對(duì)油田局域網(wǎng)面臨的攻擊及防護(hù)措施

唐明

摘要：現(xiàn)代信息安全技術(shù)是以密碼技術(shù)、病毒技術(shù)、數(shù)據(jù)恢復(fù)技術(shù)、操作系統(tǒng)維護(hù)技術(shù)、數(shù)據(jù)庫(kù)技術(shù)以及網(wǎng)絡(luò)技術(shù)等所組成的系統(tǒng)技術(shù)。而由于油田企業(yè)系統(tǒng)對(duì)相關(guān)技術(shù)的認(rèn)識(shí)和技術(shù)管理人才培養(yǎng)的局限性，導(dǎo)致在計(jì)算機(jī)信息應(yīng)用過(guò)程中難免會(huì)出現(xiàn)一些漏洞、缺陷。

關(guān)鍵詞：油田局域網(wǎng);網(wǎng)絡(luò)安全;網(wǎng)絡(luò)攻擊;防護(hù)措施

一、油田企業(yè)網(wǎng)信息安全風(fēng)險(xiǎn)

（一）油田企業(yè)網(wǎng)信息安全技術(shù)不足。現(xiàn)代信息安全技術(shù)是以密碼技術(shù)、病毒技術(shù)、數(shù)據(jù)恢復(fù)技術(shù)、操作系統(tǒng)維護(hù)技術(shù)、數(shù)據(jù)庫(kù)技術(shù)以及網(wǎng)絡(luò)技術(shù)等所組成的系統(tǒng)技術(shù)。而由于油田企業(yè)系統(tǒng)對(duì)相關(guān)技術(shù)的認(rèn)識(shí)和技術(shù)管理人才培養(yǎng)的局限性，導(dǎo)致在計(jì)算機(jī)信息應(yīng)用過(guò)程中難免會(huì)出現(xiàn)一些漏洞、缺陷。

（二）油田企業(yè)干部職工缺乏安全管理的責(zé)任心和防范意識(shí)。目前，油田企業(yè)信息安全事件最突出的便是信息泄密，雖然技術(shù)監(jiān)管、安全標(biāo)準(zhǔn)等方面不斷完善，但由于油田企業(yè)信息化管理是一個(gè)不斷發(fā)展的動(dòng)態(tài)過(guò)程，油田企業(yè)網(wǎng)絡(luò)安全軟硬件技術(shù)，使用人員、管理人員的保密意識(shí)以及對(duì)失泄密的防范措施等都會(huì)影響到油田企業(yè)網(wǎng)絡(luò)信息的安全。

二、油田企業(yè)網(wǎng)面臨的主要攻擊

當(dāng)前油田企業(yè)網(wǎng)面臨的攻擊是多樣與復(fù)雜的，主要有ARP攻擊、DoS攻擊、口令攻擊、網(wǎng)絡(luò)監(jiān)聽(tīng)、特洛伊木馬及遠(yuǎn)程攻擊，這些攻擊對(duì)網(wǎng)絡(luò)的安全構(gòu)成了極大的威脅，成為潛伏在油田企業(yè)網(wǎng)四周的定時(shí)炸彈，讓人防不勝防。

（一）ARP 攻擊。ARP是地址解析協(xié)議的英文縮寫(xiě)，位于IP層的最底層，沒(méi)有了ARP的輔助，IP也就無(wú)法正常運(yùn)行，只有通過(guò)ARP才能實(shí)現(xiàn)IP地址與硬件地址的自由切換。ARP本身比較脆弱，很容易遭受惡意攻擊，一旦被惡意攻擊就會(huì)對(duì)整個(gè)局域網(wǎng)產(chǎn)生嚴(yán)重的危害。ARP攻擊最常用的就是ARP欺騙，攻擊方式主要是向既定的目標(biāo)主機(jī)發(fā)送應(yīng)答報(bào)文，這里面攜帶著偽造的IP地址和相關(guān)的硬件地址，既定的目標(biāo)主機(jī)會(huì)自動(dòng)刷新原有的信息報(bào)文并儲(chǔ)存?zhèn)卧斓膽?yīng)答報(bào)文信息，從而實(shí)現(xiàn)對(duì)計(jì)算機(jī)系統(tǒng)的網(wǎng)絡(luò)攻擊。

（二）DoS 攻擊。DoS（拒絕服務(wù)）攻擊不是以獲得網(wǎng)絡(luò)或者網(wǎng)絡(luò)上的信息訪問(wèn)權(quán)為目的，而是使用超出被攻擊目標(biāo)處理能力的大量數(shù)據(jù)包消耗系統(tǒng)可用存儲(chǔ)、帶寬資源，最后致使網(wǎng)絡(luò)服務(wù)癱瘓的一種攻擊手段。DoS攻擊的過(guò)程如下：首先攻擊者向服務(wù)器發(fā)送眾多的帶有虛假地址的請(qǐng)求，服務(wù)器發(fā)送回復(fù)信息后等待回傳信息。由于地址是偽造的，所以服務(wù)器一直等不到回傳的信息，然而服務(wù)器中分配給這次請(qǐng)求的資源就始終沒(méi)有被釋放。當(dāng)服務(wù)器等待一定的時(shí)間后，連接會(huì)因超時(shí)而被中斷，攻擊者會(huì)再次傳送新的一批請(qǐng)求，在這種反復(fù)發(fā)送偽造地址請(qǐng)求的情況下，服務(wù)器資源最終會(huì)被耗盡。

