時間：2023-09-19 16:27:19
開篇：寫作不僅是一種記錄，更是一種創造，它讓我們能夠捕捉那些稍縱即逝的靈感，將它們永久地定格在紙上。下面是小編精心整理的12篇網絡安全體系建設，希望這些內容能成為您創作過程中的良師益友，陪伴您不斷探索和進步。
兩項規定有利于完善互聯網信息安全體系建設，有利于提高互聯網公開公正的透明度，有利于推動互聯網生態環境的建設，有利于推進互聯網業務的快速發展。
2013年7月16日，工業和信息化部《電信和互聯網用戶個人信息保護規定》和《電話用戶真實身份信息登記規定》，并要求于9月1號正式實施。毫無疑問，此舉意味著政府決心加強互聯網信息安全監管力度，加強對互聯網個人信息的保護力度，加強對互聯網參與者身份的管理。值得注意的是，隨著這兩項規定的，實名制再次成為社會備受關注的熱點話題。
“實名制就一定能解決網絡安全問題嗎？”大多數人都會有這樣的疑問。網絡安全體系建設需要有完善的法律、法規和政策，還要有相應的網絡安全防護技術輔助實施。試想，如果讓實名制在網絡上裸奔，顯然是弊大于利。這些年互聯網的快速發展，逐漸改變了人們的生活方式，并逐步將人們的日常生活引入網絡生活，在這個過程中持續暴露出的網絡安全問題最為頭疼。實名制引入的目的是凈化網絡環境，杜絕網絡危險因素流入，從而保護網絡運行環境的安全，如果能夠在此基礎上避免實名制可能引發的個人信息安全，顯然對網絡安全體系建設是件極其有益的事情。
“實名制會引發哪些網絡安全問題？”這是大多數人擔心的問題。很明顯，實名制關系到個人信息安全問題，近年來欺詐信息、垃圾信息的泛濫，有一個重要的原因就是個人信息被有意或無意泄露。這正是實名制引發社會討論的原因，也是焦點。單純從技術角度講，實名制信息保護并不是技術難題，關鍵還是在于法律、法規和政策的監管，以及社會道德的約束。一般情況下，法律、法規和政策出臺滯后于互聯網業務的快速發展需求，這是造成實名制不能立即實施的根本原因。因此，沒有相應的法律、法規和政策出臺，執行實名制顯然會存在個人信息保護的安全問題。
工業和信息化部同時這兩項規定，就是要從保護個人信息安全角度出臺實名制，從而消除上述兩個問題對社會的影響。兩項規定實質上是從法律、法規、政策和技術角度綜合要求網絡運營實體和參與者共同遵守互聯網法律規章制度，這無疑能夠有效凈化網絡運行環境，提高國內網絡的信息安全水平。我國是互聯網大國，這兩項規定有利于完善互聯網信息安全體系建設，有利于提高互聯網公開公正的透明度，有利于推動互聯網生態環境的建設，有利于推進互聯網業務的快速發展。因此，這兩項規定的是及時的、必要的，也是亟需的。個人信息保護和實名制將共同推動中國互聯網安全體系的建設，促進中國互聯網產業的健康快速發展。
信息安全問題與互聯網的發展相伴相生，在網絡時代，我們一方面要享受到信息爆炸、社交便捷的福利，另一方面也需要應對信息泄露的風險。在醫院的內部管理中，信息化建設已經成為一股不可逆轉的發展趨勢，因此，醫院要想利用互聯網提高管理效率，優化醫療衛生服務，就應該正視網絡體系構建中存在的安全問題，并構建嚴密可行的管理措施，防范網絡安全風險，讓醫療信息、管理信息能夠更好地服務于患者，確保醫院的有效運行。
2醫院網絡安全體系構建中存在的問題
雖然網絡體系的構建是醫院信息化管理的必要環節，但是其在安全風險防范方面卻依舊漏洞百出，使得醫院的網絡安全體系建設形同虛設，難以充分發揮其風險控制與防范的實際效果。具體來講，醫院網絡安全體系構建中存在的問題如下：第一，醫院內部系統對數據的收集與應用效果并不理想，目前多數醫院對于網絡系統的建設還處于起步階段，許多數據的收集并不完整，例如電子病歷的形成尚處于“模板+標簽”階段，缺乏專業化處理，影響了數據傳輸與共享效果，各部門之間的信息溝通不暢，“信息孤島”的狀況沒有被完全打破。第二，網絡安全規劃缺乏投入，對信息安全的預期投入嚴重不足，雖然信息安全問題是醫院網絡信息系統構建的關鍵，但是從整體上來看，相關部門對于信息安全體系的構建并不積極，例如在硬件投入中缺乏預算支持，使得硬件設備一旦出現損毀就會造成大量醫療衛生信息的丟失；對軟件技術的應用不到位，防火墻、加密系統的建立存在漏洞；各部門對于安全系統的認識存在偏見，在某一科室出現網絡安全問題的時候則相互推諉，缺乏有效的追責與監督。第三，網絡安全體系構建與實現的方案缺乏有效的落實，任何網絡安全問題在沒有爆發前往往都顯得不那么重要，醫院在網絡安全體系建設中也存在這種僥幸，對安全規劃的設計頭頭是道，但是到了具體的落實階段卻又推三阻四，影響了網絡安全體系建設工作的實效性。
3醫院網絡安全體系構建與實現的相關對策
醫院網絡安全體系的構建與實現需要從硬件設備、軟件系統、組織管理者三個方面入手。
3.1硬件設備安全的構建與實現
根據信息化管理的技術需要，醫院的硬件設備安全管理主要包括以下內容：第一，網絡布線。對于醫院的信息化建設而言，網絡布線不僅影響著系統的信息傳遞速度，更關系著信息溝通的安全，因此，相關技術人員應采取內外網物理斷開的方法，對醫院網絡系統進行科學布線；考慮到信息安全，對于各樓宇的主干線可以采用光纖和備份光纖相結合的方式；在連接客戶端的時候，應做好屏蔽處理，及時排除干擾源，保證信號強度，以及信息數據傳遞的有效性和完整性。第二，根據《電子信息系統機房設計規范》做好對機房的設計，如根據“電子信息系統機房的耐火等級不能低于2級”等規定做好防火安全管理；根據“主機房氣流組織、風口及送回風溫差”的相關數據做好防潮工作等，確保主機房能夠充分發揮信息存儲與傳輸的功能。第三，服務器、交換機的數據安全，在醫院網絡安全系統構建中，技術人員應對關鍵設備的基本性能以及冗余做好分析，并確保系統能時刻運行。為避免停電故障造成信息丟失，醫院的服務器應采用不間斷電源，并在出現安全故障的時候，自動接入另一個服務器完成信息備份，從而做好“雙保險”，提高網絡系統運行的持續性和安全性。
3.2軟件安全系統的構建與實現
在網絡安全系統構建中，系統軟件可以通過與硬件設備的交互作用，實現對系統的控制與調度，并連接網絡，實現信息的傳輸與存儲。因此，醫院在網絡安全系統構建與實現中，應該不斷完善軟件系統，從而確保信息數據的安全。醫院在軟件安全系統的構建與實現上可以從以下幾個方面入手：第一，設置安全口令。軟件系統的登錄應控制開放程度，利用安全口令對訪問者的身份進行確定，在使用軟件系統的過程中，口令的設置也應該提高安全系數，避免使用缺省值，保證長度不少于八位，且內容包含字母和數字及至少包含兩個特殊字符。此外，為進一步確保軟件系統的安全，相關部門的操作人員應對安全口令進行定期更換，提高被破譯的難度。第二，安裝殺毒軟件。在醫院的網絡系統建設中，內外網的完全物理隔離是不可能的，只要存在接入外網的機會，病毒就會見縫插針對網絡系統進行攻擊。針對此，醫院在網絡安全系統構建中應該要求客戶機及服務器安裝殺毒軟件，利用軟件對病毒進行甄別與抵御，及時檢測違規操作，并對高風險行為做出提示，控制病毒對網絡系統的威脅。第三，應用防火墻。目前一些軟件公司在技術研發中，對防火墻的設計更加嚴謹，醫院在網絡安全系統建設中，應利用方便、快捷的防火墻進行定期掃描，及時檢測出危險信息，控制惡意腳本在目標計算機上的執行過程，避免外網攻擊的入侵，以及信息的泄露。第四，加強對工作站的安全管理。各個工作站在使用系統的過程中，都應該利用賬號、用戶權限、網絡訪問以及文件訪問等實行嚴格管理程序規范進行安全控制，嚴格監控光驅、軟驅，USB接口等外來信息的接入，提高安全管理效果。
3.3組織機構的構建與實現
在醫院的網絡安全保障系統建設中，工作人員是落實安全措施、執行安全方案的主體。再高端的硬件設備、再完善的軟件系統都需要人的操作來發揮作用。因此，醫院在網絡安全保障體系的建設中，應該將人的因素納入其中，并確定、尊重其主體地位，利用安全管理制度，提高工作人員構建網絡安全保障體系的能力。具體來講：第一，建立一支強有力的安全管理小組，體現組織管理效果，并在管理小組內部做好明確分工，確保一旦出現安全問題能夠迅速做出反應。第二，完善安全制度建設，對于醫院網絡安全管理人員而言，制度建設是規范其安全行為，提高安全方案執行效果的關鍵，因此醫院應該從多方面做出安全規定，明確管理細則，推動安全管理人員工作的有序開展。第三，規范內部人員網絡操作，根據信息安全問題的調查顯示，操作者的不規范操作是造成病毒入侵，信息泄露的主要問題。因此，在組織管理中，醫院應對內部人員的違規操作進行嚴格控制。第四，做好應急預案的制定與演練，對出現的信息安全問題應做好各部門的聯動，提高應急能力，及時止損。
4結束語
總之，進入到互聯網時代，信息化已經成為醫院內部管理創新的基本思路，信息化的實現需要網路系統的支持，但是在網絡系統構建的過程中，無處不在的安全問題使得醫院的信息化建設舉步維艱。針對此，醫院應該從網絡安全系統的建設要點出發，增加對硬件設備的投入，做好軟件系統的技術應用，加強組織管理建設，進而完成醫院的網絡安全體系構建與實現。
參考文獻：
[1]張寶偉.醫院網絡安全體系構建及實現方式分析[J].網絡安全技術與應用，2018.
