网络安全攻防精选(十四篇)

序言：作为思想的载体和知识的探索者，写作是一种独特的艺术，我们为您准备了不同风格的14篇网络安全攻防，期待它们能激发您的灵感。

篇1

关键词：网络安全；攻防训练；平台设计

近年来，随着计算机网络和信息系统应用加速，各类信息安全和网络攻击事件时有发生，防不胜防，并且逐步渗透到国家安全、经济发展、人民生活的各个领域，使得当今社会对信息安全人才的需求日益紧迫和突出。目前开展网络攻防训练存在以下几个制约因素：（1）构建真实的物理平台需要优质的物理设备和复杂的实现环境，费用昂贵、模拟规模有限且设备更新换代较慢，不利于对最新网络安全技术的学习和掌握。（2）网络攻防实验一般对网络设备具有破坏性，在真实的网络中开展攻防实验管理难度大，训练风险高[1]。（3）采用OPNET和NS2等网络安全仿真软件存在仿真对象单一、平台制约多、缺乏系统性等问题。本文借助虚拟化技术，采用B/S架构设计并实现一种集攻击、防护训练及学习功能于一体的网络安全攻防训练平台。该平台充分利用现有的设备和网络基础设施环境，设备资源利用率高、组建灵活，可扩展性强，利于系统地开展网络攻防训练。

1平台架构及功能设计

1.1平台系统架构

平台分为物理资源层、虚拟化层和用户管理层3个层次：（1）物理资源层主要包括物理计算机、服务器、存储设备及网络等。（2）虚拟化层是攻防训练平台的底层核心，将互联的物理计算机和存储设备虚拟化为由内存、显卡、磁盘和CPU组成的网络资源池，通过虚拟化可在资源池上运行多个共享资源虚拟机，以实现不同应用。（3）用户管理层是攻防训练平台的应用核心，主要包括靶场中心、工具台、实训中心、管理控制中心4个功能模块，用户通过浏览器访问Web用户交互界面来使用攻防训练平台进行攻防训练。

1.2平台功能设计

（1）实训中心以课程为向导，分为攻击和防护两大方面，区分具体类别提供配套电子实验指导书、知识库、漏洞库等，供参训人员自主选择学习。（2）工具台集合了训练中所用到的各种攻击防御工具，按不同的类别进行分类，用户训练时可通过Web网页下载工具台当中的工具供训练使用。（3）靶场中心是靶机的集合，为网络攻防训练提供目标和环境。靶机（TargetsHosts）上预置了存在安全漏洞的网站、应用程序或是操作系统等，攻击者可以通过查找漏洞进行相应的攻击训练，防护者通过修复漏洞练习网络防护技巧。（4）管理控制台主要包括监控管理和系统维护两个方面的功能。监控管理可根据定义好的规则过滤网卡的流量，从而通过抓取正在训练的虚拟机的流量包，对整个平台正在训练的虚拟机进行监控，并采集大量真实的数据信息用于后续分析。对网络攻防训练平台的系统维护可以分为基本维护管理和高级维护管理两类。基本维护管理主要是对平台门户网站的维护，包括网站内容更新、栏目管理、工具台列表更新等日常维护。高级维护管理主要是指对攻防训练平台基础结构进行调整，包括添加新服务器对虚拟资源池进行扩展，部署新的工具台虚拟主机（ToolsHosts），在工具台中添加新的攻击工具，根据新发现的漏洞建立相应的靶机环境，以及为现有工具台、靶机调整虚拟硬件资源等。

2系统实现

2.1虚拟化解决方案

虚拟化是一个简化管理、优化资源的解决方案，通过虚拟化可以把有限的固定资源根据不同需求重新规划，以达到最大利用率。综合考虑适用性及软件成本，笔者采用VMware公司的基于vSphere的服务器虚拟化解决方案[2]。vSphere可提供包括计算、存储、网络的基础架构服务以及包括可用性、安全性、可扩展性的应用程序服务[3]。在本平台中使用了vSphere的VMwareESXi，VMwarevSphereClient和VMwarevCenterServer功能组件，如图1所示。VMwareESXi是VMwarevSphere的核心组件，安装好ESXi的服务器称之为ESXi主机。ESXi从内核级支持硬件虚拟化，提供强健的、高性能虚拟化层，允许在ESXi主机上创建的多个虚拟机共享硬件资源。VMwarevCenterServer是VMwarevSphere的ESXi主机和虚拟机集中管理组件[4]，能使用标准化模板在ESXi主机上快速部署虚拟机，并对其提供集中化管理、配置和性能监控。VMwareVSphereClient是VMwarevSphere的管理端，可以用来远程登录并管理VMwarevCenterServer服务器。本平台中可以通过vSphereClient远程连接控制单台ESXi主机，也可以通过vSphereClient登录VMwarevCenterServer，集中管理多台ESXi主机及其上的虚拟机。为了保证网络安全攻防训练平台的性能，我们使用vSphereHA（高可用）技术，当服务器集群中硬件失效时，实现虚拟服务器自动在集群中另一个主机上重启。使用VSphereDRS（分布式资源管理）技术，在不同ESXi主机间进行虚拟机的迁移，从而自动平衡ESXi集群的负载，并且可根据资源分配策略，设置虚拟机优先级和限制虚拟机资源使用等，对集群范围内的资源进行分配，从而提升平台的整体性能[5]。

2.2工具台

工具台用于存放攻防训练平台的常用攻防工具，创建工具台的过程如图2所示，共分4步。（1）通过VMwarevCenterServer新建虚拟机；（2）在虚拟机中，安装攻防工具包，并对其可用性、稳定性等基本情况进行测试；（3）在完成攻防工具的安装部署后，更新平台网站的攻防工具列表使其可以通过网页被调用，攻防工具列表以csv格式存储，使用DMcsvEditor工具进行编辑；（4）在平台网站中添加新的页面链接，使用户可以调用攻防工具。

2.3靶场中心

靶场中心为网络攻防训练提供目标和环境，首先通过VMwarevCenterServer新建虚拟机作为靶机，然后在靶机中安装存在漏洞的操作系统、应用程序或是部署存在漏洞的网站等，在部署完成后更新平台网站的靶机链接，使用户可以通过平台网站直接获取靶机的信息进行攻击和防护，也可以通过平台提供的工具间接对靶机进行攻击和防护。

2.4实训中心

实训中心以课程为向导，分为攻击和防护两大方面。攻击方面从“按攻击方法”和“按攻击对象”两个维度将全部课程分类，课程按照攻击方法可分为“信息收集”“木马病毒”“密码破解”“网络欺骗”“溢出攻击”“DOS攻击”“逆向工程”等类别；按照攻击对象可分为“操作系统”“应用平台”“交换机”“防火墙”“VPN”等类别，并提供配套电子实验指导书。防护方面包括防火墙、入侵检测系统、路由器、交换机的配置应用训练，以及网络安全知识库，共享漏洞库。网络安全知识库主要是以文字的形式提供网络安全防护基本概念和常用的防护手段等。共享漏洞库主要是用于实时更新、各类已知的共享漏洞，并提供各类漏洞的解决方案，以便用户了解最新漏洞并尽快对其修补。

2.5部署方式

平台采用B/S架构，创建平台门户网站，用户不仅可以在局域网内实训，也可以通过互联网使用浏览器对平台进行远端访问和操作。本平台打破训练模式的局限，可实现用户随时随地参与线上训练。

3结语

网络安全攻防平台的实现降低了网络攻防实验对物理设备和实际网络环境的破坏性，减少训练成本的投入，且能够通过因特网实现线上训练，满足不同层次人员对网络攻击、防御过程及细节学习和训练的需求，具有较大实用价值。

[参考文献]

[1]张力，周汉清.基于云计算技术的网络安全攻防实验平台设计[J].软件导刊，2015（9）：188-191.

[2]底晓强，张宇昕，赵建平.基于云计算和虚拟化的计算机网络攻防实验教学平台建设探索[J].2015（4）：147-151.

[3]VMware中国网站.vSphere产品[EB/OL].（2014-09-25）[2017-10-15].http：

[4]黄晓芳.网络攻防实验平台开发与实现[J].实验技术与管理，2017（5）：73-76.

篇2

科学技术的发展带动了网络系统的发展，网络系统的使用越来越普及，网络系统已经与人们日常工作、学习和生活产生了紧密的联系。但是，在计算机网络普及的同时，网络系统的安全性问题越来越多的暴露出来，已经成为制约网络系统发展的重要因素之一。

[关键词]

网络系统；攻防特点；安全策略

一、引言

伴随着网络系统使用的范围不断扩大，网络系统的安全问题也越来越多的暴露出来。网络系统的安全问题与网络系统攻防特点有直接的关系。本文介绍了网络系统攻防的特点，主要包括攻网络防技术的特点、网络攻防成本的特点、网络攻防主体、网络攻防空间的特点和网络攻防发展的特点。结合目前网络系统安全性现状，做出了维护网络系统安全性的安全策略。希望通过本文的介绍，能够为维护网络系统安全提供理论依据和指导意见。

二、网络系统攻防特点

网络系统包括网络攻击系统和网络防御系统，网络攻击系统和网络防御系统的联系是非常密切的。所谓网络攻击系统是指攻击者利用网络系统搜集被攻击网络的信息，搜集之后进行对比、研究，发现被攻击网络的漏洞，针对漏洞进行攻击，进而达到监视或者控制被攻击网络的目的，甚至造成被攻击网络瘫痪。网络攻击可以是大范围的攻击，采用的方式有很多种，并且攻击的隐蔽性好。网络防御系统是与网络攻击系统对立的，网络防御系统通过加密技术和身份认证等技术，保护网络能够抵御外界攻击并且保证传输的数据信息等不被监视。网络防御的范围相对比较小，只能对特定范围的计算机网络进行保护。网络系统攻防特点主要包括攻网络防技术的特点、网络攻防成本的特点、网络攻防主体、网络攻防空间的特点和网络攻防发展的特点。下面对网络系统攻防的特点逐条进行介绍。

1、网络攻防技术的特点网络系统本身是属于技术含量非常高的，但是，正是由于科学技术的不断发展，产生了一系列虽然本身技术含量高，可是操作却相对比较容易的网络攻击系统。攻击的操作者不需要对网络有太高深的理解，只要按照相关提示进行操作便可实现网络攻击。针对网络应用软件、网站等等存在漏洞和缺陷是可以理解的，正是由于存在漏洞的缺陷在能促进其不断完善。正常情况下有关应用软件、网站的漏洞和缺陷应该属于机密，外界人员是不能知道的，但是，目前这些本应属于机密的文件在网络上可以很轻易地获知，这就对应用软件和网站构成了潜在的威胁，导致网络的安全性和稳定性处在随时可能被破坏的阴影之下。一些网络攻击者本身对网络系统和网络攻防系统非常了解，进而开发了网络攻击工具或者网络攻击软件，配备详细的使用说明进行销售，从而使得很多人都能够应用这些攻击工具或者网络攻击软件进行网络攻击，破坏性和不良影响非常巨大。与网络攻击系统向对立的网络防御系统，对防御技术的要求就要高很多。目前，很多人都只具备简单的网络常识，例如安装防护软件，网络查杀病毒等等。当遇到有针对性的攻击时，往往素手无策，需要专业的人员才能解决问题。

