构建网络安全体系范文
时间：2023-11-03 10:08:55
构建网络安全体系篇1
局域网能够实现区域内部资源共享和信息传输等，提高了工作效率，因此局域网的安全受到了企业的重视。局域网安全方面问题主要包括黑客的入侵攻击，例如，公司的局域网大多包含着公司的信息、重要机密文件，被黑客侵入就会为公司带来难以估量的损失，这是局域网安全方面的主要问题，除此之外还有病毒危害、管理漏洞等，病毒对于系统的损坏是毋庸置疑的，局域网一旦被病毒入侵就会导致信息丢失，严重的会导致系统瘫痪，影响局域网的正常使用。管理方面的漏洞可以在是三个方面体现出来，第一是对于局域网制度的制定不完善，第二是局域网安全技术以及相关的硬件和软件设备比较旧，不能适应新的安全管理的需要，第三是在局域网的安全维护中，存在着或多或少的问题。这些安全方面的问题都威胁着局域网的安全。
二、局域网网络安全综合体系的构建
对于安全综合防御体系的构建要针对安全方面存在的问题，以及当前科技发展的特征，结合技术、管理、人才等要素，创建出一套适合当前网络的体系。技术防御体系是整个体系的核心，因为只有技术作保障，才能将这个体系做好，要实施各种策略来保障局域网的安全，包括物理方面、网络方面、系统方面和应用方面。物理安全是对于硬件设备的保护，硬件不损坏是局域网正常运行的基础，要从环境、线路等等方面保障设备的安全，同时也要防止人为因素的影响，因为许多的设备损坏问题都是人为操作失误造成的。系统和应用的安全，主要是对系统和软件进行定时更新，及时修复漏洞，防止黑客利用漏洞进行攻击，从整体上做到技术保障。管理保障体系是对于整个安全体系起着执行和监督管理的体系，与技术执行的过程息息相关，要建立完善的管理制度，管理制度是局域网安全稳定运行的重要保障，要有严格的规章制度进行制约，对管理人员进行严格的筛选，确保其责任心、专业技术都到位，这样能够极大程度地降低管理方面的漏洞，从而将网络安全中存在的问题减少到最低。建立各种组织机构，维护日常安全管理，定期召开会议，针对网络安全中存在的问题进行讨论，及时解决。人才是每个企业都需要的，只有团队中技术人员的技术够硬，才能够有效地保障局域网的安全，才能将其他两个体系的作用完全发挥出来，研发新技术，高效解决问题这些都需要人才作保障，在用人的过程中要提高门槛，保障质量，同时还要有奉献精神，全心全意投入到工作中去，要及时对工作人员进行相关的技术培训，让他们及时接触最新的技术，确保能够应对最新的网络问题。
三、局域网网络安全综合体系的分析
网络安全体系对于局域网的安全有着很重要的作用，整个体系由技术防御体系、管理保障体系、人才保障体系几部分组成。技术、管理、人才是我们整个体系的核心组成部分，技术是我们整个体系的支撑，对于局域网的安全有着很重要的作用，毕竟，我们在发现问题后，只有技术过硬才能解决问题。管理能够保证整个体系的正常运行，在各个方面进行限制，避免体系的形式化。人才是一个企业的源泉，局域网领域也是如此，只有人才作保障，才会使得整个体系充满活力与激情，从而保证局域网的安全。当然随着技术的不断进步，各种新型的网络攻击使得局域网的安全面临着巨大的挑战，安全防御体系是基于当前的网络安全问题的基础上建立起来的，当然体系不是一成不变的，需要不断地优化和发展，体系的研究和开发是我们今后重点考虑的内容，技术进步意味着体系的不断改进。
四、总结
局域网网络安全的问题日益严重，一个好的体系是局域网平稳运行的保障，企业和单位不能一味地守旧，要有创新意识，广泛的吸收网络方面的人才，不断更新防御体系，确保自己局域网的正常运行，本体系只是一个参考，在具体应用时要结合具体情况做出创新，只有适合自己的才是最好的。
构建网络安全体系篇2
关键词：网络安全体系；信息加密技术；防火墙技术
中图分类号：TP309 文献标识码：A 文章编号：1672-7800（2013）005-0137-02
0、引言
互联网的迅猛发展和广泛应用推进了数据信息在全球范围的共享，人们通过客户端即可搜索和获取所需信息，并通过计算机技术上传。公共通信网络具备丰富的传输和存储功能，在为人们提供有效信息的同时也增添了信息泄露的风险，存在不法分子利用通信平台来毁坏或窃听相关信息，使得个人和隐秘信息遭遇泄露，造成财产或文化上的种种损失。政府、银行等事业单位系统对数据安全的要求极高，一旦传输和存储过程出现问题即会引发重大的信息泄露隐患，将客户或部门信息置于危险的边缘，所以构建敏感系统和部门的网络安全体系至关重要。数据信息安全问题并不是阻止人们使用互联网的原因，为了正确看待网络的利与弊，需要在资源利用和效率提高上深入分析，进一步研发更科学、有效的安全系统。在网络信息化过程中缩短服务端和用户端之间的距离，使得全球用户能够随时随地获取自己所需的资源和信息。网络信息系统在早期建设过程中并未考虑用户的身份和目的，所以埋下了一定的安全隐患，而现阶段只有真正意识到问题的重要性并投入研究和设计才能解决用户安全问题，不断提高人们对互联网技术的信心。
1、网络安全特征与网络安全体系结构
计算机网络安全特征众多，为用户安全设置了多层保障。最基本的真实性、保密性是技术运用的基础，除授权用户外其他人不能接触到相关信息。可用性和可靠性是实行保密性的前提，可控性和不可否认性是为网络使用的后续工作提供借鉴和属性，七项网络主要安全特征决定了其安全体系结构的好坏。
真实性要求使用网络的用户身份得到确认，网络并不会单纯相信用户口头或单方面的身份承认，因为要考虑到冒充和鉴别问题，所以真实性要重点致力于用户实体身份的确定。完整性要求用户在未授权的情况下不能修改、删除、破坏网络信息，进一步保证信息的安全性和正确性，这提高了网络系统的警惕度，当出现人为攻击、设备故障、误码等情况时能及时阻止和调整过来。对可靠性的定义更多是从规定范围出发，指在一定条件或时间下实现某类功能达到的程度，网络信息系统稳定运行和投入建设都需要极强的可靠性才能实现。被授权实体或用户在拥有访问需求时会选择所需功能或模块，可用性决定了用户能否实现自身需求的机会，在安全性上也有所保障，满足用户在时间、实体等方面的要求。为了有效判断实用性，一般对比工作时间和系统正常使用时间的差值，以便做出准确判断。不可否认性是指用户与用户之间如果参与了信息交互活动，那么要对参与者信任并配合，保证彼此的真实统一性，不能对完成的操作或承诺做出否认，而为了防止一方用户抵赖的事情发生，可以将所持证据和信息保存传输给终端，帮助解决纠葛，而现阶段常用数字签名技术来予以保护。可控性重点把握控制范围，将不良内容或信息阻止在外，保证和控制公共网络的清洁度、科学性。
计算机网络安全体系结构侧重功能的实现与服务的安排，使得安全机制和安全服务符合相关法律法规，同时能真正提供有效数据信息和维护用户信息安全。系统安全元素是组成整个系统的根基之一，所以不但要保证各个元素的实现，还要联系和维护好元素之间的关系。无论是国家公众信息网还是企业内外联网，都需要一个完善的安全机制来提供服务，安全机制和安全服务之间已经搭建起了稳定的桥梁，两者相辅相成、相得益彰。安全服务能够有效地处理数据及数据传输问题，要利用信息网络来保证安全性。安全功能汇总起来即为安全服务，底层协议会保证安全服务的如序进行，对进入系统的信息实施屏蔽活动，让安全体系稳定运行，而这个过程实现了五类安全服务，以数据保密、认证、访问控制等服务为主。安全管理并不是单纯从安全或管理角度出发，而是两者的综合体，实现安全的管理和管理的安全并重，为用户提供分配密钥参数及认证服务，针对有激活加密要求的客户进行相关介绍和配合，而为了保证管理的安全，要从系统和信息两方面出发，真正意义上打造可靠的计算机网络安全体系结构。
