发布时间：2023-09-24 15:54:23
序言：写作是分享个人见解和探索未知领域的桥梁，我们为您精选了8篇的局域网网络安全措施样本，期待这些样本能够为您提供丰富的参考和启发，请尽情阅读。
>> 计算机网络数据库存在的安全威胁与应对措施 计算机网络数据库存在的安全威胁及措施 计算机网络数据库存在的安全威胁与应对措施分析 计算机网络数据库存在的安全威胁与应对措施探讨 计算机网络安全存在的威胁与防范措施 浅析计算机网络安全的威胁因素与防范措施 浅谈计算机网络安全中存在的威胁及防范措施 浅析计算机网络存在的威胁及防范措施 浅谈计算机网络的安全威胁及其防范措施 计算机网络安全威胁及防范的技术措施 浅议计算机网络安全的威胁及防范措施 计算机网络安全的威胁及维护措施 解析计算机网络的安全威胁及防范措施 针对计算机网络面临威胁的安全防范措施 计算机网络信息安全面临的威胁及防护措施 计算机网络数据库的安全管理技术分析 计算机网络数据库安全技术的优化 浅谈现代计算机网络数据库的安全问题 计算机网络数据库安全技术方案的探究 计算机网络数据库安全的维护策略研究 常见问题解答 当前所在位置：。在IIS每个网站都设置对应的权限，把放在网站后台管理中心上传文件的目录执行权限改为“无”效果更好，避免ASP木马，服务器管理员重视工作。
4 结论
在计算机网络系统的安全管理中，数据库的安全是重要的一部分，应该采取多种保护措施，对计算机网络数据库的安全进行保护，有效的防止非法入侵与袭击，为网路用户提供一个安全、稳定的网络环境。
参考文献
[1] 李林艳.网络环境下的计算机数据库安全[J].电子世界，2012（14）.
[2] 方鹏.浅谈计算机网络数据库的安全机制问题[J].计算机光盘软件与应用，2011（22）.
一、低档次网络的安全弊病
以无线方式连接到小区宽带网络，并通过宽带网络进行共享访问Internet的组网环境下，我们往往只要先通过普通双绞线将低档无线路由器的WAN端口与小区宽带网络的交换端口连接在一起，然后参照说明书对无线路由器的连接端口参数进行合适的设置，就能上网访问了。由于在默认状态下，低档无线路由器会自动启用DHCP服务功能，当我们将无线网卡设备正确地安装到普通计算机上后，不需要进行任何参数设置就能自动连接到无线局域网网络中了。然而在享受组网便利的同时，低档次无线路由器的信号覆盖范围最远可达到300米左右，要是不采取安全措施进行防范的话，那么处于300米范围之内安装了无线网卡设备的普通计算机都能自动加入本地无线局域网网络中，那样一来本地无线局域网就容易遭遇非法攻击。
从目前来看，组建方便的低档次无线局域网存在下面一些安全弊病：
1 安全机制不太健全
低档次无线局域网大部分都采用了安全防范性能一般的WEP协议，来对无线上网信号进行加密传输。而没有选用安全性能较高的WAP协议来保护无线信号的传输。普通上网用户即使采用了WEP加密协议、进行了WEP密钥设置，非法攻击者仍然能通过一些专业的攻击工具轻松破解加密信号，从而非常容易地截取客户上网地址、网络标识名称、无线频道信息、WEP密钥内容等信息，有了这些信息在手，非法攻击者就能方便地对本地无线局域网网络进行偷窃隐私或其他非法入侵操作了。
此外，低档次无线局域网几乎都不支持系统日志管理、入侵安全检测等功能，可以这么说低档次无线局域网目前的安全机制还不太健全。
2 无法进行物理隔离
低档次无线局域网从组建成功的那一刻，就直接暴露在外界，无线网络访问也无法进行任何有效的物理隔离，各种有意的、无意的非法攻击随时存在，那么无线局域网中的各种隐私信息也会随时被偷偷窃取、访问。
3 用户安全意识不够
低档次无线局域网往往只支持简单的地址绑定、地址过滤以及加密传输功能，这些基本安全功能在非法攻击者面前几乎没有多大防范作用。不过，一些不太熟悉无线网络知识的用户为了能够快速地实现移动办公、资源共享等目的，往往会毫不犹豫地选用组网成本低廉、管理维护操作简便的低档次无线局域网，至于无线局域网的安全性能究竟如何，相信这些初级上网用户几乎不会进行任何考虑。再加上这些不太熟悉无线网络知识的初级用户，对网络安全知识了解得更少了，这些用户在使用无线网络的过程中很少有意识去进行一些安全设置操作。
4 抗外界干扰能力差
无线局域网在工作的过程中，往往会选用一个特定的工作频段，在相同的工作频段内无线网络过多时，信号覆盖范围会互相重叠，这样会严重影响有效信号的强弱，最终可能会影响无线局域网的信号传输稳定性：此外。无线上网信号在传输过程中，特别容易受到墙体之类的建筑物的阻挡或干扰，这样也会对无线局域网的稳定性造成一定的影响。对于那些低档次的无线局域网来说，它的抗外界干扰能力就更差了，显然这样的无线局域网是无法满足高质量网络访问应用要求的。
二、组网便利下的安全威胁
既然低档次无线局域网存在上述一些安全弊病，这些弊病要是突然发作起来或被非法攻击者利用的话，那么就可能给我们带来不小的安全威胁：
1 造成隐私信息外泄
有的时候，不少无线局域网上网用户为了方便工作，往往会在不经意间将单位的重要隐私信息或核心工作信息，甚至将一些属于绝密范畴的信息通过移动设备挂上无线局域网网络中，这样无形之中就容易发生重要隐私信息外泄的危险，严重的时候能够给单位或个人造成巨大的经济损失。
2 降低内网安全能力
单位无线局域网附近有时还会存在一些家用无线局域网或者其他单位的无线局域网，这些无线局域网常常会用于移动办公或共享访问Internet网络的，这些无线网络的使用者大多没有足够的安全防范意识，并且他们应用无线网络的要求不是很高，也用不着对无线上网进行一些安全设置操作。在这种情形下，单位中任何一台安装了无线网卡设备的笔记本电脑都有可能自动连接到其他单位的无线局域网中，如此一来就容易发生这个单位的无线局域网与其他单位的无线局域网直接互联的现象，甚至可能出现单位无线局域网直接与Internet网络互联的现象。这些现象明显会降低单位内网安全防范能力。容易给单位造成严重的安全后果。
3 危及信息系统安全
考虑到低档次无线局域网组网成本低廉，不需要进行复杂布线，管理维护也很方便，要是安全意识不到位，那么一些规模较小的单位很可能出于技术、成本等因素，来选用一些价格低廉、质量低劣的无线网络设备进行组网升级、信息点的延伸，由这些网络设备搭建而成的网络将会天然暴露在外界，无线网络访问无法做到有效的物理隔离，那样一来单位的信息系统安全将会随时受到危及。
三、化解无线网络安全威胁
虽然低档次无线局域网容易给我们带来各种意想不到的安全威胁，会给单位的信息系统造成不小的安全隐患，不过对于那些对安全性要求不是很高的小规模单位来说，仍然可以选用低档次的无线局域网，毕竟这种类型的组网成本非常低廉，更为重要的是通过制定有效的措施完全可以将低档次无线局域网的安全威胁降到最低限度，让规模不大的单位用户也能尽情地享受组网便利。
