DNS服务器安全问题已很严重范文

DNS服务器安全问题已很严重

4月7日，在第七届站长大会“域名&IDC产业与发展高峰论坛”上，唯一网络总经理许渊培表示，DNS安全问题已非常严重，唯一网络将在定期更新服务器、预警和监控、多点部署等方面提升安全保障。

4月7日，在第七届站长大会“域名&IDC产业与发展高峰论坛”上，唯一网络总经理许渊培表示，DNS 安全问题已非常严重，唯一网络将在定期更新服务器、预警和监控、多点部署等方面提升安全保障。

以下为演讲实录：

今天在这里非常感谢https://www.360docs.net/doc/8e360667.html,给这个机会让我在这里跟大家交流一点关于DNS在保护方面的经验或者说方法。

下面要讲的是近年来域名安全方面的一些比较大的事件。我们目前DNS服务面临的安全挑战。包括我们如何保障DNS服务的安全。唯一网络DNS安全解决方案。

09年的时候有一个非常著名的事件，就是519的事件，主要是因为一些DNSPOD用户，域名互相攻击造成DNSPOD档机，不断地向它进行请求，这些所有请求的压力全部转到运营商的服务器上去，包括南方六省的服务器全部崩溃，造成整个南方六省的断网。在这个事件里面，电信在南方六省的网络基本瘫痪了。包括联通、铁通在内也受了很大的影响。移动互联网的用户相对少一些，所以他们受的影响相对较小。

2010年1月份有一个很大的事件，就是百度的域名被劫持，主要是因为百度的美国运营商因为安全方面的问题，百度的域名DNS被篡改了。整个DNS被换掉以后，访问百度以后是一个被黑客黑掉的页面。2010年另外一个事件，DDOS攻击，最后攻击量达到50G。2012年时候，DDOS攻击，造成Sedo停机3小时，后来官方修复之后也发了公告，包括对域名停放业务的用户一个很大的补偿。

如果一旦DNS出现问题以后，整个互联网就基本上可以说是完全瘫痪了。DNS我们目前为止面临的安全挑战主要有几个方面。第一是软件漏洞。目前作为全球DNS服务软件是最高的使用量，我们目前有13台服务器，主要的漏洞包括缓冲区的移出漏洞，黑客可以使用简单的一个查询的命名，可以让整个服务器档机。借此由此获得整个服务器的权限。

第二个DNS面临的安全问题就是DNS欺骗。常见的几种方式，比如说缓存投毒，包括DNS 劫持。我们用一些特定的方式可以直接修改缓冲区的一些记录，因为主要提供的是DNS的服务，基本上把所有的域名投入缓存，最后已经不可控了。所以关于DNS的安全问题是非常非常严重的。

DDos攻击的话又分成很多种形式，比如说用流量攻击的形式，SYN FLood等等。

在保证DNS服务安全方面，我们认为通过四个方面组成一个有机的整体，保证DNS服务的安全。

首先我们看看软件服务器方面的安全。我们需要定期的更新相关的服务器，一旦官方报出一些高危漏洞的时候，我们需要及时地弥补它。采取一些认知审核，包括远程登录的端口，各种方式保证服务器本身的安全。运维及管理体系，作为域名提供的服务商，我觉得需要一支高效和非常迅速的运维队伍专门应对DNS的安全事件。在遇到攻击或者档机的情况下的时候，我们有一支高效的团队能够及时地把问题发现并处理。其实在遇到DNS事件的时候，人为或者管理方面的错误造成的档机事件也是时有发生。比如说09年的时候，瑞典的.SE，就是因为管理员在做配置文件的时候没有注意少了一个点，让整个运营在网上消失。

再有就是预警和监控。我们需要在DNS采取7×24小时的监控。包括服务器的本身的响应速度上面都需要有安全的循环和安全的人员做相应的监控。

然后就是网络安全。现在针对DNS的攻击大部分都是像DDOS，或者是查询工具。在这方面我们有自己的一些解决方案。

DNS服务器我们目前建议域名提供商采用多点部署的方案，尽量不要采用单点部署。例如某一个数据中心出问题的时候，那么肯定DNS服务就完全中断了，采用多点部署，比如几个不同的数据中心部署不同的DNS服务器，就算有某一个数据中心由于物理连接的问题出问题，至少有其他的数据中心能够保证服务的延续。

