网络安全加固建设范文
发布时间：2023-09-26 14:43:48
导语：想要提升您的写作水平，创作出令人难忘的文章？我们精心为您整理的13篇网络安全加固建设范例，将为您的写作提供有力的支持和灵感！
篇1
美国国防部2013财年的信息技术预算需求大约为370亿美元，比2012财年的预算略微减少。这些资金被投资到6000多个遍布全球的军事基地，支持3个部、40多个局以及战场上的独特需求与任务。下面详细介绍美军2013财年信息技术和网络安全建设的五大发展重点。
五大发展重点
从《美军2013财年信息技术与网络安全项目的预算需求》可以发现，美军2013财年信息技术和网络安全建设的重点放在联合信息环境、数据中心、企业化服务、网络安全和加固网络等五个方面。
联合信息环境
联合信息环境是一个单一、安全、可靠、高效和灵活的指挥、控制、通信和计算机计划，可被联合部队的任务合作伙伴在几乎所有军事行动、梯队和环境中广泛使用。美军2013财年联合信息环境建设的目标主要有两个：一是使国防部更有效、更安全、更好地弥补弱点，更好地应对网络威胁；二是简化、集成信息系统，实现信息系统的标准化、自动化，减少国防部信息技术基础设施的相关费用。
国防部的信息主管正在指挥着联合信息环境相关计划的实施，也同联合参谋部、各军种及国防部其他部门互相合作，以更快速地全面实现国防部信息技术现代化。国防部正在使用情报委员会的信息技术现代化手段来辅助联合信息环境计划。一个由来自国防部专家组成的小组正在构思实现途径，制定实现计划与项目时间表，并进行经费预算。在2013财年，美军强调项目必须集成网络安全，从操作系统的配置到系统进入控制，到全方位防御系统，到网络入侵探测与诊断。
美军将继续通过国防信息系统局的Forge.mil与RACE软件开发环境，以及通过与研发平台匹配的集成测试与安全评估能力，加速平台的研发、质量控制、网络安全评估。
数据中心
美军非常重视信息技术标准建设，目前国防部的信息主管在军种与国防信息局的配合下为数据中心建立设计的标准，坚持非保密网络、保密网络、物理隔绝网络、加密隔绝网络都执行同样标准。这种标准网络建设，再加之更多的信息服务，使国防部数据中心的数量相应减少。
美军2013财年重点将现有数据中心合并为三类数据中心：第一类为核心数据中心，用于国防部各部门都可以使用的信息服务与应用，以及用于国防部与工业部门、公众交互的对外服务与应用；第二类为地区性数据中心，主要用于满足终端用户的信息服务与应用需求；第三类为部署在战场前方的前方数据中心，此类数据中心很灵活，可以存放地区性与全局性的服务与信息，适合各种任务情况，速度更快，网络可靠性更好。
这些数据中心的服务器将普遍高度虚拟化，这样可以更灵活地加入新的信息服务，提供最大的使用效率。
企业化服务
目前，国防部的信息主管正在同五角大楼的高层领导一起合作，以确保对信息技术投资进行企业化管理，使一些信息中心灵活地交付信息能力与解决方案。
此外，在实施企业化方案的过程中，美军也在不断解决有时出现的框架结构等方面的问题。例如，国防信息主管办公室为国防部起草了“云计算”战略，并将与军事部门、国防信息系统局以及其他部门与生产厂家一起合作来实施该战略，以更好地优化未来的信息基础设施与应用。
网络安全
2013财年信息技术与网络安全项目预算中，大约34亿美元用于国防网络安全，与2012财年基本相当，主要用以消除信息、信息系统与网络已知的脆弱性，使国防部与国家更好地应对网络威胁。
美军2013财年制定了网络安全工作的五个重要目标：第一个目标是当面对强敌发起网络战的时候，国防部信息基础设施用户，包括国防部的合作伙伴，拥有可靠的关键信息与信息基础设施；第二个目标是确保与任务需要的任何伙伴之间实现快速、安全的信息共享，而且信息足够丰富，对于执行任务是有效的；第三个目标是保护美军重要、保密的信息；第四个目标是确保任务指挥官可以随时进入网络空间；第五个目标是确保国防部采用的技术具有灵活性。
重构国防部的网络是联合信息环境的核心支柱之一，以使国防部拥有一个统一的、满足不同安全需求的联合网络体系。目前，美军正在制定这种联合信息环境要素的工程技术细节与体系结构细节。这将提供更加统一的网络防御，并将使网络司令部可以通过计算机掌握全局，防止黑客入侵在网络中蔓延，提高联合作战的互操作性与相互依赖性。
加固网络
加固网络主要有以下内容。
可靠的兼容性评估解决方案美军在2012年购买了一种名为“可靠的兼容性评估解决方案”的商业工具，使用这种工具可以扫描计算机的漏洞，然后做出报告并进行修复。这种工具正在进行最终测试，将于2013年夏天部署，预计各部门将在未来18个月部署与应用。
基于主机的安全系统
目前，美军国防部在每一台与非保密网络、保密网络连接的电脑上安装“基于主机的安全系统”工具。这种工具可以发现并报告漏洞，防止某些类型的网络入侵，探测到其他入侵并作出反应，提高了国防部网络加固、态势感知、网络入侵探测、诊断与反应能力。2013财年申请的网络安全资金继续用于部署与保障新的“基于主机的安全系统”，以更好地加固计算机，提供持续自动监督计算机配置的能力，更好地改善国防部人员与设备身份管理能力。
公钥基础设施身份识别
美军网络加固工作的另一个关键部分是去除网络匿名。美军计划在国防部非保密网络中使用公钥基础设施身份识别，2012年美军完成向50万人公钥基础设施身份识别，2013年3月份美军将使用这些身份证。这不仅可以帮助美军改善信息使用责任制，也可以与政府各部门合作，使跨部门共享更加安全信息。
值得信任国防系统／供应链风险管理 美军认识到尽管先进的商业技术可以为国防部带来众多好处，但是也为国外恶意分子通过插入恶意程序来获取、改变数据，截取、阻止通信并危及供应链安全提供了机会。为了应对这些风险，国防部正在使值得信任国防系统／供应链风险管理制度化，同时国防部也正在与其他部门合作研究管理关键基础设施中防范供应链风险的方法。
国防工业基地网络安全与信息确保项目 由国防部信息主管监督的国防工业基地网络安全与信息确保项目是国防部另一个重要成果。该项目为政府一工业部门的合作伙伴关系提供网络安全方面的标准，也为网络安全提供一种系统方法，包括政府间保密威胁信息的共享、工业部门数据的共享、抢救与修复策略的共享、网络入侵损害评估。尽管不能彻底消除威胁，但是这一项目增强了每个国防工业基地参与者消除风险的能力，进一步保护了在国防工业基地保密网络上存储或传输信息的安全。
美军在项目进程中积累的经验
信息技术采办的标准化为美军节约大量经费
为了解决由于国防部“烟囱式”信息体系（“烟囱式”信息体系是指数据直接从各个数据源被直接抓取到目的地，中间不留任何缝隙）而产生的问题，美军重点改革国防部3个核心过程：提需求、预算与采办。
国防部信息主管办公室与主管军官的办公室紧密合作制定一种灵活、快捷的采办程序，美军通过企业化软件计划，10年期间总共节省了30亿美元。美军的信息体系战略与路线图强调了将购买硬件、软件与服务作为提高效率的主要手段。通过共享国防部中各个组织的购买协议，美军大大减少了中介的数量，进一步优化、理顺了信息技术采购过程。可以说，正是由于美军注重信息技术与设备从需求、预算到采办的全程合作与规范，才大大缩减了经费开支。
智能网络入侵监测系统将提高美军的网络防御能力
美军明确提出要通过“可靠的兼容性评估解决方案”、“基于主机的安全系统”等5项工作来提高其加固网络、态势感知、网络入侵探测、诊断与反应能力。美军计划未来几年逐步从“可靠的兼容性评估解决方案”与“基于主机的安全系统”来收集关于国防部每台计算机的配置信息，并使用这些信息自动生成可供各级指挥官使用的任务风险数值。指挥官可以使用这些信息与风险数值来修复漏洞，更好地了解到底哪些任务存在漏洞。这些智能入侵监测系统的应用将会大大缩短美军监测网络入侵的时间，提高美军应对网络入侵的反应效率。
篇2
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）19-4433-03
随着我国国际地位的不断提高和经济的持续发展，我国的网络信息和重要信息系统面临越来越多的威胁，网络违法犯罪持续大幅上升，计算机病毒传播和网络非法入侵十分猖獗，犯罪分子利用一些安全漏洞，使用木马间谍程序、网络钓鱼技术、黑客病毒技术等技术进行网络诈骗、网络盗窃、网络赌博等违法犯罪，给用户造成严重损失，因此，维护网络信息安全的任务非常艰巨、繁重，加强网络信息安全等级保护建设刻不容缓。
1 网络信息安全等级保护
信息安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。网络信息安全等级保护体系包括技术和管理两大部分，如图1所示，其中技术要求分为数据安全、应用安全、网络安全、主机安全、物理安全五个方面进行建设。
图1 等级保护基本安全要求
1） 物理安全
物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。
2） 主机安全
