交通部网络安全范文1
关键词：等级保护；网络安全；信息安全；安全防范
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）19-4433-03
随着我国国际地位的不断提高和经济的持续发展，我国的网络信息和重要信息系统面临越来越多的威胁，网络违法犯罪持续大幅上升，计算机病毒传播和网络非法入侵十分猖獗，犯罪分子利用一些安全漏洞，使用木马间谍程序、网络钓鱼技术、黑客病毒技术等技术进行网络诈骗、网络盗窃、网络等违法犯罪，给用户造成严重损失，因此，维护网络信息安全的任务非常艰巨、繁重，加强网络信息安全等级保护建设刻不容缓。
1 网络信息安全等级保护
信息安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。网络信息安全等级保护体系包括技术和管理两大部分，如图1所示，其中技术要求分为数据安全、应用安全、网络安全、主机安全、物理安全五个方面进行建设。
图1 等级保护基本安全要求
1） 物理安全
物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。
2） 主机安全
主机系统安全是计算机设备（包括服务器、终端/工作站等）在操作系统及数据库系统层面的安全；通过部署终端安全管理系统（TSM），准入认证网关（SACG），以及专业主机安全加固服务，可以实现等级保护对主机安全防护要求。
3） 网络安全
网络是保障信息系统互联互通基础，网络安全防护重点是确保网络之间合法访问，检测，阻止内部，外部恶意攻击；通过部署统一威胁管理网关USG系列，入侵检测/防御系统NIP，Anti-DDoS等网络安全产品，为合法的用户提供合法网络访问，及时发现网络内部恶意攻击安全威胁。
4） 应用安全
应用安全就是保护系统的各种应用程序安全运行，包括各种基本应用，如：消息发送、web浏览等；业务应用，如：电子商务、电子政务等；部署的文档安全管理系统（DSM），数据库审计UMA-DB，防病毒网关AVE等产品。并且通过安全网关USG实现数据链路传输IPSec VPN加密，数据灾备实现企业信息系统数据防护，降低数据因意外事故，或者丢失给造成危害。
5） 数据安全
数据安全主要是保护用户数据、系统数据、业务数据的保护；通过对所有信息系统，网络设备，安全设备，服务器，终端机的安全事件日志统一采集，分析，输出各类法规要求安全事件审计报告，制定标准安全事件应急响应工单流程。
2 应用实例
近年来卫生行业全面开展信息安全等级保护定级备案、建设整改和等级测评等工作，某医院的核心系统按照等级保护三级标准建设信息系统安全体系，全面保护医院内网系统与外网系统的信息安全。
医院网络的安全建设核心内容是将网络进行全方位的安全防护，不是对整个系统进行同一等级的保护，而是针对系统内部的不同业务区域进行不同等级的保护；通过安全域划分，实现对不同系统的差异防护，并防止安全问题扩散。业务应用以及基础网络服务、日常办公终端之间都存在一定差异，各自可能具有不同的安全防护需求，因此需要将不同特性的系统进行归类划分安全域，并明确各域边界，分别考虑防护措施。经过梳理后的医院网络信息系统安全区域划分如图2所示，外网是一个星型的快速以太交换网，核心为一台高性能三层交换机，下联内网核心交换机，上联外网服务器区域交换机和DMZ隔离区，外联互联网出口路由器，内网交换机向下连接信息点（终端计算机），外网核心交换机与内网核心交换机之间采用千兆光纤链路，内网交换机采用百兆双绞线链路下联终端计算机，外网的网络安全设计至关重要，直接影响到等级保护系统的安全性能。
图 2 医院网络信息系统安全区域划分图
2.1外网网络安全要求
系统定级为3级，且等级保护要求选择为S3A2G3，查找《信息系统安全等级保护基本要求》得到该系统的具体技术要求选择，外网网络安全要求必须满足如下要求：边界完整性检查（S3） 、入侵防范（G3） 、结构安全（G3） 、访问控制（G3） 、安全审计（G3） 、恶意代码防范（G3） 和网络设备防护（G3） 。
2.2网络安全策略
根据对医院外网机房区域安全保护等级达到安全等级保护3级的基本要求，制定相应的网络安全策略
1） 网络拓扑结构策略
要合理划分网段，利用网络中间设备的安全机制控制各网络间的访问。要采取一定的技术措施，监控网络中存在的安全隐患、脆弱点。并利用优化系统配置和打补丁等各种方式最大可能地弥补最新的安全漏洞和消除安全隐患。
2） 访问控制策略
访问控制为网络访问提供了第一层访问控制，它控制哪些用户能够连入内部网络，那些用户能够通过哪种方式登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。
3） 网络入侵检测策略
系统中应该设置入侵检测策略，动态地监测网络内部活动并做出及时的响应。
4） 网络安全审计策略
系统中应该设置安全审计策略，收集并分析网络中的访问数据，从而发现违反安全策略的行为。
5） 运行安全策略
运行安全策略包括：建立全网的运行安全评估流程，定期评估和加固网络设备及安全设备。
2.3网络安全设计
