时间：2023-09-21 18:03:24
导语：在企业网络安全威胁的撰写旅程中，学习并吸收他人佳作的精髓是一条宝贵的路径，好期刊汇集了九篇优秀范文，愿这些内容能够启发您的创作灵感，引领您探索更多的创作可能。
关键词： 网络信息安全； 计算机； APT； 安全防御； 恶意威胁
中图分类号： TN711?34 文献标识码： A 文章编号： 1004?373X（2015）21?0100?05
Threat to network information security and study on new defense
technologies in power grid enterprises
LONG Zhenyue1， 2， QIAN Yang1， 2， ZOU Hong1， 2， CHEN Ruizhong1， 2
（1. Key Laboratory of Information Testing， China Southern Power Grid Co.， Ltd.， Guangzhou 510000， China；
2. Information Center， Guangdong Power Grid Co.， Ltd.， Guangzhou 510000， China）
Abstract： With the continuous development of management informationization of the power grid enterprises， automatic power grid operation and intelligent electrical equipment， the information security has become more important. For the serious situation of network information security， the new?type defense technologies are studied， which are consisted of advanced persistent threat （APT） protection technology and vulnerability scanning technology. Combining with the advantages and disadvantages of these technologies， the strategy of defense effectiveness analysis based on the minimum attack cost is proposed， which can compute the defense capability of the network.
Keywords： network information security； computer； APT； safety defense； malicious threat
0 引 言
随着电网企业管理信息化、电网运行自动化、电力设备智能化的不断发展，电网企业信息安全愈发重要。信息化已成为电力企业工作中的重要组成部分，各类工作对网络的高度依赖，各类信息以结构化、非结构化的方式储存并流转于网络当中，一旦信息网络被攻破，则往往导致服务中断、信息泄漏、甚至指令错误等事件，严重威胁生产和运行的安全。因此，保障网络信息安全就是保护电网企业的运行安全，保障网络安全是电网企业的重要职责[1]。
目前的网络信息安全形势依然严峻，近年来，业务从单系统到跨系统，网络从零星分散到大型化、复杂化，单纯的信息安全防护技术和手段已经不能满足企业安全防护的需要，应针对性地研究具有纵深防御特点的安全防护体系，以信息安全保障为核心，以信息安全攻防技术为基础，了解信息安全攻防新技术，从传统的“知防不知攻”的被动防御向“知攻知防”的纵深积极防御转变，建立全面的信息安全防护体系。
1 概 述
从广义层面而言，网络信息安全指的是保障网络信息的机密性、完整性以及有效性，涉及这部分的相关网络理论以及技术都是网络信息安全的内容。从狭义层面而言，网络信息安全指的是网络信息的安全，主要包括网络软硬件及系统数据安全[2]。网络信息安全需要保证当网络受到恶意破坏或信息泄露时，网络系统可以持续正常运行，为企业提供所需的服务。
通过对我国某电网企业及其下辖电力单位的调研，以及对近5年电力信息资产信息安全类测评结果的统计得知，电网企业现存的网络安全情况主要分为以下3类：网络安全风险与漏洞弱点事件、数据安全风险与漏洞弱点事件、管理类安全风险与漏洞弱点事件。整体上看，电网企业的信息安全问题仍不容乐观，近年来随着网络的复杂化，攻击的新型化和专业化，网络安全防护的情况亟待加强。总体而言，首先要加强并提升网络、应用等方面安全水平，保证信息源头的安全情况；其次加强管理类安全，特别是人员管理、运维管理等方面；最后研究分析最新攻防技术的特点，结合电网实际现状，构建适用于现有网络环境与架构的信息安全纵深防御体系。
本文主要针对第三点展开论述，研究包括高级持续威胁（APT）防护技术、漏洞扫描技术等新型的攻击及其防护技术，提取在复杂网络系统中的防御共同点，并给出一类策略用于分析网络信息安全防御的有效性。
2 信息安全的攻防新技术
电网企业所依赖的信息安全隔离与防御技术主要包括数据加密技术、安全隔离技术、入侵检测技术、访问控制技术等。一方面，通过调研与统计分析。目前电网的信息安全建设主要以防止外部攻击，通过区域划分、防火墙、反向、入侵检测等手段对外部攻击进行防御，对内部的防御手段往往滞后，电网内部应用仍然存在一定的安全风险与漏洞弱点。如果一道防线失效，恶意的攻击者可能通过以内部网络为跳板威胁电网企业的安全；另一方面，电网企业中目前使用的防御技术一般是孤立的，未形成关联性防御，而目前新型的攻击往往会结合多个漏洞，甚至是多个0day漏洞进行组合攻击，使得攻击的隐蔽性、伪装性都较强。因此，要构建信息安全防御体系，仅凭某单一的防护措施或技术无法满足企业的安全要求，只有构建完整的信息安全防护屏障，才能为企业提供足够的信息安全保障能力。
经过分析，目前针对电网企业的新型攻防技术有如下几类：
2.1 高级持续威胁攻击与防护技术
高级持续威胁（APT）是针对某一项有价值目标而开展的持续性攻击，攻击过程会使用一切能被利用的手段，包括社会工程学攻击、0day漏洞攻击等，当各攻击点形成持续攻击链后，最终达到攻击目的。典型的APT攻击案例如伊朗核电项目被“震网（Stuxnet）”蠕虫病毒攻击，通过攻击工业用的可编程逻辑控制器，导致伊朗近[15]的核能离心机损坏。
根据APT攻击的特性，企业可以从防范钓鱼攻击、识别邮件中的恶意代码、识别主机上的恶意代码、监测网络数据渗出等多个环节进行检测，主要涉及以下几类新型技术。
2.1.1 基于沙箱的恶意代码检测技术
恶意代码检测中最具挑战性的是检测利用0day漏洞的恶意代码，传统的基于特征码的恶意代码检测技术无法应对0day攻击。目前最新的技术是通过沙箱技术，构造模拟的程序执行环境，让可疑文件在模拟环境中运行，通过软件所表现的外在行为判定是否是恶意代码。
2.1.2 基于异常的流量检测技术
传统的入侵检测系统IDS都是基于特征（签名）的深度包检测（DPI）分析，部分会采用到简单深度流检测（DFI）技术。面对新型威胁，基于DFI技术的应用需要进一步深化。基于异常的流量检测技术，是通过建立流量行为轮廓和学习模型来识别流量异常，进而识别0day攻击、C&C通信以及信息渗出等恶意行为。