2、网络攻防成本的特点通常网络系统的攻击成本是非常廉价的，只要一台能够上网的计算机就能实现，并且很有可能只是通过这样廉价的设施在短时间内就能破坏很大的网络系统，造成网络系统数据损失或者整个网络系统运行瘫痪，损失的人力和金钱是相当巨大的。网络攻击甚至能够针对卫星进行攻击，特别是发射时间比较靠前的卫星，因为缺乏必要的安全防护措施，在受到攻击之后不具备防御能力，非常容易遭到干扰。就算是针对近年来发射的本身自带防御措施的卫星，网络攻击者仍然能够有漏洞可以钻，潜在的危害非常大。

3、网络攻防主体的特点传统的实体较量中，攻防较量的双方通常应该是整体实力相差不多。在实体较量中，实力非常弱的一方去挑战实力非常强的一方现象是很少出现的。在网络系统中，这种定律被打破了。不同实力的双方进行较量时，较量的结果是不确定的，不再一定是实力强一方获胜了。基于网络攻防主体的特点，促进了不同等级的网络主体进行较量，任何一方都可以主动发起挑战。弱国不再一直处于防守状态，强国也不再一直处在攻击状态。

4、网络攻防空间的特点传统的实体进行较量，对空间有要求，需要空间位置上的接近。网络攻防打破了对空间上的约束。攻击者可以位于世界上的任何一个有网的地方，对世界上任何地方的网络进行攻击。网络攻击的隐蔽性好，可以通过多个网络平台之后再进行攻击，能够有效的将自己隐藏起来，防御方想要确定攻击位置和攻击方都存在很大的困难。

5、网络攻防发展的特点网络攻防系统是相互对立，并且相互制约的，但是网络攻防的发展是不同步的。网络防御技术的发展要落后于网络攻击技术的发展，往往是攻击者根据掌握了网络知识和攻击技巧后，通过网络攻击系统向网络防御系统发出攻击，网络防御系统为了保证自身的安全性和稳定性作出防御反应。通常正是由于攻击系统的不断攻击，才促进了防御系统的发展与进步。正是这种攻击与被攻击、进步与被进步的紧密联系促进了网络系统的发展，同时也证明了，一个网络系统要想长期安全、稳定的发展下去，需要始终保持发展的眼光。

三、网络系统安全策虑

网络系统给人们的工作、生活和学习带来了相当大的便利，人们的工作、生活和学习已经离不开网络系统。网络系统存在的网络安全是一种潜在的威胁，一旦出现网络安全问题有可能造成很大的损失，因此需要加强对网络系统安全问题的重视。网络系统安全问题与网络系统攻防有着必然的联系，网络系统的攻防较量决定了网络系统的安全性。上一章已经对网络系统攻防特点进行了介绍，本章将对网络系统安全策略进行介绍。

1、网络病毒防范网络系统中的安装软件和程序往往是存在漏洞和缺陷的，计算机病毒正是利用了相关的漏洞和缺陷产生的。网络系统的发展一方面方便了用户，另一方面也导致网络病毒的种类越来越多，传播速度越来越快，造成的破坏力也越来越大。对网络病毒进行防范是比较直接的降低网络安全问题的一个策略。可以再计算机中安装正规的杀毒软件，杀毒软件通常可操作性强，对于网络知识比较薄弱的人来说也比较容易使用。对于安全性未知的网站不要轻易登录，不下载和使用来历不明的软件和程序，对于下载的软件和程序首先要进行杀毒，确保没有病毒之后才能进行后续的安装。对系统随时进行更新，减少漏洞和缺陷，避免因为存在明显的漏洞而被网络攻击者有机可乘。

2、安装防护墙防火墙位于网络系统内部和网络系统外部之间，用于保证网络系统内部的安全，可以说是保证网络系统内部安全性的一道关卡。防火墙能够对网络系统外部的数据和程序进行甄别，确定是否为恶意攻击数据和程序，如果确定为攻击数据和程序，将把其拦截在网络系统之外，不允许其进入到网络系统内部，防止对网络系统内部造成破坏。防火墙起到监控网络系统传输数据的功能，对于存在隐患的数据限制传输。从网络系统攻防角度来讲，防火墙主要是针对网络系统进攻方，防止网络系统进攻方针对网络系统的安全攻击。

3、加密数据网络系统的攻击者一旦穿过了防火墙进入网络系统内部，如果采用普通数据，系统攻击者将会比较轻松的获得网络系统中的数据，损失惨重。如果将数据进行加密，则为网络系统攻击者增加了障碍，有利于降低对网络系统的损失。加密技术的发展比较早，目前网络加密数据技术已经发展的相对比较成熟。网络加密的手段比较多，目前比较常用的是对称密钥和非对称密钥，网络安全维护者可以根据实际的网络环境合理的选择使用对称密钥或者非对称密钥，必要时，可以同时使用。

4、数字签名数据在网络系统双方之间进行传输时，发送数据方可以在数据上进行数字签名，数字签名起到鉴别发送者的作用，避免接收者对数据误解而错接了含有病毒的数据，造成意外损失。数字签名还有另外一个作用，加入数字签名之后，接收者可以明确看出数据或者程序是否有缺失。

5、数字证书网络系统中使用的数字证书与人们在实际生活中使用的身份证作用相同，是一个用户身份的证明。身份证需要到民政部门办理，网络数字证书同样需要经过合法的第三方进行认证，只有经过认证之后，才能起到作用。在网络系统进行传输数据时，加入数字证书认证，能够有效的进行保密，防止恶意攻击。

四、总结

科学技术的发展加快了网络系统的发展，网络系统已经与人们的生活和工作产生了密切的联系。由于网络系统自身的技术特点，造成网络系统存在被攻击和破坏的可能性。人们在使用网络系统的时候，不可避免的会遇到网络的安全问题，并且目前网络安全问题有日益突出的趋势。网络系统的安全问题与网络系统的开放性质有关，与网络系统的攻防特点也密切相关。本文首先简单介绍了网络攻击系统和网络防御系统概念，然后介绍了网络系统攻防特点，网络系统攻防特点主要包括攻网络防技术的特点、网络攻防成本的特点、网络攻防主体、网络攻防空间的特点和网络攻防发展的特点。最后结合网络系统自身的特点、网络攻击系统、网络防御系统特点以及目前的网络系统安全问题，阐述了网络系统安全策略。网络系统安全策略包括网络病毒防范、安装防火墙、加密数据、数字签名和数字证书。只有做好了各个环节的安全策略，才可能保证网络系统整体的安全性。

参考文献

[1]向阳霞.基于虚拟靶机的方法在网络攻防实验教学中的应用[J].网络与通信技术,2010(5)

[2]邓晓勇.浅谈计算机网络攻击特点及对策[J].内蒙古科技与经济,2008(11)

篇3

信息技术的飞速发展，带动了互联网的普及，而伴随着互联网开发性和便捷性的日渐凸显，网络安全问题也随之产生，并且迅速成为社会发展中一个热门话题，受到了越来越多的重视。自2010年Google公司受到黑客攻击后，APT攻击成为网络安全防御的主要对象之一。文章对APT攻击的概念和特点进行了讨论，结合其攻击原理研究了对于网络安全防御的冲击，并提出了切实可行的应对措施。

关键词：

APT攻击；网络安全防御；冲击；应对

前言

在科学技术迅猛发展的带动下，网络信息技术在人们的日常生活中得到了越发广泛的应用，如网络银行、网上购物等，在潜移默化中改变着人们的生活方式。但是，网络本身的开放性为一些不法分子提供的便利，一些比较敏感的数据信息可能会被其窃取和利用，给人们带来损失。在这种情况下，网络安全问题受到了人们的广泛关注。

1APT攻击的概念和特点

APT，全称AdvancedPersistentThreat，高级持续性威胁，这是信息网络背景下的一种新的攻击方式，属于特定类型攻击，具有组织性、针对性、长期性的特性，其攻击持续的时间甚至可以长达数年。之所以会持续如此之久，主要是由于其前两个特性决定的，攻击者有组织的对某个特定目标进行攻击，不断尝试各种攻击手段，在渗透到目标内部网络后，会长期蛰伏，进行信息的收集。APT攻击与常规的攻击方式相比，在原理上更加高级，技术水平更高，在发动攻击前，会针对被攻击对象的目标系统和业务流程进行收集，对其信息系统和应用程序中存在的漏洞进行主动挖掘，然后利用漏洞组件攻击网络，开展攻击行为[1]。APT攻击具有几个非常显著的特点，一是潜伏性，在攻破网络安全防御后，可能会在用户环境中潜伏较长的时间，对信息进行持续收集，直到找出重要的数据。基本上APT攻击的目标并非短期内获利，而是希望将被控主机作为跳板，进行持续搜索，其实际应该算是一种“恶意商业间谍威胁”；二是持续性，APT攻击的潜伏时间可以长达数年之久，在攻击爆发前，管理人员很难察觉；三是指向性，即对于特定攻击目标的锁定，开展有计划、组织的情报窃取行为。

2APT攻击对于网络安全防御的冲击

相比较其他攻击方式，APT攻击对于网络安全防御系统的冲击是非常巨大的，一般的攻击都可以被安全防御系统拦截，但是就目前统计分析结果，在许多单位，即使已经部署了完善的纵深安全防御体系，设置了针对单个安全威胁的安全设备，并且通过管理平台，实现了对于各种安全设备的整合，安全防御体系覆盖了事前、事中和事后的各个阶段，想要完全抵御APT攻击却仍然是力有不逮。由此可见，APT攻击对于网络安全防御的影响和威胁不容忽视[2]。就APT攻击的特点和原理进行分析，其攻击方式一般包括几种：一是社交欺骗，通过收集目标成员的兴趣爱好、社会关系等，设下圈套，发送几可乱真的社交信函等，诱骗目标人员访问恶意网站或者下载病毒文件，实现攻击代码的有效渗透；二是漏洞供给，在各类软禁系统和信息系统中，都必然会存在漏洞，APT攻击为了能够实现在目标网络中的潜伏和隐蔽传播，通常都是借助漏洞，提升供给代码的权限，比较常见的包括火焰病毒、震网病毒、ZeroAccess等；三是情报分析，为了能够更加准确的获取目标对象的信息，保证攻击效果，APT攻击人员往往会利用社交网站、论坛、聊天室等，对目标对象的相关信息进行收集，设置针对性的攻击计划。APT攻击对于信息安全的威胁是显而易见的，需要相关部门高度重视，做出积极应对，强化APT攻击防范，保护重要数据的安全。

3APT攻击的有效应对

3.1强化安全意识

在防范APT攻击的过程中，人员是核心也是关键，因此，在构建网络安全防护体系的过程中，应该考虑人员因素，强化人员的安全防范意识。从APT攻击的具体方式可知，在很多时候都是利用人的心理弱点，通过欺骗的方式进行攻击渗透。对此，应该针对人员本身的缺陷进行弥补，通过相应的安全培训，提升其安全保密意识和警惕性，确保人员能够针对APT攻击进行准确鉴别，加强对于自身的安全防护。对于信息系统运维管理人员而言，还应该强化对于安全保密制度及规范的执行力，杜绝违规行为。另外，应该提升安全管理工作的效率，尽可能减低安全管理给正常业务带来的负面影响，引入先进的信息化技术，对管理模式进行改进和创新，提升安全管理工作的针对性和有效性。

