引言

随着网络数据通信技术的发展和网络中各种应用的不 断丰富，网络信息安全问题也开始逐渐为人们所关注。人 们在网络信息安全部署策略中，更多的精力是在关注网络 边界的安全防护，如将内外网物理隔离网闸、防火墙、入 侵防御系统IPS等，但据独立第三方机构统计：超过50％ 的信息安全问题是源于内部人员，其次才是外部人员(黑客) 的信息攻击。因为内部网络是一个由网络通信设备与信息 业务系统所组成的复杂环境，连接方便，应用业务系统多，
关键数据多是其明显的特点，如果疏于对内部网络的信息
安全防范，那么就极易导致关键应用系统被非法使用、数 据被窃取、篡改、破坏等情况，因此，注重内部网络信息安 全系统的建设，有效抵御源自内部网络的信息安全攻击，其 意义较之于外网边界安全防范更为重要。

1                内网的安全分析

伴随着教育、政务、医疗、商务、金融等活动的电子化、 网络化、信息化程度不断提高，内部网络的建设规模也在不 断扩大，当前在内部网络中的网络通信及信息安全方面呈现
出的关键特点是： (1)用户信息安全专业知识较为缺乏：绝大多数用户所
拥有的网络通信及信息安全防范知识均十分有限，不能有效 处理存在的信息安全漏洞。
(2)信息访问的方式丰富在网络通信环境中存在多种 进出方式，较多的远程接入登录方式以及各种通信制式的 Intemet访问方式都会使安全控制策略的设立难于管理，复 杂化。
(3)技术迅速发展变化：不断有新的技术、操作系统、
设备和应用系统被开发出来，安全部署方式和配嚣也在不 断变化。
(4)设备种类和数量繁多：包括各类网络通信设备、操 作系统，PC，业务系统、服务器，加密设备等，且每种设备 均有其独立的安全运行状况和保密能力。
内部网络的安全风险主要来自几个方面一、可用性，指 信息系统硬件或软件发生非预期停止，如设备意外故障、信 息通信中断．软件意外失效等；二，非法用户的威胁，指非 法用户或仅有低权限的用户试图越权使用，对系统造成破坏， 如内部员工越权访问、恶意入侵、数据窃听、传播恶意代码， 物理破坏等；三，合法用户的威胁，指拥有合法信息系统授 权的用户在信息系统管理方面有意或无意的破坏，如违规使 用、错误操作、抵赖等；四、物理环境，指由环境或不可抗 力因素造成信息系统破坏，如电源中断和自然灾难等⋯。

2   内网信息安全系统建设的主要内容

受内部网络的组成、管理和使用的特点决定，在内部网 络信息安全系统的建设中应该重点考虑信息安全的评估，信 息的管理、用户的管理，信息安全审计这4方面。
2．1信息安全的评估 安全评估是指根据信息安全管理方针和策略，综合考虑
行政组织特性、地理位置、组织资产和已有技术等因素，利 用各类技术评估手段对信息系统的安全现状进行评估，确定 安全威胁，弱点和资产价值所带来的安全风险程度，并选择 合适的控制目标和控制方法。信息安全评估的内容包括：网 络通信基本情况调查、组织和政策情况调查、信息安全技术 使用情况调查、信息系统基本安全现状调查、安全管理行为 调查，应用系统和加密技术调查、渗透测试等【2J。信息安全评 估是建设内部网络信息安全系统的基石，在芯线圈评估过程 中可以明确内部网络信息安全管理的目标，了解内部网络信息 安全现状，发现信息安全隐患。
2．2信息安全管理 内部网络的信息安全管理是在平衡安全性和成本这两个
因素的基础上，对网络中的信息化设备进行分类，明确其安 全要求，并采取适当的安全技术手段和安全管理措施，实现 信息安全的目标13l。信息的重要程度取决于信息流程，因为信 息流程的不同，与信息流相关的用户和设备的重要性也不相 同，如公司内部的信息流可以分为“总经理一部门经理”、“部 门经理一职员”、“职员一职员”等，每种方式中涉及的信息 内容、处理流程、设备都不一样。使用信息流的分析方法，可 将信息的重要程度划分为关键、重要，次要和一般4个等级，

1。8  l晒凹叩，cisma叭④④ooo。④田
万方数据
信息重要程度的定义及相应的安全要求可综合考虑信息价值
的关键性和破坏后造成影响的程度以及影响产生后的可接受 程度等因素。信息安全管理是内部网络安全管理的核心，所 有安全保密方法和管理方法都是围绕着信息的安全保障。同 时，信息安全管理不仅是针对信息本身，还涉及到信息的流 动环节。是一个动态管理的状态。
2．3用户安全管理 内部网络中的硬件设备和软件系统等面向的用户主要
分为管理者和使用者两大类，权限的设置成为用户管理的 重要方法之一。从可信度的角度去评估用户管理，则可以 发现用户及权限的设置正是用户可信程度高低的体现，用 户所拥有的权限越高，则其被信任的程度也越高，反之亦 然。在用户安全管理概念中，一个用户可以同时被赋予多 种角色，拥有多种权限，且这种授权方式在实现上一般仅有 行政约束力而无技术约束力，由此产生的后果则破坏了用 户可信度的层次关系，给信息安全管理带来隐患。内部网 络用户安全管理是有效、安全地使用信息系统的基础，实 施用户安全管理除了从行政管理角度考虑外，应更多地发 挥技术管理机制作用，尽量避免因主观因素和管理疏忽带 来的信息安全问题。
2．4信息安全审计 信息安全审计包含了安全方针、资产分类与控制，安全组
织、人员安全、物理和环境安全、通信和操作管理，系统开发 与维护等内容，此处描述的信息安全审计特指在网络及信息系 统中对信息安全事件进行收集、统计、分析、评估和控制的过 程。信息安全审计的数据来源主要是日志【4】。信息安全审计信 息可按照对象、时间、数据、设备、程序、告警级别等进行分 类并统计。安全审计的控制过程是采取规范．监察、管理、技 术、法律等措施，来达到避免或减少安全事件破坏性的目的。

5    内网安全体系结构及安全技术

内部网络信息安全体系架构是多层次的，每层都涉及到 相应的安全技术手段。当前，信息安全体系建设主要考虑物 理、系统、网络、应用和管理5个层次f5】。
3．1物理层安全 物理层安全指物理环境的安全性，主要考虑环境安全、(责任编辑：南粤论文中心)转贴于南粤论文中心: http://www.nylw.net(南粤论文中心__代写代发论文_毕业论文带写_广州职称论文代发_广州论文网）