时间：2022-10-22 10:35:26
序论：在您撰写网络安全解决方案时，参考他人的优秀作品可以开阔视野，小编为您整理的7篇范文，希望这些建议能够激发您的创作热情，引导您走向新的创作高度。
中图分类号：P231 文献标识码：A 文章编号：1671－7597（2012）0610171－02
0 引言
随着科学技术的发展，信息技术已经成为人们工作生活中必不可少的一个部分，而这种必要性使得计算机网络更呈现突飞猛进的发展趋势。而网络的发展以及其伴随而来的网络安全问题越来越受到人们的关注，由于网络安全所造成的严重损失已经有目共睹，所以如何在推广网络应用的同时提高网络的安全性打造安全网络成为广大计算机网络用户关心的话题，这不但关系着网络应用领域是否会受限，同时也关系着网络是否能够保持正常速度发展，以及是否能够在现代化建设中发挥应有的作用。
1 网络安全威胁概述
1）安全威胁的产生
主要是由于因特网的全球性、开放性、无缝连通性、共享性、动态性发展，使得网络安全威胁从网络诞生就一直伴随着成长起来，而且随着网络发展速度不断加快，网络安全威胁问题也日益严重。而且随着互联网的应用领域日益广泛，如金融、政府部门以及电子商务的盛行，使得网络数据的安全重要性日益突出，如果网络安全无法保障，则互联网应用推广必将遇到致命的瓶颈问题。如果从安全威胁的来源来看，可以将安全威胁主要分为自然威胁和人为威胁，自然威胁如天气、环境、设备等；人为威胁如人为攻击，通过寻找系统的弱点，以便破坏、欺骗、窃取数据等。
2）网络安全面临的威胁
网络安全面临的主要威胁可分为四个方面：即中断、窃听、篡改和伪造。中断是对系统的可用性进行攻击，如破坏计算机硬件、线路和文件管理系统等；窃听是对系统的保密性进行攻击，如搭线窃听、对文件或程序的非法拷贝，包括获取消息的内容，进行业务流分析，获得消息的格式、通信双方的位置和身份、通信的次数和消息的长度等；篡改是对系统的完整性进行攻击，如修改数据文件中的数据，替换某一程序使其执行不同的功能、修改网络中传送的消息内容等，通常包括假冒合法实体通过防线、截获合法数据后进行拷贝或重新发送、通信数据在传输过程中被改变、删除或替代、业务拒绝即对通信设备的使用和管理被无条件的拒绝；伪造是对系统的真实性进行攻击，如在网络中插入伪造的消息或在文件中插入伪造的记录等。以上所划分的网络安全威胁的四个方面，其实可以从一个更加通俗地角度来说明，中断就是故意破坏对方之间的通信，而自己不需要获取这些信息，其目的就是让第三方也无法正确获得这些信息；而窃听就是不影响对方接收信息，但是希望获知对方的通信内容，所以对于窃听而言要讲究隐蔽性，即最好的情况就是第三方之间的通信丝毫没有觉察到他们之间的通信内容被己方所接收；篡改则更进一步，不但要窃听到对方的通信内容，而且需要将这些信息根据己方利益最大化的原则进行修改。
3）安全业务——安全防护措施
保密业务：保护数据以防被动攻击，保密业务流；加密机制，按照密钥的类型不同，对称密钥算法和非对称密钥算法两种，按照密码体制的不同，分为序列密码算法和分组密码算法两种；认证业务：保证通信的真实性，确保发送方或接收方的身份；完整性业务：防止对消息（流）的篡改和业务拒绝；不可否认业务：防止通信某一方对传输的否认；访问控制：防止对网络资源的非授权访问，使用认证。
2 网络安全解决方案建议
1）整体安全体系构建的几个方面
网络本身就是一个体系，是一个系统性的概念，在网络通信中也涉及到多个实体或者协议，所以网络安全涉及到多个方面，为了打造安全的网络，就需要构建网络安全的整体保护体系，只有这样才能够有效保护网络的安全性。一般来说，网络安全体系的构建可以从如下几个方面加以考虑，也就是保护、检测、响应、恢复，这四者构成了一个完整的体系，如果每一部分都能够做好，则打造一个安全的计算机网络不再是一句空话。保护是通过使用加解密技术、访问控制技术、数字签名技术，以及可验证的信息交换过程等到方面对数据及其网上操作加以保护，保护也可以理解为对故意中断网络或者破坏数据的一种防护措施。检测是对信息传输的内容的可控性的检测，对信息平台访问过程的甄别检测，对违规与恶意攻击的检测，对系统与网络弱点与漏洞的检测等等，如果有对网络通信的恶意窃听发生也需要及时检测到。及时响应是网络的一个重要指标，响应是在复杂的信息环境中，保证在任何时候信息平台能高效正常运行，要求安全体系提供强有力的响应机制。无论防护措施多么严密，网络安全技术如何卓越，我们都无法承诺网络永远不会受到破坏，所以此时有效的恢复就显得尤为重要，恢复是指灾难恢复，在系统受到攻击的时候，评估系统受到的危害与损失，按紧急响应预案进行数据与系统恢复，启动备份系统恢复工作等。
2）保障物理安全
物理安全是最基本的，如果硬件发生故障或者被破坏，其他一切网络安全保护措施都成为无源之水，所以网络的物理安全保障是整个网络安全保障体系的基石。物理安全是用来保护计算机硬件和存储介质的装置和工作程序，物理安全防护包括防盗、防火、防静电、防雷击和防电磁泄漏等内容。屏蔽是防电磁泄漏的有效措施，屏蔽主要有电屏蔽、磁屏蔽和电磁蔽三种类型。
3）整体部署
网络安全解决方案涉及安全操作系统技术、防火墙技术、病毒防护技术、入侵检测技术、安全扫描技术、认证和数字签名技术、VPN技术等多方面的安全技术。在整个体系中的每一个部分，都是具有特定的功能需求，都是针对某一种安全需要而采取的安全措施。下面以一个实际的安全解决方案为例，建立网络安全防护体系。
在网关位置配置多接口防火墙，根据功能作用不同，将整个网络划分为外部网络、内部网络、DMZ区等多个安全区域，由于工作主机在整个网络中处于核心地位，而且主机如果发生安全问题将产生重要影响，所以将工作主机放置于内部网络区域可以更有效地保护主机的安全，将Web服务器、数据库服务器等服务器放置在DMZ区域，其他区域对服务器区的访问必须经过防火墙模块的检查，这就相当于在服务器区提供了加固的安全作用。在中心交换机上配置基于网络的IDS系统，监控整个网络内的网络流量，这是由于网络流量的异常也是网络是否安全是否受到攻击的一个重要特征。在DMZ区内的重要服务器上安装基于主机的IDS系统，对所有对上述服务器的访问进行监控，并对相应的操作进行记录和审计，这可以对故障诊断提供有效的辅助。
4）具体部署
下面对上一步中整个网络安全体系中各个部分的具体配置进行介绍。防火墙设备，防火墙是用来连接两个网络并控制两个网络之间相互访问的系统。包括用于网络连接的软件和硬件以及控制访问的方案。这类防范措施可以只用路由器实现，可以用主机、子网、专用硬件来实现。所有在内部网络和外部网络之间传输的数据必须通过防火墙；只有被授权的合法数据即防火墙系统中安全策略允许的数据可以通过防火墙；防火墙本身不受各种攻击的影响。在本方案中选用的防火墙设备是CheckPoint FireWall-1防火墙。FireWall-1功能特点有对应用程序的广泛支持；集中管理下的分布式客户机/服务器结构；远程网络访问的安全保障（FireWall-1 SecuRemote）。
防病毒设备。在本方案中防病毒设备选用的是趋势科技的整体防病毒产品和解决方案，包括中央管理控制、服务器防病毒和客户机防病毒三部分，这对于抵挡当前已知的绝大部分病毒已经非常有效，而且由于防病毒产品的更新服务，所以只要在实际应用中时刻保持病毒库版本为最新就可以保证系统的安全。
