云曉龍

【摘 要】隨著油田數(shù)字化和信息化建設(shè)的飛速發(fā)展，油田局域網(wǎng)建設(shè)日臻完善，不僅有線網(wǎng)絡(luò)的規(guī)模在不斷擴大，而且無線網(wǎng)絡(luò)在各項會議、項目建設(shè)中的應(yīng)用也越來越廣泛，內(nèi)外網(wǎng)之間的信息交互日益頻繁，給油田各項工作提供了極大的便捷，但隨之而來的安全隱患和潛在攻擊威脅也給油田正常的生產(chǎn)和運行敲響了警鐘。為此，本文深度剖析了油田局域網(wǎng)面臨的常見攻擊和安全管理存在的問題并提出對策。

【關(guān)鍵詞】油田 局域網(wǎng) 安全

【中圖分類號】TE144【文獻標(biāo)識碼】A【文章編號】1672-5158（2013）07-0277-01

1 前言

隨著網(wǎng)絡(luò)技術(shù)的發(fā)展和信息網(wǎng)絡(luò)應(yīng)用的普及，油田局域網(wǎng)建設(shè)業(yè)已成為油田實現(xiàn)科學(xué)管理自動化、信息化、智能化必不可少的關(guān)鍵環(huán)節(jié)。同時由于油田局域網(wǎng)具有應(yīng)用系統(tǒng)多、重要數(shù)據(jù)多的顯著特點，在油田內(nèi)網(wǎng)中包含的經(jīng)濟利益越來越大，商業(yè)機密以及用戶隱私也越來越多，因而面臨的安全威脅也在不斷擴大，為油田的信息安全與安全生產(chǎn)帶來了巨大的挑戰(zhàn)，提升油田局域網(wǎng)安全防護工作的有效性已迫在眉睫。

2 信息安全及油田局域網(wǎng)安全防護的內(nèi)涵

網(wǎng)絡(luò)信息安全是指計算機網(wǎng)絡(luò)的硬件不會遭到破壞、程序不會被篡改并且數(shù)據(jù)不會被泄露，從而確保計算機網(wǎng)絡(luò)得以持續(xù)、穩(wěn)定、可靠地運行，實現(xiàn)有效阻止一切網(wǎng)絡(luò)攻擊的技術(shù)目標(biāo)和建設(shè)優(yōu)良網(wǎng)絡(luò)系統(tǒng)運行維護的管理目標(biāo)?；诖?，油田局域網(wǎng)信息安全防護就是要采取有效的技術(shù)手段和管理手段防止油田各級單位計算機、服務(wù)器等網(wǎng)絡(luò)設(shè)備免遭破壞，防止財務(wù)集成平臺、勘探開發(fā)管理系統(tǒng)、生產(chǎn)運行平臺、ERP等各類網(wǎng)絡(luò)應(yīng)用系統(tǒng)免遭侵入而導(dǎo)致程序被篡改，保護油田局域網(wǎng)內(nèi)數(shù)據(jù)不被盜取。

3 油田局域網(wǎng)潛在的網(wǎng)絡(luò)攻擊隱患

通常威脅網(wǎng)絡(luò)信息安全的網(wǎng)絡(luò)攻擊都是針對于安全漏洞和系統(tǒng)缺陷而對IP地址發(fā)起的攻擊，例如查找系統(tǒng)漏洞和后門、掃描端口等等。目前油田局域網(wǎng)和外網(wǎng)的交互過程中潛在如下三種網(wǎng)絡(luò)攻擊隱患：

3.1利用型攻擊

利用型攻擊是目前較為常見也是較為直接的一種攻擊方式，通常都是網(wǎng)絡(luò)攻擊者試圖直接侵入開放的無監(jiān)控的Internet網(wǎng)絡(luò)，進行破壞系統(tǒng)、竊取數(shù)據(jù)或者盜用特權(quán)的活動，從而影響網(wǎng)絡(luò)正常運行甚至癱瘓。

3.2 假消息攻擊

對那些利用缺乏安全措施的TCP/IP協(xié)議進行數(shù)據(jù)傳輸?shù)木W(wǎng)絡(luò)展開攻擊或者通過偽造假消息的方式對缺乏安全保護措施的網(wǎng)絡(luò)進行攻擊，從而竊取電子郵件中傳輸?shù)闹匾畔?。通常采取如下兩種手段：