根据对医院外网安全保护等级达到安全等级保护3级的基本要求，外网的网络安全设计包括网络访问控制，网络入侵防护，网络安全审计和其他安全设计。
1） 网络访问控制
实现以上等级保护的最有效方法就是在外网中关键网络位置部署防火墙类网关设备，采用一台天融信网络卫士猎豹防火墙、一台CISCO公司的PIX515和一台网络卫士入侵防御系统TopIDP。
①外网互联网边界防火墙：在局域网与互联网边界之间部署CISCO公司的PIX515百兆防火墙，该防火墙通过双绞线连接核心交换区域和互联网接入区域，对外网的互联网接入提供边界防护和访问控制。
②对外服务区域边界防火墙：对外服务区域与安全管理区域边界部署一台千兆防火墙（天融信NGFW4000-UF），该防火墙通过光纤连接核心交换机和对外服务区域交换机，通过双绞线连接区域内服务器，对其他区域向对外服务区域及安全管理区域的访问行为进行控制，同时控制两个区域内部各服务器之间的访问行为。
③网络入侵防御系统：在托管机房区域边界部署一台网络入侵防御系统，该入侵防御系统通过双绞线连接互联网出口设备和区域汇聚交换机，为托管机房区域提供边界防护和访问控制。
2） 网络入侵防护
外网局域网的对外服务区域，防护级别为S2A2G2，重点要实现区域边界处入侵和攻击行为的检测，因此在局域网的内部区域边界部署网络入侵检测系统（天融信网络入侵防御系统TopIDP）；对于外网托管机房的网站系统，防护级别为S3A2G3，由于其直接与互联网相连，不仅要实现区域边界处入侵和攻击行为的检测，还要能够有效防护互联网进来的攻击行为，因此在托管机房区域边界部署网络入侵防御系统（启明星辰天阗NS2200）。
①网络入侵防御系统：在托管机房区域边界部署一台采用通明模式的网络入侵防御系统，该入侵防御系统通过双绞线连接互联网出口设备和区域汇聚交换机，其主要用来防御来自互联网的攻击流量。
②网络入侵检测系统：在外网的核心交换机上部署一台千兆IDS系统，IDS监听端口类型需要和核心交换机对端的端口类型保持一致；在核心交换机上操作进行一对一监听端口镜像操作，将对外服务区域与核心交换区域之间链路，以及互联网接入区域与核心交换区域之间链路进出双方向的数据流量，镜像至IDS监听端口；IDS用于对访问对外服务区域的数据流量，访问安全管理区域的数据流量，以及访问互联网的数据流量进行检测。
3） 网络安全审计
信息安全审计管理应该管理最重要的核心网络边界，在外网被审计对象不仅仅包括对外服务区域中的应用服务器和安全管理区域的服务器等的访问流量，还要对终端的互联网访问行为进行审计；此外重要网络设备和安全设备也需要列为审计和保护的对象。
由于终端的业务访问和互联网访问都需要在网络设备产生访问流量，因此在外网的核心交换机上部署网络行为审计系统（天融信网络行为审计TopAudit），交换机必需映射一个多对一抓包端口，网络审计引擎通过抓取网络中的数据包，并对抓到的包进行分析、匹配、统计，从而实现网络安全审计功能。
①在外网的核心交换机上部署一台千兆网络安全审计系统，监听端口类型需要和核心交换机对端的端口类型保持一致，使用光纤接口；
②在核心交换机上操作进行一对一监听端口镜像操作，将对外服务区域与核心交换区域之间链路，以及互联网接入区域与核心交换区域之间链路进出双方向的数据流量，镜像至网络安全审计系统的监听端口；
③网络安全审计系统用于对访问对外服务区域的数据流量，访问安全管理区域的数据流量，以及访问互联网的数据流量进行安全审计；
④开启各区域服务器系统、网络设备和安全设备的日志审计功能。
4） 其他网络安全设计
其他网络安全设计包括边界完整性检查，恶意代码防范，网络设备防护，边界完整性检查等。
①边界完整性检查：在托管机房的网络设备上为托管区域服务器划分独立VLAN，并制定严格的策略，禁止其他VLAN的访问，只允许来自网络入侵防御系统外部接口的访问行为；对服务器系统进行安全加固，提升系统自身的安全访问控制能力；
②恶意代码防范：通过互联网边界的入侵防御系统对木马类、拒绝服务类、系统漏洞类、webcgi类、蠕虫类等恶意代码进行检测和清除；部署服务器防病毒系统，定期进行病毒库升级和全面杀毒，确保服务器具有良好的防病毒能力。
③网络设备防护：网络设备为托管机房单位提供，由其提供网络设备安全加固服务，应进行以下的安全加固：开启楼层接入交换机的接口安全特性，并作MAC绑定； 关闭不必要的服务（如：禁止CDP（Cisco Discovery Protocol），禁止TCP、UDP Small服务等）， 登录要求和帐号管理， 其它安全要求（如：禁止从网络启动和自动从网络下载初始配置文件，禁止未使用或空闲的端口等）。
3 结束语
信息安全等级保护是实施国家信息安全战略的重大举措，也是我国建立信息安全保障体系的基本制度。作为国家信息安全保障体系建设的重要依据，在实行安全防护系统建设的过程中，应当按照等级保护的思想和基本要求进行建设，根据分级、分域、分系统进行安全建设的思路，针对一个特定的信息系统（医院信息管理系统）为例，提出全面的等级保护技术建设方案，希望能够为用户的等级保护建设提出参考。
参考文献：
[1] 徐宝海.市县级国土资源系统信息网络安全体系建设探讨[J].中国管理信息化，2014（4）.