2.1.3 全包捕获与分析技术
由于APT攻击的隐蔽性与持续性，当攻击行为被发现时往往已经持续了一段时间；因此需要考虑如何分析信息系统遭受的损失，利用全包捕获及分析技术（FPI），借助海量存储空间和大数据分析（BDA）方法，FPI能够抓取网络定场合下的全量数据报文并存储，便于后续的历史分析或者准实时分析。
2.2 漏洞扫描技术
漏洞扫描技术是一种新型的、静态的安全检测技术，攻防双方都会利用它尽量多地获取信息。一方面，攻击者利用它可以找到网络中潜在的漏洞；另一方面，防御者利用它能够及时发现企业或单位网络系统中隐藏的安全漏洞。以被扫描对象分类，漏洞扫描主要可分为基于网络与基于主机的安全漏洞扫描技术。
2.2.1 基于网络的安全漏洞扫描技术
基于网络的安全漏洞扫描技术通过网络扫描网络设备、主机或系统中的安全漏洞与脆弱点。例如，通过扫描的方式获知OpenSSL心脏出血漏洞是否存在。基于网络的安全漏洞扫描技术的优点包括：易操作性，扫描在执行过程中，无需目标网络或系统主机Root管理员的参与；维护简便，若目标网络中的设备有调整或变化，只要网络是连通的，就可以执行扫描任务。但是基于网络的扫描也存在一些局限性：扫描无法直接访问目标网络或系统主机上的文件系统；其次，扫描活动不能突破网络防火墙[3]。
2.2.2 基于主机的安全漏洞扫描技术
基于主机的安全漏洞扫描技术是通过以系统管理员权限登录目标主机，记录网络或系统配置、规则等重要项目参数，通过获取的信息与标准的系统安全配置库进行比对，最终获知系统的安全漏洞与风险。
基于主机的安全漏洞扫描技术的优点包括：可使用的规则多，扫描结果精准度高；网络流量负载较小，不易被发现。该技术也存在一些局限性：首先，基于主机的安全漏洞扫描软件或工具的价格昂贵；其次，基于主机的安全漏洞扫描软件或工具首次部署的工作周期较长。
3 基于最小攻击代价的网络防御有效性分析策略
恶意攻击总是以某一目标为导向，恶意攻击者为了达到目标会选择各种有效的手法对网络进行攻击。在复杂网络环境下，如果可以尽可能大地提高恶意攻击者的攻击代价，则对应能达到提高有效防御的能力。基于这个假设，这里展示一种在复杂网络环境下分析攻击有效性的策略，并依此计算从非安全区到目标区是否存在足够小的攻击代价，让恶意攻击可以获取目标。如果存在，则可以被恶意攻击利用的路径将被计算出来；如果不存在，则证明从非安全区到目标区的安全防御能力是可以接受的。
以二元组的形式描述网络拓扑图[4][C，]其中节点是网络中的各类设备，边表示设备间的关联关系。假设非安全区域为[Z，]目标区域为[D。]在网络中，攻击者如果能达到目标，必然至少存在一条从非安全区节点到目标节点[d]的通路[p，]且这条通路上的攻击代价小于值[w。]其中，攻击代价指攻击者能够利用攻击工具、系统缺陷、脆弱性等信息，实现其对目标的入侵行为所付出的代价。直观地，由于攻击行为往往会因遇到安全设备和安全策略的阻拦，而导致其成功实现其攻击目的的时间、精力甚至资金成本提高，攻击者为达到其攻击目标所付出的所有的行为成本即攻击代价。
在图[G]中，每一个节点[v]具有输入权限[q]和获利权限[q]（如表1所示）、本身的防护能力[pr]以及风险漏洞数L（L≥0）。攻击者能力是指攻击者通过输入权限[q，]通过任意攻击手段，在节点[v]上所能获取的最高权限值（获利权限）[q′。]直观地，输入权限代表攻击者在对某节点进行攻击前所拥有的权限，如Web服务器一般均具有匿名访问权限；获利权限代表攻击者最终可以利用的系统权限。
最短攻击路径是从非安全区域[Z]中任意节点[z]到目标节点[d]所有攻击路径中，防护成功率最低的[Pr]所对应的路径。最短攻击路径所对应耗费的攻击代价为最小攻击代价[4]，也是该网络的防护能力有效性分值。
攻击代价阈值：一旦攻击者付出的攻击代价超过其预期，攻击者很大程度上将会停止使得攻击代价超限的某一攻击行为，转而专注于攻击代价较小的其他攻击路径。攻击代价阈值即攻击者为达到目标可接受的最大攻击代价。如果防护能力有效性分值小于攻击代价阈值，则说明攻击目标可以达到。
攻击代价阈值一般可以通过人工方式指定，本文采用德尔斐法，也被称为专家咨询法的方式来确定。经过专家分析和评判，将攻击代价阈值设定为[t，]当攻击路径防护能力小于[t]即认为攻击者会完成攻击行为并能成功实施攻击行为。
4 网络防御有效性分析应用
假设在电网企业复杂网络环境场景下存在一类新型的APT攻击，网络中使用两种策略A，B进行攻击防御。策略A采用了现有的隔离与防御技术，策略B是在现有基础上增加应用了APT防御技术。计算两类策略下的最小攻击代价，并进而对APT防护效果进行分析。
4.1 策略选取
4.1.1 策略A
图1为一个简化的复杂网络环境实例拓扑，其中DMZ区部署的Web服务器为内、外网用户提供Web服务，电网地市局局域网的内部用户不允许与外网直接连接，限网。各安全域之间具体访问控制策略如下：
（1） 只允许地市局局域网用户访问DMZ区Host2（H2）上的IIS Web服务和Host3（H3）上的Tomcat服务；
（2） DMZ 区的H2 允许访问H3上的Tomcat服务和IDC区Host4（H4）上的Oracle DB服务；
（3） 禁止H2和H3访问Domino服务器Host5（H5）；
（4） H5允许访问DMZ的H2和H3及IDC区的H4。
4.2 效果分析
通过上述计算结果表明，在应用策略A与B情况下，局域网用户到DMZ区域目标主机存在的攻击路径的防护有效性分值分别是（0.3，0.3，0.51）与（0.93， 0.93，0.979）。在策略A的情况下，通过DMZ区的H2为跳板，攻击IDC的目标主机H4，最短攻击路径的防护有效性分值只有0.51，说明局域网内的攻击者能在花费较小代价的情况下，轻易地获取内网DMZ或IDC服务器的系统权限，从而造成较大的危害。而增加APT防护设备之后，通过DMZ区的H2为跳板，攻击IDC的目标主机H4，防护有效性分值提升为0.979，其他攻击路径的防护有效性也有明显提高。
策略A与策略B的对比结果表明，在DMZ区域有APT防护技术情况下，网络环境下整体的隔离与防御能力得到了明显提升，从而验证了隔离与防御新技术的防护效果。
5 结 语
在新形势、新技术下，我国电网企业网络信息安全仍面临着严峻的挑战，应当高度重视网络信息安全工作，不断发展完善信息安全防御新技术，改善网络信息安全的水平。单纯使用某种防御技术，往往已无法应对快速变化的安全防御需求，只有综合运用各种新型的攻防技术，分析其关联结果，并通过网内、网间各类安全设备、安全措施的互相配合，才能最终建立健全网络信息安全防范体系，最大限度减少恶意入侵的威胁，保障企业应用的安全、稳定运行。
参考文献
[1] 高子坤，杨海洲，王江涛.计算机网络信息安全及防护策略分析[J].科技研究，2014，11（2）：155?157.
[2] 彭晓明.应对飞速发展的计算机网络的安全技术探索[J].硅谷，2014，15（11）：86?87.
[3] 范海峰.基于漏洞扫描技术的网络安全评估方法研究[J].网络安全技术与应用，2012，8（6）：9?11.
[4] 吴迪，冯登国，连一峰，等.一种给定脆弱性环境下的安全措施效用评估模型[J].软件学报，2012，23（7）：1880?1898.