關鍵詞：網絡安全教育；網絡安全風險；網絡安全體系；完善策略
當今社會互聯網技術不斷的發展進步，人們的生活方式也在網絡大量應用的環境中受到了一定程度的影響，世界觀、價值觀和人生觀隨之發生變化?；ヂ摼W給世界、社會甚至是每一個人帶來了不同的生活體驗方式，也帶來了與傳統社交方式不同的網絡社交新體驗。但是，隨著網絡越來越被人們所認同和使用，網絡中存在的安全隱患等問題也開始逐漸增多，如何解決目前網絡中存在的安全隱患等問題，是我們當前所要研究的重要課題，也是本文接下來要系統討論的問題。
一網絡對社會的影響
（一）網絡的正面影響
對于社會來說，網絡是一種新時代的產物，它推動了社會的發展和科學的進步，建立起了一種新的社交模式，有助于幫助人們之間互相交流溝通的便捷和高效化。目前有很多的網絡工作者，都試圖在網絡中進行工作和平等交流。對于年輕人來說，這種社交方式很有利于他們的接受，更有甚者現在已經開啟了一種網上教學的新的教學方式，已經逐漸被學生們所認可。另外，由于網絡具有傳播信息速度快、效率高、時間短的優點，學生可以在一段相同的時間內聽取和吸收不同的教育者開展的課程，有利于提高學生與教育者之間的良性互動和信息的高效率交流。同時，對于網絡來說，它還具有能夠下載儲存的功效，學生可以在網上把自己感興趣的課程下載下來，按照自己的學習方式來進行安排和聽課，這種受教育的方式可以極大的滿足學生的自學規律，還能夠提供全天性、隨時性的教育，有利于學生及時補充知識點，充分調動學生學習的積極性，創造良好的學習氛圍。
（二）為學生提供了新的受教育途徑
網絡對社會的正面影響還包括一方面，就是它為學生學習提供新的受教育途徑，擴大學生受教育的平臺。當前我國雖然已經大力的提倡教學改革，推進九年普及教育，但是仍有很多地方的教育資源不能滿足學生的需求。而網絡的出現，恰恰可以為學生提供一個新的受教育的平臺，使得學生在任何時間地點都能夠在網絡上接受平等的教育，也可以根據自身的需求來隨時學習更高等的教育。這對于很多學生來說是非常棒的體驗，也能夠極大的促進學生對知識的渴求程度，促進教育體系的完善。
二我國的互聯網安全體系建設中存在的問題
網絡的應運而生在帶給世界和人民便利的同時也帶來了相應的隱患和不安全的問題，這些問題已經在一定程度上給人們的生活和社會的安全帶了嚴重的不利影響。而我國的網絡安全保障體系的建設工作進展的卻不是很完善，無論從管理上、技術研發上還是安全防范意識上面都存在著很多問題亟待解決。
（一）網絡安全防范技術水平不高
我國的網絡安全防范技術水平落后是我國互聯網安全體系建設中存在的重大問題。網絡結構本身的復雜性決定了網絡系統在操作和運行的時候對技術的依賴程度，而網絡安全漏洞的頻出也給網絡安全帶來了不小的安全隱患。而且，我國目前對于網絡安全技術方面還沒有真正的擁有自身的核心技術手段，對于網絡安全技術的研發方面還是主要依靠國外的先進國家的技術引進，而這一客觀上的原因就足以造成我國的網絡安全體系建設工作注定發展的不會長遠。國內的網絡安全市場長時間被國外壟斷也對未來的國家網絡安全性敲響了極大的警鐘，如果再不抓緊時間研制國內的核心技術，那么對于未來我國的網絡發展而言是極其危險的。
（二）網絡安全管理的落后
網絡安全管理的落后性也是我國構建安全的網絡防范體系中存在的另一個重大問題。我國目前的網絡管理方面存在的發展后勁不足的情況，缺乏先進科學的戰略決策，同時也沒有形成完整的網絡安全管理體系，缺少應對網絡隱患的緊急處理措施。而且，國家也沒有出臺相關的法律法規對其進行約束，現有的網絡安全管理隊伍規模建設的也很小，人員分配不合理，技術手段落后，各部門之間互相推諉導致工作效率低下的問題也屢屢發生。此外，我國的網絡安全管理系統還缺乏國家強有力的支持和協調，沒有出臺法律法規來加以嚴格管控，也沒有大力的培養相應的網絡安全管理人才。這就使得我國目前在網絡安全管理上極其缺乏相應的高水平管理人才，無法滿足日益增長的網絡安全防護的需要。
（三）網絡安全意識淺淡
網絡用戶也就是流行用語“網民”一般只側重于各種應用軟件的使用，并不考慮其軟件會帶來什么問題，更談不上網絡安全意識。而且有很多網民為了自身的利益或者為了自身可以方便使用而采取了一些不正當或者違法的手段來破解網絡上的安全密碼，以此來進行系統修改、刪除重要數據文件等破壞，輕則使企業或個人財產或信息上有所損失，重則可能會涉及企業甚至是國家的機密。
（四）我國的網絡安全教育問題嚴重落后
我國的網絡已經逐漸成為學生學習知識、拓展思維的另一個學習交流平臺。但是網絡有其自身優點的同時還存在著不可避免的缺點。網絡中常常會出現很多黃色、血腥、等不良的內容，這種內容往往會嚴重腐蝕還在建立人生三觀的青少年，很可能導致學生在成長的過程中荒廢學業、上網成癮，甚至產生違法犯罪等行為。而且現在網絡的監管力度不夠，很多學生在上網的時候都不是在教師或者家長的指導下進行的，這就更加容易接觸到網絡上的不好的內容。
三網絡安全教育是解決網絡安全問題的重要途徑
（一）注重加強培養優秀的網絡安全專業人才
注重加強培養優秀的網絡安全專業人才是解決我國網絡安全教育問題的重要途徑之一。從上述的論點中我們可以看出，當前我國存在的網絡安全問題主要出現在網絡安全技術和網絡安全管理方面，而要想解決這兩個方面存在的問題，首先要做的就是做好這兩方面的人才管理工作，注重培養優秀的網絡安全專業的人才。網絡的安全教育問題包括網絡安全人才方面的管理和網絡安全防護技能和意識方面的提高。要想完善我國的網絡安全防護體系，首先要做的就是盡快完善網絡安全體系的建設、盡快出臺相關的法律法規政策、加快網絡安全核心技術的研發。同時，建立相關交叉學科的體系網絡，培養綜合性網絡安全技術人才，為國家和社會的網絡安全防護體系的建設作出貢獻。另外，還要注意網絡安全的信息化建設，重點做好師資方面的建設工作，還要嚴格控制網絡人才培養機制的審批流程。培育多元化、多樣化的人才結構，充分發揮大學專業的積極作用，適當的利用商業化運行體制，把引入黑客進行網絡安全維護作為一種建設網絡安全體系的輔助工作。真正的做到物盡其用，并加強與國際相關組織的合作，注重引進國外的先進人才，保障人才結構的合理性。也要實行層次化教育。把眼光放的長遠些，在培養人才方面注意多多培養高水平復合型的網絡人才。而且還要從我國目前的網絡安全人才需求的角度進行考慮，盡可能的培養適合不同層次需要的實用性人才，設立專門的立法司法管理人員、網絡安全運行維護人員、網絡安全專業研發人員以及網絡安全評估人員等等，從各行各業入手促進我國網絡安全的正常運轉和完善，為國家的網絡安全事業做出應有的貢獻。此外，還要加大網絡安全方面的投入力度，增加資金、人力、物力等方面的投入，改變原有守舊的傳統觀念，加大對網絡安全技術和人才培養方面的投入，充分利用社會資源進行辦學教育，盡可能的解決我國網絡安全維護中存在的種種問題。
（二）注重加強對網絡安全防范意識和專業技能方面的培養
注重加強對網絡安全的防范意識和專業技能方面的培養是做好當代社會網絡安全建設工作的另一個重要的途徑。針對網絡信息的安全管理就是要趨利避害，加強網絡信息化的管理，努力的在全球網絡體系中占據主要的發展戰略地位，要看到網絡信息迅速發展對國家和社會帶來的影響力和問題。同時還要注意在加強網絡完全管理體系建設的時候充分利用法律的武器來管理和維護運行，提高網民的安全防范意識，大力宣傳有關的網絡安全法律法規，用提高法制宣傳能力來使人民意識到網絡安全防護的重要性，提醒人民一定要嚴格的遵照法律法規的要求來行使上網的權利。還要加大各大學校內部的網絡安全教育講座工作，努力把網絡安全教育工作開展到社會的各個角落，就教學角度而言，要想提高用戶的網絡安全意識，就要從提高用戶對網絡安全知識的角度出發，提高用戶對自身和他人行為的理解，并能夠根據現有的知識進行價值和道德判斷。另外，在網絡安全的世界中，道德教育也是不可缺少的構建網絡安全體系框架的一個重要的組成部分。網絡的信息傳遞雖然擁有方便迅速快捷的特點，但同時它會對人們的思想上產生極大的影響和沖擊力，但由于當前我國的相關法律法規建設的不夠完善，沒有形成完整的法律體系，光靠法律來約束廣大的網絡用戶是遠遠不夠的。所以要想提高網絡用戶的鑒別能力，提高自身對不良信息的抵御能力，規范用戶的上網行為，在通過網絡獲取便利的同時盡可能的減少網絡給人們造成的不良影響，是當前人們所研究的重要問題。所以就要通過道德教育來實現這一點，用道德來強調和教育人們要對自己的行為進行約束，要對自身負責任也要對社會和國家負起相應的責任。
