内网安全更要求立体防护体系.docxVIP

PAGE 1 PAGE 1 内网安全更要求立体防护体系  从某种意义上来说，内网安全是外网安全的一种扩展和提升，它是基于更加科学和客观的信任模型建立起来的。内网安全集中关注的对象包括了引起信息安全威逼的内部网络用户、应用环境、应用环境边界和内网通信安全，内网安全从更加全面和完整的角度对信息安全威逼的途径进行r分析、处理和掌握，使信息安全成为一个完整的体系。  从某种意义上来说，内网安全是外网安全的一种扩展和提升，它是基于更加科学和客观的信任模型建立起来的。内网安全集中关注的对象包括了引起信息安全威逼的内部网络用户、应用环境、应用环境边界和内网通信安全，内网安全从更加全面和完整的角度对信息安全威逼的途径进行了分析、处理和掌握，使信息安全成为一个完整的体系。  现在，各大军工单位及政府机关已经熟悉到了内网安全的重要性、紧迫性。各单位的涉密信息系统遵从国家保密局的BMB17—2006《涉及国家隐秘的分级保护技术要求》，非涉密信息系统遵从公安部的《信息系统安全等级保护基本要求》，从技术角度着手提升内网的安全。但内网安全不仅是安全产品的堆叠，其更要求在合理的管理下发挥安全产品的作用。现阶段的内网安全也由单纯的安全产品部署，上升到了如何在最小的效率损耗前提下发挥安全产品的功效。通过制定可行的安全制度，协作合理的安全产品策略，形成立体的防护体系，以规避技术外带来的风险。  1．对内网安全的一些体会  安全始终围围着信息绽开，信息的安全又从信息的完整性、可用性、保密性绽开。信息系统安全涉及物理安全、运行安全及信息数据安全三个维度，物理安全包括门禁(物理访问掌握)、环境安全，电力供应、温度湿度、防火、防潮、防雷、防盗等等；运行安全包括管理制度、管理机构、数据备份与恢复、数据销毁、防病毒木马、安全审计等等；信息数据安全包括终端数据安全、服务器数据安全、数据库数据安全、数据访问掌握、用户身份鉴别，抗抵赖等等。综合言之，全部的安全措施只有一个目标：保护数据的安全，使之能有效地交换和共享，满意安全使用需求。涉及操作系统安全、数据库安全、数据存储安全、数据传输安全、实体鉴别(客体访问主体时应有的鉴别机制)、数据访问掌握、事后追踪及审计、网络访问掌握等。  内网安全应当以一个系统来体现它的价值，各安全产品之间要相辅相成，而网络通道安全、终端源头安全、服务器的保护、移动存储介质的掌握则是内网安全防护的重要环节。  首先是服务器存储数据的安全。作为数据集中存储的核心部位，出现任何问题都可能导致无法估量的损失。因而要做好容灾，准时备份是一个好方法。又由于在服务器收集的信息集中度大，防治信息泄露在所难免，因此，服务器的加固也应受到重视，像内部数据加密备份、登录的身份鉴别机制，都必不可少。  除此之外，服务器的正常运转也很重要，这需要应用系统本身的安全设计要到位，且在网络上要有一定的防攻击措施。  谈及内网的网络安全，与外网又有些不同。外网的安全在于防患于未然，内网的安全在防患的基础上，更加侧重于监控审计。相较于外网不可知的物理环境，内网究竟有一个限度，这就导致了内网不单是防火墙、入侵检测、网络行为审计、VPN等产品的排列堆叠，更要求管理人员定时地审计相关信息，确保各设备的审计记录能够做到准时分析、处理。  做好服务器和网络的安全后，就要着手信息的源头——终端安全。终端安全其实可以类比服务器安全，像登录的身份鉴别、信息的加密存储这些措施都特别霞要。而为了防范来自网络上的攻击，调整终端危急的服务策略，准时更新补丁、病毒库等措施也同样重要。  3．瓶颈问题及解决  近年来，我国信息化建设热潮日益高涨，包括政府、军工、金融等行业及企事业单位在内的各级各类信息系统的建设取得了很大成效。鉴于用户对信息系统的依靠性越来越强，为确保其所承载的信息的安全-监控，势必要求加强对信息系统的安全管理。对于涉及国家隐秘信息的政府、军工等单位，已经很重视内网安全。但是金融、教育、能源、电力等重要领域的非涉密单位，还是将内网安全视为一个可有可无的角色。  相较于涉密单位，非涉密企事业单位更注意的是安全和效益以及效率之间的平衡。如何设计整体的内网安全，在满意企业需求的基础上不损耗效率以及效益才是内网安全在企业推广应用中要解决的瓶颈问题。例如，非镪单位考虑较多的是在高效使用霞要数据的同时如何保护好这些重要数据的防泄露，看似简洁的需求却需要采取许多技术与管理的安全措施才能做到。  解决这个瓶颈问题，就是要解决安全与效益之间的博弈。企业的内网安全是由设备、人力，资金、管理要素组成的，解决途径也自在其中。在资金、设备和人力都固化掉的状况下，管理才是其关键。安全集成公司不仅要卖设备