比如说某个数据中心内部的立体式防护，整个互联网的接入，从柜机交换机下来以后第一层是防火墙的保护，主要做的上层的大流量的清洗，通过这层防火墙的过滤，可以把大部分攻击过滤掉，通过第二层保护，是针对DNS服务器本身的防御。DNS网关是我们目前正在研发中的一个产品，它有几个比较重要的一个功能。比如我们DNS网关可以针对域名查询的一些数据做一个基础的建模。比如说单位时间内域名解析的总量，整个DNS域名服务器解析的总量，单位时间内域名请求失败的总量，也可以做一个单位时间内的建模。再有单个域名查询总量的一个数据，当这三个数据有异常的时候，DNS网关可以针对这个情况做特殊处理。比如说对管理人员报警，有各种声音的方式、短信的方式、邮件的方式，告诉DNS管理员它已经出现异常了。到底是遇到了DNS攻击还是流量攻击，这种情况下对于我们判断具体的攻击情况是非常有帮助的。正常的DNS工具有两种情况，一种是伪造IP的海量查询，还有一种是真实IP的查询。通过DNS网站都可以对这两种查询做一个基本的判

断。那么在三层防火墙上通过智能的保护切换，包括IP也好，域名也好，这是我们部署的一个方案和建议。希望所有域名界的朋友能够多交流，对我们日后DNS的安全方面能够有一个更好的方案来为整个互联网公众做服务。

就算那些嚣张一时的攻击威胁是愚蠢的言论，我们也不妨来假设一下，如果黑客真的要击垮整个互联网，他们将如何下手？在前面提到的威胁中，黑客显然将矛头指向了DNS漏洞，这是否也给IT安全经理们敲响了警钟？他们在未来应该更加关注DNS漏洞，因为一旦DNS的漏洞被利用，就可能带来难性的后果。

四个主要的DNS漏洞：

· DNS IPv6漏洞——从“DNS Quad-A attack”攻击场景到IPv4与IPv6的交叉穿织，都为攻击者指出了一条发动DDoS洪水攻击的途径。

·公用DNS服务器上的漏洞——公用DNS(BIND, DJBDNS, MS, OpenDNS) 域名根服务器允许缓存域名记录在被删除的情况下依然活跃。这也许不是什么漏洞和错误，但的确是DNS在设计上的一个瑕疵。

·内部威胁——当今黑客发起攻击的目的已经不仅仅是为了获取经济利益。近来，我们看到了一个让人不安的趋势，一些信息安全专业人士也加入了黑客队伍之中，其目的是为了某种意义上的“正义”。

·社会工程学——在过去的24个月中，每一起破坏较大的网络攻击在初期所采取的入侵策略都是利用各种社会工程学漏洞(这一点多见于以经济利益为目的的攻击行为)。

当今黑客得逞的动力：

以Anonymous 和LulzSec为代表的黑客组织，究竟具备哪些特征才最终得逞呢?黑客攻击之所以得逞，主要源于以下几点：

·狂热的激情——黑客的斗志是攻击得逞的关键因素。

·不断收集可利用的漏洞——Anonymous的成员会收集全世界范围内所有有关DNS根域名服务器运行、设计和安全的知识，并找出加入利用和攻击的弱点和潜在漏洞。

·无穷尽的资源——黑客组织能够利有的资源取决于他们能在全世界激发起多少跟随者的偏执

和狂热。

Radware安全副总裁Carl Herberger认为：“只有保持高度警觉，并且团结所有热衷网络安全事业的安全人士才能在网络安全防御战争中的竖起坚固的堡垒。”

着力构建科学的网络安全防护体系

各位同仁下午好!非常高兴有这个机会，中国联通在安全防护上做一个介绍，做一下交流，有很多在安全方面的服务的需求，一些合作的机会。

在这之前，因为我这是一个当时准备的材料，内部给领导汇报的材料，有些内容过一下，应该说在目前我们这个大的环境下，网络安全，钓鱼网站，网页串改、垃圾邮件等等，都面临一些安全问题，应该说我们业界有一个说法，尤其跟互联网相关的，比较起来非常的安全，这本身也是有些非常传统的，比如我们的病毒，僵尸，刚才强调的针对互联网、云计算，移动互联网最新面临的一些问题。

