序論：好文章的創(chuàng)作是一個不斷探索和完善的過程，我們?yōu)槟扑]十篇網絡安全終端管理范例，希望它們能助您一臂之力，提升您的閱讀品質，帶來更深刻的閱讀感受。

篇（1）

中圖分類號：TP311

我國航天研制、發(fā)射任務日益增加，信息環(huán)境復雜、多樣，導致測發(fā)控信息暴露于越來越多、越來越廣的威脅和脆弱性當中，測發(fā)控信息資產需要加以適應的保護。同時，測發(fā)控網絡系統(tǒng)建立年代較早，其網絡安全性設計與意識遠遠落后。因此，保障網絡正常安全運行并建立測發(fā)控網絡安全管理系統(tǒng)是測發(fā)控網絡的工作重點，加強網絡安全管理迫在眉睫。

1 測發(fā)控網絡安全現(xiàn)狀

目前，網絡安全防護采用“技術30%，管理70%”的布局，偏頗管理和加強人員網絡安全意識的效力，并且技術上僅通過采用殺毒軟件、防火墻以實現(xiàn)網絡安全防護，技術措施單一，缺乏解決深層次網絡安全問題和威脅的能力。現(xiàn)有測發(fā)控網絡安全圖如圖1所示。為此，從系統(tǒng)綜合整體的角度去看待、分析，在提供靈活且高效的網絡通訊及信息服務，組成并協(xié)調建立地面測發(fā)控網絡安全系統(tǒng)已事在必行。

2 新型網絡安全管理系統(tǒng)

2.1 新型網絡安全管理功能

測發(fā)控網絡安全的解決是一個綜合性問題，涉及到諸多因素，包括技術、產品和管理等。進行網絡安全體系建設，要綜合考慮、注重實效，在考慮網間安全、防火墻、病毒查殺、入侵檢測，甚至身份認證等系統(tǒng)來解決有關外部黑客入侵、病毒困擾時，也要同時考慮來自內部網絡的可信環(huán)境下的非授權網絡行為和授權濫用行為，才可能最大限度的構建和諧、干凈的測發(fā)控網絡環(huán)境。測發(fā)控網絡安全管理系統(tǒng)主要實現(xiàn)以下功能：

（1）對測發(fā)控網絡分系統(tǒng)工作站進行集中的安全保護、監(jiān)控、審計和管理；

（2）防范非法設備接入內網，確保測發(fā)控網絡內網安全；

（3）整體規(guī)劃測發(fā)控網絡與設備的網絡傳輸行為的計算機網絡安全設備；

（4）建立網間防護，保證各分系統(tǒng)與C3I、異地協(xié)同網絡之間的網間安全；

（5）安全隔離與信息交換與數(shù)據加密，保障測試數(shù)據在網絡傳輸過程中可靠完整；

（6）測發(fā)控網絡設備與工作站等資產的統(tǒng)一配置、監(jiān)控、預警、評估、響應，策略、檢測、防護，實現(xiàn)安全資產和安全信息的歸一化等功能。

2.2 測發(fā)控網絡安全管理系統(tǒng)組成

立足現(xiàn)有測發(fā)控網絡現(xiàn)狀，結合遠期異地協(xié)同規(guī)劃，測發(fā)控網絡安全管理確保在安全、可靠和保密的網絡環(huán)境下完成測試任務，幫助各分系統(tǒng)網絡設備使用統(tǒng)一優(yōu)化、規(guī)范管理，并在遠期實現(xiàn)與北京總部的異地協(xié)同項目加強網間安全。

測發(fā)控網絡安全管理系統(tǒng)

（1）安全防護子系統(tǒng)。安全防護子系統(tǒng)可以對內部終端計算機進行集中的安全保護、監(jiān)控、審計和管理，可自動向終端計算機分發(fā)系統(tǒng)補丁，禁止重要信息通過外設和端口泄漏，防止終端計算機非法外聯(lián)，防范非法設備接入內網，有效地管理終端資產等。

安全防護子系統(tǒng)由客戶端模塊、服務器模塊、控制臺三部分組成。客戶端模塊對終端計算機進行監(jiān)控，需要部署于每臺需要被管理的終端計算機上，用于收集數(shù)據信息，并執(zhí)行來自服務器模塊的指令。服務器模塊存儲終端安全策略、終端計算機信息、漏洞補丁數(shù)據等等，并由服務器向終端計算機客戶模塊發(fā)送指令。

（2）網間防護子系統(tǒng)。采用安全邊際技術，通過防火墻、防病毒墻、入侵防護等技術，整體規(guī)劃測發(fā)控網絡或網絡設備的網絡傳輸行為的計算機網絡安全設備，增加子網與網間安全，實時動態(tài)保護技術以全面、有效地保護網絡不受侵害，使測發(fā)控網絡與異地協(xié)同網絡實現(xiàn)數(shù)據交換。

（3）數(shù)據加密子系統(tǒng)。通過安全隔離與信息交換與數(shù)據加密，保障數(shù)據在網絡傳輸過程中可靠完整，保護關鍵業(yè)務的機密數(shù)據安全，同時保障數(shù)據在傳輸過程中不被破壞和惡意竊取。網絡加密機制建立可信的安全連接，保證數(shù)據的安全傳輸，實現(xiàn)安全通信的虛擬專用線路，提供全面、可靠、安全和多層次的數(shù)據保護。

（4）管理配置子系統(tǒng)。以資產設備為中心，通過策略配置、設備監(jiān)控、審計預警、態(tài)勢評估、安全響應的全流程管理，進行安全資產和安全信息的歸一化處理、監(jiān)控、分析、審計、報警、響應、存儲和報告等功能。管理配置子系統(tǒng)采用三層分布式體系結構，主要由被管對象層、管理中心層、控制臺層組成。

3 結論

新型地面測發(fā)控網絡安全管理系統(tǒng)立足現(xiàn)有測發(fā)控網絡，解決現(xiàn)有病毒查殺費時費力、網絡設備與存儲介質的管理失控、各分系統(tǒng)應用軟件安裝不受控、IP地址更改隨意等現(xiàn)狀；結合異地協(xié)同項目，完善管理配置子系統(tǒng)網間防護子系統(tǒng)，統(tǒng)籌規(guī)劃各分系統(tǒng)子網與C3I之間的網絡架構，消除網絡邊際隱患。同時，建立集中安全信息管理系統(tǒng)；加強應用覆蓋范圍。

新型網絡安全管理系統(tǒng)以測發(fā)控網絡為基點，重新規(guī)劃、提高和完善測試環(huán)境，從軟件和硬件上采取控制措施以避免安全漏洞，提高測發(fā)控網絡安全水平，在測發(fā)控網絡中具有極為重要的意義。

篇（2）

為使互聯(lián)網行業(yè)能夠穩(wěn)步快速、安全發(fā)展，國家相繼起草并實行了一系列互聯(lián)網安全管理草案，確保計算機用戶可以安全放心地使用網絡。要想互聯(lián)網行業(yè)長久不衰、堅持走科學發(fā)展的長遠道路，那么互聯(lián)網行業(yè)除了安全綜合政治管理以外，還要進行內外兼治，這樣就不得不以科學的發(fā)展眼光引進CPK網絡終端軟件管理系統(tǒng)。它建立了交易信任和數(shù)據安全基礎，然而CPK終端軟件的核心是建立合理的管理機制，有效數(shù)據管理扼殺了木馬病毒入侵計算機網絡的搖籃之夢。

