网络安全建议书

网络安全建议书

网络安全建议书1

亲爱的同学们：

随着网络时代的到来，以信息技术为代表的科学技术迅猛发展，越来越多的人利用网络从事研究、传递信息、交流情感，互联网得到迅速普及并逐渐渗透到社会生活的各个领域，也成为青少年学习知识、获取信息、交流思想、休闲娱乐的重要平台。

但互联网上信息量大，内容繁杂。

网上的腐朽文化，对青少年的人生观、价值观、道德观进行腐蚀；网上的黄色流毒，对青少年的身心进行摧残；网上的暴力文化，对青少年的行为进行误导。

一些青少年因受到网络的负面影响，身心健康遭到极大的损害，走上了犯罪的.道路。

为了教育引导学生养成健康文明的网络生活方式，向全班同学发出“文明上网、健康上网，做网络时代好公民”的建议：

一、要认真学习、贯彻和践行以“八荣八耻”为主要内容的社会主义荣辱观，坚持文明上网。

二、互联网作为崇尚科学知识，传播先进文化，塑造美好心灵，弘扬社会正气的主阵地，小学生有责任和义务来共同营造积极向上、和谐文明的网上舆论氛围。

三、从自身做起，在主观思想上建立一道防线，抵制网络上反动、腐朽、不健康的内容对自己精神上的侵蚀，树立与之斗争的信念与决心。

四、努力学习网络知识、技能，提高操作水平，自觉维护网络安全，建设网络文明，勇做倡导和维护网络安全的先锋。

五、同学上网要做到“三不”和“三上”，即：不进营业性网吧；不进色情、垃圾网站；不沉迷于网络游戏；健康上网，把网络作为获取知识的园地；文明上网，正确处理上网与学习的关系；绿色上网，熟悉上网的安全通道。

同学们，让我们信守建议，从现在做起，从自我做起，坚持自尊、自律、自强，努力弘扬网络文明，遵守《全国青少年网络文明公约》，自觉远离网吧，追求健康时尚的网络新生活，为社会的和谐健康发展做出自己的贡献！

建议人：XX

20xx年X月X日

网络安全建议书2

社会各界朋友们：

为帮助公众更好地了解、感知身边的网络安全风险，增加网络安全知识，提高网络安全防护技能，保障广大网民合法权益，共同维护国家网络安全，中央网信办、中央编办、教育部、科技部、工业和信息化部、公安部、中国人民银行、国家新闻出版广电总局、团中央、中国科协十部门决定于20xx年6月1日至7日开展第二届国家网络安全宣传周活动。本届宣传周活动的主题是“共建网络安全，共享网络文明”，设立了启动日、金融日、电信日、政务日、法制日、科技日、青少年日7个主题日。本届宣传周选择在6月1日国际儿童节启动，其目的是突出对青少年的网络安全意识、知识与技能教育，为青少年的成长，营造一个健康的网络环境和清朗的网络空间。

随着互联网的迅猛发展，我国网民数量激剧增长，特别是“互联网+”战略的推进，互联网已日益成为公众日常工作、生活、学习不可或缺的平台和助手，深刻地改变着人们的生活方式、行为方式和价值观念。互联网为广大网民打开了认识世界的一扇窗，创造了一个求知的广阔空间，开创了推动经济社会发展的新形态。

但是，互联网在带给人们快捷、方便的同时，也带来了挑战。由于大多数网民网络安全意识薄弱，网络诈骗、谣言、暴力、色情等事件时有发生，网络安全形势日趋复杂，违法不良信息屡屡出现，使互联网健康发展面临严峻挑战。尤其是互联网已成为青少年学习、生活、娱乐的重要工具，网络上的色情低俗、血腥暴力等有害信息，严重影响青少年健康成长，广大家长朋友忧心忡忡，社会各界高度关注。“共建网络安全，共享网络文明”已是社会的期盼、人们的心愿。建设安全的网络环境，打造清朗的网络空间，人人有责、人人参与。为此，射洪县互联网信息办公室向社会各界朋友倡议：

一、做“共建网络安全，共享网络文明”的践行者。要自觉遵守宪法和互联网相关法律法规，自觉选择健康信息，不参与有害和无用信息的制作和传播，拒绝传播违反国家法律、影响国家安全、破坏社会稳定、破坏民族团结和宗教信仰的信息，切实履行应有的社会责任。

二、做“共建网络安全，共享网络文明”的宣传者。要自觉在学习工作生活中、在网络空间里倡导社会主义核心价值观，弘扬传播正能量，旗帜鲜明地驳斥杂音噪音，提倡先进文化，摒弃消极颓废，唱响网上“中国好声音”，促进绿色网络建设。

三、做“共建网络安全，共享网络文明”的推进者。要不断加大互联网技术的创新提高，加强网络安全产品的研发和应用，筑牢网络安全防护栏，防范和减少网络安全事件给我们带来的'麻烦，推进互联网行业健康安全发展。

四、做“共建网络安全，共享网络文明”的保护者。要敢于担当，大胆地同网络上的杂音噪音、歪风邪气作斗争，帮助广大青年增强明辨是非、判别对错的能力;要提升网络素养，争当中国好网民，争做网络时代的新青年，保护“网络原住民”，共同推进网络空间进一步清朗。

五、做“共建网络安全，共享网络文明”的捍卫者。社会各界要切实承担起时代重任，要主动拿起法律的武器，履行网民义务，加大对违法和不良有害网络信息的举报力度，努力维护国家网络主权，为国家安全和互联网发展作出积极贡献。

朋友们，网络安全事关国家安全、社会和谐，让我们从现在做起、从自己做起，坚持文明上网、文明办网，携手共建绿色网络空间，奏响网络文明的和谐之音!

网络安全建议书3

亲爱的同学：

在我们建设和谐社会、和谐学校、和谐课堂的今天，互联网迅速普及到学习、生活的各个领域，互联网带给我们大量信息，拓宽了我们交往的渠道，已成为获取信息、探求新知、交流思想的重要平台。

通过上网，我们不但可以学到网络知识和网络技能，还可以配合课堂教育接受全省最优秀教师的同步辅导，更能开阔视野，拓展教育空间，提高综合素质。

同时通过各种网络教育，我们还可以根据个人兴趣选择适合自己的学习方式和内容，发展自己的个性化特长。

互联网已成为我们寻求知识了解社会的便捷工具。

但任何事物都有两面性，互联网高速传播的信息中也充斥着诸如色情、暴力等不良内容，个别同学因过分沉溺于虚拟时空而影响了学习，这些负面影响都危害着我们的健康成长。

因此倡导绿色上网，保证青少年有一个健康纯净的网络环境一直是社会各界共同的心愿。

为引导青少年健康上网，提高学生的'网络文明和应用意识，学校现代信息中心、校共青团委、少先队大队部共同发起“青少年绿色上网”活动，活动主题为倡导绿色上网，共享健康网络，该活动旨在将互联网的快速发展成就更好地服务于青少年一代的健康成长，使青少年通过互联网汲取更多有益的科学知识和社会知识，鼓励、引导青少年健康、安全地使用互联网，共享与世界同步的网络文明和信息文明。

