龙矿集团信息管理系统网络安全防护策略探讨

赵剑波

（山东省烟台市龙矿集团洼里煤矿科教中心）

1.引言

    龙矿集团内部信息管理系统是基于TCP/IP协议并采用了Internet的通信标准和Web信息流通模式，它具有开放性，因而使用极其方便。但开放性却带来了系统入侵、病毒入侵等安全性问题。一旦安全问题得不到很好地解决，就可能出现内部秘密泄漏、设备损坏、数据丢失、系统瘫痪等严重后果，给正常的龙矿经营活动造成极大的负面影响。因此龙矿集团需要一个更安全的信息管理系统网络。

    信息管理系统的安全包括网络设备、配套设备的安全、数据的安全、通讯的安全、运行环境的安全，还包括局域网内部每台计算机的安全、计算机功能的正常发挥等部分。

    要想从根本上使整个龙矿集团信息管理系统安全问题得到解决主要应从预警、防护、灾难恢复等三方面入手，下面就安全预警、数据安全防护、入侵防范、病毒防治以及数据恢复等方面分别探讨。

2.信息管理系统网络常见的安全问题

2.1黑客入侵

   目前龙矿集团信息管理系统在局域网内通信。在龙矿集团内网，任何两个节点之间的通信数据包，不仅可以为这两个节点的网卡所接收，也同时能够为处在同一局域网上的任何一个节点的网卡所截取。另外，为了工作方便，局域网内的计算机都可以直接访问国际互联网，因此，国际互联网中的黑客只要侵入到局域网内的任何一台计算机中就可以对整个内网进行侦听，就可以捕获发生在局域网上的所有数据包，对其进行解包分析，从而窃取关键信息;而局域网中的黑客则可以非常方便的截取任何数据包，造成信息的失窃。

2.2病毒感染

    随着计算机和互联网的进步和普及，计算机病毒也不断出现，总数已经超过20000种，并以每月300种的速度增加，其破环性也不断增加，而网络病毒破坏性就更强。一但某台信息管理系统服务器的硬盘被病毒感染，就可能造成系统损坏、数据丢失，使网络服务器无法起动，应用程序和数据无法正确使用，甚至导致整个信息管理系统瘫痪，造成不可估量的损失。

    网络病毒普遍具有较强的再生机制，可以通过国际互联网和局域网扩散与传染。一但某台信息管理系统染了毒，那么病毒将很快在整个局域网网络上传播，感染其它的计算机。由网络病毒造成网络瘫痪的损失是难以估计的。一但信息管理系统服务器被感染，其破坏力将是单机的几十倍以上。

2.3数据破坏

    在信息管理系统网络中，有多种因素可能导致数据的破坏。

    首先是黑客侵入，黑客基于各种原因侵入网络，其中恶意侵入对网络的危害可能是多方面的。其中一种危害就是破坏数据，可能破坏服务器硬盘引导区数据、删除或覆盖原始数据库、破坏应用程序数据等。

    其次是病毒破坏，病毒可能攻击系统数据区，包括硬盘主引导扇区、Boot扇区、FAT表、文件目录等;病毒还可能攻击文件数据区，使文件数据被删除、改名、替换、丢失部分程序代码、丢失数据文件;病毒还可能攻击CMOS，破坏系统CMOS中的数据。

    第三是灾难破坏，由于自然灾害、突然停电、强烈震动、误操作等造成数据破坏。重要数据遭到破坏和丢失，会造成集团公司人力、物力、财力的巨大损失。

3.网络安全策略

3.1网络安全预警

    信息管理系统网络安全预誓系统分为入侵预警和病毒预警两部分。

   入侵预警系统中，入侵检测可以分析确定网络中传输的数据包是否经过授权。一但检测到入侵信息，将发出警告，从而减少对网络的威胁。它把包括网络扫描、互联网扫描、系统扫描、实时监控和第三方的防火墙产生的重要安全数据综合起来，提供内部和外部的分析并在实际网络中发现风险源和直接响应。它提供集团公司信息管理系统网络的安全风险管理报告，报告集中于重要的风险管理范围，如实时风险、攻击条件、安全漏洞和攻击分析;提供详细的人侵告警报告，显示入侵告警信息(如入侵IP地址及目的IP地址、目的端口、攻击特征)，并跟踪分析人侵趋势，以确定网络的安全状态;信息可以发往相关数据库，作为有关网络安全的决策依据。

   病毒预警系统通过对所有进出网络的数据包实施不间断的持续扫描，保持全天24小时监控所有进出网络的文件，发现病毒时可立即产生报警信息，通知管理员，并可以通过IP地址定位、端口定位追踪病毒来源，并产生功能强大的扫描日志与报告，记录规定时间内追踪网络所有病毒的活动。

3.2数据安全保护

3.2.1针对入侵的安全保护

对于数据库来说，其物理完整性、逻辑完整性、数据元素完整性都是十分重要的。数据库中的数据有纯粹信息数据和功能文件数据两大类，入侵保护应主要考虑以下几条原则:

    物理设备和安全防护，包括服务器、有线、无线通信线路的安全防护;

    办公自动化服务器安全保护，不同类型、不同重要程度的数据应尽可能在不同的服务器上实现，重要数据采用分布式管理，服务器应有合理的访问控制和身份认证措施保护，并记录访问日志。系统中的重要数据在数据库中应有加密和验证措施。

    用户对数据的存取应有明确的授权策略，保证用户只能打开自己权限范围之内的文件;

    通过审计和留痕技术避免非法者从系统外取得系统数据或是合法用户为逃避系统预警报告的监督而从系统中取得数据;

    客户端安全保护，客户端的安全主要是要求能配合服务器的安全措施，提供身份认证、加密、解密、数字签名和信息完整性验证功能，并通过软件强制实现各客户机口令的定期更换，以防止口令泄漏可能带来的损失。

