辦公自動化網(wǎng)絡安全問題及策略
辦公自動化網(wǎng)絡安全問題及策略
現(xiàn)如今,辦公自動化越來越普及,那么,相應的當然會出現(xiàn)一些網(wǎng)絡安全問題,那么,辦公自動化網(wǎng)絡安全問題要怎么解決呢?學習啦小編在這里給大家提供一些方法。
1、前言
企業(yè)內(nèi)部辦公自動化網(wǎng)絡一般是基于TcrilP協(xié)議并采用了Internet的通信標準和Web信息流通模式的Intra-net,它具有開放性,因而使用極其方便。但開放性卻帶來了系統(tǒng)人侵、病毒人侵等安全性問題。一旦安全問題得不到很好地解決,就可能出現(xiàn)商業(yè)秘密泄漏、設備損壞、數(shù)據(jù)丟失、系統(tǒng)癱瘓等嚴重后果,給正常的企業(yè)經(jīng)營活動造成極大的負面影響。因此企業(yè)需要一個更安全的辦公自動化網(wǎng)絡系統(tǒng)。
辦公自動化系統(tǒng)的安全包括網(wǎng)絡設備、配套設備的安全、數(shù)據(jù)的安全、通訊的安全、運行環(huán)境的安全,還包括網(wǎng)絡內(nèi)部每臺計算機的安全、計算機功能的正常發(fā)揮等部分。辦公自動化網(wǎng)絡安全問題的解決主要應從預警、防護、災難恢復等三方面人手,下面就安全預警、數(shù)據(jù)安全防護、人侵防范、病毒防治以及數(shù)據(jù)恢復等方面分別探討。
2、辦公自動化網(wǎng)絡常見的安全問題
(1)網(wǎng)絡病毒的傳播與感染
隨著計算機和網(wǎng)絡的進步和普及,計算機病毒也不斷出現(xiàn),總數(shù)已經(jīng)超過20000種,并以每月300種的速度增加,其破環(huán)性也不斷增加,而網(wǎng)絡病毒破壞性就更強。一旦文件服務器的硬盤被病毒感染,就可能造成系統(tǒng)損壞、數(shù)據(jù)丟失,使網(wǎng)絡服務器無法起動,應用程序和數(shù)據(jù)無法正確使用,甚至導致整個網(wǎng)絡癱瘓,造成不可估量的損失。網(wǎng)絡病毒普遍具有較強的再生機制,可以通過網(wǎng)絡擴散與傳染。一旦某個公用程序染了毒,那么病毒將很快在整個網(wǎng)絡上傳播,感染其它的程序。由網(wǎng)絡病毒造成網(wǎng)絡癱瘓的損失是難以估計的。一旦網(wǎng)絡服務器被感染,其解毒所需的時間將是單機的幾十倍以上。
(2)黑客網(wǎng)絡技術的入侵
目前的辦公自動化網(wǎng)絡基本上都采用以廣播為技術基礎的以太網(wǎng)。在同一以太網(wǎng)中,任何兩個節(jié)點之間的通信數(shù)據(jù)包,不僅可以為這兩個節(jié)點的網(wǎng)卡所接收,也同時能夠為處在同一以太網(wǎng)上的任何一個節(jié)點的網(wǎng)卡所截取。另外,為了工作方便,辦公自動化網(wǎng)絡都備有與
外網(wǎng)和國際互聯(lián)網(wǎng)相互連接的出人口,因此,外網(wǎng)及國際互聯(lián)網(wǎng)中的黑客只要侵人辦公自動化網(wǎng)絡中的任意節(jié)點進行偵聽,就可以捕獲發(fā)生在這個以太網(wǎng)上的所有數(shù)據(jù)包,對其進行解包分析,從而竊取關鍵信息;而本網(wǎng)絡中的黑客則有可能非常方便的截取任何數(shù)據(jù)包,從而造成信息的失竊。
(3)系統(tǒng)數(shù)據(jù)的破壞
