发布时间：2023-03-06 16:00:02
序言：写作是分享个人见解和探索未知领域的桥梁，我们为您精选了8篇的网络安全评估报告样本，期待这些样本能够为您提供丰富的参考和启发，请尽情阅读。
1.1需求分析
通过德尔菲法、访谈法、SWOT分析等风险管理技术，向学院各职能部门和其它渠道收集风险信息，分类总结，然后列出风险系统开发的大功能模块，每个大功能模块有哪些小功能模块；描述实现具体模块所涉及到的主要算法、数据结构、类的层次结构及调用关系，需要说明软件系统各个层次中每个模块或子程序的设计考虑，以便进行编码测试。系统平台可以实现以下功能：自动输出风险评估报告和建议报告，有效监控预防风险；对风险进行定量分析，实现以图表直观形式输出显示，并展示相应的数据指标；用户以个人账户或部门账户，登录到风险评估输入列表，选择相应的职能部门、行业类型、风险级别指标、以问答的形式选择相应的内置风险条目，根据登陆权限，可自拟增加、删除风险条目；可实现日常工作重要环节和重点风险过程的时间提醒功能，通过手机短信或网页提示窗提示等手段，提醒重点工作的正常开展，防范工作疏忽引起的风险；风险级别指标制定，可参考相应的国家或行业标准，也可自拟；系统平台内有评估标准，根据评估标准设计评估模型，利用评估模型对风险评估报告进行评估，得出评估结果供风险决策者参考；校领导和各职能部门负责人可根据管理权限查询相应的风险数据；B/S架构，实现新闻即时，可及时更新各高校风险管理中的经验交流文章、理论知识。
1.2程序编码实现
开始具体的编写程序工作，分别实现各模块的功能，从而实现对目标系统的功能、性能、接口、界面等方面的要求；开发过程中，边开发边测试，系统完工后，通过内部外部测试、模块测试、整体联调等测试方法，验证系统的整体稳定性，不断完善。
1.3具体应用
软件开发完成，做成相关的技术文档，系统上线；在具体应用中发现问题及时登记到问题记录册，反馈到开发人员，为以后的系统平台升级提供依据。
2平台功能模块
信息安全风险评估平台的开发环境为/MSSQL，基于SOA软件系统架构解决学院各信息系统集成，通过PDCA循环模型具体实施。信息安全风险评估系统平台建设主要包括评估公告、用户管理、指标设置、综合评估、综合查询、报表系统，数据导出七大模块。
2.1评估公告模块
评估公告模块实现新闻即时，可及时更新各高校风险管理中的经验交流文章、理论知识；可实现日常工作重要环节和重点风险过程的时间提醒功能，提醒重点工作的正常开展，防范工作疏忽引起的信息系统风险。
2.2用户管理模块
用户管理模块的功能是管理用户信息，主要包括用户的用户名、密码和权限，同时支持显示所有注册用户信息和删除用户功能；模块可以添加系统管理员、评估人和评估单位，评估人员可以设置不同的权限，限制评估范围；用户以个人账户或部门账户，登录到风险评估输入列表，选择相应的职能部门、行业类型、风险级别指标、以问答的形式选择相应的内置风险条目；不同的用户登录系统显示的模块不一样，根据登陆权限，可自拟增加、删除风险条目。
3.3指标设置模块
指标设置模块主要是依据国家有关信息安全风险评估指标，实现信息系统风险评估的指标体系设置，划分两级指标细化评估体系，一级指标划分为信息资产、威胁性、脆弱性，二级指标从硬件、软件、风险识别等细化指标体系；实现指标库的设置，可以分配不同的被评估单位相应的评价指标。
2.4综合评估模块
综合评估模块包括评估列表、评估历史。评估列表显示所有被评估单位，某一单位用户登录以后，系统自动调用相应的指标库，回答相应的信息系统安全问题，系统自动给出指标分数；评估历史是不同的账户登录，显示的列表不同，管理员能查询所有的用户评估历史，单位用户只能查询本系部的评估历史。
2.5综合查询模块
综合查询模块实现不同单位评估次数、评估成绩、各评估对象不同时间段等的评估查询。
2.6报表系统模块
报表模块实现了不同单位评估次数、评估成绩、各评估对象的柱状图的形式直观展示。
2.7数据导出模块
数据导出模块实现了评估单位当前总成绩或历史评估成绩的数据导出功能，支持PDF、Word、Excel文档格式。
3系统评估操作流程
系统管理员首先在系统后台对不同的用户设置相应的评估指标库；用户通过用户名和密码登录系统后台；登录成功后系统会自动调用相应的评价指标，用户回答相应的问题；回答结束后，用户点击提交，系统自动给出相应的评估分值；用户打印或存储评估数据报告。
4平台应用效果
4.1为我国高校的信息系统风险预防和应急处理提供建设性的意见
目前关于我国高校风险评估研究的大多停留在某些具体领域，主要是对宏观风险管理和财务风险状况进行探讨，对信息系统安全的研究较少。信息安全风险评估系统平台对高校信息安全风险进行定量分析评估，为我国高校信息系统风险评估提供了一个重要平台，为高校的信息系统风险预防和应急处理提供一些建设性的意见。
4.2为高校各级信息系统管理者提供了处理信息系统
风险的决策依据系统实现各级信息系统管理者可实时查询部门风险评估，针对高校日常管理中可能面临的各类信息系统安全风险、建议应对措施、突发事件、应急预案、法律法规等相关风险管理文档查询，为科学决策提供依据。
4.3信息系统安全风险处理更迅速
信息系统安全风险评估平台与学院网络安全教育平台、运维网站数据整合，当网络遭受攻击、病毒肆虐时，能第一时间获得相关信息，为快速解决信息系统安全风险创造了条件。
4.4提高了全校师生网络安全防范和参与意识
通过信息系统安全风险评估平台，全院师生提高了网络安全防范和参与意识，为河南牧业经济学院网络信息化建设出谋划策，促进学校领导和有关职能部门制定和完善网络有关管理制度。
4.5规范了全校师生的上网行为，减少了网络攻击
全校师生通过平台了解学校网络管理相关制度和管理方式，认识到自己的上网行为在学校监督管理中，从而自觉规范自身的上网行为。平台为引导师生正确使用网络、规避风险，保障校园网网络良好正常运转起到了积极的作用。通过信息系统风险评估的漏洞查找，各系部加强了网络安全知识普及、全员参与、相关规章制度的约束，一直困扰我院网管人员的网络非法攻击，特别是破坏后果更难预测的内部网络攻击得到了有效的遏制。
5结束语
ENISA对2002～2012年期间举行的85次不同层级的网络演习进行了调研，既有单个国家演习又有多国演习，既有针对私营企业或政府机构的演习又有二者结合的演习。全球共计84个国家参加多国网络演习，欧洲共有22个国家组织过全国性网络演习。
主要结论
欧洲网络与信息安全局认为此次调研评估较好地总结了国家及国际网络演习的现状，主要结论如下。