四結語
總而言之，我國的網絡安全問題是一直存在的，且它的風險性是極高的，但是同樣它也可以得到有效的控制和防范。要想做到這一點，就需要我們加大網絡安全的防范意識，完善網絡安全方面的法制建設工作，充分調動起相關專家學者研究網絡安全方面的技術，形成自身的核心技術，培養大量的專業人才，推動網絡安全的穩步法制，共同逐漸我國的網絡安全防范體系，維護國家和社會的安定穩步和諧發展。
作者:馬闖 單位:成都理工大學
參考文獻:
[1] 肖亞龍,劉新春.大學生網絡安全教育探析[J].改革與開放.2013(18)
[2] 劉三滿.論大學生網絡安全教育[J].山西電子技術.2013(04)
[3] 劉恒,沈芳甸.大學生網絡安全教育的必要性和應對策略[J].黑龍江史志.2013(15)
關鍵詞：網絡系統 互聯網 系統架構
面對全球市場化的挑戰，企業要實現跨地區、跨行業、跨國經營的戰略目標，要把工作重點轉向技術創新、管理創新和制度創新上來，信息化是必然的選擇。油田的數字化建設為油田的生產經營業務提供安全、穩定、高效、可靠的網絡服務目標，把工作重心轉移到確?！皵底只芾怼钡木W絡需要上來，緊緊圍繞中國石油規劃的計算機局域網改進項目實施，主要從計算機主干網絡、網絡安全體系、網絡數字化管理等方面，提供了強有力的通信信息服務保障。油田的數字化建設對計算機網絡的安全性提出了更高的要求。本文分析油田網絡安全體系和網絡管理。
一、網絡系統架構
遵循中國石油局域網建設和運維規范，結合各地油田實際，科學規劃，從網絡架構、設備配置、系統承載能力、網絡帶寬等全面構架網絡。
網絡架構設計。按照核心層、匯聚層、接入層三層架構的設計原則，在主要油氣區設置網絡匯聚節點，提高網絡覆蓋面，滿足油氣生產需要。
網絡拓撲結構采用雙星型結構。自有電路與社會電路資源結合使用，在鏈路層面提高了油氣區網絡的可靠性和安全性。對于主要油氣區域的匯聚節點，采用網狀組網方式，增加到其他匯聚節點的千兆級電路，提高網絡冗余度。
設備配置。主干節點設備采用冗余配置。西安網絡核心、各網絡匯聚節點及重要三級節點的路由器、交換機，采用雙設備冗余配置。用設備與備份設備雙機模式工作，在系統或者硬件故障時候應用自動切換，在硬件層面提高主干網絡的安全性、可靠性。
網絡帶寬。油田的數字化管理全面展開，計算機網絡的帶寬需要按照業務需求進行規劃。將網絡業務分為生產、辦公、住宅三類，逐一預測帶寬。將主干網絡承載的主要業務生產數據按照其業務層級.從井站、作業區、廠部到公司，逐級分解，明確了主干網絡的帶寬需求，初步確定了網絡核心與各匯聚節點之間采用雙2.5Gbps鏈路互聯，三級節點至網絡匯聚節點采用1―2個1000Mbps-ff聯，核心網絡采用雙萬兆互聯的鏈路方案。為確保鏈路的可靠性，主要節點之間采用雙鏈路互聯。
二、網絡安全體系的規劃和構建
如何規劃和設計好網絡安全體系，是油田數字化管理基礎網絡建設的重中之重，也是支持各種信息化應用系統運行的關鍵所在。按照中國石油的統一規劃，各油田計算機網絡，對上，與中國石油總部內部網絡互聯，對外，可以就地通過電信運營商接入Internet。這樣就可以從結構上將網絡安全分為內部安全、外部安全進行考慮。油田在打造暢通、可靠的油田計算機主干網絡的同時，同步做好網絡安全工作，從網絡的邊界層、核心層、接入層及安全體系等方面進行統籌規劃，已初步形成了邊界嚴防護、核心重監控、桌面勤補漏、全網建體系的網絡安全管理理念。網絡安全性得到加強，非正常應用流量減少90%。在邊界層，采用防火墻及IPS技術，實現對來自外網的安全第一級防護；在網絡核心層，首次在企業網應用了流量清洗技術，不僅實現了外網第二級安全防護，還實現企業內部各個重要業務及用戶之間的流量監測及攻擊性數據清洗；在接入層，采用漏洞掃描系統，不定期對敏感業務系統進行掃描和加固，及時發現安全隱患并予以消除；在主干網方面，以建立網絡安全體系為核心，加強網絡安全管理，初步建立起了主干網的安全評估體系。
1、互聯網網絡安全。在與互聯網的接入部分，按照安全區、信息交換區、互聯網接入區三個安全區進行建設，規劃兩臺防火墻，考慮到出口網絡萬兆升級以及防火墻處理能力，同時為了降低出口網絡復雜度，選擇自帶IPS功能的防火墻，通過防火墻設備完成出口網絡
的安全防護和入侵防護功能。防火墻選型上既考慮國內產品自主知識產權的優勢、又兼顧國外產品高性能及穩定性好的特點。
2、內網安全。通過對目前業界各類安全技術的跟蹤和研究，重點按照攙D層做清洗、桌面做漏洞掃描及加固、全網進行安全體系建設三方面強化內部網絡安全建設。核心網絡流量監控及清洗。一方面，通過建立流量模型，保障主要業務。在網絡核心。采用相對串接、鏡像等方式先進的分光技術，部署旁路流量分析監管設備，通過分析網絡核心、互聯網出口等流量情況，提煉重要業務的特性，建立全網主要業務流量模型，為網絡規劃建設提供依據。對于P2P等對于網絡帶寬消耗較大的業務，設定閥值及流量管理規則，使P2P等業務對用戶網絡訪問影響降到最低。另―方面，通過對異常流量的清洗，保障核心業務及網絡的安全。針對目前在網絡中頻繁發生的病毒攻擊等行為，選擇旁路部署的網絡異常流量清洗設備，通過采用策略路由和BGP引流方式實現流量監控與異常流量的清洗，使得網絡安全管理變被動為主動、由事后分析到事前防范、由未知到可視。據統計。2010年3月份就成功消除安全事件1600多起，較大提高了網絡的穩定性和可靠性。各類安全策略及規則庫的及時更新升級，也使得系統能應對各類新的攻擊。
3、安全評估建設及桌面漏洞掃描。在網絡核心部署漏洞掃描系統，不定期對相關業務網絡進行掃描，發現漏洞，及時進行系統加固，減少安全事件的發生，提高網絡穩定性。在此基礎上。與國家有安全資質的第三方公司合作，開展安全體系建設，逐步建立較為完善的網絡安全管理體系。
三、網絡管理
經過計算機網絡的大規模建設發展，網絡運維工作量規模成倍增長，而網絡運維人員沒有增加，如何高效運維已經成了追在眉睫的問題，通過不斷的調研和測試，我們認為目前的網絡廠家的專業化網管軟件、第三方網管軟件、國內的網絡軟件之中，第三方的較為實用，縱觀CA、HP等廠家的系統，Solarwinds成為目前比較適合單位實際，能快速高效部署和運維的一套經濟實用的系統。主要實現了以下幾個方面的開發和應用：實現對全網的網絡設備包括路由器、交換機、防火墻、服務器等的實時監測，涉及CISCO、中興、H3C、華賽、Junipier、飛塔等多個廠家的產品，監測參數包括CPU、內存、帶寬、會話數等；實現對各類故障的實時告警和管理，以短信等方式及時提醒運維人員；實時展現全網拓撲結構，以圖形化界面友好展示網絡暢通情況；實現對全網設備的配置自動備份，能進行配置比對，方便技術人員分析設備運行情況；量化統計分析網絡及設備的可用性等指標；靈活定制各類報表，方便決策分析和統計。通過自定義方式建立起來的資源管理，極大方便了網絡基礎數據和資料的管理。
四、結論
在近一年多的實際運維中，主干網絡未出現中斷、出口通暢，網絡可用性達到l00%。網絡整體服務能力的各項指標明顯提高：網頁平均打開時間由15ms降低到7ms；主干帶寬利用率保持
