如何制定網絡安全策略精選(九篇)
前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的如何制定網絡安全策略主題范文，僅供參考，歡迎閱讀并收藏。
第1篇：如何制定網絡安全策略范文
關鍵詞：提高；網絡；安全
中圖分類號：TP393 文獻標識碼：A 文章編號：1009-3044(2009)05-1071-01
1 引言
隨著計算機網絡的不斷發展，氣象業務現代化、信息化、辦公自動化程度的加快，氣象系統內部以及與外界的信息交流量和交流面在逐步擴大，這給網絡安全和網絡管理員提出了更高的要求，特別是與Intermet連接后，網絡病毒的傳播、黑客的攻擊愈來愈嚴重，氣象信息的安全性也就受到威脅，因此就目前臺站氣象網絡安全隱患和防范措施是值得探討和重視的。
2 重視管理臺站氣象網絡安全
2.1 存在隱患
臺站業務人員計算機水平的高低參差不齊，且無專職網絡管理人員，使氣象網絡的安全潛伏著極大的危機，主要表現在以下幾個方面：
① 隨意使用外來U盤、移動硬盤、光盤。由于人們認識不到位，防范意識差，人人都可以隨意買一些盤放人計算機，用來玩游戲等非業務使用，無意甚至有意將病毒、黑客程序帶人計算機，給計算機和網絡埋下不安全的隱患。
② 隨意使用Intemet網進行收、發信息，電子郵件的普通使用，各種信息來者不拒，有用無用程序都去下載，然后在本單位網內不加防范地傳播，造成病毒和黑客程序傳播，一旦網絡防御被攻破，輕者網絡癱瘓，重者將造成系統損壞或數據丟失的惡果。
③ 人為修改設置，氣象數據庫中的數據在不斷更新和增加，部分人員因為種種原因，對正確的設置加以修改，致使新的數據不能及時填入，而應保留的數據被清除，在工作當中若不能及時發現后果是造成氣象資料數據庫數據不完整，資料不準確，而運用這樣的資料做出的資料結論，其偏差通常較大，甚至會得出相反的結論。
2.2 上機人員的管理
以上三種現象可能會時常發生，要徹底改變這些間題是一個長期而重要的工作任務。就目前來看，從以下三方面著手解決是比較實際的：第一，提高業務人員的素質，加強職業道德教育，提高思想覺悟，正確認識氣象網絡和數據安全的熏要意義；第二，加強制度建設，將氣象計算機網絡管理納人專職管理編制，尤其是臺站氣象網與資料庫，目前正處于管理的薄弱環節，隨著氣象自動化建設的發展，必須設專職管理人員，管理必須有章可尋，責任明確，對有意進行惡意操作的人和事要嚴肅處理，有效防止人為破壞；第三，加強計算機知識培訓，讓業務人員不但能使用計算機，還會保護網絡安全、數據安全、減少無意損壞、杜絕人為破壞。
3 臺站氣象網絡安全管理體系的建立
隨著臺站大氣監測自動化系統、生態環境監側，Intemet的不斷應用、計算機網絡、信息傳輸的安全問題也日趨突出，這就要求我們，必須根據臺站氣象信息網絡的安金要求，構建適用的安全體系，從而有效地保證氣象信息網絡的安全。
3.1 安全需求分析
“知己知彼，百戰不殆”。只有明確網絡的安全需求，才能有針對性地構建適合的安全體系結構，從而有效地保證網絡系統的安全。
3.2 安全風險管理
妥全風險管理是對安全需求分析結果中存在的安全威脅和業務安全需求進行風險評估，以組織和部門可以接受的投資，實現最大限度的安全。風險評估為制定組織和部門的安全策略和構架安全體系結構提供直接的依據。
3.3 制定安全策略
根據組織和部門的安全需求和風險評估的結論，制定組織和部門的計算機網絡安全策略。
3.4 定期安全審核
安全審核的首要任務是審核組織的安全策略是否被有效地和正確地執行;其次，由于網絡安全是一個動態的過程，組織和部門的計算機網絡的配置可能經常變化，因此組織和部門對安全的需求也會發生變化，組織的安全策略需要進行相應地調整。為了在發生變化時，安全策略和控制措施能夠及時反映這種變化，必須進行定期安全審核。
3.5上下聯動，專業支持
計算機網絡安全同必要的上下聯動和外部支持是分不開的。通過上下聯動專業的安全服務機構的支持，將使網絡安全體系更加完善，并可以得到更新的安全資訊，為計算機網絡安全提供安全預警。
第2篇：如何制定網絡安全策略范文
關鍵詞：電子政務外網 安全管理平臺 SOC 安全策略
一、前言
國家電子政務外網作為一個支持跨部門和地區業務應用、數據交換和信息共享的電子政務建設的新生事物，盡管其建設規模還不大，建設時間也不長，但在國家有關部門的指導和支持下，依靠各部委和各地的通力合作，它已經充分展現了一個創新性網絡巨大的活力，開始得到了各部門和各地的重視和關注。目前，已有30多個部門的系統平臺接入政務外網，例如國務院應急辦國家應急平臺外網系統、自然資源和地理空間基礎數據庫、文化部文化信息資源共享平臺等一批關系國計民生的重要系統接入政務外網。從政務外網建設及應用情況來看，各部門對政務外網的需求是緊迫的，同時也對政務外網的安全性有了更高的要求。
二、國家電子政務外網安全管理平臺概述
如何對國家電子政務外網的安全進行有效的管理，如何保證利用政務外網開展業務的應用系統的安全性，是對負責政務外網網絡安全的人員管理能力的一種考驗。傳統的安全管理方式是將分散在各地、不同種類的安全防護系統分別管理，這樣導致安全信息分散、互不相通，安全策略難以保持一致。因此這種傳統的管理運行方式成為許許多多安全隱患形成的根源，很難對國家電子政務外網進行統一的、有效的安全管理。
國家電子政務外網安全管理平臺（Security Operation Center，SOC）為電子政務外網制定統一安全策略、統一安全標準，實現全網統一管理和監控，保障電子政務外網安全、穩定、高效地運行，實現政務外網基于安全的互聯互通。國家電子政務外網安全管理平臺實現了將不同位置、不同類型設備，不同安全系統中分散且海量的單一安全事件進行匯總、過濾、收集和關聯分析，得出整個電子政務外網的全局安全風險事件，并形成統一的安全決策對安全事件進行響應和處理，從而保障電子政務業務應用系統的真實性、完整性和保密性。
三、國家電子政務外網安全管理平臺框架
國家電子政務外網安全管理平臺（SOC)的主要思想是采用多種安全產品的Agent和安全控制中心，最大化地利用技術手段，在統一安全策略的指導下，將系統中的各個安全部件協同起來，實現對各種網絡安全資源的集中監控、統一策略管理、智能審計及多種安全功能模塊之間的互動，并且能夠在多個安全部件協同的基礎上實現實時監控、安全事件預警、報表處理、統計分析、應急響應等功能，使得網絡安全管理工作由繁變簡，更為有效。
國家電子政務外網安全管理平臺（SOC）的體系架構具備適應性強（能夠適用于不同省級節點接入網絡和系統環境）、可擴充性強、集中化安全管理等優點，其框架體系主要是為了解決目前各類安全產品各自為陣、難以組成一個整體安全防御體系的問題。真正的整體安全是在一個整體的安全策略下，安全產品、安全管理、安全服務以及管理制度相互協調的基礎上才能夠實現。國家電子政務外網安全管理平臺（SOC）框架如圖1所示。
四、國家電子政務外網安全管理平臺的主要功能
國家電子政務外網安全管理平臺為系統管理員和用戶提供對系統整體安全的監管，它在整個政務外網體系與各類安全技術、安全產品、安全防御措施等安全手段之間搭起橋梁，使得各類安全手段能與現有的國家電子政務外網應用體系緊密結合而實現無縫連接，以促成網絡安全與國家電子政務外網應用的真正一體化。目前，國家電子政務外網安全管理平臺基本實現了對國家電子政務外網中央城域網、廣域網骨干網的主要網絡設備、安全設備和網絡承載的業務系統的安全事件的管理，并具備監控、預警、響應、審計追蹤等功能。
圖2描述了國家電子政務外網安全管理平臺的功能框架。以下對其功能予以詳細闡述。
⒈統一管理
政務外網安全管理平臺（SOC）建立在安全設備部署的基礎之上，主要圍繞安全的預防、發現、反應環節搭建，實現了安全預警、集中監控、安全事件處理等更高層次的安全管理。這些建立在安全設備部署之上的安全管理包括：預防環節的安全預警信息通告，安全評估結果綜合分析的安全信息庫；發現環節的收集防火墻、入侵檢測、日志系統、防病毒系統中的有關安全事件，呈現安全告警的集中安全監控系統；反應環節的以電子流的方式，進行安全事件處理流轉，保存安全事件處理經驗的安全事件運行系統。