应该说这些问题本身都有一个身体的特点，一个是低门槛，一个是广泛性，一个是趋利性，目前越来越多的敌意性。低门槛都可以看到这个结构，某一个控制成败上万各，趋利性从安全问题出现以来，是一直存在的，并且整个形成一个产业链。在广泛性上我们也可以了解一下，2010年的时候，原来可能都针对我们计算机网络的，后来针对工业控制平台，专业网络无线的出现了，再一个是我们敌意性，应该说从国家安全的角度来说，海陆空天，到网络空间是成为第五围的国际战略空间。这明显一个，当时伊朗暴露，可能没有明确的举证，大家都认为这是一个非官方的，是一个有官方背景的，类似于战略性的攻击。

应该说从90年代，我们从当时的工程开始到现在为止，我们整个网络应用，这些服务越来越多的以互联网的基础上承载在网络上面，空间系统，印痕证券、保险，医疗教育制造业，包括游戏，各个方面，包括我们现在，尤其是我们的智能手机，在智能手机上的应用，跟我们个人生活工作是紧密相关的，他们本身针对安全问题，尤其是个人，相应一些企业，包括我们的国家，都是有很大的危险的，包括最早的熊猫烧香病毒，519断网，客户信息的泄漏等等，天涯网客户信息的泄漏，这些事件给我们一次次敲响了警钟。跟专家聊天的时候也认为，有时候天涯的信息泄漏，很长时间形成一个泄漏的状态，如果说大家调查前，我们会有更多的事件发生，或者已经发生。

目前我们面临网络安全的现状，中国联通在这方面开展相应的工作，今天的发言分四个部分，第一个部分是安全防护工作政策的一个回顾。整个行业到我们企业的工作情况，这是我们电信研究院，介绍一下防护背景，最早应该从公安部门，计算机系统的一个安全保护，到后来形成的整个信息系统的防护，一直到通信行业，通信安全防护，这个在通信行业是工业信息化部负责进行管理。

从通信角度来讲，大概正式开始是从2008年，一个是当年颁布的一系列的各个专业网络的人员防护的行业规范，开展针对奥运的一些单元的安全检查，到09年开始，开展3G以上的一个检查，2010年是一个比较关键的事件，2010年工信部的十号令管理办法出台，目前开展的工作，基于十号令来做的。到现在应该说从2010年开始，包括今年，形成比较正规的体系在推进。这是十一号令主要的一些内容，明确了这个概念，原则，谁运行谁负责的这样一个工作要求。以及三同步，最后把网络单元按照影响的程度，分成了一二三四五级。包括我们单元的划分，一些备案，以及对二级三级进行评测评估，这种时间的要求，进行不同的明确。

这是我们这个通信行业的网络体系，包括一个管理指南，系列专业的安全防护的一些规范，这是我们开展检查工作的一个基础。应该说安全防护工作包括三部分内容，一个是安全等级保护，一个是安全风险保护，一个是灾难备份及恢复，风险评估方面，对于我们基层人员来说，社会识别，可能有一些方面的基础，操作起来还是非常困难的。

简要介绍一下这个行业和我们在安全防护当中的一些情况的回顾，第二部分简单介绍一下安全防护过程当中发现的一些问题。这些问题一个是说通过这五年左右的时间，工信部组织安全防护检查，企业内部的，包括可能我们的一些社会成员安全机构，他们一些在技术方面的操守，他们发现了一些保护的问题，对一些问题的归纳，技术层面，在安全检测方面，开放的比较开放的服务，建设方面主要是有帐号，边界防护方面，比如有一些配置的及时清理，检测的能力，访问控制方面没有对此进行过滤，包括安全审计，有一些保护设备，本身具备这个功能，还有一些可能是说有这些功能，在进行过程当中，由于一些原因，多了一些应用。再就是终端管理，还是有或多或少存在一些内网的外网。我们有一些系统，或者是某个单元，开发过程当中就存在了一些问题，但是在之前已经严格应用安全的检测，以至于发生的状态。

对这些问题做一个深层次的分析，我们发现其实应该说，对网络安全来说，对在座的专业人士大家都比较理解，可能为于一般的，尤其在计算机或者IP网，对支持背景不足的情况下，对安全的认识不是很清晰的，只是说从大的概念来说，包括领导的安全重要，但是在实际的工作过程当中，没有把这个意识落实到工作中，包括我们可能在整个的总体要求上，没有一个明确的防控的一个战略的特殊的一个安防的目标，我们在基础职责，流程这些方面都存在这样那样的一些问题。