2、网络安全体系的三维结构
设计出合理的网络安全体系框架才能实现用户和终端需求的安全需求。网络安全主要是指软件或系统数据的安全问题，网络安全结构的构建并不是从体系或功能上就能实现的，而需要从安全服务、实体单元、协议层次3个方面共同完成。图1所示的计算机网络安全体系三维结构模式很清晰地罗列出了三者及其分支项目的关系，以进一步巩固安全体系。
（1）国际标准组织早期推出的一款安全体系结构模型就罗列了安全服务平面这一项，而安全服务一项在认证、抗抵赖的基础上增加了可用性。应用环境会在用户动态要求或市场变化中发生变化，而这种变化会直接导致安全服务需求的改变。但是考虑到安全服务之间的依赖性，所以完全独立和依赖的情况都不可能出现，当出现特殊情况时不同安全服务之间会根据具体要求进行组合，保证最终提供的服务能满足终端和用户的双层要求。
（2）网络通讯协议为协议层次平面提供了分层基础，分层的安全管理主要从物理层、网络层、应用层等方面出发，形成环环相扣的联系和服务。虽然提供的安全服务不同，可因为各项之间的依赖性而彼此存在着。
（3）实体安全单元管理从应用系统、计算机系统、计算机网络三方面出发来设计和执行。基本单元的分层为安全技术和系统运行提供了有效条件，使其成为三维结构中的基础工程。
（4）安全管理包括安全服务和安全机制、协议层次三方面，但它并不处于正常通信的范围内，而是一类为正常通信业务提供安全索引和保障的服务。执行安全机制或平面管理都需要依靠安全管理展开活动，保证整个网络信息系统的有序运行。
计算机网络安全体系三维结构模型依靠三个平面来形成稳固的结构。为了提供最科学、有效的用户身份验证服务，客户会选择随意的3个坐标来表明自身身份，这项服务在初始进入网络系统时就会出现，用户直接输入用户名和用户口令，验证正确后就能顺利进入下一个界面。网络层会提供计算机系统有效的身份验证服务，使得用户端和服务端能形成良好的互动和契合，使得对IP地址的认证变得更加简单便捷。对防火墙系统的应用通常会采取访问控制模式，使得计算机网络系统授权范围安全可靠。
3、网络安全体系构建
3.1 加强访问控制策略
访问控制是为用户和终端做出的强制，旨在进一步防范不良信息的侵入，这种保护措施从源头就掐断了危险，防止非法访问对网络系统或用户造成伤害。访问控制的目的是为了构建起一层网络系统安全屏障，被授权用户拥有自己的账号和口令，以此作为鉴别授权和非授权用户之间区别的标志，网络访问权限将无访问权的用户排除在外，针对设备、目录、文件都会设置不同的访问空间，而并非全部开放给用户。通过加强访问控制策略来保护网络资源，对互联网的长期、稳定发展都是有益的，不断从内部防御上寻找方法，形成有效的验证和甄别功能。
3.2 信息加密技术
对网络安全体系的构建不仅要从策略上加强，还需要开发出具有强大功能的信息加密技术，真正意义上做到对有效网络资源的保护。为了解决非法用户截取、删除、修改、打乱网络数据的问题，应该使用密码、口令、文件的形式来设置屏障，而信息加密技术正是为了阻止传输过程中的不法行为，经常使用节点、端点、链路3种加密方式来提升网络系统可靠性。信息数据的安全性尤为重要，所以从资源上进行保护是首要选择。windows XP系统是微软公司重点推出的一款产品，它在信息加密上的作用十分显著，一旦出现非法截获的情况，信息传输并未完全受到非法影响，此时解密规则会建立起相应的保护屏障，非法截获者在无解密规则的前提下无法对传输的任何信息实施不良的措施，通过信息加密技术来保障计算机网络安全无疑是一种科学、有效的方式。
3.3 病毒防范体系
为了解决系统漏洞问题，建立起相应的病毒防范系统很有必要，预防信息泄露、系统崩溃的情况出现。现阶段网络技术快速发展，病毒侵入的概率也越来越大，为研究和开发专门针对病毒的检测软件提供了巨大的空间。网络系统中的病毒防范体系涉及多方面的工作，最基本的功能包括病毒的预防、清理和查杀，还需要定时或不定时地检测和修补漏洞，降低和组织病毒入侵系统的概率。针对病毒库的管理也不是单纯检测或修补可以完成的，还应该不断更新换代，以便提高对新型病毒的防御能力，同时能快速地处理好顽固病毒，以免出现二次传播的情况，构建病毒防范体系无疑对提高系统安全性有重要作用。
3.4 防火墙技术
防火墙是一类解决不同区域网络保护问题的技术，通过屏蔽路由器、服务器来形成一道关卡，使得本地和外地网络能抵抗非法访问和控制。防火墙和包过滤防火墙最为常见，在企业网络安全体系中应用广泛，而双穴防火墙较少使用。包过滤防火墙的优点在于能有效地对网络信息流进行调配，缺点是不具备内容检查功能。防火墙则具备了良好的内容检查功能，因此将两种防火墙技术结合起来能很好地保护企业计算机网络系统。
3.5 建立安全实时防御和恢复系统
计算机系统附带的检测系统漏洞、查杀病毒功能并不能完全将所有病毒阻挡在外，目前病毒更新的速度极快，无疑增加了系统被病毒侵入的风险。网络资源作为一个对多数用户开放的空间，要完全做到保密是不切实际的，而为了提高网络系统安全性，建立安全实时防御和恢复系统很有必要，使系统在意外遭受病毒侵害时能最快速、有效地恢复传输信息和数据，降低系统侵入损失程度。首先要建立安全反映机制，使得系统第一时间接收入侵部分信息，通过入侵检测机制和安全检测预警机制来构建预防系统，继而发挥安全恢复机制的作用，保证信息恢复的速度和质量。
4、结语
构建网络安全体系篇3
关键词 信息化发展；网络建设；网络安全管理体系
中图分类号：TP393 文献标识码：A 文章编号：1671-7597（2013）23-0119-02
信息化技术不断发展，很多企业逐步认识到依靠信息技术，建立企业自身业务以及运营平台，能够大大的增加企业竞争力，企业在激烈的竞争环境中能够获得发展，企业的经营管理对计算机依赖的范围更广，网络的应用也就更加广泛。网络产生后，网络安全随之出现，网络在运行的过程中，也会出现网络不安全的问题。企业在进行网络管理时，必须在安全管理方面多下功夫，促进企业网络建设的安全性。
1 对企业网络安全造成威胁的因素
企业在网络安全方面涉及的因素较多。现阶段企业的网络通用标准技术是WWW、电子邮件数据库、数据库以及TCP/IP，广域连接应用多样通信方式。在企业网络运行过程中，行业的内部信息贯彻到多个环节。对信息资源进行保护、管理，确保信息的完整性以及真实性，防止出现非法获取，是企业网络安全管理的重要内容。对企业网络安全造成影响的因素包括软件、硬件因素，还包括人为因素，既包括网络外部因素，也包括网络内部因素，主要的因素是以下几个方面。
1.1 由人的主观行为造成的影响
在安全管理方面，用户缺乏意识，企业内部在局域网的建设方面还需要进一步完善。企业内部网络在运行的过程中，没有做出相关的限制，在p2p下载时，破坏性信息会进入到企业内网中，影响到系统安全应用；接入的网络未提出限制，随意的上网，内部网络系统遭到病毒感染的可能性比较大，信息容易丢失。企业在安全管理方面没有进行严格的限制。此外，网络用户比较复杂，管理的难度系数比较大。黑客很容易利用网络手段，对无线信号的传输进行干扰，无线信号很容易被黑客获得。在进行网络安全管理时，一些企业没有制定相关的文件，进行纪律约束，很容易出现问题。
