网络安全加固建设范文

导语：如何才能写好一篇网络安全加固建设，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。

篇1

关键词：校园网络；安全运维；网络安全

随着高校信息化建设的全面深入和快速推进，基础网络设施和信息应用系统日趋完备，形成了规模大、结构复杂、系统多、应用全面的网络与信息系统架构。信息化建设项目多、任务重，在高效率、高质量完成建设任务的同时，需要保证网络运维和信息安全运维的效果和效率，为师生提供良好的用户体验，这就对网络运维提出了更高的要求和标准。网络业务日益繁多、复杂多变，各种网络问题层出不穷，如黑客攻击、计算机病毒泛滥，高校园网络运维体系面临新的问题，能否适应新变化就显得非常重要。建立校园网运维体系、解决校园网面临的问题对保证高校正常的教学、科研、管理等工作有着重要意义。

1校园网络安全运维体系架构

随着信息化在高校的发展，硬件平台、应用软件、操作系统越来越复杂，难以集中管理，加之师生对网络的高度依赖性，使得保障网络的可靠性和安全性成为重中之重。具备故障管理、配置管理、变更管理、性能管理、安全管理等功能的网络管理技术为当前网络安全技术中的关键技术。高校校园网络中网络安全设备、业务系统数量众多、结构复杂，且管理控制平台多样，网络管理员需要掌握不同平台的管理及使用方法，去管理网络中的各种设备和系统，复杂度高；网络管理员对应用系统的使用权限不同，难以在不同的业务应用系统中保持控制策略和用户权限的全局一致性，管理网络安全事件日趋复杂化。只有对所有安全设备、业务系统发生的安全事件及其运行状态信息进行关联分析，才能有效发现新的、更深层次的安全隐患。安全管理技术主要包括安全事件采集、安全事件管理、安全设备监控三大模块。安全事件釆集，用于采集网络中所有安全设备及业务应用系统等的安全日志及运行状态，这些信息将为后续的关联分析提供数据源，是安全管理的基础。安全事件管理将采集得到的数据源进行关联分析、风险评估等处理，通过分析可能的安全威胁，提交安全对象的安全报告。安全设备监控，是通过监控各关键网络设备的运行状态信息，及时发现安全问题并第一时间进行处理。

2校园网络安全运维平台的组成

校园网络安全运维平台由监控中心、安全分析中心、运维中心组成，为保证高校校园网络的安全提供了科学合理的方法，有效保障了校园网络的安全和稳定。监控中心，通过事件采集器收集监控对象日志信息及安全事件，经过标准化、信息过滤和关联分析后，标记安全事件级别同时存入数据库。安全分析中心，通过资产识别、威胁识别、脆弱性识别、评价风险、风险计算等过程，评估校园网络综合资产的重要性、脆弱性以及面临的威胁，为管理员进行决策提供依据；采用事件关联分析算法，寻找海量事件相互关联事件，提取出真正有价值的少量安全事件威胁，包括业务连续性威胁、数据安全威胁、攻击威胁。运维中心，通过安全预警管理接收业务系统防护平台产生的自动安全预警信息或人工预警信息，再进行分级处理，并按规定的通知模板将预警信息传达给相关人员，并运用系统安全策略进行准确的预警，其中系统安全策略由告警的触发条件、分析规则、风险策略、设施管策略、存储策略等组成。

3安全运维的内容

3.1安全巡检

定期对校园网络安全设备的日志进行深入分析和审计，包括对防火墙、IDS、防病毒系统、动态口令认证、日志分析系统等的运行状态、运行事件、日志和关键配置文件进行收集、分析，并形成相应的安全建议。安全巡检内容如下：（1）制订安全设备巡检计划和巡检规范；（2）定期对网络安全设备进行巡检；（3）分析和解决在巡检中发现的问题；（4）提交巡检报告。

3.2漏洞扫描

通过漏洞扫描可以全面、准确发现校园网络中各系统存在的安全隐患及可能被攻击的方式，掌握信息系统的安全现状，为进一步保证建设校园网络的安全提供了数据参考和实际的依据，具有指导校园网络安全建设的作用。对信息系统进行标准的安全探测是漏洞扫描采用的主要技术手段，通过安全探测可以发现网络和系统潜在的安全隐患和薄弱环节。通过漏洞扫描设备、安全评估工具以扫描的方式对整个校园网中的信息系统、网络设备和安全设备进行安全扫描，从校园内网和校园外网络两个不同的网络环境来探测校园网络结构、网络设备部署、服务器主机配置、数据库管理员账号/口令等校园网络对象目标存在的漏洞、安全风险和潜在的威胁。漏洞扫描有利于发现系统层、网络层、应用层的安全问题。（1）系统层安全。各网络设备、安全设备、服务器的操作系统，主要存在操作系统自身的漏洞、风险和威胁，主要包括用户名、密码管理、访问权限分配和控制、系统漏洞等，以及操作系统的安全配置不够完善，存在被攻击的可能。（2）网络层安全。网络信息是网络层的主要安全问题，包括身份认证，控制不同身份对网络资源的访问、传输过程中的信息数据保密性与完整性、校外网络远程接入、入侵检测的发现及处理手段等。（3）应用层安全。应用软件和数据的安全性是应用层安全考虑的主要方面，主要有：学工系统、门户网站、教务系统、数据库系统、Web应用服务、电子邮件系统、防火墙及WAF系统及其他网络应用服务系统等。扫描流程如图1所示：

3.3安全加固

针对巡检、漏洞扫描、安全评估过程中发现的各种安全隐患、系统漏洞，通过补丁升级、漏洞修复、进行更加严格的安全配置、校园网络系统架构优化与调整、安全策略升级与完善等方式及时对系统进行安全加固，范围可覆盖资产梳理、终端检查、物理检查、管理体系优化、人工检查、漏洞扫描结果加固、渗透测试结果加固（涉及数据库加固），提高校园网络的安全性、抗攻击和防病毒入侵能力，降低网络安全事件发生的可能性。采用基本安全配置定期检测和优化，提高各系统、设备的密码复杂度及修改密码，系统漏洞检测、修复处理，访问控制策略完善配置，安全的远程接入方式，开启文件系统的审计策略，开启系统日志记录并定期进行分析，定期升级操作系统及更新安装补丁等手段对校园网络进行安全加固。加固完成后，定期对校园网络的安全性进行评估，确保校园网络中各业务系统、网络设备、安全设备具有较高的安全性和抗攻击能力。加固流程如图2所示：

4结语

科学合理成体系的校园网络安全运维能有效缓解校园网络面临的风险问题，将网络安全事件从传统的事后处理逐渐转变为事前防范，能极大提高网络运维和安全管理水平，增强校园网络的安全性，提供更好的用户体验，从而实现安全、稳定、抗风险能力强的校园网络环境。

参考文献

[1]庄天天.安全运维平台关键技术的研究与实现[D].北京:北京邮电大学,2013.

[2]吴京伟.大学校园网络运维体系研究[D].合肥:合肥工业大学,2009.

[3]张先哲.信息系统安全运维管理平台建设研究[J].软件工程师,2015(5):38-39.

篇2

关键词：网络安全；网络技术

中图分类号：TP319.3 文献标识码：A 文章编号：1007-9599 (2011) 22-0000-01

"Computer Network Security" Teaching Study

Jiang Cui,Cheng Shoumian

(Xianning Vocational Technical College,Xianning 437100,China)

Abstract:"Computer Network Security"is a computer network or similar technical expertise of one major basic for reqiured courses.The following courses form course architecture in the position,course training objective,selection,curriculum design and teaching methods of teaching content and other aspects of elaboration of this course,teaching methods,to promote this course teaching reform and development,improve the teaching standard of this course.

Keywords:Network Security;Network technology

前言：通过计算机网络，人们可以非常方便地存储、交换以及搜索信息，在工作、生活以及娱乐中享受极大的便利。然而，人们在享受计算机网络所带来的巨大便利的同时，也受到计算机网络本身所暴露出的各种安全问题的困扰。这些安全问题给人类社会所依赖的“网络社会”蒙上了阴影。计算机网络安全问题已成为一个世界性的现实问题。可以说没有网络安全，就没有完全意义上的国家安全，也没有真正的政治安全、军事安全和经济安全。因此，加速计算机网络安全的研究和发展，增强计算机网络的安全保障能力，提高全民的网络安全意识，加速培养网络安全专门人才已成为我国网络化合信息化发展的当务之急。《计算机网络安全》课程在课程体系中占有重要的地位，《计算机网络安全》课程的教学不容忽视，《计算机网络安全》课程的教学研究探讨有重要的意义。

一、《计算机网络安全》在网络专业课程体系中的地位

先行课程：《计算机网络基础》、《网站建设》、《网络数据库》和《网络设备与互联》；并行课程：《网络管理》；后继课程：《网络攻击与防御》、《数据备份与灾难恢复技术》和《网络安全与电子商务》。