參考文獻
[1] 程澤兵. 構建油田網絡安全防護體系的研究[J]. 中國科技信息. 2005（19）
[2] 宋永鑫，李國慶. 油田網絡安全初步探討[J]. 油氣田地面工程. 2005（01）
[關鍵詞]網絡安全 管理流程 安全體系框架 安全防護策略
中圖分類號：TP 文獻標識碼：A 文章編號：1009-914X（2017）01-0394-01
企業在網絡安全方面的整體需求涵蓋基礎網絡、系統運行和信息內容安全、運行維護的多個方面，包括物理安全、網絡安全、主機安全、應用安全、網站安全、應急管理、數據安全及備份恢復等內容，這些方方面面的安全需求，也就要求企業要有一流的安全隊伍、合理的安全體系框架以及切實可行的安全防護策略。
一、強化安全隊伍建設和管理要求
企業要做好、做優網絡安全工作，首先要面臨的就是組織機構和人才隊伍建設問題，因此，專門的網絡安全組織機構對每個企業來講都是必不可少的。在此基礎上，企業要結合每季度或者每月的網絡安全演練、安全檢查等工作成果和反饋意見，持續加強網絡安全管理隊伍建設，細化安全管理員和系統管理員的安全責任，進一步明確具體的分工安排及責任人，形成清晰的權責體系。同時，在企業網絡自查工作部署上，也要形成正式的檢查結果反饋意見，并在網絡安全工作會議上明確檢查的形式、流程及相關的文件和工作記錄安排，做到分工明確、責任到人，做到規范化、流程化、痕跡化管理，形成規范的檢查過程和完整的工作記錄，從而完成管理流程和要求的塑造，為企業后續的網絡安全工作提供強勁、持久的源動力和執行力。
二、搭建科學合理的安全體系框架
一般來講，我國有不少企業的網絡安全架構是以策略為核心，以管理體系、技術體系和運維體系共同支撐的一個框架，其較為明顯的特點是：上下貫通、前后協同、分級分域、動態管理、積極預防。
上下貫通，就是要求企業整個網絡安全工作的引領與落實貫通一致，即企業整體的網絡安全方針和策略要在實際的工作中得到貫徹實施；前后協同，就是要求企業得網絡安全組織機構和人員，要積極總結實際的工作經驗和成果，結合企業當前的網絡安全態勢，最新的國際、國內安全形勢變化，每年對企業的網絡安全方針和策略進行不斷的修正，達到前后協同的效果。分級分域，就是要求企業要結合自身的網絡拓撲架構、各個業務系統及辦公系統的安全需求、企業存儲及使用的相關數據重要程度、各個系統及服務的使用人員等情況，明確劃分每個員工的系統權限、網絡權限，對使用人員進行分級管理，并對相關網絡及安全設備、服務器等進行分區域管理，針對不同區域的設備設定不同的安全級別。
動態管理，就是要求企業的整體安全策略和方針、每個階段的安全計劃和工作內容，都要緊密跟蹤自身的信息化發展變化情況，并要在國內突發或重大安全事件的引導下，適時調整、完善和創新安全管理模式和要求，持續提升、改進和強化技術防護手段，保證網絡安全水平與企業的信息化發展水平相適應，與國內的信息安全形勢相契合；積極預防就是要求企業在業務系統的開發全過程，包括可研分析、經濟效益分析、安全分析、系統規劃設計、開工實施、上線運行、維護保障等多個環節上要抱有主動的態度，采取積極的防護措施，不要等到問題發生了再去想對策、想辦法，要盡可能的提前評估潛在的安全隱患，并著手落實各種預防性措施，并運用多種監控工具和手段，定期感知企業的網絡安全狀態，提升網絡安全事故的預警能力和應急處置能力。
三、落實切實可行的安全防護策略
在安全策略方面，企業的安全防護策略制定思路可以概括為：依據國家網絡安全戰略的方針政策、法律法規、制度，按照相關行業標準規范要求，結合自身的安全環境和信息化發展戰略，契合最新的安全形勢和安全事件，從總體方針和分項策略兩個方面進行制定并完善網絡安全策略體系，并在后續的工作中，以總方針為指導，逐步建立覆蓋網絡安全各個環節的網絡安全分項策略，作為各項網絡安全工作的開展、建立目標和原則。
在網絡安全管理體系方面，企業要將上述安全策略、方針所涉及的相關細化目標、步驟、環節形成具體可行的企業管理制度，以制度的形勢固化下來，并強化對相關企業領導、安全機構管理人員、業務辦公人員的安全形勢和常識培訓，提高企業從上至下的安全防護能力和安全水平；在運維管理體系建設方面，企業要對每個運維操作進行實時化監控，在不借助第三方監控工具如堡壘機的條件下，要由專人進行監管，以防止運維操作帶來的安全隱患，同時，企業也要階段性的對各個網絡設備、業務系統、安全設備等進行安全評估，分析存在的安全漏洞或隱患，制定合理的解決措施，從而形成日常安全運維、定期安全評估、季度安全分析等流程化管理要求和思路。
在技術防護體系建設方面，企業可以參照PPDRR模型，通過“策略、防護、檢測、響應、恢復”這五個環節，不斷進行技術策略及體系的修正，從而搭建一套縱向關聯、橫向支撐的架構體系，完成對主機安全、終端安全、應用安全、網絡安全、物理安全等各個層面的覆蓋，實現技術體系的完整性和完備性。企業常用的技術防護體系建設可以從以下幾個方面考慮：
（1）區域邊界防護策略：企業可以考慮在各個區域的邊界、互聯網或者局域網出口部署下一代防火墻、入侵檢測與防御設備（如果條件合適，可以考慮選擇入侵防御設備）、上網行為管理、防病毒網關等網絡安全新技術和新設備，從而對互聯網出口或者重要區域邊界進行全面的防護，提高內網出入接口的安全保障水平。此外，針對有企業生產網的情況，要對生產網與內網進行物理隔離，并對接入生產網的各種終端設備進行防病毒查收、報備，防止影響生產安全的各種事件發生，保障企業的財產安全。
面對經濟全球化和社會信息化的挑戰，政府如何通過政務信息化建設，全面提高在未來社會的管理和服務能力，成為社會關注的焦點。黨的十七大已經明確宣布信息化在我國建設小康與和諧社會中的戰略地位。為進一步轉變政府職能，提高行政效率，降低行政成本，某市于本世紀初，就大力推進政府信息化建設，通過推進政府辦公自動化建設，以及政府上網工程，基本建成了全市統一的政務網絡系統平臺，政府門戶網站已經建設成網絡環境下的“一體化政府”，為公眾提供“一站式服務”。基本形成一個行為規范、運轉協調、廉潔高效的電子政府雛形。
二、信息安全體系建設
電子政府所涵蓋的政務信息系統承載著大量事關政府安全、經濟安全和社會穩定的數據和信息，其涉及的眾多信息都帶有性質，所以信息的安全問題尤其重要。為保證電子政府的信息安全，某市在進行政務網絡系統建設之初就對其進行專門的信息安全設計。政務系統的安全涉及軟硬件及系統的各個層面，包括設備環境、網絡系統、數據系統、防病毒、安全認證等，其中網絡系統安全是基本保證。目前某市政務安全系統是利用硬件防火墻對數據訪問類型、時間、內容進行監控；對政務內外網系統采取物理隔離措施、訪問控制、漏洞掃描等措施；數據系統安全采取了安全數據管理、用戶權限的分級管理等措施；并規劃了網絡系統雙線熱備、數據異地容災備份等一系列安全保障。
三、電子政府信息安全問題分析
1.安全技術存在的問題
目前某市已基本建成覆蓋全市縣區黨政機關的政務網絡系統，但組成系統所用各種軟硬件大多都是國外公司的產品，基本沒有自主核心技術的產品；盡管在網絡核心采用了國產安全產品，但這些產品在安全技術的通用性、規范化等方面還存在很多不足；建設過程對網絡技術上存在的缺陷上認識不足，如電磁泄漏等，使得某市政務網絡安全性能標準大大降低。
2.安全管理存在的問題
一直以來，某市政府為了保證政務系統的信息安全，在技術上采取了大量的保障措施，卻忽略了更重要的管理體制的建設，使政務系統存在很多管理安全漏洞，若發生安全事故，則難以追查事故源，造成后果的破壞性尤為嚴重。同時由于互聯網信息安全技術快速更新和發展，而從事管理的人員卻往往不能進行安全管理所需的技能和資源同步更新，所以某市政務信息安全技術管理方面的人才無論是水平還是數量，都已無法適應目前政府信息安全形勢的需要。
