安全网络建设范文

引言：寻求写作上的突破？我们特意为您精选了12篇安全网络建设范文，希望这些范文能够成为您写作时的参考，帮助您的文章更加丰富和深入。

篇1

二、强化工作措施

（一）在各街道办事处设立食品安全委员会，由街道办事处主要负责人担任主任，街道办事处分管负责人担任副主任，街道辖区内农技、兽医、林技、水利、公安、综合执法、卫生监督等站（所、员）以及中心学校、卫生院等单位主要负责人为成员。食品安全委员会下设办公室（以下简称“食安办”），食安办设在街道办事处有关内设机构，由街道办事处分管负责人兼任主任，食品安全管理专（兼）职负责人和本辖区市场监督管理机构、农产品质量安全监管机构负责人担任副主任。

（二）常住人口规模达2万人以上或常住人口规模未达2万人但食品安全监管任务繁重的街道，必须配备1名或以上食安办专职人员；常住人口规模在2万人以下的街道，配备1名或以上食安办专职或兼职人员。

（三）为进一步整合、优化资源，各地在开展食品安全基层责任网络建设中，可依托街道综治网格，将食品安全管理要求纳入综治网格管理内容实行同网格管理，并与综治工作一起同研究、同部署、同落实。同时，在食品安全监管任务相对繁重的街道社区及中心乡镇所在地社区（行政村）统一聘设1名食品安全专职协管员，专职协管员聘用由街道办事处统一负责，其管理、考核由街道食安办会同社区居委会（村委会）负责，其工作报酬由集聚区财政负担。在其他行政村（社区）可聘设兼职协管员，兼职协管员工作报酬由集聚区根据工作实际统筹解决。

（四）明确工作职责。按照属地管理原则，乡镇（街道）将食品安全工作列为重要职责，切实做好食品安全隐患排查、信息报告、协助执法、宣传教育和统筹协调等工作，主要职责是：负责本辖区食品安全综合协调，组织贯彻落实上级决策部署，分析形势，研究部署本区域食品安全工作；建立健全食品安全工作机制，组织力量协助监管部门开展食品生产经营各环节安全巡查和隐患排查；制订本辖区食品安全网格化管理方案并组织实施；统筹规划本地食品摊贩经营场所，协助开展日常管理；建立责任网格内食品生产经营者数据库，并上报相关信息；针对存在问题和上级部署，及时开展专项整治，组织或配合县级食品安全监管部门查处辖区内无证生产经营、制假售假食品违法行为，建立健全各项长效监管机制；负责推荐、管理、培训辖区内各行政村（社区）协管员、信息员，明确其工作职责、考核办法等事项；做好民间厨师登记备案、农村家宴申报备案和管理工作，预防群体性食品安全事件发生，及时上报并协助处理食品安全事故；协助开展食品安全风险监测样品采集和食源性疾病调查；受理群众食品安全举报投诉，并按照职责权限及时处理；开展食品安全宣传教育工作。

行政村（社区）网格化管理的重点是：建立定期巡查、检查制度，协助乡镇（街道）食安办及上级食品安全监管部门做好责任网格内食品生产加工经营单位的日常管理；建立健全食品安全网格化管理信息上报程序，及时上报、反馈食品安全管理信息；参加乡镇（街道）及各级食品安全监管部门组织的食品安全知识等培训，熟悉食品安全监管的有关政策、法律、法规和相关知识；开展食品安全法律法规及科普知识宣传；协助开展食品安全风险监测样品采集和食源性疾病调查；协助做好食品安全突发事件应急处置工作，网格内发生食品安全事故或突发事件，按照规定程序和时限及时上报，不擅自对外信息。

（五）切实加强基层责任网络各层级人员的食品安全监管业务知识培训。由市食安办牵头，会同相关监管部门每年定期组织乡镇（街道）食安办工作人员及社区专职协管员开展一次食品安全监管业务知识培训，教育普及食品安全法律法规和监管知识，并进行培训效果考核，对考核不合格人员，提交街道办事处予以撤换。由街道食安办牵头，会同相关部门每年定期组织所属行政村（社区）的兼职协管员以及本街道驻联行政村（社区）干部开展一次食品安全监管业务知识培训。

（六）为保障基层责任网络各层级人员依法行使食品安全监督检查职权，由区食安办会同当地市场监管、农业、林业、水利等部门联合公布行政村（社区）协管员名单，在《意见》框架下明确赋予协管员开展食品安全日常检查、工作普查、隐患排查、督促指导和临时性应急处置等非行政执法类工作职权，并统一配发食品（农产品）安全协管证件。对无正当理由拒绝协管人员检查的相关单位，由食品安全监管部门加强日常执法检查，防止出现监管盲区。

篇2

前言

东北财经大学经过不断发展、完善的信息化历程，完成校园网络广泛覆盖和带宽升级。同时学校数据服务区运行着包括门户网站、电子邮箱、数字校园、移动办公等重要业务系统，随着各类应用系统的不断上线，逐步构成了一个服务于学校师生的重要综合性校园网络平台。但另一方面，承载学校业务流程的信息系统安全防护与检测的技术手段却仍然相对落后。在当前复杂多变的信息安全形势下，无论是外部黑客入侵、内部恶意使用，还是大多数情况下内部用户无意造成的安全隐患，都给学校的网络安全管理工作带来较大压力。而同时，勒索病毒爆发、信息泄露、上级部门要求、法律法规监管等，都在无形中让学校的信息安全管理压力越来越大。笔者根据《网络安全法》和网络安全等级保护2．0标准的要求，在现有的架构下对东北财经大学校园网络进行了安全加固设计，提升了校园网主动防御、动态防御、整体防控和精准防护的能力。

1现状及问题

在互联网攻击逐渐从网络层转移到应用层的大背景下，学校各类业务系统在开发时难免遗留一些安全漏洞，目前学校安全防护仅在校园网出口部署了网络层面的安全网关设备，传统网络层防火墙在面对层出不穷的应用层安全威胁日渐乏力。黑客利用各种各样的漏洞发动缓冲区溢出，SQL注入、XSS、CSRF等应用层攻击，并获得系统管理员权限，从而进行数据窃取和破坏，对学校核心业务数据的安全造成了严重的威胁。数据的重要性不言而喻，尤其对学校的各类学生信息、一卡通等财务数据信息更是安全防护的重中之重，如有闪失，在损害学校师生利益的同时也造成很大的不良影响和法律追责问题。东北财经大学出口7Gbps带宽，由电信、联通、移动、教育网等多家运营商组成。随着学校的网络规模扩大以及提速降费的背景，互联网出口将会达到15Gbps带宽以上，原有的带宽出口网关弊端显露：具体包括网关性能不足，无法支持大带宽，老旧设备无法胜任大流量的转发工作；IPv6网络不兼容，无法平滑升级，后续无法满足国家政策进行IPv6改造的规划；上网审计和流量控制功能不完善，原有网关未集成上网行为审计功能，未能完全满足网络安全法，保障合规上网；不支持基于应用的流量控制，带宽出口的流量控制效果不佳；对上网行为缺乏有效管理和分析手段，针对学生上网行为没有好的管理手段和分析方法。同时等级保护2．0也对云安全和虚拟化环境下的网络安全问题作了要求。东北财经大学信息化建设起步较早，目前校内数据中心的绝大部分已经实现了虚拟化，主要业务系统均在虚拟机上运行，虚拟化技术极大地提升了硬件资源的利用率和业务的高可用性，但现有的120余台虚拟机的安全隔离和虚拟化环境的东西向流量控制成为安全建设的新问题。为了响应《网络安全法》以及国家新颁发的网络安全等级保护2．0的相关要求，提高东北财经大学数据中心的整体安全防护与检测能力，需要在以下几个方面进行安全建设：（1）构建安全有效的网络边界。主要通过增加学校数据中心的边界隔离防护、入侵防护、Web应用防护、恶意代码检测、网页防篡改等安全防护能力，减少威胁的攻击面和漏洞暴露时间。（2）加强对网络风险识别与威胁检测。针对突破或绕过边界防御的威胁，需要增强内网的持续检测和外部的安全风险监测能力，主要技术手段包括：网络流量威胁检测、僵尸主机检测、安全事件感知、横向攻击检测、终端检测响应、异常行为感知等。（3）形成全网流量与行为可视的能力。优化带宽分配，提升师生上网体验；过滤不良网站和违法言论，保障学生健康上网和安全上网；全面审计所有网络行为，满足《网络安全法》等法律法规要求；在网络行为可视可控的基础之上，需要进一步形成校园网络全局态势可视的能力。

