时间：2023-09-14 17:44:14
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇网络安全管理保障方案，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
电视台给予网络安全相当高的重视程度，是因为电视节目播出的安全性和信息的保密性是电视台的追求和目标。电视台的网络信息极其关键，它掌控电视台的存亡。要使电视节目安全播出，电视台网络安全不容忽视。广播电视台在传播信息时，信息传输速度和质量的提高往往会依靠计算机技术，然而，计算机技术的网络风险极大，信息容易外泄或遭受窃取。随着时代的发展，电视台网络安全遇到了极大的挑战和机遇，提高网络的安全性义不容缓，网络安全建设是一个庞大的建设。
2电视台网络安全的重要性以及网络安全的问题
2.1电视台网络安全的重要性。在广播电视台的发展中，互联网与信息技术是必不可少的。然而，互联网的快速发展以及信息技术的迅速提升使之出现了网络安全问题，随之也成为广播电视台极其重视的问题。对于广播电视台来说，网络安全是极为重要的，对其能否正常运行有着重大的意义。相应的工作人员都应给予网络安全高度重视，了解其重要性。第一，电视台网络安全是数据信息传输时的保障，是处理信息时的安全保障，保障信息不外泄或被窃取。第二，提高电视台处理信息的速度和提升其能力，都以网络安全为基础，提高互联网应用能力也以网络安全为保障。第三，网络安全的稳定，电视台的信息与数据才能得到保护并有效地处理。因此，为了保护电视台信息不被窃取等外部攻击，管理者必须采取相应措施来加强建设网络安全，推动电视台与广播的发展。2.2电视台网络安全的问题。电视台网络安全的问题不容忽视，更是亟待解决的一大问题。首先，在网络硬件系统中占有重要地位的信息系统硬件在保护网络安全和信息安全的过程中起到了主要的作用。然而，现如今大多数信息系统硬件的安全系数较低，存在着极大的安全隐患。一些只为了追求网络信息的数量，而忽略了信息建设是否安全，导致许多地方的网络技术没有人监管，而给病毒有了可乘之机，使得病毒在网络上疯狂繁殖。病毒可以控制电脑、破坏电脑，以及攻击特定的服务器，导致局域网的总台遭受瘫痪。无孔不入的病毒带来的毁灭性是强大的，网络安全受到严峻的挑战。其次，物理运行环境的好坏也影响着网络安全的问题。如果计算机在恶劣的物理环境下运行，比如在发生雷电、火灾的情况下，计算机就不能正常运行，设备也会受到损坏而发生故障。
3电视台网络安全解决对策
3.1加强网络安全技术。第一，设置防火墙。防火墙是保障网络安全的重要渠道，它能防止黑客以及一些不良信息入侵电视台的网络，能提高电视台网络防御能力，确保电视台信息数据得到安全的保障。第二，使用防毒软件。使用防毒、杀毒软件也是保障网络安全的重要手段之一。防毒软件能有效地阻挡病毒的入侵，具有较强的防毒功能。根据当地电视台的实际情况安装相适应的防毒软件，能有效地加强网络的安全性，防止病毒入侵摧毁网络系统设备。第三，使用密码技术。在如今信息传输和数据通信的时代下，密码技术是不可缺少的。密码技术能有效地防御信息外泄，保护网络的安全。密码技术对数据信息进行加密，运用信息解密和加密数据的方法来保障数据信息的安全。因此，广播电视台应对密码技术重视起来，引进密码技术并灵活地使用密码技术于处理电视台信息数据的过程中。3.2进行网络安全检测。在发送网络信息之前，需对其进行检测和检查工作，并提前对信息进行监察以保障网络系统的安全性，这就是安全检测。广播电视台的信息之所以很复杂，是因为其数据来源范围大，而这就会导致电视台网络安全受到威胁。为了数据信息能安全存放，这就需要引进安全检测，防御信息处于危险的环境中，加强电视台的网络安全。3.3建立虚拟专有网络。拥有优越的技术，促进虚拟专有网络的发展。虚拟专有网络在电视台网络安全发展中起到了一个重要的作用。现实网络在虚拟专有网络的掩护和保护之下，能够有效地提高电视台网络的安全性，减少网络攻击电视台的频率。因此，广播电视台应把虚拟专有网络投入应用当中。3.4加强安全管理，提高管理水平。电视台网络安全的管理工作非常重要，强大的安全管理能极大提高网络的安全性。物理层面的安全管理是物理层面的网络安全问题的必经之路，是因为物理层面既是独特的，又是独立的，而信息处理和交换的层面即指物理层。因此，广播电视台应高度重视物理层面的安全管理，根据不同的情况建立不同的物理层面，做好物理层面的隔离工作，符合网络安全需求，使电视台网络安全得到提升。管理水平的高低也给广播电视台网络安全带来不同的影响。因此，建立一支高素质、懂技术、善于管理的员工队伍是极其重要的。对外引进人才，对内加强岗位、员工培训，适当激励员工发展，这样才能壮大队伍，才能变得强大。拥有一支强大的员工队伍，我们才能为新时代的电视台提供更有效的网络安全建设服务。3.5政策上的积极有力的支持。建设电视台网络安全不仅仅只是为了宣传系统，还为造福百姓而努力着。但改造有线电视网络安全以及整体转换数字电视需要很多的财力、精力，需要政府部门的配合与支持。只有政府部门给予积极的支持，才能营造出一个良好的环境。转换数字电视这项伟大的工程建设需要政府部门给予资金上的大力支持和理解，政府在政策和经济上一并支持，才能有利于电视台网络安全的发展。
4总结
总而言之，新时代电视台的网络安全不容忽视。由于网络信息数量增长迅速和快速的信息传播速度，电视台网络安全受到威胁是不可避免的。电视台的节目信息会遭到外泄，甚至被窃取，导致于电视台无法进行正常运作。当信息传输渠道被破坏时，传输时间会增长，那么电视播放质量就会下降。而一些黑客还会篡改或者摧毁信息，使得电视台网络安全遭受严重的危害。因此，相关工作人员一定要认识到网络安全的重要性和严峻性，加强网络安全技术，采取相关的网络安全解决对策，推动新时代电视台网络安全的发展。
作者:图亚 单位:新疆博尔塔拉蒙古自治州精河县电视台
参考文献：
[1]何雄彪.电视台网络安全解决方案的分析[J].决策与信息旬刊,2015(5)：106.
[2]刘海芸.广播电视台业务网络网间安全方案设计[J].声屏世界,2016(s1)：45-47.
[3]杨璞.智能手机泄密风险分析及安全保密技术解决方案研究[J].网络安全技术与应用,2015(4)：138-139.
[4]程琦.计算机网络信息安全影响因素与防范解析[J].网络安全技术与应用,2016(2)：6.
