针对企业版网络安全防范措施的讲解

　　摘要：企业网络安全是系统结构本身的安全，所以必须利用结构化的观点和方法来看待企业网安全系统。企业网安全保障体系分为4个层次，从高到低分别是企业安全策略层、企业用户层、企业网络与信息资源层、安全服务层。按这些层次建立一套多层次的安全技术防范系统，常见的企业网安全技术有如下一些。

　　推荐白皮书：

　　严测深信服广域网加速设备报告

　　网络世界评测实验室采用领先测试方法严格测试深信服广域网加速设备M5100-Q，它会有什么惊人的表现呢？

　　企业网络安全是系统结构本身的安全，所以必须利用结构化的观点和方法来看待企业网安全系统。企业网安全保障体系分为4个层次，从高到低分别是企业安全策略层、企业用户层、企业网络与信息资源层、安全服务层。按这些层次建立一套多层次的安全技术防范系统，常见的企业网安全技术有如下一些。

　　便携电脑的丢失难以避免且容易发生，因此企业必须做好便携电脑的技术防范工作，以减少因无法避免的丢失而带来的风险。便携电脑的技术防范措施主要包括：安 装强身份认证系统，例如指纹或USBKey等，以确保盗窃者无法打开计算机;采用加密软件加密涉密文件，使盗窃者无法打开涉密文件;规定便携电脑上不能够 存储涉密文件，涉密文件存储在移动存储介质上，存储介质和便携电脑分开存放。

　　目前国内主要采取第三条技术防范措施，要求便携电脑上不得存储涉密文件，这种措施实施起来有一定的难度，需要定期检查便携电脑中是否存有涉密文件或曾经存 储过涉密文件，一旦发现就需要用永久性删除软件彻底删除涉密文件以及记录，特别是用户已经删除了涉密文件但留有记录，需要对整个逻辑分区进行未用空间的彻 底清除，费时又费力。

　　这里建议还要联合采用第一条和第二条技术措施。目前国内的单机版主机监控审计软件大都能实现这两种功能，一方面可以通过USBKey实现便携电脑的强身份 认证，另一方面如果确实需要将涉密文件存放在便携电脑中，那就要求将涉密文件存放在加密文件夹中，由主机监控审计软件实现涉密文件的自动加密，涉密文件使 用完后应及时删除。但国内这些加密软件都不能实现对整个硬盘的加密，如果用户将涉密文件存放在加密文件夹之外，涉密文件就不能实现自动加密。

　　目前市场上已经出现了全加密硬盘，例如希捷的全加密硬盘，可以从硬盘内部加密全部的存储数据，甚至是临时文件。这种硬盘即使丢失，盗贼即使可以登录系统， 也无法访问硬盘。此外还有全硬盘加密软件，例如PGP公司和Pointset移动技术公司都提供这种类型的软件，微软Vista用可信赖平台模块 (TPM)的内置式安全芯片作为自己的BitLocker驱动器加密的一部分，也可以实现全硬盘的加密。以上的加密措施可以较好地保证涉密文件的安全，但 国内保密管理部门目前还没有对任何商用的加密产品提供过安全保密认证，也就是说，企业丢失加密的涉密文件还是要负责任的。

　　移动存储介质的技术防范

　　移动存储介质和便携电脑一样，丢失难以避免，因此企业也必须实施好移动存储介质的技术防范措施。移动存储介质的技术防范措施主要是加密，使盗窃者无法打开移动存储介质中的涉密文件。

　　目前国内部分主机监控审计产品都能实现移动存储介质的加密存储。强制要求在使用前必须进行存储介质的认证，没有通过认证的移动存储介质在涉密信息系统中只 能读，不能写，只有通过认证的移动存储介质才能进行正常读写，而且自动实现移动存储介质中文件的加密。携带认证的存储介质出差时，必须输入正确的密码才能 够打开加密的文件，因此能较好地保证移动存储介质中涉密文件的安全。

　　虽然国内在USB接口的移动存储介质强制加密上具有较好的解决方案，但对于光盘(CD/DVD)的强制加密却没有较好的解决方案。这里建议企业可以从行政上强制规定，禁止使用光盘来存储涉密信息，以防止涉密信息的丢失。

