企业内部网信息安全建设解决方案.docx

企业内部网信息安全建设的技术要求、配置方案及建议企业网网络安全解决方案引言 1999年已经到来, 人类处在21世纪前夜。1998年是全球信息革命和Internet新腾飞的一年。“带宽爆炸”, 用户超亿, 网上协同攻破密码等等创造性的应用层出不穷。Internet已成为全新的传播媒体, 克林顿丑闻材料在48小时内就有2000万人上网观看。电子商务发展更出人意料, 网上购物仅圣诞节就突破3亿美元的销售额, 比预计的全年20亿还多。美国对“Internet经济”投资达到1240亿, 第二代Internet正式启动,第三代智能网络已在酝酿, 以Internet为代表和主体的信息网络必将在21世纪成为人类生产、生活、自下而上的一个基本方式。世界各国都以战略眼光注视着它的发展, 并在积极谋取网上的优势和主动权。但是Internet网的信息安全问题在1998年也较突出, 除两千年虫问题已进入倒计时外,下面摘录上电报导: 病毒感染事件1998年增加了二倍, 宏病毒入侵案件占60%, 已超过1300种, 而1996只有40种。 网上攻击事件大幅上升, 对50个国家的抽样调查显示: 去年有73%的单位受到各种形式的入侵, 而1996年是42%。据估计, 世界上已有两千万人具有进行攻击的潜力。 网上经济诈骗增长了五倍, 估计金额达到6亿美元, 而同年暴力抢劫银行的损失才5900万。一份调查报告中说: 有48%的企业受过网上侵害, 其中损失最多的达一百万美元。 对美军的非绝密计算机系统的攻击试验表明, 成功率达到88%。而被主动查出的只占5%。1998年5月美CIA局长在信息安全的报告中正式宣布:“信息战威胁确实存在。” 网上赌博盛行, 去年在200个网点上的赌博金额达到60亿美元, 预计今年还会增加一倍。 网上色情泛滥, 通过浏览器、电子邮件等方式大量扩散。由于问题严重,西方12个国家的警方在去年九月进行了一次联合行动, 共抓96人, 其中一个网址竟有25万张黄色图像。联合国科教文组织决定今年一月召开会议, 研究遏制网上色情。 欧盟正式发表了对网上有害和非法信息内容的处理法规。 电子邮件垃圾已被新闻界选为1998年Internet坏消息之一, 美国一家网络公司一年传送的电子邮件中有三分之一是电子垃圾。 网上违反保密和密码管制的问题已成为各国政府关注的一个焦点。 暴露个人隐私问题突出, 例如通过美国一个网站很容易量到别人的经济收入信息, 另一网址只要输入车牌号码就可查到车主地址, 为此这些网址已被封闭。在电子邮件内传播个人隐私的情况更为严重。 带有政治性的网上攻击在1998年有较大增加, 包括篡改政府机构的网页,侵入竞选对手的网站窃取信息, 在东南亚经济危机中散布谣言, 伪造世界热点地区的现场照片, 煽动民族纠纷等等, 已引起各国政府的高度重视。 我国的情况也大致相仿。一方面Internet上网人数增加, 仅下半年年就由117万剧增到210万, 另一方面, 同一时期内外电对在我国发生的Internet安全事件的报道数量也大增, 比1997年全年还多6倍, 其中包括经济犯罪、窃密、黑客入侵, 造谣惑众等等。以上报导只是全部景观的一角,却预示着下一个世纪全球信息安全形势不容乐观。我国正处于网络发展的初级阶段, 又面临着发达国家信息优势的压力, 要在信息化进程中趋利避害,从一开始就做好信息安全工作十分重要。这是这项工作难度也非常大, 经常遇到十分困难的选择, 甚至非难。人们对于“该不该”和“能不能”抓好信息安全也尚有不同的看法。我们应当充分相信我国的制度优越性和人民的智慧与觉悟, 积极寻求解决中国特色的Internet安全问题的办法。在此, 仅就企业内部网的信息安全的建设作一个详细的讨论。1企业网络的现状世纪之交，信息化已成为国际性发展趋势，作为国民经济信息化的基础，企业信息化建设受到国家和企业的广泛重视。企业信息化，企业网络的建设是基础，从计算机网络技术和应用发展的现状来看，Intranet是得到广泛认同的企业网络模式。Intranet并不完全是原来局域网的概念，通过与Internet的联结，企业网络的范围可以是跨地区的，甚至跨国界的。现在，Internet的发展已成燎原之势，随着WWW上商业活动的激增，Intranet也应运而生。