[2] 李光辉.全台网信息安全保障体系初探[J].电脑知识与技术，2013（33）.
交通部网络安全范文2
关键词:校园网;网络管理;网络安全
1 引言
校园网是指利用网络设备、适宜的组网技术与协议、通信介质以及各类系统软件和应用管理软件,将校园内各种终端设备和计算机有机地集成在一起,并用于教学、科研、学校管理等方面工作的计算机局域网络系统。最近几年来,随着网络技术的高速发展和高等教育改革的逐年加快现代高等教育正在朝网络教学、远程教学、教育资源共享的方向发展。校园网显现了以下关键特征,促使许多高校在对校园网及其信息应用进行不断的升级改造和完善,文章将以长沙通信职业技术学院校园网的升级做为实例探讨了校园网改造的设计与实现这一课题。
2 校园网升级改造的设计与实现
2.1 长沙通信职业技术学院校园网的现状
长沙通信职业技术学院托隶属电信企业的优势,很早就组建了校园网,期间对一些关键网络设备和技术进行了更换和提升,近年来,随着学院发展速度的不断加快,建筑楼宇的不断增多以及信息化的需求加大,原有校园网在运行中暴露出许多问题,主要表现在:
1、网络覆盖:覆盖范围不够。随着新培训大楼和体育馆的建成及的实验楼的改造,原有规模的校园网设备的端口数严重缺乏,不能满足现有需求。
2、网络性能:性能不稳定。原有网络带宽和主交换机交换能力及服务器的配置均己经不能满足学院多媒体教学和开展远程教育等业务流量的需求。
3、网络管理:管理难度大。随着入网用户的增加,网络设备的维护和网络用户的管理难度越来越大。
4、网络安全:安全体系差。没有一套完备的网络安全体系;原有防火墙性能较差,大大限制了外网访问速度。
5、与外网互联方面。出口带宽较低,而且是单条专线接入互联网,远远不能满足需求,教育科研网与公众网间互联不尽人意,网络性能不太稳定。
2.2 升级改造的方案设计
2.2.1 网络拓扑结构
校园网一般采用三层层次模型,将整个网络划分成不同的层次,各个层次各司其职。网络由三个层次组成:接入层、汇聚层、核心层。
接入层的功能:可以是直接连接桌面PC,也可以是建筑物楼内的交换机,做为网络接入安全控制和QOS策略实现的边缘点,可以实现接入用户的802.1x认证。
汇聚层的功能:承上启下,提供负载平衡、快速收敛和扩展性;完成路由选择,汇聚接入层设备的流量,高速无阻塞地转发给核心层设备。
核心层的功能:提供负载平衡、快速收敛和扩展性;连接各汇聚设备;完成数据流的高速转发。
2.2.2 网络管理系统的总体设计
在校园网升级改造项目中,网络管理系统依照“技术管理为主,行政管理为辅”的方式,在行政上,通过委派有网管经验的网管工作人员,专职负责校园网设备的配置和管理,信息定期收集统计和分析,性能和安全性监控。在技术层面上,选用一款专业的网络管理软件,安装在网管中心,通过提升整个的校园网的管理水平。
2.2.3 校园网安全系统设计
合适的安全产品选型和部署、完善的系统加固处理、良好的安全管理培训及快速的安全事件响应,才是安全有保障的解决之道。因此,要想很好地实现网络安全管理,需要从以下两个方面着手:1、部署合适的安全产品和防御系;2、网络安全管理措施。
2.3 升级改造的实现
2.3.1 网络拓扑结构
根据单位现有的设备,以及以上这些设计要求,长沙通信职业技术学院的网络结构分为三级:
第一级是网络中心。网络中心选址在学校地域的中心建筑(实验大楼),布置了校园网的核心设备,如路由器、交换机、服务器(WWW服务器、电子邮件服务器、拨号服务器、域名服务器等),并预留了将来与本部以外的几个园区的通信接口。
第二级是建筑群的主干结点。校园网按地域设置了几条干线光缆,从网络中心辐射到几个主要建筑群,并在二级主干节点处端接。在主干网节点上安装的交换机位于网络的第二层,它向上与网络中心的主干交换机相连,向下与各楼层的集线器相连。学校校园网主干带宽全部为1000Mbps。
第三级是建筑物楼内的交换机。三级节点主要是指直接与服务器和工作站连接的局域网设备,即以太网或快速以太网交换机。
网络中心设施是华三公司的H3C-7510交换机。H3C-7510交换机具有良好的虚拟网络支持能力,可以跨越各个建筑物的地理限制,在全校范围内建立必要的虚拟网络,从而为网络的应用、管理和维护带来极大的便利。网络中心用的各种服务器都可直接连接到中心的H3C-7510交换机的快速以太网端口上,以解决可能会出现的瓶颈问题。
各建筑物楼内配置H3C-E126交换机,用于按地域将连续IP地址划分子网,建立虚拟局域网。各系或部门的服务器可直接挂在H3C-E126交换机上。所有这些H3C-E126交换机都连在第二级的主干节点H3C-E3610交换机上。
2.3.2 网络管理系统部署
校园网的管理对保证网络平稳运行至关重要。校园网的管理分行政手段管理和技术手段管理。
