如何加强网络安全防范范文
时间：2024-03-13 16:16:00
引言：寻求写作上的突破？我们特意为您精选了12篇如何加强网络安全防范范文，希望这些范文能够成为您写作时的参考，帮助您的文章更加丰富和深入。
篇1
一、计算机网络面临的威胁
1.软件编写存在bug:无论是服务器程序、客户端软件还是操作系统，只要是用代码编写的程序，都会存在不同程度的bug。bug主要分为以下几类:(1)缓冲区溢出:指入侵者在程序的有关输入项目中了输入了超过规定长度的字符串，超过的部分通常就是入侵者想要执行的攻击代码，而程序编写者又没有进行输入长度的检查，最终导致多出的攻击代码占据了输入缓冲区后的内存而执行。
2、意料外的联合使用问题:一个程序经常由功能不同的多层代码组成，甚至会涉及到最底层的操作系统级别。入侵者通常会利用这个特点为不同的层输入不同的内容，以达到窃取信息的目的。
3、不对输入内容进行预期检查:有些编程人员怕麻烦，对输入内容不进行预期的匹配检查，使入侵者输送炸弹的工作轻松简单。
4、Raceconditions:多任务多线程的程序越来越多，在提高运行效率的同时，也要注意Raceconditions的问题。例如:程序A和程序B都按照“读/改/写”的顺序操作一个文件，当A进行完读和改的工作时，B启动立即执行完“读/改/写”的全部工作，这时A继续执行写工作，结果是A的操作没有了表现，入侵者就可能利用这个处理顺序上的漏洞改写某些重要文件从而达到闯入系统的目的，所以，编程人员要注意文件操作的顺序以及锁定等问题。
5、默认配置的不足:许多系统安装后都有默认的安全配置信息，通常被称为easytouse。但遗憾的是，easytouse还意味着easytobreakin。所以，一定对默认配置进行扬弃的工作。
6、管理员懒散:懒散的表现之一就是系统安装后保持管理员口令的空置，而且随后不进行添加和修改。
7、临时端口:有时候为了测试之用，答理员会在机器上打开一个临时端口,但测试完后却忘记了关闭，这样就会给入侵者有空可钻。(4)信任关系:网络间的系统经常建立信任关系以方便资源共享，只要攻破信任群中的一个机器，就有可能进一步攻击其他的机器。所以，要对信任关系严格审核、确保真正的安全联盟。
8、安全意识不强:用户口令选择不慎，或将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁。
9、病毒:目前数据安全的头号大敌是计算机病毒。新型病毒正向着更具破坏性、更加隐秘、感染率更高、传播速度更快、适应平台更广泛的方向发展。病毒给人类造成的经济损失逐年上升，因此，提高对病毒的防范刻不容缓。
10、黑客:从某种意义上讲，黑客对信息安全的危害甚至比一般的电脑病毒更为严重。形势的日益严峻使得反病毒行业，防毒、防黑客产品的研究和开发已成为一种趋势。
二、计算机网络中存在的隐患
1.广播风暴的风险:由于NETBEUI等非路由协议的数据包以广播方式在整个网上传播，造成了网络资源的浪费，并可能产生“广播风暴”，造成整个网络系统的瘫痪。
2.资源共享所产生的安全隐患:一些用户喜欢利用网络邻居实现资源的共享，这样是很方便，但同时也带来不安全的隐患。首先，易造成网上计算机病毒的传播。第二，会造成非法用户的非法访问，窃取用户保密资料或破坏用户的资源。
3.共享式网络设备的安全隐患:系统的内部网都是采用的以广播为技术基础的以太网，任何两个节点之间的通信数据包，不仅为这两个节点的网卡所接收，也可以被处在同一以太网上的任何一个节点的网卡所截取，只要接入以太网上的任一节点的用户现在很容易从Internet上得到的许多免费的黑客工具，如SATAN,ISS,NETCAT等帮助下进行侦听，就可以捕获发生在这个以太网上的所有数据包，对其进行解包分析，从而可能窃取关键信息，这就是以太网所固有的安全隐患。以交换式网络设备代替共享式网络设备对局域网的中心交换机进行网络分段后，以太网侦听的危险仍然存在。这是因为网络最终用户是通过分支集线器而不一定都是通过中心交换机，而使用最广泛的分支集线器通常是共享式集线器。这样，当用户与主机进行数据交换时，还是有可能被同一台集线器上的其他用户侦听到。因此，在内部网中最好要以交换式集线器代替共享式集线器，使数据包仅在两个节点之间传送，从而有效地防止可能的非法侦听。
4.应用系统的安全隐患:非法用户可通过SATAN等扫描工具对网络上主机进行扫描，找出漏洞，进行攻击。
5.文件服务器、邮件服务器及WEB服务器的安全隐患:如果这些服务器没有采取相应的安全保护措施，则可能遭受“黑客”的攻击和病毒的侵害。如:涂改Web页面、发送垃圾邮件、使用“特洛伊木马”程序攻击用户。
6.路由协议存在的安全隐患:在许多计算机网络中，路由器之间采用的协议有OSPF和RIP两种;因为版本较低，其中有的路由器协议的版本为RIP.它不支持加密功能.因而当某一非法用户启用V1.0协议，将路由指向某一不存在的地址时，可能造成网络故障。
三、计算机网络安全防范技术
1.物理隔离网络的安全技术:建立一个内网节点保护体系，并将整个网络的所有情况通过节点的实时反馈，集中到一个系统安全信息管理中心，然后通过该管理中心对全网进行统一管理。节点设备安全并不只是单点安全技术，不仅仅关注节点，同时还要考虑全网安全体系架构。所有节点都要服从安全体系架构的统一的框架，接受统一的管理。
2.访问控制技术:访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非常访问。访问控制措施有以下几个方面:
(1)入网访问控制。入网访问控制为网络访问提供了第一层访问控制。它控制哪些用户能够登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。
(2)网络的权限控制。网络的权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。可以指定用户对这些文件、目录、设备能够执行哪些操作。受托者指派和继承权限屏蔽(IRM)可作为其两种实现方式。受托者指派控制用户和用户组如何使用网络服务器的目录、文件和设备。继承权限屏蔽相当于一个过滤器，可以限制子目录从父目录那里继承哪些权限。
(3)目录安全控制。网络允许控制用户对目录、文件、设备的访问。对目录和文件的访问权限一般有八种:系统管理员权限（Supervisor）,读权限(Read),写权限(Write),创建权限(Create)、删除权限(Erase)、修改权限(Modify)、文件查找权限(AccessControl)。八种访问权限的有效组合可以让用户有效地完成工作，同时又能有效地控制用户对服务器资源的访问，从而加强了网络和服务器的安全性。
(4)属性安全控制。当用文件、目录和网络设备时，网络系统管理员应给文件、目录等指定访问属性。属性往往能控制以下几个方面的权限:向某个文件写数据、拷贝一个文件、删除目录或文件、查看目录和文件、执行文件、隐含文件、共享、系统属性等。网络的属性可以保护重要的目录和文件，防止用户对目录和文件的误删除、执行修改、显示等。
(5)网络服务器安全控制。网络允许在服务器控制台上执行一系列操作。用户使用控制台可以装载和卸载模块，可以安装和删除软件等操作。网络服务器的安全控制包括设置口令锁定服务器控制台.以防止非法用户修改、删除重要信息或破坏数据;可以设定服务器登录时间限制、非法访问者检测和关闭的时间间隔。
篇2
信息化的快速发展，使计算机网络进入寻常百姓家，成为人们工作、生活、娱乐的重要载体，目前广泛应用于各行业和各领域。计算机网络给人们工作、生活和娱乐带来便捷的同时，计算机网络安全问题也随之而来并且呈现愈演愈烈之势，在计算机网络遭受攻击的情况下，就会造成部分计算机网络甚至是整个计算机网络瘫痪，同时还会对用户的造成重大损失。因而必须高度重视计算机网络安全问题，深刻认识当前计算机网络安全的来源和制约因素，有的放矢的健全和完善防范措施。
一、计算机网络安全的内涵
国际标准化组织将计算机安全定义为：为数据处理系统建立和采取的技术和管理的安全保护，保护硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄漏。上述计算机安全的定义包含物理安全和逻辑安全两个方面，其逻辑安全的内容可理解为我们常说的信息安全，是指对信息的保密性、完整性和可用性的保护，而网络安全性的含义是信息安全的引申，即网络安全是对网络信息保密性、完整性和可用性的保护，完整性即保证非授权操作不能修改数据，有效性即保证非授权操作不能破坏信息或计算机数据资源。
二、计算机网络安全问题的来源
计算机网络具有开放性的特点，因而就必须会对其安全性造成影响，开放性和安全性是一对矛盾体，因而计算机网络安全问题始终会存在。深入分析计算机网络安全问题，主要有以下几方面来源。一是计算机病毒，在计算机迅猛发展的今天，计算机病毒作为一种程序也随着快速发展，很多情况下计算机病毒技术已经超越了。二是计算机黑客，通过网络攻击、网络侦查等手段，对计算机网络用户的信息进行破译、窃取和截获等。三是内部威胁，主要是一些机关、事业和企业等单位对网络安全防范意识不强，导致内部网络出现安全隐患和事故。四是网络钓鱼，主要是一些不法分子通过伪造的网站、电子邮件设定“网络骗局”，对计算机网络用户进行诈骗，骗取计算机网络用户的身份证、信用卡、银行卡等信息，给用户造成重大损失。五是系统漏洞，主要是系统的各种配置、服务如UNIX、Windows、TCP/IP协议等不够安全所造成的威胁。
三、计算机网络安全的制约因素
