網路安全方案設計與審計

『壹』 網路安全的解決方案!急,滿意再給100!

談對網路安全的認識

近幾年來，網路越來越深入人心，它是人們工作、學習、生活的便捷工具和豐富資源。但是，我們不得不注意到，網路雖然功能強大，也有其脆弱易受到攻擊的一面。據美國FBI統計，美國每年因網路安全問題所造成的經濟損失高達75億美元，而全球平均每20秒鍾就發生一起Internet 計算機侵入事件。在我國，每年因黑客入侵、計算機病毒的破壞也造成了巨大的經濟損失。人們在利用網路的優越性的同時，對網路安全問題也決不能忽視。作為學校，如何建立比較安全的校園網路體系，值得我們關注研究。

建立校園網路安全體系，主要依賴三個方面：一是威嚴的法律；二是先進的技術；三是嚴格的管理。

從技術角度看，目前常用的安全手段有內外網隔離技術、加密技術、身份認證、訪問控制、安全路由、網路防病毒等，這些技術對防止非法入侵系統起到了一定的防禦作用。代理及防火牆作為一種將內外網隔離的技術，普遍運用於校園網安全建設中。

網路現狀

我校是一所市一級中學，目前有兩所網路教室、200多台教學辦公電腦，校園網一期工程為全校教教學教研建立了計算機信息網路，實現了校園內計算機聯網，信息資源共享並通過中國公用Internet網（CHINANET）與Internet互連，校園網結構是：校園內建築物之間的連接選用多模光纖，以網管中心為中心，輻射向其他建築物，樓內水平線纜採用超五類非屏雙絞線纜。3Com 4900交換機作為核心交換機；二級交換機為3Com 3300。

安全隱患

當時，校園網路存在的安全隱患和漏洞有：

1、校園網通過CHINANET與Internet相連，在享受Internet方便快捷的同時，也面臨著遭遇攻擊的風險。

2、校園網內部也存在很大的安全隱患，由於內部用戶對網路的結構和應用模式都比較了解，因此來自內部的安全威脅更大一些。現在，黑客攻擊工具在網上泛濫成災，而個別學生的心理特點決定了其利用這些工具進行攻擊的可能性。

3、目前使用的操作系統存在安全漏洞，對網路安全構成了威脅。我校的網路伺服器安裝的操作系統有Windows2000 Server，其普遍性和可操作性使得它也是最不安全的系統：本身系統的漏洞、瀏覽器的漏洞、IIS的漏洞，這些都對原有網路安全構成威脅。

4、隨著校園內計算機應用的大范圍普及，接入校園網節點日漸增多，而這些節點大部分都沒有採取一定的防護措施，隨時有可能造成病毒泛濫、信息丟失、數據損壞、網路被攻擊、系統癱瘓等嚴重後果。

由此可見，構築具有必要的信息安全防護體系，建立一套有效的網路安全機制顯得尤其重要。

措施及解決方案

根據我校校園網的結構特點及面臨的安全隱患，我們決定採用下面一些安全方案和措施。

一、安全代理部署

在Internet與校園網內網之間部署一台安全代理（ISA），並具防火牆等功能，形成內外網之間的安全屏障。其中WWW、MAIL、FTP、DNS對外伺服器連接在安全代理，與內、外網間進行隔離。那麼，通過Internet進來的公眾用戶只能訪問到對外公開的一些服務（如WWW、MAIL、FTP、DNS等），既保護內網資源不被外部非授權用戶非法訪問或破壞，也可以阻止內部用戶對外部不良資源的濫用，並能夠對發生在網路中的安全事件進行跟蹤和審計。在安全代理設置上可以按照以下原則配置來提高網路安全性：

1、據校園網安全策略和安全目標，規劃設置正確的安全過濾規則，規則審核IP數據包的內容包括：協議、埠、源地址、目的地址、流向等項目，嚴格禁止來自公網對校園內部網不必要的、非法的訪問。總體上遵從「關閉一切，只開有用」的原則。

2、安全代理配置成過濾掉以內部網路地址進入Internet的IP包，這樣可以防範源地址假冒和源路由類型的攻擊；過濾掉以非法IP地址離開內部網路的IP包，防止內部網路發起的對外攻擊。

3、安全代理上建立內網計算機的IP地址和MAC地址的對應表，防止IP地址被盜用。

4、定期查看安全代理訪問日誌，及時發現攻擊行為和不良上網記錄，並保留日誌90天。

5、允許通過配置網卡對安全代理設置，提高安全代理管理安全性。

二、入侵檢測系統部署

入侵檢測能力是衡量一個防禦體系是否完整有效的重要因素，強大完整的入侵檢測體系可以彌補防火牆相對靜態防禦的不足。對來自外部網和校園網內部的各種行為進行實時檢測，及時發現各種可能的攻擊企圖，並採取相應的措施。具體來講，就是將入侵檢測引擎接入中心交換機上。入侵檢測系統集入侵檢測、網路管理和網路監視功能於一身，能實時捕獲內外網之間傳輸的所有數據，利用內置的攻擊特徵庫，使用模式匹配和智能分析的方法，檢測網路上發生的入侵行為和異常現象，並在資料庫中記錄有關事件，作為網路管理員事後分析的依據；如果情況嚴重，系統可以發出實時報警，使得學校管理員能夠及時採取應對措施。

三、漏洞掃描系統

採用目前最先進的漏洞掃描系統定期對工作站、伺服器、交換機等進行安全檢查，並根據檢查結果向系統管理員提供詳細可靠的安全性分析報告，為提高網路安全整體水平產生重要依據。