3.2填补系统漏洞

在软件系统的设计中，缺陷的存在难以避免，而不同的系统在实现互连互操作时，由于管理策略、配置等的不一致，同样会产生关联漏洞，影响系统的安全性。因此，从防范APT攻击的角度分析，应该尽量对系统中存在的漏洞进行填补。一是应该强化对于项目的测试以及源代码的分析，构建完善的源代码测试分析机制，开发出相应的漏洞测试工具；二是应该尽量选择具备自主知识产权的设备和系统，尽量避免漏洞和预置后门；三是对于一些通用的商业软件，必须强化对恶意代码和漏洞的动态监测，确保基础设施以及关键性的应用服务系统自主开发[3]。

3.3落实身份认证

在网络环境下，用户之间的信息交互一般都需要进行身份认证，这个工作通常由本地计算环境中的相关程序完成，换言之，用户身份的认证实际上是程序之间的相互认证，如果程序本身的真实性和完整性没有得到验证，则无法对作为程序运行载体的硬件设备进行验证，从而导致漏洞的存在，攻击者可能冒充用户身份进行攻击。针对这个问题，应该对现有的身份认证体系进行完善，构建以硬件可信根为基础的软硬件系统认证体系，保证用户的真实可信，然后才能进行用户之间的身份认证。

3.4构建防御机制

应该针对APT攻击的特点，构建预应力安全防御机制，以安全策略为核心，结合可信计算技术以及高可信软硬件技术，提升网络系统对于攻击的抵御能力，然后通过风险评估，分析系统中存在的不足，采取针对性的应对措施，提升安全风险管理能力。具体来讲，一是应该将数据安全分析、漏洞分析、恶意代码分析等进行整合，统一管理；二是应该构建生态环境库，对各种信息进行记录，为安全分析提供数据支撑；三是应该完善取证系统，为违规事件的分析和追查奠定良好的基础[4]。

4结束语

总而言之，作为一种新的攻击方式，APT攻击对于网络安全的威胁巨大，而且其本身的特性使得管理人员难以及时发现，一旦爆发，可能给被攻击目标造成难以估量的损失。因此，应该加强对于APT攻击的分析，采取切实有效的措施进行应对，尽可能保障网络系统运行的稳定性和安全性。

作者：李杰 单位：九江职业大学

参考文献

[1]陈伟，赵韶华.APT攻击威胁网络安全的全面解析与防御探讨[J].信息化建设，2015（11）：101.

[2]王宇，韩伟杰.APT攻击特征分析与对策研究[J].保密科学技术，2013（12）：32-43.

篇4

[关键词]气象网络；安全防范

[中图分类号]TP309

[文献标识码]A

[文章编号]1672—5158（2013）05—0379—01

随着经济社会的不断发展，计算机网络在各行各业都得到普遍的运用，在气象网络方面也得到了普及，现在的气象信息通过专门的气象网络来进行传输，计算机网络在气象业务的作用也越来越明显，在办公的自动化、气象数据的传输、实景的监控等主要业务发挥着巨大的作用，也为气象预报的准确性提供有利的参考。气象的工作人员对计算机网络产生了依赖，很多事情都不用亲力亲为，只需要动动手指即可，这就造成了病毒的出现，网络故障经常发生，影响气象内部业务网络的正常运行，这就需要在日常工作中解决气象网络中的安全问题。气象网络接人因特网以后，气象网络也成为了一个开放性的网络，网络中为黑客的攻击行为造成了极大的便利，新型的病毒和木马程度越来越多样化，影响气象网络的安全。目前，对气象网络的关注也越来越多。

一、网络安全的分析及安全现状

1、网络的安全隐患。网络系统安全的原因主要有四种：非授权访问、拒绝服务、信息泄露和病毒危害。现在的气象网络规模比较大，有大量的网络设备，比如交换机、路由器等都分布在不同的地方，对于这些设备的安全管理较为困难。周口市气象网络雷达系统马上就会交付使用，各个网络设备和软硬件都要进行更换，会安装FTP、卫星资料接收、MICAPS、NOTESD等服务器的使用，各类气象数据要进行及时的更新，在这些工作中不可能都做到面面俱到，对于一些常识性的问题在日常工作中要保持警惕，以免出现过失性的错误，要经常性的对设备设施进行排查，提高设备的工作效率，保证其使用的正常寿命。

2、气象网络安全现状的分析：（1）安全意识不够强。计算机在我们的生活中已越来越重要，很多用户都是一般使用移动的存储设备来进行数据传输，如果外部数据不经过杀毒软件的扫描，将移动存储设备带入局域网中，就给病毒的传播创造了机会，内部的数据从内部局域网来带出，也增加了数据泄密的可能性，很多用户把专用计算机用于其它方面，造成一台计算机多种用途或是没有经过许可在内外网之间切换使用，造成了信息的泄露和病毒的传播。（2）防火墙的使用。防火墙是由软硬件两部分组成的，用于内外网之间的切换，专用和公用网络之间，保护内部网络不受非法用户的侵犯。但是防火墙也有自身的局限性，也不是万能的，不是一切病毒及不可靠来源都能阻隔的，它有如下几个缺点：①不能防范由于错误配置引起的安全问题；②其自身没有杀毒的功能，不能防范感染病毒的传输；③不能防止内部网络的攻击，虽说防火墙的设计可以是内外皆可放的，但是大多数的用户都觉得不方便，都是选择防外的；④它仅仅是一种安全设备，不能防止自然和认为的破坏；⑤防火墙也有一定的漏洞，使用的周期也有限制，也会有老化和失去作用的时候；⑥不能阻止合法用户主动泄密的情况。（3）黑客的攻击和病毒的入侵。计算机的病毒也分为很多种类，来源的途径主要是在因特网、非法下载、光盘、移动的存储介质和系统自身漏洞。黑客常用的攻击手段有信息炸弹、后门程序、密码破解、网络监听等。（4）应用软件或系统软件没有及时的进行升级。杀毒软件本身也会存在一些漏洞，病毒库也会存在过期的问题。

二、气象网络安全的防范

气象网络的管理总的来说分为两个部分：管理和技术方面，在管理方面分为机房管理和用户管理；技术方面看分为访问网络的控制、VPN、采用Linmx系统提高服务器的稳定、病毒入侵和黑客攻击的防范。

1、机房的管理，机房要做到安全，才可以保证通信的顺畅，机房设备良好的运转和工作环境能够使计算机网络安全、高效的运行；

2、用户的管理，重视气象网络的安全，气象部门的工作人员应该注意的是，不要在电脑上随意安装或下载网站的软件，要及时更新和查杀病毒库、防火墙和系统漏洞，密码要定期修改和重置，在计算机上尽量不要设置共享，要注意操作系统的权限设置。

3、网络访问的控制是要在身份认证的基础上，只有被授权的用户才能对网络定的一些资源进行访问，它是网络安全和防范的主要策略。它能够对不同来源和角色所提出的访问进行控制，确保网络网络资源不被非法访问和使用。

4、VPN是一种虚拟的公用网络。VPN可以建立一条位于不同地方的两个或是两个以上内部网之间的专用通信路线，这种专用路线保证了数据通信的安全传输。VAP的运用保证了信息的安全，具有多种功能，防止了信息被复制、泄露和篡改。气象网络利用VAP用以保证气象数据的传说安全，提高数据的传输性和可靠性。

5、系统漏洞是网络安全中最大的问题，可以采用Linux来提高网络的安全性，传统的windows操作系统存在许多的漏洞，而Linux系统刚好弥补了windows系统的不足。

6、对于病毒的入侵和黑客攻击可以采取3个基本的防范措施：（1）大家比较熟悉就是安装杀毒软件，可以推荐安装SYMANTEC的杀毒软件，它能够提供超强的防病毒功能，对管理方案的解决也较为容易；（2）对黑客的攻击一般采用的方式是利用防火墙访问来进行控制，阻止没有经过授权的访问；稍微高级点的攻击手段就要采取其它办法。（3）在使用移动的存储设备之前要进行杀毒更新，关闭驱动器的自动播放功能，防止病毒的侵入。

三、应该注意的问题

1、当自动站使用机子和备份机都出现故障时，为了不影响发报，应急情况下应该及时启动Milos软件采集发报，台站定期检查软件的运行时候正常，确保软件在应急情况下能够正常使用。

2、对采集器进行复位或断电时，采集器中的数据都会丢失，在复位或断电时要确保数据都已传输或是备份。

结论

气象网络功能的规模在不断扩展，安全问题也受到了更多关注，网络环境存在复杂性和多变性，计算机系统也有自身的脆弱性，决定了气象网络不能只是依靠防火墙，要加强入侵的监测，还要设计到管理和技术的配合。信息建设是一项系统化、体系化的工作，只进行最基本的安全基础设施部署是远远不够的。还需要仔细的分析安全需求，建立起完善的制度，将各种技术和安全手段结合起来，才能建立高效、安全、通用的气象网络环境。

参考文献

篇5

【关键词】网络安全；黑客；入侵与攻击；木马

随着计算机和Internet技术的迅速普及和发展，计算机网络早已成了一个国家的经济脉搏。计算机网络在社会活动的各个方面中都起到了不可或缺的作用。大部分的企业、政府部门和其他组织机构均建立了适合各自使用的基于互联网的相关系统，达到充分配置各种资源和信息共享等功效。互联网为社会和经济的快速进步提供了技术基础，作用也愈发突出。然而，网络技术的快速发展也出现了多种多样的问题，安全状况尤其明显。因为它又为很多的计算机病毒和黑客创造了机会和可能，不管是由于它们在设计上有不足，还是因为人为的原因造成的种种漏洞和缺陷，均会被某些意图不轨的黑客利用，进而发起对系统等进行攻击。只有做到了解才能在黒客进行网络攻击前做到充分的防范，从而保证网络运行过程中的安全性。熟知Internet会发生的各种状况威胁，做到及时的预防和准备，实现网络安全早已成为互联网实施中最为主要的方面。网络安全是在互联网经济时代中人们所面临的共同威胁，而我国的网络安全问题也越来越明显。

1 网络安全面对的威胁主要表现为:

1.1 黑客攻击

黑客最开始是指那些研究计算机技术的专业计算机人士，特别是那些编程技术人员。但现在，黑客一词则是泛指那些专门通过互联网对计算机系统进行破坏或非法入侵的人。全球现在已有20多万个黑客网站，网站上讲解了对网站和系统的一些攻击软件的使用和攻击的方式，以及系统的某些缺陷和漏洞，所以黑客技术也被人们普遍的了解，因此系统和网站受到攻击的几率就大大提高。目前对于网络犯罪进行快速反应、跟踪和追捕等技术不健全，使得黑客攻击系统和网站越来越猖狂，这也是影响网络安全的重要因素。

1.2 木马

木马程序是当前在互联网上盛行的病毒感染文件，和普通的病毒不一样，它不能进行自我繁殖，也并不“自主”地去破坏用户文件，通过将文件伪装吸引用户下载运行被感染的文件，向施种木马者提供打开被感染用户计算机的门户，使施种者可以对被感染的用户的文件进行盗窃、破坏，还可以控制被感染用户的计算机。一般情况下的木马文件包括客户端和服务器端两个部分，客户端是施种木马者进行远程控制被感染的用户的服务器终端，而服务器端则是植入木马文件的远程计算机。当木马程序或包含木马病毒的其他程序运行时，木马会先在系统中潜伏下来，并篡改系统中的数据和程序，每次使用系统时都会使潜伏的木马程序自动运行。执行木马的客户端和服务器端在运行模式上属于客户机/服务器方式Client/Server，C/S 客户端在当地计算机上运行，用来控制服务器端。而服务器端则是在远程计算机上运行，只要运行成功该计算机就中了木马，那么就变成了一台服务器，可以控者进行远程控制。