近几年，许多有远见的企业领导者都已感到企业信息化的重要性,陆续建立起了自己的企业网和Intranet并通过各种WAN线路与Internet相连。国际互联网Internet在带来巨大的资源和信息访问的方便的同时，它也带来了巨大的潜在的危险，至今仍有很多企业仍然没有感到企业网安全的重要性。在我国网络急剧发展还是近几年的事，而在国外企业网领域出现的安全事故已经是数不胜数。因此，我们应该在积极进行企业网建设的同时，就应借鉴国外企业网建设和管理的经验，在网络安全上多考虑一些，将企业网中可能出现的危险和漏洞降到最低。使已经花了不少财力、人力和时间后，建立起来的网络真正达到预想的效果。从总体上来说,企业网络建设以下几方面的误区：解决方案上的误区、应用开发上的误区和系统管理上的误区。1.1 解决方案上的误区在解决方案上的误区主要包括：1. 认为只要肯花钱就万事大吉了。诚然，投资是企业网络建设的基本，但并非所有的东西都能直接买来。事实上，数据、应用软件、网络系统管理及网络的应用水平等都不是简单买来了事的。2. 不根据实际需求，盲目认为购买的硬件、软件产品越先进越好，甚至要求达到10年不落后等要求。这种提法本身就不科学，信息技术的发展是日新月异的，10年前谁也不知道现在的计算机会发展到如此水平，同样，10年后如何也无法预料。这样一来，后果是可以想到的：平台越先进，设备越昂贵，技术越复杂，建设的投入与产出相比一定很高，这当然不是企业需要得到的结果。3. 认为有了网络、服务器、数据库、联通了Internet就能要什么就有什么了，忽视总体数据体系规划和组织、应用系统开发，数据的采集、传输、加工、存储和查询等具体应用工作。而缺少这些，网络的作用就不能充分发挥出来，这恰恰与企业网络建设的初衷相违。4. 认为可以“毕其功于一役”地搞企业网络建设，实际上，这是一项长期的工作。5. 认为只要找到好的供应商、系统集成商就肯定可以把网络建好，没有想到只有良好的合作才能获得成功，只有建立自己的技术队伍才能保持成功之果。1.2 应用开发上的误区应用开发是企业网络系统建设中的重要内容，也是网络建设成功与否的关键。不少企业网络建设项目中，在应用开发方面也存在一些误区：1. 认为只要有好的计算机专业人员去干就可以了，业务人员不参与应用开发工作，甚至不很好地配合。事实上，由于专业计算机人员缺少具体业务知识和经验，无法独立开发出很适合业务部门的应用软件。2. 认为凡是业务部门、业务人员提出的需求都要进行开发。在应用开发的范围上，不进行认真地分析，不分主次。实际上，许多现成的工具软件已包含了许多功能，例如EXECL，但由于不重视业务人员计算机技能的提高，一切功能都寄希望于开发。这就造成开发成本的提高和工作重点的分散。3. 认为只有采用最新潮的开发工具和最时髦的开发语言才能开发好的软件，而不顾自己的实际需求，也不问那些工具和语言到底有什么用。4 认为开发软件与操作软件一样容易，所以不重视开发人员的工作，随意提出需求，之后又随意改动。这样的改动，很可能给开发增加许多工作量，更为严重的是，破坏开发的总体规划，导致开发进度的延迟。5. 企业高级领导认为开发工作是下面的事情，不参与总体规划，却对开发抱着过高的期望，以为开发结果一定应符合自己的想象。1.3 系统管理上的误区企业网络效果的发挥离不开系统管理，决不仅仅是安装好企业网络的设备，配置好软件那么简单，同样一个运行良好的企业网离不开人的管理，系统管理在网络建设和维护中是至关重要的，目前在系统管理方面存在的误区主要包括：1. 认为系统管理只要有计算机人员就可以了，不建立规范、有效的管理制度，没有想到系统管理实际上是企业管理中必不可少的一部分。2. 认为系统管理就是对计算机、网络设备、系统软件的管理，没考虑到对企业整体信息资源的管理，不注重对数据信息的规范化、标准化管理。3. 认为系统管理简单，费用不高，投入的财力、人力、物力不足。有许多企业的系统管理员只会“玩”PC而已，网管软件也被当作是可有可无的东西。殊不知，随着网络技术的发展和信息的增多，系统管理工作是相当复杂和繁重的。4. 认为系统管理工作只是辅助性工作，不能为企业创造直接效益，可以不予重视。结果导致专业计算机人才流失，只好使用非专业人员，使管理效果大打折扣。