1、企业网络安全探究论文全文企业XX络安全探究论文(全文) 1引言 随着计算机XX络的出现和互联XX的飞速进展，企业基于XX络的计算机应用也在迅速增加，基于XX络信息系统给企业的经营治理带来了更大的经济效益，但随之而来的安全问题也在困扰着用户，在2021年后，木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。 随着信息化技术的飞速进展，许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场，企业就面临着如何提高自身核心竞争力的问题，而其内部的治理问题、效率问题、考核
2、问题、信息传递问题、信息安全问题等，又时刻在制约着自己，企业采纳PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。 在下面的描述中，以某公司为例进行说明。 2信息系统现状 2.1信息化整体状况 1)计算机XX络 某公司现有计算机500余台，通过内部XX相互连接，根据公司统一规划，通过防火墙与外XX互联。在内部XX络中，各计算机在同一XX段，通过交换机连接。 图1 2)应用系统 经过多年的积存，某公司的计算机应用已基本覆盖了经营治理的各个环节，包括各种应用系统和办公自动化系统。随着计算机XX络的进一步完善，计算机应用也由数据分散的应用模式转变为数据日益集中的模式。 2.2信息
3、安全现状 为保障计算机XX络的安全，某公司实施了计算机XX络安全项目，基于当时对信息安全的认识和安全产品的状况，信息安全的主要内容是XX络安全，部署了防火墙、防病毒服务器等XX络安全产品，极大地提升了公司计算机XX络的安全性，这些产品在此后防范XX络攻击事件、冲击波等XX络病毒攻击以及XX络和桌面日常保障等方面发挥了很大的作用。 3风险与需求分析 3.1风险分析 通过对我们信息系统现状的分析，可得出如下结论： (1)经营治理对计算机应用系统的依赖性增强，计算机应用系统对XX络的依赖性增强。计算机XX络规模不断扩大，XX络结构日益复杂。计算机XX络和计算机应用系统的正常运行对XX络安全提出了更高
4、的要求。 (2)计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心，因此有必要加强各计算机应用系统的用户治理和身份的认证，加强对数据的备份，并运用技术手段，提高数据的机密性、完整性和可用性。 通过对现有的信息安全体系的分析，也可以看出：随着计算机技术的进展、安全威胁种类的增加，某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷，具体表现在： (1)系统性不强，安全防护仅限于XX络安全，系统、应用和数据的安全存在较大的风险。 目前实施的安全方案是基于当时的认识进行的，主要工作集中于XX络安全，对于系统和应用的安全防范缺乏技术和治理手段。如缺乏有效
5、的身份认证，对服务器、XX络设备和应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺乏整体方案和制度规范，容易造成重要数据的丢失和泄露。 当时的XX络安全的基本是一种外部XX络安全的概念，是基于这样一种信任模型的，即XX络内部的用户都是可信的。在这种信任模型下，假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部，并且是通过XX络从外部使用各种攻击手段进入内部XX络信息系统的。 针对外部XX络安全，人们提出了内部XX络安全的概念，它基于这样一种信任模型：所有的用户都是不可信的。在这种信任模型中，假设所有用户都可能对信息安全造成威胁，并且可以各种更加方便的手段对信
6、息安全造成威胁，比如内部人员可以直接对重要的服务器进行操控从而破坏信息，或者从内部XX络访问服务器，下载重要的信息并盗取出去。内部XX络安全的这种信任模型更符合现实的状况。 美国联邦调查局(FBI)和计算机安全机构(CSI)等权威机构的研究也证明了这一点：超过80%的信息安全隐患是来自组织内部，这些隐患直接导致了信息被内部人员所窃取和破坏。 信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有选用有关的安全服务。不能充分发挥安全产品的效能。 (2)原有的XX络安全产品在功能和性能上都不能适应新的形势，存在一定的XX络安全隐患，产品亟待升级。 已购买的XX络安全产品中，有
7、不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全XX的安全性，拟对系统的互联XX出口进行严格限制，原有的防火墙将成为企业内XX和公XX之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求，现有的防火墙不具备这些功能。 XX络信息系统的安全建设建立在风险评估的基础上，这是信息化建设的内在要求，系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期，在规划的过程中，就运用风险评估、风险治理的手段，用户才可以幸免重复建设和投资的浪费。 3.2需求分析 如前所述，某公司信息系统存在较大的风险，信息安全的需求主要体现在如下几点：
8、(1)某公司信息系统不仅需要安全可靠的计算机XX络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。 (2)XX络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某公司计算机XX络安全面临更大的挑战，原有的产品进行升级或重新部署。 (3)信息安全工作日益增强的重要性和复杂性对安全治理提出了更高的要求，为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行。 (4)信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是
9、某公司面临的重要课题。 4设计原则 安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行，幸免重复投入、重复建设，充分考虑整体和局部的利益。 4.1标准化原则 本方案参照信息安全方面的GJ法规与标准和公司内部已经执行或正在起草标准及规定，使安全技术体系的建设达到标准化、规范化的要求，为拓展、升级和集中统一打好基础。 4.2系统化原则 信息安全是一个复杂的系统工程，从信息系统的各层次、安全防范的各阶段全面地进行考虑，既注重技术的实现，又要加大治理的力度，以形成系统化的解决方案。 4.3规避风险原则 安全技术体系的建设涉及XX络、系统、应用等方方面面，任何改造、添加甚至移动，都可