3.安全意識存在的問題
幾十年來，政府工作人員已經習慣了手工作業，在政務信息的安全問題上還存在認知盲區，安全意識相當淡薄，對網絡信息時刻暴露在危險環境下的事實認識不足。雖然政府已經采取了集中學習、培訓等很多措施，但就其效果而言并不是十分理想。目前某市政務網絡信息安全基本處于被動的封堵漏洞狀態，政府工作人員沒有形成主動防范安全意識，更無法從根本上提高整個政務網絡安全防護能力。
四、解決電子政府信息安全問題的保障策略
1.安全目標
某市政務信息安全的宗旨就是通過在實現信息系統暢通流轉的同時充分考慮信息安全，從而確保政府機關能夠安全、高效地完成各項職能，主要實現以下安全目標：(1)可用性目標，確保政務系統有效率地運轉并使授權用戶得到所需信息服務。(2)完整性目標，數據完整性和系統完整性。(3)保密性目標，不向非授權用戶暴露私有或者保密信息，某些特定的政務系統和數據，保密性目標是最重要的信息安全目標。(4)可記錄性目標，能夠如實記錄用戶操作的全部行為。(5)保障性目標，能夠提供并正確實現需要的電子政府功能。
2.解決策略
政務系統的安全性來自于三個方面的有機結合：技術、管理和人員。安全并不僅僅是安全技術的組合運用，而且也有賴于嚴謹有效的管理和具備足夠知識的人員的保障。在信息系統的安全設計上，必須從技術和運行保障兩個方面進行考慮。在技術方面，通過在多個層次上進行安全設計，保證數據、通訊和驗證的安全。在運行保障方面，通過安全操作系統框架，為信息提供系統運行過程中的安全管理的最佳模式。某市政務信息系統應用的安全策略機制的主要內容：(1)對系統按網絡層次采用不同的技術進行保障(2)統一管理權限(3)采用Microsoft安全性操作框架對用戶進行有效的管理(4)系統管理與監控系統(5)補丁管理系統(6)防火墻系統(7)防病毒系統(8)容災備份系統(9)網絡系統安全規范的制定。
五、對某市電子政府信息安全體系建設的建議
政務信息安全體系建設是電子政府信息安全體系建設不可缺少的重要組成部分，缺乏安全保障的政務網絡系統，就不可能實現真正意義上的電子政府。
2016年4月19日，主持召開網絡安全和信息化工作座談會并發表重要講話，對黨的十以來我國互聯網事業、網絡安全與信息化建設進行了系統闡釋、科學總結，提出了一系列凝聚中國智慧的新思想、新論斷，為我國建設網絡強國指明了方向。學習貫徹重要講話精神，我們必須堅持以人民為中心的發展思想，堅持貼近人民群眾，積極通過互聯網架起與人民群眾溝通的橋梁，更好地服務人民、造福人民。
規范網絡秩序，營造良好輿論環境
規范網絡秩序，營造良好輿論環境，是治國理政、定國安邦的大事。指出：“網絡空間是億萬民眾共同的精神家園。網絡空間天朗氣清、生態良好，符合人民利益。網絡空間烏煙瘴氣、生態惡化，不符合人民利益。”的講話，指出了當前網絡空間存在的問題和亟待改善的現象，蘊含著對廣大網民的期待。網絡不是法外之地，同樣需要建立良好的秩序。我們要一手抓正能量傳播，一手抓網絡生態治理，大力培育積極健康、向上向善的網絡空間文化，為廣大網民特別是青少年朋友營造一個風清氣正的網絡生態環境。
建設網絡城市，讓人民群眾有更多獲得感
近年來，國家對互聯網的重視程度前所未有，“互聯網+”、中國制造2025、創新創業、大數據等系列重大政策密集出臺。全面落實國家戰略，促進互聯網向更高目標、更深層次發展，是我們共同的使命和任務。我們要全面落實“寬帶中國”戰略，大力實施“提速降費”行動，創建“全光網”城市，實現全市所有區縣光纖網絡全覆蓋，不斷提升100M光纖接入能力覆蓋城市家庭比例，提升4G網絡服務能力，率先引入5G網絡部署，推進IPv6在LTE網絡中的部署應用。推動區域通信網絡資費改革，鼓勵民營企業參與寬帶建設運營，促進良性競爭，提升寬帶性價比，加強電信資費公示和監測，進一步完善流量跨月不清零、流量轉增等服務，讓用戶享受更多優惠，讓人民群眾有更多獲得感。
堅持多措并舉，強化網絡安全體系化建設
要圍繞網絡強國建設這一總目標，深入推進行業網絡與信息安全保障體系建設，不斷提升保障能力與工作水平。要堅持抓建重用，同步推進網絡與信息安全技術手段建設，進一步深化基礎電信企業安全責任考核，持續開展互聯網新技術新業務安全評估，實施打擊治理通訊信息詐騙等專項行動，提升行業信息安全保障能力。深入推進網絡基礎設施安全防護，深化網絡安全試點示范，加大對互聯網企業網絡安全監管力度，突出抓好網絡數據和用戶個人信息保護。深入開展不良網絡信息和網絡環境綜合治理，完善木馬僵尸網絡、移動互聯網惡意程序等網絡威脅專項治理，凈化網絡環境。提升突發網絡安全事件應急能力，指導企業定期組織培訓、應急預案評估、網絡安全應急演練，做好網絡安全支援保障。組織行業網絡安全知識技能培養和競賽，打造本地網絡安全人才隊伍。
z作者系市通管局副局長、市委網信辦副主任（兼）{
建立健全廣電網絡安全防御體系
1廣電網絡特征
（1）我國廣電網絡發展正處于數字電視及模擬電視轉型階段，且廣電網絡正處于轉型期，除此以外，我國網絡安全投資經費遠遠不能夠滿足實際需要；（2）我國網絡管理機制不健全、管理人員專業技能及綜合素養普遍不高，且我國網絡管理手段大多為管理性能不高的局部管理軟件或網絡設備廠家免費贈送的網絡管理軟件；（3）我國網絡安全與系統建設不成熟，尚處于發展的低級階段，且安全集中式管理模式基本缺失，這對于我國廣電網絡安全均造成了不少的安全隱患。
2立體網絡安全防御體系結構層次
隨著技術的發展及廣電網絡安全意識的提高，立體安全防御體系建立被得到深入發展，這為提高廣電網絡安全防御性能發揮著巨大的作用。立體安全防御體系主要分為安全管理系統、安全防護系統及安全監理系統等三大部分。在整個網絡安全體系中，安全監控系統扮演著中樞系統的角色。安全監控系統重點功能模塊包括安全策略管理模塊、安全知識庫及報表模塊、用戶權限管理模塊、安全預警管理、安全事件流程管理模塊、風險評估模塊、安全區域管理模塊、安全資產管理模塊、安全信息監控管理模塊、安全事件智能關聯及分析模塊、安全事件采集模塊、安全知識學習平臺模塊。就防護級別而言，安全防護系統涉及的模塊包括：（1）?？乇Ｗo區域：多路供配電系統、攻擊防護模塊、空氣調節及通風控制、數據訪問控制、防火及火警探測、系統訪問控制、水患及水浸控制、系統日志控制、物理出入控制、密碼管理控制、定期衛生及清潔控制、認證及識別系統、設數據訪問控制、備及介質控制；（2）強制保護區域：不間斷供電系統、攻擊防護模塊、多路供配電系統、漏洞管理和修補、空氣調節及通風控制、激活業務控制、防火及火警探測、程序開發控制、水患及水浸控制、系統更改控制、物理出入控制、病毒防護模塊、數據訪問控制、定期衛生及清潔控制、系統訪問控制、系統日志控制、設備及介質控制；（3）監督保護區域：多路供配電系統、密鑰管理模塊、空氣調節及通風控制、攻擊防護模塊、防火及火警探測、漏洞管理和修補、水患及水浸控制、激活業務控制、物理出入控制、系統更改控制、定期衛生及清潔控制、病毒防護模塊、設備及介質控制、數據訪問控制、系統訪問控制、系統日志控制；（4）指導保護區：物理出入控制、密碼管理控制、定期衛生及清潔控制、漏洞管理和修補、設備及介質控制、激活業務控制、系統訪問控制、系統更改控制、病毒防護模塊、數據訪問控制；（5）一般保護區：系統訪問控制、用戶行為管理模塊、數據訪問控制、漏洞管理和修補、病毒防護模塊；（6）安全管理系統：安全技術及設備管理、部門與人員組織規則、安全管理制度等。
工程實例
南京廣電網絡屬于復雜網絡結合體，其涵蓋了三個物理結構，即MSTP傳輸網、IP傳輸網、HFC網，且該網絡系統包含的系統及部門眾多。
1安全監控系統
