網(wǎng)絡安全管理

前言：本站為你精心整理了網(wǎng)絡安全管理范文，希望能為你的創(chuàng)作提供參考價值，我們的客服老師可以幫助你提供個性化的參考范文，歡迎咨詢。

一緒論安全管理的發(fā)展趨勢和現(xiàn)狀

1、網(wǎng)絡安全現(xiàn)狀

計算機網(wǎng)絡的廣泛應用是當今信息社會的一場革命。電子商務和電子政務等網(wǎng)絡應用的發(fā)展和普及不僅給我們的生活帶來了很大的便利，而且正在創(chuàng)造著巨大的財富，以Internet為代表的全球性信息化浪潮日益深刻，信息網(wǎng)絡技術(shù)的應用正日益普及和廣泛，應用層次不斷深入，應用領域更是從傳統(tǒng)的、小型業(yè)務系統(tǒng)逐漸向大型、關(guān)鍵業(yè)務系統(tǒng)擴展。

與此同時，計算機網(wǎng)絡也正面臨著日益劇增的安全威脅。廣為網(wǎng)絡用戶所知的黑客行為和攻擊活動正以每年10倍的速度增長，網(wǎng)頁被修改、非法進入主機、發(fā)送假冒電子郵件、進入銀行系統(tǒng)盜取和轉(zhuǎn)移資金、竊取信息等網(wǎng)絡攻擊事件此起彼伏。計算機病毒、特洛伊木馬、拒絕服務攻擊、電子商務入侵和盜竊等，都造成了各種危害，包括機密數(shù)據(jù)被篡改和竊取、網(wǎng)站頁面被修改或丑化、網(wǎng)絡癱瘓等。網(wǎng)絡與信息安全問題日益突出，已經(jīng)成為影響國家安全、社會穩(wěn)定和人民生活的大事，發(fā)展與現(xiàn)有網(wǎng)絡技術(shù)相對應的網(wǎng)絡安全技術(shù)，保障網(wǎng)絡安全、有序和有效的運行，是保證互聯(lián)網(wǎng)高效、有序應用的關(guān)鍵之一。

2、現(xiàn)有網(wǎng)絡安全技術(shù)

計算機網(wǎng)絡是基于網(wǎng)絡可識別的網(wǎng)絡協(xié)議基礎之上的各種網(wǎng)絡應用的完整組合，協(xié)議本身和應用都有可能存在問題，網(wǎng)絡安全問題包括網(wǎng)絡所使用的協(xié)議的設計問題，也包括協(xié)議和應用的軟件實現(xiàn)問題，當然還包括了人為的因素以及系統(tǒng)管理失誤等網(wǎng)絡安全問題，下表示意說明了這些方面的網(wǎng)絡安全問題。

問題類型問題點問題描述

協(xié)議設計安全問題被忽視制定協(xié)議之時，通常首先強調(diào)功能性，而安全性問題則是到最后一刻、甚或不列入考慮范圍。

其它基礎協(xié)議問題架構(gòu)在其他不穏固基礎協(xié)議之上的協(xié)議，即使本身再完善也會有很多問題。

流程問題設計協(xié)議時，對各種可能出現(xiàn)的流程問題考慮不夠周全，導致發(fā)生狀況時，系統(tǒng)處理方式不當。

設計錯誤協(xié)議設計錯誤，導致系統(tǒng)服務容易失效或招受攻擊。

軟件設計設計錯誤協(xié)議規(guī)劃正確，但協(xié)議設計時發(fā)生錯誤，或設計人員對協(xié)議的認知錯誤，導致各種安全漏洞。

程序錯誤程序撰寫習慣不良導致很多安全漏洞，包含常見的未檢查資料長度內(nèi)容、輸入資料容錯能力不足、未檢測可能發(fā)生的錯誤、應用環(huán)境的假設錯誤、引用不當模塊、未檢測資源不足等。

