软考网规论文-论企业内部网的安全策略

亦凉 2022-09-17 03:09 6阅读 0赞

**摘要****:** 信息化进程的不断推进和深入，为我们的日常工作和生活带来便利，但由于安全意识薄弱或缺乏有效的安全防护等原因，带来了一些安全隐患。例如：因人为原因导致的服务中断；由缺乏有效、必要的防护而导致的信息泄露、黑客攻击、非法入侵等。因此，如何保障网络运行环境的安全，为信息化建设提供一个稳定、可靠的支撑环境已成为亟待解决的问题。本文结合自己的项目实践，讲述了在高校网络安全建设过程中，通过综合运用网络监控、边界隔离、网络攻防和病毒防护等技术对潜在的风险进行有针对性的防护，以确保网络安全；通过完善和运用规章制度来强化人员的安全责任意识，降低人为失误导致的网络中断等方面的内容。通过这些方式，建构一个稳定、可靠、安全、高效的智慧校园支撑环境，使之更好地服务于各项教育教学活动。

信息技术的发展和应用，深刻地改变了人们的生产、生活、工作、学习方式，我们在充分享受它带给我们便利的同时，也使我们对其产生了强烈的依赖性。因此，作为信息技术支撑环境的网络系统的安全性和可靠性保障的问题，已成为信息技术从业者所关注的话题。基于以上原因，结合国家相关政策的要求和学校实际情况，本人所在的高校开展了校园网络安全建设工作，本人作为学校信息中心的技术骨干，有幸参与并主持了该工作。网络安全的实现，需要依赖技术层面的实现，同时也离不开对人的约束。本文从技术实现和管理两个方面对其进行了论述。  
（1）技术层面的建构  
相关技术的支撑是实现网络安全的必要条件。网络安全是一个系统工程，单一的技术并不能完全确保网络的安全，只有将多种技术加以综合运用，相互弥补各自的不足，才能最大限度地保障网络运行的安全。技术层面的网络安全建构涉及网络设备运行状态监控、边界隔离、攻击防护、病毒防护等几个方面的内容。  
网络安全建设离不开对网络设施的实施监控和管理。完善的监控体系和设备冗余措施是保障网络稳定可靠运行的基础。通过引入智能网管平台，对设备状态进行实时监控，及时发现并处理问题，缩短因设备故障带来的网络服务中断时间。同时，结合网络设备虚拟化等新技术——如H3C的IRF，来实现冗余和负载分担，避免了由于设备或链路故障导致的服务中断，又提高了网络利用率。  
明晰网络边界有利于具体防护策略的制定和实施。基于我校网络结构，借助防火墙，将整个网络划分为基础支撑服务区、应用服务区、办公区、生活区三个部分，并制定相应的安全防护策略，达到有针对性的安全防护的目的。对于基础支撑服务区的设备，主要由为应用服务区提供数据库服务的数据库集群构成，该区有着最严格的访问控制策略，在默认情况下禁止与其他区域之间的所有通讯，当应用系统需要使用该区提供的服务时，通过由IP、MAC、用户名及其口令构成的三元组，同时结合数据库自身的用户认证体系对用户的身份进行验证，并借助数据库防火墙来限制用户进行的SQL操作的种类，对数据库的高风险操作进行阻断，以提升数据的安全性。对于应用服务区的设备，根据提供服务的范围，将需要内外网同时访问的应用放置在DMZ区，并结合端口映射、地址转换、访问控制、端口隔离等措施实现对该区域的严密防护。同时，为了防止端口暴露带来的安全隐患，结合IP安全策略，对一些高危和不常用的端口进行关闭，避免由此产生的安全隐患。由于技术的发展，网络攻击的方式也呈现出多样化的趋势，为了实现对网络安全的预警和风险化解，引入漏洞扫描系统、入侵检测系统，并通过防火墙与IDS之间的联动部署来提升防火墙的机动性和实时反应能力。对于办公区和生活区，根据用户的用途，并结合所在的地理位置和流量类型，通过划分VLAN的方式对用户进行隔离，避免因广播风暴带来的网络拥塞，同时也提高了网络的安全性。其中，对于办公区的用户采用了流量控制，以优先满足日常办公的需求。  
有效的攻击防御体系可以保障网络的可靠运行。由于当前多数应用都是基于B/S架构，因此针对网站的攻击成为防御的重点，如：分布式拒绝服务攻击DDoS、跨站脚本攻击XSS、SQL注入等。此类攻击主要是利用了程序设计的漏洞，对于这类攻击最好的防御措施就是提高程序设计的严谨性、修复存在的Bug等方式，因此，我们一方面对程序存在的漏洞进行修复，另一方面借助web应用防火墙，通过定制一系列的规则来对HTTP请求进行深度的检测，阻断存在高危安全隐患的请求，从而尽可能的保证应用系统的安全。同时，借助网页防篡改系统对网页内容进行监测，一旦发现异常，自动恢复，从而达到保护网站安全的目的。  
网络病毒防护系统也是保障网络安全必不可少的组成部分。在网络中强有力的主动防御机制，如：防火墙、安全策略、漏洞修复等，可以减小病毒入侵的几率，只有结合有效的被动防病毒体系，才能将病毒隔离在网络大门之外。在项目实施过程中，购置并部署企业版的ESET防病毒系统供用户下载和安装，通过实时的病毒库更新来保证终端设备的安全。  
（2）管理层面的建构  
网络安全目标的实现，仅靠技术是不够的，先进的技术还需完善的管理制度的配合。为了避免由于人为操作失误导致的网络安全事件的发生，通过制定和完善一系列的规章制度和操作流程来杜绝人为因素给网络安全带来的隐患。通过完善机房管理制度、设备管理制度及其弱电间及线路管理等制度来保证物理设施的安全；通过制定系统运维安全管理制度来保证系统持续、稳定、安全运行；通过实施操作权限管理制度保证责权到人，避免非授权用户对系统的非法篡改，保证网络的安全运行。除此之外，还定期开展安全教育培训，使大家树立安全意识和责任意识，确保各项规章制度的顺利执行。  
总结：  
本文主要讲述了在校园网安全建设方面，分别从技术和管理两个层面来保证网络安全方面的内容。在技术层面，借助设备状态监控系统和网络虚拟化技术的结合，实现了设备状态的实时呈现，提高对故障的反应速度,达到快速恢复故障的目的。同时借助于虚拟化技术实现了设备和链路的冗余，进一步避免了由于设备故障而导致的网络中断事件的发生，提高了网络的可靠性；通过访问控制、流量控制、入侵检测、应用防护、网络防病毒等技术实现网络的分区隔离、攻击的拦截和病毒的防护，进一步提升了网络的安全性。在管理层面，通过对相关规章制度的完善，强化人员的安全责任意识，避免人为因素导致的网络安全事件的发生。通过以上方式，构建了一个相对安全的智慧校园支撑环境，使之更好地服务于各项教育教学活动。系统试运行一年多来，网络中断及网络安全事件发生率显著下降，达到了项目预期的目标。由于项目经费有限，关键设备缺乏冗余的问题尚未解决，该问题将在后期进行完善。