发布时间：2022-07-04 11:41:30
序言：写作是分享个人见解和探索未知领域的桥梁，我们为您精选了8篇的网络安全方案样本，期待这些样本能够为您提供丰富的参考和启发，请尽情阅读。
如何能够更简便、安全地进行网络连接呢?这里我们发现了一个正在被越来越多的企业所选用的，个人便携式VPN防火墙解决方案――ZyWALL P1(下面简称P1)。它其实是一个类似移动硬盘大小的掌上网络安全连接设备，可以塞入旅行包中随身携带，可助你轻松完成企业网络安全配置，自动建立好VPN连接。
具体来说，P1提供了WAN和LAN 2个网络接口，在使用时，我们要做的就是分别将它们连接到所住酒店的宽带网络接口和笔记本电脑有线网口上，然后打开电源。多数情况下，酒店宽带都是基于端口的认证服务。这时，P1默认可以从当地网络中自动获得一个IP地址和与之配套的网关、DNS信息，并自动根据P1内置的VPN参数进行企业VPN管道连接。一旦连接成功，你会看到P1的VPN指示灯变绿。整个过程，完全无需用户任何干预，像在公司内部一样。
如果你所住的酒店使用IE窗口认证模式，则你还需要在VPN连接成功前先开启IE窗口，随便输入一个网址，系统会自动弹出相应的酒店宽带网络登录窗口，你也只要按照酒店上网说明，输入你房间的宽带口令，即可激活Internet服务。接下来，P1仍然会自动配置好网管事先设定好的VPN连接，将你接入公司的网络安全体系中。
其实，P1这样的个人硬件安防解决方案最大的好处还是在于企业安全的统一管理和部署。
在完全没有用户干预的情况下，网管能通过ZyXEL的Vantage CNM中央网管系统远程强制分发统一的企业安防策略。确保身处异地的员工电脑一样可以在远程连入企业网络前，都确实执行最新的企业网络安全规范，既。节省了网管逐一为大家升级防火墙的麻烦，也避免了百密一疏的危险。真正做到贴身的安防服务。
三心二意玩电脑
随着电脑更新速度的日益提升，谁家还没有个把淘汰下来的旧电脑，或者被笔记本电脑替换下来的台式机。这些电脑大都已成食之无味、弃之可惜的鸡肋。怎样利用这些电脑，帮你做更多的事情呢?这里，我们给你再支一招：用多电脑切换器(KVM Switch)实现多机并用互不干扰。
这里我们拿Aten(宏正自动科技)的双机USB切换器CS-173ZA为例给大家做一示范。它具备2套主机接口，包括VGA、音频(MIC、音箱)和USB总共4个接口，可以满足2台主机共享同一套显示器、键鼠以及USB打印机等外设。这样，你就可以将家中空闲的主机也架起来完成一些简单的后台工作，比如进行BT下载。或者更方便地将笔记本电脑连到家里台式机的大屏幕液晶显示器和高保真音箱上，用标准键鼠更舒适地进行操控，而不必受制于笔记本电脑的配置。
多电脑切换器的连接也很简单，你只要将随机附带的2条主数据线，分别连接到电脑主机和KVM后的CPU1/2接口上(注意连接方向：数据线包括VGA、音频和USB接头的一端接在主机对应接口上，数据线的另一端接到KVM上)，然后将显示器、USB键鼠(PS/2键鼠可以通过附带USB-2-PS/2转接线转换连接)和音响系统的MIc／音箱接入到KVM对应端口上，一切就算ok了!KVM的使用也非常容易。在开机2台电脑后，你可以直接通过KVM正面的1、2主机对应按钮，进行双机操控、显示、声音系统的快速切换。即要显示、操控1号机的信息，就按下1号机切换键，然后就跟原来一样，直接使用1号电脑。待需要使用2号主机时，就简单地按下2号机切换键，显示屏和键鼠就都连接到2号电脑上，你即可以开始操作2号电脑。
相比早期的机械式KVM，CS-1732A采用电子切换结构，信号切换更加稳定，不会出现接触不良、色偏、噪音等问题，而且可以同步或异步切换音频信号，以实现在监控1号机的状态下，同时监听2号机音频的功能。这样，如果你喜欢边工作、边听MP3，又担心会影响你主机的性能，就可以让另外一台配置较低的电脑在后台帮你播放MP3音乐了。
关键词 网络安全；方案设计；方案实现
中图分类号 G271 文献标识码 A 文章编号 1673-9671-（2012）111-0142-01
计算机网络的安全运行，是关系到一个企业发展的重要问题，如何能使得企业网络更为安全，如今已经成为了一个热议的话题。影响网络安全的因素有很多种，保护网络安全的手段、技术也很多。对于网络安全的保护我们一般都是通过防火墙、加密系统、防病毒系统、身份认证等等方面来保护网络的安全。为了保护网络系统的安全，我们必须要结合网络的具体需求，把多种安全措施进行总结，建立一个立体的、全面的、多层次网络安全防御系统。
1 影响网络安全的因素
网络信息的安全问题日益严重，这不仅会使企业遭受到巨大的经济损失，也影响到国家的安全。
如何避免网络安全问题的产生，我们必须要清楚因法网络安全问题的因素有哪些。我们主要把网络安全问题归纳为以下几个方面：
