安全防护策略范文

安全防护策略范文（精选12篇）

安全防护策略 第1篇

0 引言

近年来, 伴随着我国国民经济的发展和信息技术的普及以及计算机网络技术的成熟, 计算机校园网络应用迅速普及。各部门、教师、学生对计算机网络的依赖程度越来越高, 这就使校园网络变得十分“脆弱”。一旦计算机网络受到破坏, 不能正常工作, 就会使整个校园的信息传递、网络办公受到影响, 甚至陷入瘫痪。因此, 制定并实施计算机信息系统安全防护策略是维护计算机信息系统正常工作秩序, 防范计算机病毒, 预防计算机安全事故, 有效保证计算机信息系统安全的重要措施。

完善的规章制度是规范校园网络管理的重要依据, 也是保障网络安全的坚强盾牌。多年来, 我校制定了网络中心、办公网络、计算机机房的操作与管理规程, 并对网络管理人员、教师、学生进行系统地校园网络操作规程培训。

1 威胁校园网络安全的主要因素

威胁校园网络安全的因素有很多, 归纳起来如下:

1.1 系统安全策略配置不当。

系统安全策略组件配置不当会造成安全隐患。例如:防火墙软件的配置不正确, 那么它根本不起作用。许多风站在防火墙配置上无意识地扩大了访问权限, 忽视了这些权限可能会被恶意人员使用。网络入侵的目的主要是取得使用系统的存储权限、写权限以及访问其他存储内容的权限, 或者是作为进一步侵入系统的跳板, 以及恶意破坏这个系统。本地安全策略组件配置不当会扩大本地系统、文件访问权限, 同样存在被非法复制、恶意破坏的危险。

1.2 操作系统和应用软件存在安全漏洞。

服务器、用户机操作系统、网页浏览器和各类应用软件存在安全安全漏洞。例如, IE浏览器的视频漏洞已经给大量用户造成了巨大的威胁, 其中包括播放在线视频、网络视频都可能遭到入侵, 一旦木马利用了漏洞入侵就会在后台实现自动下载并运行, 用户完全没有办法去控制。从而危害了用户的计算机安全。2008年7月11日公布的office软件中的access存在Active X漏洞, 黑客可利用该漏洞在特定网页植入木马, 用户访问这些网站时, 会自动下载并执行木马。

1.3 计算机病毒。

计算机病毒是指能破坏计算机操作系统或文件、影响硬件的正常运行并且能够自我复制的一组计算机指令或程序代码。计算机病毒具有隐蔽性、潜伏性传播性和破坏性等特征, 在校园网络环境下病毒利会利用网络、优盘和移动硬盘等媒介进行传播。目前, 病毒种类日益繁多, 变种病毒层出不穷。如早期出现的“蠕虫”病毒就有几十种变种病毒。“熊猫烧香”病毒造成的破坏之广前所未有。

1.4“后门”和木马程序。

后门一般是指那些绕过安全性控制而获取对程序或系统访问权的程序方法。在软件的开发过程中, 程序员常常会在软件内创建后门程序以便可以修改程序设计中的缺陷。但是, 如果软件在发布之后没有删除后门程序, 就容易被黑客当成漏洞进行攻击。木马是一种特殊的后门程序, 是一种基于远程控制的黑客工具, 具有隐蔽性、非法性性和恶意性等特点。黑客往往利用木马程序侵入并控制这台电脑, 进而篡改系统设置、应用程序, 窃取用户的资料。

1.5 黑客攻击。

黑客是指掌握着有关操作系统和编程语言的高级知识, 并利用系统中的安全漏洞非法侵入他人计算机系统, 并对计算机系统和网络进行攻击的程序设计人员。一般来说, 黑客对计算机网络的威胁比一般的电脑病毒更为严重。

2 常用的网络安全技术

2.1 使用杀毒软件。

杀毒软件是我们计算机中最为常见的软件, 也是用得最为普遍的安全策略。此种方案实现起来较为容易。随着杀毒软件技术的不断进步, 现在的主流杀毒软件不仅能够主动防御木马程序和某些黑客程序的入侵, 而且还可以修复系统和软件的安全漏洞。“云”技术的应用使得杀毒软件用户可以利用“云”服务器进行病毒样本上报、病毒查杀。定期升级杀毒软件病毒特征库并采用多个杀毒软件交叉查杀可大大降低病毒破坏的机率。

2.2 设置防火墙。

防火墙技术是指网络之间预定义的安全策略、对内外网通信强制实施访问控制的安全应用策略。防火墙可以分为硬件防火墙和软件防火墙, 硬件防火墙是通过硬件和软件技术的结合来达到提高网络安全的目的, 其成本较高, 但效果较好, 一般应用于大中型企事业单位;软件防火墙通过软件的方式实现, 成本较低, 但软件防火墙只能通过用户设置的访问规则来达到阻止外网非法用户、程序访问内部网络的目的。防火墙只能阻隔来自外部网络的入侵与攻击, 而对企业内部网络的安全却无能为力, 并且防火墙并非坚不可摧, 要保证校园网的安全, 还需结合校园内部网络的安全策略来实现。

2.3 网络入侵检测。

入侵检测技术是指通过对行为、安全日志或审计数据或其它网络上可以获得的信息进行操作, 检测并分析对系统的入侵和入侵的企图。入侵检测是检测计算机非法使用的技术, 其作用包括威慑非法使用、攻击预测、检测与评估损失情况等。入侵检测一般通过以下方式来实现 (1) 系统构造的漏洞检测; (2) 异常行为模式的识别与分析; (3) 评估系统和重要数据文件的完整性; (4) 检测并识别已知攻击的活动方式并记入日志; (5) 监视、分析登录用户的系统活动; (6) 操作系统的跟踪管理, 并识别用户违反安全规则的行为。

2.4 安全扫描技术。

网络安全扫描技术是一种基于Internet的检测目标网络或本地主机安全性的技术。系统管理员通过网络安全扫描, 能够及时发现服务器的各个TCP/IP端口的分配、提供的服务、提供网络服务的软件和这些服务及软件的安全漏洞。网络安全扫描技术是采用主动的方法来检验系统是否存在可能性的攻击, 并利用设计的脚本模拟对系统进行攻击的行为, 并对扫描结果进行分析、评估。通过对网络进行安全扫描, 网络管理员可以及时了解网络的安全配置和应用程序的运行情况, 客观评估网络风险等级, 及时发现安全隐患, 更正系统中的错误配置、修改安全漏洞。

2.5 数据加密和数字签名技术。

数据加密是指按特定的加密算法对需要保护的数据、文件进行处理, 使其变换成为难以识读的数据的过程。数据解密是指将密文按对应的解密算法恢复成明文的过程。数字加密的目的是为了防止黑客查看、篡改和窃取机密的数据文件, 防止非授权用户查看私人数据和文件, 使入侵者无法轻易地查找一个特定的文件等。数字签名是非对称密钥加密技术与数字摘要技术的应用, 它是附加在数据单元上的一些数据, 或是对数据单元所作的密码变换。这种数据变换允许数据单元的接收者用以确认数据单元的来源和数据单元的完整性并保护数据, 防止他人伪造。一个签名数据能在一个通信网络中传输。数字签名的主要作用是保证信息传输的完整性、信息发送者和接受者的身份认证等。

校园网络的安全关系到网络信息化建设的进一步发展和网络管理、办公系统的应用。网络安全不能仅依靠杀毒软件、防火墙和安全检测等软、硬件的防护, 还应注重树立使用者的网络安全意识, 加强使用人员的制度管理, 才能更有效地提高网络安全, 享受网络带来的巨大便利。

摘要：随着网络的发展, 校园网络在高校中逐渐普及, 高校校完网络已经成为教学、信息交流的主要载体。维护校园网络安全、保持网络畅通, 是网络管理员的重要职责。

关键词：校园网络,安全策略,后门

参考文献

[1]丁常福, 方敏, 徐亮.端口扫描技术及防御分析[J].微机发展.2003 (06)

[2]荀迈华.计算机网络安全问题及防范策略[J].软件, 2013, 34 (12) :240

高校计算机信息安全防护策略论文 第2篇

关键词：大数据; 高校计算机, 信息安全; 防护;

0前言

在大数据背景下, 高校计算机信息安全成为必然关注的重点, 注重高校计算机信息安全, 在大数据背景下, 研究计算机信息安全包含的内容, 了解相关问题以及相关属性, 在计算机深入应用的情况下, 分析计算机存在的优势, 弥补计算机安全管理存在的问题, 提高计算机的安全性, 保证计算机信息安全防护工作的开展实施。本文以此展开研究, 以此为参考, 提出一些意见建议, 希望可以提出有效地解决措施, 发挥安全防护的重要作用。

1 安全防护的潜在威胁以及需求

在高校计算机信息安全防护过程中, 可能会存在潜在的威胁, 其中最主要的两方面威胁就是客观因素的威胁和主观因素的威胁。其中客观因素的威胁主要体现在以下内容, 分别是电磁干扰, 雷雨, 返潮等自然灾害, 数据丢失, 系统破坏等问题, 其中还包括计算机病毒侵害, 网络软件设计技术不完善等, 都是影响安全防护的潜在威胁, 都是客观因素的威胁。主观因素的主要威胁体现在以下三个方面。首先, 人为导致的火灾, 水灾等人为灾害。其次, 高校计算机网络系统安全配置不合理, 系统存在安全漏洞, 遭受了外界不法分子的攻击, 威胁, 出现系统被伪造, 删除, 系统受到篡改等问题, 影响了高校计算机信息的安全性, 存在严重的安全隐患[1]。最后, 内部管理人员的管理意识薄弱, 相关管理制度不完善, 会影响安全防护工作的顺利实施, 降低安全性, 存在潜在的威胁, 影响安全防护效果。

新疆电力公司网络信息安全防护策略 第3篇

【关键词】信息化；服务；信息安全

【中图分类号】TN915.08 【文献标识码】A 【文章编号】1672-5158（2012）09-0030-01

一、新疆电力公司业务应用情况

新疆电力公司始终坚持“服务党和国家工作大局、服务电力客户、服务发电企业、服务社会发展”的宗旨，从事电力购销业务，负责所辖区域电网之间的电力交易和调度。为了服务电力生产和统一调度的发展，以宽带达到100M以上。数据交换体系建设加快，实现了数据统计等关键信息的及时上报、自动汇总和动态发布。网省公司、地州电力调度机构实现了调度自动化系统，引入了电能计费系统和广域测量系统；变电站实现了计算机监控额无人、少人值守，大大提高了生产自动化水平。