入侵监测设备就是为了当有入侵行为发生时系统可以及时获悉，在本方案中入侵监测设备采用的是NFR入侵监测设备，包括NFR NID和NFR HID。NFR把基于网络的入侵检测技术NID和基于主机的入侵检测技术HID完美地结合起来，构成了一个完整的，一致的实时入侵监控体系。
SAP身份认证设备对于任何系统的安全都是必不可少的，也是保障系统安全的基本措施。本方案采用的身份认证设备是Secure Computing的SafeWord。SafeWord具备分散式运作及无限制的可扩充特性。
3 结论
网络安全是一个常说常新的话题，随着攻防不断升级，网络攻击入侵手段和网络安全保护技术手段都更加先进，所以网络的安全防护是一场没有终点的战役，只有时刻保持对网络安全的高度重视，采用先进的网络安全防护技术才有可能打造一个安全的网络，本文对于网络安全保障的一些措施希望能够为网络安全防护提供一些借鉴。
参考文献：
[1]陈丹丹，网络钓鱼与网络安全初探，消费电子，2012年，第5期.
[2]王志刚，浅谈计算机网络安全现状及对策，今日财富（金融发展与监管），2012年，第4期.
[3]王丽云，初中校园网络安全分析和策略，今日财富（金融发展与监管），2012年，第3期.
【关键词】网络；安全；技术防范；对策
【中图分类号】TP393.08 【文献标识码】B 【文章编号】1672-5158（2013）01―0445―02
引言
近年来，随着经济社会的快速发展，互联网得到快速增长，互联网的应用领域不断扩张，已经从传统领域拓展到非传统领域，而且影响力越来越大。据中国互联网络信息中心（CNNIC）近期的《中国互联网络发展状况统计报告》显示：截至2012年12月底，手机网民数量为4.2亿，中国网民数达到5.64亿，全年新增网民5090万人，普及率为42.1%；微博用户规模为3.09亿，较2011年底增长了5873万。域名总数为1341万个，其中“.CN”域名总数为751万，“.中国”域名总数为28万。中国网站总数（即网站的域名注册者在中国境内的网站数）回升至268万个（去年底只有183万）。网络安全从大的方面讲，关系国家安全、社会稳定；从小的方面讲，网络安全涉及个人信息安全、财产安全，因此，积极研究探讨适应新形势发展要求的网络安全方案，对确保网络安全，提升网络服务质量具有十分重要的现实意义。
1 加强网络安全的现实意义
随着信息化技术的不断发展，网络已经成为一种联通各地、各个领域的重要基础设施，计算机网络的发展为人们的生产、生活、工作带来了极大便利，拉近了全球的距离。但在看到网络给人们带来便捷的同时，还要清醒地认识到网络作为一个面向公众的开放系统，如果网络安全意识不强、网络安全防范措施不力，就会产生网络安全隐患。特别是随着信息网络技术的飞速发展，网络得到广泛普及和应用，应用层次不断深入，应用领域从传统的、小型业务系统逐渐向大型、关键业务系统扩展，已经被行政部门、金融机构、企业广泛应用，网络在这些领域的广泛应用，也进―步加大了网络安全的风险。如何保持网络的稳定安全，防止诸如黑客攻击、非正常入侵等安全问题的发生，是一项重要任务。
由于网络系统结构复杂、涉及终端众多、系统开放，网络系统面临的威胁和风险比较多，归纳起来主要来自外部的人为影响和自然环境的影响，这些威胁有的是对网络设备的安全运行存在威胁，有的是对网络中的信息安全存在威胁。这些威胁的集中起来主要有：非法授权访问，假冒合法用户，病毒破坏，线路窃听，黑客入侵，干扰系统正常运行，修改或删除数据等。这些威胁一旦成为现实，将对网络系统产生致命的影响，严重的可能会导致系统瘫痪，传输信息被非法获取和传播，会给相关机构和网络用户造成不可挽回的损失。
在网络快速发展的新形势下，全面加强网络安全建设，提升网络安全等级，对确保和维护网络用户利益，维护单位整体形象都具有十分重要我。特别是在当前，终端用户往往会在终端中存储大量的信息资料，工作手段也越来越依赖于网络，一旦网络安全方面出现问题，造成信息的丢失或不能及时流通，或者被篡改、增删、破坏或窃用，都将带来难以弥补的巨大损失，因此，积极研究探索与网络发展同步的网络安全解决方案，全面加强网络安全建设，是各级网络管理部门及用户的重要职责，必须要高度重视，扎实推进。
2 信息系统安全威胁与风险分析
认真分析信鼠系统安全威胁与存在的风险，是进行风险管理、制定网络安全方案的前提和基础。通过进行有效的系统安全威胁与风险分析，可以帮助相关机构和用户选择合作的控制措施来降低风险。
2.1 物理安全风险分析
网络物理安全是整个网络系统安全的前提，相关的物理安全风险主要有：地震、水灾、火灾等环境事故造成整个系统毁灭；电源故障造成设备断电以至操作系统引导失败或数据库信息丢失；设备被盗、被毁造成数据丢失或信息泄漏；电磁辐射可能造成数据信息被窃取或偷阅；报警系统的设计不足可能造成原本可以防止但实际发生了的事故。
2.2 链路传输风险分析
网络安全不仅是入侵者到企业内部网上进行攻击、窃取或其它破坏，他们完全有可能在传输线路上安装窃听装置，窃取你在网上传输的重要数据，再通过一些技术读出数据信息，造成泄密或者做一些篡改来破坏数据的完整性；以上种种不安全因素都对网络构成严重的安全危胁。
2.3 网络结构的安全风险分析
来自与公网互联的安全危胁，基于Internet公网的开放性、国际性与自由性，内部网络将面临更加严重的安全危胁。一些黑客会制造病毒透过网络进行传播，还会影响到与本系统网络有连接的外单位网络；影响所及，还可能涉及法律、金融等安全敏感领域。
内部网络与系统外部网互联安全威胁。如果系统内部局域网络与系统外部网络间没有采取一定的安全防护措施，内部网络容易造到来自外网一些不怀好意的入侵者的攻击。入侵者通过网络监听等先进手段获得内部网用户的用户名、口令等信息，进而假冒内部合法身份进行非法登录，窃取内部网重要信息。恶意攻击，入侵者通过发送大量PING包对内部网重要服务器进行攻击，使得服务器超负荷工作以至拒绝服务甚至系统瘫痪。
内部局域网的安全威胁。据调查在已有的网络安全攻击事件中约70%是来自内部网络的侵犯。比如内部人员故意泄漏内部网络的网络结构；安全管理员有意透露其用户名及口令；内部不怀好意员工编些破坏程序在内部网上传播或者内部人员通过各种方式盗取他人信息传播出去。这些都将对网络安全构成严重威胁。
2.4 系统的安全风险分析
系统的安全往往归结于操作系统的安全性，决定于网络操作系统、应用系统的安全性。目前的操作系统或应用系统无论是Windows还是其它任何商用UNIX操作系统以及其它厂商开发的应用系统，系统本身必定存在安全漏洞。这些安全漏洞都将存在重大安全隐患。但是从实际应用上，系统的安全程度跟对其进行安全配置及系统的应用面有很大关系，操作系统如果没有采用相应的安全配置，则其是漏洞百出，掌握一般攻击技术的人都可能入侵得手。因此，必须要高度重视系统的安全风险，科学进行系统安全配置，从而有效降低系统风险。
2.5 应用的安全风险分析
应用系统的安全涉及很多方面。应用系统是动态的、不断变化的。应用的安全性也是动态的。这就需要我们对不同的应用，检测安全漏洞，采取相应的安全措施，降低应用的安全风险。比如由于资源共享、使用电子邮件系统、受病毒侵害、数据信息被非法窃取，篡改等，这些都是应用层面应当防范的安全风险。
2.6 管理的安全风险分析
内部管理人员或员工把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。机房存在恶意的入侵者，内部不满的员工有的可能熟悉服务器、小程序、脚本和系统的弱点。利用网络开些小玩笑，甚至破坏。一些网络系统管理由于责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。
