浅谈如何建立有效的网络安全策略

浅谈如何建立有效的网络安全策略

银行业是国内最重要且最具活力的行业之一，为国家的经济建设作出了巨大贡献。作为银行市场运作、金融创新、客户服务、量化管理的技术基础，银行电子化水平已经成为衡量竞争实力的重要标志。为此，银行系统网络的安全稳定运行已成为银行在市场竞争中生存的基础，其抵抗风险的能力将成为衡量银行竞争力的重要因素之一。近年来各种网络安全问题接踵而至，计算机病毒、操作系统漏洞、黑客攻击等屡见不鲜。互联网的开放性和匿名性在给社会生活带来了前所未有的便利同时，不可避免的使信息存在各种安全风险。

如何使网络系统不受黑客和病毒的入侵，如何保障数据传输的安全性、可靠性，也是建设局域网网络安全过程中所必须考虑的重要事情之一。本文通过对网络安全成因的分析，结合自己了解的本单位网络实际情况，提出局域网络的安全解决方案。

网络安全威胁及攻击方式

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。

网络威胁是对网络安全缺陷的潜在利用，这些缺陷可能导致非授权访问、信息泄密、资源耗尽、资源被盗或者被破坏等。

网络安全从其本质上来讲就是网络上的信息安全。网络安全主要包括物理安全与逻辑安全。物理安全主要指网络硬件的维护、使用及管理等；逻辑安全是从软件的角度提出的，主要指数据的保密性、完整性、可用性等。网络安全所面临的威胁可以来自很多方面，并且随着时间的变化而变化。

网络安全威胁主要有以下几种：

窃听。在广播式网络系统中，每个节点都可以读取网上传输的数据，如搭线窃听、安装通信监视器和读取网上的信息等。网络体系结构的广播性使得偷听网上的数据或非授权访问很容易而且不易发现。

假冒。当一个实体假扮成另一个实体进行网络活动时就发生了假冒。

流量分析。通过对网上信息流的观察和分析，推断出网上传输的流量信息，例如有无传输、传输的数量、方向和频率等。由于报头信息不能加密，所以即使对数据进行了加密处理，也可以有效的进行流量分析。

破坏数据完整性。以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应，或恶意添加，修改数据，以干扰用户的正常使用。

拒绝服务。通过发送大量数据包对网络服务器不断进行干扰，改变其正常的作业流程，执行无关的程序，使得服务器超负荷工作导致拒绝服务，或使系统响应减慢甚至瘫痪，使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。

网络攻击可以分为以下几种：

被动攻击。攻击者通过监视所有信息流以获得某些秘密。这种攻击可以是基于网络（跟踪通信链路）或基于系统（用秘密抓取数据的特洛伊木马代替系统部件）的。被动攻击是最难被检测到的，故对付这种攻击的重点是预防，主要手段如数据加密等。

主动攻击。攻击者试图突破网络的安全防线。这种攻击涉及到数据流的修改或创建错误流，主要攻击形式有假冒、重放、欺骗、消息篡改和拒绝服务等。这种攻击无法预防但却易于检测，故对付的重点是测而不是防，主要手段如防火墙、入侵检测等。

物理临近攻击。在物理临近攻击中未授权者可以在物理上接近网络、系统或设备，目的是修改、收集或拒绝访问信息。

内部人员攻击。内部人员攻击要么是被授权在信息安全处理系统的物理范围内，或对信息安全处理系统具有直接访问权的人。有恶意的和非恶意的（不小心或无知的用户）两种内部人员攻击。

分发攻击。是指在软件和硬件开发出来之后和安装之前这段时间，或当它从一个地方传到另一个地方时，攻击者恶意修改软硬件。

结合实际，建立有效的安全策略

安全策略是指在一个特定的环境里，为保证提供一定级别的安全保护所必须遵守的规则。Internet在设计之初是以提供广泛的互联、互操作、信息资源共享为目的的，因此其侧重点并非在安全上，如何将风险降到最低以减少网络的安全风险，是本文所要探讨的问题。

