網(wǎng)絡(luò)是現(xiàn)代社會(huì)中信息傳輸?shù)闹饕d體，包括計(jì)算機(jī)網(wǎng)絡(luò)和電信網(wǎng)絡(luò)兩大部分，其中計(jì)算機(jī)網(wǎng)絡(luò)的典范是Internet，而電信網(wǎng)絡(luò)則包括有線電話網(wǎng)和移動(dòng)通信網(wǎng)。隨著技術(shù)的發(fā)展，這兩種網(wǎng)絡(luò)之間的差異正在逐步縮小，未來(lái)的發(fā)展趨勢(shì)將是一個(gè)統(tǒng)一的、能提供綜合業(yè)務(wù)能力的信息傳輸網(wǎng)絡(luò)。
1、網(wǎng)絡(luò)的基本結(jié)構(gòu)
在本文中涉及到的主要是計(jì)算機(jī)網(wǎng)絡(luò)。在典型的企業(yè)應(yīng)用環(huán)境中，用戶有兩種主要的網(wǎng)絡(luò)接入方式，即固定用戶的直接接入方式和移動(dòng)用戶的撥號(hào)接入方式。下面分別對(duì)這兩種接入方式下的網(wǎng)絡(luò)基本結(jié)構(gòu)進(jìn)行分析。
在直接接入方式下，整個(gè)網(wǎng)絡(luò)系統(tǒng)大致包括以下三個(gè)部分：
1)用戶網(wǎng)絡(luò)：是整個(gè)骨干網(wǎng)絡(luò)的端系統(tǒng)，同時(shí)用戶企業(yè)/部門(mén)內(nèi)部的業(yè)務(wù)處理專用網(wǎng)絡(luò)，包括了與用戶企業(yè)日常業(yè)務(wù)處理直接相關(guān)的業(yè)務(wù)系統(tǒng)和信息資源，以及為支持這些系統(tǒng)的有效運(yùn)行而建立的用戶內(nèi)部網(wǎng)絡(luò)系統(tǒng)（可以是局域網(wǎng)或Intranet）。由于企業(yè)間合作的不斷開(kāi)展，用戶網(wǎng)絡(luò)之間需要進(jìn)行大量的資源共享和交流，這一般需要通過(guò)骨干網(wǎng)絡(luò)進(jìn)行。
2)接入網(wǎng)絡(luò)：是指實(shí)現(xiàn)用戶網(wǎng)絡(luò)到骨干網(wǎng)絡(luò)接入的中間網(wǎng)絡(luò)部分，是用戶網(wǎng)絡(luò)的應(yīng)用信息通過(guò)骨干網(wǎng)絡(luò)傳輸?shù)囊粋�(gè)中介。由于用戶網(wǎng)絡(luò)和骨干網(wǎng)絡(luò)之間的安全性能上存在較大的差異，因此接入網(wǎng)絡(luò)需要解決的一個(gè)重要的問(wèn)題就是對(duì)用戶網(wǎng)絡(luò)及其內(nèi)部的各種資源進(jìn)行安全保護(hù)。本教程所指的接入網(wǎng)絡(luò)概念與電信網(wǎng)絡(luò)的術(shù)語(yǔ)“接入網(wǎng)”不完全相同。
3)骨干網(wǎng)絡(luò)：是用戶網(wǎng)絡(luò)之間交換和傳輸應(yīng)用信息的傳輸媒體，是通過(guò)在大量的用戶網(wǎng)絡(luò)之間共享網(wǎng)絡(luò)傳輸帶寬來(lái)實(shí)現(xiàn)信息的高速、廉價(jià)傳輸?shù)�。由于骨干網(wǎng)絡(luò)應(yīng)用環(huán)境的開(kāi)放性特點(diǎn)，其安全性能一般無(wú)法保證。
對(duì)于移動(dòng)用戶遠(yuǎn)程接入的方式，整個(gè)網(wǎng)絡(luò)結(jié)構(gòu)主要包括以下二個(gè)部分：
