3.2數(shù)據(jù)安全保護

3.2.1針對入侵的安全保護

對于數(shù)據(jù)庫來說，其物理完整性、邏輯完整性、數(shù)據(jù)元素完整性都是十分重要的。數(shù)據(jù)庫中的數(shù)據(jù)有純粹信息數(shù)據(jù)和功能文件數(shù)據(jù)兩大類，人侵保護應(yīng)主要考慮以下幾條原則:

物理設(shè)備和安全防護，包括服務(wù)器、有線、無線通信線路的安全防護;

服務(wù)器安全保護，不同類型、不同重要程度的數(shù)據(jù)應(yīng)盡可能在不同的服務(wù)器上實現(xiàn)，重要數(shù)據(jù)采用分布式管理，服務(wù)器應(yīng)有合理的訪問控制和身份認證措施保護，并記錄訪問日志。系統(tǒng)中的重要數(shù)據(jù)在數(shù)據(jù)庫中應(yīng)有加密和驗證措施。

用戶對數(shù)據(jù)的存取應(yīng)有明確的授權(quán)策略，保證用戶只能打開自己權(quán)限范圍之內(nèi)的文件;

通過審計和留痕技術(shù)避免非法者從系統(tǒng)外取得系統(tǒng)數(shù)據(jù)或是合法用戶為逃避系統(tǒng)預(yù)警報告的監(jiān)督而從系統(tǒng)中取得數(shù)據(jù);

客戶端安全保護，客戶端的安全主要是要求能配合服務(wù)器的安全措施，提供身份認證、加密、解密、數(shù)字簽名和信息完整性驗證功能，并通過軟件強制實現(xiàn)各客戶機口令的定期更換，以防止口令泄漏可能帶來的損失。

3.2.2針對病毒破壞及災(zāi)難破壞的安全保護

對于病毒和災(zāi)難破壞的數(shù)據(jù)保護來說，最為有效的保護方式有兩大類:物理保護和數(shù)據(jù)備份。

要防止病毒和災(zāi)難破壞數(shù)據(jù)，首先要在網(wǎng)絡(luò)核心設(shè)備上設(shè)置物理保護措施，包括設(shè)置電源冗余模塊和交換端口的冗余備份;其次是采用磁盤鏡像或磁盤陣列存儲數(shù)據(jù)，避免由于磁盤物理故障造成數(shù)據(jù)丟失;另外，還要使用其他物理媒體對重要的數(shù)據(jù)進行備份，包括實時數(shù)據(jù)備份和定期數(shù)據(jù)備份，以便數(shù)據(jù)丟失后及時有效地恢復(fù)。

3.3人侵防范

要有效地防范非法入侵，應(yīng)做到內(nèi)外網(wǎng)隔離、訪問控制、內(nèi)部網(wǎng)絡(luò)隔離和分段管理。

3.3.1內(nèi)外網(wǎng)隔離

在內(nèi)部辦公自動化網(wǎng)絡(luò)和外網(wǎng)之間，設(shè)置物理隔離，以實現(xiàn)內(nèi)外網(wǎng)的隔離是保護辦公自動化網(wǎng)絡(luò)安全的最主要、同時也是最有效、最經(jīng)濟的措施之一。

第一層隔離防護措施是路由器。路由器濾掉被屏蔽的IP地址和服務(wù)?？梢允紫绕帘嗡械腎P地址，然后有選擇的放行一些地址進人辦公自動化網(wǎng)絡(luò)。

第二層隔離防護措施是防火墻。大多數(shù)防火墻都有認證機制，無論何種類型防火墻，從總體上看，都應(yīng)具有以下五大基本功能:過濾進、出網(wǎng)絡(luò)的數(shù)據(jù);管理進、

出網(wǎng)絡(luò)的訪問行為;封堵某些禁止的業(yè)務(wù);記錄通過防火墻的信息內(nèi)容和活動;對網(wǎng)絡(luò)攻擊的檢測和告警。

3.3.2訪問控制

力、公自動化網(wǎng)絡(luò)應(yīng)采用訪問控制的安全措施，將整個網(wǎng)絡(luò)結(jié)構(gòu)分為三部分，內(nèi)部網(wǎng)絡(luò)、隔離區(qū)以及外網(wǎng)。每個部分設(shè)置不同的訪問控制方式。其中:內(nèi)部網(wǎng)絡(luò)是不對外開放的區(qū)域，它不對外提供任何服務(wù)，所以外部用戶檢測不到它的IP地址，也難以對它進行攻擊。隔離區(qū)對外提供服務(wù)，系統(tǒng)開放的信息都放在該區(qū)，由于它的開放性，就使它成為黑客們攻擊的對象，但由于它與內(nèi)部網(wǎng)是隔離開的，所以即使受到了攻擊也不會危及內(nèi)部網(wǎng)，這樣雙重保護了內(nèi)部網(wǎng)絡(luò)的資源不受侵害，也方便管理員監(jiān)視和診斷網(wǎng)絡(luò)故障。