在辦公自動化網(wǎng)絡系統(tǒng)中,有多種因素可能導致數(shù)據(jù)的破壞。首先是黑客侵人,黑客基于各種原因侵人網(wǎng)絡,其中惡意侵人對網(wǎng)絡的危害可能是多方面的。其中一種危害就是破壞數(shù)據(jù),可能破壞服務器硬盤引導區(qū)數(shù)據(jù)、刪除或覆蓋原始數(shù)據(jù)庫、破壞應用程序數(shù)據(jù)等。其次是病毒破壞,病毒可能攻擊系統(tǒng)數(shù)據(jù)區(qū),包括硬盤主引導扇區(qū)、Boot扇區(qū)、FAT表、文件目錄等;病毒還可能攻擊文件數(shù)據(jù)區(qū),使文件數(shù)據(jù)被刪除、改名、替換、丟失部分程序代碼、丟失數(shù)據(jù)文件;病毒還可能攻擊CMOS,破壞系統(tǒng)CMOS中的數(shù)據(jù)。第三是災難破壞,由于自然災害、突然停電、強烈震動、誤操作等造成數(shù)據(jù)破壞。重要數(shù)據(jù)遭到破壞和丟失,會造成企業(yè)經(jīng)營困難、人力、物力、財力的巨大浪費。
3、網(wǎng)絡安全策略
(1)網(wǎng)絡安全預警
辦公自動化網(wǎng)絡安全預誓系統(tǒng)分為人侵預警和病毒預警兩部分。人侵預警系統(tǒng)中,人侵檢測可以分析確定網(wǎng)絡中傳輸?shù)臄?shù)據(jù)包是否經(jīng)過授權。一旦檢測到人侵信息,將發(fā)出警告,從而減少對網(wǎng)絡的威脅。它把包括網(wǎng)絡掃描、互聯(lián)網(wǎng)掃描、系統(tǒng)掃描、實時監(jiān)控和第三方的防火墻產(chǎn)生的重要安全數(shù)據(jù)綜合起來,提供內(nèi)部和外部的分析并在實際網(wǎng)絡中發(fā)現(xiàn)風險源和直接響應。它提供企業(yè)安全風險管理報告,報告集中于重要的風險管理范圍,如實時風險、攻擊條件、安全漏洞和攻擊分析;提供詳細的人侵告警報告,顯示人侵告警信息(如人侵IP地址及目的IP地址、目的端口、攻擊特征),并跟蹤分析人侵趨勢,以確定網(wǎng)絡的安全狀態(tài);信息可以發(fā)往相關數(shù)據(jù)庫,作為有關網(wǎng)絡安全的決策依據(jù)。病毒預警系統(tǒng)通過對所有進出網(wǎng)絡的數(shù)據(jù)包實施不間斷的持續(xù)掃描,保持全天24小時監(jiān)控所有進出網(wǎng)絡的文件,發(fā)現(xiàn)病毒時可立即產(chǎn)生報警信息,通知管理員,并可以通過IP地址定位、端口定位追蹤病毒來源,并產(chǎn)生功能強大的掃描日志與報告,記錄規(guī)定時間內(nèi)追蹤網(wǎng)絡所有病毒的活動。
(2)數(shù)據(jù)安全保護
?、籴槍θ肭值陌踩Wo:對于數(shù)據(jù)庫來說,其物理完整性、邏輯完整性、數(shù)據(jù)元素完整性都是十分重要的。數(shù)據(jù)庫中的數(shù)據(jù)有純粹信息數(shù)據(jù)和功能文件數(shù)據(jù)兩大類,人侵保護應主要考慮以下幾條原則:物理設備和安全防護,包括服務器、有線、無線通信線路的安全防護;服務器安全保護,不同類型、不同重要程度的數(shù)據(jù)應盡可能在不同的服務器上實現(xiàn),重要數(shù)據(jù)采用分布式管理,服務器應有合理的訪問控制和身份認證措施保護,并記錄訪問日志。系統(tǒng)中的重要數(shù)據(jù)在數(shù)據(jù)庫中應有加密和驗證措施。