四、諾頓網路版殺毒產品部署

在該網路防病毒方案中，我們最終要達到一個目的就是：要在整個區域網內杜絕病毒的感染、傳播和發作，為了實現這一點，我們應該在整個網路內可能感染和傳播病毒的地方採取相應的防病毒手段。同時為了有效、快捷地實施和管理整個網路的防病毒體系，應能實現遠程安裝、智能升級、遠程報警、集中管理、分布查殺等多種功能。

1、在學校網路中心配置一台高效的Windows2000伺服器安裝一個諾頓軟體網路版的系統中心，負責管理200多個主機網點的計算機。

2、在各行政、教學單位等200多台主機上分別安裝諾頓殺毒軟體網路版的客戶端。

3、安裝完諾頓殺毒軟體網路版後，在管理員控制台對網路中所有客戶端進行定時查殺毒的設置，保證所有客戶端即使在沒有聯網的時候也能夠定時進行對本機的查殺毒。

4、網管中心負責整個校園網的升級工作。為了安全和管理的方便起見，由網路中心的系統中心定期地、自動地到諾頓網站上獲取最新的升級文件（包括病毒定義碼、掃描引擎、程序文件等），然後自動將最新的升級文件分發到其它200多個主機網點的客戶端與伺服器端，並自動對諾頓殺毒軟體網路版進行更新，使全校的防毒病毒庫始終處於最新的狀態。

五、劃分內部虛擬專網（VLAN），針對內部有效VLAN設置合法地址池，針對不同VLAN開放相應埠，阻止廣播風暴發生。

六、實時升級Windows2000 Server、IE等各軟體補丁，減少漏洞；實行個人辦公電腦實名制。

七、安全管理

常言說：「三分技術，七分管理」，安全管理是保證網路安全的基礎，安全技術是配合安全管理的輔助措施。我們建立了一套校園網路安全管理模式，制定詳細的安全管理制度，如機房管理制度、病毒防範制度、上網規定等，同時要注意物理安全，防止設備器材的暴力損壞，防火、防雷、防潮、防塵、防盜等，並採取切實有效的措施保證制度的執行。

近幾年，通過對以上措施的逐步實施，我校校園網路能鴝安全正常運行，為學校教育教學工作的順利開展提供了有力輔助，並漸入佳境。

『貳』 設計網路安全方案時需要注意哪些地方

一份網路安全方案需要從以下8個方面來把握。
（1）體現唯一性，由於安全的復雜性和特殊性，唯一性是評估安全方案最重要的一個標准。實際中，每一個特定網路都是唯一的，需要根據實際情況來處理。
（2）對安全技術和安全風險有一個綜合把握和理解，包括可能出現的所有情況。
（3）對用戶的網路系統可能遇到的安全風險和安全威脅，結合現有的安全技術和安全風險，要有一個合適、中肯的評估，不能誇大，也不能縮小。
（4）對症下葯，用相應的安全產品、安全技術和管理手段，降低用戶的網路系統當前可能遇到的風險和威脅，消除風險和威脅的根源，增強整個網路系統抵抗風險和威脅的能力，增強系統本身的免疫力。
（5）方案中要體現出對用戶的服務支持。
（6）在設計方案的時候，要明白網路系統安全是一個動態的、整體的、專業的工程，不能一步到位解決用戶所有的問題。
（7）方案出來後，要不斷的和用戶進行溝通，能夠及時的得到他們對網路系統在安全方面的要求、期望和所遇到的問題。
（8）方案中所涉及的產品和技術，都要經得起驗證、推敲和實施，要有理論根據，也要有實際基礎。

『叄』 網路方案設計過程主要分哪幾個步驟

步驟如下：

1，需求調研

2，需求分析

3，概要設計

4，詳細設計

設計方案內容包括：網路拓撲、IP地址規劃、網路設備選型等等。

(3)網路安全方案設計與審計擴展閱讀：

網路工程設計原則

網路信息工程建設目標關繫到現在和今後的幾年內用戶方網路信息化水平和網上應用系統的成敗。在工程設計前對主要設計原則進行選擇和平衡，並排定其在方案設計中的優先順序，對網路工程設計和實施將具有指導意義。

1，實用、好用與夠用性原則

計算機與外設、伺服器和網路通信等設備在技術性能逐步提升的同時，其價格卻在逐年或逐季下降，不可能也沒必要實現所謂「一步到位」。所以，網路方案設計中應採用成熟可靠的技術和設備，充分體現「夠用」、「好用」、「實用」建網原則，切不可用「今天」的錢，買「明、後天」才可用得上的設備。
2，開放性原則

網路系統應採用開放的標准和技術，資源系統建設要採用國家標准，有些還要遵循國際標准(如：財務管理系統、電子商務系統)。其目的包括兩個方面：第一，有利於網路工程系統的後期擴充；第二，有利於與外部網路互連互通，切不可「閉門造車」形成信息化孤島。

3，可靠性原則

無論是企業還是事業，也無論網路規模大小，網路系統的可靠性是一個工程的生命線。比如，一個網路系統中的關鍵設備和應用系統，偶爾出現的死鎖，對於政府、教育、企業、稅務、證券、金融、鐵路、民航等行業產生的將是災難性的事故。因此，應確保網路系統很高的平均無故障時間和盡可能低的平均無故障率。

