财务内网信息安全的策略与技术研究

袁隽媛

［摘 要］ 本文首先对危害财务内网信息安全的主要因素进行分析，说明加强财务内网安全建设、改进财务内网管理、保护网络系统内部核心资源的必要性；接着提出了加强财务内网安全建设的几种策略及其各自的不足；最后详细论述了保证财务内网信息安全的几种切实有效的技术措施。

［关键词］ 财务内网；信息安全；局域网；服务器；客户机；审计

［中图分类号］F232；F239［文献标识码］A［文章编号］1673-0194（2009）04-0009-04

随着网络技术的迅猛发展，为了解决单位内部信息资料的共享，很多企事业单位建立了单位内部的局域网，简称内网。内网中有很多重要信息，必须严格保证安全，防止泄密。随着网络安全事件的频频发生，人们对Internet的安全问题日益重视，但对内部网络的安全却重视不够。事实上对内部网络的攻击有愈演愈烈之势，财务信息被窃取、病毒入侵等，往往给企事业单位造成极其重大的损失。因此，消除隐患，切实保护核心资源，使内部财务网络始终处于安全、可靠、保密的环境下运行，已迫在眉睫。本文将对危害财务内网信息安全的主要因素进行分析，说明加强财务内网的安全建设、改进财务内网管理、保护网络系统内部核心资源的必要性，并就保证财务内网信息安全提出了一些策略和几种切实有效的技术措施。

一、危害财务内网信息安全的主要因素

危害财务内网信息安全的因素有很多，既有自然因素，也有人为因素，但主要是人为因素。归纳起来，有以下几个方面：

（1）安全权限设置不当。财务人员一般对计算机不是很精通，很多单位没有配备专门的计算机管理人员，即使配备有专门的计算机管理人员，计算机水平一般也不高。这样势必会导致财务内网的权限管理混乱，安全配置不正确，资源访问控制不合理，允许不应进入内网的人上网和出现丢失口令、非法操作等。

（2）单位资产管理混乱。有的单位财务人员将内网非法外联互联网和其他网络，将移动设备（笔记本电脑和U盘等）未经过安全检查和处理违规接入内网，网络客户机和用户随意增减调换，对每个客户机硬件配备（CPU、硬盘、内存等）随意组装拆卸、操作系统随意更换、各类应用软件胡乱安装卸载等，由此造成病毒传播、黑客入侵，导致单位内部重要财务信息泄露或丢失。

（3）病毒造成网络瘫痪。从“蠕虫”病毒到CIH病毒、爱虫病毒、木马及磁碟机病毒等，病毒一直是对计算机系统安全最直接的威胁，病毒的发展变化使它们能独自传播，大量复制，会使杀毒软件的监控失效，无法查杀病毒，还会频繁查找杀毒软件的程序窗口，强行将其关闭，甚至不断出现开机自启动，使计算机根本无法工作。网络更是为病毒提供了迅速传播的途径，病毒很容易地通过财务内网的服务器传播到整个网络。内网中由于安装补丁不及时、网络滥用、非法接入、查杀病毒软件未升级等因素导致网络内病毒泛滥、网络阻塞、数据损坏丢失的例子很多，还可能因无法找到灾难的源头而不能迅速采取隔离等处理措施。

（4）非法用户恶意攻击。这里是指来自财务局域网内部的非法用户利用内网进行恶意攻击。例如，他们有选择地破坏网络信息的有效性和完整性；伪装为合法用户进入网络内部并占用大量资源；修改数据、窃取或破译财务机密信息、破坏软件执行；在中间站点拦截和读取绝密财务信息等。

（5）网络内部家贼难防。在财务局域网内部，极个别难防的家贼利用其合法用户身份登录网站，非法查看信息，复制机密信息，修改信息内容及破坏应用系统的运行，以达到不可告人的目的。

