導(dǎo)語：企業(yè)組織網(wǎng)絡(luò)信息安全現(xiàn)狀及對策一文來源于網(wǎng)友上傳，不代表本站觀點，若需要原創(chuàng)文章可咨詢客服老師，歡迎參考。

隨著國際環(huán)境的不斷變化，國家層面將網(wǎng)絡(luò)信息安全提升到了前所未有的高度。在新興攻擊手段層出不窮的今天，企業(yè)正面臨著愈發(fā)嚴(yán)峻的網(wǎng)絡(luò)安全風(fēng)險形勢，網(wǎng)絡(luò)安全保障工作復(fù)雜程度也隨之不斷增大。企業(yè)亟需規(guī)劃建設(shè)集網(wǎng)絡(luò)安全技術(shù)、管理、運營于一體的網(wǎng)絡(luò)安全綜合體系，亟需對網(wǎng)絡(luò)信息安全建設(shè)進(jìn)行科學(xué)、持續(xù)、全面的規(guī)劃和建設(shè)，并嚴(yán)格按照規(guī)劃設(shè)計內(nèi)容，有計劃、有步驟地推動網(wǎng)絡(luò)信息安全建設(shè)工作不斷深入和完善。

網(wǎng)絡(luò)信息安全現(xiàn)狀

1.網(wǎng)絡(luò)環(huán)境監(jiān)控

隨著網(wǎng)絡(luò)的發(fā)展，網(wǎng)絡(luò)應(yīng)用不斷豐富以及Web2.0應(yīng)用快速向業(yè)務(wù)環(huán)境滲透，大量應(yīng)用建立在HTTP等基礎(chǔ)協(xié)議之上，或者隨機(jī)產(chǎn)生端口號，或者采用SSL加密等方式來隱藏內(nèi)容，應(yīng)用層面臨的惡意威脅越來越多。應(yīng)用層攻擊?；ヂ?lián)網(wǎng)的快速發(fā)展，使得網(wǎng)絡(luò)應(yīng)用已經(jīng)開始變得復(fù)雜多樣，應(yīng)用復(fù)雜度提高，安全威脅向應(yīng)用化、深層化轉(zhuǎn)變，隱藏在應(yīng)用中的攻擊增多，越來越多的基于應(yīng)用的攻擊行為出現(xiàn)了，網(wǎng)絡(luò)攻擊也開始轉(zhuǎn)向應(yīng)用層。據(jù)Gartner統(tǒng)計，目前75%攻擊轉(zhuǎn)移到應(yīng)用層。惡意程序攻擊。系統(tǒng)運維者一般只關(guān)心操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備的安全問題，而很少在意文件的漏洞。近年來，通過惡意文件開展攻擊比較普遍。將攻擊代碼埋設(shè)在Word、Excel、PDF及Flash等正常格式文件中，這類文件隱蔽性高、欺騙性強，只要用戶訪問這類文件，辦公電腦就有遭到劫持的危險，從而威脅系統(tǒng)和網(wǎng)絡(luò)的安全。用戶身份攻擊。原有僅針對IP采用的安全防護(hù)方法已經(jīng)不能適應(yīng)當(dāng)前系統(tǒng)網(wǎng)絡(luò)攻防的發(fā)展，僅依賴IP的防護(hù)手段無法準(zhǔn)確識別用戶身份，無法基于用戶身份做細(xì)粒度的策略管理。異常行為攻擊。對于傳統(tǒng)的攻擊行為，關(guān)注惡意程序的樣本提取并做分析，便可以掌握攻擊者的動機(jī)及傳播渠道。但以APT為代表的異常行為攻擊偽裝成正常流量，沒有特別大的數(shù)據(jù)包，地址和內(nèi)容也沒有可疑的不相配，一般不會觸發(fā)警報，即利用合法身份掩護(hù)，實施非法行為，同時通過加密通道外傳數(shù)據(jù)。面對這類攻擊威脅，需有一套更完善、更主動、更智能的安全防御體系。IPv6帶來的安全問題。IPv6已是大勢所趨，IPv6的使用也將會帶來一些獨特的安全難題。因此，如何在保證業(yè)務(wù)正常運營的前提下安全平滑過渡，以及保證安全防護(hù)在IPv4網(wǎng)絡(luò)和IPv6網(wǎng)絡(luò)上均實現(xiàn)無縫穩(wěn)定運行，是十分頭疼的問題。

