时间：2022-06-25 21:02:01
绪论：在寻找写作灵感吗？爱发表网为您精选了8篇网络安全评估报告，愿这些内容能够启迪您的思维，激发您的创作热情，欢迎您的阅读与分享！
【 关键词 】 网络安全；评估；漏洞扫描
The Research of Network Security Evaluation
Wu Guo-qiang
(Institute of Geophysics, China Earthquake Administration Beijing 100085)
【 Abstract 】 at present, the network has brought great change to people's life, work and study. People in the enjoyment of the Internet brought not only convenience but also security influence. Due to the network with the sharing of resources, widely distributed and open features, to cyber criminals had to take advantage of the machine, to the society and the individual has brought incalculable harm. The network hacker attacks to network bu the use of network management and technical flaws, on the network security evaluation, targeted to network repair job, can fundamentally solve the problem of network security hidden danger, will put an end to. In the existing application level basis, establish and improve the network security assessment system for network, normal, safe and stable operation is of great value in the practical application.
【 Keywords 】 network security; assessment; vulnerability scanning
0 引言
随着网络用户的增多，人们对网络的依赖性越来越严重，网络已经成为人们生活中不可分割的一部分，但是，受到网络危害的人数也在逐年增加。据不完全统计，我国超过一半以上的企事业单位受到过网络安全事故的危害，而且这个数字还在逐年增加。其网络安全的危害主要表现在：黑客攻击、木马侵袭和病毒传染等。
当前，我国的信息化安全建设也随着技术的发展不断进步，但是，由于网络资源共享和分布不均匀的特性及相关法律不健全的影响，让众多网络用户受到网络危害及损失之后，其个人名誉和财产无法得到有效地保护。因此，加强自身网络的安全建设，及时有效地网络系统进行评估，是十分有必要的。
1 模型和算法
网络安全评估主要从物理安全、究全控制、管理安全、数据安全和技术安全几个层次进行评估。当前，社会上存在的评估系统，都是从某个方面入手进行评估验证，只把握住了局部问题，而没有从全局出发，缺乏必要的合理性和科学性。综合国内外准则和技术指标，都是仅仅规定了体系和框架，对于具体的安全扫描操作没有给出具体的步骤和过程。为了能够设计出更加完善的网络安全评估系统，给出定性的安全保护策略和安全评级，首先需要做的是确定其评估模型。
1.1 评估模型分类
（1）定性评估方法
该方法的特点是预见性。模型在没有建立以前，就要确定其漏洞及其危害性。对于漏洞的分析主要通过三个方面进行：一是性质和成区（查看具体由操作系统、应用软件和端口哪一方面引起）；二是危害程度（越级访问、远程控制、非法窃取、非法访问、远程欺骗和拒绝服务）；三是漏洞级别（一般、严重和非常严重）。
该评估模型的优点是实现简单、操作方便，最大的不足之处就是主观性强，需要研发人员对网络安全有足够的经验和水平并且尽可能地多采集相关的信息。其代表方法有历史比较法、因素分析法和德菲尔法等。
（2）定量的评估方法
该方法主要是通过判断影响网络安全的数值来进行的。其优点是客观公正、科学，其缺点是由于要进行大量的数据比较，其实现相对复杂。其代表的方法有决策树法、因子分解法和聚类分析法等。
（3）综合的评估方法
该方法是结合了前两种方法的优点，其代表的方法有模糊数学法、威胁树法和层次分析法等。
（4）基于模型的评估方法
该方法是目前最有效的方法，它所基于的模型都是建立在成熟的模型的基础之上，所以设计简单、发现漏洞的效率高、易发现未知的攻击模式和脆弱的系统等，能够从全局上对网络进行评估。当前，它所基于的模型主要有故障树模型、信息流模型、访问控制模型和基于角色的访问控制模型等。
1.2 评估模型理论
什么是NKS？NKS的英文全名是A New Kind of Science，2002年，著名的数学软件Mathematica的设计者Wolfram出版了一本书就叫这个名字，专门研究各种简单程序，例如细胞自动机、图灵机、替代系统等等，并得出了丰富的结论，他把这门科学叫做NKS。
评估模型建立的是一种层次化的网络质量度量方法NKS，其主要的评估要素由一系列小的质量要素（:物理安全、技术安全、管理安全和管理策略等）组成，而小的质量要素又是由网络安全评估衡量标准（脆弱性、漏洞和各种弱口令等）组成，标准又通过安全度量元（脆弱性情况、漏洞严重程度和弱口令复杂度等）的特性来完成。通过一层层的递进关系，来准确地评估出确切的评估要素值。
1.3 评估算法
在网络安全评估中，只有通过具体的值才能在计算机中得到体现，一般度量值有两种类型，分别是逻辑型和数值型。逻辑型相对比较简单，只需要根据对应的值进行逻辑判断即可；而数值型则需要通过复杂的数值计算才能够得出具体的判定层次。
在此我们对数值型进行简要的介绍。
首先，将评估要素设成两元关系的集合，第一个参数代表评估的结果，第二个表示其结果在整个网络中所起到的权重值。每一个模型所进行数值计算都是不同的，但不管哪一个，一般都通过采用以下几个要素组合来取得最终的结果，它们是专家库、关系方程、概率分析和权重等。
