企业网络安全体系范文
时间：2023-09-18 17:58:29
导语：如何才能写好一篇企业网络安全体系，这就需要搜集整理更多的资料和文献，欢迎阅读由公文云整理的十篇范文，供你借鉴。
篇1
随着互联网技术的发展，在企业中运用计算机网络进行各项工作更加的深入和普及，通过企业网络向师生提供高效、优质、规范、透明和全方位的信息服务，冲破了人与人之间在时间和空间分隔的制约，越来越被更多的人们所接受和应用。然而由于企业网络自身的特点，使安全问题在企业网络的运行与管理中格外突出，研究构建、完善基于企业网的信息安全体系，对企业网安全问题的解决具有重要意义。
一、企业网络安全风险状况概述
企业网络是在企业范围内，在一定的思想和理论指导下，为企业提供资源共享、信息交流和协同工作的计算机网络。随着我国各地企业网数量的迅速增加，如何实现企业网之间资源共享、信息交流和协同工作以及保证企业网络安全的要求是越来越强烈。与其它网络一样，企业网也同样面临着各种各样的网络安全问题。但是在企业网络建设的过程中，由于对技术的偏好和运营意识的不足，普遍都存在”重技术、轻安全、轻管理”的倾向，随着网络规模的急剧膨胀，网络用户的快速增长，关键性应用的普及和深入，企业网络在企业的信息化建设中已经在扮演了至关重要的角色，作为数字化信息的最重要传输载体，如何保证企业网络能正常的运行不受各种网络黑客的侵害就成为各个企业不可回避的一个紧迫问题，解决网络安全问题刻不容缓，并且逐渐引起了各方面的重视。
由于Internet上存在各种各样不可预知的风险，网络入侵者可以通过多种方式攻击内部网络。此外,由于企业网用户网络安全尚欠缺，很少考虑实际存在的风险和低效率，很少学习防范病毒、漏洞修复、密码管理、信息保密的必备知识以及防止人为破坏系统和篡改敏感数据的有关技术。
因此，在设计时有必要将公开服务器和外网及内部其它业务网络进行必要的隔离，避免网络结构信息外泄；同时还要对网络通讯进行有效的过滤，使必要的服务请求到达主机，对不必要的访问请求加以拒绝。
二、企业网络安全体系结构的设计与构建
网络安全系统的构建实际上是入侵者与反入侵者之间的持久的对抗过程。网络安全体系不是一劳永逸地能够防范任何攻击的完美系统。人们力图建立的是一个网络安全的动态防护体系，是动态加静态的防御，是被动加主动的防御甚至抗击，是管理加技术的完整安全观念。但企业网络安全问题不是在网络中加一个防火墙就能解决的问题，需要有一个科学、系统、全面的网络安全结构体系。
（一）企业网络安全系统设计目标
企业网络系统安全设计的目标是使在企业网络中信息的采集、存储、处理、传播和运用过程中，信息的自由性、秘密性、完整性、共享性等都能得到良好保护的一种状态。在网络上传递的信息没有被故意的或偶然的非法授权泄露、更改、破坏或使信息被非法系统辨识、控制，网络信息的保密性、完整性、可用性、可控性得到良好保护的状态。
（二） 企业网防火墙的部署
1.安全策略。所有的数据包都必须经过防火墙;只有被允许的数据包才能通过防火墙;防火墙本身要有预防入侵的功能;默认禁止所有的服务，除非是必须的服务才被允许。
2.系统设计。在互联网与企业网内网之间部署了一台硬件防火墙，在内外网之间建立一道安全屏障。其中WEB、E一mail、FTP等服务器放置在防火墙的DMZ区(即“非军事区”，是为不信任系统提供服务的孤立网段，它阻止内网和外网直接通信以保证内网安全)，与内网和外网间进行隔离，内网口连接企业网，外网口通过电信网络与互联网连接。
3.入侵检测系统的设计和部署。入侵检测系统主要检测对网络系统各主要运营环节的实时入侵，在企业网网络与互联网之间设置瑞星RIDS一100入侵检测系统，与防火墙并行的接入网络中，监测来自互联网、企业网内部的攻击行为。发现入侵行为时，及时通知防火墙阻断攻击源。
4.企业网络安全体系实施阶段。第一阶段:基本安全需求。第一阶段的目标是利用已有的技术，首先满足企业网最迫切的安全需求，所涉及到的安全内容有:
①满足设备物理安全
②VLAN与IP地址的规划与实施
③制定相关安全策略
④内外网隔离与访问控制
⑤内网自身病毒防护
⑥系统自身安全
⑦相关制度的完善
第二阶段:较高的安全需求。这一阶段的目标是在完成第一阶段安全需求的前提下，全面实现整个企业网络的安全需求。所涉及的安全内容有:
①入侵检测与保护
②身份认证与安全审计
③流量控制
④内外网病毒防护与控制
⑤动态调整安全策略
第三阶段:后续动态的安全系统调整与完善。相关安全策略的调整与完善以及数据备份与灾难恢复等。
在上述分析、比较基础上，我们利用现有的各种网络安全技术，结合企业网的特点，依据设计、构建的企业网络安全体系，成功构建了如图4-1的企业网络安全解决方案，对本研究设计、构建的企业网络安全体系的实践应用具有重要的指导意义。
图4-1 企业网络安全体系应用解决方案
篇2
[关键词] 网络安全 关键技术 铁路网 网络管理 防护体系
一、引言
铁路系统的计算机应用和信息化建设已具规模，TMIS、客票、调度、集装箱和物资等管理信息系统相继建成并已投入使用。在铁道部、铁路局、基层站段三级网络的支撑下，以TMIS和电子政务应用为核心的各项计算机应用系统已在铁路运输生产中发挥着越来越重要的作用。对于现代营销、现代物流和电子商务等应用系统，仅具有连通功能的网络是无法满足其要求的，针对大型企业网络安全方面存在的漏洞和隐患，利用简单的技术防范措施已无法解决。必须调整网络结构，克服平面网络结构先天性的抵御攻击能力差、控制乏力的弱点，并采用先进的技术、加强基础设施和有效的网络管理，形成保证网络和信息安全的纵深立体防御体系。
二、建立计算机网络安全体系
对于网络而言，没有绝对保证的信息安全，只有根据网络自身特点，合理运用网络安全技术，建立适应性的安全运行机制，才能从技术上最大限度地保证信息安全。
1.网络安全关键技术
由防火墙（Firewall）、PKI（Public Key Infrastructure）公钥安全体系、虚拟局域网（VLAN）和物理隔离与信息交换系统等构成了网络安全的关键技术。
2.创建铁路网络立体安全防护体系
网络安全防护体系是由安全操作系统、应用系统、防火墙、网络监控、安全扫描、通信加密、网络反病毒等多个安全组件共同组成的，每个组件只能完成其中部分功能。
(1)路由器。路由器是架构网络的第一层设备，也是网络入侵者的首要攻击目标，因此路由器必须安装必要的过滤规则，滤掉被屏蔽的IP地址和服务。例如，我们首先屏蔽所有的IP地址，然后有选择的放行一些地址进入我们的网络。路由器也可以过滤服务协议,允许需要的协议通过，而屏蔽其他有安全隐患的协议。
(2)入侵监测系统IDS。入侵监测系统是被动的，它监测你的网络上所有的包(packets)。其目的就是捕捉危险或有恶意的动作，并及时发出警告信息。它是按用户指定的规则运行的，它的功能和防火墙有很大的区别，它是对端口进行监测、扫描等。入侵检测系统是立体安全防御体系中日益被普遍采用的成分，它能识别防火墙通常不能识别的攻击，如来自企业内部的攻击；在发现入侵企图之后提供必要的信息，帮助系统移植。
