(赤峰市生产力促进中心，内蒙古 赤峰 024000)
摘 要：文章指出，随着网络技术的迅速发展，大部分企 事业单位都组建了内部局域网，为了更好地解决内部局域网的安全问题，需要有更为开阔的 思路来看待内部局域网的安全问题，从而使内部局域网信息真正得到安全保障。
关键词：计算机病毒；防火墙；保密；局域网
中图分类号：TP393.1 文献标识码：A 文章编 号：1007—6921(2008)24—0086—01
随着信息技术特别是网络技术的发展，大部分的企事业单位都组建了内部局域网，实现了资 源共享，在方便信息传递的同时，极大地提高了工作效率，已成为日常工作中不可或缺的重 要组成部分。局域网由于它具有开放共享的特点，使得分布在各台主机中的重要信息资源处 于一种高风险的状态，很容易受到来自系统内部和外部的非法访问。要提高内网的安全，可 以使用的方法很多，就此做一些探讨。
1 采用安全交换机
由于内网的信息传输采用广播技术，数据包在广播域中很容易受到监听和截获，因此需要使 用安全交换机，利用网络分段及VLAN的方法从物理上或逻辑上隔离网络资源，以加强内网的 安全性。
2 操作系统的安全
从终端用户的程序到服务器应用服务以及网络安全的很多技术，都是运行在操作系统上的， 因此，保证操作系统的安全是整个安全系统的根本。除了不断增加安全补丁之外，还需要建 立一套对系统的监控系统，并建立和实施有效的用户口令和访问控制等制度。
3 对重要资料进行备份
在内网系统中数据对用户的重要性越来越大，实际上引起电脑数据流失或被损坏、篡改的因 素已经远超出了可知的病毒或恶意的攻击，用户的一次错误操作，系统的一次意外断电以及 其他一些更有针对性的灾难可能对用户造成的损失比直接的病毒和黑客攻击还要大。为了维 护内网的安全，必须对重要资料进行备份，以防止因为各种软硬件故障、病毒的侵袭和黑客 的破坏等原因导致系统崩溃，进而蒙受重大损失。对数据的保护来说，选择功能完善、使用 灵活的备份软件是必不可少的。目前应用中的备份软件是比较多的，配合各种灾难恢复软件 ，可以较为全面地保护数据的安全。
4 使用代理网关
使用代理网关的好处在于，网络数据包的交换不会直接在内外网络之间进行。内部计算机必 须通过代理网关，进而才能访问到Internet，这样操作者便可以比较方便地在代理服务器上 对网络内部的计算机访问外部网络进行限制。在代理服务器两端采用不同协议标准，也可以 阻止外界非法访问的入侵。还有，代理服务的网关可对数据封包进行验证和对密码进行确认 等安全管制。
5 设置防火墙
防火墙的选择应该适当，对于微小型的内部网络，可从Norton Internet Security、PC—ci llin、天网个人防火墙、瑞星个人防火墙等产品中选择适合的个人防火墙。而对于具有内部 网络的单位来说，则可选择在路由器上进行相关的设置或者购买更为强大的防火墙产品。对 于几乎所有的路由器产品而言，都可以通过内置的防火墙防范部分的攻击，而硬件防火墙的 应用，可以使安全性得到进一步加强。
6 信息保密防范
为了保障网络的安全，也可以利用网络操作系统所提供的保密措施。以windows为例，进行 用户名登录注册，设置登录密码，设置目录和文件访问权限和密码，以控制用户只能操作什 么样的目录和文件，或设置用户级访问控制，以及通过主机访问Internet等。同时，可以加 强对数据库信息的保密防护。网络中的数据组织形式有文件和数据库两种。由于文件组织形 式的数据缺乏共享性，数据库现已成为网络存储数据的主要形式。由于操作系统对数据库没 有特殊的保密措施，而数据库的数据以可读的形式存储其中，所以数据库的保密也要采取相 应的方法。电子邮件是企业传递信息的主要途径，电子邮件的传递应行加密处理。针对计算 机及其外部设备和网络部件的泄密渠道，如电磁泄露、非法终端、搭线窃取、介质的剩磁效 应等，也可以采取相应的保密措施。