人員操作操作失誤操作規(guī)范嚴格且完善，但是操作人員未受過良好訓練、或未按手冊操作，導致各種安全漏洞和安全隱患。

系統(tǒng)維護默認值不安全軟件或操作系統(tǒng)的預設設置不科學，導致缺省設置下系統(tǒng)處于不安全的狀況下。容易遭受病毒、蠕蟲、特洛依木馬等的攻擊。

未修補系統(tǒng)軟件和操作系統(tǒng)的各種補丁程序沒有及時修復。

內(nèi)部安全問題對由信任系統(tǒng)和網(wǎng)絡發(fā)起的各種攻擊防范不夠。信任領域存在的不安全系統(tǒng)，成為不信任領域內(nèi)系統(tǒng)攻擊信任領域的各種跳板。

針對上表所示的各種網(wǎng)絡安全問題，全世界的網(wǎng)絡安全廠商都試圖發(fā)展了各種安全技術(shù)來防范這些問題，這些技術(shù)包括訪問控制技術(shù)、識別和鑒別技術(shù)、密碼技術(shù)、完整性控制技術(shù)、審計和恢復技術(shù)、防火墻系統(tǒng)、計算機病毒防護、操作系統(tǒng)安全、數(shù)據(jù)庫系統(tǒng)安全和抗抵賴協(xié)議等，相繼陸續(xù)推出了包括防火墻、入侵檢測（IDS）、防病毒軟件、CA系統(tǒng)、加密算法等在內(nèi)的各類網(wǎng)絡安全軟件，這些技術(shù)和安全系統(tǒng)（軟件）對網(wǎng)絡系統(tǒng)提供了一定的安全防范，一定程度上解決了網(wǎng)絡安全問題某一方面的問題。

3、現(xiàn)有網(wǎng)絡安全技術(shù)的缺陷

現(xiàn)有的各種網(wǎng)絡安全技術(shù)都是針對網(wǎng)絡安全問題的某一個或幾個方面來設計的，它只能相應地在一定程度上解決這一個或幾個方面的網(wǎng)絡安全問題，無法防范和解決其他的問題，更不可能提供對整個網(wǎng)絡的系統(tǒng)、有效的保護。如身份認證和訪問控制技術(shù)只能解決確認網(wǎng)絡用戶身份的問題，但卻無法防止確認的用戶之間傳遞的信息是否安全的問題，而計算機病毒防范技術(shù)只能防范計算機病毒對網(wǎng)絡和系統(tǒng)的危害，但卻無法識別和確認網(wǎng)絡上用戶的身份等等。

現(xiàn)有的各種網(wǎng)絡安全技術(shù)中，防火墻技術(shù)可以在一定程度上解決一些網(wǎng)絡安全問題。防火墻產(chǎn)品主要包括包過濾防火墻，狀態(tài)檢測包過濾防火墻和應用層防火墻，但是防火墻產(chǎn)品存在著局限性。其最大的局限性就是防火墻自身不能保證其準許放行的數(shù)據(jù)是否安全。同時，防火墻還存在著一些弱點：一、不能防御來自內(nèi)部的攻擊：來自內(nèi)部的攻擊者是從網(wǎng)絡內(nèi)部發(fā)起攻擊的，他們的攻擊行為不通過防火墻，而防火墻只是隔離內(nèi)部網(wǎng)與因特網(wǎng)上的主機，監(jiān)控內(nèi)部網(wǎng)和因特網(wǎng)之間的通信，而對內(nèi)部網(wǎng)上的情況不作檢查，因而對內(nèi)部的攻擊無能為力；二、不能防御繞過防火墻的攻擊行為：從根本上講，防火墻是一種被動的防御手段，只能守株待兔式地對通過它的數(shù)據(jù)報進行檢查，如果該數(shù)據(jù)由于某種原因沒有通過防火墻，則防火墻就不會采取任何的措施；三、不能防御完全新的威脅：防火墻只能防御已知的威脅，但是人們發(fā)現(xiàn)可信賴的服務中存在新的侵襲方法，可信賴的服務就變成不可信賴的了；四、防火墻不能防御數(shù)據(jù)驅(qū)動的攻擊：雖然防火墻掃描分析所有通過的信息，但是這種掃描分析多半是針對IP地址和端口號或者協(xié)議內(nèi)容的，而非數(shù)據(jù)細節(jié)。這樣一來，基于數(shù)據(jù)驅(qū)動的攻擊，比如病毒，可以附在諸如電子郵件之類的東西上面進入你的系統(tǒng)中并發(fā)動攻擊。

