微型机与应用
MICROCOMPUTER & ITS APPLICATIONS
1999年 第18卷 第4期 Vol.18 No.4 1999



我国信息化建设中的网络安全问题
邵　丽
　　摘　要：详细讨论了我国信息化建设中存在的安全问题，从系统的角度提出了综合考虑法律政策、安全技术和安全管理等多种措施来解决网络安全的对策建议。
　　关键词：网络安全　安全策略　安全技术　安全管理　安全漏洞　安全意识　法律信息犯罪　黑客攻击
　　Internet的迅速发展给人们的工作和生活带来极大方便，同时也给人们带来了许多问题。其中，最引人注目的问题当属安全问题。据美国《金融时报》报道，目前全球平均每20s就发生一次Internet计算机入侵事件。在Internet上的网络防火墙，超过1/3被突破，一些银行、企业、机构都未能幸免。美国每年因网络安全问题所造成的经济损失高达75亿美元，企业电脑安全受到侵犯的比例从1996年的42%升到1997年的49%。
　　我国的网络安全也不容乐观，到1998年10月份为止，已有十多起严重的网络犯罪案件。不久前，一名黑客成功地闯进了中国互联网信息中心，将主页修改为狰狞的骷髅头；江西省某职高的一名毕业生攻击江西中国多媒体信息网169，造成南昌、抚州等地的主机拒绝用户登录，江西省169信息网瘫痪；镇江某工商行的一名会计利用无线入侵的方式盗窃了26万元现金等等。
　　所有这些都告诉我们一个事实：解决有关网络安全的问题已成为当务之急。
1　网络安全的含义
　　对于计算机安全，目前国际上还没有一个统一的定义。我国自己提出的定义是：计算机系统的硬件、软件、数据受到保护，不因偶然的或恶意的原因而遭到破坏、更改、显露，系统能连续正常运行。
　　上述定义，既说明了计算机安全的本质和核心，又考虑了安全所涉及的方方面面。从技术讲，计算机安全分为3种：（1）实体的安全性，它用来保证硬件和软件本身的安全。（2）运行环境的安全性，它用来保证计算机能在良好的环境里持续工作。（3）信息的安全性，它用来保障信息不会被非法阅读、修改和泄露。
2　我国网络安全的现状
2．1　网络安全面临的主要威胁
　　一般认为，计算机网络系统的安全威胁主要来自黑客攻击、计算机病毒和拒绝服务攻击3个方面。具体地讲，Internet/Intranet系统面临的安全威胁主要有：身份窃取、非授权访问、冒充合法用户、数据窃取、破坏数据的完整性、拒绝服务、否认、数据流分析、干扰系统正常运行、病毒与恶意攻击等。据网络安全监测软件的实际测试，一个没有安全保护措施的网络，其安全漏洞通常在1500个左右。
2．2　Internet自身带来的安全漏洞
　　计算机联网的宗旨是：系统开放，资源共享，降低系统的开发成本，提高信息处理效率。然而这正是网络安全的致命问题，是计算机网络自身所固有的安全漏洞。
　　例如，Internet系统所依赖的TCP/IP协议本身就存在安全缺陷，路由器、AnonymousFTP、Telnet、口令文件等都存在安全隐患。
2．3　法律法规的制定往往跟不上网络技术的发展
　　面对网络发展中出现的信息窃取和盗用、信息攻击和破坏、信息污染和滥用、软件盗版的猖獗、色情信息的泛滥……人们呼吁加强网络立法。网络的发展需要法律的支持和保障。世界各国纷纷制定相关的法律法规。我国1997年10月1日生效的新《刑法》，对计算机犯罪做了明文规定，对多种计算机犯罪形式规定了相应的惩治条款，这是防范、打击计算机犯罪的有力武器。1997年3月出台的《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》和1997年12月发布并施行的《计算机信息网络国际联网安全保护管理办法》为确保我国计算机信息网络国际联网健康有序地发展提供了保障。但网络毕竟是一个新生事物，人们对其知之不多，再加之网络技术的发展日新月异，因此还存在着以下问题。
