网络与信息安全策略
网络与信息安全策略【1】
摘 要：分析了福建省网络与信息安全的现状与未来所面临的挑战，结合网络与信息安全的总体框架，提出了保障安全的策略。
关键词：网络 信息安全 保障体系 策略
一、引言
信息化是当今世界发展的大趋势，也是我国面临的重大发展机遇。
大力推进信息化，以信息化带动工业化，以工业化促进信息化，走新型工业化道路，是全面建设海峡西岸经济区、构建和谐社会的必然选择。
网络与信息安全工作是数字福建建设的重要组成部分。
加快建设与数字福建发展水平相适应的福建省网络与信息安全保障体系，对维护国家安全和社会稳定，保障公民合法权益，促进数字福建健康、有序发展具有重要意义。
二、福建省网络与信息安全的现状与挑战�
“十五”期间，福建省信息安全保障整体布局已初步形成，信息安全基础性工作和基础设施建设取得了显著成绩，信息安全产业初具规模。
目前，福建省已建成了福建省电子商务认证中心、省政务数字认证中心和密钥管理中心，发放了13万张企业数字证书和4400多张电子政务数字证书;建成了省政务信息网和国际互联网安全监控中心，实现对政务网和互联网的安全监控;利用密码技术在省政务信息网上建成覆盖全部省直单位的省政务网涉密子网，确保联网单位之间秘密信息的安全通信;建成全省保密系统的信息网络及其网络安全防范体系，防止国家秘密信息的泄漏;建成了数字福建数据灾难备份中心。
信息安全管理体制和工作机制逐步建立，信息安全责任制基本落实;信息安全等级保护、信息安全风险评估、信息安全产品认证认可、信息安全应急协调机制建设、网络信任体系建设、信息安全标准化制定等基础性工作和基础设施建设取得较大进展;信息安全问题受到了福建全省人民的普遍关注，民众对信息安全的理解和认识更加深入全面。
总的来看，通过全社会的共同努力，一种齐抓共管、协调配合的有效机制基本形成，信息安全保障工作的局面已经打开。
但从总体上看，福建省的信息安全防护水平还不高，与国际水平和先进省份相比还有一定的差距，网络与信息系统的防护水平依然有限，应急处理能力还不强;信息安全管理和技术人才还比较缺乏，信息安全法律法规还不够完善;信息安全管理还比较薄弱，面临的风险和威胁仍然比较突出。
随着数字福建的进一步推进，海峡西岸经济区建设对信息化的依赖程度将进一步提高，网络与信息安全的问题将摆上更重要的议事日程。
福建省将充分利用已有的信息安全保障资源，按照中央提出的“确保国家经济安全、政治安全、文化安全和信息安全”的要求，加快建设数字福建网络与信息安全保障体系，以保障和促进国民经济和社会信息化的持续快速健康发展。
三、网络与信息安全保障体系总体框架�
网络与信息安全保障体系主要包含组织管理、技术保障、基础设施、产业支撑、人才培养、法规标准六个部分，如图1所示。
图1 网络与信息安全保障体系
四、关于网络与信息安全策略的建议
⒈构建电子政务信息安全技术保障体系
技术保障体系是电子政务安全保障体系的重要组成部分，它涉及3个层面的内容：一是信息安全的核心技术和基本理论的研究与开发，包括数据加密技术、信息隐藏技术以及安全认证技术;二是基于信息安全技术的信息安全产品或系统，如反病毒系统、防火墙系统、入侵检测系统和物理隔离系统等;三是运用信息安全产品和系统构建综合防护系统，主要做法是采用各安全厂商提供的综合安全解决方案。
信息安全保障工作，一方面，要加强核心技术的研发。
我国网络与安全保障关键是要有自主的知识产权和关键技术，从根本上摆脱对外国技术的依赖，积极加大科技投入，尽快形成有自主产权的信息安全产业，加强安全技术的研究与开发，推进信息安全技术创新，增强网络与信息安全保障的能力。