南京廣電公司堅持“分級監控體系”原則，即公司層面設安全監控中心，各部門設子系統監控分中心。網絡監控系統對網絡系統內各主要鏈路狀態及主要節點設備進行實時監控，且構建了緊急事件相應流程及自動報警機制，并對管理漏洞、網絡配置及未授權行為進行嚴格檢測，此外，如實保存并審計相關安全事件及異常事件日志（見下圖）。
2安全防護體系
南京廣電公司于安全防護體系之上始終堅持“分級防護“原則?；谛畔①Y產及業務系統重要性的不同，安全防護體系被劃分為五大保護等級。信息安全等級保護工作應堅持“分類指導、分級負責、分步實施、突出重點”原則；遵循“誰運營-誰負責、誰主管-誰負責”要求。防護體系架構：安全防護體系層次模型被劃分為縱向及橫向兩個層面相結合安全防護體系，該安全防護系統有助于對廣電網絡各系統及系統各層次進行安全全面而系統地把握。就橫向管理體系（見下圖一）而言，考慮的核心在于對安全數據進行集中式監控及處理，并以等級保護相關規范為根據，對各系統不同等級安全保護域加以確定；就縱向管理體系（見圖二）而言，考慮的核心在于以系統ISO七層體系模型為參考依據，監控并管理各系統各層次。
安全防護體系層次劃分標準：橫向層次標準：劃分橫向層次安全域應該以國家系統等級保護標準格式為依據，并基于企業系統程度，將廣電網絡定義為五大保護等級，且以保護等級為依據將網絡體系劃分為安全域；縱向層次標準：縱向層次劃分標準應以ISO七層網絡模型為參考依據，具體劃分標準包括物理層安全防護（環境安全、設備安全、介質安全）、系統層安全防護、網絡層安全防護、安全管理（安全技術及設備管理、部門及人員組織規則、安全管理制度）。
關鍵詞：信息網絡安全 網絡防御特征 主機防御特征 應用防御特征 數據防御特征
中圖分類號：TP309 文獻標識碼：A 文章編號：1674-098X（2014）07（c）-0045-02
隨著計算機和網絡技術的不斷發展，計算機信息網絡已在國家機關、企事業單位、國防軍事等多個領域廣泛應用，逐漸滲入到人們的生活中并成為相互溝通的重要手段。然而計算機信息網絡存在網絡環境開放性、網絡操作系統漏洞、網絡資源共享性、網絡系統設計缺陷、黑客惡意攻擊等安全隱患，計算機信息網絡安全防御問題重要性變得尤為重要[1-2]。本文基于用戶網絡活動劃分防御層，建立起信息網絡安全防御的體系模型，并系統分析各層次的網絡防御特征，為建立網絡安全防護體系提供了理論支撐。
1 信息網絡安全防御體系設計
構建信息網絡安全防御體系，其目標就是要維護用戶網絡活動的安全性[4]。根據用戶網絡活動的層次，可以將網絡防御劃分為網絡防御層、主機防御層、應用防御層和數據防御層等四個方面，在每個防御層模型中，又包括防御功能和防御技術兩類劃分方法，防御功能分布按照不同防御層特點，采用根據層次、軟件功能等類別進行劃分，如圖1所示。
1.1 網絡防御層
網絡防御層主要針對信息網絡安全防御體系中的網絡邊界進行防護，按照防護層面的不同，又可分為應用層、傳輸層和網絡層的分層防御功能。防御技術則包括協議分析、模式匹配和包過濾等基本技術。
1.2 主機防御層
主機防御層的防護功能，主要通過主機入侵防御、病毒查殺和防火墻防護等三個層面，并通過各自對應軟件實現。主要的防護技術則包括入侵檢測、安全審計、訪問控制、主動行為防御、特征碼查殺和軟件防火墻保護等。
1.3 應用防御層
應用防御層的功能主要防范惡意程序植入和篡改應用軟件，為此，技術上可通過漏洞利用防護技術和數字簽名驗證技術來實現。
1.4 數據防御層
數據防御層的防護功能歸結到一點為防范非授權用戶的非法訪問，包括對磁盤分區中文件的訪問，以及對數據庫文件的訪問。防御技術主要包括加密技術、完整性校驗技術和備份恢復技術等。
2 網絡安全防御特征
2.1 網絡防御特征
網絡層面可以對通過網絡傳輸的數據包，按照分層的原則進行防御，具體包括網絡層、傳輸層、應用層的分層防御。具體的防御技術包括：包過濾技術、模式匹配技術、協議分析技術等。
網絡安全層面從本質上來講就是網絡上的信息安全，其不斷發展旨在采取有效的安全措施保護網絡信息不被破壞、更改和泄露，保護聯網計算機系統免受侵擾[5]。網絡上的信息傳播方式的多樣性、廣泛性和難追溯性，使得網絡遭受攻擊的可能性很大，因此，必須采取一定的安全措施來防止這些惡意攻擊。同時，因為網絡信息的安全會在很大程度上影響受保護主機和應用系統的安全，故網絡安全是信息網絡安全防御體系中最重要的組成部分，只有網絡安全得到很好的建設，主機和應用安全的建設才能在良好的環境中實施。
2.2 主機防御特征
主機層面主要針對操作系統平臺進行安全防御，在操作系統平臺上通過防火墻軟件、殺毒軟件、主動防御軟件等實現防御策略。采用的主機防護技術包括：軟件防火墻防護、病毒特征碼查殺、主動行為防御、訪問控制、安全審計等。
主機（包括終端和服務器）是信息系統的重要組成部分，承擔著信息的存儲和處理工作[6]。由于主機是信息泄露的源頭，也是各類攻擊的最終目標，因此，主機的安全關系到整個信息系統中信息的安全，主機安全建設是信息系統安全建設的重要內容。
主機層面安全主要涉及操作系統安全和數據庫安全，通常是由操作系統自身安全配置、相關安全軟件和第三方安全設備來實現的。目前，運行在主機上的主流操作系統有Windows、Linux、Sun Solaris、IBM AIX和HP-UX等。隨著網絡技術的不斷發展和網上應用的不斷增多，這些主機上的問題也逐漸暴露出來，一些網絡病毒和木馬等也隨之出現，破壞主機上的數據信息。一般單位中如果將安裝這些系統的主機作為服務器的話，上面可能會保存一些單位或部門的關鍵信息，這就對主機層面安全提出了要求。
2.3 應用防御特征
應用層面主要防范功能用于防御應用程序被惡意程序篡改，及利用應用軟件漏洞進行惡意程序的植入。應用層面的安全防御技術可通過數字簽名驗證技術、漏洞利用防范技術來實現。
應用層面是信息系統最終得以使用的工具，只有通過應用系統用戶才能對數據和信息進行各種各樣的操作，繼網絡和主機系統的安全防護之后，應用安全成為信息系統整體防御的又一道防線。應用安全是指信息在應用過程中的安全，也就是信息的使用安全。應用層面的安全目的是要保證信息用戶的真實性，信息數據的機密性、完整性、可用性，以及信息用戶和信息數據的可審性，以對抗身份假冒、信息竊取、數據篡改、越權訪問和事后否認等安全威脅。這就需要對不同的應用安全漏洞進行檢測，采取相應的安全措施降低應用的安全風險。對信息系統進行應用安全方面的設計，從總體上來說，是為了確保在軟件大規模使用、數量和復雜度增長的前提下，能夠及時的發現和修正系統中潛在的安全漏洞，并且能夠應對和解決這些漏洞，以降低應用系統的安全風險。應用層面側重于設計開發出來的系統是否安全。雖然這些安全目標多數都類似于網絡安全和主機安全中的內容，但是實現目標的方式有很大不同，應用系統更強調在開發出來的系統中解決這些問題。
2.4 數據防御特征
數據層面的防范主要是防止非授權用戶對數據的非法訪問。主要的防御措施是通過加密和訪問控制實現，控制對數據的訪問用戶和訪問權限，并且在數據存儲過程中使用加密技術來保護數據的安全。主要的措施包括三個方面：數據完整性、數據保密性與數據的備份和恢復。
數據層面的安全是計算機信息安全系統的最終目的和核心目標[7]。圍繞著計算機系統所采取的許多安全保護措施最終都是為了保證系統中數據在應用、存儲、傳輸和處理等過程中的安全性，以實現數據的機密性、完整性、可控性和不可否認性，并可以進行數據備份和恢復。
3 結語
隨著計算機信息網絡的不斷發展，新的網絡安全隱患會不斷涌現。建立相應的信息網絡安全防御體系模型，研究各層次的網絡防御特征，能夠從本質上明確安全防御體系建設的目的和目標，為科學制定計算機信息網絡防御策略、發展針對性安全防護技術提供理論支撐。
參考文獻
[1] 張昱.對計算機網絡技術安全與網絡防御的分析[J].廣東科技，2011（5）：51-52.
