时间：2023-06-27 09:38:16
序论：速发表网结合其深厚的文秘经验，特别为您筛选了11篇网络安全内网管理范文。如果您需要更多原创资料，欢迎随时与我们的客服老师联系，希望您能从中汲取灵感和知识！
中图分类号：TU714文献标识码： A 文章编号：
大企业集团的内部网络往往结构复杂、覆盖面大、节点众多，怎样才能做好系统的网络信息安全工作也就成为了各数据中心急需解决的问题。本文以某网络信息安全为例，简要论述了Internet 快速发展下内网系统的网络信息安全管理。
一、内部网系统计算机网络信息面临的安全威胁
1、网络边界的安全威胁
计算机网络边界包括：远程用户 VPN 隧道、Internet 链路、专用WAN链路、PSTN 拨号、电子商务网络、外部网连接。如果内部系统在此类区域没用一定安全防护，那么其网络系统就很可能会受到入侵者的攻击。比如通过 Sniffer 等嗅探程序探测扫描网络及操作系统安全漏洞，如应用操作系统类型、网络 IP 地址、开放哪些TCP端口号、系统保存的用户名和口令等安全信息文件，并针对不同的漏洞采取相应的攻击程序进行网络攻击。入侵者通过网络监听等获得内部网用户用户名、口令等假冒内部合法身份非法登录，窃取内网重要信息。又比如说恶意攻击，入侵者发送大量 PING 包对内网服务器进行攻击，造成服务器超负荷工作甚至是拒绝服务造成系统瘫痪。
2、内部网安全威胁
内网设备较为分散，而其中的用户水平也是参差不齐，不同的承载业务，迥异的安全需求，这些都造成了内网安全建设的多元化和复杂性；移动办公用户、远程拨号用户、VPN 用户、合作伙伴、分支机构、供应商、无线局域网等扩展了网络边界，这让边界保护更为困难；蠕虫病毒大肆泛滥、新病毒不断涌现，这些让内网用户受到损失，同时，网络在病毒、蠕虫攻击后，不能及时隔离、阻断；内网安全防范较为脆弱，抵御不了内外部的入侵和攻击，安全策略无法及时分发执行，造成安全策略形同虚设；内部网通过 Modem、非法主机接入、无线网卡非法外联等安全防范不到位，安全风险引入；缺乏内网用户行为监控，造成隐私和组织机密信息泄漏。
二、内部网系统网络信息安全管理的策略
1、密码技术
密码技术是通过信息的变换或编码，将机密的敏感消息变换成黑客难以读懂的乱码型文字，以此达到不让黑客截获任何有意义的信息且黑客不能伪造信息的目的。采用密码方法可以隐蔽和保护机要消息，使未授权者不能提取信息。目前对网络加密主要有三种方式：链路加密方式、节点对节点加密方式和端对端加密方式。一般网络安全系统主要采取第一种方式，即链路加密方式。
2、防火墙技术
防火墙是一种保护计算机网络安全的技术型措施，它可以是软件，也可以是硬件，或两者结合。它在两个网络之间执行访问控制策略系统，目的是保护网络不被他人侵扰。通常，防火墙位于内部网或不安全的网络（Internet）之间，它就像一道门槛，通过对内部网和外部网之间的数据流量进行分析、检测、筛选和过滤，控制进出两个方向的通信，以达到保护网络的目的，实质上是一种隔离控制的技术。通常，在单位内部网络和外部网络之间设置一个防火墙是防止非法入侵，确保单位内部网络安全有效的防范措施之一。防火墙系统决定了哪些内部服务可以被外界访问，外界的哪些人可以访问内部的哪些可以访问的服务，以及哪些外部服务可以被内部人员访问。要使一个防火墙必须只允许授权的数据通过，并且防火墙本身也必须能够免于渗透。
3、网络病毒防范技术
威胁计算机网络的病毒多种多样，既有单机上常见的计算机病毒，也有专门攻击计算机网络的网络型病毒。计算机网络一旦染上病毒，其影响要远比单机染毒更大，破坏性也更大。目前，在网络环境下，较为有效的防病毒方法是 Station Lock 方法。通常，防毒概念是建立在“病毒必须执行有限数量的程序后，才会产生感染”的基础之上。Station Lock 方法正是根据这一特点，辨别可能的病毒攻击意图，并在病毒未造成任何破坏之前进行拦截。对付网络病毒应该重点立足于服务器的防毒，其防毒表现形式为集中式扫毒，它能实现实时扫描，而且软件升级也方便。选用可靠的网络防病毒软件也是网络防毒的关键。
三、某内部网络信息安全管理设计和实现
根据以上对网络信息管理及安全策略研究，设计基于 Web 网络信息管理安全构架，此构架兼顾访问控制和安全监测两方面。为有效管理此类信息，利用 LDAP 目录服务来解决网络信息管理中冗余问题以满足查询需求。该系统主要由管理服务器、目录服务器、证书服务器和应用服务器 ( 可以多个 )组成。系统设计中遵循 PKI 规定，通过签发各种身份证书、角色证书和权限证书，实现层次化安全访问控制。管理服务器是一台支持 SSL 的 Web 服务器，它提供管理界面和证书申请表格，承担了访问控制的任务。用户通过管理服务器注册基本信息，管理服务器从目录服务器中查询访问控制策略 (ACP) 信息，把用户信息和相应的访问控制策略送到证书服务器，证书服务器根据这些信息颁发给用户相应角色的证书。管理服务器和证书服务器通过 LDAP 来访问目录服务器。系统采用基于角色的访问控制来实现安全访问控制。任何人的访问行为都要递交相应的证书，管理服务器验证用户的身份以及确定用户的访问权限，只有合法的用户才可以访问并进行相应的操作。
管理服务器同时承担着安全监测任务，它驱动相应的功能模块对关键数据文件生成 MD5 摘要，并定时进行摘要监测和比较。如发现应用服务器被攻击，先报警，并通知管理员将被攻击的应用服务器从网上隔离开，以防止入侵者进行更深入地破坏。如果是服务被破坏，则重新启动服务；如果是关键数据被破坏，则进行错误定位，并用备份数据恢复被破坏的文件。所有的处理过程和结果都要生成报告通知管理人员。网络信息管理系统的关键数据主要有：系统文件（口令文件、网络启动文件等）、网络信息服务的配置文件、关键业务信息等。