政務外網安全管理平臺（SOC)對各種安全產品的監控和管理，可以利用各個安全子系統中已有的信息采集和控制機制來實現，也可以采用直接與安全設備交互的方式進行，主要取決于各個安全子系統自身的構架以及提供的管理接口。
⒉安全事件實時監控與實時通報
網絡安全工作的本質在于控制網絡安全風險，風險管理是安全管理的核心。考察安全成本和安全威脅后果之間的關系，以可接受的成本來降低安全風險到可接受的水平。
國家電子政務外網上的各種安全設備和產品每天都要產生大量的各種安全事件。對這些事件的集中監視是控制網絡風險、保證網絡業務正常運行的重要手段。國家電子政務外網安全管理平臺專注于整個政務外網安全相關事件的實時監控，收集并匯總重大安全事件的數據（如：大規模蠕蟲事件，重大攻擊事件等），進行關聯性分析，全面提高對網絡事件的快速反應能力；同時，將安全事件備份到后臺的數據庫中，以備查詢和生成安全運行報告。
安全事件通報與業務系統、工作流緊密結合。國家電子政務外網安全管理平臺在發現某政務外網業務系統內出現安全事件后，還將及時把這些安全事件通知各業務系統的管理員以便及時予以處理。
⒊全網統一安全策略
對于電子政務外網的安全運行維護，最具有挑戰性的莫過于保持全網策略的一致性。尤其是對于日新月異的網絡安全技術，需要經常性頻繁應對出現的新漏洞，根據新的業務調整安全策略。
國家電子政務外網安全管理平臺支持統一、集成的策略管理，包括策略的制定、分發和策略執行情況的檢查。安全策略管理包括設備安全策略、事件響應策略和全局安全策略等。
統一安全策略管理制訂全網的安全策略，這些策略文件可下發給各相關部門，通過直接（也可以手工）的方式進行配置落實。策略的管理能夠通過全局策略的調整、業務的變化、各網管和部門反饋來的意見等情況，不斷調整、優化安全策略。
⒋基于角色的安全事件可視化
國家電子政務外網安全管理平臺提供統一的安全管理，并為不同級別和性質的管理員提供不同層次和性質的管理視圖。由于電子政務外網內部網絡系統是一個復雜的分布式大規模網絡，因此核心層、分布層以及接入層的網絡管理員具有不同的職責。系統不但能夠提供運行核心層的管理員對所有安全系統宏觀的管理視圖，也能夠為各地主要業務網絡的管理員對自己管轄區域內的安全設備和安全系統部件進行區域自治管理，此外，還能夠通過安全管理平臺（SOC）對分布于整個網絡的某個安全子系統，進行整體安全策略的發放和狀態監測及管理。
安全管理平臺（SOC）根據需要設置可視化條件，實時在全網拓撲圖中顯示最重要的多組事件，包括設備名稱、事件定位、風險概況、脆弱性等信息（如圖3所示）。
⒌安全事件關聯分析
安全管理平臺（SOC）要對各個不同安全設備（入侵檢測、漏洞掃描、防火墻等）報告的安全信息進行集中的數據挖掘和分析，進行全局的相關性分析和報表顯示，以發現低級安全事件相關聯后表現出的高級安全事件，以及異常行為之間、漏洞和入侵之間的對應關系，便于對攻擊的確認和安全策略的調整。國家電子政務外網安全管理平臺目前支持基于規則的關聯分析、基于統計的關聯分析和基于漏洞的關聯分析等3種形式。根據此關聯分析的功能，結合國家電子政務外網的業務應用系統的事件特征，通過分析與制定安全域與業務安全控制策略和基于業務應用的流程異常監控，制定相關的特定關聯分析規則，配合事件監控、拓撲管理及綜合顯示等方面的內容，從而實現國家電子政務外網業務安全監控及追蹤功能的事件定位。
⒍宏觀分析與安全決策支持
安全管理平臺（SOC）應支持對各安全設備上報的所有安全數據進行宏觀統計、分析和決策支持。宏觀統計分析主要是在大量數據的基礎上，對安全事件進行綜合分析，比如將攻擊信息和安全漏洞信息關聯起來，產生詳盡的安全報告，提供安全決策支持，強有力地支持全網安全事件的及時發現（檢測）、準確定位（追蹤）、盡快處理（應急響應）、進一步防范（預警）以及全網安全策略制定（策略）。國家電子政務外網運行維護管理員根據宏觀分析提供的全局安全狀況和安全態勢信息，并結合電子政務外網的管理體系、人員管理規章制度、管理流程以及行政管理規定,為針對安全事件的處理決策提供支持。圖4、圖5展示了安全管理人員可以借助安全管理平臺展示的全方位安全信息對政務外網的安全態勢進行宏觀把握，為決策提供支持。
⒎安全事件全局預警
對于像沖擊波、紅色代碼等危害較大的網絡蠕蟲的較大規模入侵，從一個地區向另一地區滲透可能有一定的延時。在這段延時期間，安全管理平臺（SOC）有義務將這種警報到尚未受攻擊的區域中去，以起到提前布防的預警作用。
國家電子政務外網安全管理平臺接到的報警如果符合提前設定的全局預警范圍，則將其下發到非來源的省級政務網絡中心，結合報警信息轉發及上傳的功能，實現這一報警事件下發到所有省級政務外網結點（如圖6所示）。
⒏安全事件知識庫
為了實現安全事件的集中收集、記錄、審計和流程化處理（集中、分類、入庫、處理），共享最新安全知識，保證國家電子政務外網安全人才的儲備，安全管理平臺（SOC）建立安全事件知識庫。知識庫將國家電子政務外網各級安全管理平臺的安全管理信息收集起來，為國家電子政務外網各級安全維護人員形成統一的安全共享知識庫，以完成安全信息管理和WEB，主要實現安全管理信息、安全事件庫、安全策略配置庫、安全技術信息交流、處置預案庫、補丁庫、安全知識庫等欄目的信息管理和瀏覽。安全管理員可以通過安全知識庫的輔助工具學習，了解相關知識，輔助進行運維工作。圖7是一個安全知識庫的截屏。
五、國家電子政務外網安全管理平臺的部署
根據國家電子政務外網安全管理平臺的組成，政務外網安全管理平臺最終建成分層分級結構：頂級為國家級安全管理平臺，第二級為省部級安全管理平臺，第三級為縣市級安全管理平臺。各級網絡安全管理中心負責對本級電子政務外網實施安全監控和集中管理。上級網絡安全管理中心可對下級網絡安全管理中心進行統一安全策略、運行狀態監控、安全信息收集等操作。下級網絡安全管理中心可接受上級網絡安全管理中心的安全預警信息。國家電子政務外網安全管理平臺整體部署如圖8所示。
在部署政務外網各級安全管理平臺過程中，涉及兩類下級安全管理平臺：一是新建的安全管理平臺，另一類是已建的安全管理平臺。對于新建的安全管理平臺在接入上級安全管理平臺時將在統一設計、統一標準、統一技術規范、統一部署的原則下進行建設，與上級安全管理平臺實現平滑和無縫對接。
部分電子政務建設比較好的省市，可能已建成安全管理平臺。在這種情況下，由于早期建設的安全管理平臺沒有統一的標準和規范，在管理對象、管理方式、協議支持等方面不盡相同，所以此類安全管理平臺不能直接與國家級安全管理平臺進行對接。因此需要針對不同的安全管理平臺進行調研和分析，本著最小改造的原則，為其增加設備，通過機制實現其與上級安全管理平臺的對接。
六、總結
目前，國家電子政務外網中央安全管理平臺的建設已基本建設完畢。通過幾個月的建設工作，安全管理平臺的實施為國家電子政務外網的安全運轉提供了良好的保障。首先，國家電子政務外網安全管理平臺提升了信息安全事件的處理水平。因為大量的安全事件通過安全管理平臺的過濾、歸并和排序后，降低到一個人工能夠處理的數量級。另外，安全管理平臺（SOC）自帶的專家知識庫能夠幫助平臺管理員正確地處理事件，減低了安全技術的門檻，為運維人員提供了有力的技術支持。其次，國家電子政務外網安全管理平臺提供了良好的可視化技術，用圖形化的方法向管理員展示了整個國家電子政務外網的安全整體狀況，便于管理員從宏觀上對全網的安全態勢進行整體把握。
綜上所述，國家電子政務外網安全管理平臺的實施是針對政務網絡系統傳統管理方式的一種重大變革。它結合政務網絡自身的特點，將不同位置、不同安全系統中分散且海量的單一安全事件進行匯總、過濾、收集和關聯分析，得出全局角度的安全態勢，并形成統一的安全決策對安全事件進行響應和處理。
作者簡介：
郭紅，女，1966年生，漢族，北京人，高級工程師，國家信息中心網絡安全部處長，研究方向：網絡安全。
王勇，男，1977年生，漢族，山東鄄城人，國家信息中心網絡安全部工程師，研究方向：網絡安全。
第3篇：如何制定網絡安全策略范文
論文關鍵詞：醫院信息系統 安全體系 網絡安 全數據安全
論文摘要：分析了目前威脅醫院網絡信息安全的各種因素結合網絡安全與管理工作的實踐，探討了構建醫院信息安全防御體系的措施。