5. 认为只有看的见的东西才值钱，因而不愿意在服务上花钱。在系统管理上无法得到专业厂商的支持，导致管理水平业余而落后。 2. Intranet与网络安全技术 2.1 信息安全的重要性和内涵长期以来, 人们把信息安全理解为对信息的机密性、完整性和可获性的保护, 这固然是对的, 但这个观念是在二十多年前主机时代形成的。当时人们需要保护的是设在专用机房内的主机以及数据的安全性, 因此它是面向单机、面向数据的。八十年代进入了微机和局域网时代, 计算机已从专用机房内解放到分散的办公桌面乃至家庭, 由于它的用户/网络结构比较简单、对称,所以既要依靠技术措施保护,还要制定人人必须遵守的规定。因此, 这个时代的信息安全是面向网管、面向规约的。九十年代进入了互联网时代, 每个用户有都可以联接、使用乃至控制散布在世界上各个角落的上网计算机, 因此Internet的信息安全内容更多, 更为强调面向连接、面向用户(“人”)。因为在这个崭新的世界里, 人与计算机的关系发生了质的变化。人、网、环境相结合, 形成了一个复杂的巨系统。通过网上的协同和交流, 人的智能和计算机快速运行的能力汇集并融合起来, 创造了新的社会生产力, 丰富着大量应用(电子商务, 网上购物等等)和满足着人们的各种社会需要(交流、学习、医疗、消费、娱乐、安全感、安全环境等等)。在这个复杂巨系统中, “人”以资源使用者的身份出现, 是系统的主体, 处于主导地位, 而系统的资源(包括硬软件、通讯网、数据信息内容等)则是客体, 它是为主体即“人”服务的, 与此相适应, 信息安全的主体也是“人”(包括用户、团体、社会和国家), 其目的主要是保证主体对信息资源的控制。可以这样说: 面向数据的安全概念是前述的保密性、完整性和可获性, 而面向使用者的安全概念则是鉴别、授权、访问控制、抗否认性和可服务性以及在于内容的个人隐私、知识产权等的保护。这两者结合就是信息安全体系结构中的安全服务功能), 而这些安全问题又要依靠密码、数字签名、身份验证技术、防火墙、安全审计、灾难恢复、防病毒、防黑客入侵等安全机制(措施)加以解决。其中密码技术和管理是信息安全的核心, 安全标准和系统评估是信息安全的基础。总之从历史的、人网大系统的概念出发, 现代的信息安全涉及到个人权益、企业生存、金融风险防范、社会稳定和国家的安全。它是物理安全、网络安全、数据安全、信息内容安全、信息基础设施安全与公共、国家信息安全的总和。信息安全的完整内涵是和信息安全的方法论相匹配的, 信息安全系统是一个多维、多因素、多层次、多目标的系统。因此, 有必要从方法论的角度去理解现有的信息安全模式。 1. 分析与综合的辩证思维方法: 要在分析过程中从整体上把握好分析要素的内部矛盾, 例如:*在威胁分析中的环境灾害与人员失误、无意疏忽与有意破坏、外部人员与内部职员、窃密篡改与拒绝服务、个人行为与有组织的信息战威胁等关系。 在脆弱性分析中的软件协议缺陷与嵌入后门、网络层、系统层、应用层薄弱环节的关联等。 在攻击分析中的利用技术漏洞与社会工程、行为模式与隐蔽方式等关系。 在综合方法上则应该面向过程, 着眼发展: 风险管理的综合方法: 立足于尽量减少风险, 实行资产评估, 风险估算, 重点选择, 综合平衡, 政策制定, 系统实施, 审计监管等的全过程和全面质量管理。 安全评估的综合方法: 面向设计过程, 强调系统总体评价。在评估标准上掌握好传统与现实、国际通用互认和中国特点的关系。在保护轮廓内掌握好安全功能和保障的关系。 2. 从系统复杂性的观点理解和解决安全问题: 信息安全是过程、政策、标准、管理、指导、监控、法规、培训和工具技术的有机总和。这需要在不同层面上面向目标, 用定性与定量相结合、技术措施与专家经验相结合的综合集成方法加以解决。对信息内容的管理则要从源头、传递、网关、服务网站和用户层面进行综合治理。以创新精神跟上网络和安全技术的新发展我们处在网络调整发展和科技突飞猛进的时代, 信息安全技术是具有对抗性的敏感技术, 面对日益迫切的需要, 唯一的出路就是自主创新。但是自主创新并不排斥吸取国外的先进技术相反, 只有密切跟踪国际信息安全技术的新进民才能知已 知彼, 为我所用, 在技术创新上以下发展值得注意: 1. 