2 网络安全评估系统组成和功能
在上面理论的基础之上，我们设计出NKS网络安全评估系统，以确保整个网络的安全和对潜在威胁的及时发现。
2.1 系统组成简介
整个系统主要由四个模块组成，分别是评估结果管理模块、安全性检测与评估报告生成模块、系统设置模块和附加功能模块。其结构图如图1所示。
（1）评估结果管理模块
模块主要体现在结果的显示和历史记录的查询上面，由搜索扫描记录、删除扫描记录和显示评估结果组成。
（2）安全性检测与评估报告生成模块
在整个系统中，所有功能及模块都是围绕该模块而运行，它是系统的核心。它首先进行主机存活性识别操作，假如该主机处于活跃状态，那么将对其操作系统进行探测，然后依次进行端口/服务扫描、漏洞扫描和弱口令探测等一系列活动，最后通过安全评估算法的合理运算，生成评估报告。
（3）系统设置及插件配置模块
从系统的角度出发，为了保证合法用户的正确使用，防止非法用户的入侵，必须设置必要的账户进行管理，合法用户可以通过账户进行系统的管理。其主要的功能有添加、删除账户及修改密码等。插件配置子程序主要完成端口扫描、漏洞扫描和弱口令扫描等。
（4）附加功能模块
提供SQL可注入性检测功能的实现。
2.2 功能介绍
该系统的主要功能体现在九个方面。（1）目标主机存活性探测。通过远程对目标主机的存活性进行探测。其具体的要求是速度尽可能地快、正确率尽可能高和穿越防火墙的能力尽可能地强。（2）网络拓扑发现。能够描述出目标主机所在的网络拓扑图。其具体的要求是图形显示网络拓扑和区别各种网络设备。（3）操作系统识别。能够查出目标主机上所具体使用的操作系统的版本相关信息。其具体的要求是通过TCL/IP协议实现。（4）弱口令探测。能够查出目标主机上常用的SQL数据库、FTP和WEB服务的常用口令。（5）开放端口/服务扫描。要求是通过TCP、UDP端口进行扫描。（6）漏洞扫描。它能够对所有的Windows操作系统和部分Linux操作系统进行分析，并对数据库和文档进行集成。（7）木马检查。（8）生成报告。其要求是要以文本和网页两种形式表现出来，并且报告要针对管理员和一般用户进行区分。（9）用户管理。其具体的要求是能够添加、删除用户，并且对用户的密码进行修改主，并且用户的界面要尽可能地人性化。
3 网络安全评估系统详细设计
根据以上的介绍，我们根据网络安全评估系统的功能，对其主要的功能模块进行实现。
3.1 获取远程本机的基本信息
要获取本机的网络安全评估指数，首先要确定其本地的基本信息，如网卡的MAC地址、IP所属的网络段和操作系统基本信息等参数。
3.2 开放端口的判断
端口的开放程度对主机的安全性影响巨大，如何判断该机的哪些端口开放，哪些没有开放，在整个系统的运行中是十分必要的。我们可以通过往某个端口发送其固定数据，看是否接收，来进行判断，其具体的代码如下：
4 总结
针对网络安全展开讨论，首先详细分析了网络安全的模型和算法，对网络安全评估的几种常用方法进行了比较，其次分析了网络安全评估系统的组成和功能，并给出了具体的模块结构图，最后对整个系统的具体实现进行详细的描述，重点介绍了主机常用信息的获取和端口开放的判断，对于其它的内容由于篇幅所限，在此并没有给出。
参考文献
[1] 许晓.应用系统的安全威胁及其防护.信息化研究，2009.
[2] 崔孝林.网络安全评估系统的设计与实现.安徽:中国科学技术大学，2009.
[3] 邢栩嘉,林闯,蒋屹立.计算机系统脆弱性评估研究.计算机学报，2004.
[4] 陈冬雨.趋势科技安全威胁评估报告.计算机安全,2009.
关键词：网络安全；风险评估；实施流程
中图文分类号：TP393.08文献标识码：A文章编号：1009-3044(2008)29-0366-02
Research on Network Security Risk Assessment Appraisal Flow
XING Zhi-jun
(Railway Wagon Transport Branch Co. of China Shenhua Energy, Yulin 719316, China)
Abstract： Along with the network information age development, the Internet becomes people’s work gradually and lives the essential constituent, but also let the people face the multitudinous secret network threat at the same time. In the network security problem is not allow to neglect. This paper introduced the network security risk assessment appraisal flow in detail.
Key words： network security;risk assessment;appraisal flow
1 引言
网络安全风险评估就是通过对计算机网络系统的安全状况进行安全性分析，及时发现并指出存在的安全漏洞，以保证系统的安全。网络安全风险评估在网络安全技术中具有重要的地位，其基本原理是采用多种方法对网络系统可能存在的已知安全漏洞进行检测，找出可能被黑客利用的安全隐患，并根据检测结果向系统管理员提供详细可靠的安全分析报告与漏洞修补建议，以便及早采取措施，保护系统信息资源。
风险评估过程就是在评估标准的指导下，综合利用相关评估技术、评估方法、评估工具，针对信息系统展开全方位的评估工作的完整历程。对信息系统进行风险评估，首先应确保风险分析的内容与范围应该覆盖信息系统的整个体系，应包括：系统基本情况分析、信息系统基本安全状况调查、信息系统安全组织、政策情况分析、信息系统弱点漏洞分析等。
2 风险评估的准备
风险评估的准备过程是组织进行风险评估的基础，是整个风险评估过程有效性的保证。机构对自身信息及信息系统进行风险评估是一种战略性的考虑，其结果将受到机构的业务需求及战略目标、文化、业务流程、安全要求、规模和结构的影响。不同机构对于风险评估的实施过程可能存在不同的要求，因此在风险评估的准备阶段，应该完成以下工作。
1） 确定风险评估的目标