其实我现在感觉，在队伍上，目前面临一个最大的问题，来之前，在路上，我看到一个微博，看到上面写，说信息安全，这个人，不管技术有多先进，这个技术仍然是使用的，技术再先进，如果你人的意识不足，投入都是属于效率低的。我们今天也是考虑在队伍方面做一些工作，整体提高我们的能力和水平。

极高的危害性，包括客户信息的泄漏，导致客户的经济的损失，以及对我们企业带来的损失，再大就是一些社会政治影响，我们也能看到，对此的报告，包括现在目前在境内有多少网站在串改，或者可能严重导致有些网站被利用发布一些违法的信息，或者目前的这个谣言，这方面就是我们企业运营的保证是我们国家的一个基础资源，也可能导致被破坏，或者是可用，应该说这些危害是非常大的。对这些问题的分析我们也是，目前我们的考虑，提升我们防护水平这么几个关键点，简单总结一下，一个是我们提到的人员安全意识，能力不足。

我记得跟各位专家交流的时候就说，包括之前我也一直强调，这种状况没有太多的资金投入到安全的社会的这种建设这些方面，但是他就说，其实你不用过多地强调资金的投入，只要是简单的一些，在人员方面的一些安全意识和安全培养，就会达到事半功倍的效果。另外我们的安全制度要切实执行，这个制度制订起来比较容易，怎样能够把它执行下去，这是一个难点。确实是有了人之后，还是有一些手段，才会做一些对抗，做一些工作的预防。另外从整个的意识来说，因为我们是联合部，我们的主要工作是整个通信网络的一个运行，目前来看，因为我们是基于这个电信网络互联网如何来转变，但是在日常的维护过程当中，强调的是运行的状态，没有更多的谈到网络安全，应该有一个意识的转变，把安全工作纳入到运行的过程当中。

我今天介绍的第三点我们在构建通信网络安全体系上的一些想法。简单说一下我们2012年工信部安排的安全防护检查的要求，今年为了保护任务，8月底准备完成，首次采用平分的方法，增加企业单元，做一个量化的平分，这对我们来说是一个督促，毕竟通过这种平分可以很量化直观的看到这些工作的成效。

基于我们前几年的工作情况，对问题的一些认识，以及我们今年面临的工作要求，我们也是在保障性方面，借这个想法，还是能够进一步落实，主动防御，重点防护，恢复的一个指导原则，统一法律的保护，安全工作纳入到工作当中，在中国联通构建一个科学的安全防护体系。

我们理解这个科学的安全防护体系包括这几个方面，一个是机构的职责，规章制度，工具手段，人员队伍，外部环境，外部环境好的话，我们工作也会比较迅速地推动。在机构整个方面，我们目前面临一个问题，涉及到安全防护的部门很多，为了形成一个比较顺畅的横向的工作机制。这是我们今年着重考虑的前沿，协调的会议，初步建立这样一个机制，但是离我们理想的目标还是有一定的距离，

规章制度建设方面我们考虑做到进入法律概念，有法可依，执法必严，违法必究，有法必究，三分技术，七分管理，进入到我们的工作落实当中。

我一直强调从网络安全工作来说，三分技术，七分管理是十分贴切的一句话。在队伍当中你是考虑，一方面提升专业，另外一个是培养全员的安全意识，安全不仅仅是安全人员，包括我们在座的设备提供商，服务商，包括我们的电信运营企业，安全专业人员，也包括我们涉及到的一些，他们网络安全的一个意识。

工具手段建设，开发研究阶段，前沿性，基础性，适应网络需要，当中运用这些技术运行稳定，快速有效地手段，做流量的一个管控，IP地址的搜索，做一些我们日常的扫描、检测这些工具。

在web环境里面，营造良好的环境，从目前的环境来说，可能大家对网络安全认识还都不统一，另外我们可能在通信行业，管理部门，网络运行部门，支撑部门能够共同合作，能够积极防御非法攻击，这是个人的，整个社会前沿的，包括他们自身的那种事件的一个防护。通信学会还是在这方面也应该是下一步，建议能够做更大的一个投入，做这方面的一个工作。

我们在建设方面我们开展了一些工作和想法。

第一，基础职责。安全防护工作涉及到我们的建设，包括之前的设立部门，建设、采购，运行维护，包括我们一些专业化，还有内网信息化部，还有一些支撑单位，怎样能够建立一个跨部门的机制，形成这样一个转控的平台。

