網路安全防護是一種網路安全技術，指致力於解決諸如如何有效進行介入控制，以及如何保證數據傳輸的安全性的技術手段，主要包括物理安全分析技術，網路結構安全分析技術，系統安全分析技術，管理安全分析技術，及其它的安全服務和安全機制策略。
防護措施：
對用戶訪問網路資源的許可權進行嚴格的認證和控制。例如，進行用戶身份認證，對口令加密、更新和鑒別，設置用戶訪問目錄和文件的許可權，控制網路設備配置的許可權，等等。
數據加密防護:加密是防護數據安全的重要手段。加密的作用是保障信息被人截獲後不能讀懂其含義。
3. 網路隔離防護:網路隔離有兩種方式，一種是採用隔離卡來實現的，一種是採用網路安全隔離網閘實現的。
4. 其他措施:其他措施包括信息過濾、容錯、數據鏡像、數據備份和審計等。
⑵ 簡述網路安全策略的概念及制定安全策略的原則
網路的安全策略1.引言
隨著計算機網路的不斷發展，全球信息化已成為人類發展的大趨勢。但由於計算機網路具有聯結形式多樣性、終端分布不均勻性和網路的開放性、互連性等特徵，致使網路易受黑客、怪客、惡意軟體和其他不軌的攻擊，所以網上信息的安全和保密是一個至關重要的問題。對於軍用的自動化指揮網路、C3I系統和銀行等傳輸敏感數據的計算機網路系統而言，其網上信息的安全和保密尤為重要。因此，上述的網路必須有足夠強的安全措施，否則該網路將是個無用、甚至會危及國家安全的網路。無論是在區域網還是在廣域網中，都存在著自然和人為等諸多因素的脆弱性和潛在威脅。故此，網路的安全措施應是能全方位地針對各種不同的威脅和脆弱性，這樣才能確保網路信息的保密性、完整性和可用性。
2.計算網路面臨的威脅
計算機網路所面臨的威脅大體可分為兩種：一是對網路中信息的威脅；二是對網路中設備的威脅。影響計算機網路的因素很多，有些因素可能是有意的，也可能是無意的；可能是人為的，也可能是非人為的；可能是外來黑客對網路系統資源的非法使有，歸結起來，針對網路安全的威脅主要有三：
(1)人為的無意失誤：如操作員安全配置不當造成的安全漏洞，用戶安全意識不強，用戶口令選擇不慎，用戶將自己的帳號隨意轉借他人或與別人共享等都會對網路安全帶來威脅。
(2)人為的惡意攻擊：這是計算機網路所面臨的最大威脅，敵手的攻擊和計算機犯罪就屬於這一類。此類攻擊又可以分為以下兩種：一種是主動攻擊，它以各種方式有選擇地破壞信息的有效性和完整性；另一類是被動攻擊，它是在不影響網路正常工作的情況下，進行截獲、竊取、破譯以獲得重要機密信息。這兩種攻擊均可對計算機網路造成極大的危害，並導致機密數據的泄漏。
(3)網路軟體的漏洞和「後門」：網路軟體不可能是百分之百的無缺陷和無漏洞的，然而，這些漏洞和缺陷恰恰是黑客進行攻擊的首選目標，曾經出現過的黑客攻入網路內部的事件，這些事件的大部分就是因為安全措施不完善所招致的苦果。另外，軟體的「後門」都是軟體公司的設計編程人員為了自便而設置的，一般不為外人所知，但一旦「後門」洞開，其造成的後果將不堪設想。
3.計算機網路的安全策略
3.1 物理安全策略
物理安全策略的目的是保護計算機系統、網路伺服器、列印機等硬體實體和通信鏈路免受自然災害、人為破壞和搭線攻擊；驗證用戶的身份和使用許可權、防止用戶越權操作；確保計算機系統有一個良好的電磁兼容工作環境；建立完備的安全管理制度，防止非法進入計算機控制室和各種偷竊、破壞活動的發生。
抑制和防止電磁泄漏（即TEMPEST技術）是物理安全策略的一個主要問題。目前主要防護措施有兩類：一類是對傳導發射的防護，主要採取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導線間的交叉耦合。另一類是對輻射的防護，這類防護措施又可分為以下兩種：一是採用各種電磁屏蔽措施，如對設備的金屬屏蔽和各種接插件的屏蔽，同時對機房的下水管、暖氣管和金屬門窗進行屏蔽和隔離；二是干擾的防護措施，即在計算機系統工作的同時，利用干擾裝置產生一種與計算機系統輻射相關的偽雜訊向空間輻射來掩蓋計算機系統的工作頻率和信息特徵。
3.2 訪問控制策略
訪問控制是網路安全防範和保護的主要策略，它的主要任務是保證網路資源不被非法使用和非常訪問。它也是維護網路系統安全、保護網路資源的重要手段。各種安全策略必須相互配合才能真正起到保護作用，但訪問控制可以說是保證網路安全最重要的核心策略之一。下面我們分述各種訪問控制策略。 3.2.1 入網訪問控制
入網訪問控制為網路訪問提供了第一層訪問控制。它控制哪些用戶能夠登錄到伺服器並獲取網路資源，控制准許用戶入網的時間和准許他們在哪台工作站入網。
用戶的入網訪問控制可分為三個步驟：用戶名的識別與驗證、用戶口令的識別與驗證、用戶帳號的預設限制檢查。三道關卡中只要任何一關未過，該用戶便不能進入該網路。
