网络安全管理体系建设(6篇)

网络安全管理体系建设篇1

为了提高税务系统广域网络网间通信的安全性，设计者根据税务系统信息安全体系建设的总体目标，提出了针对目前税务系统广域网络防火墙子系统的技术需求和工程实施需求。建设税务系统统一、安全、稳定、高效的信息安全体系，形成涵盖税务系统网络、应用和管理等信息系统各个方面的安全总体方案及安全策略，根据税务系统信息化建设进程制定税务信息安全体系建设的分步实施方案，逐步形成完整的信息安全保障体系。

税务系统广域网络概况

税务系统广域网络是金税工程的基础设施，由税务总局至各省级、地市级至所属区县级税务局的四级树状广域网络构成：

核心网络――核心网络采用光技术的宽带IP高速网，其拓扑结构为双星结构，分为主干层和接入层。核心网络采用POS技术组建。

省级网络规划――每一个省级税务机关独立组网，采用双星或星形结构，形成自己独立的管理域和路由域。

接入层网络规划――根据运营商提供的各类接入业务的资费情况及其特点，将分别采用不同的接入设计方案，如以太、SDH、DDN/FR、PSTN/ISDN、xDSL、VPN等。

业务专网与互联网通过防火墙实现逻辑隔离，并要求只在总局及省一级设置出口。

广域网间的访问关系如下：总局与各省级单位间可自由互访，其它单位按行政隶属关系实现总局、省级局、地市级局至区县局的访问（跨级别单位间的互访需经过一级或多级路由转发实现），跨行政隶属关系不能进行互访。

项目需求分析

本次税务系统广域网络防火墙系统建设的目标是通过在各地税务系统之间以及税务系统同其它合作单位连接处采用防火墙技术，防止外部网络对各个地市本地税务系统数据的非法使用和访问，监控整个网络数据过程。有效防止来自外部的攻击行为。限制对内部资源和系统的访问范围。通过在税务系统广域网络系统中设置防火墙的安全措施将达到以下目标：

1、保护基于税务系统广域网络的业务不间断的正常运作。包括构成税务系统网络的所有设施、系统、以及系统所处理的数据（信息）。

2、保证税务系统网络安全可靠的运行。

3、实现系统安全及数据安全。

4、税务系统的重要信息在可控的范围内传播，即有效的控制信息传播的范围，防止重要信息泄露给外部的组织或人员。

5、实现税务系统广域网络节点间边界的接入安全。

6、在用户和资源之间进行严格的访问控制（通过身份认证，访问控制）。

7、建立一套数据审计、记录的安全管理机制（网络数据采集，审计）。

8、融合技术手段和行政手段，形成全局的安全管理。

安全方案

面对上述这些风险，设计者根据各个税务局域网中具有不同安全要求的区域的安全策略可设置为不同的安全域。在省以上各个局域网内部可建立不同的安全域，保证安全风险的隔离：数据中心安全域，对数据中心进行专门安全保护；网络安全管理中心安全域，对网络安全管理中心进行集中安全保护；CA中心安全域，对CA、AA、KMC系统进行集中安全保护；其它业务安全域，对各个税务单位的应用业务领域进行安全分割和保护。同时选用了方正信息安全技术有限公司的方正FG系列防火墙为主构筑整个网络的安全体系。

*安全性：方正FG系列防火墙提供一整套访问控制/防护的安全策略，既最大限度的保证税务系统广域网络系统的安全性，同时保证防火墙系统本身的安全性

*高效性：该防火墙系统的实施能够最大限度保证税务系统广域网络系统的运行效率。

*高可靠性：产品采用软件、硬件结合的形式，保证系统长期稳定、安全运行；方正防火墙系统的实施不影响税务系统广域网络系统的正常运行与可靠性，同时系统本身必须是可靠的。

*可扩充性：采用模块化设计方式，方便产品升级、功能增强、调整系统结构。

*可管理性：采用基于windows平台GUI模式进行管理，方便各种安全策略设置，且支持可授权的集中管理。

*易实现性：方正FG系列防火墙的安装、配置与管理简洁，安装便捷、配置灵活、操作简单。

网络安全管理体系建设篇2

随着时代的发展，在当前的劳动就业服务管理体系中，网络信息技术的运用非常广泛，但在享受信息技术便捷性的同时，网络信息的安全问题也日益突出，想要真正解决这一问题，就要构建起完善的网络信息安全防护体系，因此，对单位网络信息安全建设的思路进行探讨非常有必要，本文主要从技术与管理两个层面进行研究。

1当前单位网络信息安全问题

在现阶段的劳动就业服务管理体系中，主要存在的网络信息安全问题有以下几方面：

1.1技术层面

第一，核心技术欠缺。当前我国在进行信息化建设的过程中，普遍借鉴国外的成功方法与技术，而欠缺自主性的核心技术，也正因如此，单位在构建信息安全防护系统时没有针对性，不能以单位实际情况为基础，进行相关软硬件平台的构建，系统中一部分加解密技术也大多源自我国对手国家。这便会在很大程度上降低单位的网络信息安全，容易被人监视与窃听，甚至可以对我国网络进行干扰与欺诈，使网络信息安全处于危险状态。第二，病毒感染威胁。病毒是计算机网络中常见的安全威胁，实际上也是一种计算机程序，很多计算机病毒都能够对计算机网络进行破坏与传染，且普遍具有潜伏性与隐蔽性，有些还能够变异。计算机病毒通常会以文件或磁盘作为载体，在计算机网络中传播，随着网络信息技术的快速发展，病毒种类与传播方式也呈现出多元化趋势，对单位网络信息的威胁越来越大。绝大多数病毒在进入到计算机网络中以后，都能够实现自启动，破坏计算机的程序与系统，并将其中的重要信息泄露出去。一旦计算机受到病毒感染，它就会成为攻击者的控制平台，对其硬盘这种的参数进行修改，也可以破坏网络信息系统中的重要数据，使网络数据无法完成正常传输，进而造成整个系统的瘫痪，这种现象在劳动就业服务管理体系中并不是没有发生过。第三，信息没有保障。在网络信息传输的过程中，一般会运用通信通道，而通信通道在整个安全系统中是相对薄弱的部分，因此，在传输信息时就很容易在通道中出现篡改与窃听情况，从而降低网络信息的安全性，侵害单位与用户的切实利益。

