信息安全精品(七篇)

序论：写作是一种深度的自我表达。它要求我们深入探索自己的思想和情感，挖掘那些隐藏在内心深处的真相，好投稿为您带来了七篇信息安全范文，愿它们成为您写作过程中的灵感催化剂，助力您的创作。

篇(1)

关键词：信息；信息安全； 防范策略

中图分类号：G353.1 文献标识码：A 文章编号：1007-9599 (2012) 10-0000-02

21世纪信息技术飞速发展，在社会发展中信息越来越重要，国家的政府、军事、文教等诸多领域都与信息有关。如果信息的安全时常受到威胁，则会影响到国家各部门的日常活动。因此，信息的安全与防范非常重要。本文针对信息的安全问题进行分析，并提出了相应出的安全防护策略。

一、信息安全威胁

信息已经成为社会健康发展的重要保证，然而很多信息被人为篡改，窃取，泄露。信息载体还要经受不可抗拒的自然灾害的威胁。而人为的威胁是最大的威胁。

随着0Day 漏洞的增加和第三方软件漏洞将常被黑客利用，黑客经常用第三方软件的漏洞进行攻击系统。随着无线技术的推广和普及，黑客也针对无线进行攻击，因此在网络上出现很多无线的破解技术，这样攻击者可以轻易地攻击网络，这样对用户的安全带来很大的威胁。为了欺骗用户，攻击者还制造或编写虚假的网站，即就是钓鱼网，攻击者利用钓鱼伪造电子邮件或网站点等对用户进行“攻击”，因此用户的信息由此而被泄漏出去。

计算机病毒以破坏程序等为目标。病毒主要是对用户的文件或相关程序进行破坏，对系统和用户资料威胁非常大。很多攻击者利用网络的相关工具如电子邮件等添加到文件或程序，因此有些用户打开邮件都会被感染上病毒，这样用户的相关资料会受到不同程度的破坏。

除此外攻击者通过不正当入侵手段向合法网站输入非法的数据，数据量非常大，从而多出的数据会传入到其他领域。如果对程序执行不当，那么相关程序和系统的设置会受到限制。

二、影响信息安全因素

信息载体与周边环境的安全会影响到信息本身的安全。信息存储场屏蔽处理不好，磁鼓、磁带与高辐射设备等的信号外泄。信息处理和管理设置的电源系统不稳定，则用于存储数据的设置会受到影响，特别是临时性的RAM存储器的数据会丢失，信息本身就无法得到保障。除此外硬件故障，特别是存储信息的内存、硬盘等计算机部件的故障出现影响信息存储和处理。

人的主观性也是威胁的主要因素，特别是信息系统的操作人员，如果其故意篡改数据或没有按规定进行操作程序，其信息就没有可靠性。如果系统等出现故障则不能正确保存数据，这样数据会丢失。信息设计人员或系统设计人员以对系统设计或对数据设计考虑不全面，这样没办法在处理或传输中保证数据的完整，因此攻击者就可以利用系统的漏洞进行攻击，摧毁系统的数据等。网络信息或数据传输往往受到通讯设备的影响，通讯设备的安全设计不全也会造成数据的丢失或损坏。同是攻击者可利用这些不员以假冒、身份攻击等对系统进行非法操作或操控。

考虑周全只是对现有的条件，对将来的考虑往往没法预设，因此新的系统出现，本身就有漏洞。而攻击者也容易找出漏洞。大部分系统都配备的改进系统管理及服务质量的工具软件被破坏者利用，去收集非法信息及加强攻击力度。系统维护不正当的操作和管理的本身不足也会对信息或数据产生威胁。因此作为管理人员必须对新系统进行分析，特别是对其漏洞危险进行分析并提出相关措施。管理人员的设计和检测能力差没办法设计好的系统，也就没办法对系统中的数据进行有效的保护，因为系统不能抵御复杂的攻击。建立和实施严密的安全制度与策略是真正实现网络安全的基础。

三、信息安全防范策略

保证数据或信息安全可以使用技术，仅靠技术不能完全保证数据的安全，同时还需要严格的管理，制定相关法律，利用法律进行约束，还有对员工进行安全教育。采取恰当的防护措施也能有效保护信息的安全。

（一）从技术层面进行防护

1.数据加密。可以用加密技术对信息进行加密以保护信息，如用MD5等加密技术，这样攻击不能轻易看到数据，加密的作用就是让数据隐藏，这样更好的保护数据。MD5是一种散列函数，主要是用来保护信息的完整性。在登录认证中MD5运动得比较多，用户在登录系统或平台时的用户名和密码等运动MD5加密，然后将加密后的结果存在相应的数据库。其原理就是用户登录后平台或系统会被MD5加密运算。如果运算得出的值与数据库存在的值正确则可直接进入系统。这样避免操具有管理权限的人员知道从而保证信息的安全。为加强数据的安全性，可以对MD5进行改进，比如可以运MD5进行两次加密改进了单次加密的不安全性。总之加密可根据情况采用对称加密和非对称加密，更好的保护数据。