建立地理信息系统（GIS），应用于输电、变电、配电管理业务。电力负荷、电力营销管理手段广泛应用，实现业务报装、电费抄核、故障报修、投诉受理等功能。地州供电企业营业窗口基本实现计算机受理用电业务，投运全国统一的“95598”电力客户电话服务系统。为方便用电客户缴费通过实现会计核算、业务报表及信息及时监控；实现银电联网，方便用电客户和发电企业进行缴费和资金结算；实现实现电子公文传输的单轨制运行和无纸化公文传输；建立集中规模招投标系统，在网上实现全过程招标和评标。

二、新疆电力公司网络结构

新疆电力公司广域网设计采用“双星形”网络拓扑结构。涵盖新疆电力公司下属22家单位及86个县供，覆盖率达到100%，实现了乌鲁木齐市内单位网络带宽1000M，地州单位网络带宽不低于100M互联，备用链路不低于10M；乌鲁木齐电业局及地州12家单位已经实现“双设备，双链路”设备及链路双冗余上行至新疆公司本部，主用155Mb通道，备用10Mb通道广域网核心路由使用NFA0-8及NFAOE，核心交换使用$9508设备，地州接入设备采用MSR50-60设备。

三、信息安全隐患分析

计算机信息安全面临来自多个方面的信息安全威胁，影响原因可能是系统本身、数据库以及移动储存介质，而它们在使用、管理过程中的疏忽也加剧了问题的严重性。

3.1 操作系统和应用程序的安全漏洞现在广泛使用的操作系统在安全体系结构上都先天不足，靠打补丁逐步完善，缺乏严密的安全框架，安全漏洞较多。访问控制与认证功能薄弱，用户认证方式单一，绝大多数仅为口令方式，一些更可靠的生物特征认证手段因缺少硬件认证部件没有得到广泛应用。有的操作系统还有陷门和隐蔽信道。在应用程序安全的问题上，主要是缺少完备的安全机制。在开发过程中没有遵照安全軟件工程的原则开发，用户只关心是否实现了所要求的功能，安全完全由程序员开发与控制，从而留下安全隐患。

3.2 移动储存介质

移动储存介质由于其本身具有方便小巧、存储量大、通用性强、易携带等特点，得到了广泛的使用。但这些特点也给网络带来了许多安全隐患，造成网络系统不易管理，尤其是涉密单位移动储存介质的管理。现阶段涉密介质的使用大多缺乏设备登记、身份认证、访问控制和审计机制，这给网络系统的信息安全造成很大的威胁。

3.3 数据库系统的安全隐患

数据库系统的安全隐患有如下特点：涉及到信息在不同程度上的安全，即客体具有层次性和多项性；在DBMS中受到保护的客体可能是复杂的逻辑结构，若干复杂的逻辑结构可能映射到同一物理数据客体上，即客体逻辑结构与物理结构的分离；客体之间的信息相关性较大，应该考虑对特殊推理攻击的范围。我们将企业数据库系统分成两个部分：一部分是数据库，按照一定的方式存取各业务数据。一部分是数据库管理系统（DBMS），它为用户及应用程序提供数据访问，同时对数据库进行管理，维护等多种功能。

3.4 路由和交换设备安全隐患路由器是企业网络的核心部件。它的安全将直接影响整个网络的安全。路由器在缺省情况下只使用简单的口令验证用户身份，并且在远程TELNET登录时以明文传输口令。一旦口令泄密，路由器将失去所有的保护能力。同时，路由器口令的弱点是没有计数器功能，所以每个人都可以不限次数地尝试登录口令，在口令字典等工具的帮助下很容易破解登录口令。每个管理员都可能使用相同的口令，路由器对于谁曾经作过什么修改没有跟踪审计的能力。此外，路由器实现的某些动态路由协议存在一定的安全漏洞，有可能被恶意攻击者利用来破坏网络的路由设置，达到破坏网络或为攻击作准备的目的。

3.5 黑客的威胁和攻击

黑客具有非常强的计算机网络系统知识，能熟练使用各种计算机技术和软件工具。黑客善于发现计算机网络系统自身存在的系统漏洞。漏洞成为黑客被攻击的目标或利用为攻击的途径，并对网络系统的安全构成了非常大的威胁。目前，在各个国家计算机信息网络上的黑客攻击事件都是越演越烈。

3.6 计算机病毒的侵害

由于计算机病毒具有蔓延速度快、范围广等特点，是计算机网络系统的最大的威胁造成的损失难以估计。计算机病毒破坏的对象直接就是计算机系统或者网络系统。一旦计算机感染上病毒后，轻则使系统执行效率下降，重则造成系统死机或毁坏，使部分文件或全部数据丢失，甚至造成计算机系统硬件设备等部件的损坏。

四、网络信息安全应对策略

4.1 访问控制策略

访问控制是网络安全防范和保护的主要策略，主要任务是保证网络资源不被非法使用和非法访问，是维护网络系统安全、保护网络资源的重要手段。各种安全策略必须相互配合才能真正起到保护作用，但访问控制可以说是保证网络安全最重要的核心策略之一。下面分述各种访问控制策略。

4.2 信息加密策略

信息系统的数据加密常用的方法有链路加密、端点加密和节点加密三种。对于网络信息和电子文件具体加密的方法很多，如名称加密、内容加密、属性加密、形式加密等信息加密的目的是保护网络内部和网上传输的数据、文件、口令和控制信息的安全。信息加密过程是由形形色色的加密算法来具体实施，它以很小的代价提供很大的安全保护。在多数情况下，信息加密是保证信息机密性的唯一方法。据不完全统计，到目前为止，已经公开发表的各种加密算法多达数百种。按照收发双方密钥是否相同来分类，可将加密算法分为私钥加密算法和公钥加密算法。

4.3 网络安全管理策略

安全管理手段主要是从制度上完善信息系统的安全性，防止由于人的主观行为或制度问题导致信息系统的泄密。加强网络的安全管理，对于确保网络的安全、可靠运行和信息的安全保密，将起到十分有效的作用。在应对各种突发、紧急事件上建立起完备的应急预案：新疆电力公司信息系统应急计划的目标是分析信息系统可能出现的紧急事件或者灾难事故，技术支持和业务部门应建立一整套应急措施，以保障新疆电力公司核心业务的连续服务。一旦发生重大的或灾难性事故时，信息中心工作人员迅速进行灾情分析，并上报信息安全工作领导小组即成为应急领导小组，负责指挥执行紧急应变计划，排除灾难事故。同时应急领导小组还要组织相关的部门做好对外的解释、宣传和公告以及保卫工作，防止事态的扩大，

五、结束语

信息系统数据安全防护策略浅析 第4篇

信息数据是企业在竞争日趋激烈的市场环境中得以生存和立足的生命线[1], 由于这些信息可能是客户资料、商业数据或其他机密内容, 信息一旦受到威胁并被非法者查看、窃取或修改, 将会造成难以想象的严重后果。因此, 数据的安全性对任何一个信息系统来说都至关重要。

1 信息系统数据访问安全控制模型

保证信息系统的数据安全, 主要是保证信息的可用性、精确性、真实性、机密性、完整性和所有性[2], 为此, 需要研究制定保障数据安全的相关措施即安全策略, 安全策略是为保证提供一定级别安全保护所必须遵守的规则。

在一般的计算机信息系统中, 数据安全保护措施是逐级层层设置的, 其模型如图1所示。根据安全防护策略, 用户从申请使用应用服务程序开始, 直到成功访问到后台数据库中所存储的数据, 应经历所有已被事先设定的安全防护认证过程。

2 信息系统的数据安全防护策略

2.1 访问控制

(1) 物理访问控制

(1) 本地物理访问控制。从设备管理的观点看, 安全设备是一个物理位置概念, 人员需要对运行信息系统的设备进行访问时, 可以首先从物理保护机制实行访问控制, 如设置带锁的房门、警卫人员、环境监控视频等。

(2) 远程网络访问控制。若系统提供网络远程访问功能, 可通过投资建设与互联网和无关者完全相隔离的专用网络、限定充许访问系统的网络设备物理地址、要求在互联网环境下使用VPN技术等方式, 对网络访问进行物理上的限制。

(2) 身份验证

身份验证也可称为身份识别, 它是正确识别合法用户身份的重要途径。身份验证的原理是用户将个人所持有的认证载体传送给计算机, 计算机将认证载体与原有的登记值的比对计算, 以判断用户的身份是否合法。身份验证往往是信息系统数据安全防护的第一道关卡。身份验证常用的方式有:口令认证、待证认证和生物识别。

口令认证是被最广泛使用, 也是最实用的一种系统访问身份验证方法。一般情况下, 口令由数字、字母和特殊字符组成。对口令的安全性要求包括:限定口令的复杂性, 限制来自同一个终端或接入通道在一定时段内进行口令认证的次数, 要求口令被定期更改, 取消系安装或测试时所用的预设口令, 采用一次性口令认证方式等。

目前很多组织机构在口令认证环节正逐步探索采用一次性口令认证的方式, 这种方法的特点是可以使用第三方安全服务器上生成的一次性口令来进行身份验证, 例如可与电信运营商合作, 将合法用户的手机号码与信息系统及电信运营商绑定, 通过随机生成和短信下发的形式, 向用户提供一次性口令, 并规定口令的有效时限。

持证认证是利用所持有的实物对用户进行的身份验认, 持有物的作用类似于钥匙。当前比较常见的持有物有:写入特定程序的U盘、嵌有磁条或电子芯片的卡片等。

生物识别主要依据人类自身所固有与生俱来的的生理特征作为个人身份识别的重要依据。生物识别技术的应用现主要包括指纹识别、虹膜识别、脸像识别、手形识别、声音识别等。其中虹膜和指纹识别是目前被公认为最可靠的生物识别方式。

2.2 操作权限控制

信息系统的业务活动主要在主体 (用户) 和客体 (资源、数据) 间进行[3]。操作权限控制的核心思想是保证主体对客体活动的合法性, 确保主体对客体的活动是授权的, 对非授权的活动必须拒绝。

系统操作权限控制主要有基于主体和基于客体两种方式。基于主体的操作权限控制方法是在主体的属性上附加一个该主体可操作客体的明细列表, 主体只能有权限操作已被授权的事项。基于客体的操作权限控制方法是对客体附加一个可操作它的主体的明细列表, 客体只充许来自列表中主体的操作活动。