1.1物理层边界限制模糊
近年来，很多现代化企业加大信息建设，一些下属公司的网络接入企业总网络，企业网路物理层边界限制模糊，而电子商务的业务发展需求要求企业网络具有共享性，能够在一定权限下实现网络交易，这也使得企业内部网络边界成为一个逻辑边界，防火墙在网络边界上的设置受到很多限制，影响了防火墙的安全防护作用。
1.2入侵审计和防御体系不完善
随着互联网的快速发展，网络攻击、计算机病毒不断变化，其破坏力强、速度快、形式多样、难以防范，严重威胁企业网络安全。当前，很多企业缺乏完善的入侵审计和防御体系，企业网络的主动防御和智能分析能力明显不足，检查监控效率低，缺乏一致性的安全防护规范，安全策略落实不到位。
2.构建企业网络安全防护体系
2.1企业网络安全防护体系构建目标
结合企业网络的安全目标、使用主体、性质等因素，合理划分企业逻辑子网，对不同的逻辑子网设置不同的安全防护体系，加强网络边界控制和安全访问控制，保持区域之间的信任关系，构建企业网络安全防护体系，实现网络安全目标：第一，将大型的、复杂的企业网络安全问题转化为小区域的、简单的安全防护问题，有效控制企业网络系统风险，提高网络安全；第二，合理划分企业网络安全域，优化网络架构，实现企业网络安全设计、规划和入网；第三，明确企业网络各个区域的安全防护难点和重点，加大安全设备投入量，提高企业网络安全设备的利用率；第四，加强企业网络运行维护，合理部署企业网络的审计设备，提供全面的网络审核和检查依据，为企业构建网络安全防护体系提供重要参考。
2.2合理划分安全域
现代化企业网络可以按照系统行为、安全防护等级和业务系统这三种方式来划分安全域。由于企业网络在不同区域和不同层次关注的内容不同，因此在划分企业网络安全域时，应结合业务属性和网络管理，不仅要确保企业正常的生产运营，还应考虑网络安全域划分是否合理。针对这个问题，企业网络安全域划分不能仅应用一种划分方式，应综合应用多种方式，充分发挥不同方式的优势，结合企业网络管理要求和网络业务需求，有针对性地进行企业网络安全域划分。首先，根据业务需求，可以将企业网络分为两部分：外网和内网。由于互联网出口全部位于外网，企业网络可以在外网用户端和内网之间设置隔离，使外网服务和内网服务分离，隔离各种安全威胁，确保企业内网业务的安全性。其次，按照企业业务系统方式，分别划分外网和内网安全域，企业外网可以分为员工公寓网络、项目网络、对外服务网络等子网，内网可以分为办公网、生产网，其中再细分出材料采购网、保管网、办公管理网等子网，通过合理划分安全域，确定明确的网络边界，明确安全防护范围和对象目标。最后，按照网络安全防护等级和系统行为，细分各个子网的安全域，划分出基础保障域、服务集中域和边界接入域。基础保障域主要用来防护网络系统管理控制中心、软件和各种安全设备，服务集中域主要用于防护企业网络的信息系统，包括信息系统内部和系统之间的数据防护，并且按照不同的等级保护要求，可以采用分级防护措施，边界接入域主要设置在企业网络信息系统和其他系统之间的边界上。
2.3基于入侵检测的动态防护
随着网络技术的快速发展，企业网络面临的安全威胁也不断发生变化，网络攻击手段日益多样化，新病毒不断涌现，因此企业网络安全防护体系构建应适应网络发展和变化，综合考虑工作人员、防护策略、防护技术等多方面的因素，实现基于入侵检测的动态防护。基于入侵检测的动态防护主要包括备份恢复、风险分析、应急机制、入侵检测和安全防护，以入侵检测为基础，一旦检测到企业网络的入侵威胁，网络系统立即启动应急机制，如果检测到企业网络系统已经受到损坏，可利用备份恢复机制，及时恢复企业网络设置，确保企业网络的安全运行。通过动态安全防护策略，利用动态反馈机制，提高企业网络的风险评估分析能力和主动防御能力。
2.4分层纵深安全防护策略
企业网络安全防护最常见的是设置防火墙，但是网络安全风险可能存在于企业网络的各个层次，防火墙的安全防护作用比较有限。企业网络可采用分层纵深安全防护策略，保障网络安全防护的深度和广度，构建高效、综合、全面的安全防护体系，对于企业网络中的应用层、数据层、系统层、网络层和物理层分别采用信息保护、应用系统安全防护、数据库安全防护、操作系统安全防护、网络保护、物理安全保护等防护手段，根据不同网络系统的特点，有针对性地进行安全防护，例如，在网络层可利用资源控制模块和访问控制模块，加强对网络节点的访问控制，在企业网络的应用层和数据层设置身份授权和认证系统，避免用户的违规操作和越权操作。又例如，由于网络环境比较复杂，可在企业网络的应用层、数据层和系统层，设置网络监控和检测模块，保护企业网络的服务器，防止权限滥用和误操作。
3.结语
随着信息技术和互联网技术的不断发展，计算机网络安全方面的问题，直接影响到了军事、文化、经济、政治等不同的领域。在计算机网络走进千家万户的同时，随之而来的是网络安全问题，在人们享受这网络的方便快捷的同时，也会被或大或小的网络安全问题所困扰。本文以计算机网络安全及企业网络安全应用为基本点，进行详细的分析。
【关键词】计算机网络安全 企业网络安全 应用
在计算机网络应用越来越广泛的今天，人们在享受着网络带来的方便快捷生活的同时，也会被随之而来的网络安全问题而困扰，大多网络用户均属于非专业人士，对网络的认知较浅，只能简单的应用，对于网络上常见的安全问题都会有些束手无策，对于一些需要用到网络的企业而言，网络安全问题更是需要受到重视。
1 计算机网络安全的概述
所谓计算机网络安全是指技术人员对网络的性能和安全实行专业化的管理和控制，针对可能出现的状况制定出合理的解决措施，从而保证数据的保密性以及完整性，且网络环境相对稳定，数据的各方面都能得到有效地保护。对于网络的安全管理主要由两部分构成，一部分为物理安全，另一部分为逻辑安全，物理安全是指整个网络系统的相关硬件以及附带设施实行物理性的保护，防止硬件的丢失或毁损;而逻辑安全则是指对数据传输的完整性、保密性做到全方位的防护。
2 企业网络安全的现状
现阶段，网络的发展和早期所设计的网络意图有所更改，已经将安全问题放在了首位，若不能够将安全问题解决，会在一定程度上直接影响到企业网络的应用。企业网络的信息当中存在着较多的对网络安全会产生不利影响的特性，例如：网络开放性、共享性以及互联性等，在当前经常发生恶性攻击事件，极大地显示出了现阶段严峻的网络安全形势，所以对于网络安全方面的防范措施，需要具备可以解除不同网络威胁的特点。在最近几年，我国的网络协议和系统会产生较多的问题，不能够安全、完善、健全的体现出所具备的影响价值。网络技术和计算机技术由于具备的多样性和复杂性，促使网络安全变为了一种需要不断提升和更新的范畴。因此，计算机网络在企业的应用上，需要拥有相应的网络安全问题的分析，以及网络安全的解决对策，才可以确保企业网络的顺畅运行。
3 企业网络安全应用中的问题
3.1 网络软件的漏洞
网络软件不论多么的优秀，都会产生或多或少的漏洞和缺陷，然而对于较高水平的黑客而言，定会将这些缺陷和漏洞作为首要攻击的目标。在早期发生的黑客攻击事件当中，基本上都是由于产生不完善的软件安全措施所造成的后果。
3.2 人为无意失误
人为的失误方面包含不够恰当的操作员安全配置，会在一定程度上导致安全漏洞的产生，用户缺失较强的安全意识，经常不填写用户口令，会将自身的账号随意的和别人分享或者供他人使用等，会无意间威胁到企业网络。
3.3 人为恶意失误
人为的恶意失误是网络的最大程度威胁因素，例如：计算机犯罪等。类似的攻击，基本上能分成两个层面：其一为被动攻击，是在不影响到网络工作的基础上，开展的破译、窃取、截获后，以此来获取核心性的机密信息。其二为主动攻击，是用不同的方法有选择性的对信息的完整性和有效性进行破坏。这两个层面的攻击，都能够让计算机网络产生较大的威胁，同时会造成机密数据的严重泄漏。
4 企业网络安全应用中的解决对策
4.1 网络设备的安全
在防护网络安全方面，保证网络设备安全是较为基础性的防护模式。其一，需要有效地对设备进行配置，要保证只对设备中必要的服务有所开放，在运行方面，只参考指定人员的访问;其二，重视设备厂商所提出的漏洞，要在第一时间进行网络设备补丁的安装;其三，在计算机网络中的全部设备，有必要定期地进行密码的更换，并且密码方面需要符合相应的复杂度，才能够不被轻易地破解。最后，组织有效的维护设备，保证网络设备的运营稳定性。
4.2 无线网络的安全
因为无线网络信号会利用空气运行，极易产生恶意用户的窃取，因此无线网络安全在一定程度上成为了预防安全隐患的重点。只是加密无线信号，不可以达成安全性的要求。现阶段，在企业的内部提倡应用认证和加密的结合形式，其中所涉及到的认证需要与AD相融合，以此来有效地提升账户的可管理性。
4.3 客户端的安全管理
在大中型的企业当中拥有着较多的客户端，往往都属于Windows操作系统，对其进行分别的管理较为麻烦，需要在企业的内部利用Windows组策略进行客户端的管理。组策略就是利用一次的设定，制约一部分的对象。能够在组策略中创设较为严谨的策略，以此来把控客户端的安全运行。主要的策略包含：加强账户策略、合理删除Guest等类似次要的用户;加强系统日志审核功能;局限非管理员的相应操作权限等。这一系列的策略是企业内部较为通用的策略。针对企业内部生产使用中的客户端，因为作业人员只应用几个建议的操作，因此有必要开展较为严格的限制。例如：最小化系统操作、最小化系统开放端口、最小化运行的用户进程等。其中的最小化运行用户进程所指的是，除了特定的系统进程，不能够使用其他的进程。最小化系统操作包含：禁用注册表、禁用命令提示符、禁用控制面板、禁用鼠标右键等。
5 总结
根据以上的论述，网络安全是较为复杂性、综合性的问题，会与较多的因素相联系，具体包含多种管理、产品以及技术等。不可以单纯的依赖防护系统，也不能够只是将防护系统作为摆设，而不去贯彻落实。想要将企业高效的进行网络运行，就需要为企业解决网络安全的实质性问题，才能做好企业网络信息的可用性、完整性以及保密性。
参考文献
[1]郭晶晶，牟胜梅，史蓓蕾.关于某金融企业网络安全应用技术的探讨[J].数字技术与应用，2013，12（09）：123-125.