2.数字签名，数字签名主要是用来签名和验证。其运算主要运用了HASH函数从而更好的鉴别解决伪造、抵赖、冒充和篡改等问题。签名技术可以有效的防止抵赖，在网络中进行商务活动，即就是开展电子商务活动等，在活动中汲及到的数据是非常重要。大部分数据是商业机密，对买卖双方来讲非常重要。如果数据被篡改，对买卖双方会产生巨大的损失。因此采用数字签名可有效防止攻击者的篡改而产生抵赖，同时也可以保证数据的安全和完整。

3.用户身份认证就是对用户身份进行验证。用户访问服务器时，必须提供合法的身份证明，这样服务器才给与相关的操作权限。用户要存取等操作数据必须提供有效的标记，以方便服务器验证。可以使用加密技术、人体等器官或生理特征进行认证，大部分可以用数字签名技术进行认证。双方互相认证，这样可以保证数据的真实性。

篇(2)

操作系统多样性让网络犯罪者拥有更多机会

2011年将是非主流操作系统、程序与浏览器的漏洞遭受更多攻击的一年，而针对应用程序漏洞的攻击也将大幅增长。云端计算和虚拟化虽然能为企业带来大量的投资回报且节省成本，但也将服务器置于传统的安全边界之外，因此反而让网络犯罪者拥有更大的发挥空间，同时也会加重云端服务供应商的信息安全责任。

趋势科技公司预测2011年将出现更多针对云端基础架构与虚拟化系统的概念验证攻击。此外，网络犯罪者已发现终端桌面操作系统的同质性已被逐渐打破，因此网络犯罪者将转攻拥有大量同质性的云端，开始尝试如何渗透云端。而有些比较版本较早但仍被广泛使用的操作系统（如：Windows® 2000/Windows® XP SP2）存在诸多无法修补的漏洞。由此，针对这些漏洞的攻击仍将持续增长。

社会工程学攻击仍将肆虐

社会工程学仍将持续在威胁传播方面扮演重要角色。趋势科技公司认为，传统网站遭到渗透的情况在2011年将会减少，取而代之的是，网络犯罪者将发动一波又一波的恶意程序攻击，利用精心设计的电子邮件来诱骗使用者点击恶意链接，进而导致使用者感染恶意程序下载器。这些恶意程序下载器会随机产生一些二进制恶意程序来躲避检测，如Conficker和ZeuS-LICAT就是利用这种手法。

由于网络上已经出现一些连菜鸟都会使用的网络犯罪工具，因此中小企业也开始成为网络犯罪者的攻击目标。在2010年，随着地下犯罪工具使用率暴增，特定类型的企业组织很容易成为黑客的目标，例如：ZeuS在2010年就专门锁定小型企业进行攻击。预计未来，专门锁定知名大型企业与关键基础设施的攻击，在数量与复杂度方面都将持续攀升。此外，2011年也很可能出现更多针对信息安全厂商品牌的攻击行为，用以制造用户的认知混淆与不安情绪。 趋势科技对2011年以及未来网络威胁的预测：

经济利益仍是一切攻击行为的诱因，网络犯罪不可能消失；

越来越多的恶意程序会在攻击时盗用或使用合法的数字签名以躲避检测；

随着全球对网络犯罪认识的提升，未来将有更多地下犯罪组织合并或联合行动；

信息安全厂商将再也无法在终端电脑上存储威胁或病毒特征码，因此某些厂商可能将面临困境。为解决此问题，他们可能会删除一些旧的特征码来寻求解决方案，但这样反而无法阻止旧的恶意程序发作；

篇(3)

信息安全自主可控的涵义是:信息安全领域的技术和产品,能自主的就要尽最大可能实现自主;不能自主的,必须保证它是可控可知的,即要对信息安全技术与产品的风险、隐患、漏洞、潜在问题做到“心中有底、手中有招、控制有道”。 目前,烟草行业的核心应用系统(如“一号工程”、卷烟营销、专卖管理、财务管理系统、人力资源系统等)的软、硬件设备几乎全套采用了国外主流、成熟的产品技术,从整体上来说,行业信息化核心应用基础设施的选型、配置起点较高,但从另一方面讲,信息安全系统的可控性、可知性、可预防性水平较低。不可否认,国内当前的采购政策、市场环境、IT发展现状等因素在一定程度上制约了自主知识产权的IT产品技术进入高端、核心设备的市场采购范围,但这绝不仅仅是一个技术问题,还有更深层次的长远战略、规划管理问题。

信息安全

自主可控的意义

在烟草行业大力推行信息安全自主可控,具有以下重要意义:

1. 可避免分发式安全威胁。

IT产品的整个生命周期包括研发、设计、制造、销售、安装、维护、升级等过程,如果有人在其中任何一个环节上植入恶意代码、开通恶意后门、加入隐蔽指令等,都将给信息系统造成一定安全隐患,即IT产品的分发式安全威胁。非自主的IT产品存在分发式安全威胁的概率很大,这类威胁往往不易被用户发觉,但却可能给用户造成重大的损失、破坏。对非自主的IT产品增强防范意识、加强控制管理、制订风险应对措施,可以大大避免分发式安全威胁。

