毕业论文-网络环境下企业信息安全分析与对策

网络环境下企业信息安全分析与对策摘要随着计算机技术与通信技术的飞速发展，信息已成为企业发展的关键，但是企业在享受着信息系统给公司带来巨大经济效益的同时，也面临着非常大的安全风险。因此，这就使得企业必须重新审视当前信息系统所面临的安全问题，并从中找到针对企业行之有效的安全防范技术。本文从物理安全，系统安全，应用管理安全，黑客攻击，病毒危害等方面对企业网络所面临的安全问题进行了分析与研究，并提出一系列解决的对策，包括通过划分VLAN的方法，使用加密技术、身份认证技术来保证系统安全；依靠预防黑客攻击技术和网络防病毒技术解决与外部网络连接时产生的网络安全问题；通过建立安全管理体系来应对管理上的漏洞。文章最后用一实例来说明如何构建企业信息安全体系。关键词信息安全管理体系网络技术（关键词不能超过5个）THEENTERPRISEINFORMATIONSECURITYANALYSISANDCOUNTERMEASURESUNDERTHENETWORKENVIRONMENTABSTRACTALONGWITHTHERAPIDDEVELOPMENTOFCOMPUTERTECHNOLOGYANDCOMMUNICATIONSTECHNOLOGY,INFORMATIONHASBECOMETHEKEYTOTHEENTERPRISEDEVELOPMENT,BUTENTERPRISEENJOYSTHEINFORMATIONSYSTEMBRINGINGHUGEECONOMICEFFICIENCYTOTHECOMPANIESWELLASFACESTHEVERYLARGESECURITYRISKTHEREFORE,THISMAKESTHEENTERPRISEMUSTREEXAMINETHESECURITYPROBLEMSOFCURRENTINFORMATIONSYSTEMFACESANDFINDOUTEFFECTIVESAFEGUARDTECHNOLOGYFORENTERPRISEFROMITTHEARTICLEHASMAKETHEANALYSISANDRESEARCHOFTHEENTERPRISEFACINGNETWORKSECURITYPROBLEMSFROMTHEASPECTSOFPHYSICALSECURITY,SYSTEMSECURITY,APPLICATIONSECURITY,MANAGEMENTSECURITY,HACKERATTACKS,VIRUSDAMAGEANDSOON,ANDPUTSFORWARDASERIESOFCOUNTERMEASURESTOSOLVE,INCLUDINGTHROUGHTHEMETHODOFDIVIDINGVLAN,USEENCRYPTIONTECHNOLOGY、AUTHENTICATIONTECHNOLOGYTOGUARANTEESYSTEMSECURITYRELYONTHEPREVENTINGHACKERATTACKSTECHNOLOGYANDTHENETWORKANTIVIRUSTECHNOLOGY,SOLVETHENETWORKSECURITYPROBLEMWHENCONNECTTHEEXTERNALNETWORKDEALSWITHTHELOOPHOLESINMANAGEMENTTHEESTABLISHMENTOFASAFETYMANAGEMENTSYSTEMATLAST,WITHANEXAMPLETOILLUSTRATEHOWTOBUILDENTERPRISEINFORMATIONSECURITYSYSTEMKEYWORDSINFORMATIONSECURITYMANAGEMENTSYSTEMNETWORKTECHNOLOGY目录引言11信息安全的相关定义111信息安全112信息安全的基本属性22网络环境下企业信息安全分析321物理安全322系统安全323黑客攻击424网络病毒风险425应用管理安全53网络环境下企业信息安全对策531物理安全对策5311机房环境安全5312通信线路安全5313电源等设备安全632系统安全对策6321VLAN（虚拟局域网）技术6322认证技术7323信息加密技术833黑客攻击对策8331防火墙技术8332入侵检测技术1034网络病毒对策11341病毒防治体系特性11342病毒防治软件安装11343病毒防护体系的自动控制1235应用管理安全对策12351人事管理13352场地设施管理13353设备管理13354软件管理13355口令管理14356网络管理14357安全审计管理14358应急管理144企业信息安全体系建立实例1541公司简介1542信息安全体系的构建16结论21参考文献22致谢23引言信息社会的到来给全球发展带来了契机，信息技术的运用引起了人们生产方式，生活方式和思想观念的转变，极大地促进了人类社会发展和人类文明的进步，把人们带进了崭新的时代；信息系统的建设逐步成为各个企业不可或缺的基础设施；信息成为企业发展的重要战略资源，决策资源和控制市场的灵魂。信息化水平成为衡量一个企业实力的重要标志，抢占信息资源成为企业之间竞争的重要内容。然而企业在享受网络信息所带来利益的同时，也面临着信息安全的严峻考验，企业信息安全成为世界性的现实问题。据统计，全球平均每20秒就发生一次计算机病毒入侵；互联网上的防火墙大约25被攻破；窃取商业信息的事件平均以每月260的速度增加；约70的网络主管报告了因机密信息泄露而受损失。