劉澍

摘要：本文主要分析了企事業(yè)單位局域網面臨的各類風險點，從而引起各企事業(yè)單位領導和IT管理部門的高度重視，建立一套較為完善的安全保障體系。

關鍵字：局域網；風險防控；攻擊

【分類號】TP393.1

0 前言

企事業(yè)單位局域網是連接單位內部所有計算機系統(tǒng)的綜合型網絡，承載著各單位辦公系統(tǒng)、財務系統(tǒng)、人事系統(tǒng)、物資系統(tǒng)等多類系統(tǒng)。要想有效地降低局域網網絡安全風險，提高網絡防護能力，必須了解內部局域網所面臨的各類安全風險。

1 安全風險類型

局域網網絡安全風險主要有物理層安全風險，網絡層安全風險，系統(tǒng)層安全風險，應用層安全風險，管理層安全風險。

1.1 物理層安全風險分析

物理層面的安全風險指針對物理環(huán)境、設備及介質的安全風險。主要表現(xiàn)在以下方面。

1.1.1 物理設備的脆弱性

網絡信息系統(tǒng)存在的載體為計算機、服務器、交換機、線路等物理設備，這些物理設備本身也存在一定的安全風險。比如：設備的損壞、介質老化造成的數(shù)據丟失和數(shù)據交換可靠性的降低等。

1.1.2 環(huán)境因素的脆弱性分析

環(huán)境因素的脆弱性對系統(tǒng)造成的安全威脅也比較大，比如機房的防火和防盜措施還不夠完善、介質和介質數(shù)據因機房出入控制不嚴或管理不善丟失或被盜竊、毀壞。介質管理不嚴或廢棄介質處理不當，導致信息的隨意復制或泄漏等。

1.2 網絡層安防風險分析

網絡層是網絡入侵者進攻信息系統(tǒng)的渠道和通路，許多安全問題都集中體現(xiàn)在網絡的安全方面。由于無線局網絡系統(tǒng)所采用的基礎協(xié)議TCP/IP自身存在一些安全隱患。網絡入侵者一般利用協(xié)議上的隱患，采用預攻擊探測、竊聽等搜集信息，然后利用 IP欺騙、重放或重演、拒絕服務攻擊（SYN FLOOD，PING FLOOD等）、分布式拒絕服務攻擊、篡改、堆棧溢出等手段進行攻擊。

1.2.1 網絡訪問控制

大部分局域網僅僅依賴現(xiàn)有的交換設備的配置策略已經不能夠滿足需求，交換設備很難做到細粒度的訪問策略，這就勢必給網絡的訪問造成混亂，無法對相應的服務和訪問進行有效的控制，這就給網絡內部重要服務器和重要部門的安全管理帶來了不可忽視的安全隱患。

1.2.2 內部用戶的違規(guī)行為

雖然局域網對不同級別的網絡之間配置了防火墻，但防火墻只能防外不防內，初步抵御網絡外部安全威脅；同時通常的防火墻只能對用戶連接情況進行控制，并不能監(jiān)控用戶的其它動作行為；其控制規(guī)則的設定是靜態(tài)的，不具智能化特點；可疑人員可能繞過防火墻、或騙過防火墻進入網絡內部，或內部人員直接對服務器系統(tǒng)（操作系統(tǒng)、數(shù)據庫系統(tǒng)和各種應用系統(tǒng)）通過網絡實施各種攻擊，防火墻都無能為力。更重要的是，防火墻實現(xiàn)的是邊界控制，對內部的用戶沒有任何約束力，因此，應該采取有效的技術措施，彌補防火墻的不足。

1.2.3互連設備的安全隱患

在局域網網絡中一般都部署了大量的各廠商的交換設備。他們都支持SNMP協(xié)議，這些設備都維護著一個有著設備運行狀態(tài)，接口等信息的MIBS庫，運行著SNMP的主機或設備可以稱為SNMP AGENT。令人擔憂的是大多支持snmp的互連設備都是處于運行模式，至少有一個RO的默認值為PUBLIC，會泄漏很多信息。擁有RW默認值的設備在互聯(lián)網上也很多，加之SNMP V2版本本身的安全驗證能力很低，所以極易受到攻擊，從而導致互連設備的癱瘓和流量不正常，如果沒有冗余設備，那樣整個內部網絡就會癱瘓。

1.3 系統(tǒng)層安全風險分析

所有的操作系統(tǒng)在不同程度上都存在一些安全漏洞。一些廣泛應用的操作系統(tǒng)，如Unix，Windows 2003等系統(tǒng)，其安全漏洞更是廣為流傳。同時不能正確配置或使用缺省配置，還會人為增加新的漏洞。

