前言：中文期刊网精心挑选了网络安全建设解决方案范文供你参考和学习，希望我们的参考范文能激发你的文章创作灵感，欢迎阅读。
网络安全建设解决方案范文1
【关键词】信息系统；安全建设；防护体系
1.企业信息系统安全防护的价值
随着企业信息化水平的提高，企业对于IT系统的依赖性也越来越高。一方面，“业务系统流程化”正在成为IT安全建设的驱动力。企业的新业务应用正在逐渐标准化和流程化，各种应用系统如ERP、MES为企业的生产效率的提高起到了关键的作用。有效的管控IT环境，确保IT业务系统的持续稳定运行作为企业竞争力的一部分，已成为IT系统安全防护的主要目标和关键驱动力。另一方面，企业IT安全的建设也是“法规遵从”的需要。IT系统作为企业财务应用系统的重要支撑，必须提供可靠的运行保障和数据正确性保证。
2.企业信息系统安全建设的现状分析
在企业信息化建设的过程中，业务系统的建设一直是关注的重点，但是IT业务系统的安全保障方面，往往成为整个信息化最薄弱的环节，尤其是在信息化水平还较低的情况下，IT系统的安全建设缺乏统一的策略作为指导。归结起来，企业在IT系统安全建设的过程中，存在以下几方面的不足：
2.1 安全危机意识不足，制度和规范不健全
尽管知道IT安全事故后果比较严重，但是企业的高层领导心中仍然存在着侥幸心理，更多的时候把IT安全建设的预算挪用到其他的领域。企业在信息安全制度及信息安全紧急事件响应流程等方面缺乏完整的制度和规范保证，由此带来的后果是诸如对网络的任意使用，导致公司的机密文档被扩散。同时在发生网络安全问题的时候，也因为缺乏预先设置的各种应急防护措施，导致安全风险得不到有效控制。
2.2 应用系统和安全建设相分离，忽视数据安全存储建设
在企业IT应用系统的建设时期，由于所属的建设职能部门的不同，或者是因为投资预算的限制，导致在应用系统建设阶段并没有充分考虑到安全防护的需要，为后续的应用系统受到攻击瘫痪埋下了隐患。数据安全的威胁表现在核心数据的丢失；各种自然灾难、IT系统故障，也对数据安全带来了巨大冲击。遗憾的是很多企业在数据的安全存储方面，并没有意识到同城异地灾难备份或远程灾难备份的重要性。
2.3 缺乏整体的安全防护体系，“简单叠加、七国八制”
对于信息安全系统的建设，“头痛医头、脚痛医脚”的现象比较普遍。大多数企业仍然停留在出现一个安全事故后再去解决一个安全隐患的阶段，缺乏对信息安全的全盘考虑和统一规划，这样的后果就是网络上的设备五花八门，设备方案之间各自为战，缺乏相互关联，从而导致了多种问题。
3.企业信息系统安全建设规划的原则
企业的信息化安全建设的目标是要保证业务系统的正常运转从而为企业带来价值，在设计高水平的安全防护体系时应该遵循以下几个原则：
（1）统一规划设计。信息安全建设，需要遵循“统一规划、统一标准、统一设计、统一建设”的原则；应用系统的建设要和信息安全的防护要求统一考虑。
（2）架构先进，突出防护重点。要采用先进的架构，选择成熟的主流产品和符合技术发展趋势的产品；明确信息安全建设的重点，重点保护基础网络安全及关键应用系统的安全，对不同的安全威胁进行有针对性的方案建设。
（3）技术和管理并重，注重系统间的协同防护。“三分技术，七分管理”，合理划分技术和管理的界面，从组织与流程、制度与人员、场地与环境、网络与系统、数据与应用等多方面着手，在系统设计、建设和运维的多环节进行综合协同防范。
（4）统一安全管理，考虑合规性要求。建设集中的安全管理平台，统一处理各种安全事件，实现安全预警和及时响应；基于安全管理平台，输出各种合规性要求的报告，为企业的信息安全策略制定提供参考。
（5）高可靠、可扩展的建设原则。这是任何网络安全建设的必备要求，是业务连续性的需要，是满足企业发展扩容的需要。
4.企业信息系统安全建设的部署建议
以ISO27001等企业信息安全法规[1]遵从的原则为基础，通过分析企业信息安全面临的风险和前期的部署实践，建立企业信息安全建设模型，如图1所示。
图1 企业信息系统安全建设模型
基于上述企业信息安全建设模型，在建设终端安全、网络安全、应用安全、数据安全、统一安全管理和满足法规遵从的全面安全防护体系时，需要重点关注以下几个方面的部署建议：
4.1 实施终端安全，关注完整的用户行为关联分析
在企业关注的安全事件中，信息泄漏是属于危害比较严重的行为。现阶段由于企业对网络的管控不严，员工可以通过很多方式实现信息外泄，常见的方式有通过桌面终端的存储介质进行拷贝或是通过QQ/MSN等聊天工具将文件进行上传等。针对这些高危的行为，企业在建设信息安全防护体系的时候，单纯的进行桌面安全控制或者internet上网行为控制都不能完全杜绝这种行为。而在统一规划实施的安全防护体系中，系统从用户接入的那一时刻开始，就对用户的桌面行为进行监控，同时配合internet上网行为审计设备，对该员工的上网行为进行监控和审计，真正做到从员工接入网络开始的各种操作行为及上网行为都在严密的监控之中，提升企业的防护水平。
4.2 建设综合的VPN接入平台
无论是IPSec、L2TP，还是SSL VPN，都是企业在VPN建设过程中必然会遇到的需求。当前阶段，总部与分支节点的接入方式有广域网专线接入和通过internet接入两种。使用VPN进行加密数据传输是通用的选择。对于部分移动用户接入，也可以考虑部署SSL VPN的接入方式[2]，在这种情况下，如何做好将多种VPN类型客户的认证方式统一是需要重点考虑的问题。而统一接入认证的方式，如采用USBKEY等，甚至在设备采购时就可以预先要求设备商使用一台设备同时支持这些需求。这将给管理员的日常维护带来极大的方便，从而提升企业整体的VPN接入水平。
4.3 优化安全域的隔离和控制，实现L2～L7层的安全防护
在建设安全边界防护控制过程中，面对企业的多个业务部门和分支机构，合理的安全域划分将是关键。按照安全域的划分原则，企业网络包括内部园区网络、Internet边界、DMZ、数据中心、广域网分支、网管中心等组成部分，各安全域之间的相互隔离和访问策略是防止安全风险的重要环节。在多样化安全域划分的基础上，深入分析各安全域内的业务单元，根据企业持续性运行的高低优先级以及面临风险的严重程度，设定合适的域内安全防护策略及安全域之间的访问控制策略，实现有针对性的安全防护。例如，选择FW+IPS等设备进行深层次的安全防护，或者提供防垃圾邮件、Web访问控制等解决方案进行应对，真正实现L2～L7层的安全防护。
4.4 强调网络和安全方案之间的耦合联动，实现网络安全由被动防御到主动防御的转变