1.2管理层面

第一，安全意识滞后。在劳动就业服务管理体系中，一部分人没有真正认识到网络信息安全的重要意义，没有正视当前网络信息安全锁面对的严峻形势，认为网络信息发展速度太快，传统途径太多，网络信息泄密问题是不可避免的，而对网络安全体系的投资很难见到效果，没有建设意义，因此，只注重建设网络，却轻视网络安全。第二，管理机制欠缺。当前我国尚没有构建起健全的网络安全管理机制，虽然国家已经出台了一些相关法规，但仍然无法满足现阶段网络安全管理的管理需求，法规建立没有针对性、组织管理不完善、缺乏统一标准等问题，都阻碍了单位网络信息安全的发展，使得单位网络信息建设分散、功能缺乏、管理低下、资源浪费。第三，相关人才不足。随着网络信息的快速发展，劳动就业服务管理体系对相关人才与设备的要求也更高，但当前我国在这方面的人才还远远无法满足发展需求，而且，由于专项资金不足，相关设备的发展也相对缓慢，绝大多数网络信息系统都无法实现健全的安全保密建设。

2建设单位网络信息安全思路

想要真正解决当前网络信息系统存在的安全问题，就需要有针对性的从技术与管理两方面进行网络安全相关制度的制定。

2.1技术层面

第一，安装病毒防护软件。在劳动就业服务管理单位中，需要引入安装病毒防护软件来保证单位内部的信息安全。防火墙是现阶段各单位普遍运用的一种防病毒软件，主要存在于单位的内网与外网之间，运用相关的安全策略构建起软硬件的组成体，能够实现对单位内网与主题的保护。另外，防火墙还能够帮助单位系统实现网络安全隔离，以安全过滤规则为依托，实现对非法用户的有效控制，抑制网络中的外来攻击。另外，在系统中装置防病毒软件可以对系统中的病毒进行实时监测，及时发现系统中的异常情况，将传统意义上的被动杀毒转变为主动清除。一般单位会运用SNMP进行防火墙管理，也就是简单的网络管理协议，将其嵌入到交换机中，便能够从中心站对设备进行管理，还可以通过图形的方式对信息进行查看。第二，装置入侵检测系统。在劳动就业服务管理单位中，还需要引用入侵检测系统来保证单位内部的信息安全，该系统主要由硬件与软件两部分组成，当前单位中广泛运用的是规范滥用与静态异常两种模型，这两种模型都是以网络故障或服务器为基础的。入侵检测设备一般需要创建MySQL，通过身份验证以后，便可以进行入侵检测。日常管理时需要安排专门的检测管理员，定期对设备进行重启。根据实际网络环境，对检测接口进行定义，包括检测策略、阻断级别、事件报警、管理权限等。还需要进行模拟攻击，以确保入侵检测系统的性能完好。健全的入侵检测系统能够在很大程度上弥补防火墙的防护缺陷。

2.2管理层面

第一、针对人为可控因素的管理。从某种意义上讲，缺少安全管理是造成系统不安全的最直接因素。因此，必须制定一套完全的安全管理制。

（1）专注内部管理—对内网的监控。内部局域网的监控是通过监控服务器对网络中所有主机数据进行检测，并将网络中的数据收集到服务器，对正常数据流服务器不采取动作，当发现有敏感数据时即迅速将其隔离保存，再报警，网络管理员通过操作和检验后对用户电脑进行处理。

（2）兼顾外部管理—对外网的监控。除了要监控局域网内的数据，更需要对广域网和互联网的控制。要对单位内部的各种应用和流量实施不同的区分和限制，对FTP和BT等应用严格监管。第二，建立网络安全领导小组。成立安全管理领导监督小组，安全管理领导监督小组监督网络安全项目的建设并参与管理，负责贯彻国家有关网络安全的法律、法规，落实各项网络安全措施。建立完善的安全保障体系，如管理人员安全培训、可靠的数据备份、紧急事件相应措施、定期系统的安全评估及更新升级系统，确保系统一直处于最佳的安全状态。第三，启用相关科技与人才。在单位进行网络信息安全建设的过程中，要运用先进的科学技术，构建起高水平的网络信息安全体系，以提升单位中重要信息与数据的安全性。而二十一世纪的发展中，人才是单位中必不可少的发展要素，启用具有法律知识、网络知识、管理能力的综合性人才能够起到事半功倍的效果，单位还需要对相关人才进行定期培训，保证人才学习最前沿的网络安全技术，从而使单位中的网络信息更安全。

3结论

网络安全管理体系建设篇3

1.1技术层面

在技术层面，针对广泛的计算机网络系统的安全威胁，可以采取相应的应对措施.首先，设置防火墙是一般企业进行网络防御的基本措施，也是维护网络安全的重要措施.防火墙的试着一般是进行访问尺度的控制，将不可访问的IP进行阻挡，放行允许访问的IP，这样的方式可以有效的避免不安全的IP和软件的侵入和攻击.其次，在企业网络中设置关键部位的入侵检测系统也是十分有效的方式，对于网络中存在的异常行为进线检测并发出报警信息，不仅能够检测到网络入侵和攻击，还能检测企业内网之间的攻击，在很大程度上弥补了防火墙的不足和功能缺陷，更好的为企业进行网络攻击的防御.除了以上所说的系统防护之外，还有相关的物理隔离与信息交换系统，此系统可以将影响到局域网安全的VLAN进行隔离，阻挡了其与企业内网和外网之间的信息传递，这样的系统技术效果优于防火墙和入侵检测系统.在操作系统安全当中，对于很多不需要使用的端口，可以关掉.对于病毒的防护一般常常采用杀毒软件和系统检测软件相结合的方式，对系统整体的病毒进行查杀和漏洞扫描，时时保证网络运行的安全性，保证系统能够安全的运行，系统漏洞能够及时的更新并得到弥补.对于企业内部没有得到安全认证的移动设备进行监控，违反企业网络使用相关制度的操作也进行严加控制，将违法的监控设备进行相关的隔离，进行更多的网络隔离度保障，全面确保网络安全.技术方面的加强除了以上系统上的防患方法，通过网络反病毒能力的提高实现病毒和恶意攻击的防护之外，还应当研发并完善高安全的网络操作系统，研发网络系统的操作更加人性化和高安全性能的网络操作系统，做到系统软硬件之间更加完善的配合.

