我們經(jīng)常說，安全都是相對的。這句話的意思是，不是把所有能用到的安全設(shè)備都“嵌”在網(wǎng)絡(luò)平臺(tái)上，這個(gè)系統(tǒng)就是安全的。使用源于需求，我們在進(jìn)行安全環(huán)境搭建前，首先要確定保護(hù)的目標(biāo)。被保護(hù)的重點(diǎn)不一樣、安全級別不一樣，需要使用的安全措施就會(huì)有差別。我們應(yīng)該做到有的放矢，而不是昂貴的安全設(shè)備堆砌。

本文將從基礎(chǔ)環(huán)境、網(wǎng)絡(luò)邊界、應(yīng)用級別、數(shù)據(jù)級別四方面進(jìn)行的安全產(chǎn)品部署、安全策略說明。

箴言一：基礎(chǔ)環(huán)境要評估

提到設(shè)備部署，必須要對供電環(huán)境也就是基礎(chǔ)環(huán)境進(jìn)行考量，以使內(nèi)部保障設(shè)備每天能夠正常開啟或者24小時(shí)運(yùn)轉(zhuǎn)。除了設(shè)備的物理環(huán)境保障外，還要充分建立起主機(jī)房內(nèi)完善的防盜、防火、溫控、通風(fēng)以及監(jiān)控、報(bào)警設(shè)施，加強(qiáng)機(jī)房安全管理和人員進(jìn)出入制度管理，做到設(shè)置不同的訪問權(quán)限、密碼定期更換、身份識別等要素，這些是最基本的安全措施。

箴言二：網(wǎng)絡(luò)邊界保安全

網(wǎng)絡(luò)設(shè)備本身也有可能受攻擊，要防止這類安全隱患，一方面要選用成熟的網(wǎng)絡(luò)產(chǎn)品；另一方面，要對網(wǎng)絡(luò)設(shè)備進(jìn)行合理地配置，控制網(wǎng)絡(luò)用戶可達(dá)的區(qū)域和端口。從網(wǎng)絡(luò)系統(tǒng)安全方面，這里主要分析邊界安全設(shè)備的部署。常見的設(shè)備包括防火墻和入侵檢測。

1．防火墻

防火墻主要用于過濾不安全的訪問，提高網(wǎng)絡(luò)的安全性。對于外部訪問和內(nèi)部訪問，有著不同的安全級別要求，均需通過防火墻的合理配置，提供內(nèi)部用戶訪問和外部用戶訪問的兩個(gè)通道，通過IP地址過濾、TCP/IP端口過濾等措施，使內(nèi)部用戶可作為信任區(qū)域直接通過防火墻訪問系統(tǒng)內(nèi)部服務(wù)器，而外部用戶則只能在有限的權(quán)限和范圍內(nèi)對開放的服務(wù)器應(yīng)用進(jìn)行訪問。而IP地址過濾、TCP/IP端口過濾也是將攻擊防御在外的有效措施之一。

2．網(wǎng)絡(luò)入侵檢測（ids）

在網(wǎng)絡(luò)中部署入侵檢測系統(tǒng)，通過對流經(jīng)網(wǎng)絡(luò)的數(shù)據(jù)進(jìn)行監(jiān)控和分析，能夠及時(shí)發(fā)現(xiàn)攻擊行為，通過記錄、報(bào)警和阻斷等方式保護(hù)系統(tǒng)的安全。

此外，通過防火墻和IDS聯(lián)動(dòng)，可以進(jìn)行兩種安全策略的優(yōu)勢互補(bǔ)，增強(qiáng)系統(tǒng)的安全防護(hù)。

箴言三：應(yīng)用系統(tǒng)重防御

應(yīng)用安全是指，在應(yīng)用層上保證資源整合項(xiàng)目中各個(gè)應(yīng)用系統(tǒng)的信息安全。應(yīng)用層的信息安全是面向用戶和應(yīng)用程序的，它采用授權(quán)管理、應(yīng)用審計(jì)以及數(shù)據(jù)庫安全作為基本手段，可根據(jù)具體應(yīng)用系統(tǒng)的實(shí)際需求，提供靈活而可靠的分期部署信息安全保障。

從應(yīng)用系統(tǒng)角度來說，計(jì)算機(jī)系統(tǒng)的威脅來源主要來自于外部和內(nèi)部。其中內(nèi)部入侵尤為值得關(guān)注，其一般都是本系統(tǒng)的合法用戶，但并未得到相關(guān)權(quán)限授權(quán)。內(nèi)部入侵者又可以被進(jìn)一步分為：

