前言：中文期刊网精心挑选了网络安全评估报告范文供你参考和学习，希望我们的参考范文能激发你的文章创作灵感，欢迎阅读。
网络安全评估报告范文1
关键词：网络安全；风险评估；实施流程
中图文分类号：TP393.08文献标识码：A文章编号：1009-3044(2008)29-0366-02
Research on Network Security Risk Assessment Appraisal Flow
XING Zhi-jun
(Railway Wagon Transport Branch Co. of China Shenhua Energy, Yulin 719316, China)
Abstract： Along with the network information age development, the Internet becomes people’s work gradually and lives the essential constituent, but also let the people face the multitudinous secret network threat at the same time. In the network security problem is not allow to neglect. This paper introduced the network security risk assessment appraisal flow in detail.
Key words： network security;risk assessment;appraisal flow
1 引言
网络安全风险评估就是通过对计算机网络系统的安全状况进行安全性分析，及时发现并指出存在的安全漏洞，以保证系统的安全。网络安全风险评估在网络安全技术中具有重要的地位，其基本原理是采用多种方法对网络系统可能存在的已知安全漏洞进行检测，找出可能被黑客利用的安全隐患，并根据检测结果向系统管理员提供详细可靠的安全分析报告与漏洞修补建议，以便及早采取措施，保护系统信息资源。
风险评估过程就是在评估标准的指导下，综合利用相关评估技术、评估方法、评估工具，针对信息系统展开全方位的评估工作的完整历程。对信息系统进行风险评估，首先应确保风险分析的内容与范围应该覆盖信息系统的整个体系，应包括：系统基本情况分析、信息系统基本安全状况调查、信息系统安全组织、政策情况分析、信息系统弱点漏洞分析等。
2 风险评估的准备
风险评估的准备过程是组织进行风险评估的基础，是整个风险评估过程有效性的保证。机构对自身信息及信息系统进行风险评估是一种战略性的考虑，其结果将受到机构的业务需求及战略目标、文化、业务流程、安全要求、规模和结构的影响。不同机构对于风险评估的实施过程可能存在不同的要求，因此在风险评估的准备阶段，应该完成以下工作。
1） 确定风险评估的目标
首先应该明确风险评估的目标，为风险评估的过程提供导向。支持机构的信息、系统、应用软件和网络是机构重要的资产。资产的机密性、完整信和可用性对于维持竞争优势、获利能力、法规要求和一个机构的形象是必要的。机构要面对来自四面八方日益增长的安全威胁。一个机构的系统、应用软件和网络可能是严重威胁的目标。同时，由于机构的信息化程度不断提高，对基于信息系统和服务技术的依赖日益增加，一个机构则可能出现更多的脆弱性。机构的风险评估的目标基本上来源于机构业务持续发展的需要、满足相关方的要求、满足法律法规的要求等方面。
2） 确定风险评估的范围
机构进行风险评估可能是由于自身业务要求及战略目标的要求、相关方的要求或者其他原因。因此应根据上述具体原因确定分险评估范围。范围可能是机构全部的信息和信息系统，可能是单独的信息系统，可能是机构的关键业务流程，也可能是客户的知识产权。