2. 可封堵信息安全“漏洞”。

国外的IT厂商通常不会向中国用户提供核心技术和专利,因此国内用户很难对设备的整体可信性、可靠性、可控性进行全面检测,分析判断出设备中是否存在“后门”、“陷阱”、“漏洞”、“软件炸弹”、“隐蔽指令”等安全威胁,一旦这些“漏洞”被利用,实施攻击、入侵、修改、恶意破坏或者窃取机密数据信息,其后果不堪设想。据公安部有关资料显示,近年来国内大量网络泄密案件、窃密案件、信息安全事件均与“漏洞”有关。实施信息安全系统自主可控,可以在一定程度上起到堵塞信息安全漏洞,防患于未然的效果。

3. 是行业信息化发展的长远战略需要。

烟草行业核心应用信息化硬件设施投资规模巨大,处于高位运行状态,很多企业基础网络平台、服务系统平台、应用平台、安全支撑平台基本上被国外产品垄断,这些非自主IT产品本身封闭性强、操作复杂、技术资料短缺,国内用户很难定制二次研发或者组装生产。烟草企业在高端IT产品采购上几乎没有可选择的空间,对IBM、微软、戴尔等IT巨头的依赖程度过大,信息系统运行后每年仅硬件维修保养一项就产生高额的附加成本费用,这些都不利于烟草信息化的长远发展。信息化的平稳健康发展需要一个广阔、开放、成熟、多元化的产品市场空间,在允许的情况下实施信息安全自主可控可以降低信息系统设备采购、开发、运维成本,满足行业信息化发展的长远战略需要。

四项措施

实践自主可控

“自主可控”从概念上分析,首先是“自主”,而后才能达到真正“可控”,“自主”是“可控”的必要条件。自主化不能简单地理解成国产化,目前很多产品的国产化还是停留在对国外核心技术进行组装式开发的基础上,由于核心技术并不掌握在自己手中,因此这只能是一种准自主化或伪自主化,仍然存在一定的不可控因素、安全隐患。要实现信息安全系统的自主可控,就必须要求信息安全产品真正自主化。从狭义上讲,使用国产自主化的软硬件产品、技术和服务,是信息安全体系自主可控的基础;从广义上讲,自主可控应该涵盖信息化发展的全过程,各个环节都实现自主可控,这样才能构建完整的、自主可控的信息安全体系。具体来说,可以采取以下几项措施:

1. 加强重视,应用系统建设与信息安全建设并重。

我们迫切需要紧跟形势、转变观念、与时俱进,加强对信息安全的重视支持,应用系统建设与信息安全建设必须“两手抓、两手硬”,在信息化建设过程中,继续坚持应用系统建设与信息安全建设同步规划、同步实施、协调发展、均衡发展的原则,将信息系统安全体系建设融入到烟草信息化建设的全过程之中。

2. 加强政策引导,为信息安全设备的采购提供政策导向、标准体系。

烟草行业迫切需要在信息安全设备、产品、服务的选型上遵循以下原则:

(1)对于信息安全设备、产品、技术、服务的选型,能自主的应该自主,不能自主的必须实现可知、可控、可检测;

(2)原则上使用国产设备,只有在无相应国产设备时方可使用已通过国家相关主管部门批准、指定、测评、鉴定、认证的国外设备,绝不使用未经国家相关主管部门测评审核通过的设备;

(3)烟草企业必须和非自主的厂商(国产、非国产)签署明确的安全保密责任书。

3. 加强管理监控,有效治理分发式安全威胁,提高可控性。

以管理举措为主,配合使用技术手段加强对非自主化信息安全产品的监控,有效治理、检测、评估分发式安全威胁,提高可控性。检测、治理分发式安全威胁的技术手段主要可分为以下几类:

(1)对信息系统使用、运维过程中发现的漏洞要及时打好补丁,堵塞漏洞;

(2)“最小化配置”,即只启用必需的进程、端口、服务、应用,其余的一律关闭;

(3)对信息安全产品定期做深度的安全检测并作跟踪记录,不符合安全标准的产品坚决不使用,不能做到可控的产品不部署到核心关键应用场合;

(4)对于已经在核心系统中使用的非自主产品,按要求进行及时加固和系统升级,对系统的运行进行严密的监测,一旦发现异常行为应立即采取对策处置;

(5)“人本理论”,信息安全产品最终还是要为人所用,因此必须加强各级使用人员、维护人员、管理人员的教育培训,通过实施配套严格的管理制度,提高信息安全防范意识,提升专业操作技能。

4. 加强自主研发,提升信息化自主研发创新能力。

篇(4)

【关键词】信息安全；数据库；网络应用；安全体系

1信息安全现状

1.1目前医院信息安全存在的问题根据卫生部关于印发《卫生行业信息安全等级保护工作的指导意见》的通知，三级甲等医院的核心业务信息系统不得低于国家安全信息保护等级三级。据此我们对信息系统的各个方面进行了安全评估，发现主要有如下的问题：

（1）物理安全：机房管理混乱问题；机房场地效用不明确；机房人员访问控制问题；

（2）网络设备安全：访问控制问题；网络设备安全漏洞；设备配置安全；

（3）系统安全：补丁问题；运行服务问题；安全策略问题；访问控制问题；默认共享问题；防病毒情况；

（4）数据安全：数据库补丁问题；SQL数据库默认账号问题；SQL数据库弱口令问题；SQL数据库默认配置问题；（5）网络区域安全：医院内网安全措施完善；医院内网的访问控制问题；医院内外网互访控制问题；

