網絡安全評估報告范文

導語：如何才能寫好一篇網絡安全評估報告，這就需要搜集整理更多的資料和文獻，歡迎閱讀由公務員之家整理的十篇范文，供你借鑒。

篇1

第一條 為加強對具有輿論屬性或社會動員能力的互聯網信息服務和相關新技術新應用的安全管理，規范互聯網信息服務活動，維護國家安全、社會秩序和公共利益，根據《中華人民共和國網絡安全法》《互聯網信息服務管理辦法》《計算機信息網絡國際聯網安全保護管理辦法》，制訂本規定。

第二條 本規定所稱具有輿論屬性或社會動員能力的互聯網信息服務，包括下列情形：

（一）開辦論壇、博客、微博客、聊天室、通訊群組、公眾賬號、短視頻、網絡直播、信息分享、小程序等信息服務或者附設相應功能；

（二）開辦提供公眾輿論表達渠道或者具有發動社會公眾從事特定活動能力的其他互聯網信息服務。

第三條 互聯網信息服務提供者具有下列情形之一的，應當依照本規定自行開展安全評估，并對評估結果負責：

（一）具有輿論屬性或社會動員能力的信息服務上線，或者信息服務增設相關功能的；

（二）使用新技術新應用，使信息服務的功能屬性、技術實現方式、基礎資源配置等發生重大變更，導致輿論屬性或者社會動員能力發生重大變化的；

（三）用戶規模顯著增加，導致信息服務的輿論屬性或者社會動員能力發生重大變化的；

（四）發生違法有害信息傳播擴散，表明已有安全措施難以有效防控網絡安全風險的；

（五）地市級以上網信部門或者公安機關書面通知需要進行安全評估的其他情形。

第四條 互聯網信息服務提供者可以自行實施安全評估，也可以委托第三方安全評估機構實施。

第五條 互聯網信息服務提供者開展安全評估，應當對信息服務和新技術新應用的合法性，落實法律、行政法規、部門規章和標準規定的安全措施的有效性，防控安全風險的有效性等情況進行全面評估，并重點評估下列內容：

（一）確定與所提供服務相適應的安全管理負責人、信息審核人員或者建立安全管理機構的情況；

（二）用戶真實身份核驗以及注冊信息留存措施；

（三）對用戶的賬號、操作時間、操作類型、網絡源地址和目標地址、網絡源端口、客戶端硬件特征等日志信息，以及用戶信息記錄的留存措施；

（四）對用戶賬號和通訊群組名稱、昵稱、簡介、備注、標識，信息、轉發、評論和通訊群組等服務功能中違法有害信息的防范處置和有關記錄保存措施；

（五）個人信息保護以及防范違法有害信息傳播擴散、社會動員功能失控風險的技術措施；

（六）建立投訴、舉報制度，公布投訴、舉報方式等信息，及時受理并處理有關投訴和舉報的情況；

（七）建立為網信部門依法履行互聯網信息服務監督管理職責提供技術、數據支持和協助的工作機制的情況；

（八）建立為公安機關、國家安全機關依法維護國家安全和查處違法犯罪提供技術、數據支持和協助的工作機制的情況。

第六條 互聯網信息服務提供者在安全評估中發現存在安全隱患的，應當及時整改，直至消除相關安全隱患。

經過安全評估，符合法律、行政法規、部門規章和標準的，應當形成安全評估報告。安全評估報告應當包括下列內容：

（一）互聯網信息服務的功能、服務范圍、軟硬件設施、部署位置等基本情況和相關證照獲取情況；

（二）安全管理制度和技術措施落實情況及風險防控效果；

（三）安全評估結論；

（四）其他應當說明的相關情況。

第七條 互聯網信息服務提供者應當將安全評估報告通過全國互聯網安全管理服務平臺提交所在地地市級以上網信部門和公安機關。

具有本規定第三條第一項、第二項情形的，互聯網信息服務提供者應當在信息服務、新技術新應用上線或者功能增設前提交安全評估報告；具有本規定第三條第三、四、五項情形的，應當自相關情形發生之日起30個工作日內提交安全評估報告。

第八條 地市級以上網信部門和公安機關應當依據各自職責對安全評估報告進行書面審查。

發現安全評估報告內容、項目缺失，或者安全評估方法明顯不當的，應當責令互聯網信息服務提供者限期重新評估。

發現安全評估報告內容不清的，可以責令互聯網信息服務提供者補充說明。

第九條 網信部門和公安機關根據對安全評估報告的書面審查情況，認為有必要的，應當依據各自職責對互聯網信息服務提供者開展現場檢查。

網信部門和公安機關開展現場檢查原則上應當聯合實施，不得干擾互聯網信息服務提供者正常的業務活動。

第十條 對存在較大安全風險、可能影響國家安全、社會秩序和公共利益的互聯網信息服務，省級以上網信部門和公安機關應當組織專家進行評審，必要時可以會同屬地相關部門開展現場檢查。

第十一條 網信部門和公安機關開展現場檢查，應當依照有關法律、行政法規、部門規章的規定進行。

第十二條 網信部門和公安機關應當建立監測管理制度，加強網絡安全風險管理，督促互聯網信息服務提供者依法履行網絡安全義務。

發現具有輿論屬性或社會動員能力的互聯網信息服務提供者未按本規定開展安全評估的，網信部門和公安機關應當通知其按本規定開展安全評估。

第十三條 網信部門和公安機關發現具有輿論屬性或社會動員能力的互聯網信息服務提供者拒不按照本規定開展安全評估的，應當通過全國互聯網安全管理服務平臺向公眾提示該互聯網信息服務存在安全風險，并依照各自職責對該互聯網信息服務實施監督檢查，發現存在違法行為的，應當依法處理。

第十四條 網信部門統籌協調具有輿論屬性或社會動員能力的互聯網信息服務安全評估工作，公安機關的安全評估工作情況定期通報網信部門。

第十五條 網信部門、公安機關及其工作人員對在履行職責中知悉的國家秘密、商業秘密和個人信息應當嚴格保密，不得泄露、出售或者非法向他人提供。

篇2

用戶感到無助

賽門鐵克消費產品事業部總裁 Janice Chaffin 說:“當今的網絡罪犯依然在網絡上大行其道,因此,個人用戶需要選擇出色的而且帶有全球防御系統的網絡安全防護解決方案。”

網絡風險畢竟還是可以通過種種辦法得到緩解和抑制的,之所以造成網絡犯罪,首先還是用戶的安全意識薄弱。有時候,用戶可能只是隨便點了一下鼠標,就會成為下一個網絡犯罪受害者。

洛約拉馬利蒙特大學心理學副教授、哲學博士Joseph LaBrie說:“我們之所以接受網絡犯罪是因為產生了習得性無助感。這就像您在汽車修理廠被敲竹杠一樣,如果您對汽車知之甚少,也就不會與修理工爭辯。人們只有接受現狀,即使這種感覺很糟糕。”

賽門鐵克近期了2011版本諾頓網絡安全特警和諾頓防病毒軟件產品。第三方測試機構 Dennis Labs 的最新測試數據顯示,諾頓在真實環境威脅檢測測試中一舉奪魁,它是唯一一家在防護測試中取得100%整體防護最佳成績的安全軟件。諾頓已連續兩年獲得這一佳績。而Dennis Labs 在防惡意軟件測試標準組織中,是目前唯一一家進行真實環境安全測試方法評估中遵從性達到 100%的評測機構。

同期,德國知名獨立測試機構 最新測試報告顯示,諾頓 2011 在威脅檢測和處理功能方面均超越了12 種競爭品牌的安全解決方案。另據國際權威反病毒機構AV-Comparatives 評估報告顯示,諾頓在檢測和處理測試中均取得了最高分。

諾頓的新特性

記者在實際測試過程中發現,諾頓網絡安全特警2011支持包括Windows7系統在內的主流Windows系統。值得一提的是,對于Windows 7系統中諾頓2011的表現更佳,因為該軟件針對Windows 7系統做了不少的優化操作,完全支持Windows 7新特性。

諾頓網絡安全特警2011特別在主界面下方加入了一個世界地圖,上面顯示了諾頓分布在全球的安全監測中心實時反饋的最新威脅發生地,讓用戶能夠隨時清晰了解全球各地的威脅發生情況,一旦有某些地區或主要城市病毒威脅開始泛濫,用戶就會率先了解到并及時做好自己電腦的防護工作。