1.1 人为失误
人为失去指的是在在无意识的情况下造成的失误，进而引发网络安全问题。如“非法操作、口令的丢失、资源访问时控制不合理、管理人员疏忽大意等，这些都会对企业网络系统造成很大的破坏，引发网络安全问题。
1.2 病毒感染
病毒一直以来，都是能够对计算机安全够成直接威胁的因素，而网络更能够为病毒提供迅速快捷的传播途径，病毒很容易通过服务器以软件的方式下载、邮件等方式进入网络，然后对计算机网络进行攻击、破坏，进而会造成很大的经济损失。
1.3 来自企业网络外部的攻击
企业网络外部的攻击主要是企业局域网外部的恶意攻击，比如：伪装合法用户进入企业网络，并占用修改资源；有选择的来破坏企业网络信息的完整性和有效性；修改企业网站数据、破译企业机密、窃取企业情报、破坏企业网络软件；利用中间网线来读取或者拦截企业绝密信息等。
1.4 来自网络内部的攻击
在企业局域网内部，一些非法人员冒用合法的口令，登陆企业计算机网络，产看企业机密信息，修改企业信息内容，破坏企业网络系统的正常运行。
1.5 企业网络系统漏洞
企业的网络系统不可能是毫无破绽的，而企业网络中的漏洞，总是设计者预先留下的，为网络黑客和工业间谍提供最薄弱的攻击部位。
2 企业计算机网络安全方案的设计与实现
影响计算机网络完全因素很多，而相应的保护手段也很多。
2.1 动态口令身份认证的设计与实现
动态口令身份认证具有动态性、不可逆性、一次性、随机性等特点，跟传统静态口令相比，增加了计算机网络的安全性。传统的静态口令进行身份验证的时候，很容易导致企业计算机网络数据遭到窃取、攻击、认证信息的截取等诸多问题。而动态口令的使用不仅保留了静态口令的优点，又采用了先进的身份认证以及解密流程，而每一个动态口令只能使用一次，并且对认证的结果进行记录，防止同一个口令多次登录。
2.2 企业日志管理与备份的设计与实现
企业要想保证计算机网络的安全，对于计算机网络进行日志管理和备份是不可缺少的内容，日志管理和备份数据系统是计算机运行的基础。计算机在运行过程中难保不会出现故障，而计算机中的数据和资料的一个企业的血液，如果数据和资料丢失，会给企业今后的发展带来巨大的不便，为了避免数据资料的丢失，我们就应当对计算机网络做好数据备份以及数据归档的保护措施。这些都是维护企业网络安全的最基本的措施与工作。
2.3 病毒防护设计与实现
计算机病毒每年都在呈上涨的趋势，我国每年遭受计算机入侵的网络，占到了相当高的比例。计算机病毒会使计算机运行缓慢，对计算机网络进行有目的的破坏行为。目前Internet在飞速的发展，让病毒在网上出现之后，会很快的通过网络进行传播。对于企业计算机网络，应当时刻进行监控以及判断系统中是否有病毒的存在，要加大对于病毒的检测。处理、免疫及对抗的能力。而企业使用防病毒系统，可以有效的防止病毒入侵带来的损失。为了使企业的网络更加安全，要建立起一个完善的防病毒系统，制定相应的措施和病毒入侵时的紧急应急措施，同时也要加大工作人员的安全意识。
病毒会随着时间的推移变的随时都有可能出现，所以企业中计算机网络安全人员，要随时加强对于防毒系统的升级、更新、漏洞修复，找出多种不同的防毒方法，提高企业计算机网络防病毒的能力。
2.4 防火墙技术设计与实现
Internet使用过程中，要通过内网。外网的连接来实现访问，这些就给网络黑客们提供了良好的空间与环境。目前，企业计算机网络系统，采用防火墙技术，能有效的保证企业的机密不会受到网络黑客以及工业间谍的入侵，这种方法也是维护企业计算机网络最有效、最经济的方法，因为防火墙系统是企业计算机网络安全的最前面屏障，能有效的组织入侵情况的发生。所以企业计算机网络第一个安全措施就是安装以及应用防火墙。防火墙一般是安装在内部网络出口处，在内网与外网之间。
防火墙最大的特点是所有的信息传递都要经过它，这样就能有效的避免企业网络遭到非法入侵，防火本身的具有很高的可靠性，它可以加强对企业网络的监督，防止外部入侵和黑客攻击造成的信息泄露，
2.5 网络安全设计的实现
在企业网络运行中，与用户和各个系统之间，存在着信息交换的过程，这些信息包括信息代码、电子文稿、文档等，所以总会有各种网络安全的问题出现。为了保障网络的安全性和客户使用的合法性，就要去严格的限制登录者的操作权限，增加口令的复杂程度。当工作人员离职要对于网络口令认证做出相应的调整，以避免带来的不便。
3 总结
现今网络在现代生活中发展迅速，然而网络安全的系统也日益突出。作为一个企业如何的保证自己网络的安全性，使自身能够更快更好的发展，面对着网络入侵的行为要进行如何的防御，已经是一个越来越迫切的问题。我们只有从实际出发，去构建一个完整的安全的网络防御系统，才能保证企业网络的安全。
参考文献
[1]唐红亮.防火墙设计浅析[J].中国科技信息，2009，06.