1、建立一支高水平的网络安全管理队伍
要真正实现网络安全,各种制度、策略和技术措施只是前提条件,日常的管理和维护工作才是重点。要维护大规模网络的安全,需要有一批经验丰富的专门的网络安全管理人员,让他们在有关信息安全部门的领导下做好重要系统的管理和监控、协助建设各类网络设施和系统、协助配置各类系统和设备、协助应用部门查杀计算机病毒、协助信息安全部门处理各种安全事件、在信息安全部门的授权下检查解决各类系统的安全漏洞和弱点等工作。
2、布署稳定实用的网络管理系统软件
在众多的网络管理系统中,有著名的IBM Tivoli、HP OpenView等网管平台软件,也有CiscoWorks、HammerView等设备厂商提供的网元管理软件,更有美萍网管这种网上盛行的软件和免费软件。选择网络管理软件最重要的是适合网络业务的需求,我们根据学院本身的特点选择了安装上海北塔通讯网络科技发展有限公司完全自主开发的一套BTNM网络运维管理系统。
交通部网络安全范文3
［关键词］ 企业内部网络； 基础设施
企业内部网络是企业中十分重要的基础设施，可以实现企业内部相关部门及下属单位的数据共享、互联互通，为各类应用系统提供安全、稳定、可靠的工作环境，满足各种数据传输的需求。本文从内部网络的建设原则、建设内容着手，阐述如何建立企业内部网络，着重讨论了网络平台的建设。
1建设原则
企业内部网络建设应遵循以下原则：统一规划、高可用性、高性能、高扩展性、高安全性和高可维护性。
统一规划：明确内部网络在规划期内的规模，确定总体需求，既能满足企业当前需求，又充分考虑将来整个网络系统的投资保护和对新应用的支持。
高可用性：要求关键网络设备具有单点失效保护，能够实现故障预警、报警，以及良好的故障应急处理能力。如在出现有限个数的交换机、防火墙等设备故障等情况下，内部网络可以继续工作，不影响业务处理。
高性能：内部网络传输的信息类型主要有视频、语音、业务数据及管理数据等。为了及时、迅速地处理网络上传送的各种数据，网络设备必须具备高速处理能力，提供高速数据链路，保证网络高吞吐能力，满足各种应用对网络带宽的需求。
高扩展性：由于内部网络是一个长期使用重要的基础设施。日后随着企业规模扩大和业务量的增长，对内部网络性能的需求可能会超出预期，当内部网络的处理能力不够时，要求可以在原有网络架构的基础上实现灵活扩展。这要求网络设备必须符合国际标准和支持业界统一标准的相关接口，选择广泛应用的网络标准协议，能够与各级下属单位网络、ISP网络以及其他相关网络实现可靠的互联。
高安全性：具有良好的网络安全能力和应用灵活的安全策略。通过网络分区、防火墙策略、入侵检测、终端准入等手段来加强网络的安全性。
高可维护性：维护便捷简单，尽量减少设备宕机检修时间，特别是减少进行故障修复、网络扩展和变更时的宕机时间，能够提供友好、全面的监控工具，减少网络管理的漏洞风险，增强网络管理维护性能。
2建设内容
企业内部网络建设主要内容包括：网络平台、IP地址划分、中心机房网络分区、桌面安全管理、网络安全、网络管理及运维。
2．1网络平台
企业内部网络平台建设通常有两种架构：二层架构和三层架构。二层架构包括：核心层、汇聚层。三层架构包括：核心层、汇聚层和接入层。由于技术进步，目前用于组网的交换机基本上具有三层交换功能，因此不用过多考虑二层交换和三层交换之间路由的问题。
核心层通常部署两台核心交换机，实现负载均衡和单点失效保护，核心交换机通常部署在企业中心机房。
汇聚层通常指楼层交换机，通常部署在楼层弱电间，每个汇聚交换机同时接入到两个核心交换机，以增强网络的可用性。如果一个楼层汇聚交换机的端口不够用时，可以放置多台交换机，通过堆叠的方式虚拟成一台更多端口的汇聚交换机。对于稳定性要求高的网络，亦可以在汇聚层放置冗余设备，以实现该层设备的负载均衡和单点失效保护。二层架构中该层具有接入和汇聚双重作用，桌面客户端通过楼层布线或者网线接入该层。
三层架构中的接入层通常是指办公室接入交换机，通常部署在工作区配线架或者弱电间，每台接入层交换机与一台或者多台汇聚层交换机连接。对于稳定性要求高的网络，亦可以在接入层放置冗余设备，以实现该层设备的负载均衡和单点失效保护。桌面客户端通过楼层布线或者网线接入该层。
两种架构的差别主要在于二层架构中没有接入层，其汇聚层具有接入和汇聚双重作用。
2．1．1二层架构的优缺点
2．1．1．1优点
可用性高。汇聚层（也是接入层）直接双上联核心，减少中间环节。传输路径短，数据流从一个区域到另一个区域，路径只需经过“接入核心接入”，数据就可以传输到对端，优化了网络路径。
性能高。汇聚层（也是接入层）直接与核心交换机相连，带宽的收敛比小，实际分配给每一个终端的带宽大，保证时延最小。
2．1．1．2缺点