首先应该明确风险评估的目标，为风险评估的过程提供导向。支持机构的信息、系统、应用软件和网络是机构重要的资产。资产的机密性、完整信和可用性对于维持竞争优势、获利能力、法规要求和一个机构的形象是必要的。机构要面对来自四面八方日益增长的安全威胁。一个机构的系统、应用软件和网络可能是严重威胁的目标。同时，由于机构的信息化程度不断提高，对基于信息系统和服务技术的依赖日益增加，一个机构则可能出现更多的脆弱性。机构的风险评估的目标基本上来源于机构业务持续发展的需要、满足相关方的要求、满足法律法规的要求等方面。
2） 确定风险评估的范围
机构进行风险评估可能是由于自身业务要求及战略目标的要求、相关方的要求或者其他原因。因此应根据上述具体原因确定分险评估范围。范围可能是机构全部的信息和信息系统，可能是单独的信息系统，可能是机构的关键业务流程，也可能是客户的知识产权。
3） 建立适当的组织结构
在风险评估过程中，机构应建立适当的组织结构，以支持整个过程的推进，如成立由管理层、相关业务骨干、IT技术人员等组成的风险评估小组。组织结构的建立应考虑其结构和复杂程度，以保证能够满足风险评估的目标、范围。
4） 建立系统型的风险评估方法
风险评估方法应考虑评估的范围、目的、时间、效果、机构文化、人员素质以及具体开展的程度等因素来确定，使之能够与机构的环境和安全要求相适应。
5） 获得最高管理者对风险评估策划的批准
上述所有内容应得到机构的最高管理者的批准，并对管理层和员工进行传达。由于风险评估活动涉及单位的不同领域和人员，需要多方面的协调，必要的、充分的准备是风险评估成功的关键。因此，评估前期准备工作中还应签订合同和机密协议以及选择评估模式。
3 信息资产识别
资产是企业、机构直接赋予了价值因而需要保护的东西，它可能是以多种形式存在的，无形的、有形的，硬件、软件，文档、代码，或者服务、企业形象等。在一般的评估体中，资产大多属于不同的信息系统，如OA系统、网管系统、业务生产系统等，而且对于提供多种业务的机构，业务生产系统的数量还可能会很多。
资产赋值是对资产安全价值的估价，不是以资产的帐面价格来衡量的。在对资产进行估价时，不仅要考虑资产的成本价格，更重要的是要考虑资产对于机构业务的安全重要性，即由资产损失所引发的潜在的影响来决定。为确保资产估价时的一致性和准确定，机构应按照上述原则，建立一个资产价值尺度（资产评估标准），以明确如何对资产进行赋值。资产赋值包括机密性赋值、完整性赋值和可用性赋值。
4 威胁识别
安全威胁是一种对机构及其资产构成潜在破坏的可能性因素或者时间。无论对于多么安全的信息系统，安全威胁是一个客观存在的事物，它是风险评估的重要因素之一。
5 脆弱性识别
脆弱性评估也称为弱点评估，是风险评估中的重要内容。弱点是资产本身存在的，它可以被威胁利用、引起资产或商业目标的损害。弱点包括物理环境、机构、过程、人员、管理、配置、硬件、软件和信息等各种资产的脆弱性。
6 已有安全措施的确认
机构应对已采取的控制措施进行识别并对控制措施的有效性进行确认，将有效的安全控制措施继续保持，以避免不必要的工作和费用，防止控制措施的重复实施。对于那些被认为不适当的控制应核查是否应被取消，或者用更合适的控制代替。安全控制可以分为预防性控制措施和保护性控制措施两种。预防性控制措施可以降低威胁发生的可能性和减少安全脆弱性；而保护性控制措施可以减少因威胁发生所造成的影响。
7 风险识别
根据策划的机构，由评估的人员按照相应的职责和程序进行资产评估、威胁评估、脆弱性评估，在考虑已有安全措施的情况下，利用适当的方法与工具确定威胁利用资产脆弱性发生安全事件的可能性，并结合资产的安全属性受到破坏后的影响来得出资产的安全风险。
8 风险评估结果记录
根据评估实施情况和所搜集到的信息，如资产评估数据、威胁评估数据、脆弱性评估数据等，完成评估报告撰写。评估报告是风险评估结果的记录文件，是机构实施风险管理的主要依据，是对风险评估活动进行评审和认可的基础资料，因此，报告必须做到有据可查，报告内容一般主要包括风险评估范围、风险计算方法、安全问题归纳以及描述、风险级数、安全建议等。风险评估报告还可以包括风险控制措施建议、参与风险描述等。
由于信息系统及其所在环境的不断变化，在信息系统的运行过程中，绝对安全的措施是不存在的。攻击者不断有新的方法绕过或扰乱系统中的安全措施，系统的变化会带来新的脆弱点，实施的安全措施会随着时间而过时等等，所有这些表明，信息系统的风险评估过程是一个动态循环的过程，应周期性的对信息系统安全进行重新评估。
参考文献：
[1] Solomon D A, Russinovich M E. Inside Microsoft Windows 2000[M]. Microsoft Press, 2000.
关键词：网络安全；风险评估；安全措施
中图分类号：TP393文献标识码：A 文章编号：1009-3044(2008)06-11012-01
A Survey of Network Security Risk Assessment
CHEN Jun-wei
(Dept. of Computer, Nanjing University of Posts and Telecommunications, Nanjing 210003,China)
Abstract：To assess the security condition of a network system, is one of the most important technologies in security area. In this paper, we will point out the shortcomings of the present security guard, in the discussion of the standards and measures of existing risk assessment, and propose methods and directions which are beneficial in perfecting the assessment systems.
Key words:Network security; risk assessment; security measures
1 引言
频频发生的信息安全事件正在日益引起全球的关注，列举的近年来的网络突发事件，不难发现，强化提升网络安全风险评估意识、强化信息安全保障为当务之急。所谓风险评估，是指网络安全防御中的一项重要技术，它的原理是，根据已知的安全漏洞知识库，对目标可能存在的安全隐患进行逐项检查。然后根据扫描结果向系统管理员提供周密可靠的安全性分析报告，为提高网络安全整体水平提供重要依据。完成一个信息安全系统的设计与实施并不足以代表该信息安全事务的完结。随着新技术、新应用的不断出现，以及所导致的信息技术环境的转变，信息安全工作人员要不断地评估当前的安全威胁，并不断对当前系统中的安全性产生认知。