（1）网络演习次数逐年增多。
网络演习日渐普遍，2010年后演习数量更是激增，这与政策支持和网络攻击威胁不断增多不无关系。很多演习作为系列演习的一部分，每年都举行，这种趋势在未来数年仍将继续。
（2）网络危机合作不断发展。
不仅网络演习日渐普遍，网络危机合作方面的举措也在不断发展。网络安全已成为欧洲国家的紧要事务，受到越来越多的关注。
（3）多数欧洲国家参与了国家和多国网络演习。
多数欧盟和欧洲自由贸易区国家既组织过国家演习又参加过多国网络演习。这说明参与国际演习对组织国家层面的网络演习能够起到补益作用，国际网络危机合作能够在这些演习中得到发展。对于本身能力有限的国家（例如没有能力组织国家演习），参加国际演习能够帮助他们达到欧盟制定的国家网络安全标准。网络危机往往超越国境，这一事实也为大国帮助网络安全应急能力较弱的邻邦提供了动力，凸显了多国联合组织跨国网络演习的必要性。ENISA通过组织网络演习研讨会和泛欧洲地区网络演习的方式支持各国的网络演习活动。
（4）政府机构与私营企业之间的交流合作至关重要。
鉴于很多私营企业是重要信息基础设施的所有者、管理者和使用者，因此未来的网络演习更需要加强政府机构与私营企业的合作。
（5）必须更加重视演习管理工具。
对演习管理工具的重要性认识不足是所有网络演习普遍存在的问题。演习管理工具可以用来协助进行演习准备和评估。
（6）促进演习规划、监控与评估方法的使用。
演习规划、监控和评估关系到演习是否能够成功，演习规划包括完善演习方案、程序，修改演习策略等，监控和评估能够进一步帮助演习组织者建立反馈机制，总结经验教训。本次调研发现演习监控、评估方法的使用有限，在未来演习中应该更多地使用这些方法。
建议
报告提出了一些能够提高演习质量、增加演习数量的建议，这些建议有助于增强重要网络基础设施及服务对网络安全事件的承受能力。
（1）打造更为协调的网络演习环境。
随着网络演习范围的不断扩大，网络危机合作的不断发展，应该努力打造一个更加协调的网络演习环境，让全球网络演习领域的利益方能够充分交流与探讨该领域的好做法、挑战及经验教训。如何以取长补短为目的，协调网络计划，实现同步化是网络演习界面临的一个艰巨的挑战。此外，建议继续组织网络危机合作国际会议，为建立更加协调的网络演习群体创造条件。
（2）建立公私合作，加强网络演习经验交流。
公共机构与私营企业之间通过合作共同保护重要信息基础设施非常重要，而组织联合演习和分享好的做法和经验则是实现合作不可或缺的手段。经验交流可以通过建立专门的数据库、观摩演习、学习交流等方式实现。
（3）继续推进演习管理工具的开发。
在网络演习中，良好的方法和自动化的工具能够有效地提高演习设计、实施及评估的效率。包括模拟器和仿真机在内的各种演习管理工具能够在提高演习效率的同时使演习质量更高，效果更好。报告呼吁业界人士支持网络演习管理工具的开发、应用和共享。
（4）力求在部门间、国际和欧洲层级举行更复杂的网络演习。
网络事件/危机大多是跨界的，包括跨国境、跨部门等，这种情况带来的挑战就是，如何组织能够检验跨界网络事件各种复杂情况的网络演习，特别是在需要同时检验不同层级应急响应能力的时候（包括战役、战术和战略演习层面）。报告建议业界人士与ENISA一起，共同为组织更为复杂的网络演习而努力。
（5）将网络演习纳入网络危机应急方案。
各国应制定、维护并及时更新网络危机应急方案和标准合作程序。响应结构的持续完善需要网络演习的支撑。为了更好地备战网络危机，建议欧盟成员国相关决策者将网络演习纳入网络危机应急方案和标准合作程序。ENISA曾过一份《国家网络应急方案实践指南》。
（6）及时更新网络演习方法。
2009年，ENISA颁布了《国家演习实践指南》，代表着网络演习向着用更正规的方法进行规划和实施迈出了第一步。报告建议ENISA根据近几年欧洲相关政策的变化、本次调研的研究成果以及有关论坛获得的相关报告整合、改进上述文件推荐的网络演习方法，利用相关工具设计出正规的网络演习规划及组织办法。
关键词 计算机；网络风险；防范模式；防范流程
中图分类号 F062.5 [KG*2]文献标识码 A [KG*2]文章编号 1002-2104(2011)02-0096-04
在信息时代，信息成为第一战略资源，更是起着至关重要的作用。因此，信息资产的安全是关系到该机构能否完成其使命的大事。资产与风险是天生的一对矛盾，资产价值越高，面临的风险就越大。信息资产有着与传统资产不同的特性，面临着新型风险。计算机网络风险防范的目的就是要缓解和平衡这一对矛盾，将风险防范到可接受的程度，保护信息及其相关资产，最终保证机构能够完成其使命。风险防范做不好，系统中所存在的安全风险不仅仅影响系统的正常运行，且可能危害到政府部门自身和社会公众，严重时还将威胁国家的安全。论文提出了在选择风险防范策略时如何寻找合适的风险防范实施点并按照实施风险防范的具体过程来进行新技术下的风险防范，从而帮助完成有效的风险管理过程，保护组织以及组织完成其任务。
1 计算机网络风险管理
计算机网络风险管理包括三个过程：计算机网络属性特征分析、风险评估和风险防范。计算机网络属性特征分析包括风险管理准备、信息系统调查、信息系统分析和信息安全分析4个阶段。在计算机网络风险防范过程中，计算机网络属性的确立过程是一次计算机网络风险防范主循环的起始，为风险评估提供输入。风险评估过程，包括对风险和风险影响的识别和评价，以及降低风险措施的建议。风险防范是风险管理的第三个过程，它包括对在风险评估过程中建议的安全控制进行优先级排序、评价和实现，这些控制可以用来减轻风险。
2 网络风险模式研究
2.1 风险防范体系
计算机风险防范模式包括选择风险防范措施（风险假设、风险规避、风险限制、风险计划、研究和了解、风险转移）、选择风险防范策略（包括寻找风险防范实施点和防范控制类别的选择）、实施风险防范3个过程。在实施风险防范的过程中包括对行动进行优先级排序、评价建议的安全控制类别、成本-收益分析、选择风险防范控制、分配责任、制定安全措施实现计划、实现被选择的安全控制，最后还要进行残余风险分析。
2.2 风险防范措施
风险防范是一种系统方法，高级管理人员可用它来降低使命风险。风险防范可以通过下列措施实现：
（1）风险假设：接受潜在的风险并继续运行IT系统，或实现安全控制以把风险降低到一个可接受的级别。
（2）风险规避：通过消除风险的原因或后果（如当识别出风险时放弃系统某项功能或关闭系统）来规避风险。
