购物车(0)
企业网络安全论文模板(10篇)
时间：2023-03-20 16:28:41
导言：作为写作爱好者，不可错过为您精心挑选的10篇企业网络安全论文，它们将为您的写作提供全新的视角，我们衷心期待您的阅读，并希望这些内容能为您提供灵感和参考。
篇1
1引言
随着计算机网络的出现和互联网的飞速发展，企业基于网络的计算机应用也在迅速增加，基于网络信息系统给企业的经营管理带来了更大的经济效益，但随之而来的安全问题也在困扰着用户，在2003年后，木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。
随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场，企业就面临着如何提高自身核心竞争力的问题，而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等，又时刻在制约着自己，企业采用PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。
在下面的描述中，以某公司为例进行说明。
2信息系统现状2.1信息化整体状况
1)计算机网络
某公司现有计算机500余台，通过内部网相互连接，根据公司统一规划，通过防火墙与外网互联。在内部网络中，各计算机在同一网段，通过交换机连接。
图1
2)应用系统
经过多年的积累，某公司的计算机应用已基本覆盖了经营管理的各个环节，包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善，计算机应用也由数据分散的应用模式转变为数据日益集中的模式。
2.2信息安全现状
为保障计算机网络的安全，某公司实施了计算机网络安全项目，基于当时对信息安全的认识和安全产品的状况，信息安全的主要内容是网络安全，部署了防火墙、防病毒服务器等网络安全产品，极大地提升了公司计算机网络的安全性，这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。
3风险与需求分析3.1风险分析
通过对我们信息系统现状的分析，可得出如下结论：
(1)经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。
(2)计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心，因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份，并运用技术手段，提高数据的机密性、完整性和可用性。
通过对现有的信息安全体系的分析，也可以看出：随着计算机技术的发展、安全威胁种类的增加，某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷，具体表现在：
(1)系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。
目前实施的安全方案是基于当时的认识进行的，主要工作集中于网络安全，对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证，对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺乏整体方案和制度规范，容易造成重要数据的丢失和泄露。
当时的网络安全的基本是一种外部网络安全的概念，是基于这样一种信任模型的，即网络内部的用户都是可信的。在这种信任模型下，假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部，并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。
针对外部网络安全，人们提出了内部网络安全的概念，它基于这样一种信任模型：所有的用户都是不可信的。在这种信任模型中，假设所有用户都可能对信息安全造成威胁，并且可以各种更加方便的手段对信息安全造成威胁，比如内部人员可以直接对重要的服务器进行操控从而破坏信息，或者从内部网络访问服务器，下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。
美国联邦调查局(FBI)和计算机安全机构(CSI)等权威机构的研究也证明了这一点：超过80%的信息安全隐患是来自组织内部，这些隐患直接导致了信息被内部人员所窃取和破坏。
信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有选用有关的安全服务。不能充分发挥安全产品的效能。
(2)原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的网络安全隐患，产品亟待升级。
已购买的网络安全产品中，有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性，拟对系统的互联网出口进行严格限制，原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求，现有的防火墙不具备这些功能。
网络信息系统的安全建设建立在风险评估的基础上，这是信息化建设的内在要求，系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期，在规划的过程中，就运用风险评估、风险管理的手段，用户才可以避免重复建设和投资的浪费。
3.2需求分析
如前所述，某公司信息系统存在较大的风险，信息安全的需求主要体现在如下几点：
(1)某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。
(2)网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。
(3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行。
(4)信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是某公司面临的重要课题。
4设计原则
安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行，避免重复投入、重复建设，充分考虑整体和局部的利益。
4.1标准化原则
本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定，使安全技术体系的建设达到标准化、规范化的要求，为拓展、升级和集中统一打好基础。
4.2系统化原则
信息安全是一个复杂的系统工程，从信息系统的各层次、安全防范的各阶段全面地进行考虑，既注重技术的实现，又要加大管理的力度，以形成系统化的解决方案。
4.3规避风险原则
安全技术体系的建设涉及网络、系统、应用等方方面面，任何改造、添加甚至移动，都可能影响现有网络的畅通或在用系统的连续、稳定运行，这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题，在规划与应用系统衔接的基础安全措施时，优先保证透明化，从提供通用安全基础服务的要求出发，设计并实现安全系统与应用系统的平滑连接。
4.4保护投资原则
由于信息安全理论与技术发展的历史原因和自身的资金能力，某公司分期、分批建设了一些整体的或区域的安全技术系统，配置了相应的设施。因此，本方案依据保护信息安全投资效益的基本原则，在合理规划、建设新的安全子系统或投入新的安全设施的同时，对现有安全系统采取了完善、整合的办法，以使其纳入总体安全技术体系，发挥更好的效能，而不是排斥或抛弃。
4.5多重保护原则
任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。
4.6分步实施原则
由于某公司应用扩展范围广阔，随着网络规模的扩大及应用的增加，系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性，寻求安全、风险、开销的平衡，采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求，亦可节省费用开支。
5设计思路及安全产品的选择和部署
信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终，如图2所示。
图2网络与信息安全防范体系模型
信息安全又是相对的，需要在风险、安全和投入之间做出平衡，通过对某公司信息化和信息安全现状的分析，对现有的信息安全产品和解决方案的调查，通过与计算机专业公司接触，初步确定了本次安全项目的内容。通过本次安全项目的实施，基本建成较完整的信息安全防范体系。
5.1网络安全基础设施
证书认证系统无论是企业内部的信息网络还是外部的网络平台，都必须建立在一个安全可信的网络之上。目前，解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(PublicKeyInfrastructure，公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统，建立一个完善的网络安全认证平台，能够通过这个安全平台实现以下目标：