在构建网络安全实际技术中我们坚持：保护网络系统可靠性；保护网络资源合法使用性；防范入侵者恶意攻击与破坏；保护信息通过网上传输机密性、完整性及不可抵赖性；防范病毒侵害；实现网络安全管理。建立在对信息系统安全需求与环境客观分析、评估基础上，在系统应用性能及价格和安全保障需求之间确定“最佳平衡点”，让网络安全保障引入开销与它带来相当效益。在外部网络攻击主要来源地，即第一层网络出口处部署硬件防火墙，保证外部访问只到 Web、应用服务器层。第二层网络出口处部署 VPN、硬件防火墙来，利用 VPN 加密技术及安全认证机制，实现数据在网络传输真实性、机密性、完整性及可靠性，保证只有授权用户才可访问内部网络。此外，对来自第二、三、四层内部网络攻击，通过网络入侵检测系统（IDS）作防火墙补充，动态监视网络流过所有数据包，识别来自本网段内、其他网段及外部网络全部攻击，解决来自防火墙内由于用户误操作或内部人员恶意攻击所带来的安全威胁。为减少由于安全事故造成的损失，在系统设备及相关链路等物理安全保护方面采取必要数据库服务器冗余与备份、线路冗余备份、异地容灾等措施。
四、结论
信息安全是个综合性课题，涉及技术、立法、管理、使用等多方面，对网络信息安全保护有更高要求，也让网络信息安全学科地位更重要，网络信息安全在将来必然会随着网络应用不断发展。
1概述
医院内部无线网络（Hospital Internal Wireless Networks），既包括允许用户在医院内部范围内建立远距离无线连接的网络。
2009 年，国家新医改政策出台，其中信息系统首次成为我国医疗卫生体系建设的重要支撑。医院信息系统经过多年的发展，已经由以财务为核心的阶段过渡到以临床信息系统为核心的阶段，因此越来越多的医院开始应用无线网络，实施以患者为核心的无线医疗信息系统。随着无线网络技术的日趋成熟，医院内部无线网络在全球范围内医疗行业中的应用已经成为了一种趋势，在今后的医院应用中将会越来越广泛。通过无线医疗信息系统的应用，既拉近了与患者之间的距离，提高了医疗服务的效率和质量，也加强了医院的综合管理。
2医院内部无线网络的安全风险
随着医院对无线医疗信息系统应用的不断深入，医院对于内部无线网络的依赖程度也越来越深。医院内部无线网络作为原有医院内部有线网络的补充，扩展了有线网络的应用范围，但是也将相对封闭的医院内部有线局域网络环境转变成了相对开放式的网络环境。其安全性不仅影响到医院内部无线医疗信息系统的使用，同样也影响到与其相连的有线网络环境中应用的其他医院信息系统。因此医院内部无线网络的安全将直接影响到医院整体信息系统的安全。医院内部无线网络一旦被破坏，将会造成医院信息系统的数据被窃取、网络瘫痪、医疗业务被中断等等一系列严重的后果。由于医院医疗数据的敏感性，以及无线网络通过无线信号传输的特性，使得医院内部无线网络面临的安全风险越来越突出。
根据相关运行情况分析， 医院内部无线网络主要存在以下安全问题：①非法AP的接入：无线网络易于访问和配置简单的特性，使医院内部网络管理员和信息安全管理员非常头痛。因为任何人都可以通过自己购买的AP利用现有有线网络，绕过授权而连入医院内部网络。用户通过非法的AP接入手段，可能会给医院整体内部网络带来很大的安全隐患。②非授权用户的接入：非授权用户往往利用各类无线网络的攻击工具搜索并入侵，从而造成很严重的后果。非授权用户的入侵会造成网络流量被占用，导致网络速度大大变慢，降低网络带宽利用率；某些非授权用户会进行非法篡改，导致医院内部无线网络内的合法用户无法正常登陆；更有部分非授权用户会进行网络窃听和数据盗窃，对病人以及医院整体造成相当大的损失。③服务和性能的影响：医院内部无线网络的传输带宽是有限的，由于物理层的开销，无线网络的实际最高有效吞吐量仅为标准的50%。医院内部无线网络的带宽可以被几种方式吞噬，造成服务和性能的影响：如果攻击者从以太网发送大量的Ping流量，就会轻易地吞噬AP的带宽；如果发送广播流量，就会同时阻塞多个AP；传输较大的数据文件或者运行复杂的系统都会产生很大的网络流量负载。④地址欺骗和会话拦截：由于医院内部使用无线网络环境，攻击者可以通过地址欺骗帧去重定向数据流和使ARP表变得混乱。通过一些技术手段，攻击者可以获得站点的地址，这些地址可以被用来恶意攻击时使用。攻击者还可以通过截获会话，通过监测AP，然后装扮成AP进入，攻击者可以进一步获取认证身份信息从而进入网络。⑤数据安全问题：由于无线网络的信号是以开放的方式在空间中传送的，非法用户、黑客、恶意攻击者等会通过破解用户的无线网络的安全设置，冒充合法识别的身份进入无线网络进行非法操作，进行窃听和截取，从而达到不法操作或破坏信息的目的，从而给医院带来相对应的损失。
3医院内部无线网络的安全防护目标
早期的无线网络标准安全性并不完善，技术上存在一些安全漏洞。随着使用的推广，更多的专家参与了无线标准的制定，使其安全技术迅速成熟起来。具体地讲，为了有效保障无线网络的安全性，就必须实现以下几个安全目标：①提供接入控制：通过验证用户，授权接入特定的资源，同时拒绝为未经授权的用户提供接入。②确保连接的保密与完好：利用强有力的加密和校验技术，防止未经授权的用户窃听、插入或修改通过无线网络传输的数据。③防止拒绝服务攻击：确保不会有用户占用某个接入点的所有可用带宽，从而影响其他用户的正常接入。
4医院内部无线网络的安全防护技术
无线网络的安全技术这几年得到了快速的发展和应用，下面是目前业界常见的无线网络安全技术：
4.1服务区标识符（SSID）匹配 SSID（Service Set Identifier）将一个无线网络分为几个不同的子网络，每一个子网络都有其对应的身份标识（SSID），只有无线终端设置了配对的SSID才接入相应的子网络。所以可以认为SSID是一个简单的口令，提供了口令认证机制，实现了一定的安全性。
4.2无线网卡物理地址（MAC）过滤 每个无线工作站网卡都由唯一的物理地址（MAC）标识，该物理地址编码方式类似于以太网物理地址。网络管理员可在无线网络访问点AP中维护一组（不）允许通过AP访问网络地址列表，以实现基于物理地址的访问过滤。
4.3无线接入点（AP）隔离 AP（Access Point）隔离类似于有线网络的VLAN，将所有的无线客户端设备完全隔离，使之只能访问AP连接的固定网络。该方法多用于对酒店和机场等公共热点（Hot Spot）的架设，让接入的无线客户端保持隔离，提供安全的网络接入。
4.4有线等效保密（WEP、WEP2） WEP（Wired Equivalent Privacy），IEEE80211.b标准规定的一种被称为有线等效保密的可选加密方案，其目的是为无线网络提供与有线网络相同级别的安全保护。WEP是采用静态的有线等同保密密钥的基本安全方式。WEP2，是根据WEP的特性，为了提供更高的无线网络安全性技术而产生。该技术相比WEP算法，将WEP密钥的长度由40位加长到128位，初始化向量的长度由24位加长到128位。
