一种局域网安全管理的方法

地保证局域网内部的安全；同时，也可以控制局域网内部
1 引言
以互联网为代表的全球性信息化浪潮日益高涨，信息 网络技术正日益普及和广泛应用。应用层次正在深入，应 用领域从传统的、小型业务系统逐渐向大型、关键业务系 统扩展，典型的如行政部门业务系统、金融业务系统、企 业商务系统等。伴随网络的普及，很多企业和组织内部建 立起自己相对独立的内部局域网，内部局域网的使用用户 很有限，而互联网所具有的开放性、国际性和自由性在增 加应用自由度的同时，也存在着太多的风险：恶意网站、 网上欺诈、网络病毒等无时无刻不在困扰着互联网用户， 而局域网内部用户，却利用有限的网络资源做工作以外的 事情，如网上开店、炒股、聊天、进行网游等。这些对互 联网的访问又导致局域网内部问题的发生，如何有效地保 护局域网内部的安全，如何有效地保证局域网用户能够合 理正确地使用互联网，同时尽量减少来自开放的互联网给 我们带来的危害，是我们应该密切关注的一个重点问题。 笔者通过若干次的实践，认为提高对局域网的管理， 应该包含局域网出入口管理、局域网内部管理、数据的保 护三个方面。下面就我们在某信息系统的实践进行讲解， 说明如何从这三个方面提高对局域网的安全管理程度。
3 局域网内部管理 2 局域网出入口管理
局域网内部和互联网都有接口，是局域网内资源和互 联网资源进行交互的必经之路。 随着这些信息的不断流入、 流出，这种方式给局域网内部造成巨大的安全风险。或者 风险本身就来源于局域网内部，但是必须依赖于互联网才 能引发问题。 笔者认为，在局域网出入口，需要对进出的数据进行 严格的审计和管理，防止“病从口入”这一关，才能有效
实战指南
服 务
势，为网络的正常运转、业务系统的正常运行提供可靠的 保障。 局域网内部管理系统应该具有如下功能： （1）网络管理：局域网内部一般包含部分网络设备， 这些网络设备作为局域网的一部分需要进行管理和配置， 局域网内部管理系统可以对这些网络设备的工作状态进行 管理，系统也可以提供快速的警告信息，使管理员能掌握 新的网络设备接入、变化、配置、工作等情况。系统的拓 扑发现功能解析剖析网络设备的分布情况，并以图形化的 方式展现给管理员。 （2）资产管理：可以在局域网内部终端上部署专用代 理，使得局域网内部管理系统能够自动地收集计算机已有 的各种硬件资产、软件资产和网络资源信息。还可以通过 手工录入的方式输入非 I T 资产信息。系统可以对网络对 象的软件及硬件系统资产变更情况进行跟踪，一旦资产信 息发生变更，便可以立即通知管理员。 （3）行为管理：局域网内部管理系统可以提供完善的 用户行为的控制功能，通过行为管理模块系统能够控制用 户对主机的各类操作行为。这些操作行为主要包括：访问 文件的行为、访问目录的行为、访问应用程序的使用、收 发邮件的行为、上网的行为等。 （4）补丁管理：终端计算机频繁进行联网操作往往会 引入病毒或网络攻击程序，及时对操作系统进行补丁升级 是一个解决办法。局域网内部管理系统可以自动下载最新 的补丁并自动将安装代理的终端系统升级。 （5）策略管理：策略管理用来统一定义局域网内所有 主机的安全策略。包括定时查杀病毒、病毒库保持最新的 更新、杀毒引擎的及时更新、终端主机访问外设策略、使 用程序、安装程序、使用端口的策略等。 （6）事件管理：所有的管理系统消息可以使用事件管 理在业务层面进行闭环管理，事件主要包含来自局域网内 部、局域网出入口的事件信息，我们可以定义一个用户的 动作作为一个事件；也可以定义一个用户一系列动作或若 干用户的若干动作作为一个事件；或者，定义系统的指标 参数的变化超过我们设定的阀值作为一个事件。当我们定 义的事件条件被满足时，都会引发一个事件，由事件管理 来对发生的事件进行处理。 局域网内部管理同样可以采用两种管理方式，第一种 是采取必须的方式，为每个用户仅配置必须使用的资源； 第二种是采用不许的方式，禁止终端用户访问可能带来危 害的资源。
4 数据的保护
局域网内部的数据保护同样是局域网安全应该关注的 重点之一，数据保护的重点则是重要的文件和信息在存储 和传输时的加密保护。信息安全的漏洞既可以存在于有线 或无线、固定或移动网络之中，也可以是通过 U S B 等设 备接口经由直接的物理接触构成。 在局域网内部构建重要文件和信息的加密保护区，这 部分文件和信息都是加密保护的，另外的文件和信息还是 以常规的形式存在。用户需要对加密保护的文件和信息进 行阅读和修改时，只能登录到加密的环境中才能正常地阅 读和修改。 内部用户或外部用户（不在局域网内的用户）都可以 登录局域网内加密环境，通过 U S B k e y 登录成功后，将 启动透明安全本地环境，在该本地安全环境中，登录用户 必须指定所使用的进程（比如 MS Office Word） ，指定 的进程将被完全监控， 包括被监控进程派生的任何子进程。 被监控进程读写文件进行实时透明地加解密。 在局域网内部的重要文件和信息加密保护区，采用动 态加解密技术，所有通过透明环境加密的文件被自动加密 存放在硬盘上，由于加密保护区应用相同的策略、密钥， 所以内部员工可以共享这些密文文件， 不需要重复加解密， 在保护文件的前提下，达到文件灵活共享的目的。 