时间：2023-06-06 09:30:15
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇网络安全设备，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
0 引言
TCP/IP协议的开放性、灵活性使得基于IP技术的通信系统成为各类通信网络的主要构成部分，但网络上的IP数据包几乎都是用明文传输的，非常容易遭到窃听、篡改等攻击。特别是传输重要数据的通信IP网，网络的安全性尤其重要。
IPSec（Internet Protocol Security）在IP层提供安全服务，使得一个系统可以选择需要的协议，决定为这些服务而使用的算法，选择提供要求的服务所需要的任何密钥。IPSec可保障主机之间、网络安全网关（如路由器或防火墙）之间或主机与安全网关之间的数据包的安全。因此，采用基于IPSec的网络安全设备可为重要数据安全传输提供保障。
1 IPSec概述
IPSec协议是IETF提供的在Internet上进行安全通信的一系列规范，提供了在局域网、专用和公用的广域网和Internet上的安全通信的能力，保证了IP数据报的高质量性、保密性和可操作性，它为私有信息通过公用网提供了安全保障。通过IKE（IPSec Key Exchange，自动密钥交换）将IPSec协议简化使用和管理，使IPSec协议自动协商交换密钥、建立和维护安全联盟服务。使用IPSec协议来设计实现的VPN（Virtual Private Network，虚拟专用网）网关具有数据安全性、完整性、成本低等几方面的优势。
使用IPSec协议是用来对IP层传输提供各种安全服务，主要包括两种安全协议，即AH（Authentication Header，验证头）协议和ESP（Encapsulating Security Payload，封装安全载荷）协议。AH协议通过使用数据完整性检查，可判定数据包在传输过程中是否被修改；通过使用验证机制，终端系统或网络设备可对用户或应用进行验证，过滤通信流，还可防止地址欺骗攻击及重放攻击。ESP协议包含净负荷封装与加密，为IP层提供的安全服务包括机密性、数据源验证、抗重播、数据完整性和有限的流量控制等。两者比较之下，ESP协议安全性更高，与此同时其实现复杂性也较高，本文设计的网络安全设备采用ESP协议。
2 网络安全设备设计
2.1 设备加解密原理
图1 设备加密工作原理
为确保重要数据传输安全可靠，需在通信IP网中增加保密措施，因此本文设计了基于IPSec的网络安全设备。设备采用软件和硬件相结合的方式实现IPSec协议体系。软件模块主要完成控制层面的功能，包括网络管理、密钥管理、策略管理、配置管理、热备管理、信道协商等功能；硬件模块主要完成数据处理层面的功能，包括数据包的协议分析、保密策略和加解密密钥的搜索、加解密处理、IPSec隧道头的封装和拆封装等功能，设备加密工作原理如图1所示。
当设备收到用户IP包时，先判断其是否为保密数据，如果是，则在该IP数据前加入一个ESP头，然后发送到公网。ESP头紧跟在IP头后面，ESP占用IP协议标识值为50。对IP包的处理遵守以下规则：对于要发送到公网的IP包，先加密，后验证；对于从公网上收到的IP包，先验证，后解密。
当设备要发送一个IP包时，它在原IP头前面插入一个ESP头，并将ESP头中的下一个头字段改为4，根据密钥管理协议协商得到的SPI（Security Parameters Index，安全参数索引）值填入到ESP头中，并分配一个序列号，同时根据算法要求插入填充字段，并计算填充长度。在ESP头的前面插入一个新的IP头，源地址为设备的IP地址，目的地址为对端设备的IP地址，并对相应的字段赋值，在做完以上处理后，对IP包加密，并进行验证，将验证数据插入ESP尾部。最后计算最前面的IP头的校验和。
远端设备接收到一个ESP包后，首先检查这个包是否有相关的SA（Security Association，安全关联）存在，如果不存在，则将该包丢弃。如果存在，则进行下一步处理。首先检查序列号，如果序列号无效（一个重复的包），则将该包丢弃。如果有效，则进行下一步处理。根据对应的SA对这个包进行验证，并将验证结果与IP包中的验证字段比较，若不一致，则丢弃，若一致，下面就进行解密，并根据填充内容来判断解密是否正确，因为填充数据可以通过约定事先知道。在验证和解密成功后，就对IP包进行初步地有效性检验，这个IP包的格式与SA要求的工作模式是否一致，若不一致，则丢弃该包，若一致，就准备从ESP包中解出原IP包，删除外面的IP头和ESP头，然后检查这个IP包与SA所要求的地址和端口是否符合，若不符合，则丢弃，若符合，则设备将该IP包转发出去。
2.2 硬件结构设计
网络安全设备采用模块化的设计思路，各硬件功能模块之间采用接插件方式连接，各模块的连接关系如图2所示。
图2 设备硬件结构及连接关系
设备主板是数据处理核心模块，其他各模块通过接插件与其连接。承载了业务安全处理、加解密等设备的核心功能。其上的主控模块运行Vxworks操作系统，承载设备嵌入式软件，全面管理设备软硬件运行状态。板载密码模块完成业务数据的高速加解密处理。
接口板包括用户口和网络口两块接口板，通过高（下转第64页）（上接第65页）速接插件插在设备主板上。接口板上的千兆MAC芯片通过业务和控制线缆连接到后接线板。
IC卡读卡器通过RS232接口线缆与设备主板上的主控模块相连。电源模块使用电源接插件为各功能模块提供相应的直流电源。后接线板提供千兆口、100/1000自适应电口的用户业务接入，本地控制接入。
3 VPN构建
网络安全设备专门用于在TCP/IP体系的网络层提供鉴别、隧道传输和加解密功能。通过对IP层加解密，可以支持大多数用户业务，对局域网重要数据进行加密保护，通过公共通信网络构建自主安全可控的内部VPN，集成一定的包过滤功能，使各种重要数据安全、透明地通过公共通信环境，是信息系统安全保障体系的基础平台和重要组成部分。设备部署在局域网出口处，通过对IP数据的加解密，可以保证局域网数据在公共信道上传输的安全性。
与设备相连的内部网受到IPSec保护，这个内部网可连入不安全的公用或专用网络，如卫星通信、海事和专用光纤等。在一个具体的通信中，两个设备建立起一个安全通道，通信就可通过这个通道从一个本地受保护内部网发送到另一个远程保护内部网，就形成了一个安全虚拟网。当位于某个安全内部网的主机要向另一个位于安全内部网的主机发送数据包时，源端网络安全设备通过IPSec对数据包进行封装，封装后的数据包通过隧道穿越公用网络后到达对端网络安全设备。由于事先已经经过协商，收端网络安全设备知道发端所使用的加密算法及解密密钥，因此可以对接收数据包进行封装。解封装后的数据包则转发给真正的信宿主机，反之亦然。
4 结束语
在设计网络安全设备时采用IPSec协议，使用ESP对传输的数据进行严格的保护，可大大增强IP站点间安全性。在传输重要数据的通信IP网中使用本文设计的基于IPSec的网络安全设备构建VPN能很好地防止数据被更改或窃取，确保数据传输的安全性。
【参考文献】
[1]蓝集明，陈林.对IPSec中AH和ESP协议的分析与建议[J].计算机技术与发展，2009，11（19）：15-17.
[2]郭旭展.基于IPSec的VPN安全技术研究[J].电脑知识与技术，2009，8（24）：52-54.