尽管随着我国计算机互联网的快速发展以及计算机互联网用户的不断扩大，我国加大了对计算机网络安全的重视，并取得了一定成效，但仍然存在很多制约因素。一是用户缺乏安全防范意识，无论是一个企事业单位还是个人用户对计算机网络安全缺少防范，上传和下载还具有随意性，不注意对电子银行的保护。二是计算机网络犯罪呈现高发态势，特别是在计算机网络技术不断发展的情况下，一些不法分子利用计算机网络进行犯罪活动，对计算机网络安全造成威胁。三是黑客技术越来越强，病毒技术等也同步发展，一些不法分子为了能够通过计算机网络获取巨大的不当利益，特别是一些木马、病毒的隐藏性越来越强，使计算机网络面临很大威胁。
四、计算机网络安全的防范措施
（一）强化计算机网络安全意识。加强计算机网络安全防范，首先必须进一步强化计算机网络安全意识，牢固树立安全理念，切实提高安全防范意识。强化计算机网络安全的最有效措施就是防范，因此国家应当进一步强化计算机网络安全防范意识的宣传和引导，通过各类媒体加强对安全知识、安全隐患以及安全案件的宣传，着力提升人们的安全防范意识。政府、企事业单位以及个人用户要加强对计算机网络安全的管理，做好重要数据加密、备份处理，避免出现泄漏问题，同时还必须定期对计算机网络运行情况进行维护，努力做到防患于未然。
（二）营造计算机网络安全环境。计算机网络始终置于开放的环境之中，因而网络风险无时无处不在。加强计算机网络安全网络，还必须大力营造计算机网络安全环境，这就需要国家大力加强网络安全的硬件和软件服务，在硬件上加大投入力度，在软件上研究和开发具有极强防护和查杀能力的安全防护软件。各级政府还应大力倡导和营造安全上网环境，引导广大用户清洁上网，最大限度的净化网络环境。国家还应加大对计算机网络诈骗、犯罪、黑客的打击力度，通过严厉惩罚来减少网络犯罪。
（三）加强计算机网络病毒防范。计算机病毒无孔不入，其危害性、传播性、扩散性很强，特别是随着我国科技信息化的快速发展，加强计算机网络安全防范必须加强对计算机网络病毒的防范。计算机网络用户必须切实提高计算机网络病毒防范意识，做到不链接和下载来历不明的程序、数据和影音，未知邮件不要轻易打开，确实需要下载网络资源也要“先杀后用”。政府、企业、事业单位用户还必须加强中心机房服务品的病毒防范，定期进行全方位、多层次、立体化杀毒，确保不被病毒入侵，同时还必须加强对各类移动存储介质的管理，确保不出现病毒交叉传染。
（四）加强计算机网络技术防范。加强计算机网络安全防范“三分管理、七分技术”，充分说明技术防范的重要性。目前计算机网络安全防范技术主要有数字证书技术、数字签名技术、数据加密技术、网络防火墙技术等，必须综合运作这些技术对计算机网络安全进行防范，着力提升计算机网络的安全性。比如网络防火墙技术能够对网络内外部之间进行有效监控、对流出和进入网络的各类数据以及访问者进行有效监督，对于防止恶意入侵具有重要作用。
五、结束语
随着全球互联网技术的快速发展，计算机网络安全已经成为重要问题。在我国大力实施工业化与信息化融合发展的历史条件下，必须对计算机网络安全问题有更加清醒的认识，积极采取有效措施提高计算机网络安全防范意识、防范技术和防范能力，努力使计算机网络更加稳定。
参考文献：
[1]杨光.浅析计算机网络安全防范措施[J].科技信息，2011（29）
[2]吴俨俨.计算机网络安全防范措施研究[J].电脑编程技巧与维护，2013（02）
[3]赵悦红等.计算机网络安全防范技术浅析[J].煤炭技术，2013（01）
篇3
【中图分类号】G40-057 【文献标识码】A 【论文编号】1009－8097(2012)09－0053－04
随着信息技术的快速发展和高校网络基础设施的不断完善，资源整合、应用系统和校园信息化平台建设已经成为校园信息化的主要任务。在新的网络信息环境下，信息资源也得到更大程度地共享，3G、IPV6、虚拟化和云计算等新技术开始研究和实施应用；三网融合、云服务及“智慧校园”等服务新理念的不断提出，使得校园网规模不断扩大，复杂性和异构性也不断增加，而这些需求都要求有一个能够承载大容量、高可信、高冗余和快速稳定安全的校园网作为基础条件。与此同时，高校用户在享受信息化成果所带来的工作高效和便利的同时，也面临着来自校园网内部和外部带来的各种安全威胁和挑战。因此，有必要建立一套高效、安全、动态网络安全防范体系，来加强校园网络安全防护和监控，为校园信息化建设奠定更加良好的网络基础。
一 校园网络安全面临的问题
1、网络安全投入少，安全管理不足
在校园网建设过程中，管理单位主要侧重技术和设备投入，对网络安全管理不重视，在网络安全方面投入也较少，一般通过架设出口防火墙来保护校园内部网，缺少对安全漏洞的分析和病毒的主动防范的系统。同时，由于高校机构设置的原因，很多高校在网络管理方面存在人员不足，同一个技术人员同时肩负着建设、管理和安全的工作情况Ⅲ，在校园网安全管理方面，实践经验告诉我们，校园网络安全的保障不仅需要安全设备和安全技术，更需要有健全的安全管理体系。很多高校没有成立信息安全机构，缺乏完善的安全管理制度和管理规范，在网络和信息安全方面没有根据重要程度进行分级管理。有统计表明，70％以上的信息安全问题是由管理不善造成的，而这些安全问题的95％是可以通过科学的信息安全管理制度来避免。
2、系统和应用软件漏洞较多，存在严重威胁
传统的计算机网络是基于TCP/IP协议的网络。在实际运用中，TCP/IP协议在设计的时候是以简单高效为目标，缺少完善的安全机制。因此，基于TCP/IP而开发的各种网络系统都存在安全漏洞，黑客往往把这些漏洞作为攻击的突破口。安全漏洞主要包括交换机IOS漏洞、操作系统漏洞和应用系统漏洞等，操作系统漏洞如WINDOWS、UNIX、LINUX等往往存在着某些组件的安全漏洞，如果管理员没有及时更新系统补丁或升级软件，就会成为众多黑客攻击的目标。应用程序漏洞往往出现在最常用的软件上，如IE、QQ、迅雷、暴风影音等经常存在一些安全漏洞，这些漏洞很容易成为黑客攻击最直接的目标，给校园网带来了严重威胁，使得校园网络安全需要投入更多的精力，需要从各个层次进行防范。
3、网络安全意识淡薄，计算机病毒较多
高校校园网主要的服务群体是教职工和学生，用户计算机网络水平参差不齐，在日常上网行为和使用计算机过程中，很多用户缺少足够的网络安全意识，比如教职工为了教学科研和日常办公方便，经常使用简单的密码来管理计算机和各种业务系统，造成密码容易被非法盗用，从而导致系统和网络安全问题，黑客通过盗取个人信息进行诈骗或者获取用户账号信息来谋求不法利益，甚至有些黑客在用户的计算机安装后门木门，并作为僵尸网络的攻击工具。另外，计算机技术的飞速发展也使得计算机病毒获得了更加快捷多样的传输途径，各种新型病毒不断升级变异，并通过U盘、移动终端、局域网等各种方式进行广泛传播。如何提高用户的网络安全意识，有效解决病毒对校园网络安全的威胁，也是校园网管理人员必须面临的一个问题。
二 构建校园网络安全防范体系
针对校园网络安全的各种安全隐患和威胁，要有效地进行防范，我们必须了解网络安全的体系结构及其包含的主要内容，国际电信联盟电信标准部(ITU-T)在X－800建议中提出了开放系统互连(OSI)安全体系结构，OSI安全体系结构集中在三个方面：安全攻击，安全机制和安全服务。安全攻击是指损害机构所拥有信息的安全的任何行为；安全机制是指设计用于检测、预防安全攻击或者恢复系统的机制；安全服务是指采用一种或多种安全机制以抵御安全攻击、提高机构的数据处理系统安全和信息传输安全的服务。三者之间的关系如图1所示。
篇4
0引言
数字化校园已经成为高校发展的必然趋势，信息化的时代下，网络的影响范围和自身规模也在不断提升，复杂性也随之增加。在这种形势下，其运行时的安全状况会直接对教学工作和科研工作产生巨大的影响，这也是校园网络安全防范体系的必要性。针对于现阶段存在的问题，也需要采取有效的管理体系。
1数字化校园网络存在的问题
随着信息化的发展，信息技术也为教学工作提供了巨大的便利。很多学校也逐渐构建了自身的校园网络。但是需要注意的一点在于，虽然计算机技术的高度发展提供了重要的帮助，接踵而来的网络安全问题也成为了威胁校园网络的主要问题，主要体现在以下几个方面。
1.1设计问题
数字化校园网络的建设过程中，出于对成本的考虑，很多学校往往将资金投入到基础设施建设方面，从而忽视了对于网络安全问题的考虑。数字化校园的设计方案也没有得到安全机构的评估，缺乏必要的指导，仅仅只是依靠简单的防护措施来保障系统的安全，显然网络安全将会受到严重的威胁[1]。
1.2管理问题
管理的问题主要体现在对于用户的管理。因为校园网络是在校园内部的一个交流平台，用户通常是由教师和学生所构成。但是很多学校并没有从管理体系上建立完善的管理机制，甚至于很多内部的人员将登录名、口令等随意告知外部人员，这也导致校园网络信息的安全受到影响的原因。另外，很多学校由于基础设施建设不到位，电脑设备相对陈旧，而这也导致管理人员疏于管理，所以校园网络的安全自然会受到影响[2]。
1.3内部问题
内部问题主要指的是学生层面的问题。有些学生处于对网络系统的好奇，再加上自己本身掌握一些网络知识，因此会利用入侵校园网的方式来进行实践，这会干扰到校园网的正常运行。而校园网络与一般的企业网络相比，有一定的特殊性，就是在用户群体方面。由于学生的年龄本身就处于特殊阶段，而网络环境也非常复杂，学生很容易因为随意浏览网络等，导致各种病毒和木马的入侵，严重影响校园网络安全。
1.4缺乏安全意识
对于数字化校园网络安全来说，机房是最容易出现问题的环节。很多机房的电脑被木马等恶意程序感染，原因一方面在于学生，另一方面在于学校本身的安全意识不足。来历不明的U盘、移动设备等容易影响到系统的内部运行。而学校的邮件、Web服务器等如果没有进行有效管理，或是出现问题也不及时处理，那么本身就会存在漏洞，存在被系统入侵的可能性。
2数字化校园网络安全体系的建立
通过分析不难看出，当前国内数字化校园安全体系的建设需要考虑到设备、管理、技术等多个方面，所以可以从这些不同的方面入手来探究具体的安全体系规划.
