第一篇：网络安全等级保护信息建设方案
摘要：
通过具体阐述信息安全保障体系的建设，论述了安全策略的定义、构成，提出了总体规划设计信息安全保障体系的架构，结合安全建设需求，提出完整的安全保障体系框架。
关键词：
高校；校园网；等级保护；建设
引言
经过多年的发展，高校业务系统基本到位，在充分挖掘业务系统应用的基础上，通过对比等级保护基本要求，初步明晰网络安全存在的差距，基本了解信息系统的风险所在，可以判断出信息系统的安全需求[1]。在充分参考了等级保护基本要求的基础上，同时借鉴其他行业建设案例、行业最佳实践，并在信息化建设安全系统设计的基础上，根据国家网络安全等级保护的要求提出了本建设方案。网络安全规划遵循以下原则：整体性、合规性、重点保护、针对性、可持续性、可实施性、先进性[2]。
1需求分析
1）在信息化建设时，除满足业务需求外，对网络架构设计需要秉持统一性、整体性原则，需要对网络架构从IP地址规划、网络设备命名、网络架构层次、结构可扩展性、网络的可靠性进行综合分析，进行网络架构的优化。
2）业务系统相对较多，各业务系统之间存在较多的互访行为，需要针对关键业务流程分析，分析关键业务涉及的系统和业务软件、业务逻辑结构、业务模块通信端口、数据调用过程、数据流向，进而明确安全边界，合理划分安全域，为后续安全设备的采购、部署奠定基础。
3）需要加强对外联单位的接入控制，并通过部署防火墙、入侵防御系统等加强边界防护。
4）重点加强核心业务系统服务器区安全防护，严格控制业务系统的细粒度的访问权限。
5）部署漏洞扫描系统，针对全网设备定期扫描，及时发现内网系统存在的漏洞并修复，提升自身安全防护能力。
6）部署数据库审计系统、配置网络审计系统，通过实时的网络数据采集、智能信息处理、审计分析，实时记录网络访问及数据库访问行为，并对违规操作进行报警。
7）部署堡垒机系统，实现对全网安全设备、网络设备、数据库、服务器的统一运维管理，包括统一账号管理、统一身份认证、统一授权、统一审计和单点登录管理。
8）部署日志审计系统，收集全网设备的系统日志，进行归并存储，供日后审计需求。
9）部署终端管理系统，实现全网的终端安全管控。
10）建设安全管控平台，监控、分析和管理信息系统的整体安全态势，并为整个信息系统的安全运营提供决策服务；安全管控平台通过多种技术、手段，收集和整合各类安全事件，并运用实时关联分析技术、智能推理技术和风险管理技术，实现对全网安全事件的深度分析，快速做出智能响应，实现对全网安全风险的统一监控分析和预警处理。
11）建设身份认证与行为审计管理平台，以PKI/CA技术为核心，与应用系统进行深度整合，实现集中的用户管理、证书管理、认证管理、授权管理和审计等功能，为多业务系统提供用户身份、系统资源、权限策略、审计日志等统一、安全、有效的配置和服务。此外，在管理制度的建设方面各高校虽较为完善，基本符合等级保护的要求，但并未形成有效的管理体系，同时缺乏相关指标，以便对管理制度的执行进行有效性测量，需要围绕现有管理制度进行优化并着手建设信息安全管理体系；流量管理与控制，需要能够准确识别各种应用及流量，而且对流量可进行精细化的管理；运维工作目前依然依赖于信息中心人员的自主能力以及经验传承，缺乏必要的流程、工具，诸如应急响应预案、全网的风险态势实时监控、事件处理流程等，因此亟需建立运维体系[3]。
2体系模型
信息安全保障体系的建设应当凸显顶层设计，设计一个良好的信息安全保障体系架构。能够保证建立一个结构化的安全体系，以结构化的安全体系来应对系统性的安全风险；能够落实信息安全保障工作的长效机制，打造一支专业化的信息安全保障队伍；通过实施动静结合两条线的安全保障，支撑业务的快速稳定发展。信息安全保障体系架构的设计中参考了如下模型：P2DR动态安全防护体系、IATF信息保障技术框架以及等级保护的标准要求。
