计算机信息安全

网络信息安全专题信息安全是指网络系统的硬件、软件及数据受到保护，不受偶然或恶意的破坏、更改、泄露，系统连续可靠正常运行，网络服务不中断。信息安全涉及到个人权益、企业生存、金融风险防范、社会稳定和国家安全的大事。它是物理安全、网络安全、数据安全、信息内容安全、信息基础设施安全与公共、国家信息安全的总和。信息安全问题已经成为互联网发展中无法回避的核心问题。为实现网络安全，多数企业已经采取了防病毒、防火墙、入侵检测、数据加密、身份认证等多种安全手段，然而企业的安全架构在新一代攻击手段面前依然十分脆弱，频频受到攻击。目前的网络安全技术只是针对个别安全问题，企业需要构造一个能彻底解决网络安全问题的平台，可以自动、智能地对企业进行管理，从而使企业的安全管理更加规范化。同时，企业也需要这样一套解决方案，首先它能够清楚地帮用户了解企业内部的通信行为模式，其次帮助用户根据这些行为模式制订出相应的安全策略，最后便于用户将这套策略强制实施到企业网络的每一个角落。下面我们分几个方面来对信息安全技术展开讨论：内网安全与外网安全的区别传统网络安全考虑的是防范外网对内网的攻击，即可以说是外网安全。外网安全的威胁模型假设内部网络都是安全可信的，威胁都来自于外部网络，其途径主要通过内外网边界出口。所以，在外网安全的威胁模型假设下，只要将网络边界处的安全控制措施做好，就可以确保整个网络的安全。

内网安全的威胁模型与外网安全模型相比，更加全面和细致。假设内网网络中的任何一个终端、用户和网络都是不安全和不可信的，威胁既可能来自外网，也可能来自内网的任何—个节点上。所以，在内网安全的威胁模型下，需要对内部网络中所有组成节点和参与者进行细致的管理，实现—个可管理、可控制和可信任的内网。

由此可见，相比于外网安全，内网安全具有以下特点：（1）要求建立一种更加全面、客观和严格的信任体系和安全体系。（2）要求建立更加细粒度的安全控制措施，对计算机终端、服务器、网络和使用者都进行更加具有针对性的管理。（3）对信息进行生命周期的完善管理。正如《内网安全初探》一文中的阐述，传统的网络安全更多地考虑防范外网对内网的攻击，也就是所谓的外网安全。所以，目前提及的“网络安全”，在多数情况下会被单一地理解成外网安全，而事实上根据网络可以被分为外网和内网的特性，网络安全应该是同时涵盖外网安全及内网安全的一个整合概念。

而信息安全，就是一个更加宽泛的概念。根据国际信息安全管理标准BS7799，即国际标准ISO17799，信息安全管理工作应当涉及十个项目，具体参见图一[1]：

根据百度百科阐述，“IT”意为informationtechnology，即信息技术。其中涵盖有三个层次：第一层是指硬件，主要指数据存储、处理和传输的主机和网络通信设备；第二层是指软件，包括可用来搜集、存储、检索、分析、应用、评估信息的各种软件，它包括我们通常所指的ERP、CRM、SCM等商用管理软件，也包括用来加强流程管理的WF管理软件、辅助分析的DW/DM软件等；第三层是指应用，指搜集、存储、检索、分析、应用、评估使用各种信息，包括应用ERP、CRM、SCM等软件直接辅助决策，也包括利用其它决策分析模型或借助DW/DM等技术手段来进一步提高分析的质量，辅助决策者作决策。

另一方面，IT在应用上的构成，虽然业界有着各自不同的解释，但是其中存在一种普遍被认可的观点。即IT由传感技术、通信技术和计算器技术三部分共同组成，具体如下：

(1)传感技术:这是人的感觉器官的延伸与拓展，最明显的例子是条码阅读器；(2)通信技术:这是人的神经系统的延伸与拓展，承担传递信息的功能；(3)计算机技术:这是人的大脑功能延伸与拓展，承担对信息进行处理的功能。

由此，可以发现，信息安全除了包括计算机信息安全外，还应当涵盖传感技术和通信技术所涉及的领域。事实上，它是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。

