【正文】 北京富力通能源軟件技術(shù)有限公司 第 1 頁 共 75 頁 網(wǎng)絡(luò)安全 整體設(shè)計建議書 2022 年 2 月 北京富力通能源技術(shù)有限公司 北京富力通能源軟件技術(shù)有限公司 第 2 頁 共 75 頁 第一章 網(wǎng)絡(luò)安全概述 隨著公共互聯(lián)網(wǎng)、電子商務(wù)、個人計算機(jī)和計算機(jī)網(wǎng)絡(luò)的蓬勃發(fā)展，如果不對它們進(jìn)行妥善的保護(hù)，它們將越來越容易受到具有破壞性的攻擊的危害。黑客、病毒、不滿的員工，甚至人為故障都會給網(wǎng)絡(luò)帶來巨大的威脅。所有計算機(jī)用戶――從最普通的互聯(lián)網(wǎng)沖浪者到大型企業(yè)――都可能受到網(wǎng)絡(luò)安全漏洞的影響。但是，通?？梢暂p松地防范這些安全漏洞。那么怎么防范呢？這手冊將向您概述最常見的網(wǎng)絡(luò)安全威脅，以及您 和您的企業(yè)可以用于防范這些威脅，以及確保您網(wǎng)絡(luò)中的數(shù)據(jù)的安全的措施。 1. 安全的重要性 互聯(lián)網(wǎng)無疑已經(jīng)成為最大的公共數(shù)據(jù)網(wǎng)絡(luò)，在全球范圍內(nèi)實現(xiàn)并促進(jìn)了個人通信和商業(yè)通信?；ヂ?lián)網(wǎng)和企業(yè)網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)流量每天都以指數(shù)級的速度迅速增長。越來越多的通信都通過電子郵件進(jìn)行；移動員工、遠(yuǎn)程辦公人員和分支機(jī)構(gòu)都利用互聯(lián)網(wǎng)來從遠(yuǎn)程連接他們的企業(yè)網(wǎng)絡(luò)；而在互聯(lián)網(wǎng)上通過 WWW 方式完成的商業(yè)貿(mào)易現(xiàn)在已經(jīng)成為企業(yè)收入的重要組成部分。 盡管互聯(lián)網(wǎng)已經(jīng)轉(zhuǎn)變，并大大改進(jìn)了我們開展業(yè)務(wù)的方式，但是這個龐大的網(wǎng)絡(luò)及其相關(guān)的技術(shù)為不斷增長 的安全威脅提供了可乘之機(jī)，因而企業(yè)必須學(xué)會保護(hù)自己免受這些威脅的危害。盡管人們認(rèn)為網(wǎng)絡(luò)攻擊者們在入侵存儲著敏感性數(shù)據(jù)（例如個人的醫(yī)療或者財務(wù)記錄）的企業(yè)時會比較謹(jǐn)慎，但是對任何對象的攻擊所造成的后果包括從輕微的不便直到完全失效――重要數(shù)據(jù)丟失，隱私被侵犯，網(wǎng)絡(luò)可能停機(jī)幾個小時、甚至幾天。 如果不考慮這些潛在的安全漏洞所帶來的昂貴的風(fēng)險，互聯(lián)網(wǎng)可能是最安全的開展業(yè)務(wù)的手段。例如，通過電話線或者餐廳中的侍者提交信用卡信息可能比通過網(wǎng)站提交這些信息更危險，因為電子商務(wù)交易通常會受到加密技術(shù)的保護(hù)，而侍者和電信從業(yè) 人員則并不總是會被監(jiān)控或者值得信賴。但是對于企業(yè)來說，對安全問題的恐懼可能會像實際的安全漏洞一樣有害。對計算機(jī)的恐懼和懷疑仍然存在，相伴而來的是對互聯(lián)網(wǎng)的不信任。這種不信任可能會限制企業(yè)的商業(yè)機(jī)會，尤其是那些完全基于 Web 的公司。因此，企業(yè)必須制定安全策略，采取保護(hù)措施，這些措施不僅要非常有效，而且也要讓客戶能感覺到它的有效性。