序論：寫作是一種深度的自我表達。它要求我們深入探索自己的思想和情感，挖掘那些隱藏在內心深處的真相，好投稿為您帶來了七篇網絡安全監督體系范文，愿它們成為您寫作過程中的靈感催化劑，助力您的創作。

篇(1)

【關鍵詞】計算機網絡犯罪；偵查； 比例原則；措施

FR

（一）技術偵查措施的分類

1.依照侵犯公民隱私權程度的不同，分為侵犯內容信息的偵查措施和侵犯非內容信息的偵查措施。

2.根據收集的信息形成時間的不同，分為已經形成的違法信息的搜查和正在形成的違法信息的監聽

（二）技術偵查措施的范圍及遵循的原則

1.司法審查原則

從上面的分析可以看出來，西方的國家對于侵犯公民內容信息的偵查措施，還是以司法審查原則作為一個準則，即要求偵查機關在采用此類偵查措施以前，必須向法官提出申請，經法官審查許可才能實施。

2.比例原則

比例原則被稱為公法的“帝王法則”。比例原則的適用范圍可以分為三個方面，第一是適合性原則，第二是必要性原則，第三是相稱性原則。西方國家對于打擊計算機網絡犯罪的偵查措施都要求符合比例原則。

（三）技術偵查手段存在的不足

1.肉食者的缺陷

值得肯定的是，在打擊計算機網絡犯罪的過程中，建立偵查部門進行監控和監聽是能起到不小的作用，但是其中潛在的不足之處也是很大的。比如肉食者系統，它具有很強的收集數據信息的能力，雖然它的系統中存在過濾系統可以摒棄那些不需要的內容與信息，但是安裝過這個軟件的互聯網用戶的電子信息都會暴露在肉食者系統的監控之下，這對于保護公民的隱私權無疑是一個不小的威脅，為此肉食者系統受到了人權團體的廣泛批判。

2.“棱鏡”等項目存在的缺陷

（1）司法審查的力度大大減弱

首先，“棱鏡”項目雖然取得了《國外情報監視法案》的授權，在取得法院命令之后可以對情報進行監聽，但是只要證明“關系到美國國家安全的重要情報可能丟失或者無法及時并且時間緊迫來不及申請法院命令”，就可以有權利進行監聽，美國情報部門在某些情況下可以利用這一條規定來逃避司法部門的審查。其次，針對國外情報監視法院法官的選任來看，是有很大難度的起到對行政的監督作用。

（2）一定程度上違反了比例原則

客觀來說，“棱鏡”項目在打擊圍護社會安定方面有著不容小覷的力量，但是如果以此作為美國政府侵犯全球的公民的隱私權作為基本條件之一，則大大的減少了該項目在公民心中的支持率。顯然，絕大多數人認為“棱鏡”項目對于隱私權造成的損害遠遠超過了其對于打擊犯罪時取得的成就。

四、我國的現狀、存在的缺陷以及制度完善

隨著互聯網的飛速發展，計算機網絡慢慢地開始滲透到人們的生活，隨之而來的是計算機網絡犯罪案件的增多，據公安網絡安全保衛局所的統計數據分析，近年來全國公安受理的黑客攻擊破壞類案件數量每年增長均超過百分之八十。基于這一原因，我國立法、執法和司法機關在這方面投入了巨大的精力。到目前為止，我國頒布了《計算機信息系統安全保護案例》、《計算機信息網絡軌跡聯網安全保護管理辦法》、《互聯網信息服務管理辦法》等多個條例，而且我國還設立了專門的計算機網絡管理與監督檢查部門，主要在網絡安全方面發揮作用。通過立法與法規打擊計算機網絡犯罪的同時，也很好的關注到了公民的隱私權。我國在采取措施有效的偵查計算機網絡犯罪這方面，所擁有的經驗是很有限的，同時所經歷的時間也不是很長，因而在處理計算機網絡犯罪時建立的制度與機構都不是很完善。

（一）計算機網絡安全監督檢查機構職責的認定不夠明確，不能充分發揮其積極性

當前階段，可以對網絡安全監督檢查機構偵查的權限有所約束的大部分是公安部的內部規定。公安部在近幾年頒布了《公安部刑事案件管轄分工規定》、《關于計算機犯罪案件管轄分工問題的通知》以及《刑事案件管轄分工補充規定二》等等。但是這些規定中指出，有關計算機網絡犯罪中的刑事案件的偵查主要由偵查部門去處理，而網絡安全監督檢查機構也可以發揮其專業化能力和技術水平，并不是一個完全的行政管理機構。但是上述規定也是有著很大的缺陷的。首先，網絡安全監督檢查機構只能有權限參與四類有關于計算機為直接犯罪對象的案件，而前面提到過計算機網絡犯罪分為兩大類。網絡安全監督檢查機構是最快最直接去接觸犯罪線索的，也是具有專業的知識的群體，發揮其主動性是很有必要的，所以得拓網絡安全監督檢查機構的適用范圍。其次，在我國并沒有明確的規定網絡安全監督檢查機有權利去配合偵查部門的工作，這對于打擊網絡犯罪是很不利的。因此，我國應該進一步去明確并拓寬網絡安全監督檢查機構的職責，同時其他的有涉及計算機網絡的案件，網絡安全監督檢查機構負有配合的義務，充分的發揮其在計算機網絡方面的優勢。

（二）技術偵查措施所涉及的范圍有限

我國2012年修正的《刑事訴訟法》中有提到技術偵查的適用的范圍有明確的規定，公安機關“對于危害國家安全犯罪、恐怖活動犯罪、黑社會性質的組織犯罪、重大犯罪或者其他嚴重危害社會的犯罪案件”都可以適用技術偵查。這個規定有利于打擊犯罪和保護公民的隱私權，但計算機網絡犯罪有著它獨特的性質，并沒有納入可以采用技術偵查的范圍。后來頒布的《規定》彌補了這一缺陷，為計算機網絡犯罪的偵查提供了便利和法律依據。但是《規定》的適用的范圍僅僅只是有關公安機關偵查的案件，《刑事訴訟法》暴露出的缺陷與不足并沒有得到大的根據改善。

1.偵查措施所涉及范圍模糊

根據我國《刑事訴訟法》第148條的規定，可以采用技術偵查措施需要具備兩個條件，一是嚴重案件，二是“根據偵查犯罪的需要”。上述的兩個條件其實總的來說只要一個，就是重大的案件。而后者，“根據偵查犯罪的需要”是一種很含糊的說法，而它所限制的范圍也是很狹隘的。為了彌補這個缺陷，公安機關、檢察機關對此進行了更為詳細的分類，而所起的作用很有限，并沒有解決好規定含混的缺陷。因此，我國很有必要對技術偵查措施的范圍通過立法進一步的優化，建立更加完善的體系。

2.缺少內容信息與非內容信息的區分

西方國家在劃分內容信息與非內容信息技術偵查手段方面有明確規定，并且針對這兩種不同的措施設立了較為完善的適用范圍以及條件，因此偵查部門會盡量采取積極有效而對公民的人權有所保障的措施。在我國，《刑事訴訟法》等相關法律法規都沒有對此做出明確的規定及分類，這可能引起很多不良的后果。例如：過分的限制非內容信息的技術偵查措施的涉及范圍，很大程度上不能充分發揮其所具有的作用。同時會引起內容信息技術偵查手段的涉及范圍過于寬泛和偵查人員不愿意采用不涉及技術偵查手段。

