网络安全管理规划汇总十篇
网络安全管理规划篇（1）
中图分类号：F224 文献标识码：A 文章编号：1671—7597（2013）022-132-1
互联网的广泛普及与高速演进从某种意义上改变了人们信息沟通的常规方式。计算机技术在推动全球信息化过程中也与多种社会经济生活产生密切复杂的关联，这种特殊的关系给社会带来了庞大的利益，却加深了出现网络公共安全事故的危险。为了维护电信计算机系统的安全，同时有效地阻止所谓“黑客”攻击网络、降低网络安全风险，有必要设置有力的技术壁垒，将关乎电信计算机网络安全管理的诸多要素密切结合，构成整合化一的完善系统。
1 电信计算机网络的重要特点
经过了解传统的电信网络可以得知，传统网络基于网络电路交替的形式。这种自成体系的网络更为安全可靠，进一步讲，这种安全可靠性涵盖了信息传输的整个系统并连接相应设备。随着科学技术的发展，网络工程师对于网络通讯设备之间的起连接作用的设备具有更高的要求，他们往往花费大量时间，组织人员设计备份程序以保持系统的良好运转。同时尽最大可能降低甚至消灭数据流失给通讯设备带来的损坏。一些企业计算机内部局域网防火墙能够对用户信息进行保密，使得一些利用网络漏洞进行盗取、篡改用户信息的“黑客”束手无策。网络安全涉及计算机科学的方方面面，这其中包括信息系统自身的良好运营，同时也包括计算机网络技术及时更新、科学化管理等内容。
2 电信计算机网络存在的安全隐患
2.1 感染病毒或恶意程序
纵观整个计算机系统，病毒堪称最大的隐患之一，因为系统一旦感染病毒，就会影响整个系统的正常运行。为了有效消除电脑病毒对管理员造成的困扰，网络工程师会采用防火墙这种高效的防护手段。电信计算机网络的防火墙系统主要被用来阻止外界非法访问，但是这个防火墙系统对于各城市、各个专业下属系统之间的非法访问往往并不能起到有效的阻止作用。网络规模的庞大性使得阻止计算机网络遭受病毒入侵、黑客偷袭的侵害成为一件难事。在企业人员安全意识淡薄的情况下，如果计算机和互联网仅仅有一秒钟时间相连接，那么来自互联网的一些不良因素便会借由一些带有病毒的介质进入企业的信息系统，严重的话可以导致企业内部信息失窃。
2.2 系统的自带漏洞与软件缺陷
由于当下的软件系统并非完美无缺，一般的软件编程者都会或多或少在软件编程中埋下“隐患”。而这个“隐患”就是编程员为软件升级或验证操作者身份而设定的口令。一般的网络与系统设备虽然由其规定的口令进行保护，但是这个口令极易被“黑客”破译。这类网络入侵者一旦攻破计算机系统的自主防御程序，就会获得更改、盗取、删除、替换计算机系统信息的权限，一旦一些重要机密文件或是客户信息被如此非法盗取，后果将会不堪设想。如果电信计算机维护人员在维护期间没有及时修改主机口令或更新系统防御软件，那么主机系统将会丧失起码的自我保护能力，这样对于保密计算机内存文件将大大不利。一些技术精湛的网络入侵者随时都会成为无形的影子，成为盗取计算机信息的“黑手”。
2.3 网络内部与外部攻击
一方面，一些非法互联网用户会使用虚假身份信息登陆局域网内部网站，对机密信息进行复制与盗取，这种违法行为不仅违背网络道德规范准则，也妨碍网络内部应用顺利运行。
另一方面，局域网络之外的攻击破坏也是电信计算机网络安全隐患的一个组成部分。网络入侵者会经由第三方应用和中转站盗取用户机密资料、破坏软件编程、使网络系统瘫痪。
一些工作人员的疏忽也会造成电信计算机的安全隐患。比如口令丢失、不合理控制资源访问。此外，非法网络配置也可能会对网络安全保障系统造成破坏。网络管理员如果没有做好资料保密的工作，或是由于一时疏忽造成电脑中存储的资料外泄或遗失，对企业所可能造成的损失是不可估量的。
3 电信计算机网络安全策略
3.1 进行电信计算机网络安全规划建设
电信计算机的安全问题是要依靠每个阶段不懈努力解决的，并不存在一劳永逸的彻底解决方法。电信计算机网络的建设不仅仅是庞大的工程，也是一项对技术性要求颇高的工作。在经由实际调研、系统设计、可行性分析几个步骤后还要进行工程招标、软件硬件施工、工作人员培训、验收成果等等几个阶段。每一步都要渗透强烈的网络安全意识，唯有这样才能够建立起电信计算机安全稳定的基础设施。使用物理安全策略可以保护电信计算机系统，同时使得网络服务器免受自然灾害。此外，访问控制策略能够最大程度保护网络信息的安全。
3.2 运用虚拟局域网络交换技术
网络交换机上不同的虚拟局域网交换技术的发展，也加快了新的交换技术的应用速度。通过将企业网络划分为虚拟网络的特殊网段，可以强化网络管理和网络安全，控制不必要的数据流失。在共享的局域网络中，一个物理网段便是一个控制域。在交换网络中，控制域可以是某一组可供任意选定的虚拟网段。这样一来，电信计算机网络中虚拟网络工作组的区别就可以突破共享网络中的地理位置的束缚与限制，完完全全可以依据该部分的管理功能来划分。这种基于工作流划分的收效颇高的分组模式，最大程度上提高了网络规划重组的虚拟网络管理功能。
3.3 进行信息加密策略
信息加密为的是保护电信计算机网络内部数据、控制信息、文件口令等重要信息。电信计算机网络加密往往使用以下几种方法：节点加密法、端点加密法、链路加密法。信息加密是保障电信计算机机密性最为行之有效的办法。
电信内部员工的安全意识决定了电信计算机网络系统的安全性。加强应对网络安全的组织领导是必要手段。建议企业内部决策人员分批建立电信计算机网络安全防范领导小组，组长职务可以由企业主管领导担当，同时制定行之有效的电信计算机系统安全管理办法，定期对网络安全项目逐一排查，通过扫描系统安全、封堵系统漏洞、分析日志几个方面加强网络系统的安全性，做到有问题在第一时间进行处理。
3.4 增强防护意识
企业内部网络管理员对于服务器、路由器、主干交换器这样重要的设备要进行集中管理，定期查看安全设置参数、防火墙访问日志，以便于及时发现问题，排除隐患。利用先进的安全漏洞扫描技术可以使网络管理员及时了解网络运行和安全配置相关的应用服务，提前做好防御准备，弥补安全漏洞。此外，网管人员应有效管理系统用户密码与口令，杜绝账号不设密码的现象发生。做好网络安全宣传，定期对相关人员进行计算机网络知识培训，增强管理员的安全意识与技术水平。
4 结束语
对于网络硬件自身的安全隐患、企业网络中操作系统以及应用软件携带的漏洞缺陷、传播速度极快的计算机恶意程序与种类繁多的电脑病毒，企业网络工程师要有强烈的危机防范意识，凭借先进的防火墙技术、病毒防护技术、入侵检测技术等重要手段对于电信计算机网络安全进行有效管理，保障企业网络安全运行。
网络安全管理规划篇（2）
二、通信网络与信息安全息息相关
电力企业信息安全与通信网路的安全息息相关，也是国家信息安全的重要组成部分。在电力工业信息化进程中，通信网络承担着三种角色：
1．信息通信网络公共平台提供者，对不同性质的计算机应用系统可以提供不同的网络服务质量和优先等级。
2．与业务管理有关的计算机应用系统的建设、管理和使用者，其中的计算机应用系统包括通信监控与网管系统、网络规划与企业管理系统和客户服务系统等。
3．与通信技术相关的信息资源的开发、维护和使用者。
因此，通信网络承载着电力企业生产、运行、管理、经营业务系统，内联着电力调度数据网络，对外与Internet连接，它的安全是电力企业信息安全的第一道技术防线，电力企业信息安全直接关系着电力企业的运行与管理，也直接或间接地影响着电力生产控制系统的安全。电网企业应全面开展绿色通信网络安全防护体系建设，统筹部署等级保护、风险评估和灾难备份工作；着力提升通信网络安全保障水平和应对突发事件的能力；要通过通信网络与信息安全管理能力的增强，更好地为电网企业的发展提供有力的技术支撑，为促进社会和谐与稳定做出积极的贡献。
三、新形势下的绿色电力通信网络
目前，大部分企业部门间依靠普通的网络来完成信息传输，虽然也具有一定的防护措施和技术，但还是容易被窃取信息。这是由以下三个方面原因共同决定的：
