引论：我们为您整理了13篇网络安全规划与设计范文，供您借鉴以丰富您的创作。它们是您写作时的宝贵资源，期望它们能够激发您的创作灵感，让您的文章更具深度。
篇1
一、网络管理的概念
网络管理：简单的说就是为了保证网络系统能够持续、稳定、安全、可靠和高效地运行、不受外界干扰，对网络系统设施的一系列方法和措施。为此，网络管理的任务就是收集、监控网络中各种设备和设施的工作参数、工作状态信息，显示给管理员并接受处理，从而控制网络中的设备、设施，工作参数和工作状态，以实现对网络的管理。
二、网络安全的定义
1.从本质上来讲，网络安全就是网络上的信息安全。网络安全是指保护网络系统中的软件、硬件及信息资源，使之免受偶然或恶意的破坏篡改和泄露，保证网络系统的正常运行、网络服务不中断。
2.从广义上说，网络安全包括网络硬件资源和信息资源的安全性。硬件资源包括通信线路、通信设备（交换机、路由器等）、主机等，要实现信息快速、安全地交换，一个可靠的物理网络是必不可少的。信息资源包括维持网络服务运行的系统软件和应用软件，以及在网络中存储和传输的用户信息数据等。
1.网络系统安全规划设计的基本原则
网络安全的实质就是安全立法、安全管理和安全技术的综合实施。这三个层次体现了安全策略的限制、监视和保障职能。根据防范安全攻击的安全需求、需要达到的安全目标、对应安全机制所需的安全服务等因素，参照SSE-CMM（系统安全工程能力成熟模型）和ISO17799（信息安全管理标准）等国际标准，综合考虑可实施性、可管理性、可扩展性、综合完备性、系统均衡性等方面，在网络安全方案整体规划、设计过程中应遵循下列十大原则。
（1）整体性原则；（2）均衡性原则；（3）有效性与实用性原则；（4）等级性原则；（5）易操作性原则；（6）技术与管理相结合原则；（7）统筹规划，分步实施原则；（8）动态化原则；（9）可评价性原则；（10）多重保护原则。
总之，在进行计算机网络工程系统安全规划与设计时，重点是网络安全策略的制定，保证系统的安全性和可用性，同时要考虑系统的扩展和升级能力，并兼顾系统的可管理性等。
2.如何进行网络工程安全规划
网络安全规划与设计是一项非常复杂的系统工程，不单纯是技术性工作，必须统一步骤，精心规划和设计。安全和反安全就像矛盾的两个方面，总是不断攀升，所以网络安全也会随着新技术的产生而不断发展，是未来全世界电子化、信息化所共同面临的问题。一般来说，网络的安全规划设计与实施应考虑下面4个方面的问题。一是确定面临的各种攻击和风险并分析安全需求。二是明确网络系统安全策略。三是建立网络安全模型。四选择并实施安全策略。
四、网络病毒的防治技术
1.网络计算机病毒的特点
网络病毒是利用网络平台作为传播方式的，由此可见，在网络环境下，网络病毒除了具有可传播性、可执行性、破坏性等计算机病毒的共性外，还具有一些新的特点。主要表现如下：
第一，主动通过网络和邮件系统传播。第二，传播速度极快。第三，危害性极大。第四，变种多。第五，难于控制。第六，清除难度大。第七，具有病毒、蠕虫和后门（黑客）程序的功能。
2.网络计算机病毒的破坏行为
网络计算机病毒破坏性极强，常见的破坏性表现如下：
（1）劫持IE浏览器，首页被更改，一些默认项目被修改（例如默认搜索）。
（2）修改Host文件，导致用户不能访问某些网站，或者被引导到“钓鱼网站”上。
（3）添加驱动保护，使用户无法删除某些软件。
（4）修改系统启动项目，使某些恶意软件可以随着系统启动，常被流氓软件和病毒采用。
（5）在用户计算机上开置后门，黑客可以通过此后门远程控制中毒机器，组成僵尸网络，通过对外发动攻击、发送垃圾邮件、点击网络广告等牟利。
（6）采用映像劫持技术，使多种杀毒软件和安全工具无法使用。
（7）记录用户的键盘、鼠标操作，从而可以窃取银行卡、网游密码等各种信息。
（8）记录用户的摄像头操作，可以从远程窥探隐私。
（9）使用户的机器运行变慢，大量消耗系统资源。
3.基于工作站的防治策略
工作站就像是计算机网络的大门，只有把好这道大门，才能有效防止病毒的入侵。基于工作站防治病毒的方法有三种：
（1）软件防治。即定期或不定期地用反病毒软件检测工作站的病毒感染情况。软件防治可以不断提高防治能力，但需要人为地经常去启动防病毒软件，因而不仅给工作人员增加了负担，而且很有可能在病毒发作后才能检测到。
（2）在工作站上插防病毒卡。防病毒卡可以达到实时检测的目的，但防病毒卡的升级不方便，从实际应用的效果看，对工作站的运行速度有一定的影响。
（3）在网络接口卡上安装防病毒芯片。它将工作站存取控制与病毒防护合二为一，可以更加实时有效地保护工作站及通向服务器的桥梁。但这种方法同样也存在芯片上的软件版本升级不便的问题，而且对网络的传输速度也会产生一定的影响。
参考文献：
[1]董伟.计算机病毒分析及防治策略[J].信息与电脑： 理论版.2009，（07）：14-15.
篇2
1.2网络规划、设计及实施安全
在网络规划、设计及实施方面侧重于网络安全性的方案选取，包括选用安全的操作系统、设置网络防火墙、网络防杀病毒、数据加密和信息工作制度的保密等等方面，充分发挥网络安全性的原则。
2网络安全管理策略
在计算机网络系统中，绝对的安全是不存在的，制定健全的网络安全管理策略是计算机网络安全的重要保证，只有通过网络管理人员、与企业相关的、及网络使用人员的共同努力，运用一切可以使用的工具和技术，尽一切可能去控制、减小、降低以及避免一切非法的网络行为，尽可能地把不安全的因素降到最低。
2.1网络安全管理策略的可变性
网络安全策略并不是一成不变的，它具有可变的特性。一方面，由于企业或者单位组织内部结构、组织方式的不断变化，相关业务和数据类型和分布的更新也不断地发生着变化；另一方面：从网络安全技术的角度讲，攻击者的攻击方式、防止攻击的措施也在不断地升级和改进，所以，安全策略是一个变化性的策略，必须要和网络当前的状态相适应。
2.2网络安全策略的核心内容
网络安全策略的核心内容有：定方案、定岗、定位、定员、定目标、定制度、定工作流程（方岗位员目制流），也就是我们通常所说的“七定”。
2.3网络安全策略的设计与实施步骤
（1）确定网络安全需求，确定网络安全需求的范围，评估面临的网络风险；
（2）制订可实现的网络安全策略目标；
（3）制订网络安全策略规划：制定本地网络安全规划、远程网络安全规划、Internet网络安全规划等规划内容；
（4）制订网络安全系统的日常维护计划。
3网络安全防御与改善措施
3.1网络安全防范管理
做好网络安全防范计划于与策略，对网络安全进行防范控制盒管理，提高网络自身稳定性、可靠性，要有较高的警惕安全的意识，从而，能够抵御较大的网络安全风险。网络安全防范措施可以有：
（1）国家信息安全漏洞共享平台；
（2）反网络病毒联盟组织。
3.2建立良好的网络安全机制
目前，常用的安全机制有身份验证、授权、数据加密、密钥加密和数字签名、数据包过滤、防火墙、入侵监测系统、物理安全等。在此，我们重点介绍数据加密、入侵检测系统和防火墙技术。
（1）数据加密：该技术更好的实现了信息的保密性，确保了信息在传输及存储过程中不会被其他人获取，它是一种十分有效的网络安全技术措施。因此，为了保障数据的存储和传输安全，需要对一些重要数据进行加密。
（2）入侵检测系统：在系统检测或者可能的情况下，阻止入侵者试图控制自己的系统或者网络资源的行为。入侵检测系统是一种主动保护网络免受攻击的安全技术，从而简化网络管理员的工作，保护网络安全的运行。
（3）防火墙技术：建立在内外网络边界上的过滤封锁机制。内部网络被认为是安全和可信赖的，外部网络（通常是Internet，互联网）被认为是不安全和不可信赖的。防火墙技术是一种被动网络安全技术，是目前应用最多的一种网络安全技术，但是，防火墙技术有它的局限性，它假设了网络边界和服务，导致对内部的非法访问难以有效的进行控制。
篇3
针对当前现状，何帮喜委员在提案中建议，应尽快将工控网络安全防护纳入国家战略，以建设国防事业的
标准和力度去投入发展工控安全产业，避免重蹈互联网安全产业起步晚、技术落后受制于人的覆辙。
网络战争逼近眼前
精确攻击工控系统漏洞代码能瘫痪一个国家