系统操作权限的分配和设置方式, 基于主体和客体分为等级型和权属型两种。权限的等级型方式为一个树型结构, 高等级主体可以对低等级主体的系统控制权限进行设置或修改, 信息系统充许拥有一个最高等级权限的主体。权限的权属型方式是对客体设定一个拥有者, 它是唯一有权设置或修改该客体的操作权限主体明细列表的主体, 该主体有权分配其所拥有客体的可操作控制权限。

目前, 对系统操作权限控制的实施, 比较流行的是基于角色管理的权限设置方式。角色是信息系统中具有相同权限的一组用户, 不同的角色被分别赋予不同的系统操作权限。通过定义角色, 可实现对系统业务活动主体的统一管理。

2.3 操作系统的文件操作控制

任何信息系统的运行都离不开操作系统的支撑, 对数据的安全防护, 在操作系统一级也有自己的保护措施。

文件保护是对安全操作系统的基本要求, 操作系统的文件操作控制是为了防止由于误操作或恶意操作而对文件造成的破坏。

一般可通过操作系统为文件的操作设置两级控制, 第一级为访问权限识别, 即判定哪些用户或程序进程可以对文件进行操作, 第二级为存取权限识别, 即规定用户或程序进程可对文件执行何种操作。

对第一级控制的实施, 一般将文件的访问对象分为三类:文件创建者 (文件主) 、文件合作者、其他用户, 根据用户类别设定对文件的访问权限。为实施第二级控制, 可在设定文件访问权限的基础上, 设置访问对象对文件的存取权限:R (只读) , W (可写) , E (可执行) , N (不允许任何操作) 。

此外, 为保证文件安全, 防止人为技术性的对文件进行破坏, 操作系统通常都会利用转储操作来提供文件的备份功能, 以保持文件的多个副本, 一旦原文件受到破坏, 可能通过备份还原措施来进行恢复。

2.4 数据加密

数据保密是信息安全的重要方面, 为保密而进行的数据加密, 是防止非法用户轻易从信息系统中获取机密信息的技术手段。加密的基本思想是伪装明文以隐藏其真实内容, 即将明文X伪装成密文Y。将X伪装成Y的过程称为加密, 将Y还原为X的过程称为解密。

加密和解密的过程是一般是通过加密/解密算法来实现的, 加密/解密算法是对明文加密和密文解密时所采用的一组规则。而加密算法和解密算法的操作通常都是在一组密钥控制下进行的, 密钥可以视为在加密/解密算法中的可变参数。

对数据进行加密, 所运用的主要手段是对数据内容进行换位或置换[2]。现有的加密体制可分为两种:一种是对称密码体制, 其使用相同的密钥对数据进行加密和解密, 典型的加密算法有凯撒密码、单表置换、Vigenere密码和现今流行的DES算法、RC4算法等;另一种是非对称密码体制, 其对信息的加密和解密使用不同的密钥, 并且难以从其中一个密钥推断出另一个, 典型的加密算法有RSA算法、DSA算法、PKCS算法和PGP算法等。

在信息系统中, 数据一般都按照一定的模式要求存储在数据库中。对数据库中的数据进行加密存储, 是保护信息系统数据安全的重要手段。加密其实就是将数据库中的明文存储成密文的过程, 使得用户直接打开数据库时, 看到数据库中的信息为乱码, 这样即使数据库被非法者直接盗取, 没有特定的解密程序也无法知道数据库中的真实信息[4]。

使用加密方式对数据库中存储的数据进行保护, 需要注意以下两点:

(1) 选择高效的加密算法会提高数据库运行的性能[5]。一般对称密码体制算法比非对称密码体制算法要快得多, 但使用非对称密码体制可以得到更好的系统开放性。

(2) 合理确定所需要进行加密的数据范围。在日常工作中, 经常会对数据库中的数据进行修改、删除等操作, 如果对每个数据库字段都加密的话, 会影响数据库的性能, 所以合理的选择比较敏感的数据字段进行加密, 可以有效降低数据库负重[5]。对数据库中字段进行加解密的主要流程如图2所示[4]。

2.5 入侵检测和安全审计

信息系统入侵检测的思路是基于这样的假定:入侵者的行为一般不同于合法用户的行为, 并通过可以量化的方式表现出来。安全审计是入侵检测的重要手段, 通过对系统中用户活动的收集与审计, 以判断用户行为的合理与合法性。

入侵检测技术主要分为以下两种:模式匹配和统计分析。

模式匹配是将审计观察到的情况与已知的网络入侵和误用模式进行比对, 从而判断是否发生违背安全行为的入侵活动。该方法的特点是对行为判断的准确率较高, 但难以应付不断更新和从未出现过的黑客攻击手段。

统计分析则是通过对信息系统中过去的事件进行梳理、统计与分析, 创建一个判断当前活动是否可疑的规则或属性集来检测入侵行为。例如将某事件与一个时段内对该事件类型出现的次数相比较, 如果次数远远超出了被认为是合理的数值, 那么就假定出现了入侵活动。该方法的特点是可检测未知的入侵行为, 但误报率较高。

3 结束语

信息系统的数据安全防护策略可以为我们提供有效的数据安全保障。但一个信息系统的安全性并不是孤立的, 它还与整个系统的高效性、适用性密切相关。在系统管理人员认为花在身份验认和数据加密上的时间很有必要时, 系统用户此时也许正在抱怨为什么需要如此频繁地更改登录密码并要求得到更快的系统响应速度。

我们应该有这样的一种意识, 绝对的不受任何约束的随意访问所带来的高效性和便捷性将会使业务运行危机四伏, 但绝对的安全性将导致系统运行效率低下或最终可能根本无法访问[2]。因此, 选择采用怎样的安全策略来保护信息系统的数据安全, 使系统在安全性能和访问性能上得到一个适当、合理的平衡, 是信息系统设计和维护人员需要认真考虑的重要问题。

参考文献

[1]张君生.浅谈用信息化手段保护企业核心数据[J].中国管理信息化, 2013-01, (1) :41-42.

[2]Michael E.Whitman, Herbert J.Mattord.信息安全原理[M].徐焱, 译.北京:清华大学出版社, 2004.

[3]中国信息安全产品测评认证中心.信息安全理论与技术[M].北京:人民邮电出版社, 2003.

[4]张占孝.数据库加密系统的设计与实现[J].信息安全与技术, 2012-04:15-17.

信息安全策略 第5篇

是一个有效的信息安全项目的基础。从信息安全领域中发生的事件来看，信息安全策略的核心地位变得越来越明显。例如，没有安全策略，系统管理员将不能安全的安装防火墙。策略规定了所允许的访问控制、协议以及怎样记录与安全有关的事件。尽管信息安全策略是廉价的实施控制方式，但它们也是最难实施的。策略花费的仅仅是创建、批准、交流所用的时间和精力，以及员工把策略整合形成日常行为规范所用的时间和精力。即使是雇佣外部顾问来辅助制定策略，与其它控制方法（特别是技术控制）相比，其花费也是较小的。策略的制定需要达成下述目标：减少风险，遵从法律和规则，确保组织运作的连续性、信息完整性和机密性。

信息安全策略应主要依靠组织所处理和使用的信息特性推动制定。组织为高层主管、董事会成员、战略伙伴以及员工提供了内部信息系统，对信息系统中信息特性的理解，能为策略制定提供有用的依据。应当重视对信息系统了解深刻的员工，所提出的组织当前信息的主要特性，具体包括：什么信息是敏感的、什么信息是有价值的以及什么信息是关键的。

在制定一整套信息安全策略时，应当参考一份近期的风险评估或信息审计，以便清楚了解组织当前的信息安全需求。对曾出现的安全事件的总结，也是一份有价值的资料。也需要召开相关人员会议，比如首席信息官、物理安全主管、信息安全主管、内部审计主管和人力资源主管等。

为了确定哪些部分需要进一步注意，应收集组织当前所有相关的策略文件，例如计算机操作策略、应用系统开发策略、人力资源策略、物理安全策略。也可以参考国际标准、行业标准来获得指导。

资料收集阶段的工作非常重要，很多时候因为工作量和实施难度被简化操作。资料收集不全，调研不够充分会导致新建的信息安全策略无法与组织的真正需求一致。也无法确保策略中的要求与管理目标相一致。如果提出一套与组织文化明显不一致的策略，更是一件很尴尬的事情。

在制定策略之前，对现状进行彻底调研的另一个作用是要弄清楚内部信息系统体系结构。信息安全策略应当与已有的信息系统结构相一致，并对其完全支持。这一点不是针对信息安全体系结构，而是针对信息系统体系结构。信息安全策略一般在信息系统体系结构确立以后制定，以保障信息安全体系实施、运行。例如，互联网访问控制策略可使安全体系结构具体化，也有利于选择和实施恰当的防火墙产品。

收集完上面所提到的材料后，也就是调研阶段完成后，开始根据前期的调研资料制定信息安全策略文档初稿。初稿完成后，应当寻找直接相关人员对其进行小范围的评审。对反馈意见进行修改后，逐渐的扩大评审的范围。当所有的支持部门做出修改后，交由信息安全管理委员会评审。

信息安全策略的制定过程有很高的政策性和个性，反复的评审过程能够让策略更加清晰、简洁，更容易落地，为此在评审的过程中需要调动参与积极性，而不是抵触。

评审过程的最后一步一般由总经理、总裁、首席执行官签名。在人员合同中应当表明能予遵守并且这是继续雇佣的条件。也应当发放到内部服务器、网页以及一些宣传版面上的显眼位置，并附有高层管理者的签名，以表明信息安全策略文档

得到高层领导强有力的支持。如果让首席执行官签名不现实，由首席信息官签名也可以。要注意仅有信息安全部门主管或同级的部门主管签名，一般不足以表明高层管理者的同意和支持。虽然获得高层管理者的同意很难实施，但经验表明，高层的支持对策略的实施落地是非常重要的。

一般来说，在信息安全策略文件评审过程中，会得到组织内部各方多次评审和修订，其中最为重要的是信息安全管理委员会。信息安全委员会一般由信息部门人员组成，参与者一般包括以下部门的成员：信息安全、内部审计、物理安全、信息系统、人力资源、法律、财政和会计部。这样一个委员会本质上是监督信息安全部门的工作，负责筛选提炼已提交的策略，以便在整个组织内更好的实施落地。如果组织内还没有信息安全管理委员会，在制定信息安全策略的时候正是建立管理委员会的好时机，或由组织内已存在的同职能部门担任职责。

