2007-04-18 00:00 作者： 蔣建春 出處： 電腦世界網 責任編輯：原野
互聯網和IT技術的普及，使得應用資訊突破了時間和空間上的障礙，資訊的價值在不斷提高。但與此同時，網頁篡改、電腦病毒、系統非法入侵、資料洩密、網站欺騙、服務癱瘓、漏洞非法利用等資訊安全事件時有發生。據公安部公共資訊網路安全監察局的調查結果顯示，2005 年5月至2006年5月間，有54％的被調查單位發生過資訊網路安全事件，其中，感染電腦病毒、蠕蟲和木馬程式的安全事件為84%，遭到埠掃描或網路攻擊的占36%，垃圾郵件占35%。未修補和防範軟體漏洞仍然是導致安全事件發生的最突出原因，占發生安全事件總數的73%。
目前，許多企事業單位的業務依賴于資訊系統安全運行，資訊安全重要性日益凸顯。資訊已經成為各企事業單位中的重要資源，也是一種重要的“無形財富”，分析當前的資訊安全問題，有十五個典型的資訊安全問題急需解決。
1、網路共用與惡意程式碼防控
網路共用方便了不同使用者、不同部門、不同單位等之間的資訊交換，但是，惡意程式碼利用資訊共用、網路環境擴散等漏洞，影響越來越大。如果對惡意資訊交換不加限制，將導致網路的QoS下降，甚至系統癱瘓不可用。
2、資訊化建設超速與安全規範不協調
網路安全建設缺乏規範操作，常常採取“亡羊補牢”之策，導致資訊安全共用難度遞增，也留下安全隱患。
3、資訊產品國外引進與安全自主控制
國內資訊化技術嚴重依賴國外，從硬體到軟體都不同程度地受制於人。目前, 國外廠商的作業系統、資料庫、中介軟體、辦公文書處理軟體、流覽器等基礎性軟體都大量地部署在國內的關鍵資訊系統中,但是這些軟體或多或少存在一些安全性漏洞，使得惡意攻擊者有機可乘。目前，我們國家的大型網路資訊系統許多關鍵資訊產品長期依賴於國外，一旦出現特殊情況，後果就不堪設想。
4、IT產品單一性和大規模攻擊問題
資訊系統中軟硬體產品單一性，如同一版本的作業系統、同一版本的資料庫軟體等，這樣一來攻擊者可以通過軟體程式設計，實現攻擊過程的自動化，從而常導致大規模網路安全事件的發生，例如網路蠕蟲、電腦病毒、“零日”攻擊等安全事件。
5、IT產品類型繁多和安全管理滯後矛盾
目前，資訊系統部署了眾多的IT產品，包括作業系統、資料庫平臺、應用系統。但是不同類型的資訊產品之間缺乏協同,特別是不同廠商的產品,不僅產品之間安全管理資料缺乏共用,而且各種安全機制缺乏協同,各產品缺乏統一的服務介面,從而造成資訊安全工程建設困難,系統中安全功能重複開發,安全產品難以管理,也給資訊系統管理留下安全隱患。
6、IT系統複雜性和漏洞管理
多協定、多系統、多應用、多使用者組成的網路環境，複雜性高，存在難以避免的安全性漏洞。據SecurityFocus公司的漏洞統計資料表明，絕大部分作業系統存在安全性漏洞。由於管理、軟體工程難度等問題，新的漏洞不斷地引入到網路環境中，所有這些漏洞都將可能成為攻擊切入點，攻擊者可以利用這些漏洞入侵系統，竊取資訊。 1998年2月份，駭客利用Solar Sunrise漏洞入侵美國國防部網路，受害的電腦數超過500台，而攻擊者只是採用了中等複雜工具。當前安全性漏洞時刻威脅著網路資訊系統的安全。
為了解決來自漏洞的攻擊，一般通過打補丁的方式來增強系統安全。但是，由於系統運行不可間斷性及漏洞修補風險不可確定性，即使發現網路系統存在安全性漏洞，系統管理員也不敢輕易地安裝補丁。特別是，大型的資訊系統，漏洞修補是一件極為困難的事。因為漏洞既要做到修補，又要能夠保證線上系統正常運行。
7、網路攻擊突發性和防範回應滯後
網路攻擊者常常掌握主動權，而防守者被動應付。攻擊者處於暗處，而攻擊目標則處於明處。以漏洞的傳播及利用為例，攻擊者往往先發現系統中存在的漏洞，然後開發出漏洞攻擊工具，最後才是防守者提出漏洞安全對策。
8、口令安全設置和口令易記性難題
在一個網路系統中,每個網路服務或系統都要求不同的認證方式，使用者需要記憶多個口令，據估算，使用者平均至少需要四個口令，特別是系統管理員，需要記住的口令就更多，例如開機口令、系統進入口令、資料庫口令、郵件口令、Telnet口令、FTP口令、路由器口令、交換機口令等。按照安全原則，口令設置既要求複雜，而且口令長度要足夠長，但是口令複雜則記不住，因此，用戶選擇口令只好用簡單的、重複使用的口令，以便於保管，這樣一來攻擊者只要猜測到某個用戶的口令，就極有可能引發系列口令洩露事件。
9、遠端移動辦公和內網安全
隨著網路普及，移動辦公人員在大量時間內需要從互聯網上遠端存取內部網路。由於互聯網是公共網路，安全程度難以得到保證，如果內部網路直接允許遠端存取，則必然帶來許多安全問題，而且移動辦公人員電腦又存在失竊或被非法使用的可能性。“既要使工作人員能方便地遠端存取內部網，又要保證內部網路的安全。”就成了一個許多單位都面臨的問題。