4， 安全性原則

網路的安全主要是指網路系統防病毒、防黑客等破壞系統、數據可用性、一致性、高效性、可信賴性及可靠性等安全問題。為了網路系統安全，在方案設計時，應考慮用戶方在網路安全方面可投入的資金，建議用戶方選用網路防火牆、網路防殺毒系統等網路安全設施；網路信息中心對外的伺服器要與對內的伺服器隔離。

5， 先進性原則

網路系統應採用國際先進、主流、成熟的技術。比如，區域網可採用千兆乙太網和全交換乙太網技術。視網路規模的大小(比如網路中連接機器的台數在250台以上時)，選用多層交換技術，支持多層幹道傳輸、生成樹等協議。

6，易用性原則

網路系統的硬體設備和軟體程序應易於安裝、管理和維護。各種主要網路設備，比如核心交換機、匯聚交換機、接入交換機、伺服器、大功率長延時UPS等設備均要支持流行的網管系統，以方便用戶管理、配置網路系統。

7，可擴展性原則

網路總體設計不僅要考慮到近期目標，也要為網路的進一步發展留有擴展的餘地，因此要選用主流產品和技術。若有可能，最好選用同一品牌的產品，或兼容性好的產品。在一個系統中切不可選用技術和性能不兼容的產品。

『肆』 網路安全問題及防護措施有哪些

隨著科學技術的不斷發展，計算機已經成為了人們日常生活中重要的信息工具，那麼你知道網路安全防護 措施 嗎?下面是我整理的一些關於網路安全防護措施的相關資料，供你參考。

網路安全防護措施一、網路系統結構設計合理與否是網路安全運行的關鍵

全面分析網路系統設計的每個環節是建立安全可靠的計算機網路工程的首要任務。應在認真研究的基礎上下大氣力抓好網路運行質量的設計方案。為解除這個網路系統固有的安全隱患，可採取以下措施。

1、網路分段技術的應用將從源頭上杜絕網路的安全隱患問題。因為區域網採用以交換機為中心、以路由器為邊界的網路傳輸格局，再加上基於中心交換機的訪問控制功能和三層交換功能，所以採取物理分段與邏輯分段兩種 方法 來實現對區域網的安全控制，其目的就是將非法用戶與敏感的網路資源相互隔離，從而防止非法偵聽，保證信息的安全暢通。

2、以交換式集線器代替共享式集線器的方式將不失為解除隱患的又一方法。

網路安全防護措施二、強化計算機管理是網路 系統安全 的保證

1、加強設施管理，建立健全安全管理制度，防止非法用戶進入計算機控制室和各種非法行為的發生;注重在保護計算機系統、網路伺服器、列印機等硬體實體和通信線路免受自然災害、人為破壞和搭線攻擊;驗證用戶的身份和使用許可權，防止用戶越權操作，確保計算機網路系統實體安全。

2、強化訪問控制策略。訪問控制是網路安全防範和保護的主要策略，它的主要任務是保證網路資源不被非法使用和非法訪問。各種安全策略必須相互配合才能真正起到保護作用，但訪問控制是保證網路安全最重要的核心策略之一。

(1)訪問控制策略。它提供了第一層訪問控制。在這一層允許哪些用戶可以登錄到網路伺服器並獲取網路資源，控制准許用戶入網的時間和准許他們在哪台工作站入網。入網訪問控制可分三步實現：用戶名的識別與驗證;用戶口令的識別驗證;用戶帳號的檢查。三步操作中只要有任何一步未過，用戶將被拒之門外。網路管理員將對普通用戶的帳號使用、訪問網路時間、方式進行管理，還能控制用戶登錄入網的站點以及限制用戶入網的工作站數量。

(2)網路許可權控制策略。它是針對網路非法操作所提出的一種安全保護措施。用戶和用戶組被賦予一定的許可權。

共分三種類型：特殊用戶(如系統管理員);一般用戶，系統管理員根據他們的實際需要為他們分配操作許可權;審計用戶，負責網路的安全控制與資源使用情況的審計。

(3)建立網路伺服器安全設置。網路伺服器的安全控制包括設置口令鎖定伺服器控制台;設置伺服器登錄時間限制、非法訪問者檢測和關閉的時間間隔;安裝非法訪問設備等。防火牆技術是建立在現代通信 網路技術 和信息安全技術基礎上的應用性安全技術，越來越多地應用於專用網路與公用網路的互聯環境之中，尤其以接入INTERNET網路為甚。在邏輯上，防火牆是一個分離器，一個限制器，也是一個分析器，有效地監控了內部網和INTERNET之間的任何活動，保證了內部網路的安全。

(4)信息加密策略。信息加密的目的是保護網內的數據、文件、口令和控制信息，保護網上傳輸的數據。網路加密常用的方法有線路加密、端點加密和節點加密三種。線路加密的目的是保護網路節點之間的線路信息安全;端點加密的目的是對源端用戶到目的端用戶的數據提供保護;節點加密的目的是對源節點到目的節點之間的傳輸線路提供保護。用戶可根據網路情況酌情選擇上述加密方式。

(5)屬性安全控制策略。當用文件、目錄和網路設備時，網路系統管理員應給文件、目錄等指定訪問屬性。屬性安全控制可以將給定的屬性與網路伺服器的文件、目錄和網路設備聯系起來。屬性安全在許可權安全的基礎上提供更進一步的安全性。網路上的資源都應預先標出一組安全屬性。用戶對網路資源的訪問許可權對應一張訪問控製表，用以表明用戶對網路資源的訪問能力。屬性設置可以覆蓋已經指定的任何受託者指派和有效許可權。網路的屬性可以保護重要的目錄和文件，防止用戶對目錄和文件的誤刪、執行修改、顯示等。

