1．1网络安全的定义
国际标准化组织（ISO）将网络安全［2］定义为：为数据处理系统建立相应的安全保护措施，保护运行在网络系统中的硬件、软件以及系统中的数据不被黑客更改、破坏或者泄露，从而保证了网络服务不中断，使得系统可靠安全地运行．上述网络安全的定义包含两方面内容：物理安全和逻辑安全．其中物理安全是指在构建网络系统的时候，保证物理线路能够防雷、放火、防水、防盗等，能够保证物理线路连续的进行数据传输．而逻辑安全通常指的是传输在网络上数据的信息安全，即对网络上传输信息的保密性、可用性和完整性的保护．另一方面，网络安全性的涵义也可以理解成是信息安全的一种引申，即网络安全是对网络信息的保密性、可用性和完整性提供相应的保护．概括的说，可以将网络安全定义为：为保证目前网络中运行的系统、信息数据、信道传输数据和信息内容的安全而采取相应的措施，从而保证网络中信息传输、交换以及处理的保密性、可用性、可控性、可审查性、完整性．
1．2网络安全基本特征
网络安全应具有保密性、可用性、可控性、可审查性、完整性等五个方面的特征．保密性：信息未经授权不泄露给任何用户，而且信息的特性也具有保密性，其它非授权用户、实体或过程无法利用其特征．可用性：用户经过授权后可按需使用，即授权用户当需要该信息时能否正常存取．网络环境下常见的可用性的攻击包括拒绝服务攻击、破坏网络或系统的正常运行等．可控性：对网络中传播的信息及其内容具有控制能力．可审查性：当网络中出现安全问题时可提供相应的依据与手段，便于追踪攻击源．完整性：用户未经授权不能随意改变数据的特性，即信息在保存或者传输的过程中拥有不被修改、破坏或丢失的特性，保证了信息的完整性．
2校园网建设概述及其安全威胁
随着互联网的快速普及，校园网建设已经成为学校的基础建设之一，教育信息化、数字化已经成为教育发展的主方向，校园网已成为学校日常教学、办公、科研、管理、生活主要的工具和手段之一，并发挥着越来越重要的作用［3］．另一方面，随着国家科教兴国战略的实施，政府加强了对学校的投资，由此也加强了学校对校园网的建设．中国教育和科研计算机网（CER－NET）的成立，标志着教育网的形成．CERNET主干网络传输速率已达到2．5Gpbs，总容量达40Gpbs，它吸引超过1000所高校的鼎力加盟，覆盖全国超过200个城市．目前，大部分学校都已建成校园网，实现了校园网的整体覆盖，包括办公楼、教学楼、宿舍楼等．校园网同时与Internet对接，实现了校园办公教学的信息化、自动化．如图1所示，为一个简单的校园网组网模型．随着CERNET的建设不断提高，校园网已经成为互联网的重要组成部分之一，是学校信息化、数字化建设的基础设施，同时担任着科研与教学的重要任务．然而，目前国内大多数学校都缺乏对校园网建设的综合规划、缺乏相应的网络管理措施、以及对校园网络的认识不足，这些都极大阻碍了校园网的发展．因此合理地对校园网络升级，是目前学校校园网工程的首要目标之一［4］．同时，校园网作为学校数字化、信息化的基础设施，安全问题不容忽视．在互联网开放程度很高的今天，校园网往往最容易成为黑客攻击的目标．威胁校园网安全的因素有很多，但主要的安全威胁有以下几类．
2．1TCP／IP协议漏洞造成的威胁
现在互联网上使用最多的协议就是TCP／IP协议了，这几乎是所有校园网采用的网络传输协议．TCP／IP协议在设计之初，就没有考虑安全问题，它只考虑如何把信息互相传输，因此存在很大的安全威胁．虽然国际标准化组织提出的OSI七层协议能够很好的保证网络安全，但是由于TCP／IP协议的开放性和通用性几乎占用了整个市场，使得OSI七层协议无法推广．所以，目前网络黑客针对TCP／IP漏洞攻击有很多，例如：数据窃听、源地址欺骗、ARP欺骗等等．
（1）数据窃听（PacketSniff）．TCP／IP协议从设计之初，就采取的是数据包明码传输，这种传输模式使得数据包很容易被窃听、修改和伪造．黑客可以利用一系列工具获取网络中正在传输的数据包，窃取用户有利用价值的信息，如用户账户和密码等信息．同时，黑客也能修改和伪造数据包，让用户误入钓鱼网站或者窃取网上银行信息，给用户造成直接经济损失．特别是在校园网中，数据包流通比较集中，一旦获取了校园网服务器或管理员账号信息，将会给校园网络造成重大损失．
（2）源地址欺骗（SourceAddressSpoofing）．在网络安全中，一个比较重要的安全问题就是源地址欺骗．这里的源地址，能够是IP地址，也能是MAC地址．但是MAC地址随着路由转发，信息会发生变化，而且在实际的网络系统中，也有一定的限制，改造欺骗难度比较大，所以一般的源地址欺骗是指IP地址伪造欺骗．攻击者通常伪造被攻击的主机IP地址，骗取防火墙信任，从而对校园网内部发起攻击．
（3）源路由选择欺骗（SourceRoutingSpoo－fing）．在一个完整的IP数据包中，通常只包含源地址和目的地址，即路由器可以知道数据包从哪个主机发送出来，将要到达哪个主机．源路由是指数据包将会列出所要经过的路由，路由器将会根据这些指定的路由将数据包送达相应的主机，然后根据其反向路由进行应答，从而实现主机之间的通信．而源路由选择欺骗，则是攻击者通过伪造主机源路由，让数据包经过该主机必经路由，使受攻击主机出现错误判断，将某些被保护的数据提供给了攻击者．另一方面，由于路由器一般对接收到的路由信息是不经过检验的，这样就给攻击者提供便利，攻击者可以发送虚假数据包，改变某些重要数据包的传递路径，使得数据在传递到正常主机前，即可抓取分析，从而也达到攻击的目的．
（4）鉴别攻击（AuthenticationAttacks）．由于TCP／IP协议还无法证明网络身份的真实有效性，因此黑客可以伪造他人合法身份入侵到网络系统或者获取密钥信息，从而达到攻击目的．
（5）ARP欺骗（AddressResolutionProtocolSpoofing）．ARP即地址解析协议，作用是将网络中的IP地址转换成MAC物理地址的协议．因为在局域网中，尤其是在校园网中，使用最多的往往是MAC地址进行传输，而不是IP地址进行传输，所以ARP协议能够很快的让局域网中的两台主机进行通信．而黑客只需在局域网中进行网络监听，获取到一台主机A的节点信息（IP地址和MAC地址），就能伪造A的数据包，与B进行通信，获取有用信息．另一方面，黑客可以伪造一个不存在的MAC地址在局域网内传播，形成广播风暴，这样会造成网络不通，给局域网造成致命打击．
（6）DoS攻击（DenialofService）．DoS攻击，即拒绝服务攻击，攻击者的目的是让目标主机或网络无法提供正常服务．因为TCP协议采用三次握手建立一次连接，而任何一次握手失败，则会重新发送．攻击者正是利用这一个协议漏洞，采取不断建立连接，然后丢弃该连接数据包，使得服务器处于等待状态，如果攻击者一直持续连接和丢弃的过程，则服务器和网络所有的资源会被完全消耗，导致计算机或网络无法正常工作，从而达到攻击目的．
（7）DDoS攻击（DistributedDenialofServ－ice）．DDoS攻击，即分布式拒绝服务攻击，它是指攻击者借助一系列工具或手段，联合多个计算机组成攻击平台，对一个或数个目标发动DoS攻击．最基本的DoS是利用合法的服务请求，占用攻击目标主机大量服务资源，使得正常用户无法访问．然而DoS服务需要占用大量带宽，单个计算机攻击肯定无法达到攻击者想要的目标．因此网络黑客会抓取网络“肉鸡”，集合大量网络带宽，组成庞大的攻击平台，可以在瞬间让被攻击目标处于瘫痪状态．
（8）TCP序列号欺骗和攻击（TCPSequenceNumberSpoofingandAttack）．黑客利用一系列工具可以伪造TCP序列号，形成一个TCP封包，对网络中可信节点进行攻击．而且最重要的是，黑客可能利用伪造的TCP封包发动SYN攻击，让服务器无法完成三次握手，造成服务器开放大量等待端口，影响正常网络访问，严重时，可直接造成服务器死机，如果该服务器是WEB服务器或者DNS服务器，那么可能导致网站主页无法链接或者校园网内部用户无法访问外部网络．