2007年5月至2008年5月间，有54的被调查单位发生过信息网络安全事件，其中，感染计算机病毒、蠕虫和木马程序的安全事件为84，遭到端口扫描或网络攻击的占36，垃圾邮件占351。而病毒的泛滥，更让国内外众多企业蒙受了巨额经济损失。加强信息安全建设，已成为了目前国内外企业迫在眉睫的大事。1信息安全的相关定义当前电子信息安全的概念正在与时俱进，他从早期的通信保密发展到关注信息的保密，完整，可用，可控和不可否认的信息安全，并进一步发展到如今的信息保障和信息保障体系。对于信息基础设施的管理活动来说，信息保障和政策；技术和机制在整个信息基础设施的所有层面上均能得到实施。既面向数据安全概念信息的保密性，完整性，可用性，又面向使用者的安全概念鉴别，授权，访问，控制，抗否认性和可服务性以及基于内容的个人隐私，知识产权等的保护。这两者的结合就是信息安全保障体现的安全服务，而这些安全问题又要依托于密码，数字签名，身份验证技术，防火墙，灾难恢复，防毒墙和防黑客入侵等安全机制加以解决，其中安全技术和管理是信息安全的核心，而安全标准和系统评估则是信息安全的基础。11信息安全根据国际标准化组织（ISO）的定义，信息安全为“为数据处理系统建立所采取的技术和管理的安全保护措施，以保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和显露”2。信息安全是一个动态的复杂过程，它贯穿于信息资产和信息系统的整个生命周期。信息安全的威胁来自于内部破坏、外部攻击、内外勾结进行的破坏以及自然危害。必须按照风险管理的思想，对可能的威胁、脆弱性和需要保护的信息资源进行分析，依据风险评估的结果为信息系统选择适当的安全措施，妥善应对可能发生的风险。信息安全的目标就是要保证敏感数据的机密性、完整性和可用性，人们建立起信息安全管理体系，它是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的系统，表示成方针、原则、目标、方法、核查表等要素的集合。12信息安全的基本属性信息安全的基本属性有信息的完整性、可用性、机密性、可控性、可靠性和不可否认性3。（1）完整性完整性是指信息在存储、传输和提取的过程中保持不被修改延迟、不乱序和不丢失的特性。一般通过访问控制阻止篡改行为，通过信息摘要算法来检验信息是否被篡改。（2）可用性信息可用性指的是信息可被合法用户访问并能按要求顺序使用的特性，即在需要就可取用所需的信息。目前要保证系统和网络能提供正常的服务，除了备份和冗余配置之外，没有特别有效的方法。（3）机密性是指信息不泄漏给非授权的个人和实体，或供其使用的特性。信息机密性针对信息被允许访问对象的多少而不同。所有人员都可以访问的信息为公用信息，需要限制访问的信息一般为敏感信息或秘密，机密性通常通过访问控制阻止非授权用户获得机密信息，通过加密技术阻止非授权用户获知信息内容。（4）可控性信息可控性是指可以控制授权范围内的信息流向以及行为方式，对信息的传播及内容具有控制能力。为保证可控性，通常通过握手协议和认证对用户进行身份鉴别，通过日志记录对用户的所有活动进行监控、查询和审计。（5）可靠性可靠性是指信息以用户认可的质量连续服务于用户的特性（包括信息的迅速、准确和连续的转移等），但也有人认为可靠性就是人们对信息系统而不是对信息本身的要求。（6）不可否认性不可否认性是指能保证用户无法在事后否认曾对信息进行的生成、签发、接受等行为，是针对通讯各方面信息真实同一性的安全要求，一般用数字签名和公证机制来保证不可否认性。2网络环境下企业信息安全分析计算机系统本身的脆弱性和通信设施的脆弱性共同构成了计算机网络的潜在威胁。信息网络化使信息公开化、信息利用自由化，其结果是信息资源的共享和互动，任何人都可以在网上发布信息和获取信息，网上的一些用户出于好奇的心理，或者蓄意破坏的动机，对企业网络上连接的计算机系统和设备进行入侵，攻击等，影响网络上信息的传输，破坏软件系统和数据，盗取企业机密信息，非法使用网络资源等，给企业造成巨大的损失。21物理安全网络物理安全是企业整个内部网络系统安全的前提。物理安全的风险主要有地震、水灾、火灾等环境事故造成整个系统毁坏、电源故障造成设备断电以至操作系统引导失败或数据库信息丢失；设备被盗、被毁造成数据丢失或信息泄漏；电磁辐射可能造成数据信息被窃取或偷阅，报警系统的设计不足可能造成原本可以防止但实际发生了的事故。很多企业容易忽视这些问题，虽然这些问题不会时常发生，但一旦发生了，对企业的打击是致命的。22系统安全所谓系统安全通常是指网络操作系统、应用系统的安全。多协议、多系统、多应用、多用户组成的网络环境，复杂性高，存在难以避免的安全漏洞。再加上因特网的基石是TCP/IP协议簇，该协议簇在实现上力求效率，而没有考虑安全因素，因为那样无疑增大代码量，从而降低了TCP/IP的运行效率，所以说TCP/IP本身在设计上就是不安全的，很容易被窃听和欺骗。大多数因特网上的流量是没有加密的，电子邮件口令、文件传输很容易被监听和劫持，这予黑客以可趁之机。再者目前很多企业由于资金，技术等问题，没有建立起一个立体式的网络安全系统，而是简单的运用单一的技术手段来保证企业信息的安全，这样虽然能解决一些问题，但很有限。