2 网络安全风险评估的现状
2.1 风险评估的必要性
有人说安全产品就是保障网络安全的基础，但有了安全产品，不等于用户可以高枕无忧地应用网络。产品是没有生命的，需要人来管理与维护，这样才能最大程度地发挥其效能。病毒和黑客可谓无孔不入，时时伺机进攻。这就更要求对安全产品及时升级，不断完善，实时检测，不断补漏。网络安全并不是仅仅依靠网络安全产品就能解决的，它需要合适的安全体系和合理的安全产品组合，需要根据网络及网络用户的情况和需求规划、设计和实施一定的安全策略。通常，在一个企业中，对安全技术了如指掌的人员不多，大多技术人员停留在对安全产品的一般使用上，如果安全系统出现故障或者黑客攻击引发网络瘫痪，他们将束手无策。这时他们需要的是安全服务。而安全评估，便是安全服务的重要前期工作。网络信息安全，需要不断评估方可安全威胁。
2.2 安全评估的目标、原则及内容
安全评估的目标通常包括：确定可能对资产造成危害的威胁；通过对历史资料和专家的经验确定威胁实施的可能性；对可能受到威胁影响的资产确定其价值、敏感性和严重性，以及相应的级别，确定哪些资产是最重要的；准确了解企业网的网络和系统安全现状；明晰企业网的安全需求；制定网络和系统的安全策略；制定网络和系统的安全解决方案；指导企业网未来的建设和投入；通过项目实施和培训，培养用户自己的安全队伍。而在安全评估中必须遵循以下原则：标准性原则、可控性原则、整体性原则、最小影响原则、保密性原则。
安全评估的内容包括专业安全评估服务和主机系统加固服务。专业安全评估服务对目标系统通过工具扫描和人工检查，进行专业安全的技术评定，并根据评估结果提供评估报告。
目标系统主要是主流UNIX及NT系统，主流数据库系统，以及主流的网络设备。使用扫描工具对目标系统进行扫描，提供原始评估报告或由专业安全工程师提供人工分析报告。或是人工检查安全配置检查、安全机制检查、入侵追查及事后取证等内容。而主机系统加固服务是根据专业安全评估结果，制定相应的系统加固方案，针对不同目标系统，通过打补丁、修改安全配置、增加安全机制等方法，合理进行安全性加强。
系统加固报告服务选择使用该服务包，必须以选择ISMR/SSMR/HME服务包为前提，针对评估分析报告，提出加固报告。系统加固报告增强服务选择使用该服务包，必须以选择ISMR/SSMR/HME服务包为前提，针对评估分析报告，提出系统加固报告，并将系统加固报告、加固步骤、所需补丁程序以光盘形式提交客户。系统加固实施服务选择使用该服务包，必须以选择 ISMR/SSMR/HME服务包为前提，针对评估分析报告，提出系统加固报告，并将系统加固报告、加固步骤、所需补丁程序以光盘形式提交客户，并由专业安全工程师实施加固工作。
3 网络安全风险评估系统
讨论安全评定的前提在于企业已经具有了较为完备的安全策略，这项工作主要检测当前的安全策略是否被良好的执行，从而发现系统中的不安全因素。当前计算机世界应用的主流网络协议是TCP/IP，而该协议族并没有内置任何安全机制。这意味着基于网络的应用程序必须被非常好的保护，网络安全评定的主要目标就是为修补全部的安全问题提供指导。
评定网络安全性的首要工作是了解网络拓扑结构，拓扑描述文档并不总能反映最新的网络状态，进行一些实际的检测是非常必要的。最简单的，可以通过Trackroute工具进行网络拓扑发现，但是一些网络节点可能会禁止Trackroute流量的通过。在了解了网络拓扑之后，应该获知所有计算机的网络地址和机器名。对于可以访问的计算机，还应该了解其正在运行的端口，这可以通过很多流行的端口发现工具实现。当对整个网络的架构获得了足够的认知以后，就可以针对所运行的网络协议和正在使用的端口发现网络层面的安全脆弱点了。通常使用的方法是对协议和端口所存在的安全漏洞逐项进行测试。
安全领域的很多专家都提出边界防御已经无法满足今天的要求，为了提高安全防御的质量，除了在网络边界防范外部攻击之外，还应该在网络内部对各种访问进行监控和管理。企业组织每天都会从信息应用环境中获得大量的数据，包括系统日志、防火墙日志、入侵检测报警等。是否能够从这些信息中有效的识别出安全风险，是风险管理中重要一环。目前的技术手段主要被应用于信息的收集、识别和分析，也有很多厂商开发出了整合式的安全信息管理平台，可以实现所有系统模块的信息整合与联动。
数据作为信息系统的核心价值，被直接攻击和盗取数据将对用户产生极大的危害。正因为如此，数据系统极易受到攻击。对数据库平台来说，应该验证是否能够从远程进行访问，是否存在默认用户名密码，密码的强度是否达到策略要求等。而除了数据库平台之外，数据管理机制也应该被仔细评估。不同级别的备份措施乃至完整的灾难备份机制都应该进行有效的验证，不但要检验其是否存在安全问题，还要确认其有效性。大部分数据管理产品都附带了足够的功能进行安全设定和数据验证，利用这些功能可以很好的完成安全评定工作并有效的与安全策略管理相集成。攻击者的一个非常重要目的在于无需授权访问某些应用，而这往往是获得系统权限和数据的跳板。事实上大部分的安全漏洞都来自于应用层面，这使得应用程序的安全评定成为整个工作体系中相当重要的一个部分。与更加规程化的面向体系底层的安全评定相比，应用安全评定需要工作人员具有丰富的安全知识和坚实的技术技能。
4 结束语
目前我国信息系统安全风险评估工作，在测试数据采集和处理方面缺乏实用的技术和工具的支持，已经成为制约我国风险评估水平的重要因素。需要研究用于评价信息安全评估效用的理论和方法，总结出一套适用于我国国情的信息安全效用评价体系，以保证信息安全风险评估结果准确可靠，可以为风险管理活动提供有价值的参考；加强我国信息安全风险评估队伍建设，促使我国信息安全评估水平得到持续改进。
参考文献：
[1] 陈晓苏，朱国胜，肖道举.TCP/IP协议族的安全架构[N].华中科技大学学报,2001，32-34.
[2] 贾颖禾.国务院信息化工作办公室网络与信息安全组.信息安全风险评估[J].网络安全技术与应用，2004(7)，21-24.
[3] 刘恒,信息安全风险评估挑战[R],信息安全风险评估与信息安全保障体系建设研讨会,2004.10.12.
[4] [美]Thomas A Wadlow.网络安全实施方法.潇湘工作室译.北京:人民邮电出版社，2000.
[5] 张卫清,王以群.网络安全与网络安全文化[J].情报杂志,2006(1)，40-45
[6] 赵战生,信息安全风险评估[R],第全国计算机学术交流会,2004.7.3.
