企业网络安全保障方案篇1

【关键词】网络安全；防火墙；VPN；VLAN

一、引言

随着电力施工企业信息化发展的不断深入，企业对信息系统的依赖程度越来越高，信息与网络安全直接影响到企业生产、经营及管理活动，甚至直接影响企业未来发展。企业网络规模的扩大、信息接入点增多、分布范围广，使信息接入点管控难度大。企业信息与网络安全面临各类威胁，笔者以构建某电力施工企业信息与网络安全体系为例，从信息安全管理、技术实施方面进行阐述与分析，建立一套比较完整信息化安全保障体系，保障业务应用的正常运行。

二、企业网络安全威胁问题分析

1.企业网络通信设备存的安全漏洞威胁，网络非法入侵者可以采用监听数据、嗅探数据、截取数据等方式收集信息，利用拒绝服务攻击、篡改数据信息等方式对合法用户进行攻击。

2.非法入侵用户对网络系统的知识结构非常清楚，包括企业外部人员、企业内部熟悉网络技术的工作人员，利用内部网络进行恶意操作。非法用户入侵企业内部网络主要采用非法授权访问对企业内部网络进行恶意操作，以达到窃取商业机密的目的；独占网络资源的方式，非业务数据流（如P2P文件传输与即时通讯等）消耗了大量带宽，轻则影响企业业务无法正常运作，重则致使企业IT系统瘫痪，对内部网络系统造成损坏。

3.恶意病毒程序和代码包括计算机病毒、蠕虫、间谍软件、逻辑复制炸弹和一系列未经授权的程序代码和软件系统。病毒感染可能造成网络通信阻塞、文件系统破坏，系统无法提供服务甚至重要数据丢失。病毒的传播非常迅速；蠕虫是通过计算机网络进行自我复制的恶意程序，泛滥时可以导致网络阻塞和瘫痪；间谍软件在用户不知情的情况下进行非法安装，并把截获的机密信息发送给第三者。

4.随着企业信息化平台、一体化系统投入运行，大量重要数据和机密信息都需要通过内部局域网和广域网来传输，信息被非法截取、篡改而造成数据混乱和信息错误的几率加大；当非法入侵者以不正当的手段获得系统授权后。可以对企业内部网络的信息资源执行非法操作，包括篡改数据信息、复制数据信息、植入恶意代码、删除重要信息等，甚至窃取用户的个人隐私信息，阻止合法用户的正常使用，造成破坏和损失。保护信息资源，保证信息的传递成为企业信息安全中重要的一环。

三、企业信息与网络安全策略

结合电力施工企业业务广范围大特点，提出一套侧重网络准入控制的信息安全解决方案，保障企业网络信息安全。

1.远程接入VPN安全解决方案

施工企业拥有多个项目部，地域范围广，项目部、出差人员安全访问企业信息系统是企业信息化的要求，确保网络连接间保密性是必要的。采用SSLVPN安全网关旁路部署在网络内部，通过设置用户级别、权限来屏蔽非授权用户的访问。访问内部网络资源的移动、项目用户先到SSLVPN上进行认证，根据认证结果分配相应权限，实现对内部资源的访问控制。

2.边界安全解决方案

在系统互联网出口部署防火墙（集成防病毒和网络安全监控模块）和IPS设备，同时通过防火墙和IPS将企业内部网、数据中心、互联网等安全区域分隔开，并通过制定相应的安全规则，以实现各区域不同级别、不同层次的安全防护。边界防护建立以防火墙为核心，邮件、WEB网关设备、IDS及IPS等设备为辅的边界防护体系。

（1）通过防火墙在网络边界建立网络通信监控系统，监测、限制、更改跨越防火墙的数据流以及对外屏蔽网络内部的信息、结构和运行状况，控制非法访问、增强网络信息保密性、记录和统计网络数据并对非法入侵报警提示等，达到保障计算机网络安全的目的。

（2）在防火墙上开启防病毒模块，可以在网关处阻止病毒、木马等威胁的传播，保护网络内部用户免受侵害，改变了原有被动等待病毒感染的防御模式，实现网络病毒的主动防御，切断病毒在网络边界传递的通道。

（3）以入侵防御系统IPS应用层安全设备，作为防火墙的重要补充，很好的解决了应用层防御安全威胁，通过在线部署，IPS可以检测并直接阻断恶意流量。

（4）将上网行为管理设备置于核心交换机与防火墙之间。通过对在线用户状态、Web访问内容、外发信息、网络应用、带宽占用情况等进行实时监控，在上网行为管理设备上设置不同的策略，阻挡P2P应用，释放网络带宽，有效地解决了内部网络与互联网之间的安全使用和管理问题。

3.内网安全解决方案

内网安全是网络安全建设的重点，由于内网节点数量多、分布复杂、终端用户安全应用水平参差不齐等原因，也是安全建设的难点。

（1）主要利用构建虚拟局域网VLAN技术来实现对内部子网的物理隔离。通过在交换机上划分VLAN可以将整个网络划分为几个不同的广播域，将信任网段与不信任网段划分在不同的VLAN段内，实现内部一个网段与另一个网段的物理隔离，防止影响一个网段的安全事故透过整个网络传播，限制局部网络安全问题对全局网络造成的影响。

（2）建立企业门户系统，用户的访问控制部署统一的用户认证服务，实现单点登录功能，统一存储所有应用系统的用户认证信息，而授权等操作则由各应用系统完成，即统一存储、分布授权。

（3）系统软件部署安全、漏洞更新，定期对系统进行安全更新、漏洞扫描，自动更新Windows操作系统和Office、ExchangeServer以及SQLServer等安全、漏洞补丁。安装网络版的防病毒软件，定期更新最新病毒定义文件，制定统一的策略，客户端定期从病毒服务器下载安装新的病毒定义文件，有效减少了病毒的影响；配置邮件安全网关系统，为邮件用户提供屏蔽垃圾邮件、查杀电子邮件病毒和实现邮件内容过滤等功能，有效地从网络层到应用层保护邮件服务器不受各种形式的网络攻击。