中國醫院信息化建設經過20多年的發展歷程目前已經進入了一個高速發展時期。據2007年衛生部統計信息中心對全國3765所醫院(其中：三級以上663家：三級以下31o2家)進行信息化現狀調查顯示，超過80％的醫院建立了信息系統…。隨著信息網絡規模的不斷擴大，醫療和管理工作對信息系統的依賴性會越來越強。信息系統所承載的信息和服務安全性越發顯得重要。
1醫院信息安全現狀分析
隨著我們對信息安全的認識不斷深入，目前醫院信息安全建設存在諸多問題。
1．1信息安全策略不明確
醫院信息化工作的特殊性，對醫院信息安全提出了很高的要求。醫院信息安全建設是一個復雜的系統工程。有些醫院只注重各種網絡安全產品的采購沒有制定信息安全的中、長期規劃，沒有根據自己的信息安全目標制定符合醫院實際的安全管理策略，或者沒有根據網絡信息安全出現的一些新問題，及時調整醫院的信息安全策略。這些現象的出現，使醫院信息安全產品不能得到合理的配置和適當的優化，不能起到應有的作用。
1．2以計算機病毒、黑客攻擊等為代表的安全事件頻繁發生，危害日益嚴重
病毒泛濫、系統漏洞、黑客攻擊等諸多問題，已經直接影響到醫院的正常運營。目前，多數網絡安全事件都是由脆弱的用戶終端和“失控”的網絡使用行為引起的。在醫院網中，用戶終端不及時升級系統補丁和病毒庫的現象普遍存在；私設服務器、私自訪問外部網絡、濫用政府禁用軟件等行為也比比皆是。“失控”的用戶終端一旦接入網絡，就等于給潛在的安全威脅敞開了大門，使安全威脅在更大范圍內快速擴散。保證用戶終端的安全、阻止威脅入侵網絡，對用戶的網絡訪問行為進行有效的控制，是保證醫院網絡安全運行的前提，也是目前醫院網絡安全管理急需解決的問題。
1．3安全孤島現象嚴重
目前，在醫院網絡安全建設中網絡、應用系統防護上雖然采取了防火墻等安全產品和硬件冗余等安全措施，但安全產品之間無法實現聯動，安全信息無法挖掘，安全防護效果低，投資重復，存在一定程度的安全孤島現象。另外，安全產品部署不均衡，各個系統部署了多個安全產品，但在系統邊界存在安全空白，沒有形成縱深的安全防護。
1．4信息安全意識不強，安全制度不健全
從許多安全案例來看，很多醫院要么未制定安全管理制度，要么制定后卻得不到實施。醫院內部員工計算機知識特別是信息安全知識和意識的缺乏是醫院信息化的一大隱患。加強對員工安全知識的培訓刻不容緩。
2醫院信息安全防范措施
醫院信息安全的任務是多方面的，根據當前信息安全的現狀，醫院信息安全應該是安全策略、安全技術和安全管理的完美結合。
2．1安全策略
醫院信息系統～旦投入運行，其數據安全問題就成為系統能否持續正常運行的關鍵。作為一個聯機事務系統，一些大中型醫院要求每天二十四小時不問斷運行，如門診掛號、收費、檢驗等系統，不能有太長時間的中斷，也絕對不允許數據丟失，稍有不慎就會造成災難性后果和巨大損失醫院信息系統在醫院各部門的應用，使得各類信息越來越集中，構成醫院的數據、信息中心，如何合理分配訪問權限，控制信息泄露以及惡意的破壞等信息的訪問控制尤其重要：pacs系統的應用以及電子病歷的應用，使得醫學數據量急劇膨脹，數據多樣化，以及數據安全性、實時性的要求越來越高，要求醫院信息系統(his)必須具有高可用性，完備可靠的數據存儲、備份。醫院要根據自身網絡的實際情況確定安全管理等級和安全管理范圍，制訂有關網絡操作使用規程和人員出入機房管理制度，制定網絡系統的維護制度和應急措施等，建立適合自身的網絡安全管理策略。網絡信息安全是一個整體的問題，需要從管理與技術相結合的高度，制定與時俱進的整體管理策略，并切實認真地實施這些策略，才能達到提高網絡信息系統安全性的目的。
在網絡安全實施的策略及步驟上應遵循輪回機制考慮以下五個方面的內容：制定統一的安全策略、購買相應的安全產品實施安全保護、監控網絡安全狀況(遇攻擊時可采取安全措施)、主動測試網絡安全隱患、生成網絡安全總體報告并改善安全策略。
2．2安全管理
從安全管理上，建立和完善安全管理規范和機制，切實加強和落實安全管理制度，加強安全培訓，增強醫務人員的安全防范意識以及制定網絡安全應急方案等。
2．2．1安全機構建設。設立專門的信息安全領導小組，明確主要領導、分管領導和信息科的相應責任職責，嚴格落實信息管理責任l。領導小組應不定期的組織信息安全檢查和應急安全演練。
2．2．2安全隊伍建設。通過引進、培訓等渠道，建設一支高水平、穩定的安全管理隊伍，是醫院信息系統能夠正常運行的保證。
2．2．3安全制度建設。建立一整套切實可行的安全制度，包括：物理安全、系統與數據安全、網絡安全、應用安全、運行安全和信息安全等各方面的規章制度，確保醫療工作有序進行。
2．2．4應急預案的制定與應急演練
依據醫院業務特點，以病人的容忍時間為衡量指標，建立不同層面、不同深度的應急演練。定期人為制造“故障點”，進行在線的技術性的分段應急演練和集中應急演練。同時信息科定期召開“系統安全分析會”。從技術層面上通過數據挖掘等手段，分析信息系統的歷史性能數據，預測信息系統的運轉趨勢，提前優化系統結構，從而降低信息系統出現故障的概率；另一方面，不斷總結信息系統既往故障和處理經驗，不斷調整技術安全策略和團隊應急處理能力，確保應急流程的時效性和可用性。不斷人為制造“故障點”不僅是對技術架構成熟度的考驗，而且還促進全員熟悉應急流程，提高應急處理能力，實現了技術和非技術的完美結合。
2．3安全技術
從安全技術實施上，要進行全面的安全漏洞檢測和分析，針對檢測和分析的結果制定防范措施和完整的解決方案。
2．3．1冗余技術
醫院信息網絡由于運行整個醫院的業務系統，需要保證網絡的正常運行，不因網絡的故障或變化引起醫院業務的瞬間質量惡化甚至內部業務系統的中斷。網絡作為數據處理及轉發中心，應充分考慮可靠性。網絡的可靠性通過冗余技術實現，包括電源冗余、處理器冗余、模塊冗余、設備冗余、鏈路冗余等技術。
2．3．2建立安全的數據中心
醫療系統的數據類型豐富，在不斷的對數據進行讀取和存儲的同時，也帶來了數據丟失，數據被非法調用，數據遭惡意破壞等安全隱患。為了保證系統數據的安全，建立安全可靠的數據中心，能夠很有效的杜絕安全隱患，加強醫療系統的數據安全等級，保證各個醫療系統的健康運轉，確保病患的及時信息交互。融合的醫療系統數據中心包括了數據交換、安全防護、數據庫、存儲、服務器集群、災難備份／恢復，遠程優化等各個組件。
2．3．3加強客戶機管理
醫院信息的特點是分散處理、高度共享，用戶涉及醫生、護士、醫技人員和行政管理人員，因此需要制定一套統一且便于管理的客戶機管理方案。通過設定不同的訪問權限，加強網絡訪問控制的安全措施，控制用戶對特定數據的訪問，使每個用戶在整個系統中具有唯一的帳號，限定各用戶一定級別的訪問權限，如對系統盤符讀寫、光驅訪問、usb口的訪問、更改注冊表和控制面板的限制等。同時捆綁客戶機的ip與mac地址以防用戶隨意更改ip地址和隨意更換網絡插口等惡意行為，檢查用戶終端是否安裝了信息安全部門規定的安全軟件、防病毒軟件以及漏洞補丁等，從而阻止非法用戶和非法軟件入網以確保只有符合安全策略規定的終端才能連入醫療網絡。
2．3．4安裝安全監控系統
安全監控系統可充分利用醫院現有的網絡和安全投資，隨時監控和記錄各個終端以及網絡設備的運行情況，識別、隔離被攻擊的組件。與此同時，它可以強化行為管理，對各種網絡行為和操作進行實施監控，保持醫院內部安全策略的符合性。
2．3．5物理隔離
根據物理位置、功能區域、業務應用或者管理策略等劃分安全區域，不同的區域之間進行物理隔離。封閉醫療網絡中所有對外的接口，防止黑客、外部攻擊、避免病毒的侵入。
第4篇：如何制定網絡安全策略范文
一、企業網絡安全風險狀況概述
企業網絡是在企業范圍內，在一定的思想和理論指導下，為企業提供資源共享、信息交流和協同工作的計算機網絡。隨著我國各地企業網數量的迅速增加，如何實現企業網之間資源共享、信息交流和協同工作以及保證企業網絡安全的要求是越來越強烈。與其它網絡一樣，企業網也同樣面臨著各種各樣的網絡安全問題。但是在企業網絡建設的過程中，由于對技術的偏好和運營意識的不足，普遍都存在”重技術、輕安全、輕管理”的傾向，隨著網絡規模的急劇膨脹，網絡用戶的快速增長，關鍵性應用的普及和深入，企業網絡在企業的信息化建設中已經在扮演了至關重要的角色，作為數字化信息的最重要傳輸載體，如何保證企業網絡能正常的運行不受各種網絡黑客的侵害就成為各個企業不可回避的一個緊迫問題，解決網絡安全問題刻不容緩，并且逐漸引起了各方面的重視。