1.2 网络中的硬件设备
在网络结构中，应用到企业网络安全的硬件设备主要是包括：①硬件设备；②拓补结构。当网络中的硬件安全性出现问题时，尤其是硬件自身的性能受到影响时，就会对企业的网络安全造成的影响。
1.3 网络中的软件存在缺陷
企业网络系统中软件的种类比较多，如应用软件以及操作系统软件，企业网络系统中可能会出现软件问题，一些黑客就会根据软件存在的缺陷，做出谋取利益的行为，从而损害企业的正常利益。一些负责软件开发的人员基于个人原因设置“后门”，黑客破解后，会随意操作，对用户的计算机进行控制，随意的改变数据，后果较为严重。在网络系统中，TCP/IP协议可供应用的范围特别广，但是，在应用安全性方面，没有进行综合考虑，保密的措施做得不到位，一些信息应用专业人员熟悉TCP/IP协议，会轻松地利用协议缺陷，对网络进行攻击。
1.4 网络入侵
网络入侵主要指的是在未得到授权的情况下，网络攻击者取得非法权限，借助非法权限，对用户进行非常规的操作，获得相应的资源，企业内部网络受到影响，损害企业的利益。
1.5 计算机病毒和恶意程序
网络普遍应用，病毒在网络中传播的范围比较广。在现阶段，在企业内保护网络中，病毒侵入的特点是：①入侵的范围比较广；②变化速度快；③病毒种类丰富；④传播速度比较快；⑤存在很大的破坏性。
要想解决病毒的问题，比较困难，原因在于以下两个方面：①技术方面的原因。杀毒软件的更新总是落后于病毒出现的时间，具有滞后性以及被动性；②用户没有认识到病毒防范的必要性，没有深刻的认识到病毒的危害性，在电脑上没有安装相应的杀毒软件，或者是对杀毒软件没有进行及时的更新，造成病毒传播。
2 企业网络安全管理安全机制
2.1 身份标识以及鉴别机制
在网络通信信息安全系统中进行可信操作，在执行前，用户应当进行身份标识，并提供凭证，网络通信系统借助一定的机制，鉴别凭证。在网络通信系统中，进行身份鉴别技术主要有三个方面：①以秘密口令为基础；②以令牌或者是密匙为基础；③以生理特征为基础。根据当前的应用情况，企业网络系统应用较为普遍的是以口令身份为基础的身份鉴别技术。
2.2 访问控制机制
访问控制主要是包括两种：①自主访问控制机制；②强制访问控制机制，前者应用较为广泛。在自主访问控制机制中，主体拥有者主要是负责设置访问权限。在自主访问控制机制中，出现的问题是主体拥有较大的，主体在无意识状态下会泄露信息，此外，对于木马病毒攻击不能起到防备作用。强制访问控制机制指的是系统为主体和客体进行安全属性分配，安全属性不容易被修改。系统分析主体以及客体的安全属性，然后决定主体对客体进行的相关操作。两种访问控制相比，强制访问控制机制可以避免滥用防范权限，防备木马和病毒攻击，安全性较高。
2.3 审计机制
审计机制属于被信任机制。系统中参考监视器主要是借助审计，记录活动。企业网络系统中具有多个对象和主体，审计机制主要是负责记录主体以及对象相关事件，结合审计机制所提供的信息，网络操作系统对主体、对象以及相应访问请求进行精确识别。通过审计系统，能够知道企业的网络安全管理系统所应用的安全方式是否具有完全威胁。审计机制中入侵检测可以做出相应的检查，并反馈检测结果。企业网络安全管理者结合检测结果，对网络进行安全管理。
3 构建企业网络安全管理体系
3.1 网络安全
1）外部的连接。企业内部网络在运行的过程中，不可避免的会和外部发生关系，外部的人员有可能会想和企业的内部网络实现连接，但是，需要注意的是，外部的网络连接缺乏标准性，容易出现安全问题，对此的解决方法是用户账户应用硬件KEY验证手段，对外部网络接入进行全面控制。
2）远程接入的控制。VPN技术发展的速度比较快，在远程接入方面，风险性有所减小。企业可以采用特定的认证方式，如动态口令牌，增加安全性。
3）网络进入检测。现阶段，在企业内部网络中，可以安装相应的入口检测系统，主要的作用是对网络传输的过程进行监控。网络入侵检测系统是企业网络安全架构的必须组成部分，随着研发的深入进行，入侵检测系统将会更加精确。
4）无线网络安全。在办公区域，无线网络得到广泛的应用，有助于企业的运行，与此同时，无线网络也会出现安全的问题。要想使企业在无线网络运行方面保持安全性，需要采用新的安全性更高的协议；增加无线网络访问技术控制的水平。
3.2 访问限制
1）密码方式。如果密码的强度较高，破解需要的时间较长，脆弱密码破解需要的时间较短。在进行访问时，需要增强密码的强度。在确保企业网络运行安全性方面，企业可以采用密码的方式，应用新技术，实行密码管理，增加网络安全性。
2）管理用户的权限。员工在进入到企业以后，要想访问企业的内部网络，需要具备用户权限。企业相关的信息管理层需要给予员工一定的访问权限，并进行权限管理，提高权限管理的效率。
3）应用公钥系统。在进行访问权限管理中，公钥系统是较为关键的部分。在应用公钥系统时，无线网络给予一定的访问权利，将文件进行加密，都可以增加系统的安全性。
3.3 防火墙技术
防火墙技术核心是在网络环境不安全的情况下，建立比较安全的子网，现阶段，在国际上比较流行，应用范围较广。防火墙可以控制相关的数据，计算机以及相关的数据在获得访问的权利后，就可以直接访问内部网络，如果没有访问的权利，就无法实行访问。对一般人员的访问进行限制，避免对重要的信息进行更改、拷贝和损坏。要想使企业的内部网络具有更高的安全性，需要强化防火墙管理，进行安全过滤，对外网没有必要的访问进行严格的控制；此外，对于局域网，需要设定IP地址，防火墙可以对此进行识别。
3.4 网络蠕虫以及病毒防护
蠕虫以及病毒对企业内部的网络会产生威胁，这种问题不可避免，但是，企业应当尽可能的制定防护方案，采取防护技术，阻碍病毒传播，缩小病毒危害的范围。在企业内部网络中，网络节点存在的形式有两种：①在局域网中出现；②和外部的网络相联系。一般的防护措施能够降低的蠕虫和病毒威胁有限，为加强网络安全管理，需要严格的进行系统控制。在一般情况下，企业所安装的杀毒软件不能进行自动的扫描，对网络进行相关的操作，需要启动杀毒软件的相关功能，保证网络的安全性。当用户安装比较高级的杀毒软件后，企业网络安全管理人员能够掌握整个网络节点病毒的检测情况。
4 结束语
企业的网络安全不是终极目的，最终的目的是促进企业的长远发展。企业在发展的过程中，网络的应用程度会更广，企业的网络安全管理难度变大。企业需要根据网络安全的影响因素，制定管理方案，采取防护措施，构建网络安全管理体系，增加企业的网络安全性。
参考文献
[1]王松.试论企业计算机网络安全的管理[J].科技致富向导，2013（20）.
[2]曹永峰，庞菲.企业网络安全管理问题及策略探究[J].消费电子，2013（8）.
[3]胡子鸣.浅析企业网络安全管理和防护策略[J].信息安全与技术，2013（7）.
[4]雷亿清.基于终端的内网企业网络安全管理办法[J].中国科技博览，2013（15）.
[5]杨君.面向企业网络的网络行为管理研究[J].科技信息，2013（15）.
[6]李兰花，孙毅.中小企业内部网络安全管理的研究[J].海峡科技与产业，2013（6）.
[7]温欢.浅析房地产企业信息系统建设及网络安全运行与管理[J].中国高新技术企业，2013（17）.
