企业网络安全建设范文

导语：如何才能写好一篇企业网络安全建设，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。

篇1

关键词：等级防护；电力企业；网络安全建设

中图分类号： F407 文献标识码： A 文章编号：

引言

信息化是一把“双刃剑”，在提高企业工作效率、管理水平以及整体竞争能力的同时，也给企业带来了一定的安全风险，并且伴随着企业信息化水平的提高而逐渐增长。因此，提升企业的信息系统安全防护能力，使其满足国家等级保护的规范性要求，已经成为现阶段信息化工作的首要任务。对于电力企业的信息系统安全防护工作而言，应等级保护要求，将信息管理网络划分为信息内网与信息外网，并根据业务的重要性划分出相应的二级保护系统与三级保护系统，对三级系统独立成域，其余二级系统统一成域，并从边界安全、主机安全、网络安全、应用安全等方面对不同的安全域对防护要求进行明确划分。

1现阶段电力企业网络风险分析

1.1服务器区域缺少安全防护措施

大部分电力企业的服务器都是直接接入本单位的核心交换机，然而各网段网关都在核心交换机上，未能对服务器区域采取有效的安全防护措施。

1.2服务器区域和桌面终端区域之间的划分不明确

因服务器和桌面终端的网关都在核心交换机上，不能实现对于域的有效划分。

1.3网络安全建设缺乏规划

就现阶段的电力企业网络安全建设而言，普遍存在着缺乏整体安全设计与规划的现状，使整个网络系统成为了若干个安全产品的堆砌物，从而使各个产品之间失去了相应的联动，不仅在很大程度上降低了网络的运营效率，还增加了网络的复杂程度与维护难度。

1.4系统策略配置有待加强

在信息网络中使用的操作系统大都含有相应的安全机制、用户与目录权限设置以及适当的安全策略系统等，但在实际的网络安装调试过程中，往往只使用最宽松的配置，然而对于安全保密来说却恰恰相反，要想确保系统的安全，必须遵循最小化原则，没有必要的策略在网络中一律不配置，即使有必要的，也应对其进行严格限制。

1.5缺乏相应的安全管理机制

对于一个好的电力企业网络信息系统而言，安全与管理始终是分不开的。如果只有好的安全设备与系统而没有完善的安全管理体系来确保安全管理方法的顺利实施，很难实现电力企业网络信息系统的安全运营。对于安全管理工作而言，其目的就是确保网络的安全稳定运行，并且其自身应该具有良好的自我修复性，一旦发生黑客事件，能够在最大程度上挽回损失。因此，在现阶段的企业网络安全建设工作过程中，应当制订出完善的安全检测、人员管理、口令管理、策略管理、日志管理等管理方法。

2等级保护要求下电力企业网络安全建设防护的具体措施

2.1突出保护重点

对于电力企业而言，其投入到信息网络安全上的资源是一定的。从另外一种意义上讲，当一些设备存在相应的安全隐患或者发生破坏之后，其所产生的后果并不严重，如果投入和其一样重要的信息资源来保护它，显然不满足科学性的要求。因此，在保护工作过程中，应对需要保护的信息资产进行详细梳理，以企业的整体利益为出发点，确定出重要的信息资产或系统，然后将有限的资源投入到对于这些重要信息资源的保护当中，在这些重要信息资源得到有效保护的同时，还可以使工作效率得到很大程度的提高。

2.2贯彻实施3层防护方案

在企业网络安全建设过程中，应充分结合电力企业自身网络化特点，积极贯彻落实安全域划分、边界安全防护、网络环境安全防护的3层防护设计方案。在安全防护框架的基础上，实行分级、分域与分层防护的总体策略，以充分实现国家等级防护的基本要求。

(1)分区分域。统一对直属单位的安全域进行划分，以充分实现对于不同安全等级、不同业务类型的独立化与差异化防护。

(2)等级防护。遵循“二级系统统一成域，三级系统独立成域”的划分原则，并根据信息系统的定级情况，进行等级安全防护策略的具体设计。

(3)多层防护。在此项工作的开展过程中，应从边界、网络环境等多个方面进行安全防护策略的设计工作。

2.3加强安全域划分

安全域是指在同一环境内具有一致安全防护需求、相互信任且具有相同安全访问控制与边界控制的系统。加强对于安全域的划分，可以实现以下目标：

(1)实现对复杂问题的分解。对于信息系统的安全域划分而言，其目的是将一个复杂的安全问题分解成一定数量小区域的安全防护问题。安全区域划分可以有效实现对于复杂系统的安全等级防护，是实现重点防护、分级防护的战略防御理念。

(2)实现对于不同系统的差异防护。基础网络服务、业务应用、日常办公终端之间都存在着一定的差异，并且能够根据不同的安全防护需求，实现对于不同特性系统的归类划分，从而明确各域边界，对相应的防护措施进行分别考虑。

(3)有效防止安全问题的扩散。进行安全区域划分，可以将其安全问题限定在其所在的安全域内，从而有效阻止其向其他安全域的扩散。在此项工作的开展过程中，还应充分遵循区域划分的原则，将直属单位的网络系统统一划分为相应的二级服务器域与桌面终端域，并对其分别进行安全防护管理。在二级系统服务器域与桌面域间，采取横向域间的安全防护措施，以实现域间的安全防护。

2.4加强对于网络边界安全的防护

对于电力企业的网络边界安全防护工作而言，其目的是使边界避免来自外部的攻击，并有效防止内部人员对外界进行攻击。在安全事件发生之前，能够通过对安全日志与入侵事件的分析，来发现攻击企图，在事件发生之后可以通过对入侵事件记录的分析来进行相应的审查追踪。

(1)加强对于纵向边界的防护。在网络出口与上级单位连接处设立防火墙，以实现对于网络边界安全的防护。

(2)加强对于域间横向边界的防护。此项防护是针对各安全区域通信数据流传输保护所制定出的安全防护措施。在该项工作的开展过程中，应根据网络边界的数据流制定出相应的访问控制矩阵，并依此在边界网络访问控制设备上设定相应的访问控制规则。

2.5加强对于网络环境的安全防护

(1)加强边界入侵检测。以网络嗅探的方式可以截获通过网络传输的数据包，并通过相应的特征分析、异常统计分析等方法，及时发现并处理网络攻击与异常安全事件。在此过程中，设置相应的入侵检测系统，能够及时发现病毒、蠕虫、恶意代码攻击等威胁，能够有效提高处理安全问题的效率，从而为安全问题的取证提供有力依据。

(2)强化网络设备安全加固。安全加固是指在确保业务处理正常进行的情况下，对初始配置进行相应的优化，从而提高网络系统的自身抗攻击性。因此，在经过相应的安全评估之后，应及时发现其中隐藏的安全问题，对重要的网络设备进行必要的安全加固。

(3)强化日志审计配置。在此项工作的开展过程中，应根据国家二级等级保护要求，对服务器、安全设备、网络设备等开启审计功能，并对这些设备进行日志的集中搜索，对事件进行定期分析，以有效实现对于信息系统、安全设备、网络设备的日志记录与分析工作。

结语

综上所述，对于现阶段电力企业信息网络而言，网络安全建设是一个综合性的课题，涉及到技术、使用、管理等许多方面，并受到诸多因素的影响。在电力企业网络安全建设过程中，应加强对于安全防护管理体系的完善与创新，以严格的管理制度与高素质管理人才，实现对于信息系统的精细化、准确化管理，从而切实促进企业网络安全建设的健康、稳步发展。

参考文献：

[1]张蓓，冯梅，靖小伟，刘明新.基于安全域的企业网络安全防护体系研究[J].计算机安全,2010(4).