由于Internet上存在各種各樣不可預知的風險，網絡入侵者可以通過多種方式攻擊內部網絡。此外，由于企業網用戶網絡安全尚欠缺，很少考慮實際存在的風險和低效率，很少學習防范病毒、漏洞修復、密碼管理、信息保密的必備知識以及防止人為破壞系統和篡改敏感數據的有關技術。
因此，在設計時有必要將公開服務器和外網及內部其它業務網絡進行必要的隔離，避免網絡結構信息外泄；同時還要對網絡通訊進行有效的過濾，使必要的服務請求到達主機，對不必要的訪問請求加以拒絕。
二、企業網絡安全體系結構的設計與構建
網絡安全系統的構建實際上是入侵者與反入侵者之間的持久的對抗過程。網絡安全體系不是一勞永逸地能夠防范任何攻擊的完美系統。人們力圖建立的是一個網絡安全的動態防護體系，是動態加靜態的防御，是被動加主動的防御甚至抗擊，是管理加技術的完整安全觀念。但企業網絡安全問題不是在網絡中加一個防火墻就能解決的問題，需要有一個科學、系統、全面的網絡安全結構體系。
（一）企業網絡安全系統設計目標
企業網絡系統安全設計的目標是使在企業網絡中信息的采集、存儲、處理、傳播和運用過程中，信息的自由性、秘密性、完整性、共享性等都能得到良好保護的一種狀態。在網絡上傳遞的信息沒有被故意的或偶然的非法授權泄露、更改、破壞或使信息被非法系統辨識、控制，網絡信息的保密性、完整性、可用性、可控性得到良好保護的狀態。
（二）企業網防火墻的部署
1.安全策略。所有的數據包都必須經過防火墻;只有被允許的數據包才能通過防火墻;防火墻本身要有預防入侵的功能;默認禁止所有的服務，除非是必須的服務才被允許。
2.系統設計。在互聯網與企業網內網之間部署了一臺硬件防火墻，在內外網之間建立一道安全屏障。其中WEB、E一mail、FTP等服務器放置在防火墻的DMZ區(即“非軍事區”，是為不信任系統提供服務的孤立網段，它阻止內網和外網直接通信以保證內網安全)，與內網和外網間進行隔離，內網口連接企業網，外網口通過電信網絡與互聯網連接。
3.入侵檢測系統的設計和部署。入侵檢測系統主要檢測對網絡系統各主要運營環節的實時入侵，在企業網網絡與互聯網之間設置瑞星RIDS一100入侵檢測系統，與防火墻并行的接入網絡中，監測來自互聯網、企業網內部的攻擊行為。發現入侵行為時，及時通知防火墻阻斷攻擊源。
4.企業網絡安全體系實施階段。
第一階段：基本安全需求。第一階段的目標是利用已有的技術，首先滿足企業網最迫切的安全需求，所涉及到的安全內容有：
①滿足設備物理安全
②VLAN與IP地址的規劃與實施
③制定相關安全策略
④內外網隔離與訪問控制
⑤內網自身病毒防護
⑥系統自身安全
⑦相關制度的完善
第二階段：較高的安全需求。這一階段的目標是在完成第一階段安全需求的前提下，全面實現整個企業網絡的安全需求。所涉及的安全內容有：
①入侵檢測與保護
②身份認證與安全審計
③流量控制
④內外網病毒防護與控制
⑤動態調整安全策略
第5篇：如何制定網絡安全策略范文
【關鍵詞】主機；安全防護；研究
中圖分類號：C35文獻標識碼： A
一、前言
近年來，主機安全防護技術引起了人們的關注。主機安全對網絡數據起著非常重要的作用。在新時期下，我們要加大對主機安全防護技術的研究與實現，確保數據庫的安全。
二、主機安全防護的必要性
近年來，有關主機的安全事故不斷出現,因此，高度重視主機安全防護很有必要。但一直以來，國內數據庫產業化發展緩慢，市場份額中較大一部分被國外大型數據庫企業占有。這對于國內用戶而言，信息的安全性、穩定性等方面都會受到威脅。由此，用戶希望通過自主安全防護來加強系統的安全性。但出于商業利益及其他緣由，國外企業對安全技術進行嚴格封鎖，只提供針對特定數據庫的安全措施，很少提供公開調用的內核接口，這些舉措都降低了安全防護的靈活性，加大了自主安全保護的技術難度。此外，應用需求正變得越來越復雜，對數據庫安全防護配置的靈活性以及獨立性的要求也在提高。面對這些問題，目前的主機系統自帶的安全防護配置方式已不能勝任，如何提出一個靈活獨立的安全防護系統迫在眉睫。
三、網絡安全常見的攻擊手段
1、針對網絡通信進程的攻擊手段
網絡平臺為不同地域、空間的人們創設了共享交流的平臺．當人們通過網絡進行通信聯絡交流時，倘若不應用有效的保密防護措施，同樣位于網絡中的其他人員便有可能偷聽或獲取到通信內容。該類竊取信息內容的攻擊方式主要通過對計算機系統與網絡信息進行監聽進而獲取相關通信內容。網絡黑客常常利用該類監聽手段對其想要獲取信息的對象展開攻擊，竊取用戶賬號、網址或密碼，進而引發各類重要安全保密信息的不良泄漏。掃描攻擊主要由入侵人員借助諸如sniffer等具有嗅探功能的程序進行網絡與計算機系統的掃描，發掘其中蘊含的安全漏洞，例如嗅探操作應用系統的主體類型、IP地址、具體開放了何種TCP端口、口令信息、系統用戶名等內容，進而采用相應攻擊手段、程序實施對內網的不良攻擊。
2、針對網絡系統自身的攻擊手段
排除通信過程中相關信息安全問題外，計算機網絡系統自身也會受到一些不良惡意程序的威脅攻擊，例如病毒攻擊、木馬、蠕蟲攻擊、邏輯炸彈攻擊等。入侵人員通過向網絡系統大量發送ping包進而對重要的內網服務器展開攻擊，令系統服務器長期處于超負荷工作狀態進而拒絕相關服務甚至出現系統癱瘓問題。許多單位內部員工出于各類不滿情緒也會人為上傳許多破壞程序，并有可能對公司內網安全造成不良威脅。另外入侵者還可通過對網絡系統發送不良電子郵件，或單位內部人員可通過投放病毒程序、軟件令主機系統受到感染，并借助網絡系統傳播功能令公司整體網絡的持續服務與正常運行受到不同程度的影響，還有可能令整體網絡系統被不良破壞。
四、主機安全應用程序與路由交換設備聯動
1、通過內網主機安全應用程序與內網路由交換設備之間的聯動，可以實現內網主機在每次聯入網絡前都必須先檢查其安全防護措施是否足夠(如安全軟件是否運行，病毒特征庫/入侵檢測特征庫是否及時升級等)。如果請求連接的內網主機達到安全級別標準，內網路由交換設備才將其動態接入上網；如果沒有達到要求的安全級別標準，則將其強制接入一個設定的免疫網段，自動執行相關的免疫程序和操作，然后再重復上述流程，直至最后滿足條件，由內網路由交換設備接續上網這種聯動控制機制類似于人類社會抵抗嚴重的傳染疾病所采取免疫機制，人人必須強制接種疫苗形成抗體。因此，我們將這種聯動機制稱之為“免疫認證”。
2、主機安全應用程序與內網路由交換設備的聯動基于標準的802．1x網絡身份認證協議，它在通常的802．1X用戶名/密碼驗證過程中加入了主機完整性檢測過程。整個系統由策略管理服務器、交換機強制認證網關、主機安全和認證服務器組成，其功能如下：
(1)策略管理服務器：它負責管理安全策略的制定。修改和分發，同時管理服務器還管理和維護網絡中的安全客戶，使得管理員能夠對不同的用戶實施不同的安全策略。用來生成及配置網絡安全及強制策略，管理用戶和計算機群組。
(2)安全：運行在網絡的每一網主機之上，負責收集客戶端信息、認知用戶的網絡行為、監控客戶機的網絡通訊和安全狀態并將收集到的信息發送到策略管理服務器，以便管理員針對性地制定安全策略。同時安全也將自動地從策略管理服務器中下載新的安全策略并在本地執行指定的安全策略。
(3)交換機強制認證網關：即802.1x認證交換機。與策略服務器一起，負責認證網絡客戶端的主機完整性，它將檢查網絡客戶機是否安裝和運行了安全，安全是否正確的執行了企業所制定的安全策略，并根據檢查結果決定是否允許客戶端訪問內部網絡的資源。
五、主機安全防護技術的實現
USAMS的系統模型與總體設計
1、USAMS的系統模型
USAMS的系統模型如圖1所示。
2、USAMS中的主機網絡安全防護技術
（1）基于主機的入侵檢測技術HIDS