比如有些企业用了加密技术，防止了信息的泄露，但却没有使用认证技术，导致信息的不完整性的出现，从而违背信息安全的不可否认性，给企业造成损失。23黑客攻击随着信息技术的普及，企业一般都会利用互联网接入来加速提高本公司业务与工作绩效，黑客的恶意攻击行为无疑会成为阻碍这一进程发展最大也最严重的威胁。其中，有来自竞争公司的幕后黑手，或者来自对本企业有怨恨情绪的员工，以及对该企业持不满态度的顾客等，出于不同目的或报复情绪都可能对企业网络进行破坏与盗窃。另外，一个更严重的问题网络敲诈，正有逐步提升的趋势。许多不法分子利用木马、病毒、间谍软件，或者DOS攻击等非法方式对企业网络进行破坏或盗用企业数据，并以此作为向企业敲诈勒索的交换条件，由于大部分企业普遍存在着信息安全环等薄弱问题，因此很多企业都成为这种违法行为最大的受害者。24网络病毒风险现今的互联网已基本成为了一个病毒肆虐生长繁殖的土壤，几乎每一天都会有上百种新的病毒或者木马产生，随着INTERNET开拓性的发展。INTERNET带来了两种不同的安全威胁。一种威胁是来自文档下载。这些被浏览的或是通过FTP下载的文档中可能存在病毒。而共享软件和各种可执行的文档，如格式化的介绍性文档已成为病毒传播的重要途径。并且，INTERNET上还出现了JAVA和ACTIVEX形式的恶意小程式。另一种主要威胁来自于电子邮件。大多数的INTERNET邮件系统提供了在网络间传送附带格式化文档邮件的功能。只要简单地敲敲键盘，邮件就能够发给一个或一组收信人。因此，受病毒感染的文档或文档就可能通过网关和邮件服务器涌入企业网络，从而给企业造成巨大的损失。灰鸽子就是大家所熟知的例子。灰鸽子病毒英文名为WIN32HACKHUIGEZI，这个木马黑客工具大致于2001年出现在互联网，当时被判定为高危木马，经过作者的不懈努力，该病毒从2004年起连续三年荣登国内10大病毒排行榜，至今已经衍生出超过6万个变种。中灰鸽子病毒后的电脑会被远程攻击者完全控制，具备和管理者一样的管理权限，远程黑客可以轻易的复制、删除、上传、下载保存在电脑上的文件，机密文件。病毒还可以记录每一个点击键盘的操作，这些操作信息可以被远程攻击者轻松获得。并且，远程攻击者在窃取资料后，还可以远程将病毒卸载，达到销毁证据的目的4。25应用管理安全管理安全是网络中安全得到保证的重要组成部分，是防止来自内部网络入侵必须的部分。责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。如内部不满的员工有的可能熟悉服务器、小程序、脚本和系统的弱点。利用网络开些小玩笑，甚至破坏，传出至关重要的信息，错误地进入数据库、删除数据等。3网络环境下企业信息安全对策对于上述存在的信息安全问题，可以从以下几个方面进行解决。31物理安全对策保证计算机信息系统各种设备的物理安全是保障整个网络系统安全的前提。物理安全是保护计算机网络设备，设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。正常的防范措施主要在三个方面。311机房环境安全防雷措施对机房内所有计算机和各种地线系统采用统一的防雷处理，即建筑物内共地系统，保证设备安全，并能防止电磁信息泄漏。在楼顶安装了避雷设施，即在主机房外部安装接闪器、引下线和接地装置，吸引雷电流，并为泄放提供了一条低阻值通道。机房内部采取屏蔽、合理布线、过电压保护等技术措施，以此达到防雷的目的。另外，还采取相应的防盗、防静电、防火、防水等措施。312通信线路安全主要是对电源线和信号线采取加装性能良好的滤波器功能，减小阻抗和导线间的交叉耦合，阻止传导发射。对机房水管、暖气管、金属门采用各种电磁屏蔽措施，阻止辐射发生。对主机房及重要信息存储、收发部门进行屏蔽处理，以防止磁鼓，磁带与高辐射设备等的信号外泄。为提高屏蔽室的效能，在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设计，如信号线、电话线、空调、消防控制线，以及通风波导，门的关起等。313电源等设备安全主要是加强对网络系统硬件设备的使用管理，强调坚持做好硬件设备（如交换机、路由器、主机、显示器等）的日常维护和保养工作，定期检查供电系统的各种保护装置及地线是否正常。电源系统电压的波动、浪涌电流和突然断电等意外情况的发生可能引起计算机系统存储信息的丢失、存储设备的损坏等情况的发生，必须依照国家的相关标准配备。32系统安全对策系统网络安全是整个安全解决方案的关键。首先根据不同用户安全级别或者根据不同部门的安全需求来划分虚拟子网VLAN。其次为了保护通信数据的机密性与完整性，数据需经过配备加密设备，使得在网上传送的数据是密文形式，而不是明文。其采用的主要技术有VLAN（虚拟局域网）技术，认证技术，信息加密技术等。321VLAN（虚拟局域网）技术虚拟局域网技术，是指网络中的站点不拘泥于所处的物理位置，而可以根据需要灵活地加入不同的逻辑子网中的一种网络技术。运用VLAN（虚拟局域网）技术，将以太网通信变为点到点通信，防止大部分基于网络侦听的入侵。在集中式网络环境下，我们通常将中心的所有主机系统集中到一个VLAN里，在这个VLAN里不允许有任何用户节点，从而较好地保护敏感的主机资源。在分布式网络环境下，我们可以按机构或部门的设置来划分VLAN。各部门内部的所有服务器和用户节点都在各自的VLAN内，互不侵扰。