新時期網(wǎng)絡信息安全應對策略
前言：想要寫出一篇引人入勝的文章？我們特意為您整理了新時期網(wǎng)絡信息安全應對策略范文，希望能給你帶來靈感和參考，敬請閱讀。
［摘要］在大數(shù)據(jù)時代，網(wǎng)絡已經(jīng)演變成國家競爭的主戰(zhàn)場，網(wǎng)絡信息安全的重要性日益凸顯。本文首先從“護網(wǎng)2018”實網(wǎng)攻擊演習行動引出了網(wǎng)絡信息安全話題，接著闡釋了網(wǎng)絡安全的概念，提出了網(wǎng)絡安全的原則和思路，最后從公民網(wǎng)絡安全普法意識、網(wǎng)絡結構安全、網(wǎng)絡物理安全、網(wǎng)絡設備安全、服務器系統(tǒng)安全、數(shù)據(jù)庫系統(tǒng)安全、桌面安全、工業(yè)控制安全和用戶行為安全等方面給出了網(wǎng)絡安全策略。
［關鍵詞］網(wǎng)絡安全；信息安全；物理安全；桌面安全；安全意識
1研究背景
隨著互聯(lián)網(wǎng)應用的不斷深入，信息共享、信息交流的需求不斷增加，網(wǎng)絡信息服務不斷向縱深發(fā)展，網(wǎng)絡安全問題不斷凸顯。①計算機系統(tǒng)遭受病毒感染和破壞的情況非常嚴重，2017年5月12日的勒索病毒就是例證。②電腦黑客活動已形成重要威脅，國家互聯(lián)網(wǎng)應急中心監(jiān)測發(fā)現(xiàn)：2017年我國約有2萬個網(wǎng)站被非法篡改，同比增長20%。③信息基礎設施面臨嚴重挑戰(zhàn)，英國《簡氏戰(zhàn)略報告》和其他網(wǎng)絡組織對各國信息防護能力進行評估，我國被列入防護能力最低的國家之一。④網(wǎng)絡政治顛覆活動頻繁，國內(nèi)外各種勢力利用互聯(lián)網(wǎng)結社組黨，針對黨和國家的非法組織和串聯(lián)活動十分猖獗，屢禁不止。網(wǎng)絡信息安全問題已經(jīng)十分嚴重，在國家、社會及個人層面都存在不同的表現(xiàn)。（1）國家層面。網(wǎng)絡安全日益成為國家競爭的主要陣地，一些組織或個人出于某些特殊目的，進行信息泄密、破壞以及意識形態(tài)滲透，有的甚至通過網(wǎng)絡進行政治顛覆活動，使國家和社會公共利益受到威脅。美軍于2009年宣布成立網(wǎng)絡空間司令部；2011年首提“主動防御”新概念，目的是“實時檢測、發(fā)現(xiàn)、分析和阻止威脅與薄弱環(huán)節(jié)，以便在網(wǎng)絡尚未遭到影響之前阻止惡意行為”；2018年提出了更具進攻性的名為“防御前置”的新理念，在網(wǎng)絡空間開展競爭與實施威懾。目前，美國已搶占先機，通過遍布全球的地面衛(wèi)星站、監(jiān)聽站等采集各種數(shù)據(jù)，并進行快速預處理、解密還原、分析比對、深度挖掘，生成相關情報。（2）社會層面。網(wǎng)絡應用日趨全社會化，隨著社會重要基礎設施的高度信息化，帶來的是控制權分散的管理問題，包括政府網(wǎng)站、國防通信設施、動力控制網(wǎng)和金融系統(tǒng)等在內(nèi)的社會命脈和核心控制系統(tǒng)有可能面臨惡意攻擊，從而導致毀壞和癱瘓，社會秩序面臨極大的風險。資料表明，在各領域的計算機犯罪和網(wǎng)絡侵權方面，無論是數(shù)量、手段還是性質(zhì)、規(guī)模，都已經(jīng)達到了令人咋舌的地步。（3）個人層面。當今社會個人就是一個組織，就是一個龐大的系統(tǒng)。手機承載了大量的個人身份信息、教育健康、娛樂消費、銀行支付等行為，因而個人的信息安全也面臨著巨大的風險。一是信息泄漏，個人信息未經(jīng)授權被竊取、侵用與傳播；二是信息污染，個人信息未經(jīng)授權被惡意篡改。