3.扣押的對象為電子郵件，侵犯公民的隱私保護權及通訊自由權

在我國相關的法律法規中，將電子郵件規定為扣押對象，與傳統郵件、電報一樣。這忽略了電子郵件作為新興的電子通訊產品所具有的特點，監控和提取電子郵件應劃分為技術偵查手段。因為電子郵件是一種通過互聯網作為工具的通訊方式，它的內容是很容易被拷貝，不應該與傳統郵件一樣以扣押的方式去提取有效的信息。而且，電子郵件的提取可以在收件人與發件人不知曉的情況下進行提取，而傳統郵件被扣押后會被知曉，電子郵件的提取在秘密的情況下進行，這符合技術偵查措施的條件。再者，電子郵件與傳統郵件在作為偵查對象時，所造成的侵害程度是有所不同的，電子郵件被提取后，有可能繼續收發郵件，造成進一步的隱私泄露，而傳統郵件被扣押后，其數量是有限的，雙方也會停止收發郵件。最后，短信、微信、QQ等通訊軟件與電子郵件的特點很相似，都是通過計算機網絡進行傳遞，它們的所涉及的范圍應該相同。

五、結論

當前階段我國在打擊計算機網絡犯罪方面還面臨著嚴峻的任務，同時也是我們不可避免的一項重要內容，在本文當中，筆者總結了國內外現階段打擊計算機網絡犯罪過程當中存在的問題與缺陷以及較為常見的手段與措施，希望能對我國有效打擊計算機網絡犯罪與完善計算機網絡制度有一定幫助，進而更好地去迎接計算機網絡犯罪帶來的挑戰。

參考文獻：

[1]于志剛. 網絡空間中犯罪幫助行為的制裁體系與完善思路[J]. 中國法學，2016，（02）：5-24.

[2]于志剛. 網絡犯罪立法與法學研究契合的方向[J]. 重慶郵電大學學報（社會科學版），2015，（06）：23-30+87.

[3]于志剛. 締結和參加網絡犯罪國際公約的中國立場[J]. 政法論壇，2015，（05）：91-108.

[4]于沖. 網絡犯罪罪名體系的立法完善與發展思路――從97年刑法到《刑法修正案（九）草案》[J]. 中國政法大學學報，2015，（04）：39-54+159.

[5]李懷勝. 三代網絡環境下網絡犯罪的時代演變及其立法展望[J]. 法學論壇，2015，（04）：94-101.

[6]張智輝. 試論網絡犯罪的立法完善[J]. 北京聯合大學學報（人文社會科學版），2015，（02）：91-98.

[7]于志剛. 網絡思維的演變與網絡犯罪的制裁思路[J]. 中外法學，2014，（04）：1045-1058.

[8]于志剛. 網絡犯罪的發展軌跡與刑法分則的轉型路徑[J]. 法商研究，2014，（04）：44-53.

[9]陳永生. 計算機網絡犯罪對刑事訴訟的挑戰與制度應對[J]. 法律科學（西北政法大學學報），2014，（03）：140-153.

[10]于志剛. 網絡犯罪的代際演變與刑事立法、理論之回應[J]. 青海社會科學，2014，（02）：1-11+207.

[11]于志. “信息化跨國犯罪”時代與《網絡犯罪公約》的中國取舍――兼論網絡犯罪刑事管轄權的理念重塑和規則重建[J]. 法學論壇，2013，（02）：94-104.

[12]皮勇. 新刑事訴訟法實施后我國網絡犯罪相關刑事程序立法的新發展[J]. 法學評論，2012，（06）：116-125.

[13]吳師法，徐立坤. 新時期網絡犯罪管轄權研究[J]. 中國公共安全（學術版），2009，（Z1）：124-130.

篇(2)

關鍵詞：校園網安全；統計分析；措施與建議

中圖分類號：TP393 文獻標識碼：A文章編號：1009-3044(2011)18-4297-02

Investigation and Analysis on Campus Network Security in Hainan Province

BAI Xiao-bo, OU Jun

(Hainan College of Software Technology, Qionghai 571400, China)

Abstract: With the development of the campus network in China, its safety has been becoming more and more important. Service quality of campus network seriously restricted the improvement of university network information management and normal teaching activities. Based on extensive sampling data, it analyzed all kinds of factors affected campus network security in Hainan province.Considering from security policies, management, technology, and personnel training, it proposed the improving measures and suggestions of protecting the campus network security and accumulated research materials.

Key words: campus network security; statistical analysis; measures and suggestions

1 課題調研基礎

隨著計算機網絡技術的飛速發展和網絡應用的不斷深入，我國的大中小學普遍建立了自己的校園網，校園網在高校信息交流、教學管理、輔助教學和科研等方面均發揮了重要的作用，取得了非常顯著的成效。校園網已成為各學校建設信息化校園和提升學校核心競爭力的重要依托。

但在校園網的實際管理和應用過程中，普遍存在重應用輕安全的現象，校園網用戶安全意識淡薄，安全管理體制不建全，安全防范措施落后。校園網逐漸成為了計算機病毒的溫床和網絡黑客的樂園，病毒泛濫，網絡攻擊事件頻發，信息失竊現象嚴重，安全問題日益突出，校園網服務質量亟待改善。

2 海南省校園網安全現狀

2.1 海南省校園網安全調研基本信息

2008年11月，課題組以海南省具有行業代表性的高等院校為樣本，發放教師調查問卷300份，回收有效問卷126份，回收率42%；發放學生調查問卷600份，回收有效問卷404份，回收率67.3%。

調查問卷的設計參考了公安部公共信息網絡安全監察局的《2006年全國信息網絡安全狀況暨計算機病毒疫情調查問卷》，并進行了具有針對性的討論和修改。調查問卷的內容設計涵蓋了基本信息、網絡安全管理狀況、網絡安全技術狀況和網絡安全意識等四個方面。調查對象覆蓋了海南省高校所屬行業和層次，樣本分布合理，調查過程具有專人負責，調查數據可信。

2.2 調研統計信息分析

從本次調研結果的統計分析來看，海南省校園網安全現狀不容樂觀，主要體現在如下個方面。

1）校園網安全策略有待改進

海南省校園網的設計普遍采取的是防外勝于防內的安全策略，將防護重心放在對外來攻擊的防護上，忽略了對內部的安全防護。

特別是目前我國高校的師生比基本在1:20左右，這就決定了高校校園網主體用戶是18-22歲左右的大學生，其好奇心和動手能力均高于普通網絡用戶，對黑客和網絡攻擊具有較高的興趣，特別是開設信息安全課程的高校，校園網內部攻擊事件頻發。一項內部調查顯示，校園網內超過40%的聯網計算機內潛伏有冰河木馬，多媒體教室、實驗室、實訓基地的聯網計算機由于網絡安全措施較差導致90%潛伏有不止一種木馬。

計算機病毒的情況更加不容樂觀，當前互聯網病毒的泛濫和爆發致使校園網用戶無一能夠幸免，一個學期重裝一次系統已成為管理員的常規工作，而且周期正在不斷縮短。

2）校園網安全管理體制有待健全

從此次調查結果來看，各學校網絡中心均有關于校園網安全管理規章制度，68%的網絡實驗室有網絡安全管理規章制度，25%的多媒體教室有網絡安全管理規章制度，38%的教師和學生聯網計算機有網絡安全管理規章制度。但在網絡安全管理規定和制度的執行上，所有院校普遍存在管理不到位、流于形式的現象，并缺乏合理有效的監管。

3）校園網計算機病毒防護措施有待完善

目前海南省校園網普遍采用的是內部局域網外接Internet和CERNET的結構，但校園網計算機病毒防護措施普遍采取的卻是各自為政的方式，沒有一所院校的校園網采用統一的計算機病毒防護措施。

此次調查結果顯示，35%的用戶使用瑞星殺毒軟件，29%的用戶使用卡巴斯基殺毒軟件，8%的用戶使用金山殺毒軟件，6%的用戶使用江民殺毒軟件，19%的用戶使用其他殺毒軟件，3%的用戶則在裸奔。在使用殺毒軟件的校園網用戶中，43%的用戶沒有或不會進行殺毒軟件正確設置。