（6）安全管理：没有建立安全管理组织；没有制定总体的安全策略；没有落实各个部门信息安全的责任人；缺少安全管理文档。

1.2当前医院信息安全存在的问题，主要表现在如下的几个方面

（1）机房所处环境不合格，场地效用不明确，人员访问控制不足，管理混乱。

（2）在办公外网中，医院建立了基本的安全体系，但是还需要进一步的完善，例如办公外网总出口有单点故障的隐患、门户网站有被撰改的隐患。

（3）在医院内网中，内网与办公外网之间没有做访问控制，存在蠕虫病毒相互扩散的可能。

（4）没有成立安全应急小组，虽然有相应的应急事件预案，但缺少安全预案的应急演练；缺少安全事件应急处理流程与规范，也没有对安全事件的处理过程做记录归档。

（5）没有建立数据备份与恢复制度；缺少对备份的数据做恢复演练，保证备份数据的有效性和可用性，在出现数据故障的时候能够及时的进行恢复操作。

2医院信息安全总体规划

2.1设计目标、依据及原则

2.1.1设计目标

信息系统是医院日常工作的重要应用，存储着重要的数据资源，是医院正常运行必不可少的组成部分，所以必须从硬件设施、软件系统、安全管理等方面，加强安全保障体系的建设，为医院工作应用提供安全可靠的运行环境。

2.1.2设计依据

（1）《信息安全等级保护管理办法》；

（2）《信息技术安全技术信息技术安全性评估准则》；

（3）《卫生部卫生行业信息安全等级保护工作的指导意见》；

（4）《电子计算机场地通用规范》。

2.1.3设计原则

医院信息安全系统在整体设计过程中应遵循如下的原则：分级保护原则：以应用为主导，科学划分网络安全防护与业务安全保护的安全等级，并依据安全等级进行安全建设和管理，保证服务的有效性和快捷性。最小特权原则：整个系统中的任何主体和客体不应具有超出执行任务所需权力以外的权力。标准化与一致性原则：医院信息系统是一个庞大的系统工程，其安全保障体系的设计必须遵循一系列的标准，这样才能确保各个分系统的一致性，使整个医院信息系统安全地互联互通、信息共享。多重保护原则：任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层被攻破时，其他层仍可保护系统的安全。易操作性原则：安全措施需要人去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性；其次，措施的采用不能影响系统的正常运行。适应性及灵活性原则：安全措施必须能随着系统性能及安全需求的变化而变化，要容易适应、容易修改和升级。

2.2总体信息安全规划方案

2.2.1基础保障体系

建设信息安全基础保障体系，是一项复杂的、综合的系统工程，是坚持积极防御、综合防范方针的具体体现。目前医院基础保障体系已经初具规模，但是还存在个别问题，需要进一步的完善。

2.2.2监控审计体系

监控审计体系设计的实现，能完成对医院内网所有网上行为的监控。通过此体系监控到的数据能对医院内部网络的使用率、数据流量、应用提供比例、安全事件记录、网络设备的动作情况、网络内人员的网上行为记录、网络整体风险情况等有较全面的了解。

2.2.3应急响应体系

应急响应体系的主要功能是采取足够的主动措施解决各类安全事件。安全事件可以被许多不同的事件触发并破坏单个系统或整个网络的可用性，完整性、数据的保密性。引发或可能引发本地小范围破坏的安全问题应该就地解决，以避免加重整个医院信息网络的安全风险。

2.2.4灾难备份与恢复体系

为了保证医院信息系统的正常运行，抵抗包括地震、火灾、水灾等自然灾难，以及战争、网络攻击、设备系统故障和人为破坏等无法预料的突发事件造成的损害，应该建立一个灾难备份与恢复体系。在这个体系里主要包括下面三个部分：政务内网线路的冗余备份、主机服务器的系统备份与恢复、数据库系统的备份与恢复。

3结论

通过对医院的信息安全风险评估，我们发现了大量关于物理安全、操作系统、数据库系统、网络设备、应用系统等等方面的漏洞。为了达到对安全风险的长期有效的管理，我们进行了具有体系性和原则性并能够符合医院实际需求的规划。

参考文献

[1]王立，史明磊.医院信息系统的建设与维护[J].医学信息，2007，20（3）.

[2]王洪萍，程涛.医院信息系统安全技术分析[J].医院管理杂志，2011，18（11）.

[3]尚邦治.医院信息系统安全问题[J].医疗设备信息，2004，19（9）.

篇(5)

随着信息化的高速发展，为企业及社会带来了显而易见的效益：提高的工作效率、减少的纸张浪费、快捷方便的通讯等等。但信息化也是一柄"双刃剑"，尤其是在企业管理、商业保密等工作中，还存在着令人堪忧的隐患：

