网络系统安全管理

从系统工程的角度来看,再也没有什么比规章制度的制定以及严格执行更加重要的事情了。多少次的教训提醒我们,管理的疏忽、人员的失职以及叛变是造成系统损坏的最重要的因素。规章制度可以根据具体情况合理制定。所谓合理,就是要最大限度地减少使用上的不便和限制。

下面的管理规定是我们在与诸多客户实际交流中总结出来的,这些建议只是提出了安全管理的几个粗略轮廓,仅供广州市工商行政管理局参考。

一、机房管理

要制定严格的机房管理制度,主要应该包括:

1、对机房内的设备运行情况认真记录备案。

2、对机房内的人员出入情况认真记录备案。

3、机房专管人员变动要有详尽的交接记录。

二、软件管理

1、信息中心负责各业务应用软件的统一规划及开发工作。各部门、室及其他下属部门不得自行修改下发的软件,确需修改,应报信息中心统一修改或授权修改。软件改动部分应详细记录,并报信息中心备案。

2、各类软件、软盘及技术资料必须专人负责统一管理,分类登记,妥善保管,做好备份。

3、各种软件资料不准外借,各类日志、记录、计算机报表资料要归档管理,以备查用。

4、保守本单位软件、数据、密码等机密。

三、操作管理

1、计算机软件开发人员、计算机应用操作人员要各负其责,不准混岗。

2、所有操作员要严格按操作规程办事,不准做授权范围外的任何工作。

3、操作人员和系统管理员的密码(或代码)要绝对保密。操作员开机键入密码时,其他人员要回避。确因软件维护需要,需要经主管领导批准程序员或管理人员上机操作使用密码后,操作员必须立即更换密码,禁止再使用原密码进行业务操作。

四、监督管理

1、对计算机的审计工作

主要由审计部门与计算机技术人员对计算机处理记录情况进行系统分析和检查,对各种制度执行情况审计。

2、操作权限与登录密码

各级计算机室操作人员必须严格按照操作手册遵循业务操作流程使用业务用计算机。业务主管、系统管理员及其他计算机操作员必须明确自己的操作权限,认真管理好自己的登录密码,登录密码要经常更换。

3、专职计算机系统安全管理员

信息中心要与安全保卫部门协同负责全网计算机系统的安全,配备专职计算机系统安全管理员,直接负责全网计算机系统的安全,其职责如下:

①定期召集各级计算机室安全员开会。

②不定期检查各级计算机室的计算机系统安全工作,处理下属机构的相关问题。

③全面负责病毒检查与清理、防火墙规则配置与日志审计、入侵检测系统策略配置与日志审计、数据备份与恢复系统的有效性检查。

④负责所使用的系统软件、应用软件的登记管理工作。要对所使用的各类软件的软件名称、版本号、开发研制单位、开发时间、投入使用时间、使用部门等详细情况进行登记。

4、兼职计算机系统安全员

在各级计算机室指定一位兼职计算机系统安全员,安全员不得由业务主管、系统管理员兼任,安全员的职责是负责本级计算机室计算机应用系统的安全。

5、用户安全性监督

①内存保护:在多用户环境下的内存保护随着硬件技术和系统设计技术的进步得到发展。

②文件保护:通常操作系统上的文件保护方案以三层到四层格式的保护为基础,把访问控制的细度限制在少数的级别上。

③访问控制:通过以每个目标或用户为基础组织起来的访问控制矩阵或访问控制表来得到访问控制。

④用户认证:必须杜绝不认识的用户谋求通过计算机网络共享计算机设备。通常的做法是输入口令。

6、操作系统安全性监督

①最少特权:每个用户和每个程序应该使用可能的最少特权进行操作。

②节省机制:保护系统的设计应该小而简单,直接了当。

③开放设计:保护机制必须不依赖于潜在攻击者的无知。

④完全中介:必须检查每一次访问。

⑤基于许可:默认的条件应该是拒绝访问。

⑥分离特权:使对目标的访问依赖于多个条件,比如用户的认证加上密钥。

⑦最少的公共机制:因为被大家共享的目标可提供潜在的信息流通道。

⑧便于使用。

7、个人计算机安全性监督

①用户责任心引起的问题:使用计算机的专业人员必须了解计算机安全上的弱点和个人机在安全上的特殊之处,计算机专业人员必须帮助管理人员和其他用户清楚地认识并负起有关PC机安全问题的责任。