4）校園網用戶的網絡安全意識有待提高

從此次調查結果來看，一個有趣的現象是，高校教師的網絡安全意識低于在校大學生。46%的教師對自己的聯網計算機進行了有效安全防護，58%的學生對自己的聯網計算機進行了有效安全防護，18%的教師堅持對試卷和答案進行加密，61%的教師從未對試卷和答案進行加密。內部調查顯示，甚至曾有教師在校園網FTP上明文傳輸試卷和答案。

綜合來看，從此次調查結果的分析可知，海南省校園網安全的主要問題突出表現為校園網安全策略存在重大缺陷、校園網安全管理體制不健全、校園網安全防護技術有待完善以及校園網用戶的網絡安全意識有待提高等方面。因此，基于校園網安全的改進計劃也應從這些方面著手實施。

3 海南省校園網安全改進措施與建議

3.1 基于合理的網絡安全策略重構安全的校園網結構

網絡安全策略是構建安全校園網的指導方針，鑒于校園網的特殊性，必須制定有別于企事業單位的內外兼顧，甚至是防內重于防外的校園網安全策略，作為規劃校園網結構改造的重中之重，建議從以下幾方面進行：

1）為便于管理，應使用網管交換機將規模較大的內部局域網改造成多級子網的結構；

2）在網絡中心設置雙向防火墻和入侵檢測系統以達到內外兼防的目的；

3）在數字圖書館等關鍵二級網絡防火墻以防范主要來自內網的攻擊；

4）統一購買并部署網絡殺毒軟件，全方位、多層次的進行病毒防范；

3.2 建立健全校園網安全管理規章制度

網絡安全事件調查顯示，超高70%的網絡攻擊事件是由于管理漏洞而非技術漏洞。健全的校園網安全管理規章制度是校園網安全運行的有力保障，校園網安全管理規章制度應涵蓋校園網絡的每個角落，并充分考慮到校園網各部分的特殊性制定有針對性的安全管理規章制度。

1）制定完善的學院校園網安全管理規定；

2）制定針對網絡中心、圖書館、實驗室、實訓基地、多媒體教室、辦公電腦和學生電腦的安全管理規定；

3）成立校園網安全應急小組，制定完善的校園網安全應急預案和管理辦法；

4）成立校園網安全監督委員會，制定完善的校園網安全監督管理辦法，定期檢查，對存在的校園網安全隱患和漏洞進行監督整改；

5）加強人員的安全培訓，除了對用戶進行有關網絡安全的法律和規章制度進行宣傳教育外，重點提高用戶的網絡安全防范意識和常用安全技術，盡量減少人為因素造成的風險。

3.3 完善校園網安全技術

校園網普遍具有用戶數量龐大和網絡突發行為較高的特點。為保證校園網的安全運轉，網絡安全技術也是重要環節，主要包括如下幾個方面：

1）校園網安全規劃

由于Internet的TCP/IP體系結構在設計上即存在安全漏洞，因此要正確認識當前的防火墻技術、入侵檢測技術和防病毒技術的重要性和局限性，采用最適合的安全技術進行校園網的安全規劃和改進；

2）校園網設備安全

網絡設備均屬于高精密弱電電子設備，需要建立一個防塵、防靜電、防雷、防火的安全環境，可參考GB2887《電子計算機場地通用規范》、GB9361《計算機場地安全要求》和GB50174《電子計算機機房設計規范》；

3）校園網平臺安全

校園網平臺多為Windows和Linux，其在設計上均存在不同程度的安全漏洞，必須進行正確的安全設置，并及時下載并安裝漏洞補丁程序。可責成網絡中心或其他部門統一進行；

4）校園網數據庫安全

校園網的特殊性也體現在其校園網中數據庫服務器較多這一特性上，學生信息系統數據庫、教學科研數據庫、圖書館數據庫等均有校園網接口，其安全性要求不容置疑。但遺憾的是，現有的網絡數據庫管理系統（DBMS）均有不同程度的安全漏洞，數據庫管理員必須對網絡數據庫管理系統進行正確的安全設置并及時下載安裝漏洞補丁程序；

5）網絡應用程序安全

現有的網絡應用程序種類繁多，但當前的網絡應用程序在開發時即存在重應用輕安全的現象，導致網絡應用程序的安全漏洞頻發，校園網用戶必須進行正確的安全設置并及時升級和下載安裝漏洞補丁程序。

4 結束語

從嚴格意義上來講，網絡安全是一個相對的概念，世界上沒有一個網絡系統是絕對安全的。校園網安全安全體系的建立是一個復雜的系統工程，校園網安全程度又與網絡效率和投入具有密切的關系。隨著技術的展和進步，我們應當全面綜合考慮運用防火墻技術、入侵檢測技術、防病毒技術、加密技術等多項措施，合理配置,加強管理，構建一個涵蓋校園網安全策略、安全管理規章制度、安全技術規范和應用安全培訓的校園網安全體系，提供一個安全高效的教育和科研網絡環境。

參考文獻：

[1] 公安部公共信息網絡安全監察.2006年全國信息網絡安全狀況暨計算機病毒疫情調查表[EB/OL].(2006-08)..cn/images/2006qgxxwlaqtc.doc.

[2] 馬敏飛,余先虎.構建安全的校園網策略探討[J].寧波廣播電視大學學報,2007(3).

篇(3)

關鍵詞：網絡安全；網絡設計原則

中圖分類號：TP393文獻標識碼：A文章編號：1009-3044(2012)18-4332-02

隨著信息技術的快速發展、現代網絡的普及、企業網絡化運作，企業門戶網站、企業電子商務等在企業經營運作過程中扮演著重要的角色，許多有遠見的企業都認識到依托先進的信息技術構建企業自身業務和運營平臺將極大地提升企業的競爭力，使企業在殘酷的競爭中脫穎而出。然而，企業在具有信息優勢的同時，也對企業的網絡安全提出了嚴峻的考驗。據報道，現在全世界平均每20秒就會發生一次計算機網絡入侵事件。據智能網絡安全和數據保護解決方案的領先供應商SonicWALL公司日前了其2011年年中網絡威脅情報報告：“報告顯示，企業正面臨越來越多網絡犯罪分子的攻擊，這些人企圖攻擊的主要對象是那些通過移動設備連接訪問企業網絡以及越來越頻繁使用社交媒體的企業員工。基于惡意軟件以及社交媒體詐騙的增多，正引發新的以及更嚴重的來自數據入侵、盜竊和丟失等方面造成的企業業務漏洞。”可見，企業網絡安全面臨的壓力越來越大，認清企業網絡安全面臨的主要威脅、設計實施合適的網絡安全策略，已成為擺在企業面前迫在眉睫的問題。

1企業網絡安全面臨的主要威脅

由于企業網絡由內部網絡、外部網絡和企業廣域網所組成，網絡結構復雜，面臨的主要威脅有以下幾個方面：

1.1網絡缺陷

Internet由于它的開放性迅速在全球范圍內普及，但也正是因為開放性使其保護信息安全存在先天不足。Internet最初的設計考慮主要的是考慮資源共享基本沒有考慮安全問題，缺乏相應的安全監督機制。

1.2病毒侵襲

計算機病毒通常隱藏在文件或程序代碼內，伺機進行自我復制，并能夠通過網絡、磁盤等諸多手段進行傳播，通過網絡傳播計算機病毒，其傳播速度相當快、影響面大，破壞性大大高于單機系統，用戶也很難防范，因此它的危害最能引起人們的關注，病毒時時刻刻威脅著整個互聯網。

1.3黑客入侵

黑客入侵是指黑客利用企業網絡的安全漏洞、木馬等，不經允許非法訪問企業內部網絡或數據資源，從事刪除、復制甚至破壞數據的活動。由于缺乏針對網絡犯罪卓有成效的反擊和跟蹤手段，使得黑客攻擊的隱蔽性好，“殺傷力”強，這是網絡安全的主要威脅之一。