假冒者 他們偷取其他用戶的標(biāo)識，獲得那些用戶的權(quán)限。

秘密用戶 他們成功躲開審計(jì)機(jī)制，執(zhí)行一些非法操作。

違法行為者 他們是濫用權(quán)利的授權(quán)用戶。

針對上述的安全威脅來源，我們可以選用網(wǎng)頁防篡改系統(tǒng)、Web安全防御、安全審計(jì)設(shè)備、認(rèn)證服務(wù)等產(chǎn)品或應(yīng)用進(jìn)行防御。當(dāng)然，系統(tǒng)內(nèi)部服務(wù)器部署殺毒軟件，也是一個(gè)補(bǔ)救措施。

從另一方面來說，應(yīng)用系統(tǒng)包括多項(xiàng)業(yè)務(wù)，有不同的工作對象和業(yè)務(wù)操作，需要一種集中管理的手段，實(shí)時(shí)采集分布的日志，對整個(gè)業(yè)務(wù)流程進(jìn)行監(jiān)控。同時(shí)，也需要統(tǒng)計(jì)和分析工具進(jìn)行直觀地?cái)?shù)據(jù)匯總。

箴言四：數(shù)據(jù)保護(hù)不忽視

數(shù)據(jù)層的安全除了需要考慮數(shù)據(jù)庫的安全之外，還需考慮其他非結(jié)構(gòu)化數(shù)據(jù)的安全。

數(shù)據(jù)庫安全機(jī)制涉及本系統(tǒng)的各個(gè)安全區(qū)域。除盡量避免由于客觀因素，如掉電、火災(zāi)所造成的物理性破壞外，設(shè)計(jì)一個(gè)好的數(shù)據(jù)庫結(jié)構(gòu)也是一個(gè)關(guān)鍵。好的數(shù)據(jù)庫結(jié)構(gòu)包括對一個(gè)字段的修改不至于影響其他字段以保持邏輯完整性、定期數(shù)據(jù)庫備份以及設(shè)置一個(gè)合理的數(shù)據(jù)庫權(quán)限管理等要素。

其中，需要提醒的是，我們需要在數(shù)據(jù)庫系統(tǒng)設(shè)計(jì)時(shí)就做好安全規(guī)劃，而不要“亡羊補(bǔ)牢”。比如，在設(shè)計(jì)時(shí)，應(yīng)用系統(tǒng)就要采取三層應(yīng)用結(jié)構(gòu)，通過采取應(yīng)用中間件的策略，保證最終用戶不能直接訪問數(shù)據(jù)庫。此外，我們還可以執(zhí)行對遠(yuǎn)程數(shù)據(jù)庫連接進(jìn)行加密、選擇性部署數(shù)據(jù)庫掃描器以及數(shù)據(jù)庫主機(jī)網(wǎng)絡(luò)入侵檢測系統(tǒng)等操作。

從更深層次的安全角度來講，還可以再增加下列安全措施：

數(shù)據(jù)加密存放；

用戶身份鑒別 確保每個(gè)用戶被正確識別，避免非法用戶入侵；

訪問控制 指對用戶可訪問的數(shù)據(jù)進(jìn)行分級管理，授權(quán)訪問。

為了確保系統(tǒng)的穩(wěn)定和在災(zāi)難發(fā)生時(shí)的迅速恢復(fù)，系統(tǒng)需要經(jīng)常進(jìn)行數(shù)據(jù)備份和容災(zāi)，以保證備份數(shù)據(jù)的實(shí)時(shí)有效性，在災(zāi)難恢復(fù)時(shí)可靠有效。當(dāng)然，根據(jù)信息系統(tǒng)的實(shí)際情況，規(guī)劃好備份策略，也是采用備份軟件實(shí)現(xiàn)數(shù)據(jù)保護(hù)效果的關(guān)鍵措施。

上述的分析只是安全環(huán)境部署的某幾個(gè)層面，應(yīng)該說，其中任何一個(gè)層面，都可以成為一個(gè)研究課題，其中涉及的技術(shù)細(xì)節(jié)和實(shí)現(xiàn)方式，也是多種多樣的。在進(jìn)行系統(tǒng)搭建前，進(jìn)行細(xì)致合理的規(guī)劃，使系統(tǒng)能夠高效、穩(wěn)定運(yùn)行，才是我們做安全部署的最終目的。