时间：2023-04-08 11:46:45
序论：速发表网结合其深厚的文秘经验，特别为您筛选了11篇安全网络论文范文。如果您需要更多原创资料，欢迎随时与我们的客服老师联系，希望您能从中汲取灵感和知识！
1.1设备依赖性。
不同于过往的档案记载，信息化的档案资料再也不是一支笔、一份纸记录的过程，从输入到输出都是经由计算机与其辅助设备实现，管理与传输也都依赖各种软件与网络资源共享，信息处理速度与质量在某些程度上依赖于计算机的性能与软件的适应性。
1.2易控性和可变性。
信息化的档案资料一般是以通用的文档、图片、视频、音频等形式储存下来，这给信息共享带来了便利，但也增加了档案资料的易控性和可变性，对于文档资料可以通过office工具删除修改文字、对于图片资料可以通过photoshop轻易地改变其原有的面貌、对于音频和视频资料可以通过adobeaudition和premiere工具的剪辑变成完全不同的模样，这些都造成了档案信息易丢失的现象。
1.3复杂性。
档案信息量不断增加、信息存储形式也变得丰富多样，不仅有前文所述的文档、图像、视频、音频等形式，不同格式之间的信息资料还可以相互转换，如视频与图片、文字与图片的转换等等，进一步增加了档案信息的复杂性。
2目前网络环境下档案信息安全管理存在的问题
2.1网络环境下档案信息安全问题的特性。
档案信息化有其显著特征，在此基础上的档案信息安全问题属性也发生了较大变化。首先表现在信息共享的无边界性，发达的网络技术使得整个世界变成一张巨大的网，上传的信息即使在大洋彼岸也能及时查看，一旦信息泄露，传播的范围广、造成的危害难以估量。同时，在某种程度上档案信息化系统也存在着脆弱性问题，计算机病毒可以入侵系统的众多组成部分，而任何一部分被攻击都可能造成整个系统的崩溃。此外，网络安全问题还存在一定的隐蔽性，无需面对面交流，不用对话沟通，只需打开一个网页或是鼠标轻轻点击，信息就会在极短时间内被窃取，造成严重后果。
2.2网络环境下档案信息安全面临的主要问题。
1）档案信息化安全意识薄弱。很多情况下，档案信息被窃取或损坏并不是因为入侵者手段高明，而是档案信息管理系统自身安全漏洞过多，其本质原因是档案信息管理安全意识不够。受传统档案管理观念的桎梏、自身技术水平的限制，很多管理人员并未将档案信息看作极为重要的资源，对相关资料处理的随意性大，也无法觉察到潜在的风险，日常操作管理不规范，增加了档案安全危机发生的可能性。
2）档案信息化安全资金投入不够。现代信息环境复杂多变，数据量急剧增加，信息管理难度也越来越大，对各种硬件、软件设备的要求也进一步提高，需要企业在档案信息管理方面投入更多的人力、物力，定期检查系统漏洞。而就目前情况而言，大部分企业在这方面投入的资源还远远达不到要求，档案信息管理的安全性得不到有效保障。
3）档案信息化安全技术问题。技术问题首先表现在互联网自身的开放性特征中，互联网的基石是TCP/IP协议，以效率和及时沟通性为第一追求目标，必然会导致安全性的牺牲，诸如E-mail口令与文件传输等操作很容易被监听，甚至于不经意间计算机就会被远程操控，许多服务器都存在可被入侵者获取最高控制权的致命漏洞。此外，网络环境资源良莠不齐，许多看似无害的程序中夹杂着计算机病毒代码片段，隐蔽性强、传染性强、破坏力大，给档案信息带来了严重威胁。
3网络环境下实现档案信息安全保障原则
3.1档案信息安全的绝对性与相对性。
档案信息安全管理工作的重要性是无需置疑的，是任何企业特别是握有核心技术的大型企业必须注重的问题，然而，档案信息管理并没有一劳永逸的方法，与传统档案一样，不存在绝对的安全保障，某一时期看起来再完善的系统也会存在不易发现的漏洞，随着科技的不断发展，会愈来愈明显地暴露出来。同时，档案信息安全维护技术也没有绝对的优劣之分，根据实际情况的需求，简单的技术可能性价比更高。
3.2管理过程中的技术与非技术因素。
档案信息管理工作不是单一的网络技术维护人员工作，也不是管理人员的独角戏，而需要技术与管理的有机结合。档案管理人员可以不具备专业网络技术人才的知识储备量，但一定要具备发现安全问题的感知力与责任心，对于一些常见入侵迹象要了然于心，对于工作中出现的自身无法解决的可疑现象应及时通知更专业的技术人员查看。可根据企业实际情况建立完善的档案安全管理机制，充分调动各部门员工的力量，以系统性、全面性的理念去组织档案信息管理工作。
4网络环境下档案信息安全管理具体保障方法
4.1建立制度屏障。
完善的制度是任何工作顺利进行的前提与基础，对于复杂网络环境下的档案信息安全管理工作来说更是如此。在现今高度发达的信息背景下，档案管理再不是锁好一扇门、看好一台计算机的简单工作，而是众多高新技术的集合体，因此，做好档案信息安全管理工作首先要加强安全意识的宣传，包括保密意识教育与信息安全基础教育，加强档案管理人员特别是技术操作人员的培训工作。同时，应注重责任制度的落实，详细规定库房管理、档案借阅、鉴定、销毁等责任分配，详细记录档案管理培训与考核工作、记录进出档案室的人员信息，具体工作落实到人。在实际操作中，应严格记录每一个操作步骤，将档案接收、借阅、复制等过程完整、有条理地编入类目中，以便日后查阅。
4.2建立技术屏障。
网络环境下的信息安全技术主要体现在通信安全技术和计算机安全技术两个方面。
1）通信安全技术。通信安全技术应用于档案资料的传输共享过程中，可分为加密、确认与网络控制技术等几大类。其中，信息加密技术是实现档案信息安全管理的关键，通过各种不同的加密算法实现信息的抽象化与无序化，即使被劫持也很难辨认出原有信息，这种技术性价比高，较小的投入便可获得较高的防护效果。档案信息确认技术是通过限制共享范围达到安全性要求，每一个用户都掌握着识别档案信息是否真实的方案，而不法接收者难以知晓方案的实际内容，从而预防信息的伪造、篡改行为。
2）计算机安全技术。从计算机安全角度入手，可采用芯片卡识别制度，每一名合法使用者的芯片卡微处理机内记录特有编号，只有当编号在数据库范围内时方可通过认证，防止档案信息经由计算机存储器被窃的现象发生。同时，应加强计算机系统的防火墙设计，注意查找系统漏洞。
2我国网络信息安全的应对措施
2．1加强网络信息安全管理网络信息安全实质就是一个管理方面的问题，特别是在我国网络信息安全行业刚刚发展初期，做好网络信息安全的管理工作更显得尤为重要。①严格根据管理流程实施管理操作。对网络进行微观操作，这是网络内网产生不安全的主要原因，因此，对业务不得进行越权查看及使用，不许私自对数据库或某些机密文件进行修改，以此来杜绝内网中计算机及网络受到恶意攻击。②实施连续性管理网络系统。作为网络管理人员，一定要把系统恢复和系统备份策略应用于网络系统，这不仅可实现连续性管理系统的要求，而且还可有效避免因恶意破坏、自然灾害等原因使设备遭到破坏、无法正常提供服务的问题发生。③加强管理人员的日常操作管理。要有效对系统进行管理，最为重要的在于管理人员，因此，作为网络系统管理人员，一定要具备超强的技术能力，此外，还必须具备一定的网络信息安全意识。不管是企业，还是公司，在进行网络管理人员选拔时，一定要综合考虑有关技术能力和安全意识等方面的因素;同时，还要创造条件对这些网络管理人员实施一定的职业培训以及网络信息安全教育，以此来让网络管理人员切实懂得网络信息安全的重要性，并让他们明白在维护网络信息安全中他们个人所应承担的责任。此外，对于网络信息的相关操作管理，一定要让网络管理人员熟练掌握，对于安全的网络管理策略能予以正确的执行和落实，这样，就可最大限度避免因人为原因所带来的网络信息安全漏洞。