信息安全问题与互联网的发展相伴相生，在网络时代，我们一方面要享受到信息爆炸、社交便捷的福利，另一方面也需要应对信息泄露的风险。在医院的内部管理中，信息化建设已经成为一股不可逆转的发展趋势，因此，医院要想利用互联网提高管理效率，优化医疗卫生服务，就应该正视网络体系构建中存在的安全问题，并构建严密可行的管理措施，防范网络安全风险，让医疗信息、管理信息能够更好地服务于患者，确保医院的有效运行。
2医院网络安全体系构建中存在的问题
虽然网络体系的构建是医院信息化管理的必要环节，但是其在安全风险防范方面却依旧漏洞百出，使得医院的网络安全体系建设形同虚设，难以充分发挥其风险控制与防范的实际效果。具体来讲，医院网络安全体系构建中存在的问题如下：第一，医院内部系统对数据的收集与应用效果并不理想，目前多数医院对于网络系统的建设还处于起步阶段，许多数据的收集并不完整，例如电子病历的形成尚处于“模板+标签”阶段，缺乏专业化处理，影响了数据传输与共享效果，各部门之间的信息沟通不畅，“信息孤岛”的状况没有被完全打破。第二，网络安全规划缺乏投入，对信息安全的预期投入严重不足，虽然信息安全问题是医院网络信息系统构建的关键，但是从整体上来看，相关部门对于信息安全体系的构建并不积极，例如在硬件投入中缺乏预算支持，使得硬件设备一旦出现损毁就会造成大量医疗卫生信息的丢失；对软件技术的应用不到位，防火墙、加密系统的建立存在漏洞；各部门对于安全系统的认识存在偏见，在某一科室出现网络安全问题的时候则相互推诿，缺乏有效的追责与监督。第三，网络安全体系构建与实现的方案缺乏有效的落实，任何网络安全问题在没有爆发前往往都显得不那么重要，医院在网络安全体系建设中也存在这种侥幸，对安全规划的设计头头是道，但是到了具体的落实阶段却又推三阻四，影响了网络安全体系建设工作的实效性。
3医院网络安全体系构建与实现的相关对策
医院网络安全体系的构建与实现需要从硬件设备、软件系统、组织管理者三个方面入手。
3.1硬件设备安全的构建与实现
根据信息化管理的技术需要，医院的硬件设备安全管理主要包括以下内容：第一，网络布线。对于医院的信息化建设而言，网络布线不仅影响着系统的信息传递速度，更关系着信息沟通的安全，因此，相关技术人员应采取内外网物理断开的方法，对医院网络系统进行科学布线；考虑到信息安全，对于各楼宇的主干线可以采用光纤和备份光纤相结合的方式；在连接客户端的时候，应做好屏蔽处理，及时排除干扰源，保证信号强度，以及信息数据传递的有效性和完整性。第二，根据《电子信息系统机房设计规范》做好对机房的设计，如根据“电子信息系统机房的耐火等级不能低于2级”等规定做好防火安全管理；根据“主机房气流组织、风口及送回风温差”的相关数据做好防潮工作等，确保主机房能够充分发挥信息存储与传输的功能。第三，服务器、交换机的数据安全，在医院网络安全系统构建中，技术人员应对关键设备的基本性能以及冗余做好分析，并确保系统能时刻运行。为避免停电故障造成信息丢失，医院的服务器应采用不间断电源，并在出现安全故障的时候，自动接入另一个服务器完成信息备份，从而做好“双保险”，提高网络系统运行的持续性和安全性。
3.2软件安全系统的构建与实现
在网络安全系统构建中，系统软件可以通过与硬件设备的交互作用，实现对系统的控制与调度，并连接网络，实现信息的传输与存储。因此，医院在网络安全系统构建与实现中，应该不断完善软件系统，从而确保信息数据的安全。医院在软件安全系统的构建与实现上可以从以下几个方面入手：第一，设置安全口令。软件系统的登录应控制开放程度，利用安全口令对访问者的身份进行确定，在使用软件系统的过程中，口令的设置也应该提高安全系数，避免使用缺省值，保证长度不少于八位，且内容包含字母和数字及至少包含两个特殊字符。此外，为进一步确保软件系统的安全，相关部门的操作人员应对安全口令进行定期更换，提高被破译的难度。第二，安装杀毒软件。在医院的网络系统建设中，内外网的完全物理隔离是不可能的，只要存在接入外网的机会，病毒就会见缝插针对网络系统进行攻击。针对此，医院在网络安全系统构建中应该要求客户机及服务器安装杀毒软件，利用软件对病毒进行甄别与抵御，及时检测违规操作，并对高风险行为做出提示，控制病毒对网络系统的威胁。第三，应用防火墙。目前一些软件公司在技术研发中，对防火墙的设计更加严谨，医院在网络安全系统建设中，应利用方便、快捷的防火墙进行定期扫描，及时检测出危险信息，控制恶意脚本在目标计算机上的执行过程，避免外网攻击的入侵，以及信息的泄露。第四，加强对工作站的安全管理。各个工作站在使用系统的过程中，都应该利用账号、用户权限、网络访问以及文件访问等实行严格管理程序规范进行安全控制，严格监控光驱、软驱，USB接口等外来信息的接入，提高安全管理效果。
3.3组织机构的构建与实现
在医院的网络安全保障系统建设中，工作人员是落实安全措施、执行安全方案的主体。再高端的硬件设备、再完善的软件系统都需要人的操作来发挥作用。因此，医院在网络安全保障体系的建设中，应该将人的因素纳入其中，并确定、尊重其主体地位，利用安全管理制度，提高工作人员构建网络安全保障体系的能力。具体来讲：第一，建立一支强有力的安全管理小组，体现组织管理效果，并在管理小组内部做好明确分工，确保一旦出现安全问题能够迅速做出反应。第二，完善安全制度建设，对于医院网络安全管理人员而言，制度建设是规范其安全行为，提高安全方案执行效果的关键，因此医院应该从多方面做出安全规定，明确管理细则，推动安全管理人员工作的有序开展。第三，规范内部人员网络操作，根据信息安全问题的调查显示，操作者的不规范操作是造成病毒入侵，信息泄露的主要问题。因此，在组织管理中，医院应对内部人员的违规操作进行严格控制。第四，做好应急预案的制定与演练，对出现的信息安全问题应做好各部门的联动，提高应急能力，及时止损。
4结束语
总之，进入到互联网时代，信息化已经成为医院内部管理创新的基本思路，信息化的实现需要网路系统的支持，但是在网络系统构建的过程中，无处不在的安全问题使得医院的信息化建设举步维艰。针对此，医院应该从网络安全系统的建设要点出发，增加对硬件设备的投入，做好软件系统的技术应用，加强组织管理建设，进而完成医院的网络安全体系构建与实现。
参考文献：
[1]张宝伟.医院网络安全体系构建及实现方式分析[J].网络安全技术与应用，2018.
一、学校网络与信息安全工作情况
本次检查内容主要包含网络与信息系统安全的管理机构、规章制度、设施设备、网站和信息运行情况、人技防护、队伍建设等5个方面，同时从物理安全差距、网络安全差距、主机安全差距、应用安全差距、数据安全及恢复差距等5个方面对主机房和14个信息系统、1个网站进行等级保护安全技术差距分析，通过差距分析，明确各层次安全域相应等级的安全差距，为下一步安全技术解决方案设计和安全管理建设提供依据。
从检查情况看，我校网络与信息安全总体运维情况良好，未出现任何一起重大网络安全与信息安全事件（事故）。近几年，学校领导重视学校网络信息安全工作，始终把网络信息安全作为信息化工作的重点内容；网络信息安全工作机构健全、责任明确，日常管理维护工作比较规范；管理制度较为完善，技术防护措施得当，信息安全风险得到有效降低；比较重视信息系统（网站）系统管理员和网络安全技术人员培训，应急预案与应急处置技术队伍有落实；加强对学生网络宣传引导教育，日常重视微信、微博、QQ群的管理，提倡争当“绿色网民”；工作经费有一定保障，网络安全工作经费纳入年度预算，在最近一年学校信息化经费投入中，网络建设与设备购置费用约占56、5%，数字资源与平台开发费用约占40、6%，培训费用约占0、6%，运行与维护费用约占1、04%，研究及其他费用约占1、23%，总计投入占学校同期教育总经费支出的比例约1、57%，基本保证了校园网信息系统（网站）持续安全稳定运行。
1、网络信息安全组织管理
20xx年学校成立网络与信息安全工作领导小组，校主要领导担任组长，网络与信息安全工作办公室设在党委工作部，领导小组全面负责学校网络信息安全工作，教育技术与信息中心作为校园网运维部门承担信息系统安全技术防护与技术保障工作，对全校网络信息安全工作进行安全管理和监督责任。各部门承担本单位信息系统和网站信息内容的直接安全责任。20xx年，由于人动，及时调整网络安全和信息安全领导小组成员名单，依照“谁主管谁负责、谁运维谁负责、谁使用谁负责”的原则，明确各部门负责人为部门网站的具体负责人，建立学校网络信息员队伍，同时，还组建网络文明志愿者队伍，对网络出现的热点问题，及时跟踪、跟帖、汇报。
2、信息系统（含网站）日常安全管理