第二，推进整个运行维护，体系的一个调整，我们也是提出意见，能够把安全进入新的港区的纳入。另外一个在各级的其他的部门，在部门职责明确，他们在安全方面承担了哪些责任。

第三，我们也借鉴了，中国电信他们建立这些体系，一个是我们工具手段，还有我们的安全管理中心，电信来说他们是在网络中心里面成立一个班组，我们也有这方面的考虑，借鉴实际运作的情况。应该说在我们国内很多东西，如果没有机构职责，做起来还是有些困难的。

安全制度方面的考虑。首先建立企业防护管理办法，考核办法，技术要求，新网络运行上线的一些保护办法。在安全人员队伍建设方面的考虑，进行人员的开发，利用学院的课堂，开展一些网络教学，我们有一个安全的新闻竞赛，进行内部的队伍的建设，寻找能力的合作伙伴，帮助开展我们的安全规划和架构的建设，人才的培养。

在安全工具方面涉及到安全设备、测试工具，网管手段，管控平台，考虑针对不同的内容，开展一些技术规范的制订，选择，工具做一些自己的研发。逐步推进我们的防护工具手段逐步到位，实现标准化，安全化。

网络安全实验室解决方案

互联网作为的信息交流工具，在人们日常生活中起着重要作用，随着上网人数的增长，互联上内容也海量增长。正常互联网数据通信在给人展带来极大的方便的同时，DDOS攻击，信息垃圾、虚假广告、色情、暴力、赌博等有害信息也在互联网上日益增长。随着技术的不断发展，新的攻击技术会不断涌现，新的应对技术也会随之产生。越来越多的高校开始关注到网络安全这个专业，并且都开始逐步的进行网络安全实验室的建设，但在网络安全实验室的建设中，各高校的建设思路都各不相同，有的高校在进行网络安全实验室建设的时候把攻防实验放在了首位，有的高校将加密技术作为了网络安全实验室的建设重点，更多的高校对于网络安全实验室还在进一步的观望中。其实缺乏适合网络实验教学的师资力量和缺乏网络实验教学的专用教材是现在教学中存在的首要问题。

中新金盾网络安全实验室解决方案

中新金盾作为国内领先的网络实验室解决方案提供商，针对高校用户的网络实验室需求推出了模块化全面的网络安全实验室解决方案。并把防火墙设备，WEB应用安全设备，抗DDOS攻击设备，非法信息检测设备，舆情分析系统，作为一个安全有效的防御整体，架设到高校信息安全专业的实验室中。并推出全套教学实验和攻防实验的理论教材和操作教程，使师生全面的对网络安全的多样性，复杂性从理论上和实际操作中得到了全方位的了解。使毕业后真正走向网络安全方向的学生不会再和现行的网络攻击和威胁脱节，不会只依靠简单肤浅的理论知识对繁琐复杂多样的攻击摸不到头脑。让学生和研究人员不但可以深入的了解更可以从容的去面网络安全问题，加深对网络原理、协议、标准的理解，同时最重要的是在整个网络安全实验室中，实验者通过学习可以很清楚的了解如何进行有效的网络安全设计从而来避免网络风险的发生以及在网络安全事件发生的第一时刻，如何去有效的解决安全问题。

中新金盾会继续以卓越创新，脚踏实地的的金盾理念鼎力支持网络安全教育事业的发展，使各高校网络安全专业为社会才培养人才，推动科技创新，贡献社会。

企业局域网内的网络安全管理

互联网时代，网络的价值无法估量。网络的畅通与否直接影响到一个企业，甚至一个神奇的土地的兴衰成败。

在企业局域网中，由于有各种网管软件可以帮助网管，如保护网络安全的防火墙、杀毒软件，如管理员工上网行为的上网行为管理软件、网络监控软件。借助这些常用的局域网管理软件，网管可以较为轻松地确保企业网络的顺畅。

一般而言，在网管能有效抵御外界入侵的前提下，除非是网络服务供应商受到重大攻击，否则企业网络完全断开瘫痪的可能性不大。

当我们看到一些低价出售或高价收购商品的网站时，首先要判断网站标识的价格与市场价格是否相差甚远;局域网管理软件如果价格太低或太高，其中就一定有问题，捡了芝麻丢了西瓜;其次，要注意网站上是否故意使用一些夸张或绝对的广告词，例如医药网站是否号称自己的产品药到病除;