3） 建立适当的组织结构
在风险评估过程中，机构应建立适当的组织结构，以支持整个过程的推进，如成立由管理层、相关业务骨干、IT技术人员等组成的风险评估小组。组织结构的建立应考虑其结构和复杂程度，以保证能够满足风险评估的目标、范围。
4） 建立系统型的风险评估方法
风险评估方法应考虑评估的范围、目的、时间、效果、机构文化、人员素质以及具体开展的程度等因素来确定，使之能够与机构的环境和安全要求相适应。
5） 获得最高管理者对风险评估策划的批准
上述所有内容应得到机构的最高管理者的批准，并对管理层和员工进行传达。由于风险评估活动涉及单位的不同领域和人员，需要多方面的协调，必要的、充分的准备是风险评估成功的关键。因此，评估前期准备工作中还应签订合同和机密协议以及选择评估模式。
3 信息资产识别
资产是企业、机构直接赋予了价值因而需要保护的东西，它可能是以多种形式存在的，无形的、有形的，硬件、软件，文档、代码，或者服务、企业形象等。在一般的评估体中，资产大多属于不同的信息系统，如OA系统、网管系统、业务生产系统等，而且对于提供多种业务的机构，业务生产系统的数量还可能会很多。
资产赋值是对资产安全价值的估价，不是以资产的帐面价格来衡量的。在对资产进行估价时，不仅要考虑资产的成本价格，更重要的是要考虑资产对于机构业务的安全重要性，即由资产损失所引发的潜在的影响来决定。为确保资产估价时的一致性和准确定，机构应按照上述原则，建立一个资产价值尺度（资产评估标准），以明确如何对资产进行赋值。资产赋值包括机密性赋值、完整性赋值和可用性赋值。
4 威胁识别
安全威胁是一种对机构及其资产构成潜在破坏的可能性因素或者时间。无论对于多么安全的信息系统，安全威胁是一个客观存在的事物，它是风险评估的重要因素之一。
5 脆弱性识别
脆弱性评估也称为弱点评估，是风险评估中的重要内容。弱点是资产本身存在的，它可以被威胁利用、引起资产或商业目标的损害。弱点包括物理环境、机构、过程、人员、管理、配置、硬件、软件和信息等各种资产的脆弱性。
6 已有安全措施的确认
机构应对已采取的控制措施进行识别并对控制措施的有效性进行确认，将有效的安全控制措施继续保持，以避免不必要的工作和费用，防止控制措施的重复实施。对于那些被认为不适当的控制应核查是否应被取消，或者用更合适的控制代替。安全控制可以分为预防性控制措施和保护性控制措施两种。预防性控制措施可以降低威胁发生的可能性和减少安全脆弱性；而保护性控制措施可以减少因威胁发生所造成的影响。
7 风险识别
根据策划的机构，由评估的人员按照相应的职责和程序进行资产评估、威胁评估、脆弱性评估，在考虑已有安全措施的情况下，利用适当的方法与工具确定威胁利用资产脆弱性发生安全事件的可能性，并结合资产的安全属性受到破坏后的影响来得出资产的安全风险。
8 风险评估结果记录
根据评估实施情况和所搜集到的信息，如资产评估数据、威胁评估数据、脆弱性评估数据等，完成评估报告撰写。评估报告是风险评估结果的记录文件，是机构实施风险管理的主要依据，是对风险评估活动进行评审和认可的基础资料，因此，报告必须做到有据可查，报告内容一般主要包括风险评估范围、风险计算方法、安全问题归纳以及描述、风险级数、安全建议等。风险评估报告还可以包括风险控制措施建议、参与风险描述等。
由于信息系统及其所在环境的不断变化，在信息系统的运行过程中，绝对安全的措施是不存在的。攻击者不断有新的方法绕过或扰乱系统中的安全措施，系统的变化会带来新的脆弱点，实施的安全措施会随着时间而过时等等，所有这些表明，信息系统的风险评估过程是一个动态循环的过程，应周期性的对信息系统安全进行重新评估。
参考文献：
[1] Solomon D A, Russinovich M E. Inside Microsoft Windows 2000[M]. Microsoft Press, 2000.