3 网络安全解决方案
可以通过配置诸如：标识、密钥管理、安全管理、系统保护、鉴别、授权、访问控制、抗抵赖、受保护通信、入侵检测与抑制、完整性证明、恢复安全状态、病毒检测与根除等技术类安全控制来有效防止给定类型的风险与威胁；通过建立相关的安全管理机制，实现管理在的安全控制；通过建立一整套严谨的控制指南，实现操作类的安全控制，从而实现信息系统安全控制。
3.1 做好物理防护
保证计算机信息系统各种设备的物理安全是保障整个网络系统安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。要严格按照相关标准建设网络，防止人为降低建设标准。确保设备安全，采取有力措施搞好防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等。
3.2 确保系统安全
要认真判断网络拓扑结构是否合理；线路是否有冗余；路由是否冗余，防止单点失败等。工行网络在设计时，比较好的考虑了这些因素，可以说网络结构是比较合理的、比较安全的。对于操作系统要尽可能采用安全性较高的网络操作系统并进行必要的安全配置、关闭一些起不常用却存在安全隐患的应用、对一些保存有用户信息及其口令的关键文件，对使用权限进行严格限制；加强口令字的使用，增加口令复杂程度、不要使用与用户身份有关的、容易猜测的信息作为口令，并及时给系统打补丁、系统内部的相互调用不对外公开。通过配备操作系统安全扫描系统对操作系统进行安全性扫描，发现其中存在的安全漏洞，并有针对性地进行对网络设备重新配置或升级。在应用系统安全上，应用服务器尽量不要开放一些没有经常用的协议及协议端口号。充分利用操作系统和应用系统本身的日志功能，对用户所访问的信息做记录，为事后审查提供依据。
3.3 突出网络安全
网络安全是整个安全解决方案的重中之重，要从访问控制、通信保密、入侵检测、网络安全扫描系统、防病毒等方面，采取切实可行的对策措施，确保网络安全。要严格落实《用户授权实施细则》、《口令字及帐户管理规范》、《权限管理制度》、《安全责任制度》等安全管理制度。设置虚拟子网，各子网间不能实现互访，实现初级访问控制。设置高等级防火墙，通过制定严格的安全策略实现内外网络或内部网络不同信任域之间的隔离与访问控制。利用防火墙并经过严格配置，可以阻止各种不安全访问通过防火墙，从而降低安全风险。但是，网络安全不可能完全依靠防火墙单一产品来实现，网络安全是个整体的，必须配相应的安全产品，作为防火墙的必要补充。入侵检测系统就是最好的安全产品，入侵检测系统是根据已有的、最新的攻击手段的信息代码对进出网段的所有操作行为进行实时监控、记录，并按制定的策略实行响应（阻断、报警、发送E-mail）。建立网络扫描系统，对网络系统中的所有操作系统进行安全性扫描，检测操作系统存在的安全漏洞，并产生报表，并自动进行相关修复。通过预防病毒技术、检测病毒技术、杀毒技术，实施反病毒措施，防止病毒进入网络进行传播扩散。
3.4 确保应用安全
应用是信息系统安全应当关注的重要内容，要通过规范用户的行为，来实现应用安全。要严格控制内部员工对网络共享资源的使用，尤其要限制共享资源的滥用，在内部子网中一般不随意开放共享目录，否则较容易因为疏忽而在与员工间交换信息时泄漏重要信息。对有经常交换信息需求的用户，在共享时也必须加上必要的口令认证机制，即只有通过口令的认证才允许访问数据。虽然说用户名加口令的机制不是很安全，但对一般用户而言，还是起到一定的安全防护，即使有刻意破解者，只要口令设得复杂些，也得花费相当长的时间。适当配置资源控制，要精心设置访问权限，并拒绝未经授权人员的登录，减少有意或无意的案例漏洞。对数据库服务器中的数据库必须做安全备份，通过网络备份系统，可以对数据库进行远程备份存储。
摘 要 随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的it技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终。 关键词 信息安全；pki；ca；vpn 1 引言 随着计算机网络的出现和互联网的飞速发展，企业基于网络的计算机应用也在迅速增加，基于网络信息系统给企业的经营管理带来了更大的经济效益，但随之而来的安全问题也在困扰着用户，在2003年后，木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。 随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的it技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场，企业就面临着如何提高自身核心竞争力的问题，而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等，又时刻在制约着自己，企业采用pki技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。 在下面的描述中，以某公司为例进行说明。 2 信息系统现状 2.1 信息化整体状况 1)计算机网络 某公司现有计算机500余台，通过内部网相互连接，根据公司统一规划，通过防火墙与外网互联。在内部网络中，各计算机在同一网段，通过交换机连接。
图1 2)应用系统 经过多年的积累，某公司的计算机应用已基本覆盖了经营管理的各个环节，包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善，计算机应用也由数据分散的应用模式转变为数据日益集中的模式。 2.2 信息安全现状 为保障计算机网络的安全，某公司实施了计算机网络安全项目，基于当时对信息安全的认识和安全产品的状况，信息安全的主要内容是网络安全，部署了防火墙、防病毒服务器等网络安全产品，极大地提升了公司计算机网络的安全性，这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。 3 风险与需求分析 3.1 风险分析 通过对我们信息系统现状的分析，可得出如下结论： (1)经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。 (2)计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心，因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份，并运用技术手段，提高数据的机密性、完整性和可用性。 通过对现有的信息安全体系的分析，也可以看出：随着计算机技术的发展、安全威胁种类的增加，某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷，具体表现在： (1)系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。 目前实施的安全方案是基于当时的认识进行的，主要工作集中于网络安全，对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证，对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺乏整体方案和制度规范，容易造成重要数据的丢失和泄露。 