在信息安全系统的构建、模式、评估方面 风险管理技术已由传统的相对固定的模式向灵活的不断反馈、不断演进的弹性模式转化, 强调可测量的方法体系, 形成所谓“有适应能力的风险管理模式”。 十年前, 信息安全系统构建理念是“自上而下”即顶层设计。从Internet的历史特点和发展现实出发, 需要先“自下而上”赴, 接着“上下结合”, 然后再在网络的确定范围内从全局上规划, 构成安全体系。系统安全不能作到一劳永逸, 需要动态的构建模型。在安全功能、服务的配置上, 过去是先从整体定义入手, 但是Internet量个多元化的应用环境, 而且日新月异。因此现实的解决办法是“分而治之”。各种应用, 各个部门, 先在统一的规范下, “从我做起”或者分层分步实施。这在相当一段时间内, 是推动网络发展、激励安全应用的现实途径。 新的安全协议不断出现, 有的已趋于成熟, 例如大家熟知IPv6已被公认安全性较强, 又能比IPv4提供更好的互连互通功能, 很有可能进入主流, 如何使我们的安全产品能同时支持IPv6已提到日程上 人类社会向来是正义与邪恶并存,在科学技术进步的同时人类也面临新的威胁,计算机技术的发展带来的计算机犯罪就是其中典型的例子。下面谈谈实施一个完整的安全体系应该考虑的问题。2.2 国内的信息系统安全吗? 在国家范围的网络建设方面, 国家电信事业迅速发展, 取得了巨大的成绩。 但是, 国家通信网络的交换机及其通信设备有相当一部分由于没有经过安全检测, 安全问题没有保证, 这是由于安全检测工作的建设滞后造成的。交换机的嵌入操作系统的安全性也存在问题。通信业务的计算机系统也多采用开放式的操作系统, 安全级别都很低, 也没有附加安全措施。这些系统不能抵抗黑客的攻击与信息炸弹的攻击。在国家政府部门, 应当说对信息系统的安全性还是重视的, 但苦于没有好的解决问题的方案和安全建设经费不足, 行业系统安全问题还是相当严重的,计算机系统也多采用开放式的操作系统, 安全级别较低。不能抵抗黑客的攻击与信息炸弹的攻击。有些系统网络多路出口, 对信息系统安全没有概念,完全没有安全措施, 更谈不上安全管理与安全策略的制定。有的行业的信息系统业务是在没有安全保障的情况下发展的。在金融领域, 有些系统采用了开放操作系统UNIX。在系统采购时, 有些单位没有采购安全系统或安全系统建设不完善。这些系统安全级别较低, 安全问题是普遍性的。有的商品交易所与证券公司使用的信息系统采用的是微机网络系统, 已经出现内外黑客的攻击, 应当说问题已经相当严重。在产业发展决策方面, 当然改革开放以来取得巨大成绩, 在行业规划方面一度存在轻系统重应用的发展思路, 对目前出现的信息系统安全问题是有影响的。行业部门应当重视系统软件的建设工作, 因为单靠企业发展系统软件是不可能在较短的时间内取得地位的, 要在系统软件领域占有一席之地应当成为国策, 甚至不亚于芯片建设的重要性。要加强信息系统安全的标准化工作,要启动信息系统安全建设的内需, 要明确信息系统安全建设的要求和规范。应当引起我们注意的是操作系统、网络系统与数据库管理系统的安全问题,是信息系统的核心技术, 没有系统的安全就没有信息的安全。我们应当特别注意, 我国在信息系统安全方面与美国是不平等的。在信息系统安全管理部门信息系统产品的认证和检测工作刚刚开始, 任重而道远2.3 影响网络信息安全的因素 现今的网络信息安全存在的威胁主要表现在以下几个方面。 1.非授权访问。指对网络设备及信息资源进行非正常使用或越权使用等。 2.冒充合法用户。主要指利用各种假冒或欺骗的手段非法获得合法用户的使用权限,以达到占用合法用户资源的目的。 3.破坏数据的完整性。指使用非法手段,删除修改、重发某些重要信息,以干扰用户的正常使用。 4.干扰系统正常运行。指改变系统的正常运行方法,减慢系统的响应时间等手段。 5.病毒与恶意攻击。指通过网络传播病毒或恶意Java、XActive等。 6.线路窃听。指利用通信介质的电磁泄漏或搭线窃听等手段获取非法信息。2.4 计算机安全分类及基本功能 根据国家计算机安全规范,可把计算机的安全大致分为三类。一是实体安全,包括机房、线路,主机等;二是网络与信息安全,包括网络的畅通、准确及其网上的信息安全;三是应用安全,包括程序开发运行、输入输出、数据库等的安全。