企業(yè)必須能夠以適當(dāng)?shù)姆绞较蚬娬f明，他們打算怎樣保護(hù)他們的客戶。 除了保護(hù)他們的客戶以外，企業(yè)必須保護(hù)他們的員工和合作伙伴不受安全漏洞的威脅。 北京富力通能源軟件技術(shù)有限公司 第 3 頁 共 75 頁 互聯(lián)網(wǎng)、內(nèi)聯(lián)網(wǎng)、外聯(lián)網(wǎng)讓員工和合作伙伴可 以在彼此之間進(jìn)行迅速的、有效的通信。但是，這種通信和效率必然也會受到網(wǎng)絡(luò)攻擊的影響。對于員工來說，一次攻擊可能會導(dǎo)致數(shù)小時的停機(jī)，而網(wǎng)絡(luò)必須停止工作，以修復(fù)故障或者恢復(fù)數(shù)據(jù)。顯然，寶貴的時間和數(shù)據(jù)的損失可能會大幅度地降低員工的效率和士氣。 法律也是推動對于網(wǎng)絡(luò)安全的需求的另外一股重要力量。政府不僅認(rèn)識到了互聯(lián)網(wǎng)的重要性，也認(rèn)識到，世界的很大一部分經(jīng)濟(jì)產(chǎn)值都依賴于互聯(lián)網(wǎng)。但是他們同時也意識到，敞開世界經(jīng)濟(jì)的基礎(chǔ)設(shè)施可能會導(dǎo)致犯罪分子的惡意使用，從而帶來嚴(yán)重的經(jīng)濟(jì)損失。各國政府因而制定了相關(guān)的法律，以管理龐大的 電子信息流量。而且，為了遵守政府所頒行的各項法規(guī)，計算機(jī)行業(yè)也制定了一系列安全標(biāo)準(zhǔn)，以幫助企業(yè)確保數(shù)據(jù)的安全，并證明它的安全性。 沒有制定可行的安全策略來保護(hù)其數(shù)據(jù)的企業(yè)將無法達(dá)到這些標(biāo)準(zhǔn)，并受到相應(yīng)的懲罰。 2. 對數(shù)據(jù)的威脅 和其他任何一種犯罪一樣，對于數(shù)據(jù)的保密性和完整性的威脅來自于一小部分惡意破壞者。但是，盡管一個竊車賊一次只能竊取一輛汽車，而一個來自于一臺很普通的計算機(jī)的黑客卻可能會損害大量的計算機(jī)網(wǎng)絡(luò)，從而在全球造成嚴(yán)重的災(zāi)難。可能更加令人不安的是威脅可能來自于我們所認(rèn)識的一些人。事實上，大多數(shù) 網(wǎng)絡(luò)安全專家都認(rèn)為，大部分網(wǎng)絡(luò)攻擊都是由存在漏洞的企業(yè)的內(nèi)部員工所發(fā)起的。這些員工通常會出于惡作劇、惡意或者過失，設(shè)法損害他們自己公司的網(wǎng)絡(luò)并銷毀數(shù)據(jù)。而且，隨著遠(yuǎn)程連接技術(shù)的逐漸普及，企業(yè)增加了大量的遠(yuǎn)程辦公人員、分支機(jī)構(gòu)和業(yè)務(wù)伙伴。這些遠(yuǎn)程員工和合作伙伴會帶來像內(nèi)部員工一樣的威脅，如果他們的遠(yuǎn)程聯(lián)網(wǎng)設(shè)備沒有得到妥善的保護(hù)和監(jiān)控，他們還會帶來安全漏洞的風(fēng)險。無論您是要保障一輛汽車、一個家庭、一個國家還是一個計算機(jī)網(wǎng)絡(luò)的安全，大致地了解誰是潛在的敵人和他們的攻擊方法是最重要的。 3. 敵人是誰？ （ 1） 黑客 這個概括的、通常被過度傳奇化的名詞指的是一些以獲得對其他人的計算機(jī)或者網(wǎng)絡(luò)的訪問權(quán)為樂的計算機(jī)愛好者。