发布时间：2023-09-24 10:43:53
序言：写作是分享个人见解和探索未知领域的桥梁，我们为您精选了8篇的安全网络建设样本，期待这些样本能够为您提供丰富的参考和启发，请尽情阅读。
关键词：油田内部；网络建设；安全维护
一、针对油田网络的安全防范
1.1对于网络攻击的检测。这项内容大致是指在网络设置防火墙，当油田企业的网络遭受攻击或者有病毒侵入时，就会在页面上显示警告信息，安全管理人员就能够第一时间得到报警信息，采取有效的办法来应对。在实际的网络攻击防范中，需要设置防火墙的地方多种多样，比如在服务器设备上进行防火墙设置，对服务器的cpu状态、流量变动等参数进行监控管理，这些参数在平时总是稳定在一定的值，虽然也会跟随时间变化，但是还是可以寻找其变化规律的，若是其变化出现异常，那么报警信息就会发出，显示在页面上。但是对于报警信息的监控来说，需要人员不间断地进行观察，这对于人力资源的角度来说不能尽到最大，所以企业要大力开发新的报警方式，比如警示灯、警示音等。当然企业要有一定的自我保护能力，比如在确认遭到攻击后马上启动查杀软件、断开网络连接等。
1.2对于网络资源的管理。在油田企业的网络运行中，每日都需要设计庞大的数据流进出，而这些互数据的安全性无法得到保障，所以油田企业需要建立一个信息提取过滤系统，即能够对进出企业的信息进行提取和过滤，判定事件的安全性与保密性，高危信息需要拒之门外，属于企业内部保密级别的信息不能流出去，这就是这个系统的功能。而对于油田企业的设备操作系统，需要将其控制的设备的各种参数实时提取并进行判断，这样设备在发生事故时工作人员便可通过参数的变化来判断机械出问题的部位。
1.3良好的上网习惯。很多网络安全事故都是因为操作人员安全意识不高，或者上网习惯不正确，胡乱打开不安全网站、下载危险文件包等，所以企业内要推行正确的上网风气，通过建立上网的规章制度来规范工作人员的上网习惯，以此来保证网络安全。
二、一些常见故障的维护
对于企业中网络故障的发生，我们要根据发生事故的规模采取不同的做法，但是大致步骤都是先对操作电脑的人进行询问，使用了那些操作，然后对硬件软件进行检查，深入发掘问题。对于规模较小的安全问题，如单个机子不能上网，这时先不要请工作人员来检查，操作人员可以先对网卡进行检查，查看其安装的方式是否正确。对于网卡的安装正误来说，最常见的检查方式就是Ping本机的地址，通过其是否通过的表现来判断网卡的问题。若是这步操作行不通的话，那么很有可能就是网卡和计算机中的设备有冲突，通过查看设备管理器来查看网卡究竟与那个设备有冲突，也可以换张网卡再试一次。若是硬件没问题，那么借来依次检查双绞线的状态、交换机的端口，这些都有备用的参考资料，可以通过对照来发现问题。对于较大规模的停网现象，也要根据不同情况加以区别。若是网络中断的计算机属于同一系统，即在一个VLAN的控制下运转，那么首先要对连接不同楼层的路由器的配置进行检查。上述是按VLAN来区分维护方式的，而是否属于同一交换机也可以作为一种区分标准。若是不能上网的机子属于同一交换机，而且不能与企业内其他交换机控制的电脑通讯，那么这种情况大多数是交换机死机，重启即可，若是重启解决不了问题，那么有可能使某一电脑自身的网卡故障导致的，逐个检查就好。当某一交换机与多台电脑连接时，因为承受的负载过高，使得交换机无法运行也会出现死机的现象，此外因为过量的运载交换机与上级的网络设备的连接也可能断裂。
作者:丁启宁 单位:河南油田涧河社区
参考文献:
关键词：ISP企业；网络安全
1概况
随着互联网呈几何倍数的发展，我们的生活越来越依赖互联网，吃穿住行几乎都可以用网络来搞定。但是从网络诞生那一刻起，就出现了其中不安定的因素，我们对网络越依赖，一旦网络安全出现问题，造成的损失也就会越大，作为一家运营商公司，更迫切的需要维护好自己的网络安全。
2现状和分析
2.1目标公司发展现状
某国有ISP企业省份公司，拥有用户各类20万左右，因为规模不大，所以在过去几年，一直把发展用户扩大市场放在首要位置，而忽视了网络信息安全方面的建设。这是一方面当时的情势所迫造成的。随着用户的发展和企业壮大，如今，省内ISP网络构架属于从核心层出口节点开始，到下层的核心汇聚层交换机链接到底层BRAS设备，都是做的双冗余保护，在网络结构上，属于合理的布局。并且设立了多个核心的IDC机房和设备机房，存放各类资源服务器为网内的用户提供服务和各网络专业核心的设备。