虽然制定了新的安全策略，还必须有一个适当的实施过程，如果这些策略不能得到实施，将起不到任何作用，不能得到执行的策略，可能比完全没有策略更糟糕，因为这样会教会员工作假和质疑组织内部执行力，这也可能麻痹管理者认为信息安全为题已经处理虽然现实是另外一回事。

管理层常以为员工行为当然以组织利益为重，这是一个欠考虑的想法。虽然策略不可能影响员工的个人价值观，但管理层可以运用策略给员工提供机会，引导他们和组织的利益一致。策略告诉员工组织对他们的期望是什么。

新策略发布前，应在内部信息技术部门或审计部门内讨论如果具体实施。新策略的执行可能会遇到多样化的问题。可以通过绩效评估和相应奖惩制度来保证策略的执行有效性。发现和惩罚违反策略的员工并不是目的。如果大量的人都不遵守，这就表明策略和相关的意识提升是无效的。在此情形下，需要寻找更有效的方式实施，或修改策略，以便更好的反映组织文化。

另有一些策略实施的建议：

在组织内部网站或一些媒体发布策略—新策略应发布在组织内部网站上，加入相关链接让用户能很快定位感兴趣的材料。

制定自我评估调查表—在新的策略实施时，制定评估表，填写实施情况，就能明确哪些部门没有遵守好、哪些地方需要额外加强控制。

制定遵守信息安全策略的员工协议表——应当编辑一个反映员工该如何遵守信息安全策略的法律协议表，或直接体现在员工合同中。

建立考察机制检查员工是否理解策略——调查员工是否理解安全策略文档中的重点。通过考试确定是否要增加培训和通告。

基础信息安全培训课程——培训课程通过录像或培训软件存档。不同策略对象可能要不同的培训课程。

数字图书馆信息安全防护策略 第6篇

关键词：数字图书馆 信息安全 防护策略

一、相关概念

（一）信息安全

信息安全是指信息网络的硬件、软件及其系统中的数据受到保护，不因偶然或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，使信息服务不中断。也可以说，所谓信息安全，一般是指在信息采集、存储、处理、传播和运用过程中，信息的自由性、秘密性、完整性、共享性等都能得到良好保护的一种状态。

（二）数字图书馆

数字图书馆，就是具有内容丰富的数字化信息资源、利用先进的计算机技术、网络通信技术、数字化技术，能为用户提供集成化的信息服务和知识服务，满足用户深层次的信息需求的服务机构，它是网络环境下图书馆进入高级发展阶段的新的形态。所以，数字图书馆信息安全是指其各系统不因偶然或者恶意的原因而遭到破坏、更改、泄露、丢失，确保信息资源的自由性、秘密性、完整性、准确性、共享性，为读者提供正常的检索和查阅服务。

二、数字图书馆信息安全存在的问题

（一）环境问题

数字图书馆的机房是各类信息的中枢，放置有各类服务器、磁盘阵列、交换机、防火墙、UPS　不间断电源、机房空调、除湿机等重要设备，机房设计与施工的优劣直接关系到机房内整个信息系统是否能稳定可靠地运行，是否能保证各类信息通讯畅通无阻。所以机房环境要能防水、防火、防震、防雷、防盗，对温度、湿度、洁净度、电磁场强度、噪音干扰都有很高的要求，相应的就要配备机房温湿度监控系统、机房温度报警器、浸水报警器、通风系统等来保障机房的安全。因而机房环境存在很多安全隐患。

（二）硬件问题

数字图书馆各类服务器、磁盘阵列、交换机、防火墙、UPS　不间断电源、空调、除湿机等设备都是7×24小时运行，工作负荷过大，其使用寿命缩短，容易造成硬件故障，导致部分设备损坏，或者是工作人员在操作过程中导致的设备损坏等。如常见的有磁盘、电源等。

（三）软件问题

软件包括系统软件和各种应用软件。这些软件在研发过程中，由于编程语言的局限性，设计时结构体系本身的缺陷，开发人员能力所限及疏忽等原因，这些软件本身就存在许多安全漏洞。黑客就可以利用这些漏洞，绕过安全机制，进行网络攻击，破坏和窃取数据资料，甚至破坏整个系统，导致数据丢失和系统瘫痪。

（四）人为问题

目前，国内数字图书馆系统管理员大多数都是高校毕业后就到图书馆工作，没有受过系统、科学的实战技术和安全管理培训，专业技术不精，缺乏专业的信息安全素养，在工作过程中容易操作失误，面对各种复杂的安全问题常常束手无策，对安全防范容易疏忽等。

其次，数字图书馆信息安全管理制度不健全，缺乏严格、细致、有效的安全管理规定，重技术，轻管理，岗位职责不明确，安全管理滞后于技术发展，导致事故频繁发生。

（五）病毒及黑客问题

计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码，具有破坏性、复制性、隐蔽性和传染性。数字图书馆的资源依赖于计算机技术、网络通信技术和数字技术，为网上成千上万的用户共享，用户可远程访问、获得所需的珍贵资料。因此，也为计算机病毒的传播提供了便利条件。

随着计算机技术和网络通信技术的发展，黑客攻击活动日益猖獗，数字化图书馆的开放式、共享性及网络化环境，加上软件自身存在的安全漏洞，系统管理员的疏于防范等，成为黑客屡屡攻击得手的原因。

三、数字图书馆信息安全防护策略

（一）制定严格有效的安全管理制度

在数字图书馆信息安全的建设过程中，技术与制度二者是相辅相成的，技术是一种硬手段，是基础；制度是一种规范性的软手段，是保障。

制定严格、细致、有效的安全管理制度，明确岗位职责，规范工作行为，健全信息安全监督审查机制，对工作人员进行常态化安全教育培训，增强制度执行力。只有这样，才能确保安全管理制度不流于形式，信息安全监督审查落到实处。

（二）良好的机房环境

机房的建设要按国家现行有关标准、规范实施，机房应铺设抗静电活动地板，地板支架要接地，预留排水口。必须满足计算机等各种微机电子设备和工作人员对温度、湿度、洁净度、电磁场强度、噪音干扰、防水、防火、防震、防雷、防盗、防漏和接地等的要求。要配齐供配电系统、浸水报警器、应急照明、UPS不间断电源系统、空调系统、新风换气系统、气体式灭火器、消防报警系统、防盗报警系统、防雷接地系统等。

（三）防火墙技术

防火墙指的是在内部网和外部网之间、专用网与公共网之间构造的一个由软件和硬件设备组合而成的保护屏障。它能实现内网与外网、内网与内网之间风险的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响，是抵御黑客入侵和防止未授权访问的有效手段之一。

（四）入侵檢测或流量分析技术

入侵检测系统（IDS）通过对网络或系统中的不同关键点收集信息，分析信息，主动发现网络或系统中是否有违反安全策略的行为和遭到攻击的迹象，发出警报或采取防御措施。入侵检测系统是防火墙的重要补充，是积极主动的安全防御防御技术，提供对内部攻击、外部攻击和误操作的实时保护。

（五）数据加密及身份认证技术

数据加密就是对需要保护的信息经过加密钥匙（Encryption　key）及加密函数转换，实现信息隐藏，从而起到保护信息安全。常采用的方法有链路加密、节点加密和端到端加密。身份认证就是对网络中各种应用的相关权限进行鉴别，阻止非法用户访问系统。

（六）数据备份技术

数据备份是容灾的基础，是为防止无法预料的结果导致数据丢失，而将全部或部分数据集合从应用主机的硬盘或阵列复制到其它的存储介质的过程。数据备份包括系统和数据备份，常见的备份策略有：完全备份、增量备份和差分备份。按操作方式又可分为离线备份和在线备份。图书馆应按照数据的价值划分类别，对不同类别的数据进行不同等级的备份。

四、结束语

数字图书馆信息安全是其向读者提供稳定、持续服务的重要保证，随着计算机技术、网络通信技术的飞速发展，信息安全问题越来越突出，各种病毒泛滥，网络攻击常态化等。因此，图书馆工作人员必须提升自身技术水平，提高安全防范意识，健全安全保障机制，才能为读者提供一个安全、稳定的学习环境。

参考文献：

[1]郝玉洁．信息安全概论[M]．成都：电子科技大学出版社．2007：2．

[2]孟朝辉．论数字图书馆的知识管理[D].[硕士学位论文]．湖南：湘潭大学，管理学院，2003．

[3]薛静锋．入侵检测技术[M]．北京：机械工业出版社．2004：6．

企业云平台安全防护策略研究 第7篇

在企业云服务平台中, 系统用户和信息资源高度集中、业务逻辑关系十分复杂, 所以对用户数据的存储、传输和处理的安全防护显得十分必要。在制度规范的框架下, 根据信息资源的安全等级为基础进行安全域划分, 依权限对用户及资源进行管理是企业云平台安全防护的通用做法。首先将用户接入、网络传输和业务应用从安全域的角度划分为用户安全域、网络安全域和计算安全域, 从制度和规范化角度去进行权限的划分和资源的分类。然后以用户为核心, 通过整合身份识别、权限绑定和策略下发, 将安全域相关的制度和规范进行技术转换。通过将安全策略下发至各种安全设备和安全系统, 从物理安全、主机安全、网络安全、应用安全和数据安全五个方面来保障云平台在存储、传输和处理信息过程中的安全性、完整性、可用性和可靠性。

2 整体安全防护

企业云平台的安全域, 根据应用类型划分成不同级别的计算安全域, 根据不同计算安全域对应的用户群体划分成不同级别的用户安全域, 根据应用和用户在网络承载方面的要求划分成不同级别的网络安全域。另外, 按照物理安全、传输安全、运行安全和数据安全四个方面进行安全防护设计, 其中物理安全由云平台数据中心来提供;传输安全从链路选择、链路加密等方面进行设计;运行安全从网络、主机、应用三个层面进行安全运行防护, 防护的措施主要包括边界执行点部署、安全检测、安全监控、安全策略执行、安全事件处理、安全审计等方面;数据安全主要通过身份鉴别、抗抵赖、访问控制、数据库备份和审计等方面来实现。

2.1 安全域的划分

对企业应用系统安全域的正确划分是保障系统安全的重要措施。当前, 安全域的划分主要从用户、网络和应用三个层面来设计, 并且三个层面安全防护相互关联, 由统一的安全策略来管理。

1) 用户安全域。根据计算安全域的划分, 可以将用户也进行关联区分。首先是使用专网计算安全域业务的用户, 通过网络层的身份认证和安全检测来进行防护;对于使用公网计算安全域业务的用户, 则通过业务系统自身的认证功能来进行防护。