何帮喜对《中国经济周刊》记者说，工控系统中的“漏洞”就像身体出现疾患，如免疫力下降、内分泌失调，病毒会利用这些漏洞入侵人体，产生不良反应，工控网络安全领域的漏洞，如Havex、“方程式”组织攻击等，像“火星文”一样难以理解，但精确攻击工控系统“漏洞”，其破坏性超出想象。如2014 年出现的Havex 漏洞，有能力禁用水电大坝、使核电站过载，甚至可以做到按一下键盘就关闭一个国家的电网。所以，工控网络安全“漏洞”小则导致工厂瘫痪，大则造成核电站爆炸、地铁失控、全国停电等灾难性后果。
他说，“在工控网络安全领域，代码已经成为一种武器，以美国为代表的各国政府已将工控系统漏洞代码列为军备物资限制出口和交易，对一个国家重要设施的精确打击不再需要使用传统军事手段，通过网络战即可瘫痪一个国家。”
据悉，近年来，网络战争逼近眼前，各国间的网络“军备竞赛”继续加强，网络摩擦不断增多，大规模网络冲突爆发的风险进一步加剧。
何帮喜认为，工控网络安全领域因涉及国家的核心基础设施和经济社会稳定大局，辐射范围广泛，成为国家间对抗的全新手段，其威慑力和影响力不亚于传统战争。2016 年黑暗力量病毒攻击乌克兰电网造成大面积停电等事件表明网络战争正在我国周边地区发生。
形势严峻 机遇难得
工控网络安全产业亟须快速崛起
何帮喜委员告诉《中国经济周刊》记者，首先，当前工控网络安全行业缺乏顶层设计和发展规划。去年《网络安全法》出台，“网络强国战略”纳入“十三五”规划，国家网络空间安全顶层设计明显加强。但工控网络安全的重要性尚未达成共识，顶层设计仍不明确，工控网络安全与传统信息安全存在较大差异，亟须进行专题研判，并制定行业发展规划。
其次，重要工业制造业领域大量使用国外工控设备。目前，国外工业生产设备提供商已在各领域垄断了工
业生产控制系统和设备市场。以我国工业PLC 市场为例，2015 年西门子、三菱、欧姆龙、罗克韦尔、施耐德等5家国外厂商占据超过80% 的市场份额，国内厂商不但不掌握这些设备的核心技术，更不掌握系统的安全设计，漏洞和后门的风险与日俱增。
不过，何帮喜委员补充说，严峻挑战也带来难得的后发机遇。目前，第四次工业革命到来，打破发达国家
对核心技术、工艺和标准的垄断，工控网络安全作为新兴产业迎来难得机遇。
“工控网络安全正在成长为一个战略性新兴产业，与我国现代工业融合发展，在提高工业智能化水平的同时，将本产业做大做强，形成产业优势，为我国基础设施建设领域植入安全基因。”何帮喜说。
潜力巨大 前景可期
应从五个方面加强工控网络安全产业发展
何帮喜委员建议，应从以下五个方面加强工控网络安全产业发展：
一是从战略高度加强工控网络安全顶层设计，明确责任部门。该行业涉及工业控制、智能制造、能源管理、安全生产、信息化建设、网络犯罪治理等多个领域，必须从战略高度加强我国工控网络安全整体战略规划和顶层设计，进行专题研判，同时加强政府各部门间的协调，具体工作要落实到责任部门。
二是建立完备的工控网络安全体系，掌握芯片级核心技术。以自主安全工控芯片为基础，加快工控网络安
全体系建设、技术与产品研发，解决工控设备本体安全、结构安全、行为安全，为工控注入安全基因，实现本质安全，并在持续对抗中保持领先优势。
三是大力扶持新兴工控网络安全企业，鼓励技术创新和产业化。工控网络安全是跨学科的技术融合，新兴
企业的颠覆性技术是创新的重要来源。我国目前已涌现出一批如匡恩网络等具备深度科研能力的、有活力的工控网络安全企业。应大力引导和扶持该行业民营企业的发展，培育良好的产业生态，促进具备自主知识产权的先进技术实现产业化落地。
篇4
扬州Z校拥有多个互联网出口线路，分别是电信100M、电信50M、网通100M、联通1G和校园网100M。Z校拥有多个计算环境，网络核心区是思科7609的双核心交换机组，确保了Z校校园骨干网络的可用性与高冗余性；数据中心是由直连在核心交换机上的众多服务器组成；终端区分别是教学楼、院系楼、实验、实训楼和图书馆大楼。此外，还有一个独立的无线校园网络。Z校网络信息安全保障能力已经初具规模，校园网络中已部署防火墙、身份认证、上网行为管理、web应用防火墙等设备。原拓扑结构见图1。
2、安全威胁分析
目前，Z校网络安全保障能力虽然初具规模，但是，在信息安全建设方面仍然面临诸多的问题，如，网络中缺乏网管与安管系统、对网络中的可疑情况，没有分析、响应和处理的手段和流程、无法了解网络的整体安全状态，风险管理全凭感觉等等，以上种种问题表明，Z校需要对网络安全进行一次全面的规划，以便在今后的网络安全工作中，建立一套有序、高效和完善的网络安全体系。
2.1安全设备现状
Z校部署的网络安全防护设备较少。在校区的互联网出口处，部署了一台山石防火墙，在WEB服务器群前面部署了一台WEB应用防火墙。
2.2外部网络安全威胁
互联网出现的网络威胁种类繁多，外部网络威胁一般是恶意入侵的网络黑客。此类威胁以炫技、恶意破坏、敲诈钱财、篡改数据等为目的，对内网中的各种网络设备发起攻击，网络中虽然有一些基础的防护，但是，黑客们只要找到漏洞，就会利用内网用户作跳板进行攻击，最终攻破内网。此类攻击随机性强、方向不确定、复杂度不断提高、破坏后果严重[1]。
2.3内部网络安全威胁
内部恶意入侵的主体是学生，还有一些网络安全意识薄弱的教职工。Z校学生众多，学生们可能本着好奇、试验、炫技或者恶意破坏等目的，入侵学校网络[2]。Z校某些教职工也可能浏览挂马网站或者点击来历不明的邮件，照成网络堵塞甚至瘫痪。
3、安全改造需求分析
本次安全改造，以提升链路稳定性，提高网络的服务能力为出发点，Z校在安全改造实施中，应满足如下的安全建设需求1)提升链路的均衡性和利用率：Z校网络出口与CERNET、Internet互联，选择了与电信和联通两家运营商合作。利用现有网络出口链路资源，提升网络访问速度，最大化保障校园网内部用户的网络使用满意度，同时又要合理节约链路成本，均衡使用各互联网出口链路，是网络安全建设的首要需求。2)实现关键设备的冗余性：互联网边界的下一代防火墙设备为整个网络安全改造的核心设备，均以NAT模式或者路由模式部署，承载了整个校园网的业务处理，任何一个设备出现问题将直接导致业务不能够连续运行，无任何备份措施，只能替换或者跳过出故障的设备，且只能以手工方式完成切换，无论从响应的及时性，还是从保障业务连续性的角度，都存在很大的延迟，为此需要将互联网出口的下一代防火墙设备进行双机冗余部署。3)集中管理和日志收集需求：本次安全改造涉及安全设备数量较多，需要对所有安全设备进行统一日志收集、查询工作，传统单台操作单台部署的方式运维效率低下，所以需要专业集中监控、配置、管理的安全设备，统一对众多安全设备进行集中监控、策略统一调度、统一升级备份和审计。
4、解决方案
网络安全建设是一个长期的项目，不可能一蹴而就，一步到位，网络安全过程建设中，在利用学校原有设备的基础上，在资金、技术成熟的条件下，逐步实施。Z校网络安全建设规划分为短期建设和长期建设两部分。
4.1短期网络建设规划
4.1.1短期部署规划以安全区域的划分为设计主线，从安全的角度分析各业务系统可能存在的安全隐患，根据应用系统的特点和安全评估是数据，划分不同安全等级的区域[3]。通过安全区域的划分，明确网络边界，形成清晰、简洁的网络架构，实现各业务系统之间严格的访问安全互联，有效的实现网络之间，各业务系统之间的隔离和访问控制。本次短期网络建设，把整个网络划分为边界安全防护区域、核心交换区域、安全管理区域、办公接入区域、服务器集群区域和无线访问控制区域。4.1.2部署设计网络拓扑结构见图2，从图2可以看出，出口区域，互联网边界处的防火墙设备是整个网络安全改造的核心设备，以NAT模式或者路由模式部署，无任何备份措施，为此需要再引入一台同型号的防火墙设备，实现双机冗余部署。同理，原城市热点认证网关和行为管理设备需要再各补充一台，组成双机冗余方案。安全管理区域根据学校预算，部署几台安全设备。首先，部署一台堡垒机，建立集中、主动的安全运维管控模式，降低人为安全风险；其次，部署一台入侵检测设备（IDS），实时、主动告警黑客攻击、蠕虫、网络病毒、后门木马、D.o.S等恶意流量，防止在出现攻击后无数据可查；再部署一台漏洞扫描设备，对网络内部的设备进行漏洞扫描，找出存在的安全漏洞，根据漏洞扫描报告与安全预警通告，制定安全加固实施方案，以保证各系统功能的正常性和坚固性；最后，部署一台安全审计设备（SAS），实时监控网络环境中的网络行为、通信内容，实现对网络信息数据的监控。服务器集群区域，除了原有的WEB防火墙外，再部署一台入侵防护设备（IPS），拦截网络病毒、黑客攻击、后门木马、蠕虫、D.o.S等恶意流量，保护Z校的信息系统和网络架构免受侵害，防止操作系统和应用程序损坏或宕机[4]。
