在短短不足二十年的时间内，计算机网络以惊人的速度渗透到人类社会各个层面，人类已经全面地跨入了信息化、网络化时代。信息与网络正以前所未有的方式悄然改变着人们日常生活的组织方式、经济的运作方式以至国家安全的保障方式。
在短短不足二十年的时间内，计算机网络以惊人的速度渗透到人类社会各个层面，人类已经全面地跨入了信息化、网络化时代。信息与网络正以前所未有的方式悄然改变着人们日常生活的组织方式、经济的运作方式以至国家安全的保障方式。
在这个信息化的时代，任何受计算机驱动的系统都可能遭遇到入侵与破坏，由此可以得出一个可怕的信号——任何保存有敏感信息的计算机系统一旦遭遇入侵和破坏，则会对国家、集体或个人利益带来灾难性的损失。因此，信息安全受到了越来越高的重视。
安全，就是在寻求平衡
那么，什么才能叫做信息安全呢？
简单地说，在网络环境里的安全指的是一种能够识别和消除不安全因素的能力。换言之，抵御不安全事物的能力就是安全。
安全的一般性定义要求必须解决保护单位财产的需要，包括敏感信息和物理设备(例如计算机本身)。
而信息安全的负责人必须决定谁有权在什么时候，在具体的设备上进行怎样的操作才算是合适的。当涉及到单位内部安全的时候，还得知道，在部门与部门之间，所谓“合适操作”的定义都是不同的。任何一个具有网络的单位都必须具备解决适宜性、从属性和物理安全问题的安全政策。
那么，百分之百的安全是否就真的存在呢？曾经有专家开玩笑说，只有绝对跟网络没有任何连接，而又被锁在一个很安全的地方（并且将钥匙扔掉）的计算机，才能叫做一台安全的计算机。
由此我们可以看出，所谓的“安全”，只是一个相对的概念。绝对的“安全”，所带来的是绝对的“不可用”。安全，就是在寻求平衡。我们想要的安全，就是使用有效而不会给那些真正想要取得信息的用户以增加多余的负担。一旦你所提出的安全方案过于繁杂，用户便会对这一系列的安全措施产生厌烦心理，从而自己对这些安全措施产生规避，这就导致安全体系从内部被突破，黑客便会通过用户们有意无意的规避行为进行入侵。因此，拥有一个过分繁杂的安全政策将导致比没有安全政策还要低效的安全。
安全体系，策略是根基
随着电影《黑客帝国》在全球的轰动，“矩阵”（Matrix）这个数学名词已经成为了一个流行语。在计算机网络学中，这个词表示由无数终端、通讯线路、服务器、安全设备等硬件，以及各种可见不可见的软件或信息流组成的庞大体系。而一个庞大的矩阵本身又可以由很多其它的矩阵组成，如完成信息安全功能的矩阵就是安全矩阵。
一个安全矩阵，由单个的操作系统的安全特征、日志服务以及其它设备如硬件或软件防火墙、入侵检测系统、审计系统等等组成。一个安全矩阵是灵活而可扩展的，拥有很强大的预警和报告功能，下表将表现安全矩阵系统功能的几个主要方面。
从表中我们可以看到，构建一个安全矩阵或者说安全体系，需要遵循的几个基本原则。而此时我们需要考虑的是哪些资源有必要置于我们的安全矩阵保护之下，一般来说，我们将IT资产划为如下四个种类：
第一， 终端用户资源（员工使用的各种版本的windows操作系统或MAC系统的主机）。这类资产主要的潜在威胁来自病毒、木马、Java小程序等对本地系统造成的危险。
第二， 网络资源（路由器、交换机、电话系统等），这类资产主要的潜在威胁来自IP欺骗，系统探测及相关信息被获取。
第三， 服务器资源（包括文件服务器、DNS服务器、E-MAIL服务器、FTP服务器、ERP服务器以及其它应用服务器等等），潜在安全威胁包括非授权侵入、截取服务和木马。服务器资源经常成为最主要的目标。
第四， 信息存储资源（包括人力资源和电子商务数据库等），这类资产的潜在威胁是商业机密、交易行为和消费者的数据泄露等等。
在这个金字塔状的图表中，每个元素都跟其它元素保持通信（不管是通过网络或是操作系统内部通讯），以保持整个安全矩阵体系的完整性。而整个体系的根基，就是处于金字塔最底部的安全策略。
管理、使用和执行一个安全策略，审计用户行为，并试图确定安全问题（包括非法的用户操作、一个低版本补丁的操作系统或一个来自网络外部的入侵），行政管理层和网络安全官将创建一个共同的安全政策，因为这样才能为所有的网络行动提供基础。
安全策略的制定
如何才能完成一项安全策略的制定呢？
首先，我们需要建立有效的安全基础，包括安全资源和人力资源。安全资源是指我们首先需要拥有充足的安全信息以及各种安全软硬件设备；而人力资源则需要保证所有的人员都能尽快和尽职地遵守安全规章并完成工作。
安全策略必须为整个机构提供指导方针。它是建立安全系统所使用的防御第一线，必须确保安全策略不与公司的目标和实际活动相抵触，因此，必须对资源做合理的保护。为了确定IT资源到底需要什么程度的保护，必须确定它将遇到多大危险。一个内部用户工作站很显然比—个WEB服务器遇到的危险要小得多，因为后者直接暴露在 Internet上，为了减少危险，应该采取以下步骤：
● 为你的系统分类
● 确定每种类型的危险因素
● 确定每个系统的安全优先级
● 定义可接受和不可接受的活动
● 决定在安全问题上该如何教育所有员工
● 确定由谁来管理安全策略
一旦确定了危险因素和资源的优先级，将能确定对每一部分资源采取什么样的安全措施，根据资源的情况记录安全政策。举个例子说，可以指定用户的工作站必须运行最新的防病毒软件，外部路由器在外部端口过滤掉Telnet端口，最重要的资源，例如E-mail服务器和商务数据库服务器，则需要最详细和最严格的保护。
一般来说，我们将系统按照安全需求分为三种，如下表所示：
安全管理员经常犯下这样的错误，即把太多的资源划到级别l。级别1的资源仅仅是那些不太可能产生问题的资源。例如：E-mail已经成为了大多数机构中最重要的构成元素，很多网络管理员把它归划为级别l资源，因为它们对网络其它部分提供了一个基础。对于用户而言，大多数机器都不是级别1资源，即使CEO的笔记本电脑坏了，但是公司其它的电脑毫无疑问的在CEO电脑维修期间仍旧正常工作。类似的，一个非电子商务站点并不会把它的WEB服务器作为级别1资源，应该小心谨慎地权衡每种情况，举个例子：如果单位使用局域网，那么它的Web服务器是多么重要？应该依据下面的标准来做出判断。
● 机器的流量是多少?