扩展性弱。当用户的数量增加时，需要在汇聚层增加交换机接入核心交换机，或者通过在汇聚层增加交换机，使用堆叠方式或级联方式实现。
安全性低。安全策略只可以分布在汇聚层交换机和核心交换机上。
可维护性低。网络变更往往影响到核心交换机。
2．1．2三层架构的优缺点
2．1．2．1优点
可扩展性强。当用户的数量增加时，可通过在接入层增加交换机，直接与汇聚层交换机相连提供扩展，扩展变更仅影响限定在此区域的汇聚层交换机，不会影响核心交换机。
安全性高。安全策略可以分布在接入交换机、汇聚层交换机和核心交换机上。
可维护性高。网络变更对核心交换机影响小，除了新增汇聚层交换机，需要对核心交换机进行配置外，一般只影响到汇聚层交换机。汇聚层交换机故障，只会影响汇聚区域内的接入，其他汇聚区域不受影响。
2．1．2．2缺点
可用性低。数据传输路径变长，数据流从一个区域到另一个区域，需要经过“接入汇聚核心汇聚接入”，才能将数据传输到对端，增加了路径的物理长度。
性能低。带宽相应降低，虽然汇聚到核心可通过链路捆绑或万兆接口的方式增加带宽，但仍会出现当区域之间的数据互通时，汇聚层到核心层带宽争用的问题。
2．1．3综合分析
综上所述，两种架构优缺点对比见表1。
表1仅为二层架构与三层架构之间的相对对比，不是对两种架构性质的绝对分析。实际应用中，二层架构更加适用于楼宇等接入密度较高的内部网络建设，三层架构更加适用于物理范围广、接入密度低的内部网络建设。
二层架构和三层架构并不冲突，可以同时运用于一个内部网络建设中，如对于接入密度较高的区域，客户端直接接入汇聚层； 对于接入密度较低的区域，客户端接入接入层。
2．2IP地址划分
由于企业有若干个部门和若干个下属单位，将来组织结构也可能有变化，有必要对IP地址进行划分，来建立若干个子网，制定灵活、可扩展、安全的IP地址分配策略，以便于网络管理和增强网络安全性。
2．3中心机房网络分区
中心机房是一个十分重要的区域，需要对中心机房进行网络区域划分，以增强网络的安全性。通常划分几大区域：核心交换区、Internet访问接入区、广域网互联区、DMZ区、服务器区等。
2．4桌面安全管理
内部网络绝大多数攻击来自于企业内部，所以桌面安全管理十分重要。桌面安全管理包括：安全接入控制、安全策略管理、资产管理、软件分发、补丁管理、员工行为管理。
2．5网络安全
内部网络既要满足内部办公的需要，又要满足与因特网实现数据交换的需要。特别是，保证距离企业总部物理距离较远的下属单位能够有效地访问内部网络。各种场景让网络安全相对复杂，网络安全建设主要包括但不限于：
（1） 接入交换机的安全。包括：端口安全控制、端口流量控制、广播抑制、防范DHCP攻击、防范ARP欺骗／中间人攻击技术、配置Vlan ACL等。
（2） 网络设备自身的安全。网络设备某些缺省设置会导致安全漏洞，变更这些设置。
（3） 防火墙策略。制定精细的防火墙安全策略，不同端口根据区域不同划分不同的安全级别。
（4） 入侵监测／防御系统。使用先进的、专用的入侵监测／防御设备，实现主动监测和防御，并及时将相关信息传送到网管区域，能对用户常用的通讯内容进行审计。
2．6网络管理及运维系统
网络管理及运维系统的建设包括但不限于：基础资源管理（如计算资源等）、网络资源管理（包括拓扑查看、配置管理、设备性能监控及告警、资产管理等）、用户管理、业务管理、VLAN管理、ACL配置管理、流量分析、QoS管理、用户接入管理、用户行为审计等。
交通部网络安全范文4
数据中心基础网络设计
网络是连接数据中心所有资源的唯一通用实体，构建坚实的网络基础设施将为数据中心业务运行、管理与运维提供保障。浙江省人力社保数据中心采用同城双数据中心架构，之间配置4台CWDM设备，用裸光纤通过CWDM链路复用技术实现IP网络和SAN网络的互联互通。每一对裸光纤复用出4路1GB链路用于IP网络连接，4路2GB链路用于SAN网络连接，并将两对裸光纤复用的光纤通道进行捆绑，以提高互联链路可靠性。数据中心按照分区、分层、分级、高可用的建设原则，用于提升系统平台和业务数据集中运营的抗风险能力。
分区建设：良好的逻辑分区设计与安全域划分是数据中心网络的必备基础，根据业务系统的相关性、数据流的访问要求和系统安全控制的要求等，把数据中心基础网络分成内网区、外联区和互联网区，每个区有自己的核心交换、服务器、安全边界设备等，之间做好严格地逐级访问控制。
分层建设：建立核心、汇聚、接人三层网络，形成完整的网络架构体系，为以后数据中心资源“池化”打好坚实的网络基础；两个数据中心各部署两台高性能的H3C 12508交换机构建网络核心层，实现各功能区域间的高速数据交换能力和突发流量适应能力；每一中心采用4台H3C 7506E交换机作为汇聚层，采用虚拟化技术以及跨设备的链路聚合技术，在保障冗余性的同时合理规避环路可能带来的影响，提供大密度GE/10GE端口实现与接入层互联，并部署各类安全、应用优化业务，如在交换机上集成防火墙、负载均衡板卡等；接入层采用H3C 5800系列，支持高密度千兆接入、万兆接入，支持堆叠，有较好扩展和上行双链路冗余能力。
