張斌

摘要：隨著以計(jì)算機(jī)網(wǎng)絡(luò)為代表的信息技術(shù)在各行各業(yè)的廣泛應(yīng)用，網(wǎng)絡(luò)安全已經(jīng)成為影響各產(chǎn)業(yè)發(fā)展的重要瓶頸，找出計(jì)算機(jī)網(wǎng)絡(luò)可能面臨的諸多具體威脅和隱患，制定切實(shí)可行的防范措施已勢在必行。

關(guān)鍵詞：計(jì)算機(jī)網(wǎng)絡(luò)安全隱患防范措施

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1672-3791（2012）08（b）-0024-01

1計(jì)算機(jī)網(wǎng)絡(luò)面臨的安全威脅及隱患

（1）網(wǎng)絡(luò)硬件存在安全隱患。一是核心技術(shù)受制于人。當(dāng)前我國所使用的計(jì)算機(jī)芯片、骨干路由器和微機(jī)主板等主要是從國外進(jìn)口的，且對(duì)引進(jìn)技術(shù)和設(shè)備缺少必要的技術(shù)改造，一旦不法分子在硬件設(shè)備中預(yù)先安置后門程序，后果不堪設(shè)想。二是操作系統(tǒng)存在隱患。目前，我們使用的主要操作系統(tǒng)都是微軟的Windows系列操作系統(tǒng)，這個(gè)系統(tǒng)設(shè)計(jì)之初考慮的是易用性而忽視了系統(tǒng)的安全，非授權(quán)用戶或黑客可通過漏洞對(duì)網(wǎng)絡(luò)進(jìn)行攻擊，而且此系統(tǒng)本身比較脆弱，易受溫濕度、磁場、污染等外部環(huán)境的影響而出現(xiàn)故障。三是易遭非法終端接入?，F(xiàn)有硬件設(shè)備很可能被非法分子在現(xiàn)有終端上并接一個(gè)終端，或非法終端在合法終端從網(wǎng)上撤下時(shí)乘機(jī)接入并操縱計(jì)算機(jī)通信接口，或通過某種技術(shù)手段冒充主機(jī)使敏感信息傳到非法終端。四是易受非法入侵。非法分子通過技術(shù)滲透或通信線路入侵網(wǎng)絡(luò)，非法盜用、破壞或獲取敏感信息或數(shù)據(jù)及系統(tǒng)資源。利用目標(biāo)計(jì)算機(jī)的漏洞進(jìn)入系統(tǒng)或通過口令猜測進(jìn)入系統(tǒng)，采用IP地址欺騙等手段來入侵。

（2）技術(shù)缺陷帶來入侵威脅。一是網(wǎng)絡(luò)協(xié)議的缺陷。包括源地址認(rèn)證、網(wǎng)絡(luò)控制機(jī)制及路由協(xié)議等使用TCP協(xié)議的缺陷，造成入侵者的入侵，進(jìn)行訪問、修改、拒絕訪問、否認(rèn)等攻擊。二是軟件出現(xiàn)缺陷。由于程序員在編程時(shí)考慮不周而造成的問題，如輸入確認(rèn)、訪問確認(rèn)、設(shè)計(jì)、特殊條件和競爭條件等錯(cuò)誤引起的軟件缺陷。三是病毒防護(hù)薄弱。計(jì)算機(jī)病毒可多種方式入侵計(jì)算機(jī)網(wǎng)絡(luò)，且不斷繁殖和擴(kuò)散，使計(jì)算機(jī)系統(tǒng)出現(xiàn)錯(cuò)誤或處理能力下降，甚至是丟失數(shù)據(jù)或文件。四是安全測試設(shè)備落后。目前的安全保密測試設(shè)備落后于系統(tǒng)發(fā)展，對(duì)部分系統(tǒng)隱患無法偵測，無法通過有效的定性定量分析來加強(qiáng)系統(tǒng)防范，使網(wǎng)絡(luò)系統(tǒng)難以應(yīng)對(duì)新出現(xiàn)的安全隱患。