（3）风险限制：通过实现安全控制来限制风险，这些安全控制可将由于系统弱点被威胁破坏而带来的不利影响最小化（如使用支持、预防、检测类的安全控制）。
（4）风险计划：制定一套风险减缓计划来管理风险，在该计划中对安全控制进行优先排序、实现和维护。
（5）研究和了解：通过了解系统弱点和缺陷，并研究相应的安全控制修正这些弱点，来降低风险损失。
（6）风险转移：通过使用其他措施补偿损失，从而转移风险，如购买保险。
在选择风险防范措施中应该考虑机构的目标和使命。要解决所有风险可能是不实际的，所以应该对那些可能给使命带来严重危害影响的威胁/弱点进行优先排序。同时，在保护机构使命及其IT系统时，由于每一机构有其特定的环境和目标，因此用来减缓风险的措施和实现安全控制的方法也各不相同。最好的方法是从不同的厂商安全产品中选择最合适的技术，再伴以适当的风险防范措施和非技术类的管理措施。
2.3 风险防范策略
高级管理人员和使命所有者在了解了潜在风险和安全控制建议书后，可能会问：什么时候、在什么情况下我们该采取行动？什么时候该实现这些安全控制来进行风险防范，从而保护我们的机构？
如图1所示的风险防范实施点回答了这个问题。在图1中，标有“是”的地方是应该实现风险防范的合适点。
总结风险防范实践，以下经验可以对如何采取行动来防范由于故意的人为威胁所带来的风险提供指导：
杨涛等：计算机网络风险防范模式研究中国人口•资源与环境 2011年 第2期(1)当存在系统漏洞时，实现保证技术来降低弱点被攻击的可能性；
(2) 当系统漏洞被恶意攻击时，运用层次化保护、结构化设计以及管理控制将风险最小化或防止这种情形的发生；
(3) 当攻击者的成本比攻击得到更多收益时，运用保护措施，通过提高攻击者成本来降低攻击者的攻击动机（如使用系统控制，限制系统用户可以访问或做些什么，这些措施能够大大降低攻击所得）；
(4) 当损失巨大时，运用设计原则、结构化设计以及技术或非技术类保护措施来限制攻击的程度，从而降低可能的损失。
上面所述的风险防范策略中除第三条外，也都可运用来防范由于环境威胁或无意的人员威胁所带来的风险。
2.4 风险防范模式的实施
在实施风险防范措施时，要遵循以下规则：找出最大的风险，然后争取以最小的代价充分减缓风险，同时要使对其他使命能力的影响最小。实施措施通过以下七个步骤来完成，见图2。
2.4.1 对行动进行优先级排序
基于在风险评估报告中提出的风险级别，对行动进行优先级排序。在分配资源时，那些标有不可接受的高风险等级（如被定义为非常高或高风险级别的风险）的风险项目应该最优先。这些弱点/威胁需要采取立即纠正行动以保护机构的利益和使命。步骤一输出―从高到低优先级的行动。
2.4.2 评价建议的安全控制
风险评估过程中建议的安全措施对于具体的机构和IT系统可能不是最适合和可行的。在这一步中，要对建议
图1 网络风险防范实施点
Fig.1 Network implementation point of risk prevention
图2 实施风险防范措施流程及其输入输出
Fig.2 Implementation of risk prevention measures and
the input and output processes
的安全控制措施的可行性（如兼容性、用户接受程度）和有效性（如保护程度和风险防范级别）进行分析。目的是选择最适当的安全控制措施以最小化风险。步骤二输出―可行安全控制清单。
2.4.3 实施成本-收益分析
为了帮助管理层做出决策并找出性价比好的安全控制，要实施成本―收益分析。第三步输出―成本-收益分析，其中描述了实现或者不实现安全控制所带来的成本和收益 。
2.4.4 选择安全控制
在成本-收益分析的基础上，管理人员确定性价比最好的安全控制来降低机构使命的风险。所选择的安全控制应该结合技术、操作和管理类的控制元素以确保IT系统和机构适度的安全。步骤四输出―选择好的安全控制。
2.4.5 责任分配
遴选出那些有合适专长和技能来实现所选安全控制的人员（内务人员或外部签约人员），并分配以相应责任。步骤五输出―责任人清单。
2.4.6 制定一套安全措施实现计划
在这一步，将制定一套安全措施实现计划（或行动计划）。这套计划应该至少包括下列信息：
（1）风险（弱点/威胁）和相关的风险级别（风险评估报告输出）。
（2）建议的安全控制（风险评估报告输出）。
（3）优先排序过的行动（标有给那些有非常高和高风险级别的项目分配的优先级）。
（4）被选择的计划好的安全控制（基于可行性、有效性、机构的收益和成本来决定）。
（5）实现那些被选择的计划好的安全控制所需要的资源。
（6）负责小组和人员清单。
（7）开始实现日期。
（8）实现完成的预计日期。
（9）维护要求。
2.4.7 实现被选择的安全控制
根据各自的情况，实现的安全控制可以降低风险级别但不会根除风险。步骤七输出―残余风险清单。
3 网络风险防范案例
以某市政府官方门户网络应用系统为例，首先要对网络应用系统进行属性分析，风险评估，然后根据风险评估报告和承受能力来决定风险防范具体措施。
3.1 风险评估
该计算机网络应用系统安全级别要求高，根据手工和自动化网络风险评估，结果如下所示：
数据库系统安全状况为中风险等级。在检查的33个项目中，共有9个项目存在安全漏洞。其中：3 个项目为高风险等级，占总检查项目的 9％；1 个项目为中风险等级，占总检查项目的 3％；5 个项目为低风险等级，占总检查项目的 15％。
3.2 风险防范具体措施
选择风险防范措施中的研究和了解同时进行风险限制。确定风险防范实施点，该数据库的设计存在漏洞并且该漏洞可能被利用，所以应该实施风险防范。实施步骤如下：
步骤一：对以上扫描结果中的9个漏洞进行优先级排序，确立每个项目的风险级别。
步骤二：评价建议的安全控制。在该网站主站数据库被建立后针对评估报告中的安全控制建议进行分析，得出要采取的防范策略。
步骤三：对步骤二中得出相应的若干种防范策略进行成本收益分析，最后得出每种防范策略的成本和收益。
步骤四：选择安全控制。对上述扫描的9个漏洞分别选择相应的防范策略。
步骤五：责任分配，输出负责人清单。
步骤六：制定完整的漏洞修复计划。
步骤七：实施选择好的防范策略，按表1对这9个漏洞进行一一修复。
表1 防范措施列表
Tab.1 List of preventive measures
漏洞ID
Vulnerability
ID 漏洞名称
Vulnerability
Name级别