1.2管理层面

计算机网络系统的安全管理，除了技术层面上的完善之外，还要加强管理层面的建设.对于计算机安全保护法律、法规的力度也是十分重要的，只有做到技术防范与相关法律法规的双项管理，才能保证计算机网络安全效果更好的实现.计算机网络的安全管理，首先要建立安全管理机构，加强计算机网络的立法和执法管理，进行相应的计算机用户的安全教育，提高计算机用户的道德意识和安全意识，防止计算机犯罪行为的发生，还可以更好的预防计算机黑客的攻击，计算机网路安全管理能力的加强也是十分重要的.计算机安全法、犯罪法、数据保护法等的教育和普及也是很重要的.维护计算机网络和系统的安全，进行更多的计算机安全教育让使用人员更好的进行使用之外，还应当建立相关的维护和管理制度，对于计算机的使用进行严格的管理、控制，对资料、机房等都应当设有专门的安全保护方案，进行严格的分工管理和等级管理制度，将企业内部的计算机使用严格的控制起来，保证计算机网络的全面安全.

2计算机网络安全防范体系的建立

企业要加强计算机网络安全管理能力，最好的办法就是建立计算机网络安全防范体系，完善的安全管理体系是保证计算机网络安全的有效手段和措施，从全局的观念入手，进行企业计算机网络系统的全面监督和控制，这样的方式可以起到最佳的效果，要实现计算机网络系统全面的安全维护，建立完善的网络安全体系是非常有必要的.计算机网络安全防范体系的建立是企业信息化发展的未来趋势，是计算机网络安全环境创造的重要措施，企业要实现信息化和现代化的管理，就必须建立完善的计算机网络安全防范体系，以确保计算机网络环境受到全面的监控和管理，全面杜绝安全隐患的产生.计算机网络安全防范系统的建立，有很多值得注意的方面，要结合企业的实际情况进行相应的计算机系统是设计，构建适合企业自身需求的信息安全和网络防御系统，以下就安全防御系统建立需要注意的几点进行具体的讨论与介绍:首先，企业网络应当进行相应的分区，例如企业的生产专用网络要与企业其他专用网络进行相应的隔离，这样是为了防止其中一个专用网络受到病毒感染或者攻击时，其他专用网络不会受到影响和牵连，将外部攻击和威胁可能造成的伤害降至最低.其次，在网络防范系统的建立中还应当注意企业信息安全等级的划分，对于企业的机密信息和重要信息应当进行特别设置，进行信息不同重要程度的划分是为了设置不同的信息使用权限，进行重要信息更多的安全防护，使用不用的安全区域对不同安全等级的信息进行相应的安全管理和设置.同时，在计算机网络安全系统建设中，相应的防火墙以、物理隔离以及入侵检测等系统技术防护措施要坚持使用，用于保证企业系统的正常运行.还有，企业内部的网络流量也应当有相应的规章和要求，进行流量的使用限制，保证企业内部网络的畅通和稳定.最后，对于企业内部的系统使用应当进行相应的授权和控制，只有正规的授权管理，才能保证企业内部信息使用的更多安全，企业内部系统能够更加正常稳定的运行.总而言之，要实现企业计算机网络安全系统的建立，加强企业网络安全的管理能力，除了实现计算机网络防护软件和硬件设施的完善管理，实现技术管理与行政管理的资额调和做之外，还应当建立层次分明的网络保护系统防范体系，对于企业的网络安全系统应当结构应当形成结构完整、由核心到各层次的完美配合，内外之间的严格限定和系统保护措施的完善执行，加强企业的层次网络保护机制建设，将企业网络进行内网和外网的隔离，进行专用网络的隔离，进行安全等级的设置等，并结合先进的网络防护技术和完善的计算机网络管理措施，进行企业计算机网络有层次、有规范的管理，实现计算机网络安全系统安全系数的全面提升.

3结语

网络安全管理体系建设篇4

【关键词】数字化；网络安全；网络管理

0.引言

为响应和贯彻上级的气象信息化建设步伐，推进气象局域网和气象局域网数字化建设，构建服务全社会的气象信息网资源共享平台，大力扩充网络资源库，实现资源共享。北海市气象局制定了相应的数字化网络规划，在网络建设方面更是下了很大的工夫。于2001就开始建设各种类型气象业务和气象服务网，在网络建设上，同全国其他地方一样，都采用了较为先进的设备，建成后的网络体系结构较为完善。但是存在“重技术、轻管理”的思想倾向，使气象网的管理不容乐观。因此，如何提高校园网管理水平，规范网络管理，使其适应网络技术和应用的新变化，就成为一个极具现实意义的问题。笔者作为一普通的气象工作者，对自己所在的单位的网络系统进行实证研究，通过分析，提出现阶段网络系统管理中存在的一些问题并提出自己的几点建议。

1.存在的问题

1.1网络设备繁杂，管理困难

我们单位各种网络设备种类繁多，有PC机、交换机、路由器、服务器和工作站等，设备的型号和规格也各不相同，分布在大院各个地方。室外设备也比较多，像包括通信光缆、电缆等。室内设备有各种交换机，服务器等。这些设备的管理都十分的困难，可能发生被盗、破坏、损坏等情况。一旦发生问题都有可能引起整体网的瘫痪，影响正常业务的进行。