网络安全评估报告范文2
1缺乏计算机安全评估系统
众所周知，一个系统全面的计算机安全评估系统是防止黑客入侵计算机的重要保障，安全评估体系能够对整个计算机网络的安全性与防护性作出一个较为科学严谨的分析评估，而且该评估系统还会根据实际的计算机网路安全评估报告来制定相关的计算机安全使用策略。然而，在我们的计算机实际应用中，往往不注意计算机安全评估系统的构建，只注重计算机网络安全事故的预防与事后处理，平时欠缺对计算机网络安全作出及时的评估与监控，给计算机网络安全造成一定的安全隐患。
2计算机外界威胁因素
计算机网络安全事故很多是由计算机外界威胁因素造成的，这其中包括自然环境威胁、网络黑客与病毒的入侵攻击与非法访问操作。自然环境威胁一般是指计算机外在的自然条件不太完善，如各种无法预测的自然灾害、难以控制的计算机外部机器故障等因素。网络黑客与病毒的入侵攻击不但会对计算机的网络安全带来极大的破坏，还会摧毁计算机系统，对计算机自身造成极大的伤害。据估计，未来网络黑客与病毒的摧毁力度将会越来越强，而它们自身的隐蔽性与抗压性也会相应地得到提高，所以说，网络黑客与病毒的存在对计算机网络安全造成严重威胁。而非法访问操作则主要指一些未得到授权，私自越过计算机权限，或者是不法分子借助一些计算机工具去进行计算机程序的编写，从而突破该计算机的网络访问权限，入侵到他人计算机的不法操作。
二、计算机网络安全防范措施
1建立安全可靠的计算机安全防线
安全可靠的计算机安全防线是避免计算机网络不安全因素出现的最关键环节，其构建主要依靠计算机防火墙技术、数据加密技术与病毒查杀技术。防火墙控制技术主要是一种建立在各网络之间的互联设备，能够有效避免不法分子以不正当方式入侵网络内部，防止不法分子盗取计算机网络内部的信息资源，是计算机内部一道强有力的网络安全屏障。数据加密技术的主要作用就是对计算机内部的数据添加密文设置，未经授权的计算机不法分子是无法获取数据、读懂数据的，最终达到保护网络数据传输的正确性与安全性。常用的数据加密技术包括有：保证个网络节点间信息传输正确且安全的链路加密技术、确保计算机始端数据传输与终端数据接收安全的端点加密技术与保证源节点到目的节点之间传输安全可靠的节点加密技术。病毒查杀技术可谓是计算机安全网络防范最为关键的环节。病毒查杀技术一般通过杀毒软件的安装运行去运行的，在计算机安装杀毒软件以后，应当定时对杀毒软件进行实时的监测控制，定期对杀毒软件进行升级处理，按时对计算机进行杀毒扫描，以求及时将计算机内容隐藏病毒进行发现处理。
2提高计算机用户与计算机网络管理人员的安全意识
于个人计算机用户而言，必须要加强计算机网络资源管理意识，根据自己实际需要对计算机设置特殊的口令，确保计算机数据获取的合法性与安全性，避免其他计算机用户以非法手段入侵计算机内部，获取相关计算机网络数据资源，造成计算机网络安全隐患。闲时，计算机用户还必须注意对病毒进行监测清除，避免网络黑客的入侵导致计算机系统崩溃。于社会团体组织而言，必须注重提高内部计算机管理人员的网络安全意识，注意采用适当的方法去培养一批具有专业计算机技术的网络监控人员，打造精英计算机安全管理团队，能及时对网络不法攻击作出处理，构建一个系统全面的计算机网络安全管理体系，致力打造一个安全可靠的计算机网络环境。
3完善计算机网络安全制度
健全的计算机网络安全制度不但可以规范计算机网络安全使用，还能够借助法律法规等强硬手段去彻底打击计算机网络犯罪，及时对计算机网络不法分子给予相关惩处，保证了计算机网络环境的安全可靠。因此，加强并且定期完善计算机网络安全立法制度是十分必要的。
4其他管理措施
计算机网络安全防范仅仅依靠强硬的计算机安全防御系统与专业的计算机网络安全管理技术人员是远远不够的，还必须定期对计算机网络系统进行一系列的专业评估与监测控制，实时对计算机网络运行、数据传输过程进行监控，热切关注计算机内部系统是否存在一些漏洞，一旦发现漏洞，要尽早处理，避免其他计算机病毒的攻击。
三、结束语
网络安全评估报告范文3
以下是《通信网络安全防护监督管理办法(征求意见稿)》全文：