身份认证(Authentication)：确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。
数据的机密性(Confidentiality)：对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成。
数据的完整性(Integrity)：确保通信信息不被破坏(截断或篡改)，通过哈希函数和数字签名来完成。
不可抵赖性(Non-Repudiation)：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。
5.2边界防护和网络的隔离
VPN(VirtualPrivateNetwork)虚拟专用网，是将物理分布在不同地点的网络通过公用骨干网(如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。
通过安装部署VPN系统，可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接。
集成的防火墙功能模块采用了状态检测的包过滤技术，可以对多种网络对象进行有效地访问监控，为网络提供高效、稳定地安全保护。
集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。
5.3安全电子邮件
电子邮件是Internet上出现最早的应用之一。随着网络的快速发展，电子邮件的使用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点，电子邮件存在着很大的安全隐患。
目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME(SecureMultipurposeInternetMailExtensions)，它是从PEM(PrivacyEnhancedMail)和MIME(Internet邮件的附件标准)发展而来的。首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织(根证书)之间相互认证，整个信任关系基本是树状的。其次，S/MIME将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。
5.4桌面安全防护
对企业信息安全的威胁不仅来自企业网络外部，大量的安全威胁来自企业内部。很早之前安全界就有数据显示，近80%的网络安全事件，是来自于企业内部。同时，由于是内部人员所为，这样的安全犯罪往往目的明确，如针对企业机密和专利信息的窃取、财务欺骗等，因此，对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。
桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。
1)电子签章系统
利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术，可以无缝嵌入OFFICE系统，用户可以在编辑文档后对文档进行签章，或是打开文档时验证文档的完整性和查看文档的作者。
2)安全登录系统
安全登录系统提供了对系统和网络登录的身份认证。使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机，只需拔出智能密码钥匙，即可锁定计算机。
3)文件加密系统
文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法，从而保证了存储数据的安全性。
5.5身份认证
身份认证是指计算机及网络系统确认操作者身份的过程。基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。USBKey是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USBKey内置的密码算法实现对用户身份的认证。
基于PKI的USBKey的解决方案不仅可以提供身份认证的功能，还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系，从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。
6方案的组织与实施方式
网络与信息安全防范体系流程主要由三大部分组成：攻击前的防范、攻击过程中的防范和攻击后的应对。安全管理贯穿全流程如图3所示。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程，也为本方案的实施提供了借鉴。
图3
因此在本方案的组织和实施中，除了工程的实施外，还应重视以下各项工作：
(1)在初步进行风险分析基础上，方案实施方应进行进一步的风险评估，明确需求所在，务求有的放矢，确保技术方案的针对性和投资的回报。
(2)把应急响应和事故恢复作为技术方案的一部分，必要时可借助专业公司的安全服务，提高应对重大安全事件的能力。
(3)该方案投资大，覆盖范围广，根据实际情况，可采取分地区、分阶段实施的方式。
(4)在方案实施的同时，加强规章制度、技术规范的建设，使信息安全的日常工作进一步制度化、规范化。
7结论
本文以某公司为例，分析了网络安全现状，指出目前存在的风险，随后提出了一整套完整的解决方案，涵盖了各个方面，从技术手段的改进，到规章制度的完善；从单机系统的安全加固，到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署，为众多行业提供了网络安全解决手段。
篇2
信息安全管理涉及油田生产、数据保存、办公区域保护等多个层面，在信息化时代，油田企业需要加强信息化网络安全管理。现阶段，油田企业信息安全管理的漏洞包括：①信息安全管理制度不健全，缺乏细化、具体化的网络安全措施，针对员工不合理使用信息设备、网络的惩罚机制不健全。②部分管理人员和员工信息素养较低，如他们不能全面掌握部分软件的功能，不重视企业网络使用规范，且存在随意访问网站，随意下载文件的现象，增加企业网络负担，影响网络安全。③信息系统管理员缺乏严格的管理理念。石油企业信息网络系统都设有管理员岗位，负责企业内部网络软硬件的配备与管理，但现阶段，该职位员工缺乏严格的管理理念，不能及时发现和解决信息安全隐患。④为方便员工使用移动终端设备办公上网，石油企业办公区域也设置了无线路由器。但是，员工自身的手机等设备存在很多不安全因素，会影响企业网络安全性。
1.2病毒入侵与软件漏洞
网络病毒入侵通常是通过访问网站、下载文件和使用等途径传播，员工如果访问不法链接或下载来源不明的文件，可能会导致病毒入侵，危害信息安全。病毒入侵的原因主要有两方面，一方面，员工的不良行为带来病毒；另一方面，系统自身的漏洞导致病毒入侵。由此看来，油田企业信息化软件自身存在的漏洞也具有安全隐患。其中，主要包括基础软件操作系统，也包括基于操作系统运行的应用软件，如Office办公软件、CAD制图软件、社交软件、油田监控信息系统、油田企业内部邮箱、财务管理软件、人事管理软件等。
1.3网络设备的安全隐患
现阶段，油田企业网络设备也存在不安全因素，主要表现在两方面：第一，油田企业无论是办公区还是作业区，环境都较为恶劣，部分重要企业信息网络设备放置环境的温度、湿度不合理，严重影响硬件的使用寿命和性能，存在信息数据丢失的危险；第二，企业内部网络的一些关键环节尚未引入备份机制，如服务器硬盘，若单个硬盘损坏缺乏备份机制，会导致数据永久性丢失。
2提高油田企业网络安全策略
2.1加强信息安全管理
基于现阶段油田企业信息网络安全管理现状，首先，油田企业要重新制定管理机制，对各个安全隐患进行具体化、细化规范，包括员工对信息应用的日常操作规范，禁止访问不明网站和打开不明链接。其次，油田企业要强化执行力，摒除企业管理弊端，对违规操作的个人进行严厉处罚，使员工意识到信息安全的重要性，提高其防范意识和能力。再次，油田企业要招聘能力强、素质高的信息系统管理员，使其能及时发现和整改系统安全隐患。最后，对员工使用智能终端上网的现象，则建议办公区配备无线路由器的宽带与企业信息网络要完全隔离，以避免对其产生负面影响。
2.2加强对软件安全隐患和病毒的防范
（1）利用好防火墙防范技术。现阶段，油田企业的网络建设虽然引入防火墙设备，但没有合理利用。因此，油田企业要全面监管和控制外部数据，防止不法攻击，防止病毒入侵。同时，定期更新防火墙安全策略。（2）对企业数据进行有效加密与备份。对油田企业来说，大部分数据具有保密性，不可对外泄密。因此，企业不仅要做好内部权限管理，还应要求掌握关键数据的员工对数据做好加密和备份工作。在传输和保存中利用加密工具进行加密，数据的保存则需要通过物理硬盘等工具进行备份。有条件的企业，可在不同地区进行备份，以防止不可抗拒外力作用下的数据丢失。（3）合理使用杀毒软件。企业要对内部计算机和移动终端安装杀毒软件，并高效运行，以加强对病毒的防范。
2.3提升网络设备安全
（1）由于油田企业内部信息网络规模较大，设备较多且部署复杂。因此，要及时解决硬件面临的问题，定期检查维修，提高硬件设备安全性。定期检修能准确掌握网络设备的运行状况，并能及时发现潜在隐患。（2）对处于恶劣环境中的网络设备，包括防火墙、服务器、交换机、路由器等，尽量为其提供独立封闭的空间，以确保温湿度合理。
