《企业安全解决方案》

作者：孤独剑客 

关键字：
病毒（Virus） 黑客（Hacker） 安全（Security）
内容提要：
    本文从广义的角度，对威胁企业信息安全的因素进行了分析，对信息安全防护体系进行了介绍，对安全方案的设计与实现进行了阐述，并给出了典型的企业安全解决方案应用实例。旨在帮助企业用户通过对安全知识的了解，能够制定出符合企业实际安全需求的安全方案来，并能够监督自身很好地执行安全方案的贯彻，从而最终达到保护企业信息资源安全的目的。
一、概述（Summarize）
    在互联网技术高速发展的今天，网络为企业带来了成本降低、效率提高、业务开拓和形象提升等诸多好处，使得企业信息化成为现代企业的必由之路。然而，事物往往是伴随矛盾而至的，不少信息化的企业在感受网络所带来便捷的同时，也体验到了病毒、黑客等网络负面因素带来的困扰，所以，建立完备的安全防护体系，确保系统网络得以正常运转，以保护企业的信息资源不受侵害，已经成为企业信息化进程中的重要举措。
    企业信息安全是一项跨学科的综合性信息系统工程，它涉及安全技术和安全管理两大范畴。就安全技术而言，它就涵盖了通信技术、计算机技术、操作系统、网络技术和密码学等多个领域，远非个人或小团队所能具备的，它需要有专门的组织或单位投入大量的人力、物力和财力致力于这方面的研究和开发，才有可能做的比较完备。有关安全的技术与管理哪个更重要的问题，是大家所关心的，也是人们一直在探讨的话题，其实，我们不能陷入这样很难有答案的讨论中去，而更应该分析企业的安全需求，根据需求制定相应的技术和管理方案来满足它。事实上，在有些企业技术用的多些，管理起的作用相对要小些，而有些企业管理就比技术要重要的多，不可同一而足，要视不同的情况而定。并且，在部署安全方案的过程中还要坚持“安全与方便”和“投入与效果”等原则，比如用系统总投资的一半以上作为安全投入或施加安全方案后却造成了系统的瓶颈，显然都是不合适的。
二、安全威胁（Security Baleful）
    相对个人网络用户而言，企业的信息网络要复杂的多，多个网络通讯节点、众多的网络设备和多种操作系统平台及应用等，决定了其所面临的网络威胁更大更多。在这里纠正一个错误的观点，那就是把信息安全认为就是防范黑客，甚至把安全防护说成是黑客防范，这是很可怕的想法，也是非常狭隘的，发生在去年美国的911事件正是推翻这一说法的明证。事实上，企业的信息网络所面临的威胁是多方面的，包括自然灾害、突发事件、电源中断、计算机病毒、网络蠕虫、黑客入侵、管理混乱等诸多因素，忽视任何一个方面都可能带来灭顶之灾，但在这些安全问题中有些是一次性就可以解决的，而有些是需要不断维护的，比如：装备多个UPS和备用发电机一般来说就不用再担心电源中断的问题，而计算机病毒防范就需要不断的升级病毒代码库，否则就失去了防护效果。尽管安全威胁的因素非常之多，但从发生的方式来看，主要的也就以下几类：
1、不可抗力（Force Majeure）
    不可抗力事件大多数情况下都是突然发生，无法预测或者是知道也很难避免，尽管发生的概率较小，但的确存在，比如：地震、洪水、爆炸等，但总之会带来一种后果就是信息系统极大地或彻底的遭到破坏。一般可分为自然和人为两类：
（1）自然灾害（Nature Calamity）：诸如地震、洪水、火山喷发、暴雨、泥石流、雷击、彗星撞地球等大自然现象带来的破坏都属于此类，都将给企业信息系统带来毁灭性的打击。
（2）人为事件（Factitious Event）：凡是由人直接或间接在不可预测中导致的突发性破坏均属于此类，比如：美国911恐怖事件导致世界贸易大厦的倒塌致使不少企业的信息系统完全被破坏。
2、电磁安全（Electromagnetism Security）
    任何网络信息系统都离不开电子芯片的使用和电信号的传输，在此过程中就会有磁辐射和静电产生，从而带来一系列的安全问题，这方面的威胁主要有如下几种：