10、能影响现有XX络的畅通或在用系统的连续、稳定运行，这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题，在规划与应用系统衔接的基础安全措施时，优先保证透明化，从提供通用安全基础服务的要求出发，设计并实现安全系统与应用系统的平滑连接。 4.4保护投资原则 由于信息安全理论与技术进展的历史原因和自身的资金能力，某公司分期、分批建设了一些整体的或区域的安全技术系统，配置了相应的设施。因此，本方案依据保护信息安全投资效益的基本原则，在合理规划、建设新的安全子系统或投入新的安全设施的同时，对现有安全系统采取了完善、整合的办法，以使其纳入总体安全技术体系，发挥更好的效能，而不是排斥或抛弃
11、。 4.5多重保护原则 任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。 4.6分步实施原则 由于某公司应用扩展范围广阔，随着XX络规模的扩大及应用的增加，系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性，寻求安全、风险、开销的平衡，采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求，亦可节省费用开支。 5设计思路及安全产品的选择和部署 信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对XX络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是
12、一个动态的过程，事前、事中和事后的技术手段应当完备，安全治理应贯穿安全防范活动的始终，如图2所示。 图2XX络与信息安全防范体系模型 信息安全又是相对的，需要在风险、安全和投入之间做出平衡，通过对某公司信息化和信息安全现状的分析，对现有的信息安全产品和解决方案的调查，通过与计算机专业公司接触，初步确定了本次安全项目的内容。通过本次安全项目的实施，基本建成较完整的信息安全防范体系。 5.1XX络安全基础设施 证书认证系统无论是企业内部的信息XX络还是外部的XX络平台，都必须建立在一个安全可信的XX络之上。目前，解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(PublicKey
13、Infrastructure，公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了XX上身份认证、信息完整性和抗抵赖等安全问题，为XX络应用提供可靠的安全保障，向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统，建立一个完善的XX络安全认证平台，能够通过这个安全平台实现以下目标： 身份认证(Authentication)：确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。 数据的机密性(Confidentiality)：对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成。
14、数据的完整性(Integrity)：确保通信信息不被破坏(截断或篡改)，通过哈希函数和数字签名来完成。 不可抵赖性(Non-Repudiation)：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。 5.2边界防护和XX络的隔离 VPN(VirtualPrivateNetwork)虚拟专用XX，是将物理分布在不同地点的XX络通过公用骨干XX(如Internet)连接而成的逻辑上的虚拟专用XX。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。 通过安装部署VPN系统，可以为企业构建虚拟专用XX络提供了一整套安全
15、的解决方案。它利用开放性XX络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公XX上开发一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接。 集成的防火墙功能模块采纳了状态检测的包过滤技术，可以对多种XX络对象进行有效地访问监控，为XX络提供高效、稳定地安全保护。 集中的安全策略治理可以对整个VPNXX络的安全策略进行集中治理和配置。 5.3安全电子邮件 电子邮件是Internet上出现最早的应用之一。随着XX络的快速进展，电子邮件的使用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在XX络上传播。然而由于XX络的开放性
16、和邮件协议自身的缺点，电子邮件存在着很大的安全隐患。 目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME(SecureMultipurposeInternetMailExtensions)，它是从PEM(PrivacyEnhancedMail)和MIME(Internet邮件的附件标准)进展而来的。首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织(根证书)之间相互认证，整个信任关系基本是树状的。其次，S/MIME将信件内容加密签名后作为特别的附件传送。保证了信件内容的安全性。 5.4桌面安全防护 对企业信息安全
17、的威胁不仅来自企业XX络外部，大量的安全威胁来自企业内部。很早之前安全界就有数据显示，近80%的XX络安全事件，是来自于企业内部。同时，由于是内部人员所为，这样的安全犯罪往往目的明确，如针对企业机密和专利信息的窃取、财务欺骗等，因此，对于企业的威胁更为严峻。对于桌面微机的治理和监控是减少和消除内部威胁的有效手段。 桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡治理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。 1)电子签章系统 利用非对称密钥体系保证了文档的完整性和不可抵赖性。采纳组件技术，可以无缝嵌入OFFICE系统，用户可以在编辑文档后对文档进行签章，或是打
18、开文档时验证文档的完整性和查看文档的的安全服务，提高应对重大安全事件的能力。 (3)该方案投资大，覆盖范围广，根据实际情况，可采取分地区、分阶段实施的方式。 (4)在方案实施的同时，加强规章制度、技术规范的建设，使信息安全的日常工作进一步制度化、规范化。 7结论 本文以某公司为例，分析了XX络安全现状，指出目前存在的风险，随后提出了一整套完整的解决方案，涵盖了各个方面，从技术手段的改进，到规章制度的完善；从单机系统的安全加固，到整体XX络的安全治理。本方案从技术手段上、从可操作性上都易于实现、易于部署，为众多行业提供了XX络安全解决手段。 也希望通过本方案的实施，可以建立较完善的信息安全体系，有效地防范信息系统来自各方面的攻击和威胁，把风险降到最低水平。