(3)防火墙。防火强可防止“黑客”进入网络的防御体系，可以限制外部用户进入内部网，同时过滤掉危及网络的不安全服务，拒绝非法用户的进入。同时可利用其产品的安全机制建立VPN（Virtual Private Networks）。通过VPN，能够更安全地从异地联入内部网络。
(4)物理隔离与信息交换系统（网闸）。铁路内部网是铁路运输系统的指挥中枢，调度指令必须实时、准确下达。内部网调度服务的实时可用性成为铁路信息系统最为核心的安全需求。因此不能因为信息化建设过程中对外网访问的需求而影响内部网络系统的安全性及可用性。物理隔离与信息交换系统是运用物理隔离网络安全技术设计的安全隔离系统，它保证内部网络与不可信网络物理隔断，能够阻止各种已知和未知的网络层和操作系统层攻击，提供比防火墙、入侵检测等技术更好的安全性能，既保证了物理的隔离，又实现了在线实时访问不可信网络所必需的数据交换。
(5)交换机。目前局域网大多采用以交换机为中心、路由器为边界的网络格局。核心交换机最关键的工作是访问控制功能和三层交换功能。访问控制对于交换机就是利用访问控制列表ACL来实现用户对数据包按照源和目的地址、协议、源和目的端口等各项的不同要求进行筛选和过滤。还有一项非常关键的工作就是划分VLAN。
(6)应用系统的认证和授权支持。建立应用系统提升安全性的支撑平台，实现应用系统保护的功能包括以下几个方面:
①应用系统网络访问漏洞控制。应用系统软件要求按安全软件标准开发，在输入级、对话路径级和事务处理三级做到无漏洞；集成的系统要具有良好的恢复能力，这样才能保证内部生产网中的系统避免因受攻击而导致的瘫痪、数据破坏或丢失。
②数字签名与认证。应用系统须利用CA提供的数字证书进行应用级的身份认证，对文件和数据进行数字签名和认证，保证文件和数据的完整性以及防止源发送者抵赖。
③数据加密。对重要的数据进行加密存储。
(7)操作系统的安全。保证操作系统的安全包括以下内容：
①操作系统的裁剪。不安装或删除不必要使用的系统组件。
②操作系统服务裁剪。关闭所有不使用的服务和端口，并清除不使用的磁盘文件。
③操作系统漏洞控制。在内部网中建立操作系统漏洞管理服务器，我们在内部网中安装了微软WSUS Server及第三方安全管理软件（BES），对网络内所有联网主机的操作系统进行监控，一旦发现存在系统漏洞或者安全隐患，立即强制其安装相应的系统补丁或者组件。
(8)病毒防护。网络病毒网关与网络版的查杀病毒软件（McAfee EPO + Clients）相结合，构成了较为完整的病毒防护体系，能有效地控制病毒的传播，保证网络的安全稳定。
三、计算机网络安全管理
有效的技术手段只是网络安全的基础工作，但仅靠网络安全技术是绝对无法确保信息安全的。严格的计算机网络安全管理制度，才能充分发挥网络安全技术的效能，才能使网络信息更加安全可靠。
四、结束语
目前计算机网络已经深入到铁路运输生产管理、客户服务、物流和客货运营销等各个领域。不解决安全问题，可能造成巨大的经济损失。创建铁路计算机网络安全防护体系，将是铁路信息化建设的有力保障。但建立计算机信息安全体系是一个复杂而又庞大的系统工程，涉及的问题也比较多。只有继续对计算机网络安全体系进行深入的研究和探讨，才能更好的实现网络安全，保证中国铁路信息化建设的正常进行。
参考文献：
[1]邱雪松:网络管理体系结构.北京邮电大学,1999.7
[2]蒋苹:计算机信息系统安全体系设计.计算机工程与科学，2003，01
篇3
【关键词】网络安全；防火墙；VPN；VLAN
一、引言
随着电力施工企业信息化发展的不断深入，企业对信息系统的依赖程度越来越高，信息与网络安全直接影响到企业生产、经营及管理活动，甚至直接影响企业未来发展。企业网络规模的扩大、信息接入点增多、分布范围广，使信息接入点管控难度大。企业信息与网络安全面临各类威胁，笔者以构建某电力施工企业信息与网络安全体系为例，从信息安全管理、技术实施方面进行阐述与分析，建立一套比较完整信息化安全保障体系，保障业务应用的正常运行。
二、企业网络安全威胁问题分析
1.企业网络通信设备存的安全漏洞威胁，网络非法入侵者可以采用监听数据、嗅探数据、截取数据等方式收集信息，利用拒绝服务攻击、篡改数据信息等方式对合法用户进行攻击。
2.非法入侵用户对网络系统的知识结构非常清楚，包括企业外部人员、企业内部熟悉网络技术的工作人员，利用内部网络进行恶意操作。非法用户入侵企业内部网络主要采用非法授权访问对企业内部网络进行恶意操作，以达到窃取商业机密的目的；独占网络资源的方式，非业务数据流（如P2P文件传输与即时通讯等）消耗了大量带宽，轻则影响企业业务无法正常运作，重则致使企业IT系统瘫痪，对内部网络系统造成损坏。
3.恶意病毒程序和代码包括计算机病毒、蠕虫、间谍软件、逻辑复制炸弹和一系列未经授权的程序代码和软件系统。病毒感染可能造成网络通信阻塞、文件系统破坏，系统无法提供服务甚至重要数据丢失。病毒的传播非常迅速；蠕虫是通过计算机网络进行自我复制的恶意程序，泛滥时可以导致网络阻塞和瘫痪；间谍软件在用户不知情的情况下进行非法安装，并把截获的机密信息发送给第三者。
4.随着企业信息化平台、一体化系统投入运行，大量重要数据和机密信息都需要通过内部局域网和广域网来传输，信息被非法截取、篡改而造成数据混乱和信息错误的几率加大；当非法入侵者以不正当的手段获得系统授权后。可以对企业内部网络的信息资源执行非法操作，包括篡改数据信息、复制数据信息、植入恶意代码、删除重要信息等，甚至窃取用户的个人隐私信息，阻止合法用户的正常使用，造成破坏和损失。保护信息资源，保证信息的传递成为企业信息安全中重要的一环。
三、企业信息与网络安全策略
结合电力施工企业业务广范围大特点，提出一套侧重网络准入控制的信息安全解决方案，保障企业网络信息安全。
1.远程接入VPN安全解决方案
施工企业拥有多个项目部，地域范围广，项目部、出差人员安全访问企业信息系统是企业信息化的要求，确保网络连接间保密性是必要的。采用SSL VPN安全网关旁路部署在网络内部，通过设置用户级别、权限来屏蔽非授权用户的访问。访问内部网络资源的移动、项目用户先到SSL VPN上进行认证，根据认证结果分配相应权限，实现对内部资源的访问控制。
2.边界安全解决方案
在系统互联网出口部署防火墙（集成防病毒和网络安全监控模块）和IPS设备，同时通过防火墙和IPS将企业内部网、数据中心、互联网等安全区域分隔开，并通过制定相应的安全规则，以实现各区域不同级别、不同层次的安全防护。边界防护建立以防火墙为核心，邮件、WEB网关设备、IDS及IPS等设备为辅的边界防护体系。
（1）通过防火墙在网络边界建立网络通信监控系统，监测、限制、更改跨越防火墙的数据流以及对外屏蔽网络内部的信息、结构和运行状况，控制非法访问、增强网络信息保密性、记录和统计网络数据并对非法入侵报警提示等，达到保障计算机网络安全的目的。