2．2设置防火墙网络威胁绝大多数是从互联网来的，应用防火墙来判断与辨别进出网络的各种信息，能够有效避免内网或计算机系统遭到病毒和木马的攻击;所以，要对网络信息安全进行有效保护，一定要选择一个防火墙来进行保护，而且要让所选择的防火墙，不仅要技术性强，而且防御功能要足够强大。
2．3安装vpn设备所谓vpn设备，其实就是一个服务器，电脑在进行网络信息传递过程中，要使网络信息先向vpn服务器进行传递，然后再通过vpn设备向目的主机进行传递，这样就可让计算机不直接连接于物联网，从而让网络黑客无法得到真正的ip地址，无法完成对网络进行攻击，这样就有效对网络信息安全起到了保护作用。
1.基于IPv6的网络建设
在全球互联网高度发展的今天，由于网络与通信的日益融合，基于IPv4地址编码方式已于2011年1月枯竭。那么，IPv6成为解决IPv4地址耗尽问题的最好解决方法网络安全络安全论文，按照正常方式从IPv4向IPv6转换成功的话，全球所有的终端均可拥有一个IP地址，从而可实现全球网络的概念。
IPv6是下一版本的互联网协议，也可以说是下一代互联网的协议，它的提出最初是因为随着互联网的迅速发展，IPv4定义的有限地址空间将耗尽，而地址空间的不足必将妨碍互联网的进一步发展。为了扩大地址空间，通过IPv6以重新定义地址空间。IPv6采用128位地址长度，几乎可以不受限制地提供IP地址网络安全络安全论文，从而确保了端到端连接的可能性。
除了地址分配问题外，IPv6虽然有整体吞吐量、高服务质量等优势，但在安全接入方面并不比IPv4更为显著。IPv6并不意味着网络就自然安全了，虽然不使用地址翻译，但仍然会使用防火墙，.net本身并不会带来安全的因素。IPv6与IPv4面临同样的安全问题。
2. IPSec安全协议
2.1 IPSec安全协议的体系结构
在IPv6中,IPSec安全协议是一个协议套件,主要包括:认证头(Authentication Header,AH)、封装安全载荷(Encapsulating Security Payload,ESP)、Internet密钥交换(Internet Key Exchange,IKE)等相关组件论文开题报告范文论文下载。它提供的安全服务有:数据源身份验证,无连接数据完整性检查,数据内容的机密性保证,抗重播保护以及有限数据流机密性保证。IPSec协议的体系结构如图1所示。
2.2IPSec认证头AH协议
认证头AH用于为IP提供数据完成性、数据原始身份验证和一些可选的、有限的抗重播服务。AH定义了对数据所实施的安全保护的方法、头的位置、身份验证的覆盖范围,以及输入和输出处理规则,但不对所用的身份验证算法进行具体定义[。AH的格式如图2所示。认证头AH有2种工作模式,即传输模式和隧道模式。传输模式只对传输层数据和IP头中的固定字段提供认证保护,主要适合于主机实现[3]。隧道模式则对整个IP数据提供认证保护。
2.3 IPSec封装安全载荷ESP协议
封装安全载荷ESP为IP提供机密性、数据源验证、抗重播以及数据完整性等安全服务。ESP的格式不是固定的,依据采用不同的加密算法而不同,但起始处必须是安全参数索引(SPI),用以定义加密算法及密钥的生存周期等。ESP格式如图3所示。封装安全载荷ESP有2种不同的加密工作模式,即传输模式和隧道模式。传输模式ESP只对传输层数据单元加密,IPv6和各种扩展头以及ESP中的SPI段用明文传输,该方式适用于主机到主机的加密。隧道模式ESP对整个IP分组进行加密,该模式以新的包含有足够路由信息的IP头封装,从而便于中间结点的识别,该方式适用于设置有防火墙或其他类型安全网关的结构体系。
中图分类号：TP393.08
文献标识码：A
文章编号：1672-3198(2009)13-0245-02
1 网络攻击和入侵的主要途径
网络入侵是指网络攻击者通过非法的手段(如破译口令、电子欺骗等)获得非法的权限，并通过使用这些非法的权限使网络攻击者能对被攻击的主机进行非授权的操作。网络入侵的主要途径有：破译口令、IP欺骗和DNS欺骗。
口令是计算机系统抵御入侵者的一种重要手段，所谓口令入侵是指使用某些合法用户的帐号和口令登录到目的主机，然后再实施攻击活动。这种方法的前提是必须先得到该主机上的某个合法用户的帐号，然后再进行合法用户口令的破译。获得普通用户帐号的方法很多，如：利用目标主机的Finger功能：当用Finger命令查询时，主机系统会将保存的用户资料(如用户名、登录时间等)显示在终端或计算机上；利用目标主机的X.500服务：有些主机没有关闭X.500的目录查询服务，也给攻击者提供了获得信息的一条简易途径；从电子邮件地址中收集：有些用户电子邮件地址常会透露其在目标主机上的帐号；查看主机是否有习惯性的帐号；有经验的用户都知道，很多系统会使用一些习惯性的帐号，造成帐号的泄露。
IP欺骗是指攻击者伪造别人的IP地址，让一台计算机假冒另一台计算机以达到蒙混过关的目的。它只能对某些特定的运行TCP/IP的计算机进行入侵。IP欺骗利用了TCP/IP网络协议的脆弱性。在TCP的三次握手过程中。入侵者假冒被入侵主机的信任主机与被入侵主机进行连接，并对被入侵主机所信任的主机发起淹没攻击，使被信任的主机处于瘫痪状态。当主机正在进行远程服务时，网络入侵者最容易获得目标网络的信任关系，从而进行IP欺骗。IP欺骗是建立在对目标网络的信任关系基础之上的。同一网络的计算机彼此都知道对方的地址，它们之间互相信任。由于这种信任关系，这些计算机彼此可以不进行地址的认证而执行远程操作。
域名系统(DNS)是一种用于TCP/IP应用程序的分布式数据库，它提供主机名字和IP地址之间的转换信息。通常，网络用户通过UDP协议和DNS服务器进行通信，而服务器在特定的53端口监听。并返回用户所需的相关信息。DNS协议不对转换或信息性的更新进行身份认证，这使得该协议被人以一些不同的方式加以利用。当攻击者危害DNS服务器并明确地更改主机名―IP地址映射表时，DNS欺骗就会发生。这些改变被写入DNS服务器上的转换表。因而，当一个客户机请求查询时，用户只能得到这个伪造的地址，该地址是一个完全处于攻击者控制下的机器的IP地址。因为网络上的主机都信任DNS服务器，所以一个被破坏的DNS服务器可以将客户引导到非法的服务器。也可以欺骗服务器相信一个IP地址确实属于一个被信任客户。
2 计算机网络中的安全缺陷及产生的原因
(1)网络安全天生脆弱。
计算机网络安全系统的脆弱性是伴随计算机网络一同产生的，换句话说，安全系统脆弱是计算机网络与生俱来的致命弱点。在网络建设中，网络特性决定了不可能无条件、无限制的提高其安全性能。要使网络更方便快捷，又要保证网络安全，这是一个非常棘手的“两难选择”，而网络安全只能在“两难选择”所允许的范围中寻找支撑点。可以说世界上任何一个计算机网络都不是绝对安全的。
(2)黑客攻击后果严重。
近几年，黑客猖狂肆虐，四面出击，使交通通讯网络中断，军事指挥系统失灵，电力供水系统瘫痪，银行金融系统混乱……危及国家的政治、军事、经济的安全与稳定，在世界各国造成了难以估量的损失。
