信息系统安全防护控制策略

2018-01-26 14:09:56 大云网　点击量：评论 (0)

随着互联网技术、计算机技术、通信技术的发展，信息化已经渗透到我们的日常生活，改变了人们的生活方式和工作模式，信息化程度已经成为衡量

随着互联网技术、计算机技术、通信技术的发展，信息化已经渗透到我们的日常生活，改变了人们的生活方式和工作模式，信息化程度已经成为衡量企业集团发展阶段的重要标志。人们在感受到信息化给日常生活、办公带来巨大变化的同时也应该清醒的认识到，信息系统安全问题已成为影响国家、政治、经济、文化、教育、企事业单位的发展的重要因素。尤其是涉及国防科技工业、军队的涉密企事业单位，信息系统的安全显得尤为重要。在信息系统的日常运行与维护中，外界入侵者利用操作系统或者应用系统的自身缺陷进行攻击，内部人员发泄性的恶意攻击，系统管理人员的误操作等等，这些都可能导致信息系统的数据丢失，情节严重的可能会导致系统瘫痪，进而影响系统的运行。

1、信息系统的安全接入技术

信息系统的安全防护技术主要有VLAN 划分，MAC地址绑定，配置ACL等。其目的是确保接入该系统的终端设备是安全、可信的。在图1 所示的拓扑图中，由内部网络、DMZ 区域、外网区域三部分组成。左边为内部网络，我们也称之为trust区域。即对于管理员来讲是可信区域，内部网络中不同的部门被划分在不同的VLAN 中，VLAN 之间不能相互通信，同一VLAN 成员之间可以相互通信，内部成员可以访问内网邮件系统、OA系统等;将内网与防火墙的内网接口相连形成的区域称之为非军事区，即DMZ 区域。DMZ 区域负责为外网提供WEB 浏览服务;将防火墙的外网口与外部网络相连称之为外部区域，即untrust 区域，对于管理员来讲是非可信区域，即可能存在外部的攻击、入侵等行为的地方。

信息系统安全防护控制策略

2、访问控制策略的设置

CISCO 交换机将网络模型分为三层：接入层、分配层、核心层，其中接入层主要负责终端设备的安全接入，确保接入终端的合法、唯一、可靠、安全;分配层负责数据的路由和过滤功能;核心层主要负责数据的高速转发，提高网络的吞吐率。

信息系统安全防护控制策略

本论文利用Cisco Packet Tracer 5.3 模拟器对访问接入控制策略进行仿真，如图2 所示。市场部占用192.168.1.0/24，财务部占用192.168.2.0/24，科技部占用192.168.3.0/24，人力占用192.168.4.0/24。为内网提供办公系统服务器IP 地址为192.168.10.1，ERP 系统的IP 地址为192.168.20.2，邮件系统为192.168.30.3，人力系统地址为192.168.40.4。

2.1 VLAN 划分

VLAN 是Virtual Local Area Network 的缩写，在信息系统中，划分VLAN 有许多优点：

1) 隔离网络广播。

2) 简化网络管理。

3) 增强网络安全性。

4) 提高网络管理的灵活性。

VLAN 有静态VLAN 和动态VLAN 之分，静态VLAN 具有安全性高、更容易设置和监控而被管理员经常采用。假设市场部占用VLAN10，财务部占用VLAN20，科技部占用VLAN30，人力占用VLAN40。这便完成了各个部门之间广播域的隔离。

信息系统安全防护控制策略

2.2 MAC 地址绑定

为交换机端口制定MAC 绑定策略是保证接入终端唯一性的保证，部分命令如下：

Switch (config-if) # switchport port-security maximum 1

Switch (config-if) # switchport port-security mac-address sticky

Switch (config-if) # switchport port-security violation shutdown

完成上述配置后，用show mac-address 命令查看MAC表，该表中只有VLAN10的两台PC的MAC地址分别接入fa0/1 和fa0/2。通过对端口进行MAC地址绑定，sticky命令即可以将首次接入交换机的终端设备MAC地址记录在MAC 表中。当有其他设备试图接入网络时，该端口会因违反该策略而被关闭。此时需要管理员手动开启该端口，并对违反该策略的终端设备的情况进行备案。当接入一台未绑定策略的计算机试图ping 192.168.1.3 时，返回request timed out，即该设备不能访问该网络。如图4 所示。

信息系统安全防护控制策略