2网络安全加固技术方案

按原有拓扑，将东北财经大学校园网划分为校园网出口区、核心网络区域、数据业务区域、运维管理区域、校园网接入区五个安全区域，并叠加云端的安全服务。各个区域通过核心网络区域的汇聚交换与核心交换机相互连接；校园网出口区域有多条外网线路接入，合计带宽7Gb，为校园网提供互联网及教育网资源访问服务；数据业务区部署2套VMware虚拟化集群和1套超云虚拟化集群，承载了学校门户网站、电子邮件、数字化校园、DNS等各类业务系统；运维管理区域主要负责对整体网络进行统一安全管理和日志收集；校园网接入区教学楼、办公楼、图书馆、宿舍楼等子网，存在大量PC终端供学校师生使用；另外学校的教学楼、办公楼均已实现了无线网络的覆盖。在数据业务区域与核心网络区域边界部署一台万兆高性能下一代防火墙，开启IPS、WAF、僵尸网络检测等安全防护模块，构建数据业务区融合安全边界。通过部署下一代防火墙提供网络层至应用层的访问控制能力，能够实现基于IP地址、源／目的端口、应用／服务、用户、区域／地域、时间等元素进行精细化的访问控制规则设置；提供专业的漏洞攻击检测与防护能力，支持对服务器、口令暴力破解、恶意软件等漏洞攻击防护，同时IPS模块可结合最新威胁情报对高危漏洞进行预警和自动检测；提供专业的Web应用防护能力，针对SQL注入、XSS、系统命令注入等OWASP十大Web安全威胁进行有效防护，同时提供网页防篡改、黑链检测以及恶意扫描防护能力，全面保障Web业务安全；提供内网僵尸主机检测能力，通过双向流量检测和热门威胁特征库结合，实现对木马远控、恶意脚本、勒索病毒、僵尸网络、挖矿病毒等威胁进行有效识别，快速定位感染主机真实IP地址。在校园网出口区部署高性能上网行为管理，对校园网出口流量进行全面管控，上网行为管理设备部署在核心交换机和出口路由器之间，所有流量都通过上网行为管理处理，实现对内网用户上网行为的流量管理、行为控制、日志审计等功能，设备提供IPv4／IPv6双栈协议兼容，有效满足IPv6建设趋势下网络的平滑改造。为了有效管控和审计，设备选型必须能够全面识别各种应用：（1）支持千万级URL库、支持基于关键字管控、网页智能分析系统IWAS从容应对互联网上数以万亿的网页、SSL内容识别技术；（2）拥有强大的应用识别库；（3）识别并过滤HTTP、FTP、mail方式上传下载的文件；（4）深度内容检测：IM聊天、网络游戏、在线流媒体、P2P应用、Email、常用TCP／IP协议等；（5）通过P2P智能识别技术，识别出不常见、未来可能出现的P2P行为，进而封堵、流控和审计。通过强大的应用识别技术，无论网页访问行为、文件传输行为、邮件行为、应用行为等都能有效实现对上网行为的封堵、流控、审计等管理。同时，也要提供网络流量可视化方案，管理员可以查看出口流量曲线图、当前流量应用、用户流量排名、当前网络异常状况（包括DOS攻击、ARP欺骗等）等信息，直观了解当前网络运行状况。对内网用户的各种网络行为流量进行记录、审计，借助图形化报表直观显示统计结果等，帮助管理员了解流量用户排名、应用排名等，并自动形成报表文档，全面掌控用户网络行为分布和带宽资源使用等情况，了解流控策略效果，为带宽管理的决策提供准确依据。同时支持多线路复用和智能选路功能，通过多线路复用及带宽叠加技术，复用多条链路形成一条互联网总出口，提升整体带宽水平。再结合多线路智能选路专利技术，将网流量自动匹配最佳出口。具备全面的合规审计及管控功能，支持对内网用户的所有上网行为进行审计记录，满足《网络安全法》的要求，能有效防范学生网上不良言论、访问非法网站等高风险行为，规避法律风险。在数据业务区物理服务和3个虚拟化服务器集群上每台虚拟机安装EDR客户端，针对终端维度提供恶意代码防护、安全基线核查、微隔离、攻击检测等安全能力，打通物理服务器、Vmware集群和超云集群，进行统一的主机／虚拟机逻辑安全域划分，同时实现云内流量可视、可控，满足等保2．0云计算扩展项要求。通过部署EDR构建立体可视的端点安全能力，实现全网风险可视，展示全网终端状态分布，显示当前安全事件总览及安全时间分布全网终端安全概览，支持针对主机参照等级保护标准进行安全基线核查，快速发现不合规项。部署于每台VM上的端点agent，能够对云内不同VM、不同业务系统之间的访问关系、访问路径、横向威胁进行检测与响应，EDR与虚拟化底层平台解耦合，解决多虚拟化环境下的兼容性问题，构建动态安全边界。构建多维度漏斗型检测框架，EDR平台内置文件信誉检测引擎、基因特征检测引擎、人工智能检测引擎、行为分析检测引擎、安全云检测引擎，从多维度全面发现各类终端威胁。

3结语

通过该方案，提升了威胁防护、风险应对能力。能够从容应应对勒索病毒、0Day攻击、APT攻击、社会工程学、钓鱼等新型威胁手段。通过全面的安全可视能力，简化运维压力，可以极大降低运维的复杂度，提升安全治理水平，达到了设计要求。

参考文献

［1］李锴淞．对于校园网络建设及网络安全的探讨［J］．数字通信世界息，2019（8）．

［2］李锴淞，邹鹏．高校校园网合作运营探索［J］．网络安全和信息化，2019（9）．

［3］臧齐圣．浅谈校园网络安全防控［J］．计算机产品与流通，2019（9）．

篇3

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2015）27-0037-03

Abstract： Network security for the wisdom of Xuzhou Information Resource Hub Project provides e-government LAN access to network security means that part of the application using virtual private network （VPN） technology， security exchange and sharing of the safe and reliable transmission of data. The construction of network security can protect the key application and encryption data of Xuzhou Information Resource Hub Project， enhance the efficiency of data transmission， and support the rapid creation of new security environment to meet the new application process requirements.

Key words： smart city； Xuzhou； network security； security

随着信息技术的迅速发展，世界各地有竞争力的城市已迎来了数字向智慧城市迈进的大潮。智慧城市建设注重城市物理基础设施与IT基础设施之间进行完美结合，旨在改变政府、企业和市民交互的方式，提高明确性、效率、灵活性和响应速度，促进城市内外部信息产生、交流、释放和传递向有序化、高效化发展，关注提高城市经济和社会活动的综合竞争力，越来越受到中国各个城市领导者的认同和肯定。

徐州市在“十二五”伊始，深刻认识到智慧徐州建设在提升综合竞争力、加快转变经济发展方式、加强社会建设与管理，解决发展深层次问题等方面的重要作用，将“智慧徐州”建设纳入了未来城市发展的战略主题，希望通过智慧徐州建设，以信息资源整合、共享、利用为抓手，健全公共服务，增进民生幸福，科技创新驱动产业转型升级，智能手段创新城市管理模式，采约建设实现信息基础全面领先，为把我市建设成“同类城市中环境最为秀美、文化事业最为繁荣、富民强市最为协调的江南名城”提供有力支撑。

网络系统作为智慧徐州信息资源枢纽工程及各部门接入的承载，需通过网络系统进行数据传输，规划一张合理的、高效的、安全的网络系统能够有效地保障智慧徐州信息资源枢纽工程能够安全、稳定、高速地运行。

1 网络安全建设

由于智慧徐州信息资源枢纽工程的信息资源的高度集中，带来的安全事件后果与风险也较传统应用高出很多，因此在建设中安全系统建设将作为一项重要工作加以实施。网络安全建设应包括以下几方面：

1.1 安全的网络结构

安全的网络结构应该能够满足为了保证主要的网络设备在进行业务处理时能够有足够的冗余空间，来满足处理高峰业务时期带来的需求；确保网络各部分的带宽能够满足高峰业务时期的需要；安全的访问路径则通过路由控制可以在终端与服务器之间建立；按照提出需求的业务的重要性进行排序来指定分配带宽优先级别，如果网络发生拥堵，则优先保护重要的主机；能够绘制出当前网络运行情况的拓扑结构图；参考不同部门之间的工作职能和涉及相关信息的重要程度等因素，来划分成不同的子网和网段，与此同时在以方便管理和控制的前提下，进行地址分配；重要网段部署不能处在网络的边界处而且不能与外部信息系统直接连接，应该采取安全的技术隔离手段将重要网段与其他网段进行必要的隔离。

1.2 访问控制安全

当在网络边界对控制设备进行访问时，能够启动访问控制功能；对实现过滤信息内容的功能，并且能对应用层的各种网络协议实现命令级的控制；能自动根据会话的状态信息为传输的数据流提供较为明确的允许或者拒绝访问的能力，将控制粒度设为端口级；能够及时限制网络的最大流量数和网络的连接数量；当会话结束或非活跃状态的会话处于一段时间后将终止网络的连接；要采取有效的技术手段防止对重要的网段地址欺骗；能在遵守系统和用户之间的访问规则条件下，来决定用户对受控系统进行资源的访问是否被允许或拒绝，同时将单个用户设置为控制粒度；具有拨号访问权限的用户数量受到限制。