统一规划的技术方案，可以做到方案之间的有效关联，实现设备之间的安全联动。在实际部署过程中，在接入用户侧部署端点准入解决方案，实现客户端点安全接入网络。同时启动安全联动的特性，一旦安全设备检测到内部网用户正在对网络的服务器进行攻击，可以实现对攻击者接入位置的有效定位，并采取类似关闭接入交换机端口的动作响应，真正实现从被动防御向主动防御的转变。
4.5 实现统一的安全管理，体现对整个网安全事件的“可视、可控和可管”
统一建设的安全防护系统，还有一个最为重要的优势，就是能实现对全网安全设备及安全事件的统一管理。面对各种安全设备发出来的大量的安全日志，单纯靠管理员的人工操作是无能为力的，而不同厂商之间的安全日志可能还存在较大的差异，难以实现对全网安全事件的统一分析和报警管理。因此在规划之初，就需要考虑到各种安全设备之间的日志格式的统一化，需要考虑设定相关安全策略以实现对日志的归并分析并最终输出各种合规性的报表，只有这样才能做到对全网安全事件的统一可视、安全设备的统一批量配置下发，以及整网安全设备的防控策略的统一管理，最终实现安全运行中心管控平台的建设。[3]
4.6 关注数据存储安全，强调本地数据保护和远程灾难备份相结合
在整体数据安全防护策略中，可以采用本地数据保护和远程灾备相结合的方式。基于CDP的数据连续保护技术可以很好地解决数据本地安全防护的问题，与磁带库相比，它具有很多的技术优势。在数据库的配合下，通过连续数据快照功能实现了对重要数据的连续数据保护，用户可以选择在出现灾难后恢复到前面保存过的任何时间点的状态，同时支持对“渐变式灾难”的保护和恢复。在建设异地的灾备中心时，可以考虑从数据级灾备和应用级灾备两个层面进行。生产中心和异地灾备中心的网络连接方式可以灵活选择，即可采用光纤直连，也可采用足够带宽的IP网络连接。在数据同步方式选择上，生产中心和灾备中心采用基于磁盘阵列的异步复制技术，实现数据的异地灾备。异地灾备中心还可以有选择地部署部分关键应用服务器，以提供对关键业务的应用级接管能力，从而实现对数据安全的有效防护。
5.结束语
企业信息安全防护体系的建设是一个长期的持续的工作，不是一蹴而就的，就像现阶段的信息安全威胁也在不断的发展和更新，针对这些信息安全威胁的防护手段也需要逐步的更新并应用到企业的信息安全建设之中，这种动态的过程将使得企业的信息安全防护更有生命力和主动性，真正为企业的业务永续运行提供保障。
参考文献
[1]李纳.计算机系统安全与计算机网络安全浅析[J].科技与企业，2013.
[2]李群，周相广，陈刚.中国石油上游信息系统灾难备份技术与实践[J].信息技术与信息化，2010，06.
网络安全建设解决方案范文2
随着教育网基础建设的逐步完成，其构成的信息化高速公路在学校教学、科研、管理和对外交流等多方面扮演着越来越重要的角色。
杨浦区早在1996年就成立了区教育信息中心，并将其建成了连接各校园网的门户站点，校际共享的教育教学的资料库，教育行政部门管理的网络中心。
全区中小学信息中心网络实现24小时开通，建立了全区中小学电子邮件系统，通知、提示、文件全部网上运行，加快了信息的传递速度，提高了工作效率。分批推进校园网建设，实施“校校通”工程，做到“线路通、资源通、应用通”。
但是，数字化技术的大量应用，也使恶意和非恶意性的侵害和攻击行为发生的可能性大大提高，如何保障信息系统安全、优良的运行，实行高效、及时的管理?同时维护也成为重点考虑的问题。
杨浦区教育信息系统是教育行业内发展快、基础架构完善的网络，承载着整个区的网络教育以及教职员的研究项目的任务。由于网络系统比较出名，容易招致黑客的恶意攻击。
每当攻击导致网络出现故障时，学生将无法完成自己的课堂作业，教职人员无法进行自己的研究项目，行政管理人员则无法完成日常的管理任务。攻击也会给网络小组造成极大的麻烦，此外，学校还必须投入数十万元的资金用于恢复网络。
如何寻求新的解决方案给网络安全再上一道门。那么，什么样的门才能实现这个功能呢?防火墙的目标是用于网络访问控制，对于黑客使用缓冲区溢出等应用或攻击OS弱点无能为力。
另外，对于通过邮件传播的蠕虫病毒，防火墙也无法阻挡。而且，黑客的攻击都是利用防火墙允许通过的协议发起的针对主机漏洞的攻击。IDS只能是被动的报警，有时候还有相当大的漏报和误报现象发生。
最终，IPS(入侵防护系统)吸引了信息中心同事们的注意。他们发现，IPS不仅具有IDS的预警功能，而且，还可以在报警的同时，截获恶意的数据包，实现主动防御。
通过对防火墙、IDS以及IPS等安全工具的优劣势进行比较分析，杨浦区教育信息中心的技术人员都觉得IPS是最佳的选择，于是，他们决定引进IPS系统。
通过多家公司的产品测试，最后决定购买McAfee的设备。McAfee具有全面的安全产品，如防病毒、病毒网关、入侵防护以及安全风险管理。目前主要是解决网络安全事情，特别是蠕虫和非法攻击。经过严格的测试和对比，最后决定选择McAfee Intrushield 2600。
McAfee Intmshield 2600可同时以In-Line的方式防护四条链路，做到对网络入侵攻击的实时阻断。提供一对千兆端口和三对百兆快速以太网端口，吞吐量高达600Mb／s，不仅满足了杨浦区教育信息中心的现有网络需求，并且为信息中心网络今后的扩展提供了很大空间。
同时，可以根据杨浦区教育城局域的需求，在McAfee Intrushield2600上针对VLAN和CIDR设定虚拟IPS，以做到更进一步的细致防护，确保整个杨浦区教育城域网网络的安全。
在安全系统中，将McAfee Intrushield 2600的一对检测防护端口以In-Line的方式串接在核心交换机和链路负载均衡设备Radware LinkProof之间，以做到实时的阻断整个杨浦区教育城域网内网对外网及外网对内网的入侵攻击。
一对检测防护端口同样以In-Line的方式串接在核心交换机和电信MPLSVPN接入之间，以做到实时的阻断内部网络中各学校对信息中心应用服务器群的入侵攻击，有效的保护信息中心的安全。
MsAfee IntruShield能够通过先进的签名检测、异常检测以及DoS攻击检测来预防各种各样的攻击，其先进的功能也使杨浦区教育信息中心的工作人员受益匪浅。自从部署了McAfee IntruShield以后，杨浦区教育城域网被攻击的次数显著降低了。
加油IC卡：防毒也“加油”
文 斌
如今80％的病毒通过电子邮件进行传播，那么加油IC卡系统是如何对整个防病毒系统进行集中管理，如何在网关处就将带病毒的电子邮件扫除门外?