主机系统安全是计算机设备（包括服务器、终端/工作站等）在操作系统及数据库系统层面的安全；通过部署终端安全管理系统（TSM），准入认证网关（SACG），以及专业主机安全加固服务，可以实现等级保护对主机安全防护要求。
3） 网络安全
网络是保障信息系统互联互通基础，网络安全防护重点是确保网络之间合法访问，检测，阻止内部，外部恶意攻击；通过部署统一威胁管理网关USG系列，入侵检测/防御系统NIP，Anti-DDoS等网络安全产品，为合法的用户提供合法网络访问，及时发现网络内部恶意攻击安全威胁。
4） 应用安全
应用安全就是保护系统的各种应用程序安全运行，包括各种基本应用，如：消息发送、web浏览等；业务应用，如：电子商务、电子政务等；部署的文档安全管理系统（DSM），数据库审计UMA-DB，防病毒网关AVE等产品。并且通过安全网关USG实现数据链路传输IPSec VPN加密，数据灾备实现企业信息系统数据防护，降低数据因意外事故，或者丢失给造成危害。
5） 数据安全
数据安全主要是保护用户数据、系统数据、业务数据的保护；通过对所有信息系统，网络设备，安全设备，服务器，终端机的安全事件日志统一采集，分析，输出各类法规要求安全事件审计报告，制定标准安全事件应急响应工单流程。
2 应用实例
近年来卫生行业全面开展信息安全等级保护定级备案、建设整改和等级测评等工作，某医院的核心系统按照等级保护三级标准建设信息系统安全体系，全面保护医院内网系统与外网系统的信息安全。
医院网络的安全建设核心内容是将网络进行全方位的安全防护，不是对整个系统进行同一等级的保护，而是针对系统内部的不同业务区域进行不同等级的保护；通过安全域划分，实现对不同系统的差异防护，并防止安全问题扩散。业务应用以及基础网络服务、日常办公终端之间都存在一定差异，各自可能具有不同的安全防护需求，因此需要将不同特性的系统进行归类划分安全域，并明确各域边界，分别考虑防护措施。经过梳理后的医院网络信息系统安全区域划分如图2所示，外网是一个星型的快速以太交换网，核心为一台高性能三层交换机，下联内网核心交换机，上联外网服务器区域交换机和DMZ隔离区，外联互联网出口路由器，内网交换机向下连接信息点（终端计算机），外网核心交换机与内网核心交换机之间采用千兆光纤链路，内网交换机采用百兆双绞线链路下联终端计算机，外网的网络安全设计至关重要，直接影响到等级保护系统的安全性能。
图 2 医院网络信息系统安全区域划分图
2.1外网网络安全要求
系统定级为3级，且等级保护要求选择为S3A2G3，查找《信息系统安全等级保护基本要求》得到该系统的具体技术要求选择，外网网络安全要求必须满足如下要求：边界完整性检查（S3） 、入侵防范（G3） 、结构安全（G3） 、访问控制（G3） 、安全审计（G3） 、恶意代码防范（G3） 和网络设备防护（G3） 。
2.2网络安全策略
根据对医院外网机房区域安全保护等级达到安全等级保护3级的基本要求，制定相应的网络安全策略
1） 网络拓扑结构策略
要合理划分网段，利用网络中间设备的安全机制控制各网络间的访问。要采取一定的技术措施，监控网络中存在的安全隐患、脆弱点。并利用优化系统配置和打补丁等各种方式最大可能地弥补最新的安全漏洞和消除安全隐患。
2） 访问控制策略
访问控制为网络访问提供了第一层访问控制，它控制哪些用户能够连入内部网络，那些用户能够通过哪种方式登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。
3） 网络入侵检测策略
系统中应该设置入侵检测策略，动态地监测网络内部活动并做出及时的响应。
4） 网络安全审计策略
系统中应该设置安全审计策略，收集并分析网络中的访问数据，从而发现违反安全策略的行为。
5） 运行安全策略
运行安全策略包括：建立全网的运行安全评估流程，定期评估和加固网络设备及安全设备。
2.3网络安全设计
根据对医院外网安全保护等级达到安全等级保护3级的基本要求，外网的网络安全设计包括网络访问控制，网络入侵防护，网络安全审计和其他安全设计。
1） 网络访问控制
实现以上等级保护的最有效方法就是在外网中关键网络位置部署防火墙类网关设备，采用一台天融信网络卫士猎豹防火墙、一台CISCO公司的PIX515和一台网络卫士入侵防御系统TopIDP。
①外网互联网边界防火墙：在局域网与互联网边界之间部署CISCO公司的PIX515百兆防火墙，该防火墙通过双绞线连接核心交换区域和互联网接入区域，对外网的互联网接入提供边界防护和访问控制。
②对外服务区域边界防火墙：对外服务区域与安全管理区域边界部署一台千兆防火墙（天融信NGFW4000-UF），该防火墙通过光纤连接核心交换机和对外服务区域交换机，通过双绞线连接区域内服务器，对其他区域向对外服务区域及安全管理区域的访问行为进行控制，同时控制两个区域内部各服务器之间的访问行为。
③网络入侵防御系统：在托管机房区域边界部署一台网络入侵防御系统，该入侵防御系统通过双绞线连接互联网出口设备和区域汇聚交换机，为托管机房区域提供边界防护和访问控制。
2） 网络入侵防护
外网局域网的对外服务区域，防护级别为S2A2G2，重点要实现区域边界处入侵和攻击行为的检测，因此在局域网的内部区域边界部署网络入侵检测系统（天融信网络入侵防御系统TopIDP）；对于外网托管机房的网站系统，防护级别为S3A2G3，由于其直接与互联网相连，不仅要实现区域边界处入侵和攻击行为的检测，还要能够有效防护互联网进来的攻击行为，因此在托管机房区域边界部署网络入侵防御系统（启明星辰天阗NS2200）。
①网络入侵防御系统：在托管机房区域边界部署一台采用通明模式的网络入侵防御系统，该入侵防御系统通过双绞线连接互联网出口设备和区域汇聚交换机，其主要用来防御来自互联网的攻击流量。
②网络入侵检测系统：在外网的核心交换机上部署一台千兆IDS系统，IDS监听端口类型需要和核心交换机对端的端口类型保持一致；在核心交换机上操作进行一对一监听端口镜像操作，将对外服务区域与核心交换区域之间链路，以及互联网接入区域与核心交换区域之间链路进出双方向的数据流量，镜像至IDS监听端口；IDS用于对访问对外服务区域的数据流量，访问安全管理区域的数据流量，以及访问互联网的数据流量进行检测。
3） 网络安全审计
信息安全审计管理应该管理最重要的核心网络边界，在外网被审计对象不仅仅包括对外服务区域中的应用服务器和安全管理区域的服务器等的访问流量，还要对终端的互联网访问行为进行审计；此外重要网络设备和安全设备也需要列为审计和保护的对象。
由于终端的业务访问和互联网访问都需要在网络设备产生访问流量，因此在外网的核心交换机上部署网络行为审计系统（天融信网络行为审计TopAudit），交换机必需映射一个多对一抓包端口，网络审计引擎通过抓取网络中的数据包，并对抓到的包进行分析、匹配、统计，从而实现网络安全审计功能。
①在外网的核心交换机上部署一台千兆网络安全审计系统，监听端口类型需要和核心交换机对端的端口类型保持一致，使用光纤接口；
②在核心交换机上操作进行一对一监听端口镜像操作，将对外服务区域与核心交换区域之间链路，以及互联网接入区域与核心交换区域之间链路进出双方向的数据流量，镜像至网络安全审计系统的监听端口；
③网络安全审计系统用于对访问对外服务区域的数据流量，访问安全管理区域的数据流量，以及访问互联网的数据流量进行安全审计；
④开启各区域服务器系统、网络设备和安全设备的日志审计功能。
4） 其他网络安全设计
其他网络安全设计包括边界完整性检查，恶意代码防范，网络设备防护，边界完整性检查等。
①边界完整性检查：在托管机房的网络设备上为托管区域服务器划分独立VLAN，并制定严格的策略，禁止其他VLAN的访问，只允许来自网络入侵防御系统外部接口的访问行为；对服务器系统进行安全加固，提升系统自身的安全访问控制能力；
②恶意代码防范：通过互联网边界的入侵防御系统对木马类、拒绝服务类、系统漏洞类、webcgi类、蠕虫类等恶意代码进行检测和清除；部署服务器防病毒系统，定期进行病毒库升级和全面杀毒，确保服务器具有良好的防病毒能力。
③网络设备防护：网络设备为托管机房单位提供，由其提供网络设备安全加固服务，应进行以下的安全加固：开启楼层接入交换机的接口安全特性，并作MAC绑定； 关闭不必要的服务（如：禁止CDP（Cisco Discovery Protocol），禁止TCP、UDP Small服务等）， 登录要求和帐号管理， 其它安全要求（如：禁止从网络启动和自动从网络下载初始配置文件，禁止未使用或空闲的端口等）。
3 结束语
信息安全等级保护是实施国家信息安全战略的重大举措，也是我国建立信息安全保障体系的基本制度。作为国家信息安全保障体系建设的重要依据，在实行安全防护系统建设的过程中，应当按照等级保护的思想和基本要求进行建设，根据分级、分域、分系统进行安全建设的思路，针对一个特定的信息系统（医院信息管理系统）为例，提出全面的等级保护技术建设方案，希望能够为用户的等级保护建设提出参考。
参考文献：
[1] 徐宝海.市县级国土资源系统信息网络安全体系建设探讨[J].中国管理信息化，2014（4）.