（6）系统“漏洞”及“后门”。微软的操作系统及网络软件在编码时存在缺陷和漏洞，故不断地公布补丁；财务软件编程人员为了方便也在软件中留有“后门”。一旦这些“漏洞”及“后门”为黑客所知，它们就会成为整个财务内网系统受攻击的首选目标和薄弱环节。千里之堤，溃于蚁穴。大部分的黑客入侵事件都是由系统的“漏洞”和“后门”所造成的。由于补丁管理混乱，客户机用户不了解系统补丁状态，也不及时打补丁，从而为病毒与黑客入侵保留了通道。

（7）存储、传输信息泄密。财务机密信息存储在财务局域网系统内部，当系统受到攻击时，如不采取措施，很容易被搜集而造成泄密，特别是在传输过程中，可能要经过多个节点，在其中任何节点任何客户机上都有可能被读取，很难查证。因此，财务机密信息的存储和传输也是威胁财务内网安全的一个重要方面。

上述因素都会危及财务内网信息安全，所以必须加强财务内网安全建设，改进财务内网管理，保护网络系统内部核心资源。

二、加强财务内网安全建设的策略

加强财务内网安全建设的策略有以下几种：

（1）进行入网身份认证和操作权限设置，这是事先预防功能。

（2）对设备使用、应用程序、上网行为、文件操作和网络访问等进行现场监控并报警。

（3）利用不能随便删除、修改的日志对网络上的行为、踪迹进行事后强审计。

（4）对内网中的重要信息加密，如对数据库加密，对应用程序加密等。

（5）对黑客攻击和病毒入侵进行检测和清除，对信息资源进行保护。

这些策略每一种都很重要，但仅仅使用其中一种不足以保证内网安全，因为它们只是内网安全建设的一个环节或者一个侧面，还很不完善，当然也就很不安全。如只实施第一种策略，黑客和病毒照样能够通过操作系统入侵；实施第二种策略能够发现用户某些违反规定的使用，但对黑客攻击和病毒入侵照样不可能进行检测和清除；第三种是事后检查日志，也就是不能立即解决安全问题；第四种对信息加密，可以保证重要信息不被窃取，但也无法保证信息不被破坏；第五种虽能对黑客攻击和病毒入侵进行检测和清除，但又不能发现和防止内部家贼以合法用户的身份登录内网窃取重要信息。

常有人认为内网中有完善的身份认证，就能够保证内网使用的安全，内网安全就等于身份认证；也有人认为内网安全就是现场监控，就是审计，只要能随时发现和控制每个客户机的行为，能通过计算机看到客户机用户的操作界面，就能了解他们到底在做什么，有没有危害内网信息安全的行为，这样内网就安全了。其实这些都是认识误区，内网安全是一个集成综合技术，包括的层面很多。由于内网安全的重要性，有不少厂家抓住了这一商机，推出了内网安全产品，有的做认证，有的做外部审计，也有的声称整合了几个方面，具有多种功能。这些产品虽然能起到某些作用，但需要另外安装专用服务器和网络探测器等硬件，还要有与其配套的软件，这些硬件和软件价格很贵，需要花很多钱，而且安装、设置、管理都很复杂，效果也不能令人满意，如对以合法用户身份登录内网的内部家贼窃取重要信息起不了多大作用，对黑客利用尚未公布补丁的操作系统漏洞进行攻击也不能发现和防止，对新出现的病毒入侵也不能进行检测和清除。

三、保证财务内网信息安全的几种切实有效的技术措施

财务内网有其特殊性：其计算机工作站不是太多，一般在100台以内；财务人员一般对计算机不是很精通；很多单位没有配备专门的计算机管理人员等。对于怎样保证财务内网的信息安全，本文提出几种切实有效的技术措施。

