商業網路安全解決方案的設計

商業網路安全解決方案的設計。 隨著資訊化技術的飛速發展，許多有遠見的企業都認識到依託先進的IT技術構建企業自身的業務和運營平臺將極大地提升企業的核心競爭力，使企業在殘酷的競爭環境中脫穎而出。 經營管理對電腦應用系統的依賴性增強，電腦應用系統對網路的依賴性增強。 電腦網路規模不斷擴大，網路結構日益複雜。 電腦網路和電腦應用系統的正常運行對網路安全提出了更高的要求。 資訊安全防範應做整體的考慮，全面覆蓋資訊系統的各層次，針對網路、系統、應用、資料做全面的防範。 資訊安全防範體系模型顯示安全防範是一個動態的過程，事前、事中和事後的技術手段應當完備，安全管理應貫穿安全防範活動的始終。

1 引言

隨著電腦網路的出現和互聯網的飛速發展，企業基於網路的電腦應用也在迅速增加，基於網路資訊系統給企業的經營管理帶來了更大的經濟效益，但隨之而來的安全問題也在困擾著使用者，在2003年後，木馬、 蠕蟲的傳播使企業的資訊安全狀況進一步惡化。 這都對公司資訊安全提出了更高的要求。

隨著資訊化技術的飛速發展，許多有遠見的企業都認識到依託先進的IT技術構建企業自身的業務和運營平臺將極大地提升企業的核心競爭力，使企業在殘酷的競爭環境中脫穎而出。 面對這瞬息萬變的市場，企業就面臨著如何提高自身核心競爭力的問題，而其內部的管理問題、效率問題、考核問題、資訊傳遞問題、資訊安全問題等，又時刻在制約著自己， 企業採用PKI技術來解決這些問題已經成為當前眾多企業提高自身競爭力的重要手段。

在下面的描述中，以某公司為例進行說明。

2 資訊系統現狀

2.1 資訊化整體狀況

1)電腦網路

某公司現有電腦500余台，通過內部網相互連接，根據公司統一規劃，通過防火牆與外網互聯。 在內部網路中，各電腦在同一網段，通過交換器連接。

2)應用系統

經過多年的積累，某公司的電腦應用已基本覆蓋了經營管理的各個環節，包括各種應用系統和辦公自動化系統。 隨著電腦網路的進一步完善，電腦應用也由資料分散的應用模式轉變為資料日益集中的模式。

2.2 資訊安全現狀

為保障電腦網路的安全，某公司實施了電腦網路安全專案，基於當時對資訊安全的認識和安全產品的狀況，資訊安全的主要內容是網路安全，部署了防火牆、防病毒伺服器等網路安全產品，極大地提升了公司電腦網路的安全性， 這些產品在此後防範網路攻擊事件、衝擊波等網路病毒攻擊以及網路和桌面日常保障等方面發揮了很大的作用。

3 風險與需求分析

3.1 風險分析

通過對我們資訊系統現狀的分析，可得出如下結論：

(1)經營管理對電腦應用系統的依賴性增強，電腦應用系統對網路的依賴性增強。 電腦網路規模不斷擴大，網路結構日益複雜。 電腦網路和電腦應用系統的正常運行對網路安全提出了更高的要求。

(2)電腦應用系統涉及越來越多的企業關鍵資料，這些資料大多集中在公司總部資料中心，因此有必要加強各電腦應用系統的使用者管理和身份的認證，加強對資料的備份，並運用技術手段，提高資料的機密性、完整性和可用性。

通過對現有的資訊安全體系的分析，也可以看出：隨著電腦技術的發展、安全威脅種類的增加，某公司的資訊安全無論在總體構成、資訊安全產品的功能和性能上都存在一定的缺陷，具體表現在：

(1)系統性不強，安全防護僅限於網路安全，系統、應用和資料的安全存在較大的風險。

目前實施的安全方案是基於當時的認識進行的，主要工作集中于網路安全，對於系統和應用的安全防範缺乏技術和管理手段。 如缺乏有效的身份認證，對伺服器、網路設備和應用系統的訪問都停留在使用者名/密碼的簡單認證階段，很容易被冒充;又如資料備份缺乏整體方案和制度規範，容易造成重要資料的丟失和洩露。