一、CPK終端軟件管理系統(tǒng)的描述與分析

1.CPK終端軟件管理系統(tǒng)

在網絡廣泛運行的今天，家庭及企事業(yè)單位等大型辦公場所局域網可以隨意自主安裝，隨意使用盜版軟件、黑客軟件及與工作業(yè)務無關的聊天、游戲等不良娛樂軟件，這些網絡終端軟件的濫用威脅著系統(tǒng)的安全，影響網絡的運行性能及速度，嚴重的影響整個網絡的發(fā)展進程。所以合理化地管理網絡管理終端軟件已經迫在眉睫。CPK終端軟件管理系統(tǒng)能夠及時的攔截病毒的攻擊。CPK終端軟件管理系于1999年由南湘浩教授提案，2003年在《網絡安全技術概論》中公布了基于橢圓形曲線ECC構造了基于標識的組合公鑰。此密鑰是離散對數(shù)難題型的基于標識的密鑰生成與管理體制。依據對數(shù)據原理構建公開密鑰與私有密鑰的矩陣，采用雜湊函數(shù)與密碼變換將實體的標識映射為矩陣的行作坐標與數(shù)列坐標序列中，用來對矩陣元素進行選取與組合，生成數(shù)量非常大的由公開密鑰與私有密鑰組成的公鑰、私鑰對，以此來實現(xiàn)基于標識的超達規(guī)模的密鑰生成與分發(fā)。CPK密鑰管理從體制上是依據數(shù)學原理離散對數(shù)問題的構建，也可以用橢圓形離散對數(shù)問題進行構建。

2.CPK終端軟件管理系統(tǒng)的認證

網絡安全問題伴隨著互聯(lián)網的成長逐步成為我們生活中不可避免的困擾。所以認證技術直接的建立安全可靠的基礎設施平臺，在網絡交易事物的鑒別性證明和負責性證明提供了可信性的證明。從而為電子商務的有序發(fā)展提供了良好的環(huán)境。CPK身份認證無疑就是通過各種認證技術對用戶的身份進行鑒別，是我們網絡安全管理的重要基礎，集防了互聯(lián)網數(shù)據不被盜取與侵犯。合理的簽名機制是核心問題，同時，簽名機制要想順利的實現(xiàn)，必須有好的密鑰管理技術，互聯(lián)網認證體系的密鑰管理需要解決兩個問題，就是有密鑰管理規(guī)?；突诿荑€標識的分發(fā)。解決這兩大問題的認證系統(tǒng)有基于PKI技術構建和CPK技術構建的認證系統(tǒng)的生成。

3.CPK終端軟件管理系統(tǒng)的分析

網絡安全問題不容忽視，網絡安全中的認證技術是深入解決這一問題的核心技術，它具有規(guī)范化，機密性和完整性等特點。CPK認證體系具有抗抵賴性的安全服務，目前來說公鑰基礎設施、基于標識的加密系統(tǒng)和組合公鑰系統(tǒng)得到大眾的一致認可。在標識機制中，計算機用戶可以設置自己的公鑰證書要求，進一步提升了人們對于計算機認證體系的可信度。

二、CPK終端軟件管理系統(tǒng)的需求分析

1.對于CPK終端軟件管理系統(tǒng)感官認識

對于軟件保護一般采用加密的方式進行數(shù)據保護，軟件加密分為軟加密和硬加密兩種方式。軟件加密一般的就是采取軟件方法不依靠特殊硬件來配套加密，而硬加密就是將全部信息固定在硬件上，提供的數(shù)據是一個硬件實體，如CD指紋等一類電子產品。但是在互聯(lián)網終端網絡管理上通常一般通過360殺毒軟件、補丁、網絡行為管理和管理軟件等方式進行計算機管理。網絡行為管理是指通過過濾關鍵字、關閉特殊定的端口來管理終端軟件的使用。軟件實名認證則運用了公約密碼數(shù)字簽名技術，對于計算機軟件進行身份認證和保護。同時對于計算機網的病毒損害提供了科學依據。

2.整合管理服務的體系結構

采用服務器的證書管理器和客戶端的終端軟件安全管理器，其中服務器端負責終端的注冊和證書的發(fā)放工作，它的工作內容主要包括密鑰因子生產、終端注冊管理、密鑰生成和資料庫管理。那么客戶端主要負責安裝的軟件注冊、簽名等認證工作的完成。終端系統(tǒng)利用其CPK標識認證實現(xiàn)身份認證，終端安裝的軟件進行注冊管路。以此達到終端網絡安全管理的理想模式。

三、終端軟件系統(tǒng)的開發(fā)及市場分析

1.終端軟件管理系統(tǒng)市場發(fā)展方向

網絡安全產業(yè)不僅具有高度的前瞻性，同時也具有較高的技術含量、高附加值的特點，已經跨步成為眾多發(fā)達國家保持經濟持續(xù)性發(fā)展的重要產業(yè)結構。作為信息產業(yè)中最活躍、最智力密集也是發(fā)展最快的軟件產業(yè)，更是各國人民政府關注的焦點，其發(fā)展關系到互聯(lián)網行業(yè)的穩(wěn)定性和長久可靠性，并可能成為未來最大產業(yè)規(guī)模和最具開拓前景的新型產業(yè)。作為大眾青睞的新興支柱產業(yè)，同時也是互聯(lián)網行業(yè)發(fā)展的后盾力量，不僅大眾對它關注有佳，作為經濟支點部分的政府也是撐腰在即，竭盡全力的發(fā)展此行業(yè)。

篇（3）

一、概述

隨著網絡在企業(yè)生產經營中應用越來越廣、越來越深，企業(yè)網絡安全的問題也日益凸顯。來自企業(yè)網外部和內部的攻擊無時不刻都在威脅著企業(yè)網絡的安全，也成了每一位網絡管理人員都需要面臨的考驗。如何建立一個完整的企業(yè)網絡安全解決方案，減少因網絡攻擊和病毒引發(fā)的生產經營數(shù)據的丟失和外泄引發(fā)的損失，本文將進行一個淺顯的探討。

二、網絡安全的基礎——網絡設計

網絡的設計與建設，是構建一個安全網絡的基礎。合理的網絡構架設計將為未來網絡安全的設計與構建節(jié)省一大部分開銷，這些開銷包括了設計、成本和系統(tǒng)的效率等。因此，在構建一個網絡的初期，就必須將網絡系統(tǒng)的安全作為設計的基本要素，考慮到整個系統(tǒng)中。一個大型的企業(yè)，如在地域上分部較為集中，其內網為了增大運行保險系數(shù)，一般主干采用雙環(huán)網的網絡構架。這種網絡在一路主用線纜引故障停止時會自動切換到備用環(huán)上，當然，根據具體的系統(tǒng)配置的不同，雙環(huán)網正常工作時又會被分為雙路負載分擔型和雙路數(shù)據同步型等類型，在這里就不詳細介紹了。一個企業(yè)如在地域上較為分散，下屬有多家子公司且這些子公司又擁有自己的網絡的情況下，最好采用以樹形或星型網絡結構為主的復合型網絡設計。這種設計使得各網絡層次的訪問控制權限一目了然，便于內部網絡的控制。

