浅谈互联网基础安全

互联网已经在现实生活中广泛应用，如聊天、游戏、电子商务等给网民的生活带来很大的方便，可见它已经成为一个能够相互沟通、相互参与的互动平台。

人们有时候会忘记安全的根木，只是去追求某些耀人眼目的新技术，结果却发现最终无所得。而在目前的经济环境下，有限的安全预算也容不得企业不顾安全而一味的去追求新技术。当然，随着互联网技术的演进，互联网的各部分面临的安全风险是会随之变化的，作为企业是十分有必要去应时而变的。

随着网络与信息安全对抗技术的高速发展，网络安全已成为一项责任重大、管理复杂的工作。互联网安全主要包括：物理环境安全、拓扑结构安全、应用系统安全和管理安全等。

一、物理环境安全

网络的物理安全是整个互联网安全的前提。坚持“安全第一、预防为主、综合治理”的原则，遵守有关安全生产与安全保卫工作的法律、法规和规章制度，明确安全管理责任，完善安全生产与治安防范条件，有效预防和处置生产安全事故、社会安全事件和自然灾害等突发事件。

经常进入机房的人员，须经过部门负责人填写机房准入授权单授权审批准后，方可发放门禁卡。对于需临时进入机房的人员(包括公司内部及外部人员)，必须经过部门负责人授权批准后，在有权限进入机房的工作人员陪同下进入机房，并填写机房进出登记表。安全管理员每月应对机房门禁日志/机房进出记录进行审阅，部门负责人每季度对机房准入人员名单进行复核。

在网络工程的设计和施工中，必须优先考虑保护人和网络设备不受电、火灾和雷击的侵害；考虑布线系统与照明电线、动力电线、通信线路、暖气管道及冷热空气管道之间的距离；考虑布线系统和绝缘线、裸体线以及接地与焊接的安全；必须建设防雷系统，防雷系统不仅考虑建筑物防雷，还必须考虑计算机及其他弱电耐压设备的防雷。保护网络关键设备(如交换机，大型计算机等)，制定严格的网络安全规章制度，采取防辐射、防火以及安装不间断电源UPS)等措施。

总体来说物理环境安全的风险主要有，地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获；高可用性的硬件；双机多冗余的设计；机房环境及报警系统、安全意识等，因此要尽量避免网络的物理环境安全风险。

二、拓扑结构安全

2.1 重要性分析

定期主机安全检查要保证网络安全，进行网络安全建设，第一步首先要全面了解系统评估系统安全性，认识到自己的风险所在，从而迅速、准确得解决内网安全问题。网络拓扑结构设计也直接影响到互联网的安全性。以满足客户需求为基本出发点，从网络结构简单化入手，优化拓扑结构，不仅能够提升网络质量，而且降低了影响系统稳定性的风险。在网络结构明确后，各网络设备间的数据链路尽可能地使用不同平面实现数据链路保护，提升数据传送的安全性，以避免由于外界不可抗因素引起的链路阻断，影响客户感知。

假如在外部和内部网络进行通信时，内部网络的机器安全就会受到威胁，同时也影响在同一网络上的许多其他系统，对此我们首先要监测发现网络中存在的各种安全事件和风险，只有做到可知才能可控，要利用各种监测方式和手段，对内部网络中常见存在的各类安全风险如边界安全、网站安全、敏感信息安全、移动存储介质安全、基础安全、运行安全违规行为等予以第一时间发现，并结合相应的防护手段，予以及时处置，将风险带来的危害降到最低。透过网络传播，还会影响到连上 Internet/Intrant的其他的网络；影响所及，还可能涉及法律、金融等安全敏感领域。因此，我们在设计时有必要将公开服务器(WEB、DNS、EMAIL等)和外网及内部其它业务网络进行必要的隔离，避免网络结构信息外泄；同时还要对外网的服务请求加以过滤，只允许正常通信的数据包到达相应主机，其它的请求服务在到达主机之前就应该遭到拒绝。

