随着我国石油工业的不断发展进步，企业数字化管理作为为网络时代的产物，已经成为企业管理发展的方向。随着各企业内部网络规模的急剧膨胀，网络用户的快速增长，企业内部网安全问题已经成为当前各企业网络建设中不可忽视的首要问题。
一、目前企业内部网络的安全现状
1.操作系统的安全问题
目前，被广泛使用的网络操作系统主要是UNIX、WINDOWS和Linux等，这些操作系统都存在各种各样的安全问题，许多新型计算机病毒都是利用操作系统的漏洞进行传染。如不对操作系统进行及时更新，弥补各种漏洞，计算机即使安装了防毒软件也会反复感染。
2.病毒的破坏
计算机病毒影响计算机系统的正常运行、破坏系统软件和文件系统、破坏网络资源、使网络效率急剧下降、甚至造成计算机和网络系统的瘫痪，是影响企业内部网络安全的主要因素。
3.黑客
在《中华人民共和国公共安全行业标准》中，黑客的定义是：“对计算机系统进行非授权访问的人员”，这也是目前大多数人对黑客的理解。大多数黑客不会自己分析操作系统或应用软件的源代码、找出漏洞、编写工具，他们只是能够灵活运用手中掌握的十分丰富的现成工具。黑客入侵的常用手法有：端口监听、端口扫描、口令入侵、JAVA等。
4.口令入侵
为管理方便，一般来说，企业为每个上网的领导和工人分配一个账号，并根据其应用范围，分配相应的权限。某些人员为了访问不属于自己应该访问的内容，用不正常的手段窃取别人的口令，造成了企业管理的混乱及企业重要文件的外流。
5.非正常途径访问或内部破坏
在企业中，有人为了报复而销毁或篡改人事档案记录；有人改变程序设置，引起系统混乱；有人越权处理公务，为了个人私利窃取机密数据。这些安全隐患都严重地破坏了学校的管理秩序。
6.设备受损
设备破坏主要是指对网络硬件设备的破坏。企业内部网络涉及的设备分布在整个企业内，管理起来非常困难，任何安置在不能上锁的地方的设施，都有可能被人有意或无意地损坏，这样会造成企业内部网络全部或部分瘫痪的严重后果。
7.敏感服务器使用的受限
由于财务等敏感服务器上存有大量重要数据库和文件，因担心安全性问题，不得不与企业内部网络物理隔离，使得应用软件不能发挥真正的作用。
8.技术之外的问题
企业内部网是一个比较特殊的网络环境。随着企业内部网络规模的扩大，目前，大多数企业基本实现了科室办公上网。由于上网地点的扩大，使得网络监管更是难上加难。由于企业中部分员工对网络知识很感兴趣，而且具有相当高的专业知识水平。同时，许多领导和员工的计算机网络安全意识薄弱、安全知识缺乏。企业的规章制度还不够完善，还不能够有效的规范和约束领导和员工的上网行为。
二、企业内部网络安全策略
安全策略是指一个特定环境中，为保证提供一定级别的安全保护所必须遵守的规则。安全策略包括严格的管理、先进的技术和相关的法律。安全策略决定采用何种方式和手段来保证网络系统的安全。即首先要清楚自己需要什么，制定恰当的满足需求的策略方案，然后才考虑技术上如何实施。
1.物理安全策略保证计算机网络系统各种设备的物理安全是整个网络安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。其目的是保护计算机系统、web服务器、打印机等硬件实体和通信链路层网络设备免受自然灾害、人为破坏和搭线攻击等。它主要包括两个方面：①环境安全。对系统所在环境的安全保护，确保计算机系统有一个良好的电磁兼容工作环境。②设备安全。包括设备的防盗、防毁、防电磁信息辐射泄漏、抗电磁干扰及电源保护等。