2.2暴露出来的问题
随着用户的增加，越来越多的信息网络安全问题会开始暴露，比如会有非法的流量开始试探底层设备的端口，并且可以看到某些设备会出现异常的IP地址尝试登入，或者底层设备的链路利用率突发暴涨，虽然这些问题都被及时发现并处理了。但是并不是说这样处理掉一两起的安全问题事情就结束了，从中暴露出网络安全问题其实是很严重的。
（1）手段单一，只有依靠简单的防火墙，或者是依靠核心设备本身的访问控制列表对数据包进行筛选，缺乏更多有效的系统手段帮助人们进行监控保护网络，一直长期下去的话面对一些网络层以上的疑难问题也就只能束手无策。
（2）各部门对信息的安全性重视不够，对信息保密的重视层度不够，也没有接受过相关的社会工程学方面的培训，安全意识淡薄。
（3）缺乏专业性的技术团队和思路，完全是在闭门造车。到现在处理问题的思路在技术层次还是停留在路由和交换级别的。现在只能把每个事件单独当作一个单独事件来处理，很难避免下次不会发生重复的问题。
（4）从整个网络的构架开始搭建起来，就没有把网络安全放在重要的位置，刚开始BRAS设备是有了双向冗余就开始上线，本应该考虑更多的迂回保护措施都是后期的时候慢慢弥补上去的。物理上的冗余保护如此，网络的安全保护也一直是没有跟上网络拓扑的扩展。
3网络安全的建设
3.1从认识思想上进行转变
要建设公司的电信级网络安全架构，需要公司从上到下有一个认识，就是对安全危机的认同感，网络的安全投入的确是烧钱，并且它后期还会需要不断的成本投入。期待它能马上给你利润回报，那是不可能的。但是看看合作企业竞争对手，无一不是对安全问题异常的重视。同时要做好网络安全，我们还要开始学，向服务商学习，向设备商学习。一步步踏实做下去。
3.2改变公司组织结构
安全部门并不同于一般的网撑中心，数据中心，它需要专注地负责网络防御检测和处理各类的网络安全问题，因此如果将这样一个安全部门挂靠在网络支撑下面是不合适的，从专业来看，网络安全防御，社工防御，欺骗渗透防御都是它的职责。而且将来的网络布局，都会需要他们提供安全方面的意见，所以这必须是一个独立的部门，来区别于网络建设部和网络支撑中心。
3.3建立网络安全制度
在公司内部建立网络安全规范的制度，强制性地规定员工登入设备的权限和密码设置原则，要求登入口令的密码长度和复杂成分，区分开每个人的职责范围，个人的权限只能存在几台服务器上，避免被人利用同样的账号密码登入所有的设备。并且要求定期更换密码。设置强硬的核心机房准入制度来防止设备遭受最直接的物理攻击。对于敏感重要的数据，要定期做异地备份。
3.4建立可靠的安全网络
要建立行之有效的安全网络体系架构，建议对整个网络进行统一的部署，构建网络安全架构的安全设备类型通常有：
防火墙：firewall，可以根据IP地址或服务端口过滤数据包，可以通过制定过滤规则来限制。
流量分析系统：它主要针对网内的流量流向镜像进行监控、分析、不仅可以提供用户的使用偏好分析，更多的可以监控网内的流量过去和现在的数据是否异常。
流量采集分析清洗设备：也叫ADS，它可以针对于网内的异常流量进行筛选和清洗。特别是对于现在的DDOS攻击有很好的效果。
Web应用防护系统：也称WAF。WEB应用防御产品，针对应用层的攻击做出反应。是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。
入侵防御检测设备：也称IPS，这是对防火墙和杀毒软件的一个补充。可以有效发现阻止4到5层的异常流量，其中还有的入侵预防系统，通过正常数据以及数据之间关系的通常的样子，可以对照识别异常。
审计系统：针对互联网行为提供有效的行为审计、内容审计、行为报警、行为控制及相关审计功能。满足用户对互联网行为审计备案及安全保护措施的要求，提供完整的上网记录，便于信息追踪、系统安全管理和风险防范。
值得一提的是随着安全技术的演进，今后的防火墙将会兼容ADS之类的流量监视和清洗功能，是否还能将WAF和IPS设备的功能融合进来尚不得而知，但是展望安全网络的科技树发展的方向，这必然是未来安全行业的发展一段趋势。考虑到设备的使用安全性，集众家所长的安全设备固然能够减少了接入的层次，降低了生产成本。
