“管技结合”治理网络安全

◆钟煜明

“管技结合”治理网络安全

◆钟煜明

（广州番禺职业技术学院教育技术与信息中心 广东 511483）

在互联网技术快速更新与发展中，网络安全的问题越发显著，增强网络安全防御能力，对构建和谐绿色网络具有重要意义。国家开展多项网络安全深化治理专项行动，大力打击网络违法犯罪，通过对网络安全当前形势分析，结合黑客入侵方式的常见手段，提出“管技结合”理念，从管理和技术方面展开了多个维度的深入实践探讨，为网络管理人员提供了经验分析和应对方针，强调用户需要提高网络安全意识，养成良好的网络使用习惯，供相关读者参考。

网络安全；服务器安全；管理制度；技术措施；态势感知

1 引言

2017年5月轰动全球的勒索病毒WannaCry爆发，该病毒借助永恒之蓝漏洞嗜掠每一台网络计算机，在全世界人们还没反应过来的时候，WannaCry病毒又迅速变种，紧接着Java Srces2反序列漏洞爆发，各地政府部门网站、事业单位网站、关键基础设施被黑，网络安全的重要性和紧急性刷新到了历史新高度。任何操作系统、应用软件、网站系统等，都有各种各样的漏洞存在，目前我国网络安全形势严峻，黑客入侵、篡改、木马等事件频发。今年1月，借助新冠肺炎疫情事件，网络黑客又利用新点话题，欺骗网络用户进入打开恶意链接，从而植入钓鱼木马入侵用户系统。

2 网络安全治理形势

为提高信息安全保障能力和水平，国家先后发布《中华人民共和国网络安全法》、《信息安全等级保护管理办法》、《中华人民共和国计算机信息系统安全保护条例》、《网络安全事件应急预案》等多项有关法律法规及处理办法，提出“谁主管谁负责、谁使用谁负责、谁运营谁负责”的要求，并根据有关规定执行“尽职无责，失职追责”的制度。各地方政府加强网络安全意识形态，重视网络安全治理，陆续推出多个省市地区的应急响应平台、漏洞通报预警平台等。公安部网警、网信办、国家网络安全工作小组、市委网络安全和信息化委员会办公室等多个部门，联合开展四方联查，成立“净网”、“护网”等多项专项行动，大力打击网络安全违法行为，严查属下各部门、单位的网络安全状况，组织开展自查抽查方式，监督做好自身的网络安全体系。

3 存在的问题

虽然上级部门针对网络安全治理上做出大量的措施，但网络安全事件仍然频发，企业单位用户存在对网络安全意识仍然较低、对制度和上级的指示认识理解不深等问题。

（1）各地方上级建立了多个网络安全预警平台，但没有形成统一垂直、唯一性的管核，存在越级管核，平台过多导致下属单位适得其反，一旦出现网络安全事故，用户报送处置不清晰。各平台对事件的分析能力参差不齐，严重影响效率和准确性。

（2）网络安全事故报送的相关部门较多，没有共享数据平台，当需要报送，用户往往不知道要报送到哪些部门，漏报情况常发生。网络安全事件报送条件定义不够细化，报送后上级部门将会把事件扩大，处罚严厉，把相关人员逼向绝路，进一步导致用户隐瞒不敢。

（3）数据信息使用传统的办公文档邮件发送，缺乏数据平台式的B/S结构系统，存在每次上报数据不一，同样的报表多次重复报送、数据不准确等弊端。

4 解决方法

要有效提高网络安全防控能力，提升用户意识形态，需要建立由上而下的垂直管理战线，树立清晰的上级与下属关系。网络安全需要综合防治，从多个方面下手，很多人只认为治理网络安全是技术手段，而忽略了管理手段，其实两者都同样重要，任何一方做不好都不可能取得好的效果。“管技结合”是网络安全方面的两手抓，两手都要硬。做好网络安全防控，需要从以下两个方面治理：

4.1 管理手段

网络管理手段对做好网络安全有着不可缺少的重要意义，任何管理手段都需要以技术为核心。按要求执行信息安全等级保护制度，每个业务系统都必须进行2.0标准的等级测评及整改，通过最终安全复检测评后方可上线运行。申请信息安全等级保护专项经费的同时就需要把整改预算也列入当中，备案申请的时候就需要有整改公司协助整改，避免单位自身技术力量不足，只备案不整改，最终验收需要有限期内完成整改，对于超时整改的业务系统需要重新测评。