《计算机网络安全》这门课程在网络专业体系结构中位于网络安全领域课程的首位。是网络安全方向学习必不可少的课程。它依据《计算机网络基础》课程，系统的讲解了网络技术相关的基本原理和网络应用技术，使学生掌握了网络的理论基础知识和网络应用技术；《网络数据库》全面地介绍了数据库基础、SQL Server的安全性管理、SQL Server2005数据库系统管理、开发和应用的相关原理、方法和技术；《网站建设》系统地介绍了网站规划建设与管理维护的知识和技术，训练了学生网站建设和规划及维护的能力；《网络设备与互联》详细介绍了构建园区网所涉及的交换、路由、安全等方面的知识，以及将园区网接入到互联网的相关技术。这些课程为网络安全课程的学习奠定了良好的基础，为网络安全问题的解决提供了必要条件。

《计算机网络安全》是培养网络管理员，成就网络工程师课程体系中一个重要的组成部分。它属于“组网、用网、管网”中的“管网”部分。主要针对计算机网络的管理和网络应用专业岗位而设置。

二、《计算机网络安全》课程的培养目标

作为《计算机网络安全》课程设置的主要内容有：网络故障安全应急处理，黑客攻击造成的网络安全异常及诊断分析，病毒造成的主机网络异常诊断和分析，无线网络系统加固技术，网络安全架构设计和网络安全设备的部署，加密、解密技术及其应用，主机操作系统和应用服务器系统安全加固，故障后的数据恢复技术。对我们高职学生学习该课程，对应的职业岗位，主要是针对初级并界于中级的网络管理员以及为网络工程师职业打下坚实基础。要想成为中高级网络管理员必须经过后续课程的不断努力学习。

（一）职业所需的专业能力。（1）熟悉常见计算机病毒的现象特征，掌握其清除和防范技术，能清除常见计算机病毒，（2）熟悉操作系统的安全设置，能有效的保护所管理的计算机安全可靠运行，（3）掌握防火墙的原理及功能特性，掌握防火墙的配置技术，能保证园区网的网络设备可靠工作，（4）了解黑客的入侵过程，掌握防范黑客攻击的一般措施，能防范一般的黑客攻击，（5）掌握数据备份和恢复技术，能应对数据的急救处理。

（二）职业所需的通用能力。（1）网络安全的法律和法规意识。掌握我国制订的相关网络安全法规和法律知识，了解我国网络安全的发展趋势。（2）团队协作精神。网络安全是一个庞大而复杂的领域，需要团队的分工合作。（3）养成自学习惯。网络安全领域知识变化日新月异，需要不但学习，要培养“活到老，学到老”的自学习惯。（4）与人沟通意识。

三、《计算机网络安全》课程教学手段

“以职业活动为导向，以工作过程为导向”，本课程内容组织与安排遵循学生职业能力培养的基本规律，围绕职业能力目标的实现来展开。教学手段：虚拟、真实环境相结合。以学校的实训室为研究对象，按照项目实训步骤进行教学。教师在虚拟（计算机网络安全攻防实训系统，如泰谷网络攻防实验系统）和真实（计算机网络安全实训室）的网络安全环境中进行操作演示；学生在虚拟（计算机网络安全攻防实训系统）和真实（计算机网络安全实训室）的网络安全环境中进行操作练习；在实训室中，学生按分组用真实的网络软硬件进行网络攻防训练。并辅以课外学习，学习网站有：黑客基地（），黑客防线（.cn），中国黑客联盟（），中国黑客入侵组（），安全焦点（）。然后输送学生到附近的校外实训基地真实的环境中学习锻炼，直接掌握职业岗位的需求知识和技能。

参考文献：

[1]辜川毅,主编.计算机网络安全技术[M].机械工业出版社,2009

[2]甘刚,曹荻华,王敏,王祖俪,张永波编著.网络攻击与防御[M].清华大学出版社,2008

篇3

作者：侯炜

我国高速公路近几年来建设里程越来越远，而且随着互联网的迅速发展，高速公路进入了全国联网、信息交互的时代。一方面，这有助于高速公路网络信息的共享和传播。但另一方面，高速公路全面联网也对网络安全提出了新的要求。一旦网络被别有用心的人攻击，轻则导致信息泄露，重则有可能引起大的交通事故。

一、高速公路网络信息安全分析

针对目前高速公路信息网络系统安全的现状，很多专家学者都提出自己的观点和看法，例如：北京交科公路勘察设计研究院盛刚谈到网络安全问题时指出：一方面，不管是在设计还是建设方面，偏重于网络系统的技术和设备方面，缺乏整体系统的思想观念和管理理念；重点放在外部攻击与入侵，忽视内容的监管；重视网络安全的专业性知识，忽视培养技术人员，技术储备力量不足；新产品，技术发展快，信息安全隐患日益凸显，另一方面，针对高速收费、联网监控这方面，1、建设施工方面，相关的运营单位的认识和重视度不够，存在着投资大、效率低、操作难等问题；2、技术方面，未能严格按照国际相关标准规定执行，提出的技术不具备针对性。

网络安全现阶段的外部威胁主要来自黑客活动，包括：木马程序、网络安全漏洞、各种病毒，而内部人员监管手段的疏忽和不规范的操作也是导致网络安全系统受到威胁的原因之一。

在网络信息安全问题上，各省又都有各自的实际问题。例如：江苏高速公路呈现出：网络宽带分配不均、网络大小不同、网络技术复杂、网络资源分散、网络系统陈旧、网络结构多样化的特点。网络信息安全问题已经日趋严重，已成为当前高速网络首要解决的难题，治理措施刻不容缓。

二、网络信息安全的途径分析

基于现阶段高速公路网络信息存在的安全问题，多数学者提出自己的看法，其中盛刚提出需要从多角度、多方位的考虑，指出了全面的安全保障体系，包括：技术体系、运维体系、管理体系和标准体系。技术体系主要从主机安全、物理安全、数据安全、网络安全等多方面考虑的综合建设体系；运维体系分为四个部分：风险管理安全、安全体系的推广落实、安全维护、安全管理的工程建设这四部分；管理体系指信息安全的方针目标，以及在完成这些目标的过程中所使用的体系方法；标准体系具体主要确定网络信息安全的规章制度、管理办法，工作流程和总体框架。

针对各省份出现的安全问题，各自根据实际情况提出不同的解决方案，例如山西省针对本省高速公路网络信息安全也提出了自己的解决方案。从管理和技术两方面入手，管理具体从以下几方面着手：人员安全管理、系统运维管理、管理制度安全、安全管理机构、系统建设管理等方面提出的具体要求。技术方面主要分为：系统主机安全、物理安全、应用安全、数据安全和网络安全。管理和技术在维护系统安全中起着不可替代的作用，两者相辅相成，缺一不可。

山西省不仅从管理和技术两方面确保高速公路网络安全，在具体的实施过程中，更全面透彻地分析了全省高速公路在网络安全中存在的各种安全隐患，涉及网络安全、主机设备、物理安全、网络病毒、数据安全、业务管理、应用体系安全、主机系统安全、行为操作安全等各类隐患，针对具体存在的安全问题，对症下药，采取实施有效的安全防护措施。

除江苏和山西省外，福建省也提出了自己的安全措施，制定了详细的分析报告（确定框架―制定方案―修改方案―执行方案），从2013年试开始运行，截止目前为止，安全防护措施已步入正轨，已将相关制度运行管理制度实现了良好的衔接。

篇4

［关键词］ 网络；安全威胁；中国石油；网络安全域

doi : 10 . 3969 / j . issn . 1673 - 0194 . 2012 . 10. 035

［中图分类号］ TP343.08 ［文献标识码］ A ［文章编号］ 1673 - 0194（2012）10- 0062- 02

1 引 言

随着市场竞争的日益加剧，业务灵活性、成本控制成为企业经营者最关心的问题，弹性灵活的业务流程需求日益加强，办公自动化、生产上网、业务上网、远程办公等业务模式不断出现，促使企业加快信息网络的建设。越来越多的企业核心业务、数据上网，一个稳定安全的企业信息网络已成为企业正常运营的基本条件。同时为了规范企业治理，国家监管部门对企业的内控管理提出了多项规范要求，包括 IT 数据、流程、应用和基础结构的完整性、可用性和准确性等方面。

然而信息网络面临的安全威胁与日俱增，安全攻击渐渐向有组织、有目的、趋利化方向发展，网络病毒、漏洞依然泛滥，同时信息技术的不断更新，信息安全面临的挑战不断增加。特别是云的应用，云环境下的数据安全、应用安全、虚拟化安全是信息安全面临的主要问题。如何构建灵活有效的企业网络安全防护体系，满足业务发展的需要，已成为企业信息化建设、甚至是企业业务发展必须要考虑的问题。

2 大型企业网络面临的安全威胁

赛门铁克的《2011 安全状况调查报告》显示：29％的企业定期遭受网络攻击，71％ 的企业在过去的一年里遭受过网络攻击。大型企业由于地域跨度大，信息系统多，受攻击面广等特点，更是成为被攻击的首选目标。