2網(wǎng)絡安全概述
網(wǎng)絡安全是指網(wǎng)絡系統(tǒng)的硬件、軟件及系統(tǒng)中的數(shù)據(jù)受到保護，不因偶然或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)能夠連續(xù)正常地運行，網(wǎng)絡服務不中斷。從廣義來說，凡是涉及網(wǎng)絡信息的保密性、完整性、可用性、真實性和可控性的相關技術和理論都是網(wǎng)絡安全研究的范疇。一般情況下，網(wǎng)絡安全包含信息安全和控制安全兩部分。國際標準化組織把信息安全定義為“信息的完整性、可用性、保密性和可靠性”；控制安全則指身份認證、不可否認性、授權和訪問控制。
3網(wǎng)絡攻擊的表現(xiàn)形式
網(wǎng)絡攻擊的表現(xiàn)形式有主動攻擊和被動攻擊兩種。主動攻擊會導致某些數(shù)據(jù)流篡改和產(chǎn)生虛假數(shù)據(jù)流，可分為拒絕服務攻擊、分布式拒絕服務（DDos）、篡改、偽裝和重放5類。被動攻擊是由一定的情境線索引起的攻擊行為，通常包括竊聽、流量分析、破解弱加密的數(shù)據(jù)流等攻擊方式。
3.1拒絕服務
拒絕服務DoS（DenyofService）會導致通訊設備正常使用或管理被無條件中斷，通常是對整個網(wǎng)絡實施破壞，以達到降低性能、中斷服務的目的，也可能有一個特定的目標，例如到某一特定目的地的所有數(shù)據(jù)包被阻止。
3.2分布式拒絕服務
分布式拒絕服務DDos（DistributedDenialofService）是在傳統(tǒng)的Dos攻擊基礎上產(chǎn)生的一類攻擊方式，它使許多分布的主機同時攻擊一個目標，從而使目標癱瘓。一個比較完善的DDos攻擊體系分為4大部分：黑客、控制傀儡機、攻擊傀儡機和受害者。
3.3篡改消息
篡改消息是指一個合法消息的某些部分被改變、刪除，消息被延遲或改變順序，通常用以產(chǎn)生一個未授權的效果，如修改傳輸消息中的數(shù)據(jù)，將“允許甲執(zhí)行操作”改為“允許乙執(zhí)行操作”。
3.4偽造
偽造指的是某個實體（人或系統(tǒng)）發(fā)出含有其他實體身份信息的數(shù)據(jù)信息，假扮成其他實體，從而以欺騙方式獲取一些合法用戶的權利。
3.5重放
重放攻擊（ReplayAttacks），是指攻擊者發(fā)送一個目的主機已接收過的包，從而產(chǎn)生一個非授權的效果，來達到欺騙系統(tǒng)的目的，主要用于身份認證過程，破壞認證的正確性。
3.6流量分析
流量分析攻擊方式通常比較難捉摸，敏感信息一般都是保密的，攻擊者雖然從截獲的消息中無法獲得消息的真實內(nèi)容，但能通過觀察這些數(shù)據(jù)報文，能夠分析出通信雙方的位置、通信次數(shù)及消息長度，從而獲知相關的敏感信息。
3.7竊聽
竊聽是最常用的手段，局域網(wǎng)上的數(shù)據(jù)傳送是基于廣播方式進行的，從而一臺主機就有可能收到本子網(wǎng)上傳送的所有信息。而工作在雜收模式下的計算機網(wǎng)卡就可以將傳送的網(wǎng)絡信息傳送到上層，以供進一步分析，如果沒有采取加密措施，通過協(xié)議分析可以完全掌握通信的全部內(nèi)容。竊聽還可以用無線截獲方式得到信息，通過高靈敏接收裝置接收網(wǎng)絡站點輻射的電磁波或網(wǎng)絡連接設備輻射的電磁波，通過對電磁信號進行分析恢復原數(shù)據(jù)信號。