中国石化加油IC卡系统是中国石化集团公司与银行合作开展的跨系统、跨地区的特大型IC卡应用项目。
IC卡系统通过以现代支付工具IC卡取代传统的现金、油票等结算，实现加油款的电子支付和交易数据的自动采集，在各级石油公司和加油站建设零售业务管理信息系统，以高科技的经营管理和服务提高工作效率、降低经营成本，使企业在市场竞争中处于有利的地位。
项目的建设不仅为开展油品电子商务业务奠定基础，也有利于逐步以加油卡这一现代金融工具替代传统的现金、油票结算，同时采用银企合作方式建设通用加油卡系统，也为国有商业银行开辟了新的业务领域和新的服务市场。由于中国石化加油IC卡系统需要完成各种交易信息的传送和处理，因此，确保系统的安全可靠至关重要。
全方位保护系统
为了全面实现“中国石化加油Ic卡防病毒管理系统”的目标，最大限度地防范病毒危害，在建立“中国石化加油IC卡防病毒管理系统”时，针对网络构造和应用环境的实际情况，采用McAfee Active Virus Defense(AVD)和McAfee安全网关解决方案。
建立全方位的、统一完整的加油IC卡防病毒系统，从桌面客户端、服务器、群件以及网关上进行全方位、多层次的整体防护，并通过McAfee AVD的核心产品ePolicy Orchestrator(ePO)对整个防病毒系统进行集中管理，分级控制，确保保护整个企业网络远离各种病毒攻击。
针对桌面客户端的防病毒产品VirusScan，VirusScan支持多种操作系统，从而能够对最广大的用户群提供支持，同时集成了一些功能强大的辅助技术，可以自动地保护系统免于崩溃和数据的意外丢失。
针对服务器的防病毒产品NetShield，NetShield支持Novell、Win NT、Win2000S和NetApp等多种操作系统，能够从一个直观的控制台保护整个企业的文件、应用程序和群件服务器，方便地从本地服务器或工作站监测、配置和执行远程服务。
分别专门针对Lotus Domino和Microsoft Exchange群件环境的防病毒产品GroupShield for Domino和GroupShield for Exchange。
传统的反病毒产品并不能对专有数据库内部以及群件环境中使用的通信进行扫 描，但群件服务器级的病毒防护功能对于企业防止病毒的扩散是十分重要的。应用了McAfee高级扫描技术的GroupShield能够有效防止病毒在信息传递过程中发作，在病毒扩散到网络其他部分时有效地将其查杀。
VirusScan防范多威胁
VirusScan Enterprise 8．Oi使得用户和管理员能够从容应对最常见的潜在恶意软件程序，包括蠕虫、间谍软件以及广告软件。
VirusScan Enterprise 8．Oi扩展了对新类型恶意代码的检测功能，这就意味着它能够为企业的敏感信息和资产提供更有效、更强大的保护。该产品在初始配置情况下能够预防约200多种最具危险性的潜在恶意程序，用户还可以按照计划在潜在恶意程序安全列表中添加新发现的恶意程序。
网关拦截病毒
电子邮件已经成为计算机病毒传播的主要媒介，据统计，80％的病毒通过电子邮件进行传播。
如果能够在网关处就开始对电子邮件进行扫描，在病毒进入网络之前就将其截住，从而将对关键业务系统可能造成的危害减到最低。
McAfee安全网关全面集成了软硬件技术的防病毒硬件设备。利用McAfee安全网关，企业用户能够对出入网络的电子邮件、HTTP数据与FTP数据进行扫描以搜寻病毒信号。一旦侦探到病毒信号，能够将其清除、阻止或隔离该信息或数据。
中国石化加油IC卡系统是中国石化集团公司的重要系统，整个系统的稳定性直接影响着业务的发展。自从利用McAfee构建起全面防病毒系统后，整个系统运行稳定，实现了全方位的病毒防护，确保了整个系统免遭病毒的攻击和危害，保障了业务的顺利发展。
SOC建设剑指金融安全
刘 岩
安全管理已经被业界所认可，那么如何将这些管理上的制度和规范落实，将这些安全管理目标真正用技术手段加以控制?
正如ISO 17799国际标准所强调的，“信息安全是管理的过程，而不能仅仅考虑技术因素。”随着信息技术的发展，金融领域的科技工作重点已经由网络建设、数据大集中、安全基础设施建设，发展到安全管理的阶段。
那么如何才能更加体系化、流程化、平台化的进行信息安全管理系统的建设呢?
