网络安全体系建设分析

网络安全体系建设分析

若要建设关关雎鸠网络安全体系,必须回答以下几个问题:

※建设安全体系的目的是什么？

※建设什么样的安全体系,目标是什么?

※怎么建(需要什么资源?需要多少时间)?

我认为,若要准确回答以上问题,必须从以下几个方面去考虑:

一、弄清楚网络安全的概念和包含的内容

从字面意义上说就是网络上的信息安全,涉及领域很广。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、可控性和可审查性的相关技术都属于网络安全的研究范畴。参考很多互联网上的相关文档，给网络安全下了一个定义：

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因为偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常的运行，网络服务不中断。

网络安全包含以下几方面内容：

■网络实体安全■传输安全

■系统和应用安全■安全管理

■数据安全

二、摸清网络现状

（一）雎鸠专网网络拓扑结构图

（二）雎鸠外网网络拓扑结构图

（三）系统平台

专网网络上有政务系统、数字平台、审批系统等业务应用，为局系统用户提供服务，网络中运行着涉密和敏感工作信息。

外网网络运行着门户网站、公共系统、雎鸠在线、电子报批等业务系统，向公众提供雎鸠信息服务，代表政府形象，确保提供信息的准确、完整和可用。

三、网络安全脆弱性分析

应分析网络的脆弱性，结合网络的实际情况分析所面临的威胁。脆弱性分析应从物理层，网络层，系统层，应用层，管理层五个层面进行分析：（一）物理层脆弱性分析

1.恶意的物理破坏

雎鸠专网和外网各节点交换机和服务器设备均封闭在单独的房间内，这些房间主要由管理人员负责管理，在物理上实现了安全保护，但目前不能做到实时监控和告警。

2.动力中断

专网中各节点设备就近取电，单点动力故障仅会造成区域故障，但中心机房动力由大楼UPS机房单线供电。突然的电力中断会导致服务无法正常提供，数据丢失。

3.消防

中心机房建有消防系统，并纳入大楼消防联动系统，实现了火灾报警与紧急处置，但不能提前监控消防动态。

（二）网络层脆弱性分析

1.非法外联

从边界安全的角度考虑，专网进行三层网络升级以后，每个节点自身是一个安全孤岛，具备可信的性质，自身节点以外的区域为不可信区域，自身存在着遭受不可信区域攻击的危险性，没有受到任何访问控制保护的节点，其安全性就由节点内各个系统自身的安全性来决定。网络边界安全性能较弱。

专网缺乏边界防护措施。

2.内部攻击

由专网网络现状可以看出，服务器和用户之间没有使用安全设备进行访问控制，所有应用和系统由系统自身的安全性决定。但即使有访问控制功能，还需要防护针对应用或系统漏洞进行攻击的行为。也不排除内部用户会使用攻击工具在专网中作一些攻击试探和联系，这可能造成业务服务中断。

内部网络监管需要技术和管理上并进才能保证安全。

3.非法访问

专网上用户安全意识不强，各系统口令设置缺乏科学性，安全性低，这为非法用户盗取数据库资源提供了可能，并且在内部局域网络中这种经常会出现的口令探测也同样缺乏有效的技术监管。

主机操作系统漏洞和错误的系统设置也能导致非法访问的出现。

4.互联设备安全

专网互连设备中使用了大量的交换设备和路由器。他们都支持SNMP简单网管协议，这些设备都维护着一个有着设备运行状态，接口等信息的MIBS库，运行着SNMP的主机或设备可以称为SNMP AGENT.SNMP 管理端和代理端的通信验证问题仅仅取决于两个Community 值，一个是Read Only（RO）值，另一个是Read /Write (RW) 值，拥有RO 值的管理端可以查看设备的一些信息包括名称，接口，ip地址等；拥有RW值的管理端则可以完全管理该设备。令人担忧的是大多支持snmp的互连设备都是处于运行模式，至少有一个RO的默认值为PUBLIC，会泄漏很多信息。拥有RW默认值的设备在互联网上也是很多。加之SNMPV2版本本身的安全验证能力很低，所以极易收到攻击，从而导致互连设备的瘫痪和流量不正常，如果没有冗余设备，那样整个内部网络就会瘫痪。互连设备的弱管理口令，网络操作系统的版本太低也会使交换设备受到入侵和拒绝服务攻击，导致不能正常工作，影响信息系统的工作。