让我们积极参与到“青少年绿色上网”活动中来，努力学习网络知识和技能，通过网络寻求更多有利于自己成长、学习的信息和知识。

抵制网络上反动、消极内容对自己的侵蚀，并且积极参与到清除网络垃圾的行动中去。

树立健康上网的新风尚，创造全新的网上生活方式。

自觉遵守全国青少年网络文明公约：

要善于网上学习，不浏览不良信息。

要诚实友好交流，不侮辱欺诈他人。

要增强保护意识，不随意约会网友。

要维护网络安全，不破坏网络秩序。

要有益身心健康，不沉溺虚拟时空。

同学们，让我们信守建议，从现在做起，从自我做起，自尊、自律、自强，上文明网，文明上网，让网络伴随我们健康成长！

XX中学

XX年XX月

网络安全建议书4

全县广大青少年：

随着互联网的迅猛发展，互联网已日益成为青少年日常生活、学习不可或缺的平台和助手，我们在享受信息时代科技成果的同时，更要努力络安全知识，争做一名“四有好网民”（有高度的安全意识、有明的网络素养、有守法的`行为习惯、有必备的防护技能），提高警惕，增强自我防范意识，时刻注意保护人身和财产安全。青少年们更应该明辨是非，理智地对待各种不良诱惑，充分利用网络有利的一面，让网络成为有益于青少年健康成长的乐园。为此我们倡议以下几点：

一、青少年依法上网，严格自律。

自觉遵守互联网相关法律法规，自觉选择健康信息，不参与有害和无用信息的制作和传播，拒绝传播违反国家法律、影响国家安全、破坏社会稳定、破坏民族团结和宗教信仰的信息，切实履行应有的社会责任。

二、青少年明上网，传播正能量。

有责任和义务共同营造积极向上、和谐明的网上舆论氛围，自觉在学习、生活中，在网络空间里倡导社会主义核心价值观，弘扬正能量，旗帜鲜明地驳斥杂音噪音，提倡先进化，摒弃消极颓废，促进绿色网络建设。

三、理性上网，明辨是非。

从自身做起，抵制网络上反动、腐朽、不健康的内容对自己精神上的侵蚀；树立与之斗争的信念与决心；敢于担当，大胆地同网络上的杂音噪音、歪风邪气作斗争，增强明辨是非、判别对错的能力；提升网络素养，争做网络时代的新青年，共同推进网络空间进一步清朗。

四、善于网上学习，自觉维护网络安全。

学习一些网络知识与技能，提高操作水平，建设网络明，勇做倡导和维护网络安全的先锋。健康上网，把网络作为获取知识的园地；明上网，正确处理上网与学习的关系；绿色上网，熟悉上网的安全通道。

在此，团县委呼吁全县广大青少年，从现在做起，从我做起，让我们高举网络明的大旗，自觉遵守《全国青少年网络明公约》，努力促进网上健康明的道德规范和社会网络明的良好氛围的形成，为全县精神明建设做出自己的贡献！

网络安全建议书5

互联网的迅猛发展，以其丰富的内容、开阔的眼界、快捷的方式正逐渐地改变着人们的生活和交流方式。微信、微博、qq等网络工具已经成为信息传播、人际沟通和文化交流的重要渠道。但是网上的不良、不实信息和不文明行为仍然存在，影响社会健康发展，对大学生的身心健康带来极大的负面影响。

为提升全院师生的网络安全意识，倡导师生文明使用网络，构建安全、健康、和谐的.校园网络环境，党委宣传部面向全院师生发出如下倡议：

一、自觉遵守《中华人民共和国宪法》、《中华人民共和国计算机信息系统安全保护条例》等国家有关法律、法规和政策，树立正确的网络观，抵制不文明行为，争做文明网民。

二、自觉选择上网安全通道。主动使用绿色上网过滤软件，正确把握上网时间和上网时段，严格屏蔽不良网站，确保个人的身心健康。

三、自觉抵制网络低俗之风。做到不制作、不浏览、不、不传播。

四、增强网络道德文明意识。崇尚科学，追求真知，明确网上的是非观念，使用网络文明语言，明辨网络信息真假，增强网络文明意识，争做网络文明使者。

五、主动参与到抵制网络有害信息的行动中去，积极揭露和举报网络不安全信息。

六、正确使用网络资源，坚决杜绝整日沉迷于网络游戏，禁止不良网络信息的传播。

七、加强自我学习，学会自我约束，增强辨别谣言、抵制谣言的能力，逐步树立成熟阳光的上网态度。

美好的网络环境需要我们共同创造，希望广大师生能够自觉、自律地养成安全、文明、健康的上网习惯。构建一个安全、和谐的校园网络环境!

倡议人：

时间：X年XX月XX日

网络安全建议书6

6月12日是全国首届“网络诚信宣传日”，为增强网络诚信，净化网络空间，如下倡议：

一、依法诚信办网。各网站要严格规范网站建设与管理，做到“三实”：履行诚信办网责任要实，抵制网络失信行为要实，宣传诚信要实。各网站要自觉遵守国家关于互联网发展和管理的法律、法规和政策，接受政府主管部门的行政管理和业务指导，不违法违规开展业务，切实履行应有的社会责任。

二、文明诚信用网。广大网民诚信上网，要做到“三主动”：主动维护网上诚信记录，主动加强网上诚信自律，主动防范和举报网络失信行为，同时要做到“三斗争”：坚决与不良交友行为做斗争，维护网络交友平台的'诚信;坚决与不法网络交易作斗争，维护网络交易平台的诚信;坚决与虚假网络信息作斗争，维护网络信息平台的诚信。广大网名还要学习相关的法律、法规，用法律的武器维护网络诚信，切不可以暴制暴通过网络暴力来对抗网络失信行为。

总之，诚信的网络环境是属于大家的，维护网络诚信，大家责无旁贷，只有网站和网民齐心协力，才能共同营造良好的网络诚信氛围，网络空间才会更加清朗，所以让我们一起做网络诚信的践行者、揭发者、保卫者吧。

倡议人：

时间：X年XX月XX日

网络安全建议书7

在互联网信息技术高速发展、网民人数迅猛增长的今天，网络谣言已成为互联网世界里最大的“病毒”，不仅导致社会诚信缺失，危及网络事业健康发展，而且致使我国青少年是非判断、道德品质以及审美情趣、文化心态等受到严重冲击。

为营造良好网络文化环境，引导广大青少年合理使用网络、远离网络“糟粕”，增强自身辨别是非、抵御网络谣言的能力，库车县第四中学 班郑重倡议：

一、树立法律意识，严格遵守互联网法律法规，积极践行文明上网，自觉远离网络谣言，坚决斩断网络谣言传播链。

二、增强社会责任感，强化道德正义感，站稳立场、明辨是非，切实做到不信谣、不传谣，让网络谣言失去滋生的土壤。

三、加强自我学习，学会自我约束，增强辨别谣言、抵制谣言的能力，逐步树立成熟阳光的网络公民心态。

四、主动参与到抵制网络谣言的行动中去，积极揭露和举报网络谣言，力争消灭谣言产生的温床，坚决做网络健康环境的维护者。

X班的同学们，让我们行动起来，自觉抵制网络谣言糟粕，携手营造一个清新、健康、积极向上的'互联网共有家园，为推动我国互联网事业的健康发展做出自己的贡献!