　　摘要：企业网络安全是系统结构本身的安全，所以必须利用结构化的观点和方法来看待企业网安全系统。企业网安全保障体系分为4个层次，从高到低分别是企业安全策略层、企业用户层、企业网络与信息资源层、安全服务层。按这些层次建立一套多层次的安全技术防范系统，常见的企业网安全技术有如下一些。

　　推荐白皮书：

　　严测深信服广域网加速设备报告

　　网络世界评测实验室采用领先测试方法严格测试深信服广域网加速设备M5100-Q，它会有什么惊人的表现呢？

　　信息共享的技术防范

　　Windows系统工作组模式下的文件共享难以满足企业的文件共享要求，容易出现每台计算机都设有文件共享服务，混乱而且难以控制，甚至有些共享文件夹没 有设密码保护或密码长度不符合安全保密的要求，这样会导致涉密文件的知密范围得不到很好的控制。需要采用Windows系统的域管理模式、配置域控服务 器，为每个用户设置一个唯一的域帐号;配置专门的文件共享服务器，创建企业级、部门级和工作组级共享文件夹，并设置好用户访问共享文件夹的权限;通过脚本 将企业级、部门级和工作组级共享文件夹映射成用户计算机上的网络驱动器，以方便用户访问共享文件夹。同时，从技术上或行政上禁止用户用本地计算机随意进行 文件共享，只能通过专门的文件服务器进行网络共享，这样就建立好了企业的文件共享平台。通过企业的文件共享平台，可以较好地规范企业的文件共享行为，将知 密范围控制在专业组、部门或项目组内。

　　文件共享只能对文件设置访问权限，不能对更细级别的访问权限进行控制，而基于数据库的管理信息系统能够进行记录级甚至数据项级的访问权限控制，能够更好地 控制知密范围，例如办公自动化软件和企业资源规划软件;基于产品数据管理软件的文档管理系统可以根据文档的技术状态动态地进行文档权限的控制，例如定义文 档设计状态、校对状态、审核状态、发放状态以及工程变更状态的不同访问权限，因此也能够较好地控制文档的知密范围。同时，这些系统可以和Windows系 统的活动目录实现集成，实现统一的系统登录和认证，确保一次登录，四处通行。因此，做好企业的信息化建设工作，不仅可以提高企业的工作效率和管理水平，还 可以提高涉密信息系统安全保密的水平。

　　网络安全的技术防范

　　国内涉密信息系统要求和互联网实现完全的物理隔离，因此国内涉密信息系统受到外来攻击的可能性比较小，网络安全主要是控制用户网络访问的范围，并预防员工 从内部发起网络攻击。

　　目前国内网络安全产品在技术上比较成熟，而且品种也比较多。这里建议企业按部门或工作组来进行子网的划分，并禁止各子网相互访问来控 制网络的访问范围;配置公共服务器子网，将企业公共的服务器放人公共服务器子网，例如邮件服务器、即时通讯服务器、主页服务器、办公自动化服务器、数据库 服务器、企业资源规划服务器和产品数据管理服务器等，并允许其他子网的计算机访问公共服务器子网的服务器，从而实现企业内部跨部门或工作组的信息共享和交 换通过网络交换机的配置来控制其他子网计算机只能访Iral各公共服务器指定的网络服务端口，从而较好地保护公共服务器的安全在企业核心网络交换机上配置 人侵侦测系统，来侦测跨部门或工作组的网络攻击行为;通过MAC地址和网络端口绑定Windows活动目录和网络交换机Radius认证的集成来防止非法 的网络接人。

　　桌面安全的技术防范

　　桌面计算机输入输出控制是企业涉密信息系统安全保密工作技术防范的关键，桌面计算机输人输出控制不严会大大增加安全保密的风险，导致企业涉密信息系统安全 保密技术防范措施千疮百孔，因此企业必须切实控制好桌面计算机的输人输出。目前国内控制桌面计算机输人输出行为的成功案例是统一集中的输人输出方案，可按 建筑物或部门设置统一集中的输人输出机房，并配置专人负责管理;规定所有的打印输出必须到指定的输人输出机房进标每台计算机上都安装网络版的主机监控审计 软件客户端[2][3)，并在主机监控审计软件服务器配置主机监控和审计策略，禁用用户的各类输入输出端口，例如禁止使用USB端口的移动存储介质、调制 解调器、各类光驱、红外端口、SCSI端口和打印端口等，只允许输人输出机房的计算机能够使用输人输出端口。但由于国内的主机监控审计软件容易被突破，因 此桌面安全做得较好的企业会联合采用物理措施封堵计算机的输人输出端口，例如更换专门的安全保密机箱并将机箱上锁。或用粘胶、封条等方式封堵计算机的输人 输出端口。同时为了防止病毒的人侵，避免用户随意安装软件和操作系统，确保整个涉密信息系统的安全，桌面安全做得较好的企业也会拆除计算机的只读光驱。