1)接入網(wǎng)絡(luò)：是實(shí)現(xiàn)移動(dòng)用戶接入到骨干網(wǎng)絡(luò)的中間網(wǎng)絡(luò)部分。典型的接入網(wǎng)絡(luò)包括ISP/IAP以及移動(dòng)用戶到相應(yīng)的ISP/IAP之間的電信網(wǎng)絡(luò)傳輸網(wǎng)絡(luò)部分（PSTN/IDSN）。
2)骨干網(wǎng)絡(luò)：是移動(dòng)用戶與目標(biāo)網(wǎng)絡(luò)之間的信息傳輸媒體。
隨著網(wǎng)絡(luò)和信息技術(shù)在各個(gè)方面的全面應(yīng)用，企業(yè)的組織方式將變得越來(lái)越靈活，而移動(dòng)計(jì)算模式將逐步普及，因此在研究網(wǎng)絡(luò)及信息安全問(wèn)題時(shí)必須將移動(dòng)用戶的接入方式作為一個(gè)重點(diǎn)加以研究。
2、網(wǎng)絡(luò)及信息安全問(wèn)題的內(nèi)涵
網(wǎng)絡(luò)及信息的安全問(wèn)題是一個(gè)相當(dāng)廣義的概念，其內(nèi)容至少涉及以下幾個(gè)方面：
1)物理安全：確保整個(gè)網(wǎng)絡(luò)系統(tǒng)正常運(yùn)行、安全工作的首要條件是確保計(jì)算機(jī)及其網(wǎng)絡(luò)設(shè)備等關(guān)鍵性網(wǎng)絡(luò)固件的物理安全，包括設(shè)備機(jī)房的防雷擊、電磁屏蔽、抗災(zāi)性能、安全警衛(wèi)等方面，要求整個(gè)網(wǎng)絡(luò)系統(tǒng)從系統(tǒng)設(shè)計(jì)、安裝施工、運(yùn)行管理各方面加強(qiáng)對(duì)物理安全的精確控制與有效管理。
2)網(wǎng)絡(luò)系統(tǒng)安全：骨干網(wǎng)絡(luò)部分的主要功能在于向大量的用戶網(wǎng)絡(luò)提供可用的網(wǎng)絡(luò)傳輸帶寬，因此傳輸網(wǎng)絡(luò)的安全性主要體現(xiàn)在對(duì)網(wǎng)絡(luò)傳輸帶寬可用性的保證上，主要是維持整個(gè)傳輸網(wǎng)絡(luò)的路由機(jī)制和網(wǎng)絡(luò)管理機(jī)制的正常運(yùn)作。
3)計(jì)算機(jī)系統(tǒng)安全：用戶網(wǎng)絡(luò)的主要功能體現(xiàn)在企業(yè)內(nèi)部信息資源的開(kāi)發(fā)利用以及業(yè)務(wù)流程的輔助實(shí)施方面，不僅要滿足內(nèi)部用戶的需求，還應(yīng)根據(jù)企業(yè)發(fā)展戰(zhàn)略的需要有針對(duì)性地向外部用戶提供服務(wù)和資源。因此計(jì)算機(jī)系統(tǒng)安全主要體現(xiàn)在對(duì)應(yīng)用系統(tǒng)和信息資源的安全保護(hù)兩個(gè)方面，而對(duì)信息資源的安全性保護(hù)主要幾種在數(shù)據(jù)的保密性、完整性和可用性方面。
3、網(wǎng)絡(luò)及信息安全問(wèn)題的主要成因
由于網(wǎng)絡(luò)及信息安全問(wèn)題的涉及的領(lǐng)域具有相當(dāng)?shù)膹V泛性，其安全問(wèn)題的來(lái)源和因由也是相當(dāng)復(fù)雜的，下面僅列出部分主要的安全問(wèn)題成因，給大家對(duì)此有一個(gè)初步的了解：
3.1 網(wǎng)絡(luò)及信息安全的技術(shù)成因
網(wǎng)絡(luò)及信息安全問(wèn)題的技術(shù)成因主要包括以下幾個(gè)方面：