当时的网络安全的基本是一种外部网络安全的概念，是基于这样一种信任模型的，即网络内部的用户都是可信的。在这种信任模型下，假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部，并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。 针对外部网络安全，人们提出了内部网络安全的概念，它基于这样一种信任模型：所有的用户都是不可信的。在这种信任模型中，假设所有用户都可能对信息安全造成威胁，并且可以各种更加方便的手段对信息安全造成威胁，比如内部人员可以直接对重要的服务器进行操控从而破坏信息，或者从内部网络访问服务器，下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。 美国联邦调查局(fbi)和计算机安全机构(csi)等权威机构的研究也证明了这一点：超过80%的信息安全隐患是来自组织内部，这些隐患直接导致了信息被内部人员所窃取和破坏。 信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有选用有关的安全服务。不能充分发挥安全产品的效能。 (2)原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的网络安全隐患，产品亟待升级。 已购买的网络安全产品中，有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性，拟对系统的互联网出口进行严格限制，原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求，现有的防火墙不具备这些功能。 网络信息系统的安全建设建立在风险评估的基础上，这是信息化建设的内在要求，系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期，在规划的过程中，就运用风险评估、风险管理的手段，用户才可以避免重复建设和投资的浪费。 3.2 需求分析 如前所述，某公司信息系统存在较大的风险，信息安全的需求主要体现在如下几点： (1)某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。 (2)网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。 (3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行。 (4)信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是某公司面临的重要课题。 4 设计原则 安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行，避免重复投入、重复建设，充分考虑整体和局部的利益。 4.1 标准化原则 本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定，使安全技术体系的建设达到标准化、规范化的要求，为拓展、升级和集中统一打好基础。 4.2 系统化原则 信息安全是一个复杂的系统工程，从信息系统的各层次、安全防范的各阶段全面地进行考虑，既注重技术的实现，又要加大管理的力度，以形成系统化的解决方案。 4.3 规避风险原则 安全技术体系的建设涉及网络、系统、应用等方方面面，任何改造、添加甚至移动，都可能影响现有网络的畅通或在用系统的连续、稳定运行，这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题，在规划与应用系统衔接的基础安全措施时，优先保证透明化，从提供通用安全基础服务的要求出发，设计并实现安全系统与应用系统的平滑连接。 4.4 保护投资原则 由于信息安全理论与技术发展的历史原因和自身的资金能力，某公司分期、分批建设了一些整体的或区域的安全技术系统，配置了相应的设施。因此，本方案依据保护信息安全投资效益的基本原则，在合理规划、建设新的安全子系统或投入新的安全设施的同时，对现有安全系统采取了完善、整合的办法，以使其纳入总体安全技术体系，发挥更好的效能，而不是排斥或抛弃。 4.5 多重保护原则 任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。 4.6 分步实施原则 由于某公司应用扩展范围广阔，随着网络规模的扩大及应用的增加，系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性，寻求安全、风险、开销的平衡，采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求，亦可节省费用开支。
5 设计思路及安全产品的选择和部署 信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终，如图2所示。 图2 网络与信息安全防范体系模型 信息安全又是相对的，需要在风险、安全和投入之间做出平衡，通过对某公司信息化和信息安全现状的分析，对现有的信息安全产品和解决方案的调查，通过与计算机专业公司接触，初步确定了本次安全项目的内容。通过本次安全项目的实施，基本建成较完整的信息安全防范体系。 5.1 网络安全基础设施 证书认证系统无论是企业内部的信息网络还是外部的网络平台，都必须建立在一个安全可信的网络之上。目前，解决这些安全问题的最佳方案当数应用pki/ca数字认证服务。pki(public key infrastructure，公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向用户提供完整的pki/ca数字认证服务。通过建设证书认证中心系统，建立一个完善的网络安全认证平台，能够通过这个安全平台实现以下目标： 身份认证(authentication)：确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。 数据的机密性(confidentiality)：对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成。 数据的完整性(integrity)：确保通信信息不被破坏(截断或篡改)，通过哈希函数和数字签名来完成。 不可抵赖性(non-repudiation)：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。 5.2 边界防护和网络的隔离 vpn(virtual private network)虚拟专用网，是将物理分布在不同地点的网络通过公用骨干网(如internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。 通过安装部署vpn系统，可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程lan的安全连接。 