對網路用戶的用戶名和口令進行驗證是防止非法訪問的第一道防線。用戶注冊時首先輸入用戶名和口令，伺服器將驗證所輸入的用戶名是否合法。如果驗證合法，才繼續驗證用戶輸入的口令，否則，用戶將被拒之網路之外。用戶的口令是用戶入網的關鍵所在。為保證口令的安全性，用戶口令不能顯示在顯示屏上，口令長度應不少於6個字元，口令字元最好是數字、字母和其他字元的混合，用戶口令必須經過加密，加密的方法很多，其中最常見的方法有：基於單向函數的口令加密，基於測試模式的口令加密，基於公鑰加密方案的口令加密，基於平方剩餘的口令加密，基於多項式共享的口令加密，基於數字簽名方案的口令加密等。經過上述方法加密的口令，即使是系統管理員也難以得到它。用戶還可採用一次性用戶口令，也可用攜帶型驗證器（如智能卡）來驗證用戶的身份。
網路管理員應該可以控制和限制普通用戶的帳號使用、訪問網路的時間、方式。用戶名或用戶帳號是所有計算機系統中最基本的安全形式。用戶帳號應只有系統管理員才能建立。用戶口令應是每用戶訪問網路所必須提交的「證件」、用戶可以修改自己的口令，但系統管理員應該可以控制口令的以下幾個方面的限制：最小口令長度、強制修改口令的時間間隔、口令的唯一性、口令過期失效後允許入網的寬限次數。
用戶名和口令驗證有效之後，再進一步履行用戶帳號的預設限制檢查。網路應能控制用戶登錄入網的站點、限制用戶入網的時間、限制用戶入網的工作站數量。當用戶對交費網路的訪問「資費」用盡時，網路還應能對用戶的帳號加以限制，用戶此時應無法進入網路訪問網路資源。網路應對所有用戶的訪問進行審計。如果多次輸入口令不正確，則認為是非法用戶的入侵，應給出報警信息。
3.2.2 網路的許可權控制
網路的許可權控制是針對網路非法操作所提出的一種安全保護措施。用戶和用戶組被賦予一定的許可權。網路控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源。可以指定用戶對這些文件、目錄、設備能夠執行哪些操作。受託者指派和繼承許可權屏蔽（IRM）可作為其兩種實現方式。受託者指派控制用戶和用戶組如何使用網路伺服器的目錄、文件和設備。繼承許可權屏蔽相當於一個過濾器，可以限制子目錄從父目錄那裡繼承哪些許可權。我們可以根據訪問許可權將用戶分為以下幾類：（1）特殊用戶（即系統管理員）；（2）一般用戶，系統管理員根據他們的實際需要為他們分配操作許可權；（3）審計用戶，負責網路的安全控制與資源使用情況的審計。用戶對網路資源的訪問許可權可以用一個訪問控製表來描述。
3.2.3 目錄級安全控制
網路應允許控制用戶對目錄、文件、設備的訪問。用戶在目錄一級指定的許可權對所有文件和子目錄有效，用戶還可進一步指定對目錄下的子目錄和文件的許可權。對目錄和文件的訪問許可權一般有八種：系統管理員許可權（Supervisor）、讀許可權（Read）、寫許可權（Write）、創建許可權（Create）、刪除許可權（Erase）、修改許可權（Modify）、文件查找許可權（File Scan）、存取控制許可權（Access Control）。用戶對文件或目標的有效許可權取決於以下二個因素：用戶的受託者指派、用戶所在組的受託者指派、繼承許可權屏蔽取消的用戶許可權。一個網路系統管理員應當為用戶指定適當的訪問許可權，這些訪問許可權控制著用戶對伺服器的訪問。八種訪問許可權的有效組合可以讓用戶有效地完成工作，同時又能有效地控制用戶對伺服器資源的訪問 ，從而加強了網路和伺服器的安全性。
3.2.4 屬性安全控制
當用文件、目錄和網路設備時，網路系統管理員應給文件、目錄等指定訪問屬性。屬性安全控制可以將給定的屬性與網路伺服器的文件、目錄和網路設備聯系起來。屬性安全在許可權安全的基礎上提供更進一步的安全性。網路上的資源都應預先標出一組安全屬性。用戶對網路資源的訪問許可權對應一張訪問控製表，用以表明用戶對網路資源的訪問能力。屬性設置可以覆蓋已經指定的任何受託者指派和有效許可權。屬性往往能控制以下幾個方面的許可權：向某個文件寫數據、拷貝一個文件、刪除目錄或文件、查看目錄和文件、執行文件、隱含文件、共享、系統屬性等。網路的屬性可以保護重要的目錄和文件，防止用戶對目錄和文件的誤刪除、、執行修改、顯示等。
3.2.5 網路伺服器安全控制
網路允許在伺服器控制台上執行一系列操作。用戶使用控制台可以裝載和卸載模塊，可以安裝和刪除軟體等操作。網路伺服器的安全控制包括可以設置口令鎖定伺服器控制台，以防止非法用戶修改、刪除重要信息或破壞數據；可以設定伺服器登錄時間限制、非法訪問者檢測和關閉的時間間隔。
3.2.6 網路監測和鎖定控制
網路管理員應對網路實施監控，伺服器應記錄用戶對網路資源的訪問，對非法的網路訪問，伺服器應以圖形或文字或聲音等形式報警，以引起網路管理員的注意。如果不法之徒試圖進入網路，網路伺服器應會自動記錄企圖嘗試進入網路的次數，如果非法訪問的次數達到設定數值，那麼該帳戶將被自動鎖定。
3.2.7 網路埠和節點的安全控制
網路中伺服器的埠往往使用自動回呼設備、靜默數據機加以保護，並以加密的形式來識別節點的身份。自動回呼設備用於防止假冒合法用戶，靜默數據機用以防範黑客的自動撥號程序對計算機進行攻擊。網路還常對伺服器端和用戶端採取控制，用戶必須攜帶證實身份的驗證器（如智能卡、磁卡、安全密碼發生器）。在對用戶的身份進行驗證之後，才允許用戶進入用戶端。然後，用戶端和伺服器端再進行相互驗證。