构建网络安全体系篇4
关键词：企业；网络；系统；安全；虚拟化；信息化
一、 企业网的组成和所面临的安全威胁
(一) 企业网的组成
企业网一般由两个大的功能区域组成：企业内网和企业外部接入网。我们可以逻辑上把这两大区域进一步划分成若干个模块，企业内网包括管理模块、核心模块、分布层模块、服务器模块和边界接入模块五部分。企业外部接入网包括外网接入模块和远程接入模块两个部分。不同模块实现不同的功能，各自的安全需要也有所不同, 需要实施相应的安全策略。模块与模块之间的安全策略相互影响、相互作用并互为补充。典型的大型企业网络架构如下图：
(二) 企业网面临的安全威胁
1. 来自内部用户的安全威胁
大多数威胁来自于内部网络, 如缺乏安全意识的员工、心怀不满的员工、公司间谍等都是这类攻击的来源。
2. 来自外部网络的安全威胁
随着信息技术的不断发展,企业总部与分支以及合作伙伴之间的联网需求越来越迫切。它们之间不可避免的需要通过网络交换信息及共享资源。同时, 企业网还为内部合法员工提供了上互联网的途径, 互联网用户可以访问企业对外提供的公共服务器上的信息，由于信息资源的共享同时也给企业网的内、外网安全带来了一系列的挑战。
二、 企业内网的安全设计
企业内网包括管理模块、核心模块、分布层模块、服务器模块和边界接入模块五部分。下面分别分析各个模块的功能, 及面临的安全威胁和相对应的安全措施, 以及与其它模块之间的关系。
(一) 管理模块
管理模块的主要功能是实现企业网络的所有设备和服务器的安全管理。所面临最主要的安全威胁有未授权接入、口令攻击、中间人攻击等，为了消除以上管理模块面临的安全威胁,应采取以下的安全措施：
1. 管理数据流和生产网数据流需有效的安全隔离，包括尽可能使用安全性高的带外管理, 在不能使用带外管理的情况下,带内管理也要做到使用IPSec、SSH等加密传输。
2. 采用强力的认证授权技术对管理信息进行认证和授权，可以通过采用AAA认证和双因素认证技术, 保证只有合法的用户才能管理相应设备, 并能够防止密码泄漏和对密码窃听。
3. 采用完善的安全审计技术对整个网络（或重要网络部分）的运行进行记录和分析，可以通过对记录的日志数据进行分析、比较，找出发生的网络安全问题的原因，并为今后网络整改提供依据。
4. 部署网络入侵检测系统，从而能够对流入和流出管理模块的数据流进行实时的分析并及时发现可能的入侵行为。
由于管理模块全网可达, 且能够对全网的所有设备和服务器进行管理，所以它的安全防护策略应该是全网最严格的。
(二) 核心模块
核心模块的主要功能是快速转发。所面临主要安全威胁是分组窃听、功能区域划分模糊和如何实现快速故障隔离。当多种应用流量运行在核心模块时，如何防止不同应用流量被窃听篡改、如何对不同应用区域进行分类保护、如何在核心模块故障发生时进行有效快速的故障隔离成了当务之急。
核心模块的主要设备是三层交换机, 三层交换架构是消除分组窃听威胁的有效手段，而核心三层交换机的虚拟化技术则可以解决核心功能区域的精细划分、实现有效快速的隔离故障，提高系统的可用性，防止级联式的服务中断。通过核心交换机的虚拟化技术还可实现交换机控制和管理平面的虚拟化，在三层交换机上配置相应的安全策略，为多个应用或部门的流量提供安全的网络分区，让每个应用或部门可以独立管理和维护其各自的配置。
(三) 分布层模块
分布层模块主要提供包括路由、QoS和访问控制。所面临的主要安全威胁有未授权访问、欺骗、病毒和特洛伊木马的应用。为了消除以上分布层模块面临的安全威胁, 分布层模块应采取以下的安全措施：
1. 针对二层网络的安全威胁，利用网络设备本身的二层网络安全性能，进行二层网络安全策略的部署，如二层VLAN划分、DHCP窥探保护、动态ARP检查、IP源地址保护等安全策略。
2. 通过在分布层使用访问控制, 可以减少一个部门访问另一部门服务器上保密信息的机会，利用设备包过滤技术，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。
3. 通过RFC2827过滤可有效防止源地址欺骗。
4. 部署防病毒系统，防止各个工作站感染病毒和特洛伊木马的应用。
5. 部署网络准入控制系统，通过在网络中部署网络准入控制系统，可以实现最大限度减少内部网络安全威胁，降低病毒和蠕虫造成的停机时间。
根据网络规模和性能要求的不同, 核心层和分布层可以结合起来合二为一, 从而达到减少硬件设备，达到减少投资与节能等目的。
(四) 服务器模块
服务器模块的主要目标是向最终用户和设备提供应用服务。所面临的主要安全威胁有未授权访问、应用层攻击、IP欺骗、分组窃听和端口重定向等。为了消除以上安全威胁,应采取以下的安全措施：
1. 使用基于主机和网络的IDS/IPS系统。
2. 在交换机上配置私有VLAN,实现对服务器的访问限制, 限制对关健服务器的随意访问。
3. 对服务器及时打上最新的补丁程序。
4. 对服务器区域（DMZ区域）进行不同安全级别划分，通过对不同应用的服务器进行安全级别的划分，并通过防火墙模块进行DMZ逻辑区域的隔离，可以实现服务器故障的快速隔离和服务器间访问的有效控制。
5. 针对企业较为重要的邮件应用服务器，可以单独部署电子邮件安全产品，从而减少与垃圾邮件、病毒和其它各种威胁有关的宕机，以求减轻技术人员的负担。
像分布层模块一样, 根据公司规模、应用性能及需求的不同, 服务器模块可以与核心模块相结合。
(五) 边界接入模块
边界接入模块的目标是在网络边缘集中来自各个接入网模块的连接，信息流从边界接入模块过滤后路 由至至核心。边界接入模块在整体功能方面和分布层模块有些类似，都采用接入控制来过滤信息流,但边界接入模块在一定程度上依赖整个接入网功能区域来执行附加安全功能。像服务器和分布层模块一样,如果性能要求不高, 边界接入模块可与核心模块结合起来。
在边界接入模块比较常见的安全措施为应用流量观察分析和安全网关。应用流量观察分析是通过部署流量控制设备，使用其二至七层强大的应用分析能力，能够第一时间获得核心模块和接入网模块之间应用流量能见度，并以此为基础在企业网络中部署相应的安全策略（比如限制病毒端口号、限制特定内网IP地址、限制特定MAC地址）。安全网关是通过采用专用的安全网关技术，实现核心模块和外网接入网模块之间的Web内容过滤，Web病毒扫描，间谍软件防御，HTTPS安全控制，防机密数据外泄等等安全功能。
三、 企业接入网的安全设计
企业接入网由外网接入模块和远程接入模块两个部分组成。以下分别阐述各个模块的功能、面临的安全威胁和相应的安全措施。
(一) 外网接入模块
大多企业网虽然都是专网,但是不可避免要和外网连接。外网包括企业分支网络、第三方接入网络和互联网。所面临的主要安全威胁有未授权接入、应用层攻击、病毒和特洛伊木马、拒绝服务攻击等。主要防御措施有：
1. 在外网接入模块和外网之间部署防火墙。防火墙应分为两组防护, 一组用于企业网与分支机构网络的连接, 另一组用于企业网与互联网的连接。防火墙为内网的网络资源提供保护,从而确保只有合法信息流穿过防火墙。部署在企业网与互联网的连接上的防火墙时可以使用目前先进的“云火墙”技术，该技术可以持续收集互联网上已知威胁的详细信息，实现企业到互联网的网络安全。
2. 使用防火墙的虚拟化技术，将单一防火墙设备逻辑划分为多个虚拟防火墙，每个防火墙有自己的策略且分别进行管理，可以实现不同区域模块之间的安全控制和设备资源的高效利用。
3. 部署IDS/IPS入侵检测/防御系统，有条件的情况下, 在防火墙的内网区、外网区和DMZ区域都要部署入侵检测/防御系统, 以实时检测来自外网的入侵行为。
4. 建立统一的应用服务器用于与其它分支网络构建统一接入平台，应用服务器作为所有应用服务的, 通过进行更严格的应用数据流检查和过滤,有利于外网接入模块的标准化和可扩展性的提升。
5. 在与互联网连接的企业网络边缘部署路由器，并通过在路由器入口进行数据流的过滤，路由器对大多数攻击提供了过滤器,同时进行RFC1918和RFC2827过滤, 作为对过滤的验证, 路由器还应丢弃‘碎片’的数据包。对于过滤造成的合法数据包丢弃相比这些数据包带来的安全风险是值得的。
(二) 远程接入模块
远程接入模块的主要目标有三个：从远程用户端接VPN信息流、为从远程站点VPN信息流提供一个集线器以及拨号用户。远程接入模块面临的主要安全威胁有口令攻击、未授权接入和中间人攻击等。此模块的核心要求是拥有三个独立外部用户服务验证和端接，对于此模块来说信息流的来源是来自于企业网络外的不可信源, 因此要为这三种服务的每一种提供一个防火墙上的独立接口。
1. 远程接入VPN，远程接入VPN推荐使用IPSec协议。此服务的安全管理是通过将所有IPSec的安全参数从中央站点推向远程用户实现的。
2. 拨号接入用户，AAA和一次性口令服务器可用来验证和提供口令。
3. 站点间VPN，与站点间连接相关的IP信息流在传输模式下由配置成GRE隧道来实现。
以上来自三种服务的信息流应集中接入到防火墙的一个专用接口上。条件允许时在防火墙的内口或外口部署IDS/IPS系统, 以检测可能的攻击行为。
四、 模块之间的相互关系
采用模块化设计时, 不是简单地将网络安全设计分解成各个孤立的模块, 各模块之间紧密联系，其安全防护措施也直接影响到其它模块的安全。
管理模块是整个网络安全体系的核心、位于其它所有模块的最顶层。网络安全体系的建立, 应该首先建立管理模块的安全结构。它相对于其它模块有着很大的独立性, 但它是建立其它模块安全结构的基础和前提。
核心模块、服务器模块和分布层模块构成企业网络的内部网络。这三个模块主要防范来自企业网内部的安全威胁：分布层模块提供了针对内部发起攻击的第一道防线；核心模块的主要目标是线速的转发数据流, 其安全性主要依赖于核心模块交换设备本身的安全设置以及分布层模块的安全防护；服务器模块往往会成为内部攻击的主要目标, 安全性除了自身的安全措施和分布层模块的安全防护外, 严格的安全管理是极为重要的。
边界接入模块是连接企业内网和外部接入网的桥梁和纽带。边界接入模块在外部接入网安全措施的基础上, 为企业内网提供附加的安全功能。
外部接入网为企业内网提供了第一道安全防线, 也是外网接入企业网内网统一的接入平台。
模块化的设计将复杂的大型网络划分为几个相对简单的模块, 以模块为基本单位构筑整个网络的安全体系结构。使用模块化的网络安全设计能够很容易实现单个模块的安全功能,并实现模块与模块间的安全关系,从而在整个企业网络中形成分层次的纵深防御体系。还能够使设计者进行逐个模块的安全风险评估和实施安全, 而非试图在一个阶段就完成整个体系结构。
参考文献：
[1] 崔国庆. 计算机网络安全技术与防护的研究?. 电脑知识与技术，2009年9月.