4網(wǎng)絡信息安全的總體思路
4.1網(wǎng)絡信息安全原則
第一，內(nèi)外部橫向聯(lián)動，縱向支撐，相互支援，資源共享。第二，領導層重視信息安全，目標明確，體系健全。第三，中層信息安全概念清楚，思路清晰，應急預案有效。第四，基層信息安全標準統(tǒng)一，執(zhí)行得力，防范措施可行。
4.2網(wǎng)絡信息安全體系
網(wǎng)絡信息安全體系不是依靠幾種安全設備的簡單堆砌，或者靠一兩個技術人員就能夠?qū)崿F(xiàn)，而是要從管理和技術兩個維度進行考慮，涉及管理制度、人員素質(zhì)和意識、操作流程和規(guī)范、組織結構的健全性等眾多因素。一套完善的信息安全體系需要綜合人、技術、產(chǎn)品、管理等因素，從而才能建立一套完備的、高保障的安全運行體系。①人。注重網(wǎng)絡安全干系人的信息安全意識和行為規(guī)范。②技術。涉及網(wǎng)絡信息安全攻防技術。③產(chǎn)品。涉及網(wǎng)絡信息安全設備、軟件產(chǎn)品。④管理。涉及網(wǎng)絡信息安全運行體系。
5加強網(wǎng)絡信息安全的策略
5.1確保網(wǎng)絡結構安全
網(wǎng)絡安全體系結構是由硬件網(wǎng)絡、通信軟件以及操作系統(tǒng)組成的，用戶通過使用路由器、交換機、集線器等網(wǎng)絡設備，搭建自己的通信網(wǎng)絡。網(wǎng)絡安全通常是指網(wǎng)絡系統(tǒng)中的硬件、軟件要受到保護，不能被更改、泄露和破壞，確保整個網(wǎng)絡能夠穩(wěn)定運行，信息傳送能夠維持完整性。網(wǎng)絡結構安全涉及網(wǎng)絡硬件、通信協(xié)議、加密技術等領域。確保網(wǎng)絡結構安全要做好以下幾方面的工作。①按保密網(wǎng)、內(nèi)部網(wǎng)和公用網(wǎng)進行分類建設，采用物理上絕對分開、各自獨立的體系結構，并劃分網(wǎng)絡信息安全邊界。②對信息進行分類，以便匹配保密網(wǎng)、內(nèi)部網(wǎng)和公用網(wǎng)，實行上網(wǎng)機器與辦公機器分離，內(nèi)部信息及涉密信息嚴禁上網(wǎng)。③建設專用屏蔽機房和低信息輻射泄露網(wǎng)絡，配置網(wǎng)絡安全防火墻，配備低信息輻射泄露單機。④對信件及文件按涉密等關鍵詞組檢索進行檢查，防止無意識泄密，起到威懾作用。⑤對各種網(wǎng)絡設備、操作系統(tǒng)、應用軟件進行安全掃描。⑥保護知識產(chǎn)權、內(nèi)部資料、保密信息，攔截黃毒信息。⑦通過源地址和目標地址的流量、數(shù)據(jù)包類型等多途徑進行網(wǎng)絡大數(shù)據(jù)分析，發(fā)現(xiàn)網(wǎng)絡行為的必然聯(lián)系。
5.2確保網(wǎng)絡物理安全