3.2.8 防火牆控制
防火牆是近期發展起來的一種保護計算機網路安全的技術性措施，它是一個用以阻止網路中的黑客訪問某個機構網路的屏障，也可稱之為控制進/出兩個方向通信的門檻。在網路邊界上通過建立起來的相應網路通信監控系統來隔離內部和外部網路，以阻檔外部網路的侵入。目前的防火牆主要有以下三種類型；
(1)包過濾防火牆：包過濾防火牆設置在網路層，可以在路由器上實現包過濾。首先應建立一定數量的信息過濾表，信息過濾表是以其收到的數據包頭信息為基礎而建成的。信息包頭含有數據包源IP地址、目的IP地址、傳輸協議類型（TCP、UDP、ICMP等）、協議源埠號、協議目的埠號、連接請求方向、ICMP報文類型等。當一個數據包滿足過濾表中的規則時，則允許數據包通過，否則禁止通過。這種防火牆可以用於禁止外部不合法用戶對內部的訪問，也可以用來禁止訪問某些服務類型。但包過濾技術不能識別有危險的信息包，無法實施對應用級協議的處理，也無法處理UDP、RPC或動態的協議。
(2)代理防火牆：代理防火牆又稱應用層網關級防火牆，它由代理伺服器和過濾路由器組成，是目前較流行的一種防火牆。它將過濾路由器和軟體代理技術結合在一起。過濾路由器負責網路互連，並對數據進行嚴格選擇，然後將篩選過的數據傳送給代理伺服器。代理伺服器起到外部網路申請訪問內部網路的中間轉接作用，其功能類似於一個數據轉發器，它主要控制哪些用戶能訪問哪些服務類型。當外部網路向內部網路申請某種網路服務時，代理伺服器接受申請，然後它根據其服務類型、服務內容、被服務的對象、服務者申請的時間、申請者的域名范圍等來決定是否接受此項服務，如果接受，它就向內部網路轉發這項請求。代理防火牆無法快速支持一些新出現的業務（如多媒體）。現要較為流行的代理伺服器軟體是WinGate和Proxy Server。
(3)雙穴主機防火牆：該防火牆是用主機來執行安全控制功能。一台雙穴主機配有多個網卡，分別連接不同的網路。雙穴主機從一個網路收集數據，並且有選擇地把它發送到另一個網路上。網路服務由雙穴主機上的服務代理來提供。內部網和外部網的用戶可通過雙穴主機的共享數據區傳遞數據，從而保護了內部網路不被非法訪問。
4.信息加密策略
信息加密的目的是保護網內的數據、文件、口令和控制信息，保護網上傳輸的數據。網路加密常用的方法有鏈路加密、端點加密和節點加密三種。鏈路加密的目的是保護網路節點之間的鏈路信息安全；端-端加密的目的是對源端用戶到目的端用戶的數據提供保護；節點加密的目的是對源節點到目的節點之間的傳輸鏈路提供保護。用戶可根據網路情況酌情選擇上述加密方式。
信息加密過程是由形形 色色的加密演算法來具體實施，它以很小的代價提供很大的安全保護。在多數情況下，信息加密是保證信息機密性的唯一方法。據不完全統計，到目前為止，已經公開發表的各種加密演算法多達數百種。如果按照收發雙方密鑰是否相同來分類，可以將這些加密演算法分為常規密碼演算法和公鑰密碼演算法。
在常規密碼中，收信方和發信方使用相同的密鑰，即加密密鑰和解密密鑰是相同或等價的。比較著名的常規密碼演算法有：美國的DES及其各種變形，比如Triple DES、GDES、New DES和DES的前身Lucifer; 歐洲的IDEA；日本的FEAL－N、LOKI－91、Skipjack、RC4、RC5以及以代換密碼和轉輪密碼為代表的古典密碼等。在眾多的常規密碼中影響最大的是DES密碼。
常規密碼的優點是有很強的保密強度，且經受住時間的檢驗和攻擊，但其密鑰必須通過安全的途徑傳送。因此，其密鑰管理成為系統安全的重要因素。
在公鑰密碼中，收信方和發信方使用的密鑰互不相同，而且幾乎不可能從加密密鑰推導出解密密鑰。比較著名的公鑰密碼演算法有：RSA、背包密碼、McEliece密碼、Diffe-Hellman、Rabin、Ong-Fiat-Shamir、零知識證明的演算法、橢園曲線、EIGamal演算法等等。最有影響的公鑰密碼演算法是RSA，它能抵抗到目前為止已知的所有密碼攻擊。
公鑰密碼的優點是可以適應網路的開放性要求，且密鑰管理問題也較為簡單，尤其可方便的實現數字簽名和驗證。但其演算法復雜。加密數據的速率較低。盡管如此，隨著現代電子技術和密碼技術的發展，公鑰密碼演算法將是一種很有前途的網路安全加密體制。
當然在實際應用中人們通常將常規密碼和公鑰密碼結合在一起使用，比如：利用DES或者IDEA來加密信息，而採用RSA來傳遞會話密鑰。如果按照每次加密所處理的比特來分類，可以將加密演算法分為序列密碼和分組密碼。前者每次只加密一個比特而後者則先將信息序列分組，每次處理一個組。 密碼技術是網路安全最有效的技術之一。一個加密網路，不但可以防止非授權用戶的搭線竊聽和入網，而且也是對付惡意軟體的有效方法之一。
5. 網路安全管理策略
在網路安全中，除了採用上述技術措施之外，加強網路的安全管理，制定有關規章制度，對於確保網路的安全、可靠地運行，將起到十分有效的作用。