level风险防范策略
Risk prevention
strategiesAXTSGL1006Guest用户检测高预防性技术控制AXTSGL1008登录模式高预防性技术控制AXTSGL3002审计级别设置高监测和恢复技术控制AXTSGL3011注册表存储过程权限中支持和预防性技术控制AXTSGL2001允许远程访问低预防性技术控制AXTSGL2012系统表访问权限设置低预防性技术控制AXTSGL3003安全事件审计低监测恢复技术控制AXTSGL3004黑盒跟踪低恢复管理安全控制AXTSGL3006C2 审计模式低监测和恢复技术控制
4 总 结
在进行计算机网络风险管理分析的基础上，提出了新技术下的风险防范模式和体系结构，同时将该防范模式成功应用到某市官方网站的主站数据库中。应用过程中选择了恰当的防范措施，根据新技术下风险防范实施点的选择流程确立了该数据库的防范实施点并严格按照风险防范实施步骤进行风险防范的执行，成功地使风险降低到一个可接受的级别，使得对机构的资源和使命造成的负面影响最小化。
虽然该防范模式在一定程度上降低了风险的级别，但是由于风险类型的不可预见性和防范策略的局限性，该模式未必使机构或系统的风险降到最低，因此风险防范有待于进一步改进和完善，这将是一个长期的任务。
参考文献（References）
［1］蔡昱，张玉清.风险评估在电子政务系统中的应用［J］.计算机工程与应用，2004，(26)：155-159.［Cai Yu,Zhang Yuqing .Risk assessment in Egovernment System［J］. Computer Engineering and Applications: 2004(26):155-159.］
［2］张平，蒋凡.一种改进的网络安全扫描工具［J］.计算机工程，2001.27(9)：107-109,128.［Zhangping, Jiangfan. Improved Network Security Scanner. Computer Engineering［J］.2001,27(9):107-109,128.］
［3］卿斯汉.网络安全检测的理论和实践［J］.计算机系统应用,2001,(11)：24-28.［Qing Sihan. Network Security Detection Theory and Practice［J］. Computer SystemApplication,2001,(11):24-28.］
［4］戴志峰，何军.一种基于主机分布式安全扫描的计算机免疫系统模型［J］.计算机应,2001,21(10)：24-26,29.［Dai Zhifeng,He jun.Host based Distributed Security Model of the Immune System Scan the Computer［J］. Computer Application, 2001,21(10)：24-26,29.］
Research on Risk Precention Model of Computer Network
YANG Tao1 LI Shuren1 DANG Depeng2
( 1. Computer Network Information Center,Chinese Academy of Sciences,Beijing 100190,China;
2. College of Information Science and Technology,Beijing Normal University,Beijing100875,China)
【关键词】 网络安全 综合评价 方法 应用
一、常见网络安全综合评价方法
1.1层次分析法（AHP）
1）构造层次分析结构：一般按目标层、准则层、方案层建立三层次的结构。
2）构造判断矩阵：判断矩阵的每个元素是某一层两个元素的相对重要性程度值，一般采用 1-9 及其倒数的标度法。
3）层次单排序及一致性验证：计算出某层次因素相对于上一层次某一因素的相对重要性。这一步骤还需要检验构造的判断矩阵的合理性，一般采用判断矩阵最大特征根以外的其余特征根的负平均值，作为度量判断矩阵的偏离一致性的指标。
4）层次总排序及一致性验证：依次沿层次结构由下而上逐层计算，即可计算出结构图中最底层各因素相对于总目标的相对重要性的排序值。
5）决策：根据分析计算结果进行决策。
在网络安全的研究中，一般不直接采用层次分析法去评价网络系统的安全性，而是组合其他综合评价法使用，层次分析法一般用来确定指标的权重。
1.2灰色综合评价法
灰色综合评价是指基于灰色系统理论，对系统或所属因子，在某一时段所处的状态，做出一种半定性与半定量的评价与描述，以便对系统的综合效果和整体水平，形成一个可供比较的概念与类别。
1.3人工神经网络评价法
人工神经网络（ANN）是由大量与自然神经细胞类似的人工神经元互联而组成的网络，它是在对人脑组织结构和运行机制的认识理解基础之上模拟其结构和职能行为的一种工程系统。基于人工神经网络的多指标综合评价方法通过神经网络的自学习、自适应能力和强容错性，建立更加接近人类思维模式的定性和定量的综合评价模型。神经网络综合评价方法具有很强的处理非线性关系数据的能力，其权值是通过实例学习而得，避免了主观性和不确定性，因而具有很大的优越性。
1.3模糊综合评价法
模糊综合评价是以模糊数学为基础，应用模糊关系合成的原理，将一些边界不清、不易量化的因素定量化，从多个因素对被评价事物隶属等级状况进行综合评价的一种方法。模糊综合评价方法能有效地解决在网络安全评估中大量的定性指标量化的问题，是处理带有主观评价的安全性评估最好的方法之一，因此本文采用模糊综合评价方法来建立网络安全综合评价模型，该方法将在第五章中详细介绍。
二、计算机网络运行存在的风险
2.1操作风险
企业经营业务在不断拓展，计算机网络操作的次数更加频繁，这些都需要内部职员经过相关的操作完成。由于专业技能及理论知识不足，内部人员在操作网络执行命令时发生错误，造成数据传输失败或文件丢失，引发了一系列的操作问题。此外，软硬件设备的连接处理，未按照计算机联网标准的要求操作，也会带来许多潜在的操作风险。
2.2数据风险
数据库是网络存储数据的核心区域，同时也是企业用户日常操作的主要对象，其面临的风险隐患最大。如：数据库访问风险，打开数据库未经过有效身份的验证，权限设置不严易造成数据信息被窃取；数据库调用风险，由于管理工作的疏忽，数据库资源可随意性调配利用。数据风险对用户数据调配是极为不利的，风险发生造成了较大的经济损失。