篇3
中图分类号：F224.33文献标识码：A文章编号：1672-3198（2008）03-0128-02
1 引言
随着信息化进程的提速，越来越多地企业信息被披露于企业内外部网络环境中，如何保护企业机密，保障企业信息安全，成为企业信息化发展过程中必然需要面临和解决的问题。
对于企业信息网络安全管理需要部署的内容，首先要明确企业的哪些资产需要保护，确定关键数据和相关业务支持技术资产的价值，然后在此基础上，制定并实施安全策略，完成安全策略的责任分配，设立安全标准。
2 企业网络信息安全需求分析
对企业网络信息安全的网络调查显示：有超过85%的安全威胁来自企业内部；有16%来自内部未授权的访问；有11%资料或网络的破坏。可以看出：来自于企业内部的安全威胁比来自于外部的威胁要大得多，必要的安全措施对企业是非常重要的。安全风险分析通常包括对系统资源的价值属性的分析、资源面临的威胁分析、系统的安全缺陷分析等等。分析的目标就是确定安全系统的建设环境，建立信息系统安全的基本策略。
2.1 企业信息网络安全需求
企业对信息网络安全方面的需求主要包含：
（1）业务系统与其它信息系统充分隔离。
（2）企业局域网与互联的其它网络充分隔离。
（3）全面的病毒防御体系，恢复已被病毒感染的设备及数据。
（4）关键业务数据必须进行备份，具有完善的灾难恢复功能。
（5）管理员必须对企业信息网络系统的安全状况和安全漏洞进行周期性评估，并根据评估结果采用相应措施。
（6）关键业务数据和敏感数据在公网上的传输必须加密，防止非法获取和篡改。
（7）加强内部人员操作的技术监控，采用强有力的认证系统，代替一些不安全的用户名/口令系统授权模式。
（8）建立完善的入侵审计和监控措施，监视和记录外部或者内部人员可能发起的攻击。
（9）对整个信息系统进行安全审计，可预见管理和总拥有成本控制。
2.2 企业信息网络安全内容
从企业整体考虑，它的信息网络安全包括以下六个方面：
（1）企业信息网络安全策略建设，它是安全系统执行的安全策略建设的依据。
（2）企业信息网络管理体系建设，它是安全系统的安全控制策略和安全系统体系结构建设的依据。
（3）企业信息网络资源管理体系建设，它是安全系统体系结构规划的依据。
（4）企业信息网络人员管理建设，它是保障安全系统可靠建设、维护和应用的前提。
（5）企业信息网络工程管理体系建设，信息安全系统工程必须与它统一规划和管理。
（6）企业信息网络事务持续性保障规划，它是信息安全事件处理和安全恢复系统建设的依据。
3 企业信息网络安全架构
3.1 企业信息网络安全系统设计
安全系统设计是在信息系统安全策略的基础上，从安全策略的分析中抽象出安全系统及其服务。安全系统的设计如图1所示。安全系统设计的目标是设计出系统安全防御体系，设计和部署体系中各种安全机制从而形成自动的安全防御、监察和反应体系，忠实地贯彻系统安全策略。
3.2 企业信息网络安全系统组建
安全系统设计关心的是抽象定义的系统。具体系统组建是建立在设计基础上的实现。通常系统功能组件的实现方式是软件、硬件和固体等。安全系统组建的另一项重要内容是配制安全系统，并将安全系统与整个信息系统形成一体。
4 企业信息网络安全工程的部署
信息系统安全是信息系统服务质量的要求，网络安全系统应当融于信息网络服务系统之中，其建设与维护应当与信息网络系统的建设和维护保持一致，遵循系统工程的方法。网络安全工程就是应用系统工程建设和维护网络安全系统。
4.1 工程环节
系统工程总是与被建设的系统特性紧密结合，工程环节与系统生命周期保持同步。安全系统的生命周期也是基本如此，因而安全系统工程典型的基本环节包括信息系统安全需求分析、安全系统设计、安全系统组建、安全系统认证、系统安全运行维护和安全系统改造等，如图2所示。
（1）安全的互联网接入。
企业内部网络的每位员工要随时登录互联网，因此Internet接入平台的安全是该企业信息系统安全的关键部分，可采用外部边缘防火墙，其内部用户登录互联网时经过内部防火墙，再由外部边缘防火墙映射到互联网。外部边缘防火墙与内部防火墙之间形成了DMZ区。
（2）防火墙访问控制。
外部边缘防火墙提供PAT服务，配置IPSec加密协议实现VPN拨号连接以及端到端VPN连接，并通过扩展ACL对进出防火墙的流量进行严格的端口服务控制。
内部防火墙处于内部网络与DMZ区之间，它允许内网所有主机能够访问DMZ区，但DMZ区进入内网的流量则进行严格的过滤。
（3）用户认证系统。
用户认证系统主要用于解决拨号和VPN接入的安全问题，它是从完善系统用户认证、访问控制和使用审计方面的功能来增强系统的安全性。
拨号用户和VPN用户身份认证在主域服务器上进行，用户账号集中在主域服务器上开设。系统中设置严格的用户访问策略和口令策略，强制用户定期更改口令。同时配置VPN日志服务器，记录所有VPN用户的访问，作为系统审计的依据。
（4）入侵检测系统。
企业可在互联网流量汇聚的交换机处部署入侵检测系统，它可实时监控内网中发生的安全事件，使得管理员及时做出反应，并可记录内部用户对Internet的访问，管理者可审计Internet接入平台是否被滥用。
（5）网络防病毒系统。
企业应全面地布置防病毒系统，包括客户机、文件服务器、邮件服务器和OA服务器。
（6）VPN加密系统。
企业可建立虚拟专网VPN，主要为企业移动办公的员工提供通过互联网访问企业内网OA系统，同时为企业内网用户访问公司的SAP系统提供VPN加密连接。
需要注意的是，由于VPN机制需要执行加密和解密过程，其传输效率将降低30％～40％，因此对于关键业务，如果有条件应该尽可能采用数据专线方式。
（7）网络设备及服务器加固。
企业网络管理员应定期对各种网络设备和主机进行安全性扫描和渗透测试，及时发现漏洞并采取补救措施。安全性扫描主要是利用一些扫描工具，模拟黑客的方法和手段，以匿名身份接入网络，对网络设备和主机进行扫描并进行分析，目的是发现系统存在的各种漏洞。
根据安全扫描和渗透测试的结果，网络管理员即可有针对性地进行系统加固，具体加固措施包括：关闭不必要的网络端口；视网络应用情况禁用ICMP、SNMP等协议；安装最新系统安全补丁；采用SSH而不是Telnet进行远程登录；调整本地安全策略，禁用不需要的系统缺省服务；启用系统安全审计日志。
（8）办公电脑安全管理系统。
企业应加强对桌面电脑的安全管理。主要有：
①补丁管理：主要用于修复桌面电脑系统漏洞，避免蠕虫病毒、黑客攻击和木马程序等。
②间谍软件检测：能够自动检测和清除来自间谍软件、广告软件、键盘记录程序、特洛伊木马和其他恶意程序的已知威胁。
③安全威胁分析：能够自动检测桌面电脑的配置风险，包括共享、口令、浏览器等安全问题，并自动进行修补或提出修改建议。
④应用程序阻止：用户随意安装的游戏等应用程序可能导致系统紊乱、冲突，影响正常办公。管理员可以通过远程执行指令，阻止有关应用程序的运行。
⑤设备访问控制：对用户电脑的硬件采用适当的访问控制策略，防止关键数据丢失和未授权访问。
（9）数据备份系统。
企业应制定备份策略，定期对一些重要数据进行备份。
4.2 持续性计划
（1）架构评估。
企业网络信息安全管理架构的评估应由IT部门、相关责任部门以及终端用户代表来共同参与，确保所有的部门都能纳入安全框架中。
（2）系统安全运行管理。
要保障信息系统安全，就必须维护安全系统充分发挥作用的环境。这种环境包括安全系统的配置、系统人员的安全职责分工与培训。
（3）安全系统改造。
信息系统安全的对抗性必然导致信息安全系统不断改造。导致安全系统改造的因素可以归结为4个方面：技术发展因素；系统环境因素；系统需求因素；安全事件因素。
（4）网络安全制度建设及人员安全意识教育。
企业应当采取积极防御措施，主动防止非授权访问操作，从客户端操作平台实施高等级防范，使不安全因素在源头被控制。这对工作流程相对固定的重要信息系统显得更为重要而可行。
需开展计算机安全意识教育和培训，加强计算机安全检查，以此提高最终用户对计算机安全的重视程度。为各级机构的系统管理员提供信息系统安全方面的专业培训，提高处理计算机系统安全问题的能力。
参考文献
［1］赵迪,赵望达,刘静.基于B/S架构的安全生产监督管理信息系统［J］,中国公共安全(学术版),2006,(04).［2］周敏文,谭海文.浅析我国安全生产信息化建设的现状与对策［J］,露天采矿技术,2005,(06).
篇4
1 风电企业信息网络规划和安全需求
1.1 风电企业信息网络规划
一般情况下，风电公司本部均设在远离下属风电场的城市中，下属风电场只做为单纯的生产单元，以国电云南新能源公司为例，本部设在昆明，在云南省拥有多个地州上的风电场，各项工作点多面广、战线长，为有效提高公司管理效率，已建成全省范围安全可靠信息传输网络。本部与各风电场通过ISP提供的专线连接，项目部、外地出差、临时办公机构也能通过INTERNET网以VPN方式联入公司网络，基本满足公司日常管理和安全生产的需要。
图1
1.2风电企业信息网络安全需求分析
从图1可以看出，一般现在风电场的网络不仅要满足管理的日常信息化需求，还要满足于电网交换信息的需求，所以风电场的网络安全任务就是要符合国家和集团的有关电力二次安全规定。严格执行“安全分区、网络专用、横向隔离、纵向认证”的要求，以防范对电网和风电场计算机监控系统及调度数据网络的攻击侵害及由此引起的电力系统事故，保障其安全、稳定、经济运行。
2 风电企业信息网络安全防护体系建设
2.1 网络安全原则
根据国家电监办安全[2012]157号文《关于印发风电、光伏和燃气电厂二次系统安全防护技术规定（试行）的通知》的相关要求，风电场的网络二次安全防护基本原则是以下几点：
2.1.1 安全分区：按照《电力二次系统安全防护规定》，将发电厂基于计算机及网络技术的业务系统划分为生产控制大区和管理性，重点保护生产控制以及直接影响电力生产运行的系统。
2.1.2 网络专用：电力调度数据网是与生产控制大区相连接的专用网络，发电厂段的电力数据网应当在专用通道上使用独立的网络设备组网，物理上与发电厂其他管理网络和外部公共信息网络安全隔离。
2.1.3 横向隔离：在生产控制大区域管理信息大区之间必须部署经国家指定部门检测认证的电力专用横向单向隔离装置。
2.1.4 纵向认证：发电厂生产控制大区与调度数据网的纵向连接处应设置经国家指定部门检测认证的电力专用加密认证装置，实现双向身份认证、数据加密和访问控制。
2.2 安全部署方案
风电场业务系统较为繁多，根据相关规定，我们对风电场的业务系统基本分区见表1：
根据划分结果，我们针对不同的分区之间设定了防护方案，部署示意图如图2：