4.5端口访问控制技术（IEEE802.1x）和可扩展认证协议（EAP） IEEE802.1x提出基于端口进行网络访问控制的安全性标准，利用物理层特性对连接到网络端口的设备进行身份认证。如果认证失败，则禁止该设备访问网络资源。
IEEE 802.1x引入了PPP协议定义的可扩展认证协议（EAP）。作为可扩展认证协议，EAP可以采用MD5，一次性口令，智能卡，公共密钥等等更多的认证机制，从而提供更高级别的安全。
4.6无线网络访问保护（WPA、WPA2） WPA（Wifi Protected Access），率先使用802.11i中的加密技术-TKIP （Temporal Key Integrity Protocol），这项技术可大幅解决802.11原先使用WEP所隐藏的安全问题。
WPA2是基于WPA的一种新的加密方式，向后兼容，支持更高级的AES加密，能够更好地解决无线网络的安全问题。
4.7高级的无线网络安全标准（IEEE 802.11i） IEEE 802.11i安全标准是为了增强无线网络的数据加密和认证性能，定义了RSN（Robust Security Network）的概念，并且针对WEP加密机制的各种缺陷做了多方面的改进。IEEE 802.11i规定使用802.1x认证和密钥管理方式，在数据加密方面，定义了TKIP、CCMP和WRAP三种加密机制，使得无线网络的安全程度大大提高。
5医院内部无线网络的安全实现
5.1合理放置无线设备 无线网络的信号是在空气中传播的，任一无线终端进入了设备信号的覆盖范围，都有可能连接到该无线网络。所以医院内部无线网络安全的第一步就是，合理规划AP的放置，掌控信号覆盖范围。在架设无线AP之前，必须选定一个合理的放置位置，以便能够限制信号在覆盖区以外的传输距离。最好放在需要覆盖的区域中心，尽量减少信号泄露到区域外。
5.2无线网络加密，建立用户认证 对于医院内部无线网络的进行加密，建立用户认证，设置相关登录用户名和密码，而且要定期进行变更，使非法用户不能登录到无线设备，修改相关参数。实际上对无线网络来说，加密更像是一种威慑。加密可细分为两种类型：数据保密业务和业务流保密业务。只有使用特定的无线网络加密方式，才会在降低方便性的情况下，提高安全性。
5.3 SSID设置 无线 AP 默认的设置会广播SSID，接入终端可以通过扫描获知附近存在哪些可用的无线网络，例如WINDOWS自带扫描功能，可以将能联系到的所有无线网络的 SSID 罗列出来。因此，设置AP不广播SSID，并将SSID的名字构造成一个不容易猜解的长字符串，同时设置SSID隐藏起来，接入端就不能通过系统自带的功能扫描到这个实际存在的无线网络，即便他知道有一个无线网络存在，但猜不出 SSID 全名也是无法接入到这个网络中去，以此保证医院内部无线网络的安全。
5.4 MAC地址过滤 MAC 地址过滤在有线网络安全措施中是一种常见的安全防范手段，因此其操作方法也和在有线网络中操作交换机的方式一致。通过无线控制器将指定的无线网卡的MAC 地址下发到各个AP中，或者直接存储在无线控制器中，或者在AP交换机端进行设置。
5.5 SSL VPN 进行数据加密和访问控制 由于在实际医疗活动中，为了满足诊断、科研及教学需要，必须经常大量采集、、利用各种医疗数据。由于原有医院网络的相对封闭性，绝大多数的应用系统采用的都是未经加密的数据包进行数据交换，但是医院内部无线网络是相对开放性的网络，入侵者通过对无线信号中数据包的侦听与解析，使得医疗信息泄漏成为了医院不得不面对的问题。SSL VPN 即指采用SSL 协议来实现远程接入的一种VPN技术。SSL VPN 基于浏览器的认证方式，能兼容医院主流的无线终端设备操作系统，如Windows、Android、IOS，而VPN 的方式又能保证医院信息系统的正常运行。SSL VPN在解决医院无线网络数据加密的同时，最大限度地保障了医院信息系统的投资。
5.6核心网络隔离 一旦攻击者进入无线网络，它将成为进一步入侵其他系统的起点。很多网络都有一套经过精心设置的安全设备作为网络的外壳，以防止非法攻击， 但是在外壳保护的网络内部确是非常的脆弱容易受到攻击的。无线网络可以通过简单配置就可快速地接入网络主干，但这样会使网络暴露在攻击者面前。所以必须将无线网络同易受攻击的核心网络进行一定的安全隔离保护，应将医院内部无线网络布置在核心网络防护外壳的外面， 如防火墙、网闸等安全设备的外面，接入访问核心网络采用SSL VPN等方式。
5.7入侵检测系统（IDS） IDS（Intrusion Detection Systems）入侵检测系统，不是只针对无线网络检测的系统，同样也适用于有线网络。入侵检测技术可以把无线网络的安全管理能力扩展到安全审计、安全检测、攻击识别和响应等范畴。这样不仅提高了网络的信息安全基础结构的完整性，而且帮助对付恶意用户对整体医院网络内其他用户的攻击。依照医院无线应用系统的安全策略，对网络及信息系统的运行状况进行监视，发现各种攻击企图、攻击行为及攻击结果，以保证网络系统资源的完整性、可用性和机密性。
5.8终端准入控制 终端准入控制主要为了在用户访问网络之前确保用户的身份信任关系。利用终端准入控制，医院能够减少对系统运作的部分干扰，因为它能够防止易损主机接入网络。在终端利用医院内部无线网络接入之前，首先要检查它是否符合制定的策略，可疑主机或有问题的主机将被隔离或限制接入。这样不但可以防止这些主机成为蠕虫和病毒攻击的目标，还可以防止这些主机成为传播病毒的源头，保证只有在满足终端准入控制策略的无线终端设备才能接入医院网络。
6结论
随着无线网络越来越受到普及，本文浅析了医院内部无线网络存在的几种安全隐患，并探讨了对应的几种防范策略。总的来说，世界上不存在绝对安全的网络，任何单一的安全技术都不能满足无线网络持续性的安全需求，只有增强安全防范意识，综合应用多种安全技术，根据不同的医院自身应用的特点，选择相应的安全防范措施，通过技术管理和使用方法上的不断改进，才能实现医院无线网络的安全运行。
参考文献：
[1]Zerone无线安全团队.无线网络黑客攻防[J].中国铁道出版社，2011（10）.