USAMS采用HIDS實現對主機的保護。HIDS能實時監視可疑的連接、檢查系統日志、監視非法訪問和典型應用。還可以針對不同操作系統的特點判斷應用層的入侵事件，對系統屬性、文件屬性、敏感數據、攻擊進程結果進行監控。它能夠精確地判斷入侵事件，并對入侵事件迅速做出反應，結合主機上的包過濾功能模塊切斷來自可疑地址的網絡連接。為了盡可能地減少入侵行為發生的機會，主機實行嚴格的訪問控制，其安全規則結合了網絡特性和操作系統特性，做到不同用戶在不同時間地點對資源擁有不同的訪問權限。
HIDS運行在被保護的主機上，監視其安全日志、文件系統、進程狀態等信息，一旦發現異常或可疑操作，即形成新的日志記錄，并與預定的攻擊特征或入侵邏輯相匹配。如匹配上，HIDS就會向管理員發出人侵警報或采取其他相應的操作對此做出反應。
（2）基于多級安全策略的訪問控制PBMAC
USAMS將網絡訪問控制和系統訪問控制的特性結合起來，實現嚴格的、細粒度的訪問控制。網絡訪問控制屬性有：源IP地址、源端口、目的IP地址、目的端口等。系統訪問控制(以文件系統為例)屬性有：用戶、組、資源(文件)、權限等。再加上對用戶使用時間段(起、止時間)的限制，制定相應的安全規則，以實現嚴格的訪問控制。
USAMS針對目前流行的主機操作系統只有系統管理員和用戶兩種角色，增加了安全管理員這一角色。安全管理員進行管理時以安全策略為核心，通過USAMS管理加入系統的主機群，負責各分布主機的安全管理。系統管理員是各主機具有系統管理權限的管理者，負責主機系統的維護和管理，用戶是指主機的普通用戶。USAMS以新的網絡安全模型P2DR為基礎，實現PBMAC。安全管理員的管理界面是策略管理界面，安全管理員可以通過該界面對被保護主機的安全策略進行配置和修改。
3、USAMS的系統實現
USAMS已經實現了一個審計管理軟件應具備的幾種功能，即：系統安全策略配置、在線審計用戶的行為、實時監控系統的運行狀態、細粒度的用戶訪問控制、事后的審計及系統漏洞的檢測。特別是用戶身份認證和訪問控制策略，已經實現了用戶基于IP和時間段的登錄及系統資源的使用，達到了系統設計所要求的各項性能指標，基本解決了局域網內的主機系統存在的問題。USAMS已在IRIX系統上實現了對多臺SGI工作站的安全防護，正處在試運行階段，目前運行情況良好。具有管理的便利性、及時的更新性、靈活的可定制性、有特色的使用時間控制、方便有效的權限管理、健壯的體系結構、完善的管理框架等特點。
六、結束語
綜上可知，主機安全防護技術在計算機網絡中的重要性。因此，我們要加強對主機安全防護技術的重視。
參考文獻
第6篇：如何制定網絡安全策略范文
一、常見安全威脅
在企業中，威脅交換機端口的行為比較多，總結一下有如下情形：
一是未經授權的用戶主機隨意連接到企業的網絡中。如員工從自己家里拿來一臺電腦，可以在不經管理員同意的情況下，拔下某臺主機的網線，插在自己帶來的電腦上，然后連入到企業的網絡中。這會帶來很大的安全隱患。如員工帶來的電腦可能本身就帶有病毒，從而使得病毒通過企業內部網絡進行傳播。或者非法復制企業內部的資料等等。
二是未經批準采用集線器等設備。有些員工為了增加網絡終端的數量。會在未經授權的情況下，將集線器、交換機等設備插入到辦公室的網絡接口上。如此的話，會導致這個網絡接口對應的交換機接口流量增加，從而導致網絡性能的下降。在企業網絡日常管理中，這也是經常遇到的一種危險的行為。
在日常工作中，筆者發現不少網絡管理員對于交換機端口的安全性不怎么重視。這是他們網絡安全管理中的一個盲區。他們對此有一個錯誤的認識。以為交換機鎖在機房里，不會出大問題。或者說。只是將網絡安全的重點放在防火墻等軟件上，而忽略了交換機端口等硬件的安全。這是非常致命的。
二、主要的應對措施
從以上的分析中可以看出，企業現在交換機端口的安全環境非常的薄弱。在這種情況下，該如何來加強端口的安全性呢?如何才能夠阻止非授權用戶的主機連入到交換機的端口上呢?如何才能夠防止未經授權的用戶將集線器、交換機等設備插入到辦公室的網絡接口上呢?對此筆者有如下幾個建議：
一是從意識上要加以重視。筆者認為，首先各位網絡管理員從意識上要對此加以重視。特別是要消除輕硬件、重軟件這個錯誤的誤區。在實際工作中，要建立一套合理的安全規劃。如對于交換機的端口，要制定一套合理的安全策略，包括是否要對接入交換機端口的MAC地址與主機數量進行限制等等。安全策略制定完之后，再進行嚴格的配置。如此的話，就走完了交換機端口安全的第一步。根據交換機的工作原理，在系統中會有一個轉發過濾數據庫，會保存MAC地址等相關的信息。而通過交換機的端口安全策略，可以確保只有授權的用戶才能夠接入到交換機特定的端口中。為此只要網絡管理員有這個心。其實完全有能力來保障交換機的端口安全。
二是從技術角度來提高端口的安全性。如比較常用的一種手段是某個特定的交換機端口只能夠連接某臺特定的主機。如現在用戶從家里拿來了一臺筆記本電腦，將自己原先公司的網線接入到這臺筆記本電腦中，會發現無法連入到企業的網絡中。這是因為兩臺電腦的MAC地址不同而造成的。因為在交換機的這個端口中，有一個限制條件。只有特定的IP地址才可以通過這個端口連入到網絡中。如果主機變更了，還需要讓其允許連接這個端口的話，那么就需要重新調整交換機的MAC地址設置。這種手段的好處就是可以控制，只有授權的主機才能夠連接到交換機特定的端口中，未經授權的用戶無法進行連接。而缺陷就是配置的工作量會比較大，在初期的時候。需要為每個交換機的端口進行配置。如果后續主機有調整或者網卡有更換的話(如最近打雷損壞的網卡特別多)，那么需要重新配置。這就會導致后續工作量的增加。如果需要進行這個MAC地址限制的話，可以通過使用命令switchport port-security mac-add ress來進行配置。使用這個命令后，可以將單個MAC地址分配到交換機的每個端口中。正如上面所說的，要執行這個限制的話，工作量會比較大。
三是對可以接八的設備進行限制。出于客戶端性能的考慮，我們往往需要限制某個交換機端口可以連接的最多的主機數量。如我們可以將這個參數設置為1，那么就只允許一臺主機連接到交換機的端口中。如此的話，就可以避免用戶私自使用集線器或者交換機等設備來增加端口的數量。不過這種策略跟上面的MAC地址策略還是有一定的區別。對于MAC地址的安全策略，也只有一臺主機可以連接到端口上，而且還必須是MAC地址匹配的主機才能夠進行連接。而現在這個數量的限制策略，沒有MAC地址匹配的要求。也就是說，更換一臺主機后，仍然可以正常連接到交換機的端口上。這個限制措施顯然比上面這個措施要寬松不少，而且工作量上也會減少不少。要實現這個策略的話，可以通過命令swichport-security maximun來實現。如果將這個參數設置為1，那么就只允許一臺主機連接到交換機的端口之上。這就可以變相地限制接入交換機或者集線器等設備。不過這里需要注意的是。如果用戶違反了這種情況，那么交換機的端口就會被關閉掉。也就是說，一臺主機都連接不到這個端口上。在實際工作中，這可能會殃及無辜。所以需要特別的注意。
四是使用sticky參數來簡化管理。在實際工作中，sticky參數是一個很好用的參數。可以大大地簡化MAC地址的配置。如企業現在網絡部署完畢后，運行switchport port-security mac-addresssticky命令。那么交換機各個端口就會自動記住當前所連接的主機的MAC地址。如此的話，在后續工作中，如果更換了主機的話，只要其MAC地址與原有主機不匹配的話，交換機就會拒絕這臺主機的連接請求。這個參數主要提供靜態MAC地址的安全。管理員不需要在網絡中輸入每個端口的MAC地址。從而可以簡化端白配置的工作。不過如果后續主機有調整，或者新增主機的話，仍然需要進行手工的配置。不過此時的配置往往是小范圍的，工作量還可以接受。
第7篇：如何制定網絡安全策略范文
關鍵詞：企業；網絡安全；管理；部署
中圖分類號：F224.33文獻標識碼：A文章編號：1672-3198（2008）03-0128-02
1 引言
隨著信息化進程的提速，越來越多地企業信息被披露于企業內外部網絡環境中，如何保護企業機密，保障企業信息安全，成為企業信息化發展過程中必然需要面臨和解決的問題。
對于企業信息網絡安全管理需要部署的內容，首先要明確企業的哪些資產需要保護，確定關鍵數據和相關業務支持技術資產的價值，然后在此基礎上，制定并實施安全策略，完成安全策略的責任分配，設立安全標準。