4.2长期网络建设规划
网络安全的防护是动态的、整体的，病毒传播、黑客攻击也不是静态的。在网络安全领域，不存在一个能完美的防范任何攻击的网络安全系统。在网络中添加再多的网络安全设备也不可能解决所有网络安全方面的问题。想要构建一个相对安全的网络系统，需要建立一套全方位的，从检测、控制、响应、管理、保护到容灾备份的安全保障体系。目前，网络安全体系化建设结合重点设备保护的策略，再配合第三方安全厂商的安全服务是网络安全建设的优选。4.2.1网络体系化建设体系化建设指通过分析网络的层次关系、安全需要和动态实施过程，建立一个科学的安全体系和模型，再根据安全体系和模型来分析网络中存在的各种安全隐患，对这些安全隐患提出解决方案，最大程度解决网络存在的安全风险。体系化建设需要从网络安全的组织体系、技术体系和管理体系三方面着手，建立统一的安全保障体系。组织体系着眼于人员的组织架构，包括岗位设置、人员录用、离岗、考核等[5]；技术体系分为物理安全、网络安全、主机安全、系统运维管理、应用安全、数据安全及备份恢复等；管理体系侧重于制度的梳理，包括信息安全工作的总体方针、规范、策略、安全管理活动的管理制度和操作、管理人员日常操作、管理的操作规程。4.2.2体系化设计网络体系化建设要以组织体系为基础，以管理体系为保障，以技术体系为支撑[6]，全局、均衡的考虑面临的安全风险，采取不同强度的安全措施，提出最佳解决方案。具体流程见图3。体系化建设以风险评估为起点，安全体系为核心，安全指导为原则，体系建设为抓手，组织和制定安全实施策略和防范措施，在建设过程中不断完善安全体系结构和安全防御体系，全方位、多层次满足安全需求。
5、结语
从整个信息化安全体系来说，安全是技术与管理的一个有机整体，仅仅借助硬件产品进行的安全防护是不完整的、有局限的。安全问题，是从设备到人，从服务器上每个服务程序到Web防火墙、入侵防御系统、抗拒绝服务系统、漏洞扫描、传统防火墙等安全产品的综合问题，每一个环节，都是迈向网络安全的步骤之一。文中的研究思路、解决方案，对兄弟院校的网络安全建设和改造有参考价值。
参考文献：
［1］王霞.数字化校园中网络与信息安全问题及其解决方案［J］.科技信息，2012.7:183-184
［2］黄智勇.网络安全防护系统设计与实现［D］.成都：电子科技大学，2011.11:2-3
［3］徐奇.校园网的安全信息安全体系与关键技术研究［D］.上海：上海交通大学，2009.5:1-4
［4］张旭辉.某民办高校网络信息安全方案的设计与实现［D］.西安:西安电子科技大学，2015.10:16-17
篇5
从检查情况看，我校网络与信息安全总体运维情况良好，未出现任何一起重大网络安全与信息安全事件（事故）。近几年，学校领导重视学校网络信息安全工作，始终把网络信息安全作为信息化工作的重点内容；网络信息安全工作机构健全、责任明确，日常管理维护工作比较规范；管理制度较为完善，技术防护措施得当，信息安全风险得到有效降低；比较重视信息系统（网站）系统管理员和网络安全技术人员培训，应急预案与应急处置技术队伍有落实；加强对学生网络宣传引导教育，日常重视微信、微博、QQ群的管理，提倡争当“绿色网民”；工作经费有一定保障，网络安全工作经费纳入年度预算，在最近一年学校信息化经费投入中，网络建设与设备购置费用约占56、5%，数字资源与平台开发费用约占40、6%，培训费用约占0、6%，运行与维护费用约占1、04%，研究及其他费用约占1、23%，总计投入占学校同期教育总经费支出的比例约1、57%，基本保证了校园网信息系统（网站）持续安全稳定运行。
1、网络信息安全组织管理
20xx年学校成立网络与信息安全工作领导小组，校主要领导担任组长，网络与信息安全工作办公室设在党委工作部，领导小组全面负责学校网络信息安全工作，教育技术与信息中心作为校园网运维部门承担信息系统安全技术防护与技术保障工作，对全校网络信息安全工作进行安全管理和监督责任。各部门承担本单位信息系统和网站信息内容的直接安全责任。20xx年，由于人动，及时调整网络安全和信息安全领导小组成员名单，依照“谁主管谁负责、谁运维谁负责、谁使用谁负责”的原则，明确各部门负责人为部门网站的具体负责人，建立学校网络信息员队伍，同时，还组建网络文明志愿者队伍，对网络出现的热点问题，及时跟踪、跟帖、汇报。
2、信息系统（含网站）日常安全管理
学校建有“校园网络系统安全管理（暂行）条例”、“学生上网管理办法“、“校园网络安全保密管理条例（试行）”、“校园网管理制度”、“网络与信息安全处理预案”、“网上信息监控制度”等系列规章制度。各系统（网站）使用单位基本能按要求，落实责任人，较好地履行网站信息上传审签制度、信息系统数据保密与防篡改制度。日常监控对象包括主要网络设备、安全设备、应用服务器等，其中网络中的边界防火墙、网络核心交换机和路由器、学校站服务器均纳入重点监控。日常维护操作较规范，多数单位做到了杜绝弱口令并定期更改，严密防护个人电脑，定期备份数据，定期查看安全日志等，随时掌握系统（网站）状态，保证正常运行。
3、信息系统（网站）技术防护
学校网络信息安全前期的防控主要是基于山石防火墙、深信服防火墙及行为管理软件，20xx年为加强校园网络安全管理，购置了“网页防篡改、教师行为管理、负载均衡”等相关安全设备，20xx年二月中旬完成校园信息系统（含网站）等级保护的定级和备案，并上报xxx市网安支队。同时，按二级等保要求，约投资110万元，完成“网络入侵防御系统、网络安全审计系统、运维审计-堡垒机系统、服务及测评及机房改造（物理安全）”等网络安全设备的采购工作，目前，方案已经通过专家论证。
20xx年4月-6月及20xx年3月对网站系统进行安全测评，特别对系统层和应用层漏洞扫描，发现（教务管理系统、教学资源库）出现漏洞，及时整改，并将结果上报省教育厅、省网安大队、xxx市网安支队。同时，对各防火墙软件7个库进行升级，对服务器操作系统存在的漏洞及时补丁和修复，做好网站的备份工作等。
4、网络信息安全应急管理
20xx年学校制定了《xxx职业技术学校网络与信息安全处理预案》、《xxx职业技术学校网络安全和学生校内聚集事件应急处置预案》。教育技术与信息中心为应急技术支持单位，在重大节日及敏感时期，采用24小时值班制度，对网络安全问题即知即改，确保网络安全事件快速有效处置。
二、检查发现的主要问题
对照《通知》中的具体检查项目，我校在网络与信息安全技术和安全管理建设上还存在一定的问题：
1、由于学校信息化建设尚处于起步阶段，学院数据中心建设相对薄弱，未建成完善的数据中心共享体系，各应用系统的数据资源安全及灾备均由相关使用部门独自管理。同时，网络安全保障平台（校园网络安全及信息安全等级保护）尚在建设中。
2、部分系统（网站）日常管理维护不够规范，仍存在管理员弱口令、数据备份重视不够、信息保密意识较差等问题；学校子网页网管员为兼职，投入精力难以保证，而且未取得相应资格证书；由于经费问题，个别应用系统未能及时升级，容易发生安全事故。
3、目前尚未开展网络安全预案演练，还未真正组建一支校内外联合的网络安全专家队伍，未与社会企业签订应急支持协议和完成应急队伍建设规划。
三、整改措施
针对存在的问题，学校网络与信息安全工作领导小组专门进行了研究部署。
1、全面开展信息系统等级保护工作。按照相关《通知》要求，20xx年8月底全面完成网络安全保障平台建设，根据系统在不同阶段的需求、业务特性及应用重点，采用等级化与体系化相结合的安全体系设计方案，形成整体的等级化的安全保障体系，同时根据安全技术建设和安全管理建设，保障信息系统整体的安全。
篇6
中国政府对工业系统的网络安全同样极为重视。2011年开始，国务院先后出台的《工业转型升级规划（2011-2015）》、《关于大力推进信息化发展和切实保障信息安全的若干意见》、《中国制造2025》等一系列文件，都强调了两化融合中网络安全保障的重要性。
