1.1.4 网络安全系统的基本组成

上节介绍到了，网络安全系统是一个相对完整的安全保障体系。那么这些安全保障措施具体包括哪些，又如何体现呢？这可以从OSI/RM的7层网络结构来一一分析。因为计算机的网络通信，都离不开OSIR/RM的这7层（注意，并不是所有计算机网络通信都需要经过完整的7层）。当然，网络安全系统又不仅体现在OSI/RM的7层结构中，因为安全风险还可以不是在计算机网络通信过程中产生的，如我们的操作系统（是属于系统层的）、应用软件、用户账户信息的保护、数据的容灾和备份，以及机房的管理等。

针对上节介绍的这几类主要安全隐患类型，我们所采取的安全策略最常见的就包括：

n 安装专业的网络版病毒防护系统（目前通常都已包括木马、恶意软件的检测和清除功能），当然也要加强内部网络的安全管理，因为这些也可以通过内部网络进行传播的；

n 配置好防火墙、路由器过滤策略和系统本身的各项安全措施（如针对各类攻击所进行的通信协议安全配置）；

n 及时安装操作系统、应用软件的安全漏洞补丁，尽可能地堵住操作系统、应用软件本身所带来的安全漏洞；

n 有条件的用户还可在内、外网之间安装网络扫描检测、网络嗅探器（Sniffer）、入侵检测（IDS）和入侵防御（IPS）系统，以便及时发现和阻止来自各方面的攻击；

n 配置网络安全隔离系统，对内、外网络进行安全隔离；加强内部网络安全管理，严格实行“最小权限”原则，为各用户配置好恰当的用户权利和权限；同时对一些敏感数据进行加密保护，对发出去的数据还可采取数字签名措施；

n 根据企业实际需要配置好相应的数据容易策略，并按策略认真执行。

以上具体安全措施将在本书后章中体现。但总体来说，一个完善的网络安全系统应该包括计算机网络通信过程中针对OSI/RM的全部层次安全保护和系统层的安全保护，如图1-1所示。系统层次的安全保护主要包括操作系统、应用服务器和数据库服务器等的安全保护。这样就可以构成一个立体的多层次、全方位的安全保护体系。

图1-1 网络安全系统的基本组成

OSI/RM各个层次的安全保护就是为了预防非法入侵、非法访问、病毒感染和黑客攻击。而非计算机网络通信过程中的安全保护则是为了预防网络的物理瘫痪和网络数据损坏。

【注意】并不是所有计算机网络通信都需要对OSI/RM的所有7层采取安全保护措施，因为有些计算机网络中只有其中的少数几层，如同一个局域网内部的通信仅物理层和数据链路层两层，在TCP/IP网络中，又可以把OSI/RM参考模型中的“会话层”、“表示层”和“应用层”合并在一个TCP/IP参考模型中的“应用层”，不必一层层采取单独的安全保护措施。

总的来说，网络安全系统的防护策略中应包括以下四大方面：

n 计算机病毒、木马、恶意软件的清除与预防

这个很常见，大家也很容易理解。主要措施就是安装各类专业的计算机病毒、木马和恶意软件防护系统，有单机版，也有网络版，在企业网络中，通常是采用网络版的。

n 黑客攻击的拦截与预防

网络安全威胁中绝大部分是来自黑客攻击的，因为它带来的后果可能非常大，也可能是毁灭性的。别看“攻击”就这两个字，现在的“攻击”可不再是那么简单了，可以针对OSI/RM的所有7层进行，还可以针对所有应用软件和网络设备进行，可以说攻击风险无处不在，防不胜防。

n 物理损坏的阻止与预防

这主要包括正常情况下的网络设备和网络线路故障，以及非正常情况下，一些别有用心的用户对网络设备和网络线路的故意破坏，这通常是由于管理不善造成的。

n 数据保护

这是网络安全的最后防线，网络可以瘫痪，可以重建，但数据不能损坏，不能丢失，因为数据无法重新人为得到。单位的网络数据有时关系着企业的发展和存亡。

以上这四个方面（当然具体涉及到非常多的安全技术和防护方案）就构成了一个完善的网络安全系统。OSI/RM参考模型中各层可采取的安全措施如图1-2所示，各层的安全保护分析将在下节分析。当然，这里显示的不可能是所有可以采用的安全保护方案的汇总，而仅提供一个基本防护方向，具体的安全保护方案不仅非常之多，而且还会不断发生变化，不断有新的可行安全保护方案的出现。各层所用的主要安全技术、产品和方案将在本书后面各章具体介绍。