企业内网安全管理与对策

张居库 程辉

[摘 要] 网络应用飞速发展，网病毒、木马及其他恶意入侵给企业内网带来日益严重的威胁。保障企业内网安全、保证企业信息系统安全稳定运行越来越得到企业的高度重视。本文在分析企业内网安全现状的基础上，提出了合理划分安全域、计算机病毒防治、上网行为管理、端点准入和身份认证等管理对策，以加强企业内网安全、保证企业内网应用系统安全稳定运行。

[关键词] 内网；威胁；安全；策略

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2014 . 16. 034

[中图分类号] F272.7 [文献标识码] A [文章编号] 1673 - 0194（2014）16- 0055- 03

0 前 言

高速发展的网络技术大大提高了企业的生产及办公效率，同时也带来了病毒感染、安全漏洞及恶意入侵等网络信息安全问题。根据CSI/FBI 2009年计算机安全调查数据表明，在企业网络安全事件中80%以上发生在企业内部。

企业越来越重视内网安全问题，企业在内网安防项目上的投入也在不断增加，但我国仍有60%以上的企业计算机处于“高度风险”级别，每年因网络泄密导致的经济损失高达上百亿元，内网威胁仍是企业信息化发展急需解决的问题。如何解决企业内网威胁，积极应对企业网络安全问题，有效保护企业内部信息安全，仍然是企业信息安全人员研究的重要课题。

1 什么是企业内网安全

通常以企业内部局域网边界为限划分为企业外网与内网，外网与内网物理隔离或者将内部通过统一网关接入外网并在网关处架设防火墙等安全监控设备，企业内网由大量的终端、服务器和网络设备组成，企业内网安全指的是企业内部局域网的信息安全。

2 企业内网的安全现状

2.1 用户区域划分单一

企业内部网络的用户域层划分单一，所有用户在内部网络中的地位是平等的，且部分企业虚拟网络划分不合理，有时仅仅按照物理位置进行划分，所有服务器、终端都处于同一网络区域内，没有进行安全等级划分，一旦受到攻击，该区域内所有设备都将受到威胁。

2.2 威胁多样化

随着网络的发展，网络安全面临着各种威胁，主要包括自然的、意外的威胁和人为故意的威胁（如恶意软件、黑客攻击等）。

企业内网与外网相连接，易受到人为故意的威胁。恶意软件、黑客攻击是较常见的网络安全攻击方式，恶意软件（如病毒、蠕虫、木马等）在不断变种，操作系统和应用程序的漏洞成为恶意入侵的主要目标。

无线局域网、蓝牙、即时通信、移动终端等新技术在企业生产与管理中的广泛应用，在一定程度上扩大了企业网络安全的威胁源。

2.3 网络准入缺乏有效控制

随着业务的不断扩展，外来客户和合作伙伴接入企业内网的几率越来越高。由于不能及时地对相关人员的计算机设备进行安全检查，容易由外来的计算机设备将病毒、木马等带入企业内部网络，内网安全的威胁几率增加。同时，对外来人员安全监控的缺失，也会造成企业内部资料的泄露等情况，企业内部网络准入控制管理亟待完善。

2.4 内网用户安全意识薄弱

由于企业内部员工信息安全意识淡薄，他们常常在计算机上设置弱口令，使得系统密码形同虚设；U盘、移动硬盘、MP3、手机存储卡、数码相机记忆棒等在工作中无限制使用；企业涉密信息被私自下载、保存；工作时间使用企业电脑炒股、玩游戏、观看在线视频、浏览非法或不健康网站等这些不规范行为，不仅会造成企业局域网的堵塞，影响企业业务的开展，又可能导致病毒、木马等恶意软件被非法下载进入企业局域网内，为企业带来严重的安全隐患。

2.5 系统存在安全隐患

系统的安全问题主要指操作系统、数据库系统以及各类应用系统所存在的安全风险。目前大部分企业使用的操作系统仍然以微软的Windows系列为主，这些操作系统都存在已知和未知的系统漏洞。国际上的一些安全组织已经发布大量的系统安全漏洞信息，其中，有些系统漏洞可以导致入侵者获得管理员权限，有些漏洞可以被黑客用来实施拒绝服务攻击，还有些漏洞则成为病毒攻击的对象。重视和防范系统的安全风险也是内网安全管理的重要任务。

3 企业内网安全管理策略

3.1 合理划分安全域

可以根据企业整体安全规划和信息安全级别，对企业内网合理划分安全域，从逻辑上划分核心点防范区域、一般防范区域和开放区域，不同等级的安全域采用不同的安全手段。核心点防范区域需要设置很高的安全级别，一般用户不允许直接访问，重要的服务器、数据库服务器等应放置在该区域，各类应用系统在该区域运行。