2.1设备安全
设备安全位于整个圆的最内部，说明设备安全是数字化校园网络正常运行的基础。这也说明校园网内部本身有着巨大的网络系统设备，也是数字化校园的根本所在。所以如何能够保障设备的安全和稳定时实现网络安全的必要条件[3]。
2.2风险管理
设备安全得到保障之后，管理工作也是非常重要的。由于校园网络当中的用户数量庞大，尤其是对于这种大规模的网络系统来说，用户的操作本身就存在着差异，如果不对用户的操作等进行约束，那么系统必然会出现不完善。所以加强人员培训，对可能发生的问题进行分析并处理，是管理体系中的重要一环。例如数字化校园的环境中本身就存在着突发事件的可能性，像木马、病毒、黑客都是严重的危害。如果仅仅只依靠传统的防御系统进行防护，那么不仅在效果上无法体现，还会导致整个系统的危险和瘫痪[4]。因而如何做好风险评估和应急预案是非常关键的。风险评估的对象是一般用户的操作以及可能发生的所有突发事件，然后进行量化评价，判断各类风险的危害程度，再针对性地做好预案防御工作。这也是安全体系中的主动防御手段。例如一般问题就是小型的安全事件，比如学生因为操作不当导致计算机感染病毒；严重问题则是服务器被攻击或是篡改等类似的事件；非常严重的问题则是木马的大规模爆发导致系统瘫痪等。如果能有效地对突发事件进行划分们也能针对性地进行防御，将会维持工作的稳定性和有效性。
2.3技术环节
技术环节是维持数字化校园网络运行的根本，而安全的网络系统也需要技术的支撑。这些技术贯穿于系统运行的各个环节，无论是在正常运行阶段还是发生问题的阶段，都会通过相关的方式来达到防护的作用。例如常见的防病毒防木马系统等。但是需要注意的问题在于如果发生无法避免的问题和危机时，那么这些安全技术也会受到巨大的考验，所以对于问题的划分是非常关键的，要注意到内部威胁和外部威胁的处理措施是存在着差异的。如果是外部威胁，例如黑客入侵等，可以采用防火墙技术或是密钥技术，通过对用户的访问进行拦截的方式宝藏系统安全。而针对于内部威胁，则可以利用漏洞扫描系统和地址映射的手段建立系统的防御体系，维持系统的稳定性。
2.4处理工作
处理工作是在问题和安全事件产生之后的防护措施。包括对问题的响应、对系统的及时防御、系统恢复等工作。这一层面的工作，其核心不仅是为了保障数字化校园网络系统的安全，更是通过加强防御的手段来提升整个系统的抗干扰能力。例如在面对计算机木马入侵时，在处理措施完毕之后的防御体系的建立，就能够在一定程度上提升系统的稳定性。
3结语
通过研究，可以看出数字化校园网络稳定运行的基础在于有完善的安全防范机制。而实现这一目标需要从技术、管理、评估等多个方面进行系统化的工作。尽管在现阶段的安全管理工作中仍然还有需要完善的地方，但是随着未来技术水平的不断革新，安全防范机制也会实现进一步的优化，在现有的基础上形成对数字化校园网络的全方位系统式的管理体系，为保障稳定的校园网络安全环境提供重要的技术保障。
参考文献：
[1]张祎江.数字化校园网络安全防范机制构建与应用[J].科教文汇旬刊，2013.
[2]张遵义.数字化校园网络安全的防范机制构建[J].信息通信，2015.
篇5
【关键词】计算机 网络 安全问题 防范
计算机网络技术的迅猛发展给广大人民群众的工作、生活都带来了较大的便利性，已经成为了生活中的重要组成部分，但是计算机网络也存在着开放性、共享性等特点，易受到恶意软件、病毒等的侵害，导致系统受损或者数据信息外泄，对于计算机网络安全性造成了较大的危害。本文就行政事业单位计算机网络安全问题及其防范措施进行探讨。
1 行政事业单位计算机网络安全问题分析
1.1 计算机网络系统内部
1.1.1 系统漏洞
计算机网络系统漏洞是行政事业单位计算机网络最为主要的安全隐患，主要体现在协议层面、软件层面、硬件层面，若不能及时做好计算机网络系统漏洞监测工作和防护工作，那么必然会出现计算机网络安全问题。
1.1.2 移动存储介质
移动存储介质（如移动硬盘、U 盘等）由于具有易携带、小巧方便、通用性强、存储量大等特点，而被人们广泛应用。但是这些移动存储介质较易染上病毒，易成为信息数据窃取者、网络病毒携带者，严重威胁到行政事业单位计算机网络安全。
1.2 计算机网络系统外部
1.2.1 网络病毒的传播
虽然很多行政事业单位的计算机网络系统都安杀毒软件、防火墙等安全防范措施，但网络病毒的传播仍然严重威胁到计算机网络安全。网络病毒的传播是指黑客人员在计算机网络系统中恶意添加各种非法程序指令和程序代码，有可能会导致计算机系统在短时间之内处于瘫痪，进而窃取资源数据和信息数据。
1.2.2 无授权条件下的非法访问
有相当数量的计算机用户基于各种目的而对未被授权的网站予以非法访问，甚至在出现防火墙危险警告时，仍然置若罔闻。无授权条件下的非法访问很容易会导致黑客人员将用户银行账户、通讯账户、电子邮件账户及密码盗走。
1.2.3 木马入侵
木马入侵主要是指在计算机网络系统中有病毒以木马程序的形式来予以潜伏，在适当的时候会将计算机系统中的资源数据和信息数据用远程控制手段来窃取。
2 如何加强行政事业单位计算机网络安全防范
2.1 加强计算机网络与信息安全工作
（1）在职工大会上及时传达学习上级下发的网络与信息安全工作文件精神，进一步强化安全观念，增强安全意识。牢固树立“信息安全，人人有责”的理念，提高计算机安全管理水平和网络信息安全意识。 制定完善《计算机设备管理办法》、《信息系统安全运维管理办法》等内部管理制度，建立了以各单位负责人为第一责任人的安全管理责任制，并制订安全管理细则，实行安全责任层级管理，全面落实网络及信息安全责任。
（2）结合当前开展的标准化试点工作和绩效考评的相关规定，进一步健全完善网络安全制度建设。规范管理、规范操作，统一制作内外网识别标签，在内外网设备和接口的醒目位置分别张贴，杜绝因误插网线出现违规外联。严禁在内网网络上接入无线路由器等无线设备，杜绝内网及其终端违规外联行为发生。
（3）加强对行政事业单位计算机信息网络的日常管理，加大日常宣传和网络安全检查力度，让安全防范意识固化职工头脑。不定期组织人员对计算机网络管理进行定期与不定期安全检查，实时监控网络的运行状况，按时升级系统补丁，增强对病毒攻击的防御力，及时发现处理网络运行中出现的问题，确保计算机信息网络安全。
2.2 不断引入和更新网络应用技术
行政事业单位可以积极引入信息加密技术、防病毒技术、防火墙技术、漏洞扫描技术等网络应用技术。为了能够增强安全防护力度，可同时采用网络版病毒防护软件和单机版病毒防护软件，将单机版病毒防护软件安装在各个计算机单机上，将网络版病毒防护软件安装在工作站，以便能够远程扫描数据资源，提高病毒清除效果和系统检测效果。此外，有条件的单位还可以采取“生物识别技术”，生物识别技术包括人的面孔、骨架、指纹等人体特征，属于加强版的身份验证方式。
2.3 加强计算机硬件技术防范
电源故障、线路截获以及报警系统等其他计算机硬件系统故障的发生很容易对计算机网络的安全性造成影响，因此，要加强计算机硬件的日常维护，笔者认为，行政事业单位的计算机硬件技术防范方式适宜采取主动（预防）方式，主动（预防）方式属于基于月份、季节或者年份而开展的计划性检修，提前安排专业维护人员来对行政事业单位的计算机硬件进行维护活动。同时，严格按信息安全等级保护的有关工作要求，对操作人员的计算机及应用软件的登录账号及密码，不定期进行风险评估，实施跟踪管理；强化对信息系统重要数据的安全管理，并定期进行数据备份，确保数据不泄露、不丢失。
2.4 加强计算机网络的实时监测
网络检测是指对网络对象的安全性进行信息反馈、信息监控，一旦网络中存在着数据传输的情况，那么可通过神经网络数据分析、数据挖掘、入侵检测等多种措施来对数据的正常与否予以判断，进而预测是否存在着异常数据流、非法数据流。此外，还可以采取相应的安全防范技术来将异常数据流、非法数据流诱导到伪服务器、伪主机上，最大限度地避免出现计算机网络安全问题。
2.5 建立起安全性控制的恢复与备份机制
安全控制是指在连接各个网络服务设备之后所采取的安全保障措施，能够有效地限制某些不合理控制。建立起安全性控制的恢复与备份机制，能够有效地防止出现误删重要文件、恶意篡改重要文件等情况、值得注意的是，虽然恢复与备份机制能够取得较好的效果，但是操作复杂，仍然存在着漏洞，还需要在未来的时间内予以有效完善，提高成功率。
参考文献
[1]刘乔佳，李受到，张敏答.试论计算机网络安全防范技术的研究和应用[J].计算机光盘软件与应用，2012，24（17）：134-136.
[2]黄滔.数字签名技术在校园网办公自动化中的应用[J].科技信息（科学教研），2014，17（25）：109-113.
[3]张微微.浅谈机房的管理方案部署与实施[J].湖北广播电视大学学报，2009，26（03）：120-124.