2.用戶訪問控制

隨著智慧企業(yè)的建設(shè)推動，傳統(tǒng)的IDC機(jī)房轉(zhuǎn)移到云端或云端SaaS應(yīng)用，如何保護(hù)好在云計算和移動互聯(lián)網(wǎng)環(huán)境下系統(tǒng)及應(yīng)用的安全性，是當(dāng)前亟需解決的問題。運維工作量大。信息中心人員創(chuàng)建一個賬號耗時較長，人員增長迅速，崗位變動大，人員的賬號創(chuàng)建與日常運維工作十分耗費人員精力。人員變動處理不及時。各系統(tǒng)無法在第一時間獲悉用戶的狀態(tài)信息，當(dāng)在崗人員發(fā)生變動時，各系統(tǒng)管理員無法及時對人員賬號進(jìn)行處理。多套賬號密碼。各業(yè)務(wù)系統(tǒng)和部分公共應(yīng)用系統(tǒng)擁有各自獨立的賬號與密碼體系，用戶需要記住多套賬號密碼，給日常辦公帶來諸多困擾，也影響了系統(tǒng)的使用效率，嚴(yán)重影響員工的使用體驗。安全審計困難。無法實現(xiàn)對用戶訪問行為、管理員用戶管理操作行為進(jìn)行事件記錄。賬戶安全管理單一。目前許多系統(tǒng)采用最基本的用戶名密碼策略進(jìn)行認(rèn)證，一旦遺失密碼，則很大程度上造成企業(yè)內(nèi)部信息安全的泄露等問題。

3.辦公文件安全

Gartner市場分析報告顯示，到2021年，90%的非結(jié)構(gòu)化數(shù)據(jù)是文檔數(shù)據(jù)，海量數(shù)據(jù)不斷增長，給非結(jié)構(gòu)化數(shù)據(jù)的存儲、查找、分享協(xié)作和管理帶來巨大挑戰(zhàn)。企業(yè)組織和IT管理員還需要關(guān)心企業(yè)的文檔數(shù)據(jù)安全，比如數(shù)據(jù)丟失風(fēng)險，由于文檔和設(shè)備移動頻率大，丟失設(shè)備帶來數(shù)據(jù)丟失的概率大、風(fēng)險高，再如管控風(fēng)險，內(nèi)部數(shù)據(jù)被外部用戶拿走，無法控制，風(fēng)險加大。消費級網(wǎng)盤遠(yuǎn)不能滿足企業(yè)組織的IT管理對文檔數(shù)據(jù)安全的要求。Gartner市場分析報告顯示，全球60%的企業(yè)CIO都認(rèn)為，需要在IT建設(shè)規(guī)劃上，把企業(yè)文件同步共享納入到辦公方案規(guī)劃中。

4.專業(yè)技術(shù)人員配備

網(wǎng)絡(luò)安全建設(shè)是一項動態(tài)的體系化工作，具有特定的自身屬性，需要有較高的專業(yè)技能水平和豐富的網(wǎng)絡(luò)安全經(jīng)驗的技術(shù)人員，將網(wǎng)絡(luò)安全設(shè)備系統(tǒng)發(fā)揮最大作用，解決“不會用、不能用、不好用”的尷尬局面。企業(yè)在網(wǎng)絡(luò)安全技術(shù)和管理層面都面臨不斷變化的挑戰(zhàn)。隨著信息化建設(shè)的不斷深化和完善，信息化建設(shè)中的網(wǎng)絡(luò)安全建設(shè)愈發(fā)重要和迫切，專業(yè)的網(wǎng)絡(luò)安全技術(shù)團(tuán)隊可以科學(xué)有效地配合和支撐企業(yè)網(wǎng)絡(luò)安全運維、規(guī)劃和輕咨詢等工作。

網(wǎng)絡(luò)信息安全建設(shè)內(nèi)容

本著嚴(yán)格落實網(wǎng)絡(luò)安全主體責(zé)任制度，按照“誰主管、誰負(fù)責(zé)、誰運營、誰負(fù)責(zé)”的要求，遵循“分級分域、動態(tài)防控”的原則進(jìn)行企業(yè)網(wǎng)絡(luò)信息安全建設(shè)。