关键词：广播电视监测网；网络；安全
随着广播电视数字化、网络化的迅速发展，广播电视监测工作由过去靠人工的传统落后手段转变为网络化、自动化的方式，监测网的建成使监测工作发生了飞跃式的变化，提高了信息反馈速度，丰富了监测信息内容，拓展了监测业务类型，扩大了监测地理范围，大大提高了广播电视监测的综合监测能力。但是，随着网络规模的扩大，监测网的复杂性和风险性也在不断增加。业务的发展对网络性能的要求也在不断提高，如何运用先进技术方案保障监测网络安全而高效地运转已经成为我们面临的重要工作。
1 监测网网络结构特点
网络规模大、系统复杂、专业性强，通常由一个或多个局域网系统及数个地理位置分散的远程无人值守遥控站点组成分布式广域网系统。
多种通信方式并存，监测网系统的通信建立倚赖于当地的通信条件，造成系统具有多种接入方式。
软件开发基于J2EE平台，软件体系多采用C/S架构。
2 风险性分析
目前，广播电视监测网主要面临以下问题：
2.1缺乏完整的安全体系
广播电视监测网建设是根据总体规划，分步实施的，系统往往边运行边扩展规模。这种情况造成监测网系统建设之初，对系统安全很难进行全面规划。随着网络规模的扩大及应用范围的扩展，网络的脆弱性不断增加，同时，系统配置的更改，软件的升级也造成系统的安全需求不断变化，现有的安全手段将很难胜任。
2.2系统分布方式带来安全的复杂性
监测网系统具有节点分布广，地理位置分散等特点，使得对网络安全状况的集中控制变得困难，带来数据安全的复杂性。不同的环节将需要不同手段的安全方案。
2.3网络本身的安全漏洞
监测系统是一个基于IP的网络系统，采用TCP/IP协议软件，本身在应用、传输时存在较多不安全因素。
3 安全技术方案
鉴于对以上几种风险性因素的分析，根据系统的实际情况，结合考虑需求、风险、成本等因素，在总体规划的基础上制订了既可满足网络系统及信息安全的基本需求，又不造成浪费的解决方案。
3.1网络资源总体规划
实践证明，合理、统一的网络规划对网络维护及安全运行都有极大的好处，有利于保障监测网系统在不断扩展中的可持续性，因此，在监测网建立之初统一进行网络资源的设计，制定合理的IP规划、网络拓扑规划，对各种资源进行统一编码是保障网络安全的第一步。
3.2设备安全配置
对于重要安全设备如交换机、路由器等，需要制定良好的配置管理方案，关闭不必要的设备服务，设置口令、密码，加强设备访问的认证与授权，升级BIOS，限制访问、限制数据包类型等。
3.3操作系统安全方案
操作系统大部分的安全问题归根结底是由于系统管理不善所导致的。解决方案是正确更新使用密码设置、权限设置，正确进行服务器配置。建立健全操作系统安全升级制度，及时下载并安装补丁。
3.4备份方案
为保证监测网的安全稳定运行，对于监测网的核心局域网系统硬件可采用双机热备方案，磁盘阵列、交换机、防火墙等硬件采用双机并行，负载均衡的方式运行，应用服务器、数据库服务器还可互为备份，从而保证不会因某一点出现故障而影响整个系统的正常使用。
3.5病毒防护
监测网系统覆盖的点多面广，防毒系统应采用集中控制多层防护的方案，在监测系统各个网络都分级部署防病毒软件，中心网络对下一级系统进行实时集中病毒监测，定时升级。制定和采用统一的防病毒策略，使得网络中的所有服务器和客户端都能得到相同的防病毒保护。
3.6防火墙系统
监测网系统由于其分布特性往往由多个安全域组成，应加装防火墙，以实现系统内各级网络之间的隔离和访问控制；实现对服务器的安全保护及对远程用户的安全认证与访问权限控制，并实现对专线资源的流量管理控制和防攻击。
3.7应用安全
可采用多种手段保障应用层安全。如：系统日志审核、服务器账户管理、用户登录权限管理、数据定期备份等。
3.8数据传输安全
监测网作为一个广域网主要利用广电光缆或电信线路进行通信，为保证安全性，数据的传输须采取加密措施。具体方案可针对不同通信方式及数据安全级别制定。
4 结束语
网络是一个多样、复杂、动态的系统，单一的安全产品和技术不能够满足网络安全的所有要求，只有各个安全部件相互关联、各种安全措施相互补充，网络安全才能得到保障。同时，任何一个网络的安全目标都不是仅依靠技术手段就能实现的，还应采取措施加强操作人员素质管理，提高值班员责任心。做到管理规范，才能确保监测网安全、高效运行。
参考文献
关键词互联网+医疗网络安全网络安全防护案例
0引言
互联网+医疗健康模式下要求医院的信息系统功能向外扩展，实现在线预约、挂号、缴费和诊疗服务。为了实现在线服务的功能，势必要将医院局域网与互联网打通，来进行数据交互，但只有在网络与安全的建设达标的情况下，才能开展相关业务。同国内一些大型企业比较，医院的网络安全建设相对薄弱，这与医院信息系统的特殊性和信息化的发展历程有关。最初的网络建设是为局域网系统提供服务，没有与外部系统互联的需求。如今面对越来越开放的服务需求，信息网络的安全性面临着极大的挑战。网络安全作为信息化建设的基石，如何在现有医院网络基础上实施安全防护，为互联网医院需要开展的业务提供高速、可靠的网络环境，是管理者面临的又一挑战。
1医院网络安全发展历程
医院信息系统发展[1]的不同时期，对网络安全建设要求不同。
1.1最初的内外网隔离时期