另一方面，构建一整套符合实际需求的安全体系。
包括各种具体的安全系统、安全操作系统及相关的安全软件和技术、各种系统间的综合集成和有关的服务等，构筑坚实的网络与信息安全屏障。
⒉强化网络与信息安全管理
安全管理是实现信息安全的落实手段，而建立有效的安全管理机构是保障信息安全的组织保证。
通过建立统一的、立体的、多维的信息安全管理体系。
安全管理机构需要制定一系列严格的管理制度和建立电子政务信息安全机制来保障共建共享的信息安全。
管理制度包括系统运行维护管理制度、文档资料管理制度、机房安全管理制度、定期检查与监督制度、网络通信安全管理制度、安全等级保护制度等。
电子政务的信息安全机制是指实现信息安全目标的支持元素，它主要包括以下3方面的内容：
一是支撑机制。
作为大多数信息安全能力的共同基础，支撑机制是最常用的安全机制。
支撑机制包括标识和命名、密钥管理、安全管理、系统保护。
二是防护机制。
主要用于防止安全事故的发生，受保护的通讯、身份鉴别、授权、访问控制、拒绝否认、事务隐私。
三是检测和恢复机制。
主要用于检测共享系统中安全事故的发生并采取措施减少安全事故的负面影响。
包括审计、入侵检测和容忍、完整性验证、安全状态重置。
⒊加强信息安全标准化建设
建立健全信息安全法律体系和标准化体系，并且将标准化体系纳入法律体系和法制范畴，使其具有强制实施的法律效力。
这是促进信息化建设健康发展、构建信息安全保障新体系的内在要求和主要内容。
通过学习和借鉴国外先进经验，认真总结自身经验，积极探索加强信息安全法制建设和标准化建设的新思路。
这方面的重点是综合考虑信息网络系统安全立法的整体结构，尽快建成门类齐全、结构严谨、层次分明、内在和谐、功能合理、统一规范的信息安全法律法规体系，用来调节信息安全领域的各种法律关系。
加强信息安全标准化建设，根据信息安全评估的国际通行准则，参照国际标准，学习借鉴先进国家的成功经验，从实际出发，抓紧制定急需的信息系统安全等级保护标准、系统评估标准、产品检测标准、公钥基础设施标准、电子身份认证标准、防火墙技术标准以及关键技术、产品、系统、服务商资质、专业技术人员资质、各类管理过程与测评的标准等。
建立健全信息安全标准化体系，重视现有的信息安全标准的贯彻实施，充分发挥其基础性、规范性的作用。
⒋大力培养信息安全专业人才
信息安全的保障离不开专业的技术人员，信息安全管理的核心要素是高素质的人和技术队伍。
人是保证信息安全的最重要的因素，因为法律、管理、技术都要人去掌握。
信息安全管理人员的安全意识、素质水平、创新能力直接影响到信息的安全。
必须重视和加强对信息安全专业人才的培养，全面提高人员的道德品质和技术水平，这是保障信息安全的关键所在。
通过大众传播媒介、远程教育、组织各种专题讲座和培训班等方式，培养各种层次和类型的信息安全专业人才。
此外，还要不断加强对广大公务员的教育、培养和管理，增强广大公务员的信息安全意识、遵纪守法意识，提高其技术和业务水平，从而增强其保障信息安全的能力。
网络风险与安全策略【2】
摘 要：信息时代，网络在人们工作与生活中发挥着越来越重要的作用。
然而，网络本身固有的一些不健全的特性，又使其很容易被网络不法分子和黑客攻击。
本文探讨了网络存在的风险以及常见的对应安全防范策略。
【关键词】计算机网络 网络安全
1 计算机网络风险网络安全