1．计算机系统及网络固有的开放性、共享性等特点；
2．通信系统大量使用商用软件，其源代码、源程序完全或部分公开化，使企业存在安全问题；
3．计算机病毒的层出不穷及其大范围的恶意传播。
这三方面原因都对当今企业和社会网络通信安全产生不可估量的威胁。由于当今通信网络功能越来越强大，我们采取何种有效措施，最大限度地化解这种潜在危险，把网络风险降到最低限度是电力企业需要面对的重大问题。
在电力企业发展的新形势下，构建绿色通信网络成为解决电力企业信息安全的重要手段。绿色通信网络构建主要包括，一方面要建立健全企业的安全机制，强化安全管理；另一方面，技术创新也是当务之急。
在技术层方面，首先是建立一个层次化的安全管控体系。为了从技术上提高通信网络的安全性，电力企业应整合现有资源，提高企业通信网络的预防水平、网络的修复能力和备份能力。具体内容包括：网络安全漏洞的自动发现与治愈、全网联动的事件监控和分析、网络安全配置的集中化和管控、安全态势的综合分析以及高效运作网络安全管理等方面。这是一个涉及体系架构设计、资源配置和局部解决方案在内的系统解决方案，需要建立相应的安全技术体系；其次是对电力企业的IP承载网进行安全的设计和优化，然后通过安全管理中心的建设来完善绿色通信网络的安全能力。
在管理层方面，针对计算机系统及网络固有的开放性、易损性等特点，我们应加强网络管理人员的安全观念和技术水平，将固有条件下存在的安全隐患降到最低。在通信网络管理和使用中，要大力加强管理人员的安全保密意识。在管理层面上主要包括安全组织的建设和人员的保障，各种安全策略制度和流程的配套建设，以及完善安全评估、应急响应等安全保障机制。其中在应急响应方面，需要建立健全信息安全应急处理的协调机制，进一步完善各类突发事件的应急预案，健全应急指挥体系，落实应急队伍和保障条件。尤其是高度重视基础信息网络，包括电信网络和重要信息系统的应急处理工作和备份建设，充分做到了事件有预案、处置有流程、应急有措施，最大限度地化解信息安全风险。
四、绿色通信网络规划助力电力企业信息化安全
规划绿色通信网络是电力企业通信建设的基础和安全保障，具有十分重要的作用。绿色电力通信网络的规划除了要遵从电力系统的有关规定之外，还必须遵循通信专业规划的技术方法。因此，绿色通信网络应该包括传送网络层和业务网络层等，而电力企业中绿色通信网络的规划和构建大致包括以下三个步骤：
第一步：业务网络规划。业务网络规划主要是对提供不同信息服务的，包括数据网、计算机网和移动通信网等类型丰富的网络进行规划，它与具体的业务有关。在电力企业中，业务网络规划尤为重要，而如何构建绿色移动通信网络也是企业发展的重中之重。电力企业在原有业务系统的基础上，构建网络安全体系，通过宣传和培训等手段，对网络管理人员进行安全操作和管理知识的培训，提高各业务系统的安全意识，使各业务系统能够正常稳定的运行。
第二步：传送网络规划。传送网络规划是为业务网络提供支撑的涵盖交换机、服务器、数据传输的无线和移动网络等进行规划。在“十二五”规划中强调了电力企业信息系统的安全管理和网络安全传输问题，其中电力企业信息系统的网络安全更是被提上日程，如何更好的规范和规划传输网络层是我们研究的重点问题之一。按照信息系统网络数据传输过程中安全性和保密性的要求，完善监控设施做到实时监控，并确保管理人员不将保密文件传到外网，不能利用内网机器上外网进行查资料等操作，确保信息系统在数据传输过程中的安全性。
第三步：基础设施规划。基础设施规划主要是对信息系统中计算机、服务器等硬件基础设施进行规划管理，而这部分是保障信息系统正常运行的基础。在电力企业中，服务器的承载量是相当大的，在信息传输的过程中数据的提取和录入也是呈倍增长的，只有实时监控路由器的异常情况，定期更新路由器设备，完善基础设施，才能保证整个系统和网络的稳定性。
网络安全管理规划篇（3）
台站设置中心机房作为局域网的主节点和核心交换区，其他办公地点和机房作为分支节点。
主节点负责本节点内的数据交换和路由，也要负责分支节点之间的数据交换和路由。各分支节点的网络设备只负责分支内的数据交换。
根据无线局全局业务需求，无线局局域网需要支持虚拟网络的划分、针对IP地址实施的访问控制列表等安全要求。
台站局域网IP规划应考虑的问题
台站局域网建设都或多或少存在网络安全、地域限制、网络扩容、网络负荷等问题，如何确定一个有效的网络结构是网络成功的关键所在。
在建设网络的过程中，一些网络的IP地址和虚拟网(VLAN)规划较简单，没有认真仔细去研究、探讨一个科学合理的规划方案，没有去进一步的优化，造成网络总体性能得不到改善，却费很大的精力在硬件上找故障，忽略了影响网络的“软”因素。实际上分配网络IP地址是网络规划、建设中最困难的问题之一。糟糕的地址分配几乎可以导致所有大规模网络的崩溃，因为每次网络拓朴结构改变所需工作量以及将此种改变传输给网络的路径数量直接制约了路由的稳定性。相反，好的IP地址分配和VLAN划分可以加强网络安全，可以取消一定的物理限制，灵活管理，易于控制广播和分布通信量，减轻网络负荷，改善网络总体性能。因此，IP地址和虚拟网(VLAN)规划是我们网络建设中十分关键、必须重视的工作，有必要对IP地址和虚拟网(VLAN)进行必要的研究。
IP 地址规划时往往考虑网络管理，一般将网络划分多个子网。因此，在进行网络IP规划和分配时首先确定子网段划分，然后确定子网掩码、网关。
①IP地址规划策略有:按行政划分、按地域划分、按拓朴结构划分。在具体划分时，我们必须考虑三种策略。
一般是在地域和拓朴结构方面人手，并以单位或部门的业务性质、需求和规模考虑，可以将工作性质、情况相似或紧密联系的部门划分在一个子网，其大小与该单位或部门使用计算机的规模有关。考虑网络的安全、管理等因素常常将网络划分一个或多个VLAN，当然要求交换机等设备支持VLAN，如果将有关设备划到一个或多个虚拟网内，并进行安全设置，将极大的保证网络的安全和可管理性。
②子网掩码(Subnet Mask) ：子网掩码实际是设计一个IP地址来确定子网及其大小。
③网关(WinGate) 传统的网关是指不同协议在网络间组织传输的一个系统，现在指相同的路由设备。不同的子网或虚拟网之间数据交换需要通过网关来指定路由，该路由常在路由器或带路由功能的交换机上的路由表中，保证了网络或子网相互通信，可设定一个IP地址来标识特定的网关。
IP地址和VLAN规划
台站局域网应用实例
根据IP地址和VLAN的规划原理，我们对台站局域网具体进行了IP地址和VLAN规划及其分配。在规划中我们强调网络总体性能、稳定性、易管理性。
首先，要绘制一张网络图，它体现网络拓朴结构情况，包含连接不同位置的各种网络设备:服务器、路由器、交换机、重要的计算机等及其设备之间的连接结构；然后，根据实际情况划分VLAN，要用相应的网络地址标识各子网；最后，进行各VLAN的IP地址分配。另外，还要考虑各VLAN及整个网络均要保留一定的IP地址以供扩展。
台站局域网可以分为办公网和技术网2个部分。在台站核心交换区部署台站的广域网设备、办公网/技术网核心交换机以及技术网防火墙等核心设备。
网络整体构思：台站网络为星型拓朴结构的全交换式以太网，网络中心与各建筑楼光纤相连接。中心路由交换机华为S6503、3552F，都具有支持VLAN Trunk的第三层交换和强有力VLAN功能;接入交换机华为S3026C运行在二层模式下，完全支持VLAN和VLAN Trunk，所有三层交换在核心交换机上进行；路由器与S6503相连作为边缘路由而连接。
台站网络的拓扑结构图如下：
台站局域网按照统一IP地址管理规则进行IP地址管理和分配，遵循IP地址编址的基本原则：唯一性、连续性，可扩充性和可管理性。
根据台站实际业务状况，网络系统VLAN的划分取决于应用系统和各机关或部门的职责分工。根据目前的网络状况并考虑到将来的扩展，设计VLAN划分方案如下：