　　（1）国家相关法律的制定难以跟上网络的高速发展，使得对一些网络违法、犯罪行为的认定和惩罚缺乏更细致的法律依据。
　　与传统的犯罪相比，信息犯罪具有以下特点：
　　①信息犯罪人员大多是“计算机高手”，具有相当高的专业技术知识和熟练的操作技能。
　　②由于信息犯罪都是通过程序和数据等这些无形的操作来实现，作案的直接对象也是那些无形的电子数据和信息，所以信息犯罪手法具有隐蔽性。
　　③信息技术的迅速发展为信息犯罪分子提供了多样化的高技术作案手段。
　　④信息犯罪所造成的影响和后果一般要比传统犯罪严重得多。
　　（2）很多网民知法犯法
　　尽管我国在《计算机信息网络国际联网安全保护管理办法》中明确规定：“①任何单位和个人不得利用国际联网危害国家安全、泄露国家秘密，不得侵犯国家的、社会的、集体的利益和公民的合法权益，不得从事违法犯罪活动。②任何单位和个人不得利用国际联网制作、复制、查阅和传播宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖、教唆犯罪等信息”。然而很多网民却明知故犯、知法犯法。
2．4　信息安全技术和产品几乎是国外产品一统天下
据报载，我国的信息安全技术和产品约有66%是进口的，防火墙几乎都是国外的产品，且许多都是早已淘汰的过时货，这给我国的网络安全留下了严重隐患。
　　例如，在Internet上的所有加密协议中，SSL（安全套层）协议和SET（安全电子交易）协议与电子商务的关系最为密切。目前，美国的商家一般都可以使用128位的SSL，但美国只允许加密密钥为40位以下的算法出口。
　　尽管日前美国为了促进电子商务的发展，放松了加密产品出口限制，但如果我国网络安全大门也受制于他人，那还有什么安全可言！
2．5　安全建设“重硬轻软”
　　国内建网、联网的速度很快，但网络安全技术和产品的应用却很慢。据统计，对于我国大多数中小型企业来讲，防火墙是唯一的防止外部非法入侵的手段。但它只是一种整体安全防范策略的一部分。一套完整的安全体系必须是全方位的、多层次的，必须“软硬兼施”。
　　这种由防火墙给用户带来的安全错觉，使他们忽略了所在操作系统、网络系统、应用系统等软件的安全缺陷，忽略了合理地建立、设置、维护防火墙，忽略了周密地制订应强制执行的安全政策，忽略了全面地考虑、实施安全策略。
2．6　安全管理“外紧内松”
　　在我国公安部破获的网络入侵事件中，若加强管理，90%以上的事件都可以避免。目前，在安全管理方面存在的问题主要有：
　　（1）轻视安全管理
　　有些信息主管认为只要购买并设置了防火墙等网络安全产品，就可以高枕无忧，缺乏细致的内部网络管理规定与之配套，缺少安全管理员，缺少安全策略管理。
　　（2）缺乏安全审计
　　安全审计是把与安全相关的事件记录到安全日志中，我国现有的网络系统大多缺少安全审计，安全日志形同虚设。
　　（3）内部人员引起的不安全
　　据调查，有近64%的入侵事件是由内部黑客所为。这大概是因为防火墙可以有效地抵御外部攻击，却难以防止内部黑客入侵的缘故。另一方面，由于内部人员有意无意的泄密给黑客带来了可乘之机。
2．7　人才短缺
　　我国专门从事计算机安全问题研究的部门、单位和高校很少，这造成了我国信息安全方面的技术人才十分缺乏，计算机人员以及计算机管理人员缺少必备的安全知识。例如，在落实网络安全基本措施中必须做到：一旦发现安全漏洞，就应在防火墙中安装最新的安全修补程序，这是极为关键的。但问题在于，大多数管理人员甚至还不知道安全修补程序是怎么回事。
2．8　安全意识淡薄