2.访问控制策略访问控制的主要任务是保证网络资源不被非法使用和访问，它是保证网络安全最重要的核心策略之一。主要有以下七种方式：①入网访问控制。入网访问控制为网络访问提供了第一层访问控制，它控制哪些用户能够登录到服务器并获取网络资源；控制准许用户入网的时间和准许他们在哪台工作站入网。②网络的权限控制。网络的权限控制是针对网络非法操作所提出的一种安全保护措施。③目录级安全控制。网络应允许控制用户对目录、文件、设备的访问。④属性安全控制。当用文件、目录和网络设备时，网络系统管理员应给文件、目录等指定访问属性。⑤网络服务器安全控制。网络允许在服务器控制台上执行一系列操作。用户使用控制台可以装载和卸载模块，可以安装和删除软件等操作。⑥网络监测和锁定控制。网络管理员应对网络实施监控，服务器应记录用户对网络资源的访问，对非法的网络访问，服务器应以图形或文字或声音等形式报警，以引起网络管理员的注意。⑦网络端口和节点的安全控制。端口是虚拟的“门户”，信息通过它进入和驻留于计算机中，网络中服务器的端口往往使用自动回呼设备、静默调制解调器加以保护，并以加密的形式来识别节点的身份。自动回呼设备用于防止假冒合法用户，静默调制解调器用以防范黑客的自动拨号程序对计算机进行攻击。
3.防火墙控制策略防火墙是近期发展起来的一种保护计算机网络安全的技术性措施，它是一个用以阻止网络中的黑客访问某个机构网络的屏障。它是位于两个网络之间执行控制策略的系统（可能是软件或硬件或者是两者并用），用来限制外部非法（未经许可）用户访问内部网络资源，通过建立起来的相应网络通信监控系统来隔离内部和外部网络，以阻挡外部网络的侵入，防止偷窃或起破坏作用的恶意攻击。
4.信息加密策略信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网上传输的数据。网络加密常用的方法有链路加密、端点加密和节点加密三种。信息加密过程是由各种加密算法来具体实施。多数情况下，信息加密是保证信息机密性的唯一方法。
5.备份和镜像技术用备份和镜像技术提高完整性。备份技术指对需要保护的数据在另一个地方制作一个备份，一旦失去原件还能使用数据备份。镜像技术是指两个设备执行完全相同的工作，若其中一个出现故障，另一个仍可以继续工作。
6.网络安全管理规范网络安全技术的解决方案必须依赖安全管理规范的支持，在网络安全中，除采用技术措施之外，加强网络的安全管理，制定有关的规章制度，对于确保网络安全、可靠地运行将起到十分有效的作用。网络的安全管理策略包括：确定安全管理等级和安全管理范围；制订有关网络操作使用规程和人员出入办公室管理制度；制定网络系统的维护制度和应急措施等。
企业网络正面临前所未有的高风险:每个企业都必须遵从数量众多且时常发生冲突的内部政策、政府法规、第三方条例,以及与安全相关的行业最佳做法,这种高度复杂的安全环境本身又滋生出一种新的“极端风险”――可能导致一个或多个设备出现配置错误,或来不及应用最新的规则或软件补丁,进而使企业陷入危险境地。跨国企业在这方面面临的问题尤甚。
如何在纷乱复杂的环境中成功降低跨国企业网络的安全风险?
复杂即风险
每个企业的当务之急就是避免配置错误和违规行为,这不仅是为了规避法律风险、罚款及其他违规处罚,同时也是为了维护企业的诚信、声誉和品牌。然而,降低企业风险现在已成为纵贯多个层面的课题,需要在多个层面上制定并实施相应策略――由此产生的复杂性已成为当今企业面临的最大难题之一。
当今企业面临着各种各样的安全漏洞,防范它们所需要的工具各不相同。这些漏洞主要包括:
使网络易受其他形式攻击的网络漏洞;
数据窃取,包括跨网络数据劫持;
导致服务器、个人电脑或虚拟应用行为失常或成为其他攻击类型源头的恶意软件;
拒绝服务(DoS)攻击,可造成数据不可用,或授权用户无法访问网络。
企业不仅面临上述威胁,还必须遵从数量众多的行业及监管条例:
首先是外部监管。企业必须遵从各种因国家和地区而异的客户隐私条例,除此之外,还有专门针对特定垂直市场的第三方条例。比如,在美国,由信用卡公司组成的支付卡行业(PCI)协会分别对零售商和接受信用卡付款的实体规定了消费者隐私标准,其中涵盖IT及网络域名。企业如果违规,就要接受该协会严厉的罚款和其他违规处罚。
其次是最佳做法标准。许多企业通过实施行业标准的IT安全管理最佳做法(国际标准化组织ISO27000系列文件中有详述)来增强其安全措施。这固然可使企业建立起适当的安全防护网,以保护其知识产权(IP)、机密数据及客户信息,同时为业务持续性计划提供支持,但遵循行业最佳做法却会产生一个新的安全规则层。