设计OA网地址段和VLAN共计255个，使用10.1.x.0/24-10.254.x.0/24网段（根据局广域网规划， X为本台区域号）。各项业务VLAN编号使用1001-1254，部署在办公网核心交换机上。
OA网IP地址规划如下表所示：
设计技术网地址段和VLAN共计255个，使用172.1.x.0/24-172.254.x.0/24网段（根据局广域网规划， X为本台区域号），各项业务VLAN编号使用1001-1254，部署在技术网核心交换机上。
技术网IP地址规划如下表所示：
①IP地址和VLAN划分按照网络拓扑图和实际情况，分别把OA网和技术网划分若干VLAN(如本页上表所示)，在VLAN划分时可将网络设备如服务器、交换机等划分成特定的设备VLAN，并进行诸如限制TELNET访问等安全策略配置，能有力的保证网络的安全。我们按照设备放置的不同位置灵活配置跨交换机S3026的VLAN1200，增强了网络配置的灵活性和管理性。按目前和近期发展该VLAN已经够用。
②各VLAN 之间虽不能直接通信，但我们充分利用支持VLAN Trunk的第三层路由交换机S6503（OA网）、S3552F（技术网）和支持VLAN的第二层交换机S3026C，实现VLAN之间通信，节约投资，提高了网络配置的灵活性。
③设备IP地址分配对网络设备的安全、灵活配置和管理是十分重要的，在OA网VLAN2中进行路由设备IP地址的分配子网掩码为30bit，容纳主机2个，相对于路由器的串口(SERIAL)IP 地址一般要与相应广域网的路由器的串口IP地址在同一个VLAN中。
④实验和运行
网络安全管理规划篇（4）
面对全球市场化的挑战，企业要实现跨地区、跨行业、跨国经营的战略目标，要把工作重点转向技术创新、管理创新和制度创新上来，信息化是必然的选择。油田的数字化建设为油田的生产经营业务提供安全、稳定、高效、可靠的网络服务目标，把工作重心转移到确保“数字化管理”的网络需要上来，紧紧围绕中国石油规划的计算机局域网改进项目实施，主要从计算机主干网络、网络安全体系、网络数字化管理等方面，提供了强有力的通信信息服务保障。油田的数字化建设对计算机网络的安全性提出了更高的要求。本文分析油田网络安全体系和网络管理。
一、网络系统架构
遵循中国石油局域网建设和运维规范，结合各地油田实际，科学规划，从网络架构、设备配置、系统承载能力、网络带宽等全面构架网络。
网络架构设计。按照核心层、汇聚层、接入层三层架构的设计原则，在主要油气区设置网络汇聚节点，提高网络覆盖面，满足油气生产需要。
网络拓扑结构采用双星型结构。自有电路与社会电路资源结合使用，在链路层面提高了油气区网络的可靠性和安全性。对于主要油气区域的汇聚节点，采用网状组网方式，增加到其他汇聚节点的千兆级电路，提高网络冗余度。
设备配置。主干节点设备采用冗余配置。西安网络核心、各网络汇聚节点及重要三级节点的路由器、交换机，采用双设备冗余配置。用设备与备份设备双机模式工作，在系统或者硬件故障时候应用自动切换，在硬件层面提高主干网络的安全性、可靠性。
网络带宽。油田的数字化管理全面展开，计算机网络的带宽需要按照业务需求进行规划。将网络业务分为生产、办公、住宅三类，逐一预测带宽。将主干网络承载的主要业务生产数据按照其业务层级.从井站、作业区、厂部到公司，逐级分解，明确了主干网络的带宽需求，初步确定了网络核心与各汇聚节点之间采用双2.5Gbps链路互联，三级节点至网络汇聚节点采用1―2个1000Mbps-ff联，核心网络采用双万兆互联的链路方案。为确保链路的可靠性，主要节点之间采用双链路互联。
二、网络安全体系的规划和构建
如何规划和设计好网络安全体系，是油田数字化管理基础网络建设的重中之重，也是支持各种信息化应用系统运行的关键所在。按照中国石油的统一规划，各油田计算机网络，对上，与中国石油总部内部网络互联，对外，可以就地通过电信运营商接入Internet。这样就可以从结构上将网络安全分为内部安全、外部安全进行考虑。油田在打造畅通、可靠的油田计算机主干网络的同时，同步做好网络安全工作，从网络的边界层、核心层、接入层及安全体系等方面进行统筹规划，已初步形成了边界严防护、核心重监控、桌面勤补漏、全网建体系的网络安全管理理念。网络安全性得到加强，非正常应用流量减少90%。在边界层，采用防火墙及IPS技术，实现对来自外网的安全第一级防护；在网络核心层，首次在企业网应用了流量清洗技术，不仅实现了外网第二级安全防护，还实现企业内部各个重要业务及用户之间的流量监测及攻击性数据清洗；在接入层，采用漏洞扫描系统，不定期对敏感业务系统进行扫描和加固，及时发现安全隐患并予以消除；在主干网方面，以建立网络安全体系为核心，加强网络安全管理，初步建立起了主干网的安全评估体系。
1、互联网网络安全。在与互联网的接入部分，按照安全区、信息交换区、互联网接入区三个安全区进行建设，规划两台防火墙，考虑到出口网络万兆升级以及防火墙处理能力，同时为了降低出口网络复杂度，选择自带IPS功能的防火墙，通过防火墙设备完成出口网络
的安全防护和入侵防护功能。防火墙选型上既考虑国内产品自主知识产权的优势、又兼顾国外产品高性能及稳定性好的特点。
2、内网安全。通过对目前业界各类安全技术的跟踪和研究，重点按照搀D层做清洗、桌面做漏洞扫描及加固、全网进行安全体系建设三方面强化内部网络安全建设。核心网络流量监控及清洗。一方面，通过建立流量模型，保障主要业务。在网络核心。采用相对串接、镜像等方式先进的分光技术，部署旁路流量分析监管设备，通过分析网络核心、互联网出口等流量情况，提炼重要业务的特性，建立全网主要业务流量模型，为网络规划建设提供依据。对于P2P等对于网络带宽消耗较大的业务，设定阀值及流量管理规则，使P2P等业务对用户网络访问影响降到最低。另―方面，通过对异常流量的清洗，保障核心业务及网络的安全。针对目前在网络中频繁发生的病毒攻击等行为，选择旁路部署的网络异常流量清洗设备，通过采用策略路由和BGP引流方式实现流量监控与异常流量的清洗，使得网络安全管理变被动为主动、由事后分析到事前防范、由未知到可视。据统计。2010年3月份就成功消除安全事件1600多起，较大提高了网络的稳定性和可靠性。各类安全策略及规则库的及时更新升级，也使得系统能应对各类新的攻击。
3、安全评估建设及桌面漏洞扫描。在网络核心部署漏洞扫描系统，不定期对相关业务网络进行扫描，发现漏洞，及时进行系统加固，减少安全事件的发生，提高网络稳定性。在此基础上。与国家有安全资质的第三方公司合作，开展安全体系建设，逐步建立较为完善的网络安全管理体系。
三、网络管理
经过计算机网络的大规模建设发展，网络运维工作量规模成倍增长，而网络运维人员没有增加，如何高效运维已经成了追在眉睫的问题，通过不断的调研和测试，我们认为目前的网络厂家的专业化网管软件、第三方网管软件、国内的网络软件之中，第三方的较为实用，纵观CA、HP等厂家的系统，Solarwinds成为目前比较适合单位实际，能快速高效部署和运维的一套经济实用的系统。主要实现了以下几个方面的开发和应用：实现对全网的网络设备包括路由器、交换机、防火墙、服务器等的实时监测，涉及CISCO、中兴、H3C、华赛、Junipier、飞塔等多个厂家的产品，监测参数包括CPU、内存、带宽、会话数等；实现对各类故障的实时告警和管理，以短信等方式及时提醒运维人员；实时展现全网拓扑结构，以图形化界面友好展示网络畅通情况；实现对全网设备的配置自动备份，能进行配置比对，方便技术人员分析设备运行情况；量化统计分析网络及设备的可用性等指标；灵活定制各类报表，方便决策分析和统计。通过自定义方式建立起来的资源管理，极大方便了网络基础数据和资料的管理。
四、结论
在近一年多的实际运维中，主干网络未出现中断、出口通畅，网络可用性达到l00%。网络整体服务能力的各项指标明显提高：网页平均打开时间由15ms降低到7ms；主干带宽利用率保持