（9）ICMP攻击（InternetControlMessageProtocolAttacks）．ICMP协议是Internet控制报文协议，它属于TCP／IP协议下的一个子协议，用于在IP主机和路由器之间传递控制消息．其中控制消息是指网络是否畅通、主机是否可连接、路由是否可用等一系列消息，它对数据传输有很重要的作用．而ICMP攻击是指利用操作系统ICMP的尺寸大小不得超过64KB这一规定，发动“PingofDeath”攻击，当主机ICMP数据包尺寸超过64KB时，主机会发生内存分配错误，导致TCP／IP堆栈崩溃，使得目标主机死机．虽然操作系统通过取消ICMP数据包大小限制来解决该漏洞，但是向目标主机发动持续、大规模的ICMP攻击，会消耗主机CPU、内存等资源，严重时也会导致目标主机瘫痪，无法提供正常服务．
2．2漏洞威胁
软件和操作系统是由程序员编写的，而在开发的过程中，多多少少会存在各种各样的漏洞问题，这些漏洞如果不能及时修复，将会对主机造成重大安全威胁．一旦该主机被攻破，同时也会给该主机处在的局域网中的其它机器造成威胁，情况严重时，甚至会造成整个网络瘫痪．近几年来，无论是Windows操作系统，还是Linux操作系统，的补丁数目一直持续增加．特别是Windows操作系统，在校园网内拥有的用户众多，如果没能及时修复各种漏洞，势必会影响整个校园网安全．
2．3病毒、木马威胁
近些年来，随着互联网的普及，网络上各种各样的开源软件繁多，有些开源软件打着免费的旗号，暗留后门或者对操作系统植入木马，稍不注意，就会对整个系统造成重大影响．同时，网络上黑客也会主动攻击，种植木马，抓取网络肉鸡，作为自己攻击的跳板，对互联网上其它的计算机造成严重威胁．
2．4初级黑客攻击
校园网因为自身局限性，其网络管理水平无法与企业相比，因此很容易受到网络上初级黑客的攻击，作为他们试手的目标．另外一方面，互联网出现的一系列黑客教程、黑客工具，这些教程和工具可以自由查阅和下载，加上很多黑客工具属于使用简单，这让许多初级黑客也能在一段时间内对网络造成严重的攻击．且根据心理学研究分析，很多普通攻击者往往有炫耀心理，即把校园网作为自己攻击的目标，以获取所谓的成功感，这让校园网增加更多的威胁．
3目前校园网网络建设中存在的主要安全问题
目前在校园网网络建设中主要存在的安全问题分为人为因素导致的安全问题和非人为因素导致的安全问题．
3．1人为因素导致的网络安全问题
3．1．1校园网用户数量庞大
校园网内用户量众多且处在同一个局域网中，同时，校园网内服务器数量也是别的局域网不能比拟的．用户量加上数目可观、功能强大的服务器，这些条件也吸引着互联网上众多黑客的攻击，因此存在着很大的安全隐患．
3．1．2校园网用户安全意识低
根据调查研究发现，校园网的用户大部分都安全意识不强，用户计算机整体水平偏低，有一部分校园网用户基本上不安装杀毒软件，也没能及时给系统打补丁，系统处于“裸奔”状态．这对于当今如此开放的互联网，将直接为黑客提供攻击目标．而且校园网用户极少学习相应的安全防范知识，在下载和使用软件时，基本上不考虑其风险性，这些都将会给黑客制造攻击机会，影响整个校园网安全［5］．
3．1．3信息泄密
信息泄密是指将信息透漏给非授权用户，它在一定程度上破坏了计算机系统的保密性．目前，常见的信息泄密有：操作系统漏洞、流氓软件、网络监听、病毒、木马、业务流分析、网络钓鱼、电磁、物理入侵、射频截获、非法授权、计算机后门程序．
3．1．4拒绝服务攻击（DoS）
攻击者使用一切办法让被攻击计算机停止提供服务，让合法的信息或资源访问被拒绝或者严重推迟．常见的DoS攻击有：SYNFlood、IP欺骗、UDP洪水攻击、Ping洪流攻击等．
3．1．5完整性破坏
攻击者通过系统漏洞、病毒、木马、后门程序等方式破坏信息的完整性，使得信息乱码．
3．1．6网络滥用
由于授权的用户因操作或行为不当，导致网络滥用，从而导致网络安全威胁，例如非法外联、非法内联、设备滥用、业务滥用、移动风险等等．
3．2非人为因素导致的网络安全问题
网络安全除去人为因素外，很大一部分安全威胁来自安全工具和操作系统自身的局限性．其具体特征为：每一种安全工具（如：杀毒软件）都有其自身的应用范围和环境，同时安全工具受到人为因素、系统漏洞、程序BUG的影响，这些因素反而给攻击者带来了一定的便利．对于操作系统而言，没有绝对安全的操作系统，无论是微软的Windows系列操作系统，还是开源的Linux操作系统，都有存在后门或漏洞的可能．世界上没有绝对安全的操作系统，因此在搭建校园网时，要选择安全性尽可能高的操作系统，而且要随时提供校园网用户漏洞补丁下载，以及杀毒软件，保证用户系统安全性始终最高．由上所述，我们可以说网络安全问题绝大部分是由人为因素引起的．现在，国家也制定了相应的法律来保护网络安全，打击相应的网络犯罪活动．但是校园网作为一个庞大的用户群，如何防范这些网络犯罪活动显得尤为重要．我们不能等着整个网络被攻击导致瘫痪后再想着去防范，而是要在攻击之前做好准备工作，让校园网在安全中运行．
4加强校园网网络安全建设的对策和建议
加强校园网网络安全建设主要从以下几个方面来进行．
4．1应重视校园网网络的安全搭建
在校园网工程的建设中，网络系统的搭建是属于弱电工程，它的耐压值比较低．由此，在校园网工程的设计和建设中，一定要首先考虑人以及网络中物理设备的防火、防电以及防雷等安全问题；考虑网络中布线系统与通信线路、照明线路、动力线路、空气对流管道以及暖气管道之间的距离；考虑网络中物理电路的接地安全；考虑建设合理的防雷系统，保证建筑物、计算机以及其它物理设备的防雷［6］．
4．2应加强校园网网络的安全维护技术
从技术层面来说，网络安全主要是由防火墙系统、入侵检测系统、病毒监测系统等多个安全组件组成，单独的一个组件是无法保证当前网络信息安全的．最早的网络安全技术是采用边界阈值控制法，即通过对网络边界的数据包进行监测，符合规定的数据包可通过，不符合规定的数据包就抛弃，这种方式在一定程度上能阻止对网络的入侵和攻击，但是不能有效防止网络攻击．目前，应用比较广泛的网络安全基本技术有：防火墙技术、防病毒技术、数据加密技术等．防火墙［7］指的是一个由硬件和软件混合组成的设备，用于将内部网络和外部网络隔离起来，建立一层安全保护屏障，它是一种隔离控制技术．常见的防火墙有包过滤技术、技术、状态监测技术等．相对于防火墙来说，防病毒技术将是从计算机网络内部进行防控，主要预防病毒程序、后门程序、网络监听等．目前采取比较多的防病毒手段是对系统进行监听，阻止不合规定进程．而且防病毒技术永远是滞后性的，即防病毒工具一直在病毒出现后才能组织．现在的防病毒技术和云平台技术结合，已经对病毒起到了一定的控制作用．相对前面两种技术来说，数据加密技术就比较灵活了．可以将用户的信息经过加密后，再在网络上传输，及时数据被黑客截获，没有有效的密钥，数据对黑客来说也只是一堆无效数据而已．在开放的互联网平台，数据加密能够有效的保证了用户的隐私以及数据的安全［8］．
4．3应建立科学的校园网网络管理人员岗位职责
计算机网络安全绝大部分是人为因素引起的．因此在校园网搭建过程中，关于对计算机系统管理员的培训及管理，是校园网网络安全中最重要的一部分．一个不合理的操作，很有可能让整个网络系统瘫痪，因此必须建立健全管理规范，明确管理员责任和权利．同时，要记录管理员操作信息，当发现不合规定的记录时，可以及时分析，如果发现黑客入侵，则及时采取必要措施杜绝黑客进一步入侵，必要时需向当地公安机关报案，减少学校损失．另外一方面，建立健全的管理制度以及严格的管理模式，可以保证校园网的正常、安全运行．总而言之，网络安全涉及的领域很多，是一个综合性的问题．只有合理的运用相关技术以及人员培训，才能尽最大可能的把安全威胁降到最低．
5结语
第一，计算机网网络安全管理制度问题。由于网络安全管理技术知识要求很高，我国目前并没有充分重视制度以及法规的制定，或者法规比较落后，已经与当代情况不相适应，或者即使有新的制度但是只局限于比较形式化的规定，没有详细的实施细则，因此很多时候在实践中没有相应的法律法规作为支持，没有做到有法可依。
第二，计算机网网络安全管理技术问题。目前计算机网络安全管理存在一些技术上的盲点以及漏洞，使得很多不法分子有威胁网络安全的切入点，主要包括病毒的入侵、木马程序的潜伏、不正当手段介入网络、高频率信息的干扰等。
