企业网络安全风险分析.doc

摘 要 随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的IT技术构建企业自 身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖 而出。经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强 。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常 运行对网络安全提出了更高的要求。信息安全防范应做整体的考虑，全面覆盖信息系统 的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安 全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安 全防范活动的始终。 关键词 信息安全；PKI；CA；VPN 1 引言 随着计算机网络的出现和互联网的飞速发展，企业基于网络的计算机应用也在迅速增加 ，基于网络信息系统给企业的经营管理带来了更大的经济效益，但随之而来的安全问题 也在困扰着用户，在2003年后，木马、蠕虫的传播使企业的信息安全状况进一步恶化。 这都对企业信息安全提出了更高的要求。 随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的IT技术构建企业自 身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖 而出。面对这瞬息万变的市场，企业就面临着如何提高自身核心竞争力的问题，而其内 部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等，又时刻在制约 着自己，企业采用PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要 手段。 在下面的描述中，以某公司为例进行说明。 2 信息系统现状 2.1 信息化整体状况 1)计算机网络 某公司现有计算机500余台，通过内部网相互连接，根据公司统一规划，通过防火墙与外 网互联。在内部网络中，各计算机在同一网段，通过交换机连接。 图1 2)应用系统 经过多年的积累，某公司的计算机应用已基本覆盖了经营管理的各个环节，包括各种应 用系统和办公自动化系统。随着计算机网络的进一步完善，计算机应用也由数据分散的 应用模式转变为数据日益集中的模式。 2.2 信息安全现状 为保障计算机网络的安全，某公司实施了计算机网络安全项目，基于当时对信息安全的 认识和安全产品的状况，信息安全的主要内容是网络安全，部署了防火墙、防病毒服务 器等网络安全产品，极大地提升了公司计算机网络的安全性，这些产品在此后防范网络 攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。 3 风险与需求分析 3.1 风险分析 通过对我们信息系统现状的分析，可得出如下结论： (1)经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计 算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行 对网络安全提出了更高的要求。 (2)计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中 心，因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份， 并运用技术手段，提高数据的机密性、完整性和可用性。 通过对现有的信息安全体系的分析，也可以看出：随着计算机技术的发展、安全威胁种 类的增加，某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一 定的缺陷，具体表现在： (1)系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。 目前实施的安全方案是基于当时的认识进行的，主要工作集中于网络安全，对于系统和 应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证，对服务器、网络设备和 应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺 乏整体方案和制度规范，容易造成重要数据的丢失和泄露。 当时的网络安全的基本是一种外部网络安全的概念，是基于这样一种信任模型的，即网 络内部的用户都是可信的。在这种信任模型下，假设所有可能的对信息安全造成威胁的 攻击者都来自于组织外部，并且是通过网络从外部使用各种攻击手段进入内部网络信息 系统的。 针对外部网络安全，人们提出了内部网络安全的概念，它基于这样一种信任模型：所有 的用户都是不可信的。在这种信任模型中，假设所有用户都可能对信息安全造成威胁， 并且可以各种更加方便的手段对信息安全造成威胁，比如内部人员可以直接对重要的服 务器进行操控从而破坏信息，或者从内部网络访问服务器，下载重要的信息并****出去 。内部网络安全的这种信任模型更符合现实的状况。 美国联邦调查局(FBI)和计算机安全机构(CSI)等权威机构的研究也证明了这一点：超过 80%的信息安全隐患是来自组织内部，这些隐患直接导致了信息被内部人员所窃取和破坏 。 信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有 选用有关