（1）高压静电（High-pressure Static）：电子芯片在干燥的环境中工作，若接地不好的话，很容易被表面的静电击穿，而导致芯片彻底损坏，不加以重视的话，这种高压静电甚至会威胁到人身安全。
（2）电磁泄漏（Electromagnetism Blab）：当网络主机等电子设备工作的时候会释放出一定的电磁波，若不进行防护的话，不仅危害人的身体健康，而且还会造成严重的安全问题，事实表明，通过特殊的装置可以在很远的距离对计算机的屏幕发出的电磁波进行搜集，从而可以还原出屏幕的内容。
（3）信号干扰（Signal Disturb）：系统主机或线路离变压器等高辐射源太近或布线不合理都可导致通讯信号受到干扰，进而降低线路传输质量，甚至导致线路断续或中断，危及信息系统的安全运行。事实上，企业信息系统的众多网络设备和线路往往非常密集，最容易产生信号干扰。
3、物理安全（Physical Security）
    通过物理地接触进行非授权访问和破坏，是一种很简单有效的攻击方式，幸运的是能物理接触你的计算机的人大多是可信的。但是，俗话说：“害人之心不可有，防人之心不可无”，为了计算机及数据的安全，还是要了解一下物理攻击的途径，主要方式如下：
（1）软盘启动（Floppy Booting）：通过使用软盘启动计算机可以轻松地非法访问硬盘数据，根据专家研究表明，此方法目前对所有的Windows和Unix都十分有效。
（2）硬盘失窃（Hard Disk Stolen）：计算机放置的环境不安全的话，很可能会发生硬盘被偷走的情况。
（3）密码偷看（Password Record）：在键盘上输入密码的时候很容易被不怀好意的人看到并记下，并且的确有人能在几米外记下快速敲过的字符，甚至包括字母的大小写和特殊字符。
4、病毒感染（Virus Infection）
    在几年前，大家对病毒的概念还主要是引导型和文件型病毒，但网络发展是如此之快，稍加注意就会发现近年来危害更大的是在网络上漫游的蠕虫类程序，它们在网络中的转播速度非常迅速，不仅造成了无休止的网络阻塞，而且伤及了众多的无辜者。一般来说，它们的入侵途径主要有以下几种：
（1）软盘（Floppy Disk）：毫无防护的使用软盘有可能会给你带来引导区或可执行文件类的电脑病毒。尽管引导区病毒已经几乎没有了生存的环境，但假如你不小心使用早年前已被感染引导区病毒的软盘的话，尽管它不能成功地隐蔽驻留在你的计算机上，但有可能它的尝试感染会破坏你的硬盘分区，导致数据尽失，欲苦无泪。
（2）光盘（CDROM）：轻率地使用光盘与软盘一样有害，甚至超过软盘，因为光盘是只读的，即便发现有病毒等有害程序也无法杀除，很容易误使用，更令人堪忧的是，盗版光碟在迅速传播，而大多都已经被病毒感染。
（3）电子邮件（Email）：随着Internet网络的发展，电子邮件被频繁的使用，给蠕虫类病毒提供了良好的生存空间，大量事实证明，仅仅收到一封邮件，就算你不打开正文或附件，仅仅选中邮件的标题头，就有可能带来灭顶之灾。
（4）有害网页（Malicious Homepage）：浏览网站是绝大多数上网人员所要做的事情，遗憾的是，过去一直被认为浏览网站是安全的概念接连不断的被打破了，大量的攻击事件表明，仅仅通过使用浏览器观看某些恶意网站的网页，完全可能在你的机器上执行二进制代码，意思就是说可以在你机器上运行任何程序，包括木马和格式化硬盘的程序等。
（5）网络共享（Network Share）：网络当初的设计目的就是为了资源共享，所以大多数的操作系统都可设置共享文件夹，以便和其它网络用户共享信息，不幸的是，病毒会感染共享文件，然后继而感染所有使用此共享文件的系统。
4、网络攻击（Network Attack）
    随着网络科技的发展，良莠不齐的东西都来了，尤其是网络攻击事件的频繁发生，无不都和“黑客（Hacker）”有关联，这个曾经代表具有顶尖系统网络技术的美誉，而今几乎堕落到了良心的深渊，公众对之敬而远之，受害的企业仍心有余悸，而它那能在网络纵横的魅力却有吸引着一批批的脚本小子（Script Kids），致力于要成就所谓真正的黑客，带来的后果却是众多企业单位的网站首页无辜被涂鸦，网络系统莫名奇妙的崩溃，个人隐私被在网络上披露，在他们体验掌控网络快感而欢呼的时候，却不知道已经给企业和个人带来了难以估量的损失，并且已经触犯了国家法律。分析其网络攻击的手法将有助于做好安全防范，不外乎主要有以下几种方式：