篇2

现在企业很多商业业务、商业活动和财务管理系统协同工作等，都需要借助计算机网络进行。如果没有网络安全性的保障，就会发生系统延迟、拒绝服务、程序错误、数据篡改等现象，甚至很多情况下会发生木马病毒的侵蚀。过去企业数据是以文本文件的形式存在，虽然处理和操作不具有便捷性，但是能够起到保密性和可靠性的作用。计算机网络时代财务数据流能够实现财务数据的快速传递，但是在数据传输的过程中安全性难以得到有效的保障。所以在企业数据信息管理的过程中需要有保密性和可靠性的保障，维护企业的商业机密。其次，网络交易渠道容易发生数据信息丢失或损坏，交易双方的信息结果发生差异的现象时有发生，严重影响了企业数据的精准性。所以企业急需完整性的交易信息凭证，避免交易信息的篡改或者删除，保证交易双方数据的一致性[1]。

2企业网络面临的安全风险

2.1物理安全风险

近年来，很多现代化企业加大信息建设，一些下属公司的网络接入企业总网络，企业网路物理层边界限制模糊，而电子商务的业务发展需求要求企业网络具有共享性，能够在一定权限下实现网络交易，这也使得企业内部网络边界成为一个逻辑边界，防火墙在网络边界上的设置受到很多限制，影响了防火墙的安全防护作用。

2.2入侵审计和防御体系不完善

随着互联网的快速发展，网络攻击、计算机病毒不断变化，其破坏力强、速度快、形式多样、难以防范，严重威胁企业网络安全。当前，很多企业缺乏完善的入侵审计和防御体系，企业网络的主动防御和智能分析能力明显不足，检查监控效率低，缺乏一致性的安全防护规范，安全策略落实不到位。

2.3管理安全的风险

企业网络与信息的安全需要有效的安全管理措施作为制度体系保障，但是企业经常由于管理的疏忽，造成严重的网络信息安全风险。具体管理安全的风险主要表现在以下几个方面：企业没有健全和完善的网络安全管理制度，难以落实安全追责；技术人员的操作技术能力缺陷，导致操作混乱；缺乏网络信息安全管理的意识，没有健全的网络信息安全培训体系等。

3构建企业网络安全防护体系

3.1加强规划、预防和动态管理

首先，企业需要建立完善的网络信息安全防护体系，保证各项安全措施都能够满足国家信息安全的标准和要求。对自身潜在的信息安全风险进行统筹规划，针对性的展开安全防护系统的设计。其次，企业应该加强对安全防护系统建设的资金投入，建立适合自己网络信息应用需求的防护体系，并且定期进行安全系统的维护和升级。最后，加强预防与动态化的管理，要制定安全风险处理的应急预案，有效降低网络信息安全事故的发生。并且根据网络信息动态的变化，采取动态化的管理措施，将网络与信息安全风险控制在可接受的范围。

3.2合理划分安全域

现代化企业网络可以按照系统行为、安全防护等级和业务系统这三种方式来划分安全域。由于企业网络在不同区域和不同层次关注的内容不同，因此在划分企业网络安全域时，应结合业务属性和网络管理，不仅要确保企业正常的生产运营，还应考虑网络安全域划分是否合理。针对这个问题，企业网络安全域划分不能仅应用一种划分方式，应综合应用多种方式，充分发挥不同方式的优势，结合企业网络管理要求和网络业务需求，有针对性地进行企业网络安全域划分。

首先，根据业务需求，可以将企业网络分为两部分：外网和內网。由于互联网出口全部位于外网，企业网络可以在外网用户端和内网之间设置隔离，使外网服务和内网服务分离，隔离各种安全威胁，确保企业内网业务的安全性。其次，按照企业业务系统方式，分别划分外网和内网安全域，企业外网可以分为员工公寓网络、项目网络、对外服务网络等子网，内网可以分为办公网、生产网，其中再细分出材料采购网、保管网、办公管理网等子网，通过合理划分安全域，确定明确的网络边界，明确安全防护范围和对象目标。最后，按照网络安全防护等级和系统行为，细分各个子网的安全域，划分出基础保障域、服务集中域和边界接入域。基础保障域主要用来防护网络系统管理控制中心、软件和各种安全设备，服务集中域主要用于防护企业网络的信息系统，包括信息系统内部和系统之间的数据防护，并且按照不同的等级保护要求，可以采用分级防护措施，边界接入域主要设置在企业网络信息系统和其他系统之间的边界上。

3.3信息安全技术的应用

（1）防火墙技术

防火墙主要的作用是对不安全的服务进行过滤和拦截，对企业网络的信息加强访问限制，提高网络安全防护。例如，企业的信息数据库只能在企业内部局域网网络的覆盖下才能浏览操作，域外访问操作会被禁止。并且防火墙可以有效记录使用过的统计数据，对可能存在的攻击、侵入行为精心预测预警，最大限度地保障了企业内部网络系统的安全。随着业务模式的不断发展，简单的业务（端口）封堵已经不能适应动态的业务需要，需要采用基于内容的深度检测技术对区域间的业务流进行过滤。并借助于大数据分析能力对异常业务流进行智能分析判断。

（2）终端准入防御技术

终端准入防御技术主要是以用户终端作为切入点，对网络的接入进行控制，利用安全服务器、安全网络设备等联动，对接入网络的用户终端强制实施企业安全策略，实时掌控用户端的网络信息操作行为，提高用户端的风险主动防御能力。

4结束语

综上所述，计算机网络有效提高了企业业务工作的效率，实现企业计算机网络数据库中的数据分类、整理、资源的共享。但是，系统数据的保密、安全方面还存在技术上的一些欠缺，经常会发生数据被非法侵入和截取的现象，造成了严重的数据安全风险。企业应该科学分析网络与信息安全风险类型，加强规划、预防利用防火墙技术、终端准入防御技术等，提高企业网络与信息安全防护效率。

参考文献

[1]戴华秀.移动互联网时代信息安全应对策略分析[J].科技与创新，2016，（1）：36.

篇3

随着近年来信息化的快速推进，供电企业网络信息系统与Internet的交互日益频繁，基于Internet的业务呈不断增长态势。电力行业作为国民经济的重要组成部分，已经在人们的正常生活中不可缺少。电力系统的是否安全可靠，关系着国民经济的发展，更影响着人们的日常生活。然而电力企业信息网络的发展还不健全，尚存在很多安全问题。这些问题正是黑客和病毒入侵的目标。县级供电企业是整个电力企业的基本单位，只有保证县级供电企业信息网络的安全，才能使整个电力行业正常的运行，因此对其信息网络安全的研究受到越来越多的关注。

2 信息网络安全概述

信息网络安全是指运用各种相关技术和管理，使网络信息不受危害和威胁，保证信息的安全。由于计算机网络在建立时就存在缺陷，本身具有局限性，使其网络系统的硬件和软件资源都有可能遭到破坏和入侵，严重时甚至可能引起整个系统的瘫痪，以至于造成巨大的损失。相对于外界的破坏，自身的防守时非常艰巨的，必须保证每个软件、每一项服务，甚至每个细节都要安全可靠。因此要对网络安全进行细致的研究，下面介绍其特征：

2.1 完整性

主要是指数据的完整性。数据信息在未经许可的情况下不能进行任何修改。

2.2 保密性

未经授权的用户不能使用该数据。

2.3 可用性

被授权的用户可以根据自己的需求使用该数据，不能阻碍其合法使用。

2.4 可控性

系统要能控制能够访问数据的用户，可以被访问的数据以及访问方式，并记录所有用户在系统内的网络活动。

3 信息网络系统安全存在的问题

3.1 系统设备和软件存在漏洞

网络系统的发展时间很短，因此其操作系统、协议和数据库都存在漏洞，这些漏洞变成为黑客和病毒入侵的通道；存储介质受到破坏，使系统中的信息数据丢失和泄漏；系统不进行及时的修补，采用较弱的口令和访问限制。这些都是导致信息网络不安全的因素。网络是开放性的，因此非常容易受到外界的攻击和入侵，入侵者便是通过运用相关工具扫描系统和网络中的漏洞，通过这些漏洞进行攻击，致使网络受到危害，资料泄露。

3.2 制度不完善

目前对于信息网络的建立，数据的使用以及用户的访问没有完善的规章制度，这也导致了各个县级供电企业信息网络系统之间的不统一，在数据传输和利用上受到限制。同时在目前已经确立的信息网络安全的防护规章制度的执行上，企业也不能严格的执行。

4 提高网络安全方法

4.1 网络安全策略

信息网络是一个庞大的系统，包括系统设备和软件的建立、数据的维护和更新、对外界攻击的修复等很多方面，必须各个细节都要保证安全，没有漏洞。然而很多供电企业，尤其是县级企业并没有对其引起足够的重视，只是被动地进行防护。整体的安全管理水平很低，没有完备的网络安全策略和规划。因此要想实现信息网络的安全，首先需要制定一个全面可行的安全策略以及相应的实施过程。

4.2 提高网络安全技术人员技术水平

信息网络的运行涉及很多方面，其安全防护只是其中一部分，因此在网络安全部分要建立专业的安全技术队伍。信息网络中的一些系统和应用程序更新速度不一致，也会造成网络的不安全。一般企业的网络管理员要兼顾软硬件的维护和开发，有时会顾此失彼，因此要建立更专业的安全技术队伍，使信息网络的工作各有分工，实现专业性，提升整体网络安全技术水平，提高工作效率。

4.3 完备的数据备份

当信息网络受到严重破坏时，备份数据便发挥了作用。不论网络系统建立的多完善，安全措施做得多到位，保留完备的备份数据都是有备无患。进行数据备份，首先要制定全面的备份计划，包括网络系统和数据信息备份、备份数据的修改和责任人等。备份时要严格按照计划进行实施。还要定期的检查备份数据，保证数据的完整性和实时性。同时网络管理人员的数据备份和恢复技术的操作要很熟练，这样才能保障备份数据的有效性。

