網絡信息安全面臨的主要威脅及對策

2013-09-23 10:31:15 揚州信息安全等級保護網　點擊量：評論 (0)

當今世界信息化建設飛速發展,尤其以通信、計算機、網絡為代表的互聯網技術更是日新月異,令人眼花燎亂，目不睱接。由于互聯網絡的發展，計算機網絡在政治、經濟和生活的各個領域正在迅速普及，全社會對網絡的

當今世界信息化建設飛速發展,尤其以通信、計算機、網絡為代表的互聯網技術更是日新月異,令人眼花燎亂，目不睱接。由于互聯網絡的發展，計算機網絡在政治、經濟和生活的各個領域正在迅速普及，全社會對網絡的依賴程度也變越來越高。但伴隨著網絡技術的發展和進步，網絡信息安全問題已變得日益突出和重要。因此，了解網絡面臨的各種威脅，采取有力措施，防范和消除這些隱患，已成為保證網絡信息安全的重點。

一、網絡信息安全面臨的主要威脅

1、黑客的惡意攻擊

“黑客”（Hack）對于大家來說可能并不陌生，他們是一群利用自己的技術專長專門攻擊網站和計算機而不暴露身份的計算機用戶，由于黑客技術逐漸被越來越多的人掌握和發展，目前世界上約有20多萬個黑客網站，這些站點都介紹一些攻擊方法和攻擊軟件的使用以及系統的一些漏洞，因而任何網絡系統、站點都有遭受黑客攻擊的可能。尤其是現在還缺乏針對網絡犯罪卓有成效的反擊和跟蹤手段，使得黑客們善于隱蔽，攻擊“殺傷力”強，這是網絡安全的主要威脅[1]。而就目前網絡技術的發展趨勢來看，黑客攻擊的方式也越來越多的采用了病毒進行破壞，它們采用的攻擊和破壞方式多種多樣，對沒有網絡安全防護設備（防火墻）的網站和系統（或防護級別較低）進行攻擊和破壞，這給網絡的安全防護帶來了嚴峻的挑戰。

2、網絡自身和管理存在欠缺

因特網的共享性和開放性使網上信息安全存在先天不足，因為其賴以生存的TCP/IP協議，缺乏相應的安全機制，而且因特網最初的設計考慮是該網不會因局部故障而影響信息的傳輸，基本沒有考慮安全問題，因此它在安全防范、服務質量、帶寬和方便性等方面存在滯后和不適應性[2]。網絡系統的嚴格管理是企業、組織及政府部門和用戶免受攻擊的重要措施。事實上，很多企業、機構及用戶的網站或系統都疏于這方面的管理，沒有制定嚴格的管理制度。據IT界企業團體ITAA的調查顯示，美國90％的IT企業對黑客攻擊準備不足。目前美國75％－85％的網站都抵擋不住黑客的攻擊，約有75％的企業網上信息失竊。

3、軟件設計的漏洞或“后門”而產生的問題

隨著軟件系統規模的不斷增大，新的軟件產品開發出來，系統中的安全漏洞或“后門”也不可避免的存在，比如我們常用的操作系統，無論是Windows還是UNIX幾乎都存在或多或少的安全漏洞，眾多的各類服務器、瀏覽器、一些桌面軟件等等都被發現過存在安全隱患。大家熟悉的一些病毒都是利用微軟系統的漏洞給用戶造成巨大損失,可以說任何一個軟件系統都可能會因為程序員的一個疏忽、設計中的一個缺陷等原因而存在漏洞，不可能完美無缺。這也是網絡安全的主要威脅之一。例如大名鼎鼎的“熊貓燒香”病毒，就是我國一名黑客針對微軟Windows操作系統安全漏洞設計的計算機病毒，依靠互聯網迅速蔓延開來，數以萬計的計算機不幸先后“中招”，并且它已產生眾多變種，還沒有人準確統計出此次病毒在國內殃及的計算機的數量，它對社會造成的各種損失更是難以估計。目前透露的保守數據已表明，“熊貓燒香”是最近一段時間以來少有的、傳播速度較快、危害性較強的一種病毒，其主要破壞特征有：導致安裝有WindowsXP、Windows2000、WindowsServer2003等操作系統的受感染計算機的.exe文件全部無法正常打開、系統運行速度減慢、常用辦公軟件的部分功能失效等。此外，感染了此病毒的計算機，又會通過互聯網自動掃描，尋找其他感染目標，最終在這名黑客提供病毒源碼的情況下，才終止了此種病毒的繼續傳播。

4、惡意網站設置的陷阱

互聯網世界的各類網站，有些網站惡意編制一些盜取他人信息的軟件，并且可能隱藏在下載的信息中，只要登錄或者下載網絡的信息就會被其控制和感染病毒，計算機中的所有信息都會被自動盜走，該軟件會長期存在你的計算機中，操作者并不知情，如現在非常流行的“木馬”病毒。因此，上互聯網應格外注意，不良網站和不安全網站萬不可登錄，否則后果不堪設想。