2.2.1生产控制大区与管理信息大区边界安全防护：目前公司从生产控制大区内接出的数据只有风电场监控系统，部署了一套珠海鸿瑞生产的Hrwall-85M-II单比特百兆网闸，保证他们之间的数据是完全单向的由生产控制大区流向管理信息大区。
2.2.2控制区与非控制区边界安全防护：在风电场监控系统与风功率预测系统、状态监测系统等进行信息交换的网络边界处安装了防火墙和符合电网规定的正方向隔离装置。
2.2.3系统间的安全防护：风电场同属控制区的各监控系统之间采用了具有访问控制功能的防火墙进行逻辑隔离。
2.2.4纵向边界防护：风电场生产控制大区系统与调度端系统之间采用了符合国家安全检测认证的电力专用纵向加密认证装置，并配有加密认证网关及相应设施，与调度段实现双向身份认证、数据和访问控制。
2.2.5与本部网络边界安全防护：风电场监控系统与生产厂家、公司SIS系统之间进行数据交换，均采用了符合国家和集团规定的单向单比特隔离网闸。同时禁止厂商以任何方式远程直接接入风电场网络。
2.3 防病毒措施
从某种意义上说，防止病毒对网络的危害关系到整个系统的安全。防病毒软件要求覆盖所有服务器及客户端。对关键服务器实时查毒，对于客户端定期进行查毒，制定查毒策略，并备有查杀记录。病毒防护是调度系统与网络必须的安全措施。病毒的防护应该覆盖所有生产控制大区和管理信息大区的主机与工作站。特别在风电场要建立独立的防病毒中心，病毒特征码要求必须以离线的方式及时更新。
2.4 其他安全防护措施
2.4.1 数据与系统备份。对风电场SIS系统和MIS系统等关键应用的数据与应用系统进行备份，确保数据损坏、系统崩溃情况下快速恢复数据与系统的可用性。
2.4.2 主机防护。主机安全防护主要的方式包括：安全配置、安全补丁、安全主机加固。
安全配置：通过合理地设置系统配置、服务、权限，减少安全弱点。禁止不必要的应用，作为调度业务系统的专用主机或者工作站， 严格管理系统及应用软件的安装与使用。
安全补丁：通过及时更新系统安全补丁，消除系统内核漏洞与后门。
主机加固：安装主机加固软件，强制进行权限分配，保证对系统的资源（包括数据与进程）的访问符合定义的主机安全策略，防止主机权限被滥用。
3 建立健全安全管理的工作体系
安全防护工作涉及企业的建设、运行、检修和信息化等多个部门，是跨专业的系统性工作，加强和规范管理是确实保障电力二次系统的重要措施，管理到位才能杜绝许多不安全事件的发生。因此建立健全安全管理的工作体系，第一是要建立完善的安全管理制度，第二是要明确各级的人员的安全职责。
参考文献
篇5
【关键词】Cisco路由器 交换机 安全加固
由“木桶”原理可以得知，一个木桶可以装多少水，受到该木桶最短的那块木板所决定。具体到信息系统的安全也是同样的道理，整个信息系统的安全程度也受到信息系统之中最薄弱的环节所决定，网络作为信息系统的主体，其安全需求的重要性是显而易见的。本文主要对石油企业Cisco路由器及交换机安全加固措施进行分析，旨在为石油企业的网络安全运行提供一定的参考依据。
1 概述
目前，很多石油企业局域网的建设全部或者部分采用Cisco（“思科”）的路由器与交换机，究其原因，笔者认为，这主要是由于该设备的功能非常强大，工作性能稳定性好，其互联网操作系统（IOS）在网络安全策略等方面均具有独特的考虑，使用IOS的安全策略功能，不需要单独地购置安全管理软件，就能够很好地实现绝大部分的安全功能，使得石油企业局域网运行于较安全的环境之中。
运用Cisco的路由器与交换机，构筑成为一个典型的基于第三层交换技术的高性能千兆石油企业局域网，其具体拓扑结构示意图如图1所示，以Catalyst-4006作为核心交换机，5台Catalyst-2950G构成汇聚层，20台Catalyst-2924与Catalyst-1924构成接入层，1台4500型路由器做边缘路由器，通过2MDDN线路与CERNET地区网络中心相连接，1台2511型做远程访问服务器，作用是提供拨号用户使用。
应用Cisco路由器与交换机，石油企业可实现如下几个方面的网络安全策略：路由器安全策略、用户主机安全策略、交换机安全策略、服务器安全策略以及网络访问安全策略等。
2 Cisco路由器安全加固策略
众所周知，对于一个网络而言，路由器是网络的核心部分，其实际配置情况对整个网络的正常工作与运行均具有十分重要的意义与价值，在实际过程中，应只允许授权的主机对路由器进行远程登录，而禁止未授权的主机进行登录。在路由器的全局配置条件下，设置标准访问控制表，且在全部的虚接口上进行应用，应用的方向为in，如此，就能够很好地保证只有授权的主机远程登录路由器且修改其配置，实际过程中，路由器的主要配置为：
access-list 1 permit 202.115.145.66 line vty 04
access-class 1 in
表示仅允许主机202.115.145.66远程登录至路由器。
3 Cisco交换机安全加固策略
3.1 Cisco交换机地址的配置
为了能够便于管理，可将交换机配置IP地址。例如可将IP地址进行配置，192.168.0.0，就能够禁止非本企业的主机对交换机进行访问。将企业内全部的交换机均应置于一个虚拟网络之中（常见的为VLAN-2）之中，在交换机之中可进行如下配置：
Interface vlan 2
in address 192.168.0.3 255.255.255.0
3.2 配置允许访问交换机的主机
经过上述的安全加固策略的实施，Cisco交换机的访问被限制于石油企业内部，而且还能够在石油企业内部网络的三层交换机4006上面，将访问控制表进行配置，将其用于Cisco交换机的虚拟网络之中，应用的方向属于in，仅仅允许石油企业内所指定的主机能够访问该交换机所在的虚拟网络，而其他主机（如其他石油企业的主机）不能对该虚拟网络进行访问，那么这就阻止了其对本石油企业Cisco交换机的访问，因此也就无法获取本企业Cisco交换机中的任何数据。在三层交换机4006型上进行如下的配置：
access-list 10 permit 202.115.145.66
interface vlan 2
in access-group 10 in
经过上述安全加固策略的实施，只有IP地址为202.115.145.66的配置能够访问本石油企业局域网网络交换机。
3.3 允许远程登录交换机主机的配置
允许访问交换机的主机，应该注意对远程登录该交换机的过程进行限制。只允许被授权的主机进行登录，从而对相关的配置参数加以修改。在交换机的全局配置条件下，设置标准的访问控制表，用于虚拟接口的0～15上面，应用的方向为in。交换机上面的具体配置如下：
access-list 1 permit 202.115.145.66
line vty 0 15
access-class 1 in
如此，仅仅允许主机202.115.145.66对交换机进行远程登录，从而能够修改交换机的具体配置。
4 结论
综上所述，本研究主要对Cisco路由器与交换机在石油企业网络之中的安全策略。若在石油企业网络构建过程中，采用本文所提出的网络安全解决策略，能够很好地满足石油企业的绝大多数安全需求，以最大程度地减少网络建设所需的各种费用。
参考文献
[1]张秀梅.网络入侵防御系统的分析与设计[J].信息与电脑，2009（07）：1-2.
[2]马丽，袁建生，王雅超.基于行为的入侵防御系统研究[J].网络安全技术与应用，2010（06）：33-35.
[3]郭翔，谢宇飞，李锐.校园网层次型网络安全设计[J].科技资讯，2010（9）：26.
[4]杨森.浅谈思科路由器使用安全对策[J].房地产导刊，2013（7）：371-372.
[5]王均.杨善林.VLAN技术在网络中的应用[J].电脑与信息技术，2000，（2）.
篇6
中图分类号： F407 文献标识码： A 文章编号：
引言
信息化是一把“双刃剑”，在提高企业工作效率、管理水平以及整体竞争能力的同时，也给企业带来了一定的安全风险，并且伴随着企业信息化水平的提高而逐渐增长。因此，提升企业的信息系统安全防护能力，使其满足国家等级保护的规范性要求，已经成为现阶段信息化工作的首要任务。对于电力企业的信息系统安全防护工作而言，应等级保护要求，将信息管理网络划分为信息内网与信息外网，并根据业务的重要性划分出相应的二级保护系统与三级保护系统，对三级系统独立成域，其余二级系统统一成域，并从边界安全、主机安全、网络安全、应用安全等方面对不同的安全域对防护要求进行明确划分。
1现阶段电力企业网络风险分析
1.1服务器区域缺少安全防护措施
大部分电力企业的服务器都是直接接入本单位的核心交换机，然而各网段网关都在核心交换机上，未能对服务器区域采取有效的安全防护措施。
1.2服务器区域和桌面终端区域之间的划分不明确
因服务器和桌面终端的网关都在核心交换机上，不能实现对于域的有效划分。
1.3网络安全建设缺乏规划
就现阶段的电力企业网络安全建设而言，普遍存在着缺乏整体安全设计与规划的现状，使整个网络系统成为了若干个安全产品的堆砌物，从而使各个产品之间失去了相应的联动，不仅在很大程度上降低了网络的运营效率，还增加了网络的复杂程度与维护难度。
1.4系统策略配置有待加强
在信息网络中使用的操作系统大都含有相应的安全机制、用户与目录权限设置以及适当的安全策略系统等，但在实际的网络安装调试过程中，往往只使用最宽松的配置，然而对于安全保密来说却恰恰相反，要想确保系统的安全，必须遵循最小化原则，没有必要的策略在网络中一律不配置，即使有必要的，也应对其进行严格限制。
1.5缺乏相应的安全管理机制
对于一个好的电力企业网络信息系统而言，安全与管理始终是分不开的。如果只有好的安全设备与系统而没有完善的安全管理体系来确保安全管理方法的顺利实施，很难实现电力企业网络信息系统的安全运营。对于安全管理工作而言，其目的就是确保网络的安全稳定运行，并且其自身应该具有良好的自我修复性，一旦发生黑客事件，能够在最大程度上挽回损失。因此，在现阶段的企业网络安全建设工作过程中，应当制订出完善的安全检测、人员管理、口令管理、策略管理、日志管理等管理方法。
2等级保护要求下电力企业网络安全建设防护的具体措施
2.1突出保护重点
对于电力企业而言，其投入到信息网络安全上的资源是一定的。从另外一种意义上讲，当一些设备存在相应的安全隐患或者发生破坏之后，其所产生的后果并不严重，如果投入和其一样重要的信息资源来保护它，显然不满足科学性的要求。因此，在保护工作过程中，应对需要保护的信息资产进行详细梳理，以企业的整体利益为出发点，确定出重要的信息资产或系统，然后将有限的资源投入到对于这些重要信息资源的保护当中，在这些重要信息资源得到有效保护的同时，还可以使工作效率得到很大程度的提高。