（3）人為操作導(dǎo)致失泄密發(fā)生。一是安全防護(hù)人員少，專業(yè)人才不夠。如網(wǎng)絡(luò)管理員配置不當(dāng)，安全觀念不強(qiáng)，造成人為泄密，或由于責(zé)任心不強(qiáng)網(wǎng)絡(luò)應(yīng)用升級(jí)不及時(shí)造成安全漏洞，隨意使用普通網(wǎng)絡(luò)站（點(diǎn)）下載的軟件。二是用戶安全意識(shí)薄弱。部分用戶將自己的賬號(hào)隨意轉(zhuǎn)借他人或與別人共享，從而導(dǎo)致信息泄漏。三是現(xiàn)有安保人員業(yè)務(wù)不夠精，安全管理不到位，特別是對(duì)不安全事件的處理不及時(shí)，方法不妥當(dāng)。這些人為因素是無論多么精妙的安全策略和網(wǎng)絡(luò)安全體系均無法防范和解決的。

（4）管理機(jī)制存在安全漏洞。一是安全措施不到位。信息網(wǎng)絡(luò)越來越具有綜合性和動(dòng)態(tài)性特點(diǎn)，這同時(shí)也是信息網(wǎng)絡(luò)不安全的原因所在。然而，部分操作人員對(duì)此缺少認(rèn)識(shí)，未進(jìn)入安全就緒狀態(tài)就急于操作，結(jié)果導(dǎo)致敏感數(shù)據(jù)暴露，使系統(tǒng)遭受風(fēng)險(xiǎn)。二是缺乏綜合性的解決方案。面對(duì)復(fù)雜的不斷變化的網(wǎng)絡(luò)世界，大多數(shù)單位缺乏綜合性的安全管理解決方案，安全意識(shí)較強(qiáng)的單位也只是依賴防火墻和加密技術(shù)。三是防范機(jī)制不到位。不少單位沒有從管理制度上建立相應(yīng)的安全防范，在整個(gè)運(yùn)行過程中，缺乏行之有效的安全檢查和應(yīng)對(duì)保護(hù)制度。

2計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)的對(duì)策及措施

（1）發(fā)展自主信息安全產(chǎn)業(yè)。網(wǎng)絡(luò)硬件要確保安全，發(fā)展具有我國自主知識(shí)產(chǎn)權(quán)的信息化產(chǎn)業(yè)成為重中之重。在未來的信息化發(fā)展過程中，要高度重視計(jì)算機(jī)網(wǎng)絡(luò)安全保密設(shè)備和系統(tǒng)的“國產(chǎn)化”、“自主化”建設(shè)。一是積極組織核心技術(shù)攻關(guān)，如自主操作系統(tǒng)、密碼專用芯片和安全處理器等，要狠抓技術(shù)及系統(tǒng)的綜合集成，以確保信息系統(tǒng)的安全。二是加強(qiáng)關(guān)鍵技術(shù)研究，如密碼技術(shù)、鑒別技術(shù)、病毒防御技術(shù)等，以提高技術(shù)防護(hù)能力。三是監(jiān)測評(píng)估手段，如網(wǎng)絡(luò)偵察技術(shù)、信息監(jiān)測技術(shù)、風(fēng)險(xiǎn)管理技術(shù)、測試評(píng)估技術(shù)等，構(gòu)建具有我國特色、行之有效的網(wǎng)絡(luò)安全保密平臺(tái)，實(shí)現(xiàn)網(wǎng)絡(luò)及終端的可信、可管、可控，擺脫網(wǎng)絡(luò)安全控制于人的被動(dòng)局面。