[2]王拥军，李建清.浅谈企业网络安全防护体系的建设[J].信息安全与通信保密，2013，11（07）：153-171.
[3]胡经珍.深入探讨企业网络安全管理中的常见问题[J].计算机安全，2013，11（07）：152-160.
[4]周连兵，张万.浅议企业网络安全方案的设计[J].中国公共安全：学术版，2013，10（02）：163-175.
随着数据库、软件工程和多媒体通信技术的快速发展，矿山企业实施了安全生产集控系统、环境监测系统、调度管控系统、移动办公系统及智能决策支持等系统，实现了矿山企业安全生产、办公和管理信息化、智能化。网络能够实现各类信息化系统的数据共享、协同办公等，也是信息化系统正常运行的关键，因此网络安全防御具有重要的作用。本文详细地分析了矿山企业网络安全面临的问题和现状，提出采用先进的防御措施，构建安全管理系统，以便提高网络安全性能，进一步改善矿山企业信息化运营环境的安全性。
1矿山企业网络安全现状分析
随着互联网技术的快速发展，互联网将分布于矿山企业生产、管理等部门的设备连接在一起，形成了一个强大的矿山企业服务系统，为矿山企业提供了强大的信息共享、数据传输能力。但是，由于许多矿山企业工作人员在操作管理系统、使用计算机时不规范，如果一台终端或服务器感染了计算机病毒、木马，将会在很短的时间内扩散到其他终端和服务器中，感染矿山企业信息化系统，导致矿山企业服务系统无法正常使用。经过分析与研究，目前网络安全管理面临威胁攻击渠道多样化、威胁智能化等现状。
1.1网络攻击渠道多样化
目前网络黑客技术正快速普及，网络攻击和威胁不仅仅来源于黑客、病毒和木马，传播渠道不仅仅局限于计算机，随着移动互联网、光纤网络的兴起和应用，网络安全威胁通过智能终端进行传播，传播渠道更加多样化。
1.2网络安全威胁智能化
随着移动计算、云计算和分布式计算技术的快速发展，网络黑客制作的木马和病毒隐藏周期更长，破坏的范围更加广泛，安全威胁日趋智能化，给矿山企业信息化系统带来的安全威胁更加严重，非常容易导致网络安全数据资料丢失。
1.3网络安全威胁严重化
网络安全攻击渠道多样、智能逐渐增加了安全威胁的程度，网络安全受到的威胁日益严重，矿山企业网络设备、数据资源一旦受到安全攻击，将会在短时间内迅速感染等网络中接入的软硬件资源，破坏网络安全威胁。
2矿山企业网络安全防御措施研究
矿山企业网络运行过程中，安全管理系统可以采用主动、纵深防御模式，安全管理系统主要包括预警、响应、保护、防御、监测、恢复和反击等六种关键技术，从根本上转变矿山企业信息系统使用人员的安全意识，改善系统操作规范性，进一步增强网络安全防御性能。
2.1网络安全预警
网络安全预警措施主要包括漏洞预警、行为预警和攻击趋势预警，能够及时发现网络数据流中存在的威胁。漏洞预警可以积极发现网络操作系统中存在的漏洞，以便积极升级系统，修复系统漏洞。行为预警、攻击预警可以分析网络数据流，发现数据中隐藏的攻击行为或趋势,以便能够有效预警。网络安全预警是网络预警的第一步,其作用非常明显,可以为网络安全保护提供依据。
2.2网络安全保护
网络安全保护可以采用简单的杀毒软件、防火墙、访问控制列表、虚拟专用网等技术防御攻击威胁，以便保证网络数据的机密性、完整性、可控性、不可否认性和可用性。网络安全保护与传统的网络安全防御技术相近，因此在构建主动防御模型时，融入了传统的防御技术。
2.3网络安全监测
网络安全监测可以采用扫描技术、实时监控技术、入侵检测技术等发现网络中是否存在严重的漏洞或攻击数据流，能够进一步完善主动防御模型内容，以便从根本上保证网络安全防御的完整性。
2.4网络安全响应
网络安全响应能够对网络中存在的病毒、木马等安全威胁做出及时的反应，以便进一步阻止网络攻击，将网络安全威胁阻断或者引诱到其他的备用主机上。
2.5网络恢复
矿山企业信息系统遭受到攻击之后，为了尽可能降低网络安全攻击损失，提高用户的承受能力，可以采用网络安全恢复技术，将系统恢复到遭受攻击前的阶段。主动恢复技术主要采用离线备份、在线备份、阶段备份或增量备份等技术。
2.6网络安全反击
网络反击技术是主动防御最为关键的技术，也是与传统的网络防御技术最大的区别。网络反击技术可以采用欺骗类攻击、病毒类攻击、漏洞类攻击、探测类攻击和阻塞类攻击等技术，网络反击技术可以针对攻击威胁的源主机进行攻击，不但能够阻断网络攻击，还可以反击攻击源，以便破坏攻击源主机的运行性能。
3矿山企业网络安全管理系统设计
为了能够更好地导出系统的逻辑业务功能，对网络安全管理的管理员、用户和防御人员进行调研和分析，使用原型化方法和结构化需求分析技术导出了系统的逻辑业务功能，分别是系统配置管理功能、用户管理功能、安全策略管理功能、网络状态监控管理功能、网络运行日志管理功能、网络运行报表管理功能等六个部分。
3.1网络安全管理系统配置管理功能分析
通过对网络安全管理系统操作人员进行调研和分析，导出了系统配置管理功能的业务功能，系统配置管理功能主要包括七个关键功能，分别是系统用户信息配置管理功能、网络模式配置、网络管理参数配置、网络管理对象配置、辅助工具配置、备份与恢复配置和系统注册与升级等。
3.2用户管理功能分析
矿山企业网络运行中，其主要设备包括多种，操作的用户也有很多种类别，比如网络设备管理人员、应用系统管理人员、网络维护部门、服务器等，因此用户管理功能主要包括人员、组织、机器等分析，主要功能包括三个方面，分别是组织管理、自动分组和认证配置。组织管理功能可以对网络中的设备进行组织和管理，按照账号管理、机器管理等进行操作；自动分组可以根据用户搜索的设备的具体情况改善机器的搜索范围，添加到机器列表中，并且可以对及其进行重新的分组管理；认证配置可以根据终端机器的登录模式进行认证管理。
3.3安全策略管理功能分析
网络安全防御过程中，网络安全需要配置相关的策略，以便能够更好的维护网络运行安全，同时可以为用户提供强大的保护和防御性能，网络安全策略配置是非常重要的一个工作内容。网络安全防御规则包括多种，比如入侵监测规则、网络响应规则、网络阻断规则等，配置过程复杂，工作量大，通过归纳，需要根据网络安全防御的关键内容设置网络访问的黑白名单、应用封堵、流量封堵、行为审计、内容审计、策略分配等功能。
3.4网络状态监控管理功能分析
网络运行过程中，由于涉及的服务器、终端设备较多，网络运行容易产生错误，需要对网络状态进行实时监管，以便能够及时的发现网络中存在的攻击威胁、故障灯。网络运行管理过程中，需要时刻的监控网络的运行管理状态，具体的网络运行管理的状态主要包括三个方面，分别是系统运行状态、网络活动状态、流量监控状态。
3.5网络运行日志管理功能分析
矿山企业网络运行过程中，根据计算机的特性需要保留网络操作日志，如果发生网络安全事故，可以对网络操作日志进行分析，便于发现某些操作是不符合规则的。因此，网络运行管理过程中，网络运行日志管理可以分析网络运行操作的主要信息，日志管理主要包括以下几个方面，分别是内容日志管理、报警日志管理、封堵日志管理、系统操作日志管理。
3.6网络运行报表管理功能分析
网络运行过程中，为了能够实现网络安全管理的统计分析，可以采用网络安全报表管理模式，以便能够统计分析接入到网络中的各种软硬件设备和系统的运行情况，网络运行报表管理主要包括两个方面的功能，分别是统计报表和报表订阅。
4结束语
随着物联网、大数据、云计算和移动互联网技术的快速应用和普及，矿山企业逐渐进入智慧化时代，网络安全威胁更加智能化、快速化和多样化，感染速度更快，影响范围更广，给矿山企业信息系统带来的损失更加严重，本文提出构建一种多层次的主动网络安全防御系统，能够提高矿山企业信息系统网络运行的安全性，具有重要的作用和意义。
作者:张军 单位:陕西南梁矿业有限公司
引用：
[1]汪军阳，司巍.计算机网络应用安全问题分析与防护措施探讨[J].电子技术与软件工程，2013.