（1）DNS高速緩存污染：DNS服務(wù)器與其他名稱服務(wù)器交換信息的時候并不進行身份驗證，這就使得攻擊者可以將不正確的信息摻進來并把用戶引向他自己的主機。

（2）偽造電子郵件：由于SMTP并不對郵件的發(fā)送者的身份進行鑒定，因此攻擊者可以對你的內(nèi)部客戶偽造電子郵件，聲稱是某個客戶認(rèn)識并相信的人，并附帶上可安裝的特洛伊木馬程序，或者是一個引向惡意網(wǎng)站的連接。

3.3 病毒木馬攻擊

通過傳播病毒使缺乏安全措施的Internet網(wǎng)絡(luò)上的用戶感染進而破壞網(wǎng)絡(luò)系統(tǒng)、竊取數(shù)據(jù)和信息，最為常見的有腳本侵入與Active X跨站攻擊。例如，一些惡意網(wǎng)頁利用瀏覽器或操作系統(tǒng)方面的安全缺陷，通過執(zhí)行嵌入在網(wǎng)頁內(nèi)的 Java Applet小應(yīng)用程序、Java ScriPt腳本語言程序、VBSCriPt腳本或Active X控件等自動執(zhí)行的代碼程序，強行修改用戶操作系統(tǒng)的注冊表或運行用戶本地程序，從而達到破壞數(shù)據(jù)，非法控制系統(tǒng)資源、感染木馬程序甚至格式化硬盤等目的。

4 油田局域網(wǎng)安全管理存在的問題

目前油田局域網(wǎng)安全管理還存在如下兩大問題，導(dǎo)致不能對上述各類型網(wǎng)絡(luò)攻擊的安全防護有效性不高。

4.1外來入侵不能快速發(fā)現(xiàn)并監(jiān)控

目前許多油田并未對下屬各級單位配備統(tǒng)一的防火墻和殺毒軟件并為其購買使用許可證或激活碼，從而導(dǎo)致油田局域網(wǎng)各用戶端使用的防火墻五花八門，而且大部分用戶都在使用免費版或者試用版，并未激活正式版本，從而導(dǎo)致防火墻和殺毒軟件的病毒庫和木馬庫得不到及時更新，這在當(dāng)前新病毒、木馬滋生的網(wǎng)絡(luò)環(huán)境下，難以對新出現(xiàn)的網(wǎng)絡(luò)安全風(fēng)險進行有效防火。不僅如此，黑客采用的新型網(wǎng)絡(luò)攻擊手法也很容易將陳舊防火墻存在的漏洞攻破，甚至手段高明的黑客直接就藏匿在防火墻之內(nèi)，難

以被發(fā)現(xiàn)，進而導(dǎo)致油田局域網(wǎng)遭受的外來入侵不能快速發(fā)現(xiàn)并監(jiān)控。

4.2 不能嚴(yán)格的控制網(wǎng)絡(luò)內(nèi)部用戶

盡管油田局域網(wǎng)面臨的互聯(lián)網(wǎng)攻擊方法越來越呈現(xiàn)多樣化的趨勢，但根據(jù)近年來各油田信息中心的統(tǒng)計數(shù)據(jù)顯示，油田局域網(wǎng)直接遭受來自于外網(wǎng)的攻擊的事件仍占少數(shù)，而來自內(nèi)網(wǎng)的網(wǎng)絡(luò)攻擊占比則高達85%。究其根源，這主要是由于目前各油田無論采用的防護軟件還是管理部署等安全防護工作大都以外部防護為重點，不能全面兼顧內(nèi)部防御。加之下屬各級單位用戶安全防護意識較差，內(nèi)網(wǎng)用戶計算機感染病毒或木馬的幾率極高，且一旦感染后便會迅速在內(nèi)網(wǎng)進行傳播并不停地攻擊局域網(wǎng)，從而使油田局域網(wǎng)安全防護難以確定病毒的源頭。

5 提升油田局域網(wǎng)安全防護有效性的途徑

從上述分析可以看出，提升油田局域網(wǎng)安全防護有效性就必須著眼于從技術(shù)層面防護網(wǎng)絡(luò)攻擊和從管理層面健全安全防護工作體系兩方面入手，既要提升安全防水技術(shù)水平，又要解決安全管理中的不足。