作者简介
篇6
随着教育信息化的发展，网络已经成为学校重要的教学资源。无论是教师，还是学生越来越离不开网络。校园网络为师生提高了新的教学手段和工具，给师生带来极大利好。但是，不容忽视的是，目前我国校园网络安全管理存在许多问题，这对学校的教学及教育信息化的发展都是一个威胁。如何解决这些问题的方法是我们需要思考的问题。
一、校园网络安全管理中存在的问题
目前，校园网络安全管理存在的问题比较多，概括起来主要有五个。
1、网络安全在校园网络的建设存在中未得到足够的重视。现在校园网络的建设有一个误区，那就是重规模轻安全。有些学校，一直非常重视校园网的扩容建设，而忽视校园网络安全需要。在这样的误区下，学校的网络安全防卫系统肯定不能很好的建构起来。
2、缺乏合格的网络安全管理人才。我国许多学校都没有专业的网络安全管理人才，网管人员技术水平普遍不高，经验也不足。一些网管人员也不投入足够的时间和精力来研究网络安全问题。因此，他们没有能力来处理突发网络安全事故，更无法应付复杂多变的网络环境。
3、师生的安全防范意识薄弱，网络安全防御技术和能力也比较缺乏。相关调查显示，校园师生的网络安全防范意识比较薄弱，许多人认为网络安全是网管的事，自己只管使用就行了。就算有些师生有较高的网络安全防范意识，但如果不是计算机相关专业的师生也不懂得网络安全防御技术，所以没有相应的安全防御能力。
4、网络道德教育严重滞后。在校园里，有些学生恶意使用网络资源，也有些学生浏览黄色网页，还有些学生接受或不良信息。这些不良现象的出现说明当前我国网络道德教育严重滞后，迫切需要加强。
5、监管机制不完善，管理存在许多漏洞。一方面，校园网络安全管理方面，国家还没有明确的管理法规、制度。另一方面，由于学校对国家出台相关的网络安全法规的宣传力度不到位，使得许多师生不怎么了解。此外，由于学校领导不够重视，部分学校的网管未发挥应有的作用。
二、优化校园网络安全管理的措施
1、强化网络安全管理意识
校园网络安全事故的发生，很大程度上是因为师生网络安全管理意识不强，不能在使用网络时提高警惕。因此学校需要强化师生的网络安全管理意识，在思想上、心理上为校园网络安全装上保护盾。首先学校要加大网络道德、网络心理的宣传力度，是校园网络用户认识到校园网络安全与自己息息相关，所以自己有责任来维护校园网络安全。学校可以把网络道德、信息安全教育纳入课堂，尽快改变学校网络道德教育脱节、滞后的现状，遏制大学生网络犯罪率的上升。例如：可以开设一些类似于《网络安全与管理技术》《信息安全技术》的网络安全课程。其次，学校要加强国家的法律法规和学校制定的规章的宣传，是广大师生自觉遵守国家相关的法律法规，做到文明使用网络，以抵御外在的不法攻击。比如：向师生介绍宣传《国家安全法》《计算机信息系统安全保护条例》《算机信息网络国际联网安全保护管》《计算机犯罪法》等法律和法规性文件，使师生明确自己在校园网络安全中所享有的权利和所应承担的义务。
2、加强网络安全队伍建设，建立高素质的校园网络安全管理工作队伍
面对目前校园网络安全问题，学校应加强队伍建设，建立高素质的校园网络安全管理工作队伍。首先需要做好优质网络安全管理人才的引进工作。因为，校园网络安全的实现离不开高水平的网络安全管理人才。学校应当在引进人才时有所侧重，将那些安全意识又高、管理技能有好的优秀人才引入学校来。再者，学校要加强对学校网管人员的职业道德和技能培训。学校既可以请一些专业的网络安全管理专家进校培训，也可以让相应网络管理人员去校外参加网络安全管理培训。
3、构建校园网络安全管理工作体制，落实相关的责任
校园网络安全要实现常态化，必须构建校园网络安全管理工作体制。学校要坚持“谁使用、谁主管、谁负责”的原则，切实加强校园网络安全的组织管理工作，基金构建一个统一领导、分级负责、部门参与、管理体制、管理和技术人员协同工作的管理体制。在网络安全管理工作体制下，校园网络安全管理工作要做到归口管理与分级负责制度，明确学校各单位在校园网络安全管理工作中的职责，把责任落实到位、具体到人。
4、建立健全校园网络安全技术支持系统
校园网络安全要有保障，必须采取多种安全技术，建立健全校园网络安全技术支持系统。可以采用的安全技术主要有五种：防火墙技术、反病毒技术、密码技术、VLAN(虚拟局域网)技术。
5、加大校园网络安全经费投入
校园网络安全经费投入是加强校园网络安全建设的物质基础和财力保障。没有校园网络安全经费投入，就无法引入专业的技术人才和管理人才，也无法加强网络道德、网络心理和法律法规的宣传力度，再有效的措施也无法实施。因此学习必须拨出专款，以增加校园网络安全设施、人员的投入。这样，加强校园网络安全才不是一句空话，才能真正得到落实。综上所述，我国校园网络安全存在一些问题，有许多地方需要优化和完善的地方。优化校园网络安全管理，可以强化网络安全管理意识，加强网络安全队伍建设，构建校园网络安全管理工作体制，建立健全校园网络安全技术支持系统，加大校园网络安全经费投入。
作者:崔宝才 单位:天津电子信息职业技术学院
参考文献：
篇7
计算机网络安全是对计算机数据进行安全防护，保证计算机信息不被外界侵入。计算机网络安全包括实体安全，软件安全，数据安全以及安全管理。一般来说，计算机安全分为物理性的安全问题和逻辑性安全问题。计算机网络实体安全是指计算机物理环境和计算机设备的安全，即计算机的硬件设施，计算机软件安全是指计算机内部系统的安全，数据安全是计算机内部信息保密安全，计算机网络安全管理是指计算机在运行时如果出现问题而采取的各种防范安全措施。
二、计算机网络安全问题
人为失误：人为失误造成计算机网络安全问题主要是因为计算机操作员缺乏一定的安全意识，有的计算机用户因为没有设置账号安全或者随便借用给他人也会造成网络安全威胁。
计算机病毒：计算机病毒是在网络技术迅速发展同时产生的，这种病毒甚至超越计算机技术。计算机病毒能够在计算机正常运行时感染计算机程序，这种病毒是实现设定好的，一旦条件允许就会破坏计算机系统。而且这种病毒具有隐蔽性，因此很难得到彻底的消除。我国计算机组件主要是从其他国家进口，其中很可能就会存在软件病毒代码，因此要十分谨慎。
人为恶意攻击：人为的恶意攻击时网络安全的最大威胁，对网络安全的破坏十分严重。如果金融机构遭到人为的恶意信息窃取很可能导致银行破产。人为恶意对计算机安全攻击主要有主动和被动两种，主动攻击是在影响计算机网络正常工作下破坏数据信息，被动攻击并不影响计算机网络运行，但是能够破译重要数据信息。
木马和黑客：黑客对计算机安全造成的影响主要是计算机数据破坏，数据丢失或者是计算机系统瘫痪，同时黑客木马的侵入还会使得用户重要的的信息被窃取。对于国家安全机密信息来说，黑客木马的攻击会给国家安全带来很大安全隐患。
漏洞：由于网络管理的局限性，和网络的特性，网络的安全问题一直得不到保障。很多用户和单位懒于管理网络，网络管理的制度和措施没有到位，不够健全的网络管理给网络黑客和病毒等的入侵提供了可乘之机，用户缺乏安全防范意识，没有定期清理电脑病毒，对网络的操作系统、软硬件等设备的设置不够健全，从而使得网络存在管理方面的诸多漏洞。局域网用户是最容易出现网络系统漏洞的，这主要是因为很多用户使用盗版软件或者网络管理员管理不当造成的。网民的 IP地址极其容易被盗用，IP 地址会产生冲突，网络账号被盗等这些安全性问题无法解决，也成为网络管理人员和网络维护人员束手无策的问题。
三、计算机网络安全防范措施
（一）计算机网络安全检查
计算机在搜集信息的同时，加强对计算机信息检查工作力度是确保信息安全输入和输出的有效手段，是做好重要信息安全保密工作重要途径。加强计算机网络检查工作要做好以下几个方面。首先，要建立相关制度，有规可循。在严格遵循制度下，对计算机网络信息安全保密进行检查的部分要严格管理，通过使用技术保障信息安全。检查部门要建立相关管理程序。关于计算机网络信息的检查要严格按照制度进行，对于犯罪分子要严惩不贷。检查部门要定期检查计算机信息设备，对于网络场所要严格规定其做好保密措施，督促用户下载正规的软件，使用正规网站。其次，检查部门要提高技术，壮大力量，这是做好检查工作的关键。目前，我国对计算机网络安全信息检查的专业人员较少，力量不够。因此，在提高技术加强信息保密工作的同时壮大队伍，吸引更多的人才对于检查工作顺利进行和取得好的效果有重要作用。另外，配全措施。为了保证信息安全，配全措施是保证。计算机网络信息共享性使得信息很容易被恶意盗取，因此在计算机网络中加强权限管理，不随意透露用户信息，能够有效防止信息盗取。计算机网络安全检查部门要对计算机中心的设备进行加密，由于我国计算机组件多数进口其他国家，因此对这些进口的组件要进行详细的检测，在网络中心安装防火墙，确保外带的病毒侵入网络。
（二）计算机网络安全防范关键技术
入侵预防技术：如果只是对计算机设备进行检测还不足以完全保证计算机网络的安全。入侵预防技术就是防患于未然，对病毒进行拦截。入侵预防技术能够对网络行为进行辨别，处理正当和不正当网络行为。一旦发现有恶意侵入计算机网络系统的程序或软件就会进行消除。计算机网络安全审计技术 ：这种技术是通过检查和监控完成工作。计算机网络安全审计工作包括入侵检测系统，漏洞扫描心痛，安全审计系统等等，入侵检测系统是防火墙技术的补充，能够保证信息完整。这种技术的运行是主动的，能够有效地减少病毒给计算机安全带来的损失。
数据加密技术：很显然，这种技术是对计算机内信息和数据加密来维护计算机信息安全的。数据加密技术是通过设置密文而不被恶意截取。数据加密算法是数据加密技术普遍使用的，这种技术算法快速，但是管理复杂，还有一种算法是公开密钥算法，这种算法速度比较慢但是管理比较简单。无论使用何种算法对数据进行加密，只要使用恰当，这些算法在计算机网络安全工作中都有利于保证信息安全。
漏洞扫描技术：漏洞扫描包括终端扫描和黑客模拟攻击。扫描计算机终端主要是为了检查漏洞是否存在。黑客模拟攻击是通过模拟黑客对计算机攻击，测试计算机安全漏洞。漏洞扫描技术能够有效保证数据库完整和安全，同时用户也能自己对漏洞库进行配置更新。
四、结论
计算机网络安全问题危害了国家和个人的安全，因此要及时地加以处理。计算机网络安全问题的处理需要技术支持和管理支持。在处理问题时要综合考虑各种问题，确保问题能够有效得到处理。
参考文献
[1]刘伟.浅谈如何做好计算机网络安全管理工作[J].数字技术与应用，2011，08：246.