入侵檢測技術(shù)也存在著局限性。其最大的局限性就是漏報和誤報嚴重，它不能稱之為一個可以信賴的安全工具，而只是一個參考工具。

在沒有更為有效的安全防范產(chǎn)品之前，更多的用戶都選擇并依賴于防火墻這樣的產(chǎn)品來保障自己的網(wǎng)絡安全，然而相對應的是，新的OS漏洞和網(wǎng)絡層攻擊層出不窮，攻破防火墻、攻擊計算機網(wǎng)絡的事件也越來越多，因此，開發(fā)一個更為完善的網(wǎng)絡安全防范系統(tǒng)來有效保護網(wǎng)絡系統(tǒng)，已經(jīng)成為各網(wǎng)絡安全廠商和用戶的共同需求和目標。

4發(fā)展趨勢：

中國的網(wǎng)絡安全技術(shù)在近幾年得到快速的發(fā)展，這一方面得益于從中央到地方政府的廣泛重視，另一方面因為網(wǎng)絡安全問題日益突出，網(wǎng)絡安全企業(yè)不斷跟進最新安全技術(shù)，不斷推出滿足用戶需求、具有時代特色的安全產(chǎn)品，進一步促進了網(wǎng)絡安全技術(shù)的發(fā)展。

從技術(shù)層面來看，目前網(wǎng)絡安全產(chǎn)品在發(fā)展過程中面臨的主要問題是：以往人們主要關(guān)心系統(tǒng)與網(wǎng)絡基礎層面的防護問題，而現(xiàn)在人們更加關(guān)注應用層面的安全防護問題，安全防護已經(jīng)從底層或簡單數(shù)據(jù)層面上升到了應用層面，這種應用防護問題已經(jīng)深入到業(yè)務行為的相關(guān)性和信息內(nèi)容的語義范疇，越來越多的安全技術(shù)已經(jīng)與應用相結(jié)合。

4.1、現(xiàn)階段網(wǎng)絡安全技術(shù)的局限性

談及網(wǎng)絡安全技術(shù)，就必須提到網(wǎng)絡安全技術(shù)的三大主流—防火墻技術(shù)、入侵檢測技術(shù)以及防病毒技術(shù)。

任何一個用戶，在剛剛開始面對安全問題的時候，考慮的往往就是這“老三樣”。可以說，這三種網(wǎng)絡安全技術(shù)為整個網(wǎng)絡安全建設起到了功不可沒的作用，但是傳統(tǒng)的安全“老三樣”或者說是以其為主的安全產(chǎn)品正面臨著許多新的問題。

首先，從用戶角度來看，雖然系統(tǒng)中安裝了防火墻，但是仍避免不了蠕蟲泛濫、垃圾郵件、病毒傳播以及拒絕服務的侵擾。

其次，未經(jīng)大規(guī)模部署的入侵檢測單個產(chǎn)品在提前預警方面存在著先天的不足，且在精確定位和全局管理方面還有很大的空間。

再次，雖然很多用戶在單機、終端上都安裝了防病毒產(chǎn)品，但是內(nèi)網(wǎng)的安全并不僅僅是防病毒的問題，還包括安全策略的執(zhí)行、外來非法侵入、補丁管理以及合規(guī)管理等方面。

所以說，雖然“老三樣”已經(jīng)立下了赫赫戰(zhàn)功，且仍然發(fā)揮著重要作用，但是用戶已漸漸感覺到其不足之處。其次，從網(wǎng)絡安全的整體技術(shù)框架來看，網(wǎng)絡安全技術(shù)同樣面臨著很大的問題，“老三樣”基本上還是針對數(shù)據(jù)、單個系統(tǒng)、軟硬件以及程序本身安全的保障。應用層面的安全，需要將側(cè)重點集中在信息語義范疇的“內(nèi)容”和網(wǎng)絡虛擬世界的“行為”上。