2.3病毒风险
病毒是破坏网络安全的常见因素，病毒的传播性、破坏性、扩散性等特点往往会波及其它计算机。计算机网络被病毒感染，本台计算机系统遭到破坏，用户在网络上执行的有关操作将无法完成命令。
2.4设备风险
硬件设备是计算机网络的重要组成之一，许多网络操作功能均是通过硬件设备调控才能实现。设备风险的来源是由于计算机设备连接不当，模拟调试阶段未对设备潜在的问题及时处理。以主机连接为例，技术人员安装设备未能对数据接口详细检查，主机与其它辅助设备的连接安装不科学，用户操作计算机后容易出现数据传输问题，情况严重时引发设备故障。
三、防范安全风险发生的有效措施
3.1分段技术
分段技术的根本在于从源头开始对网络风险进行控制，当前局域网的传输方式主要是利用交换机作为中心、路由器作为边界，而中心交换机具备优越的访问控制功能及三层交换功能。这就为分段技术的运用提供了有利的条件，如：通过物理分段、逻辑分段对局域网进行安全控制。
3.2加密技术
数据加密是防范网络信息风险最直接最有效的一种方式，如下图所示。该技术主要是引导用户对传输过程中的数据设置有效的密码。
数据加密包括了线路加密、端与端加密等，两种方式都有着自己的特点。线路加密主要对保密信息使用相应的加密密钥进行安全保护。
3.3防火墙技术
对计算机网络安装防火墙最大的作用在于能够避免遭到黑客入侵。防火墙技术的预防原理为结合防火墙的功能对网络通讯实施相应的访问控制规定，只能同意用户允许的人和数据进入内部网络中，对于未经允许的用户和数据则会自动屏蔽。
3.4抗病毒技术
网络病毒不仅危害大，而且传播速度极快，能以很短的时间散布于各个计算机网络。增加抗病毒技术的运用能够对网络病毒起到良好的抵制作用。抗病毒技术主要是通过安装不同的杀毒软件实现，如：卡巴斯基、360等，维护计算机处于正常状态。
四、结束语
考虑到企业办公自动化模式的普及应用，加强网络安全管理工作已成为不容忽视的管理内容。企业在制定基于计算机运营平台的过程中，应深入分析网络潜在的风险隐患，编制科学的安全综合评价方案，更好地运用计算机网络服务企业。
参 考 文 献
关键词：网络安全；病毒防范；防火墙
0 引言
如何保证合法网络用户对资源的合法访问以及如何防止网络黑客的攻击，已经成为网络安全的主要内容。
1 网络安全威胁
1.1 网络中物理的安全威胁 例如空气温度、湿度、尘土等环境故障、以及设备故障、电源故障、电磁干扰、线路截获等。
1.2 网络中信息的安全威胁 ①蠕虫和病毒。计算机蠕虫和病毒是最常见的一类安全威胁。蠕虫和病毒会严重破坏业务的连续性和有效性。随着病毒变得更智能、更具破坏性，其传播速度也更快，甚至能在片刻间使信息处理处于瘫痪状态，而要清除被感染计算机中的病毒所要耗费的时一间也更长。②黑客攻击。“黑客”一词由英语Hacker英译而来，原意是指专门研究、发现计算机和网络漏洞的计算机爱好者。现如今主要用来描述那些掌握高超的网络计算机技术窃取他人或企业部门重要数据从中获益的人。黑客攻击主要包括系统入侵、网络监听、密文破解和拒绝服务（DtS）攻击等。
2 网络安全技术
为了消除上述安全威胁，企业、部门或个人需要建立一系列的防御体系。目前主要有以下几种安全技术：
2.1 密码技术 在信息传输过程中，发送方先用加密密钥，通过加密设备或算法，将信息加密后发送出去，接收方在收到密文后，用解密密钥将密文解密，恢复为明文。如果传输中有人窃取，也只能得到无法理解的密文，从而对信息起到保密作用。
2.2 身份认证技术 通过建立身份认证系统可实现网络用户的集中统一授权，防止未经授权的非法用户使用网络资源。在网络环境中，信息传至接收方后，接收方首先要确认信息发送方的合法身份，然后才能与之建立一条通信链路。身份认证技术主要包括数字签名、身份验证和数字证明。
2.3 病毒防范技术 计算机病毒实际上是一种恶意程序，防病毒技术就是识别出这种程序并消除其影响的一种技术。从防病毒产品对计算机病毒的作用来讲，防病毒技术可以直观地分为病毒预防技术、病毒检测技术和病毒清除技术。
①病毒预防技术。计算机病毒的预防是采用对病毒的规则进行分类处理，而后在程序运作中凡有类似的规则出现则认定是计算机病毒。病毒预防技术包括磁盘引导区保护、加密可执行程序、读写控制技术和系统监控技术等。②病毒检测技术。它有两种：一种是根据计算机病毒的关键字、特征程序段内容、病毒特征及传染方式、文件长度的变化，在特征分类的基础上建立的病毒检测技术；另一种是不针对具体病毒程序的自身校验技术，即对某个文件或数据段进行检验和计算并保存其结果，以后定期或不定期地以保存的结果对该文件或数据段进行检验，若出现差异，即表示该文件或数据段完整性己遭到破坏，感染上了病毒，从而检测到病毒的存在。③病毒清除技术。计算机病毒的清除技术是计算机病毒检测技术发展的必然结果，是计算机病毒传染程序的一个逆过程。目前，清除病毒大都是在某种病毒出现后，通过对其进行分析研究而研制出来的具有相应解毒功能的软件。这类软件技术发展往往是被动的，带有滞后性。而且由于计算机软件所要求的精确性，杀毒软件有其局限性，对有些变种病毒的清除无能为力。
2.4 入侵检测技术 入侵检测技术是一种能够及时发现并报告系统中未授权或异常现象的技术，也是一种用于检测计算机网络中违反安全策略行为的技术。
入侵检测系统所采用的技术可分为特征检测与异常检测两种。
①特征检测的假设是入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。它可以将己有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。②异常检测的假设是入侵者活动异常于正常主体的活动。根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。异常检测的难题在于如何建立“活动简档”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。
2.5 漏洞扫描技术 漏洞扫描就是对系统中重要的数据、文件等进行检查，发现其中可被黑客所利用的漏洞。漏洞检测技术就是通过对网络信息系统进行检查，查找系统安全漏洞的一种技术。它能够预先评估和分析系统中存在的各种安全隐患，换言之，漏洞扫描就是对系统中重要的数据、文件等进行检查，发现其中可被黑客所利用的漏洞。随着黑客人侵手段的日益复杂和通用系统不断发现的安全缺陷，预先评估和分析网络系统中存在的安全问题已经成为网络管理员们的重要需求。漏洞扫描的结果实际上就是系统安全性能的评估报告，它指出了哪些攻击是可能的，因此成为网络安全解决方案中的一个重要组成部分。
