网络安全体系解决方案范文

导语：如何才能写好一篇网络安全体系解决方案，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。

篇1

关键词：电子政务；信息安全； OA ERP

1.背景

随着电子政府的飞速发展，在带来办公便利的同事，也使政务信息面临前所未有的网络信息安全的威胁。电子政务系统一旦发生信息被窃取，网络瘫痪，将瘫痪政府职能的履行，对政府职能部门以及社会公众产生严重的危害。

2.系统安全现状

根据省电子政务内外网的建设目标和建设原则，充分利用现有网络资源，充分整合市政府原有的办公资源网，公务外网， 将原办公系统整合到统一的办公业务资源平台上。将办公业务资源网与公务外网、互联网实施物理隔离，公务外网与国际互联网实施逻辑隔离。

电子政务的网络平台，承载多个业务单位系统数据传输，核心交换区应具有良好的安全可控性，实现各业务网络的安全控制。由于安全防护为整个网络提供NET、防火墙、VPN、IDS、上网行为管理、防病毒、防垃圾邮件等功能，因此，政府建立办公业务资源网的工程虽是非涉密网，但安全保密仍然是工程建设的重点内容。存在的问题如下图：

图2.1

(1)缺乏统一的访问控制平台，各系统分别管理所属的系统资源，随着用户数增加，权限管理愈发复杂，系统安全难以得到充分保障；

(2)缺乏集中统一的访问审计，无法进行综合分析，因此不能及时发现入侵行为；

(3)缺乏统一的权限管理，各应用系统有一套独立的授权管理，随着用户数据量的增多，角色定义的日益复杂，用户授权的任务越来越重;

(4)缺乏统一内部安全规范。为了保证生产、办公系统的稳定运行，总部及各部门制定了大量的安全管理规定，这些管理规定的执行和落实与标准的制定初衷存在一定距离。

3.网络与信息安全平台设计方案

3.1设计思路

信息保障强调信息系统整个生命周期的防御和恢复，同时安全问题的出现和解决方案也超越了纯技术范畴。由此形成了包括预警、保护、检测、反应和恢复五个环节的信息保障概念，即信息保障的WPDRR模型。

3.2 安全体系设计方案

综合安全体系结构主要考虑安全对象和安全机制，安全对象主要有网络安全、系统安全、数据库安全、信息安全、设备安全、信息介质安全和计算机病毒防治等。目前，政府网络中心安全设计主要包括：信息安全基础设施和网络安全防护体系的建设。

3.3.1信息安全基础设施设计方案

信息安全基础设施总体设计方案架构如下图：

图3.1 信息安全基础设施设计方案

基于PKI/PMI的信任体系和授权体系提供了基本PKI数字证书认证机制的试题身份鉴别服务，建立全系统范围一致的新人基准，为整个政府信息化提供支撑。

网络病毒防治服务体系采取单机防病毒和网络防病毒两类相结合的形式来实施。网络防病毒用来检测网络各节点病毒入侵情况，保护网络操作系统不受病毒破坏。作为网络防病毒的补充，在终端部署单机反病毒软件，实现动态防御与静态杀毒相结合，有效防止病毒入侵。

边界访问采取防火墙和网闸来实施。网闸可以切断网络之间的通用协议连接；将数据包进行分解或重组为静态数据；对静态数据进行安全审查，包括网络协议检查和代码扫描等；确认后的安全数据流入内部单元；内部用户通过严格的身份认证机制获取所需数据。可以根据需求采取不同的方案。

3.3.2网络安全防护体系设计方案

图3.2 网络安全防护体系设计方案

由于网络是承载各种应用系统的载体，因而网络系统的安全是十分重要的，必须从访问控制、入侵检测、安全扫描、安全审计、VPN等方面来进行网络安全设计。

在应用层，根据网络的业务和服务，采用身份认证技术、防病毒技术、网站监控与恢复系统以及对各种应用服务的安全性增强配置服务来保障网络系统在应用层的安全。

在应用系统的开发过程中，要充分考虑到系统安全，采用先进的身份认证和加密技术，为整个系统提供一套完整的安全身份认证机制，以确保每个用户在合法的授权范围内对系统进行相应的操作。

3.3.3 灾难备份系统设计方案

灾难备份是为在生产中心现场整体发生瘫痪故障时，备份中心以适当方式接管工作，从而保证业务连续性的一种解决方案。

备份中心具备与主中心相似的网络环境，例如光纤，E3/T3，ATM，确保数据的实时备份；具备日常维护条件；与主中心相距足够安全的距离。

当灾难情况发生，可以立即在备份中心的备份服务器上重新启动主中心应用系统，依靠实时备份数据恢复主中心业务。

4.网络架构

针对办公业务资源网和公务外网既要相互隔离又有数据交互的特点，在两网之间部署网闸；为了分别保证两网的安全，在核心交换区分别进行防火墙的部署，在核心交换区和应用服务器区分别部署IDS；建立智能安全管理中心，在办公业务资源、公务外网部署流量检测系统，于公务外网设置流量清洗系统，抗DDOS攻击。在系统安全方面部署防病毒系统，另外公务外网部署了Web应用防火墙、网页防篡改系统。通过安全集成在办公业务资源、公务外网各部署一套网络管理平台系统和安全管理平台系统。为防止外来终端接入对内部网络安全的影响，将引入终端准入产品。

5.电子政务公务外网安全设计总结

综上所述，根据市政府网络中心功能需求，我们在网络中心建立入侵监测系统、防火墙系统、防病毒系统、内网管理系统。在通过一系列技术手段对电子政务网络防护的同事，加强了安全管理手段。实现技术和行政双重方式来维护整个系统的安全，在通过对网络使用人员、管理人员进行信息安全知识培训，有效的发挥了网络安全防护效果，达到了放牧目的。

参考文献：

[1]龚俭.计算机网络安全导论[M].东南大学出版社.     

[2]闫宏生,等.计算机网络安全与防护[M].电子工业出版社.

篇2

* 从时间来看，网络安全设计及解决方案往往只考虑事前防范，缺乏必要的事后追踪及审计能力，时间层面上并没有端到端考虑;

* 从空间来看，往往侧重于考虑对来自外网的黑客防御，对于内部的安全控制缺乏必要手段，空间层面没有端到端考虑;

* 从网路层面来看，往往侧重于业务层的安全，对网络层和用户层的安全缺乏必要关注。

IP信息网全面安全防护要求

从完整的安全角度来看，安全的威胁包括基础网络资源本身以及承载的数据两个方面，而对安全的保障也应该是一个从发送端到接收端的完整的端到端的安全防护模型

华为“i3安全”体系架构

面对当前日益复杂的网络环境，作为“全业务和可管理网路”的倡导者、实践者和领先者，华为公司以其长期的网络实践，先进的网络理念认为在当前日益复杂的网络环境下，需要对传统的狭义网络安全理念进行重大变革，基于对当前网络发展需求的研究，开拓性地提出“i3安全”解决方案，即时间、空间、网络层次三个纬度端到端集成安全体系架构，给产业界和用户一个完整清晰的网络安全导航图。

华为i3 安全 三维度端到端集成安全体系架构:

* i－intelligence（智能），integrated（集成），individuality（个性化）;

* 3－时间、空间及网络层次三个维度的端到端（ End to End）;

* 安全－所有IP信息网络的安全架构。

网络层次端到端安全理念

* 网络层:保障网络路由，网络地址等基础网络的安全

* 用户接入层:确保合法的用户接入，访问合法的网络范围，并保障用户信息的隔离等用户接入网络的安全

* 业务层:保证用户访问内容的合法性与安全性。

华为的“i3安全” 集成安全架构针对传统网络在用户层防范比较薄弱的缺陷，采取了大量的增强措施，如用户接入认证、地址防盗用、访问控制等能力。

华为“i3安全”解决方案

针对安全的不同方面华为提出了相应的解决方案，并将这些解决方案与网络各层次设备进行有机的融合，从而为用户提供全面的端到端的集成安全服务。作为华为完整的安全体系，其网络层次、时间、空间三个纬度是融合在一起密不可分的，并且体现在各层次的网络设备中。华为路由器、以太网交换机、WLAN、EAS以太网接入服务器及Eudemon安全网关等基础网络设备提供全面的集成安全特性，并提供iTellin CAMS安全策略服务系统。

篇3

锐捷网络基于多年行业网络规划和建设的经验,以及在网络准入安全方面深入的研究和成熟的应用,应对现有的行业网络安全的挑战,推出了GSN全局安全网络解决方案,采用用户身份管理体系、端点安全防护体系和网络通信防护体系三道防线的构筑,实现了网络安全的战略纵深,确保了企业的网络安全。

为了实现传统网络设备与专业安全系统的统一联动,锐捷网络GSN全局安全解决方案融合软硬件于一体,通过软件与硬件的联动、计算机领域与网络领域的结合,帮助用户实现全局安全。

