论文部分内容阅读
我们经常说，安全都是相对的。这句话的意思是，不是把所有能用到的安全设备都“嵌”在网络平台上，这个系统就是安全的。使用源于需求，我们在进行安全环境搭建前，首先要确定保护的目标。被保护的重点不一样、安全级别不一样，需要使用的安全措施就会有差别。我们应该做到有的放矢，而不是昂贵的安全设备堆砌。
本文将从基础环境、网络边界、应用级别、数据级别四方面进行的安全产品部署、安全策略说明。
箴言一：基础环境要评估
提到设备部署，必须要对供电环境也就是基础环境进行考量，以使内部保障设备每天能够正常开启或者24小时运转。除了设备的物理环境保障外，还要充分建立起主机房内完善的防盗、防火、温控、通风以及监控、报警设施，加强机房安全管理和人员进出入制度管理，做到设置不同的访问权限、密码定期更换、身份识别等要素，这些是最基本的安全措施。
箴言二：网络边界保安全
网络设备本身也有可能受攻击，要防止这类安全隐患，一方面要选用成熟的网络产品；另一方面，要对网络设备进行合理地配置，控制网络用户可达的区域和端口。从网络系统安全方面，这里主要分析边界安全设备的部署。常见的设备包括防火墙和入侵检测。
1．防火墙
防火墙主要用于过滤不安全的访问，提高网络的安全性。对于外部访问和内部访问，有着不同的安全级别要求，均需通过防火墙的合理配置，提供内部用户访问和外部用户访问的两个通道，通过IP地址过滤、TCP/IP端口过滤等措施，使内部用户可作为信任区域直接通过防火墙访问系统内部服务器，而外部用户则只能在有限的权限和范围内对开放的服务器应用进行访问。而IP地址过滤、TCP/IP端口过滤也是将攻击防御在外的有效措施之一。
2．网络入侵检测（ids）
在网络中部署入侵检测系统，通过对流经网络的数据进行监控和分析，能够及时发现攻击行为，通过记录、报警和阻断等方式保护系统的安全。
此外，通过防火墙和IDS联动，可以进行两种安全策略的优势互补，增强系统的安全防护。
箴言三：应用系统重防御
应用安全是指，在应用层上保证资源整合项目中各个应用系统的信息安全。应用层的信息安全是面向用户和应用程序的，它采用授权管理、应用审计以及数据库安全作为基本手段，可根据具体应用系统的实际需求，提供灵活而可靠的分期部署信息安全保障。
从应用系统角度来说，计算机系统的威胁来源主要来自于外部和内部。其中内部入侵尤为值得关注，其一般都是本系统的合法用户，但并未得到相关权限授权。内部入侵者又可以被进一步分为：
假冒者 他们偷取其他用户的标识，获得那些用户的权限。
秘密用户 他们成功躲开审计机制，执行一些非法操作。
违法行为者 他们是滥用权利的授权用户。
针对上述的安全威胁来源，我们可以选用网页防篡改系统、Web安全防御、安全审计设备、认证服务等产品或应用进行防御。当然，系统内部服务器部署杀毒软件，也是一个补救措施。
从另一方面来说，应用系统包括多项业务，有不同的工作对象和业务操作，需要一种集中管理的手段，实时采集分布的日志，对整个业务流程进行监控。同时，也需要统计和分析工具进行直观地数据汇总。
箴言四：数据保护不忽视
数据层的安全除了需要考虑数据库的安全之外，还需考虑其他非结构化数据的安全。
数据库安全机制涉及本系统的各个安全区域。除尽量避免由于客观因素，如掉电、火灾所造成的物理性破坏外，设计一个好的数据库结构也是一个关键。好的数据库结构包括对一个字段的修改不至于影响其他字段以保持逻辑完整性、定期数据库备份以及设置一个合理的数据库权限管理等要素。
其中，需要提醒的是，我们需要在数据库系统设计时就做好安全规划，而不要“亡羊补牢”。比如，在设计时，应用系统就要采取三层应用结构，通过采取应用中间件的策略，保证最终用户不能直接访问数据库。此外，我们还可以执行对远程数据库连接进行加密、选择性部署数据库扫描器以及数据库主机网络入侵检测系统等操作。
从更深层次的安全角度来讲，还可以再增加下列安全措施：
数据加密存放；
用户身份鉴别 确保每个用户被正确识别，避免非法用户入侵；
访问控制 指对用户可访问的数据进行分级管理，授权访问。
为了确保系统的稳定和在灾难发生时的迅速恢复，系统需要经常进行数据备份和容灾，以保证备份数据的实时有效性，在灾难恢复时可靠有效。当然，根据信息系统的实际情况，规划好备份策略，也是采用备份软件实现数据保护效果的关键措施。