網路的安全管理策略包括：確定安全管理等級和安全管理范圍；制訂有關網路操作使用規程和人員出入機房管理制度；制定網路系統的維護制度和應急措施等。
6. 結束語
隨著計算機技術和通信技術的發展，計算機網路將日益成為工業、農業和國防等方面的重要信息交換手段，滲透到社會生活的各個領域。因此，認清網路的脆弱性和潛在威脅，採取強有力的安全策略，對於保障網路的安全性將變得十分重要。
⑶ 設計網路安全策略需要研究的主要內容有哪些
首先強調網路安全的重要性立足自己的產品如果是防病毒當然就是強調病毒木馬的危害如果是安全網關則著重於攻擊或黑客帶來的隱患其次是分析對方的拓撲圖這是最關鍵的除了清楚的讓客戶認識到自己網路中的隱患外還能告訴對方需要在什麼地方做改動之後就是介紹自己的產品或者公司資質等等最後可以舉出一些成功案例還有售後服務之類當然不能忘記報價
⑷ 網路方案設計過程主要分哪幾個步驟
步驟如下：
1，需求調研
2，需求分析
3，概要設計
4，詳細設計
設計方案內容包括：網路拓撲、IP地址規劃、網路設備選型等等。
(4)銀行系統網路安全設計計及策略擴展閱讀：
網路工程設計原則
網路信息工程建設目標關繫到現在和今後的幾年內用戶方網路信息化水平和網上應用系統的成敗。在工程設計前對主要設計原則進行選擇和平衡，並排定其在方案設計中的優先順序，對網路工程設計和實施將具有指導意義。
1，實用、好用與夠用性原則
計算機與外設、伺服器和網路通信等設備在技術性能逐步提升的同時，其價格卻在逐年或逐季下降，不可能也沒必要實現所謂「一步到位」。所以，網路方案設計中應採用成熟可靠的技術和設備，充分體現「夠用」、「好用」、「實用」建網原則，切不可用「今天」的錢，買「明、後天」才可用得上的設備。
2，開放性原則
網路系統應採用開放的標准和技術，資源系統建設要採用國家標准，有些還要遵循國際標准(如：財務管理系統、電子商務系統)。其目的包括兩個方面：第一，有利於網路工程系統的後期擴充；第二，有利於與外部網路互連互通，切不可「閉門造車」形成信息化孤島。
3，可靠性原則
無論是企業還是事業，也無論網路規模大小，網路系統的可靠性是一個工程的生命線。比如，一個網路系統中的關鍵設備和應用系統，偶爾出現的死鎖，對於政府、教育、企業、稅務、證券、金融、鐵路、民航等行業產生的將是災難性的事故。因此，應確保網路系統很高的平均無故障時間和盡可能低的平均無故障率。
4， 安全性原則
網路的安全主要是指網路系統防病毒、防黑客等破壞系統、數據可用性、一致性、高效性、可信賴性及可靠性等安全問題。為了網路系統安全，在方案設計時，應考慮用戶方在網路安全方面可投入的資金，建議用戶方選用網路防火牆、網路防殺毒系統等網路安全設施；網路信息中心對外的伺服器要與對內的伺服器隔離。
5， 先進性原則
網路系統應採用國際先進、主流、成熟的技術。比如，區域網可採用千兆乙太網和全交換乙太網技術。視網路規模的大小(比如網路中連接機器的台數在250台以上時)，選用多層交換技術，支持多層幹道傳輸、生成樹等協議。
6，易用性原則
網路系統的硬體設備和軟體程序應易於安裝、管理和維護。各種主要網路設備，比如核心交換機、匯聚交換機、接入交換機、伺服器、大功率長延時UPS等設備均要支持流行的網管系統，以方便用戶管理、配置網路系統。
7，可擴展性原則
網路總體設計不僅要考慮到近期目標，也要為網路的進一步發展留有擴展的餘地，因此要選用主流產品和技術。若有可能，最好選用同一品牌的產品，或兼容性好的產品。在一個系統中切不可選用技術和性能不兼容的產品。
⑸ 中小銀行安全體系建設如何做好規劃
中小銀行安全體系構架探索
首先第一，我們體系遵循的標准，這裡面分三塊，第一，國際信息安全標准，27000，還有一個20000，還有等級保護的規范要求。對金融行業來說，06年發了一個信息安全保護的管理辦法，公安部發的，2009年6月銀監會出台的商業銀行信息風險管理，最後一個就是今年剛發的電子銀行安全評估指引，網上銀行的交易量占的比重非常大，相關的案件也在不斷的增多。所以我們整個體系遵循的標准主要是從這三個方面。
第二個方面體系建設的目標。作為一個銀行，無論是做什麼樣的體系，它最終的目的是為我們銀行客戶服務，服務是第一目標，服務的對象是客戶，對於信息系統來說，它要做的首先第一個就是整個業務系統的連續可用性，防止業務的中斷，防止數據的丟失。目標就是怎樣保障銀行的業務系統的連續性。
第二，對應用系統訪問的控制和授權的管理，防止非法訪問，以保證信息資源和金融資源的安全，這個就是針對電子銀行來說的，網上銀行案件頻發，絕大部分內部作案比外部的概率還要大多了，並不是外面的攻擊比較厲害，我認為中國的網上銀行的技術和復雜性，先進性，在世界上來說其他國家的銀行還不存在的。我不知道大家使用過外資銀行的相關網上銀行沒有，它登陸非常簡單，應該說中國的環境比較復雜。
所以對我們銀行來說，我們認為電子銀行之外，包括我們核心也是這樣。
第三，業務工作的責任和可操作性。