(3)网络杀手集团化。
目前，网络杀手除了一般的黑客外，还有一批具有高精尖技术的“专业杀手”，更令人担忧的是出现了具有集团性质的“网络”甚至政府出面组织的“网络战”、“黑客战”，其规模化、专业性和破坏程度都使其他黑客望尘莫及。可以说，由政府组织的“网络战”、“黑客战”是当前网络安全的最大隐患。目前，美国正开展用无线电方式、卫星辐射式注入方式、网络方式把病毒植入敌方计算机主机或各类传感器、网桥中的研究以伺机破坏敌方的武器系统、指挥控制系统、通信系统等高敏感的网络系统。另外，为达到预定目的，对出售给潜在敌手的计算机芯片进行暗中修改，在CPU中设置“芯片陷阱”，可使美国通过因特网指令让敌方电脑停止工作，以起到“定时炸弹”的作用。
(4)破坏手段多元化。
目前，“网络”除了制造、传播病毒软件、设置“邮箱炸弹”，更多的是采取借助工具软件对网络发动袭击，令其瘫痪或者盗用一些大型研究机构的服务器，使用“拒绝服务”程序，如TFN和与之相近的程序等，指挥它们向目标网站传输远远超出其带宽容量的垃圾数据，从而使其运行中断。多名黑客甚至可以借助同样的软件在不同的地点“集中火力”对一个或者多个网络发起攻击。而且，黑客们还可以把这些软件神不知鬼不觉地通过互联网安装到别人的电脑上，然后，在电脑主人根本不知道的情况下“借刀杀人”。
3 安全防范措施
(1)提高思想认识。
近年来，中国的网络发展非常迅速，同时，中国的网络安全也越来越引起人们的关注，国家权威部门曾对国内网站的安全系统进行测试，发现不少单位的计算机系统都存在安全漏洞，有些单位还非常严重，随时可能被黑客入侵。当前，世界各国对信息战十分重视，假如我们的网络安全无法保证，这势必影响到国家政治、经济的安全。因此，从思想上提高对计算机网络安全重要性的认识，是我们当前的首要任务。
(2)加强管理制度。
任何网站都不是绝对安全的，值得一提的是，当前一些单位在急忙赶搭“网络快车”时，只管好用，不管安全，这种短视必然带来严重的恶果，与“网络”的较量是一场“看不见硝烟的战争”，是高科技的较量，是“硬碰硬”的较量。根据这一情况，当前工作的重点，一是要狠抓日常管理制度的落实，要把安全管理制度落实到第一个环节中；二是要加强计算机从业人员的行业归口管理，对这些人员要强化安全教育和法制教育，建立人员管理档案并进行定期的检查和培训；三是要建立一支反黑客的“快速反应部队”，同时加快加紧培养高水平的网络系统管理员，并尽快掌握那些关键技术和管理知识。
(3)强化防范措施。
一般来说，影响计算机网络安全的因素很多，但目前最主要的因素是接受电子邮件和下载软件两种。下面就这两种方式谈谈基本的防范措施：切实保护电子邮件的安全：做好邮件帐户的选择。现在互联网上提供的E-MAIL帐户
主要都是免费帐户，这些免费的服务不提供任何有效的安全保障而且有的免费邮件服务器常常会导致邮件受损。所以，单位用户应该选择收费邮件帐户。做好邮件帐户的安全防范。一定要保护好邮箱的密码。在WEB方式中，不要使用IB的自动完成功能，不要使用保存密码功能以图省事，入网帐号与口令应该是需要保护的重中之重，密码要取得有技巧、有难度，密码最好能有8位数，且数字字母相间，中间还代“*”号之类的允许怪符号。
防止邮件炸弹。下面介绍几种对付电子邮件炸弹(E-MAIL BOMB)的方法：
①过滤电子邮件。凡可疑的E-MAIL尽量不要开启：如果怀疑信箱有炸弹，可以用邮件程序的远程邮箱管理功能来过滤信件，如国产的邮件程序Foxmail。在进行邮箱的远程管理时，仔细检查邮件头信息，如果发现有来历可疑的信件或符合邮件炸弹特征的信件，可以直接把它从邮件服务器上删除。
②使用杀毒软件。一是邮件有附件的话，不管是谁发过来的，也不管其内容是什么(即使是文档，也往往能成为病毒的潜伏场所，像著名的Melissa)，都不要立即执行，而是先存盘，然后用杀毒软件检查一番，以确保安全。二是注意目前网上有一些别有用心的人以网站的名义，让你接受他们通过邮件附件推给你的软件，并以种种借口要求你立即执行。对此，凡是发过来的任何程序、甚至文档都应用杀毒软件检查一番。
③使用转信功能。用户一般都有几个E-mail地址。最好申请一个容量较大的邮箱作为收信信箱，如777信箱(mail.省略)速度也很快。对于其它各种信箱，最好支持转信功能的，并设置转信到大信箱。所有其它邮件地址的信件都会自动转寄到大信箱内，可以很好地起到保护信箱的作用。
④申请邮件数字签证。现在国内的首都在线(省略)提供了邮件数字签证的服务。数字签证不但能够保护邮件的信息安全，而且通过它可以确认信件的发送者。最后要注意对本地的已收发邮件进行相应的删除处理。切实保障下载软件的安全。对于网络软件，需要指出的是，我们对下载软件和接受的E-MAIL决不可大意。在下载软件时应该注意：下载软件应尽量选择客流大的专业站点。大型的专业站点，资金雄厚，技术成熟，水平较高，信誉较佳，大都有专人维护，安全性能好，提供的软件问题较少。
计算机网络受到威胁后果严重
1.国家安全将遭受到威胁
网络黑客攻击的目标常包括银行、政府及军事部门，窃取和修改信息。这会对社会和国家安全造成严重威胁，有可能带来无法挽回的损失。
2.损失巨大
很多网络是大型网络，像互联网是全球性网络，这些网络上连接着无数计算机及网络设备，如果攻击者攻击入侵连接在网络上的计算机和网络设备，会破坏成千上万台计算机，从而给用户造成巨大经济损失。
3.手段多样，手法隐蔽
网络攻击所需设备简单，所花时间短，某些过程只需一台连接Internet的PC即可完成。这个特征决定了攻击者的方式多样性和隐蔽性。比如网络攻击者既可以用监视网上数据来盗取他人的保密信息；可以通过截取他人的帐号和口令潜入他人的计算机系统；可以通过一些方法来绕过或破坏他人安装的防火墙等等。
网络安全防范技术
1.病毒的防范
计算机病毒变得越来越复杂，对计算机信息系统构成极大的威胁。在网络环境中对计算机病毒的防范是网络安全性建设中重要的一环。它的入侵检测技术包括基于主机和基于网络两种。单机防病毒软件一般安装在单台PC上，即对本地和本地工作站连接的远程资源采用分析扫描的方式检测、清除病毒。对网络病毒的防范主要包括预防病毒、检测病毒和杀毒三种技术。网络版防病毒系统包括：（1）系统中心：系统中心实时记录计算机的病毒监控、检测和清除的信息，实现对整个防护系统的自动控制。（2）服务器端：服务器端为网络服务器操作系统应用而设计。（3）客户端：客户端对当前工作站上病毒监控、检测和清除，并在需要时向系统中心发送病毒监测报告。（4）管理控制台：管理控制台是为了网络管理员的应用而设计的，通过它可以集中管理网络上所有已安装的防病毒系统防护软件的计算机。
2.防火墙的配置
首先我们了解防火墙所处的位置决定了一些特点包括（1）所有的从外部到内部的通信都必须经过它（。2）只有有内部访问策略授权的通信才能被允许通过。（3）系统本身具有很强的高可靠性。所以防火墙是网络安全的屏障，配置防火墒是实现网络安全最基本、最经济、最有效的安全措施之一。防火墙是所有安全工具中最重要的一个组成部分。它在内部信任网络和其他任何非信任网络上提供了不同的规则进行判断和验证，确定是否允许该类型的信息通过。一个防火墙策略要符合4个目标，而每个目标通常都不是通过一个单独的设备或软件来实现的。通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证）配置在防火墙上。也可对网络存取和访问进行监控审计。如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并做出日志记录，同时，也能提供网络使用情况的统计数据。当有网络入侵或攻击时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。再次，利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而降低了局部重点或敏感网络安全问题对全局网络造成的影响，防止内部信息的外泄。