1.3.1 主機訪問安全脆弱性

WINDOWS所采用的傳統(tǒng)的用戶名和密碼的驗證方式已經經不起密碼字典檔的推敲，攻擊者可以從網絡或本機針對目標機器發(fā)起驗證試探，并且網絡驗證時（工作組或域驗證）用戶名和密碼是以明文的形式傳輸，非常容易被竊取，所以必須使用更先進安全的認證方式。

1.3.2 泄密信息安全控制

主要是一些重要的文件信息在終端被非法外傳，從而導致泄密。為此，必須從控制文件信息的流轉來保證這些信息的安全。主要面臨的威脅是主機擁有者的主動泄密行為。

1.4 應用層安全風險分析

從網絡的應用來看，網絡承載的業(yè)務多種，或少包含一些安全管理和控制程序，如身份認證、訪問控制、用戶與資源的管理等，但這些安全措施無論是強度上還是在標準上都不能滿足安全需求，主要表現(xiàn)在：

（1）惡意代碼

由于單位內部局域網局網絡是一個專網，外部不可能有直接的惡意代碼進入，但是內部通過外部存儲介質（如：U盤、移動硬盤等方式）帶入惡意代碼也是不容忽視的。除了需針對桌面機客戶端進行病毒防護，還需要從整體防護進行病毒防護，忽略了任何的一面都會成為攻擊的切入點。

（2）服務能力監(jiān)控

對業(yè)務量突發(fā)的承受能力與無級化升級能力都體現(xiàn)了系統(tǒng)持續(xù)服務水平。對服務提供能力的時時監(jiān)控是及時了解業(yè)務運行、安全狀態(tài)的必要措施。

（3）入侵取證問題

不同級別網絡之間只是通過簡單的網絡互聯(lián)設備相互連接。一方面非法用戶極其容易的通過黑客技術手段將關鍵信息通過內部網絡獲得，另一方面合法用戶的違規(guī)操作極其容易造成重要服務器的癱瘓和關鍵信息的破壞，所以針對內部網絡的安全防范體系的建立是非常重要的。

（4）終端審計

業(yè)務的訪問終端分布廣，使用人員多，安全情況復雜，所以通常是安全入侵的起點，安全審計是監(jiān)控、管理終端的安全問題，包括信息保密、補丁管理、外聯(lián)行為審計、防病毒、防入侵等。

1.5 管理層安全風險分析

安全的網絡設備離不開人的管理，好的安全策略最終要靠人來實現(xiàn)，因此管理是整個網絡安全中最為重要的一環(huán)。管理層的安全風險可能存在于以下幾個方面：

（1）誤操作

系統(tǒng)管理員和普通用戶都可能有操作失誤，前者的影響往往是致命的，直接危害到系統(tǒng)和數(shù)據安全；后者主要影響用戶數(shù)據的完整性。

（2）人為故意

內部工作人員本身在重要應用系統(tǒng)上都有一定的使用權限，并且對系統(tǒng)應用非常清楚，一次試探性的攻擊演練都可能會對應用造成癱瘓的影響，這種行為單單依靠工具的檢測是很難徹底避免的，除了建立完善的管理制度還應對于工作人員的誤操作應該可以回溯與修復，建立回退機制。

（3）安全意識

人是各個安全環(huán)節(jié)中最為重要的因素。全面提高人員的道德品質和技術水平是網絡信息安全與保密的最重要保證。

（4）管理手段

單一的安全產品部署是不能夠解決問題的，必須要配合以管理的手段，在整個安全體系中最為重要的實際上是管理。

（5）應急處理

對于故障、攻擊、病毒等以外事件，對業(yè)務產生了影響，應該有應急響應的處理流程與應急團隊，迅速定位故障點，評估業(yè)務的影響程度，給出應急解決辦法。

2 建立安全保障體系

安全保障體系建設是隨著業(yè)務發(fā)展的需求而逐漸推進的，安全要保障的是業(yè)務的持續(xù)性服務能力，所以對網絡整體的監(jiān)控是安全管理的基礎，安全管理平臺的建設是保證監(jiān)控系統(tǒng)的平臺。因此我們采取建設，首先建立比較急需的安全體系，安全管理平臺作為安全基礎體系先期試點，同時建設比較緊急的邊界防護體系、監(jiān)控體系、審計體系、病毒防護體系，保障業(yè)務的安全。然后在完善各體系與基礎平臺的同時，建設應急恢復體系、管理體系。作到人、技術、資源的統(tǒng)一協(xié)調安全保障。最后，分析各業(yè)務的將來發(fā)展，為業(yè)務提供安全指導性的保障，安全走在業(yè)務前面，為業(yè)務發(fā)展鋪平道路。

參考文獻：

[1]劉晶、公方亮著 《局域網組建、維護與安全監(jiān)控實戰(zhàn)詳解》 北京：人民郵電出版社 2010.1