1.網(wǎng)絡(luò)邊界加固—終端監(jiān)控

審計大量的辦公終端構(gòu)成了內(nèi)網(wǎng)的最外層網(wǎng)絡(luò)邊界。網(wǎng)絡(luò)邊界是網(wǎng)絡(luò)安全防御的最基層環(huán)節(jié)，同時也是薄弱環(huán)節(jié)。防病毒系統(tǒng)及準(zhǔn)入系統(tǒng)仍然屬于“被動”防御范疇，有必要增加主動防御手段。惡意病毒、木馬蠕蟲進(jìn)入辦公終端的方式主要有兩種：一是軟件程序下載，二是移動存儲作為病毒擺渡手段侵入。為防范移動存儲介質(zhì)帶來的病毒侵入風(fēng)險，需要對辦公終端的USB接口進(jìn)行嚴(yán)格管控，授權(quán)使用管理。掌握辦公終端安裝非工作相關(guān)軟件程序，主動防御通過移動存儲介質(zhì)擺渡和軟件程序安裝進(jìn)入到辦公終端從而進(jìn)入內(nèi)網(wǎng)，同時兼顧發(fā)現(xiàn)辦公終端非法外聯(lián)互聯(lián)網(wǎng)等行為；加強辦公終端作為內(nèi)網(wǎng)邊界的管理。

2.入侵防護(hù)系統(tǒng)

（1）用戶身份識別與控制功能用戶身份識別與基于用戶身份的訪問控制功能，可以有效解決終端網(wǎng)內(nèi)漫游帶來的越權(quán)訪問。用戶身份識別與控制需要實現(xiàn)細(xì)粒度訪問控制。（2）更精細(xì)的應(yīng)用層安全控制通過流檢測技術(shù)對各類應(yīng)用進(jìn)行深入分析，搭建應(yīng)用協(xié)議識別框架，準(zhǔn)確識別大部分主流應(yīng)用協(xié)議，可以對基于應(yīng)用識別的應(yīng)用進(jìn)行精細(xì)粒度管理，能夠很好地對這些應(yīng)用安全漏洞和利用這些漏洞的攻擊進(jìn)行檢測和防御。（3）基于用戶身份的行為分析建立基于正常網(wǎng)絡(luò)訪問模型的單位網(wǎng)絡(luò)“白環(huán)境”，當(dāng)檢測到網(wǎng)絡(luò)中出現(xiàn)了違背白環(huán)境模型的異常行為時，則對其進(jìn)行深入分析，以判斷是否是攻擊。在用戶身份識別、應(yīng)用識別的基礎(chǔ)上，將用戶身份、業(yè)務(wù)系統(tǒng)、地理位置、操作頻次等多種與操作相關(guān)的網(wǎng)絡(luò)環(huán)境信息進(jìn)行關(guān)聯(lián)分析，建立企業(yè)網(wǎng)絡(luò)白環(huán)境，準(zhǔn)確識別用戶異常行為。（4）多種技術(shù)融合的入侵檢測機(jī)制以全面深入的協(xié)議分析為基礎(chǔ)，融合權(quán)威專家系統(tǒng)、智能協(xié)議識別、協(xié)議異常檢測、流量異常檢測、會話關(guān)聯(lián)分析以及狀態(tài)防火墻等多種技術(shù)，提供從網(wǎng)絡(luò)層、應(yīng)用層到內(nèi)容層的深度安全防護(hù)。（5）智能協(xié)議識別和分析智能協(xié)議識別技術(shù)通過動態(tài)分析網(wǎng)絡(luò)報文中包含的協(xié)議特征，發(fā)現(xiàn)其所在協(xié)議，然后遞交給相應(yīng)的協(xié)議分析引擎進(jìn)行處理，能夠在完全不需要管理員參與的情況下，高速、準(zhǔn)確地檢測出通過動態(tài)端口或者智能隧道實施的惡意入侵，可以準(zhǔn)確發(fā)現(xiàn)綁定在任意端口的各種木馬、后門，對于運用SmartTunnel技術(shù)的軟件也能準(zhǔn)確捕獲和分析。基于特征分析的系統(tǒng)主要檢測各類已知攻擊，了解攻擊特征后，制作相應(yīng)的攻擊特征過濾器，對網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)包進(jìn)行高速匹配，并進(jìn)行相應(yīng)的防護(hù)；協(xié)議異常檢測以深度協(xié)議分析為核心，通過學(xué)習(xí)和調(diào)整特定網(wǎng)絡(luò)環(huán)境下的“正常流量”值，來發(fā)現(xiàn)非預(yù)期的異常流量；2～7層深度入侵防護(hù)能力，可在受到攻擊之前提供前瞻性的保護(hù)；攻擊檢測和防御可主動防御已知和未知攻擊，實時阻斷各種黑客攻擊，如緩沖區(qū)溢出、SQL注入、暴力猜測、拒絕服務(wù)、掃描探測、非授權(quán)訪問、蠕蟲病毒和僵尸網(wǎng)絡(luò)等。