参考文献
[1] 程泽兵. 构建油田网络安全防护体系的研究[J]. 中国科技信息. 2005（19）
网络安全管理规划篇（5）
二、通信网络与信息安全息息相关
电力企业信息安全与通信网路的安全息息相关,也是国家信息安全的重要组成部分。在电力工业信息化进程中,通信网络承担着三种角色:
1.信息通信网络公共平台提供者,对不同性质的计算机应用系统可以提供不同的网络服务质量和优先等级。
2.与业务管理有关的计算机应用系统的建设、管理和使用者,其中的计算机应用系统包括通信监控与网管系统、网络规划与企业管理系统和客户服务系统等。
3.与通信技术相关的信息资源的开发、维护和使用者。
因此,通信网络承载着电力企业生产、运行、管理、经营业务系统,内联着电力调度数据网络,对外与Internet连接,它的安全是电力企业信息安全的第一道技术防线,电力企业信息安全直接关系着电力企业的运行与管理,也直接或间接地影响着电力生产控制系统的安全。电网企业应全面开展绿色通信网络安全防护体系建设,统筹部署等级保护、风险评估和灾难备份工作;着力提升通信网络安全保障水平和应对突发事件的能力;要通过通信网络与信息安全管理能力的增强,更好地为电网企业的发展提供有力的技术支撑,为促进社会和谐与稳定做出积极的贡献。
三、新形势下的绿色电力通信网络
目前,大部分企业部门间依靠普通的网络来完成信息传输,虽然也具有一定的防护措施和技术,但还是容易被窃取信息。这是由以下三个方面原因共同决定的:
1.计算机系统及网络固有的开放性、共享性等特点;
2.通信系统大量使用商用软件,其源代码、源程序完全或部分公开化,使企业存在安全问题;
3.计算机病毒的层出不穷及其大范围的恶意传播。
这三方面原因都对当今企业和社会网络通信安全产生不可估量的威胁。由于当今通信网络功能越来越强大,我们采取何种有效措施,最大限度地化解这种潜在危险,把网络风险降到最低限度是电力企业需要面对的重大问题。
在电力企业发展的新形势下,构建绿色通信网络成为解决电力企业信息安全的重要手段。绿色通信网络构建主要包括,一方面要建立健全企业的安全机制,强化安全管理;另一方面,技术创新也是当务之急。
在技术层方面,首先是建立一个层次化的安全管控体系。为了从技术上提高通信网络的安全性,电力企业应整合现有资源,提高企业通信网络的预防水平、网络的修复能力和备份能力。具体内容包括:网络安全漏洞的自动发现与治愈、全网联动的事件监控和分析、网络安全配置的集中化和管控、安全态势的综合分析以及高效运作网络安全管理等方面。这是一个涉及体系架构设计、资源配置和局部解决方案在内的系统解决方案,需要建立相应的安全技术体系;其次是对电力企业的IP承载网进行安全的设计和优化,然后通过安全管理中心的建设来完善绿色通信网络的安全能力。
在管理层方面,针对计算机系统及网络固有的开放性、易损性等特点,我们应加强网络管理人员的安全观念和技术水平,将固有条件下存在的安全隐患降到最低。在通信网络管理和使用中,要大力加强管理人员的安全保密意识。在管理层面上主要包括安全组织的建设和人员的保障,各种安全策略制度和流程的配套建设,以及完善安全评估、应急响应等安全保障机制。其中在应急响应方面,需要建立健全信息安全应急处理的协调机制,进一步完善各类突发事件的应急预案,健全应急指挥体系,落实应急队伍和保障条件。尤其是高度重视基础信息网络,包括电信网络和重要信息系统的应急处理工作和备份建设,充分做到了事件有预案、处置有流程、应急有措施,最大限度地化解信息安全风险。
四、绿色通信网络规划助力电力企业信息化安全
规划绿色通信网络是电力企业通信建设的基础和安全保障,具有十分重要的作用。绿色电力通信网络的规划除了要遵从电力系统的有关规定之外,还必须遵循通信专业规划的技术方法。因此,绿色通信网络应该包括传送网络层和业务网络层等,而电力企业中绿色通信网络的规划和构建大致包括以下三个步骤:
第一步:业务网络规划。业务网络规划主要是对提供不同信息服务的,包括数据网、计算机网和移动通信网等类型丰富的网络进行规划,它与具体的业务有关。在电力企业中,业务网络规划尤为重要,而如何构建绿色移动通信网络也是企业发展的重中之重。电力企业在原有业务系统的基础上,构建网络安全体系,通过宣传和培训等手段,对网络管理人员进行安全操作和管理知识的培训,提高各业务系统的安全意识,使各业务系统能够正常稳定的运行。
第二步:传送网络规划。传送网络规划是为业务网络提供支撑的涵盖交换机、服务器、数据传输的无线和移动网络等进行规划。在“十二五”规划中强调了电力企业信息系统的安全管理和网络安全传输问题,其中电力企业信息系统的网络安全更是被提上日程,如何更好的规范和规划传输网络层是我们研究的重点问题之一。按照信息系统网络数据传输过程中安全性和保密性的要求,完善监控设施做到实时监控,并确保管理人员不将保密文件传到外网,不能利用内网机器上外网进行查资料等操作,确保信息系统在数据传输过程中的安全性。
第三步:基础设施规划。基础设施规划主要是对信息系统中计算机、服务器等硬件基础设施进行规划管理,而这部分是保障信息系统正常运行的基础。在电力企业中,服务器的承载量是相当大的,在信息传输的过程中数据的提取和录入也是呈倍增长的,只有实时监控路由器的异常情况,定期更新路由器设备,完善基础设施,才能保证整个系统和网络的稳定性。
网络安全管理规划篇（6）
DOI：10.3969/j.issn.1008-0821.2014.02.016
〔中图分类号〕G250.7 〔文献标识码〕A 〔文章编号〕1008-0821（2014）02-0076-06
借助于网络高新技术的发展，新的信息资源形态和使用方式，给图书馆读者带来便利的同时也必然存在许多隐患。计算机网络分布的广域性、开放性和信息资源的共享性，为信息的窃取、盗用、非法的增删、修改及种种扰乱破坏，提供了极为方便且难以控制的可乘之机，图书馆信息服务的权益及监督得不到有效的保障；同时，由于计算机网络的脆弱性，图书馆的网络系统本身经常处于黑客的攻击之中，一旦图书馆网络出现故障，轻则信息服务得不到有效保障、数据丢失，重则整个图书馆处于瘫痪境地。因此，在信息化时代，图书馆信息安全显得尤为重要，构建图书馆网络信息安全管理模型来保证网络信息安全，使其高效运行是图书馆现代化建设中一项迫在眉睫的重要任务。
1 信息安全管理概述信息安全管理，是指实施和维护信息安全的原则、规划、标准和内容的综合，包括信息安全策略、信息风险评估、信息技术控制和信息安全意识等。这些内容在一个信息安全治理框架下相互协调、相互说明，从而为组织提供全面的信息安全规划。它结合技术、程序和人员，以培养信息安全文化为目的，最终实现信息资产风险的最小化。为对信息安全内容有一个全面深入的了解，本文从信息安全原则、信息安全规划、信息安全标准和信息安全内容4个方面进行详细的论述，从而为图书馆网络信息安全管理模型的构建提供理论上的指导。
1.1 ISA信息安全原则为保护组织的信息资产免遭威胁，Tudor提出了一个全面灵活的信息安全架构方法（Information Security Architecture，简称ISA），这种方法提出5个关键性的信息安全原则（见表1）[1]。这些原则，可以了解组织工作的风险环境并对其实行评估和控制，从而减少这种风险；强调遵守国家信息安全法规的重要性，确保组织的机密信息受到国家的保护；涵盖信息安全技术与过程，满足组织信息安全的需要。表1 ISA信息安全原则
原 则含义或目标1安全组织和基础设施确定角色、职责和执行赞助。2安全政策、标准和程序制定政策、标准和程序。3安全规划风险管理纳入安全规划。4安全文化意识和培训通过用户培训提高安全意识。建立用户、管理和第三方之间的信任。5监控规范监控内外部的信息安全。
