企业网安全与风险评估

        随着Internet 网的发展，企业上网在我国也成了一种趋势，虽然企业上网的原因各种各样，有的是政府行为，有的是企业自发的行为，但是不可否认的是几年来企业上网的层次也有所变化。在 Internet发展的初期阶段，企业上网的含义指的是企业有自己的主页，但很快人们发现这种层次对企业深层次的环节如生产、销售、营销并没有什么太大的促进作用，于是企业慢慢地过渡到比较高的层次，建立自己的网站与局域网，并且与 Internet连接，使企业的上下游伙伴及驻地机构、办事处都能实时了解企业的信息，即过渡到了电子商务的初级阶段。企业内部网也打开了通往 Internet的一个窗口，企业在享受 Internet带来的好处的同时，也面临着一定程序的风险，因为 Internet上存在很多的危险。 2 g( /- D3 r+ |; I
! {) k9 U( k7 x# y0 V4 X
互联网上的危险
　　互联网上存在着各种各样的危险，这种危险要能是恶意的，也可能是非恶意的，如因失误而造成的事故；恶意的危险又分为理智型的 ( 如故意偷取企业机密) 和非理智型的( 如毁坏企业的数据) 。总的说来，比较典型的危险主要包括如下几个方面：

　　1、 软硬件设计故障导致网络瘫痪。

　　如防火墙意外瘫痪而导致失效，以致安全设置形同虚设；由于内外部人员同时访问导致服务器负载过大以致死机、严重者导致数据丢失等等；

        2、 黑客入侵。

        一些不坏好意的人强行闯入企业网实施破坏；冒充合法的用户进行企业网内部，偷盗企业机密信息和破坏企业形象等等；

　　3、 敏感信息泄露。
　　企业内部的敏感信息被入侵者偷看，导致这种状况的有几种原因，如寻径错误的电子邮件、配置错误的访问控制列表，没有严格地设置好不同用户的访问权限等等； 0

        4、 信息删除。 /

　　有时网管员对安全权限设置不当，导致某些怀有恶意的人故意破坏企业商业机密的完整性以及向竞争对手故意泄露商业机密等等。
　　也就说互联网上的危险不仅来自于外面，而且有时也来自于内部。虽然在互联网上存在不同程度的危险，但为了企业的业务发展，很多企业不得不把企业的内部网联入互联网，向雇员提供互联网的访问。
　　 美国可以说是比较注重网络安全的国家之一，但是根据 IDG 公司的调查报告表明，在所有被调查的公司中，进行常规性安全检查的公司还不到一半，只有 30% 的公司具有跟踪用户访问的能力， 1/3 的公司使用加密技术，其中有60 家左右的公司在三个月内遭受到142 次入侵。美国尚且如此，我们国家的企业网安全现状如何呢？笔者今年年初在北京参加一次安全会议时，有一安全专家对我国企业网的安全状况用“确实应该引起我们警觉”来概括。

危险产生的原因

　　互联网之所以存在危险的因素，这主要因为互联网本身存在安全漏洞。互联网在设计之初，根本就没想到会发展到今天这个地步，当时认为互联网只是在比较小的范围内使用，在设计互联网 TCP/IP 协议时，主要考虑的是数据的共享，把数据安全忽略掉了。这就如盖一座楼房地基都没有打好，自然而然危险在当初就种下了，对于危险产生的原因主要有下面几条： ! j

　　1、 不同厂商不同标准的产品集成在网络中引起配置的复杂性。具体说来就是网络安全控制由于各种各样的硬件产品与软件产品的加入使安全配置变得异常复杂， 很容易出现配置错误或失误，以致会导致未经授权的访问；

     　2、 缺乏相应的总体考虑。有些网络在进行系统配置时，无意识地扩大了互联网的访问范围，没有意识到某些互联网服务会被滥用，许多企业网所允许的访问服务类型过多，不能对一些可能会对入侵者有所帮助的网络信息加以访问限制； )

 　　3、 TCP/IP 协议本身固有的缺陷。如前所述， TCP/IP 本身具有一些缺陷，在设计之初就不是太安全，一些有经验的黑客很容易利用 TCP/IP 的缺陷攻击企业网；

　　4、 大部分的数据没有加密。企业数据在传递的过程中很少有加密的，现在有很多现成的软件都能对此进行半路拦截。

   　上面的四条是主要的四个原因，当然还有其它的原因。知道了不安全的原因，那么我们在考虑企业网安全方案时就有了一个目标，有意识地针对产生危险的原因来设计企业网安全方案。

 　 当然在设计企业网安全方案时，不能只从纯技术的角度去考虑，也要考虑到现实情况。今年 8 月份全国召开了一个全融行业网络安全会议，一位曾到德国访问的国内某省行行长讲了这样一件事：他到德国某家银行访问考察他们的网络安全时，发现了有一个漏洞，这个漏洞不是容易发现，他就问这个德国银行的行长为什么不想办法堵住这个漏洞，这个德国银行行长说的话让我们深思不已：这只是一个小小的漏洞，即使别人利用这个漏洞，银行损失也不过几百马克，但是要堵住这个漏洞我们可能要化几百万马克，我有必要堵住这个漏洞吗？所以在考虑设计企业网络安全方案时，要以实际情况而定，不能形而上学。 设计企业网安全方案时要考虑到的问题