3.2 终端计算机病毒防治

终端计算机往往是创建和存放重要数据的源头，而且绝大多数的攻击事件都是从终端发起的，所以终端计算机安全防护与管理是必要的。通过防病毒、文档保护、安全审计及用户管理等方法和手段的部署或实施，降低终端计算机病毒和木马发生几率，提升终端计算机抵御安全威胁的能力。

3.3 补丁分发管理

操作系统或者应用程序存在的系统漏洞既为各类恶意软件的传播提供了极好的机会，同时也成为网络黑客攻击的目标。攻击者首先通过扫描工具发现系统漏洞，然后利用相应的攻击工具对目标系统实施攻击，这种攻击模式简单易行且危害极大。消除系统漏洞的主要办法就是安装软件补丁。因此，补丁的分发管理越来越成为企业网络系统安全管理的一个重要环节。

利用网络扫描与主机扫描两种模式对系统进行漏洞扫描，扫描完成后根据扫描结果自动对系统漏洞下发补丁并报警。

通过补丁分发管理，可以对企业内网中的各类主机进行补丁检测和安装，及时地弥补各类系统漏洞，从而减少系统遭受恶意攻击的机会，增强企业网络安全。

3.4 上网行为管理

企业内网安全最薄弱的环节往往不是来自外网的入侵，而是内网用户不规范的上网行为。企业可部署上网行为管理策略，通过上网内容审计与行为监控等方法能够发现企业内网计算机非法外联互联网行为，当发现不允许访问互联网的计算机私自访问互联网行为后，能够执行预先设置的策略，例如锁定计算机、禁止网络连接等，以避免国家机密、商业信息、科研成果泄露及网络病毒的传播。

3.5 云技术应用

企业利用“云技术”搭建云桌面客户端，基于角色的访问控制提供了一种简单灵活的访问控制机制，用户通过成为角色成员来获得使用权限。

在企业云桌面控制系统下，用户数据都在后台存储，任何用户想要拷贝数据都需要经过企业内部的审核程序，数据不能任意复制，在较大程度上保证了企业数据的安全性。同时，对于远端客户机系统出现的问题，系统管理人员能够通过系统控制台对出现问题的客户机系统进行远程的检查和维护，即时、方便地解决企业内网中各种系统所存在的问题，大大地提高了企业内网系统的安全性。

3.6 端点准入和身份认证机制

企业利用端点准入系统，通过监听和主动探测等方式对接入到企业内网的计算机进行检测，判别其是否为信任主机；对于探测到的非法主机，系统可以主动阻止其访问企业的任何网络资源，从而保证非法主机不对企业网络产生影响、无法有意或无意地对网络进行攻击或者窃密。

通过身份认证系统对企业各应用系统的访问进行控制，判别企业内部网中所有系统登录者的身份，确保企业内网所有用户的可靠性。

3.7 企业信息安全制度建设

以企业管理为核心，按照国家相关的法律和法规，结合企业的实际情况制定企业信息安全管理的相关规章制度，通过各种机制和手段，落实安全管理制度和规范，实现企业安全管理工作的常态化和长效化。

3.8 加强企业员工信息安全意识教育

企业内网安全管理是一个系统工程，除采取必要的技术手段和管理制度外，加强“人”的安全意识的自觉性和主动性至关重要。技术要通过人去掌握和实施，制度要由人去执行和遵守。企业可以通过加强企业员工的信息安全意识教育或培训，使员工能够自觉地遵守和执行相关安全制度、操作规程等，并养成良好、规范的网络行为。人、技术、管理的有效结合是企业内网安全的重要保障。

4 结束语

内网威胁不可避免并且来势凶猛，企业内网安全管理已经进入了整体防控的时代。单纯的准入控制和加密不能解决所有的问题，独立的内网行为审计也没有任何效力，企业只有从信息安全管理的全方位进行考虑，对网络安全进行多角度的整体设计，做到统筹规划、合理安排，全面整合准入控制、病毒防治、网络监控、安全审计、权限管理、透明加密等多种技术手段，将管理、技术、人员进行有机的结合，在企业内部构建一个立体化的整体安全网络，才能实现真正意义上的内网安全。

主要参考文献

[1]张怀京，祝建航，王新亭. 企业内网安全建设浅谈[J].信息安全与技术，2012（2）.

[2]王学华，张彬彬. 内网安全技术研究[J].软件导刊，2012（9）.

[3]期陈飞，吴晓东，孙晓平. 浅析内网安全管理及对策[J].中国电子商务，2012（1）.

[4]王春莲.内网网络安全解决方案研究[J].硅谷，2011（4）.

[5]刘海燕，杨朝红，霍景河.内网安全检测与分析技术研究[J].计算机工程与科学，2009（9）.

[6]黄定坤.浅谈网络安全及管理[J].科学咨询，2009（5）：49.