[2] 楊育紅.淺議網絡信息安全防御體系建設[J].計算機安全，2011（10）：73-75.
[3] 王琪.計算機網絡安全技術現狀研究[J].計算機安全，2013（7）：44-49.
[4] 汪澎萌，張碩，汪兆銀.計算機網絡安全體系研究[J].信息安全，2012（2）：38-40.
[5] 杜蕓.網絡安全體系及其構建研究[J]. 軟件導刊，2013，12（5）：137-139.
【 關鍵詞 】 等級保護；煙草企業；信息安全體系
1 等級保護思想
等級保護思想自20世紀80年代在美國產生以來，對信息安全的研究和應用產生著深遠的影響。以ITSEC、TCSEC、CC等為代表的一系列安全評估準則相繼出臺，被越來越多的國家和行業所引入。我國于20世紀80年代末開始研究信息系統安全防護問題，1994年國務院頒布《中華人民共和國計算機信息系統安全保護條例》（國務院147號令），明確規定計算機信息系統實行安全等級保護。至此，等級保護思想開始在我國逐漸盛行。
我國的安全等級保護主要對國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統分等級實行安全保護。其核心思想就是對信息系統分等級、按標準分類指導，分階段實施建設、管理和監督，以保障信息系統安全正常運行和信息安全。信息系統的安全等級保護由低到高劃分為五級，通過分級分類，以相應的技術和管理為支撐，實現不同等級的信息安全防護。
2 煙草行業引入等級保護思想的意義
煙草行業高度重視等級保護工作，實施信息安全等級保護，能有效地提高煙草行業信息安全和信息系統安全建設的整體水平。
2.1 開展安全等級結構化安全設計
安全等級保護在注重分級的同時，也強調分類、分區域防護。煙草行業雖強調分類、分區域，但存在一定局域性。同時，由于缺少分級準則，差異化保護尚未深化。引入等級保護思想，有助于深化結構化安全設計理念，通過細分類型、劃分區域，全面梳理安全風險，明晰防護重點，構建統一的安全體系架構。
2.2 注重全生命周期安全管理
等級保護工作遵循“自主保護、重點保護、同步建設、動態調整”四大基本原則，其“同步建設、動態調整”原則充分體現了全生命周期管理的思想。煙草行業在全建設“同步”思想方面體現不深，未在系統的建設初期將安全需求納入系統的整體階段。引入新思想，明確新建系統安全保護要求，提升安全管理效率。
3 等級保護在煙草行業的實施路徑
信息安全等級保護工作的內容主要涉及系統定級備案、等級保護建設、風險評估與等級安全測評、安全建設整改。煙草行業推行等級保護工作，其實施路徑主要有幾條。
3.1 信息系統安全定級
主要包括信息系統識別、信息系統劃分、安全等級確定。其中，原有信息系統根據業務信息安全重要性、系統服務安全重要性等方面綜合判定，合理定級。
3.2 等級保護安全測評
在等級保護環境下對信息系統重要資產進行風險評估，通過等保測評，發現與等級保護技術、管理要求的不符合項。
3.3 制訂等級保護實施方案
依據安全建設總體方案、等級保護不符合項，全面梳理存在問題，分類形成各層級問題清單；并合理評估安全建設整改的難易度，全面有效制訂等級保護方案，明確安全整改目標。
3.4 開展安全整改與評估
根據等級保護實施方案開展建設，具體主要包括安全域劃分、產品采購與部署、安全策略實施、安全整改加固以及等級保護管理建設等。并不定期開展安全評估，不斷鞏固信息安全與信息系統安全。
4 基于等級保護的煙草企業信息安全體系建設
根據等級保護工作的實施路徑分析得出，等級保護與信息安全體系存在許多共性，有較好的融合度。因此，探索基于等級保護的行業信息安全體系具有深刻意義。
信息安全體系的核心是策略，由管理、技術、運維三部分組成。在等級保護思想的融合下，信息安全體系建設更加注重“分級保護、分類設計、分階段實施”。根據等級保護思想，煙草行業信息安全體系概述有幾點。
4.1 分級保護
煙草行業的信息安全體系以信息系統等級為落腳點，實行系統關聯分級，具體分為人員分級、操作權限分級、應用對象分級。首先確定使用對象的范圍。對人員實行不同分級，即人員、可信人員、不可信人員等；其次，根據人員分級，劃分操作權限，即高權限、特殊權限、中權限、低權限等；最后根據業務信息安全等級和應用服務等級，明確應用系統等級，即一至五級安全等級。通過“人員—操作—應用”的關聯鏈，制訂分級準則，從而達到分級保護的目的。
4.2 分類設計
信息安全體系分類設計，主要涉及不同類型、不同區域、不同邊界三方面的結構化設計。
4.2.1 類型設計
根據安全等級保護要求以及安全體系特點，分為技術、管理和運維三大類型，并進行類型策略設計。其中技術要求分為物理安全、網絡安全、主機安全、應用安全、數據安全及備份恢復等四部分，管理要求分為安全管理制度、安全管理機構、人員安全管理、系統建設管理等四部分。運維要求分為系統運維管理、系統運維評估等兩部分。
（1）技術策略注重系統自身安全防護功能以及系統遭損害后的恢復功能兩大層面。如主機管理，其中主機管理、身份鑒別、訪問控制、安全審計、入侵方法等標準要按級體現；而不同的策略同樣也要根據兩大層面按需設計。
（2）管理策略注重管理范圍全面性、資源配置到位性和運行機制順暢性。諸如安全管理機構是否明確了機構組成，崗位設置是否合理、人員配置是否到位、溝通運行機制是否順暢等。
（3）運維策略主要體現運維流程的清晰度、運維監督考核的執行度。諸如系統運維管理是否明確運維流程及運維監督考核指標，諸如重大事件、巡檢管理、故障管理等。通過分類設計達到結構化層級要求。
4.2.2 區域設計
區域設計主要指安全域。安全域從不同角度可以進行劃分，主要分為橫向劃分和縱向劃分，橫向劃分按照業務分類將系統劃分為各個不同的安全域，如硬件系統部分、軟件系統部分等；縱向在各業務系統安全域內部，綜合考慮其所處位置或連接以及面臨威脅，將它們劃分為計算域、用戶域和網絡域。
煙草行業根據體系建設需要，將采用多種安全域劃分方法相結合的方式進行區域劃分。
（1）以系統功能和服務對象劃分煙草重要信息系統安全域和一般應用系統安全域。采取嚴格的訪問控制措施，防止重要信息系統數據被其它業務系統頻繁訪問。
（2）以網絡區域劃分煙草行業信息系統的數據存儲區、應用服務區、管理中心、信息系統內網、DMZ區等不同的安全域。數據存儲區的安全保護級別要高于應用服務區，DMZ區的安全級別要低于其它所有安全域。
4.2.3 邊界設計
要清晰系統、網絡、應用等邊界，通過區域之間劃分，明晰邊界安全防護措施。邊界設計的理念基于區域設計，在區域劃分成不同單元的基礎上，實行最小安全邊界防護。邊界防護本著“知所必需、用所必需、共享必需、公開必需、互聯互通必需”的信息系統安全控制管理原則實施。
4.3 分階段實施
煙草信息安全體系建設要充分體現全生命周期管理思想，從應用系統需求開始，分階段推進體系建設。
4.3.1 明確安全需求
為保證信息安全體系建設能順利開展，行業新建系統必須在規劃和設計階段，確定系統安全等級，明確安全需求，并將應用系統的安全需求納入到項目規劃、設計、實施和驗證，以避免信息系統后期反復的整改。
4.3.2 加強安全建設
要在系統建設過程中，根據安全等級保護要求，以類型、區域和邊界的設計為著力點，全面加強安全環節的監督，及時跟蹤安全功能的“盲點”，使在系統建設中充分體現安全總體設計的要求，穩步推進安全體系穩步開展。
4.3.3 健全安全運維機制
自系統進入運維期后，要建立健全安全運維機制。梳理運維工作事項，理順運維業務流程，并通過制訂運維規范、運維質量評價標準、運維考核標準等，規范安全運維管理，提高安全運維執行力，以確保系統符合安全等級要求。
4.3.4 開展全面安全測評
在安全建設階段，對行業現狀要全面診斷評估，尤其是對已定級的信息系統，加強安全測評，形成安全整改方案，并結合安全體系設計框架，按階段、分步驟落實，注重整改質量與效率，降低安全風險。
4.3.5 落實檢查與評估
檢查評估必須以安全等保要求為檢查內容，充分借助第三方力量，準確評估行業安全管理水平，并及時調整安全保護等級，不斷促進行業信息安全工作上臺階。
5 結束語
信息安全體系建設作為一項長期的系統工程，等級保護思想的引入，以其保護理念的先進性和實施路徑的可行性，為信息安全體系建設提供了新的思路和方法。煙草行業將在信息安全等級保護工作中切實提高煙草業務核心系統的信息安全，保障行業系統的安全、穩定、優質運行，更好地服務國家和社會。
參考文獻
[1] 公安部等.信息安全等級保護管理辦法[Z]. 2007-06-22.