　　在设计企业网安全方案之前，需要制定一套完整有效的安全策略。一般情况下，制订安全策略从以下两个方面考虑：网络服务访问策略、防火墙设计策略。

　　所谓网络服务访问策略，就是根据企业的具体业务，明确确定哪些互联网服务要被禁止，哪些互联网服务可以开放。

　　在考虑网络服务访问策略时，要考虑非常细致，否则的话稍不注意，就会留下后患。如我们不想让某个企业网用户使用 Telnet 服务访问互联网，虽然在防火墙上进行了设置，但是有些用户还是可以采用拨号连接获得这项服务。

　　网络服务访问策略不但应该是一个站点安全策略的延伸，而且对于机构内部资源的保护也应起到全局的作用，从文件安全到病毒扫描程序，从远程访问到移动存储介质的跟踪等都要考虑到，也就是说网络服务策略一定要具有现实性与完整性，现实性保证在降低网络风险和为用户提供合理的网络资源之间做出一个大家都能接收的平衡，否则的话可能会遭到企业内部用户的抵制，这样以来可能会导致达不到应有的效果。

    　对于防火墙设计策略的制订，在制订之前要充分知道上面的列出的一些危险以及产生危险的原因。从当前来看防火墙的安全策略有以下两种极端情况：

        1、 除非明确禁止，否则允许。这是一种比较宽松的防火墙安全策略；

　　2、 除非明确允许，否则禁止。这是一种极其严格的防火墙安全策略；

　　当前现实中的防火墙安全策略都以此作为两个极限点，作了不同程度的折衷。至于依据什么进行折衷，下面风险评估会对此有一个详细的说明。总而言之，防火墙是否满足企业网的安全需要，取决于网络安全设计人员能否恰如其分地把握好这个平衡。 2 P/ [; y, p* L4 ~/ d2 Y7 p# ^0 G
$ U: P4 l8 I* O3 _  o4 ]4 A# D
如何评估风险

    　在制订企业网的安全策略之前，要对企业的实际风险做一个尽可能准确的评估，否则的话就会出现或者本来企业网需要的安全级别高，结果为了省钱，选了一个安全性能不是很高的防火墙；或者本来企业网需要的安全级别不是很高，结果花了相当多的钱买了一个安全性能极高的防火墙，浪费了投资，所以一定要尽可能正确地评估企业风险。 %

     

        在正确地评估风险时，要从如下几个方面考虑：

　　1、 本企业对黑客的吸引力大不大；

　　2、 本企业对外部开放程度如何；

       

        3、 一旦出现网络安全事故，对本公司的影响最大程度是什么；

    　4、 根据公司的具体业务，哪些互联网服务是企业网络必须提供的；

　　5、 提供这些服务的风险是什么；

　　6、 若提供这种保护，可能会导致用户的抵触情绪及投资额的增加，是否值得为此付出这么多代价； (

　　之所以从以上几个方面考虑，是因为不同性质的企业黑客对它们的兴趣大小不同。如高精尖企业以及银行、海关、证券等金融企业很容易引起黑客的兴趣，这样的企业风险性就大些；而一些生产普通物品的企业黑客却很少光顾，这样的企业风险性就小些；再比如，有些企业一旦出现网络安全事故，可能会企业产生致命的打击，有些企业可能就无所谓，当然它们的风险程度绝对不会相同。 .

        现在安全行业内部有通用的安全评估标准，现一并摘录下来：

        危险等级 - 、危险权值

K6 /
黑客的兴趣级别

兴趣权值

安全事故结果等级

事故结果权值

事故结果的影响

事故影响权值 / {5 ]( [! Q0 {. f
2 i2 t% ~' E9 {3 s# z" /4 p% Y
危险不是很活跃，而且暴露于危险中的机会并 不是很多 0 [: w5 [$ l/ j: w$ Z' ?3 @" M

没什么兴趣，也不提供什么互联网服务

没有任何影响与损失；在损失预算之内；风险可以转移

损失可以接受；对企业无较大影响 6 d& J6

危险不明确，而且危险是多重的
  

间断性地提供互联网服务如WWW 、FTP 、NNTP 及Telnet 3 P

企业内部的正常运行受到影响；超出了损失预算；存在机会成本

对企业的运转有不可接受的影响危险比较活跃，而且危险多重持续提互联网服务，如WWW 、FTP 、NNTP 、Telnet ( U企业外部的生意受到影响；对公司经营收入状况有致命的影响
对公司的管理有不可接受的影响

　　对照这几条，结合企业的现实情况，找出很切合企业的权值，最后就能得出风险分数：
　　风险分数= 危险权值 兴趣权值 + 事故结果权值* 事故影响权值 ' A& i3 N' ]) Y4 p- [
　　如果分数在2－10之间的话，属于低风险；11－29属于中等风险；30－50 属于高风险
　　

        国家《信息安全服务资质认证标准将正式出台》，安全厂商就有了一个比较的标准，水平高低根据其证书显而易见，这样一来企业可以根据上面的论述自身或请安全专家对企业网络安全状况进行评估，根据风险程度，选取合适的产品与不同级别的安全厂商，使企业的资金用到实处，并且保证企业网的安全。（完）