信息系统安全防护控制策略

随着互联网技术、计算机技术、通信技术的发展，信息化已经渗透到我们的日常生活，改变了人们的生活方式和工作模式，信息化程度已经成为衡量企业集团发展阶段的重要标志。人们在感受到信息化给日常生活、办公带来巨大变化的同时也应该清醒的认识到，信息系统安全问题已成为影响国家、政治、经济、文化、教育、企事业单位的发展的重要因素。尤其是涉及国防科技工业、军队的涉密企事业单位，信息系统的安全显得尤为重要。在信息系统的日常运行与维护中，外界入侵者利用操作系统或者应用系统的自身缺陷进行攻击，内部人员发泄性的恶意攻击，系统管理人员的误操作等等，这些都可能导致信息系统的数据丢失，情节严重的可能会导致系统瘫痪，进而影响系统的运行。

1、信息系统的安全接入技术

信息系统的安全防护技术主要有VLAN 划分，MAC地址绑定，配置ACL等。其目的是确保接入该系统的终端设备是安全、可信的。在图1 所示的拓扑图中，由内部网络、DMZ 区域、外网区域三部分组成。左边为内部网络，我们也称之为trust区域。即对于管理员来讲是可信区域，内部网络中不同的部门被划分在不同的VLAN 中，VLAN 之间不能相互通信，同一VLAN 成员之间可以相互通信，内部成员可以访问内网邮件系统、OA系统等;将内网与防火墙的内网接口相连形成的区域称之为非军事区，即DMZ 区域。DMZ 区域负责为外网提供WEB 浏览服务;将防火墙的外网口与外部网络相连称之为外部区域，即untrust 区域，对于管理员来讲是非可信区域，即可能存在外部的攻击、入侵等行为的地方。

2、访问控制策略的设置

CISCO 交换机将网络模型分为三层：接入层、分配层、核心层，其中接入层主要负责终端设备的安全接入，确保接入终端的合法、唯一、可靠、安全;分配层负责数据的路由和过滤功能;核心层主要负责数据的高速转发，提高网络的吞吐率。

本论文利用Cisco Packet Tracer 5.3 模拟器对访问接入控制策略进行仿真，如图2 所示。市场部占用192.168.1.0/24，财务部占用192.168.2.0/24，科技部占用192.168.3.0/24，人力占用192.168.4.0/24。为内网提供办公系统服务器IP 地址为192.168.10.1，ERP 系统的IP 地址为192.168.20.2，邮件系统为192.168.30.3，人力系统地址为192.168.40.4。

2.1 VLAN 划分

VLAN 是Virtual Local Area Network 的缩写，在信息系统中，划分VLAN 有许多优点：

1) 隔离网络广播。

2) 简化网络管理。

3) 增强网络安全性。

4) 提高网络管理的灵活性。

VLAN 有静态VLAN 和动态VLAN 之分，静态VLAN 具有安全性高、更容易设置和监控而被管理员经常采用。假设市场部占用VLAN10，财务部占用VLAN20，科技部占用VLAN30，人力占用VLAN40。这便完成了各个部门之间广播域的隔离。

2.2 MAC 地址绑定

为交换机端口制定MAC 绑定策略是保证接入终端唯一性的保证，部分命令如下：

Switch (config-if) # switchport port-security maximum 1

Switch (config-if) # switchport port-security mac-address sticky

Switch (config-if) # switchport port-security violation shutdown

完成上述配置后，用show mac-address 命令查看MAC表，该表中只有VLAN10的两台PC的MAC地址分别接入fa0/1 和fa0/2。通过对端口进行MAC地址绑定，sticky命令即可以将首次接入交换机的终端设备MAC地址记录在MAC 表中。当有其他设备试图接入网络时，该端口会因违反该策略而被关闭。此时需要管理员手动开启该端口，并对违反该策略的终端设备的情况进行备案。当接入一台未绑定策略的计算机试图ping 192.168.1.3 时，返回request timed out，即该设备不能访问该网络。如图4 所示。

2.3 ACL 规则

访问控制列表对网络的运行效率和网络运转方面具有特殊的贡献，网络管理员使用访问控制列表对企业中的传输数据进行过滤。管理员可以收集基本的数据包流量、统计数据和可实施的安全策略，保护敏感的设备远离未授权的访问。

标准访问控制列表是利用源地址对数据包进行过滤，以达到对进出网络数据包控制的目的。要求财务ERP 系统192.168.20.2 只允许财务人员、市场部192.168.1.2 和人力部192.168.4.2 访问，其他人员则禁止访问。则ACL 设置部分代码如下：

同样，人力192.168.4.2、192.168.4.3 主机和192.168.20.2 服务器之间的网络连通可以通过ping命令来测试，其结果如下：

192.168.4.2 能够访问ERP，而192.168.4.3 则不能访问192.168.20.2。其结果如图6所示。这样便达到了控制内网终端设备，提高网络传输效率，节约资源的目的。

3、结语

信息系统安全防护遵循“三分技术，七分管理”的原则，而安全防护策略是三分技术的关键，通过技术手段来加强信息系统的安全防护是确保信息系统安全的重要防线。通过仿真可以看出，设置正确、合理的安全策略能够有效的阻止非法或者非籍终端的接入，可以对终端的访问行为进行限制，这样便大大提了网络可用性和安全性。此外，结合接入层的控制方法和加强制度的管理才能做到保障信息的安全，信息系统的安全防护是一个动态的过程，只有定期的调整策略才能使系统处于最佳的运行状态。