1）P2DR模型。策略（Policy）：策略是P2DR模型的核心，所有的防护、检测、响应都是依据策略。它描述了系统中哪些资源要得到保护，以及如何实现对它们的保护等。防护（Protection）：防护是主动防御的防御部分，系统的安全最终是依靠防护来实现的。防护的对象涵盖了系统的全部，防护手段也因此多种多样。检测（Detection）：检测是动态响应和加强防护的依据。通过不间断的检测网络和系统，来发现威胁。响应（Response）：响应是主动防御的实现。根据策略以及检测到的情况动态地调整防护，达到主动防御的目的。信息系统的安全是基于时间特性的，P2DR安全模型的特点就在于动态性和基于时间的特性。
2）IATF信息保障技术框架。当信息安全发展到信息保障阶段之后，人们越发认为，构建信息安全保障体系必须从安全的各个方面进行综合考虑，只有将技术、管理、策略、工程过程等方面紧密结合，安全保障体系才能真正成为指导安全方案设计和建设的有力依据。信息保障技术框架(InformationAs-suranceTechnicalFramework，IATF)就是在这种背景下诞生的。
3）等级保护模型。等级保护工作作为我国信息安全保障工作中的一项基本制度，对提高基础网络和重要信息系统安全防护水平有着重要作用，而在《信息系统安全等级保护基本要求》中对信息安全管理和信息安全技术也提出了要求。
3安全策略
安全策略是信息安全保障体系的核心，是信息安全管理工作、技术工作和运维工作的目标和依据。安全策略由总体策略和分项策略组成，具有分层结构的完整体系，包含了从宏观到微观，从原则方向到具体措施等多方面的内容。信息安全保障的总体策略应该是：安全保障体系建设与信息系统建设“同步规划、同步建设、同步运行”；动态和静态保障相结合（即建设与运维的有效结合）。信息安全保障的分项策略分别对应技术体系、管理体系、运维体系，为网络与信息系统的安全管理工作提供参照，以支撑安全策略实现，提高信息安全保障水平，确保安全控制措施落实到位，保障网络通信畅通和业务系统的正常运营。
4体系架构
信息安全保障体系的建设必须站在全局的角度，对信息安全的整体进行完整的构想和实施。通过借鉴信息保障技术框架IATF、国际信息安全纵深防御架构并参照P2DR模型（策略、防护、检测、响应），以技术与管理同步，动态和静态保障相结合的思想，总体规划设计信息安全保障体系架构。
5建设方案
综合考虑安全建设需求，提出完整的安全保障体系框架，从安全技术体系、管理体系、运维体系三个角度出发，从而构建一套完整的信息安全保障体系，实现信息系统的业务安全保障。
5.1安全技术体系
1）在主机房服务器区域出口处部署防火墙，提供内网各个安全域横向边界的访问控制，实现核心应用系统的安全隔离。在外网互联网边界接入区域部署防火墙为互联网边界提供访问控制。
2）在服务器区域旁路部署入侵检测系统，提供内网中所有对服务器区域访问行为的入侵行为检测。
3）在互联网边界接入区域部署入侵防护系统，为互联网边界提供边界入侵防护、恶意代码过滤。
4）在内网核心区域旁路部署网络审计系统，实现全网行为审计。
5）在外网互联网边界部署流量控制系统，实现全员的上网行为管理与控制。
6）在安全运维区域部署主机监控与审计系统以及准入控制系统，能够有效探测终端的非法外联、非法内联行为，实现区域边界的完整性保护。在外网部分，通过IP\MAC绑定措施，实现外来人员接入外网的行为控制，实现边界完整性保护。
7）在核心区域旁路部署网络审计系统，收集、记录通信网络的相关安全事件，上报安全管理中心。
8）在外网部署VPN设备，对于移动办公的远程访问行为进行安全加密，提供完整性保护。
9）部署统一身份认证管理系统，实现应用系统的4A（账号、认证、授权、审计）整合。