在关键的位置部署网关设备是实现访问控制安全的最有效途径，政务网接入边界安全网关：为内部区域提供边界防护、访问控制和攻击过滤。

1.3 审计安全

安全审计方面应包括能够对网络系统中设备的用户行为、网络流量、运行状况等进行相关的记录；并且能够分析所记录的数据，生成相关的报表；为避免审计记录受到未预期的修改、覆盖或删除等操作，应当安全保护审计记录。通过防火墙可以实现网络审计的功能。

网络的审计安全主要内容有：为能够有效记录网络设备、各区域服务器系统和安全设备等这些设备以及经过这些设备的所有访问行为，应在这些设备上开启相应的审计功能，由安全管理员定期对日志信息和活动状态进行分析，并发现深层次的安全问题。

1.4 检查边界的完整性

为对私自联到内部网络的非授权设备行为进行安全检查，边界完整性检查要求能够准确定出其位置，并进行有效的阻断。

实现边界完整性检查的相关技术：

1）制定严格的检查策略，将服务器区域在网络设备上划分为具有独立功能的VLAN，同时禁止除来自网络入侵防御系统以外的其他VLAN的访问；

2）为提升系统自身的安全访问控制能力，应对安全加固服务器系统采取相应措施。

1.5 入侵防范

网络的入侵防范应能在网络边界处监视到木马后门攻击、拒绝服务攻击、IP碎片攻击、端口扫描、强力攻击、网络蠕虫攻击和缓冲区溢出攻击等攻击行为。当攻击行为被检测到时，应能记录攻击的时间、源IP、目的和类型，如果发生较为严重的入侵事件，应及时提供警报信息。通过前置防火墙实现入侵防御的功能。

1.6 恶意代码防范

在网络边界处检测和清除恶意代码，对恶意代码数据库的升级和系统检测的更新等，是恶意代码防范的范畴。目前，主要是通过网络边界的安全网关系统防病毒模块来检测和清除系统漏洞类、蠕虫类、木马类、webcgi类、拒绝服务类等一系列恶意代码进行来实现恶意代码防范的技术。

1.7 网络设备的安全防护

网络设备的安全防护要求能够限制网络设备管理员的登录地址；在网络设备用户的标识唯一的伯伯下，要能鉴别出登录用户的身份；主要网络设备对同一用户进行身份时鉴别时，应当选择几种组合的鉴别技术来鉴别，避免只使用一种鉴别技术；鉴别身份的信息应不易被冒用，网络口令应定期更换而且要有一定的复杂度，不易破解；当登录失败时，能自动采取限制登录次数、结束会话和当网络登录连接超时自动退出等相应措施；当网络设备被用户远程管理时，能够有防止网络传输过程的鉴别信息被窃听的相关措施。

网络设备安全防护的技术实现主要是通过提供网络设备安全加固服务，根据前面的网络结构分析，系统采用若干台核心交换机、汇聚交换机和接入交换机，实现各个安全区域的连接。

对于网络设备，应进行相应的安全加固：

1）将楼层接入交换机的接口安全特性开启，并将MAC进行绑定。

2）关闭不必要的服务，包括关闭CDP、Finger服务、NTP服务、BOOTp服务（路由器适用）等。

3）登录要求和帐号管理，包括采用enable secret设置密码、采用认证、采用多用户分权管理等。

4）SNMP协议设置和日志审计，包括设置SNMP读写密码、更改SNMP协议端口、限制SNMP发起连接源地址、开启日志审计功能。

5）其它安全要求，包括禁止从网络启动和自动从网络下载初始配置文件、禁止未使用或空闲的端口、启用源地址路由检查（路由器适用）等。

2 网络安全防护

边界防护：在智慧徐州信息资源枢纽工程的边界设立一定的安全防护措施，具体到智慧徐州信息资源枢纽工程中边界，就是在平台的物理网络之间，智慧徐州信息资源枢纽工程的产品和边界安全防护技术主要采用交换机接入、前置防火墙及网闸。

区域防护：比边界防护更小的范围是区域防护，指在一个区域设立的安全防护措施，具体到智慧徐州信息资源枢纽工程中，区域是比较小的网段或者网络，智慧徐州信息资源枢纽工程的区域防护技术和产品采用接入防火墙。

节点防护：节点防护主要是指系统健壮性的保护，查堵系统的漏洞，它已经具体到其中某一台主机或服务器的防护措施，建议智慧徐州信息资源枢纽工程中的产品和节点防护技术都应采用病毒防范系统、信息安全检查工具和网络安全评估分析系统等。

3 网络高可用

在智慧徐州信息资源枢纽工程网络建设中，网络设备本身以及设备之间的连接都具非常高的可靠性。为了保障智慧徐州信息资源枢纽工程网络的稳定性，在智慧徐州信息资源枢纽工程核心网络部分，核心交换机、接入防火墙等设备全部采用冗余配置，包括引擎、交换网、电源等。所有的连接线路全部采用双归属的方式，包括与电子政务局域网互联，与服务器接入交换机互联。在数据应用区，服务器通过双网卡与服务器接入交换机互联，保障了服务器连接的高可靠性。

4 数据安全

4.1 数据安全建设

数据的安全是整个安全建设中非常重要的一部分内容。数据的安全建设主要涉及数据的完整性、数据的保密性以及数据的备份和恢复。对于系统管理、鉴别信息和重要业务的相关数据在存储过程中进行检测，如检测到数据完整性有错误时采取必要的恢复措施，并且能对这些数据采用加密措施，以保证数据传输的保密性。

对于资源共享平台系统的数据安全及备份恢复要求如下：

1）对于鉴别信息数据存储的保密性要求，均可以通过加强物理安全及网络安全，并实施操作系统级数据库加固的方式进行保护；

2）对于备份及恢复要求，配置了备份服务器和虚拟带库对各系统重要数据进行定期备份；

3）需要通过制定并严格执行备份与恢复管理制度和备份与恢复流程，加强各系统备份恢复能力。

4.2 数据安全加密传输（VPN）

针对数据传输的安全性，部分接入部门到智慧徐州信息资源枢纽工程的数据进行VPN加密传输。接入部门和平台两端之间运行IPSec 或SSL VPN协议，保证数据在传输过程中的端到端安全性。

4.3 数据交换过程的安全保障

平台数据交换过程的安全保障主要指信息在交换过程中不能被非法篡改、不能被非法访问、数据交换后不能抵赖等功能。

平台业务系统在传递消息的过程中可以指定是否采用消息内容的校验，校验方法是由发送消息的业务系统提供消息的原始长度和根据某种约定的验证码生成规则（比如 MD5 校验规则）生成的验证码。

4.4 数据交换接口安全设计

平台提供的消息传输接口支持不同的安全标准。对于对安全性要求比较高的业务系统来说，在调用平台的Web Service接口时使用HTTPS 协议，保证了传输层面的安全；而对于安全性不那么重要，只想通过很少的改动使用平台功能的业务系统来说，可以简单的通过HTTP方式调用平台的Web Service接口进行消息的传输。

5 安全管理体系建设

在智慧徐州信息资源枢纽工程安全保障体系建设中，应该建立相应的安全管理体系，而不是仅靠技术手段来防范所有的安全隐患。安全建设的核心是安全管理。在安全策略的指导下，安全技术和安全产品的保障下，一个安全组织日常的安全保障工作才能简明高效。

完整的安全管理体系主要包括：安全策略、安全组织和安全制度的建立。为了加强对客户网络的安全管理，确保重点设施的安全，应该加强安全管理体系的建设。

5.1 安全策略

安全策略是管理体系的核心，在对信息系统进行细致的调查、评估之后，结合智慧徐州信息资源枢纽工程的流程，制定出符合智慧徐州信息资源枢纽工程实际情况的安全策略体系。应包括安全方针、主策略和子策略和智慧徐州信息资源枢纽工程日常管理所需要的制度。

安全方针是整个体系的主导，是安全策略体系基本结构的最高层，它指明了安全策略所要达到的最高安全目标及其管理和适用范围。

在安全方针的指导下，主策略定义了智慧徐州信息资源枢纽工程安全组织体系及其岗位职责，明确了子策略的管理和实施要求，它是子策略的上层策略，子策略内容的制定和执行不能与主策略相违背。安全策略体系的最低层是子策略，也是用于指导组成安全保障体系的各项安全措施正确实施的指导方针。

5.2 安全组织

由于智慧徐州信息资源枢纽工程信息化程度非常高，信息安全对于整个智慧徐州信息资源枢纽工程系统的安全建设非常重要。因此，需要建立具有适当管理权的信息安全管理委员会来批准信息安全方针、分配安全职责并协调组织内部信息安全的实施。建立和组织外部安全专家的联系，以跟踪行业趋势，监督安全标准和评估方法，并在处理安全事故时提供适当的联络渠道。

5.3 安全制度

智慧徐州信息资源枢纽工程对于安全性要求非常高，因此安全制度的建立要求也很严格。由管理层负责制定切实可行的日常安全保密制度、审计制度、机房管理、操作规程管理、系统管理等，明确定义日常安全审计的例行制度、实施日程安排与计划、报告的形式及内容、达到的目标等。

智慧徐州信息资源枢纽工程建成后，需要针对各系统制定完善的动作体系，保证系统的安全运行。

参考文献：

[1] 吴小坤，吴信训.智慧城市建设中的信息技术隐患与现实危机[J].科学发展，2013（10）：50-54.