[2] Diane Teare著.园区网络设计.人民邮电出版社，2007年2月第一版.
构建网络安全体系篇5
【关键词】校园网 网络安全 安全体系构建
校园网是开展教学工作实践的重要平台，是我国教育信息化平台构建的重要基地，保证校园网处于安全的运行状态，其实践意义重大。为此，积极从网络安全技术的角度，综合可能对于校园网安全构成为威胁，并且采取对应的措施进行改善，是当前校园网构建过程中需要思考的问题。
1 校园网络安全运行的基本需求分析
网络系统构建之前，首选需要弄清楚的就是网络安全运行需求，这是后期制定安全运行方案的基础和前提。一般情况下，校园网络安全需求主要涉及到以下几个方面内容：其一，在网络互联的基础上保证通讯处于安全状态，这是最基本的要求；其二，服务器系统安全检测，评估效能的发挥，能够对于不安全行为进行阻挡，以保证系统的安全运行；其三，应用系统的安全性需求，也就是说关键应用系统能够在认证管理下，形成防病毒体系，保证各个入口的安全连接；其四，业务系统的安全需求，避免网络内部其他系统对于业务系统造成危害；其五，健全的校园网络安全管理规章，保证校园网的安全运行。
2 校园网络安全总体设计思路
针对于校园网网络运行的基本需求，对于校园网络安全进行规划设计，并且在此基础上构建完善的校园安全体系结构，是保证校园网安全性的关键一步。在此过程中不仅仅需要满足上述的安全需求，还要对于可能出现的安全问题进行预警，以保证设计体系的合理性和科学性。具体来讲，其主要设计到以下内容：其一，以独立的VLAN，MAC地址绑定和ACL访问控制列表来进行VPN网络子系统的安全控制和管理，可以保证数据传输的安全等级达到最佳水平；其二，以网络安全检测子系统的构建，并在校园网中WWW服务器和Email服务器进行应用，在此基础上对于网络传输内容进行监督和管理，并且形成相应的数据库，避免非法内容进入校园网；其三，针对于安全需求，设置相应的安全防火墙，以双机设备方式去运行，实现防火墙子系统的构建；其三，基于控制中西和探测引擎技术构建入侵检测子系统体系，对于入侵行为进行监督和管理，并且将其屏蔽在网络安全范围之外；其四，全面升级网络系统的防毒系统，实现对于客户端PC机器的安全控制，形成统一的防毒服务器；其五，建立有效的漏洞扫描系统，实现自动修复和检查漏洞，保证补丁工作的全面开展；其六，针对于校园内部的侵袭行为，可以以建立内部子网审计功能的方式去实现内部网络运行质量的提高；其七，建立健全完善的校园网安全运行管理制度体系，为开展一切安全管理工作打下基础。
3 整体构建校园网络安全体系的实现途径
校园网络安全体系涉及到多方面的内容，一般情况下会将其归结为物理层，链路层，网络层，应用层等几个方面。
3.1 物理层安全体系实现途径
物理层的安全性能主要针对于线路的破坏，线路的窃听，物理通路的干扰等安全缺陷问题。对此，需要做好以下工作：其一，采用双网结构作为拓扑网络结构方式，内外网使用不同的服务器，实现不同信道的运行，使得信息处于不同的高度路上运转，不仅仅可以营造安全的运行状态，还可以使得系统运行压力降低；其二，以双网物理隔离的方式去实现内外网布线系统的构建，从根本上杜绝了黑客入侵的可能性，同时还合理设置，避免出现内外网同时使用的情况。
3.2 链路层安全体系实现途径
链路层安全体系构建是保证网络链路传送数据安全性为根本性目的，主要使用的技术手段有局域网和加密通讯手段。具体来讲，其一，在交换机配置端口安全选项中，尽量将CAM表进行淹没；其二，在中继端口实现VLAN ID的专业化设置，保证端口设置成为非中继模式；其三，进行MAC地址绑定设置，避免出现IP地址被盗用。
3.3 网络层安全体系实现途径
网络层安全体系构建，主要是保证网络时能给授予权限的客户使用，避免出现拦截或者监听的情况。为了实现这样的目标，应该从以下几个角度入手：其一，设置硬件防火墙，运行访问控制技术程序，一旦遇到安全问题，使得其处于隔离状态；其二，网络入侵检测系统IDS的使用，能够对于网络入侵行为进行监督，由此构建起来第二道安全闸门；其三，在路由交换设备上进行安全技术应用，如VPN技术，加密机制及时，审计和监控技术等，都是其重要内容。
3.4 应用层安全体系的实现途径
对于应用层来讲，其安全体系的构建需要做到以下几点：其一，建立网络病毒防火墙，避免内外病毒对于网络文件系统的破坏；其二，设置服务器，尽可能的保护自己的IP地址；其三，构建操作系统补丁自动分发系统，保证能够及时的进行安全漏洞的修复；其四，积极开展认证和授权管理工作，对于多重身份认证和用户角色授权进行审计，以保证系统的安全性。
4 结束语
整体构建校园网络安全体系，需要在校园网络安全需求的基础上，积极探析可能出现的安全漏洞，并且从这个角度出发，去开展系统结构设计，保证将安全理念纳入到设计方案中去，由此去保证校园网络处于安全的运行状态，这就是整体构建校园网络安全体系的是实现方法。
参考文献
[1]刘义全.浅谈校园网络的安全性[J].中国现代教育装备，2009（15）.
[2]黄亚宁.校园网络安全隐患及其对策[J]. 学校党建与思想教育，2010（12）.
[3]邓志华.校园网络安全浅析[J].教育信息化，2004（09）.
[4]徐志超.校园网络存在的问题及解决方法[J].科技信息（科学教研），2007（20）.
[5]岳雷.校园网络安全的守护神─Forefront[J].中国信息技术教育， 2010（09）.
[6] 李耀麟，刘繁华.“校园网络安全”专题学习网站的建设[J].河西学院学报，2005（05）.