（1）拒绝服务（Denial of Service）：简称D.O.S，就是通过发送特殊畸形的数据包导致系统崩溃死机或者是提交大量正常数据包进行洪水式（Flood）的淹没攻击，均可可导致系统丧失提供正常服务的能力，即被称为拒绝攻击。目前网络上有大量的此类程序存在，并且可轻松下载，常见的有：WinNuker、Teardrop、SYN Flooder等。
（2）黑客闯入（Hacker Inbreak）：使用扫描程序发现系统开放的端口和漏洞，然后通过特殊的程序或进行特定的操作就能够控制整个系统，能做到这样的人，一般被称为“黑客”。事实上，大量的黑客事件证明，目前默认安装的大多数操作系统都几乎无安全性可言，这就意味着假如没有施以安全措施的话，就等于是处于开放状态。
（3）木马程序（Trojan）：这个希腊神话里面的名词，经过多个世纪后终于在现在的网络中复活了，系统中一旦被植入了木马程序就意味着计算机可以被别人自由的使用，而且是远程的遥控，并且往往会被利用为网络攻击的跳板，进而成为替罪羊。
（4）网络嗅探器（Network Sniffer）：最初设计网络的时候主要是为了教育和科研使用，所以没有考虑太多安全性，数据在网络上的传输都是明文的，于是嗅探类程序就应运而生，它们潜伏在网络中，悄悄地捕获着网络上所有的数据包，包括ftp、telnet等账号密码信息及邮件内容等，如此，网络已无安全性可言。
5、社会工程学（Society Engineering）
    在安全界所说的社会工程学，就是通过欺骗或盗窃等手段，把所需要的信息弄到手，进而对系统进行非法侵害。其实就是一种非常规的信息的搜集过程，不少黑客利用社会工程学之所以能在网上频频作案得逞，这主要是与人们淡薄的防范意识直接相关。
（1）意识淡薄（Consciousness Dim）：淡薄的安全意识往往会导致重要信息的泄漏，把不用的文件资料随便扔掉或不给机房上锁等都不是好的习惯。比如：把打印出来看后不用的账号信息扔进废止篓里而不是用碎纸机处理，就有可能被冒充收垃圾的黑客利用。
（2）电话欺骗（Telephone Cheat）：打电话声称是检查测试网络的或是以领导的身份出现向网络管理员索要账号信息是黑客惯用的社会工程学手段，在这时候就要相信自己的眼睛，而不要相信耳朵。
（3）网络陷井（Network Trap）：利用伪装页面骗取账号信息、伪装朋友用Email发给你木马程序、让你访问含有炸弹的网页等等，这些黑客或蠕虫病毒在网络上惯用的欺骗人的伎俩无不就是充分利用了社会工程学，使人防不胜防。
三、安全防护体系
    无论做什么事情都要先洞察其机理，掌握其规律，去很好地认识和理解它，然后才有可能把事情做的完美。信息安全无不也是如此，经过众多信息安全专家长期的研究，许多种信息安全防护的方法被总结了出来，有基于时间的，有基于事件的，也有基于空间的，然而在众多的安全防护体系中，最受信息安全专家推崇的是被称为P2DR可适应信息安全防护体系，此体系之所以受到如此的重视，并非是偶然的，而是过去安全事件的总结，是经过大量实践验证过的，有着其自身的科学性和先进性，在这里介绍如下：
 
    传统的计算机安全理论是表现在仅仅对信息系统施加一定的安全措施，但随着网络结构的改变，操作系统的升级和应用系统的变化等动态因素，这种静态的安全措施无法适应动态变化的、多维互联的网络环境，于是可适应网络安全理论体系逐渐形成。可适应信息安全防护体系（或称动态信息安全理论）的主要模型是P2DR模型。P2DR模型为网络安全管理提供了可操作的方法。
    P2DR模型包含四个主要部分：Policy（安全策略）、Protection（防护）、Detection（检测）和Response（响应）。防护、检测和响应组成了一个完整的、动态的安全循环。在安全策略的指导下保证信息系统的安全。