为切实履行通信网络安全管理职责，提高通信网络安全防护水平，依据《中华人民共和国电信条例》，工业和信息化部起草了《通信网络安全防护监督管理办法(征求意见稿)》，现予以公告，征求意见。请于2009年9月4日前反馈意见。
联系地址:北京西长安街13号工业和信息化部政策法规司(邮编:100804)
电子邮件:wangxiaofei@miit.gov.cn
附件:《通信网络安全防护监督管理办法(征求意见稿)》
通信网络安全防护监督管理办法
(征求意见稿)
第一条(目的依据)为加强对通信网络安全的管理，提高通信网络安全防护能力，保障通信网络安全畅通，根据《中华人民共和国电信条例》，制定本办法。
第二条(适用范围)中华人民共和国境内的电信业务经营者和互联网域名服务提供者(以下统称“通信网络运行单位”)管理和运行的公用通信网和互联网(以下统称“通信网络”)的网络安全防护工作，适用本办法。
本办法所称互联网域名服务，是指设置域名数据库或域名解析服务器，为域名持有者提供域名注册或权威解析服务的行为。
本办法所称网络安全防护工作，是指为防止通信网络阻塞、中断、瘫痪或被非法控制等以及通信网络中传输、存储、处理的数据信息丢失、泄露或被非法篡改等而开展的相关工作。
第三条(管辖职责)中华人民共和国工业和信息化部(以下简称工业和信息化部)负责全国通信网络安全防护工作的统一指导、协调、监督和检查，建立健全通信网络安全防护体系，制订通信网络安全防护标准。
省、自治区、直辖市通信管理局(以下简称“通信管理局”)依据本办法的规定，对本行政区域内通信网络安全防护工作进行指导、协调、监督和检查。
工业和信息化部和通信管理局统称“电信管理机构”。
第四条(责任主体)通信网络运行单位应当按照本办法和通信网络安全防护政策、标准的要求开展通信网络安全防护工作，对本单位通信网络安全负责。
第五条(方针原则)通信网络安全防护工作坚持积极防御、综合防范的方针，实行分级保护的原则。
第六条(同步要求)通信网络运行单位规划、设计、新建、改建通信网络工程项目，应当同步规划、设计、建设满足通信网络安全防护标准要求的通信网络安全保障设施，并与主体工程同时进行验收和投入运行。
已经投入运行的通信网络安全保障设施没有满足通信网络安全防护标准要求的，通信网络运行单位应当进行改建。
通信网络安全保障设施的规划、设计、新建、改建费用，应当纳入本单位建设项目预算。
第七条(分级保护要求)通信网络运行单位应当按照通信网络安全防护标准规定的方法，对本单位已正式投入运行的通信网络进行单元划分，将各通信网络单元按照其对国家和社会经济发展的重要程度由低到高分别划分为一级、二级、三级、四级、五级。
通信网络单元的分级结果应由接受其备案的电信管理机构组织专家进行评审。
通信网络运行单位应当根据实际情况适时调整通信网络单元的划分和级别。通信网络运行单位调整通信网络单元的划分和级别的，应当按照前款规定重新进行评审。
第八条(备案要求1)通信网络运行单位应当按照下列规定在通信网络投入运行后30日内将通信网络单元向电信管理机构备案:
(一)基础电信业务经营者集团公司直接管理的通信网络单元，向工业和信息化部备案；基础电信业务经营者各省(自治区、直辖市)子公司、分公司负责管理的通信网络单元，向当地通信管理局备案。
(二)增值电信业务经营者的通信网络单元，向电信业务经营许可证的发证机构备案。
(三)互联网域名服务提供者的通信网络单元，向工业和信息化部备案。
第九条(备案要求2)通信网络运行单位办理通信网络单元备案，应当提交以下信息:
(一)通信网络单元的名称、级别、主要功能等。
(二)通信网络单元责任单位的名称、联系方式等。
(三)通信网络单元主要负责人的姓名、联系方式等。
(四)通信网络单元的拓扑架构、网络边界、主要软硬件及型号、关键设施位址等。
前款规定的备案信息发生变化的，通信网络运行单位应当自变更之日起15日内向电信管理机构变更备案。
第十条(备案审核)电信管理机构应当自收到通信网络单元备案申请后20日内完成备案信息审核工作。备案信息真实、齐全、符合规定形式的，应当予以备案；备案信息不真实、不齐全或者不符合规定形式的，应当通知备案单位补正。