2 对防范网络攻击的建议:

在对网络攻有一定的了解的同时，我们应该对网络攻击采取有效的措施。确定网络攻击的漏洞所在，建立真正有效的的安全防范系统。在网络环境下设立多种多层的防范措施，真正达到防范的效果，让每种措施都像关卡一样，使得攻击者无计可使。同时，我们还要做到防范于未然，对重要的数据资料及时备份并实时了解系统的运作情况，做到有备无患。

对于网络安全的问题，提出的以下几点建议：

2.1 加强对安全防范的重视度

(1) 对于来路不明的邮件和文件不要随意的下载和打开，谨慎运行不熟悉的人提供的程序和软件，像“特洛伊”类木马文件就需要诱使你执行。

(2)最好不要从互联网上下载不正规的文件、游戏和程序等。就算是从大家都熟悉的网站下载程序等，也要在第一时间用最新的查杀病毒和木马的软件对其进行安全扫描。

(3)在进行密码设置是，尽量不适用单一的英文或数字的密码种类，因为它们很容易被破解，最好是字母、数字和符号的混合使用。同时对于经常使用的各个密码要进行不同的设定，防止一个密码被盗导致其他的重要数据丢失。

(4)对于系统提示的系统漏洞和补丁要及时的修补和安装。

(5)在支持HTML的论坛上，如出现提交发出警告，那么先查看BBS源代码，这极可能是诱骗密码的陷阱。

2.2 及时的使用防毒、防黑等防火墙保护软件，防火墙是一个用来防止互联网上的黑客入侵某个机构网络的保障，也把它称做控制进与出两个方面通信的大门。在互联网边界上通过建立各种网络通信流量监控体系来隔离内部和外部的网络，来防止外面互联网的入侵。

网络攻击的现象越来越多，攻击者也是越来越猖狂，这极大的威胁了网络的安全性。黑客们的疯狂入侵是都可以采取措施来防范的，只要我们知道他们的攻击方式及拥有大量的安全防御知识，就能消除黑客们的恶意进攻。不论什么时候我们都要把重视网络安全教育，提高网络用户的安全防范意识和培养一定的防御能力，这对确保整个网络的安全性有着不可或缺的作用。如今，市面上也出现了很多的提高网络安全的方法和各种防火墙，笔者认为网络成为安全的信息传输媒介即将成为现实。

参考文献：

[1]周学广等.信息安全学. 北京：机械工业出版社，2003.3

[2] (美)Mandy Andress著.杨涛等译.计算机安全原理. 北京：机械工业出版社，2002.1

[3]曹天杰等编著.计算机系统安全.北京:高等教育出版社，2003.9

篇6

关键词： 公安；边防部队；网络信息；安全管理；问题；对策

网络信息技术在经济的激烈发展中变得日益先进化，设计到国家发展的各个领域，是国家经济发展的重要力量，但是网络信息技术作为一种无形的技术很容易受到威胁，在长期的使用中会出现一些不良的网络信息、干扰网络系统的病毒以及机密被窃取的现象。公安边防部队作为守卫国家安全的重要组织，在网络信息的安全管理上更是要引起重视，要查找在安全管理中所存在的威胁因素，例如：信息传递以及网络结构管理所面临的问题；网络设备的利用性不高；网络体系中出现恶意的程序；网络信息操作的安全性低。进而根据这些问题找出相应方案去除这些威胁，进而维护好国家的发展与居民的安定。

1 公安边防部队网络信息安全管理面临的问题

在公安边防部队的网络信息使用中，由于一些威胁性因素的存在严重威慑着部队对网络信息的安全管理，下面笔者就和大家共同分析一下，在公安边防部队网络信息安全管理中所面临的为威胁性因素：

1.1 光纤通信网络的安全隐患

在光纤通信网络信息传递的过程中由于缺乏安全的管理，致主要是物理链路方面。使很多病毒以及恶意的软件在中途植入，导致信息大量的丢失，一些不法的想窃取公安边防部队的机密的人员，使用一些高端的技术扫描公安边防部队网络体系所存在的漏洞。进而找出突破口，窃取机密。由于在网络结构的创建过程中，会用到很多的网络设备，在这些网络设备的使用中也会出现泄漏信息的状况，究其原因，主要是由于公安边防部队在信息传递以及网络结构的创建中缺乏安全的管理。

1.2 网络设备的利用性不高

在网络信息的使用中，由于设备的管理与监督力度不够，最终致使设备被窃取；很多网络设备被修理的次数非常的多，导致设备断电等在使用中会出现很多故障以及意外，最终致使公安边防部队的信息以及机密被外泄；还有的情况是因为操作人员技术性能不强进而使用不当致使网络设备破损；由于地区的局限性，所用的设备过于落后，不能够跟得上信息技术的发展与变化，致使信息不灵通，网络设备的利用性不高。

1.3 机房信息接入点的安全隐患，网络体系中出现恶意的程序

网络技术的日益发展使得网络体系也逐渐的日益先进，但是与此同时，相应的窃取机密以及信息的不法科技也在快速的发展。很多肆意窃取公安边防部队信息机密的不法分子，通过高端的科学网络技术，将恶意的程序例如：病毒、木马等植入到网络信息的各种软件之中，公安边防部队的工作人员在使用的过程中，在毫不知情的情况下，系统就会出现安全威胁，进而信息就会被他人窃取。

1.4 网络信息操作安全性能低，违规使用的安全隐患

在网络信息的管理中由于相关管理人员缺乏有效的管理，致使网络信息操作的安全性降低，信息被大量的盗取的现象频频上演，除此之外，由于网络机器设备在使用中，由于各种原因，故障以及意外的高发性也致使网络信息操作的安全性能降低；由于在公安边防部队目前所用的网络信息体系中一些防范技术很少被使用，导致病毒以及木马的入侵，所以最终致使网络信息操作的安全性能降低，信息被盗取。

2 解决公安边防部队网络信息安全管理问题的对策

2.1 强化网络信息人才培养，完善网络安全防护技术

要想提升公安边防部队网络信息的安全管理首要措施一定是从相关的管理人员做起，提升相关的管理人员的综合性修养，进而提升管理的有效性。在提升相关的管理人员的综合性修养的过程中，公安边防部队要创建一套合理的、全面的管理制度。在目前的网络信息管理中缺乏有效的制度，既使有也不符合当下网络信息管理的要求。这样使得网络信息泄密的状况有法规以及法律的约束。在管理的过程中，要多汲取先进的管理经验，结合自身的问题，制度相应的管理制度，为了保证管理的高效性，可以制度相应的奖惩条例。进而在网络信息的管理中，相关的工作要做好分工，责任要有明确的划分，创建一定的责任体系，将公安边防部队的网络信息管理责任规划到专人身上，遏制信息泄露状况的发生。对于一些不是公安边防部队的工作人员，要加强管理以及防范工作，可以录指纹；签订协议等，以防不法人员浑水摸鱼，偷盗机密。相关的管理人员还要对工作中所用到的手机、电脑以及相机等移动的存储物体加强管理，要做好相应的使用登记。还要加强对相关管理人员的技能强化，保证其在工作中能够有足够的能力去应对相关的问题。

2.2 要进一步完善网络安全保密工作

要想确保公安边防部队的网络信息管理的安全性，一定要注重对网络信息安全的防范工作，进而创建防范病毒以及各种威胁因素的检测体系，保证网络信息体系可以在全天中得到检测，进而能够有效的发现系统中所出现的漏洞，并做出相应的弥补和防范，找出问题的根源，将不法的窃取机密的科技以及人员一网打尽，为创建安全的网路信息体系提供可行的条件。要研制出相应的防火墙技能，进而提升对网络信息体系的管理与监督。防火墙虽然对增强网络信息安全方面的作用很重要，但是随着盗窃机密的技术的快速发展，防火墙的保护功能在日渐衰退，所以要想建立保护网络信息体系的防火墙一定要采用高端的科学技术，研发出高端技能的防火墙，进而能够对网络信息体系中的病毒、木马以及恶意的软件做出有效的控制，相关的管理人员要对文件以及机密的加密技术进行研究，使得加密技术能够更加的合理化、先进化、安全化。所以要想促进公安边防部队网络信息管理的安全化，要注重网络信息安全的防范工作，进而促进边防工作人员的信息技术的合理化、安全化。

2.3 要建立网络安全防护机制，制定合理的网络控制措施

公安边防部队可以号召国家的一些重点部门以及单位合理规划自身所用的网络信息体系，站在国家的角度，将所用的网络信息体系融入国家的网络信息建设的规划中，进而扩大网络控制的范围，包括网络安全风险评估、网络安全应急演练等，增强网络控制的力度。公安边防部队可以在网络控制中发挥自身的主导作用，积极的协调、规划好网络信息系统管理的安全工作，并将其落实到位，号召各单位以及部门积极的配合好公安边防部队的网络信息管理的安全工作，进而将有效的管理落到实处。随着工作的信息化，很多部门在工作中都实现了网络化的发展，公安边防部队在网络化工作的过程中，要将报警技术植入到各网络体系的使用中，进而通过报警提示来考核网络信息体系的安全性，若出现问题报警体系就会有提示，然后工作人员可以及时的查找问题的所在位置，并做出相应的防范措施，进而消除病毒、木马、恶意软件等安全威胁。

3 总结

网络信息技术在各个领域的广泛应用带动了我国的经济发展，但是在长期的使用中也出现了各种威胁网络信息安全的因素，尤其公安边防部门这种威胁的威慑性非常的严重，它影响着国家的经济发展以及居民生活的安定，所以一定要找出公安边防部队网络信息安全管理面临的问题，信息传递以及网络结构缺乏安全管理的问题，网络设备的利用性不高，网络体系中出现恶意的程序，网络信息操作安全性能低。针对这些问题，公安边防部队要提升相关管理人员的综合化的修养，并注重网络信息安全的防范工作，制定合理的网络信息控制措施，为公安边防部队的工作人员提供一个稳定的守卫环境以及可靠的信息利用系统。

参考文献：

[1]任志安、钱士侠，论公安机关在群体性治安事件中的法律定位[J].长白学刊，2011（03）.

[2]郭会茹、孙静静，公安网络信息安全及其防范措施的研究[J].赤峰学院学报（自然科学版），2011（09）.

[3]钟婧，群体性治安事件处置原则新探究[J].法制与社会，2010（21） .

[4]苏伟，论社会转型期公安工作中的媒体应对[J].吉林公安高等专科学校学报，2010（01）.

[5]许发见，从“维基解密”事件看公安网络安全管理重要性[J].信息网络安全，2011（02）.

[6]翁杨华，浅谈公安信息网络安全问题及解决对策[J].福建电脑，2010（04）.