我局建立健全了电子政务内网领导体制和工作机制，制定了《公文网上交换工作制度》、《电子政务内网安全保密制度》、《县食品药品监管局电子政务内网管理制度》和《电子政务内网管理员职责》，明确由副局长专门分管电子政务内网工作，办公室主任负责电子政务内网日常管理工作，由责公文网上交换、信息维护和设备管理。
二、硬件管理及网络安全
2014年，我局一是严格安装党政网管中心的要求，电子政务内网实行专机专用，严格执行公文网上交换机与互联网等外部网络物理隔离、公文网上交换用户名和密码使用管理规定，严格维护网络的安全；二是配备了必要的安全防护设施并确定为管理人员，该同志熟悉内网管理，并认真参加相关培训。三是内网计算机上没有安装游戏或与工作无的程序，确保内网安全；四是认真做好电子政务内网终端设备的防病毒工作，配备隔离卡和防病毒软件，软件及时升级，及时给系统打补丁，及时更新病毒库，经检测，没有测到内网计算机上有病毒、木马等有害程序；五是禁止在电子政务内网计算机上不随意使用来历不明或携带病毒的光盘、U盘等移动存储设备禁止在电子政务内网计算机之间交叉使用U盘等移动存储设备；禁止在没有防护措施的情况下将国际互联网等公共信息网络上的数据拷贝到电子政务内网系统；禁止在内网终端上使用具有无线互联的设备。六是内网计算机与互联网等网络物理隔离，没有接入过互联网。
中图分类号：TP393.18 文献标识码：A文章编号：1007-9599(2012)05-0000-02
一、引言
大部分企业网管人员至今仍对内网威胁不重视，他们认为只要做好内外网物理隔离，或在内外网间部署好网关、防火墙等安全防护产品，网络安全就能万无一失。内网安全仅依赖管理措施，极少采用技术手段进行防护。中国国家信息安全测评认证中心的调查结果表明，信息安全问题主要来自泄密和内部人员犯罪，而非病毒和外来黑客引起。因此进一步分析企业内网威胁及防治技术，构建内网安全防护模型显得愈发重要。
二、基于行为的内网威胁分析
随着信息、通信技术的发展，企业内部网络的应用越来越复杂，内网大多数的应用都是企业核心内容，需严格保密，一旦出现、破坏的事件，后果将不堪设想，内网出现问题甚至能够导致整个企业瘫痪。
企业内网威胁除了由系统缺陷引起的安全隐患，大部分是由于企业内部人员安全意识不足，基于行的内网威胁，具体表现在：
（一）移动存储介质管理的不规范：如数据拷贝不受限、违规交叉使用、单位和个人持有不区分等，特别是在与非计算机间、内部与互联网计算机间交叉使用，导致计算机或内部工作计算机感染木马病毒。
（二）服务端口过多开放：黑客一般是通过扫描端口获取信息，确定主机运行的服务，然后再寻找相关服务或程序漏洞，最后通过漏洞服务或程序的端口攻击目标主机。
（三）账号口令管理不严：黑客攻击的目的是为了非法获取系统访问权限，一旦取得账户口令，他们就可以顺利登陆到目标系统，进行犯罪活动。
（四）用户权限分配不合理：用户权限往往未被限制，即授予其所需要的最小权限。攻击者就利用用户过高的权限进行攻击。
（五）使用盗版、破解软件等：盗版软件通过破解、反编译等手段得到软件程序源代码，修改源代码往往影响到软件模块结构之间的逻辑性，导致一些软件漏洞的出现，黑客也常用一些工具来搜索存有漏洞的计算机来确定攻击目标。
（六）内部的网络攻击。有的员工为了泄私愤、或被策反成为敌方间谍，成为单位泄密者或破坏者。由于这些员工对单位内部的网络架构熟悉，可利用管理上的漏洞，侵入他人计算机进行破坏。
（七）网管人员工作量过大、专业水平不够高、工作责任心差；用户操作失误，可能会损坏网络设备如主机硬件等，误删除文件和数据、误格式化硬盘等，都将构成内网严重威胁。
三、内网威胁检测技术
内外网隔离、防火墙、IDS及其他针对外部网络的访问控制系统，能够有效防范来自网络外部的进攻。但对于企业内部的信息保密问题，却一直没有很好的防范措施：内部人员可以轻松地将计算机中的机密信息通过网络、存储介质或打印等方式泄露。当前，可通过主流技术对内网威胁进行检测：
（一）准入控制技术。目前，防范终端安全威胁可采用多种准入控制技术主动监控桌面电脑的安全状态和管理状态，将不安全的电脑隔离，进行修复。使准入控制技术与传统的网络安全技术如防火墙、防病毒技术有机结合，改变“被动的、以事件驱动”为特征的传统内网安全管理模式，变被动防御为主动防御，有效促进内网规范化建设。
（二）网络安全防范技术及监控手段的集成。可将防火墙技术、漏洞扫描技术、入侵检测技术和安全管理、安全监测和安全控制集成与融合，实现对内部网络的安全防范。网络安全监测需要监测非授权外联、非授权接入及非法入侵、非授权信息存取，对重要数据进行重点保护、重点信息进行重点监测，对可疑人物、可疑事件跟踪监测。
（三）网络安全监控。控制网络设备的运行状态，对网络安全监测事件实时响应；这样不仅能及时发现安全域内潜在的网络安全威胁，减少网络安全事故的发生，而且能做到对安全事故的及时解决。
（四）建立用户行为审计。对用户网络行为进行审计，包括：审计登录主机的用户、登录时间、退出时间等有详细记录；对重点数据操作的全过程审计；对发现可疑操作如多次尝试用户名和密码的行为，及时报警并采取必要的安全措施如关机等。
四、内网安全防护模型
在内网威胁检测技术的基础上，建设一个多层次的网络安全防护体系，使得安全管理员能够全面掌握网络的运行状况，掌握网络的应用流量状况，掌握网络中发生的安全事件，并在网络出现异常或发生可疑事件时能够方便快捷地对数据进行深入分析，从而实现对内部网的全方位安全监控，提高对安全事件的监控和响应处理能力。
（一）网络准入控制与终端安全防护系统。将安全策略及多种安全防护技术等结合起来，构成一个统一终端安全防护系统。包括安全策略制定与下发、桌面终端的管理与控制、认证与授权、合规与审计。实现对进入内网的控制和安全策略符合诊断控制，提高企业终端安全管理水平。
（二）威胁分析监控系统。能尽早检测出新的未知恶意软件，对数据泄漏快速响应。能通过检测网络中的破坏性应用程序和服务程序，节省带宽和资源；通过集中式管理，使威胁和事件信息管理更为容易。
（三）网络流量分析系统。通过该系统捕获并分析网络中传输的数据包，有效反映网络通讯状况，帮助网管人员快速准确定位故障点并解决网络故障，并快速排查网络故障，从而提高网络性能，规避网络安全风险，增大网络可用性价值，并确保整个网络的持续可靠运行。