（2）在防火墙上开启防病毒模块，可以在网关处阻止病毒、木马等威胁的传播，保护网络内部用户免受侵害，改变了原有被动等待病毒感染的防御模式，实现网络病毒的主动防御，切断病毒在网络边界传递的通道。
（3）以入侵防御系统IPS应用层安全设备，作为防火墙的重要补充，很好的解决了应用层防御安全威胁，通过在线部署，IPS可以检测并直接阻断恶意流量。
（4）将上网行为管理设备置于核心交换机与防火墙之间。通过对在线用户状态、Web访问内容、外发信息、网络应用、带宽占用情况等进行实时监控，在上网行为管理设备上设置不同的策略，阻挡P2P应用，释放网络带宽，有效地解决了内部网络与互联网之间的安全使用和管理问题。
3.内网安全解决方案
内网安全是网络安全建设的重点，由于内网节点数量多、分布复杂、终端用户安全应用水平参差不齐等原因，也是安全建设的难点。
（1）主要利用构建虚拟局域网VLAN技术来实现对内部子网的物理隔离。通过在交换机上划分VLAN可以将整个网络划分为几个不同的广播域，将信任网段与不信任网段划分在不同的VLAN段内，实现内部一个网段与另一个网段的物理隔离，防止影响一个网段的安全事故透过整个网络传播，限制局部网络安全问题对全局网络造成的影响。
（2）建立企业门户系统，用户的访问控制部署统一的用户认证服务，实现单点登录功能，统一存储所有应用系统的用户认证信息，而授权等操作则由各应用系统完成，即统一存储、分布授权。
（3）系统软件部署安全、漏洞更新，定期对系统进行安全更新、漏洞扫描，自动更新Windows操作系统和Office、Exchange Server以及SQL Server等安全、漏洞补丁。安装网络版的防病毒软件，定期更新最新病毒定义文件，制定统一的策略，客户端定期从病毒服务器下载安装新的病毒定义文件，有效减少了病毒的影响；配置邮件安全网关系统，为邮件用户提供屏蔽垃圾邮件、查杀电子邮件病毒和实现邮件内容过滤等功能，有效地从网络层到应用层保护邮件服务器不受各种形式的网络攻击。
4.数据中心安全解决方案
作为数据交换最频繁、资源最密集的地方，数据中心出现任何安全防护上的疏漏必将导致不可估量的损失，因此数据中心安全解决方案十分重要。
（1）构建网络链接从链路层到应用层的多层防御体系。由交换机提供数据链路层的攻击防御。数据中心网络边界安全定位在传输层与网络层的安全上，通过防火墙可以把安全信任网络和非安全网络进行隔离，并提供对DDoS和多种畸形报文攻击的防御。IPS可以针对应用流量做深度分析与检测能力，即可以有效检测并实时阻断隐藏在海量网络流量中的病毒、攻击与滥用行为，也可以对分布在网络中的各种流量进行有效管理，从而达到对网络应用层的保护。
（2）建立数据备份和异地容灾方案，建立了完善的数据备份体系，保证数据崩溃时能够实现数据的完全恢复。同时在异地建立一个备份站点，通过网络以异步的方式，把主站点的数据备份到备份站点，利用地理上的分离来保证系统和数据对灾难性事件的抵御能力。
5.安全信息管理与培训
（1）网络管理是计算机网络安全重要组成部分，在组织架构上，应采用虚拟团队的模式，成立了相关信息安全管理小组。从决策、监督和具体执行三个层面为网络信息安全工作提供保障。建立规范严谨的管理制度，制定相应的规范、配套制度能保证规范执行到位，保障了网络信息安全工作的“有章可循，有据可查”。主要涉及：安全策略管理、业务流程管理、应用软件开发管理、操作系统管理、网络安全管理、应急备份措施、运行流程管理、场所管理、安全法律法规的执行等。
（2）人员素质的高低对信息安全方面至关重要；提高人员素质的前提就是加强培训，特别加强是对专业信息人员的培训工作。
四、结束语
该企业信息与网络安全体系建设以技术、管理的安全理念为核心，从组织架构的建设、安全制度的制定、先进安全技术的应用三个层面，构建一个多层次、全方位网络防护体系。在统一的安全策略基础上，利用安全产品间的分工协作，并针对局部关键问题点进行安全部署，使整个网络变被动防御为主动防御、变单点防御为全面防御、变分散管理为集中管理，达到提升网络对安全威胁的整体防御能力。
参考文献
篇4
关键词:计算机网络 黑客技术 计算机病毒 网络安全
一、网络安全的相关概念
网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科,其本质就是网络上的信息安全。国际标准化组织(ISO)的定义为:“为数据处理系统建立和采用的技术和管理的安全保护,保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露”。网络安全的特性主要包括:网络上信息的保密性――保证信息不泄漏给未经授权的用户或供其利用,可以说,这是网络安全最重要的一个方面,只要网络上的保密性达到了一定的要求,那么,就可以说网络是安全的;完整性――防止信息被未经授权的人篡改,保证真实的信息从真实的信源无失真地到达真实的信宿,这样,就需要加大安全措施,确保信息传输的一致性、完整性;可用性――保证信息及信息系统确实为授权使用者所用,防止由于计算机病毒或其它人为因素造成网络和系统无法正常运行而拒绝服务或为敌手所用。可控性――对信息内容及信息系统实施安全监控管理,防止非法修改;不可否认性――保证信息行为人不能否认自己的行为,利用数字签名、数字邮戳、数字凭证和认证中心等技术和手段构成安全的网络系统,使得个人行为具有可信度,这一点在电子商务中至关重要。
二、影响校园网安全的因素分析
网络安全是指网络系统的硬件、软件及其系统中的数据受到保护,不受偶然或者恶意的原因而遭受到破坏、更改、泄漏,系统连续正常可靠的运行,网络服务不中断。安全包括保密性、完整性、可用性、可控性和可审查性。一般来说,校园网的网络设备种类繁多、网络拓扑结构复杂,使用的操作系统平台也不统一,因此存在着许多不稳定的因素,主要有如下几方面:
1、技术上的硬伤。目前的校园网络内部局域网大都采用以太网拓扑方式连接,同时又与Internet相连。Internet网的共享性和开放性使网上信息安全存在先天不足,因为它所采用的TCP/IP协议并非专为安全通讯而设计,其各层中都未加入信息加密及认证体制,所以该协议族本身就不是一个安全的协议,从而缺乏相应的安全机制。Internet最初的设计思想基本没有考虑安全问题,这使得它在安全可靠、服务质量、带宽和方便性等方面存在着不适应性。此外,随着规模的不断增大,操作系统、数据库系统和各种应用系统的安全漏洞或“后门”也不可避免地存在。操作系统主要有Unix 、Linux和Windows系列,而又以Windows系列操作系统最多。不管哪一种操作系统都存在大量已知和未知的漏洞。国际上一些安全组织已经了大量的安全漏洞,其中一些漏洞可以导致入侵者获得管理员的权限,有一些漏洞则可以被用来实施拒绝服务攻击,一些漏洞则成为病毒攻击的对象。