當時的網路安全的基本是一種外部網路安全的概念，是基於這樣一種信任模型的，即網路內部的使用者都是可信的。 在這種信任模型下，假設所有可能的對資訊安全造成威脅的攻擊者都來自于組織外部，並且是通過網路從外部使用各種攻擊手段進入內部網路資訊系統的。

針對外部網路安全，人們提出了內部網路安全的概念，它基於這樣一種信任模型：所有的使用者都是不可信的。 在這種信任模型中，假設所有使用者都可能對資訊安全造成威脅，並且可以各種更加方便的手段對資訊安全造成威脅，比如內�咳嗽笨梢災苯傭災匾姆衿鶻脅倏卮傭蘋敵畔ⅲ蛘嘰幽誆客綬夢史衿鰨略刂匾男畔⒉⒌寥〕 鋈ァD誆客綈踩惱庵中湃文P透舷質檔淖純觥�

美國聯邦調查局(FBI)和電腦安全性機構(CSI)等權威機構的研究也證明了這一點：超過80%的資訊安全隱患是來自組織內部，這些隱患直接導致了資訊被內部人員所竊取和破壞。

資訊系統的安全防範是一個動態過程，某公司缺乏相關的規章制度、技術規範，也沒有選用有關的安全服務。 不能充分發揮安全產品的效能。

(2)原有的網路安全產品在功能和性能上都不能適應新的形勢，存在一定的網路安全隱患，產品亟待升級。

已購買的網路安全產品中，有不少在功能和性能上都不能滿足進一步提高資訊安全的要求。 如為進一步提高全網的安全性，擬對系統的互聯網出口進行嚴格限制，原有的防火牆將成為企業內網和公網之間的瓶頸。 同時病毒的防範、新的攻擊手段也對防火牆提出了更多的功能上的要求，現有的防火牆不具備這些功能。

網路資訊系統的安全建設建立在風險評估的基礎上，這是資訊化建設的內在要求，系統主管部門和運營、應用單位都必須做好本系統的資訊安全風險評估工作。 只有在建設的初期，在規劃的過程中，就運用風險評估、風險管理的手段，使用者才可以避免重複建設和投資的浪費。

3.2 需求分析

如前所述，某公司資訊系統存在較大的風險，資訊安全的需求主要體現在如下幾點：

(1)某公司資訊系統不僅需要安全可靠的電腦網路，也需要做好系統、應用、資料各方面的安全防護。 為此，要加強安全防護的整體佈局，擴大安全防護的覆蓋面，增加新的安全防護手段。

(2)網路規模的擴大和複雜性的增加，以及新的攻擊手段的不斷出現，使某公司電腦網路安全面臨更大的挑戰，原有的產品進行升級或重新部署。

(3)資訊安全工作日益增強的重要性和複雜性對安全管理提出了更高的要求，為此要加快規章制度和技術規範的建設，使安全防範的各項工作都能夠有序、規範地進行。

(4)資訊安全防範是一個動態迴圈的過程，如何利用專業公司的安全服務，做好事前、事中和事後的各項防範工作，應對不斷出現的各種安全威脅，也是某公司面臨的重要課題。

4 設計原則

安全體系建設應按照「統一規劃、統籌安排、統一標準、分步實施」的原則進行，避免重複投入、重複建設，充分考慮整體和局部的利益。

4.1 標準化原則

本方案參照資訊安全方面的國家法規與標準和公司內部已經執行或正在起草標準及規定，使安全技術體系的建設達到標準化、正常化的要求，為拓展、升級和集中統一打好基礎。

4.2 系統化原則

資訊安全是一個複雜的系統工程，從資訊系統的各層次、安全防範的各階段全面地進行考慮，既注重技術的實現，又要加大管理的力度，以形成系統化的解決方案。

4.3 規避風險原則

安全技術體系的建設涉及網路、系統、應用等方方面面，任何改造、添加甚至移動，都可能影響現有網路的暢通或在用系統的連續、穩定運行，這是安全技術體系建設必須面對的最大風險。 本規劃特別考慮規避運行風險問題，在規劃與應用系統銜接的基礎安全措施時，優先保證透明化，從提供通用安全基礎服務的要求出發，設計並實現安全系統與應用系統的平滑連接。

4.4 保護投資原則

由於資訊安全理論與技術發展的歷史原因和自身的資金能力，某公司分期、分批建設了一些整體的或區域的安全技術系統，配置了相應的設施。 因此，本方案依據保護資訊安全投資效益的基本原則，在合理規劃、建設新的安全子系統或投入新的安全設施的同時，對現有安全系統採取了完善、整合的辦法，以使其納入總體安全技術體系，發揮更好的效能，而不是排斥或拋棄。