关键词：计算机；网络；安全管理
中图分类号：TD672 文献标识码：A
1 引言
全球互联网络的飞速发展为网络安全提出了新的挑战：网络规模及其复杂程度不断扩大；传统网络攻击技术不断进步；各种系统安全漏洞广为传播；高级攻击技术和工具肆意在互联网上流传；来自网络内部的攻击数量与日俱增等。面对层出不穷的网络安全问题，很多机构和部门都购置了各种网络安全产品，如防火墙、入侵检测系统、漏洞扫描器、网络防病毒软件等。毋容置疑，这些产品分别在不同的侧面保护着网络系统。但是从系统整体安全考虑，这些单一的网络安全产品都存在着不同的安全局限性。并且随着网络规模的不断扩大和网络安全产品的日益丰富，如何有效地对这些产品进行统一的管理和配置而不仅仅是对网络安全产品进行简单堆砌，如何使得构成的网络安全系统更加安全、高效，就成了目前网络安全面临的一个主要问题，于是导致了网络安全管理平台的产生。
2 网络安全管理平台总体功能
网络安全管理平台要向网络安全管理用户提供一个配置管理安全设备、对网络安全进行审计、监控网络安全设备状态的软件环境。所实现的主要的功能为：网络安全设备配置管理功能、安全审计功能、安全数据实时采集监控功能、平台自身的安全性。其中安全审计包括网络安全设备系统日志审计功能与网络安全设备流量信息审计功能。下面就网络安全设备管理功能及网络安全设备系统日志审计功能加以说明：
一般说来，网络安全设备自身有多种网络安全功能，这些功能要由网络安全管理者根据具体的网络安全策略来做出配置。根据当前大多数网络安全设备的总体功能与网络安全管理的要求，本网络安全管理平台主要向用户提供以下方面的配置管理功能：系统监控功能、安全策略配置功能、连接控制(IP Inspect)配置功能、NAT功能配置功能、QoS功能配置功能、阻断配置功能。
网络安全设备系统日志审计功能作为安全审计中重要的一环－物证收集，是安全审计的基础和前提。网络安全设备日志格式主要有三种：Syslog、Traffic log、WELF。其中Syslog格式日志在包括Cisco、Juniper在内的很多网络设备中的广泛应用，并由网络安全管理平台的安全日志Syslog审计功能来完成统计各个主机Syslog总条数、根据用户所关心的级别查询所有Syslog日志、根据用户关心的类型查询所有Syslog日志、据某个主机IP段查询所有主机日志等审计功能。
3 网络安全管理平台的系统设计
网络安全管理平台的系统的设计以采用目前业界流行的BS/结构。数据存储采用oarcel数据库和文件服务器。系统从可扩展性、高性能、系统的松祸合性、安全性等角度进行了充分的考虑，为安全信息系统的管理提供了一个商业级、智能化的统一管理平台;同时系统采用面向对象设计并以遵守SUNJava编程规范、遵守JZEEZ.O标准;遵守Struts开发架构为主要设计原则。
安全管理平台的系统的设计以有效解决对关键安全数据进行业务关联分析和计算、指导安全运维，减少安全运维的工作量、统一管理资产信息、汇总安全评估结果、实现安全事件过滤、避免海量事件出现，规范安全事件响应流程、改善安全响应工作效率、提高处理水平。实现风险模型、统一存储、呈现、查询等功能为系统设计的总体目标。使系统在进行数据操作的时候进行一致性、完整性、值域完整性校验，确保系统数据的可用性、有效性和合法性。
网络安全管理平台的设计主要有四部分构成:产生安全事件的安全设备和安全系统(防火墙设备、入侵检测设备、防病毒系统、终端监控系统、服务器、主机等)、安全信息数据库系统、安全事件采集子系统和数据管理子系统。在可靠性设计上采用稳定、高效的ApacheTomcat5.0作为web服务器，并且架构设计合理且严谨。在易实用性设计上采用ExPlorer方式导航，操作方便、效率高，使用人员只要具备基础的计算机知识，通过阅读使用说明手册或者接受简单的培训就能掌握使用本系统。在可维护性设计方面为使用者提供完善的系统保护和补救说明，帮助使用者快速的解决问题。在可移植性设计方面系统采用功能模块设计，数据采集子系统和数据管理子系统相互独立，减少了系统的藕合度。
4 网络安全管理平台的系统的实现
网络安全管理平台的系统的实现主要体现在平台图形化界面客户端设计实现和数据的结构化转换实现两方面。
网络安全管理平台客户端向网络安全管理用户提供一个界面友好、结构清晰、易于操作的图形界面。在安全管理平台图形界面的设计中，有一个关键问题需要解决即在复杂的图形界面中，如何将图形界面显示数据转换为程序运行时所定义的应用数据结构中去？要解决这个问题，就需要用到Observer设计模式。Observer设计模式定义对象间的一种一对多的依赖关系，当一个对象的状态发生改变时，所有依赖于它的对象都得到通知并被自动更新。在图形界面的设计中，Observer设计模式的典型应用是将图形界面表示与底层的应用数据分离。图形界面是应用数据的外在表示，而实际数据存储于相应的数据结构中。
在数据的结构化转换中广泛的应用XML技术，XML技术使客户端与服务器端的数据交换一致性与相互可理解性问题迎刃而解。XML的灵活扩展性以及自我描述等特性，使异构应用间的数据共享成为可能XML能够将不同来源的结构化数据结合在一起，通过在中间层的服务器上对从后端数据库和其他应用程序取来的数据进行集成。
5 结语
网络安全管理问题是当前安全领域研究的热点问题,构建安全管理平台,以安全管理中心的形式实现身份认证与授权管理,为网络上的业务系统提供安全基础服务,有效实现各种异构安全设备进行统一配置与管理,并对海量的安全日志进行关联分析,是网络安全管理工作亟待解决的重要难点。本文所提出的统一网络安全管理平台力图实现一个多层次、立体化的安全防御体系,进行了相关的研究并在实际应用中取得了良好效果。
目前我国网络安全管理平台的研究与设计尚处于起步阶段,展望未来的发展主要体现在:①加强事件关联分析功能,提高关联分析的效率与准确性。②构建网络安全知识库,针对特定安全事件,以专家知识库的形式提示管理人员可选择的应对处理工作流程,解决传统过度依赖安全工作经验的问题。③加强设备联动能力,目前入侵检测设备与防火墙可实现简单的自动设备联动,尚无法实现较复杂的联动任务,未来将基于网络安全专家知识库研究自动化程度更高的安全设备联动功能。
参考文献
日前，象征台湾产品最高荣誉的第14届台湾精品奖的评选活动圆满落下帷幕。其中，国际知名网络宽带系统及解决方案供应商合勤科技(ZyXEL)推出的ZyWALL 5／35／70UTM综合网络安全设备系列产品，以其优异的产品设计和丰富的功能从600多件参选产品的激烈竞争中脱颖而出，获得台湾精品银质奖和两个台湾精品奖，同时这也是27件金、银质获奖产品中唯一入选的网络产品。显示出该综合网络安全设备系列在为企业用户搭建网络安全屏障、打造全方位防护体系上所拥有的全球领先技术，前沿的设计水准和极高的产品性价比。充分展示了合勤科技(ZyXEL)在网络安全产品方面所具有的突出市场竞争优势和强大实力。
据悉，台湾精品奖是整合原有的台湾精品与产品形象奖，由台湾经济部国际贸易局主办，外贸协会执行的台湾最高等级产品设计奖项之一，代表着台湾产品的最高荣誉。该评选主要以产品的“研发创新”、“设计与创新”、“品质系统”、“市场与品牌认知”等5个项目为评选依据，同时聘请岛内外知名学者、专家担任评委，经过严格的筛选和比较评出。目的在于提升企业产品创新度与制造品质，提升核心价值产品的市场占有率。今年的该奖项在经过为期两个月的严格审核后，从635件入选产品中，选出了318件台湾精品奖，再从中最后优选出了5件金质奖和22件银质奖。合勤科技(ZyXEL)的ZyWALL 5／35／70UTM综合网络安全设备系列此次是第一次参加精品奖，就摘得如此重量级的奖项，再次凸显了合勤科技(ZyXEL)一直以来在网络安全产品方面深厚的积累和对产品品质的不断超越。
此次合勤科技(ZyXEL)获奖的ZyWALL5／35／70UTM综合网络安全设备系列产品，分别针对中小型、SOHO等不同应用环境设计，通过高性能一体化设计的防火墙来保护网络的安全，在提高网络效能和企业的生产力的同时，可方便地进行远程接入网络，并能通过单一配置界面来方便进行管理。值得一提的是，该系列产品运用了合勤科技(ZyXEL)独创的ZyNOS操作系统，同时融合了世界著名的卡巴斯基公司的防病毒技术，能提供整合防火墙、VPN、负载平衡、宽带管理、内容过滤、防病毒、IDP、防垃圾邮件等8项功能的安全平台，还可通过ZyWALL Turbo Card加速卡将防火墙速度提高到当前ZyWALL系列产品安全处理性能的20倍，具有极佳的产品性能和全面的安全特性，是一系列非常优秀的8合1UTM综合网络安全产品。
ZyWALL5／35／70UTM系列产品图片
传承“诚信、创新、速度、共享、客户满意”的核心价值，合勤科技(ZyXEL)全线出击，推出了DSL局端及客户端接入设备、路由器设备、网络安全设备、无线局域网接入设备、网络语音电话及以太网交换机等系列产品，并为中小企业提供全方位的宽带网络应用整合解决方案。其自创的ZyXEL品牌营销已延伸至五大洲150余个国家。曾连续三年蝉联全球及欧洲第一大DSL路由器品牌，是全球第一大VDSL设备供货商，欧洲第二大及全球第三大DSL客户端设备品牌。随着网络市场的日益发展，合勤科技(ZyXEL)始终坚持诚信的原则，致力于技术创新，强化竞争能力。面对日益严重的信息网络安全问题，合勤科技(ZyXEL)将继续坚持开拓创新，提高网络系统及设备的安全防御能力及整合性能，实现安全与网络的深入融合，进而有效地应对网络威胁，为用户带来更全面、体贴的安全应用与感受。
【关键词】策略驱动;网络安全;组件
1 引言