第三，外力侵害。我国很多的网吧、机房不具备抵御外界侵害的能力，主要外界侵害包括自然的灾祸以及周围环境侵害等，自然的灾祸指的是自然的灾祸，如雷电、洪涝灾害、火灾、电磁泄露等；周围环境侵害包括断电引起数据、设备损害问题和噪音问题导致的数据高误码率等。第四，用户意识不高。很多用户在进行计算机网络使用的时候，没有足够的网络安全意识，对于密码、权限、口令等私密的东西没有保护好，随意泄露，或者没有及时修补一些网络漏洞和补丁，黑客可以找到攻击点。除此以外，还存在网络安全技术人员素质不足、监管不到位等问题
改进计算机网网络安全管理对策
针对目前存在的计算机网网络安全管理问题，提出了以下对策。
第一，为了改进计算机网网络安全管理，要加强用户网络安全管理意识。对于密码、权限、口令等比较隐私的东西，用户要保护好，不要随意泄露，对于网络漏洞和补丁，要做到及时修补，不要给有心人有机可乘的机会，进行数据备份，防止突发意外事故发生之后，数据的丢失，保持数据完整性，做到能够及时恢复系统，减少延误损失；
第二，为了改进计算机网网络安全管理，要加强自然等各种外力侵害的防范。在网吧以及机房等公共场所，首先要安装空调，控制室内温度以及湿度，防止温度以及湿度过高，造成网络瘫痪。其次要装好相应的防止雷击的措施，多进行建筑检测，尤其注重电源、网络传输线等的防范措施，最后是防火措施要做好。各种装修材料有可能的话，尽量选择防火的，保持室内通风，放置好防火器等设施；
第三，为了改进计算机网网络安全管理，要加强计算机网网络安全管理技术问题的研究，管理人员要及时更新病毒数据库，强化对病毒的检测以及清除，加强防火墙的建设，发挥防火墙的作用，做到限制服务访问、防止无权限的外部网的入侵、统计相应的网络流量并进行适时限流等，进行网络入侵检测，一旦发生这些情况要及时的制止。要加强检测、扫描以及评估漏洞，减小安全隐患；
第四，为了改进计算机网网络安全管理，要加强对网络安全管理制度的建立和完善。要完善已有的计算机网网络安全管理制度，对一些过于形式化的网络安全管理制度，要缩小范围，提出其操作的细则，对其中有不适应现展的规则进行修正以及改善，使其更能与当代网络发展相适应，对于没有及时建立的法律以及法规，要及时建立，并在实践中不断改进以及发展；
第五，为了改进计算机网网络安全管理，要实施安全加密。主要有非对称以及对称密钥加密的方法，主要原理是应用一些算法，将转出的信息转换成代码和密文，当密文传到接收者手中，又通过相应的配对解密技术，解开代码以及密文的内容以及信息，确保信息只为特定用户接收，防止不必要的泄露；
气象网络，简而言之，指的是将计算机网络技术应用于气象领域，使气象信息网络化，信息化，方便人们的使用。目前，气象网络按照不同的安全等级划分成三种网络结构形式：（1）内部局域网（含机要内网），此网要求安全等级极高，各个部门的计算机均在此网上；（2）通过数字专线与相关政府职能机构构成的政务专网，通过不同授权等级共享各级数据资源；（3）公众互联网，通过电信宽带接入气象网站，供广大用户浏览。现代社会气象信息的大量应用，越来越彰显其重要性，然而与此同时，网络的应用也给气象信息安全带来了大量的潜在隐患，因此，加强气象网络的安全性就非常有必要。
（一）气象技术的保障需求。当前，随着气象业务的不断发展，气象应用系统越来越多，对网络的依赖程度越来越强，网络安全早已摆在极其重要的位置。尤其是近几年来，随着全球气候的普遍升温，世界各个地方都面临着干旱、洪涝、雨雪、台风等自然灾害，气象技术的观测、预报功能是人们预防自然灾害最有利的工具，而病毒、非法侵入系统等不法行为肯定会影响到气象技术的发挥，因此，保障气象网络安全是必需的。要解决这一问题不可能依靠某种单一的安全技术，必须针对气象网络的应用情况，采用综合的策略，从物理环境、网络和网络基础设施、网络边界、计算机系统和应用、安全管理等多方面构筑一个完整的安全体系。
（二）气象网站的安全需要。全国各级气象网站是公众了解气象政务、天气预报等信息的重要媒体，通过这一媒介，人们可以根据未来的气象资料，预先安排自己的生产生活。当前世界联系日益紧密，任何因素的波动都可能造成无法估量的损失，因此，人们从气象网站中及时获取有价值的信息，对于他们来说，是非常重要的。但由于互联网的安全性较低，随时都有可能遭到有意或无意的黑客攻击或者病毒传播。
二、气象网络安全存在的问题
其实影响气象网络安全的因素有很多，本文从以下几个方面进行论述：
（一）气象网络管理缺陷。由于全国各级气象网络系统在管理制度上普遍存在缺陷，有些基层站没有专职计算机网络管理人员，再加上某些基层气象职工计算机水平较低，机房设备较差，对气象网络的安全极为不利。其不安全因素主要表现在：
（1）人为的非法操作。在某些基层气象站闲杂人员擅自进入机房的现象时有发生，甚至有人随意使用外来光磁盘。由于制度不到位，防范意识差，随意的光盘、磁盘放入，有意无意将黑客装入，给计算机网络埋下不安全隐患。
（2）管理制度不完善。本应由管理员操作的部分管理工作，擅自交由其他非工作人员进行操作，甚至告诉密码，致使其他人可以任意进行各种操作，随意打开数据库，造成有意无意的数据丢失，有的甚至在与Internet连接的情况下，将数据库暴露，为黑客入侵创造条件；有的人将密码随意泄露给别人。
（3）相关工作人员的失职。气象部门工作人员的职责不到位，，在Internet上乱发信息，为修改文件破坏了硬件，对“垃圾文件”不及时清除，造成数据库不完整，资料不准确。
（二）病毒侵入。目前，气象网络安全面临的最大危险就是病毒的侵入。当前网络中，各种各样的病毒已经不计其数，并且日有更新，每一个网络随时都有被攻击的可能。计算机网络病毒充分利用操作系统本身的各种安全漏洞和隐患，并对搭建的气象网关防护体系见缝插针，借助多种安全产品在安装、配置、更新、管理过程中的时间差，发起攻击；有时黑客会有意释放病毒来破坏数据，而大部分病毒是在不经意之间被扩散出去的。在不知情的情况下打开了已感染病毒的电子邮件附件或下载了带有病毒的文件，也会让气象网络染上病毒。
三、解决对策
（一）严格的安全管理制度。面对气象信息网络安全的脆弱性，一方面要采用技术方面的策略外，另一方面还应重视管理方面的安全，注重安全管理制度的加强。针对安全管理的复杂度，重要的是建立一套完整可行的安全政策，切实管理和实施这些政策。我们需要从以下几个方面入手：
（1）首先加强人员的安全意识，定期进行网络安全培训；其次，制定安全操作流程，有明确、严格的安全管理制度。再次，责权明确，加强安全审计，详细记录网络各种访问行为，进而从中发现非法的活动。
（2）构建安全管理平台。从技术上组成气象安全管理子网，安装集中统一的安全管理软件，如病毒软件管理系统，网络设备管理系统，以及网络安全设备统管理软件。定期对安全策略的合理性和有效性进行核实，对于气象网络结构的变化，应先进行安全风险评估，适时修改安全策略。
（二）防范各种非法软件攻击和入侵。网络的存在必然会带来病毒攻击和入侵发生。病毒的攻击，一方面来自外部，由于应用系统本身的缺陷，防火墙或路由器的错误配置，导致非法攻击轻而易举的进入网络，造成气象业务中断，数据的窃取和篡改等；另一方面的攻击来自于内部，内部员工的无意或者恶意的攻击，也会给网络的正常运行构成威胁。
目前利用防火墙虽然可以阻止各种不安全访问，降低安全风险，但防火墙不是万无一失的，因此，作为防火墙的必要补充的入侵检测系统（IDS），是第二道安全闸门，在全国各级气象网络的关键节点配置IDS，可监视信息网络系统的运行，从中发现网络中违反安全策略的行为和被攻击的迹象，监控用户的行为，对所有的访问跟踪，形成日志，为系统的恢复和追查攻击提供基本数据。在各级建立IDS可以实时对关键服务器和数据进行监控，对入侵行为，违规操作进行预警与响应，并通过与防火墙联动有效阻止来自内部和透过防火墙的攻击行为。
（三）病毒防护策略。对于网络病毒的防范是气象网络的重要组成部分。目前，气象网络的覆盖面广，病毒的危害也越来越大，加之传统的单机杀毒已无法满足需求，因此急需一个完善的病毒防护体系，负责病毒软件的自动分发、自动升级、集中配置和管理、统一事件和告警处理、保证整个网络内病毒防护体系的一致性和完整性。
主要的防范措施是建设覆盖全国各级气象信息网络病毒防护体系，实现全网的统一升级、查杀、管理，防止病毒的交叉感染。包括网关级病毒防护，针对通过Internet出口的流量，进行病毒扫描，对邮件、Web浏览、FTP下载进行病毒过滤，服务器病毒防护，桌面病毒防护，对所有客户端防病毒软件进行统一管理等。
参考文献：
[1]张剑平等，《地理信息系统与MapInfo应用》.科学出版社.1999.