集成的防火墙功能模块采用了状态检测的包过滤技术，可以对多种网络对象进行有效地访问监控，为网络提供高效、稳定地安全保护。 集中的安全策略管理可以对整个vpn网络的安全策略进行集中管理和配置。 5.3 安全电子邮件 电子邮件是internet上出现最早的应用之一。随着网络的快速发展，电子邮件的使用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点，电子邮件存在着很大的安全隐患。 目前广泛应用的电子邮件客户端软件如 outlook 支持的 s/mime( secure multipurpose internet mail extensions )，它是从 pem(privacy enhanced mail) 和 mime(internet 邮件的附件标准 ) 发展而来的。首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织 ( 根证书 ) 之间相互认证，整个信任关系基本是树状的。其次， s/mime 将信件内容加密签名后作为特殊的附件传送。 保证了信件内容的安全性。 5.4 桌面安全防护 对企业信息安全的威胁不仅来自企业网络外部，大量的安全威胁来自企业内部。很早之前安全界就有数据显示，近80%的网络安全事件，是来自于企业内部。同时，由于是内部人员所为，这样的安全犯罪往往目的明确，如针对企业机密和专利信息的窃取、财务欺骗等，因此，对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。 桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。 1)电子签章系统 利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术，可以无缝嵌入office系统，用户可以在编辑文档后对文档进行签章，或是打开文档时验证文档的完整性和查看文档的作者。 2) 安全登录系统 安全登录系统提供了对系统和网络登录的身份认证。使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机，只需拔出智能密码钥匙，即可锁定计算机。 3)文件加密系统 文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法，从而保证了存储数据的安全性。 5.5 身份认证 身份认证是指计算机及网络系统确认操作者身份的过程。基于pki的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。usb key是一种usb接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用usb key内置的密码算法实现对用户身份的认证。 基于pki的usb key的解决方案不仅可以提供身份认证的功能，还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系，从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。 6 方案的组织与实施方式 网络与信息安全防范体系流程主要由三大部分组成：攻击前的防范、攻击过程中的防范和攻击后的应对。安全管理贯穿全流程如图3所示。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程，也为本方案的实施提供了借鉴。 图3 因此在本方案的组织和实施中，除了工程的实施外，还应重视以下各项工作： (1)在初步进行风险分析基础上，方案实施方应进行进一步的风险评估，明确需求所在，务求有的放矢，确保技术方案的针对性和投资的回报。 (2)把应急响应和事故恢复作为技术方案的一部分，必要时可借助专业公司的安全服务，提高应对重大安全事件的能力。 (3)该方案投资大，覆盖范围广，根据实际情况，可采取分地区、分阶段实施的方式。 (4)在方案实施的同时，加强规章制度、技术规范的建设，使信息安全的日常工作进一步制度化、规范化。 7 结论 本文以某公司为例，分析了网络安全现状，指出目前存在的风险，随后提出了一整套完整的解决方案，涵盖了各个方面，从技术手段的改进，到规章制度的完善；从单机系统的安全加固，到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署，为众多行业提供了网络安全解决手段。 也希望通过本方案的实施，可以建立较完善的信息安全体系，有效地防范信息系统来自各方面的攻击和威胁，把风险降到最低水平。 参考文献 [1] 国家信息安全基础设施研究中心、国家信息安全工程技术研究中心.《电子政务总体设计与技术实现》
关键词:网络安全威胁;安全需求;防火墙;IDS;网络安全
中图分类号:C913.3文献标识码:A文章编号:1005-5312(2010)12-0088-01
一、网络安全概述
(一)网络安全的基本概念
网络安全包括物理安全和逻辑安全。对于物理安全,需要加强计算机房管理,如门卫、出入者身份检查、下班锁门以及各种硬件安全手段等预防措施;而对于后者,则需要用口令、文件许可和查帐等方法来实现。
(二)网络面临的主要攻击
⑴ 缓冲区溢出。
⑵ 远程攻击。
⑶ 口令破解。
⑷ 超级权限。
⑸ 拒绝服务(DDOS)。
二、安全需求
通过对网络系统的风险分析,我们需要制定合理的安全策略及安全方案来确保网络系统的机密性、完整性、可用性、可控性与可审查性。即,
可用性: 授权实体有权访问数据。
机密性: 信息不暴露给未授权实体或进程。
完整性: 保证数据不被未授权修改。
可控性: 控制授权范围内的信息流向及操作方式。
可审查性:对出现的安全问题提供依据与手段。
访问控制:需要由防火墙将内部网络与外部不可信任的网络隔离,对与外部网络交换数据的内部网络及其主机、所交换的数据进行严格的访问控制。同样,对内部网络,由于不同的应用业务以及不同的安全级别,也需要使用防火墙将不同的LAN或网段进行隔离,并实现相互的访问控制。
数据加密:数据加密是在数据传输、存储过程中防止非法窃取、篡改信息的有效手段。
安全审计: 是识别与防止网络攻击行为、追查网络泄密行为的重要措施之一。具体包括两方面的内容,一是采用网络监控与入侵防范系统,识别网络各种违规操作与攻击行为,即时响应(如报警)并进行阻断;二是对信息内容的审计,可以防止内部机密或敏感信息的非法泄漏
三、网络安全防护策略
个人建议采用如下的安全拓扑架构来确保网站的安全性,其中我们主要采用以下五项高强度的安全防护措施:如图3-1所示:
(一)层层布防
从上图中,我们可以看到,我们将安全层次划分为四个层次,不同的层次采用不同的策略进行有效的安全防护。
第一个层次,是外部Internet,是不能有效确定其安全风险的层次,我们的安全策略就是要重点防护来自于第一个层次的攻击。
第二个层次,是通过路由器后进入网站的第一个安全屏障。该层主要由防火墙进行防护和访问控制,防火墙在安全规则上,只开放WWW,POP3,SMTP等少数端口和服务,完全封闭其他不必要的服务端口,阻挡来自于外部的攻击企图。同时,为了反映防火墙之内的实际安全状态,部署网络入侵检测系统(IDS)。入侵检测系统可以检测出外部穿过防火墙之后的和网络内部经过交换机对外的所有数据流中,有无非法的访问内网的企图、对WWW服务器和邮件服务器等关键业务平台的攻击行为和内部网络中的非法行为。对DDOS攻击行为及时报警,并通过与防火墙的联动及时阻断,网络遭受DDOS攻击。