（三）系统层脆弱性分析

系统层的主要问题在于以windows 2003/2008为主的应用服务器和数据库服务器上存在着重要信息，由于专网与互联网物理隔离，系统漏洞补丁不能及时更新，系统防火墙关闭，系统没有遵循最小权限原则进行安全策略配置。病毒和黑客攻击往往针对这些来进行，这在系统层安全上来讲非常重要。

（四）应用层脆弱性分析

1.恶意代码

恶意代码在windows平台上主要是病毒和黑客软件问题，病毒主要是从诸如U盘、外部数据交换等环境引入；黑客软件和攻击代码对服务器系统形成了威胁，这些黑客软件和攻击代码的散布非常广泛且下载容易简单。

2.破坏信息完整性

信息完整性主要是指网络系统的重要应用数据遭到篡改和破坏，如果没有相应的备份措施和集中管理，一旦被攻击，数据遭到的破坏将是难以估计的。

3.数据传输抵赖性

由于目前网络协议对安全性问题考虑得很少，所以单单依靠协议地址或一些简单的通信标志来判定攻击者的身份是很难的，也是证据不足的，高水平的攻击者在攻击时一定会掩饰自己的身份和标志，这样才不会暴露自己的身份。专网数据传输无法解决接受方和发送方的抗抵赖问题，对发送有误数据或不承认传输数据的行为无法准确追究责任。应增加身份认证和数据加密传输措施。

4.病毒的泛滥

专网的各应用和数据服务器都安装了卡巴斯基防病毒软件，且专网各终端也要求安装卡巴斯基杀毒软件。系统对病毒的防护有保障。

（五）管理层脆弱性分析

1.操作失误

这是一个无法避免的问题，主要分为系统管理员和普通用户操作失误两种。前者的影响往往是致命的，直接危害到系统和数据安全；后者主要影响用户数据的完整性。

2.人为的故意攻击

来自系统内部人员和非法外联用户的攻击是很难防范的，内部工作人员本身在重要应用系统上都有一定的使用权限，并且对系统应用非常清楚，一次试探性的攻击演练都可能会对应用造成瘫痪的影响，这种行为单单依靠工具的检测是很难彻底避免的，还应该建立完善的管理制度。

四、安全需求分析

针对网络安全脆弱性分析结果，总结广域网安全保密需求，分析如下：

（一）物理层

1.对重要设备使用电磁泄漏发射干扰系统解决设备电磁泄漏问题。

2.对重要线路使用网络线缆发射干扰系统解决线路电磁泄漏问题

3.对重要区域使用环境监控系统解决重要区域环境信息不能实时监控和多方式报警问题。

4.对重要区域使用双路供电，使用UPS断电保护，并配置发电机，保障长时间断电网络服务不中断。

（二）网络层

1.在各节点专网接口部分使用准入控制系统来解决边界访问防护问题。

2.在各节点内部加固网络互连设备来解决网络互连的安全可靠性

3.在中心机房和其他重要节点使用IPS、防火墙，进行攻击监控、入侵防护。

（三）系统层

1.针对不同的windows 2003/2008Server应用，遵循最小权限原则，完善系统安全策略配置，加强系统密码管理更新，解决这些应用的安全问题。

2.加固各系统防病毒软件安全设置和病毒库更新，解决病毒传播、破坏和扩散问题。

3.建设系统漏洞补丁服务器，解决系统漏洞补丁不能及时更新的安全问题。

（四）应用层

1.建设身份认证系统，解决破坏信息完整性、数据传输抵赖、假冒、窃听等问题。

2.加固各应用系统自身安全配置解决服务引用的安全问题。

3.建设安全审计系统，解决系统资源审计问题。

4.建设灾备系统，在重要信息系统和数据遭受恶意攻击或物理损坏时可及时