下面重点探讨第二类网络与信息的安全问题。 网络信息安全需求可以归结为以下几类: 1.基本安全类 包括访问控制、授权、认证、加密和内容安全等。 访问控制是提供企业内部与外界及内部不同信息源之间隔离的基本机制,也是企业的基本要求。但是提供隔离不是最终目的,企业利用Internet技术的最终目的应当是在安全的前题下提供方便的信息访问,这就是授权需求。同时,用户也希望对授权的人的身份进行有效的识别,这就是认证的需求。为了保证信息在存储和传输中不被纂改、窃听等需要加密功能,同时,为了实施对进出企业网的流量进行有效的控制,就需要引入内容安全要求。 2.管理与记帐类 包括安全策略管理、企业范围内的集中管理、记帐、实时监控,报警等功能。 3.网络互联设备安全类 包括路由器安全管理、远程访问服务器安全管理、通信服务器安全管理、交换机安全管理等。 4.连接控制类主要为发布企业消息的服务器提供可靠的连接服务,包括负载均衡、高可靠性以及流量管理等。2.5 安全缺口安全策略经常会与用户方便性相矛盾,从而产生相反的压力,使安全措施与安全策略相脱节。这种情况称为安全缺口。为什么会存在安全缺口呢?有下面四个因素: 1、网络设备种类繁多当前使用的有各种各样的网络设备,从Windows NT和UNIX 服务器到防火墙、路由器和Web服务器,每种设备均有其独特的安全状况和保密功能; 2、访问方式的多样化一般来说,您的网络环境存在多种进出方式,许多过程拔号登录点以及新的Internet访问方式可能会使安全策略的设立复杂化; 3、网络的不断变化网络不是静态的,一直都处于发展变化中。启用新的硬件设备和操作系统,实施新的应用程序和Web服务器时,安全配置也有不尽相同;4、用户保安专业知识的缺乏许多组织所拥有的对网络进行有效保护的保安专业知识十分有限,这实际上是造成安全缺口最为主要的一点。2.6 网络安全评估 为堵死安全策略和安全措施之间的缺口,必须从以下三方面对网络安全状况进行评估: 1、 从企业外部进行评估:考察企业计算机基础设施中的防火墙; 2、从企业内部进行评估:考察内部网络系统中的计算机;3、从应用系统进行评估:考察每台硬件设备上运行的操作系统。2.7 计算机网络的安全策略2.7.1 物理安全策略 物理安全策略的目的是保护计算机系统、网络服务器、打印机等硬件实体和信链路免受自然灾害、人为破坏和搭线攻击；验证用户的身份和使用权限、防用户越权操作；确保计算机系统有一个良好的电磁兼容工作环境；建立完备的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。抑制和防止电磁泄漏（即TEMPEST技术）是物理安全策略的一个主要问题。目前主要防护措施有两类：一类是对传导发射的防护，主要采取对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合。另一类是对辐射的防护，这类防护措施又可分为以下两种：一是采用各种电磁屏蔽措施，如对设备的金属屏蔽和各种接插件的屏蔽，同时对机房的下水管、暖气管和金属门窗进行屏蔽和隔离；二是干扰的防护措施，即在计算机系统工作的同时，利用干扰装置产生一种与计算机系统辐射相关的伪噪声向空间辐射来掩盖计算机系统的工作频率和信息特征。2.7.2 访问控制策略 访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非常访问。它也是维护网络系统安全、保护网络资源的重要手段。各种安全策略必须相互配合才能真正起到保护作用，但访问控制可以说是保证网络安全最重要的核心策略之一。下面我们分述各种访问控制策略。1) 入网访问控制 入网访问控制为网络访问提供了第一层访问控制。它控制哪些用户能够登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。 用户的入网访问控制可分为三个步骤：用户名的识别与验证、用户口令的识别与验证、用户帐号的缺省限制检查。三道关卡中只要任何一关未过，该用户便不能进入该网络。 对网络用户的用户名和口令进行验证是防止非法访问的第一道防线。用户注册时首先输入用户名和口令，服务器将验证所输入的用户名是否合法。