分级建设：在网络上实现三级的服务器应用访问架构，Web层、应用层和数据层之间通过交换网络的互连，层层的安全保护，形成结构清晰的易于部署的服务器接入架构。
高可用性建设：双中心通过良好的整体规划设计，实现汇聚层、接入层和服务器接入的高可用性。具体来说汇聚交换设备之间采用VRRP，而安全、应用优化设备之间的VRRP，则旁挂到汇聚交换机上，尽量消除性能瓶颈。接入到汇聚层采用三角型接法，VLAN跨汇聚层交换机，链路冗余，故障收敛时间短，并采用IRF技术，实现分布式设备管理、分布式路由和跨设备链路聚合。服务器用两块甚至多网卡捆绑，采用多链路上行接入。另外，在设备及链路层面建设时考虑了以下因素：硬件设备冗余；物理链路冗余；二层路径冗余；三层路径冗余；快速故障检测技术；不间断转发技术。
数据中心网络安全体系设计
浙江省人力社保数据中心承载着浙江省人力社保核心业务系统和数据，同时与地税、公安、银行、医院等部门有业务交互和数据交换，因此数据中心的网络安全必须与业务系统实现融合，并且能够平滑的部署在网络中。浙江省人力社保数据中心的网络安全建设中的主要思想之一就是层次化的分级安全，把安全分成多个等级，划分不同的安全域，这与数据中心对安全的内在要求是相辅相成的。
数据中心在内网、外网、外联网等网络边界部署防火墙，用于对服务器访问的端口安全控制；在各个网络区域的访问接入处分别部署入侵防御系统，用来防御来自应用层的攻击，实现对网络应用、网络基础设施和网络性能的全面保护；通过网闸确保内网与外网网络隔离，同时实现数据的安全交换；在内、外网分别部署网络防病毒系统，保护全网的服务器和用户终端；制定一系列的安全管理策略，包括访问控制策略、攻击抵御策略、渗透抵御策略、病毒控制策略、流量控制策略、风险管理策略、补丁管理策略等等。
具体来说，就是按照业务类型分为不同的逻辑区域，每个分区制定不同的安全策略和信任模型。从实际部署来看，又分为：边界访问控制、深度智能防御和智能安全管理。
边界控制是最基本的要求，用于控制各类用户对数据中心的访问。为此，在汇聚交换机上部署H3C SecBlade II万兆防火墙实现多业务集成，数据交互通过背板直接进行，具有高性能和高可靠的双重优势，避免交换机在线部署的性能瓶颈和单点故障；与防火墙旁挂部署方式相比，又具有配置策略简单、不改变数据转发路径、流量转发过程清晰、部署维护简单等渚多优点。
深度智能防御中，针对数据中心的各类DDoS攻击、木马、黑客入侵层出不穷，IPS部署在网络的关键路径上，通过对流经该关键路径上的网络数据流进行2到7层的深度分析，能精确、实时地识别并阻断或限制黑客、蠕虫、病毒、木马、DoS/DDoS、扫描、间谍软件、协议异常、网络钓鱼、P2P、IM、网游等网络攻击或网络滥用，从而可为客户网络提供三大保护功能：保护网络应用、保护网络基础设施、保护网络性能。
在智能安全管理领域，部署H3C SecCenter管理主流厂家的安全与网络产品、流量与攻击的实时监控、海量事件关联和威胁分析、安全审计分析与追踪溯源。数据中心除了大量的网络设备在运行外，更多是各类服务器、操作系统之间的业务交互，海量的告警、监控、SNMP、WMI等消息不断的在网络中传播，必须要对这些安全事件、网络事件、系统事件、应用事件进行统一的收集和管理，并通过智能化的分析把原始数据转换、筛选为智能安全的有效信息。
数据中心网络智能及虚拟化
交通部网络安全范文5
【关键词】企业网络 信息安全 策略设计
随着社会经济的快速发展，计算机信息技术介入人们生活的方方面面。企业网络的信息安全策略是涵盖多方面的，既有管理安全，也有技术安全，既有物理安全策略，也有网络安全策略。企业网络应实现科学的安全管理模式，结合网络设备功能的不同对整体网络进行有效分区，可分为专网区、服务器区以及内网公共区，并部署入侵检测系统与防火墙系统，对内部用户威胁到网络安全的行为进行阻断。下面着重阐述企业信息系统的网络层安全策略：
一、企业网络设备安全策略分析
随着网络安全形势的日趋严峻，不断有新的攻击手段被发现，而这些手段的攻击目标也已经从用户终端、服务器厌延展至交换机、路由器等硬件设施。而交换机与路由器属于网络核心层的重点设备，如果这些设备退出服务，企业信息系统网络安全便会面临很大的威胁。由此本文给出以下的网络设备安全策略。