倡议人：

时间：X年XX月XX日

XX单位网络安全防护方案书

北京天融信公司长春办事处

2011年9月

一． 前言

随着计算机网络的不断发展,信息产业已经成为人类社会的支柱产业，全球信息化已成为人类社会发展的大趋势,由此带动了计算机网络的迅猛发展和普遍应用。但由于计算机网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互连性等特征，致使网络易受黑客、病毒、蠕虫、恶意软件和其他恶意的攻击，所以网上信息的安全和保密是一个至关重要的问题。无论是有意的攻击，还是无意的误操作，都将会给系统带来不可估量的损失。攻击者可以窃听网络上的信息，窃取用户的口令、数据库的信息；还可以篡改数据库内容，伪造用户身份，否认自己的签名。这些都使信息安全问题越来越复杂。所以网络的安全性也就成为广大网络用户普遍关心的问题。无论是在局域网还是在广域网中都存在着自然和人为等诸多因素的脆弱性和潜在威胁。发展和推广网络应用的同时进一步提高网络的安全性，真正做到“既要使网络开放又要使网络安全”这一问题已成为了网络界积极研究的课题。

在我国，近几年随着网络技术的发展，网络应用的普及和丰富，网络安全的问题也日益严重，利用信息技术进行的高科技犯罪事件呈现增长态势。根据国际权威应急组织CERT/CC统计，自1995年以来漏洞累计达到24313个，2006年第一季度共报告漏洞1597个，平均每天超过17个，超过去年同期2个。CNCERT/CC 2005年共整理发布漏洞公告75个，CNCERT/CC 2006年上半年共整理发布漏洞公告34个。从统计情况来看，2006年上半年漏洞报告数量仍处较高水平，大量漏洞的存在使得网络安全总体形势仍然严峻。

对信息系统的安全威胁，包括网上病毒泛滥和蔓延、信息间谍的潜入和窃密、网络恐怖集团的攻击和破坏、内部人员的违规和违法操作、网络系统的脆弱和瘫痪、信息产品的失控等，应引起足够警惕，采取安全措施，应对这种挑战。北京天融信公司作为中国信息产业的排头兵，决心凭借自身成熟的安全建设经验，网络安全系统出谋划策。

随着XX单位网络化和信息化建设的发展，安全问题对于XX单位信息网络的发展也越来越重要。安全问题已经成为影响XX单位业务平台的稳定性和业务的正常提供的一个重大问题，所以提升XX单位自身的安全性已经成为不可忽视的问题。XX单位的领导充分认识到网络安全建设的重要性，为了更好的开展、配合XX单位各方面工作，决定对现有信息系统进行网络安全技术改造。

本方案主要针对目前XX单位的最重要部分，即财务系统的安全进行重点防护，提出我们的观点和意见。

二． 用户现状分析 1 用户网络现状

目前XX单位的网络主要是一套星形交换网络，办公网对外出口为互联网，办公网通过部署的一台核心交换机分别为办公网络和财务网络两个子网, 具体如下图所示： 系统资源分析

XX单位网络资产主要可以分为三大类： 物理资源； 软件资源； 其他资源。物理资源：

网络基础设施：包括连接网络的光缆、各个资源内网电缆、路由器、交换设备、数据存储服务器、光电转换设备、个人电脑等。

系统运营保障设施：包括供电设施、供水设施、机房、防火设备、UPS、加湿器、防静电设备等。软件资源：

重要业务软件，如业务应用软件以及其他基本的应用办公软件； 计算机平台软件，包括操作系统、软件开发平台软件、数据库系统、WEB应用软件等；

工具软件，如杀毒软件、OFFICE办公软件、硬件驱动库等。其他资源：

XX单位网络中还包括其他重要的资产，如文档资料等。这些资源在构建信息安全保障体系时也应当被考虑。安全风险分析

XX单位信息系统的建设，给XX单位办公带来了极大的便利，利用此信息平台，极大的提高了办公的效率，提高了事件处理响应速度，同时我们也看到，系统的建设带来了许多安全风险，必然会受到来自外部或内部的各种攻击，包括信息窃取、病毒入侵和传播等行为。针对内部业务网和外部办公网，要保证网络的整体安全，就必须从分析攻击的方式入手。攻击行为一般包括侦听、截获、窃取、破译等被动攻击和修改、伪造、破坏、冒充、病毒扩散等主动攻击。针对主动和被动攻击，通过对XX单位网络结构和应用系统分析，我们认为，网络面临的主要安全威胁包括：物理层安全风险、网络层安全风险、系统层安全风险、应用层安全风险：（1）

物理层安全风险

我们所说的物理层指的是整个网络中存在的所有的信息机房、通信线路、网 络设备、安全设备等，保证计算机信息系统各种设备的物理安全是保障整个 网络系统安全的前提，然而，这些设备都面临着地震、水灾、火灾等环境事 故以及人为操作失误、错误及各种计算机犯罪行为导致的破坏过程，设备安 全威胁主要包括设备的被盗、恶意破坏、电磁信息辐射泄漏、线路截获监听、电磁干扰、电源掉电、服务器宕机以及物理设备的损坏等等。这些都对整个 网络的基础设备及上层的各种应用有着严重的安全威胁，这些事故一旦出现，就会使整个网络不可用，给内网平台造成极大的损失。

(A)信息机房周边对设备运行产生不良影响的环境条件，如：周边环境温度、空气湿度等。

(B)供电系统产生的安全威胁，UPS自身的安全性。

(C)各种移动存储媒体(如软盘、移动硬盘、USB盘、光盘等)在应用后得不到及时的处置，也会造成机密信息的外泄。

(D)一些重要的数据库服务器系统的存在着硬件平台的物理损坏、老化等现象，导致数据的丢失。

(E)网络安全设备有直接暴露在非网络管理人员或外来人员的面前，外来人有可能直接使安全设备丧失功能，为以后的侵入打下基础，如：直接关掉入侵检测系统的电源、关掉防病毒系统等。

(F)外来人员及非网络管理人员可以直接对一些设备进行操作，更改通信设备(如交换机、路由器)、安全设备(如更改防火墙的安全策略配置)等。（2）网络层安全风险

网络层是网络入侵者攻击信息系统的渠道和通路。许多安全问题都集中体现在网络的安全方面。大型网络系统内运行的TCP/IP协议并非专为安全通讯而设计，所以网络系统存在大量安全隐患和威胁。网络入侵者一般采用预攻击探测、窃听等搜集信息，然后利用 IP欺骗、重放或重演、拒绝服务攻击（SYN FLOOD，PING FLOOD等）、分布式拒绝服务攻击、篡改、堆栈溢出等手段进行攻击。（A）网络设备存在的风险

在网络中的重要的安全设备如路由器、交换机等有可能存在着以下的安全威胁：（以最常用的交换机为例）

a)交换机缺省情况下只使用简单的口令验证用户的身份，并且远程TELNET 登录时以明文传输口令。一旦口令泄密路由器将失去所有的保护能力。b)交换机口令的弱点是没有计数器功能的，所有每个人都可以不限数的尝 试登录口令，在口令字典等工具的帮助下很容易破解登录口令。c)每个管理员都可能使用相同的口令，因此，交换机对于谁曾经作过什么 修改，系统没有跟踪审计能力。

d)交换机实现的协议存在着一定的安全漏洞，有可能被恶意的攻击者利用

来破坏网络的设置，达到破坏网络或为攻击做准备。

（B）网络访问的合理性

网络的访问策略是不是合理，访问是不是有序，访问的目标资源是否受控等问题，都会直接影响到内网平台的稳定与安全。如果存在网络内访问混乱，外来人员也很容易接入网络，地址被随意使用等问题，将导致网络难以管理，网络工作效率下将，无法部署安全设备、对攻击者也无法进行追踪审计。