1.4數據竊聽與攔截

這種方式是直接或間接截取網絡上的特定數據包并進行分析來獲取所需信息。這使得企業在與第三方網絡進行傳輸時，需要采取有效的措施來防止重要數據被中途截獲、竊聽。

1.5拒絕服務攻擊

拒絕服務攻擊即攻擊者不斷對網絡服務系統進行干擾，改變其正常的作業流程，執行無關程序使系統相應減慢甚至癱瘓，影響正常用戶的使用，甚至使合法用戶被排斥而不能進入計算機網絡系統或不能得到相應的服務，是黑客常用的攻擊手段之，其目的是阻礙合法網絡用戶使用該服務或破壞正常的商務活動。

1.6內部網絡威脅

據網絡安全界統計數據顯示，近80%的網絡安全事件是來自企業內部。這樣的安全犯罪通常目的比較明確，如對企業機密信息的竊取、數據更改、財務欺騙等，因此內部網絡威脅對企業的威脅更為嚴重。

2企業網絡安全設計的主要原則

針對企業網絡安全中主要面臨的威脅，考慮信息安全的機密性、完整性、可用性、可控性、可審查性等要素，建議在設計企業網絡時應遵循以下幾個原則：

2.1整體性原則

在設計網絡時，要分析網絡中的安全隱患并制定整體網絡的安全策略，然后根據制定的安全策略設計出合理的網絡安全體系結構。要清楚計算機網絡中的設備、數據等在整個網絡中的作用及其訪問使用權限，從系統整體的角度去分析，制定有效可行的方案。網絡的整體安全是由安全操作系統、應用系統、防火墻、網絡監控、安全掃描、通信加密、災難恢復等多個安全組件共同組成的，每一個單獨的組件只能完成其中部分功能，而不能完成全部功能。

2.2平衡性原則

任何一個網絡，不可能達到絕對的安全。這就要求我們對企業的網絡需求（包括網絡的作用、性能、結構、可靠性、可維護性等）進行分析研究，制定出符合需求、風險、代價相平衡的網絡安全體系結構。

2.3擴展性原則

隨著信息技術的發展、網絡規模的擴大及應用的增加，面臨的網絡威脅的也會隨之增多，網絡的脆弱性也會增多，一勞永逸地解決網絡中的安全問題也是不可能的，這就要求我們在做網絡安全設計時要考慮到系統的可擴展性，包括接入能力的擴展、帶寬的擴展、處理能力的擴展等。

2.4多層保護原則

任何的網絡安全措施都不會是絕對的安全，都有可能被攻擊被破壞。這就要求我們要建立一個多層保護系統，各層保護相互補充、相互協調，組成一個統一的安全防護整體，當一層保護被攻擊時，其它層保護仍可保護信息的安全。

圖1基于網絡安全設計原則的拓撲示意圖

防火墻：網絡安全的大門，用來鑒別什么樣的數據包可以進出企業內部網絡，阻斷來自外部的威脅，防火墻是不同網絡或網絡安全域之間信息的唯一出入口，防止外部的非法入侵，能根據網絡的安全策略控制訪問資源。

VPN：是Internet公共網絡在局域網絡之間或單點之間安全傳遞數據的技術，是進行加密的最好辦法。一條VPN鏈路是一條采用加密隧道構成的遠程安全鏈路，遠程用戶可以通過VNP鏈路來訪問企業內部數據，提高了系統安全性。

訪問控制：為不同的用戶設置不同的訪問權限，為特定的文件或應用設定密碼保護，將訪問限制在授權用戶的范圍內，提高數據訪問的安全性。

數據備份：是為確保企業數據在發生故障或災難性事件的情況下不丟失，可以將數據恢復到發生故障、災難數據備份的那個狀態，盡可能的減少損失。

3小結

通過分析企業網絡安全面臨的主要威脅及主要設計原則，提出了一個簡單的企業網絡安全設計拓撲示意圖，該圖從技術手段、可操作性上都易于實現，易于部署，為企業提供了一個解決網絡安全問題的方案。

參考文獻：

篇(4)

以下是《通信網絡安全防護監督管理辦法(征求意見稿)》全文：

為切實履行通信網絡安全管理職責，提高通信網絡安全防護水平，依據《中華人民共和國電信條例》，工業和信息化部起草了《通信網絡安全防護監督管理辦法(征求意見稿)》，現予以公告，征求意見。請于2009年9月4日前反饋意見。

聯系地址:北京西長安街13號工業和信息化部政策法規司(郵編:100804)

電子郵件:wangxiaofei@miit.gov.cn

附件:《通信網絡安全防護監督管理辦法(征求意見稿)》

通信網絡安全防護監督管理辦法

(征求意見稿)

第一條(目的依據)為加強對通信網絡安全的管理，提高通信網絡安全防護能力，保障通信網絡安全暢通，根據《中華人民共和國電信條例》，制定本辦法。

第二條(適用范圍)中華人民共和國境內的電信業務經營者和互聯網域名服務提供者(以下統稱“通信網絡運行單位”)管理和運行的公用通信網和互聯網(以下統稱“通信網絡”)的網絡安全防護工作，適用本辦法。

本辦法所稱互聯網域名服務，是指設置域名數據庫或域名解析服務器，為域名持有者提供域名注冊或權威解析服務的行為。

本辦法所稱網絡安全防護工作，是指為防止通信網絡阻塞、中斷、癱瘓或被非法控制等以及通信網絡中傳輸、存儲、處理的數據信息丟失、泄露或被非法篡改等而開展的相關工作。

第三條(管轄職責)中華人民共和國工業和信息化部(以下簡稱工業和信息化部)負責全國通信網絡安全防護工作的統一指導、協調、監督和檢查，建立健全通信網絡安全防護體系，制訂通信網絡安全防護標準。

省、自治區、直轄市通信管理局(以下簡稱“通信管理局”)依據本辦法的規定，對本行政區域內通信網絡安全防護工作進行指導、協調、監督和檢查。

工業和信息化部和通信管理局統稱“電信管理機構”。

第四條(責任主體)通信網絡運行單位應當按照本辦法和通信網絡安全防護政策、標準的要求開展通信網絡安全防護工作，對本單位通信網絡安全負責。

第五條(方針原則)通信網絡安全防護工作堅持積極防御、綜合防范的方針，實行分級保護的原則。

第六條(同步要求)通信網絡運行單位規劃、設計、新建、改建通信網絡工程項目，應當同步規劃、設計、建設滿足通信網絡安全防護標準要求的通信網絡安全保障設施，并與主體工程同時進行驗收和投入運行。

已經投入運行的通信網絡安全保障設施沒有滿足通信網絡安全防護標準要求的，通信網絡運行單位應當進行改建。

通信網絡安全保障設施的規劃、設計、新建、改建費用，應當納入本單位建設項目預算。

第七條(分級保護要求)通信網絡運行單位應當按照通信網絡安全防護標準規定的方法，對本單位已正式投入運行的通信網絡進行單元劃分，將各通信網絡單元按照其對國家和社會經濟發展的重要程度由低到高分別劃分為一級、二級、三級、四級、五級。

通信網絡單元的分級結果應由接受其備案的電信管理機構組織專家進行評審。

通信網絡運行單位應當根據實際情況適時調整通信網絡單元的劃分和級別。通信網絡運行單位調整通信網絡單元的劃分和級別的，應當按照前款規定重新進行評審。

第八條(備案要求1)通信網絡運行單位應當按照下列規定在通信網絡投入運行后30日內將通信網絡單元向電信管理機構備案:

(一)基礎電信業務經營者集團公司直接管理的通信網絡單元，向工業和信息化部備案；基礎電信業務經營者各省(自治區、直轄市)子公司、分公司負責管理的通信網絡單元，向當地通信管理局備案。

(二)增值電信業務經營者的通信網絡單元，向電信業務經營許可證的發證機構備案。

(三)互聯網域名服務提供者的通信網絡單元，向工業和信息化部備案。

第九條(備案要求2)通信網絡運行單位辦理通信網絡單元備案，應當提交以下信息:

