浅谈如何建立有效的网络安全策略

浅谈如何建立有效的网络安全策略

银行业是国内最重要且最具活力的行业之一，为国家的经济建设作出了巨大贡献。作为银行市场运作、金融创新、客户服务、量化管理的技术基础，银行电子化水平已经成为衡量竞争实力的重要标志。为此，银行系统网络的安全稳定运行已成为银行在市场竞争中生存的基础，其抵抗风险的能力将成为衡量银行竞争力的重要因素之一。近年来各种网络安全问题接踵而至，计算机病毒、操作系统漏洞、黑客攻击等屡见不鲜。互联网的开放性和匿名性在给社会生活带来了前所未有的便利同时，不可避免的使信息存在各种安全风险。

如何使网络系统不受黑客和病毒的入侵，如何保障数据传输的安全性、可靠性，也是建设局域网网络安全过程中所必须考虑的重要事情之一。本文通过对网络安全成因的分析，结合自己了解的本单位网络实际情况，提出局域网络的安全解决方案。

网络安全威胁及攻击方式

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。

网络威胁是对网络安全缺陷的潜在利用，这些缺陷可能导致非授权访问、信息泄密、资源耗尽、资源被盗或者被破坏等。

网络安全从其本质上来讲就是网络上的信息安全。网络安全主要包括物理安全与逻辑安全。物理安全主要指网络硬件的维护、使用及管理等；逻辑安全是从软件的角度提出的，主要指数据的保密性、完整性、可用性等。网络安全所面临的威胁可以来自很多方面，并且随着时间的变化而变化。

网络安全威胁主要有以下几种：

窃听。在广播式网络系统中，每个节点都可以读取网上传输的数据，如搭线窃听、安装通信监视器和读取网上的信息等。网络体系结构的广播性使得偷听网上的数据或非授权访问很容易而且不易发现。

假冒。当一个实体假扮成另一个实体进行网络活动时就发生了假冒。

流量分析。通过对网上信息流的观察和分析，推断出网上传输的流量信息，例如有无传输、传输的数量、方向和频率等。由于报头信息不能加密，所以即使对数据进行了加密处理，也可以有效的进行流量分析。

破坏数据完整性。以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应，或恶意添加，修改数据，以干扰用户的正常使用。

拒绝服务。通过发送大量数据包对网络服务器不断进行干扰，改变其正常的作业流程，执行无关的程序，使得服务器超负荷工作导致拒绝服务，或使系统响应减慢甚至瘫痪，使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。

网络攻击可以分为以下几种：

被动攻击。攻击者通过监视所有信息流以获得某些秘密。这种攻击可以是基于网络（跟踪通信链路）或基于系统（用秘密抓取数据的特洛伊木马代替系统部件）的。被动攻击是最难被检测到的，故对付这种攻击的重点是预防，主要手段如数据加密等。

主动攻击。攻击者试图突破网络的安全防线。这种攻击涉及到数据流的修改或创建错误流，主要攻击形式有假冒、重放、欺骗、消息篡改和拒绝服务等。这种攻击无法预防但却易于检测，故对付的重点是测而不是防，主要手段如防火墙、入侵检测等。

物理临近攻击。在物理临近攻击中未授权者可以在物理上接近网络、系统或设备，目的是修改、收集或拒绝访问信息。

内部人员攻击。内部人员攻击要么是被授权在信息安全处理系统的物理范围内，或对信息安全处理系统具有直接访问权的人。有恶意的和非恶意的（不小心或无知的用户）两种内部人员攻击。

分发攻击。是指在软件和硬件开发出来之后和安装之前这段时间，或当它从一个地方传到另一个地方时，攻击者恶意修改软硬件。

结合实际，建立有效的安全策略

安全策略是指在一个特定的环境里，为保证提供一定级别的安全保护所必须遵守的规则。Internet在设计之初是以提供广泛的互联、互操作、信息资源共享为目的的，因此其侧重点并非在安全上，如何将风险降到最低以减少网络的安全风险，是本文所要探讨的问题。