从技术角度讲，VLAN的划分可依据不同原则，一般有以下三种划分方法5（1）基于端口的VLAN划分这种划分是把一个或多个交换机上的几个端口划分一个逻辑组，这是最简单、最有效的划分方法。该方法只需网络管理员对网络设备的交换端口进行重新分配即可，不用考虑该端口所连接的设备。（2）基于MAC地址的VLAN划分MAC地址其实就是指网卡的标识符，每一块网卡的MAC地址都是惟一且固化在网卡上的。网络管理员可按MAC地址把一些站点划分为一个逻辑子网。（3）基于路由的VLAN划分路由协议工作在网络层，相应的工作设备有路由器和路由交换机（即三层交换机）。该方式允许一个VLAN跨越多个交换机，或一个端口位于多个VLAN中。就目前来说，大多数企业采取上述第1、3种方式，第2种方式为辅助性的方案。322认证技术认证是防止主动攻击的重要技术，它对开放环境中的各种消息系统的安全有重要作用，认证的主要目的有两个验证信息的发送者是真正的验证信息的完整性，保证信息在传送过程中未被窜改、重放或延迟等。目前有关认证的主要技术有消息认证，身份认证和数字签名。而数字签名是目前应用最广泛的一种认证技术。数字签名能够防止他人冒名进行信息发送和接收，以及防止本人事后否认已进行过的发送和接收活动，数字签名使用的是公钥密码技术RSA非对称加密法，安全性很高。其具体认证过程如图31所示6图31数字签名（1）发送方首先用公开的单向函数对报文进行一次变换，得到数字签名（摘要），然后利用私有密钥对数字签名进行加密后附在报文之后一同发出。（2）接收方用发送方的公开密钥对数字签名进行解密变换，得到一个数字签名的明文。发送方的公钥是由一个可信赖的技术管理机构即验证机构（CACERTIFICATIONAUTHORITY）发布的。（3）接收方将得到的明文通过单向函数进行计算，同样得到一个数字签名，再将两个数字签名进行对比，如果相同，则证明签名有效，否则无效。这种方法使任何拥有发送方公开密钥的人都可以验证数字签名的正确性。由于发送方私有密钥的保密性，使得接收方既可以根据验证结果来拒收该报文，也能使其无法伪造报文签名及对报文进行修改，原因是数字签名是对整个报文进行的，是一组代表报文特征的定长代码，同一个人对不同的报文将产生不同的数字签名。这就解决了银行通过网络传送一张支票，而接收方可能对支票数额进行改动的问题，也避免了发送方逃避责任的可能性。323信息加密技术加密是实现信息存储和传输保密性的一种重要手段。信息加密的方法有对称密钥加密和非对称密钥加密，两种方法各有所长，可以结合使用，互补长短。对称密钥加密，加密解密速度快、算法易实现、安全性好，缺点是密钥长度短、“穷举”方式进攻的代价小。非对称密钥加密，容易实现密钥管理，便于数字签名，缺点是算法较复杂，加密解密花费时间长。加密技术中的另一重要的问题是密钥管理，主要考虑密钥设置协议、密钥分配、密钥保护、密钥产生及进入等方面的问题。33黑客攻击对策应对黑客的攻击，采用的技术主要有防火墙技术和入侵检测技术。331防火墙技术根据CNCERT/CC调查显示，在各类网络安全技术使用中，防火墙的使用率最高达到765，是防止黑客攻击的桥头堡7。防火墙是设置在被保护网络和外部网络之间的一道屏障，以防止发生不可预测的、潜在破坏性的侵入。它通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护。常见的防火墙体系结构双重宿主主机体系结构、屏蔽主机体系结构、屏蔽子网体系结构8。（1）双重宿主主机体系结构又称为双宿多宿网关防火墙，它是一种拥有两个或多个连接到不同网络上的网络接口的防火墙，通常用一台装有两块或多块网卡的堡垒主机做防火墙，两块或多块网卡各自与受保护网和外部网相连，其体系结构如图32图32双重宿主主机体系结构（2）屏蔽主机体系结构屏蔽主机防火墙由包过滤路由器和堡垒主机组成，其配置如图33所示。在这种方式的防火墙中，堡垒主机安装在内部网络上，通常在路由器上设立过滤规则，并使这个堡垒主机成为外部网络惟一可直接到达的主机，这保证了内部网络不被未经授权的外部用户的攻击图33屏蔽主机体系结构（3）屏蔽子网体系结构屏蔽子网防火墙的配置如图34所示，采用了两个包过滤路由器和一个堡垒主机，在内外网络之间建立了一个被隔离的子网，定义为“非军事区”网络，有时也称作周边网。网络管理员将堡垒主机、WEB服务器、EMAIL服务器等公用服务器放在非军事区网络中。内部网络和外部网络均可访问屏蔽子网，但禁止它们穿过屏蔽子网通信。图34屏蔽子网体系结构网络防火墙技术的作为内部网络与外部网络之间的第一道安全屏障，是最先受到人们重视的网络安全技术，那么我们究竟应该在哪些地方部署防火墙呢首先，应该安装防火墙的位置是公司内部网络与外部INTERNET的接口处，以阻挡来自外部网络的入侵；其次，如果公司内部网络规模较大，并且设置有虚拟局域网VLAN，则应该在各个VLAN之间设置防火墙；第三，通过公网连接的总部与各分支机构之间也应该设置防火墙，如果有条件还应该同时将总部与各分支机构组成虚拟专用网VPN。安装防火墙的基本原则是只要有恶意侵入的可能，无论内部网络还是与外部公网的连接处，都应该安装防火墙。332入侵检测技术防火墙只是一种被动防御性的网络安全工具，仅仅使用防火墙是不够的。首先，入侵者可以找到防火墙的漏洞，绕过防火墙进行攻击。其次，防火墙对来自内部的攻击无能为力。