(一)通信網絡單元的名稱、級別、主要功能等。

(二)通信網絡單元責任單位的名稱、聯系方式等。

(三)通信網絡單元主要負責人的姓名、聯系方式等。

(四)通信網絡單元的拓撲架構、網絡邊界、主要軟硬件及型號、關鍵設施位址等。

前款規定的備案信息發生變化的，通信網絡運行單位應當自變更之日起15日內向電信管理機構變更備案。

第十條(備案審核)電信管理機構應當自收到通信網絡單元備案申請后20日內完成備案信息審核工作。備案信息真實、齊全、符合規定形式的，應當予以備案；備案信息不真實、不齊全或者不符合規定形式的，應當通知備案單位補正。

第十一條(符合性評測要求)通信網絡運行單位應當按照通信網絡安全防護標準的要求，落實與通信網絡單元級別相適應的安全防護措施，并自行組織進行符合性評測。評測方法應當符合通信網絡安全防護標準的有關規定。

三級及三級以上通信網絡單元，應當每年進行一次符合性評測；二級通信網絡單元，應當每兩年進行一次符合性評測。通信網絡單元的級別調整后，應當及時重新進行符合性評測。

符合性評測結果及整改情況或者整改計劃應當于評測結束后30日內報送通信網絡單元的備案機構。

第十二條(風險評估要求)通信網絡運行單位應當對通信網絡單元進行經常性的風險評估，及時消除重大網絡安全隱患。風險評估方法應當符合通信網絡安全防護標準的有關規定。

三級及三級以上通信網絡單元，應當每年進行一次風險評估；二級通信網絡單元，應當每兩年進行一次風險評估；國家重大活動舉辦前，三級及三級以上通信網絡單元應當進行風險評估。

風險評估結果及隱患處理情況或者處理計劃應當于風險評估結束后30日內上報通信網絡單元的備案機構。

第十三條(災難備份要求)通信網絡運行單位應當按照通信網絡安全防護標準的要求，對通信網絡單元的重要線路、設備、系統和數據等進行備份。

第十四條(演練要求)通信網絡運行單位應當定期或不定期組織演練檢驗通信網絡安全防護措施的有效性，并參加電信管理機構組織開展的演練。

第十五條(監測要求)通信網絡運行單位應當對本單位通信網絡的安全狀況進行自主監測，按照通信網絡安全防護標準建設和運行通信網絡安全監測系統。

通信網絡運行單位的監測系統應當按照電信管理機構的要求，與電信管理機構的監測系統互聯。

第十六條(CNCERT職責)工業和信息化部委托國家計算機網絡應急技術處理協調中心建設和運行互聯網網絡安全監測系統。

第十七條(安全服務規范)通信網絡運行單位委托其他單位進行安全評測、評估、監測等工作的，應當加強對受委托單位的管理，保證其服務符合通信網絡安全防護標準及有關法律、法規和政策的要求。

第十八條(監督檢查)電信管理機構應當根據本辦法和通信網絡安全防護政策、標準，對通信網絡運行單位開展通信網絡安全防護工作的情況進行監督檢查。

第十九條(檢查措施)電信管理機構有權采取以下措施對通信網絡安全防護工作進行監督檢查:

(一)查閱通信網絡運行單位的符合性評測報告和風險評估報告。

(二)查閱通信網絡運行單位的有關文檔和工作記錄。

(三)向通信網絡運行單位工作人員詢問了解有關情況。

(四)查驗通信網絡運行單位的有關設施。

(五)對通信網絡進行技術性分析和測試。

(六)采用法律、行政法規規定的其他檢查方式。

第二十條(委托檢查)電信管理機構可以委托網絡安全檢測專業機構開展通信網絡安全檢測活動。

第二十一條(配合檢查的義務)通信網絡運行單位對電信管理機構及其委托的專業機構依據本辦法開展的監督檢查和檢測活動應當予以配合，不得拒絕、阻撓。

第二十二條(規范檢查單位)電信管理機構及其委托的專業機構對通信網絡安全防護工作進行監督檢查和檢測，不得影響通信網絡的正常運行，不得收取任何費用，不得要求接受監督檢查的單位購買指定品牌或者指定生產、銷售單位的安全軟件、設備或者其他產品。

第二十三條(規范檢查人員)電信管理機構及其委托的專業機構的監督檢查人員應當忠于職守、堅持原則，不得泄漏監督檢查工作中知悉的國家秘密、商業秘密、技術秘密和個人隱私。

第二十四條(對專業機構的要求)電信管理機構委托的專業機構進行檢測時，應當書面記錄檢查的對象、時間、地點、內容、發現的問題等，由檢查單位和被檢查單位相關負責人簽字蓋章后，報委托方。

第二十五條(罰則1)違反本辦法第六條、第七條、第八條、第九條、第十一條、第十二條、第十三條、第十四條、第十五條、第十七條、第二十一條規定的，由電信管理機構責令改正，給予警告，并處5000元以上3萬元以下的罰款。

第二十六條(罰則2)未按照通信網絡安全防護標準落實安全防護措施或者存在重大網絡安全隱患的，由電信管理機構責令整改，并對整改情況進行監督檢查。拒不改正的，由電信管理機構給予警告，并處1萬元以上3萬元以下的罰款。

篇(5)

電子政務網站是服務人民的重要窗口，也是政府走近群眾、群眾近進政府的重要平臺，確保電子政務網站的運行安全，是網站實現服務功能的重要保障。當前，電子政務網站受到網絡攻擊的新聞時有發生，其主要的安全問題主要有DDoS攻擊、SQL注入攻擊和XSS攻擊，這些攻擊的發生，對網站的安全穩定形成了較大威脅。在Google和Baidu中使用“政府網站被黑”詞條搜索，分別有717，000和394，000條查詢結果。在汶川地震發生后的短時間內，陜西和廣西地震局的信息門戶網站連續被黑，極大影響了普通民眾獲取重要信息的便捷性。因此，在開放的互聯網環境之下，電子政務網站的安全構建，應逐步建立起完善的安全體系架構，并依托加固技術、安全檢測技術等，全方位營造良好的內外環境，確保電子政務網站安全穩定運行。

1電子政務網站安全問題

1.1分布式拒絕服務攻擊（DDoS）

當前，黑客攻擊日益頻繁，攻擊手段防不勝防，而DDoS攻擊就是難以防范的黑客攻擊手段。DDoS的攻擊方式多樣，但最為常見，也是最基本的DDoS攻擊，就是通過“合理”的服務請求，實現對服務資源的過多占用，如服務器連接資源、數據庫連接資源文件系統容量、網絡寬帶等資源的過多占用，直接導致服務處于“超載”狀態，對于其他的服務請求不能及時響應，甚至是無法響應。因此，影響服務資源，導致資源匱乏是DDoS攻擊的顯著特點。一旦造成DDoS攻擊，即使網速足夠快、內存容量足夠大、處理速度足夠快，都會產生“超載”、“無法響應”等問題。

1.2SQL注入攻擊

注入攻擊包括SQL、命令、LDAP、XPath、XSLT等類型。當用戶提供的數據被當作命令或者查詢的一部分提供給解析器執行時，即可能發生注入攻擊。攻擊者提供特定加工的數據欺騙解析器執行非預期的命令。在注入攻擊中，SQL注入攻擊最常見。SQL注入是指，將SQL命令插入至Web表單的輸入域的查詢字符串，進而欺騙服務器執行惡意的SQL命令。SQL注入攻擊可以使得攻擊者使用應用程序實現登錄，進而在數據庫中執行“命令”，造成網絡信息安全問題。特別是對于應用程序為“特權很高”的賬戶，其所造成的安全問題更加嚴重。