除此之外諾頓網絡安全特警2011新增加諾頓全球智能云防護 、諾頓網頁安全、父母控制管理、主動性能警報和反網絡釣魚技術等諸多新功能。

篇3

《通信產業報》：NGN的演進與移動核心網的IP化為電信運營商的網絡安全帶來了哪些挑戰？

徐曉陽：電信運營商網絡IP化是電信網絡的發展趨勢。IP網絡是基于統計復用技術的共享網絡，IP技術的優勢在于簡單高效，但由于IP技術設計當初沒有考慮安全問題，基于IP技術的運營商網絡面臨多種安全挑戰，可以歸結為保密性、完整性、可用性三大類安全風險，保密性方面主要是共享網絡存在信息泄漏的風險。完整性方面主要是信息被竄改的風險；可用性是電信運營商最為關注的安全問題，電信網絡作為一個基礎網絡，是承載用戶業務的基礎，一旦網絡的可用性無法保證，則直接導致運營商經濟收益和信譽的損失。

《通信產業報》：如何探測電信網絡中的安全隱患？

徐曉陽：與軟件系統的白盒測試和黑盒測試類似，對電信網絡的安全隱患探測也可分為白盒探測和黑盒探測兩種方式。白盒探測主要是網絡安全工程師對電信網絡的網絡架構、路由交換設備協議功能的設計、業務主機的系統配置、業務系統的程序編碼等多方面進行分析評估和安全審核，發現安全隱患，最終形成安全評估報告。黑盒探測通過模擬黑客行為對電信網絡進行滲透測試，發現網絡的安全漏洞，形成系統安全修復建議報告。

《通信產業報》：如何通過建立多級安全機制，從整體上提升電信運營商網絡安全水平？

徐曉陽：信息安全的目標就是保護有可能被侵犯或破壞的機密信息不被外界非法操作者控制，要求達到：保密性、完整性、可用性、可控性等目標。電信運營商網絡可分為生產網和支撐網兩大類，不同類型的網絡，其安全需求側重點有所不同，對于生產網，如公眾互聯網，可用性和可控性為首要安全目標，而機密性完整性則處于次要位置，運營商首要任務是保證網絡的可用性，而機密性和完整性則由客戶利用加密傳輸、CA安全論證等應用層安全技術來保障，要達到網絡的可用性則首要條件是網絡的流量是可知可控的，采用訪問控制機制(防火墻)、深度包檢測(DPI)技術來實現；對于支撐網，如DCN網，保密性和完整性為首要安全目標，主要采用VPN技術、安全域劃分、終端安全防護等安全機制來解決。

《通信產業報》：如何維護DCN網絡安全？

徐曉陽：目前運營商的DCN網絡主要的定位是為其自身的多種業務系統提供一個公用的數據傳輸平臺，雖然經過了多期的建設與擴容，但大多集中在網絡結構的改造、鏈路的擴充、設備的升級上，在安全建設方面還有待加強。從安全廠商的角度來看，我們認為DCN網普遍存在如下問題：一是整網的網絡安全缺乏統一的規劃；二是業務系統之間的邊界不清；三是與互聯網存在多個出口，安全防護存在投資大、漏洞多、安全策略不統一等問題；四是缺乏有效的異常流量檢測和分析，服務質量無法保證；五是終端安全帶來大量的安全隱患；六是遠程維護存在嚴重的安全風險。根據運營商DCN網絡的實際情況，在安全體系建設過程中建議采取“全方位規劃、重點保護重點實施，逐步完善”的策略來進行。

篇4

1.1人員安全防范意識薄弱

隨著網絡攻擊方式的多樣化，一些用戶不遵守規章制度，經常在計算機上隨意插拔U盤，用U盤轉移數據，無形中造成病毒的感染、散播；或者下載、安裝未經安全檢測的各種應用軟件，造成病毒的感染等。還有些用戶認為安裝了殺毒軟件就一勞永逸，卻忽視殺毒軟件病毒庫的升級，造成病毒庫版本老舊，不能及時、有效地殺除病毒。

1.2硬件防御系統不完善

互聯網、辦公網、業務網邊界不清，只在網絡之間以防火墻進行隔離，不能完全杜絕病毒及入侵行為的攻擊。對于非法的訪問行為和病毒沒有及時有效地進行監控，會導致網絡流量突增，占用大量氣象信息網絡帶寬從而影響業務的正常傳輸。

1.3應用軟件存在漏洞

操作系統有部分高危漏洞補丁未安裝，系統可能存在URL框架、鏈接和跨站漏洞等，這些都存在安全風險。應用軟件如ApacheTomcat、MySQL或SQLServer數據庫版本存在漏洞且未安裝補丁，這些都給黑客和病毒提供了一定的可趁之機。

2氣象信息網絡安全措施

2.1安全管理制度

氣象信息中心在網絡安全管理方面已經建立一整套相當完備的管理制度，包括：《網絡管理員日常工作流程》、《信息中心機房管理制度》、《信息中心密碼管理制度》、《技術保障科工作制度》、《技術保障科交接班制度》、《寧夏氣象信息中心技術保障管理規定》、《氣象信息傳輸業務運行管理規定》、《寧夏氣象信息中心安全事件報告和處置管理制度》、《寧夏氣象信息中心業務系統故障及信息安全事件分類分級制度》、《寧夏氣象信息中心信息網絡應急預案》等，為氣象信息系統安全工作的開展提供了制度保證。氣象信息中心規定非本單位人員進出機房必須按照《信息中心機房管理制度》的要求填寫登記表并由本單位人員陪同，機房和辦公樓內配有視頻監控系統進行24小時監控。電子郵箱（LotusNotes）的使用需要由管理員分配用戶ID方可使用，非本部門的人員不得使用。

2.2硬件防御系統

氣象信息中心建設了整套的安全防御系統來保障氣象信息網絡的安全。

2.2.1安全管理中心

安全管理中心（SMC）包括配置、監控、分析、響應等多個相關聯的部分，監控整個網絡設備、主機設備、安全設備、用戶終端等的安全狀態和安全趨勢；對全網安全事件進行采集、分析、關聯、匯聚、報表報告，對危害嚴重的安全事件及時做出反應；對所有監控指標產生的告警進行集中的響應。

2．2．2廣域網入侵防御系統

系統對過往包裹進行深層檢查，深入數據內部，查找實時更新的攻擊代碼特征、病毒特征和異常協議，過濾掉有害數據流，丟棄有害數據包，并進行記載以便事后分析；監視網絡資料傳輸行為，實現細粒度管理控制，能夠即時地中斷、調整或隔離一些不正常或是具有傷害性的網絡資料傳輸行為，提供了動態、深度的安全檢測及防御。

2．2．3安全隔離網閘

系統直接處理網絡間的應用層數據，利用存儲轉發的方法進行數據的交換，在交換的同時，對應用數據進行細粒度安全過濾；實現兩個不信任網絡間的高安全的隔離和實時的信息交換，防止內部信息泄漏和外部病毒、黑客程序的滲入。

2．2．4網絡防毒體系

殺毒系統可以預防、掃描和殺除計算機病毒，防止病毒的傳播擴散。網絡防毒體系主要分為服務器的防護和工作站的防護。防毒體系中的服務器端產品可為文件服務器的病毒防護和網絡工作站的病毒防護。我中心使用卡巴斯基網絡版殺毒軟件（170客戶端）和360企業版殺毒軟件（400客戶端）對全區業務提供計算機病毒防護，定期對信息系統進行漏洞掃描、病毒木馬檢測。

2．2．5城域網DMZ區

為保護氣象局區局業務網的安全，解決城域網用戶與業務網之間沒有安全隔離的問題，在城域網與綜合業務子網之間建設一個城域網用戶信息收集共享DMZ區，利用防火墻提供必要的網絡安全控制，從而保證業務網的安全，使得外網的訪問者可以獲得DMZ中的服務，但不能接觸到存放在氣象內網中的信息。

2.3安全技術防護

目前采用網絡安全的主要技術有訪問控制、入侵檢測、安全審計、數據加密、身份認證等等。

2．3．1防火墻

利用防火墻可以將氣象專網與互聯網進行有效隔離。防火墻通過控制和監測網絡之間進出的數據信息交換和封堵某些禁止行為來實現對網絡安全的有效管理，并且實現對網絡攻擊行為的檢測和告警等。

2．3．2訪問控制

訪問控制采用基于資源的集中式控制、基于源地址和目的地址的過濾管理、基于網絡簽證技術等多種手段來保證系統資源不被非法訪問和使用。氣象信息內網接入互聯網的終端計算機采取IP-Mac地址綁定的方式，嚴格限制業務用終端計算機接入互聯網。同時還利用靜態路由表，劃分不同的虛擬局域網等技術限制各網段之間互訪。

