摘要：本文主要分析了企事业单位局域网面临的各类风险点，从而引起各企事业单位领导和IT管理部门的高度重视，建立一套较为完善的安全保障体系。
关键字：局域网；风险防控；攻击
【分类号】TP393.1
0 前言
企事业单位局域网是连接单位内部所有计算机系统的综合型网络，承载着各单位办公系统、财务系统、人事系统、物资系统等多类系统。要想有效地降低局域网网络安全风险，提高网络防护能力，必须了解内部局域网所面临的各类安全风险。
1 安全风险类型
局域网网络安全风险主要有物理层安全风险，网络层安全风险，系统层安全风险，应用层安全风险，管理层安全风险。
1.1 物理层安全风险分析
物理层面的安全风险指针对物理环境、设备及介质的安全风险。主要表现在以下方面。
1.1.1 物理设备的脆弱性
网络信息系统存在的载体为计算机、服务器、交换机、线路等物理设备，这些物理设备本身也存在一定的安全风险。比如：设备的损坏、介质老化造成的数据丢失和数据交换可靠性的降低等。
1.1.2 环境因素的脆弱性分析
环境因素的脆弱性对系统造成的安全威胁也比较大，比如机房的防火和防盗措施还不够完善、介质和介质数据因机房出入控制不严或管理不善丢失或被盗窃、毁坏。介质管理不严或废弃介质处理不当，导致信息的随意复制或泄漏等。
1.2 网络层安防风险分析
网络层是网络入侵者进攻信息系统的渠道和通路，许多安全问题都集中体现在网络的安全方面。由于无线局网络系统所采用的基础协议TCP/IP自身存在一些安全隐患。网络入侵者一般利用协议上的隐患，采用预攻击探测、窃听等搜集信息，然后利用 IP欺骗、重放或重演、拒绝服务攻击（SYN FLOOD，PING FLOOD等）、分布式拒绝服务攻击、篡改、堆栈溢出等手段进行攻击。
1.2.1 网络访问控制
大部分局域网仅仅依赖现有的交换设备的配置策略已经不能够满足需求，交换设备很难做到细粒度的访问策略，这就势必给网络的访问造成混乱，无法对相应的服务和访问进行有效的控制，这就给网络内部重要服务器和重要部门的安全管理带来了不可忽视的安全隐患。
1.2.2 内部用户的违规行为
虽然局域网对不同级别的网络之间配置了防火墙，但防火墙只能防外不防内，初步抵御网络外部安全威胁；同时通常的防火墙只能对用户连接情况进行控制，并不能监控用户的其它动作行为；其控制规则的设定是静态的，不具智能化特点；可疑人员可能绕过防火墙、或骗过防火墙进入网络内部，或内部人员直接对服务器系统（操作系统、数据库系统和各种应用系统）通过网络实施各种攻击，防火墙都无能为力。更重要的是，防火墙实现的是边界控制，对内部的用户没有任何约束力，因此，应该采取有效的技术措施，弥补防火墙的不足。
1.2.3互连设备的安全隐患
在局域网网络中一般都部署了大量的各厂商的交换设备。他们都支持SNMP协议，这些设备都维护着一个有着设备运行状态，接口等信息的MIBS库，运行着SNMP的主机或设备可以称为SNMP AGENT。令人担忧的是大多支持snmp的互连设备都是处于运行模式，至少有一个RO的默认值为PUBLIC，会泄漏很多信息。拥有RW默认值的设备在互联网上也很多，加之SNMP V2版本本身的安全验证能力很低，所以极易受到攻击，从而导致互连设备的瘫痪和流量不正常，如果没有冗余设备，那样整个内部网络就会瘫痪。
1.3 系统层安全风险分析
所有的操作系统在不同程度上都存在一些安全漏洞。一些广泛应用的操作系统，如Unix，Windows 2003等系统，其安全漏洞更是广为流传。同时不能正确配置或使用缺省配置，还会人为增加新的漏洞。
1.3.1 主机访问安全脆弱性