[2]黄翠仙，厦门市气象局网络的VLAN设计[J].广西气象.2005（1）.
[3]邬伦等，《地理信息系统－原理、方法和应用》.科学出版社.2001.
关键词信息安全；PKI；CA；VPN
1引言
随着计算机网络的出现和互联网的飞速发展，企业基于网络的计算机应用也在迅速增加，基于网络信息系统给企业的经营管理带来了更大的经济效益，但随之而来的安全问题也在困扰着用户，在2003年后，木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。
随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场，企业就面临着如何提高自身核心竞争力的问题，而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等，又时刻在制约着自己，企业采用PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。
在下面的描述中，以某公司为例进行说明。
2信息系统现状2.1信息化整体状况
1)计算机网络
某公司现有计算机500余台，通过内部网相互连接，根据公司统一规划，通过防火墙与外网互联。在内部网络中，各计算机在同一网段，通过交换机连接。
图1
2)应用系统
经过多年的积累，某公司的计算机应用已基本覆盖了经营管理的各个环节，包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善，计算机应用也由数据分散的应用模式转变为数据日益集中的模式。
2.2信息安全现状
为保障计算机网络的安全，某公司实施了计算机网络安全项目，基于当时对信息安全的认识和安全产品的状况，信息安全的主要内容是网络安全，部署了防火墙、防病毒服务器等网络安全产品，极大地提升了公司计算机网络的安全性，这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。
3风险与需求分析3.1风险分析
通过对我们信息系统现状的分析，可得出如下结论：
(1)经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。
(2)计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心，因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份，并运用技术手段，提高数据的机密性、完整性和可用性。
通过对现有的信息安全体系的分析，也可以看出：随着计算机技术的发展、安全威胁种类的增加，某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷，具体表现在：
(1)系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。
目前实施的安全方案是基于当时的认识进行的，主要工作集中于网络安全，对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证，对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺乏整体方案和制度规范，容易造成重要数据的丢失和泄露。
当时的网络安全的基本是一种外部网络安全的概念，是基于这样一种信任模型的，即网络内部的用户都是可信的。在这种信任模型下，假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部，并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。
针对外部网络安全，人们提出了内部网络安全的概念，它基于这样一种信任模型：所有的用户都是不可信的。在这种信任模型中，假设所有用户都可能对信息安全造成威胁，并且可以各种更加方便的手段对信息安全造成威胁，比如内部人员可以直接对重要的服务器进行操控从而破坏信息，或者从内部网络访问服务器，下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。
美国联邦调查局(FBI)和计算机安全机构(CSI)等权威机构的研究也证明了这一点：超过80%的信息安全隐患是来自组织内部，这些隐患直接导致了信息被内部人员所窃取和破坏。
信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有选用有关的安全服务。不能充分发挥安全产品的效能。
(2)原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的网络安全隐患，产品亟待升级。
已购买的网络安全产品中，有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性，拟对系统的互联网出口进行严格限制，原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求，现有的防火墙不具备这些功能。
网络信息系统的安全建设建立在风险评估的基础上，这是信息化建设的内在要求，系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期，在规划的过程中，就运用风险评估、风险管理的手段，用户才可以避免重复建设和投资的浪费。
3.2需求分析
如前所述，某公司信息系统存在较大的风险，信息安全的需求主要体现在如下几点：
(1)某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。
(2)网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。
(3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行。
(4)信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是某公司面临的重要课题。
4设计原则
安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行，避免重复投入、重复建设，充分考虑整体和局部的利益。
4.1标准化原则
本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定，使安全技术体系的建设达到标准化、规范化的要求，为拓展、升级和集中统一打好基础。
4.2系统化原则
信息安全是一个复杂的系统工程，从信息系统的各层次、安全防范的各阶段全面地进行考虑，既注重技术的实现，又要加大管理的力度，以形成系统化的解决方案。
4.3规避风险原则
安全技术体系的建设涉及网络、系统、应用等方方面面，任何改造、添加甚至移动，都可能影响现有网络的畅通或在用系统的连续、稳定运行，这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题，在规划与应用系统衔接的基础安全措施时，优先保证透明化，从提供通用安全基础服务的要求出发，设计并实现安全系统与应用系统的平滑连接。
4.4保护投资原则
由于信息安全理论与技术发展的历史原因和自身的资金能力，某公司分期、分批建设了一些整体的或区域的安全技术系统，配置了相应的设施。因此，本方案依据保护信息安全投资效益的基本原则，在合理规划、建设新的安全子系统或投入新的安全设施的同时，对现有安全系统采取了完善、整合的办法，以使其纳入总体安全技术体系，发挥更好的效能，而不是排斥或抛弃。
4.5多重保护原则
任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。
4.6分步实施原则
由于某公司应用扩展范围广阔，随着网络规模的扩大及应用的增加，系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性，寻求安全、风险、开销的平衡，采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求，亦可节省费用开支。
5设计思路及安全产品的选择和部署
信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终，如图2所示。
图2网络与信息安全防范体系模型
信息安全又是相对的，需要在风险、安全和投入之间做出平衡，通过对某公司信息化和信息安全现状的分析，对现有的信息安全产品和解决方案的调查，通过与计算机专业公司接触，初步确定了本次安全项目的内容。通过本次安全项目的实施，基本建成较完整的信息安全防范体系。
5.1网络安全基础设施
证书认证系统无论是企业内部的信息网络还是外部的网络平台，都必须建立在一个安全可信的网络之上。目前，解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(PublicKeyInfrastructure，公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统，建立一个完善的网络安全认证平台，能够通过这个安全平台实现以下目标：
身份认证(Authentication)：确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。
数据的机密性(Confidentiality)：对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成。
数据的完整性(Integrity)：确保通信信息不被破坏(截断或篡改)，通过哈希函数和数字签名来完成。
不可抵赖性(Non-Repudiation)：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。
5.2边界防护和网络的隔离
VPN(VirtualPrivateNetwork)虚拟专用网，是将物理分布在不同地点的网络通过公用骨干网(如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。
通过安装部署VPN系统，可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接。
集成的防火墙功能模块采用了状态检测的包过滤技术，可以对多种网络对象进行有效地访问监控，为网络提供高效、稳定地安全保护。
集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。
5.3安全电子邮件
电子邮件是Internet上出现最早的应用之一。随着网络的快速发展，电子邮件的使用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点，电子邮件存在着很大的安全隐患。
目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME(SecureMultipurposeInternetMailExtensions)，它是从PEM(PrivacyEnhancedMail)和MIME(Internet邮件的附件标准)发展而来的。首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织(根证书)之间相互认证，整个信任关系基本是树状的。其次，S/MIME将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。
5.4桌面安全防护