2) 网络安全域。企业的云计算网络都会被分成专网区域和公网区域, 但是业务应用、用户接入都是按照云平台的方式来设计的, 因此不能单纯的从应用和用户的角度来区分网络的安全域。在这里依据云计算基础网络承载的线路类型, 可以将关系到整个云平台正常运行的数据中心网络作为独立网络安全域进行建设, 而对于仅涉及到部分用户或者部分业务应用专线、互联网等云平台外部网络作为独立网络安全域进行建设。

3) 计算安全域。一般来说, 企业完整的应用系统会分为内部业务和外部业务。内部业务由于其涉及到的业务范围面较广, 业务的重要程度较高, 因此设计成独立计算安全域。由于内部业务应用仍然有不同的安全防护需求, 因而内部业务安全域划分需要进一步细化。而外部业务虽然其涉及到的业务范围很广, 但是其业务内容主要是提供一些信息查询服务, 业务重要程度相对较低, 所以设计成低级别防护计算安全域。

2.2 安全防护的划分

从整体上看, 企业云平台的安全防护分成权限授权、边界防护、数据审计、业务防护四个层次, 关联过程描述如下:

1) 权限授权。权限授权的策略执行点为核心防火墙。当用户接入到云平台数据中心, 并通过了边界安全检测后, 由防火墙划分访问的权限, 实现不同的用户安全域对不同的计算安全域访问, 同时为了能够将访问权限下发到个人, 在这里防火墙的授权要和安全认证系统进行联动。

2) 边界防护。网络边界防护分为外部网络边界防护和内部服务边界防护。外部网络边界防护的策略执行点为出口防火墙, 由于广域网和云平台数据中心内部网络属于不同的网络安全域, 因此, 用户从广域网进入云平台数据中心时需要通过出口防火墙的安全检测。另外, 属于内网的用户安全域和互联网的公共用户安全域在广域网的边界也需要部署边界防火墙, 为了能够将安全事件定位到个人, 在这里防火墙的安全策略要和安全身份认证系统进行联动, 实现安全域访问控制、域间安全规则控制和自由跳转。内部业务服务器需要根据不同的安全级别进行边界隔离。

3) 数据审计。数据库审计的策略执行点为数据库审计系统, 当用户通过应用系统访问数据库时, 数据库审计系统能够记录访问及操作行为。同时为了符合信息安全系统等级保护的相关要求, 需要通过安全身份认证系统来实现关键业务数据的实名审计。

4) 业务防护。业务防护的策略执行点为虚拟专用网网关、We b应用防护和入侵检测系统。当一些个人和机构通过互联网的拨号接入云平台时, 虚拟专用网网关提供安全远程接入业务, 在这里需要通过虚拟专用网网关与安全身份认证系统联动, 实现虚拟专用网帐号与用户身份帐号统一, 避免进行多次身份认证。对于基于互联网的公网的防护, 主要集中在门户网站等公共服务业务上, 因此, 需要针对公网业务配置专门的Web应用防护策略。以上四个层次的安全防护中, 安全防护策略执行点都会与安全身份认证及管理系统联动, 通过统一的策略配置、动态下发来确保云平台安全防护的完整性和有效性。

3 统一安全策略管理

在云平台的安全防护体系中, 为了消除各个硬件设备在安全防护功能上的“安全孤岛”, 需要在各安全设备和系统之间建立必要的关联。因此在企业云平台建设中, 要部署统一的安全策略管理平台和以用户身份为核心的整体安全防护体系。安全管理平台将用户与应用访问权限进行绑定, 然后将定义好的不同类型安全策略下发到各个安全设备上执行, 以此来对用户访问应用系统的整个过程进行防护和控制。这种全局层面的安全防护体系, 在降低了安全防护策略部署难度基础上, 大大消除各安全设备由于自身技术原因和功能限制而产生的安全漏洞, 便于更好地将相关的信息系统操作制度进行技术落地。

4 结束语

本文从应用、用户、网络三个层面对企业云平台网络安全域进行划分, 从边界防护、权限授权、数据审计、业务防护四个层面做了安全防护策略方面的研究, 对企业建立基于云计算的应用系统安全防护有十分重要的意义。

摘要：近年来, 云计算技术在企业信息化建设中得到了广泛应用。同时, 随之而来的是技术应用及信息资源共享与信息安全问题之间的矛盾日益突出。这就需要通过一定的安全防护策略防止企业关键信息丢失、被窃取和被破坏, 保证云平台安全管理和访问控制机制符合企业的安全需求, 避免云平台多用户和海量资源共存带来的潜在风险和安全隐患。本文即针对企业云平台安全的相关防护策略进行研究探讨。

关键词：企业信息化,云计算,安全域,安全策略

参考文献

[1]冯登国, 张敏, 张妍, 徐震.云计算安全研究[J].软件学报, 2011.

[2]冉旭, 钟鸣, 程放, 许勇, 刘佳.云计算安全防护体系研究[J].信息通信, 2013.

对于信息系统安全防护策略的分析 第8篇

一、信息系统面临的安全问题

信息安全问题对于个人、企业乃至整个国家都具有十分重要的影响, 信息系统内部的数据、信息资源一旦被窃取, 将会带来无法估量的损失。对于企业信息系统来说, 安全隐患不仅仅存在于外部互联网中, 在企业内部的管理系统中也同样存在着安全防护问题。在许多情况下, 企业内部管理网络与外部互联网之间联系密切, 内部管理信息系统受到的安全威胁要远远大于外部系统。企业经营发展的关键性数据资料一般都存储在企业内部管理系统中, 这就导致企业内部信息系统是外来入侵者攻击的重点对象, 病毒、木马、恶意软件等多种形式的安全隐患都影响着信息系统的安全与可靠性[1]。

对于整个国家来说, 网络信息系统安全关系到国家安全、社会稳定, 特别是在全球发展网络化、信息化、一体化的背景下, 信息系统的安全问题受到各国的普遍重视。信息系统安全问题涉及到计算机科学、网络技术、通信技术以及安全防护技术等多个领域, 因此实际的信息系统安全防护工作具有一定的复杂性和艰巨性。国家信息管理系统中大都存储有与国家政策方针联系紧密的数据信息资源, 难免会受到一些恶性攻击, 这些敏感信息一旦泄露将会对我国的国际地位产生严重影响。对于个体使用者来说, 信息系统的安全问题直接关系到自身的隐私信息以及实际利益, 这也是广大信息系统使用者关注安全防护问题的根本原因。

二、信息系统安全防护具体策略分析

1、建立完善的法律法规制度, 强化网络信息安全监督管理机制

完善有效的法律法规制度是保障信息系统安全的重要依据和保障, 只有网络信息系统安全防护受到相关法律法规制度的支持与管理, 安全防护问题才能从根本上得到解决。国家必须要加强对网络信息系统安全工作的重视程度, 安全部门制定科学合理的技术标准与操作规范, 保证行业标准中的关于网络信息安全的相关内容认真贯彻落实。强化网络信息安全管理机制, 不管是国家安全防护部门还是企业安全管理部门都需要强化安全管理意识, 改善安全管理机制, 完善对信息系统安全性能的考核与监督维护。完善网络信息安全监督管理机制, 建立相对完善的监督跟踪体系, 没有访问权限的用户闯入信息系统之后, 应进行严格的监督和跟踪, 防止信息系统内部资料数据外泄。

2、完善信息系统安全防护体系建设

信息系统安全防护体系建设包括防火墙隔离技术、网络设备控制技术、路由器控制技术以及安全入口接入控制等方面。具体来说, 防火墙隔离技术是通过设置防火墙安全对内部管理信息系统与外部网络开放程度进行控制的过程, 能够有效地防止外界病毒、木马程序等不安全因素的入侵。网络设备控制主要是指接口设备的安全性设置, 对一些存在有安全隐患的服务进行选择性的关闭, 确保接入信息系统的终端设备都是安全、可信的。对于一些信息系统中存储的重要资料或者敏感信息, 应该加强安全防护措施, 利用访问权限、设备登陆等进行多样化的防护。另外, 还可以建立网络信息系统预警监测机制, 与权限访问制度相结合, 发现不明身份或者不具有访问权限的用户进入信息系统时, 立即发出警告信号, 同时向信息系统管理者反馈信息。除此之外, 健全信息系统风险评估机制, 安全防护部门定期对信息系统管理人员进行信息安全方面的考核, 在此基础上寻找信息安全防护中存在的缺陷和漏洞, 及时采取补救措施[2]。

综上所述, 网络化信息化已经成为当今世界发展的趋势, 信息系统已经被广泛的应用于国家管理、企业经营以及人们的日常生活之中, 并且在一定程度上改变了原有的社会经济发展模式。但是, 在信息系统广泛应用的同时, 安全防护问题逐渐暴露出来, 引起了社会各界的关注。对于信息系统安全防护问题, 需要国家建立完善的法律保障机制, 各类使用者完善自身信息系统安全防护体系建设。只有这样才能真正解决安全防护问题, 才能促进信息系统取得进一步发展与完善。

参考文献

[1]邱松.计算机网络信息系统安全防护分析[J].计算机光盘软件与应用:2013 (13)

计算机网络信息安全防护策略研究 第9篇

1 计算机网络信息安全概述

1.1 计算机网络功能

计算机利用其文件传输器将信息发送者所要传递的信息通过电子邮件、微信聊天、网上通报等方式传输给信息接收者, 这就是计算机网络通讯的功能。这一功能不仅可实现用户双方甚至多方突破时间空间的限制进行交流互动, 而且对企业办公室相关文件的制作、电子的自动化带来极大便利, 大大提升企业的生产效率及人员的工作效率。此外, 计算机网络还能实现资源共享, 可将不同时间、地点的不同信息收集并进行统一归纳, 放置在一个文件中, 进行数据综合处理, 而后将处理所得的数据传送到不同计算机内, 让更多人利用这份数据。这一功能最大的优势在于, 通过资源共享降低劳动生产成本, 提高工作效率。

1.2 涵义

网络环境下信息的完整性及相关数据资料的安全性通过系统化的网络技术手段实现, 这就是计算机网络信息安全。主要任务是保证计算机硬件和软件的安全, 防止相关数据资料丢失或泄露, 使网络程序得以正常进行。保密性、可控制性、完整性及可实用性是计算机网络信息安全的重要组成要素[1]。网络信息的安全不仅与广大用户的切身利益密切相关, 而且与社会稳定、国家安全、民族的发展息息相关。因而, 有关计算机网络信息安全问题的话题广受关注。