篇3
1引言
随着计算机网络的出现和互联网的飞速发展，企业基于网络的计算机应用也在迅速增加，基于网络信息系统给企业的经营管理带来了更大的经济效益，但随之而来的安全问题也在困扰着用户，在2003年后，木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。
随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场，企业就面临着如何提高自身核心竞争力的问题，而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等，又时刻在制约着自己，企业采用PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。
在下面的描述中，以某公司为例进行说明。
2信息系统现状
2.1信息化整体状况
1)计算机网络
某公司现有计算机500余台，通过内部网相互连接，根据公司统一规划，通过防火墙与外网互联。在内部网络中，各计算机在同一网段，通过交换机连接。
图1
2)应用系统
经过多年的积累，某公司的计算机应用已基本覆盖了经营管理的各个环节，包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善，计算机应用也由数据分散的应用模式转变为数据日益集中的模式。
2.2信息安全现状
为保障计算机网络的安全，某公司实施了计算机网络安全项目，基于当时对信息安全的认识和安全产品的状况，信息安全的主要内容是网络安全，部署了防火墙、防病毒服务器等网络安全产品，极大地提升了公司计算机网络的安全性，这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。
3风险与需求分析
3.1风险分析
通过对我们信息系统现状的分析，可得出如下结论：
(1)经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。
(2)计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心，因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份，并运用技术手段，提高数据的机密性、完整性和可用性。
通过对现有的信息安全体系的分析，也可以看出：随着计算机技术的发展、安全威胁种类的增加，某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷，具体表现在：
(1)系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。
目前实施的安全方案是基于当时的认识进行的，主要工作集中于网络安全，对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证，对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺乏整体方案和制度规范，容易造成重要数据的丢失和泄露。
当时的网络安全的基本是一种外部网络安全的概念，是基于这样一种信任模型的，即网络内部的用户都是可信的。在这种信任模型下，假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部，并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。
针对外部网络安全，人们提出了内部网络安全的概念，它基于这样一种信任模型：所有的用户都是不可信的。在这种信任模型中，假设所有用户都可能对信息安全造成威胁，并且可以各种更加方便的手段对信息安全造成威胁，比如内部人员可以直接对重要的服务器进行操控从而破坏信息，或者从内部网络访问服务器，下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。
美国联邦调查局(FBI)和计算机安全机构(CSI)等权威机构的研究也证明了这一点：超过80%的信息安全隐患是来自组织内部，这些隐患直接导致了信息被内部人员所窃取和破坏。
信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有选用有关的安全服务。不能充分发挥安全产品的效能。
(2)原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的网络安全隐患，产品亟待升级。
已购买的网络安全产品中，有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性，拟对系统的互联网出口进行严格限制，原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求，现有的防火墙不具备这些功能。
网络信息系统的安全建设建立在风险评估的基础上，这是信息化建设的内在要求，系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期，在规划的过程中，就运用风险评估、风险管理的手段，用户才可以避免重复建设和投资的浪费。
3.2需求分析
如前所述，某公司信息系统存在较大的风险，信息安全的需求主要体现在如下几点：
(1)某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。
(2)网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。
(3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行。
(4)信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是某公司面临的重要课题。
4设计原则
安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行，避免重复投入、重复建设，充分考虑整体和局部的利益。
4.1标准化原则
本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定，使安全技术体系的建设达到标准化、规范化的要求，为拓展、升级和集中统一打好基础。
4.2系统化原则
信息安全是一个复杂的系统工程，从信息系统的各层次、安全防范的各阶段全面地进行考虑，既注重技术的实现，又要加大管理的力度，以形成系统化的解决方案。
4.3规避风险原则
安全技术体系的建设涉及网络、系统、应用等方方面面，任何改造、添加甚至移动，都可能影响现有网络的畅通或在用系统的连续、稳定运行，这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题，在规划与应用系统衔接的基础安全措施时，优先保证透明化，从提供通用安全基础服务的要求出发，设计并实现安全系统与应用系统的平滑连接。
4.4保护投资原则
由于信息安全理论与技术发展的历史原因和自身的资金能力，某公司分期、分批建设了一些整体的或区域的安全技术系统，配置了相应的设施。因此，本方案依据保护信息安全投资效益的基本原则，在合理规划、建设新的安全子系统或投入新的安全设施的同时，对现有安全系统采取了完善、整合的办法，以使其纳入总体安全技术体系，发挥更好的效能，而不是排斥或抛弃。
4.5多重保护原则
任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。
4.6分步实施原则
由于某公司应用扩展范围广阔，随着网络规模的扩大及应用的增加，系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性，寻求安全、风险、开销的平衡，采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求，亦可节省费用开支。
5设计思路及安全产品的选择和部署
信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终，如图2所示。
图2网络与信息安全防范体系模型
信息安全又是相对的，需要在风险、安全和投入之间做出平衡，通过对某公司信息化和信息安全现状的分析，对现有的信息安全产品和解决方案的调查，通过与计算机专业公司接触，初步确定了本次安全项目的内容。通过本次安全项目的实施，基本建成较完整的信息安全防范体系。
5.1网络安全基础设施
证书认证系统无论是企业内部的信息网络还是外部的网络平台，都必须建立在一个安全可信的网络之上。目前，解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(PublicKeyInfrastructure，公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统，建立一个完善的网络安全认证平台，能够通过这个安全平台实现以下目标：
