| 物流信息网络安全风险分析及解决方案 |
| 作者:孔东昇 来源于:计算机安全 2004-5-14 10:54:25 |
物流行业是充满生机的朝阳行业，随着我国加入WTO，国内物流企业既有前所未有的机遇，也面临着国外成熟运作的物流企业抢滩中国市场的残酷竞争。客观利用自身优势和基础，进行行业的理性和良性发展已成共识。中国物流信息中心负责全国生产资料信息网络的组建与管理，经国家经贸委和国家统计局授权，承担生产资料流通领域的行业统计职能，负责对全国生产资料市场供需形势进行监测、分析与预测，为国务院和各级政府部门提供宏观决策的依据，也为企业提供微观经营指导信息，是生产资料市场流通领域与物流领域集信息采集，加工、分析与发布于一身的权威信息咨询部门。他们充分认识到利用现代化的信息技术手段促进行业发展的重要性，在成功运营看中国物流与采购网，中国物流联盟刚两网合并运行)的同时，物流办公信息网络也在扩建之中，本文是关于对网络安全风险的分析及如何解决这些安全问题。 一、首期网络环境 物流信息网络是在原国内贸易部办公局域网的基础上扩建而成的，项目主要设计。组织、实施单位为中国物资信息中心(现中国物流信息中心)。原办公内网上主要运行着全国生产资料市场信息网中的4个系统：宏观经济预测系统。企业和商品信息系统，价格和市场信息系统，政策法规系统。办公外网上运行着国家国内贸易局政府网站、全国大宗商品交易网站。提供内部办公人员访问Internet的能力。网络安全措施是采用一台微机上插3块网卡，一块用于连接内网，一块连接DMZ区，一块连接路由器到Internet，采用Web and DASCOM AD of Tsinghua DASCOM防火墙软件，在服务器上安装北信源防病毒软件网络版。 二、现有网络环境 经过3年的运行，为适应市场的新需求，实现办公人员 24小时网上办公的能力，使经过认证的人员不管身处何方，只要能够上互联网，即可实现网上办公。 信息中心决定将家属区与办公区连接成一个大网，网络规模由一栋办公楼扩展为4栋办公楼和54栋家属楼。注册用户数1100个。上网用户需要认证，实现共享同一个Internet出口带宽。新需求带来了新的网段划分，IP地址规划和网络安全问题，既要考虑办公区内工作人员办公的需要，又要考虑家属区其他上网用户的需求，以及不同网段之间用户数据交换问题。IP地址数量问题。很显然前期的网络安全措施已不适应业务的发展。 三、网络安全风险分析 如何选择新的网络安全产品，提出新酌安全解决方案，我们主要从物理层，网络层，系统层，应用层及管理层等几个方面考虑。 1、物理层安全风险分析 网络的物理层安全风险主要指网络周边环境和物理特性引起的网络设备和线路的阻断，进而造成网络系统的阻断，它是整个网络系统安全的前提，包括以下内容 (1)设备被盗，被毁坏； (2)链路老化或被有意或者无意的破坏; (3)因电磁辐射造成信息泄露； (4)地震、火灾、水灾等自然灾害。 经过分析，办公区内设备被盗、被毁坏的可能性很小。在家属区，我们选择了有防盗门的楼门作为楼的主节点。其次，为防止计算机系统通过无线电辐射泄露秘密信息，我们采用家属楼通过可屏蔽光纤直接进办公楼主机房，避免网络骨干线路上数据传输时可能造成的电磁泄露． 2、网络层安全风险分析 根据新的网络安全建设要适应未来在高速宽带IP网上传输数据、语音、视频于一体的多媒体综合业务，网络系统的网络层中会存在一定的安全风险，如数据传输、网络边界、网络设备以及网络服务等所引发的安全风险。 (1)数据传输风险分析 这里提到的数据传输，包括两部分： 1)数据在办公区内之间传输； 2)数据在办公区与家属区之间传输。 无论以上哪种情况，数据在传输过程中，如果不采取保护措施，就有可能被窃听、篡改和破坏，如采用搭线窃听、在交换机或集线器上连接一个窃听设备等。这样，保障通过 Internet传递的数据的机密性，完整性就无从谈起。 (2)网络边界风险分析 在实际情况中，如果在网络边界上没有强有力的控制，则其外部黑客就可以随意出入企业总部及各个分支机构的网络系统，从而获取各种数据和信息，那么，泄露问题就无法避免． (3)网络设备风险分析 由于在办公区和家属区网络系统中使用大量的网络设备，这些设备自身的安全性也是要考虑的问题之一，它直接关系到各种网络应用能否正常、高效地运转． 路由器设备的路由信息可能泄露，攻击者可以根据路由信息把数据流向改为别的目标主机，用户以为发送正确的数据就落到了攻击者手里；交换机和路由器设备存在如果配置不当或者配置信息改动，也会引起信息的泄露．网络瘫痪等后果。 (4)网络服务风险分析 在办公区网络系统上，有大量的网络服务存在，如OA服务、Web服务、邮件服务、数据库服务等。针对这些服务的各种攻击可能造成的破坏． 最常见的就是拒绝服务攻击DoS。其通过不停地向这些网络设备及服务器发送大量的数据包．造成网络的瘫痪，严重影响网络的运行。 从某种程度上可以说，DoS攻击永远不会消失。而且从技术上来讲，其利用的是TCP／IP协议自身的缺陷。 DoS技术严格地说只是一种破坏网络服务的技术方式，具体的实现多种多样，但都有一个共同点，就是其根本目的是使受害主机或网络失去及时接受处理外界请求，或无法及时回应外界请求。 3、系统层安全风险分析 系统层的安全风险分析主要针对局域网内使用的操作系统、数据库系统以及相关商用产品的安全漏洞和病毒威胁进行分析。 同时病毒也是系统安全的主要威胁，现在的病毒，大多利用了操作系统本身的漏洞，并通过网络迅速传播。所有这些都造成了整个网络系统安全的脆弱性。 4、应用层安全风险分析 在整个网络系统环境中存在着大量的应用服务，如Web服务、邮件服务、OA服务、数据库服务等。对于这些服务，不可避免地存在安全漏洞。这些漏洞可能是服务系统自身所有的．也可以是配置管理不当造成的。 5、电子邮件系统风险分析 在局域网中，用户与外界进行数据交换最常用的方式就是通过电子邮件，同时，通过电子邮件大规模传播，散布病毒及黑客程序也成为可能． 用户进行电子邮件发送和接收肘可能存在被黑客跟踪或收到一些恶意程序(如特洛伊木马．蠕虫等)、病毒程序等，这里的黑客，有可能就是局域网内的某个用户，有意或出于好奇使用黑客软件对邮件用户进行攻击。由于许多用户安全意识比较淡薄，对一些来历不明的邮件，没有警惕性，给入侵者提供机会。通过邮件，可以迅速把这些破坏性的程序在局域网系统中传播，给系统带来不安全因素。 6、管理层安全风险分析 责权不明，管理混乱，安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。 当网络出现攻击行为或网络受到其他一些安全威胁时 (如内部人员的违规操作等)，要进行实时的检测、监控。报告与预警。同时，当事故发生后，能够提供黑客攻击行为的追踪线索及破案依据。将管理制度和管理解决方案相结合，并辅之以相应的安全管理工具。 三，网络安全措施 我们采取了以下几个方面解决措施： (1)制定合理的安全管理制度和策略，确保不因管理上的漏洞造成网络运行的安全问题； (2)采用专用的网络加密机和主机数据加密设备，建立安全保密系统，对数据的传输、存储进行加解密处理，实现数据传输。处理、存储过程中的机密性，完整性和可用性； (3)更换成有4个以太端口的东方龙马WLMB-5007X防火墙系统，将办公区与家属区和DMZ区隔离开，并对进出的所有数据进行柱查和访问控制： (4)在办公区端口处增加鹰眼网络入侵检测系统，避免办公区网络中重要网段遭到攻击和破坏； (5)采用新的瑞星企业级网络版防病毒系统,避免整个网络遭到病毒的破坏； (6)采用主页防篡改系统，避免办公外网中的Web站点被破坏； (7)采用全网统一的安全管理平台系统，对网络中涉及的各种安全工具和系统进行集中统一的管理。 我们这个网络所面临的安全问题是有共性的，我们的体会是应该从实际出发，认真分析自身的安全需求，面对林林总总的安全产品和解决方案选择适用的安全产品和方案，才能达到事半功倍的效果。 |
 |