2、来自内部的风险。有句话说得好:“堡垒最容易是从内部攻破”, 据调查统计,网络安全事件中,80%的攻击是来自内部,因此内网的安全风险更严重。造成这种内在风险的最主要原因有两个:一是内部人员对网络结构应用系统比较熟悉。对于网络中没有访问其他网段主机权限的用户来说,当要对其他网段上主机发动攻击时,情况类似于外部网络的攻击。但是与外部网络的攻击者相比,内部攻击者更容易窃取用户登录所需资料,所以非法访问更易成功。特别是高校的校园网,其用户与一般局域网用户不同,网络高手较多更是要注意网络内部安全。二是学校中经常会有人私自以Modem拨号方式、手机或无线网卡等方式上网,而这些机器通常又置于内网中,这种情况的存在同样给校园网带来了巨大的潜在威胁,极有可能使得黑客绕过防火墙而在毫不知情的情况下侵入校园网。
三、构筑网络安全防线
1、网络层的安全性。网络层的安全性,其核心问题在于网络互联设备以及网络接口模块是否能够得到有效控制。即应对使用任何一个IP地址的用户都能作出判断,判断来源IP是否会对本网络系统造成危害,以及来自这一IP的用户是否有权使用本网络的数据。网络管理员通过配置网管软件或路由器,实现对整个子网内的所有主机的传输信息和运行状态进行安全监测和控制,同时辅助以身份认证,客户权限设置与判别,审计日志等方法在网络环境下对来自其他机器的网络通信进程进行安全控制。
2、操作系统的安全性。除了在网络层安全技术上着手,人们也非常重视操作系统的层次上的安全性,希望把系统内核中可能引起安全性问题的部分剔除出去,从而使系统更安全。众所周知,各种操作系统都存在先天缺陷和由于不断增加新功能而带来的漏洞。因此,构建操作系统级网络安全,可从以下几方面着手:采用安全性较高的操作系统,安装所有的操作系统和服务器补丁程序。随时与销售商保持联系,以取得最新的补丁程序;对操作系统进行安全配置,尽量改变或减少暴露的服务端口号及其数量;利用安全扫描系统检查操作系统的漏洞;对WWW服务器的内容进行数据备份,并对Web页进行监视,若发现内容被篡改,则发出警报,并立即将备份的Web数据恢复到WWW服务器上。
3、用户的安全性。对于用户的安全性问题,主要应该考虑是否只有那些真正被授权的用户才能够使用系统中的资源和数据。因此,在对用户的管理上,应首先按安全性要求对用户实行分组管理。也就是说,应该根据不同的安全级别将用户分为若干等级,每一等级的用户只能访问与其等级相对应的系统资源和数据。其次应该考虑强有力的身份认证方法,以确保用户的密码不会被他人猜测到。
参考文献:
篇5
关键词 安全管理系统；杀毒；企业邮箱
中图分类号TP39 文献标识码A 文章编号 1674-6708（2013）83-0214-02
0引言
信息技术的迅猛发展极大地促进了网络在企业的普及应用，当今的企业必须采用能够充分利用结合优秀的传统方法及连网计算的新业务模式，来获得竞争优势。对许多企业来讲，问题不在于数据安全是否必要，而在于怎样在预算范围内以安全的方式管理复杂计算机环境、多种计算机平台和众多集成式计算机网络上的数据。各企业必须独立确定需要多高级别的安全，以及哪种安全能最有效地满足其特殊业务需求。这些问题仅靠安全解决方案是无法完成的，而是企业安全管理必须解决的问题。企业邮箱是公司架设的服务于公司内网用户的企业级邮箱。
1 网络安全管理系统的应用
公司通过使用莱恩塞克内网安全管理系统和金山毒霸网络版的配合使用，将公司整个网络设备对病毒的查、杀、防列入到网络管理体系当中。
1.1网络安全系统的需求分析
企业网络安全管理涉及的需求有诸多方面，仅就计算机网络系统集中管理、网络数据存储与备份管理，两方面进行说明。
1.1.1计算机网络系统集中管理
实施网络系统改造，提高企业网络系统运行的稳定性，保证企业各种设计信息的安全性，避免图纸、文档的丢失和外泄。
通过软件或安全手段对客户端的计算机加以保护，记录用户对客户端计算机中关键目录和文件的操作，使企业有手段对用户在客户端计算机的使用情况进行追踪，防范外来计算机的侵入而造成破坏。
通过网络的改造，使管理者更加便于对网络中的服务器、客户端、登陆用户的权限以及应用软件的安装进行全面的监控和管理。
1.1.2 网络数据存储备份管理
互联网与信息技术的蓬勃发展，在提高了各个行业企业日常业务运营效率的同时，也极大增加了企业内部的数据负担。随着Internet、Intranet及Extranet等网络数据量的指数级增长、以及数据类型的不断丰富，企业IT管理人员面临着系统应用数据完整性、安全性、可用性等方面的严峻挑战。他们必须能够确保企业数据得到有效的保护，并在故障出现时迅速准确的予以恢复，以最大限度减小企业可能的损失，实现业务的持续、正常运转。
1.2 网络安全系统的功能
系统投入使用以来，有效地解决了公司信息部门多年以来实际工作中遇到的网络管理难题，系统实现了对局域网内的所有设备的数量、型号以及配置的统计，还对突发故障及时报警和诊断，对最新病毒、黑客攻击进行报警判断并作出有效的控制，对软件的远程自动分发和恢复安装功能，通过分发使网内的各个终端计算机实时的进行系统升级以及防毒软件的日常升级需求。
1.3 网络安全系统的应用成果
对于近期危害严重的网络arp病毒一旦局域网内的计算机感染此病毒，由于此病毒通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量导致网络瘫痪以往我们发现此类故障后只能现场查看网内每台机器来排查此病毒费时费力工作效率大大降低，现在通过金山毒霸网络版的病毒日志可以有效地得知病毒来源予以查杀，对于无法杀除病毒的机器通过莱恩塞克内网安全管理端对ip地址和MAC地址绑定功能控制交换机端口，禁止感染病毒的计算机进入网络，使网络中病毒的传播范围达到最小，把损失降到最低，还可以对内网机器准确的定位，有效杜绝了内部人员未经允许修改自己机器的ip地址，导致其它人员的ip地址被盗用，危险时会使网络内重要的服务器因ip地址被占用而停止服务的危险隐患。在信息中心利用管理软件得远程指导、远程维护功能可以对网内计算机操作人员的违规操作进行有效的监视，如上网、运行非法软件、记入到网络日志，并快速的提出警告。如果哪台机器感染病毒，迅速报警并采取措施。对于远程计算机的监视和控制就像操作自己的计算机一样，避免了跑路，提高效率。在信息中心可以统一向各计算机用户批量快速发送软件的升级补丁，发送信息，节省了人力，物力。
2 企业邮箱的应用
邮件系统，在办公自动化的今天，尤其显得重要。对于许多企业来说，离开了E-mail，工作已经不能顺畅的开展了。目前许多企业通过租用的外部邮箱系统的方式来解决邮件通讯问题。但租用的外部邮箱系统，除了需要花费昂贵的租金外，还不易于管理，同时在邮件安全、提高办公效率等都遇到了瓶颈。而拥有可靠的邮件系统是现代企业顺利发展的必要基础配置，也利于企业进一步提高自身形象。概括起来讲，企业邮箱达到的主要指标如下：
1）实现内外网络分离；
2）邮箱访问速度极快，内网用户文件上传下载文件速度可达10兆每秒；