1.2 CMM信息安全规划为给组织提供一整套信息资产免受未经授权的访问、修改或销毁的信息安全整体规划，McCarthy和 Campbell构建了能力成熟度模型（Capability Maturity Model，简称CMM）[2]。该模型包括7个信息安全规划内容（见表2），目标是从战略层面开始并用战略水平去指导技术等方面的工作，在评估当前信息安全风险的基础上构建合适的解决方案以减轻风险，并在实践过程中对各解决方案集成应用与监控。表2 CMM信息安全规划
规 划含义或目标1安全领导安全赞助、安全策略以及投资回报。2安全规划安全规划程序、资源和技能。3安全政策安全政策、标准和程序。4安全管理安全操作、监控和隐私。5用户管理用户安全管理和意识。6信息资产安全应用程序的安全、数据库/元数据的安全、主机安全、内外部网络安全、杀毒及系统开发。7技术保护与持续性物理和环境控制与持续规划控制。
3 PROTECT信息安全标准在Eloff.J.H和Eloff.M所主持研究的“PROTECT”项目，是政策、风险、目标、技术、执行、合规性和团队的英文首字母的缩写，对信息安全管理及标准进行了综合的介绍[3]。“PROTECT”项目涉及各种集成控制的方法，在确保组织的有效性和效率的基础上尽量减少风险，目的是全方面解决信息安全的问题。为实现项目目标，该项目提出了7个信息安全标准（见表3），确保信息安全规划从技术术和人文角度得到有效的实施和管理。
1.4 ISO/IEC 17799和ISO/IEC 27001信息安全内容国家标准组织（ISO）指出信息安全技术是实现信息安全管理的关键点，通过技术对信息系统进行安全性控制，是信息安全管理的重要内容。为了更好地实现信息安全控制，ISO提出了11个具体的信息安全控制内容（见表4），这些内容已成为国际上通用的信息安全内容的重要标准，即通常所说的ISO/IEC17799[4]。而ISO/IEC 27001是ISO/IEC 17799的第二部分，提出了包括操作、监控、审查、维护和提高等一系列持续改进信息安全管理系统的方法与过程[5]。表4 2 图书馆网络信息安全内容的选取与管理模型的构建 前文所述的信息安全管理的原则、规划、标准及内容是基于整个信息社会行业而言的，具有一定概括性且4个方面之间存在着重复性，为了构建出更具针对性的图书馆网络信息安全管理模型，笔者根据图书馆的特性对信息安全管理的原则、规划、标准和内容进行选取与整合，构建出符合图书馆应用要求的信息安全管理模型。
2.1 图书馆网络信息安全内容的选取图书馆网络信息是对外开放并以支持教学和科研为目的。在这种情况下，网络信息安全是指读者未经授权无权使用、移动、修改和破坏图书馆信息。在对图书馆信息采取安全保护措施时必须确保其具有以下属性：①保密性：确保图书馆隐私信息的安全。此类信息必须严格控制读者访问量，只能授权一定级别的读者访问；同时，有权限访问图书馆隐私信息的读者也不能向公众透露相关的隐私信息。②完整性：确保图书馆信息是准确、完整并具有持久性。因此，图书馆信息安全管理要确保图书馆信息内容不是残缺不全的、失踪的、腐朽的、任意放置的，外借、故意或意外变化不会边缘化，在盗窃或破坏中具有安全性。③可用性：读者在授权时间内能无限制地访问并获取图书馆信息。图书馆必须有一个安全稳定的信息管理（网络）系统来支撑图书馆的运行，确保图书馆信息能及时传递而不会被延误。在维护图书馆信息安全的同时确保图书馆信息的保密性、完整性及可用性不缺失，这就要求在构建图书馆网络信息安全管理模型时对信息安全内容的确定带有一定的甄别性，不能将信息行业安全管理的所有原则、规划、标准及内容全部应用于图书馆安全管理。根据图书馆信息的特性，本文从管理、运行与操作、人员、建筑与技术及安全文化5个维度对图书馆信息安全的内容进行了选取，这5个维度的具体内容在图书馆网络信息安全管理模型中将会详细论述。
2.2 图书馆网络信息安全管理模型的构建图书馆网络信息安全管理目标是为图书馆网络信息安全保护提供整体性方案，结合管理、运作流程、人文、建筑与文化氛围来保证图书馆信息安全管理达到一个合理水平，从而保证图书馆信息风险最小化。为实现这一目标，Abashe Atiku Maidabino和Zainab在满足图书馆信息的特性上，将Da Veiga和Eloff构建的“房屋模型”[6]加以简化与融合，构建出图书馆网络信息安全管理模型[7]，见图1。该模型将所有信息安全因素集合，确保图书馆信息能够得到充分保护，同时为图书馆提供一个全面的方法和工具来实施和评估信息安全管理。模型内容主要集中于5个维度：（1）管理维度：正确的领导，政策与程序到位；（2）流程和操作维度：包括实施过程、政策；（3）人员维度：读者/馆员信息安全意识和图书馆信息安全项目培训；（4）建筑和技术维度：支持馆藏信息安全项目；（5）安全文化维度：将图书馆馆藏信息安全理念有意识地植入馆员日常工作中[8]。图1 图书馆网络信息安全管理模型
管理维度是指一组角色的规定，信息安全政策制定与管理由负责制定目标和政策的安全管理团队成员行使，从而确保目标和政策的实现，信息风险的评估与管理。图书馆的安全管理团队由图书馆各部门高级管理人员和安全部门的人员组成。这些成员应具备必要的信息应用和安全管理方面的经验和知识，这些成员被授权管理时能够遵守信息安全政策。信息安全管理责任是模型中管理维度的重要部分，这就要求图书馆应规划与制定精确的信息安全管理策略，明确风险管理的目标和方向。信息安全风险评估在图书馆各级安全规划风险设置中处于优先级别。馆藏信息定期风险评估规则的编制涉及图书馆资产类型、收藏价值、识别可能出现风险的威胁、漏洞和成本分析等详细的情况。信息安全漏洞可以通过会议、问卷、观察和报告来确定。通过信息安全漏洞的监测和风险评估过程的完善可以降低图书馆信息安全的风险，并能缓解图书馆的一些过度的承诺。管理维度强调要为图书馆信息管理、记录、维护、审查、更新风险管理政策和程序编写报告，通过快讯、交互式网页及其他内部刊物在馆员与读者之间广泛宣传馆藏信息安全管理的必要性，将信息安全意识植入馆员与读者脑袋。这一维度有利于为图书馆提供良好的馆藏安全管理信息。流程与操作维度是指信息安全管理团队为图书馆各相关部门制定信息安全管理运行方案的过程。分别是：（a）采访部：参与接收，标记并建立可用于识别丢失、错放地方和费用的库存清单，以便于图书馆备份和恢复；（b）流通部：创建手工或计算机系统对图书馆纸质信息进行丢失、被盗、错位、滥用、损坏等方面进行盘点，通过访问控制和信息的记录与跟踪，确保图书馆信息安全系统的修理与维护；（c）编目、技术部：通过图书馆OPAC系统对馆藏信息集合进行处理，应用图书馆识别标记建立和验证馆藏信息所有权，标识未经处理的信息并进行访问控制；（d）特藏部：对有价值的馆藏信息载体进行保护与保存，授权访问与监控。人员维度是指读者和执行安全管理政策与程序的馆员的安全意识。它规定图书馆需要阐明信息安全管理人员的角色和责任，对馆员进行有效的安全意识培训，帮助他们获得处理安全事件、准备可靠实用安全报告的知识。建筑与技术维度涉及信息安全管理所需要的建筑与技术氛围。建筑氛围是指信息安全管理措施应与图书馆建筑的物理结构和藏书空间融为一体：控制图书馆出入口；需要ID卡身份识别进入图书馆特别是特别馆藏区域；制定保安巡逻图书馆的时间表。技术氛围包括技术实践和嵌入到馆藏安全应用规划中的各种程序。它强调使用电子安全系统等技术设备来处理馆藏应用过程，控制安全漏洞，并在图书馆出入口点安装安全系统。这就意味着图书馆需要安装电子反盗窃设备、可视化相机、烟感探测及出入口、阅览区报警系统等安全设备。这将有助于防止图书馆藏书的丢失和对阅读区、参考咨询区及书库进行可行性监控和读者流量的检测。安全文化维度作为图书馆网络信息安全管理模型构成基础的安全文化，包括读者和馆员对图书馆信息重要性的态度、信息保护存在的安全漏洞、信息相关事件的意识、阻碍或限制信息安全管理系统有效性的意识。意识是一个看不见但可以通过行为来证明的元素，如（a）图书馆馆员的馆藏信息安全政策和管理过程的认识水平；（b）馆员对安全政策和程序重要性的态度；（c）安全漏洞和安全验收责任的意识[9]。图书馆网络信息安全管理模型中的安全文化是一种安全责任相互共享的文化，安全人员能够相互提供信息和工具来应对各种安全情况。这种态度与意识能够确保图书馆信息安全治理、管理和运行的有效性。图书馆网络信息安全管理系统在权重一致的5个维度的相互作用下，在馆藏信息得到安全管理的同时还能确保其在保密性、完整性和可用性上维持在一个合理的水平。