一個大型企業(yè)的網絡在內部又會被分為許多特定的區(qū)域——普通的辦公區(qū)，財務銷售的核心業(yè)務區(qū)，應用服務器工作區(qū)，網絡管理維護區(qū)，多方網絡互聯(lián)區(qū)域，VPN連接區(qū)等多個功能區(qū)域。其中普通的辦公區(qū)有時是與財務銷售類的業(yè)務區(qū)合并在一起的，但是，如果公司還涉及特殊業(yè)務的時候應當將這兩個區(qū)域分開，甚至為其單獨建立一套網絡系統(tǒng)以增強其安全保密性。應用服務器區(qū)域一般承載著企業(yè)辦公、生產等主要業(yè)務，因此在安全上其級別應當是最高的。一般對這一區(qū)域進行安全設置時最好將除所用端口以外的所有其他端口全部封鎖，以避免多余端口通信造成的安全威脅。有條件的網絡用戶或對安全要求比較高的用戶可以在不同的網絡之間配置防火墻，使其對網絡的訪問進行更好的控制或者將不同的網絡直接進行物理隔離，以完全絕斷不同網絡之間的互訪。在網絡中中有許多服務器，比如病毒服務器、郵件服務器等，有同時被內網及外網訪問的需求，應當為這些有外網需求的服務器考慮設置DMZ區(qū)域。DMZ區(qū)域的安全級別較普通用戶區(qū)高，即便得到訪問授權的用戶，其對DMZ區(qū)域的訪問也是有限制的，只有管理人員才可以對這一區(qū)域的服務器進行完全的訪問與控制。

三、終端的安全防護

病毒、木馬無論通過何種途徑傳播，其最終都是感染終端為目的的，無論這個終端是指的服務器還是普通用戶的終端，因此，對各類終端的安全防護可以說是網絡安全構建的關鍵。對終端的安全防護可以分為兩套系統(tǒng)；一種為硬件的防火墻類，一般由管理人員進行專業(yè)操作處理的防護系統(tǒng)，包括了反垃圾郵件系統(tǒng)、用戶上網行為監(jiān)控管理系統(tǒng)、網站防篡改系統(tǒng)等專業(yè)(服務器)終端防護系統(tǒng)；另一種為軟件類的防火墻、殺毒軟件及其他安裝于各個用戶終端由用戶或管理人員進行操作管理的防護系統(tǒng)?，F(xiàn)在多數(shù)的網絡安全防護系統(tǒng)多由這兩種類型的防護系統(tǒng)復合而成。這種復合式的系統(tǒng)所取得的效果在很大程度上依賴于終端用戶的計算機水平及殺毒軟件服務提供商的反應能力和軟件更新能力，總之，這種方式是比較偏重于“被動防守”的一種防護措施。

現(xiàn)在有廠商提供了一種協(xié)調系統(tǒng)，使用這種系統(tǒng)能讓以上所述的復合安全系統(tǒng)能夠在網絡管理員的干涉下實現(xiàn)主動的管理。這套系統(tǒng)一般在用戶終端安裝一個客戶端，開機時，客戶端自動判定本終端的安全狀態(tài)并與安全服務器取得聯(lián)系，當終端被判定正常時，終端可進行正常權限的網絡訪問；當終端被判定為非正常(威脅)時，此終端可根據預先堤定的安全策略，斷絕與普通局域網的連接，只能與特定的服務器如病毒服務器等進行連接以解決問題。網絡管理員可以通過這套系統(tǒng)實時監(jiān)查每個終端的進程與數(shù)據狀態(tài)，并通過管理終端對客戶端進行控制，以解決安全威脅。此類系統(tǒng)的應用將所有用戶的終端都納入了系統(tǒng)管理員的控制下，以系統(tǒng)管理員專業(yè)化的技術知識實現(xiàn)對整個系統(tǒng)的監(jiān)管與維護，能夠在很大程度上減少威脅并提高系統(tǒng)的安全性和網絡效率。

四、終端用戶的規(guī)范

篇（4）

【正文】

根據省市財政相關工作要求,我局對本年度網絡安全檢查和整改工作進行了梳理,現(xiàn)將相關情況總結如下：

一、2020年度網絡安全檢查工作組織開展情況

自勒索病毒爆發(fā)后，我局主要領導和分管領導高度重視，立即對相關工作作出安排。

1、加強領導,完善制度。根據省市工作要求，我局成立以局黨委書記、局長為組長、分管領導為副組長、相關股室股長為成員的網信領導小組，負責我局網絡安全各項具體工作，結合自身實際，健全完善相關制度。

2、加強網絡安全檢查。在前期勒索病毒排查工作基礎上，我局再次組織技術力量，對局內以及我市各預算單位接入財政網絡的情況開展檢查工作。我市要求所有使用財政內網的單位必須按照網絡安全相關規(guī)定和上級要求，所有的終端設備必須做到：

1、所有設備必須內外網分離。

2、所有終端電腦必須設置6位三種符號以上的開機密碼。

3、所有終端電腦必須安裝亞信殺毒軟件。

4、所有設備必須使用有線連接。

5、所有終端除正常辦公需要的軟件外，其它無關軟件全部卸載。

3、加強基礎設施建設。我局機房建設時間長，缺乏網絡安全設備，我局在勒索病毒爆發(fā)后立即進行整改，按照省市相關文件和網絡安全等級保護制度制定專業(yè)的網絡機房建設方案，已通過招標進行實施。

二、存在的主要問題

通過前期的網絡安全檢查和整改，目前我市所有預算單位已規(guī)范接入財政網絡，使用人員的安全防范意識明顯提高，全市財政網絡運行總體較為安全平穩(wěn)。但仍存在一些問題和薄弱環(huán)節(jié)，主要表現(xiàn)在以下三方面。

1、制度建設方面。我局雖然制訂了《閬中市財政局網絡安全制度》，但根據中省財政部門的要求，仍存在日常管理操作不規(guī)范、未定期對安全管理制度進行更新等問題。

2、安全意識方面。在前期工作中，我局對使用財政網絡的用戶，均進行了網絡安全宣傳教育，但宣傳教育的內容比較片面，沒有細化普及安全知識和培訓相關的防范技能。

3、組織保障方面。我局雖然成立網信領導小組，但由于編制受限，沒有專門的網絡安全技術人員，無法分設系統(tǒng)管理員、安全管理員等崗位。

三、整改措施及計劃

1、強化制度建設。根據《中華人民共和國網絡安全法》和中省制定的各項財政網絡安全規(guī)定，建立健全網絡安全和應急處置機制，完善各種制度和文件資料。

篇（5）

引言：當前煤炭企業(yè)對網絡安全威脅很難開展有效的監(jiān)測，無法實現(xiàn)主動防御，只能處于一種被動防護狀態(tài)，這無疑將會給煤炭企業(yè)引入極大的網絡安全風險。煤炭企業(yè)上到領導下到普通職員，均對網絡信息安全問題抱有僥幸的心理，覺得一般不會出大的問題，從而缺少積極的防范措施，使得煤炭企業(yè)當前在應對實際的網絡安全威脅時不能有效的進行監(jiān)測和防護。

一、關于煤炭企業(yè)當前面臨的網絡信息安全問題的分析

（1）煤炭企業(yè)員工的網絡信息安全意識比較淡薄

當前很多煤炭企業(yè)對自身所處的網絡信息安全現(xiàn)狀依然缺少正確、完整的認識，他們企業(yè)管理者覺得煤炭企業(yè)信息化的水平不高，接入互聯(lián)網的終端和用戶比較少，因此企業(yè)的網絡信息安全問題并不會給煤炭企業(yè)造成一定的威脅。另外，煤炭企業(yè)的管理層缺少對企業(yè)網絡信息安全的有效支持，使得實際投入到企業(yè)網絡和信息安全建設中的資金遠遠達不到應有的要求。