10）数据库审计系统（含网络审计功能）。
11）在服务器区域旁路部署数据库审计系统（含网络审计功能），实现应用区行为审计、实现数据存储区数据访问记录审计。
12）在安全运维区域部署日志审计系统，收集全网计算环境中产生的日志信息，包括服务器的操作系统和应用系统，数据库服务器以及部分网络设备和安全设备。
13）在安全运维区域部署漏洞扫描系统实现全网网络设备、服务器等漏洞扫描，并提供安全建议和改进措施等功能，帮助用户控制可能发生的安全事件，最大可能消除安全隐患。
14）在安全运维区域部署内控堡垒主机，在系统运维人员和信息系统（网络、主机、数据库、应用等）之间搭建一个唯一的入口和统一的交互的界面，针对信息系统中关键软硬件设备运维的行为进行管控及审计。
15）核心业务数据就是生命线，当故障或灾难发生时，能否有一份可用的数据，是决定其存亡的关键。因此，必须有异地冗灾数据备份和恢复系统，保障数据不丢失。
5.2安全管理体系
在安全运维区域部署安全管理平台，实现全网重要资源的运行状态、安全事件相关数据进行集中采集、统一分析、可视化展现，发现异常时可实时告警响应，并可依据保存的历史数据进行审计等，另外，系统提供了相应的接口，以便与第三方系统实现整合。
5.3安全运维体系
安全运维体系是支撑和保障，建立标准化的运维管理流程，能够有效提升运行管理能力。明确安全运维岗位职责，通过成熟完善的管理工具辅助运行维护管理，使运行维护工作流程化、标准化、自动化、体系化，建立规范的变更流程；制定日常运维计划，日常运维管理服务主要通过驻场工程师提供现场安全职守服务。主要实现对信息系统实时监控与分析，并及时处理信息系统运行中存在的安全问题，确保系统的正常运行。包括但不限于：人员驻场服务、安全事件汇总报告、各系统、设备定时巡检，提供巡检报告、监控分析报告、对安全事件进行应急响应；定期进行安全评估，完善信息系统的信息安全突发事件应急预案、应急队伍、应急演练等；全面实现安全事件管理和响应服务，驻场工程师配合完成。服务内容包括但不限于：安全事件响应分析、灾难恢复、入侵追踪和取证、安全应急响应和灾难恢复、进行入侵追踪和犯罪取证工作，对入侵者给予法律的惩罚、处理应急安全事件之后，会依据信息系统的安全性和威胁，提供相应的事后安全分析和可行性安全建议，并进行事后安全加固。最终建立对安全运维工作的考核机制，把运维成果和绩效相结合。安全运维防护作为动态安全防护，建设过程中主要以信息安全事件为主线，具体建设内容可以分解为安全监控、态势分析、响应机制和应急保障四个环节。安全监控是事前防御的重要措施，主要从系统应用、设备状态和安全事件三个方面进行监控，全面感知网络和信息系统运行情况。态势分析是综合风险隐患、信息安全事件、设备运行状况和用户行为等因素进行全面及时研判，是建立主动预警机制的基础。响应机制是对影响信息系统运行的设备故障、安全事故和安全事件进行分类，制订处置原则和方法，控制和减少事件影响，预防同类情况反复发生。应急保障是在系统发生故障、事故或事件时能及时相应、及时处置，将影响或损失控制在预知的程度内。包括组建应急队伍、制订应急预案和日常应急演练。
6结语
信息安全体系建设包含策划与准备阶段、安全现状调研阶段、差距分析与风险评估阶段、方案（体系模型、安全策略、体系架构、技术方案）论证阶段、技术体系的建设实施阶段、管理体系建立阶段、应急体系建立、运维体系建立与运行。本方案作为信息安全等级保护整改方案暨信息安全规划方案，主要针对建设阶段进行详细的任务分解，对于其他阶段不再细述。
作者：李洪民 单位：滨州医学院网络信息中心
参考文献
[1]范红,邵华,李程远,等.安全管理中心技术实现方法研究[J].信息安全与技术,2010(6):66-67.
[2]李浩.高校校园网网络安全分析及对策研究[J].电脑学习,2009(5):87-89.