3 图书馆网络信息安全管理模型应用方案目前，在图书馆的计算机网络上有馆藏书目信息、读者信息、各种电子文献数据库、光盘数据库检索系统、图书管理系统、特藏数据库等内容[10]。这些电子资源信息如果受到破坏，那么损失将会非常惨重，很可能会造成整个图书馆系统瘫痪。就目前的状况来看，图书馆所面临的网络信息安全问题主要有黑客攻击、计算机病毒、网络物理设备安全隐患、网络设备配置安全与人员造成的安全隐患等方面。为了预防与应对上述隐患对图书馆可能会带来的网络信息安全故障，图书馆应按照网络信息管理模型5维度的要求，建立起科学、规范、有效的网络信息安全管理流程（见图2），将网络信息安全隐患处理于萌芽之中。图2 图书馆网络信息安全管理流程
应用图书馆网络信息安全模型处理网络信息安全故障，其管理流程可分为3个阶段：故障初排阶段、故障处理阶段与评估阶段。在故障初排阶段，图书馆工作人员或读者在应用图书馆的过程中，如果发现信息安全故障，应及时进行隐患初排并上报技术部，由技术部工作人员对该事件进行了解，并请求技术部主管上报给以馆领导为主的信息安全管理团队；在故障处理阶段，技术部工作人员根据事件了解进行安全故障检查并调查影响范围，从而形成第一次进程报告，并将其上报给馆领导，由馆领导进行资源调度后，技术部应急抢修；技术部附上应急抢修进程报告上报给馆领导形成第二次进程报告，然后结案、审核并归档；在评估阶段，各部门对此次信息安全故障事件进行评估总结。图书馆网络信息安全管理模型是以人为核心的信息安全保障体系，它强调的不是技术问题，而是管理的问题。图书馆网络信息安全在以馆领导为核心的安全管理团队的领导下，在工作人员、读者的共同配合下，依靠科学的管理流程，定能将图书馆网络信息安全管理达到一个全新的层次。
4 结束语构建一个适应计算机网络普遍应用的图书馆网络信息安全管理模型，不仅是适应新形势的需要，也是图书馆信息数字化建设的重要组成部分。随着图书馆社交网络应用的普及，图书馆信息将面临更大的开放性和更多的安全方面的挑战。图书馆网络信息安全管理模型是一个包括技术、管理、人员和安全文化等多个环节整体性很强的体系，不能孤立或静止地看待和解决问题，网络信息安全性的提高依赖于不断的技术进步和应用，依赖于管理的逐步完善和人员素质的全面提升。相关人员应根据网络信息的特点和需求，进行有针对性的系统设计，不断地改进和完善网络技术的安全工作，更好地推动图书馆网络事业健康发展。
参考文献
[1]J.K.Tudor.Information Security Architecture—An integrated approach to security in an organization[M].Boca Raton，FL：Auerbach.
[2]McCarthy M.P，Campbell S.Security Transformation[M].McGraw-Hill：New York.
[3]Eloff J.H，Eloff M.Integrated Information Security Architecture[J].Computer Fraud and Security，2005，（11）：10-16.
[4]ISO/IEC 17799（BS 7799-1）.Information technology，Security techniques[S].Code of practice for information security management，Britain.
[5]ISO/IEC 27001（BS 7799-2）.Information technology，Security techniques[S].Code of practice for information security management，Britain.
[6]A.Da Veiga，J.H.Eloff.An Information Security Governance Framework[J].Information Systems Managenment，2007，（4）：361-372.
[7]Abashe Maidabino，A.N.Zainab.A holistic approach to collection security implementation in university libraries[J].Library Collection，Acquisitions & Technical Services，2012，（36）：107-120.
网络安全管理规划篇（7）
1引言
现今众多学校校园网络，建设水平良莠不齐，差距很大。电子邮件、FTP等服务是每一个校园网都要提供的基本功能，除此之外，很多高校在校园网上建立了办公系统、教务管理系统、教学资源库、电子图书馆系统、期刊论文数据库、校园一卡通系统等。总之，学校的各项工作都离不开校园网，但又缺乏统一的规划。一方面我们看到学校日常工作的信息化水平在不断提高，另一方面我们也应该看到维护校园网络安全的重要性。
2校园网络安全存在的问题
2.1校园网络安全意识薄弱、网络安全管理不科学、管理技术单一。在校园网络上师生安全意识淡薄，管理意识不强、管理制度不完善、管理机构不健全和管理技术不先进等因素，致使计算机容易受到非法的网络攻击和侵害。校园网不同于企业网络，没有很强的营利性，所以受到外部攻击的几率远远小于来自校园内部的攻击。重建设轻管理是各高校校园网建设的通病，只想依靠单一的安全产品来保障校园网的安全，忽略了科学规范的网络管理的作用。安全管理措施的不完善造成了很多问题：IP地址冲突、盗用他人帐号、没有定期更改服务器和口令密码、重要数据没有备份等等。
2.2校园网络规划混乱。网络的发展是在很多问题不断涌现和解决中实现的，校园网的建设也是如此。大部分学校的校园网络在建设时，没有很好地规划，没有考虑到学校长期发展的需要或者说看不到随后出现的网络功能，只是实现了当时的需要，更没有考虑到网络安全问题。最初的校园网是一个开放、无序的状态，不部署防火墙，也不设置入侵检测系统，没有形成有效的安全防范措施。
2.3系统漏洞和病毒入侵。Windows系统是目前校园网中广泛使用的操作系统，而且大多是采用的默认安装，存在很大的安全隐患。另外，操作系统都存在很多已知未知的漏洞，成为病毒攻击的对象。计算机病毒是编制者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码，网络为病毒的传播提供了便利条件。这些利用网络传播的恶性病毒具有很强的破坏性，校园网一旦遭到病毒攻击，造成系统崩溃、运行瘫痪甚至丢失全部文件的严重后果。
2.4部分用户的恶意攻击。由于校园网络及技术具有开放性和公开性等特点，一些用户为了获得某种非法利益，利用现有的网络协议，服务器和操作系统的安全漏洞以及管理上的不完善非法访问信息资源、撰改数据、破坏软件系统。这种人为的恶意攻击不仅来自校园外部网络环境，还来自学校内部校园网，由此引发的网络信息安全隐患往往破坏力强、威胁大、影响广。
