办公网络安全体系构建分析

　　摘    要：　网络与人们的生产、生活息息相关, 以互联网为代表的网络技术蓬勃发展, 可以说网络改变了全球的经济格局、利益格局。党的十八大以来, 党中央高度重视网络安全问题, 并把网络安全当成国家安全体系的重要组成部分。在网络安全架构的具体应用中, 网络体系结构、相关硬件组成、安全软件实现的功能、作用, 是决定网络使用安全的基础, 网络安全是一项整体的系统工程, 网络安全的解决方案应当是全面的、立体的整体解决方案。从网络安全基础、网络安全初步防范等层面概述了网络安全的一般架构, 使我们对网络安全威胁有所了解, 在生产生活中能够积极防范网络安全风险, 从而安全、有效地使用网络, 共同维护网络安全。

　　关键词：　网络安全; 网络安全架构; 安全防护;

　　1 网络安全及网络安全防御

　　1.1 网络安全的概念

　　网络安全 (network security) 是指利用网络技术、管理和控制等措施, 保证网络系统和信息的保密性、完整性、可用性、可控性和审查性。网络安全包括两个方面, 一个是网络系统的安全, 另一个是网络信息 (数据) 的安全。网络安全和信息安全是相辅相成、密不可分的, 信息安全有三个基本属性, 机密性、完整性和可用性。网络安全构建的最终目标和关键就是保护网络信息的安全。

　　1.2 网络安全威胁

　　网络安全威胁早已远远超过个人单机安全问题, 以大型服务器为核心的网络系统所面临的网络安全威胁已经成为我们所面临的严峻事实。攻击者对网站、网页、路由器有很多攻击手段, 例如:恶意软件 (病毒) 、网络嗅探、拒绝服务攻击、网络钓鱼、ARP攻击, 这些攻击手段需要掌握相当多的计算机应用知识, 由于WEB网站应用广泛, 容易被攻击, 所以这里主要阐述下WEB攻击。常见的WEB攻击有以下几类。

　　(1) SQL注入, 就是通过把SQL命令插入到WEB表单递交, 以达到欺骗服务器执行恶意的SQL命令, 网站被“拖库”就是通过WEB表单递交查询字符实现的。目前, 主流SQL注入工具是Pangolin, 它能通过一系列的简单操作, 达到最大化的攻击效果。

　　(2) 跨站脚本攻击, 攻击者在网页上发布包括攻击性代码的数据, 当浏览者看到这个网页时, 特定的脚本就会以浏览者的身份和权限来执行。跨站脚本攻击可以容易地修改用户数据, 窃取用户个人信息。

　　(3) cookie攻击, 在地址栏输入:javascript:alert (document.cookie) 。立刻就可以看到当前站点的cookie, 攻击者可以利用这个特性窃取你的信息, 如果和跨站脚本攻击相结合, 在浏览器上执行javascript脚本。如果这个网站依靠cookie来验证用户身份, 那么攻击人就可以冒用用户身份做一些事情。
 

 

　　1.3 网络安全基础技术

　　网络安全通用基础技术主要有以下3类。

　　(1) 身份鉴别。身份鉴别是登陆计算机系统和网站时的第一道安全防线, 只有被计算机或网络服务器鉴别后才被认为是合法的用户。目前主要身份鉴别方法有:静态口令认证;动态短信口令认证;USB KEY密钥算法认证;生物识别技术认证, 即人脸识别技术认证。目前多数身份认证在大型政府网站和企业网站中采用的一项重要技术就是数字证书认证。数字证书具有唯一性和可靠性, 利用一对互相匹配的密钥进行加密解密。每个用户有自己设定的密钥, 用它进行解密和签名, 同时设定一把公钥, 用于加密和验证签名。在进行网上信息交流时, 发送方使接收方的公钥对数据加密, 接收方用自己的私钥解密, 这样就可以使信息进行安全通信了。

　　(2) 访问管理。访问管理也叫访问控制, 是计算机安全的核心元素, 保障授权用户在其权限内对授权资源进行正当使用。访问控制介于用户与系统资源之间。系统对进行鉴别之后, 决定用户的访问请求是否被允许, 以及该用户能够访问那些资源。

　　(3) 密码技术。密码技术是最基本的网络安全手段, 是结合数学、计算机科学、电子与通信等诸多学科于一体的交叉科学, 具有数字签名、身份验证、秘密分存、系统安全等功能。密码技术可以解决常见的信息截取或篡改、伪造信息来源等安全威胁。