目前的网络安全措施有数据加密、数字签名、身份认证、防火墙和入侵检测等。通过对单位局域网络结构、应用及安全威胁分析，可以看出其安全问题主要集中在对服务器的安全保护、防黑客和病毒、重要网段的保护以及管理安全上。

本文的目标是在不影响局域网当前业务的前提下，综合考虑单位局域网的特点，实现对局域网全面的安全管理，将安全策略、硬件及软件等方法结合起来，构成一个统一的防御系统整体。

本安全解决方案遵循的原则是：

1.提高系统的安全性（重点是可用性和可控性）。

2.保持网络原有的能特点，即对网络的协议和传输具有很好的透明性，能透明接入，无需更改网络设置。

3.易于操作、维护，并便于自动化管理，而不需要增加或减少附加操作。

4.尽量不影响原网络拓扑结构，同时便于系统及系统功能的扩展。

5.具有较好的性能价格比，一次性投资，可以长期使用。

6.安全产品具有合法性，及经过国家有关管理部门的认可或认证。

7.分布实施。

建立完善的制度

通常所说的网络安全建设"三分技术，七分管理"，也就是突出了"管理"在网络安全建设中所处的重要地位。长期以来，由于管理制度上的不完善、人员责任心差而导致的网络攻击事件层出不穷。责权不明，管理混乱，使得一些员工或管理员随便让一些非本地员工甚至外来人员进入机房重地，或者员工有意无意泄漏他们所知道的一些重要信息，而管理上却没有相应制度来约束。

尽管在所有的网络安全建设中。网络安全管理制度的建设都被提到极其重要的位置，但能按相关标准制定出具有全面性、可行性、合理性的安全制度，并严格按其实施的项目数量并不是很多。网络安全建设中，安全制度的良好实施和执

行能从很大程度上保证网络的安全，同时为网络的管理和长期监控提供有理可依的指导性理论。建立全新的网络安全机制，最可行的做法是管理制度和管理解决方案的结合。例如，建立完善的终端管理制度，不许未经授权的用户接触终端，或者对可以接近计算机的人员进行严格的审查。完善网络的使用制度、病毒防治管理制度、责任到人的设备管理制度、网络安全应急预案和定期网络评估制度及备份制度等。

建立完善的制度，可以从以下几个方面改进：

一、硬件设备及软件系统的使用、维护、管理、服务等各个环节制定出严格的规章制度，对网络系统的管理员及用户加强法制教育和职业道德教育，不损人，不犯法，规范工作程序和操作规程，严惩从事非法活动的集体和个人。

二、加强各级网络管理人员的专业技能学习，提高工作能力，并能及时检查网络系统中出现病毒的症状。汇报出现的新问题、新情况，做到及时发现问题解决问题，同时在网络工作站上经常做好病毒检测的工作，把好网络的第一道大门。

提高技术安全性

先进的安全技术是信息安全的根本保障，而网络系统的安全性取决于网络系统中最薄弱的环节。如何及时发现网络系统中最薄弱的环节，最大限度地保证网络系统的安全，最有效的方法是定期对网络系统进行安全性分析，及时发现并修正存在的弱点和漏洞。

当前常见的网络安全防护措施包括数据加密、数字签名、身份认证、防火墙、入侵检测、漏洞扫描、安全审计、病毒防护、VPN等。

数据加密。加密是通过对信息的重新组合，使得只有收发双方才能解码并还原信息的一种手段。随着相关技术的发展，加密正逐步被集成到系统和网络中。

数字签名。数字签名可以用来证明消息确实是有发送者签发的，而且，当数字签名用于存储的数据或程序时，可以用来验证数据或程序的完整性。

身份认证。有多种方法来认证一个用户的合法性，如密码技术、利用人体生理特征（如指纹）进行识别、智能IC卡和USB盘等。

防火墙。是位于两个网络之间的屏障，一边是内部网络（可信赖的网络），另一边是外部网络（不可信赖的网络）。按照系统管理员预先定义好的规则控制数据包的进出。在内部网与外部网之间，设置防火墙实现内外网的隔离与访问控制是保护内部网安全的最主要、同时也是最有效、最经济的措施之一。