3）邮箱拥有的公共地址簿，使用户使用邮箱时，方便得查找目的用户，提高了邮箱的使用效；
4）邮箱全部注册用户以真实身份进行注册，用户名称也使用真实姓名的英文拼写，防止了匿名内外网用户对网络安全的破坏，方便了管理员对网络安全的监控；
5）远程管理方便，管理员可以随时在互联网上对邮箱进行管理，提高了管理的效率；
6）邮箱正式运行后较稳定，邮件收发正确率，文件传输正确率100%，稳定运行时间95%以上。
4 结论
总的来说，一个具有主动性的网络安全模型是以一个良好的安全策略为起点的。之后需要确保这个安全策略可以被彻底贯彻执行。最后，由于移动办公用户的存在，企业和网络经常处在变化中，需要时刻比那些黑客、蠕虫、恶意员工以及各种互联网罪犯提前行动。要做到先行一步，应该时刻具有主动性的眼光并在第一时刻更新的安全策略，同时要确保系统已经安装了足够的防护产品，来阻止黑客的各种进攻尝试。虽然安全性永远都不是百分之百的，但这样做足可以使企业网络处于优势地位。
参考文献
[1]广域网与局域网.
[2]TCP/IP实用技术指南.
[3]网络分析与设计.
[4]计算机网络安全与加密技术.
[5]莱恩塞克内网安全管理使用手册.
[6]Winmail server技术使用手册.
篇6
电力信息的迅猛发展使得电力系统及数据信息网络迎来了前所未有的挑战。本文分析研究了网络系统信息安全存在的问题，全面规划了网络安全系统，提出了合理有效的安全措施、方法，大大提升了电力企业信息网络安全工作的效率。
一、网络系统信息安全存在问题分析
（一）计算机及信息网络安全意识不强
由于计算机信息技术高速发展，计算机信息安全策略和技术也有大的进展。设计院各种计算机应用对信息安全的认识离实际需要差距较大，对新出现的信息安全问题认识不足。
（二）缺乏统一的信息安全管理规范
设计院虽然对计算机安全一直非常重视，但由于各种原因目前还没有一套统一、完善的能够指导整个院计算机及信息网络系统安全运行的管理规范。
（三）缺乏适应电力行业特点的计算机信息安全体系
近几年来计算机在整个电力行业的生产、经营、管理等方面应用越来越广，但在计算机安全策略、安全技术和安全措施上投入较少。为保证网络系统安全、稳定、高效运行，应建立一套结合电力行业计算机应用特点的计算机信息安全体系。
（四）缺乏预防各种外部安全攻击的措施
计算机网络化使过去孤立的个人电脑在联成局域网后，面临巨大的外部安全攻击。局域网较早的计算机系统是NOVELL网.并没有同外界连接。计算机安全只是防止意外破坏或者内部人员的安全控制就可以了，但现在要面对国际互联网上各种安全攻击，如网络病毒和电脑“黑客”等。
二、保证网络系统信息安全的对策
（一）建立信息安全体系结构框架
实现网络系统信息安全.首要的问题是时时跟踪分析国内外相关领域信息安全技术的发展和应用情况，及时掌握国际电力工业信息安全技术应用发展动向。结合我国电力工业的特点和企业计算机及信息网络技术应用的实际，建立网络系统信息安全体系一的总体结构框架和基本结构。完善网络系统信息安全体系标准以指导规范网络系统信息安全体系建设工作。
按信息安全对网络系统安全稳定运行、生产经营和管理及企业发展所造成的危害程度，确定计算机应用系统的安全等级，制定网络系统信息安全控制策略.建立适应电力企业发展的网络系统信息安全体系，利用现代网络及信息安全最新技术，研究故障诊断、处理及系统优化管理措施。在不同条件下提供信息安全防范措施。
（二）建立网络系统信息安全身份认证体系
CA即证书授权。一个完整、安全的电子商务系统必须建立起一个完整、合理的CA体系。CA体系由证书审批部门和证书操作部门组成。为保证网络系统信息一和安全.应建立企业的CA机构对企业员工上网用户统一身份认证和数字签名等安全认证，对系统中关键业务进行安全审计，并开展与银行之间，上下级CA机构之间与其他需要CA机构之间的交叉认证的技术研究工作。
（三）建立数据备份中心
数据备份及灾难恢复是信息安全的重要组成部分。理想的备份系统应该是全方位、多层次的。硬件系统备份是用来防止硬件系统故障，使用网络存储备份系统和硬件容错相结合的方式。可用来防止软件故障或人为误操作造成的数据逻辑损坏。这种对系统的多重保护措施不仅能防止物理损坏还能有效地防止逻辑损坏。结合电力行业计算机应用的特点，选择合理的备份设备和备份系统.在企业建立数据备份中心，根据其应用的特点，制定相应的备份策略。
（四）建立网络级计算机病毒防范体系
计算机病毒是一种进行自我复制、广泛传染，对计算机程序及其数据进行严重破坏的病毒，具有隐蔽性与随机性，使用户防不胜防。设计院信息网络系统采取在现有网络防病毒体系基础上.加强对各个可能被计算机病毒侵入的环节进行病毒防火墙的控制，在计算中心建立计算机病毒管理中心，按其信息网络管辖范围，分级进行防范计算机病毒的统一管理。在计算机病毒预防、检测和病毒定义码的分发等环节建立较完善的技术等级和管理制度。
（五）建立网络系统信息安全监测中心
计算机信息系统出现故障或遭受外来攻击造成的损失.绝大多数是由于系统运行管理和维护、系统配置等方面存在缺陷和漏洞，使系统抗干扰能力较差所致。信息安全监测系统可模仿各种黑客的攻击方法不断测试信息网络安全漏洞并可将测出的安全漏洞按照危害程度列表。根据列表完善系统配置，消除漏洞并可实现实时网络违规、入侵识别和响应。它在敏感数据的网络上.实时截获网络数据流，当发现网络违规模式和未授权网络访问时，自动根据制定的安全策略作出相应的反映.如实时报警、事件登录、自动截断数据通讯等。利用网络扫描器在网络层扫描各种设备来发现安全漏洞.消除网络层可能存在的各类隐患。
（六）建立完备信息网络系统监控中心
篇7
近些年来，所有的企业在扩展信息传输系统的功能方面受到了兼容性的严重制约，因为监控系统的软件和硬件在扩充和补套以及服务上都对既定的厂家存在着极大的依赖性。如果企业运用的监控系统出现问题而无法解决，那么就只有采购其他厂家的监控系统进行替代。所以说，混乱的通信协议严重局限了系统补套和升级改良系统软硬件，企业不断的更换系统设备，造成了极大的成本浪费。在这种情况下，我国难以形成有序、良性的安全监控系统市场竞争，而行业垄断的出现可谓是必然。文章以这个大背景为前提，分析和研究了统一的监控系统通信协议。
1 监控系统分站统一通信协议框架
1.1 制定监控系统分站统一通信协议的目的
监控系统不同，其分站与主站之间就会存在不一致的通信协议，必然会导致难以互相调换其分站的结果。假设我们能够采用相同的通信协议来设计监控系统的分站，则当我们另外一个厂家生产的分站来代替原有分站时，系统的运行就不会受到设备更换的影响，用户应用起来也比较方便，同时也会造成市场上的竞争加剧，进而降低其价格。对于监控系统的主站来说，分站的通信协议统一化也能够提升其软件水平，即便是部分卓越的软件公司没有具有竞争力的硬件产品，其也能够将优秀的软件应用于安全监控系统中。这就是对监控系统统一通信协议进行研究的一个原因。除此之外，企业在构建信息化平台方面也会受益于监控系统通信协议的统一。