总的说来，我们简化地理解，内网安全从属于网络安全和信息安全，前者是更为具体细致的概念，后者则是更为概括宽泛的概念。

应对企业内网安全挑战的10种策略这10种策略即是内网的防御策略，同时也是一个提高大型企业网络安全的策略。1、注意内网安全与网络边界安全的不同

内网安全的威胁不同于网络边界的威胁。网络边界安全技术防范来自Internet上的攻击，主要是防范来自公共的网络服务器如HTTP或SMTP的攻击。网络边界防范(如边界防火墙系统等)减小了资深黑客仅仅只需接入互联网、写程序就可访问企业网的几率。

内网安全威胁主要源于企业内部。恶性的黑客攻击事件一般都会先控制局域网络内部的一台Server，然后以此为基地，对Internet上其他主机发起恶性攻击。因此，应在边界展开黑客防护措施，同时建立并加强内网防范策略。2、限制VPN的访问

虚拟专用网(VPN)用户的访问对内网的安全造成了巨大的威胁。因为它们将弱化的桌面操作系统置于企业防火墙的防护之外。很明显VPN用户是可以访问企业内网的。

因此要避免给每一位VPN用户访问内网的全部权限。这样可以利用登录控制权限列表来限制VPN用户的登录权限的级别，即只需赋予他们所需要的访问权限级别即可，如访问邮件服务器或其他可选择的网络资源的权限。

3、为合作企业网建立内网型的边界防护

合作企业网也是造成内网安全问题的一大原因。例如安全管理员虽然知道怎样利用实际技术来完固防火墙，保护MS-SQL，但是Slammer蠕虫仍能侵入内网，这就是因为企业给了他们的合作伙伴进入内部资源的访问权限。由此，既然不能控制合作者的网络安全策略和活动，那么就应该为每一个合作企业创建一个DMZ，并将他们所需要访问的资源放置在相应的DMZ中，不允许他们对内网其他资源的访问。

4、自动跟踪的安全策略

智能的自动执行实时跟踪的安全策略是有效地实现网络安全实践的关键。它带来了商业活动中一大改革，极大的超过了手动安全策略的功效。商业活动的现状需要企业利用一种自动检测方法来探测商业活动中的各种变更，因此，安全策略也必须与相适应。例如实时跟踪企业员工的雇佣和解雇、实时跟踪网络利用情况并记录与该计算机对话的文件服务器。总之，要做到确保每天的所有的活动都遵循安全策略。5、关掉无用的网络服务器

大型企业网可能同时支持四到五个服务器传送e-mail，有的企业网还会出现几十个其他服务器监视SMTP端口的情况。这些主机中很可能有潜在的邮件服务器的攻击点。因此要逐个中断网络服务器来进行审查。若一个程序(或程序中的逻辑单元)作为一个window文件服务器在运行但是又不具有文件服务器作用的，关掉该文件的共享协议。6、首先保护重要资源

若一个内网上连了千万台(例如30000台)机子，那么要期望保持每一台主机都处于锁定状态和补丁状态是非常不现实的。大型企业网的安全考虑一般都有择优问题。这样，首先要对服务器做效益分析评估，然后对内网的每一台网络服务器进行检查、分类、修补和强化工作。必定找出重要的网络服务器(例如实时跟踪客户的服务器)并对他们进行限制管理。这样就能迅速准确地确定企业最重要的资产，并做好在内网的定位和权限限制工作。7、建立可靠的无线访问

审查网络，为实现无线访问建立基础。排除无意义的无线访问点，确保无线网络访问的强制性和可利用性，并提供安全的无线访问接口。将访问点置于边界防火墙之外，并允许用户通过VPN技术进行访问。8、建立安全过客访问

对于过客不必给予其公开访问内网的权限。许多安全技术人员执行的“内部无Internet访问”的策略，使得员工给客户一些非法的访问权限，导致了内网实时跟踪的困难。因此，须在边界防火墙之外建立过客访问网络块。