从BS7799谈起
由英国标准协会(BSI)在1999年首次提出的BS7799安全管理标准，2000年正式成为ISO／IEC 17799，并于2005年发展为最新版本ISO／IEC 27001。
该标准通过11个大类的安全目标和安全控制，构建了信息安全管理系统的框架，为各机构进行信息安全管理工作提供基础的依据。
七分管理，三分技术，管理和技术在金融领域的安全工作中是密不可分的，管理需要以强大的技术手段作为依托，技术的实施需要以管理目标作为依据。
近年来，国内的各大银行均在加强安全策略和规范的建设，如人民银行早在2003年牵头编制了《银行和相关金融服务信息安全管理规范》，而交通银行也正在制定信息安全总体规划，并制定相应的规范。
国外的同行业机构已经将7799的认证工作确实的落实到具体的安全技术体系之上，例如英国的SmileBank，其网上银行最早获得了英国BSI的7799 ISMS认证，并以此认证工作为契机为网银的客户提供强有力的安全保障。
如何将安全管理上的目标真正用技术手段做到控制呢?SOC(Seevturity Op-eration Center)就是在这样的大环境之下顺理成章出现并不断发展，它是从单一的技术手段向管理过渡的重要里程碑。
四个中心，五个模块
启明星辰提出的SOC解决方案，其体系架构如图1所示，由“四个中心、五个功能模块”组成：
“四个中心”是漏洞评估中心、事件流量监控中心、综合分析决策支持与预警中心和响应管理中心；
“五个功能模块”是策略管理、资产管理、用户管理、安全知识管理和自身系统维护管理。常用的关键系统功能：
脆弱性管理
通过脆弱性管理可以掌握全网各个系统中存在的安全漏洞情况，结合当前安全的安全动态和预警信息，有助于各级安全管理机构及时调整安全策略，开展有针对性的安全工作，并且可以借助弱点评估中心的技术手段和安全考核机制可以有效督促各级安全管理机构将安全工作落实。
综合分析与预警
综合分析与预警是安全运营中心的核心模块，依据资产管理和脆弱性管理中心进行综合的事件协同关联分析，并基于资产(CIA属性+价值)进行风险评估分析，按照风险优先级针对各个业务区域和具体事件产生预警，参照网络安全运行知识管理平台的信息，并依据安全策略管理平台的策略驱动响应管理中心进行响应处理。
响应管理
响应管理是根据当前的网络安全状态，及时调动有关资源做出响应，降低风险对网络的负面影响。
网络安全响应模块负责根据预定义好的安全策略规则，及时工作指令，调动有关资源做出响应。实现人机接口，通过人工派单方式发送到相应的工单处理部门。工单的通知方式包括图形显示、SNMP Trap、邮件和短信。
安全策略管理
网络安全的整体性要求需要有统一安全策略和基于工作流程的管理。通过为全网安全管理人员提供统一的安全策略，指导各级安全管理机构因地制宜的做好安全策略的部署工作，有利于在全网形成安全防范的合力，提高全网的整体安全防御能力。
同时通过策略和配置管理平台的建设可以进一步完善整个IP网络的安全策略体系建设，为指导各项安全工作的开展提供行动指南，有效解决目前因缺乏口令、认证、访问控制等方面策略而带来到安全风险问题。
安全知识管理
安全信息管理是安全信息的WEB系统，不仅可以充分共享各种安全信息资源，而且也会成为各级网络安全运行管理机构和技术人员之间进行安全知识和经验交流的平台，有助于提高人员的安全技术水平和能力。
实现在安全管理中心WEB门户提供统一界面以安全WEB的形式最新的安全信息，并将处理的安全事件方法和方案收集起来，形成一个安全共享知识库，该信息库的数据以数据库的形式存储及管理，为培养高素质的网络技术人员提供培训资源。
SOC架起安全桥梁
SOC是安全管理工作的重要工具之一。机构资产的梳理、防火墙的配置、入侵检测系统的事件分析、甚至整个信息系统的脆弱性和威胁分析，这些都不能做到整体的安全管理。因为管理者不可能过多的关注某些细节，安全管理需要对整体的安全现状和态势进行宏观地把握，并果断 有效的传达旨意，采取措施。所以SOC的首要价值是通过技术的实现手段加强对安全管理的关注。应该关注的问题有：
衔接宏观与微观
金融机构的安全建设提出了更多管理层面的问题，需要对多种资源的整合管理更加重视。目前企业的安全运行管理普遍现象是，不同类安全产品分别有其自身的管理控制台，网络与主机设备由网管系统管理。特别对于金融行业而言，需要有效地整合各系统，对事件的数据格式、分级进行标准化，从全局上对整个网络安全事件进行分析。
解决人员依赖性
企业需要解决人力严重不足的问题，降低对人员技术水平、经验以及责任心的依赖，把人员所造成的安全风险降到最低。考虑到事件优先级判断与参与人员的技术水平和经验相关，很难有客观的分析和判断，需要建立一套完整的事件采集、统计、判断和处理机制。
关注业务风险
对于技术型的人员来说，往往采用技术型语言来描述问题。这种情况下，容易与领导和非技术部门人员产生沟通和交流的问题。因此需要将技术型问题上升到管理型的问题，风险数字化，损失数据化。
合规性
BS 7799作为系统的安全管理标准，在国际金融界广为使用。所谓7分管理、3分技术。管理和技术一直很难整合起来，管理不仅是制度，还需要有一种系统来实现管理的目的。SOC将安全管理需求与安全技术解决方案的整合，将管理和日常技术工作融合在一起。
有效显示
第一时间发现病毒或者入侵事件源头和发展趋势，通过图形化显示，直观了解全网的情况。
SOC能够把问题显示出来，能够量化。每天发现了多少次，解决了多少次，从而了解到网络安全的真实现状。
通过监控大屏幕的显示可以将整个网络管理的现状和态势展示出来，机构领导者可以直观的在监控中心了解宏观安全，并指挥各地的安全工作的落实。
例如，交通管理指挥中心人员不需要亲自前往各个拥堵的路段，他们只需要通过各种手段采集交通信息作汇总和，统一的指挥调度。安全管理工作也同样需要这样的机制进行全局的管控。
有效提炼，实施预警
SOC系统可以从海量的安全事件报警中得出有价值的信息，及时采取报警措施。
有效投资
安全风险是无限的，而安全投资是有限的。应该利用有限的安全投资解决无限的安全风险(安全投资ROI=减少的安全损失／安全投入)。
与安全域划分相结合
安全域的划分和赋值是金融行业网络安全建设的重要环节。启明星辰的泰合SOC解决方案的另一大特点，也是安全建设非常有价值的功能之一，是可以部署基于安全域的SOC平台，从而实现多层次可定制的安全域管理，基于域的细粒度风险计算和监控能力，并且以安全域的思想进行风险管理。
安全域作为安全建设的核心，需要长期的管理，SOC是安全域管理监控的有效工具。使用资源管理中的安全域管理的核心功能，可以使安全建设从单纯的信息安全工作向业务保障转换，同时将宏观的信息安全建设向下落实。
中国的信息安全起步和发展都处于世界前列，特别是在金融领域，2000年以来信息安全的技术和管理层面都已经作了大量的工作。但是行业科技人员和管理者还需要继续脚踏实地的落实信息安全管理工作，从而切实地为我们的金融客户提供高可靠、高质量的服务，使金融机构稳步健康地发展。
双认证护航远程安全
满 欣
由于RSA SecurlD认证器上每隔60秒转换一次6位数的无穷尽无重复口令多么高明的黑客都无法在如此短的时间内猜测出如此复杂的口令。
中国大地财产保险股份有限公司(简称大地财险)由包括中国再保险(集团)公司在内的10家境内外投资人共同发起设立，总部设在上海，目前全国有15家分公司。
为了建设一个高起点和高标准的信息化系统，大地财险与IBM公司合作，引进国际先进的保险理念和信息技术，初步建立起公司的信息技术基础平台。
基于VPN的种种优势以及最大化保险人的工作效率，大地财险的许多业务资源访问已经开始通过VPN实现，具备合法身份的工作人员可以利用VPN访问公司的核心资源。
VPN是把双刃剑?