[3]胡建龙.校园网络安全问题及防护措施[J].科技信息,2010(23):15-16．
第二篇：医院信息系统网络安全管理研究
［摘要］
医院信息系统的应用，是提升医院医疗服务质量的有效措施。为了确保医院信息系统的正常运行，建设与维护是重中之重。随着信息技术的不断发展，医院信息系统与其他多种应用软件得以有效融合，其功能也得到了一定的扩展，这不仅给医院信息系统带来了机遇，也带来了挑战。本文以医院信息系统的网络安全管理为研究对象，就医院信息系统网络安全管理现存的问题、安全需求以及创新对策进行分析，以期提升医院信息系统的安全性，进而提高医院的医疗服务质量。
［关键词］
医院；信息系统；网络安全；管理；医疗
医院信息系统（HospitalInformationSystem，HIS）是指运用计算机技术、网络技术等现代化技术，对医院的人流、物流、财流等进行综合性管理，以将医院各项医疗行为所产生的数据加工成各种信息，进而为医院的整体运作提供现代化管理的信息系统。医院信息系统作为现代化医院建设中不可或缺的组成部分，其应用有助于提升医院的业务水平、提高医疗服务质量。但是随着我国医院信息系统的不断推广与应用，其安全隐患问题也逐渐暴露出来，这给医院的信息安全带来了极大的威胁。从信息安全管理层面入手，医院信息系统存在网络安全隐患的主要原因在于缺少行之有效的信息安全策略，使系统的网络通信与数据备份等操作的安全性无法获得根本的保障。
1医院信息系统网络安全管理现存的问题
1.1杀毒软件、系统补丁更新不及时
当前，诸多医院在应用医院信息系统时，通常都会在业务主机中安装杀毒软件，但因为主机数量较大，维护难度也较大，导致计算机维护人员很难保证所有主机的杀毒软件、系统补丁都是最新版本，使医院信息系统的应用存在网络安全管理问题。
1.2IP、MAC地址绑定无现实意义
个别医院为了避免外来者随意连接院内网络，通常都会选择在接入层的交换机上将IP地址、MAC地址与端口绑定。但是此操作存在两大安全隐患：第一，IP地址、MAC地址的绑定必须逐台电脑进行设置操作，工作量非常大，也很不方便；第二，略懂计算机技术的人能轻松修改IP地址、MAC地址，进而使其绑定失去现实意义。
1.3IDS入侵检测系统作用失效
当前，大多数医院在应用医院信息系统时都安装了IDS入侵检测系统，但该系统只能在出现异常时发出预警提示，而无法实现其他功能，因此导致入侵检测的功能难以见效。
1.4数据库安全审计系统难以定位到人
在应用信息系统时，大多数医院为了有效避免数据被修改或盗取，通常会选择对登录者进行访问权限设置，但此操作依然不能有效预防恶意者的不法行为。数据库安全审计系统能够详细记录数据库的各项操作，并准确定位到IP地址，但却难以与IP地址所在的人员一一绑定，因此导致无法将责任追究到个人。
2医院信息系统网络安全管理的需求
2.1身份验证与访问控制需求
按照角色级别与用户类型以及对医院信息操作的重要性，判断是否进行身份验证，另外应对不同的用户采用不同的方式验证。访问控制管理必须有明确的条件约束，以确保用户能够在权限范围内登录医院信息系统。
2.2信息资产的安全管理需求
对医院信息资产的安全管理应从硬件与软件两个层面来分析。在硬件上，应保证信息资产处于绝对安全的环境中，以保证信息资产的安全性；同时要保证医院信息系统中各核心设备的合理冗余。在软件上，应保证操作系统与应用软件的安全性，保证入网用户端设备外连接口启动、后台服务等运行的安全性。
2.3网络通信的安全管理需求
医院信息系统要能对网络数据流进行实时控制，同时能够屏蔽危险网络行为，自行检测并处理安全事件，以及时对系统故障进行处理，进而避免网络风险事故的发生，保证网络通信操作行为的安全性。
3医院信息系统网络安全管理的创新对策
3.1物理安全管理对策