第三个层次,是一个中心网络的核心层,部署了网络处置中心的所有重要的服务器。在该层次中,部署了网站保护系统,防范网页被非法篡改。
此外,还部署网络漏洞扫描系统,定期或不定期的对接服务器区进行漏洞扫描,帮助网管人员及时了解和修补网络中的安全漏洞。这种扫描服务可以由网络安全管理人员完成,或者由安全服务的安全厂商及其高级防黑客技术人员完成。
第四个层次,是网络安全中心网络的数据存储中心,放置了数据库服务器和数据库备份服务器。在该层次中,部署了防火墙,对数据库的访问通过防火墙进行过滤,保证数据的安全性。
(二)多种防护手段
我们设计的高强度安全防护措施,包括多种防护手段,即有静态的防护手段,如防火墙,又有动态的防护手段,如网络IDS、网络防病毒系统。同时,也考虑到了恢复和响应技术,如网站保护和恢复系统。不同的防护手段针对不同的安全需求,解决不同的安全问题,使得网络防护过程中不留安全死角。
(三)防火墙系统
防火墙是设置在被保护网络和外部网络之间的一道屏障,以防止发生不可预测的、潜在破坏性的侵入。防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口,能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流,且本身具有较强的抗攻击能力。它是提供信息安全服务,实现网络和信息安全的基础设施。
防火墙可通过监测、限制、更改跨越防火墙的数据流,尽可能地对外部屏蔽网络内部的信息、结构和运行状况,以此来实现网络的安全保护。在此次的网络系统安全建设完成后,防火墙将承担起对合法地址用户的路由和对私网地址用户的地址转换任务(NAT),同时,将根据需要对进出访问进行控制。防火墙可将网络分成若干个区域,Trust(可信任区,连接内部局域网),Untrust(不信任区,连接Internet ),DMZ(中立区,连接对外的WEB server、e-Mail server 等)之后,还可以由客户自行定义安全区域。
(四)网络入侵检测系统的作用
通过使用网络入侵检测系统,我们可以做到:发现谁在攻击网络:解决网络防护的问题(网络出入口、DMZ、关键网段)。了解接网络如何被攻击:例如,如果有人非法访问服务器,需要知道他们是怎么做的,这样可以防止再次发生同样的情况。IDS可以提供攻击特征描述,还可以进行逐条的记录回放,使网络系统免受二次攻击。
处置中心网络的内部危险:放置在网络中的IDS会识别不同的安全事件。减轻潜在威胁:可以安装在特定的网络中,确定依具体情况而定的或是所怀疑的威胁,通过策略阻断和其它安全产品进行全面防护。事后取证:从相关的事件和活动的多个角度提供具有标准格式的独特数据。实现安全事件来源追查。 DDOS攻击防范:通过实时监控网络流量,及时发现异常流量并报警,通过和防火墙联动,对DDOS攻击进行阻断。
四、安全服务
网络是个动态的系统,它的变化包括网络设备的调整,网络配置的变化,各种操作系统、应用程序的变化,管理人员的变化。即使最初制定的安全策略十分可靠,但是随着网络结构和应用的不断变化,安全策略可能失效,必须及时进行相应的调整。由于这方面相对比较复杂、篇幅所限,在此就不累述了,有兴趣读者可以另行查阅相关资料。
五、总结
毫无疑问,安全是一个动态的问题。在做未来的计划时,既要考虑用户环境的发展,也要考虑风险的发展,这样才能让安全在操作进程中占有一席之地。最谨慎、最安全的人会将他们的信息放在屋子里锁好,妥善地保护起来。归纳起来,对网络安全的解决方案从人员安全、物理层安全、边界安全、网络安全、主机安全、应用程序和数据安全这几方面入手即可。上述几个方面做好之后,我们就可以让一个网络系统:
进不来: 通过物理隔离等手段,阻止非授权用户进入网络。
拿不走: 使用屏蔽、防下载机制,实现对用户的权限控制。
读不懂: 通过认证和加密技术,确信信息不暴露给未经授权的人或程序。
改不了: 使用数据完整性鉴别机制,保证只有允许的人才能修改数据。
走不脱: 使用日志、安全审计、监控技术使得攻击者不能抵赖自己的行为。
参考文献:
[1]沈昌祥.信息安全纵论[M].武汉:湖北科学技术出版社.2002年版.
[2]杜宇峰.网络安全与防护[J].电脑知识与技术.2007(18).
关键词:网络安全;医院网络;防火墙
中图分类号:TP393文献标识码:A文章编号:1009-3044(2009)26-7364-02
Hospital-based Network Security Solutions
SUN Ping-bo
(Department of Information, Changhai Hospital, Shanghai 200433, China)
Abstract: The hospital network security is to protect the basis of normal medical practice, this paper, the hospital network security solutions design and implementation of safety programs related to the model, firewalls isolation, and health care business data capture. This article is the construction of the hospital network security system to provide a reference for the role.
Key words: network security; the hospital network; firewall
随着科学技术的发展和信息时代的来临,几乎所有的医院都建立了信息网络,实现了信息资源的网络共享。但在具体建设这个医院网络平台时中,往往都只重视怎样迅速把平台搭建起来和能够马上投入使用,而忽视了在医院网络平台建设过程中信息安全的建设,包括如何保障医疗业务的正常进行、患者及医生信息的合法访问,如何使医院网络平台免受黑客、病毒、恶意软件和其它不良意图的攻击已经成为急需解决的问题。
1 医院网络安全解决方案的设计
1.1网络方案的模型
本文研究的医院网络安全解决方案是采用基于主动策略的医院网络安全系统,它的主导思想是围绕着P2DR模型思想建立一个完整的信息安全体系框架。P2DR模型最早是由ISS公司提出的动态安全模型的代表性模型,它主要包含4个部分:安全策略(Policy)、防护(Protection)、检测(Detection)和响应(Response)。
安全策略是P2DR安全模型的核心。在整体安全策略的控制和指导下,运用防护工具(防火墙、操作系统身份认证、加密等)对网络进行安全防护;利用检测工具(如漏洞扫描、入侵检测系统等等)了解和评估系统的安全状态,检测针对系统的攻击行为;通过适当的反应机制将系统的安全状态提升到最优状态。这个过程是一个动态的、不断循环的过程,检测到的威胁将作为响应和加强防护的依据,防护加强后,将继续进行检测过程,依次循环下去,从而达到网络安全性不断增强的目的[1]。