对企业信息安全的威胁不仅来自企业网络外部，大量的安全威胁来自企业内部。很早之前安全界就有数据显示，近80%的网络安全事件，是来自于企业内部。同时，由于是内部人员所为，这样的安全犯罪往往目的明确，如针对企业机密和专利信息的窃取、财务欺骗等，因此，对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。
桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。
1)电子签章系统
利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术，可以无缝嵌入OFFICE系统，用户可以在编辑文档后对文档进行签章，或是打开文档时验证文档的完整性和查看文档的作者。
2)安全登录系统
安全登录系统提供了对系统和网络登录的身份认证。使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机，只需拔出智能密码钥匙，即可锁定计算机。
3)文件加密系统
文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法，从而保证了存储数据的安全性。
5.5身份认证
身份认证是指计算机及网络系统确认操作者身份的过程。基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。USBKey是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USBKey内置的密码算法实现对用户身份的认证。
基于PKI的USBKey的解决方案不仅可以提供身份认证的功能，还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系，从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。
6方案的组织与实施方式
网络与信息安全防范体系流程主要由三大部分组成：攻击前的防范、攻击过程中的防范和攻击后的应对。安全管理贯穿全流程如图3所示。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程，也为本方案的实施提供了借鉴。
图3
因此在本方案的组织和实施中，除了工程的实施外，还应重视以下各项工作：
(1)在初步进行风险分析基础上，方案实施方应进行进一步的风险评估，明确需求所在，务求有的放矢，确保技术方案的针对性和投资的回报。
(2)把应急响应和事故恢复作为技术方案的一部分，必要时可借助专业公司的安全服务，提高应对重大安全事件的能力。
(3)该方案投资大，覆盖范围广，根据实际情况，可采取分地区、分阶段实施的方式。
(4)在方案实施的同时，加强规章制度、技术规范的建设，使信息安全的日常工作进一步制度化、规范化。
7结论
本文以某公司为例，分析了网络安全现状，指出目前存在的风险，随后提出了一整套完整的解决方案，涵盖了各个方面，从技术手段的改进，到规章制度的完善；从单机系统的安全加固，到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署，为众多行业提供了网络安全解决手段。
也希望通过本方案的实施，可以建立较完善的信息安全体系，有效地防范信息系统来自各方面的攻击和威胁，把风险降到最低水平。
关键词信息安全；PKI；CA；VPN
1引言
随着计算机网络的出现和互联网的飞速发展，企业基于网络的计算机应用也在迅速增加，基于网络信息系统给企业的经营管理带来了更大的经济效益，但随之而来的安全问题也在困扰着用户，在2003年后，木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。
随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场，企业就面临着如何提高自身核心竞争力的问题，而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等，又时刻在制约着自己，企业采用PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。
在下面的描述中，以某公司为例进行说明。
2信息系统现状
2.1信息化整体状况
1)计算机网络
某公司现有计算机500余台，通过内部网相互连接，根据公司统一规划，通过防火墙与外网互联。在内部网络中，各计算机在同一网段，通过交换机连接。
图1
2)应用系统
经过多年的积累，某公司的计算机应用已基本覆盖了经营管理的各个环节，包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善，计算机应用也由数据分散的应用模式转变为数据日益集中的模式。
2.2信息安全现状
为保障计算机网络的安全，某公司实施了计算机网络安全项目，基于当时对信息安全的认识和安全产品的状况，信息安全的主要内容是网络安全，部署了防火墙、防病毒服务器等网络安全产品，极大地提升了公司计算机网络的安全性，这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。
3风险与需求分析
3.1风险分析
通过对我们信息系统现状的分析，可得出如下结论：
(1)经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。
(2)计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心，因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份，并运用技术手段，提高数据的机密性、完整性和可用性。
通过对现有的信息安全体系的分析，也可以看出：随着计算机技术的发展、安全威胁种类的增加，某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷，具体表现在：
(1)系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。
目前实施的安全方案是基于当时的认识进行的，主要工作集中于网络安全，对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证，对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺乏整体方案和制度规范，容易造成重要数据的丢失和泄露。
当时的网络安全的基本是一种外部网络安全的概念，是基于这样一种信任模型的，即网络内部的用户都是可信的。在这种信任模型下，假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部，并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。
针对外部网络安全，人们提出了内部网络安全的概念，它基于这样一种信任模型：所有的用户都是不可信的。在这种信任模型中，假设所有用户都可能对信息安全造成威胁，并且可以各种更加方便的手段对信息安全造成威胁，比如内部人员可以直接对重要的服务器进行操控从而破坏信息，或者从内部网络访问服务器，下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。
美国联邦调查局(FBI)和计算机安全机构(CSI)等权威机构的研究也证明了这一点：超过80%的信息安全隐患是来自组织内部，这些隐患直接导致了信息被内部人员所窃取和破坏。
信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有选用有关的安全服务。不能充分发挥安全产品的效能。
(2)原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的网络安全隐患，产品亟待升级。
已购买的网络安全产品中，有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性，拟对系统的互联网出口进行严格限制，原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求，现有的防火墙不具备这些功能。
网络信息系统的安全建设建立在风险评估的基础上，这是信息化建设的内在要求，系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期，在规划的过程中，就运用风险评估、风险管理的手段，用户才可以避免重复建设和投资的浪费。
3.2需求分析
如前所述，某公司信息系统存在较大的风险，信息安全的需求主要体现在如下几点：
(1)某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。
(2)网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。
(3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行。
(4)信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是某公司面临的重要课题。
4设计原则
安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行，避免重复投入、重复建设，充分考虑整体和局部的利益。
4.1标准化原则
本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定，使安全技术体系的建设达到标准化、规范化的要求，为拓展、升级和集中统一打好基础。
4.2系统化原则
信息安全是一个复杂的系统工程，从信息系统的各层次、安全防范的各阶段全面地进行考虑，既注重技术的实现，又要加大管理的力度，以形成系统化的解决方案。
4.3规避风险原则
安全技术体系的建设涉及网络、系统、应用等方方面面，任何改造、添加甚至移动，都可能影响现有网络的畅通或在用系统的连续、稳定运行，这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题，在规划与应用系统衔接的基础安全措施时，优先保证透明化，从提供通用安全基础服务的要求出发，设计并实现安全系统与应用系统的平滑连接。
4.4保护投资原则
由于信息安全理论与技术发展的历史原因和自身的资金能力，某公司分期、分批建设了一些整体的或区域的安全技术系统，配置了相应的设施。因此，本方案依据保护信息安全投资效益的基本原则，在合理规划、建设新的安全子系统或投入新的安全设施的同时，对现有安全系统采取了完善、整合的办法，以使其纳入总体安全技术体系，发挥更好的效能，而不是排斥或抛弃。
4.5多重保护原则
任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。
4.6分步实施原则
由于某公司应用扩展范围广阔，随着网络规模的扩大及应用的增加，系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性，寻求安全、风险、开销的平衡，采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求，亦可节省费用开支。
5设计思路及安全产品的选择和部署
信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终，如图2所示。
图2网络与信息安全防范体系模型