2．3．3入侵檢測

入侵檢測系統是從氣象信息網絡中的關鍵節點收集網絡中傳輸的數據報文及相關網絡會話，還有系統內部的審計數據，通過分析這些信息，查看網絡中是否存在違反相關安全策略的行為，是否存在異常的用戶行為及入侵事件。入侵檢測系統實時、動態地保護來自氣象信息網絡內部和外部的各種攻擊，同時有效地彌補了防火墻的不足。

2．3．4安全審計

系統采用旁路偵聽的方式對重要和敏感的業務系統數據流進行采集、分析和識別；通過監測網絡異常流量，實時監視用戶訪問氣象業務系統的狀態，記錄各種訪問行為，發現并及時制止用戶的誤操作、違規訪問或者可疑行為。

2．3．5身份認證

氣象信息中心有基于數字證書的身份認證系統（CA系統），提供了證書認證、數字簽名和數據加解密的安全服務，是信息網絡安全體系中保護應用和數據安全的重要手段。

2．3．6網絡流量控制

通常，在氣象信息網絡沒有感染病毒時網絡帶寬能夠滿足業務數據的正常傳輸。假如網絡中的終端計算機感染了“蠕蟲”病毒或一些木馬程序后，網絡流量會出現異動，嚴重的甚至會將氣象信息網絡的帶寬完全耗盡，并導致業務網絡的阻塞或完全癱瘓。由于天氣預報、氣候預測等氣象業務數據需要及時準確的傳輸，網絡流量耗盡或阻塞將給氣象業務的正常運行帶來巨大的隱患。因此，為確保常規氣象業務數據的準確、及時傳輸，必須要對一些非業務的數據流量加強管理和限制，防止因為少量終端計算機的不正常而殃及整個網絡。

2．3．7終端計算機的網絡安全管理

病毒、惡意軟件、木馬等電腦病毒以及終端本身的軟硬件故障，常常給整個氣象信息網絡帶來安全隱患，嚴重的甚至能導致系統崩潰。因此，要定期或不定期組織終端計算機系統的安全風險評估，檢查安全運行情況，并根據評估報告對系統安全措施進行完善與升級，及時排除安全隱患。

3結語

篇5

漏洞掃描技術的原理

漏洞掃描系統是用來自動檢測遠程或本地主機安全漏洞的程序（安全漏洞通常指硬件、軟件、協議的具體實現或系統安全策略方面存在的安全缺陷）。漏洞掃描按功能大致可分為：操作系統漏洞掃描、網絡漏洞掃描和數據庫漏洞掃描。若針對檢測對象的不同，漏洞掃描還可分為網絡掃描、操作系統掃描、WWW服務掃描、數據庫掃描以及最近出現的無線網絡掃描。目前，漏洞掃描，從底層技術來劃分，也可以分為基于網絡的掃描和基于主機的掃描這兩種類型。

漏洞掃描主要通過以下兩種方法來檢測目標主機是否存在漏洞：在端口掃描后得知目標主機開啟的端口以及端口上的網絡服務，將這些相關信息與網絡漏洞掃描系統提供的漏洞庫進行匹配，查看是否有滿足匹配條件的漏洞存在（如圖1所示）；通過模擬黑客的攻擊手法，對目標主機系統進行攻擊性的安全漏洞掃描，如測試弱勢口令等。一旦模擬攻擊成功，則表明目標主機系統存在安全漏洞，下面列出兩種漏洞掃描實現的方法。

（1） 漏洞庫的特征匹配方法

基于網絡系統漏洞庫的漏洞掃描的關鍵部分就是它所使用的漏洞特征庫。通過采用基于規則的模式特征匹配技術，即根據安全專家對網絡系統安全漏洞、黑客攻擊案例的分析和系統管理員對網絡系統安全配置的實際經驗，可以形成一套標準的網絡系統漏洞庫，然后再在此基礎之上構成相應的匹配規則，由掃描程序自動進行漏洞掃描。若沒有被匹配的規則，系統的網絡連接是禁止的。

因此，漏洞庫信息的完整性和有效性決定了漏洞掃描系統的性能，漏洞庫的修訂和更新的性能也會影響漏洞掃描系統運行的時間。因此，漏洞庫的編制不僅要對每個存在安全隱患的網絡服務建立對應的漏洞庫文件，而且應當能滿足前面所提出的性能要求。

（2）功能模塊（插件）技術

插件是由腳本語言編寫的子程序，掃描程序可以通過調用它來執行漏洞掃描，檢測出系統中存在的一個或多個漏洞。添加新的插件就可以使漏洞掃描軟件增加新的功能，掃描出更多的漏洞。插件編寫規范化后，甚至用戶自己都可以用Perl、C等腳本語言編寫的插件來擴充漏洞掃描軟件的功能。這種技術使漏洞掃描軟件的升級維護變得相對簡單，而專用腳本語言的使用也簡化了編寫新插件的編程工作，使漏洞掃描軟件具有很強的擴展性。

基于網絡的漏洞掃描技術

基于網絡的漏洞掃描器，就是通過網絡來掃描遠程計算機中TCP/IP不同端口的服務，然后將這些相關信息與系統的漏洞庫進行模式匹配，如果特征匹配成功，則認為安全漏洞存在；或者通過模擬黑客的攻擊手法對目標主機進行攻擊，如果模擬攻擊成功，則認為安全漏洞存在。

網絡漏洞掃描系統（簡稱掃描器），是指通過網絡遠程檢測目標網絡和主機系統漏洞的程序，它對網絡系統和設備進行安全漏洞檢測和分析，從而發現可能被入侵者非法利用的漏洞。漏洞掃描器多數采用基于特征的匹配技術，與基于誤用檢測技術的入侵檢測系統相似。掃描器首先通過請求/應答，或通過執行攻擊腳本，來搜集目標主機上的信息，然后在獲取的信息中尋找漏洞特征庫定義的安全漏洞，若匹配成功，則認為安全漏洞存在。可以看到，安全漏洞能否發現很大程度上取決于漏洞特征的定義。基于網絡的漏洞掃描器，一般有以下幾個主要模塊組成（如圖2所示）：

漏洞數據庫模塊：漏洞數據庫包含了各種操作系統的各種漏洞信息，以及如何檢測漏洞的指令。由于新的漏洞會不斷出現，該數據庫需要經常更新，以便能夠檢測到新發現的漏洞。

掃描引擎模塊：掃描引擎是掃描器的主要部件。根據用戶配置控制臺部分的相關設置，掃描引擎組裝好相應的數據包，發送到目標系統，將接收到的目標系統的應答數據包與漏洞數據庫中的漏洞特征進行比較，來判斷所選擇的漏洞是否存在。

掃描知識庫模塊：通過查看內存中的配置信息，該模塊監控當前活動的掃描，將要掃描的漏洞的相關信息提供給掃描引擎，同時還接收掃描引擎返回的掃描結果。

結果存儲器和報告生成工具：報告生成工具，利用當前活動掃描知識庫中存儲的掃描結果，生成掃描報告。掃描報告將告訴用戶配置控制臺設置了哪些選項，根據這些設置，掃描結束后，在哪些目標系統上發現了哪些漏洞。

基于主機的漏洞掃描技術

主機漏洞掃描器則通過在主機本地的程序對系統配置、注冊表、系統日志、文件系統或數據庫活動進行監視掃描，搜集他們的信息，然后與系統的漏洞庫進行比較，如果滿足匹配條件，則認為安全漏洞存在。比如，利用低版本的DNS Bind漏洞，攻擊者能夠獲取root權限，侵入系統或者攻擊者能夠在遠程計算機中執行惡意代碼。使用基于網絡的漏洞掃描工具，能夠監測到這些低版本的DNS Bind是否在運行。一般來說，基于網絡的漏洞掃描工具可以看作為一種漏洞信息收集工具，根據不同漏洞的特性，構造網絡數據包，發給網絡中的一個或多個目標服務器，以判斷某個特定的漏洞是否存在。

漏洞掃描技術中存在的問題

網絡安全掃描產品的核心功能在于檢測目標網絡設備存在的各種網絡安全漏洞，針對發現的網絡安全漏洞提供詳盡的檢測報告和切實可行的網絡安全漏洞解決方案，使系統管理員在黑客入侵之前將系統可能存在的各種網絡安全漏洞修補好，避免黑客的入侵而造成不同程度的損失。