1.2网络中心本身的管理能力不足，大院网络管理体制不合理

随着网络建设快的速发展，网络的用户群体迅速膨胀、在我们单位用户人群多达数千人，对于院网的日常网络维护这一块缺口很大，我们网络中心在编只有2个人，除了要承担单位所有网络硬件的维护，管理；业务区，服务区网络故障的处理，还要承担每个科室的网站建设，网络服务各种平台的应用，工作量相当的大。再者，由于对网络应用也日趋增多，很多单位的管理层都简单地认定应该把各种与网络有关的应用的平台归并到网络中心，把所有与网络有关的业务交给中心去执行。但真正要做的时候，很多相关部门又不给予配合，这样造成了管理机构专业分化程度低，分工不明确，身份职责不明，缺乏合法性，使得网络应用的一些平台无法有效推行。

1.3网络覆盖面迅速扩大，服务保障能力不足

相对于高带宽、范围广和数据量大的气象网，单位对服务保障体系的投人与实际需求差距巨大。在当前单位内还没有大量引入社会力量提供服务的背景下，单位只能以有限的投人来提供有限的服务。用户群体和服务保障群体的比例相差很大，在在大多数的网中，网络中心的工作人员很少，技术人员缺乏，没有条件管理和维护大量的PC机、交换机、路由器、服务器等设备安全，对于单位所有的机房的网络安全也很难做到全面的监控。

1.4用户群体特殊，网络安全管理困难

随着互联网的发展和互联网的技术开放性及共享性的影响，互联网攻击的手段也越来越简单、攻击工具的功能却越来越强。很多用户通过网络在线看电影、听音乐，很容易造成网络堵塞和病毒传播。另外，大院内有很多计算机技术水平比较高的用户，对网络方面的技术有着很强烈实践的想法，他们会试着使用自己从网上学到的或者研究的一些攻击技术，这可能会造成某台服务器的宕机，这种有时会意无意地破坏整体网系统，会造成整个网的瘫痪，干扰整体网的安全运行。所以面对院网的安全管理不仅要注意防止外部网络对院网的攻击，还要注意防范院网内部的用户黑客的攻击。

1.5专业技术人员比较缺乏，能力水平有限

由于编制的限制，单位网上没有采取正确的安全策略和安全机制，缺乏比较先进的网络安全技术、工具手段和产品也是威胁网络安全的重要因素。

2.加强网络管理的几点思想

2.1加强人员培训，建设专业化的网络人才梯队

网络技术人才除了网络管理员、信息开发人员等专业技术人员外,还应包括每一个用户，一个好的应用系统若没有得到各个用户的广泛应用，也很难发挥其最大的功能和特点。专业型人才梯队的配备是网络有效管理、网络设备充分发挥应有性能的可靠保证，若没有专业型人才为后盾，就难以设计出超乎想象的独具特色的网，管理和开发的最终目的是各种平台的建设和应用，良好的计算机应用水平也离不开人才梯队的建设。

2.2建立多层次网络管理体系

统一规划网络建设和管理工作，将网络规划纳入建设的总体规划中去。

2.3加强网络安全管理

网络安全管理需要制定一整套严格的安全政策，以管理手段为主，技术手段为辅，按照国家和本部门有关信息安全的技术标准和管理规范，对数据管理和系统流程的各个环节进行安全评估。首先，对于网络硬件设施要定期维护，对安全防护的软件要即时升级或更新。其次，建立多层次的网络安全防护体系。安全威胁主要来源于两大方面，一方面是来自于网内，另一方面来自于网外。开放的网络环境，活跃的用户群体，使得很多网络成了攻击者的首选对象。据统计，网络病毒攻击20%来自外部，80%来自内部网络。建立一个集入侵检测系统、安全漏洞扫描、防火墙系统和防病毒系统于一体的多层次、全方位的网络安全防护体系才能有效的防护网络安全。这种分层的网络安全防护技术具体来说包括攻击检测、攻击防范、攻击后的恢复这三大方向，每一个方向上都有代表性的技术手段和安全产品。在建立了这种多层防护的安全体系以后，即使网络中的入侵检测系统失效，防火墙、安全漏洞扫描和防病毒软件还会起作用。

网络安全管理体系建设篇5

关键词：湖南烟草；信息系统；安全；总体目标

经过多年的信息化工作，目前湖南省烟草行业已经建立起全省的计算机网络信息系统。全省信息网络系统建设包括各市级分公司局域网和省域网建设。局域网建设方面，全省包括省局（公司）机关、白沙物流中心、市级分公司、县公司都已完成了局域网建设，省域网络的建设也规划完毕开始实施。省公司办公区域白沙物流中心机房通过千兆裸光纤相连，白沙物流以及各个市级分公司通过专线连入电信MSTP专网。省公司、白沙物流中心机房和14个市级分公司都有Internet接口，并且可以通过10MVPN相连接作为备份链路。市级分公司与其下属的县级分公司之间通过电信MSTP专网相连接，同时还有一条2M的ADSL备份线路。省公司及14个市级分公司分别购买了2台IBM小型机，是全省烟草信息系统的核心设备。

一、湖南烟草信息系统安全现状

目前，在进行安全系统建设初期，全省整个烟草行业网络安全体系非常薄弱，基本上没有建立完善的安全防范体系，因此安全问题非常突出。总体情况来看，各个市级分公司仅仅有防火墙，无其他的安全防护设施。省公司和各个分公司在信息安全方面均各自为政，没有采取统一的有效的安全策略和防护措施。还有，虽然省公司、部分分公司采用了病毒防杀软件，但是没有覆盖全网的网络防毒系统，缺乏统一的管理和控制，因此病毒问题显得尤其突出。下面列出了已有的安全设施和措施：