大型企业网络应用存在的安全威胁主要包括：（1）内网应用不规范。企业网络行为不加限制，P2P下载等信息占据大量的网络带宽，同时也不可避免地将互联网中的大量病毒、木马等有害信息传播到内网，对内网应用系统安全构成威胁。（2）网络接入控制不严。网络准入设施及制度的缺失，任何人都可以随时、随地插线上网，极易带来病毒、木马等，也很容易造成身份假冒、信息窃取、信息丢失等事件。（3）VPN系统安全措施不全。企业中的VPN系统，特别是二级单位自建的VPN系统，安全防护与审计能力不高，存在管理和控制不完善，且存在非系统员工用户，行为难以监管和约束。（4）卫星信号易泄密。卫星通信方便灵活，通信范围广，不受距离和地域限制，许多在僻远地区作业的一线生产单位，通过卫星系统传递生产、现场视频等信息。但由于无线信号在自由空间中传输，容易被截获。（5）无线网络安全风险较大。无线接入由于灵活方便，常在局域网络中使用，但是存在容易侵入、未经授权使用服务、地址欺骗和会话拦截、流量侦听等安全风险。（6）生产网隔离不彻底。企业中生产网络与管理网络尚没有明确的隔离规范，大多数二级单位采用防火墙逻辑隔离，有些单位防护策略制定不严格，导致生产网被来自管理网络的病毒感染。

3 大型企业网络安全防护体系建设

中国石油信息化建设处于我国大型企业领先地位，在国资委历年信息化评比中，都名列前茅，“十一五”期间，将企业信息安全保障体系建设列为信息化整体规划中，并逐步实施。其中涉及管理类项目3个，控制类项目3个，技术类项目5个。中国石油网络安全域建设是其重要建设内容。

中国石油网络分为专网、内网与外网3类。其中专网承载与实时生产或决策相关的信息系统，是相对封闭、有隔离的专用网络。内网是通过租用国内数据链路，承载对内服务业务信息系统的网络，与外网逻辑隔离。外网是实现对外提供服务和应用的网络，与互联网相连（见图1）。

为了构建安全可靠的中国石油网络安全架构，中国石油通过划分中国石油网络安全域，明确安全责任和防护标准，采取分层的防护措施来提高整体网络的安全性，同时，为安全事件追溯提供必要的技术手段。网络安全域实施项目按照先边界安全加固、后深入内部防护的指导思想，将项目分为：广域网边界防护、广域网域间与数据中心防护、广域网域内防护3部分。

广域网边界防护子项目主要包括数据中心边界防护和区域网络中心边界防护。数据中心边界防护设计主要是保障集团公司统一规划应用系统的安全、可靠运行。区域网络中心边界安全防护在保障各区域内员工访问互联网的同时，还需保障部分自建应用系统的正常运行。现中石油在全国范围内建立和完善16个互联网出口的安全防护，所有单位均通过16个互联网出口对外联系，规划DMZ，制定统一的策略，对外服务应用统一部署DMZ，内网与外网逻辑隔离，内网员工能正常收发邮件、浏览网页，部分功能受限。

域间防护方案主要遵循 “纵深防护，保护核心”主体思想，安全防护针对各专网与内网接入点进行部署，并根据其在网络层面由下至上的分布，保护策略强度依次由弱至强。数据中心安全防护按照数据中心业务系统的现状和定级情况，将数据中心划分为4个安全区域，分别是核心网络、二级系统区、三级系统区、网络管理区；通过完善数据中心核心网络与广域网边界，二级系统、三级系统、网络管理区与核心区边界，二、三级系统区内部各信息系统间的边界防护，构成数据中心纵深防御的体系，提升整体安全防护水平。

域内防护是指分离其他网络并制定访问策略，完善域内安全监控手段和技术，规范域内防护标准，实现实名制上网。中国石油以现有远程接入控制系统用户管理模式为基础，并通过完善现有SSL VPN系统、增加IPSEC远程接入方式，为出差员工、分支机构接入提供安全的接入环境。实名制访问互联网主要以用户身份与自然人一一对应关系为基础，实现用户互联网访问、安全设备管理准入及授权控制、实名审计；以部署设备证书为基础，实现数据中心对外提供服务的信息系统服务器网络身份真实可靠，从而确保区域网络中心、数据中心互联网接入的安全性。

4 结束语

一个稳定安全的企业信息网络已成为企业正常运营的基本条件，然而信息网络的安全威胁日益加剧，企业网络安全防护体系是否合理有效一直困扰着信息化主管部门。通过借鉴中国石油网络安全域建设，系统地解决网络安全问题，供其他企业参考。

主要参考文献

［1］王拥军. 浅谈企业网络安全防护体系的建设 ［J］． 信息安全与通信保密，2011（12）.

篇5

【关键词】网络安全；网络攻击；建设与规划；校园网

1、网络现状

扬州Z校拥有多个互联网出口线路，分别是电信100M、电信50M、网通100M、联通1G和校园网100M。Z校拥有多个计算环境，网络核心区是思科7609的双核心交换机组，确保了Z校校园骨干网络的可用性与高冗余性；数据中心是由直连在核心交换机上的众多服务器组成；终端区分别是教学楼、院系楼、实验、实训楼和图书馆大楼。此外，还有一个独立的无线校园网络。Z校网络信息安全保障能力已经初具规模，校园网络中已部署防火墙、身份认证、上网行为管理、web应用防火墙等设备。原拓扑结构见图1。

2、安全威胁分析

目前，Z校网络安全保障能力虽然初具规模，但是，在信息安全建设方面仍然面临诸多的问题，如，网络中缺乏网管与安管系统、对网络中的可疑情况，没有分析、响应和处理的手段和流程、无法了解网络的整体安全状态，风险管理全凭感觉等等，以上种种问题表明，Z校需要对网络安全进行一次全面的规划，以便在今后的网络安全工作中，建立一套有序、高效和完善的网络安全体系。

2.1安全设备现状

Z校部署的网络安全防护设备较少。在校区的互联网出口处，部署了一台山石防火墙，在WEB服务器群前面部署了一台WEB应用防火墙。

2.2外部网络安全威胁

互联网出现的网络威胁种类繁多，外部网络威胁一般是恶意入侵的网络黑客。此类威胁以炫技、恶意破坏、敲诈钱财、篡改数据等为目的，对内网中的各种网络设备发起攻击，网络中虽然有一些基础的防护，但是，黑客们只要找到漏洞，就会利用内网用户作跳板进行攻击，最终攻破内网。此类攻击随机性强、方向不确定、复杂度不断提高、破坏后果严重[1]。

2.3内部网络安全威胁

内部恶意入侵的主体是学生，还有一些网络安全意识薄弱的教职工。Z校学生众多，学生们可能本着好奇、试验、炫技或者恶意破坏等目的，入侵学校网络[2]。Z校某些教职工也可能浏览挂马网站或者点击来历不明的邮件，照成网络堵塞甚至瘫痪。

3、安全改造需求分析

本次安全改造，以提升链路稳定性，提高网络的服务能力为出发点，Z校在安全改造实施中，应满足如下的安全建设需求1)提升链路的均衡性和利用率：Z校网络出口与CERNET、Internet互联，选择了与电信和联通两家运营商合作。利用现有网络出口链路资源，提升网络访问速度，最大化保障校园网内部用户的网络使用满意度，同时又要合理节约链路成本，均衡使用各互联网出口链路，是网络安全建设的首要需求。2)实现关键设备的冗余性：互联网边界的下一代防火墙设备为整个网络安全改造的核心设备，均以NAT模式或者路由模式部署，承载了整个校园网的业务处理，任何一个设备出现问题将直接导致业务不能够连续运行，无任何备份措施，只能替换或者跳过出故障的设备，且只能以手工方式完成切换，无论从响应的及时性，还是从保障业务连续性的角度，都存在很大的延迟，为此需要将互联网出口的下一代防火墙设备进行双机冗余部署。3)集中管理和日志收集需求：本次安全改造涉及安全设备数量较多，需要对所有安全设备进行统一日志收集、查询工作，传统单台操作单台部署的方式运维效率低下，所以需要专业集中监控、配置、管理的安全设备，统一对众多安全设备进行集中监控、策略统一调度、统一升级备份和审计。

4、解决方案

网络安全建设是一个长期的项目，不可能一蹴而就，一步到位，网络安全过程建设中，在利用学校原有设备的基础上，在资金、技术成熟的条件下，逐步实施。Z校网络安全建设规划分为短期建设和长期建设两部分。