一是物理安全风险。物理安全风险包括计算机系统的设备、设施和信息面临因自然灾害、环境事故（如断电）、人为物理操作失误以及不法分子进行违法犯罪等风险。

二是数据安全风险。数据安全风险包括竞争性业务的经营和管理数据泄漏，数据被人为恶意篡改或破坏等。

三是网络安全风险。网络安全风险包括病毒造成网络瘫痪与拥塞、内部或外部人为恶意破坏造成网络设备瘫痪、来自互联网黑客的入侵威胁等。

二、保证企业信息安全的基本对策

2.1正确认识企业信息安全问题。

企业的信息安全问题，绝不仅仅是一个仅靠防火墙、密码等等技术就能解决的问题，它还与人们的职业道德、社会道德以及企业管理等问题密切相关。因此，在维护企业信息安全时，我们必须站在宏观的角度对问题进行考虑。在过去看来，一个企业信息的安全问题，是领导层或者IT单个部门的事情，但是凭少数人或部门的工作，对于保障公司的信息不被泄漏，防护信息存储不被破坏、攻击和偷盗是很难的事。笔者认为，意识指导行动，信息安全问题首先要解决的是员工的思想认识问题，只有企业的每一个人都认识到信息安全的重要性，才能在工作中自觉地维护信息安全。因为在任何一个体系中，人都是最活跃、最具有影响力和决定意义的因素，因此对于企业的信息安全问题而言，企业内部员工才是保护信息安全的最可靠、最有效的重大保障。此外，还可以加强引进信息安全技术人才以及信息安全管理人才，并在日常工作中，加强对队伍专业知识以及工作技能的培训，从而为企业建设一支强有力的信息安全保卫队伍。其次信息管理部门要全面作好专业技术支持与防范工作，根据业务的需求采取适当的保护措施，实施专业应用系统。例如，保护企业信息安全的技术可以采用主动反击、网络入侵陷阱、密码、取证、防火墙、安全服务、防病毒、可信服务、PKI服务、身份识别、备份恢复、网络隔离等等保护产品以及保护技术，通过确保信息安全的最大化，来实现企业生产经营持续发展以及经济效益的最大化。此外，还可以在工作的过程中，进一步优化企业信息安全管理，并进行管理监控以及安全风险评估，分析入侵防范、服务器架构等等关键问题，以全面性、多角度的掌控，确保企业信息系统的安全性、稳定性，因为信息安全问题不具有静态性，信息管理始终处在一个不停变动的动态性过程，因此即使我们不可能确保信息的绝对安全，也必须做到相对安全，从而最大限度的降低企业风险。

2.2建立健全信息安全管理制度。

信息安全不仅是技术问题，更主要是管理问题。任何技术措施只能起到增强信息安全防范能力的作用，俗话说“三分技术，七分管理”，只有良好的管理工作才能使保障技术措施得到充分发挥，是能否对信息网络实施有效信息安全保障的关键。现在中国石油股份有限公司内控体系中涉及信息内部控制的《信息系统总体控制办法》（以下简称“GCC”）就很好的涵盖了信息安全的各个方面，包括了机房管理、服务器管理、网络管理和系统管理等。因此在实际的工作中，我们可以通过“三步骤”来实现企业信息的安全管理制度的健全化、完善化。第一，结合企业自身的实际，分析企业存在的问题以及预期的目标，制定具有科学性、合理性、实效性、可行性的信息安全管理制度，使保护信息安全工作做到有法可依，有章可循。第二，建立信息安全管理机构，明晰信息安全管理负责人的职务和责任，并建立相应的考核机制和激励机制，以督促、鼓励相关负责人的工作，提高信息管理工作质量。第三，真正贯彻管理措施，加强制度的执行力度，只有这样，才能从根本上实现管理工作以及工作目标，最终提高企业的信息安全管理水平。

三、加强企业信息安全保障的几点措施

如何有效地解决企业信息安全的专业性管理与技术性防范，笔者认为可从以下几个方面着手。

3.1实行严格的网络管理。企业网与互联网的物理隔离、防火墙设置以及端口限制，与互联网相比安全性较高，但在日常运行管理中我们仍然面临网络链路维护、违规使用网络事件等问题，具体而言：一是在IP资源管理方面，采用IP+MAC捆绑的技术手段防止用户随意更改IP地址和随意更换交换机上的端口。这样，就不会出现IP地址被盗用而不能正常使用网络的情况；二是在网络流量监测方面，使用网络监测软件查看数据、视频、语音等各种应用的利用带宽，防止频繁进行大文件的传输，甚至发现病毒的转移及传播方向。三是加强服务器管理。常见应用服务器安装的操作系统多为WindowsServer，可利用其自带的安全管理功能进行设置，包括服务器安全审核、组策略实施、服务器的备份策略以及系统补丁更新等。

3.2加强客户端监管。对大多数单位的网管来说，客户端的管理都是他们最头痛的问题。只有得力的措施才能解决这个问题，这里推荐以下方法：

（1）将客户端都加入到域中，使客户端强制性纳入管理员集中管理的范围。

（2）只给用户以普通域用户的身份登录到域，这样就可以限制他们在本地计算机上安装有安全隐患软件的权利。

（3）实现客户端操作系统补丁程序的自动安装。

（4）利用企业IT部门的工作职能，设置热线帮助和技术支持人员，统一管理局域网内各客户端问题。

3.3坚持进行数据备份。由于应用系统的加入，各种数据库日趋增长，如何确保数据在发生故障或灾难性事件情况下不丢失，是当前面临的一个难题。从成本及易操作性考虑，这里推荐以下两种数据备份方法：一种是用硬盘进行数据备份；另一种是采用本地磁盘阵列来分别实现各服务器的本地硬盘数据冗余。

篇(6)