信息安全又是相对的，需要在风险、安全和投入之间做出平衡，通过对某公司信息化和信息安全现状的分析，对现有的信息安全产品和解决方案的调查，通过与计算机专业公司接触，初步确定了本次安全项目的内容。通过本次安全项目的实施，基本建成较完整的信息安全防范体系。
5.1网络安全基础设施
证书认证系统无论是企业内部的信息网络还是外部的网络平台，都必须建立在一个安全可信的网络之上。目前，解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(PublicKeyInfrastructure，公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统，建立一个完善的网络安全认证平台，能够通过这个安全平台实现以下目标：
身份认证(Authentication)：确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。
数据的机密性(Confidentiality)：对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成。
数据的完整性(Integrity)：确保通信信息不被破坏(截断或篡改)，通过哈希函数和数字签名来完成。
不可抵赖性(Non-Repudiation)：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。
5.2边界防护和网络的隔离
VPN(VirtualPrivateNetwork)虚拟专用网，是将物理分布在不同地点的网络通过公用骨干网(如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。
通过安装部署VPN系统，可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接。
集成的防火墙功能模块采用了状态检测的包过滤技术，可以对多种网络对象进行有效地访问监控，为网络提供高效、稳定地安全保护。
集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。
5.3安全电子邮件
电子邮件是Internet上出现最早的应用之一。随着网络的快速发展，电子邮件的使用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点，电子邮件存在着很大的安全隐患。
目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME(SecureMultipurposeInternetMailExtensions)，它是从PEM(PrivacyEnhancedMail)和MIME(Internet邮件的附件标准)发展而来的。首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织(根证书)之间相互认证，整个信任关系基本是树状的。其次，S/MIME将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。
5.4桌面安全防护
对企业信息安全的威胁不仅来自企业网络外部，大量的安全威胁来自企业内部。很早之前安全界就有数据显示，近80%的网络安全事件，是来自于企业内部。同时，由于是内部人员所为，这样的安全犯罪往往目的明确，如针对企业机密和专利信息的窃取、财务欺骗等，因此，对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。
桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。
1)电子签章系统
利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术，可以无缝嵌入OFFICE系统，用户可以在编辑文档后对文档进行签章，或是打开文档时验证文档的完整性和查看文档的作者。
2)安全登录系统
安全登录系统提供了对系统和网络登录的身份认证。使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机，只需拔出智能密码钥匙，即可锁定计算机。
3)文件加密系统
文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法，从而保证了存储数据的安全性。
5.5身份认证
身份认证是指计算机及网络系统确认操作者身份的过程。基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。USBKey是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USBKey内置的密码算法实现对用户身份的认证。
基于PKI的USBKey的解决方案不仅可以提供身份认证的功能，还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系，从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。
6方案的组织与实施方式
网络与信息安全防范体系流程主要由三大部分组成：攻击前的防范、攻击过程中的防范和攻击后的应对。安全管理贯穿全流程如图3所示。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程，也为本方案的实施提供了借鉴。
图3
因此在本方案的组织和实施中，除了工程的实施外，还应重视以下各项工作：
(1)在初步进行风险分析基础上，方案实施方应进行进一步的风险评估，明确需求所在，务求有的放矢，确保技术方案的针对性和投资的回报。
(2)把应急响应和事故恢复作为技术方案的一部分，必要时可借助专业公司的安全服务，提高应对重大安全事件的能力。
(3)该方案投资大，覆盖范围广，根据实际情况，可采取分地区、分阶段实施的方式。
(4)在方案实施的同时，加强规章制度、技术规范的建设，使信息安全的日常工作进一步制度化、规范化。
7结论
本文以某公司为例，分析了网络安全现状，指出目前存在的风险，随后提出了一整套完整的解决方案，涵盖了各个方面，从技术手段的改进，到规章制度的完善；从单机系统的安全加固，到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署，为众多行业提供了网络安全解决手段。
也希望通过本方案的实施，可以建立较完善的信息安全体系，有效地防范信息系统来自各方面的攻击和威胁，把风险降到最低水平。
关键词信息安全；PKI；CA；VPN
1引言
随着计算机网络的出现和互联网的飞速发展，企业基于网络的计算机应用也在迅速增加，基于网络信息系统给企业的经营管理带来了更大的经济效益，但随之而来的安全问题也在困扰着用户，在2003年后，木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。
随着信息化技术的飞速发展，许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场，企业就面临着如何提高自身核心竞争力的问题，而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等，又时刻在制约着自己，企业采用PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。
在下面的描述中，以某公司为例进行说明。
2信息系统现状2.1信息化整体状况
1)计算机网络
某公司现有计算机500余台，通过内部网相互连接，根据公司统一规划，通过防火墙与外网互联。在内部网络中，各计算机在同一网段，通过交换机连接。
图1
2)应用系统
经过多年的积累，某公司的计算机应用已基本覆盖了经营管理的各个环节，包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善，计算机应用也由数据分散的应用模式转变为数据日益集中的模式。
2.2信息安全现状
为保障计算机网络的安全，某公司实施了计算机网络安全项目，基于当时对信息安全的认识和安全产品的状况，信息安全的主要内容是网络安全，部署了防火墙、防病毒服务器等网络安全产品，极大地提升了公司计算机网络的安全性，这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。
3风险与需求分析3.1风险分析
通过对我们信息系统现状的分析，可得出如下结论：
(1)经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。
(2)计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心，因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份，并运用技术手段，提高数据的机密性、完整性和可用性。
通过对现有的信息安全体系的分析，也可以看出：随着计算机技术的发展、安全威胁种类的增加，某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷，具体表现在：
(1)系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。
目前实施的安全方案是基于当时的认识进行的，主要工作集中于网络安全，对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证，对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺乏整体方案和制度规范，容易造成重要数据的丢失和泄露。
当时的网络安全的基本是一种外部网络安全的概念，是基于这样一种信任模型的，即网络内部的用户都是可信的。在这种信任模型下，假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部，并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。
针对外部网络安全，人们提出了内部网络安全的概念，它基于这样一种信任模型：所有的用户都是不可信的。在这种信任模型中，假设所有用户都可能对信息安全造成威胁，并且可以各种更加方便的手段对信息安全造成威胁，比如内部人员可以直接对重要的服务器进行操控从而破坏信息，或者从内部网络访问服务器，下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。
美国联邦调查局(FBI)和计算机安全机构(CSI)等权威机构的研究也证明了这一点：超过80%的信息安全隐患是来自组织内部，这些隐患直接导致了信息被内部人员所窃取和破坏。
信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有选用有关的安全服务。不能充分发挥安全产品的效能。
(2)原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的网络安全隐患，产品亟待升级。
已购买的网络安全产品中，有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性，拟对系统的互联网出口进行严格限制，原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求，现有的防火墙不具备这些功能。