4.5 多重保護原則

任何安全措施都不是絕對安全的，都可能被攻破。 但是建立一個多重保護系統，各層保護相互補充，當一層保護被攻破時，其它層保護仍可保護資訊的安全。

4.6 分步實施原則

由於某公司應用擴展範圍廣闊，隨著網路規模的擴大及應用的增加，系統脆弱性也會不斷增加。 一勞永逸地解決安全問題是不現實的。 針對安全體系的特性，尋求安全、風險、開銷的平衡，採取「統一規劃、分步實施」的原則。 即可滿足某公司安全的基本需求，亦可節省費用開支。

5 設計思路及安全產品的選擇和部署

資訊安全防範應做整體的考慮，全面覆蓋資訊系統的各層次，針對網路、系統、應用、資料做全面的防範。 資訊安全防範體系模型顯示安全防範是一個動態的過程，事前、事中和事後的技術手段應當完備，安全管理應貫穿安全防範活動的始終。

資訊安全又是相對的，需要在風險、安全和投入之間做出平衡，通過對某公司資訊化和資訊安全現狀的分析，對現有的資訊安全產品和解決方案的調查，通過與電腦專業公司接觸，初步確定了本次安全專案的內容。 通過本次安全專案的實施，基本建成較完整的資訊安全防範體系。

5.1 網路安全基礎設施

證書認證系統無論是企業內部的資訊網路還是外部的網路平臺，都必須建立在一個安全可信的網路之上。 目前，解決這些安全問題的最佳方案當數應用PKI/CA數位認證服務。 PKI(Public Key Infrastructure，公開金鑰基礎設施)是利用公開金鑰理論和技術建立起來的提供線上身份認證的安全體系，它從技術上解決了網上身份認證、資訊完整性和抗抵賴等安全問題，為網路應用提供可靠的安全保障 ，向使用者提供完整的PKI/CA數位認證服務。 通過建設證書認證中心系統，建立一個完善的網路安全認證平臺，能夠通過這個安全平臺實現以下目標：

身份認證(Authentication)：確認通信雙方的身份，要求通信雙方的身份不能被假冒或偽裝，在此體系中通過數位憑證來確認對方的身份。

資料的機密性(Confidentiality)：對敏感資訊進行加密，確保資訊不被洩露，在此體系中利用數位憑證加密來完成。

資料的完整性(Integrity)：確保通信資訊不被破壞(截斷或篡改)，通過雜湊函數和數位簽章來完成。

不可抵賴性(Non-Repudiation)：防止通信對方否認自己的行為，確保通信方對自己的行為承認和負責，通過數位簽章來完成，數位簽章可作為法律證據。

5.2 邊界防護和網路的隔離

VPN(Virtual Private Network)虛擬私人網路，是將物理分佈在不同地點的網路通過公用骨幹網(如Internet)連接而成的邏輯上的虛擬私人網路。 和傳統的物理方式相比，具有降低成本及維護費用、易於擴展、資料傳輸的高安全性。

通過安裝部署VPN系統，可以為企業構建虛擬私人網路絡提供了一整套安全的解決方案。 它利用開放性網路作為資訊傳輸的媒體，通過加密、認證、封裝以及金鑰交換技術在公網上開闢一條隧道，使得合法的使用者可以安全的訪問企業的私有資料，用以代替專線方式，實現移動使用者、遠端LAN的安全連線。

集成的防火牆功能模組採用了狀態檢測的包過濾技術，可以對多種網路物件進行有效地訪問監控，為網路提供高效、穩定地安全保護。

集中的安全性原則管理可以對整個VPN網路的安全性原則進行集中管理和配置。

5.3 安全電子郵件

電子郵件是Internet上出現最早的應用之一。 隨著網路的快速發展，電子郵件的使用日益廣泛，成為人們交流的重要工具，大量的敏感資訊隨之在網路上傳播。 然而由於網路的開放性和郵件協定自身的缺點，電子郵件存在著很大的安全隱患。