在信息时代之风笼罩整个世界的同时，计算机网络技术已经通过各种途径将整个世界都联系起来了。随着计算机网络覆盖的领域越来越广，信息交流越来越频繁，一系列的计算机网络不安全因素逐渐涌现。计算机自身系统崩溃、计算机的硬件与软件配合失衡、黑客入侵攻击等不安全因素严重危害计算机网络安全。因此，尽快构建一个系统全面的计算机网络安全预防体系，及时采取相关措施去应对计算机网络安全隐患，是目前信息技术安全最为关键的环节。
2计算机网络不安全因素
2.1网络软件漏洞繁多
许多计算机网络软件开发公司为节约开发成本，在计算机网络中取得优势，往往未能对软件的安全性给予充分考虑。换言之，许多计算机网络软件都存在着或多或少的安全隐患。然而，这些软件漏洞正给网络不法分子攻击的机会，一旦网络黑客借助这些软件漏洞入侵到计算机内部，重要数据将会泄露、计算机网络系统也必将被破坏，一系列的安全后果将不堪设想。
2.2计算机用户网络安全意识不高
计算机用户安全意识淡薄，随意更改防火墙设置，放宽了其他用户的访问权限，很容易会造成计算机身份被他人盗用的严重后果。有的用户还经常将自身的计算机入网账号与他人公用，使得用户口令经常被修改，由于安全设置不当经常造成潜在的安全隐患。
2.3缺乏计算机安全评估系统
众所周知，一个系统全面的计算机安全评估系统是防止黑客入侵计算机的重要保障，安全评估体系能够对整个计算机网络的安全性与防护性作出一个较为科学严谨的分析评估，而且该评估系统还会根据实际的计算机网路安全评估报告来制定相关的计算机安全使用策略。然而，在我们的计算机实际应用中，往往不注意计算机安全评估系统的构建，只注重计算机网络安全事故的预防与事后处理，平时欠缺对计算机网络安全作出及时的评估与监控，给计算机网络安全造成一定的安全隐患。
2.4计算机外界威胁因素
计算机网络安全事故很多是由计算机外界威胁因素造成的，这其中包括自然环境威胁、网络黑客与病毒的入侵攻击与非法访问操作。自然环境威胁一般是指计算机外在的自然条件不太完善，如各种无法预测的自然灾害、难以控制的计算机外部机器故障等因素。网络黑客与病毒的入侵攻击不但会对计算机的网络安全带来极大的破坏，还会摧毁计算机系统，对计算机自身造成极大的伤害。据估计，未来网络黑客与病毒的摧毁力度将会越来越强，而它们自身的隐蔽性与抗压性也会相应地得到提高，所以说，网络黑客与病毒的存在对计算机网络安全造成严重威胁。而非法访问操作则主要指一些未得到授权，私自越过计算机权限，或者是不法分子借助一些计算机工具去进行计算机程序的编写，从而突破该计算机的网络访问权限，入侵到他人计算机的不法操作。
3计算机网络安全防范措施
3.1建立安全可靠的计算机安全防线
安全可靠的计算机安全防线是避免计算机网络不安全因素出现的最关键环节，其构建主要依靠计算机防火墙技术、数据加密技术与病毒查杀技术。防火墙控制技术主要是一种建立在各网络之间的互联设备，能够有效避免不法分子以不正当方式入侵网络内部，防止不法分子盗取计算机网络内部的信息资源，是计算机内部一道强有力的网络安全屏障。数据加密技术的主要作用就是对计算机内部的数据添加密文设置，未经授权的计算机不法分子是无法获取数据、读懂数据的，最终达到保护网络数据传输的正确性与安全性。常用的数据加密技术包括有：保证个网络节点间信息传输正确且安全的链路加密技术、确保计算机始端数据传输与终端数据接收安全的端点加密技术与保证源节点到目的节点之间传输安全可靠的节点加密技术。病毒查杀技术可谓是计算机安全网络防范最为关键的环节。病毒查杀技术一般通过杀毒软件的安装运行去运行的，在计算机安装杀毒软件以后，应当定时对杀毒软件进行实时的监测控制，定期对杀毒软件进行升级处理，按时对计算机进行杀毒扫描，以求及时将计算机内容隐藏病毒进行发现处理。
3.2提高计算机用户与计算机网络管理人员的安全意识
于个人计算机用户而言，必须要加强计算机网络资源管理意识，根据自己实际需要对计算机设置特殊的口令，确保计算机数据获取的合法性与安全性，避免其他计算机用户以非法手段入侵计算机内部，获取相关计算机网络数据资源，造成计算机网络安全隐患。闲时，计算机用户还必须注意对病毒进行监测清除，避免网络黑客的入侵导致计算机系统崩溃。于社会团体组织而言，必须注重提高内部计算机管理人员的网络安全意识，注意采用适当的方法去培养一批具有专业计算机技术的网络监控人员，打造精英计算机安全管理团队，能及时对网络不法攻击作出处理，构建一个系统全面的计算机网络安全管理体系，致力打造一个安全可靠的计算机网络环境。
3.3完善计算机网络安全制度
健全的计算机网络安全制度不但可以规范计算机网络安全使用，还能够借助法律法规等强硬手段去彻底打击计算机网络犯罪，及时对计算机网络不法分子给予相关惩处，保证了计算机网络环境的安全可靠。因此，加强并且定期完善计算机网络安全立法制度是十分必要的。
3.4其他管理措施
计算机网络安全防范仅仅依靠强硬的计算机安全防御系统与专业的计算机网络安全管理技术人员是远远不够的，还必须定期对计算机网络系统进行一系列的专业评估与监测控制，实时对计算机网络运行、数据传输过程进行监控，热切关注计算机内部系统是否存在一些漏洞，一旦发现漏洞，要尽早处理，避免其他计算机病毒的攻击。
4结束语
1缺乏计算机安全评估系统
众所周知，一个系统全面的计算机安全评估系统是防止黑客入侵计算机的重要保障，安全评估体系能够对整个计算机网络的安全性与防护性作出一个较为科学严谨的分析评估，而且该评估系统还会根据实际的计算机网路安全评估报告来制定相关的计算机安全使用策略。然而，在我们的计算机实际应用中，往往不注意计算机安全评估系统的构建，只注重计算机网络安全事故的预防与事后处理，平时欠缺对计算机网络安全作出及时的评估与监控，给计算机网络安全造成一定的安全隐患。
2计算机外界威胁因素