4.2、技術(shù)發(fā)展趨勢分析

.防火墻技術(shù)發(fā)展趨勢

在混合攻擊肆虐的時代，單一功能的防火墻遠不能滿足業(yè)務的需要，而具備多種安全功能，基于應用協(xié)議層防御、低誤報率檢測、高可靠高性能平臺和統(tǒng)一組件化管理的技術(shù)，優(yōu)勢將得到越來越多的體現(xiàn)，UTM（UnifiedThreatManagement，統(tǒng)一威脅管理）技術(shù)應運而生。

從概念的定義上看，UTM既提出了具體產(chǎn)品的形態(tài)，又涵蓋了更加深遠的邏輯范疇。從定義的前半部分來看，很多廠商提出的多功能安全網(wǎng)關(guān)、綜合安全網(wǎng)關(guān)、一體化安全設備都符合UTM的概念；而從后半部分來看，UTM的概念還體現(xiàn)了經(jīng)過多年發(fā)展之后，信息安全行業(yè)對安全管理的深刻理解以及對安全產(chǎn)品可用性、聯(lián)動能力的深入研究。

UTM的功能見圖1.由于UTM設備是串聯(lián)接入的安全設備，因此UTM設備本身必須具備良好的性能和高可靠性，同時，UTM在統(tǒng)一的產(chǎn)品管理平臺下，集防火墻、VPN、網(wǎng)關(guān)防病毒、IPS、拒絕服務攻擊等眾多產(chǎn)品功能于一體，實現(xiàn)了多種防御功能，因此，向UTM方向演進將是防火墻的發(fā)展趨勢。UTM設備應具備以下特點。

（1）網(wǎng)絡安全協(xié)議層防御。防火墻作為簡單的第二到第四層的防護，主要針對像IP、端口等靜態(tài)的信息進行防護和控制，但是真正的安全不能只停留在底層，我們需要構(gòu)建一個更高、更強、更可靠的墻，除了傳統(tǒng)的訪問控制之外，還需要對垃圾郵件、拒絕服務、黑客攻擊等外部威脅起到綜合檢測和治理的作用，實現(xiàn)七層協(xié)議的保護，而不僅限于第二到第四層。

（2）通過分類檢測技術(shù)降低誤報率。串聯(lián)接入的網(wǎng)關(guān)設備一旦誤報過高，將會對用戶帶來災難性的后果。IPS理念在20世紀90年代就已經(jīng)被提出，但是目前全世界對IPS的部署非常有限，影響其部署的一個重要問題就是誤報率。分類檢測技術(shù)可以大幅度降低誤報率，針對不同的攻擊，采取不同的檢測技術(shù)，比如防拒絕服務攻擊、防蠕蟲和黑客攻擊、防垃圾郵件攻擊、防違規(guī)短信攻擊等，從而顯著降低誤報率。

（3）有高可靠性、高性能的硬件平臺支撐。

（4）一體化的統(tǒng)一管理。由于UTM設備集多種功能于一身，因此，它必須具有能夠統(tǒng)一控制和管理的平臺，使用戶能夠有效地管理。這樣，設備平臺可以實現(xiàn)標準化并具有可擴展性，用戶可在統(tǒng)一的平臺上進行組件管理，同時，一體化管理也能消除信息產(chǎn)品之間由于無法溝通而帶來的信息孤島，從而在應對各種各樣攻擊威脅的時候，能夠更好地保障用戶的網(wǎng)絡安全。

二網(wǎng)絡安全面臨的主要問題

1.網(wǎng)絡建設單位、管理人員和技術(shù)人員缺乏安全防范意識，從而就不可能采取主動的安全措施加以防范，完全處于被動挨打的位置。

2.組織和部門的有關(guān)人員對網(wǎng)絡的安全現(xiàn)狀不明確，不知道或不清楚網(wǎng)絡存在的安全隱患，從而失去了防御攻擊的先機。

3.組織和部門的計算機網(wǎng)絡安全防范沒有形成完整的、組織化的體系結(jié)構(gòu)，其缺陷給攻擊者以可乘之機。

4.組織和部門的計算機網(wǎng)絡沒有建立完善的管理體系，從而導致安全體系和安全控制措施不能充分有效地發(fā)揮效能。業(yè)務活動中存在安全疏漏，造成不必要的信息泄露，給攻擊者以收集敏感信息的機會。