2.5不良信息传播。高校教育中鼓钛生运用网络具有一定的优点，同时也可能带来一些不良影响。由于网络系统中存在海量的信息，而信息内容参差不齐，同学们可以通过网络信息的传播提升自身的认知水平，开拓自己的眼界，了解社会；同时也可能从网络系统中受到不良信息的影响，网络信息中的不健康内容不利于学生的身心成长。
3.维护校园网络安全的策略和措施
3.1强化网络安全意识的培养。安全意识是保障网络安全的前提，如果缺乏安全意识，再高级的防护软件都不能确保万无一失。一方面，学校校应该加强网络安全知识宣传，让学生、教职工都重视网络安全的重要性。另一方面，学校也要加强校园网络安全建设、技术人员安全培训、网络安全科学管理，带领广大师生，齐心合力建设一个安全、可信的数字化校园环境，让校园网络高速、健康地发展。
3.2统一规划校园网络，加强安全防御。各校应在规划好学校的长期发展目标下，充分考虑到网络技术的安全行和可扩充性的前提下，规划本校的校园网建设。网络建设规划中要为下一步的网络发展建设预留好空间，对基础网络设备进行科学详细的规划管理。对于已经建成的校园网，如果整体规划杂乱，存在很多的安全隐患问题，学校可以采用VLAN和VPA技术进行有效的改进调整。VLAN全称是虚拟局域网，利用该技术可以将局域网划分为多个逻辑VLAN，从而能有效隔离广播风暴，保证网络的畅通。VPN全称是虚拟专用网，它可以通过特殊的加密通讯协议，实现远程用户与内部网络的安全通讯。
3.3加强病毒防范要及时更新操作系统，安装各种补丁程序和杀毒软件。借助漏洞扫描系统的帮助，及时发现安全隐患并采取有效措施，将病毒攻击系统需要的缺口全部修补牢固。为了保证网络信息安全，杜绝病毒的感染、传播和发作，需要在校园网中部署网络版杀毒软件。在学校网络中心的服务器上安装一个网络版杀毒软件系统中心，在各主机节点安装客户端，进行定时病毒查杀，并及时升级杀毒软件更新病毒库。
3.4配置防火墙技术和架设入侵检测系统。防火墙技术是设置在被保护网络和外界之间的一道屏障，是通过计算机硬件和软件的组合来建立起一个安全网关，从而保护内部网络免受非法用户的入侵，它可以通过鉴别、限制、更改跨越防火墙的数据流，来实现对网络的安全保护。除了使用了防火墙后技术，我们还使用了其他技术来加强安全保护，数据加密技术是保障信息安全的基石。另外，我们还可利用入侵检测技术能在不影响网络性能的情况下对网络进行监听，为网络提供实时的监控，并能对入侵及时采取相应的防护措施。入侵检测系统可以记录和禁止网络活动，可以很好的弥补防火墙的不足，对服务器、计算机客户端所产生的所有网络数据进行全面监测，动态的掌握网络数据活动，检测异常行为并给予及时的响应和处理。其主要的功能是能够寻找安全隐患、提供报警功能，尽最大可能弥补新的安全漏洞并消除潜在安全隐患。
4结束语
综上所诉，我们了解到当前网络安全问题的日益明显化与严重化，也更加明确了如何做才能够保障与提升网络环境的安全性。校园网络安全管理是一项系统性的工作，在这个过程中，除了加大资金、技术和人员投入外，还需要全校师生和网络管理人员提高网络安全意识，从而构建一道严密的网络安全防护网。
网络安全管理规划篇（8）
中图分类号：TP393.07 文献标识码：A 文章编号：1673-8500（2013）02-0090-01
一、网络管理的概念
网络管理：简单的说就是为了保证网络系统能够持续、稳定、安全、可靠和高效地运行、不受外界干扰，对网络系统设施的一系列方法和措施。为此，网络管理的任务就是收集、监控网络中各种设备和设施的工作参数、工作状态信息，显示给管理员并接受处理，从而控制网络中的设备、设施，工作参数和工作状态，以实现对网络的管理。
二、网络安全的定义
1.从本质上来讲，网络安全就是网络上的信息安全。网络安全是指保护网络系统中的软件、硬件及信息资源，使之免受偶然或恶意的破坏篡改和泄露，保证网络系统的正常运行、网络服务不中断。
2.从广义上说，网络安全包括网络硬件资源和信息资源的安全性。硬件资源包括通信线路、通信设备（交换机、路由器等）、主机等，要实现信息快速、安全地交换，一个可靠的物理网络是必不可少的。信息资源包括维持网络服务运行的系统软件和应用软件，以及在网络中存储和传输的用户信息数据等。
三、网络安全规划与设计基本原则
1.网络系统安全规划设计的基本原则
网络安全的实质就是安全立法、安全管理和安全技术的综合实施。这三个层次体现了安全策略的限制、监视和保障职能。根据防范安全攻击的安全需求、需要达到的安全目标、对应安全机制所需的安全服务等因素，参照SSE-CMM（系统安全工程能力成熟模型）和ISO17799（信息安全管理标准）等国际标准，综合考虑可实施性、可管理性、可扩展性、综合完备性、系统均衡性等方面，在网络安全方案整体规划、设计过程中应遵循下列十大原则。
（1）整体性原则；（2）均衡性原则；（3）有效性与实用性原则；（4）等级性原则；（5）易操作性原则；（6）技术与管理相结合原则；（7）统筹规划，分步实施原则；（8）动态化原则；（9）可评价性原则；（10）多重保护原则。
总之，在进行计算机网络工程系统安全规划与设计时，重点是网络安全策略的制定，保证系统的安全性和可用性，同时要考虑系统的扩展和升级能力，并兼顾系统的可管理性等。
2.如何进行网络工程安全规划
网络安全规划与设计是一项非常复杂的系统工程，不单纯是技术性工作，必须统一步骤，精心规划和设计。安全和反安全就像矛盾的两个方面，总是不断攀升，所以网络安全也会随着新技术的产生而不断发展，是未来全世界电子化、信息化所共同面临的问题。一般来说，网络的安全规划设计与实施应考虑下面4个方面的问题。一是确定面临的各种攻击和风险并分析安全需求。二是明确网络系统安全策略。三是建立网络安全模型。四选择并实施安全策略。
四、网络病毒的防治技术
1.网络计算机病毒的特点
网络病毒是利用网络平台作为传播方式的，由此可见，在网络环境下，网络病毒除了具有可传播性、可执行性、破坏性等计算机病毒的共性外，还具有一些新的特点。主要表现如下：
第一，主动通过网络和邮件系统传播。第二，传播速度极快。第三，危害性极大。第四，变种多。第五，难于控制。第六，清除难度大。第七，具有病毒、蠕虫和后门（黑客）程序的功能。
2.网络计算机病毒的破坏行为
网络计算机病毒破坏性极强，常见的破坏性表现如下：
（1）劫持IE浏览器，首页被更改，一些默认项目被修改（例如默认搜索）。
（2）修改Host文件，导致用户不能访问某些网站，或者被引导到“钓鱼网站”上。
（3）添加驱动保护，使用户无法删除某些软件。
（4）修改系统启动项目，使某些恶意软件可以随着系统启动，常被流氓软件和病毒采用。
（5）在用户计算机上开置后门，黑客可以通过此后门远程控制中毒机器，组成僵尸网络，通过对外发动攻击、发送垃圾邮件、点击网络广告等牟利。
（6）采用映像劫持技术，使多种杀毒软件和安全工具无法使用。
（7）记录用户的键盘、鼠标操作，从而可以窃取银行卡、网游密码等各种信息。
（8）记录用户的摄像头操作，可以从远程窥探隐私。
（9）使用户的机器运行变慢，大量消耗系统资源。
3.基于工作站的防治策略
工作站就像是计算机网络的大门，只有把好这道大门，才能有效防止病毒的入侵。基于工作站防治病毒的方法有三种：
（1）软件防治。即定期或不定期地用反病毒软件检测工作站的病毒感染情况。软件防治可以不断提高防治能力，但需要人为地经常去启动防病毒软件，因而不仅给工作人员增加了负担，而且很有可能在病毒发作后才能检测到。
（2）在工作站上插防病毒卡。防病毒卡可以达到实时检测的目的，但防病毒卡的升级不方便，从实际应用的效果看，对工作站的运行速度有一定的影响。
（3）在网络接口卡上安装防病毒芯片。它将工作站存取控制与病毒防护合二为一，可以更加实时有效地保护工作站及通向服务器的桥梁。但这种方法同样也存在芯片上的软件版本升级不便的问题，而且对网络的传输速度也会产生一定的影响。
参考文献：
[1]董伟.计算机病毒分析及防治策略[J].信息与电脑： 理论版.2009，（07）：14-15.