计算机网络是利用通讯设备和线路将地理位置不同的、功能独立的多个计算机系统互连起来，以功能完善的网络软件(即网络通信协议、网络操作系统及信息交换方式等)实现网络中资源共享和信息传递的系统。
因为计算机网络本身的一些开放性的、不健全的特性，使其时常面临多方面的风险。
通常来说主要有三个方面：一是计算机病毒。
种类繁多的计算机病毒利用网络软件和硬件本身存在的缺陷和不足，依靠自身的“复制”能力，严重破坏数据，影响计算机使用，甚至导致计算机系统瘫痪。
由此造成的损失十分巨大。
二是黑客和网络不法分子的攻击。
这种人为的恶意攻击是计算机网络所面临的最大威胁，黑客一旦非法入侵资源共享广泛的经济、政治、军事和科学等领域，盗用、暴露和篡改网络中存储和传输的数据，其造成的损失是无法估量的。
三是计算机操作者非恶意的误操作。
如个别用户网络安全意识不足，网络管理员安全配置存在的漏洞等。
1.1 嗅探攻击
嗅探攻击是利用计算机的网络接口截获目的地为其它计算机的传输数据的工具。
比如影音嗅探工具，现在很多网上的视频只提供在线播放而看不到下载地址，这时候用这个工具，他能嗅探到这个视频的真实地址。
嗅探器分为软件和硬件两种。
1.2 拒绝服务攻击
拒绝服务攻击是攻击者想办法让目标服务器停止提供服务，是黑客常用的攻击手段之一，一般通过向某个站点服务器发送大量的、无用的信息，从而堵寒该站点的运行，最终导致网络服务项目终止服务(例如电子邮件系统或联机功能)。
1.3 源IP地址欺骗攻击
源IP地址欺骗攻击是指入侵者生成具有伪造的源地址IP包，用于欺骗目标系统。
IP欺骗可以用于突破基于IP地址的访问控制机制。
通过IP地址的伪装使得某台主机能够伪装另外的一台主机，而这台主机通常具有某种特权或被另外的主机所信任，以蒙混过关。
进而开始一系列的攻击。
1.4 口令攻击
网络系统大多使用口令来限制未经授权的访问，一旦攻击者能猜测或者确定用户的口令，他就能获得网络的访问权，并能访问到用户能访问到的任何资源。
如果这个用户有域管理员或root用户权限，这是非常危险的。
口令的取得通常有三种方法：一是通过网络非法监听得到用户口令;其次是在知道用户的账号后利用一些专门软件强行破解用户口令;再次是利用系统管理员的失误，在现代的Unix操作系统中，用户的基本信息存放在passwd文件中，而所有的口令则经过加密后专门存放在一个叫shadow的文件中。
黑客在获得一个服务器的用户口令Shadow文件后，用暴力破解程序破解用户口令。
1.5 缓冲区溢出攻击
缓冲区溢出是目前最常见的一种安全问题，这种攻击是属于系统攻击的手段，操作系统以及应用程序大都存在缓冲区溢出漏洞。
缓冲区溢出是由编程错误引起的，缓冲区是一段连续内存空间，具有固定的长度。
程序的缓冲区被攻击者写入超出其规定长度的内容时，就会造成缓冲区溢出，达到攻击的目的.。
1.6 破坏信息的完整性
信息完整性是指信息在输入和传输的过程中，不被非法修改和破坏，保证数据的一致性。
保证信息完整性需要防止数据的丢失、重复及保证传送秩序的一致。
攻击者通过对信息进行篡改，更改信息的内容等;有时是删除某个消息或消息的某些部分;还有可能在消息中插入一些垃圾信息，使接收方接收到错误的信息。
2 计算机网络的防护
网络攻击的手段是发展变化、多种多样的，攻击和防护是矛和盾的关系。
所以建立网络安全防护体系，就同时要走技术和管理相结合的道路。
2.1 物理安全策略
网络防御的物理安全重点在于对整个网络的保护，它是保护服务器、计算机、网络连接设备等系统免受外部攻击的关键。
使用计算机网络时首先要经过身份验证，防止越权操作。