2 企業網絡信息安全需求分析
對企業網絡信息安全的網絡調查顯示：有超過85%的安全威脅來自企業內部；有16%來自內部未授權的訪問；有11%資料或網絡的破壞。可以看出：來自于企業內部的安全威脅比來自于外部的威脅要大得多，必要的安全措施對企業是非常重要的。安全風險分析通常包括對系統資源的價值屬性的分析、資源面臨的威脅分析、系統的安全缺陷分析等等。分析的目標就是確定安全系統的建設環境，建立信息系統安全的基本策略。
2.1 企業信息網絡安全需求
企業對信息網絡安全方面的需求主要包含：
（1）業務系統與其它信息系統充分隔離。
（2）企業局域網與互聯的其它網絡充分隔離。
（3）全面的病毒防御體系，恢復已被病毒感染的設備及數據。
（4）關鍵業務數據必須進行備份，具有完善的災難恢復功能。
（5）管理員必須對企業信息網絡系統的安全狀況和安全漏洞進行周期性評估，并根據評估結果采用相應措施。
（6）關鍵業務數據和敏感數據在公網上的傳輸必須加密，防止非法獲取和篡改。
（7）加強內部人員操作的技術監控，采用強有力的認證系統，代替一些不安全的用戶名/口令系統授權模式。
（8）建立完善的入侵審計和監控措施，監視和記錄外部或者內部人員可能發起的攻擊。
（9）對整個信息系統進行安全審計，可預見管理和總擁有成本控制。
2.2 企業信息網絡安全內容
從企業整體考慮，它的信息網絡安全包括以下六個方面：
（1）企業信息網絡安全策略建設，它是安全系統執行的安全策略建設的依據。
（2）企業信息網絡管理體系建設，它是安全系統的安全控制策略和安全系統體系結構建設的依據。
（3）企業信息網絡資源管理體系建設，它是安全系統體系結構規劃的依據。
（4）企業信息網絡人員管理建設，它是保障安全系統可靠建設、維護和應用的前提。
（5）企業信息網絡工程管理體系建設，信息安全系統工程必須與它統一規劃和管理。
（6）企業信息網絡事務持續性保障規劃，它是信息安全事件處理和安全恢復系統建設的依據。
3 企業信息網絡安全架構
3.1 企業信息網絡安全系統設計
安全系統設計是在信息系統安全策略的基礎上，從安全策略的分析中抽象出安全系統及其服務。安全系統的設計如圖1所示。安全系統設計的目標是設計出系統安全防御體系，設計和部署體系中各種安全機制從而形成自動的安全防御、監察和反應體系，忠實地貫徹系統安全策略。
3.2 企業信息網絡安全系統組建
安全系統設計關心的是抽象定義的系統。具體系統組建是建立在設計基礎上的實現。通常系統功能組件的實現方式是軟件、硬件和固體等。安全系統組建的另一項重要內容是配制安全系統，并將安全系統與整個信息系統形成一體。
4 企業信息網絡安全工程的部署
信息系統安全是信息系統服務質量的要求，網絡安全系統應當融于信息網絡服務系統之中，其建設與維護應當與信息網絡系統的建設和維護保持一致，遵循系統工程的方法。網絡安全工程就是應用系統工程建設和維護網絡安全系統。
4.1 工程環節
系統工程總是與被建設的系統特性緊密結合，工程環節與系統生命周期保持同步。安全系統的生命周期也是基本如此，因而安全系統工程典型的基本環節包括信息系統安全需求分析、安全系統設計、安全系統組建、安全系統認證、系統安全運行維護和安全系統改造等，如圖2所示。
（1）安全的互聯網接入。
企業內部網絡的每位員工要隨時登錄互聯網，因此Internet接入平臺的安全是該企業信息系統安全的關鍵部分，可采用外部邊緣防火墻，其內部用戶登錄互聯網時經過內部防火墻，再由外部邊緣防火墻映射到互聯網。外部邊緣防火墻與內部防火墻之間形成了DMZ區。
（2）防火墻訪問控制。
外部邊緣防火墻提供PAT服務，配置IPSec加密協議實現VPN撥號連接以及端到端VPN連接，并通過擴展ACL對進出防火墻的流量進行嚴格的端口服務控制。
內部防火墻處于內部網絡與DMZ區之間，它允許內網所有主機能夠訪問DMZ區，但DMZ區進入內網的流量則進行嚴格的過濾。
（3）用戶認證系統。
用戶認證系統主要用于解決撥號和VPN接入的安全問題，它是從完善系統用戶認證、訪問控制和使用審計方面的功能來增強系統的安全性。
撥號用戶和VPN用戶身份認證在主域服務器上進行，用戶賬號集中在主域服務器上開設。系統中設置嚴格的用戶訪問策略和口令策略，強制用戶定期更改口令。同時配置VPN日志服務器，記錄所有VPN用戶的訪問，作為系統審計的依據。
（4）入侵檢測系統。
企業可在互聯網流量匯聚的交換機處部署入侵檢測系統，它可實時監控內網中發生的安全事件，使得管理員及時做出反應，并可記錄內部用戶對Internet的訪問，管理者可審計Internet接入平臺是否被濫用。
（5）網絡防病毒系統。
企業應全面地布置防病毒系統，包括客戶機、文件服務器、郵件服務器和OA服務器。
（6）VPN加密系統。
企業可建立虛擬專網VPN，主要為企業移動辦公的員工提供通過互聯網訪問企業內網OA系統，同時為企業內網用戶訪問公司的SAP系統提供VPN加密連接。
需要注意的是，由于VPN機制需要執行加密和解密過程，其傳輸效率將降低30％～40％，因此對于關鍵業務，如果有條件應該盡可能采用數據專線方式。
（7）網絡設備及服務器加固。
企業網絡管理員應定期對各種網絡設備和主機進行安全性掃描和滲透測試，及時發現漏洞并采取補救措施。安全性掃描主要是利用一些掃描工具，模擬黑客的方法和手段，以匿名身份接入網絡，對網絡設備和主機進行掃描并進行分析，目的是發現系統存在的各種漏洞。
根據安全掃描和滲透測試的結果，網絡管理員即可有針對性地進行系統加固，具體加固措施包括：關閉不必要的網絡端口；視網絡應用情況禁用ICMP、SNMP等協議；安裝最新系統安全補丁；采用SSH而不是Telnet進行遠程登錄；調整本地安全策略，禁用不需要的系統缺省服務；啟用系統安全審計日志。
（8）辦公電腦安全管理系統。
企業應加強對桌面電腦的安全管理。主要有：
①補丁管理：主要用于修復桌面電腦系統漏洞，避免蠕蟲病毒、黑客攻擊和木馬程序等。
②間諜軟件檢測：能夠自動檢測和清除來自間諜軟件、廣告軟件、鍵盤記錄程序、特洛伊木馬和其他惡意程序的已知威脅。
③安全威脅分析：能夠自動檢測桌面電腦的配置風險，包括共享、口令、瀏覽器等安全問題，并自動進行修補或提出修改建議。
④應用程序阻止：用戶隨意安裝的游戲等應用程序可能導致系統紊亂、沖突，影響正常辦公。管理員可以通過遠程執行指令，阻止有關應用程序的運行。
⑤設備訪問控制：對用戶電腦的硬件采用適當的訪問控制策略，防止關鍵數據丟失和未授權訪問。
（9）數據備份系統。
企業應制定備份策略，定期對一些重要數據進行備份。
4.2 持續性計劃
（1）架構評估。
企業網絡信息安全管理架構的評估應由IT部門、相關責任部門以及終端用戶代表來共同參與，確保所有的部門都能納入安全框架中。
（2）系統安全運行管理。
要保障信息系統安全，就必須維護安全系統充分發揮作用的環境。這種環境包括安全系統的配置、系統人員的安全職責分工與培訓。
（3）安全系統改造。
信息系統安全的對抗性必然導致信息安全系統不斷改造。導致安全系統改造的因素可以歸結為4個方面：技術發展因素；系統環境因素；系統需求因素；安全事件因素。
（4）網絡安全制度建設及人員安全意識教育。
企業應當采取積極防御措施，主動防止非授權訪問操作，從客戶端操作平臺實施高等級防范，使不安全因素在源頭被控制。這對工作流程相對固定的重要信息系統顯得更為重要而可行。
需開展計算機安全意識教育和培訓，加強計算機安全檢查，以此提高最終用戶對計算機安全的重視程度。為各級機構的系統管理員提供信息系統安全方面的專業培訓，提高處理計算機系統安全問題的能力。
參考文獻
［1］趙迪,趙望達,劉靜.基于B/S架構的安全生產監督管理信息系統［J］,中國公共安全(學術版),2006,(04).［2］周敏文,譚海文.淺析我國安全生產信息化建設的現狀與對策［J］,露天采礦技術,2005,(06).
［3］［美］Harold F.Tipton，Micki Krause著,張文,鄧芳玲,程向莉,吳娟等譯.信息安全管理手冊（卷III）（第四版）［M］,北京:電子工業出版社,2004年6月,237-264.