(6)建立網路智能型日誌系統。日誌系統具有綜合性數據記錄功能和自動分類檢索能力。在該系統中，日誌將記錄自某用戶登錄時起，到其退出系統時止，所執行的所有操作，包括登錄失敗操作，對資料庫的操作及系統功能的使用。日誌所記錄的內容有執行某操作的用戶所執行操作的機器IP地址、操作類型、操作對象及操作執行時間等，以備日後審計核查之用。

網路安全防護措施三、建立完善的備份及恢復機制

為了防止存儲設備的異常損壞，可採用由熱插拔SCSI硬碟所組成的磁碟容錯陣列，以RAID5的方式進行系統的實時熱備份。同時，建立強大的資料庫觸發器和恢復重要數據的操作以及更新任務，確保在任何情況下使重要數據均能最大限度地得到恢復。

網路安全防護措施四、建立安全管理機構

安全管理機構的健全與否，直接關繫到一個計算機系統的安全。其管理機構由安全、審計、系統分析、軟硬體、通信、保安等有關人員組成。

網路安全的相關 文章 ：

1. 關於網路安全的重要性有哪些

2. 關於加強網路安全有何意義

3. 網路攻擊以及防範措施有哪些

4. 常見的網路安全威脅及防範措施

5. 關於網路安全的案例

6. 簡述下網路安全防範措施有哪些

『伍』 企業網路安全解決方案論文

企業基於網路的計算機應用也在迅速增加，基於網路信息系統給企業的經營管理帶來了更大的經濟效益，但隨之而來的安全問題也在困擾著用戶，研究解決網路安全問題的方案顯得及其重要。下面是我帶來的關於企業網路安全解決方案論文的內容，歡迎閱讀參考!

企業網路安全解決方案論文篇1

淺談中小企業網路安全整體解決方案

摘要：隨著企業內部網路的日益龐大及與外部網路聯系的逐漸增多，一個安全可信的企業網路安全系統顯得十分重要。區域網企業信息安全系統是為了防範企業中計算機數據信息泄密而建立的一種管理系統，旨在對區域網中的信息安全提供一種實用、可靠的管理方案。

關鍵詞：網路安全 防病毒 防火牆 入侵檢測

一、網路安全的含義

網路安全從其本質上來講就是網路上的信息安全。它涉及的領域相當廣泛。這是因為在目前的公用通信網路中存在著各種各樣的安全漏洞和威脅。從廣義來說，凡是涉及到網路上信息的保密性、完整性、可用性、真實性和可控性的相關技術和理論，都是網路安全所要研究的領域。網路安全，通常定義為網路系統的硬體、軟體及其系統中的數據受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統連續可靠正常地運行，網路服務不中斷。

二、中小企業網路安全方案的基本設計原則

(一)綜合性、整體性原則。應用系統工程的觀點、 方法 ，分析網路的安全及具體 措施 。安全措施主要包括：行政法律手段、各種管理制度(人員審查、工作流程、維護保障制度等)以及專業措施(識別技術、存取控制、密碼、低輻射、容錯、防病毒、採用高安全產品等)。一個較好的安全措施往往是多種方法適當綜合的應用結果。一個計算機網路，包括個人、設備、軟體、數據等。這些環節在網路中的地位和影響作用，也只有從系統綜合整體的角度去看待、分析，才能取得有效、可行的措施。即計算機網路安全應遵循整體安全性原則，根據規定的安全策略制定出合理的網路安全體系結構。

(二)需求、風險、代價平衡的原則。對任一網路，絕對安全難以達到，也不一定是必要的。對一個網路進行實際額研究(包括任務、性能、結構、可靠性可維護性等)，並對網路面臨的威脅及可能承擔的風險進行定性與定量相結合的分析，然後制定規范和措施，確定本系統的安全策略。

(三)分步實施原則。由於網路系統及其應用擴展范圍廣闊，隨著網路規模的擴大及應用的增加，網路脆弱性也會不斷增加。一勞永逸地解決網路安全問題是不現實的。同時由於實施信息安全措施需相當的費用支出。因此分步實施，即可滿足網路系統及信息安全的基本需要，亦可節省費用開支。

三、中小企業網路安全方案的具體設計

網路安全是一項動態的、整體的系統工程，從技術上來說，網路安全由安全的 操作系統 、應用系統、防病毒、防火牆、入侵檢測、網路監控、信息審計、通信加密、災難恢復、安全掃描等多個安全組件組成，一個單獨的組件是無法確保您信息網路的安全性。

該方案主要包括以下幾個方面：

(一)防病毒方面：應用防病毒技術，建立全面的網路防病毒體系。隨著Internet的不斷發展，信息技術已成為促進經濟發展、社會進步的巨大推動力：當今社會高度的計算機化信息資源對任何人無論在任何時候、任何地方都變得極有價值。不管是存儲在工作站中、伺服器里還是流通於Internet上的信息都已轉變成為一個關系事業成敗關鍵的策略點，這就使保證信息的安全變得格外重要。

(二)應用防火牆技術，控制訪問許可權，實現網路安全集中管理。防火牆技術是今年發展起來的重要網路安全技術，其主要作用是在網路入口處檢查網路通訊，根據客戶設定的安全規則，在保護內部網路安全的前提下，保障內外網路通訊。在網路出口處安裝防火牆後，內部網路與外部網路進行了有效的隔離，所有來自外部網路的訪問請求都要通過防火牆的檢查，內部網路的安全有了很大的提高。