篇8
本文基于网络素养视角下探究大学生网络安全教育引导来源于2016年影响较为广泛的“徐某某”电信诈骗事件。2016年8月，某省高考录取新生徐某某的考生信息被犯罪分子通过网络技术手段窃取，并假扮教育局、财政局工作人员以发放助学金名义骗取徐某某上大学的费用9900元。在得知被骗后，徐某某郁结于心，最终导致心脏骤停不幸离世。该事件发生后，立即引起了社会各界广泛关注，大学生网络安全又被推向舆论的浪尖。因此，如何开展大学生网络安全教育引导，提高大学生的网络安全防范意识是我们值得深思的问题。
一、网络素养与网络安全的关系
网络素养主要由五个部分构成：信息接收、信息解读、网络安全、网络利用、网络伦理道德1。网络安全与网络素养的关系是包含、融合和发展的关系。网络安全是构成网络素养的重要部分之一，网络安全进一步发展了网络素养的内涵和外延；网络素养包含了网络安全，缺乏网络安全的网络素养注定是不完整的、不全面的，因此两者相辅相成，相互影响，缺一不可。
二、大学生网络安全意识缺失的表现
1.信息辨别能力不强
网络信息浩如烟海，对信息判断能力相对较弱的大学生而言一旦遇到虚假信息就有可能造成不可估计的后果。如网络兼职，利用课余时间做兼职是在校大学生接触社会锻炼自己的一个很好途径，而电脑、手机和网络的普及，促使很多大学生不再局限于传统的兼职手段，而是涌现了部分网络兼职群体，也出现了很多网络兼职网站。虽然网络兼职具有不受地域限制、信息流通更快捷等优点，但遇到的不确定性因素却增多，如个人信息被盗，骗取押金、冒充亲人骗取钱财等。同时，大学生对二维码风险、公共wifi、伪基站风险的认识还需要进一步加强。
2.网络成瘾
包括“游戏瘾”、“购物瘾”、“社交瘾”等网络成瘾问题。长期处于网络成瘾会导致大学生学业荒废、与家人朋友关系疏远、身心受损等严重后果。如网络购物，虽然突破了传统商务模式的障碍，无论对消费者、市场都有着巨大的吸引力和影响力，网上商品的物美价廉和便捷性也极大吸引了大学生消费群体。但是网购是把双刃剑，具有两面性。虽然现在网络支付手段和环境相对安全，但也难免有不法分子投机取巧，利用不法手段窃取用户支付信息导致财产损失2。此外长期沉迷网络购物、网络游戏等，会造成大学生超前消费，意志消沉，从而构成网络犯罪。
3.网络犯罪
网络犯罪也是大学生常见的网络安全问题之一。在刷微博、朋友圈和其他APP上获取资讯时候，“三观”尚未成熟且理性思维尚缺的大学生容易产生从众心理和尝新心理，导致错误的信息判断，网络舆论暴力、网络涉黄、网络诈骗、网络涉谣等现象出现。但是部分大学生不能合理规划个人消费，盲目攀比，或者部分大学生需要资金支持个人创业，如果遇到不正规不合法的网贷渠道，风险意识较弱的大学生必定成为弱势群体，倘若大学生欠下债务而无力偿还就有可能走向犯罪。
三、开展大学生网络安全教育引导
1.建立网络安全防护
在国家政策的指导和保障下，要建立网络安全产业链，构筑网络安全壁垒。一是从法律保障和安全监管角度出发，与时俱进地推动和完善与网络安全相关的法律法规、技术标准，做好法律保障；加强网络安全监管和综合治理能力，提升网络安全事件应急力和打击力度。基于此，《中华人民共和国网络安全法》的推出为保障网络安全，为信息化健康运行奠定了有法可依的基础。二是从社会监督角度出发，充分发挥行业组织和专业机构的作用，建立健全网络安全社会监督举报机制，形成行业监管氛围；三是从运营商的角度出发，无论是个体企业还是企业之间都要加强网络安全防范意识，并严格自律。由此肃清网络环境的不良行为，对净化网络环境，为互联网良性健康发展保驾护航。
2.拓展高校网络安全教育引导
将网络安全教育引导与日常思想政治教育工作结合起来，充分发挥高校辅导员队伍的作用。再次，网络安全教育引导要贯穿于第一课堂和第二课堂，在课堂教育、教材融入和科研课题研究基础上，在大学生之间广泛开展网络安全实践教育，通过正反案例分析、情景再现互动、技能知识竞赛等形式培养大学生网络安全意识。大学生自我提升网络安全意识虽然大学生的文化知识水平较高，但是由于尚未完全踏入社会，社会经验不足，容易缺乏安全防范意识，加之法律观念淡薄，从而导致一些不良事件发生。因此，大学生自我网络安全意识培养是现实需要。首先，学习计算机使用知识。大学生要学会如何使用计算机、如何利用计算机为个人发展服务。在使用过程中能够正确辨别那些是有害信息、有害软件，通过知识的学习铸造一道网络安全心理防线。其次，加强自身法制观念。因为必要的法律认知对于个人来说是一种约束，但也更是一种保护手段。再次，要提高社会实践防范能力。大学生面临着从学校过渡到社会人的关键阶段，社会实践作为大学生踊跃参加的活动之一，年龄的增长并不意味着思想的成熟，对危险预判的缺乏往往导致安全事故的发生。
四、结语
网络的发展带来的大学生网络安全问题是现实问题，是一项紧迫且必需完成的任务。网络安全作为网络素养的重要组成部分之一，加强网络安全引导是我们实施网络素养教育的重要措施之一，关注和研究这一领域，将开辟网络素养教育更多途径，丰富网络素养教育内容。
参考文献
[1]中国互联网络信息中心.《中国互联网络发展状况统计报告》，2017.
[2]吴泽鹏.大学生自身网络安全问题研究,西安工业大学硕士学位论文,2016.
[3]中国互联网络信息中心.《2015年中国手机网民网络安全状况报告》,2015.
篇9
摘 要 随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的it技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终。 关键词 信息安全；pki；ca；vpn 1 引言 随着计算机网络的出现和互联网的飞速发展，企业基于网络的计算机应用也在迅速增加，基于网络信息系统给企业的经营管理带来了更大的经济效益，但随之而来的安全问题也在困扰着用户，在2003年后，木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。 随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的it技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场，企业就面临着如何提高自身核心竞争力的问题，而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等，又时刻在制约着自己，企业采用pki技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。 在下面的描述中，以某公司为例进行说明。 2 信息系统现状 2.1 信息化整体状况 1)计算机网络 某公司现有计算机500余台，通过内部网相互连接，根据公司统一规划，通过防火墙与外网互联。在内部网络中，各计算机在同一网段，通过交换机连接。
图1 2)应用系统 经过多年的积累，某公司的计算机应用已基本覆盖了经营管理的各个环节，包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善，计算机应用也由数据分散的应用模式转变为数据日益集中的模式。 2.2 信息安全现状 为保障计算机网络的安全，某公司实施了计算机网络安全项目，基于当时对信息安全的认识和安全产品的状况，信息安全的主要内容是网络安全，部署了防火墙、防病毒服务器等网络安全产品，极大地提升了公司计算机网络的安全性，这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。 3 风险与需求分析 3.1 风险分析 通过对我们信息系统现状的分析，可得出如下结论： (1)经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。 (2)计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心，因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份，并运用技术手段，提高数据的机密性、完整性和可用性。 通过对现有的信息安全体系的分析，也可以看出：随着计算机技术的发展、安全威胁种类的增加，某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷，具体表现在： (1)系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。 目前实施的安全方案是基于当时的认识进行的，主要工作集中于网络安全，对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证，对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺乏整体方案和制度规范，容易造成重要数据的丢失和泄露。 当时的网络安全的基本是一种外部网络安全的概念，是基于这样一种信任模型的，即网络内部的用户都是可信的。在这种信任模型下，假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部，并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。 针对外部网络安全，人们提出了内部网络安全的概念，它基于这样一种信任模型：所有的用户都是不可信的。在这种信任模型中，假设所有用户都可能对信息安全造成威胁，并且可以各种更加方便的手段对信息安全造成威胁，比如内部人员可以直接对重要的服务器进行操控从而破坏信息，或者从内部网络访问服务器，下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。 美国联邦调查局(fbi)和计算机安全机构(csi)等权威机构的研究也证明了这一点：超过80%的信息安全隐患是来自组织内部，这些隐患直接导致了信息被内部人员所窃取和破坏。 信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有选用有关的安全服务。不能充分发挥安全产品的效能。 (2)原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的网络安全隐患，产品亟待升级。 已购买的网络安全产品中，有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性，拟对系统的互联网出口进行严格限制，原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求，现有的防火墙不具备这些功能。 网络信息系统的安全建设建立在风险评估的基础上，这是信息化建设的内在要求，系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期，在规划的过程中，就运用风险评估、风险管理的手段，用户才可以避免重复建设和投资的浪费。 3.2 需求分析 如前所述，某公司信息系统存在较大的风险，信息安全的需求主要体现在如下几点： (1)某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。 (2)网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。 (3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行。 (4)信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是某公司面临的重要课题。 4 设计原则 安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行，避免重复投入、重复建设，充分考虑整体和局部的利益。 4.1 标准化原则 本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定，使安全技术体系的建设达到标准化、规范化的要求，为拓展、升级和集中统一打好基础。 4.2 系统化原则 信息安全是一个复杂的系统工程，从信息系统的各层次、安全防范的各阶段全面地进行考虑，既注重技术的实现，又要加大管理的力度，以形成系统化的解决方案。 4.3 规避风险原则 安全技术体系的建设涉及网络、系统、应用等方方面面，任何改造、添加甚至移动，都可能影响现有网络的畅通或在用系统的连续、稳定运行，这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题，在规划与应用系统衔接的基础安全措施时，优先保证透明化，从提供通用安全基础服务的要求出发，设计并实现安全系统与应用系统的平滑连接。 4.4 保护投资原则 由于信息安全理论与技术发展的历史原因和自身的资金能力，某公司分期、分批建设了一些整体的或区域的安全技术系统，配置了相应的设施。因此，本方案依据保护信息安全投资效益的基本原则，在合理规划、建设新的安全子系统或投入新的安全设施的同时，对现有安全系统采取了完善、整合的办法，以使其纳入总体安全技术体系，发挥更好的效能，而不是排斥或抛弃。 4.5 多重保护原则 任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。 4.6 分步实施原则 由于某公司应用扩展范围广阔，随着网络规模的扩大及应用的增加，系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性，寻求安全、风险、开销的平衡，采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求，亦可节省费用开支。