1)電磁信號(hào)的輻射：由于網(wǎng)絡(luò)設(shè)備以及計(jì)算機(jī)信息系統(tǒng)的特殊構(gòu)造與工作方式，它不可避免地會(huì)向鄰近空間輻射電磁波。這些泄露出來(lái)的電磁輻射信號(hào)頻譜成分豐富，攜帶大量信息，從而對(duì)某些信息處理的信息安全性造成威脅。目前網(wǎng)絡(luò)通信中涉及到的傳輸電纜、計(jì)算機(jī)設(shè)備、網(wǎng)絡(luò)系統(tǒng)設(shè)備均會(huì)不同程度的產(chǎn)生電磁場(chǎng)輻射向外泄露，對(duì)此只需要簡(jiǎn)單的儀器設(shè)備就可以在通信雙方毫不知情的情況下對(duì)通信內(nèi)容實(shí)施監(jiān)聽(tīng)。
2)網(wǎng)絡(luò)協(xié)議的安全性：網(wǎng)絡(luò)協(xié)議是計(jì)算機(jī)之間為了互聯(lián)彼此共同遵守的通信規(guī)則。目前的互聯(lián)網(wǎng)絡(luò)所采用的主流協(xié)議TCP/IP協(xié)議構(gòu)架主要是面向信息資源的共享的。由于在其設(shè)計(jì)之初人們過(guò)分強(qiáng)調(diào)其開(kāi)發(fā)性和便利性，而對(duì)其安全性的設(shè)計(jì)上沒(méi)有深思熟慮，因此相當(dāng)部分的網(wǎng)絡(luò)協(xié)議都存在嚴(yán)重的安全漏洞，給互聯(lián)網(wǎng)留下了許多安全隱患。事實(shí)上，這已經(jīng)成為當(dāng)前網(wǎng)絡(luò)及信息安全問(wèn)題最主要根源之一。另外，某些網(wǎng)絡(luò)協(xié)議缺陷造成的安全漏洞往往被黑客直接利用發(fā)起安全攻擊。比較典型的如FTP、SMTP、Telnet等應(yīng)用協(xié)議，用戶的口令等信息是以明文形式在網(wǎng)絡(luò)中傳輸?shù)模瑫r(shí)這些協(xié)議底層所依賴的TCP協(xié)議自身也并不能確保信號(hào)傳輸過(guò)程的安全。
3)工作環(huán)境的安全漏洞：現(xiàn)有的操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)等典型的企業(yè)用戶工作環(huán)境，由于本身就是軟件產(chǎn)品，軟件產(chǎn)品的特殊性造成了其必然存在一定的已知及未知安全漏洞，包括自身的體系結(jié)構(gòu)問(wèn)題、對(duì)特定網(wǎng)絡(luò)協(xié)議實(shí)現(xiàn)的錯(cuò)誤以及系統(tǒng)開(kāi)發(fā)過(guò)程中遺留的后門(mén)和陷門(mén)。這些來(lái)自系統(tǒng)底層的安全漏洞帶來(lái)的安全隱患，有可能會(huì)使用戶精心構(gòu)建部署的應(yīng)用系統(tǒng)毀于一旦。
4)安全產(chǎn)品自身的問(wèn)題：對(duì)于用戶網(wǎng)絡(luò)內(nèi)部已經(jīng)采用的網(wǎng)絡(luò)及信息安全產(chǎn)品，其自身實(shí)現(xiàn)過(guò)程中的安全漏洞或錯(cuò)誤都有可能引發(fā)用戶內(nèi)部網(wǎng)絡(luò)安全防范機(jī)制的失效。同時(shí)，即使安全產(chǎn)品自身的安全漏洞可以忽略，在產(chǎn)品的實(shí)際使用過(guò)程中由于用戶的配置或操作不當(dāng)均可能造成產(chǎn)品安全性能的降低或喪失。
5)缺乏總體的安全規(guī)劃：目前的各種網(wǎng)絡(luò)及信息安全技術(shù)和產(chǎn)品一般基于不同的原理和安全模型工作，雖然獨(dú)立來(lái)看都是功能不錯(cuò)的產(chǎn)品，但當(dāng)所有這些產(chǎn)品整合到一起，應(yīng)用到同一個(gè)網(wǎng)絡(luò)系統(tǒng)中時(shí)，彼此之間在互操作性及兼容性上往往無(wú)法得到有效保證，從而帶來(lái)許多意想不到的新安全問(wèn)題。