第四，業務數據的傳輸使用，存儲過程當中的真實性。做安全的這三個要素是必不可少的。
第五個方面就是信息系統的實體安全，提高信息系統安全管理水平，這塊是作為一個金融行業，或者企業來說它要保證他的實體的安全。
最後一個就是互聯網及內網的安全，防範互聯網的攻擊，保證業務的連續性。互聯網，網銀這都是網上的應用，內網的安全在銀行業逐漸加重了，以前防範的都是互聯網的應用，在這上面用得是很多的。最近通過統計下來，在內網方面逐漸逐漸加大投入，基於內網事件的增多。
第三，就是我們整個體系的策略，目標定了，我們採用什麼策略建設這個體系呢？我們從27000裡面管理體系的要求，從11個方面進行制定策略。第一個安全方針。第二個方面是組織信息安全。第三，資產管理。第四，人力資源安全。第五，物理環境安全。第六通訊和操作管理。第七，訪問控制。第八，系統性，以及信息安全事件管理等等，這些都是在商業銀行指引方面的管理，在27000里年，20000里年，也是這些方面。根據這11個方面，我們區域銀行的架構體系應該是怎麼樣？
先跟大家介紹一下，信息安全的架構，首先最上面就是安全的目標，目標是什麼？就是安全的高效管理，風險控制，以及整個體系的建設，這是目標。包括管理上的安全，結構上的安全，資產化的管理，身份的管理，結構包括結構的溶於，數據的溶於等等。終端伺服器，網路，主機等等，這是基礎架構。
基礎架構之上就是信息安全，信息安全主要是針對整個數據的內容以及數據操作的安全，這裡麵包括數據的泄露保護，現在商業銀行已經在用了，文件的管理，文件的加密，傳輸，無論是網上銀行，還是日常辦公基本上還是使用的。
內容安全主要用得比較多的，從這裡面發展多內網來的。最下面在信息安全的下層就是傳輸，包括數據的管理和加密。
第三層，就是安全的治理，包括安全監控，審計管理等等。IT的安全的治理是一個長期持續的工作目標，它主要是依賴於對整個平台的支持，真這個信息安全一個框架，我們建立了三大體系，就是從技術上，管理上和運維上三個方面來承載著我們整個信息安全。
可以看到，從技術角度來看，整個安全保障體系包括物理安全，保障安全，數據安全，備份的安全，這里考慮的東西也很多，包括我們現在談論最多的是電源的問題，數據中心的電源的問題，這也包含在安全之內，包括地震造成的數據中心的(英語)，這也是物理安全之一，在07年銀聯建立數據中心，因為他也沒考慮到物理安全，發了台風以後，把數據中心淹沒了，這個誰也沒想到，把數據中心給淹了。北京地鐵也經常被淹，這里也是物理安全的一部分，水災，電，防火，都是物理安全領域里。
第二是網路安全，有網路的溶於，網路的防控，線路的備份等等。網路安全考慮得比較多的是基於互聯網的網路安全這一塊兒，在內網像銀行基本上做到了內外網的物理的隔離，當然在相關的安全指引裡面，要求做到隔離，但是在銀行系統有些銀行做得比較充分的銀行，基本上做到了內網和外網的物理隔離。
我們的內網有兩個部分組成，一個部分是我們的核心業務，你們的銀行的數據，你們賬戶的數據，交易的數據等等一系列的都是在內網裡面。
第二，我們銀行內部使用自企業內部的系統，也是內網裡面的，這兩個部分基本上做到物理隔離，我們銀行對客戶的數據，我對他的訪問基本上也做到一個隔離。
我們談談外網，就是我們現在使用最佳頻繁的互聯網的應用。在金融行業做到了完全的物理的隔離，我們現在技術也挺多的，比如說現在用我們機器，他只能上一個網，要麼進內網，要麼進外網，現在有個技術叫雙硬碟技術，同樣一台機器做個切換，兩塊硬碟，兩個操作系統，在同一時間只能上一個網，這也是根據人民銀行銀監會的要求，金融行業基本上都做了。
還有主機安全，這個主機安全包括你們數據所用的核心的主機，也包括你們到我們歷史數據相關的其他的一些小機去獲取也都在這里。
從管理這條線來講，第一就是安全策略，你要做管理，你首先對你整個安全要統籌考慮，你必須要有穩當做支持，我相關的策略要記載下來，要有它的延續性。
其次，信息安全的組織和管理，任何一個企業他對信息整個安全體系要根據商業銀行信息安全管理要求，要求整個信息安全的組織架構必須從董事長開始，分管信息安全的是你們企業單位的運行層的高管，但是他直接匯報是向董事長匯報，而不是向運行層的一把手，商業銀行已經把信息安全提到很高的位置上。銀行董事長下面是行長，董事長是管理層，行長是經營者，副行長應該向行長匯報工作，但是在整個信息安全架構裡面不是這樣的，副行長直接就直接向董事長匯報，這是商業銀行的要求。
還有一個要求，整個信息安全有三道門，這裡面得非常清楚。
第三個是資產管理。
第四個是人力資源管理，我不是專家，但是這裡面的東西也很多，我相信你們到一家企業也會遇到很多的問題，比如進一家企業你要做什麼不知道，有人會告訴你，告訴你做什麼你就做什麼，有人跟你說你就知道，沒人跟你說，你做了幾天也就知道了。你走的時候也一樣，一個單子給你上面簽好字你就可以走了，只是履行了一個表面的書面的流程而已。實際上你來的時候，拿我們人力資源管理來說，你簽到的時候，你應該有哪些權利，享受哪些待遇，擁有哪些資源，支配哪些資源都有相應的人來告訴你。