　　根据P2DR模型的理论，安全策略是整个网络安全的依据。不同的网络需要不同的策略，在制定策略之前，需要全面考虑网络中可能存在的各种各样的安全问题。对这些问题做出详细的回答，并确定相应的防护手段和实施办法，就是针对企业网络的一份完整的安全策略。策略一旦制订，应当作为整个企业安全行为的准则。 
　　传统的安全手段中都会考虑类似访问控制、加密、认证等防范措施，即P2DR模型中的Protection部分，但为什么这样的网络仍会受到恶意攻击呢？根据P2DR模型，防护是一个必须的环节，防护中采用的技术也已经被广泛采用。但仅有基础防护的网络是不安全的，访问控制等静态安全措施只能对网络系统中的某几个环节起保护作用。网络中有大量安全漏洞存在，攻击者很容易绕过安全防范侵入网络。所以，尽管静态的安全防护投入很大，如果忽略网络系统中的安全隐患和随时可能发生的攻击，仍然达不到安全的目的。只有通过检测和响应这两个环节，发现系统中隐藏的安全隐患并加以解决，才能主动提高网络的抗攻击能力。
    P2DR理论给人们提出了全新的安全概念，安全不能依靠单纯的静态防护，也不能依靠单纯的技术手段来解决，而是需要把技术和管理很好地结合起来，才能达到较好的安全防护效果。此外，网络安全理论和技术还将随着网络技术和应用技术的发展而发展，可以预言，更加完善的安全防护体系不久也将会出现。
四、安全解决方案
    虽然不同的企业的网络体系和应用服务是不一样的，但设计企业级的安全解决方案过程大致是相同的，都是要达到有效保护企业信息资源安全应用的目的。信息安全方案与传统的系统集成方案相比会有所不同，这是由安全的特殊性决定的，在方案的需求分析、网络设计、产品部署和技术培训等方面两者是有相同之处的，但一般而言，系统集成讲求最大化原则，尽可能地保持网络间的互通互连并且安装尽可能多的服务和应用，以利于系统的安装和调试，提高工作效率。而信息安全方案要坚持最小化原则，就是说不必要的一定不用，一定要用的要加以严格限制，因为每多一份不必要的因素，就有可能会带来更大的安全风险。在这里，将从以下几个方面对安全方案进行说明。
1、网络安全因素
    影响网络安全的方面有物理安全、网络隔离技术、加密与认证、网络安全漏洞扫描、网络反病毒、网络入侵检测和最小化原则等多种因素，它们是设计信息安全方案所必须考虑的，是制定信息安全方案的策略和技术实现的基础。
（1）物理安全
    物理安全的目的是保护路由器、交换机、工作站、网络服务器、打印机等硬件实体和通信链路免受自然灾害、人为破坏、和搭线窃听攻击。验证用户的身份和权限，防止越权操作；确保网络设备有一个良好的电磁兼容环境，建立完备的机房安全管理制度，妥善保管备份磁带和文档资料；防止非法人员进入机房进行偷窃和破坏活动等。此外，抑制和防止电磁泄漏也是物理安全的主要问题，往往采用屏蔽措施和伪噪声技术来解决。
（2）网络隔离技术
　　根据功能、保密水平、安全水平等要求的差异将网络进行分段隔离，对整个网络的安全性有很多好处。可以实现更为细化的安全控制体系，将攻击和入侵造成的威胁分别限制在较小的子网内，提高网络的整体安全水平。路由器、虚拟局域网VLAN、防火墙是当前主要的网络分段手段。
（3）加密与认证
　　信息加密的目的是保护网内的数据、文件、密码和控制信息，保护网络会话的完整性。按照收发双方的密钥是否相同来分类，可以将加密算法分为对称（私钥）密码算法和不对称（公钥）密码算法。在对称密码中，加密和解密使用相同的密钥，比较常见的密码算法有：DES、3DES、IDEA、RC4、RC5等，对称密码的特点是有很强的保密强度且运算速度快，但其必需通过安全的途径传送，因此密钥管理至关重要。在不对称密码中，加密和解密使用的密钥互不相同，而且几乎不可能从加密密钥推导出解密密钥。比较常见的密码算法有：RSA、Diffe-Hellman等，公钥密码的优点是可以适应网络的开放性要求，且方便密钥管理，尤其可实现方便的数字签名和验证，但其算法复杂，加密数据速率较低。