3.数据加密与用户授权访问控制技术
与防火墙相比，数据加密与用户授权访问控制技术比较灵活，更加适用于开放的网络。用户授权访问控制主要用于对静态信息的保护，需要系统级别的支持，一般在操作系统中实现。数据加密包括传输过程中的数据加密和存储数据加密，对于传输加密，一般有硬件加密和软件加密两种方法实现。网络中的数据加密，要选择加密算法和密钥，可以将这些加密算法分为对称密钥算法和公钥密钥算法两种。对称密钥算法中，收发双方使用相同的密钥。比较著名的对称密钥算法有：美国的DES、欧洲的IDEA等。
4.应用入侵检测技术
入侵检测系统是从多种计算机系统及网络系统中收集信息，再通过这些信息分析入侵特征的网络安全系统。入侵检测系统的功能包括：监控和分析系统、用户的行为；评估系统文件与数据文件的完整性，检查系统漏洞；对系统的异常行为进行分析和识别，及时向网络管理人员报警；跟踪管理操作系统，识别无授仅用户活动。具体应用就是指对那些面向系统资源和网络资源的未经授权的行为进行识别和响应。入侵检测通过监控系统的使用情况，来检测系统用户的越权使用以及系统外部的人侵者利用系统的安全缺陷对系统进行入侵的企图。目前主要有两类入侵检测系统基于主机的和基于网络的。前者检查某台主机系统日志中记录的未经授权的可疑行为，并及时做出响应。后者是在连接过程中监视特定网段的数据流，查找每一数据包内隐藏的恶意入侵，并对发现的人侵做出及时的响应。
5.规范安全管理行为
第二，计算机网网络安全管理技术问题。目前计算机网络安全管理存在一些技术上的盲点以及漏洞，使得很多不法分子有威胁网络安全的切入点，主要包括病毒的入侵、木马程序的潜伏、不正当手段介入网络、高频率信息的干扰等。
第三，外力侵害。我国很多的网吧、机房不具备抵御外界侵害的能力，主要外界侵害包括自然的灾祸以及周围环境侵害等，自然的灾祸指的是自然的灾祸，如雷电、洪涝灾害、火灾、电磁泄露等；周围环境侵害包括断电引起数据、设备损害问题和噪音问题导致的数据高误码率等。第四，用户意识不高。很多用户在进行计算机网络使用的时候，没有足够的网络安全意识，对于密码、权限、口令等私密的东西没有保护好，随意泄露，或者没有及时修补一些网络漏洞和补丁，黑客可以找到攻击点。除此以外，还存在网络安全技术人员素质不足、监管不到位等问题
改进计算机网网络安全管理对策
针对目前存在的计算机网网络安全管理问题，提出了以下对策。
第一，为了改进计算机网网络安全管理，要加强用户网络安全管理意识。对于密码、权限、口令等比较隐私的东西，用户要保护好，不要随意泄露，对于网络漏洞和补丁，要做到及时修补，不要给有心人有机可乘的机会，进行数据备份，防止突发意外事故发生之后，数据的丢失，保持数据完整性，做到能够及时恢复系统，减少延误损失；
第二，为了改进计算机网网络安全管理，要加强自然等各种外力侵害的防范。在网吧以及机房等公共场所，首先要安装空调，控制室内温度以及湿度，防止温度以及湿度过高，造成网络瘫痪。其次要装好相应的防止雷击的措施，多进行建筑检测，尤其注重电源、网络传输线等的防范措施，最后是防火措施要做好。各种装修材料有可能的话，尽量选择防火的，保持室内通风，放置好防火器等设施；
第三，为了改进计算机网网络安全管理，要加强计算机网网络安全管理技术问题的研究，管理人员要及时更新病毒数据库，强化对病毒的检测以及清除，加强防火墙的建设，发挥防火墙的作用，做到限制服务访问、防止无权限的外部网的入侵、统计相应的网络流量并进行适时限流等，进行网络入侵检测，一旦发生这些情况要及时的制止。要加强检测、扫描以及评估漏洞，减小安全隐患；
第四，为了改进计算机网网络安全管理，要加强对网络安全管理制度的建立和完善。要完善已有的计算机网网络安全管理制度，对一些过于形式化的网络安全管理制度，要缩小范围，提出其操作的细则，对其中有不适应现展的规则进行修正以及改善，使其更能与当代网络发展相适应，对于没有及时建立的法律以及法规，要及时建立，并在实践中不断改进以及发展；
当今许多的企业都广泛的使用信息技术，特别是网络技术的应用越来越多，而宽带接入已经成为企业内部计算机网络接入国际互联网的主要方式。而与此同时，因为计算机网络特有的开放性，企业的网络安全问题也随之而来，由于安全问题给企业造成了相当大的损失。因此，预防和检测网络设计的安全问题和来自国际互联网的黑客攻击以及病毒入侵成为网络管理员一个重要课题。
一、网络安全问题
在实际应用过程中，遇到了不少网络安全方面的问题。网络安全是一个十分复杂的问题，它的划分大体上可以分为内网和外网。如下表所示：
由上表可以看出，外部网的安全问题主要集中在入侵方面，主要的体现在：未授权的访问，破坏数据的完整性，拒绝服务攻击和利用网络、网页浏览和电子邮件夹带传播病毒。但是网络安全不仅要防范外部网，同时更防范内部网。因为内部网安全措施对网络安全的意义更大。据调查，在已知的网络安全事件中,约70%的攻击是来自内部网。内部网的安全问题主要体现在：物理层的安全，资源共享的访问控制策略，网内病毒侵害，合法用户非授权访问，假冒合法用户非法授权访问和数据灾难性破坏。
二、安全管理措施
综合以上对于网络安全问题的初步认识，有线中心采取如下的措施：
（一）针对与外网的一些安全问题
对于外网造成的安全问题，使用防火墙技术来实现二者的隔离和访问控制。
防火墙是实现网络安全最基本、最经济、最有效的措施之一。防火墙可以对所有的访问进行严格控制（允许、禁止、报警）。
防火墙可以监视、控制和更改在内部和外部网络之间流动的网络通信；用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，从而保护内部网络操作环境。所以，安装防火墙对于网络安全来说具有很多优点：（1）集中的网络安全；（2）可作为中心“扼制点”；（3）产生安全报警；（4）监视并记录Internet的使用；（5）NAT的位置；（6）WWW和FTP服务器的理想位置。
但防火墙不可能完全防止有些新的攻击或那些不经过防火墙的其它攻击。为此，中心选用了RealSecureSystemAgent和NetworkEngine。其中，RealSecureSystemAgent是一种基于主机的实时入侵检测产品，一旦发现对主机的入侵，RealSecure可以中断用户进程和挂起用户账号来阻止进一步入侵，同时它还会发出警报、记录事件等以及执行用户自定义动作。RealSecureSystemAgent还具有伪装功能，可以将服务器不开放的端口进行伪装，进一步迷惑可能的入侵者，提高系统的防护时间。Re?鄄alSecureNetworkEngin是基于网络的实时入侵检测产品，在网络中分析可疑的数据而不会影响数据在网络上的传输。网络入侵检测RealSecureNetworkEngine在检测到网络入侵后，除了可以及时切断攻击行为之外，还可以动态地调整防火墙的防护策略，使得防火墙成为一个动态的、智能的防护体系。