（一）物理与链路层安全设施

在湖南烟草信息系统系统建设中，现有的物理与链路层安全设施如下：

1、物理安全方面：

通过对省中心机房和各个市级分公司机房的改造，增加了包括门禁、录像监控等等安全设备。另外加强了多种安全防护措施，包括：防火、防水、防静电、电源安全等等新的设备，使全省网络的物理安全性基本满足了现阶段的需求。

2、数据传输链路安全方面：

目前的信息系统建设过程中，采用了CiscoPIX防火墙建立VPN链路，而且在网络主干路上采用MPLSVPN技术，使得：信息在传输过程中保持保密性、完整性、可靠性，防篡改，采用IPSEC加密技术和产品，对敏感数据的传输进行加密，同时对传输双方的身份加以鉴别，从而达到安全保密性以及完整性的要求。

省域网（MSTP）的链路为主链路，通过Internet的VPN链路为备份链路，在主链路发生故障的情况下，及时采用备份链路，最大程度的保障网络的可用性，保证相关信息的传输不受到人为、物理的其它因素的影响。

结合湖南烟草的实际情况来看，从物理与数据传输链路层的安全设施可以看出，当前信息系统的建设主要侧重于保障网络系统的可用性，在此基础上综合考虑完整性以及保密性的要求。在今后的安全系统建设中，也要遵循这个原则。

（二）网络层安全设施

在湖南烟草网络平台现有的体系中，网络层的安全设施主要包括以下内容：

优化整个网络的安全

骨干网络采用MPLSVPN技术，不同地市的不同业务网络，统一地市的不同业务网络，不同地市的统一业务网络抖逻辑隔离。不同的业务网络可以独立管理QOS。省中心和各个市级节点可以相互访问，但是市级节点不可以相互之间访问。

防火墙

防火墙是用于隔离信任网络与不信任网络的有效工具，在省公司、白沙物流信息中心、各个市级分公司网络的Internet出口处部署PIX防火墙，可以隔离内外网，设置NAT等等安全策略，不仅仅节省了公网IP地址，而且隐藏了内网的网络结构，屏蔽了大多数的网络攻击，免收外来侵扰。

VPN

通过PIX防火墙通过Internet建立VPN链路，实现分公司与省公司之间通过Internet进行备份数据传输通道以及移动用户拨入省公司内网的安全加密措施。

网络安全监管与故障处理

目前已经采购了多种网络管理软件，包括CiscoWorks管理软件（设备管理模块、VPN管理模块、无线网络管理模块），可以管理所有的Cisco设备。ACS安全认证管理软件，用于建立和管理全网的身份认证系统。Sniffer软件，用于监控网络流量，发现、分析、排除各种网络故障。还有IBM的TivoliEnterpriseConsole管理管理软件，带有TivoliNetview模块，可以检查并长期监控多种网络设施的运行状态。

通过这些工具建立网络管理系统，实现对全网关键网络设备的运行状态、链路的情况进行实时监控与管理，及时发现网络故障情况，并采取相应的响应报警机制，马上通知管理人员进行处理，尽量保障网络的可用性。

（三）系统层安全设施

在湖南烟草网络平台现有的体系中，网络层的安全设施主要包括以下内容：

主机安全监管

通过IBM的管理软件TivoliMonitor，对关键主机和服务器系统的运行状态、资源的使用情况、安全日志等进行监管，及时发现系统的异常行为和故障，保障主机与业务系统的可用性。

系统冗余和备份

通过对关键的主机应用系统建立相应的系统冗余与备份措施--服务器双机热备等措施，最大程度保障主机系统的可用性，最大程度的保障烟草业务的连续性。

（四）应用层安全设施

在湖南烟草安全系统建设过程中，应用层的安全已经包括：

建立了全省数据备份中心，所有的省、市各级公司的业务数据每日备份到了省数据备份中心，有效地建立数据的本地在线备份以及异地远程备份的机制，确保数据在意外情况下的及时恢复，建立灾难和应急相应机制。

通过TivoliMonitoringforDatabase实时监控数据库以及应用系统的关键性操作，并且对意外事件提供反应措施，从而进一步增加对网络及信息资源的可控性；

通过TivoliMonitoringforWebInfrastructure，对关键应用和业务系统的运行状态进行监管，及时发现并排除应用故障问题，保障业务的连续性。

目前湖南烟草的信息安全管理的技术平台和管理制度，都已经具备了简单的雏形，但是还不能满足现有的网络安全需求和今后的进一步发展，还有待于进一步的加强。虽然湖南省烟草信息安全系统的建设已经开始起步，也具备了一定的安全防护能力，但是整体的安全防护还有很多的需求没有得到满足，尤其是网络层的防护，还有很多的安全设施没有到位，远远没有达到国家烟草总局在《烟草行业计算机网络和信息安全技术与管理规范》所提出的"纵深防御体系"和"动态防护"的要求。

二、湖南烟草信息安全建设总体目标

针对湖南烟草的现状以及安全需求分析，提出在湖南烟草信息安全系统建设的总体目标描述如下：

基于安全基础设施、以安全策略为指导，通过统一的安全管理平台，提供全面的安全服务内容，覆盖从物理通信到网络、系统平台直至数据和应用平台的各个层面的安全需求，构建全面、完整、可靠、高效的省行业信息安全体系构架。从而在烟草行业信息化整体发展的基础上，极大地提高湖南省烟草行业的整体安全等级，为保障烟草行业的健康发展提供坚实的信息安全保障体系。

可以分解为以下四个具体目标：

网络和系统实体的可用性以及抗攻击性；

信息的安全性、保密性和可靠性；

系统安全的可管理性；

整体系统运行状态的可控性；

安全需求是建立良好的安全体系的前提条件，我们从湖南烟草行业网络系统得实际情况出发，根据对用户网络系统脆弱性以及安全威胁的风险评估，结合湖南烟草安全系统的总体建设目标，我们把整体的安全需求根据不同的侧重点，从信息安全管理体系、物理与链路层安全、网络层安全、系统层安全、应用层安全等五个方面进行充分的考虑。安全需求涵盖了整个信息系统的每个层次，具有一定的纵深性和涵盖面，其中安全管理部分我们认为是非中重要的一项，因为完善的安全防御体系是以各类安全技术的应用加以安全管理贯穿于始终，才能实现安全系统的良好运作发挥其性能。信息安全保障体系各层次的安全需求目标具体描述如下：