1 向检查要安全
为了随时了解单位无线网络的安全状态，我们应该定期对单位的内网、外网使用情况以及核心网络设备的工作状态进行详细检查，并做好详细的检查记录。与此同时，我们还应该加大力度对单位无线局域网附近区域的无线网络工作环境进行动态监测，一定的时候还需要对单位的网络系统安全进行评估以及审计：此外，对于涉及到处于单位核心隐私信息以及进行重要网络应用的工作场所，应该及时采取电磁屏蔽等手段，来阻止非法网络入侵或攻击。
2 向宣传要安全
由于低档次无线局域网很容易影响到单位内部网络的使用安全性，为此单位负责人必须准备好丰富齐全的网络安全资料，在单位上、下定期开展无线上网安全知识的宣传、培训，以便强化每一位无线上网用户的安全防范意识，同时有必要针对性地进行网络安全专项整治工作，保证单位所有员工都能在思想上高度重视无线网络安全工作。
3 向管理要安全
关键字：WLAN，WEP，SSID，DHCP，安全措施
1、引言
WLAN是WirelessLAN的简称，即无线局域网。所谓无线网络，顾名思义就是利用无线电波作为传输媒介而构成的信息网络，由于WLAN产品不需要铺设通信电缆，可以灵活机动地应付各种网络环境的设置变化。WIAN技术为用户提供更好的移动性、灵活性和扩展性，在难以重新布线的区域提供快速而经济有效的局域网接入，无线网桥可用于为远程站点和用户提供局域网接入。但是，当用户对WLAN的期望日益升高时，其安全问题随着应用的深入表露无遗，并成为制约WLAN发展的主要瓶颈。[1]
2、威胁无线局域网的因素
首先应该被考虑的问题是，由于WLAN是以无线电波作为上网的传输媒介，因此无线网络存在着难以限制网络资源的物理访问，无线网络信号可以传播到预期的方位以外的地域，具体情况要根据建筑材料和环境而定，这样就使得在网络覆盖范围内都成为了WLAN的接入点，给入侵者有机可乘，可以在预期范围以外的地方访问WLAN，窃听网络中的数据，有机会入侵WLAN应用各种攻击手段对无线网络进行攻击，当然是在入侵者拥有了网络访问权以后。
其次，由于WLAN还是符合所有网络协议的计算机网络，所以计算机病毒一类的网络威胁因素同样也威胁着所有WLAN内的计算机，甚至会产生比普通网络更加严重的后果。
因此，WLAN中存在的安全威胁因素主要是：窃听、截取或者修改传输数据、置信攻击、拒绝服务等等。
IEEE802.1x认证协议发明者VipinJain接受媒体采访时表示：“谈到无线网络，企业的IT经理人最担心两件事：首先，市面上的标准与安全解决方案太多，使得用户无所适从；第二，如何避免网络遭到入侵或攻击？无线媒体是一个共享的媒介，不会受限于建筑物实体界线，因此有人要入侵网络可以说十分容易。”[1]因此WLAN的安全措施还是任重而道远。
3、无线局域网的安全措施
3.1采用无线加密协议防止未授权用户
保护无线网络安全的最基本手段是加密，通过简单的设置AP和无线网卡等设备，就可以启用WEP加密。无线加密协议(WEP)是对无线网络上的流量进行加密的一种标准方法。许多无线设备商为了方便安装产品，交付设备时关闭了WEP功能。但一旦采用这种做法，黑客就能利用无线嗅探器直接读取数据。建议经常对WEP密钥进行更换，有条件的情况下启用独立的认证服务为WEP自动分配密钥。另外一个必须注意问题就是用于标识每个无线网络的服务者身份(SSID)，在部署无线网络的时候一定要将出厂时的缺省SSID更换为自定义的SSID。现在的AP大部分都支持屏蔽SSID广播，除非有特殊理由，否则应该禁用SSID广播，这样可以减少无线网络被发现的可能。[2]
但是目前IEEE802.11标准中的WEP安全解决方案，在15分钟内就可被攻破，已被广泛证实不安全。所以如果采用支持128位的WEP，破解128位的WEP的是相当困难的，同时也要定期的更改WEP，保证无线局域网的安全。如果设备提供了动态WEP功能，最好应用动态WEP，值得我们庆幸的，WindowsXP本身就提供了这种支持，您可以选中WEP选项“自动为我提供这个密钥”。同时，应该使用IPSec，VPN，SSH或其他
WEP的替代方法。不要仅使用WEP来保护数据。
3.2改变服务集标识符并且禁止SSID广播
SSID是无线接人的身份标识符，用户用它来建立与接入点之间的连接。这个身份标识符是由通信设备制造商设置的，并且每个厂商都用自己的缺省值。例如，3COM的设备都用“101”。因此，知道这些标识符的黑客可以很容易不经过授权就享受你的无线服务。你需要给你的每个无线接入点设置一个唯一并且难以推测的SSID。如果可能的话。还应该禁止你的SSID向外广播。这样，你的无线网络就不能够通过广播的方式来吸纳更多用户．当然这并不是说你的网络不可用．只是它不会出现在可使用网络的名单中。[3]
3.3静态IP与MAC地址绑定
无线路由器或AP在分配IP地址时，通常是默认使用DHCP即动态IP地址分配，这对无线网络来说是有安全隐患的，“不法”分子只要找到了无线网络，很容易就可以通过DHCP而得到一个合法的IP地址，由此就进入了局域网络中。因此，建议关闭DHCP服务，为家里的每台电脑分配固定的静态IP地址，然后再把这个IP地址与该电脑网卡的MAC地址进行绑定，这样就能大大提升网络的安全性。“不法”分子不易得到合法的IP地址，即使得到了，因为还要验证绑定的MAC地址，相当于两重关卡。[4]设置方法如下：
首先，在无线路由器或AP的设置中关闭“DHCP服务器”。然后激活“固定DHCP”功能，把各电脑的“名称”(即Windows系统属陆里的“计算机描述”)，以后要固定使用的IP地址，其网卡的MAC地址都如实填写好，最后点“执行”就可以了。
3.4VPN技术在无线网络中的应用
对于高安全要求或大型的无线网络，VPN方案是一个更好的选择。因为在大型无线网络中维护工作站和AP的WEP加密密钥、AP的MAC地址列表都是非常艰巨的管理任务。
对于无线商用网络，基于VPN的解决方案是当今WEP机制和MAC地址过滤机制的最佳替代者。VPN方案已经广泛应用于Internet远程用户的安全接入。在远程用户接入的应用中，VPN在不可信的网络(Internet)上提供一条安全、专用的通道或者隧道。各种隧道协议，包括点对点的隧道协议和第二层隧道协议都可以与标准的、集中的认证协议一起使用。同样，VPN技术可以应用在无线的安全接入上，在这个应用中，不可信的网络是无线网络。AP可以被定义成无WEP机制的开放式接入(各AP仍应定义成采用SSID机制把无线网络分割成多个无线服务子网)，但是无线接入网络VLAN(AP和VPN服务器之问的线路)从局域网已经被VPN服务器和内部网络隔离出来。VPN服务器提供网络的认征和加密，并允当局域网网络内部。与WEP机制和MAC地址过滤接入不同，VPN方案具有较强的扩充、升级性能，可应用于大规模的无线网络。