目前廣泛應用的電子郵件用戶端軟體如 OUTLOOK 支援的 S/MIME( Secure Multipurpose Internet Mail Extensions )，它是從 PEM(Privacy Enhanced Mail) 和 MIME (Internet 郵件的附件標準 ) 發展而來的。 首先，它的認證機制依賴于層次結構的證書認證機構，所有下一級的組織和個人的證書由上一級的組織負責認證，而最上一級的組織 ( 根憑證 ) 之間相互認證，整個信任關係基本是樹狀的。 其次， S/MIME 將信件內容加密簽名後作為特殊的附件傳送。 保證了信件內容的安全性。

5.4 桌面安全防護

對公司資訊安全的威脅不僅來自商業網路外部，大量的安全威脅來自企業內部。 很早之前安全界就有資料顯示，近80%的網路安全事件，是來自于企業內部。 同時，由於是內部人員所為，這樣的安全犯罪往往目的明確，如針對企業機密和專利資訊的竊取、財務欺騙等，因此，對於企業的威脅更為嚴重。 對於桌面微機的管理和監控是減少和消除內部威脅的有效手段。

桌面安全系統把電子簽章、檔加密應用和安全登錄以及相應的智慧卡管理工具集成到一起，形成一個整體，是針對用戶端安全的整體解決方案。

1)電子簽章系統

利用非對稱金鑰體系保證了文檔的完整性和不可抵賴性。 採用元件技術，可以無縫嵌入OFFICE系統，使用者可以在編輯文檔後對文檔進行簽章，或是打開文檔時驗證文檔的完整性和查看文檔的作者。

2) 安全登錄系統

安全登錄系統提供了對系統和網路登入的身份認證。 使用後，只有具有指定智慧密碼鑰匙的人才可以登錄電腦和網路。 使用者如果需要離開電腦，只需拔出智慧密碼鑰匙，即可鎖定電腦。

3)檔加密系統

檔加密應用系統保證了資料的安全存儲。 由於金鑰保存在智慧密碼鑰匙中，加密演算法採用國際標準安全演算法或國家密碼管理機構指定安全演算法，從而保證了存儲資料的安全性。

5.5 身份認證

身份認證是指電腦及網路系統確認操作者身份的過程。 基於PKI的身份認證方式是近幾年發展起來的一種方便、安全的身份認證技術。 它採用軟硬體相結合、一次一密的強雙因數認證模式，很好地解決了安全性與易用性之間的矛盾。 USB Key是一種USB介面的硬體設備，它內置單片機或智慧卡晶片，可以存儲使用者的金鑰或數位憑證，利用USB Key內置的密碼演算法實現對使用者身份的認證。

基於PKI的USB Key的解決方案不僅可以提供身份認證的功能，還可構建使用者集中管理與認證系統、應用安全性群組件、用戶端安全性群組件和證書管理系統通過一定的層次關係和邏輯聯繫構成的綜合性安全技術體系，從而實現上述身份認證、 授權與存取控制、安全審計、資料的機密性、完整性、抗抵賴性的總體要求。

6 方案的組織與實施方式

網路與資訊安全防範體系流程主要由三大部分組成：攻擊前的防範、攻擊過程中的防範和攻擊後的應對。 安全管理貫穿全流程。 網路與資訊安全防範體系模型流程不僅描述了安全防範的動態過程，也為本方案的實施提供了借鑒。

因此在本方案的組織和實施中，除了工程的實施外，還應重視以下各項工作：

(1)在初步進行風險分析基礎上，方案實施方應進行進一步的風險評估，明確需求所在，務求有的放矢，確保技術方案的針對性和投資的回報。

(2)把應急回應和事故恢復作為技術方案的一部分，必要時可借助專業公司的安全服務，提高應對重大安全事件的能力。

(3)該方案投資大，覆蓋範圍廣，根據實際情況，可採取分地區、分階段實施的方式。

(4)在方案實施的同時，加強規章制度、技術規範的建設，使資訊安全的日常工作進一步制度化、正常化。

7 結論

本文以某公司為例，分析了網路安全現狀，指出目前存在的風險，隨後提出了一整套完整的解決方案，涵蓋了各個方面，從技術手段的改進，到規章制度的完善;從單機系統的安全加固，到整體網路的安全管理。 本方案從技術手段上、從可操作性上都易於實現、易於部署，為眾多行業提供了網路安全解決手段。

也希望通過本方案的實施，可以建立較完善的資訊安全體系，有效地防範資訊系統來自各方面的攻擊和威脅，把風險降到最低水準。