（四）用户行为审计系统。及时分析用户行为日志的审计，可发现可疑的信息，并重点跟踪监测。有助于发现网络中的薄弱环节及可疑因素；有助于提高企业用户的网络安全意识，也是对网络安全破坏分子的震慑。
五、结束语
本文首先分析了基于行为的企业内网安全威胁,探讨了当前内网威胁检测技术，设计了一套对网络准入控制、终端安全防护、流量分析、用户行为审计等内网威胁检测和管理的网络安全防护模型。使得企业可以全面了解网络的运行状况以及安全事件信息，为安全管理中心和安全事件审计提供信息和证据。
参考文献：
[关键词] 网络系统安全；安全管理；管理制度；木桶原理
doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2017. 05. 088
[中图分类号] R197.3；TP309 [文献标识码] A [文章编号] 1673 - 0194（2017）05- 0164- 03
0 引 言
随着新医改的不断深入，作为其重要支柱之一的医院信息系统建设进入了高速发展的快车道，成为医院日常医疗工作和管理工作的基础平台。2013年，我院新建了医院信息系统项目，包括机房建设、网络建设、软件系统建设、硬件建设等部分。医院特点决定医院信息系统必须365*24小时不间断正常运行，网络、系统软硬件的损坏和故障，或者是数据信息泄露，都会医院带来不可估量的损失，影响患者正常就诊，甚至危及医院的生存和发展。因此，构建安全的医院网络系统，保障系统和信息系统安全，是各医院都很关心的问题。
医院网络安全系统是个系统工程，其符合“木桶原理”，系统的安全程度取决于最短的那块板，我院从硬件、网络、系统、审计监管、防病毒、安全制度等各个方面采取了多种措施，保障了信息系统安全、网络安全。
1 网络系统安全
1.1 链路安全
为避免核心网络系统单点故障，提高网络系统的健壮性、容错性和性能，我院在网络核心层采用了H3C的IRF2（Intelligent Resilient Framework，智能弹性架构）技术， IRF2将两台华三10508核心交换机通过IRF物理端口连接在一起，虚拟化成一台逻辑核心交换设备，集合了两台设备的硬件资源和软件处理能力，实现两台设备的统一简化管理和不间断维护，提高了网络对突发事故的自动容错能力，最大程序降低了网络的失效时间，提高了链路的利用率和转发效率。
在核心层10580交换机与会聚层5800交换机间采用万兆光纤交叉互联，线路间做链路聚合，增加链路带宽、实现链路传输弹性和冗余。同时，核心交换机与会聚层交换机全部配备双电源和双风扇组，双电源分别插两路不同PDU电源插痤，尽量避免单点故障。
1.2 网络层次分明，方便管理
数据中心服务器到所有的桌面终端计算机最多通过三层网络，即核心层、会聚层和接入层，三层网络交换机各师其职，层次分明。核心层是网络的高速交换主干，负责数据转发；汇聚层提供基于策略的连接，是网络接入层和核心层的“中介”，工作站接入核心层前须先做汇聚，实施策略、安全、工作组接入、虚拟局域网（VLAN）之间的路由、源地址或目的地址过滤等多种功能，减轻核心层设备的负荷；接入层提供工作站接入网络功能。同时，我院每栋业务楼都建设了网络设备间，安装了空调和不间断电源，统一管理该楼内所有的会聚层和接入层交换机，保证所有的设备都有良好的运行环境，同时便于管理和维护。
1.3 划分VLAN，提高性能和安全性
医院信息系统服务主要以访问数据库服务器为主，数据纵向访问多，横向少，同时，我院许多楼又都综合了门诊住院医疗系统、医技系统等，我们根据其特点，将网络按楼宇划分为10多个VLAN子网，并将有特殊需求的应用（如财务科账务专网等），单独划分VLAN。通过VLAN划分，控制广播范围，抑制广播风暴，提高了局域网的整体性能和安全性。
1.4 网络核心层安装防火墙板卡与IPS板卡，保证服务器区安全
医院服务器区是医院系统运行核心，一旦被侵入或感染病毒，将影响医院的正常医疗业务，影响病人就诊，我院每日门诊人次3 000多人，住院患者1 600多人，数据库出问题，将造成重大的社会影响和严重后果，故我们在核心层华三10 508交换机上安装了SecBlade FW Enhanced增强型防火墙业务处理板卡和PS插卡，设定了防入侵和攻击的规则，过滤非法数据，防范病毒确保服务器区安全。
1.5 智能网管中心
随着网络应用越来越复杂，网络安全控制、性能优化、运营管理等问题成为困扰用户的难题，并直接决定了医院核心业务能否顺利开展。我们采用了专门的网管系统，通过软件的灵活控制，与相应的硬件设备配合，建立了网络安全控制中心、性能优化中心和运营管理中心。通过网管系统，我们能实时监管网络的运行情况，监管网络的故障和报警，监管和分配网络流量，优化网络性能，使整个网络可管可控。我院网络管理员常用的网管功能有资源管理、拓扑管理和故障（告警/事件）管理等。
网管系统的资源管理可管理网络设备、接口，显示设备的详细信息和接口详细信息和实时性能状态； 拓扑管理可自动发现全网设备的拓扑视图，通过拓扑图能够清晰地看到医院网络的状态，包括运行是否正常、网络带宽、连通等。
故障（告警/事件）管理，是网管系统的核心功能之一，包括设备告警、网管站告警、网络性能监视告警、终端安全异常告警等，告警事件可通过手机短信或E-mail邮件的方式，及时通知管理员，实现远程网络的监控和管理。
1.6 医院内网、外网间隔离和访问通道
医院内部的网络分为医院办公外网（用于日常办公，可上互联网）和业务内网，为保证医院内部网络业务系统安全，防止非法入侵、病毒攻击等医院业务网与互联网必须物理隔离，同时，因医院内部众多软件厂商、服务器厂商、网络设备、安全厂商，需要远程维护内网设备，业务网和互联网之间须有个能访问的通道，我们采用了SSL VPN+网闸+堡垒机的方式实现了远程安全登录和物理隔离。
（1）在医院外网防火墙和医院内网防火墙之间安装了网神SecSIS 3600网闸，利用其“数据摆渡”的工作方式，开放须访问的端口，实现物理隔离。
（2）h程用户通过SSL VPN接入到医院外网。利用SSL 的私密性、确认性、可靠性、易用性特性，在远程用户和我院外网间建立起专用的VPN加密隧道。在SSL VPN中，将用户的登录设定为自动跳转到堡垒机，通过堡垒机再访问相关的设备和电脑，实现远程访问有监管有记录有审计，可管可控。
2 服务器和存储备份安全