医院在建设信息系统初期，多数选择内外网隔离的网络方案，内网负责承载医疗业务，外网负责承载办公业务。内网常见有数据库服务器、文件服务器，外网有邮件服务器和网站服务器等。当时的信息系统多为客户端/服务器（C/S）架构，信息系统功能局限在局域网内，数据不用穿越防火墙，信息系统架构简洁，实施与维护方便。网络上通常采用二层树状架构，结构简单、部署迅速。内外网隔离的方式，可以阻断全部来自外网的攻击，将防护重点集中在内网终端上。采用的方法是在服务器与客户端安装杀毒软件。虽然，在这个时期网络安全风险低，但是面对一波又一波的网络病毒，如蓝色代码、熊猫烧香、冲击波、震荡波等病毒，还是暴露了医院终端防护水平低、安全建设滞后的问题。
1.2接入专线网络外联
医院的信息系统发展很快，为了方便患者就医，优化就医流程，新的应用、功能需求层出不穷。其中，包括医保实时结算、银医结算与医疗数据共享等应用。由于早期完全隔离的网络使得系统无法与外界交互，这就需要在独立封闭的网络中“开孔出气”。网络的基础上，与外界系统交互只通过专线的方式，边界清晰、业务明确。在这个时期的应用中，院方系统作为请求发起方即客户端，院内系统不需要对外部系统开放接口或者服务，并且与内网系统联通的专线网络属于“可信”环境。在此基础上，只需要在前置服务器外联边界设置防火墙，阻断由外向内的所有连接，允许由内向外的请求。
1.3划分虚拟专网方式接入
随着医院信息系统的进一步发展，医生远程办公、分院业务系统交互，以及患者自助查询、缴费等新需求应运而生，简单的外联已经不能满足新业务开展的要求。此时，就需要进一步对网络进行开放。远程办公可以使用互联网虚拟专用网络（VPN）接入，患者检查结果查询方式为互联网接入。与以往不同，这些应用的开展，都是以内网信息系统的数据为最终请求目标。不管数据包如何跳转，最终需要到达内网服务端。这一时期的服务从面向医务工作者，扩展到了面向部分就诊患者，请求量有所提升。但最根本的转变在于内网系统面向部分外网客户端，提供多样化的服务。虽然，服务对象是特定人群，但是面向互联网开放了“窗口”，见图2。不管是通过前置机中转，还是地址变换、隐藏等手段提供服务，都不能回避互联网上存在的扫描、攻击等潜在风险。这类应用一般为非必要医疗业务环节，面对互联网上的威胁、风险，还可以忍受一定程度上的服务中断。通过接入物理专线的方式，将医保中心、银行及相关卫生主管部门联通。在相关业务系统外围增加前置服务器，作为院方与互联单位的数据中转站，并负责将相关数据、表格保持同步，将上报数据、业务请求发送至外网服务端。这个时期的网络防护也较为轻松。因为在原有封闭但在网络安全方面，是不能允许存在任何非授权访问和入侵破坏的。
1.4互联网+医疗背景下的网络融合
在互联网+医疗时代背景下，医院信息系统将达到前所未有的开放程度。医院将从医疗、公共卫生、家庭医生签约、药品供应保障、医保结算、医学教育和科普等方面推动互联网与医疗健康服务相融合，涵盖医疗、医药、医保“三医联动”诸多方面[2]。医院还将制订、完善相关配套政策，加快实现医疗健康信息互通互享，提高医院管理和便民服务水平[3]。这就需要医院要将网络大门打开，将网络进行融合设计，让患者可以通过互联网上的多种方式享受就医服务。在医疗业务不断向互联网开放后，对于系统中断服务的容忍度基本为零。医院既要保障服务的敏捷性和持续性，又要保障数据的安全性和保密性，还要防止原有系统被入侵和攻击行为所破坏。同时，需要从多角度、多层次对系统进行网络防护。
2网络安全措施
在已有医院信息系统（HIS）等系统的情况下，医院如何进行“开放系统”的防护工作。保护的指导方针是根据国家信息安全等级保护要求，按等保要求系统应具备抗分布式拒绝服务（distributeddenialofservice，DDOS）攻击、入侵、病毒的防御能力和控制端口、行为等控制能力[4].
2.1流量清洗
在互联网上众多的网络请求中，充斥着大量的无用请求、恶意访问[5]。如果不对互联网中的流量进行清洗，将对系统的可用性构成极大威胁。该部分清洗主要是针对DDOS攻击流量。常见DDOS攻击类型有SYNfloods、Land-Base、PINGofdeath、Teardrop、Smurf等。应根据自身情况选择专用设备或运营商服务进行DDOS攻击流量清洗。
2.2入侵防御
清洗完的流量中还存在着扫描、嗅探、恶意代码等威胁，它们通过系统漏洞，绕过防护，对系统实施入侵行为，达到控制主机的目的。一旦入侵成功，造成的后果和损失是巨大的。通过部署入侵防御系统（intrusionpreventionsystem，IPS）对那些被明确判断为攻击行为，会对网络、主机造成危害的恶意行为进行检测和防御。深入网络数据内部，查找它所认识的攻击代码特征，过滤有害数据流，丢弃有害数据包[6]。基于特征的入侵防御系统无法对高级持续性威胁（advancedpersistentthreat，APT）攻击进行防护，因此在建设入侵防御系统时，要特别注意该类型的攻击防护。可增加态势感知系统辅助IPS，将全网流量威胁可视化，进一步消除0day漏洞隐患。
2.3防病毒
根据国际著名病毒研究机构国际计算机安全联盟（internationalcomputersecurityassociation，ICSA）的统计，目前通过磁盘传播的病毒仅占7%，剩下93%的病毒来自网络。其中，包括Email、网页、QQ和MSN等传播渠道。计算机病毒网络化的趋势愈加明显，需要企业部署防毒墙/防病毒网关，以进一步保障网络的安全。防毒墙/防毒网关能够检测进出网络内部的数据，对HTTP、FTP、SMTP、IMAP等协议的数据进行病毒扫描，一旦发现病毒就会采取相应的手段进行隔离或查杀，在防护病毒方面可起到非常大的作用.