身份认证(Authentication)：确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。
数据的机密性(Confidentiality)：对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成。
数据的完整性(Integrity)：确保通信信息不被破坏(截断或篡改)，通过哈希函数和数字签名来完成。
不可抵赖性(Non-Repudiation)：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。
5.2边界防护和网络的隔离
VPN(VirtualPrivateNetwork)虚拟专用网，是将物理分布在不同地点的网络通过公用骨干网(如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。
通过安装部署VPN系统，可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接。
集成的防火墙功能模块采用了状态检测的包过滤技术，可以对多种网络对象进行有效地访问监控，为网络提供高效、稳定地安全保护。
集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。
5.3安全电子邮件
电子邮件是Internet上出现最早的应用之一。随着网络的快速发展，电子邮件的使用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点，电子邮件存在着很大的安全隐患。
目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME(SecureMultipurposeInternetMailExtensions)，它是从PEM(PrivacyEnhancedMail)和MIME(Internet邮件的附件标准)发展而来的。首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织(根证书)之间相互认证，整个信任关系基本是树状的。其次，S/MIME将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。
5.4桌面安全防护
对企业信息安全的威胁不仅来自企业网络外部，大量的安全威胁来自企业内部。很早之前安全界就有数据显示，近80%的网络安全事件，是来自于企业内部。同时，由于是内部人员所为，这样的安全犯罪往往目的明确，如针对企业机密和专利信息的窃取、财务欺骗等，因此，对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。
桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。
1)电子签章系统
利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术，可以无缝嵌入OFFICE系统，用户可以在编辑文档后对文档进行签章，或是打开文档时验证文档的完整性和查看文档的作者。
2)安全登录系统
安全登录系统提供了对系统和网络登录的身份认证。使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机，只需拔出智能密码钥匙，即可锁定计算机。
3)文件加密系统
文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法，从而保证了存储数据的安全性。
5.5身份认证
身份认证是指计算机及网络系统确认操作者身份的过程。基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。USBKey是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USBKey内置的密码算法实现对用户身份的认证。
基于PKI的USBKey的解决方案不仅可以提供身份认证的功能，还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系，从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。
6方案的组织与实施方式
网络与信息安全防范体系流程主要由三大部分组成：攻击前的防范、攻击过程中的防范和攻击后的应对。安全管理贯穿全流程如图3所示。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程，也为本方案的实施提供了借鉴。
图3
因此在本方案的组织和实施中，除了工程的实施外，还应重视以下各项工作：
(1)在初步进行风险分析基础上，方案实施方应进行进一步的风险评估，明确需求所在，务求有的放矢，确保技术方案的针对性和投资的回报。
(2)把应急响应和事故恢复作为技术方案的一部分，必要时可借助专业公司的安全服务，提高应对重大安全事件的能力。
(3)该方案投资大，覆盖范围广，根据实际情况，可采取分地区、分阶段实施的方式。
(4)在方案实施的同时，加强规章制度、技术规范的建设，使信息安全的日常工作进一步制度化、规范化。
7结论
本文以某公司为例，分析了网络安全现状，指出目前存在的风险，随后提出了一整套完整的解决方案，涵盖了各个方面，从技术手段的改进，到规章制度的完善；从单机系统的安全加固，到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署，为众多行业提供了网络安全解决手段。
篇4
当前，大多数企业都实现了办公自动化、网络化，这是提高办公效率、扩大企业经营范围的重要手段。但也正是因为对计算机网络的过分依赖，容易因为一些主客观因素对计算机网络造成妨碍，并给企业造成无法估计的损失。
1网络管理制度不完善
网络管理制度不完善是妨碍企业网络安全诸多因素中破坏力最强的。“没有规矩，不成方圆。”制度就是规矩。当前，一些企业的网络管理制度不完善，尚未形成规范的管理体系，存在着网络安全意识淡漠、管理流程混乱、管理责任不清等诸多严重问题，使企业相关人员不能采取有效措施防范网络威胁，也给一些攻击者接触并获取企业信息提供很大的便利。
2网络建设规划不合理
网络建设规划不合理是企业网络安全中存在的普遍问题。企业在成立初期对网络建设并不是十分重视，但随着企业的发展与扩大，对网络应用的日益频繁与依赖，企业未能对网络建设进行合理规划的弊端也就会日益凸显，如，企业所接入的网络宽带的承载能力不足，企业内部网络计算机的联接方式不够科学，等等。
3网络设施设备的落后
网络设施设备与时展相比始终是落后。这是因为计算机和网络技术是发展更新最为迅速的科学技术，即便企业在网络设施设备方面投入了大笔资金，在一定时间之后，企业的网络设施设备仍是落后或相对落后的，尤其是一些企业对于设施设备的更新和维护不够重视，这一问题会更加突出。
4网络操作系统自身存在漏洞
操作系统是将用户界面、计算机软件和硬件三者进行有机结合的应用体系。网络环境中的操作系统不可避免地会存在安全漏洞。其中包括计算机工作人员为了操作方便而主动留出的“后门”以及一些因技术问题而存在的安全隐患，一旦这些为网络黑客所了解，就会给其进行网络攻击提供便利。
网络安全防护体系的构建策略
如前所述，企业网络安全问题所面临的形势十分严峻，构建企业网络安全防护体系已经刻不容缓。要结合企业计算机网络的具体情况，构建具有监测、预警、防御和维护功能的安全防护体系，切实保障企业的信息安全。
1完善企业计算机网络制度
制度的建立和完善是企业网络安全体系的重要前提。要结合企业网络使用要求制定合理的管理流程和使用制度，强化企业人员的网络安全意识，明确网络安全管护责任，及时更新并维护网络设施设备，提高网络设施的应用水平。如果有必要，企业应聘请专门的信息技术人才，并为其提供学习和培训的机会，同时，还要为企业员工提供网络安全的讲座和培训，引导企业人员在使用网络时主动维护网络安全，避免网络安全问题的出现。
2配置有效的防火墙
防火墙是用于保障网络信息安全的设备或软件，防火墙技术是网络安全防御体系的重要构成。防火墙技术主要通过既定的网络安全规则，监视计算机网络的运行状态，对网络间传输的数据包进行安全检查并实施强制性控制，屏蔽一些含有危险信息的网站或个人登录或访问企业计算机，从而防止计算机网络信息泄露，保护计算机网络安全。
3采用有效的病毒检测技术
篇5
现阶段，我国的供电企业内网网络结构不够健全，未能达成建立在供电企业内部网络信息化的理想状态。中部市、县级供电公司因为条件有限，信息安全工作相对投入较少，安全隐患较大，各种安全保障措施较为薄弱，未能建立一个健全的内网网络系统。但随着各类信息系统不断上线投运，财务、营销、生产各专业都有相关的信息系统投入应用，相对薄弱的网络系统必将成为整个信息管理模式的最短板。
（2）存在于网络信息化机构漏洞较多。