如果验证合法，才继续验证用户输入的口令，否则，用户将被拒之网络之外。用户的口令是用户入网的关键所在。为保证口令的安全性，用户口令不能显示在显示屏上，口令长度应不少于6个字符，口令字符最好是数字、字母和其他字符的混合，用户口令必须经过加密，加密的方法很多，其中最常见的方法有：基于单向函数的口令加密，基于测试模式的口令加密，基于公钥加密方案的口令加密，基于平方剩余的口令加密，基于多项式共享的口令加密，基于数字签名方案的口令加密等。经过上述方法加密的口令，即使是系统管理员也难以得到它。用户还可采用一次性用户口令，也可用便携式验证器（如智能卡）来验证用户的身份。 网络管理员应该可以控制和限制普通用户的帐号使用、访问网络的时间、方式。用户名或用户帐号是所有计算机系统中最基本的安全形式。用户帐号应只有系统管理员才能建立。用户口令应是每用户访问网络所必须提交的“证件”、用户可以修改自己的口令，但系统管理员应该可以控制口令的以下几个方面的限制：最小口令长度、强制修改口令的时间间隔、口令的唯一性、口令过期失效后允许入网的宽限次数。 用户名和口令验证有效之后，再进一步履行用户帐号的缺省限制检查。网络应能控制用户登录入网的站点、限制用户入网的时间、限制用户入网的工作站数量。当用户对交费网络的访问“资费”用尽时，网络还应能对用户的帐号加以限制，用户此时应无法进入网络访问网络资源。网络应对所有用户的访问进行审计。如果多次输入口令不正确，则认为是非法用户的入侵，应给出报警信息。2) 网络的权限控制网络的权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。可以指定用户对这些文件、目录、设备能够执行哪些操作。受托者指派和继承权限屏蔽（IRM）可作为其两种实现方式。受托者指派控制用户和用户组如何使用网络服务器的目录、文件和设备。继承权限屏蔽相当于一个过滤器，可以限制子目录从父目录那里继承哪些权限。我们可以根据访问权限将用户分为以下几类：（1） 特殊用户（即系统管理员）；（2） 一般用户，系统管理员根据他们的实际需要为他们分配操作权限；（3） 审计用户，负责网络的安全控制与资源使用情况的审计。用户对网络资源的访问权限可以用一个访问控制表来描述。3) 目录级安全控制网络应允许控制用户对目录、文件、设备的访问。用户在目录一级指定的权限对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件的权限。对目录和文件的访问权限一般有八种：系统管理员权限（Supervisor）；读权限（Read）、；写权限（Write）；创建权限（Create）；删除权限（Erase）；修改权限（Modify）；文件查找权限（File Scan）；存取控制权限（Access Control）；用户对文件或目标的有效权限取决于以下二个因素：用户的受托者指派、用户所在组的受托者指派、继承权限屏蔽取消的用户权限。一个网络系统管理员应当为用户指定适当的访问权限，这些访问权限控制着用户对服务器的访问。八种访问权限的有效组合可以让用户有效地完成工作，同时又能有效地控制用户对服务器资源的访问，从而加强了网络和服务器的安全性。4) 属性安全控制当用文件、目录和网络设备时，网络系统管理员应给文件、目录等指定访问属性。属性安全控制可以将给定的属性与网络服务器的文件、目录和网络设备联系起来。属性安全在权限安全的基础上提供更进一步的安全性。网络上的资源都应预先标出一组安全属性。用户对网络资源的访问权限对应一张访问控制表，用以表明用户对网络资源的访问能力。属性设置可以覆盖已经指定的任何受托者指派和有效权限。属性往往能控制以下几个方面的权限：向某个文件写数据、拷贝一个文件、删除目录或文件、查看目录和文件、执行文件、隐含文件、共享、系统属性等。网络的属性可以保护重要的目录和文件，防止用户对目录和文件的误删除、执行修改、显示等。5) 网络服务器安全控制 网络允许在服务器控制台上执行一系列操作。用户使用控制台可以装载和卸载模块，可以安装和删除软件等操作。网络服务器的安全控制包括可以设置口令锁定服务器控制台，以防止非法用户修改、删除重要信息或破坏数据；可以设定服务器登录时间限制、非法访问者检测和关闭的时间间隔。