第十一条(符合性评测要求)通信网络运行单位应当按照通信网络安全防护标准的要求，落实与通信网络单元级别相适应的安全防护措施，并自行组织进行符合性评测。评测方法应当符合通信网络安全防护标准的有关规定。
三级及三级以上通信网络单元，应当每年进行一次符合性评测；二级通信网络单元，应当每两年进行一次符合性评测。通信网络单元的级别调整后，应当及时重新进行符合性评测。
符合性评测结果及整改情况或者整改计划应当于评测结束后30日内报送通信网络单元的备案机构。
第十二条(风险评估要求)通信网络运行单位应当对通信网络单元进行经常性的风险评估，及时消除重大网络安全隐患。风险评估方法应当符合通信网络安全防护标准的有关规定。
三级及三级以上通信网络单元，应当每年进行一次风险评估；二级通信网络单元，应当每两年进行一次风险评估；国家重大活动举办前，三级及三级以上通信网络单元应当进行风险评估。
风险评估结果及隐患处理情况或者处理计划应当于风险评估结束后30日内上报通信网络单元的备案机构。
第十三条(灾难备份要求)通信网络运行单位应当按照通信网络安全防护标准的要求，对通信网络单元的重要线路、设备、系统和数据等进行备份。
第十四条(演练要求)通信网络运行单位应当定期或不定期组织演练检验通信网络安全防护措施的有效性，并参加电信管理机构组织开展的演练。
第十五条(监测要求)通信网络运行单位应当对本单位通信网络的安全状况进行自主监测，按照通信网络安全防护标准建设和运行通信网络安全监测系统。
通信网络运行单位的监测系统应当按照电信管理机构的要求，与电信管理机构的监测系统互联。
第十六条(CNCERT职责)工业和信息化部委托国家计算机网络应急技术处理协调中心建设和运行互联网网络安全监测系统。
第十七条(安全服务规范)通信网络运行单位委托其他单位进行安全评测、评估、监测等工作的，应当加强对受委托单位的管理，保证其服务符合通信网络安全防护标准及有关法律、法规和政策的要求。
第十八条(监督检查)电信管理机构应当根据本办法和通信网络安全防护政策、标准，对通信网络运行单位开展通信网络安全防护工作的情况进行监督检查。
第十九条(检查措施)电信管理机构有权采取以下措施对通信网络安全防护工作进行监督检查:
(一)查阅通信网络运行单位的符合性评测报告和风险评估报告。
(二)查阅通信网络运行单位的有关文档和工作记录。
(三)向通信网络运行单位工作人员询问了解有关情况。
(四)查验通信网络运行单位的有关设施。
(五)对通信网络进行技术性分析和测试。
(六)采用法律、行政法规规定的其他检查方式。
第二十条(委托检查)电信管理机构可以委托网络安全检测专业机构开展通信网络安全检测活动。
第二十一条(配合检查的义务)通信网络运行单位对电信管理机构及其委托的专业机构依据本办法开展的监督检查和检测活动应当予以配合，不得拒绝、阻挠。
第二十二条(规范检查单位)电信管理机构及其委托的专业机构对通信网络安全防护工作进行监督检查和检测，不得影响通信网络的正常运行，不得收取任何费用，不得要求接受监督检查的单位购买指定品牌或者指定生产、销售单位的安全软件、设备或者其他产品。
第二十三条(规范检查人员)电信管理机构及其委托的专业机构的监督检查人员应当忠于职守、坚持原则，不得泄漏监督检查工作中知悉的国家秘密、商业秘密、技术秘密和个人隐私。
第二十四条(对专业机构的要求)电信管理机构委托的专业机构进行检测时，应当书面记录检查的对象、时间、地点、内容、发现的问题等，由检查单位和被检查单位相关负责人签字盖章后，报委托方。
第二十五条(罚则1)违反本办法第六条、第七条、第八条、第九条、第十一条、第十二条、第十三条、第十四条、第十五条、第十七条、第二十一条规定的，由电信管理机构责令改正，给予警告，并处5000元以上3万元以下的罚款。
第二十六条(罚则2)未按照通信网络安全防护标准落实安全防护措施或者存在重大网络安全隐患的，由电信管理机构责令整改，并对整改情况进行监督检查。拒不改正的，由电信管理机构给予警告，并处1万元以上3万元以下的罚款。