3.5无线入侵检测系统
无线入侵检测系统同传统的入侵检测系统类似，但无线入侵检测系统增加了无线局域网的检测和对破坏系统反应的特性。侵入窃密检测软件对于阻拦双面恶魔攻击来说，是必须采取的一种措施。如今入侵检测系统已用于无线局域网。来监视分析用户的活动，判断入侵事件的类型，检测非法的网络行为，对异常的网络流量进行报警。无线入侵检测系统不但能找出入侵者，还能加强策略。通过使用强有力的策略，会使无线局域网更安全。无线入侵检测系统还能检测到MAC地址欺骗。他是通过一种顺序分析，找出那些伪装WAP的无线上网用户无线入侵检测系统可以通过提供商来购买，为了发挥无线入侵检测系统的优良的性能，他们同时还提供无线入侵检测系统的解决方案。[1]
3.6采用身份验证和授权
当攻击者了解网络的SSID、网络的MAC地址或甚至WEP密钥等信息时，他们可以尝试建立与AP关联。目前，有3种方法在用户建立与无线网络的关联前对他们进行身份验证。开放身份验证通常意味着您只需要向AP提供SSID或使用正确的WEP密钥。开放身份验证的问题在于，如果您没有其他的保护或身份验证机制，那么您的无线网络将是完全开放的，就像其名称所表示的。共享机密身份验证机制类似于“口令一响应”身份验证系统。在STA与AP共享同一个WEP密钥时使用这一机制。STA向AP发送申请，然后AP发回口令。接着，STA利用口令和加密的响应进行回复。这种方法的漏洞在于口令是通过明文传输给STA的，因此如果有人能够同时截取口令和响应，那么他们就可能找到用于加密的密钥。采用其他的身份验证／授权机制。使用802.1x，VPN或证书对无线网络用户进行身份验证和授权。使用客户端证书可以使攻击者几乎无法获得访问权限。
[5]
3.7其他安全措施
除了以上叙述的安全措施手段以外我们还要可以采取一些其他的技术，例如设置附加的第三方数据加密方案，即使信号被盗听也难以理解其中的内容；加强企业内部管理等等的方法来加强WLAN的安全性。
4、结论
无线网络应用越来越广泛，但是随之而来的网络安全问题也越来越突出，在文中分析了WLAN的不安全因素，针对不安全因素给出了解决的安全措施，有效的防范窃听、截取或者修改传输数据、置信攻击、拒绝服务等等的攻击手段，但是由于现在各个无线网络设备生产厂商生产的设备的功能不一样，所以现在在本文中介绍的一些安全措施也许在不同的设备上会有些不一样，但是安全措施的思路是正确的，能够保证无线网络内的用户的信息和传输消息的安全性和保密性，有效地维护无线局域网的安全。
参考文献
[1]李园,王燕鸿,张钺伟,顾伟伟.无线网络安全性威胁及应对措施[J].现代电子技术.2007,(5):91-94.
[2]王秋华,章坚武.浅析无线网络实施的安全措施[J].中国科技信息.2005,(17):18.
[3]边锋.不得不说无线网络安全六种简单技巧[J].计算机与网络.2006,(20):6.
关键字：wlan，wep，ssid，dhcp，安全措施
1、 引言
wlan是wireless lan的简称，即无线局域网。所谓无线网络，顾名思义就是利用无线电波作为传输媒介而构成的信息网络，由于wlan产品不需要铺设通信电缆，可以灵活机动地应付各种网络环境的设置变化。wian技术为用户提供更好的移动性、灵活性和扩展性，在难以重新布线的区域提供快速而经济有效的局域网接入，无线网桥可用于为远程站点和用户提供局域网接入。但是，当用户对wlan的期望日益升高时，其安全问题随着应用的深入表露无遗，并成为制约wlan发展的主要瓶颈。
2、 威胁无线局域网的因素
首先应该被考虑的问题是，由于wlan是以无线电波作为上网的传输媒介，因此无线网络存在着难以限制网络资源的物理访问，无线网络信号可以传播到预期的方位以外的地域，具体情况要根据建筑材料和环境而定，这样就使得在网络覆盖范围内都成为了wlan的接入点，给入侵者有机可乘，可以在预期范围以外的地方访问wlan，窃听网络中的数据，有机会入侵wlan应用各种攻击手段对无线网络进行攻击，当然是在入侵者拥有了网络访问权以后。
其次，由于wlan还是符合所有网络协议的计算机网络，所以计算机病毒一类的网络威胁因素同样也威胁着所有wlan内的计算机，甚至会产生比普通网络更加严重的后果。
因此，wlan中存在的安全威胁因素主要是：窃听、截取或者修改传输数据、置信攻击、拒绝服务等等。
ieee 802.1x认证协议发明者vipinjain接受媒体采访时表示：“谈到无线网络，企业的it经理人最担心两件事：首先，市面上的标准与安全解决方案太多，使得用户无所适从；第二，如何避免网络遭到入侵或攻击？无线媒体是一个共享的媒介，不会受限于建筑物实体界线，因此有人要入侵网络可以说十分容易。”因此wlan的安全措施还是任重而道远。
3、无线局域网的安全措施
3.1采用无线加密协议防止未授权用户
保护无线网络安全的最基本手段是加密，通过简单的设置ap和无线网卡等设备，就可以启用wep加密。无线加密协议(wep)是对无线网络上的流量进行加密的一种标准方法。许多无线设备商为了方便安装产品，交付设备时关闭了wep功能。但一旦采用这种做法，黑客就能利用无线嗅探器直接读取数据。建议经常对wep密钥进行更换，有条件的情况下启用独立的认证服务为wep自动分配密钥。另外一个必须注意问题就是用于标识每个无线网络的服务者身份(ssid)，在部署无线网络的时候一定要将出厂时的缺省ssid更换为自定义的ssid。现在的ap大部分都支持屏蔽ssid广播，除非有特殊理由，否则应该禁用ssid广播，这样可以减少无线网络被发现的可能。
但是目前ieee 802.11标准中的wep安全解决方案，在15分钟内就可被攻破，已被广泛证实不安全。所以如果采用支持128位的wep，破解128位的wep的是相当困难的，同时也要定期的更改wep，保证无线局域网的安全。如果设备提供了动态wep功能，最好应用动态wep，值得我们庆幸的，windows xp本身就提供了这种支持，您可以选中wep选项“自动为我提供这个密钥”。同时，应该使用ipsec，vpn，ssh或其他
wep的替代方法。不要仅使用wep来保护数据。
3.2 改变服务集标识符并且禁止ssid广播
ssid是无线接人的身份标识符，用户用它来建立与接入点之间的连接。这个身份标识符是由通信设备制造商设置的，并且每个厂商都用自己的缺省值。例如，3com 的设备都用“101”。因此，知道这些标识符的黑客可以很容易不经过授权就享受你的无线服务。你需要给你的每个无线接入点设置一个唯一并且难以推测的ssid。如果可能的话。还应该禁止你的ssid向外广播。这样，你的无线网络就不能够通过广播的方式来吸纳更多用户．当然这并不是说你的网络不可用．只是它不会出现在可使用网络的名单中。