②使用程序引起的问题:可以通过下面的行政措施来控制。

a. 如果机器内有敏感信息或者正在进行敏感计算,要有人照看。

b. 打印敏感数据时要有人照看打印机。

c. 将介质当成机密文件一样仔细保管。

d. 介质远离灰尘和热源,磁盘应该放在远离诸如电话或大的电机引起的磁场中。

e. 定期备份并将所有的备份连同系统软盘和软件放在另外的房屋中,避免火灾、失窃等。

f. 实施权限分离。制定出机密的措施使任何人都不能单独改变敏感数据。

③由硬件引起的问题:应对设备进行认真防护。

④由软件控制引出的问题:应该

a. 弄清楚所使用软件潜在的威胁。

b. 不使用来源不可靠的软件。

c. 对所有结果持慎重态度。

d. 定期对所有系统资源作完整的备份。

8、访问控制系统安全性监督

①防止用户不通过访问控制系统而启用系统。

②控制用户对存有敏感鉴别数据的存储单元或其他地方的访问。

③使所有的I/O操作都由控制系统处理。

④防止用户绕过访问控制直接进行网络访问。

⑤防止用户对访问日志的恶意更改。

9、数据库系统安全性监督

①物理上的数据库完整性,以便灾祸破坏后能重构数据库。

②逻辑上的数据库完整性,以便保持数据库的结构。

③元素的完整性,以便包含在每个元素中的数据是准确的。

④可审计性,使能够追踪到某人曾访问过(或修改过)的数据库元素。

⑤访问控制,限制不同的用户有不同的访问模式(如读或写)。

⑥用户认证,以确保每个用户被正确地识别。

⑦可用性,用户一般可以访问数据库以及所有被批准访问的数据。

五、自然灾害

要防止水、火、震、电、温度、磁等自然灾害对计算机设备带来的损害。

(1)要把计算机及其它设备安置在易防水的房间,把所有的备份和文档保存在易抢救的密封容器内,作好标记,便于在灾难时进行抢救;

(2)配备适当功率的不间断电源来防止掉电,配备电涌抑制器来保证电的纯度;

(3)控制好机房内的温度;

(4)存放或使用时要远离磁场。

六、安全策略

网络的安全策略就是针对网络的实际情况(被保护信息价值、被攻击危险性、可投入的资金),在网络管理的整个过程,具体对各种网络安全措施进行取舍。网络的安全策略可以说是在一定条件下的成本和效率的平衡。

(一)制定安全策略的原则

虽然网络的具体应用环境不同,但我们在制定安全策略时应遵循一些总的原则。

1.适应性原则

安全策略是在一定条件下采取的安全措施。我们制定的安全策略必须是和网络的实际应用环境相结合的。通常,在一种情况下实施的安全策略到另一环境下就未必适合。例如:校园网环境就必须允许匿名登录,而一般的企业网络的安全策略不允许匿名登录。

2.动态性原则

安全策略又是在一定时期采取的安全措施。由于用户在不断增加,网络规模在不断扩大,网络技术本身的发展变化也很快,而安全措施是防范性的、持续不断的,所以制定的安全措施必须不断适应网络发展和环境的变化。

3.简单性原则

网络用户越多,网络管理人员越多,网络拓扑越复杂,采用网络设备种类和软件种类越多,网络提供的服务和捆绑的协议越多,出现安全漏洞的可能性就越大,出现安全问题后找出问题原因和责任者的难度就越大。安全的网络是相对简单的网络。例如:最不安全的网络可以说是Internet。

4.系统性原则

网络的安全管理是一个系统化的工作,必须考虑到整个网络的方方面面。也就是在制定安全策略时,应全面考虑网络上各类用户、各种设备、各种情况,有计划有准备地采取相应的策略。任何一点疏漏都会造成整个网络安全性的降低。

(二)网络规划的安全策略

以下的安全策略示例是基于中小型NT网的。

网络的安全性最好在网络规划阶段就要考虑进去,一些安全策略在网络规划时就要实施。

1、明确网络安全的责任人和安全策略的实施者。人是制定和执行网络安全策略的主体。对于小型网络来说网络管理员可以是网络安全责任人。

2、对网络上所有的服务器和网络设备,设置物理上的安全措施(防火、防盗)和环境上的安全措施(供电、温度)。对小型的局域网最好将网络上的公用服务器和主交

换设备安置在一间中心机房内集中放置。

3、网络规划应考虑容错和备份。安全策略不可能保证网络绝对安全和硬件不出故障。我们的网络应允许网络出现的一些故障,并且可以很快从灾难中恢复。网络的主备份系统应位于中心机房。

