大型石化企业内部网络防毒策略

【摘　要】本文针对大型企业网络的特点，探讨局域网内病毒传播的特点、危害以及网络管理方面相应的防范策略。

【关键词】蠕虫；漏洞；网关

0.前言

随着计算机技术的飞速发展，各种病毒的发展速度也毫不示弱，每天都会产生几十种新病毒，并且传播能力和破坏性越来越强。另一方面，企业在信息化建设不断发展的环境下，网络及其应用系统已成为企业日常经营管理的基础平台，企业网络及其应用系统一旦遭到病毒的侵蚀和破坏，后果都会是非常严重。所以，建立一个有效的、可管理的企业整体防病毒体系已是势在必行的头等大事。

1.病毒的趋势

自从1983年世界上第一个计算机病毒出现以来，在不到30年的时间里，计算机病毒已到了无孔不入的地步，有些甚至造成了巨大的破坏。每当一种新的计算机技术广泛应用的时候，总会有相应的病毒随之出现。在现今的网络时代，病毒的发展呈现以下趋势：

1.1病毒与黑客程序相结合

随着网络普及和网速提高，计算机之间的远程控制越来越方便，传输文件也变得非常快捷，正因为如此，病毒与黑客程序结合以后的危害更为严重，病毒的发作往往伴随着用户机密资料的丢失。

1.2主动攻击型的蠕虫病毒日益泛滥

初期的蠕虫病毒的主要表现形式是邮件病毒，受到感染的计算机自动向用户的邮件列表内的所有人员发送带毒文件。因此，在一段时间内，防毒专家总是把告诫大家不要随意打开邮件作为预防病毒的基本手段。但是，现在仅仅这样去作已经不够了，因为新型的病毒专门针对网络和操作系统的漏洞进行设计，病毒运行时会主动地、不停地利用IP扫描技术主动寻找其他存在相同漏洞的计算机，找到后就利用其漏洞攻击该系统，一旦攻击成功，病毒体将会被传送到对方计算机中进行感染，使系统出现操作异常甚至系统崩溃等现象。同时，被感染的计算机又会加入主动感染其他机器的行列。如果不采取及时、有效的措施，整个企业网会在很短的时间类全部瘫痪，造成不可预知的严重后果。

1.3破坏性更大

病毒不再仅仅以侵占和破坏单机的资料为目的。木马病毒的传播使得病毒在发作的时候有可能自动联络病毒的创造者，或者采取DoS（拒绝服务）的攻击。一方面可能会导致本机机密资料的泄漏，另一方面会导致一些网络服务的中止。而蠕虫病毒则会抢占有限的网络资源，造成网络堵塞。

1.4制作病毒的方法更简单

由于网络的普及，使得编写病毒的资料越来越容易获得。同时，各种功能强大而易学的编程工具让用户可以轻松编写一个具有极强杀伤力的病毒程序。用户通过网络甚至可以获得专门编写病毒的工具软件，只需要通过简单的操作就可以生成破坏性的病毒。每次微软windows操作系统发现漏洞后，很快就会出现针对该漏洞的新型病毒，而且随后还会有好事者对病毒原码进行研究和改进，制作出危害更大、更难防范的病毒变种。

2.企业网的病毒传播

2.1外部病毒入侵

企业网虽然相对独立、封闭，但是为了满足与外界联系的需要，必然会与互联网有通道连接，虽然中间会有防火墙等安全隔离措施，但还是很难避免来自互联网的潜在病毒的威胁。

2.2内部病毒扩散

局域网中的工作站及文件服务器都可能受到病毒的感染，在内部用户使用诸如光盘、软盘、优盘、移动硬盘等设备拷贝、复制文件时，难免会有一些未经验证的文件交换，从而存在病毒感染的可能性。局域网中一旦有机器感染了蠕虫病毒就会成为病毒迅猛繁殖的温床，在很短的时间内快速传播、扩散，甚至导致整个局域网瘫痪。

2.3邮件服务器

电子邮件已成为病毒传播的最大载体之一，任一与外界有邮件往来的邮件服务器如果没有采取有效的病毒防护措施，极易受到攻击，并会导致病毒在企业内部网中快速传播。其实邮件服务器本身不会受到邮件病毒的破坏，只是转发染毒邮件至其他客户信箱中。但是，当客户机染毒并产生几何数量级的信件时，邮件服务器会由于在短时间内需转发大量邮件而导致性能迅速下降，直至当机。