3.3 静态ip与mac地址绑定
无线路由器或ap在分配ip地址时，通常是默认使用dhcp即动态ip地址分配，这对无线网络来说是有安全隐患的，“不法”分子只要找到了无线网络，很容易就可以通过dhcp而得到一个合法的ip地址，由此就进入了局域网络中。因此，建议关闭dhcp服务，为家里的每台电脑分配固定的静态ip地址，然后再把这个ip地址与该电脑网卡的mac地址进行绑定，这样就能大大提升网络的安全性。“不法”分子不易得到合法的ip地址，即使得到了，因为还要验证绑定的mac地址，相当于两重关卡。 设置方法如下：
首先，在无线路由器或ap的设置中关闭“dhcp服务器”。然后激活“固定dhcp”功能，把各电脑的“名称”(即windows系统属陆里的“计算机描述”)，以后要固定使用的ip地址，其网卡的mac地址都如实填写好，最后点“执行”就可以了。
3.4 vpn技术在无线网络中的应用
对于高安全要求或大型的无线网络，vpn方案是一个更好的选择。因为在大型无线网络
中维护工作站和ap的wep加密密钥、ap的mac地址列表都是非常艰巨的管理任务。
对于无线商用网络，基于vpn的解决方案是当今wep机制和mac地址过滤机制的最佳替代者。vpn方案已经广泛应用于internet远程用户的安全接入。在远程用户接入的应用中，vpn在不可信的网络(internet)上提供一条安全、专用的通道或者隧道。各种隧道协议，包括点对点的隧道协议和第二层隧道协议都可以与标准的、集中的认证协议一起使用。同样，vpn技术可以应用在无线的安全接入上，在这个应用中，不可信的网络是无线网络。ap可以被定义成无wep机制的开放式接入(各ap仍应定义成采用ssid机制把无线网络分割成多个无线服务子网)，但是无线接入网络vlan (ap和vpn服务器之问的线路)从局域网已经被vpn服务器和内部网络隔离出来。vpn服务器提供网络的认征和加密，并允当局域网网络内部。与wep机制和mac地址过滤接入不同，vpn方案具有较强的扩充、升级性能，可应用于大规模的无线网络。
3.5 无线入侵检测系统
无线入侵检测系统同传统的入侵检测系统类似，但无线入侵检测系统增加了无线局域网的检测和对破坏系统反应的特性。侵入窃密检测软件对于阻拦双面恶魔攻击来说，是必须采取的一种措施。如今入侵检测系统已用于无线局域网。来监视分析用户的活动，判断入侵事件的类型，检测非法的网络行为，对异常的网络流量进行报警。无线入侵检测系统不但能找出入侵者，还能加强策略。通过使用强有力的策略，会
使无线局域网更安全。无线入侵检测系统还能检测到mac地址欺骗。他是通过一种顺序分析，找出那些伪装wap的无线上网用户无线入侵检测系统可以通过提供商来购买，为了发挥无线入侵检测系统的优良的性能，他们同时还提供无线入侵检测系统的解决方案。
3.6 采用身份验证和授权
当攻击者了解网络的ssid、网络的mac地址或甚至wep密钥等信息时，他们可以尝试建立与ap关联。目前，有3种方法在用户建立与无线网络的关联前对他们进行身份验证。开放身份验证通常意味着您只需要向ap提供ssid或使用正确的wep密钥。开放身份验证的问题在于，如果您没有其他的保护或身份验证机制，那么您的无线网络将是完全开放的，就像其名称所表示的。共享机密身份验证机制类似于“口令一响应”身份验证系统。在sta与ap共享同一个wep密钥时使用这一机制。sta向ap发送申请，然后ap发回口令。接着，sta利用口令和加密的响应进行回复。这种方法的漏洞在于口令是通过明文传输给sta的，因此如果有人能够同时截取口令和响应，那么他们就可能找到用于加密的密钥。采用其他的身份验证／授权机制。使用802.1x，vpn或证书对无线网络用户进行身份验证和授权。使用客户端证书可以使攻击者几乎无法获得访问权限。
3.7其他安全措施
除了以上叙述的安全措施手段以外我们还要可以采取一些其他的技术，例如设置附加的第三方数据加密方案，即使信号被盗听也难以理解其中的内容；加强企业内部管理等等的方法来加强wlan的安全性。
4、 结论
无线网络应用越来越广泛，但是随之而来的网络安全问题也越来越突出，在文中分析了wlan的不安全因素，针对不安全因素给出了解决的安全措施，有效的防范窃听、截取或者修改传输数据、置信攻击、拒绝服务等等的攻击手段，但是由于现在各个无线网络设备生产厂商生产的设备的功能不一样，所以现在在本文中介绍的一些安全措施也许在不同的设备上会有些不一样，但是安全措施的思路是正确的，能够保证无线网络内的用户的信息和传输消息的安全性和保密性，有效地维护无线局域网的安全。
参考文献
关键词：企业局域网；安全风险；分析；方案设计规划；讨论
中图分类号：TP393.1
建立企业风险意识，做好网络安全防范预测，成为了企业风险管理中的一项重要内容。防火墙、漏洞扫描、防病毒、入侵检测等维护网络安全的软件，有效地提高网络信息的安全性。随着网络与信息技术应用的范围不断扩大，各种形式的服务被展开，各种的网络安全问题也随之出现了。为了确保企业局域网信息能够在网络上进行有效传播，并且免受网络黑客的攻击，可以加筑安全屏障在企业的局域信息网。为了维护局域网络信息系统的安全性，采用防火墙技术与入侵检测系统相结合的防护技术，使网络的安全防御能力大大地提高了，实现了维护网络系统的安全运营。对企业的局域网络系统进行风险分析，并根据实际的需要进行合理地规划设计，是非常必要的。
1 企业局域网系统安全风险分析
企业局域网系统普遍存在的安全风险包括有网络安全的物理风险和网络平台的安全风险。
1.1 网络安全的物理风险
网络安全的物理风险一般是建立网络的硬件设施很容易出现故障。除了一些自然因素，如火灾、水灾、地震等所造成的故障之外，主要还是诸如由于不当操作而造成的设备损坏或者是设备丢失以及线路被劫等等的人为因素影响。对于性能较高的硬件配置，主要体现在双机设计、报警系统、机房的内部环境的安全性上。
1.2 网络平台的安全风险
网络平台的安全风险主要体现服务器的风险和整体结构与路由的风险。
（1）服务器风险。作为企业信息的平台，局域网的服务器一旦受到攻击，就容易导致整个网络的瘫痪。网络管理人员就有其需要对网络节点提高警惕，因为这里是黑客试图闯入的关键。
（2）网络的整体结构与路由风险。企业局域网络系统的建立是非常简单的，只要一台路由器，加之一些辅助设备，就可以将局域网络系统建立起来。因此，很容易出现安全问题。
2 网络安全的总体设计原则
2.1 网络安全设计方案需要遵循的原则
（1）综合规划原则。计算机的网络结构主要包括数据、软件、设备等等，那么，在对网络工程系统进行安全设计的时候，就需要从整体角度出发对设计方案进行制定，并根据专业的需要分析、修改。
