制作網(wǎng)安全管理策略研究

導(dǎo)語(yǔ)：制作網(wǎng)安全管理策略研究一文來源于網(wǎng)友上傳，不代表本站觀點(diǎn)，若需要原創(chuàng)文章可咨詢客服老師，歡迎參考。

一、制作網(wǎng)面臨的安全問題

制作網(wǎng)因?yàn)樗奶厥庑裕厝灰屯饨缱鲂畔⒔粨Q，如廣告商帶來的圖片數(shù)據(jù)資料、企業(yè)帶來的影像素材、來自移動(dòng)存儲(chǔ)介質(zhì)的字幕文件、來自數(shù)字?jǐn)z像機(jī)的素材導(dǎo)入（如松下P2卡攝像機(jī)的數(shù)據(jù)導(dǎo)入）、來自筆記本電腦的對(duì)白文字或配音文件、來自其他網(wǎng)絡(luò)的數(shù)據(jù)文件（來自光纜的異地節(jié)目上傳）等。這些信息的導(dǎo)入也會(huì)帶來各種風(fēng)險(xiǎn)。如何解決制作網(wǎng)與外界信息安全交換的問題，對(duì)制作網(wǎng)的安全運(yùn)行至關(guān)重要。在制作網(wǎng)環(huán)境中一個(gè)最重要的實(shí)體就是終端計(jì)算機(jī)。終端是網(wǎng)絡(luò)劃分中的最終節(jié)點(diǎn)，也是與使用者最接近的設(shè)備，所有基于網(wǎng)絡(luò)化的日常辦公、學(xué)習(xí)及娛樂等都直接與終端有關(guān)系。尤其是在信息化程度普及的今天，大量的辦公事物都需要通過計(jì)算機(jī)來完成，這種使用方式往往是使用者通過終端計(jì)算機(jī)登錄需要的業(yè)務(wù)系統(tǒng)，以獲得使用權(quán)限并完成相應(yīng)的工作。在這種情況下，終端的安全往往成為了制作網(wǎng)整體環(huán)境安全的重要節(jié)點(diǎn)，這從以下幾點(diǎn)可以更充分的說明：

（1）終端計(jì)算機(jī)是內(nèi)部網(wǎng)絡(luò)與外部游離設(shè)備的交互點(diǎn)，安全問題可以由此引入。事實(shí)上，由于計(jì)算機(jī)接口的標(biāo)準(zhǔn)化，很多電子設(shè)備都趨向于與計(jì)算機(jī)進(jìn)行信息交互，如優(yōu)盤、手機(jī)、數(shù)碼相機(jī)等，這些設(shè)備與終端形成離散的接入點(diǎn)，可以向終端寫入數(shù)據(jù)或從終端獲取數(shù)據(jù)；而終端使用者必須通過它訪問內(nèi)部網(wǎng)路的授權(quán)業(yè)務(wù)系統(tǒng)來完成日常工作。這樣，當(dāng)外部游離設(shè)備引入病毒或攻擊程序，在使用者訪問業(yè)務(wù)系統(tǒng)時(shí)，將會(huì)導(dǎo)致制作網(wǎng)環(huán)境受到攻擊。

（2）終端中運(yùn)行的其他軟件可能影響制作網(wǎng)的正常使用。由于終端計(jì)算機(jī)為每一個(gè)不同的使用者使用，使用者可以在終端安裝各種軟件。這些軟件的使用可能造成制作網(wǎng)通信帶寬的大量占用及其它安全問題。

（3）終端使用者行為難以約束。終端使用者對(duì)終端的使用情況是難以控制的，使用者有可能在工作時(shí)間上網(wǎng)聊天、打游戲、下載電影；也可能下載各種黑客工具進(jìn)行研究，把內(nèi)部網(wǎng)絡(luò)作為試驗(yàn)田；還可能瀏覽黃色網(wǎng)站，傳播不良信息。這些行為都可能導(dǎo)致內(nèi)部網(wǎng)絡(luò)不正常。

（4）終端管理難以進(jìn)行。政府或企業(yè)的IT管理人員往往承擔(dān)著維護(hù)內(nèi)部網(wǎng)絡(luò)終端的任務(wù)，這些維護(hù)工作包括解決出現(xiàn)的問題、安裝日常軟件、配置系統(tǒng)等多方面。在現(xiàn)有條件下，管理員很難實(shí)現(xiàn)快速的軟件統(tǒng)一部署、在線解決遠(yuǎn)程計(jì)算機(jī)的問題、統(tǒng)一終端安全策略的制定等，這些問題都需要其它技術(shù)手段輔助完成。