（三）口令攻擊?？诹罟?，一般通過(guò)“finger遠(yuǎn)端主機(jī)名稱(chēng)”輕松找到機(jī)主存留在計(jì)算機(jī)上的登錄賬號(hào)，然后通過(guò)利用大規(guī)模的字典窮舉法對(duì)其進(jìn)行密碼破譯，通過(guò)進(jìn)入機(jī)主登錄界面并設(shè)法獲取機(jī)密信息。

（四）網(wǎng)絡(luò)嗅探。若是黑客登錄油田企業(yè)網(wǎng)主機(jī)并取得超級(jí)用戶權(quán)限，就可以登錄其它主機(jī)，使用網(wǎng)絡(luò)監(jiān)聽(tīng)便可以有效地截獲網(wǎng)絡(luò)上的數(shù)據(jù)。實(shí)現(xiàn)網(wǎng)絡(luò)監(jiān)聽(tīng)的工具很多，現(xiàn)在被廣泛使用的監(jiān)聽(tīng)工具是Sniffer，它可以截獲口令，可以截獲到本來(lái)是秘密的或者專(zhuān)用信道內(nèi)的信息，也可截獲到信用卡號(hào)、經(jīng)濟(jì)數(shù)據(jù)、電子郵件等等，更可以用來(lái)攻擊與己相鄰的網(wǎng)絡(luò)，它是個(gè)非常危險(xiǎn)的東西。

（五）木馬病毒。在網(wǎng)絡(luò)中，一般故意偽裝成一個(gè)實(shí)用性的工具或者資料包，或者是一個(gè)外表比較可愛(ài)充滿趣味性的網(wǎng)絡(luò)游戲，吸引用戶自行安裝在自己的電腦上，然后獲取用戶的相關(guān)信息，其性質(zhì)和冒充IP地址相似，都是在偽裝的外表下實(shí)施網(wǎng)絡(luò)攻擊與犯罪。

三、實(shí)現(xiàn)油田企業(yè)網(wǎng)安全的防御措施

油田企業(yè)網(wǎng)面臨上述危險(xiǎn)，就必須從各個(gè)方面做好油田企業(yè)網(wǎng)的安全防御，對(duì)每一個(gè)既定的環(huán)節(jié)采取有效的防護(hù)措施，對(duì)容易出現(xiàn)危機(jī)的部位加強(qiáng)防御，營(yíng)造一個(gè)良好的專(zhuān)網(wǎng)環(huán)境。我們可以采取以下方式防御、抵抗各種網(wǎng)絡(luò)攻擊行為。

（一）增強(qiáng)網(wǎng)絡(luò)安全意識(shí)，提高網(wǎng)絡(luò)安全防范能力。增強(qiáng)網(wǎng)絡(luò)安全意識(shí)是基礎(chǔ)性的防護(hù)措施，有了較強(qiáng)的安全意識(shí)才會(huì)樹(shù)立一定的防御觀念，才能保證油田企業(yè)網(wǎng)的網(wǎng)絡(luò)安全。網(wǎng)絡(luò)安全意識(shí)的加強(qiáng)主要針對(duì)信息安全管理者和用戶個(gè)人，二者攜手并進(jìn)才能做好網(wǎng)絡(luò)安全環(huán)境的構(gòu)建。

（1）網(wǎng)絡(luò)管理員應(yīng)該具備安全意識(shí)。加強(qiáng)服務(wù)器口令的安全，設(shè)置必要的安全賬號(hào)和有效密碼，這是服務(wù)器口令管理的基礎(chǔ)性工作，也是增強(qiáng)安全保護(hù)意識(shí)的首要體現(xiàn)。設(shè)置必要的鎖屏功能，通過(guò)設(shè)置鎖屏可以有效減少信息被任意盜取的幾率，相當(dāng)于為計(jì)算機(jī)增設(shè)了一層保護(hù)。對(duì)于重要的數(shù)據(jù)資源要學(xué)會(huì)備份，并且對(duì)十分重要的文件要加密處理，防止他人盜取。在資料傳輸后妥善處理優(yōu)盤(pán)，必要的時(shí)候進(jìn)行殺毒或者是電腦安全監(jiān)測(cè)，確保整個(gè)網(wǎng)絡(luò)的安全。