从管理的角度来看，网络安全的设计上，要符合有关的法律法规已经相应的管理制度；在专业技术上，采取多种方法向融合的措施，以获得最可行、最有效的方案。
（2）平衡一致的原则。使用局域网络，其可以带来诸多的便利的同时，用户也要承担了一定的风险。通过对网络的实际功能进行研究，在设计安全策略之前，要对网络的结构、性能等进行必要的分析，使其与网络安全的需求保持一致。不但可以提高网络的运行效率，而且还会降低资金投入成本。
（3）多重保护，分步实施。为了防止系统在黑客的攻击下，受到破坏。建立起多重保护网络的系统，可以加大安全防护系数，以各层保护之间的互补，实现保护系统信息的安全。
鉴于网络系统实际应用范围的不断扩展，网络规模也在不断加大，这就导致网络更加脆弱。网络安全问题不能一次性的解决，并且在使用安全措施时，需要支出一定的费用，针对这一问题，可以采用分步实施的凡是来满足网络安全的需求，也能够尽量节省开支。
2.2 安全技术、服务、机制
（1）安全技术。在开放的环境下，用户可以使用病毒预防技术、防火墙技术等等。
（2）安全服务、机制。安全服务中，除了包括可靠服务、认证对象服务之外，必要的控制服务也是非常很总要的。相应地，也将认证机制以及控制访问机制建立了起来。
3 企业局域网系统安全设计规划
建立防火墙和入侵检测系统，成为了企业局域网络系统安全设计的规划方案。
3.1 防火墙技术
应用防火墙，可以保证信息安全。防火墙技术的功能就是阻拦一些不被允许的垃圾信息，因为这些信息容易对网络造成干扰，有效组织可以避免出现信息上的滥竽充数。可见，防火墙的目的就是对网络之间的通信进行控制。
防火墙其实就是一种软件或者是硬件设备的组合，将其安装在企业信息网络与Internet之间，可以在网络信息相互传送的过程中实现保护系统安全的作用。在两个信任程度不同的网络之间安装适当的防火墙，可以防止重要的信息资源被非法存取和访问。
3.2 入侵检测系统
防火墙的作用是采用强制的方式，拦截不符合局域网络要求的信息。那么，在企业的局域网络信息系统中安装入侵检测系统，不但可以实现防火墙的黑客堵截功能，而且，还会对局域网络内部的攻击性信息进行监督。对于没有被授权浏览的信息，依然会采取相应的干扰措施。
入侵检测系统与防火墙相比，更具有优越性。作为一种动态的安全技术，其可以对计算机网络以及计算机系统中风险系数比较高的关键点信息进行收集，并对这些信息进行技术分析和检测。通过对于检测记录进行汇总，就可以从中判断出一些信息所呈现出来的违反安全策略的行为。此时，入侵检测系统就会启动报警系统，同时阻挠不良信息的侵入。
3.3 建立入侵检测系统与防火墙相结合的安全防护体系
将防火墙系统和入侵检测系统充分地结合起来，可以达到加强网络安全系统防护墙的作用。
具体操作上，首先要安装防火墙系统，以使外部的入侵信息被过滤在局域网之外，从而达到基本的防护作用，此为企业局域网络防止黑客入侵的第一道防线。之后，将入侵检测系统进行安装，形成防止黑客入侵的第二道防线。一旦有不良信息闯过防火墙，遇到了入侵检测系统后，就会降低对信息网络干扰力。而入侵检测系统可以对黑客进行有效检测，并启动报警系统。这样安装系统防御设备，既可以降低保护局域网系统的风险系数，也可以将其工作负载降低。
3.4 防火墙系统和入侵检测系统的组合安装方式
防火墙系统和入侵检测系统的组合安装方式包括有两种，一种是将入侵检测系统嵌入到防火墙中；另一种是将防火墙或者入侵检测系统开放一个接口，将两者进行外部连接。
采用入侵检测系统嵌入的方式，其数据并不是来源于数据包，而是流经防火墙的数据流；使用接口进行外部联结的方式，则具有灵活性的优势。很显然，两者不是简单的叠加，而是技术性的组合。
4 总结
综上所述，网络信息的安全问题已经成为一种社会问题，如果不及时将局域网系统产生的安全问题分析。解决，那么对企业来说将是巨大的威胁。由于网络安全一直处在不断变化与动态发展的过程中，因此我们要及时掌握网络变化的第一手资料，对现阶段存在的各类病毒全面了解，以便制定出有效的防范措施，将网络风险问题降到最低。
参考文献：
[1]张丽肖，刘劲松，李超，柴文磊，李清霞.企业局域网系统安全的风险分析及设计规划探讨[J].信息与电脑（理论版），2011，16（08）：218-221.
[2]刘亚丽，邓高峰，郝卓，俞能海.企业局域网ARP攻击原理分析及防御措施[J].计算机安全，2011，23（07）：264-266.
关键词：广播电视监测网；网络；安全
随着广播电视数字化、网络化的迅速发展，广播电视监测工作由过去靠人工的传统落后手段转变为网络化、自动化的方式，监测网的建成使监测工作发生了飞跃式的变化，提高了信息反馈速度，丰富了监测信息内容，拓展了监测业务类型，扩大了监测地理范围，大大提高了广播电视监测的综合监测能力。但是，随着网络规模的扩大，监测网的复杂性和风险性也在不断增加。业务的发展对网络性能的要求也在不断提高，如何运用先进技术方案保障监测网络安全而高效地运转已经成为我们面临的重要工作。
1 监测网网络结构特点
网络规模大、系统复杂、专业性强，通常由一个或多个局域网系统及数个地理位置分散的远程无人值守遥控站点组成分布式广域网系统。
多种通信方式并存，监测网系统的通信建立倚赖于当地的通信条件，造成系统具有多种接入方式。
软件开发基于J2EE平台，软件体系多采用C/S架构。
2 风险性分析
目前，广播电视监测网主要面临以下问题：
2.1缺乏完整的安全体系
广播电视监测网建设是根据总体规划，分步实施的，系统往往边运行边扩展规模。这种情况造成监测网系统建设之初，对系统安全很难进行全面规划。随着网络规模的扩大及应用范围的扩展，网络的脆弱性不断增加，同时，系统配置的更改，软件的升级也造成系统的安全需求不断变化，现有的安全手段将很难胜任。
2.2系统分布方式带来安全的复杂性
监测网系统具有节点分布广，地理位置分散等特点，使得对网络安全状况的集中控制变得困难，带来数据安全的复杂性。不同的环节将需要不同手段的安全方案。
2.3网络本身的安全漏洞
监测系统是一个基于IP的网络系统，采用TCP/IP协议软件，本身在应用、传输时存在较多不安全因素。
3 安全技术方案
鉴于对以上几种风险性因素的分析，根据系统的实际情况，结合考虑需求、风险、成本等因素，在总体规划的基础上制订了既可满足网络系统及信息安全的基本需求，又不造成浪费的解决方案。
3.1网络资源总体规划
实践证明，合理、统一的网络规划对网络维护及安全运行都有极大的好处，有利于保障监测网系统在不断扩展中的可持续性，因此，在监测网建立之初统一进行网络资源的设计，制定合理的IP规划、网络拓扑规划，对各种资源进行统一编码是保障网络安全的第一步。
3.2设备安全配置