作者单位
构建网络安全体系篇6
关键词：网络、信息安全、保障体系
随着国家“金质工程”建设的不断深入。根据建设“数字化质检”、十二五期间打造“智慧质检”的信息化目标，质检行业将实现检验检验、行政执法、行政许可、产品质量管理、计量管理、标准化管理、特种设备安全管理、食品安全管理等全面质量管理。而构建智慧质检，离不开网络的支持，信息化体系建设也是必然的结果。
一、当前质检行业网络信息安全问题分析
近年来，虽然质检行业信息安全保障体系建设取得了一定成效，但还存在一些需要高度重视和加以解决的问题。质检行业信息安全保障存在的问题如下。
（一）安全目标和需求不明确
在认识上各质检单位都高度重视信息安全，但在工作上常常感到没有抓手，无的放失。如系统运行的连续性需求不明确，造成网络和系统备份措施不完善；信息保护的需求不明确（是否需要保密，存在特权用户），造成数据安全保护水平低；系统安全的需求不明确，系统设计安全规范执行不到位，缺少安全审核机制，造成应用系统一上线就有安全隐患，防护困难。
（二）仍存在着“重应用，轻安全”的现象
大部分质检单位重视应用系统建设，缺少从应用系统建设的规划阶段就开始规划信息安全保障工作的意识，造成信息安全工作总是慢半拍，无法做到从源头上控制，实施安全保护，不仅加大了后续安全保障的难度，也增加了后期安全保护成本。
（三）偏重技术防护忽视安全管理
存在着有了技术就万事大吉的想法，未能在管理制度上通盘考虑谁来管、管什么、怎么管、靠什么管、管的怎样、是否符合要求等环节，制度建设不系统、不全面，更是缺少安全规范、流程、检查，造成了安全“管不住”。
（四）缺少科学运维和安全运维的方法和手段
质检行业信息系统的运维工作多数是自己承担，系统内市、县局缺少专门的运维管理人员，目前还仅停留在“保系统正常运行”的阶段，未做到全面规划运维流程、控制运维活动、持续改进完善。
（五）机构设置不完善
至今全国质检系统中省级质量技术监督局还有没有专门设立信息中心，市级质量技术监督局和区县质量技术监督局没有机构和专人负责信息化建设的情况还比较普遍，网络信息安全工作落实起来就很困难。
二、质检行业网络信息安全保障体系构建
网络信息安全保障体系建设包括九个方面，即网络安全防护、网络安全评估、网络与应用系统安全审计、应用系统的授权与访问控制、应用系统关键数据安全技术要求、系统容灾备份建设要求、安全管理要求、重大突发事件应急管理、安全运维等九个方面是不可分割的，相互补充。通过开展这九个方面的建设，形成一个完善的网络信息安全防护体系，才能确保质检行业网络信息安全得到保障。
（一）网络安全防护建设方面
网络安全防护系统是金质工程系统安全保障体系中最基础的安全设施，主要保护金质工程网络的各种应用系统，保证整个系统的可用性、完整性、可控性等。采用分区设防、重点防御的建设原则。从物理安全防护、技术防护、人员防护、管理防护四个层面着手，构建金质工程的网络安全综合防护体系。同时参考《计算机信息系统安全保护等级划分准则》（GB 17859-1999）、《信息安全技术 信息系统安全等级保护基本要求》（GB/T 22240-2008）标准规定，按照信息系统的重要性、使用范围、影响范围等要素，将信息系统的进行分级，按照不同级别进行保护，做到有的放矢。
（二）网络安全评估方面
质检信息化建设从中央到地方共包括四级（中央级、省直级、地市级、县区级），其信息资产重要性不同，结合信息安全评估工作的实际需要，对不同级别的网络信息系统的安全评估内容和评估力度区别对待，从资产识别、脆弱性识别、威胁识别、安全措施确认、风险分析、评估文档六个方面对网络系统评估，评估时做到重点突出、兼顾全局，即对重要的数据库、应用系统重点识别、分析、加固，同时也要注重各系统之间的关联。
（三）网络与应用系统安全审计方面
根据网络与应用系统范围、重要程度、出现事故后的危害程度将审计需求分为两种：基本要求、增强要求。通过对主机、服务器、网络、数据库管理系统、应用系统运行的状态、情况及其日志等信息进行采集、记录、分析、响应及事后的审计查阅功能要求。
（四）应用系统的授权与访问控制方面
依据“金质工程”应用系统中授权与访问控制策略，对应用系统内的访问者进行统一授权、验证并提供保护的策略和方法。通过建设授权与访问控制平台，为各应用系统的授权、鉴别认证与访问控制，提供统一的用户管理、授权和鉴别认证平台，实现各应用系统按照定义的访问控制策略，基于各个业务应用要求和符合组织的信息安全策略向应用系统的用户（包括支持人员）提供对信息和应用系统功能的访问，它的效力依赖于这个平台中组件或组件模块的组成完整性。
（五）应用系统关键数据安全技术要求方面
金质工程应用系统关键数据生命周期内的采集、传输、处理、存储、交换、使用和销毁等过程中的安全要求包括：一般要求和基本技术要求。涉及保密性要求、可用性要求、完整性要求、计算机防病毒要求方面。其中保密性要求主要从对数据进行有效的管理并根据所传输或存储的应用系统数据的特征，确定对数据加密保护的方式；可用性的要求主要从用户身份鉴别、访问控制、安全审计方面进行保护；完整性要求主要从软件完整性、数据完整性、数据交换的真实性和有效性、安全审计进行保护。
（六）系统容灾备份建设要求
信息系统灾难恢复，包括灾难恢复规划、灾难备份中心的日常运行、业务功能在灾难备份中心的恢复和重续运行、主系统的灾后重建和回退工作、突发事件发生后的应急响应。健全的灾难恢复组织机构是灾难恢复的前提与保障。灾难恢复工作是一个周而复始、持续改进的过程，主要包含：灾难恢复需求的确定、灾难恢复策略的制定、灾难恢复策略的实现、灾难恢复预案的制定、落实和管理。
（七）安全管理要求
安全管理涉及金质工程信息安全管理方针，安全管理制度，安全管理组织体系，信息安全风险管理，系统环境和资源管理，运行和维护管理，业务连续性管理，监督和检查管理，生存周期管理等内容。
（八）重大突发事件应急管理
重大突发事件应急管理包括: 应急管理准备、应急预案制定、应急工作改进三个方面。应急管理准备涉及确定应急管理因素、进行业务影响分析、确定防护措施、制定关键系统的应急处置规范；应急预案制定即制定恢复金质工程正常运行所需信息安全突发事件应急预案；应急改进即有规律地更新应急预案、改进应急管理过程等工作。
（九）安全运维
安全运维是为了保障金质工程涉及的各业务系统安全、稳定和高效运行而采取的生产组织管理活动。安全运维主要涉及资产管理、故障管理、网管系统、应用性能管理、应用性能管理、桌面管理、员工行为管理、安全管理等内容。
构建网络安全体系篇7
随着世界互联网技术在全球经济、文化等领域的飞速发展，计算机网络技术已经得到了广泛的应用，网络以其实用性、高效性、便捷性深入渗透到各行各业中并逐渐改善行业的产业结构、经营模式、管理方式。近年来，网络信息化已经应用到广播电视台的制作、播出、传播、发射等各个环节，使广播电视台的节目质量、管理效率、影响范围向新的高度迈进。但网络开放性的特点使信息安全面临较多的安全隐患，如何防止因网络信息安全风险导致播出中断、数据泄露、财务损失等严重后果成为了广播电视台面临的新难题。为了提高廣播电视行业对网络信息安全风险的认识，本文构建了广播电视网络信息安全风险指标体系，并运用系统动力学建立风险的因果关系图，分析各个风险之间的相关关系。
袁爱军从企业所面临的网络信息安全问题出发，提出了操作系统安全风险、管理安全风险、应用安全风险及网络结构安全风险四个主要风险，并对风险因素进行全面、系统的分析[1]。李兰瑛等结合某校园网络系统的特点识别相关风险并运用灰色评估法在风险评价方面的优势建立信息系统风险多层灰色评估模型，分析了网络信息系统的风险灰色综合评估过程[2]。袁亮首先详细分析了信息安全的概念和特点，结合企业控制信息安全所面临的问题包括安全问题、管理问题和成本问题提出风险管理对策和建议[3]。吉岚等详细研究了各高校信息安全风险的特点以及高校网络安全技术的应用效果，提出了通过系统的运用网络安全技术保障高校网络信息安全的措施，最后以赤峰学院为例加以验证[4]。
通过对广播电视网络信息安全风险研究成果进行梳理，发现学者们更倾向于对某一个风险阶段或者单一风险因素进行研究，忽略了网络信息安全的系统性以及风险因素的交叉关联性。梳理学者在系统动力学理论、网络信息安全管理的研究成果，结合开化县广播电视台网络信息安全现状归纳出研究较为集中和具有代表性的广播电视网络信息安全风险因素，并发挥了系统动力学在风险演化方面的优势。最终形成集“网络攻击风险”、“技术安全风险”、“管理风险”、“外部环境风险”的“广播电视网络信息安全风险因素系统”，然后建立风险因素系统动力学因果关系图，识别出了风险之间的相关性，为后续广播电视网络信息安全风险的研究奠定了基础。