[2] 國家煙草專賣局.煙草行業信息安全保障體系建設指南[Z].2008-04-25.
關鍵詞:企業網絡安全;網絡防御體系;動態安全模型;系統檢測
中圖分類號:TP393.08文獻標識碼:A文章編號:1007-9599 (2010) 07-0000-01
Related Issues of Enterprise Network in Defense Depth System
Lian Qiang
(Henan Sanmenxia Yellow River Pearl Group Co., Ltd.,Information Center,Sanmenxia472000,China)
Abstract:The enterprise information and enable the rapid development of e-commerce enterprise network security is increasingly evident.Based on the analysis of network security situation and the characteristics of corporate networks,network security in compliance with the basic principles and based on recognized standards,proposed a model based on dynamic enterprises and network security defense in depth system.
Keywords:Enterprise network security;Network defense systems;Dynamic security model;System testing
一、引言
網絡安全體系結構是從系統的、整體的角度來考慮網絡安全問題。參照權威的信息安全標準,圍繞企業網絡特點,以先進的網絡安全理論為指導的,是解決企業網絡安全體系問題的必不可少的手段[1,2]。本文正是基于這個思路,力爭站在一個統攬全局的層次上,摒棄企業網絡的實現細節,抽象網絡安全需求,建立一個完善的企業網絡安全模型與體系。
二、企業網絡動態安全模型
針對一個具體的網絡系統,網絡活動、網絡的系統管理甚至網絡體系結構都可能是一個動態的、不斷變化的過程,所以,在考慮網絡的安全性時,應從被監控網絡或系統安全運行的角度,根據實際情況對網絡(或系統)實施系統的安全配置。也就是說,網絡安全應是一個從網絡運行的角度考慮其安全性的動態過程。
這里提出的可自適應網絡安全模型P2DR就是這樣一個動態的安全模型。其中,安全策略用以描述系統的安全需求以及如何組織各種安全機制來實現系統的安全需求。從基于時間的角度及普遍意義上講,P2DR模型概括了信息網絡安全的各個方面。我們需要根據模型做出自己的定義和闡述,使其符合企業網絡安全防御體系的需要。
(1)
公式中Pt表示系統為了保護安全目標而設置各種保護后的防護時間,也可認為是黑客攻擊系統所花的時間。Dt表示從攻擊開始,系統能夠檢測到攻擊行為指導所花的時間。Rt為發現攻擊后,系統能做出足夠響應將系統調整到正常狀態的時間。如果系統能滿足上述公式,即:防護時間Pt大于檢測時間Dt加上響應時間Rt,
則認為系統是安全的,因為它在攻擊造成危害前就對攻擊做出了響應并做出了處理。
(2) ,if
公式中Et表示系統的暴露時間,假定系統的防護時間Pt為0,即系統突然遭到破壞,則希望系統能快速檢測到并迅速調整到正常狀態,系統的檢測時間Dt和響應時間置之和就是系統的暴露時間Et。該時間越小,系統安全性越好。由此,我們可以得出動態網絡安全的新概念:及時的檢測和響應就是安全。
三、基P2DR模型的企業安全防御體系
根據前面敘述的P2DR動態網絡安全模型,針對企業的網絡系統,我們可以在對網絡系統進行安全評估的基礎上制定具體的系統安全策略,借助現有各種網絡安全技術和工具,設立多道的安全防線來集成各種可靠的安全機制從而建立完善的多層安全防御體系,以求能夠有效地抵御來自系統內外的入侵攻擊,達到企業網絡系統安全的目的。
(一)以安全策略為中心
企業規程應該簡明扼要。規程不應包含技術實施的詳細內容,因為這些內容經常更改。設計安全策略時應認真制訂計劃,以確保所有與安全有關的問題都得到充分重視。
(二)系統預警
預警是防患于未然,因此有效的預警措施對企業網絡安全十分重要。對安全漏洞的掃描是系統預警的重要方面。所謂漏洞掃描是指利用掃描程序(scanner)自動檢測遠端或本地主機安全脆弱點。在網絡管理員的手里,掃描程序可以使一些煩瑣的安全審計工作得以簡化。我們可以將常用的攻擊方法集成到漏洞掃描程序中,輸出統一格式的結果,這樣就可以對系統的抗攻擊能力有較為清楚的了解。
(三)系統防護
系繞防護包括系統論證、訪問控制、加密傳輸、數據完整性檢查等。防火墻作為一種傳統的網絡安全產品,其主要功能就是實施訪問控制策略。訪問控制策略規定了網絡不同部分允許的數據流向,還會制定哪些類型的傳輸是允許的,其它的傳輸都將被阻塞。加密傳輸也很重要。由于Internet上數據的時文傳輸,維修Internet造成了很大的顧慮。隨著全球經濟一體化趨勢的發展,加密是網絡防御體系中日益重要的一塊,在Internet上構筑虛擬專用網(VPN)是解決加密傳輸的一種普遍實用的方法。
(四)系統檢測
檢測包括入侵檢測、網絡審計和病毒檢測,入侵檢測和網絡審計的功能有很大的重復性,它們可以互為補究。其數據源也可以一次采集,重復利用。入侵檢測作為一種動態的監控、預防或抵御系統入侵行為的安全機制,是對傳統計算機機制的一種擴充,它的開發應用增大了網絡與系統安全的保護縱深,這是因為:現有的各種安全機制都有自己的局限性。
四、結語
本文描述了企業網絡的組成與特點,指出了我國企業安全存在的問題。針對這些問題,說明了P2DR動態安全模型,并詳細闡述了基于P2DR模型的企業網絡安全防御體系,解釋了體系各部分的組成和功能。
參考文獻:
一、學校信息化建設現狀分析
現階段各高校及中小學都基本普及了校園網絡，其中大部分也已開始進行信息系統的建設，以校園一卡通系統、校園安全監控系統、科研管理數據庫等為主。 還有一部分開始推行普及整個校園的身份認證系統，提供賬號支持師生設備上網。學校的教學和管理工作對信息系統的依賴性也越來越強。
隨著網絡規模的不斷擴大以及對信息系統建設的深入和完善，數據大量產生并持續快速增長，信息系統數據庫的規模也在不斷擴大，隨著其承載的信息量的不斷增加，這些信息的安全性也就凸顯出來，系統保護和數據防災就變得愈發重要。
二、威脅學校信息系統數據安全的因素
網絡故障、病毒侵害、非法訪問、軟件設計缺陷、數據庫破壞、拒絕服務攻擊、系統物理故障、使用人員人為失誤、信息泄密、自然災害等，都可對系統數據可用性、完整性和保密性的進行破壞，從而對信息系統構成威脅，由此而造成的安全后果是難以估量的。
三、學校信息安全管理體系的構建
學校信息系統應用是多方面的，一旦投入使用，就會產生大量的數據，面對來自多方面的威脅，稍有不慎就會造成災難性后果。所以，建立完善的信息安全管理體系，即Information Security Management System（簡稱ISMS），勢在必行。
1. 構建學校ISMS的方法和目的
針對信息安全在不同網絡層次上（物理層、網絡層、數據鏈路層、應用層、用戶終端層等）的需要，參照國際標準ISO/IEC27001信息安全管理體系（ISMS），明確信息安全的方針和目標，建立完整的信息安全管理制度和流程，制定完善的安全策略，強化安全技術的應用，采取行之有效的安全防范措施，保證信息系統的安全穩定運行。
2. 安全策略與防范措施
（1）強化安全技術
從安全技術實施上，進行全面的安全漏洞檢測和分析，針對檢測和分析的結果，完善安全策略，制定防范措施和完整的解決方案。
采用冗余技術 。學校信息網絡是運行整個學校業務系統的基礎，更是數據處理及轉發中心，首先需要通過增加設備及鏈路的冗余來提高其可靠性，包括電源冗余、處理器冗余、模塊冗余、設備冗余、鏈路冗余等技術。
部署網絡安全設備。在Internet出口處部署主動入侵防御設備（IPS）及流控設備，開啟實時防御和安全過濾，優化網絡帶寬，構建可視、可控、高效的網絡。通過防火墻與IPS的緊密配合，抵御來自校園網內外的各種惡意攻擊和病毒傳播，確保校園核心業務和核心資源的安全，真正實現校園網絡與應用的安全保障。
加強用戶終端管理。制定統一且便于管理的終端管理方案，強制準入制度，對特定區域、數據及設備設定訪問權限，保證整個網絡的安全性和可管理性。根據物理位置、功能區域、業務應用或者管理策略等分VLAN，對需要接入網絡的用戶與設備進行實名認證，并保證用戶帳號的唯一性。同時，部署上網行為管理設備，對校內終端用戶的網上行為進行有效監管，降低因終端用戶的違法網絡行為帶來的安全及法規風險。
強化數據安全。建立統一的數據存儲中心，增加負載均衡設備及同步磁盤陣列，提高數據庫服務器業務連續性及應用服務器負載能力，并針對整個信息系統進行統一定時的D2D2T備份，并結合重復數據刪除等技術，提高數據備份效率和數據保留周期。
（2）完善安全管理制度