对于重要安全设备如交换机、路由器等，需要制定良好的配置管理方案，关闭不必要的设备服务，设置口令、密码，加强设备访问的认证与授权，升级BIOS，限制访问、限制数据包类型等。
3.3操作系统安全方案
操作系统大部分的安全问题归根结底是由于系统管理不善所导致的。解决方案是正确更新使用密码设置、权限设置，正确进行服务器配置。建立健全操作系统安全升级制度，及时下载并安装补丁。
3.4备份方案
为保证监测网的安全稳定运行，对于监测网的核心局域网系统硬件可采用双机热备方案，磁盘阵列、交换机、防火墙等硬件采用双机并行，负载均衡的方式运行，应用服务器、数据库服务器还可互为备份，从而保证不会因某一点出现故障而影响整个系统的正常使用。
3.5病毒防护
监测网系统覆盖的点多面广，防毒系统应采用集中控制多层防护的方案，在监测系统各个网络都分级部署防病毒软件，中心网络对下一级系统进行实时集中病毒监测，定时升级。制定和采用统一的防病毒策略，使得网络中的所有服务器和客户端都能得到相同的防病毒保护。
3.6防火墙系统
监测网系统由于其分布特性往往由多个安全域组成，应加装防火墙，以实现系统内各级网络之间的隔离和访问控制；实现对服务器的安全保护及对远程用户的安全认证与访问权限控制，并实现对专线资源的流量管理控制和防攻击。
3.7应用安全
可采用多种手段保障应用层安全。如：系统日志审核、服务器账户管理、用户登录权限管理、数据定期备份等。
3.8数据传输安全
监测网作为一个广域网主要利用广电光缆或电信线路进行通信，为保证安全性，数据的传输须采取加密措施。具体方案可针对不同通信方式及数据安全级别制定。
4 结束语
网络是一个多样、复杂、动态的系统，单一的安全产品和技术不能够满足网络安全的所有要求，只有各个安全部件相互关联、各种安全措施相互补充，网络安全才能得到保障。同时，任何一个网络的安全目标都不是仅依靠技术手段就能实现的，还应采取措施加强操作人员素质管理，提高值班员责任心。做到管理规范，才能确保监测网安全、高效运行。
参考文献
论文摘要：本文对船舶计算机网络系统的安全现状和问题原因进行了概括性的叙述，对网络安全的需求进行了研究分析。从实施船舶计算机网络系统安全管理的现实条件和实际要求出发，提出了船舶计算机网络系统安全管理的策略和解决方案，针对不同情况的船舶提出了相应的实施建议。
1引言
进入二十一世纪以来，随着船舶自动化和信息化程度不断提高，船舶计算机网络系统及其应用得到了迅速发展。越来越多的新造船舶采用计算机网络技术将船舶轮机监控系统、航海驾驶智能化系统、船舶管理信息系统（smis）等应用纳入一个统一的网络系统，实现船岸管控一体化。
在我司近几年建造的4万吨级以上的油轮上，普遍安装了计算机局域网。一方面，计算机网络用于传输船上动力装置监测系统与船舶航行等实时数据；另一方面，计算机网络用于船舶管理信息系统（功能包括船舶机务、采购、海务、安全、体系管理与油轮石油公司检查管理）并通过网络中船舶通讯计算机实现船岸间的数据交换，实现船岸资源共享，有利于岸基他船舶管理人员对船舶的监控与业务指导。前者属于实时系统应用，后者属于船舶日常管理系统应用，在两种不同类型的网络应用（子网）之间采用网关进行隔离。目前，船舶计算机网络系统采用的硬件设备和软件系统相对简单，因此，船舶计算机网络的安全基础比较薄弱。随着船龄的不断增长，船上计算机及网络设备逐渐老化；并且，船上没有配备专业的人员负责计算机网络和设备的运行维护和管理工作，所以船舶计算机及网络的技术状况比较差，影响各类系统的正常使用与船岸数据的交换。究其原因，除了网络设备和网络线路故障问题之外，大多数问题是因各类病毒与管理不善等原因所引起的。
2船舶计算机网络架构
目前在船舶上普遍采用工业以太网，船舶局域网大多采用星型结构。
有些船舶已经在所有船员房间布设了局域网网线，而有些船舶只是在高级船员房间布设了计算机局域网网线。图表1是一艘30万吨超级油轮（vlcc）的计算机局域网结构图。
图表2 是 船舶计算机网络拓扑结构图。其中，局域网服务器采用hp compaq dx7400（pentium dual e2160/1.8ghz/ddr2 512m/80g）；网关采用industrial computer 610（p4 2.8ghz/ddr333 512m/80g）；交换机采用d-link des-1024d快速以太网交换机（10/100m 自适应，工作在二层应用层级）。
3船舶计算机网络系统的安全问题
2005年以来，有很多的船舶管理公司推进实施船舶管理信息系统。对于远洋船舶来说，船上需要安装使用船舶管理信息系统的船舶版软件。大多数的船舶版软件都是采用客户端/服务器两层架构，高级船员的办公计算机作为客户端，通过联网使用船舶管理信息系统。船上的船舶管理信息系统通过电子邮件（一般采用amos mail或rydex电子邮件）与岸基的船舶管理信息系统交换数据，实现船、岸船舶数据库的数据同步。
根据了解，目前船舶计算机网络最主要的问题（也是最突出的现状）是安全性和可用性达不到船舶管理信息系统运行使用的基本要求。船舶管理信息系统数据库服务器与邮件服务器之间，以及船员的办公计算机与船舶管理信息系统数据库服务器之间经常无法联通。经过上船检查发现，影响船舶计算机网络系统正常运行的主要原因是计算机病毒。大多数船舶的办公计算机采用微软操作系统，一方面没有打补丁，另一方面尚未采取有效的防病毒措施，比如没有安装单机版或网络版防病毒软件。有些船舶虽然安装了防病毒软件，但是因为不能及时进行防毒软件升级和病毒库更新，所以无法查杀新病毒或新的变种病毒等，从而失去防病毒作用。经过调查分析，船上计算机病毒的主要来源是：（1）在局域网中的计算机上使用了带有病毒的光盘、优盘、移动硬盘等存储介质；（2）将带有病毒的笔记本电脑接入了船上的局域网；（3）在局域网中的计算机上安装有无线上网卡，通过无线上网（沿海航行或停靠港口时）引入了病毒/蠕虫/木马/恶意代码等。
为了解决上述问题，有的企业在船舶办公计算机上安装了硬盘保护卡；也有一些企业在船舶办公计算机上安装了“一键恢复”软件；另外还有企业开始在船舶计算机网络系统中安装部署专业的安全管理系统软件和网络版防病毒软件。
若要从根本上增强船舶计算机网络系统的安全性和可用性，则需要考虑以下条件的限制：（1）船上的计算机网络架构在出厂时已经固定，除非船舶正在建造或者进厂修理，否则，凡是处于运营状态的船舶，不可能立即为船舶管理信息系统专门建设一个物理上独立的计算机局域网。（2）限于资金投入和船上安装场所等原因，船上的计算机网络设备或设施在短期内也不可能无限制按需增加。（3）从技术管理的角度看，在现阶段，船舶仍不可能配备具有专业水平的网络人员对计算机网络系统进行管理。（4）因卫星通信通道和通信费用等原因，远洋船舶的办公计算机操作系统（微软windows 系列）不可能从因特网下载补丁和打补丁；船舶局域网中的防病毒软件和病毒库不可能及时升级和更新。总体上看，解决船舶计算机网络安全方面的问题，与陆地上确实有许多不同之处。