GSN是一套由软件和硬件联动的解决方案,它由后台的管理系统、网络接入设备、入侵检测设备以及安全客户端共同构成。

第一道防线――

用户身份管理体系

用户身份认证体系是GSN的第一道防线,也是整个方案的基础防线,利用针对每个入网用户的网络准入权限控制,捍卫整个网络安全体系。

GSN采用了基于802.1X协议和Radius协议的身份验证体系,通过与安全智能交换机的联动,实现对用户访问网络的身份的控制。

通过严格的多元素(IP、MAC、硬盘ID、认证交换机IP、认证交换机端口、用户名、密码、数字证书)绑定措施,确保接入用户身份的合法性。

在办公区存在不同的业务终端PC,需要区分其访问权限的情况下,GSN可以依照用户身份,限制不同用户的访问权限,让用户在接入网络后,只能访问自己权限之内的服务器,网络区域等。

第二道防线――

端点安全管理体系

端点安全管理体系是GSN的第二道防线,用于加强第一道防线的管理的精细度,应用于入网的各个客户端PC机,针对现有的客户端PC机管理的常见问题,提供有效的管理功能。

非法外联将会严重影响企业网络的完整性,给信息安全造成重大隐患。GSN通过锐捷安全认证客户端与SMP系统的Syslog组件联动,进行对内网客户端PC连接互联网行为的日志记录,将用户的用户名、IP地址、MAC地址,用户客户端PC的硬盘序列号等多项内容全部记录下来,可以精确地定位到是哪个用户、哪个客户端PC在进行互联网的访问,让用户无法抵赖非法外连行为。

针对常见的采用Modem进行拨号外联上网的方式,GSN解决方案提供了相应的监控和处理功能。用户在进行拨号操作时,GSN会将其内网连接断开,并向用户提出警告,同时也会干预用户的拨号过程,使拨号失败。

运行服务器方式较为隐蔽,不容易被发现和定位。GSN通过对PC客户端运行进程的检查,能够立即定位服务器进程,对用户进行警告并采取断网等相关措施。

软件黑白名单控制要求客户端PC必备的软件如防病毒软件,以及不允许安装的软件如游戏软件等,其管理措施可以通过GSN的软件黑白名单控制功能实现。GSN的黑白名单功能可提供基于多个层面的检测和控制。

通过对软件安装情况、进程运行情况、注册表修改情况以及后台服务运行情况的监控,可以对软件的安装和使用情况有一个详细的了解。

同时,可依照企业的相关规定进行处理。例如禁止运行聊天软件,就可以对聊天软件进行检测,如果检测到聊天软件,则对用户进行提醒或者处理,如禁止其上网,直到客户端PC卸载或关闭聊天软件等。

操作系统补丁/软件强制更新。不安装补丁的操作系统很可能成为网络安全的漏洞,而未及时安装补丁的软件也可能成为别有用心的人发动攻击的一个平台。

由于安全问题的不断涌现,防病毒软件的杀毒引擎和病毒库的及时更新就显得十分重要。

而不定期的重要应用软件的补丁,也会对业务系统乃至整个网络的正常运行起到关键的作用。如SQL Server软件不安装Service-Pack的情况下,很可能招致严重的蠕虫病毒攻击。

针对防病毒软件和其他重要业务软件的更新,GSN系统采用基于软件黑白名单机制和客户端PC修复、隔离机制共同实现。

目前GSN针对业界主流的十多种防病毒软件进行联动检测,支持对防病毒软件的安装/运行状态、病毒库版本和引擎版本信息进行检测。

针对统一的重要软件更新包下发,可采用GSN的服务器主动推送的方式进行。此措施可针对所有或某一组、某一个在线的客户端PC进行,统一下发更新包。而离线的客户端PC将在上线之后收到更新包。可要求客户端PC必须打上指定补丁后才能够入网。

第三道防线――

网络通信防护体系

网络通信防护体系是针对前两道防线的重要补充,一旦出现无法通过端点安全体系进行有效处理的安全事件时,基于网络安全探针――IDS提供的事件监控,对网络安全进行保证,有效帮助用户实现“无人值守”的全局安全网络。

ARP欺骗的防护。面对在等行业的局域网络中时常出现的ARP欺骗,GSN能够通过三层网关设备、安全智能交换机以及客户端Su软件的联动,实现对ARP欺骗的三重立体防御。

采用锐捷网络的可信任ARP(Trusted ARP)专利技术,实现三层网关设备和客户端PC之间的联动的可信任的ARP关系,从而保证了用户与网关通信的正常。

在安全智能交换机上结合用户认证信息,则能够实现基于端口的ARP报文合法性检查,基于深度检测的硬件访问控制列表,将所有ARP欺骗报文全部过滤,从而彻底阻止ARP欺骗的发生。

联动的网络安全事件处理

入侵检测系统IDS可以监控网络中流量的情况,并针对异常的流量发起预警。IDS汇报上来的信息包含源、目的IP,但这些信息对网络管理人员处理安全事件来说,并没有太大的意义。

因为处理网络安全事件一定要追根溯源,定位到机器甚至定位到人,方能彻底解决,仅仅提供IP地址是不够的。GSN体系中的安全事件联动解决了这个问题。

IDS作为网络通信的探针,对网络的流量进行旁路监听,并随时向安全策略平台SMP上报发生的安全事件,解析IDS上报的安全事件,并通过GSN体系中每个用户的信息来将安全事件定位到人,并根据IDS与GSN共享的事件库,对安全事件给出建议的处理方法,或者通过预先定制好的策略来对安全事件进行自动的处理,这就解决了在IDS检测到安全事件后,难处理的问题。

通过RG-SMP安全管理平台、RG-IDS入侵检测设备、安全智能交换机和Su客户端的联动,实现了对网络安全事件的检测、分析、处理一条龙服务。基于严格的身份验证,可以方便地将网络安全事件定位到人,并自动通知和处理。

GSN针对安全事件的处理方式可以定制,管理员可在综合评估网内安全形势的情况下,对不同等级的安全事件做出不同程度的处理。

篇4

关键词信息安全；PKI；CA；VPN

1引言

随着计算机网络的出现和互联网的飞速发展，企业基于网络的计算机应用也在迅速增加，基于网络信息系统给企业的经营管理带来了更大的经济效益，但随之而来的安全问题也在困扰着用户，在2003年后，木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。

随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场，企业就面临着如何提高自身核心竞争力的问题，而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等，又时刻在制约着自己，企业采用PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。

在下面的描述中，以某公司为例进行说明。

2信息系统现状2.1信息化整体状况

1)计算机网络

某公司现有计算机500余台，通过内部网相互连接，根据公司统一规划，通过防火墙与外网互联。在内部网络中，各计算机在同一网段，通过交换机连接。

图1

2)应用系统

经过多年的积累，某公司的计算机应用已基本覆盖了经营管理的各个环节，包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善，计算机应用也由数据分散的应用模式转变为数据日益集中的模式。

2.2信息安全现状

为保障计算机网络的安全，某公司实施了计算机网络安全项目，基于当时对信息安全的认识和安全产品的状况，信息安全的主要内容是网络安全，部署了防火墙、防病毒服务器等网络安全产品，极大地提升了公司计算机网络的安全性，这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。

3风险与需求分析3.1风险分析

通过对我们信息系统现状的分析，可得出如下结论：

(1)经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。

(2)计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心，因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份，并运用技术手段，提高数据的机密性、完整性和可用性。

通过对现有的信息安全体系的分析，也可以看出：随着计算机技术的发展、安全威胁种类的增加，某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷，具体表现在：

(1)系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。

目前实施的安全方案是基于当时的认识进行的，主要工作集中于网络安全，对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证，对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺乏整体方案和制度规范，容易造成重要数据的丢失和泄露。

当时的网络安全的基本是一种外部网络安全的概念，是基于这样一种信任模型的，即网络内部的用户都是可信的。在这种信任模型下，假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部，并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。

针对外部网络安全，人们提出了内部网络安全的概念，它基于这样一种信任模型：所有的用户都是不可信的。在这种信任模型中，假设所有用户都可能对信息安全造成威胁，并且可以各种更加方便的手段对信息安全造成威胁，比如内部人员可以直接对重要的服务器进行操控从而破坏信息，或者从内部网络访问服务器，下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。

美国联邦调查局(FBI)和计算机安全机构(CSI)等权威机构的研究也证明了这一点：超过80%的信息安全隐患是来自组织内部，这些隐患直接导致了信息被内部人员所窃取和破坏。

信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有选用有关的安全服务。不能充分发挥安全产品的效能。

(2)原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的网络安全隐患，产品亟待升级。

已购买的网络安全产品中，有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性，拟对系统的互联网出口进行严格限制，原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求，现有的防火墙不具备这些功能。