2.2贯彻实施3层防护方案
在企业网络安全建设过程中，应充分结合电力企业自身网络化特点，积极贯彻落实安全域划分、边界安全防护、网络环境安全防护的3层防护设计方案。在安全防护框架的基础上，实行分级、分域与分层防护的总体策略，以充分实现国家等级防护的基本要求。
(1)分区分域。统一对直属单位的安全域进行划分，以充分实现对于不同安全等级、不同业务类型的独立化与差异化防护。
(2)等级防护。遵循“二级系统统一成域，三级系统独立成域”的划分原则，并根据信息系统的定级情况，进行等级安全防护策略的具体设计。
(3)多层防护。在此项工作的开展过程中，应从边界、网络环境等多个方面进行安全防护策略的设计工作。
2.3加强安全域划分
安全域是指在同一环境内具有一致安全防护需求、相互信任且具有相同安全访问控制与边界控制的系统。加强对于安全域的划分，可以实现以下目标：
(1)实现对复杂问题的分解。对于信息系统的安全域划分而言，其目的是将一个复杂的安全问题分解成一定数量小区域的安全防护问题。安全区域划分可以有效实现对于复杂系统的安全等级防护，是实现重点防护、分级防护的战略防御理念。
(2)实现对于不同系统的差异防护。基础网络服务、业务应用、日常办公终端之间都存在着一定的差异，并且能够根据不同的安全防护需求，实现对于不同特性系统的归类划分，从而明确各域边界，对相应的防护措施进行分别考虑。
(3)有效防止安全问题的扩散。进行安全区域划分，可以将其安全问题限定在其所在的安全域内，从而有效阻止其向其他安全域的扩散。在此项工作的开展过程中，还应充分遵循区域划分的原则，将直属单位的网络系统统一划分为相应的二级服务器域与桌面终端域，并对其分别进行安全防护管理。在二级系统服务器域与桌面域间，采取横向域间的安全防护措施，以实现域间的安全防护。
2.4加强对于网络边界安全的防护
对于电力企业的网络边界安全防护工作而言，其目的是使边界避免来自外部的攻击，并有效防止内部人员对外界进行攻击。在安全事件发生之前，能够通过对安全日志与入侵事件的分析，来发现攻击企图，在事件发生之后可以通过对入侵事件记录的分析来进行相应的审查追踪。
(1)加强对于纵向边界的防护。在网络出口与上级单位连接处设立防火墙，以实现对于网络边界安全的防护。
(2)加强对于域间横向边界的防护。此项防护是针对各安全区域通信数据流传输保护所制定出的安全防护措施。在该项工作的开展过程中，应根据网络边界的数据流制定出相应的访问控制矩阵，并依此在边界网络访问控制设备上设定相应的访问控制规则。
2.5加强对于网络环境的安全防护
(1)加强边界入侵检测。以网络嗅探的方式可以截获通过网络传输的数据包，并通过相应的特征分析、异常统计分析等方法，及时发现并处理网络攻击与异常安全事件。在此过程中，设置相应的入侵检测系统，能够及时发现病毒、蠕虫、恶意代码攻击等威胁，能够有效提高处理安全问题的效率，从而为安全问题的取证提供有力依据。
(2)强化网络设备安全加固。安全加固是指在确保业务处理正常进行的情况下，对初始配置进行相应的优化，从而提高网络系统的自身抗攻击性。因此，在经过相应的安全评估之后，应及时发现其中隐藏的安全问题，对重要的网络设备进行必要的安全加固。
(3)强化日志审计配置。在此项工作的开展过程中，应根据国家二级等级保护要求，对服务器、安全设备、网络设备等开启审计功能，并对这些设备进行日志的集中搜索，对事件进行定期分析，以有效实现对于信息系统、安全设备、网络设备的日志记录与分析工作。
结语
综上所述，对于现阶段电力企业信息网络而言，网络安全建设是一个综合性的课题，涉及到技术、使用、管理等许多方面，并受到诸多因素的影响。在电力企业网络安全建设过程中，应加强对于安全防护管理体系的完善与创新，以严格的管理制度与高素质管理人才，实现对于信息系统的精细化、准确化管理，从而切实促进企业网络安全建设的健康、稳步发展。
参考文献：
篇7
引言
美国等发达国家，通过Internet进行电子商务的交易已成为潮流。随着internet的发展和网络基础设施的不断完善，我国的电子商务虽已初具规模，但是安全问题却成为发展电子商务亟待解决的问题。电子商务过程中，买卖双方是通过网络联系的，由于internet是开放性网络，建立交易双方的安全和信任关系较为困难，因此本文对电子商务网络支付上的安全问题进行探讨分析。
1、电子商务的概念和特点
1）电子商务的概念：电子商务（ElectronicCommerce）是通过电信网络进行的生产、营销、销售、流通等活动，不仅是指基于因特网上的交易，而且还指利用电子信息技术实现解决问题、降低成本、增加价值、创造商机的商务活动[1]。
2）电子商务的特点：（1）电子商务将传统的商务流程电子化、数字化。不仅以电子流代替了实物流，大量减少了人力物力，降低了成本；而且突破了时间空间的限制，使得交易活动可在任何时间、任何地点进行，大大提高了效率。（2）电子商务使企业能以较低成本进入全球电子化市场,也使中小企业可能拥有与大企业一样的信息资源，提高了中小企业的竞争能力。（3）电子商务重新定义了传统的流通模式，减少了中间环节，使得生产者和消费者的直接交易成为可能，从而一定程度上改变了社会经济的运行方式。（4）电子商务提供了丰富的信息资源，为社会经济要素的重新组合提供了更多的可能，这将影响到社会的经济布局和结构。
2、电子商务安全的技术体系
1）物理安全。首先根据国家标准、信息安全等级和资金状况，制定适合的物理安全要求，并经建设和管理达到相关标准[2]。再者，关键的系统资源（包括主机、应用服务器、安全隔离网闸GAP等设备），通信电路以及物理介质（软/硬磁盘、光盘、IC卡、PC卡等）、应有加密、电磁屏蔽等保护措施，均应放在物理上安全的地方。
2）网络安全。网络安全是电子商务的基础。为了保证电子商务交易顺利进行，要求电子商务平台要稳定可靠，能够不中断地提供服务。系统的任何中断（如硬件、软件错误，网络故障、病毒等）都可能导致电子商务系统不能正常工作，而使贸易数据在确定的时刻和地点的有效性得不到保证，往往会造成巨大的经济损失。
3）商务安全。主要是指商务交易在网络媒介中出现的安全问题，包括防止商务信息被窃取、篡改、伪造、交易行为被抵赖，即要实现电子商务的保密性、完整性、真实性、不可抵赖性。商务安全的各方面也要通过不同的网络安全技术和安全交易标准实现，加解密技术保证了交易信息的保密性，也解决了用户密码被盗取的问题；数字签名是实现对原始报文完整性的鉴别，它与身份认证和审查系统一起可杜绝交易的伪造和抵赖行为。保证电子商务安全的主要技术有：在线支付协议（安全套接层SSL协议和安全电子交易SET协议）、文件加密技术、数字签名技术、电子商务认证中心（CA）。
4）系统安全。主要是保护主机上的操作系统与数据库系统的安全。对于保护系统安全，总体思路是：通过安全加固，解决管理方面安全漏洞；然后采用安全技术设备，增强其安全防护能力。
3、安全管理过程监督
3.1加强全过程的安全管理
1）网络规划阶段，就要加强对信息安全建设和管理的规划。信息安全建设需要投入一定的人力、物力、财力。要根据状况实事求是地确定网络的安全总体目标和阶段目标、分段实施、降低投资风险。
2）工程建设阶段，建设管理单位要将安全需求的汇总和安全性能功能的测试，列入工程建设各个阶段工作的重要内容，要加强对开发（实施）人员、版本控制的管理，要加强对开发环境、用户路由设置、关键代码的检查[3]。
3）在运行维护阶段，要注意以下事项：(1)建立有效的安全管理组织架构，明确职责，理顺流程，实施高效管理。(2)按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。(3)制定完善的安全管理制度，加强信息网的操作系统、数据库、网络设备、应用系统运行维护过程的安全管理。(4)要建立应急预察体系，建立网络安全维护日志，记录与安全性相关的信息及事件，有情况出现时便于跟踪查询，还要定期检查日志，以便及时发现潜在的安全威胁。
3.2建立动态的闭环管理流程
网络处于不断地建设和调整中，可能发现新的安全漏洞，因此需要建立动态的、闭环的管理流程。要在整体安全策略的控制和指导下，通过安全评估和检测工具（如漏洞扫描，入侵检测等）及时了解网络存在的安全问题和安全隐患，据此制定安全建设规划和加固方案，综合应用各种安全防护产品（如防火墙、身份认证等手段），将系统调整到相对安全的状态。并要注意以下两点：1）对于一个企业而言，安全策略是支付信息安全的核心，因此制定明确的有效的安全策略是非常重要的。安全组织要根据这个策略制定详细的流程、规章制度、标准和安全建设规划、方案，保证这些系列策略规范在整个企业范围内贯彻实施，从而保护企业的投资和信息资源安全。2）要制定完善的、符合企业实际的信息安全策略，就须先对企业信息网的安全状况进行评估，即对信息资产的安全技术和管理现状进行评估，让企业对自身面临的安全威胁和问题有全面的了解，从而制定针对性的安全策略，指导信息安全的建设和管理工作。新晨
4、结束语
本文分析了目前电子商务网络支付安全方面的主要技术状况，安全技术可以说是网络技术中较为尖端的技术，都是非常先进的技术手段；只要运用得当，配合相应的安全管理措施，基本能够保证电子商务中网络支付的安全；但不是100％的绝对安全，而是相对安全。随着网络安全技术的进步与信用机制的完善，网络支付定会越来越安全。
参考文献
篇8
0引言
美国等发达国家，通过Internet进行电子商务的交易已成为潮流。随着internet的发展和网络基础设施的不断完善，我国的电子商务虽已初具规模，但是安全问题却成为发展电子商务亟待解决的问题。电子商务过程中，买卖双方是通过网络联系的，由于internet是开放性网络，建立交易双方的安全和信任关系较为困难，因此本文对电子商务网络支付上的安全问题进行探讨分析。
1电子商务的概念和特点
1）电子商务的概念：电子商务（Electronic Commerce）是通过电信网络进行的生产、营销、销售、流通等活动，不仅是指基于因特网上的交易，而且还指利用电子信息技术实现解决问题、降低成本、增加价值、创造商机的商务活动[1]。
2）电子商务的特点：（1）电子商务将传统的商务流程电子化、数字化。不仅以电子流代替了实物流，大量减少了人力物力，降低了成本；而且突破了时间空间的限制，使得交易活动可在任何时间、任何地点进行，大大提高了效率。（2）电子商务使企业能以较低成本进入全球电子化市场，也使中小企业可能拥有与大企业一样的信息资源，提高了中小企业的竞争能力。（3）电子商务重新定义了传统的流通模式，减少了中间环节，使得生产者和消费者的直接交易成为可能，从而一定程度上改变了社会经济的运行方式。（4）电子商务提供了丰富的信息资源，为社会经济要素的重新组合提供了更多的可能，这将影响到社会的经济布局和结构。