9、创建虚拟边界防护

主机是被攻击的主要对象。与其努力使所有主机不遭攻击(这是不可能的)，还不如在如何使攻击者无法通过受攻击的主机来攻击内网方面努力。于是必须解决企业网络的使用和在企业经营范围建立虚拟边界防护这个问题。这样，如果一个市场用户的客户机被侵入了，攻击者也不会由此而进入到公司的R&D。因此要实现公司R&D与市场之间的访问权限控制。大家都知道怎样建立互联网与内网之间的边界防火墙防护，现在也应该意识到建立网上不同商业用户群之间的边界防护。

10、可靠的安全决策

网络用户也存在着安全隐患。有的用户或许对网络安全知识非常欠缺，例如不知道RADIUS和TACACS之间的不同，或不知道代理网关和分组过滤防火墙之间的不同等等，但是他们作为公司的合作者，也是网络的使用者。因此企业网就要让这些用户也容易使用，这样才能引导他们自动的响应网络安全策略。

另外，在技术上，采用安全交换机、重要数据的备份、使用代理网关、确保操作系统的安全、使用主机防护系统和入侵检测系统等等措施也不可缺。3.内网安全技术分析与标准探讨3.1内网安全问题的本质探讨

3.1.1内网安全问题的形成原因

内网安全问题的提出跟国家信息化的进程息息相关，信息化程度的提高，使得内部信息网络具备了以下三个特点：1）随着ERP、OA和CAD等生产和办公系统的普及，单位的日程运转对内部信息网络的依赖程度越来越高，内网信息网络已经成了各个单位的生命线，对内网稳定性、可靠性和可控性提出高度的要求。2）内部信息网络由大量的终端、服务器和网络设备组成，形成了统一有机的整体，任何一个部分的安全漏洞或者问题，都可能引发整个网络的瘫痪，对内网各个具体部分尤其是数量巨大的终端可控性和可靠性提出前所未有的要求。3）由于生产和办公系统的电子化，使得内部网络成为单位信息和知识产权的主要载体，传统的对信息的控制管理手段不再使用，新的信息管理控制手段成为关注的焦点。上述三个问题，都是依赖于内网，与内网的安全紧密相连的，内网安全受到广泛的高度重视也就不以为奇。3.1.2内网安全问题的威胁模型

相对于内网安全概念，传统意义上的网络安全更加为人所熟知和理解，事实上，从本质来说，传统网络安全考虑的是防范外网对内网的攻击，即可以说是外网安全，包括传统的防火墙、入侵检察系统和VPN都是基于这种思路设计和考虑的。外网安全的威胁模型假设内部网络都是安全可信的，威胁都来自于外部网络，其途径主要通过内外网边界出口。所以，在外网安全的威胁模型假设下，只要将网络边界处的安全控制措施做好，就可以确保整个网络的安全。

而内网安全的威胁模型与外网安全模型相比，更加全面和细致，它即假设内网网络中的任何一个终端、用户和网络都是不安全和不可信的，威胁既可能来自外网，也可能来自内网的任何一个节点上。所以，在内网安全的威胁模型下，需要对内部网络中所有组成节点和参与者的细致管理，实现一个可管理、可控制和可信任的内网。由此可见，相比于外网安全，内网安全具有以下特点：1）要求建立一种更加全面、客观和严格的信任体系和安全体系；2）要求建立更加细粒度的安全控制措施，对计算机终端、服务器、网络和使用者都进行更加具有针对性的管理；3）要求对信息进行生命周期的完善管理。3.2现有内网安全产品和技术分析

自从内网安全概念提出到现在，有众多的厂商纷纷发布自己的内网安全解决方案，由于缺乏标准，这些产品和技术各不相同，但是总结起来，应该包括监控审计类、桌面管理类、文档加密类、文件加密类和磁盘加密类等。下面分别对这些产品和技术类型的特性做了简单的分析和说明。

3.2.