网络信息系统的安全建设建立在风险评估的基础上，这是信息化建设的内在要求，系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期，在规划的过程中，就运用风险评估、风险管理的手段，用户才可以避免重复建设和投资的浪费。

3.2需求分析

如前所述，某公司信息系统存在较大的风险，信息安全的需求主要体现在如下几点：

(1)某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。

(2)网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。

(3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行。

(4)信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是某公司面临的重要课题。

4设计原则

安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行，避免重复投入、重复建设，充分考虑整体和局部的利益。

4.1标准化原则

本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定，使安全技术体系的建设达到标准化、规范化的要求，为拓展、升级和集中统一打好基础。

4.2系统化原则

信息安全是一个复杂的系统工程，从信息系统的各层次、安全防范的各阶段全面地进行考虑，既注重技术的实现，又要加大管理的力度，以形成系统化的解决方案。

4.3规避风险原则

安全技术体系的建设涉及网络、系统、应用等方方面面，任何改造、添加甚至移动，都可能影响现有网络的畅通或在用系统的连续、稳定运行，这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题，在规划与应用系统衔接的基础安全措施时，优先保证透明化，从提供通用安全基础服务的要求出发，设计并实现安全系统与应用系统的平滑连接。

4.4保护投资原则

由于信息安全理论与技术发展的历史原因和自身的资金能力，某公司分期、分批建设了一些整体的或区域的安全技术系统，配置了相应的设施。因此，本方案依据保护信息安全投资效益的基本原则，在合理规划、建设新的安全子系统或投入新的安全设施的同时，对现有安全系统采取了完善、整合的办法，以使其纳入总体安全技术体系，发挥更好的效能，而不是排斥或抛弃。

4.5多重保护原则

任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。

4.6分步实施原则

由于某公司应用扩展范围广阔，随着网络规模的扩大及应用的增加，系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性，寻求安全、风险、开销的平衡，采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求，亦可节省费用开支。

5设计思路及安全产品的选择和部署

信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终，如图2所示。

图2网络与信息安全防范体系模型

信息安全又是相对的，需要在风险、安全和投入之间做出平衡，通过对某公司信息化和信息安全现状的分析，对现有的信息安全产品和解决方案的调查，通过与计算机专业公司接触，初步确定了本次安全项目的内容。通过本次安全项目的实施，基本建成较完整的信息安全防范体系。

5.1网络安全基础设施

证书认证系统无论是企业内部的信息网络还是外部的网络平台，都必须建立在一个安全可信的网络之上。目前，解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(PublicKeyInfrastructure，公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统，建立一个完善的网络安全认证平台，能够通过这个安全平台实现以下目标：

身份认证(Authentication)：确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。

数据的机密性(Confidentiality)：对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成。

数据的完整性(Integrity)：确保通信信息不被破坏(截断或篡改)，通过哈希函数和数字签名来完成。

不可抵赖性(Non-Repudiation)：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。

5.2边界防护和网络的隔离

VPN(VirtualPrivateNetwork)虚拟专用网，是将物理分布在不同地点的网络通过公用骨干网(如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。

通过安装部署VPN系统，可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接。

集成的防火墙功能模块采用了状态检测的包过滤技术，可以对多种网络对象进行有效地访问监控，为网络提供高效、稳定地安全保护。

集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。

5.3安全电子邮件

电子邮件是Internet上出现最早的应用之一。随着网络的快速发展，电子邮件的使用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点，电子邮件存在着很大的安全隐患。

目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME(SecureMultipurposeInternetMailExtensions)，它是从PEM(PrivacyEnhancedMail)和MIME(Internet邮件的附件标准)发展而来的。首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织(根证书)之间相互认证，整个信任关系基本是树状的。其次，S/MIME将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。

5.4桌面安全防护

对企业信息安全的威胁不仅来自企业网络外部，大量的安全威胁来自企业内部。很早之前安全界就有数据显示，近80%的网络安全事件，是来自于企业内部。同时，由于是内部人员所为，这样的安全犯罪往往目的明确，如针对企业机密和专利信息的窃取、财务欺骗等，因此，对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。

桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。

1)电子签章系统

利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术，可以无缝嵌入OFFICE系统，用户可以在编辑文档后对文档进行签章，或是打开文档时验证文档的完整性和查看文档的作者。

2)安全登录系统

安全登录系统提供了对系统和网络登录的身份认证。使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机，只需拔出智能密码钥匙，即可锁定计算机。

3)文件加密系统

文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法，从而保证了存储数据的安全性。

5.5身份认证

身份认证是指计算机及网络系统确认操作者身份的过程。基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。USBKey是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USBKey内置的密码算法实现对用户身份的认证。

基于PKI的USBKey的解决方案不仅可以提供身份认证的功能，还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系，从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。

6方案的组织与实施方式

网络与信息安全防范体系流程主要由三大部分组成：攻击前的防范、攻击过程中的防范和攻击后的应对。安全管理贯穿全流程如图3所示。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程，也为本方案的实施提供了借鉴。

图3

因此在本方案的组织和实施中，除了工程的实施外，还应重视以下各项工作：

(1)在初步进行风险分析基础上，方案实施方应进行进一步的风险评估，明确需求所在，务求有的放矢，确保技术方案的针对性和投资的回报。

(2)把应急响应和事故恢复作为技术方案的一部分，必要时可借助专业公司的安全服务，提高应对重大安全事件的能力。

(3)该方案投资大，覆盖范围广，根据实际情况，可采取分地区、分阶段实施的方式。

(4)在方案实施的同时，加强规章制度、技术规范的建设，使信息安全的日常工作进一步制度化、规范化。

7结论

本文以某公司为例，分析了网络安全现状，指出目前存在的风险，随后提出了一整套完整的解决方案，涵盖了各个方面，从技术手段的改进，到规章制度的完善；从单机系统的安全加固，到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署，为众多行业提供了网络安全解决手段。

也希望通过本方案的实施，可以建立较完善的信息安全体系，有效地防范信息系统来自各方面的攻击和威胁，把风险降到最低水平。

篇5

【关键词】网络安全；防火墙；VPN；VLAN

一、引言

随着电力施工企业信息化发展的不断深入，企业对信息系统的依赖程度越来越高，信息与网络安全直接影响到企业生产、经营及管理活动，甚至直接影响企业未来发展。企业网络规模的扩大、信息接入点增多、分布范围广，使信息接入点管控难度大。企业信息与网络安全面临各类威胁，笔者以构建某电力施工企业信息与网络安全体系为例，从信息安全管理、技术实施方面进行阐述与分析，建立一套比较完整信息化安全保障体系，保障业务应用的正常运行。

二、企业网络安全威胁问题分析

1.企业网络通信设备存的安全漏洞威胁，网络非法入侵者可以采用监听数据、嗅探数据、截取数据等方式收集信息，利用拒绝服务攻击、篡改数据信息等方式对合法用户进行攻击。

2.非法入侵用户对网络系统的知识结构非常清楚，包括企业外部人员、企业内部熟悉网络技术的工作人员，利用内部网络进行恶意操作。非法用户入侵企业内部网络主要采用非法授权访问对企业内部网络进行恶意操作，以达到窃取商业机密的目的；独占网络资源的方式，非业务数据流（如P2P文件传输与即时通讯等）消耗了大量带宽，轻则影响企业业务无法正常运作，重则致使企业IT系统瘫痪，对内部网络系统造成损坏。

3.恶意病毒程序和代码包括计算机病毒、蠕虫、间谍软件、逻辑复制炸弹和一系列未经授权的程序代码和软件系统。病毒感染可能造成网络通信阻塞、文件系统破坏，系统无法提供服务甚至重要数据丢失。病毒的传播非常迅速；蠕虫是通过计算机网络进行自我复制的恶意程序，泛滥时可以导致网络阻塞和瘫痪；间谍软件在用户不知情的情况下进行非法安装，并把截获的机密信息发送给第三者。

4.随着企业信息化平台、一体化系统投入运行，大量重要数据和机密信息都需要通过内部局域网和广域网来传输，信息被非法截取、篡改而造成数据混乱和信息错误的几率加大；当非法入侵者以不正当的手段获得系统授权后。可以对企业内部网络的信息资源执行非法操作，包括篡改数据信息、复制数据信息、植入恶意代码、删除重要信息等，甚至窃取用户的个人隐私信息，阻止合法用户的正常使用，造成破坏和损失。保护信息资源，保证信息的传递成为企业信息安全中重要的一环。