4.4 加强防病毒

随着网络技术的发展，网络病毒也越来越多，这些病毒都会对信息网络造成或多或少的危害。防病毒不仅需要应用专业可靠的防毒体系，还要建立防火墙，屏蔽非法的数据包。

对于防毒，在不同的硬件上要安装相应的防毒程序。例如工作站上应该安装单机的防毒程序；主机上则安装主机防毒程序；网关上安装防病毒墙；而这些不同的防毒程序的升级可以通过设立防毒控制中心，统一管理，由中心将升级包发给各个机器，完成整个网络防毒系统的升级。这样有针对性的防毒程序能更有效的进行病毒防护。

防火墙可以通过检测和过滤，阻断外来的非法攻击。防火墙的形式包括硬件、软件式和内嵌式三种。内嵌式防火墙需要与操作系统结合，性能较高，应用较为广泛。

5 具体措施

5.1 增强管理安全

在网络安全中管理是最重要的，如果安全管理制度不完善，就会导致正常的网络安全工作不能有序实施。信息网络的管理包括对网络的定期检查、实时监控以及出现故障时及时报告等。为了达到管理安全，首先，要制定完整详细的供电企业信息网络安全制度，并严格实施；其次，对用户的网络活动做记录并保存网络日志，以便对外部的攻击行为和违法操作进行追踪定位；还应制定应急方案，在网络系统出现故障和攻击时及时采取措施。

5.2 网络分段

网络分段技术是指在网络中传输的信息，可以被处在用以网络平台上其他节点的计算机截取的技术。采用这种技术可以限制用户的非法访问。比如，黑客通过网络上的一个节点窃取该网络上的数据信息，如果没有任何限制，便能获得所有的数据，而网络分段技术则可以在这时，将黑客与网络上的数据隔离，限制其非法访问，进而保护了信息网络的安全。

5.3 数据备份

重要数据的备份是网络安全的重要工作。随着网络技术的迅速发展，备份工作也必须要与之一致，保证实时性和完整性，才能在出现紧急问题时发挥其应有的作用，恢复数据信息。整个庞大的信息网络，备份的数据量也是很大的，要避免或减少不必要的备份；备份的时间也要恰当地选择，尽量不影响用户的使用；同时备份数据的存储介质要选择适当。

5.4 病毒检测和防范

检测也是信息安全中的一个重要环节。通过应用专业的检测工具，对网络进行不断地检测，能够及时的发现漏洞和病毒，在最短时间内采取相应的措施。

病毒防范技术有很多，可以先分析网络病毒的特征，建立病毒库，在扫描数据信息时如果对象的代码与病毒库中的代码吻合，则判断其感染病毒；对于加密、变异的不易扫描出来的病毒可以通过虚拟执行查杀；最基本的还是对文件进行实时监控，一旦感染病毒，及时报警并采取相应的措施。

6 结束语

篇4

关键词：网络安全；网络管理；防护；防火墙

中图分类号：TP393.08文献标识码：A文章编号：1009-3044(2011)14-3302-02

随着企业信息化进程的不断发展，网络已成为提高企业生产效率和企业竞争力的有力手段。目前，石化企业网络各类系统诸如ERP系统、原油管理信息系统 、电子邮件系统 以及OA协同办公系统等都相继上线运行，信息化的发展极大地改变了企业传统的管理模式，实现了企业内的资源共享。与此同时，网络安全问题日益突出，各种针对网络协议和应用程序漏洞的新型攻击层出不穷，病毒威胁无处不在。

因此，了解网络安全，做好防范措施，保证系统安全可靠地运行已成为企业网络系统的基本职能，也是企业本质安全的重要一环。

1 石化企业网络安全现状

石化企业局域网一般包含Web、Mail等服务器和办公区客户机，通过内部网相互连接，经防火墙与外网互联。在内部网络中，各计算机处在同一网段或通过Vlan（虚拟网络）技术把企业不同业务部门相互隔离。

2 企业网络安全概述

企业网络安全隐患的来源有内、外网之分，网络安全系统所要防范的不仅是病毒感染，更多的是基于网络的非法入侵、攻击和访问。企业网络安全隐患主要如下：

1) 操作系统本身存在的安全问题

2) 病毒、木马和恶意软件的入侵

3) 网络黑客的攻击

4) 管理及操作人员安全知识缺乏

5) 备份数据和存储媒体的损坏

针对上述安全隐患，可采取安装专业的网络版病毒防护系统，同时加强内部网络的安全管理；配置好防火墙过滤策略，及时安装系统安全补丁；在内、外网之间安装网络扫描检测、入侵检测系统，配置网络安全隔离系统等。

3 网络安全解决方案

一个网络系统的安全建设通常包含许多方面，主要为物理安全、数据安全、网络安全、系统安全等。

3.1 物理安全

物理安全主要指环境、场地和设备的安全及物理访问控制和应急处置计划等，包括机房环境安全、通信线路安全、设备安全、电源安全。

主要考虑：自然灾害、物理损坏和设备故障；选用合适的传输介质；供电安全可靠及网络防雷等。

3.2 网络安全

石化企业内部网络，主要运行的是内部办公、业务系统等，并与企业系统内部的上、下级机构网络及Internet互连。

3.2.1 VLAN技术

VLAN即虚拟局域网。是通过将局域网内的设备逻辑地划分成一个个网段从而实现虚拟工作组的技术。

借助VLAN技术，可将不同地点、不同网络、不同用户组合在一起，形成一个虚拟的网络环境 ，就像使用本地LAN一样方便。一般分为：基于端口的VLAN、基于MAC地址的VLAN、基于第3层的VLAN、基于策略的VLAN。

3.2.2 防火墙技术

1) 防火墙体系结构

① 双重宿主主机体系结构

防火墙的双重宿主主机体系结构是指一台双重宿主主机作为防火墙系统的主体，执行分离外部网络和内部网络的任务。

② 被屏蔽主机体系结构

被屏蔽主机体系结构是指通过一个单独的路由器和内部网络上的堡垒主机共同构成防火墙，强迫所有的外部主机与一个堡垒主机相连，而不让其与内部主机相连。

③ 被屏蔽子网体系结构

被屏蔽子网体系结构的最简单的形式为使用两个屏蔽路由器，位于堡垒主机的两端，一端连接内网，一端连接外网。为了入侵这种类型的体系结构，入侵者必须穿透两个屏蔽路由器。

2) 企业防火墙应用

① 企业网络体系中的三个区域

边界网络。此网络通过路由器直接面向Internet，通过防火墙将数据转发到网络。

网络。即DMZ，将用户连接到Web服务器或其他服务器，Web服务器通过内部防火墙连接到内部网络。

内部网络。连接各个内部服务器（如企业OA服务器，ERP服务器等）和内部用户。

② 防火墙及其功能

在企业网络中，常常有两个不同的防火墙:防火墙和内部防火墙。虽然任务相似，但侧重点不同，防火墙主要提供对不受信任的外部用户的限制，而内部防火墙主要防止外部用户访问内部网络并且限制内部用户非授权的操作。

在以上3个区域中，虽然内部网络和DMZ都属于企业内部网络的一部分，但他们的安全级别不同，对于要保护的大部分内部网络，一般禁止所有来自Internet用户的访问；而企业DMZ区，限制则没有那么严格。

3.2.3 VPN技术

VPN(Virtual Private Network)虚拟专用网络，一种通过公用网络安全地对企业内部专用网络进行远程访问的连接方式。位于不同地方的两个或多个企业内部网之间就好像架设了一条专线，但它并不需要真正地去铺设光缆之类的物理线路。

企业用户采用VPN技术来构建其跨越公共网络的内联网系统，与Internet进行隔离，控制内网与Internet的相互访问。VPN设备放置于内部网络与路由器之间，将对外服务器放置于VPN设备的DMZ口与内部网络进行隔离，禁止外网直接访问内网，控制内网的对外访问。

3.3 应用系统安全

企业应用系统安全包括两方面。一方面涉及用户进入系统的身份鉴别与控制，对安全相关操作进行审核等。另一方面涉及各种数据库系统、Web、FTP服务、E-MAIL等

病毒防护是企业应用系统安全的重要组成部分，企业在构建网络防病毒系统时，应全方位地布置企业防毒产品。

在网络骨干接入处，安装防毒墙，对主要网络协议（SMTP、FTP、HTTP）进行杀毒处理；在服务器上安装单独的服务器杀毒产品，各用户安装网络版杀毒软件客户端；对邮件系统，可采取安装专用邮件杀毒产品。

4 结束语

该文从网络安全及其建设原则进行了论述，对企业网络安全建设的解决方案进行了探讨和总结。石化企业日新月异，网络安全管理任重道远，网络安全已成为企业安全的重要组成部分、甚而成为企业的本质安全。加强网络安全建设，确保网络安全运行势在必行。