然而，与工业系统的快速数字化、信息化和智能化相比，中国工业控制系统的网络安全保障进展缓慢，防护薄弱，问题仍较为突出。
乌克兰电网被攻击后，国内相关网络安全公司的监测报告显示，在国内交通、能源、水利等多个领域的各类工业控制设备中，完全暴露在外、可以被轻易攻击的多达935个。有些城市和地区的工业控制系统面临较大的安全风险。
造成这一隐患的原因众多，关键是一些企事业单位在借助信息化提高生产效率的同时，没有考虑工业控制系统的网络安全防护。而即使认识到工业控制系统安全的重要性，在系统改造实施过程中，由于没有专业知识、人员和部门支撑，所采取的安全措施也往往浮于表面，未得实效。
从实际情况看，中国的工业控制系统虽然还没有发生影响巨大、后果严重的网络安全事件，但不少领域的企业都已经或多或少遭遇了因计算机病毒引发的安全事故。如果上升到国家安全层面，一旦这些控制系统的安全漏洞被利用，将有可能导致核电站过载、电网停电、地铁失控等灾难性后果，这绝非危言耸听。
面对日益严峻的网络安全形势，加强工业控制系统的网络安全保障迫在眉睫。既要有国家自上而下的体系化顶层设计，也要有产业和企业自下而上的探索与实践。
从国家层面来看，在保障体系的机制建设上，需要一个高规格的协调机构，以应对关键基础设施和重要系统可能遭受的高强度攻击，同时组建以工业企业、信息网络、公共安全为主的应急联动机制，制定应急响应处理办法。
与此同时，做好重点行业的工业控制系统威胁情报研究，各方联动，形成合力，提供有价值的威胁情报信息，建立更有实用性的威胁情报库，为政府机构、安全厂商、企事业单位提供更好的支持。
篇7
1.3智能规划。智能规划是一个动作序列，是一个智能体agent在初始状态（initialstate）下经过执行动作1，动作2，……，动作n这样的一系列动作，最后到达目标状态（goalstate），该一系列动作，我们也称为是这个动作的序列所构成的整体叫做一个规划。每一个规划问题（planningproblem）都要涉及到以下四个集合：一个操作的集合operators、一个对象的集合objects、一个初始条件集合initialconditions和一个目标集合goals，其中初始条件集合和目标集合的每个元素都是一个命题。
1.4规划识别。规划识别是人工智能一个重要的研究领域，是多学科交叉的一个研究领域，涉及到了知识表达、知识推理、非单调逻辑和情景演算等。规划识别问题是指从观察到的某一智能体的动作或动作效果出发，推导出该智能体的目标/规划的过程。
1.5入侵检测。入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力，提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。
1.6应对规划。应对规划是将规划识别和智能规划进行融合，实现识别与应对同时进行，针对敌方系统实施的敌意规划，采取一个动作序列来阻止、破坏敌意规划的执行，进而使我方系统不受到破坏或者将所受损失降到最小，这样的动作序列就称为应对规划(counterplan)。在作者蔡增玉的《基于应对规划的入侵防护系统设计与研究》一文中对应对规划赋予的定义是：为Agent根据敌对Agent的动作，利用规划识别技术发现敌对Agent的目标和将来的动作，并采取适当的响应措施阻止敌对Agent目标的实现，整个过程称为应对规划．在网络安全领域，敌对Agent通常是指网络的入侵者。
2识别及应对模型
对于计算机网络安全的研究较多，但是，将智能规划与规划识别技术应用于该领域的研究却并不多见。本文在前期的理论研究的基础上，提出了开放环境下网络安全规划问题的识别与应对模型，进而得到了解决网络安全问题的新的方法。具体模型如图1所示。该模型的具体执行过程是根据针对服务器端或客户端产生的人为攻击，通过入侵检测的方法，检测到该动作后，对这一动作进行识别，并在此动作中提取该动作所导致的系统变化，将变化的结果作为当前系统工作的初始状态，将此状态传递至应对规划器，此规划器中以此状态为初始状态展开应对规划的求解过程，应对规划器均以系统安全为目标状态，并按照规划器得到的规划步骤，触发相关软硬件设备，逐步执行规划中的每个操作，使服务器端及客户端达到安全状态。该模型的核心在于攻击动作的识别及应对规划的产生。动作的识别主要依靠规划识别器，应对规划的产生则依靠应对规划器，将这两个部分进行组合，并应用到网络安全的问题中，进而对人为攻击计算机网络的安全问题有了解决的方法。
篇8
网络安全；校园网；策略
1校园网络基础网络架构
早期大部分高等院校校园建设的时候，信息化规划跟不上学校教育的扩展，许多高等院校的基础网络架构都是简单的层次化网络结构（见图1）：接入层、汇聚层、核心层级联，再通过防火墙出口外部网络，同时保证外部网络对内部网络的威胁被阻止，相对高级一些的设计还可能包括IDS（入侵检测系统），随着学校的不断发展，一步步在原有的基础网络上添加新设备来丰富网络组成，并提供更多的网络服务。
2传统网络攻击过程
在从前，主要的网络安全威胁来自基于各种漏洞而进行的网络攻击和下载带病毒的软件包而导致的系统病毒感染。而这些传统的网络攻击手段之后，才是在被攻破的系统中留下木马、后门，或者破坏、窃取数据。这些传统的攻击手段是层层递进式的（见图2），从攻击的开始到结束以递进的形式进行，如果前面的步骤无法实现，则整个网络攻击过程将会中断。这些传统的网络攻击包括诸如DoS攻击、DDoS攻击、系统入侵、网络渗透等。不断重复这样的一个网络攻击过程，当累积到一定的量后所组成的网络僵尸大军将对整个网络造成非常严重的影响。
3传统校园网络安全防范体系
根据传统的网络攻击过程，在许多的院校的基础网络中都会加入相应的网络安全防范措施，这些网络安全防范措施就构成了常见的校园网络安全防范体系。而在传统的高校校园网络安全防范体系中，将网络安全防御定义为外部网络、内部网络和用户3个层次，而每个层次中有针对该层次的网络安全设备和措施。对于外部网络这一个层面，直接面对的是防火墙，很多的院校网络都采用防火墙作网络出口，承担着网关与防火墙的双重功能。采用防火墙作为外部网络与内部网络的边界，可以有效地阻止大部分来自于外部网络的恶意攻击，保证内部网络的稳定。在防火墙之后部署一台入侵防御系统，可以进一步检测可能避过防火墙的安全检测而进入网络的恶意流量。在内部网络这个层面，传统的网络安全体系中一般没有什么网络安全设备，在这个层次主要采用的是基于策略的网络安全措施，也就是所谓的软设备。通过网络设备中进行软件层面的安全策略设计，保证内部网络流量的正常稳定的转发。例如，采用访问控制列表来对网络进行一些控制，不允许学生访问教师网络资源；使用QoS功能保证数据的高效转发，设置安全端口，MAC与IP地址的绑定，甚至更高级的基于802.1x的认证。到了用户层面，主要确保的是操作系统的安全，因为很多恶意的攻击软件、病毒、木马或入侵软件都是基于操作系统漏洞进行渗透破坏的，所以在用户这个层面，针对操作系统要打好操作系统的补丁、安装功能强大的杀毒软件，开启操作系统自带的软件防火墙或者杀毒软件的防火墙，进一步，加强用户层面的安全性。即使用有瞒过防火墙，混过入侵防护系统的漏网之鱼，也可以在用户层面进行补救。采用这种传统的网络安全体系进行网络安全的设计部署，在以前的网络时代还是有很好的效果的，但是，现今进入了网络时代2.0，新的技术、新的威胁层出不穷，此时旧的网络安全体系在网络安全防护上表现得就有些捉襟见肘了。校园网络需要推陈出新，结合现在的校园网络及互联网络的发展趋势，设计更合适更合理的网络安全解决方案。
4传统网络安全策略应用分析