5 设计思路及安全产品的选择和部署 信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终，如图2所示。 图2 网络与信息安全防范体系模型 信息安全又是相对的，需要在风险、安全和投入之间做出平衡，通过对某公司信息化和信息安全现状的分析，对现有的信息安全产品和解决方案的调查，通过与计算机专业公司接触，初步确定了本次安全项目的内容。通过本次安全项目的实施，基本建成较完整的信息安全防范体系。 5.1 网络安全基础设施 证书认证系统无论是企业内部的信息网络还是外部的网络平台，都必须建立在一个安全可信的网络之上。目前，解决这些安全问题的最佳方案当数应用pki/ca数字认证服务。pki(public key infrastructure，公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向用户提供完整的pki/ca数字认证服务。通过建设证书认证中心系统，建立一个完善的网络安全认证平台，能够通过这个安全平台实现以下目标： 身份认证(authentication)：确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。 数据的机密性(confidentiality)：对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成。 数据的完整性(integrity)：确保通信信息不被破坏(截断或篡改)，通过哈希函数和数字签名来完成。 不可抵赖性(non-repudiation)：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。 5.2 边界防护和网络的隔离 vpn(virtual private network)虚拟专用网，是将物理分布在不同地点的网络通过公用骨干网(如internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。 通过安装部署vpn系统，可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程lan的安全连接。 集成的防火墙功能模块采用了状态检测的包过滤技术，可以对多种网络对象进行有效地访问监控，为网络提供高效、稳定地安全保护。 集中的安全策略管理可以对整个vpn网络的安全策略进行集中管理和配置。 5.3 安全电子邮件 电子邮件是internet上出现最早的应用之一。随着网络的快速发展，电子邮件的使用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点，电子邮件存在着很大的安全隐患。 目前广泛应用的电子邮件客户端软件如 outlook 支持的 s/mime( secure multipurpose internet mail extensions )，它是从 pem(privacy enhanced mail) 和 mime(internet 邮件的附件标准 ) 发展而来的。首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织 ( 根证书 ) 之间相互认证，整个信任关系基本是树状的。其次， s/mime 将信件内容加密签名后作为特殊的附件传送。 保证了信件内容的安全性。 5.4 桌面安全防护 对企业信息安全的威胁不仅来自企业网络外部，大量的安全威胁来自企业内部。很早之前安全界就有数据显示，近80%的网络安全事件，是来自于企业内部。同时，由于是内部人员所为，这样的安全犯罪往往目的明确，如针对企业机密和专利信息的窃取、财务欺骗等，因此，对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。 桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。 1)电子签章系统 利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术，可以无缝嵌入office系统，用户可以在编辑文档后对文档进行签章，或是打开文档时验证文档的完整性和查看文档的作者。 2) 安全登录系统 安全登录系统提供了对系统和网络登录的身份认证。使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机，只需拔出智能密码钥匙，即可锁定计算机。 3)文件加密系统 文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法，从而保证了存储数据的安全性。 5.5 身份认证 身份认证是指计算机及网络系统确认操作者身份的过程。基于pki的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。usb key是一种usb接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用usb key内置的密码算法实现对用户身份的认证。 基于pki的usb key的解决方案不仅可以提供身份认证的功能，还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系，从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。 6 方案的组织与实施方式 网络与信息安全防范体系流程主要由三大部分组成：攻击前的防范、攻击过程中的防范和攻击后的应对。安全管理贯穿全流程如图3所示。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程，也为本方案的实施提供了借鉴。 图3 因此在本方案的组织和实施中，除了工程的实施外，还应重视以下各项工作： (1)在初步进行风险分析基础上，方案实施方应进行进一步的风险评估，明确需求所在，务求有的放矢，确保技术方案的针对性和投资的回报。 (2)把应急响应和事故恢复作为技术方案的一部分，必要时可借助专业公司的安全服务，提高应对重大安全事件的能力。 (3)该方案投资大，覆盖范围广，根据实际情况，可采取分地区、分阶段实施的方式。 (4)在方案实施的同时，加强规章制度、技术规范的建设，使信息安全的日常工作进一步制度化、规范化。 7 结论 本文以某公司为例，分析了网络安全现状，指出目前存在的风险，随后提出了一整套完整的解决方案，涵盖了各个方面，从技术手段的改进，到规章制度的完善；从单机系统的安全加固，到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署，为众多行业提供了网络安全解决手段。 也希望通过本方案的实施，可以建立较完善的信息安全体系，有效地防范信息系统来自各方面的攻击和威胁，把风险降到最低水平。 参考文献 [1] 国家信息安全基础设施研究中心、国家信息安全工程技术研究中心.《电子政务总体设计与技术实现》
篇10
1引言
随着计算机网络的出现和互联网的飞速发展，企业基于网络的计算机应用也在迅速增加，基于网络信息系统给企业的经营管理带来了更大的经济效益，但随之而来的安全问题也在困扰着用户，在2003年后，木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。
随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场，企业就面临着如何提高自身核心竞争力的问题，而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等，又时刻在制约着自己，企业采用PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。
在下面的描述中，以某公司为例进行说明。
2信息系统现状
2.1信息化整体状况
1)计算机网络
某公司现有计算机500余台，通过内部网相互连接，根据公司统一规划，通过防火墙与外网互联。在内部网络中，各计算机在同一网段，通过交换机连接。
图1
2)应用系统
经过多年的积累，某公司的计算机应用已基本覆盖了经营管理的各个环节，包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善，计算机应用也由数据分散的应用模式转变为数据日益集中的模式。
2.2信息安全现状
为保障计算机网络的安全，某公司实施了计算机网络安全项目，基于当时对信息安全的认识和安全产品的状况，信息安全的主要内容是网络安全，部署了防火墙、防病毒服务器等网络安全产品，极大地提升了公司计算机网络的安全性，这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。
3风险与需求分析
3.1风险分析
通过对我们信息系统现状的分析，可得出如下结论：
(1)经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。
(2)计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心，因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份，并运用技术手段，提高数据的机密性、完整性和可用性。
通过对现有的信息安全体系的分析，也可以看出：随着计算机技术的发展、安全威胁种类的增加，某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷，具体表现在：
(1)系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。
目前实施的安全方案是基于当时的认识进行的，主要工作集中于网络安全，对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证，对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺乏整体方案和制度规范，容易造成重要数据的丢失和泄露。
当时的网络安全的基本是一种外部网络安全的概念，是基于这样一种信任模型的，即网络内部的用户都是可信的。在这种信任模型下，假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部，并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。
针对外部网络安全，人们提出了内部网络安全的概念，它基于这样一种信任模型：所有的用户都是不可信的。在这种信任模型中，假设所有用户都可能对信息安全造成威胁，并且可以各种更加方便的手段对信息安全造成威胁，比如内部人员可以直接对重要的服务器进行操控从而破坏信息，或者从内部网络访问服务器，下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。
美国联邦调查局(FBI)和计算机安全机构(CSI)等权威机构的研究也证明了这一点：超过80%的信息安全隐患是来自组织内部，这些隐患直接导致了信息被内部人员所窃取和破坏。
信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有选用有关的安全服务。不能充分发挥安全产品的效能。
(2)原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的网络安全隐患，产品亟待升级。
已购买的网络安全产品中，有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性，拟对系统的互联网出口进行严格限制，原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求，现有的防火墙不具备这些功能。
网络信息系统的安全建设建立在风险评估的基础上，这是信息化建设的内在要求，系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期，在规划的过程中，就运用风险评估、风险管理的手段，用户才可以避免重复建设和投资的浪费。
3.2需求分析
如前所述，某公司信息系统存在较大的风险，信息安全的需求主要体现在如下几点：
(1)某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。
(2)网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。
(3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行。
(4)信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是某公司面临的重要课题。
4设计原则
安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行，避免重复投入、重复建设，充分考虑整体和局部的利益。
4.1标准化原则
本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定，使安全技术体系的建设达到标准化、规范化的要求，为拓展、升级和集中统一打好基础。
4.2系统化原则
信息安全是一个复杂的系统工程，从信息系统的各层次、安全防范的各阶段全面地进行考虑，既注重技术的实现，又要加大管理的力度，以形成系统化的解决方案。
4.3规避风险原则
安全技术体系的建设涉及网络、系统、应用等方方面面，任何改造、添加甚至移动，都可能影响现有网络的畅通或在用系统的连续、稳定运行，这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题，在规划与应用系统衔接的基础安全措施时，优先保证透明化，从提供通用安全基础服务的要求出发，设计并实现安全系统与应用系统的平滑连接。
4.4保护投资原则
由于信息安全理论与技术发展的历史原因和自身的资金能力，某公司分期、分批建设了一些整体的或区域的安全技术系统，配置了相应的设施。因此，本方案依据保护信息安全投资效益的基本原则，在合理规划、建设新的安全子系统或投入新的安全设施的同时，对现有安全系统采取了完善、整合的办法，以使其纳入总体安全技术体系，发挥更好的效能，而不是排斥或抛弃。
4.5多重保护原则
任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。
4.6分步实施原则
由于某公司应用扩展范围广阔，随着网络规模的扩大及应用的增加，系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性，寻求安全、风险、开销的平衡，采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求，亦可节省费用开支。
5设计思路及安全产品的选择和部署
信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终，如图2所示。
图2网络与信息安全防范体系模型