（一）物理与链路层安全需求目标分析

在湖南烟草安全系统建设中，物理与链路层安全需求阐述如下：

考虑到大量内部的数据跨过广域网（如Internet、电信省域网等）进行传输，可能被它人窃听和破坏，因此对数据的传输的安全具有以下需求：

信息在传输过程中保持保密性、完整性、可靠性，防篡改，拟采用相关加密技术和产品，对敏感数据的传输进行加密，同时对传输双方的身份加以鉴别，从而达到安全保密性以及完整性的要求。

关键信息传输的链路必须通过备份链路等方式，保证相关信息的传输不受到人为、物理的其它因素的影响。

对系统中的关键应用以及关键的网络连接建立相应的安全机制，如建立备份通道，以便在主通道发生故障的情况，及时采用备份通道，最大程度的保障网络的可用性。

（二）网络层安全需求目标分析

网络层是网络入侵者进攻信息系统的渠道和通路，因此许多安全问题都集中体现在网络的安全方面。在湖南烟草网络平台安全体系中，安全需求主要包括以下内容：

网络安全优化

主要是对系统中不同网段的、不同功能要求以及不同的安全等级的区域的划分，同时根据不同的安全级别，针对性的制定各区域之间的访问控制规则。主要是对现有的网络设备加强安全策略配置如访问控制列表，进行严格的访问控制，并对核心网络设备进行相应的安全设置。

防火墙

防火墙是网络层安全领域最成熟、使用最广泛的技术，用于隔离信任网络与不信任网络的有效工具。需要在全省各网络中部署防火墙隔离内外网，设置各级安全屏蔽，将全网在网络上分割为相对独立的子网，免收外来袭击。

网络入侵防护与相应的安全审计系统

建立全网网络入侵防护检测与相应的安全审计系统，及时监测、拦截并记录来自外部和网络其它部分的黑客入侵行为，拒绝服务攻击，违规操作等，并能对相关入侵行为进行多个日志系统的关联分析，排除虚假的报警信息、过滤掉低风险事件，得到最准确的关键安全事件信息。

VPN

建立VPN链路，实现分公司与省公司之间通过Internet进行备份数据传输通道以及移动用户拨入省公司内网的安全加密措施。

（三）系统层安全需求目标分析

主机服务器系统是整个应用业务的基础平台设施，因此其安全性会影响到整个应用业务系统能否正常的运营。在湖南烟草安全系统中，系统平台的安全建设主要有：

主机系统漏洞扫描与加固

采用安全扫描技术，对烟草系统中关键的主机和服务器进行定期漏洞扫描与评估，针对相关的系统漏洞，自动提出修补的措施，并定期进行相关操作系统的裁剪、修补和加固的工作。

操作系统安全

通过使用主机访问控制等技术措施及手段，对系统中的主机与服务器系统严格划分、管理、控制用户的权限和行为，增强操作系统的健壮性以及安全性，使操作系统达到更高层次的安全级别。

网络病毒防杀系统

建立全网的病毒检测与防范系统，及时检测和控制各种文件、宏和其它网络病毒的传播和破坏，具有集中统一的管理界面，系统具有自动升级，自动数据更新，可管理性等特性。

主机安全监管

通过网络安全综合管理，对关键主机和服务器系统的运行状态、资源的使用情况、安全日志等进行监管，及时发现系统的异常行为和故障，保障主机与业务系统的可用性。

（四）应用层安全需求目标分析

应用平台安全是系统最终保障的目标，数据的保密性、高可靠性和防篡改等特性，以及应用系统对于系统功能和相关数据的严格控制，将成为整个应用和数据安全体系的主要需求。在湖南烟草安全系统建设过程中，应用安全需求具体包括：

建立PKI/CA体系，为应用安全提供认证、加密、数字签名、数据完整性等功能和服务。

有效地建立信息资源的标记、加密存储和保管机制。考虑应用层对传输数据进行加密。

建立全省数据备份中心，有效地建立数据的本地在线备份以及异地远程备份的机制，确保数据在意外情况下的及时恢复，建立灾难和应急相应机制。

实时监控数据库以及应用系统的关键性操作，并且对意外事件提供反应措施，从而进一步增加对网络及信息资源的可控性；

通过网络安全综合管理系统，对关键应用和业务系统的运行状态进行监管，及时发现并排除应用故障问题，保障业务的连续性。

从上述湖南烟草安全系统的建设需求分析中可以看出，整个系统的建需要包含从安全管理体系、物理与链路安全、网络安全、系统安全以及应用安全等五个方面的要求，结合了从管理到技术的各个层次。根据湖南烟草计算机网络系统的实际情况，现阶段的建设重点是解决网络安全和网络的高可用性，解决网络系统在信道传输、访问控制、运行保障以及与外界的网络的互连接口等方面的安全问题。最终按照国家烟草总局的相应安全规范，建设一个集策略、防护、检测、反应为一体的，基于国际先进的P2DR（策略/Police，防护/Protection，检测/Detection，反应/Response）模型的、动态适应的计算机网络安全防护体系。

参考文献：

[1]李红等.管理信息系统开发与应用[M].电子工业出版社出版社.2003年：8页

网络安全管理体系建设篇6

论文关键词：金融信息系统；灾备中心；网络；生产中心；安全

0、引言

随着我国金融体制改革的不断深入和金融业的快速发展以及全球经济一体化进程的加快．我国商业银行逐步完成数据集中与新一代综合业务系统的推广．业务自动化处理程度与管理水平进一步提高。从长远发展以及确保其安全、连续、稳定运行等方面考虑．建设金融信息系统灾备中心以保证数据安全和业务连续性是非常必要的．有利于各银行增强抵御金融风险能力、提高金融服务水平、增强国际竞争力。而建设先进、可靠、稳定的网络是业务系统运行的基础，也是为系统提供必要的安全保障。