系统服务器双机备份常用的是采用双机冷备份或通过心跳线热备份的方式实现。我院结合自身设备特点，采用了赛门特克Veritas Cluster Server技术，在IBM刀片机上建了一个N+1 VCS集群，即多台服务器对应一台备份机，当其中一台出现问题，都会自动切换到备机，实时快速，同时节约了备份机。两套IBM DS5020存储阵列（一台在主机房、一台在备份机房）通过光纤直连，采用remote mirror远程镜像备份技术，将主机房存储的实时数据复制到备份存储系统，提供于业务连续性和灾难恢复的复制功能。
3 保证操作系统安全
操作系统是软件系统基础，保证其安全是必须的。我们对服务器进行了主机加固，关闭了不必要的服务，安装了赛门铁克防火墙、赛门铁克网络版杀毒软件，莱恩塞克内网安全管理系统等来保证内网服务器和工作站操作系统安全。其中内网管理系统控制和监管了移动介质的使用，屏蔽了未经授权的移动介质接入网络，避免了医院数据的外泄及感染病毒，同时，还能对内网中每一个计算机进行远程的桌面管理、资产管理、配置管理和系统管理等。
4 核心设备配置修改和访问安全
服务器在注册表中关闭了远程访问功能， 网络交换机都关闭了TELNET功能，关闭命令： undo telnet server enable通过网络堡垒机可视化的web管理界面统一配置和管理所有服务器和交换机，利用堡垒机可控制、可审计、可记录、可追溯的特性，保证对服务器和交换机的安全管理，避免配置和修改服务器、交换机时不慎造成故障。
5 数据库和网络安全审计系统
为了保障网络和数据不受来自外部和内部用户的入侵和破坏，我院通过旁挂模式接入了数据库和网络安全审计系统，实时收集和监控网络、数据库中的系统状态、安全事件、活动，以便集中报警、记录、分析、处理，实现“事前评估―事中监控―事后审计”，对数据库和网络中的操作和更改进行追溯和还原。
6 健全安全管理制度，加强执行
建立了严格的规范的规章制度，规范网络管理、维护人员的各种行为，保障网络安全。如建立了“中心机房管理制度”“机房设备操作制度”“机房出入制度”“设备巡查制度”“工作站操作制度”等。
作为专注于信息安全领域的专业研发企业，信安宝在入网管理、网络安全、文档安全、文档透明加密、云加密技术、客户端防护、打印安全与管理、整体数据防泄漏防护（DLP）等应用方向拥有国际领先的科技，产品完全拥有自主知识产权，并有众多创新和专有技术，信安之星系列产品是聚几十位专家工程师十余年研发之力而成就的完整信息安全解决方案，有数以千计的用户应用积累以及实施经验，为广大用户提供全方位的、可靠的信息安全屏障。
信安之星（iSecStar）内网管理系统（企业版、高级版、入网管理版、文档加密版、定制版）是多功能多应用的内网管理系统，主要满足十大内网管理需要：入网管理、上网管理、文档防护、U盘管理、打印管理、补丁更新、行为管理、桌面管理、设备管理、系统运维，另外还有资产管理、网络防护、高级拓展功能等，全面解决办公网络关联的安全、防护、管理、监控、运维等问题。
信安之星（iSecStar）打印管理系统（企业版、高级版）满足当前重安全，控成本、信息化、移动、集约办公管理需要的新一代打印监控管理系统。
信安之星（iSecStar）U盘安全管理系统（企业版、高级版）是专业用来规范企业或组织内的U盘使用，保护U盘及数据安全的软件系统。
2.校园网的安全隐患
影响校园网安全的因素很多。校园网一般分为校园内网、校园外网、提供各种服务的服务器群,内网主要包括:教学网、图书馆网、办公自动化网络、财务网;而外网则是实现内网与Internet的对接,服务器群提供各自服务。根据对校园网络的基本结构的剖析,可以得出结论,校园网的安全问题来自以下几个方面:
2.1TCP/IP协议簇的安全性与操作系统的安全漏洞。
TCP/IP及其许多网络协议本身在设计之初并未全面考虑安全性问题,随着网络技术的发展与普及,协议的安全性问题日益突出。
目前使用的操作系统,包括Windows系列,Unix系列都不同程度上存在安全漏洞,对网络构成威胁。
2.2来自外部的威胁
校园网与Internet相联,极易受到外部人员的攻击,一旦攻击成功,将有可能造成极大破坏。而校园网用户密集,速度快、规模大的特点,也使得安全问题容易被放大,影响更加严重。
2.3来自内部的安全隐患
(1)病毒、木马的威胁。由于校园内部使用网络的人员复杂,水平良莠不齐,在进行数据交换或数据上传、下载时可能造成病毒、木马在内网中的传播、泛滥。
(2)宽松、开放的网络环境也使得内网容易遭受攻击。由于教学、科研的特点,使得一些新技术、新应用在校园网上实施的时候不能施加过多的限制,这也可能会造成内网受到攻击。
(3)活跃而密集的用户群也是校园网不安全的因素之一。数量众多、具有一定的计算机方面的知识、无穷的探索精神而安全观念淡薄的学生也可能会对校园网造成一定程度的威胁。
2.4管理制度不健全、管理人员与维护力量不足成为校园网安全的一大隐患。
校园网的建设和管理对校园网安全的关注度通常不高,安全意识不强,管理制度不健全,对于管理与维护方面的投资也不大,网络中心的人员只能保证网络正常运行,对于安全问题无暇顾及。管理不到位,校园内可能出现各种网络并存,铁通、电信、光纤内网混搭,成为攻击者避开防火墙进行攻击的跳板。
3.校园网安全策略
安全策略是指在某个安全区域内,用于所有与安全相关活动的一套规则。安全有效的安全策略,可以最大程度降低校园网受到攻击而造成性能下降、失效、泄密、数据丢失的可能性。安全策略包括严格的管理、先进的技术和行之有效的管理制度。
3.1防火墙控制策略
防火墙是一种保护计算机网络安全的技术性措施,是用来阻止网络黑客进入内部网的屏障。防火墙分为专门设备构成的硬件防火墙和运行在服务器或计算机上的软件防火墙。无论哪一种,防火墙通常都安置在网络边界上,根据系统管理员设置的访问控制规则,对数据流进行过滤,通过网络通信监控系统隔离内部网络和外部网络,以阻档来自外部网络的入侵。防火墙是Internet安全的最基本组成部分。
3.2访问控制策略
访问控制策略是网络安全防范和保护的主要策略,其任务是保证网络资源不被非法使用和非法访问。各种网络安全策略必须相互配合才能真正起到保护作用,而访问控制是保证网络安全最重要的核心策略之一。访问控制策略包括入网访问控制策略、操作权限控制策略、目录安全控制策略、属性安全控制策略、网络服务器安全控制策略、网络监测、锁定控制策略和防火墙控制策略等7个方面的内容。