在16天的雅典奥运会比赛中，记录显示有超过500万起信息技术安全报警信息，其中严重警报425起、危急警报20起。而在都灵冬奥会的17天比赛期间，共统计到52，855，848起安全报警，严重警报达185个。

与往届相比，2008年北京奥运会新增了很多需求，比如众多远距离场馆的网络联通、参会人数的众多等等。那么，如何保证比赛网络的高可用性和实时性？如何保证赛事成绩等机密信息不被篡改？如何保证系统设备持续运行不宕机？这一切成了各界人士关注奥运的焦点。为此记者采访了北京2008奥运会信息安全负责人来针对这些问题做一一解答。

多层保护齐上阵

从硬件系统的服务器、工作站等网络设备，到软件系统如操作系统的版本、补丁、BIOS设置（软驱、光驱、USB的控制等）、注册表设置，比赛网的所有系统都采用标准定制和统一模式，以此保证更大程度的可控性。除非特殊需要，电脑上的软驱、光驱和USB都是禁用的，数据仅通过FTP服务器在比赛网和管理网间进行传输。

软件部分采取的措施起到了加固操作系统的作用，如: 屏蔽普通用户安装软件的权限; 及时更新并统一管理全部的补丁; 关掉不需要的进程和全部热键。保障安全的一个原则就是通过操作系统统一的认证平台确保提供给用户组最小的访问权限，即仅授予该用户组在能够完成工作的前提下最小的权限。

为了保障比赛网的高可用性，所有的网络设备（包括路由器、交换机等）、网络链路（包括电信运营商的链路设备），甚至数据中心都是双重备份的。这样，一旦某个系统出现故障，就会马上转到另一个系统中运行，从而确保全网没有一个地方会造成单点故障而影响整个网络。

隔离网络风险小

除了对系统、硬件、软件采取措施外，为了保证网络高安全性，比赛网络采用与互联网没有联系的独立网络以减少来自互联网的攻击。但是由于比赛网与合作伙伴等外界联系的需要，系统集成过程中采用专门划分的双层认证DMZ（非军事区）进行网络边界管理，对每个对外连接的节点进行严格的流量控制，并且所有对外链接都要经过多重隔离。

据介绍，双层DMZ中的第一层是在所有管理网、官方网的合作伙伴之间，如负责记分系统的OMEGA、负责电视广播的北京奥林匹克广播公司以及门户网站搜狐等，第一层DMZ用来隔离较为可信的合作伙伴; 第二层DMZ则用来连接如国外的参赛报名系统、气象信息汇报的气象台等不很可靠的互联网连接。数据传输过程中的数据流向也是严格控制的，通常仅允许比赛网数据外传，而从外向内的传输则几乎不被允许。

在网络系统接入方面也采取了严格的准入制度。每一个网络端口只允许特定的设备在通过严格的安全检测后接入，一旦发现非法网络接入企图，网络监控系统便会立刻通知场馆IT管理人员进行检查。

网络流量的分段是保障网络安全的另一个重要手段。比赛网中不同的应用系统，如IDS、CIS、OVR、GMS等都运行于完全相隔的独立虚拟网段（VLAN）中，由于跨越VLAN的流量会受到严格的访问控制列表（ACL）的限制，任何非正常的跨越VLAN的流量都会触动安全报警系统。这就保证了当一个系统受到攻击时，其他系统都不会受到任何影响。

特别的安全等级制度

源讯及其合作伙伴为奥运专门开发的安全信息管理系统可谓是比赛网安全保障的核心所在，它是比赛网业务系统底层服务形态的支持系统，管理所有比赛网点发送的报警信息，保障奥运比赛网的信息安全。

篇(7)

【关键词】信息安全； 威胁；防御策略；防火墙

1 计算机信息网络安全概述

所谓计算机信息网络安全，是指根据计算机通信网络特性，通过相应的安全技术和措施，对计算机通信网络的硬件、操作系统、应用软件和数据等加以保护，防止遭到破坏或窃取，其实质就是要保护计算机通讯系统和通信网络中的各种信息资源免受各种类型的威胁、干扰和破坏。计算机通信网络的安全是指挥、控制信息安全的重要保证。

根据国家计算机网络应急技术处理协调中心的权威统计，通过分布式密网捕获的新的漏洞攻击恶意代码数量平均每天112次，每天捕获最多的次数高达4369次。因此，随着网络一体化和互联互通，我们必须加强计算机通信网络安全防范意思，提高防范手段。

2 计算机信息安全常见的威胁

以上这些因素都可能是计算机信息资源遭到毁灭性的破坏。像一些自然因素我们是不可避免的，也是无法预测的；但是像一些人为攻击的、破坏的我们是可以防御的、避免的。因此，我们必须重视各种因素对计算机信息安全的影响，确保计算机信息资源万无一失。

3 计算机信息的安全的防御策略

根据计算机网络系统的网络结构和目前一般应用情况，我们采取可两种措施：一是，采用漏洞扫描技术，对重要网络设备进行风险评估，保证网络系统尽量在最优的状态下运行；二是，采用各种计算机网络安全技术，构筑防御系统，主要有：防火墙技术、VPN技术、网络加密技术、身份认证技术、网络的实时监测。