参考文献：

[1] 王达. 路由器配置与管理完全手册――H3C篇[M]. 武汉:华中科技大学出版社,2010．

[2] 王文寿. 网管员必备宝典――网络安全[M]. 北京:清华大学出版社,2007．

篇5

关键词：网络安全；安全防护；接入控制；防火墙；访问权限

随着计算机技术的发展和Internet的广泛应用，越来越多的企业都实现了业务系统的电子化和网络化，计算机网络安全已成为企业信息安全的重要组成部分。但计算机网络也面临着非法入侵，恶意攻击、病毒木马等多种威胁，对企业的信息系统安全造成损害。

因此，如何提高计算机网络的防御能力，增强网络的安全性和可靠性，已成为企业网络建设时必须考虑的问题。下面介绍一些网络安全建设方面的策略，希望能为企业网络建设提供一些参考。

一、 做好网络结构安全设计

网络结构安全的核心是网络隔离，即将整个网络按照系统功能、信息安全等级、工作地点等原则划分为相对独立的子网络，使得当某个子网络内发生安全故障时，有害信息不能或不易扩散到别的子网络中。

各个子网络之间应部署防火墙、网闸等网络安全设备，实现信息系统隔离和访问控制。同时，充分利用IP地址、VLAN、访问控制列表等工具，实现子网络之间的逻辑隔离。

二、 网络设备的安全防护

网络设备的安全防护是指同设备交互时的安全防护，一般用于设备的配置和管理。同设备的交互有以下几种方式：

* 通过设备Console 口访问。

* 异步辅助端口的本地/远程拨号访问

* TELNET访问

* SNMP访问

* HTTP访问

针对这几种交互方式，采取的安全策略如下：

(1) 用户登录验证

必须要求设备配置身份验证，如果设备未配，将拒绝接受用户登录，可以通过本地用户验证或RADIUS验证实现。

(2) 控制台超时注销

控制台访问用户超过一段时间对设备没有交互操作，设备将自动注销本次控制台配置任务，并切断连接。超时时间必须可配置，缺省为10分钟。

(3) 控制台终端锁定

配置用户离开配置现场，设备提供暂时锁定终端的能力，并设置解锁口令。

(4) 限制telnet用户数目

设备对telnet用户数量必需做出上限控制。

三、 部署用户安全接入控制系统

用户安全接入控制是指企业员工在使用终端访问企业资源前，先要经过身份认证和终端安全检查。用户在确认身份合法并通过安全检查后，终端可以访问用户授权的内部资源，认证不通过则被拒绝接入网络。终端安全接入控制主要是防止不安全的终端接入网络和防止非法终端用户访问企业内部网络。

用户接入控制可通过部署终端安全管理系统实现。终端安全管理系统是一个包括软件和硬件整体系统。在用户终端上安装安全服务程序，在用户使用网络前，必须启动程序，然后输入身份信息进行登录。由安全管控服务器对终端用户进行身份认证和安全检查。通过之后服务器把检查结果通知安全接入网关，安全接入网关根据用户的角色，开放终端用户的访问权限，有效的制止用户的非法访问和越权访问。

四、 网络数据流控制

网络数据流控制通过数据包过滤来实现。通过网络数据包过滤，可以限制网络通信量，限制网络访问到特定的用户和设备。

访问列表可用来控制网络上数据包的传递，限制终端线路的通信量或者控制路由选择更新，以达到增强网络安全性的目的。在端口上设定数据流过滤，防止企业内部的IP地址欺骗。严格控制PING、Telnet、Discard、Echo、SNMP、Rsh、Rlogin、Rcp、TraceRT等数据流通过网络设备，原则上只允许本系统应用需要的应用数据流才能通过网络设备。

五、 部署网络防病毒软件

网络病毒的入口点是非常多的。在一个具有多个网络入口的连接点的企业网络环境中，病毒可以由软盘、光盘、U盘等传统介质进入，也可能由企业信息网等进入，还有可能从外部网络中通过文件传输等方式进入。所以不仅要注重单机的防毒，更要重要网络的整体防毒措施。

任何一点没有部署防病毒系统，对整个网络都是一个安全的威胁。网络中应部署一套网络防病毒系统，在所有重要服务器、操作终端安装杀毒软件。通过网络杀毒服务器及时更新病毒库及杀毒引擎，保证内部网络安全、稳定的运行。

六、 内部网络使用安全

* 内部系统中资源共享

严格控制内部员工对网络共享资源的使用。在内部子网中一般不要轻易开放共享目录，否则较容易因为疏忽而在与员工间交换信息时泄漏重要信息。对有经常交换信息需求的用户，在共享时也必须加上必要的口令认证机制，即只有通过口令的认证才允许访问数据。虽然说用户名加口令的机制不是很安全，但对一般用户而言，还是起到一定的安全防护，即使有刻意破解者，只要口令设得复杂些，也得花费相当长的时间。

* 信息存储

对有涉及企业秘密信息的用户主机，使用者在应用过程中应该做到尽量少开放一些不常用的网络服务。对数据库服务器中的数据库必须做安全备份，包括本地备份和远程备份存储。

* 构建安全管理平台

构建安全管理平台将会降低很多因为无意的人为因素而造成的风险。构建安全管理平台从技术上如：组成安全管理子网，安装集中统一的安全管理软件，如病毒软件管理系统、网络设备管理系统以及网络安全设备统一管理软件。通过安全管理平台实现全网的安全管理。

总之，网络安全是一个系统的工程，要用系统的思想来建设全方位的、多层次的、立体的安全防护体系。这是一项长期而艰巨的任务，需要不断的探索。网络安全建设不能仅仅依靠于技术手段，而应建立包括安全规范、规章制度、人员培训等全面的管理体系，提高全体员工的安全防范意识，保护好每台接入网络中的设备，才能实现高速稳定安全的信息化网络系统。

参考文献：

篇6

【关键词】信息系统；安全建设；防护体系

1.企业信息系统安全防护的价值

随着企业信息化水平的提高，企业对于IT系统的依赖性也越来越高。一方面，“业务系统流程化”正在成为IT安全建设的驱动力。企业的新业务应用正在逐渐标准化和流程化，各种应用系统如ERP、MES为企业的生产效率的提高起到了关键的作用。有效的管控IT环境，确保IT业务系统的持续稳定运行作为企业竞争力的一部分，已成为IT系统安全防护的主要目标和关键驱动力。另一方面，企业IT安全的建设也是“法规遵从”的需要。IT系统作为企业财务应用系统的重要支撑，必须提供可靠的运行保障和数据正确性保证。

2.企业信息系统安全建设的现状分析

在企业信息化建设的过程中，业务系统的建设一直是关注的重点，但是IT业务系统的安全保障方面，往往成为整个信息化最薄弱的环节，尤其是在信息化水平还较低的情况下，IT系统的安全建设缺乏统一的策略作为指导。归结起来，企业在IT系统安全建设的过程中，存在以下几方面的不足：

2.1 安全危机意识不足，制度和规范不健全

尽管知道IT安全事故后果比较严重，但是企业的高层领导心中仍然存在着侥幸心理，更多的时候把IT安全建设的预算挪用到其他的领域。企业在信息安全制度及信息安全紧急事件响应流程等方面缺乏完整的制度和规范保证，由此带来的后果是诸如对网络的任意使用，导致公司的机密文档被扩散。同时在发生网络安全问题的时候，也因为缺乏预先设置的各种应急防护措施，导致安全风险得不到有效控制。

2.2 应用系统和安全建设相分离，忽视数据安全存储建设

在企业IT应用系统的建设时期，由于所属的建设职能部门的不同，或者是因为投资预算的限制，导致在应用系统建设阶段并没有充分考虑到安全防护的需要，为后续的应用系统受到攻击瘫痪埋下了隐患。数据安全的威胁表现在核心数据的丢失；各种自然灾难、IT系统故障，也对数据安全带来了巨大冲击。遗憾的是很多企业在数据的安全存储方面，并没有意识到同城异地灾难备份或远程灾难备份的重要性。

2.3 缺乏整体的安全防护体系，“简单叠加、七国八制”

对于信息安全系统的建设，“头痛医头、脚痛医脚”的现象比较普遍。大多数企业仍然停留在出现一个安全事故后再去解决一个安全隐患的阶段，缺乏对信息安全的全盘考虑和统一规划，这样的后果就是网络上的设备五花八门，设备方案之间各自为战，缺乏相互关联，从而导致了多种问题。

3.企业信息系统安全建设规划的原则

企业的信息化安全建设的目标是要保证业务系统的正常运转从而为企业带来价值，在设计高水平的安全防护体系时应该遵循以下几个原则：

（1）统一规划设计。信息安全建设，需要遵循“统一规划、统一标准、统一设计、统一建设”的原则；应用系统的建设要和信息安全的防护要求统一考虑。

（2）架构先进，突出防护重点。要采用先进的架构，选择成熟的主流产品和符合技术发展趋势的产品；明确信息安全建设的重点，重点保护基础网络安全及关键应用系统的安全，对不同的安全威胁进行有针对性的方案建设。