網絡漏洞掃描系統發展迅速，產品種類繁多，且各具特點，在功能和性能上存在著一定的差異。漏洞掃描系統大多采用軟件產品來實現，也有廠家采用硬件產品來實現漏洞掃描。通常以三種形式出現：單一的掃描軟件，安裝在計算機或掌上電腦上，例如ISS Internet Scanner；基于客戶機（管理端）/服務器（掃描引擎）模式或瀏覽器/服務器模式，通常為軟件，安裝在不同的計算機上，也有將掃描引擎做成硬件的，例如Nessus；其他安全產品的組件，例如防御安全評估就是防火墻的一個組件。在安全掃描中，硬件設備的資源能夠承受多數量的主機。與通常的軟件掃描器相比，由于承載的硬件嵌入系統平臺經過特別優化，其掃描效率遠遠高于一般的安全掃描軟件。本文分別介紹了基于網絡的漏洞掃描工具和基于主機的漏洞掃描工具，現有的漏洞掃描系統基本上是采用上述的兩種方法來完成對漏洞的掃描，但是這兩種方法在不同程度上也各有不足之處，主要表現在：

（1）系統配置特征規則庫問題

網絡系統漏洞庫是基于漏洞庫的漏洞掃描的靈魂所在，而系統漏洞的確認是以系統配置特征規則庫為基礎的。但是，這樣的系統配置特征規則庫存在其局限性。專家建議，系統配置特征規則庫應能不斷地被擴充和修正，這樣也是對系統漏洞庫的擴充和修正，但這些又需要專家的指導和參與才能夠實現。

（2）針對漏洞庫信息要求

漏洞庫信息是基于網絡系統漏洞庫的漏洞掃描的主要判斷依據。如果漏洞庫信息不全面或得不到即時的更新，不但不能發揮漏洞掃描的作用，還會給系統管理員以錯誤的引導，從而對系統的安全隱患不能采取有效措施并及時消除。專家建議，在按照某一標準設計漏洞庫的同時，還應該讓漏洞庫信息具備完整性、有效性、簡易性等特點，這樣即使是用戶自己也易于對漏洞庫進行添加配置，從而實現對漏洞庫的即時更新。

結束語

篇6

一、總則

（一）編制目的

為提處置網絡與信息安全突發事件的能力，形成科學、有效、反應迅速的應急工作機制，確保重要計算機信息系統的實體安全、運行安全和數據安全，最大程度地預防和減少網絡與信息安全突發事件及其造成的損害，保障信息資產安全，特制定本預案。

（二）編制依據

根據《中華人民共和國計算機信息系統安全保護條例》、公安部《計算機病毒防治管理辦法》，制定本預案。

（三）分類分級

本預案所稱網絡與信息安全突發事件，是指本系統信息系統突然遭受不可預知外力的破壞、毀損、故障，發生對國家、社會、公眾造成或者可能造成重大危害，危及公共安全的緊急事件。

1、事件分類

根據網絡與信息安全突發事件的性質、機理和發生過程，網絡與信息安全突發事件主要分為以下三類：

（1）自然災害。指地震、臺風、雷電、火災、洪水等引起的網絡與信息系統的損壞。

（2）事故災難。指電力中斷、網絡損壞或是軟件、硬件設備故障等引起的網絡與信息系統的損壞。

（3）人為破壞。指人為破壞網絡線路、通信設施，黑客攻擊、病毒攻擊、恐怖襲擊等引起的網絡與信息系統的損壞。

2、事件分級

根據網絡與信息安全突發事件的可控性、嚴重程度和影響范圍，縣上分類情況。

（1）i級、ⅱ級。重要網絡與信息系統發生全局大規模癱瘓，事態發展超出控制能力，需要縣級各部門協調解決，對國家安全、社會秩序、經濟建設和公共利益造成特別嚴重損害的信息安全突發事件。

（2）ⅲ級。某一部分的重要網絡與信息系統癱瘓，對國家安全、社會秩序、經濟建設和公共利益造成一定損害，屬縣內控制之內的信息安全突發事件。

（3）ⅳ級。重要網絡與信息系統使用效率上受到一定程度的損壞，對公民、法人和其他組織的權益有一定影響，但不危害國家安全、社會秩序、經濟建設和公共利益的信息安全突發事件。

（四）適用范圍

適用于本系統發生或可能導致發生網絡與信息安全突發事件的應急處置工作。

（五）工作原則

1、居安思危，預防為主。立足安全防護，加強預警，重點保護基礎信息網絡和關系國家安全、經濟命脈、社會穩定的重要信息系統，從預防、監控、應急處理、應急保障和打擊犯罪等環節，在法律、管理、技術、人才等方面，采取多種措施，充分發揮各方面的作用，共同構筑網絡與信息安全保障體系。

2、提高素質，快速反應。加強網絡與信息安全科學研究和技術開發，采用先進的監測、預測、預警、預防和應急處置技術及設施，充分發揮專業人員的作用，在網絡與信息安全突發事件發生時，按照快速反應機制，及時獲取充分而準確的信息，跟蹤研判，果斷決策，迅速處置，最大程度地減少危害和影響。

3、以人為本，減少損害。把保障公共利益以及公民、法人和其他組織的合法權益的安全作為首要任務，及時采取措施，最大限度地避免公共財產、信息資產遭受損失。

4、加強管理，分級負責。按照“條塊結合，以條為主”的原則，建立和完善安全責任制及聯動工作機制。根據部門職能，各司其職，加強部門間協調與配合，形成合力，共同履行應急處置工作的管理職責。

5、定期演練，常備不懈。積極參與縣上組織的演練，規范應急處置措施與操作流程，確保應急預案切實有效，實現網絡與信息安全突發事件應急處置的科學化、程序化與規范化。

二、組織指揮機構與職責

（一）組織體系

成立網絡安全工作領導小組，組長局黨委書記、局長擔任，副組長由局分管領導，成員包括：信息全體人員、各通信公司相關負責人。

（二）工作職責

1、研究制訂我中心網絡與信息安全應急處置工作的規劃、計劃和政策，協調推進我中心網絡與信息安全應急機制和工作體系建設。

2、發生i級、ⅱ級、ⅲ級網絡與信息安全突發事件后，決定啟動本預案，組織應急處置工作。如網絡與信息安全突發事件屬于i級、ⅱ級的，向縣有關部門通報并協調縣有關部門配合處理。

3、研究提出網絡與信息安全應急機制建設規劃，檢查、指導和督促網絡與信息安全應急機制建設。指導督促重要信息系統應急預案的修訂和完善，檢查落實預案執行情況。

4、指導應對網絡與信息安全突發事件的科學研究、預案演習、宣傳培訓，督促應急保障體系建設。

5、及時收集網絡與信息安全突發事件相關信息，分析重要信息并提出處置建議。對可能演變為i級、ⅱ級、ⅲ級的網絡與信息安全突發事件，應及時向相關領導提出啟動本預案的建議。

6、負責提供技術咨詢、技術支持，參與重要信息的研判、網絡與信息安全突發事件的調查和總結評估工作，進行應急處置工作。

三、監測、預警和先期處置

（一）信息監測與報告

1、要進一步完善各重要信息系統網絡與信息安全突發事件監測、預測、預警制度。按照“早發現、早報告、早處置”的原則，加強對各類網絡與信息安全突發事件和可能引發網絡與信息安全突發事件的有關信息的收集、分析判斷和持續監測。當發生網絡與信息安全突發事件時，在按規定向有關部門報告的同時，按緊急信息報送的規定及時向領導匯報。初次報告最遲不得超過4小時，較大、重大和特別重大的網絡與信息安全突發事件實行態勢進程報告和日報告制度。報告內容主要包括信息來源、影響范圍、事件性質、事件發展趨勢和采取的措施等。

2、重要信息系統管理人員應確立2個以上的即時聯系方式，避免因信息網絡突發事件發生后，必要的信息通報與指揮協調通信渠道中斷。

3、及時上報相關網絡不安全行為：

（1）惡意人士利用本系統網絡從事違法犯罪活動的情況。

（2）網絡或信息系統通信和資源使用異常，網絡和信息系統癱瘓、應用服務中斷或數據篡改、丟失等情況。

（3）網絡恐怖活動的嫌疑情況和預警信息。

（4）網絡安全狀況、安全形勢分析預測等信息。

（5）其他影響網絡與信息安全的信息。

（二）預警處理與預警

1、對于可能發生或已經發生的網絡與信息安全突發事件，系統管理員應立即采取措施控制事態，請求相關職能部門，協作開展風險評估工作，并在2小時內進行風險評估，判定事件等級并預警。必要時應啟動相應的預案，同時向信息安全領導小組匯報。