1.3跨站點腳本攻擊（XSS）

XSS是指攻擊者利用電子政務網站漏洞，從登錄用戶端惡意盜取相關的信息，進而造成網絡信息安全問題。用戶在網站的瀏覽、電子郵件的閱覽等操作中，都會對XSS的相關鏈接進行點擊，而相關鏈接中存在惡意代碼，可對用戶的相關信息進行盜取。攻擊者為了“掩人耳目”，往往會采用十六進制編碼鏈接。電子政務網站在接收到包含惡意代碼的頁面請求之后，由于頁面與合法頁面一樣，進而成功對網站形成攻擊。當前，諸多的論壇程序對包含javascript、HTML的帖子未進行攔截，這也就使得一些用戶瀏覽包含惡意腳本的帖子之后，就有可能出現session信息被盜取。

2電子政務網站的安全構建策略

2.1網站安全架構

電子政務網站的安全體系構建，關鍵在于建立完備的安全體系架構，實現全方位多層次的深度應用安全防御。因此，對于DDoS攻擊、SQL注入攻擊和XSS攻擊，應構建網站安全架構。在安全體系架構中，安全技術支撐平臺是網站安全的重要基礎，特別是應用層，是網站安全的前提，強調電子政務網站建立時，需要建立完善的安全管理體系、應急恢復機制，為全方位的安全保駕護航，也為了避免因應用層受損而導致網站安全問題的發生。此外，逐步建立健全網絡安全監督管理機制，并通過激勵制度的建立，提高網站安全管理人員的安全應急能力，明確管理人員與相關工作人員的職責。在應急恢復機制的建立中，強調“防范為主、及時根除”的原則，全方位加固網站的運行安全環境。

2.2網站加固技術

網站加固技術是當前網站安全構建的重要手段，也是有效防止黑客等攻擊的有效措施，對提高電子政務網站的安全運行，營造了良好的內外環境。

2.2.1高性能網絡設備的應用

在網絡安全構建中，網絡設備的購置是必要的，特別是在選購WEB應用防火墻、交換機和路由器等網絡設備時，應選擇信譽好、質量好、專業的企業產品。與網絡設備供應商建立良好的合作關系，面對諸如DDoS的一些攻擊，可以請求供應商在網絡接點處進行相應的限流處理，實現對若干DDoS攻擊的有效防御。

2.2.2增強操作系統的防護性能

當前，WindowsServer2008、2012服務操作系統，其本身對攻擊具備一定的防御能力。但是，服務操作系統處于“默認”狀態時，這一功能處于“關閉”狀態。那么，需要人工進行開啟，這樣話，可以實現對SYN攻擊包的有效抵擋。因此，在實際的安全構建中，應注重操作系統防御性能的增加，提高應對外界惡意攻擊的性能。

3網站安全監測技術

電子政務網站的安全構建，離不開網絡監測技術的保駕護航。安全監測技術的應用，可以對網站攻擊及時發現，并及時采取應對措施。從實際來看，當前的網站安全監測技術主要有網站遠程監測、應用環境與操作系統預警等，在很大程度上為電子政務網站的安全運行，營造了良好的運行環境。那么，具體而言，主要在于：

3.1網站遠程檢測

網站遠程檢測技術，是在傳統監測技術的基礎上發展而來，其在網站安全構建中，主要表現出以下顯著特點：（1）遠程網站監測技術，其在標準化建設上，更加注重高標準；（2）能夠對Web漏洞實現快速且全方面的監測，并且其多種安全工具的采用，數據分析、人工審核的建立，都進一步提高了其安全檢測的有效性、準確性。

3.2應用環境與操作系統預警

在網站安全體系中，應用環境與操作系統的安全與否，直接對WEB運行的安全性產生影響。特別是操作系統作為服務器運行的基礎，一旦發生安全問題，將會對網站形成嚴重的影響。因此，在日常防護中，應強化對應用環境的安全檢測、核查操作系統等，檢測其是否存在隱藏的克隆管理員賬號的安全問題；檢測中間件的環境是否存在安全隱患等。這些安全隱患的定期檢測，是維護網站運行環境安全的有力保障，也是及時發現問題的有效舉措。

4結束語

篇(6)

1.1論文背景

伴隨著Internet的蓬勃發展，電子商務一直以高效益、低成本的優勢，逐步成長為日趨成熟的商業模式。在網易針對網絡購物消費者所做的研究顯示，個人消費者選擇B2C類網站的最主要原因是“交易安全性高”，隨后是“品牌知名度高”和“價格便宜”。幾乎B2C網站提供的所有產品在C2C網站上都可以找到，但消費者選擇B2C網站而不選擇C2C的首要原因是B2C網站交易安全性高。而如當當網，作為國內領先的B2C企業，曾多次遭遇信用安全問題的困擾；淘寶商城在今年的10月份也遭遇“十月圍城”，因為一項提高商城年費的新規定而被廣大中小賣家集體攻擊。由此可見，雖然B2C電子商務有較快的發展，但影響B2C發展的，為廣大消費者所重視的主要因素是安全性，因此，預防和化解安全性問題，已成為B2C電子商務發展的迫切需求。對于大中型B2C賣家而言，買賣交易依托于B2C電子商務系統，B2C電子商務系統平臺架設依托于WEB服務器，隨著服務器技術的普及，服務器價格的大眾化，自建服務器也成為主流選擇。選擇自建服務器架設B2C商城，也帶來了長期成本較低、維護方便、安全性可控、可用性高等優點，但其安全性的不足也是顯而易見的，立足于B2C電子商務系統考慮安全性問題，可以較為全面地理解和分析B2C各方面的安全問題。

1.2電子商務的相關概念

1.2.1電子商務的定義

在Internet網上進行商務活動。其主要功能包括網上的廣告、訂貨、付款、客戶服務和貨物遞交等銷售、售前和售后服務，以及市場調查分析、財務核計及生產安排等多項利用Internet開發的商業活動。

1.2.2B2C電子商務的定義

B2C是英文Business-to-Consumer（商家對客戶）的縮寫，而其中文簡稱為“商對客”。“商對客”是電子商務的一種模式，也就是通常說的商業零售，直接面向消費者銷售產品和服務。

1.2.3B2C電子商務系統的定義

又稱網上商城系統，是一個為B2C交易服務的、功能完善的在線購物系統，主要為在線銷售和在線購物服務。

1.2.4自建服務器的定義

指自行購置服務器并在服務器上架設WEB、FTP等各種服務對外，一般需要獨立IP以及專職維護人員。

2.自建服務器式B2C電子商務系統安全問題

2.1自建服務器式B2C電子商務系統體系結構

一個完整的自建服務器式B2C電子商務系統體系結構是綜合性的，它包括硬件體系、軟件體系以及交易體系。

2.2自建服務器式B2C電子商務系統安全體系結構

基于上述系統結構，各個方面均可能導致出現安全漏洞及威脅，包括病毒、惡意攻擊、木馬、后門、自然災害、竊用、盜竊、假冒身份、否認等。而這些安全威脅，在體系結構的三個方面都有所體現，可以將這些安全威脅所關聯的安全性進行分類，總共分為4類，即網絡安全、物理安全、應用安全、信用安全，其在體系結構中的體現分布如下圖：由上圖可以得知，硬件體系的安全性包括網絡安全和物理安全，軟件體系的安全性包括應用安全和網絡安全，交易體系的安全包括信用安全。而這些安全性相應又可以進行細分，為便于查看及理解，將相應對策也列出，文中于下一章節予以闡述，如下圖所示：

2.3自建服務器式B2C電子商務系統安全威脅

由圖3可以看出，系統安全性包括網絡安全、應用安全、物理安全以及信用安全。

2.3.1網絡安全

網絡安全威脅包括惡意代碼、漏洞、黑客攻擊等，一切安全威脅來源于網絡或者攻擊目標為網絡設備及網絡軟件程序的均可以歸為網絡安全威脅。

2.3.1.1惡意代碼

惡意代碼是指未經用戶授權便干擾或破壞計算機系統/網絡的程序或代碼。惡意代碼通過網絡傳播、感染、主動攻擊等各種方式對B2C電子商務系統的硬件、軟件體系均可能造成威脅。