[2]黄哲，文晓浩.浅论计算机网络安全及防御措施[J].计算机光盘软件与应用，2013.
[3]潘泽欢.数字化校园网络的安全现状及防御对策[J].网络安全技术与应用，2015.
[4]赵锐.探讨计算机网络信息安全问题与防护措施[J].计算机光盘软件与应用，2014.
[5]白雪.计算机网络安全应用及防御措施的探讨[J].计算机光盘软件与应用，2012.
[6]王喜昌.计算机网络管理系统及其安全技术分析[J].计算机光盘软件与应用，2014.
【关键词】计算机，网络安全，企业，防护，
[Abstract] the rapid development of computer network technology has brought great convenience to the people, especially in business, any development of an enterprise can not be separated from the construction of the network. However, the emergence of anything has its two sides, and network to create more value is immeasurable, but because of its vulnerability and complexity of the threat of all aspects of its security in the use of enterprise . Present Situation and network security from network security and protection in the enterprise start to explore enterprise network security strategy.Keywords computer, network security, enterprise, protection,
中图分类号：TN915.41
新世纪以来，计算机网络在社会中扮演的角色愈来愈重要，尤其是各个企业集团，离不开网络技术的支持便寸步难行。这样重要的地位也对计算机网络安全提出了更高的要求，针对不同的网络威胁，我们要有清醒的认识并采取有效的手段保障计算机网络优质地服务企业。
一．企业网络安全现状
近几年来，企业由于网络系统的隐患而出现的安全遭侵害事件已屡见不鲜，特别是通信企业，这个以提供网络数据与服务为业务的企业，除了通常的互联网恶意事件外，近年来各种各样的安全事件形式多样、花样百出，黑色产业链日臻成熟，攻击目标变得越来越广泛、手段也越来越多样、组织越来越严密。这样的网络发展结果与发展网络的初衷就大相径庭了，所以企业网络安全问题亟待解决。企业网络安全存在着许多安全隐患。
（一）企业内部隐患
在企业内部，难免存在着一些对网络安全存在好奇并且兴趣浓厚的员工，他们出于各种各样的目的对企业的网络蓄意发起恶意攻击，然而这种进攻是很难防范与发觉的，企业内部员工对企业网络构建非常了解，一旦发起进攻，系统管理人员很难进行维护。另外有一种情况就是由于员工的粗心造成的操作失误，他们可能会误删文件或数据，甚至直接造成网络设备损坏，这样的失误对于企业网络安全是极大的威胁。最后一种情况是，可移动设备的不规范使用，这是企业网络使用的一大隐患，也是最难防范的一个隐患。企业人员不规范或是蓄意的使用移动设备，会造成信息的非法流失与打印，会使企业的信息网络安全遭到破坏。
（二）企业外部隐患
由于企业必然要与外部进行一些文件传输的工作，重要的是每个企业由于信息的需要，都会接入互联网，这些都给那些恶敌以机会，他们会想尽一切办法寻找突破口来窃取企业信息。在互联网上，病毒、木马数量众多并且传播的极其迅速，感染病毒的后果是非常严重的，可能导致整个网络系统的瘫痪。黑客是网络威胁的主要制造者，他们通常运用一些合法的文件将病毒附带进去，其攻击的主要武器有口令攻击器(password cracker)、特洛伊木马、邮件炸弹(E-mail bomb)等等。总之，来自互联网上的威胁也是十分令人生畏的。
（三）安全工具隐患
防火墙是一种非常重要、有效的安全工具，它可以隐藏网络内部的细致结构，对于外部的访问有一定的防范作用，但是对于企业内部的访问却没有防范，无能为力，因此企业的网络安全不能完全依赖安全工具。
（四）安全漏洞和系统后门
企业内部网络中有许多软件，这些软件中都或多或少的存在着漏洞，这些漏洞一旦被黑客利用，后果将是不堪设想的了，企业的网络使用的是局域网，局域网虽然都进行了物理隔离但是还是能够被冲破导致信息的被盗窃，这些漏洞都是企业网络安全的重要隐患，一旦隐患爆发给企业带来的破坏是无法估计的。
二．企业网络安全防护
企业的网络安全至关重要，对于网络管理者来说，对网络安全的防护需要进行全方位的、多角度的开展，确保企业网络安全能够最大限度的实现。针对前文笔者，谈到的网络安全的现状及存在的隐患，我们探究出一下几点防护措施：
（一）企业内部安全防护与管理
1.企业内部硬件升级。在企业网络中，可以配备装置性能极高的计算机，在杀毒与安全防范上都表现出很高的效率与性能，这是在硬件上保证企业网络安全的最基础的。
2.使用和配置防火墙。防火墙是一种有效的安全防护工具，虽然存在着一定的局限但是我们还是要充分认识到防火墙的功用，防火墙能够将企业内部网络结构隐藏，当企业的外部网络对其进行访问时，防火墙会自动对他们进行结构隐藏，充分保护企业的利益，防止信息的外漏或者黑客的侵袭。防火墙是一种非常有效的安全机制，它能够最大限度阻止不安全因素的侵扰。
3.运用入侵检测系统。入侵检测系统是一种监测装置，在发现可疑入侵时会发出警报提醒管理人员。这个系统的最重要优点就是能够自动报警，让危害发生在限制之内，这个系统一般接在Internet接入路由器的第一台交换机上，这样使得它能够最大限度的识别危害。
4.加强人员管理。网络机房的一定要做好保密工作，机房钥匙一定要管理好，不能随便让闲杂人员进入机房重地，另外，机房内还要做好管理，时刻关注机房安全，做好防电、防雷、防水等工作。
5.定期对文件进行备份或维护。对文件信息进行备份是一种非常好的防护措施，这样可以防止员工误删或格式化文件后造成企业重大的损失，备份的文件最好放在可移动U盘上，这样还可以防止网络系统遭遇病毒导致系统瘫痪的后果。另外还要定期对网络进行维护，及时检查网络状况，但计算机上有过期不用的文件时要及时删除，从而保证计算机高速运行。
6.对数据进行加密，控制访问。数据加密的运用主要运用于开放性网络，对其进行加密可以控制使用访问的用户，这在一定程度上增加了网络的安全性，消除了部分不必要的干扰，使得企业的网络安全更加有保障。
7.安装杀毒软件。在计算机上安装高性能的杀毒软件，对进入企业网络的所有事物都进行检测，包括对互连网上下载的文件及软件的病毒扫描，对进入计算机的可移动设备的病毒控制，以及一些网络的www服务及电子邮件的检测等等。
8.安装漏洞扫描系统。计算机上的漏洞是黑客入侵的重要入口，所以要做好计算机漏洞扫描工作，一旦发现漏洞便立即进行修复，防患于未然，把黑客的恶意攻击扼杀在摇篮里。
（二）国家政策对于企业安全的防护