4.数据中心安全解决方案

作为数据交换最频繁、资源最密集的地方，数据中心出现任何安全防护上的疏漏必将导致不可估量的损失，因此数据中心安全解决方案十分重要。

（1）构建网络链接从链路层到应用层的多层防御体系。由交换机提供数据链路层的攻击防御。数据中心网络边界安全定位在传输层与网络层的安全上，通过防火墙可以把安全信任网络和非安全网络进行隔离，并提供对DDoS和多种畸形报文攻击的防御。IPS可以针对应用流量做深度分析与检测能力，即可以有效检测并实时阻断隐藏在海量网络流量中的病毒、攻击与滥用行为，也可以对分布在网络中的各种流量进行有效管理，从而达到对网络应用层的保护。

（2）建立数据备份和异地容灾方案，建立了完善的数据备份体系，保证数据崩溃时能够实现数据的完全恢复。同时在异地建立一个备份站点，通过网络以异步的方式，把主站点的数据备份到备份站点，利用地理上的分离来保证系统和数据对灾难性事件的抵御能力。

5.安全信息管理与培训

（1）网络管理是计算机网络安全重要组成部分，在组织架构上，应采用虚拟团队的模式，成立了相关信息安全管理小组。从决策、监督和具体执行三个层面为网络信息安全工作提供保障。建立规范严谨的管理制度，制定相应的规范、配套制度能保证规范执行到位，保障了网络信息安全工作的“有章可循，有据可查”。主要涉及：安全策略管理、业务流程管理、应用软件开发管理、操作系统管理、网络安全管理、应急备份措施、运行流程管理、场所管理、安全法律法规的执行等。

（2）人员素质的高低对信息安全方面至关重要；提高人员素质的前提就是加强培训，特别加强是对专业信息人员的培训工作。

四、结束语

该企业信息与网络安全体系建设以技术、管理的安全理念为核心，从组织架构的建设、安全制度的制定、先进安全技术的应用三个层面，构建一个多层次、全方位网络防护体系。在统一的安全策略基础上，利用安全产品间的分工协作，并针对局部关键问题点进行安全部署，使整个网络变被动防御为主动防御、变单点防御为全面防御、变分散管理为集中管理，达到提升网络对安全威胁的整体防御能力。

参考文献

企业网络安全保障方案篇2

1电信网络安全及其现状

狭义的电信网络安全是指电信网络本身的安全性，按照网络对象的不同包括了PSTN网络的安全、IP/Internet网络安全、传输网络安全、电信运营商内部网络安全等几个方面；广义的网络安全是包括了网络本身安全这个基本层面，在这个基础上还有信息安全和业务安全的层面，几个层面结合在一起才能够为用户提供一个整体的安全体验。

电信运营商都比较重视网络安全的建设，针对网络特点、业务特点建立了系统的网络安全保障体系。我国电信的网络安全保障体系建设起步较早。2000年，原中国电信意识到网络安全的重要性，并专门成立了相关的网络安全管理部门，着力建立中国电信自己的网络安全保障体系。安全保障体系分为管理体系和技术体系。在管理体系中，包括组织体系、策略体系和保障的机制，依据组织保障策略引导、保障机制支撑的原则。随着网络规模的不断扩大和业务的突飞猛进，单靠纯粹的管理和应急相应很难完成有关网络安全方面的工作。为此，建立了网络安全基础支撑的平台，也就是SOC平台，形成了手段保障、技术保障和完备的技术管理体系，以完成中国电信互联网的安全保障工作。这个系统通过几个模块协同工作，来完成对网络安全事件的监控，完成对网络安全工作处理过程中的支撑，还包括垃圾邮件独立处理的支持系统。

然而，网络安全是相对的。网络开放互联、设备引进、新技术引入、自然灾害和突发事件的存在等，造成了网络的脆弱性。当电信网络由封闭的、基于电路交换的系统向基于开放、IP数据业务转型中，安全问题更加暴露。从狭义的网络安全层面看，随着攻击技术的发展，网络攻击工具的获得越来越容易，对网络发起攻击变得容易；而运营商网络分布越来越广泛，这种分布式的网络从管理上也容易产生漏洞，容易被攻击。从广义的网络安全层面看，业务欺诈、垃圾邮件、违法违规的SP行为等，也是威胁网络安全的因素。

2电信网络安全面临的形势及问题

2.1互联网与电信网的融合，给电信网带来新的安全威胁

传统电信网的业务网和支撑网是分离的。用户信息仅在业务网中传送，信令网、网管网等支撑网与业务网隔离，完全由运营商控制，电信用户无法进入。这种机制有效地避免了电信用户非法进入网络控制系统，保障了网络安全。IP电话引入后，需要与传统电信网互联互通，电信网的信令网不再独立于业务网。IP电话的实现建立在TCP/IP协议基础上，TCP/IP协议面临的所有安全问题都有可能引入传统电信网。IP电话的主叫用户号码不在IP包中传送，一旦出现不法行为，无论是运营商还是执法机关，确认这些用户的身份需要费一番周折，加大了打击难度。

2.2新技术、新业务的引入，给电信网的安全保障带来不确定因素

NGN的引入，彻底打破了电信网根据不同业务网分别建设、分别管理的传统思路。NGN的引入给运营商带来的好处是显而易见的，但从网络安全方面看，如果采取的措施不当，NGN的引入可能会增加网络的复杂性和不可控性。此外，3G、WMiAX、IPTV等新技术、新业务的引入，都有可能给电信网的安全带来不确定因素。特别是随着宽带接入的普及，用户向网络侧发送信息的能力大大增强，每一个用户都有能力对网络发起威力较大的拒绝服务等攻击。如果这些宽带被非法控制，组成僵尸网络群，其拒绝服务攻击的破坏力将可能十分巨大。

2.3运营商之间网络规划、建设缺乏协调配合，网络出现重大事故时难以迅速恢复

目前，我国电信领域基本形成了有效的竞争格局。但由于改革的配套措施还不尽完备，电信市场多运营商条件下的监管措施还不配套，给电信网络安全带来了新的威胁。如在网络规划建设方面，原来由行业主管部门对电信网络进行统一规划、统一建设，现在由各运营企业承担各自网络的规划、建设，行业主管部门在这方面的监管力度明显弱化。一旦出现大面积的网络瘫痪问题，不同运营商之间的网络能否互相支援配合就存在问题。