4、如果你的网络与Internet有固定连接(静态的IP地址),只要资金允许最好在网络和Internet之间安装防火墙。

5、网络使用代理服务器访问Internet。不仅可以降低访问成本,而且隐藏了网络规模和特性,加强了网络的安全性。

(三)网络管理员安全策略

以下的安全策略示例是基于中小型NT网的。

对于小型网络来说网络管理员一般承担安全管理员的角色。网络管理员采取的安全策略,最重要的是保证服务器的安全和分配好各类用户的权限。

1.网络管理员必须了解整个网络中的重要公共数据(限制写)和机密数据(限制读)分别是哪些,它在哪儿,哪些人使用,属于哪些人,丢失或泄密会造成怎样的损失。这些重要数据集中至位于中心机房的务器上,置于有安全经验的专人管理之下。

2.定期对各类用户进行安全培训。

3.服务器上只安装NT。不要安装Windows9x和DOS,确保服务器只能从NT启动。

4.服务器上所有的卷全部使用NTFS。

5.使用最新的Service Pack升级你的NT。

6.设置服务器的BIOS,不允许从可移动的存储设备(软驱、光驱、ZIP、SCIS设备)启动。确保服务器从NT启动置于NT安全机制管理之下。

7.通过BIOS设置软驱无效,并设置BIOS口令。防止非法用户利用控制台获取敏感数据,以及由软驱感染病毒到服务器。

8.取消服务器上不用的服务和协议种类。网络上的服务和协议越多安全性越差。

9.将服务器注册表HKEY_LOCAL_ MACHINE\SOFTWARE\Microsoft\

WindowsNT\CurrentVersion\Winlogon项中的Don't Display Last User Name串数据修改为1,隐藏上次登陆控制台的用户名。

10.不要将服务器的Windows NT设置为自动登录,应使用NT Security对话框(Ctrl+Alt+Del)注册。

11.C/S软件的服务器端如果是用户模式运行的(即需要从服务器端登录),用NT Resource Kit中的Autoexnt将设为启动时自动运行形式。

12.系统文件和用户数据文件分别存储在不同的卷上。方便日常的安全管理和数据备份。

13.修改默认“Administrator”用户名,加上“强口令”(多于10个字符且必须包括数字和符号),最好再创建一个具有“强口令”的管理员特权的账号,使网络管理员账号不易被攻破。

14.管理员账号仅用于网络管理,不要在任何客户机上使用管理员账号。对属于Administrator组和备份组的成员用户要特别慎重。

15.记住口令文件保存在\\WINNT \SYSTEM32\CONFIG目录的SAM文件中,

\\WINNT\REPAIR目录中有SAM备份。对SAM文件写入、更改权限等进行审计。

16.鼓励用户将数据保存到服务器上。DOS和Windows9x客户机没有NT提供的安全性,所以不建议用户在本地硬盘上共享文件。

17.限制可以登录到有敏感数据的服务器的用户数。这样在出现问题时可以缩小怀疑范围。

18.利用Windows9x的“系统策略编辑器”建立策略文件,存入服务器,控制的Windows9x客户机的注册表。建议打开计算机策略中的“需要使用Network for Windows Access进行验证”、“登录到WindowsNT”/“禁用域口令缓冲”,控制Windows9x用户必须首先注册到网上。这样可以防止用户通过“放弃”使用Windows9x降低客户机安全。

19.通过“系统策略编辑器”可以进一步控制一般用户或组在Windows9x客户机上的行为。

20.不允许一般用户在服务器上拥有除读/执行以外的权限。注意NT本身不支持用户空间限制。

21.限制Guest账号的权限,最好不允许使用Guest账号。不要在Everyone组增加任何权限,因为Guest也属于该组。

22.一般不直接给用户赋权,而通过用户组分配用户权限。

23.新增用户时分配一个口令,并控制用户“首次登录必须更改口令”,最好进一步设置成口令的不低于6个字符,杜绝安全漏洞。

24.至少对用户“登录和注销”网络、“重新启动、关机及系统”、“安全规则更改”活动进行审计,但不要忘了过多的审计将影响系统性能。

针对提供Internet访问服务网络的策略:

25.文件服务器不与Internet直接连接,设专用代理服务器;不允许客户机通过Modem连到Internet,形成在防火墙内的连接。

26.可以利用“TCP/IP安全”对话框,关闭Internet上机器不用的TCP/UDP端口,过滤流入服务器的请求,特别是限制使用TCP/UDP的137、138、139端口。