信息安全又是相对的，需要在风险、安全和投入之间做出平衡，通过对某公司信息化和信息安全现状的分析，对现有的信息安全产品和解决方案的调查，通过与计算机专业公司接触，初步确定了本次安全项目的内容。通过本次安全项目的实施，基本建成较完整的信息安全防范体系。
5.1网络安全基础设施
证书认证系统无论是企业内部的信息网络还是外部的网络平台，都必须建立在一个安全可信的网络之上。目前，解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(PublicKeyInfrastructure，公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统，建立一个完善的网络安全认证平台，能够通过这个安全平台实现以下目标：
身份认证(Authentication)：确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。
数据的机密性(Confidentiality)：对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成。
数据的完整性(Integrity)：确保通信信息不被破坏(截断或篡改)，通过哈希函数和数字签名来完成。
不可抵赖性(Non-Repudiation)：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。
5.2边界防护和网络的隔离
VPN(VirtualPrivateNetwork)虚拟专用网，是将物理分布在不同地点的网络通过公用骨干网(如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。
通过安装部署VPN系统，可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接。
集成的防火墙功能模块采用了状态检测的包过滤技术，可以对多种网络对象进行有效地访问监控，为网络提供高效、稳定地安全保护。
集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。
5.3安全电子邮件
电子邮件是Internet上出现最早的应用之一。随着网络的快速发展，电子邮件的使用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点，电子邮件存在着很大的安全隐患。
目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME(SecureMultipurposeInternetMailExtensions)，它是从PEM(PrivacyEnhancedMail)和MIME(Internet邮件的附件标准)发展而来的。首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织(根证书)之间相互认证，整个信任关系基本是树状的。其次，S/MIME将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。
5.4桌面安全防护
对企业信息安全的威胁不仅来自企业网络外部，大量的安全威胁来自企业内部。很早之前安全界就有数据显示，近80%的网络安全事件，是来自于企业内部。同时，由于是内部人员所为，这样的安全犯罪往往目的明确，如针对企业机密和专利信息的窃取、财务欺骗等，因此，对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。
桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。
1)电子签章系统
利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术，可以无缝嵌入OFFICE系统，用户可以在编辑文档后对文档进行签章，或是打开文档时验证文档的完整性和查看文档的作者。
2)安全登录系统
安全登录系统提供了对系统和网络登录的身份认证。使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机，只需拔出智能密码钥匙，即可锁定计算机。
3)文件加密系统
文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法，从而保证了存储数据的安全性。
5.5身份认证
身份认证是指计算机及网络系统确认操作者身份的过程。基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。USBKey是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USBKey内置的密码算法实现对用户身份的认证。
基于PKI的USBKey的解决方案不仅可以提供身份认证的功能，还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系，从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。
6方案的组织与实施方式
网络与信息安全防范体系流程主要由三大部分组成：攻击前的防范、攻击过程中的防范和攻击后的应对。安全管理贯穿全流程如图3所示。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程，也为本方案的实施提供了借鉴。
图3
因此在本方案的组织和实施中，除了工程的实施外，还应重视以下各项工作：
(1)在初步进行风险分析基础上，方案实施方应进行进一步的风险评估，明确需求所在，务求有的放矢，确保技术方案的针对性和投资的回报。
(2)把应急响应和事故恢复作为技术方案的一部分，必要时可借助专业公司的安全服务，提高应对重大安全事件的能力。
(3)该方案投资大，覆盖范围广，根据实际情况，可采取分地区、分阶段实施的方式。
(4)在方案实施的同时，加强规章制度、技术规范的建设，使信息安全的日常工作进一步制度化、规范化。
7结论
本文以某公司为例，分析了网络安全现状，指出目前存在的风险，随后提出了一整套完整的解决方案，涵盖了各个方面，从技术手段的改进，到规章制度的完善；从单机系统的安全加固，到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署，为众多行业提供了网络安全解决手段。
篇11
中图分类号：TP393.08
随着计算机技术及网络技术的迅猛发展，对人们的生产生活、对国家经济社会文化发展都产生了巨大的影响，计算机网络愈来愈成为人们生活中不可缺少的一部分。然而，伴随而来的，互联网信息安全问题也愈加突出。如何加强网络安全防范、切实提升网络防御能力已经成为当前亟待解决的重要问题。针对当前层出不穷的计算机网络攻击，必须积极采取强有力的防范措施，否则网络不仅无法发挥其有利作用，反而会危及个人、企事业单位甚至国家的安全。
1 当前计算机网络攻击的特征
计算机网络攻击指的是基于计算机网络存在的漏洞及安全缺陷对计算机系统及其内部资源进行攻击或者进行非授权操作的行为，其具有造成损失巨大、攻击手段多元、攻击手法隐蔽等特点，有些计算机网络攻击还会对国家安全造成一定的威胁。具体而言，第一，计算机网络攻击的对象是联网状态的计算机，一旦攻击成功，极其容易导致成千上万台计算机瘫痪，从而给个人、企事业单位甚至国家造成巨大的损失；第二，随着信息技术高速发展，计算机网络攻击手段呈现出多样化及精致化的特征，网络黑客不仅可以通过截取他人账号或口令从而进入计算机系统，而且可以通过监视网上数据获取他人信息，甚至可以避开他人设定的防火墙进入计算机系统，而这些网络攻击行为往往可以在极短时间内通过计算机完成，因此也具有很强的隐蔽性。第三，计算机网络攻击绝大部分都是以软件攻击为主，通过对计算机软件进行攻击来进行，和生活中对计算机进行物理性攻击完全不同。第四，当前，国际形势瞬息万变，一些计算机网络攻击者尤其是外国网络攻击者出于各种目的将他国政府部门或军事机构计算机系统作为网络攻击目标，从而给他国国家、社会造成巨大安全威胁。
2 计算机网络攻击的主要途径
当前，计算机网络攻击的主要途径主要有破译口令、IP欺骗以及DNS欺骗三种。具体而言，第一，计算机网络攻击的一个重要途径是破译口令。口令是计算机系统抵抗入侵者的一项重要手段。网络攻击者在获取计算机上合法用户的账号后，对合法用户口令进行破解，然后使用破解所得的口令登陆计算机，进而实施其他非授权行为。第二，计算机网络攻击的另一个重要途径是IP欺骗，IP欺骗，顾名思义，指的是计算机网络攻击者通过将自身计算机IP地址伪造成他人IP，让自身计算机假冒另一台计算机，从而达到蒙骗过关的目的。IP欺骗具有一定的局限性，其利用了TCP/IP网络协议的脆弱性特点，只能对某些运行TCP/IP的计算机系统进行入侵。通过与被入侵计算机的连接，对其所信任的计算机发起攻击，从而使该计算机主机瘫痪。第三，计算机网络攻击的第三个途径是DNS欺骗。DNS，中文名为域名系统，是用于TCP/IP应用程序的一种数据库，可以提供计算机主机名字与IP地址间的转换信息。一般而言，计算机网络用户间的通信一般通过UDP协议以及DNS服务器完成，服务器在五十三端口进行“监听”，向用户反馈其所需要的信息。由于DNS服务器并不对转换或者信息更新予以身份认证，这就给了计算机网络攻击者利用的空间。当网络攻击者对DNS进行危害时，一旦明确地将计算机主机名即IP地址映射表更改时，就出现了DNS欺骗，而这些改变也随之写入了转换表。当客户机请求查询相关信息时，只能获得伪造的IP地址，而这个伪造的地址是完全处于网络攻击者控制的地址。
3 计算机网络攻击常见手段
3.1 网络攻击者利用网络系统漏洞进行攻击
当前，许多网络系统并不完善，存在着诸多漏洞，这些漏洞既有可能是系统本身就有，也可能是计算机用户、网络管理员的疏忽所造成的，网络攻击者利用这些漏洞进行密码探测、系统入侵等攻击行为，最终造成计算机内资料的泄露或者导致计算机不能正常运行。
3.2 网络攻击者通过电子邮件进行攻击
网络时代，电子邮件愈来愈成为我们生活中的重要通讯方式，应用范围愈加广泛。网络攻击者有时会使用电子邮件炸弹的方式向同一个目的邮箱发送大量垃圾邮件，这些垃圾邮件往往内容无用且重复，其目的是使用户网络带宽耗尽、邮箱空间撑爆，尤其是当垃圾邮件发送量特别巨大时，可能导致邮件系统工作迟缓、甚至出现瘫痪，从而阻碍用户正常收发电子邮件。
3.3 网络攻击者通过网络监听进行攻击
作为主机的一种工作模式，网络监听通常被用于监视计算机网络状态、信息传输以及数据流情况。网络攻击者在目标主机网络信息传输时，通过工具将目标主机网络接口设置为监听模式，从而截获正在传输的信息（一般截获用户口令），最终取得目标主机用户权限，从而实施攻击行为。
3.4 网络攻击者通过放置木马程序进行攻击
木马程序对计算机系统危害较大，它往往被伪装成工具程序或者游戏软件等诱使用户执行，当这些木马程序被执行后，就会将本地计算机与远程计算机进行连接，当计算机联网运行时，网络攻击者往往就会通过这些木马程序盗取用户资料及信息，篡改用户文件资料，从而最终控制本地计算机。
3.5 网络攻击者通过拒绝服务进行攻击
拒绝服务攻击是网络攻击者较常使用的一种攻击手段。攻击者通过某种方法使目标主机暂停或者停止提供服务甚至出现主机死机的情况，从而达到对其攻击的目的，其中最为常见的是对网络带宽攻击以及连通性攻击。
4 计算机网络安全防范措施
针对当前计算机网络攻击手段的多样性及复杂性，为确保计算机网络安全、增强计算机网络抵御能力，有必要积极建立一套合理可行的网络安全防范机制，全方位地对主机的访问进行监视，及时发现并采取有效措施抵御攻击行为。
4.1 网络安全结构中防火墙技术的运用
作为保障系统安全的有效屏障，防火墙是实现计算机网络安全的最基础但也是最为有效的防范措施之一，由计算机软件及硬件共同组成。通过构建计算机防火墙，用户群体可以在内、外部相互访问中确立一定权限。用户联网后，确保计算机网络安全的重要一个环节是抵御恶意操作行为，而目前抵御非法入侵者恶意操作最主要的措施就是防火墙技术。通过防火墙技术的使用，在相当程度上提高了网络安全性，在一定程度上阻断并过滤了恶意攻击行为，从而降低计算机安全风险。
4.2 加密技术的应用
通过应用计算机网络加密技术，对网络传输中主机IP地址进行封装加密，可以大幅提高数据传输的保密性与真实性，其在确保公网数据传输安全方面也有重要作用。和防火墙技术相比，加密技术更加灵活，尽管其在一定程度上限制了用户权限，但是对维护用户静态信息安全起到了积极保护作用。
4.3 入侵检测技术的使用
入侵检测系统，英文简称IDS，其通过多渠道对计算机网络数据信息进行搜集，并对数据信息进行分析，从而判定网络攻击特征并实施驱逐。使用入侵检测技术，不仅可以对主机与网络之间的行为实时监控，同时可以对外来攻击及入侵进行预警，并实施阻挡及防护，提升计算机网络防御能力。与防火墙技术相比，入侵检测技术更加系统化，同时对于网络攻击可以进行数据特征分析并对入侵行为实施驱逐。此外，入侵检测技术还能对计算机受损程度进行检测，在受攻击后收集相关数据信息，将攻击者数据及相关特征、信息添加到相应数据库中，使计算机系统安全防范能力得到提高，避免了同种或者同类型的攻击行为再次使计算机系统受损。
4.4 建立多层次安全级别的病毒防护系统，全面防护病毒入侵
一般而言，防范病毒入侵的方式主要有两种，即单机防病毒软件以及网络防病毒软件。单机防病毒软件主要用于对本地计算机或者与本地计算机相连接的远程资源进行病毒分析扫面，从而清除病毒；而网络防病毒软件则侧重于对网络病毒的防护与清除，尤其是某种病毒通过网络向其他资源进行传播时，网络防病毒软件会及时发现并予以清除。为了确保计算机网络安全，有必要建立多层次安全级别的病毒防护系统，全面防护病毒入侵。
4.5 加强计算机网络安全管理
业界有一句话比较经典：三分技术，七分管理。当前，为了切实提高计算机网络安全防范水平、增强计算机网络防御能力，除了上述网络安全技术的运用，还有必要积极加强计算机网络安全管理、制定健全的网络安全法律规章制度，对现有法律法规中有关计算机安全的内容进行适当补充与修改，加强对计算机网络犯罪的打击力度，这对切实保障计算机网络安全、可靠运行具有十分重要的作用。
5 结束语
随着信息技术的发展，计算机网络攻击手段不断演变，各类计算机网络违法犯罪案件数量不断攀升。网络攻击越来越成为构建计算机网络安全体系的重要障碍，为了提升网络安全防范水平，因此必须全方位、多角度地完善计算机网络安全的防范体系。
参考文献：
[1]赵秉文，陈宁，梁红.基于层次分析法构建网络安全系统的方法[J].浙江理工大学学报，2009（04）.