此外,正在潜入企业内部的Web2.0社交网络、需要不断更新的软件及安全补丁……也都会增加企业的安全复杂性。
进入企业的新通道社交网络
近年来,Web2.0技术使网络安全形势再起波澜。一年前,很多企业可能都没听说过Twitter、Facebook、YouTube之类的流行社交网络,而如今,它们已借合法商业及营销之名渗透到了企业网络内部,虽然目前可能仍然只限于员工个人使用。
进入企业网络内部的新通道正在形成。理想情况下,这些通道可用于增强企业的商业意识和改善运营;但另一方面,它们也开辟了行使恶作剧或窃取企业数据的新途径,为员工向企业外部泄露敏感信息提供了方便。比如,社交网站就经常被用来发动网络钓鱼诈骗。
移动和无线
传统的网络边界及其相关的保护措施正随着企业用户转向无线网络(包括蜂窝移动网络和/或Wi-Fi无线网络)而逐渐发生改变。企业必须为移动设备提供保护,加密存储在移动设备上的机密数据和通过无线传输的资料,以及保护企业网络、防范移动网络入侵(如黑客或恶意软件),这已成为移动设备管理(MDM)的一个分支。
总的来说,信息和网络技术的“消费化”开辟了(且还将继续开辟)大量“进出”企业的新途径,其中多数可在战略上帮助企业获益。随着Web2.0应用的演变和移动网络的兴起,安全成了一套动态、不断变化的规则,必须予以密切关注。安全已不再是一种“设定后即可置之不理”的方针。
“紧跟变化”的难题
以上因素营造了一个复杂、多变的安全环境,而且该环境本身就是个巨大的风险。其复杂程度更高、安全层数更多、员工专业知识更趋多样化,必须予以管理和简化。来自软件和网络设备公司的新软件补丁、漏洞修补程序和安全更新不断增加,与时俱进的要求会迅速造成操作人员不堪重负,致使企业不得不在设备和软件方面做出额外投资。此外,万一负责基础架构不同部分的IT员工,比如安全管理员与应用服务器管理员,未能协调好工作,导致一部分部件更新,而另一部分未得到更新,也可能造成安全漏洞。
CIO和其他负责IT安全工作的员工应考虑的一个基本问题是:如何准确创建、实施、过滤和关联所有这些策略、事件和潜在违规行为,以便时刻把握安全形势?多管齐下地进行风险管理,目标就是确保公司始终遵守各项法规,并消除针对其知识产权及数据保密性、完整性和可用性的威胁。
此外,降低风险还需要一套自上而下的管理方法,这种方法根据来自上层的管理策略编写规则。应确保公司各个层级都了解这套安全策略,并使之成为企业文化的一部分。安全应成为业务运作的一个组成部分。
四招
降低风险
要想在复杂环境中降低企业网络风险,首先要纵观全局,评估涉及隐私及机密信息的各项数据资产。其实质操作与业务持续性和灾难恢复规划相同,目标均为防止数据失窃、受损或无法访问。因此,数据安全评估和业务持续性评估可同时执行。
掌控企业整体安全形势并降低风险,还可从以下几方面入手:
1.风险/漏洞评估
执行风险/漏洞评估的第一步,是引入能够发现企业网络上运行的一切网络设备、服务器、存储设备及软件的管理工具集。必须先了解都有哪些部件,然后才能确定是否所有部件都符合最新的策略规定,遵从适用的法规、条例,以及应用软件补丁。
幸运的是,网络发现及安全工具的准确性在过去几年里得到了极大提高。它们现在能够从网络及全网服务器设备处收集海量的安全事件数据,然后将之归纳到超长的报告中,详述网络安全的各个方面。
现在,您可以捕获所有此类信息了,然而您面临的更大难题是,如何利用这些信息制定出有实际意义的举措。这就需要您掌控这些信息,排定其优先顺序,并加以组织――所有这些必须迅速完成。捕获到的大部分事件信息是无关紧要或重复的,因此,过滤信息并在攻击发动之前迅速找到实际潜在的风险至关重要。
过滤可通过编写能够分离大量冗余信息和异常活动的自定义算法来完成。无论在企业内部还是在开放的互联网上,数据分析均基于已知攻击类型和流量历史数据。许多公司对安全问题的认知不够全面,也未将其作为分析的一部分对待,而事实上,安全问题已对全球范围的网络造成了巨大影响。此外,公司还缺乏可帮助其捕获数据并排定优先顺序的数据收集工具,比如分析软件。