大地财险的运营越来越依赖企业的核心力系统和数据，在通过VPN提高工作效率的同时，也看到了潜在的安全风险。
毕竟，VPN所应用的通信隧道，需要通过公共网络并且必须向各种各样的用户打开自己的“网络之门”。如果是正确的人存取了正确的信息，就等于你找到了一种功能无与伦比的商务工具。但是，当VPN的远程存取权落入错误的掌握之下时，就无疑是一场大灾难。
如何为企业的VPN访问建立一个更加安全的环境，成为大地财险完善VPN服务的一个关键因素。
VPN网络安全认证主要有以下几种形式：密码属于一种最弱的安全形式，密码公认的优点在于易于部署应用并且费用非常低廉。但是，密码非常容易被猜中、被窃取或者受到其他的破坏。
双因素认证必须提供两种形式的认证内容。这就象是一部银行的自动取款机(ATM)，用户既需要知道身份(卡)号码，还需要拥有认证设备(令牌或者智能卡)。
随着互联网交易数量的增长，将数字证书作为一种认证形式变得更加广泛。数字证书可以帮助识别用户，因为它要求使用具有唯一性的数字信用证明。
使用智能卡的安全等级最强。这不仅在于使用智能卡得到了双因素认证保护，而且还因为双密钥可以在智能卡上生成并储存。
生物认证利用的是某个用户所拥有的唯一生物特征。利用这种技术需要掌握某些生物数据，例如：指纹、视网膜扫描以及声波纹等等。
最终，大地财险决定采用双因素认证来保障其VPN网络的安全登录。
虚拟专用网络(VPN)正迅速成为远程存取应用中最普及的一种方法。通过建立在复杂交织的公共网络中的一个专用通信隧道，VPN可以使用户充分利用互联网的强大功能，不仅大大节省了用户远程存取应用的费用，而且还进一步提高了工作效率。
但是，作为个人专用并不一定意味着一个虚拟的个人网络具备应有的安全性，这是由于VPN经常采用的保护手段仅限于一种门槛偏低的密码屏障。
大地财险通过对业界知名安全厂商所提供解决方案的对比，最终采用了RSA SecurID和Web Express认证解决方案。
同步令牌双认证
目前，大地财险仅仅为其符合资格的保险人配备了RSA SecurID令牌。RSA SecurID时间同步令牌提供功能强大的双因素认证，这种技术要求用户提供他们知道的口令和他们拥有的硬件令牌。
这些令牌被设计成一种易于操作使用并且便于携带的小件产品，用来替代口令这种可以被轻松猜中或破解的安全性能偏弱的认证形式。
双因素用户认证系统能够代替基本的密码安全机制，有效抵御非法入侵，使宝贵的网络资源获得完善的保护，免受意外造成的破坏及恶意入侵。
RSA SecurID双因素用户认证产品的操作，如同使用取款卡一样简单方便。用户只需在进入受保护的网络前，先行输入个人识别密码，以及在RSA SecurlD认证器上每隔60秒转换一次口令，就能通过认证。
网络安全建设解决方案范文3
关键词：等级保护分级管理；中小型网络；安全建设
中图分类号：TP309文献标识码：A文章编号：1007-9599 (2011) 24-0000-01
SMs Network Security Building Analysis in Level Protection Hierarchical Management
Xu Aihua,Lv Yun
(Nanjing Institute of Science& Technology Information,Nanjing 210018)
Abstract:This article based on "communications network security management approach"in the basic situation of small and medium sized networks and applications based on the analysis of the characteristics on small and medium sized network construction and management of network security solutions.
Keywords:Level protection classification management;Small network;
Security building
一、工信部关于等级保护分级管理的要求
如何利用等级保护中分级管理制度，确定不同的系统不同的安全策略，消除内部网向公网传送的信息可能被他人窃听或篡改等等安全隐患，对中小网络而言至关重要。为此，自2010年3月1日起，工业和信息化部了《通信网络安全防护管理办法》(以下简称《办法》)开始施行。《办法》要求通信网络运行单位应按照各通信网络单元遭到破坏后可能造成的危害程度，将本单位已正式投入运行的通信网络单元由低到高分别划分为一级、二级、三级、四级、五级。《办法》要求，通信网络运行单位应当在通信网络定级评审通过后三十日内，将通信网络单元的划分和定级情况按照有关规定向电信管理机构备案。电信管理机构对通信网络运行单位开展通信网络安全防护工作的情况进行检查。
二、中小型网络基本情况与应用特点
中小型计算机网络主要应用于办公自动化系统、信息查询系统、邮件服务、财务、人事、计划系统等实际工作和WWW应用中。根据中小型计算机网络的应用特点，需要保证网络中的数据具有可用性、可靠性、保密性、完整性、安全性等。又由于计算机网络跨越公共网络及与Internet网互联，这就给计算机网络带来严峻的安全问题，如敏感信息的泄露、黑客的侵扰、网络资源的非法使用以及计算机病毒等。这些安全问题如果得不到解决，那将会给计算机网络带来严重的安全隐患。所谓可用性是指网络信息可被授权用户访问的特性，即网络信息服务在需要时，能够保证授权用户使用。可靠性是指网络系统硬件和软件无故障运行的性能，是网络系统安全最基本的要求；保密性是指网络信息不被泄露的特性，保密性是保证信息即使泄露，非授权用户在有限的时间内也不能识别真正的信息内容；完整性即网络信息在存储和传输过程中不被删除、修改、伪造、乱序、重放和插入等操作，是指网络信息未经授权不能进行改变的特性，也称作不可否认性。从技术角度看，网络安全的内容大体包括四个方面，即：网络实体安全、软件安全网络数据安全和网络安全管理。由此可见，计算机网络安全不仅要保护计算机网络设备安全，还要保护数据安全。因此实施网络安全保护方案，目的是以保证算机网络自身的安全。
三、中小型网络安全解决方案
随着网络威胁越来越普遍、破坏性越来越严重，网络入侵者攻击来源广泛，形式多样。通常采用信息收集、探测分析系统的安全弱点和实施攻击有步骤地进行入侵。如在目标系统安装木马程序用来窥探目标，网络所熟悉的病毒，如红色代码、冲击波，口令蠕虫等对网络造成了巨大损失。本文按照安全风险、需求分析结果、安全目标及安全设计原则，为中小型计算机网络解决网络安全问题，力求构建一个适合于中小型计算机网络的安全体系。
（一）外网安全设计