4.1短期网络建设规划

4.1.1短期部署规划以安全区域的划分为设计主线，从安全的角度分析各业务系统可能存在的安全隐患，根据应用系统的特点和安全评估是数据，划分不同安全等级的区域[3]。通过安全区域的划分，明确网络边界，形成清晰、简洁的网络架构，实现各业务系统之间严格的访问安全互联，有效的实现网络之间，各业务系统之间的隔离和访问控制。本次短期网络建设，把整个网络划分为边界安全防护区域、核心交换区域、安全管理区域、办公接入区域、服务器集群区域和无线访问控制区域。4.1.2部署设计网络拓扑结构见图2，从图2可以看出，出口区域，互联网边界处的防火墙设备是整个网络安全改造的核心设备，以NAT模式或者路由模式部署，无任何备份措施，为此需要再引入一台同型号的防火墙设备，实现双机冗余部署。同理，原城市热点认证网关和行为管理设备需要再各补充一台，组成双机冗余方案。安全管理区域根据学校预算，部署几台安全设备。首先，部署一台堡垒机，建立集中、主动的安全运维管控模式，降低人为安全风险；其次，部署一台入侵检测设备（IDS），实时、主动告警黑客攻击、蠕虫、网络病毒、后门木马、D.o.S等恶意流量，防止在出现攻击后无数据可查；再部署一台漏洞扫描设备，对网络内部的设备进行漏洞扫描，找出存在的安全漏洞，根据漏洞扫描报告与安全预警通告，制定安全加固实施方案，以保证各系统功能的正常性和坚固性；最后，部署一台安全审计设备（SAS），实时监控网络环境中的网络行为、通信内容，实现对网络信息数据的监控。服务器集群区域，除了原有的WEB防火墙外，再部署一台入侵防护设备（IPS），拦截网络病毒、黑客攻击、后门木马、蠕虫、D.o.S等恶意流量，保护Z校的信息系统和网络架构免受侵害，防止操作系统和应用程序损坏或宕机[4]。

4.2长期网络建设规划

网络安全的防护是动态的、整体的，病毒传播、黑客攻击也不是静态的。在网络安全领域，不存在一个能完美的防范任何攻击的网络安全系统。在网络中添加再多的网络安全设备也不可能解决所有网络安全方面的问题。想要构建一个相对安全的网络系统，需要建立一套全方位的，从检测、控制、响应、管理、保护到容灾备份的安全保障体系。目前，网络安全体系化建设结合重点设备保护的策略，再配合第三方安全厂商的安全服务是网络安全建设的优选。4.2.1网络体系化建设体系化建设指通过分析网络的层次关系、安全需要和动态实施过程，建立一个科学的安全体系和模型，再根据安全体系和模型来分析网络中存在的各种安全隐患，对这些安全隐患提出解决方案，最大程度解决网络存在的安全风险。体系化建设需要从网络安全的组织体系、技术体系和管理体系三方面着手，建立统一的安全保障体系。组织体系着眼于人员的组织架构，包括岗位设置、人员录用、离岗、考核等[5]；技术体系分为物理安全、网络安全、主机安全、系统运维管理、应用安全、数据安全及备份恢复等；管理体系侧重于制度的梳理，包括信息安全工作的总体方针、规范、策略、安全管理活动的管理制度和操作、管理人员日常操作、管理的操作规程。4.2.2体系化设计网络体系化建设要以组织体系为基础，以管理体系为保障，以技术体系为支撑[6]，全局、均衡的考虑面临的安全风险，采取不同强度的安全措施，提出最佳解决方案。具体流程见图3。体系化建设以风险评估为起点，安全体系为核心，安全指导为原则，体系建设为抓手，组织和制定安全实施策略和防范措施，在建设过程中不断完善安全体系结构和安全防御体系，全方位、多层次满足安全需求。

5、结语

从整个信息化安全体系来说，安全是技术与管理的一个有机整体，仅仅借助硬件产品进行的安全防护是不完整的、有局限的。安全问题，是从设备到人，从服务器上每个服务程序到Web防火墙、入侵防御系统、抗拒绝服务系统、漏洞扫描、传统防火墙等安全产品的综合问题，每一个环节，都是迈向网络安全的步骤之一。文中的研究思路、解决方案，对兄弟院校的网络安全建设和改造有参考价值。

参考文献：

［1］王霞.数字化校园中网络与信息安全问题及其解决方案［J］.科技信息，2012.7:183-184

［2］黄智勇.网络安全防护系统设计与实现［D］.成都：电子科技大学，2011.11:2-3

［3］徐奇.校园网的安全信息安全体系与关键技术研究［D］.上海：上海交通大学，2009.5:1-4

［4］张旭辉.某民办高校网络信息安全方案的设计与实现［D］.西安:西安电子科技大学，2015.10:16-17

［5］陈坚.高校校园网网络安全问题分析及解决方案设计［D］长春：长春工业大学，2016.3:23-31

篇6

由于电力企业以发电、经营电力为主，信息网络安全问题并没有得到足够重视，管理方面存在重技术轻管理的问题，未建立完善的信息安全管理制度，面对上级检查，简单应付，脑子里轻视信息安全，信息安全观念淡薄，这都会增加企业信息系统的安全风险。例如，缺少对企业职工的信息安全教育培训、缺少定期对信息运维人员的安全技能的培训等等，都会严重威胁企业信息网络的安全。电力企业在针对信息系统的应用和信息网络安全两个方面时，更加注重的是前者。以此同时，可能部分职工还存在侥幸心理，忽视了网络安全问题的重要性。

2电力企业网络信息安全管理的有效策略

2.1注重建设基础设施和管理运行环境

需要严格的管理配电室、信息、通信机房等关键性的基础设施，对防水、防火、防盗装置进行合理配备；对电力二次设备安全防护要做到，安全分区、网络专用、横向隔离、纵向认证，生产控制大区与信息管理大区要做好物理强隔离；机房需要安装监控报警设备和动环监测系统；对桌面终端和主机等设备要做好补丁更新，控制权限；在网络安全设备上要做好安全策略；做好流量监测和行为监测；此外，建立设备运行日志，对设备的运行状况进行记录，并且建立操作规程，从而保证信息系统运行的稳定性和安全性。

2.2建立并完善信息安全管理制度

建立健全信息安全管理制度，注重安全管理，确保根据安全管理制度进行操作；做好安全防护记录、制定应急响应预案、系统操作规程、用户应用手册、网络安全规范、管理好口令、落实安全保密要求、人员分工、管理机房建设方案等制度，确保信息系统运行的稳定性和安全性。由内至外，全面的贯彻，实施动态性地管理，持续提高信息安全、优化网络拓扑结构。

2.3注重信息安全反违章督察工作的开展

建立信息安全督察队伍，明确职责，按照信息安全要求，开展定期的督察，发现问题，限期整改。电力企业要对企业信息系统软硬件设施、容灾系统、桌面终端、防护策略等进行定期督查，实现信息安全设备加固和更新，培养信息安全督查专家队伍，交叉互查、发现并解决问题，提高信息系统的安全性。

2.4积极探索电力企业信息安全等级保护

信息安全等级保护指的是，对涉及国计民生的基础信息网络和重要信息系统按照其重要程度及实际安全需求，合理投入，分级进行保护，分类指导，分阶段实施，保障信息系统安全。针对电力企业信息系统，应建立相应的信息安全等级保护机制。技术上分级落实物理安全、网络安全、主机安全、应用安全、数据安全；管理上要建立对应的安全管理制度、设置安全管理机构、做好人员安全管理、系统建设、运维管理。

2.5明确员工信息安全责任，实现企业信息安全文化建设

针对企业的所有员工，关键是明确自己需要担负的安全责任、熟悉有关的安全策略，理解一系列的信息安全要求。针对信息运维人员，需要对信息安全的管理策略进行有效地把握，明确安全评估的策略，准确使用维护技术安全操作；针对管理电力企业信息网络安全的管理人员，关键在于对企业的信息安全管理制度、信息安全体系的组成、信息安全目标的把握和熟悉。以上述作为基础，实现企业信息安全文化的建设。

2.6提升人员的信息安全意识

针对电力企业信息安全而言，员工信息安全意识的提高十分关键。企业需要组织一系列有关的信息安全知识培训，培养员工应用电脑的良好习惯，比如不允许在企业的电脑上使用未加密的存储介质，不应当将无关软件或者是游戏软件安装在终端上，对桌面终端进行强口令设置，以及启用安全组策略，备份关键性的文件等，从而使员工的信息安全意识逐步提高。

3结语

篇7

关键词 二次系统；网络；安全防护；预案

中图分类号TP39 文献标识码A 文章编号 1674-6708（2010）33-0228-02

Region Scheduling Data Network Security Assessment and Emergency System

CAO Jianfeng

AbstractSecondary power system in accordance with the national security of the relevant requirements of the Fuzhou region of the second grid system to assess network security, in view of the Fuzhou region of the second grid system issues of network security defense research, practice, and to identify areas of Fuzhou, the second grid weak point of the safety of the system, and scientific solutions. For the safety assessment report to study the formulation of security policy, the implementation of pilot programs and practice, and then test it again to build and improve the regional power network security defense system to system, and summed up the defense system the formation of the standard model.