监控审计类产品是最早出现的内网安全产品，50％以上的内网安全厂商推出的内网安全产品都是监控审计类的。监控审计类产品主要对计算机终端访问网络、应用使用、系统配置、文件操作以及外设使用等提供集中监控和审计功能，并可以生成各种类型的报表。监控审计产品一般基于协议分析、注册表监控和文件监控等技术，具有实现简单和开发周期短的特点，能够在内网发生安全事件后，提供有效的证据，实现事后审计的目标。监控审计类产品的缺点是不能做到事情防范，不能从根本上实现提高内网的可控性和可管理性。

3.2.2

桌面管理类产品主要针对计算机终端实现一定的集中管理控制策略，包括外设管理、应用程序管理、网络管理、资产管理以及补丁管理等功能，这类型产品通常跟监控审计产品有类似的地方，也提供了相当丰富的审计功能，桌面监控审计类产品除了使用监控审计类产品的技术外，还可能需要对针对Windows系统使用钩子技术，对资源进行控制，总体来说，技术难度也不是很大。桌面监控审计类产品实现了对计算机终端资源的有效管理和授权，其缺点不能实现对内网信息数据提供有效的控制。

3.2.

文档加密类产品也是内网安全产品中研发厂商相对较多的内网安全产品类型，其主要解决特定格式主流文档的权限管理和防泄密问题，可以部分解决专利资料、财务资料、设计资料和图纸资料的泄密问题。文档加密技术一般基于文件驱动和应用程序的API钩子技术结合完成，具有部署灵活的特点。但是，因为文档加密技术基于文件驱动钩子、临时文件和API钩子技术，也具有软件兼容性差、应用系统适应性差、安全性不高以及维护升级工作量大的缺点。

3.2.

文件加密类产品类型繁多，有针对单个文件加密，也有针对文件目录的加密，但是总体来说，基本上是提供了一种用户主动的文件保护措施。文件加密类产品主要基于文件驱动技术，不针对特定类型文档，避免了文档加密类产品兼容性差等特点，但是由于其安全性主要依赖于使用者的喜好和习惯，难以实现对数据信息的强制保护和控制。

3.2.

磁盘加密类产品在磁盘驱动层对部分或者全部扇区进行加密，对所有文件进行强制的保护，结合用户或者客户端认证技术，实现对磁盘数据的全面保护。磁盘加密技术由于基于底层的磁盘驱动和内核驱动技术，具有技术难度高、研发周期长的特点。此外，由于磁盘加密技术对于上层系统、数据和应用都是透明的，要实现比较好的效果，必须结合其它内网安全管理控制措施。

3.3构建完整的内网安全体系

从前面的介绍可以看出，上述的内网安全产品，都仅仅解决了内网安全部分的问题，并且由于其技术的限制，存在各自的缺点。事实上，要真正构建一个可管理、可信任和可控制的内网安全体系，应该统一规划，综合上述各种技术的优势，构建整体一致的内网安全管理平台。根据上述分析和内网安全的特点，一个整体一致的内网安全体系，应该包括身份认证、授权管理、数据保密和监控审计四个方面，并且，这四个方面应该是紧密结合、相互联动的统一平台，才能达到构建可信、可控和可管理的安全内网的效果。

身份认证是内网安全管理的基础，不确认实体的身份，进一步制定各种安全管理策略也就无从谈起。内网的身份认证，必须全面考虑所有参与实体的身份确认，包括服务器、客户端、用户和主要设备等。其中，客户端和用户的身份认证尤其要重点关注，因为他们具有数量大、环境不安全和变化频繁的特点。

授权管理是以身份认证为基础的，其主要对内部信息网络各种信息资源的使用进行授权，确定“谁”能够在那些“计算机终端或者服务器”使用什么样的“资源和权限”。授权管理的信息资源应该尽可能全面，应该包括终端使用权、外设资源、网络资源、文件资源、服务器资源和存储设备资源等。数据保密是内网信息安全的核心，其实质是要对内网信息流和数据流进行全生命周期的有效管理，构建信息和数据安全可控的使用、存储和交换环境，从而实现对内网核心数据的保密和数字知识产权的保护。由于信息和数据的应用系统和表现方式多种多样，所以要求数据保密技术必须具有通用性和应用无关性。