学校建有“校园网络系统安全管理（暂行）条例”、“学生上网管理办法“、“校园网络安全保密管理条例（试行）”、“校园网管理制度”、“网络与信息安全处理预案”、“网上信息监控制度”等系列规章制度。各系统（网站）使用单位基本能按要求，落实责任人，较好地履行网站信息上传审签制度、信息系统数据保密与防篡改制度。日常监控对象包括主要网络设备、安全设备、应用服务器等，其中网络中的边界防火墙、网络核心交换机和路由器、学校站服务器均纳入重点监控。日常维护操作较规范，多数单位做到了杜绝弱口令并定期更改，严密防护个人电脑，定期备份数据，定期查看安全日志等，随时掌握系统（网站）状态，保证正常运行。
3、信息系统（网站）技术防护
学校网络信息安全前期的防控主要是基于山石防火墙、深信服防火墙及行为管理软件，20xx年为加强校园网络安全管理，购置了“网页防篡改、教师行为管理、负载均衡”等相关安全设备，20xx年二月中旬完成校园信息系统（含网站）等级保护的定级和备案，并上报xxx市网安支队。同时，按二级等保要求，约投资110万元，完成“网络入侵防御系统、网络安全审计系统、运维审计-堡垒机系统、服务及测评及机房改造（物理安全）”等网络安全设备的采购工作，目前，方案已经通过专家论证。
20xx年4月-6月及20xx年3月对网站系统进行安全测评，特别对系统层和应用层漏洞扫描，发现（教务管理系统、教学资源库）出现漏洞，及时整改，并将结果上报省教育厅、省网安大队、xxx市网安支队。同时，对各防火墙软件7个库进行升级，对服务器操作系统存在的漏洞及时补丁和修复，做好网站的备份工作等。
4、网络信息安全应急管理
20xx年学校制定了《xxx职业技术学校网络与信息安全处理预案》、《xxx职业技术学校网络安全和学生校内聚集事件应急处置预案》。教育技术与信息中心为应急技术支持单位，在重大节日及敏感时期，采用24小时值班制度，对网络安全问题即知即改，确保网络安全事件快速有效处置。
二、检查发现的主要问题
对照《通知》中的具体检查项目，我校在网络与信息安全技术和安全管理建设上还存在一定的问题：
1、由于学校信息化建设尚处于起步阶段，学院数据中心建设相对薄弱，未建成完善的数据中心共享体系，各应用系统的数据资源安全及灾备均由相关使用部门独自管理。同时，网络安全保障平台（校园网络安全及信息安全等级保护）尚在建设中。
2、部分系统（网站）日常管理维护不够规范，仍存在管理员弱口令、数据备份重视不够、信息保密意识较差等问题；学校子网页网管员为兼职，投入精力难以保证，而且未取得相应资格证书；由于经费问题，个别应用系统未能及时升级，容易发生安全事故。
3、目前尚未开展网络安全预案演练，还未真正组建一支校内外联合的网络安全专家队伍，未与社会企业签订应急支持协议和完成应急队伍建设规划。
三、整改措施
针对存在的问题，学校网络与信息安全工作领导小组专门进行了研究部署。
1、全面开展信息系统等级保护工作。按照相关《通知》要求，20xx年8月底全面完成网络安全保障平台建设，根据系统在不同阶段的需求、业务特性及应用重点，采用等级化与体系化相结合的安全体系设计方案，形成整体的等级化的安全保障体系，同时根据安全技术建设和安全管理建设，保障信息系统整体的安全。
2、完善网络安全管理制度。根据等级保护要求,进行信息安全策略总纲设计、信息安全各项管理制度设计、信息安全技术规范设计等，保障信息系统整体安全。
网络安全已成为全球IT界共同关注的重点问题之一。在中国，其已经显现出了强劲的增长势头。2006年安全整体解决方案将成为用户的突出需求，单纯的网络安全硬件产品已经不能满足用户需求，而整体安全解决方案将成为用户的首选，这是市场发展的大势所趋。
东软以软件与解决方案起家，其核心产品线网络安全产品也是行业的领军品牌。今年东软推出“安全魔方---因需而变 因御而安”的新理念。同时了NetEye SOC（安全运维平台）、NetEye IPS（入侵防御系统）和Ntars（异常流量分析与响应系统）等3款网络安全管理新产品。面对高端用户，每个行业的特点不同，系统数据的安全保障需求也不同。因此，定制安全管理产品已经成为了一种趋势。
“安全魔方”之管理三维度
东软推出的网络安全“安全魔方”整体解决方案，构建了三个管理维度。首先是技术与产品维度，东软网络安全产品分为网关类（G类）包括：防火墙、UTM、IPS、WAP等产品。管理类（M类）包含有SOC、VDS、IDS、ESM等产品。组件类（C类）包含有硬件加密卡、NP芯片、ASIC芯片三大类，共14种核心产品。同时，先后设计出了NSF、NEL、NSKB、ICA、FPGA等信息安全产品中的核心部件与关键技术。融合东软在金融、电信、电力、政府等行业深厚的信息技术服务经验以及对客户信息系统的应用和安全风险的深入理解。可为客户提供巨大的安全增值服务。同时可以满足高端用户定制化开发的安全产品的需求。在过程与方法维度，从行业应用、知识应用、过程管理和方法学上全面展示出东软的技术优势；而在服务与支持维度则是更多的调用了东软自身的资源，从客户层面、业务层面、实施层面、支持层面可以全面及时的为客户提供更为便捷的、务实高效的服务。从而为东软的用户提供从咨询规划、风险评估到安全加固、知识培训、安全通告、漏洞测试、应急响应的全方位服务，同时也有效的将众多合作伙伴的服务产品结合进来加强东软的综合服务能力。
“安全魔方”之防护三层面
东软推出的网络安全“安全魔方”整体解决方案，构建了三个层面的防护方案。东软认为安全项目建设的主要目标是有效的把企业当前安全管理思路融入到各个业务系统操作层面中去。将安全管理的目标利用可量化实现的技术手段来实现，建立一套务实的信息安全保障体系。从网络的整体防护方法手段的特点分析，我们可以将网络整体解决方案分为三个层面的防护方案：核心骨干层，信息汇聚层，分支机构层。
就拿核心骨干层面的威胁来说，今天对于大型网络的骨干关键节点的 DDoS 攻击比任何以往更加具有恶意性、破坏性和针对性。由恶意用户、蠕虫病毒和敲诈勒索者针对特定攻击目标而发起的这些攻击，能轻松绕过并突破最普通的防御机制。DDoS 攻击是由看起来合法的网络会话请求、极大量的僵尸来源、蠕虫病毒和假冒IP地址等构成的，这些攻击可导致骨干网络瘫痪并使其不能开展业务。这种威胁是无时不在的尤其每当大规模的蠕虫病毒爆发时，大量下属的接入用户都是非常危险的病毒扩散源，所有产生的病毒流量最后都会汇总到骨干网络中，如果不能及时针对这些攻击行为进行有效的识别和阻断，大量的带宽和设备资源都会被占用浪费掉，严重的时候会导致骨干网络服务质量的严重下降。
很多用户都已经意识到在骨干网络中添加网关型访问控制设备进行大量的信息过滤与阻断是不明智的，因为这些安全设备会消耗大量宝贵带宽资源。同时传统的入侵检测设备在骨干网络中的实际功效也发挥有限。我们认为骨干网络防护最核心的关键步骤就是能够不间断的分析网络中的信息流量，及时发现流量中的各种异常状况。当异常流量针对骨干网络带宽的可用性威胁到一定程度后，可以及时产生相关的报警信息，统计出异常流量的产生来源IP地址、端口、通讯行为特征等，最后通过部署在骨干路由设备中的高性能硬件防火墙进行有效阻断。
东软此次主要是推出一套整体为用户提供解决方案的理念。而在东软安全的三维管理和三层防护的相互变化融合中，面对不同网络需求，还的确有了点因需而变， 因御而安的魔力味道。
为不断深化网络安全责任，防范网络安全风险，近期，市审计局结合业务工作制定切实可行的强化网络安全工作措施，全面开展网络安全自查工作。
一、统一组织、加强领导。
局党组高度重视网络安全工作，在局党组例会上专题讨论此项工作，明确由局信息中心牵头负责，并要求以此次自查工作为契机，查漏补缺，全面提升单位审计网络的安全管理水平。
二、强化学习、部署落实。
局信息中心召集各股室股长进行研判，讨论网络安全检查工作方案和相关要求，并结合我局实际，安排制定检查方案；同时加强沟通联系，确保自查方案和标准不走样、不变形。
三、全面检查、加强整改。
各股室认真对照检查方案和相关标准，从组织领导体系、安全制度建设、计算机存储和网络设备资产管理、机房安全防护、网络接入安全验证等方面进行逐项检查。针对自查中发现的问题，强化整改，切实提高网络安全保障能力和防护水平。
校园网安全系统的建设是一个庞大而复杂的工程，不可能在短时间内完成，也不能有一个完整而周全的解决方案。我们只能是想方设法使学校的网络更加安全，尽量减少因为网络安全带来的损失。在WPDRRC模型中，连接的依次是预警（Warning）、保护(Protect)、检测(Detect)、响应(Respond)、恢复(Restore)、反击(Counterattack)六个环节，内层是人、策略、技术三个逐步扩展的同心六边形（如上图）。将安全策略变为安全现实，人是核心，策略是桥梁，技术是保证。下面，我们主要从技术保障、安全策略、人员素质等三个方面，谈谈对学校网络安全系统建设的一些建议和做法。