要不断更新设备,企业还必须具有实现多种设备或设备类型相关联,以及定期执行漏洞扫描的能力,这些功能需要不同的专业知识和人力资源。
2.集中化=简单+可靠
所有收集到的数据(来自面向公众的设备以及内部设备)应集中进行分析,以反映企业全貌。其目标应为简化信息,以帮助企业加快获得基于业务需求的优先顺序警报,并能够根据检测到的威胁或漏洞做出适当反应。
实现这一目标的最可靠方法之一,是通过网关与防火墙(位于不同网络结点的设备,如LAN与WAN之间或WAN与互联网之间的设备)的统一视图收集事件数据,然后将其聚合到一个中央位置。无论这项功能是内部处理还是外包处理,跨设备的网络事件数据关联与聚合形成的企业全貌,可帮助您预测事件即将发生的时间,让您在其损害到企业之前主动化解这些事件,从而大幅降低风险。
强大的发现工具或第三方发现服务能够筛选数以亿计的警报,过滤掉不相关的数据,并将数据削减到100～200个需要网络分析师介入的事件。之后,分析师应能够解决约50个需要警惕的重要事件。
将事件削减到网络分析师能够处理的重要事件数量,是简化复杂/整体网络安全形势的关键步骤。如果本地IT员工的工作与其他站点的工作脱节,就必定会形成安全漏洞。
无论如何,跨国公司都必须应对不同国家/地区的不同法规和条例。这可能会导致不同的网络需要不同的防火墙策略设置。此外,防火墙补丁是定期的,而多数大型IT部门倾向于按某种优先顺序来为设备打补丁和升级。这一过程通常会导致优先级较低的站点疏于管理。实际上,一个站点的防火墙如果几年都未升过级,那就跟没有防火墙一样。
集中变更管理功能可外包给大型实体来予以简化,这些实体应具有规模效益、最新工具以及能够作为一个完整实体来评估和更新整个网络的安全专家。如果要内部处理这些事务,则需要在各个国家/地区雇用专家,这些专家应了解哪类信息可以在哪些国家/地区之间传递,负责维护能够获取每个国家/地区策略全貌并创建适用于所有策略的集中式策略的核心团队。
3.策略设置与实施
今天的许多防火墙和防火墙服务都将数量众多的安全功能合并到一个设备或服务之中。这些功能有多个“层级”,每个防火墙内集成的功能取决于介于各个站点之间(WAN服务与专用网络、专用网络与公共互联网、公共服务器与专用网络等)的网络。另外,它们还取决于与该网段相关的漏洞/风险。
入侵防护工具可能会集成这样一类策略:对流量执行代表异常的特征码进行扫描。防火墙和安全软件厂商会针对已知恶意软件的特征码迅速制作并发送补丁,将其自动从流量中过滤掉。这就是必须确保所有设备不断更新的原因,新的威胁时时刻刻都在涌现。
安全程序还可以简单地寻找任何“不寻常”的活动――例如,特定服务器或其他计算机上出现非常多的通信请求,会使其过于“忙碌”,而造成用户无法访问。
根据某个企业必须遵从的一系列内部最佳做法和监管要求,用户访问列表和验证可能是基于角色的,且可能因国家/地区、行业而异。这对于加密数据是一样的,无论这些数据是保存在个人电脑硬盘上,还是使用IPSec或SSLVPN专用“隧道”通过网络进行传输。
4.与可信第三方合作
今时今日,要保持不断更新自己遍布全球的分支机构网络上日新月异的策略和安全设置(需要实施、评估和审核),是大型跨国企业面临的一道难题,甚至是一项不可能完成的任务。它们需要一个专注于该领域并经过授权的安全/网络运营中心(S/NOC)为其提供全天候不间断的政策和法规审查、风险评估、应对即将来临的警报并主动规避风险。
有些跨国企业会依靠自己的力量,努力管理和维护这些中心。只要新的法规和安全威胁不断出现,此类企业就必须不断为升级设备、软件和提高员工技能持续投资。
但是,也有很多跨国企业认为信息和网络安全体系并不属于公司的核心业务,不妨将持续监控、评估和审核这些工作交由专业、可信的合作伙伴来完成。
1传统防火墙的不足