随着计算机网络应用领域不断扩大和复杂性的日益增长,暴露出的众多安全问题越来越令人担忧。电脑病毒、黑客入侵等事件已屡见不鲜。为此,市场上出现了各个层面的网络安全产品,如软硬件防火墙、漏洞评估工具、入侵检测系统、病毒扫描、和各种系统安全防护探针等。从抽象角度分析,硬件的网络安全产品,软件的安全应用,各种安全事件和安全数据的管理工具都可以看成网络中的安全防护设备,简化起见本文将其统称为安全设备。它们在一定程度上保障了网络环境的安全。然而,在绝大多数场合中这些安全产品是被孤立地使用的,安全产品供应商往往只是从某一个局部去解决网络安全的部分问题,而很少从整体以及安全管理的角度去考虑。事实上,只有动态地从整体与管理的角度去考虑安全才有可能真正为用户提供安全保障,因而有必要设计一个统一的安全策略,协调各个不同层面网络安全资源的综合性安全管理系统,以使各个层面的网络安全产品融合成一整体。但是,安全设备的增多提高了网络管理的复杂性卜,由此网络安全管理的概念应运而生。所谓网络安全管理就是管理以上所提到的来自不同厂商不同作用范围的网络安全硬件、安全应用进程、网络安全数据等。[1]
设计了一个基于策略驱动的网络安全设备联动管理平台的原型系统。下面我们将首先分别介绍安全设备和网络安全联动管理,并在后面的章节中具体介绍我们设计的网络安全管理平台。
2 网络安全管理平台的框架
网络安全管理平台的设计目的是提供一个可扩充的体系框架,在这个框架下被管理节点的功能可以根据管理的需要增加或者删减,从而达到管理地灵活性,可扩充性,分布式,同时简化和降低管理复杂度。
基于对管理平台的各种技术和功能的要求,我们设计了一个分布式的多节点系统。系统中存在着以下几种角色:管理节点,安全组件,核心控制台,策略引擎和安全通信通道。
管理平台希望获得管理灵活、方便的性能,我们提出了基于策略的管理方式。策略体现网络安全管理员的管理意图,描述当前网络的安全操作和安全性育昌。
通过以上设计,网络安全管理平台应该能够达到通过对现有网络安全设备简单包装即可嵌入本文设计的网络安全管理平台,达到可集成当前存在的网络安全资源遵照安全平台规范设计的安全组件可以在网络内部平滑的流动,从而达到管理可扩展性和动态性符合管理平台规范安全组件的特定功能可以调用其他组件或者被其他组件调用,达到安全能力互补提高系统可存活性的目的。
在安全管理平台中,安全管理策略可以理解为网络管理员的管理意图。这里可能有两类情况,其一是经一定的触发安全事件而执行的动作以保证大型网络安全。触发源来自安全组件的报警,执行动作由具备相应功能的安全组件或设备,这一类称为系统响应策略或联动策略。另一类是为了完成系统交互功能,网络管理员设定的一些网络安全管理命令,它通常包括管理动作,管理对象,管理方法等儿个部分,这一类可称为安全管理策略或功能策略。管理策略可以描述为安全管理策略={ START STOP LOAD UNLOAD }+安全管理组件+管理域,即在一个管理域内安装、卸载、启动或停止一种安全管理组件。例如,在所有Linux服务器上安装一个Anti sniffer软件,所有Linux服务器是一个管理域、Anti sniffer软件是一个安全管理组件,安装或启动就是一个管理方法。
3 管理平台的消息机制
消息机制下的系统具有可扩充性强,分布式甚至对等处理等优点。消息在网络中可以被以中间节点全部转发、部分转发、部分处理、全部处理等多种方式使用。如果消息、能够采用标准的消息格式,则系统中还可能兼容大量的不同实现方式的中间节点。在网络安全管理中,对大量来源的资源的整合、兼容是非常重要的,如论文开始所述,正是由于网络安全的复杂性和多样性才产生所谓的网络安全管理的概念。同时,规范化的消息能够帮助系统适应复杂的网络拓扑结构,因为,中间节点的转发功能实际上相当于IP网络中的路由器的概念,网络中大量存在具有转发能力的管理节点l相当于大规模网络中存在大量的路由器)使消息可以在复杂拓扑的网络中正确的被发送到指定的位置。
网络安全管理平台原型系统的数据流是采用消息模式,系统的绝大多数行为由消息驱动产生。网络安全管理平台所有传输的消息都是采用XVIL格式。通讯数据经过加密和认证的安全通道传输。
在网管平台原型系统中,由于系统数据传输采用EVIL,格式,所以,XML文件的解析成为系统消息机制的核心问题。实践中我们采用C DOM API作为XML Parser的基础。
平台的消息通讯过程中,Core Manager同Agency以及Agency之间的交互采用平台消息的格式。传送双方一的节点主要处理依据是数据头()中的Message巧pe标签值。对应于不同的标签,消息体()中包含了不同的数据,同样节点的处理方一式也不相同。同时,底层通讯时分别采用了RC4加密和MDS认证技术,保证通讯内容的安全。本节将具体介绍通讯的安全机制以及整个通讯过程中的消息机制。
平台启动后,主控端和分控端经过认证后,分控端发送注册报文向主控端注册资源,主控端下发启动策略并镜像联动策略倒分控端。内容检测探针一启动后,当发现有泄密事件发生后,添加到平台报警队列中。策略引擎轮询报警队列,当报警队列不空时,分析相应事件进行策略匹配,从而完成一次联动过程。
4 总结
网络安全管理系统及其原型系统采用XML,语言作为系统平台的统一策略语言,定义了语言中的各种资源描述规范。使用XML,格式的消息作为系统平台的基本消息格式,定义在策略收发过程和系统反馈过程中的消息处理模式。实现了一个基于策略的网络安全管理原型系统,原型系统能够分析策略语言的内容,按照顶先定义的方式“推送”策略到策略执行点。原型系统基本可以达到简单的策略编写就可以管理网络中的不同来源的设备集成管理,达到联动的网络安全管理基本目的。
【参考文献】
关键词：数字化医院；网络安全
中图分类号：TP393 文献标识码：A文章编号：1007-9599 (2011) 20-0000-02
The Study of Digitalization Hospital Network Security Issues and Strategies
Li Zhihua
(Hospital of Wuzhou City,Wuzhou543000,China)
Abstract:Digital management of medical equipment and first-class modern hospital two main components,through the computer network,PACS systems to achieve a concentration of medical image management and sharing of information,HIS system put the hospital and medical services for transaction management information management,computer networks and digital management in hospitals is becoming increasingly important role.To enhance network management,protection of digital and information security management,this paper analyzes the hospital information network security problems faced on the basis of a solution of computer viruses,information system crashes,data loss and other problems measures.
Keywords:Digitalization hospital;Network security
一、前言
“数字化医院"信息技术发展的产物，它主要由三个部分组成，即计算机网络、业务应用系统和数字化的医疗设备，这三部整合在一起构成了医院的综合信息系统，该系统包括信息的采集、传输、存储和处理等功能，实现了医院内部医疗业务和管理工作的流程化、数字化运转。“数字化医院"是医院现代化的标志，它有助于医院整合资源、优化流程，从而达到运行成本减少，服务质量提升的管理目标。
医院的数字化运转带了了很多便捷，但同时也存在着这样的问题：医院的正常运转离不开信息系统，只要信息系统在运行中发生问题，就会给整个医院带来严重的后果。信息系统的稳定性、安全性成了医院开展工作的保障。
二、数字化医院计算机网络安全的重要性
医院的信息化建设工作经历了不同的阶段。在信息化起步阶段，医院内部的科室各自建立了独立的应用系统的软件，以满足自己的需求，系统之间是孤立的缺乏相互的联系，如果某个应用系统出现安全问题，其影响范围一般只限于本科室。而“数字化医院"阶段，医院内不同的应用信息系统之间实现了系统整合和数据共享，各个应用系统都运行在医院内统一的计算机网络平台上，在这个环境下一旦某个终端出现了安全问题，如病毒发作等，其影响可能会波及到整个网络，从而影响整个医院内部信息系统的运行，给医院的正常运转带来严重的影响。如果攻击损坏了存储设备或服务器上的医疗数据，可能会导致医疗业务无法在正常开展，影响患者的及时救治，影响医院的声誉。
三、数字化医院中计算机网络安全面临的主要问题
（一）病毒感染
随着医院信息系统（HIS）应用的全面铺开，客户端的数量不断增加，这就给医院内部的信息网络管理部门带来了挑战，这些部门需要投入更多的精力来防治病毒感染。病毒感染对网络的影响巨大，举例来说，如果网络中的某些客户端没有打上操作系统漏洞的补丁，这些漏洞就很容易被蠕虫等病毒利用，严重时会就让整个网络瘫痪，破坏服务器上的应用程序和数据，导致HIS不能正常运行。
（二）擅自安装光驱和使用USB存储设备
在网络安全管理中，常采用的措施有2个，一是拆除光驱，二是通过客户端计算机中的CMOS设置，禁用USB端口。这样可以防止客户端的操作人员通过光驱和USB存储设备来安装游戏和软件，以免USB存储设备上的计算机病毒在安装时感染客户端，增加整个网络被病毒感染的危险。有些操作人员为了满足自己的需要，不顾网络安全管理的要求，擅自安装光驱和使用USB存储设备，给网络安全带来隐患。
（三）擅自修改的IP地址
擅自修改的IP地址也是网络安全的一大隐患，在医院的网络系统中，往往给客户端分配固定的IP地址。有些员工擅自对自己客户端的IP地址进行修改，导致与网络上其他客户端、服务器和网络设备等发生地址冲突，如果与某个客户端发生冲突，会导致该客户端无法与服务器进行连接，如果与服务器和网络设备等发生地址冲突，则会影响到整个网络，导致网络瘫痪。