篇7

一、总体要求

以建设幸福为出发点，加强网络安全监管工作，坚持积极防御、综合防范的方针，全面提高信息安全防护能力。重点保障基础信息网络和重要信息系统安全，创建安全的网络环境，保障信息化健康发展，维护公众利益，促进社会和谐稳定。

二、工作目标

通过开展网络安全监管专项行动，进一步提高基础信息网络和重要信息系统安全防护水平，深入推进信息安全保障体系建设，健全统筹协调、分工合作的管理体制，强化信息安全监测、预警与应急处置能力，深化各类政务及公共服务重要信息系统的信息安全风险评估与等级保护工作，打造可信、可控、可用的信息安全防护基础设施和网络行为文明、信息系统安全的互联网应用环境。

三、组织领导

成立我局网络安全监管专项整治工作领导小组，由办公室、执法大队、市场管理科、广电科等组成。

四、工作职责

负责全县互联网文化活动的日常管理工作，对从事互联网文化活动的单位进行初审或备案，对互联网文化活动违反国家有关法规的行为实施处罚；依法负责对互联网上网服务营业场所的审核及管理；督促县广电总台做好互联网等信息网络传输视听节目（包括影视类音像制品）的管理。

五、整治任务

按照国家和省、市、县要求，认真做好重要时期信息安全保障工作。确保基础信息网络传输安全，保障重要信息系统安全、平稳运行，强化对互联网及通信网络信息安全内容的监管，严格防范非法有害信息在网络空间的散播。

六、总体安排

第一阶段：调查摸底，健全机制阶段（5月）。

第二阶段：评估自评估、自测评，综合整治阶段（6月至9月）

第三阶段：检查验收，巩固提高阶段（10月）。

七、工作要求

1、提高认识，加强领导。要充分认识信息安全保障工作的重要性和紧迫性，落实部门责任，各司其职，常抓不懈。做好本系统、本行业内各类信息网络和重要信息系统的安全管理工作。

2、明确职责，加强配合。要在整治工作领导小组统一领导协调下，各司其职，分头齐进，相互配合，迅速开展整治工作。同时，定期召开会议，通报情况，研究问题，部署任务，协调行动，确保整治工作有序开展。

篇8

一、工作目标

通过开展社会共治行动,建立健全网络餐饮监管制度,实现网络餐饮服务第三方平台信息公示真实完整,入网餐饮服务提供者线上线下同标同质,网络餐饮服务经营行为进一步规范。

二、组织领导

成立市局网络餐饮服务食品安全社会共治行动领导小组,负责全市网络餐饮服务食品安全社会共治行动工作的组织协调。

组长:

成员:

联络员:

三、工作重点

(一)检查整治网络餐饮服务第三方平台提供者未按规定备案;未建立入网餐饮服务提供者审查登记、食品安全违法行为制止及报告、严重违法行为平台服务停止、食品安全事故处置等制度并在网络平台上公开;未建立投诉举报处理制度,公开投诉举报方式;未设置专门的食品安全管理机构、配备专职食品安全管理人员,未在每年对食品安全管理人员进行培训和考核;未对入网餐饮服务提供者的食品经营许可证进行审查,未登记入网餐饮服务提供者的名称、地址、法定代表人或者负责人及联系方式等信息,入网餐饮服务提供者食品经营许可证载明的经营场所等许可信息不真实;未与入网餐饮服务提供者签订食品安全协议;未如实记录网络订餐的订单信息,包括食品的名称、下单时间、送餐人员、送达时间以及收货地址;未对入网餐饮服务提供者的经营行为进行抽查和监测;未对送餐人员进行食品安全培训等。

(二)检查整治入网餐饮服务提供者无实体经营门店;未取得合法有效食品经营许可证;存在超范围经营行为;未在网上真实公示菜品名称和主要原料名称;采购不符合食品安全标准的食品及原料,使用有腐败变质、油脂酸败、霉变生虫、污秽不洁、混有异物、掺假掺杂或者感官性状异常的食品及原料;未在自己的加工操作区内加工食品,将订单委托其他食品经营者加工制作;使用不符合食品安全标准的容器、餐具和包装材料等。

(三)检查整治网络餐饮服务第三方平台提供者和入网餐饮服务提供者未在餐饮服务经营活动主页面公示餐饮服务提供者的食品经营许可证;食品经营许可等信息发生变更的,没有及时更新;未在网上真实公示餐饮服务提供者的名称、地址、量化分级信息等。

(四)网络餐饮服务第三方平台提供者备案率100%,食安(客)封签覆盖面达到30%。

(五)组织开展食品安全常识和厉行节约反对餐饮浪费宣传,鼓励平台将点餐行为与“积分”相结合,激励消费者点“小份”“半份”“套餐”,养成点餐不浪费的良好习惯。

(六)及时办理“12315”投诉举报,聘请送餐员做义务监督员。

四、工作安排

(一)动员部署阶段(2021年4月)。各地要对本辖区的网络餐饮服务市场进行摸底调查,根据实际情况制定方案措施,明确工作重点,压实工作责任,确保工作取得实效。

篇9

在大型的企业网络中不同的子网各有特点，对于网络安全防护有不同的等级要求和侧重点。因此，网络安全域的“同构性简化”思路就显得非常适合安徽中烟网络安全防护的需求，下面将具体介绍安徽中烟基于安全域的网络安全防护体系建设思路。

网络安全域是使网络满足等级保护要求的关键技术，每一个逻辑区域有相同的安全保护需求，具有相同的安全访问控制和边界控制策略，区域间具有相互信任关系，而且相同的网络安全域共享同样的安全防护手段。通过建设基于安全域的网络安全防护体系，我们可以实现以下的目标：通过对系统进行分区域划分和防护，构建起有效的纵深防护体系；明确各区域的防护重点，有效抵御潜在威胁，降低风险；保证系统的顺畅运行，保证业务服务的持续、有效提供。

1安全域划分

由于安徽中烟网络在网络的不同层次和区域所关注的角度不同，因此进行安全域划分时，必须兼顾网络的管理和业务属性，既保证现有业务的正常运行，又要考虑划分方案是否可行。在这样的情况下，独立应用任何一种安全域划分方式都不能实现网络安全域的合理划分，需要多种方式综合应用，互相取长补短，根据网络承载的业务和企业的管理需求，有针对性地选择合理的安全域划分方式。

1.1安全域划分原则

业务保障原则安全域划分应结合烟草业务系统的现状，建立持续保障机制，能够更好的保障网络上承载的业务。在保证安全的同时，还要保障业务的正常运行和运行效率。结构化原则安全域划分的粒度可以从系统、设备到服务、进程、会话等不断细化，在进行安全域划分时应合理把握划分粒度，只要利于使用、利于防护、利于管理即可，不可过繁或过简。等级保护原则属于同一安全域内的系统应互相信任，即保护需求相同。建立评估与监控机制，设计防护机制的强度和保护等级。要做到每个安全域的信息资产价值相近，具有相同或相近的安全等级、安全环境、安全策略等。生命周期原则安全域的划分不应只考虑到静态设计，还要考虑因需求、环境不断变化而产生的安全域的变化，所以需考虑到工程化管理。

1.2安全域划分方式

1.2.1安全域划分模型根据安徽中烟网络和业务现状，安徽中烟提出了如下安全域划分模型，将整个网络划分为互联网接口区、内部网络接口区，核心交换区，核心生产区四部分：核心生产区本区域仅和该业务系统其它安全子域直接互联，不与任何外部网络直接互联。该业务系统中资产价值最高的设备位于本区域，如服务器群、数据库以及重要存储设备，外部不能通过互联网直接访问该区域内设备。内部互联接口区本区域放置的设备和公司内部网络，包括与国家局，商烟以及分支烟草连接的网络。互联网接口区本区域和互联网直接连接，主要放置互联网直接访问的设备。该区域的设备具备实现互联网与内部核心生产区数据的转接作用。核心交换区负责连接核心生产区、内部互联接口区和外部互联接口区等安全域。

1.2.2安全域边界整合1）整合原则边界整合原则是主要依据分等级保护的原则和同类安全域合并。分等级防护是安全域方法的基本思想，这自然不必多说，同类安全域合并原则在落实时应以一下思想为指导：集中化：在具备条件的情况下，同一业务系统应归并为一个大的安全域；次之，在每个机房的属于同一数据业务系统的节点应归并为一个大的安全域。跨系统整合：不同的数据业务系统之间的同类安全域应在保证域间互联安全要求的情况下进行整合，以减小边界和进行防护。最小化：应将与外部、内部互联的接口数量最小化，以便于集中、重点防护。2）整合方法为了指导边界整合，安徽中烟提出了两种边界整合方法、适用场景。这些边界整合方法都侧重于跨系统或同一系统不同节点间的边界整合，侧重于数据业务系统与互联网、外部系统间的接口的整合。（1）单一传输出口的边界整合此种整个方法适用于：具备传输条件和网络容灾能力，将现有数据业务系统和互联网的传输接口整合至单一或几个互备接口。（2）多个传输出口的边界整合此种整个方法适用于：数据业务系统和互联网之间有多个物理位置不同的接口，并且尚不具备传输条件整合各接口。

2安全防护策略

2.1安全防护原则

集中防护通过安全域划分及边界整合后，可以形成所谓的“大院”，减少了边界，进而可以在安全域的边界和内部部署防火墙、入侵检测系统的网络探头、异常流量检测和过滤设备、网络安全管控平台的采集设备、防病毒系统的客户端等基础安全技术防护手段，集中部署基础安全服务设施，对不同业务系统、不同的安全子域进行防护，共享其提供的安全服务。分等级防护根据烟草行业信息安全等级保护要求，对不同的数据业务系统、不同的安全子域，按照其保护等级进行相应的防护。对于各系统共享的边界按“就高不就低”的原则进行防护。纵深防护从外部网络到核心生产域，以及沿用户（或其他系统）访问（或入侵）系统的数据流形成纵深的安全防护体系，对关键的信息资产进行有效保护。

2.2系统安全防护

为适应安全防护需求，统一、规范和提升网络和业务的安全防护水平，安徽中烟制定了由安全域划分和边界整合、设备自身安全、基础安全技术防护手段、安全运行管理平台四层构成的安全技术防护体系架构。其中，安全域划分和边界整合是防护体系架构的基础。

2.2.1设备自身安全功能和配置一旦确定了设备所在的安全域，就可以根据其落入的安全域防护策略对设备进行安全功能设置和策略部署。针对设备的安全配置，安徽中烟后期会制定《安徽中烟设备安全功能和配置系列规范》提供指导。

2.2.2基础安全技术防护手段业务系统的安全防护应以安全域划分和边界整合为基础，通过部署防火墙、入侵检测、防病毒、异常流量检测和过滤、网络安全管控平台等5类通用的基础安全技术防护手段进行防护。在通用手段的基础上，还可根据业务系统面临的威胁种类和特点部署专用的基础安全技术防护手段，如网页防篡改、垃圾邮件过滤手段等。

防火墙部署防火墙要部署在各种互联边界之处：

–在互联网接口区和互联网的边界必须部署防火墙；

–在核心交换区部署防火墙防护互联网接口区、内部互联接口区和核心生产区的边界；

–在内部互联接口区和内部网络的边界也需部署防火墙。考虑到内部互联风险较互联网低，内部互联接口区防火墙可复用核心交换区部署的防火墙。另外，对于同一安全域内的不同安全子域，可采用路由或交换设备进行隔离和部署访问控制策略，或者采用防火墙进行隔离并设置访问控制策略。入侵检测设备的部署应在互联网接口区、内部互联接口区必须部署入侵检测探头，并统一接受网管网集中部署的入侵检测中央服务器的控制。在经济许可或相应合理要求下，也可在核心交换区部署入侵检测探头，实现对系统间互访的监控。防病毒系统的部署运行Windows操作系统的设备必须安装防病毒客户端，并统一接受网管网集中部署的防病毒中央控制服务器的统一管理。同时，为了提高可用性和便于防护，可在内部互联接口区部署二级防病毒服务器。异常流量检测和过滤可在数据业务系统互联网接口子域的互联网边界防火墙外侧部署异常流量检测和过滤设备，防范和过滤来自互联网的各类异常流量。