很多黑客只滿足于闖入網(wǎng)絡(luò)，并留下他們的 足跡 ，這些通常是一些玩笑式的應(yīng)用程序和在計算機(jī)桌面上的留言。而其他一些被稱為 破壞者（ cracker） 北京富力通能源軟件技術(shù)有限公司 第 4 頁 共 75 頁 的黑客則懷有惡意，他們會摧毀整個計算機(jī)系統(tǒng)，竊取或者損害保密數(shù)據(jù)，修改網(wǎng)頁，甚至最終導(dǎo)致業(yè)務(wù)的中斷。一些業(yè)余水平的黑客只會在網(wǎng)上尋找黑客工具，再在不了解這些工具的工作方式和它們的后果的情況下使用這些工具。 （ 2） 沒有警惕性的員工 當(dāng)員工關(guān)注于他們 自己的工作時，他們常常會忽略以下標(biāo)準(zhǔn)的網(wǎng)絡(luò)安全準(zhǔn)則。例如，他們可能會選擇一些非常容易記憶的密碼，以便他們可以方便地登錄他們的網(wǎng)絡(luò)。但是，這種密碼可能很容易被黑客們通過簡單的常識或者某種被廣泛使用的密碼破解軟件而猜出或者破解。員工可能會無意中導(dǎo)致其他的安全漏洞，包括意外地接收和傳播計算機(jī)病毒等。最常見的感染病毒的方式是通過軟盤拷貝文件和從互聯(lián)網(wǎng)上下載文件。通過軟件傳輸數(shù)據(jù)的員工可能會無意地將他們從復(fù)制中心或者圖書館感染的病毒傳播到他們的企業(yè)網(wǎng)絡(luò)。他們甚至可能并不知道病毒是否駐留在他們的 PC 中。企業(yè)還面臨著在員 工從互聯(lián)網(wǎng)下載文件（例如PowerPoint 演示文件）時感染病毒的風(fēng)險。令人吃驚的是，企業(yè)還必須警惕人為錯誤。員工――無論他們是計算機(jī)新手還是計算機(jī)行家――都會犯下一些錯誤，例如錯誤地安裝病毒防護(hù)軟件或者意外地忽視了關(guān)于安全威脅的警告信息。 （ 3） 心懷不滿的員工 與因員工錯誤導(dǎo)致對網(wǎng)絡(luò)的損害相比，更令人不安的是某個惱怒的或者意圖報復(fù)的員工造成網(wǎng)絡(luò)損害的可能性。惱怒的員工――通常是那些被指責(zé)、解雇或者停職的員工――可能會報復(fù)性地通過病毒或者有意刪除重要文件，來損害他們的網(wǎng)絡(luò)。這種群體最為危險，因為他們 通常比較了解網(wǎng)絡(luò)、網(wǎng)絡(luò)中的信息的價值、高度重要的信息所在的位置，以及它所采取的保護(hù)措施。 （ 4） 愛打聽消息的人 無論對工作滿意還是不滿意，有些員工還可能非常好奇或者愛惡作劇。在這些被稱為 愛打聽消息的人 的員工中，有些可能會參閱商業(yè)間諜行為，未經(jīng)授權(quán)地訪問保密信息，從而為競爭對手提供一些通過其他方式無法獲得的信息。其他一些則只是通過訪問私人的信息（例如財務(wù)數(shù)據(jù)，同事之間的一封浪漫的電子郵件，或者某個同事的工資）來滿足他們個人的好奇心。在這樣的行為中，有些可能相對來說沒有什么害處，但是有些行為（例如事 先查看私人的財務(wù)、醫(yī)療或者人力資源數(shù)據(jù)）則要嚴(yán)重得多，可能會傷害別人的聲譽，導(dǎo)致公司遭受經(jīng)濟(jì)損失。 北京富力通能源軟件技術(shù)有限公司 第 5 頁 共 75 頁 4. 這些敵人將做什么？ （ 1） 病毒 病毒是最廣為人知的安全威脅，因為它們通常會獲得廣泛的媒體報道。病毒是由一些不正直的程序員所編寫的計算機(jī)程序，它采用了獨特的設(shè)計，可以在受到某個事件觸發(fā)時，復(fù)制自身，并感染計算機(jī)。例如，被稱 宏病毒 的病毒可以將自身添加到含有宏指令（可以自動重復(fù)的日常任務(wù)，例如郵件合并）的文件，并在每次宏運行時被激活。