传统防火墙是现代网络安全防范的主要支柱，但在安全要求较高的大型网络中存在一些不足，主要表现如下：
(1)结构性限制。传统防火墙的工作原理依赖于网络的物理拓扑结构，如今，越来越多的跨地区企业利用Internet来架构自己的网络，致使企业内部网络已基本上成为一个逻辑概念，因此，用传统的方式来区别内外网络十分困难。
(2)防外不防内。虽然有些传统防火墙可以防止内部用户的恶意破坏，但在大多数情况下，用户使用和配置防火墙主要还是防止来自外部网络的入侵。
(3)效率问题。传统防火墙把检查机制集中在网络边界处的单一接点上，因此，防火墙容易形成网络的瓶颈。
(4)故障问题。传统防火墙本身存在着单点故障问题。一旦处于安全节点上的防火墙出现故障或被入侵，整个内部网络将完全暴露在外部攻击者的前面。
2分布式防火墙的概念
为了解决传统防火墙面临的问题，美国AT&T实验室研究员StevenM.Bellovin于1999年在他的论文“分布式防火墙”中首次提出了分布式防火墙的定义，其系统由以下三部分组成：
(1)网络防火墙。网络防火墙承担着传统防火墙相同的职能，负责内外网络之间不同安全域的划分；同时，用于对内部网络中各子网之间的防护。
(2)主机防火墙。为了扩大防火墙的应用范围，在分布式防火墙系统中设置了主机防火墙。主机防火墙驻留在主机中，并根据响应的安全策略对网络中的服务器及客户端计算机进行安全保护。
(3)中心管理服务器。中心管理服务器是整个分布式防火墙的管理核心，主要负责安全策略的制定、分发及日志收集和分析等操作。
3分布式防火墙的工作模式
分布式防火墙的工作模式：由中心策略服务器统一制定安全策略，然后将这些制定好的策略分发到各个相关节点。而安全策略的执行则由相关主机节点独立实施，再由各主机产生的安全日志集中保存在中心管理服务器上，其工作模式如图所示。
分布式防火墙工作模式结构
从图中可以看出，分布式防火墙不再完全依赖于网络的拓扑结构来定义不同的安全域，可信赖的内部网络发生了概念上的变化，它已经成为一个逻辑上的网络，从而打破了传统防火墙对网络拓扑的依赖。但是，各主机节点在处理数据时，必须根据中心策略服务器所分发的安全策略来决定是否允许某一节点通过防火墙。
4分布式防火墙的构建
分布式防火墙的构建主要有如下四个步骤：
(1)策略的制定和分发。在分布式防火墙系统中，策略是针对主机制定的。在制定策略之后通过策略管理中心“推送”和主机“索取”两种机制分发到主机。
(2)日志的收集。在分布式防火墙中，日志可以通过管理中心“定期采集”、主机“定期传送”、主机“定量传送”由主机传送到管理中心。
(3)策略实施。策略在管理中心统一制定，通过分发机制传送到终端的主机防火墙，主机防火墙根据策略的配置在受保护主机上进行策略的实施。主机防火墙策略实施的有效性是分布式防火墙系统运行的基础。
(4)认证。在分布式防火墙系统中通常采用基于主机的认证方式，即根据IP地址进行认证。为了避免IP地址欺骗，可以采用一些强认证方法，例如Kerberos、X.509、IPSec等。
5分布式防火墙的主要优势
在新的安全体系结构下，分布式防火墙代表新一代防火墙技术的潮流，它可以在网络的任何交界和节点处设置屏障，从而形成了一个多层次、多协议，内外皆防的全方位安全体系。主要优势如下：
(1)分布式防火墙增加了针对主机的入侵检测和防护功能，加强了对来自内部攻击的防范，可以实施全方位的安全策略。
(2)分布式防火墙消除了结构性瓶颈问题，提高了系统性能。
(3)分布式防火墙随系统扩充提供了安全防护无限扩充的能力。
6结论
总之，在企事业单位的计算机网络安全防护中，分布式防火墙技术不仅克服了传统边界式防火墙的不足，而且把防火墙的安全防护系统延伸到网络中的各台主机。它在整个企事业网络或服务器中，具有无限制的扩展能力。随着网络的增长，它们的处理负荷也会在网络中进一步分布，从而持续地保持高性能，最终给网络提供全面的安全防护。
参考文献
[1],李臻,彭纪奎.基于入侵检测的分布式防火墙的应用研究[J].微电子学与计算机,2011(6).