3.3入侵检测系统(IDS,Intrusion Detection System)
入侵检测系统是为保证计算机网络系统的安全而设计的一种用于检测违反安全策略行为的技术,它能够及时发现并报告网络中未授权的访问或异常现象。违反安全策略的行为,主要是指入侵和滥用--通常将非法用户的违规访问行为称为入侵,将合法用户的违规访问行为称为滥用。
入侵检测使用两种基本的检测技术:特征检测与异常检测。前者常常是对网上流动的数据内容进行分析,找出\"黑客\"攻击的表征。后者往往是对网络上的数据流量进行分析,找出表现异常的网络通信。功能简单的入侵检测系统可能只使用这两种技术中的一种。
3.4对病毒、木马定期查杀
由于频繁的数据交换,网络中数据的上传下载以及校园网使用者的水平良莠不齐,给病毒、木马在网络中的传播提供了机会,所以应选择合适的网络杀毒软件,及时更新病毒库,定期对病毒、木马进行查杀。
天津医院外网安全建设分析
1硬件防火墙外网是要链接到Internet上的，所以网络安全尤为重要，硬件防火墙是必不可少的。通过硬件防火墙的设置，可以进行包括过滤和状态检测，过滤掉一些IP地址和有威胁的程序不进入办公网络。硬件防火墙针对病毒入侵的原理，可以做出相应的策略，从源头上确保网络安全。
2网络管理软件网络管理软件提供网络系统的配置、故障、性能及网络用户分布方面的基本管理，也就是说，网络管理的各种功能最终会体现在网络管理软件的各种功能的实现上，软件是网络管理的“灵魂”，也是网络管理系统的核心。
通过网络管理软件网管人员可以控制流量，设置不同用户访问的网址和使用的应用程序，设置不同时间可以访问的网址，以及屏蔽掉一些游戏、股票等非工作需要的程序。可以实时监控客户端的网络行为，查看是否有非工作内容的操作。定期备份日志，保证办公网正常有序的工作。
管理制度
当政府网络部署无线系统后
与性能相关的各项技术指标则成为建设之重
用户背景
深圳市司法局成立于1980年11月，是市政府主管司法行政的工作部门，其主要职能是贯彻、执行国家司法行政工作的方针、政策和法律、法规，负责起草涉及本市司法行政工作的法规及规章的草案，制订本市司法行政工作的中长期规划和年度工作计划，并监督实施。
用户需求
深圳市司法局初期为办公大厦搭建了一套有线网络系统。该网络系统是深圳市司法局内部办公网络，承载司法局内部重要信息和机密文件，并支撑深圳市司法局电子政务系统的运行。因此，需要绝对的安全。
内部网络不允许任何来自内网、外网的安全威胁。而随着业务延伸和应用多元化，封闭式内部网络已经无法满足业务需求。因此，深圳市司法局决定构建一套与业务网络完全独立的外网系统，以满足更多的应用需求。
深圳市司法局要求新网络必须绝对独立，以使物理层与业务网隔离，从而完全杜绝所有来自内、外网络的隐患。新网络必须灵活可用，还需要作为原有网络的补充和延伸。此外，除能够为内部工作人员以及外来人员提供服务外，还需要满足高速度、高稳定、高安全、高可用等性能。
解决方案
针对深圳市司法局的需求，他们决定采用无线网络。并以高性能三层千兆交换机GSM7312作为深圳市司法局外
网的核心交换机，直接连接服务器，通过防火墙接入Internet，同时向下连接工作组智能交换机FS726T。
GSM7312提供12个10/100/1000M RJ-45端口(所有端口支持自协商和MDI/MDIX线缆自适应)，12个MiniGBIC (SFP) 插槽可提供千兆光纤的连接(每一个1000Base-T与对应的MiniGBIC端口共享使用)。灵活的端口配置为深圳市司法局组建外网提供了极大的灵活性。
通过GSM7312的光纤接口，以千兆光纤连接楼层机房的工作组交换机FS726T。FS726T具有24个10/100 Mbps端口，2个10/100/1000 Mbps RJ-45上联端口和1个可选用光纤连接的SFP插槽。
无线接入点采用WG302 AP，其具IEEE 802.11g的特性,使得在Turbo模式下能最高支持108Mbps高速。WG302内置了专为企业而设置的AutoCell技术，保证强劲的RF射频管理和控制。WG302支持WPA、801.1x，能充分保证内网安全。
深圳司法局所在的天平大厦每层面积1000平米左右，共22层，通过信号测试并根据应用需求，可以在每个楼层的不同位置设置数量不等的WG302作为无线接入点，以保证接入效果和覆盖面积。通过WG302内置的AutoCell技术可轻松调控无线性能。
为了使整个网络便于管理，深圳司法局采用了ProSafe NMS100，可以与任何一种使用工业标准的简单网管协议（SNMP）的可网管设备一起运作，如二层交换机 、三层交换机、无线AP、传统的路由器、服务器和打印机等。
NMS100可帮助深圳司法局配置、管理和诊断网络，确保网络能以适时的、可靠的和最少花费的方式交付数据和服务。NMS100使用非常简便，同时，它还提供预警和保护，NMS100使需要监测和控制的各种复杂的数据网络的网络管理任务变得更容易。
此外，深圳市司法局还配备WG111 IEEE802.11g 的USB 2.0无线网卡。WG111提供最大的无线局域网络的安全性，支持40位（也称为64位）和128位WEP有线等效加密。并且还可通过软件升级将支持802.1x与WPA，与WG302一同提供高安全特性的无线网络，确保只有合法的用户才能联入无线网络。
同时，WG111还采用特别设计的天线，拥有更强信号覆盖范围“拇指型”小巧外观设计。
方案特点安全性
司法机构存储大量绝密文件，要求极高的安全特性，采用物理隔离的方式可充分保证内、外网安全。本项目所采用的无线产品均具有802.1x、WPA、WEP等多种加密方式，同样可保证无线网络安全。
NMS100可以对网络进行监测和预警，以保证网络安全运行。
可用性
三层交换机GSM7312功能强大，支持多种路由协议，提供512条路由表项、线速的IPv4路由、VRRP、ICMP、RIP v1和RIP v2、OSPF v2等。并且还具有DHCP/BOOTP的中继能力、链路聚合、广播风暴控制、广泛的VLAN虚拟局域网支持等交换协议，以及多种QoS。
FS726T网管智能交换机，拥有超高性价比，并提供必要的管理功能。
（一）网络安全组织管理情况