它所提供的服务方式是要么都拒绝，要么都通过，不能检查出经过他的合法流量中是否包含着恶意的入侵代码。对于以上提到的问题，一个更为有效的解决途径就是入侵检测技术。入侵检测是通过从计算机网络系统中的若干关键点收集信息并对其进行分析，从中发现违反安全策略的行为和遭到攻击的迹象，并做出自动的响应。入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。因此被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测。在入侵检测系统中利用审计记录，入侵检测系统能够识别出任何不希望有的活动，从而达到限制这些活动，以保护系统的安全。在企业网络中采用入侵检测技术，最好采用混合入侵检测，即在网络中同时采用基于网络和基于主机的入侵检测系统，则会构架成一套完整立体的主动防御体系。34网络病毒对策341病毒防治体系特性根据现代企业的具体境况，我们建议企业应该建立起复杂的多层次病毒防治体系，以应对当前的网络病毒。首先应该考虑在何处安装病毒防治软件。在企业中，重要的数据往往保存在位于整个网络中央结点的文档服务器上，这也是病毒攻击的首要目标。为保护这些数据，网络管理员必须在网络的多个层次上配置全面保护措。其必须具备三个特性9（1）集成性任何的保护措施必须在逻辑上是统一的和相互配合的。（2）单点管理作为一个集成的解决方案，最基本的一条是必须有一个安全管理的聚焦点。（3）自动化系统需要有能自动更新病毒数据库和其他相关信息的功能。342病毒防治软件安装（1）工作站工作站是病毒进入网络的主要途径，所以应该在工作站上安装防病毒软件。虽然现在许多病毒是通过INTERNET文档下载和电子邮件文档附着传播的，但最主要的传播途径还是由外界带来的软盘，因此在工作站上实施实时软盘扫描是十分必要的。他能够使病毒感染的机会降至最少。当然，在工作站上安装的防病毒软件应很好地融合于系统，便于统一更新和自动运行，以避免给用户造成不便。（2）邮件服务器邮件服务器是防病毒软件的第二个着眼点。邮件是重要的病毒来源。邮件在发往其目的地前，首先进入邮件服务器并被存放在邮箱内，所以在这里安装防病毒软件是十分有效的。（3）备份服务器备份服务器是用来保存重要数据的。备份服务器是保护数据的最后据点，是恢复其他服务器数据的基本依据。因此在备份服务器上装杀毒软件是非常必要的（4）INTERNET服务器和文档服务器网络中任何存放文档和数据库的地方都可能出问题，因此需要保护好这些地方。文档服务器中存放企业重要的数据。在INTERNET服务器上安装防病毒软件是头等重要的，上载和下载的文档不带有病毒对您和您客户的网络都是很重要的。343病毒防护体系的自动控制一个企业范围的防病毒系统必须统一管理整个域中成百上千个结点服务器和工作站才能真正发挥作用，这就需要在一台或几台电脑上安装的防病毒系统控制程序，能够对整个网络或其中任何一个节点的变化作出反应和控制，能够获取病毒信息，进行配置和操作。当某个节点的防范程序认为存在可能的病毒感染时，中央控制系统必须能够切断此节点和网络的连接，以避免病毒向整个网络的扩散。当任何受感染的电脑都被隔离后，防病毒管理系统通知系统管理员，以便采取紧急措施。防病毒系统的警报和通知方法是多样的，比如能够配置不同病毒活动的警报级别，根据问题的不同通知不同的管理人员，根据事件记录产生不同级别的文字消息。35应用管理安全对策信息安全无外乎是技术和管理的结合体，在技术上做到了万无一失，并不表示企业的信息就安全了，我们还要从管理上着手，打造安全管理体系。安全管理体系分为以下八个方面人事管理、场地设施管理、设备管理、软件管理、密钥和口令管理、网络管理、安全审计管理和应急管理。如图35所示安全管理体系人事管理场地设施管理设备管理网络管理安全审计管理软件管理口令管理应急管理图35安全管理体系351人事管理人事管理就是对安全人员的管理。安全人员包括系统管理员、安全管理员、系统分析员、系统操作员、软硬件维护人员、技术文档管理人员。（1）人事管理原则一般情况下，每项与安全有关的活动不允许一人单独完成，并且所有安全功能的实施不集中于一人；应用程序开发人员与操作人员分离，开发人员不参与日常操作，操作人员不参与开发。所有人员的工作、活动范围和访问权应被限制在完成其任务的最小范围内。（2）岗位人选信息系统的关键岗位人选安全负责人、安全管理员、网络管理员、系统管理员、系统分析员等必须经过严格的政审并要考核其业务能力。相关联的关键岗位人员不能兼职。（3）签订保密合同关键岗位人员和涉密人员要与企业签订保密合同，承诺其对系统应尽的安全保密义务。352场地设施管理（1）建立机房出入登记管理制度，无关人员限制进入机房。（2）建立机房主要设备维护记录文档；及时检查机房主要设备，确保设备处于正常状态。（3）及时做好系统备份和系统日志备份，必要时打印系统日志（4）制定应急措施，出现与安全有关的故障时，按规定时间处理的同时报安全管理部门。353设备管理首先是设备购置登记对所有设备均应建立项目齐全、管理严格的购置、移交、使用、维护、维修和报废等登记制度，并认真做好登记及检查工作，保证设备管理工作正规化。再次是设备维修管理对系统进行维修时应采取数据保护措施；涉密系统的维修应在设备责任人监督下进行；安全设备维修时应有安全管理员在场。双方在维修记录上签字。