漏洞扫描技术主要分为被动式和主动式两种：
传统的企业网络安全防范主要都是对网络病毒、系统漏洞、入侵检测等方面加以设置，安全措施和相关配置通常都在网络与外部进行连接的端口处加以实施，采取这样的网络安全防范虽然能够降低外部网络带来的安全威胁，但却忽视了企业内部网络潜在的安全问题。
目前，企业内部网络的安全问题的严重程度已经远远超过了外部网络带来的安全威胁，企业内部网络的安全威胁成为了企业信息安全面临的重大难题。但是，由于企业管理人员的网络安全防范意识不强，对于企业内部网络的安全问题不够重视，甚至没有对企业内部网络采取任何安全防范措施，因此导致了企业内部网络安全事故不断增加，给企业带来了重大经济损失和社会负面影响，怎样能够保证企业内部网络不受到任何威胁和侵害，已经成为了企业在信息化发展建设过程中亟待解决的问题。
2 企业内部网络的安全威胁
随着计算机技术和网络技术的飞速发展，企业内部网络是其信息化建设过程中必不可少的一部分。而且，网络应用程序的不断增多也使得企业网络正在面临着各种各样的安全威胁。
2.1内部网络脆弱
企业内部网络遭到攻击通常是利用企业内部网络安全防范的漏洞实现的，而且，由于部分网络管理人员对于企业内部网络安全防范不够重视，使得大部分的计算机终端都面临着严重的系统漏洞问题，随着内部网络中应用程序数量的日益增加，也给计算机终端带来了更多的系统漏洞问题。
2.2用户权限不同
企业内部网络的每个用户都拥有不同的使用权限，因此，对用户权限的统一控制和管理非常难以实现，不同的应用程序都会遭到用户密码的破译和非法越权操作。部分企业的信息安全部门对于内部网络的服务器管理不到位，更容易给网络黑客留下可乘之机。
2.3涉密信息分散
由于部分企业内部网络的涉密数据存储分布在不同的计算机终端中，没有将这些涉密信息统一存储到服务器中，又缺乏严格有效的监督控制管理办法。甚至为了方便日常办公，对于涉密数据往往不加密就在内部网络中随意传输，这就给窃取涉密信息的人员制造了大量的攻击机会。
3 企业内部网络安全防范设计方案
3.1网络安全防范总体设计
即使企业内部网络综合使用了入侵检测系统、漏洞扫描系统等防护手段，也很难保证企业内部网络之间数据通信的绝对安全。因此，在本文设计的企业内部网络安全防范方案中，部署了硬件加密机的应用，能够保证对企业内部网络中的所有数据通信进行加密处理，从而加强企业内部网络的安全保护。
3.2网络安全体系模型构建
企业内部网络安全体系属于水平与垂直分层实现的，水平层面上包括了安全管理、安全技术、安全策略和安全产品，它们之间是通过支配和被支配的模式实现使用的；垂直层面上的安全制度是负责对水平层面上的行为进行安全规范。一个企业内部网络安全体系如果想保持一致性，必须包括用户授权管理、用户身份认证、数据信息保密和实时监控审计这四个方面。这四个方面的管理功能是共同作用于同一个平台之上的，从而构建成一个安全可靠、实时可控的企业内部网络。
1）用户身份认证
用户身份认证是保证企业内部网络安全稳定运行的基础，企业内部网络中的用户身份认证包括了服务器用户、网络设备用户、网络资源用户、客户端用户等等，而且，由于网络客户端用户数量庞大，存在着更多的不安全、不确定性，因此，对于网络客户端用户的身份认证至关重要。
2）用户授权管理
用户授权管理是以用户身份认证作为基础的，主要是对用户使用企业内部网络的数据资源时进行授权，每个用户都对应着不用的权限，权限代表着能够对企业内部网络中的某些资源进行访问和使用，包括服务器数据资源的使用权限、网络数据资源使用权限和网络存储设备资源使用权限等等。
3）数据信息保密
数据信息保密作为企业内部网络中信息安全的核心部分，需要对企业内部网络中进行数据通信的所有数据进行安全管理，保证数据通信能够在企业内部网络中处于一个安全环境下进行，从而保证对企业内部网络涉密信息和知识产权信息的有效保护。
4）实时监控审计
实时监控审计作为企业内部网络中必不可少的部分，主要实现的是对企业内部网络的安全的实时监控，定期生成企业内部网络安全评估报告，一旦企业内部网络出现安全问题时，能够及时汇总数据，为安全事故的分析判断提供有效依据。
4结论
目前，关于企业内部网络的安全防范问题一直是网络信息安全领域研究的热点问题，越来越多的企业将办公系统应用于企业内部网络中，但是由于企业工作人员的安全防范意识不强，或者网络操作不规范，都给企业内部网络带来了更多的安全威胁。本文提出的企业内部网络安全防范设计方案，能够有效解决多种内部网络的安全问题，具有一定的实践应用价值。
参考文献
[关键词] 水务；网络信息安全；管理
[中图分类号] F272.7 [文献标识码] A [文章编号] 1673 - 0194（2013）20- 0054- 03
0 引 言
随着上海水务信息化工作的快速推进和不断深化，电子政务、数字水务、水务公共信息平台、水资源管理系统等信息化成果有力推动了水务的现代化建设。网络平台作为信息化建设和信息化成果应用的重要基础平台， 支撑起了巨大的IT价值，是水务IT价值实现的根本和基础。在互联网快速发展的背景下，网络攻击手段日益增多，信息系统所面临的安全风险也越来越多，如何确保网络信息安全已成为水务信息化进程中的一项重要工作。
1 现状分析
上海水务网络由中国水利信息网接入网、市防汛水务专网、市政务外网接入网、办公局域网、无线专网等网络组成，实现了上连国家防总、水利部、全国流域机构，中连全市各委办局、下连所有局属单位以及全市各区县防汛指挥部，系统承载了防汛报讯系统、电子政务系统、水务公共信息平台、视频会议系统、视频监控、水务热线、水资源管理系统等重要水务防汛应用。
为确保网络运行安全和系统应用正常，水务网络实施了一系列的安全防护措施，主要包括：在网络边界处部署安全访问控制设备，如防火墙、上网行为设备等，建立了安全的通信连接，确保数据访问合法并在有效的安全管理控制之下，同时作为抵御外部威胁的第一道防线，有效检测和防御恶意入侵；在网络核心部位和重要区域部署了入侵检测设备，分析网络传输数据，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象；开展计算环境安全管理，主要内容包括操作系统策略管理、统一病毒防护管理、安全补丁管理等。