通过部署入侵检测系统，我们实现了以下功能：
对于WWW服务器，配置主页的自动恢复功能，即如果WWW服务器被攻破、主页被纂改，系统能够自动识别并把它恢复至事先设定的页面。
入侵检测系统与防火墙进行“互动”，即当入侵检测系统检测到网络攻击后，通知防火墙，由防火墙对攻击进行阻断。
（二）针对网络物理层的稳定
网络物理层的稳定主要包括设备的电源保护，抗电磁干扰和防雷击。
本中心采用二路供电的措施，并且在配电箱后面接上稳压器和不间断电源。所有的网络设备都放在机箱中，所有的机箱都必须有接地的设计，在机房安装的时候必须按照接地的规定做工程；对于供电设备，也必须做好接地的工作。这样就可以防止静电对设备的破坏，保证了网内硬件的安全。
（三）针对病毒感染的问题
病毒程序可以通过电子邮件、使用盗版光盘等传播途径潜入内部网。网络中一旦有一台主机受病毒感染，则病毒程序就完全可能在极短的时间内迅速扩散，传播到网络上的所有主机，可能造成信息泄漏、文件丢失、机器死机等不安全因素。防病毒解决方案体系结构中用于降低或消除恶意代码；广告软件和间谍软件带来的风险的相关技术。中心使用企业网络版杀毒软件，（例如：SymantecAntivirus等）并控制写入服务器的客户端，网管可以随时升级并杀毒，保证写入数据的安全性，服务器的安全性，以及在客户端安装由奇虎安全卫士之类来防止广告软件和间谍软件。
（四）针对应用系统的安全
应用系统的安全主要面对的是服务器的安全，对于服务器来说，安全的配置是首要的。对于本中心来说主要需要2个方面的配置：服务器的操作系统（Windows2003）的安
全配置和数据库（SQLServer2000）的安全配置。1．操作系统（Windows2003）的安全配置
（1）系统升级、打操作系统补丁，尤其是IIS6.0补丁。
（2）禁止默认共享。
（3）打开管理工具-本地安全策略，在本地策略-安全选项中，开启不显示上次的登录用户名。
（4）禁用TCP/IP上的NetBIOS。
（5）停掉Guest帐号，并给guest加一个异常复杂的密码。
（6）关闭不必要的端口。
（7）启用WIN2003的自身带的网络防火墙，并进行端口的改变。
（8）打开审核策略，这个也非常重要，必须开启。
2．数据库（SQLServer2000）的安全配置
（1）安装完SQLServer2000数据库上微软网站打最新的SP4补丁。
（2）使用安全的密码策略
。设置复杂的sa密码。
（3）在IPSec过滤拒绝掉1434端口的UDP通讯，可以尽可能地隐藏你的SQLServer。
（4）使用操作系统自己的IPSec可以实现IP数据包的安全性。
（五）管理员的工具
除了以上的一些安全措施以外，作为网络管理员还要准备一些针对网络监控的管理工具，通过这些工具来加强对网络安全的管理。
Ping、Ipconfig/winipcfg、Netstat：
Ping，TCP/IP协议的探测工具。
Ipconfig/winipcfg，查看和修改网络中的TCP/IP协议的有关配置，
Netstat，利用该工具可以显示有关统计信息和当前TCP/IP网络连接的情况，用户或网络管理人员可以得到非常详尽的统计结果。
SolarWindsEngineer''''sEditionToolset
另外本中心还采用SolarWindsEngineer''''sEditionToolset。它的用途十分广泛，涵盖了从简单、变化的ping监控器及子网计算器（Subnetcalculators）到更为复杂的性能监控器何地址管理功能。”
SolarWindsEngineer''''sEditionToolset的介绍：
SolarWindsEngineer’sEdition是一套非常全面的网络工具库，包括了网络恢复、错误监控、性能监控和管理工具等等。除了包含ProfessionalPLUSEdition中所有的工具外，Engineer’sEdition还增加了新的SwitchPortMapper工具，它可以在您的switch上自动执行Layer2和Layer3恢复。工程师版包含了SolarwindsMIB浏览器和网络性能监控器（NetworkPerformanceMonitor），以及其他附加网络管理工具。
SnifferPro能够了解本机网络的使用情况，它使用流量显示和图表绘制功能在众多网管软件中最为强大最为灵活；它能在于混杂模式下的监听，也就是说它可以监听到来自于其他计算机发往另外计算机的数据，当然很多混杂模式下的监听是以一定的设置为基础的，只有了解了对本机流量的监听设置才能够进行高级混杂模式监听。
除了上面说的五个措施以外，还有不少其他的措施加强了安全问题的管理：
制订相应的机房管理制度；
制订相应的软件管理制度；
制订严格的操作管理规程；
常永亮
(飞行试验研究院测试所陕西西安710089)
【摘要】Internet是一种开放和标准的面向所有用户的技术，其资源通过网络共享，因此，资源共享和信息安全就成了一对矛盾。
【关键词】网络攻击、安全预防、风险分析、网络安全
1.引言
随着网络的迅速发展，网络的安全性显得非常重要，这是因为怀有恶意的攻击者窃取、修改网络上传输的信息，通过网络非法进入远程主机，获取储存在主机上的机密信息，或占用网络资源，阻止其他用户使用等。然而，网络作为开放的信息系统必然存在众多潜在的安全隐患，因此，网络安全技术作为一个独特的领域越来越受到全球网络建设者的关注。
一般来说，计算机系统本身的脆弱性和通信设施的脆弱性再加上网际协议的漏洞共同构成了网络的潜在威胁。随着无线互联网越来越普及的应用，互联网的安全性又很难在无线网上实施，因此，特别在构建内部网时，若忽略了无线设备的安全性则是一种重大失误。
2.网络攻击及其防护技术
计算机网络安全是指计算机、网络系统的硬件、软件以及系统中的数据受到保护，不因偶然或恶意的原因遭到破坏、泄露，能确保网络连续可靠的运行。网络安全其实就是网络上的信息存储和传输安全。
网络的安全主要来自黑客和病毒攻击，各类攻击给网络造成的损失已越来越大了，有的损失对一些企业已是致命的，侥幸心里已经被提高防御取代，下面就攻击和防御作简要介绍。
2.1常见的攻击有以下几类：
2.1.1入侵系统攻击
此类攻击如果成功，将使你的系统上的资源被对方一览无遗，对方可以直接控制你的机器。
2.1.2缓冲区溢出攻击
程序员在编程时会用到一些不进行有效位检查的函数，可能导致黑客利用自编写程序来进一步打开安全豁口然后将该代码缀在缓冲区有效载荷末尾，这样当发生缓冲区溢出时，从而破坏程序的堆栈，使程序转而执行其它的指令，如果这些指令是放在有root权限的内存中，那么一旦这些指令得到了运行，黑客就以root权限控制了系统，这样系统的控制权就会被夺取，此类攻击在LINUX系统常发生。在Windows系统下用户权限本身设定不严谨，因此应比在LINUX系统下更易实现。
2.1.3欺骗类攻击
网络协议本身的一些缺陷可以被利用，使黑客可以对网络进行攻击，主要方式有：IP欺骗；ARP欺骗；DNS欺骗；Web欺骗；电子邮件欺骗；源路由欺骗；地址欺骗等。
2.1.4拒绝服务攻击