网络安全评估报告范文4
最近几年，水利部门根据水利工作的实际状况，在对治水经验和实际操作进行总结的过程中，提出要转变过去的水利发展道路，坚持走可持续发展水利道路，建立水利现代化的发展道路。随着水利事业的不断发展和变革，水利信息化构建也取得了一定的成绩，逐渐转变成为水利现代化的主要力量。根据国家防汛抗旱指挥系统中的一期工程城市水资源的监控管理，水利电子政务的相关项目和大型灌区信息化试点等重要工程的顺利完成，水利信息化基础设备也在不断的健全，对业务的使用能力也在逐渐加强。防汛抗旱，城市水资源的监控管理，水利电子政务和全国水土保持监管信息体系等业务也开始应用到实际生活中。在水利信息化基础构建和业务不断拓展的过程中，相关的保证水利信息化安全的体系也逐渐形成。
2强化水利网络信息安全的解决措施
网络和信息的安全隐患问题，使得水利信息化的发展受到阻碍，所以要及时的进行预防，综合治理和科学管理，逐渐增加信息的安全性，加强其中的保护能力，保证水利信息化的持续运行。
2.1加强信息安全管理
信息安全规划包含了技术、管理和相关法律等多个层面的问题，是稳定网络安全、物理安全、资料安全和使用安全的关键因素。信息安全规划不但依赖于信息化的管理，还是信息化形成的重要力量。在信息安全管理的过程中，信息系统安全构建和管理要更加具有系统性、整体性和目标性。
2.1.1以信息化规划为基础，构建信息化建设
信息安全是在信息化规划的基础上，对信息安全进行系统的整理，是信息化发展的主要力量。信息安全规划不但要对信息化发展的实际情况进行深入的分析和研究，更好的发现信息化中存在的安全隐患，还要根据信息化规划以及信息化发展的主要战略和思路，有效的处理信息安全的问题。
2.1.2构建信息安全系统
信息安全规划需要从技术安全、组织安全、战略安全等方面入手，构建相关的信息安全系统，从而更好的保证信息化的安全。
2.2日常的运维管理
2.2.1注重网络的安全监控
网络的飞速发展使得水利网络安全和互联网安全关系更加紧密。所以，注重互联网安全监控，从而及时的采取相关的安全防护措施，是现在日常安全管理工作中的主要内容。
2.2.2安全状态研究
网络信息安全是处于不断变化的过程中，需要定时对网络安全环境进行整体的分析，这样不但可以发现其中的问题，还可以及时的采取相关的措施进行改正。安全态势主要是利用网络设备、主机设备、安全设备和安全管理工具等策略来进行信息的处理，通过统计和分析，综合评价网络系统的安全性，并且对发展的状态进行判断。
2.2.3信息安全风险评估
风险评估是信息安全管理工作中的重要部分。通过进行风险评估，可以及时的发现信息安全中的问题，并且找到积极有效的解决措施。安全风险评估的主要方法是：（1）对被评估的主要信息进行确定；（2）通过本地审计、人员走访、现场观看、文档审阅、脆弱性扫描等方法，对评估范围中的网络、使用和主机等方面的安全技术和信息进行管理；（3）对取得的信息资料进行综合的分析，判别被评估信息资产中存在的主要问题和风险；（4）从管理体制、管理措施、系统脆弱性判别、威胁研究、漏洞和现有技术等方面，根据风险程度的不同，分析和管理相关的安全问题；（5）根据上面的分析结果，建立相关的信息安全风险评估报告。
2.2.4应急响应
所谓的应急响应就是信息安全保护的最后一道屏障，主要是为了尽量的减少和控制信息安全所造成的严重影响，进行及时的响应和修复。应急响应包含了前期应急准备和后期应急响应两个部分。前期应急准备主要有预警预防制度、组织指导系统、应急响应过程、应急团队、应急器械、技术支持、费用支持等应急措施，并且定时进行应急演练等。后期应急措施主要有检查病毒、系统防护、阻断后门等问题，对网络服务进行限制或关闭以及事后的恢复系统等工作。通过两个部分的不断配合，才能更好的发挥应急响应的重要作用。
2.3教育培养
人是信息安全的主要力量，其中的知识构造和使用能力对信息安全工作有着重要的影响。强化信息安全管理人员的专业素养，及时的进行信息安全教育，提升人们的信息安全意识，从而有效的减少信息安全问题的出现。
3总结