传统校园网络安全解决方案使用的网络安全策略应用是基于不同层面进行区分的，针对不同层面分别部署相对应的网络安全设备或网络安全策略。这种网络安全策略应用主要是针对从外部网络进入内部网络的流量进行检测控制，正如防火墙功能一样，定义了外部非安全区域、内部安全区域和DMZ区域，然后给这些区域定义安全等级和默认策略。这种安全体系的设计对于以前的网络攻击过程（见图4）来说是可以满足校园网络安全的需求的。在以前的网络环境中，攻击主要来自外部，内部的安全等级是可信的，所以外部的攻击流量经过防火墙后，基本上已经抵御了，再经过IPS或IDS设备后，到达用户层面时还要经过操作系统或杀毒软件防火墙后，可以成功攻击目标的恶意行为已经降到了可接受层面范围。所以，从前的校园网络安全情况比现在相对要好一些。如图4的攻击过程示意所示，基于原有的网络安全策略应用对于起源自外部网络的攻击可以做到有效防范，但是正如前文提到的，现在越来越多的现象是，内部用户通过其他途径感染了自动下载代码或木马端等恶意源后，从内部发起攻击或者自动下载各式各样病毒木马直接破坏用户操作系统，并以此为跳板，从内部网络感染、攻击其他用户主机、学校服务器等设备，导致学校网络受到严重影响进一步影响学校的正常教学秩序。原有的校园网络安全策略应用基于单向防护、由3个独立层面以递进的方式构建的校园网络防御系统，其性能已经无法适应现时复杂多样化的校园网络环境。因此，针对这个旧的网络安全策略应用的不足，需要一个更合适更优秀的校园网络安全策略。
5传统网络安全策略架构分析
在院校用的旧的校园网络解决方案中，采用的基础架构简单实用，在从前的网络时代，无论是外部网络还是内部网络的数据流量都不并是很大，而且那时候无论是师生的日常生活还是教学活动中，对网络的依赖程度也不高。不过，随着人们对网络的依赖性的不断加强，以及信息化教学的广泛推广，校园网络中产生了越来越多的数据，并且日常教学也有绝大部分是基于网络的。这个时候，传统的网络架构就存在不足，主要体现在网络单点故障现象导致的网络中断而影响师生的生活学习和学校的教学秩序。现在新规划的校园网络中，校园网络基础架构相对复杂，但是性能和安全性都有所提升。现有校园网络基本上都是基于双网络核心热备以提高网络的安全性和可靠性的设计，根据学校的需求，可以选择在关键节点部署双机热备提供安全可靠性，避免了原有基础网络架构的不足。
6网络安全策略应用技术分析
经过调查了解，现在校园网络中采用的技术有很多都不符合标准，例如密码的复杂性，这个最基本的一条都做不到。另外，学校管理中使用的技术不足，如管理网络设备使用telnet协议而不是采用ssh，对管理流量与数据流量没有区分控制，无线网络的加密算法采用容易破解的算法等等。这些技术细节上的不足，也会导致校园网络安全受到威胁。因此，在新的网络安全策略应用中，应该注意相关网络安全技术的使用是否符合安全等级的要求。
7传统高校校园网络安全策略应用的优点
对于传统的高校校园网络安全解决办法来说，好处就是学校的信息化建设方案相对简单，管理相对便捷，在数据量以及网络依赖性不高的院校，或资金不足的院校具有一定的参考作用。
8传统高校校园网络安全策略应用的缺点
对于传统的高校校园网络安全解决办法来说，弊端就是学校校园网络安全受到严重威胁，来自校园网络外部、内部、系统自身产生的安全威胁汇集起来使用整个校园网络的复杂性、不稳定性大大增加，最后导致网络安全性大大降低。
作者：周怡燕 单位：南华工商学院
[参考文献]
[1]邹县芳，孙道德.高校校园网络安全问题及策略研究[J].阜阳师范学院学报：自然科学版，2010（27）：87-90.
[2]杜芸.高校校园网网络安全隐患与解决策略探析[J].信息安全与技术，2015（6）：13-15.
篇9
（3）随着物联网和云计算的普及，各种网络安全攻击手段和保障网络安全的技术不断推陈出新。目前，信息安全的一些专业课程还只是停留在基本原理的讲解上，没有做到与时俱进，很少讲授前沿的网络安全应用及其存在的安全隐患及解决方案。教师没有引导学生利用发散性思维并投入到对前沿网络技术和安全技术的研究中。
（4）缺少网络安全工具实训。现在很多网络安全工具都是开源工具如Backtrack等，掌握这些工具需要花费大量时间，因此需要开设网络安全工具实训课程，让学生掌握如何配置、安装、使用和定制个性化的开源工具。
（5）缺少安全软件设计等实践课程。信息安全专业的学生除了要能够利用安全工具进行系统安全测试外，还要掌握如何防御和解决系统安全漏洞，另外，还有很多学生希望从事安全软件开发工作。这就要求高校设置安全软件设计开发类的课程，帮助学生掌握安全软件开发过程中所需的知识和技能。
（6）缺少创新思维的培养。国内大学生的创新性较欧美大学生有所欠缺，因此要注重信息安全专业学生的创新思维培养，并且要从大一开始就进行创新思维的锻炼。
二、网络安全教学中融入创新思维培养的实践
结合东华大学计算机科学与技术学院培养信息安全专业学生创新能力的经验，我们阐述如何从学生入学到毕业的4年间培养其创新思维和实践能力。
2.1培养学生对专业的兴趣
首先，我们要积极发挥班级导师的作用。网络安全的任课教师可以担任信息安全专业学生的学业导师，学业导师在学生入学后通过学习方法和学业规划等主题开展学习交流会，在会上介绍网络安全的知识结构、科学背景、发展趋势、行业需求、就业领域，并引用前沿网络安全技术和最新的网络安全隐患案例和视频，如利用智能手机安全漏洞和“云”查杀病毒技术等案例激发学生的兴趣。兴趣是学生的学习动力，学生是教学的主体，在教学中对课程的参与度高低直接影响整个教学成果，因此要提高学生的学习效率，首先要增强他们对网络安全技术的兴趣。导师应在易班网上学生活动社区或其他社交网站上建立网络班级，保持与学生的日常沟通，为学生选课提供帮助；协助学生进行学习生涯规划，同时为专业学习提供帮助；在网上班级设置“我的Idea”专题，让学生在论坛里发表自己的创新想法，如要做什么样的系统或软件解决生活中遇到的一些问题。该阶段学生还没有实现这些软件的技术能力，导师可以指导学生学习某方面的技术以实现这些有创意的想法。
2.2以赛代练，参与国家和市级大学生创新
项目和高水平信息安全竞赛在创新实践中，辅导员和学业导师起着非常关键的作用。学业导师都是计算机学院的在职讲师或教授，他们可以把自己主持或参与的科研课题介绍给学生，让学有余力的学生参与学业导师的课题研究，一方面培养学生的自学能力并积累科研所需的知识，另一方面培养学生的创新思维。辅导员和学业导师经常组织学生参加信息安全大赛，如全国大学生信息安全竞赛和信息安全技能大赛。同时，为了鼓励学生进行科技创新，东华大学计算机科学与技术学院每年组织学生参与全国和上海市的创新实践项目申请，学生组团挑选专业课教师作为项目导师，共同探讨创新课题、撰写科技创新项目申请书并提交给专家组，学院组织专家评选20多个创新性高且可行性强的课题并给予资助，在大四上学期对给予资助的项目进行结题审核。学院鼓励获得上海市级以上大学生创新实践项目的学生将创新实践项目的实施与大四毕业设计（论文）相结合，获得专利创新设计的学生还可提前完成毕业设计并参与创业基金项目的申请或到优秀企业实习。在这些科技创新项目中不乏优秀作品，如基于手势识别的文档加密系统的开发、基于Android的动态一次性口令生产器开发、基于Android系统的短信隐私保护软件的开发等。学院每年举办的这种创新性竞赛激发了学生的创新思维、团队合作意识、项目管理和软件设计开发能力。参与科技创新竞赛学生的学习成绩和项目实践能力远远高于平均水平，同时他们的创新能力和工程实践能力也得到广大教师和实训单位的认可，大部分学生获得了直研和被优秀企业聘用的机会。
篇10
为设计一个技术先进、结构合理、功能齐全、网络可升级的高职校园网络需要从以下几个方面做好准备。
1 明确需求分析与建网目标
高职学院网络建设首先要考虑成本，然后进行符合高校实际需求的网络规划与设计。做好这个环节的工作，要做好几点：了解各学院的现状和需求；弄清用户的目的，明确是宣传需要还管理需要；掌握资金投入的额度；了解学院环境；确定学院的数据流管理架构。掌握了当前网络的使用情况，明确了用户构建网络的需求，确立了建网目标。在制订网络方案时要考虑构建简单的网络拓扑结构、采用非可管理型号的网络设备、用户的简单应用、实用为主、适度的安全需求等几方面的问题。
2 场地规划与综合布线系统的设计
场地规划是组网中最关键的一个环节，规划时必须实地考察、现场测量，根据建筑物的楼层、房间的具体布局作具体的安排，根据场地空间的大小决定网络布局、计算机的摆放、网络的布置方式、主服务器或交换机的位置等，确定电源插座和网线的走向，确定门和窗户的位置以及通风管道和暖气管理的位置。