（四）盗取数据库密码
盗取数据库密码是网络安全中遇到的技术含量较高的问题，盗取者往往有比较高的计算机水平，因而当盗取数据库密码进行非法连接数据库时，所带来的安全隐患也最大。非法连接者可以修改、删除数据库中的数据，可以拷贝系统中的一些信息，给HIS的正常运行和医院的运转带来影响。
四、网络安全的防范措施
（一）实施内外网物理隔离
数字化医院的职责要求医院的计算机网络必须实行内外网物理隔离，这里的外网主要是指互联网以及医院外部的网络，内网是指医院内部承载HIS系统运行的网络平台。外部网络由于范围广泛、用户数量多，黑客攻击和病毒等都比较多，需要和业务系统进行隔离。物理隔离一般有两种做法，一是在只采用一套网络线路，在网络的边界购置网闸进行隔离，用户在内外网络切换时，不需要调整网线接口；二是在综合布线的时候铺设两套线路，一套用于与互联网等外部网络相连，另外的一套用于内部HIS系统的运行。
（二）维护网络的物理安全
要做好网络的物理安全维护，需要从三个方面入手，一是按照国家的有关标准，制定却是可行的设备运行和维护管理制度，并严格执行；二是在设备选购过程中，选择质量稳定、安全性能好的产品，三是做好网络设备维护的技术措施和技术保障。
网络组成部分包括服务器、网络互连设备、网络线路、网络安全设备等，网络物理安全维护的技术措施主要包括三个方面：一是对重要设备的供电保障和安全、防止电磁干扰；机房需要配备8小时以上的UPS电源，使用后备电源保障服务器和网络核心设备的正常运行，二是防治自然性灾害对网络的破坏，如防雷、防水灾、火灾等，三是防止认为的误操作等对网络设备物体的破坏，这就要求网管人员严格按照设备的使用规范操作。
在做好设备的物理安全的同时，还要对关键设备做好应急措施。应急措施一般要做好以下两个方面：一是对关键设备存有备件，一旦设备发生故障，可以及时更换，保障HIS尽快恢复运行；二是对关键设备做双机热备，当其中一台设备出现故障，另一台设备就自动切换，保证系统的运行不间断。
（三）禁止使用游戏、娱乐软件
医院作为员工工作的场所，应制定规章制度，严格禁止使用游戏、娱乐软件，利用计算机终端做一些与工作无关的事情。使用游戏、娱乐软件不光影响医务人员的形象，同时游戏、娱乐软件还是计算机病毒传播的途径之一。
（四）强化客户端操作系统的安全
强化客户端操作系统的安全主要做好二点：一是维护操作系统的稳定，及时更新操作系统的补丁，让病毒和黑客攻击没漏洞可钻；二是做好客户端登录的身份验证，强化客户端的口令管理。通过局域网的域控制器对客户端进行身份验证，只有通过验证的用户才能使用信息系统，共享网络数据。
（五）完善数据备份措施
数字化医院的所有工作成果和工作过程数据都保存在网络上，数据是HIS系统的起点和归宿，保证数据的安全显得尤为重要。制定和实施完备的数据备份措施，是达到数据的完整性、可靠性、可用性的重要保障。数据备份应采取实时备份和定期备份相结合的方式，根据数据重要程度和数据产生的特点，确定是否需要热备份以及定期备份的频率。
（六）采用杀毒软件及网络安全设备
采用杀毒软件及网络安全设备是加强网络安全的防范的重要措施。病毒和黑客攻击是破坏网络安全、破坏数据的主要原因，必须严加防范。杀毒软件有网络版和单机版两种，单机版只能对本机的病毒和攻击进行防治，而网络版杀毒软件可对整个网络的病毒进行防治，客户端把病毒监控和查杀信息反馈给软件监控中心，监控中心统计网络中存在的病毒和攻击的类型和数量，让网管人员可以及时采取措施，隔断病毒的传播，把病毒影响的范围控制下来，因而数字化医院应该采用网络版杀毒软件。防火墙、入侵检测、网闸等网络安全设备目前在防范病毒和黑客攻击中发挥着越来越大的作用。防火墙设置在不同网络之间的安全设备。它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护。入侵检测设备对网络行为、安全日志或审计数据或其它网络上可以获得的信息进行操作，检测对系统安全的影响和威胁。网闸弥补了防火墙的不足之处，通过对两个网络在链路层断开，实现不同网络上的数据库之间交换数据，实现安全隔离、内核防护、协议转换、病毒查杀、访问控制、安全审计、身份认证等功能。
网络安全设备和杀毒软件的选择必须根据网络的实际情况和安全要求，配合使用，才能达到较好的防范效果。
（七）严格密码管理
破译用户密码是在网络攻击的第一步，网络入侵者只有取得密码，才能做下一步的入侵攻击，因而HIS系统的管理员必须严格密码的管理：一是密码的选取必须符合必要安全规范的要求，密码要保证一定的长度和复杂度，不容易破解和猜测；二是在不同的系统上要使用不同有的密码；三是密码要定期更改，不能一成不变；四是密码不能外泄，只能由系统管理人员掌握。
（八）采用远程桌面管理系统
近几年，远程桌面管理系统的运用在逐渐推开，其功能也越来越强大，可以实现客户端软件系统和硬件设备状况的管理、可以对客户端进行配置、可以监控客户端的用户操作的内容。系统管理员只要在自己的办公室就基本可以完成以前的网络管理工作：如果发现病毒，网管就直接操作查杀客户端；如果发现非法入侵，网管可堵住系统的漏洞，如果客户点擅自修改了密码，系统管理员可以及时进行调整，如果员工擅自在计算机上安装光驱等设备，系统管理员可及时发现，并责令改正。
五、总结
计算机网络的安全是数字化医院正常运转的重要保证，随着信息化技术的高速发展，信息网络安全所遇到的问题会越来越多，道高一尺、魔高一丈，解决问题的方法和手段也会日益增加。为做好网络安全，系统管理人员不仅要钻研技术，从技术来保障安全的实现；还要提高自己的综合管理能力，制定出可行、可操作的管理制度；还要更新观念，把网络安全管理变"堵"为"杀"或"防"的层面上，既要保障网络的安全，又要满足员工的多样化需求。
参考文献：
[1]阮兴云等.医学工程实践与探索[M].昆明:云南科技出版社,2010,6
[2]向明华.医疗设备系统数据的安全与备份[J].医疗设备信息,2005,11:15
[3]张俊才.基于三层构架的医院信息系统监控平台设计[J].医疗设备信息,2005,11:8
[4]郭雪清等.医院信息网络系统运行中的安全管理[J].医疗设备信息,2005,4:53-54
[5]郑少慧.HIS系统数据的安全与维护[J].医疗设备信息,2004,7:16-17
关键词：信息安全 通信融合 网络安全
信息技术的发展使网络世界变得复杂多样，为了能够有效的改善这种情况，我们在网络系统中设置多个安全设置，将信息进行融合，改变了单个安全设置防备不完善的性能，保障了系统的安全。
一、当代的我们为何要重视信息安全
1.由于微机本身的安全性能较低
微机产生于上世纪七十年代，当时的集成电路高度发展，最终形成了微机。微机在成熟后被称为个人计算机，针对于个人使用，而不是公用。微机的出现虽然在一定程度上降低了制造成本，但随着储存器隔离机制和程序的安全保护机制等一系列成熟的信息安全机制被去除，程序的执行不再被限制，系统的数据也可以随意被更改，病毒、木马等程序也就趁机猖獗起来。
2.随着信息技术的再度发展，最初的被称为个人计算机的微型计算机再次成为公用，但关于信息安全的系统已经去除，因此，现代计算机面对如此复杂的环境，抵御能力自然下降。
3.网络的迅猛发展，再次将计算机带入到了网络中，甚至已经成为了一个重要的组成部分。网络的连接使信息的传递突破了地域的界限，但缺乏安全体制的管理，网络信息世界已经危机四伏。一些网络协议的复杂性，导致了安全验证的过程十分复杂，其次，当前的网络协议都是一些较为简单的。不能完全保证信息的安全性和网络不被攻击。
二、信息通信的融合发展
最初的信息技术与通信技术是两个毫不相干的独立领域。随着时代的转变，技术的发展，通信技术为了使更多的人获取到信息通信增值服务，在技术层面上将通信技术逐渐从底层延伸到了应用层，总之，通信技术和信息技术两者之间在理论上的界限越来越模糊。但从目前的总体趋势来看，通信技术和信息技术的融合发展，是大势所趋。两种技术的融合可以基于宽带网络提供通信服务，如进行信息的采集和共享工作。
信息技术和通信技术的融合在当代形成了一个全新的技术领域。它为传统的行业在技术上带来了颠覆性的转变。突破了传统的软件产业与硬件产业独立发展的境况，逐渐将软件硬化、硬件软化了，以此来逐步节约成本和提升管理工作的效率。同时也使产品具有更高的稳定性，实现了信息从上层贯穿至底层的资源互动。
此外，我们在当代提出信息通信技术的融合是由于信息通信技术已经成为了推动社会发展的主动力，并迅速的带动了各国的经济增长。而在我国，信息通信融合这一概念最早被接受则是出现在电信运营商。他们将现代的信息技术通过计算机网络与通信融合成一个提供服务的平台，后来，这一平台就被称为融合通信。当前，我国已经正式将信息通信产业设立为推动我国经济繁荣的新兴产业。三个主要的通信服务运营商正在以不同的方式进行着信息通信的融合。信息通信融合发展，不仅对于我国的通信业务产生了影响，也对我们发展国家电力电网事业有了启发。我国在发展智能电网和智能电厂的创设方面多运用了这一融合性的思想，将会对智能电网事业起到支撑性的作用。
三、信息通信融合技术在网络安全中应用的必要性
信息融合技术已经成为国内外的研究热点，经过研究表明，发挥信息融合技术的自身优势，是保证网络安全的关键。
1.随着信息技术的不断发展，传统的设置防火墙已经不能解决来自互联网内部的网络安全问题了。网络安全设备的单一性再次暴露了无法应对多重网络攻击的特点。杀毒软件无法识别最新的病毒程序，检测系统无法及时的传递检测信息。而这时正需要对网络的安全性做出全面的分析。
2.高速运转中的各类信息急切的需要一个管理的平台。随着网络攻击的日益增多，我们在网络的配置中增添了许多的安全设备，但这些安全设备在运行的过程中难免会产生大量的信息，这为网络安全管理员对于安全性的分析设置了障碍。同时，过于复杂的管理过程也影响了网络系统之间的合作。
3.网络攻击手段的多样性催生了许多关于网络安全性的思考。现代的网络攻击手段，通常是分层次，分步骤的逐一进行攻击。因此，我们只有顺应变化，不断的提升网络安全防御能力，才能提升网络安全性，全面的分析和处理网络问题.