6)信息的共享性：信息資源的網(wǎng)絡(luò)共享確實(shí)在促進(jìn)國(guó)際間的信息交流與技術(shù)合作上起到了前所未有的成功，大力推動(dòng)了全世界科技水平的提高，但同時(shí)這也成為網(wǎng)絡(luò)及信息安全問(wèn)題的一個(gè)重要成因。各種計(jì)算機(jī)病毒、各種攻擊小軟件都可以便捷地從互聯(lián)網(wǎng)上獲取，甚至網(wǎng)絡(luò)黑客們還專門(mén)成立了虛擬社區(qū)，通過(guò)討論組、BBS等形式交流黑客經(jīng)驗(yàn)。在這各方面可以說(shuō)信息共享起到了推波助瀾的負(fù)面作用。
3.2 網(wǎng)絡(luò)及信息安全的管理成因
網(wǎng)絡(luò)及信息安全問(wèn)題的管理成因主要包括以下幾個(gè)方面：
1)互聯(lián)網(wǎng)缺乏有效的管理：國(guó)際互聯(lián)網(wǎng)是全球性的分布式網(wǎng)絡(luò)。在技術(shù)層面上，不存在某個(gè)國(guó)家或某個(gè)利益集團(tuán)通過(guò)某種技術(shù)手段來(lái)達(dá)到控制互聯(lián)網(wǎng)的目的。由于互聯(lián)網(wǎng)是分布式的，各個(gè)節(jié)點(diǎn)由各類民間組織以自愿形式進(jìn)行管理，同時(shí)不同國(guó)家民族在地域、法律、文化等方面的巨大差異存在，導(dǎo)致了互聯(lián)網(wǎng)在整體上缺乏一個(gè)有效的安全管理規(guī)劃，給網(wǎng)絡(luò)黑客留下了充分的活動(dòng)空間，使他們可以低成本的進(jìn)行信息安全犯罪活動(dòng)而逍遙法外。
2)配套的管理體制尚未建立：傳統(tǒng)的政府部門(mén)的行政管理體制一般是建立在地域劃分和部門(mén)條塊分割基礎(chǔ)上，實(shí)施監(jiān)督管理的職能。而超越地域空間限制的網(wǎng)絡(luò)環(huán)境使得傳統(tǒng)的管理模式捉襟見(jiàn)肘，監(jiān)管部門(mén)的管理職能難以有效發(fā)揮作用。同時(shí)信息化社會(huì)中原有的法規(guī)政策在具體實(shí)施和操作中會(huì)遇到或多或少的種種困難，所有這些客觀上使得網(wǎng)絡(luò)黑客活動(dòng)一定程度上具備了逃避法規(guī)監(jiān)管的可能，助長(zhǎng)了網(wǎng)絡(luò)黑客的氣焰。
3)觀念上的重視不夠：目前政府部門(mén)、金融部門(mén)、企事業(yè)單位的大量業(yè)務(wù)依賴于信息系統(tǒng)安全運(yùn)行，信息安全重要性日益凸顯。大多數(shù)單位已經(jīng)意識(shí)到了網(wǎng)絡(luò)及信息安全問(wèn)題的重要性，但往往由于部門(mén)負(fù)責(zé)人的信息化水平本身不高導(dǎo)致其對(duì)信息安全管理認(rèn)知水平仍停留在較粗淺的低層次上。這主要表現(xiàn)在，沒(méi)有配備專職的網(wǎng)絡(luò)安全管理員或其業(yè)務(wù)素質(zhì)不高，沒(méi)有建立和落實(shí)完整的網(wǎng)絡(luò)系統(tǒng)安全防范制度，沒(méi)有對(duì)網(wǎng)絡(luò)系統(tǒng)和安全產(chǎn)品的配置進(jìn)行有效的管理等方面。
4、網(wǎng)絡(luò)及信息安全的規(guī)劃