网络安全评估报告范文5
入侵检测系统；防病毒软件
〔中图分类号〕 G482 〔文献标识码〕 A
〔文章编号〕 1004—0463（2012） 10—0018—01
局域网（Local Area Network）是在一个局部的地理范围内（如一个学校、工厂或机关内），将各种计算机、外部设备和数据库等互相联接起来组成的计算机通信网。近年来各种网络安全问题接踵而至，计算机病毒、操作系统漏洞、黑客攻击等屡见不鲜，局域网也同样面临这些问题。一旦发生安全问题，可能对学校造成的损害更大。下面笔者从纯技术手段探讨一下局域网的安全防护。
一、使用三层交换机，划分VLAN和设置访问控制列表
目前的局域网基本上都采用以广播为技术基础的以太网，任何两个节点之间的通信数据包，不仅为这两个节点的网卡所接收，同时也为处在同一以太网上的任何一个节点的网卡所截取。因此，黑客只要接入以太网上的任一节点进行窃听，就可以捕获发生在这个以太网上的所有数据包，对其进行解包分析，从而窃取关键信息。这就是以太网存在的安全隐患。
VLAN是为解决以太网的广播问题和安全性而提出的一种协议。它是通过将网络划分为虚拟网络VLAN网段，从而强化网络管理和网络安全，控制不必要的数据广播。目前的VLAN技术主要有三种：基于交换机端口的VLAN、基于节点MAC地址的VLAN和基于应用协议的VLAN。基于端口的VLAN技术比较成熟，在实际应用中使用较多。我们可以将重要的主机系统集中到一个VLAN里，使这个VLAN里不允许有任何用户节点，从而较好地保护敏感的主机资源。也可以按机构或部门的设置来划分VLAN，各部门内部的所有服务器和用户节点都在各自的VLAN内。VLAN内部的计算机可以互相访问，取消了更多的访问控制。VLAN与VLAN之间互相是不通的，如果需要访问，可以通过三层交换机来实现，并根据需要设置精确的访问控制列表，只有授权用户才能对该VLAN进行访问。
二、防火墙和非法外联检测技术
现在的信息系统都不会是一个孤立的系统，或多或少都会与外部网络有数据交换等联系，如果控制不好就会遭到病毒、黑客的攻击。在局域网与外部网络之间设置防火墙，实现内外网的隔离与访问控制，是保护局域网安全最主要、最有效也是最经济的措施之一。防火墙通常被用来进行网络安全边界的防护，事实证明，在内网中不同安全级别的安全域之间采用防火墙进行安全防护，不但能保证各安全域之间的相对安全，同时也为网络日常运行中各安全域访问权限的调整提供了便利条件。
三、建立入侵检测系统
防火墙对我们的内部局域网络起到了很好的防护作用，但防火墙有一个缺陷就是防外不防内。目前很大一部分网络安全事件都是内部人员所为。然而入侵检测系统（IDS）就很好地解决了这一问题，成为防火墙的延续。入侵检测就是对发生在计算机系统或者网络上的事件进行监视，分析是否出现入侵的过程。入侵监测系统处于防火墙之后，对网络内部的信息做到实时监控和预警，同时做到与防火墙的联动，给局域网中重要的安全域打造了一个动态的实时防护屏障。
四、使用好网络防病毒软件
在网络环境下，计算机病毒有着不可估量的威胁性和破坏性，因此它的防范是网络安全建设中重要的一环。防毒软件应该构造全网统一的防病毒体系——主要面向MAIL 、Web服务器以及办公网段的PC服务器和PC机等。主要功能为：支持对网络、服务器和工作站的实时病毒监控;提供定期在线更新病毒库服务;支持多种平台的病毒防范;能够识别广泛的已知和未知病毒，包括宏病毒;支持对Internet服务器的病毒防治，能够阻止恶意的Java或ActiveX小程序的破坏；支持对电子邮件附件的病毒防治，包括WORD、EXCEL中的宏病毒;支持对压缩文件的病毒检测等。
网络安全评估报告范文6
关键词：局域网；安全管理；策略
中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)05-1032-01
所谓局域网，就是将原本独立的计算机，以通信为媒介实行连接，根据相关协议实行互相访问，为信息与资源共享构建平台。由于局域网的传输距离短、效率高、延时少、出错率低等优势，在诸多领域广泛应用。但是当前局域网安全管理、病毒防治等已成为重要问题之一，需不断探索、优化管理策略。以下将对具体内容进行分析：