2.4相关法规尚不完善，落实保障措施缺乏力度

当前我国《电信法》还没有出台，《信息安全法》还处于研究过程中，与网络安全相关的法律法规还不完备，且缺乏操作性。在规范电信运营企业安全保障建设方面，也缺乏法律依据。运营企业为了在竞争中占据有利地位，更多地关注网络建设、业务开发、市场份额和投资回报，把经济效益放在首位，网络安全相关的建设、运行维护管理等相对滞后。

3电信网络安全防护的对策思考

强化电信网络安全，应做到主动防护与被动监控、全面防护与重点防护相结合，着重考虑以下几方面。

3.1发散性的技术方案设计思路

在采用电信行业安全解决方案时，首先需要对关键资源进行定位，然后以关键资源为基点，按照发散性的思路进行安全分析和保护，并将方案的目的确定为电信网络系统建立一个统一规范的安全系统，使其具有统一的业务处理和管理流程、统一的接口、统一的协议以及统一的数据格式的规范。

3.2网络层安全解决方案

网络层安全要基于以下几点考虑：控制不同的访问者对网络和设备的访问；划分并隔离不同安全域；防止内部访问者对无权访问区域的访问和误操作。可以按照网络区域安全级别把网络划分成两大安全区域，即关键服务器区域和外部接入网络区域，在这两大区域之间需要进行安全隔离。同时，应结合网络系统的安全防护和监控需要，与实际应用环境、工作业务流程以及机构组织形式进行密切结合，在系统中建立一个完善的安全体系，包括企业级的网络实时监控、入侵检测和防御，系统访问控制，网络入侵行为取证等，形成综合的和全面的端到端安全管理解决方案，从而大大加强系统的总体可控性。

3.3网络层方案配置

在电信网络系统核心网段应该利用一台专用的安全工作站安装入侵检测产品，将工作站直接连接到主干交换机的监控端口(SPANPort)，用以监控局域网内各网段间的数据包，并可在关键网段内配置含多个网卡并分别连接到多个子网的入侵检测工作站进行相应的监测。

3.4主机、操作系统、数据库配置方案

由于电信行业的网络系统基于Intranet体系结构，兼呈局域网和广域网的特性，是一个充分利用了Intranet技术、范围覆盖广的分布式计算机网络，它面临的安全性威胁来自于方方面面。每一个需要保护的关键服务器上都应部署核心防护产品进行防范，并在中央安全管理平台上部署中央管理控制台，对全部的核心防护产品进行中央管理。

企业网络安全保障方案篇3

全称为“二六三网络通信股份有限公司”的263网络通信，在1999年年底成立时叫做“263首都在线”。在当时，263还只是一个免费的电子邮局。时光荏苒，现在的263网络通信已经成为国内领先的新型互联网通信服务提供商和增值通信服务提供商，主营业务涵盖企业G邮局、CC电话、ISP拨号上网、立体宽带等网络通信及增值通信服务。

企业的快速发展给数据中心提出了更高的要求。263网络通信的北京数据中心位于北京市昌平区高科技园，作为263的三地机房之一（另两地为上海和广州），其主要是为263网络通信的自身业务提供支持，包括企业邮箱、个人邮件、通信增值、语音通信等业务，也包括少量的IDC托管业务。

网络的安全和快捷

邮件安全

作为国内最大的邮件服务商，保护网络和邮件的安全流畅无疑是263的重要任务。据263网络通信公司邮件技术中心产品经理李家琪介绍，目前全球的网络安全形势发生了很大的变化，许多以窃取金钱为目的的犯罪层出不穷，网络攻击的手段也越来越先进，并且，随着网络的日益普及，这些问题还会日益加剧。“作为国内最大的邮件服务商，对于如何维护客户的数据安全，我们的压力很大。”李家琪说。

针对这些问题，263北京数据中心做了很多努力。在技术设备方面，采用了顶级IT厂商的高品质存储设备――RAID冗余数据存储，同时采用热备份磁盘，以保证数据安全。在其核心业务邮件存储方面，263采用私有协议的方式，并把存储服务器设在内网，这样外网无论如何也不会窃取到内网存储服务器上的数据。即使存储数据被恶意得到，如果没有密码，黑客也无法正常读取数据的内容。

此外，263还运用许多相关技术来维护邮件的安全。比如，通过缓存邮件处理机制，263企业邮箱系统可以避免外面搜索引擎爬虫对邮件缓存的获取，特别是企业邮箱wm上的邮件缓存都需要密码校验，除非知道用户的密码，不然是不可能获取到用户的信件的。同时，缓存邮件是有生存周期的，不是长期在上面而不删除。

密码的安全是邮件安全的重要保障。263采用了密码校验机制，设置密码时增加了安全校验，以避免简单密码。根据用户输入的字符，系统会自动进行检测，并返回结果，并对用户所填密码进行复杂程度的评估，从而有效地提醒用户提高账号的安全性。

在使用电子邮箱时，人们常常会碰到这种情况:当有急事需要外出时，忘记退出电子邮箱，最后造成了数据被窃或丢失。遇到这种情况该怎么办呢？263运用Webmail的超时机制，设定如果用户在线但不活动超过60分钟，电子邮箱系统将自动退出，这样就保证了用户邮箱资料的安全。

263还专设了Webmail的安全通道，通过SSL加密通道访问Webmail以及域管理MA，避免密码被监听，同时使用POP/SMTP进行安全传输，支持SSL传输加密POP/SMTP服务器收发邮件，SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通信提供了安全支持，保证了用户的用户名、密码、信件等信息在邮件传输过程中不会泄漏。

特别要指出的是，263还对数据进行了信息生命周期管理，对于用户主动删除的邮件，263提供5天的追溯恢复，对于用户信息、用户关键性操作日志、邮件收发日志、管理类日志也都有相应的存储周期。