一些病毒的效果相對比較良性，會導(dǎo)致討厭的中斷，例如當(dāng)用戶在鍵盤 上敲擊某個字符時顯示某個滑稽的消息。其他有一些病毒則更具有破壞性，可能導(dǎo)致各種問題，例如刪除硬盤上的文件或者降低系統(tǒng)的速度。 如果在病毒可以通過某個外界來源進(jìn)入網(wǎng)絡(luò)時（大多數(shù)是通過某個受到感染的磁盤或者某個從互聯(lián)網(wǎng)上下載的文件），網(wǎng)絡(luò)才會感染病毒。當(dāng)網(wǎng)絡(luò)上的一臺計算機(jī)被感染時，網(wǎng)絡(luò)上的其他計算機(jī)就非常有可能感染到這種病毒。 （ 2） 特洛伊木馬程序 特洛伊木馬程序，或者簡稱特洛伊，是破壞性代碼的傳輸工具。特洛伊表面上看起來是無害的或者有用的軟件程序，例如計算機(jī)游戲，但是它們實際上是偽裝的敵人。特洛伊可以刪除數(shù)據(jù)，將自身的復(fù)本發(fā)送給電子郵件地址簿中的收件人，從而進(jìn)行廣泛傳播。 （ 3） 惡意破壞程序 網(wǎng)站會提供一些軟件應(yīng)用（例如 ActiveX 和 Java Applet）的開發(fā)而變得更加活潑。這些應(yīng)用可以實現(xiàn)動畫和其他一些特殊效果，從而讓網(wǎng)站更具有吸引力和互動性。但是，由于這些應(yīng)用非常便于下載和運行，從而提供了一種造成損害的新工具。惡意破壞程序是指會導(dǎo)致不同程度的破壞的軟件應(yīng)用或者 Java 小程序。一個惡意破壞程序可能只會損壞一個文件，也可能損壞大部分計算機(jī)系統(tǒng)。 （ 4） 攻擊 目前已經(jīng)出現(xiàn)了各種類型的 網(wǎng)絡(luò)攻擊，它們通常被分為三類：探測式攻擊，訪問攻擊和拒絕服務(wù)（ DoS）攻擊。 探測式攻擊 。實際上是信息采集活動，黑客們通過這種攻擊搜集網(wǎng)絡(luò)數(shù)據(jù)，用于以后進(jìn)一步攻擊網(wǎng)絡(luò)。通常，軟件工具（例如探測器和掃描器）被用于了解網(wǎng)絡(luò)資源情況，尋找目標(biāo)網(wǎng)絡(luò)、主機(jī)和應(yīng)用中的潛在漏洞。例如，有一種專門用于破解密碼的軟件。這種軟件是為 北京富力通能源軟件技術(shù)有限公司 第 6 頁 共 75 頁 網(wǎng)絡(luò)管理員而設(shè)計的，管理員可以利用它們來幫助那些忘記密碼的員工，或者發(fā)現(xiàn)那些沒有告訴任何人自己的密碼就離開了公司的員工的密碼。但是，這種軟件如果被錯誤的人使用，就將成為一種非常危險的武器。 訪問攻 擊 。用于發(fā)現(xiàn)身份認(rèn)證服務(wù)、文件傳輸協(xié)議（ FTP）功能等網(wǎng)絡(luò)領(lǐng)域的漏洞，以訪問電子郵件帳號、數(shù)據(jù)庫和其他保密信息。 DoS 攻擊 。可以防止用戶對于部分或者全部計算機(jī)系統(tǒng)的訪問。它們的實現(xiàn)方法通常是：向某個連接到企業(yè)網(wǎng)絡(luò)或者互聯(lián)網(wǎng)的設(shè)備發(fā)送大量的雜亂的或者無法控制的數(shù)據(jù)，從而讓正常的訪問無法到達(dá)該主機(jī)。更惡毒的是分布式拒絕服務(wù)攻擊（ DDoS），在這種攻擊中攻擊者將會危及到多個設(shè)備或者主機(jī)的安全。 （ 5） 數(shù)據(jù)阻截 通過任何類型的網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)傳輸都可能會被未經(jīng)授權(quán)的一方截取。