目前的网络安全措施有数据加密、数字签名、身份认证、防火墙和入侵检测等。通过对单位局域网络结构、应用及安全威胁分析，可以看出其安全问题主要集中在对服务器的安全保护、防黑客和病毒、重要网段的保护以及管理安全上。

本文的目标是在不影响局域网当前业务的前提下，综合考虑单位局域网的特点，实现对局域网全面的安全管理，将安全策略、硬件及软件等方法结合起来，构成一个统一的防御系统整体。

本安全解决方案遵循的原则是：

1.提高系统的安全性（重点是可用性和可控性）。

2.保持网络原有的能特点，即对网络的协议和传输具有很好的透明性，能透明接入，无需更改网络设置。

3.易于操作、维护，并便于自动化管理，而不需要增加或减少附加操作。

4.尽量不影响原网络拓扑结构，同时便于系统及系统功能的扩展。

5.具有较好的性能价格比，一次性投资，可以长期使用。

6.安全产品具有合法性，及经过国家有关管理部门的认可或认证。

7.分布实施。

建立完善的制度

通常所说的网络安全建设"三分技术，七分管理"，也就是突出了"管理"在网络安全建设中所处的重要地位。长期以来，由于管理制度上的不完善、人员责任心差而导致的网络攻击事件层出不穷。责权不明，管理混乱，使得一些员工或管理员随便让一些非本地员工甚至外来人员进入机房重地，或者员工有意无意泄漏他们所知道的一些重要信息，而管理上却没有相应制度来约束。

尽管在所有的网络安全建设中。网络安全管理制度的建设都被提到极其重要的位置，但能按相关标准制定出具有全面性、可行性、合理性的安全制度，并严格按其实施的项目数量并不是很多。网络安全建设中，安全制度的良好实施和执

行能从很大程度上保证网络的安全，同时为网络的管理和长期监控提供有理可依的指导性理论。建立全新的网络安全机制，最可行的做法是管理制度和管理解决方案的结合。例如，建立完善的终端管理制度，不许未经授权的用户接触终端，或者对可以接近计算机的人员进行严格的审查。完善网络的使用制度、病毒防治管理制度、责任到人的设备管理制度、网络安全应急预案和定期网络评估制度及备份制度等。

建立完善的制度，可以从以下几个方面改进：

一、硬件设备及软件系统的使用、维护、管理、服务等各个环节制定出严格的规章制度，对网络系统的管理员及用户加强法制教育和职业道德教育，不损人，不犯法，规范工作程序和操作规程，严惩从事非法活动的集体和个人。

二、加强各级网络管理人员的专业技能学习，提高工作能力，并能及时检查网络系统中出现病毒的症状。汇报出现的新问题、新情况，做到及时发现问题解决问题，同时在网络工作站上经常做好病毒检测的工作，把好网络的第一道大门。

提高技术安全性

先进的安全技术是信息安全的根本保障，而网络系统的安全性取决于网络系统中最薄弱的环节。如何及时发现网络系统中最薄弱的环节，最大限度地保证网络系统的安全，最有效的方法是定期对网络系统进行安全性分析，及时发现并修正存在的弱点和漏洞。

当前常见的网络安全防护措施包括数据加密、数字签名、身份认证、防火墙、入侵检测、漏洞扫描、安全审计、病毒防护、VPN等。

数据加密。加密是通过对信息的重新组合，使得只有收发双方才能解码并还原信息的一种手段。随着相关技术的发展，加密正逐步被集成到系统和网络中。

数字签名。数字签名可以用来证明消息确实是有发送者签发的，而且，当数字签名用于存储的数据或程序时，可以用来验证数据或程序的完整性。

身份认证。有多种方法来认证一个用户的合法性，如密码技术、利用人体生理特征（如指纹）进行识别、智能IC卡和USB盘等。

防火墙。是位于两个网络之间的屏障，一边是内部网络（可信赖的网络），另一边是外部网络（不可信赖的网络）。按照系统管理员预先定义好的规则控制数据包的进出。在内部网与外部网之间，设置防火墙实现内外网的隔离与访问控制是保护内部网安全的最主要、同时也是最有效、最经济的措施之一。