网络防护

263的网络防护系统由很多部分组成，包括基于全面网管的平台系统、基于设备的管理软件、基于MRTG开发的流量监控系统等。

基于全面网管的平台系统，可以实时监控Internet的出口及其流量、网络设备及主要链路状态等，所有的邮箱服务都有自动故障报警和详细的报警分析。基于MRTG开发的流量监控系统，会详细监控邮箱每一个模块、每一台机器的网络流量，数据汇总后提交给数据中心进行网络带宽的调整，以保证网络带宽在高峰时段网络占用不超过总带宽的60%。

263还运用自身研发的监控系统，把监控细分到模块以及服务器下的每一个服务进程和端口，出现异常情况时，监控系统将会马上显示相关信息在监控系统终端，并通过邮件、短信即时发送报警信息给工程师;报警采用专门的报警代码，对每一个故障都用不同代码标识;同时，针对每个报警代码，都制定了故障的标准处理流程，工程师在接到报警代码后，可以马上按照报警代码进行处理。

此外，263与防病毒技术厂商合作，定期升级网络杀毒软件和病毒标志，并采用多层过滤等方式，在第一时间杀灭最新已知的互联网病毒，包括电子邮件及附件、压缩文件中隐藏的病毒、非法程序和代码等。

263还自主研发了一套维护网络及邮件安全的软件。如将国家863项目成果产品化的TAP网关，可有效地识别垃圾邮件，同时凭借着主动学习不同企业的垃圾邮件和正常邮件特性的“自动学习”特点，可以智能化反垃圾。

异地存储全国联网

“263在北京、上海、广州三地都设有数据中心机房，每天在北京数据中心新存入的数据，我们会由专门的数据线传送到其他两地（现在主要是广州），实现数据的异地备份，以保障数据的安全。不过由于存储的数据量太大，还不能达到时时的异地保存。”李家琪介绍说。

实际上，263的这种异地保存，已经不单纯是为了信息的安全而保存，通过完整的IDC网络系统，特别是双路冗余的电信级高端路由器、核心交换机等电信级网络设备，263网络通信与中国网通、中国电信骨干节点高速互连，带宽超过1G。

不仅如此，据李家琪介绍，263的内部网络全部参照国际标准执行，全部网络骨干设备由专业网络厂商供货，所有的网络骨干设备全部采用双冗余配置，并进行N+1设备备份，做到没有单点故障，网络设备间通过光纤互联。

科学的运营管理体系

263北京数据中心占地面积超过1500平方米，机房面积超过1000平方米，用户维护区面积30平方米，服务器总量达到了3000台以上。在这样的一个大型数据中心，保证正常运行不出纰漏，显然不是件容易的事。

针对这个问题，263建立起了完善的管理体系，对于数据中心的日常运营进行严格的管理，“不发现问题最好，发现问题就要在第一时间马上解决”。李家琪说。

据李家琪介绍，263使用了监控软件，其监控领域覆盖了电力、空调、防火在内的各种基础设施，同时还建立起了视频监控、网络状况监控、主机状况监控、各层面的流量与带宽利用率监控、网络安全监控与入侵检测等多个维度的监控系统，机柜采用一柜一锁。“我们采用了24×7的不间断监控，将关键监控数据定时定期记录归档，既运用先进的监控管理系统，也采用必要的人工巡检流程。”李家琪说。可以说，这种空间、时间与手段的多维监控系统，方便263在第一时间预警或发现故障，并确保故障的排除。

对于日常的运行维护，263采用专业化、国际标准的三级运行维护体系。一级运维人员提供实时的运行监控与日常维护;当出现非常规故障或一级运维人员在规定时间内无法判断故障原因时，由拥有专业知识的二级运维人员参与故障处理流程;当二级运维人员在规定时限内无法判断故障并有效处理时，由三级运维专家进行专家会诊，进入非常规故障处理流程。

对于硬件设施的购买，263有一套严格的配置变更方案，通过标准化的作业流程，每样配置的变更都必须在管理人员的监控下，历经提出、评估、审批、计划、方案审批、执行、测试、归档等阶段，严格进行。在变更之前，工作人员需要制定详细的变更实施方案;在配置变更执行过程中，工作人员需要采用定义明晰的操作工单，并对每步操作进行详细的记录;在变更后，还要进行详细的测试，以确保系统健康运行;在变更完成后，工作人员必须归档变更资料，并编写变更报告。

在员工的管理方面，263建立了严格的信息保密制度与保密教育制度，每个员工都必须签署具有法律保障的保密协定，以保护客户与企业的关键数据。同时，通过进出管理制度、密码管理制度、维护权限管理制度、监控管理制度和安全作业规章等制度，规范员工行为，严格保护公司和客户的数据安全。

同时，263还采用国际标准的故障单（TroubleTicket）流转方式，闭环监督故障处理，保证故障处理的品质。每发生一次故障或客户的问题/投诉，均同时生成一张故障单，故障单依三级维护体系的运作标准流转，并有专人监督流转过程，直到确认处理完成后关闭，这样就大大提高了工作的效率，确保客户故障的排除，凸显高品质的服务。

降低能耗备受关注

“随着企业业务的不断扩展，数据中心的服务器越来越多，现在已经超过了3000多台。这一方面给机房空间带来了不少的压力，另一方面数据中心所消耗的能源日益增长，电力消耗也越来越多。现在，我们做了并正在做很多工作，尤其是把采购的主要方向定在了刀片服务器上，这让能耗降低了不少。”李家琪说。

在过去，服务器无疑是耗能很大的一部分，尤其是网络这一行业更需要服务器群24小时不间断运行，因此每年会消耗大量的能源，并产生大量的热。为了节约能源，263开始采购刀片服务器这一被业界称为绿色服务器的产品，因为刀片服务器具有高效能、低耗能、高密度的特点，服务器不但性能优良，而且节约空间和能耗。

目前，263在应用中的刀片服务器是4个机柜的，共40台刀片服务器。使用刀片服务器后，功耗大大降低;此外，对于机架服务器来说，空间密度也增加了一倍以上，机架节约了50%以上。同时，服务器的效率没有受到影响，特别是刀片服务器在网络布线和电源管理上的统一，还使得服务器之间的管理更方便。

此外，263还以降低能耗为目标，对机房进行了全面的改造。据悉，在机房制冷系统改造上，263采用了专业机房空调，并采用了大功率的下气流送风、上回风，让机房保持恒温、恒湿状态。机房温度保持在22℃±3℃，相对湿度保持在55%±10%。