二、制作網(wǎng)的安全管理策略

通過以上分析，筆者認(rèn)為制作網(wǎng)的安全建設(shè)目標(biāo)是：建立完善的監(jiān)控機(jī)制，實(shí)現(xiàn)對(duì)終端主機(jī)的實(shí)時(shí)監(jiān)視；提供對(duì)終端主機(jī)的全面遠(yuǎn)程安全管理，包括資產(chǎn)管理、事件管理、行為管理等一系列功能。要從一個(gè)更高的角度全面掌握網(wǎng)絡(luò)終端主機(jī)的運(yùn)行態(tài)勢(shì)，為網(wǎng)絡(luò)環(huán)境的正常運(yùn)轉(zhuǎn)、業(yè)務(wù)系統(tǒng)的正常運(yùn)行提供可靠的保障。下面從終端主機(jī)安全管理、安全審計(jì)和邊界控制三個(gè)方面介紹制作網(wǎng)的安全管理策略。

1終端主機(jī)安全管理

（1）身份認(rèn)證身份認(rèn)證可以確保每個(gè)使用者的合法性，同時(shí)也為區(qū)分不同人的上網(wǎng)行為記錄提供依據(jù)。對(duì)于責(zé)任劃分、使用權(quán)限等都很有意義。身份認(rèn)證一般有兩種方式：USBKey認(rèn)證方式和口令認(rèn)證方式。

（2）行為管理對(duì)于終端計(jì)算機(jī)管理的情況，應(yīng)該能夠控制用戶對(duì)終端主機(jī)的各類操作行為，這些行為包括文件操作行為、軟件使用行為、上網(wǎng)行為、郵件發(fā)送行為、外設(shè)使用行為等。系統(tǒng)對(duì)用戶行為的監(jiān)控主要包含兩方面：一是針對(duì)用戶的所有行為控制操作將生成詳細(xì)的日志記錄，以備管理員查詢；二是管理員可以通過策略設(shè)置用戶各種行為的使用范圍，例如只允許訪問哪些文件，基于黑白名單的軟件使用許可，只允許訪問哪些網(wǎng)站，是否允許使用哪種外設(shè)等。

（3）應(yīng)用程序控制通過技術(shù)手段，實(shí)現(xiàn)基于黑名單及白名單的方式控制終端用戶允許運(yùn)行的應(yīng)用程序。在黑名單方式下，所有名單中的應(yīng)用程序?qū)⒉辉试S運(yùn)行，其它程序可以運(yùn)行，白名單則相反。應(yīng)用程序控制方式不是基于應(yīng)用程序的程序名實(shí)現(xiàn)的，而是基于特定應(yīng)用程序的簽名實(shí)現(xiàn)的，能夠有效防止惡意使用者通過將未授權(quán)程序的名稱改為授權(quán)程序名稱而達(dá)到運(yùn)行不合法程序的目的。

（4）Windows策略管理對(duì)安裝Windows系統(tǒng)的終端計(jì)算機(jī)來說，由于操作系統(tǒng)自身的原因和使用計(jì)算機(jī)用戶的原因，都普遍存在較多的安全問題，如攻擊者可以通過TCP或UDP等端口對(duì)Windows系統(tǒng)進(jìn)行攻擊。針對(duì)這些問題，Windows自身提供了一套策略管理機(jī)制，Windows操作系統(tǒng)中具有可配置的策略模塊，其中有相當(dāng)一部分策略可以加固系統(tǒng)的安全性。為了增強(qiáng)Windows系統(tǒng)的安全性，應(yīng)該規(guī)范用戶外設(shè)使用策略，規(guī)范用戶上網(wǎng)行為策略、規(guī)范用戶軟件使用策略、系統(tǒng)補(bǔ)丁下發(fā)策略等。

（5）主機(jī)監(jiān)視對(duì)終端主機(jī)運(yùn)行狀態(tài)進(jìn)行監(jiān)視審計(jì)。包括CPU使用率、內(nèi)存使用率、磁盤使用率、應(yīng)用系統(tǒng)性能等，當(dāng)監(jiān)視的資源的指標(biāo)和狀態(tài)違背預(yù)設(shè)規(guī)則時(shí)，將產(chǎn)生事件上報(bào)服務(wù)器，并可通過多種方式向管理員報(bào)警。對(duì)于某些監(jiān)視事件，要提供處理功能，例如進(jìn)程狀態(tài)監(jiān)視中如果進(jìn)程由運(yùn)行狀態(tài)變?yōu)橥Ｖ範(fàn)顟B(tài)，事件處理器可以根據(jù)規(guī)則自動(dòng)將進(jìn)程重新啟動(dòng)。