四、信息通信融合应用到网络安全中的可行性
网络攻击手段的不断复杂和安全技术的不断发展，促使了信息融合技术的应运而生，信息融合技术在网络安全方面起到了联动、预警、评估分析等作用。并且经过长时间的实践，我们发展融合技术应用到网络安全方面是可行的。
1.单个网络设备在防御方面通常具有不稳定性和一定的局限性。而信息融合技术则能够在一定程度上使网络的性能得到有效的提升，并能将运行中的网络状态准确的描述出来。
2.网络安全设备中融入了信息安全设备，将有利于提升网络安全设备的可信度，同时也提升了判断网络安全问题的正确性。
3.信息融合技术在处理网络安全中的不确定性问题方面做出了贡献，减少了我们对于网络安全问题上认知的模糊问题。
4.由于采用了信息融合技术，从而整体提升了网络对于信息的检测能力，通过网络多个安全设备的处理信息和对安全事件的综合处理结果，提升了对于网络中的有效且安全的信息的发现概率。
随着网络之间攻与守的角色不断转变，信息融合技术在网络安全中的重要意义也逐渐受到了来自国内外的关注。在国外的相关文献中曾指出，信息的融合可实现不同质的数据进行融合。若想要成功的反应一个网络系统的网络形态，就必须要进行数据信息的融合。此外，国外还有根据信息融合技术构建态势感知模型。通过态势感知构架我们得知，信息的融合能够及时的了解网络的安全动态，并对我们在进行有关的决策时提供帮助。
五、信息融合技术在网络安全的应用中仍需改善的地方
虽然信息融合技术在一定程度上为网络安全做出了贡献，也有许多技术应用到了网络安全的创建中，但纵观整体，仍有许多需要改进的地方。
1.信息融合的过程中，可以适当的选择多种方式相结合，避免由单一方式造成的误差以及理论性误差，提升结果的准确率。
2.信息融合技术目前只是针对某一种网络安全问题进行模型创立和解决问题，而没有涉及到整体的网络状况的研究。
3.应注重融合技术与网络安全系统的不断磨合，使其充分适应网络环境，降低由于主观因素带来的不适应性问题，从而全面的反应系统的安全问题。
总结：
信息通信融合技术的发展是一个长时间的复杂的工程，从维持到稳定再到发展也是一个漫长的过程，这其中也包含了对于网络、信息、系统等多方面的管理水平，以及对于操控计算机的专业人员的水平管理。也可以说，这其中的任何一个环节的疏漏都有可能导致融合技术无法发挥其正常的水平。在当前这个信息时代，信息的安全已经关系到国家的安全，因此，我们利用信息融合技术，切实的保障言网络系统和信息的安全能够在一定程度上提升我们的综合国力。但我们深知，信息融合技术的发展还不够完善，起步较晚，而且网络信息安全的保障工作也不在一朝一夕之间，更多的是需要我们根据实际情况，磨合信息融合技术，全面而有效的保障网络信息的安全。
参考文献：
[1] 金海敏， 许斌. 浅谈当前形式下电力信息通信技术[J]. 大科技，2011（20）： 259260.
目前，互联网恶意软件已经成为社会的公害，成为企业安全畅通上网的绊脚石。对于企业而言，间谍软件、垃圾邮件等网络威胁已经到了无法忍受的地步，一些间谍软件通过“打开网页即装载”的方式潜藏进电脑，几乎是防不胜防，甚至成为一些网络钓鱼、窃取账户资金的帮凶。
仅仅是垃圾邮件和恶意程序就足以令企业的电脑资源消耗殆尽，既浪费了大量的系统、硬盘、内存和网络资源，又降低了公司的经营效率。
软件+硬件+服务
靠传统的手法解决网络安全问题，已渐渐行不通了，寻求行之有效的安全解决方案，成为社会交给广大防病毒厂商的一份责任。专注于网络安全软件及服务领域的趋势科技在现在这个变幻莫测的网络环境下，面对在巨大经济利益驱使下的病毒和恶意软件制造者的严重挑衅，一改业界以“产品导入方式解决网络安全问题”作法，第一次明确提出以客户需求为导向的安全立体解决方案，该方案既包括软件，也包括硬件，同时还有服务。
在这个“软件+硬件+服务”安全立体解决方案中，软件、硬件和服务各司其职，从不同层面解决用户在安全实践中的问题，给用户提供一个完善的安全保护体系。
EPS Solution Day
对此，趋势科技最近在北京、上海和广州等地举办了“EPS Solution Day”大型解决方案日巡展活动，在活动中趋势科技表示，监控、强制、防护和恢复是趋势科技企业安全防护策略的四个环节。在这四个环节当中，趋势科技将全方位的解决方案和安全服务无缝整合在一起，监测潜在威胁、实施统一的安全策略、预防恶意威胁传播和修复被感染设备。
EPS是“软件+硬件+服务”三位一体解决方案的结构框架和理念基础。在巡展中，国家计算机病毒应急中心主任张健表示，趋势科技所提出的“软件+硬件+服务”一揽子式的解决方案，扭转了“产品导入方式解决网络安全问题”所造成的“头痛医头，脚痛医脚”弊病，切重解决安全问题的本质和要害，为饱受安全困扰的用户指明了方向，代表了安全产业未来的发展趋势。
软硬兼施
作为传统的安全软件厂商，趋势科技开发出许多业界有名的安全软件，包括OfficeScan和ScanMail等，这些软件灵活、广泛地部署在用户的关键服务器当中，保护着企业的关键业务。
趋势科技并没有局限于安全软件，而是前瞻性地看到硬件设备在网络当中的地位和作用，尤其是在网关位置，硬件设备更能发挥高效、稳定的优势，继趋势科技网络病毒墙NVW之后，趋势科技又全力打造了大中型企业的网关讯息安全设备(IMSA)、互联网网关安全设备(IWSA)和中小企业InterScan网关安全设备（IGSA）等高性能网关设备，帮助用户在网络的入口处高效率地过滤网络威胁。
【关键词】：职校；数字；职校网络；安全
一、引言
随着数字化职校网络建设与应用的普及,数字化职校网络安全问题已经成为教育主管部门和学校管理者关心的重大问题。数字化职校建设是学校一项基础性、长期性和经常性的工作，是学校建设和人才培养的重要组成部分，其建设水平是学校整体办学水平、学校形象和地位的重要标志。职校网在学校的数字化职校建设中扮演着至关重要的角色，作为数字化信息的最重要传输载体，如何保证职校网络正常运行，成为各职校不可回避的紧迫问题。
二、职校校园网络现状
(1)考虑到投入和收益的比例,众多学校对校园网络的经费投入不足，再加上掌握决策权的学校领导对信息技术的了解不多，对建设校园网的目的不明确，所以就将有限的经费投资在关键的硬件设备上，而对于网络的安全建设一直没有比较系统的投入，从而导致校园网络安全防范能力不够，随时都有被侵袭的危险，存在极大的安全隐患。
(2)计算机蠕虫病毒泛滥与网络蠕虫病毒的危害日益严重，种类和数量日益增多，发作日益频繁。现在蠕虫病毒往往与黑客技术结合，计算机中毒发作后，常导致拒绝服务攻击，连累全网服务中断。过去病毒最大的“本事”是复制自身到其他程序,现在它具有了蠕虫的特点，通过网络到处乱窜。还有些病毒具有黑客程序的功能，一旦侵入计算机系统后，病毒控制者可以从入侵的系统中窃取信息，远程控制这些系统了。
(3)来自网络外部的入侵攻击等恶意破坏行为频率越来越高。某些计算机被攻破后，可能成为黑客的工具，进行再次攻击。例如，系统攻击就是攻击针对单个主机，并通过RealSecure系统对它进行监视。
(4)众多学校技术人员技术参差不齐，责任心不强,多数网络管理员都从大中专院校毕业，在工作之前没有受过系统的专业培训，所以，不能很好地胜任本职工作。如把在计算机中装上还原卡当作是万能管理方法；不设置系统管理员密码；在系统中不安装防火墙和杀毒软件等等。另外，有些网络管理员敷衍塞责，对出现的系统故障置之不理。
(5)盗版资源泛滥。由于缺乏版权意识，盗版软件、影视资源在校园网中普遍使用，这些软件的传播一方面占用了大量的网络带宽，另一方面也给网络安全带来了一定的隐患。比如，Microsoft公司对盗版的XP操作系统的更新作了限制，盗版安装的计算机系统今后会留下大量的安全漏洞。