最大化地关闭网络交换机上的服务种类。尤其是不经常使用的服务更应关闭，举例来讲：交换机的邻居发现服务CDP，其功能是辨认一个网络端口连接到哪一个另外的网络端口，邻居发现服务锁发出和接收的数据包很容易暴露用户终端的属性信息，包括交换机端口与用户终端的IP信息，网络交换机的型号与版本信息，本地虚拟局域网属性等。因此，本文建议在不常使用此服务的情况下，应该关闭邻居发现服务。另外，一些同样不常使用的服务，包括交换机自举服务、文件传输服务、简单文件传输服务、网络时间同步服务、查询用户情况服务、简单网络管理服务、源路径路由服务、ARP服务等等。
企业信息系统的网管往往以Telnet协议实现对全网所有交换机、路由器的配置与管理。众所周知，此协议使用的是明文传输模式，因此在信息安全方面不输于非常可靠的协议。入侵者只要以抓包软件便能够轻易得知网管的登录ID与密码，以抓包软件同样能够获取网络管理员发出、受到的全部数据。所以在网络管理中，应引入安全性能更高的协议，本文推荐SSH（Secure Shell Client）协议。这种协议借助RSA生成安全性能极高的签名证书，通过该证书，全部以SSH协议进行传输的数据包都被良好加密。此外VTP 的安全使用也是一个应该得到重视的问题，VTP应配置强口令。
二、企业信息系统网络端口安全策略
由于大部分企业网络的终端均以网络交换机在接入层连入网络，而网络交换机属于工作在ISO第二层的设备，当前有不少以第二层为目标的非法攻击行为，为网络带来了不容忽视的安全威胁。
二层网络交换机使用的数据转发方式是以CAM表为基础的。在网络交换机加点之后，首选会清空CAM 表，并立即启动数据帧源地址学习，并将这些信息存入交换机CAM表中。这时候，加入非法入侵者通过伪造自身的MAC地址并不停地发出数据帧结构，便很容易导致网络交换机CAM表溢出，服务失效。而此时便会导致该MAC的流量向交换机其他端口转发，为非法入侵者提供网络窃听的机会，很容易造成攻击风险。本文所推荐的策略是：网络交换机的端口安全维护应随时打开；在交换机配置中设置其学习MAC地址的最大数目为1；设置网络交换机能够存储其学习到的全部MAC地址；一旦网络交换机的安全保护被触发，则丢弃全部MAC 地址的流量，发送告警信息。对网络交换机进行以上的配置，一方面能够防止基于交换机MAC地址的泛洪攻击，另一方面也能对网络内部的合法地址做好记录。
在成功阻止未知MAC地址接入的基础上，还应阻止来自已知地址的攻击。本文推荐基于MAC限流的策略，这是由于网络交换机不必向所有端口广播未知帧，因此可以对未知帧进行阻止，增强网络交换机安全性。
三、企业信息系统网络BPDU防护策略
一般情况下，企业的内部网络往往以网络交换机作为网络拓扑的支撑，因为考虑到交换机通道的沟通，加之系统冷、热备份的出发点，在企业网络中是存在第二层环路的，这就容易引发多个帧副本的出现，甚至引起基于第二层的数据包广播风暴，为了避免此种情况的发生，企业网络往往引入了STP协议。而这种协议的效果则取决于交换机共享的BPDU信息。这就为一些攻击者提供了机会，通过假冒优先级低的BPDU数据包，攻击者向二层网络交换机发送。由于这种情况下入侵检测系统与网络防火墙均无法生效，就导致攻击者能够方便地获取网络信息。可以采用的防范措施为：在二层网络交换机启用BPDU过滤器模块。该模块能够控制此端口，使其对BPDU数据包不进行任何处理，加入收到此种类型的数据包，该端口将会自动设置为“服务停止”。在此基础上，在根交换机上引入链路监控体系。一旦该交换机设备检测到优先级更高的 BPDU数据包，则发出“失效”的消息，及时阻塞端口。
四、企业信息系统网络Spoof防护策略
在企业内部网络中，往往有着大量的终端机，出于安全性与可靠性的考虑，这些终端机均以动态主机设置协议获得自身的IP地址。这就为Spoof 攻击留下了机会。在这种攻击中，非法入侵者会将自身假冒动态主机设置协议服务器，同时向用户主机发出假冒的动态IP配置数据包，导致用户无法获取真实IP，不能联网。可以采用的防范措施为：引入动态主机设置协议Snooping 策略。在二层网络交换机上安装Snooping模块并激活，系统便会把设备的全部可用端口设置为untrust 接口。这种接口能够收到消息，并丢弃假冒的动态IP配置数据包，从而防止Spoof 攻击带来的风险。
考虑到地址解析协议在安全方面的防范性不足，加入非法入侵者不断地发出ARP数据包，便容易导致全部用户终端的ARP表退出服务，除去静态绑定IP与MAC之外，本文推荐动态ARP监测策略。此种策略会将交换机全部端口设置为untrust状态。此种状态之下，端口将无法发出ARP的响应，因此，党用户主机染毒时，其发出的假冒ARP数据包将由于与列表不匹配而被丢弃，系统安全得到了保障。
五、结束语