2主機(jī)安全審計(jì)

對(duì)終端主機(jī)的各種系統(tǒng)行為及操作行為進(jìn)行記錄，對(duì)日志審計(jì)查詢分析，實(shí)時(shí)發(fā)現(xiàn)主機(jī)出現(xiàn)的安全事件，保證主機(jī)處于安全運(yùn)行狀態(tài)。包括：

（1）文件操作審計(jì)。對(duì)文件操作行為，包括新建、復(fù)制、移動(dòng)、重命名、覆蓋、刪除等進(jìn)行審計(jì)記錄。記錄信息包括主機(jī)名、時(shí)間、源文件、目標(biāo)文件、操作行為等。

（2）共享文件審計(jì)。審計(jì)主機(jī)是否開啟文件共享功能。記錄信息包括主機(jī)名、共享名稱、共享路徑、時(shí)間等。

（3）程序運(yùn)行審計(jì)。審計(jì)主機(jī)運(yùn)行的所有應(yīng)用程序。記錄信息包括程序名、主機(jī)名、時(shí)間等。

（4）上網(wǎng)行為審計(jì)。記錄終端主機(jī)使用者的網(wǎng)絡(luò)訪問行為。可審計(jì)的分類包括網(wǎng)站訪問信息及郵件收發(fā)信息。記錄信息包括訪問的URL、郵件收發(fā)信箱等。

（5）文件打印審計(jì)。記錄主機(jī)通過本地或網(wǎng)絡(luò)打印機(jī)輸出的信息。記錄內(nèi)容包括主機(jī)名、時(shí)間、打印內(nèi)容等。

（6）用戶登錄審計(jì)。審計(jì)用戶等級(jí)計(jì)算機(jī)的信息。記錄內(nèi)容包括主機(jī)名、時(shí)間、登錄用戶等。

（7）賬戶變更審計(jì)。審計(jì)登錄賬戶變更情況。記錄內(nèi)容包括主機(jī)名、時(shí)間、源賬戶、現(xiàn)用賬戶等。

3主機(jī)邊界控制

3.1違規(guī)外聯(lián)控制由于終端計(jì)算機(jī)存在各種外設(shè)，如果安全策略設(shè)置不合理，或者使用者主動(dòng)破壞安全策略企圖進(jìn)行違規(guī)外聯(lián)，這時(shí)客戶端將有可能通過無線網(wǎng)卡、USB網(wǎng)卡或其他方式連接到互聯(lián)網(wǎng)絡(luò)，從而產(chǎn)生信息泄露及被攻擊的風(fēng)險(xiǎn)。要通過技術(shù)手段保證計(jì)算機(jī)在任何情況下不能違規(guī)連入互聯(lián)網(wǎng)，一旦檢測(cè)違規(guī)外聯(lián)，應(yīng)該能自動(dòng)阻斷違規(guī)外聯(lián)的行為。

3.2非法接入控制接入控制主要解決非法接入網(wǎng)絡(luò)計(jì)算機(jī)的檢測(cè)、警告、阻斷。對(duì)于非法接入網(wǎng)絡(luò)的主機(jī)，可采用多種方式進(jìn)行檢測(cè)及阻斷，這些方式根據(jù)用戶的使用環(huán)境及對(duì)安全性要求的不同而不同。包括：

（1）基于ARP的掃描及欺騙技術(shù)，使用ARP掃描技術(shù)迅速檢測(cè)非法主機(jī)的接入，然后通過安全事件警告管理員，并可以通過策略管理和ARP欺騙自動(dòng)阻斷非法主機(jī)訪問其它主機(jī)及外部網(wǎng)絡(luò)。

（2）基于交換機(jī)MAC綁定技術(shù)，與交換機(jī)聯(lián)動(dòng)，通過IP、MAC綁定技術(shù)防止非法主機(jī)的接入。對(duì)于合法的終端主機(jī)也要根據(jù)策略的配置定期進(jìn)行完整性檢查，檢查內(nèi)容將涉及到主機(jī)是否安裝防病毒軟件、是否運(yùn)行防病毒程序、病毒庫(kù)是否更新、補(bǔ)丁是否完整、主機(jī)是否存在木馬等，檢查條件可以配置，并且可以擴(kuò)展。一旦完整性檢查不符合要求，該主機(jī)將被自動(dòng)阻斷任何連接，并劃入威脅主機(jī)范圍內(nèi)，必須等完整性檢查通過后才能重新接入網(wǎng)絡(luò)。