网络安全管理规划篇（9）
检测机构网络安全架构方法及原则
据调研，检测机构往往热衷于引进各类成熟的应用系统来满足日益增长的应用需求，网络安全系统建设也依赖于成熟的商业模型。这样将导致3种局面：一是，系统实际功能与机构的应用需求不匹配，需改进和完善；二是，机构的应用需求不断变化，导致系统功能无法匹配而不断淘汰更新；三是，采用成熟的商业模型，容易遭黑客攻击，系统生命期短，需不断升级换代，造成人财物资源的浪费。因此，我们认为比较可行的方案：一是，从机构的实际应用出发，根据对应用的需求分析和远景展望，统一规划架构；二是，根据实际应用的阶段性需求，以统一规划的架构模型为基础，结合现阶段稳定实用的技术，制订阶段性构建目标和方案，分阶段实施；三是，紧随技术发展潮流，适度调整，合理选择产品，以节约建设投资，达到良好建设效果。可概括为“统一规划，分步实施”。这样既有长远而整体的规划来保证网络安全构架的清晰有序，又可因为分阶段实施，在具体建设过程中采用新的技术手段和产品，使网络系统建设真正实现“适时而建，建则不费”。根据网络安全技术标准的要求，我们应从操作系统层面、用户层面、应用层面、网络层面、数据链路的安全层面考虑，结合局域网环境，边界、用户环境和网络等方面安全要求，规划构架。经调研发现，检测机构经多年发展，其网络建设工作基本是对原有系统的改造。在此，我们取长补短，以构建高性能、高安全、高稳定性和高数据传输质量符合相关法规标准的网络架构为目标，提出以下建网原则：誗统一规划，分段实施；誗高速的网络链接；誗信息结构多样化；誗良好的可扩充性；誗安全质量可靠；誗操作方面，易于管理；誗性价比高；誗符合全国信息安全委员会提出的技术标准。
构建符合检测机构需求的网络安全架构
基于以上可知，检测机构网络应用具有性能、稳定性、安全性3方面的要求，在兼得性能和稳定性的同时，在安全性方面应满足保密性、完整性、可用性、可控性和可审查性等要求。我们提出检测机构构建基于“四类网络、三个中心”的网络安全架构。1.检测机构应构建“四类网络”①办公局域网：根据我国公安部第82号令《互联网安全保护技术措施规定》，安全级别达到1~3级的网络，主要应用于检测机构内部办公需要，内含机构相关核心业务；②机构门户网（网站）：主要作为检测机构互联网门户，是对外形象展示窗口；③政务网：根据公安部第82号令，是安全级别达3级及以上网络，需要高安全级别，要求达到网络物理分隔，内含机密内容；④客户服务网：提供客户在机构场地范围内上网服务的网络，在为客户提供上网服务便利的同时，亦满足公安部、信息产业部等信息安全相关法律法规要求。2.检测机构应构建“三个中心”①核心计算中心（见图1）：主要承担业务核心计算工作，与核心数据中心共同承担业务计算数据存放，互为实时镜像、达到负载均衡，互为远程业务灾备。②核心数据中心：存放实时镜像数据，核心业务集群服务器等，可作为核心计算中心的无中断业务系统，实现自动切换功能，使得核心计算中心在遇到IT基础设施损坏无法正常服务时，以最快速度恢复关键业务系统的正常运行。③备份中心：存放核心业务及应用系统数据，实现定时自动存储，通过专用存储数据网络SAN实现高速数据备份恢复，作为远程灾备中心用于防范各类自然灾难及人为灾难对信息系统造成的影响，确保信息业务系统快速恢复，将数据损失和经济损失降到最低。3.基于“四类网络、三个中心”的检测机构网络架构检测机构网络安全总体架构如上图2所示，按照网络基础安全技术标准，网站平台、客户网、政务网单独搭建，与局域网物理隔离；局域网按照功能划分为不同的区域，如业务系统服务器区、数据备份区域、用户接入区域等，各区域之间按照制定的安全策略进行网络边界的控制；局域网DMZ区域作为需要为互联网用户提供服务及数据访问的区域，需要在互联网与网络边界处进行网络安全控制，以确保数据传输质量符合GB/T20270－2006《网络基础安全技术要求》的要求。实际应用时，应根据各类网络的特点对其进行分类安全管理：①局域网需要授权管理、VPN、入侵检测、防火墙、防毒墙、网络监控、上网管理、日志审核和设备加固；②网站平台需执行以上除上网管理以外的全部措施；③客户网按国家信息安全相关法律规定的标准，至少需要授权管理及日志审核、防火墙等安全技术；④政务网需遵循政务网管理部门相关安全规定，必须物理隔离。基于以上设想及网络安全架构，上海机动车检测中心已进行了规划，并实施了第一阶段的改造工作。已建立本文所述的“四类网络”，目前运行情况良好，通过第一阶段的改造有效地提高原有网络的安全性，为内部员工和外部客户提供了高效、安全的信息服务。建成的多个网站与平台（中心网站、机动车出口认证检测网、全国四轮全地形车标准化技术委员会网、出口认证平台、标准资源平台），扩大了其行业知名度和影响力，取得了良好的社会经济效益。
网络安全管理规划篇（10）
随着广播电视数字化、网络化的迅速发展，广播电视监测工作由过去靠人工的传统落后手段转变为网络化、自动化的方式，监测网的建成使监测工作发生了飞跃式的变化，提高了信息反馈速度，丰富了监测信息内容，拓展了监测业务类型，扩大了监测地理范围，大大提高了广播电视监测的综合监测能力。但是，随着网络规模的扩大，监测网的复杂性和风险性也在不断增加。业务的发展对网络性能的要求也在不断提高，如何运用先进技术方案保障监测网络安全而高效地运转已经成为我们面临的重要工作。
1 监测网网络结构特点
网络规模大、系统复杂、专业性强，通常由一个或多个局域网系统及数个地理位置分散的远程无人值守遥控站点组成分布式广域网系统。
多种通信方式并存，监测网系统的通信建立倚赖于当地的通信条件，造成系统具有多种接入方式。
软件开发基于J2EE平台，软件体系多采用C/S架构。
2 风险性分析
目前，广播电视监测网主要面临以下问题：
2.1缺乏完整的安全体系
广播电视监测网建设是根据总体规划，分步实施的，系统往往边运行边扩展规模。这种情况造成监测网系统建设之初，对系统安全很难进行全面规划。随着网络规模的扩大及应用范围的扩展，网络的脆弱性不断增加，同时，系统配置的更改，软件的升级也造成系统的安全需求不断变化，现有的安全手段将很难胜任。
2.2系统分布方式带来安全的复杂性
监测网系统具有节点分布广，地理位置分散等特点，使得对网络安全状况的集中控制变得困难，带来数据安全的复杂性。不同的环节将需要不同手段的安全方案。
2.3网络本身的安全漏洞
监测系统是一个基于IP的网络系统，采用TCP/IP协议软件，本身在应用、传输时存在较多不安全因素。
3 安全技术方案
鉴于对以上几种风险性因素的分析，根据系统的实际情况，结合考虑需求、风险、成本等因素，在总体规划的基础上制订了既可满足网络系统及信息安全的基本需求，又不造成浪费的解决方案。
3.1网络资源总体规划
实践证明，合理、统一的网络规划对网络维护及安全运行都有极大的好处，有利于保障监测网系统在不断扩展中的可持续性，因此，在监测网建立之初统一进行网络资源的设计，制定合理的IP规划、网络拓扑规划，对各种资源进行统一编码是保障网络安全的第一步。
3.2设备安全配置
对于重要安全设备如交换机、路由器等，需要制定良好的配置管理方案，关闭不必要的设备服务，设置口令、密码，加强设备访问的认证与授权，升级BIOS，限制访问、限制数据包类型等。
3.3操作系统安全方案
操作系统大部分的安全问题归根结底是由于系统管理不善所导致的。解决方案是正确更新使用密码设置、权限设置，正确进行服务器配置。建立健全操作系统安全升级制度，及时下载并安装补丁。
3.4备份方案
为保证监测网的安全稳定运行，对于监测网的核心局域网系统硬件可采用双机热备方案，磁盘阵列、交换机、防火墙等硬件采用双机并行，负载均衡的方式运行，应用服务器、数据库服务器还可互为备份，从而保证不会因某一点出现故障而影响整个系统的正常使用。
3.5病毒防护
监测网系统覆盖的点多面广，防毒系统应采用集中控制多层防护的方案，在监测系统各个网络都分级部署防病毒软件，中心网络对下一级系统进行实时集中病毒监测，定时升级。制定和采用统一的防病毒策略，使得网络中的所有服务器和客户端都能得到相同的防病毒保护。
3.6防火墙系统
监测网系统由于其分布特性往往由多个安全域组成，应加装防火墙，以实现系统内各级网络之间的隔离和访问控制；实现对服务器的安全保护及对远程用户的安全认证与访问权限控制，并实现对专线资源的流量管理控制和防攻击。
3.7应用安全
可采用多种手段保障应用层安全。如：系统日志审核、服务器账户管理、用户登录权限管理、数据定期备份等。
3.8数据传输安全
监测网作为一个广域网主要利用广电光缆或电信线路进行通信，为保证安全性，数据的传输须采取加密措施。具体方案可针对不同通信方式及数据安全级别制定。
4 结束语
网络是一个多样、复杂、动态的系统，单一的安全产品和技术不能够满足网络安全的所有要求，只有各个安全部件相互关联、各种安全措施相互补充，网络安全才能得到保障。同时，任何一个网络的安全目标都不是仅依靠技术手段就能实现的，还应采取措施加强操作人员素质管理，提高值班员责任心。做到管理规范，才能确保监测网安全、高效运行。