为妥善地完成网络安全工作，消除网络安全隐患，XXX主要由电子信息科负责网络安全工作。严格按照上级部门要求，积极完善各项安全制度，保证了网络安全持续稳定运行。
XXX制定了网络安全工作的各项信息管理制度，包括人员管理、机房管理、资产和设备管理、数据和信息安全管理、系统建设和运行维护管理等制度。
（二）技术防护情况
XXX办公电脑均配备防病毒软件，采取了强口令密码、数据库存储备份、移动存储设备管理、数据加密等安全防护措施，明确了网络安全责任，强化了网络安全工作。在日常工作中切实抓好内网、外网和应用软件管理，确保“涉密计算机不上网，上网计算机不涉密”，严格按照保密要求处理光盘、硬盘、移动硬盘等管理、维护和销毁工作。重点抓好“三大安全”排查：一是加强对硬件安全的管理，包括防尘、防潮、防雷、防火、防盗和电源连接等；二是加强网络安全管理，对计算机实行分网管理，严格区分内网和外网，合理布线，优化网络结构，加强密码管理、IP管理、互联网行为管理等；三是加强计算机应用安全管理，包括邮件系统、资源库管理、软件管理等。
（三）应急工作情况
XXX严格按照《网络安全法》，制定了网络安全事件预案，定期进行系统备份，以提高突发事件发生时的应对能力。
（四）宣传教育情况
为了保证网络及各种设备安全有效地运行，减少病毒侵入，XXX定期组织工作人员学习有关网络知识，确保工作人员学习到网络安全防范技巧，提高计算机使用水平和对网络信息安全的认识力度，确保网络安全。
二、自查中发现的主要问题
一是计算机网络方面的专业技术人员较少，网络安全方面可投入的力量有限。
二是规章制度体系初步建立，可能还不够完善，未能覆盖到网络和信息系统安全的所有方面。
1)明确管理对象。计算机网络管理的对象很多，可以按网络节点设备分类。如果从不同层次角度分类，可分为:用户数字接入复用器、交换机、路由器等。目前，随着网络的发展，我们把服务器、防护墙等也归属于网络管理中的设备。只有先分清楚管理对象，才能根据相关管理和维护方法进行实施。
2)整合网络管理系统。计算机网络管理系统可以说是安装在硬件设备上的一系列软件，通过这些软件对网络进行监督和控制。因此，要对这些软件设备进行整体系统的管理和维护。不仅是软件的研发，更重要的是对软件实施管理和维护，让管理和维护形成一定的管理规范和制度，比如按不同类型进行分类，配置管理、性能管理、安全管理等，按不同类型来具体实施，这些都具有独立性，最后统一整合管理。
3)配置明确网络协议。网络中各个设备都是独立的，要靠网络管理协议来进行信息的交互和统一。通过配置和管理网络协议来整体规范和管理系统。
1.2计算机网络管理的日常工作制度
1)定期检查软件，进行升级管理。对于计算机网络系统的任何硬件和软件都应该进行定期检查，尤其服务器软件，需要定期检查，然后进行更新升级。主要是对服务器操作系统及应用软件系统进行升级、打补丁、防止系统漏洞。
2)数据定期备份。数据对整个计算机网络而言十分重要。为了防止数据丢失，保障数据安全，应该定期对数据进行备份。
3)加强网络防范。为了保障网络安全，需要加强网络防范。比如增加防火墙来防止外界入侵，保障网络安全。主要从网络系统的硬件和软件上做防范措施。工作人员应该定期参加网络知识培训，了解最新的动态，进行加强网络认识和防范意识。工作人员要严格遵守所在单位的管理制度，防止密码等保密信息外泄等。
4)定期排查网络，及时更改。作为网络管理员应该定期对网络做安全检查，在检查过程中，对发现的网络问题应该及时更改。作为一名网络管理员一定要认真负责检查每一处，从而保障网络安全。通过分类和整合，制定一定的管理规范，遇到故障时，合理分析、推断、排除、解决故障，保证计算机网络的正常运行。
2维护管理中常见问题的解决方法
作为一名网络管理员必须了解网络系统中的设备，熟悉硬件和软件，了解操作流程，要有丰富的工作经验。计算机网络管理和维护包括很多方面:①了解网络结构，熟悉设备管理，保障网络的正常运行。②了解配置文件，熟悉路由器和交换机等。③了解网络内部连接，发现故障问题及时检查定位，排查网络，排除安全隐患。④掌握用户资源，做好用户资源安全管理。
2.1日常维护，保证网络正常工作计算机网络管理员应该做好日常工作，经常性的查看监控软件，根据监控软件信息，了解整个网络。每天要对核心服务器、路由器、交换机、防火墙、用户接入口、出口等实施日志监控和查看，查看流量信息等，从而发现网络中潜在的故障或者攻击。2.2了解网络设备了解网络设备是指管理员一定要熟知网络系统中的各个设备，了解设备的型号、性能、配置方法、功能、数据配置等，从而把网络遇到问题及时排查。比如，要了解网络中每1台路由器的配置，是静态路由还是动态路由，熟悉RIP、OSPF等路由配置，掌握BGP等外网路由管理，要熟悉日常维护管理，进而排除故障。
2.3及时备份文件网络偶尔有突发状况发生，比如断电，会给网络造成很大损失，造成数据文件丢失等，所以，管理人员应该及时备份数据文件，也可以通过软件进行定期、定时备份。
2.4有效管理资源计算机网络系统中资源多、复杂，有各种设备资源，比如，交换机接口，路由器接口，网管接口等等，还有数据资源，IP地址、硬件资源等，这些都需要有效地分配和管理。只有合理规划各项资源，才能保证网络不会存在差错和冲突，才能保证网络正常运行。比如，IP地址资源，如果网络中是静态IP地址，就要防止IP地址重复分配，造成网络冲突。
2.5内网安全内网是属于本单位或本系统内部管理与使用的并相对独立于外网(互联网)的局域网或广域网。要想保证内网安全，重点是做好内网与外网之间的安全防护，增加安全隔离设备或进行物理隔离，杜绝内外网互联互通，以防止外网入侵。对于有些单位内外网无法完全隔离开来的情况下，内外网间安装防火墙软硬件，配置ACL访问控制列表，通过这些来保证安全。防火墙能阻挡外网的一些入侵，通过ACL来设置那些网段可以进去内容，从而避免恶意入侵。
2.6用户权限管理网络中用户很多，为了保证网络安全，应该了解用户需求及工作性质，为不同用户制定不同权限。管理员应经常查看日志文件，了解用户的网上应用和流量情况，及时调整用户权限，删除或禁用一些不正常的用户权限，保障网络安全。
2.7制定严格有效的上网管理制度建立上网管理制度，加强单位职工网络安全方面的教育，提高安全意识，加强上网行为管理，及时通报不良行为，创造一个良好的网络应用环境，对于保证网络系统能够长期安全、稳定、有效运行同样必不可少。