用戶對數(shù)據(jù)的存取應有明確的授權策略,保證用戶只能打開自己權限范圍之內(nèi)的文件;通過審計和留痕技術避免非法者從系統(tǒng)外取得系統(tǒng)數(shù)據(jù)或是合法用戶為逃避系統(tǒng)預警報告的監(jiān)督而從系統(tǒng)中取得數(shù)據(jù);客戶端安全保護,客戶端的安全主要是要求能配合服務器的安全措施,提供身份認證、加密、解密、數(shù)字簽名和信息完整性驗證功能,并通過軟件強制實現(xiàn)各客戶機口令的定期更換,以防止口令泄漏可能帶來的損失。
?、卺槍Σ《酒茐募盀碾y破壞的安全保護:對于病毒和災難破壞的數(shù)據(jù)保護來說,最為有效的保護方式有兩大類:物理保護和數(shù)據(jù)備份。要防止病毒和災難破壞數(shù)據(jù),首先要在網(wǎng)絡核心設備上設置物理保護措施,包括設置電源冗余模塊和交換端口的冗余備份;其次是采用磁盤鏡像或磁盤陣列存儲數(shù)據(jù),避免由于磁盤物理故障造成數(shù)據(jù)丟失;另外,還要使用其他物理媒體對重要的數(shù)據(jù)進行備份,包括實時數(shù)據(jù)備份和定期數(shù)據(jù)備份,以便數(shù)據(jù)丟失后及時有效地恢復。
(3)人侵防范
要有效地防范非法入侵,應做到內(nèi)外網(wǎng)隔離、訪問控制、內(nèi)部網(wǎng)絡隔離和分段管理。
?、賰?nèi)外網(wǎng)隔離:在內(nèi)部辦公自動化網(wǎng)絡和外網(wǎng)之間,設置物理隔離,以實現(xiàn)內(nèi)外網(wǎng)的隔離是保護辦公自動化網(wǎng)絡安全的最主要、同時也是最有效、最經(jīng)濟的措施之一。第一層隔離防護措施是路由器。路由器濾掉被屏蔽的IP地址和服務。可以首先屏蔽所有的IP地址,然后有選擇的放行一些地址進人辦公自動化網(wǎng)絡。第二層隔離防護措施是防火墻。大多數(shù)防火墻都有認證機制,無論何種類型防火墻,從總體上看,都應具有以下五大基本功能:過濾進、出網(wǎng)絡的數(shù)據(jù);管理進、出網(wǎng)絡的訪問行為;封堵某些禁止的業(yè)務;記錄通過防火墻的信息內(nèi)容和活動;對網(wǎng)絡攻擊的檢測和告警。
②訪問控制:公自動化網(wǎng)絡應采用訪問控制的安全措施,將整個網(wǎng)絡結構分為三部分,內(nèi)部網(wǎng)絡、隔離區(qū)以及外網(wǎng)。每個部分設置不同的訪問控制方式。其中:內(nèi)部網(wǎng)絡是不對外開放的區(qū)域,它不對外提供任何服務,所以外部用戶檢測不到它的IP地址,也難以對它進行攻擊。隔離區(qū)對外提供服務,系統(tǒng)開放的信息都放在該區(qū),由于它的開放性,就使它成為黑客們攻擊的對象,但由于它與內(nèi)部網(wǎng)是隔離開的,所以即使受到了攻擊也不會危及內(nèi)部網(wǎng),這樣雙重保護了內(nèi)部網(wǎng)絡的資源不受侵害,也方便管理員監(jiān)視和診斷網(wǎng)絡故障。