本文从工程建设的角度．并结合在金融信息系统灾备中心网络运行维护的实际经验，对数据集中程度高、分支机构多的金融单位灾难备份中心网络建设提出了一套切实可行的技术方案。

1、建设目标

金融信息系统灾备中心网络建设目标是构建能够适应金融业务和应用发展要求的高可靠、高性能、可灵活扩展、安全可控的网络公用基础设施。灾备中心网络的服务模型如图1所示。

灾备中心网络建成后。作为系统的备用网络节点，可为业务系统在以灾备中心为辅的运行提供通信服务．同时还应具备与生产中心、灾备中心共同为业务系统的连续性提供保障的能力。

灾备中心网络结构能够满足接替生产中心运行的网络需要．且具备灾难备份保障功能．建设生产中心和灾备中心之间互连的高速数据通道，可用于备份数据的传输，辅以网络切换功能，保障业务运行的连续性．提高整个系统的可用性。

构建面向应用和系统的服务网络．为金融信息系统中的各应用系统提供统一的基础网络服务平台。

根据业务类型、功能要求、安全等级等因素。进行安全域、功能化、层次化和模块化分区，从而构建出满足业务系统要求、且具有一定先进性的数据中心。

构建完善的灾备中心网络安全体系：利用主动防御与被动防范相结合的安全技术。形成从网络边界、内部网络到系统的多层面的整体纵深防御体系，具备信息加密、入侵检测与防范、病毒防护、访问控制、身份认证和安全审计等功能。

部署统一集中的网络管理中心和安全管理中心．能对整个金融信息系统网络和安全状况进行统一的管理和监控。

2、设计原则

(1)高可用性

统一的、标准化的网络架构；结构化、模块化的设计方式：通过高可靠的网络部署(包括链路和设备的冗余，尽量避免单点故障)以提高网络的可用性；采取功能、对象、风险、控制的层次性划分，降低网络故障的影响区域，提高整体网络可用性；选用成熟稳定的网络设备和网络技术。

(2)高安全性

灾备中心系统结构设计必须根据不同应用系统特点和业务数据敏感度实施不同的安全防护措施．确保数据中心各类业务系统的信息安全。

遵循中国人民银行安全规范：制定和实施贯穿整个灾备中心网络的统一安全策略：具备对灾备中心内的服务器、存储设备和用户提供相应的安全防护和控制的能力：网络基础设施自身具备安全防护能力。

(3)高灵活性、高可扩展性

近年来。我国金融信息系统的建设呈现出”数量越来越多、规模越来越大、系统结构越来越复杂、数据安全性要求越来越高、运行责任越来越重大”的特点。因此。灾备中心网络的总体结构设计要具有灵活的扩展性．既要满足今后新系统上线运行的要求。也要满足每个业务系统处理能力的扩展性的要求。

具备网络容量的扩展能力。能满足服务器数量、用户数量和数据流量的增长需求；具备适应上层应用模式变化的能力，既满足现有的应用模式．又能满足多层次的应用模式对网络服务和网络结构的要求；能适应安全策略的变化，可灵活划分安全等级，部署安全措施；符合世界技术发展趋势，能向未来可能采用的技术架构平稳过渡。

(4)便于运行维护和管理

强大的网络管理平台；提供带外管理网络支持，特别为紧急情况下提供增强的管理渠道；相对统一的设备类型和型号；充足完备的网络分析工具；充分考虑灾备中心运维管理流程的需要。

(5)先进性

采用先进的高性能网络产品和相关技术．以满足灾备中心未来5年业务快速发展的需求。

3、解决方案

(1)网络体系结构

根据灾备中心不同的服务功能．灾备中心网络在功能上分为核心交换区、生产区、管理区、mis服务区、内联接人区、外联接人区、开发，测试区和internet接人区等区域。灾备中心网络体系结构如图2所示。

(2)灾备中心网络逻辑结构

灾备中心网络的逻辑层次有三层：核心层、分布层和接入层。核心层的主要功能是负责各个分布层数据的高速转发：分布层的主要功能是为接人层提供网络服务：接入层的功能是向最终用户和设备提供接入。分布层和接入层可以根据应用、管理功能和安全要求划分为若干模块。

各个层次的功能是：

核心层是灾备中心内部高速的三层交换骨干．该层不进行终端系统的连接．不实施影响高速交换性能的安全访问控制策略。

分布层作为接入层和核心层的分界层．该层完成的功能包括：区内vlan问的路由；区内i王’地址或路由区域的汇聚：实施安全访问控制策略。

接人层提供layer2的网络接入．通过vlan定义实现接入的隔离。该层具有的主要特点是：根据实际使用情况规划接入端口容量。并具有一定的扩展性；不同功能分区的接人层相对独立；不同类型的接人层应各自分开，连接到对应功能区的分布层：为实施qos。对数据包进行分类和标记。

各层之间的连接：

上述每一个层次结构内部需要采用冗余的架构来保障该层功能的稳定可靠。

在相邻层次之间．同样需要采用冗余的连接(物理连接或协议)来保障各层次结构之间的稳定可靠。

网络扩展时．核心层和分布层的架构保持不变，接入层可以随接人需要扩展。

物理实现时．分布层和接人层设备可以合并。

(3)灾备中心信息安全体系设计

灾备中心信息安全体系的建设目标是以信息安全标准为依据．建立一套具有统一安全策略、纵深防御能力、监控和审计功能的信息系统平台．具有可持续建设能力的业务系统支撑平台和具有高效率的网络通讯平台。信息安全体系的建设在确保网络通讯畅通的同时最大限度地保护核心业务系统的安全。通过技术、人员、管理等方面的综合建设、保障最终使灾备中心的信息系统达到保密性、完整性、可用性、可控性、抗抵赖性的要求。灾备中心网络的信息安全体系结构如图4所示。