网络信息系统的安全建设建立在风险评估的基础上，这是信息化建设的内在要求，系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期，在规划的过程中，就运用风险评估、风险管理的手段，用户才可以避免重复建设和投资的浪费。
3.2需求分析
如前所述，某公司信息系统存在较大的风险，信息安全的需求主要体现在如下几点：
(1)某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。
(2)网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。
(3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行。
(4)信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是某公司面临的重要课题。
4设计原则
安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行，避免重复投入、重复建设，充分考虑整体和局部的利益。
4.1标准化原则
本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定，使安全技术体系的建设达到标准化、规范化的要求，为拓展、升级和集中统一打好基础。
4.2系统化原则
信息安全是一个复杂的系统工程，从信息系统的各层次、安全防范的各阶段全面地进行考虑，既注重技术的实现，又要加大管理的力度，以形成系统化的解决方案。
4.3规避风险原则
安全技术体系的建设涉及网络、系统、应用等方方面面，任何改造、添加甚至移动，都可能影响现有网络的畅通或在用系统的连续、稳定运行，这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题，在规划与应用系统衔接的基础安全措施时，优先保证透明化，从提供通用安全基础服务的要求出发，设计并实现安全系统与应用系统的平滑连接。
4.4保护投资原则
由于信息安全理论与技术发展的历史原因和自身的资金能力，某公司分期、分批建设了一些整体的或区域的安全技术系统，配置了相应的设施。因此，本方案依据保护信息安全投资效益的基本原则，在合理规划、建设新的安全子系统或投入新的安全设施的同时，对现有安全系统采取了完善、整合的办法，以使其纳入总体安全技术体系，发挥更好的效能，而不是排斥或抛弃。
4.5多重保护原则
任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。
4.6分步实施原则
由于某公司应用扩展范围广阔，随着网络规模的扩大及应用的增加，系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性，寻求安全、风险、开销的平衡，采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求，亦可节省费用开支。
5设计思路及安全产品的选择和部署
信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终，如图2所示。
图2网络与信息安全防范体系模型
信息安全又是相对的，需要在风险、安全和投入之间做出平衡，通过对某公司信息化和信息安全现状的分析，对现有的信息安全产品和解决方案的调查，通过与计算机专业公司接触，初步确定了本次安全项目的内容。通过本次安全项目的实施，基本建成较完整的信息安全防范体系。
5.1网络安全基础设施
证书认证系统无论是企业内部的信息网络还是外部的网络平台，都必须建立在一个安全可信的网络之上。目前，解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(PublicKeyInfrastructure，公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统，建立一个完善的网络安全认证平台，能够通过这个安全平台实现以下目标：
身份认证(Authentication)：确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。
数据的机密性(Confidentiality)：对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成。
数据的完整性(Integrity)：确保通信信息不被破坏(截断或篡改)，通过哈希函数和数字签名来完成。
不可抵赖性(Non-Repudiation)：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。
5.2边界防护和网络的隔离
VPN(VirtualPrivateNetwork)虚拟专用网，是将物理分布在不同地点的网络通过公用骨干网(如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。
通过安装部署VPN系统，可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接。
集成的防火墙功能模块采用了状态检测的包过滤技术，可以对多种网络对象进行有效地访问监控，为网络提供高效、稳定地安全保护。
集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。
5.3安全电子邮件
电子邮件是Internet上出现最早的应用之一。随着网络的快速发展，电子邮件的使用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点，电子邮件存在着很大的安全隐患。
目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME(SecureMultipurposeInternetMailExtensions)，它是从PEM(PrivacyEnhancedMail)和MIME(Internet邮件的附件标准)发展而来的。首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织(根证书)之间相互认证，整个信任关系基本是树状的。其次，S/MIME将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。
5.4桌面安全防护
对企业信息安全的威胁不仅来自企业网络外部，大量的安全威胁来自企业内部。很早之前安全界就有数据显示，近80%的网络安全事件，是来自于企业内部。同时，由于是内部人员所为，这样的安全犯罪往往目的明确，如针对企业机密和专利信息的窃取、财务欺骗等，因此，对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。
桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。
1)电子签章系统
利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术，可以无缝嵌入OFFICE系统，用户可以在编辑文档后对文档进行签章，或是打开文档时验证文档的完整性和查看文档的作者。
2)安全登录系统
安全登录系统提供了对系统和网络登录的身份认证。使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机，只需拔出智能密码钥匙，即可锁定计算机。
3)文件加密系统
文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法，从而保证了存储数据的安全性。
5.5身份认证
身份认证是指计算机及网络系统确认操作者身份的过程。基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。USBKey是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USBKey内置的密码算法实现对用户身份的认证。
基于PKI的USBKey的解决方案不仅可以提供身份认证的功能，还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系，从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。
6方案的组织与实施方式
网络与信息安全防范体系流程主要由三大部分组成：攻击前的防范、攻击过程中的防范和攻击后的应对。安全管理贯穿全流程如图3所示。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程，也为本方案的实施提供了借鉴。
图3
因此在本方案的组织和实施中，除了工程的实施外，还应重视以下各项工作：
(1)在初步进行风险分析基础上，方案实施方应进行进一步的风险评估，明确需求所在，务求有的放矢，确保技术方案的针对性和投资的回报。
(2)把应急响应和事故恢复作为技术方案的一部分，必要时可借助专业公司的安全服务，提高应对重大安全事件的能力。
(3)该方案投资大，覆盖范围广，根据实际情况，可采取分地区、分阶段实施的方式。
(4)在方案实施的同时，加强规章制度、技术规范的建设，使信息安全的日常工作进一步制度化、规范化。
7结论
本文以某公司为例，分析了网络安全现状，指出目前存在的风险，随后提出了一整套完整的解决方案，涵盖了各个方面，从技术手段的改进，到规章制度的完善；从单机系统的安全加固，到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署，为众多行业提供了网络安全解决手段。
也希望通过本方案的实施，可以建立较完善的信息安全体系，有效地防范信息系统来自各方面的攻击和威胁，把风险降到最低水平。
以高斯核函数作为支持向量机的核函数，进而对预测模型（fx）进行优化，优化参数为ε，c和σ。基于传统形式下的支持向量机参数优化大都采用穷举法以及经验确定发和网络搜索法进行，由于经验确定发所选取的参数并不是最优参数，因此，对整个网络安全态势预测的精度较低，而以穷举法以及网络搜索为主的参数优化方法则耗时较长，增加了最优参数的查找难，故以上三种支持向量机的参数优化方法均不能满足网络安全态势预测工作具体要求[5]。为此，该文选取遗传算法对上述相关参数进行优化。遗传算法是一种以生物界的自然选择为基础的数据启发式算法，其通将生物进化的机理引入到数据计算上，进而在有效提高搜索速度的同时，也以其兼顾全局搜索能力和并行搜索能力的特点扩大了搜索范围，故本文采取遗传算法对当前支持向量机参数ε，c和σ进行优化。
2基于支持向量机算法的网络安全态势预测过程
基于支持向量机算法的网络安全态势预测主要分为四步，分别为：(1)数据收集与预处理，对能够反映当前网络安全态势预测的数据信息进行收集，并对数据收集过程中出现的数量异常以及不良数据进行处理。由前文可知，网络安全态势容易受到多种因素的影响，而不同影响因素对网络态势的影响数据也具有较大差异。但支持向量机只对处于（0，1)区间的数据最为敏感，因此，需要将相关数据转化到（0,1)区间内再对其进行具体分析。将数据转化到（0，1)之间的处理方法为：x'i=xi-xminxmax-xmin，式中网络安全态势的原始值为xi，而其态势的最大值和最小值分别用xmax和xmin表示。(2)以嵌入维和时间延迟的方法将以为网络的安全态势数据转化为多维网络下的安全态势数据。为了方便计算，该文将网络安全态势数据变化的时间延迟设为1，嵌入维则2,3...n的的顺序逐步试奏，进而确定出模型的嵌入维度。设定一维网络安全态势的预测数据组为{x1，x2，x3...xn}，则将其分别转化为多维度的网络安全态势数据，具体表示方法如下所示：当样本输入为x1，x2，x3...xm-1时，期望的输出值为xm；当样本输出值为x2，x3...xm时，期望输出值为xm+1；当样本输出值为x3，x4...xm+1时，期望输出值为xm+2，以此类推[6]。(3)分组。所谓分组是指将网络安全态势的上述数据分为训练集和测试集两部分，将处于训练集中的两组输入与输出数据分别输入到支持向量机中进行学习，并利用遗传算法对ε，c和σ等参数进行寻优，进而将所得到的最优参数带入网络安全态势预测的数学模型（fx）中，至此，最优网络安全态势模型建成。(4)利用上述得到的网络安全态势最优预测模型对(3)中测试集内的数据进行预测，并将相关的预测结果以x'i=xi-xminxmax-xmin进行转化，使预测态势值分布在（0，1)区间当中，最后，根据所计算出的网络安全态势值预测网络的运行状态。