三、职校校园网中的安全隐患
1、校园网通过与Internet相联，在享受Internet方便快捷的同时，也面临着遭遇攻击的风险；
2、目前使用的操作系统存在安全漏洞，对网络安全构成了威胁；
3、校园网内部也存在很大的安全隐患，由于内部用户对网络的结构和应用模式都比较了解，因此来自内部的安全威胁更大一些；
4、随着校园内计算机应用的大范围普及，接入校园网节点日渐增多，而这些节点大部分没有采取一定的防护措施，随时有可能造成病毒泛滥、信息丢失、数据损坏、网络被攻击、系统瘫痪等严重后果；
5、限于学院数字化的进程，目前的网络防护体系中还缺少硬件级防火墙这一防护环节，即没有对内部网和外部网进行有效的隔离，入侵就很难避免。
四、职校校园网络安全解决方案
基于对以上校园网中的安全威胁，我们提出以下安全策略：
1、升级网络基础交换设备
将校园网内所有交换机全部升级为安全智能接入交换机。智能接入交换机具备大容量访问控制功能，能够屏蔽常见病毒端口，将病毒攻击、网关攻击等行为限制在接入层。并结合用户上网认证系统，对用户进入校园网的权限及可用资源实行规范、分级管理。
2、在计算机及网络技术教育课程中有机融入网络规范意识的教育。网络行为规范教育不仅仅是“思品课”老师的责任,也是计算机及网络技术教育课程教师的责任。因此学校应当在《计算机基础》、《计算机应用》等相关技术课程教学大纲中提出网络规范教育的教学要求,在课堂教学中通过多种形式,进行网络法制、道德教育。这种融入专业技术课程中的思
想教育往往能收到事半功倍的效果。
3、配备完整的系统的网络安全设备
校园网络虽然比较复杂，但从整体技术架构来看，还是属于局域网范畴，因此，在局域网和外部网络接口处配置统一的网络安全控制和监管设备即可将绝大多数外部攻击拒之门外。另外需要注意的是，校园网络现在基本上都是高速网络，因此配置安全设备既要考虑到功能，又必须考虑性能，将配置安全设备后对网络性能的影响尽可能的降到最低。据此要求，校园网络需要配备以下安全设备：高性能的硬件防火墙；旁路监听型的入侵检测系统；漏洞扫描系统；安全审计系统；旁路监听型不良内容过滤系统；覆盖全校范围的网络版防病毒系统；网络故障检测，以及网络故障诊断设备。通过配置这些安全产品可以实现对校园网络进行系统的防护、预警和监控，对大量的非法访问和不健康信息起到有效的阻断作用，对网络的故障可以迅速定位并解决。
4、安装补丁程序和网络杀毒软件
任何操作系统都有漏洞，大部分校园网服务器使用的操作系统都有漏洞，尤其是Windows2000、Windows2003等微软的操作系统。网络系统管理员需要及时对系统进行升级，有时候也可以借助第三方安全软件来对系统进行升级，如“360安全卫士”就是很好的免费软件。电脑病毒的防范，根据校园网现状，在充分考虑可行性的基础上，可采用杀毒软件网络版的分级管理，多重防护体系作为校园网的防病毒管理架构。充分使用杀毒软件网络版所拥有的“远程安装”、“智能升级”、“集中管理”等多种功能，为校园网络建立起一个完善的防病毒体系。
5、采取有利措施防止内部用户非正常使用和对校园网的的攻击行为。建立各部门计算机使用制度，明确用户的责任和义务，严禁各部门随意安装和运行一些带有黑客性质的软件。严禁使用未检验的光盘、软盘和其他移动存储设备。对校园网上的计算机实施IP和MAC地址的绑定，防止私自乱改IP的现象发生。注意对校园网服务器的安全防护。运用VLAN技术来加强内部网络管理。
参考文献：
五年前，硅谷的风险投资商们几乎都不愿投资防火墙与内容层相结合的安全产品。 因为，互联网作为一种综合体，而非单一，其流量包括数据、电子邮件、话音、Web、视频等。正是基于此，防火墙结合多种功能后，其基于网络的处理能力如何？这一点曾遭受风险投资商的质疑。现今，网络安全领域又出现了一些新的趋势，安全技术的集成和优化正在成为安全产品的发展方向。
安全新趋势
但在如今的安全市场中，几乎没有一家厂商能够独自占有15% 以上市场份额。如果要在高端上深入，必须要用ASIC，但这必将是一项需要长期战略投资才能见成效的事业。而低端产品则更为看重性价比。Fortinet公司的研发人员的比例占全体人数的一半以上。FortiGate系列产品拥有近30个型号的产品线，使用同一颗芯片，同一个OS。多功能集成的安全平台在使用一套统一的系统结构、同一系列专用ASIC，自然也会获得成本优势。
在安全设备中，可以看见的趋势是各种功能越来越集中。要在不影响网络性能情况下检测有害的病毒、蠕虫及其他基于内容的安全威胁的产品，UTM是理想的技术途径。 一些安全系统除了集成了防火墙、VPN、入侵检测之外，还融入AV、 内容过滤和流量控制功能，提供了高性价比的解决方案。
当前，一些原本运用软件方式实现安全的厂家正在转型，然而要真正做到成功转型，是需要长期投入的；因为功能不能硬凑，在引擎核心层需要设计好才符合整体要求，如果硬拼强凑，不但功能会受限，性能也会受到制约。
另外，还有些网络设备公司在其原来产品中添加安全要素，他们也确实具有硬件设计能力。然而，处理数据包头部分，并非包内容处理。只有通过包检测和重组，一些最复杂的混合型威胁才能被发现。计算能力是基于性能，还是内容处理，如何采取措施解决性能与功能的矛盾是问题关键所在。为了补偿先进检测技术带来的性能延迟，使用ASIC芯片、多功能引擎，多功能OS是有效的措施。在混合式（Blended）攻击的情况下，只有UTM才真正具有防御实力。目前，涉及的产品、技术包括防火墙、 AV、 IDC、内容过滤、反垃圾邮件、高端10G以太网接口、先进的电信标准（ATCA）和ASIC 技术等。
类似于互联网的宽带服务商， 安全也要向提供用户服务。而面向运营商提供的安全设备往往要求更高。当前，大多数服务商已认可ATCA标准（先进的电信运营商标准）。安全产品开始出现10GB级产品。事实上，全球也许只有20～30家大型运营商能用上最高端的产品，而且他们也需要个性化服务、全方位的承包，即一对一服务。如果设备平台统一、背板兼容，互换性好，对用户和厂商而言，也就降低了管理成本。
预订的安全服务有AV、 IPS、 web过滤、反垃圾邮件服务。相应地，厂家要构建全球安全防护服务体系，保证用户能够随时随地更新升级病毒库。
UTM顺势而为
美国IDC研究机构将防病毒、入侵检测和防火墙合一的安全设备命名为统一威胁管理系统（Unified Threat Management, 简称UTM ），并预测UTM在今后几年内将有可能超越防火墙，成为人们首选的安全设备。UTM理念从何而来？事实上， 这一设计概念源自于五年半前安全厂商对未来网络安全和内容安全发展趋势的判断和预测。
关键词:信息系统;网络安全
中图分类号:TN915.08文献标识码:A文章编号:1007-9599 (2010) 10-0000-01
Network Security Management of Highway Information System
Yuan Yujun,Li Xianshu
(JingHu Highway,North of Lin Management Office,Linyi276013,China)
Abstract:This paper analyzes the current situation,the importance of network security,combined with the actual highway information system network,analyzes the security vulnerabilities of its existence,and the corresponding solutions.