第一道关――硬件技术保障是防线
通过添加硬件防火墙或者“计算机+软件”式的防火墙，在内部网与外部网之间、专用网与公用网之间构造起第一道保护屏障，最大限度地阻止网络中的黑客入侵网络。防火墙对通过的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口，而且还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。防火墙是一个安全策略的检查站，所有进出的信息都必须通过防火墙，使可疑的访问被拒绝于门外。
现在笔者所在区域大部分学校都采用“海蜘蛛”作为路由器，目前使用的是“海蜘蛛”V6.1.0，此版特别适用于校园等对网络应用高要求的环境。专门解决校园网电脑中毒、相互攻击、上网缓慢等现象。此设备能够轻松实现以下功能。
用户安全管理：支持各种防火墙策略。提供DNS/IP/网址/关键字过滤功能。支持“PPPoE认证+Web认证+验证码”的三重防护，有效地防止ARP、DoS类攻击。
安全隔离每个用户：采用一户一线，杜绝用户间互相攻击的现象，即使个别电脑中毒也不会对周围用户产生任何影响。
智能QoS功能：能对P2P下载、在线视频等高带宽应用采用智能化QoS流量控制，有效防止了这些应用对其他用户网络的影响。方便对小区内用户提供高质量的网络服务。
长期稳定运行：路由系统基于linux内核，能在长时间不间断的情况下稳定运作。
完善的备份支持：支持定时关机重启，远程备份路由配置文件，简化了管理员的工作任务。
日常网络的监管采用《傲科天蓝蓝安全设备》，可以轻松实现：日志审计、信息过滤、行为管理、内容监控、P2P下载控制、流量管理、策略管理、数据安全管理等功能。
通过采用各种防火墙技术和网络监管设备的防护，为校园网的安全建立起第一道安全防线，为学校网络安全提供有力的技术保障。当然，各所学校的具体情况和网络规模有所不同，采用的校园网安全系统也应有所差别，不可能按照同样的方法，但是可以采用同样的模式。
第二道关――网络安全策略是桥梁
校园网使用者或者说接入点越来越多，随之而来的网络安全问题也会越来越多，合理的、优化的网络安全策略可以有效地降低安全风险，在技术上实现网络系统的安全管理，制定有关网络安全管理的规章制度，确保网络系统安全、可靠地运行。网络安全策略主要涉及以下几个方面。
物理安全策略：主要包括机房网络和办公网络的物理隔离、机房环境的建设、防火防盗、电磁干扰、非法用户入侵等。
访问控制策略：主要包括重要数据的加密、服务器密码的安全性、密码定期更新、用户权限的控制、对于目录的访问权限、敏感数据的控制、用户验证机制等。
VLAN划分策略：当学校网络规模较大时，建议对学校的网络进行合理地划分VLAN，划分可以按照基于端口、基于MAC地址、基于网络层协议、根据IP组播、按策略、按用户定义、非用户授权划分VLAN等多种划分方式。划分VLAN的目的主要是避免用户之间的相互干扰，根据学校用户的特点，可以根据学科进行划分、根据课程表进行划分，可以有效地隔离用户干扰和进行流量控制。
网络安全管理策略：为保障校园网的正常运行，规范各项操作，通过建立各项规章制度、规范用户操作、安全等级管理、管理范围、有关人员的操作流程、机房管理制度、定期维护制度及应急预案等措施，以起到明确职责，责任到人、有理有据、保障有力，将网络安全的风险降到最低，从内部管理上防范网络安全事故的发生。
第三道关――人员素质提升是核心
人员素质的提升对校园网的安全起着非常关键的作用，我们这里讲的人员主要包括两个方面：一是网络管理人员，简单来讲就是学校的网管员；二是网络使用人员，主要是指教师，还包括使用校园网的学生。
网络管理员技术水平的高低对于保障学校网络的安全运行起着至关重要的作用，但由于现在很多学校的网管员都是兼职的，没有接受过专门的培训，水平参差不齐，短时间内很难提升。网管员要通过多种途径，学习和掌握足够的信息安全知识，充分理解相关的安全技术、操作系统和应用软件的安全性能，不断跟踪安全新闻动态、安全技术发展，养成良好的信息安全习惯，成为学校网络安全管理的主力军。
对于普通网络用户来说，网络安全威胁来自两个方面：一方面是被动的，来自病毒、木马、恶意脚本和插件以及黑客的攻击等；另一方面却是主动的，比如浏览挂有木马的非法网站、钓鱼网站、含有病毒的垃圾邮件、含有非法链接的聊天信息等。根据调查显示，由于自己无意识地点击恶意网站而导致中毒木马的竟然占到了绝大部分。半年内有40.5%的用户没有遭遇过病毒和木马的攻击，这部分网络用户有一个共同点：普遍具有良好的网络安全意识。由此可见，教师网络安全意识的提升是整个学校网络安全系统的核心所在。教师网络安全意识的提升需要经常组织相关的网络安全知识的培训，使得某些网络安全隐患被消除在萌芽状态。
移动网络信息的安全管理涉及到的内容比较多，在移动网络对人们的工作生活带来方便的同时，一些网络信息安全问题也逐渐的突出。构建完善化的移动网络信息的安全体系，保障移动网络信息的安全性，是当前移动网络企业发展的重要目标。通过从理论层面加强移动网络信息安全的管理研究，就能有助于从理论层面提供移动网络信息安全的支持。
1 移动网络信息安全管理的特征体现以及主要内容
1.1 移动网络信息安全管理的特征体现分析
移动网络信息的安全管理过程中，有着鲜明特征体现，其中在网络信息安全管理的动态化特征山比较突出。在信息网络的不断发展过程中，对信息安全管理的动态化实施就比较重要。由于网络的更新换代比较快，这就必须在信息安全管理上形成动态化的管理。
移动网络信息安全管理的相对化特征上也比较突出，对移动网络的信息安全管理没有绝对可靠的安全管理措施。通过相应的方法手段应用，能有助于对移动网络的信息安全管理的效率提高，在保障性方面能加强，但是不能完善保障信息的安全性。所以在信息安全管理的相对性特征上比较突出。
另外，移动网络信息的安全管理天然化以及周期性的特征上也比较突出。移动网络的系统应用中并不是完美的，在受到多方面因素的影响下，就会存在着自然灾害以及错误操作的因素影响，这就对信息安全的管理有着很大威胁。需要对移动网络系统做好更新管理的准备，保障管理工作能够顺利进行。在对系统建设的工作实施上有着周期化特征。
1.2 移动网络信息安全管理的主要内容分析
加强对移动网络信息的安全管理，就要能充分重视其内容的良好保证，在信息的安全保障上主要涉及到管理方法以及技术应用和法律规范这三个内容。在对移动网络信息的安全管理中，需要员工在信息安全的意识上能加强，在信息安全管理的水平上要能有效提高，在对风险抵御的能力上不断加强。将移动网络信息安全管理的基础性工作能得以有效加强，在服务水平上能有效提高。然后在对移动网络信息安全的管理体系方面进行有效优化，在信息安全管理能力上进行有效提高，对风险评估的工作能妥善实施，这些都是网络信息安全管理的重要内容。
2 移动网络信息安全管理问题和应对策略
2.1 移动网络信息安全管理问题分析
移动网络信息安全管理工作中，会遇到各种各样的问题，网络的自主核心技术的缺乏，就会带来黑客的攻击问题。我国在移动网络的建设过程中，由于在自主核心技术方面比较缺乏，在网络应用的软硬件等都是进口的，所以在系统中就会存在着一些漏洞。黑客会利用这些系统漏洞对网络发起攻击，在信息安全方面受到很大的威胁。
再者，移动网络的开放性特征，也使得在具体的网络应用过程中，在网系的渗透攻击问题比较突出。在网络技术标准以及平台的应用下，由于网络渗透因素的影响，就比较容易出现黑客攻击以及恶意软件的攻击等问题，这就对移动网络信息的安全性带来很大威胁。具体的移动网络物理管理和环境的安全管理工作上没有明确职责，在运营管理方面没有加强，对网络访问控制方面没有加强。以及在网络系统的开发维护方面还存在着诸多安全风险。
2.2 移动网络信息安全管理优化策略
加强移动网络信息安全管理，就要能充分重视从技术层面进行加强和完善。移动网络企业要走自力更生和研发的道路，在移动网络的核心技术以及系统的研发进程上要能加强。对移动网络信息的安全隐患方面要能及时性的消除，将移动网络安全防护的能力有效提高。还要能充分重视对移动网络安全风险的评估妥善实施，构建有效完善的信息系统安全风险评估制度，对潜在的安全威胁加强防御。
再者，对移动网络安全监测预警机制要完善建立。保障移动网络信息的安全性，就要能注重对移动网络信息流量以及用户操作和软硬件设备的实时监测。在出现异常的情况下能够及时性的警报。在具体的措施实施上来看，就要能充分重视漏洞扫描技术的应用，对移动网络系统中的软硬件漏洞及时性查找，结合实际的问题来探究针对性的解决方案。对病毒的监测技术加以应用，这就需要对杀毒软件以及防毒软件进行安装，对网络病毒及时性的查杀。