目前在我国供电企业中，网络信息化管理并未建立一个完整系统的体系，供电网络的各类系统对于关键流程流转、数据存储等都非常的重要，不能出现丝毫的问题，但是所承载网络平台的可靠性却不高，安全管理漏洞也较多，使得信息管理发展极不平衡。信息化作为一项系统的工程，未能有专门的部门来负责执行和管理。网络信息安全作为我国供电企业安全文化的重要组成部分，针对现今我国供电企业网络安全管理的现状来看，计算机病毒，黑客攻击造成的关键保密数据外泄是目前最具威胁性的网络安全隐患。各种计算机准入技术，可移动存储介质加密技术的应用，给企业信息网络安全带来了一定的保障。但是目前供电企业信息管理工作不可回避的事实是：操作系统正版化程度严重不足。随着在企业内被广泛使用的XP操作系统停止更新，针对操作系统的攻击将变得更加频繁。一旦有计算机网络病毒的出现，就会对企业内部计算机进行大规模的传播，给目前相对公开化的网络一个有机可乘的机会，对计算机系统进行恶意破坏，导致计算机系统崩溃。不法分力趁机窃取国家供电企业的相关文件，篡改供电系统相关数据，对国家供电系统进行毁灭性的攻击，甚至致使整个供电系统出现大面积瘫痪。
（3）职工安全防范意识不够。
想要保证我国网络信息的安全，就必须要提高供电企业员工的综合素质，目前国内供电企业职员的安全防范意识不强，水平参差不齐，多数为年轻职员，实际操作的能力较低，缺少应对突发事件应对措施知识的积累。且多数老龄职工难以对网络信息完全掌握，跟不上信息化更新状态，与新型网络技术相脱轨。
2网络信息安全管理在供电企业中的应用
造成供电企业的信息安全的威胁主要来自两个方面，一方面是国家供电企业本身设备上的信息安全威胁，另一方面就是外界网络恶意的攻击其中以外界攻击的方式存在的较多。现阶段我国供电企业的相关部门都在使用计算机对网络安全进行监督和管理，难以保证所有计算机完全处在安全状态。一般情况下某台计算机泄露重要文件或者遭到黑客的恶意攻击都是很难察觉的，这就需要加强我国供电企业进行安全的管理，建立病毒防护体系，及时更新网络防病毒软件，针对性地引进远程协助设备，提高警报设备的水平。供电企业的信息系统一个较为庞大且繁杂的系统，在这个系统中存在信息安全风险也是必然的。在这种情况下就要最大程度地降低存在的风险，对经历的风险进行剖析，制定针对性的风险评估政策，确立供电企业信息系统安全是以制定针对性风险评估政策为前提的，根据信息安全工作的紧迫需求做好全面的风险评估至关重要。“掌握核心技术”不只是一句简单的广告词语，还是国家和各个企业都应该一直贯彻落实的方针政策。为了避免外界对我国供电企业信息技术的操控，国家相关部门就必须实行自主研发信息安全管理体系，有效地运用高科技网络技术促使安全策略、安全服务和安全机制的相结合，大力开发信息网络，促进科技管理水平的快速提高，以保证我国供电信息管理的安全。
篇6
1.2对外部网络攻击的防护因连接到因特网，不可避免地会受到外部网络的攻击，通常的做法是安装部署网络防火墙进行防护。通过设置防护策略防止外部网络的扫描和攻击，通过网络地址转换技术NAT（NetworkAddressTranslation）等方式隐藏内部网络的细节，防止其窥探，从而加强网络的安全性。1.3员工上网行为的管控对于在办公区内的员工，要禁止其在工作期间做无关工作的网络行为，如QQ聊天、论坛发帖子、炒股等，尤其禁止其玩征途等各类网络游戏。常用做法就是安装网络行为管理设备（应用网关），也有些企业会出于成本考虑安装一些网络管理类软件，但若操作不当，很容易会造成网络拥塞，出现莫名其妙的故障。
1.4对不同接入者权限的区分企业网络中的接入者应用目的是不相同的，有些必须接入互联网，而有些设备不能接入互联网；有些是一定时间能接入，一定时间不能接入等等，出于成本等因素考虑，不可能也没必要铺设多套网络。通常的做法是通过3层交换机划分虚拟局域网VLAN（VirtualLocalAreaNetwork）来区分不同的网段，与防火墙等网络控制设备配合来实现有关功能。
1.5安全审计功能通过在网络旁路挂载的方式,对网络进行监听，捕获并分析网络数据包，还原出完整的协议原始信息，并准确记录网络访问的关键信息，从而实现网络访问记录、邮件访问记录、上网时间控制、不良站点访问禁止等功能。审计设备安装后不能影响原有网络，并需具有提供内容安全控制的功能，使网络维护人员能够及时发现系统漏洞和入侵行为等，从而使网络系统性能能够得到有效改善。通常的做法就是安装安全运行维护系统SOC（SecurityOperationsCente）r，网管员定时查看日志来分析网络状况，并制定相应的策略来维护稳定网络的安全运行。
.6外网用户访问内部网络公司会有一些出差在外地的人员以及居家办公人员SOHO（SmallOfficeHomeOffice），因办公需要，会到公司内网获取相关数据资料，出于安全和便捷等因素考虑，需要借助虚拟专用网络技术VPN（VirtualPrivateNetwork）来实现。通常的做法是安装VPN设备（应用网关）来实现。
2网络安全设备的部署与应用
通过企业网络安全分析，结合中小企业网络的实际需求进行设计。该网络中的核心网络设备为UTM综合安全网关。它集成了防病毒、入侵检测和防火墙等多种网络安全防护功能，从而成为统一威胁管理UTM(UnifiedThreatManagement)综合安全网关。它是一种由专用硬件、专用软件和网络技术组成的具有专门用途的设备，通过提供一项或多项安全功能，将多种安全特性集成于一个硬件设备，构成一个标准的统一管理平台[2]。通常，UTM设备应该具备的基本功能有网络防火墙、网络入侵检测（防御）和网关防病毒等功能。为使这些功能能够协同运作，有效降低操作管理难度，研发人员会从易于操作使用的角度对系统进行优化，提升产品的易用性并降低用户误操作的可能性。对于没有专业信息安全知识的人员或者技术力量相对薄弱的中小企业来说，使用UTM产品可以很方便地提高这些企业应用信息安全设施的质量。在本案例中主要使用的功能有防火墙、防病毒、VPN、流量控制、访问控制、入侵检测盒日志审计等。网络接入和路由转发功能也可由UTM设备来实现。因其具有多个接口（即多个网卡），可通过设定接口组把办公区、车间、服务器组等不同区域划分成不同的网段；通过对不同网段设定不同的访问规则，制定不同的访问策略，来实现非军事化区DMZ（demilitarizedzone）、可信任区以及非信任区的划分，从而有效增强网络的安全性和稳定性。对于上网行为的管理，可以通过内置UTM设备的功能来实现管控，并可以实现Web过滤以及安全审计功能。，设定了办公区和车间1可以访问互联网，而车间2不能访问互联网。在办公区和部分车间安装无线AP，可方便人员随时接入网络。通过访问密码和身份认证等手段，可对接入者进行身份识别，对其访问网络的权限进行区分管控。市场上还有一些专用的上网行为管理设备，有条件的单位可进行安装，用以实现对员工上网行为进行更为精准的管控。对于出差在外地的人员和SOHO人员可在任何时间通过VPN客户端，用事先分配好的VPN账户，借助UTM设备的VPN功能，与总部建立VPN隧道，从而保证相互间通信的保密性，安全访问企业内部网络，实现高效安全的网络应用。
篇7
3: 吉林省林业设计院网络中心网络改造与发展规划.
4: 吉林省林业系统生态信息高速公路构建课题.
二、论文撰写与设计研究的目的:
吉林省的林业分布十分广泛,以长白山系为主要脉络的山地广泛分布各种森林资源,而作为林业及林业环境的发展,林业生态信息则是一个更为庞大的系统,快捷,准确,合理,系统的采集,处理,分析,存储这些信息是摆在我们面前的十分现实的问题.在信息交流的这个世界中,信息好比货物,我们需要将这些货物(信息)进行合理的处理,其中以硬件为主的计算机网络系统是这些货物(信息)交流的"公路"和"处理厂",我做这个题目,就是要为它画出一条"公路"和若干"处理方法"的蓝图.
由于森工集团这样的特定企业,其一,它是一个统一管理的企业,具有集团化的特点,网络的构建具有统一性.其二,它又在地理上是一个分散的企业,网络点也具有分散性.然而,分散中还具有集中的特点,它的网络系统的设计就应该是板块化的.从信息的角度来讲,信息的种类多,各种信息的采集传输处理角度也不尽相同,我们在设计的过程中不仅要考虑硬件的地域布局,也要考虑软件平台的配合.
没有最好,只有更好;更新观念,大步向前.我相信,在导师的精心指导下,经过我的努力,我将为它们创造出一条平坦,宽阔的"高速公路".
1,论文(设计)研究的对象:
拟订以吉林省林业系统为地理模型,以林业网络综合服务为基本需求,以网络拓扑结构为设计方向,以软件整合为应用方法,开发设计一套完整的基于集散集团企业的企业网络系统.
2,论文(设计)研究预期达到目标:
通过设计,论文的撰写,预期达到网络设计全面化,软件整合合理化,网络性能最优化,资金应用最低化,工程周期最短化的目标.
3,论文(设计)研究的内容:
一),主要问题:
设计解决网络地域规范与现有网络资源的利用和开发.
设计解决集中单位的网络统一部署.
设计解决多类型网络的接口部署.
设计解决分散网络用户的接入问题.
设计解决远程瘦用户网络分散点的性能价格合理化问题.
设计解决具有针对性的输入设备的自动化信息采集问题.
合理部署网络服务中心的网络平衡.
优化网络服务系统,营造合理的网络平台.
网络安全问题.
10,基本应用软件整合问题.
[nextpage]
二),论文(设计)包含的部分:
1,地理模型与网络模型的整合.
2,企业内部集中部门网络设计.
3,企业内部分散单元网络设计——总体分散.
4,企业内部分散单元网络设计——远程结点.
5,企业内部分散单元网络设计——移动结点.
6,企业网络窗口(企业外信息交流)设计.
7,企业网络中心,服务平台的设计.
8,企业网络基本应用软件结构设计.
9,企业网络特定终端接点设计.
10,企业网络整合设计.