Keywords:Information system;Network security
随着IT技术的发展,政府、企业和个人越来越多的将政务、商务、经营等活动放到网络上进行,在网络应用越来越普遍、越来越重要的同时,它的安全问题就越发显的重要。据统计,现在全球每20秒就发生一起入侵网络的事件,超过半数的防火墙被攻破,每年因此而造成的经济损失超过80亿美元;在国内,超过76%的网络存在安全隐患,20%存在严重问题,并且有超过70%的网络安全威胁来自内部。与之相适应,网络安全已成为信息安全领域一个非常重要的方面,随着计算机网络的广泛应用,网络安全的重要性也日渐突出,当前国际国内社会,网络安全已经成为国家、国防及国民经济的重要组成部分。
山东省高速公路信息化“十五规划”中明确指出,山东高速公路信息化方针为:“统筹规划、突出重点、互联互通、安全可靠”。因此,在信息系统网络应用的同时,我们必须保证网络的安全,把安全放在比较重要的位置。
一、高速公路信息系统网络特点分析
高速公路以其高效、迅捷、安全的特点,在交通运输中越来越发挥其不可替代的作用。高速公路信息系统的建设,对改变交通管理模式,改进和完善高速公路管理水平,提高科学决策水平和快速反应能力,提高服务水平,改善道路运营环境,实现高效、优质、安全、舒适和道路运营目的,起着重要的推动作用。
截至2009年底,山东省高速公路信息系统(通信、监控、收费三大系统)已建成4300余公里,实现了收费站-分中心-中心-总中心四级联网,在全省高速公路已实现收费联网“一卡通”。信息系统中通信网实现了语音、数据和图像等业务功能,满足了收费网、监控网等的带宽要求,传输模式以及远程监控等要求;通过对多种外场设备控制,可对交通流量、气象情况、道路运行情况等信息进行采集和图像监视,实现了对整个路网全程、实时监控,生成并显示各种报表等功能;收费网实现了全省高速公路“一票直达”、全省统一收费,并按路段合理准确的进行结算和账务分割及对特殊收费情况进行监督管理的功能。而且,高速公路信息管理系统的三级管理体制(总中心、中心、分中心)已建立运行并在逐步完善。
综合以上,高速公路信息系统的网络具有以下特点:信息系统网络对我们的高速公路信息化建设事业至关重要;高速公路信息系统点多线长面广,管理体制和层次较复杂;随着高速公路建设的不断进行,信息系统的网络也将随之不断扩大。
二、高速公路信息系统网络安全隐患
目前,高速公路信息系统网络主要存在以下安全隐患:
(一)网络安全意识尚未深入人心,职工网络安全意识有待加强。
(二)信息系统点多线长,各路段信息系统由不同管理处,不同的部门负责,很难做到协调一致,统一部署;信息系统网络安全相关的规章制度尚未建立健全,相关的应急预案、方案尚未出台;对网络安全的检查考核工作尚未开展。
(三)黑客技术日益公开化、职业化,各种攻击日益频繁,病毒日益泛滥,重大网络安全事故日益增多,网络安全事件日益啬;与此相对应的是:高速公路信息系统(通信、监控、收费)尚未应用必要的网络安全设备、尚未采用一定的网络安全措施。
(四)现有计算机操作系统已发现2000多个漏洞,而且每一个漏洞均有可能被黑客利用,对计算机、信息系统网络造成重大的危害。
(五)对防范内部员工的误操作或恶意攻击没有很好的办法。
三、切实加强网络安全建设
结合高速公路信息系统网络的特点,为加强山东高速网络安全建设,应当坚持以管理为基础,以制度为保障,以技术为实现手段的中心思想,并注重以下几个方面:
(一)加强网络安全教育,培养员工的网络安全意识,使每个员工都认识到网络安全的重要性,并且能够掌握必要的网络安全防范知识。网络安全工作不能单靠网络安全设备或个别的网络管理售货员,而是需要单位领导高度重视、全体员工共同努力,才能够切实保证信息系统网络的安全。
(二)建立专门负责信息系统网络安全的机构,统一指挥、协调一致,并明确各相关部门的网络安全责任和义务,做到网络安全各相关部门权责分明。
(三)对全体员工进行网络安全培训,全面提高职工的计算机水平及网络安全防护能力。
关键词：动态自治；网络；安全管理
中图分类号：TP309.5文献标识码：A文章编号：1007-9599 (2012) 06-0000-02
在当前的网络安全管理架构的现状背景下。相应的安全管理体系需要可以从管理的层面出发来代表信息系统安全的一种动态模型。目前，已有的方法虽然通过一定的网络安全策略在某种程度上解决了网络安全的防御问题，不过在此基础上，其还是太过于趋向依赖同一种安全产品。在本文中，详细阐述了一种新的网络安全管理架构，即创建于动态自治的一种网络安全管理架构。在这个网络中包含了一种满足于整个网络安全要求的同时动态可变的区域网络。具体地说，这种动态自治网络也是通过了一种接入机制的管理系统，在此基础上，构成了一种可控的网络整体。以下将此网络简称为DASN网络。
一、动态自治的网络安全管理架构
本文讨论的动态自治的网络安全管理架构从以下几个方面考虑网络防御的能力：
（1）从全局角度分析并评估网络安全状况，整合现有的网络安全方面的某些资源，同事通过特定的策略使其能够自动地来完成相关设施的部署与响应。
（2）通过实现网络安全管理的高度自治，保证相应的DASN网络应具有的信息安全。同时引入动态接入控制实现相应安全节点的控制。
（3）通过一定的接入控制策略，动态构建网络上的管理区域，实现整个网络管理的扩展，同时通过接入的方式确保区域安全。
二、DASN网络中安全管理
本文着重于实现DASN网络的安全管理，并在一定的基础条件之下，建立相应的安全管理系统，文章同时提出了DASN网络安全事件管理模型。其由包括四大模块：
（1）网络数据收集：此模块对网络中一些基本的信息进行数据资源的采集，重点进行原始数据的收集，其中包括事件日志与安全日志等内容。在实际情况中，此模块的日常运行一般由进行运行。
（2）网络数据的标准化整合：网络中的数据收集是网络安全中的重要环节。如果按现有的情况，从网络中整理出来的数据不够整齐，而且信息源的格式也存在着很多不同的地方，这就给系统检测带来很多的不便利。文中利用已有的资源共享同时通过一定的标准化和整合来对这类问题进行处理。这个模块在提前设定好的数据格式的基础上，将已有进行数据的整合并格式化，在此之后对标准化后的数据进行过滤，并进行网络数据的冗余处理，同时依据一定的分类规则归类数据。
（3）事件情景的分析：这个模块在前期整合的过程中，仅仅去除了冗余并规范了数据，而这些数据对于系统来说还是初始数据，因此我们还要根据所在的网络环境及事件状况来对核心事件数据进行分析。在事件发生后，将整理后的数据映射到系统中上，通过对行为数据的进一步细化，对事件是否安全进行监控与行为分析，最后确定事件性质与位置。
（4）数据量化输出：在整个网络环境中，对经过分析后的事件进行进一步的量化，与此同时，对其可能的发展态势及影响进行预测。一般的分析结果可以有信息类、警告类、严重类等三种。对于较高级别的警告，要根据评测结果与之前设定的值进行操作。
三、DASN动态接入网络的实现
DASN网络的安全管理在内容上，主要是强调网络中的数据资源的整合管理。诸如网络安全节点的接入以及网络信息的一般性保护。在网络中的架构进行运转的过程中，我们需要从各个不同的角度对DASN网络具体的动态接入过程进行展示，在此基础上构建较为完整的网络安全模型。本文采取了隔离节点设备或不完全权限的赋予等形式，对网络中的相关设施配置应用了相对于DASN网络的配置策略。而网络安全控制也会同时识别未接入的节点操作的合法性与安全状况，进而最大程度地降低非法节点的接入所可能带来的安全威胁。与此同时，相关节点不同的安全等级也决定了验证的策略也不一样。因此， 在节点接入时不仅需要用户的认证以及相关的安全认证，还应该应用特定的控制访问安全的软件，同时需要传输的数据进一步进行加密处理。针对DASN中诸多网络对象各不相同的特征，本文中的模型将其分为设备、网关及终端等模式，而这些又进一步被统一称为网络管理的安全性。与此对应的是DASN网络的网络接入工作。其具体是由网络终端、网络安全管理中心进行具体的操作。作为网络中的子系统的管理服务器会也从供应商服务器提供的信息中更新自身网络安全性的相关信息，在自身网络的安全信息更新后，本模型根据得到的更新信息以及最新的网络安全工具的信息，对自身的系统在安全节点安全状况的方面进行新的更新与评估。在此基础上，系统再对其已经确定的安全缺陷做出迅速的反应，这样就能大大地提高自网络系统自身保障安全性方面的能力。对于DASN网络的安全补丁管理，本文的模型可以包括安全补丁自检测、补丁分发、补丁库自动更新维护等机制。
四、基于自治安全策略的DASN网络模型