354软件管理软件管理范围包括操作系统、应用软件、数据库、安全软件和工具软件等的采购、安装、使用、更新和维护。（1）重要的操作系统和应用软件应在安全管理员的监督下进行安装。（2）软件安装后，原件应进行登记造册，由专人保管。软件更新后，软件的新旧版本均应登记造册，由专人保管。旧版本的销毁应受严格控制。（3）定期对操作系统、数据库管理系统及其它相关软件进行稽核审计，分析与安全有关的事件，堵塞漏洞。355口令管理（1）信息系统口令一般集中产生。（2）口令的长度根据访问等级确定；涉及国家绝密级的信息的口令不少于十二个字符（或六个汉字）涉及国家机密级信息的口令不少于十个字符或五个汉字10。（3）不能把口令以明码方式保留在任何媒介上输入的口令不应显示在显示终端上。（4）口令传送必须加密，并与用户身份识别码一一对应。（5）强度特别高的访问控制应使用一次性口令机制。356网络管理（1）缺少必要安全措施的网络不能正式投入使用。（2）网络方案设计必须充分考虑其安全性，网络建设过程中应有安全管理人员参加。（3由专人实施对网络的统一管理、监督与控制，网络调整及运行状况详细记录归档。357安全审计管理（1）制定保存和调阅审计日志的管理制度，定期检查信息系统中网络、操作系统、应用等环节的审计功能模块，确保其访问审计记录和运行日志没有被修改和毁坏。（2）及时对审计内容进行分析，找出潜在的安全威胁和异常行为，追查发生异常行为的原因和人员。（3）根据对信息系统安全漏洞扫描报告和通知，及时调整安全策略。（4）定期将审计结果报企业领导，并归档。358应急管理信息系统运转过程的每个环节都必须对可能发生的安全事件和故障，制定应急管理制度。（1）根据不同的安全事件和故障类型，按照最坏程度制定相应的应急措施，进行测试和演练。（2）一旦事件发生，启用应急措施，记录现场情况和系统断点，了解事件的范围，判断事件的危害性和损失，按规定报主管领导和有关部门。（3）事后要分析原因，总结教训，弥补系统的脆弱性，完善安全策略、服务和过程。4企业信息安全体系建立实例对企业来说，建立一个合理、经济的信息安全管理体系是十分重要和必要的。但如何建立信息安全管理体系，却有多种方法和手段，但根本方法是要建立健全的信息安全管理制度和采用相应的技术手段。通过制度和手段的有机结合，可以达到最佳的信息安全管理效果。下面通过百川科技有限公司的信息安全管理体系的建立过程，来说明怎样建立企业信息安全体系。41公司简介本人曾在这家公司实习过，对之有所了解。成都百川科技有限公司（简称百川公司）是一家专业机械制造厂家，公司从1999年开始采用计算机技术应用于产品开发、生产管理之中，形成了具有百川特色的信息化应用体系。百川公司信息安全管理体系的建立和运行过程分为四个步骤，如图41并以循环的方式给予完善和巩固。信息安全体系管理与控制中心信息安全风险分析与评估信息安全防护策略与制度信息安全防护技术实施信息安全管理效果分析评估图41百川公司信息安全防护体系建立过程示意图（1）信息安全风险分析与评估是建立信息安全管理体系的第一步，利用“失误模型及后果分析法”技术，发现系统中每一个环节所产生的（或潜在的）失误条件，对信息安全的影响程度。（2）信息安全防护策略与制度是建立信息安全管理体系的基础，通过确定关键信息、岗位配置、工作人员的权限，明确企业信息的使用范围和处理方式。（3）信息安全防护技术实施是对信息安全防护策略与制度执行情况的监控手段，是维护信息安全管理体系的保障。（4）信息安全防护效果分析评估是为完善动态信息安全管理体系提供必要的依据。通过信息安全管理效果分析和评估，可以不断发现新的安全漏洞和隐患，进一步完善信息安全防护策略和制度。42信息安全体系的构建（1信息安全风险分析与评估与信息安全防护效果分析评估，是百川公司建立信息安全体系的重要组成部分，前者是发现问题，并提出可行性方案，后者是对已经成型的管理模式进行分析，发现问题，并提出整改意见。两者是有机的统一体。（2信息安全防护策略与制度百川公司按照信息流的层次、使用单位和使用对象，在信息安全管理体系中给予充分体现。总经理办公室和公司信息中心是信息安全管理体系的管理部门，总经理办公室主要负责建立涉及企业信息安全管理体系的各种行政管理制度和日常的监督检查，信息中心负责计算机硬件、软件、局域网、操作日志、各部门子系统管理员的购买、维护、监督和授权等。而企业各部门只负责本部门的授权事宜。百川公司对各级员工分为两类五级，即普通工作人员的初级、中级、高级3级和管理人员2级。各级人员的权限是不同的，越往上权限越高。百川公司针对企业信息安全管理体系的要求，设置了专门人员负责计算机网络和信息安全管理体系的日常维护。设置了系统管理员、日志管理员、安全管理员、数据管理员和文件打印员等岗位，在工作权限方面进行分工，相互制约。系统管理员主要负责企业局域网的建设和维护、外购软件的安全性能测试以及日志管理员、安全管理员、数据管理员和文件打印员的权限分配和授权。日志管理员主要负责对日志文件的内容进行检查、清理，对日志内容所描述的事件进行分析，提出信息安全和系统运行等方面的报告和预防建议。经过整理的日志文件，通过数据管理员进行备份与保存。安全管理员主要负责软件的防“病毒”侵袭、电子文件的解密以及各客户端的权限分配和授权。数据管理员主要负责定期对企业各系统所产生的数据、电子文挡进行有效备份，确保数据和电子文挡的安全，以便在企业信息网络出现“灾难”时恢复数据和电子文挡。