梳理单位信息系统详细情况，由技术部主管制定清晰的梳理清单条目，清单包括网站名称、功能简述、IP、域名、操作系统版本、中间件版本、应用软件及版本、数据库版本等。技术人员按条目进行规范梳理。每个行业的表单可能不一样，技术主管需要根据行业特性制定表单，网络管理人员可以自行对表单进行增补项，以更加完善信息。

落实负责人、使用人员、技术人员，对本单位的网站系统进行归属登记，定期清理僵尸网站，对网站及网站负责人进行核查，对于不能确定、不清楚的网站，要立即关停。再次上线前必须做好安全体检。建立完善的三级一线网站管理员，即：服务器系统管理员—应用超级管理员—普通管理员，如图1所示。

图1 三级管理员架构图

4.2 技术手段

在网络安全防护中，技术手段是最关键的部分，任何管理方式最终都是以技术手段来实现。除了企业单位公网业务以外，内网业务的安全也同样是安全隐患的关键点，一旦内网服务器被入侵，黑客很可能利用肉鸡服务器进行横向渗透，入侵其他的内网服务器。所以企业自身的安全性也需要达标，内网安全技术简略的归纳为边界安全和主机安全，如图2主机安全架构图所示。

图2 主机安全架构图

（1）建立良好的网络结构及边界防护措施，根据企业自身实际环境和使用需求，制定最优的网络安全防护方案。清晰了解每台服务器应用所需要开放的端口，设置防火墙及Web保护系统的策略，关闭其余不必要的端口及服务；设置详细的网络访问规则，拒绝一切未授权访问；设置内容关键词过滤，禁止访问不良信息的资源；网络层面设置SSH、HTTPS等会话加密技术，防止传输会话被劫持抓包，泄露私密信息。

（2）由技术主管制定整体的安全防护方案和实施，技术员根据方案和实施要求，对每台服务器主机进行策略设置；主机安装防篡改系统、统一杀毒软件、主机防火墙等，设置系统权限最小化，主机访问控制权限，注册表安全权限，关闭默认共享；服务器上的所有应用软件、中间件、数据库、操作系统等需要及时更新补丁，防止黑客利用最新漏洞入侵主机。

（3）业务系统的开发要严格按照信息系统等级保护2.0的标准进行开发和整改，对于老旧的业务系统必须升级或重新采购，符合标准后方可使用。除了对业务系统的功能需求之外，还必须在项目前期阶段就制定好相应的信息安全规划，使用标准编程语言进行开发，应用功能尽量使用模块化框架设计等，以便后期的维护和修改。除了业务系统的前期开发，后期还应加入渗透测试检验，以入侵者的角度对网站进行渗透攻击，反射出安全漏洞准确位置。

（4）弱密码是网络与信息安全中最常见的漏洞之一，同时也是用户最容易忽视的安全隐患之一。入侵者只需要使用爆破工具，设置好字典库，就可以实现挂机式的穷举爆破攻击，等待密码被破解，后果不堪设想。要防范弱密码风险，必须管理和技术相结合，从管理上要求用户必须重视弱密码，设置高强度密码；从技术上加入密码复杂度策略，不满足策略要求的账号无法使用。

5 总结

治理网络与信息安全，是国家高度重视的重点之一，是每个网络管理员的本职工作。网络不可能100%安全，归根结底，关键就是要加强网络安全意识形态，有了安全意识才会有行动，才会有更好的应对技术措施。要做好网络安全治理，必须“管技结合”，管理手段是盾，技术手段是矛，两者同样重要。目前，网络入侵事件屡见不鲜，网络与信息安全治理是一个高难度的细心活，需要不断加强网络安全意识，增加防治能力。随着社会文明发展，人们对网络安全意识的普及，相关制度越来越完善，在信息技术进步的同时，将最终共建成一个和谐、健康的绿色网络体系。

[1]张俭.网络安全管理与网络安全等级保护制度探讨[J].电脑知识与技术，2020（5）：41-42.

[2]邓屾.基于VPN与网络安全的研究[J].网络安全技术与应用，2020（1）：35-36.

[3]李子钦.计算机网络安全及防范[J].中国新技术新产品，2020（5）：69-70.

[4]毕海风.浅析网络安全的研究过程[J].福建质量管理，2020（4）：255.

[5]赵金.谈“云计算”环境中的计算机网络安全[J].计算机产品与流通，2018（3）：22.

[6]黄俊.网络安全技术研究分析[J].数字通信世界，2020（3）：73.

2021年广州番禺职业技术学院科研项目（2021KJ20）