3.2.2针对病毒破坏及灾难破坏的安全保护

    对于病毒和灾难破坏的数据保护来说，最为有效的保护方式有两大类:物理保护和数据备份。

    要防止病毒和灾难破坏数据，首先要在集团公司网络核心设备上设置物理保护措施，包括设置电源冗余模块和交换端口的冗余备份;其次是采用磁盘镜像或磁盘阵列存储数据，避免由于磁盘物理故障造成数据丢失;另外，还要使用其他物理媒体对重要的数据进行备份，包括实时数据备份和定期数据备份，以便数据丢失后及时有效地恢复。

3.3入侵防范

    要有效地防范非法入侵，应做到内外网隔离、访问控制、内部网络隔离和分段管理。

3.3.1内外网隔离

    在内部信息管理系统网络和外网之间，设置物理隔离，以实现内外网的隔离是保护信息管理系统网络安全的最主要、同时也是最有效、最经济的措施之一。

    第一层隔离防护措施是路由器。路由器滤掉被屏蔽的IP地址和服务。可以首先屏蔽所有的IP地址，然后有选择的放行一些地址进入信息管理系统网络。

    第二层隔离防护措施是防火墙。大多数防火墙都有认证机制，无论何种类型防火墙，从总体上看，都应具有以下五大基本功能:过滤进、出网络的数据;管理进、出网络的访问行为;封堵某些禁止的业务;记录通过防火墙的信息内容和活动;对网络攻击的检测和告警。

3.3.2访问控制

    集团公司公自动化网络应采用访问控制的安全措施，将整个网络结构分为三部分，内部网络、隔离区以及外网。每个部分设置不同的访问控制方式。其中:内部网络是不对外开放的区域，它不对外提供任何服务，所以外部用户检测不到它的IP地址，也难以对它进行攻击。隔离区对外提供服务，系统开放的信息都放在该区，由于它的开放性，就使它成为黑客们攻击的对象，但由于它与内部网是隔离开的，所以即使受到了攻击也不会危及内部网，这样双重保护了内部网络的资源不受侵害，也方便管理员监视和诊断网络故障。

3.3.3内部网络的隔离及分段管理

    内部网络分段是保证安全的一项重要措施，同时也是一项基本措施，其指导思想在于将非法用户与网络资源相互隔离，从而达到限制用户非法访问的目的。

    信息管理系统网络可以根据部门或业务需要分段.网络分段可采用物理分段或逻辑分段两种方式:物理分段通常是指将网络从物理层和数据链路层上分为若干网段，各网段相互之间无法进行直接通讯;逻辑分段则是指将整个系统在网络层上进行分段。并能实现子网隔离。在实际应用过程中，通常采取物理分段与逻辑分段相结合的方法来实现隔离。

    采取相应的安全措施后，子网间可相互访问。对于TCP/IP网络，可把网络分成若干IP子网，各子网间必须通过路由器、路由交换机、网关或防火墙等设备进行连接，利用这些中间设备(含软件、硬件)的安全机制来控制各子网间的访问。在这里，防火墙被用来隔离内部网络的一个网段与另一个网段，可以限制局部网络安全问题对全局网络造成的影响。

3.4病毒防治

    相对于单机病毒的防护来说，网络病毒的防治具有更大的难度，网络病毒防治应与网络管理紧密结合。网络防病毒最大的特点在于网络的管理功能，如果没有管理功能，很难完成网络防毒的任务。只有管理与防范相结合，才能保证系统正常运行。

    计算机病毒的预防在于完善操作系统和应用软件的安全机制。在网络环境下，病毒传播扩散快，仅用单机防杀病毒产品已经难以清除网络病毒，必须有适用于局域网、广域网的全方位防杀病毒产品。为实现计算机病毒的防治，可在信息管理系统网络系统上安装网络病毒防治服务器，并在内部网络服务器上安装网络病毒防治软件，在单机上安装单机环境的反病毒软件。安装网络病毒防治服务器的目标是以实时作业方式扫描所有进出网络的文件。本地网络与其它网络间的数据交换、本地网络工作站与服务器间的数据交换、本地网络各工作站之间的数据交换都要经过网络病毒防治服务器的检测与过滤，这样就保证了网络病毒的实时查杀与防治。

3.5数据恢复

    信息管理系统数据遭到破坏之后，其数据恢复程度依赖于数据备份方案。

    数据备份的目的在于尽可能快地全盘恢复运行计算机系统所需的数据和系统信息。根据系统安全需求可选择的备份机制有:实时高速度、大容量自动的数据存储、备份与恢复;定期的数据存储、备份与恢复;对系统设备的备份。备份不仅在网络系统硬件故障或人为失误时起到保护作用，也在入侵者非授权访问或对网络攻击及破坏数据完整性时起到保护作用，同时亦是系统灾难恢复的前提之一。

4.结束语

随着龙矿集团各部门之间、单位和单位之间、信息交流的日益频繁，信息管理系统网络的安全问题已经提到重要的议事日程上来，一个技术上可行、设计上合理、投资上平衡的安全策略已经成为成功的信息管理系统网络的重要组成部分。

    作者简介：赵剑波（1980年8月-）,男，2000年毕业于山东省泰安市对外经济贸易学校。现就职于龙矿集团洼里煤矿科教中心。0535-8659660

  参考文献

  [1]龙矿集团综合信息化平台

  [2]龙矿集团 《争创一流现代化矿井――信息化建设篇》2005.7.1

  [3]关 义 章 《信息系统安全工程学》四川大学信息安全研究所。2002-12-10

  [4]钱  蓉 《黑客行为与网络安全》2002. 1. 25