犯罪分子可能會竊聽通信信息，甚至更改 被傳輸?shù)臄?shù)據(jù)分組。犯罪分子可以利用不同的方法來阻截數(shù)據(jù)。例如IP 偽裝方法，即通過使用數(shù)據(jù)接收者的 IP 地址，偽裝成數(shù)據(jù)傳輸中的經(jīng)過授權(quán)的一方。 （ 6） 社會活動 社會活動是一種越來越流行的通過非技術(shù)手段獲取保密的網(wǎng)絡(luò)安全信息的手段。例如，一個社會活動者可能會偽裝成一個技術(shù)支持代表，打電話給員工，獲取密碼信息。社會活動的其他例子包括賄賂某一員工，以獲取對某個服務(wù)器的訪問權(quán)限，或者搜索某個同事的辦公室，以尋找可能寫在某個隱蔽地點的密碼等。 （ 7） 垃 圾信件 垃圾信件被廣泛用于表示那些主動發(fā)出的電子郵件 或者利用電子郵件廣為發(fā)送未經(jīng)申請的廣告信息的行為。垃圾信件通常是無害的，但是它可能會浪費接收者的時間和存儲空間，帶來很多麻煩。 5. 安全工具 在找出了可能的威脅來源和可能導(dǎo)致的損害以后，制定適當(dāng)?shù)陌踩呗院捅Ｗo(hù)措施就變得比較容易了。企業(yè)可以選擇多種技術(shù)――從殺毒軟件包到專用的網(wǎng)絡(luò)安全硬件（例如防火墻和入侵檢測系統(tǒng)），來為網(wǎng)絡(luò)的所有部分提供保護(hù)。 北京富力通能源軟件技術(shù)有限公司 第 7 頁 共 75 頁 與一個建筑物一樣，網(wǎng)絡(luò)也需要多層保護(hù)才能真正安全。 在確定了這種解決方案以后，就可以部署能夠周期性地檢測網(wǎng)絡(luò)中的安全漏洞，提供持續(xù)、主動的安全保護(hù)的工具。另外還需要聘請專業(yè)的網(wǎng)絡(luò)安全顧問來幫助企業(yè)為網(wǎng)絡(luò)設(shè)計合適的安全解決方案，或者確保現(xiàn)有的解決方案的及時和安全 。在所有這些選擇都準(zhǔn)備好以后，就可以在不嚴(yán)重影響用戶對于快速、方便地訪問信息的需求的前提下，實現(xiàn)足夠的保護(hù)。 十大安全注意事項 一 . 鼓勵或者要求員工選擇比較復(fù)雜的密碼。 二 . 要求員工每 90 天更換一次密碼。 三 . 確保您的殺毒軟件的版本是最新的。 四 . 讓員工了解電子郵件附件的安全風(fēng)險。 五 . 實施一個完整的、全面的網(wǎng)絡(luò)安全解決方案。 六 . 定期評估您的安全狀況。 七 . 當(dāng)一個員工離開公司時，立刻取消該員工的網(wǎng)絡(luò)訪問權(quán)限。 八 . 如果您讓員工在家工作，就要為遠(yuǎn)程數(shù)據(jù)流量提供一個安全的、集中管理的服務(wù)器。 九 . 定期升級您的 Web 服務(wù)器軟件。 十 . 不要運行任何不必要的網(wǎng)絡(luò)服務(wù)。 北京富力通能源軟件技術(shù)有限公司 第 8 頁 共 75 頁 第二章 網(wǎng)絡(luò)安全策略 方案設(shè)計 在提到網(wǎng)絡(luò)安全的全面解決方案時，很多人會認(rèn)為：在服務(wù)器前加一個防火墻就解決了網(wǎng)絡(luò)安全問題，這其實是一種很狹隘的安全思路。防火墻僅僅是一個訪問控制、內(nèi)外隔離的安全設(shè)備，在底層包過濾，對付超大 ICMP 包、 IP 偽裝、碎片攻擊，端口控制等方面的確有著不可替代的作用，但它在應(yīng)用層的控制和檢測能力是很有限的。比如利用 Unic