医院信息系统的物流安全是指各种硬件信息资产的物理保护，以防遭到破坏，其保护对象包括中心机房、服务器、工作站与硬件接口设备等。中心机房是医院信息系统的核心设备，对其进行网络安全管理的过程中，①应按其设备需求，对室内温度、湿度进行严格把控；②应启动门禁制度，以控制人员流动；③应实施多路供电，以确保电源不中断；④应采取避雷措施。服务器在医院信息系统的运作中占据了举足轻重的地位，服务器一旦发生故障，则会造成整个系统的瘫痪，因此必须确保服务器24小时正常运行，还应进行冗余设置，可采用多机容错、多机热备份方案，或采用双服务器；同时要给服务器配置高质量的UPS电源，并进行冗余设置。工作站是医院临床医师与护理人员的终端PC设备，可作为医院信息系统的独立模块，对其进行网络安全管理时，应确保其工作环境的安全性，同时对软盘、光盘的使用进行明确规定，并用软件对用户的行为进行监控。硬件接口设备包括路由器、集线器等，管理时应制定严格的制度，做好传输电缆端口的记录。
3.2身份验证管理对策
当前，大多数医院所选用的医院信息系统都是基于“B/S”结构与“用户名+密码”的方式验证身份，这种方式较为单一，难以满足医院信息系统的升级需求。建议在“用户名+密码”身份验证方式的基础上，由医院信息系统网管人员统一设置，灵活绑定用户名相关信息，再统一下发至接入层交换机，以加强对用户身份的验证与管理。也可采取安装网络安全管理软件的方式，评测主机的接入是否符合要求，不符合要求则拒绝登录，以此确保用户身份的合法性。
3.3访问控制管理对策
随着医院信息系统的不断推广与应用，过去基于角色的访问控制方法与静态授权方式已然不适用。角色访问控制模型——TLRBAC是一种基于时间与空间环境制约因素的访问控制模式，能够满足医院信息系统的安全管理需求。角色访问控制模型的工作原理是：用户用特定角色身份登录医院信息系统，在其登录前需受时间和空间属性的访问控制权限的限制，以此实现对用户访问行为的有效管理。角色访问控制模型是访问控制对策主要从用户验证、联网访问控制以及操作权限限定3方面来实现。
3.4授权管理对策
在我国医院信息系统不断发展的过程中，医院的信息化管理水平逐渐提升，传统的集中式授权模式显然已经不适用。为了确保医院信息系统的正常运行，必须建立一种更合理的用户授权管理体系。可以采用分布式授权方式或层次化授权方式，分布式授权方式能够实现医院信息系统管理者的多方式分配，确保医院信息系统登录者身份的合法性；层次化授权方式是由各部分进行分层授权，要求医院建设最高授权管理部门，实现信息资产的自动识别，并制定最高的权限管理策略。
4结语
在医院信息系统的安全保护上，当前并无完全单一且有绝对安全保障的管理对策，因此，必须在合理的立体化安全机制下运用各种对策给予预防，且应不断对其功能进行完善，提高安全防治意识，以确保医院各项操作的安全性。
作者：凌科峰 单位：湖南省儿童医院数据管理部
主要参考文献
［1］张桂华,罗平,郭剑峰.医院信息系统的网络安全管理思路［J］.中国医药科学,2011(12).
［2］陈卓明.医院信息系统的网络安全管理探究［J］.通讯世界,2016(5).
［3］欧伟雄.探究医院信息系统网络安全维护及管理［J］.网络安全技术与应用,2015(5).
［4］李艳萍.浅谈医院信息系统的维护和网络安全管理［J］.计算机光盘软件与应用,2012(1).
第三篇：档案信息网络安全管理与防护
【摘要】
档案信息网络化能够让档案信息及时、快速和准确的为用户所使用，但是和传统的纸质档案相比，存在着较大的安全防护和管理隐患。笔者对档案信息网络的安全防护和管理进行了探究，并提出了相应解决策略。
【关键词】
档案信息网络；安全管理与防护
前言
档案管理工作需要通过不断的革新来适应当前的形势发展，通过对档案自动化的管理，来利用网络和计算机为用户提供优质的档案管理服务，充分发挥档案的作用。档案信息网络安全管理和防护工作中，需要严格遵守安全管理机制，仔细的排查隐患和漏洞，从而确保档案内容的万无一失。