2.3.1.2漏洞

是在硬件、軟件、協議的具體實現或系統安全策略上存在的缺陷，從而可以使攻擊者能夠在未授權的情況下訪問或破壞系統。B2C電子商務系統中的硬件體系和軟件體系均可能存在漏洞。企業在搭建電子商務系統的時候，在硬件準備上投資不足，通常只配置最低性能可用的硬件，未能充分考慮防御安全隱患，在軟件投入運行后不能及時發現和修補漏洞，也沒有配備相應技術人員去跟進和完善軟件。在系統運行一段時間后，再行修補漏洞往往亡羊補牢。

2.3.1.3黑客攻擊

指懷有惡意的攻擊者使用一定手段實時對系統進行攻擊的行為。B2C電子商務系統在投入運行后，應7×24小時在線運作，并處于Internet上讓各方消費者均可以登錄瀏覽。而internet上何時何地均有可能存在攻擊者，這些攻擊者可能懷著各種不同目的，利用不同的手段，都將對系統造成不可預期的影響。

2.3.2應用安全

應用安全威脅包括系統安全威脅、桌面安全威脅、交易安全威脅等。凡是在應用層次出現的安全威脅均可以歸屬此類。

2.3.2.1系統安全威脅

B2C電子商務系統平臺運行所依賴的操作系統（如WINDOWS、UNIX、LINUX）、系統軟件（如IIS、APACHE），還有相關的系統軟件等，均可能在設計的時候就存在許多漏洞或BUG，這些BUG很可能影響到電子商務系統的正常運行。

2.3.2.2桌面安全威脅

桌面系統是指個人使用的PC,網絡上的終端。對于B2C企業而言，企業內部的PC終端較多，且和在線商城系統所在的服務器通常是處于同一網段內，這就導致了任意一臺PC終端的安全問題易于感染和傳播到在線商城系統中。而企業內部員工，也可能因為誤操作而導致商業秘密泄露、B2C商城平臺遭到破壞。桌面安全威脅還包括交易安全威脅，這是來自于外部的安全威脅。包括消費者瀏覽、數據庫讀寫、支付、簽收、交易完成等電子商務交易處理流程各方面的安全威脅。

2.3.2.3物理安全

物理安全是指通過物理隔離確保系統的安全性。B2C電子商務系統對于賣家企業而言無疑是重中之重，但若隔離不善，系統的相關軟硬件設備暴露于公共場合，很可能導致人為盜竊、損壞、失效等問題的產生。

2.3.2.4信用安全

對于消費者而言，在購物的時候考慮B2C企業的信用度，而對于賣家企業而言，也應在銷售的時候考慮消費者的信用程度。近年來就出現過多起買家集合購物后申請退款以攻擊B2C系統的事件。

3.B2C電子商務系統安全問題的對策

對于上述列舉的種種安全問題，應如何防范和處理呢，在企業搭建B2C電子商務系統平臺之初，就應開始考慮安全防范問題，在平臺建立的需求分析、平臺設計、平臺運行和維護、平善等階段不斷針對安全性問題相應采取對策。

3.1B2C電子商務系統分析設計階段安全策略

在分析設計階段，B2C電子商務系統應進行可行性研究、需求分析、邏輯設計和物理設計，在這幾個階段主要考慮系統的網絡安全性和物理安全性，在網絡安全威脅防范方面，應布置防火墻于企業網絡路由器之外，對外來的惡意代碼、黑客攻擊進行抵御，布置IDS入侵監測系統和IPS入侵防御系統對內部的攻擊和漏洞進行抵御和掃描；并布設網閘對網絡設備進行物理隔離，對于服務器等重要設備應設置專門的設備間，并加鎖門窗，專人管理，對于裝載重要軟件和數據庫的存儲設備也應離線保存，專人管理。并在網絡設計時，將B2C電子商務系統所依托的WEB服務器、數據庫服務器等放置于DMZ區，前后放置路由隔離。對于中央設備、故障單點，應在設計階段就考慮冗余備份，包括服務器冗余、路由冗余、網路冗余、電源冗余以及線路冗余等，并實施熱切換或者并向工作，以確保故障單點受到損壞時能切換上備用設備，B2C系統得以持續正常運行。

3.2B2C電子商務系統運行維護階段安全策略

在運行維護階段，B2C系統投入運行，主要考慮應用安全性和信用安全，應設置專人監管維護系統，企業內部使用ISA管理軟件進行監控和過濾內部PC的行為，使用VPN技術和合作企業或員工通訊。系統對內部員工進行訪問控制，對重要數據進行加密。在交易安全方面，將PKI、數字加密、電子簽章等技術融入B2C電子商務系統中，使與客戶的交易得到安全保障。對B2C平臺所依托的系統軟件、應用軟件，應進行漏洞掃描和修補處理，定期專人更新系統補丁，檢測漏洞。建立安全監督部門以及健全安全管理制度，管理人員需在制度指導和制約下操作。

3.3B2C電子商務系統完善階段安全策略

一個B2C系統只有不斷完善，才得以在市場上存活和發展。這包括重新的規劃設計、硬件的更新、軟件的更新、人員的培訓等。在完善階段，所進行實施的應為修補之前系統的不足，為將來的幾年內的發展進行規劃和準備。在基于原有系統重新設計中長期B2C系統建設方案，升級原本帶寬不足的網絡，負載過重的設備，修復的軟件平臺已發現BUG，對員工進行培訓等。

3.4安全策略圖示

使用officevisio描繪一個安全設備拓撲圖，以體現自建服務器式B2C電子商務系統安全問題的防范以及解決對策。圖中體現部分安全策略。包括對外與客戶交易的路由、防火墻、DMZ區隔離，加密認證和簽章系統，核心設備實現冗余備份，使用管理PC以及IPS、IDS對企業內網進行監控和過濾等。

篇(7)

關鍵詞：網絡安全，防火墻醫院信息管理

 

隨著醫院信息化的深入，越來越多的醫院已經部署了醫院信息系統。醫院業務每天都要產生大量的信息，大部分數據都實現電子化記錄，如財務數據、病人的就診記錄等重要信息。信息化的應用在提高醫院工作效率，降低管理成本的同時，也為數據竊取、數據篡改行為衍生了機會。同時，基于系統漏洞的病毒、木馬等危害也日益嚴重，導致很多醫院因病毒爆發而中斷業務，丟失數據。因此，信息安全越來越成為醫院信息化建設重點關注的問題之一。計算機網絡已經成為信息系統賴以運行不可或缺的基礎平臺。如何保障醫院網絡的不間斷運行，及時排除網絡安全方面的隱患，確保醫院網絡安全無故障持續運行，是醫院網絡管理者們不可避免的一個課題。

一、醫院信息系統的安全，涉及面比較廣，主要包含以下幾個方面： 1用戶權限驗證：每一個操作人員登錄系統的權限； 2 數據安全：數據庫的安全策略，備份與恢復策略，用戶操作痕跡及回溯等； 3 網絡安全：與外網的連接，授權訪問與非法訪問等； 4 防病毒防黑客：桌面防毒的問題是最易解決的了，裝一個網絡版的殺毒軟件就行了； 5 安全管理體系：用戶權限的變更管理，帳號口令的管理等； 6 有醫生/護士工作站的，可能還會有醫生護士操作的電子簽名的問題。

二、影響醫院信息網絡安全問題的內外因素

醫院信息系統安全涉及網絡安全、服務器組安全、存儲設備安全、操作系統安全、備份方案的可靠性、群集技術的可靠性、供電安全、計算機工作環境、計算機病毒問題、防止非法訪問、系統管理等內容與問題。如今對醫療行業提供的網絡安全技術解決方案中，仍以防火墻(FW)+防病毒(AV) 為主流選擇，忽視其他網絡管理系統的網絡管理功能。隨著醫院網絡整體應用規模的不斷擴大，網絡安全環境的日益惡化，大規模DOS侵入、黑客攻擊、蠕蟲病毒、垃圾郵件等的大量泛濫，這些安全技術手段逐漸暴漏出某些“先天不足”的問題，導致“安全門”一次次“洞開”，引發重要數據的丟失、破壞，造成難以彌補的損失，不僅嚴重影響到醫院網絡的正常運行，還直接威脅到患者的隱私和生命安全。