　　对网络用户的用户名和密码进行验证是防止非法访问的第一道防线，用户注册的时候首先输入用户名和密码，服务器将首先验证所输入的用户名，如果验证合法才继续验证密码，否则，用户将被拒之网络之外。由此可见，用户的密码是用户登入网络的关键所在。遗憾的是，Internet设计的时候数据传输的是明文，包括TELNET、HTTP、FTP、POP3等，如此就很容易利用嗅探器（Sniffer）类程序在网络窃听到明文的用户密码，所以，常用SSH、SSL、S/KEY、PGP等措施来传输密码和数据来确保安全。
（4）网络安全漏洞扫描
    从P2DR模型可以知道，安全扫描是网络安全防御中的一项重要技术，其原理是采用模拟攻击的形式对目标可能存在的已知安全漏洞进行逐项检查。目标可以是工作站、服务器、路由器、交换机、数据库等各种对象。然后根据扫描结果向系统管理员提交安全性分析报告，为提高网络安全整体水平产生重要依据。
（5）网络反病毒
    在传统的企业安全方案中，考虑网络安全因素的时候往往只重视网络系统，而忽视了反病毒的重要性，尽管后来购买了反病毒软件，但因为在设计时没有考虑反病毒策略，结果导致反病毒效果大打折扣。事实上，随着新技术的发展，病毒的概念在逐渐的发生演变，已经从过去单纯的对引导区和系统文件感染发展到了可通过网络自动传播，并且有的不再以系统文件为宿主，而直接寄生在操作系统之上，网页、Email、共享目录等都成了网络病毒传播的途径，就近年来发生的安全事件来看，多半都是网络型病毒造成的，因此，反病毒技术也由扫描查杀发展到了到实时监控，并且针对特殊的应用服务还出现了相应的防毒系统，如：网关型病毒防火墙，邮件反病毒系统等。
（6）网络入侵检测
    网络入侵检测的目的主要是监控主机和网络系统上发生的一切事件，一旦发现有攻击的迹象或其它不正常现象就采取截断、报警等方式进行处理并通知管理员，同时详细记录有关的事件日志，以备分析取证。它的实时监控和反应大大增强了网络系统的安全性。入侵检测系统一般分为主机型和网络型，前者监控宿主机系统上的攻击特征，后者监控网络上有符合入侵特征的数据包，当前的入侵检测系统大多都可以与防火墙和反病毒软件连动，从而更有效地阻断黑客或病毒的入侵。
（7）最小化原则
    从网络安全的角度考虑问题，打开的服务越多，可能出现的安全问题就会越多。“最小化原则”指的是网络中账号设置、服务配置、主机间信任关系配置等应该为网络正常运行所需的最小限度。关闭网络安全策略中没有定义的网络服务并将用户的权限配置为策略定义的最小限度、及时删除不必要的账号等措施可以将系统的危险性大大降低。在没有明确的安全策略的网络环境中，网络管理员通过简单关闭不必要或者不了解的网络服务、删除主机间的信任关系、及时删除不必要的账号等手段也可以将入侵危险降低一半以上。
2、安全方案的设计和实现
    安全方案的好坏直接关系着企业的信息安全能否真正得到解决，一个不合适的方案不仅浪费了企业宝贵的财力、物力和人力，而且还无法达到保护企业信息资源的效果，而一个好的安全方案，则能够用合适的投入带来最佳的安全回报，所以说，安全方案的设计是至关重要的。当前安全产品厂商提供的企业解决方案不少都是其产品的堆砌，主要是为了达到销售其产品的目的，而另有一些安全服务类公司提供的安全解决方案则一味强调通过安全检测和系统修补配置等服务就能达到很好的安全效果，甚至极端地认为根本不用使用安全产品。如此这些，从服务厂商和公司的角度来看，是没有错的，为了获得经济利益，尽最大可能推销自己的产品和服务，来达到维持企业生存和发展的目的。然而，这些做法对于需要安全方案的企业来说是有害的，大多企业没有专业的安全人员，无法对安全厂商和安全服务公司的方案进行合理性评估，往往会陷入盲从之中，结果不仅给企业造成了资金浪费，并且有可能留下安全隐患。因此，企业要了解一定的安全知识，具备一定的辨识力，必要的情况下可以聘请专业安全咨询公司做监理来完成安全方案的设计和实现。在这里，将从企业的角度，讲述有关安全方案的设计和实现的一些知识。
（1）安全需求分析