?、蹆?nèi)部網(wǎng)絡的隔離及分段管理:內(nèi)部網(wǎng)絡分段是保證安全的一項重要措施,同時也是一項基本措施,其指導思想在于將非法用戶與網(wǎng)絡資源相互隔離,從而達到限制用戶非法訪問的目的。辦公自動化網(wǎng)絡可以根據(jù)部門或業(yè)務需要分段.網(wǎng)絡分段可采用物理分段或邏輯分段兩種方式:物理分段通常是指將網(wǎng)絡從物理層和數(shù)據(jù)鏈路層上分為若干網(wǎng)段,各網(wǎng)段相互之間無法進行直接通訊;邏輯分段則是指將整個系統(tǒng)在網(wǎng)絡層上進行分段。并能實現(xiàn)子網(wǎng)隔離。在實際應用過程中,通常采取物理分段與邏輯分段相結合的方法來實現(xiàn)隔離。采取相應的安全措施后,子網(wǎng)間可相互訪問。對于TCP/IP網(wǎng)絡,可把網(wǎng)絡分成若干IP子網(wǎng),各子網(wǎng)間必須通過路由器、路由交換機、網(wǎng)關或防火墻等設備進行連接,利用這些中間設備(含軟件、硬件)的安全機制來控制各子網(wǎng)間的訪問。在這里,防火墻被用來隔離內(nèi)部網(wǎng)絡的一個網(wǎng)段與另一個網(wǎng)段,可以限制局部網(wǎng)絡安全問題對全局網(wǎng)絡造成的影響。
(4)病毒防治
相對于單機病毒的防護來說,網(wǎng)絡病毒的防治具有更大的難度,網(wǎng)絡病毒防治應與網(wǎng)絡管理緊密結合。網(wǎng)絡防病毒最大的特點在于網(wǎng)絡的管理功能,如果沒有管理功能,很難完成網(wǎng)絡防毒的任務。只有管理與防范相結合,才能保證系統(tǒng)正常運行。計算機病毒的預防在于完善操作系統(tǒng)和應用軟件的安全機制。在網(wǎng)絡環(huán)境下,病毒傳播擴散快,僅用單機防殺病毒產(chǎn)品已經(jīng)難以清除網(wǎng)絡病毒,必須有適用于局域網(wǎng)、廣域網(wǎng)的全方位防殺病毒產(chǎn)品。為實現(xiàn)計算機病毒的防治,可在辦公自動化網(wǎng)絡系統(tǒng)上安裝網(wǎng)絡病毒防治服務器,并在內(nèi)部網(wǎng)絡服務器上安裝網(wǎng)絡病毒防治軟件,在單機上安裝單機環(huán)境的反病毒軟件。安裝網(wǎng)絡病毒防治服務器的目標是以實時作業(yè)方式掃描所有進出網(wǎng)絡的文件。本地網(wǎng)絡與其它網(wǎng)絡間的數(shù)據(jù)交換、本地網(wǎng)絡工作站與服務器間的數(shù)據(jù)交換、本地網(wǎng)絡各工作站之間的數(shù)據(jù)交換都要經(jīng)過網(wǎng)絡病毒防治服務器的檢測與過濾,這樣就保證了網(wǎng)絡病毒的實時查殺與防治。
(5)數(shù)據(jù)恢復
辦公自動化系統(tǒng)數(shù)據(jù)遭到破壞之后,其數(shù)據(jù)恢復程度依賴于數(shù)據(jù)備份方案。數(shù)據(jù)備份的目的在于盡可能快地全盤恢復運行計算機系統(tǒng)所需的數(shù)據(jù)和系統(tǒng)信息。根據(jù)系統(tǒng)安全需求可選擇的備份機制有:實時高速度、大容量自動的數(shù)據(jù)存儲、備份與恢復;定期的數(shù)據(jù)存儲、備份與恢復;對系統(tǒng)設備的備份。備份不僅在網(wǎng)絡系統(tǒng)硬件故障或人為失誤時起到保護作用,也在人侵者非授權訪問或?qū)W(wǎng)絡攻擊及破壞數(shù)據(jù)完整性時起到保護作用,同時亦是系統(tǒng)災難恢復的前提之一。
隨著企業(yè)各部門之間、企業(yè)和企業(yè)之間、國際間信息交流的日益頻繁,辦公自動化網(wǎng)絡的安全問題已經(jīng)提到重要的議事日程上來,一個技術上可行、設計上合理、投資上平衡的安全策略已經(jīng)成為成功的辦公自動化網(wǎng)絡的重要組成部分。轉(zhuǎn)貼