根据对网络安全的技术分析和设计目标,医院网络安全解决方案要解决7个实现的技术问题,分别是:数据检测,入侵行为控制,行为分析,行为记录,服务模拟,行为捕获和数据融合。医院网络安全解决方案以P2DR模型为基础,合理利用主动防御技术和被动防御技术来构建动态安全防御体系,根据现有安全措施和工具,在安全策略的基础上,提出基于主动策略的医院网络安全方案模型,如图1所示。
医院网络安全解决方案模型入侵检测监视网络的异常情况,当发现有可疑行为或者入侵行为时,将监测结果通知入侵行为控制,并将可疑行为数据传给服务模拟;服务模拟在入侵行为控制的监控下向可疑行为提供服务,并调用行为捕获对系统所有活动作严格和详细的记录;数据融合定期地从行为记录的不同数据源提取数据,按照统一数据格式整理、融合、提炼后,一发给行为分析,对可疑行为及入侵行为作进一步分析,同时通知入侵行为控制对入侵行为进行控制,并提取未知攻击特征通过入侵行为控制对入侵检测知识库进行更新,将新的模式添加进去。
1.2 防火墙隔离的设计
防火墙技术是医院网络安全系统中使用最广泛的一项网络安全技术。它的作用是防止不希望的、未经授权的通信进入被保护的内部网络,通过边界控制强化内部网络的安全策略。在医院网络中,既有允许被内部网络和外部网络同时访问的一些应用服务器(如医疗费用查询系统、专家号预约系统、病情在线咨询系统等),也有只允许医院网络内部之间进行通信,不可以外部网络访问的内部网络[2]。因此,对应用服务器和内部网络应该采用不同的安全策略。
本文研究的医院网络安全解决方案采用的是屏蔽子网结构的防火墙配置。将应用服务器放置在屏蔽子网机构中的DMZ区域内,由外部防火墙保护,内部网络和外部网络的用户都可以访问该区域。内部网络除了外部防火墙的保护外。还采用堡垒主机(服务器)对内部网络进行更加深一些层的保护。通过核心交换机的路由功能将想要进入内部网络的数据包路由到服务器中,由包过滤原则。过滤一些内部网络不应看到的网站信息等。内部路由器将所有内部用户到因特网的访问均路由到服务嚣,服务器进行地址翻译。为这些用户提供服务.以此屏蔽内部网络。这种结构使得应用服务器与内部网络采用不同级别的安全策略,既实现医院网络的需求,也保护医院网络的安全。防火墙系统结构设计如图2所示。
虽然防火墙系统能够为医院的网络提供很多安全方面的保障,但并不能够解决全部安全问题。因此,医院的网络安全系统还采取了其他的网络安全技术和手段来确保医院网络的安全。
1.3 医疗业务数据的捕获
如果本文研究的医院网络安全系统不能捕获到任何数据,那它将是一堆废物。只有捕获到数据,我们才能利用这些数据研究攻击者的技术、工具和动机。本文设计的医院安全系统实现了三层数据捕获,即防火墙日志、嗅探器捕获的网络数据包、管理主机系统日志。
其中,嗅探器记录各种进出医院内管理网的数据包内容,嗅探器可以用各种工具,如Ethereal等,我们使用了Tcpdump。记录的数据以Tcpdump日志的格式进行存储,这些数据不仅以后可用通过Tcpreplay进行回放,也可以在无法分析数据时,发送给别的研究人员进行分析。
防火墙和嗅探器捕获的是网络数据,还需要捕获发生有管理主机上的所有系统和用户活动。对于windows系统,可以借助第三方应用程序来记录系统日志信息。现在大多数的攻击者都会使用加密来与被黑系统进行通信。要捕获击键行为,需要从管理主机中获得,如可以通过修改系统库或者开发内核模块来修改内核从而记录下攻击者的行为。
2 医院网络安全解决方案的实现
2.1 防火墙系统的布置
本文研究的医院防火墙系统采用的是屏蔽子网结构,在该结构中,采用Quidway SecPath 1000F硬件防火墙与外部网络直接相连,通过核心交换机Quidway S6506R将屏蔽子网结构中的DMZ区域和内部网络连接起来,DMZ区域中的各种应用的服务器都采用的是IBM xSeries 346,其中一台作为堡垒主机使用。这台堡垒主机起到的就是服务器的作用。防火墙根据管理员设定的安全规则保护内部网络,提供完善的安全设置,通过高性能的医院网络核心进行访问控制。
2.2 医疗业务数据捕获的实现
本文研究的数据捕获主要从三层进行数据捕获。我们在网桥下运行如下命令进行捕获:
TCPDUMP -c 10 Ci eth1 -s 0 Cw /log
为了不让攻击者知道我们在监视他在主机上的活动,我们采用Sebek来实现我们的目标。Sebek是个隐藏的记录攻击者行为的内核补丁。一旦在主机上安装了Sebek的客户端,它就在系统的内核级别运行,记录的数据并不是记录在本地硬盘上,而是通过UDP数据包发送到远程服务器上,入侵者很难发现它的存在。
医院的网络安全系统数据捕获是由内核模块来完成的,本文研究使用这个模块获得主机内核空间的访问,从而捕获所有read()的数据。Sebek替换系统调用表的read()函数来实现这个功能,这个替换的新函数只是简单的调用老read()函数,并且把内容拷贝到一个数据包缓存,然后加上一个头,再把这个数据包发送到服务端。替换原来的函数就是改变系统调用表的函数指针。
本文通过配置参数决定了Sebek收集什么样的信息,发送信息的目的地。以下就是一个linux配置文件的实例:
INTERFACE="eth0" //设定接口
DESTINATION_IP="172.17.1.2" //设定远程服务器IP
DESTINATION_MAC="00:0C:29:I5:96:6E" //设定远程服务器MAC
SOURCE_PORT=1101 //设定源地址UDP端口
DESTINATION_PORT=1101 //设定目标地址UDP端口
MAGIC_VALUE=XXXXX //如果同一网段有多个客户端,则设定相同的数值
KEYSTOKE_ONLY=1 //是否只记录键击记录
3 结束语
该文对医院网络安全的解决方案进行了较深入的研究,但该系统采用的技术也不能说是完善的,一方面因为它们也在不断发展中,另一方面是因为设计者的水平有局限。比如医院网络的数据捕获技术,它本身就是一个十分复杂的技术问题,解决的手段也是多样的。
参考文献:
随着信息高度共享，信息化程度不断提高，给企业带来了诸多便利的同时，网络安全问题日趋严重，由外网迅速延伸至内网。从近来病毒发作的情况来看，病毒的攻击目标没有特定性，而且越来越隐蔽，如不提前防范，一旦被袭，网络阻塞、系统瘫痪、信息传输中断、数据丢失等等，无疑将给企业业务带来巨大的经济损失。
二、中小企业网络安全解决方案
这种典型的网络规模较小的企业平均不到50台计算机，企业处理的信息量不是很大。
2.1 访问控制解决方案
网络的拓扑结构是否合理是决定网络安全的重要环节，不同的目的子网的要求，有不同的网络设计。把具有相同安全目的的主机划分在同一子网之内，区别不同的安全水平。只有更好地考虑这些因素，将网络结构存在的安全隐患将至最低。
（1）安全物理隔离。内网与互联网直接连接是不安全的。只要是内网与互联网直接链接，无论通过什么样的手段，肯定存在着被黑客攻击的可能。
因此，从安全角度来考虑，应该对企业计算机内网与企业计算机网络外网之间架设一道物理屏蔽，对内部网络中需要上因特网的用户机器安装物理隔离卡，从而保证内部信息不被泄露。
（2）配备防火墙。网络安全最经济，安全最有效措施就是防火墙。防火墙通过制定严格的安全策略来实施内部和外部网络区域之间的隔离和访问控制，单向或双向控制的实现是通过各种信任的网络和防火墙，可根据时间、流量的访问控制，过滤一些不安全服务。
2.2 网络系统解决方案