从结构化综合布线系统设计与土建配合方面看，建筑设计部门对此技术了解不够，重视也不够。这就造成本应预留的空间和应预留的管道在土建施工时难以到位，甚至在砌体和装修阶段还没到位，这将造成布线施工难度的增加和施工时常要破坏建筑结构和影响美观等结果。综合布线的设计要解决传输频率与传输速率、屏蔽与非屏蔽双绞线的选择、过电流及过电压保护的设计等，使布线设计令人满意。
3 网络拓扑结构的选择
计算机网络的拓扑结构主要有星型、环型、总线型、树型、网状型等几种。根据场地、设备和网络的具体情况，可以按着费用低、灵活性和可扩充性、可靠性高、因地制宜等原则来选择网络拓扑结构。随着以太网的快速发展，总线型拓扑结构的以太网基本被淘汰，网络拓扑采用普遍使用的星型结构。
4 软、硬件设备的选择
网络操作系统(network operation system-NOS)是网络的心脏和灵魂，是能够控制和管理网络资源的特殊的操作系统。它与一般的计算机操作系统不同的是：它在计算机操作系统下工作，使计算机操作系统增加了网络操作所需要的能力。目前国内流行的网络操作系统有UNIX、Linux、Windows和Netware等，它们应用层次各有不同，局域网应用环境可采用Linux和Windows等网络操作系统，最终确定要根据学院的应用环境来确定。
网络硬件设备的选择是否合理将会影响到网络运行的效果，主要的硬件设备包括交换机、服务器和路由器等核心设备。选择硬件设备时要考虑设备要既具有先进性，又具有可扩展性和技术成熟性。各层所用的交换机设备类型主要还是非可管理型，核心层只用一台低端口数的双绞线千兆以太网交换机即可。在路由器方面，通常是采用性能较好的宽带路由器实现互联网共享接入，而不会专门购买企业级路由器。
5 主要完成的网络应用
在高职学院中，通常没有很复杂的网络应用，最常见的仍是传统的文件和设备共享。组建局域网后，主要实现的网络应用应该有各种身份验证方式IIS Web网站的创建、配置与管理，IIS FTP站点的创建、配置与管理，电子邮局系统、进销存及电子商务类软件应用等内容。
6 适度的网络安全管理
做网络管理的人最容易犯的毛病就是一讲到网络，就总是强调网络安全的重要性。但对于高职学院来说，高级别的网络安全防护系统不仅要花巨额的设备、软件购买成本，还要花巨额的维护和管理成本是没有必要的。
网络安全防护的终点就是数据，中要把好数据最后一道关，就可以对其他安全方面做适度放松，并不要求网络中根本不允许有任何被病毒感染、非法入侵等安全威胁的可能，只要及时、迅速地对这些威胁进行处理，就可以了。构建高职校园网络，网络安全管理主要掌握以下技术：
1)基本的计算机病毒和网络入侵／攻击防护；
2)主要网络安全协议(VPN、SSL／TLS、PKI、IPSec等)；
3)EFS文件加密和PGP文件加密；
4)Windows防火墙的配置；
5)Windows Server IP安全策略的配置；
篇11
1 移动传输网络的发展阶段
1.1 模拟蜂窝通讯技术阶段
模拟蜂窝通信技术是最早的移动传输网络技术，该项技术借助于网络终端具有的移动特性，采用无线组网的方式将网络设备和网络终端连接起来，这样便实现了移动体之间及移动体与固定体之间的通信传输。但是，该种技术尤其不可忽视的弊端，即通信传输网络的安全性较差，直接导致的后果就是通话内容易被窃听。
1.2 GSM 通信技术阶段
GSM 通信技术即大家所熟知的2G 移动通信技术，GSM 通信技术主要分为以下两种：
（1）900/188MHZ GSM 第二代模拟蜂窝通信系统。这种通信传输系统是利用GSM 网络来进行消息的发起和接收，该系统功能多样，具有了移动数据、呼叫转移以及手机来电显示等多功能，与此同时还具有了智能网络的一些业务，提供数据漫游和预付费的功能。但该系统仍具有一定的局限性，即经营业务上的局限性。
（2）800MHZ CDMA 第二代模拟蜂窝通信系统。该系统即CDMA网络系统，与前一种系统不同，这种系统是利用CDMA网络进行信息数据的发起和接收，系统同样具有移动数据、呼叫转移以及手机来电显示等多功能，并提供智能网络业务，提供数据漫游和预付费的功能。与第一种网络的区别就在于工作的频段不同，网络的种类不同。
1.3 GPRS 移动通信技术阶段
GPRS移动通信技术被认为是2G 移动通信技术向3G移动通信技术的过渡，由此又被称为2.5G 移动通信技术。该通信技术进行信息数据传输利用的是无线分组交换技术，该技术在 GSM 的基础上，在高速 IP 和 X.25 数据接入上有了更进一步的提高和改进。GPRS移动通信技术在通信技术的历史发展中具有里程碑的意义。是人类在移动通信中迈出的重要一步。
2 移动传输网络安全的现状及影响因素
2.1 移动传输网络安全的现状
移动传输网络在我国已有了较长的发展历史，各个地市的传输网络也形成了相当的规模。我国的移动传输网络业务都是采用中心局落地，想四周辐射的方式。另外，本地移动传输网络的骨干环路大多是采用2.5G或10G光传输设备组成，汇聚环则是由2.5G传输设备组成。
我国的本地传输网络客观上存在着网络结构复杂、路由不合理、网管数据杂乱、设备型号繁多等多种问题，这样对移动传输网络的安全性产生了巨大的威胁。
2.2 移动传输网络安全的影响因素
从我国当前移动传输网络安全的现状中可以看出，影响移动传输网络安全的因素是多种多样的，具体体现在以下几方面：
（1）线路路由不合理。从这个方面考虑，影响传输网络安全性的因素有：传输汇聚节点出入局同缆、环内存在同缆组环、长分支链路。
（2）传输设备选型不合理。主要表现在重要机盘无热备份、同一局向业务无分流或分担、不同厂家设备或同厂家不通版本设备对接、大量微波或PDH设备的应用、设备无过压保护功能等。
（3）组网不合理。主要表现在重要节点没有失效保护机制、同区业务集中、网络中较长链路、同一节点存在大量分支节点、网络时钟成环等。
（4）其他因素。基站电池容量不足或电池劣化、设备工作电压不稳定以及设备空开与耗电量不匹配、传输设备工作环境差、网管交叉数据杂乱等。
3 移动通信传输网络安全性能的提升对策
3.1 加强对光缆路由的管理
光缆路由的不合理是影响移动传输网络安全的重要因素，因此在规划建设移动通信传输网络的初始阶段就应该加强对路由铺设和传输节点的合理规划，合理的规划能够有效的避免出入局同缆的情况，但要注意规划一定是要以工程的实际情况为出发点的。另外，若是无法避免出入局同缆的情况，那么应积极采用其他方法解决，一般可采用重新建网和租用其他路由的方式。除此之外，需要在光缆的架构设计中引起注意，应极力避免星型和长链型结构的情况的出现，因此需要对网络结构进行必要的可行性分析。
3.2 加强传输组网的管理
传输组网不合理也是影响移动传输网络安全的重要因素。与路由管理不同的是，传输组网的的合理设计工作应该集中在移动通信传输网络建设的中期，后期则要进行移动传输网络的进一步优化。在这个阶段要应采取 SDH 的方式保护传输线路的环路，并且要采取网状网的方式对其中一些重要的传输线路进行保护。
3.3 加强对传输设备的管理
加强对传输设备的管理对于提升移动通信传输网络的安全性能具有重要的意义。针对重要传输线路上的传输节点，最好要设置一对一的保护措施，另外要注意线路的调整，可通过业务分流或负荷分流的方式。传输设备的选取要注意设备的过压保护功能，这样的设备能保证良好的运行性能。
3.4 加强对传输用电的管理
传输用电的稳定性会直接影响到传输设备的运行和通信传输网络的安全性能。因此要从以下几方面加强对传输用电的管理。
（1）针对交流电压不稳定的情况，可通过加设交流电压稳压器来进行解决。
（2）应将过压保护功能作为选取传输设备的重要指标，具有过压保护功能的设备能够有效避免电流浪涌的现象。
（3）应选用具有多次下电功能并且能够自动设置下电电压范围的配电柜。
（4）要加大对传输设备使用操作流程的规范力度。
3.5 加强传输设备工作环境的管理
传输设备的工作环境也会对移动传输网络的安全性产生影响。传输设备的工作环境一般包括温、湿度和环境卫生等方面。要对节点机房的温湿度进行严格的控制，保证其处于最佳的温湿度状态。另外，需要引起注意的是，通信机房应采用严格密封的方式来保持室内环境卫生的洁净。
参考文献
[1]郭凯.移动通信传输网络安全性探讨[J].黑龙江科技信息，2012（25）.