最后，李家琪还表示:“目前，我们的机房正在根据最新的国际标准做全面的改造，差不多两个月之内就可以完成，完成后，机房的地板、制冷等硬件设备将会得到全面的升级，都会更有利于降低能耗和节约资源。”

IBM专家点评

随着应用规模的不断扩大，Web2.0数据中心正在面临着很多与传统企业数据中心一样的问题，比如安全性、业务持续性和成本控制等。全新企业级数据中心结合了传统企业数据中心与Web2.0数据中心两者在架构设计上的优势，为企业IT基础设施的发展提供了最佳解决方案。本文描述的263网络通信公司北京数据中心的案例，为这一类型的用户提供了很好的参考。

在安全管理方面，通过实现信息安全、隐私和保密功能的总体架构及工具，263网络通信在应用层面实现了有效的安全和风险管理框架，并通过数据异地备份和冗余网络设施在技术层面为用户数据和业务运行提供了安全保障。

除了技术和人员，263网络通信也不断从流程方面完善数据中心的运营管理。在服务支持领域，实现了企业范围的监测和问题管理;在解决方案部署领域，实现了标准化的配置和变更管理;在服务交付方面，基于全面网管的平台实现了容量管理和服务连续性管理，并与其他服务管理流程紧密集成。在这一方面，263网络通信的良好经验值得其他企业的数据中心借鉴。

企业网络安全保障方案篇4

1．1编制目的

建立健全国家通信保障和通信恢复应急工作机制，提高应对突发事件的组织指挥能力和应急处置能力，保证应急通信指挥调度工作迅速、高效、有序地进行，满足突况下通信保障和通信恢复工作的需要，确保通信的安全畅通。

1．2编制依据

依据《中华人民共和国电信条例》、《中华人民共和国无线电管理条例》和《国家突发公共事件总体应急预案》等有关法规和规章制度，制定本预案。

1．3适用范围

本预案适用于下述情况下的重大通信保障或通信恢复工作。

（1）特大通信事故；

（2）特别重大自然灾害、事故灾难、突发公共卫生事件、突发社会安全事件；

（3）党中央、国务院交办的重要通信保障任务。

1．4工作原则

在党中央、国务院领导下，通信保障和通信恢复工作坚持统一指挥、分级负责，严密组织、密切协同，快速反应、保障有力的原则。

2组织指挥体系及职责

2．1国家通信保障应急组织机构及职责

信息产业部设立国家通信保障应急领导小组，负责领导、组织和协调全国的通信保障和通信恢复应急工作。

国家通信保障应急领导小组下设国家通信保障应急工作办公室，负责日常联络和事务处理工作。

2．2组织体系框架描述

国家通信保障应急领导小组和国家通信保障应急工作办公室负责组织、协调相关省（区、市）通信管理局和基础电信运营企业通信保障应急管理机构，进行重大突发事件的通信保障和通信恢复应急工作。

各省（区、市）通信管理局设立电信行业省级通信保障应急工作管理机构，负责组织和协调本省（区、市）各基础电信运营企业通信保障应急管理机构，进行本省（区、市）的通信保障和通信恢复应急工作。

各基础电信运营企业总部和省级公司设立相应的通信保障应急工作管理机构，负责组织本企业内的通信保障和通信恢复应急工作。各基础电信运营企业省级公司受当地省（区、市）通信管理局和各基础电信运营企业总部的双重领导。

3预防和预警机制

各级电信主管部门和基础电信运营企业应从制度建立、技术实现、业务管理等方面建立健全通信网络安全的预防和预警机制。

3．1预防机制

各级电信主管部门要加强对各基础电信运营企业网络安全防护工作和应急处置准备工作的监督检查，保障通信网络的安全畅通。

3．2预警监测

各级电信主管部门通信保障应急管理机构及基础电信运营企业都要建立相应的预警监测机制，加强通信保障预警信息的监测收集工作。

预警信息分为外部预警信息和内部预警信息两类。外部预警信息指电信行业外突发的可能需要通信保障或可能对通信网产生重大影响的事件警报。内部预警信息指电信行业内通信网上的事故征兆或部分通信网突发事故可能对其他通信网造成重大影响的事件警报。

各级电信主管部门要与国家、地方政府有关部门建立有效的信息沟通渠道，各级基础电信运营企业网络运行管理维护部门要对电信网络日常运行状况实时监测分析，及时发现预警信息。

3．3预防预警行动

信息产业部获得外部预警信息后，通信保障应急领导小组应立即召开会议，研究部署通信保障应急工作的应对措施，通知相关基础电信运营企业做好预防和通信保障应急工作的各项准备工作。

基础电信运营企业通过监测获得内部预警信息后，应对预警信息加以分析，按照早发现、早报告、早处置的原则，对可能演变为严重通信事故的情况，及时报告国家通信保障应急工作办公室。国家通信保障应急工作办公室接到预警信息后，立即进行分析核实，经确认后，通知可能受到影响的其他基础电信运营企业，做好预防和应急准备工作。

3．4预警分级和

3．4．1预警分级

预警划分为四个等级：

Ⅰ级：因特别重大突发公共事件引发的，有可能造成多省（区、市）通信故障或大面积骨干网中断、通信枢纽楼遭到破坏等情况，及需要通信保障应急准备的重大情况；通信网络故障可能升级造成多省（区、市）通信故障或大面积骨干网中断的情况。

Ⅱ级：因重大突发公共事件引发的，有可能造成该省（区、市）多个基础电信运营企业所属网络通信故障的情况，及需要通信保障应急准备的情况；通信网络故障可能升级造成该省（区、市）多个基础电信运营企业所属网络通信故障的情况。

Ⅲ级：因较大突发公共事件引发的，有可能造成该省（区、市）某基础电信运营企业所属网络多点通信故障的情况；通信网络故障可能升级造成该省（区、市）某基础电信运营企业所属网络多点通信故障的情况。