有些人走了，他離開了，他的企業郵箱還在，這個很簡單吧，什麼時候給他刪了還不知道。這會帶來其他的問題，如果說他對某些銀行業，企業的核心資源有支配權的話，他的債戶還在話，引發的風險是什麼呢，這個風險在98年的時候就有相關的一個案例，哪家銀行我就不說了，他們的ATM網，他的運維給外包的一個公司了，那個公司在那長期的合作，但是有員工跳槽走了，那個員工在這台機器上他有相關的許可權和密碼，他進了機器以後，讓機器記載下客戶的賬號和密碼，他在後台然後他復制，復制了以後，他就用復制的卡去消費，這在九幾年就已經發生了，當然去年也有發生過類似的。最後查出來也很巧，他只是復制了某家銀行的信用卡，這家銀行有個共同的特色，就是通通是在另外一家銀行的一台機器上操作的，通過銀行的系統查出來，查出來以後，這台機器是誰用的，以前是誰來運維的，反向一追訴，追訴了這家公司來做的，他們公司有個人跳槽走了，反向追溯到這個人，這是96年發生的一起案件，就是利用了在人力資源上沒考慮充分，相關的許可權沒放開，導致了我們出了一些風險。
08年的時候類似的案件又發生過，也是相同的。所以人力資源不僅僅是一個人是否生病了，由於他生病對我系統，對我日常工作帶來影響，是否是他人本身的原因，同時你要考慮這個人進入離開我的企業，他所掌握的資源的一些問題。
第五個就是物理與環境的安全，通訊操作管理，這都是企業內部的管理，還有訪問控制管理，特別是新系統的獲取開發應用這塊，對銀行業來說感觸是最深的，因為這是屬於三分離的東西，實際的現實是人少，這幾個部門都在一個人身上體現出來。這在前面說的相關案件裡面也存在類似的問題。對銀行業來說這方面體現得比較深刻一點。
最後我說一下運維這塊，運維體系是一個部分，包括服務台，可用性管理，IT服務持續性管理，能力管理，服務級別管理，內容我們初步分了，一個是從技術角度，一個從管理角度來塊12個方面。從安全技術這塊，包括應急，支持，通道，檢查和分析，從管理的角度，服務，級別管理，配製管理，發布管理，這裡面還有培訓，應急，演練。這是整個運維體系的內容。
大家可以看到，首先整個流程的發布就是從服務台出來的，服務台作為整個事件的輸入和管理，事件管理以後，一個事件管理，一個問題管理，這個是不是有區別？這個有定義的，是有區別的，事情來了以後，在沒有判別它的故障等級的情況下，影響范圍的情況下，那麼它僅僅是一個事件，對事件的管理要求最快效應速度，所以很簡單，你們到銀行去辦一個業務，突然銀行關門了，業務辦不了了，所有的儲戶都著急了，這就屬於事件。這個事件的時候，我們對它的處理是最高的相應級別，我們就是越快速越好，使客戶第一時間能夠得到解決，當然方法有很多種了。如果說系統壞了，或者網路壞了，等等其他原因，銀行都有相關的措施。
但是對於事件來說，如果事件辯明了原因在哪，就要到後台去，事件管理只是初步的，臨時性的解決這個問題，對於問題來說有後台，對整個問題進行分析以後，對整個事件深層次的一個解決，他要提出他解決問題的一個方案，如果涉及到整個系統，或者整個環境的變更，你要提出變更的管理，如果涉及到應用，就要進行到配製管理，經過審核以後，才能夠進行管理的處理。所以在問題管理這裡面，是在事件管理之後，但是它的要求要根本性的解決一個問題。最終的結果反饋到服務台。這對我們銀行來說是這樣的。
另外還有一個問題，無論是件還是變更，最終配製的管理，我們每家銀行都有一個熱線，你剛打的時候，每一個人的問題都不太一樣，但是每家銀行反應的速度都很快，就是因為它有知識庫。從這上面看，我這是一個運維的管理模式，因為現在是安全和運維分不開的。我現在做的問題是基於原來運維基礎上做的東西。所以這是三大支柱來構建一個企業的安全體系。
⑹ ATM為銀行自動存取款機，如何構建整個計算機安全系統（從各種機制措施協議等角度考慮）
1）全網易受入侵。侵襲者可以通過三種方式很容易地獲取通行字：一是內部的管理人員因安全管理不當而造成泄密；二是通過在公用網上搭線竊取通行字；三是通過假冒，植入嗅探程序，截獲通行字。侵襲者一旦掌握了通行字，即可在任何地方通過網路訪問全網，並可能造成不可估量的損失。同時，由於XXX國稅網與Internet連接，導致全網受攻擊點明顯增多。
（2）系統保密性差。由於覆蓋全市的網路系統大多是通過DDN連接，全部線路上的信息多以明文的方式傳送，其中包括登錄通行字和一些敏感信息，可能被侵襲者截獲、竊取和篡改，造成泄密。
（3）易受欺騙性。由於網路主要採用的是TCP/IP協議，不法分子就可能獲取IP地址，在合法用戶關機時，冒充該合法用戶，從而竄入網路服務或應用系統，竊取甚至篡改有關信息，乃至會破壞整個網路。
（4）數據易損。由於目前尚無安全的資料庫及個人終端安全保護措施，還不能抵禦來自網路上的各種對資料庫及個人終端的攻擊；同時一旦不法分子針對網上傳輸數據作出偽造、刪除、竊取、竄改等攻擊，都將造成十分嚴重的影響和損失。
（5）破壞系統的可用性：使合法用戶不能正常訪問網路資源；使有時間要求的服務不能及時得到響應；使信息系統處於癱瘓狀態。