三、企业信息与网络安全策略

结合电力施工企业业务广范围大特点，提出一套侧重网络准入控制的信息安全解决方案，保障企业网络信息安全。

1.远程接入VPN安全解决方案

施工企业拥有多个项目部，地域范围广，项目部、出差人员安全访问企业信息系统是企业信息化的要求，确保网络连接间保密性是必要的。采用SSL VPN安全网关旁路部署在网络内部，通过设置用户级别、权限来屏蔽非授权用户的访问。访问内部网络资源的移动、项目用户先到SSL VPN上进行认证，根据认证结果分配相应权限，实现对内部资源的访问控制。

2.边界安全解决方案

在系统互联网出口部署防火墙（集成防病毒和网络安全监控模块）和IPS设备，同时通过防火墙和IPS将企业内部网、数据中心、互联网等安全区域分隔开，并通过制定相应的安全规则，以实现各区域不同级别、不同层次的安全防护。边界防护建立以防火墙为核心，邮件、WEB网关设备、IDS及IPS等设备为辅的边界防护体系。

（1）通过防火墙在网络边界建立网络通信监控系统，监测、限制、更改跨越防火墙的数据流以及对外屏蔽网络内部的信息、结构和运行状况，控制非法访问、增强网络信息保密性、记录和统计网络数据并对非法入侵报警提示等，达到保障计算机网络安全的目的。

（2）在防火墙上开启防病毒模块，可以在网关处阻止病毒、木马等威胁的传播，保护网络内部用户免受侵害，改变了原有被动等待病毒感染的防御模式，实现网络病毒的主动防御，切断病毒在网络边界传递的通道。

（3）以入侵防御系统IPS应用层安全设备，作为防火墙的重要补充，很好的解决了应用层防御安全威胁，通过在线部署，IPS可以检测并直接阻断恶意流量。

（4）将上网行为管理设备置于核心交换机与防火墙之间。通过对在线用户状态、Web访问内容、外发信息、网络应用、带宽占用情况等进行实时监控，在上网行为管理设备上设置不同的策略，阻挡P2P应用，释放网络带宽，有效地解决了内部网络与互联网之间的安全使用和管理问题。

3.内网安全解决方案

内网安全是网络安全建设的重点，由于内网节点数量多、分布复杂、终端用户安全应用水平参差不齐等原因，也是安全建设的难点。

（1）主要利用构建虚拟局域网VLAN技术来实现对内部子网的物理隔离。通过在交换机上划分VLAN可以将整个网络划分为几个不同的广播域，将信任网段与不信任网段划分在不同的VLAN段内，实现内部一个网段与另一个网段的物理隔离，防止影响一个网段的安全事故透过整个网络传播，限制局部网络安全问题对全局网络造成的影响。

（2）建立企业门户系统，用户的访问控制部署统一的用户认证服务，实现单点登录功能，统一存储所有应用系统的用户认证信息，而授权等操作则由各应用系统完成，即统一存储、分布授权。

（3）系统软件部署安全、漏洞更新，定期对系统进行安全更新、漏洞扫描，自动更新Windows操作系统和Office、Exchange Server以及SQL Server等安全、漏洞补丁。安装网络版的防病毒软件，定期更新最新病毒定义文件，制定统一的策略，客户端定期从病毒服务器下载安装新的病毒定义文件，有效减少了病毒的影响；配置邮件安全网关系统，为邮件用户提供屏蔽垃圾邮件、查杀电子邮件病毒和实现邮件内容过滤等功能，有效地从网络层到应用层保护邮件服务器不受各种形式的网络攻击。

4.数据中心安全解决方案

作为数据交换最频繁、资源最密集的地方，数据中心出现任何安全防护上的疏漏必将导致不可估量的损失，因此数据中心安全解决方案十分重要。

（1）构建网络链接从链路层到应用层的多层防御体系。由交换机提供数据链路层的攻击防御。数据中心网络边界安全定位在传输层与网络层的安全上，通过防火墙可以把安全信任网络和非安全网络进行隔离，并提供对DDoS和多种畸形报文攻击的防御。IPS可以针对应用流量做深度分析与检测能力，即可以有效检测并实时阻断隐藏在海量网络流量中的病毒、攻击与滥用行为，也可以对分布在网络中的各种流量进行有效管理，从而达到对网络应用层的保护。

（2）建立数据备份和异地容灾方案，建立了完善的数据备份体系，保证数据崩溃时能够实现数据的完全恢复。同时在异地建立一个备份站点，通过网络以异步的方式，把主站点的数据备份到备份站点，利用地理上的分离来保证系统和数据对灾难性事件的抵御能力。

5.安全信息管理与培训

（1）网络管理是计算机网络安全重要组成部分，在组织架构上，应采用虚拟团队的模式，成立了相关信息安全管理小组。从决策、监督和具体执行三个层面为网络信息安全工作提供保障。建立规范严谨的管理制度，制定相应的规范、配套制度能保证规范执行到位，保障了网络信息安全工作的“有章可循，有据可查”。主要涉及：安全策略管理、业务流程管理、应用软件开发管理、操作系统管理、网络安全管理、应急备份措施、运行流程管理、场所管理、安全法律法规的执行等。

（2）人员素质的高低对信息安全方面至关重要；提高人员素质的前提就是加强培训，特别加强是对专业信息人员的培训工作。

四、结束语

该企业信息与网络安全体系建设以技术、管理的安全理念为核心，从组织架构的建设、安全制度的制定、先进安全技术的应用三个层面，构建一个多层次、全方位网络防护体系。在统一的安全策略基础上，利用安全产品间的分工协作，并针对局部关键问题点进行安全部署，使整个网络变被动防御为主动防御、变单点防御为全面防御、变分散管理为集中管理，达到提升网络对安全威胁的整体防御能力。

参考文献

篇6

这家成立刚刚两年的公司再一次填补了我国在工业控制系统（下称“工控系统”）网络安全风险评估领域缺乏有效工具和方法的空白。

近年来，国内外发生的越来越多的工控网络安全事件，用惨重的经济损失和被危及的国家安全警示我们：工业控制网络安全正在成为网络空间对抗的主战场和反恐新战场。 匡恩网络总裁孙一桉说，预计匡恩网络在今年可以实现可信和自主控制，形成―个基于可信计算的安全体系。

随着“中国制造2025”和“互联网+”在各个领域的深度渗透和广泛推进，我们期待出现基于智能化、网络化的新的经济发展形态。而这个目标的实现，离不开自主可控的工控系统，离不开我国工控网络安全行业的健康快速发展和像匡恩网络这样专注于智能工业网络安全解决方案的高科技创新企业。

近日，就我国工控网络安全的行业现状和产业发展等相关问题，《中国经济周刊》记者专访了匡恩网络总裁孙一桉。

匡恩网络是工控安全行业最强的技术力量

《中国经济周刊》：在国内工控网络安全行业，匡恩网络是规模最大、实力最强的企业之一，匡恩网络在发展工控网络安全产业方面有哪些优势？

孙一桉：匡恩网络作为中国的工控安全民营企业，源于中国，扎根于中国，对中国工控网络安全行业有自己的见解和应对之道。

首先，匡恩网络汇聚了网络安全、工控系统等领域的优秀人才，是国内安全界普遍认可的工控网络安全领域技术实力最强、规模最大的一支技术力量。

其次，匡恩网络拥有完全自主知识产权的安全检测和防护技术，国际领先，填补国内空白，申请和取得了发明专利30余项和著作权30余项。

再就是，以“4+1”防护理念为指导思想，匡恩网络已完成3大系列、12条产品线，成为国内首家以全产品线和服务覆盖工控网络全业务领域的高技术创新公司;独创了从设备检测、安全服务到威胁管理、监测审计再到智能保护的全生命周期自主可控的解决方案。

“四个安全性”加“时间持续性”缺一不可

《中国经济周刊》：我们了解到，您提出了“4+1”工控网络安全防护理念，这一理念应该如何理解，对匡恩网络的产品研发有什么意义？

孙一桉：匡恩网络在实践探索中创新性地提出了“4+1”的立体化工控安全防护理念。

第一是结构安全性，包括网络结构的优化和防护类设备的部署;第二是本体安全性，主要关注工控系统中设备自身的安全性;第三是行为安全性，工控系统对行为的判断、处理原则和入侵容忍度与信息系统不同，要根据工控系统的行业特点，判断系统内部发起的行为是否具有安全隐患，系统外部发起的行为是否具有安全威胁，并采取相应的机制;第四是基因安全性，实现工控安全设备基础软硬件的自主可控、安全可信，并进一步将可信平台植入到工业控制设备上;最后是时间持续性，即安全的持续管理与运维，在持续的对抗中保障安全。 在“4・29首都网络安全日”博览会上，匡恩网络推出的部分保护类产品。