2、領導小組接到匯報后應立即組織現場救援，查明事件狀態及原因，技術人員應及時對信息進行技術分析、研判，根據問題的性質、危害程度，提出安全警報級別。

（三）先期處置

1、當發生網絡與信息安全突發事件時，及時請技術人員做好先期應急處置工作并立即采取措施控制事態，必要時采用斷網、關閉服務器等方式防止事態進一步擴大，同時向上級信息安全領導小組通報。

2、信息安全領導小組在接到網絡與信息安全突發事件發生或可能發生的信息后，應加強與有關方面的聯系，掌握最新發展態勢。對有可能演變為ⅲ級網絡與信息安全突發事件，技術人員處置工作提出建議方案，并作好啟動本預案的各項準備工作。信息安全領導小組根據網絡與信息安全突發事件發展態勢，視情況決定現場指導、組織設備廠商或者系統開發商應急支援力量，做好應急處置工作。對有可能演變為ⅱ級或i級的網絡與信息安全突發事件，要根據縣有關部門的要求，上報縣政府有關部門，趕赴現場指揮、組織應急支援力量，積極做好應急處置工作。

四、應急處置

（一）應急指揮

1、本預案啟動后，領導小組要迅速建立與現場通訊聯系。抓緊收集相關信息，掌握現場處置工作狀態，分析事件發展趨勢，研究提出處置方案，調集和配置應急處置所需要的人、財、物等資源，統一指揮網絡與信息安全應急處置工作。

2、需要成立現場指揮部的，立即在現場開設指揮部，并提供現場指揮運作的相關保障。現場指揮部要根據事件性質迅速組建各類應急工作組，開展應急處置工作。

（二）應急支援

本預案啟動后，領導小組可根據事態的發展和處置工作需要，及時申請增派專家小組和應急支援單位，調動必需的物資、設備，支援應急工作。參加現場處置工作的有關人員要在現場指揮部統一指揮下，協助開展處置行動。

（三）信息處理

現場信息收集、分析和上報。技術人員應對事件進行動態監測、評估，及時將事件的性質、危害程度和損失情況及處置工作等情況及時報領導小組，不得隱瞞、緩報、謊報。符合緊急信息報送規定的，屬于i級、ⅱ級信息安全事件的，同時報縣委、縣政府相關網絡與信息安全部門。

（四）擴大應急

經應急處置后，事態難以控制或有擴大發展趨勢時，應實施擴大應急行動。要迅速召開信息安全工作領導小組會議，根據事態情況，研究采取有利于控制事態的非常措施，并向縣政府有關部門請求支援。

（五）應急結束

網絡與信息安全突發事件經應急處置后，得到有效控制，將各監測統計數據報信息安全工作領導小組，提出應急結束的建議，經領導批準后實施。

五、相關網絡安全處置流程

（一）攻擊、篡改類故障

指網站系統遭到網絡攻擊不能正常運作，或出現非法信息、頁面被篡改。現網站出現非法信息或頁面被篡改，要第一時間請求相關職能部門取證并對其進行刪除，恢復相關信息及頁面，同時報告領導，必要時可請求對網站服務器進行關閉，待檢測無故障后再開啟服務。

（二）病毒木馬類故障

指網站服務器感染病毒木馬，存在安全隱患。

1)對服務器殺毒安全軟件進行系統升級，并進行病毒木馬掃描，封堵系統漏洞。

2)發現服務器感染病毒木馬，要立即對其進行查殺，報告領導，根據具體情況，酌情上報。

3)由于病毒木馬入侵服務器造成系統崩潰的，要第一時間報告領導，并聯系相關單位進行數據恢復。

（三）突發性斷網

指突然性的內部網絡中某個網絡段、節點或是整個網絡業務中斷。

1)查看網絡中斷現象，判定中斷原因。若不能及時恢復，應當開通備用設備和線路。

2)若是設備物理故障，聯系相關廠商進行處理。

（四）數據安全與恢復

1.發生業務數據損壞時，運維人員應及時報告領導，檢查、備份系統當前數據。

2.強化數據備份，若備份數據損壞，則調用異地光盤備份數據。

3.數據損壞事件較嚴重無法保證正常工作的，經部門領導同意，及時通知各部門以手工方式開展工作。

4.中心應待數據系統恢復后，檢查基礎數據的完整性；重新備份數據，并寫出故障分析報告。

（五）有害信息大范圍傳播

系統內發生對互聯網電子公告服務、電子郵件、短信息等網上服務中大量出現危害國家安全、影響社會穩定的有害、敏感信息等情況進行分析研判，報經縣委、縣政府分管領導批準后啟動預案；或根據上進部門要求對網上特定有害、敏感信息及時上報，由上級職能部門采取封堵控制措施，按照市上職能部門要求統一部署啟動預案。

（六）惡意炒作社會熱點、敏感問題

本系統互聯網網站、電子公告服務中出現利用社會熱點、敏感問題集中、連續、反復消息，制造輿論焦點，夸大、捏造、歪曲事實，煽動網民與政府對立、對黨對社會主義制度不滿情緒，形成網上熱點問題惡意炒作事件時，啟動預案。

（七）敏感時期和重要活動、會議期間本地互聯網遭到網絡攻擊

敏感時期和重要活動、會議期間，本系統互聯網遭受網絡攻擊時，啟動預案。要加強值班備勤，提高警惕，密切注意本系統網上動態。收到信息后，及時報警，要迅速趕赴案（事）發網站，指導案（事）件單位采取應急處置措施，同時收集、固定網絡攻擊線索，請求縣上技術力量，分析研判，提出技術解決方案，做好現場調查和處置工作記錄，協助網站恢復正常運行并做好防范工作。

六、后期處置

（一）善后處置

在應急處置工作結束后，要迅速采取措施，抓緊組織搶修受損的基礎設施，減少損失，盡快恢復正常工作，統計各種數據，查明原因，對事件造成的損失和影響以及恢復重建能力進行分析評估，認真制定恢復重建計劃，迅速組織實施。

（二）調查和評估

在應急處置工作結束后，信息安全工作領導小組應立即組織有關人員和專家組成事件調查組，對事件發生及其處置過程進行全面的調查，查清事件發生的原因及財產損失狀況和總結經驗教訓，寫出調查評估報告。

七、應急保障

（一）通信與信息保障

領導小組各成員應保證電話24小時開機，以確保發生信息安全事故時能及時聯系到位。

（二）應急裝備保障

各重要信息系統在建設系統時應事先預留出一定的應急設備，做好信息網絡硬件、軟件、應急救援設備等應急物資儲備工作。在網絡與信息安全突發事件發生時，由領導小組負責統一調用。

（三）應急隊伍保障

按照一專多能的要求建立網絡與信息安全應急保障隊伍。選擇若干經國家有關部門資質認可的，具有管理規范、服務能力較強的企業作為我縣網絡與信息安全的社會應急支援單位，提供技術支持與服務；必要時能夠有效調動機關團體、企事業單位等的保障力量，進行技術支援。

（四）交通運輸保障

應確定網絡與信息安全突發事件應急交通工具，確保應急期間人員、物資、信息傳遞的需要，并根據應急處置工作需要，由領導小組統一調配。

（五）經費保障

網絡與信息系統突發公共事件應急處置資金，應列入年度工作經費預算，切實予以保障。

八、工作要求

（一）高度重視。互聯網信息安全突發事件應急處置工作事關國家安全、社會政治穩定和經濟發展，要切實增強政治責任感和敏感性，建立應急處置的快速反應機制。

篇7

關鍵詞：信息安全 網絡風險 防御模式

中圖分類號：TP309 文獻標識碼：A 文章編號：1672-3791（2013）02（a）-0033-01

作為企業的第一戰略資源，信息有著舉足輕重的作用。如果企業想要順利完成其工作，就要保證信息資源的安全。與資產天生相對的矛盾產物的另一個就是風險，風險隨著資產的價值正比例變化。而與傳統資產不同的信息資源，也面臨著新的不可知的風險。為了緩和平衡這一對新矛盾出現了信息安全網絡風險防御，它大大降低了風險，使信息以及相關資源能夠在可接受的風險范圍內得到安全保證。若風險防御不到位，所存在的安全風險不僅僅影響系統的正常運行，而且可能危害到企業的安全。因此，在選擇風險防御策略時，要選擇能夠在風險防御具體實施過程下，找到合適的風險防御實施點來實施的新技術的風險防御，這樣可以幫助風險管理過程有效完成，保護企業完成任務。