Ⅳ级：因一般突发公共事件引发的，有可能造成该省（区、市）某基础电信运营企业所属网络局部通信故障的情况。

3．4．2预警

国家通信保障应急领导小组可以确认并Ⅰ级预警信息；省（区、市）通信管理局通信保障应急管理机构可以确认并Ⅱ级、Ⅲ级和Ⅳ级预警信息。

各级通信保障应急管理机构应根据国家通信保障应急领导小组的预警信息，做好相应的通信保障应急准备工作。

4应急响应

4．1响应分级

突发事件发生时，按照分级负责、快速反应的原则，通信保障和通信恢复应急响应工作划分为四个等级：

Ⅰ级：突发事件造成多省通信故障或大面积骨干网中断、通信枢纽楼遭到破坏等重大影响，及国家有关部门下达的重要通信保障任务，由国家通信保障应急领导小组负责组织和协调，启动本预案。

Ⅱ级：突发事件造成某省（区、市）多基础电信运营企业通信故障或地方政府有关部门下达通信保障任务时，由各省（区、市）通信管理局的通信保障应急管理机构负责组织和协调，启动省（区、市）通信管理局通信保障应急预案，同时报国家通信保障应急工作办公室。

Ⅲ级：突发事件造成某省（区、市）某基础电信运营企业多点通信故障时，由相应基础电信运营企业通信保障应急管理机构负责相关的通信保障和通信恢复应急工作，启动基础电信运营企业相应的通信保障应急预案，同时报本省（区、市）通信管理局应急通信管理机构。

Ⅳ级：突发事件造成某省（区、市）某基础电信运营企业局部通信故障时，由相应基础电信运营企业通信保障应急管理机构负责相关的通信保障和通信恢复应急工作，启动基础电信运营企业相应的通信保障应急预案。

4．2应急处置

本预案重点考虑发生Ⅰ级突发事件时的应急处置工作。

4．2．1信息上报和处理

突发事件发生时，出现重大通信中断和通信设施损坏的企业和单位，应立即将情况上报信息产业部。信息产业部接到报告后，应在1小时内报国务院。

国家通信保障应急工作办公室获得突发事件信息后，应立即分析事件的严重性，及时向国家通信保障应急领导小组提出处理建议，由国家通信保障应急领导小组进行决策，并启动本预案。需要国务院进行协调的，应立即上报国务院。

启动本预案时，相应的通信管理局和基础电信运营企业的通信保障应急管理机构应提前或同时启动下级预案。

4．2．2信息通报

在处置Ⅰ级突发事件过程中，国家通信保障应急领导小组应加强与通信保障应急任务下达单位或部门及相关基础电信运营企业的信息沟通，及时通报应急处置过程中的信息，提高通信保障和通信恢复工作效率。

基础电信运营企业应将相关信息及时通报与突发事件有关的政府部门、重要单位和用户。

4．2．3通信保障应急任务下达

发生Ⅰ级突发事件时，国家通信保障应急工作办公室按照国家通信保障应急领导小组的指示，以书面或传真形式向有关省（区、市）通信管理局和基础电信运营企业下达任务通知书。接到任务通知书后，各单位应立即传达贯彻，成立现场通信保障应急指挥机构，并组织相应人员进行通信保障和通信恢复工作。

4．2．4通信保障应急工作要求

相关省（区、市）通信管理局通信保障应急管理机构和基础电信运营企业收到任务通知书后，应立即开展通信保障和通信恢复应急工作。具体要求如下：

（1）通信保障及抢修遵循先中央、后地方，先重点、后一般的原则；

（2）应急通信系统应保持良好状态，实行24小时值班，所有人员应坚守工作岗位待命；

（3）主动与上级有关部门联系，及时通报有关情况；

（4）相关电信运营企业在执行通信保障任务和通信恢复过程中，应顾全大局，积极搞好企业间的协作配合，必要时由国家通信保障应急工作办公室进行统一协调；

（5）在组织执行任务过程中，现场通信保障应急指挥机构应及时上报任务执行情况。

4．2．5通信保障应急任务结束

通信保障和通信恢复应急工作任务完成后，由国家通信保障应急领导小组下达解除任务通知书，现场应急通信指挥机构收到通知书后，任务正式结束。

4．2．6调查、处理、后果评估与监督检查

信息产业部负责对特大通信事故原因进行调查、分析和处理，对事故后果进行评估，并对事故责任处理情况进行监督检查。

4．2．7信息

由信息产业部负责有关的信息工作，必要时可授权省（区、市）通信管理局进行信息工作。

4．2．8通信联络

在突发事件应急响应过程中，要确保应急处置系统内部机构之间和部门之间的通信联络畅通。通信联络方式主要采用固定电话、移动电话、会议电视、传真等。

5后期处置

5．1情况汇报和经验总结

通信保障和通信恢复应急任务结束后，信息产业部应做好突发事件中公众电信网络设施损失情况的统计、汇总，及任务完成情况总结和汇报，不断改进通信保障应急工作。

5．2奖惩评定及表彰

为提高通信保障应急工作的效率和积极性，按照有关规定，对在通信保障和通信恢复应急过程中表现突出的单位和个人给予表彰，对保障不力，给国家和企业造成损失的单位和个人进行惩处。

6保障措施

6．1通信保障应急队伍

通信保障应急队伍由基础电信运营企业的网络管理、运行维护、工程及应急机动通信保障机构组成。各基础电信运营企业应不断加强通信保障应急队伍的建设，以满足国家通信保障和通信恢复应急工作的需要。

6．2物资保障

基础电信运营企业应建立必要的通信保障应急资源的保障机制，并按照通信保障应急工作需要配备必要的通信保障应急装备，加强对应急资源及装备的管理、维护和保养，以备随时紧急调用。

6．3必备资料

各基础电信运营企业应急管理机构必须备有地图、各种通信保障应急预案、通信调度预案和异常情况处理流程图、物资储备清单和相关单位、部门及主管领导联系方式。

6．4技术储备与保障

信息产业部在平时应加强技术储备与保障管理工作，建立通信保障应急管理机构与专家的日常联系和信息沟通机制，在决策重大通信保障和通信恢复方案过程中认真听取专家意见和建议。

