【IT168 专稿】在不同的站点上，企业安全策略的设计与实施并不完全相同。在确定关键设备并对任务进行分析之后，就可以开始制定企业员工必须共同遵守的企业准则和规程，即开始设计安全策略。设计安全策略时应认真制定计划，以确保所有与安全有关的问题都可以得到解决。在设计企业网络安全策略前必须慎重考虑到定义物理安全控制、定义逻辑安全控制、确保系统和数据的完整性和确保数据的机密性等内容。

　　物理安全控制，网络基础设施

　　物理安全控制是对物理基础设施、物理设备安全和物理访问的控制。谁会愿意让入侵者搭线窃听网络的基础设置上传输的数据呢?如果还没有在现有的站点创建企业网络，就应该在规划阶段考虑物理安全控制问题。

　　对于现有的网络，如果为了适应已经改变的环境而正在创建或修改安全策略，就有必要更改物理基础设施，或改变某些关键设备的物理位置，以使安全策略更容易实施。倘若已经将物理安全控制与安全策略相结合，那么当企业需要扩充和增加心的站点时，就应该在创建站点的同时考虑网络的物理安全控制。

　　物理网络基础设施包括选择适当的介质类型及电缆的铺设路线(即网络拓扑)。要确保入侵者无法窃听网络上传输的数据，并且保证所有关键系统具备高度可用性。由于任何人通过无线网卡就可能接入现有的无线网络，因此窃听无线网络的问题必须始终予以重视。

　　物理网络的基础设施包括物理介质的选择和网络拓扑结构。从安全的角度看，应根据电缆中所传输信息的敏感程度来为不同网段选择电缆的类型。网络传输中最常见的3种电缆包括双绞线、同轴电缆和光缆。光缆在高带宽和长距离传输的情况下用的最多。与双绞线或同轴电缆不同的是，光缆不辐射能量，因此能够有效的阻止窃听。此外，光缆比双绞线同轴电缆更难搭线窃听。

　　通过某些工具来测量电缆的衰减有时可以探测到搭线的问题。通常可以用TDR(时域反射计)工具来检测同轴电缆，用OTDR(光学时域反射计)工具来检测光缆。这些设备主要用于测量信号的衰减率和已安装电缆基座的长度，但偶尔也能监测到非法搭线窃听。

　　介质的物理路径(即网络拓扑)关系到网络及其附属设备的可用性。它还涉及网络基础设施的可靠性和安全性。因此拥有结构化的电缆系统对于降低停机时间风险有很重要的作用。电缆基础设施也应该具备良好的安全性，以阻止对其任何部分都可访问。安装在两栋建筑物之间的电缆要埋入地下，那么，即使需要根据其他标准对埋入深度进行调整，埋入的深度也至少应超过40英寸。

　　网络设备物理安全性

　　有时，物理设备的安全性只是轻描淡写地提一下，动机强烈的入侵者为了达到自己的目的会不择手段。物理设备安全性包括确定设备的位置、限制物理访问和在适当位置设置适当的环境安全防护。

　　关键网络资源的位置极为重要。所有网络基础设施设备都应该放置在严格限制接近的地方，以降低出现未经授权访问的可能性。设备问题可能会造成严重危害，当采用机柜放置所有关键的网络基础设施设备(如交换机、防火墙、调制解调器和路由器等)时，必须尽量使机柜处于一个独立的区域。不要忽视物理设备安全的任何因素。试想，倘若可以从天花板爬进屋里，那么在机柜上安装保险锁也不能提供可靠的保护。还有一种应该被考虑但又时常被忽视的情形。当打印机密的配置文件或发送含配置内容的传真时，打印机或传真机的打印输出有可能落入他人手中。为防止此情况的发生，需要将敏感打印机和传真机安装在LAN网段上，且该局域网应位于访问受到严格控制的室内。除此之外，还必须采取安全的方法来销毁打印输出和文档，其中使用碎纸机不失为一种可行的方法。

　　谁有权接近机柜和受限区域呢?受限区域的物理访问需要主要根据分析或物理安全调查的结果来决定。一条行之有效的经验是严格限制接近机柜和关键网络基础设施设备所在地。除非经过授权或因工作需要，否则将禁止接近这些区域。

　　物理安全策略还应该考虑那些合同维修工或其他需要进入受控区域但又没有被授权的人员，他们可以由经过授权的人员陪同进入或者在进入受控区域前先进行登记。为保证物理安全策略可强制执行，关键是确保员工的工作地点不与访问限制冲突。如果这些条件得不到满足，无恶意的员工将想办法回避物理安全策略。如果设备需要为来访者提供临时的网络访问连接，使来访者能够连接自己的个人网络，就应该认真计划此项服务。通过明确规定在何处提供此项服务，就可以保证必要的物理访问安全。