1.2 统一通信协议构架
下表1给出了监控通信协议帧的一般格式，以此为基础我们相应的构架来对监控系统通信协议进行构建，无论是主从通信结构还是无主通信结构都能够运用此通信协议。
表1 监控通信协议帧的一般格式
2 监控系统中心站数据通信框架
因为一致的通信协议不能马上应用于监控系统所有的分站，而分站数据不能直接被高层的应用接收，因此监控系统接入协议必须进行专门的制定。下面罗列的类型可供监控系统中心站接入协议选择：
（1）文件共享型。以采样周期或者规定的时间为单位，监控系统设计者将一组数据文件以规范的文件结构形式进行共享，其他的应用就能够获取到相应的信息，目前所有的监控系统都能够在保证系统正常运行的情况下实现这种方式的文件共享。（2）数据库共享型。对于数据库来说，其优势为开放性、标准化和完备的支持环境，采用数据库形式，监控系统能够共享实时数据或者历史数据，以此为基础构建的数据共享标准化模型也非常优秀。（3）应用软件在过去必须通过特定的接口程序才能连接到现场设备或者应用程序，之后才能完成通信，加大应用程序之间通信的难度，以COM为基础，规范了工业自动化软件接口便形成了OPC，监控中心站软件业可以通过OPC方式连接其他软件，进而完成数据信息的传输，而为了保证OPC与开发环境相兼容，微软平台成为了开发中心站软件的基础。下图1显示了详细的OPC结构。（4）对象管理集团OMG针对分布对象提出了一种解决方案，就是所谓的CORBA，而且近些年出现的众多产品都能够与CORBA相匹配。对象管理集团研发了对象管理架构用来对分布计算机系统的异构性进行解决。下图2显示的就是具体的对象管理架构。各个模块之间通过对象请求这条软件总线进行通信和协作是该架构的核心。
图1 OPC的客户/服务器结构
图2 对象管理架构
篇8
关键词：电力信息网络；安全防护；策略
中图分类号：TP393.08 文献标识码：A文章编号：1007-9599 (2011) 17-0000-01
The Network Security System Construction and Improvement for Power System
Shen Fanyun
(Inner Mongolia Electric Power(Group)Co.,Ltd.Erdos Electric Power Bureau,Erdos017000,China)
Abstract:With the power industry's continuous development of information technology,information security is facing increasingly serious challenges.Adapt to the new situation,the article from the power dispatch and power system development point of view of market needs,analysis of the electric power information network of the major categories and characteristics,focusing on the technical and management aspects of power system described the establishment of information network protection systems and strategies.
Keywords:Power Information Network;Security;Strategy
一、电力信息网络的主要分类和特点
电力系统中网络应用的分类有许多种，根据业务类型、实时等级、安全等级等因素可分为生产数据传输和管理信息传送两大类，其它应用还包括音频传输和对外服务等。不同的应用系统对安全有不同的要求：如生产控制类基于TCP/IP的数据服务业务实时性较强，遥控遥调更与电网安全直接相关，可靠性要求较高；与计费相关的电力市场业务对安全性有特殊要求，不仅要可靠，还要保密；管理信息类业务突发性强、速率较高、实时性不强，但对保密性要求又较高。无论对于何种应用，都要求电力信息网络的防护措施能按各类业务的具体要求保证其安全运行。
二、电力调度系统对网络安全防护体系的要求
近年来，特别是随着电力市场化进程的加快，电力调度自动化的内涵也有了较大的延伸，由原来单一的EMS系统扩展为EMS、DMS、TMS、厂站自动化、水调自动化、雷电监视、故障录波远传、遥测、电力市场技术支持和调度生产管理系统等。电力信息网络是支持调度自动化系统的重要技术平台，实时性要求秒级或微秒级。其中发电报价系统、市场信息等电力市场信息系统由于需要与公网连接，因而还要求做加密和隔离处理。因此，要保障调度自动化的安全运行，就需要信息网络从应用系统的各个层面出发，按照其不同的安全要求，制定相应的防护策略，形成一整套完善的防护体系。
三、电力系统网络安全体系
（一）安全系统建设。安全系统的建设，是根据网络应用的安全需求，建立包括网络防火墙、入侵检测、漏洞扫描、安全审计、拨号网络安全、安全电子邮件和敏感数据保护、计算机防病毒、流量监控等在内的安全系统。安全系统建设中最重要环节的是整体系统规划。
（二）安全管理建设。在信息系统安全上，安全不仅仅是技术问题，更是一个管理的问题。因此，信息安全保障体系建设的下一个阶段就是安全管理建设。安全管理建设与安全策略建设密不可分，管理是在策略的指导下进行的，而管理经验和运行？管理之间的互动则为策略的制定提供依据。为此，有必要建立集中式、全方位、动态的安全管理中心。其目标在于：将与整体安全有关的各项安全技术和产品捏合在一个规范的、整体的、集中的安全平台上的同时，使技术因素、策略因素以及人员的因素能够更加紧密地结合在一起，从而提高用户在安全领域的各种分散投资的最终整体安全效益。
（三）安全策略建设。关于安全策略建设，尤其是安全策略的电子化和自动化管理，正在进行一个全方位的、动态的、持续的过程，遵循均衡、动态和立体性的原则，安全系统建设是基础，在恰当有效的安全策略的指导下，实施集中式、全方位、动态的安全管理是实现信息系统整体安全的有效保障。
四、对安全体系建设和完善的几点思路
信息系统安全保障体系的建设是一个全方位的、动态的、持续的过程，要完善已有的安全保障体系，满足企业网上应用系统安全需求，提出有效的安全解决方案，应从如下几个方面进行深入和细致的工作。
（一）对电力企业网络结构模型的分析。企业的网络结构模型可分为两层，一层是企业互联网络，一层是企业内部网络。所产生的安全需求也不同，那么相应的安全解决方案就不一样。
无论是公司本部或是下属企业，其内部网络的结构大同小异。均具有一个中心网络，提供公共应用服务，同时行使网络管理权利。各局域网也具有自己的服务器，或Web或应用服务器。这些局域都是直接连接到中心网络，共享公共应用服务，同时也提供自己的信息给其他单位共享。