1. 配备专门的计算机管理人员，加强网络的权限管理

因为财务内网的计算机工作站不太多，所以可以采用两层客户/服务器模式，以获得较高的访问效率。配备专门的计算机管理人员，对网内的所有计算机实行全面管理。从服务器到每台客户机的软件和硬件安装、配置、维护都由计算机管理员负责。管理员分别为不同用户设定用户名和密码，用户只能在规定的客户机和上机时间内通过输入用户名和密码进入系统。由于每台客户机的工作内容互不相同，操作员的身份也不一样，有会计，有出纳等，他们对财务信息的可读、可写、可查权限都不一样，因此要特别注意用户的权限。管理员要加强对网络权限和共享文件的管理，数据库放在服务器上，用户要根据专门设定的用户名和密码登录数据库，数据库的表、视图、模块也必须进行权限设置。实行这种由专人负责的管理办法就能保证财务内网内软件和硬件的正确配置和安全使用，不给非法用户提供进入内网的机会。

2. 机器安装连接要严格区分内外网

内网和外网要严格区别开来。首先是网络连接要有区别，内网不能连接到外网，特别是不能连接到Internet上。要做到这一点，先要保证有足够的内网机器，规定内网的机器绝对不能连接外网，不能私自拨号上Internet，不能无线上Internet。当今社会已是互联网时代，办公室不能上Internet几乎是不可能的。为了在办公室也能上Internet，有条件的单位可以给每个职工配备两台计算机，分别连接，一台连内网，一台连外网，考虑资金原因也可以给几个人共同配备一台计算机连外网或者一间办公室配备一台计算机连外网。这样就能严格区分内外网，能满足职工在办公室上Internet的需要。如果内网需要外网的有关数据，必须由内网的管理员在专用机上连接外网。

3. 登录财务内网使用隐藏的机器名或机器号

登录财务内网需要使用密码，但对用户只告诉部分密码，用户登录时只须输入已知的部分密码，实际密码还自动加上隐藏的机器名或机器号。通过对单机 Windows认证登录的“用户名+密码”进行改进，采用“用户名+密码+机器名或机器号”的认证方式成为防止入侵者的第一道屏障。每台客户机的机器名或机器号是固定的，计算机管理员清楚。登录财务内网时使用对用户隐藏的的机器名进行登录限制，这样非法用户使用合法计算机或合法用户使用非法计算机都不可能登录财务内网。

4. 限制U盘、移动硬盘和打印机等外设的使用

这里的外设包括软盘、光盘、U盘、移动硬盘、网络驱动器和打印机等。这些设备的使用方便了数据的移动，但任意使用也会带来信息安全隐患问题。

根据使用权限对客户机用户的软驱、光驱（包括刻录机）、磁带驱动器、U盘、移动硬盘、串口、并口、SCSI、IEEE1394总线、调制解调器、红外通讯设备以及笔记本电脑使用的PCMCIA卡和蓝牙等设备进行禁用或停用，从而杜绝了财务内部网与Internet的连接，避免了财务内网数据被有意或者无意地泄露出去。考虑到财务内网可能需要一些内网外的数据，有时也要输出数据到网外，利用U盘和移动硬盘等输入、输出数据是最方便的。对接入客户机的U盘和移动硬盘等存储介质进行控制，计算机管理员根据需要设定存储设备的使用权限（一般合法用户不能使用，个别合法用户只能读，特殊用户和管理员允许读写），这样既保留了移动设备的方便性，又消除了移动存储设备可能带来的安全隐患。

5. U盘和移动硬盘使用前必须杀毒

U盘和移动硬盘的使用容易带来病毒，要保证它们不传播病毒，必须在使用U盘和移动硬盘前杀毒。

在网外专门配备一台用于给U盘和移动硬盘杀毒的计算机，并在该机上安装已更新病毒库的最新版本杀毒软件。当要使用U盘和移动硬盘时，先在这台计算机上杀毒，杀毒结束后在U盘或移动硬盘上自动生成一个文件，记录杀毒日期和杀毒成功标志，在U盘和移动硬盘接入客户机时首先查看其上是否有当天的杀毒日期和杀毒成功标志，如有则可根据读写权限来使用，否则禁止使用。

