【摘要】：网络到底安不安全，有网络安全产品不够，有安全防护架构也不够；要看能不能知患于未然，能不能经得起安全考验。北京清扬创新公司提出了网络要过"安全检查、安全评估"这一关的理念，将安全自查和安全评估注入到日常安全管理的工作中，为当前的信息安全保障体系建设提供了重要思路，并将安全检查的意识付诸于技术实践。
【关键字】：安全检查 安全评估 安全防护 安全保障体系
网络到底安不安全
有人问：你的网络安全吗？通常的回答是：我们有防火墙、入侵检测等安全防护设备了。继续问：网络中敏感信息会丢失吗？这个问题不好回答。每天大量的信息在网络中流转，你如何知道敏感信息扩散到什么范围了？假如有对手进入内网，你如何能够保护你的信息不被窃取？单靠管理制度，能不能解决这些安全问题？
纪律式管理不适合当前网络化工作时代
纪律式管理能够在传统的管理工作中发挥作用。当前网络化工作中，个人的计算机行为没有边界、没有国界、没有时空、甚至几乎不留痕迹。有形的具体的管理要求与无形的计算机行为之间渐渐脱节。敏感信息不允许扩散，实际上扩散了你并不知道；内部网络不允许接入互联网，悄悄地上网了你也不知道；电子密件需要安全保密，木马植入到主机内部了你还是根本不知道。
管理工作必须有技术手段来加强和落实。
仅靠安全防护是不够的
网络仅靠安全防护是不够的。防护对于网络安全而言是必不可少的；但是就像防病毒软件与病毒的对应关系一样，安全防护的特点也是静态的和被动的。另外，通用的安全防护产品，其功能和技术指标都是预先设定、普遍适用的；不一定适合特定的特殊的工作环境的安全需求。同样，由通用的安全防护产品架构的网络安全整体方案，也由于产品功能固定的原因从而具有一定的局限性。
我们从防护的缘由上来分析，一般是漏洞在先，防护在后。如果网络经过安全检查来查处漏洞，防护就会具有针对性；如果能够经常性地进行网络安全检查评估，网络的防护水平就会提升到一定的高度。从理论上来看，通过检查加固防护，在某种意义上就是"魔高一尺道高一丈"的演变。
安全检查评估是安全保障体系中的重要环节
由上可知，真正的安全保障体系，不是一次性完备的架构，而是一个由安全检查--安全防护--安全检查--安全防护……的循环发展、动态完善的系统工程。在一定程度上可以说，没有安全检查的安全保障体系不具备真正的安全性。
如图1所示，反馈式的安全检查能加强网络安全防护，能够通过自我检查自我评估达到自我调整和完善，是检验网络安全与否的动态标准。具体叙述有三。
第一， 安全检查能够检验网络的整体安全架构是否安全。
只有安全检查中获取的大量结果和统计数据，才能够使人们打破理论安全或者整体架构安全的麻痹思想束缚，深入思考实际的和本地特殊化的安全隐患，重建并完善真正的网络安全架构。
第二， 安全检查能够检验安全架构中采用的安全产品达到应有的技术指标。
安全架构的安全性一方面来自于架构自身，另一方面来自于组成构架的安全产品的安全性。通过安全检查的查证功能，能够客观地排除由于安全架构不当而可能造成的安全隐患问题，能够直接将安全隐患问题定位在产品级上。
第三， 安全检查能够检验单位安全管理制度是否完善和落实
安全管理制度落实没有、执行与否，检查结果可以一目了然。有信息失泄密的网络就不能成为安全网络；管理制度就必须结合经常性的技术检查手段来验证和落实。否则，就是无效管理。
切实可行的内网安全检查的方案实现
经大量调研得知，目前，内网中安全检查的主要目标是内网信息的安全保密，在此基础上的内网才是可信可用的安全网络。因此，安全网络的主要检查内容分为三大类：敏感信息的失泄密检查、非法外联检查和外来接入检查。
失泄密检查主要检查内网主机中是否越权访问、下载、使用或者隐藏了重要敏感文件；是否采用了可移动磁盘、软盘等进行文件操作等行为。
非法外联检查主要检查内网中私自拨号上网和其他诸如无线、双网卡、代理服务器等方式上网的行为。
接入检查主要检查私自把外来笔记本等设备非法接入内网的行为。
为了充分实现上述安全检查的目标，我们放弃了单模块单功能检查的工作模式，选择了多模块全方位综合性检查的工作模式。
1、 失泄密检查
采用C/S（客户/服务器）结构，逐机搜索磁盘中所有文件，提取多种类型可编辑文本文件、检查计算机各种设置信息等。具体包括：
--文件操作检查
--上网日志和Cookie信息检查
--拨号连接配置检查
--代理服务器配置检查
--连通互联网检查
--共享资源检查
--多网卡、补丁等检查
2、 非法外联检查
采用双机工作模式，分为探测端和监视端。两端可以分别安装在内网和外网中的任意位置。探测端安装在单位内部局域网，随时检测是否有一机两用行为。监视端安装在因特网上，长期监视并记录来自指定局域网的主机拨号上网等种种非法外联行为。
3、 外来接入检查
采用C/S（客户/服务器）结构，探测网络主机，定义网络安全边界、审核内网主机，查处非法外来接入主机。具体为：
--监视内网主机连接状况
--审核并定义合法主机
--对合法计算机实施户籍式管理
--查证联网计算机的身份
--判断外来非法接入并告警
安全检查具有主动性、针对性和有效性
综上所述，从技术上来讲，安全检查能够直接地、直观地得到第一手安全检查结果；从结果上来看，安全检查能够根据检查结果用来评估网络的安全性；能够有针对性地提出安全调整或者整改的方案，随时动态地增设网络安全措施，提高安全防护水平，增强网络安全的有效性。
