震网事件对信息安全之启示
震网（Stux
et）病毒于2010年6月首次被检测出来，是第一个专门定向攻击真实世界中基础（能源）设施的“蠕虫”病毒，比如核电站，水坝，国家电网，是真正意义上的网络武器。“震网”病毒给我们的信息安全敲响了警钟，给物理隔离网络安全带来了新的启示。本文从风险控制角度，就五个方面探讨物理隔离网络的安全防护措施。1、加强内网终端的安全防护物理隔离网络的终端安全往往被忽视。很多用户认为自己处于隔离网络的“内部”，对外有整体网络的区域防护就已经很安全了。但是我们知道，根据木桶原理的短板效应，网络的安全性是取决于其最弱环节，终端的每一台主机都有可能成为病毒攻击的入口，因此必须强化终端的安全防护。内网终端的安全防护可以采用的措施主要包括：在终端设备上开启防火墙功能；及时安装操作系统和各种应用程序的最新补丁；安装杀毒软件，开启实时监控功能，并及时更新病毒库升级到最新版本；关闭默认共享，阻止病毒在局域网中传播；使用强口令，以保护系统免受攻击；关闭主机中不必要的网络服务端口；关闭计算机的自动播放功能，使用可移动设备前先进行病毒扫描，使用专用的Ｕ盘病
f毒查杀工具等等。2、建立完善的内网终端准入控制在加强内网终端自身安全防护的同时，对于外来终端进入内网的准入控制，也是构建一个安全网络、有效控制安全风险的关键。终端准入控制是一个系统工程，它具有统一目标和统一策略，能够有效控制、监视和跟踪分散的内网终端。从功能上，可以将终端准入控制分为6个方面：（1）准入认证。通过准入认证，形成有效的权限控制机制，完成用户名与IP、MAC、VLAN、接入端口、接入设备IP、SSID等多元素绑定。目前常见认证协议包括8021X协议、Web认证、PPPoE协议等。（2）安全评估。终端安全控制评估主要包括对终端系统补丁管理、防病毒软件检查、注册表监控、异常流量和连接数监控等方面。（3）权限控制。主要包括对不同角色、不同用户的权限策略控制，对移动存储介质以及其它外设的安全策略控制。（4）行为审计。主要是对用户网络访问行为的审计和移动硬盘、打印机等其它外设使用行为的监控和审计，帮助管理员追踪定位非法用户。（5）协助管理。包括用户进入内网需安装的客户端软件部署和安装方式，以及客户端定制、软件分发、用户拓扑管理等功能。（6）可扩展性。应考虑到实现终端准入控制的可用性和扩展性，例如实行两机冷、热备份，用户分权管理、服务r