同时，维护计算机数据库管理系统。文件打印员主要负责与产品开发有关的技术文挡、企业允许外发文挡的打印，所打印的电子文档必须得到相关权限的批准和授权。一般情况下，所打印的电子文档应通过OA、PDM或ERP系统的打印审批流程。在百川公司计算机应用软件中，通过对商品化软件的二次开发和设定，使所有应用软件，如CAD、WORD等建立了软件操作登录窗口，每个操作人员必须输入自己的用户名和登录口令，方可进入或启动软件进行操作。操作人员在CAPP（工艺人员）、OA（所有办公人员）、PDM（工艺、设计人员）、ERP（生产经营人员）和WINDOWS（所有员工）等系统中，进行身份确认，并授予相应的操作权限，保证企业信息的安全。（3）信息安全防护技术实施百川公司局域网拓扑图如图42图42百川公司计算机局域网拓扑图百川公司根据其具体业务和部门来进行局域网的构建，为了保护信息的安全，主要采用了以下技术防火墙技术从拓扑图上可以很清晰的看出来，百川公司采用的防火墙部署结构是屏蔽子网体系结构。整个网络分为三部分直接和外部广域网相连的部分即不安全区；公用服务器和堡垒主机存放区即DMZ区（非军事区）；内部网区即安全区。这种部署能大大降低黑客对内网的攻击，因为入侵者必须从外向内突破3个不同的设备才能侵袭内部网络外部路由器，堡垒主机，还有内部路由器。如果将内外路由器分别采用不同厂商的路由器，则入侵的难度还会加大，从而有效地保护了企业的信息安全。入侵检测技术防火墙只是一种被动防御性的网络安全工具，仅仅使用防火墙是不够的。因此百川公司采用了主动防御技术入侵检测技术。公司采用的是ISS公司（国际互联网安全系统公司）的REALSECURE入侵检测系统。它是计算机网络上自动实时的入侵检测和响应系统，能对网络进行监听并自动对可疑行为进行响应，最大程度保护网络安全；其运行在特定的主机上，监听并解析所有的网络信息，及时发现具有攻击特征的信息包；检测本地网段，查找每一数据包内隐藏的恶意入侵，对发现的入侵做出及时的响应。当检测到攻击时，系统能即刻做出响应，进行告警/通知（向控制台告警、向安全管理员发EMAIL、SNMPTRAP、查看实时会话和通报其他控制台），记录现场（记录事件日志及整个会话），采取安全响应行动（终止入侵连接、调整网络设备配置，如防火墙、执行特定的用户响应程序）。虚拟局域网技术从图中可以看出，百川公司划分了很多个虚拟局域网，其具体采用的是基于端口的VLAN划分。公司根据信息的敏感程度对局域网进行了划分，这样能有效的保证信息的安全，含有敏感数据的用户组可与网络的其余部分隔离，从而降低泄露机密信息的可能性。不同VLAN内的报文在传输时是相互隔离的，即一个VLAN内的用户不能和其它VLAN内的用户直接通信，如果不同VLAN要进行通信，则需要通过路由器或三层交换机等三层设备。认证技术公司主要采用了身份认证技术和数字签名技术。身份认证主要是针对内部员工，当员工需要访问公司内部数据时，需根据数据的机密等级由网络管理员赋予其不同的权限，进而配发动态口令牌。而对于公司和其他公司的业务往来，就需要用到数字签名技术，来保证双方数据传输的安全性和不可否认性。数据加密技术百川公司根据具体的安全策略，对公司的信息采用了两种加密产品即文件/文件夹加密产品，全盘加密FDE技术产品。前者主要用于一般重要性且经常要用到的信息；后者主要用于重要的不经常进行变更的信息。TRUECRYPT，赛门铁克的ENDPOINTENCRYPTION是公司的首选加密产品。病毒防治技术百川公司网络防病毒方案的组成采用多层次结构，智能化，全自动，集中管理，强制策略执行以及多平台支持的技术，在网络结构的每一个层次，每一个平台，每一种环境下都有相应的防病毒产品对其进行防病毒保护，如在防火墙、网关，服务器以及工作站等都有相应的防病毒产品。网络防病毒解决方案主要包含以下几个组成部分系统控制中心，报警管理系统，产品管理单元，防病毒产品包括各种平台下的服务器和客户端防病毒产品，产品和病毒定义码升级管理软件。通过这几个部分的有机协作工作，很好的解决了病毒对企业信息的破坏。信息安全是一个相对概念，没有绝对的安全。确定合理的信息安全措施，防止因过分强调信息安全而大幅度降低系统运行质量和性能，妥善处理信息安全与运行质量及性能的关系，进一步规范系统运行规则，建立符合标准与合理相结合的安全措施，可提高系统的运行效果。通过百川公司信息安全管理体系的建立，使企业的信息始终处于有效和安全的管理状态之中，杜绝了可能造成的信息泄露之源，保护了企业的根本利益。结论企业信息系统是企业信息化的核心设施，必须建立完善的、智能化的网络安全防范体系，确保网络的安全、稳定、高效地运行。而网络安全涉及的内容既有技术方面的问题，也有管理方面的问题，两方面相互补充，缺一不可。技术方面主要侧重于防范非法用户的攻击，管理方面则侧重于内部人为因素的管理。只有通过多方面的不断努力，企业信息系统才能够在比较安全的环境下工作。总之，企业信息系统的安全问题将会越来越得到人们的重视，其不但是一个技术难题，同时更是一个管理安全的问题。企业信息系统安全建设是一个非常复杂的系统工程。因此，企业必须综合考虑各种相关因素，制定合理的目标、规划相应的技术方案等。信息安全技术必将随着网络技术与通信技术的发展而不断得到完善。