随着网络在国家政治、经济、文化等等方面的大量运用，网络安全问题不断地出现，这样的社会存在，必然需要一定的社会意识去解决，近几年关于网络安全的法律、法规层出不穷，国家根据网络上不断出现的情况适时地修正在网络方面的立法，力求达到这方面立法的完善，这体现了国家对于网络安全问题的重视程度。国家在政策法律上的对于网络安全的保障无疑增加了企业的应对网络不安全事件的信心，企业和国家凝聚成一条绳共同应对网络安全问题，相信网络安全在不久的将来定能够形成完善的、系统的体系。
三．展望
近五年来，网络安全与防护工作进行的如火如荼，不论是国家政策还是企业管理都取得了令人可喜的成绩，这也反过来促进了网络行业的发展。在如今信息技术日新月异的世界潮流下，给网络提供了发展的良好机遇，展望未来，网络的发展必定会带动网络安全问题的出现与进步，这样的局势必然要求更高的技术出现去适应潮流，那么，网络安全在未来也需要从两个方面加强：一方面是要不断根据安全形势、技术发展来补充自己的安全防护标准；另一方面要扩大网络安全检测的广度和深度，使得网络安全走向更高的标准。
结语：计算机网络安全是企业正常运行的必要条件之一，企业要全力地做好工作，不断完善企业的管理制度。通过对网络安全与防护在企业的运用的分析，使我们对网络安全有了更深的了解，对网络防护工作有了更清楚地认识，这有利于在企业工作的人员提高认识加强思想。在国家与企业的共同努力下，企业的网络安全工作定能够做的很好。
参考文献：
[1] 倪汝鹰；；企业网络安全管理维护之探析[J]；现代企业教育；2010年下期
1企业网络安全需求分析
1.1网络安全概念及特征
网络安全是指为防范网络攻击、侵入、干扰、破坏、窃用及其他意外事故所采取的各种必要措施，以确保信息完整、可用、无泄露，保持网络稳定、安全地运行。其主要特征是保证网络信息的完整性、可用性和机密性[2]。
1.2企业网络安全面临的主要问题
企业网络安全面临的问题归纳如下：（1）网络安全目标不明确。虽然《网络安全法》已于2017年6月1日起施行，但企业对网络安全的重要性依然认识不足，缺乏网络安全规划，没有明确的网络安全目标[3]。（2）网络安全意识不足。从企业的决策者到普通员工并没有充分意识到网络安全的重要性，企业网络安全存在很大隐患。（3）网络安全设施不健全。无论大型企业，还是中小企业，都存在网络安全基础设施投入不足的问题，以致设施陈旧、不完整，面对外部攻击和各种漏洞很容易发生信息丢失、泄露、窃用等现象。（4）缺乏完整的网络安全解决方案。企业网络安全防护呈现碎片化、分散化等特点[4]，缺乏系统性、协同性、灵活性，面对万物互联和更高级的威胁，传统防护手段捉襟见肘、防不胜防[5]。
1.3企业网络安全需求
企业因网络安全需要而产生的要求即为企业网络安全需求，这是由企业内部网络因素与外部网络形势共同决定的，内外都不会一成不变，所以企业网络安全需求是一个动态过程，具有时效性。基于此，要准确把握企业网络安全需求，必须对企业网络安全现状进行调查分析，一般而言，企业网络安全主要包括内网安全、边界安全及文件传输安全等方面[6]，具体体现在以下几个方面：（1）网络安全策略需求。安全策略的有效性、完整性和实用性是企业网络安全的一个重要需求。目前的企业网络安全策略文档过于简单，而且没有形成完整的体系，对企业网络安全的指导性不足。（2）网络安全组织需求。企业应建立结构完整、职能清晰的网络安全组织机构，负责企业网络安全策略制定、网络安全培训、网络安全运行管理等。（3）网络安全运行管理需求。企业应建立科学高效的运行管理体系，采用实用的运行管理方法，对服务器安全、网络访问可控性、网络监控等进行管理。
2企业网络安全解决方案
2.1企业网络安全方案设计原则
网络安全方案的设计原则旨在指导企业科学合理地设计网络安全方案，避免失于偏颇和“词不达意”，设计原则可以有很多，笔者认为最重要的原则如下：（1）多重防护原则。突破单一防护机制要比突破多重防护机制容易得多。（2）简单适用原则。过于复杂的方案漏洞多，本身就不安全。（3）系统性原则。企业网络安全面对的威胁是多方面的，只专注于一点无法保障网络安全。（4）需求、风险与代价平衡原则。没有任何方案可以做到绝对安全，追求过高的安全性要付出巨大代价，所以要学会取舍，平衡风险与代价。（5）可维护性原则。没有任何系统可以做到无懈可击，要做到能随时调整、升级、扩充。（6）技术与管理相结合原则。在改善安全技术的同时也要加强管理，减少管理漏洞，对于复杂的安全形势，要多做预案，提前防范突发事件。
2.2企业网络安全解决方案
2.2.1网络分域防护方案网络分域防护的原则是落实安全域的防护策略、制定访问控制策略、检查网络边界、分级防护等。从企业网络安全需求及特点出发，将网络组织架构从逻辑上分为互联网域、服务区域、外联域和内网核心区域，如图1所示。互联网域接入互联网服务，服务区域即企业服务器放置区域，外联域接入分公司区域，内网核心区域是指企业内部网络互联的核心设备区域。如此划分的目的是保证具有相同防护需求的网络及系统处于同一安全子域内，便于各个安全子域内部署相应等级的防护策略。2.2.2部署安全网关方案在外网与内网之间设置安全网关（如图1所示），作为企业网络系统的物理屏障，以保护内网安全。安全网关不是单一的防火墙，而是综合了防病毒、入侵检测和防火墙的一体化安全设备。该设备运用统一威胁管理（unifiedthreatmanagement,UTM）概念，将多种安全特性的防护策略整合到统一的管理平台上，按需开启多种功能，其由硬件、软件、网络技术组成。UTM在硬件上可以采用X86、ASIC、NP架构中的一种，X86架构适于百兆网络，若是千兆网络应采用ASIC架构或NP架构。在升级、维护及开发周期方面，NP架构比ASIC架构更有优势。UTM软件上可以集成防病毒、入侵检测、内容过滤、防垃圾邮件、流量管理等多种功能，通过模式匹配实现特征库统一和效率提升。UTM管理结构基于管理分层、功能分级思想，包含集中管理与单机管理的双重管理机制，实现功能设置管理和数据分析能力。
2.2.3部署IPS与IDS方案IPS是入侵防御系统（intrusionpreventionsystem）的英文缩写，用于监视网络或网络设备上的数据传输，发现异常数据可以即时中断传输或进行隔离，先于攻击达成实现防护，与防火墙功能上互补，并支持串行接入模式，采用基于策略的防护方式，用户可以选择最适合策略达到最佳防护效果。IPS部署在服务区域与内网核心区域之间，或核心交换机与内部服务器之间（如图1所示），可实时监测外部数据向内部服务器的传输过程，发现入侵行为即报警、阻断，同时还能精确阻击SQL注入攻击。IDS是入侵检测系统（intrusiondetectionsystem）的英文缩写，能对网络数据传输实时监视，发现可疑报警或采取其他主动反应措施，属于监听设备，其安全策略包括异常入侵检测、误用入侵检测两种方式，可部署在核心交换机上，对进出内网与内部服务器的数据进行监测，如图1所示。
2.2.4部署漏洞扫描系统方案漏洞扫描是基于漏洞数据库，通过扫描检测远程系统或本地系统漏洞行为，与防火墙、IDS配合以提高网络安全性，扫描对象包括网络、主机和数据库。漏洞扫描运用的技术有主机在线扫描、端口扫描、操作系统识别、漏洞监测数据采集、智能端口识别、多重服务检测、系统渗透扫描等。漏洞扫描系统部署方式包括独立式部署和分布式部署。前者适于比较简单的网络结构，例如电子商务、中小企业等；后者适于复杂、分布点多、数据相对分散的网络结构，例如政府、电力行业、金融行业、电信运营商等。图1为采用独立式部署的漏洞扫描系统方案。