2 面临的安全风险
2.1 信息系统缺乏同步安全建设
信息化进程中，普遍存在重建设轻管理，重应用功能轻安全防护，导致信息系统在建设过程中没有充分考虑信息安全防护措施和管理要求，通常在安全测评阶段，根据相应的测评指标，临时、被动地实施相关安全防护措施，虽然满足了测评的基本要求，但是安全措施比较零散，缺乏体系和相互关联，甚至实施的安全措施治标不治本，安全隐患重重。
2.2 未充分发挥安全产品防御作用
当前，信息安全已深入到业务行为关联和信息内容语义范畴。防火墙的访问控制、入侵检测的预警判断、网闸的数据传输控制以及安全审计信息的合规性判断均来自应用安全策略要求，信息安全产品更多的是面向应用层面的信息安全控制。但是由于系统开发缺乏明确的安全需求，造成了信息安全产品针对其实施的安全策略权限开放过大或无安全策略，安全告警无法有效判断，使得部分产品形同虚设，不能充分发挥其防御作用。
2.3 软件漏洞
软件漏洞是信息安全问题的根源之一，易引发信息窃取、资源被控、系统崩溃等安全事件。软件漏洞主要涉及操作系统漏洞、数据库系统漏洞、中间件漏洞、应用程序漏洞等。操作系统、数据库等厂商会不定期针对漏洞相应的补丁，但是，由于应用系统运行对程序开发环境的依赖度较高，补丁升级存在较大安全风险和不确定性，使得应用部门通常不实施操作系统等相关补丁升级工作。此外，应用程序本身也普遍缺失安全技术，存在诸多未知安全漏洞等问题。
2.4 网络病毒
计算机病毒是数据安全的头号大敌，根据国家计算机病毒应急处理中心的《2011年全国信息网络安全状况与计算机及移动终端病毒疫情调查分析报告》，2011年全国计算机病毒感染率为48.87%，虽呈下降态势，但是病毒带来的危害越来越大。
2.5 黑客攻击
国家互联网应急中心（CNCERT）的最新数据显示，中国遭受境外网络攻击的情况日趋严重。CNCERT抽样监测发现，2013年1月1日至2月28日不足60天的时间里，境外6 747台木马或僵尸网络控制服务器控制了中国境内190万余台主机。在信息系统漏洞频出的情况下，面向有组织的黑客攻击行为，现有的技术防护和安全管理措施捉襟见肘。
2.6 信息安全意识薄弱
人是信息安全工作的核心因素，其安全管理水平将直接影响信息安全保障工作。由于缺少宣传、培训和教育，用户信息安全意识较为淡薄。由于安全意识淡薄和缺乏识别潜在的安全风险，用户在实际工作中容易产生违规操作，引发信息安全问题或失泄密事件。
3 采取的管理措施
存在这些安全风险的主要原因为缺乏信息安全规划、缺乏持续改进的安全维护保障措施以及安全意识薄弱等，所以做好该部分工作是解决当前所面临安全风险的主要措施。
3.1 信息安全规划
信息安全规划是一个涉及技术、管理、法规等多方面的综合工程，是确保物理安全、网络安全、主机安全、应用安全和数据安全的系统性规划。信息安全规划既依托于信息化规划，又是信息化的重要组成部分。在信息安全规划的指导下，信息系统安全建设与管理才能有计划、有方向、有目标。信息安全规划框架如图1。
3.1.1 以信息化规划为指引，以信息化建设现状为基础
信息安全规划是以信息化规划为指引，以信息化建设现状为基础，系统性的规划信息安全架构，是信息化发展中的重要环节。信息安全规划一方面要对信息化发展现状进行深入和全面的调研，摸清家底、掌握情况，分析当前存在的安全问题和信息化发展所带来的安全需求，另一方面要紧紧围绕信息化规划，按照信息化发展战略和思路，同步考虑信息安全问题。
3.1.2 建立信息安全体系
信息安全规划需要围绕技术安全、管理安全、组织安全进行全面的考虑，建立相应的信息安全体系，确定信息安全的任务、目标、战略以及人员保障。
3.2 日常安全运维保障
3.2.1 关注互联网安全动态
互联网的快速发展使得水务网络安全与互联网安全密切相关。因此，关注互联网安全动态，及时更新或调整水务网络安全策略和防护措施，是日常安全管理工作中的一项重要工作。
3.2.2 安全态势分析
网络信息安全是一个动态发展的过程，固化的安全防护措施无法持续确保网络环境安全。定期对网络安全环境进行态势分析不仅可以掌握当前存在的问题，面临的风险，而且可以及时总结原因，制定改进策略。安全态势分析主要通过对网络设备、安全设备、主机设备及安全管理工具等策略变更信息、日志信息、安全告警信息等，经过统计和关联分析，综合评估网络系统安全状态，并判断发展变化趋势。
3.2.3 信息安全风险评估
风险评估是信息安全管理工作的关键环节。通过开展风险评估工作，可以发现信息安全存在的主要问题和矛盾，找到解决诸多问题的办法。安全风险评估的主要步骤和方法：①确定被评估的关键信息资产；②通过文档审阅、脆弱性扫描、本地审计、人员访谈、现场观测等方式，获得评估范围内主机、网络、应用等方面与信息安全相关的技术与管理信息；③对所获得的信息进行综合分析，鉴别被评估信息资产存在的安全问题与风险；④从系统脆弱性鉴别、漏洞和威胁分析、现有技术和管理措施、管理制度等方面，根据不同风险的优先级，分析、确定管理相应风险的控制措施；⑤基于以上分析的结果，形成相应的信息安全风险评估报告。
3.2.4 应急响应
应急响应是信息安全防护的最后一道防线，其主要目的是尽可能地减小和控制信息安全事件的损失，提供有效的响应和恢复。应急响应包括事先应急准备和事件发生后的响应措施两部分。事先应急准备主要包括明确组织指挥体系，预警及预防机制，应急响应流程，应急队伍、应急设备、技术资料、经费等应急保障，定期开展应急演练等工作。事件发生后的应急措施包括收集系统特征，检测病毒、后门等恶意代码，限制或关闭网络服务，系统恢复等工作。这两方面互相补充，事前应急准备为事件发生后的响应提供指导，事后的响应处置进一步促进事前准备工作的不断完善。
3.3 教育培训
人是信息安全工作的核心因素，其知识结构和应用水平将直接影响信息安全保障工作。加强相关信息安全管理人员的专业培训，以及开展面向网络用户的信息安全宣传教育、行为引导等，是提升信息安全专业化管理水平，提高信息安全意识，有效避免信息安全问题或失泄密事件发生的重要工作。
4 总 结
随着信息化进程的加快，信息系统所面临的安全风险越来越多，信息安全管理工作要求也逐步提高。持续分析、总结网络信息安全管理中存在的问题，并采取针对性的措施不断加以改进，成为保证水务信息化战略实现、不断提升水务部门管理能力和服务水平的重要基础保障工作。
主要参考文献
[1]GB/T 22239-2008，信息安全技术信息系统安全等级保护基本要求[S].