（6）缺乏對全網的安全控制與管理。當網路出現攻擊行為或網路受到其它一些安全威脅時（如內部人員的違規操作等），無法進行實時的檢測、監控、報告與預警。同時，當事故發生後，也無法提供黑客攻擊行為的追蹤線索及破案依據，即缺乏對網路的可控性與可審查性。
具體安全目標為：
1．實現多級的訪問控制。稅局LAN能對本網路中的主機及服務進行基於地址的粗粒度訪問控制或基於用戶及文件的細粒度訪問控制。
2．對涉密信息進行加密保護。連接XXX稅局與各分局的廣域網線路，採用相應的鏈路加密設備，以保證各節點網路之間交換的數據都是加密傳送。
3．對重點伺服器加強保護。在系統中配備監控及入侵檢測系統，為不斷提高重點伺服器的系統安全強度、強化安全管理提供有效的技術手段。
4．網路防病毒。應採用網路防病毒系統，並與單機防病毒軟體相結合，構建起一套完整的防病毒體系。
5．網路安全評估。採用網路安全性分析系統，定期評估網路的安全性，以便及時發現網路或系統漏洞，並建議提高網路安全強度的策略。
6．對個人終端加強安全防護。對既可以訪問INTERNET（特別是通過PSTN的方式），又可以訪問內部網大量資源的用戶，需採用可靠的PC數據保護設備，有效地隔離內外網路。
摘要：如何使信息網路系統不受黑客和工業間諜的入侵，已成為政府機構、企事業單位信息化健康發展所要考慮的重要事情之一。
3 安全方案設計描述
3.1 安全系統基本設計原則
（1）大幅度地提高系統的安全性和保密性；
（2）保持網路原有的性能特點，即對網路的協議和傳輸具有很好的透明性；
（3）易於操作、維護，並便於自動化管理，而不增加或少增加附加操作；
（4）盡量不影響原網路拓撲結構，便於系統及系統功能的擴展；
（5）安全保密系統具有較好的性能價格比，一次性投資，可以長期使用；
（6）安全與密碼產品具有合法性，並便於安全管理單位與密碼管理單位的檢查與監督。
基於上述思想，XXX國稅局網路信息安全系統的設計應遵循如下設計原則：
3.1.1 綜合性、整體性原則
應用系統工程的觀點、方法，分析網路的安全及具體措施。安全措施主要包括：行政法律手段、各種管理制度（人員審查、工作流程、維護保障制度等）以及專業措施（識別技術、存取控制、密碼、低輻射、容錯、防病毒、採用高安全產品等）。一個較好的安全措施往往是多種方法適當綜合的應用結果。一個計算機網路，包括個人、設備、軟體、數據等。這些環節在網路中的地位和影響作用，也只有從系統綜合整體的角度去看待、分析，才能取得有效、可行的措施。即計算機網路安全應遵循整體安全性原則，根據規定的安全策略制定出合理的網路安全體系結構。
3.1.2 需求、風險、代價平衡的原則
對任一網路，絕對安全難以達到，也不一定是必要的。對一個網路進行實際額研究（包括任務、性能、結構、可靠性、可維護性等），並對網路面臨的威脅及可能承擔的風險進行定性與定量相結合的分析，然後制定規范和措施，確定本系統的安全策略。
摘要：如何使信息網路系統不受黑客和工業間諜的入侵，已成為政府機構、企事業單位信息化健康發展所要考慮的重要事情之一。
3.1.3 可用性原則
安全措施需要人為去完成，如果措施過於復雜，對人的要求過高，本身就降低了安全性。其次，措施的採用不能影響系統的正常運行。
3.1.4 分步實施原則
由於網路系統及其應用擴展范圍廣闊，隨著網路規模的擴大及應用的增加，網路脆弱性也會不斷增加。一勞永逸地解決網路安全問題是不現實的。同時由於實施信息安全措施需相當的費用支出。因此分步實施，即可滿足網路系統及信息安全的基本需求，亦可節省費用開支。
3.2 安全方案分類描述
3.2.1 物理安全
保證計算機信息系統各種設備的物理安全是整個計算機信息系統安全的前提。物理安全是保護計算機網路設備、設施以及其它媒體免遭地震、水災、火災等環境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導致的破壞過程。它主要包括三個方面：
環境安全：對系統所在環境的安全保護，如區域保護和災難保護；（參見國家標准GB50173－93《電子計算機機房設計規范》、國標GB2887－89《計算站場地技術條件》、GB9361－88《計算站場地安全要求》
設備安全：主要包括設備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護等；
媒體安全：包括媒體數據的安全及媒體本身的安全。
為保證信息網路系統的物理安全，在XXX國稅網路安全建設中可主要通過幾個方面來實現：
機房環境和場地安全方面達到標准
網路的機房場地按照國家有關標准建設,基本上能夠實現環境安全。但仍需要將有關國家標准匯編成冊並認真學習，在對機房結構和布局進行調整時，必須按照這些標准進行。
摘要：如何使信息網路系統不受黑客和工業間諜的入侵，已成為政府機構、企事業單位信息化健康發展所要考慮的重要事情之一。
訪問控制
訪問控制可以通過如下幾個方面來實現：
制定嚴格的管理制度
如：《用戶授權實施細則》、《口令字及帳戶管理規范》、《許可權管理制度》。