W络安全是一项综合的管理工程，意义重大。企业的网络安全一旦出现问题，极有可能造成巨大损失，到那时即使再投入大量资金进行弥补也为时已晚。因此，企业应未雨绸缪，认清事实、正视事实、立足长远，重视网络安全问题，这样才能保证企业网络的安全，从而实现企业长足发展。
交通部网络安全范文6
关键词:医院;医保联网;安全风险;解决方案;探讨
中图分类号:TP3 文献标识码:A 文章编号:1007-9599 (2012) 13-0000-02
随着我国医疗事业的发展以及中国医疗保险制度的推进,使得医疗保险的范围在不断地扩大,越来越多的人参与了医疗保险,同时,也增大了信息的交流,因此,其对网络系统提出也更高的要求,所以,对医院与医保联网存在的安全风险的探讨有其必要性。
一、现阶段医院网络与医保网络之间存在的安全风险
根据现阶段性的实际情况分析,医院网络与医保网络互联中存在的主要安全风险大致可分为三个方面:
(一)网络安全环境不可控
在我国,医院的医保信息网络环境过于复杂,不论是从表面形式来讲,还是从业务工作需要来看,一方面,既要做好医院内部的联网,另一方面,还要加强医院与其他社会各界的联系,比如:银行、药店、社区以及其他医院等等。而在联网的过程中,由于受到一些环境因素的影响和限制,一些社区街道只能与医保中心通过互联网进行连接,而其他的部门和机构则要通过医保网络和互联网进行双重的连接,因此,对于有网络的存在的地方,其安全危险的存在是必然的。
(二)网络范围不可控
医院网络通过城域网的专线与医保信息中心进行连接,可是大多数人对于这个专线的理解存在着一定的误区。因为,在实际运行过程中,由于数字网络的特点,其仅仅实现的是医院网络到城域网机房之间的联线,而并没有实现医保网络与医院网络之间的连接,其主要是通过城域网交换机上设置的虚拟局域网来实现医保中心与医院网络逻辑上的连接。目前,我国大多数医院主要采用的是MPLS技术,即多协议标签交换技术,这种技术的主要特点是可以通过人为的设置,实现一定的改变,甚至于可以通过任何节点进行访问,因此,这在很大程度上造成了网络范围的不可控,影响了整个网络管理的可靠性和严谨性,同时,也带来了很大的不确定性。
(三)核心服务器主机安全不可控
在实际工作中,对于放置在医保网络和医院网络之间的前置机,其只能由医保中心方面进行配置和管理,影响了医院对这方面的控制权。在前置服务器中,安装了应用软件和WINDOWS操作系统,这本身就存在着很大的系统漏洞,另外,再加上网络方面的影响,如:没有及时更新补丁,即使在服务器上设置防火墙,但是由于其是通过软件策略来实现的,只是在网络层上进行了一定的隔离,这样,在网络层相通的条件下,要想实现对所有黑客的隔离,其根本上是无法实现的,因此,对于黑客程序的渗入、外部病毒的渗入以及内部信息的泄漏等,根本无法达到其应有的安全性。
二、目前医院网络与医保网络之间的网络现状分析
(一)管理难度大
从我国当前的医保网络情况来分析,中国劳动与社会保障部门对医疗保险采用的模式主要是集中支付的运行模式。医保信息网络必须与政府、医院、银行、药店、社区、财政等多个相关单位进行连接,从而来获取有关参保人员的必要信息,与此同时,还需要进行相关的支付服务,因此,在这样的网络环境下,使得网络结构过于复杂,增大了医保网覆盖面,从而给管理造成了很大的难度。
(二)网络连接有待于提高
从医保网络与医院网络的连接情况来分析,医院要想为医保患者提供必要的医疗保障服务,其必须要通过医保网络相连接。但是,在实际上,对于医院与其他相关部门建立的网络结构,在前置机上设置了防火墙模式,这样,互相进入不了对方的区域,而采用这种模式影响了数据交换和共享。
(三)数据交换方式有待于完善
在医院网络与医保网络之间的数据交换方式,其主要是通过数据交换接口来实现的。一些定点医疗机构与医疗保险的连接是通过医保接口来实现的,从而促进医疗机构与医保中心信息数据的传送和交流,比如:帐户圈存、卡读写、数据传输、医保算法等,而这些内容的完成,是需要接口来实现的,但是接口部署在医院信息系统网络的终端上,使得医院无法对其进行控制。
三、医院与医保联网安全风险的解决方案
(一)加强安全风险防范
在网络连接中,医保网络与医疗网络之间,对于医院方面,其缺少可控安全网关,导致在网络安全方面,失去了信息安全交换的主导权。因此,要想解决安全问题,加强风险防范,建立安全的数据交换对策。首先,加强医院方的独立管理,做好数据安全交换网关的控制,促进医保网络与医院网络之间安全目标的实;其次,要合理控制网络连接,在一定的范围内,有效地断开医院网络与互联网之间的连接,做好外网主机访问的限制,在必要时,只通过医保前置机,进行医院网络的访问,增强和完善自身抗攻击能力;第三,加强对病毒的有效阻断,做好对黑客攻击的有效防止,控制好对网络信息的传输,尤其是在远程控制和远程传播的过程,加强对医院终端的控制,避免通过医保网络线路,有效地防止信息的向外泄露。