对于XX单位的网络来讲，严格地控制专网内终端设备的操作及使用是非常必要的，例如，一位非法外联的拨号用户将会使在网络边界的防火墙设备的所有安全策略形同虚设。

（C）TCP/IP网络协议的缺陷

TCP/IP协议是当前网络的主流通信协议，已成为网络通信和应用的实际标准。然而，基于数据流设计的TCP/IP协议自身存在着许多安全漏洞，在网络发展的

早期，由于应用范围和技术原因，没有引起重视。但这些安全漏洞正日益成为黑客们的攻击点。在网上办公、网上文件审批、网上数据传递等活动中，对TCP/IP网络服务的任一环节的攻击，都有可能威胁到用户机密，都可能使重要的信息，比如重要数据、重要的口令在传递过程中遭到窃听和篡改。因此，针对网络层安全协议的攻击将给网络带来严重的后果。（D）传输上存在的风险

从网络结构的分析上，我们看到，现今网络接入互联网，网络间只是通过交换机连接，完全透明，那么当数据以明文的方式在这种不可信任网络中进行传递和交换时，就给数据的安全性、保密性带来极大的挑战，具体来讲对数据传输安全造成威胁的主要行为有：

窃听、破译传输信息：由于网络间的完全透明，攻击者能够通过线路侦听等 方式，获取传输的信息内容，造成信息泄露；或通过开放环境中的路由或交 换设备，非法截取通信信息；

篡改、删减传输信息：攻击者在得到报文内容后，即可对报文内容进行修改，造成收信者的错误理解。即使没有破译传输的信息，也可以通过删减信息内 容等方式，造成对信息的破坏，比如将一份报文的后半部分去掉，造成时间、地点等重要内容的缺失，导致信息的严重失真；

重放攻击：即使攻击者无法破译报文内容，也无法对报文进行篡改或删减，但也可以通过重新发送收到的数据包的方式，进行重放攻击。对于一些业务 系统，特别是数据库系统，这种重放攻击会造成数据失真以及数据错误； 伪装成合法用户：利用伪造用户标识，通过实时报文或请求文件传输得以进 入通信信道，实现恶意目的。例如，伪装成一个合法用户，参与正常的通信 过程，造成数据泄密。

网络中病毒的威胁：由于网络间都为透明模式，一旦有机器中病毒，就会在 整个网络上大量传播，造成整个网络瘫痪，造成无法办公。（3）应用层安全

操作系统安全即是主机安全。整个网络是一个分布式交换的服务平台，其最核心的和需要保护的是财务处网络中的服务器，从操作系统本身来讲，现在代码的庞大和程序人员编码的习惯等等都会给操作系统留下一些BUG，比如一些鲜为人知的如 WINGDOW 2000的3389、139等等漏洞，都会给财务处网络带来一定的风险。一旦通过其操作系统的问题而造成的网络的崩溃，其后果是不可设想的。

操作系统面临的安全风险主要来自两个方面，一方面来自操作系统本身的脆弱性，另一方面来自对系统的使用、配置和管理，主要有：

 操作系统是否安装补丁和修正程序：由于技术开发原因，几乎所有网络中的操作系统在设计时就存在各种各样的漏洞，大多数漏洞直接与系统 的安全有关，操作系统的开发公司发现后都安装了补丁和修正程序，但这种补丁和修正程序不一定为用户所知。

 操作系统的后门：对于中国来说，恐怕没有绝对安全的操作系统可以选择，无论是Microsoft的产品或者其他任何商用操作系统，其开发厂商必然有其Back-Door，这将成为潜在的安全隐患。

 系统配置：系统的安全程度与系统的应用面及严格管理有很大关系，一个工作组的打印服务器和一个机要部门的数据库服务器的选择标准显而易见是不可同日而与的，因此应正确估价自己的网络风险并根据自己的网络风险大小作出相应的安全解决方案。不同的用户应从不同的方面对其网络作详尽的分析，以正确评定数据流向。比如,由于服务器需要进行日常的维护与管理及内容更新，这就要求系统管理员或服务提供者能登录到服务器上。对此类访问服务器不应拒绝。在使用防火墙之前，服务器通过简单静态的口令字进行身份鉴别（如使用服务器或数据库的认证机制），一旦身份鉴别通过，用户即可访问服务器。侵袭者可以通过以下几种方式很容易地获取口令字：

 一是内部的管理人员因安全管理不当而造成泄密；  二是通过在公用网上搭线窃取口令字；  三是通过假冒，植入嗅探程序，截获口令字；  四是采用字典攻击方式，获得口令字。

侵袭者一旦掌握了某一用户口令字，就有可能得到管理员的权限并可造成不可估量的损失。

由于操作系统的配置牵涉到各个方面，上面运行的服务也各种各样，故在系统的配置上很容易出错，因此，我们认为的系统的配置错误地很难避免，但是，我们可以对现有的操作平台进行安全配置、对操作和访问权限进行严格控制，提高系统的安全性。因此，不但要选用尽可能可靠的操作系统和硬件平台。而且，必须加强登录过程的认证（特别是在到达服务器主机之前的认证），确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。

（4）应用层安全

数据库安全也是整个财务处网络最为重要的应用，同时也是需要重点考虑的问题之一。整个网络主要的业务就是信息的共享和数据交换的方便性。从应用系统的角度，占据本网络整个信息平台的就是数据库，如果在数据库上不能保证安全，整个本网络的信息中心基本上就是空设防地带，数据库管理系统面临的安全风险有：

 系统认证口令强度不够，过期账号，登录攻击的风险；  系统授权。帐号权限，登录时间超时的风险；

 系统完整性。如：Y2K兼容，特洛伊木马，审核配置，补丁和修正程序；  脆弱的帐号设置。在许多情况下，数据库用户往往缺乏足够的安全设置，例如未禁用缺省用户帐号和密码，用户口令设置存在脆弱性等。 缺乏角色分离。传统数据库管理并没有“安全管理员(Security Administrator)，这一角色，这就迫使数据库管理员(DBA)既要负责帐号的维护管理，又要专门对数据库执行性能和操作行为进行调试跟踪，从而导致安全管理效率低下。

 缺乏审计跟踪。数据库审计经常被DBA以提高性能或节省磁盘空间为由忽视或关闭，这大大降低了安全管理的效率。XX单位财务系统可能存在的风险和问题

1)来自财务网络外部的风险

虽然财务网络依托于XX单位的办公网络，但是财务网络毕竟是独立的网络个体，如果没有边界防护将是危险的。财务网络很容易遭到来自于办公网络可能的入侵者的攻击。如：入侵者通过Sniffer等嗅探程序来探测扫描网络及操作系统存在的安全漏洞，如网络IP地址、应用操作系统的类型、开放哪些TCP端口号、系统保存用户名和口令等安全信息的关键文件等，并通过相应攻击程序对内网进行攻击。入侵者通过网络监听等先进手段获得内部网用户的用户名、口令等信息，进而假冒内部合法身份进行非法登录，窃取内部网重要信息。恶意攻击：入侵者通过发送大量PING包对内部网重要服务器进行攻击，使得服务器超负荷工作以至拒绝服务甚至系统瘫痪在Internet上爆发网络蠕虫病毒的时候，如果内网的边界处没有访问控制设备对蠕虫病毒在第一时间进行隔离，那么蠕虫的攻击

将会对网络造成致命的影响。2)来自财务网络外部的非授权访问

非授权访问没有预先经过同意，就使用网络或计算机资源被看作非授权访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。它主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。3)来自财务网络内部的风险