第8篇：如何制定網絡安全策略范文
關鍵詞:網絡 安全策略 數據 訪問
0 引言
隨著我國經濟與科技的不斷發展,企業數字化管理作為為網絡時代的產物,已經成為企業管理發展的方向。隨著各企業內部網絡規模的急劇膨脹,網絡用戶的快速增長,企業內部網安全問題已經成為當前各企業網絡建設中不可忽視的首要問題。
1 目前企業內部網絡的安全現狀
1.1 操作系統的安全問題 目前,被廣泛使用的網絡操作系統主要是UNIX、WINDOWS 和Linux等,這些操作系統都存在各種各樣的安全問題,許多新型計算機病毒都是利用操作系統的漏洞進行傳染。如不對操作系統進行及時更新,彌補各種漏洞,計算機即使安裝了防毒軟件也會反復感染。
1.2 病毒的破壞 計算機病毒影響計算機系統的正常運行、破壞系統軟件和文件系統、破壞網絡資源、使網絡效率急劇下降、甚至造成計算機和網絡系統的癱瘓,是影響企業內部網絡安全的主要因素。
1.3 黑客 在《中華人民共和國公共安全行業標準》中,黑客的定義是:“對計算機系統進行非授權訪問的人員”,這也是目前大多數人對黑客的理解。大多數黑客不會自己分析操作系統或應用軟件的源代碼、找出漏洞、編寫工具,他們只是能夠靈活運用手中掌握的十分豐富的現成工具。黑客入侵的常用手法有:端口監聽、端口掃描、口令入侵、JAVA炸彈等。
1.4 口令入侵 為管理方便,一般來說,企業為每個上網的領導和工人分配一個賬號,并根據其應用范圍,分配相應的權限。某些人員為了訪問不屬于自己應該訪問的內容,用不正常的手段竊取別人的口令,造成了企業管理的混亂及企業重要文件的外流。
1.5 非正常途徑訪問或內部破壞 在企業中,有人為了報復而銷毀或篡改人事檔案記錄;有人改變程序設置,引起系統混亂;有人越權處理公務,為了個人私利竊取機密數據。這些安全隱患都嚴重地破壞了學校的管理秩序。
1.6 設備受損 設備破壞主要是指對網絡硬件設備的破壞。企業內部網絡涉及的設備分布在整個企業內,管理起來非常困難,任何安置在不能上鎖的地方的設施,都有可能被人有意或無意地損壞,這樣會造成企業內部網絡全部或部分癱瘓的嚴重后果。
1.7 敏感服務器使用的受限 由于財務等敏感服務器上存有大量重要數據庫和文件,因擔心安全性問題,不得不與企業內部網絡物理隔離,使得應用軟件不能發揮真正的作用。
1.8 技術之外的問題 企業內部網是一個比較特殊的網絡環境。隨著企業內部網絡規模的擴大,目前,大多數企業基本實現了科室辦公上網。由于上網地點的擴大,使得網絡監管更是難上加難。由于企業中部分員工對網絡知識很感興趣,而且具有相當高的專業知識水平,有的員工上學時所學的專業甚至就是網絡安全,攻擊企業內部網就成了他們表現才華,甚至是泄私憤的首選。其次,許多領導和員工的計算機網絡安全意識薄弱、安全知識缺乏。企業的規章制度還不夠完善,還不能夠有效的規范和約束領導和員工的上網行為。
2 企業內部網絡安全策略
安全策略是指一個特定環境中,為保證提供一定級別的安全保護所必須遵守的規則。安全策略包括嚴格的管理、先進的技術和相關的法律。安全策略決定采用何種方式和手段來保證網絡系統的安全。即首先要清楚自己需要什么,制定恰當的滿足需求的策略方案,然后才考慮技術上如何實施。
2.1 物理安全策略 保證計算機網絡系統各種設備的物理安全是整個網絡安全的前提。物理安全是保護計算機網絡設備、設施以及其它媒體免遭地震、水災、火災等環境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導致的破壞過程。其目的是保護計算機系統、web 服務器、打印機等硬件實體和通信鏈路層網絡設備免受自然災害、人為破壞和搭線攻擊等。它主要包括兩個方面:①環境安全。對系統所在環境的安全保護, 確保計算機系統有一個良好的電磁兼容工作環境。②設備安全。包括設備的防盜、防毀、防電磁信息輻射泄漏、抗電磁干擾及電源保護等。
2.2 訪問控制策略 訪問控制的主要任務是保證網絡資源不被非法使用和訪問, 它是保證網絡安全最重要的核心策略之一。主要有以下七種方式:①入網訪問控制。入網訪問控制為網絡訪問提供了第一層訪問控制, 它控制哪些用戶能夠登錄到服務器并獲取網絡資源;控制準許用戶入網的時間和準許他們在哪臺工作站入網。②網絡的權限控制。網絡的權限控制是針對網絡非法操作所提出的一種安全保護措施。③目錄級安全控制。網絡應允許控制用戶對目錄、文件、設備的訪問。④屬性安全控制。當用文件、目錄和網絡設備時,網絡系統管理員應給文件、目錄等指定訪問屬性。⑤網絡服務器安全控制。網絡允許在服務器控制臺上執行一系列操作。用戶使用控制臺可以裝載和卸載模塊,可以安裝和刪除軟件等操作。⑥網絡監測和鎖定控制。網絡管理員應對網絡實施監控,服務器應記錄用戶對網絡資源的訪問,對非法的網絡訪問,服務器應以圖形或文字或聲音等形式報警,以引起網絡管理員的注意。⑦網絡端口和節點的安全控制。端口是虛擬的“門戶”,信息通過它進入和駐留于計算機中,網絡中服務器的端口往往使用自動回呼設備、靜默調制解調器加以保護,并以加密的形式來識別節點的身份。自動回呼設備用于防止假冒合法用戶,靜默調制解調器用以防范黑客的自動撥號程序對計算機進行攻擊。
2.3 防火墻控制策略 防火墻是近期發展起來的一種保護計算機網絡安全的技術性措施,它是一個用以阻止網絡中的黑客訪問某個機構網絡的屏障。它是位于兩個網絡之間執行控制策略的系統(可能是軟件或硬件或者是兩者并用),用來限制外部非法(未經許可)用戶訪問內部網絡資源,通過建立起來的相應網絡通信監控系統來隔離內部和外部網絡,以阻擋外部網絡的侵入,防止偷竊或起破壞作用的惡意攻擊。
2.4 信息加密策略 信息加密的目的是保護網內的數據、文件、口令和控制信息,保護網上傳輸的數據。網絡加密常用的方法有鏈路加密、端點加密和節點加密三種。信息加密過程是由各種加密算法來具體實施。多數情況下,信息加密是保證信息機密性的唯一方法。
2.5 備份和鏡像技術 用備份和鏡像技術提高完整性。備份技術指對需要保護的數據在另一個地方制作一個備份,一旦失去原件還能使用數據備份。鏡像技術是指兩個設備執行完全相同的工作,若其中一個出現故障,另一個仍可以繼續工作。
2.6 網絡安全管理規范 網絡安全技術的解決方案必須依賴安全管理規范的支持,在網絡安全中,除采用技術措施之外,加強網絡的安全管理,制定有關的規章制度,對于確保網絡安全、可靠地運行將起到十分有效的作用。網絡的安全管理策略包括:確定安全管理等級和安全管理范圍;制訂有關網絡操作使用規程和人員出入辦公室管理制度; 制定網絡系統的維護制度和應急措施等
2.7 網絡入侵檢測技術 試圖破壞信息系統的完整性、機密性、可信性的任何網絡活動,都稱為網絡入侵。入侵檢測(IntrusionDeteetion)的定義為:識別針對計算機或網絡資源的惡意企圖和行為,并對此做出反應的過程。它不僅檢測來自外部的入侵行為,同時也檢測來自內部用戶的未授權活動。入侵檢測應用了以攻為守的策略,它所提供的數據不僅有可能用來發現合法用戶濫用特權,還有可能在一定程度上提供追究入侵者法律責任的有效證據。
第9篇：如何制定網絡安全策略范文
【關鍵詞】:電子商務信息安全網絡
人類社會進入20世紀70年代以來,以微電子技術為基礎的計算機技術和通信技術取得了長足的進展,并滲透到經濟和社會的各個領域,從而引起了世界范圍內的新技術創新浪潮。信息化建設受到各國政府的高度重視,1991年美國提出"信息高速公路"的設想,1993年正式實施"國家信息基礎結構:行動計劃";1978年法國制定了一項有關"促進社會信息化的計劃",從那以后,法國政府不斷推進信息革命,每年投入50億美元巨款改進通信設備;早在1983年,我國政府就把發展信息技術納入了國家總體科技論文發展戰略規劃中,1999年,我國政府上網工程迅速推進,國家信息化戰略、數字化產品發展戰略、電子商務發展框架也都在加緊研究、制定中。目前全球的計算機社會擁有量迅速增加,互聯網用戶呈幾何級數增長,新的經濟消費觀正在逐步形成。電子商務的社會基礎已經形成。Internet技術的應用普及為電子商務奠定了基礎條件,萬維網及相關技術的推出開創了電子商務應用的新局面,基于Internet的網絡環境建設是開創電子商務市場的前提,安全保障等核心技術的實用化是電子商務成功的保證,商貿活動的信息網絡化加快了電子商務的發展進程,各種解決方案的推出標志著電子商務即將進入實用化階段。
