信息的安全尤为重要， 中型企业的网络、信息安全威胁主要来源于外网的攻击、内部网络使用的不规范 导致的木马、病毒等安全威胁。建议中型企业部署：防火墙、IDS、路由器、上网行为管理、防泄密系统等。普通科室PC财务PC防泄密系统研发部PC防泄密系统小型企业在人员规模、基础建设、资金实力等方面都相对落后于大中型企业， 但是在发展阶段的小型企业，对网络、信息的安全问题同样不能忽视，目前各式 各样的聊天工具、视频网站、网游、P2P下载等，都会直接影响到员工的工作效 率，并且占用了大部分的带宽，使得业务系统和正常的工作无法得到保障，且小 型企业一般不会配置专业的网管人员，这就是有的小型企业配置了好的电脑，够 用的宽带，但是仍然有大部分员工一直抱怨总是不能上网，或者上网太慢，邮件 发不出去等问题。从综合实力来讲，小型企业在网络、信息安全方面的投入会比 较有限，建议企业配置中低端的安全设备，防火墙，上网行为管理，以研发和设 计为主的企业对于防泄密系统的部署还是有必要的。