适时组织相关专家和机构分析当前通信网络安全形势，对通信保障应急预案及实施进行评估，开展通信保障的现场研究，加强技术储备。

6．5宣传、培训和演习

各级通信保障应急管理机构应加强对通信网络安全和通信保障应急的宣传教育工作，定期或不定期地对有关通信保障应急指挥管理机构和保障人员进行技术培训和应急演练，保证应急预案的有效实施，不断提高通信保障应急的能力。

6．6通信保障应急工作监督检查制度

各级通信保障应急管理机构应加强对通信保障应急工作的监督和检查，做到居安思危、常备不懈。

6．7需要其他部门保障的工作

6．7．1交通运输保障

为了保证突发事件发生时通信保障应急车辆及通信物资能够迅速抵达事发地点，国家或地方交通管理部门为应急通信车辆配置执行应急任务特许通行证。在特殊情况下，国家或地方交通部门应负责为应急通信物资的调配提供必要的交通运输工具支持，以保证应急物资迅速到达。

6．7．2电力保障

突发事件发生时，国家或地方电力部门优先保证通信设施的供电需求。

6．7．3经费保障

因通信事故造成的通信保障处置费用，由电信运营企业承担；处置突发事件产生的通信保障费用，参照《国家财政应急保障预案》执行。

7附则

7．1名词术语说明

（1）通信是指电信网络。

（2）特大通信事故是指由突发事件造成的通信枢纽楼破坏、大面积骨干网中断等情况。

（3）各基础电信运营企业是指中国电信集团公司、中国网络通信集团公司、中国移动通信集团公司、中国联合通信有限公司、中国卫星通信集团公司、中国铁通集团有限公司等。

7．2预案管理与更新

本预案由信息产业部负责管理和更新，由国家通信保障应急工作办公室根据国家通信保障应急领导小组的命令和指示启动。预案坚持周期性的评审原则，每年一次，根据需要及时进行修改。

企业网络安全保障方案篇5

关键词：多媒体教学；计算机系统；安全保护；远程教育；技术研究

计算机信息系统的安全保护，应当保障计算机及其相关的和配套的设备的安全，运行环境的安全，保障信息的安全.保障计算机功能的正常发挥，以维护计算机信息系统的安全运行。也就是说。我们应在计算机硬件、软件及运行环境等网络的各个环节上，考虑来自网络系统内部和外部两方面的因素，从管理和技术上着手，制订比较完善的网络系统安全保护策略。

一、网络安全现状

据统计，我国现有企业的网络安全现状是不容乐观的，其主要表现在以下几个方面：信息和网络的安全防护能力差；网络安全人才缺乏；企业员工对网络的安全保密意识淡薄，企业领导对网络安全方面不够重视等。一部分企业认为添加了各种安全产品之后，该网络就已经安全了，企业领导基本上就是只注重直接的经济利益回报的投资项目，对网络安全这个看不见实际回馈的资金投入大部分都采取不积极的态度，其中起主导作用的因素还有就是企业缺少专门的技术人员和专业指导，导致我国目前企业的网络安全建设普遍处于不容乐观的状况。

二、网络安全常见威胁

（一）计算机病毒

计算机病毒指在计算机程序中插入的破坏计算机功能和数据、影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。具有寄生性、传染性、隐蔽性等特点。常见的破坏性比较强的病毒经常表现为：蓝屏、机卡、CPU、自动重启使用率高、打不开杀毒软件等，并且在短时间内传播从而导致大量的计算机系统瘫痪，对企业或者个人造成重大的经济损失。

（二）非授权访问

指利用编写和调试计算机程序侵入到他方内部网或专用网，获得非法或未授权的网络或文件访问的行为。如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。它主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。

（三）木马程序和后门

木马程序和后门是一种可以通过远程控制别人计算机的程序，具有隐蔽性和非授权性的特点。企业的某台计算机被安装了木马程序或后门后，该程序可能会窃取用户信息，包括用户输入的各种密码，并将这些信息发送出去，或者使得黑客可以通过网络远程操控这台计算机，窃取计算机中的用户信息和文件，更为严重的是通过该台计算机操控整个企业的网络系统，使整个网络系统都暴露在黑客间谍的眼前。

三、网络的安全策略

（一）更改系统管理员的账户名

应将系统管理员的账户名由原先的Administrator改为一个无意义的字符串，这样要叠录的非法用户不但要猜准口令。还必须猜出用户名，这种更名功能在域用户管理器的UserProperties对话框中并没有设置，用它的User-*-Rename菜单选项就可以实现这一功能。如果用的是NT4.0。可以用ResourceKit中提供的工具封锁联机系统管理员账号，这种封锁仅仅对由网络过来的非法叠录起作用。

（二）关闭不必要的向内TCP/IP端口

非法用户进入系统并得到管理员权限之后。首先要做的，必定设法恢复管理员刻意废止的TCP/IP上的NetBIOS装订，管理员应该使用路由器作为另一道防线。即提供web和FTP之类公共服务的NT服务器，这种情况下，只须保留两条路由器到服务器的向内路径：端日80的H1vrP和端日2l的FTP。

（三）防火墙配置

防火墙是在2个网络间实现访问控制的1个或1组软件或硬件系统，它是外部网络与内部网络之间的第1道安全屏障。本建设方案主要采用硬件防火墙，其主要功能就是屏蔽和允许指定的数据通讯，而这个功能的实现又主要是依靠一套访问控制策略，由访问控制策略来决定通讯的合法性，该控制策略的具体内容由企业的安全管理员和系统管理员共同来制定。

制定的防火墙安全策略主要有：所有从内到外和从外到内的数据包都必须经过防火墙；只有被安全策略允许的数据包才能通过防火墙；服务器本身不能直接访问互联网；防火墙本身要有预防入侵的功能；默认禁止所有服务，除非是必须的服务才允许。而其他一些应用系统需要开放特殊的端口由系统管理员来执行。