通过网络，也可使正在使用的计算机出现无响应、死机的现象，这就是拒绝服务攻击，简称DoS（DenialofService）。
分布式拒绝服务攻击采用了一种比较特别的体系结构，从许多分布的主机同时攻击一个目标，从而导致目标瘫痪，简称DDoS（DistributedDenialofService）。
2.1.5对防火墙的攻击
防火墙也是由软件和硬件组成的，在设计和实现上都不可避免地存在着缺陷，对防火墙的攻击方法也是多种多样的，如探测攻击技术、认证的攻击技术等。
2.1.6利用病毒攻击
病毒是黑客实施网络攻击的有效手段之一，它具有传染性、隐蔽性、寄生性、繁殖性、潜伏性、针对性、衍生性、不可预见性和破坏性等特性，而且在网络中其危害更加可怕，目前可通过网络进行传播的病毒已有数万种，可通过注入技术进行破坏和攻击。
2.1.7木马程序攻击
特洛伊木马是一种直接由一个黑客，或是通过一个不令人起疑的用户秘密安装到目标系统的程序。一旦安装成功并取得管理员权限，安装此程序的人就可以直接远程控制目标系统。
2.1.8网络侦听
网络侦听为主机工作模式，主机能接受到本网段在同一条物理通道上传输的所有信息。只要使用网络监听工具，就可以轻易地截取所在网段的所有用户口令和帐号等有用的信息资料。
等等。现在的网络攻击手段可以说日新月异，随着计算机网络的发展，其开放性、共享性、互连程度扩大，网络的重要性和对社会的影响也越来越大。计算机和网络安全技术正变得越来越先进，操作系统对本身漏洞的更新补救越来越及时。现在企业更加注意企业内部网的安全，个人越来越注意自己计算机的安全。可以说：只要有计算机和网络的地方肯定是把网络安全放到第一位。
网络有其脆弱性，并会受到一些威胁。因而建立一个系统时进行风险分析就显得尤为重要了。风险分析的目的是通过合理的步骤，以防止所有对网络安全构成威胁的事件发生。因此，严密的网络安全风险分析是可靠和有效的安全防护措施制定的必要前提。网络风险分析在系统可行性分析阶段就应进行了。因为在这阶段实现安全控制要远比在网络系统运行后采取同样的控制要节约的多。即使认为当前的网络系统分析建立的十分完善，在建立安全防护时，风险分析还是会发现一些潜在的安全问题，从整体性、协同性方面构建一个信息安全的网络环境。可以说网络的安全问题是组织管理和决策。
2.2防御措施主要有以下几种
2.2.1防火墙
防火墙是建立在被保护网络与不可信网络之间的一道安全屏障，用于保护企业内部网络和资源。它在内部和外部两个网络之间建立一个安全控制点，对进、出内部网络的服务和访问进行控制和审计。
2.2.2虚拟专用网
虚拟专用网（VPN）的实现技术和方式有很多，但是所有的VPN产品都应该保证通过公用网络平台传输数据的专用性和安全性。如在非面向连接的公用IP网络上建立一个隧道，利用加密技术对经过隧道传输的数据进行加密，以保证数据的私有性和安全性。此外，还需要防止非法用户对网络资源或私有信息的访问。
2.2.3虚拟局域网
选择虚拟局域网(VLAN)技术可从链路层实施网络安全。VLAN是指在交换局域网的基础上，采用网络管理软件构建的可跨越不同网段、不同网络的端到端的逻辑网络。一个VLAN组成一个逻辑子网，即一个逻辑广播域，它可以覆盖多个网络设备，允许处于不同地理位置的网络用户加入到一个逻辑子网中。该技术能有效地控制网络流量、防止广播风暴，还可利用MAC层的数据包过滤技术，对安全性要求高的VLAN端口实施MAC帧过滤。而且，即使黑客攻破某一虚拟子网，也无法得到整个网络的信息，但VLAN技术的局限在新的VLAN机制较好的解决了，这一新的VLAN就是专用虚拟局域网（PVLAN）技术。
2.2.4漏洞检测
漏洞检测就是对重要计算机系统或网络系统进行检查，发现其中存在的薄弱环节和所具有的攻击性特征。通常采用两种策略，即被动式策略和主动式策略。被动式策略基于主机检测，对系统中不合适的设置、口令以及其他同安全规则相背的对象进行检查；主动式策略基于网络检测，通过执行一些脚本文件对系统进行攻击，并记录它的反应，从而发现其中的漏洞。漏洞检测的结果实际上就是系统安全性的一个评估，它指出了哪些攻击是可能的，因此成为安全方案的一个重要组成部分。漏洞检测系统是防火墙的延伸，并能有效地结合其他网络安全产品的性能，保证计算机系统或网络系统的安全性和可靠性。
2.2.5入侵检测
入侵检测系统将网络上传输的数据实时捕获下来，检查是否有黑客入侵或可疑活动的发生，一旦发现有黑客入侵或可疑活动的发生，系统将做出实时报警响应。
2.2.6密码保护
加密措施是保护信息的最后防线，被公认为是保护信息传输唯一实用的方法。无论是对等还是不对等加密都是为了确保信息的真实和不被盗取应用，但随着计算机性能的飞速发展，破解部分公开算法的加密方法已变得越来越可能。因此，现在对加密算法的保密越来越重要，几个加密方法的协同应用会使信息保密性大大加强。
2.2.7安全策略
安全策略可以认为是一系列政策的集合，用来规范对组织资源的管理、保护以及分配，已达到最终安全的目的。安全策略的制定需要基于一些安全模型。
2.2.8网络管理员
网络管理员在防御网络攻击方面也是非常重要的，虽然在构建系统时一些防御措施已经通过各种测试，但上面无论哪一条防御措施都有其局限性，只有高素质的网络管理员和整个网络安全系统协同防御，才能起到最好的效果。
以上大概讲了几个网络安全的策略，网络安全基本要素是保密性、完整性和可用，但网络的安全威胁与网络的安全防护措施是交互出现的。不适当的网络安全防护，不仅可能不能减少网络的安全风险，浪费大量的资金，而且可能招致更大的安全威胁。一个好的安全网络应该是由主机系统、应用和服务、路由、网络、网络管理及管理制度等诸多因数决定的，但所有的防御措施对信息安全管理者提出了挑战，他们必须分析采用哪种产品能够适应长期的网络安全策略的要求，而且必须清楚何种策略能够保证网络具有足够的健壮性、互操作性并且能够容易地对其升级。
随着信息系统工程开发量越来越大，致使系统漏洞也成正比的增加，受到攻击的次数也在增多。相对滞后的补救次数和成本也在增加，黑客与反黑客的斗争已经成为一场没有结果的斗争。
3.结论
网络安全的管理与分析现已被提到前所未有的高度，现在IPv6已开始应用，它设计的时候充分研究了以前IPv4的各种问题，在安全性上得到了大大的提高，但并不是不存在安全问题了。在WindowsVista的开发过程中，安全被提到了一个前所未有的重视高度，但微软相关负责人还是表示，＂即使再安全的操作系统，安全问题也会一直存在＂。
总之，网络安全是一个综合性的课题，涉及技术、管理、使用等许多方面，既包括信息系统本身的安全问题，也有物理的和逻辑的技术措施，一种技术只能解决一方面的问题，而不是万能的。因此只有完备的系统开发过程、严密的网络安全风险分析、严谨的系统测试、综合的防御技术实施、严格的保密政策、明晰的安全策略以及高素质的网络管理人才等各方面的综合应用才能完好、实时地保证信息的完整性和正确性，为网络提供强大的安全服务——这也是网络安全领域的迫切需要。
参考文献