1做好应对网关病毒的防御措施
互联网是病毒的主要传播方式，所以，需要做好防御网关病毒的入侵的工作，从而做到未雨绸缪。首先做好防御，而出现病毒入侵时就可以做后续的杀毒工作。其过程为：①拦截企图进入内部网络的互联网病毒，对进出系统的信息进行全面的杀毒；②拦截企图进入或破坏系统的黑客；③拦截企图入侵终端操作系统的互联网病毒，防止病毒在局域网中进行传播[1]。
2应用防火墙技术
防火墙是一种良好网络安全措施，能够有效的隔离局域网（安全区域）和危险网络（风险区域）的连接，从而避免非法入侵。防火墙具有多种形式，既有路由器中的固件形式，也用在个人计算机中运行的软件形式。其主要类型分为：服务器、状态监视器和过滤防火墙。当用户向服务器发出请求后，服务器会首先检查这个请求是否符合设定要求。如果符合要求，那么就会从目标站点取回相关信息，而后回转给用户。服务器通过高速缓存，来交接用户的站点访问内容。如果用户再一次访问同一站点，服务器就可以省去取回访问内容这一环节，这不仅节省了用户的时间也节约了网络资源。状态监视器应用了一个检测模块，可以在不影响正常网络工作的情况下，通过检测网络中的相关数据，并对数据抽样保存，并当作制定安全策略的参考信息。安全报警装置可以在访问者违反安全规定的时候，拒绝其访问[2]。
3培养档案管理人员的互联网安全意识和专业素质
档案管理人员的安全意识和专业素质在很大程度上决定了档案信息管理的安全程度。所以，除了对计算机硬件进行安全管理，还需要提升管理人员的安全意识并加强对系统的保护措施。相关人员在管理工作中，严禁用内部档案管理专用计算机来访问互联网，不可以在档案管理专用计算机中安装其他软件，尽量避免用U盘来传输档案信息，如果迫不得已必须必须使用闪存盘，那么就需要对其彻底杀毒处理。此外，互联网中的文件多多少少都带有一定的病毒，而且其中很多文件是病毒和黑客入侵系统的一种媒介，所以对于网络中来路不明的文件，千万不能随意打开，对于陌生人的文件必须严格防范，才能时刻防护系统不被病毒或者黑客所入侵。
4设置安全口令
安全口令就像是网络大门的一把锁头。如果想进入大门，必须有对应的钥匙。对与安全口令的设置，需要遵守以下几条规则：①口令需要同时包括数字和字母，如果有控制符，口令则更为安全，至少设置八位的口令。②为了便于口令的记忆，需要使用一些具有某种意义又难以猜到的词语。③经常更改口令，以90d为一个周期更改口令。④在系统中去掉所有的缺省口令。
5定期给计算机做安全维护
为了保护档案信息网络的数据安全，档案管理人员需要定期整理计算机系统，及时升级杀毒软件，安全漏洞补丁，定期维护计算机的硬件设施，通过规范的技术性措施来确保计算机硬件的安全系数。应用通用的计算机安全防护软件，从而提升技术防护水平，以此来保证计算机网络的数据安全[3]。
6定期备份重要数据
即使应采用了大量的安全防护措施，还是会有病毒或黑客的入侵现象。所以，管理人员要对重要的数据进行定期备份。利用档案数字化、缩微和复制的技术手段，输出依附不同种载体的备份。就算系统遭到了攻击，也能在短短几十分钟内完全恢复。
7结论
综上所诉，想要做好档案信息网络安全管理和防护工作，必须建立可靠的网络系统防御措施，建立稳固的防护保障和安全管理体系，为档案管理工作提供可靠的安全环境，同时相关档案信息管理人员也需要具备过硬的专业技术和网络安全知识储备，只有这样才能保障档案信息的万无一失。
作者：杨利涛 胡杰 李昆菊 单位：解放军装甲兵工程学院
参考文献
[1]刘丽娜.新形势下档案网络安全管理的发展探究[J].时代报告：学术版，2012（1）：68.
[2]刘建峰.网络环境下高校档案信息安全技术方法初探[J].科技情报开发与经济，2016（6）：47~48.
[3]刘芳.档案计算机网络化管理安全问题的思考[J].黑龙江教育，2016（2）：12.