1开化广播电视台网络信息现状
开化广播电视台目前共有4个自办节目，其中三套电视节目，分别是图文频道、国家公园频道、综合频道，一套广播节目为动听早班车电台。开化广播电视台逐步建立网络化、信息化系统，到目前为止已基本实现全台网络化管理。开化广播电视网络信息系统分为三类，第一类是外网系统，例如以开化新闻网为代表的门户网站；第二类是与广播电视政务及监测监控等相关的专用业务系统，例如广播电视办公网、广播电视发射台信号监听监测网、广播电视监测网等；第三类是制作业务系统，例如广播电视制播网。
2广播电视网络信息安全风险评价指标体系的分析与构建
2.1广播电视网络信息安全风险的识别依据
本文基于国内外学者对网络信息安全风险指标研究的基础上，结合广播电视台网络信息安全现状，筛选出对广播电视网络信息安全影响较大的风险因素，并设置风险产生的后果包括数据损坏、播出中断、敏感数据泄露、财务损失和名誉损失。通过邀请5位专家（开化广播电视台3位，网络风险领域专家2位）对风险因素与产生的后果关联度进行评价，最终筛选出与风险后果高度关联的12个风险因素。
2.2广播电视网络信息安全的特征和风险构建原则
2.2.1广播电视网络信息安全的特征
①完整性。指广播电视网络网络信息在传输、交换、存储和处理过程保持完整的特性，即保持网络信息原样性，网络信息可以正常的生成，保障广播电视节目的播出。
②保密性。指网络信息在没有授权的情况下不泄露给第三方或给其特供可以利用的信息的过程，即完全避免有用信息泄漏给非授权个人或实体，有用的网络信息只能被已授权的个人或实体使用。
③可用性。网络信息的可用性是指网络信息可以被已授权的个人或实体访问和使用，在网络系统正常运营时能够储存可用信息，当网络系统遭受攻击或病毒入侵时能够快速恢复可用信息并再次使用的特征。
④可审查性。指广播电视网络信息交互过程中，可以确认信息参与者的身份，以及参与者所提供的信息的真实同一性，并将信息存储并记录，使信息有相关的记录可以查询。
⑤可控性。网络信息可控性是指在广播电视网络系统中任何信息的生成、传播、输出和具体内容可以在一定范围内被管理控制的特性。
2.2.2广播电视网络信息安全风险指标体系构建原则
广播电视网络信息安全风险指标体系的构建不要遵循。广播电视网络信息安全风险指标的构建基于以下原则：
①科学性原则。风险指标体系的构建要客观真实的反映出广播电视网络信息系统的实际情况，风险指标的选取必须要有正确性、全面性和可靠性，尽量防止人为因素的倾向性，从而建立科学合理的风险指标体系。
②系统性原则。广播电视网络信息安全风险不是每个单一风险的简单叠加，选取风险指标时需考虑风险之间的相互关联性和传递性。风险指标要包含广播电视网络信息安全所涉及的各个方面，不仅要有影响到广播电视播出安全的直接风险因素，还要有从侧面导致播出隐患的间接风险因素。因此，要合理构造广播电视网络信息安全风险指标体系层次结构，层次之间每层上层指标都要有相应的下层指标与其相对应。
②实用性原则。所选风险指标要有可操作性，应与广播电视网络信息安全密切相关，并能够正确反映广播电视台在网络化建设过程中所遇到的问题和不足。
2.3广播电视网络信息安全风险指标体系的构建内容
本文依据广播电视网络信息安全的特点构建风险指标体系，拟将广播电视网络信息安全风险指标体系分为三级指标层。一级指标层为广播电视网络信息安全总体风险组成，二级指标层分别由网络攻击风险、技术安全风险、管理风险、外部环境风险构成，三级指标层由影响各二级指标的风险因素组成，如表2所示。
2.3.1網络风险
主要是由黑客进行网络攻击和网络病毒传播带来的风险，由于广播电视影响范围广、传播速度快的特点容易成为黑客组织攻击的目标，目前黑客不仅仅是个人行为，而是已经形成组织严密的黑色产业。一旦广播电视网络受到黑客攻击或病毒入侵会导致播出中断、网络信息泄露、篡改播出内容等严重后果，甚至会造成不良的社会影响。
2.3.2技术安全风险
开化广播电视台目前计算机所用的操作系统大部分比较落后，没有及时更换最新系统，使系统漏洞增加，加大了网络攻击风险发生的可能性。同时系统的硬件配置仅仅以满足当前需要为主要目标，未考虑与其他系统的兼容性，硬件配置良莠不齐，不能满足网络系统整体的安全防范能力。此外，部分设备存在老化现象，系统内的核心设备、数据存储设备等不能完成备份，可能会导致设备故障从而影响广播电视台节目的安全播出。因此技术安全风险由系统漏洞、硬件配置低和设备故障因素组成。
2.3.3管理风险
管理风险是由人员素质、管理不规范、操作流程不完善和应急预案缺陷带来的风险。目前广播电视台缺乏有效的管理体系和管理部门，不能规范的管理网络系统中各安全控制组件，没有及时更新网络化管理操作流程，人员缺少网络安全意识，安全防护水平较低不能有效的保护网络信息安全，没有建立完善的应急预案，当风险发生时不能快速降低风险损失，这些因素都会加大管理风险发生的概率。
2.3.4外部环境风险
外部环境风险是由自然灾害、人为破坏和系统规模膨胀带来的风险。自然灾害如雷电、供水、火灾、地震等发生后会破坏网络设施从引发风险。人为破坏包括对网络设施的损毁、对网络信息系统的恶意攻击等行为，系统规模膨胀是指随着广播电视网络化进程的发展，网络规模不断扩大，各个系统之间节点互联互通、一旦关键节点出故障会影响到整个网络系统的运行，发生播出故障的几率不断加大。
3基于系统动力学的广播电视网络信息安全风险模型
3.1系统动力学理论
系统动力学是一门分析研究信息反馈系统的学科，也是基于系统论、信息论和控制论来认识系统问题并解决系统问题的综合性学科[5]。系统动力学中，通过因果反馈关系建立各级风险指标之间的关系，识别出可能引发不同风险的相同风险因素以及所造成的风险后果，有利于管理者制定理想的风险管理流程，并直观的了解风险的演化过程和控制情况。并且根据广播电视台网络化的发展情况可以在系统动力学模型中增加新的风险因素，不断优化风险管理模型。
3.2广播电视网络信息安全风险因果反馈图
应用系统动力学软件Vensim建立广播电视网络信息安全风险因果反馈模型，如图1所示。广播电视网络信息安全风险类型主要为网络攻击风险、技术安全风险、管理风险和外部环境风险。通过图1可以直观的发现引发多项风险的因素主要有以下五种：一是人员素质，广播电视台人员素质的提高，不仅有效的提高管理效率，也可以提升人员对于网络信息安全的认识，从而降低管理风险的可能。二是管理不规范，形成系统的管理体系并建立相关网络信息安全部门，统一管理网络软硬件设施和网络信息安全防护可以有效的降低管理风险和技术安全风险。三是网络攻击和网络病毒，提高网络安全防护等级，确实防止网络风险和技术安全风险的发生。第四是自然灾害和人为破坏，提高相应的预防措施可防止因设备故障导致播出中断事故的发生。第五是系统漏洞，完善广播电视台计算机操作系统，对系统不断调整和升级，从而减少网络攻击和网络病毒等网络风险和技术安全风险。
运用系统动力学风险因果反馈图模型，加强对人员素质、管理不规范、网络攻击和网络病毒、自然灾害和人为破坏、系统漏洞这五种主要风险点进行有效控制和防范，就会增强广播电视台对网络风险、技术安全风险、管理风险和外部环境风险的管理控制，从而增强单位防控风险的能力。
4研究结论
本文在研究网络信息安全的概念、理论等的基础上，结合广播电视网络信息安全现状建立了广播电视网络信息安全风险指标体系，总结分析了养老社区项目社会效益评价常用方法，取得如下研究成果：
①在网络信息安全风险研究的基础上筛选出对广播电视网络信息安全影响较大的风险因素，并系统地建立了广播电视网络信息安全风险指标体系，主要由网络风险、管理风险、技术安全风险和外部环境风险以及相应三级风险构成。
②利用系统动力学在风险演化和管理方面的优势，构建广播电视网络信息安全风险因果反馈模型，分析了风险因素之间的相关关系，提出需对人员素质、管理不规范、网络攻击和网络病毒、自然灾害和人为破坏、系统漏洞这五种风险因素重点防控。
③目前用于广播电视网络信息安全风险研究较少，本文只建立了风险指标体系，仍需要对风险演化方面做进一步深入研究。
参考文献：
[1]袁爱军.国内企业网络信息安全风险分析[J].中国石油和化工标准与质量，2011，31（10）：279.
[2]李兰瑛，李晓芸.一种基于层次模型的网络信息安全风险灰色评估方法[J].科学技术与工程，2010，10（02）：540-545.
[3]袁亮.网络时代下企业信息安全风险和控制[J].中国管理信息化，2015，18（17）：72-73.
[4]吉岚，辛欣.高校网络信息安全风险分析及对策探讨——以赤峰学院为例[J].赤峰学院学报（自然科学版），2016，32（20）：200-202.