5、用戶網絡內部工作人員的不良行為引起的安全問題

網絡內部用戶的誤操作，資源濫用和惡意行為也有可能對網絡的安全造成巨大的威脅。由于各行業，各單位現在都在建局域網，計算機使用頻繁，但是由于單位管理制度不嚴，不能嚴格遵守行業內部關于信息安全的相關規定，都容易引起一系列安全問題。

二、保證網絡信息安全應采取的主要對策

1、采取技術防護手段

1.1、信息加密技術。
信息加密技術網絡信息發展的關鍵問題是其安全性，因此，必須建立一套有效的包括信息加密技術、安全認證技術、安全交易議等內容的信息安全機制作為保證，來實現電子信息數據的機密性、完整性、不可否認性和交易者身份認證技術，防止信息被一些懷有不良用心的人竊取、破壞，甚至出現虛假信息。

美國國防部技術標準把操作系統安個等級分為Dl, Cl, C2, B1, B2, B3, A級，安全等級由低到高。目前主要的操作系統等級為C2級，在使用C2級系統時，應盡量使用C2級的安個措施及功能，對操作系統進行安個配置。在極端重要的系統中，應采用B級操作系統。對軍事涉密信息在網絡中的存儲和傳輸可以使用傳統的信息加密技術和新興的信息隱藏技術來提供安全保證。在傳發保存軍事涉密信息的過程中，要用加密技術隱藏信息內容，還要用信息隱藏技術來隱藏信息的發送者、接收者甚至信息本身。通過隱藏術、數字水印、數據隱藏和數據嵌入、指紋等技術手段可以將秘密資料先隱藏到一般的文件中，然后再通過網絡來傳遞，提高信息保密的可靠性[3]。

1.2、安裝防病毒軟件和防火墻。
在主機上安裝防病毒軟件，能對病毒進行定時或實時的病毒掃描及漏洞檢測，變被動清毒為主動截殺，既能查殺未知病毒，又可對文件、郵件、內存、網頁進行個而實時監控，發現異常情況及時處理。防火墻是硬件和軟件的組合，它在內部網和外部網間建立起安全網關，過濾數據包，決定是否轉發到目的地。它能夠控制網絡進出的信息流向，提供網絡使用狀況和流量的審計、隱藏內部IP地址及網絡結構的細節[4]。它還可以幫助內部系統進行有效的網絡安全隔離，通過安全過濾規則嚴格控制外網用戶非法訪問，并只打開必須的服務，防范外部來的服務攻擊。同時，防火墻可以控制內網用戶訪問外網時間，并通過設置IP地址與MAC地址綁定，防止IP地址欺騙。更重要的是，防火墻不但將大量的惡意攻擊直接阻擋在外而，同時也屏蔽來自網絡內部的不良行為。

1.3、使用路由器和虛擬專用網技術。
路由器采用了密碼算法和解密專用芯片，通過在路由器主板上增加加密模件來實現路由器信息和IP包的加密、身份鑒別和數據完整性驗證、分布式密鑰管理等功能。使用路由器可以實現單位內部網絡與外部網絡的互聯、隔離、流量控制、網絡和信息維護，也可以阻塞廣播信息的傳輸，達到保護網絡安全的目的[5]。

2、構建信息安全保密體系

2.1、信息安全保密的體系框架。

該保密體系是以信息安全保密策略和機制為核心，以信息安全保密服務為支持，以標準規范、安全技術和組織管理體系為具體內容，最終形成能夠滿足信息安全保密需求的工作能力[6]。

2.2、信息安全保密的服務支持體系。信息安全保密的服務支持體系，主要是由技術檢查服務、調查取證服務、風險管理服務、系統測評服務、應急響應服務和咨詢培訓服務組成的。其中，風險管理服務必須貫穿到信息安全保密的整個工程中，要在信息系統和信息網絡規劃與建設的初期，就進行專業的安全風險評估與分析，并在系統或網絡的運營管理過程中，經常性地開展保密風險評估工作，采取有效的措施控制風險，只有這樣才能提高信息安全保密的效益和針對性，增強系統或網絡的安全可觀性、可控性。其次，還要大力加強調查取證服務、應急響應服務和咨詢培訓服務的建設，對突發性的失泄密事件能夠快速反應，同時盡可能提高信息系統、信息網絡管理人員的安全技能，以及他們的法規意識和防范意識，做到“事前有準備，事后有措施，事中有監察”。