网络安全管控平台网络安全管控平台应部署在网管网侧，但为了简化边界和便于防护，建议：

–在内部互联接口区部署帐号口令采集设备以实现帐号同步等功能。

–在内部互联接口区必须部署日志采集设备，采集业务系统各设备的操作日志。

2.2.3应用层安全防护数据业务系统应用安全防护主要是防范因业务流程、协议在设计或实现方面存在的漏洞而发生安全事件。其安全防护与系统架构、业务逻辑及其实现等系统自身的特点密切相关。安徽中烟通过参考IAARC模型，提出鉴别和认证、授权与访问控制、内容安全、审计、代码安全五个防护方面。

2.2.4安全域的管理除了实施必要的安全保障措施控制外，加强安全管理也是不可缺少的一个重要环节。安全域管理主要包括：从安全域边界的角度考虑，应提高维护、加强对边界的监控，对业务系统进行定期或不定期的风险评估及实施安全加固；从系统的角度考虑，应规范帐号口令的分配，对服务器应严格帐号口令管理，加强补丁的管理等；人员安全培训。

篇10

关键词 消防；网络信息安全

中图分类号TN91 文献标识码A 文章编号 1674-6708（2014）121-0239-02

0引言

随着计算机和网络技术在消防部队的广泛应用，网络安全和信息保密问题也日益凸显。近几年，公安消防部队发生了一些网络违规事件、失泄密案件大多是通过计算机和网络途径发生的，网络攻击、网络窃密和网上违法犯罪等问题日渐突出。在中央网络安全和信息化领导小组第一次会议明确指出：没有网络安全就没有国家安全。下面，笔者就如何加强公安消防部队网络信息安全工作谈谈自己的看法。

1 当前基层公安消防部队网络信息安全现状

1.1网络安全意识普遍不强。

基层公安消防部队官兵在日常工作中要经常性接触互联网、公安信息网和调度指挥网，台式计算机、移动办公终端（笔记本电脑）基本普及，这给广大官兵日常办公带来了很大的方便。但由于部分官兵网络安全意识不强，甚至淡薄，导致出现以下方面：一是U盘、移动硬盘等移动数码存储介质普遍存在公安信息网和互联网交叉使用的问题，易使电脑感染病毒，甚至造成网络失泄密。二是工作用计算机未及时更新升级杀毒软件，致使杀毒软件无法发挥正常的监控和查杀功能。三是打开办公系统或网页浏览信息后，没有随手关闭的意识，致使一些重要内容被外来人员浏览。四是个别官兵网络安全防范知识匮乏，将个人智能手机等便携式上网设备连接公安网充电或下载资料，造成“一机两用”违规。五是公安网电脑和各类服务器密码设置过于简单，且不能定期更换，易遭到恶意登陆，造成重要信息的外泄。

1.2网络信息安全规章制度落实不力

《公安信息网“八条纪律”和“四个严禁”》、《禁止公安业务用计算机“一机两用”的规定》、《公安网计算机使用管理规定》、网络信息系统日巡检、系统日志周检查和数据库备份制度等一系列网络信息安全规章制度未有效落实在日常工作中，麻痹大意思想不同程度存在，造成了基层公安消防部队网络信息安全隐患事件。

1.3网络安全教育组织不到位

大多数基层部队官兵电脑、网络方面的维护知识较少，对于查杀病毒、杀毒软件升级、设置更改密码等一些基本操作都不精通，工作中普遍存在只使用、不懂维护现象，这些因素致使网络信息安全得不到保障有效。多数基层消防部队开展网络安全教育手段较为单一，多是照本宣科的传达上级规章制度，不少单位甚至将士兵上网行为视作洪水猛兽，这种一味去“堵”、“防”的安全教育管理模式，显然不能从根本上解决问题，也达不到提升官兵自身网络安全意识的效果。另外基层消防部队的合同制消防员和文职人员流动性大，也增加了消防部队网络安全教育的复杂因素。

1.4网络安全技术防范措施和手段较为单一

基层公安消防部队的网络信息安全系统建设普遍不到位，网络安全管理平台、威胁管理（UTM）、防病毒、入侵侦测、安全审计、漏洞扫描、数据备份等安全设备缺口较大。受经费制约，不少基层消防部队在信息化项目建设时不能按照有关规定进行网络安全设计，无法同步建设网络信息安全系统。这种现象致使基层部队网络安全技术防范措施和手段较单一，不能及早发现、消除一些网络安全隐患。

2 加强基层公安消防部队网络信息安全的对策

2.1加强网络信息安全教育

基层消防部队要组织官兵经常性地学习部队网络信息安全规章及禁令，积极开展反面警示及法制教育，从中汲取教训，举一反三，使官兵充分认识到网上违纪违规行为的严重性和危害性。针对网络违纪的倾向性问题，加强思想政治教育、革命人生观教育和忧患意识教育，让青年官兵做到正确认识看待网络技术，正确把握自己的言行。可以邀请保密部门进行专题培训、组织案例剖析以及窃密攻防演示等多种形式，进一步强化官兵依法保护国家秘密的自觉性。要加强对文员和合同制队员的岗前培训与安全保密教育工作，对于日常工作中经常接触公安网和内部信息的人员要严格监督和指导，贯彻落实各项安全管理制度，杜绝违纪泄密事件发生，最大限度地消除隐患，确保网络信息安全。

2.2规范日常网络安全检查

应配责任心强、计算机素质较高的官兵为单位网络安全管理员，严格落实网络信息系统日巡检、系统日志周检查和数据库定期备份制度，并将设备运行参数、安全运行情况、故障处理信息等检查、巡检结果造册登记。同时要定期组织开展计算机网络安全自查，确保不漏一人、一机、一盘、一网，对排查出来的问题要逐项登记，落实整改措施，消除隐患，堵塞漏洞。通过经常性的检查评比，在部队内部营造浓厚的网络信息安全氛围，不断提升官兵做好网络信息安全工作的自觉意识，杜绝各类网络信息违纪泄密事件发生，把隐患消灭在萌芽状态，确保网络信息安全稳定。

2.3加强公安信息网接入边界管理

每台接入公安网的计算机必须安装“一机两用”监控程序、防病毒软件，及时更新操作系统补丁程序，坚决杜绝未注册计算机接入公安网络。计算机、公安信息网、互联网必须实行物理隔离。严禁具有WIFI、蓝牙功能的3G手机连接公安网电脑。除移动接入应用外，严禁笔记本电脑接入公安网。严格落实各类应用系统和网站的登记、备案制度，严格上网内容的审批，防止非网管人员随意登录服务器篡改业务系统程序、开设论坛、聊天室、架设游戏网站、非工作视频下载等违规行为。

2.4加强网络信息安全技术保障

基层消防部队要依据《全国公安消防部队安全保障系统建设技术指导意见》，在建设信息化项目时，制定切实可行的网络安全保障规划，加大投入，确保用于网络安全与保密系统方面的投入不低于信息化建设项目投资总额的10%，逐步配备必要的网络信息安全系统，研究网络安全防范技术，建立网上巡查监控机制，提高计算机网络和信息系统的整体防范能力和

水平。

2.5建立健全网络信息责任机制

基层消防部队要按照“谁主管、谁负责”的原则，严格落实公安网络安全和保密工作军政主官负责制，加强公安网络安全和保密工作的组织领导和监督检查，及时研究解决网络信息安全工作中遇到的问题和困难，督促工作措施落实。要严格落实定期网络安全与保密形势分析制度，在内网网站建立网络安全管理专栏，通报网络运行情况和网络安全管理情况。同时加大对网络违规违纪的查处力度，将网络信息安全防范工作全面贯彻到部队日常安全管理工作中，逐步建立健全对网上违规行为的调查、取证、处罚、通报等查处工作联动机制。凡因管理不善、措施不力、工作不落实，发生网络违规违纪事件的，实行问责制和责任倒查制，对直接责任人进行严肃处理。

参考文献

[1]河南省公安消防部队网络与信息全安管理员管理规范.

篇11

【关键词】信息化；服务；信息安全

【中图分类号】TN915.08 【文献标识码】A 【文章编号】1672-5158（2012）09-0030-01

一、新疆电力公司业务应用情况

新疆电力公司始终坚持“服务党和国家工作大局、服务电力客户、服务发电企业、服务社会发展”的宗旨，从事电力购销业务，负责所辖区域电网之间的电力交易和调度。为了服务电力生产和统一调度的发展，以宽带达到100M以上。数据交换体系建设加快，实现了数据统计等关键信息的及时上报、自动汇总和动态。网省公司、地州电力调度机构实现了调度自动化系统，引入了电能计费系统和广域测量系统；变电站实现了计算机监控额无人、少人值守，大大提高了生产自动化水平。

建立地理信息系统（GIS），应用于输电、变电、配电管理业务。电力负荷、电力营销管理手段广泛应用，实现业务报装、电费抄核、故障报修、投诉受理等功能。地州供电企业营业窗口基本实现计算机受理用电业务，投运全国统一的“95598”电力客户电话服务系统。为方便用电客户缴费通过实现会计核算、业务报表及信息及时监控；实现银电联网，方便用电客户和发电企业进行缴费和资金结算；实现实现电子公文传输的单轨制运行和无纸化公文传输；建立集中规模招投标系统，在网上实现全过程招标和评标。

二、新疆电力公司网络结构

新疆电力公司广域网设计采用“双星形”网络拓扑结构。涵盖新疆电力公司下属22家单位及86个县供，覆盖率达到100%，实现了乌鲁木齐市内单位网络带宽1000M，地州单位网络带宽不低于100M互联，备用链路不低于10M；乌鲁木齐电业局及地州12家单位已经实现“双设备，双链路”设备及链路双冗余上行至新疆公司本部，主用155Mb通道，备用10Mb通道广域网核心路由使用NFA0-8及NFAOE，核心交换使用$9508设备，地州接入设备采用MSR50-60设备。

三、信息安全隐患分析

计算机信息安全面临来自多个方面的信息安全威胁，影响原因可能是系统本身、数据库以及移动储存介质，而它们在使用、管理过程中的疏忽也加剧了问题的严重性。

3.1 操作系统和应用程序的安全漏洞现在广泛使用的操作系统在安全体系结构上都先天不足，靠打补丁逐步完善，缺乏严密的安全框架，安全漏洞较多。访问控制与认证功能薄弱，用户认证方式单一，绝大多数仅为口令方式，一些更可靠的生物特征认证手段因缺少硬件认证部件没有得到广泛应用。有的操作系统还有陷门和隐蔽信道。在应用程序安全的问题上，主要是缺少完备的安全机制。在开发过程中没有遵照安全软件工程的原则开发，用户只关心是否实现了所要求的功能，安全完全由程序员开发与控制，从而留下安全隐患。

3.2 移动储存介质

移动储存介质由于其本身具有方便小巧、存储量大、通用性强、易携带等特点，得到了广泛的使用。但这些特点也给网络带来了许多安全隐患，造成网络系统不易管理，尤其是单位移动储存介质的管理。现阶段介质的使用大多缺乏设备登记、身份认证、访问控制和审计机制，这给网络系统的信息安全造成很大的威胁。

3.3 数据库系统的安全隐患

数据库系统的安全隐患有如下特点：涉及到信息在不同程度上的安全，即客体具有层次性和多项性；在DBMS中受到保护的客体可能是复杂的逻辑结构，若干复杂的逻辑结构可能映射到同一物理数据客体上，即客体逻辑结构与物理结构的分离；客体之间的信息相关性较大，应该考虑对特殊推理攻击的范围。我们将企业数据库系统分成两个部分：一部分是数据库，按照一定的方式存取各业务数据。一部分是数据库管理系统（DBMS），它为用户及应用程序提供数据访问，同时对数据库进行管理，维护等多种功能。