網(wǎng)絡物理安全是確保整個網(wǎng)絡系統(tǒng)安全的前提，必須確保人、網(wǎng)絡設備、系統(tǒng)軟件、應用系統(tǒng)和數(shù)據(jù)處于安全受控的狀態(tài)。確保網(wǎng)絡物理安全要做好以下工作。①保護人和網(wǎng)絡設備不受電、火災和雷擊侵害。②考慮布線系統(tǒng)與照明電線、動力電線、通信線路、暖氣管道及冷熱空氣管道之間的距離。③考慮布線系統(tǒng)與絕緣線、裸體線以及焊接的安全。④防雷系統(tǒng)建設。不僅考慮建筑物防雷，還要考慮計算機及其他弱電耐壓設備防雷。⑤使用門禁系統(tǒng)，防止設備、資源被盜、被毀，防止非授權人員進入機房。⑥通過電源冗余備用，防止停電、斷電造成網(wǎng)絡設備、系統(tǒng)及數(shù)據(jù)受損。⑦雙機多冗余設計是解決軟硬件的常用方法，必要時可考慮異地建設。⑧機房環(huán)境監(jiān)控及報警系統(tǒng)建設。通過環(huán)境監(jiān)控以便提供故障分析證明，為事故事件提供查證，通過報警系統(tǒng)可以提高機房運維的及時性和安全性。⑨通過防止電磁干擾和線路截獲，提高網(wǎng)絡的保密性。
5.3確保網(wǎng)絡設備安全
確保網(wǎng)絡設備安全要做好以下幾方面的工作。①定期更新網(wǎng)絡設備補丁，確保設備無安全隱患。②禁用路由器交換機Web管理頁面。③所有網(wǎng)絡設備全部嚴格按照安全基線進行安全配置。禁用Telnet進行遠程管理；SNMP僅允許相關網(wǎng)管系統(tǒng)受限讀取配置；嚴格管控管理員賬號和權限，關閉不必要的賬號權限，口令強度符合安全基線要求；限制可遠程管理的IP地址。④管控所有網(wǎng)絡設備及安全設備的策略，刪除無用策略，保證安全防護策略有效運行。⑤網(wǎng)絡設備及安全設備配置備份，并確保備份的配置有效和可恢復。
5.4確保服務器系統(tǒng)安全
確保服務器系統(tǒng)安全要做好以下幾方面的工作。①梳理操作系統(tǒng)賬號，清除非必要的管理賬號，清理因人員變動、系統(tǒng)部署測試等原因產(chǎn)生的閑置賬號。②定期檢查口令強度和口令變更情況，禁用弱口令、空口令賬號。③服務器應堅持最小化系統(tǒng)安裝原則，只安裝與自身業(yè)務相關的操作系統(tǒng)組件及應用軟件。④采取白名單原則，嚴格限制可以遠程管理服務器的IP地址。⑤定期檢查更新服務器操作系統(tǒng)和相關服務的補丁，保證版本最新，系統(tǒng)無漏洞。⑥開啟服務器日志功能，日志應在本地記錄同時轉(zhuǎn)發(fā)至獨立的日志服務器。⑦服務器只開放必需的服務端口，關閉不必要的端口和對外服務，減少暴露面。⑧禁止對互聯(lián)網(wǎng)開放具備遠程登錄、遠程控制能力的管理端口和數(shù)據(jù)庫端口，確需訪問時應嚴格限制訪問的IP地址。⑨每日檢查服務器入侵痕跡。例如：主動對外的連接請求；非操作系統(tǒng)自帶的后臺服務；非管理員設定的計劃任務和啟動項；非管理員創(chuàng)建的賬號和組；非管理員創(chuàng)建的目錄或文件。⑩部署防病毒服務器系統(tǒng)。
5.5確保數(shù)據(jù)庫系統(tǒng)安全
確保數(shù)據(jù)庫系統(tǒng)安全要做好以下幾方面的工作。①定期檢查更新數(shù)據(jù)庫管理系統(tǒng)、中間件、應用服務器的補丁，確保系統(tǒng)安全。②梳理數(shù)據(jù)庫管理系統(tǒng)賬號，清除非必要的管理賬號，清理因系統(tǒng)開發(fā)、測試等原因產(chǎn)生的閑置賬號。③定期檢查口令強度和口令變更情況，禁用弱口令、空口令賬號。④定期檢查數(shù)據(jù)庫備份策略，驗證數(shù)據(jù)備份的有效性。⑤定期檢查用戶的數(shù)據(jù)訪問控制權限。
5.6確保桌面安全