3.1 漏洞扫描技术

漏洞扫描主要通过以下两种方法来检查目标主机是否存在漏洞：在端口扫描后得到目标主机开启的端口以及端口上的网络服务，将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配，查看是否有满足匹配条件的漏洞存在；通过模拟黑客的攻击手法，对目标主机系统进行攻击的安全漏洞扫描，如测试弱口令等，若模拟攻击成功，则表明目标主机系统存在安全漏洞。

3.2 防火墙技术

防火墙是网络安全的屏障，一个防火墙能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境更安全，信息的安全就得到了保障。使用防火墙软件可以在一定程度上控制局域网和Internet之间传递的数据。

防火墙一般是指用来在两个或多个网络间加强访问控制的一个或一组网络设备。从逻辑上来看，防火墙是分离器、限制器和分析器；从物理上来看，各个防火墙的物理实现方式可以多种多样，但是归根结底他们都是一组硬件设备（路由器、主机）和软件的组合体；从本质上来看，防火墙是一种保护装置，它用来保护网络数据、资源和合法用户的声誉；从技术上来看，防火墙是一种访问控制技术，它在某个机构的网络与不安全的网络之间设置障碍，阻止对网络信息资源的非法访问。

3.3 计算机网络的加密技术（ipse）

采用网络加密技术，对公网中传输的IP包进行加密和封装，实现数据传输的保密性、完整性。它可以解决网络在公网的数据传输安全性问题，也可以解决远程用户访问内网的安全问题。IP层是TCP/IP网络中最关键的一层，IP作为网络层协议，其安全机制可以对其上层的各种应用服务提供透明的覆盖安全保护。IP安全是整个TCP/IP 安全的基础，是网络安全的核心。ipse 提供的安全功能或服务主要包括：访问控制、无连接完整性、数据起源认证、抗重放攻击、机密性、有限的数据流机密性。

3.4 身份认证

身份认证的作用是阻止非法实体的不良访问。有多种方法可以认证一个实体的合法性，密码技术是最常用的，但由于在实际系统中有许多用户采用很容易被猜测的单词或短语作为密码，使得该方法经常失效。其他认证方法包括对人体生理特征的识别、智能卡等。随着模式识别技术的发展，身份识别技术与数字签名等技术结合，使得对于用户身份的认证和识别更趋完善。

3.5 入侵检测技术

入侵检测技术是对入侵行为的检测，他通过收集和分析网络行为、安全日志、审计数据、其他网络上可以获得的信息以及计算机系统中若干关键的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击，外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。

3.6 虚拟专用网技术

虚拟专用网（Virtual private Network，VPN） 是一门网络技术，提供一种通过公用网络安全地对企业内部专用网络进行远程访问的连接方式；是通过一个公用网络（通常是因特网）建立起一个临时的、安全的连接，是一条穿过不安全的公用网络的安全、稳定的隧道。

下面，我们主要谈一下防火墙在网络信息安全中的应用。

4 防火墙防御策略

4.1 防火墙的基本概念

所谓“防火墙”，是指一种将内部网和公众网络（如Internet）分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通信时执行的一种访问控制手段，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、复制和毁坏你的重要信息。

4.2 防火墙的功能

1）过滤掉不安全服务和非法用户。

2）控制对特殊站点的访问。

3）提供监视Internet安全和预警的方便端点。

4.3 防火墙的优点

1）防火墙能强化安全策略

因为Internet上每天都有上百万人在那里收集信息、交换信息，不可避免地会出现个别品德不良的人，或违反规则的人，防火墙是为了防止不良现象发生的"交通警察"，它执行站点的安全策略，仅仅容许"认可的"和符合规则的请求通过。

2）防火墙能有效地记录Internet上的活动

因为所有进出信息都必须通过防火墙，所以防火墙非常适用收集关于系统和网络使用和误用的信息。作为访问的唯一点，防火墙能在被保护的网络和外部网络之间进行记录。

3）防火墙限制暴露用户点

防火墙能够用来隔开网络中一个网段与另一个网段。这样，能够防止影响一个网段的问题通过整个网络传播。

4）防火墙是一个安全策略的检查站

所有进出的信息都必须通过防火墙，防火墙便成为安全问题的检查点，使可疑的访问被拒绝于门外。

4.4 防火墙的不足

1）防火墙不能防范不经由防火墙的攻击。例如，如果允许从受保护网内部不受限制的向外拨号，一些用户可以形成与Internet的直接的连接，从而绕过防火墙，造成一个潜在的后门攻击渠道。

2）防火墙不能防止感染了病毒的软件或文件的传输。这只能在每台主机上装反病毒软件。

3）防火墙不能防止数据驱动式攻击。当有些表面看来无害的数据被邮寄或复制到Internet主机上并被执行而发起攻击时，就会发生数据驱动攻击。

4.5 防火墙的类型

根据防火墙所采用的技术不同，我们可以将它分为四种基本类型：包过滤型、网络地址转换―NAT、型和状态监测型。

包过滤型产品是防火墙的初级产品，其技术依据是网络中的分包传输技术，工作在网络层。网络上的数据都是以“包”为单位进行传输的，数据被分割成为一定大小的数据包，每一个数据包中都会包含一些特定信息，如数据的源地址、目标地址、源端口和目标端口等。防火墙通过读取数据包中的地址信息来判断这些“包”是否来自可信任的安全站点，一旦发现来自危险站点的数据包，防火墙便会将这些数据拒之门外。但包过滤防火墙的缺点有三：一是，非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击；二是，数据包的源地址、目的地址以及IP 的端口号都在数据包的头部，很有可能被窃听或假冒；三是，无法执行某些安全策略。