防火牆可以完成以下具體任務：通過源地址過濾，拒絕外部非法IP地址，有效的避免了外部網路上與業務無關的主機的越權訪問;防火牆可以只保留有用的服務，將其他不需要的服務關閉，這樣可以將系統受攻擊的可能性降低到最小限度，使黑客無機可乘。

隨著網路的廣泛應用和普及，網路入侵行為、病毒破壞、垃圾郵件的處理和普遍存在的安全話題也成了人們日趨關注的焦點。防火牆作為網路邊界的第一道防線，由最初的路由器設備配置訪問策略進行安全防護，到形成專業獨立的產品，已經充斥了整個網路世界。在網路安全領域，隨著黑客應用技術的不斷「傻瓜化」，入侵檢測系統IDS的地位正在逐漸增加。一個網路中，只有有效實施了IDS，才能敏銳地察覺攻擊者的侵犯行為，才能防患於未然。

參考文獻：

[1]陳家琪.計算機網路安全.上海理工大學，電子教材，2005

[2]胡建斌.網路與信息安全概論.北京大學網路與信息安全研究室，電子教材，2005

企業網路安全解決方案論文篇2

淺談網路安全技術與企業網路安全解決方案

網路由於其系統方面漏洞導致的安全問題是企業的一大困擾，如何消除辦企業網路的安全隱患成為 企業管理 中的的一大難題。各種網路安全技術的出現為企業的網路信息安全帶來重要保障，為企業的發展奠定堅實的基礎。

1 網路安全技術

1.1 防火牆技術

防火牆技術主要作用是實現了網路之間訪問的有效控制，對外部不明身份的對象採取隔離的方式禁止其進入企業內部網路，從而實現對企業信息的保護。

如果將公司比作人，公司防盜系統就如同人的皮膚一樣，是阻擋外部異物的第一道屏障，其他一切防盜系統都是建立在防火牆的基礎上。現在最常用也最管用的防盜系統就是防火牆，防火牆又可以細分為代理服務防火牆和包過濾技術防火牆。代理服務防火牆的作用一般是在雙方進行電子商務交易時，作為中間人的角色，履行監督職責。包過濾技術防火牆就像是一個篩子，會選擇性的讓數據信息通過或隔離。

1.2 加密技術

加密技術是企業常用保護數據信息的一種便捷技術，主要是利用一些加密程序對企業一些重要的數據進行保護，避免被不法分子盜取利用。常用的加密方法主要有數據加密方法以及基於公鑰的加密演算法。數據加密方法主要是對重要的數據通過一定的規律進行變換，改變其原有特徵，讓外部人員無法直接觀察其本質含義，這種加密技術具有簡便性和有效性，但是存在一定的風險，一旦加密規律被別人知道後就很容易將其解除。基於公鑰的加密演算法指的是由對應的一對唯一性密鑰(即公開密鑰和私有密鑰)組成的加密方法。這種加密方法具有較強的隱蔽性，外部人員如果想得到數據信息只有得到相關的只有得到唯一的私有密匙，因此具有較強的保密性。

1.3 身份鑒定技術

身份鑒定技術就是根據具體的特徵對個人進行識別，根據識別的結果來判斷識別對象是否符合具體條件，再由系統判斷是否對來人開放許可權。這種方式對於冒名頂替者十分有效，比如指紋或者後虹膜， 一般情況下只有本人才有許可權進行某些專屬操作，也難以被模擬，安全性能比較可靠。這樣的技術一般應用在企業高度機密信息的保密過程中，具有較強的實用性。

2 企業網路安全體系解決方案

2.1 控制網路訪問

對網路訪問的控制是保障企業網路安全的重要手段，通過設置各種許可權避免企業信息外流，保證企業在激烈的市場競爭中具有一定的競爭力。企業的網路設置按照面向對象的方式進行設置，針對個體對象按照網路協議進行訪問許可權設置，將網路進行細分，根據不同的功能對企業內部的工作人員進行許可權管理。企業辦公人員需要使用到的功能給予開通，其他與其工作不相關的內容即取消其訪問許可權。另外對於一些重要信息設置防寫或讀保護，從根本上保障企業機密信息的安全。另外對網路的訪問控制可以分時段進行，例如某文件只可以在相應日期的一段時間內打開。

企業網路設計過程中應該考慮到網路安全問題，因此在實際設計過程中應該對各種網路設備、網路系統等進行安全管理，例如對各種設備的介面以及設備間的信息傳送方式進行科學管理，在保證其基本功能的基礎上消除其他功能，利用當前安全性較高的網路系統，消除網路安全的脆弱性。

企業經營過程中由於業務需求常需要通過遠端連線設備連接企業內部網路，遠程連接過程中脆弱的網路系統極容易成為別人攻擊的對象，因此在企業網路系統中應該加入安全性能較高的遠程訪問設備，提高遠程網路訪問的安全性。同時對網路系統重新設置，對登入身份信息進行加密處理，保證企業內部人員在操作過程中信息不被外人竊取，在數據傳輸過程中通過相應的 網路技術 對傳輸的數據審核，避免信息通過其他 渠道 外泄，提高信息傳輸的安全性。