综上，四个安全性加时间持续性，就构成了我们的工控安全防护体系。

匡恩网络已实现全系列产品自主可控

《中国经济周刊》：工控网络安全领域的关键就是自主可控。匡恩网络在这方面是如何布局并逐步推进的？

孙一桉：匡恩网络是做工业控制网络安全的，行业涉及国家关键基础设施、制造、军队军工等重大领域，所以我们从一开始就在硬件和软件方面全部坚持自主研发，所有的解决方案都是自主开发，也申请了大量的专利和知识产权保护，目前已做到了全系列十几款产品的自主可控，是国内同类厂商中的佼佼者。下一步，我们将把自己开发的硬件、软件全部纳入可信计算体系。我们可以保证任何篡改、植入的系统都不能在我们的环境下运行。预计匡恩网络在今年可以实现可信和自主控制，形成一个基于可信计算的安全体系。

工控系统的特点是行业差异化大、投资大

《中国经济周刊》：许多业内人士表示，工控网络安全是一个很大的市场，也是将来能出现大公司的行业。关于这个市场，目前工控网络安全主要针对或服务的是哪些行业？

孙一桉： 工控网络安全的市场应从三个层次去看。

第一，工控网络安全本身。我国制造业、基础设施的规模非常大，它们在安全方面的花费有一个固定的比例。

第二，更大范围内的大安全的概念。工业网络安全也是生产安全的一部分，在大安全概念中的市场就更广泛了，涉及到与功能安全相结合、数据安全相结合等，而不仅仅是网络安全。 匡恩网络推出的虚拟电子沙盘，展示智能制造等六大行业解决方案。

第三，做安全一方面是为了保护、防御系统安全，另一方面也是为了提高生产力，所以，在此基础上衍生出了工控系统本身智能化的提升和生产力的提高。匡恩网络的定位是从“工控的安全”做到“安全的工控”。这个过程当然不是一蹴而就，我们先要解决工控系统的网络安全，之后再扩大到大安全的概念，最后再扩大到工业智能化，以安全为基因的智能化生产和智能化服务。

我们自2015年成立匡恩网络智能工业安全研究院以来，就已经突破了传统的、简单的工业网络安全的概念，在新能源和智能制造等领域开始布局新的产品，今年会有一系列新的产品。随后我们还会再进一步扩大范围。

之前的一两年我们着重做平台建设。工控系统的特点是行业差异化太大，我们投入巨大的研发力量，做了一个适应性非常好的平台。这些前期的工作现在已经开花结果了，我们针对各个行业的特点做行业解决方案，提供定制化服务。目前覆盖的行业主要包括能源电力、轨道交通、石油石化、智能制造等，凡是智能化水平比较高的工业和制造业企业都是我们的客户。也包括基础设施如燃气、水、电、轨道交通、高铁、航空、港口等。今后我们还要继续拓展行业范围，比如防疫站、医院，未来也会关注更多的物联网终端。

工控安全市场只开发了冰山一角

《中国经济周刊》：工控网络安全的需求这么大，您估计国内市场有多大规模？

孙一桉：我一直都不认为工控网络安全是整体信息安全的一个细分市场，它更像是传统信息安全领域的平行市场，市场规模非常大。但是这个市场的成长，从大家认识到开始采用再到大量采用，跳跃性很强，需要一个比较长的培养过程。

这种跳跃是由几个原因造成的：一、这个市场更大程度上是一个事件驱动、政策驱动的市场，是跳跃性的。二、行业进入门槛非常高。不管是匡恩网络还是华为、思科，要进入一个新行业，都要经过一个很长时间的试点和适应阶段，而且在此期间看不到效益。但一个小小的试点，随之而来的可能就是复制性很强的、爆炸性的市场。

现在我们所做的点点滴滴，只是未来更大的市场的冰山一角。尽管我们2015年相比2014年有10倍的增长，今年预计还会有大幅增长，但这并不是我们最看重的。在工控安全市场爆发点来临之前，我们要做的，就是全力以赴地练内功，做品牌，做产品，让用户的认可度和满意度不断提升。

我们与传统信息安全厂商主要还是合作关系，我们做工业控制网络安全，介于信息安全和工业控制之间。这是一个新生态，我们在努力适应并融入这个新的生态圈。

专家点评

北京中安国发信息技术研究院院长、信息安全应急演练关键技术研究中心主任张胜生：我国工控安全保障需要从业务安全需求出发

在“两化融合”“工业4.0”和“中国制造2025”的大背景下，随着信息化的推进和工业化进程的加速，越来越多的计算机和网络技术应用于工业控制系统，在为工业生产带来极大推动作用的同时，也带来了工控系统的安全及泄密问题。我国工控系统及设备的安全保护水平明显偏低，长期以来没有得到关注，如系统终端平台安全防护弱点，系统配置和软件安全漏洞、工控协议安全问题、私有协议的安全问题、隐藏的后门和未知漏洞、TCP/IP自身的安全问题、用户权限控制的接入、网络安全边界防护，以及内部非法人员、密钥管理、当前国际复杂环境等，存在各种网络安全的风险和漏洞。

篇7

关键词：网络安全；网络管理；防护；防火墙

中图分类号：TP393.08文献标识码：A文章编号：1009-3044(2011)14-3302-02

随着企业信息化进程的不断发展，网络已成为提高企业生产效率和企业竞争力的有力手段。目前，石化企业网络各类系统诸如ERP系统、原油管理信息系统 、电子邮件系统 以及OA协同办公系统等都相继上线运行，信息化的发展极大地改变了企业传统的管理模式，实现了企业内的资源共享。与此同时，网络安全问题日益突出，各种针对网络协议和应用程序漏洞的新型攻击层出不穷，病毒威胁无处不在。

因此，了解网络安全，做好防范措施，保证系统安全可靠地运行已成为企业网络系统的基本职能，也是企业本质安全的重要一环。

1 石化企业网络安全现状

石化企业局域网一般包含Web、Mail等服务器和办公区客户机，通过内部网相互连接，经防火墙与外网互联。在内部网络中，各计算机处在同一网段或通过Vlan（虚拟网络）技术把企业不同业务部门相互隔离。

2 企业网络安全概述

企业网络安全隐患的来源有内、外网之分，网络安全系统所要防范的不仅是病毒感染，更多的是基于网络的非法入侵、攻击和访问。企业网络安全隐患主要如下：

1) 操作系统本身存在的安全问题

2) 病毒、木马和恶意软件的入侵

3) 网络黑客的攻击

4) 管理及操作人员安全知识缺乏

5) 备份数据和存储媒体的损坏

针对上述安全隐患，可采取安装专业的网络版病毒防护系统，同时加强内部网络的安全管理；配置好防火墙过滤策略，及时安装系统安全补丁；在内、外网之间安装网络扫描检测、入侵检测系统，配置网络安全隔离系统等。

3 网络安全解决方案

一个网络系统的安全建设通常包含许多方面，主要为物理安全、数据安全、网络安全、系统安全等。

3.1 物理安全

物理安全主要指环境、场地和设备的安全及物理访问控制和应急处置计划等，包括机房环境安全、通信线路安全、设备安全、电源安全。

主要考虑：自然灾害、物理损坏和设备故障；选用合适的传输介质；供电安全可靠及网络防雷等。

3.2 网络安全

石化企业内部网络，主要运行的是内部办公、业务系统等，并与企业系统内部的上、下级机构网络及Internet互连。

3.2.1 VLAN技术

VLAN即虚拟局域网。是通过将局域网内的设备逻辑地划分成一个个网段从而实现虚拟工作组的技术。

借助VLAN技术，可将不同地点、不同网络、不同用户组合在一起，形成一个虚拟的网络环境 ，就像使用本地LAN一样方便。一般分为：基于端口的VLAN、基于MAC地址的VLAN、基于第3层的VLAN、基于策略的VLAN。

3.2.2 防火墙技术

1) 防火墙体系结构

① 双重宿主主机体系结构

防火墙的双重宿主主机体系结构是指一台双重宿主主机作为防火墙系统的主体，执行分离外部网络和内部网络的任务。

② 被屏蔽主机体系结构

被屏蔽主机体系结构是指通过一个单独的路由器和内部网络上的堡垒主机共同构成防火墙，强迫所有的外部主机与一个堡垒主机相连，而不让其与内部主机相连。

③ 被屏蔽子网体系结构

被屏蔽子网体系结构的最简单的形式为使用两个屏蔽路由器，位于堡垒主机的两端，一端连接内网，一端连接外网。为了入侵这种类型的体系结构，入侵者必须穿透两个屏蔽路由器。

2) 企业防火墙应用

① 企业网络体系中的三个区域

边界网络。此网络通过路由器直接面向Internet，通过防火墙将数据转发到网络。

网络。即DMZ，将用户连接到Web服务器或其他服务器，Web服务器通过内部防火墙连接到内部网络。

内部网络。连接各个内部服务器（如企业OA服务器，ERP服务器等）和内部用户。

② 防火墙及其功能

在企业网络中，常常有两个不同的防火墙:防火墙和内部防火墙。虽然任务相似，但侧重点不同，防火墙主要提供对不受信任的外部用户的限制，而内部防火墙主要防止外部用户访问内部网络并且限制内部用户非授权的操作。