5.1 加大安防資金投入，開發(fā)油田統(tǒng)一的安全防護網(wǎng)絡(luò)

油田企業(yè)在資金支持方面具有其他企業(yè)無可比擬的優(yōu)勢，信息化網(wǎng)絡(luò)建設(shè)所需資金對于資金實力雄厚的油田企業(yè)來說僅為滄海一粟，因而油田企業(yè)可以加大安全資金投入，聘請實力雄厚的病毒防護公司和軟件公司為油田開發(fā)一套全面涵蓋防病毒系統(tǒng)、防火墻、入侵檢測、認(rèn)證加密、操作系統(tǒng)安全使用和采用VPN （虛擬專用網(wǎng)）等高安全性策略，且適用于油田的專有安全防護網(wǎng)絡(luò)系統(tǒng)，將其統(tǒng)一配備至油田企業(yè)下屬各單位，并為每一個用戶端設(shè)立獨有的用戶識別號，將進入電腦的 Vlan 有秩序的進行劃分并展開病毒查殺、過濾信息（主要為情色、反動言論）和阻礙垃圾郵件等防護工作，同時通過掃描HTTP、FTP、SMTP、IMAP 的協(xié)議數(shù)據(jù)來實時監(jiān)控出入局域網(wǎng)內(nèi)網(wǎng)的數(shù)據(jù)信息，一旦發(fā)現(xiàn)外來入侵者侵入某用戶端或者某用戶端計算機被感染，防護系統(tǒng)便可以將專有的用戶端識別碼發(fā)送至信息中心，這樣便可以快速鎖定病毒的源頭，采取有效控制措施，防止在油田局域網(wǎng)快速傳播。

5.2 健全安防管理體系，提升油田網(wǎng)絡(luò)全面安全管理水平

首先，油田應(yīng)成立以主管領(lǐng)導(dǎo)、網(wǎng)絡(luò)管理員、安全操作員、安全專家等人員組成的多級網(wǎng)絡(luò)安全管理專有機構(gòu)。這是安全保障工作得以有效落實的前提保障。

其次，要完善各項有關(guān)設(shè)備和系統(tǒng)的使用、運行、管理和維護的網(wǎng)絡(luò)安全制度，例如，對無線、有線連接的電腦及設(shè)備進行備案，明文指定 IP地址，進行 MAC 綁定認(rèn)證，嚴(yán)禁使用人更改分配的固定 IP 地址，嚴(yán)禁私自裝拆網(wǎng)絡(luò)設(shè)備等；同時還要制定企業(yè)安全標(biāo)準(zhǔn)和安全應(yīng)急方案，根據(jù)自身的實際情況選擇實施和維護較為有效地信息安全管理體系，從而建立一套適合企業(yè)本身的風(fēng)險管理流程。

最后，還要通過加強宣傳增加職工的安全和遵紀(jì)守法意識，讓廣大職工自覺地參與到安全保護中來，認(rèn)真執(zhí)行安全策略，減少安全漏洞。

總而言之，隨著網(wǎng)絡(luò)信息技術(shù)的不斷發(fā)展和互聯(lián)網(wǎng)應(yīng)用在油田的不斷普及，網(wǎng)絡(luò)信息安全問題將成為油田數(shù)字化建設(shè)進程中最為關(guān)注的焦點，只有對不斷更新變化的網(wǎng)絡(luò)攻擊和安全管理存在的問題有一個清晰的認(rèn)識，進而采取有效的防范對策，才能真正提升油田網(wǎng)絡(luò)信息安全防護的有效性，避免油田各大應(yīng)用系統(tǒng)被破壞、程序被篡改、信息被竊取，推動油田局域網(wǎng)系統(tǒng)更加安全、穩(wěn)固，為油田的發(fā)展和建設(shè)做出更大貢獻！

參考文獻

[1] 張宇.企業(yè)網(wǎng)防火墻的設(shè)計與實現(xiàn)[J].中小企業(yè)管理與科技.2007年第11期

[2] 吳忠坤.家庭網(wǎng)絡(luò)安全防范技術(shù)與管理手段探討[J].科技信息. 2009年第5期