上述的分析只是安全环境部署的某几个层面，应该说，其中任何一个层面，都可以成为一个研究课题，其中涉及的技术细节和实现方式，也是多种多样的。在进行系统搭建前，进行细致合理的规划，使系统能够高效、稳定运行，才是我们做安全部署的最终目的。
本文将从基础环境、网络边界、应用级别、数据级别四方面进行的安全产品部署、安全策略说明。
箴言一：基础环境要评估
提到设备部署，必须要对供电环境也就是基础环境进行考量，以使内部保障设备每天能够正常开启或者24小时运转。除了设备的物理环境保障外，还要充分建立起主机房内完善的防盗、防火、温控、通风以及监控、报警设施，加强机房安全管理和人员进出入制度管理，做到设置不同的访问权限、密码定期更换、身份识别等要素，这些是最基本的安全措施。
箴言二：网络边界保安全
网络设备本身也有可能受攻击，要防止这类安全隐患，一方面要选用成熟的网络产品；另一方面，要对网络设备进行合理地配置，控制网络用户可达的区域和端口。从网络系统安全方面，这里主要分析边界安全设备的部署。常见的设备包括防火墙和入侵检测。
1．防火墙
防火墙主要用于过滤不安全的访问，提高网络的安全性。对于外部访问和内部访问，有着不同的安全级别要求，均需通过防火墙的合理配置，提供内部用户访问和外部用户访问的两个通道，通过IP地址过滤、TCP/IP端口过滤等措施，使内部用户可作为信任区域直接通过防火墙访问系统内部服务器，而外部用户则只能在有限的权限和范围内对开放的服务器应用进行访问。而IP地址过滤、TCP/IP端口过滤也是将攻击防御在外的有效措施之一。
2．网络入侵检测（ids）
在网络中部署入侵检测系统，通过对流经网络的数据进行监控和分析，能够及时发现攻击行为，通过记录、报警和阻断等方式保护系统的安全。
此外，通过防火墙和IDS联动，可以进行两种安全策略的优势互补，增强系统的安全防护。
箴言三：应用系统重防御
应用安全是指，在应用层上保证资源整合项目中各个应用系统的信息安全。应用层的信息安全是面向用户和应用程序的，它采用授权管理、应用审计以及数据库安全作为基本手段，可根据具体应用系统的实际需求，提供灵活而可靠的分期部署信息安全保障。
从应用系统角度来说，计算机系统的威胁来源主要来自于外部和内部。其中内部入侵尤为值得关注，其一般都是本系统的合法用户，但并未得到相关权限授权。内部入侵者又可以被进一步分为：
假冒者 他们偷取其他用户的标识，获得那些用户的权限。
秘密用户 他们成功躲开审计机制，执行一些非法操作。
违法行为者 他们是滥用权利的授权用户。
针对上述的安全威胁来源，我们可以选用网页防篡改系统、Web安全防御、安全审计设备、认证服务等产品或应用进行防御。当然，系统内部服务器部署杀毒软件，也是一个补救措施。
从另一方面来说，应用系统包括多项业务，有不同的工作对象和业务操作，需要一种集中管理的手段，实时采集分布的日志，对整个业务流程进行监控。同时，也需要统计和分析工具进行直观地数据汇总。
箴言四：数据保护不忽视
数据层的安全除了需要考虑数据库的安全之外，还需考虑其他非结构化数据的安全。
数据库安全机制涉及本系统的各个安全区域。除尽量避免由于客观因素，如掉电、火灾所造成的物理性破坏外，设计一个好的数据库结构也是一个关键。好的数据库结构包括对一个字段的修改不至于影响其他字段以保持逻辑完整性、定期数据库备份以及设置一个合理的数据库权限管理等要素。
其中，需要提醒的是，我们需要在数据库系统设计时就做好安全规划，而不要“亡羊补牢”。比如，在设计时，应用系统就要采取三层应用结构，通过采取应用中间件的策略，保证最终用户不能直接访问数据库。此外，我们还可以执行对远程数据库连接进行加密、选择性部署数据库扫描器以及数据库主机网络入侵检测系统等操作。
从更深层次的安全角度来讲，还可以再增加下列安全措施：
数据加密存放；
用户身份鉴别 确保每个用户被正确识别，避免非法用户入侵；
访问控制 指对用户可访问的数据进行分级管理，授权访问。
为了确保系统的稳定和在灾难发生时的迅速恢复，系统需要经常进行数据备份和容灾，以保证备份数据的实时有效性，在灾难恢复时可靠有效。当然，根据信息系统的实际情况，规划好备份策略，也是采用备份软件实现数据保护效果的关键措施。
上述的分析只是安全环境部署的某几个层面，应该说，其中任何一个层面，都可以成为一个研究课题，其中涉及的技术细节和实现方式，也是多种多样的。在进行系统搭建前，进行细致合理的规划，使系统能够高效、稳定运行，才是我们做安全部署的最终目的。