7 从攻击角度入手
目前，计算机网络系统的安全威胁有很大一部分来自拒绝服务(DoS)攻击和计算机病毒攻击 。为了保护网络安全，也可以从这几个方面进行。对付“拒绝服务”攻击有效的方法，是只 允许跟整个web站台有关的网络流量进入，就可以预防此类的黑客攻击，尤其对于ICMP封包包括ping指令等，应当进行阻绝处理。通过安装非法入侵侦测系统，可以提升防火墙的性能 ，达到监控网络、执行立即拦截动作以及分析过滤封包和内容的动作，当窃取者入侵时可以 立刻有效终止服务，以便有效地预防企业机密信息被窃取。同时应限制非法用户对网络的访 问，规定具有IP地址的工作站对本地网络设备的访问权限，以防止从外界对网络设备配置的 非法修改。
8 防范计算机病毒
从病毒发展趋势来看，现在的病毒已经由单一传播、单种行为，变成依赖互联网传播，集电 子邮件、文件传染等多种传播方式，融黑客木马等多种攻击手段为一身的广义的“新病毒” 。计算机病毒更多的呈现出如下的特点：与Internet和Intranet更加紧密地结合，利用一切 可以利用的方式(如邮件、局域网、远程管理、即时通信工具等)进行传播；所有的病毒都具 有混合型特征，集文件传染、蠕虫、木马、黑客程序的特点于一身，破坏性大大增强；因为 其扩散极快，不再追求隐藏性，而更加注重欺骗性；利用系统漏洞将成为病毒有力的传播方 式。因此，内网考虑防病毒时选择产品需要重点考虑以下几点：防杀毒方式需要全面地与互 联网结合，不仅有传统的手动查杀与文件监控，还必须对网络层、邮件客户端进行实时监控 ，防止病毒入侵；产品应有完善的在线升级服务，使用户随时拥有最新的防病毒能力；对病 毒经常攻击的应用程序提供重点保护；产品厂商应具备快速反应的病毒检测网，在病毒爆发 的第一时间即能提供解决方案；厂商能提供完整、即时的反病毒咨询，提高用户的反病毒意 识与警觉性，尽快地让用户了解到新病毒的特点和解决方案。
9 密钥管理
在现实中，入侵者攻击Intranet目标的时候，90％会把破译普通用户的口令作为第一步。以 Unix系统或Linux系统为例，先用“finger远端主机名”找出主机上的用户账号，然后用字 典穷举法进行攻击。这个破译过程是由程序来完成的。大概十几个小时就可以把字典里的单 词都完成。如果这种方法不能奏效，入侵者就会仔细地寻找目标的薄弱环节和漏洞，伺机夺 取目标中存放口令的文件shadow或者passwd。然后用专用的破解DES加密算法的程序来解析 口令。在内网中系统管理员必须要注意所有密码的管理，如口令的位数尽可能的要长；不要 选取显而易见的信息做口令；不要在不同系统上使用同一口令；输入口令时应在无人的情况 下进行；口令中最好要有大小写字母、字符、数字；定期改变自己的口令；定期用破解口令 程序来检测shadow文件是否安全。没有规律的口令具有较好的安全性。
10 结束语
以上九个方面仅是多种保障单位内部局域网信息安全措施中的一部分，为了更好地解决局域 网的安全问题，需要有更为开阔的思路看待局域网的安全问题。在安全的方式上，为了应付 比以往更严峻的“安全”挑战，安全不应再仅仅停留于“堵”、“杀”或者“防”，应该以 动态的方式积极主动应用来自安全的挑战，保证单位内部局域网信息真正得到安全保障。