随着社会的不断进步发展，我国的电力企业在新的阶段取得了瞩目的成就，国家的有关部门以及各级的电力企业对电力信息网络安全问题有着很高的重视度，故此在2002年国家经贸委制定了相关的电网和电厂计算机监控系统及调度数据网络安全防护规定。次年，将国家电力信息网络安全运行归入到电力安全生产的管理范畴，并将其纳入电力安全生产的体系。在网络的安全技术措施方面，电力信息部门在国家信息安全防护框架下，在2002年开始了电力系统信息安全示范工程，针对电力信息网络安全系统的建设已经是近些年的电力企业信息网络化建设的重点内容，诸多的电力企业在网络身份认证以及防病毒、攻击方面得到了加强，各电力单位也有了不同等级以及种类的信息网络安全体系。
1.2电力信息网络安全当前面临的风险分析
在电力信息网络安全所面临的安全风险可分为网络设备风险以及网络中信息风险两个层面。在电力信息网络安全并非是单点安全，它所指的是在整个电力企业的信息网络整体安全，这就涵盖着管理以及技术两方面。在电力信息网络安全的物理安全风险方面主要就是信息网络服务系统中的设备以及服务器和用户端计算机等这些设备，在物理安全风险方面主要有火灾以及雷电等，这些风险会使得电力信息网络突然中断或者系统发生瘫痪等。在网络安全风险方面主要有电力实时系统安全风险以及网络体系结构安全风险和网络通信协议安全风险。在电力信息网络安全系统的安全风险主要就是操作系统安全风险和数据库安全风险以及病毒危害风险、黑客入侵风险。应用安全风险方面就是身份认证和授权控制安全风险，信息传输完整性风险，信息传输机密性以及不可抵赖性风险。在管理上的安全风险主要就是责权不明以及管理的混乱，安全管理制度的不完善和操作性不强，网络管理员自身方面存在的问题以及缺乏对网络可控性和可审查性。
2当前我国电力信息网络安全现状及应对策略探究
2.1当前我国电力信息网络安全现状分析
从当前我国的电力信息网络安全现状情况来看，还存在着诸多的问题有待进一步的解决，首先就是电力企业的员工在信息网络安全意识方面还有待加强，最为突出的就是用户的安全意识有待加强，系统登陆口令比较的简单，有的甚至是将账号以及密码借给他人使用，对电力信息资源的共享以及管理不理性，这些方面对信息网络安全都有着比较大的威胁。另外，就是电力企业员工多网络长时间的占用，从而大量的消耗了网络资源，从而给电力信息网络安全的通信增加了负担，这对电力系统内部的网络通信效率有了很大的影响，有的由于对网页的浏览以及使用了优盘致使一些网络病毒在信息网络中大肆的传播，从而给电力信息网络安全带来了很大的威胁。再者就是缺乏统一的信息安全管理的规范，由于种种因素使得电力信息网络安全的管理规范还没有得到统一完善的建立。还有就是在和电力行业特点相适应的信息网络安全体系方面的建设还没有完善，在电力系统当中的信息网络已经渗透到了诸多的领域，在管理以及经营和生产等方面的应用已经是愈来愈多，但实际的安全技术和策略等应对措施比较的缺乏。还有就是信息网络硬件系统不牢固，这是比较普遍的问题，虽然互联网的硬件系统已经在安全性和稳定性方面都具备，但依然在一些方面还存在着脆弱性，硬件故障对信息的传输会造成不安全的威胁以及信息失真。
2.2针对我国电力信息网络安全现状的应对策略
在对电力信息网络安全的相关问题采取防范措施时，要能够从实际出发，首先要对电力企业人员在信息安全网络的意识上得到加强，对员工在信息网络的安全教育和培训方面进行强化，要能够让电力企业的员工通过教育培训对电力信息网络安全的重要性有充分的认识，要能够对相关的要求规定严格的遵守。另外，就是要创建电力信息网络安全体系的防护骨架，要能够将其和电力工业特色、企业电脑信息技术的实际得到有机的结合，从而来创建电力新提案权体系的防护骨架，还要能够根据信息业务的功能，把电力信息系统分成不同的层面，也就是信息网络安全自动化系统以及生产管理系统和电力信息管理系统，这样能够循序渐进有规律的对实际问题加以解决。再者就是对安全管理的强化，首先在网络的设备安全管理方面，网络设备的安全管理要能够将分区防御以及双网双机得以实现，进而再建立多层防御以及登记防御的体系，对信息网络的数据要做好检测和控制工作，并要能够对网络的访问加以严格控制，要进行实施入侵防护措施，在网络的访问权限进行设置。对网络的性能要进行及时的检测，从而使得网络的安全运行得以保证，在电力信息的传输过程中要进行加密处理，要保证信息的保密性，针对敏感性的数据信息要设置复杂的保密方式，防止非法的侦听和盗取信息数据。另外还可以通过防火墙的隔离措施进行对非法网络入侵问题进行防范，安装入侵检测系统以及服务器核心防护系统，对网络的安全性进行实时的监控，这样能够使得电力企业信息网络安全事故得以较低。为能够有效的将电力企业的生产控制区安全得以保障，通过在生产控制区以及外部网络汇接点上架设网络隔离设备，能够将生产控制区的安全得以有效的保障，网络隔离设备能够在不影响电力系统的状况下，把生产控制系统的数据单向发到与之相连的MIS网络或者是其它的业务系统当中，能够将一些网络入侵以及病毒的攻击等得以有效的隔离，这样就对电力企业的生产控制系统的安全运营有了保障。最后在信道安全方面进行采取相关的手段也能够对电力信息网络的安全起到保护作用，在跨广域网的安全措施方面可通过MPLSVPN将多种业务进行隔离，这样能够保证各种业务间的安全性和独立性，为能够使得各电力部门的网络正常的运行，将MPLS进行引入是最佳的解决方案，这样能够实现电力调度等生产控制业务在跨广域网时的安全防护。
随着计算机网络技术的飞速发展,尤其是互联网的应用变得越来越广泛,在带来了前所未有的海量信息的同时,网络的开放性和自由性也产生了私有信息和数据被破坏或侵犯的可能性,网络信息的安全性变得日益重要起来,已被信息社会的各个领域所重视。
计算机网络安全从技术上来说,主要由防病毒、防火墙等多个安全组件组成,一个单独的组件无法确保网络信息的安全性。目前广泛运用和比较成熟的网络安全技术主要有:防火墙技术、数据加密技术、PKI技术等,以下就此几项技术分别进行分析。
一、防火墙技术
防火墙是指一个由软件或和硬件设备组合而成,处于企业或网络群体计算机与外界通道之间,限制外界用户对内部网络访问及管理内部用户访问外界网络的权限。防火墙是网络安全的屏障,配置防火墙是实现网络安全最基本、最经济、最有效的安全措施之一。当一个网络接上Internet之后,系统的安全除了考虑计算机病毒、系统的健壮性之外,更主要的是防止非法用户的入侵,而目前防止的措施主要是靠防火墙技术完成。防火墙能极大地提高一个内部网络的安全性,并通过过滤不安全的服务而降低风险。通过以防火墙为中心的安全方案配置,能将所有安全软件配置在防火墙上。其次对网络存取和访问进行监控审计。如果所有的访问都经过防火墙,那么,防火墙就能记录下这些访问并做出日志记录,同时也能提供网络使用情况的统计数据。当发生可疑动作时,防火墙能进行适当的报警,并提供网络是否受到监测和攻击的详细信息。再次防止内部信息的外泄。利用防火墙对内部网络的划分,可实现内部网重点网段的隔离,从而降低了局部重点或敏感网络安全问题对全局网络造成的影响。
二、数据加密技术
与防火墙相比,数据加密技术比较灵活,更加适用于开放的网络。数据加密主要用于对动态信息的保护,对动态数据的攻击分为主动攻击和被动攻击。对于主动攻击,虽无法避免,但却可以有效地检测;而对于被动攻击,虽无法检测,但却可以避免,实现这一切的基础就是数据加密。数据加密技术分为两类:即对称加密和非对称加密。
1.对称加密技术
对称加密是常规的以口令为基础的技术,加密密钥与解密密钥是相同的,或者可以由其中一个推知另一个,这种加密方法可简化加密处理过程,信息交换双方都不必彼此研究和交换专用的加密算法。如果在交换阶段私有密钥未曾泄露,那么机密性和报文完整性就可以得以保证。目前,广为采用的一种对称加密方式是数据加密标准DES,DES的成功应用是在银行业中的电子资金转账(EFT)领域中。