6. 注重经常升级杀毒程序和病毒库，客户机和服务器定期杀毒

经常升级杀毒程序和病毒库，并及时分发到各客户机上，这项工作由计算机管理员负责完成。客户机和服务器由计算机管理员设定自动定期杀毒，只有这样才能保证财务内网的服务器和客户机基本上处于没有病毒的状态，不会出现因为染上病毒导致财务内网瘫痪而无法继续工作的局面。

7. 客户机系统盘固定为C盘，为防止系统被破坏，做GHOST备份

把客户机的系统盘固定为C盘，安装操作系统，其他的软件都不安装到C盘。为防止操作系统损坏，导致客户机不能开机，特对C盘做GHOST备份，万一系统被损坏，可以立刻恢复使用，且不会影响到其他软件和数据。

8. 数据库做自动备份

目前财务软件的数据库一般都使用SQL Server 产品, 它是一个典型的关系型数据库管理系统，有很多版本。财务内网的财务数据库建在服务器上，财务数据库的备份和恢复是确保财务数据安全的一种必不可少的方法。人工进行数据库备份是一项长期且繁杂的工作，SQL Server 产品具有自动化管理功能，它由SQL Server 代理完成。设置SQL Server 代理要先设置启动SQL Server 代理服务，并使SQL Server 代理服务和操作系统同时启动，还要使SQL Server 及SQL Server 代理在意外停止时自动重新启动。设置好SQL Server 代理后即可制订维护数据库计划，规定自动备份时间，备份磁盘等。

9. 利用日志进行检查审计

利用日志查看特定机器的历史记录，可对登录财务内网的各种事件进行检查和审计。通过事件查看器查看日志文件，分析和审计账户登录事件、文件访问行为、系统服务和数据库操作等，从而发现各种过失违规和犯罪行为，起到规范上网和威慑的作用。

10. 数据库加密

财务内网的财务数据都保存在财务数据库内，对财务数据库进行加密使其数据文件“面目全非”，只有输入正确的密码后进行解密才能打开数据文件，文件使用完毕退出以后，使它仍处于加密状态，这样即使有人窃取了财务数据库的数据文件，也会因不知道密码而无法解密，也就不会对财务内网的财务信息安全造成威胁和危害。

11. 加强管理，建立严格的计算机管理规章制度

单位要加强管理，建立严格的计算机管理规章制度，而且对管理规章制度必须经常提醒、经常督促、经常检查。“制度主要是防内”，有了严密的规章制度、运行条例，形成了内部不同人员间的相互制约关系，使每个用户都合法使用计算机，再加上完善的技术保障措施，不允许用户有不合规定的操作行为发生，这样就能减少内部人员作案的可能性，客观上也就防止了外部人员作案，从而保证了财务内网的正常安全运行。

四、结束语

上述保证财务内网信息安全的几种有效的技术措施具有很多优越性：能将单位财务内网的服务器和所有客户机都纳入管理的范畴；能够增强财务内网的整体安全性能，解决目前财务内网中亟待解决的各种安全隐患；能形成防范与威慑力量，防止内部人员的违规操作；不必增加太多的成本；技术上并不复杂等。通过实际应用已证明这些措施对保证财务内网的信息安全极为有效，其对加强企事业单位的其他内网的信息安全也具有参考价值。

主要参考文献

[1] 陈鹏,蔡玥. 专用园区网络系统安全风险评估研究[J]. 计算机工程与设计,2008,29(9):2209-2212.

[2] 崔蔚,赵强,姜建国,等. 基于主机的安全审计系统研究[J]. 电脑与信息技术,2004,25(1):12-15.

[3] 胡品辉,凌捷,逯峰. 信息安全审计技术在财政行业的应用[J]. 计算机工程与设计, 2007,28(21):5314-5316