（1）网络操作系统安全。使用更高版本的网络操作系统，使一些不常用，不安全的应用程序和端口处于关闭状态。对于一些保存了用户信息和使用密钥的文件严格限制，加强密码的水平，并及时对系统漏洞补丁，不对外公开系统内部的使用情况。
（2）应用系统安全。应用服务器尽量不要打开一些不经常使用的协议和协定窗口。作为档案服务和E―mail服务器的应用系统等，可关闭HTYP、FTP、远程登录服务等不常用协议。还有就是加强登录时的密码强度。管理者限制登陆者操作权限，限制在最小的范围内。
2.3 入侵检测解决方案
功能强大的反病毒反入侵的手段是入侵检测手段，是在特定网络环境中未经授权或恶意攻击和入侵被识别和反应的过程。它主要有搜集资料，并分析这些信息，计算机系统是否有被违反安全策略的行为和遭到攻击的迹象。具有监测分析用户和系统的能力，评测系统完整的数据，对统计异常的行为进行识别，并自动收集和相关系统的修补程序，使用服务器记录黑客的功能。入侵检测是在不影响网络性能的情况下的监控，是一种积极的安全保护技术，为内部和外部的攻击提供实时保护。
但是入侵检测设备虽然很实用，价格却普遍偏高，如果中小企业资金允许，人员齐备的话，建议加装入侵检测设备，这样可以做到防患于未然。
2.4 网络防病毒解决方案
衡量反病毒技术是基于计算机病毒功能来判断技术来确定病毒的类型。计算机防病毒技术在分析病毒代码的基础上，制定了删除病毒程序并恢复原始文件的软件。反病毒的具体实现方法包括网络服务器、文件、E-mail等工作站技术进行频繁扫描和监测。一旦发现和病毒代码库匹配病毒代码，反病毒程序将采取相应措施，防止病毒进入网络相互传播。防病毒系统可以防止病毒侵权使用。但是，新的病毒会随着时间的推移不断出现。这就需要及时通过互联网或防病毒系统更新等手段安全管理员或用户升级。一般中小型企业大都采用windows服务器的操作系统根据国内外各种网上的反病毒软件的综合比较，所以本文建议采用Symantec公司Symantec系列或是微软公司的ForeFront系列等产品。
2.5 数据备份和恢复安全解决方案
备份和恢复系统存在的目的，是尽快分发给计算机系统整体必要的数据和系统信息。备份不仅在网络系统硬件故障或人为错误时起到保护，在黑客的网络攻击时起到保护作用，也同时作为一个系统崩溃恢复的先决条件。
这个解决方案我们使用Symantec Ghost，Ghost备份和恢复系统具有以下功能：备份数据的完整性，并要备份介质的管理技巧。支持多个备份，定期自动备份，还可以设置备份自动启动和停止为多个文件的格式备份，支持多种日期标定方法，以保证备份的正确性，提供在线数据备份功能；支持RAID的容错技术和图像备份功能。由于Ghost操作简便快捷，功能强大，所以本方案推荐使用。
关键词 网络安全；物理隔离；地形图保密
中图分类号：TP393 文献标识码：A 文章编号：1671-7597（2014）09-0179-01
1 勘察设计企业网络现状
勘察设计企业在设计工作中经常会用到或产生一些文件，尤其是地形图等密级较高的文件资料。我国2000年1月1日起颁布实施的《计算机信息系统国际联网保密管理规定》第二章保密制度第六条规定：“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息网络相连接，必须实行物理隔离”。为保护国家秘密不外泄，同时满足信息化办公的生产需求，目前国内勘察类企业主要采用两种网络架构方式。一种是设置内部办公网络和外部网络，员工各自配置两台分别连接内外网络的计算机，两者完全物理隔离。这种方式建设和维护成本大，员工操控灵活度低。内部办公网络实现公司信息化办公和资源内部共享等需求，外部网络实现互联网资料查询和外部交流，同时严禁内部网络信息向外部网络流通。另一种设立指定的互联网访问区，专门人员或机构采集互联网信息复制到内部网络，或者设立专门的可访问互联网的设备或区域，这种方式实时性不好。
2 网络隔离技术趋势
物理隔离是网络隔离的一种重要形式，它是通过网络与计算机设备的空间分离来实现的网络隔离[1]。与物理隔离不同的另一种网络隔离方式是采用密码技术的VPN隔离。虚拟专用网（VPN）是通过使用密码和隧道技术、在公共网络设施上构建的、具有专用网络安全特性的逻辑网络[2]。VPN隔离追求的是数据的分离或不可读，而物理隔离强调的是设备的分离。尽管VPN的实现成本较低，但是在网络的边界点，隔离设备容易被攻击，特别是来自公共网络的拒绝服务攻击[2]。
物理隔离网闸的思路决定了它是一种比VPN更高级的安全隔离形式，因为它是在保证必须安全的前提下，尽可能互联互通，如果不能保证安全则完全断开。然而，这种技术成熟的产品还是无法摆脱“摆渡”病毒的攻击。因此，国家保密局信息系统安全保密测评中心颁发的网闸类产品检测证书中明确注明“该产品不可用于互联网和网络之间的信息交换”。
3 双网物理隔离解决方案架构
除去地形图等国家秘密文件外，勘察设计企业商业秘密的保护也是极为迫切的要求。将操作地形图资料的计算机与内部工作网络和外部互联网隔离，内外两条网络之间通过有效的隔离设备和网络安全措施建立可信连接，既能满足国家保密局对于国家秘密的保护要求，又能满足公司内部与互联网之间的资源共享需要。
利用物理隔离网闸安装在工作内网核心交换机和外网核心交换机之间，对于公司内部业务使用的计算机和服务器等设备直接或通过级联设备连接到核心交换机，公司对外交流所用计算机或外网服务器直接或通过级联连接到外网核心交换机。内外网络间数据访问必须经过网闸的“摆渡”。这样，通过内外网之间的网闸不仅实现了两个网络间的物理隔离，还能满足内外网之间实时、适度、可控的内外网络数据交换和应用服务。比如：文件交换、数据库的数据交换与同步、HTTP/HTTPS标准访问、FTP服务、邮件服务等。
图1 基于网闸隔离的网络拓扑结构
通过安全隔离网闸可以对办公网络到外部网之间的传输数据和文件严格执行格式和内容检查，检查的内容可以包括内容检测、防恶意代码、防泄密、文件类型控制等。可以对浏览器中输入的各种关键词和敏感字符串进行限制，预防内网用户因访问外网网站时，在浏览器的访问请求中出现有意或无意泄密的可能。
在公司网络建设中对于地形图等高密级资料的使用必须采取单独网络或单机运行模式，同时出台相应的规章制度，对地形图资料的复制、传递进行严格的规范，并出台相应的惩罚措施，从公司制度层面对网络安全保密行为进行约束。
4 性能分析
物理隔离网闸通过双主机之间的物理断开来达到数据隔离的目的。内外主机间信息交换只能借助拷贝、镜像、反射等非网络方式来完成。另外，根据内外网间数据交换的具体情况还可以选择不同流向的单向或双向隔离网闸，实现更高级别的数据保密要求。市场上部分物理隔离网闸支持基于文件特征库的文件类型过滤和用户自定义关键字的文件内容筛查，可有效防止商业信息的无意泄漏。
应用物理隔离网闸的双网隔离解决方案具备如下优点。
1）屏蔽了内部的网络拓扑结构，屏蔽了内部主机的操作系统漏洞，消除了来自互联网上对网的攻击。
2）内部服务器不对外部网络提供任何端口，不允许来自任何互联网主机的主动请求，降低了自身风险。
3）通过严格的内容过滤和检查机制严防泄密。
4）可根据需要选择单项或双向数据流动方向，灵活性强。
但是，采用物理隔离网闸对内部工作网络和外部网络进行隔离较采用VPN隔离在费用方面不占优势，同时，涉及地形图的计算机部分仍需单独划分网络。
参考文献
[1]网络隔离的技术分析与安全模型应用[J].数据通信，2002（3）：23-25.