    在这里的需求分析指的不是那些安全威胁来源分析、各网络层安全性分析等空洞的东西，而是具体针对企业网络进行的安全分析，要首先确定企业的那些资产和信息数据需要保护，然后分析网络结构及应用情况，发现可能存在安全隐患的地方，以便在安全策略里面加以解决。要分清楚那些地方需要保护，那些地方不需要保护，需要保护的地方又要分出保护层次，而不能一视同仁，这样才能合理的部署安全方案，还要注意的是，企业的安全方案里面有很大一部分内容是涉及管理的，不能片面的认为安全方案就全部是为了安全保护。对于大多数企业来说，一般要考核以下一些方面：
● 机房、主机环境、网络设备和通信线路对安全的需求
● Internet接入服务器的安全需求
● 内部网用户安全访问Internet的安全需求
● 对内网用户访问Internet的监控及带宽控制的需求
● 内部网服务器和外部网站系统的安全需求
● 电子邮件系统的安全需求
● 内外网网络数据传输安全的需求
● 计算机病毒防范的需求
● 用户身份鉴别和认证的安全需求
● 数据保密存储的需求
（2）制定安全策略
    安全策略在安全方案中起着统领全局的重要作用，对于网络的建设者和运营者而言，实现安全的第一要务是明确本网的业务定位、提供的服务类型和提供服务的对象。这些数据直接影响到安全策略的制定和实施过程，对于较大的企业应该有自己的网络安全技术专家，他们可以直接参与工程的设计、谈判和运行，拥有对整体网络拓扑和服务非常透彻的了解，可以保证网络安全策略自始至终的连续性，对于大部分企业来说，拥有这样的技术力量是不现实了，建议购买市场上的网络安全服务，比如：网络安全风险评估、网络设计安全评估、网络安全维护等服务，这样也能达到较好的安全水平。企业的安全策略的制定应该在充分的考察和研究以后，至少要对下面的内容进行限定：
● 物理安全策略
● 访问控制策略
● 开放的网络服务及运行级别策略
● 网络拓扑、隔离手段、依赖和信任关系
● 机房设备和数据的物理安全及保障
● 网络管理职能的分割与责任分担
● 用户的权利分级和责任
● 攻击和入侵应急处理流程和灾难恢复计划
● 密码安全
● 网络安全管理
● 操作系统及应用和安全产品的更新策略
● 系统安全配置策略
（3）安全产品和安全服务
    如果把安全方案比做人，那么安全策略就是大脑和神经，安全产品和安全服务就是血与肉，再好的策略都要通过技术和服务来实现，否则就是一句空谈。根据专家意见，安全产品和安全服务是同样重要的，只有把两者很好地结合起来，才能够真正地贯彻安全策略的执行。一般来说，企业在没有自己的安全技术力量的情况下，安全产品和安全服务主要是从安全公司购买获得的。顺便再说一下，只重视安全产品而忽视安全服务的做法是不可取的，不少安全事件证明，那些仅仅使用了防火墙等安全产品的企业网络是不能够满足安全需求的。安全服务包含有人的智慧的投入，并且是有针对性的实施，恰恰可以弥补产品智能化程度低和缺乏针对性的不足，所以说，除了安全产品外购买必要的安全服务是必需的。
安全产品主要有：
● 网络安全类：扫描器、防火墙、入侵检测系统、网站恢复系统等
● 反病毒类：涉及服务器、网关、邮件、专用系统等的反病毒系统
● 商用密码类：虚拟私有网、公共密钥体系、密钥管理系统、加密机等
● 身份认证类：动态口令、智能卡、证书、指纹、虹膜等
安全服务主要有：
● 安全需求分析
● 安全策略制定
● 系统漏洞审计
● 系统安全加固
● 系统漏洞修补
● 渗透攻击测试
● 数据库安全管理与加固
● 安全产品配置
● 紧急事件响应
● 网络安全培训
3、典型企业安全解决方案
    为了使得企业用户很好地理解本文所讲述的内容，并且能够方便地运用到实践中去，达到保护企业信息资源的目的，在这里将以一个典型的企业Intranet网为例，简述为其设计和贯彻安全解决方案的过程，该过程将需要经过以下一些步骤：


（1）网络应用概述