（3）技术和管理并重，注重系统间的协同防护。“三分技术，七分管理”，合理划分技术和管理的界面，从组织与流程、制度与人员、场地与环境、网络与系统、数据与应用等多方面着手，在系统设计、建设和运维的多环节进行综合协同防范。

（4）统一安全管理，考虑合规性要求。建设集中的安全管理平台，统一处理各种安全事件，实现安全预警和及时响应；基于安全管理平台，输出各种合规性要求的报告，为企业的信息安全策略制定提供参考。

（5）高可靠、可扩展的建设原则。这是任何网络安全建设的必备要求，是业务连续性的需要，是满足企业发展扩容的需要。

4.企业信息系统安全建设的部署建议

以ISO27001等企业信息安全法规[1]遵从的原则为基础，通过分析企业信息安全面临的风险和前期的部署实践，建立企业信息安全建设模型，如图1所示。

图1 企业信息系统安全建设模型

基于上述企业信息安全建设模型，在建设终端安全、网络安全、应用安全、数据安全、统一安全管理和满足法规遵从的全面安全防护体系时，需要重点关注以下几个方面的部署建议：

4.1 实施终端安全，关注完整的用户行为关联分析

在企业关注的安全事件中，信息泄漏是属于危害比较严重的行为。现阶段由于企业对网络的管控不严，员工可以通过很多方式实现信息外泄，常见的方式有通过桌面终端的存储介质进行拷贝或是通过QQ/MSN等聊天工具将文件进行上传等。针对这些高危的行为，企业在建设信息安全防护体系的时候，单纯的进行桌面安全控制或者internet上网行为控制都不能完全杜绝这种行为。而在统一规划实施的安全防护体系中，系统从用户接入的那一时刻开始，就对用户的桌面行为进行监控，同时配合internet上网行为审计设备，对该员工的上网行为进行监控和审计，真正做到从员工接入网络开始的各种操作行为及上网行为都在严密的监控之中，提升企业的防护水平。

4.2 建设综合的VPN接入平台

无论是IPSec、L2TP，还是SSL VPN，都是企业在VPN建设过程中必然会遇到的需求。当前阶段，总部与分支节点的接入方式有广域网专线接入和通过internet接入两种。使用VPN进行加密数据传输是通用的选择。对于部分移动用户接入，也可以考虑部署SSL VPN的接入方式[2]，在这种情况下，如何做好将多种VPN类型客户的认证方式统一是需要重点考虑的问题。而统一接入认证的方式，如采用USBKEY等，甚至在设备采购时就可以预先要求设备商使用一台设备同时支持这些需求。这将给管理员的日常维护带来极大的方便，从而提升企业整体的VPN接入水平。

4.3 优化安全域的隔离和控制，实现L2～L7层的安全防护

在建设安全边界防护控制过程中，面对企业的多个业务部门和分支机构，合理的安全域划分将是关键。按照安全域的划分原则，企业网络包括内部园区网络、Internet边界、DMZ、数据中心、广域网分支、网管中心等组成部分，各安全域之间的相互隔离和访问策略是防止安全风险的重要环节。在多样化安全域划分的基础上，深入分析各安全域内的业务单元，根据企业持续性运行的高低优先级以及面临风险的严重程度，设定合适的域内安全防护策略及安全域之间的访问控制策略，实现有针对性的安全防护。例如，选择FW+IPS等设备进行深层次的安全防护，或者提供防垃圾邮件、Web访问控制等解决方案进行应对，真正实现L2～L7层的安全防护。

4.4 强调网络和安全方案之间的耦合联动，实现网络安全由被动防御到主动防御的转变

统一规划的技术方案，可以做到方案之间的有效关联，实现设备之间的安全联动。在实际部署过程中，在接入用户侧部署端点准入解决方案，实现客户端点安全接入网络。同时启动安全联动的特性，一旦安全设备检测到内部网用户正在对网络的服务器进行攻击，可以实现对攻击者接入位置的有效定位，并采取类似关闭接入交换机端口的动作响应，真正实现从被动防御向主动防御的转变。

4.5 实现统一的安全管理，体现对整个网安全事件的“可视、可控和可管”

统一建设的安全防护系统，还有一个最为重要的优势，就是能实现对全网安全设备及安全事件的统一管理。面对各种安全设备发出来的大量的安全日志，单纯靠管理员的人工操作是无能为力的，而不同厂商之间的安全日志可能还存在较大的差异，难以实现对全网安全事件的统一分析和报警管理。因此在规划之初，就需要考虑到各种安全设备之间的日志格式的统一化，需要考虑设定相关安全策略以实现对日志的归并分析并最终输出各种合规性的报表，只有这样才能做到对全网安全事件的统一可视、安全设备的统一批量配置下发，以及整网安全设备的防控策略的统一管理，最终实现安全运行中心管控平台的建设。[3]

4.6 关注数据存储安全，强调本地数据保护和远程灾难备份相结合

在整体数据安全防护策略中，可以采用本地数据保护和远程灾备相结合的方式。基于CDP的数据连续保护技术可以很好地解决数据本地安全防护的问题，与磁带库相比，它具有很多的技术优势。在数据库的配合下，通过连续数据快照功能实现了对重要数据的连续数据保护，用户可以选择在出现灾难后恢复到前面保存过的任何时间点的状态，同时支持对“渐变式灾难”的保护和恢复。在建设异地的灾备中心时，可以考虑从数据级灾备和应用级灾备两个层面进行。生产中心和异地灾备中心的网络连接方式可以灵活选择，即可采用光纤直连，也可采用足够带宽的IP网络连接。在数据同步方式选择上，生产中心和灾备中心采用基于磁盘阵列的异步复制技术，实现数据的异地灾备。异地灾备中心还可以有选择地部署部分关键应用服务器，以提供对关键业务的应用级接管能力，从而实现对数据安全的有效防护。

5.结束语

企业信息安全防护体系的建设是一个长期的持续的工作，不是一蹴而就的，就像现阶段的信息安全威胁也在不断的发展和更新，针对这些信息安全威胁的防护手段也需要逐步的更新并应用到企业的信息安全建设之中，这种动态的过程将使得企业的信息安全防护更有生命力和主动性，真正为企业的业务永续运行提供保障。

参考文献

[1]李纳.计算机系统安全与计算机网络安全浅析[J].科技与企业，2013.

[2]李群，周相广，陈刚.中国石油上游信息系统灾难备份技术与实践[J].信息技术与信息化，2010，06.

篇7

随着网络与信息技术在我们经济和生活各个领域的快速发展，企业也纷纷打造自身的网络信息平台。信息技术正逐渐影响着我们生活和工作的方式，在信息技术带给我们巨大便利的同时，网络与信息安全的各类问题也在不断攀升。面对众多网络攻击行为，安全风险面临重要的挑战。因此，探讨企业网络与信息安全风险，强化安全防护管理措施，保障企业业务安全稳定发展具有十分重要的意义。

关键词

企业网络；信息安全；防护

随着网络与信息技术在我们经济和生活各个领域的快速发展，企业也纷纷打造自身的网络信息平台。信息技术正逐渐影响着我们生活和工作的方式，在信息技术带给我们巨大便利的同时，网络与信息安全的各类问题也在不断攀升。面对众多网络攻击行为，安全风险面临重要的挑战。因此，探讨企业网络与信息安全风险，强化安全防护管理措施，保障企业业务安全稳定发展具有十分重要的意义。

1网络与信息安全风险分析

面对日益增加，不断涌现的网络攻击行为，企业在巩固和加强基本的网络与信息安全的基础上，仍不同程度上存在一定的安全风险，主要包括以下方面。

1.1物理安全风险

物理安全是网络与信息系统安全的基础。物理安全风险主要包括雷击、水灾、火灾等环境事故导致大部分或整个系统的瘫痪；供配电系统故障导致设备断电而造成的业务服务中断；机房环控及报警系统缺失造成设备被盗、被损；电磁辐射可能造成重要数据的信息泄露或非法截获；人为操作失误或错误造成的系统宕机或数据库信息丢失等。

1.2网络安全风险

企业在网络平台建设的初期，安全意识不高，没有从整体网络与信息安全的角度出发进行统筹规划，网络与信息安全风险主要存在网络结构风险、网络边界风险、入侵检测风险、流量管理风险、远程安全接入风险5个方面。网络结构风险方面，企业网络结构中缺少冗余设计，网络中关键设备易形成单点故障，影响了整体网络系统故障恢复的能力。网络边界风险方面，企业网络系统中不同网络区域间通信管控能力不足，数据的安全访问不能得到有效控制，存在非法访问的风险。入侵检测风险方面，在企业局域网内缺少入侵检测手段，无法对局域网内引发的网络安全攻击事件进行有效检测与报警。入侵者通过渗透以获取用户系统控制权，并传播木马病毒形成僵尸网络，甚至发起拒绝服务攻击，使企业的业务服务面临中断风险。流量管理风险方面，企业用户在网络带宽使用过程中，存在过度资源滥用情况，业务流量带宽受到挤压，带宽使用效率大幅降低。远程接入风险方面，企业网络系统没有采取可信认证与加密远程接入的访问机制，造成非可信身份访问企业内部网络，导致信息泄露风险。