從網(wǎng)絡(luò)信息系統(tǒng)的穩(wěn)定與安全、社會(huì)經(jīng)濟(jì)的有序發(fā)展和保護(hù)企業(yè)利益的角度來(lái)看，一定要高屋建瓴地進(jìn)行網(wǎng)絡(luò)信息安全保障體系建設(shè)規(guī)劃工作，做好基礎(chǔ)性工作和基礎(chǔ)設(shè)施建設(shè)，建立信息安全保障。下面主要介紹如何進(jìn)行有效的網(wǎng)絡(luò)及信息安全規(guī)劃工作。
4.1 風(fēng)險(xiǎn)分析和評(píng)估
安全規(guī)劃的第一步是對(duì)用戶內(nèi)部網(wǎng)絡(luò)所面臨的安全風(fēng)險(xiǎn)進(jìn)行分析和評(píng)估。根據(jù)現(xiàn)代的經(jīng)濟(jì)運(yùn)作理論，對(duì)于網(wǎng)絡(luò)及信息安全方面的投資將被視為一種投資方式，這種投資將帶來(lái)企業(yè)在運(yùn)行管理成本、安全事故損失以及企業(yè)形象等方面的收益。在市場(chǎng)經(jīng)濟(jì)領(lǐng)域中任何一種投資都必須有相應(yīng)的回報(bào)，因此投資前的一個(gè)重要措施就是風(fēng)險(xiǎn)分析和評(píng)估，用以確定所需的資金投入。
安全風(fēng)險(xiǎn)分析和評(píng)估主要應(yīng)從以下二個(gè)方面入手：
1)安全威脅及其可見(jiàn)性分析：對(duì)用戶企業(yè)所面臨的各種潛在的安全威脅因素及其對(duì)外的可見(jiàn)性進(jìn)行全面分析。安全威脅的存在不一定會(huì)造成事實(shí)的安全事故，安全威脅對(duì)外部是可見(jiàn)的，才有可能引發(fā)安全事故�？赡艿陌踩{應(yīng)包括軟、硬件以及用戶自身。
2)組織對(duì)潛在安全風(fēng)險(xiǎn)的敏感性分析：這里的敏感性包括對(duì)安全事故造成的直接經(jīng)濟(jì)損失以及政治上和商業(yè)形象上的損失的敏感程度。敏感性分析的結(jié)果將直接關(guān)系到安全規(guī)劃過(guò)程中對(duì)各類安全措施的投入比重和優(yōu)先級(jí)問(wèn)題。
4.2 安全策略制定
在安全風(fēng)險(xiǎn)分析和評(píng)估的基礎(chǔ)上，應(yīng)進(jìn)一步制定網(wǎng)絡(luò)系統(tǒng)的安全策略。在制定安全策略過(guò)程中應(yīng)充分權(quán)衡安全性和方便性，并應(yīng)注意使安全策略切實(shí)可行，與企業(yè)的技術(shù)和資金能力現(xiàn)狀相適應(yīng)。
安全策略應(yīng)包括一下兩個(gè)層次的內(nèi)容：
1)整體安全策略制定：主要用于確立企業(yè)級(jí)的網(wǎng)絡(luò)安全防范管理體制，并落實(shí)與之相配套的具體事實(shí)規(guī)劃和所需人力、物力的落實(shí)計(jì)劃，并應(yīng)明確違反安全策略行為的處理措施。整體的安全策略主要用于領(lǐng)導(dǎo)高層決策和管理使用。
2)系統(tǒng)級(jí)的安全策略：在整體安全策略所確定的框架之上進(jìn)一步從技術(shù)角度針對(duì)特定的系統(tǒng)專門(mén)制定詳細(xì)的安全策略，主要用于具體的技術(shù)實(shí)施使用。
在安全策略的制定和實(shí)施并不只是單純的管理層的任務(wù)，而是應(yīng)充分發(fā)揮技術(shù)人員的作用。
4.3 系統(tǒng)的管理與維護(hù)
在系統(tǒng)的運(yùn)行過(guò)程中應(yīng)進(jìn)行一下幾方面的管理與維護(hù)工作：
