|
自网络发明以来，企业和政府机构 (无论大小) 每年都在增加网络化计算机的使用。过去单位内部或单位之间仅通过网络交换电子邮件，而现在，知识产权、产品信息、发票、采购单、人力资源数据、信用卡号及其它众多信息都通过这些网络传递。 随着 Internet 的扩展和单位内 Internet 技术使用的不断增加，越来越多的计算资源被连接到能够从单位内外访问的网络。通过过去五年的发展，互联网已经成为许多单位发展战略中不可或缺的一部分。网络环境的发展早已将触角伸出到单位的"围墙"之外——包括连接合作伙伴的外部网、应用门户、Web服务、远程办公室/现场和远程终端连接、即时讯息、B2B、B2C以及所有其他的能够满足业务需要的活动。信息资源作为市场经济得重要资产，成为信息经济时代的主要特点。
随着互联网信息技术的发展和应用，网络安全变得至关重要。这种安全性通常指两个方面：一方面要防止外部侵袭，另一方面要允许想访问互联网的人员访问。
一、信息资产的特点
信息成为资产要素，成为单位信息化推进的根本动力。同时，信息的高无形价值、低复制成本、低传播成本和强时效性等因素决定了安全是信息资产的关键属性。安全属性是信息资产区别于其它资产的重要特点。没有安全保障的信息资产，谈不上资产价值。
二、信息化中的安全威胁
信息孤岛带来信息系统功效不能充分发挥，而信息安全问题会使信息系统彻底瘫痪！
(1)信息安全意识的不足
传统的互联网行业发展重基本建设，轻信息安全。网络结构不太合理，缺乏网络安全观念，不能满足信息安全的要求。在信息安全方面缺少系统的网络安全体系，缺少有关信息安全的管理手段和防范措施、故障恢复方法和策略以及网络实时安全监视手段。
(2)网络之间缺乏安全隔离
SCADA/EMS、DMIS、MIS等不同安全等级的网络不恰当地连接在一起，造成信息的非授权访问、机密信息泄露、病毒和黑客攻击横行，甚至导致网络瘫痪，影响正常办公。
(3)对网络内部的安全威胁缺乏防护、监控和审计机制
三、广州游戏资讯网整体安全解决方案
1、系统特点
*完善的信息安全保障体系：覆盖物理安全、网络安全、系统安全、信息安全、安全管理、安全服务各个层面，涉及通信的物理层到应用层，为安全整体规划提供坚实的依据；
*完整的产品线，无缝高效集成，组成动态安全保障体系；
*层层防御，自适应调整；
*面向信息安全的全生命周期，动态保证信息系统的安全。
2、功能介绍
保障信息系统的完整性、保密性、可用性、可控性。
防范、检测、阻止和记录对信息系统本身的脆弱性的不规范利用(黑客、病毒、误操作等)，弥补甚至是消除这些脆弱性。这些脆弱性包括：
1)TCP/IP协议族软件，本身缺乏安全性。
2)操作系统本身的安全漏洞。目前流行的许多操作系统均存在网络安全漏洞，如LINUX服务器，Server服务器及Windows桌面PC，使系统面临安全风险。
3)应用服务的安全，许多应用服务系统在访问控制及安全通讯方面考虑较少，存在很多的安全隐患；同时，如果系统设置不够恰当严谨，则会造成更多的安全漏洞。
4)垃圾邮件日益泛滥，造成资源浪费，工作效率下降。
加强安全管理，综合运用物理控制、技术控制和管理手段来达成信息资产的安全。它针对的主要安全缺陷包括：
5)缺乏有效的手段监视、评估网络系统的安全性。
6)缺乏有效的手段监视、评估和控制网络资源(尤其是出口带宽)的有效利用情况。
7)对于信息系统相关的场地、设施、设备、存储介质等的物理保护措施不够完善。
8)对于自然灾害(洪水、地震等)、突发性人造灾难(火灾、恐怖袭击等)的预防能力薄弱。
9)没有统一的身份认证机制、统一的授权管理。
10)没有严格和完整的安全管理制度。
11)信息系统的使用者在安全观念上的滞后，在安全基础知识上的缺乏。
3、信息安全体系
我们把互联网信息安全系统分为以下六个子系统进行分析和设计：
*物理安全子系统：解决信息系统的设备、线路在物理上的安全。措施包括机房环境、电源保障、防火防盗防雷、机房屏蔽、设备干扰防窃听、链路加密等。
*网络安全子系统：解决网络平台的安全问题。安全措施包括硬件防火墙、因特网访问控制管理IAM、防病毒网关、基于网络的实时入侵检测系统NIDS等。
*主机安全子系统：解决系统平台的安全问题。安全措施包括对主机操作系统的安全配置、安全漏洞扫描和评估、网络防病毒体系、网站监控与恢复系统、存储管理等。
*应用安全子系统：解决应用平台的安全问题。信息的安全常常归结为应用的安全，目前在互联网行业的应用主要有服务器/客户机(C/S)结构和浏览器/WWW服务器/数据库(B/W/D)结构的应用，很多应用系统在开发的时候并没有太多考虑安全实现的细节，各个应用系统的安全防范措施也不能保证一致，这就给应用系统的安全带来隐患。应用层安全措施包括加强应用系统自身的安全控制、采用第三方应用安全服务平台等。
*安全管理：加强管理员、用户的安全意识，从行政管理方面加强信息网的安全，包括安全管理的原则和相关制度等。
*安全服务：主要从安全评估、安全策略、规则的制定，安全系统维护、安全培训和应急安全服务方面进行考虑。
完整的安全服务体系包括以下内容：
*安全顾问：为网站用户提供全方位的安全咨询服务，电话、Email、www等多种咨询方式
*安全评估：分析和其安全需求和现有网络中的薄弱安全环节
*安全系统集成：构建整体的安全体系、包括网络与系统安全、防病毒、身份认证等
*安全系统维护：系统集成之后，动态维护信息系统安全的各种工作。包括安全通告、安全加固、安全值守和安全响应。安全通告：全面及时的安全信息；安全加固：安全增强与加固的实施；应急响应：使系统恢复正常工作、协助检查入侵来源、事故分析报告
*安全培训：针对各种技术的不同层次的培训
完整的安全体系必须兼顾技术和管理、服务，而且必须把重点放在安全管理和安全服务上，所谓“三分技术，七分管理和服务”。但是，考虑到安全管理和服务必须根据不同单位管理方面的特点、信息人员的数量和技术水平、信息系统的复杂程度等因地制宜，在这里就不再详细论述。
下面，针对我站的网络和应用特点，我们分析了各个安全子系统的具体安全需求、提出了一个总体的信息安全技术体系。
4、网络主网站信息安全设计
采用逻辑隔离网关、物理隔离网关、基于网络的入侵检测NIDS、因特网访问控制IAM、基于主机的入侵检测HIDS、桌面集中防病毒、服务器防病毒、存储管理、安全中心AAs(认证授权和审计)、系统管理中心和安全管理中心等技术。
5、网络子网站安全解决方案
在这一部分，我们以安全产品（还原卡、单机版病毒查杀工具、软件防火墙）为主、综合各家之长，形成一个完整的信息安全技术解决方案。
注：本方案是根据自身的具体情况，选择了相关产品和技术，以消除现阶段最主要的安全隐患。我们也可以针对本身网站不断发展的实际情况，在调研之后作出更有针对性的安全解决方案。
广州游戏资讯网 | 
发表于 2008-8-4 11:39:04
收藏
楼主
发表于 2010-1-30 07:13:33
|