1.3系统安全风险

系统安全风险一般指主机或终端自身系统防护能力不足导致容易发生病毒和恶意代码攻击、非法使用、数据截取等安全事件。系统安全风险主要包括身份认证风险、系统安全配置风险、系统漏洞风险、病毒和恶意代码风险这4个方面。身份认证风险方面，企业在网络系统中由于采用单一身份鉴别技术，导致攻击者易假冒合法用户获得资源的访问权限，对系统和数据安全造成威胁。系统漏洞与安全配置风险方面，由于系统补丁未得到及时更新，安全配置未能形成统一化、标准化安全部署，导致企业网络与信息系统存在大量的安全盲点。病毒和恶意代码风险方面，企业网络中主机及终端系统中防病毒软件升级滞后，导致防护软件存在查杀能力不足，系统易受病毒和恶意代码的攻击。

1.4应用安全风险

应用安全风险涉及很多方面，并且与具体的应用有关。应用系统的安全是动态的、不断变化的，需要我们针对不同的应用进行安全漏洞的检测，从而采取相应的安全措施，降低应用的安全风险。应用安全风险主要包括文件及数据库安全风险、病毒侵害风险、未经授权的访问、数据信息篡改，破坏了数据的完整性等。

1.5管理安全风险

安全管理是网络与信息安全得到保证的重要组成部分，从管理层面分析，管理安全风险主要包括：安全管理制度不够健全，关键活动的审批流程未建立或不够明确，导致责权不明；工作人员的操作权限缺乏合理的划分与分配，操作混乱；网络安全管理和技术人员缺乏必要的安全意识、安全知识和教育的培训；安全管理体系有待健全和完善，在主动防范网络与信息安全风险的管理手段有所不足，安全控制措施有待进一步有效发挥。从上述网络与信息安全风险分析，由此所引发的安全事件，一般情况下将会导致网络与信息系统在可用性、可靠性、可恢复性方面大幅下降。因此，针对安全风险制定切实可行的解决措施，提高网络与信息安全的整体防护能力和水平，是保障企业网络与信息系统安全稳定运行的关键所在。

2网络与信息安全防护的主要措施

参照信息系统安全等级保护基本要求，根据网络与信息安全建设存在的主要问题，切实结合企业自身实际需求，逐步建设形成多层保护、重点突出、持续运行的安全保障体系，将企业网络与信息安全防护工作落实到建设、防护、管理等的各个环节，保障企业网络与信息安全的整体性。因此，根据此主要思路提出保障企业网络与信息安全的总体原则与主要措施意见。

2.1总体原则

1）统筹规划，分步实施。建立健全完善企业网络与信息整体安全防护体系是一项长期的系统工程，其所涉及到各层面、各系统的安全问题要在国家信息安全法律法规及标准规范框架内，根据对信息安全风险分析的综合考虑进行统筹规划，制定统一、完整、动态，可控的安全防护系统设计，分步骤、分阶段的进行实施。

2）以用促建，合理投入。为保障企业网络系统长期、安全、稳定运行，依据企业网络不同时期所面临威胁的严重程度，在考虑安全防护经费投入与数据及其应用系统防护价值的性价比基础上实施安全防护体系的建设。安全设备在性能功能的选择上，要安全适度，不盲目超前，既要满足业务应用当前安全防护需求，又能适应未来安全防护的调整升级。

3）主动预防为主，应急恢复为辅。考虑到现代网络安全防护的复杂性和多变性，企业网络与信息安全防护，应以主动预防为主，尽量将安全隐患消除在安全事件发生之前。要提前制定好安全事件处理的应急预案，熟悉并掌握应对各种事件发生的安全措施及办法，最大限度地降低安全事件的损失程度。

4）动态管理，持续改进。企业网络与信息安全防护是一个动态的变化过程，要对安全风险实施动态管理，针对不断出现的新的安全威胁与漏洞持续改进完善企业网络安全措施，始终将网络与信息安全风险控制在可接受的范围。

2.2主要措施意见

1）合理划分网络安全区域。企业从整体网络与信息安全角度出发，综合分析网络系统中存在的普遍问题，采取结构化网络设计思想，结合网络安全域划分原则，对企业网络系统进行合理的安全区域划分。依据安全域划分，建议采取相应的网络边界安全防护措施，实现网络安全隔离，边界间联合防御，对病毒进行有效拦截及区域管控。在应对渗透攻击方面也能积极起到纵深防御效果，完善企业网络系统抗攻击，抗风险的能力。

2）规范网络资源的有效使用。规范企业网络资源的有效使用，增强局域网终端用户的安全审计，有效对网络中的各种行为采取更加细粒度的安全识别和控制的措施。同时，可对网络流量、终端上网行为进行实时分析和审计，做到有据可查。从而，有效优化网络资源使用效率，帮助企业管理层全面了解网络应用状况与趋势，增强网络资源对企业业务服务提供强支撑能力。

3）增强终端用户的网络安全防护措施。增强企业网络安全意识，提高终端用户安全防护措施，采取网络防病毒、终端安全核心配置等措施，通过安全策略的统一分发及部署，企业管理人员可全面直观掌握网络中的安全状况，如终端漏洞、终端病毒、终端升级等情况一目了然。有助于管理人员提高企业安全风险分析的能力及快速解除安全威胁的响应能力。

4）创新开展具有自身特色的网络运维管理服务新模式。面对信息化技术的飞速发展及网络应用的不断深入，在增强自身网络安全意识的同时，应不断学习新的防范技术，丰富防范手段；不断借鉴成熟的技术成果，对照自身网络特点，研究符合自身网络安全防护技术，不断深入实践，总结经验教训，把技术理论与实践经验有效结合，创新开展具有自身特色的网络运维管理服务新模式。

篇8

【关键词】网络安全；防火墙；VPN；VLAN

一、引言

随着电力施工企业信息化发展的不断深入，企业对信息系统的依赖程度越来越高，信息与网络安全直接影响到企业生产、经营及管理活动，甚至直接影响企业未来发展。企业网络规模的扩大、信息接入点增多、分布范围广，使信息接入点管控难度大。企业信息与网络安全面临各类威胁，笔者以构建某电力施工企业信息与网络安全体系为例，从信息安全管理、技术实施方面进行阐述与分析，建立一套比较完整信息化安全保障体系，保障业务应用的正常运行。

二、企业网络安全威胁问题分析

1.企业网络通信设备存的安全漏洞威胁，网络非法入侵者可以采用监听数据、嗅探数据、截取数据等方式收集信息，利用拒绝服务攻击、篡改数据信息等方式对合法用户进行攻击。

2.非法入侵用户对网络系统的知识结构非常清楚，包括企业外部人员、企业内部熟悉网络技术的工作人员，利用内部网络进行恶意操作。非法用户入侵企业内部网络主要采用非法授权访问对企业内部网络进行恶意操作，以达到窃取商业机密的目的；独占网络资源的方式，非业务数据流（如P2P文件传输与即时通讯等）消耗了大量带宽，轻则影响企业业务无法正常运作，重则致使企业IT系统瘫痪，对内部网络系统造成损坏。

3.恶意病毒程序和代码包括计算机病毒、蠕虫、间谍软件、逻辑复制炸弹和一系列未经授权的程序代码和软件系统。病毒感染可能造成网络通信阻塞、文件系统破坏，系统无法提供服务甚至重要数据丢失。病毒的传播非常迅速；蠕虫是通过计算机网络进行自我复制的恶意程序，泛滥时可以导致网络阻塞和瘫痪；间谍软件在用户不知情的情况下进行非法安装，并把截获的机密信息发送给第三者。

4.随着企业信息化平台、一体化系统投入运行，大量重要数据和机密信息都需要通过内部局域网和广域网来传输，信息被非法截取、篡改而造成数据混乱和信息错误的几率加大；当非法入侵者以不正当的手段获得系统授权后。可以对企业内部网络的信息资源执行非法操作，包括篡改数据信息、复制数据信息、植入恶意代码、删除重要信息等，甚至窃取用户的个人隐私信息，阻止合法用户的正常使用，造成破坏和损失。保护信息资源，保证信息的传递成为企业信息安全中重要的一环。