1 信息安全網絡風險管理包括：信息安全網絡需求分析、風險評估和風險防御

信息安全網絡需求分析包括遠程接入域、企業互聯域、服務域、內網支撐域。不同的區域有不同的安全需求，在遠程接入域主要考慮信息安全3A的安全需求；在互聯域重要考慮BLP、biba模型的分析、建立、部署；在服務域重點考慮信息安全的CIA安全需求；在內網支撐域重點考慮人的安全、流程的安全、物理安全等安全需求。在信息安全網絡風險防御過程中，信息安全的需求的確立過程是一次信息安全網絡風險防御主循環的起始，為風險評估提供輸入。

風險評估，就是風險和風險影響的識別和評估，還有建議如何降低風險。風險管理過程的第三步才是風險防御，風險評估時，關于對安全控制實施優先級的排序、評價、實現的建議，都屬于風險防御，這些控制將會降低風險。

2 新技術下的網絡風險模式研究

2.1 風險防御模式

包括選擇風險防御措施、選擇風險防御策略、實施風險防御三個過程。實施風險防御的過程包括對過程進行優先級排序、評價建議的安全控制類別、選擇風險防御控制、分配責任、制定安全措施實現計劃、實現被選擇的安全控制，最后還要進行殘余風險分析。

2.2 風險防御措施

（1）風險規避：通過消除風險的原因或后果（如當識別出風險時放棄系統某項功能或關閉系統）來規避風險。（2）風險降低：通過實現安全控制來限制風險，這些安全控制可將由于系統弱點被威脅破壞而帶來的不利影響最小化（如使用支持、預防、檢測類的安全控制）。（3）風險計劃：制定一套風險減緩計劃來管理風險，在該計劃中對安全控制進行優先排序、實現和維護。（4）風險轉移：通過使用其他措施補償損失，從而轉移風險，如購買保險。

企業的目標和使命是企業選擇風險防御措施的首要考慮因素。想要解決所有風險是不可能的，因此可以將嚴重危害影響目標的各種威脅或者弱點進行排序。選擇不同廠商的安全產品中最合適的技術，再配合有效地風險防御措施和非技術類的管理措施是最好的方法。

2.3 風險防御策略

通過對實踐經驗的總結，對由于故意的人為威脅所帶來的風險做出防御，采取行動來提供指導，從而保護我們的企業信息安全。

（1）當存在系統漏洞時，實現保證技術來降低弱點被攻擊的可能性。（2）當系統漏洞被惡意攻擊時，運用層次化保護、結構化設計以及管理控制將風險最小化或防止這種情形的發生。（3）當攻擊者的成本比攻擊得到更多收益時，運用保護措施，通過提高攻擊者成本來降低攻擊者的攻擊動機（如使用系統控制，限制系統用戶可以訪問或做些什么，這些措施能夠大大降低攻擊所得）。（4）當損失巨大時，運用設計原則、結構化設計以及技術或非技術類保護措施來限制攻擊的程度，從而降低可能的損失。

2.4 風險防御模式的實施

在實施風險防御措施時，要遵循以下規則：找出最大的風險，將其風險減緩到最小風險，同時要使對其他目標的影響減到最小化。下面是以某企業信息網絡應用系統為例在新技術下的信息安全風險防御模式的研究過程。

2.4.1 風險評估

對信息網絡進行屬性分析，風險評估后，得到如下結果：數據庫系統安全狀況為中風險等級。在檢查的30個項目中，共有8個項目存在安全漏洞。其中：3個項目為高風險、1個項目為中風險、4個項目為低風險等級。

2.4.2 風險防御具體措施

根據風險評估報告和承受能力來決定風險防御具體措施。確定風險防御實施點，該網站的設計存在漏洞并且該漏洞可能被利用。實施步驟如以下幾點。

（1）確立風險級別，對評估結果中的8個項目漏洞進行優先級排序。

（2）評價建議的安全控制。在該網站主站數據庫被建立后，針對評估報告中的安全控制建議進行分析，得出要采取的防御策略。

（3）對相應的若干種防御策略進行成本收益分析，得出每種防御策略的成本和收益。

（4）選擇安全控制。對漏洞分別選擇相應的防御策略。

（5）責任分配，輸出負責人清單。

（6）制定完整的漏洞修復計劃。

（7）實施選擇好的防御策略，對SQL注入漏洞、XSS跨站腳本漏洞、頁面存在源代碼泄露、網站頁面權限漏洞（w—寫權限）、網站存在ddos攻擊這幾個漏洞進行一一修復。

3 結語

風險管理過程持續改進。通過對信息安全的風險的計劃、識別、定量分析、應對角度進行全方面的安全風險評估；在風險評估過程中，注重安全需求分析，通過滲透測試、文檔評審、漏洞掃描等手工和自動化過程充分識別風險；通過蒙特卡羅、決策樹模型準確定義風險，使風險評估盡可能的準確；在專家評審會議上，通過頭腦風暴、DELPHI等評審方法，針對不同的優先級別的風險采用不同的應對措施，并本著PDR模型的方式在企業內部建立縱身的安全風險控制系統，為企業保駕護航。

參考文獻

[1] 孫強，陳偉.信息安全管理：全球最佳實踐與實施指南[M].北京：清華大學出版社，2007.

篇8

【關鍵詞】信息系統 網絡安全 評價指標

根據國家網絡和信息系統的安全性要求，結合多年的網絡管理經驗，從以下五個指標對信息系統網絡安全進行評價：

1.實體與環境安全

實體與環境指計算機設備及計算機網管人員工作的場所，這個場所內外的環境條件必須滿足計算機設備和網管人員的要求。對于各種災害、故障要采取充分的預防措施，萬一發生災害或故障，應能采取應急措施，將損失降到最低限度。可以從以下幾個方面來檢查：

（1）機房周圍環境

機房是否建在電力、水源充足、自然環境清潔、通訊、交通運輸方便的地方。

（2）機房周圍100m內有無危險建筑

危險建筑：指易燃、易爆、有害氣體等存在的場所，如加油站、煤氣站、煤氣管道等。

（3）有無監控系統

監控系統：指對系統運行的外圍環境、操作環境實施監控（視）的設施，及時發現異常，可根據使用目的不同配備以下監視設備，如紅外線傳感器、監視攝像機等設備。

（4）有無防火、防水措施

防火：指機房內安裝有火災自動報警系統，或有適用于計算機機房的滅火器材，如鹵代烷1211和1301自動消防系統或滅火器。

防水：指機房內無滲水、漏水現象，如機房上層有用水設施需加防水層，有暖氣裝置的機房沿機房地面周圍應設排水溝，應注意對暖氣管道定期檢查和維修。是否裝有漏水傳感器。

（5）機房有無環境測控設施（溫度、濕度和潔凈度），如溫濕度傳感器

溫度控制：指機房有空調設備，機房溫度保持在18—24攝氏度。

濕度控制：指相對濕度保持在40%—60%。

潔凈度控制：機房和設備應保持清潔、衛生，進出機房換鞋，機房門窗具有封閉性能。

（6）有無防雷措施（具有防雷裝置，接地良好）

計算機機房是否符合GB 157《建筑防雷設計規范》中的防雷措施。

在雷電頻繁區域，是否裝設有浪涌電壓吸收裝置。

（7）有無備用電源和自備發電機

（8）是否使用UPS

UPS：(Uninterruptible Power System)，即不間斷電源，是一種含有儲能裝置，以逆變器為主要組成部分的恒壓頻的不間斷電源。主要用于給單臺計算機、計算機網絡系統或其它電力電子設備提供不間斷的電力供應。