2.2 網路的安全傳輸

電子商務時代的供應鏈建立在網路技術的基礎上，供應鏈的各種信息都在企業內部網路以及與供應商之間的網路上進行傳遞，信息在傳遞過程中容易被不法分子盜取，給企業造成重大經濟損失。為了避免信息被竊取，企業可以建設完善的網路系統，通過防火牆技術將身份無法識別的隔離在企業網路之外，保證企業信息在安全的網路環境下進行傳輸。另外可以通過相應的加密技術對傳輸的信息進行加密處理，技術一些黑客解除企業的防火牆，竊取到的信息也是難以理解的加密數據，加密過後的信息常常以亂碼的形式存在。從理論上而言，加密的信息仍舊有被解除的可能性，但現行的數據加密方式都是利用復雜的密匙處理過的，即使是最先進的密碼解除技術也要花費相當長的時間，等到數據被解除後該信息已經失去其時效性，成為一條無用的信息，對企業而言沒有任何影響。

2.3 網路攻擊檢測

一些黑客通常會利用一些惡意程序攻擊企業網路，並從中找到漏洞進入企業內部網路，對企業信息進行竊取或更改。為避免惡意網路攻擊，企業可以引進入侵檢測系統，並將其與控制網路訪問結合起來，對企業信息實行雙重保護。根據企業的網路結構，將入侵檢測系統滲入到企業網路內部的各個環節，尤其是重要部門的機密信息需要重點監控。利用防火牆技術實現企業網路的第一道保護屏障，再配以檢測技術以及相關加密技術，防火記錄用戶的身份信息，遇到無法識別的身份信息即將數據傳輸給管理員。後續的入侵檢測技術將徹底阻擋黑客的攻擊，並對黑客身份信息進行分析。即使黑客通過這些屏障得到的也是經過加密的數據，難以從中得到有效信息。通過這些網路安全技術的配合，全方位消除來自網路黑客的攻擊，保障企業網路安全。

3 結束語

隨著電子商務時代的到來，網路技術將會在未來一段時間內在企業的運轉中發揮難以取代的作用，企業網路安全也將長期伴隨企業經營管理，因此必須對企業網路實行動態管理，保證網路安全的先進性，為企業的發展建立安全的網路環境。

>>>下一頁更多精彩的「企

『陸』 網路安全審計的概念

計算機網路安全審計（Audit）是指按照一定的安全策略，利用記錄、系統活動和用戶活動等信息，檢查、審查和檢驗操作事件的環境及活動，從而發現系統漏洞、入侵行為或改善系統性能的過程。也是審查評估系統安全風險並採取相應措施的一個過程。在不至於混淆情況下，簡稱為安全審計，實際是記錄與審查用戶操作計算機及網路系統活動的過程，是提高系統安全性的重要舉措。系統活動包括操作系統活動和應用程序進程的活動。用戶活動包括用戶在操作系統和應用程序中的活動，如用戶所使用的資源、使用時間、執行的操作等。安全審計對系統記錄和行為進行獨立的審查和估計，其主要作用和目的包括5個方面：
（1）對可能存在的潛在攻擊者起到威懾和警示作用，核心是風險評估。
（2）測試系統的控制情況，及時進行調整，保證與安全策略和操作規程協調一致。
（3）對已出現的破壞事件，做出評估並提供有效的災難恢復和追究責任的依據。
（4）對系統控制、安全策略與規程中的變更進行評價和反饋，以便修訂決策和部署。
（5）協助系統管理員及時發現網路系統入侵或潛在的系統漏洞及隱患。 網路安全審計從審計級別上可分為3種類型：系統級審計、應用級審計和用戶級審計。
1）系統級審計
系統級審計主要針對系統的登入情況、用戶識別號、登入嘗試的日期和具體時間、退出的日期和時間、所使用的設備、登入後運行程序等事件信息進行審查。典型的系統級審計日誌還包括部分與安全無關的信息，如系統操作、費用記賬和網路性能。這類審計卻無法跟蹤和記錄應用事件，也無法提供足夠的細節信息。
2）應用級審計
應用級審計主要針對的是應用程序的活動信息，如打開和關閉數據文件，讀取、編輯、刪除記錄或欄位的等特定操作，以及列印報告等。
3）用戶級審計
用戶級審計主要是審計用戶的操作活動信息，如用戶直接啟動的所有命令，用戶所有的鑒別和認證操作，用戶所訪問的文件和資源等信息。

『柒』 信息安全等級保護三級意味著什麼

信息安全等級保護分為五個級別：

第一級，信息系統受到破壞後，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益。

第二級，信息系統受到破壞後，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。

第三級，信息系統受到破壞後，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害。

第四級，信息系統受到破壞後，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。

第五級，信息系統受到破壞後，會對國家安全造成特別嚴重損害。

網路安全等級保護備案辦理流程：

一步：定級;（定級是等級保護的首要環節）

二步：備案；（備案是等級保護的核心）

三步：建設整改；（建設整改是等級保護工作落實的關鍵）

四步：等級測評；（等級測評是評價安全保護狀況的方法）

五步：監督檢查。（監督檢查是保護能力不斷提高的保障）

證書案例

『捌』 網路安全涉及哪幾個方面.