三、企业信息与网络安全策略

结合电力施工企业业务广范围大特点，提出一套侧重网络准入控制的信息安全解决方案，保障企业网络信息安全。

1.远程接入VPN安全解决方案

施工企业拥有多个项目部，地域范围广，项目部、出差人员安全访问企业信息系统是企业信息化的要求，确保网络连接间保密性是必要的。采用SSL VPN安全网关旁路部署在网络内部，通过设置用户级别、权限来屏蔽非授权用户的访问。访问内部网络资源的移动、项目用户先到SSL VPN上进行认证，根据认证结果分配相应权限，实现对内部资源的访问控制。

2.边界安全解决方案

在系统互联网出口部署防火墙（集成防病毒和网络安全监控模块）和IPS设备，同时通过防火墙和IPS将企业内部网、数据中心、互联网等安全区域分隔开，并通过制定相应的安全规则，以实现各区域不同级别、不同层次的安全防护。边界防护建立以防火墙为核心，邮件、WEB网关设备、IDS及IPS等设备为辅的边界防护体系。

（1）通过防火墙在网络边界建立网络通信监控系统，监测、限制、更改跨越防火墙的数据流以及对外屏蔽网络内部的信息、结构和运行状况，控制非法访问、增强网络信息保密性、记录和统计网络数据并对非法入侵报警提示等，达到保障计算机网络安全的目的。

（2）在防火墙上开启防病毒模块，可以在网关处阻止病毒、木马等威胁的传播，保护网络内部用户免受侵害，改变了原有被动等待病毒感染的防御模式，实现网络病毒的主动防御，切断病毒在网络边界传递的通道。

（3）以入侵防御系统IPS应用层安全设备，作为防火墙的重要补充，很好的解决了应用层防御安全威胁，通过在线部署，IPS可以检测并直接阻断恶意流量。

（4）将上网行为管理设备置于核心交换机与防火墙之间。通过对在线用户状态、Web访问内容、外发信息、网络应用、带宽占用情况等进行实时监控，在上网行为管理设备上设置不同的策略，阻挡P2P应用，释放网络带宽，有效地解决了内部网络与互联网之间的安全使用和管理问题。

3.内网安全解决方案

内网安全是网络安全建设的重点，由于内网节点数量多、分布复杂、终端用户安全应用水平参差不齐等原因，也是安全建设的难点。

（1）主要利用构建虚拟局域网VLAN技术来实现对内部子网的物理隔离。通过在交换机上划分VLAN可以将整个网络划分为几个不同的广播域，将信任网段与不信任网段划分在不同的VLAN段内，实现内部一个网段与另一个网段的物理隔离，防止影响一个网段的安全事故透过整个网络传播，限制局部网络安全问题对全局网络造成的影响。

（2）建立企业门户系统，用户的访问控制部署统一的用户认证服务，实现单点登录功能，统一存储所有应用系统的用户认证信息，而授权等操作则由各应用系统完成，即统一存储、分布授权。

（3）系统软件部署安全、漏洞更新，定期对系统进行安全更新、漏洞扫描，自动更新Windows操作系统和Office、Exchange Server以及SQL Server等安全、漏洞补丁。安装网络版的防病毒软件，定期更新最新病毒定义文件，制定统一的策略，客户端定期从病毒服务器下载安装新的病毒定义文件，有效减少了病毒的影响；配置邮件安全网关系统，为邮件用户提供屏蔽垃圾邮件、查杀电子邮件病毒和实现邮件内容过滤等功能，有效地从网络层到应用层保护邮件服务器不受各种形式的网络攻击。

4.数据中心安全解决方案

作为数据交换最频繁、资源最密集的地方，数据中心出现任何安全防护上的疏漏必将导致不可估量的损失，因此数据中心安全解决方案十分重要。

（1）构建网络链接从链路层到应用层的多层防御体系。由交换机提供数据链路层的攻击防御。数据中心网络边界安全定位在传输层与网络层的安全上，通过防火墙可以把安全信任网络和非安全网络进行隔离，并提供对DDoS和多种畸形报文攻击的防御。IPS可以针对应用流量做深度分析与检测能力，即可以有效检测并实时阻断隐藏在海量网络流量中的病毒、攻击与滥用行为，也可以对分布在网络中的各种流量进行有效管理，从而达到对网络应用层的保护。

（2）建立数据备份和异地容灾方案，建立了完善的数据备份体系，保证数据崩溃时能够实现数据的完全恢复。同时在异地建立一个备份站点，通过网络以异步的方式，把主站点的数据备份到备份站点，利用地理上的分离来保证系统和数据对灾难性事件的抵御能力。

5.安全信息管理与培训

（1）网络管理是计算机网络安全重要组成部分，在组织架构上，应采用虚拟团队的模式，成立了相关信息安全管理小组。从决策、监督和具体执行三个层面为网络信息安全工作提供保障。建立规范严谨的管理制度，制定相应的规范、配套制度能保证规范执行到位，保障了网络信息安全工作的“有章可循，有据可查”。主要涉及：安全策略管理、业务流程管理、应用软件开发管理、操作系统管理、网络安全管理、应急备份措施、运行流程管理、场所管理、安全法律法规的执行等。

（2）人员素质的高低对信息安全方面至关重要；提高人员素质的前提就是加强培训，特别加强是对专业信息人员的培训工作。

四、结束语

该企业信息与网络安全体系建设以技术、管理的安全理念为核心，从组织架构的建设、安全制度的制定、先进安全技术的应用三个层面，构建一个多层次、全方位网络防护体系。在统一的安全策略基础上，利用安全产品间的分工协作，并针对局部关键问题点进行安全部署，使整个网络变被动防御为主动防御、变单点防御为全面防御、变分散管理为集中管理，达到提升网络对安全威胁的整体防御能力。

参考文献

篇9

1信息安全总体设计及实践

1.1网络安全要求及问题

1.1.1信息安全的最终实现目标为应对市场竞争，提高企业生产经营效率，满足企业信息化建设的需要，汽车制造业应借鉴国内先进的信息技术和安全管理经验，建立一套企业信息化办公网络，并逐步加强网络传输的安全建设，和网络安全管理手段。以保障企业信息化的稳定运行。2.1.2系统和应用的脆弱性企业信息化办公网络建成后为企业经营和管理带来了极大的便利，生产经营效率明显提高。但同时引发了很多的技术问题：跨省专线费用太高，且链路发生故障之后的报修、排故、恢复程序极其繁杂，严重影响效率；无法满足移动办公的需求，无法满足上下游供应商的使用需求；与互联网连接时常受到攻击导致业务中断；内部人员未经授权许可访问互联网导致病毒攻击内部办公网等等。

1.1.3常见网络风险通过系统的网络安全技术学习，汽车制造业信息化人员应掌握企业网络信息化建设过程中大量常见的网络风险和防范手段：Backdo（各种后门和远程控制软件，例如BO、Netbus等）、BruteFce（各种浏览器相关的弱点，例如自动执行移动代码等）、CGI-BIN（各种CGI-BIN相关的弱点，例如PHF、wwwboard等）、Daemons（服务器中各种监守程序产生弱点，例如amd,nntp等）、DCOM（微软公司DCOM控件产生的相关弱点）、DNS（DNS服务相关弱点，例如BIND8.2远程溢出弱点）、E-mail（各种邮件服务器、客户端相关的安全弱点，例如Qpopper的远程溢出弱点）、Firewalls（各种防火墙及其产生的安全弱点，例如GauntletFirewallCyberPatrol内容检查弱点）、FTP（各种FTP服务器和客户端相关程序或配置弱点，例如WuFTPDsiteexec弱点）、InfmationGathering（各种由于协议或配置不当造成信息泄露弱点，例如finger或rstat的输出）、InstantMessaging（当前各种即时消息传递工具相关弱点，例如OICQ、IRC、Yahoomessager等相关弱点）、LDAP（LDAP服务相关的安全弱点）、Netwk（网络层协议处理不当引发的安全弱点，例如LAND攻击弱点）、NetwkSniffers（各种窃听器相关的安全弱点，例如NetXRay访问控制弱点）、NFS（NFS服务相关的安全弱点，例如NFS信任关系弱点）、NIS（NIS服务相关的安全弱点，例如知道NIS域名后可以猜测口令弱点）、NTRelated（微软公司NT操作系统相关安全弱点）、ProtocolSpoofing（协议中存在的安全弱点，例如TCP序列号猜测弱点）、Router/Switch（各种路由器、交换机等网络设备中存在的安全弱点，例如CiscoIOS10.3存在拒绝服务攻击弱点）、RPC（RPC（SUN公司远程过程调用）服务相关的弱点，例如rpc.ttdbserver远程缓冲区溢出弱点）、Shares（文件共享服务相关的安全弱点，BIOS/Samba等相关弱点，例如Samba缓冲区溢出弱点）、SNMP（SNMP协议相关的安全弱点，例如利用“public”进行SNMP_SET操作）、UDP（UDP协议相关弱点，例如允许端口扫描等）、WebScan（Web服务器相关安全弱点，例如IISASPdot弱点）、XWindows（X服务相关安全弱点）、Management（安全管理类漏洞）等。

