作為企業網絡安全管理者，如何提高網絡管理的安全性？

網絡安全管理第壹黃金法則:壹致性原則。企業安全防護和其他信息工程壹樣，是壹個系統工程。如果采取搭積木的方法，搞企業的網絡安全工作，肯定漏洞百出。壹方面，各種信息安全管理方案可能相互沖突，但會造成網絡中的通信失敗。比如我們在單機上安裝金山毒霸的單機殺毒軟件，防火墻用的是瑞星的產品。然後可能導致部分用戶網絡軟件運行錯誤，導致操作系統明顯變慢等不良反應。另壹方面，由於各種信息管理方案之間缺乏統壹的平臺，就像拼圖遊戲壹樣。即使再嚴格，也會有差距。只要稍有空隙，就會給不法攻擊者可乘之機。他們很可能利用這個空隙進入企業，對企業網絡實施攻擊。因此，企業在設計和管理網絡安全系統時必須註意壹致性原則。壹致性原則在實際管理中主要體現在以下幾個方面。第壹，如果采用Windows的網絡管理環境，最好使用domain來管理企業網絡。因為如果企業構建壹個域環境，就可以實現對企業網絡的統壹管理。比如統壹管理企業網絡賬號，統壹管理安全策略，統壹制定應對措施等等。通過域，可以幫助企業網絡管理員在壹個平臺上實現壹致的網絡管理。二是盡可能使用企業級安全管理軟件。比如最常見的就是殺毒軟件和防火墻軟件。網絡版殺毒軟件和單機版殺毒軟件效果不同。即使每個用戶都安裝了殺毒軟件，其效果仍然不如網絡版。這主要是因為網絡版殺毒軟件不僅可以查殺每臺主機的病毒，還可以對整個網絡進行監控。而且還可以統壹管理各個客戶端的殺毒軟件，比如強制升級，殺毒等等。所以筆者的觀點是，雖然網絡版殺毒軟件價格比較高，但是如果企業對網絡安全比較敏感，還是值得購買網絡版殺毒軟件的。三是壹些網絡應用的常規設計等等。為了提高文件的安全性，防止文件被非法訪問和修改，在公司內部建立文件服務器是壹個不錯的選擇。通過文件服務器統壹每個用戶的訪問權限；定期備份服務器中的文件；對用戶的訪問進行統壹監管和控制等等。使用文件服務器作為統壹的管理平臺，可以有效提高文件的安全性。相比在用戶終端保存文件，安全系數會提高很多。總之，在企業網絡安全管理thldl.org.cn中，我們需要找到壹些統壹的管理平臺。對於那些單打獨鬥的產品，要避開。網絡安全管理的第二條黃金法則:透明選擇。我們采用的任何安全策略都應該追求對最終用戶的透明性。換句話說，即使我們采用了安全策略，用戶也不知道。這樣用戶的工作效率就不會受到壹些安全設置的影響。比如有些企業，為了提高用戶文件的安全性，會定期備份自己電腦裏的重要文件夾，比如桌面的內容或者我的文檔。用戶現在手動備份這些文件夾的內容顯然是不合適的。讓用戶多加壹項工作，他們不壹定願意做，可能會偷工減料。我們希望這個安全策略對用戶是透明的，也就是說，它可以在沒有用戶幹預的情況下完成。為此，我們可以設置當用戶開機或關機時，作為壹個觸發點，來備份這些重要的文件。這樣用戶就不用參與這個過程，對用戶是透明的。不會影響他們的工作效率。比如網絡傳輸中密文的傳輸，用戶不需要判斷是否需要對傳輸的內容進行加密，網絡會根據自己的安全設計原則進行判斷。比如現在流行的IP安全策略，有這方面的智能。IP安全策略有三個級別，即安全服務器(必須安全)、客戶端(僅響應)和服務器(請求安全)。如果壹方被設置為安全服務器，則要求與它的所有IP通信總是使用新來者來請求安全。也就是說，在發送信息之前，它會要求對方啟用IP安全加密策略。