2.非对称加密/公开密钥加密
在非对称加密体系中,密钥被分解为一对(即公开密钥和私有密钥)。这对密钥中任何一把都可以作为公开密钥通过非保密方式向他人公开,而另一把作为私有密钥加以保存。公开密钥用于加密,私有密钥用于解密,私有密钥只能有生成密钥的交换方掌握,公开密钥可广泛公布,但它只对应于生成密钥的交换方。非对称加密方式可以使通信双方无须事先交换密钥就可以建立安全通信,广泛应用于身份认证、数字签名等信息交换领域。
三、PKI技术
PKI(PublieKeyInfrastucture)技术就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术是信息安全技术的核心,也是电子商务的关键和基础技术。由于通过网络进行的电子商务、电子政务、电子事务等活动缺少物理接触,因此使得用电子方式验证信任关系变得至关重要。而PKI技术恰好是一种适合电子商务、电子政务、电子事务的密码技术,他能够有效地解决电子商务应用中的机密性、真实性、完整性、不可否认性和存取控制等安全问题。一个实用的PKI体系应该是安全的易用的、灵活的和经济的。它必须充分考虑互操作性和可扩展性。
1.认证机构
CA(CertificationAuthorty)就是这样一个确保信任度的权威实体,它的主要职责是颁发证书、验证用户身份的真实性。由CA签发的网络用户电子身份证明—证书,任何相信该CA的人,按照第三方信任原则,也都应当相信持有证明的该用户。CA也要采取一系列相应的措施来防止电子证书被伪造或篡改。
2.注册机构
RA(RegistrationAuthorty)是用户和CA的接口,它所获得的用户标识的准确性是CA颁发证书的基础。RA不仅要支持面对面的登记,也必须支持远程登记。要确保整个PKI系统的安全、灵活,就必须设计和实现网络化、安全的且易于操作的RA系统。
3.密钥备份和恢复
为了保证数据的安全性,应定期更新密钥和恢复意外损坏的密钥是非常重要的,设计和实现健全的密钥管理方案,保证安全的密钥备份、更新、恢复,也是关系到整个PKI系统强健性、安全性、可用性的重要因素。
4.证书管理与撤消系统
证书是用来绑定证书持有者身份和其相应公钥的。通常,这种绑定在已颁发证书的整个生命周期里是有效的。但是,有时也会出现一个已颁发证书不再有效的情况,这就需要进行证书撤消。证书撤消的理由是各种各样的,可能包括工作变动到对密钥怀疑等一系列原因。证书撤消系统的实现是利用周期性的机制撤消证书或采用在线查询机制,随时查询被撤消的证书。
四、结束语
网络安全是一个综合性的课题,涉及技术、管理、使用等许多方面,既包括信息系统本身的安全问题,也有物理的和逻辑的技术措施,一种技术只能解决一方面的问题,而不是万能的。因此只有严格的保密政策、明晰的安全策略才能完好、实时地保证信息的完整性和确证性,为网络提供强大的安全服务。
数据安全和隐私数据是用户考虑是否采用云计算模式的一个重要因素。安全保护框架方面，最常见的数据安全保护体系是DSLC(DataSecurityLifeCycle)，通过为数据安全生命周期建立安全保护体制，确保数据在创建、存储、使用、共享、归档和销毁等六个生命周期的安全。Roy等人提出了一种基于MapReduce平台的隐私保护系统Airavat，该平台通过强化访问控制和区分隐私技术，为处理关键数据提供安全和隐私保护。静态存储数据保护方面，Muntes-Mulero等人对K匿名、图匿名以及数据预处理等现有的隐理技术进行了讨论和总结，提出了一些可行的解决方案。动态存储数据保护方面，基于沙箱模型原理，采用Linux自带的chroot命令创建一个独立的软件系统的虚拟拷贝，保护进程不受到其他进程影响。
1.2虚拟化云安全技术
虚拟化技术是构建云计算环境的关键。在云网络中，终端用户包括潜在的攻击者都可以通过开放式的远程访问模式直接访问云服务，虚拟机系统作为云的基础设施平台自然成为这些攻击的主要目标。虚拟机安全管理方面：Garfinkel等人提出在Hypervisor和虚拟系统之间构建虚拟层，用以实现对虚拟机器的安全管理。访问控制方面：刘谦提出了Virt-BLP模型，这一模型实现了虚拟机间的强制访问控制，并满足了此场景下多级安全的需求。Revirt利用虚拟机监控器进行入侵分析，它能收集虚拟机的信息并将其记录在虚拟机监控器中，实时监控方面LKIM利用上下文检查来进行内核完整性检验。
1.3云安全用户认证与信任研究
云网络中存在云服务提供商对个人身份信息的介入管理、服务端无法解决身份认证的误判，以及合法的恶意用户对云的破坏等问题，身份认证机制在云网络下面临着诸多挑战。Bertino提出了基于隐私保护的多因素身份属性认证协议，采用零知识证明协议认证用户且不向认证者泄露用户的身份信息。陈亚睿等人用随机Petri网对用户行为认证进行建模分析，通过建立严格的终端用户的认证机制以及分析不同认证子集对认证效果的影响，降低了系统对不可信行为的漏报率。林闯、田立勤等针对用户行为可信进行了一系列深入的研究和分析，将用户行为的信任分解成三层，在此基础上进行用户行为信任的评估、利用贝叶斯网络对用户的行为信任进行预测、基于行为信任预测的博弈控制等。
1.4安全态势感知技术
自态势感知研究鼻祖Endsley最早提出将态势感知的信息出路过程划分为察觉、理解、预测三个阶段后，许多的研究学者和机构在此基础上开始进行网络安全台式感知，其中最著名的是TimBass提出的基于数据融合的入侵检测模型，一共分为六层，包括数据预处理、对象提取、状态提取、威胁提取、传感控制、认知和干预，全面的将安全信息的处理的阶段进行了归纳。网络安全态势感知框架模型方面：赵文涛等人针对大规模网络环境提出用IDS设备和系统状态监测设备代替网络安全态势感知中的传感器，用于收集网络安全信息，并从设备告警和日志信息中还原攻击手段和攻击路径，同时利用图论基础建立的认知模型。网络安全态势感知评估方面：陈秀真利用系统分解技术将网络系统分解为网络系统、主机、服务、脆弱点等四个层次，利用层次间的相关安全信息，建立层次化网络系统安全威胁态势评估模型，综合分析网络安全威胁态势。之后该架构做出了改进，量化了攻击所造成的风险，同时考虑了弱点评估和安全服务评估两种因素，加入了网络复杂度的影响因素，该框架更加体现网络安全态势真实情况。
2研究现状中存在的不足
以上这些研究对全面推动云安全技术的迅猛发展具有重要的作用。但是目前的研究，对几个领域还存在不足：（1）云网络中虚拟机间因关联而引起的安全威胁较为忽视；（2）云网络中可信计算与虚拟化的结合研究不足；（3）云网络环境下云/端动态博弈状态下安全方案和策略研究较少；（4）云网络下安全态势感知鲜有研究。我们须知云网络最大的安全问题在于不可信用户利用云平台强大的计算能力及其脆弱性发动极具破坏力的组合式或渗透式攻击，而这种攻击要比在局域网上的危害大得多，因此在这方面需要投入更多的关注，即：立足于某个特定的“云网络”系统，剖析不可信用户和网络自身脆弱性所带来的风险，时刻预测网络上的风险动向。要做到这一点，就要对云网络中终端用户的访问行为和云网络的服务行为进行实时观测，实时评估。