　　如果手工进行所有桌面计算机的安全配置和漏洞封堵，将大大增加系统管理员的工作量，而且也难以做到位。因此，这里建议采用软件自动配置的方式来完成桌面计 算机的安全配置和漏洞封堵，可采用Windows活动目录组策略的配置来控制所有域内计算机的安全配置，例如域帐户密码的长度和复杂性要求、锁屏策略等; 采用Windows的软件分发服务来自动实现系统补丁的分发，可定期从国际互联网上下载系统补丁包，由软件分发服务器来实现系统补丁的分发。目前国内个别 先进的主机监控审计软件也能够实现桌面计算机安全配置和漏洞封堵的自动化。

　　摘要：企业网络安全是系统结构本身的安全，所以必须利用结构化的观点和方法来看待企业网安全系统。企业网安全保障体系分为4个层次，从高到低分别是企业安全策略层、企业用户层、企业网络与信息资源层、安全服务层。按这些层次建立一套多层次的安全技术防范系统，常见的企业网安全技术有如下一些。

　　推荐白皮书：

　　严测深信服广域网加速设备报告

　　网络世界评测实验室采用领先测试方法严格测试深信服广域网加速设备M5100-Q，它会有什么惊人的表现呢？

　　其它类型防范方法

　　一、VLAN(虚拟局域网)技术

　　选择VLAN技术可较好地从链路层实施网络安全保障。VLAN指通过交换设备在网络的物理拓扑结构基础上建立一个逻辑网络，它依*用户的逻辑设定将原来物理上互连的一个局域网划分为多个虚拟子网，划分的依据可以是设备所连端口、用户节点的MAC地址等。该技术能有效地控制网络流量、防止广播风暴，还可利用MAC层的数据包过滤技术，对安全性要求高的VLAN端口实施MAC帧过滤。而且，即使黑客攻破某一虚拟子网，也无法得到整个网络的信息。

　　二、网络分段

　　企业网大多采用以广播为基础的以太网，任何两个节点之间的通信数据包，可以被处在同一以太网上的任何一个节点的网卡所截取。因此，黑客只要接人以太网上的任一节点进行侦听，就可以捕获发生在这个以太网上的所有数据包，对其进行解包分析，从而窃取关键信息。网络分段就是将非法用户与网络资源相互隔离，从而达到限制用户非法访问的目的。

　　三、硬件防火墙技术

　　任何企业安全策略的一个主要部分都是实现和维护防火墙，因此防火墙在网络安全的实现当中扮演着重要的角色。防火墙通常位于企业网络的边缘，这使得内部网络与Internet之间或者与其他外部网络互相隔离，并限制网络互访从而保护企业内部网络。设置防火墙的目的都是为了在内部网与外部网之间设立唯一的通道，简化网络的安全管理。

　　四、入侵检测技术

　　入侵检测方法较多，如基于专家系统入侵检测方法、基于神经网络的入侵检测方法等。目前一些入侵检测系统在应用层入侵检测中已有实现。

　　我们需要重点解决企业实际存在的这些问题，确保做到有的放矢。下面从便携电脑、移动存储介质、信息共享、网络安全、桌面安全、安全审计等方面的技术防范角度，来分析企业涉密信息系统安全保密技术防范措施。

　　结语

　　随着信息安全技术的发展，信息安全产品正在向智能、整合和管理方向发展，未来的涉密信息系统安全保密技术防范方案将会越来越完善。同时我们也应该注意到， 如果没有强有力的管理来支持，再好的技术防范措施都会大打折扣，再好的技术防范产品也将成为摆设，因此涉密信息系统安全保密工作的重点还是在于管理，需要 制定切实可行的规章制度，定期进行涉密信息系统的安全保密检查，发现问题及时整改，并严肃处理违规的责任人，从而不断强化员工的安全保密意识，使员工能够 自觉遵守企业安全保密的规章制度。