为达到信息安全建设的总体目标．灾备中心信息安全体系分为七个方面：信息系统安全技术和安全服务；基于安全域的纵深防御体系；安全管理体系；安全法规；信息安全技术保障；信息安全策略和审计：信息系统基础设施。七个方面的内容可划分为”四个层面。两个支撑。一个确保”。

第一个层面为信息安全技术和安全服务。在这个层面上描述灾备中心信息安全建设中采用的安全技术手段和实现方法．以及这些技术提供了鉴别、加密、访问控制、完整性、抗抵赖等信息安全服务。从技术实现的角度落实信息安全要求。确保灾备中心信息安全。

第二个层面为基于安全域的纵深防御体系。在这个层面上主要从系统设计的层次描述了贯彻信息安全要求的设计、规划理念．从网络边界安全到内部局域网网络安全以及计算机系统的安全综合考虑。统筹规划。在网络和计算机等相关系统的设计过程中充分考虑信息安全的总体要求。

第三个层面为安全管理。在这个层面上要认真树立信息安全理论中”三分技术。七分管理”科学管理理念，建立符合灾备中心实际的协调、高效、可行的管理制度。把人员管理放在首位。加强以人员教育为主要手段的社会工程学管理。巩固信息安全。同时制定风险管理、安全评估、应急响应和灾难恢复等相关制度。

第四个层面为安全法规和制度。在这个层面上要以国家的有关信息安全的法律、法规、标准为依据．指导灾备中心的信息安全建设．同时落实中国人民银行关于信息安全建设的相关要求。在这个层面还体现了各级领导、信息安全管理部门在信息安全建设中的主导地位和重要作用。信息安全建设要依靠标准、法规、制度，政策，依靠领导关心、指导、协调，依靠所有部门齐心协力、齐抓共管．依靠全体员工同心同德。群策群力才能确保成效。

以上四个层面由低到高描述了信息安全建设的基本思路。

除了四个层面的内容外．信息安全保障、信息安全策略和审计起到支撑作用，保障信息系统建设和稳定运行。信息安全保障主要从技术、人员、工程、管理的角度建立有效的信息安全保障技术和保障制度。依靠准则和标准建设灾备中心的信息系统工程：依靠人员借助技术手段对灾备中心庞大、复杂的信息系统进行操作、运行和维护。为灾备中心的信息安全系统以及各个业务系统提供强有力的技术支持：依靠制度和技术手段对信息安全事件进行有效地发现、分析和处理。信息安全策略和审计主要起到统一规划。加强审计、监督的作用。利用审计手段明确责任，定位责任．巩固信息安全建设。在信息安全的建设和规划中落实”职责分离．最小授权”的信息安全原则。

最终．确保灾备中心整个信息系统的安全、稳定、高效的运行。实现信息安全建设的目标。

4可行性分析

方案分析主要包括网络可靠性分析、网络安全性分析和网络扩展性分析等方面

(1)网络可靠性分析

灾备中心网络的可靠性应能满足业务稳定运行的要求．具体分析如下：

线路的可靠性

灾备中心网络的线路主要包括：灾备中心网络内部连接；灾备中心网络的内联和外联接口等。其中：灾备中心网络由局域网交换机构成．基本上功能相似的一个或一组交换机均与骨干交换机保持2个连接．避免线路的单点故障。内联区提供的广域网接口．针对每个分支行提供2条不同电信运营商的电路．外联接口同样为外联机构提供2条不同电信运营商提供的电路。如采用光纤接入方式的atm电路，每条atm电路的可用率为99．9％．因此总体广域网线路的可用率大于99．96％。

网络设备的可靠性

灾备中心网络设备采用中高档设备．关键设备不仅配置冗余电源，还配有冗余的处理模块、冗余的总线等。设备自身具有很高的可靠性。同时，对生产区等关键区域，还采取l：1热备份，进一步提高了整个网络的可靠性．应完全能够满足业务系统对可靠性的要求。

(2)网络安全性分析

为保障灾备中心业务系统的安全．采取了多种网络安全措施。部署了多种网络安全产品。采取了相应的网络安全管理技术手段。主要有：在外联区采用防火墙进行安全隔离．对进出灾备中心的访问进行控制。内部各区域之问也部署防火墙．对内部区域问的数据流向和访问进行较有效的控制：每个区域均部署ids、漏洞扫描系统，作为主动防御的技术措施，对系统漏洞、数据和访问进行监控：敏感数据采取加密措施．可防止泄密的产生；建立统一的防病毒系统，尽可能将病毒维护减少到可接受的水平；部署认证系统。对用户权限进行必要的管理：建设网络安全监控和安全分析系统．综合监控和分析各种安全设备产生的日志等信息。可比较全面地对网络安全进行管理；集中的审计系统，以从网络、系统和安全等三个层面。对操作行为进行跟踪和记录。减少违规行为产生的危害。这些安全措施。可建立主动和被动相结合的纵深防御体系．对业务系统的安全运行起到积极的保障作用。

(3)网络扩展性分析

网络扩展性主要体现在：

通信容量的扩展

按照方案的配置。连接各分支行和外联机构的接口。可满足每个分支行及外联机构以2条atm电路接入的要求．平均每条atm电路的速率不低于2mbps，在业务量增加后，如总计业务量不超过155mbps，可逐步扩容pvc带宽满足业务需求。如总计业务量超过155mbps，可根据需要。增加atm接口的数量。

支持业务系统的扩展

灾备中心网络采用了以安全域进行分区、在分区内按系统类型进一步划分子区的设计思想。新的业务系统按其安全等级可部署在相应的安全域(区)内，系统(如前置、服务器等)在连接到子区内．基本上不需要改变数据中心网络的结构。因此在这种思想下设计的数据中心具有较强的业务扩展能力。

5、结束语