1.防火墙系统：采用防火墙系统实现对内部网和广域网进行隔离保护。对内部网络中服务器子网通过单独的防火墙设备进行保护。
2.入侵检测系统：采用入侵检测设备，作为防火墙的功能互补，提供对监控网段的攻击的实时报警和积极响应。
3.病毒防护系统：强化病毒防护系统的应用策略和管理策略，增强病毒防护有效性。
4.垃圾邮件过滤系统：过滤邮件，阻止垃圾邮件及病毒邮件的入侵。
（二）内网安全设计
采用访问控制策略，通过密码、口令（不定期修改、定期保存密码与口令）等禁止非授权用户对服务器的访问，以及对办公自动化平台、的访问和管理、用户身份真实性的验证、内部用户访问权限设置、ARP病毒的防御、数据完整、审计记录、防病毒入侵。对内部采用：网络管理软件系统：使网管人员对网络中的实时数据流量情况能够清晰了解。掌握整个网络使用流量的平均标准，定位网络流量的基线，及时发现网络是否出现异常流量并控制带宽。
具体可采用Juniper的整合式安全设备+三层交换机的配置方案。Juniper的整合式安全设备专为互联网网络安全而设，将硬件状态防火墙、虚拟专用网（IP sec VPN）、入侵防护（IPS）和流量管理等多种安全功能集于一体，可以通过内置的Web UI、命令行界面或中央管理方案进行统一管理。
三层交换机具用于日志审计及监控。根据不同用户安全级别或者根据不同部门的安全访问需求，网络利用三层交换机来划分虚拟子网（VLAN）。因为三层交换机具有路由功能，在没有配置路由的情况下，不同虚拟子网间是不能够互相访问，同时通过在不同VLAN间做限制来实现不同资源的访问控制。通过虚拟子网的划分，既方便局域网络的互联，又能够实现访问控制。
四、结束语
总之，我们必须不断强化信息安全观念，加强网络与信息系统安全保障工作的检查和监督，充分利用《通信网络安全防护管理办法》关于安全等级划分的要求制定具体的信息安全防护策略，全面落实各项制度、预案，加强技术积累，定期进行网络漏洞扫描等安全有效措施，切实加强网络与信息系统安全保障工作，确保中小型网络信息系统的安全稳定运行。
参考文献：
网络安全建设解决方案范文4
关键词：网络安全；异常检测；方案
网络安全事件异常检测问题方案，基于网络安全事件流中频繁情节发展的研究之上。定义网络安全异常事件检测模式，提出网络频繁密度概念，针对网络安全异常事件模式的间隔限制，利用事件流中滑动窗口设计算法，对网络安全事件流中异常检测进行探讨。但是，由于在网络协议设计上对安全问题的忽视以及在管理和使用上的不健全，使网络安全受到严重威胁。本文通过针对网络安全事件流中异常检测流的特点的探讨分析，对此加以系统化的论述并找出合理经济的解决方案。
1、建立信息安全体系统一管理网络安全
在综合考虑各种网络安全技术的基础上，网络安全事件流中异常检测在未来网络安全建设中应该采用统一管理系统进行安全防护。直接采用网络连接记录中的基本属性，将基于时间的统计特征属性考虑在内，这样可以提高系统的检测精度。
1.1网络安全帐号口令管理安全系统建设
终端安全管理系统扩容，扩大其管理的范围同时考虑网络系统扩容。完善网络审计系统、安全管理系统、网络设备、安全设备、主机和应用系统的部署，采用高新技术流程来实现。采用信息化技术管理需要帐号口令，有效地实现一人一帐号和帐号管理流程安全化。此阶段需要部署一套帐号口令统一管理系统，对所有帐号口令进行统一管理，做到职能化、合理化、科学化。
信息安全建设成功结束后，全网安全基本达到规定的标准，各种安全产品充分发挥作用，安全管理也到位和正规化。此时进行安全管理建设，主要完善系统体系架构图编辑，加强系统平台建设和专业安全服务。体系框架中最要的部分是平台管理、账号管理、认证管理、授权管理、审计管理，本阶段可以考虑成立安全管理部门，聘请专门的安全服务顾问，建立信息安全管理体系，建立PDCA机制，按照专业化的要求进行安全管理通过系统的认证。
边界安全和网络安全建设主要考虑安全域划分和加强安全边界防护措施，重点考虑Internet外网出口安全问题和各节点对内部流量的集中管控。因此，加强各个局端出口安全防护，并且在各个节点位置部署入侵检测系统，加强对内部流量的检测。主要采用的技术手段有网络边界隔离、网络边界入侵防护、网络边界防病毒、内容安全管理等。
1.2综合考虑和解决各种边界安全技术问题
随着网络病毒攻击越来越朝着混合性发展的趋势，在网络安全建设中采用统一管理系统进行边界防护，考虑到性价比和防护效果的最大化要求，统一网络管理系统是最适合的选择。在各分支节点交换和部署统一网络管理系统，考虑到以后各节点将实现INITERNET出口的统一，要充分考虑分支节点的internet出口的深度安全防御。采用了UTM统一网络管理系统，可以实现对内部流量访问业务系统的流量进行集中的管控，包括进行访问控制、内容过滤等。
网络入侵检测问题通过部署UTM产品可以实现静态的深度过滤和防护，保证内部用户和系统的安全。但是安全威胁是动态变化的，因此采用深度检测和防御还不能最大化安全效果，为此建议采用入侵检测系统对通过UTM的流量进行动态的检测，实时发现其中的异常流量。在各个分支的核心交换机上将进出流量进行集中监控，通过入侵检测系统管理平台将入侵检测系统产生的事件进行有效的呈现，从而提高安全维护人员的预警能力。
1.3防护IPS入侵进行internet出口位置的整合
防护IPS入侵进行internet出口位置的整合，可以考虑将新增的服务器放置到服务器区域。同时在核心服务器区域边界位置采用入侵防护系统进行集中的访问控制和综合过滤，采用IPS系统可以预防服务器因为没有及时添加补丁而导致的攻击等事件的发生。
在整合后的internet边界位置放置一台IPS设备，实现对internet流量的深度检测和过滤。安全域划分和系统安全考虑到自身业务系统的特点，为了更好地对各种服务器进行集中防护和监控，将各种业务服务器进行集中管控，并且考虑到未来发展需要，可以将未来需要新增的服务器进行集中放置，这样我们可以保证对服务器进行同样等级的保护。在接入交换机上划出一个服务器区域，前期可以将已有业务系统进行集中管理。
2、科学化进行网络安全事件流中异常检测方案的探讨
网络安全事件本身也具有不确定性，在正常和异常行为之间应当有一个平滑的过渡。在网络安全事件检测中引入模糊集理论，将其与关联规则算法结合起来，采用模糊化的关联算法来挖掘网络行为的特征，从而提高系统的灵活性和检测精度。异常检测系统中，在建立正常模式时必须尽可能多得对网络行为进行全面的描述，其中包含出现频率高的模式，也包含低频率的模式。
2.1基于网络安全事件流中频繁情节方法分析
针对网络安全事件流中异常检测问题，定义网络安全异常事件模式为频繁情节，主要基于无折叠出现的频繁度研究，提出了网络安全事件流中频繁情节发现方法，该方法中针对事件流的特点，提出了频繁度密度概念。针对网络安全异常事件模式的时间间隔限制，利用事件流中滑动窗口设计算法。针对复合攻击模式的特点，对算法进行实验证明网络时空的复杂性、漏报率符合网络安全事件流中异常检测的需求。