（二）对网络层风险的分析。1.网络风险来源：（1）网络中心连通Internet之后，企业网可能遭受到来自Internet恶意攻击；（2）在Internet上广为传播的网络病毒将通过Web访问、邮件、新闻组、网络聊天以及下载软件、信息等传播，感染企业网内部的服务器、主机；更有一些黑客程序也将通过这种方式进入企业网；（3）企业网内部连接的用户很多，很难保证没有用户会攻击企业的服务器。事实上，来自于内部的攻击，其成功的可能性要远远大于来自于Internet的攻击，而且内部攻击的目标主要是获取企业的机密信息，其损失要远远高于系统破坏。
2.回避风险措施。基于以上风险，在上述两层网络结构中，网络层安全主要解决企业网络互联时和在网络通讯层安全问题，需要解决的问题有：（1）企业网络进出口控制（即IP过滤）；（2）企业网络和链路层数据加密；（3）安全检测和报警、防杀病毒。
重点在于企业网络本身内部的安全，如果解决了各个企业网的安全，那么企业互联扫安全只需解决链路层的通讯加密。
五、结束语
电力是关系到国计民生的基础产业，有很强的信息保密与安全需求。由于自身业务的需要，实现内部网络的互通，以及内部网络与Internet的互通，要求建立一个权限清晰、服务完善、安全到位的网络。由于不可避免地与外网相连，就必须时刻防备来自外部的黑客、病毒的威胁。为了维护电力信息安全，确保信息网络系统稳定可靠，网络安全体系建设极为重要。
参考文献：
篇9
关键词：电力；信息化；安全问题
中图分类号：[TM622]文献标识码：A
一、电力系统信息安全概念和保护现状
电力系统信息安全是电力系统安全运行和对社会可靠供电的保障，是一项涉及电网调度自动化、继电保护及安全装置、厂、站自动化、配电网自动化、电力负荷控制、电力市场交易、电力营销、信息网络系统等有关生产、经营和管理方面的多领域、复杂的大型系统工程。结合电力工业特点，电力工业信息网络系统和电力运行实时控制系统，分析电力系统信息安全存在的问题，电力系统信息没有建立安全体系，只是购买了防病毒软件和防火墙。有的网络连防火墙也没有，没有对网络安全做统一长远的归划。网络中有许多的安全隐患。因此急需建立同电力行业特点相适应的计算机信息安全体系。
二、目前电力企业网络信息安全管理存在的主要问题
电力企业在网络信息安全管理方面存在以下问题。
（一）信息化机构建设尚需进一步健全
信息部门未受到应有的重视。信息部门在电力公司没有专门机构配置，没有规范的建制和岗位，这种状况势必不能适应信息化对人才、机构的要求。
（二） 企业管理革新滞后于信息化发展进程
相对于信息技术的发展与应用，电力企业管理革新处于落后状况，最终导致了信息系统未能发挥预期的、应有的作用。
（三）网络信息安全管理需要成为企业安全文化的重要组成部分
目前，在电力企业安全文化建设中，信息安全管理仍然处于从属地位，需要进行不断努力，使之成为企业安全文化的中坚力量。
（四）网络信息安全风险的存在
电力企业网络信息安全与一般企业网络信息同样具备多方面的安全风险，主要表现在以下几方面：
1、网络结构不合理
2、来自互联网的风险
3、来自企业内部的风险
4 、病毒的侵害
5 、管理人员素质风险
6、 系统的安全风险
三、电力企业网络信息安全管理问题的成因分析
（一）安全意识淡薄是网络信息安全的瓶颈
技术人员往往对网络信息的安全性无暇顾及，安全意识相当淡薄。电力企业注重的是网络效应，对安全领域的投入和管理远远不能满足安全防范的要求，网络信息安全处于被动的封堵漏涮状态。
（二） 运行管理机制的缺陷和不足制约了安全防范的力度
从目前的运行管理机制来看，有以下几方面的缺陷和不足：
1、 网络安全管理方面人才匮乏
2、 安全措施不到位
3、缺乏综合性的解决方案
四、 网络信息安全管理的内容
（一） 风险管理
识别企业的信息资产，评估威胁这些资产的风险，评估假定这些风险成为现实时企业所承受的灾难和损失。通过降低风险、避免风险、转嫁风险、接受风险等多种风险管理方式，来协助管理部门制定企业信息安全策略。
（二）安全策略
信息安全策略是企业安全的最高方针，由高级管理部门支持，必须形成书面文档，广泛到企业所有员工手中。
（三）安全教育
信息安全意识和相关技能的教育是企业安全管理中重要的内容，其实施力度将直接关系到企业安全策略被理解的程度和被执行的效果。为了保证信息安全的成功和有效，高级管理部门应当对企业各级管理人员、用户、技术人员进行安全培训，所有的企业人员必须了解并严格执行企业信息安全策略。
五、 加强电力企业网络信息安全管理的建议
（一）重视安全规划
企业网络安全规划的目的就是要对网络的安全问题有一个全面的思考，要以系统的观点去考虑安全问题。要进行有效的安全管理，必须建立起一套系统全面的信息安全管理体系。
（二）合理划分安全域
电力企业是完全实行物理隔离的企业网络，在内网上仍然要合理划分安全域。要根据整体的安全规划和信息安全密级，从逻辑上划分核心重点防范区域、一般防范区域和开放区域。重点防范的区域是网络安全的核心。
（三） 加强安全管理。重视制度建设
1、加强日志管理与安全审计
2、建立内网的统一认证系统
3、建立病毒防护体系
4、重视网络管理制度建设
严格的管理制度，是保证企业信息网络安全的重要措施之一。
（1）领导应当高度重视网络信息安全问题。
（2）加强基础设施和运行环境的管理建设。
（3）建立必要的安全管理制度。
（4）坚持安全管理原则、多人负责原则。
(5）定期督导检查制度。
（四）加强企业员工和网络管理人员安全意识教育
对于网络信息安全，企业员工和网络管理人员的素质非常重要。
1、在安全教育具体实施过程中应该有一定的层次性。
（1)对主管信息安全工作的高级负责人或各级管理人员，重点掌握企业信息安全的整体策略及目标、信息安全体系的构成、安全管理部门的建立和管理制度的制订等。
（2)对负责信息安全运行管理及维护的技术人员，重点是充分理解信息安全管理策略、安全评估基本方法、安全操作和维护技术运用等。
2、对于特定人员的安全培训
对于关键岗位和特殊岗位的人员，通过送往专业机构学习和培训，使其获得特定的安全方面的知识和技能。
六、总 论
电力网络安全是一个系统的，全局的管理问题，网络上的任何一个漏洞，都会导致全网的安全问题，我们应该用系统工程的观点、方法，分析网络的安全及具体措施。安全措施主要包括：行政法律手段、各种管理制度以及专业措施。解决网络信息安全问题，技术是安全的主体，管理是安全的灵魂。加强信息安全管理，建立安全长效机制才能有效的解决电力系统网络安全问题，只有将有效的安全管理实践自始至终贯彻落实于信息安全当中，网络安全的长期性和稳定性才能有所保证。在企业中建立安全文化，并将网络信息安全管理贯彻到整个企业文化体系中才是最根本的解决办法。
参考文献：
[1] 周冰.电力信息化切入核心[J].《信息系统工程》，2003年.