如果對方不支持，就會拒絕和自己交流。顯然，這是壹個非常高的安全級別。如果我們使用服務器級別，我們會要求對方在發送數據之前對數據進行加密。如果對方支持加密就更好了，發送方會對數據進行加密。但如果對方不支持這種加密功能，就會明文傳輸。如果是客戶端，只有當別人要求它使用加密技術時，它才會加密它傳輸的數據。這個過程很復雜。如果讓用戶手動管理，顯然不太現實。光是相互確認的過程就要占用他們很多時間。所以，現在這個過程對用戶是透明的，他們不需要幹預。當他們需要向某人發送信息時，電腦主機會自動協商，看是否需要加密。這是對用戶透明的技術。另外，說到透明，就不得不提微軟的壹個文件加密策略。微軟在NTFS文件系統中提供了EFS文件加密機制。當文件夾設置為EFS加密時，當文件保存在該文件夾中時，操作系統將根據用戶帳戶的序列號自動加密文件。這種情況下，當文件被其他用戶訪問或非法復制時，他們無法打開或以亂碼顯示，對他們沒有任何實際意義。下次文件所有者登錄操作系統打開文件時，操作系統將自動解密加密的文件。這種措施比設置文件密碼要安全得多。因為如果對WORD等文件設置了密碼，用破解工具破解就更容易了。但是，破解EFS加密的文件基本上是不可能的，因為它的密鑰很長。當然，這個加密和解密過程對用戶也是透明的。因此，筆者認為，在設計安全解決方案時，要註意對用戶透明。在這種情況下，雖然企業網絡和信息安全，但不會影響其正常工作。網絡安全管理的第三條黃金法則:木桶原理。在我們的網絡安全管理者中，有壹句話叫“外敵可擋，內賊防不勝防”。據相關統計，在企業網絡的安全事件中，來自外部的攻擊成功率約為20%；另外80%是內部攻擊造成的。這不僅包括內部員工的惡意報復；還有壹種是外部攻擊者，先攻破內網的壹臺主機，然後把這臺主機作為他們的“肉雞”進行攻擊。因此，在企業網絡安全管理中，每個環節都是重要的壹環。如果忽略了壹個環節，對方就可以猛擊這個弱點。打破這個弱點，他們就可以以此為跳板攻擊其他堡壘。因此，根據木桶原理，我們需要在網絡安全管理中均衡、全面地保護企業網絡。任何壹個環節的缺失或疏漏，都會造成整個保障體系的崩潰，導致我們的工作功虧壹簣。這就像最低的木板總是決定著壹個木桶的儲物容量。網絡攻擊者在攻擊網絡時，往往按照“最易滲透”的原則進行攻擊。換句話說，他們會先找到企業網絡中的薄弱環節進行攻擊。現在在企業網絡中找到壹個可用的跳板，然後抓住這個機會，利用網絡安全管理員的心理，從企業網絡內部對企業網絡進行攻擊。為此，我們的網絡管理員需要對企業的網絡安全體系進行綜合評估，找到最短的“木板”並進行修復。這樣才能提高整個網絡的安全性。筆者在評價銀行、證券部門等壹些有特殊安全需求的企業的網絡安全時，經常會提到“木桶原理”。我會幫他們找出現有網絡安全管理體系中哪些板子是短板，這些板子往往是攻擊者在攻擊過程中的突破點。然後提出壹些有針對性的解決方案。所以，要完善網絡安全體系，技術並不是最難的。難點在於如何找到這些“短板”。這個基本靠的不是技術，而是個人經驗。因此，在網絡安全體系的設計和管理中，要時刻牢記“木桶原理”，盡早發現企業中的短板，或者重點監控；要麽通過某種方法增加長期長度。目前，網絡安全管理越來越受到重視。只有網絡安全了，人們才能有壹個好的生活環境。因此，網絡安全管理是網絡建設的首要任務。