关键词：机密 数据 威胁 网络安全 网络管理
一、概述
随着网络在企业生产经营中应用越来越广、越来越深，企业网络安全的问题也日益凸显。来自企业网外部和内部的攻击无时不刻都在威胁着企业网络的安全，也成了每一位网络管理人员都需要面临的考验。如何建立一个完整的企业网络安全解决方案，减少因网络攻击和病毒引发的生产经营数据的丢失和外泄引发的损失，本文将进行一个浅显的探讨。
二、网络安全的基础——网络设计
网络的设计与建设，是构建一个安全网络的基础。合理的网络构架设计将为未来网络安全的设计与构建节省一大部分开销，这些开销包括了设计、成本和系统的效率等。因此，在构建一个网络的初期，就必须将网络系统的安全作为设计的基本要素，考虑到整个系统中。一个大型的企业，如在地域上分部较为集中，其内网为了增大运行保险系数，一般主干采用双环网的网络构架。这种网络在一路主用线缆引故障停止时会自动切换到备用环上，当然，根据具体的系统配置的不同，双环网正常工作时又会被分为双路负载分担型和双路数据同步型等类型，在这里就不详细介绍了。一个企业如在地域上较为分散，下属有多家子公司且这些子公司又拥有自己的网络的情况下，最好采用以树形或星型网络结构为主的复合型网络设计。这种设计使得各网络层次的访问控制权限一目了然，便于内部网络的控制。
一个大型企业的网络在内部又会被分为许多特定的区域——普通的办公区，财务销售的核心业务区，应用服务器工作区，网络管理维护区，多方网络互联区域，VPN连接区等多个功能区域。其中普通的办公区有时是与财务销售类的业务区合并在一起的，但是，如果公司还涉及特殊业务的时候应当将这两个区域分开，甚至为其单独建立一套网络系统以增强其安全保密性。应用服务器区域一般承载着企业办公、生产等主要业务，因此在安全上其级别应当是最高的。一般对这一区域进行安全设置时最好将除所用端口以外的所有其他端口全部封锁，以避免多余端口通信造成的安全威胁。有条件的网络用户或对安全要求比较高的用户可以在不同的网络之间配置防火墙，使其对网络的访问进行更好的控制或者将不同的网络直接进行物理隔离，以完全绝断不同网络之间的互访。在网络中中有许多服务器，比如病毒服务器、邮件服务器等，有同时被内网及外网访问的需求，应当为这些有外网需求的服务器考虑设置DMZ区域。DMZ区域的安全级别较普通用户区高，即便得到访问授权的用户，其对DMZ区域的访问也是有限制的，只有管理人员才可以对这一区域的服务器进行完全的访问与控制。
三、终端的安全防护
病毒、木马无论通过何种途径传播，其最终都是感染终端为目的的，无论这个终端是指的服务器还是普通用户的终端，因此，对各类终端的安全防护可以说是网络安全构建的关键。对终端的安全防护可以分为两套系统；一种为硬件的防火墙类，一般由管理人员进行专业操作处理的防护系统，包括了反垃圾邮件系统、用户上网行为监控管理系统、网站防篡改系统等专业(服务器)终端防护系统；另一种为软件类的防火墙、杀毒软件及其他安装于各个用户终端由用户或管理人员进行操作管理的防护系统。现在多数的网络安全防护系统多由这两种类型的防护系统复合而成。这种复合式的系统所取得的效果在很大程度上依赖于终端用户的计算机水平及杀毒软件服务提供商的反应能力和软件更新能力，总之，这种方式是比较偏重于“被动防守”的一种防护措施。
现在有厂商提供了一种协调系统，使用这种系统能让以上所述的复合安全系统能够在网络管理员的干涉下实现主动的管理。这套系统一般在用户终端安装一个客户端，开机时，客户端自动判定本终端的安全状态并与安全服务器取得联系，当终端被判定正常时，终端可进行正常权限的网络访问；当终端被判定为非正常(威胁)时，此终端可根据预先堤定的安全策略，断绝与普通局域网的连接，只能与特定的服务器如病毒服务器等进行连接以解决问题。网络管理员可以通过这套系统实时监查每个终端的进程与数据状态，并通过管理终端对客户端进行控制，以解决安全威胁。此类系统的应用将所有用户的终端都纳入了系统管理员的控制下，以系统管理员专业化的技术知识实现对整个系统的监管与维护，能够在很大程度上减少威胁并提高系统的安全性和网络效率。
四、终端用户的规范
网络的安全除了在设计、硬件、技术管理上提高水平外，对网络用户进行必要的指导是十分重要的。普通的网络用户由于其计算机专业知识水平的不同，不可能要求其对终端进行专业的处理，告诫其正确的上网方式，减少各种网络(IE)软件、插件的使用及不明软件的下载是十分重要的。即使对于某些安全防护类软件(控件、插件)也应当控制使用，原因很简单，任何软件的编制都有BUG或漏洞的存在，终端用户所使用的网络软件(插件、控件)越多，这种硬伤类的安全威胁也就越多。终端所面临的威胁也就越多。不安装不必要的(网络)软件，也能在很大程度上避免网络威胁。
[关键词] 企业网络信息安全信息保障
计算机网络的多样性、终端分布不均匀性和网络的开放性、互连性使联入网络的计算机系统很容易受到黑客、恶意软件和非法授权的入侵和攻击，信息系统中的存储数据暴露无遗，从而使用户信息资源的安全和保密受到严重威胁。目前互联网使用TCP/IP协议的设计原则，只实现简单的互联功能，所有复杂的数据处理都留给终端承担，这是互联网成功的因素，但它也暴露出数据在网上传输的机密性受到威胁，任何人都可以通过监听的方法去获得经过自己网络传输的数据。在目前不断发生互联网安全事故的时候，对互联网的安全状况进行研究与分析已迫在眉睫。
一、 国外企业信息安全现状
调查显示，欧美等国在网络安全建设投入的资金占网络建设资金总额的10%左右，而日韩两国则是8%。从国际范围来看，美国等西方国家网络基础设施的建设比中国完善，网络安全建设的起步时间也比中国早，因此发生的网络攻击、盗窃和犯罪问题也比国内严重，这也致使这些国家的企业对网络安全问题有更加全面的认识和足够的重视，但纵观全世界范围，企业的网络安全建设步伐仍然跟不上企业发展步伐和安全危害的升级速度。
国外信息安全现状具有两个特点：
(1)各行业的企业越来越认识到IT安全的重要性，并且意识到安全的必要性，并且把它作为企业的一项重要工作之一。
(2)企业对于网络安全的资金投入与网络建设的资金投入按比例增长，而且各项指标均明显高于国内水平。
二、 国内企业网络信息安全现状分析
2005年全国各行业受众对网络安全技术的应用状况数据显示，在各类网络安全技术使用中，“防火墙”的使用率最高(占76.5%)，其次为“防病毒软件”的应用(占53.1%)。2005年较2004年相比加大了其他网络安全技术的投入，“物理隔离”、“路由器ACL”等技术已经得到了应用。防火墙的使用比例较高主要是因为它价格比较便宜、易安装，并可在线升级等特点。值得注意的是，2005年企事业单位对“使用用户名和密码登陆系统”、“业务网和互联网进行物理隔离”等措施非常重视。其他防范措施的使用也比2004年都提高了一定的比例，对网络安全和信息的保护意识也越来越高。生物识别技术、虚拟专用网络及数字签名证书的使用率较低，有相当一部分人不清楚这些技术，还需要一些时间才能得到市场的认可。