篇10
【关键词】网络;数据;安全
2012年开始，某企业启动了企业网络安全优化工程。目的是为了实现在企业系统内，进行一体化管理，实现各分支网络之间互联互通。项目重点是建设好综合数据网络，实现所属单位局域网及厂、站信息传输通道全面接入;形成该企业综合业务处理广域网络。同时还将进一步建设专门的调度数据网络，实现“专网专用”，从而确保生产安全有序的开展。该企业生产、办公等各个领域当中，无论是企业内部管理还是各级机构间的远程信息交互，都将建立在网络基础之上，而通过网络进行交互的信息范围也涵盖了包括生产调度数据、财务人事数据、办公管理数据等在内的诸多方面，在这样的前提下，进一步完善企业网络架构，全局性和系统性地构建网络安全体系，使其为企业发展和信息化提供有力支持，已成为当前需要开展的首要工作之一。
1.网络安全技术架构策略
网络安全建设是一项系统工程，该企业网络安全体系建设按照“统一规划、统筹安排、统一标准、相互配套”的原则组织实施，采用先进的“平台化”建设思想、模块化安全隔离技术，避免重复投入、重复建设，充分考虑整体和局部的关系，坚持近期目标与远期目标相结合。在该企业广域网络架构建设中，为了实现可管理的、可靠的、高性能网络，采用层次化的方法，将网络分为核心层、分布层和接入层3个层次，这种层次结构划分方法也是目前国内外网络建设中普遍采用的网络拓扑结构。在这种结构下，3个层次的网络设备各司其职又相互协同工作，从而有效保证了整个网络的高可靠性、高性能、高安全性和灵活的扩展性。
2.局域网络标准化
（1）中心交换区域
局域网的中心交换区域负责网络核心层的高性能交换和传输功能，提供各项数据业务的交换，同时负责连接服务器区域、网络管理区域、楼层区域、广域网路由器和防火墙设备等，此外还要提供分布层的统一控制策略功能。具体到安全防护层面，可通过部署防火墙模块、高性能网络分析模块、入侵探测系统模块实现安全加固。
（2）核心数据服务器区域
因为数据大集中和存储中心已经势在必行，可建设专门的核心数据区域，并采用2立的具有安全控制能力的局域网交换机，通过千兆双链路和服务器群连接。在安全防护方面，可在通过防火墙模块实现不同等级安全区域划分的同时，部署DDOS攻击检测模块和保护模块，以保障关键业务系统和服务器的安全不受攻击。
（3）楼层区域
楼层交换区域的交换机既做接入层又做分布层，将直接连接用户终端设备，如PC机等，因此设备需要具有能够实现VLAN的合理划分和基本的VLAN隔离。
（4）合作伙伴和外包区域
提供合作伙伴的开发测试环境、与内部数据中心的安全连接及与Internet区域的连接通路。
（5）外联网区域
企业营销系统需要与银行等外联网连接，建议部署银行外联汇接交换机，通过2条千兆链路分别连接到核心交换机。并通过防火墙模块划分外联系统安全区域。
（6）网络和安全管理区域
为了对整个网络进行更加安全可靠的管理，可使用独立的安全区域来集中管理，通过防火墙或交换机模块来保护该区域，并赋予较高的安全级别，在边界进行严格安全控制。
3.统一互联网出口
对于该企业的广域网络，统一互联网络出口，减少企业广域网络与互联网络接口，能够有效减少来自外网的安全威胁，对统一出口接点的安全防护加固，能够集中实施安全策略。面对企业各个分支机构局域网络都与互联网络连接的局面，将会给企业广域网络安全带来更大的威胁。由于综合业务数据网络作为相对独立的一个大型企业网络，设置如此众多的互联网出口，一方面不利于互联网出口的安全管理，增加了安全威胁的几率;另一方面也势必增加互联网出口的租用费用，提高了运营成本。
由于该企业综合数据网的骨干带宽是622M，在综合数据网络上利用MPLS VPN开出一个“互联网VPN”，使各分支的互联网访问都通过这个VPN通道建立链接。通过统一互联网络出口，强化互联网接入区域安全控制，可防御来自Internet的安全威胁，DMZ区的安全防护得到进一步加强;通过提供安全可靠的VPN远程接入，互联网出口的负载均衡策略得到加强，对不同业务和不同用户组的访问服务策略控制，有效控制P2P等非工作流量对有限带宽的无限占用，能够对互联网访问的NAT记录进行保存和查询。
4.三层四区规划
提出“安全分区、网络专用、横向隔离、纵向认证”的总体防护策略，并提出了“三层四区”安全防护体系的总体框架。基于这一设计规范，并结合该企业网络的实际情况，未来公司的网络区域可以划分为企业生产系统和企业管理信息系统，其中企业生产系统包括I区和II区的业务;企业管理信息系统包括III区和IV区的业务。I区到IV区的安全级别逐级降低，I区最高，IV区最低。
在上述区域划分的基础上，可在横向和纵向上采用下列技术方式实现不同安全区域间的隔离。
（1）纵向隔离
在未来调度数据网建成后，将安全区I和安全区II运行在独立的调度数据网上，安全区III和安全区IV运行在目前的综合数据网上，达到2网完全分开，实现物理隔离。在调度数据网中，采用MPLS VPN将安全区I和安全区II的连接分别分隔为实时子网和非实时子网，在综合数据网中，则采用MPLS VPN将互联网连接和安全区III及安全区IV的连接分开，分为管理信息子网和互联网子网。
（2）横向隔离
考虑到I区和II区对安全性的要求极高，对于I区和II区进行重点防护，采用物理隔离装置与其他区域隔离;而在I区和II区之间可采用防火墙隔离，配合分布式威胁防御机制，防范网络威胁;考虑到III区和IV区之间频繁的数据交换需求，III区和IV区之间视情况采用交换机防火墙模块进行隔离，并在区域内部署IDS等安全监控设备，在骨干网上不再分成2个不同的VPN;由于外部的威胁主要来自于Intern过出口，因此可在全省Internet出口集中的基础上，统一设置安全防护策略，通过防火墙与III区、IV区之间进行隔离。
5.综合数据网安全防护
综合业务数据网，主要承载了0A、95598、营销、财务等应用系统，同时也在进行SCADA/EMS等调度业务的接入试点。
采用网络安全监控响应中心为核心的分布式威胁防御技术，对全网的病毒攻击和病毒传播进行主动防护，通过关联网络和安全设备配置信息、NetFlow、应用日志和安全事件，从中心的控制台实时发现、跟踪、分析、防御、报告和存储整个企业网络中的安全事件和攻击。同时分布式威胁防御手段不但用于对综合数据骨干网进行安全防护，而且通过建立2级安全监控响应中心，对包括综合数据网、企业本部局域网、分支机构局域网在内的全网设备进行监控。