目前财务网络内部的财务主服务器与财务办公主机，混杂在一台交换机上，这对于财务主服务器是完全不可取的，由于财务办公主机的使用人员纷杂，计算机安全意识参差不齐，所以财务办公主机的安全性和可靠性完全不能保证，而财务办公主机与财务主服务器之间完全没有任何防护手段。4)来自财务网络内部的非授权访问

对于财务处网络向外部网络的访问没有任何的限制，也是不可取的，针对不同用户的不同访问需求，应给于不同的访问权限。无限制的任由用户使用现有的网络资源，将会造成网络品质的整体下降。同时当财务处网络中的主机因蠕虫原因大量向外发送数据包，没有相应安全防护设备，将造成包括办公网络的整个网络的瘫痪。同时，没有完善的日志能力，对于日后的责任认定也造成了很大的麻烦。

5)病毒的风险

病毒的危险是现在网络最需要解决的问题，目前的病毒传播途径多样化，传播方式智能化，决定了使用单一的防病毒软件是无法完全解决病毒问题的，在网络的边界处，部署网关防护设备，可以有效地抑制病毒的传播，尤其是当出现大规模爆发的蠕虫病毒的时候，网关防护设备可以有效地把蠕虫病毒抑制在小范围之内，而不至于继续扩散。6)没有完善的日志系统

财务处网络中数据的完整性，可靠性，要求对于任何一次访问，都要有明确的记录，以便日后审查使用，而目前XX单位的财务网络中没有这样的能力，这对日后的究责是非常不利的 三．整体方案的设计

根据XX单位的现有网络环境，分析可能存在的威胁和风险，考虑通过部署

天融信防火墙系统，入侵防御系统及病毒过滤网关系统来加固XX单位的信息网络。

采用千兆天融信防火墙系统，入侵防御系统及病毒过滤网关系统部署在互联 网与XX单位办公网接入处用于互联网与XX单位办公网的安全防护，百兆天融信防火墙系统，入侵防御系统及病毒过滤网关系统部署在财务网络与XX单位办公网络的边界处，用于隔离财务网络中的工作主机和内部业务网络中的服务器，通过天融信防火墙系统，入侵防御系统及病毒过滤网关系统，保护服务器不受外来攻击。

具体部署如下图所示：

四．防火墙子系统 1 防火墙部署的意义

防火墙是近年发展起来的重要安全技术，其主要作用是在网络区域边界处检查网络通信，根据用户设定的安全规则，在保护重要网络区域安全的前提下，提供不同网络区域间通信。通过使用防火墙过滤不安全的通信，提高网络安全和减少主机的风险，提供对系统的访问控制；阻止攻击者获得攻击网络系统的有用信息，记录和统计网络利用数据以及非法使用数据、攻击和探测策略执行。设立防火墙的目的就是保护一个网络区域不受来自另一个网络区域的攻击，防火墙的主要功能包括以下几个方面：

（A）防火墙提供安全边界控制的基本屏障。设置防火墙可提高网络安全性，降

低受攻击的风险。

（B）防火墙体现网络安全策略的具体实施。防火墙集成所有安全软件（如口令、加密、认证、审计等），比分散管理更经济。

（C）防火墙强化安全认证和监控审计。因为所有进出网络的通信流都通过防火

墙，使防火墙也能提供日志记录、统计数据、报警处理、审计跟踪等服务。（D）防火墙能阻止内部信息泄漏。防火墙实际意义上也是一个隔离器，即能防

外，又能防止内部业务网络中未经授权主机对服务器区域的访问。防火墙的安装部署

防火墙部署的目的是隔离不同安全等级的网络区域，所以我们把XX单位办公网络，XX单位财务网络分别看作一个网络区域，同时XX单位办公网络与财务网络之外的所有节点看作另一个网络区域，防火墙部署在两个网络区域之间，即部署在财务网络和办公网络的接口处。XX单位办公网络与互联网络接口处。防火墙的工作模式和接入方式

防火墙提供多种工作模式，包括透明接入，路由接入和混合接入。

 连接方式：将百兆天融信防火墙的接口1连接财务网络区域交换机，接口 2连接XX单位办公网络，接口3连接财务网络服务器区域交换机，千兆天融信

防火墙接口1连接XX单位办公网络，接口2连接互联网区域，这样我们使用防火墙实现了各个安全区域的隔离作用。

 工作模式：考虑到对XX单位办公网络和财务网络的影响尽可能小，建议将 百兆防火墙配置成透明工作模式，即防火墙本身不参与路由转发和运算，只提供访问控制等防护功能，这样对网络中原有IP地址的配置影响小，互联网与XX单位办公网络需要地址转换，将配置成的路由工作模式。防火墙的配置和功能

1)通过防火墙隔离财务网络的各个区域

通过防火墙的连接，原本属于一个网络（XX单位办公网络）的节点，被划分为不同的网络区域（财务处办公区域、财务处服务器区域、办公区域、互联网区域等），通过对访问请求的审核，我们隔离不同网络区域间的网络连接，可以达到保护脆弱的服务、控制对财务服务器的访问、记录和统计网络利用数据以及非法使用数据和策略执行等功能。这样在工作主机访问财务服务器时，全部通信都受到防火墙的监控，通过防护墙的策略可以设置成相应的保护级别，以保证系统的安全。2)通过防火墙保护财务服务器

通过在防火墙上设置详细的访问控制规则，各个区域，各个IP节点间的通信，必须要符合防火墙的访问控制规则，例如当工作主机向服务器请求访问时，也只能访问服务器的相应服务端口，在保护了服务器的同时，也清除了网络中传输的不必要的数据。保证了整个业务网络的纯净，提高了网络的品质。通过防火墙的阻断功能，使得内部业务网络各个区域不受到恶意的攻击，攻击者无法通过防火墙进行扫描、攻击等非法动作。防火墙可防止攻击者对重要服务器的TCP/UDP的端口非法扫描，消除系统安全的隐患。可防止攻击者通过外部网对重要服务器的源路由攻击、IP碎片包攻击、DNS / RIP / ICMP攻击、SYN攻击、拒绝服务攻击等多种攻击。测的功能.3)通过防火墙限制对服务器的访问权限

通过在防火墙上进行严格的访问控制，通过对不同的用户进行分组，对于不同的用户组，给予不同的访问权限进行访问服务器，减小用户对于服务器可以进行操作的权限，极大地降低了服务器面临的风险。

4)通过防火墙限制财务网用户向外的访问

通常大多数用户认为从财务网络向外部的访问不会造成风险和威胁，这种想法是错误的，例如反弹型木马就是借助这种麻痹大意的想法进行侵入的。

缺乏安全控制的滥用互联网络，可能导致：组织内部重要资料和秘密资料通过 BBS、Email、QQ 和 MSN 等途径向外散发，或被别有用心的人截获而加以利用，或是进行不当互联网访问而引起组织内部计算机感染木马病毒，加大了组织重要及秘密信息的曝光率，给组织信息安全带来隐患：对于政府、事业单位以及其他公共服务单位，如果互联网管理的不够完善，将会带来极大信息安全隐患，例如经济等类型的重要的信息被通过非法渠道泄漏，此举必然会有损组织的权威及名誉，并导致组织的公信力下降。对于公司企业等盈利性机构而言，企业的机密信息等同于企业的生命。而在互联网极度开放的今天，任何的疏忽都有可能导致企业机密信息外泄；而一旦发生企业机密信息外泄的情况，企业因此而投入了的大量人力物力将会付诸东流，此类案例在互联网广泛使用的今天是屡见不鲜的。