[2] 娄欢，窦孝晨，黄志华，等.智慧城市顶层设计的信息安全管理研究[J].中国管理信息化，2015（5）：214-215.

篇4

一、民航信息网络系统安全问题分析

近年来，随着我国经济水平的不断提升，大幅度推动民航领域的发展，在这一背景下，民航的信息网络系统随之进入建设高峰期，该系统除与飞机的飞行安全有关之外，还与空防和运行安全有着极为密切的关联，一旦系统出现问题，轻则会影响民航的正常运营，严重时将会危及到飞机的飞行安全，极有可能造成巨大的经济损失。如某机场的空管飞行数据处理系统发生故障，致使机场的空管雷达无法提供正常的数据，直接导致70余架航班不能按时起落降，数千名乘客的出行受到影响；又如，某航空公司的电子客票系统被黑客入侵，导致多名乘客的机票信息泄露，媒体报道后，造成严重的社会影响，诸如此类事件不胜枚举。

通过对国内一些航空公司进行调查后发现，绝大部分都曾经发生过信息网络安全事件，在诱发安全事件的原因中，计算机病毒、木马、电脑蠕虫等所占的比例较大，约为70-80%左右，网页被恶意篡改、端口扫描等网络攻击约为20-30%左右。上述安全事件之所以会频繁发生，主要是因为民航信息网络系统的安全防护水平不高，给恶意入侵、黑客攻击提供了可能。鉴于此，必须从管理和技术两个方面着手，加强民航信息网络安全建设。

二、民航信息网络安全建设策略

为确保民航信息网络系统安全，必须建立起一套科学合理、切实可行的安全管理制度，并采取先进的技术措施，提高系统的安全等级。

（一）加强安全管理

1.构建完善的制度体系。民航信息网络系统的安全离不开管理，而想要使管理发挥出应有的成效，就必须构建起一套较为完整的制度体系。各大航空公司应当结合自身的实际情况，并总结以往的经验教训，量身定制安全计划和方案，如网络信息安全等级保护与分级保护、安全通报制度等等，确保所有的安全管理工作都能有制度可依。与此同时，还应不断加强对相关人员的管理，提高他们的安全意识，从根本上保证信息网络系统的安全性。

2.做好管理维护工作。民航信息网络系统是由诸多设备组成，想要保证系统的安全，就必须做好运行设备的维护管理。鉴于民航信息网络系统的特点，即启动后不能随意关闭，因此，可从如下几个方面保证系统安全、稳定运行：①控制主机温度。可在信息网络系统建设时，为相关的硬件设施配备一套双机热备加磁盘阵列，这样能够确保网络信息系统的安全性，同时可以选用小型机作为民航运营数据库或是离港系统的服务器，该服务器采用的是分布式架构，其能够在确保安全的基础上，提高系统的可用性。②定期检查。民航信息网络系统中，有一些软件的可靠性相对较低，若是大量用户同时上线可能会导致系统死机的问题发生，通过定期的检查，能及时发现问题，并进行升级维护，由此不但能够提高系统运行效率，而且还能确保\行安全。

（二）安全技术措施

民航在进行信息网络系统安全建设的过程中，要采取合理可行的技术措施，为信息网络系统的安全保驾护航。

1.入侵检测技术。该技术是近年来兴起的一种网络信息安全防范技术，其能够通过对网络信息系统的审计数据、安全日志等进行检测，找出入侵以及入侵企图，这种技术最为主要的作用是对网络信息系统的入侵和攻击进行监控，进而采取相应的措施加以应对，从而确保系统的安全。民航可基于该技术构建一套相对完善的IDS系统，运用该系统对外部的非法入侵以及内部用户的非授权行为进行检测，发现并报告网络信息系统中的异常现象，对针对信息网络系统安全的行为做出及时有效地应对。

2.身份认证技术。该技术具体是对系统操作者身份的确认，其能够借助网络防火墙、安全网关等，对信息网络系统的用户身份权限进行管理，民航的信息网络系统一般只能对操作者的数字身份信息进行识别，而通过身份认证技术的应用，则可有效解决系统操作者物理与数字身份的对应问题，由此为系统的权限管理提供了可靠依据。民航在进行信息网络系统建设时，可以采用以下几种方式对系统操作者的身份进行认证：用户名+密码；用户基本信息验证，如证件号码、信用卡号等；特征识别，如视网膜、指纹、声音等。此外，还可以采用USB key，这样可以进一步提升系统的安全性能。

3.加密与数字签名。这是目前保障网络信息系统及数据安全最为常用的一种技术，它能够有效防止各种机密数据被外部窃取、更改，对于信息安全具有极强的保证。具体应用时，可对一些重要的文件进行加密，这样即便有非法用户入侵到系统当中也无法查看加密文件的内容，加密后等于给文件上锁，其安全性自然会获得保证。而数字签名则可确保用户收到的邮件均为所需用户发送而来，可有效防止垃圾邮件。民航在信息网络系统安全建设时，可合理运用加密和数字签名技术，为各类重要信息提供安全保障。

4.网路防火墙。民航在进行信息网络安全建设时，应当选用高端的防火墙产品，除要具备防火墙的基本功能之外，还应兼具VPN网关功能，建议采用分组过滤式防火墙或是双穴网关防火墙，同时要考虑不同接入方式的适应性。需要注意的是，防火墙要选用正版的，并定期进行升级，这样才能使其作用得以最大限度地发挥。

三、结语

综上所述，民航信息网络安全的重要性不言而喻，因此，必须做好信息网络系统的安全建设工作，民航企业可以结合自身的实际情况，制定科学的管理制度，并采取先进的技术措施，提高系统的安全性，这样不但能减少或是杜绝各类安全事件的发生，而且还有利于促进我国民航事业的持续发展。

参考文献：

[1]余焰，余凯.以空管信息为核心，建立民航信息集成共享系统空管系统信息网络建设需求分析[J].黑龙江科技信息，2015，（04）.

[2]梁有程.分组交换技术在民航数据通信网络中的应用探析[J].电信网技术，2015，（07）.

篇5

中图分类号：TN711 文献标识码：A 文章编号：

随着计算机网络的不断发展，信息全球化已成为人类发展的现实。但由于计算机网络具有多样性、开放性、互连性等特点，致使网络易受攻击。具体的攻击是多方面的，有来自黑客的攻击，也有其他诸如计算机病毒等形式的攻击。因此，网络的安全措施就显得尤为重要，只有针对各种不同的威胁或攻击采取必要的措施，才能确保网络信息的保密性、安全性和可靠性。

1威胁计算机网络安全的因素

计算机网络安全所面临的威胁是多方面的，一般认为，目前网络存在的威胁主要表现在：

1.1非授权访问

没有预先经过同意，就使用网络或计算机资源被看作非授权访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。它主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。

1.2信息泄漏或丢失

指敏感数据在有意或无意中被泄漏出去或丢失，它通常包括：信息在传输中丢失或泄漏(如"黑客"利用电磁泄漏或搭线窃听等方式可截获机密信息，或通过对信息流向、流量、通信频度和长度等参数的分析，推出有用信息，如用户口令、账号等重要信息)、信息在存储介质中丢失或泄漏、通过建立隐蔽隧道等窃取敏感信息等。 1.3破坏数据完整性

以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应；恶意添加、修改数据，以干扰用户的正常使用。

1.4拒绝服务攻击

它不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。

1.5利用网络传播病毒

通过网络传播计算机病毒，其破坏性大大高于单机系统，而且用户很难防范。

2网络安全建设方法与技术

网络具有访问方式多样、用户群庞大、网络行为突发性较高的特点。网络安全问题要从网络规划阶段制定各种策略，并在实际运行中加强管理。为保障网络系统的正常运行和网络信息的安全，需要从多个方面采取对策。攻击随时可能发生，系统随时可能被攻破，对网络的安全采取防范措施是很有必要的。常用的防范措施有以下几种。