（2）煤炭企業(yè)內部網絡信息系統(tǒng)的防護能力比較薄弱

從目前看來，依然存在一些煤炭企業(yè)缺少復雜的網絡信息系統(tǒng)部署結構，已有的設備性能和配置也比較落后。在實際的網絡系統(tǒng)部署中缺少有效的安全防護技術和手段，不能有效監(jiān)測到網絡安全的威脅，只能一直處于被動防護的狀態(tài)。由于煤炭企業(yè)內部大多使用的還是比較老舊的操作系統(tǒng)，這些舊的終端設備本身就存在著大量的系統(tǒng)漏洞，很容易遭到黑客的攻擊。當各個系統(tǒng)或軟件廠商在網上修補漏洞的補丁時，很多煤炭企業(yè)員工和用戶由于對這些網絡安全問題缺少正確的認識，無法意識到這些系統(tǒng)和軟件漏洞會給煤炭企業(yè)本身帶來的安全威脅，使得企業(yè)內部網絡終端設備很難全部完成漏洞的修補。

（3）煤炭企業(yè)缺乏有效的網絡安全防范體系

調查發(fā)現(xiàn)，當前很多煤炭企業(yè)的網絡信息安全管理較為混亂，沒有形成一套科學完整的網絡安全防范體系和機制。煤炭企業(yè)雖然制定了一些有關于網絡信息安全的管理制度和工作方法，但是依然缺乏有效的網絡安全威脅監(jiān)測和應對方法，對于已有的網絡安全管理辦法也很難嚴格的去執(zhí)行，不能達到預期的網絡安全防護效果。另外，對于煤炭企業(yè)員工本身缺少有效的約束管理辦法，大多數(shù)時候只能依靠員工本身的自律能力，沒能從企業(yè)網絡安全管理制度和辦法上建立起一種行之有效的防范措施。

二、煤炭企業(yè)防范網絡信息安全的對策

（1）加強企業(yè)內部網絡信息安全管理

煤炭企業(yè)要想提高企業(yè)本身的網絡安全防護能力，首先必須改變企業(yè)當前固有的網絡安全管理方法，各個部門都需要制定出適合自己部門業(yè)務系統(tǒng)的網絡安全防護管理機制和體系。煤炭企業(yè)必須加強企業(yè)內部自身的管理，為企業(yè)制定一套完整的網絡安全審計體系，能夠及時的發(fā)現(xiàn)潛在的安全威脅，并有效的追蹤到問題責任人。煤炭企業(yè)的網絡安全防護能力的強弱還需要根據企業(yè)員工網絡安全意識的強弱來判斷，因此在煤炭企業(yè)實際的運營當中，必須加大對企業(yè)網絡安全技術培訓和教育的投入。在煤炭企業(yè)中，網絡信息安全相關知識的培訓、教育以及宣傳非常重要，尤其要加強企業(yè)員工對網絡安全意識的培養(yǎng)，認識到網絡安全對企業(yè)發(fā)展的重要性。要想讓煤炭企業(yè)能夠具備足夠的網絡安全知識和應急響應能力，就必須對企業(yè)員工開展定期的網絡安全知識培訓，從而不斷維持煤炭企業(yè)較高的網絡信息安全水平。

（2）引入先進的安全防護技術

除了剛剛提到的煤炭企業(yè)要加強企業(yè)內部網絡信息安全管理之外，最為重要的就是煤炭企業(yè)必須要引入先進的網絡安全防護技術。如果企業(yè)沒有這些先進的安全防護技術，那么煤炭企業(yè)的網絡信息安全管理做的再好也沒有用，因為攻擊者將能夠直接不費吹之力拿下企業(yè)的整個網絡系統(tǒng)，令企業(yè)面臨巨大的經濟或聲譽損失。當前隨著攻擊者的攻擊手段不斷提高，網絡安全防護技術也在不斷地取得發(fā)展，因此煤炭企業(yè)必須要選擇先進的安全防護技術來保護企業(yè)系統(tǒng)免受侵害。

篇（6）

隨著電信網絡的全面IP化，原來互聯(lián)網中才會存在的安全威脅被引入到電信網絡中，如木馬程序、僵尸程序、拒絕服務攻擊等。在IP技術和傳統(tǒng)電信網相融合的過程中，又出現(xiàn)了具有電信網特點的新安全威脅，例如利用IP技術針對電信網業(yè)務層面的攻擊。

1.2移動終端的智能化存安全隱患

智能終端的接入方式多種多樣、接入速度越來越寬帶化，使得智能終端與通信網絡的聯(lián)系更加緊密。智能終端的安全性已嚴重威脅著電信網絡和業(yè)務的安全，隨著運營商全業(yè)務運營的不斷深入，以前分散的業(yè)務支撐系統(tǒng)逐步融合集成，但核心網和業(yè)務網之間的連接通常采用直連的方式，安全防護措施相對薄弱。在智能終端處理能力不斷提升的今天，如果終端經由核心網發(fā)起針對業(yè)務系統(tǒng)的攻擊，將會帶來巨大的安全威脅。另一方面，智能終端平臺自身也面臨著嚴峻的安全考驗，其硬件架構缺乏完整性驗證機制，導致模塊容易被攻擊篡改，并且模塊之間的接口缺乏對機密性、完整性的保護，在此之上傳遞的信息容易被篡改和竊聽。憑借智能終端高效的計算能力和不斷擴展的網絡帶寬，終端本身的安全漏洞很可能轉化為對運營商網絡的安全威脅。

1.3安全防護體系建設相對滯后

隨著云計算云服務、移動支付的引入和發(fā)展，給運營商現(xiàn)有的基礎網絡架構及其安全帶來了不可預知的風險。新興的電信增值業(yè)務規(guī)模不斷擴大，用戶數(shù)量不斷增加，因此更易受到網絡的攻擊、黑客的入侵。新技術新業(yè)務在帶來營收增長的同時，也帶來了越來越多的安全威脅因素和越來越復雜的網絡安全問題，使得運營商對新業(yè)務安全管控的難度越來越大。面對新技術新業(yè)務帶來的風險，行業(yè)安全標準的制定相對滯后，現(xiàn)階還不能夠對威脅安全的因素做出一個全面客觀的評估，因此也就談不上制定相應的風險防范應對措施，并且業(yè)界對新領域的安全防護經驗不夠豐富，當出現(xiàn)重大威脅網絡安全事件的時候，對故障的響應處理能力還有待商榷。

2電信運營商網絡安全防護措施

2.1加強網絡安全的維護工作

面對網絡信息安全存在的挑戰(zhàn)，基礎安全維護工作是根本，運營商需要做好安全保障和防護工作，并在實踐中不斷加強和完善。對網絡中各類系統(tǒng)、服務器、網絡設備進行加固，定期開展安全防護檢查，實現(xiàn)現(xiàn)有網絡安全等級的提升。安全維護人員在日常工作中也必須按照規(guī)定嚴格控制網絡維護設備的訪問控制權限，加強網絡設備賬號口令及密碼的管理，提高網絡安全防護能力。

2.2加強新興領域的安全建設

云計算、移動互聯(lián)網等新技術新業(yè)務的發(fā)展，帶來了復雜的網絡信息安全問題，為了加強對新興領域的安全管理，運營商需要從新領域安全策略的制定和安全手段的創(chuàng)新兩方面著手。