2.4网络带宽

高速传播和具有主动攻击能力的病毒，能占用有限的网络带宽，导致网络瘫痪。冲击波、震荡波就是典型导致网络瘫痪的病毒，能导致网络交换机、路由器、服务器严重过载，甚至网络瘫痪。

3.企业网整体防病毒体系的部署

3.1网关防病毒产品部署

在网络边界或Internet网关处部署可靠的防火墙和防毒网关，将病毒阻挡在企业网络之外，总比它们进入网络再一一清除容易得多。从概念上讲，网关防病毒就是从整个网络的入口开始，阻止来自Internet的病毒入侵，同时还要防止它们在进出公司内部网络时的传播。目前，网关防病毒产品还大多只能针对HTTP、FTP、SMTP三种协议的数据进行病毒扫描，大部分产品还不支持pop3协议。网关防病毒产品还无法解决整个网络的防病毒问题，只有建立一个有层次的、立体的防病毒体系，才能有效制止病毒在我们网络内部的蔓延。

3.2部署统一的病毒防范系统

赛门铁克中国区总裁郑裕庆指出：“为了真正确保网络系统的安全，企业必须要以主动预防为主，尽量不要等到感染了病毒再去被动地杀毒，劳民伤财，百害而无一益。只有对企业系统内的漏洞、易攻击点进行逐一消除、加固，才能切断病毒来源；同时只有采取合理、有效的防御手段抵御黑客程序的攻击，才能使病毒无可乘之机。”

对于企业信息网而言，部署统一的、网络版的杀毒软件是再自然不过的事情。越来越多的病毒防范厂商也已经意识到单机杀毒软件的不足，纷纷推出网络版的产品，譬如诺顿和金山毒霸。诺顿的企业版防毒解决方案需要配置专门的杀毒服务器，可以进行客户端的远程安装和病毒库的自动更新。只要网管及时更新服务器上的病毒库，局域网内统一部署的所有客户端无需用户干预，都能自动得到更新，能够满足企业网络防毒的需要。

3.3下载、安装最新的安全漏洞补丁

系统的安全只是暂时的，每天有数以万计的黑客程序、病毒代码产生，最好的网关产品和杀毒软件也不可能完全杜绝病毒的入侵。对于数目众多的客户端来说，提高自身的抵抗力是抵御病毒的根本大法，那么，经常下载安装最新的安全漏洞补丁就成为网络管理的日常工作之一。微软有一个程序员团队来检查系统安全漏洞并修补它们。有时，这些补救程序被捆绑进一个大的套装软件并作为服务包(service pack)发布。微软定期将重要的补救程序程序发布在它的www站点上，我们所要做的就是经常访问这些战点，及时下载、安装这些必要的service pack，弥补系统的种种漏洞。当然，更为高明的做法是在企业网内部部属SUS（Microsoft Software Update Services）服务器，配合域策略管理，SUS服务器可以定期、有选择地与微软升级网站做内容同步，自动、及时地把升级补丁分发到企业网的其他服务器和工作站，从而实现操作系统补丁升级的“零管理”，免受病毒和攻击之患。

3.4部署统一的安全策略

网络的安全不能单靠技术手段一劳永逸地解决，没有一种技术可以绝对保证网络安全，人的因素很重要。据Yankee集团对229家公司与政府机构的网络管理员（他们管理着50%以上的网络设备）的调查结果，每年有31%的网络故障是由于人为错误造成的，其中有一半是用户对网络做了未经授权的更改。

基于win2000 Server的域管理和域安全策略无疑是解决这一问题的有力手段。利用微软公司的活动目录和域管理策略，可以很方便地进行非常详细的安全部署，包括设定每一个用户的桌面、应用程序、密码长度、用户权限等等，设定每一个NTFS文件和文件夹的读写权限，甚至实现远程安装、文件夹重定向、补丁及应用软件的及时分发等高级应用。既可以保证满足每一个用户的具体需求，又可以保证权限的逐级分发，减少由于人为错误造成的事故发生。

3.5建立灾难备份系统

尽管有以上的措施预防病毒，但是对于企业重要的数据库和数据系统，必须采用定期备份，多机备份措施，作好最坏的打算，防止意外的病毒灾难下造成重要数据丢失。

4.结束语

企业信息网提供了一个比以往更为便利、快捷的网络环境给所有的用户，使得企业管理效益与生产力大幅度提高。在有利一面的背后，企业的管理者和普通用户都必须清醒地意识到潜在的安全隐患，并且予以高度的重视，制定延续性的、动态的安全策略，保证企业信息系统的可靠运行。　[科]

推荐访问:防毒 策略 石化企业 网络

---