将入侵检测技术应用在移动网络信息安全管理中去。加强对入侵检测技术的应用，对可能存在安全隐患的文件进行扫描，及时性的防治安全文件和病毒的侵害。在内容检查工作上也要能有效实施，这就需要在网络信息流的内容上能及时性查杀，对发生泄密以及窃密等问题及时性的报警等。这样对移动网络信息的安全性保障也有着积极作用。
另外，为能保障移动网络信息的安全性，就要充分注重移动网络应急机制的完善建立，对网络灾难恢复方案完善制定。在网络遭到了攻击后，能够及时性的分析原因，采取针对性的方法加以应对。这就需要能够部署IPS入侵防护系统进行应用，以及对运用蜜罐技术对移动网络信息安全进行保障。
3 结语
总而言之，对移动网络信息的安全性得以保障，就要充分注重多方面技术的应用以及管理方法的灵活应用。只有充分重视移动网络信息安全防护体系的构建，对实际的网络信息安全才能有效保障。通过此次的理论研究，希望能有助于从理论层面对移动网络信息安全保障提供支持。
作者简介
IM和P2P沦为黑客攻击管道
从终端来看，垃圾邮件，蠕虫病毒，间谍软件，针对即时通讯和P2P应用安全事件正成为终端安全隐患的主要来源。
FaceTime通讯公司最新的调查报告说，微软的MSN网络仍然是被攻击得最多的即时通讯网络，2004年和2005年都是如此，而被攻击数量下降得最快的网络是美国在线的AIM 网络。即时通讯威胁对于企业的IT人员来说是一种非常大的挑战，因为它们利用了实时通讯的管道以及全球各地的即时通讯网络进行繁殖，它们的传播速度比电子邮件攻击快很多。
根据披露，2005年11月有一个国际黑客组织已经利用即时通讯软件病毒控制了1.7万台个人电脑组成僵尸网络为商业目的攻击行为做准备。
我们也已知道，即时消息和P2P 应用在带来方便性、实时性、新业务商机的同时，也给最终用户、企业网络和电信网络带来多方位的安全威胁。通常来说，这些安全威胁包括：边界安全措施失效；难以控制文件数据的共享和流动，带来病毒、木马、蠕虫等；容易导致知识产权损失、泄密等；由于大量使用非标准、不公开协议，使用动态、随即、非固定的端口；难以检测、过滤和管理；隐藏于HTTP管道中的各种潜在的隐秘通道。
我们也可以看到在复杂的网络环境下一些有代表性的P2P网络安全产品，提供基于包过滤特性提供针对P2P传输的防护，在保障安全的同时还可阻止并记录国际上几乎所有的P2P封杀机构(如RIAA、MPAA、MediaForce、BaySTP、NetPD等等)对计算机进行探测连接，从而避免隐私外泄，可以自动下载最新的屏蔽列表来屏蔽各种广告、间谍软件及研究机构对机器的扫描。
目前业界一些致力于IM/P2P的专业厂商也推出了针对保护用户免受IM与P2P的安全威胁，将检测和分析通过IM传播的病毒与蠕虫、通过IM发送的垃圾邮件“SPIM”、恶意代码等的整体方案。
针对IM的安全管理，比如IM监控，P2P的监控等，正在成为网关级防御，针对IM和P2P，垃圾邮件监控、管理和控制等等需求和话题正在不断催生出相关应用的针对性安全解决方案。
UTM：潮流趋势所至
在企业级领域，由于信息基础设施的不断增加和应用的不断扩展，企业公共出口的网络安全基础设施的布局已经发展到一定阶段，随着纵深防御概念逐渐深入，威胁已经从外部转向内部。从产品来看，UTM（一体化的威胁管理）正在成为新的增长点。在混合攻击肆虐的时代，单一功能的防火墙远不能满足业务的需要，而对于集成多种安全功能的UTM设备来说，以其基于应用协议层防御、超低误报率检测、高可靠高性能平台、统一组件化管理的优势将得到越来越多的青睐。
由于UTM设备是串联接入的安全设备，因此UTM设备本身的性能和可靠性要求非常高，同时，UTM时代的产品形态，实际上是结合了原有的多种产品、技术精华，在统一的产品管理平台下，集成防火墙、VPN、网关防病毒、IPS、防拒绝服务攻击等众多产品功能于一体，实现多种的防御功能。
鉴此，安全厂商与网络厂商合作，共同开发和研制UTM设备将是今后发展的必然趋势。
威胁由外转内
对于内网安全，已经进入到内网合规性管理的阶段。目前，内网安全的需求有两大趋势，一是终端的合规性管理，即终端安全策略、文件策略和系统补丁的统一管理；二是内网的业务行为审计，即从传统的安全审计或网络审计，向对业务行为审计的发展，这两个方面都是非常重要的。
从现状来看，根据美国洋基集团（Yankee Group）一项针对北美和西欧六百家公司的调查显示，2005年的安全问题有六成源自内部，高于前一年的四成。该集团表示：“威胁已从外部转向内部”。每年企业界动辄投资上千万防毒防黑，但企业防御失效的另一个容易被忽略的问题是：来自员工、厂商或其它合法使用系统者的内部滥用。在漏洞攻击愈来愈快速的今日，有可能因为一个访客携入的计算机而瘫痪几千万IT设备。
中小企业面临的三大安全威胁是病毒攻击、垃圾邮件、网络攻击，因而有很多厂商推出了针对中小企业的集成式套装产品。对内网终端设备的管理，通过基于网络的控制台使管理员能够从产品分发、运行监控、组件升级、配置修改、统一杀毒、应急响应等全过程，实施集中式的管理，强制部署的安全策略，有助于避免企业用户无心过错导致的安全漏洞。而新型病毒与黑客技术结合得越来越紧密，与此相对应，防病毒软件与防火墙、IDS等技术配合得越来越紧密。只有多种技术相互补充配合，才可以有效对付混合威胁。
大型企业有一定的信息化基础，对于内网安全来说，企业用户需要实施整体的安全管理策略。 内网安全管理系统需要将安全网管、内网审计与内网监控有机地结合在一起，以解决企业内部专用网络的安全管理、安全控制和行为监视为目标，采用主动的安全管理和安全控制的方式。将内部网络的安全隐患以技术的手段进行有效的控制，全面保护网络、系统、应用和数据。运用多种技术手段，从源头上阻止了敏感信息泄漏事件的发生。
对于大型企业来说，选用的产品需要能够自动发现关键业务资产，并确定威胁企业IT环境完整性的安全漏洞。通过采集实时的技术库，并且将它们与基于风险的任务列表（带有补救指导）中已验证的漏洞相关联，并且帮助企业确定哪些漏洞将影响哪些资产。最终为企业提供一份即时的关于关键性业务资产的风险评估。对于企业内网来说，行之有效的安全管理是各种规模企业所企盼的，固若金汤的城池，往往在内部安全威胁面前形同虚设。“内忧”胜于“外患”，企业不仅需要铸造抵抗外部风险的纵深防御体系，同样需要着重管理，打造安全和谐的内部环境。
关键词：网络安全；入侵防御系统；应急平台；安全防御
中图分类号：TP309文献标识码：A文章编号：1009-3044(2011)22-5412-03
Research on Achieving Comprehensive Security and Defense in Emergency Platform Network
PENG Yun-feng
(Anhui Economic Information Center, Hefei 230001, China)
Abstract: This dissertation, based on the network topological structure of emergency platform and network security development trends, from the overall situation, the overall and equipment of joint Angle to solve the problem of network security, according to the unified security strategy, with the safety as the core, puts forward a comprehensive network security defense linkage Model, and gives out the emergency platform comprehensive interaction system network security solutions.
Key words: internet security; intrusion prevention system; emergency platform; security defense
省政府应急平台是一个涉及图像、数据、语音等信息的复杂系统平台，既涉及到各种硬件通信设施、服务器、终端设备的安全，又涉及到各种系统软件、通用应用软件和自行开发的应用程序的安全；既涉及各种信息安全技术本身，也涉及保障这些安全技术顺利实施的各种安全管理。因此一个可靠稳定的支撑网络平台是应急平台稳定运行的前提和保障，也可以说直接影响着突发公共事件处置的效果和效率。