2.2.1加強安全策略的制定

應對新技術新業(yè)務的挑戰(zhàn)，對全網安全需要重新規(guī)劃和管理，建立與之匹配的安全標準、安全策略作為行動指導，并形成對服務提供商的監(jiān)控監(jiān)管。在新業(yè)務規(guī)劃時，安全規(guī)劃要保持同步，從業(yè)務設計開始就應將安全因素植入，盡量早發(fā)現(xiàn)漏洞、彌補漏洞。

2.2.2加強安全手段的創(chuàng)新

新技術的發(fā)展讓傳統(tǒng)網絡的安全系統(tǒng)和防御機制難以滿足日益復雜的安全防護需求，需要有新的安全防御手段與之抗衡。因此集監(jiān)控分析、快速處置為一體的云安全等新的技術手段就值得我們去不斷研究，并進行商用部署。

2.3加強安全防護管理體系的建設

做好管理體系的建設，首先需要制定配套的規(guī)章制度。網絡信息的安全，必須以行之有效的安全規(guī)章制度作保證。需明確安全管理的范圍，確定安全管理的等級，把各項安全維護工作流程化、標準化，讓安全管理人員和安全維護人員明確自身的職責，從而有效地實施安全防護措施和網絡應急響應預案，提高運營商整體的安全防護能力。其次需要建立縱向上貫穿全國的安全支撐體系。隨著網絡的聚合程度越來越高，省份之間的耦合程度越來越密，全國就是一張密不可分的網。因此需建立全國一體化的、統(tǒng)一調度管理的安全管理支撐體系。當出現(xiàn)攻擊時集團、省、市三級安全支撐隊伍能聯(lián)動起來，做到應對及時有效。

篇（7）

在當今的信息時代,我們的生活和工作方式受到信息技術發(fā)展的巨大影響,時時刻刻都在發(fā)生著改變,而現(xiàn)行企事業(yè)單位的管理模式也在這種“大環(huán)境”下不斷地推陳出新。作為各大國有企事業(yè)信息管理部門,必須考慮到當前技術的發(fā)展給我們的工作帶來的機遇和威脅。

一、當前信息網絡的安全形勢

目前,幾乎所有企業(yè)、事業(yè)單位、行政部門都面臨著內部信息泄漏的問題。FBI對484家公司調查顯示:85%的安全損失是由企業(yè)內部原因造成的。面對來自于公司內部的安全威脅,很多員工都有切身感受,雖然不會有股票的跌漲刺激感官強烈,但是他們一定遇到過類似的事情。由于粗心誤操作造成公司服務器上重要文檔丟失;由于沒有設定員工在系統(tǒng)內的訪問權限,使一些業(yè)務秘密出現(xiàn)在本不應有查閱權的員工計算機上,并不小心將其泄露……對于這些來自公司內部的信息安全問題,不是簡單的安裝了殺毒軟件或防火墻就能解決的,單純的“免疫”手段在“網絡風險”、“軟件風險”日益嚴重的今天,都已經不足以讓人信任和依賴。

據調查統(tǒng)計,90%以上的計算機終端用戶使用的是windows2000,XP或以上的操作系統(tǒng),而這些系統(tǒng)的安全漏洞及系統(tǒng)缺陷非常多。雖然微軟公司會通過定期在網站上安全補丁來彌補這些漏洞,而一些軟件公司也會對自己開發(fā)的軟件進行不斷地更新和升級,但由于終端用戶缺乏相關知識,導致補丁安裝的不及時、不完全,這就會影響終端計算機的安全,從而影響整個內部網絡安全。

二、企事業(yè)單位網絡終端計算機安全現(xiàn)狀

大中型企事業(yè)單位、政府辦公網絡,桌面終端計算機數(shù)量隨著辦公的需要不斷增多,而出現(xiàn)的網絡問題也日趨明顯。常見的情況主要有:計算機感染病毒、被安裝木馬;有些不明程序不斷搶占IP地址(ARP病毒)堵塞整個網段,使該網段用戶都不能上網。除此以外,部分員工使用公司辦公電腦私自從網絡上下載海量資源,迅雷、BT、電驢這些下載工具都會搶占網絡通道,這樣就導致了其他一些用戶使用辦公電腦辦公時網速非常低,嚴重時網頁無法顯示,不僅影響了其他員工的工作,還降低了整個公司的工作效率。

這種問題在當下的網絡時代普遍存在于現(xiàn)有的企事業(yè)單位,尤其是一些已經擺脫了紙張,進入“無紙化”辦公的先進單位更為明顯。由于難于發(fā)現(xiàn)高危計算機,并對其進行定位,因此一旦問題發(fā)生,就需要大量的故障排查時間。如果同時有多臺計算機感染網絡病毒或者進行非法操作,就會造成網絡癱瘓,從而致使其他正常網絡業(yè)務無法使用。

現(xiàn)階段,所有企業(yè)都在努力尋找一種有效的手段來扭轉這種嚴峻的局面,并盡可能地出臺大量的信息網絡管理規(guī)定。例如:禁止在辦公計算機內安裝BT下載軟件,禁止在個人終端設備中安裝網絡游戲軟件,禁止私自更改電腦的安全設置,禁止將外部的電腦接入單位的內部網絡等行為。但是,由于缺乏技術和管理手段、考核制度、使用標準、用機規(guī)范等,都不能夠有效切實地執(zhí)行,這樣就使企業(yè)內部的信息網絡安全水平很低,衍生了諸多不可控制的安全隱患。

三、通過網絡防護與終端防護共筑信息安全長城

以往提起信息安全,人們更多地把注意力集中在防火墻、防病毒、IDS(入侵檢測)、網御設備、網絡交換設備的管理上,卻忽略了對網絡環(huán)境中的計算單元――服務器、臺式機乃至便攜機的管理。

近兩年的安全防御調查表明,政府、企事業(yè)單位中超過80%的管理和安全問題來自終端,計算機終端廣泛涉及每個用戶,由于其分散性、不被重視、安全手段缺乏的特點,已成為信息安全體系的薄弱環(huán)節(jié)。因此,隨著信息技術的不斷進步,網絡安全防護的工作重點開始發(fā)生轉移,安全戰(zhàn)場已經逐步由核心與主干的防護,轉向網絡邊緣的每一個終端。網絡管理員已經不是信息安全的唯一負責人,計算機終端用戶才是信息安全的第一責任人。

四、建設桌面終端安全管理系統(tǒng)的意義

伴隨著網絡管理業(yè)務密集度的增加,在信息安全防護領域興起了終端桌面安全管理技術。作為網絡管理技術衍生的邊緣產物,它同傳統(tǒng)安全防御體系的缺陷相關聯(lián),是傳統(tǒng)網絡安全防范體系的補充,也是未來網絡安全防范體系的重要組成部分。由此看來,終端桌面管理的發(fā)展趨勢和技術特點,才是信息安全防護趨勢的導向。在進行桌面終端安全防護部署時,必須把提升信息安全的關鍵放在提升計算機終端安全水平上。