WINDOWS所采用的传统的用户名和密码的验证方式已经经不起密码字典档的推敲，攻击者可以从网络或本机针对目标机器发起验证试探，并且网络验证时（工作组或域验证）用户名和密码是以明文的形式传输，非常容易被窃取，所以必须使用更先进安全的认证方式。
1.3.2 泄密信息安全控制
主要是一些重要的文件信息在终端被非法外传，从而导致泄密。为此，必须从控制文件信息的流转来保证这些信息的安全。主要面临的威胁是主机拥有者的主动泄密行为。
1.4 应用层安全风险分析
从网络的应用来看，网络承载的业务多种，或少包含一些安全管理和控制程序，如身份认证、访问控制、用户与资源的管理等，但这些安全措施无论是强度上还是在标准上都不能满足安全需求，主要表现在：
（1）恶意代码
由于单位内部局域网局网络是一个专网，外部不可能有直接的恶意代码进入，但是内部通过外部存储介质（如：U盘、移动硬盘等方式）带入恶意代码也是不容忽视的。除了需针对桌面机客户端进行病毒防护，还需要从整体防护进行病毒防护，忽略了任何的一面都会成为攻击的切入点。
（2）服务能力监控
对业务量突发的承受能力与无级化升级能力都体现了系统持续服务水平。对服务提供能力的时时监控是及时了解业务运行、安全状态的必要措施。
（3）入侵取证问题
不同级别网络之间只是通过简单的网络互联设备相互连接。一方面非法用户极其容易的通过黑客技术手段将关键信息通过内部网络获得，另一方面合法用户的违规操作极其容易造成重要服务器的瘫痪和关键信息的破坏，所以针对内部网络的安全防范体系的建立是非常重要的。
（4）终端审计
业务的访问终端分布广，使用人员多，安全情况复杂，所以通常是安全入侵的起点，安全审计是监控、管理终端的安全问题，包括信息保密、补丁管理、外联行为审计、防病毒、防入侵等。
1.5 管理层安全风险分析
安全的网络设备离不开人的管理，好的安全策略最终要靠人来实现，因此管理是整个网络安全中最为重要的一环。管理层的安全风险可能存在于以下几个方面：
（1）误操作
系统管理员和普通用户都可能有操作失误，前者的影响往往是致命的，直接危害到系统和数据安全；后者主要影响用户数据的完整性。
（2）人为故意
内部工作人员本身在重要应用系统上都有一定的使用权限，并且对系统应用非常清楚，一次试探性的攻击演练都可能会对应用造成瘫痪的影响，这种行为单单依靠工具的检测是很难彻底避免的，除了建立完善的管理制度还应对于工作人员的误操作应该可以回溯与修复，建立回退机制。
（3）安全意识
人是各个安全环节中最为重要的因素。全面提高人员的道德品质和技术水平是网络信息安全与保密的最重要保证。
（4）管理手段
单一的安全产品部署是不能够解决问题的，必须要配合以管理的手段，在整个安全体系中最为重要的实际上是管理。
（5）应急处理
对于故障、攻击、病毒等以外事件，对业务产生了影响，应该有应急响应的处理流程与应急团队，迅速定位故障点，评估业务的影响程度，给出应急解决办法。
2 建立安全保障体系
安全保障体系建设是随着业务发展的需求而逐渐推进的，安全要保障的是业务的持续性服务能力，所以对网络整体的监控是安全管理的基础，安全管理平台的建设是保证监控系统的平台。因此我们采取建设，首先建立比较急需的安全体系，安全管理平台作为安全基础体系先期试点，同时建设比较紧急的边界防护体系、监控体系、审计体系、病毒防护体系，保障业务的安全。然后在完善各体系与基础平台的同时，建设应急恢复体系、管理体系。作到人、技术、资源的统一协调安全保障。最后，分析各业务的将来发展，为业务提供安全指导性的保障，安全走在业务前面，为业务发展铺平道路。
参考文献：
[1]刘晶、公方亮著 《局域网组建、维护与安全监控实战详解》 北京：人民邮电出版社 2010.1