5.網(wǎng)絡安全管理人員和技術(shù)有員缺乏必要的專業(yè)安全知識，不能安全地配置和管理網(wǎng)絡，不能及時發(fā)現(xiàn)已經(jīng)存在的和隨時可能出現(xiàn)的安全問題，對突發(fā)的安全事件不能作出積極、有序和有效的反應。

三網(wǎng)絡安全的解決辦法

實現(xiàn)網(wǎng)絡安全的過程是復雜的。這個復雜的過程需要嚴格有效的管理才能保證整個過程的有效性，才能保證安全控制措施有效地發(fā)揮其效能，從而確保實現(xiàn)預期的安全目標。因此，建立組織的安全管理體系是網(wǎng)絡安全的核心。我們要從系統(tǒng)工程的角度構(gòu)建網(wǎng)絡的安全體系結(jié)構(gòu)，把組織和部門的所有安全措施和過程通過管理的手段融合為一個有機的整體。安全體系結(jié)構(gòu)由許多靜態(tài)的安全控制措施和動態(tài)的安全分析過程組成。

1.安全需求分析"知已知彼，百戰(zhàn)不殆"。只有明了自己的安全需求才能有針對性地構(gòu)建適合于自己的安全體系結(jié)構(gòu)，從而有效地保證網(wǎng)絡系統(tǒng)的安全。

2.安全風險管理安全風險管理是對安全需求分析結(jié)果中存在的安全威脅和業(yè)務安全需求進行風險評估，以組織和部門可以接受的投資，實現(xiàn)最大限度的安全。風險評估為制定組織和部門的安全策略和構(gòu)架安全體系結(jié)構(gòu)提供直接的依據(jù)。

3.制定安全策略根據(jù)組織和部門的安全需求和風險評估的結(jié)論，制定組織和部門的計算機網(wǎng)絡安全策略。

4.定期安全審核安全審核的首要任務是審核組織的安全策略是否被有效地和正確地執(zhí)行。其次，由于網(wǎng)絡安全是一個動態(tài)的過程，組織和部門的計算機網(wǎng)絡的配置可能經(jīng)常變化，因此組織和部門對安全的需求也會發(fā)生變化，組織的安全策略需要進行相應地調(diào)整。為了在發(fā)生變化時，安全策略和控制措施能夠及時反映這種變化，必須進行定期安全審核。

5.外部支持計算機網(wǎng)絡安全同必要的外部支持是分不開的。通過專業(yè)的安全服務機構(gòu)的支持，將使網(wǎng)絡安全體系更加完善，并可以得到更新的安全資訊，為計算機網(wǎng)絡安全提供安全預警。

6.計算機網(wǎng)絡安全管理安全管理是計算機網(wǎng)絡安全的重要環(huán)節(jié)，也是計算機網(wǎng)絡安全體系結(jié)構(gòu)的基礎性組成部分。通過恰當?shù)墓芾砘顒樱?guī)范組織的各項業(yè)務活動，使網(wǎng)絡有序地進行，是獲取安全的重要條件。

四總結(jié)

計算機網(wǎng)絡的安全問題越來越受到人們的重視，網(wǎng)絡安全不僅僅是技術(shù)問題，同時也是一個安全管理問題。我們必須綜合考慮安全因素，制定合理的目標、技術(shù)方案和相關(guān)的配套法規(guī)等。世界上不存在絕對安全的網(wǎng)絡系統(tǒng)，隨著計算機網(wǎng)絡技術(shù)的進一步發(fā)展，網(wǎng)絡安全防護技術(shù)也必然隨著網(wǎng)絡應用的發(fā)展而不斷發(fā)展。