2.2 防火墙

这块十多年来网络防御的基石，如今对于稳固的基础安全来说，仍然十分需要。如果没有防火墙屏蔽有害的流量，那么企业保护自己网络资产的工作就会成倍增加。防火墙必须署在企业的外部边界上，但是它也可以安置在企业网络的内部，保护各网络段的数据安全。

在企业内部部署防火墙还是一种相对新鲜但却很好的实践。之所以会出现这种实践，主要是因为可以区分可信任流量和有害流量的任何有形的、可靠的网络边界正在消失的缘故。下有的所谓清晰的互联网边界的概念在现代网络中已不复存在。最新的变化是，防火墙正变得来越智能，颗粒度也更细，能够在数据流中进行定义。如今，防火墙基于应用类型甚至应用的某个功能来控制数据流已很平常。

三、应用系统安全

3.1 重要性分析

应用系统的安全跟具体的应用有关，它涉及面广。

应用系统是不断发展且应用类型是不断增加的。在应用系统的安全性上，主要考虑尽可能建立安全的系统平台，而通过专业的安全工具不断发现漏洞，修补漏洞，提高系统的安全性。

信息的安全性涉及到机密信息泄露、未经授权的访问、破坏信息完整性、假冒、破坏系统的可用性等。在某些网络系统中，涉及到很多机密信息，如果一些重要信息遭到窃取或损坏，它的经济、社会影响和政治影响将是很严重的。因此，对用户使用计算机必须进行身份认证，对于重要信息的通讯必须授权，传输必须加密。采用多层次的访问控制与权限控制手段，实现对数据的安全保护；采用加密技术，保证网上传输的信息(包括管理员口令与帐户上传信息等)的机密性与完整性。

3.2 安全防御体系

根据目前的网络安全现状，以及各领域企业的网络安全需求，能够简单、快捷地实现整个网络的安全防御架构。企业信息系统的安全防御体系可以分为三个层次：安全评估，安全加固，网络安全部署。

安全评估通过对企业网络的系统安全检测，web脚本安全检测，以检测报告的形式，及时地告知用户网站存在的安全问题，并针对具体项目，组建临时项目脚本代码安全审计小组，由资深网站程序员及网络安全工程师共同审核网站程序的安全性。找出存在安全隐患程序并准备相关补救程序。

安全加固以网络安全评估的检测结果为依据，对网站应用程序存在的漏洞、页面中存在的恶意代码进行彻底清除，同时通过对网站相关的安全源代码审计，找出源代码问题所在进行安全修复。安全加固作为一种积极主动地安全防护手段，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵，加强系统自身的安全性。

网络安全部署在企业信息系统中进行安全产品的部署，可以对网络系统起到更可靠的保护作用，提供更强的安全监测和防御能力。

四、管理安全

4.1 重要性分析

管理是网络中安全最最重要的部分。责权不明、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。当网络出现攻击行为或网络受到其它一些安全威胁时(如内部人员的违规操作等)，无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。

建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案，因此，最可行的做法是制定健全的管理制度和严格管理相结合。保障网络的安全运行，使其成为一个具有良好的安全性、可扩充性和易管理性的信息网络便成为了首要任务。一旦上述的安全隐患成为事实，所造成的对整个网络的损失都是难以估计的。

4.2 管理手段

近年来，围绕网络安全问题提出了许多解决办法，例如访问控制、数据加密技术和网络隔离技术等。

4.2.1 访问控制

访问控制是对用户访问网络资源的权限进行严格的认证和控制。例如，进行用户身份认证，对口令加密、更新和鉴别，设置用户访问目录和文件的权限，控制网络设备配置的权限，WEB应用中端口的管理等等。按用户身份及其所归属的某项定义组来限制用户对某些信息项的访问，或限制对某些控制功能的使用的一种技术，如 UniNAC网络准入控制系统的原理就是基于此技术之上。访问控制通常用于系统管理员控制用户对服务器、目录、文件等网络资源的访问。访问控制主要包括防止非法的主体进入受保护的网络资源、允许合法用户访问受保护的网络资源，防止合法的用户对受保护的网络资源进行非授权的访问。