2电子商务安全的技术体系
1）物理安全。首先根据国家标准、信息安全等级和资金状况，制定适合的物理安全要求，并经建设和管理达到相关标准[2]。再者，关键的系统资源（包括主机、应用服务器、安全隔离网闸GAP等设备），通信电路以及物理介质（软/硬磁盘、光盘、IC卡、PC卡等）、应有加密、电磁屏蔽等保护措施，均应放在物理上安全的地方。
2）网络安全。网络安全是电子商务的基础。为了保证电子商务交易顺利进行，要求电子商务平台要稳定可靠，能够不中断地提供服务。系统的任何中断（如硬件、软件错误，网络故障、病毒等）都可能导致电子商务系统不能正常工作，而使贸易数据在确定的时刻和地点的有效性得不到保证，往往会造成巨大的经济损失。
3）商务安全。主要是指商务交易在网络媒介中出现的安全问题，包括防止商务信息被窃取、篡改、伪造、交易行为被抵赖，即要实现电子商务的保密性、完整性、真实性、不可抵赖性。商务安全的各方面也要通过不同的网络安全技术和安全交易标准实现，加解密技术保证了交易信息的保密性，也解决了用户密码被盗取的问题；数字签名是实现对原始报文完整性的鉴别，它与身份认证和审查系统一起可杜绝交易的伪造和抵赖行为。保证电子商务安全的主要技术有：在线支付协议（安全套接层SSL协议和安全电子交易SET协议）、文件加密技术、数字签名技术、电子商务认证中心（CA）。
4）系统安全。主要是保护主机上的操作系统与数据库系统的安全。对于保护系统安全，总体思路是：通过安全加固，解决管理方面安全漏洞；然后采用安全技术设备，增强其安全防护能力。
3安全管理过程监督
3.1加强全过程的安全管理
1）网络规划阶段，就要加强对信息安全建设和管理的规划。信息安全建设需要投入一定的人力、物力、财力。要根据状况实事求是地确定网络的安全总体目标和阶段目标、分段实施、降低投资风险。2）工程建设阶段，建设管理单位要将安全需求的汇总和安全性能功能的测试，列入工程建设各个阶段工作的重要内容，要加强对开发（实施）人员、版本控制的管理，要加强对开发环境、用户路由设置、关键代码的检查[3]。3）在运行维护阶段，要注意以下事项：(1)建立有效的安全管理组织架构，明确职责，理顺流程，实施高效管理。(2)按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。(3)制定完善的安全管理制度，加强信息网的操作系统、数据库、网络设备、应用系统运行维护过程的安全管理。(4)要建立应急预察体系，建立网络安全维护日志，记录与安全性相关的信息及事件，有情况出现时便于跟踪查询，还要定期检查日志，以便及时发现潜在的安全威胁。
3.2建立动态的闭环管理流程
网络处于不断地建设和调整中，可能发现新的安全漏洞，因此需要建立动态的、闭环的管理流程。要在整体安全策略的控制和指导下，通过安全评估和检测工具（如漏洞扫描，入侵检测等）及时了解网络存在的安全问题和安全隐患，据此制定安全建设规划和加固方案，综合应用各种安全防护产品（如防火墙、身份认证等手段），将系统调整到相对安全的状态。并要注意以下两点：1）对于一个企业而言，安全策略是支付信息安全的核心，因此制定明确的有效的安全策略是非常重要的。安全组织要根据这个策略制定详细的流程、规章制度、标准和安全建设规划、方案，保证这些系列策略规范在整个企业范围内贯彻实施，从而保护企业的投资和信息资源安全。2）要制定完善的、符合企业实际的信息安全策略，就须先对企业信息网的安全状况进行评估，即对信息资产的安全技术和管理现状进行评估，让企业对自身面临的安全威胁和问题有全面的了解，从而制定针对性的安全策略，指导信息安全的建设和管理工作。
4结束语
本文分析了目前电子商务网络支付安全方面的主要技术状况，安全技术可以说是网络技术中较为尖端的技术，都是非常先进的技术手段；只要运用得当，配合相应的安全管理措施，基本能够保证电子商务中网络支付的安全；但不是100％的绝对安全，而是相对安全。随着网络安全技术的进步与信用机制的完善，网络支付定会越来越安全。
参考文献
篇9
甘肃天梭信息安全技术有限公司（简称天梭）是一家专门从事网络和网络信息安全产品以及相关技术应用、咨询的专业服务公司。公司拥有多名经验丰富的行业技术顾问和技术专家，致力于网络信息安全的推广、咨询、方案集成等相关服务。公司宗旨是以专业的技术、优质的服务快速响应网络以及网络安全的需求和技术发展，着重于政府、企业、高校、证券、金融等行业的信息安全问题。针对各行业背景的需求，不断开发、完善安全应用系统，建立高效专业的服务体系，协助客户规划、制定和实施全方位的安全方案，面向各行业客户提供专业的技术支持和个性化服务。
天梭的核心产品涉及Web应用防火墙，专利级Web入侵异常检测技术，对Web应用实施全面、深度防御，能够有效识别、阻止日益盛行的Web应用黑客攻击 （如SQL注入、钓鱼攻击、表单绕过、缓冲区溢出、CGI扫描、目录遍历等）。
Web弱点扫描器：以Web漏洞风险为导向，通过对Web应用（包括Web2.0、JavaScript、Flash等）进行深度遍历，以安全风险管理为基础，支持各类web应用程序的扫描。
智能流量管理系统：作为业界领先的应用优化与流量管控解决方案，Maxnet AOS以DPI（ Deep Packet Inspect，深度包检测）和DFI （Deep/Dynamic Flow Inspection，深度流行为检测）技术为核心，结合带宽自动分配算法、令牌桶算法、随机公平队列等技术， 能够全面识别和控制包括P2P、VoIP、视频流媒体、HTTP、网络游戏、数据库及中间件等在内的多种应用，提供虚拟带宽通道划分、 最大带宽限制、保证带宽、带宽租借、应用优先级、Per-IP带宽控制、Per-Net带宽控制、随机公平队列等一系列带宽管理功能，为用户提供主动式、智能化、可视化的带宽管理服务，为用户应用优化与带宽管控、流量管理以及网络规划提供科学的依据。
篇10
一、前言
现代的通信技术发展飞速，网络的普及改变了我们的生活方式和交流方式，成为我们与人联系的主要途径。但因为互联网往是开放的，所以在网络工程中还有着很多的安全问题，对我们的网络环境造成影响。所以，研究网络工程中的安全防护技术非常重要，下面就针对网络工程中的安全防护尽心初步的分析。
二、网络工程中容易出现的问题
1.黑客问题
黑客一词源于英语中的hacker，是指利用网络中的漏洞破坏他人的网络和窃取他人资料的人，在黑客进行攻击时，主要有两种方式：破坏性攻击、非破坏性攻击。破坏性攻击是指黑进电脑的系统中，达到自己盗窃信息的目的。非破坏性攻击一般来说是妨碍电脑的正常运行，以妨碍为主要的破坏目的，但没有盗窃他人电脑中的重要资料，阻止计算机正常服务和信息轰炸对电脑系统进行破坏。黑客会对我们的电脑安全产生很大的隐患。
2.计算机中病毒
计算机中毒显现对网络工程的安全有着很大的影响，而且计算机病毒具有破坏系统，传染其他电脑的特点，计算机的病毒不是计算机自身产生的，而是病毒的编写者将指令和程序植入到计算机的系统中，计算机病毒是认为制造的，它会严重影响计算机系统的正常工作，给用户带来很大的危害。计算机病毒具有破坏力强、传播速度快而且不容易被发现，尤其是一些木马病毒、震网、火焰等病毒，通过网络进行传播后，一旦被传播，会对计算机内的资源造成毁坏，所以，计算机中毒是保证网络安全的重要问题。
3.IP地址被盗IP地址被盗用也是我们网络工程区安全中的问题之一，如果我们的IP地址被盗用，我们的计算机就无法正常的上网，使用网络。在区域网络中常常出现这种情况，用户被告知IP地址已被占用，使我们无法进行网络连接。这些IP地址的权限一般来说比较高，盗窃者会用不知名的信息来打扰用户的使用，使我们的自身权益受到了严重的侵害，也对网络的安全性造成了非常恶劣的影响。
4.垃圾邮件
现在的垃圾邮件让我们的网络安全受到了很多负担，垃圾邮件就是那些不是用户自愿接受的邮件，却无法组织收到垃圾邮件。垃圾邮件会严重损害我们使用邮件时的效率。对我们的网络造成不必要的负担，也让我们的网络安全收到了很大的威胁，垃圾邮件会减慢我们系统的使用效率，也浪费了大量的网络资源，如果垃圾邮件的数量过多还会危害整个网络工程。
5.系统出错
计算机系统出错也会给我们的网络工程安全带来很大的影响。在计算机网络工程中，网络的管理体制还不是很周全，各个岗位的工作分类还不够明确，在密码方面和权限方面的管理还不是很充足，这些因素会让我们的网络安全收到来自外界的破坏，而且我们的方位意识还不够完全，没有办法有效率的避免计算机系统出错，所以计算机系统出现的问题越来越严重，导致系统无法正常的工作，最终对计算机网络安全产生威胁，所以，增加网络工程中安全防护技术十分重要
三、安全防护技术
1.设置防火墙
预防黑客最简单的方法就是设置防火墙，设置防火墙来过滤不需要的信息是我们网络工程中安全防护技术中最简单有效的方法一。设置防火墙在计算机的外部网络和局域网之间设置防火墙，网络防火墙是一个连接计算机和网络的软件，基本互联网安全机能有：防火墙、木马入侵检测、杀毒软体、信息清理、数值加固等等。基本互联网机能的建设就是互联网工作一个有力的屏障，能高效防止黑客打击、木马打击、无用消息散播以及机密文件被盗取。着重基本互联网安全机能的投资，努力推进基本互联网机能的建设。另外互联网风险是即时发生和变换的，那些已经建成了基本互联网机能的计算机，着重安全机能的提升和平时维修时特别重要的方式。
2.防病毒
着重互联网安全的扩散，安装防病毒软件，比如360安全卫士，金山杀毒等，着重私密信息保护。人类是互联网机能的缔造者，并且人类也是互联网安全中最主要的创造者，使用社会对互联网安全检举，趁早找到互联网发生的各种风险，另外能及时找到互互联网中违法资料扩散的位置，及时查处，保护互联网的纯净。
3.着重基本互联网安全机能的建设
如果缺少对互谅网隐患的认知和了解，一些公司和部门在互联网安全方面的重视度十分低，还未建成完整基本互联网安全机能，这样为互联网安全设置了重大风险。我们要在计算机在攻击前做到有效的识别，防止恶意攻击的破坏。基本互联网机能的建设有：防火墙、木马入侵检测、杀毒软体、信息清理、数值加固等等。互联网工作一个有力的屏障，能高效防止黑客打击、木马打击、无用消息散播以及机密文件被盗取。着重基本互联网安全机能的投资，努力推进基本互联网机能的建设。另外互联网风险是即时发生和变换的，那些已经建成了基本互联网机能的计算机，着重安全机能的提升和平时维修时特别重要的方式。