　　黑客的攻击之所以能经常得逞，有一个主要原因就是人们思想麻痹，没有正视黑客入侵所造成的严重后果，人们经常在有意无意之中就泄露了信息。当人们访问Web站点时，会无意留下访问的痕迹。当人们在网上购物时，不经意地泄露了许多私人信息……这些不经意为黑客进行数据收集或数据挖掘大开方便之门。
3　从系统的角度来解决网络安全
　　对于网络安全的研究，过去常侧重于保密通信，侧重对信息加密技术的研究。其实，网络安全与保密通信在范围、规模、内容、手段等方面都有很大差异，网络安全涉及到方方面面的问题，是一个集技术、管理、法规综合作用为一体的、长期的、需要常年实施的、复杂的系统工程。原则上讲，一个完整的网络安全体系至少应包括三类措施：一是社会的法律政策、安全的规章制度以及安全教育等外部软环境。在该方面政府有关部门、企业的主要领导应当扮演重要的角色。二是技术方面的措施，如防火墙技术、网络防毒、信息加密、身份认证、授权等。只有技术措施并不能保证百分之百的安全。三是审计和管理措施，如实时监控网络安全状态、提供实时改变安全策略的能力、对现有的安全系统实施漏洞检查等，以防患于未然。该方面措施同时包含了技术与社会措施。这三类措施缺一不可，其中法律是网络安全的基石，技术是网络安全的保障，管理是网络安全的最后防线。
3．1　立足我国国情、完善法律政策
　　我国有关部门应着手研究Internet/Intranet网自身的性质、特征及变化发展规律，研究网上犯罪的新特点，尽快制定出能促进Internet/Intranet在我国健康有序发展的网络法。一是应当全面体现和把握计算机网络的特点及其法律问题，对于目前尚无法确定的问题，应尽可能在宏观上加以规范；二是应与现行法律体系保持良好的兼容性。因Internet/Intranet带来了许多新的法律问题，所以网络法要对现行法律体系进行修补与补充，使总的法律体系更科学、更完善；三是应有充分的可操作性。由于Internet是一个全球互联网，所以产生的法律纠纷往往具有跨地域、跨行业以及具有民事、经济、刑事犯罪等多重性的特点，这使得司法机关审理起来困难重重。因此，应制定出便于当事人起诉，便于司法机关管辖，便于公、检、法机关协同办案的、科学的实施条例。
3．2　信息安全技术与产品自主化
　　为了维护我国的主权，促进Internet在我国的健康发展，我们应积极跟踪和吸收国际安全技术的最新发展，研究与开发具有我国自主版权的信息安全技术与产品。
　　首先，国家应制定一定的扶持政策，大力扶持专门从事计算机安全研究的部门和单位，统一布置、协调发展，集中人力、集中资源、集中精力攻克信息安全技术中的关键性技术、战略性技术。这主要包括：
　　（1）开发安全的系统软件。系统软件是计算机系统的关键组成部分，是开发和运行各种计算机应用软件的基础。其技术难度高、组成复杂、投入大，目前国际上只有少数几家大公司推出了自己的产品，并几乎垄断了市场。从国家主权和经济安全的角度出发，我国应加强系统软件的安全性研究，开发拥有自主版权的、安全的操作系统，这是确保网络安全的根本。
　　（2）开发安全的数据库管理系统。在拥有自主版权的系统软件上，研究开发自己的、安全的数据库管理系统。只有这样，我国的经济信息系统才有真正的安全。
　　（3）开发完整的网络安全套件。任何一种网络安全设备只是在某一、两个方面具有一定的防护作用，而网络系统所遭受的攻击却是方方面面、形形色色的。因此，应该以系统集成的观点，将防火墙、身份认证、信息完整性认证、访问控制、防病毒、防黑客攻击等技术集成为Internet/Intranet的网络安全套件，形成多层次的、全方位的防御体系。
　　（4）开发能够对计算机安全性进行审计、跟踪的软件系统，用于防范、记录计算机系统，为法律提供证据。