    该企业的网络系统是典型的Intranet系统，总部的主网络系统通过DDN专线与Internet相连，运行有网站服务器系统、邮件服务器系统和Intranet服务器及内部服务器，分别用于发布公司的网站、构建公司的Email系统及实现本地和远程网络化办公，其中总部的主网络系统和分支机构的子网络系统的数据通信是通过Internet公网来完成的，此外，公司的研发中心等重要部门设置在总部。
（2）安全需求分析
    为确保公司的整个网络系统能够安全稳定的运行，需要对重要服务器、重要子网进行安全保护，对传输的数据进行加密，用户的身份进行鉴别等，主要必须解决以下方面的安全问题：
● 服务器系统的安全：包括网站服务器、邮件服务器、Intranet服务器和内部服务器等。
● 公司总部和分支机构的内部网安全：以防备来自Internet的攻击，如：病毒、木马和黑客等。
● 用户的身份认定：包括公司员工、网站访客和网络会员等。
● 数据传输安全：包括总部与分支机构之间、内部网用户到服务器、移动用户和家庭用户到服务器等。
● 保护重要部门：如研发中心有公司产品源代码等重要的资料。
（3）安全策略制定
● 物理安全策略：如机房环境、门禁系统、设备锁、数据备份、CMOS安全设置等。
● 访问控制策略：为公司总部内部网与Internet网之间、公司总部与分支机构之间、Internet用户与公司网络之间等需要进行互连的网络制定访问控制规则。
● 安全配置及更新策略：对操作系统、应用系统、安全产品等进行升级更新、设置用户访问权限及信任关系等。
● 管理员和用户策略：制定机房出入管理制度、实行安全责任制等。
● 安全管理策略：安全规则设置、安全审计、日志分析、漏洞检测及修补等。
● 密码安全策略：密码复杂度、密码更改周期、密码有效期等。
● 紧急事件策略：针对攻击和入侵可能导致的结果制定应急处理流程和灾难恢复计划。
（4）产品选择及部署
    使用安全产品是贯彻安全策略的有效手段，能够解决大多数的安全问题，但这并不代表使用了安全产品就一定安全了，往往需要把安全产品与安全管理和服务有机地结合起来，才能达到较高的安全水平。
● 交换机：划分VLAN进行子网隔离、抵抗嗅探类程序和提高网络传输效率。
● 防火墙：解决内外网隔离及服务器安全防范等问题，主要部署在网络的Internet接点和重要部门的子网与其它内部子网之间，其中个人防火墙系统安装在客户端。
● 虚拟私有网：解决网络间数据传输的安全保密，主要部署需要安全保密的线路两端的节点处，如：防火墙和客户端。
● 身份认证：解决用户身份鉴定问题，主要部署在专用认证服务器或需要认证的服务器系统中。
● 反病毒：防范病毒、木马、蠕虫等有害程序的感染与传播，主要部署在服务器系统和客户机系统。
● 入侵检测系统：安全监控和黑客入侵实时报警拦截，主要部署在需要保护的服务器主机和需要保护的子网。
（5）安全教育培训
    在安全方案里面，安全教育也是比较重要的一个环节，安全教育能使得掌握基本的安全知识，有利于安全意识的提高，能够及时制止或避免有可能发生的安全事件，能够使安全产品更好地发挥其作用，也方便了安全管理和服务的实施。一般来说，主要是针对一般网络用户和网络管理员及信息主管等对象实施安全培训，内容至少要包含以下一些方面：
● 基本网络知识
● OSI七层网络模型及TCP/IP协议
● 计算机病毒及防治
● 常见网络入侵手段的分析与防范
● 操作系统及其应用的安全设置
● 安全产品的安装和配置
● 企业网络系统的安全管理和维护
● 数据备份与恢复
五、结束语
    任何一个企业只要有网络系统，就一定会存在信息安全问题，解决信息安全问题能够很好地满足企业对网络系统安全运行和数据安全保密的需求。在本文中，作者从自己的实践经验出发，系统地介绍了有关企业信息安全方面的知识并给出了典型的实例，相信对于大多数企业解决自身存在的安全问题一定会有所帮助，但是由于企业的网络系统千差万别，加上作者水平有限，肯定会有不当之处，欢迎批评指正。
参考书目：
1、《网络安全指南》，人民邮电出版社，2000年11月。
2、《企业级网络建设实务》，中国电力出版社，2001年6月。
3、《黑客大曝光》,清华大学出版社，2002年1月。