1构建完善的防火墙系统
防火墙的应用，主要用来阻挡外部没有经过授权的用户对网络的非法访问行为。防火墙是硬件与软件相结合的一种设备工具，可有效控制访问行为，凡是经过防火墙允许的访问行为与数据传输都可进入内部网络，而不允许的用户行为则被拒之门外，以此避免网络黑客的入侵行为，避免数据、信息的随意篡改或盗取、删除等。当前，防火墙已成为计算机中重要的安全防范机制，可有效避免互联网的各种负面影响进入局域网内部，因此可以说，防火墙是确保局域网安全管理的关键环节。
2提升病毒防范意识
对于局域网中的病毒来说，可能来自各方面，只有提高病毒防范意识，才能有针对性地采取措施。在一个具有若干网络连接点的网络环境中，病毒可能通过光盘、软盘等介质进入局域网中；也可能由于传输数据、下载文件、电子邮件等即时互联网方式。为了减少由于病毒而造成的损失，可根据实际情况采取多层化病毒防范体系，实行全面查毒与杀毒，在计算机的INTERET网关中设置可过滤病毒的硬件网关；在网络服务器的入口位置设置邮件过滤、信息过滤等软件系统，在客户端安装病毒防护软件，实行全网式布局，让病毒无缝可钻。
3加强入侵检测防范
以局域网攻击行为来看，大部分来自内部网络行为，而这却是防火墙控制的盲区。在这一背景下，入侵检测系统（IDS）应运而生。通过入侵检测系统的应用，可对网络内部或者操作系统中产生的可疑行为及时反应，并阻断入侵源，通过各种途径进行事件记录，及时通报网络管理员，以此确保系统安全，有效弥补防火墙的不足。在入侵检测系统中，可有效识别各种网络攻击行为，提升管理员安全管理能力与安全管理水平，确保信息安全性、完整性，既不影响网络性能，又可发挥巨大作用，与防火墙协调工作，实时保护内部攻击、外部攻击以及系统误操作等行为，是局域网安全防御体系的重要部分。
4数据传输管理
在局域网应用过程中，为数据资源共享提供极大便利，方便各方协作，但同时也给病毒的大肆传播带来可乘之机。因此在使用局域网资源过程中，必须提高安全防范意识，主要从以下几点加强控制：①安装局域网内专用的数据传输软件，为局域网内部的数据传输创设一个安全环境，如同在同一台计算机中完成的复制和粘贴过程，完全不会受到外界干扰，避免由于信息共享而产生的病毒问题；②加强访问控制。严格控制用户身份、提高访问权限性，避免非法行为对数据、信息的盗用。通过实行访问控制，要求登录计算机系统必须输入正确的账号及口令，且不同资源对应的账号不同、不同账号对应的访问权限不同，只有用户拥有访问权限，才能访问内部资源，但是访问的形式限于只读或者读写等。③系统安全检测。在局域网中，安装硬件或者软件，对其网络资源的动态行为进行实时监控，一旦发现威胁则发出警报，及时处理。
5强化风险评估作用
局域网安全风险评估体系，集合了网络安全检测、网络安全风险、风险评估、统计分析、修复建议等于一体，是一种高效率、高性能的网络安全管理设备。通过对网络中的主机或者网络设备实行扫描，深入分析采集到的信息，并得出安全状况分析结论，必要情况下构建安全状况评估表。用户根据系统得出的结论与建议，可及时修补各种缺陷，同时网络管理员也可通过风险评估报告发现系统的薄弱环节，有针对性地采取安全管理措施，从而确保网络运行安全性、可靠性。
由上可见，局域网安全管理是一项综合性工程，涉及到技术、应用、管理等诸多方面，既有人为因素也有客观因素，既有物理措施也有技术措施，但是任何一种技术都不是万能的，不可能解决所有问题。随着计算机与网络技术在社会各个领域的渗透与发展，将日益强化局域网安全管理问题的重视，增强安全意识教育，普及局域网安全知识，提高计算机局域网安全管理的技术水平。
参考文献：
[1]袁站.浅谈局域网建设和网络管理与应用[J].福建电脑，2008(7).
[2]唐仪省.信息技术在局域网安全防范中的应用[J].科协论坛（下半月），2010(10).
[3]陈鹤,曹科.无线局域网技术研究与安全管理[J].现代机械,2006(4).