3实例分析
3.1网络安全态势数据的选取
选取某公司互联网在2013年10月1日－10月30日的边界安全监测数据，每天对其进行4次抽取采样，则30天内共获得120个网络安全态势监测的态势值。人为规定前90个态势值为支持向量机的训练样本，后30个态势值为支持向量机的测试样本，且相关实验均在matlab7.0平台上进行。
3.2最优模型的实现
仍然设定该公司的网络安全态势数据传输的延迟时间为单位1，利用试奏法向态势数据中嵌入维数，并将嵌入维数确定为8。此时，支持向量机拥有7个输入变量和1个输入变量。以延迟时间与嵌入维度为依据对当前反应网络安全态势的数据进行重构，进而生成支持向量机的训练样本及测试样本。中的第三步，将代表训练样本的数据输入到支持向量机中进行学习，并利用遗传算法对其进行优化，并将算法的参数值设定为如下形式：进化次（代）数150，优化前的初始种群（数据）个数50，实际完成目标与训练目标的误差率为0.01，训练样本的交叉率为0.95，突变概率为0.05。
3.3利用模型进行网络安全态势的预测
由3.2可知，网络安全态势预测模型的最优参数为，ε=0.01，c=100和σ=5，将其带入预测模型当中，则预测模型便成为了最优网络安全态势预测模型。利用该模型对前50代的安全态势值进行预测分析，并描绘出态势值的预测数据特征曲线。通过分析曲线可知，所建立的网络安全态势预测模型可以有效对该公司边界安全监测数据进行预测，且相关预测数据具有较高精度。
4结论
网络安全技术概述
常永亮
(飞行试验研究院测试所陕西西安710089)
【摘要】Internet是一种开放和标准的面向所有用户的技术，其资源通过网络共享，因此，资源共享和信息安全就成了一对矛盾。
【关键词】网络攻击、安全预防、风险分析、网络安全
1.引言
随着网络的迅速发展，网络的安全性显得非常重要，这是因为怀有恶意的攻击者窃取、修改网络上传输的信息，通过网络非法进入远程主机，获取储存在主机上的机密信息，或占用网络资源，阻止其他用户使用等。然而，网络作为开放的信息系统必然存在众多潜在的安全隐患，因此，网络安全技术作为一个独特的领域越来越受到全球网络建设者的关注。
一般来说，计算机系统本身的脆弱性和通信设施的脆弱性再加上网际协议的漏洞共同构成了网络的潜在威胁。随着无线互联网越来越普及的应用，互联网的安全性又很难在无线网上实施，因此，特别在构建内部网时，若忽略了无线设备的安全性则是一种重大失误。
2.网络攻击及其防护技术
计算机网络安全是指计算机、网络系统的硬件、软件以及系统中的数据受到保护，不因偶然或恶意的原因遭到破坏、泄露，能确保网络连续可靠的运行。网络安全其实就是网络上的信息存储和传输安全。
网络的安全主要来自黑客和病毒攻击，各类攻击给网络造成的损失已越来越大了，有的损失对一些企业已是致命的，侥幸心里已经被提高防御取代，下面就攻击和防御作简要介绍。
2.1常见的攻击有以下几类：
2.1.1入侵系统攻击
此类攻击如果成功，将使你的系统上的资源被对方一览无遗，对方可以直接控制你的机器。
2.1.2缓冲区溢出攻击
程序员在编程时会用到一些不进行有效位检查的函数，可能导致黑客利用自编写程序来进一步打开安全豁口然后将该代码缀在缓冲区有效载荷末尾，这样当发生缓冲区溢出时，从而破坏程序的堆栈，使程序转而执行其它的指令，如果这些指令是放在有root权限的内存中，那么一旦这些指令得到了运行，黑客就以root权限控制了系统，这样系统的控制权就会被夺取，此类攻击在LINUX系统常发生。在Windows系统下用户权限本身设定不严谨，因此应比在LINUX系统下更易实现。
2.1.3欺骗类攻击
网络协议本身的一些缺陷可以被利用，使黑客可以对网络进行攻击，主要方式有：IP欺骗；ARP欺骗；DNS欺骗；Web欺骗；电子邮件欺骗；源路由欺骗；地址欺骗等。
2.1.4拒绝服务攻击
通过网络，也可使正在使用的计算机出现无响应、死机的现象，这就是拒绝服务攻击，简称DoS（DenialofService）。
分布式拒绝服务攻击采用了一种比较特别的体系结构，从许多分布的主机同时攻击一个目标，从而导致目标瘫痪，简称DDoS（DistributedDenialofService）。
2.1.5对防火墙的攻击
防火墙也是由软件和硬件组成的，在设计和实现上都不可避免地存在着缺陷，对防火墙的攻击方法也是多种多样的，如探测攻击技术、认证的攻击技术等。
2.1.6利用病毒攻击
病毒是黑客实施网络攻击的有效手段之一，它具有传染性、隐蔽性、寄生性、繁殖性、潜伏性、针对性、衍生性、不可预见性和破坏性等特性，而且在网络中其危害更加可怕，目前可通过网络进行传播的病毒已有数万种，可通过注入技术进行破坏和攻击。
2.1.7木马程序攻击
特洛伊木马是一种直接由一个黑客，或是通过一个不令人起疑的用户秘密安装到目标系统的程序。一旦安装成功并取得管理员权限，安装此程序的人就可以直接远程控制目标系统。
2.1.8网络侦听
网络侦听为主机工作模式，主机能接受到本网段在同一条物理通道上传输的所有信息。只要使用网络监听工具，就可以轻易地截取所在网段的所有用户口令和帐号等有用的信息资料。
等等。现在的网络攻击手段可以说日新月异，随着计算机网络的发展，其开放性、共享性、互连程度扩大，网络的重要性和对社会的影响也越来越大。计算机和网络安全技术正变得越来越先进，操作系统对本身漏洞的更新补救越来越及时。现在企业更加注意企业内部网的安全，个人越来越注意自己计算机的安全。可以说：只要有计算机和网络的地方肯定是把网络安全放到第一位。
网络有其脆弱性，并会受到一些威胁。因而建立一个系统时进行风险分析就显得尤为重要了。风险分析的目的是通过合理的步骤，以防止所有对网络安全构成威胁的事件发生。因此，严密的网络安全风险分析是可靠和有效的安全防护措施制定的必要前提。网络风险分析在系统可行性分析阶段就应进行了。因为在这阶段实现安全控制要远比在网络系统运行后采取同样的控制要节约的多。即使认为当前的网络系统分析建立的十分完善，在建立安全防护时，风险分析还是会发现一些潜在的安全问题，从整体性、协同性方面构建一个信息安全的网络环境。可以说网络的安全问题是组织管理和决策。
2.2防御措施主要有以下几种
2.2.1防火墙
防火墙是建立在被保护网络与不可信网络之间的一道安全屏障，用于保护企业内部网络和资源。它在内部和外部两个网络之间建立一个安全控制点，对进、出内部网络的服务和访问进行控制和审计。
2.2.2虚拟专用网
虚拟专用网（VPN）的实现技术和方式有很多，但是所有的VPN产品都应该保证通过公用网络平台传输数据的专用性和安全性。如在非面向连接的公用IP网络上建立一个隧道，利用加密技术对经过隧道传输的数据进行加密，以保证数据的私有性和安全性。此外，还需要防止非法用户对网络资源或私有信息的访问。
2.2.3虚拟局域网
选择虚拟局域网(VLAN)技术可从链路层实施网络安全。VLAN是指在交换局域网的基础上，采用网络管理软件构建的可跨越不同网段、不同网络的端到端的逻辑网络。一个VLAN组成一个逻辑子网，即一个逻辑广播域，它可以覆盖多个网络设备，允许处于不同地理位置的网络用户加入到一个逻辑子网中。该技术能有效地控制网络流量、防止广播风暴，还可利用MAC层的数据包过滤技术，对安全性要求高的VLAN端口实施MAC帧过滤。而且，即使黑客攻破某一虚拟子网，也无法得到整个网络的信息，但VLAN技术的局限在新的VLAN机制较好的解决了，这一新的VLAN就是专用虚拟局域网（PVLAN）技术。
2.2.4漏洞检测
漏洞检测就是对重要计算机系统或网络系统进行检查，发现其中存在的薄弱环节和所具有的攻击性特征。通常采用两种策略，即被动式策略和主动式策略。被动式策略基于主机检测，对系统中不合适的设置、口令以及其他同安全规则相背的对象进行检查；主动式策略基于网络检测，通过执行一些脚本文件对系统进行攻击，并记录它的反应，从而发现其中的漏洞。漏洞检测的结果实际上就是系统安全性的一个评估，它指出了哪些攻击是可能的，因此成为安全方案的一个重要组成部分。漏洞检测系统是防火墙的延伸，并能有效地结合其他网络安全产品的性能，保证计算机系统或网络系统的安全性和可靠性。
2.2.5入侵检测
入侵检测系统将网络上传输的数据实时捕获下来，检查是否有黑客入侵或可疑活动的发生，一旦发现有黑客入侵或可疑活动的发生，系统将做出实时报警响应。
2.2.6密码保护
加密措施是保护信息的最后防线，被公认为是保护信息传输唯一实用的方法。无论是对等还是不对等加密都是为了确保信息的真实和不被盗取应用，但随着计算机性能的飞速发展，破解部分公开算法的加密方法已变得越来越可能。因此，现在对加密算法的保密越来越重要，几个加密方法的协同应用会使信息保密性大大加强。
2.2.7安全策略
安全策略可以认为是一系列政策的集合，用来规范对组织资源的管理、保护以及分配，已达到最终安全的目的。安全策略的制定需要基于一些安全模型。
2.2.8网络管理员
网络管理员在防御网络攻击方面也是非常重要的，虽然在构建系统时一些防御措施已经通过各种测试，但上面无论哪一条防御措施都有其局限性，只有高素质的网络管理员和整个网络安全系统协同防御，才能起到最好的效果。
以上大概讲了几个网络安全的策略，网络安全基本要素是保密性、完整性和可用，但网络的安全威胁与网络的安全防护措施是交互出现的。不适当的网络安全防护，不仅可能不能减少网络的安全风险，浪费大量的资金，而且可能招致更大的安全威胁。一个好的安全网络应该是由主机系统、应用和服务、路由、网络、网络管理及管理制度等诸多因数决定的，但所有的防御措施对信息安全管理者提出了挑战，他们必须分析采用哪种产品能够适应长期的网络安全策略的要求，而且必须清楚何种策略能够保证网络具有足够的健壮性、互操作性并且能够容易地对其升级。
随着信息系统工程开发量越来越大，致使系统漏洞也成正比的增加，受到攻击的次数也在增多。相对滞后的补救次数和成本也在增加，黑客与反黑客的斗争已经成为一场没有结果的斗争。
3.结论
网络安全的管理与分析现已被提到前所未有的高度，现在IPv6已开始应用，它设计的时候充分研究了以前IPv4的各种问题，在安全性上得到了大大的提高，但并不是不存在安全问题了。在WindowsVista的开发过程中，安全被提到了一个前所未有的重视高度，但微软相关负责人还是表示，＂即使再安全的操作系统，安全问题也会一直存在＂。
总之，网络安全是一个综合性的课题，涉及技术、管理、使用等许多方面，既包括信息系统本身的安全问题，也有物理的和逻辑的技术措施，一种技术只能解决一方面的问题，而不是万能的。因此只有完备的系统开发过程、严密的网络安全风险分析、严谨的系统测试、综合的防御技术实施、严格的保密政策、明晰的安全策略以及高素质的网络管理人才等各方面的综合应用才能完好、实时地保证信息的完整性和正确性，为网络提供强大的安全服务——这也是网络安全领域的迫切需要。
参考文献
[1]《网络综合布线系统与施工技术》黎连业著
购物车(0)