1)數(shù)據(jù)備份：對(duì)系統(tǒng)中關(guān)鍵性的信息根據(jù)應(yīng)用的特點(diǎn)確定備份的方式和備份策略。
2)安全審計(jì)：對(duì)系統(tǒng)中的資源訪問(wèn)和各種異常情況進(jìn)行安全審計(jì)，及時(shí)地發(fā)現(xiàn)系統(tǒng)配置中的安全漏洞并加以補(bǔ)救，并對(duì)已發(fā)生的安全事故進(jìn)行責(zé)任追查。
4.4 技術(shù)不是一切
對(duì)于網(wǎng)絡(luò)及信息安全問(wèn)題，需要著重指出的一個(gè)問(wèn)題是：“技術(shù)不是一切”。某種程度上說(shuō)，網(wǎng)絡(luò)技術(shù)及信息技術(shù)本身就是技術(shù)含量很高的高科技，因此在網(wǎng)絡(luò)及信息領(lǐng)域的整體安全解決方案中，技術(shù)因素必然是起著決定性作用的，這一點(diǎn)是不可否認(rèn)的。事實(shí)上任何一種技術(shù)都是在正、反兩方面的應(yīng)用和較量的過(guò)程中逐步完善和發(fā)展起來(lái)的，對(duì)于網(wǎng)絡(luò)及信息安全問(wèn)題則更將是一場(chǎng)智慧與技術(shù)的反復(fù)較量。
但同時(shí)也應(yīng)該看到，網(wǎng)絡(luò)及信息安全問(wèn)題涉及到了人的因素。與任何其它涉及到人的問(wèn)題一樣，網(wǎng)絡(luò)及信息安全領(lǐng)域中并不是只依靠單純的技術(shù)力量就能有效解決一切問(wèn)題的。
1) 功能再?gòu)?qiáng)大的網(wǎng)絡(luò)及信息安全產(chǎn)品，若使用者沒(méi)有進(jìn)行合理地配置或者正確地操作，其安全性能不但無(wú)法得到有效利用，還有可能形成許多新的安全漏洞。
2)再完善的安全管理制度，只為了貪圖一時(shí)方便而不去執(zhí)行它，那么所有的安全措施都有可能形同虛設(shè)。最簡(jiǎn)單的例子是用戶違反口令管理的規(guī)定選取過(guò)于簡(jiǎn)單的口令或干脆直接采用系統(tǒng)缺省口令就足以給網(wǎng)絡(luò)黑客敞開(kāi)大門(mén)。
3)只要用戶個(gè)人出于對(duì)工作條件的不滿或其它情感因素，完全有可能利用其合法的用戶身份從系統(tǒng)內(nèi)部發(fā)起攻擊或?qū)⑾到y(tǒng)內(nèi)部信息透露給其它惡意用戶。而根據(jù)美國(guó)FBI的統(tǒng)計(jì)，80%以上（奏效）的網(wǎng)絡(luò)攻擊都屬于這種“后院起火”的類型。因此，在從技術(shù)角度加強(qiáng)網(wǎng)絡(luò)及信息安全防范的同時(shí)，還必須加強(qiáng)對(duì)企業(yè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)的安全管理，才能使公司在安全產(chǎn)品和技術(shù)方面的投資發(fā)揮其應(yīng)有的作用。
核心關(guān)注：拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請(qǐng)注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/
本文標(biāo)題：網(wǎng)絡(luò)信息安全及規(guī)劃
本文網(wǎng)址：http://www.oesoe.com/html/consultation/10839510944.html
相關(guān)文章