证券公司的网站是否宣称一定会有超过正常范围的收益等等，这些都是可疑网站的象征;最后要查看网站上公司地址、电话、网站ICP备案号是否齐全、详细。如果网站上的公司地址写的很含糊，或者没有地址和电话，只有几个客服QQ号，这也要引起我们的注意。

安全管理：主要是对网路资源访问权限的管理。包括用户认证、权限审批和网路访问控制(防火墙)等功能。其目标是按照本地的安全策略来控制对网路资源的访问，以保证网路不被侵害(有意识的或无意识的)，局域网管理软件执戟而来并保证重要的信息不被未授权的用户访问。在这些网路管理功能中，故障管理是整个网路管理的核心;

配置管理则是各管理功能的基础，其他各管理功能都需要使用配置管理的信息。总的来说，网路管理系统对一个网路系统的高效运行非常重要，因此在网路管理系统的研究与应用非常迫切。为此，在应用方面要采取引进与自主开发相结合的方式。

信息化越来越普及，几乎所有的公司都离不开IT，离不开网络。对于很多组织来讲，网络就意味着效率、甚至生产力。网络应用日益复杂、多变、动态特征发展。

随着企业信息化的深入开展、OA办公自动化系统等各种信息化系统的充分使用，使得企事业单位对宽带、互联网的依赖性不断增强，企事业单位局域网管理的重要性日渐突出。如何有效加强员工上网管理、约束不合理的上网行为、使得网络资源能为企事业单位的创造更大的收益已经成为当前局域网管理人员的共识。

如何加强局域网管理?

一种方式是通过依靠本单位内部的网络设备，如路由器、交换机、防火墙等网络硬件设施来实现。这种方式是通过在这些网络设备上设置特定的上网控制规则，对局域网电脑分配不同的上网权限，从而实现对局域网电脑上网进行局域网管理。

当前，通过路由器限制网页浏览、限制上班炒股、禁止上班看访问视频网站、禁止网络游戏、过滤不良信息、分配上网带宽和上网流量;通过防火墙防御病毒侵害、限制互联网特定访问、进行IP和MAC地址捆绑等方式已经成为局域网管理人员通用的做法。

但是，由于上述网络设备一般是通过DOS命令的方式进行设置和管理，需要专门的计算机知识，并且经过了专业的培训和实践的积累，才可以很好地掌握;

同时，通过网络设备对局域网上网行为监控的功能较为有限，对于一些加密的网络应用或者一些较为底层的传输，则较为困难，一般无法提供有效的方案。因此，这种管理局域网上网行为的方式仅限于一些有专门网管人员的单位，并且网管人员有较高的业务素养。

而当前国内企事业单位一般没有自己专门的局域网管理人员，通过网络设备监控局域网、监控员工上网不太现实。在这种情况下，使用一套简单易用、功能实用的局域网管理软件已经成为当前网管人员的必需。

据《瑞星2011年度企业安全报告》显示：在传统企业领域，绝大多数企业内网曾发生过安全事故，其中遇到恶意代码(病毒和木马等)侵入的比例占50%以上，黑客攻击和渗透占35%，钓鱼网站攻击和其他形式安全事件占10%。

为此，瑞星安全专家表示：“大多数国内企业对于信息安全方面存在大量误区和盲区，没有专职人员维护、管理机制不健全、安全意识弱等因素成为企业信息安全的常见挑战。实际上，隐患是一直存在的，只是平时不被重视，因此说到底，更多的还是个安全意识差的问题。”通常来讲，这些企业中经常存在的安全薄弱点通常集中在以下几个方面：

?不具备专业安全管理人员，通常由网管兼职对内网进行管理。但是，一个人的精力毕竟有限，也只能负责日常的网站更新和常见的应用问题修复，一旦出现安全问题则只能是束手无策，或者再寻求其他的援助手段解决问题，这样一来本能及时化解的小问题往往也酿成大祸。

?很多企业的网络在建设之初，一般是由各地的集成商提供搭建的，通常只关注性价比、可用性因素，对安全的考虑相对较少，组网之初一般未经过严格的安全评估，也未提供相应解决方案，因此安全问题一旦爆发，这类企业的网络出现问题的几率就更大，问题也就更严重。