KeyWordSecondary system；networking；security

0 引言

电力监控系统及调度数据网作为电力系统的重要基础设施，不仅与电力系统生产、经营和服务相关，而且与电网调度、与控制系统的安全运行紧密关联，是电力系统安全的重要组成部分。电力生产直接关系到国计民生，其安全问题一直是国家有关部门关注的重点之一。

随着通信技术和网络技术的发展，接入电力调度数据网的电力控制系统越来越多。电力系统一次设备的改善，其可控性已满足闭环的要求。随着变电集控所模式的建立、变电站减人增效，大量采用远方控制，这对电力控制系统和数据网络的安全性、可靠性、实时性提出了新的严峻挑战。而另一方面，Internet技术和因特网已得到广泛使用，使得病毒和黑客也日益猖獗。目前有一些调度中心、发电厂、变电站在规划、设计、建设控制系统和数据网络时，对网络安全问题重视不够，构成了对电网安全运行的严重隐患。除此之外，还存在黑客在调度数据网中采用“搭接”的手段对传输的电力控制信息进行“窃听”和“篡改”，进而对电力一次设备进行非法破坏性操作的威胁。因此电力监控系统和数据网络系统的安全性和可靠性已成为一个非常紧迫的问题。

1福州地区电网二次系统网络安全评估概述

1.1 概况

福州地调二次系统安全评估包括：二次系统资产评估、网络与业务构架评估、节点间通信关系分析、二次系统威胁评估、现有防护措施评估、主机安全性评估、网络系统评估、安全管理评估、业务系统安全评估、二次系统风险计算和分析、安全建议等评估内容，评估之后针对系统的薄弱点进行安全加固，并制定《福州局电力调度自动化系统应急预案体系》，提高调度自动化系统运行的可靠性，安全性，有效预防和正确、快速处置电力调度自动化系统瘫痪事件，不断提高福州电网预防和控制调度自动化事件的能力，最大限度地减少其影响和损失，保障电网的安全运行。安全评估的实施基本流程如图1所示。

1.2 网络安全评估的过程

1.2.1资产调查

资产调查作为信息收集的一个关键步骤，是开始安全评估工作的第一步，也是安全加固工作的基础，其主要目的是准确全面的获得被评估系统的信息资产清单。

因此，在进行评估项目实施时，我们很重视资产调查的过程和方法，以期收集到准确、全面的信息资产清单。对于每一个资产来说，都需要比较准确的收集各项属性，因此我们计划整个资产调查过程如下，以确保我们的资产调查目标的实现。

1.2.2采用了正向测试与逆向渗透相结合的漏洞深度检测方法

在本项目中，安全扫描主要是通过评估工具以本地扫描的方式对评估范围内的系统和网络进行安全扫描，从内网和外网两个角度来查找网络结构、网络设备、服务器主机、数据和用户账号/口令等安全对象目标存在的安全风险、漏洞和威胁。应用正向测试与逆向渗透相结合的漏洞深度检测方法，对电力二次系统主机信息安全进行分析。

1.2.3采用了远程漏洞扫描与本地主机自动化脚本检测相结合的脆弱性获取方法

渗透测试主要依据安全专家已经掌握的安全漏洞，模拟黑客的攻击方法对系统和网络进行非破坏性质的攻击性测试。所有的测试将在授权和监督下进行。渗透测试和工具扫描可以很好的互相补充。工具扫描具有很好的效率和速度，但是存在一定的误报率，不能发现高层次、复杂的安全问题；渗透测试需要投入的人力资源较大、对测试者的专业技能要求很高（渗透测试报告的价值直接依赖于测试者的专业机能），但是非常准确，可以发现逻辑性更强、更深层次的弱点。

1.2.险计算和分析

信息安全风险评估的风险计算部分主要以业务系统作为风险计算和分析的对象，以福州电业局本部为例，本次对福州电业局SCADA系统、电能量采集系统、OMS系统和DMIS网站共4个业务系统进行了评估和测试，各个业务系统的信息资产价值、威胁发生可能性和脆弱性严重程度的进行赋值，并通过风险计算，得出风险计算结果，确定各个系统的危险程度，找到业务系统的安全薄弱点。

1.2.5安全建议

根据计算出来的安全结果，通过管理和技术等两方面来加强网络设备和安全设备的安全性，对访问重要设备的用户应遵循一定规章制度，对网络配置的更改、权限的分配要及时进行记录备份归档。

对重要业务系统和服务器进行定期的漏洞病毒扫描，对扫描结果进行分析记录并归档。对新系统上线前应进行扫描和加固，对扫描的日志及时进行安全审计并归档。

对网络运行日志、操作系统运行日志、数据库运行日志、业务系统运行日志进行定期的安全审计并提交安全审计记录和报告，对报告中的非法行为应及时报告并处理。

对于网络设备和安全设备的配置日志应另存储在日志服务器中，而非存储在本地路由器或是交换机上，并定期的进行备份归档。对于日志的种类应当包括所有用户对网络设备和安全设备的查看、更改等。

本文为全文原貌 未安装PDF浏览器用户请先下载安装 原版全文

2地区电网自动化系统整体应急预案体系建设

2.1应急预案体系的出现

现阶段地区调度自动化各系统联系紧密，单个系统的故障将连锁影响多个其他系统运行，电力调度数据网建设向县调及110kV变电站延伸，接入系统种类日趋复杂，二次安全防护木桶效应日趋明显。由于系统风险主要来自于病毒及相关联系统的故障，故障类型复杂并存在触发或并况，应急预案的思路逐步摆脱了自动化单个系统预案的思路，慢慢向以自动化二次整体应急预案体系进行转变。该思路面对系统出现严重故障时，整体地考虑恢复手段及措施，隔离故障区域，屏蔽受影响系统的部分功能，将日常人工或自动备份的硬件及软件快速导入故障设备，恢复系统。在日常备份及演练过程中，综合考虑各系统间的互补能力和约束条件，并切合地调实际，高效率低成本地实现该预案体系。该体系重视系统整体恢复的效率和日常投入成本的二维标准，兼收并蓄各种技术手段和管理手段的优势。

2.2 应急预案体系的特点

该预案体系适应自动化系统日益联系紧密的特点，摆脱之前针对某一系统制定预案的思路，采用“整体考虑，互为备用,分散管理,集中恢复”总体思路，避免出现系统孤岛，综合考虑，兼顾各个系统及全面事故预想，具有兼容性强，各子系统预案操作性强，入门要求低，恢复手段有效快速，投资成本低，日常维护工作量少，实用化推广价值高的特点。

预案体系总体框架图各子预案关联关系图

2.3 预案体系各个子预案之间的关系

2.3.1共存关系

各预案体系间存在互相引用，互为补充关系。简化了对预案编写的复杂程度，将复杂的系统问题转化成为多个专项问题来解决。

集控系统资源成为EMS预案中的备用设备，将整体自动化系统一体化考虑，互为备用，充分利用资源，降低预案成本。

2.3.2互斥关系

预案体系中的电源子预案和其他预案间存在互斥关系，当涉及到整体电源异常时，就要考虑牺牲小系统，保全大系统的整体

3 结论

本项目对地区电网二次系统网络安全防御体系开展了专题研究与实践，研究结果有效提高了地区电网二次系统网络的安全防御能力，对网省调度中心乃地市电业局的二次系统安全建设都起到了重要的指导意义。项目根据研究结果构建了调度自动化应急预案体系以及与之相配套开发的快速备份恢复系统，投资少，效益高，为电网的安全可靠运行提供坚强的技术支撑。该项目的开展促进了调度中心对现有二次系统安全现状和存在的各种安全风险有了深入的了解 ，确保调度中心对二次系统中存在的各种安全风险采取相应的网络安全手段和部署选用必要的安全产品 ，对今后全省乃至全国地区电网二次系统网络安全建设具有重要的指导意义。

参考文献

[1]张王俊，唐跃中，顾立新.上海电网调度二次系统安全防护策略分析.电网技术，2004(18).

[2]王治华.安全运营中心及其在调度中心二次系统中的应用.电力系统自动化，2007(22).

[3]陈文斌.电力二次系统网络与信息安全技术研究.电工技术，2008(11).

[4]民，辛耀中，向力，卢长燕，邹国辉，彭清卿.调度自动化系统及数据网络的安全防护.电力系统自动化，2001(21).

[5]葛海慧，卢潇，周振宇.网络安全管理平台中的数据融合技术 .电力系统自动化，2004(24).

[6]胡炎，辛耀中.韩英铎 二次系统安全体系结构化设计方法.电工技术，2003(21).

[7]程碧祥，电力调度自动化系统中物理隔离技术的研究与应用.电工技术，2008(1).