網路安全主要有系統安全、網路的安全、信息傳播安全、信息內容安全。具體如下：

1、系統安全

運行系統安全即保證信息處理和傳輸系統的安全，側重於保證系統正常運行。避免因為系統的崩演和損壞而對系統存儲、處理和傳輸的消息造成破壞和損失。避免由於電磁泄翻，產生信息泄露，干擾他人或受他人干擾。

2、網路的安全

網路上系統信息的安全，包括用戶口令鑒別，用戶存取許可權控制，數據存取許可權、方式控制，安全審計。安全問題跟踩。計算機病毒防治，數據加密等。

3、信息傳播安全

網路上信息傳播安全，即信息傳播後果的安全，包括信息過濾等。它側重於防止和控制由非法、有害的信息進行傳播所產生的後果，避免公用網路上大雲自由傳翰的信息失控。

4、信息內容安全

網路上信息內容的安全側重於保護信息的保密性、真實性和完整性。避免攻擊者利用系統的安全漏洞進行竊聽、冒充、詐騙等有損於合法用戶的行為。其本質是保護用戶的利益和隱私。

(8)網路安全方案設計與審計擴展閱讀：

維護網路安全的工具有VIEID、數字證書、數字簽名和基於本地或雲端的殺毒軟體等構成。

1、Internet防火牆

它能增強機構內部網路的安全性。Internet防火牆負責管理Internet和機構內部網路之間的訪問。在沒有防火牆時，內部網路上的每個節點都暴露給Internet上的其它主機，極易受到攻擊。這就意味著內部網路的安全性要由每一個主機的堅固程度來決定，並且安全性等同於其中最弱的系統。

2、VIEID

在這個網路生態系統內，每個網路用戶都可以相互信任彼此的身份，網路用戶也可以自主選擇是否擁有電子標識。除了能夠增加網路安全，電子標識還可以讓網路用戶通過創建和應用更多可信的虛擬身份，讓網路用戶少記甚至完全不用去記那些煩人的密碼。

3、數字證書

CA中心採用的是以數字加密技術為核心的數字證書認證技術，通過數字證書，CA中心可以對互聯網上所傳輸的各種信息進行加密、解密、數字簽名與簽名認證等各種處理，同時也能保障在數字傳輸的過程中不被不法分子所侵入，或者即使受到侵入也無法查看其中的內容。

『玖』 校園網基本網路搭建及網路安全設計分析

摘要：伴隨著Internet的日益普及，網路應用的蓬勃發展，網路信息資源的安全備受關注。校園網網路中的主機可能會受到非法入侵者的攻擊，網路中的敏感數據有可能泄露或被修改，保證網路系統的保密性、完整性、可用性、可控性、可審查性方面具有其重要意義。通過網路拓撲結構和網組技術對校園網網路進行搭建，通過物理、數據等方面的設計對網路安全進行完善是解決上述問題的有效 措施 。

關鍵詞：校園網；網路搭建；網路安全；設計。

以Internet為代表的信息化浪潮席捲全球，信息 網路技術 的應用日益普及和深入，伴隨著網路技術的高速發展，各種各樣的安全問題也相繼出現，校園網被「黑」或被病毒破壞的事件屢有發生，造成了極壞的社會影響和巨大的經濟損失。維護校園網網路安全需要從網路的搭建及網路安全設計方面著手。

一、 基本網路的搭建。

由於校園網網路特性（數據流量大，穩定性強，經濟性和擴充性）和各個部門的要求（製作部門和辦公部門間的訪問控制），我們採用下列方案：

1. 網路拓撲結構選擇：網路採用星型拓撲結構（如圖1）。它是目前使用最多，最為普遍的區域網拓撲結構。節點具有高度的獨立性，並且適合在中央位置放置網路診斷設備。

2.組網技術選擇：目前，常用的主幹網的組網技術有快速乙太網（100Mbps）、FDDI、千兆乙太網（1000Mbps）和ATM（155Mbps/622Mbps）。快速乙太網是一種非常成熟的組網技術，它的造價很低，性能價格比很高；FDDI也是一種成熟的組網技術，但技術復雜、造價高，難以升級；ATM技術成熟，是多媒體應用系統的理想網路平台，但它的網路帶寬的實際利用率很低；目前千兆乙太網已成為一種成熟的組網技術，造價低於ATM網，它的有效帶寬比622Mbps的ATM還高。因此，個人推薦採用千兆乙太網為骨幹，快速乙太網交換到桌面組建計算機播控網路。

二、網路安全設計。

1.物理安全設計 為保證校園網信息網路系統的物理安全，除在網路規劃和場地、環境等要求之外，還要防止系統信息在空間的擴散。計算機系統通過電磁輻射使信息被截獲而失密的案例已經很多，在理論和技術支持下的驗證工作也證實這種截取距離在幾百甚至可達千米的復原顯示技術給計算機系統信息的__帶來了極大的危害。為了防止系統中的信息在空間上的擴散，通常是在物理上採取一定的防護措施，來減少或干擾擴散出去的空間信號。正常的防範措施主要在三個方面：對主機房及重要信息存儲、收發部門進行屏蔽處理，即建設一個具有高效屏蔽效能的屏蔽室，用它來安裝運行主要設備，以防止磁鼓、磁帶與高輻射設備等的信號外泄。為提高屏蔽室的效能，在屏蔽室與外界的各項聯系、連接中均要採取相應的隔離措施和設計，如信號線、電話線、空調、消防控制線，以及通風、波導，門的關起等。對本地網 、區域網傳輸線路傳導輻射的抑制，由於電纜傳輸輻射信息的不可避免性，現均採用光纜傳輸的方式，大多數均在Modem出來的設備用光電轉換介面，用光纜接出屏蔽室外進行傳輸。