计算机网络安全事故很多是由计算机外界威胁因素造成的，这其中包括自然环境威胁、网络黑客与病毒的入侵攻击与非法访问操作。自然环境威胁一般是指计算机外在的自然条件不太完善，如各种无法预测的自然灾害、难以控制的计算机外部机器故障等因素。网络黑客与病毒的入侵攻击不但会对计算机的网络安全带来极大的破坏，还会摧毁计算机系统，对计算机自身造成极大的伤害。据估计，未来网络黑客与病毒的摧毁力度将会越来越强，而它们自身的隐蔽性与抗压性也会相应地得到提高，所以说，网络黑客与病毒的存在对计算机网络安全造成严重威胁。而非法访问操作则主要指一些未得到授权，私自越过计算机权限，或者是不法分子借助一些计算机工具去进行计算机程序的编写，从而突破该计算机的网络访问权限，入侵到他人计算机的不法操作。
二、计算机网络安全防范措施
1建立安全可靠的计算机安全防线
安全可靠的计算机安全防线是避免计算机网络不安全因素出现的最关键环节，其构建主要依靠计算机防火墙技术、数据加密技术与病毒查杀技术。防火墙控制技术主要是一种建立在各网络之间的互联设备，能够有效避免不法分子以不正当方式入侵网络内部，防止不法分子盗取计算机网络内部的信息资源，是计算机内部一道强有力的网络安全屏障。数据加密技术的主要作用就是对计算机内部的数据添加密文设置，未经授权的计算机不法分子是无法获取数据、读懂数据的，最终达到保护网络数据传输的正确性与安全性。常用的数据加密技术包括有：保证个网络节点间信息传输正确且安全的链路加密技术、确保计算机始端数据传输与终端数据接收安全的端点加密技术与保证源节点到目的节点之间传输安全可靠的节点加密技术。病毒查杀技术可谓是计算机安全网络防范最为关键的环节。病毒查杀技术一般通过杀毒软件的安装运行去运行的，在计算机安装杀毒软件以后，应当定时对杀毒软件进行实时的监测控制，定期对杀毒软件进行升级处理，按时对计算机进行杀毒扫描，以求及时将计算机内容隐藏病毒进行发现处理。
2提高计算机用户与计算机网络管理人员的安全意识
于个人计算机用户而言，必须要加强计算机网络资源管理意识，根据自己实际需要对计算机设置特殊的口令，确保计算机数据获取的合法性与安全性，避免其他计算机用户以非法手段入侵计算机内部，获取相关计算机网络数据资源，造成计算机网络安全隐患。闲时，计算机用户还必须注意对病毒进行监测清除，避免网络黑客的入侵导致计算机系统崩溃。于社会团体组织而言，必须注重提高内部计算机管理人员的网络安全意识，注意采用适当的方法去培养一批具有专业计算机技术的网络监控人员，打造精英计算机安全管理团队，能及时对网络不法攻击作出处理，构建一个系统全面的计算机网络安全管理体系，致力打造一个安全可靠的计算机网络环境。
3完善计算机网络安全制度
健全的计算机网络安全制度不但可以规范计算机网络安全使用，还能够借助法律法规等强硬手段去彻底打击计算机网络犯罪，及时对计算机网络不法分子给予相关惩处，保证了计算机网络环境的安全可靠。因此，加强并且定期完善计算机网络安全立法制度是十分必要的。
4其他管理措施
计算机网络安全防范仅仅依靠强硬的计算机安全防御系统与专业的计算机网络安全管理技术人员是远远不够的，还必须定期对计算机网络系统进行一系列的专业评估与监测控制，实时对计算机网络运行、数据传输过程进行监控，热切关注计算机内部系统是否存在一些漏洞，一旦发现漏洞，要尽早处理，避免其他计算机病毒的攻击。
三、结束语
1缺乏计算机安全评估系统
众所周知,一个系统全面的计算机安全评估系统是防止黑客入侵计算机的重要保障,安全评估体系能够对整个计算机网络的安全性与防护性作出一个较为科学严谨的分析评估,而且该评估系统还会根据实际的计算机网路安全评估报告来制定相关的计算机安全使用策略。然而,在我们的计算机实际应用中,往往不注意计算机安全评估系统的构建,只注重计算机网络安全事故的预防与事后处理,平时欠缺对计算机网络安全作出及时的评估与监控,给计算机网络安全造成一定的安全隐患。
2计算机外界威胁因素
计算机网络安全事故很多是由计算机外界威胁因素造成的,这其中包括自然环境威胁、网络黑客与病毒的入侵攻击与非法访问操作。自然环境威胁一般是指计算机外在的自然条件不太完善,如各种无法预测的自然灾害、难以控制的计算机外部机器故障等因素。网络黑客与病毒的入侵攻击不但会对计算机的网络安全带来极大的破坏,还会摧毁计算机系统,对计算机自身造成极大的伤害。据估计,未来网络黑客与病毒的摧毁力度将会越来越强,而它们自身的隐蔽性与抗压性也会相应地得到提高,所以说,网络黑客与病毒的存在对计算机网络安全造成严重威胁。而非法访问操作则主要指一些未得到授权,私自越过计算机权限,或者是不法分子借助一些计算机工具去进行计算机程序的编写,从而突破该计算机的网络访问权限,入侵到他人计算机的不法操作。
二、计算机网络安全防范措施
1建立安全可靠的计算机安全防线
安全可靠的计算机安全防线是避免计算机网络不安全因素出现的最关键环节,其构建主要依靠计算机防火墙技术、数据加密技术与病毒查杀技术。防火墙控制技术主要是一种建立在各网络之间的互联设备,能够有效避免不法分子以不正当方式入侵网络内部,防止不法分子盗取计算机网络内部的信息资源,是计算机内部一道强有力的网络安全屏障。数据加密技术的主要作用就是对计算机内部的数据添加密文设置,未经授权的计算机不法分子是无法获取数据、读懂数据的,最终达到保护网络数据传输的正确性与安全性。常用的数据加密技术包括有:保证个网络节点间信息传输正确且安全的链路加密技术、确保计算机始端数据传输与终端数据接收安全的端点加密技术与保证源节点到目的节点之间传输安全可靠的节点加密技术。病毒查杀技术可谓是计算机安全网络防范最为关键的环节。病毒查杀技术一般通过杀毒软件的安装运行去运行的,在计算机安装杀毒软件以后,应当定时对杀毒软件进行实时的监测控制,定期对杀毒软件进行升级处理,按时对计算机进行杀毒扫描,以求及时将计算机内容隐藏病毒进行发现处理。
2提高计算机用户与计算机网络管理人员的安全意识