[2]胡华平，刘波，钟求喜.网络安全脆弱性分析与处置系统的研究与实现[J].国防科技大学学报，2009（01）.
[3]邢娜，马文惠，冯红婵.浅析计算机网络安全隐患及防范技术[J].科学大众（科学教育），2009（11）.
[4]宋秀丽，邓红耀.计算机证据在网络传输中的安全保护策略[J].计算机工程与设计，2010（16）.
篇12
中图分类号:TP309 文献标识码:A 文章编号:1674-7712 (2012) 12-0057-02
随着我国医疗信息化快速发展,医院信息系统的普及,信息系统在数字化医院中的作用越发重要,信息作为无形资产与其它资产一样受到重视和保护。如果信息系统在运行时出现故障,医院的各挂号、收费、医嘱、取药、电子病历、物资管理等各种工作都将无法正常运行,加强和重视医院信息网络安全已经成为医院信息化建设刻不容缓的问题,医院信息系统安全性的设计与实现,在信息系统建设的投资中将会占据越来越大的比重[1]。一旦医院信息系统发生故障,甚至瘫痪,不但让医院蒙受巨大的经济损失,而且将给医院社会效益带来无法估量的负面影响。如何科学分析网络安全隐患途径和切实有效做好医院信息网络安全隐患防范越发显得极其重要。在信息网络应用技术不断发展升级的同时,非法访问,恶意攻击等网络安全的威胁越演越烈,层出不穷。VPN、防火墙、放病毒、IDS、身份认证、安全审计、数据加密等安全防护手段在网络中不断得到广泛应用。结合我院的实际情况,本人提出以下防范措施供参考:
一、针对服务器存储设备硬件故障的安全防范措施
服务器是信息系统的核心设备,如果损坏将使医院整个信息系统瘫痪。对此,我们采用主、备两台服务器加主、备两台存储设备,利用赛门铁克公司的双机软件做2+2群集。当某一台服务器因硬件故障或软件操作系统故障宕机时,另一台服务器通过心跳线测到后,将宕机服务器的所有服务自动接管过来进行服务,信息系统仍然可以正常运行。同时,每台服务器均采用双硬盘RAID1技术,RAID技术是通过数据条块化方法与磁盘阵列相结合,来提高数据可用率的一种结构。同时利用“奇偶检验”技术在硬盘失效时重新产生数据,保证服务器任意一块硬盘损坏都不会影响服务器正常运行。实现热备的主、备两台数据储备中所有硬盘,又均采用RAID6技术保障某一存储同时损坏两块硬盘时,也不会丢失数据。结合各设备硬盘热插拔技术,在不停业务情况下,随时更换故障硬盘,保证数据的安全和完整。
二、针对网络设备硬件安全防范
核心交换机亦是网络数据传送的核心,我们也采用主、备双核心交换机,两台核心交换机之间,心跳线应用为万兆光纤。当其中一台核心交换机宕机时,另一台核心交换机自动接管运行数据。所有汇聚层交换机均采用千兆光纤双链路连接至核心交换机。每个汇聚交换机下端的计算机用户划分不同的VLAN,核心到汇聚,汇聚到接入层,划分各交换机均设置独立的管理地址,并由专人保密管理。整个三层结构的网络链路上,安装网强网络运维管理系统,实现各项远程运维监控和管理功能。时时监察各网段网管设备各种运营情况,发现问题及时解决。同时,在接入层交换机上,对终端计算机的IP和MAC地址与各端口进行绑定,再通过交换机和防火墙之间的设置联动,来防止一些非法用户利用伪MAC、伪IP地址进行越权访问网络资源隐患,虽然在更换设备和用户时有些繁琐,但安全防范效果非常好,从而避免各类网络安全隐患的发生。
三、针对移动存储介质的安全防范
医院信息系统工作日常工作操作内容繁多,工作量大。几乎医院所有的临床科室与机关职能部门均有相应的子系统应用。医院各终端用户如果使用U盘等移动存储介质,可能造成各终端计算机操作系统受病毒感染,这些病毒严重威胁医院信息网络安全,如何量减少终端计算机上移动存储介质的接入是网络安全至关重要的问题之一。我们在网络链接上的每台计算机上都使用网强桌面管理软件,根据需要对计算机的各种I/O设备接口进行管理,包括:U盘、光驱、串口、并口等。虽然USB封闭,但可以使用USB接口打印机、键盘、鼠标等非数据读写的外部设备,禁止和限制移动存储介质接入,避免和减少了病毒传播。桌面终端管理系统可以应用多种设置策略,随时授权专人管理,并实现计算机IP地址的锁定,禁止终端计算机修改自身IP地址,防止因终端计算机随时修改IP地址产生相互冲突,造成对信息系统的威胁。桌面管理软件还可以对一些关键科室的计算机24小时截屏,随时调阅。同时,我们在每台终端计算机上安装了小哨兵硬盘还原卡,利用还原卡对每台计算机进行相应还原设置,当每台计算机重新启动后,均能回到我们所配置的标准操作状态,有效避免了少数病毒长时间残留于某台工作站的情况。
四、针对网络病毒的安全防范
随着信息技术的高速发展,计算机病毒也在飞速成长,全世界几乎每天都有无数网络系统被病毒感染。病毒是当前网络面临的巨大威胁之一,一旦信息系统受病毒攻击,极有可能造成全院网络系统的瘫痪,将给医院带来不可估量的损失。为此,我们采用一套趋势科技的最新网络版杀毒软件,并时时更新升级病毒库,并把杀毒软件设置为:机器每次启动时,对关键区域自动病毒扫描,查杀各种新型病毒,保护网络系统安全运行。
在与外埠医保、农合平台链接和进行数据交换方面,我们租用电信专线光纤,并在进户前端,安装VPN或防火墙,防火墙作用是介于我院安全的内部网络和非安全的外部网络之间,进行网络访问控制的网络设备,用来防止未授权的或不期望的用户和主机我院内部网络,避免外部设备接入我院网络对我院网络的恶意攻击或病毒传播。在安全使用防火墙时,同时应用入侵检测系统,入侵检测系统就是防火墙系统的合理延伸和补充。如果防火墙是第一道安全闸门,入侵检测系统就可以称为第二道砸门,入侵检测系统通过计算机网络系统的关键是收集信息,并进行分析,从中发现网络中是否有违反安全策略的行为和被攻击对象,有效的弥补了防火墙所能达到的防护极限。经常定期检测各服务器系统和终端计算机操作系统的漏洞情况,进行相关的配置和补丁管理,通过对已发现的安全缺陷快速反应,从而大大提高各网络抵抗病毒风险的能力。
五、针对IP地址冲突的安全防范
医院信息网络中每台计算机都有各自的IP地址,如果IP地址冲突,会导致相同IP地址计算机均无法正常工作,甚至可能会导致整个网络瘫痪。虽然终端桌面系统做了IP绑定,但无法对外来非法接入计算机进行绑定IP。因此,我科采用多种办法解决IP地址冲突问题。如:
1.在整个网络上接汇聚交换机管理区域,划分多个VLAN,每个VLAN就是一个虚拟局域网,优点就是通过VLAN的划分来防范广播风暴,并能够形成虚拟工作组。利用网络功能动态管理网络,同时,每个VLAN之间可以定向访问、多向访问和访问公共网段时的各类服务器。其中机房设备使用专用VLAN,并切实做好VLAN地址的各种保密工作。
2.在核心交换机的傍路安装锐捷ESS1000端点准入系统专用设备,对所有接入网络终端计算机进行IP、MAC和硬盘信息认证并绑定。没有经过授权的终端计算机无法登录网络,还能对网络上任何设备技能型方位操作,在访问控制方面,确保了网络安全。
六、针对数据管理和备份的安全防范
随着信息系统的健全和医院整体建设的不断发展,信息数据将是医院最宝贵的财富,如果业务数据的丢失,更是一场巨大的灾难。即使其它各种安全防范措施2+2群集平台,仅能防范硬件损坏造成的威胁,却不能防范数据库病毒感染、数据库逻辑损坏等数据丢失。因此,我们在数据备份机制上,采用赛门铁克数据备份软件,把数据通过每天凌晨和中午各做一次全备、5分钟一次增量备份、20分钟一次差量备份等多种方式远程备份到异地冗灾服务器上,实时备份对数据的每一个操作时间进行记录,通过对时间点和操作步骤的回溯修复错误,所有数据回退是完全建立在实时备份的基础上的,需要数据恢复时,只要选择需要恢复的操作步数和操作时间即可,这样极大程度保证了数据库冗灾,缩短数据恢复的时间和减少医院信息数据的丢失。为了防止备份数据的外流或非法他用,对备份的数据必须有加密措施,来保证备份数据即使被窃取出去,也无法在非法环境中进行恢复使用。同时,我们还每月一次定期对所有数据库进行异地离线数据备份,把所有的数据分类别分时间段离线备份到一台RAID5方式60TB容量的海量磁盘阵列上面,满足医院信息系统数据保存30年的要求。同时按照数据库管理规范的要求,数据库超级用户权限严格控制专人负责,最大限制并尽可能减少超级用户的使用。并实行分级授权、分级管理,达到“用所必须”的目的。
综上所述,医院信息系统是整个医院运营的神经系统,信息系统安全关系到医院的整体利益,医院信息系统运行的成败很大程度上取决于信息网络的完整性和安全性,而医院信息系统安全的关键是减少各环节的单点故障的发生。随着信息技术不断发展,信息网络存在的安全隐患将不断呈现出来。除上述各项安全解决方案外,我们在现有基础上,还通过其它各种方式来保护信息网络。在院领导高度重视下,培养一支操作规范,技术过硬的医院信息系统管理团队,认真执行科学合理的制度,也是医院信息系统温度安全、高效运行的有力保证。如:
1.制定各项信息系统管理制度和规范,如:《机房安全操作管理制度》、《数据安全管理和保密制度》、《信息中心人员工作制度》等并严格认真执行。从主观上,增强信息系统安全防范能力。
2.对一些口令或密码的不定期修改,密码设计尽量多样化、组合式来增加复杂度,防止因密码泄漏造成的安全隐患。
3.安装数据库审计设备提高数据库读写时的安全性,对数据库操作进行全方面监控和记录等。实现数据读写的可追溯及数据细节分析。
总之,医院信息系统的安全,只是相对的安全,永远不可能是绝对的安全。只有以高度重视的态度,严谨认真,措施落实的进行,才能把医院信息系统安全隐患做到最低。网络安全管理所涉及的功能复杂,实现方式各异,需要综合应用以形式,完整的安全统一域管理体系。因此,保障一个安全域至少需要几个部分安全功能协调作用[2]。
医院信息系统安全防范之路任重道远。