3.3.3內(nèi)部網(wǎng)絡(luò)的隔離及分段管理

內(nèi)部網(wǎng)絡(luò)分段是保證安全的一項重要措施，同時也是一項基本措施，其指導思想在于將非法用戶與網(wǎng)絡(luò)資源相互隔離，從而達到限制用戶非法訪問的目的。

辦公自動化網(wǎng)絡(luò)可以根據(jù)部門或業(yè)務(wù)需要分段.網(wǎng)絡(luò)分段可采用物理分段或邏輯分段兩種方式:物理分段通常是指將網(wǎng)絡(luò)從物理層和數(shù)據(jù)鏈路層上分為若干網(wǎng)段，各網(wǎng)段相互之間無法進行直接通訊;邏輯分段則是指將整個系統(tǒng)在網(wǎng)絡(luò)層上進行分段。并能實現(xiàn)子網(wǎng)隔離。在實際應(yīng)用過程中，通常采取物理分段與邏輯分段相結(jié)合的方法來實現(xiàn)隔離。

采取相應(yīng)的安全措施后，子網(wǎng)間可相互訪問。對于TCP/IP網(wǎng)絡(luò)，可把網(wǎng)絡(luò)分成若干IP子網(wǎng)，各子網(wǎng)間必須通過路由器、路由交換機、網(wǎng)關(guān)或防火墻等設(shè)備進行連接，利用這些中間設(shè)備(含軟件、硬件)的安全機制來控制各子網(wǎng)間的訪問。在這里，防火墻被用來隔離內(nèi)部

網(wǎng)絡(luò)的一個網(wǎng)段與另一個網(wǎng)段，可以限制局部網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。

3.4病毒防治

相對于單機病毒的防護來說，網(wǎng)絡(luò)病毒的防治具有更大的難度，網(wǎng)絡(luò)病毒防治應(yīng)與網(wǎng)絡(luò)管理緊密結(jié)合。網(wǎng)絡(luò)防病毒最大的特點在于網(wǎng)絡(luò)的管理功能，如果沒有管理功能，很難完成網(wǎng)絡(luò)防毒的任務(wù)。只有管理與防范相結(jié)合，才能保證系統(tǒng)正常運行。

計算機病毒的預(yù)防在于完善操作系統(tǒng)和應(yīng)用軟件的安全機制。在網(wǎng)絡(luò)環(huán)境下，病毒傳播擴散快，僅用單機防殺病毒產(chǎn)品已經(jīng)難以清除網(wǎng)絡(luò)病毒，必須有適用于局域網(wǎng)、廣域網(wǎng)的全方位防殺病毒產(chǎn)品。為實現(xiàn)計算機病毒的防治，可在辦公自動化網(wǎng)絡(luò)系統(tǒng)上安裝網(wǎng)絡(luò)病毒防

治服務(wù)器，并在內(nèi)部網(wǎng)絡(luò)服務(wù)器上安裝網(wǎng)絡(luò)病毒防治軟件，在單機上安裝單機環(huán)境的反病毒軟件。安裝網(wǎng)絡(luò)病毒防治服務(wù)器的目標是以實時作業(yè)方式掃描所有進出網(wǎng)絡(luò)的文件。本地網(wǎng)絡(luò)與其它網(wǎng)絡(luò)(包括I1}1ITR1V}1'和各種局域網(wǎng))間的數(shù)據(jù)交換、本地網(wǎng)絡(luò)工作站與服務(wù)器間

的數(shù)據(jù)交換、本地網(wǎng)絡(luò)各工作站之間的數(shù)據(jù)交換都要經(jīng)過網(wǎng)絡(luò)病毒防治服務(wù)器的檢測與過濾，這樣就保證了網(wǎng)絡(luò)病毒的實時查殺與防治。

3.5數(shù)據(jù)恢復(fù)

辦公自動化系統(tǒng)數(shù)據(jù)遭到破壞之后，其數(shù)據(jù)恢復(fù)程度依賴于數(shù)據(jù)備份方案。

數(shù)據(jù)備份的目的在于盡可能快地全盤恢復(fù)運行計算機系統(tǒng)所需的數(shù)據(jù)和系統(tǒng)信息。根據(jù)系統(tǒng)安全需求可選擇的備份機制有:實時高速度、大容量自動的數(shù)據(jù)存儲、備份與恢復(fù);定期的數(shù)據(jù)存儲、備份與恢復(fù);對系統(tǒng)設(shè)備的備份。備份不僅在網(wǎng)絡(luò)系統(tǒng)硬件故障或人為失誤時

起到保護作用，也在人侵者非授權(quán)訪問或?qū)W(wǎng)絡(luò)攻擊及破壞數(shù)據(jù)完整性時起到保護作用，同時亦是系統(tǒng)災(zāi)難恢復(fù)的前提之一。

4.結(jié)束語