第四篇：邮政综合信息网无线网络安全策略
摘要：
随着邮政信息化的发展，无线网络安全成为人们日益关注的问题。文章介绍了无线网络存在的安全隐患，分析了邮政企业面临的无线网络威胁，探讨了邮政企业构建安全无线网络的策略。
关键词：
信息网；无线网络；安全；加密；无线路由器；防火墙
随着信息技术的升级以及互联网的爆破式发展，邮政传统函件等业务被严重分流。在此形势下，邮政信息化建设快速向纵深方向发展，不断推动邮政企业运营模式的变革。在计算机网络互连日益普及的今天，不可预料的潜在破坏将对网络造成较大影响，系统和数据安全将受到威胁。因此，邮政信息化中的无线网络安全成为人们最为关注的核心问题。
1无线网络存在的安全隐患
1．1无线网络不设防
由于很多邮政企业对无线网络并不了解，缺乏网络安全意识，在部署无线网络时，很多网络管理人员未对无线网络进行相应的安全设置，使无线网络一直保持出厂时的默认设置。无线路由器的地址、用户名和密码都是默认的，使得企业的无线网络处在不设防状态。在信息发达的互联网中，稍微具备一点网络知识的人就可以轻松查找到各品牌无线路由器厂商的默认设置。用户在无线网络覆盖范围内可以接入企业的无线网络，入侵者可以掌握该企业全面的网络信息。
1．2无线网络设置漏洞
无线网络接入与有线网络接入最大的不同是，无线网络接入无需在企业的交换机或路由器等网络设备插入网线。无线路由器的设置口令、DHCP服务器、无线网络的SSID号码，都是无线网络存在的安全漏洞，入侵者通过这一系列信息可以轻松进入企业网络。此外，一些企业的无线网络未进行数据加密，这是企业无线网络的另一漏洞。另外，无线网络设备本身也存在一些安全漏洞，这些都是为入侵者提供了可乘之机。
2邮政企业面临的无线网络威胁
2．1插入攻击
插入攻击以部署非授权的设备或创建新的无线网络为基础，这种部署或创建往往未经过安全检查。邮政企业可对接入点进行配置，要求客户端接入时输入口令。如果没有口令，入侵者便会通过启用无线客户端与接入点通信，从而连接到内部网络。但有些接入点要求所有客户端的访问口令竟然完全相同，十分危险。
2．2漫游攻击
漫游攻击的入侵者没有必要在物理上位于企业建筑物内部，他们可以使用网络扫描器，在移动的交通工具上用笔记本电脑或其他移动设备嗅探出无线网络，这种活动称为“驾驶攻击”。
2．3欺诈性接入点
欺诈性接入点是指在未获得无线网络所有者许可或知晓的情况下，设置或存在的接入点。一些人员有时安装欺诈性接入点，其目的是为了避开公司已安装的安全手段，创建隐蔽的无线网络。这种秘密网络虽然基本上无害，但它却可以构造出一个无保护措施的网络，并充当入侵者进入邮政企业网络的开放门户。
2．4“双面恶魔”攻击
“双面恶魔”也被称为“无线钓鱼”，是一个以邻近网络名称隐藏起来的欺诈性接入点。“双面恶魔”等待一些盲目信任的用户进入错误的接入点，然后窃取个别网络的数据或攻击计算机。
2．5窃取网络资源
有些不速之客会利用这种连接在公司范围内发送邮件，或下载盗版内容，进而产生一些法律问题。
2．6劫持和监视无线通信
通过无线网络劫持和监视企业的网络通信有两种情况：一是无线数据包分析。攻击者利用类似有线网络的技术捕获无线通信。其中有许多工具可以捕获连接会话的最初部分，这些数据一般包含用户名和口令。然后，攻击者会利用捕获的信息冒称合法用户，并劫持用户会话或执行一些非授权的命令等。二是广播包监视。这种监视依赖于集线器，较为少见。另外，还有其他一些威胁，如客户端对客户端的攻击（包括拒绝服务攻击）、干扰、对加密系统的攻击、错误配置等，都属于对无线网络的安全威胁。
3邮政企业构建安全无线网络的策略
3．1给无线网络设备加把锁
根据谷安天下的《2012年度中国企业员工信息安全意识调查报告》显示，受访者在物理安全、数据备份、系统安全、移动介质、邮件安全、信息安全责任意识等方面做得相对较好；而口令密码安全、计算机终端安全、社会工程学、无线网络安全、信息防泄漏等相关安全意识方面相对较差。要保障邮政企业无线网络的安全，必须更改无线路由器或无线接入点等网络设备的默认密码，对于支持更改用户名的网络设备，建议更改设备默认的用户名。在设置无线网络设备密码时，最好使用字母和数字相混合的密码，并且定期更换密码。远程攻击者通常通过后门获得对网络的访问权。邮政企业可以做一个端到端的加密，并对所有资源采用独立的身份验证，禁止对公众开放。