　　1.4 网络通信安全

　　网络是我们与外界联系的纽带, 通过网络我们可以实时保持与外界的通信联络, 接收、发送各类数据信息, 可以说现在的我们已经离不开网络。说网络通信安全, 我们就不得不提网络的主要安全架构——防火墙。防火墙是实施网络控制策略的一个或一组系统, 设置在内部网络与外部网络之间, 它的存在使得内部网络与外部网络之间互相隔离, 防火墙的主要功能包括数据包过滤、审计和报警机制、MAC与IP地址绑定, 流量控制、带宽管理等, 现在大多数家庭使用的宽带路由器也具有防火墙功能。防火墙的目的就是在与外部网络连接之间建立一个安全控制点, 允许、拒绝或重新定向经过防火墙的数据流, 实现对网络通信的审计和控制。

　　防火墙可在三种模式下工作, 路由模式、透明模式、混合模式。路由模式即防火墙类似一台路由器, 通过它来转发数据包, 将源MAC地址替换为透明相应接口的MAC地址。透明模式即防火墙类似一台网络交换机, 将接收的数据包不改动直接转发。混合模式就是上述两种方式的混合。

　　1.5 网络安全防御

　　网络安全问题日益突出, 那么必然催生网络安全的防御, 这就像一对性格截然相反的亲兄弟, 总是结伴出现的。目前对于大型门户网站和企业政府网站所采取的主要防御技术有以下几种。

　　(1) 物理隔离, 就是两个网络或是两个计算机完全不相连, 他们之间的数据交换通过移动存储介质来实现, 如光盘、U盘等。

　　(2) 逻辑隔离技术, 实现的方式主要就是防火墙, 通过防火墙实现内部网络与外部网络的数据交换。

　　(3) 防御来自网络攻击的技术, 常用技术和产品就是抗攻击网关, 好多网络攻击都是利用TCP/IP协议自身的缺陷来工作的, 早期的TCP/IP协议族用的IP是IPv4协议, 现在互联网和多数局域网用的也是IPv4协议, 在设计之初根本没有考虑网络安全问题, 从而导致网络传输的数据包很容易泄露和被攻击窃取。因此, 为了保证传输层的安全, 数据认证和数据加密技术应运而生, 广泛应用的是SSL握手协议和SSL记录协议, 利用多种密钥交换算法对信息进行分段压缩加密, 从而保证信息数据安全。

　　(4) 防病毒网关, 传统的病毒检测和杀毒是在客户端, 如果内部网络多台计算机感染病毒, 那么你通过单机客户端杀毒是解决不了作用的, 防病毒网关的功能就是在内网与外网的连接处, 对内网机器的杀毒只要更新防病毒网关就可以了。

　　(5) 邮件过滤技术, 多数病毒或木马, 钓鱼软件都是通过邮件传送的, 对邮件内容、附件、附件格式的过滤, 可以有效防止客户端或者内部网络安全。

　　(6) 身份认证, 对于单机或者网络用户, 进行身份验证是保证访问权限的第一关, 你是谁, 怎么确认你是谁, 你属于什么组, 该组的权限是什么, 这些都是保证网络用户和运营商的安全体系环节之一。

　　(7) 信息加密技术和公钥相关软件服务。目前网络的安全趋势就是使用公开密钥体系, 所有用户在完善的安全原则及实用准则下, 取得用户的公钥凭证, 借此达成复杂的身份鉴别机制, 及难以破解的私密性, 由此提出更严谨的网络安全服务。例如苹果手机ISO系统的ID身份验证。

　　(8) 入侵检测技术和主动防卫技术, 入侵检测过程包括信息采集、信息分析和入侵检测响应三部分。

　　(9) 针对服务应用层的攻击主要集中在汇聚层和应用层, 主要包含针对应用服务器的网络攻击和恶意软件入侵, 其中恶意软件检测技术用来保护系统免受恶意软件的危害, 恶意软件的检测技术分为基于异常的检测技术、基于规则的检测技术和基于特征的检测技术。对于大型政府、企业内部网络, 针对应用层主要采用物理隔离方法, 对于网络应用服务商来说, 对应用层的攻击防护主要就是定期更新升级杀毒程序。