2.4访问控制
在经过流量清洗、入侵防御、防病毒3道工序处理后，访问控制系统是主机最“贴身”的一道防线。它是帮助保护服务器，按照个体情况来制定防护策略，精细防护到开几扇门，允许什么人、什么时间、什么方式访问主机。通常用硬件防火墙来进行访问控制[7]。常见防火墙类型有网络层防火墙、应用层防火墙以及数据库防火墙，可实现针对来源IP地址、来源端口号、目的IP地址、目的端口号、数据库语句、应用层指令、速率等属性进行控制。还有一种特殊的访问控制系统——“安全隔离与信息交换系统”即网闸[8]。主要功能有安全隔离、协议转换、内核防护功能。由于网闸在所连接的两个独立系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议；不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有“读”和“写”两个命令。网闸设备通常由3部分组成：外部处理单元、内部处理单元、隔离安全数据交换单元。安全数据交换单元不同时与内、外部处理单元连接，从而创建一个内、外网物理断开的环境，从物理上隔离、阻断了具有潜在攻击可能的连接，使“黑客”无法入侵、无法攻击、无法破坏。
2.5负载均衡
在面对互联网中大量的网络请求时，必须要增加负载均衡设备，扩展网络设备和服务器的带宽、吞吐量、数据处理能力，从而提高网络的灵活性和可用性[9]。负载均衡有多种算法，可以实现基于轮询、连接数、源IP和端口、响应时间的算法。负载均衡设备增加了应用系统处理能力，不法分子想要攻瘫系统的难度将成倍增加。
2.6日志审计与事后分析
日志审计与事后分析非常重要[10]，必须将拦截和放行的网络请求记录下来。一方面，统计攻击日志，分析网络运行风险；另一方面，记录放行的流量，对各个防护环节进行查漏、补缺，优化防护策略。日志审计越全面，对优化网络、提升系统服务水平的帮助越大。日志审计的范围包括：应用系统日志、数据库日志、操作系统日志、网络安全防护日志等。还可将日志系统与网络安全态势感知系统相结合，使分析结果更全面、更准确。日志存储时间应大于6个月。
3具体实例
根据以上的防护要求，本文给出了一个内外网融合并进行防护的具体案例。按照重要程度与功能将网络划分为多个区域，总体原则：首先是按照应用系统划分区域；其次是实施严格的边界访问控制；最后是完善监控、审计等辅助能力建设。由此，形成了包括三级域、二级域、安全管理域、专线接入域、数据交换域、互联网服务接入域在内的6个主要区域。将医院最重要的HIS系统、集成平台、数据仓库等系统接入在三级域，进行最严格的保护；其他业务应用系统放在二级域，网站、VPN、线上业务等放在互联网服务接入域。边界分别部署下一代防火墙、Web应用防火墙（webapplicationfirewal，WAF）。防火墙开启入侵防御、防病毒等防护模块，只放行应用系统对外提供服务的端口流量，对每个源IP的新建连接数、并发连接数、半开连接数进行限制。WAF针对应用实际情况，开启对数据库、中间件、开发语言的防护规则。由于三级域系统业务量大，采用多台应用服务器并行架构，通过旁挂负载均衡器实现应用引流、负载分担，保障应用系统处理能力。将应用服务器与数据库服务器用数据库防火墙进行隔离、控制，从SQL语句、角色权限等角度对数据进行保护。数据交换域的主要功能为数据中转与应用，边界同样部署下一代防火墙，开启入侵防御、防病毒等防护模块，对出入流量进行严格管控。当互联网服务或线上医疗业务需要与HIS等核心系统产生数据请求时，需要通过中转服务器完成数据中转功能；当来自低安全级别系统向HIS等核心系统请求服务时，需要通过中转服务器完成应用功能。这样，在保证系统互联互通的同时，解决了不同系统间的信任问题。安全管理区中放置防病毒软件、堡垒主机、日志审计、态势感知平台、认证系统和监控平台等用于网络管理的服务器，与业务系统隔离，在边界严格控制此区域系统进出流量。在互联网出口处，设置有抗DDOS设备、IPS、防毒墙、下一代防火墙、负载均衡器，全方位对互联网实时流量进行过滤。国家卫生健康委员会、医保中心、银行等业务通过物理专线接入至专线接入域，通过前置机与防火墙对这类业务进行访问控制。总之，通过多种设备和全面的管理，形成一个边界清晰、管控严格、监控全面、审计详实、可感知态势的网络系统。这样，在快速开展互联网线上业务的同时，还能够最大限度地进行网络防护。
关键词:无线网络;网络安全;解决方案
中图分类号:TP393.08 文献标识码:A 文章编号:1007-9599 (2012) 13-0000-02
一、无线网络概述
无线网络(Wireless Local Area Network,WLAN)是以无线电波作为传输媒介的无线局域网,具有移动性、开放性、不稳定性等特点。与无线网络相比,它利用无线电技术代替网线,具有以下独特的优势:网络的扩展性好,可迅速便捷地扩展网络;网络建设简单方便;用户使用性好,网络可移动、兼容性好,不受固定的连接限制等。
(一)无线网络的加密方式
无线网络安全与其相关加密方式密切相关,无线网络的加密方式有:
1.WEP(Wired Equivalent Privacy)加密
该方式通过RC4算法在收发两端将数据加解密,且具有校验过程以确保数据完整安全,然而这种方式只要补集足够多的数据包,就可以推断出密码,安全问题逐渐显现。
2.WPA(Wi-Fi Protected Access)加密