?实际上，企业网络安全的维护和保障是个动态的过程，需要不断地修改软硬件的默认密码和安全设置、弥补系统漏洞、规范企业内部人员的上网行为，但是很大部分企业都不能做到这一点，造成危险真正来了时只能被打个措手不及。

?很多企业网络的用户非常庞杂，而且一般不具有相应的安全防范技能，需要对其网络使用行为进行针对性的规范。

?当问题爆发时，大部分企业都缺少相应的应急预案。一旦出现黑客攻击、业务泄密等大规模安全事件，往往束手无策，只能临时抱佛脚，头疼医头，脚痛医脚，事情过了之后又好了疮疤忘了疼，没人再把安全隐患当作一回事。

当然，国内不同企业间的发展水平不同、所处行业不同、安全需求不同，用户对于安全企业的需求也截然不同，这就需要企业管理人员正视信息安全的重要性，时刻警惕安全问题的发生，将安全意

识放在首位。瑞星安全专家表示，企业应根据自身的状况选择专门的安全产品和服务，健全企业内部管理机制，降低企业的安全风险。

石化企业网络安全隐患及其解决方案

本文从企业角度描述了网络存在的主要安全隐患及网络安全的解决方素。

随着企业信息化进程的不断发展，网络已成为提高企业生产效率和企业竞争力的有力手段。目前，石化企业网络各类系统诸如ERP系统、原油管理信息系统、电子邮件系统以及OA协同办公系统等都相继上线运行，信息化的发展极大地改变了企业传统的管理模式，实现了企业内的资源共享。与此同时，网络安全问题13益突出，各种针对网络协议和应用程序漏洞的新型攻击层出不穷.病毒威胁无处不在。

因此，了解网络安全，做好防范措施，保证系统安全可靠地运行已成为企业网络系统的基本职能.也是企业本质安全的重要一环。

1石化企业网络安全现状

石化企业局域网一般包含Web、Mail等服务器和办公区客户机，通过内部网相互连接，经防火墙与外网互联。在内部网络中。各计算机处在同一网段或通过Vlan(虚拟网络)技术把企业不同业务部门相互隔离。

2企业网络安全概述

企业网络安全隐患的来源有内、外网之分，网络安全系统所要防范的不仅是病毒感染，更多的是基于网络的非法入侵、攻击和访问。企业网络安全隐患主要如下：

1)操作系统本身存在的安全问题

2)病毒、木马和恶意软件的入侵

3)网络黑客的攻击

4)管理及操作人员安全知识缺乏

5)备份数据和存储媒体的损坏

针对上述安全隐患，可采取安装专业的网络版病毒防护系统，同时加强内部网络的安全管理;配置好防火墙过滤策略，及时安装系统安全补丁;在内、外网之间安装网络扫描检测、入侵检测系统，配置网络安全隔离系统等。

3网络安全解决方案

一个网络系统的安全建设通常包含许多方面，主要为物理安全、数据安全、网络安全、系统安全等。

3.1物理安全

物理安全主要指环境、场地和设备的安全及物理访问控制和应急处置计划等，包括机房环境安全、通信线路安全、设备安全、电源安全。

主要考虑：自然灾害、物理损坏和设备故障;选用合适的传输介质;供电安全可靠及网络防雷等。

3.2网络安全

石化企业内部网络，主要运行的是内部办公、业务系统等，并与企业系统内部的上、下级机构网络及Internet互连。

3.2.1 VLAN技术

VLAN即虚拟局域网。是通过将局域网内的设备逻辑地划分成一个个网段从而实现虚拟工作组的技术。

借助VLAN技术，可将不同地点、不同网络、不同用户组合在一起，形成一个虚拟的网络环境，就像使用本地LAN一样方便。一般分为：基于端口的VLAN、基于MAC地址的VLAN、基于第3层的VLAN、基于策略的VLAN。

3.2.2防火墙技术

1)防火墙体系结构

①双重宿主主机体系结构

防火墙的双重宿主主机体系结构是指一台双重宿主主机作为防火墙系统的主体，执行分离外部网络和内部网络的任务。

②被屏蔽主机体系结构

被屏蔽主机体系结构是指通过一个单独的路由器和内部网络上的堡垒主机共同构成防火墙.强迫所有的外部主机与一个堡垒主机相连.而不让其与内部主机相连。