4船舶计算机网络系统的安全需求分析
为提高船舶计算机网络系统的可用性，即船舶计算机网络系统任何一个组件发生故障，不管它是不是硬件，都不会导致网络、系统、应用乃至整个网络系统瘫痪,为此需要增强船舶计算机网络系统的可靠性、可恢复性和可维护性。其中:（1）可靠性是指针对船舶上的温度、湿度、有害气体等环境，提高网络设备和线路的技术要求，有关的设计方案在船舶建造和船舶修理时进行实施和实现。（2）可恢复性，是指船舶计算机网络中任一设备或网段发生故障而不能正常工作时，依靠事先的设计，网络系统自动将故障进行隔离。（3）可维护性，是指通过对船舶计算机网络系统和网络的在线管理，及时发现异常情况，使问题或故障能够得到及时处理。
研究解决船舶计算机网络系统安全管理问题，必须考虑现实的条件和实现的成本。总的原则是：方案简洁、技术成熟；经济性好、实用性强；易于实施、便于维护。因此，在尽量利用现有设备和设施、扩充或提高计算机及网络配置、增加必要的安全管理系统软件、严格控制增加设备的前提下，通过采用逻辑域划分、病毒防杀、补丁管理、网络准入、外设接口管理、终端应用软件管理和移动存储介质管理等手段，以解决船舶计算机网络系统最主要的安全问题。
在对船舶计算机网络采取安全防护技术措施的同时，还需要制定船舶计算机网络系统安全管理制度；定制船舶计算机网络系统安全策略和安全管理框架；对船员进行计算机及网络系统安全知识教育，增强船员遵守公司制定的计算机网络安全管理规定的意识和自觉性。
（1）加强船舶计算机病毒的防护，建立全面的多层次的防病毒体系，防止病毒的攻击；
（2）采用专用的设备和设施实现船舶安全策略的强制执行，配合防毒软件的部署与应用;
（3）加强船舶计算机网络管理，通过桌面管理工具实现船舶计算机网络运行的有效控制;
（4）制定相关的网络安全防护策略，以及网络安全事件应急响应与恢复策略，在正常预防网络安全事件的同时，做好应对网络安全事件的准备。
5船舶计算机网络系统安全管理要求
5.1确定船舶网络系统安全管理目标
基于以上对船舶计算机网络系统安全问题和可用性需求的分析，我们认为解决网络系统安全问题的最终目标是：
通过船舶计算机网络系统安全管理制度的制定，安全策略和安全管理框架的开发，定制开发和部署适合船舶计算机网络系统特点的安全管理系统，确保船舶计算机网络系统安全可靠的运行和受控合法的使用，满足船舶管理信息系统正常运行、业务运营和日常管理的需要。
通过实施船舶计算机网络系统安全技术措施，达到保护网络系统的可用性，保护网络系统服务的连续性，防范网络资源的非法访问及非授权访问，防范人为的有意或无意的攻击与破坏，保护船上的各类信息通过局域网传输过程中的安全性、完整性、及时性，防范计算机病毒的侵害，实现系统快速恢复，确保船舶计算机网络的安全运行和有效管理。总体上从五方面考虑：
（1）针对管理级安全，建立一套完整可行的船舶计算机网络系统安全管理制度，通过有效的贯彻实施和检查考核，实现网络系统的安全运行管理与维护；
（2）针对应用级安全，加强船舶计算机网络防病毒、防攻击、漏洞管理、数据备份、数据加密、身份认证等，采用适合的安全软硬件，建设安全防护体系；
（3）针对系统级安全，加强对服务器、操作系统、数据库的运行监测，加强系统补丁的管理，通过双机（或两套系统）的形式保证核心系统运行，当发生故障时，能及时提供备用系统和恢复；
（4）针对网络级安全，保证船舶计算机网络设备、网络线路的运行稳定，对核心层的网络设备和线路提供双路的冗余；
（5）针对物理级安全，保证船舶计算机网络系统数据的安全和系统及时恢复，加强信息和数据的备份和各类软件介质的管理。
5.2网络系统安全配置原则
船舶计算机网络系统是一套移动的计算机网络系统，没有专业的安全管理人员，缺乏专业的安全管理能力；船舶数量多，船舶计算机网络系统规模小和相对比较简洁，因此，不能按照企业网络的安全管理体系来构建船舶计算机网络系统的安全管理体系，必须制定经济实用的网络安全设计原则。
需求、风险、代价平衡的原则
对船舶计算机网络系统进行切合实际的分析与设计，对系统可能面临的威胁或可能承担的风险提出定性、定量的分析意见，并制定相应的规范和措施，确定系统的安全策略。
综合性、整体性、系统性原则
船舶计算机网络系统安全是一个比较复杂的系统工程，从网络系统的各层次、安全防范的各阶段全面地进行考虑，既注重技术的实现，又要加大管理的力度，制定具体措施。安全措施主要包括：行政法律手段、各种管理制度以及专业技术措施。
易于操作、管理和维护性原则
在现阶段，船舶上不可能配备专业的计算机系统安全管理员，采用的安全措施和系统应保证易于安装、实施、操作、管理和维护，并尽可能不降低对船舶计算机网络系统功能和性能的影响。
可扩展性、适应性及灵活性原则
船舶计算机网络安全管理系统必须组件化或模块化，便于部署；安全策略配置灵活，具有较强的适应性，能够适应各种船舶的计算机网络系统复杂多样的现状；安全管理系统必须具有较好的可扩展性，便于未来进行安全功能的扩展。
标准化、分步实施、保护投资原则
依照计算机系统安全方面的有关法规与行业标准和企业内部的标准及规定，使安全技术体系的建设达到标准化、规范化的要求，为拓展、升级和集中统一打好基础。限于计算机系统安全理论与技术发展的历史原因和企业自身的资金能力，对不同情况的船舶要分期、分批建设一些整体的或区域的安全技术系统，配置相应的设施。因此，依据保护系统安全投资效益的基本原则，在合理规划、建设新的网络安全系统或投入新的网络安全设施的同时，对现有网络安全系统应采取完善、整合的办法，使其纳入总体的网络安全技术体系，发挥更好的效能，而不是排斥或抛弃。
5.3网络安全管理的演进过程
建立、健全船舶计算机网络系统安全管理体系，首先要建立一个合理的管理框架，要从整体和全局的视角，从信息系统的管理层面进行整体安全建设，并从信息系统本身出发，通过对船上信息资产的分析、风险分析评估、网络安全需求分析、安全策略开发、安全体系设计、标准规范制定、选择安全控制措施等步骤，从整个网络安全管理体系上来提出安全解决方案。
船舶计算机网络系统安全管理体系的建设须按适当的程序进行，首先应根据自身的业务性质、组织特征、资产状况和技术条件定义isms的总体方针和范围，然后在风险分析的基础上进行安全评估，同时确定信息安全风险管理制度，选择控制目标，准备适用性声明。船舶计算机网络系统安全管理体系的建立应遵循pdca的过程方法，必须循序渐进，不断完善，持续改进。
6建立健全船舶计算机网络安全管理制度
针对船舶计算机及网络系统的安全，需要制定相关法规，结合技术手段实现网络系统安全管理。制度和流程制定主要包括以下几个方面：