● 机器上信息的敏感度，服务器是仅仅包括少量的链接还是作为“神经中枢”(即重要的信息在这里进行交换)。
● 根据系统的性质，一些系统天生比其它系统更加安全（如Linux或者Unix总的来说比Windows系列安全）。
在把公司资源都分类以后，安全实施计划中应该包括一个危险优先级列表和—个行动列表，应该根据每个系统和它的信息(包括多余系统的可用性等等)的重要性而定。这种优先级列表是重要的，因为当发生事故时，员工将不会去决定什么应该先被抢救，从而损害公司整个的安全。很多公司很少有充足的人手和资源去解决所有级别1系统。
此外，应该从财政状况以及时间上考虑优先级，问自己以下几个问题：
● 我能为这部分资源花费多少钱和时间?
● 哪种级别的资源需要最大的安全?
一个级别l的系统含有重要的资源并要慎重考虑，但—个级别3的系统也许仅仅需要病毒检查，—个不切实际的政策将伤害一个公司保护自己的能力，甚至可能伤害公司有效通信的能力。如果你正在用信用卡进行电子消费或电子现金交易，就需要对在这些系统里用到的数据和服务器进行特别保护，如果系统被成功渗透，将对被盗用的信用卡帐号或其它信息付出代价，更为重要的是公司的声誉将很难恢复。
为了对特殊的资源设计安全策略，一个有经验的安全管理员必须区别出可接受和不可接受的活动。这样的活动必须根据每类资源而定。对于安全理论而言，可接受和不可接受的范畴总是有效的；然而，机构组织将根据需要来确定不同的可接受活动，一个对于一家公司是可行的政策可能会对另外一家公司带来灾难性后果。因此，尽管基本原则是一致的，但是个体的实际应用将会是不同的甚至是根本的不同。
可接受的活动。对于每一类资源，可接受的活动将是不同的。假设对于公司的Web站点可接受的活动包括允许用户仅仅浏览在公共文件夹里的HTML页的内容和提交请求，你的政策将给予系统管理员额外的权限，使他们可以访问Web站点服务器的所有目录，并且进行管理。最后你的安全政策将毫无疑问地给予你的Webmaster(网站管理员)更深的访问权限，以使得他从事可接受活动。
不可接受的活动及实施。对于每一类资源，不可接受的活动也是不同的。当你定义什么是不可接受活动时，可以使用两种方式中的一种：可以先列举出什么是可接受的，这样就建立了一个不可接受的列表；或者清晰地列举出什么是不可接受的。每个方法都有它自己的优点和缺点，如果使用不当，—个可接受活动的列表经常是范围太广，并且实际上常与用户活动产生矛盾，阻碍了公司的正常工作。后面一种经常遗漏掉不可接受的活动，使得保护产生漏洞。如果把策略遗漏了一个重要的活动或者几个活动的组合，则一个黑客可以找出这个策略的漏洞。因为没有两个商业团体是相同的，所以不可接受活动没有一个清晰的定义，因此经常必然地把不可接受的活动定义为——任何没经具体标明为是“可接受的”活动。然而使用如此一个大的范围制订和实施一个安全基础设施将是很困难的。
因此最好的解决方案是定期定义和列举出不可接受的活动，这样做可能会花费一些时间，并且需要经常更新。但是也将能够建立一个有效的政策，扩展一下上面假设的例子，你也许想要除了网络管理员之外，任何人都不能修改HTML文件的内容，通过列举出这样的活动，能确保这些活动在保护机制里已经被具体地说明，并且用户也已经知道了我们的策略。
最后一个问题则是，如何对我们的员工进行安全方面的教育，我们同样可以用一个表格来表示。
综上所述，有效的安全结果来自—个有效的安全策略，在本文中，我们介绍了一个安全策略是由不同的技术、服务和机制来—起工作的。安全策略的目的，就是利用一些可靠的技术和规则，如加密、主动式和被动式审计、存取控制等来获得可靠的安全。当然，我们也不能忘记，要慎重考虑安全所带来的—些负面影响，要尽可能使安全措施对于一般用户来说不过于复杂。
网友评论