防火牆一般利用IP和TCP包的頭信息對進出被保護網路的IP包信息進行過濾，能根據企業的安全政策來控制（允許、拒絕、監測）出入網路的信息流。同時可實現網路地址轉換（NAT）、審記與實時告警等功能。由於這種防火牆安裝在被保護網路與路由器之間的通道上，因此也對被保護網路和外部網路起到隔離作用。
認證伺服器
除使用防火牆進行基於地址、協議等的訪問控制外，還可以通過專用的認證系統對用戶身份進行鑒別，既而實現基於用戶的訪問控制。
摘要：如何使信息網路系統不受黑客和工業間諜的入侵，已成為政府機構、企事業單位信息化健康發展所要考慮的重要事情之一。
數據保護
數據保護所包含的內容比較廣，除了前面講過的通信保密和訪問控制外，還包括以下幾個方面：
制定明確的數據保護策略和管理制度如：《系統信息安全保密等級劃分及保護規范》、《數據安全管理辦法》、《上網數據的審批規定》。
個人終端數據安全保護機制：網路安全隔離卡
如果系統內一台PC既可以連接外部網，有可以連接內部網。盡管內部網和外部網在系統內隔離，但當該PC連接外部網時，網路黑客就可能滲入系統，或竊取數據、或惡意破壞記錄。同時，內部使用者可能會有意或無意地將敏感信息泄露出去。為了保護PC上數據的安全，並滿足PC既可連接內部網，又可連接外部網的需求，我們建議在這樣的PC上安裝網路隔離卡。
網路安全隔離卡可以在一台PC上創立兩個虛擬電腦，即實現機器的雙重狀態。它既可以是安全狀態（此時使用安全硬碟或硬碟安全區，與內部網連接，與外部網斷開），也可以在公開狀態（此時使用公開硬碟或硬碟公開區，連接外部網，與內部網斷開）。在這兩種狀態間進行安全切換時，所有臨時文件全部從共同區域刪除。網路隔離卡被設置在PC中最低的物理層，在硬體中運行，並且提供牢靠的物理分離。
3.2.5 防病毒
防病毒措施主要包括技術和管理方面，技術上可在伺服器中安裝伺服器端防病毒系統，以提供對病毒的檢測、清除、免疫和對抗能力。在客戶端的主機也應安裝單機防病毒軟體，將病毒在本地清除而不致於擴散到其他主機或伺服器。管理上應制定一整套有關的規章制度，如：不許使用來歷不明的軟體或盜版軟體，軟盤使用前要首先進行消毒等。只有提高了工作人員的安全意識，並自覺遵守有關規定，才能從根本上防止病毒對網路信息系統的危害。具體可通過以下幾方面來實現：
制訂防病毒制度、措施和病毒侵害的應急計劃
有:《計算機防範病毒制度、措施、與應急計劃》。
網路防病毒體系
為了使內部網路免受病毒侵害，保證網路系統中信息的可用性，必須構建一個從主機到伺服器的完善的防病毒體系。
摘要：如何使信息網路系統不受黑客和工業間諜的入侵，已成為政府機構、企事業單位信息化健康發展所要考慮的重要事情之一。
3.2.6 安全備份
安全備份主要通過以下方面來實現：
制訂完善的安全備份管理制度
管理制度有：《系統安全備份規范》、《數據介質保存規定》。
主要技術途徑
1．對重要設備進行設備備份。
2．數據備份則主要通過磁碟、磁帶、光碟等介質來進行。
3．伺服器災難恢復（或稱WEB保護系統）
為了保護WWW伺服器的完整性防止其上的信息被非法篡改，保護系統運安全，應使用伺服器災難恢復系統。伺服器災難恢復系統可以將伺服器上的重要信息進行備份，並定期檢測伺服器上的信息內容的完整性，一旦發現信息被非法篡改，就會使用原始數據對伺服器進行災難恢復。該系統尤其適合於XXX國稅對外發布信息的WWW伺服器,也可以用於其他基於文件系統的伺服器，如FTP、Email和DNS伺服器等。
3.2.7 網路安全分析或評估
使用專門的網路安全分析工具，可以實現對網路安全漏洞和安全隱患的掃描，對操作系統中與安全相關的配置進行檢查，這樣就可以隨時發現網路系統和主機系統中的安全問題，並及時解決。
3.2.8 網路監控與入侵檢測
網路監視和入侵檢測系統位於有感數據需要保護的網路上，通過實時偵聽網路數據流，尋找網路違規模式和未授權的網路訪問嘗試。當發現網路違規行為和未授權的網路訪問時，網路監控系統能夠根據系統安全策略做出反應，包括實時報警、事件登錄，或執行用戶自定義的安全策略等。網路監控系統可以部署在網路中有安全風險的地方，如區域網出入口、重點保護主機、遠程接入伺服器、內部網重點工作站組等。在重點保護區域，可以單獨各部署一套網路監控系統（管理器+監控器），也可以在每個需要保護的地方單獨部署一個監控器，在全網使用一個管理器，這種方式便於進行集中管理。
摘要：如何使信息網路系統不受黑客和工業間諜的入侵，已成為政府機構、企事業單位信息化健康發展所要考慮的重要事情之一
為保證信息系統正常、有效和安全地運行，必須首先建立健全一套與之相應的安全管理機構。
摘要：如何使信息網路系統不受黑客和工業間諜的入侵，已成為政府機構、企事業單位信息化健康發展所要考慮的重要事情之一。
4 系統可達到的安全目標
按照本實施方案構建起來的系統在以下方面實現設計的安全目標：
1.防火牆的使用，使各節點能對內外網路進行隔離和訪問控制
祝願沈理朋友們 順利過-安全不掛科 多個豆豆！！謝謝