從技術的角度看,電子商務的發展經歷了啟蒙階段、商業化階段、社會化階段,并開始步入智能化時代。回顧企業信息化和電子商務的發展過程,從最初各部門用數據庫管理本部門的數據,通過辦公自動化(OA)實現企業內部辦公文檔傳遞,到建立統一的ERP系統為管理決策提供信息,通過CRM和SCM將企業和客戶、供應商等整個供應鏈上的各個環節聯系起來,再到以服務形式提供各式應用,通過第三方ASP實現企業應用服務的外包,這實際上就是一個從數據、信息到服務的縱向發展過程。互聯網應用的發展也是這樣,從最初企業間使用EDI交換數據,Email通訊傳遞簡單的信息,到通過門戶網站、搜索引擎獲取所需信息,與世界各地的人在BBS上交流信息,再到如今的通過社會網絡SNS拓展自己的交際圈,社會化程度越來越高。隨著信息技術和互聯網技術的普及和深入應用,電子商務正在以前所未有的速度發展,以其方便性和靈活性向傳統商務模型提出了挑戰。互聯網的飛速發展，使得傳統的商業模式產生了深刻的變化，在相當程度上改變著人們的日常生活習慣。基于網絡的電子商務作為一種全新的商業模式，已經得到了快速的發展，但網絡交易的安全問題始終是阻礙電子商務全面發展的巨大障礙。因此采用先進的網絡信息安全防范技術，為電子商務提供完整的安全保障體系，進而推動電子商務高速發展。1．電子商務信息安全要素互聯網是一個完全開放的網絡,任何一臺計算機、任何一個網絡都可以與之聯接,并借助互聯網信息,進行各種網上商務活動。同時,也給那些別有用心的組織或個人提供了竊取別人的各種機密如消費者的銀行賬號、密碼,甚至妨礙或毀壞他人網絡系統運行等各種機會。影響電子商務信息安全要素主要有系統的可靠性，交易的真實性，資料的安全性，資料的完整性，交易的不可抵賴性等。概括起來,電子商務面臨的安全威脅主要有以下幾方面。
1．1系統的中斷與癱瘓。網絡故障、操作失誤、應用程序出錯、硬件故障、系統軟件設計不完善以及計算機病毒都有可能導致系統不能正常工作。如在劃撥貨款的過程中突然出現網絡中斷等。1．2信息被竊取。電子商務作為一種全新的貿易形式,其通訊的信息直接代表著個人、企業或國家的利益。攻擊者可能通過因特網、公共電話網、搭線或在電磁波輻射范圍內安裝截收裝置等方式,截獲傳輸的機密信息,或通過對信息流量和流向、通信頻度和長度等參數分析,推斷出有用的信息、如消費者的銀行賬號、密碼等。1．3信息被篡改。攻擊者可能從三個方面破壞信息的完整性。1）篡改。改變信息流的次序,更改信息的內容。2)刪除。刪除某個消息或消息中的某些部分。3)插入。在信息中插入一些其它干擾信息,讓收方讀不懂或接收錯誤的信息。腦知識與技術1．4信息被偽造。1)虛開網站和商店,給用戶發電子郵件,接受訂單。2）偽造大量用戶,發電子郵件,窮盡商家資源、使合法用戶不能正常訪問網絡資源。3)冒充他人身份,進行消費和栽贓等。1．5對交易行為進行抵賴或不承認。1)發信者事后否認曾經發送過某條消息或內容。2)收信者事后否認曾經收到過某條消息或內容。3)購買者不承認確認了的訂單。4)商家賣出的商品因價格差而不承認原有的交易。2．電子商務中的信息安全防范技術
2．1數據加密技術加密技術是一種主動的信息安全防范措施，其原理是利用一定的加密算法，將明文轉換成為無意義的密文，阻止非法用戶理解原始數據，從而確保數據的保密性。按加密密鑰與解密密鑰的對稱性可分為對稱型加密、不對稱型加密、不可逆加密。在網絡安全技術中，加密技術是保障信息安全最關鍵和最基本的技術手段和理論基礎，但是由于大部分數據加密算法都源于美國，且受到美國出口管制法的限制，無法在互聯網上大規模使用，從而限制了以加密技術為基礎網絡安全解決方案的應用。2．2密鑰管理技術密鑰管理包括確保所產生的密鑰具有必要的屬性，把密鑰提前通知給需要它的特定系統，確保密鑰按要求得到保護以阻止暴露和／或替代。其中，對稱密鑰管理是基于共同保守秘密來實現的，采用對稱加密技術的雙方必須保證采用的是相同的密鑰，要保證彼此密鑰的交換是安全可靠的，同時還要設定防止密鑰泄漏和更改密鑰的程序。使用公開密鑰的交易雙方可以使用證書(公開密鑰證書)來交換公開密鑰。國際電聯指定的X509對37福建電腦2008年第11期數字證書進行了定義，數字證書能夠起到標識交易雙方的作用，是目前電子商務廣泛使用的技術之一。2．3身份認證技術網上安全交易的基礎是數字證書。要建立安全的電子商務系統,必須首先建立一個穩固、健全的數字證書和認證中心(CA)。數字簽名是利用數字技術實現在網絡傳送文件時，附加個人標記，完成傳統意義上手書簽名或印章的作用，以表示確認、負責、經手等。使用數字簽名可以保證交易中的認證性和不可否認性。數字簽名可以防范：接收方偽造、發送者或接收者否認、第三方冒充、接收方篡改。常見的數字簽名技術有：RSA數字簽名、DSA數字簽名、橢圓曲線數入侵檢測技術通常通過基于應用的監控技術、基于主機的監控技術、基于目標的監控技術和基于網絡的監控技術四種檢測技術來抵御攻擊。入侵檢測被認為是防火墻之后的第二道安全閘門，在不影響網絡性能的情況下能對網絡進行監測，從而提供對內部攻擊、外部攻擊和誤操作的實時保護。認證機制是保護電子商務安全的第一條防線。任何一個在架構設計上、代碼開發中以及認證的實現時所出現的小的漏洞或不足，都有可能使電子商務處在被攻擊的風險中。因此，加強對認證攻擊的充分認識和了解，并在系統開發時選擇合適的防御措施，就可以從根本上對某些攻擊進行有效的屏蔽，減少后期頻繁維護所付出的代價，達到事半功倍的效果。2．4網絡安全掃描技術安全掃描技術是對網絡的各個環節提供可靠的分析結果，并為系統管理員提供可靠性和安全性分析報告等。包括端口掃描技術和漏洞掃描技術等。2．5病毒防范技術計算機病毒實際上就是一種在計算機系統運行過程中能夠實現傳染和侵害計算機系統的功能程序。病毒經過系統穿透或違反授權攻擊成功后，攻擊者通常要在系統中植入木馬或邏輯炸彈等程序，為以后攻擊系統、網絡提供方便條件。網絡防病毒技術的具體實現方法包括對網絡服務器中的文件進行頻繁的掃描和監測，工作站上采用防病毒芯片和對網絡目錄及文件設置訪問權限等。2．6電子認證技術為了保證電子商務安全因素的順利實現，在電子商務中使用了基于公鑰體系的安全系統。基于公鑰體系的加密系統是按對生成的，每對密鑰由公鑰和私鑰組成，實際應用中，公鑰是以證書性質存放的，一個最基本而又是最關鍵的問題是公鑰的分發，也就是證書的分發，如果證書不能得到有效安全的分發，所有的上層應用軟件就不能得到安全的保障，解決問題的方法就是建立認證機構體系CA。2．7防火墻技術防火墻(Firewall)是近年來發展最重要的安全技術，它是通過對網絡作拓撲結構和服務類型上的隔離來加強網絡安全的一種手段，核心思想是在不安全的網絡環境中構造一個相對安全的子網環境。它所保護的對象是網絡中有明確閉合邊界的一個網塊，而它所防范的對象是來自被保護網塊外部的安全威脅。目前的防火墻分為兩大類，一類是簡單的包過濾技術，它是在網絡層對數據包實施有選擇的通過。依據系統內事先設定的過濾邏輯，檢查數據流中每個數據包后，根據數據包的源地址、目的地址、所用的TCP端口和TCP鏈路狀態等因素來確定是否允許數據包通過。另一類是應用網管和服務器，其顯著的優點是較容易提供細顆粒度的存取控制，其可針對特別的網絡應用服務協議及數據過濾協議，并且能夠對數據包分析并形成相關的報告。通過應用防火墻技術，可以做到通過過濾不安全的服務，極大地提高網絡安全和減少網絡中主機的風險。但防火墻是一種基于網絡邊界的被動安全技術，對內部未授權訪問難以有效控制，因此較適合于內部網絡相對獨立，且與外部網絡的互連途徑有限、網絡服務種類相對集中的網絡。2．8入侵檢測技術入侵檢測技術是一種利用入侵者留下的痕跡，如試圖登錄的失敗記錄等信息來有效地發現來自外部或內部的非法入侵的技術。它以探測與控制為技術本質，起著主動防御的作用，是網絡安全中極其重要的部分。
3．企業實現電子商務的安全策略安全問題是企業應用電子商務最擔心的問題,如何保障電子商務活動的安全,一直是電子商務的核心研究領域。作為一個安全的電子商務系統,必須采用相應的網絡安全策略。安全策略包括網絡安全問題的總原則、對安全使用的要求以及如何保障網絡的安全運行。3.1制定安全策略時首先確定的最重要的原則拒絕訪問明確準許以外的所有服務。當前一些電子商務企業的安全策略存在兩個誤區:首先,企業所采取的操作系統的標準安全策略存在問題,這一標準安全策略只能提供一道脆弱的防線,很容易被攻破;其次,為滿足多種安全需求,許多企業以零碎的方式實施節點式解決方案,這雖然對電子商務的某些領域提供了有限的保護,但同時使系統管理更為復雜。阻止外來系統入侵只是電子商務安全的一個方面。成功的電子商務安全策略,必須涵蓋身份識別與認證、隱私與欺騙控制、管理與審計等傳統領域。3.2安全策略制定時還應注意的問題3.2.1將需保護的對象分類,確定需保護的資源及其保護級別;規定可以訪問資源的實體和可執行的動作;規定審計功能,記錄用戶活動及資源使用情況。3.2.2系統的安全應從物理上、技術上、管理制度上以及安全教育上全方位采取措施,相互彌補和完善,盡可能地排除安全漏洞。3.2.3根據企業的實際需要確定內部網的服務類型,規定內部用戶和外部用戶能夠使用的服務種類,建立網管站,并制定出切實可行的安全管理制度。此外還需完善電子商務企業內部安全管理體制,增強相關人員的安全意識。
4．結束語電子商務尚是一個機遇和挑戰共存的新領域,這種挑戰不僅來源于傳統的習慣,來源于計劃經濟體制和市場經濟體制的沖突,更來源于對可使用的安全技術的信賴。企業在應用電子商務時,應采取一系列的安全技術和安全策略。這種種安全措施的采用,一定能保證企業進行安全的電子商務活動。
參考文獻：
1.韓磊石松:淺談電子商務中信息安全問題[J].臨沂師范學院學報，2001；(8)：136-139
2.黃發文:計算機網絡安全技術初探[J].計算機應用研究，2002(5):46-48
3.林柏鋼.網絡與信息安全教程[M].機械工業出版社,2005.
4.曹淑艷.電子商務應用基礎[M].北京:清華大學出版社,2002.