　　其次，在攻克关键性技术的基础上，进一步完善功能、提高质量、增强可靠性，使技术产品化、商品化，大力推广应用，扩大市场占有率，使国产安全技术应用于国民经济的各个部门。对于目前已经使用国外加密技术的单位，如果国内技术可以达到同样的安全要求，必须替换成国内产品，如不执行，将强制执行。
3．3　科学规划、完善安全策略和安全机制
　　从网络开始运转的那一刻起，网络安全问题就时刻伴随着你。但只要科学规划、完善安全策略和安全机制，网络安全是完全可以保障的。
　　安全策略关系到企业在商业竞争及自身发展过程中的成功与失败，需要考虑到来自企业内部和外部两方面的因素。这包括制定完善的企业级安全策略、信息技术级安全策略、应用系统的安全策略和Internet/Intranet的安全策略。
　　安全机制包括密码机制、认证机制、数据签名机制、存取控制机制、审计机制、防火墙技术、操作系统安全、数据库系统安全、计算机病毒防护和抗抵赖协议等等。这种安全机制各有所长，又各有缺陷。
　　首先，我国有关领导和部门应真正重视网络脆弱性带来的严重后果，投入必要的人力、物力、财力，尽早地研究出我国的Internet/Intranet安全策略。二是企业应该对Internet/Intranet安全有一个总体认识，在总体上考虑和实施安全系统。在建立Internet/Intranet系统前应首先进行系统风险分析、系统安全需求分析，一开始就进行安全总体设计，而不是在系统建成后修修补补。只有这样，才有可能在网络的建设过程中不断地加强、完善安全体系。三是针对自己的安全需求，综合地、合理地运用各种网络安全技术、工具、手段和产品，建立有效的安全机制。
3．4　加强企业内部网的安全管理
　　要确保企业内部网的安全，除重视安全策略、安全技术外，还应注重落实各种具体的安全措施，加强网络安全管理。首先，各企业应根据国家的有关法律、法规、标准，制定出企业内部网的安全使用和管理的有关规章制度，并正式颁发实施。二是对于不同安全级别的信息选择不同安全级别的方案，对于不同的用户授予不同的权限，以便管理。三是实行安全审计，以便及时发现非法攻击、非法访问和篡改，加强对内部网络用户的管理和制约。四是防治计算机病毒。对于外来的软盘，应该预先在独立的单机上查杀病毒后再上网使用。对于网络文件，应该在内部网服务器及有关客户端安装网络查杀病毒软件，自动查杀网络下载文件的计算机病毒。
3．5　大力进行宣传教育，培养安全意识
　　国家必须从政治安全、经济安全的角度出发，以所发生的信息犯罪案件作为反面教材来宣传、教育网络工作者和用户，引起重视、提高认识，树立良好的职业道德，加强自觉维护网络正常运行的安全意识。特别对未成年人，应从小培养网络用户的合法上网概念，防止有害信息的传播和渗透。
　　另外，对工作人员应结合机房、硬件、软件、数据和网络等各方面的安全问题，进行安全教育，提高工作人员的保密观念和责任心；加强业务、技术的培训，提高操作技能；教育工作人员严格遵守操作规程和各项保密规定，防止人为事故的发生。
作者单位：北京首都经济贸易大学信息管理系（100026）
参考文献
　1　唐晓东.建立Internet上的安全环境.计算机科学，1998；（1）
　2　张水明.企业网络与信息安全建设.计算机世界，1998；(23)
　3　赵培云.对因特网不安全因素的思考.新浪潮，1998；（2）
　4　刘炳华.内部网安全系统的集成.计算机工程与科学，1998；（4）
　5　文军.信息犯罪：网络时代面临的新问题.计算机世界，1998；(30)
　6　网络安全：魔高道更高.PCWorldChina，1998；（3）
　7　安全：保护与防范并举.PCWorldChina，1998；（39）
收稿日期：1998-12-10