6) 网络监测和锁定控制 网络管理员应对网络实施监控，服务器应记录用户对网络资源的访问，对非法的网络访问，服务器应以图形或文字或声音等形式报警，以引起网络管理员的注意。如果不法之徒试图进入网络，网络服务器应会自动记录企图尝试进入网络的次数，如果非法访问的次数达到设定数值，那么该帐户将被自动锁定。7) 网络端口和节点的安全控制 网络中服务器的端口往往使用自动回呼设备、静默调制解调器加以保护，并以加密的形式来识别节点的身份。自动回呼设备用于防止假冒合法用户，静默调制解调器用以防范黑客的自动拨号程序对计算机进行攻击。网络还常对服务器端和用户端采取控制，用户必须携带证实身份的验证器（如智能卡、磁卡、安全密码发生器）。在对用户的身份进行验证之后，才允许用户进入用户端。然后，用户端和服务器端再进行相互验证2.8 确保网络安全的措施 由于网络安全的目的是保障用户的重要信息的安全，因此限制直接接触十分重要。如果用户的网络连入Internet，那麽最好尽可能地把与Internet连接的机器与网络的其余部分隔离开来实现这个目标的最安全的方法是将Internet服务器与网络实际隔开。当然，这种解决方案增加了机器管理的难度。但是如果有人闯入隔离开的机器，那麽网络的其余部分不会受到牵连。 最重要的是限制访问。不要让不需要进入网关的人都进入网关。在机器上用户仅需要一个用户帐号，严格限制它的口令。只有在使用su时才允许进入根帐号。这个方法保留一份使用根帐号者的记录。 在Internet服务器上提供的一些服务有FTP、HTTP、远程登陆和WAIS（广域信息服务）。但是，FTP和HTTP是使用最普遍的服务。它们还有潜力泄露出乎用户意料之外的秘密。 与任何其它Internet服务一样，FTP一直是（而且仍是）易于被滥用的。值得一提的弱点涉及几个方面。第一个危险是配置不当。它使站点的访问者（或潜在攻击者）能够获得更多超出其预期的数据。 他们一旦进入，下一个危险是可能破坏信息。一个未经审查的攻击者可以抹去用户的整个FTP站点。 最后一个危险不必长篇累牍，这是因为它不会造成破坏，而且是低水平的。它由用户的FTP站点构成，对于交换文件的人来说，用户的FTP站点成为“麻木不仁的窝脏点”。这些文件无所不包，可以是盗版软件，也可以是色情画。这种交换如何进行的呢？简单的很。发送者发现了一个他们有权写入和拷入可疑文件的FTP站点。通过某些其它方法，发送者通知它们的同伙文件可以使用。 所有这些问题都是由未正确规定许可条件而引起的。最大的一个问题可能是允许FTP用户有机会写入。当用户通过FTP访问一个系统时，这一般是FTP用户所做的事。因此，FTP用户可以访问，用户的访问者也可以使用。所有这些问题都是由未正确规定许可条件而引起的。最大的一个问题可能是允许FTP用户有机会写入。当用户通过FTP访问一个系统时，这一般是FTP用户所做的事。因此，FTP用户可以访问，用户的访问者也可以访问。 一般说来，FTP用户不是用户的系统中已经有的。因此，用户要建立FTP用户。无论如何要保证将外壳设置为真正外壳以外的东西。这一步骤防止FTP用户通过远程登录进行注册（用户或许已经禁止远程登录，但是万一用户没有这样做，确认一下也不会有错） 将所有文件和目录的主人放在根目录下，不要放在ftp下。这个预防措施防止FTP用户修改用户仔细构思出的口令。然后，将口令规定为755（读和执行，但不能写，除了主人之外）。在用户希望匿名用户访问的所有目录上做这项工作。尽管这个规定允许他们读目录，但它也防止他们把什麽东西放到目录中来。 用户还需要编制某些可用的库。然而，由于用户已经在以前建立了必要的目录，因此这一步仅执行一部分。因此，用户需要做的一切是将/usr/lib/libe.so.1和/usr/lib/libsock-et.so/1拷贝到ftp/usr/lib中。接着将ftp/usr/lib上的口令改为555，并建立主接收器。最后，用户需要在ftp/dev/中建立/dev/null和/dev/socksys设备结点。用户可以用mknod手工建立它们。然而，让系统为用户工作会更加容易。SCO文档说用cpio,但是copy（非cp）很管用。如果用户想建立一个人们都可用留下文件的目录，那麽可将它称作输入。