在以上3个区域中，虽然内部网络和DMZ都属于企业内部网络的一部分，但他们的安全级别不同，对于要保护的大部分内部网络，一般禁止所有来自Internet用户的访问；而企业DMZ区，限制则没有那么严格。

3.2.3 VPN技术

VPN(Virtual Private Network)虚拟专用网络，一种通过公用网络安全地对企业内部专用网络进行远程访问的连接方式。位于不同地方的两个或多个企业内部网之间就好像架设了一条专线，但它并不需要真正地去铺设光缆之类的物理线路。

企业用户采用VPN技术来构建其跨越公共网络的内联网系统，与Internet进行隔离，控制内网与Internet的相互访问。VPN设备放置于内部网络与路由器之间，将对外服务器放置于VPN设备的DMZ口与内部网络进行隔离，禁止外网直接访问内网，控制内网的对外访问。

3.3 应用系统安全

企业应用系统安全包括两方面。一方面涉及用户进入系统的身份鉴别与控制，对安全相关操作进行审核等。另一方面涉及各种数据库系统、Web、FTP服务、E-MAIL等

病毒防护是企业应用系统安全的重要组成部分，企业在构建网络防病毒系统时，应全方位地布置企业防毒产品。

在网络骨干接入处，安装防毒墙，对主要网络协议（SMTP、FTP、HTTP）进行杀毒处理；在服务器上安装单独的服务器杀毒产品，各用户安装网络版杀毒软件客户端；对邮件系统，可采取安装专用邮件杀毒产品。

4 结束语

该文从网络安全及其建设原则进行了论述，对企业网络安全建设的解决方案进行了探讨和总结。石化企业日新月异，网络安全管理任重道远，网络安全已成为企业安全的重要组成部分、甚而成为企业的本质安全。加强网络安全建设，确保网络安全运行势在必行。

参考文献：

[1] 王达. 路由器配置与管理完全手册――H3C篇[M]. 武汉:华中科技大学出版社,2010．

[2] 王文寿. 网管员必备宝典――网络安全[M]. 北京:清华大学出版社,2007．

篇8

关键词:网络安全;医院网络;防火墙

中图分类号:TP393文献标识码:A文章编号:1009-3044(2009)26-7364-02

Hospital-based Network Security Solutions

SUN Ping-bo

(Department of Information, Changhai Hospital, Shanghai 200433, China)

Abstract: The hospital network security is to protect the basis of normal medical practice, this paper, the hospital network security solutions design and implementation of safety programs related to the model, firewalls isolation, and health care business data capture. This article is the construction of the hospital network security system to provide a reference for the role.

Key words: network security; the hospital network; firewall

随着科学技术的发展和信息时代的来临,几乎所有的医院都建立了信息网络,实现了信息资源的网络共享。但在具体建设这个医院网络平台时中,往往都只重视怎样迅速把平台搭建起来和能够马上投入使用,而忽视了在医院网络平台建设过程中信息安全的建设,包括如何保障医疗业务的正常进行、患者及医生信息的合法访问,如何使医院网络平台免受黑客、病毒、恶意软件和其它不良意图的攻击已经成为急需解决的问题。

1 医院网络安全解决方案的设计

1.1网络方案的模型

本文研究的医院网络安全解决方案是采用基于主动策略的医院网络安全系统,它的主导思想是围绕着P2DR模型思想建立一个完整的信息安全体系框架。P2DR模型最早是由ISS公司提出的动态安全模型的代表性模型,它主要包含4个部分:安全策略(Policy)、防护(Protection)、检测(Detection)和响应(Response)。

安全策略是P2DR安全模型的核心。在整体安全策略的控制和指导下,运用防护工具(防火墙、操作系统身份认证、加密等)对网络进行安全防护;利用检测工具(如漏洞扫描、入侵检测系统等等)了解和评估系统的安全状态,检测针对系统的攻击行为;通过适当的反应机制将系统的安全状态提升到最优状态。这个过程是一个动态的、不断循环的过程,检测到的威胁将作为响应和加强防护的依据,防护加强后,将继续进行检测过程,依次循环下去,从而达到网络安全性不断增强的目的[1]。

根据对网络安全的技术分析和设计目标,医院网络安全解决方案要解决7个实现的技术问题,分别是:数据检测,入侵行为控制,行为分析,行为记录,服务模拟,行为捕获和数据融合。医院网络安全解决方案以P2DR模型为基础,合理利用主动防御技术和被动防御技术来构建动态安全防御体系,根据现有安全措施和工具,在安全策略的基础上,提出基于主动策略的医院网络安全方案模型,如图1所示。

医院网络安全解决方案模型入侵检测监视网络的异常情况,当发现有可疑行为或者入侵行为时,将监测结果通知入侵行为控制,并将可疑行为数据传给服务模拟;服务模拟在入侵行为控制的监控下向可疑行为提供服务,并调用行为捕获对系统所有活动作严格和详细的记录;数据融合定期地从行为记录的不同数据源提取数据,按照统一数据格式整理、融合、提炼后,一发给行为分析,对可疑行为及入侵行为作进一步分析,同时通知入侵行为控制对入侵行为进行控制,并提取未知攻击特征通过入侵行为控制对入侵检测知识库进行更新,将新的模式添加进去。

1.2 防火墙隔离的设计

防火墙技术是医院网络安全系统中使用最广泛的一项网络安全技术。它的作用是防止不希望的、未经授权的通信进入被保护的内部网络,通过边界控制强化内部网络的安全策略。在医院网络中,既有允许被内部网络和外部网络同时访问的一些应用服务器(如医疗费用查询系统、专家号预约系统、病情在线咨询系统等),也有只允许医院网络内部之间进行通信,不可以外部网络访问的内部网络[2]。因此,对应用服务器和内部网络应该采用不同的安全策略。

本文研究的医院网络安全解决方案采用的是屏蔽子网结构的防火墙配置。将应用服务器放置在屏蔽子网机构中的DMZ区域内,由外部防火墙保护,内部网络和外部网络的用户都可以访问该区域。内部网络除了外部防火墙的保护外。还采用堡垒主机(服务器)对内部网络进行更加深一些层的保护。通过核心交换机的路由功能将想要进入内部网络的数据包路由到服务器中,由包过滤原则。过滤一些内部网络不应看到的网站信息等。内部路由器将所有内部用户到因特网的访问均路由到服务嚣,服务器进行地址翻译。为这些用户提供服务.以此屏蔽内部网络。这种结构使得应用服务器与内部网络采用不同级别的安全策略,既实现医院网络的需求,也保护医院网络的安全。防火墙系统结构设计如图2所示。

虽然防火墙系统能够为医院的网络提供很多安全方面的保障,但并不能够解决全部安全问题。因此,医院的网络安全系统还采取了其他的网络安全技术和手段来确保医院网络的安全。

1.3 医疗业务数据的捕获

如果本文研究的医院网络安全系统不能捕获到任何数据,那它将是一堆废物。只有捕获到数据,我们才能利用这些数据研究攻击者的技术、工具和动机。本文设计的医院安全系统实现了三层数据捕获,即防火墙日志、嗅探器捕获的网络数据包、管理主机系统日志。

其中,嗅探器记录各种进出医院内管理网的数据包内容,嗅探器可以用各种工具,如Ethereal等,我们使用了Tcpdump。记录的数据以Tcpdump日志的格式进行存储,这些数据不仅以后可用通过Tcpreplay进行回放,也可以在无法分析数据时,发送给别的研究人员进行分析。

防火墙和嗅探器捕获的是网络数据,还需要捕获发生有管理主机上的所有系统和用户活动。对于windows系统,可以借助第三方应用程序来记录系统日志信息。现在大多数的攻击者都会使用加密来与被黑系统进行通信。要捕获击键行为,需要从管理主机中获得,如可以通过修改系统库或者开发内核模块来修改内核从而记录下攻击者的行为。

2 医院网络安全解决方案的实现

2.1 防火墙系统的布置

本文研究的医院防火墙系统采用的是屏蔽子网结构,在该结构中,采用Quidway SecPath 1000F硬件防火墙与外部网络直接相连,通过核心交换机Quidway S6506R将屏蔽子网结构中的DMZ区域和内部网络连接起来,DMZ区域中的各种应用的服务器都采用的是IBM xSeries 346,其中一台作为堡垒主机使用。这台堡垒主机起到的就是服务器的作用。防火墙根据管理员设定的安全规则保护内部网络,提供完善的安全设置,通过高性能的医院网络核心进行访问控制。