于个人计算机用户而言,必须要加强计算机网络资源管理意识,根据自己实际需要对计算机设置特殊的口令,确保计算机数据获取的合法性与安全性,避免其他计算机用户以非法手段入侵计算机内部,获取相关计算机网络数据资源,造成计算机网络安全隐患。闲时,计算机用户还必须注意对病毒进行监测清除,避免网络黑客的入侵导致计算机系统崩溃。于社会团体组织而言,必须注重提高内部计算机管理人员的网络安全意识,注意采用适当的方法去培养一批具有专业计算机技术的网络监控人员,打造精英计算机安全管理团队,能及时对网络不法攻击作出处理,构建一个系统全面的计算机网络安全管理体系,致力打造一个安全可靠的计算机网络环境。
3完善计算机网络安全制度
健全的计算机网络安全制度不但可以规范计算机网络安全使用,还能够借助法律法规等强硬手段去彻底打击计算机网络犯罪,及时对计算机网络不法分子给予相关惩处,保证了计算机网络环境的安全可靠。因此,加强并且定期完善计算机网络安全立法制度是十分必要的。
4其他管理措施
计算机网络安全防范仅仅依靠强硬的计算机安全防御系统与专业的计算机网络安全管理技术人员是远远不够的,还必须定期对计算机网络系统进行一系列的专业评估与监测控制,实时对计算机网络运行、数据传输过程进行监控,热切关注计算机内部系统是否存在一些漏洞,一旦发现漏洞,要尽早处理,避免其他计算机病毒的攻击。
改造之后，终端设备数量达到近500台，服务器超过20台，再加之机关附属、基层场站、培训中心、宾馆等多业务模式下频繁的负责的信息交换需求环境，其内网安全问题日益严峻，内部病毒感染事件的频发体现了三大集中的网络安全防护需求。
云安全让IWSA3000脱颖而出
在网络安全系统升级前，第一输油处慎重周密地拟定了多家备选网络安全厂商。由于网络出口得到了统一，第一输油处很快明确了采购需求：在互联网出口处针对基于Web方式的威胁提供保护，保证恶意程序在进入内部网络前就被清除掉。
由于第一输油处升级前的网络拓扑构造为部署Web安全网关、统一安全管理提供了有利的基础条件。第一输油处对安全网关主要提出了三点需求：能够防御未知及新病毒，不影响网络系统性能，提供可量化的安全管理。
虽然测试了多款安全网关产品，但第一输油处发现这些产品依然在使用防毒中的“老路数”：网关上下载最新的特征码、URL地址库，然后对流量进行过滤比对。在实际测试过程中，这些产品本质的缺陷和“亡羊补牢”落后策略均无法满足防御最新病毒的要求，特别是在遇到0Day（零日）攻击的情况下。在测试中，由于趋势科技安全网关IWSA3000支持透明模式，采用透明部署方式，产品运行时不会对用户日常使用习惯带来任何的影响。最终，这款产品得到了用户的认可。第一输油处的相关领导表示：“在选择网络安全设备时，我们看重的是对网络威胁实际的防范效果。经过深层次的技术沟通，在充分了解趋势科技产品云技术的实际效果和价值，并且充分了解IWSA测试评估报告后，我们最终还是决定选择趋势科技的IWSA3000。”
准确分析动态恶意威胁
据了解，由于趋势科技IWSA3000采用了“云安全”技术，它能够进行动态性质的恶意威胁分析，生成动态的信誉库，而非“死代码”。采用这一先进模式的趋势科技IWSA网关，还拥有云计算毫秒级的运算速度，可在几分钟内成功拦截恶意攻击网址。在一些破坏性较大的病毒尚未被媒体关注前，第一输油处就因为已经部署了趋势科技IWSA 3000，而提前发现并成功拦截了这些病毒。此外，趋势科技IWSA在云端数据库中建立了该URL的病毒属性，能帮助企业内的分支机构或者用户避免再次遭受同样的URL的侵害，从而实现零秒差阻挡病毒的防护效果。
部署半年以来，趋势科技IWSA3000为长庆第一输油处实现了主动拦截的恶意URL链接，桌面防毒系统发现病毒的比率下降也很明显，极其显著地缓解了终端的防毒压力。
以下是《通信网络安全防护监督管理办法(征求意见稿)》全文：
为切实履行通信网络安全管理职责，提高通信网络安全防护水平，依据《中华人民共和国电信条例》，工业和信息化部起草了《通信网络安全防护监督管理办法(征求意见稿)》，现予以公告，征求意见。请于2009年9月4日前反馈意见。
联系地址:北京西长安街13号工业和信息化部政策法规司(邮编:100804)
电子邮件:wangxiaofei@miit.gov.cn
附件:《通信网络安全防护监督管理办法(征求意见稿)》
通信网络安全防护监督管理办法
(征求意见稿)
第一条(目的依据)为加强对通信网络安全的管理，提高通信网络安全防护能力，保障通信网络安全畅通，根据《中华人民共和国电信条例》，制定本办法。
第二条(适用范围)中华人民共和国境内的电信业务经营者和互联网域名服务提供者(以下统称“通信网络运行单位”)管理和运行的公用通信网和互联网(以下统称“通信网络”)的网络安全防护工作，适用本办法。
本办法所称互联网域名服务，是指设置域名数据库或域名解析服务器，为域名持有者提供域名注册或权威解析服务的行为。
本办法所称网络安全防护工作，是指为防止通信网络阻塞、中断、瘫痪或被非法控制等以及通信网络中传输、存储、处理的数据信息丢失、泄露或被非法篡改等而开展的相关工作。
第三条(管辖职责)中华人民共和国工业和信息化部(以下简称工业和信息化部)负责全国通信网络安全防护工作的统一指导、协调、监督和检查，建立健全通信网络安全防护体系，制订通信网络安全防护标准。
省、自治区、直辖市通信管理局(以下简称“通信管理局”)依据本办法的规定，对本行政区域内通信网络安全防护工作进行指导、协调、监督和检查。
工业和信息化部和通信管理局统称“电信管理机构”。
第四条(责任主体)通信网络运行单位应当按照本办法和通信网络安全防护政策、标准的要求开展通信网络安全防护工作，对本单位通信网络安全负责。
第五条(方针原则)通信网络安全防护工作坚持积极防御、综合防范的方针，实行分级保护的原则。
第六条(同步要求)通信网络运行单位规划、设计、新建、改建通信网络工程项目，应当同步规划、设计、建设满足通信网络安全防护标准要求的通信网络安全保障设施，并与主体工程同时进行验收和投入运行。
已经投入运行的通信网络安全保障设施没有满足通信网络安全防护标准要求的，通信网络运行单位应当进行改建。