3．2关闭无线路由器的SSID广播
SSID，用来区分不同的网络，最多可以有32个字符，无线网卡设置不同的SSID就可以进入不同网络，SSID通常由无线路由器广播出来，通过系统自带的扫描功能可以查看当前区域内的SSID。简单来说，SSID就是一个局域网的名称，只有设置为名称相同SSID值的电脑才能互相通信。只要知道企业无线网络的SSID号，入侵者就可以轻松接入企业的无线网络。在默认情况下，无线路由器的SSID是路由器的品牌名称，这无疑为入侵者提供了最佳机会。因此，必须更改无线路由器默认的SSID号。为确保安全，建议用户关闭无线路由器的SSID广播。为保障邮政企业无线网络的安全，建议定期更改无线路由器的SSID号。
3．3禁用无线路由器的DHCP服务
从表面看，DHCP服务与企业无线网络的安全无关，但是DHCP服务会暴露企业网络的一些信息，这将威胁邮政企业无线网络的运行。从用户接入企业无线网络的过程不难发现，用户使用无线网络上网时，无线路由器会自动分配一个IP地址给无线网络客户端，这样，客户端就会从无线路由器获得IP地址、子网掩码、DNS及网关等信息。获得IP地址等一系列信息后，无线路由器无疑将暴露于公众之下，入侵者轻易就可以使用无线路由器的资源。为此，要想保障邮政企业无线网络的安全，必须禁用无线路由器的DHCP服务。
3．4开启无线上网高级加密和身份验证
目前，无线网络设备提供的无线上网加密设置，通常有WEP、WPA／WPA2和WPA－PSK／WPA2－PSK几种模式。在上述加密模式中，最早的安全标准WEP已经被证明极端不安全，并易于受到安全攻击。而更新的规范，如WPA、WPA2及IEEE802．11i是更加强健的安全工具。建议有条件的企业采用安全级别相对较高的加密模式。WPA、WPA2及IEEE802．11i支持内置的高级加密和身份验证技术。WPA2和IEEE802．11i都提供了对高级加密标准的支持，这项规范已被许多单位采用。经过无线上网加密之后，入侵者将无法搜索到加密的无线网络信号，可以大大增强企业无线网络的安全性。
3．5善用漏洞扫描工具发现漏洞
许多攻击者利用网络扫描器不断发送探查邻近接入点的消息，如探查其SSID、MAC等信息。而企业也可以利用同样的方法找出自身无线网络中可能被攻击者利用的漏洞，如找出一些不安全的接入点，然后进行加固。
3．6善用无线路由器的安全设置
每台机器都拥有一个唯一的MAC地址，在一些品牌的无线路由器中，诸如硬件防火墙及高级安全设置已经是基本组件。一个强健的防火墙可以有效阻止入侵者通过无线设备进入邮政企业信息网络的企图。通过硬件防火墙，可以对IP地址及MAC地址进行限制，防止非法用户入侵。企业网络管理人员可以允许本企业的MAC地址使用无线网络，使入侵者很难再入侵企业网络。
3．7无线路由器的MAC地址绑定
关于封闭网络，如一些单位的网络，最常见的方法是在网络接入中配置接入限制。这种限制可包括加密和对MAC地址的检查。一些高档品牌的无线路由器在产品的安全设置中，提供了MAC地址绑定功能，绑定MAC地址后，其他MAC地址的机器无法使用该无线网络。除此之外，无线路由器还拥有更多的安全设置，网络管理人员可以根据企业自身需求进行相关设置，打造一个安全的企业无线网络应用环境。目前，即便是最低端的无线网络设备，都提供了软件升级功能，为了让企业的无线网络更加安全，用户可以定期升级无线网络设备的软件。
3．8降低无线路由器的发射功率
一些无线路由器和接入点准许用户降低发射器的功率，从而减少设备的覆盖范围。这是一个限制非法用户访问的实用方法。同时，仔细调整天线位置也可有效防止信号落于入侵者之手。
3．9提高员工安全意识
邮政企业要教育员工正确使用无线设备，要求员工及时报告其检测到或发现的任何不正常或可疑活动。在日常应用中，邮政企业的无线网络安全涉及多方面设置，而且非常复杂。为此，邮政企业网络管理人员必须周密防范，守好邮政企业无线网络的大门。
作者：孙青华 尹凤祥 张少芳 单振芳 单位：石家庄邮电职业技术学院 上海电子信息职业技术学院