2.1计算机病毒防治

大多数计算机都装有杀毒软件，如果该软件被及时更新并正确维护，它就可以抵御大多数病毒攻击。定期地升级软件是很重要的。在病毒入侵系统时，对于病毒库中已知的病毒或可疑程序、可疑代码，杀毒软件可以及时地发现，并向系统发出警报，准确地查找出病毒的来源。大多数病毒能够被清除或隔离。再有，对于不明来历的软件、程序及陌生邮件，不要轻易打开或执行。感染病毒后要及时修补系统漏洞，并进行病毒检测和清除。 2.2防火墙技术

防火墙是控制两个网络间互相访问的一个系统。它通过软件和硬件相结合，能在内部网络与外部网络之间构造起一个"保护层"，网络内外的所有通信都必须经过此保护层进行检查与连接，只有授权允许的通信才能获准通过保护层。防火墙可以阻止外界对内部网络资源的非法访问，也可以控制内部对外部特殊站点的访问，提供监视Internet安全和预警的方便端点。当然，防火墙并不是万能的，即使是经过精心配置的防火墙也抵挡不住隐藏在看似正常数据下的通道程序。根据需要合理的配置防火墙，尽量少开端口，采用过滤严格的WEB程序以及加密的HTTP协议，管理好内部网络用户，经常升级，这样可以更好地利用防火墙保护网络的安全。

2.3入侵检测

攻击者进行网络攻击和入侵的原因，在于计算机网络中存在着可以为攻击者所利用的安全弱点、漏洞以及不安全的配置，比如操作系统、网络服务、TCP／IP协议、应用程序、网络设备等几个方面。如果网络系统缺少预警防护机制，那么即使攻击者已经侵入到内部网络，侵入到关键的主机，并从事非法的操作，我们的网管人员也很难察觉到。这样，攻击者就有足够的时间来做他们想做的任何事情。

基于网络的IDS，即入侵检测系统，可以提供全天候的网络监控，帮助网络系统快速发现网络攻击事件，提高信息安全基础结构的完整性。IDS可以分析网络中的分组数据流，当检测到未经授权的活动时，IDS可以向管理控制台发送警告，其中含有详细的活动信息，还可以要求其他系统(例如路由器)中断未经授权的进程。IDS被认为是防火墙之后的第二道安全闸门，它能在不影响网络性能的情况下对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护。

2.4安全漏洞扫描技术

安全漏洞扫描技术可以自动检测远程或本地主机安全性上的弱点，让网络管理人员能在入侵者发现安全漏洞之前，找到并修补这些安全漏洞。安全漏洞扫描软件有主机漏洞扫描，网络漏洞扫描，以及专门针对数据库作安全漏洞检查的扫描器。各类安全漏洞扫描器都要注意安全资料库的更新，操作系统的漏洞随时都在，只有及时更新才能完全的扫描出系统的漏洞，阻止黑客的入侵。

2.5数据加密技术

数据加密技术是最基本的网络安全技术，被誉为信息安全的核心，最初主要用于保证数据在存储和传输过程中的保密性。它通过变换和置换等各种方法将被保护信息置换成密文，然后再进行信息的存储或传输，即使加密信息在存储或者传输过程为非授权人员所获得，也可以保证这些信息不为其认知，从而达到保护信息的目的。该方法的保密性直接取决于所采用的密码算法和密钥长度。

2.6安全隔离技术

面对新型网络攻击手段的不断出现和高安全网络的特殊需求，全新安全防护理念"安全隔离技术"应运而生。它的目标是，在确保把有害攻击隔离在可信网络之外，并保证可信网络内部信息不外泄的前提下，完成网络间信息的安全交换。隔离概念的出现是为了保护高安全度网络环境。

2.7黑客诱骗技术

篇6

在计算机和互联网的帮助下，烟草企业内部的订单交易、货款支付等均变得更为方便，然而在实际网络建设以及管理工作当中经常发现，企业内部的网络存在安全问题，严重影响了企业的生产运营安全。因此本文将在以物联网为基础，简要分析新技术发展环境下的烟草网络安全建设与管理。

一、影响烟草网络安全建设和管理的原因

1、自然原因。所谓的自然原因指的是在烟草企业内部网络设备例如路由器、电子计算机等因质量问题或操作不当等原因出现故障，或是因为停电、火灾等自然原因导致数据损毁、丢失。除此之外，网络中节点多元异构性和多样性，电池在网络节点中的实际续航能力，以及网络设备耐高温、抗寒冷能力等也会对烟草网络安全建设与管理造成一定的影响，而由于自然原因很难进行提前预估和判断，因此管理和建设安全网络中的困难和阻碍也比较多[1]。

2、信息传输。在传输网络数据的过程当中，数据很有可能未得到有效的加密保护，在无线模式或是广播等方式下，信息在传输过程中可能会遭受黑客的非法入侵，通过非法破解网络秘钥，强行入侵企业内部网络；除此之外还有可能信息数据在中途遭到拦截阻断，路由协议等遭到私自篡改，某些黑客或企业竞争对手为窃取烟草企业内部数据、非法获取重要信息，还有可能会采取伪造虚假路由信息等方式，这同样严重影响了企业网络安全。

3、隐私泄露。在物联网下，烟草网络系统中使用大量的电子标签与无人值守设备，而设备一旦遭到劫持将直接导致企业内部隐私信息和机密文件大量泄漏，还有可能不法分子在用户登录的界面当中安装追踪软件，对用户的登录信息和浏览记录等隐私信息进行恶意追踪，从而进行非法勾当。物联网只有具备极强的安全性和可靠性才能够有效保护内部隐私信息的安全[2]。

4、自身缺陷。企业内部的网络建设本身存在一定的安全漏洞，即使是在新技术不断发展进步的当下，仍然没有设计出一款绝对安全的网络系统，任何一种网络当中或多或少会存在一定安全漏洞，特别是在遭受黑客的非法入侵、木马病毒等恶意攻击下，网络系统中的重要信息可能遭到损毁和破坏，甚至有可能导致整个系统崩盘。因此物联网自身若缺乏安全稳定性将为黑客等不法分子以及木马病毒的入侵提供了可乘之机。

二、物联网下的烟草网络安全建设与管理

1、安全路由协议。物联网平台下的烟草企业网络安全建设与管理工作中，各网络节点中均有属于自己的路由协议与算法，因此需要以具体的路由算法为基础对安全协议进行划分，譬如说根据位置信息建立地理路由或根据数据信息建立层次式路由等等，尽量弥补路由的安全漏洞，以免发生丢失或损毁而导致企业蒙受损失。2、隐私信息处理。在物联网技术的应用下，烟草网络系统在采集和传输隐私信息的过程当中必须注重保障其安全性，防治隐私信息被中断拦截或遭到恶意篡改与窃取。因此可以在网络系统中增添基本的定位功能，利用电子地图、卫星信号或手机移动信号等进行位置确定，采用位置伪装技术如将IP地址进行隐藏或时空匿名等方式对查询、阅览隐私信息进行全方位安全保护。3、访问认证控制。在物联网下，用户在登录烟草网络系统时需要交换会话密钥用以确认申请者的真实身份，防止网络系统遭受不法分子的恶意攻击[3]。另外，还需要在网络系统当中加入信息认证功能，只有通过对对方真实身份信息进行确认之后才能够同意其访问申请，利用随机密钥预分布技术、公钥认证技术等物联网的认证机制，合法认证用户，确保网络系统的安全性[3]。4、采用密钥系统。烟草企业内部的财政报告、数据报表、发展规划等重要信息数据需要进行加密，从而有效确保信息数据的安全。在传输数据报告之前需要对其进行加密处理，在接收数据只有进行解密才可进行阅览和使用。在物联网技术下，可以采用VPN即虚拟专网保护远程节点，也就是说各网络节点中的通信节点在具体的网络结构当中使用密钥协商进行管理；也可以通过互联网密钥分配中心对密钥系统进行管理与分配，尽量使用复杂的密钥算法，提高其完全程度，并且将密钥的周期压缩至最低，即使已经截获部分密钥并进行破解，也无法生成新的密钥。

结论：总而言之，在新技术发展的环境之下，烟草企业的发展与互联网和电子计算机系统之间的关系越来越紧密，而在顺应社会和时代潮流，不断建设网络的过程中，烟草公司需要重点注意其安全性问题，通过定期对内部网络进行病毒查杀以及加密重要数据等，切实做好网络管理工作，有效保障企业内部生产运营安全。

参 考 文 献

篇7

互联网安全立法存在短板

法律出台缓慢和公民守法意识薄弱成为当下网络信息发展的痼疾。事实上，我国对于完善网络安全的立法工作一直在不断尝试和努力中。但是在中央网络安全和信息化领导小组办公室网络安全协调局调研员张胜看来，我国网络信息安全的立法面临三大软肋。