2.2 医疗业务数据捕获的实现

本文研究的数据捕获主要从三层进行数据捕获。我们在网桥下运行如下命令进行捕获:

TCPDUMP -c 10 Ci eth1 -s 0 Cw /log

为了不让攻击者知道我们在监视他在主机上的活动,我们采用Sebek来实现我们的目标。Sebek是个隐藏的记录攻击者行为的内核补丁。一旦在主机上安装了Sebek的客户端,它就在系统的内核级别运行,记录的数据并不是记录在本地硬盘上,而是通过UDP数据包发送到远程服务器上,入侵者很难发现它的存在。

医院的网络安全系统数据捕获是由内核模块来完成的,本文研究使用这个模块获得主机内核空间的访问,从而捕获所有read()的数据。Sebek替换系统调用表的read()函数来实现这个功能,这个替换的新函数只是简单的调用老read()函数,并且把内容拷贝到一个数据包缓存,然后加上一个头,再把这个数据包发送到服务端。替换原来的函数就是改变系统调用表的函数指针。

本文通过配置参数决定了Sebek收集什么样的信息,发送信息的目的地。以下就是一个linux配置文件的实例:

INTERFACE="eth0" //设定接口

DESTINATION_IP="172.17.1.2" //设定远程服务器IP

DESTINATION_MAC="00:0C:29:I5:96:6E" //设定远程服务器MAC

SOURCE_PORT=1101 //设定源地址UDP端口

DESTINATION_PORT=1101 //设定目标地址UDP端口

MAGIC_VALUE=XXXXX //如果同一网段有多个客户端,则设定相同的数值

KEYSTOKE_ONLY=1 //是否只记录键击记录

3 结束语

该文对医院网络安全的解决方案进行了较深入的研究,但该系统采用的技术也不能说是完善的,一方面因为它们也在不断发展中,另一方面是因为设计者的水平有局限。比如医院网络的数据捕获技术,它本身就是一个十分复杂的技术问题,解决的手段也是多样的。

参考文献:

篇9

关键词：电信；网络安全；技术防护

从20世纪90年代至今，我国电信行业取得了跨越式发展，电信固定网和移动网的规模均居世界第一，网络的技术水平也居世界前列。电信已经深入到人类生活的方方面面，和日常生活的结合越来越紧密。电信网的安全状况直接影响这些基础设施的正常运行。加强电信网络的安全防护工作，是一项重要的工作。笔者结合工作实际，就电信网络安全及防护工作做了一些思考。

1 电信网络安全及其现状

狭义的电信网络安全是指电信网络本身的安全性，按照网络对象的不同包括了PSTN网络的安全、IP/Internet网络安全、传输网络安全、电信运营商内部网络安全等几个方面；广义的网络安全是包括了网络本身安全这个基本层面，在这个基础上还有信息安全和业务安全的层面，几个层面结合在一起才能够为用户提供一个整体的安全体验。

电信运营商都比较重视网络安全的建设，针对网络特点、业务特点建立了系统的网络安全保障体系。我国电信的网络安全保障体系建设起步较早。2000年，原中国电信意识到网络安全的重要性，并专门成立了相关的网络安全管理部门，着力建立中国电信自己的网络安全保障体系。安全保障体系分为管理体系和技术体系。在管理体系中，包括组织体系、策略体系和保障的机制，依据组织保障策略引导、保障机制支撑的原则。随着网络规模的不断扩大和业务的突飞猛进，单靠纯粹的管理和应急相应很难完成有关网络安全方面的工作。为此，建立了网络安全基础支撑的平台，也就是SOC平台，形成了手段保障、技术保障和完备的技术管理体系，以完成中国电信互联网的安全保障工作。这个系统通过几个模块协同工作，来完成对网络安全事件的监控，完成对网络安全工作处理过程中的支撑，还包括垃圾邮件独立处理的支持系统。

然而，网络安全是相对的。网络开放互联、设备引进、新技术引入、自然灾害和突发事件的存在等，造成了网络的脆弱性。当电信网络由封闭的、基于电路交换的系统向基于开放、IP数据业务转型中，安全问题更加暴露。从狭义的网络安全层面看，随着攻击技术的发展，网络攻击工具的获得越来越容易，对网络发起攻击变得容易；而运营商网络分布越来越广泛，这种分布式的网络从管理上也容易产生漏洞，容易被攻击。从广义的网络安全层面看，业务欺诈、垃圾邮件、违法违规的SP行为等，也是威胁网络安全的因素。

2 电信网络安全面临的形势及问题

2.1 互联网与电信网的融合，给电信网带来新的安全威胁

传统电信网的业务网和支撑网是分离的。用户信息仅在业务网中传送，信令网、网管网等支撑网与业务网隔离，完全由运营商控制，电信用户无法进入。这种机制有效地避免了电信用户非法进入网络控制系统，保障了网络安全。IP电话引入后，需要与传统电信网互联互通，电信网的信令网不再独立于业务网。IP电话的实现建立在TCP/IP协议基础上，TCP/IP协议面临的所有安全问题都有可能引入传统电信网。IP电话的主叫用户号码不在IP包中传送，一旦出现不法行为，无论是运营商还是执法机关，确认这些用户的身份需要费一番周折，加大了打击难度。

2.2 新技术、新业务的引入，给电信网的安全保障带来不确定因素

NGN的引入，彻底打破了电信网根据不同业务网分别建设、分别管理的传统思路。NGN的引入给运营商带来的好处是显而易见的，但从网络安全方面看，如果采取的措施不当，NGN的引入可能会增加网络的复杂性和不可控性。此外，3G、WMiAX、IPTV等新技术、新业务的引入，都有可能给电信网的安全带来不确定因素。特别是随着宽带接入的普及，用户向网络侧发送信息的能力大大增强，每一个用户都有能力对网络发起威力较大的拒绝服务等攻击。如果这些宽带被非法控制，组成僵尸网络群，其拒绝服务攻击的破坏力将可能十分巨大。

2.3 运营商之间网络规划、建设缺乏协调配合，网络出现重大事故时难以迅速恢复

目前，我国电信领域基本形成了有效的竞争格局。但由于改革的配套措施还不尽完备，电信市场多运营商条件下的监管措施还不配套，给电信网络安全带来了新的威胁。如在网络规划建设方面，原来由行业主管部门对电信网络进行统一规划、统一建设，现在由各运营企业承担各自网络的规划、建设，行业主管部门在这方面的监管力度明显弱化。一旦出现大面积的网络瘫痪问题，不同运营商之间的网络能否互相支援配合就存在问题。

2.4 相关法规尚不完善，落实保障措施缺乏力度

当前我国《电信法》还没有出台，《信息安全法》还处于研究过程中，与网络安全相关的法律法规还不完备，且缺乏操作性。在规范电信运营企业安全保障建设方面，也缺乏法律依据。运营企业为了在竞争中占据有利地位，更多地关注网络建设、业务开发、市场份额和投资回报，把经济效益放在首位，网络安全相关的建设、运行维护管理等相对滞后。

3 电信网络安全防护的对策思考

强化电信网络安全，应做到主动防护与被动监控、全面防护与重点防护相结合，着重考虑以下几方面。

3.1 发散性的技术方案设计思路

在采用电信行业安全解决方案时，首先需要对关键资源进行定位，然后以关键资源为基点，按照发散性的思路进行安全分析和保护，并将方案的目的确定为电信网络系统建立一个统一规范的安全系统，使其具有统一的业务处理和管理流程、统一的接口、统一的协议以及统一的数据格式的规范。

3.2 网络层安全解决方案

网络层安全要基于以下几点考虑：控制不同的访问者对网络和设备的访问；划分并隔离不同安全域；防止内部访问者对无权访问区域的访问和误操作。可以按照网络区域安全级别把网络划分成两大安全区域，即关键服务器区域和外部接入网络区域，在这两大区域之间需要进行安全隔离。同时，应结合网络系统的安全防护和监控需要，与实际应用环境、工作业务流程以及机构组织形式进行密切结合，在系统中建立一个完善的安全体系，包括企业级的网络实时监控、入侵检测和防御，系统访问控制，网络入侵行为取证等，形成综合的和全面的端到端安全管理解决方案，从而大大加强系统的总体可控性。

3.3 网络层方案配置

在电信网络系统核心网段应该利用一台专用的安全工作站安装入侵检测产品，将工作站直接连接到主干交换机的监控端口(SPANPort)，用以监控局域网内各网段间的数据包，并可在关键网段内配置含多个网卡并分别连接到多个子网的入侵检测工作站进行相应的监测。

3.4 主机、操作系统、数据库配置方案

由于电信行业的网络系统基于Intranet体系结构，兼呈局域网和广域网的特性，是一个充分利用了Intranet技术、范围覆盖广的分布式计算机网络，它面临的安全性威胁来自于方方面面。每一个需要保护的关键服务器上都应部署核心防护产品进行防范，并在中央安全管理平台上部署中央管理控制台，对全部的核心防护产品进行中央管理。