3.4 路由和交换设备安全隐患路由器是企业网络的核心部件。它的安全将直接影响整个网络的安全。路由器在缺省情况下只使用简单的口令验证用户身份，并且在远程TELNET登录时以明文传输口令。一旦口令泄密，路由器将失去所有的保护能力。同时，路由器口令的弱点是没有计数器功能，所以每个人都可以不限次数地尝试登录口令，在口令字典等工具的帮助下很容易破解登录口令。每个管理员都可能使用相同的口令，路由器对于谁曾经作过什么修改没有跟踪审计的能力。此外，路由器实现的某些动态路由协议存在一定的安全漏洞，有可能被恶意攻击者利用来破坏网络的路由设置，达到破坏网络或为攻击作准备的目的。

3.5 黑客的威胁和攻击

黑客具有非常强的计算机网络系统知识，能熟练使用各种计算机技术和软件工具。黑客善于发现计算机网络系统自身存在的系统漏洞。漏洞成为黑客被攻击的目标或利用为攻击的途径，并对网络系统的安全构成了非常大的威胁。目前，在各个国家计算机信息网络上的黑客攻击事件都是越演越烈。

3.6 计算机病毒的侵害

由于计算机病毒具有蔓延速度快、范围广等特点，是计算机网络系统的最大的威胁造成的损失难以估计。计算机病毒破坏的对象直接就是计算机系统或者网络系统。一旦计算机感染上病毒后，轻则使系统执行效率下降，重则造成系统死机或毁坏，使部分文件或全部数据丢失，甚至造成计算机系统硬件设备等部件的损坏。

四、网络信息安全应对策略

4.1 访问控制策略

访问控制是网络安全防范和保护的主要策略，主要任务是保证网络资源不被非法使用和非法访问，是维护网络系统安全、保护网络资源的重要手段。各种安全策略必须相互配合才能真正起到保护作用，但访问控制可以说是保证网络安全最重要的核心策略之一。下面分述各种访问控制策略。

4.2 信息加密策略

信息系统的数据加密常用的方法有链路加密、端点加密和节点加密三种。对于网络信息和电子文件具体加密的方法很多，如名称加密、内容加密、属性加密、形式加密等信息加密的目的是保护网络内部和网上传输的数据、文件、口令和控制信息的安全。信息加密过程是由形形的加密算法来具体实施，它以很小的代价提供很大的安全保护。在多数情况下，信息加密是保证信息机密性的唯一方法。据不完全统计，到目前为止，已经公开发表的各种加密算法多达数百种。按照收发双方密钥是否相同来分类，可将加密算法分为私钥加密算法和公钥加密算法。

4.3 网络安全管理策略

安全管理手段主要是从制度上完善信息系统的安全性，防止由于人的主观行为或制度问题导致信息系统的泄密。加强网络的安全管理，对于确保网络的安全、可靠运行和信息的安全保密，将起到十分有效的作用。在应对各种突发、紧急事件上建立起完备的应急预案：新疆电力公司信息系统应急计划的目标是分析信息系统可能出现的紧急事件或者灾难事故，技术支持和业务部门应建立一整套应急措施，以保障新疆电力公司核心业务的连续服务。一旦发生重大的或灾难性事故时，信息中心工作人员迅速进行灾情分析，并上报信息安全工作领导小组即成为应急领导小组，负责指挥执行紧急应变计划，排除灾难事故。同时应急领导小组还要组织相关的部门做好对外的解释、宣传和公告以及保卫工作，防止事态的扩大，

篇12

关键词：网络数据库 信息安全 安全防护工作

中图分类号：TP393.08 文献标识码：A 文章编号：1672-3791（2014）07（c）-0015-02

21世纪是信息爆发的时代，大量的信息通过网络进行传递，例如：娱乐信息、新闻资讯、金融信息、非与一部分信息都是通过网络进行传输，这就造成人们对于网络信息安全的担心，本文将就网络数据库所面临的安全问题和应对措施进行详细的阐述。

1 网络数据库简介

数据和资源共享这两种方式结合在一起即成为今天广泛使用的网络数据库（WEB数据库），它以后台（远程）数据库为基础，加上一定的前台（本地计算机）程序，通过浏览器完成数据存储、查询等操作的系统，WEB数据库可以实现方便廉价的资源共享，数据信息是资源的主体，因而网络数据库技术自然而然成为互联网的核心技术。

网络数据库（Network Database）其含义有三个：（1）在网络上运行的数据库；（2）网络上包含其它用户地址的数据库；（3）信息管理中，数据记录可以以多种方式相互关联的一种数据库。网络数据库和分层数据库相似，因为其包含从一个记录到另一个记录的前进，与后者的区别在于其更不严格的结构：任何一个记录可指向多个记录，而多个记录也可以指向一个记录。实际上，网络数据库允许两个节点间的多个路径，而分层数据库只能有一个从父记录（高级记录）到子记录（低级目录）的路径。

因此，网络数据库是跨越电脑在网络上创建、运行的数据库。网络数据库中的数据之间的关系不是一一对应的，可能存在着一对多的关系，这种关系也不是只有一种路径的涵盖关系，而可能会有多种路径或从属的关系。

数据库是按一定的结构和规则组织起来的相关数据的集合，是综合各用户数据形成的数据集合，是存放数据的仓库。网络就是用通讯设备和线路，将处在不同地方和空间位置、操作相对独立的多个计算机连接起来，再配置一定的系统和应用软件，在原本独立的计算机之间实现软硬件资源共享和信息传递，那么这个系统就成为具有资源共享特点的计算机网络了。数据库技术目前是计算机处理与存储数据的最有效、最成功的技术。

简单的说，一个网络数据库就是用户利用浏览器作为输入接口，输入所需要的数据，浏览器将这些数据传送给网站，而网站再对这些数据进行处理，例如，将数据存入数据库，或者对数据库进行查询操作等，最后网站将操作结果传回给浏览器，通过浏览器将结果告知用户。

2 网络数据库安全策略

网络数据库就像一个存储着大量信息的网络仓库，如果没有合理的安全策略对其进行防护，不论是在局域网或是因特网上的网络数据库，都面临着很多的安全问题，例如：黑客的攻击、不法分子的窃取等都会对网络数据库中存储的信息造成极大的威胁，因此，网络数据库需要一个完善的安全策略。

2.1 网络数据库数据的安全性

网络数据库的安全直接影响着数据库中存储着的数据的安全，网络数据库作为网络信息管理系统的关键，其中往往大量存储着使用者的关键数据，例如：人事资料信息、财务信息、工程数据等很多不方便被外界获知的需要保密的信息。从事社会公益服务业务的非营利社会团体、组织的事业单位，数据库服务内容包括增进社会福利，满足社会文化、教育、科学、卫生等方面，其中包括一些有公务员工作的单位，是国家机构的分支。特别是一些科研单位、国家保密单位的数据事关国家安全，虽然其大多采用局域网进行物理隔离进行防范，但由于网络数据库大多采用的是“可从端口寻址”的技术，所以，网络数据库还是具有一定危险性。因此，对于网络数据库中的数据安全需要引起足够的重视。

2.2 网络数据库的系统安全性

网络数据库的安全性还与为数据库服务的服务器主机甚至是局域网的安全息息相关。现代的数据库系统大多采用的是“可从端口寻址”的技术，通俗的讲就是只要具有合适的查询工具和用户权限就可以通过网络与数据库进行通讯，同时，大多数的数据库系统还具有厂家出厂时设置的用户账户和密码，这些账户和密码通常都具有管理员的权限，能够对大多数的网络数据库信息进行访问而不用受到安全监控的检测，因此，对于整个网络数据库的系统安全性具有极大的危害。

3 网络数据库安全机制

3.1 网络数据库的身份认证与防火墙

目前，网络数据库技术比较成熟，网络式数据库系统一般采用C/S或B/S模式搭建体系结构。其中，典型的基于客户端/服务器模式的网络信息管理系统已经深入到社会生活的诸多领域，但是其所为核心的网路数据库则面临着诸多的安全问题。防火墙是现今通常采用的保护数据库服务器的防护措施，一般数据安全维护管理人员对于防火墙的认识是只要加装了防火墙，同时对于网络服务和操作系统的安全漏洞进行修补或是监控，就可以高枕无忧了。这其实是一种错误的思想，防火墙仅仅只能起到过滤交换信息的作用，其对于外部的非法侵入或是内部的信息的外泄，但是对于内部的非法操作则无法发挥作用，现今有很多方法可以绕过防火墙对服务器发动攻击，取得权限后防火墙则无法发挥作用。

身份验证是另外一种针对网络数据库的安全机制：通过对登入网络数据库服务器的人员进行身份验证，验证一般有两种Microsoft身份验证和混合模式身份验证，其中Microsoft身份验证时，需要将操作系统作为整个安全体系的基础。将数据库系统和操作系统的身份验证结合使用，操作系统对于登入的用户划定权限，这些权限则决定着用户在数控库系统的权限，对于网络安全属性则根据Microsoft的的加密过程进行验证的。第二种混合模式身份验证则是指操作系统的验证或是数据库系统的验证都可以作为登录网络数据库的依据，其具体的工作机理是数据库通过将用户试图连接到数据库时提供的名称和密码与存储在数据库中的登录信息进行比较来执行身份验证。

3.2 网络数据库的备份与恢复

在平时网络数据库运行正常的时候对其加以备份，一旦在系统发生故障时，则可以直接将原先备份的数据直接导入，从而恢复服务器的正常工作，减少维护时间。

3.3 做好对网络数据库登陆记录工作

通过在数据库中建立操作信息记录文本，对服务器的操作都将记录在操作文本中，通过这种方式监控人员可以清楚的知道登陆人员及操作的全部信息，这样就方便有效的追查有关责任，与此同时关于系统安全方面的弱点和漏洞审计也可以有效的进行发现。

4 结语

本文在介绍了网络数据库所面临的安全问题的基础上引出了对于网络数据库的安全应采取的应对措施并对这些措施进行详细的阐述。

参考文献

[1] 李明.计算机数据库安全管理研究[J].科技风，2012，17：108.

[2] 严洪浩.浅论计算机数据库安全管理[J].计算机光盘软件与应用，2012，14：134-136.