通信网络安全保障设施的规划、设计、新建、改建费用，应当纳入本单位建设项目预算。
第七条(分级保护要求)通信网络运行单位应当按照通信网络安全防护标准规定的方法，对本单位已正式投入运行的通信网络进行单元划分，将各通信网络单元按照其对国家和社会经济发展的重要程度由低到高分别划分为一级、二级、三级、四级、五级。
通信网络单元的分级结果应由接受其备案的电信管理机构组织专家进行评审。
通信网络运行单位应当根据实际情况适时调整通信网络单元的划分和级别。通信网络运行单位调整通信网络单元的划分和级别的，应当按照前款规定重新进行评审。
第八条(备案要求1)通信网络运行单位应当按照下列规定在通信网络投入运行后30日内将通信网络单元向电信管理机构备案:
(一)基础电信业务经营者集团公司直接管理的通信网络单元，向工业和信息化部备案；基础电信业务经营者各省(自治区、直辖市)子公司、分公司负责管理的通信网络单元，向当地通信管理局备案。
(二)增值电信业务经营者的通信网络单元，向电信业务经营许可证的发证机构备案。
(三)互联网域名服务提供者的通信网络单元，向工业和信息化部备案。
第九条(备案要求2)通信网络运行单位办理通信网络单元备案，应当提交以下信息:
(一)通信网络单元的名称、级别、主要功能等。
(二)通信网络单元责任单位的名称、联系方式等。
(三)通信网络单元主要负责人的姓名、联系方式等。
(四)通信网络单元的拓扑架构、网络边界、主要软硬件及型号、关键设施位址等。
前款规定的备案信息发生变化的，通信网络运行单位应当自变更之日起15日内向电信管理机构变更备案。
第十条(备案审核)电信管理机构应当自收到通信网络单元备案申请后20日内完成备案信息审核工作。备案信息真实、齐全、符合规定形式的，应当予以备案；备案信息不真实、不齐全或者不符合规定形式的，应当通知备案单位补正。
第十一条(符合性评测要求)通信网络运行单位应当按照通信网络安全防护标准的要求，落实与通信网络单元级别相适应的安全防护措施，并自行组织进行符合性评测。评测方法应当符合通信网络安全防护标准的有关规定。
三级及三级以上通信网络单元，应当每年进行一次符合性评测；二级通信网络单元，应当每两年进行一次符合性评测。通信网络单元的级别调整后，应当及时重新进行符合性评测。
符合性评测结果及整改情况或者整改计划应当于评测结束后30日内报送通信网络单元的备案机构。
第十二条(风险评估要求)通信网络运行单位应当对通信网络单元进行经常性的风险评估，及时消除重大网络安全隐患。风险评估方法应当符合通信网络安全防护标准的有关规定。
三级及三级以上通信网络单元，应当每年进行一次风险评估；二级通信网络单元，应当每两年进行一次风险评估；国家重大活动举办前，三级及三级以上通信网络单元应当进行风险评估。
风险评估结果及隐患处理情况或者处理计划应当于风险评估结束后30日内上报通信网络单元的备案机构。
第十三条(灾难备份要求)通信网络运行单位应当按照通信网络安全防护标准的要求，对通信网络单元的重要线路、设备、系统和数据等进行备份。
第十四条(演练要求)通信网络运行单位应当定期或不定期组织演练检验通信网络安全防护措施的有效性，并参加电信管理机构组织开展的演练。
第十五条(监测要求)通信网络运行单位应当对本单位通信网络的安全状况进行自主监测，按照通信网络安全防护标准建设和运行通信网络安全监测系统。
通信网络运行单位的监测系统应当按照电信管理机构的要求，与电信管理机构的监测系统互联。
第十六条(CNCERT职责)工业和信息化部委托国家计算机网络应急技术处理协调中心建设和运行互联网网络安全监测系统。
第十七条(安全服务规范)通信网络运行单位委托其他单位进行安全评测、评估、监测等工作的，应当加强对受委托单位的管理，保证其服务符合通信网络安全防护标准及有关法律、法规和政策的要求。
第十八条(监督检查)电信管理机构应当根据本办法和通信网络安全防护政策、标准，对通信网络运行单位开展通信网络安全防护工作的情况进行监督检查。
第十九条(检查措施)电信管理机构有权采取以下措施对通信网络安全防护工作进行监督检查:
(一)查阅通信网络运行单位的符合性评测报告和风险评估报告。
(二)查阅通信网络运行单位的有关文档和工作记录。
(三)向通信网络运行单位工作人员询问了解有关情况。
(四)查验通信网络运行单位的有关设施。
(五)对通信网络进行技术性分析和测试。
(六)采用法律、行政法规规定的其他检查方式。
第二十条(委托检查)电信管理机构可以委托网络安全检测专业机构开展通信网络安全检测活动。
第二十一条(配合检查的义务)通信网络运行单位对电信管理机构及其委托的专业机构依据本办法开展的监督检查和检测活动应当予以配合，不得拒绝、阻挠。
第二十二条(规范检查单位)电信管理机构及其委托的专业机构对通信网络安全防护工作进行监督检查和检测，不得影响通信网络的正常运行，不得收取任何费用，不得要求接受监督检查的单位购买指定品牌或者指定生产、销售单位的安全软件、设备或者其他产品。
第二十三条(规范检查人员)电信管理机构及其委托的专业机构的监督检查人员应当忠于职守、坚持原则，不得泄漏监督检查工作中知悉的国家秘密、商业秘密、技术秘密和个人隐私。
第二十四条(对专业机构的要求)电信管理机构委托的专业机构进行检测时，应当书面记录检查的对象、时间、地点、内容、发现的问题等，由检查单位和被检查单位相关负责人签字盖章后，报委托方。
第二十五条(罚则1)违反本办法第六条、第七条、第八条、第九条、第十一条、第十二条、第十三条、第十四条、第十五条、第十七条、第二十一条规定的，由电信管理机构责令改正，给予警告，并处5000元以上3万元以下的罚款。
第二十六条(罚则2)未按照通信网络安全防护标准落实安全防护措施或者存在重大网络安全隐患的，由电信管理机构责令整改，并对整改情况进行监督检查。拒不改正的，由电信管理机构给予警告，并处1万元以上3万元以下的罚款。
购物车(0)