篇8

关键词：湖南烟草；信息系统；安全；总体目标

经过多年的信息化工作，目前湖南省烟草行业已经建立起全省的计算机网络信息系统。全省信息网络系统建设包括各市级分公司局域网和省域网建设。局域网建设方面，全省包括省局（公司）机关、白沙物流中心、市级分公司、县公司都已完成了局域网建设，省域网络的建设也规划完毕开始实施。省公司办公区域白沙物流中心机房通过千兆裸光纤相连，白沙物流以及各个市级分公司通过专线连入电信MSTP专网。省公司、白沙物流中心机房和14个市级分公司都有Internet接口，并且可以通过10M VPN相连接作为备份链路。市级分公司与其下属的县级分公司之间通过电信MSTP专网相连接，同时还有一条2M的ADSL备份线路。省公司及14个市级分公司分别购买了2台IBM小型机，是全省烟草信息系统的核心设备。

一、 湖南烟草信息系统安全现状

目前，在进行安全系统建设初期，全省整个烟草行业网络安全体系非常薄弱，基本上没有建立完善的安全防范体系，因此安全问题非常突出。总体情况来看，各个市级分公司仅仅有防火墙，无其他的安全防护设施。省公司和各个分公司在信息安全方面均各自为政，没有采取统一的有效的安全策略和防护措施。还有，虽然省公司、部分分公司采用了病毒防杀软件，但是没有覆盖全网的网络防毒系统，缺乏统一的管理和控制，因此病毒问题显得尤其突出。下面列出了已有的安全设施和措施：

（一） 物理与链路层安全设施

在湖南烟草信息系统系统建设中，现有的物理与链路层安全设施如下：

1、物理安全方面：

通过对省中心机房和各个市级分公司机房的改造，增加了包括门禁、录像监控等等安全设备。另外加强了多种安全防护措施，包括：防火、防水、防静电、电源安全等等新的设备，使全省网络的物理安全性基本满足了现阶段的需求。

2、数据传输链路安全方面：

目前的信息系统建设过程中，采用了Cisco PIX防火墙建立VPN链路，而且在网络主干路上采用MPLS VPN技术，使得：信息在传输过程中保持保密性、完整性、可靠性，防篡改，采用IPSEC加密技术和产品，对敏感数据的传输进行加密，同时对传输双方的身份加以鉴别，从而达到安全保密性以及完整性的要求。

省域网（MSTP）的链路为主链路，通过Internet的VPN链路为备份链路，在主链路发生故障的情况下，及时采用备份链路，最大程度的保障网络的可用性，保证相关信息的传输不受到人为、物理的其它因素的影响。

结合湖南烟草的实际情况来看，从物理与数据传输链路层的安全设施可以看出，当前信息系统的建设主要侧重于保障网络系统的可用性，在此基础上综合考虑完整性以及保密性的要求。在今后的安全系统建设中，也要遵循这个原则。

（二）网络层安全设施

在湖南烟草网络平台现有的体系中，网络层的安全设施主要包括以下内容：

优化整个网络的安全

骨干网络采用MPLS VPN技术，不同地市的不同业务网络，统一地市的不同业务网络，不同地市的统一业务网络抖逻辑隔离。不同的业务网络可以独立管理QOS。省中心和各个市级节点可以相互访问，但是市级节点不可以相互之间访问。

防火墙

防火墙是用于隔离信任网络与不信任网络的有效工具，在省公司、白沙物流信息中心、各个市级分公司网络的Internet出口处部署PIX防火墙，可以隔离内外网，设置NAT等等安全策略，不仅仅节省了公网IP地址，而且隐藏了内网的网络结构，屏蔽了大多数的网络攻击，免收外来侵扰。

VPN

通过PIX防火墙通过Internet建立VPN链路，实现分公司与省公司之间通过Internet进行备份数据传输通道以及移动用户拨入省公司内网的安全加密措施。

网络安全监管与故障处理

目前已经采购了多种网络管理软件，包括CiscoWorks管理软件（设备管理模块、VPN管理模块、无线网络管理模块），可以管理所有的Cisco设备。ACS安全认证管理软件，用于建立和管理全网的身份认证系统。Sniffer软件，用于监控网络流量，发现、分析、排除各种网络故障。还有IBM的Tivoli Enterprise Console管理管理软件，带有Tivoli Netview模块，可以检查并长期监控多种网络设施的运行状态。

通过这些工具建立网络管理系统，实现对全网关键网络设备的运行状态、链路的情况进行实时监控与管理，及时发现网络故障情况，并采取相应的响应报警机制，马上通知管理人员进行处理，尽量保障网络的可用性。

（三）系统层安全设施

在湖南烟草网络平台现有的体系中，网络层的安全设施主要包括以下内容：

主机安全监管

通过IBM 的管理软件Tivoli Monitor，对关键主机和服务器系统的运行状态、资源的使用情况、安全日志等进行监管，及时发现系统的异常行为和故障，保障主机与业务系统的可用性。

系统冗余和备份

通过对关键的主机应用系统建立相应的系统冗余与备份措施--服务器双机热备等措施，最大程度保障主机系统的可用性，最大程度的保障烟草业务的连续性。

（四） 应用层安全设施

在湖南烟草安全系统建设过程中，应用层的安全已经包括：

建立了全省数据备份中心，所有的省、市各级公司的业务数据每日备份到了省数据备份中心，有效地建立数据的本地在线备份以及异地远程备份的机制，确保数据在意外情况下的及时恢复，建立灾难和应急相应机制。

通过Tivoli Monitoring for Database实时监控数据库以及应用系统的关键性操作，并且对意外事件提供反应措施，从而进一步增加对网络及信息资源的可控性；

通过Tivoli Monitoring for Web Infrastructure，对关键应用和业务系统的运行状态进行监管，及时发现并排除应用故障问题，保障业务的连续性。

目前湖南烟草的信息安全管理的技术平台和管理制度，都已经具备了简单的雏形，但是还不能满足现有的网络安全需求和今后的进一步发展，还有待于进一步的加强。虽然湖南省烟草信息安全系统的建设已经开始起步，也具备了一定的安全防护能力，但是整体的安全防护还有很多的需求没有得到满足，尤其是网络层的防护，还有很多的安全设施没有到位，远远没有达到国家烟草总局在《烟草行业计算机网络和信息安全技术与管理规范》所提出的"纵深防御体系"和"动态防护"的要求。

二、 湖南烟草信息安全建设总体目标

针对湖南烟草的现状以及安全需求分析，提出在湖南烟草信息安全系统建设的总体目标描述如下：

基于安全基础设施、以安全策略为指导，通过统一的安全管理平台，提供全面的安全服务内容，覆盖从物理通信到网络、系统平台直至数据和应用平台的各个层面的安全需求，构建全面、完整、可靠、高效的省行业信息安全体系构架。从而在烟草行业信息化整体发展的基础上，极大地提高湖南省烟草行业的整体安全等级，为保障烟草行业的健康发展提供坚实的信息安全保障体系。

可以分解为以下四个具体目标：

网络和系统实体的可用性以及抗攻击性；

信息的安全性、保密性和可靠性；

系统安全的可管理性；

整体系统运行状态的可控性；

安全需求是建立良好的安全体系的前提条件，我们从湖南烟草行业网络系统得实际情况出发，根据对用户网络系统脆弱性以及安全威胁的风险评估，结合湖南烟草安全系统的总体建设目标，我们把整体的安全需求根据不同的侧重点，从信息安全管理体系、物理与链路层安全、网络层安全、系统层安全、应用层安全等五个方面进行充分的考虑。安全需求涵盖了整个信息系统的每个层次，具有一定的纵深性和涵盖面，其中安全管理部分我们认为是非中重要的一项，因为完善的安全防御体系是以各类安全技术的应用加以安全管理贯穿于始终，才能实现安全系统的良好运作发挥其性能。信息安全保障体系各层次的安全需求目标具体描述如下：

（一）物理与链路层安全需求目标分析

在湖南烟草安全系统建设中，物理与链路层安全需求阐述如下：

考虑到大量内部的数据跨过广域网（如Internet、电信省域网等）进行传输，可能被它人窃听和破坏，因此对数据的传输的安全具有以下需求：

信息在传输过程中保持保密性、完整性、可靠性，防篡改，拟采用相关加密技术和产品，对敏感数据的传输进行加密，同时对传输双方的身份加以鉴别，从而达到安全保密性以及完整性的要求。

关键信息传输的链路必须通过备份链路等方式，保证相关信息的传输不受到人为、物理的其它因素的影响。

对系统中的关键应用以及关键的网络连接建立相应的安全机制，如建立备份通道，以便在主通道发生故障的情况，及时采用备份通道，最大程度的保障网络的可用性。

（二） 网络层安全需求目标分析

网络层是网络入侵者进攻信息系统的渠道和通路，因此许多安全问题都集中体现在网络的安全方面。在湖南烟草网络平台安全体系中，安全需求主要包括以下内容：

网络安全优化

主要是对系统中不同网段的、不同功能要求以及不同的安全等级的区域的划分，同时根据不同的安全级别，针对性的制定各区域之间的访问控制规则。主要是对现有的网络设备加强安全策略配置如访问控制列表，进行严格的访问控制，并对核心网络设备进行相应的安全设置。

防火墙

防火墙是网络层安全领域最成熟、使用最广泛的技术，用于隔离信任网络与不信任网络的有效工具。需要在全省各网络中部署防火墙隔离内外网，设置各级安全屏蔽，将全网在网络上分割为相对独立的子网，免收外来袭击。

网络入侵防护与相应的安全审计系统

建立全网网络入侵防护检测与相应的安全审计系统，及时监测、拦截并记录来自外部和网络其它部分的黑客入侵行为，拒绝服务攻击，违规操作等，并能对相关入侵行为进行多个日志系统的关联分析，排除虚假的报警信息、过滤掉低风险事件，得到最准确的关键安全事件信息。

