企业信息安全建设

摘要：随着企业信息化进程的不断深入推进，为我们的日常工作带来了效率的提升；但由于信息安全薄弱或缺乏有效的安全防护等原因，也带来了一些信息泄露、黑客攻击、非法入侵等问题。因此，如何保障企业网络运行环境的安全，为信息化建设提供一个稳定、可靠的支撑环境已成为XX企业迫切需要解决的问题。本文结合本人的项目实践，阐述了XX企业网络安全建设过程中，我作为本项目的技术骨干，通过综合运用网络监控、边界隔离、网络攻防和病毒防护等技术对潜在的风险进行有针对性的防护，以确保网络安全。通过完善和运用规章制度来强化人员的安全责任意识，降低人为失误导致的网络中断等方面的问题。通过这些方式，构建一个稳定、可靠、安全、高效的网络支撑环境，使之更好的服务与XX企业的各项生产活动。正文：信息技术的发展和应用，深刻的改变了人们的生产、生活、工作和学习方式，我们在充分享受他带给我们便利的同时，也使得我们对其产生了强烈的依赖性。因此，作为信息技术支撑环境的网络系统的安全性和可靠性保障的问题，已成为信息技术从业者所关注的话题。本人所在XX企业，饱受安全问题困扰，经常出现网络中断现象以及数据泄露等严重安全问题，基于以上原因，结合国家相关正常的要求和XX企业实际情况，本人所在XX单位与2018年开展了网络安全项目改造工作，本人作为企业信息中心负责人，参与并负责了该项工作。网络安全的实现，需要依赖技术层面的实现，同时也离不开对人的约束；本文将从技术实现和管理两个方面对其进行论述。（1）安全技术策略相关技术的支撑是实现网络安全的必备条件。网络安全是一个系统工程，单一的技术并不能完全确保网络的安全，只有将多种技术加以综合运用，相互弥补各自的不足，才能最大限度地保障网络运行的安全。技术层面的网络安全构建涉及网络设备运行状态监控、边界隔离、攻击防护、病毒防护等几个方面的内容。网络安全建设离不开对网络设施的实时监控和管理。通过完善的监控体系和设备的冗余措施是保障网络稳定可靠运行的基础。在XX企业的完全技术改造中通过引入智能网管平台，对设备状态进行实时监控，及时发现并处理问题，缩短因设备故障带来的网络服务中断时间。同时，结合网络设备虚拟化等新技术------如 H3C的IRF，来实现冗余和负载分担，避免了由于设备或链路故障导致的服务中断，又提高了网络利用率。明晰网络边界有利于具体防护策略的制定和实施。基于XX企业的网络结构，借助防火墙，将整个网络划分为基础支撑服务区、应用服务区、办公区和生活区三个部分，并制定相应的安全防护策略，达到有针对性的安全防护的目的。对支撑服务区的设备，主要由为应用服务区提供数据库服务的数据库集群构成，该区有着最严格的访问控制策略，在默认情况下禁止与其他区域之间的所有通讯，当应用系统需要使用该区提供服务时，通过由IP、MAC、用户名及其口令构成的三元组，同时结合数据库自身的用户认证体系对用户的身份进行验证，并借助数据库防火墙来限制用户进行SQL操作的种类，对数据库的高风险操作进行阻断，以提升数据库的安全性。通过对应用服务区的设备，根据提供服务的范围，将需要内外网同时访问的应用放置在DMZ区，并结合端口映射、地址转换、访问控制、端口隔离等措施实现对该区域的严密防护。同时，为了防止端口暴露带来的安全隐患，结合IP安全策略，对一些高危和不常用的端口进行关闭，避免由此产生的安全隐患。由于技术的发展，网络攻击的方式也呈现出多样化的趋势，为了实现对网络安全的预警和风险化解，引入漏洞扫描系统、入侵检测系统，并通过防火墙与IDS之间的联动部署来提升防火墙的机动性和实时反应能力。对办公区和生活区，根据用户的用途，并结合所在的地理位置和流量类型，通过划分VLAN的方式对用户进行隔离，避免因广播风暴带来的网络拥塞，同时也提高了网络的安全性。其中，对于办公区的用户采用了流量控制，以优先满足日常办公的需求。有效的防御体系可保障网络的可靠运行。由于由于当前多数应用都是基于B/S架构，因此针对网站的攻击成为防范的重点，如：分布式拒绝服务攻击DDOS、跨站脚本攻击XSS、一句话木马、SQL注入等。此类攻击主要利用程序设计的漏洞，对于这类攻击最好的防御措施就是提高程序设计的严谨性、修复存在的Bug等方式，因此，我们一方面面对程序存在的漏洞进行修复，另一方面，借助Web应用防火墙，通过指定一系列的规则来对HTTP请求进行深度的检测，阻断存在高危安全隐患的请求，从而尽可能的保证应用系统的安全。同时，借助网页防篡改系统对网页能容进行监测，一旦发现异常，自动恢复，从而达到保护网站安全的目的。网络病毒防护系统，也是保证网络安全必不可少的组成部分。在网络中强有力的主动防御机制，如：防火墙、安全策略、漏洞修复等，可以减少病毒入侵的几率，只有结合有效的被动防病毒体系，才能将病毒隔离在网络安全大门之外。在项目实施工程中，购置并部署企业版ESET防病毒系统供用户下载和安装，通过实时的病毒库更新来保证终端设备的安全。（2）安全管理策略网络安全目标的实现，仅靠技术是不够的，先进的技术还需完善的管理制度的配合，为了避免由于人为操作失误导致网络安全事件的发生，通过制定和完善一系列的规章制度和操作流程来杜绝人为因素给网络安全带来的隐患。通过完善机房管理制度、设备管理制度、及其弱电间及线路管理等制度来保证物理设施的安全；通过制定运维安全制度来保证系统持续、稳定、安全运行；通过实施操作权限的管理制度保证责任到人，避免非授权用户对系统的非法篡改，保证网络的安全运行。除此之外，还定期开展安全教育培训，使大家树立安全意识和责任意识，确保各项规章制度的顺利执行。总结：本文主要叙述了在企业网络安全建设方面的具体工作，分别从技术和管理两个层面来保证网络安全的主要内容。在技术层面，借助设备状态监测系统和网络虚拟化技术的结合，实现了设备状态的实时呈现，提高了对故障的反应速度，达到快速恢复故障的目的；同时借助虚拟化技术实现了设备和链路的冗余，进一步避免了由于设备故障而导致网络中断事件的发生，提高了网络的可靠性；通过访问控制、流量控制、入侵检测、应用防护、网络防病毒等技术实现网络的分区隔离、攻击的拦截和病毒的防护，进一步提高了网络的安全性。在管理层面，通过对相关规章制度的完善，强化人员的安全责任意识，避免人为因素导致的网络安全事件的发生。通过以上方式，构建了一个相对安全的企业信息化网络支撑环境，使之更好的服务于企业各项生产活动。系统运行一年多来，网络中断及网络安全事件发生率显著下降，达到了项目预期的目标。但由于项目经费有限，关键设备缺乏冗余的问题尚未解决，该问题将在后期的进行完善。