1 综合联动实现网络安全防御
1.1 应急平台网络拓扑分析
省级应急平台的计算机网络系统分为省政府应急平台局域网和连接各市、县应急平台的广域网。省政府应急平台局域网采用以太网技术进行建设，连接各市、县应急平台的广域网依托全省电子政务网络资源进行建设，实现与各市、县政府及省直各专项部门应急平台的连接，并通过接入到电子政务外网的地面工作站实现与移动应急平台的连接，主要功能是满足省应急平台体系综合应用系统、视频会议系统、图像接入系统、IP语音系统和移动应急平台等业务的承载要求。省级应急平台局域网核心采用两台高端交换机，用于连接应急平台服务器组、内部办公网及应急指挥中心，同时用于各市、县政府和省直各专项部门应急平台的访问连接，接入层采用星形双归结构，用于接入应急平台服务器组及业务办公网络等，以保证系统的稳定性。省级应急平台网络拓扑结构如图1所示。
通过对上图的分析可以得知，由于应急平台服务器组部署在交换机的后端，应急平台业务及应急指挥、办公等纵向业务数据流都要经过两台核心交换机转发，所以通过这两台核心交换机的负载较重，流量也比较复杂，数据流中包含各类攻击、病毒等的可能性也最大，对安全性要求较高。应急平台内部各处室、应急指挥中心通过应急平台网络访问互联网，目前仅采用防火墙进行隔离，由于互联网是一个面向大众的、开放的网络，对于信息的保密和系统的安全考虑的并不完备，互联网上充斥着各种攻击、病毒，防火墙并不能保证应急平台网络的安全，所以这条路径上也可最可能包含各种攻击数据。
1.2 实施综合联动的必要性
随着繁杂的网络应用和多样的攻击入侵，应急平台网络所面临的安全威胁越来越复杂，安全问题日益突出，使得孤立的安全设备难以有效应付，需要从系统全局，从整体和设备联动的角度去解决网络安全问题，依据统一的安全策略，以安全管理为核心，形成完整的系统安全防护体系。
建立一个整体的网络安全防护体系的关键，在于要求各网络安全设备之间具有较高的协同性，即联动性。联动技术体现了智能化网络安全管理的潮流，能够有机整合各种网络安全技术，全面地保护网络的安全，提高工作的效率。联动的概念最初是由防火墙厂商CheckPoint提出来的，CheckPoint提出了OPSEC开放接口，并与其它厂商密切合作，实现了CheckPoint防火墙和身份认证、内容安全、入侵检测等产品的互动。
1.3 以安全为核心划分区域
针对应急平台现有网络的实际情况，划分出不同的安全分区，如图2所示。
详细分区情况描述如下：
1）DMZ区。DMZ是英文“demilitarized zone”的缩写，中文名称为“隔离区”，也称“非军事化区”，它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区。该区域主要包括应急平台对社会或其它部门提供服务的服务器群，如网站、邮件服务器等。该区域对安全级别要求比较高。
2）数据中心区。由应急平台业务服务器群构成，是应急平台一切业务应用活动的基础。这个区域的安全性要求最高，对业务连续性要求也最高。要求不能随便进行任何可能影响业务的操作，包括为服务器打补丁，管理起来也最为复杂。
3）内部办公区。内部办公计算机构成的安全区域。安全性和业务持续性要求最低，管理难度大，最容易遭受蠕虫的威胁。
4）远程接入区。该区域主要指移动办公人员、移动应急指挥平台等通过外部互联网实现访问应急平台业务应用系统功能的区域。
5）广域网接入区。在之前的网络建设中，省级政府应急平台是通过省电子政务外网实现与市、县政府和省直各专项部门应急平台的连接。广域网接入区就是通过专线连接省直各专项部门、市、县政府应急平台网络的区域，这一安全区域内部没有具体的应用系统，主要实现网络互联的功能，定义这一安全区域是为了方便网络管理。
1.4 综合联动方案设计
目前，已经商用的比较成熟的联动系统，是通过网络入侵检测系统（IDS,Intrusion Detection Systems）和防火墙的联动来实现入侵防御。IDS检测到某种攻击后，会通知防火墙立刻做出相关策略的动态修改，对攻击源进行相应的封堵，例如阻断源端口、源IP等，从而达到整体安全控制的效果。防火墙与IDS联动的设计，充分体现了网络安全深度防御的思想。但这种方式也有不足，最重要的问题在于，防火墙和入侵检测产品的互动没有一个被广泛认可的通用标准，大多数安全厂商各行其道，限制了技术的发展和用户选择产品的范围。
因此，本文提出了综合的系统联动方案。针对应急平台网络拓扑结构的特点，在综合联动方案中加入了入侵防御系统（IPS,Intrusion Prevention System）、防火墙、安全管理中心软件、EAD（Endpoint Admission Defense，端点准入防御）软件、网络版防病毒软件、网管软件、SSL VPN接入网关等软硬件设备，提出如下综合联动部署方案，如图3所示。
综合联动方案配置如表1所示。
具体的部署策略如下：
1）应急平台网络的互联网出口处部署防火墙和IPS。防火墙对来自外部的访问进行控制，并对来自外部网络的2～4层的网络攻击进行防护。IPS利用不同的规则，既对外部网络的2～7层的攻击进行防护，又可以对内部流量进行监控，限制P2P、BT等业务，保证了应急平台骨干业务网络正常运行。
2）两台核心交换机旁路部署SSL VPN设备，并做双机热备，在保证应急平台网络安全的同时，满足移动办公的需要。同时对移动终端访问应急平台数据时通过加装数字证书进行身份认证，保证移动终端访问的安全性。
3）重要的应急平台服务器组前端部署IPS和防火墙。IPS防护针对操作系统漏洞进行的攻击，并防护来自内部网络2～7层的攻击。防火墙对应急平台服务器组虚拟出DMZ区和内部受信区域，对不同单位的访问进行控制，并防护来自内部网络2～4层的攻击。
4）DMZ区部署网络版防病毒软件和EAD系统。网络版防病毒服务器安装在内部网办公PC和服务器群上，该软件可定期及时更新病毒库，保护服务器群及内部网办公电脑免受病毒的攻击。EAD通过集中部署，实现对用户终端的安全状态评估和访问权限的动态控制，从而加强了应急平台中网络终端的主动防御能力，控制病毒、蠕虫的蔓延。
5）安全管理软件和网管软件对应急平台进行集中管理。管理人员可以通过网管软件对网络安全和服务器设备进行管理和控制，对设备的配置进行更新和修改，降低管理难度和成本。通过安全管理中心软件收集网络、安全以及服务器等设备的安全事件和日志，如攻击事件记录、日志等。
1.5 系统联动分析
通过上述软硬件的部署，可以实现省级政府应急平台网络设备、安全产品、用户终端等设备综合系统的联动。该安全联动方案由安全管理平台、安全防护设备和EAD软件三部分组成，安全管理平台指安全管理中心系统和智能网管系统，安全防护设备指防火墙、入侵防御系统等。各终端用户通过EAD软件接入并由安全管理平台进行身份认证和终端安全状态评估，确保每一个接入端点的安全，预防内网病毒、蠕虫的泛滥。系统联动如图4所示。
位于内部办公区的终端安装端点准入系统，当某个用户试图非法访问内部服务器时，部署在服务器组前的防火墙设备会阻断非法访问连接；当某个用户感染的病毒向服务器区传播或用户机器上的木马对服务器区进行攻击时，部署在服务器前的IPS设备可以将病毒和攻击阻断，防火墙和IPS会将该用户的非法访问和攻击事件实时发给安全管理中心，安全管理中心根据定义好的策略，将重要的安全事件信息通过告警方式发给智能网管中心，智能网管中心上的端点准入管理组件分析安全管理中心发过来的告警信息，确认非法访问和攻击的用户，然后，通过端点准入管理组件对恶意用户进行告警或强迫下线，控制攻击来源，避免威胁的再次发生，并且为用户提供整网安全审计报告。
2 结束语
本文研究了省级应急平台的网络拓扑结构，分析了网络所可能面临的安全风险，根据应急平台网络的特点，基于综合联动的网络安全策略，可以实现省级政府应急平台网络设备、安全产品、用户终端等设备综合系统的联动，预防内网病毒、蠕虫的泛滥，最大限度地保证应急平台网络的安全和业务系统的正常运行。
参考文献：
[1] 张千里,陈光英.网络安全新技术[M].北京:人民邮电出版社,2003.
[2] 卿斯汉,蒋建春,马恒太,等.入侵检测技术研究综述[J].通信学报.2004(7):19-29.
[3] 黄金莲,高会生.入侵防护系统IPS探讨[J].网络安全技术与应用,2005(8).
[4] 刘世翔.网络入侵检测系统的研究和实现[D].长春:吉林大学,2004.
[5] 周海刚,肖军模.网络主动防御体系结构[J].电信科学,2003(1).
[6] 聂林等.入侵防御系统的研究与分析[J].计算机应用研究.2005(9):131-136.
[7] 林延福.入侵防御系统技术研究与设计[D].西安:西安电子科技大学,2005.