传统的挖掘定量属性关联规则算法，将网络属性的取值范围离散成不同的区间，然后将其转化为“布尔型”关联规则算法，这样做会产生明显的边界问题，如果正常或异常略微偏离其规定的范围，系统就会做出错误的判断。在基于网络安全事件流中频繁情节方法分析中，建立网络安全防火墙，在网络系统的内部和外网之间构建保护屏障。针对事件流的特点，利用事件流中滑动窗口设计算法，采用复合攻击模式方法，对算法进行科学化的测试。
2.2采用系统连接方式检测网络安全基本属性
在入侵检测系统中，直接采用网络连接记录中的基本属性，其检测效果不理想，如果将基于时间的统计特征属性考虑在内，可以提高系统的检测精度。网络安全事件流中异常检测引入数据化理论，将其与关联规则算法结合起来，采用设计化的关联算法来挖掘网络行为的特征，从而提高系统的灵活性和检测精度。异常检测系统中，在建立正常的数据化模式尽可能多得对网络行为进行全面的描述，其中包含出现频率高的模式，也包含低频率的模式。
在网络安全数据集的分析中，发现大多数属性值的分布较稀疏，这意味着对于一个特定的定量属性，其取值可能只包含它的定义域的一个小子集，属性值分布也趋向于不均匀。这些统计特征属性大多是定量属性，传统的挖掘定量属性关联规则的算法是将属性的取值范围离散成不同的区间，然后将其转化为布尔型关联规则算法，这样做会产生明显的边界问题，如果正常或异常略微偏离其规定的范围，系统就会做出错误的判断。网络安全事件本身也具有模糊性，在正常和异常行为之间应当有一个平滑的过渡。
另外，不同的攻击类型产生的日志记录分布情况也不同，某些攻击会产生大量的连续记录，占总记录数的比例很大，而某些攻击只产生一些孤立的记录，占总记录数的比例很小。针对网络数据流中属性值分布，不均匀性和网络事件发生的概率不同的情况，采用关联算法将其与数据逻辑结合起来用于检测系统。实验结果证明，设计算法的引入不仅可以提高异常检测的能力，还显著减少了规则库中规则的数量，提高了网络安全事件异常检测效率。
2.3建立整体的网络安全感知系统，提高异常检测的效率
作为网络安全态势感知系统的一部分，建立整体的网络安全感知系统主要基于netflow的异常检测。为了提高异常检测的效率，解决传统流量分析方法效率低下、单点的问题以及检测对分布式异常检测能力弱的问题。对网络的netflow数据流采用，基于高位端口信息的分布式异常检测算法实现大规模网络异常检测。
通过网络数据设计公式推导出高位端口计算结果，最后采集局域网中的数据，通过对比试验进行验证。大规模网络数据流的特点是数据持续到达、速度快、规模宏大。因此，如何在大规模网络环境下进行检测网络异常并为提供预警信息，是目前需要解决的重要问题。结合入侵检测技术和数据流挖掘技术，提出了一个大规模网络数据流频繁模式挖掘和检测算法，根据“加权欧几里得”距离进行模式匹配。
实验结果表明，该算法可以检测出网络流量异常。为增强网络抵御智能攻击的能力，提出了一种可控可管的网络智能体模型。该网络智能体能够主动识别潜在异常，及时隔离被攻击节点阻止危害扩散，并报告攻击特征实现信息共享。综合网络选择原理和危险理论，提出了一种新的网络智能体训练方法，使其在网络中能更有效的识别节点上的攻击行为。通过分析智能体与对抗模型，表明网络智能体模型能够更好的保障网络安全。
结语：
伴随着计算机和通信技术的迅速发展，伴随着网络用户需求的不断增加，计算机网络的应用越来越广泛，其规模也越来越庞大。同时，网络安全事件层出不穷，使得计算机网络面临着严峻的信息安全形势的挑战，传统的单一的防御设备或者检测设备已经无法满足安全需求。网络安全安全检测技术能够综合各方面的安全因素，从整体上动态反映网络安全状况，并对安全状况的发展趋势进行预测和预警，为增强网络安全性提供可靠的参照依据。因此，针对网络的安全态势感知研究已经成为目前网络安全领域的热点。
参考文献：
[1]沈敬彦.网络安全事件流中异常检测方法[J].重庆师专学报，2000，(4).
网络安全建设解决方案范文5
为了确保用户免受病毒侵扰，切实保护网络信息系统安全，在微软终止支持Windows XP的危机时刻，国内各大安全厂商已然挑起了这一重担。
在政府法律与技术的双重支持下，目前各安全品牌针对的Windows XP的守护产品横空出世：奇虎360重磅推出安全卫士Windows XP加固版，腾讯及时实施了“扎篱笆计划”，北京优炫软件强力部署Windows XP系统安全加固，北信源构建起金甲防线，瑞星推出漏洞监控服务……
对此，一些业界知名人士提出了建议。其中，金山毒霸安全专家李铁军建议，用户可根据自身情况选择采用USB设备控制、部署杀毒软件、使用软件限制等策略，尽可能避免安全风险。北京大学信息科学技术学院副教授陈江也提出了建议：第一，安装好杀毒、查杀木马等防病毒软件，加强外部保护；第二，做好备份工作，Windows XP系统下的一键GHOST很容易操作，一旦被攻击可迅速恢复；第三，适度断网，潜在危害多源于网络，断网即可解决问题。
从国内外大大小小的安全事件中，不难发现，大到发展战略，小到产品设计，安全厂商的社会责任感，已实实在在体现在企业的具体行动中，并贯穿了企业发展的始终。重视社会责任，对于安全厂商而言，如同重视技术创新一样重要。
2014年是我国信息安全建设的关键一年。2月底，国家网络安全和信息化领导小组成立。3月初，网络信息安全首次被写入政府工作报告。我国首度从国家战略层面统一领导信息安全建设，战略部署、组织架构、法律法规、关键基础设施安全、技术产业的发展、攻防能力建设等方面的顶层设计将被进一步加强，网络与信息安全领域的立法也将得到更高的重视。
网络安全建设解决方案范文6
【 关键词 】 高校；科研机构；信息安全；对策
Discussion on Scientific Research Institution of Universities in
Information Security Management and Measures
Zhang Jian-hua
(President Office, Beijing University of Aeronautics and Astronautics Beijing 100191)
【 Abstract 】 In the light of the information security management problems of scientific research institution of universities, the measures are put forward to enhance the construction of information security level strategy from management and technology two respects.