[2]周志宏.关于提高移动通信传输网络安全性的探讨[J].硅谷，2011（01）.
[3]张忠丽.浅谈无线移动通信网络体系结构与安全机制[J].黑龙江科技信息，2010（01）.
篇12
网络安全对于网络用户来说至关重要，它关系到个人隐私安全、个人数据安全，而网络与人们日常生活紧密相关，因此对于网络安全研究也逐渐成为研究的重点内容。网络安全研究从传输数据加密到网络攻击防范与预防等经历的不同发展阶段。当前主要采用的网络安全技术就是入侵检测技术，也就是通过监听在网络传输中的数据包，利用相关算法或技术发现网络中可能存在的攻击行为。本文是以网络规划识别作为研究理论，将其应用到基于Snort入侵检测系统中，从而利用统计与智能方式来搜索或获得攻击行为，达到有效的防范和预防措施。
1 入侵检测与规划识别简介
1.1 入侵检测
入侵检测对网络安全来说是至关重要，检测过程和检测结果如何关系到防范和预测网络攻击效果。在当前较多的入侵检测技术中，频繁使用的入侵检测技术是基于Snort入侵检测技术及其系统。Snort检测体系结构主要是由嗅探器、数据包预处理、检索引擎和规则库等多个模块来构成。其中，嗅探器的作用是来捕获网络中传输的数据包和数据流；数据包预处理模块则是对捕获到的数据进行预处理分析，如采用统计分析方式、专家系统方式等；检索引擎作用则是利用预处理后得到的数据特征等相关信息与规则库中的数据特征进行比对根据其比对结果来评判数据是否具有攻击性。
1.2 网络规划识别简介
在1978年由Schmidt、Sridharan和Goodson提出规划识别用于推理其它智能体的规划及目标，到2003年，Yin MingHao在Hong Jun的目标图为基础上提出了利用回归图进行的规划识别。在规划发展过程中主要出现如下几种规划识别方法，即基于Kautz理论的规划识别、基于逻辑的规划识别和基于概率方法的规划识别等方法。经过40多年的发展，规划识别已经成为人工智能研究领域中重要的研究内容。
网络规划识别就是以规划识别作为理论基础，然后将其运用在网络上的一种技术。其主要内容是从网络中传输数据包或数据流中通过特征提取方式来获得特征数据信息，利用规划识别推导出智能目标或规划过程。其推导过程为首先收集来自于网络中的传输数据，然后利用规划识别原理对传输数据进行推导，最后计算出该数据攻击可能的最大概率。
2 基于规划识别的入侵检测结构研究
2.1 规划识别的贝叶斯网络模型结构分析
网络攻击往往会给用户带来极大的麻烦或损失，因此组建较好的入侵检测结构对于网络攻击预防是至关重要的环节。当遭受网络攻击时候，往往需要识别攻击者的意图，因此本文以规划识别与贝叶斯算法结合建立一个入侵过程分析与模拟建模，即通过检索数据包中的数据特征来发现攻击对象和攻击过程。也就是将攻击者最终意图作为根节点，攻击节点之间采用“与”、“或”等逻辑运算来进行节点之间关系建立，然后发现最终目标。在入侵检测系统中，攻击者会实施相关攻击过程且具有顺序性，利用贝叶斯网络就可以推理入侵者意图，即对接受数据包进行关联分析，从而发现攻击目标和攻击意图。
2.2 贝叶斯二次回归规划识别在入侵检测中的结构研究
基于Snort入侵检测系统是当前正在使用的一种检测系统，在进行攻击者进行网络入侵过程中，由Snort在检测中产生相应的数据包信息，将得到的数据信息进行数据关联分析，从而就会得到两种分析结果：一是有攻击意图；二是无攻击意图或无法判断攻击意图。而入侵过程中Snort对数据进行规划识别与采用贝叶斯算法设计的智能网络结构相似，因此可以考虑将贝叶斯理论引入到入侵检测中，然后在此基础上进行二次回归来具体判断攻击者是否发生攻击以及攻击的目标和路径。其基本结构如图1所示。
3 结束语
通过对以往入侵检测系统、网络规划识别技术分析与研究，在本文中提出了一种以原有的贝叶斯网络攻击入侵检测模型为基础，进行了二次回归的网络攻击入侵检测模型及其算法的改进，并且对此结构进行分析。
参考文献
[1]谷文祥，李丽，李丹丹.规划识别的研究及其应用[J].智能系统学报，2007.
[2]李伟生，王宝树.实现规划识别的一种贝叶斯网络[J].西安电子科技大学学报，2002.