3.5 系统、数据库漏洞扫描

系统和数据库的漏洞扫描对电信行业这样的大型网络而言，具有重要的意义。充分利用已有的扫描工具完成这方面的工作，可免去专门购买其他的系统/数据库漏洞扫描工具。

参考文献

篇10

[关键词]企业信息 网络安全体系

一、企业信息网络安全现状概述

进入21世纪后,随着国内信息化程度的快速提高,信息网络信息安全越来越多受到关注,信息网络安全产品和厂商短短几年内大量涌现。但是,令人担忧的是,虽然众多的产品和厂商都以信息网络安全的概念在提供服务,但其中包含的实际技术和内容却千差万别。这样的情况,一方面对市场和用户形成了误导,不利于解决用户的实际信息网络安全问题,造成投资浪费;另一方面也不利于创造良性的竞争环境,阻遏了信息网络安全市场的发展。

鉴于此,有必要对信息网络安全进行成体系的理论探讨,形成统一的共识和标准,这样才能让信息网络安全产品和厂商真正满足用户的需求,解决用户的实际问题,推动国家信息化的发展。

二、信息网络安全问题的本质探讨

1.信息网络安全问题的形成原因

信息网络安全问题的提出跟国家信息化的进程息息相关,信息化程度的提高,使得内部信息网络具备了以下三个特点:

(1)随着ERP、OA和CAD等生产和办公系统的普及,单位的日程运转对内部信息网络的依赖程度越来越高,信息网络已经成了各个单位的生命线,对信息网络稳定性、可靠性和可控性提出高度的要求。

(2)内部信息网络由大量的终端、服务器和网络设备组成,形成了统一有机的整体,任何一个部分的安全漏洞或者问题,都可能引发整个网络的瘫痪,对信息网络各个具体部分尤其是数量巨大的终端可控性和可靠性提出前所未有的要求。

(3)由于生产和办公系统的电子化,使得内部网络成为单位信息和知识产权的主要载体,传统的对信息的控制管理手段不再使用,新的信息管理控制手段成为关注的焦点。

上述三个问题,都是依赖于信息网络,与信息网络的安全紧密相连的,信息网络安全受到广泛的高度重视也就不以为奇。

2.信息网络安全问题的威胁模型

相对于信息网络安全概念,传统意义上的网络安全更加为人所熟知和理解,事实上,从本质来说,传统网络安全考虑的是防范互联网对信息网络的攻击,即可以说是互联网安全,包括传统的防火墙、入侵检察系统和VPN都是基于这种思路设计和考虑的。互联网安全的威胁模型假设内部网络都是安全可信的,威胁都来自于外部网络,其途径主要通过内互联网边界出口。所以,在互联网安全的威胁模型假设下,只要将网络边界处的安全控制措施做好,就可以确保整个网络的安全。

而信息网络安全的威胁模型与互联网安全模型相比,更加全面和细致,它即假设信息网络中的任何一个终端、用户和网络都是不安全和不可信的,威胁既可能来自互联网,也可能来自信息网络的任何一个节点上。所以,在信息网络安全的威胁模型下,需要对内部网络中所有组成节点和参与者的细致管理,实现一个可管理、可控制和可信任的信息网络。由此可见,相比于互联网安全,企业的信息网络安全具有以下特点:

(1)要求建立一种更加全面、客观和严格的信任体系和安全体系;

(2)要求建立更加细粒度的安全控制措施,对计算机终端、服务器、网络和使用者都进行更加具有针对性的管理;

(3)要求对信息进行生命周期的完善管理。

三、现有信息网络安全产品和技术分析

自从信息网络安全概念提出到现在,有众多的厂商纷纷自己的信息网络安全解决方案,由于缺乏标准,这些产品和技术各不相同,但是总结起来,应该包括监控审计类、桌面管理类、文档加密类、文件加密类和磁盘加密类等。下面分别对这些产品和技术类型的特性做了简单的分析和说明。

1.监控审计类

监控审计类产品是最早出现的信息网络安全产品, 50%以上的信息网络安全厂商推出的信息网络安全产品都是监控审计类的。监控审计类产品主要对计算机终端访问网络、应用使用、系统配置、文件操作,以及外设使用等提供集中监控和审计功能,并可以生成各种类型的报表。

监控审计产品一般基于协议分析、注册表监控和文件监控等技术,具有实现简单和开发周期短的特点,能够在信息网络发生安全事件后,提供有效的证据,实现事后审计的目标。监控审计类产品的缺点是不能做到事情防范,不能从根本上实现提高信息网络的可控性和可管理性。

2.桌面管理类

桌面管理类产品主要针对计算机终端实现一定的集中管理控制策略,包括外设管理、应用程序管理、网络管理、资产管理以及补丁管理等功能,这类型产品通常跟监控审计产品有类似的地方,也提供了相当丰富的审计功能,

桌面监控审计类产品除了使用监控审计类产品的技术外,还可能需要对针对Windows系统使用钩子技术,对资源进行控制,总体来说,技术难度也不是很大。桌面监控审计类产品实现了对计算机终端资源的有效管理和授权,其缺点不能实现对信息网络信息数据提供有效的控制。

3.文档加密类

文档加密类产品也是信息网络安全产品中研发厂商相对较多的信息网络安全产品类型,其主要解决特定格式主流文档的权限管理和防泄密问题,可以部分解决专利资料、财务资料、设计资料和图纸资料的泄密问题。

文档加密技术一般基于文件驱动和应用程序的API钩子技术结合完成,具有部署灵活的特点。但是,因为文档加密技术基于文件驱动钩子、临时文件和API钩子技术,也具有软件兼容性差、应用系统适应性差、安全性不高以及维护升级工作量大的缺点。

4.文件加密类

文件加密类产品类型繁多,有针对单个文件加密,也有针对文件目录的加密,但是总体来说,基本上是提供了一种用户主动的文件保护措施。

文件加密类产品主要基于文件驱动技术,不针对特定类型文档,避免了文档加密类产品兼容性差等特点,但是由于其安全性主要依赖于使用者的喜好和习惯,难以实现对数据信息的强制保护和控制。

5.磁盘加密类

磁盘加密类产品在磁盘驱动层对部分或者全部扇区进行加密,对所有文件进行强制的保护,结合用户或者客户端认证技术,实现对磁盘数据的全面保护。

磁盘加密技术由于基于底层的磁盘驱动和内核驱动技术,具有技术难度高、研发周期长的特点。此外,由于磁盘加密技术对于上层系统、数据和应用都是透明的,要实现比较好的效果,必须结合其他信息网络安全管理控制措施。

四、构建完整的信息网络安全体系

从前面的介绍可以看出,上述的信息网络安全产品,都仅仅解决了信息网络安全部分的问题,并且由于其技术的限制,存在各自的缺点。事实上,要真正构建一个可管理、可信任和可控制的信息网络安全体系,应该统一规划,综合上述各种技术的优势,构建整体一致的信息网络安全管理平台。

根据上述分析和信息网络安全的特点,一个整体一致的信息网络安全体系,应该包括身份认证、授权管理、数据保密和监控审计四个方面,并且,这四个方面应该是紧密结合、相互联动的统一平台,才能达到构建可信、可控和可管理的安全信息网络的效果。

身份认证是信息网络安全管理的基础,不确认实体的身份,进一步制定各种安全管理策略也就无从谈起。信息网络的身份认证,必须全面考虑所有参与实体的身份确认,包括服务器、客户端、用户和主要设备等。其中,客户端和用户的身份认证尤其要重点关注,因为他们具有数量大、环境不安全和变化频繁的特点。

授权管理是以身份认证为基础的,其主要对内部信息网络各种信息资源的使用进行授权,确定“谁”能够在那些“计算机终端或者服务器”使用什么样的“资源和权限”。授权管理的信息资源应该尽可能全面,应该包括终端使用权、外设资源、网络资源、文件资源、服务器资源和存储设备资源等。

数据保密是信息网络信息安全的核心,其实质是要对信息网络信息流和数据流进行全生命周期的有效管理,构建信息和数据安全可控的使用、存储和交换环境,从而实现对信息网络核心数据的保密和数字知识产权的保护。由于信息和数据的应用系统和表现方式多种多样,所以要求数据保密技术必须具有通用性和应用无关性。

监控审计是信息网络安全不可缺少的辅助部分,可以实现对信息网络安全状态的实时监控,提供信息网络安全状态的评估报告,并在发生信息网络安全事件后实现有效的取证。

需要再次强调的是,上述四个方面,必须是整体一致的,如果只简单实现其中一部分,或者只是不同产品的简单堆砌,都难以建立和实现有效信息网络安全管理体系。