如何有效地管理計算機終端成了當前的熱點話題,而桌面計算機安全管理系統(tǒng)的應運而生就顯得尤為重要了。第一可以通過批量設置計算機的安全保護措施提高桌面計算機的安全性,及時更新桌面計算機的安全補丁,減少被攻擊的可能;第二,它還可以實現(xiàn)動態(tài)安全評估,實時評估計算機的安全狀態(tài)及其是否符合管理規(guī)定,比如說,評估計算機的網絡流量是否異常,評估計算機是否做了非法操作,評估計算機的安全設置是否合理等;第三,通過系統(tǒng)中進行策略的配置,對計算機終端進行批量的軟件安裝、批量的安全設置等,防止外來電腦非法接入,避免網絡安全遭受破壞或者信息泄密;第四,利用桌面系統(tǒng)的高科技手段,能夠確保本單位的計算機使用制度得到落實,使“禁止撥號上網,禁止使用外部郵箱,禁止訪問非法網站,禁止將單位機密文件復制、發(fā)送到外部”等這一系列管理措施得以貫徹和執(zhí)行;第五,在網絡出現(xiàn)安全問題后,桌面終端系統(tǒng)可以對有問題的IP/MAC/主機名等進行快速的定位,便于管理員迅速排查故障;最后一點可以稱之為桌面系統(tǒng)的“增值服務”,在保證信息網絡安全的同時,還能對計算機的資產進行有效地管理和控制。

這些功能的實現(xiàn),淺表地說能夠持續(xù)有效地解決大批量的計算機終端安全管理問題,真正的意義在于能夠切實地幫助企業(yè)內部各種管理規(guī)定有效地執(zhí)行。如今憑借這些高科技手段,全面提升企事業(yè)單位內部信息化工作水平已經不再是紙上談兵。

五、結語

企事業(yè)單位要在信息技術高速發(fā)展的今天立于不敗之地,就必須結合自身客戶的網絡結構、終端特點和管理模式,搭建安全、穩(wěn)固的內部IT架構。而桌面終端安全管理的應用,將極大地提高信息安全系數(shù),使企業(yè)信息風險降到最低。

參考文獻:

[1] 閆龍川,劉永志,來鳳剛.計算機終端安全管理系統(tǒng)及其應用[J].電力信息化,2009,(7).

篇（8）

中圖分類號：TP393.08 文獻標識碼：A 文章編號：1007-9599 (2011) 22-0000-01

Yunnan Weather Information Network Security Analysis and Preventive Measures

Huang Jinran

(Yunnan Province Meteorological Information Center,Kunming 650034,China)

Abstract:With the computer network in the weather business applications,information security has become a network of Yunnan Meteorological important part of information security.By analyzing the status of Yunnan Meteorological Information Network,found that unauthorized access to meteorological information,network operating system or terminal application software vulnerabilities,malicious weather information network is currently facing three major security risk.This must be from a technical level,management level and user level,comprehensive prevention,Yunnan weather information network to ensure safe and efficient operation.

Keywords:Weather information;Network security;Responses;Risk

一、引言

隨著現(xiàn)代氣象事業(yè)的飛速發(fā)展，計算機網絡在云南省氣象業(yè)務中的應用越來越普及，在氣象事業(yè)中的地位也越來越重要。在天氣預報業(yè)務中，各種數(shù)值預報的結果需要計算機網絡進行分析和分發(fā)，而預報結果的上傳和下發(fā)更是離不開現(xiàn)代信息網絡。在氣象災害的防災減災中，預警信號和災情調查等也離不開信息網絡的應用。在公共氣象服務領域、云南省氣象局的辦公自動化等業(yè)務中，氣象信息網絡扮演的角色也越來越重要。本文以將云南現(xiàn)有的氣象信息網絡安全為分析樣本，探討了現(xiàn)階段信息網絡所面臨的安全隱患等特征，并提出相關的氣象信息網絡安全防范方案，以期為氣象信息安全提供參考依據。

二、云南氣象信息網絡安全隱患分析

隨著云南省各類氣象探測業(yè)務的飛速發(fā)展，氣象信息網絡承載的數(shù)據量越來越大，需要存儲和傳輸?shù)拇罅繑?shù)據，保障和防范氣象信息的安全成了云南省氣象信息安全的重要任務。另外，由于云南省各類電腦終端的品種繁多，殺毒軟件和品牌多種多樣，面對來自網絡的各類攻擊，云南省的氣象信息網絡呈現(xiàn)較大的脆弱性和易損性?？偟膩碚f，云南氣象信息網主要有氣象信息的越權存取、網絡操作系統(tǒng)或終端應用軟件安全漏洞、惡意攻擊氣象信息網絡等幾類主要的安全隱患。

（一）氣象信息的越權存取。目前云南省氣象信息網絡需要傳輸和存儲海量的氣象信息。在此過程中，氣象信息網絡必須既保證傳輸?shù)难附莺头奖?，又必須要有安全保障。為此，云南省氣象信息網絡根據不同等級的客戶，設置的不同讀寫權限。由于各類用戶往往對權限理解不清，因此經常出現(xiàn)錯誤的操作和違規(guī)操作。不僅普通的終端客戶易于出現(xiàn)誤操作給氣象信息網絡帶來安全威脅，有時甚至網管也會因為一些越權處理給氣象信息網絡帶來很大的安全隱患。當氣象信息網絡管理員在服務器系統(tǒng)進行更新和維護時，假如出現(xiàn)應用軟件安裝不適當、網絡設備誤操作、防火墻系統(tǒng)參數(shù)設置錯誤以及服務器端口開放不正確，都會對氣象信息網絡造成較大的威脅。因此在氣象信息網絡應用中，無論是普通用戶還是高級網管，都應明了自己的操作權限，按照相關規(guī)定進行數(shù)據下載、分發(fā)和處理等，切不可隨意越權，更不能將自己的個人信息和賬號等借給他人使用。（二）網絡操作系統(tǒng)或終端應用軟件安全漏洞。通常操作系統(tǒng)是構成網絡的主要軟件系統(tǒng)，據統(tǒng)計差不多75%的網絡攻擊從操作系統(tǒng)這一層面展開。目前云南省氣象信息網絡上的各類終端操作系統(tǒng)呈多樣化趨勢，而網絡操作系統(tǒng)也不可避免的存在一些漏洞。另外，各類終端的應用軟件也存在許多安全漏洞。雖然在氣象信息網絡的維護周期中，信息中心安排有專人進行安全維護和質量控制，也采用各種方式對操作系統(tǒng)的安全性進行前期和后期測試，故操作系統(tǒng)和應用軟件的安全漏洞對氣象信息網絡的危害不可低估。因此如何及時地發(fā)現(xiàn)信息網絡中類似的安全這洞，并采取安全補丁等方法進行防范，成為目前氣象信息網絡安全的當務之急。（三）惡意攻擊氣象信息網絡。惡意攻擊通常是指某些懷有惡意企圖的人或者集團，企圖通過惡意攻擊網絡系統(tǒng)，來竊取、下載、篡改或者刪除某些信息的操作。惡意攻擊常常以兩種方式進行。一種是主動顯性攻擊，即通過破壞性和明顯性的操作來破壞信息的完整性和正確性；另一種是在被動隱性攻擊，即在不影響信息網絡正常運行的情況下，采用截獲、竊取、破譯等方式來獲取信息。通常第一種攻擊破壞性大，但更容易發(fā)現(xiàn)，而第二種惡意攻擊則更為隱蔽。由于目前的氣象還屬于公益性行業(yè)，商業(yè)化程度不夠，因此面對的惡意攻擊相對較少。但正因為商業(yè)化程度不夠，目前大量的氣象信息未采用加密措施，數(shù)據以明文形式在網絡上傳輸，因此黑客更方便辨識、截獲和竊取信息。一旦黑客掌握氣象信息的格式和編報規(guī)律，篡改氣象信息時也更加隱蔽和容易。因此面對氣象信息網絡的惡意攻擊，我們網絡管理人員切切不可掉以輕心。