4.拒绝接受垃圾邮件
拒绝接收垃圾邮件，就要先保护我们的邮件地址，避免随便的使用邮箱地址到处登记，还可以用软件进行管理，过滤垃圾邮件，设置拒接接受垃圾邮件。
5.加强风险防范意识
提升网络安全的风险防范意识也不容小觑，在互联网工程隐患预防的路途中，使用数值锁住技能是特别正确的方式。要透过深化消息私密性管辖来确认计算机运营中的安全。在建设完美的互联网安全机能的基底上实行互联网的实名制梳理不仅可以高效提升自己消息的私密性，更可以更广泛高能的特省互联网的全面安全。另一方面，加深对私密用户的的长期管辖和监理工作，能够有效的控制号码被盗。
参考文献：
篇11
一、事件背景介绍
2017年5月12日，WannaCry蠕虫病毒通过WindowsMS17-010漏洞在全球范围大规模爆发，感染了大量的计算机，随后会向计算机中植入敲诈勒索病毒，导致电脑大量文件被加密。受害者电脑被黑客锁定后，病毒会提示支付价值相当于300美元（约合人民币2069元）的比特币才可解锁。很快，WannaCry勒索病毒出现了变种：WannaCry2.0，与之前版本的不同是，这个变种取消了KillSwitch，即不能通过注册某个域名来关闭变种勒索病毒的传播，该变种传播速度更快。攻击特点：WannaCry利用Windows操作系统445端口存在的漏洞进行传播，并具有自我复制、主动传播的特性。WannaCry主要利用了微软“视窗”系统的漏洞，以获得自动传播的能力，能够在数小时内感染一个系统内的全部电脑。勒索病毒被漏洞远程执行后，会从资源文件夹下释放一个压缩包，此压缩包会在内存中通过密码：WNcry@2ol7解密并释放文件。这些文件包含了后续弹出勒索框的exe，桌面背景图片的bmp，包含各国语言的勒索字体，还有辅助攻击的两个exe文件。这些文件会释放到了本地目录，并设置为隐藏。“永恒之蓝”是NSA泄露的漏洞利用工具的名称，并不是该病毒的名称。“永恒之蓝”是指NSA泄露的危险漏洞“EternalBlue”。
二、油田现阶段网络结构分析
油田网络属于小型局域网，能够实现文件管理、应用软件共享、打印机共享、工作组内的日程安排、电子邮件和传真通信服务等功能。拓扑结构采用星型和树型混合结构。采取这种拓扑结构具有传输速度快、网络构形简单、建网容易、便于控制和管理的优点。因此，局内基本上所有电脑都在使用文件共享和打印机共享，必然会开放139、445等端口，这就为此次蠕虫病毒攻击打开了通道。经分析，总结出以下在平时网络使用中可能引发的网络安全问题：1.未能定时更新安全程序。单位所使用的操作系统多数为Windows操作系统。每隔一段时间微软都会新的安全更新程序，用来修补系统所存在的安全漏洞。但是，很多人认为安装更新程序耗时长，并且会造成系统运行卡顿，占用内存，因此，基本不会主动更新安全程序，甚至会关闭系统自动更新程序开关，来阻止系统进行安全程序更新。2.未能定时查杀病毒。病毒传播的途径有很多，比如：U盘传播、邮件传播、光盘传播和网络传播等。由于局内采用的是局域网，并且多台主机之间实现文件共享，这就容易发生一台主机瘫痪，其余主机跟着瘫痪的不可控局面。这也是此次蠕虫病毒的主要攻击特点。3.安全意识不强。很多人存在侥幸心理，认为病毒的传播没有那么快，补丁象征性的安装一些就行了，没有必要完全安装，需要查杀病毒的时候查杀一下，不需要的时候干脆不去理会，这样的行为就会有很大的安全风险，在病毒爆发的时候，由于没有及时安装安全更新程序或者查杀病毒，很容易发生意想不到的局面。4.没有定期备份文件的习惯。由于单位的计算机主要用于办公，有很多办公需要的资料，一次性备份需要花费较长的时间，而且往往没有如此大内存的存储设备来备份重要文件，员工多将资料直接存储于电脑中，即使发生资料变更也不进行备份，这就给资料的安全性带来了风险，一旦计算机中毒，文件受损，将带来不可挽回的局面。
三、预防措施
关于网络安全的管理和预防，一方面，玉门油田遵从总公司的决定进行桌面安全管理系统2.0的部署，另一方面，个人也应培养良好的网络安全意识，形成良好的网络安全预防习惯。1.桌面安全管理系统2.0。桌面安全管理系统2.0是桌面安全管理系统1.0的升级版，新建系统加固及管控平台两个子系统，替换了原有的防病毒、端点准入产品，升级和优化后台管理、补丁分发、电子文档保护三个子系统功能，同时对以上子系统在客户端进行了整合。（1）防病毒子系统。采用“流行病毒本地定义码+云端鉴定文件鉴定”防御方案，有效降低客户端资源占用，同时，构建企业自主控制文件黑白名单能力，实现全网文件样本的快速发现和查杀。（2）端点准入子系统。通过定制端点准入策略、客户端和端点准入设备有效联动，采用旁路部署端点准入设备，对桌面计算机进行合规性检验，为各单位提供有效、易用的管理工具和手段，支持修复页面跳转和非办公计算机例外保护，如IP电话、服务器、网络设备等。（3）后台管理子系统。具有计算机实名制注册、软硬件资产信息收集、策略下发、用户行为审计和违规日志查询的管理功能。通过系统进行基础安全策略的定制，建立桌面计算机安全基础，提供30类扩展安全策略，各单位可根据实际需求进行策略定制，深入完善桌面安全管理。（4）文档保护子系统。与中国石油USBKey相结合，为计算机用户提供登录保护、重要文件处理区、文件输出审计、电子文件销毁等功能，增加基于口令的文档加密功能，扩展文档加密功能适用范围，实现电子文档在创建、存储、使用、销毁等过程的安全保护。（5）补丁分发子系统。对微软补丁进行人工筛选和测试后，通过补丁分发子系统实现全网桌面计算机操作系统安全统一分发和自动安装，及时有效的降低操作系统漏洞带来的安全隐患。此次的勒索病毒WannaCry是利用该漏洞进行传播的，当然还可能有其他病毒也通过“永恒之蓝”这个漏洞传播，因此给系统打补丁是必须的。（6）系统加固子系统。提供安全基线和底层加固两个功能模块，通过统一模板控制、操作系统底层加固，实现集团公司安全基线要求在桌面计算机的强制管控，并且降低操作系统脆弱性带来的安全风险。2.培养个人安全意识。及时更新安全补丁：可以在官网或使用相关安全软件进行系统安全补丁的更新及安装，或者选择自动检查与安装。目的就是为了防止病毒利用系统漏洞进行二次攻击。定时查杀病毒：通过杀毒软件，如360安全卫士，定时进行病毒查杀与电脑安全诊断与防护。学习网络安全知识，培养网络安全意识：单位在安全培训中，适当加入网络安全培训的内容，培养员工的网络安全意识。定期备份重要文档资料：及时整理重要的文件资料，并选取适当的存储设备进行备份，或者将资料存放在不联网的计算机中，以防止文件遭到黑客病毒攻击造成损坏。3.防治蠕虫勒索病毒的步骤（1）关闭445端口等共享文件端口以64位Windows系统为例：在键盘上同时按下“WIN+R”后输入“regedit”图2运行窗口在注册表中按以下路径HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Param-eters添加“SMBDeviceEnable”，并设置键值为“0”=图3注册表编辑器图4键值单击“确定”即可。（2）关闭网络文件与打印机共享（3）安装系统补丁
四、结论
通过分析整个油田局域网的结构和特点，以及员工日常工作使用电脑的习惯，总结出油田局域网所存在的安全隐患，员工安全意识有待提高等相关问题。及时安装桌面安全系统2.0，提高网络安全意识，养成良好的安全上网习惯，将有助于整个油田的网络安全和安全生产运行。
作者:杜懿珊 单位:玉门油田信息中心
篇12
中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)22-5312-02
随着信息军事时代的来临，“网络中心战”、“网络中心行动”成为当前军事领域战争行动的基本方式。军队计算机网络是实施网络中心战、网络中心行动的关键基础设施，是敌重点攻击的对象，其安全防护情况直接关系其效能作用的发挥，关系到战争的胜负，因此必须认真研究分析其安全形势，剖析存在问题，采取有力措施，提高安全防护能力。
1军队计算机网络安全形势分析
1.1形势的严峻性
信息军事时代，信息安全成为军队安全的重中之重。军队计算机网络是承载信息的重要平台，围绕网络展开的信息窃密与反窃密斗争正愈演愈烈。一些国家和地区利用网络大肆窃取我军秘密信息，并综合盗用黑客、木马、病毒攻击及窃取等多种信息作战手段对我网络进行破坏，严重威胁着国家和军队安全。
1.2威胁的多元性
军队计算机网络虽然在物理上与其他网络隔离，但是由于系统建设规模大、涉及领域广、组织结构复杂、缺乏严密的法规标准，使得军队计算机网络安全防护异常困难，从某种意义上讲，计算机网络上任何一个环节和关节点的被突破，都可能使全网和全系统瘫痪，后果不堪设想。
1.3事件的突发性
计算机网络安全威胁往往具有潜伏性和不可预测性，对被攻击方而言安全事件呈现出极强的突发性，被攻击方往往会丧失宝贵的防御时间，为信息安全事件处置带来极大的挑战，计算机网络安全威胁中的很多事件还没有被察觉，就已经造成不可预料的损失。目前，计算机芯片、骨干路由器和微机主板等核心技术多数仍由国外进口，一旦敌对势力在特定的时间激活恶意程序，就可以在我们毫无察觉的情况下瞬间发起攻击，造成整个系统的瘫痪。
1.4处置的艰巨性
信息化条件下，信息争夺空间巨大、流动性强，领域不断拓展，安全隐患不断增多。而当前部队部分人员信息安全观念淡薄；安全防护技术手段落后，针对性应急处置手段缺乏；法规制度不完备，组织安全防护力度差，对部分安全事件防护处置策略缺少相应的规范和力量。军事网络失泄密一旦发生，将导致整个网络震荡，失密影响范围广泛，泄密后果十分严重。
2军队计算络安全存在的主要问题
计算机网络安全保密工作十分重要，目前，我军计算机网络安全方面还存在以下问题：
2.1网络安全防护意识比较淡薄
目前，部队计算机网络建设普遍受到高度重视，但是有些单位仅仅看到网络建设带来的显著效益和便利，而对计算机网络系统安全防护建设同步规划、同步建设的认识较为短浅。从计算机网络安全防护系统建设投入看，国外计算机网络安全防护投入占整体投入的10-20%，我国仅占到2-5%，不足国外的四分之一，军队在此方面的投入也明显不足。同时，受长期和平环境影响，“有密难保、无密可保”的思想意识普遍存在，对网络安全问题关注不够，思想意识比较淡薄，影响到计算机网络整体安全防护建设的发展。
2.2网络安全防护建设相对滞后