2 防护计算机网络信息安全性的重要意义

2.1 加强我国信息技术的竞争实力

随着经济、信息等全球化的影响, 科学技术的发展愈加重要。在国际舞台上, 中国不可避免地与其他国家发生竞争。当前, 发展中国家在网络信息技术上与发达国家还存在着较大差异, 需不断引用国外先进的网络技术与软件等资源来强化国内的发展。例如, GPS定位系统在我国得到了广泛应用, 但GPS定位系统是由美国研发的, 用户在使用手机时会产生位置泄露。当国外情报组织获得众多用户的日常活动区域, 将会导致国家重要机密泄露。再加上未来国际发展趋势难以预测, 缺乏自己的定位系统势必给我国信息安全、国家安全带来重大威胁。针对此问题, 我国正大力研究北斗导航定位系统。诸如此类问题还有许多, 为了从根本上解决这些问题, 必须大力发展我国信息技术, 并保证其安全性。

2.2 维护社会稳定, 促进经济发展

和谐社会是当下社会发展的主流, 而网络信息的安全防护是实现和谐社会的重要因素。网络信息是否安全可靠、网络运行是否顺利, 通常直接影响着用户的财产安全, 甚至是人生安全。同时, 网络信息的不安全可能带来社会的动荡。例如, 手机是人们生活不可或缺的工具, 无论是通信交流还是网上购物、投资理财等都利用手机完成。这无疑让一些违法犯罪分子钻了空子, 借助手机与互联网的联合发展进行伪装, 向手机用户发送诈骗信息进行钱财诈骗。例如, 用当下非常流行的综艺节目为幌子, 谎称用户成为XX节目的场外中奖观众, 并向其提供一个网址让其进入该网址领奖, 用户进入该网址后会要求用户填写其基本信息。许多用户由于防骗意识低下, 误信诈骗短信而造成了大量财产损失。

2.3 促进我国经济的发展

由于计算机网络信息技术给人们的生活及企业的发展带来了巨大便利, 因而在企业生产与发展中得到了广泛的应用。因此, 只有保证其安全, 才能保证企业相关部门的生产活动顺利进行。一旦网络信息的安全性被破坏, 整个企业的生产可能出现混乱, 而企业的发展状况对我国经济的发展会直接产生影响[2]。例如, 现如今许多企业部门通过网上办公, 企业内网可能存储着公司的机密文件等, 但由于黑客的侵入可能使企业的核心技术被泄露, 给整个企业的发展带来巨大危害, 从而在一定程度上影响我国经济的发展。

3 存在的安全问题

3.1 防灾能力低及网络本身不稳定

计算机系统从本质上来说仅是一个智能机器, 其自身没有防治自然灾害的能力, 易受到周围环境的影响。另外, 计算机使用场所缺乏防火、防震、防电磁干扰及避雷等基础设施, 使计算机缺乏必要的保护, 容易被自然灾害破坏。同时, 互联网技术最突出的特点是具有开放性[3], 但其开放性使其成为更易被攻击的对象, 易在运行中出现数据被篡改、被截取的现象。

3.2 用户防备意识低下及恶意攻击

一些用户由于安全防范意识低下, 其通讯软件的账号及密码设置过于简单或者自己无意间泄露, 都会对其网络信息安全带来潜在威胁。也有部分用户轻信陌生讯息, 如不法分子向用户QQ邮箱发送关于其账号将被冻结的信息。用户在未对信息的来源及真实性进行核实的情况下, 便匆匆按照提示进入相关网址进行密码修改, 殊不知在修改密码填写信息时其真实信息就被不法分子盗取, 进而利用受害人QQ账号进行钱财诈骗。此外, 用户计算机网络系统还会遭受恶意攻击。网络黑客利用网络软件的漏洞和缺陷, 采用非法手段窃听、攻击侵入、获取重要信息, 进而破坏网络系统造成其瘫痪, 从而给国家机密体系带来严重威胁。

3.3 病毒侵害及垃圾邮件

计算机病毒不仅能够隐藏在数据文件及执行程序中, 并且可通过软盘、光盘、网络等途径进行传播, 其具有破坏性、传染性、潜伏性、可触发性等特点, 一旦用户在使用计算机时触发病毒, 将会造成重要文件的损害、数据的丢失、硬件系统的破坏等严重后果。例如, “熊猫烧香”病毒在2007年肆虐我国网络, 短时间内传染数以万计的计算机, 甚至导致整个网络瘫痪。另外, 一些不法分子使用电子邮件强行向他人邮箱“推入”垃圾邮件, 给大量用户造成骚扰。

4 有效防护策略

4.1 加强网络信息安全防护系统及使用环境的建设

防护系统的建设与健全, 需要在网络漏洞扫描、病毒检测、检测与审计入侵等方面加大力度。网络漏洞扫描主要包括线路的泄露窃听状况扫描、操作系统与通信协议的扫描, 以期通过扫描及时找出漏洞并进行修复;检测与审计入侵可时刻监控网络内外的情况, 当网络系统及信息面临攻击泄露时, 及时发出警报并进行拦截。此外, 还应加大计算机使用环境的建设力度, 避免计算机受到环境灾害的影响。例如, 计算机的使用环境应保持长期干燥。

4.2 提高用户的防范意识, 避免黑客的恶意攻击

网络信息安全问题的出现绝大多数是由人为因素造成的。因此, 必须加强对计算机操作者安全防范意识的教育力度。一方面可通过法律法规对网民的行为进行约束, 提升其综合素养, 避免其成为危害网络信息安全的“害人者”;另一方面, 应提高普通用户的安全防范意识, 有效避免黑客的恶意攻击。例如, 用户在使用计算机时会用到多个软件, 并且涉及多个账号及密码, 如通信软件、网上银行等, 因而用户在设置相关密码时切不可心存侥幸而设置简单的密码, 从而为不法分子提供漏洞。用户设置相关账户密码时需尽量将密码复杂化, 并且不定时进行更换。这样账户密码不易被破解, 在提高账户安全性的前提下能够很好地保护自己的资料。

4.3 安装并不断升级杀毒软件

多数网民会选择安装杀毒软件来防护计算机网络信息安全。杀毒软件不仅能对病毒进行查杀, 还能有效抵御一些黑客程序入侵计算机。一般来说, 杀毒软件能对用户信息的安全性起到很好的防护。例如, 用户在使用支付宝时会提示用户安装支付安全插件, 检测支付环境, 从而很好地保护用户的资金。另外, 杀毒软件在使用过程中需不断进行更新、升级, 以满足用户查杀病毒的要求。

5 结语

在网络技术飞速发展的背景下, 网络信息安全面临更多更复杂的威胁。只有不断完善防护策略, 计算机网络信息安全才能得以保障。因此, 相关科研人员需不断探索更多防护路径, 真正建立起高安全性的防护体系。

摘要：随着时代的进步与经济的发展, 计算机网络技术迅速发展, 为人们的生产生活提供了极大便利, 为社会的发展与进步带来了强大的动力支持。与此同时, 计算机网络信息也出现了许多不安全因素, 严重威胁着广大用户的资金、信息安全等。这就要求广大科研人员联系实际问题进行探索, 加大科研力度, 保障用户信息的安全。文章重点结合社会现实, 分析当下计算机网络信息存在的问题, 并提出富有针对性的解决措施, 以期提升其安全性。

关键词：计算机,网络信息安全,防护

参考文献

[1]林法.计算机网络信息安全及防护策略研究[J].网络安全技术与应用, 2014 (1) :104, 106.

[2]王磊.关于计算机网络信息安全及防护策略探究[J].电脑知识与技术, 2014 (19) :4414-4416.

安全防护策略 第10篇

1 网络信息安全内容

网络信息安全是指网络系统的软件和系统中保存的数据, 不会因为偶然或恶意的原因而遭到更改、破坏、泄露, 系统能够连续、正常和可靠的运行, 网络服务器连接不中断。网络信息一般受到的安全威胁分为恶意破坏和偶然的两种, 一是恶意破坏, 又包括主动和被动两类, 创建错误的数据流或修改数据流称之为主动攻击, 它包括捏造、截取、中断、假冒, 重放、修改, 拒绝服务和修改信息等根据计算机网络所面临的威胁, 被动攻击主要是监视传送或偷听。它主要是获得正在传送的信息, 被动攻击有通信量分析和泄露信息内容等。计算机网络的安全工作主要集中在四个方面:鉴别、保密、访问控制、病毒防范。

2 构建网络信息的安全防护体系的策略

2.1 加强网络安全的层次模型

ISO定义了OSI/RM七层网络参考模型, 每一层的网络的功能都不同。从安全角度来说, 各层能够提供一定的安全保护手段, 但对不同层次所采取的措施又是不一样的。能够单独提供全部的网络安全服务目前还是没有哪个层次可以完全做到的, 每个层次都有自己单独的功能。

2.2 加强网络防火墙的功能

网络层防火墙可视为一种IP封包过滤器, 运作在底层的TCP/IP协议堆栈上。防火墙是一个分离器, 一个限制器, 也是一个分析器, 有效地监控了内部网和Internet之间的任何活动, 保证了内部网络的安全。在互联网上, 它可以隔离安全区域和风险区域的连接, 确保内部网络不受攻击。通过网络防火墙可做到:封堵某些禁止的业务;过滤进出的数据;管理进出的访问行为;对网络攻击进行检测和报警;记录通过防火墙的信息内容和活动。

2.3 加强杀毒软件的安装

安装杀毒软件, 也可以很好的保护网络信息的安全。杀毒软件, 也可以称作防毒软件或是反病毒软件, 是用于查杀电脑病毒、特洛伊木马、恶意软件的一类安全防护软件。杀毒软件通常集成实时监控与识别、病毒扫描和清除、自动升级等多种功能于一体, 有的杀毒软件还带有数据恢复等功能, 是计算机防御系统 (包含防火墙, 杀毒软件, 特洛伊木马和其他恶意软件的查杀程序, 入侵预防系统等) 的重要组成部分。