（9）是否有防靜電措施（采用防靜電地板，設備接地良好）

當采用地板下布線方式時，可鋪設防靜電活動地板。

當采用架空布線方式時，應采用靜電耗散材料作為鋪墊材料。

通信設備的靜電地板、終端操作臺地線應分別接到總地線母體匯流排上定期（如一周）對防靜電設施進行維護和檢驗。

（10）是否保證持續供電

設備是否采用雙路市電供電，提供冗余備份，并配有實時告警監控設備。是否與空調、照明用電分開，專線供電。

（11）是否有防盜措施

中心有人值班，出入口安裝防盜安全門，窗戶安裝金屬防護裝置，機房裝有無線電遙控防盜聯網設施。

2.組織管理與安全制度

（1）有無專門的信息安全組織機構和專職的信息安全人員

信息安全組織機構的成立與信息安全人員的任命必須有有關單位的正式文件。

（2）有無健全的信息安全管理的規章制度

是否有健全的規章制度，而且規章制度上墻；是否嚴格執行各項規章制度和操作規程，有無違章操作的情況。

（3）是否有信息安全人員的配備，調離有嚴格的管理制度

（4）設備與數據管理制度是否完備

設備實行包干管理負責制，每臺設備都應有專人負責保管（包括說明書及有關附件）；在使用設備前，應掌握操作規程，閱讀有關手冊，經培訓合格后方可進行相關操作；禁止在計算上運行與業務無關的程序，未經批準，不得變更操作系統和網絡設置，不得任意加裝設備。

（5）是否有登記建檔制度

登記建檔是做好網絡安全工作的前提，一些技術資料對網絡安全工作很重要，要注意收集和保存。可從以下幾個方面檢查相關文檔：

策略文檔（如，法規文件、指示）、系統文檔（如，系統用指南、系統管理員手冊、系統設計和需求文檔、采購文檔）、及安全相關的文檔（如以前的審計報告、風險評估報告、系統測試結果、系統安全計劃、安全策略）都可提供系統使用的或計劃的安全控制方面的信息。任務影響分析或資產重要性評估可提供有關系統和數據重要性及敏感性的信息。

設計資料，如網絡拓撲結構圖，綜合布線結構圖等。

安裝資料，包括安裝竣工及驗收的技術文件和資料。

設備升級維修記錄等。

（6）是否有緊急事故處理預案

為減少計算機系統故障的影響，盡快恢復系統，應制定故障的應急措施和恢復規程以及自然災害時的措施，制成手冊，以備參考。

（7）是否有完整的信息安全培訓計劃和培訓制度

開展網絡安全教育是為了使所有人員了解網絡安全的基本常識及網絡安全的重要性，要堅持經常的、多樣化的安全教育工作，廣播、圖片、標語、報告培訓班都是可以采用的宣傳教育方式。

（8）各類人員的安全職責是否明確，能否勝任網絡安全管理工作

應對網絡管理人員嚴格分工，使其職責分明，要對網絡管理人員定期進行安全培訓及考核，對關鍵崗位人員，應該持有相應的認證。

3.安全技術措施

（1）是否有災難恢復的技術對策

是否為網絡中斷和災難做好準備，以及如何快速反應將中斷和損失降至最小。災難恢復措施包括災難預防制度、災難演習制度及災難恢復制度。

（2）是否有系統安全審計功能

安全審計功能主要是監控來自網絡內部和外部的用戶活動，偵察系統中存在現有和潛在的威脅，對與安全有關的活動的相關信息進行識別，記錄，存儲和分析，安全審計系統往往對突發事件進行報警和響應。

（3）是否有系統操作日志

系統操作日志：指每天開、關機，設備運行狀況等文字記錄。

（4）是否有服務器備份措施

服務器數據備份是預防災難的必要手段。隨著對網絡應用的依賴性越來越強和網絡數據量的日益增加，企業對數據備份的要求也在不斷提高。許多數據密集型的網絡，重要數據往往存儲在多個網絡節點上，除了對中心服務器備份之外，還需要對其他服務器或工作站進行備份，有的甚至要對整個網絡進行數據備份，即全網備份。網絡備份需要專業備份軟件，Backup Exec就是其中的一種，是為中小企業提供的基于Windows平臺的網絡備份與恢復解決方案。

（5）是否有防黑客入侵設施

防黑客入侵設施主要是設置防火墻和入侵檢測等設施。

防火墻是為了監測并過濾所有內部網與外部網之間的信息交換，保護著內部網絡敏感的數據不被偷竊和破壞，并記錄內外通訊的有關狀態信息日志。防火墻有三種類型，包括過濾防火墻、型防火墻和狀態監測型防火墻。

入侵監測系統處于防火墻之后對網絡活動進行實時檢測。許多情況下，由于可以記錄和禁止網絡活動，所以入侵監測系統是防火墻的延續。它們可以和防火墻和路由器配合工作。它通過對計算機網絡或計算機系統中若干關鍵點收集信息并對其分析，從中發現網絡或系統中是否有違反安全策略的行為和被攻擊的跡象。

（6）是否有計算機病毒防范措施

計算機病毒防范措施：備有病毒預防及消除的軟、硬件產品，并能定期的升級。設置客戶端級防護、郵件服務器級防護和應用服務器級防護。

4.網絡與通信安全

（1）放置通信設施的場所是否設有醒目標志

從安全防范的角度考慮，安裝有關通信設備的地方不應加標志。配線架或MODEM柜應加鎖，禁止無關人員入內。

（2）重要通信線路及通信控制裝置是否均有備份

重要的通信線雙重化以及線路故障時采用DDN通信線或電話線ISDN等后備功能；從計算中心連出的重要通信線路應采用不同路徑備份方式。

（3）是否采取加密措施

數據加密技術是保護傳輸數據免受外部竊聽的最好辦法，其可以將數據變只有授權接收者才能還原并閱讀的編碼。其過程就是取得原始信息并用發送者和接收者都知道的一種特殊信息來制作編碼信息形成密文。

（4）系統運行狀態有無安全審計跟蹤措施

安全審計是模擬社會檢察機構在計算機系統中監視、記錄和控制用戶活動的一種機制。它是影響系統安全的訪問和訪問企圖留下線索，以便事后分析和追查，其目標是檢測和判定對系統的惡意攻擊和誤操作，對用戶的非法活動起到威懾作用，為系統提供進一步的安全可靠性。

（5）網絡與信息系統是否加有訪問控制措施

訪問控制措施：指能根據工作性質和級別高低，劃分系統用戶的訪問權限。對用戶進行分組管理，并且應該是針對安全性問題而考慮的分組。

5.軟件與信息安全

（1）操作系統及數據庫是否有訪問控制措施

把整個系統的用戶根據需要分為不同級別；不同級別的用戶享有對系統的文件、數據、網絡、進程等資源的權限，并進行記費管理；還可根據不同的用戶設置不同的安全策略，將超級用戶的權限細化（可分為系統管理員、安全管理員、數據庫管理員、用戶管理員等）。

（2）應用軟件是否有防破壞措施

對應用程序安全的考慮可以遵循如下的方向：對通用應用，如消息傳遞、文件保護、軟硬件交付等，制定通用技術要求；對于特定的復雜應用，可分解為通用應用，同時考慮互操作性問題。一般來講，應用程序的安全機制應該包括以下內容：身份標識與鑒別、數據保密性、數據完整性、數據可用性、配置管理等。

（3）對數據庫及系統狀態有無監控設施

可以使用系統安全檢測工具來定期掃描系統，查看系統是否存在各種各樣的漏洞。

（4）是否有用戶身份識別措施

身份認證與數字簽名策略，身份認證是證明某人或某物身份的過程，當用戶之間建立連接時，為了防止非法連接或被欺騙，就可實施身份確認，以確保只有合法身份的用戶才能與之建立連接。

（5）系統用戶信息是否采用備份

篇9

目前針對BSC容災的手段主要包括三種：（1）通過新建整套獨立的容災BSC和傳輸容災網元作為應急資源，實現1：N的保護。這種方式占用機房空間較大，比較浪費BSC資源和傳輸資源，且一般硬件割接操作較多，應急效率不高，現網條件難以實現。（2）利用BSC冗余的端口做應急資源，通過硬件電路調度方式將在用的主用電路和應急的備用電路集中，將BSC容災的主用電路和備用電路調度到一個區域，在需要應急的時候，通過人工更改跳線連接端口，實現業務的搶通。該方式需要人員到現場進行應急搶通，搶通10個基站平均耗時120分鐘。（3）在第二種應急的基礎上，引入2M無損傷保護倒換設備，該設備可以實現1路輸入2路輸出，1路輸入來源于基站的數據，2路輸出分別連接至主用BSC和備用BSC。當主用BSC出現問題，可以通過網管遠程觸發2M無損傷保護設備發生倒換，將電路從主用BSC倒換至備用BSC，實現業務搶通。該方式需要采購2M無損傷保護設備，初期投資較大，機房空間需求較多，且每次只能倒換一個2M，搶通10個基站平均耗時40分鐘。該方式相比前面兩種應急效率高的多，目前應用也最多，但是不能適應網絡光進銅退的演進。