　　为保护关键的网络资源，必须安装和实施充分的环境安全保护。系统的敏感程度和危急程度决定了安全策略是否“充分”。系统越关键，需要设置的安全防护就越该加强，应不惜任何代价确保资源可用。环境安全保护至少要包括的内容：水灾的预防、监测和恢复;水害预防、监测和恢复;电源保护;温度控制;湿度控制;保护免受自然灾害的侵袭，包括地震、闪电和风暴等;保护不受过量磁场干扰;制定良好的清洁制度，减少尘土和垃圾。制定清洁制度看似有点夸张，但使用光纤设备的人都知道，尘埃微粒完全可能导致网络老化和停机，因此也应该认识到清洁的作用。

　　物理安全控制策略实例

　　下面拿一个大学的物理安全控制策略作为样例来看看。建筑物和所处位置的前提条件：1、所有校园建筑物必须按照相关的防护和安全标准来构建网络机柜。2、所有网络机柜必须进行保护，防止受到潜在的人为或自然灾害(如水灾、地震和闪电)的破坏。3、所有网络基础设施设备必须有备用电源供应。4、所有网络基础设施设备必须锁在设备柜里，只有维护人员可以接近。

　　物理访问的安全控制包括：1、只有网络基础设施操作维护人员有权访问网络机柜和机架。2、其他人员只有在网络基础设施操作维护人员的陪同下才能接近网络机柜。3、所有网络机柜必须按照监视摄像头。4、有人员变动时必须更换网络机柜的锁。

　　逻辑安全控制

　　逻辑安全控制负责在不同网段之间构造逻辑边界。它同时还对不同网段间信息流的流动进行控制。逻辑访问控制通过对网段间的信息流进行逻辑过滤来提供安全性保障。尽管信息流过滤可以提供一定的安全性保障，但事实上由于容易进行IP欺骗，因此过滤方法应该与其他安全措施结合使用。

　　由于逻辑边界不如物理边界那么安全，故必须完全理解数据从一点传输到另一点的详细路径。尽管在不同子网间通常存在逻辑边界，但路由策略和虚拟局域网(VLAN)尝尝会使逻辑信息流变得混乱。检测网络上非授权通信的惟一方法是采用报文分组分析仪或入侵检测系统。在关键的网络访问上按照入侵检测系统比较慎重的做法。

　　由于网络信息流被限制在单个的子网区域内，因此有时会误以为处于不同子网上的信息流是安全的。其想法是不同地址组之间存在的逻辑划分构成了不同的网络访问域。可以根据子网地址来设置过滤以允许或拒绝信息流。根据网络如何使用子网进行逻辑划分，以及这些子网之间的信息流如何进行控制，就可以大致确定网络的逻辑基础设施，路由选择(也称为三层交换)是指如何控制子网之间的信息流。路由选择信息在何处分发以及在何处接收是路由选择问题的关键，它很大程度上决定了如何获取不同网络上数据的访问权。此外，VLAN也能够修改传统的物理边界。

　　对设备号网段的访问必须明确限制到需要访问的个人，这需要执行两类的控制：预防性控制和探测性控制。对网络设备使用权限的管理所提供的策略直接取决于网络规模和需要维护网络的管理员人数。可以对网络基础设施设备进行本地认证，但这或许不可扩展。网络管理工具的使用在大型网络中是有帮助的：如果对每个设备进行本地认证，那么该策略通常会包括无法提升设备安全性的单一登录。在这些情况下，可以考虑使用访问控制服务器。它允许集中式的管理员数据库，而且能够在一个位置增加或删除管理员。访问的类型也是需要着重考虑的。通常应慎重考虑对网络基础设施设备使用不同的管理等级，以使特定的命令的权限级别，并且这些权限级别是为单个用户登录所定义的。应当遵从正确的技术方案，且不应废止。必须尽量在用户实际使用的认证方法和给定系统充分提供安全的方法之间取得平衡。

　　总结

　　创建企业安全策略的指导方针，是为了安全策略可以被确保有效实施。确定物理安全控制的规则适用于物理基础实施设备、物理设备安全性和物理访问。安全策略应当明确地制定安全策略验证和监控的规则，以确保安全策略有效地实施和加强。企业对员工进行适当的培训以使其了解安全相关问题及其后果，也是十分必要的。