5)通过防火墙调整网络使用效率

通过防火墙具有带宽控制的特性，可以依据应用来限制流量，来调整链路的带宽利用如：在网络中如果有工作主机向服务器区域FTP的访问、Web访问等等，可以在防火墙中直接加载控制策略，使FTP访问、Web访问按照预定的带宽进行数据交换。实现每个用户、每个服务的带宽控制，调整链路带宽利用的效率。

6)通过防火前完善日志

通过防火墙可以采集所有流经防火墙的数据，记录到防火墙的日志服务器中，通过日志服务器的日志分析和统计功能，在对收集的事件进行详尽分析及统计的基础上输出丰富的报表，实现分析结果的可视化；系统提供多达300多种的报表模板，不仅支持对网络事件按条件统计，更提供了对流量等变化趋势的形象表现；对于分析结果系统提供了表格及多种图形表现形式（柱状图、曲线图），使管理员一目了然。同时采用多种告警方式，通知网络管理人员。7)实现了重要财务工作人员直接访问财务处网络

通过天融信防火墙的访问控制能力，我们可以控制各个访问者访问的权限，同时我们采用用户名，口令，证书等验证方式，彻底实现了对于访问者身份验证的目的。

五．入侵防御子系统

通常通过防火墙进行网络安全防范。从理论上分，防火墙可以说是第一层安全防范手段，通常安装在网络入口来保护来自外部的攻击。其主要防范原理为基于TCP/IP的IP地址和及端口进行过滤、限制。由于防火墙本身为穿透型（所有数据流需要经过防火墙才能到达目的地），因此为了提高其过滤、转发效率，通常不会对每个数据报文或者数据流进行过多的、细致地分析、检查。但是恰恰很多符合防火墙的TCP/IP过滤安全策略的数据流或者报文中参杂着恶意的攻击企图。虽然目前一些防火墙增强了对于应用层内容分析的功能，但是考虑其因分析、处理应用层内容而导致的网络延迟的增加，因此从其实际应用角度来说，存在一些局限性。但是网络入侵防御系统由于其以串接模式部署到现有网络中，执行各种复杂的应用层分析工作。因此可以成为防火墙有效的扩展。同时自带阻断功能，可以实现整体的安全防范体系。1入侵防御产品概述

天融信公司新版本的“网络卫士入侵防御系统 TopIDP”是基于新一代并行处理技术，它通过设置检测与阻断策略对流经TopIDP的网络流量进行分析过滤，并对异常及可疑流量进行积极阻断，同时向管理员通报攻击信息，从而提供对网络系统内部IT资源的安全保护。TopIDP能够阻断各种非法攻击行为，比如利用薄弱点进行的直接攻击和增加网络流量负荷造成网络环境恶化的DoS攻击等，安全地保护内部IT资源。

网络卫士入侵防御系统部署于网络中的关键点，实时监控各种数据报文及网络行为，提供及时的报警及响应机制。其动态的安全响应体系与防火墙、路由器等静态的安全体系形成强大的协防体系，大大增强了用户的整体安全防护强度。

2入侵防御系统产品特点 强大的高性能并行处理架构

TopIDP应用了先进的多核处理器硬件平台，将并行处理技术成功融入天融信自主知识产权的安全操作系统TOS（Topsec Operating System）系统，集成多项发明专利，形成了先进的多核架构技术体系。在此基础上的TopIDP产品具有高速的数据并行检测处理和转发能力，能够胜任高速网络的安全防护要求。

精确的基于目标系统的流重组检测引擎

传统的基于单个数据包检测的入侵防御产品无法有效抵御TCP流分段重叠的攻击，任何一个攻击行为通过简单的TCP流分段组合即可轻松穿透这种引擎，在受保护的目标服务器主机上形成真正的攻击。TopIDP产品采用了先进的基于目标系统的流重组检测引擎，首先对到达的TCP数据包按照其目标服务器主机的操作系统类型进行流重组，然后对重组后的完整数据进行攻击检测，从而从根源上彻底阻断了TCP流分段重叠攻击行为。

准确与完善的检测能力

TopIDP产品的智能检测引擎可分析网络攻击的组合行为特征来准确识别各种攻击，准确性更高；可以智能地识别出多种攻击隐藏手段及变种攻击，带来更

高安全性；通过智能化检测引擎，能够识别出多种高危网络行为，并可以将此类行为以告警方式通知管理员，达到防患于未然的目的，带来更高网络安全性；同时新版TopIDP具有强大的木马检测与识别能力；完善的应用攻击检测与防护能力；丰富的网络应用控制能力和及时的应急响应能力。丰富灵活的自定义规则能力

TopIDP产品内置了丰富灵活的自定义规则能力，能够根据协议、源端口、目的端口及协议内容自行定义攻击行为，其中协议内容支持强大灵活的PCRE（兼容perl的正则表达式）语法格式，特定协议支持更多达10种，包括：ip、tcp、http、dns、ftp、pop3、smtp、qq、msn、imap等。借助于灵活的自定义规则能力，用户可以轻松定义自己的应用层检测和控制功能。

可视化的实时报表功能

现实网络中的攻击行为纷繁复杂且瞬息万变，TopIDP产品提供了可视化的实时报表功能，可以实时显示按发生次数排序的攻击事件排名，使网络攻击及其威胁程度一目了然。应用配套的TopPolicy产品，可以实时显示Top10攻击者、Top10被攻击者、Top10攻击事件等统计报表，更可以显示24小时连续变化的事件发生统计曲线图。借助于可视化的实时报表功能，用户可以轻松实现全网威胁分析。

3入侵防御产品的作用

在基于TCP/IP的网络中，普遍存在遭受攻击的风险。除了恶意的攻击外，非恶意目的发起的攻击也是非常重要的一部分。有效的入侵防御系统可以同时检测内部和外部威胁。入侵防御系统的目的是检测恶意和非预期的数据和行为（如变更数据、恶意执行、允许非预期资源访问的请求和非预期使用服务）。一旦入侵被检测到，会引发某种响应（如断开攻击者连接、通知操作员、自动停止或减轻攻击、跟踪攻击来源或适当地反攻击）。

利用防火墙技术，经过精心的配置，通常能够在内外网之间提供安全的网络保护，降低网络安全风险。但是，存在着一些防火墙等其它安全设备所不能防范的安全威胁，这就需要入侵防御系统提供实时的入侵检测及采取相应的防护手

段，如记录证据用于跟踪和恢复、断开网络连接等，来保护电子政务局域网的安全。

入侵防御是防火墙等其它安全措施的补充，帮助系统对付网络攻击，扩展系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。它从计算机网络系统中的流量中收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵防御被认为是防火墙之后的第二道安全闸门，对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时检测。

除了入侵防御技术能够保障系统安全之外，下面几点也是使用入侵防御的原因：

（1）计算机安全管理的基本目标是规范单个用户的行为以保护信息系统免受安全问题的困扰。入侵检测系统可以发现已有的威胁，并对攻击者进行惩罚，有助于上述目标的实现，并对那些试图违反安全策略的人造成威慑。

（2）入侵防御可以检测其它安全手段无法防止的问题。攻击者使用越来越容易得到的攻击技术，能够对大量系统进行非授权的访问，尤其是连接到电子政务局域网的系统，而当这些系统具有已知漏洞的时候这种攻击更容易发生。尽管开发商和管理员试图将漏洞带来的威胁降到最低程度，但是很多情况下这是不能避免的：