[5]李存斌，陆龚曙.工程项目风险元传递的系统动力学模型[J].系统工程理论与实践，2012，32（12）：2731-2739.
构建网络安全体系篇8
【关键词】网络安全；防火墙；VPN；VLAN
一、引言
随着电力施工企业信息化发展的不断深入，企业对信息系统的依赖程度越来越高，信息与网络安全直接影响到企业生产、经营及管理活动，甚至直接影响企业未来发展。企业网络规模的扩大、信息接入点增多、分布范围广，使信息接入点管控难度大。企业信息与网络安全面临各类威胁，笔者以构建某电力施工企业信息与网络安全体系为例，从信息安全管理、技术实施方面进行阐述与分析，建立一套比较完整信息化安全保障体系，保障业务应用的正常运行。
二、企业网络安全威胁问题分析
1.企业网络通信设备存的安全漏洞威胁，网络非法入侵者可以采用监听数据、嗅探数据、截取数据等方式收集信息，利用拒绝服务攻击、篡改数据信息等方式对合法用户进行攻击。
2.非法入侵用户对网络系统的知识结构非常清楚，包括企业外部人员、企业内部熟悉网络技术的工作人员，利用内部网络进行恶意操作。非法用户入侵企业内部网络主要采用非法授权访问对企业内部网络进行恶意操作，以达到窃取商业机密的目的；独占网络资源的方式，非业务数据流（如P2P文件传输与即时通讯等）消耗了大量带宽，轻则影响企业业务无法正常运作，重则致使企业IT系统瘫痪，对内部网络系统造成损坏。
3.恶意病毒程序和代码包括计算机病毒、蠕虫、间谍软件、逻辑复制炸弹和一系列未经授权的程序代码和软件系统。病毒感染可能造成网络通信阻塞、文件系统破坏，系统无法提供服务甚至重要数据丢失。病毒的传播非常迅速；蠕虫是通过计算机网络进行自我复制的恶意程序，泛滥时可以导致网络阻塞和瘫痪；间谍软件在用户不知情的情况下进行非法安装，并把截获的机密信息发送给第三者。
4.随着企业信息化平台、一体化系统投入运行，大量重要数据和机密信息都需要通过内部局域网和广域网来传输，信息被非法截取、篡改而造成数据混乱和信息错误的几率加大；当非法入侵者以不正当的手段获得系统授权后。可以对企业内部网络的信息资源执行非法操作，包括篡改数据信息、复制数据信息、植入恶意代码、删除重要信息等，甚至窃取用户的个人隐私信息，阻止合法用户的正常使用，造成破坏和损失。保护信息资源，保证信息的传递成为企业信息安全中重要的一环。
三、企业信息与网络安全策略
结合电力施工企业业务广范围大特点，提出一套侧重网络准入控制的信息安全解决方案，保障企业网络信息安全。
1.远程接入VPN安全解决方案
施工企业拥有多个项目部，地域范围广，项目部、出差人员安全访问企业信息系统是企业信息化的要求，确保网络连接间保密性是必要的。采用SSL VPN安全网关旁路部署在网络内部，通过设置用户级别、权限来屏蔽非授权用户的访问。访问内部网络资源的移动、项目用户先到SSL VPN上进行认证，根据认证结果分配相应权限，实现对内部资源的访问控制。
2.边界安全解决方案
在系统互联网出口部署防火墙（集成防病毒和网络安全监控模块）和IPS设备，同时通过防火墙和IPS将企业内部网、数据中心、互联网等安全区域分隔开，并通过制定相应的安全规则，以实现各区域不同级别、不同层次的安全防护。边界防护建立以防火墙为核心，邮件、WEB网关设备、IDS及IPS等设备为辅的边界防护体系。
（1）通过防火墙在网络边界建立网络通信监控系统，监测、限制、更改跨越防火墙的数据流以及对外屏蔽网络内部的信息、结构和运行状况，控制非法访问、增强网络信息保密性、记录和统计网络数据并对非法入侵报警提示等，达到保障计算机网络安全的目的。
（2）在防火墙上开启防病毒模块，可以在网关处阻止病毒、木马等威胁的传播，保护网络内部用户免受侵害，改变了原有被动等待病毒感染的防御模式，实现网络病毒的主动防御，切断病毒在网络边界传递的通道。
（3）以入侵防御系统IPS应用层安全设备，作为防火墙的重要补充，很好的解决了应用层防御安全威胁，通过在线部署，IPS可以检测并直接阻断恶意流量。
（4）将上网行为管理设备置于核心交换机与防火墙之间。通过对在线用户状态、Web访问内容、外发信息、网络应用、带宽占用情况等进行实时监控，在上网行为管理设备上设置不同的策略，阻挡P2P应用，释放网络带宽，有效地解决了内部网络与互联网之间的安全使用和管理问题。
3.内网安全解决方案
内网安全是网络安全建设的重点，由于内网节点数量多、分布复杂、终端用户安全应用水平参差不齐等原因，也是安全建设的难点。
（1）主要利用构建虚拟局域网VLAN技术来实现对内部子网的物理隔离。通过在交换机上划分VLAN可以将整个网络划分为几个不同的广播域，将信任网段与不信任网段划分在不同的VLAN段内，实现内部一个网段与另一个网段的物理隔离，防止影响一个网段的安全事故透过整个网络传播，限制局部网络安全问题对全局网络造成的影响。
（2）建立企业门户系统，用户的访问控制部署统一的用户认证服务，实现单点登录功能，统一存储所有应用系统的用户认证信息，而授权等操作则由各应用系统完成，即统一存储、分布授权。
（3）系统软件部署安全、漏洞更新，定期对系统进行安全更新、漏洞扫描，自动更新Windows操作系统和Office、Exchange Server以及SQL Server等安全、漏洞补丁。安装网络版的防病毒软件，定期更新最新病毒定义文件，制定统一的策略，客户端定期从病毒服务器下载安装新的病毒定义文件，有效减少了病毒的影响；配置邮件安全网关系统，为邮件用户提供屏蔽垃圾邮件、查杀电子邮件病毒和实现邮件内容过滤等功能，有效地从网络层到应用层保护邮件服务器不受各种形式的网络攻击。
4.数据中心安全解决方案
作为数据交换最频繁、资源最密集的地方，数据中心出现任何安全防护上的疏漏必将导致不可估量的损失，因此数据中心安全解决方案十分重要。
（1）构建网络链接从链路层到应用层的多层防御体系。由交换机提供数据链路层的攻击防御。数据中心网络边界安全定位在传输层与网络层的安全上，通过防火墙可以把安全信任网络和非安全网络进行隔离，并提供对DDoS和多种畸形报文攻击的防御。IPS可以针对应用流量做深度分析与检测能力，即可以有效检测并实时阻断隐藏在海量网络流量中的病毒、攻击与滥用行为，也可以对分布在网络中的各种流量进行有效管理，从而达到对网络应用层的保护。
（2）建立数据备份和异地容灾方案，建立了完善的数据备份体系，保证数据崩溃时能够实现数据的完全恢复。同时在异地建立一个备份站点，通过网络以异步的方式，把主站点的数据备份到备份站点，利用地理上的分离来保证系统和数据对灾难性事件的抵御能力。
5.安全信息管理与培训
（1）网络管理是计算机网络安全重要组成部分，在组织架构上，应采用虚拟团队的模式，成立了相关信息安全管理小组。从决策、监督和具体执行三个层面为网络信息安全工作提供保障。建立规范严谨的管理制度，制定相应的规范、配套制度能保证规范执行到位，保障了网络信息安全工作的“有章可循，有据可查”。主要涉及：安全策略管理、业务流程管理、应用软件开发管理、操作系统管理、网络安全管理、应急备份措施、运行流程管理、场所管理、安全法律法规的执行等。
（2）人员素质的高低对信息安全方面至关重要；提高人员素质的前提就是加强培训，特别加强是对专业信息人员的培训工作。
四、结束语
该企业信息与网络安全体系建设以技术、管理的安全理念为核心，从组织架构的建设、安全制度的制定、先进安全技术的应用三个层面，构建一个多层次、全方位网络防护体系。在统一的安全策略基础上，利用安全产品间的分工协作，并针对局部关键问题点进行安全部署，使整个网络变被动防御为主动防御、变单点防御为全面防御、变分散管理为集中管理，达到提升网络对安全威胁的整体防御能力。
参考文献
[1]（美）Stephen Northcutt.深入剖析网络边界安全[M].机械工业出版社，2003.