制定船舶计算机及网络系统安全工作的总体方针、政策性文件和安全策略等，说明机构安全工作的总体目标、范围、方针、原则、责任等；
对安全管理活动中的各类管理内容建立安全管理制度，以规范安全管理活动，约束人员的行为方式；
对要求管理人员或操作人员执行的日常管理操作，建立操作规程，以规范操作行为，防止操作失误；
形成由安全政策、安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系；
由安全管理团队定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定。
7 总结
对于船舶计算机网络安全按作者的经验可以针对不同类型、不同情况的具体船舶，可以结合实际需要和具体条件采取以下解决方案：
1.对于正在建造的船舶和准备进厂修理的船舶，建议按照较高级别的计算机网络安全方案进行实施，全面加固船舶计算机及网络的可靠性、可恢复性和可维护性，包括配置冗余的网络设备和建设备用的网络线路。
2.对于正在营运的、比较新的船舶，建议按照中等级别的计算机网络安全方案进行实施，若条件允许，则可以增加专用的安全管理服务器设备，更新或扩充升级原有的路由器或交换机。
3.对于其它具备计算机局域网、船龄比较长的船舶，建议按照较低级别的计算机网络安全方案进行实施，不增加专用的安全管理服务器设备，主要目标解决计算机网络防病毒问题。
4.对于不具备计算机局域网的老旧船舶，可以进一步简化安全问题解决方案，着重解决船舶管理信息系统服务器或单机的防病毒问题，以确保服务器或单机上的系统能够正常运行使用。
参考文献：
关键词 网络威胁;网络防御;网络安全;防火墙
中图分类号TP393 文献标识码A 文章编号 1674-6708(2010)31-0211-01
1 企业内部网络安全面临的主要威胁
一般来说,计算机网络系统的安全威胁主要来自以下几个方面:
1)计算机病毒的侵袭。计算机病毒侵入网络,对网络资源进行破坏,使网络不能正常工作,甚至造成整个网络的瘫痪;
2)黑客侵袭。黑客非法进入网络使用网络资源。例如通过隐蔽通道进行非法活动;采用匿名用户访问进行攻击;通过网络监听获取网上用户账号和密码;非法获取网上传输的数据等;
3)拒绝服务攻击。例如“邮件炸弹”,使用户在很短的时间内收到大量无用的电子邮件,从而影响正常业务的运行。严重时会使系统关机,网络瘫痪;
4)通用网关接口(CGI)漏洞。搜索引擎是通过CGI脚本执行的方式实现的,黑客可以修改这些CGI脚本以执行他们的非法任务;
5)恶意代码。恶意代码不限于病毒,还包括蠕虫、特洛伊木马、逻辑炸弹等。
2 企业网络安全目标
1)建立一套完整可行的网络安全与管理策略,将内部网络、公开服务器网络和外网进行有效隔离;2)建立网站各主机和服务器的安全保护措施,保证系统安全;3)对网上服务请求内容进行控制,使非法访问在到达主机前被拒绝;4)加强合法用户的访问认证,同时将用户的访问权限控制在最低限度,全面监视对公开服务器的访问,及时发现和拒绝不安全的操作和黑客攻击行为;5)加强对各种访问的审计工作,详细记录对网络、公开服务器的访问行为,形成完整的系统日志备份与灾难恢复;6)提高系统全体人员的网络安全意识和防范技术。
3 安全方案设计原则
对企业局域网网络安全方案设计、规划时,应遵循以下原则:
1)综合性、整体性原则:应用系统工程的观点、方法,分析网络的安全措施。即计算机网络安全应遵循整体安全性原则,根据规定的安全策略制定出合理的网络安全体系结构。
2)需求、风险、代价平衡的原则:对任一网络,绝对安全难以达到,也不一定必要。对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析,然后制定规范和措施,确定本系统的安全策略,是比较经济的方法。
3)一致性原则:网络安全问题贯穿整个网络的生命周期,因此制定的安全体系结构必须与网络的安全需求相一致。在网络建设开始就考虑网络安全对策,比在网络建设好后再考虑安全措施,要有效得多。
4)易操作性原则:安全措施需要人为去完成,如果措施过于复杂,对人的要求过高,本身就降低了安全性。
5)分步实施原则:由于网络规模的扩展及应用的增加。一劳永逸地解决网络安全问题是不现实的,费用支出也较大。因此可以分步实施,即可满足网络系统及信息安全的基本需求,亦可节省费用开支。
6)多重保护原则:任何安全措施都不是绝对安全的,都可能被攻破。因此需要建立一个多重保护系统,各层保护相互补充,当一层保护被攻破时,其它保护仍可保护信息安全。
4 主要防范措施
1)依据《互联网信息服务管理办法》、《互联网站从事登载新闻业务管理暂行规定》和《中国互联网络域名注册暂行管理办法》建立健全各种安全机制和安全制度,加强网络安全教育和培训。
2)网络病毒的防范。作为企业应用网络,同时需要基于服务器操作系统平台、桌面操作系统、网关和邮件服务器平台的防病毒软件。所以最好使用全方位的防病毒产品,通过全方位、多层次的防病毒系统的配置,使网络免受病毒的侵袭。
3)配置防火墙。防火墙是一种行之有效且应用广泛的网络安全机制。利用防火墙执行一种访问控制尺度,将不允许的用户与数据拒之门外,最大限度地阻止网络中的黑客来访问自己的网络,同时防止Internet上的不安全因素蔓延到局域网内部。
4)采用入侵检测系统。入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术,用于检测计算机网络中违反安全策略行为。利用审计记录,入侵检测系统能够识别出任何不希望有的活动,从而达到限制这些活动,以保护系统的安全。最好采用混合入侵检测,同时采用基于网络和基于主机的入侵检测系统,构架成一套完整立体的主动防御体系。
5)漏洞扫描系统。解决网络安全问题,要清楚网络中存在哪些安全隐患、脆弱点。仅依靠网络管理员的技术和经验寻找安全漏洞、做出风险评估显然是不现实的。能查找网络安全漏洞、评估并提出修改建议的网络安全扫描工具是较好的解决方案,利用优化系统配置和打补丁等各种方式最大可能地弥补最新的安全漏洞和消除安全隐患。
6)IP盗用问题的解决。在路由器上捆绑IP和MAC地址。当某个IP通过路由器访问Internet时,路由器要检查发出这个IP广播包的工作站的MAC是否与路由器上的MAC地址表相符,否则不允许通过路由器,同时给发出这个IP广播包的工作站返回一个警告信息。
7)利用网络监听维护子网系统安全。对于网络外部的入侵可以通过安装防火墙来解决,但是对于网络内部的侵袭则无能为力。在这种情况下,可以采用对各个子网做一个具有一定功能的审计文件,为管理人员分析自己的网络运作状态提供依据。设计一个子网专用的监听程序,长期监听子网络内计算机间相互联系的情况,为系统中各个服务器的审计文件提供备份。