三、云南省氣象信息網絡安全威脅的防范對策

面對復雜多變的網絡威脅，云南省氣象信息網絡安全必須持續(xù)不斷進行安全性測試和檢測，并不斷革新技術，并制定各種防范對策和應急措施?？偟恼f來，可以從技術層面、管理層面以及用戶層面三個方面進行防范。在技術層面，氣象信息網絡安全管理人員需要提高自己的計算機技術，日常安全運營維護過程中，從網絡安全架構、安全風險評估、終端安全控制等方面彌補網絡安全漏洞。在管理層面，必須建立云南省氣象信息網絡的安全防護墻以及各類網絡安全的應急備用體系，以“三分技術，七分管理”為座右銘，積極管理和防范各類安全隱患。在用戶層面，必須提高網絡安全和計算機終端安全意識，不僅要更注重使用的方便性，而且更應該注重氣象信息網絡的安全性。只有解決以上三方面的問題，才能云南省氣象信息網絡安全高效地運行。

參考文獻：

[1]邱奕煒,鄧肖任,詹利群.氣象部門網絡安全威脅與對策探討[J].氣象研究與應用,2009,S1

篇（9）

中圖分類號:文獻標識碼:A文章編號:1007-9416(2010)05-0000-00

1 前言

隨著計算機網絡的快速發(fā)展,網絡已成為企業(yè)生產經營不可缺少的工具。網絡發(fā)展的初期注重設備的互通性、鏈路的可靠性,從而達到信息共享的通暢。經過多年的應用與發(fā)展,伴隨著我們對網絡軟硬件技術認識的深入,網絡安全已經超過對網絡可靠性、交換能力和服務質量的需求,成為企業(yè)網最關心的問題,網絡安全基礎設施也日漸成為企業(yè)網建設的重中之重。在企業(yè)網中,新的安全威脅不斷涌現(xiàn),病毒和蠕蟲日益肆虐。他們自我繁殖的本性使其對網絡的破壞程度和范圍持續(xù)擴大,經常引起系統(tǒng)崩潰、網絡癱瘓,使企業(yè)生產經驗蒙受嚴重損失。在企業(yè)網中,任何一臺終端的安全狀態(tài)(主要是指終端的防病毒能力、補丁級別和系統(tǒng)安全設置),都將直接影響到整個網絡的安全。不符合安全策略的終端(如防病毒庫版本低,補丁未升級)容易遭受攻擊、感染病毒,如果某臺終端感染了病毒,它將不斷在網絡中試圖尋找下一個受害者,并使其感染;在一個沒有安全防護的網絡中,最終的結果可能是全網癱瘓,所有終端都無法正常工作。因此,研究設計一個能夠解決這一危害的防御系統(tǒng)尤為必要。

有鑒于此,通過對目前唐鋼企業(yè)網狀況的調研及其需求分析,研究設計了端點準入防御系統(tǒng)。端點準入防御系統(tǒng)在實際應用中切實可行,以下從其架構和組網方法做出分析。

2 端點準入防御系統(tǒng)架構

端點準入防御系統(tǒng)是整合了孤立的單點防御系統(tǒng),加強對用戶的集中管理,統(tǒng)一實施企業(yè)網安全策略,提高網絡終端的主動抵抗能力。該系統(tǒng)可以將不符合安全要求的終端限制在“隔離區(qū)” 內,防止“危險”終端對網絡安全的損害,避免“易感”終端受病毒、蠕蟲的攻擊。其基本功能是通過安全客戶端、安全策略服務器、安全聯(lián)動設備(如交換機、路由器)以及第三方服務器(如防病毒服務器、補丁服務器)的聯(lián)動實現(xiàn)的。

2.1安全客戶端

安全客戶端是安裝在用戶終端系統(tǒng)上的軟件,是對用戶終端進行身份認證、安全狀態(tài)評估以及安全策略實施的主體。其主要功能包括:

(1)利用802.1X認證協(xié)議通過接入層交換機實現(xiàn)對終端進行身份驗證(用戶名、密碼、IP、MAC、VLAN),從而實現(xiàn)了端點準入控制。

(2)檢查用戶終端的安全狀態(tài),包括操作系統(tǒng)版本、系統(tǒng)補丁等信息;同時提供與防病毒客戶端聯(lián)動的接口,實現(xiàn)與第三方防病毒客戶端的聯(lián)動,檢查用戶終端的防病毒軟件版本、病毒庫版本、以及病毒查殺信息。

(3)安全策略實施,接收安全策略服務器下發(fā)的安全策略并強制用戶終端執(zhí)行,包括設置安全策略(是否監(jiān)控郵件、注冊表、禁止、禁止多網卡)、系統(tǒng)修復補丁升級、病毒庫升級等功能。不按要求實施安全策略的用戶終端將被限制在隔離區(qū)。

(4)實時監(jiān)控系統(tǒng)安全狀態(tài),包括是否更改安全設置、是否發(fā)現(xiàn)新病毒等,并將安全事件定時上報到安全策略服務器,用于事后進行安全審計。

2.2安全策略服務器

安全策略服務器是端點準入系統(tǒng)的管理與控制中心。集中、統(tǒng)一的安全策略管理和安全事件監(jiān)控。具有用戶管理、安全策略管理、安全狀態(tài)評估、安全聯(lián)動控制以及安全事件審計等功能。

(1)用戶管理。對用戶身份信息、權限、分組策略等管理。網絡中,不同的用戶、不同類型的接入終端可能要求不同級別的安全檢查和控制。安全策略服務器可以為不同用戶提供基于身份的個性化安全配置和網絡服務等級,方便管理員對網絡用戶制定差異化的安全策略。

(2)安全策略管理。安全策略服務器定義了對用戶終端進行準入控制的一系列策略,包括用戶終端安全狀態(tài)評估配置、補丁檢查項配置、安全策略配置、終端修復配置以及對終端用戶的隔離方式配置等。(3)安全聯(lián)動控制。安全策略服務器負責評估安全客戶端上報的安全狀態(tài),控制安全聯(lián)動設備對用戶的隔離與開放,下發(fā)用戶終端的修復方式與安全策略。通過安全策略服務器的控制,安全客戶端、安全聯(lián)動設備與防病毒服務器才可以協(xié)同工作,配合完成端到端的安全準入控制。(4)日志審計。安全策略服務器收集由安全客戶端上報的安全事件,并形成安全日志,可以為管理員追蹤和監(jiān)控網絡的整個網絡的安全狀態(tài) 提供依據。

2.3安全聯(lián)動設備

安全聯(lián)動設備是網絡中安全策略的實施點,起到強制用戶準入認證、隔離不合格終端、為合法用戶提供網絡服務的作用。安全聯(lián)動設備采用H3C 3600交換機,利用802.1X協(xié)議認證實現(xiàn)端點準入控制。安全聯(lián)動設備主要實現(xiàn)以下功能:

(1)強制網絡接入終端進行身份認證和安全狀態(tài)評估。(2)隔離不符合安全策略的用戶終端。聯(lián)動設備接收到安全策略服務器下發(fā)的隔離指令后,可以通過ACL方式限制用戶的訪問權限;同樣,收到解除用戶隔離的指令后也可以在線解除對用戶終端的隔離。(3)提供基于身份的網絡服務。安全聯(lián)動設備可以根據安全策略服務器下發(fā)的策略,為用戶提供個性化的網絡服務,如利用H3C 3600交換機的ACL、VLAN功能可以實現(xiàn)按不同用戶需求訪問不同的信息資源。

2.4第三方服務器

系統(tǒng)中隔離區(qū)的資源稱為第三方服務器。用于終端進行自我修復的防病毒服務器或補丁服務器。網絡版的防病毒服務器提供病毒庫升級服務,允許防病毒客戶端進行在線升級;補丁服務器則提供系統(tǒng)補丁升級服務,當用戶終端的系統(tǒng)補丁不能滿足安全要求時,可以通過補丁服務器進行補丁下載和升級。

3 端點準入防御系統(tǒng)組網方法

該系統(tǒng)組網,不需要對原有主要網絡結構進行改動。需要更改的設備只有接入層交換機。接入層交換機只要能支持802.1X協(xié)議、ACL、VLAN等功能即可。利用這種組網方法對不符合安全策略的用戶隔離嚴格,可以有效防止來自企業(yè)網絡內部的安全威脅。

4端點準入防御系統(tǒng)實施的效果

該系統(tǒng)整合防病毒與網絡接入控制,大幅提高安全性。確保所有正常接入網絡的用戶終端符合企業(yè)的防病毒標準和系統(tǒng)補丁安裝策略。不符合安全策略的用戶終端將被隔離到“隔離區(qū)”,只能訪問網絡管理員指定的資源,直到按要求完成相應的升級操作。通過端點準入防御系統(tǒng)的強制措施,可以保證用戶終端與企業(yè)安全策略的一致,防止其成為網絡攻擊的對象或“幫兇”。

提高了網絡安全性的同時,對網絡有效利用率也有很大的提高。減少了用戶終端故障頻率,提高了工作效率。

5結語

篇（10）

2石油行業(yè)信息網絡安全管理存在的安全隱患

無論是反病毒還是反入侵，或者對其他安全威脅的防范，其目的主要都是保護數(shù)據的安全———避免公司內部重要數(shù)據的被盜或丟失、無意識泄密、違反制度的泄密、主動泄密等行為。

2.1外部非法接入。

包括客戶、訪客、合作商、合作伙伴等在不經過部門信息中心允許情況下與油田公司網絡的連接，而這些電腦在很多時候是游離于企業(yè)安全體系的有效管理之外的。

2.2局域網病毒、惡意軟件的泛濫。

公司內部員工對電腦的了解甚少，沒有良好的防范意識，造成病毒、惡意軟件在局域網內廣泛傳播以至于影響到網絡系統(tǒng)的正常運行。

2.3資產管理失控。

網絡用戶存在不確定性，每個資產硬件配件（cpu、硬盤、內存等）隨意拆卸組裝，隨意更換計算機系統(tǒng)，應用軟件安裝混亂，外設（U盤、移動硬盤等）無節(jié)制使用。

2.4網絡資源濫用。

IP未經允許被占用，違規(guī)使用，瘋狂下載電影占用網絡帶寬和流量，上班時間聊天、游戲等行為，影響網絡的穩(wěn)定，降低了運行效率。

3常用技術防范措施與應用缺陷

3.1防火墻技術。

目前，防火墻技術已經成為網絡中必不可少的環(huán)節(jié)，通過防火墻技術，實現(xiàn)局域網與互聯(lián)網的邏輯隔離，使用有效的安全設置一定程度上保障了企業(yè)局域網的安全。

3.2計算機病毒防護技術。

即通過建立SYMANTEC網絡防病毒軟件系統(tǒng)，為企業(yè)內部員工提供有效的桌面安全防護技術手段，提高了計算機終端防病毒與查殺病毒的能力。

3.3入侵檢測系統(tǒng)。

入侵檢測幫助辦公計算機系統(tǒng)應對網絡攻擊，提高了系統(tǒng)安全管理員的管理能力，保持了信息安全基礎結構的完整性。從網絡中的各個關鍵點收集和分析信息，確認網絡中是否存在違反安全策略的行為和遭到網絡攻擊的可疑跡象。

3.4應用網絡分析器檢測網絡運行狀況。

部署如Sniffer等掃描工具，通過其對網絡中某臺主機或整個網絡的數(shù)據進行檢測、分析、診斷、將網絡中的故障、安全、性能問題形象地展現(xiàn)出來。為監(jiān)視網絡的狀態(tài)、數(shù)據流動情況等提供了有效的管理手段。

3.5交換機安全管理配置策略。

綜合評估石油企業(yè)網絡，在節(jié)點設備部署上以可控設備為主，通常的可控設備都具備遵循標準協(xié)議的網絡安全方案。較為常用的安全策略包括IP與MAC綁定、ACL訪問控制、QOS等。通過一系列的安全策略，有效提高了對企業(yè)網絡的管理。

3.6部署內網安全管理系統(tǒng)。

目前，企業(yè)局域網的安全威脅70%來自于內部員工的計算機。針對計算機終端桌面存在的問題，目前出現(xiàn)的主流產品是內網安全管理系統(tǒng)。其采取C/S架構，實現(xiàn)對網絡終端的強制性管理方法。后臺管理中心采取B/S結構，實現(xiàn)與管理終端交互式管控。

4多種技術措施聯(lián)動，保障網絡與信息安全

4.1網絡邊界管理

①防火墻。通過包過濾技術來實現(xiàn)允許或阻隔訪問與被訪問的對象，對通過內容進行過濾以保護用戶有效合法獲取網絡信息；通過防火墻上的NAT技術實現(xiàn)內外地址動態(tài)轉換，使需要保護的內部網絡主機地址映射成防火墻上的為數(shù)不多的互聯(lián)網IP地址。②入侵檢測系統(tǒng)。入侵檢測作為防火墻的合理補充，幫助辦公計算機系統(tǒng)應對網絡攻擊，提高了系統(tǒng)安全管理員的管理能力，保持了信息安全基礎結構的完整性。③防病毒系統(tǒng)。應用防病毒技術，建立全面的網絡防病毒體系；在網絡中心或匯聚中心選擇部署諸如Symantec等防病毒服務器，按照分級方式，實行服務器到終端機強制管理方式，實現(xiàn)逐級升級病毒定義文件，制定定期病毒庫升級與掃描策略，提高計算機終端防病毒與查殺病毒的能力。

4.2安全桌面管理。

桌面安全管理產品能夠解決網絡安全管理工作中遇到的常見問題。在網絡安全管理中提高了對計算機終端的控制能力，企業(yè)桌面安全管理系統(tǒng)包括區(qū)域配置管理、安全策略、補丁分發(fā)、數(shù)據查詢、終端管理、運維監(jiān)控、報表管理、報警管理、級聯(lián)總控、系統(tǒng)維護等。

4.3網絡信息管理。

對于網絡信息要按等級采取相應必要的隔離手段：①建立專網，達到專網專用；②信息通過技術手段進行加密管理；③信息與互聯(lián)網隔離。

4.4網絡安全管理防范體系。

根據防范網絡安全攻擊的需求、對應安全機制需要的安全服務等因素以及需要達到的安全目標，參照“系統(tǒng)安全工程能力成熟模型”和信息安全管理標準等國際標準。