作者简介
篇13
国家电子政务外网（以下简称政务外网）是中办发[2002]17号文件明确规定要建设的政务网络平台。政务外网是政府的业务专网，主要为党委、人大、政府、政协、法院和检察院各级政务部门服务，运行各级政务部门面向社会的专业业务和不需要在内网上运行的业务。
为保证电子政务外网的安全运行，中办发[2003]27号文和[2006]18号文明确提出，电子政务外网与政务内网之间采用物理隔离，政务外网与互联网之间采用逻辑隔离。政务外网的建设要按照信息安全等级保护的有关要求，分别采用相应的保护措施，通过建立统一的密码和密钥管理体系、网络信任体系和安全管理体系，分级、分层、分域保障信息安全。
二、政务外网（一期工程）安全需求
⒈政务外网安全防护对象
政务外网的基础网络环境如图1所示。
依据政务外网的网络环境，政务外网的安全防护对象分为如下三类：计算区域、网络基础设施和计算区域边界。
⑴计算区域
政务外网所涉及的计算环境有：中央网络管理中心计算区域、各省市节点的二级网络管理中心计算区域、中央城域网接入单位计算区域以及外网骨干网接入的各省市节点的计算区域。
在各计算区域内主要防护如下对象：
①数据资源，主要包括各应用系统管理的数据资源；
②软件资源，包括系统软件、网络软件、支撑软件和应用系统等；
③中心计算机；
④存储介质，包括数据备份磁带、软盘、可读写光盘等；
⑤用户，包括普通操作员、业务管理员、高级业务管理员以及系统（数据库）管理员和网络管理员等。
⑵网络基础设施
政务外网所要防护的网络基础设施主要有：各计算区域的网络基础设施，以及实现各计算区域相联的网络基础设施。
⑶计算区域边界
由于计算区域与其他外部实体相联而产生区域边界，区域边界与计算区域直接相关，与计算区域相联的外部实体的性质直接决定区域边界的保护的策略。
政务外网中的计算区域边界主要有：与中央城域网相联的各计算区域因与中央城域网相联而产生的区域边界以及这些区域与互联网等外部实体相联而产生的区域边界、各省市节点计算区域因与政务外网骨干网相联而产生的区域边界以及这些区域与互联网等外部实体相联而产生的区域边界。
⒉安全需求
根据政务外网的特点，政务外网的安全需求体现在如下几方面：
①建设政务外网安全信任体系，确保政务外网资源不能被非法用户访问；
②建设政务外网数据交换中心，确保不同安全域之间的安全数据交换；
③确保政务外网的安全保障体系具有高可靠性，并具有可审计、可监控性；
④实现政务外网统一的安全管理体系；
⑤确保政务外网与互联网的安全互连。
三、政务外网安全保障体系框架
政务外网要为政务部门的业务系统提供网络、信息、安全等支撑服务，为社会公众提供政务信息服务。从政务外网的实际出发，政务外网的安全保障体系设计应重点针对政务外网的如下特点：
①政务外网必须与互联网逻辑隔离；
②政务外网主要运行面向社会的专业业务，这些业务所涉及的业务信息具有面向公众的特性，所以保护业务信息的完整性、可鉴别性以及抗抵赖性十分重要；
③政务外网是国家电子政务的基础性网络环境，支持电子政务系统互联互通、数据交换、信息共享、业务互动、便民服务的需求，所以政务外网要满足公用网络安全可信的需求；
根据以上分析，政务外网（一期工程）安全保障体系由网络防护体系、网络信任体系、安全管理体系、安全服务体系等构成，逻辑模型如图2所示。
⒈网络安全防护体系
网络安全防护系统是政务外网安全保障体系中最重要的安全设施，主要保护电子政务外网的各子网网络节点及整个电子政务外网，保证整个政务外网及相关业务系统的可用性、完整性、可控性等。网络安全防护系统重点要考虑防火墙系统、入侵防御系统、防病毒系统、远程安全接入系统、流量监测系统等的配置和建设。
政务外网的网络安全防护体系将涵盖以下几个方面：
⑴物理安全
保证政务外网中各种骨干设备的物理安全是整个政务外网安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。
⑵网络安全
网络安全主要考虑VPN、防火墙、入侵检测系统、非法外联监控系统、PKI接入认证网关等安全设备在政务外网中的配置与部署。
⑶系统层安全
系统层安全主要包括漏洞扫描、操作系统安全加固、数据库安全加固。
⑷应用层安全
应用层安全主要考虑应用系统的鉴别、授权和访问控制等安全机制。
⒉网络信任体系
网络信任体系是为网络用户、设备提供信息安全服务的具有普适性的信息安全基础设施。该体系在统一的安全认证标准和规范基础上提供在线身份认证、授权管理和责任认定。其核心是要解决信息网络空间中的信任问题，确定信息网络空间中各种经济和管理行为主体(包括组织和个人)身份的唯一性、真实性和合法性，保护信息网络空间中各种主体的安全利益。政务外网网络信任体系的建设与政务外网的安全运营息息相关，是电子政务安全运行的支撑基础设施。
政务外网（一期工程）的网络信任体系，主要是在国家主管部门的指导下，建设政务外网身份认证系统，组建政务外网身份认证管理协调机构和技术保障队伍，制定有关政务外网身份认证的相关标准体系、管理运行规章制度和规范，逐步形成统一的政务外网网络信任体系。
⒊安全服务体系
政务外网安全服务体系主要由安全评估和安全培训组成。安全评估主要是对政务外网及其处理的传输和存储的信息的保密性、完整性和可用性等安全属性进行科学识别和扫描评估的过程。安全评估的主要目的是定期对网络系统进行安全性分析，及时发现并修正动态运行的网络系统中存在的弱点和漏洞，认清信息安全环境、信息安全状况，明确责任，采取或完善安全保障措施，并使信息安全策略保持一致性和持续性。
⒋安全管理体系
安全并非只是一个技术问题，它也是一个关于人和管理的问题。安全不是个产品，它是一个完整的过程。作为一个过程，它有人、技术、流程这3个组成部分，这些组成部分匹配得越好，过程进展得就越顺利。
安全管理在政务外网的安全保密中占有非常重要的地位，即使有了较完善的安全保密技术措施，如果管理的力度不够，将会造成很大的安全隐患。因此，必须加强安全保密管理，设置安全保密管理机构，制定严格的安全保密管理制度，采用适当的安全保密管理技术将政务外网中各种安全保密产品进行集成，并加强对人员的管理。
安全管理体系的建设包括安全保密管理机构的建立、安全保密制度的制定、安全保密管理技术的使用以及人员的管理等几方面内容，这里不再予以赘述。只有通过建立科学、严密的安全管理体系，不断完善管理行为，形成一个动态的安全过程，才能为政务外网提供制度上的保证。
四、几个重要问题
在整个政务外网（一期工程）安全保障体系的规划和建设当中，有几个重要问题需要特别说明。
⒈安全域划分
政务外网要为政务部门的业务系统提供网络、信息、安全等支撑服务，为社会公众提供政务信息服务，要满足政府公用网络安全可信的需求。所以，在政务外网内有必要划分不同的安全域，定义每个安全域的物理或逻辑边界，形成隶属于由单一安全策略权威定义和执行的公共安全策略的安全要素的集合，有利于每个安全域共享相似的安全策略。
政务外网具有数据量庞大、业务复杂多样、安全等级各异的特点，因此安全域的划分遵循以下原则：
①根据信任等级划分安全域。在政务外网中，要为政务信息资源和国家基础信息资源的登记、备案、、交换和共享提供服务，同时相关的业务系统也要有连接到互联网和有需求的其它单位，不同的系统由于处理的数据和交互的实体不同，需要在不同的位置或业务流程中，划分不同的安全域。
②根据业务节点类型，对不同的节点划分相应的安全域，并配置和节点业务量相匹配的安全措施和安全设备。在政务外网中，政务外网要连接不同类型的网络节点，网络节点的安全等级决定了安全域的划分和安全设施的投资建设规模。
③依据数据的安全等级，在存储和传输的不同区域，划分安全域，并采用不同的安全策略，体现数据的分等级保护。
根据以上原则，在政务外网中，网络各节点的局域网构成相对独立的安全域，并在各节点内部进行安全域细化。政务外网中，按节点所划分的安全域有中央网络管理中心局域网、中央城域网接入节点单位、各省市节点的二级网络管理中心局域网和各省市节点的各自的接入网络。
⒉等级保护
根据公安部、国家保密局、国家密码管理局、国务院信息化工作办公室2007年联合颁布的43号文件《信息安全等级保护管理办法》的相关规定，为保障电子政务外网的网络安全，对电子政务外网需采用等级保护机制。等级保护以网络安全域划分为基础，电子政务外网包括网络基础设施，包括众多接入网络，各个子网络又包括不同的应用系统。只有根据这些资产的重要性以及它们面临的安全威胁的不同，结构化地划分为安全域，才能有效地进行安全保护。
根据政务外网的逻辑结构、安全域划分情况、面向对象及应用模式，中央网络管理中心局域网、中央城域网接入节点单位二级网络管理中心局域网和各省区市接入节点二级网络管理中心局域网，至少要达到第三级（监督保护级）的要求。对于这类的安全域，将依照国家管理规范和技术标准进行自主保护，并接受信息安全监管职能部门的监督、检查。
中央城域网接入节点单位接入网络和各省区市接入节点单位接入网络至少要达到第二级（指导保护级）的要求。对于这类安全域，将在信息安全监管职能部门的指导下，依照国家管理规范和技术标准进行自主保护。
⒊风险评估
在政务外网（一期工程）安全保障体系规划和设计时，国家信息中心网络安全部将风险管理的思想引入到政务外网的建设中，获取规划和设计阶段的政务外网的安全风险，提出并确定外网安全建设的要求，改进规划中的不合理因素，为后续的网络建设的实施提供安全建设依据。此次事前评估范围主要是政务外网一期工程第一阶段工程初步设计规划方案，评估着重考虑外网规划中系统平台的安全性。为支持整个风险评估过程的推进，国家信息中心网络安全部成立了由领导层、相关业务骨干、外网相关人员等组成的风险评估小组。评估结束后，针对不可接受的风险，风险评估小组对规划和设计做了相应的修改，很好地兼顾了风险与成本的平衡。
五、结语
根据政务外网（一期工程）安全保障体系整体规划和一期工程建设进度安排，政务外网中央节点安全保障体系已初步建成。通过几个月的试运行，整个政务外网安全保障体系运转良好，初步达到了预期的设计目标。下一步的工作重点将是：进一步完善政务外网安全保障体系，建立健全政务外网安全管理机制，明确各级网管部门安全管理责任；开展信息安全风险评估工作，按照信息安全等级保护的要求，对全网分级、分层、分域确定信息安全等级；从技术和管理两方面入手，不断完善信息安全保障体系，初步建成统一的政务外网信任体系，形成面向外网用户的服务能力。
作者简介：