雖然這里有安全環境變化的原因，但更重要的是醫院對于網絡管理系統產品的部署和認識存在著誤區，偏愛防火墻，認為有了防火墻就可高枕無憂，其它網絡管理系統就不必了。其實防火墻產品本身就有技術上的不足，被動式的防御措施，不能防范不經過防火墻的攻擊(包括來自網絡內部和網絡旁路的攻擊)、新的威脅和攻擊以及基于內容的攻擊等。

目前影響威脅國內醫院信息網絡安全問題的主要人為因素有4個方面：一、沒有設立專門的網絡管理機構，沒有行政和技術上的有效安全管理，網絡設計缺陷威脅網絡安全，比如過于單方面依賴防火墻；二、沒有制定、公布衛生系統的信息網絡安全規范和安全標準；三、沒有實行強制性的安全監督、審查、驗收機制，特別是沒有第三方介入的監督、審查、驗收機制；四、沒有重視和執行對用戶的安全知識、法規、標準的宣傳、培訓、考核，沒有規定和實行醫院信息系統安全員配備和持證上崗制度。　認識影響威脅醫院信息網絡安全問題的內外因素，才能“對癥下藥，藥到病除”。

三、 醫院基礎網絡應用常見的安全隱患

1.1內部威脅

醫院內部人員將攜帶病毒的個人電腦接入醫院業務網絡，對醫院業務網絡造成破壞，導致業務中斷；醫院部分人員利用同一臺電腦，采用插拔線纜的方式，同時訪問業務網絡和Internet網絡。論文大全。這樣在訪問Internet時傳染的病毒或木馬將直接帶入業務網絡；　 同時可能存在個別人員，利用網絡訪問數據庫，從而獲取有價值的重要數據，如產生醫患糾紛時，篡改病人就診數據，使醫院蒙受巨大損失。　 1.2外部威脅外來人員利用非授權電腦，私自接入醫院業務網絡，發動攻擊、傳播病毒、竊取或篡改數據；醫院業務系統需與醫保等社保網絡相連，進行數據的傳輸，由此也會為醫院帶來安全的威脅。

2 醫院信息化管理存在的安全隱患2.1殺毒軟件、系統補丁更新不及時大部分醫院都為業務主機安裝了殺毒軟件，但由于主機數量較多，維護量大，網管人員無法確保所有主機的病毒庫為最新版本。操作系統補丁的更新也存在同樣的問題。這樣必然無法防御新的病毒或系統漏洞所帶來的安全威脅。2.2IP、MAC地址綁定，無實際意義部分醫院為了防止外來人員隨意接入內部網絡，在接入層交換機進行了IP、MAC地址與端口的綁定操作。此安全防御行為有2個問題：地址綁定工作量大，不方便操作，需網管人員逐條輸入，每臺交換機單獨操作；擁有一定網絡技術的人員可輕松更改主機的IP、MAC地址，至使地址綁定無效。IDS入侵檢測，“亡羊補牢”IDS只具備入侵檢測的功能，當出現異常數據時發出告警信息，但無法進行有效防御，因此很多網管人員認為在醫院內部網絡部署無意義。數據庫審計，無法定位到人為了防止數據篡改或泄露，醫院對用戶訪問權限進行了嚴格控制，但仍無法避免對數據庫的惡意操作行為，數據庫安全審計系統可以詳細記錄每個會話連接對數據庫的操作行為，但是只能定位到IP地址，無法與人員做綁定。醫院中很多主機為公共設備，只追查到IP地址無法追究責任。論文大全。通過上面的分析，我們不難發現，醫院的業務網絡存在非常嚴重的安全威脅，而于此同時，醫院的很多安全防御措施卻無法起到很好的防范效果。論文大全。

四、醫院網絡安全的防治策略

1 用戶準入&基于網絡身份授權俗話說“病從口入”，如果我們能夠很好地解決醫院業務網絡的安全接入問題，將接入醫院業務網絡的來源進行“消毒處理”的話，就能夠還醫院一個干凈、安全的網絡。1.1用戶帳號的合法性 用戶帳號的合法性主要是確認用戶身份的合法，并且可以將用戶帳號靈活地與IP 、MAC、VLAN、交換機的物理接口、IP、MAC等信息綁定。該信息的綁定無需網管人員在接入層交換機進行配置，是由SMP(安全管理平臺)服務器配置后，統一下發給接入層交換機的策略。1.2網絡授權確定用戶身份合法、且主機合規后，針對該用戶自動下發訪問策略（可以訪問哪些服務，不可以訪問哪些服務）。

2 主機入網安全檢測判斷主機是否合規，可以靈活定義主機的合規性要求，如病毒庫是否為最新版本、指定的系統補丁是否有安裝、未允許的程序是否有啟動等等。其中更為關鍵的是，主機安裝的安全客戶端能夠自動收集主機的特定信息生成唯一的標識符，SMP服務器可以判斷該標識符是否是合法的主機，從而拒絕外來主機的接入（即使是有用戶帳號，IP、MAC做了修改也沒有）。

 

向網絡中的違規主機（如，病毒庫不是指定版本，指定系統補丁沒有安裝，運行了不允許安裝的軟件等）發出警告； 用戶根據提示信息，自主進行程序下載或修復漏洞； 安全檢查合格后，連入網絡。

3 主動防御、安全隔離

4 用戶行為審計，準確定位到人

通過在服務器區域部署防火墻，一方面可以防御對服務器的攻擊、異常操作等行為，另一方面對于用戶的訪問行為進行記錄，并傳送到指定的日志收集服務器（E-log）；E-log與GSN聯動，將IP地址信息與用戶、主機信息進行關聯，從而確認用戶在網絡中的訪問行為；結合數據庫審計或數據庫日志，將用戶的網絡行為與數據庫中的IP地址、時間等信息進行匹配，從而定位到什么人，在什么時間，在哪臺主機，連接了數據庫，進行了哪些操作。

5 要注意醫院網絡安全中的非技術因素

在所發生的網絡安全問題中, 除了技術方面的因素外,更多的是非技術的因素。影響醫院網絡安全的非技術因素:網絡安全意識淡薄,缺乏防范意識;管理觀念沒有及時跟上;信息管理部門對網絡安全的現狀認識不足;缺乏完善的網絡安全管理體系;網絡安全管理人員和技術人員缺乏必要的專業安全知識；網絡使用者的安全意識薄弱等。這些非技術因素也需要非常注意。

五、結束語：

隨著醫院計算機網絡的逐步發展，它漸漸成為一個醫院關鍵的、不可缺少的資源。我們必須積極主動的利用各種手段管理網絡、診斷問題、防患于未然，為醫院計算機信息系統提供良好的運行環境。網絡的安全與醫院利益息息相關，一個安全的網絡系統的保護不僅和系統管理員的系統安全知識有關，而且和領導的決策、工作環境中每個員工的安全操作等都有關系。網絡安全是動態的，新的Internet黑客站點、病毒與安全技術每日劇增，醫院網絡管理人員要掌握最先進的技術，把握住醫院網絡安全的大門。

五、參考文獻

[1] 韓雪峰, 等. 醫院信息網絡的管理, 醫學信息, 2006-12.

[2] 管麗瑩, 等. 醫院計算機網絡及信息安全管理,現代醫院, 2006-8.

[3] 張震江.醫院網絡安全現狀及研究［J］.計算機系統應用，2006,7:88-93.[4] 張會芹. 醫院網絡的安全維護措施［J］.中國醫院統計,2006,12（2）:191-192.