该方式充分研究了WEP的不足,使用了比其更长的IV和密钥机制,具有较高的安全性。
3.WPA2加密
该方式使用AES算法,能克服以往的问题,也是当前的最高安全标准,但其对硬件要求过高。
(二)无线网络的安全特点
另一方面,无线网络的安全特点也有别与有线网络,它主要有以下几个特点:
1.易受干扰攻击
无线网络具有开放性,它不像有线网络具有固定的网络连接,更容易受到各种恶意攻击。
2.安全管理难度大
无线网络的移动性,使其网络终端可在大范围移动,这就意味着移动节点缺乏一定的物理保护,倘若从无线网络已入侵的节点开始攻击,造成的破坏将更大。
3.安全方案实施困难
无线网络具有动态变化的拓扑结构,这让安全技术更复杂,并且许多方案均是分散的,实施起来依赖所有节点。
4.鲁棒性问题
无线网络信道往往随着用户而变化,常常会受到干扰、衰弱等多分影响,造成网络信号不稳定,质量波动大。
二、无线网络面临的安全威胁
无线网络面临的安全威胁主要是针对无线网络信号的空间扩散特性进行的网络攻击。无线网络攻击方式主要有以下几种:
(1)War Driving。这是最常见的攻击方式,攻击者利用黑客软件检测出周围的无线网络,并且详细获知每个访问接入点的详细信息,同时借助GPS绘制出其对应的地理位置。
(2)拒绝服务攻击。这种攻击是通过耗尽网络、操作系统或应用程序的有限资源,使得计算机无法获得相应的服务。
(3)中间人攻击,例如包捕获、包修改、包植入和连接劫持等。
(4)欺骗攻击,即是通过伪造来自某个受信任地址的数据包,让该计算机认证另一台计算机,包括隐蔽式与非隐蔽式欺骗攻击,例如为IP欺骗、ARP欺骗、DNS欺骗等。
(5)暴力攻击,即是使用数字、字符和字母等的任意组合,猜测用户名及其口令,反复地进行试探性访问。
上述的这些攻击会威胁信息的完整性、机密性和可用性,这些安全威胁主要有四类:信息泄露、完整性破坏、拒绝服务和非法使用,具体来说主要有窃听、无授权访问、篡改、伪装、重放、重路由、错误路由、删除消息、网络泛洪等。这些从而导致窃取信息、非授权使用资源、窃取服务和拒绝服务等问题。其具体的网络安全问题主要表现为:
(1)未授权的非法访问服务。攻击者伪装成合法用户,未经授权访问网络资源,非法占用无线信道和网络带宽资源,严重影响了合法用户的服务质量。;
(2)合法用户的隐私信息外泄。恶意用户通过窃听、截取数据包,盗取用户的关键数据信息,例如无线链路上传输的未被加密的数据被攻击者截获等。另一方面不适当的数据同步导致数据不完整,手持设备的丢失也会泄露敏感信息,设备的不恰当配置也可能泄露数据。
(3)恶意用户可能通过无线网络主动攻击网络设备,获得对网络的管理控制权限,并篡改相关的网络配置,降低了网络的防护能力,将造成了恶劣的影响,严重时将使整个网络瘫痪。
(4)病毒主机直接接入无线网络,严重影响信息系统的安全可靠性。
三、无线网络安全的解决方案
针对上述的网络安全问题,无线网络安全的解决方案往往有以下几个方面:
(一)访问控制
即是按照用户身份及其所归属的某项定义组来限制用户访问某些信息项,或限制其使用某些控制功能。一般来说,访问控制有利用MAC地址和服务区域认证ID技术两种方式来控制无线设备的非法入侵。启用MAC地址过滤的策略就是无线路由器只允许部分MAC地址的网络设备进行通讯。由于MAC地址在每个无线工作站的网卡出厂时就已设定,所以用户可以利用其唯一性设置访问点,实现物理地址过滤。然而,这个方案存在MAC地址欺骗的缺陷,即是MAC地址可以进行伪造,而且也无法实现机器在不同AP间的漫游。这种方式是较低级的授权认证,但它是阻止恶意用户访问无线网络的一种理想方式,一定程度上可以保护网络安全。服务区域认证ID技术(SSID)是根据每一个AP内设置的对应服务区域认证ID,当无线终端设备需连接AP时,AP就会检查其SSID是否与自己的ID保持一致,AP才接受相应的访问并给予网络服务。该技术的缺陷同样也是容易被窃取,网络安全性较为一般。
关键词：网络安全 入侵检测 数据备份
一、引言
Internet的发展，正在引发一场人类文明的根本变革，网络已成为一个国家最为关键的政治，经济，军资源，成为国家实力的新象征同时，网络的发展也在不断改变人们的工作，生活方式，使信息的获取，传递，处理和利用更加高效，迅速，随着科学技术不断发展，网络已经成为人们生活的一个组成部分虽然计算机网络给人们带来了巨大的便利，但互联网是一个面向大众的开放系统，对信息的保密和系统的安全考虑得并不完备，存在着安全隐患，网络的安全形势日趋严峻。因而，解决网络安全问题刻不容缓，我们必须从网络安全可能存在的危机入手，分析并提出整体的网络安全解决方案
二、网络安全风险分析
1.网络结构的安全风险分析
企业网络与外网有互连。基于网络系统的范围大、函盖面广，内部网络将面临更加严重的安全威胁，入侵者每天都在试图闯入网络节点。网络系统中办公系统及员工主机上都有涉密信息，假如内部网络的一台电脑安全受损(被攻击或者被病毒感染)，就会同时影响在同一网络上的许多其他系统。
2.操作系统的安全风险分析
所谓系统安全通常是指操作系统的安全。操作系统的安装以正常工作为目标，一般很少考虑其安全性，因此安装通常都是以缺省选项进行设置。从安全角度考虑，其表现为装了很多用不着的服务模块，开放了很多不必开放的端口，其中可能隐含了安全风险。
3.应用的安全风险分析
