对网络安全管理问题探析.docVIP

对网络安全管理问题探析 　　信息系统安全、计算机网络安全、Internet安全，由他们构成了一个错综复杂的世界。这些复杂性会随着系统设备、数据通信、攻击活动的增加而越来越难以控制。因此人们不得不花费大量精力来研究网络安全对策问题。 　　 　　一、当前网络系统存在的主要问题 　　 　　（一）当计算机和网络空间足够大时，很多人希望网络能够支持所有的IP服务。其实人们常用的服务，只是一些基本的终端服务。例如：文件复制、电子邮件和共享资源等。所以你不要把你的系统设备和支持的网络服务做的大而全，较少的服务意味着遭到攻击的机会就越低。 　　（二）越来越多的网络系统集成了各种各样的功能但安全性并不好的服务，例如，网络上传输办公涉密文件、使用文件共享等功能。 　　（三）现在许多企业在推行电子商务中，往往是通过Internet与合作伙伴或顾客进行交流，通过Internet发展潜在客户。根据调查Internet上连接了7200多万个主机，另有许多众多的计算机通过各种方式与Internet连接。可以这样说，当你上网时大概有十亿个用户在做你的网络邻居。在这样的网络环境下，潜伏着不计其数的攻击隐患，黑客们不需要特别的技能就可以随即发起危害极大的攻击活动。 　　 　　二、网络安全的基本原则 　　 　　（一）安全性和复杂性成反比 　　在安全策略的实施过程中，你采取的实施方法应尽可能的简单。因为实施过程越复杂，被误解和误操作的几率就越大。 　　（二）安全性和可用性成反比 　　在目前可用的系统中永远不存在“绝对安全”，因此在实施安全策略时应掌握尺度，不要以牺牲系统资源为代价，一味地追求所谓的绝对安全。 　　（三）安全问题的解决是个动态过程 　　安全问题的解决没有最佳方案，即使存在这种“最佳方案”，它也不能保证你的系统固若金汤，能够避免各种安全攻击。因为你的系统在不断升级变化，新技术层出不穷，同时黑客的攻击方法也在不断更新。 　　（四）对网络安全要有正确的认识 　　搞清楚你的企业在还存在哪些安全上的不足，哪些地方仍然留有漏洞、哪些文档和处理程序不合适，哪些处理机制需要更新是非常关键的。不对组织的整体安全情况进行改善或分析的做法是错误的。这样就有可能导致错误的出现，灾难事故的增加，给你的企业业务开展带来无尽的麻烦。 　　（五）进行详尽的检查和评估 　　例如，如果你利用VPNs（虚拟专用网）把你的宿舍和办公室与公司总部理想连接，那么就很有必要对你的移动办公环境中驻留在你的笔记本电脑上的数据进行保护，所有的数据通信都要通过防火墙进行隔离和过滤。 　　（六）网络威胁要详加分析 　　假想的威胁、真实的威胁和可能的威胁，还有已知和未知的威胁。我们不但要对已知威胁详加分析，还要对潜在的、未知的威胁加以检测、判断与认识。 　　（七）安全是投资，是为了更好地消费 　　安全投资需要得到企业领导的大力支持。对计算机和网络进行安全投资，迎接不断增长的商务需求与风险的挑战，是一种行之有效的措施。安全性较高的服务器可以使公司实现该领域的其他销售人员和商业伙伴的信息共享。安全有时就像汽车的安全气囊，尽管在大部分时间里它并没有什么作用，但它的存在依然很有必要。安全管理比安全更重要。 　　 　　三、建立安全小组 　　 　　安全策略的创建往往需要一个团队的协同工作，以保证所制定的策略是全面的、切合实际的、能有效实施的、性能优良的。 　　把来自公司不同部门的人组成一个小组或团队的另一个理由是当团队中的某些成员意见分歧时，能够进行充分的讨论，以得到一个较好的解决问题办法。 　　安全计划小组应该包含那些来自企业各部门不同专业的人们，IT 成员、系统和计算机管理员，都应在团队当中。要与不同部门来的员工之间保持密切联系和协商。 　　商业需求决定一切。安全小组和成员的观点，决定了计算机和网络服务的商业需求。安全小组建立起来之后，第一步就是要对商业需求进行分析。哪些服务是企业需要的？这些需求在多大程度上能满足安全需要？多少员工依赖于Internet访问，e-mail的使用和intranet的有效性如何？他们是否依赖于远程和内部网的访问？有和WEB进行连接的需求吗？客户是否要通过Internet 来进行商业支持数据的访问？ 　　 　　四、易损性、风险性分析和威胁评估 　　 　　安全策略计划阶段包括易损性分析、风险性分析和威胁评估。本阶段包括资产的鉴定与评估，威胁的假定与分析，易损性分析，现有措施的评价，分析的费用及收益，信息使用与管理，安全措施等。下面的这些问题需要你做认真考虑： 　　（一）需要对哪些方面进行保护？企业形象？未来产品计划？招聘的员工人信息？客户信息？计算机资源？所有内容的方面都是需要保护的。 　　（二）哪些攻击是可能的？哪