[2]GB/T 25058-2010，信息安全技术信息系统安全等级保护实施指南[S].
2012年的报告主要内容包括引言、战略指导、对工业基础的“逐行业、逐层级”（S2T2）评估、对工业部类的评估、国防并购、维持工业能力的计划与措施等6部分。本文呈现的是该报告对美国国防工业各领域的评估。负责制造和工业基础政策的国防部副部长助理主导评估与分析，对以下领域开展了工业基础检查。评估包括该工业领域的运行状况、支持该领域的财务状况、对国防工业基础很重要的风险领域或关键问题。
飞机工业领域
2011财年，军用飞机销售和利润率稳健增长，产品和服务销售较上年增长4.2%，企业财务健康。但由于F-35开发项目终止，以及未来年度并无新战斗机需求，国防部将降低战术飞机研发预算；同时，飞机工业劳动力老化，年轻工程师对该领域兴趣减小，关键设计能力面临缺乏与不足。而与之相对应的是，对无人机的需求在不断增长，工业基础广阔、健康、并持续增长。
主要问题有：①大型铸件和锻件供应商少，需要的准备期长，对能源和原材料价格、需求周期高度敏感；②高精度轴承供应商有限，许多平台对单一产品和单一供应商依赖度高。
信息技术、雷达与电子战、指挥、控制、通信与计算机领域（IT/C4）
信息技术工业仍然保持健康，各类可供选择的供应商众多。由于防务公司和商业公司的技术技能并无实质性差异，国防部对商业公司（尤其低层的供应商）的依赖逐年增加。建模与仿真是“逐行业、逐层级”评估关注的焦点，目前该领域运行健康，有能力满足当前与未来需求。指挥、控制、通信与计算机工业存在大量具有设计与生产资格的供应商，有健康的全球商用电子工业作为支持。
主要问题包括：①雷达与电子战工业整体状况可维持，但基础较为薄弱，一些关键技术难以民用；②C4工业基础的全球化和商业化特性导致供应链管理和防止假冒伪劣等方面易发生问题；③国防部通信主要依赖商业网络，国内只有一家第一层级电信设备供应商和少数第二层级供应商。
服务保障工业领域
服务保障工业组织简单，只有主承包商和分包商两个层级，每个层级都有相当多的劳动力群体。主承包商通过一个或多个分包商获得专业化技能。由于几乎所有需求都有多样的、高度竞争的、有经验的供应源，因此服务保障工业保持相对健康。
主要问题为：复杂武器系统设计人员不足。
网络电磁工业领域
网络电磁工业是信息和通信技术（ICT）工业的一部分，但由于其在国家安全中的特殊地位，新版《年度工业能力评估报告》将其从传统的IT/C4工业中单列出来。通过评估发现，在网络电磁领域，美国存在着各种层面的竞争对手，不过基于ICT工业的全球性特征，美国商用ICT工业无需在规模或年收入上压倒竞争对手，而是要着眼于保持领先地位。
主要问题包括：①网络电磁安全人才相对不足，对工业基础的支撑不够坚实；②国防工业基础网络安全方面，要满足“国防联邦采办条例”补充规定（DFARS）的要求，将额外增加工业基础投入。
战车工业领域
战车工业对美国在伊拉克和阿富汗战争中的行动提供了有力支撑，具有较好的应急能力。2012年新版战略指南预计国防开支减少和军事力量更趋精简灵巧，取代了既要保持战车数量又要开发新型陆地战车的传统思路。
主要问题有：①随着陆地战车采购量下降，仅生产军用车辆的供应商的承受能力要差于生产军民两用车辆的供应商；②中小供应商抵御风险的能力不足，应保障其具有专业人才、技能和设计研发新一代产品的能力。
材料工业领域
用于制造中间产品和最终产品的原材料及供应链对于国家制造基础、整体经济和国家安全是不可或缺的。原材料供应链通常依赖于国际贸易，国防工业基础对原材料的需求占美国整体需求的比例有限，大部分还是集中在商业领域。因而，保持国防工业基础健康发展必须有充满活力的商业制造基础。美国国防部采取了一系列措施，评估原材料供应链为作战人员提供可靠和经济的产品的能力。
主要问题为：国际市场存在出口管制等行为，导致稀土等原材料供应受到影响。
弹药和导弹工业领域
弹药和导弹工业是国防工业的基础行业。该领域存在较为明显的周期性，在冲突时产量骤增，在冲突结束后锐减。这种周期性，要求主承包商对分承包商具有良好的产量管理能力。
问题主要有：（1）洛・马公司和雷声公司占据85%的市场份额，两大公司的分承包商之间竞争不足；（2）预算增加，但是研发和采办投入可能下降，从而导致维持设计和工程团队存在困难；（3）主承包商维持关键的分承包商工业基础面临挑战。
舰船工业领域
舰船工业总体保持稳定，主要船厂和承包商财务状况良好。舰船工业部门出现数起并购重组，如诺・格集团分拆舰船业务，通用动力决定收购康弗蒂姆公司；主减速齿轮、军用阀门等低层级行业也存在并购事件。
主要问题有：①无大型中速柴油机制造商，只能以许可证的方式生产；②大型铸件供应商短缺；③大型锻压（尤其是1.4万～5万吨）行业存在不足，仅有一家超大型锻压制造商可制造推进轴及核反应堆安全壳等关键组件。
航天工业领域