应用系统的安全涉及很多方面。应用系统是动态的、不断变化的。应用的安全性也是动态的。这就需要我们对不同的应用，检测安全漏洞，采取相应的安全措施，降低应用的安全风险。主要有文件服务器的安全风险、数据库服务器的安全风险、病毒侵害的安全风险、数据信息的安全风险等
4.管理的安全分析
管理方面的安全隐患包括：内部管理人员或员工图方便省事，不设置用户口令，或者设置的口令过短和过于简单，导致很容易破解。责任不清，使用相同的用户名、口令，导致权限管理混乱，信息泄密。把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。内部不满的员工有的可能造成极大的安全风险。
三、网络安全解决方案
1.网络结构的安全
网络结构布局的合理与否，也影响着网络的安全性对银行系统业务网，办公网，与外单位互联的接口网络之间必须按各自的应用范围，安全保密程度进行合理分布，以免局部安全性较低的网络系统造成的威胁，传播到整个网络系统，所以必须从两个方面入手，一是加强|力问控制：在内部局网内可以通过交换机划分VLAN功能来实现；或是通过配备防火墙来实现内、外网或不同信任域之间的隔离与访问控制：也可以配备应用层的访问控制软件系统，针对局域网具体的应用进行更细致的访问控制。二是作好安全检测工作：在局域网络的共享网络设备上配备入侵检测系统，实时分析进出网络数据流，对网络违规事件跟踪，实时报警，阻断连接并做日志。
2.操作系统的安全
对操作系统必须进行安全配置，打上最新的补丁，还要利用相应的扫描软件对其进行安全性扫描评估，检测其存在的安全漏洞，分析系统的安全性，提出补救措施，管理人员应用时必须加强身份认证机制及认证强度尽量采用安全性较高的网络操作系统并进行必要的安全配置，关闭一些起不常用却存在安全隐患的应用，对一些关键文件使用权限进行严格限制，加强口令字的使用，及时给系统打补丁，系统内部的相互调用不对外公开。
3.应用的安全
要确保计算机网络应用的安全，主要从以下几个方面作好安全防范工作：一要配备防病毒系统，防止病毒入侵主机并扩散到全网，实现全网的病毒安全防护；二作好数据备份工作，最安全的，最保险的方法是对重要数据信息进行安全备份，如果遇到系统受损时，可以利用灾难恢复系统进行快速恢复；三是对数据进行加密传输，保护数据在传输过程中不被泄露，保证用户数据的机密性，数据加密的方法有从链路层加密，网络层加密及应用层加密；四是进行信息鉴别，为了保证数据的完整性，就必须采用信息鉴别技术，VPN设备便能实现这样的功能，数据源身份认证也是信息鉴别的一种手段，它可以确认信息的来源的可靠性，结合传输加密技术，我们可以选择VPN设备，实现保护数据的机密性，完整性，真实性，可靠性。
4.管理的安全
安全体系的建立和维护需要有良好的管理制度和很高的安全意识来保障。安全意识可以通过安全常识培训来提高，行为的约束只能通过严格的管理体制，并利用法律手段来实现，因国这些必须在电信部门系统内根据自身的应用与安全需求，制定安全管理制度并严格按执行，并通过安全知识及法律常识的培训，加强整体员工的自身安全意识及防范外部入侵的安全技术。
笔者从众多开设网络工程专业的高校中选取部分211或985学校作为研究对象，对多所学校的网络安全方向课程的设置进行了对比分析，见表1。网络安全在某些高校是作为网络工程专业的一个方向开设，如吉林大学就是在网络工程专业下设网络安全方向，开设网络攻防技术、无线网络技术等课程；而在有些院校网络工程中没有网络安全方向，而以单独的信息安全专业存在，如电子科技大学和北京邮电大学都是单独设有信息安全专业，该专业开设的安全方向课程更全面，如信息安全数学基础、密码学基础、网络安全协议等；还有一些高校既没有信息安全专业，在网络工程专业中也没有安全方向，只是在课程中设置了少量的安全类课程，如大连理工大学开设网络安全、Matlab课程，中山大学开设了密码学与网络安全课程。
2扩展课程设置探讨
下面针对济南大学的网络工程专业安全方向开设的课程进行改革探讨。济南大学网络工程专业目前正在使用的培养方案中与安全相关的课程设置情况见表2。其中，一部分是计算机类学科基础课，一部分是网络工程专业基础选修课和专业方向课。济南大学网络工程专业中设有网络安全方向。结合山东省名校工程的契机，笔者在调研多个名校的培养方案并结合本校实际情况的前提下，对网络安全方向课程的设置提出下面几个调整意见。
2.1增设信息安全数学基础和网络仿真课程
虽然原有培养方案中高等数学、线性代数、概率论与数理统计、离散数学4门数学课程都占据了大量学时，但是对于网络安全方向的学生而言，后期用到的相关数学知识并不多。但是学生对网络安全真正用到的初等数论和群环域知识却一点都没有接触。因此，修改培养方案时应增设信息安全数学基础课程，学时不用太多，可以为24学时，授课内容要涉及网络安全中用到的模运算、同余理论、数论函数和群环域等知识。目前，网络安全方向用到的数学知识均是在应用密码学课程中讲解的。大部分有关密码学的教材都会在讲解分组密码和公钥密码时，介绍一些与之密切相关的数学知识（如群环域），如由清华大学出版社出版，杨波编写的《现代密码学》（第二版）[3]中的“密码学中一些常用的数学知识”部分。这种做法一方面占了密码学课程的部分学时，势必会减少学生学到的密码学知识；另一方面，临时讲一些数学知识并不能让学生系统地理解。因此，笔者非常赞成清华大学冯克勤教授提出的增设初等数论课程的想法[4]。虽然冯教授是针对清华大学数学科学系本科生提出的，但对于网络安全方向的学生而言，不学习初等数论和群环域知识，很难理解和掌握后续的与安全相关的课程内容，这点在应用密码学课程中尤其明显。