VPN

建立VPN链路，实现分公司与省公司之间通过Internet进行备份数据传输通道以及移动用户拨入省公司内网的安全加密措施。

（三）系统层安全需求目标分析

主机服务器系统是整个应用业务的基础平台设施，因此其安全性会影响到整个应用业务系统能否正常的运营。在湖南烟草安全系统中，系统平台的安全建设主要有：

主机系统漏洞扫描与加固

采用安全扫描技术，对烟草系统中关键的主机和服务器进行定期漏洞扫描与评估，针对相关的系统漏洞，自动提出修补的措施，并定期进行相关操作系统的裁剪、修补和加固的工作。

操作系统安全

通过使用主机访问控制等技术措施及手段，对系统中的主机与服务器系统严格划分、管理、控制用户的权限和行为，增强操作系统的健壮性以及安全性，使操作系统达到更高层次的安全级别。

网络病毒防杀系统

建立全网的病毒检测与防范系统，及时检测和控制各种文件、宏和其它网络病毒的传播和破坏，具有集中统一的管理界面，系统具有自动升级，自动数据更新，可管理性等特性。

主机安全监管

通过网络安全综合管理，对关键主机和服务器系统的运行状态、资源的使用情况、安全日志等进行监管，及时发现系统的异常行为和故障，保障主机与业务系统的可用性。

（四） 应用层安全需求目标分析

应用平台安全是系统最终保障的目标，数据的保密性、高可靠性和防篡改等特性，以及应用系统对于系统功能和相关数据的严格控制，将成为整个应用和数据安全体系的主要需求。在湖南烟草安全系统建设过程中，应用安全需求具体包括：

建立PKI/CA体系，为应用安全提供认证、加密、数字签名、数据完整性等功能和服务。

有效地建立信息资源的标记、加密存储和保管机制。考虑应用层对传输数据进行加密。

建立全省数据备份中心，有效地建立数据的本地在线备份以及异地远程备份的机制，确保数据在意外情况下的及时恢复，建立灾难和应急相应机制。

实时监控数据库以及应用系统的关键性操作，并且对意外事件提供反应措施，从而进一步增加对网络及信息资源的可控性；

通过网络安全综合管理系统，对关键应用和业务系统的运行状态进行监管，及时发现并排除应用故障问题，保障业务的连续性。

从上述湖南烟草安全系统的建设需求分析中可以看出，整个系统的建需要包含从安全管理体系、物理与链路安全、网络安全、系统安全以及应用安全等五个方面的要求，结合了从管理到技术的各个层次。根据湖南烟草计算机网络系统的实际情况，现阶段的建设重点是解决网络安全和网络的高可用性，解决网络系统在信道传输、访问控制、运行保障以及与外界的网络的互连接口等方面的安全问题。最终按照国家烟草总局的相应安全规范，建设一个集策略、防护、检测、反应为一体的，基于国际先进的P2DR（策略/Police，防护/Protection，检测/Detection，反应/Response）模型的、动态适应的计算机网络安全防护体系。

参考文献：

[1] 李红等.管理信息系统开发与应用[M].电子工业出版社出版社.2003年：8页

篇9

1.1研究思路

为了克服企业级移动应用面临的各类安全问题，降低安全威胁，本文认为移动应用安全体系应从硬件、软件结构入手，结合移动互联网特征，设计企业级移动应用安全技术架构及安全规范、制定一系列安全防护策略来保证移动应用的安全可靠。

1.2企业级移动应用安全体系

在充分分析企业级移动应用信息化的建设现状和安全需求基础上，根据国家等级保护要求，从物理安全，网络安全，系统安全，应用安全以及安全监管五个方面构建企业级移动应用安全防护体系。1、物理安全：涉及设备和环境安全，主要通过移动终端本身硬件标识信息、接口监测、外接插件设备来保障移动终端设备安全。2、网络安全：涉及到网络接入安全、数据传输安全等，主要从硬件、软件两方面保证，如防火墙保护策略、认证策略、数据加密等。3、系统安全：主要包括系统、数据存储、操作等，通过建立安全加固，对业务数据分级存储、重要数据安全隔离、数据传输加密、完整性和一致性校验，保障系统安全。4、应用安全：通过多种手段保障移动应用安全，可从应用准入、应用授权、应用监控审核、应用数据管控、操作行为安全审计等方面全面保障应用安全。5、安全监管：从制度管理、软件辅助管理对移动终端进行安全管理。制定相应的移动终端、移动应用管理规范。

二、企业级移动应用信息安全实现

2.1物理安全

按照安全体系要求，可从终端管理、一致性校验、接口监测、存储卡加密等领域实现物理安全。1、设备启动。通过设置启动密码、动态口令等控制设备启动验证。2、校验一致性。终端启动后，后台根据设备回传的参数进行一致性校验，对操作系统内核、硬件配置、关键应用和配置策略信息等进行验证，确保启动过程中各应用的完备性和一致性。3、设备硬件监测。对移动设备硬件接口管理，包括网络（含WIFI/蓝牙等）启停，USB启停、以及摄像头屏幕输出等启停等，从而有效防止移动终端数据泄漏。4、存储卡加密。根据存储卡与移动设备的关联关系，存储卡上的数据就不能被其它移动设备读取，从而有效地保护移动终端上的数据。

2.2网络安全

在网络安全方面，可从硬件、软件两方面保障网络接入安全、数据传输安全。1、接入安全。建立专用的VPN接入通道连接到特定服务端。建立DMZ反向保护，通过反向防止移动设备直接和web服务器直接连接带来的安全隐患。2、设置防火墙及路由器防护策略，通过制定路由器、防火墙防护策略，实现内外网络安全。安全策略确保网络访问、服务访问、用户认证、输入输出、磁盘和数据加密、病毒防护措施等。3、移动设备安全认证和接入。建立终端准入机制，通过后台移动设备管理功能，记录所有设备详细信息，如唯一编码，类型及使用者等信息，在登录时实现按特定信息核对验证设备合法性。4、数据传输安全。企业级移动应用一般需要和后台业务传输数据，为了避免恶意攻击、窃取、篡改，需要在数据传输中引入数据安全管理，如数字证书加密等。

2.3系统安全

为保障移动应用正常运行，主要通过建立安全加固、业务数据分类存储管理、数据安全隔离、数据传输加密解密、完整性检查以及一致性检查，保障系统安全。1、安全加固。按等级保护要求，制定严格的安全加固措施，保障系统安全；2、建立移动数据库安全管控，支持离在线数据库访问、支持数据的备份和恢复，保证用户数据的安全可靠；3、开展安全域隔离，通过物理和逻辑隔离策略，全面对系统资源和各类数据进行分区分域管理。4、建立移动设备在线备份和恢复策略。实现自动备份和恢复数据、配置文件与配置策略。可以设置规定备份目录或文件、备份频率、周期，通过统一管理界面实现选择性恢复或全恢复,可恢复移动终端上丢失或损坏数据。5、升级包推送。实现对移动设备系统版本管理，禁止使用者擅自修改系统，后台统一开展升级包推送，保障操作系统安全。

2.4应用安全

在应用安全方面，主要通过应用密码、登录、非授权操作管理、数据库加密、应用安全审计等措施保障移动应用安全。1、密码保护，对移动应用建立密码保护策略，如密码长度、复杂度限制、密码认证、错误锁定等机制，防止非法人员登录终端应用，造成业务数据外泄。2、单点登录，通过建立统一单点登录平台，实现统一用户身份管理、统一用户身份验证、统一用户权限管理。3、权限控制，对企业级移动应用建立细致的明确的功能权限控制，不同职责的终端用户只能使用指定的部分功能，有效控制关键数据外泄。4、移动数据库加密。移动数据库库访问按系统安全要求提供安全凭证，选择敏感信息加密，辅以校验保证所存储数据的保密性和完整性，防止数据被未经授权访问和修改。5、非法操作管理。建立应用配置授权管理策略，控制未经取得授权的非法移动应用进行控制，可以禁止非法移动应用安装、禁止非法移动应用使用，可以远程对非法移动应用进行卸载。6、移动应用安全审计。开展实时统计核查应用安装、使用、运行、操作记录等，有效监测各类操作行为。

2.5安全管理

按照移动信息安全体系，安全管理从制度规范管理、软件辅助管理、设备管控等领域实现。1、建立统一应用管理规范和管理制度，建立移动终端、移动应用管理规范，如档案管理、行为规范、作业规范等。2、操作记录日志。增加终端操作的记录日志机制，实现日志追踪引入问题的原因，采用应对措施避免同类问题反复出现。3、实时管控机制。移动终端实时回传当前位置的经纬度，可实时监控移动设备实际地理位置，如若遇到平板丢失，则启动数据爆炸功能，保证业务数据不外泄。

三、结论

篇10

关键词：电子政务网络 防护体系 网络安全

一、引言

当今世界信息网络飞速发展，尤其以微电子技术、现代通信技术和计算机技术为代表的信息技术更是日新月异。计算机网络在政治、经济和生活的各个领域正在迅速普及，全社会对网络的依赖程度越来越大，计算机网络已成为国家的重要基础设施。电子政务作为政府提高办公效率的手段，越来越得到各级领导的重视，依托政务网络作为基础平台，开发和运行各部门业务系统，使得领导决策、协同办公、网上办事更加方便、快捷、有效，提高了政府工作效率，也大大改善了政府形象。随着电子政务的日益普及，政府机关对信息系统的依赖越来越强，但是，伴随着Internet的广泛应用，也出现了各种各样的问题，其中电子政务信息网络安全问题显得尤为突出。