5,论文(设计)的实验方法及理由:
由于设计的过程并不是工程的施工过程,在设计过程中详尽的去现场建设肯定有很大的难度,也不是十分可行的,那么我们在设计的阶段就应该进行仿真试验和科学计算.第一步,通过小型网络测试软件平台,第二步,构建多个小型网络搭建全局网络模拟环境,第三步,构建干扰源利用小型网络集总仿真测试.
6,论文(设计)实施安排表:
1.论文(设计)阶段第一周次:相关理论的学习研究,阅读参考文献资料,制订课题研究的实施方案,准备试验用网络硬件和软件形成试验程序表及试验细则.
2.论文(设计)阶段第二周次:开始第一轮实验,进行小型网络构建试验,模拟网络服务中心,模拟区域板块,模拟远程及移动网络.
3.论文(设计)阶段第三周次:进行接口模拟试验,测试软件应用平台,完善课题研究方案.
4.论文(设计)阶段第四周次:完成第一轮实验,提交中期成果(实验报告1).
5.论文(设计)阶段第五周次:进行第二轮实验,模拟环境(干扰仿真)实验,提交实验报告2.
6.论文(设计)阶段第六周次:完成结题报告,形成论文.
三,论文(设计)实施工具及参考资料:
小型网络环境,模拟干扰环境,软件平台.
吴企渊《计算机网络》.
郑纪蛟《计算机网络》.
陈济彪 丹青 等 《计算机局域网与企业网》.
christian huitema 《因特网路由技术》.
[美]othmar kyas 《网络安全技术——风险分析,策略与防火墙》.
其他相关设备,软件的说明书.
1、论文(设计)的创新点:
努力实现网络资源的全面应用,摆脱将单纯的网络硬件设计为企业网络设计的模式,大胆实践将软件部署与硬件设计阶段相整合的网络设计方法.
篇8
1．引言
随着Internet网络的迅速发展，绝大多数企事业单位的用户都存在上网的需求，但是现行的IPV4协议32位的地址空间已经出现严重短缺，公有IP地址不仅越来越稀少而且价格也相对昂贵。在目前的网络环境中，NAT技术的合理使用可以很好地解决这个问题。
NAT可以在路由器、防火墙或单独的NAT设备等多种网络设备上进行配置实现，应用范围广，而且价格低廉，配置简单网络地址转换，是许多中小企业解决公网地址不足的有效方法。
2．NAT 的基本原理
NAT （Network Address Translation，网络地址转换），它允许一个机构以一个公有 IP 地址出现在Internet 上。将局域网内每个节点的私有地址转换成一个公有 IP 地址，反之亦然。而且，它可以应用于防火墙技术，把个别地址隐藏起来不被外界发现，使外界无法直接访问内部网络设备。同时，它可以帮助网络超越地址的限制，合理地安排网络中的公有 Internet 地址和私有 IP地址的使用。
NAT技术能帮助解决令人头疼的 IP 地址紧缺的问题，实现公网地址和私网地址之间的映射，而且能使内部和外部的网络隔离，提供一定程度的网络安全保障。它解决问题的办法是：:在内部网络中使用内部地址，通过NAT 把内部地址翻译成合法的IP地址在 Internet 上使用，其具体的做法是把 IP包内的地址域用合法的外部 IP 地址来替换。
2.1 NAT工作流程:
（1）当私网内的 IP 包经 NAT 流入公网时，NAT将此 IP包的源 IP地址改为 NAT接口上的一个公网地址。
（2）当公网中的 IP包经NAT访问私网资源时，NAT将此 IP包目的地址改为某一私网 IP地址论文的格式。
2.2 NAT技术的类型
NAT有三种类:静态 NAT（static NAT）、NAT池（pooled NAT） 和端口 NAT（PAT）。其中，静态NAT设置起来最为简单网络地址转换，内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址。而NAT池则是在外部网络中定义了一系列的合法地址，采用动态分配的方法映射到内部网络。PAT 则是将多个内网地址映射到同一个外网地址的不同端口上。根据不同的需要，各种 NAT 方案都是有利有弊。
2.2.1 NAT地址池
使用 NAT地址池，可以从未注册的地址空间中提供被外部访问的服务，也可以从内部网络访问外部网络，而不需要重新配置内部网络中的每台机器的IP地址。采用 NAT池意味着可以在内部网络中定义很多的内部用户，通过动态分配的办法，共享很少的几个外部 IP地址。而静态NAT则只能形成一一对应的固定映射方式。
NAT池提供很大灵活性的同时，也影响到网络原有的一些管理功能。例如，一些管理系统要利用IP地址来跟踪设备的运行情况。但使用NAT 之后，意味着那些被翻译的地址对应的内部地址是变化的，今天可能对应一台工作站，明天可能对应一台服务器。这给网络管理带来了麻烦。
2.2.2 PAT
PAT 可把内部的 TCP/ IP 映射到外部一个注册 IP 地址的多个端口上，还可支持同时连接 64500 个 TCP/ IP、UDP/ IP，但实际可支持的工作站个数会少一些。
在 Internet 中使用 PAT 时，所有不同的 TCP和 UDP信息流看起来仿佛都来源于同一个 IP 地址。这个优点在小型办公室内非常实用，通过从ISP处申请的一个 IP 地址网络地址转换，通过 PAT 将多个连接接入 Internet。
3．企业案例
笔者在指导企业开展网络安全服务过程中，利用NAT 技术特点，将其运用至企业网络管理中，使企业节约了网络资源，增强了企业的网络调优能力和网络的安全性, 同时为企业节约了网络管理成本，受到企业欢迎。
背景：图1为某企业网络拓扑结构简图，是基于层次性网络结构的设计，接入层设备采用S2126G交换机，汇聚层设备采用s3550三层交换机。企业中有四个大的子网。分别为工程部、财务部、商务部和服务器群（目前企业只有1台web服务器），在交换机上划分vlan，vlan10 是工程部子网、vlan20是财务部子网、vlan30是商务部子网、vlan40是服务器群网络。为了保证网络的高可用性和稳定性，接入层交换机与汇聚层交换机通过两条链路相连，汇聚层交换机通过F0/1与RB路由器接口F1/1相连，汇聚层交换机通过接口F0/8与web服务器群网络相连接。
工程部和财务部各有20台电脑，商务部有30台电脑，网络中还有1台web服务器。根据企业业务需要，要求所有计算机都能上互联网网络地址转换，web服务器要求能对外开放。现在企业有8个c类地址（IP 地址是 218.192.84.101 至 218.192.84.108 掩码为 255.255.255.0 ）这显然是不够用论文的格式。因此采用了NAT技术的解决方案。
方案中使用锐捷路由器。将企业网根据职能分成四个子网，服务器子网对外提供 Web 服务。考虑到服务的安全性，故采用静态地址转换。工程部和财务部各自使用独立的地址池接入企业网，并采用动态地址转换；商务部共用 1 个 IP 地址，采用地址端口转换。
图1 企业网络拓扑结构
路由器的配置如下（以下命令均以锐捷设备为例）
1）配置内部全局地址池。给工程部、财务部、商务部配置地址池engineering_departmeng、accounting_department 和commerce_department
Router(config)# ip nat poolengineering_department 218.192.84.104 218.192.84.105 netmask 255.255.255.0
Router(config)# ip natpool accounting_department 218.192.84.106 218.192.84.107 netmask255.255.255.0
Router(config)# ip nat poolcommerce_department 218.192.84.108 218.192.84.108 netmask 255.255.255.0
2）配置允许转换的内部本地地址的范围。给工程部、财务部、商务部配置允许转换的内部本地地址的范围
Router(config)# access–list10 permit 172.16.10.0 0.0.0.255
Router(config)# access–list20 permit 172.16.20.0 0.0.0.255