一、学校信息化建设现状分析
现阶段各高校及中小学都基本普及了校园网络，其中大部分也已开始进行信息系统的建设，以校园一卡通系统、校园安全监控系统、科研管理数据库等为主。 还有一部分开始推行普及整个校园的身份认证系统，提供账号支持师生设备上网。学校的教学和管理工作对信息系统的依赖性也越来越强。
随着网络规模的不断扩大以及对信息系统建设的深入和完善，数据大量产生并持续快速增长，信息系统数据库的规模也在不断扩大，随着其承载的信息量的不断增加，这些信息的安全性也就凸显出来，系统保护和数据防灾就变得愈发重要。
二、威胁学校信息系统数据安全的因素
网络故障、病毒侵害、非法访问、软件设计缺陷、数据库破坏、拒绝服务攻击、系统物理故障、使用人员人为失误、信息泄密、自然灾害等，都可对系统数据可用性、完整性和保密性的进行破坏，从而对信息系统构成威胁，由此而造成的安全后果是难以估量的。
三、学校信息安全管理体系的构建
学校信息系统应用是多方面的，一旦投入使用，就会产生大量的数据，面对来自多方面的威胁，稍有不慎就会造成灾难性后果。所以，建立完善的信息安全管理体系，即Information Security Management System（简称ISMS），势在必行。
1. 构建学校ISMS的方法和目的
针对信息安全在不同网络层次上（物理层、网络层、数据链路层、应用层、用户终端层等）的需要，参照国际标准ISO/IEC27001信息安全管理体系（ISMS），明确信息安全的方针和目标，建立完整的信息安全管理制度和流程，制定完善的安全策略，强化安全技术的应用，采取行之有效的安全防范措施，保证信息系统的安全稳定运行。
2. 安全策略与防范措施
（1）强化安全技术
从安全技术实施上，进行全面的安全漏洞检测和分析，针对检测和分析的结果，完善安全策略，制定防范措施和完整的解决方案。
采用冗余技术 。学校信息网络是运行整个学校业务系统的基础，更是数据处理及转发中心，首先需要通过增加设备及链路的冗余来提高其可靠性，包括电源冗余、处理器冗余、模块冗余、设备冗余、链路冗余等技术。
部署网络安全设备。在Internet出口处部署主动入侵防御设备（IPS）及流控设备，开启实时防御和安全过滤，优化网络带宽，构建可视、可控、高效的网络。通过防火墙与IPS的紧密配合，抵御来自校园网内外的各种恶意攻击和病毒传播，确保校园核心业务和核心资源的安全，真正实现校园网络与应用的安全保障。
加强用户终端管理。制定统一且便于管理的终端管理方案，强制准入制度，对特定区域、数据及设备设定访问权限，保证整个网络的安全性和可管理性。根据物理位置、功能区域、业务应用或者管理策略等分VLAN，对需要接入网络的用户与设备进行实名认证，并保证用户帐号的唯一性。同时，部署上网行为管理设备，对校内终端用户的网上行为进行有效监管，降低因终端用户的违法网络行为带来的安全及法规风险。
强化数据安全。建立统一的数据存储中心，增加负载均衡设备及同步磁盘阵列，提高数据库服务器业务连续性及应用服务器负载能力，并针对整个信息系统进行统一定时的D2D2T备份，并结合重复数据删除等技术，提高数据备份效率和数据保留周期。
（2）完善安全管理制度
随着计算机信息技术的高速发展，人们工作、生活越来越离不开网络，网络是企业办公的重要信息载体和传输渠道。网络的普及不但提高了人们的工作效率，微信等通讯工具使人们通讯和交流变得越来越简单，各种云端存储使海量信息储存成为现实。
2石油行业信息网络安全管理存在的安全隐患
无论是反病毒还是反入侵，或者对其他安全威胁的防范，其目的主要都是保护数据的安全———避免公司内部重要数据的被盗或丢失、无意识泄密、违反制度的泄密、主动泄密等行为。
2.1外部非法接入。
包括客户、访客、合作商、合作伙伴等在不经过部门信息中心允许情况下与油田公司网络的连接，而这些电脑在很多时候是游离于企业安全体系的有效管理之外的。
2.2局域网病毒、恶意软件的泛滥。
公司内部员工对电脑的了解甚少，没有良好的防范意识，造成病毒、恶意软件在局域网内广泛传播以至于影响到网络系统的正常运行。
2.3资产管理失控。
网络用户存在不确定性，每个资产硬件配件（cpu、硬盘、内存等）随意拆卸组装，随意更换计算机系统，应用软件安装混乱，外设（U盘、移动硬盘等）无节制使用。
2.4网络资源滥用。
IP未经允许被占用，违规使用，疯狂下载电影占用网络带宽和流量，上班时间聊天、游戏等行为，影响网络的稳定，降低了运行效率。
3常用技术防范措施与应用缺陷
3.1防火墙技术。
目前，防火墙技术已经成为网络中必不可少的环节，通过防火墙技术，实现局域网与互联网的逻辑隔离，使用有效的安全设置一定程度上保障了企业局域网的安全。
3.2计算机病毒防护技术。
即通过建立SYMANTEC网络防病毒软件系统，为企业内部员工提供有效的桌面安全防护技术手段，提高了计算机终端防病毒与查杀病毒的能力。
3.3入侵检测系统。
入侵检测帮助办公计算机系统应对网络攻击，提高了系统安全管理员的管理能力，保持了信息安全基础结构的完整性。从网络中的各个关键点收集和分析信息，确认网络中是否存在违反安全策略的行为和遭到网络攻击的可疑迹象。
3.4应用网络分析器检测网络运行状况。
部署如Sniffer等扫描工具，通过其对网络中某台主机或整个网络的数据进行检测、分析、诊断、将网络中的故障、安全、性能问题形象地展现出来。为监视网络的状态、数据流动情况等提供了有效的管理手段。
3.5交换机安全管理配置策略。
综合评估石油企业网络，在节点设备部署上以可控设备为主，通常的可控设备都具备遵循标准协议的网络安全方案。较为常用的安全策略包括IP与MAC绑定、ACL访问控制、QOS等。通过一系列的安全策略，有效提高了对企业网络的管理。
3.6部署内网安全管理系统。
目前，企业局域网的安全威胁70%来自于内部员工的计算机。针对计算机终端桌面存在的问题，目前出现的主流产品是内网安全管理系统。其采取C/S架构，实现对网络终端的强制性管理方法。后台管理中心采取B/S结构，实现与管理终端交互式管控。
4多种技术措施联动，保障网络与信息安全
4.1网络边界管理
①防火墙。通过包过滤技术来实现允许或阻隔访问与被访问的对象，对通过内容进行过滤以保护用户有效合法获取网络信息；通过防火墙上的NAT技术实现内外地址动态转换，使需要保护的内部网络主机地址映射成防火墙上的为数不多的互联网IP地址。②入侵检测系统。入侵检测作为防火墙的合理补充，帮助办公计算机系统应对网络攻击，提高了系统安全管理员的管理能力，保持了信息安全基础结构的完整性。③防病毒系统。应用防病毒技术，建立全面的网络防病毒体系；在网络中心或汇聚中心选择部署诸如Symantec等防病毒服务器，按照分级方式，实行服务器到终端机强制管理方式，实现逐级升级病毒定义文件，制定定期病毒库升级与扫描策略，提高计算机终端防病毒与查杀病毒的能力。
4.2安全桌面管理。
桌面安全管理产品能够解决网络安全管理工作中遇到的常见问题。在网络安全管理中提高了对计算机终端的控制能力，企业桌面安全管理系统包括区域配置管理、安全策略、补丁分发、数据查询、终端管理、运维监控、报表管理、报警管理、级联总控、系统维护等。
4.3网络信息管理。
对于网络信息要按等级采取相应必要的隔离手段：①建立专网，达到专网专用；②信息通过技术手段进行加密管理；③信息与互联网隔离。
4.4网络安全管理防范体系。
根据防范网络安全攻击的需求、对应安全机制需要的安全服务等因素以及需要达到的安全目标，参照“系统安全工程能力成熟模型”和信息安全管理标准等国际标准。
5结束语
论文关键词：金融信息系统；灾备中心；网络；生产中心；安全
0、引言
随着我国金融体制改革的不断深入和金融业的快速发展以及全球经济一体化进程的加快．我国商业银行逐步完成数据集中与新一代综合业务系统的推广．业务自动化处理程度与管理水平进一步提高。从长远发展以及确保其安全、连续、稳定运行等方面考虑．建设金融信息系统灾备中心以保证数据安全和业务连续性是非常必要的．有利于各银行增强抵御金融风险能力、提高金融服务水平、增强国际竞争力。而建设先进、可靠、稳定的网络是业务系统运行的基础，也是为系统提供必要的安全保障。
本文从工程建设的角度．并结合在金融信息系统灾备中心网络运行维护的实际经验，对数据集中程度高、分支机构多的金融单位灾难备份中心网络建设提出了一套切实可行的技术方案。
1、建设目标
金融信息系统灾备中心网络建设目标是构建能够适应金融业务和应用发展要求的高可靠、高性能、可灵活扩展、安全可控的网络公用基础设施。灾备中心网络的服务模型如图1所示。
灾备中心网络建成后。作为系统的备用网络节点，可为业务系统在以灾备中心为辅的运行提供通信服务．同时还应具备与生产中心、灾备中心共同为业务系统的连续性提供保障的能力。
灾备中心网络结构能够满足接替生产中心运行的网络需要．且具备灾难备份保障功能．建设生产中心和灾备中心之间互连的高速数据通道，可用于备份数据的传输，辅以网络切换功能，保障业务运行的连续性．提高整个系统的可用性。
构建面向应用和系统的服务网络．为金融信息系统中的各应用系统提供统一的基础网络服务平台。
根据业务类型、功能要求、安全等级等因素。进行安全域、功能化、层次化和模块化分区，从而构建出满足业务系统要求、且具有一定先进性的数据中心。
构建完善的灾备中心网络安全体系：利用主动防御与被动防范相结合的安全技术。形成从网络边界、内部网络到系统的多层面的整体纵深防御体系，具备信息加密、入侵检测与防范、病毒防护、访问控制、身份认证和安全审计等功能。