根据调查显示，我国在网络安全建设投入的资金还不到网络建设资金总额的1%，大幅低于欧美和日韩等国。我国目前以中小型企业占多数，而中小型企业由于资金预算有限，基本上只注重有直接利益回报的投资项目，对于网络安全这种看不到实在回馈的资金投入方式普遍表现出不积极态度。另外，企业经营者对于安全问题经常会抱有侥幸的心理，加上缺少专门的技术人员和专业指导，致使国内企业目前的网络安全建设情况参差不齐，普遍处于不容乐观的状况。
三、 企业网络信息系统安全对策分析
“三分技术，七分管理”是技术与管理策略在整个信息安全保障策略中各自重要性的体现，没有完善的管理，技术就是再先进，也是无济于事的。以往传统的网络安全解决方案是某一种信息安全产品的某一方面的应用方案，只能应对网络中存在的某一方面的信息安全问题。中国企业网络的信息安全建设中经常存在这样一种不正常的现象，就是企业的整体安全意识普遍不强，信息安全措施单一，无法抵御综合的安全攻击。随着上述网络安全问题的日益突显，国内网络的安全需求也日益提高，这种单一的解决方案就成为了信息安全建设发展的瓶颈。因此应对企业网络做到全方位的立体防护，立体化的解决方案才能真正解决企业网络的安全问题，立体化是未来企业网络安全解决方案的趋势，而信息保障这一思想就是这一趋势的体现。信息保障是最近几年西方一些计算机科学及信息安全专家提出的与信息安全有关的新概念，也是信息安全领域一个最新的发展方向。
信息保障是信息安全发展的新阶段，用保障(Assurance)来取代平时我们用的安全一词，不仅仅是体现了信息安全理论发展到了一个新阶段，更是信息安全理念的一种提升与转变。人们开始认识到安全的概念已经不局限于信息的保护，人们需要的是对整个信息和信息系统的保护和防御，包括了对信息的保护、检测、反应和恢复能力。为了保障信息安全，除了要进行信息的安全保护，还应该重视提高安全预警能力、系统的入侵检测能力，系统的事件反应能力和系统遭到入侵引起破坏的快速恢复能力。区别于传统的加密、身份认证、访问控制、防火墙、安全路由等技术，信息保障强调信息系统整个生命周期的防御和恢复，同时安全问题的出现和解决方案也超越了纯技术范畴。由此形成了包括预警、保护、检测、反应和恢复五个环节的信息保障概念。
所以一个全方位的企业网络安全体系结构包含网络的物理安全、访问控制安全、系统安全、用户安全、信息加密、安全传输和管理安全等。充分利用各种先进的主机安全技术、身份认证技术、访问控制技术、密码技术、防火墙技术、安全审计技术、安全管理技术、系统漏洞检测技术、黑客跟踪技术，在攻击者和受保护的资源间建立多道严密的安全防线，增加了恶意攻击的难度，并增加审核信息的数量，同时利用这些审核信息还可以跟踪入侵者。
参考文献:
[1]付正:安全――我们共同的责任[J].计算机世界，2006，(19)
[2]李理:解剖您身边的安全[N]．中国计算机报，2006-4-13
【关键词】 云安全 核心技术 网络安全 应用探析
前言：近几年来，越来越多的人们关注网络的安全技术以及应用，网络安全关系到国家安全以及社会和谐安定，我们应当提高对其的重视度。网络安全的本质就是确保网络上的信息安全，其具体指的是网络系统的硬件、软件以及其系统中的数据不被人为的破坏、篡改和泄露，云安全技术的应用，就是保证网络安全的一项技术。云安全技术已经在企业的局域网中得到了具体运用，并且对其出现的问题进行研究改进，进一步为企业的网络信息安全提供了保障。
一、“云安全”的核心技术
1.Web信誉服务。云安全技术可以通过全信誉数据库对恶意软件行为进行分析，并且根据其数据位置的变化和可疑迹象等因素来指定网页信誉分数，从而判断网页是否可信。根据检测的信誉分值，我们可以随时了解到某个网站的潜在风险级别，预防用户进入有病毒的网页带来的危害。
2.电子邮件信誉服务。电子邮件信誉服务可以根据已知垃圾信息的源地址进行检测，可以对发送者邮件进行潜在危险评估。当云技术检测到该邮件中存在病毒时，就会自动对该邮件进行处理，并且当之后再有类似邮件时还会对起进行拦截或者删除，以防危害用户端。
3.自动反馈机制。云安全的另一个重要组件就是自动反馈机制，通过检测单个用户的路由信誉来确定新型的威胁。例如：趋势科技的全球自动反馈机制的功能就像目前大多社区采用的邻里监督模式，能够有效的实现及时监督保护功能，有助于确立全面的最新威胁指数。当单个的用户常规信誉检查发现威胁时，系统就会自动更新趋势科技位于全球各地所有威胁的数据库，防止以后的客户遇到威胁时不能及时反馈。
二、云安全技术在企业网络安全中的应用
1.云安全技术中复合式拦截病毒机制在企业网络安全中的作用。随着云计算的发展，云安全技术在企业局域网中已经得到广泛应用，同时云安全成了企业技术研究当中的主要问题。作为企业局域网络管理者，要认识到对于企业网络内部的威胁主要来自于企业内部，只将精力放在防止网络遭受来自于单位外部的攻击上是远远不够的，云安全技术可以利用互联网云计算技术强大的终端服务器，实现对企业局域网络内部相关软件的云拦截以及云杀毒。也就是说，这种方式采用的是云安全技术中复合式拦截病毒机制，当企业局域网络存在的安全隐患威胁到客户端时，复合式拦截病毒机制就可以对其进行拦截以及采取相应的处理措施。近几年来，网络病毒攻击形式比较多，而且病毒的形式不仅是单一的病毒体，而是由多种单一病毒体重组的复合式病毒，对网络用户端危害极大，云安全技术中复合式拦截病毒机制则可以有效解决这一问题。
2.云安全技术中轻客户端策略在企业网络安全中的应用。云安全技术中轻客户端策略是指将计算机和业务之间的逻辑问题交由服务器处理，客户端只对简单的网络数据显示工作进行处理。例如：当我们收到到一封电子邮件时，云系统就会自动检测该邮件的源地址以及电子链接，并且对其存在的安全性能自动分析。如果检测的结果是该封邮件不可信，服务就会通过云安全技术对其进行杀毒处理，并且可以自动删除该封邮件。与此同时，系统就会将不可信邮件的源地址和电子链接存入到网络安全隐患库中，当接收到类似的邮件时，系统就会对其进行自动拦截或者删除处理，该策略在应用过程中存在一定的弊端，那就是只能够对外部接收的信息进行检测，对计算机自身系统无法检测，主要应用于来自于外部病毒入侵的拦截和处理。
3.云安全技术在企业网络中应用的必要条件。云安全技术是针对云计算产业的出现，结合云计算的应用特点和发展趋势衍生出的确保云计算在局域网中应用安全的一种新型网络安全技术。任何一种软件技术的发展离开了安全的保障，就一定会失去其存在的意义。云安全技术就是通过客户端对局域网中的相关数据以及信息进行收集和统计，分析之后得出源代码，然后再采取相应的处理措施保证其安全性。在实际操作中，通过客户端软件对整个网络进行扫描，找寻到有病毒的文件，再通过杀毒单位采用软件对用户端进行杀毒处理可以有效提升网络安全性。这不仅需要有大量的装有病毒监控软体的客户端，而且具有快速解析源代码的服务器终端。
三、结语
科学技术的不断发展然网络的运用越来越广泛，因其所承载的信息量较大，需要我们对网络信息进行有效保护。云技术的应用充分的实现了人们对于安全的需求，使人们在网络中建立了更完备的安全防御体系，为人们的生活以及工作带来了更多的便利，让人们对于网络的使用更加放心。
参 考 文 献
[1]张海波. 云安全技术在电力企业的应用[J]. 信息技术与信息化，2011，04：60-61+67.
购物车(0)