（2）構(gòu)建安全技術(shù)防護(hù)體系。面對(duì)網(wǎng)絡(luò)系統(tǒng)存在的風(fēng)險(xiǎn)和威脅，應(yīng)堅(jiān)持積極防御、綜合防護(hù)的原則，加強(qiáng)技術(shù)防護(hù)研究，采取有效技術(shù)手段，從預(yù)防、監(jiān)控和處置等環(huán)節(jié)科學(xué)構(gòu)建安全技術(shù)防護(hù)體系，確保網(wǎng)絡(luò)系統(tǒng)安全。一是安全監(jiān)察體系。落實(shí)網(wǎng)絡(luò)安全防護(hù)中心編制，加強(qiáng)配套監(jiān)察手段建設(shè)，建立健全網(wǎng)絡(luò)安全監(jiān)察機(jī)制；配套網(wǎng)絡(luò)入侵檢測、流量分析、行為審計(jì)等系統(tǒng)，增強(qiáng)安全事件的融合分析能力。二是終端防護(hù)體系。建立協(xié)調(diào)管理機(jī)制，規(guī)范和加強(qiáng)以身份認(rèn)證、授權(quán)管理、責(zé)任認(rèn)定等為主要內(nèi)容的網(wǎng)絡(luò)信任體系建設(shè)；強(qiáng)化系統(tǒng)訪問控制，設(shè)定用戶訪問權(quán)限，限制對(duì)資源的訪問，防止非法用戶侵入或合法用戶不慎操作所造成的破壞。三是安全評(píng)估體系。綜合運(yùn)用漏洞掃描、取證分析、滲透測試、入侵監(jiān)測等系統(tǒng)和手段對(duì)網(wǎng)絡(luò)進(jìn)行掃描分析，客觀分析網(wǎng)絡(luò)與信息系統(tǒng)面臨的威脅及其存在的脆弱性，對(duì)安全事件一旦發(fā)生可能造成的危害程度進(jìn)行定性定量分析，并提出有針對(duì)性的防護(hù)對(duì)策和整改措施，防患于未然，全面防范、化解和減少信息安全風(fēng)險(xiǎn)。

（3）強(qiáng)化人員安全防護(hù)意識(shí)。讓每個(gè)人都認(rèn)識(shí)到信息安全是確保各項(xiàng)工作正常高效運(yùn)轉(zhuǎn)的基礎(chǔ)，是保障企業(yè)利益的重要前提，從而牢固樹立信息安全第一的思想。一是通過多種形式進(jìn)行安全宣傳教育，信托信息服務(wù)網(wǎng)站開設(shè)信息網(wǎng)絡(luò)安全知識(shí)普及專欄，增強(qiáng)全體人員信息安全防范意識(shí)。二是組織各種專題講座和培訓(xùn)班，積極開展安全策略研究，培養(yǎng)信息安全人才，特別要抓好信息安全保密設(shè)備操作訓(xùn)練，并確保防范手段和技術(shù)措施等授課內(nèi)容的先進(jìn)性和主動(dòng)性，使單位內(nèi)容有安全防護(hù)方面的“明白人”。

（4）建立健全安全管理機(jī)制。確保網(wǎng)絡(luò)信息安全，不僅要有較強(qiáng)的保密觀念和先進(jìn)的安全技術(shù)、還需要在制度上、管理上對(duì)網(wǎng)絡(luò)信息安全進(jìn)行規(guī)范。一是建立健全網(wǎng)絡(luò)信息安全法規(guī)。信息安全法規(guī)的制定既要符合國家有關(guān)政策要求，又要切實(shí)據(jù)預(yù)測本單位建設(shè)實(shí)際，尤其是要適應(yīng)信息革命的發(fā)展，適應(yīng)信息化戰(zhàn)爭的需要；既要能與時(shí)俱進(jìn)，緊跟信息技術(shù)的發(fā)展，又要能結(jié)合實(shí)際，全面考慮信息安全的現(xiàn)狀。二是制訂完善的信息安全制度。與法律法規(guī)相比，規(guī)章制度具有更強(qiáng)的針對(duì)性和可操作性，與實(shí)際工作聯(lián)系要更緊密。在制度的內(nèi)容上，要具有信息化條件下信息安全防護(hù)的特點(diǎn)，從信息的開發(fā)、管理、使用等各個(gè)環(huán)節(jié)對(duì)信息行為進(jìn)行規(guī)范，從制度上堵塞漏洞。三是組建設(shè)安全隊(duì)伍。要在本單位建立安全防護(hù)中心，明確安全防護(hù)機(jī)制，建立安全防護(hù)組織管理機(jī)構(gòu)，明確領(lǐng)導(dǎo)及工作人員責(zé)任，制定管理崗位責(zé)任制及有關(guān)措施，嚴(yán)格內(nèi)部安全管理機(jī)制，并對(duì)各類破壞網(wǎng)絡(luò)信息安全的事件進(jìn)行調(diào)查和處理。