监控审计是内网安全不可缺少的辅助部分，可以实现对内网安全状态的实时监控，提供内网安全状态的评估报告，并在发生内网安全事件后实现有效的取证。需要再次强调的是，上述四个方面，必须是整体一致的，如果只简单实现其中一部分，或者只是不同产品的简单堆砌，都难以建立和实现有效内网安全管理体系。4.以下涉及到部分公司的信息安全技术：1）安全策略保证系统SYGATE安全策略保证系统引入了全新的系统架构，以满足开放网络日益突出的安全需求。该产品的问世，将企业的网络安全防线扩展到企业内部网络中的每一台网络主机(本地或远程)之上。同时该系统具有很强的扩展性，不但可以有效解决现有网络安全问题，还能够整合第三方的安全产品以应对未来的安全威胁。SYGATE安全策略保证系统由三个子系统组成，包括SYGATE策略管理服务器，安全代理，认证强制网关。SYGATE策略管理服务器是整个系统的核心，负责管理企业安全策略的制定、修改和分发。同时还负责管理和维护企业网络中的安全代理，使得管理员能够对不同的用户实施不同的安全策略。SYGATE安全代理运行在企业网络中的每一台联网主机上，负责收集客户端信息、监控用户的网络行为、监控客户机的网络通信和安全状态，并将收集到的信息发送到策略管理服务器，以便管理员针对性地制定安全策略。同时安全代理自动从策略管理服务器中下载新的安全策略，并在本地执行指定的安全策略。SYGATE认证强制网关负责认证主机身份的完整性，检查网络客户机是否安装和运行了安全代理，安全代理是否正确执行了企业的安全策略，并根据检查结果决定是否允许客户端访问网络内部的资源。（中国IT实验室）2）中国万网统一资源平台网络平台：电信级的网络设备服务器：英特尔的多核服务器所有服务器都配置了领先的备份体系，将备份分为三级。既有本地备份，也有异地容灾备份，能够保证用户的数据在任何情况下都能够不受损失。全国网络监控体系。我们是通过检测、分析、决策、优化这样一个流程来进行的。当我们的私有客户端和公有客户端不断的发回数据，并且检测到某一网络的速率是否是正常还是延迟的时候，我们会形成对所有数据的优化整合，清晰，并且最后出现各种统计报表。目标是使用户能够在最适合自己的机房部署自己的应用。在安全方面的运维创新，广义上的安全是分为网络安全和信息安全，细化为五个部分，网络安全、系统安全、应用安全、内容安全和访问安全。在网络安全方面，投入了千兆的防火墙设备和各种千兆的防DDS攻击设备，用来可以抵御很大规模的分布式攻击。在系统安全方面，一是防病毒，二是通过远程扫描来捕获自己的服务器当前是否是安全的，包括入侵检测系统等。在内容安全方面，不仅做了内容监控，也包括使用一些自主研发的程序时时排查虚拟主机的客户是不是被别人挂了木马。在访问安全方面，采用SL技术，对VIP客户能够点对点的传输，保证信息安全。在中国地图上所有有自己机房的结点，我们都会把所有的数据录入进去，可以测试任何两个节点之间的速度。可以创造看到每一台服务器，每一个物理机和虚拟机的运行状况。可以看到服务器的硬件信息、软件信息是否能够登录远程桌面，所有开启的服务器，并且下面可以看到对CPU、内存、网卡的情况。所有的服务器都可以管理起来。而且细化到每一个虚拟机。在一台物理机上如果有若干台虚拟机也可以同样的方式管理。实现有效的物理资源和逻辑资源的整合。5.案例(校园网解决方案)5.1应用背景

某高校现有全日制在校生14500人、教职工1000多人。随着学校师资力量的不断加强，现有教学用计算机3000台，语音室座位1500个，多媒体教室座位9000个。在校园网络中，学生学籍信息、教学任务、行政资料、财务数据等重要信息都保存在网络内部的服务器上，服务器承担着非常巨大的访问流量，存储、处理网络上大约80%的数据、信息。因此，校园网络在运作过程中，必须注重对服务器群组的防护，以免服务器的开放性和操作系统自身的安全漏洞带来的内部网络信息丢失、遭受入侵攻击等问题。

5.2解决方案

通过多方细致调研，该高校最终选择西安交大捷普网络科技有限公司进行网络安全的技术支持。