10、內外網路隔離安全和資料交換方便性
由於網路攻擊技術不斷增強，惡意入侵內部網路的風險性也相應急劇提高。網路入侵者可以涉透到內部網路系統，竊取資料或惡意破壞資料。同時，內部網的用戶因為安全意識薄弱，可能有意或無意地將敏感性資料洩漏出去。為了實現更高級別的網路安全，有的安全專家建議，“內外網及上網電腦實現物理隔離，以求減少來自外網的威脅。”但是，從目前網路應用來說，許多企業或機構都需要從外網採集資料，同時內網的資料也需要發佈到外網上。因此，要想完全隔離開內外網並不太現實，網路安全必須既要解決內外網資料交換需求，又要能防止安全事件出現。
11、業務快速發展與安全建設滯後
在資訊化建設過程中，由於業務急需要開通，做法常常是“業務優先，安全靠邊”，使得安全建設缺乏規劃和整體設計，留下安全隱患。安全建設只能是“亡羊補牢”,出了安全事件後才去做。這種情況，在企業中表現得更為突出，市場環境的動態變化，使得業務需要不斷地更新，業務變化超過了現有安全保障能力。
12、網路資源健康應用與管理手段提升
複雜的網路世界，充斥著各種不良資訊內容，常見的就是垃圾郵件。在一些企業單位中，網路的頻寬資源被員工用來線上聊天，流覽新聞娛樂、股票行情、色情網站，這些網路活動嚴重消耗了頻寬資源，導致正常業務得不到應有的資源保障。但是，傳統管理手段難以適應虛擬世界，網路資源管理手段必須改進，要求能做到 “可信、可靠、可視、可控”。
13、資訊系統使用者安全意識差和安全整體提高困難
目前，普遍存在“重產品、輕服務，重技術、輕管理，重業務、輕安全”的思想，“安全就是安裝防火牆，安全就是安裝殺毒軟體”，人員整體資訊安全意識不平衡，導致一些安全制度或安全流程流於形式。典型的事例如下:
■ 用戶選取弱口令，使得攻擊者可以從遠端直接控制主機;
■ 使用者開放過多網路服務，例如,網路邊界沒有過濾掉惡意資料包或切斷網路連接,允許外部網路的主機直接“ping”內部網主機，允許建立空連接;
■ 用戶隨意安裝有漏洞的套裝軟體;
■ 使用者直接利用廠家缺省配置;
■ 使用者洩漏網路安全敏感資訊，如DNS服務配置資訊。
14、安全崗位設置和安全管理策略實施難題
根據安全原則，一個系統應該設置多個人員來共同負責管理，但是受成本、技術等限制，一個管理員既要負責系統的配置，又要負責安全管理，安全設置和安全審計都是“一肩挑”。這種情況使得安全許可權過於集中，一旦管理員的許可權被人控制，極易導致安全失控。
15、資訊安全成本投入和經濟效益回報可見性
由於網路攻擊手段不斷變化，原有的防範機制需要隨著網路系統環境和攻擊適時而變，因而需要不斷地進行資訊安全建設資金投入。但是，一些資訊安全事件又不同于物理安全事件，資訊安全事件所產生的經濟效益往往是間接的，不容易讓人清楚明白，從而造成企業領導人的誤判，進而造成資訊安全建設資金投入困難。這樣一來，資訊安全建設投入往往是“事後”進行，即當安全事件產生影響後，企業領導人才會意識安全的重要性。這種做法造成資訊安全建設缺乏總體規劃，基本上是“頭痛醫頭，腳痛醫腳”，資訊網路工作人員整天疲於奔命工作，成了“救火隊員”。
資訊安全建設8步驟
資訊安全建設是一個循序漸進、逐步完善提升的過程，資訊安全建設大致來說要經歷三個階段：基本階段、規範階段、改進完善階段。每個階段在資訊安全性群組織、資訊安全管理、資訊安全措施上都有所側重，主要在安全性群組織健全程度、安全管理規範性、安全技術措施嚴密性等方面表現出來。
資訊安全建設是一個複雜的系統工程 ，一般來說，資訊安全工程包含八個基本環節和步驟。
第一步，分析資訊網路系統所承載的業務和基本安全目標。
第二步，在所管轄的資訊網路範圍內，進行資訊網路安全風險評估，建立資訊網路資產清單，識別資訊網路資產的威脅和脆弱性，確定資訊網路資產的風險類型和保護等級。
第三步，根據資訊網路資產的風險類型和保護等級，制定合適的安全性原則和安全防護體系。
第四步，根據資訊網路的安全性原則，設計安全防範機制，選擇風險控制的目標，實現風險控制管理。
第五步，將資訊安全建設工作分解為若干個資訊安全工程項目。典型專案有漏洞掃描和安全風險評估專案、用戶統一認證和授權管理專案、網路防病毒專案、桌面機集中安全管理專案、伺服器安全增強專案、網路安全監控專案、網路邊界防護專案、遠端安全通信專案、網路內容管理專案、補丁管理專案、系統和資料容災備份專案。
第六步，根據資訊安全工程項目要求，制定實施計畫，調整資訊網路結構和重新安全配置，部署選購合適的安全產品；制定相應資訊網路安全管理制度、操作規程以及法律聲明。
第七步，對資訊安全工程項目進行驗收，檢查資訊網路的安全風險是否已經得到有效控制; 檢查資訊網路的安全保障能力是否達到業務安全要求。
第八步，驗收後，工程項目建設成果正式交付運行; 並根據安全控制系統的實際運行情況，及時調整安全性原則，改進安全控制措施。
留言列表