我军围绕作战应用需求，重点加强了光纤传输链路建设，网络基础已经比较配套，但安全防护建设却明显滞后。部分单位未对网络进行防火墙、保密机配套建设；相当数量的终端没有安装防病毒系统；入侵检测没有完全发挥起作用；安防系统系统建设各自为战，无法形成整体安全防护体系等，这些都制约了计算机网络安全防护整体水平的发展。。
2.3网络安全防护标准尚未健全
当前，我军陆续颁布了一系列与网络信息安全相关的法律法规，但在安全保密等级划分、网络安全体系规范、网络安全策略制定、网络防护手段使用规范等方面仍存在不足。例如，对军队网络安全体系建设标准中部分设备、系统未进行明确；安全防护等级虽已明确，但配套手段还没有统一进行明确，无法达到最佳防护。同时，制度标准的落实情况也令人堪忧，有令不行、有禁不止的现象随处可见，这些都对军用计算机网络系统带来了巨大的安全隐患。
2.4网络核心技术受制于人
虽然近年来我国的信息技术得以飞速发展，但仍没有摆脱技术落后的局面，特别是计算机芯片、操作系统、路由协调等核心技术仍然没有摆脱国外的束缚。目前，我军大多数信息网络采用的都是微软的windows系列操作系统和TCP／IP、IPX／SPX等网络协议，这些系统的共同特点是在设计之初主要考虑了易用性而忽视了系统安全性，使军事信息网络自身从建设之初就存在安全隐患。
3加强军队计算机网络安全防护的对策措施
计算机网络应用与安全防护问题相生相伴，是“矛”和“盾”的关系，信息安全问题将长期存在，不可能彻底避免和消除。为此，必须着眼防患于未然，积极建设计算机网络安全防护体系，有效提升网络安全防护能力，确保“非法用户进不来，秘密信息取不走，网络平台摧不垮”。
3.1强化人员安全防护意识
强化军队人员的信息安全意识，一是通过大众传播媒介，增强信息安全意识，普及信息安全知识，依托信息服务网站开设信息网络安全知识普及专栏，提高安全防护能力，增强部队官兵信息安全防范意识。二是积极组织各种专题讨论和培训班，培养信息安全人才，使部队有计算机网络安全防护方面的“明白人”。三是要积极开展安全策略研究，明确安全责任，增强人员的责任心，全面提高部队信息安全防护能力。
3.2建立健全安全管理机制
针对我军军事信息网络安全防护现状，制定和完善军队计算机网络建设、管理与安全防护机制，确立网络安全防护工作科学、合理的运行机制。一是配套法规标准。建立健全制度规定，明确各级责任、措施、手段；制定标准规范，明确建设技术体制；规划安全策略，明确设备系统防护标准，以完善网络安全法律体系，使信息安全管理走上法制化轨道，确保信息网络安全有法可依、有章可循。二是建立协调机制。信息安全防护工作涉及多个业务职能部门，加强部门之间的相互协调、相互补充、统一规划、统一管理，提升整体防护能力。三是组建安全队伍。建立计算机网络安全防护中心，明确安全防护机制，建立安全防护组织领导管理机构，明确领导及工作人员，制定管理岗位责任制及有关措施，严格内部安全管理机制，并对破坏网络信息安全的事件进行调查和处理，确保网络信息的安全。
3.3构建安全技术防护体系
重点加强四个体系建设：一是安全监察体系。建立健全网络安全监察机制；配套建设计算机网络入侵检测、流量分析、行为审计等系统，增强安全事件的融合分析能力；配备安全管理系统，实现对全网安全策略的统一管理和控制；加强安全服务保障体系建设，提供病毒库升级、补丁分发、安全预警等安全服务，通过各系统的综合应用，提高网络的综合安全分析能力。二是终端防护体系。建立协调管理机制，规范和加强以身份认证、授权管理、责任认定等为主要内容的网络信任体系建设；强化系统访问控制，设定用户访问权限，防止非法用户侵入或合法用户不慎操作所造成的破坏；加强实体鉴别，保证用户在获取信息过程中不受干扰、不被假冒，确保用户终端实体的可信；加强身份认证，为设备、用户、应用等颁发数字证书，并提供数字签名、身份验证、访问控制等服务，防止非授权接入和访问；加强终端保护，进行终端操作系统的安全加固，防止非法登录网络，保证终端资源的可控；提供病毒防护功能，适时查杀病毒、检查漏洞；提供主机入侵检测功能，防止对终端的攻击行为，从而全面建立终端防护体系，为终端用户构造一个安全环境。三是安全评估体系。按照军队有关防护标准，综合运用漏洞扫描、取证分析、渗透测试、入侵检测等系统和手段对网络进行扫描分析，客观分析网络与信息系统所面临的威胁及其存在的脆弱性，对安全事件可能造成的危害程度进行科学的定性定量分析，并提出有针对性的防护对策和整改措施，全面防范、化解和减少信息安全风险。四是应急响应体系。加强信息安全应急支援队伍建设，明确应急响应处置方法及原则；充分考虑抗毁性与灾难恢复，制定和完善应急处置预案根据安全级别的要求来制定响应策略；建立容灾备份设施系统，规范备份制度与流程，对域名系统、网管系统、邮件系统及重要业务系统等重要信息、数据适时进行备份，确保系统崩溃以后能够在最短时间内快速恢复运行，提高信息网络的安全性和抗毁性。
3.4发展自主信息安全产业
自主信息产业或信息产品国产化能够为信息安全提供更高保证。要加强计算机网络安全保密设备和系统的“军产化”，“独立化”建设。为此，应抓好以下几个方面的工作：一是组织核心技术攻关，如研发自主操作系统、密码专用芯片和安全处理器等，狠抓技术及系统的综合集成，以确保军用计算机信息系统安全。二是加强关键技术研究，如密码技术、鉴别技术、病毒防御技术、入侵检测技术等，有效提高军用计算机网络的安全防护能力。三是寻求监测评估手段，如网络侦察技术、信息监测技术、风险管理技术、测试评估技术等，构建具有我军特色、行之有效的计算机网络安全保密平台，实现网络及终端的可信、可管、可控，摆脱网络安全受制于人的被动局面。
军队计算机网络安全防护涉及要素众多，是一个系统的整体的过程。在进行防护时，要充分认清计算机网络安全面临的严峻形势，认真查找存在的问题，系统整体的采取有针对性的防范措施，从而提高网络安全防护能力。
参考文献：
[1]曹旭.计算机网络安全策略探讨[J].计算机安全,2011(21).
[2]刘萍.计算机网络安全及防范技术探讨[J].科技信息，2010(15).
篇13
1网络工程专业网络安全人才培养的优势
随着网络技术的发展，各种网络威胁也随影而至。特别是无线网络技术的发展，使得互联网的体系结构更加复杂，任何网络节点的薄弱环节都有可能会是网络攻击者的突破口。近几年，引起广泛关注的高级持续性威胁（AdvancedPersistentThreat）更是综合了各种可以利用的突破口对目标进行长期踩点，并在适当的时候对目标发动攻击。因此，网络安全管理人员需要具备操作系统、数据库、密码学的理论与技术、掌握网络路由与交换技术、网络管理技术，网络编程技术，以及常见的网络服务器的管理与配置，尤其是对Web服务器的深入理解。但无论是信息安全专业还是信息对抗专业的培养方案都在网络路由域交换技术、网络管理技术等相关课程的设置方面比较薄弱，无法满足网络安全管理人员对相关知识体系的要求。因此，网络工程专业依托其深厚的网络知识体系，更适合建立网络安全管理所需要的理论技术，更适合培养网络安全管理人才。
2网络工程专业的网络安全课程体系建设
根据当前社会对于网络和网络安全人才的需求，本校制定了相应的人才培养计划，历经10年的改革与发展，形成了当前网络工程专业下的三个特色方向：网络技术方向、网络安全方向、网络编程技术方向。无论是网络技术还是网络安全技术都离不开网络编程技术的支撑，缺少相应的编程能力网络技术与网络安全技术也注定会是瘸腿的技术，无法满足网络管理与网络安全管理的需求。因此这三个方向相互融合形成的高级网络与网络安全技术方向，形成了目前网络工程专业较为稳定的培养目标。次开课，经过十年的建设，目前已经成为本专业的骨干课程之一，建有密码学专业实验平台，形成了系统的教学与实践体系。课程设计64学时，其中48学时为理论授课，16学时为实验学时。通过该课程的学习使学生掌握常见密码算法的基本原理及其应用，能够利用相应的密码算法研发安全信息系统或者安全通信系统。“PKI体系及应用”与“网络安全协议”是以应用密码学为基础的延伸课程。培养学生利用现代密码学的技术研发密码产品的能力。“PKI体系及应用”以证书认证中心为轴心，详细介绍公开密钥基础设施的基本概念、基本原理、基本方法，以及公开密钥基础设施在现代密码产品中的应用研发技术。“网络安全协议”从密码应用系统业务逻辑层面的安全分析入手，介绍常见的网络安全协议、网络安全标准和典型的网络安全应用系统，在此基础上，介绍安全协议设计及其安全性分析的基本理论与技术，使学生掌握基本的网络安全协议设计方法，能够根据具体的应用背景设计对应的网络安全协议，研发安全应用系统。网络攻防类课程是在以“应用密码学”等信息安全类课程开设的基础上，根据网络工程专业的建设和国内网络安全形势的需要而开设的网络维护类课程。其中，“网络攻防技术入门”是在大一新生中开设的新生研讨课，共16学时，分8次上课，以学生讨论的方式组织教学，通过安排技术资料研读和课堂讨论，启发学生对网络攻防技术的学习兴趣，掌握基本的网络威胁防护方法。“网络信息对抗”综合讲授与网络安全相关的法律法规、网络渗透技术和网络防护技术。课程共64学时，理论授课32学时，实验32学时，每个理论学时跟着一个实验学时，以边学边练的方式组织教学。实验教学通过专用综合攻防平台进行验证性训练。“计算机取证技术”主要讲述计算机取证的基本方法、基本过程、数据恢复技术、证据提取技术、证据分析技术，以及常见的计算机取证工具的使用方法。“信息安全技术实训”是在四年级上学期开设的实训课程，共计192学时，8个学分。该课程分为两个部分，第一部分以实际的项目案例为驱动，训练学生对现代密码理论技术应用能力与程序设计能力，目标是设计并实现一个小型的网络安全软件系统。第二部分以实际的网络安全案例为驱动，训练学生对于目标系统的渗透能力与网络加固能力、以及对于整个渗透过程的取证分析能力。该实训课程与学生的实习相互结合，部分学生进入网络安全公司进行实习，提交综合实习报告来获得同校内综合实训相当的学分。通过三年的实践，效果良好。
3网络安全方向的人才培养分析
网络安全方向已经形成了较为完善的课程体系，学生学习兴趣高涨，在校内形成了良好的网络安全研究氛围。自发形成了保有数为20人左右的本科生兴趣研究小组，另外，通过每年一届的全校网络安全知识比赛，促进了全校网络安全知识的普及与人才培养，通过组织参加全省大学生网络信息安全知识比赛，选拔优秀本科生进入相关课题研究，而且都取得了较好的效果。为此，本文对近3年的毕业生就业情况进行了抽班级统计。每年的毕业生中都有近90%的学生从事与网络管理和网络安全相关的工作，继续考研深造的人数超过10%，其它无业或者情况不明者仅占4%。由此可见本专业基本达到了培养计划所规定的人才培养目标。