部署统一集中的网络管理中心和安全管理中心．能对整个金融信息系统网络和安全状况进行统一的管理和监控。
2、设计原则
(1)高可用性
统一的、标准化的网络架构；结构化、模块化的设计方式：通过高可靠的网络部署(包括链路和设备的冗余，尽量避免单点故障)以提高网络的可用性；采取功能、对象、风险、控制的层次性划分，降低网络故障的影响区域，提高整体网络可用性；选用成熟稳定的网络设备和网络技术。
(2)高安全性
灾备中心系统结构设计必须根据不同应用系统特点和业务数据敏感度实施不同的安全防护措施．确保数据中心各类业务系统的信息安全。
遵循中国人民银行安全规范：制定和实施贯穿整个灾备中心网络的统一安全策略：具备对灾备中心内的服务器、存储设备和用户提供相应的安全防护和控制的能力：网络基础设施自身具备安全防护能力。
(3)高灵活性、高可扩展性
近年来。我国金融信息系统的建设呈现出”数量越来越多、规模越来越大、系统结构越来越复杂、数据安全性要求越来越高、运行责任越来越重大”的特点。因此。灾备中心网络的总体结构设计要具有灵活的扩展性．既要满足今后新系统上线运行的要求。也要满足每个业务系统处理能力的扩展性的要求。
具备网络容量的扩展能力。能满足服务器数量、用户数量和数据流量的增长需求；具备适应上层应用模式变化的能力，既满足现有的应用模式．又能满足多层次的应用模式对网络服务和网络结构的要求；能适应安全策略的变化，可灵活划分安全等级，部署安全措施；符合世界技术发展趋势，能向未来可能采用的技术架构平稳过渡。
(4)便于运行维护和管理
强大的网络管理平台；提供带外管理网络支持，特别为紧急情况下提供增强的管理渠道；相对统一的设备类型和型号；充足完备的网络分析工具；充分考虑灾备中心运维管理流程的需要。
(5)先进性
采用先进的高性能网络产品和相关技术．以满足灾备中心未来5年业务快速发展的需求。
3、解决方案
(1)网络体系结构
根据灾备中心不同的服务功能．灾备中心网络在功能上分为核心交换区、生产区、管理区、MIS服务区、内联接人区、外联接人区、开发，测试区和Internet接人区等区域。灾备中心网络体系结构如图2所示。
(2)灾备中心网络逻辑结构
灾备中心网络的逻辑层次有三层：核心层、分布层和接入层。核心层的主要功能是负责各个分布层数据的高速转发：分布层的主要功能是为接人层提供网络服务：接入层的功能是向最终用户和设备提供接入。分布层和接入层可以根据应用、管理功能和安全要求划分为若干模块。
各个层次的功能是：
核心层是灾备中心内部高速的三层交换骨干．该层不进行终端系统的连接．不实施影响高速交换性能的安全访问控制策略。
分布层作为接入层和核心层的分界层．该层完成的功能包括：区内VLAN问的路由；区内I王’地址或路由区域的汇聚：实施安全访问控制策略。
接人层提供Layer2的网络接入．通过VLAN定义实现接入的隔离。该层具有的主要特点是：根据实际使用情况规划接入端口容量。并具有一定的扩展性；不同功能分区的接人层相对独立；不同类型的接人层应各自分开，连接到对应功能区的分布层：为实施QoS。对数据包进行分类和标记。
各层之间的连接：
上述每一个层次结构内部需要采用冗余的架构来保障该层功能的稳定可靠。
在相邻层次之间．同样需要采用冗余的连接(物理连接或协议)来保障各层次结构之间的稳定可靠。
网络扩展时．核心层和分布层的架构保持不变，接入层可以随接人需要扩展。
物理实现时．分布层和接人层设备可以合并。
(3)灾备中心信息安全体系设计
灾备中心信息安全体系的建设目标是以信息安全标准为依据．建立一套具有统一安全策略、纵深防御能力、监控和审计功能的信息系统平台．具有可持续建设能力的业务系统支撑平台和具有高效率的网络通讯平台。信息安全体系的建设在确保网络通讯畅通的同时最大限度地保护核心业务系统的安全。通过技术、人员、管理等方面的综合建设、保障最终使灾备中心的信息系统达到保密性、完整性、可用性、可控性、抗抵赖性的要求。灾备中心网络的信息安全体系结构如图4所示。
为达到信息安全建设的总体目标．灾备中心信息安全体系分为七个方面：信息系统安全技术和安全服务；基于安全域的纵深防御体系；安全管理体系；安全法规；信息安全技术保障；信息安全策略和审计：信息系统基础设施。七个方面的内容可划分为”四个层面。两个支撑。一个确保”。
第一个层面为信息安全技术和安全服务。在这个层面上描述灾备中心信息安全建设中采用的安全技术手段和实现方法．以及这些技术提供了鉴别、加密、访问控制、完整性、抗抵赖等信息安全服务。从技术实现的角度落实信息安全要求。确保灾备中心信息安全。
第二个层面为基于安全域的纵深防御体系。在这个层面上主要从系统设计的层次描述了贯彻信息安全要求的设计、规划理念．从网络边界安全到内部局域网网络安全以及计算机系统的安全综合考虑。统筹规划。在网络和计算机等相关系统的设计过程中充分考虑信息安全的总体要求。
第三个层面为安全管理。在这个层面上要认真树立信息安全理论中”三分技术。七分管理”科学管理理念，建立符合灾备中心实际的协调、高效、可行的管理制度。把人员管理放在首位。加强以人员教育为主要手段的社会工程学管理。巩固信息安全。同时制定风险管理、安全评估、应急响应和灾难恢复等相关制度。
第四个层面为安全法规和制度。在这个层面上要以国家的有关信息安全的法律、法规、标准为依据．指导灾备中心的信息安全建设．同时落实中国人民银行关于信息安全建设的相关要求。在这个层面还体现了各级领导、信息安全管理部门在信息安全建设中的主导地位和重要作用。信息安全建设要依靠标准、法规、制度，政策，依靠领导关心、指导、协调，依靠所有部门齐心协力、齐抓共管．依靠全体员工同心同德。群策群力才能确保成效。
以上四个层面由低到高描述了信息安全建设的基本思路。
除了四个层面的内容外．信息安全保障、信息安全策略和审计起到支撑作用，保障信息系统建设和稳定运行。信息安全保障主要从技术、人员、工程、管理的角度建立有效的信息安全保障技术和保障制度。依靠准则和标准建设灾备中心的信息系统工程：依靠人员借助技术手段对灾备中心庞大、复杂的信息系统进行操作、运行和维护。为灾备中心的信息安全系统以及各个业务系统提供强有力的技术支持：依靠制度和技术手段对信息安全事件进行有效地发现、分析和处理。信息安全策略和审计主要起到统一规划。加强审计、监督的作用。利用审计手段明确责任，定位责任．巩固信息安全建设。在信息安全的建设和规划中落实”职责分离．最小授权”的信息安全原则。
最终．确保灾备中心整个信息系统的安全、稳定、高效的运行。实现信息安全建设的目标。
4可行性分析
方案分析主要包括网络可靠性分析、网络安全性分析和网络扩展性分析等方面
(1)网络可靠性分析
灾备中心网络的可靠性应能满足业务稳定运行的要求．具体分析如下：
线路的可靠性
灾备中心网络的线路主要包括：灾备中心网络内部连接；灾备中心网络的内联和外联接口等。其中：灾备中心网络由局域网交换机构成．基本上功能相似的一个或一组交换机均与骨干交换机保持2个连接．避免线路的单点故障。内联区提供的广域网接口．针对每个分支行提供2条不同电信运营商的电路．外联接口同样为外联机构提供2条不同电信运营商提供的电路。如采用光纤接入方式的ATM电路，每条ATM电路的可用率为99．9％．因此总体广域网线路的可用率大于99．96％。
网络设备的可靠性
灾备中心网络设备采用中高档设备．关键设备不仅配置冗余电源，还配有冗余的处理模块、冗余的总线等。设备自身具有很高的可靠性。同时，对生产区等关键区域，还采取l：1热备份，进一步提高了整个网络的可靠性．应完全能够满足业务系统对可靠性的要求。
(2)网络安全性分析
为保障灾备中心业务系统的安全．采取了多种网络安全措施。部署了多种网络安全产品。采取了相应的网络安全管理技术手段。主要有：在外联区采用防火墙进行安全隔离．对进出灾备中心的访问进行控制。内部各区域之问也部署防火墙．对内部区域问的数据流向和访问进行较有效的控制：每个区域均部署IDS、漏洞扫描系统，作为主动防御的技术措施，对系统漏洞、数据和访问进行监控：敏感数据采取加密措施．可防止泄密的产生；建立统一的防病毒系统，尽可能将病毒维护减少到可接受的水平；部署认证系统。对用户权限进行必要的管理：建设网络安全监控和安全分析系统．综合监控和分析各种安全设备产生的日志等信息。可比较全面地对网络安全进行管理；集中的审计系统，以从网络、系统和安全等三个层面。对操作行为进行跟踪和记录。减少违规行为产生的危害。这些安全措施。可建立主动和被动相结合的纵深防御体系．对业务系统的安全运行起到积极的保障作用。
(3)网络扩展性分析
网络扩展性主要体现在：
通信容量的扩展
按照方案的配置。连接各分支行和外联机构的接口。可满足每个分支行及外联机构以2条ATM电路接入的要求．平均每条ATM电路的速率不低于2Mbps，在业务量增加后，如总计业务量不超过155Mbps，可逐步扩容PVC带宽满足业务需求。如总计业务量超过155Mbps，可根据需要。增加ATM接口的数量。
支持业务系统的扩展
灾备中心网络采用了以安全域进行分区、在分区内按系统类型进一步划分子区的设计思想。新的业务系统按其安全等级可部署在相应的安全域(区)内，系统(如前置、服务器等)在连接到子区内．基本上不需要改变数据中心网络的结构。因此在这种思想下设计的数据中心具有较强的业务扩展能力。
5、结束语