“首先，现行法律法规体系尚未完善。”张胜表示，在我国现行涉及网络安全的法律法规中，部门规章所占比例大，且在制定的规章中，纵向的统筹法律和横向的有机协调还不够。第二个“软肋”是，我国网络法律结构单一，难以适应信息技术发展的需要和日益严重的网络安全问题。网络安全保护实践的依据多为保护条例或管理办法，缺少系统规范网络行为的基本法律，如《网络安全法》《网络犯罪法》《电子信息个人出版法》《电子信息个人隐私法》等。同时，这些条例或管理办法更多使用综合性基本性条款，缺少具体的取舍性条款，难以适应技术发展和越来越多的网络问题。第三个“软肋”是，我国现行的网络安全法律法规中，有的条款无法与传统的法律规则相协调。“例如网络安全与个人隐私保护之间的争议，至今还没解决。”

立法需要基础设施的支撑

在美国、德国、意大利等发达国家，不但有完善的法律保障公民的个人信息不被泄露，同时，一整套电子信息验证标准也对法律形成了有力支撑。

篇8

对于计算机的网络病毒来讲，其每一天都在不断的进行变化，类别多种多样，传播的范围相对较广，传播的速率较快，破坏性相对较强。大多数网络病毒都是利用电子邮件或者网页共享等形式传播的。其作为一项攻击性较强的程序，能够长时间的隐藏在网络软件系统中，也能够快速的攻击计算机网络，令其处于瘫痪，通过软件系统的程序运转及数据共享实施传播。其不仅能够对计算机的网速造成影响，同时还会损坏计算机内的重要资源与程序，严重的甚至使计算机的硬件设备出现损坏。

1.2非法侵入的危害

对于非法侵入来讲，其存在很多形式，对信息的高效性及完成性造成选择性的损坏，从而使部分数据丢失或外泄，非法占有系统资源。非法侵入能够在不危害网络的前提下截取重要的信息、数据，也能够使服务系统崩溃。较为著名的“蠕虫病毒”就是非法侵入的一种。

2维护计算机网络安全的具体措施

2.1对计算机的网络进行安全维护

想要保证计算机网络环境的安全，可以从以下几方面入手：其一，实行密码的方法。当用户通过网络互相通信器件，最主要的威胁就在于信息的窃取。而利用一些复杂的密码，并且每隔一段时间进行更换的方法就能够高效的预防信息窃取的情况出现；其二，实行防火墙的方法。将计算机内部的防火墙打开，能够良好的预防来自互联网的攻击。对于防火墙来激昂，其能够在计算机同外部网络环境之间建立一层防护。一般防火墙有个人计算机防火墙及硬件防火墙两种类别；其三，定期对计算机及网络系统的情况进行检查。通过这种方法能够及时发现系统故障，从而减少危害。同时，需要对计算机网络的设备及主服务器进行细致检查，如遇问题，尽快修复，从而确保计算机始终处在最佳的运行状态下。

2.2预防病毒入侵

因为病毒侵染造成计算机不能顺利工作的情况经常出现，一般计算机在感染病毒以后会发生蓝屏、死机、无法启动等情况。当计算机应用一定时间以后，系统速率会变慢，甚至发生数据丢失的问题。现今，网络是传递病毒的重要途径，想要保证计算机可以正常应用，高效预防病毒入侵，就需要从以下几方面入手进行预防：其一，为计算机加装正版的杀毒软件，例如：瑞星、360等，同时确保杀毒软件始终处在自动更新的情况，每个一段时间需要对软件的杀毒及更新情况进行检查；其二，在下载并安装一些软件前需要慎重，安装前先通过杀毒软件进行检查，然后才能够进行安装操作。部分压缩包得软件能够自行安装，所以，不可以随意打开，而需要先将其解压，杀毒后方可进行安装；其三，每个一段时间需要对计算机实施全面、整体的杀毒操作，同时经常关注新闻，了解是否存在新型的病毒；其四，每隔一段时间下载同时安装系统的安全补丁。现今，大多数软件公司都会及时的其产品的补丁。如果程序存在漏洞，很容易让人有可乘之机，通过定期检查并安装补丁能够保证计算机安全工作。

2.3保证数据信息的安全

在计算机内，有很多重要的数据信息，如果丢失，很容易造成个人或集体的利益受到伤害，所以，需要保证数据信息的安全。对数据信息进行加密处理能够高效增强计算机及数据的安全性与保密性，并且预防出现外部损坏及丢失等情况。利用各种加密的方法确保数据各个过程处在安全状态，就算被他人获取，也无法进行识别。尽管数据加密的方法较为被动，然而其安全性能相对较高，是不可缺少的网络安全维护措施之一。

篇9

国际标准化组织（ISO）将“计算机安全”定义为：“为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄漏”。上述计算机安全的定义包含物理安全和逻辑安全两方面的内容，其逻辑安全的内容可理解为我们常说的信息安全，是指对信息的保密性、完整性和可用性的保护，而网络安全性的含义是信息安全的引申，即网络安全是对网络信息保密性、完整性和可用性的保护。

1.校园网目前存在的安全问题

1.1系统自身的安全隐患

任何系统都都可能存在缺陷，操作系统和网络软件也是有漏洞的，中职院校校园网中服务器操作系统基本上使用的是Windows 2003 Server。数据库服务器软件基本上使用的是Sql Server。客户端使用的是Windows XP，这些都是微软提供的软件，它们的漏洞几乎每隔几天都有新的被发现，如果我们的使用者不及时下载更新补丁，入侵者就可以根据扫描的结果进行攻击。

1.2计算机病毒的威胁

当今社会，计算机病毒和黑客攻击的威胁时刻影响着互联网，病毒制造者不断制造更隐蔽、破坏性更强的病毒。当校园网接入Internet后，受病毒感染的机会成倍增加。当校园网中任意一台机器感染上病毒，如果措施不当，极有可能会造成严重后果，轻则系统被破坏，重则大量资料被毁，甚至造成硬件的损坏。还有可能会在局域网内扩散，破坏网络资源，使整个网络的效率和作用急剧下降，直至造成校园网络系统的瘫痪。

1.3校园网安全管理有缺陷。

随着校园内计算机应用的大范围普及，接入校园网的计算机日益增多，如果管理措施不力，随时有可能造成病毒传播泛滥、信息丢失、数据损坏、网络被攻击、系统瘫痪等严重后果。校园计算机网络建设普遍存在重视硬件投入，忽视软件投资；重运行，轻管理的现象。

2.造成这些现状的原因

2.1网络安全维护的投入不足。

网络安全维护的工作量是很大的，并且很困难，需要一定的人力、物力，然而大多数学校在校园网上的设备投入和人员投入很不充足，有限的经费也往往主要用在网络设备购置上，对于网络安全建设，普遍没有比较系统的投入。

2.2盗版资源泛滥。

由于缺乏版权意识，盗版软件、影视资源在校园网中普遍使用，这些软件的传播一方面占用了大量的网络带宽，另一方面也给网络安全带来了一定的隐患。系统自动更新引起的电脑黑屏事件，就是因为Microsoft公司对盗版的XP、Win 7操作系统的更新作了限制。另一方面，从网络上随意下载的软件中可能隐藏木马、后门等恶意代码，许多系统因此被攻击者侵入和利用。

2.3网络管理员责任心不强。

很多学校的网络管理员的都具有一定的专业水平，基本可以胜任本职工作，但是可能由于学校领导对网络安全不是很重视，或者因为个人某些方面的原因，造成工作热情不高、责任心不强，所以也就不会花很多的心思去维护网络、维护硬件。

3.对策措施

为了提高校园网络的安全性，提出以下几点安全策略：

3.1安装系统补丁

现在校园网使用的操作系统基本上采用的是微软的产品，很多网络病毒都是利用微软的系统漏洞入侵个人电脑，进而在网络里进行传播。如果不及时更新系统补丁，病毒就可以利用这些漏洞进行入侵。但在目前，由于学校电脑大部分是处于公用状态，用户使用的时候不会太在意漏洞的修补，从而给了病毒和木马以可乘之机。建议学校网管人员安装补丁服务软件，如我校在校园网络中心部署的Windows Software Auto Update Services服务器，可以让用户直接从学校服务器上下载补丁进行安装，而不必从微软网站上更新，从而可以更快速、更安全的进行系统更新。

3.2安装全网杀毒软件

现在病毒传播速度很快，如果只装单机版的杀毒件，杀毒就比较棘手，需要一台一台的查杀。为了防止病毒在局域网内的感染，最好的办法是在校园网内安装网络杀毒软件，在学校网络中心配置网络版杀毒软件系统中心，负责管理校园网内所有主机节点的计算机。在各计算机节点分别安装杀毒软件的客户端。由管理员控制台负责对网络中所有客户端进行定时杀毒，及时升级杀毒软件的病毒库。并能定期的将杀毒软件的升级文件分发到各个客户端去，这样就能极大的减小病毒在网络内的传染。