3.統(tǒng)一身份認(rèn)證

構(gòu)建統(tǒng)一用戶管理系統(tǒng)，實現(xiàn)對用戶賬號的集中管控、集中認(rèn)證、集中授權(quán)和集中審計，支持各級分權(quán)分域的管理，打造高標(biāo)準(zhǔn)的身份安全體系，為企業(yè)網(wǎng)絡(luò)安全工作保駕護(hù)航。將IT應(yīng)用系統(tǒng)用戶帳號進(jìn)行統(tǒng)一、集中的管理，幫助實現(xiàn)員工用戶身份的統(tǒng)一認(rèn)證和單點登錄，改變原有各業(yè)務(wù)系統(tǒng)中的分散式身份認(rèn)證及授權(quán)管理，實現(xiàn)對用戶的集中認(rèn)證和授權(quán)管理，簡化用戶訪問內(nèi)部各系統(tǒng)的過程，使得用戶只需要通過一次身份認(rèn)證過程就可以訪問具有相應(yīng)權(quán)限的所有資源，同時使用多因子認(rèn)證、認(rèn)證策略和安全審計加強安全性。（1）建立員工身份管理權(quán)威數(shù)據(jù)源確立統(tǒng)一身份管理與認(rèn)證系統(tǒng)為核心身份數(shù)據(jù)源，建立統(tǒng)一身份全景生命周期視圖，實現(xiàn)從核心身份數(shù)據(jù)源到應(yīng)用系統(tǒng)、AD域間數(shù)據(jù)同步，實現(xiàn)身份數(shù)據(jù)的集中供給、當(dāng)前存量用戶身份映射關(guān)系維護(hù)，確定并建立人員身份管理流程。（2）實現(xiàn)應(yīng)用系統(tǒng)帳號生命周期管理用戶身份及應(yīng)用帳號生命周期管理統(tǒng)一視圖，人員身份屬性、帳號規(guī)則、角色規(guī)則的統(tǒng)一，帳號集中管理、密碼管理和帳號合規(guī)的檢查。（3）實現(xiàn)用戶權(quán)限的集中管理基于應(yīng)用角色、組及用戶身份屬性的集中權(quán)限管理，開通、變更與收回，前期實現(xiàn)應(yīng)用級授權(quán)管理，即平臺能夠控制員工主頁只能夠顯示和訪問員工權(quán)限內(nèi)的系統(tǒng)，后期逐步實現(xiàn)細(xì)顆粒度授權(quán)管理。（4）建立統(tǒng)一身份認(rèn)證中心，實現(xiàn)應(yīng)用訪問單點登錄建立統(tǒng)一認(rèn)證中心，用戶訪問統(tǒng)一入口，實現(xiàn)員工一個用戶名和密碼，一次登錄即能訪問其所有權(quán)限內(nèi)的應(yīng)用。（5）統(tǒng)一授權(quán)模型，基于角色和組多因子認(rèn)證集成及靈活的、基于風(fēng)險識別的安全認(rèn)證策略配置，能夠根據(jù)用戶、應(yīng)用配置不同的認(rèn)證策略，后期支持與微信集成，實現(xiàn)微信掃碼登錄，提升系統(tǒng)使用的便利性。

4.企業(yè)私有云盤系統(tǒng)

對全部辦公終端的USB統(tǒng)一管理，對工作人員使用移動介質(zhì)存儲數(shù)據(jù)進(jìn)行限制，既要考慮網(wǎng)絡(luò)及數(shù)據(jù)安全，同時要兼顧日常工作的順利開展；建設(shè)企業(yè)級文檔管理系統(tǒng)（企業(yè)私有云盤管理系統(tǒng)）顯得尤為必要。（1）實現(xiàn)文檔的集管理將分散在個人電腦、U盤、移動硬盤、郵件、微信和OA系統(tǒng)的電子文檔進(jìn)行集中管理。并通過細(xì)分權(quán)限控制文檔分發(fā)，確保技術(shù)資料、商務(wù)機(jī)密不被泄漏，幫助企業(yè)高效安全管理數(shù)據(jù)。（2）消除文檔安全隱患日常工作中，往往遇到由于硬盤損壞、誤刪、人員離職、病毒攻擊等導(dǎo)致的數(shù)據(jù)丟失問題。私有云盤的安全存儲和備份機(jī)制能夠有效保證文檔的安全性、完整性，做到員工離職帶不走，崗位資料一鍵交接。（3）提高團(tuán)隊工作效率豐富的在線協(xié)作功能，例如工作流、文件催辦、一鍵分享、評論、關(guān)注、日志和版本等，可以減少文檔查找、分享、流轉(zhuǎn)、審批時間；管理人員也通過云盤洞悉一線員工的日常工作完成情況，隨時調(diào)閱不同崗位每天產(chǎn)出的圖紙、報表、方案、合同和日記等。（4）形成經(jīng)驗沉淀私有云盤在使用過程中將各崗位的作業(yè)經(jīng)驗以文檔的方式統(tǒng)一歸檔，無形之中沉淀了企業(yè)寶貴的生產(chǎn)、銷售和管理經(jīng)驗，便于傳承，幫助入職員工快速獲取豐富的作業(yè)經(jīng)驗，做到離職帶不走，入門快速學(xué)。