电子政务网络安全关系到电子政务的应用成功与否，在设计与建设之初应优先考虑。然而单靠一两项技术是不能奏效的，必须从监控、防范、管理和三方面入手，才能构筑起立体动态的防护体系。

二、福建省政务信息网现状和存在问题

⒈福建省政务信息网现状

福建省政务信息网（以下简称“政务网”）从2001年1月建成投入使用，形成了“王”字型的网络结构，主要由省－市－县（市、区）纵向网、省直机关横向接入网、设区市横向接入网和县（市、区）横向接入网构成。到目前为止，政务网已实现了5085个省、市、县三级党政机关计算机网络互联。

政务网两个网管中心分别设在福建省经济信息中心机房和电信机房，两个网管中心互为分权。电信机房网管中心由福建电信公司负责投资建设并维护管理，主要负责对省直机关宽带网（除省经济信息中心节点）的网络管理；福建省经济信息中心网管中心由福建省经济信息中心负责投资建设并维护管理，主要负责对福建省政务信息网络纵向网及福建省经济信息中心节点的网络管理。各设区市、县（市、区）横向网由政务网各主节点管理部门负责管理。

⒉存在问题

⑴管理主体不统一

首先政务网络三主体即电信、福建省经济信息中心、各政务网纵向网节点的分级管理，这种统一建网、分而治之的方式给网络安全带来了一些问题，如不利于统一进行配置，一方的配置变动在未通知对方测试的情况下，容易出现混乱；在出现安全问题如病毒攻击时，找到源头的时间和难度加大。

⑵安全措施落后和安全基础设施老化

2001年建设初期采取的安全措施只有防火墙等，到目前为止，联想网御防火墙已经停产，防火墙损坏率已经达到50％，这就使得安全防范已经薄弱的政务网更容易受到攻击。

⑶存储介质跨网使用

政务网的一些接入端用户使用移动存储，容易将互联网上的病毒和间谍软件传入政务网。

⑷网管手段不健全

政务网目前主要的是网元网管，主要是对设备的监控和配置，功能性网管和安全网管投入力度小，导致在网络层以上的攻击不容易及时发现。特别是随着市、县横向接入网建设的实施，网络设备品牌增多，除了骨干网络的Cisco设备，还增加了如华为三康等其他厂商的网络设备，单一的厂商网管很难进行网络的统一管理。

⑸缺乏统一的行政体制

各设区市、县（市、区）的政务网节点分属于不同的管理部门，上下级不明确，导致出现问题时沟通解决问题的环节增加。

⑹人员不稳定

各地政务网管理部门人员岗位不统一，职责和功能划分不统一，技术水平差异大，人动频繁，导致安全隐患增加。

三、解决福建省政务信息网安全问题的思路

⒈构建多层次的监控手段

⑴深入挖掘网管软件作为电子政务网络上的安全监控手段

在电子政务网络建设中，各地都会建立自己的网管系统，但都是基于设备管理的网元网管，只是便于设备的配置，监控硬件状态和端口流量，实现网络第一、二层的流量监控，出现网络故障时无法找准故障源；通过部署具备NetFlow 功能的网管，识别通过网络三层的IP地址以及网络第四层传输层的应用端口编号，实现网络第三、四层的流量监控；还可以部署NAM（Network Analasis Module），可以提供全面的RMON I、RMON II、NetFlow和VLAN监视、与协议相关的故障诊断以及趋势分析功能，实现针对第一至七层内容的监控。

通过统一网管的部署实行省、市、县三级网管，并完善网管功能模块，实现对网络设备性能、属性、配置管理，实现对网络和应用服务器的监控；实行数据的定期采集，定期分析并形成安全报表，及时发现安全隐患的目的。

在合理规划网络资源的情况下，采用不同网管工具的优势，搭配使用，通过不同网管发挥其不同的监控优势，避免了安全疏忽，提高了监控的全面性。例如使用Ciscowork监控Cisco设备；利用SolarWinds监测网络端口流量；利用Cisco Mars监测攻击行为等。

⑵通过漏洞扫描监控系统漏洞，降低网络安全风险

在众多的网络安全事件背后，普遍存在的事实是，大多数的网络用户不能及时安装系统补丁和升级病毒库。每个网络用户都可能成为网络攻击的发起者，同时也是受害者，特别是操作系统不及时打上安全补丁，清除过的病毒又会立即复发。通过漏洞扫描，及时发现系统漏洞并及时打上补丁，可以大大降低病毒或黑客软件危害网络的风险。

⑶通过入侵检测系统监控网络攻击

防火墙不可能对进出攻击作太多判断，否则会严重影响网络性能．入侵检测通过旁路监听的方式不间断地收取网络数据，对网络的运行和性能没有影响，同时判断其中是否含有攻击的企图，通过各种手段向管理员报警，不但可以发现从外部的攻击，也可以发现内部的恶意行为。

⑷在应用系统上安装安全软件实现应用系统的监控

通过在客户机（单机或服务器）上安装安全软件，提供主机入侵监控、分布式防火墙、恶意移动代码防范、操作系统完整性保障和审核日志整合等功能。提供针对所有类型的攻击的防范，包括端口扫描、缓冲区溢出、特洛伊木马、畸形分组、恶意HTML请求和电子邮件蠕虫。

⒉构建多层次的防护体系

⑴在网络上构建MPLS VPN和IP Sec实现网络安全

MPLS VPN采用路由隔离、地址隔离和信息隐藏等多种手段提供了抗攻击和标记欺骗的手段，提供与传统的ATM或帧中继VPN相类似的安全保证。IPSec是专门设计为IP提供安全服务的一种协议。IPSec通过数据源验证、无连接数据的完整性验证、数据内容的机密性保护、抗重播保护等形式，可有效保护IP数据报的安全。

⑵通过访问控制列表实现网络安全防护

访问控制列表（Access Control List，ACL）是路由器接口的指令列表，用来控制端口进出的数据包。ACL可以通过限制网络流量提高网络性能，提供对通信流量的控制和网络安全访问的基本手段，可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。

⑶构建网络防病毒体系和系统补丁分发中心

建立涵盖网络所有节点的基础病毒检、杀系统，部署“分布式管理、集中监控、统一审计”的多级级联的病毒监控管理构架，在最可能导致病毒传染的邮件服务器上加装邮件防病毒网关，建立系统（软件）补丁库，并及时升级，加固全网计算机操作系统。

⑷在网络出口安装防火墙实现网络安全防护

防火墙最大的意义是在网络边界处提供统一的安全策略，有效地将复杂的网络安全问题简单化，大大降低管理成本和潜在风险。

⑸部署网络准入控制和自防御网络实现网络安全

通过对用户的身份进行认证，对用户的接入设备进行安全状态评估(包括防病毒软件，系统补丁等)，使每个接入点都具有较高的可信身份和基本的安全条件，从而保护网络基础设施。在用户终端试图接入网络时，安全客户端首先搜集、评估用户机器的安全特征，包括系统补丁、病毒库版本等信息；并把这些特征和用户信息上传至认证服务器，进行用户身份认证和安全策略对照；根据对照结果，非法用户将被策略控制服务器拒绝接入网络；是合法用户、但接入计算机没有达到基本安全要求的将被隔离到隔离区；进入隔离区的用户可以根据组织的网络安全策略，进行安装系统补丁、升级病毒库、检查终端系统信息等操作，直到接入终端符合组织网络安全策略；合法合格的接入终端可以根据组织安全策略正常访问网络。

⒊加强电子政务网络管理

⑴统一行政体制

在省、市、县三级实现行政管理体系的统一，使安全问题在预防和发生以至解决都有一个流畅、高效的运作流程。行政为主、技术为辅的安全解决模式在政务网的实际操作中起着关键的作用。

⑵统一管理规范的制定

通过制定计算机机房标准、网络运行维护管理制度、数据信息管理制度，形成从物理层、网络层到应用层的底层到高层的安全管理规范，消除其中任何一个环节的疏忽引发的安全问题。

⑶加强对政务网络运维人员管理

要通过定岗、定位，明确政务网络运维人员的职责；通过岗位培训，提高政务网络运维人员的技术水平，消除安全盲区。

⑷利用统一网管实施有效的分级管理

通过建立福建电信、省经济信息中心、9个设区市、84个县（市、区）的统一网管实现网络的分级管理。福建电信负责省直机关宽带网，省中心负责政务网的纵向网，9个设区市和84个县（市、区）负责各自横向接入网，通过分权建立立体三层的统一平台管理，使得管理局面不再是条块分隔，而是在一个统一的平台下，有不同的管理权限，这样容易进行统一的安全部署，多渠道发现网络漏洞，高效率地解决网络安全问题。

⑸定期巡检和奖惩管理