例如，学习离散对数算法后，学生只知道在已知一些参数的情况下如何利用指数进行加密解密，但不能理解如何选择参数，不知道什么是本原元，如何确定一个循环群的本原元以及如何利用模运算降低计算量，如何快速的编程实现。笔者采用不同于上述冯教授提出的在大学第1学期开设初等数论课程的方式，而是在第3学期开设。因为济南大学在第1、2学期，学生必修高等数学和线性代数课程，这已经使学生无暇顾及更多的数学知识。第3学期开设信息安全数学基础可以很好地和第4学期开设的应用密码学课程衔接。另外，在信息安全数学基础课程中，安排一定的实验学时，让学生在经过第1、2学期的程序设计课程之后，通过学过的编程语言实现数论和群环域中的一些算法，理论联系实际，从而更好地掌握数学知识，为后续密码学算法的研究奠定基础。
2.2增加网络仿真课程
现代网络技术的研究离不开仿真软件，因为我们不可能实际搭建网络，如果不合适，再拆了重新搭建，这不仅费时而且费力。现在所有与网络相关的研究都在仿真基础上进行；而如果不开设仿真课程，学生仅学习理论知识，会与实际应用脱离。济南大学的信息安全教学团队由5位博士组成，其中3人是数学专业背景，主要研究网络安全，2人是计算机学科出身，主要研究无线网络，而且5人中有2人具有工程背景。信息安全教学团队负责网络工程专业的所有安全类课程的教学，包含无线网络和网络协议等课程，这些课程都需要仿真软件的配合才能使学生真正掌握所学知识。因此，增加网络仿真课程是必须的。至于仿真课程的内容，可以选择NS2或NS3，也可以与大连理工大学相似，采用Matlab。
2.3合并网络协议和网络安全协议课程，调整其他相关课程的学分和学时
网络协议课程主要讲TCP/IP协议，内容与吉林大学的TCP/IP协议族相似，重点在网络的分层协议，如网络层协议、传输层协议等。涉及部分安全协议，如IPsec、SSL、SNMP等，这与网络安全协议课程中再次对这些内容的讲解重复，而且安全协议本身也是网络协议的一种，因此可以考虑将安全协议和网络协议两个课程整合或一门全新的网络协议课程，去掉重复内容，增加部分学分和学时，从原有的2.5学分增加到3学分，同时学时从原有的48增加到64。网络工程专业修改培养方案后的安全方向课程设置见表3。从表3可以看出培养方案修正前后的总学分保持不变，这是因为在增加新课的同时，调整了部分课程所占学分和学时，如减少无线网络原理与技术的学分，从原有的4学分减到3.5学分。这样一方面增加了新课，另一方面整合了重复内容的课程。
3结语
网络安全建设要具有长远的眼光，不能仅仅为了眼前的几种威胁而特意部署安全方案。
垃圾邮件、病毒、间谍软件和不适内容会中断业务运行，这些快速演变的威胁隐藏在电子邮件和网页中，并通过网络快速传播，消耗着有限的网络和系统资源。要防范这些威胁，就需要在网络安全方面有所投入才行。但现在的经济形势让众多中小企业面临生存挑战，it投入的缩减，专业人员的不足等因素，相比大型企业来说，都让中小企业在对付网络威胁方面更加无助。
即使投入有限，中小企业的网络安全需求一点也不比大企业少。在现实情况中，中小企业往往还对便捷的管理、快速的服务响应等要求更高。那么中小企业如何在有限的投入中构建完善的网络安全体系呢？试试下面这几招。
第一招：网关端防护事半功倍
内部病毒相互感染、外部网络的间谍软件、病毒侵袭等危害，使得仅仅依靠单一安全产品保证整个网络安全稳定运行的日子一去不复返了。而应对目前新型的web威胁，利用架设在网关处的安全产品，在威胁进入企业网络之前就将其拦截在大门之外是更加有效的方法。对于中小企业来说，选择一款功能全面、易于管理和部署的网关安全设备，不但可以在第一时间内对各类web流量内容进行扫描过滤，同时也可以大大减轻各应用服务器主机的负荷。
比如，趋势科技推出的igsa就包含了防病毒、防垃圾邮件和内容过滤、防间谍软件、防网络钓鱼、防僵尸保护以及url过滤服务等众多功能，并且可以统一集中管理，通过日志报告还让网络运行安全情况一目了然，大大减少了信息安全管理的工作量。
第二招：运用“云安全”免去内存升级压力
目前中小企业内网安全也不容忽视，而且要求实现集中管理和保护内部桌面计算机。在网络威胁飙升的今天，更新病毒码成为每天必备的工作，但传统代码比对技术的流程性问题正在导致查杀病毒的有效性急剧下降。趋势科技推出的云安全解决方案超越了病毒样本分析处理机制，通过云端服务器群对互联网上的海量信息源进行分析整理，将高风险信息源保存到云端数据库中，当用户访问时，通过实时查询信息源的安全等级，就可以将高风险信息及时阻挡，从而让用户频繁的更新病毒码工作成为历史。
目前，桌面端防护的用户数是网关防护用户数的5倍，桌面防护在现阶段也是必不可少的手段，但要求减轻更新负担和加强管理便捷性。这方面，趋势科技的officescan通过应用最新的云安全技术，使桌面端防护不再依赖于病毒码更新，降低了带宽资源和内存资源的占用和压力。
第三招：安全服务节省管理成本
网络安全管理成本在整个网络安全解决方案中占有一定比例，如果用三分技术、七分管理的理论来解释，这方面成本显然更高。如何才能在专业管理人员有限的状况下，达到安全管理的目标呢？中小企业可以借助安全厂商的专家技术支持，高效、专业地保障网络安全运行。也就是借用外力来管理自己的网络安全设备，将比自己培养管理人员成本更低，而且效果更佳。
目前，已有包括趋势科技在内的多家厂商提供此类服务。
第四招：培养安全意识一劳永逸