5.專業(yè)人員支撐運維

本著“人防+技防”的防護(hù)原則，引入專業(yè)的技術(shù)團(tuán)隊負(fù)責(zé)網(wǎng)絡(luò)安全運維工作，專業(yè)的技術(shù)能力和豐富的網(wǎng)絡(luò)安全管理經(jīng)驗可以提升網(wǎng)絡(luò)安全防護(hù)水平；引入更先進(jìn)的網(wǎng)絡(luò)安全技術(shù)理念和管理手段，實現(xiàn)網(wǎng)絡(luò)安全由被動防御到主動防御、縱深防御、聯(lián)動防御的目標(biāo)?；诋?dāng)前網(wǎng)絡(luò)安全狀況的評估，有針對性地對網(wǎng)絡(luò)安全進(jìn)行加固。網(wǎng)絡(luò)安全加固服務(wù)在加固被動安全防御能力的基礎(chǔ)上，提升積極防御的能力，配合運維服務(wù)，將日常網(wǎng)絡(luò)安全服務(wù)工作有效落地，包括安全梳理、有針對性地安全加固及持續(xù)的安全運營。

6.等保合規(guī)建設(shè)—日志審計系統(tǒng)

日志審計系統(tǒng)是等級保護(hù)測評的必要條件，同時也是滿足網(wǎng)絡(luò)安全合規(guī)性的必要條件?！吨腥A人民共和國網(wǎng)絡(luò)安全法》及等保2.0標(biāo)準(zhǔn)規(guī)定，采取監(jiān)測、記錄網(wǎng)絡(luò)運行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施，并按照規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個月。

7.掌控內(nèi)網(wǎng)流量—威脅預(yù)警溯源

通過建設(shè)全流量威脅分析預(yù)警及溯源系統(tǒng)，全面掌握內(nèi)網(wǎng)流量情況，在發(fā)生網(wǎng)絡(luò)安全事件前能夠?qū)崿F(xiàn)及時預(yù)警，在發(fā)生網(wǎng)絡(luò)安全事件過程中能及時發(fā)現(xiàn)，在發(fā)生網(wǎng)絡(luò)安全事件后能進(jìn)行溯源和定責(zé)工作，由“被動”防御轉(zhuǎn)變?yōu)椤爸鲃印卑l(fā)現(xiàn)。

8.邊界訪問控制—區(qū)域隔離防護(hù)

科學(xué)的網(wǎng)絡(luò)區(qū)域劃分和隔離是網(wǎng)絡(luò)安全建設(shè)的基礎(chǔ)工作，根據(jù)不同的功能區(qū)域劃分不同的邏輯區(qū)域，通過網(wǎng)絡(luò)隔離設(shè)備——防火墻，進(jìn)行訪問控制，封堵高危端口，將網(wǎng)絡(luò)安全風(fēng)險控制在可控區(qū)域內(nèi)，防止網(wǎng)絡(luò)病毒及滲透行為在全網(wǎng)漫游。內(nèi)網(wǎng)可劃分為骨干網(wǎng)隔離區(qū)、內(nèi)網(wǎng)服務(wù)器區(qū)、分支機(jī)構(gòu)接入?yún)^(qū)和外網(wǎng)服務(wù)器區(qū)。綜上所述，建設(shè)清單如表所示。

結(jié)語

網(wǎng)絡(luò)信息安全的復(fù)雜性、多變性以及信息系統(tǒng)的脆弱性，決定了網(wǎng)絡(luò)信息安全威脅的客觀存在。網(wǎng)絡(luò)信息安全是一個系統(tǒng)的、全局的管理問題，網(wǎng)絡(luò)信息安全上的任何一個漏洞，都會導(dǎo)致信息的不安全性，也只有從系統(tǒng)綜合整體的角度去看待、分析，兼顧管理和技術(shù)兩個方面，才能取得有效、可行的措施，即計算機(jī)信息安全應(yīng)遵循整體安全性原則，制定出合理的網(wǎng)絡(luò)信息安全體系結(jié)構(gòu)，這樣才能真正做到整個系統(tǒng)的網(wǎng)絡(luò)信息安全，為企業(yè)的穩(wěn)定運行保駕護(hù)航。

作者：何國偉 蔣井富