（四）VLAN的划分

VLAN是为解决以太网的广播问题和安全性而提出的一种协议。它在以太网的基础上增加了VLAN头，用VLANID把用户划分为更小的工作组，限制不同VLAN之间的用户不能直接互访，每个VLAN就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。VLAN之间的访问需要通过应用系统的授权来进行数据交互。为保护敏感资源和控制广播风暴，在3层路由交换机的集中式网络环境下，将网络中的所有客户主机和服务器系统分别集中到不同的VLAN里，在每个VLAN里不允许任何用户设置IP、用户主机和服务器之间相互PING，不允许用户主机对服务器的数据进行编辑，只允许数据访问，从而较好地保护敏感的主机资源和服务器系统的数据。采用3层交换机，通过VLAN划分，来实现同一部门在同一个VLAN中，这样既方便同部门的数据交换，又限制了不同部门之间用户的直接访问。

（五）身份认证

身份认证是提高网络安全的主要措施之一。其主要目的是证实被认证对象是否属实，常被用于通信双方相互确认身份，以保证通信的安全。常用的网络身份认证技术有：静态密码、USBKey和动态口令、智能卡牌等。其中，最常见的使用是用户名加静态密码的方式。而在本方案中主要采用USBKey的方式。基于USBKey的身份认证方式采用软硬件相结合，很好地解决了安全性与易用性之间的矛盾，利用USBKey内置的密码算法实现对用户身份的认证。USBKey身份认证系统主要有2种应用模式：一是基于冲击、响应的认证模式；二是基于PKI体系的认证模式。

（六）制订网络系统的应急计划

为了将由意外事故引起的网络系统损害降低到最小程度，企业应制订应急计划。以防意外事故使网络系统遭受破坏，该应急计划应包括紧急行动方案及软、硬件系统恢复方案等，绝对的安全是没有的，安全标准的追求是以资金和方便为代价的。我们应随时根据网络系统的运行环境而采用相应的安全保护策略。通过对计算机网络系统安全问题的充分认识，以及行政、技术和物质手段的保证。网络系统就能够有足够的安全性来对付各种不安全问题。

企业网络安全保障方案篇6

关键词：电信；网络安全；技术防护

从20世纪90年代至今，我国电信行业取得了跨越式发展，电信固定网和移动网的规模均居世界第一，网络的技术水平也居世界前列。电信已经深入到人类生活的方方面面，和日常生活的结合越来越紧密。电信网的安全状况直接影响这些基础设施的正常运行。加强电信网络的安全防护工作，是一项重要的工作。笔者结合工作实际，就电信网络安全及防护工作做了一些思考。

1电信网络安全及其现状

狭义的电信网络安全是指电信网络本身的安全性，按照网络对象的不同包括了pstn网络的安全、ip/internet网络安全、传输网络安全、电信运营商内部网络安全等几个方面；广义的网络安全是包括了网络本身安全这个基本层面，在这个基础上还有信息安全和业务安全的层面，几个层面结合在一起才能够为用户提供一个整体的安全体验。

电信运营商都比较重视网络安全的建设，针对网络特点、业务特点建立了系统的网络安全保障体系。我国电信的网络安全保障体系建设起步较早。2000年，原

2.3运营商之间网络规划、建设缺乏协调配合，网络出现重大事故时难以迅速恢复

目前，我国电信领域基本形成了有效的竞争格局。但由于改革的配套措施还不尽完备，电信市场多运营商条件下的监管措施还不配套，给电信网络安全带来了新的威胁。如在网络规划建设方面，原来由行业主管部门对电信网络进行统一规划、统一建设，现在由各运营企业承担各自网络的规划、建设，行业主管部门在这方面的监管力度明显弱化。一旦出现大面积的网络瘫痪问题，不同运营商之间的网络能否互相支援配合就存在问题。

2.4相关法规尚不完善，落实保障措施缺乏力度

当前我国《电信法》还没有出台，《信息安全法》还处于研究过程中，与网络安全相关的法律法规还不完备，且缺乏操作性。在规范电信运营企业安全保障建设方面，也缺乏法律依据。运营企业为了在竞争中占据有利地位，更多地关注网络建设、业务开发、市场份额和投资回报，把经济效益放在首位，网络安全相关的建设、运行维护管理等相对滞后。

3电信网络安全防护的对策思考

强化电信网络安全，应做到主动防护与被动监控、全面防护与重点防护相结合，着重考虑以下几方面。

3.1发散性的技术方案设计思路

在采用电信行业安全解决方案时，首先需要对关键资源进行定位，然后以关键资源为基点，按照发散性的思路进行安全分析和保护，并将方案的目的确定为电信网络系统建立一个统一规范的安全系统，使其具有统一的业务处理和管理流程、统一的接口、统一的协议以及统一的数据格式的规范。

3.2网络层安全解决方案

网络层安全要基于以下几点考虑：控制不同的访问者对网络和设备的访问；划分并隔离不同安全域；防止内部访问者对无权访问区域的访问和误操作。可以按照网络区域安全级别把网络划分成两大安全区域，即关键服务器区域和外部接入网络区域，在这两大区域之间需要进行安全隔离。同时，应结合网络系统的安全防护和监控需要，与实际应用环境、工作业务流程以及机构组织形式进行密切结合，在系统中建立一个完善的安全体系，包括企业级的网络实时监控、入侵检测和防御，系统访问控制，网络入侵行为取证等，形成综合的和全面的端到端安全管理解决方案，从而大大加强系统的总体可控性。

3.3网络层方案配置

在电信网络系统核心网段应该利用一台专用的安全工作站安装入侵检测产品，将工作站直接连接到主干交换机的监控端口(spanport)，用以监控局域网内各网段间的数据包，并可在关键网段内配置含多个网卡并分别连接到多个子网的入侵检测工作站进行相应的监测。

3.4主机、操作系统、数据库配置方案

由于电信行业的网络系统基于intranet体系结构，兼呈局域网和广域网的特性，是一个充分利用了intranet技术、范围覆盖广的分布式计算机网络，它面临的安全性威胁来自于方方面面。每一个需要保护的关键服务器上都应部署核心防护产品进行防范，并在中央安全管理平台上部署中央管理控制台，对全部的核心防护产品进行中央管理。

3.5系统、数据库漏洞扫描

系统和数据库的漏洞扫描对电信行业这样的大型网络而言，具有重要的意义。充分利用已有的扫描工具完成这方面的工作，可免去专门购买其他的系统/数据库漏洞扫描工具。

参考文献