网络地址转化―NAT。 “你不能攻击你看不见的东西”是网络地址转换的理论基础。网络地址转换是一种用于把IP地址转换成临时的、外部的、注册的IP地址标准。它允许具有私有IP地址的内部网络访问因特网。当数据包流经网络时，NAT将从发送端的数据包中移去专用的IP地址，并用一个伪IP地址代替。NAT软件保留专用IP地址和伪IP地址的一张地址映射表。当一个数据包返回到NAT系统，这一过程将被逆转。当符合规则时，防火墙认为访问是安全的，可以接受访问请求，也可以将连接请求映射到不同的内部计算机中。当不符合规则时，防火墙认为该访问是不安全的，不能被接受，防火墙将屏蔽外部的连接请求。如果黑客在网上捕获到这个数据包，他们也不能确定发送端的真实IP地址，从而无法攻击内部网络中的计算机。NAT技术也存在一些缺点，例如，木马程序可以通过NAT进行外部连接，穿透防火墙。

型防火墙也可以被称为服务器，它的安全性要高于包过滤型产品， 它分为应用层网关和电路层网关。服务器位于客户机与服务器之间，完全阻挡了二者间的数据交流。从客户机来看，服务器相当于一台真正的服务器；而从服务器来看，服务器又是一台真正的客户机。当客户机需要使用服务器上的数据时，首先将数据请求发给服务器，服务器再根据这一请求向服务器索取数据， 然后再由服务器将数据传输给客户机。从内部发出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部网卡一样，从而可以达到隐藏内部结构的作用，这种防火墙是网络专家公的最安全的防火墙。缺点是速度相对较慢。

监测型防火墙是新一代的产品，这一技术实际已经超越了最初的防火墙定义。它是由Check Point 软件技术有限公司率先提出的，也称为动态包过滤防火墙。总的来说，具有：高安全性，高效性，可伸缩性和易扩展性。实际上，作为当前防火墙产品的主流趋势，大多数服务器也集成了包过滤技术，这两种技术的混合显然比单独使用具有更大的优势。总的来说，网络的安全性通常是以网络服务的开放性和灵活性为代价的，防火墙只是整个网络安全防护体系的一部分，而且防火墙并非万无一失。除了使用了防火墙后技术，我们还使用了其他技术来加强安全保护，数据加密技术是保障信息安全的基石。所谓数据加密技术就是使用数字方法来重新组织数据，使得除了合法受者外，任何其他人想要恢复原先的“消息”是非常困难的。目前最常用的加密技术有对称加密技术和非对称加密技术。对称加密技术是指同时运用一个密钥进行加密和解密，非对称加密技术就是加密和解密所用的密钥不一样。

4.6 防火墙的配置

1）双宿堡垒主机防火墙

一个双宿主机是一种防火墙，拥有两个联接到不同网络上的网络接口。例如，一个网络接口联到外部的不可信任的网络上，另一个网络接口联接到内部的可信任的网络上。这种防火墙的最大特点是IP层的通信是被阻止的，两个网络之间的通信可通过应用层数据共享或应用层服务来完成。一般情况下，人们采用服务的方法，因为这种方法为用户提供了更为方便的访问手段。

2）屏蔽主机防火墙

这种防火墙强迫所有的外部主机与一个堡垒主机相联接，而不让它们直接与内部主机相连。为了实现这个目的，专门设置了一个过滤路由器，通过它，把所有外部到内部的联接都路由到了堡垒主机上。下图显示了屏蔽主机防火墙的结构。

3）屏蔽主机防火墙

在这种体系结构中，堡垒主机位于内部网络，屏蔽路由器联接Internet和内部网，它是防火墙的第一道防线。屏蔽路由器需要进行适当的配置，使所有的外部联接被路由到堡垒主机上。并不是所有服务的入站联接都会被路由到堡垒主机上，屏蔽路由器可以根据安全策略允许或禁止某种服务的入站联接（外部到内部的主动联接）。

对于出站联接（内部网络到外部不可信网络的主动联接），可以采用不同的策略。对于一些服务，如Telnet，可以允许它直接通过屏蔽路由器联接到外部网而不通过堡垒主机；其他服务，如WWW和SMTP等，必须经过堡垒主机才能联接到Internet，并在堡垒主机上运行该服务的服务器。怎样安排这些服务取决于安全策略。

5 结束语

随着信息技术的发展，影响通信网络安全的各种因素也会不断强化，因此计算机网络的安全问题也越来越受到人们的重视，以上我们简要的分析了计算机网络存在的几种安全隐患，以及一般采取的几种安全防范策略，主要讨论了防火墙在网络信息安全中所起到的作用。总的来说，网络安全不仅仅是技术问题，同时也是一个安全管理问题。我们必须综合考虑安全因素，制定合理的目标、技术方案和相关的配套法规等。世界上不存在绝对安全的网络系统，随着计算机网络技术的进一步发展，网络安全防护技术也必然随着网络应用的发展而不断发展。

【参考文献】

[1]田园.网络安全教程[M].人民邮电出版社，2009.