 很多系统的操作系统不能得到及时的更新

 有的系统虽然可以及时得到补丁程序，但是管理员没有时间或者资源进行系统更新，这个问题很普遍，特别是在那些具有大量主机或多种类型的软硬件的环境中。

 正常工作可能需要开启网络服务，而这些协议是具有漏洞，容易被攻击的。

 用户和管理员在配置和使用系统时可能犯错误。

 在进行系统访问控制机制设置时可能产生矛盾，而这将造成合法用户逾越他们权限的错误操作。

（3）当黑客攻击一个系统时，他们总是按照一定的步骤进行。首先是对系统或网络的探测和分析，如果一个系统没有配置入侵防御，攻击者可以自

由的进行探测而不被发现，这样很容易找到最佳攻入点。如果同样的系统配置了入侵防御，则会对攻击者的行动带来一定难度，它可以识别可疑探测行为，阻止攻击者对目标系统的访问，或者对安全人员报警以便采取响应措施阻止攻击者的下一步行动。

（4）入侵防御证实并且详细记录内部和外部的威胁，在制定网络安全管理方案时，通常需要证实网络很可能或者正在受到攻击。此外，攻击的频率和特征有助于选择保护网络免受相应攻击的安全手段。

（5）在入侵防御运行了一段时间后，系统使用模式和检测问题变得明显，这会使系统的安全设计与管理的问题暴露出来，在还没有造成损失的时候进行纠正。

（6）即使当入侵防御不能阻止攻击时，它仍可以收集该攻击的可信的详细信息进行事件处理和恢复，此外，这些信息在某些情况下可以作为犯罪的佐证。

4入侵防御产品部署

我们建议在XX单位办公网与财务网接入处部署一台天融信百兆入侵防御系统，主要监控不同区域和财务网服务器的安全状况。在互联网与XX单位办公网接入处部署一台天融信千兆入侵防御系统.IDP的探测引擎应串连部署在XX单位办公网与财务网, 互联网与XX单位办公网连接线路上。5入侵防御策略配置

1）配置事件库升级

配置入侵防御系统进行定期的事件库升级。2）配置服务器区网络的全局预警策略

入侵防御系统将发现的针对XX单位财务网络的入侵事件进行整理，并建立战略级全局预警事件库，进而可以据此对XX单位网络做出有针对性的全局预警。

3）配置XX单位网络特有的异常事件集策略

修改或定义XX单位网络特有的事件，动态生成XX单位网络自己的事件库，提高入侵防御系统对XX单位网络应用的适应性和事件检测的准确性。4）配置XX单位网络异常流量分析策略

根据实时监控XX单位网络流量，进行网络流量的分类分析和统计情况，定义XX单位网络流量异常的阀值，对异常流量进行实时报警。5）配置XX单位网络内容异常分析策略

配置内容异常分析策略对XX单位网络所设定的异常报警内容进行多方位的定点跟踪和显示，对异常内容进行实时报警。6）配置XX单位网络安全报表策略

根据XX单位网络中所需要的事件记录内容，建立报表模板。按照XX单位网络中的需求选择报表类型，定制相应的报表。7）配置XX单位网络蠕虫分析策略

XX单位网络中心针对当前流行的网络蠕虫和病毒进行配置网络蠕虫策略，包括Nimda蠕虫、Sql slammer蠕虫等。9）配置XX单位网络入侵防御管理策略

针对XX单位网络不同安全等级的入侵事件进行不同的响应方式。包括记录，报警，阻断。

10）配置日志输出策略

配置将日志输出到综合审计系统上的策略

六．防病毒网关系统

1XX单位网络防毒需求分析和产品选型

通过对XX单位网络的网络环境和主要网络业务状况进行分析，我们认为计算机病毒是威胁系统正常运行的一个重要因素。

当前的病毒发展呈现出复合型威胁态势，传播方式多样化、速度极快，在网络中极易形成交叉感染的状况，同时计算机病毒的危害也不再只限于破坏文件和本机，它甚至可以发动网络攻击，导致网络设备和服务器崩溃。一旦病毒爆发，肯定会给网络系统带来很大损失。

针对混合型安全威胁攻击，还需要加强边界防毒的防范过滤，这样才能更有效的保证系统的安全性、网络的可用性。我们建议在XX单位财务网络与XX单位办公网，XX单位办公网与互联网接入处部署天融信防病毒网关，工作在互

联网与XX单位办公网，XX单位办公网与财务网络的接入口处。防病网关可以进行病毒特征码升级。

通过配置防病毒网关，我们可以实现：  保证所有通过邮件/HTTP/FTP等方式进入外网办公网网络及用户系统前都会通过防病毒模块查杀毒。

2防病毒网关产品组成

防病毒网关主要是处理网络中数据，对数据进行分析过滤，防止病毒代码从设备中穿过渗透到内部网络。同时防止蠕虫的攻击，和垃圾邮件对正常办公的干扰。

WEB方式管理主要是通过远程登陆防火墙，对防病毒网关进行配置和管理。用户可以远程地管理硬件设备，对要处理的主要网络协议进行设置，设置相应协议中的方便管理员的操作和管理。同时用户可以通过WEB方式查询相应的日志和生成所要的报表。

3防病毒网关产品部署

在本方案中将在XX单位办公网络与财务处网络接入处部署天融信百兆防病毒网关，XX单位办公网络与互联网接入处部署天融信千兆防病毒网关,对来自互联网的数据及财务网络区以外的数据，进行病毒检测，针对SMTP、POP3、FTP、HTTP等协议的数据流进行病毒扫描，从而提供网关层次的防毒能力。

天融信防病毒网关的部署,实现了真正的即插即用，不需要改动现有网络的任何设置。部署的位置被确定，只需要为防病毒网关连接上网线，开启电源开关就可以进行扫描。管理IP地址就是防病毒网关管理IP地址。安装向导会指导管理员进行基本的设置，非常简单易懂。

4防病毒网关产品功能

天融信防病毒网关处理所有主要的网络协议，它能处理以下协议：SMTP、POP3、HTTP、FTP和IMAP。管理员还可以针对每个协议设置高级选项，例如：可以选择清除病毒、删除文件、隔离病毒或是记录日志的方式来处理病毒。而且还可以在相应的协议中设置一些附加功能的设置，如对关键字的过滤设置，对文件类型的扫描设置等。

七 系统层安全设计

1系统层安全目标

 操作系统：保障操作系统平台的安全和正常运行，为应用系统提供及时多样的服务；

 数据库：保证数据库不受到恶意侵害或未经授权的存取与修改。 应用系统：能提供有效的访问控制和身份验证手段，保证应用平台的持续、可靠的提供服务。

2操作系统安全要求

操作系统是所有计算机终端、工作站和服务器等正常运行的基础，操作系统的安全十分重要。目前的商用操作系统主要有IBM AIX、Linux、AS/400、OS/390、SUN Solaris、HP Unix、Windows/3x、Windows 95/98、Windows NT Workstation/Server、Windows 2000/2003、OS/

2、NOVELL Netware等。这些操作系统大部分获得了美国政府的C-2级安全性认证。但是针对操作系统应用环境对安全要求的不同，公司网络对操作系统的不同适用范围作如下要求：

在XX单位网络中关键的服务器群和工作站（如数据库服务器、WWW服务器、代理服务器、Email服务器、病毒服务器、DHCP主域服务器、备份服务器和网管工作站）应该采用服务器版本的操作系统。典型的有：SUN Solaris、HP Unix、Windows NT Server、Windows 2000 /2003Server。网管终端、办公终端可以采用通用图形窗口操作系统，如Windows NT Workstation/Server、Windows 2000等。