【 Keywords 】 universities; scientific research institution; information security; measures
1 引言
随着信息技术的发展和信息化应用的日趋深入，信息安全建设及其应用正在成为教育科研单位日常教育管理和科研生产不可或缺的一环。高校等科研单位对信息安全管理的认识程度越来越高，研究院等单位的信息系统规模和水平也在不断攀升，然而随着高校各系统建设程度的不断完善，以高校为代表的科研机构的信息安全管理问题也愈加突出。
2 高校科研机构存在的信息安全管理问题
近年来，高校等科研机构逐步认识到信息安全对于自身的重要性，于是不少单位成立了“信息管理部门”来推行统一的管理规范和进行信息安全知识普及，其主要目的是为了从安全技术和管理两个方面来解决高校中科研机构的信息安全问题，充分提高机构人员的信息安全管理意识和保密工作的能力。当下，虽然有一些高校的科研单位在信息安全和管理建设方面已经取得了长足的进步，但其科研单位内部仍然存在着很多问题。
(1)首先，在以往长期封闭的科研环境影响下，相关科研人员目前依然不具备良好的安全意识，对于信息安全的认识水平不高。同时高校等相关管理部门较容易忽视信息安全在其科研系统中的发展战略和计划，这些都间接导致了信息安全管理制度推行力度不够，实施安全教育的硬性条件有限。其次，由于学科建设和专业水平所限，也使得国内技术过硬的信息安全专业人才供应不足，间接影响了相关单位的人才储备水平。
(2)当下许多高校等科研单位在信息系统不断增加的情况下，对以往基础设施配备水平存在着一定的依赖性，不能够很好的适应新环境。在信息系统运作业务的安全风险和意识提升上，又缺乏有效性验证与评估办法。现实中的任何信息系统都是一连串复杂的环节，信息安全措施必须渗透到信息系统的每一个部位，其中一些问题的解决方案，需要信息系统的设计人员、测试人员和使用人员都熟知并能够成为规范来遵守。
(3)不安全因素对于信息系统而言总是存在的，没有任何一个信息管理方法能提供绝对的保障。因此，高校等科研单位在认识和进行信息系统安全管理教育的时候，应该着重加强基层人员的信息安全管理实践教育，应让相关人员充分意识到，虽然信息安全建设并非意在建设一个创收的平台，但它是一个保障科研成果和提升工作效率的平台。管理者有必要做出适合科研单位进行教育实施的信息安全教育发展战略和计划，充分加强信息安全教育在管理实践上的投入，严格有效地执行相应的安全策略、安全措施和安全管理制度，以最大限度避免使用和管理信息系统时的固有风险。
(4)近年来，我国大型科研单位相继出现过不同程度的泄密事件，这些事件的直接后果是不仅导致了科研成果的流失，还造成了较大程度的经济损失和不良的社会影响。虽然各大信息系统工程和信息化程度要求非常高的相关行业，也都出台了对信息安全技术产品的应用标准和规范，但只有建立一个严格的信息安全管理策略，才能全面的保障其安全性。
3 解决高校科研机构存在的信息安全的对策
3.1 技术层面
在技术层面上：高校科研管理系统是以计算机和数据库通信网络为基础的应用管理系统，是一个开放式的互联网络系统，与网络系统连接的任何终端用户都可以进人和访问网络中的资源。作为信息通讯数据平台，其所受到的安全威胁主要存在于信息通信传输、存储和加工的各个阶段。因此在制定技术对策方面就需要制定统一全面的安全策略，同时也注重建设统一认证和授权管理系统，通过硬件接入设备和定制化管理软件的配合部署，加强网络层面和应用层面的安全资源整合，形成覆盖全网的科研信息化安全保障能力，并充分利用自主创新的科研信息化安全技术，不断增强基础运行平台的网络安全能力，为科研信息化基础环境和应用系统提供有力的安全保障。
在保障网络基础设施和重要应用系统的安全方面，一方面需要构建身份认证管理系统、网络安全管理平台、恶意代码防护系统、安全审计平台等面向全网用户的网络安全基础设施，实现实时预警、事件分析、决策支持、资源调度等功能；另一方面需要建立起包括安全咨询、安全规划、安全检测、安全培训等环节在内的安全服务体系，引入除技术体系和管理体系以外的第三方服务支持，实现安全事件的及时发现。
3.2 管理和教育层面
在管理和教育层面上：以企业为参考标度，对高校科研机构工作人员进行信息安全意识以及管理实践知识的普及，将信息安全管理理念提到战略高度来看待。充分遵循信息安全流程制定相应管理制度，除技术保障外，将人员、网络、环境有关的技术和管理规程的有机集合充分纳入其中。充分认识到信息安全管理实践是保障信息实现有效管理与控制的重要途径。所在部门应客观评估实现信息安全管理的需求水平，落实安全的组织和管理人员，明确每个人的角色与职责；制定并开发安全规划和策略，定期开展培训和工作会议；实施风险管理制度，制定业务持续性计划和灾难环境下恢复计划；选择实施安全措施；保证配置、变更的正确与安全；进行安全审计；保证维护支持；进行监控、检查、处理安全事件。针对专业人员的培训和绩效需要有效结合目标管理和信息安全管理两方面来展开。
3.3 管理政策层面
在整个管理策略的制定上：建议采用分级策略，如果高校对于自身科研信息安全风险水平认定为较高，而自身建设能力有限，则可以考虑与相关专业咨询机构合作，引入专家机制来完成相关工作，提升建设效率。
4 结束语
在国家大力推行科教兴国与自主创新发展战略的今天，信息安全建设对于保障科技创新自有成果，确保自主知识产权的创造价值，都有着极其重要的作用。而如何确保其信息安全能够实现自主可控的目标，也是以高校为代表的科研机构行使和保障自身合法权益的重要途径。因此我们必须综合多方因素，系统考量，尽可能提供全面的、多方位的信息安全建设策略和信息安全管理与教育规范，以切实满足高校等科研单位对信息安全保障体系的需求，降低科研成果的安全风险，发挥高效的科研效率，保障科研生产的安全顺利进行。
参考文献
[1] 张广钦．信息管理教程[M]．北京：北京大学出版社，2005.
[2] 徐茂智．信息安全概论[M]．北京：人民邮电出版社，2007.
[3] 彭盛宏.浅析校园网存在的安全隐患及其对策[J].信息安全与技术，2012，(1).