DASN网络中的自治安全策略模型用于保证其网络的安全节点，能够在其动态接入相关网络的过程中，保证所使用的策略的完整与安全。通过这种方式，规避在节点的接入过程中可能带来的风险，这样也有利于保证DASN网络策略的动态自治，进一步确保其安全可靠。本文建立的模拟DASN网络是一个动态的网络，此网络是多种不同的网络产品，通过一系列的内部协议构成的虚拟网络环境。尽管如此，其自身的安全的策略管理，以及网络安全分析等也要实现统一管理。同时，从全局角度，能够使得此网络按照一定的策略自治进行工作。这里面所说的自治的概念，就意味着DASN网络中，相关的安全节点可以实现统一安全策略配置，同时具有一致的响应与应急方案。经过一系列的统一流程，最后能够使系统的安全策略可以进行统一配置、统一分发管理与安全配置。在此基础上，能够使DASN网络可以集中管理网络中安全设备和系统。与此同时，在DASN网络的安全管理平台中，配置网络内的相关安全节点参数，以便使自身网络达到动态的配置与更新。另外，在DASN网络中，应急响应流程应该具有高度一致性，这种一致性指的是DASN网络中的安全事故处理流程的一致，而其相应的管理也应确保所涉及的事件可以得到及时地处理。
基于自治安全策略的DASN网络模型需满足以下三个方面的要求：首先应具备高扩展性，网络架构能够对各种安全设备进行统一管理。对最新的安全技术应保留相应的扩展接口。这样的设计，能够有利于自身利用上市场上最新的安全设备，进一步保证其实时性。其次是网络的高可控性，DASN网络架构可以对其应用范围内的设备进行统一配置，同时具有信息收集的能力，DASN的网络中安全设备在运行过程中产生一系列的配置信息及系统安全信息等数据，因此DASN网络架构应具有收集这些信息的能力，这样就能方便用户在整体地掌握系统的安全状况。最后DASN网络应拥有良好的互操作性，DASN网络应在其应用的范围内，实现相关设备的安全和规则的综合配置。系统将其自治的安全策略模型分成状态监控、系统管理、策略管理等部分。其中策略管理框架以及系统资源管理作为了系统的支持部分。策略管理、状态监控以及安全作为了应用系统的部分。
参考文献：
[1]沈星星,程学旗.基于数据流管理平台的网络安全事件监控系统[J].小型微型计算机系统,2006,27(2):237-240
[2]董玉格,金海,赵振.攻击与防护一网络安全与实用防护技术（第一版）[M].北京:人民邮电出版社,2002:79-181
[3]史简,郭山清,谢立．统一网络安全管理平台的研究与实现[J].计算机应用研究,2006,(9):92-97
任何事情都具有两面性，有一利往往也必有一弊。就像IPv6，它为互联网带来了几乎无限的IP地址资源的同时，也改变了互联网的安全环境，让更大的风险随之而至。
从当前所获取的一些网络攻击事件的信息来看，尽管IPv4向IPv6的过渡才刚刚开始，但一些攻击者却已经开始通过IPv6的基础设施散布垃圾邮件，甚至利用IPv6的地址空间向IPv4网络发起攻击。
“看上去很美”的IPv6是否存在更大的安全黑洞？在热情迎接IPv6的同时，我们是否看到了藏匿在过渡过程中的安全隐患？人们在IPv4环境中积累的安全经验是否也适用于IPv6？
通过“认证”就够了吗
三年前，一则关于“Windows Vista系统中所包含的Teredo技术存在潜在安全隐患”的消息，就曾暴露出一些IPv4向IPv6过渡中面临的安全问题。Teredo是一项地址分配和自动隧道技术，它能通过IPv4网络传递IPv6流量，帮助客户端实现对IPv4与IPv6协议的兼容。当时就有安全专家指出，Teredo客户端可以在把IPv6数据包传递到另一目的地的同时，绕过基于网络的源路由控制，穿透防火墙等安全设备，而在Vista系统下该功能还被默认启用，这种技术所形成的安全漏洞很容易被黑客所利用。由于当时没有任何系统能够有效过滤所有的Teredo数据包，专家只能建议网络管理员先禁用Teredo功能，并倡议防火墙、入侵检测系统和路由器等厂商增加对Teredo协议的支持，以确保常规的网络安全产品能够过滤所有的Teredo数据包。
事实上，“Teredo事件”只是IPv6所带来的安全隐患的一个缩影。因为三年过后，Teredo的问题还没有被完全解决，大量类似的过渡技术却开始被更广泛地使用（如6to4、SIT机制及基于IPv6的UDP通信等标准过渡方式），并且使用这些技术的相关产品还纷纷通过了IPv6认证。这种状况，不免让记者对当前大批挂着IPv6认证标志的网络安全产品的真实效果感到担忧。
Radware 安全产品总监Ron Meyran告诉记者，虽然目前不少厂商都宣称自己拥有通过了IPv6认证的安全产品，但事实上许多厂商只是提供了一个特别的版本，仅是能够支持与IPv6网络通信的能力或依靠某个License运行，并不意味着这些产品能够有效解决IPv6带来的安全问题。甚至很多安全产品在处理类似Teredo的问题时，不是存在局限性就是彻底无效。
他表示，即使是对于某些通过认证的安全设备，企业也要慎重选择。在不了解它们的运作机制前，不能盲目采购。比如，企业依旧需要检测防火墙是否可以让一些未经检查的IPv6流量轻松通过，而不是将其视为非IPv6应用版加以拦截、检查；IPv6流量是否可以绕过多个深层数据包引擎的硬件组件等。此外，由于IPv6地址的长度是IPv4的4倍，会因此显著影响网络安全产品的流量处理速度。这个特点，也可以帮助大家判断出相关安全产品支持IPv6的真伪。
注意它的先天不足
和IPv4相比，IPv6在设计之初，就对安全问题做出了更多的考虑。借助IPSec（Internet 协议安全性），IPv6的安全性能确实得以改善。但是，近来发生的网络攻击事件显示，IPSec并不能处理IPv6网络中的所有漏洞问题。而对比IPv4，新的网络环境要更为复杂，所产生的网络漏洞也更难预料。例如，攻击者的IPv6路由器可以使用虚假广告，为网络中已启用IPv6的设备自动创建新的IPv6地址；一些过渡机制使IPv6与IPv4网络之间可以相互影响，反而为网络攻击者提供了更丰富的可利用的资源；过渡工具可以为各种IPv4应用提供连接到IPv6服务的连接方式，IPv6应用也可连接到IPv4服务，这种状况可以让网络攻击变得更为疯狂；IPv6地址的长度也会成为攻击者借助的有力工具，因为基于IPv6的流量过滤将增加安全设备CPU的负担，攻击者发起的DDoS攻击所产生的流量，将比以往更易导致网络设备和服务器的瘫痪。
而且，尽管IPv6的内部加密机制是为用户与服务器之间的交流提供身份认证与保密功能的，但该功能却给防火墙和IPS也“下了绊儿”。它令攻击者得以利用加密机制绕过防火墙和IPS检查，直接向服务器发起攻击，原因正在于这些安全设备无法检测加密内容。Ron Meyran指出，攻击者还可以利用Teredo、6to4、ISATAP等IPv6协议机制伪装各种进攻。攻击者会让允许通过的信息包看上去跟正常的IPv4流量毫无差别，只有通过防火墙和IPS的准确核实，才能通过深度包检测技术（DPI）对IPv6流量完成内容检测。“目前，能够支持IPv6并可真正执行IPv6 DPI的IPS产品和防火墙产品为数不多。如果没有部署其他安全设备或边界安全网关，攻击者很可能利用这一疏忽，借助IPv6数据包进入企业核心网络。”
除此之外，IPv6重定向协议中存在的安全隐患也非常值得人们关注。在IPv6协议中，重定向报文的主要作用是为局域网内的节点提供正确的路由选择。IPv6重定向协议本身的主要功能是保证主机拥有动态的、小而优的路由表，以提高报文的转发效率。但是，由于IPv6重定向协议缺乏源地址认证，对于局域网中的恶意节点来说，就可以利用IPv6重定向报文实现数据报的非法重定向，从而实现多种攻击措施。比如，它首先伪装路由器，然后再发送Redir报文告诉被攻击者：发往某个外网节点的数据包，走自己这条路由更好，那么被攻击节点就会将数据包交由恶意节点转发，而恶意节点则可以不转发并禁止其通信，或是进行篡改。
当心“不听话”的IPv6
在从IPV4向IPV6过渡的过程中，企业将面临更多的对信息安全问题以及对信息安全体系的重新理解和调整。
首先，为了实现IPv4与IPv6的无缝兼容，很多IPv6设备都内置了各种无状态的自动配置功能，而这样的网络设备对网络管理员而言却成了不可控的设备。管理员将难以察觉哪些网络设备是失控的，而攻击者却可以利用这种情况下手。比如攻击者可以轻易控制一个行为失常的网络设备让其修改或降低流量，却不会被网络管理员发觉。IPv6带来的这类风险，恐怕很多网络管理员还没有料到。
其次，在企业迎接IPv6的同时，IT管理的难度也会随之增加。Sophos技术策略主管James Lyne告诉记者，有些对IPv6流量不感兴趣的企业，希望设立明确的规则来严格阻止IPv6数据包。而IT管理人员必须要知道“如何与IPv6对话”才能编写相应的规则来处理该协议。