允许其他人写入这个目录，但不能读。这个预防措施防止它成为麻木不仁的窝脏点。人们可以在这里放入他们想放的任何东西，但是他们不能将它们取出。如果用户认为信息比较适合共享，那麽将拷贝到另一个目录中。2.9 提高企业内部网安全性的几个步骤1) 限制对网关的访问。限制网关上的帐号数。不要允许在网络上进行根注册；2) 不要信任任何人。网关不信任任何机器。没有一台机器应该信任网关；3) 不要用NFS向网关传输或接收来自网关的任何文件系统；4) 不要在网关上使用NIS（网络信息服务）；5) 制订和执行一个非网关机器上的安全性方针；6) 关闭所有多余服务和删除多余程序7) 删除网关的所有多余程序（远程登录、rlogin、FTP等等）；8) 定期阅读系统记录。3. Intranet安全解决方案3.1 Intranet安全解决方案 过去我们往往把信息安全局限于通信保密,局限于对信息加密功能要求,其实网络信息安全牵涉到方方面面的问题,是一个极其复杂的系统工程。从简化的角度来看,要实施一个完整的网络与信息安全体系,至少应包括三类措施,并且三者缺一不可。一是社会的法律政策、企业的规章制度以及安全教育等外部软环境。在该方面政府有关部门、企业的主要领导应当扮演重要的角色。二是技术方面的措施,如防火墙技术、网络防毒、信息加密存储通信、身份认证、授权等。只有技术措施并不能保证百分之百的安全。三是审计和管理措施,该方面措施同时包含了技术与社会措施。其主要措施有:实时监控企业安全状态、提供实时改变安全策略的能力、对现有的安全系统实施漏洞检查等,以防患于未然。 企业要实施一个安全的系统应该三管齐下。其中法律、企业领导层的重视应处于最重要的位置。没有社会的参与就不可能实施安全保障。 网络信息安全包括了建立安全环境的几个重要组成部分,其中安全的基石是社会法律、法规与手段,这部分用于建立一套安全管理标准和方法。 第二部分为增强的用户认证,用户认证在网络和信息的安全中属于技术措施的第一道大门,最后防线为审计和数据备份,不加强这道大门的建设,整个安全体系就会较脆弱。用户认证的主要目的是提供访问控制和不可抵赖的作用。用户认证方法按其层次不同可以根据以下三种因素提供认证。 1.用户持有的证件,如大门钥匙、门卡等等; 2.用户知道的信息,如密码; 3.用户特有的特征,如指纹、声音、视网膜扫描等等。 根据在认证中采用因素的多少,可以分为单因素认证、双因素认证,多因素认证等方法。 第三部分是授权,这主要为特许用户提供合适的访问权限,并监控用户的活动,使其不越权使用。该部分与访问控制(常说的隔离功能)是相对立的。隔离不是管理的最终目的,管理的最终目的是要加强信息有效、安全的使用,同时对不同用户实施不同访问许可。 第四部分是加密。在上述的安全体系结构中,加密主要满足以下几个需求。 1.认证识别用户身份,提供访问许可; 2.一致性保证数据不被非法篡改; 3.隐密性保护数据不被非法用户查看; 4.不可抵赖使信息接收者无法否认曾经收到的信息。 加密是信息安全应用中最早开展的有效手段之一,数据通过加密可以保证在存取与传送的过程中不被非法查看、篡改、窃取等。在实际的网络与信息安全建设中,利用加密技术至少应能解决以下问题: 1.钥匙的管理,包括数据加密钥匙、私人证书、私密等的保证分发措施; 2.建立权威钥匙分发机构; 3.保证数据完整性技术; 4.数据加密传输; 5.数据存储加密等。 第五部分为审计和监控,确切说,还应包括数据备份,这是系统安全的最后一道防线。系统一旦出了问题,这部分可以提供问题的再现、责任追查、重要数据复原等保障。在网络和信息安全模型中,这五个部分是相辅相成、缺一不可的。其中底层是上层保障的基础,如果缺少下面各层次的安全保障,上一层的安全措施则无从说起。如果一个企业没有对授权用户的操作规范、安全政策和教育等方面制定有效的管理标准,那么对用户授权的控制过程以及事后的审计等的工作就会变得非常困难。3.2 网络信息安全产品 为了实施上面提出的安全体系,可采用防火墙产品来满足其要求。 采用NetScreen 公司的硬件防火墙解决方案NetScreen-10 & NetScreen-100可以满足以下功能。 (1)访问控制 实施企业网与外部、企业内部不同部门之间的隔离。其关键在