入侵检测。检测工具通常是一个网络安全性评估分析软件，其功能是扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安全策略，达到增强网络安全性的目的。通过入侵检测能实现实时安全监控，快速故障响应，同时具备很好的安全取证措施。

漏洞扫描。为确保数据库、文件及重要数据的完整及有效，防止数据被破坏、修改和窃取，利用漏洞扫描定期对包括操作系统、数据库管理系统等系统软件进行漏洞、端口扫描，检测防火墙和路由器的配置，关闭不必要开放的端口，对系统打补丁，对日志进行审核审计和跟踪，可以及时发现问题，解决问题。

计算机局域网病毒的防治，单纯依靠技术手段是不可能十分有效地杜绝和防止其蔓延的，只有把技术手段和管理机制紧密结合起来，才有可能从根本上保护网络系统的安全运行。

提高人员安全意识

长期的网络安全事件分析证明，很多安全事件是由于内部操作人员的安全意识薄弱，随意使用计算机，使U盘等移动存储介质中的病毒有机会传播到计算机上，造成病毒的蔓延和扩散。或者是让没有权限操作电脑的外部人员接触电脑设备，造成安全隐患。据了解，网络安全事件的主要类型是：感染计算机病毒、蠕虫和木马程序，垃圾电子邮件，遭到网络扫描和攻击等。网络安全事件持续上升的主要原因是，网络安全管理人员不足、专业素质不高，一些安全防范措施管理不善，没有发挥应有作用。

针对这种情况，首要解决的问题是提高网络使用人员的安全意识，定期进行相关的网络安全知识的培训，全面提高网络使用人员的安全意识和防范技术。

强化系统备份，实现系统快速恢复

随着我们处理数据的增多，宽带使用越来越频繁，感染病毒和被攻击的机会也越来越多，做好数据的备份工作非常有必要。强化系统备份功能，可以使网络管理者快速的重新组织被破坏了的文件或应用，使系统重新恢复到破坏前的状态，最大限度地减少损失。

在Windows操作系统中，可以实现系统备份与恢复工作的软件主要有两种，一种是备份整个逻辑分区乃至整个硬盘的数据，在需要时对整个分区或整个硬盘进行恢复，也就是所谓的“磁盘克隆工具”。另一种是可以记录用户在操作过程

中对系统文件的更改，监视用户对磁盘的读写操作，在必要时充当一种“后悔药”的角色，让用户将系统恢复到某个特定时间前的状态，即系统还原工具。

除了Windows自带的备份与还原工具，常用的还有许多系统备份还原软件，能实现硬盘备份、计算机灾难复原等，操作起来也更简便，适合非专业技术人员操作，例如一键ghost、还原精灵等。

各种软件的工作方式不同，适用的范围和局限性也有不同，各有其优点和缺点，不过，如果能同时使用的话，将会获得更好的效果。当然，需要为此提供更多的系统资源和更多的存储空间。

结束语

对于信息安全，所有银行都不会掉以轻心。2006年，银监会出台《银行业金融机构信息系统风险管理指引》，将金融信息安全提上一个重要地位。而作为银行监管国际标准制定者的巴塞尔银行监管委员会，也将“关键银行信息的保密”作为对电子银行需要进行重点风险控制的要求之一。

网络安全建设是一项系统工程，需要周密的设计和部署，同时内网安全也是一项长期的任务，这其中既包含网络安全制度建设和人员安全意识培养层面，也包含了网络安全防护系统建设层面。任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。对任一网络，绝对安全难以达到，也不一定是必要的。

网络安全是动态的、整体的，并不是简单的安全产品集成就能解决问题的。由于网络系统及其应用扩展范围广阔，随着网络规模的扩大及应用的增加，网络脆弱性也会不断增加。一劳永逸地解决网络安全问题是不现实的。安全总会随着用户网络现况的变化而变化。随着时间推移，新的安全风险又将随着产生，只有大力加强信息安全的宣传和教育，树立牢固的信息安全意识，提高网络使用人员的技术水平，才可能实现网络的畅通和信息的安全。

城南支行

周曾瑶

2011-4-1