3.3数据备份和恢复。

对于计算机而言，最重要的应该是硬盘中存储的数据。用户数据不要与系统共用一个分区，避免因重装系统造成数据丢失。重要的数据要及时备份，备份前要进行病毒查杀，数据备份可采取异地备份、光盘备份等多种方式。

3.4制定切实可行的网络安全管理制度。

为了确保整个网络的安全有效运行，有必要对网络进行全面的安全性分析和研究，制定出一套满足网络实际安全需要的、切实可行的安全管理。主要包括以下几方面的内容：

（1）建立一个权威的信息安全管理机构，制定统管全局的网络信息安全规定；

（2）制定网络管理员的激励制度，促使他们提高工作热情，加强工作责任心；

（3）对网络管理员进行专业知识和技能的培训，培养一支具有安全管理意识的网管队伍，使他们从技术上提高应对各种攻击破坏的能力；

（4）把网络信息安全的基本知识纳入学校各专业教育之中；

篇10

【中图分类号】TN915.08【文献标识码】A【文章编号】1672-5158（2013）07-0329-02

1 校园网络安全规范

校园的网络安全是指利用各种网络监控和管理技术措施，对网络系统的硬件、软件及系统中的数据资源实施保护，使其不会因为一些不利因素而遭到破坏，从而保证网络系统连续、安全、可靠地运行。

学校网络中心负责网络设备的运行管理，信息中心负责网络资源，系统管理员口令绝对保密，根据用户需求严格控制，合理分配用户权限，向学生开放的教学实验室应禁止使用软驱和光驱，以杜绝病毒的传播。

2 安全方案建议

2.1 校园网络状况分析

（1）资源分布和应用服务体系

校园网络可向网络用户提供：域名服务（DNS），电子邮件服务（Email），远程登录（telnet），文件传输服务（ftp），电子广告牌，BBS，电子新闻，WWW以及信息收集，存储，交换，检索等服务。

（2）网络结构的划分

整个网络是由各网络中心，和园区内部网络通过各种通信方式互联而成，所有网络可归纳为由连接子网、公共子网、服务子网、内部网四个部分组成。这四部分组成一个独立单位的局域网，然后通过广域连接与其他网络连接。

2.2 网络安全目标

为了增加网络安全性，必须对信息资源加以保护，对服务资源加以控制管理。

（1）信息资源

a：公众信息；即不需要访问控制。

b：内部信息；即需要身份验证以及根据根据身份进行访问控制。

C：敏感信息；即需要验证身份和传输加密。

（2）服务资源包括：内部服务资源、公众服务资源

内部服务资源：面向已知客户，管理和控制内部用户对信息资源的访问。

公众服务资源：面向匿名客户，防止和抵御外来的攻击。

3 校园网络安全技术的应用

3.1 建立网络安全模型

通信双方在网络上传输信息时，需要先在双方之间建立一条逻辑通道。为了在开放的网络环境中安全地传输信息，需要对信息提供安全机制和安全服务。

为了信息的安全传输，通常需要一个可信任的第三方。第三方的作用是负责向通信双方秘密信息，并在双方发生争议时进行仲裁。设计一个网络安全方案时，需要完成以下四个基本任务：

（1）设计一个算法，执行安全相关的转换；

（2）生成该算法的秘密信息；

（3）研制秘密信息的分发与共享的方法；

（4）设定两个责任者使用的协议，利用算法和秘密信息取得安全服务。

3.2 数据备份方法

数据备份有多种实现形式，从备份模式看，分为物理备份和逻辑备份；从备份策略看，分为完全备份、增量备份和差异备份。

（1）逻辑备份

逻辑备份也称作“基于文件的备份”。每个文件都由不同的逻辑块组成，每个逻辑块存储在连续的物理磁盘块上，备份系统能识别文件结构，并拷贝所有文件和目录到备份资源上。

（2）物理备份。

物理又称“基于块的备份”或“基于设备的备份”，其在拷贝磁盘块到备份介质上时忽略文件结构，从而提高备份的性能。因为在执行过程中，花在搜索操作上的开销很少。

（3）完全备份

完全备份是指整个系统或用户指定的所有文件数据进行一次全面的备份。这种备份方式很直观，容易理解。如果在备份间隔期间出现数据丢失等问题，可以使用备份文件快速地恢复数据。

（4）增量备份

为了解决完全备份的两个缺点，出现了更快、更小的增量备份。增量备份只备份相对于上次备份操作更新过的数据。因为在特定的时间段内只有少量的文件发生改变，既节省空间，又缩短了备份的时间。因而这种备份方法比较经济，可以频繁地进行。

（5）差异备份

差异备份即备份上一次完全备份后产生和更新的所有新的数据。它的主要目的是将完全恢复时涉及到备份记录数量限制在两个，以简化恢复的复杂性。

3.3 防火墙技术

防火墙是在网络之间通过执行控制策略来保护网络的系统，它包括硬件和软件。设置防火墙的目的是保护内部网络资源不被外部非授权用户使用。

防火墙是一个由软件与硬件组成的系统。由于不同内部网的安全策略与防护目的不同，防火墙系统的配置与实现方式也有很大的区别。简单的一个包过滤路由器或应用网关、应用服务器都可以作为防火墙使用。

3.4 入侵检测技术

入侵检测系统是对计算机和网络资源的恶意使用行为进行识别的系统。它的目的是监测和发现可能存在的攻击行为，包括来自系统外部的入侵行为和来自内部的非法授权行为，并采取相应的防护手段。它的基本功能包括：

（1）监控、分析用户和系统的行为。

（2）检查系统的配置和漏洞。

（3）评估重要的系统和数据文件的完整性。

（4）对异常行为的统计分析，识别攻击类型，并向网络管理人员报警。

（5）对操作系统进行审计、跟踪管理，识别违反授权的用户活动。

4 校园网主动防御体系

校园网的安全威胁既有来自校内的，也有来自校外的。在设计校园网网络安全系统时，首先要了解学校的需要和目标，制定安全策略。因此网络安全防范体系应该是动态变化的，必须不断适应安全环境的变化，以保证网络安全防范体系的良性发展，确保它的有效性和先进性。

安全管理贯穿整个安全防范体系，是安全防范体系的核心。网络系统的安全性不只是技术方面的问题，一个有效的安全防范体系应该是以安全策略为核心，以安全技术为支撑，以安全管理为落实，安全管理主要是对安全技术和安全策略的管理， 安全策略为安全管理提供管理方向，安全技术是辅助安全管理的措施。当网络出现攻击行为或其它安全威胁时，无法进行实时的检测、监控、报告与预警。同时，也无法提供黑客攻击的追踪线索，即缺乏对网络的可控性与可审查性。这就要求网络管理员经常通过网络攻击扫描器提前识别弱点区域，入侵系统监控和响应安全事件，必须对站点的访问活动进行多层次的记录，及时发现非法入侵。

结论

通过上述分析，我提出如下校园网络安全防范策略：

（1）利用防火墙将内网和外网进行有效隔离，避免与外部网络直接通信；

（2）利用防火墙建立网络的安全保护措施，保证系统安全；

（3）利用防火墙对网上服务请求内容进行控制，使非法访问被拒绝；利用防火墙加强合法用户的访问认证，同时在不影响用户正常访问的基础上将访问权限控制在最低限度内；

（4）在Internet出口处，使用NetHawk监控系统进行网络活动实时监控；

（5）在本校区部署RJ-iTop网络隐患扫描系统，定期对整个网络的安全状况进行评估，及时弥补出现的漏洞；

（6）加强网络安全管理，提高全体人员的网络安全意识和防范技术。

[1] 冯登国.计算机通信网络安全[M].北京：清华大学出版社，2001，3

[2] 蔡立军.计算机网络安全技术[M].北京：中国水利水电出版社， 2005， 52-56

篇11

现代智能建筑设备中的网络数据的目标、特性和应对的安全措施

智能建筑区域数据库中的数据必须具有以下特殊性：首先是独立性，包括物理数据独立性，即改变内部模式时无需改变概念或外部模式，数据库物理存储的变动还会影响访向数据的应用程序；逻辑数据独立性，即修改概念模式时无需修改外部模式；其次是共享性，数据库中的数据应可被几个用户和应用程序共享；最后是持续性，即数据在整个设定有效期内稳定保持。

数据库有三个主要组成部分：数据、联系、约束和模式。数据库管理系统则是为数据库访问服务的软件，它应为支持应用程序和操作库中的数据提供下列服务：事务处理、并发控制、恢复、语言接口、容错性、数据目录、存储管理。

智能建筑中的数据库系统（含子数据库系统）与某些商业系统相比，虽然规模不大，但功能复杂、性质迥异，因而主数据库与各子系统数据库的集成有着很高的技术难度，可以说是现有各种数据库技术的集成。理想的智能建筑数据库系统应具有以下特性：开放性面向对象，关系型，实时性、多媒体性、互操作性、分布性、异构性等。所以一个理想的智能建筑（集成）数据库体系应该是开放的，面向对象的、关系型的、实时的，分布式的或操作的多媒体异约数据库体系。这一体系的安全保障：