以上三種容災手段實際上只有后面兩種現網使用較多，且都有一個共同點：備用的BSC端口和傳輸端口資源被預占了后，不能重復再利用，資源利用率不高，這對于全網BSC有限的容災資源是一個嚴峻的考驗。由于整個BSC的容災受資源等因素限制，現網普及的容災策略僅針對VIP站點做了應急備用路由。當某個BSC出現故障，可以通過以上兩種手段快速將受影響的VIP站點進行搶通，但是對于大量的非VIP站點，卻愛莫能助。

綜上所述，現有的容災手段存在資源利用率低，應急搶通效率不高的問題，而對于該問題，目前尚未提出理想的解決方案。

為順應網絡安全需要，一種基于資源統計復用的BSC容災方法和系統出現了，它由基于資源統計復用的傳輸網絡分別連接BTS、BSC組成，通過基于資源統計復用的傳輸網絡，當BSC1故障的時候，可以迅速將歸屬BSC1的基站全部割接至備用BSC池的其他容災端口；同理，當BSC2故障的時候，可以迅速將歸屬BSC2的基站全部割接至備用BSC池的其他容災端口，實現BSC容災的快速應急搶通。無論是BSC資源池的端口資源，還是傳輸網絡的容災端口資源，都是統計復用、虛擬共享的，極大的提高了容災資源的利用率。

一、基于資源統計復用的傳輸網絡

按照傳統傳輸網絡資源的特點，以往的傳輸網絡資源都是被剛性占有，預占的傳輸資源沒法再利用，除非刪除數據釋放資源。而該系統利用現有的傳輸網絡，針對不同的BSC制作不同的腳本數據，當某個BSC出現故障的時候，導入相應的腳本數據，通過割接工具實現快速的傳輸調度，將業務割接至備用的BSC。

另外，網絡朝著光進銅退的方向發展，BSC光口化即將全面鋪開，傳輸網絡也必將跟隨光進銅退的演進。現有的通過2M E1端口的容災模式難以滿足今后的網絡發展需要，而本系統中傳輸網絡與BSC對接可以是2M電口，也可以是光口，傳輸網絡內部全程通過光交叉調度系統實現，完全適應網絡發展。

核心的傳輸網絡是通過2個集中調度平面實現，調度平面可以是物理獨立的，也可以是現網虛擬的。雙平面互為主備，負荷分擔業務。每個平面由光交叉調度系統組成，分別向下連接全網所有的匯聚環，向上連接全網所有的BSC，不同的基站歸屬不同的BSC，全部通過光交叉調度系統實現。以某運營商網絡為例：在5個骨干機樓之間，新建了兩個SDH光交叉調度環實現負載分擔。這兩個調度環向下分別與全網所有匯聚環用155M光口對接，向上分別與BSC容災端口以2M和155M對接。最后針對不同的BSC分配相應的傳輸端口資源，制作不同的傳輸腳本數據。

通過該系統，不僅提高了傳輸資源的利用率，而且同樣提高了BSC資源的利用率，以前是剛性1：1的保護，現在可以做出N：M的保護，資源復用率越高，收到的效益越高。

二、備用BSC池資源

篇10

1997年，針對IPv4協議無法滿足網絡社會的需求，IETF（互聯網工作組）制定了IPv6（InternetProtocolVersion6）協議。與IPv4相比，IPv6具有幾個優勢。（1）相對無限的地址空間。IPv6的地址長度是12位，意味著IPv6擁有2128個IP地址，這個地址空間可以給當前全球所有的設備無限制地提供IP地址。（2）支持移動設備。針對移動終端數量的不斷增長IPv6在設計之初就針對設備的移動問題給出相應的解決方案。（3）內置安全特性。IPv6的內置安全機制是IPsec安全機制，這是一個協議簇，AH（認證報頭）利用內置加密算法對傳輸數據進行加密，在傳輸過程中被截獲時對方無法獲取數據的原始信息內容，保障了數據的安全性和機密性。（4）服務質量。通過對網絡業務的分類對服務進行處理，對Diff-Serv模型進一步發展，解決了可擴展問題由于該模型不能實現端到端的服務，需要通過PHB、流量工程、網絡流量規劃等聯合實現。IPv6地址是128位，原有的IPv4的十進制表示方法描述難度加大，采用16進制進行表示，每4個16進制數表示一節，中間用冒號隔開，例如：7D83：982A：52DA：ECF1：B2C3：D672：8874：573B。為了簡化IPv6的地址描述，可以通過符號：：來表示連續的0，例如：A2C3：0000：0000：0000：0000：0001：B3C4：FAD6可以表示為：A2C3：：：：：1：B3C4。IPv6的地址可以分為單播、組播和任播三大類，單播地址是對應節點（節點可以有多個接口）的某個接口，那么一個節點可以對應多個單播地址；組播是數據在網絡中傳輸時，所經過的節點都對傳輸的數據包進行檢測，查看數據包中的目的地址與自身是否一致，由檢測的結果來決定接收還是轉發；任播是對一組接口進行數據發送，另外任播不能將源地址封裝在IPv6數據包中。

2、IPv6安全機制

IPv6的報頭結構和IPv4相比要簡單的多，IPv6協議中有2個地址空間及6個域，報頭雖然占40個字節，要比IPv4的報頭長，但由于長度固定，不需要進行計算，減少了內存資源的消耗。（1）IPv6中的驗證。IPv6的認證報頭具有重播放的保護機制，只有接收節點對序列號驗證，該傳輸業務才有效。也就意味著，IPv6的報頭在加密擴展報頭、端到端擴展報頭、TCP、UDP、路由及網絡控制等報頭之前，進而保障無連接的完整性。（2）IPv6中的加密。IPv6協議標準中包含的密碼算法是DES－CBC，給IPv6提供安全業務協議制定者設計了封裝安全載荷（ESP），為了保障傳輸IP數據包的完整性，機密性和可靠性，先通過報頭來確定數據包的真實性，然后再對其進行解密。

3、校園網IPv6構架

3.1高校網絡需求分析

在高校，網絡已經成為師生工作、學習、交流不可缺少的一部分，校園網建設的好壞直接關系到高校的教學和科研。建設校園網不能只考慮先進性、前沿性，還要充分考慮學校自身的經濟情況和師資力量。一般來說，校園網的建設需要把握實用、先進、開放、可擴展、安全等幾個原則。當前，雖然高校之間的情況不同，但每個高校的大體組成是相近的，一般都有教職工行政樓、教學樓、圖書館、網絡中心和學生宿舍。當前校園網的建設要充分考慮未來的發展，對于網絡中的硬件要使用IPv6作為主協議，特別是教學樓、行政樓和網絡中心，盡可能地選為IPv6，對于學生宿舍，采用IPv6和IPv4混合使用，采用雙協議棧技術。

3.2校園網構架方案設計

對于基于IPv6的校園網，需要在原有的IPv4校園網的基礎上進行設計，不能將以前的網絡完全重建，那樣會花費更多的人力和財力。對于新的IPv6協議需要利用原有的網絡，使用隧道技術進行雙協議的使用。其網絡架構如圖1所示。

4、校園網IPv6安全體系

4.1校園網IPv6RA安全威脅和防范

（1）IPv6RA安全威脅。在核心交換機層啟用IPv6RA功能，假如IPv6網絡通過無狀態分配，一般來說，路由器會周期性地公告RA報文，對節點聲明IPv6地址前綴，主機收到RA報文后，進而生成鏈路地址，RA公告主要包括鏈路前綴和MTU信息。當攻擊者模擬路由器發送RA報文，通過默認路由指向攻擊者的IPv6主機，那么就可以獲取其他用戶的信息，從而使網絡的安全受到威脅。（2）IPv6RA安全威脅防范。為了防范RA欺騙，在中心交換機上配置安全RA，對于配置交換機的上層端口設置為信任，其他的則為非信任，這樣對于下層端口來進入的RA報文，則直接丟棄，這使得即使攻擊者冒充RA報文發送給交換機，也會被丟棄，有效地阻絕了RA報文欺騙。

4.2IPv6校園網安全評估系統

對校園網的安全進行評估，可以有效地保護網絡的安全。安全評估系統通過對IPv6網絡的滲透弱點進行整理分析，并對每次的滲透進行風險評估，生成對應的攻擊圖，并在此基礎上生成風險評估報告，自動加載到知識庫之中。整個IPv6校園網絡安全評估系統主要由滲透測試模塊、攻擊圖生成模塊、系統管理模塊、IPv6態勢分析模塊和IPv6弱點知識庫模塊組成，具體如圖2所示。

5、結束語