（2）油田企業(yè)網(wǎng)使用中也應(yīng)該增強(qiáng)網(wǎng)絡(luò)安全意識(shí)。網(wǎng)絡(luò)安全不僅是管理員要做的事情，作為使用者個(gè)人我們也有必要提高一下自己的網(wǎng)絡(luò)安全意識(shí)。即使網(wǎng)絡(luò)使用只局限于工作或者是學(xué)習(xí)。給自己的網(wǎng)絡(luò)或者是計(jì)算機(jī)系統(tǒng)設(shè)置一定的安全賬號(hào)和密碼，不要輕易與他人共享自己的隱秘信息，感興趣的軟件或者是視頻資料建議去一些官網(wǎng)下載，下載正規(guī)的軟件系統(tǒng)，不給木馬、病毒攻擊的機(jī)會(huì)。

（3）加強(qiáng)培訓(xùn)與宣傳。提高管理層和廣大干部職工的信息安全意識(shí)，是信息安全管理工作的基礎(chǔ)。利用定期培訓(xùn)、宣傳板報(bào)、郵件等方式定期反復(fù)對(duì)油田企業(yè)網(wǎng)用戶進(jìn)行信息安全培訓(xùn)和宣傳，能有效提高油田企業(yè)網(wǎng)絡(luò)信息安全管理水平。

（二）強(qiáng)化訪問(wèn)控制。

（1）密碼策略。高強(qiáng)度的密碼需要幾年時(shí)間來(lái)破解，而脆弱的密碼在一分鐘內(nèi)就可以被破解。提高油田企業(yè)網(wǎng)用戶的密碼強(qiáng)度是訪問(wèn)控制的必要手段。為避免弱密碼可能造成的危害，油田企業(yè)網(wǎng)絡(luò)必須制定密碼策略并利用技術(shù)手段保證執(zhí)行。

（2）用戶權(quán)限管理。油田企業(yè)網(wǎng)絡(luò)的用戶從進(jìn)入一個(gè)崗位到離開(kāi)這個(gè)崗位是一個(gè)完整的生命周期，要便捷有效地在這個(gè)生命周期中對(duì)用戶的權(quán)限進(jìn)行管理，需要油田企業(yè)網(wǎng)絡(luò)具有完善的身份管理平臺(tái)，從而實(shí)現(xiàn)授權(quán)流程的自動(dòng)化，并實(shí)現(xiàn)網(wǎng)內(nèi)應(yīng)用的單點(diǎn)登錄。

（3）公鑰系統(tǒng)。公鑰系統(tǒng)是訪問(wèn)控制乃至信息安全架構(gòu)的核心模塊，VPN接入、文件加密系統(tǒng)等均可以通過(guò)公鑰系統(tǒng)提升安全水平，因此油田企業(yè)網(wǎng)絡(luò)應(yīng)當(dāng)部署PKI/CA系統(tǒng)。

（4）做好防火墻的安全防御。防火墻是目前使用比較廣泛的網(wǎng)絡(luò)安全保護(hù)措施，主要針對(duì)自己的安全局域網(wǎng)展開(kāi)保護(hù)，對(duì)于那些惡意攻擊的信息或者是計(jì)算機(jī)病毒通過(guò)防火墻安全監(jiān)測(cè)，將非法信息阻擋在防火墻之外。防火墻是一款安全性比較高的計(jì)算機(jī)安全防御系統(tǒng)，如果想實(shí)現(xiàn)網(wǎng)絡(luò)的安全防御最好安裝防火墻。

（三）落實(shí)監(jiān)控與審計(jì)。

（1）病毒掃描與補(bǔ)丁管理。油田企業(yè)網(wǎng)需要統(tǒng)一的防病毒系統(tǒng)和終端管理系統(tǒng)，在終端定期更新病毒定義，進(jìn)行病毒自動(dòng)掃描，自動(dòng)更新操作系統(tǒng)補(bǔ)丁，以減少桌面終端的安全風(fēng)險(xiǎn)。

（2）惡意軟件防控。主流的惡意軟件防控體系主要由五部分構(gòu)成：防病毒系統(tǒng)、內(nèi)容過(guò)濾網(wǎng)關(guān)、郵件過(guò)濾網(wǎng)關(guān)、惡意網(wǎng)頁(yè)過(guò)濾網(wǎng)關(guān)和入侵檢測(cè)軟件。

（3）網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)。網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)作為防火墻的補(bǔ)充，主要用于監(jiān)控網(wǎng)絡(luò)傳輸，在檢測(cè)到可疑傳輸行為時(shí)報(bào)警。作為油田企業(yè)信息安全架構(gòu)的必備設(shè)備，入侵檢測(cè)系統(tǒng)能有效防控外部的惡意攻擊行為。

參考文獻(xiàn)：

[1] 張雨涵;局域網(wǎng)存在的安全風(fēng)險(xiǎn)與防范措施分析[J];硅谷;2014年第04期

[2] 王雄;孫曉東;吳維橋;信息內(nèi)網(wǎng)面臨的安全威脅及防護(hù)措施[J];青海電力;2013年第02期

（作者單位：中國(guó)石化中原油田信息化管理中心）