　　2 网络安全架构

　　在访问网络的过程中, 针对非授权用户截取或修改数据等访问威胁, 其安全可以分为两类, 一是网闸功能, 网闸是使用带有多种控制功能的固态开关读写介质, 联接两个独立网络的信息安全设备, 网闸的存在隔离和阻断了具有潜在攻击可能的一切联接, 实现了高程度的网络安全。二是内部安全控制, 若非授权用户得到访问权, 第二道防线将对其进行防御, 包括各种内部监控和分析, 以确定入侵者, 如图1所示。

　　3 办公网络安全

　　内部办公网络作为信息网络的一个特殊应用领域, 尤其是涉及国防及国有大型保密性单位网络, 在系统服务器上运行着大量需要保护的数据和信息, 如果系统的安全性被破坏, 造成敏感信息暴露或丢失, 或网络被攻击等安全事件, 可能导致严重的后果。如何设计完善的信息安全系统, 如何形成有效的信息安全管理体系等问题都是内部办公网络信息化的难点和要点。

　　3.1 内部办公网络安全域防护体系

　　安全域 (securitydomain) 一般认为由同一安全策略所统辖的区域就是一个安全域。最理想的划分是:需要进行相同安全保护的同类数据信息或同类服务功能在同一个域中实现存储, 传输和处理。安全域可分为安全计算域、安全用户域和安全网络域。本论述描述的办公网络安全域主要指安全网络域。

　　图1 网络安全构架

　　

　　由于内部办公网络是一个大型的局域网, 其安全局域网络域的等级与其所连接的或组成的安全计算域的等级是相同的。所以根据安全域边界和内部的风险分析, 对于大型内部办公网络的安全问题基本就能确定安全解决方案。

　　对于外网接入, 如果不采用物理隔离的方法, 那么主要安全风险就是网络访问控制、防网络入侵、防资源滥用、防区域网络病毒传播和防数据泄漏。采用的安全技术有防火墙。

　　对于内部网络设备, 主要风险是设备的单点故障等问题, 如内网交换机、路由器的配置等, 这类问题可通过设备冗余的方式解决, 对内网各个部门间交换数据最佳的安全技术是利用入侵检测系统或安全应用软件对各个安全域的交换数据进行检测。

　　对于内部网络管理, 主要安全风险为网络系统漏洞、业务漏洞、业务违规操作、数据库漏洞和数据库违规操作。管理人员权限分配问题、身份确认问题和多系统的有效安全管理问题。授权管理和责任认定, 用安全管理平台进行全面统一的管理。

　　3.2 内部网络系统部署和配置

　　内部网络核心系统一般包括网络服务器、事件采集服务器、邮件服务器。网络服务器完成对内部网络数据的处理、存储、和网络的正常运行;数据库服务器实现数据存储功能;事件采集服务器完成对各种安全设备、网络设备、主机\应用系统的弱点数据采集和威胁数据采集功能;邮件服务器实现内部各部门间邮件和文件的递送、分发等功能。

　　按照整体安全策略要求, 就企业或政府网站建设要求来说, 网络总体安全方案由安全操作系统, 应用系统, 防病毒, 防火墙, 系统与外网物理隔离, 入侵检测软件, 网络监控系统, 信息审计, 加密通信, 安全扫描, 网络入侵系统恢复等多个安全系统模块组成, 尤其注意, 在网络建设中, 资金投入是基础, 如果为了节约资金, 单个或者少量的安全组件是无法确保信息安全的。

　　在网络层次结构中, 主流技术就是在数据链路层采取加密技术, 网络层采用的技术有数据包过滤, IP SEC协议, TCP/IP协议层采用SSI协议, 应用层采用SHTTP、SMIME等安全协议。

　　4 结束语

　　网络安全不仅要从网络设备, 软件系统的整体考虑, 突出重点, 统筹兼顾, 更要以人员的安全教育、人员素质、人员计算机、网络知识的教育为主, 这样才能管理网络, 应用网络, 让它能更好地为我们生产、生活安全服务。

　　参考文献：

　　[1]贾铁军.网络安全技术及应用[M].北京:机械工业出版社, 2009.
　　[2]周云波.互联网串口通信[M].北京:电子工业出版社, 2017.
　　[3]范红.物联网安全技术实现与应用[J].信息网络安全, 2017 (9) .
　　[4]辛阳.网络安全数据可视分析[J].信息网络安全, 2016 (11) .
　　[5]公安部十一局.电子数据勘查取证[M].北京:中国人民公安大学出版社, 2017.
　　[6]郭启全.网络安全法与网络安全等级保护制度[M].北京:电子工业出版社, 2018.