Router(config)# access–list30 permit 172.16.30.0 0.0.0.255
Router(config)# access–list40 permit 172.16.40.0 0.0.0.255
3）配置本地地址与全局地址的映射关系
Router(config)# ip nat insidesource static 172.16.40.1 218.192.84.102
Router(config)# ip nat insidesource list 10 pool engineering_departmengcomputer 1
Router(config)# ip nat insidesource list 20 pool accounting_department computer 2
Router(config)# ip nat insidesource list 30 pool commerce_department overload
4）配置外部接口
Router(config)# interfaces1/2
Router(config-if)# ip address218.192.84.101 255.255.255.0
Router(config-if)# ip natoutside
Router(config-if)# noshutdown
5）配置内部接口。
Router(config)# interfacef1/1
Router(config-if)# ip address172.16.1.2 255.255.255.0
Router(config-if)# ip natinside
Router(config-if)# noshutdown
6）设置缺省路由 路由器设置。
Router(config)# ip route 0. 0. 0. 0 0. 0. 0. 0 218. 192. 84. 101
7）三层交换机的基本配置以及vlan划分省略了，不在此罗列了。
经过上述配置后 Internet 上的主机可以访问校园网中的 Web 服务器以及工程部、财务部、商务部的计算机也可以同时访问到互联网。
4．结束语
随着 IP 地址短缺以及网络安全的问题日渐突出，采用网络地址转换是一个方便、廉价而且实用的方法。文章系统的归纳了此项技术，并结合此技术给出了 NAT 技术的应用实例，很好的解决了企业网络调优及安全问题，完善了该技术的价值。
[参考文献]
[1]谢希仁.计算机网络[M]. 北京电子工业出版社，2003.
篇9
中图分类号：TP398.1 文献标识码：A 文章编号：1006-8937（2015）30-0069-02
1 网络安全的重要性
网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科，是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。具体而言，网络安全就是保护个人隐私，控制对网络资源的访问，保证商业秘密在网络上传输的保密性、完整性及真实性，控制不健康的内容或危害社会稳定的言论，避免机密泄漏等。
2 我厂网络安全措施
2.1 统一出口，便于管理
将三地的网络进行了配置更改，两地间增加了高性能的路由器，建成了企业内部局域网络。此局域网的建成就像给企业网络系统安装了一个“保护壳”，使企业内部网络的使用更加方便、快捷的同时保证了数据采集、传输的安全性，加强了计算机信息和网络的保密性。
2.2 企业防火墙，墙
在企业局域网的统一出口安装了Internet防火墙，负责管理Internet和企业内部网络之间的访问。在没有防火墙时，内部网络上的每个节点都暴露给Internet上的其它主机，极易受到攻击。这就意味着内部网络的安全性要由每一个主机的坚固程度来决定，并且安全性等同于其中最弱的系统。
2.3 生产和办公物理和虚拟相结合隔离
为了保证生产网的安全稳定运行，采取了生产网和办公网逻辑隔离，两网通过防火墙相连，高度融合，进一步强化了生产网的安全性。
2.4 病毒扫描评估
通过专业软件扫描分析全厂的网络系统，检查网络系统中存在的弱点和漏洞并生成相应的报告，提出修补方法和应实施的安全策略，增强了网络安全性。
2.5 行为管理
引进了国内先进的“网康”网络接入管理设备，对企业网络进行优化管理，实现了对网络的整体流量分配与控制，加强了网络数据流量分析，优化了网络流量调整工作。
2.6 区域WLAN的划分
将企业办公、生产区域网络用户按照单位、区域和楼层等细化管理，通过划分不同的WLAN，从逻辑上阻隔网段，彻底阻隔广播域，缩小区域，减小网络异常的影响范围。
3 目前存在的主要问题
3.1 认识上的误区
①安装最新的杀毒软件就不怕病毒了。安装杀毒软件的目的是为了预防病毒的入侵和查杀系统中已感染的计算机病毒，但这并不能保证就没有病毒入侵了，因为杀毒软件查杀某一病毒的能力总是滞后于该病毒的出现。
②在每台计算机上安装单机版杀毒软件和网络版杀毒软 件等效。网络版杀毒软件核心就是集中的网络防毒系统管理。网络版杀毒软件可以在一台服务器上通过安全中心控制整个网络的客户端杀毒软件同步病毒查杀、监控整个网络的病毒。同时对于整个网络而言，管理非常方便，对于单机版是不可能做到的。
③不上网就不会中毒。虽然不少病毒是通过网页传播的，但像QQ聊天接发邮件同样是病毒传播的主要途径，而且盗版光盘以及U盘等也会存在着病毒。所以只要计算机开着，就要防范病毒。
④文件设置只读就可以避免感染病毒。设置只读只是调用系统的几个命令，而病毒或黑客程序也可以做到这一点，设置只读并不能有效防毒，不过在局域网中为了共享安全，放置误删除，还是比较有用的。
⑤网络安全主要来自外部。基于内部的网络攻击更加容易，不需要借助于其他的网络连接方式，就可以直接在内部网络中实施攻击。所以，加强内部网络安全管理，特别是用户帐户管理，如帐户密码、临时帐户、过期帐户和权限等方面的管理非常必要。
3.2. 技术上的差距
①操作系统使用盗版。由于习惯问题，部分软件不兼容原装系统和觉得正版与盗版都一样等的一些类似原因导致使用盗版系统占到我厂绝大数计算机，给全厂网络安全带来了严重隐患。
②生产电脑防火墙和杀毒软件无法自动升级。由于办公网和生产网隔离，生产电脑无法上网，无法自动升级防火墙和杀毒等软件，以至于在生产电脑上插拔外置移动设备和局域内传输文件带来的安全危险显得毫无抵抗之力。
③查找故障机困难。由于三地运行，地域广，人员多，加之入厂机子相关登记信息空白，给查找故障机带来更多困难，显得无从下手。
4 进一步的措施
4.1 环网建设
目前企业网络链路均为单链路。致使网络链路抗风险能力较差，链路中断后恢复时间较长。不能满足生产管理系统的稳定运行需求。为提高网络链路的抗风险能力，计划在充分利用已建光缆、杆路资源及网络设备的基础上，新增传输设备，将网络链路构成环网，当网络中断后自动切换至反向链路，实现网络“零中断”。
4.2 层级改造
我厂分场站网络节点，由于之前采用交换机级联的方式组网，受到光缆资源的限制，尚有部分网络级联层级达到三级或者更多，随着网络的不断扩展，层级数过多问题也日益凸显，现计划对此类场站进行层级改造。
4.3 基于DHCP和MAC地址动态绑定的用户自助接入系 统研究与应用
充分利用现有成熟的DHCP、VPMS和开源Liunx系统的相关技术，实现基于DHCP和MAC地址动态绑定的网络用户自助接入指定网络，无需安装客户端，从而简化日常IT管理人员负担和提高网络管理效率与信息安全水平，基于DHCP和MAC地址动态绑定的用户自助接入系统应用，如图1所示。
4.4 端口封装，细化管理
结合以上MAC地址绑定和VLAN划分，通过客户端连接交换机做端口分装策略，进一步固定IP地址，防止IP使用混乱，营造一个平稳畅通的网络环境。
5 结 语
上述论文主要从我厂当前实际的网络运行状况，分析了所存在的网络安全隐患，及采取的一些相应安全措施和下步主要安全工作的同时，也客观的提出了所面临的实际困难。最后希望通过本论文的深入研究分析我厂网络安全的现状，可以使大家有对网络安全的重要性有了进一步的了解。
参考文献：
[1] 董玉格.网络攻击与防护-网络安全与实用防护技术[M].北京：人民邮 电出版社，2002.