3.3移動(dòng)存儲(chǔ)設(shè)備使用管理內(nèi)部網(wǎng)絡(luò)終端主機(jī)的惡意攻擊及病毒程序很大一部分是通過頻繁使用移動(dòng)存儲(chǔ)設(shè)備帶來的。一些帶有惡意代碼的數(shù)據(jù)文件從移動(dòng)設(shè)備流入主機(jī)后，將會(huì)駐留在主機(jī)上，對(duì)內(nèi)部網(wǎng)絡(luò)帶來安全威脅。為了解決使用移動(dòng)設(shè)備帶來的安全隱患,所有移動(dòng)設(shè)備都要求通過安全隔離設(shè)備才能與內(nèi)網(wǎng)進(jìn)行數(shù)據(jù)交換。

3.4外設(shè)控制隨著各種接口技術(shù)的發(fā)展，計(jì)算機(jī)的外設(shè)接口不斷豐富，使用者可以通過各種方式與外部介質(zhì)進(jìn)行數(shù)據(jù)交換，比較典型的外設(shè)接口包括光驅(qū)、軟驅(qū)、USB接口、網(wǎng)卡、藍(lán)牙、紅外、ADSL接口、PCMCIA等，這些接口有的可以直接連接數(shù)碼設(shè)備（如手機(jī)）進(jìn)行數(shù)據(jù)交換，有的可以與其他計(jì)算機(jī)建立通信連接（如網(wǎng)卡），有的可以將信息輸出到外部設(shè)備（如USB打印機(jī)）等。無論哪種方式，都形成了信息的流入流出通道。出于安全管理的需要，往往要求對(duì)計(jì)算機(jī)的各種外設(shè)接口進(jìn)行控制，保證只有授權(quán)的幾種接口才可以進(jìn)行數(shù)據(jù)交換，并受到嚴(yán)格審計(jì)。

3.5終端防火墻終端計(jì)算機(jī)可能由于收到惡意攻擊或其它原因而感染病毒，造成頻繁與外部連接，消耗網(wǎng)絡(luò)資源。也有可能受到其它主機(jī)的非法訪問。終端防火墻功能可以基于網(wǎng)絡(luò)層及傳輸層對(duì)網(wǎng)絡(luò)信息進(jìn)行過濾。在網(wǎng)絡(luò)層，可以控制連接的IP地址，也可以控制IP、ICMP及IGMP協(xié)議是否通過；在傳輸層可以控制網(wǎng)絡(luò)數(shù)據(jù)的源端口、目的端口及TCP、UDP協(xié)議。在網(wǎng)絡(luò)控制中，可以過濾數(shù)據(jù)的流向，可以控制策略的執(zhí)行時(shí)間，也可以將網(wǎng)絡(luò)控制策略按照不同的工作組或安全域進(jìn)行部署實(shí)施。

3.6集中管理與外界的數(shù)據(jù)交換數(shù)據(jù)信息的交換是業(yè)務(wù)工作的一部分，不能因?yàn)榕聨砭W(wǎng)絡(luò)安全上的風(fēng)險(xiǎn)就不進(jìn)行。基于安全的考慮，同時(shí)要兼顧交換的需要，所以對(duì)于整個(gè)制作網(wǎng)而言，要把與外界的數(shù)據(jù)交換統(tǒng)一管理起來，不能隨意在任意內(nèi)網(wǎng)終端上交換數(shù)據(jù)，所有數(shù)據(jù)交換的入口和出口都必須經(jīng)過安全隔離網(wǎng)關(guān)統(tǒng)一隔離過濾，在把有用信息導(dǎo)入到內(nèi)網(wǎng)的同時(shí)也能把危險(xiǎn)阻擋在了網(wǎng)絡(luò)邊界之外。

三、小結(jié)

制作網(wǎng)的安全管理，是需要制度管理和技術(shù)管理相結(jié)合的。隨著三網(wǎng)融合大趨勢(shì)的發(fā)展，制作網(wǎng)會(huì)面臨越來越多的安全及管理問題，如何做到“數(shù)據(jù)不丟失、服務(wù)不中斷、安全地交換”是我們努力的方向。隨著新技術(shù)的不斷出現(xiàn)，制度管理和技術(shù)管理也需要不斷地補(bǔ)充和修正，安全思路也逐漸在向“主動(dòng)防御、立體防護(hù)”的思想上邁進(jìn)。網(wǎng)絡(luò)的優(yōu)勢(shì)就在于數(shù)據(jù)交換，相信通過廣電同仁們的不懈努力，未來的廣電網(wǎng)絡(luò)一定會(huì)越來越安全。

作者：王曉成單位：蘭州市廣播電視總臺(tái)