2.4 加强虚拟专用网络

虚拟专用网络包括三种技术:隧道技术, 加解密技术, 密钥管理技术。隧道技术是指使用隧道传递的数据可以是不同协议的数据帧或包。隧道技术允许授权的移动用户或已授权的用户, 不限时间, 不限IP访问企业网络数据信息。加解密技术是一项比较成熟的数据通信。在公共互联网络中传递数据, 必须实行加密技术, 已确保用户未授权不可以读取该网络信息。密钥管理技术的主要作用是防止在网上传递的数据不被窃取。目前的密钥管理技术分为ISAKMP/0A-KI EY和SKIP两类。ISAKMP/0AKI EY有公用和私用的两把。SKIP则是在网络上传输密钥。

2.5 加强网络信息安全机制的完善

网络信息的安全机制, 是从技术和管理上保证网络的安全获得准确完整的实现, 安全网络信息得以满足。网络安全机制建设的完善, 包含网络数字签名机制, 安全加密机制, 数据完整性机制, 访问控制机制, 鉴别交换机制, 通信业务流填充机制, 公证机制, 路由控制, 公证机制。

2.6 加强网络安全管理

目前, 相关数据显示, 60%以上的信息安全问题是由于管理方面的原因引起的。网络信息系统的安全管理有三个原则:职责分离原则、任期有限原则和多人负责原则。提升内部网络管理人员的监督意识, 加强使用人员的安全意识, 对系统资源设置计算机系统常用口令。网络管理员根据自己的职责权限, 设置不同的口令, 对系统的程序和数据进行合法操作, 同时也防止用户非法访问和使用网络资源。

2.7 加强法律法规的宣传

据统计, 现在我国关于国际国内信息安全的标准大约有一百多条。网络信息安全标准是信息安全保障体系的依据, 是政府进行宏观调控的重要保障。信息安全不仅是保护国家和人民的安全, 它更是维护国家和人民利益的一种重要手段。它可以实现产品的互相联接和互操作性, 保证网络安全产品的可信度。如今关于网络引起的问题数不胜数, 利用网络违法犯罪的行为也时有发生, 为网络纠纷闹到法庭的也有, 为了给网络一个安全健康的空间, 维护国家和公共利益, 要加强法律法规的宣传, 利用法律手段和有效途径, 规范社会上各种有害网络安全的行为。要防止和杜绝网络违法与有害信息的肆意猖獗, 制止网络犯罪。

2.8 加强操作系统内核

传统的基于知识库和特征库往往无法识别新生的病毒与未知的攻击手段, 对于这种病毒的入侵很容易造成系统瘫痪。因此, 网络信息的安全要通过构建安全的操作系统来保障其安全、便捷地运行。建立完整的、动态的安全体系, 必须不断加强原有操作系统内核的坚固性, 以此来增强计算机中断和重要服务器安全性。操作系统内核是主机和终端的内核级安全加固防护, 通过加强认证、加强访问限制和分权管理的安全方式来进行管理。对网络信息中的不安全因素实施控制, 构建一个安全的操作系统内核, 这样可以有效的防止操作系统关键资源的破坏, 提高了对新生病毒和未知攻击的防范与打击力度。

3 结束语

当今社会是网络信息的社会, 而通过网络传输信息是当今社会生活的一项重要手段。网络信息安全防护指的是整个信息系统的安全, 随着科技的愈加先进, 使用的愈加频繁, 许多围绕着网络而产生的工具是层出不穷, 网络数据信息的安全受到了来自网络攻击的威胁。信息安全防护是整个信息系统的安全卫士, 因此, 切实做好网络的安全防护体系, 是现下工作的当务之急。

参考文献

[1]马贵峰, 马巨革.构建网络信息安全防护体系的思路及方法—浅谈网络信息安全的重要发展方向[J].信息系统工程, 2010, (6) :55-56.[1]马贵峰, 马巨革.构建网络信息安全防护体系的思路及方法—浅谈网络信息安全的重要发展方向[J].信息系统工程, 2010, (6) :55-56.

[2]刘强.刍议网络信息防护体系的构建[J].华南金融电脑, 2007, 15 (5) :83-85.[2]刘强.刍议网络信息防护体系的构建[J].华南金融电脑, 2007, 15 (5) :83-85.

[3]彭珺, 高珺.计算机网络信息安全及防护策略研究[J].计算机与数字工程, 2011, 39 (1) :121-124, 178.[3]彭珺, 高珺.计算机网络信息安全及防护策略研究[J].计算机与数字工程, 2011, 39 (1) :121-124, 178.

基于端口检测的路由器安全防护策略 第11篇

关键词：端口 端口检测 路由器 安全防护策略

中图分类号：TP393.08 文献标识码：B 文章编号：1673-8454（2008）19-0043-02

一、引言

在网络与信息时代，入侵与入侵检测是一对永恒的矛盾。非法入侵的方式一般有两种：扫描端口，通过已知的系统Bug攻入主机；种植木马，利用木马开辟的后门进入主机。这两种非法入侵方式有一个共同点，就是通过端口进入主机。

基于端口的入侵检测是针对第一种非法入侵方式而采取的主机入侵检测中最重要的一种，大部分的计算机入侵都是从端口扫描开始的，所以基于端口的入侵检测是防止入侵的第一步，也是关键的一步。

二、端口的概念和分类

在计算机领域，端口（Port）有两种意思：一是硬件领域中的端口，又称接口，它是CPU与外设信息交换的桥梁；二是指TCP/IP协议中的端口，它是一种抽象的软件结构，包括一些数据结构和I/O缓冲区。如果把IP地址比作一间房子，端口就是出入这间房子的门，真正的房子只有几个门，但是一个IP地址的端口可以有65536个之多，端口是通过端口号来标记的，端口号只有整数，范围是从0到65535。我们常用的FTP默认端口为21，而WWW网页一般默认端口是80。那么，只要我们把自己用不到的端口全部封锁起来，就杜绝了一般的非法入侵。

计算机网络中的通信实际上是应用进程之间的通信，一台计算机中可能同时有多个应用进程在通信，通过IP地址可以找到目的主机，但是还不能确定应该将数据送给目的主机的哪一个应用进程，所以需要通过端口号来区分不同的应用进程，每一种网络服务都与一个端口相对应。两种常见的端口分类：

1.按协议类型划分

按端口所采用的协议类型划分，主要分为TCP和UDP。（1）TCP端口：即传输控制协议端口，需要在客户端和服务器之间建立连接，这样可以提供可靠的数据传输。（2）UDP端口：即用户数据包协议端口，无需在客户端和服务器之间建立连接，安全性得不到保障。

虽然他们都用正整数标识，但这并不会引起歧义，比如TCP的80端口和UDP的80端口，因为数据报在标明端口的同时，还将标明端口的类型。

2.按端口的分配划分

固定端口。使用集中式管理机制，即服从一个管理机构对端口的指派，这个机构负责发布这些指派，范围从0到1023。由于这些端口捆绑于一些服务，所以我们会经常扫描这些端口来判断对方是否开启了这些服务，比如TCP的21端口分配给FTP服务，25端口分配给SMTP（简单邮件传输协议）服务，80端口分配给HTTP服务，135端口分配给RPC（远程过程调用）服务等等。

动态端口。动态端口的范围从1024到49151，这些端口号一般不固定分配给某个服务，操作系统将这些端口动态地分配给各个进程，同一进程两次分配有可能分配到不同的端口。只要运行的程序向系统提出访问网络的申请，那么系统就可以从这些端口号中分配一个供该程序使用。动态端口常常被病毒木马程序所利用，如冰河默认连接端口是7626等等。

三、病毒常用端口列表

基于端口的入侵是黑客们常用的的手法，其工作过程是通过远程扫描技术，反复不断地扫描目标主机的端口，通过检测目标主机不同TCP/IP端口的服务，记录目标主机给予的不同回答，进而搜集到目标主机上的各种信息，互联网上常见的病毒攻击的端口如表1所示。

四、端口状态检测的方法

一般来说，如果一个系统（或主机）负荷突然升高甚至失去响应，可以使用Netstat命令来查看端口的连接情况，进而发现病毒是通过哪些端口侵入计算机。Netstat辅以不同的参数用于显示网络连接、路由表和网络接口信息，可以让用户得知目前都有哪些网络连接正在运作。

在命令提示符状态下键入“netstat -a”，按下回车键后就可以看到以数字形式显示的TCP和UDP连接的端口号及状态。键入“netstat -n”，按下回车键后以数字格式显示地址和端口号（而不是尝试查找名称）。

五、创建基于端口的路由器安全防范策略

1.防止外部IP地址欺骗

外部网络的用户可能会使用内部网的合法IP地址或者回环地址作为源地址，从而实现非法访问。非法访问者对内部网络发起攻击前，往往会用ping或其他命令探测网络，所以可以通过禁止从外部用ping等命令来进行防范。取消远程用户接收ping请求的应答能力，就更容易避开那些无人注意的扫描活动或者防御那些寻找容易攻击的目标的“脚本小子”，这样做实际上并不能保护网络不受攻击，但是，这将使网络不太可能成为攻击目标。

同时，可以建立准许进入和外出的地址过滤政策。除了特殊的案例之外，所有试图从你的网络内部访问互联网的IP地址都应该有一个分配给你的局域网的地址，例如，192.168.1.2这个地址也许通过这个路由器访问互联网是合法的。但是，125.223.68.99这个地址很可能是欺骗性的，并且是一场攻击的一部分。相反，来自互联网外部的通信的源地址应该不是你的内部网络的一部分，因此，应该封锁入网的192.168.X.X、172.16.X.X和10.X.X.X等地址。最后，拥有源地址的通信或者保留的和无法路由的目标地址的所有的通信都应该允许通过这台路由器，这包括回送地址127.0.0.1或者E类地址段240.0.0.0至254.255.255.255。