3操作系统安全管理

操作系统因为设计和版本的问题，存在许多的安全漏洞；同时因为在使用中安全设置不当，也会增加安全漏洞，带来安全隐患。在没有其它更高安全级别的商用操作系统可供选择的情况下，安全关键在于操作系统的安全管理。

为了加强操作系统的安全管理，要从物理安全、登录安全、用户安全、文件系统和打印机安全、注册表安全、RAS安全、数据安全、各应用系统安全等方面制定强化安全的措施。

加强物理安全管理，系统要有能力限制对I/O设备（软驱、打印设备）的访问。例如：

 如果没有必要，建议去掉或锁死软盘驱动器，禁止DOS或其他操作系统访问NTFS分区；

 在服务器上设置系统启动口令，设置BIOS禁用软盘引导系统；  不创建任何DOS分区；  保证机房的物理安全。

 下载安装最新的操作系统及其它应用软件的安全和升级补丁。如用最新的Service Pack（SP6）升级Windows NT Server 4。0，包括所有补丁程序和后来发表的很多安全补丁程序。

 掌握并使用操作系统提供的安全功能，关闭不必要的服务和端口，专用主机只开专用功能。例如：运行网管、数据库重要进程的主机上不应该运行如sendmail这种bug比较多的程序。网管网段路由器中的访问控制应该限制在最小限度，与系统集成商研究清楚各进程必需的进程端口号，关闭不必要的端口。

 Windows NT缺省安装未禁用Guest账号，并且给Everyone（每个人）工作组授予“完全控制”权限，没有实施口令策略等，都给网络的安全留下了漏洞。要加强服务器的安全，必须根据需要设置这些功能。 控制授权用户的访问，实行“用户权限最小化” 配置原则，将用户以“组”的方式进行管理。例如：“用户权限最小化” 配置。域里配置适当的NTFS访问控制可以增强网络的安全。取消或更改缺省情况下的Everyone组的：“完全控制”权限，要始终设置用户所能允许的最小的文件夹和文件的访问权限。另外，不要共享任何一个FAT卷。 避免给用户定义特定的访问控制。将用户以“组”的方式进行管理是一个用户管理的有效方法。如果一个用户在公司里的角色变了，很难跟踪并更改他的访问权。最明智的作法就是为每个用户指定一个工作组，为工作组指定文件、文件夹访问权。如果要收回或更改某个用户的访问权，只要把该用户从工作组中删除或指定另一个工作组。

 实施账号及口令策略。配置口令策略，设置账号锁定。主要原则有：登录名称中字符不要重复或循环；至少包含两个字母字符和一个非字母字符；至少有6个字符长度；不是用户的姓名，不是相关人物、著名人物的姓名，不是用户的生日和电话号码及其他容易猜测的字符组合等；要

求用户定期更改口令；给系统的默认用户特别是Administrator、Root改名，禁用Guest账号；不要使用无口令的账号，否则会给安全留下隐患；设置账号锁定，建议设置尝试注册三次后锁定账号，在合适的锁定时间后被锁定的账号自动打开，或者只有管理员才能打开，用户恢复正常。

 控制远程访问服务。远程访问是黑客攻击系统的常用手段，应在系统中集成强认证系统，如交换加密用户ID和口令数据，使用专用的挑战响应协议（Challenge / Response Protocol），确保不会多次出现相同的认证数据，阻止内部黑客捕捉网络信息包。同时，如条件允许，应该使用回叫安全机制，并尽量采用数据加密技术，保证数据安全。

 启用登录工作站和登录时间限制。如果每个用户只有一个PC，并且只允许工作时间登录，可以把每个用户的账号限制在自己的PC上，且在工作时间内使用，从而保护网络数据的安全。

 启动审查功能。为防止未经授权的访问，应该启用安全审查功能，以便在事件查看器安全日志中记录未经授权的访问企图，以便尽早发现安全漏洞。但要结合工作实际，设置合理的审计规则，切忌审查事件太多，以免无时间全部审查安全问题。

 定期检查系统日志文件，在备份设备上及时备份。如对用户开放的各个主机的日志文件全部定向到一个syslogd server上，集中管理。服务器可以由一台拥有大容量存贮设备的Unix或NT主机承担。

 确保注册表、系统文件、关键配置文件安全。首先，取消或限制对regedit。exe、regedit32。exe的访问；其次，利用regedit。exe或文件管理器设置只允许管理员访问注册表，其他任何用户不得访问注册表；定期检查关键配置文件（最长不超过一个月）。 制定完整的系统备份计划，并严格实施。

 制定详尽的系统漏洞扫描以及汇报制度，及时更新系统安全补丁，完善系统安全设置，关闭不必要和危险的服务。

4应用层系统安全

在应用系统安全上，应用服务器尽量不要开放一些没有经常用的协议及协议端口号。如文件服务、电子邮件服务器等应用系统，可以关闭服务器上如HTTP、FTP、TELNET、RLOGIN等服务。还有就是加强登录身份认证。确保用户使用的合法性；并严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。充分利用操作系统和应用系统本身的日志功能，对用户所访问的信息做记录，为事后审查提供依据。

5数据库系统安全

数据库管理系统自身安全策略

目前的商用数据库管理系统主要有MS SQL Sever、Oracal、Sybase、Infomix等。在XX单位网络中的数据库管理系统应具有如下安全能力：

 自主访问控制（DAC）：DAC用来决定用户是否有权访问数据库对象；  验证：保证只有授权的合法用户才能注册和访问；  授权：对不同的用户访问数据库授予不同的权限；  审计：监视各用户对数据库施加的动作。

 数据库管理系统应能够提供与安全相关事件的审计能力：  试图改变访问控制许可权

 试图创建、拷贝、清除或执行数据库。

 系统应能在下面列出的级别对数据库的访问控制授权：

表；视图；纪录；或元素。

 系统应提供在数据库级和纪录级标识数据库信息的能力。

数据库系统的增强加固技术

数据库管理系统的安全保护策略实现了对数据库中数据的有效保护。而现实中某些应用环境需要保持当前主流数据库管理系统的某些特性，同时又需要其满足一定程度的安全性要求，提供必需的安全功能。针对这种客观需要，比较直接经济的方法是对数据库及数据库管理系统进行安全增强与加固。

对数据库管理系统的安全功能增强主要是指对已存在的主流数据库管理系统进行安全封装与数据过滤，增加数据库管理系统的安全功能，实现数据保密性、完整性、可访问性，最终达到保护数据的目的。这些数据库管理系统自身缺乏或部分缺乏必要的安全功能，可在其外部增加安全控制模块，一个或多个安全功能子系统，封装后对外展现安全特性。一种典型安全增强配置参见下图。可以附加 的子系统包括：

 认证子系统  访问控制子系统

 数据的加密存储与解密子系统  传输加密子系统  审计子系统

方案总结

实施以上方案后，可以解决XX单位网络的如下安全问题：

针对网络层：在网络边界和内部引入了访问控制措施、对限制措施和强化边界访问的授权、受控。

针对应用层：解决应用的安全优化，,对网络攻击的防护，对病毒的查杀。针对管理层：建议建立网络安全管理组织，结合实际情况建立完整的一系列安全策略以及安全策略的发布、执行、审查、修订的相关流程。对网络的安全事件进行统一的整理和归纳，确保网络系统的整体安全。