1.2网络安全加固及应用拓展改造

针对上述网络风险，汽车制造业应加强自身的网络安全建设，强化网络安全管理。重点进行了四个方面的技术改造：防火墙（VPN）、上网行为管理、入侵防御及桌面管理系统。

1.2.1访问控制——防火墙部署防火墙之后，内部办公网络的IP地址与MAC地址捆绑，授权上网用户实名制管理，根据工作需要申请和审批上网时间和访问权限。内部VLAN划分，把不同部门用VLAN划分为不同的域以区分管理。重要数据库服务器和存储设备与办公网隔离。严格管理和控制内外网对数据库的访问。

1.2.2远程用户加密访问——VPN为保障企业运营效率，根据不同的工作人员分配不同的权限，可以在出差途中或家中处理紧急公务。并细化配置其VPN功能对企业内网的访问权限，可以实现工作需要，保障企业内部流程效率

1.2.3内网用户网络行为监控——上网行为管理系统通过对进程的审计可以了解到当前服务器的运行情况以及客户端的使用情况，对非法的行为可以限制非法进程（包括病毒进程、聊天软件进程等）的运行，非法软件的安全，随意的修改IP地址而导致的IP冲突等；内网用户的网络行为监控，可以极大程度地避免企业内网的安全风险。

1.2.4外网攻击的防护措施——入侵防御与防病毒采用入侵防御系统，具备7层检索比对入侵防御设备需要的高速芯片，同时具备硬件BYPASS功能和自动报警功能，当设备自身出现故障时不能中断网络运行，最大限度地避免单点故障对网络稳定运行的风险。

1.2.5桌面端管理通过桌面端管理套件核心服务器管理全网所有客户端。所有的管理数据统一保存在核心服务器后台的数据库中。通过角色管理可以使用管理套件控制台直接查看AD架构，而无需在管理套件中复制AD角色。同时可以分配管理套件权限给AD组或OU(ganizationunits)，在分配权限时支持继承的概念。

2结论

篇10

【关键词】交换机；路由器；网络；安全

企业网络面临的安全威胁不但来自病毒和木马，而且还有内部网络数据被盗、操作系统和软件自身存在一些漏洞所造成的危害等，这就需要采取一定的技术措施来防范。

网络互联设备一般可分为网内互联设备和网间互联设备，为了构建安全的企业互联网络，设备的管理和配置非常重要。从网络管理和安全方面来说，交换机和路由器起着非常重要的地位，它们是企业网络中的核心设备，一些攻击例如：利用路由器软件版本的漏洞进行攻击，非法用户伪装企业用户修改路由信息等，以使机密泄露或导致路由器瘫痪而不能正常运行。为了保障企业网络的安全，防止攻击者入侵，导致网络瘫痪，必须对网络设备进行安全管理。

1．概述

传统的网络安全技术侧重于系统入侵检测，反病毒软件或防火墙。在网络安全构造中，交换机和路由器是非常重要的，在七层网络中每一层都必须是安全的。很多交换机和路由器都有丰富的安全功能，要了解有些什么，如何工作，如何部署，一层有问题时不会影响整个网络。交换机和路由器被设计成缺省安全的，出厂时就处于安全设置的状态，特别操作的设置在用户要求时才会被激活，所有其他选项都是关闭的，以减少危险。

1.1密码设置

在初始登录路由器及交换机时会被强制要求更改密码，也有密码的期限选项及登录尝试的次数限制，而且以加密方式存储。交换机及路由器在掉电，热启动、冷启动，升级IOS、硬件或一个模块失败的情况下都必须是安全的，而且在这些事件发生后应该不会危及安全并恢复运作，因为日志的原因，网络设备应该通过网络时间协议保持安全精确的时间。

1.2抵挡DoS攻击

从可用性出发，交换机和路由器需要能抵挡拒绝服务式Dos攻击，并在攻击期间保持可用性。理想状态是他们在受到攻击时应该能够做出反应，屏蔽攻击IP及端口。每件事件都会立即反应并记录在日志中，同时他们也能识别并对蠕虫攻击做出反应。

1.3漏洞管理

交换机及路由器中使用FTP，HTTP，TELNET或SSH都有可以有代码漏洞，在漏洞被发现报告后，应该及时安装升级包或补丁。

1.4权限管理

基于角色的管理给予管理员最低程度的许可来完成任务，允许分派任务，提供检查及平衡，只有受信任的连接才能管理它们。管理权限可赋予设备或其他主机，例如管理权限可授予一定IP地址及特定的TCP/UDP端口。

控制管理权限的最好办法是在授权进入前分权限，可以通过认证和帐户服务器，例如远程接入服务，终端服务，或LDAP服务。

1.5远程连接的加密

在有些情况下，管理员需要远程管理交换机及路由器。为了保证管理传输的安全，需要加密协议，SSH是所有远程命令行设置和文件传输的标准协，基于WEB的则使用SSL或TLS协议，LDAP通常是通讯的协议，而SSL/TLS则用于加密此通讯。

1.6网络管理协议

SNMP用来发现、监控、配置网络设备，SNMP3是足够安全的版本，可以保证授权的通信。

2.常用网络安全方法

(1)网络服务器及交换机和路由器口令设置应该采用没有意义的数字、字母和特殊符号的组合，长度应该大于9位，以减少使用暴力破解或密码字典破解密码口令的可行行。

(2)建立登录控制可以减轻受攻击的可能性，设定尝试登录的次数，在遇到这种扫描时能做出反应。详细的日志在发现尝试破解密码及端口扫描时是非常有效的。

(3)交换机及路由器的配置文件的安全也是不容忽视的，通常配置文件应该保存在安全的位置，有些交换机结合了入侵检测的功能，一些通过端口映射支持，允许管理员选择监控端口。

(4)虚拟网络的角色：通常，只有通过划分子网才可以隔离广播，但是VLAN的出现打破了这个定律。VLAN叫做虚拟局域网，它的作用就是将物理上互连的网络在逻辑上划分为多个互不相干的网络，这些网络之间是无法通讯的，就好像互相之间没有连接一样，因此广播也就隔离开了。

VLAN的实现原理非常简单，通过交换机的控制，某一VLAN成员发出的数据包交换机只发个同一VLAN的其它成员，而不会发给该VLAN成员以外的计算机。

使用VLAN的目的不仅仅是隔离广播，还有安全和管理等方面的应用，例如将重要部门与其它部门通过VLAN隔离，即使同在一个网络也可以保证他们不能互相通讯，确保重要部门的数据安全；也可以按照不同的部门、人员，位置划分VLAN，分别赋给不同的权限来进行管理。

VLAN的划分有很多种，可以按照IP地址来划分，按照端口来划分、按照MAC地址划分或者按照协议来划分，常用的划分方法是将端口和IP地址结合来划分VLAN，某几个端口为一个VLAN，并为该VLAN配置IP地址，那么该VLAN中的计算机就以这个地址为网关，其它VLAN则不能与该VLAN处于同一子网。

不同VLAN中的计算机之间进行通讯，可以通过VLAN Trunk来解决。VLAN Trunk目前有两种标准，ISL和802.1q，前者是Cisco专有技术，后者则是IEEE的国际标准。

(5)安装防火墙。防火墙可以控制网络之间的访问，最广泛应用的是嵌在传统路由器和多层交换机上的。防火墙的不同主要在于他们扫描包的深度，是端到端的直接通讯还是通过，是否有session。

3.结束语

现在的网络要求设计成各层次都是安全的，通过部署交换机和路由器的安全设置，可以使用安全技术创建起强壮、各层都安全的系统。网络安全是一项巨大的系统工程，其涉及的领域很广泛。基于路由器和交换机的安全只是其中一项，但只要合理有效地配置好设备，就可以有效、安全、方便地保护我们的内部网络，加强网络安全。网络安全控制与病毒防范是一项长期而艰巨的任务，需要不断的探索。随着网络的发展计算机病毒形式日趋多样化，网络安全问题日益复杂化，网络安全建设不再像单台计算机安全防护那样简单。计算机网络安全需要建立多层次的，立体的防护体系，要具备完善的管理系统来设置和维护对安全的防护策略。■

【参考文献】

［1］麦奎里，李祥瑞，张明，等.Cisco网络设备互连(第2版)[M].北京：人民邮电出版社出版社，2010.

［2］王群.计算机网络安全管理[M].北京：人民邮电出版社出版社，2010.

［3］宗明耀.企业网络组建维护运营技术与网络安全控制措施及故障诊断排除实用全书[M].北京：中国企业管理出版社，2007.

［4］顾巧论，高铁杠，贾春福.计算机网络安全[M].北京：清华大学出版社，2008.