各用户端硬盘保存的都是密文， 只有登录认证成功后， 在透明安全环境中才能看到明文。如果有可能，从用户端 泄露出去的任何重要信息文档都为密文，如通过ＵＳＢ盘 拷贝、通过网路传输到外部等。同时用户端被禁止拷屏、 打印、加密保护区内外之间的复制、粘贴、拷贝、导入、 导出、内部通信等。为了严防用户端的主动信息泄露，用 户在使用被监控应用时的任何读写操作都被加解密和日志 记录。对于非法流传到外部的文件，由于外部 PC 机没有 授权登录认证，无法获得加解密策略的内容，无法获得加 密密钥，也就根本无法打开已被加密文件。 所有的重要文档和信息，用户端都必须上传至文件服 务器进行统一管理，明文在服务器保存，在加密保护区之 外需要使用明文的情况，必须进行申请，进行管理授权， 而后才能合法地使用明文。
5 系统组织架构
系统应该采用模块化的设计，通用的插件模式，设计 合理并功能强大的二次开发接口，充分满足用户的各种定 制要求。可以采用两种协议完成对网络对象管理，对网络
2007.07
中的路由器、交换机等网络设备，或者专业的服务器、安 全设备等，采用基于简单网络管理协议（S N M P）的网络 管理方式，管理方式将采用基于 S N M P 的协议对被管理 设备进行监控。对于一般的终端计算机，除了可以使用 S N M P 进行管理以外，还可以使用专有的安全协议进行管 理，此时在终端需要部署提供的专业客户端代理。 整个系统由以下几部分组成： （1）前台管理系统。前 台管理系统是系统的管理服务系统，该系统以 W e b 服务 的方式为用户提供服务，用来接收管理端浏览器发过来的 管理请求，并通过与应用服务系统交互。W e b 服务系统 为系统维护人员和管理者提供了一个统一的视图，使得维 护人员和管理人员可以方便地看到整个系统的工作状态和 健康状况。 （2）数据库。数据库中存储大量的系统运行所 需的参数信息、网络设备的各种指标信息、配置信息等， 数据库中还包含系统用户管理信息、日志信息等其他与系 统运行有关的信息。此外对于已经发生的问题在数据库里 面有相应的记录，保证管理员再次遇到类似问题的时候可 以方便地查询以前的处理经验。 （3）服务管理系统。服务 管理系统是整个系统的核心模块，该系统为上层程序提供 各种功能的使用接口，上层程序可以是前台管理系统，或 者是第三方的管理程序，无论哪种形态，都可以方便地使 用底层提供的服务。 （4）监控管理系统。监控管理系统通 过对各种来自底层信息的分析，获得当前整体局域网的健 康状态，它可以实时获取底层设备的告警信息，并通过多
用户访问互联网。 在局域网到互联网的连接处部署互联网管理产品，对 整个内部网络客户机与互联网的交互行为及内容进行审计 和管理。如网页浏览、收发邮件、聊天、音视频、游戏等。 互联网管理系统可以并联在局域网出口处的交换机上 面，不会影响出入口的网络流量和性能。互联网管理系统 主要包含以下几个部分 ： 策略配置、访问审计、隔离区等。 策略配置程序提供管理策略设置接口，可以定义哪些协议 可以通过出入口，哪些协议不可以通过出入口。同时可以 对流入流出的数据流进行基于关键字的过滤；访问审计用 于记录数据的流入、流出的情况；隔离区是用于保存危害 数据的区域，保存周期为 60 天，出入口管理系统可以将 系统认为会对局域网内部造成危害的数据置入隔离区，管 理员可以手动将这些数据恢复成安全的数据。 互联网管理系统的设置可以采用两种方式：第一种是 满足必需的要求，只容许用户访问使用一定范围内的协议 访问必需的互联网资源 ； 第二种也可以采用不容许的方式， 记录可能带来危害的互联网资源的信息，不容许内部用户 访问这些资源。
种方式通知管理员，保证管理员能够迅速发现底层设备出 现的异常情况，并通过分析快速排除故障，从而避免应用 系统的正常运行受到干扰。 （5）代理。代理是安装在各个 设备终端的代理服务，已经安装了标准的 S N M P 代理的 设备，那么就能通过对 S N M P 代理的访问实现对这些设 备的监控及管理，对于不支持 S N M P 代理或者对 S N M P 控制信息不全的设备，可以通过安装专用代理来实现对它 的管理。 从以上三个方面入手，建立起对局域网从出入口、内 部、数据保护的机制和策略，可以避免大部分由于不正常 使用互联网给局域网带来的危害，内部用户的行为也得到 了很好的规范和约束。其中，计算机终端宕机的次数减少 了 40%，可用带宽也得到了有效的提高，对重要的数据也 得到了很好的保护。经常在网络内部发生的滥用网络资源 造成网络瘫痪、病毒爆发造成的文档丢失、用户随意修改 配置等现象基本杜绝。当然，所有的安全系统都不是万能 的，还必须通过其他的安全工具和管理手段来保证整个局 域网系统的安全。
参考文献： [1] 刘 瑞 新 . 浅 析 网 络 安 全 技 术 . 北 京 电 子 工 业 出 版 社 .2002.5. [2] 姚华 . 局域网管理路由器交换机配置 . 北京理工大学出 版社 .2007.2.
IBM 推出 POWER6 及新型超高性能 UNIX 服务器