確保桌面安全要做好以下幾方面的工作。①檢查桌面安全終端運行情況，按照安全基線要求進行安全配置。②安裝已的系統(tǒng)安全補丁。③杜絕所有賬號的弱口令、空口令情況，所有計算機終端應該每月更改一次口令。④啟用操作系統(tǒng)防火墻，默認阻止任何入站訪問請求。⑤禁止使用遠程協(xié)助類工具，禁止通過任何工具從互聯(lián)網(wǎng)遠程訪問終端。⑥禁止安裝與工作無關的應用軟件、工具和程序。⑦安裝防病毒軟件。
5.7確保工業(yè)控制安全
確保工業(yè)控制安全要做好以下幾方面的工作。①大型企業(yè)或者組織原則上應將工控網(wǎng)、辦公網(wǎng)和個人網(wǎng)分離，梳理工控網(wǎng)、辦公網(wǎng)和個人網(wǎng)的系統(tǒng)邊界，設置三網(wǎng)的連接點，連接點處應部署防火墻、網(wǎng)閘等網(wǎng)絡隔離設備。②禁止遠程管理工控網(wǎng)邊界隔離設備。邊界隔離設備的防護策略應采用白名單機制。③定期更新邊界隔離設備安全補丁至最新版本。④邊界隔離設備嚴禁采用默認口令、弱口令、空口令。⑤邊界隔離設備應正確開啟日志服務并配置獨立的日志服務器。⑥部署在工控網(wǎng)的各類服務器、工程師站、操作員站等應采用最小化系統(tǒng)安裝原則，只安裝與自身業(yè)務相關的操作系統(tǒng)組件及應用軟件。⑦加強物理安全控制，禁止非授權人員進入生產(chǎn)區(qū)域，尤其是核心工業(yè)控制系統(tǒng)軟硬件所在區(qū)域。⑧定期驗證網(wǎng)絡設備、安全設備配置數(shù)據(jù)及關鍵業(yè)務數(shù)據(jù)備份，確保備份數(shù)據(jù)的完整性和可用性。⑨嚴禁非授權的移動設備（筆記本、移動存儲介質(zhì)等）接入工控網(wǎng)，嚴禁開展遠程運維。
5.8確保用戶行為安全
確保用戶行為安全要做好以下幾方面的工作。①定期更改口令，同時口令不得低于8位且需要包含數(shù)字、大小寫字母、特殊符號其中的3種。②禁止在終端軟件上自動保存口令，禁止公開本人口令信息，不得猜測竊取他人賬號口令。③計算機終端應安裝桌面安全管理軟件、防病毒軟件。④使用完終端后，應及時退出登錄，并關機或鎖屏。⑤禁止將未經(jīng)授權的計算機設備接入企業(yè)網(wǎng)絡。⑥未經(jīng)批準，禁止在辦公室環(huán)境采用任何方式接入互聯(lián)網(wǎng)或其他外部網(wǎng)絡。⑦定期掃描查殺病毒，清理系統(tǒng)垃圾。⑧嚴禁打開來歷不明郵件中的鏈接地址與附件，防止泄漏個人信息或者終端被木馬、病毒等惡意程序侵擾。⑨謹慎訪問.com、.cn、.com.cn、.net、.net.cn、.org、.gov以外的、非常規(guī)域名的及其他可疑網(wǎng)站。⑩重要文件、資料、數(shù)據(jù)進行加密處理，并做好備份。嚴禁復制、外傳和使用客戶與員工的個人信息。注意手機安全，防止個人信息泄露。
6結語
在大數(shù)據(jù)時代，網(wǎng)絡已經(jīng)演變成大國角逐的主陣地，網(wǎng)絡安全已經(jīng)滲透到國家、社會、企業(yè)的方方面面，如何做好網(wǎng)絡信息安全已經(jīng)成為頭等大事。在“4.19”講話中提出要全天候、全方位感知網(wǎng)絡安全態(tài)勢。只有加強網(wǎng)絡安全管理體系建設，提高網(wǎng)絡安全技術水平，增強個人安全意識，遵守網(wǎng)絡安全行為規(guī)范，才能在新時代的競爭中贏得主動。
作者：蘇興華 張新華 單位：中國石油川慶鉆探工程有限公司