浅谈局域网安全内部防范

薛惠茗

[摘要]随着越来越多的企事业单位建立起自己的局域网络,并将公司内部的信息在局域网中共享,虽然局域网有着速度快,稳定,方便灵活等特性,但是其缺乏安全保障的结构却使其成为病毒肆虐、资料外泄的首要薄弱环节。要更好的解决内网的安全问题,需要从各种角度看待内网安全。

[关键词]局域网 安全 保密

一、边际设备保护

网关是内外网通信的必经之路,是外网联入内网的咽喉。相对来说,内网的木马病毒都是比较少的,但是缺乏隔离机制的内网,一旦有一台计算机被病毒木马所感染,其它的也就都陷入了非常危险的境地。

建议在网络内部使用代理网关。使用代理网关的好处在于,网络数据包的交换不会直接在内外网络之间进行。内部计算机必须通过代理网关,进而才能访问到Internet,这样操作者便可以比较方便地在代理服务器上对网络内部的计算机访问外部网络进行限制。

在代理服务器两端采用不同协议标准,也可以阻止外界非法访问的入侵。还有,代理服务的网关可对数据封包进行验证和对密码进行确认等安全管制。

所以对于一个局域网络来说,在边际处至少应当有一个初具安全防范功能的路由器或是防火墙,以建立第一道防线。防火墙的选择应该适当,对于微小型的企业网络,可从BlackICE、LockDown2000、ZoneAlarm、Norton Internet Securitv2001、PCcillin2001、天网个人防火墙等产品中选择适合于微小型企业的个人防火墙。

而对于具有内部网络的企业来说,最好选择在路由器上进行相关的设置或者购买更为强大的防火墙产品。对于几乎所有的路由器产品而言,都可以通过内置的IOS防火墙防范部分的攻击,而硬件防火墙的应用,可以使安全性得到进一步加强。对于拥有数十台、上百台甚至以上的企业,添加域控制器进行管理是一个十分有效的方法。企业一般通过代理或者路由上网,那么可以使用“网盾IPtrust内网安全管理系统”对内部计算机的操作行为进行监控,他可以对终端操作、网站浏览和各类即时信息软件进行监控,并且也可以限制或禁止游戏、多媒体、股票软件等非工作用的软件,还能进行网站的过滤,限制色情、政治或是其它各类网站。

二、口令安全

现在大部分人都认识到口令安全的重要性了,不过还是要重申一下:口令的位数要尽可能的长;不要选用生日、门牌号码、电话号码等容易猜测的密码作为口令;不要在每个系统上都使用同一种口令;最好使用大小写的字母和数字混合和没有规律的密码作为口令,并定期改变各系统的口令。另外,个人私用密码最好与工作时使用的密码分开。

为了保障网络的安全,也可以利用网络操作系统所提供的保密措施。以Windows为例,进行用户名登录注册,设置登录密码,设置目录和文件访问权限和密码,以控制用户只能操作什么样的目录和文件,或设置用户级访问控制,以及通过主机访问Internet等。为了安全起见,还可对主机的网络属性进行设置,去掉TCP/IP协议和其他协议中的“Microsoft网络上的文件与打印机共享”和“Microsoft网络用户”的绑定,其他计算机也可进行同样的设置,且可去掉TCP/IP协议中的绑定。若使用Windows2000,可使用其自带的一个Routing amp; Remote Access工具,设定输入ICMP代码255丢弃可防ICMP的风暴攻击和碎片攻击。

同时,可以加强对数据库信息的保密防护。网络中的数据组织形式有文件和数据库两种。文件组织形式的数据缺乏共享性,现已成为网络存储数据的主要形式。由于操作系统对数据库没有特殊的保密措施,而数据库的数据以可读的形式存储其中,所以数据库的保密需采取另外的方法。针对计算机及其外部设备和网络部件的泄密渠道,可以采取相应的保密措施。

电子邮件是企业传递信息的主要途径,因此,必须对电子邮件进行加密处理,可安装网盾或手写的数码签名onSign2.0等工具软件。

三、终端计算机防护

一般来说,终端计算机上必然需要安装的防护软件就是杀毒软件了,基本要求就是能实时防护(特别在上外网的时候)、数据库更新快,以及占用系统资源小。个人强烈推荐使用kaspersky,技术实力没的说,俄国技术,病毒数据库每天更新两次,并承诺对新病毒的响应时间为30分钟,使用起来也比较方便,又有汉化版,好处说不完(唯一缺点就是不是国产的,使用它不能算支持民族企业了)。

操作系统绝大多数人用的是微软的windows系列,主要受影响的就是在安装软件时不小心装上的那些如同“牛皮癣”一般的各类插件了,不仅占用了大量的系统资源和窗口空间,影响开机速度,有时还会引起不知名的错误。值得注意的是系统补丁也要及时打上。

定期备份重要数据也是非常重要的。一方面,硬盘数据恢复的价格一般要高于购买硬盘的价格,而且未必能够恢复出来;另一方面,若误操作将重要数据删除,这时候备份的重要性就体现出来了。

四、防范外部攻击

目前,计算机网络系统的安全威胁有很大一部分来自拒绝服务(DoS)攻击和计算机病毒攻击。为了保护网络安全,也可以从这几个方面进行。对付“拒绝服务”攻击有效的方法,是只允许跟整个Web站台有关的网络流量进入,就可以预防此类的黑客攻击,尤其对于ICMP封包,包括ping指令等,应当进行阻绝处理。

通过安装非法入侵侦测系统,可以提升防火墙的性能,达到监控网络、执行立即拦截动作以及分析过滤封包和内容的动作,当窃取者入侵时可以立刻有效终止服务,以便有效地预防企业机密信息被窃取。同时应限制非法用户对网络的访问,规定具有IP地址的工作站对本地网络设备的访问权限,以防止从外界对网络设备配置的非法修改。

最后,网管人员还应经常到有关网站下载最新的补丁程序,以便进行网络维护,同时经常扫描整个内部网络,以发现任何安全漏洞并及时补上,才能做到有备无患。

五、重要资料及时进行备份

为了维护企业局域网的安全,必须对重要资料进行备份,以防止因为各种软硬件故障、病毒的侵袭和黑客的破坏等原因导致系统崩溃,进而蒙受重大损失。

对数据的保护来说,选择功能完善、使用灵活的备份软件是必不可少的。目前应用中的备份软件是比较多的,例如ARC Serve、CA的InocuLAN等,配合CA的灾难恢复软件,可以较为全面地保护数据的安全。

六、外部环境安全

这里指的是各种PC、路由器、交换机、工作站等硬件设备和通信链路的安全,主要应当注意重要设备如对外提供服务的服务器的供电以及防止水灾、火灾、雷击等自然灾害,人为破坏和误操作、外界的电磁干扰等,物理安全的威胁可直接造成设备的损坏和数据的丢失。为防止这类事故要建立机房的管理制度,并严格执行,在基建阶段就要做好机房、电源的防雷工作。