首先是安全性，即数据库在数据不得被非法更改或外泄。同时，智能建筑数据库中的数据也具有其他一般特性，如一致性等。其次是安全保障，智能建筑中各子系统数据库必须能免受非授权的泄露导致更改和破坏，每个用户（也包括各子系统）和应用程序都应只拥有特定的数据访问权，以防非法访问与操作。这一功能在FAS、SAS及某些OSA系统中是必不可少的。

因特网的数据库访问技术和远程监控的框架及房地产信息网络的安全措施

首先，因特网的数据库技术相结合的Web数据库的应用，实现了信息从静态向动态的转变，而其中远程数据服务是核心。

目前比较流行的Browser/Server模型是采用三层模式结构：表示（Browser），提供可视界面，用户通过可视界面观察信息和数据，并向中间层发出服务请求；中间层（WebServer）实现正式的进程和逻辑规则，响应用户服务请求，是用户服务和数据服务的逻辑桥梁；数据库服务层（DBServer），实现所有的典型数据处理活动，包括数据的获取、修改、更新及相关服务。

Browser端一般没有应用程序，借助于Javaapplet、Actives、javascript、vabscvipt等技术可以处理一些简单的客户端处理逻辑，显示用户界面和WebServer端的运行结果。中间层负责接受远程或本地的数据查询请求，然后运用服务器脚本，借助于中间部件把数据请求通过数据库驱动程序发送到DBServer上以获取相关数据再把结果数据转化成HTML及各种脚本传回客户的Browser、DBServer端负责管理数据库，处理数据更新及完成查询要求，运行存储过程，可以是集成式的也可以是分布式的。在三层结构中，数据计算与数据处理集中在中间层，即功能层。由于中间层的服务器的性能容易提升，所以在Internet下的三层结构可以满足用户的需求。

其次，远程监控的框架。

基于因特网的楼宇设备运程监控结构，这个结构是基于NT的平台上。对于市场上的BA系统，如江森和霍尼维尔等，他们系统内置有专用的数据库，并提供有接口可以转化为标准的数据库，通过前面提供的方法，用户可以从远程通过调用数据库来了解整个BA系统的情况。如果他想获得BA系统的实时状况和实时控制BA系统可以直接通过相应的CGI程序监控BA系统。

通过这样的结构，授权的用户可以在远程获得建筑设备每一个部件的相关数据，除了数据监测和报警功能之外，还有比如数据记录趋向预测、基本维护等功能。现代的BAS系统包括数以千计的外部点，所以传输的数据必须经过优化仅仅是关键数据才应该在BAS和远程使用者间传输。而在房地产建筑设备中，HVAC系统和照明系统最耗能的，在开率控制系统的功能时，用户的满意程度是主要的参考因素，所以目前建筑设备的控制和足够通风量；照明系统，为房客和公用区提供足够照明；报警系统有，对烟、火警的探测和处理；传送系统有升降机，传送带，运输带和自动门，电力供应系统等。

在大多数BAS系统中，主要是四类信号：模拟输入、模拟输出、数字输出、数字输入。对于一个具体的BAS系统而言，它的输入输出包括烟感探头状态，空气混合室、中过滤器状态，识别空调房间情况的传感器等；二进制输出包括回风机、送风机、VAV控制盒、照明、报警等；模拟量的输入包括回风和室外新风的温湿度；送风压力，VAV控制盒的空气流动速度，送回温度、房间温度、回风温度等；模拟量输出包括送风、回风的风速，冷水的流动速度等。所以可将需要远程传输的信号可以分为五类进行传输状态类、感受器类、报警器类、趋势类和控制类。

在现代化的房地产建筑中智能建筑建设与网络营销的原则为：业务为导向，市场为支力，网络为基础，技术为支撑，效益为根本，服务为保障

智能建筑设备给人们带来方便的同时，也给自己带来了一个个不速之客——黑客、信息网络及网络炸弹和因之而来利用网络犯罪分子，在方便自己的同时，也为那些离智能的犯罪分子带来了一个靠近自己便捷的通道。毫无疑问在HTML语言规划制定和Vbscript及javascript文件操作功能被现代建筑设备中广泛应用的同时，房地产信息网络安全不由自主地成为我们首当其冲的问题。

如前边所述，在利用数据库和因特网技术监控的同时，房地产信息网络的安全问题的措施也应运而生。

而网络“营销”需要两个条件：一是采取传统的市场营销手段；二是在网上提供价格有吸引力的商品。应该说至少到目前为止，传统营销与网络营销实质上是房地产整体营销策略的两个有机组成部分。传统营销的对象是房地产网站本身和房地产企业品牌，而网络营销的对象是有关企业的大量信息，这两部分是缺一不可的，只有整合才能使其发挥最大的功效。

篇12

对于文中平台主要功能的实现，则主要通过业务逻辑层来完成，概括起来主要包含四个方面的功能。

1设备管理

对于设备管理模块来说，可以作为其他功能模块的基础，是其他模块有机结合的基础模块，主要包括几个子功能：(1)设备信息管理；(2)设备状态监控；(3)设备拓扑管理等。这些子功能的实现，可以在网络拓扑和手动的基础上，通过统一通信接口来对设备的状态和性能进行实施的监控和管理，必要的情况下，还可以通过图形化的方式来表示，方便平台和系统管理员对设备运行状态的及时掌握和定位，减轻管理员的工作量。

2事件分析

作为安全设备管理平台的核心模块，安全事件分析模块的目的就是对大量的网络事件进行分析和处理、筛选，减轻管理员的工作压力，所以，该功能模块的主要子功能有安全时间分类统计、关联分析和处理等。同样，该功能模块也能够通过统一通信接口来对各个安全设备所生成的时间报告进行收集、统计，在统计分析的过程中，可以根据不同的标准进行分类，如时间、事件源、事件目的和事件类型等，通过科学统计和分析，还可以利用图表的方式进行结果显示，从而实现对安全事件内容关系及其危害程度进行准确分析的目的，并从海量的安全事件中挑选出危险程度最高的事件供管理员参考。

3策略管理

安全设备管理平台中的策略管理模块包含多个功能，即策略信息管理、冲突检测和策略决策等功能。通过对各类安全设备的策略进行标准化定义的基础上，就可以统一对设备的策略定义进行管理和修改，对当前所采用的策略进行网络安全事件冲突检测，及时发现可能存在的网络设置冲突和异常，确保网络策略配置的正确性和合理性。通过对网络环境中安全事件的深入分析，在跟当前所采用安全策略相比较的基础上，就能够为设备的安全设置提供合理化建议，从而实现对网络安全设备设置的决策辅助和支持。

4级别评估

最后一个功能模块就是安全级别评估模块，该模块的主要任务就是对网络商业设备安全制度的收集汇总、实施情况的总结和级别的评估等。该模块通过对网络安全事件的深入分析，在结合安全策略设置的基础上，实现对网络安全水平的准确评估，从而为网络安全管理的实施和水平的提高提供有价值的数据参考。

平台中的通信方法

要实现网络中异构安全设备的统一管理，就需要通过统一的通信接口来实现，该接口的主要功能就是通过对网络中异构设备运行状态、安全事件等信息的定时获取，从技术的角度解决异构设备所造成的安全信息格式不兼容和通信接口多样的问题，实现网络安全信息的标准化和格式的标准化。

1资源信息标准化

在网络安全管理中，所涉及到的安全资源信息主要包括安全设备的运行状态、设备配置策略信息和安全事件信息等。其中，安全设备的运行状态信息主要通过数据交换层中的通信程序通过跟安全设备的定时通信来得到，可以通过图表的方式进行可视化。这些资源信息主要采用RRD文件的方式进行存储，但是采用数据库存储的则比较少，这主要是由于：(1)RRD文件适合某个时间点具有特定值且具有循环特性的数据存储；(2)如果对多台安全设备的运行状态进行监控的情况下，就应该建立跟数据库的多个连接，给后台数据库的通信造成影响。对于上面提到的安全设备的运行状态信息和安全事件信息，通过对各种安全设备信息表述格式的充分考虑，本文中所设计平台决定采用XML语言来对设备和平台之间的差异性进行描述，不仅实现了相应的功能，还能够为平台提供调用转换。而对于安全策略类的信息，则是先通过管理员以手动的方式将安全策略添加到平台，然后再在平台中进行修改，之后就可以在通过平台的检测冲突，由平台自动生成设备需要的策略信息，然后再通过管理员对策略进行手动的修改。

2格式标准化

对于安全事件和策略的格式标准化问题，可以通过格式的差异描述文件来实现彼此之间的转换，这里提到的差异描述文件则采用XML格式来表述，而格式的自动转换则通过JavaBean的内置缺省功能来实现。

3通信处理机制