篇13

【关键词】计算机网络；信息安全；攻击方式；应对策略

一、当前网络信息面临的安全威胁

1、软件本身的脆弱性。各种系统软件、应用软件随着规模不断扩大，自身也变得愈加复杂，只要有软件，就有可能存在安全漏洞，如Windows、Unix、XP等操作系统都或多或少的漏洞，即使不断打补丁和修补漏洞，又会不断涌现出新的漏洞，使软件本身带有脆弱性。2、协议安全的脆弱性。运行中的计算机都是建立在各种通信协议基础之上的，但由于互联网设计的初衷只是很单纯的想要实现信息与数据的共享，缺乏对信息安全的构思，同时协议的复杂性、开放性，以及设计时缺少认证与加密的保障，使网络安全存在先天性的不足。3、人员因素。由于网络管理人员和用户自身管理意识的薄弱，以及用户在网络配置时知识与技能的欠缺，造成配制时操作不当，从而导致安全漏洞的出现，使信息安全得不到很好的保障。4、计算机病毒。当计算机在正常运行时，插入的计算机病毒就像生物病毒一样，进行自我复制、繁殖，相互传染，迅速蔓延，导致程序无法正常运行下去，从而使信息安全受到威胁，如“熊猫烧香病毒”

二、常见网络攻击方式

1、网络链路层。MAC地址欺骗：本机的MAC地址被篡改为其他机器的MAC地址。ARP欺骗：篡改IPH和MAC地址之间的映射关系，将数据包发送给了攻击者的主机而不是正确的主机。2、网络层。IP地址欺骗：是通过伪造数据包包头，使显示的信息源不是实际的来源，就像这个数据包是从另一台计算机上发送的。以及泪滴攻击、ICMP攻击和RIP路由欺骗。3、传输层。TCP初始化序号预测：通过预测初始号来伪造TCP数据包。以及TCP端口扫描、land攻击、TCP会话劫持、RST和FIN攻击。4、应用层。DNS欺骗：域名服务器被攻击者冒充，并将用户查询的IP地址篡改为攻击者的IP地址，使用户在上网时看到的是攻击者的网页，而不是自己真正想要浏览的页面。以及电子邮件攻击和缓冲区溢出攻击。5、特洛伊木马。特洛伊木马病毒是当前较为流行的病毒,和一般病毒相比大有不同，它不会刻意感染其他文件同时也不会自我繁殖，主要通过自身伪装，从而吸引用户下载，进而使用户门户被病毒施种者打开，达到任意破坏、窃取用户的文件，更有甚者去操控用户的机子。6、拒绝服务攻击。有两种表现形式：一是为阻止接收新的请求，逼迫使服务器缓冲区满；另一种是利用IP地进行欺骗，逼迫服务器对合法用户的连接进行复位，从而影响用户的正常连接。

三、网络安全采取的主要措施

1、防火墙。是网络安全的第一道门户，可实现内部网和外部不可信任网络之间，或者内部网不同网络安全区域之间的隔离与访问控制，保证网络系统及网络服务的可用性。2、虚拟专用网技术。一个完整的VPN技术方案包括VPN隧道技术、密码技术和服务质量保证技术。先建立一个隧道，在数据传输时再利用加密技术对其进行加密，使数据的私有性和安全性得到保障。3、访问控制技术。是机制与策略的结合，允许对限定资源的授权访问，同时可保护资源，阻止某些无权访问资源的用户进行偶然或恶意的访问。4、入侵检测技术。是指尽最大可能对入侵者企图控制网络资源或系统的监视或阻止，是用于检测系统的完整性、可用性以及机密性等方式的一种安全技术，同时也是一种发现入侵者攻击以及用户滥用特权的方法。5、数据加密技术。目前最常用的有对称加密和非对称加密技术。使用数字方法来重新组织数据[2]，使得除了合法使用者外，任何其他人想要恢复原先的“消息”是非常困难的。6、身份认证技术。主要有基于密码和生物特征的身份认证技术。其实质是被认证方的一些信息，如果不是自己，任何人不能造假。四、总结网络信息安全是一个不断变化、快速更新的领域，导致人们面对的信息安全问题不断变化，攻击者的攻击手段也层出不穷，所以综合运用各种安全高效的防护措施是至关重要的。为了网络信息的安全，降低黑客入侵的风险，我们必须严阵以待，采取各种应对策略，集众家之所长，相互配合，从而建立起稳固牢靠的网络安全体系。

参考文献

[1]王致.访问控制技术与策略[N].网络世界，2001-07-23035.

[2]马备，沈峰.计算机网络的保密管理研究[J].河南公安高等专科学校学报，2001，05:22-29.

[3]衷奇.计算机网络信息安全及应对策略研究[D].南昌大学,2010.

篇14

为实现长沙市气象资源共享，长沙市气象局组织研发、建设了气象资源共享公共平台，本文主要介绍该平台在网络信息安全防护方面规划、建设思路，供类似网络平台建设参考。

【关键词】

资源共享；网络安全；防护思路

引言

为加快推进长沙气象现代化建设，充分利用现代信息技术，逐步建成资源高效利用、数据充分共享、流程高度集约的长沙气象信息化体系，提升气象公共服务能力、扩大气象信息覆盖面，长沙市气象局研发、建设了市级气象资源共享公共平台，以实现政府、相关部门、公众、专业用户以及部门业务对气象资源信息共享。落实国家净化网络环境专项行动，确保气象资源共享公共平台网络信息的安全，无疑是平台研发、建设的重要内容。

1共享平台架构简介

为简化系统的开发、维护和方便使用，长沙市气象资源共享公共平台采用B/S模式，气象资源共享涵盖气象监测资料、天气预测预报信息、气象灾害预警信息、气象情报档案资料、气象业务管理、专业图形图像等内容。服务器端操作系统使用微软公司WINDOWS2012R2，网络信息服务环境为IIS7，主程序采用ASP编程，需要关联的数据库有Access、MYSQL、SQL、ORACLE等多种类型。

2网络安全威胁分析

2.1服务器安全威胁

（1）共享平台服务器操作系统采用WINDOWS2012R2，操作系统本身存在安全漏洞。（2）共享平台服务器服务环境采用IIS7，数据存储结构与存储方式存在不安全因素，容易获取数据库路径和数据库名。（3）共享平台服务器运行程序采用ASP编程，ASP编写的程序属非编译程序，ASP编写的应用程序源代码容易泄露。（4）共享平台数据库使用了Access数据库，Access数据库属于弱口令类型数据库，容易破解。

2.2客户端安全威胁

随着客户端功能的不断扩展，客户端所使用到的JavaAp-plet、ActiveX、Cookie等技术都存在不同的安全隐患，容易被黑客利用。而且可以利用漏洞下载数据库原始文件或对数据库注入，破解数据库密码，对数据库篡改。

2.3数据库安全威胁

2.3.1Access数据库的安全问题

（1）Access数据库的存储隐患。使用ASP编写的Access数据库应用程序，容易获得数据库的存储路径和数据库名，通过客户端可以非常容易下载数据库原始文件。（2）Access数据库的解密隐患。Access数据库加密机制相对简单，两次异或就恢复密码原值，很容易编制出解密程序，破解数据库。

2.3.2ASP编程语言的安全问题

（1）ASP应用程序源代码安全隐患。ASP应用程序属非编译性语言，源代码安全性不高，一旦黑客进入服务器，就会造成应用程序源代码泄露。（2）程序设计中的安全隐患。ASP应用程序都是利用表单实现与用户进行交互完成相应功能，应用程序路径和参数都会在客户端浏览器的地址栏显示，如果未采用安全措施，黑客就容易利用应用程序路径和参数、以及数据库产生的错误信息，绕过必要的验证，进入应用程序。

2.4数据传输安全威胁

B/S网络信息服务必须使用公网实现客户端和服务器之间通信。当B/S模式提供信息服务带来便利的同时，未经授权的用户在信息信传输时，可以拦截信息流，获取信息内容，进行修改，破坏信息内容的完整性。网络黑客利用B/S模式信息交互的特点，向服务器端发送大量请求、数据包，使服务器无法及时响应、阻塞通信信道，造成B/S服务系统网络响应速度缓慢、甚至瘫痪、中断服务。

3安全防护原则

3.1实用为主原则

针对长沙市气象资源共享公共平台架构思路，安全问题主要来源于服务器安全、边界安全、数据库安全、网络传输安全等方面，设计时予以充分考虑，针对安全隐患采用必要的安全措施，防患于未然。

3.2积极预防原则

对平台服务系统进行安全评估，权衡考虑各类安全措施的价值、以及实施保护所需成本，确定不安全事件发生几率，采用必要的软、硬产品，制定严格操作规范与制度，加强平台服务器日常监控与维护、以及系统安全漏洞的升级。

3.3及时补救原则

对平台服务器采取双机热备的运行模式，当安全攻击事件发生时，能够及时恢复系统的正常运行。安全攻击事件发生后，组织技术人员查找攻击事件原因，采取相应应对措施。

4防护措施

4.1合理配置平台服务器操作系统

4.1.1关停不必要的服务

在安装操作系统时，只选择安装必要的协议和服务，删除没有用到的网络协议，关停不必要的服务，如RPC、IP转发、FTP、SMTP等，对外只提供Web服务，保证系统更好地为WEB服务提供支持，简化管理，减轻操作系统负担。

4.1.2使用必要的辅助工具

启用系统账户日志和Web服务器日志记录功能，监视并记录访问企图，提高问题分析、以及原因查找的能力。

4.2合理配置平台服务器功能

4.2.1设置服务器访问权限

通过IP地址、子网域名等方式来控制访问权限，未经允许的IP地址、IP子网域的访问请求一律予以拒绝。

4.2.2通过用户名和口令限制

当远程用户访问平台服务器资源时，只有输入正确的用户名和口令才能获得相应的响应。

4.2.3用公用密钥加密方法

对文件的访问请求和以及文件本身进行加密，只有预计的权限用户才能读取文件内容和获得服务。

4.3服务器根目录的权限设置

对服务器根目录进行严格访问权限控制，包括日志文件、配置文件等敏感信息，未授权用户无法读取、修改、删除。服务器根目录下的CGI脚本程序设置为只有超级用户才具有执行权限；日志和配置文件设置只有超级用户才具有写、删除权限；服务器启停设置为只能由超级用户操作。

4.4服务器安全管理

制定严格的服务器日常管理、维护工作流程，加强管理人员安全知识培训，提高安全意识；制定严格的信息资源管理制度，加强操作人员业务操作培训，提高应用水平。及时对服务器漏洞更新，实时对日志文件审计，安装安全工具软件，加强服务器安全管理。

4.5数据库防范

4.5.1Access数据库防范

针对Access数据库采用修改文件扩展名的方式，将MDB改ASP，使用客户端误将数据库文件当做执行文件，避免恶意用户下载。采用虚拟目录的方式存放数据库文件，避免恶意查找到数据库存放的实际目录，达到保护Access数据库的目录。对访问数据库的用户密码采用不可返算的加密算法，无法破解出真正的密码。

4.5.2使用ODBC数据源保护数据库

在程序设计时，对MYSQL、SQL、ORACLE数据库访问时，使用ODBC数据源，恶意用户无法获得真正的数据库名，避免恶意用户查找数据库位置。

4.5.3利用Session对象进行注册验证

为防止未经注册的用户绕过注册界面直接进入应用系统，平台设计时采用Session对象进行注册验证，每次操作或访问信息资源时都必须先通过Session对象的操作权限检查，未通过检查的恶意用户无法进入系统访问资源和操作数据库。

4.5.4防数据库注入

防数据库注入的关键是对所有可能来自用户输入的数据进行严格的检查，对进入数据库的所有特殊字符进行转义处理，严格限制变量类型，并对数据库操作命令进行过滤，带有数据库操作命令的访问全部予以拦截。应用程序级的漏洞，仅依靠对服务器的基本设置做一些改动是不够的，必须提高应用程序开发人员安全意识，加强对应用源代码安全性的控制，在服务端正式处理请求时，对每个提交的参数进行合法性检查，并对所有应用程序采取容错机制，无法获知数据库访问错误，防止恶意用户利用数据库操作错误获取数据库基本信息，以从根本上解决注入问题。

4.5.5访问权限限制

访问权限分二级授权机制。一级为用户登录授权，只有通过登录的用户才能访问平台；二级为资源使用授权，资源使用授权又分二层，一层为目录授权使用机制，二层为文档授权使用机制。未授权用户不能访问。

5结束语