访问控制在实现过程中主要体现为入网访问控制、网络权限限制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监测和锁定控制、网络端口和节点的安全控制、防火墙控制等八种方式。

4.2.2 数据加密防护

数据加密又称密码学，它是一门历史悠久的技术，指通过加密算法和加密密钥将明文转变为密文，而解密则是通过解密算法和解密密钥将密文恢复为明文。数据加密目前仍是计算机系统对信息进行保护的一种最可靠的办法。它利用密码技术对信息进行加密，实现信息隐蔽，从而起到保护信息的安全的作用。

4.2.3 网络隔离

面对新型网络攻击手段的出现和高安全度网络对安全的特殊需求，全新安全防护防范理念的网络安全技术——“网络隔离技术”应运而生。网络隔离技术的目标是确保隔离有害的攻击，在可信网络之外和保证可信网络内部信息不外泄的前提下，完成网间数据的安全交换网络隔离技术是在原有安全技术的基础上发展起来的，它弥补了原有安全技术的不足，突出了自己的优势。

所谓网络隔离技术是指两个或两个以上的计算机或网络在断开连接的基础上，实现信息交换和资源共享，也就是说，通过网络隔离技术既可以使两个网络实现物理上的隔离，又能在安全的网络环境下进行数据交换。网络隔离技术的主要目标是将有害的网络安全威胁隔离开，以保障数据信息在可信网络内在进行安全交互。目前，一般的网络隔离技术都是以访问控制思想为策略，物理隔离为基础，并定义相关约束和规则来保障网络的安全强度。

以下是已有隔离技术，主要由如下几种类型：

(1).双机双网。双机双网隔离技术方案是指通过配置两台计算机来分别联接内网和外网环境再利用移动存储设备来完成数据交互操作，然而这种技术方案会给后期系统维护带来诸多不便，同时还存在成本上升、占用资源等缺点，而且通常效率也无法达到用户的要求。

(2).双硬盘隔离。双硬盘隔离技术方案的基本思想是通过在原有客户机上添加一块硬盘和隔离卡来实现内网和外网的物理隔离，并通过选择启动内网硬盘或外网硬盘来连接内网或外网网络。由于这种隔离技术方案需要多添加一块硬盘，所以对那些配置要求高的网络而言，就造成了成本浪费，同时频繁的关闭、启动硬盘容易造成硬盘的损坏。

(3).单硬盘隔离。单硬盘隔离技术方案的实现原理是从物理层上将客户端的单个硬盘分割为公共和安全分区，并分别安装两套系统来实现内网和外网的隔离，这样就可具有较好的可扩展性，但是也存在数据是否安全界定困难、不能同时访问内外两个网络等缺陷。

(4).集线器级隔离。集线器级隔离技术方案的一个主要特征在客户端只需使用一条网络线就可以部署内网和外网，然后通过远端切换器来选择连接内外双网，避免了客户端要用两条网络线来连接内外网络。

(5).服务器端隔离。服务器端隔离技术方案的关键内容是在物理上没有数据连通的内外网络下，如何快速分时地处理和传递数据信息，该方案主要是通过采用复杂的软硬件技术手段来在服务器端实现数据信息过滤和传输任务，以达到隔离内外网的目的。

总结

提高安全防范意识拥有网络安全意识是保证网络安全的重要前提。许多网络安全事件的发生都和缺乏安全防范意识有关。要做好基础安全防护工作，思想是保障，制度是根本，坚持是关键。强化安全意识的提高，规范日常操作，是做好互联网安全工作的重要保障；不断完善各项安全制度，做到有章可循，有章必循，严格按照制度来执行，用制度管好人，用人管好技术，安全防护工作才能取得预期效果，以高度负责的态度把各项安全工作认真落到实处。

——END——