加強信息安全保密服務的主要措施包括：借用安全評估服務幫助我們了解自身的安全性。通過安全掃描、滲透測試、問卷調查等方式對信息系統及網絡的資產價值、存在的脆弱性和面臨的威脅進行分析評估，確定失泄密風險的大小，并實施有效的安全風險控制。采用安全加固服務來增強信息系統的自身安全性[7]。具體包括操作系統的安全修補、加固和優化；應用服務的安全修補、加固和優化；網絡設備的安全修補、加固和優化；現有安全制度和策略的改進與完善等。部署專用安全系統及設備提升安全保護等級。運用安全控制服務增強信息系統及網絡的安全可觀性、可控性。通過部署面向終端、服務器和網絡邊界的安全控制系統，以及集中式的安全控制平臺，增強對整個信息系統及網絡的可觀性，以及對使用網絡的人員、網絡中的設備及其所提供服務的可控性。加強安全保密教育培訓來減少和避免失泄密事件的發生。加強信息安全基礎知識及防護技能的培訓，尤其是個人終端安全技術的培訓，提高使用和管理人員的安全保密意識，以及檢查入侵、查處失泄密事件的能力。采用安全通告服務來對竊密威脅提前預警。具體包括對緊急事件的通告，對安全漏洞和最新補丁的通告，對最新防護技術及措施的通告，對國家、軍隊的安全保密政策法規和安全標準的通告等。

2.3、信息安全保密的標準規范體系。
信息安全保密的標準規范體系，主要是由國家和軍隊相關安全技術標準構成的。這些技術標準和規范涉及到物理場所、電磁環境、通信、計算機、網絡、數據等不同的對象，涵蓋信息獲取、存儲、處理、傳輸、利用和銷毀等整個生命周期。既有對信息載體的相關安全保密防護規定，也有對人員的管理和操作要求。因此，它們是設計信息安全保密解決方案，提供各種安全保密服務，檢查與查處失泄密事件的準則和依據。各部門應該根據本單位信息系統、信息網絡的安全保密需求，以及組織結構和使用維護人員的配置情況，制定相應的，操作性和針對性更強的技術和管理標準。

2.4、信息安全保密的技術防范體系。
信息安全保密的技術防范體系，主要是由電磁防護技術、信息終端防護技術、通信安全技術、網絡安全技術和其他安全技術組成的。這些技術措施的目的，是為了從信息系統和信息網絡的不同層面保護信息的機密性、完整性、可用性、可控性和不可否認性，進而保障信息及信息系統的安全，提高信息系統和信息網絡的抗攻擊能力和安全可靠性[8]。安全保密技術是隨著信息技術、網絡技術，以及各種入侵與攻擊技術的發展不斷完善和提高的，一些最新的安全防護技術，如可信計算技術、內網監控技術等，可以極大地彌補傳統安全防護手段存在的不足，這就為我們降低安全保密管理的難度和成本，提高信息系統和信息網絡的安全可控性和可用性，奠定了技術基礎。因此，信息安全保密的技術防范體系，是構建信息安全保密體系的一個重要組成部分，應該在資金到位和技術可行的情況下，盡可能采用最新的、先進的技術防護手段，這樣才能有效抵御不斷出現的安全威脅。

2.5、信息安全保密的管理保障體系。
俗話說，信息安全是“三分靠技術，七分靠管理”。信息安全保密的管理保障體系，主要是從技術管理、制度管理、資產管理和風險管理等方面，加強安全保密管理的力度，使管理成為信息安全保密工作的重中之重。技術管理主要包括對泄密隱患的技術檢查，對安全產品、系統的技術測評，對各種失泄密事件的技術取證；制度管理主要是指各種信息安全保密制度的制定、審查、監督執行與落實；資產管理主要包括涉密人員的管理，重要信息資產的備份恢復管理，涉密場所、計算機和網絡的管理，涉密移動通信設備和存儲設備的管理等；風險管理主要是指保密安全風險的評估與控制[9]。

現有的安全管理，重在保密技術管理，而極大地忽視了保密風險管理，同時在制度管理和資產管理等方面也存在很多問題，要么是管理制度不健全，落實不到位；要么是一些重要的資產監管不利，這就給失竊密和遭受網絡攻擊帶來了人為的隱患。加強安全管理，不但能改進和提高現有安全保密措施的效益，還能充分發揮人員的主動性和積極性，使信息安全保密工作從被動接受變成自覺履行。

2.6、信息安全保密的工作能力體系。
將技術、管理與標準規范結合起來，以安全保密策略和服務為支持，就能合力形成信息安全保密工作的能力體系。該能力體系既是信息安全保密工作效益與效率的體現，也能反映出當前信息安全保密工作是否到位[10]。它以防護、檢測、響應、恢復為核心，對信息安全保密的相關組織和個人進行工作考評，并通過標準化、流程化的方式加以持續改進，使信息安全保密能力隨著信息化建設的進展不斷提高。