27.可以考虑将对外的Web服务器放在防火墙之外,隔离外界对内的访问以保护内部的敏感数据。

28.对只提供内部访问的服务器和客户机可以采用非TCP/IP协议实现连接,这样可以隔离Internet访问。

29.利用端口扫描工具,定期在防火墙外对网络内所有的服务器和客户进行端口扫描。

30.不允许除NT的RAS以外的机器应答远程访问请求。最好设专门的远程访问服务器,并将该服务器置于中心机房。

31.对于偶尔使用远程访问可以采用人工控制RAS服务的启动和停止。

32.对固定的用户最好采取回叫的方式实现远程连接。

33.通过RAS服务器的IP地址分配,限制远程用户的IP地址,进而利用防火墙控制和隔离远程访问客户。

34.对于远程访问的口令采取某种加密鉴别(如:MS-CHAP),以保证用户口令在远程线路上安全传送。

(四)网络用户的安全策略

以下的安全策略示例是基于中小型NT网的。

网络的安全不仅仅是网络管理员的事,网络上的每一个用户都有责任。网络用户应该了解下列安全策略:

1.用一个长且难猜的口令。不要将自己的口令告诉任何人。

2.清楚自己私有数据存储的位置,知道如何备份和恢复。

3.定期参加网络知识和网络安全的培训,了解网络安全知识,养成注意安全的工作习惯。

4.尽量不要在本地硬盘上共享文件,因为这样做将影响自己的机器安全。最好将共享文件存放在服务器上,既较安全又方便了他人随时使用文件。

5.设置客户机的BIOS,不允许从软驱启动。

6.通过“系统策略编辑器/注册表编辑器”控制在Windows9x工作站上“不显示最后一次登录的用户名”和“禁止使用口令缓存”。防止口令从缓存中被获取和最后一次登录的用户被利用。

7.设置有显示的(即非黑屏,防止误认为关机)屏幕保护,并且加上口令保护。

8.当你较长时间离开机器时一定要退出网络。

9.安装启动时病毒扫描软件。虽然绝大多数病毒对NT服务器不构成威胁,但会通过NT网在客户端很快传播开来。

Internet有权用户需要了解的安全策略。由于Internet是在网络外部的,访问Internet有可能将机器至于不安全的环境,需要在上述安全策略基础上进一步采取下述的安全策略:

10.确认你的机器没有安装“文件和打印机共享”服务。因为Internet上的黑客,有机会通过这个服务获取和共享文件,从而可能造成对局部数据及网络安全的威胁。

11.不要通过Modem直接连接Internet。

12.不要下载安装未经安全认证的软件和插件。

13.WEB页面中的ActiveX,Java小应用、脚本可能泄漏你的秘密,可以禁止其在浏览器上运行。

14.发出电子邮件如果没有加密,信件有内容可能泄漏。收到的电子邮件不能完全确认是由寄件人发出。对特别机密的文件和具有法律效力的文件请加密发送和使用数字认证确认寄件人。

网络上的远程访问用户除需要了解上面两类用户的安全策略,还要遵循下列安全策略:

15.用户在局域网和远程登录分别使用不同的用户账号和口令。因有些方式的远程登录(如Telnet),账号和口令没有加密,有可能被截获。

16.不用任何未经网络安全管理员确认的远程访问软件。

17.最好将拨入时间、连接时间和电话号码告知网络安全管理员。

18.不要远程拨入其他未经网络安全管理员确认的机器,尤其是该机器连接在Internet上。

以上所有的策略总结起来主要是两条:第一条是保护你的服务器;第二条是保护你的口令。安全策略的选择完全取决于被保护信息的价值、受攻击可能性和危险性及可以投入的资金,权衡这些因素后,制定出恰如其分的解决方案,不存在一种万能的方法。

制定系统安全策略、安装网络安全系统只是网络系统安全性实施的第一步,只有当各级组织机构均严格执行网络安全的各项规定,才能保证整个系统网络的整体安全性。再好的安全产品,再好的安全策略,若无严格的管理制度,则一切形同虚设。

安全系统需要由人来计划和管理,任何系统安全设施也不能完全由计算机系统独立承担系统安全保障的任务。一方面,各级领导一定要高度重视并积极支持有关系统安全方面的各项措施,同时加强对各级用户的培训,只有当用户对网络安全性有了深入了解后,才能降低网络信息系统的安全风险。

蓝盟在上海成立，致力于为企业客户提供IT外包、IT软硬件采购、弱电工程（网络布线、机房建设、门禁考勤、视频监控、电话交换机、多媒体会议室）、系统集成（网络组建、网络改造、WIFI覆盖、数据备份、病毒防护、文件权限、虚拟化等）、云服务（微软云、阿里云、企业邮箱、Office365等）“一站式”IT外包解决方案。www.lanmon.com,www.lanmon.net ,www.linemore.com,www.linemore.net咨询。咨询热线：021-80581919

• 上一篇: 蓝盟IT外包，元宇宙：四梁八柱是什么
  下一篇: 蓝盟IT外包专家告诉你，网络管理的目标有哪些，它满足了网络运营者怎样的要求？

• 分享到：