针对此类问题可以在外部接口的向内方向使用101过滤。

可参考建立如下访问列表：

（１）阻止源地址为私有地址的所有通信流

access-list 101 deny ip 10.0.0.0 0.255.255.255 any

access-list 101 deny ip 192.168.0.0 0.0.255.255 any

access-list 101 deny ip 172.16.0.0 0.0.255.255 any

（２）阻止源地址为回环地址的所有通信流

access-list 101 deny ip 127.0.0.0 0.255.255.255 any

（３）阻止源地址为多目的地址的所有通信流

access-list 101 deny ip 224.0.0.0 7.255.255.255 any

（４）阻止没有列出源地址的通信流

access-list 101 deny ip host 0.0.0.0 any

2.防止外部的非法探测

可在外部接口的向外方向使用102过滤。在这里主要是阻止答复输出，不阻止探测进入。可建立如下访问列表：

（１）阻止用ｐｉｎｇ探测网络

ａｃｃｅｓｓ－ｌｉｓｔ １０２ ｄｅｎｙ ｉｃｍｐ ａｎｙ ａｎｙ ｅｃｈｏ

（２）阻止用ｔｒａｃｅｒｏｕｔｅ探测网络

ａｃｃｅｓｓ－ｌｉｓｔ １０２ ｄｅｎｙ ｉｃｍｐ ａｎｙ ａｎｙ ｔｉｍｅ－ｅｘｃｅｅｄｅｄ

（３）拒绝内部病毒通过路由器对外部扫描做出答复

access-list 102 deny tcp any any eq 139

access-list 102 deny tcp any any eq 593

access-list 102 deny tcp any any eq 1434

…

3.保护路由器不受攻击

路由器一般可以通过telnet或SNMP访问，应该确保Internet上没有人能用这些协议攻击路由器。可以生成阻止telnet、SNMP服务的向内过滤保护路由器。在外部接口的向内方向使用101过滤。假定路由器外部接口interface GigabitEthernet0的IP为 125.223.68.1，内部接口的IP为192.168.1.1，可参考建立如下访问列表：

access-list 101 deny tcp any 125.223.68.1 0.0.0.0 eq 23

access-list 101 deny tcp any 125.223.68.1 0.0.0.0 eq 23

access-list 101 deny udp any 125.223.68.1 0.0.0.0 eq 161

access-list 101 deny udp any 125.223.68.1 0.0.0.0 eq 161

4.阻止对关键端口的非法访问

关键端口可能是内部系统使用的端口或者是防火墙本身暴露的端口。对这些端口的访问应该加以限制，否则这些设备就很容易受到攻击。建立如下访问列表：

access-list 101 deny tcp any any eq 135

access-list 101 deny tcp any any eq 137

access-list 101 deny tcp any any eq 138

…

IT系统安全防护策略分析与研究 第12篇

随着企业IT支撑系统的逐步建设,IT系统已融入企业生产和管理的各个方面,对企业的正常运行的影响也越来越大。但是,伴随着网络规模的不断扩大和在网络上运行的业务系统的增多,相关的安全问题也日益严重,通过网络影响业务系统的活动所使用的技术手段越来越高明。系统网络面临各种安全威胁,特别是侵入与攻击事件的发生,会给企业造成极大的经济损失。

2 系统安全威胁分析

目前威胁IT系统安全的因素主要包括病毒侵袭、黑客攻击等。

2.1 病毒传播

随着网络技术的日益发展,病毒技术也在不断发展提高,病毒的传播途径越来越广,传播速度越来越快,造成的危害也越来越大,病毒已经严重威胁着业务支撑系统的安全。尤其近期病毒日益向网络化和多样化发展,业务支撑系统中任何一个节点病毒疫情爆发,将波及到网络中其它所有节点,从而影响整个网络的正常运行。

2.2 黑客攻击

暴露于网络中的IT系统经常存在很多漏洞,由于部分用户和管理人员的安全意识不强,同时,黑客攻击的手段在不断变更,攻击水平飞速提高,计算机犯罪和非法入侵攻击对企业造成的危害极其严重。通过因特网侵入他国重要部门计算机系统的事例已屡见不鲜,黑客攻击已经逐渐成为将来信息战的一种重要手段。

3 系统安全防护原则

安全域划分与边界整合是安全工作的基础。安全域的划分,就是从安全角度将系统划分成不同的区域,以便实行分门别类的防护。根据等级保护的要求,确定各安全域的保护等级,并部署相应安全手段。安全域调整的基本原则有几点。

分区域保护原则:应根据各业务的不同重要性,划分多个具有不同安全保护等级的安全域,实现不同强度保护;安全域内的系统应具有相同或者相近的保护等级,实施统一的安全策略管理。

重点保护原则:在分区域保护原则基础上,对于其中某些系统设备由于其存储数据的性质、或者由于其承载的业务非常关键,应得到重点的保护。应集中资源首先确保重点应用安全,安全需求高安全域的重要应用优先保护。

相互信任原则:属于同一安全域内的系统应互相信任,也就是说即使保护需求相同,如果属于不同的系统而且互不信任,也不应该纳入同一安全域进行保护,“信任”是一个相对的概念。

可行性、可靠性原则:安全系统的方案设计和系统设计,应满足可用性、高性能及高可靠性要求,保证在采用安全防护手段之后,不会对现有网络和业务系统有大的影响,在保证网络和业务系统正常运转的前提下,提供最优安全保证;同时安全解决方案应具有良好的扩展性,能适应将来的发展。

4 系统安全防护策略

为实现上述安全防护原则,可根据系统体系架构和承载业务不同,将整个IT业务系统划分为多个安全区域,不同的安全区域采用不同的安全策略,实现安全等级防护。

4.1 安全域划分

以核心IT业务系统为例,说明安全域划分和防护策略。系统可主要划分为核心域和接入域两个安全域,再根据安全域内部的不同业务类型安全需求采取不同的安全策略,部署相应的安全设备,以实现整体系统的安全。

核心域中承载系统核心数据和业务,包括系统核心主机、网管系统、客服系统等,其安全级别最高的,是系统安全的首要考虑的防护对象。接入域包括内部接口域和外部接口域两大部分,其中内部接口域是指本系统和本企业内部其他IT系统间的接口;外部接口域是指和银行、互联网等外部系统的接口。

接入域虽然安全防护级别相对核心域较低,但由于其和外部进行大量数据交互,是外部恶意攻击的重要途径,因此其安全性也非常重要,是防护内部系统安全的的重要屏障。

4.2 安全防护措施

安全防护主要包括安全域技术改造和安全加固二部分内容。

安全域技术改造部分包括根据安全防护要求进行系统核心域、接口域的的安全域构建和系统网络架构调整等内容,将系统设备根据业务和安全防护要求分别划分到相对独立的安全子域中去。

对系统进行安全加固时,可分两步进行。一是对现有系统的安全加固,采用先进的技术手段对核心业务系统中的主机、操作系统、数据库、网络设备进行安全评估,查找系统安全漏洞,并针对发现的安全漏洞进行修补加固。二是针对现有系统安全防火措施的不足增加新的安全设备,并制定全面完善的维护和操作安全管理流程和规范,通过访问控制策略调查制定新的安全域访问控制策略。

4.2.1 防火墙的设置

在接口子域采用双层异构防火墙部署,在与外部接口的交换机两侧分别部署不同厂商的防火墙设备,将与外部通信的网络交换机放置在两层防火墙之间,在双层防火墙间的交换机上部署接口服务器,用于处理系统和其他系统的业务和数据交互。

交换机和防火墙都采用主备高可用布署方式,同时在防火墙上进行相应的安全设置,建立访问控制列表(ACL)和安全过滤策略,限制外部非法系统的接入。

4.2.2 部署网络防毒墙设备

在系统内部部署网络防毒墙用来抵挡和阻断网络蠕虫和病毒的传播。网络防毒墙具备针对网络蠕虫、病毒等特征码的检测功能,用来监控整个网络的病毒行为。防毒墙的病毒扫描引擎结合了启发式扫描等多种技术,能够检测已知的和尚未开发出特征码的新病毒,还可对垃圾邮件进行识别和处理。网络防毒墙是终端防病毒软件的重要补充,两者结合能最大程度消灭网络病毒,净化内部系统和网络。

4.2.3 部署网页防篡改系统

随着企业业务发展的需要,各种互联网应用日益增多。网上营业厅、自助服务平台等通过互联网提供服务的业务也日益普及,大量系统均采用了B/S架构,为防御黑客对业务系统网页的进行篡改,确保客户账户和密码安全,需要部署专门的网页防篡改系统来保护网页和保障业务系统的安全。

网页防篡改系统通过采用实时阻断技术,加载网页篡改检测引擎,能够有效阻断非授权人员或系统对网页内容的篡改;在发现网页内容被非法篡改时,通过事件触发技术,能够瞬间清除被非法篡改的网页,将网页恢复正常;在客户访问系统时,能够确保每个对外发送的网页的正确性。

部署网页防篡改系统,能实现网站监控与恢复、网页发布与同步、受攻击报警、网页维护日志、系统备份功能,还可进行用户认证、篡改分析和审计,并可以根据需要灵活构建复杂的网站防护系统。

4.3.4 部署入侵检测系统

在内部接口域和外部接口域部署入侵检测设备,通过对网络流量的镜像监听来发现网络中的异常行为。对防火墙进入子系统的数据进行监测,把防火墙与交换机之间的通讯端口镜像到入侵检测设备的监听端口,实现对子系统防火墙之间的通讯数据进行监控的功能。

入侵检测系统在发现入侵或异常行为后,可提供控制台报警、邮件报警、声音报警以及短消息报警、切断会话等多种报警方式。能够与路由器、防火墙等网络及安全设备进行联动,组成联合防御体系,解决入侵检测信息孤岛问题。

此外,入侵检测探测器还能够发现并记录网络中常用的敏感信息,帮助管理员发现内部的网络滥用行为;能够对常用的应用协议(HTTP、FTP、SMTP、POP3、TELNET)进行内容恢复,并按照相应的协议格式完整展现,清楚展现入侵者的攻击过程,重现内部网络资源滥用时泄漏的保密信息内容。

5 安全防护实施风险控制

在进行IT业务系统安全域划分以及安全产品部署和安全策略实施的过程中,一定要把对业务系统的影响降到最小,把风险降到最低。

在操作实施前,应制定完善细致的操作步骤和实施方案,考虑各种可能出现的问题,制定相应的应急预案和回退机制。在操作时间的选择上,要尽量避开业务高峰时段,如在凌晨进行工程实施,使加固行为对业务的影响降到最低。进行操作前,对系统的重要数据和操作系统以及系统配置信息进行备份,对操作流程进行测试验证,确保操作安全有效。在操作过程中,操作人员应严格按照既定流程操作,并由专人对所有操作进行严格复查,确保没有缺少或者多余的操作,以防误操作对被加固设备带来不良影响。

摘要：本文对IT系统面临的安全威胁进行了分析,对IT系统整体架构进行了安全域划分,制定了各个系统子域的建设和安全策略,建立更加安全的系统网络架构,提高系统的安全防护能力。

关键词：系统安全,安全威胁,安全策略,网络可靠性

参考文献

[1]刘化君.网络安全技术[M].北京:人民邮电出版社,2010.

[2]张玉清.网络攻击与防御技术[M].北京:清华大学出版社,2011.

[3]于九红.网络安全设计[M].北京:电子工业出版社,2012.