2.網路共享資源和數據信息安全設計 針對這個問題，我們決定使用VLAN技術和計算機網路物理隔離來實現。VLAN（Virtual LocalArea Network）即虛擬區域網，是一種通過將區域網內的設備邏輯地而不是物理地劃分成一個個網段從而實現虛擬工作組的新興技術。

IEEE於1999年頒布了用以標准化VLAN實現方案的802.1Q協議標准草案。VLAN技術允許網路管理者將一個物理的LAN邏輯地劃分成不同的廣播域（或稱虛擬LAN，即VLAN），每一個VLAN都包含一組有著相同需求的計算機工作站，與物理上形成的LAN有著相同的屬性。

但由於它是邏輯地而不是物理地劃分，所以同一個VLAN內的各個工作站無須放置在同一個物理空間里，即這些工作站不一定屬於同一個物理LAN網段。一個VLAN內部的廣播和單播流量都不會轉發到 其它 VLAN中，即使是兩台計算機有著同樣的網段，但是它們卻沒有相同的VLAN號，它們各自的廣播流也不會相互轉發，從而有助於控制流量、減少設備投資、簡化網路管理、提高網路的安全性。VLAN是為解決乙太網的廣播問題和安全性而提出的，它在乙太網幀的基礎上增加了VLAN頭，用VLANID把用戶劃分為更小的工作組，限制不同工作組間的用戶二層互訪，每個工作組就是一個虛擬區域網。虛擬區域網的好處是可以限制廣播范圍，並能夠形成虛擬工作組，動態管理網路。從目前來看，根據埠來劃分VLAN的方式是最常用的一種方式。許多VLAN廠商都利用交換機的埠來劃分VLAN成員，被設定的埠都在同一個廣播域中。例如，一個交換機的1，2，3，4，5埠被定義為虛擬網AAA，同一交換機的6，7，8埠組成虛擬網BBB。這樣做允許各埠之間的通訊，並允許共享型網路的升級。

但是，這種劃分模式將虛擬網路限制在了一台交換機上。第二代埠VLAN技術允許跨越多個交換機的多個不同埠劃分VLAN，不同交換機上的若干個埠可以組成同一個虛擬網。以交換機埠來劃分網路成員，其配置過程簡單明了。

3.計算機病毒、黑客以及電子郵件應用風險防控設計 我們採用防病毒技術，防火牆技術和入侵檢測技術來解決相關的問題。防火牆和入侵檢測還對信息的安全性、訪問控制方面起到很大的作用。

第一，防病毒技術。病毒伴隨著計算機系統一起發展了十幾年，目前其形態和入侵途徑已經發生了巨大的變化，幾乎每天都有新的病毒出現在INTERNET上，並且藉助INTERNET上的信息往來，尤其是EMAIL進行傳播，傳播速度極其快。計算機黑客常用病毒夾帶惡意的程序進行攻擊。

為保護伺服器和網路中的工作站免受到計算機病毒的侵害，同時為了建立一個集中有效地病毒控制機制，天下論文網需要應用基於網路的防病毒技術。這些技術包括：基於網關的防病毒系統、基於伺服器的防病毒系統和基於桌面的防病毒系統。例如，我們准備在主機上統一安裝網路防病毒產品套間，並在計算機信息網路中設置防病毒中央控制台，從控制台給所有的網路用戶進行防病毒軟體的分發，從而達到統一升級和統一管理的目的。安裝了基於網路的防病毒軟體後，不但可以做到主機防範病毒，同時通過主機傳遞的文件也可以避免被病毒侵害，這樣就可以建立集中有效地防病毒控制系統，從而保證計算機網路信息安全。形成的整體拓撲圖。

第二，防火牆技術。企業防火牆一般是軟硬體一體的網路安全專用設備，專門用於TCP/IP體系的網路層提供鑒別，訪問控制，安全審計，網路地址轉換（NAT），IDS，，應用代理等功能，保護內部 區域網安全 接入INTERNET或者公共網路，解決內部計算機信息網路出入口的安全問題。

校園網的一些信息不能公布於眾，因此必須對這些信息進行嚴格的保護和保密，所以要加強外部人員對校園網網路的訪問管理，杜絕敏感信息的泄漏。通過防火牆，嚴格控制外來用戶對校園網網路的訪問，對非法訪問進行嚴格拒絕。防火牆可以對校園網信息網路提供各種保護，包括：過濾掉不安全的服務和非法訪問，控制對特殊站點的訪問，提供監視INTERNET安全和預警，系統認證，利用日誌功能進行訪問情況分析等。通過防火牆，基本可以保證到達內部的訪問都是安全的可以有效防止非法訪問，保護重要主機上的數據，提高網路完全性。校園網網路結構分為各部門區域網（內部安全子網）和同時連接內部網路並向外提供各種網路服務的安全子網。防火牆的拓撲結構圖。

內部安全子網連接整個內部使用的計算機，包括各個VLAN及內部伺服器，該網段對外部分開，禁止外部非法入侵和攻擊，並控制合法的對外訪問，實現內部子網的安全。共享安全子網連接對外提供的WEB，EMAIL，FTP等服務的計算機和伺服器，通過映射達到埠級安全。外部用戶只能訪問安全規則允許的對外開放的伺服器，隱藏伺服器的其它服務，減少系統漏洞。

參考文獻：

[1]Andrew S. Tanenbaum. 計算機網路（第4版）[M].北京：清華大學出版社，2008.8.

[2]袁津生，吳硯農。 計算機網路安全基礎[M]. 北京：人民郵電出版社，2006.7.

[3]中國IT實驗室。 VLAN及技術[J/OL], 2009.