参考文献1王大运科教创新J科海故事博览，2009，210132王秀和，杨明计算机网络安全技术浅析J中国教育技术设备，2007，（3）133张千里网络安全新技术M北京人民邮电出版社，20035龙冬阳网络安全技术及应用M广州华南理工大学出版社，20066常建平，靳慧云，娄梅枝网络安全与计算机犯罪M北京中国人民公安大学出版社，2002注意1、所有参考文献只列出期刊、著作。2、各种网站、报刊只在论文中用脚注标记。致谢本论文是2010年12月至2011年5月底在成都信息工程学院银杏酒店管理学院完成的。整篇论文从搜集资料到酝酿、写作、定稿历时7个月，在此期间，得到了王赵舜老师的热情帮助和悉心指导。王老师每次都耐心地给我分析论文的可取之处和不足之处，提出修改意见，从初稿到定稿给了我很大鼓励。在此，我谨向王老师致以最衷心的谢意，同时感谢电子商务系的各位领导、老师，特别是刘虹老师在此期间对我的关心与帮助，使我能顺利完成论文撰写工作，从而进一步提高个人知识结构水平。另外，还要感谢学院图书馆给予无私的数据资料等支持。最后，向百忙之中评审本论文及参加论文答辩的各位专家学者表示衷心的感谢您好，为你提供优秀的毕业论文参考资料，请您删除以下内容，O_O谢谢ALARGEGROUPOFTEAMERCHANTSONCAMELSANDHORSESFROMNORTHWESTCHINASSHAANXIPROVINCEPASSTHROUGHASTOPONTHEANCIENTSILKROAD,GANSUSZHANGYECITYDURINGTHEIRJOURNEYTOKAZAKHSTAN,MAY5,2015THECARAVAN,CONSISTINGOFMORETHAN100CAMELS,THREEHORSEDRAWNCARRIAGESANDFOURSUPPORTVEHICLES,STARTEDTHETRIPFROMJINGYANGCOUNTYINSHAANXIONSEPT19,2014ITWILLPASSTHROUGHGANSUPROVINCEANDXINJIANGUYGURAUTONOMOUSREGION,ANDFINALLYARRIVEINALMATY,FORMERLYKNOWNASALMAATA,THELARGESTCITYINKAZAKHSTAN,ANDDUNGANINZHAMBYLPROVINCETHETRIPWILLCOVERABOUT15,000KILOMETERSANDTAKETHECARAVANMORETHANONEYEARTOCOMPLETETHECARAVANISEXPECTEDTORETURNTOJINGYANGINMARCH2016THENTHEYWILLCOMEBACK,CARRYINGSPECIALTYPRODUCTSFROMKAZAKHSTANASMALLARTTROUPEFOUNDEDSIXDECADESAGOHASGROWNINTOAHOUSEHOLDNAMEINTHEINNERMONGOLIAAUTONOMOUSREGIONINTHE1950S,ULANMUQIRARTTROUPEWASCREATEDBYNINEYOUNGMUSICIANS,WHOTOUREDREMOTEVILLAGESONHORSESANDPERFORMEDTRADITIONALMONGOLIANMUSICANDDANCESFORNOMADICFAMILIESTHE54YEAROLDWASBORNINTONGLIAO,INEASTERNINNERMONGOLIAANDJOINEDTHETROUPEIN1975HESAYSTHEREARE74BRANCHTROUPESACROSSINNERMONGOLIAANDACTORSGIVEAROUND100SHOWSEVERYYEARTOLOCALNOMADICPEOPLE“ICANSTILLRECALLTHEDAYSWHENITOUREDWITHTHETROUPEINTHEEARLY80SWESATONTHEBACKOFPICKUPTRUCKSFORHOURSTHESKYWASBLUE,ANDWECOULDNTHELPBUTSINGTHEFOLKSONGS,“NASUNSAYSTHEVASTNESSOFINNERMONGOLIAANDTHELACKOFENTERTAINMENTOPTIONSFORPEOPLELIVINGTHERE,MADETHEIRLIVESLONELY“THENOMADICPEOPLEWEREVERYEXCITEDABOUTOURVISITS,“NASUNRECALLS“WEDIDNTHAVEAFORMALSTAGETHEAUDIENCEJUSTSATONTHEGRASSUSUALLY,THEPERFORMANCESBECAMEABIGPARTYWITHLOCALPEOPLEJOININGIN“FORHIM,THEREWARDINGPARTABOUTTOURINGISNTJUSTABOUTSHARINGARTWITHNOMADICFAMILIESBUTALSOABOUTGAININGINSPIRATIONFORTHEMUSICANDDANCEULANMUQIRLITERALLYTRANSLATESAS“REDBURGEON“,ANDTODAYSPERFORMERSOFTHETROUPESTILLTOURTHEREGIONSVILLAGESANDENTERTAINNOMADICFAMILIES,BUTTHEIRF