篇10
中途分类号：TP309.2 文献识别码：A 文章编号：1007-9416（2016）05-0000-00
作为一个信息与技术均密集型的行业来说，广电网络企业所采用的现代化计算机网络，不仅要提高内部自动化办公的效率，更要保证使用有线通宽带的用户通讯时有舒适畅通的体验，其通常有线通、数据专线网络、办公网络三个部分。为了使系统正常运作，并且可以保证其稳定性，所以多种高性能设备和先进技术是必不可少的。这是因为广电的应用系统较为复杂，需要满足比较严格的条件，比如数据、图像、视频等传输要求
1 广电网络安全需及隐患
“有线通”业务是广电网络公司为用户提供的基于双向有线网络的宽带接入服务，利用遍布本市有线电视双向网络，通过EOC、EPON和 CMTS为用户提供宽带接入服务，目前“有线通”用户超过5000户，另外还包括本市银行、医保等数据专线业务，因此要加大对信息资源的保护力度，控制管理服务资源予。
1.1 广电网络安全需求
消除信息网络内部各类信息的完整性，真实性，以及可用性和不被非法泄露盗用的安全隐患，使其在存储、获取、传递以及处理过程中处于安全状态。为了使区域网保持其完整性、真实性、以及不被非法泄露盗用，使网络外部的攻击无效，加强对内部用户访问资源的控制，各类信息的获取、存储、处理和传递必须能够应对各种层次的管理要求
1.2 广电企业网络安全隐患
现如今广电企业网络面临的主要安全隐患：（1）其它网络的攻击INTERNET上黑客、恶意用户等会利用广电企业在INTERNET上接入网络系统的这一特点来攻击网络，如企图进入网络系统、实现对敏感信息的窃取、系统数据的破坏、恶意代码的设置、来严重降低或瘫痪系统服务。这个问题相当严重，不能忽视，所以相应的安全措施要适时采取，防止这类事情的发生。（2）管理及操作人员缺乏安全知识现如今信息的应用和安全技术与网络的技术发展不成正比，前者相对滞后，用户在引入和采用安全设备和系统时，没有进行全面和深入的培训和学习，没有对信息安全的重要性与技术的认识，这就会导致安全设备/系统发挥不了正确的作用，最终成为摆设。（3）雷击当地为雷电灾难多发的沿海沿江地区。一旦遭受到雷电袭击，连锁反应就会产生，整个网络就会瘫痪，设备也会收到损害，后果十分严重，这是因为很多的网络设备、终端、线路等都会牵扯到网络系统中，它们的传输方式都是通过通信电缆传输完成的，所以受到雷击的概率特别大。为了减少雷击造成的损失，就必须对整个网络系统采取相应的防雷措施。
2 广电网络企业网络安全策略
2.1 访问控制策略
为了防止非法访问，使用户身份鉴别和对重要网络、服务器的安全控制起作用，此时，最关键的是实施访问控制。为了能够使网络安全得到保证，玩不可缺的是防火墙。防火墙会进行限制网络流，合法网络流得到许可，并将非法网络流截止，在根据网络流的来源和访问目标的安全性作出判断后。可以提供在网络边界处的安全策略，对有效的简化复杂的网络安全问题，使管理成本缩小，并将潜藏的风险降低，是防火墙最大的存在意义。
2.2 加密信息策略
信息加密在实现对网内的数据、文件、口令和加强对信息的控制的保护，网上的数据传输的保证，是必不可缺的。网络节点之间的链路信息安全可以通过链路加密得到保证；源节点到目的节点之间的传输链路可以通过节点加密得到保护；端与端加密能够保护源端用户到目的端用户的数据。因此，链路加密、节点加密和端点加密三种方法是网络加密常用的方法。用户可根据实际情况进行选择。
密码技术是网络安全颇为有效的技术中的一个。通过网络加密，可以禁止非授权用户搭线偷听和入网，并且让恶意软件也没有可乘之机。
2.3 内外网互联安全策略
在网络的边界必须用安全设备进行分离，通过防火墙的路由及NAT功能，广电的信息网络对医保、银行专网的访问就得以实现。这是因为广电的银行、医保专网和内部网络的安全级别以及安全防护的要求不同，其作为核心网络是属于两个截然不同单位的。并且这样可以通过在防火墙配置严格的访问控制措施，，其他未经授权的用户不得相互访问，访问医保专网和广电信息网络的权利只有授权用户及IP地址。
3 数据备份策略
3.1 数据容灾备份设计
“本地备份”和“异地灾备”是寻常的备份方式。如果备份设备与要操作的数据、系统支撑设备的数据交换方式通常是光纤高速通路的，且两者的距离非常小，那么使用本地备份的方式。异地灾备与本地备份恰好相背，备份中心建立在离源数据、系统存放地的距离相当远的地方，这样做的好处是，当一些不能避免的事件发生时，数据或系统受到影响，而不会将破损灾备中心。
3.2 容灾恢复建议方案设计
在广电系统业务平常运作中，为了能够在出现问题故障时及时将至关重要的数据恢复，操作并备份关键数据和数据库是关键组成成份。当出现非常大的数据量或发生突发性灾难时，备份磁带却不能发挥实际作用，不能及时的将数据恢复出来，这是因为数据通常采用磁带离线备份。所以若想要编定一套完整的灾难备份方案，那么软件，特别对相关的备份，存储设备，服务器以及灾难恢复的解决是一个都不能缺少的。 应该含有主数据中心和备份中心，主数据中心是相对比较可靠的解决方案，主数据中心与备份数据中心的连接方式是通过光纤或电信网实现的。主中心系统配置主机的存储磁盘阵列中存储着数据，由于是由两台或多台服务器以及其他相关服务器组成的，所以它有很高的可靠性。有相同结构的磁盘阵列存储在异地备份中心，同样也有一台或多台备份服务器。可以在主数据中心通过配置磁带备份服务器这一途径，完成备份软件和磁带库的安装。在存储阵列和磁带库上直接将备份服务器连接上，从而实现对系统的日常数据的磁带备份的控制。