关于安全网络的组网，还是要严格按照双机备份的原则，特别是涉及到防火墙，必须做到双机冗余的原则，保证一台设备宕机的情况下，另一台能正常工作，并且不影响到网络流量的正常转发。建议还是听从专业厂家或者服务商提供的方案进行部署。
关于DMZ区域和IDC的网络安全构架建设：DMZ即缓冲区，也是我们部署web服务器，DNS系统，3A系统，ftp服务器的区域，建议统一进行规划。减少网络的复杂性，便于管理。包括IDC服务器组，如果条件允许。也应该统一纳入网络中。
3.5建设前后的测试
有人说过一个最大的错误是假定安全设备本身是安全的。所以合理的部署和计划是十分必要的而且重要的。开始建设前，一方面应该进行足够的压力测试，从设备的本身是否安全开始到演示当设备在网的时候出现的各种情况，来判断方案是否可行，这是个漫长而枯燥的过程，但却是十分必要，没有人愿意在完成建设后重新赶工修改自己的网络部署，另外一方面必须和厂家、集成商、服务商沟通好，要求其能够提供足够的应急预案来保障安全的运行。工程完成以后就应该开始进行各种的测试，测试设备能否正常工作发挥作用，已经能否顺利的升级，及时更新补丁等等。如果有条件，还应该定期执行漏扫和进行渗透测试。
目前双向网在5～1000MHz的范围内可划分为：上行频段：5~65MHz；过度频段：65～87MHz；FM频段：87～108MHz；下行频段：108～1000MHz。③数字电视。数字电视一种将节目的全部过程利用数字处理信号的方式来运行或利用二进制数字串所形成的数字流传播的电视。基于DVB技术标准的广播式和“交互式”的数字电视。是采用了先进客户管理技术，可以为客户才来更多好节目，提高了画面的清晰度和质量。它还可以订购各种业务，如互动电视、高清晰度电视、标准清晰度电视、BSV液晶拼接等业务。与传统电视相比，数字电视音质更好、节目数量更多、画面更清晰亮丽。
2现阶段数字电视双向网络存在的安全问题
在双向网络出现之前，数字电视一直使用的是单向网络。由于单向网络与网络连接少，收费低，可获取的利益少，所以单向网络安全问题多数集中在授权的安全，不要出现盗版，不要出现黑户问题上。而数字电视双向网络业务更多、用户的增值项目也多，使得他人可利用数字电视双向网络赚取大笔利润，由此将引起大量的黑客对数字电视双向网络的关注。数字电视双向网络不像数字电视单向网络保守，其安全问题不仅仅像数字电视单向网络那样只出现在终端而是前段终端都可能出现。还要考虑终端对前端的影响和恶意攻击，这使得数字电视单向网络的安全建设单独大大加大。
3数字电视双向网络的安全建设的建议
3.1建立一个开放性、标准性，能够取得第三方认证的系统结构
推荐使用两种技术，一个是公约基础设施（PublicKeyInfrastructure，PKI）技术。另一个是安全套接层（SeeureSocketLayer，SSL）技术。①公约基础设施（PublicKeyInfrastructure，PKI）技术。所谓公约基础设施（PublicKeyInfrastructure，PKI）技术其实就是一个用公钥概念、技术实施和提供安全服务的具有普适性的安全基础设施。公约基础设施（PublicKeyInfrastructure，PKI）技术是一种新的安全技术，它由公开密钥密码技术、数字证书、证书发放机构（CA）和关于公开密钥的安全策略等基本成分共同组成的。公约基础设施（PublicKeyInfrastructure，PKI）技术是利用公钥技术实现电子商务安全的一种体系，是一种基础设施，网络通讯、网上交易是利用它来保证安全的。公约基础设施（PublicKeyInfrastructure，PKI）技术是提供公钥加密和数字签名服务的系统或平台，目的是为了管理密钥和证书。一个机构通过采用公约基础设施（PublicKeyInfrastructure，PKI）技术框架管理密钥和证书可以建立一个安全的网络环境。公约基础设施（PublicKeyInfrastructure，PKI）技术包括四个主要部分：X.509格式的证书（X.509V3）和证书废止列表CRL（X.509V2）；CA操作协议；CA管理协议；CA政策制定。②安全套接层（SeeureSocketLayer，SSL）技术。SSL（SecureSocketLayer）安全套接层是Netscape公司率先采用的网络安全协议。它是在传输通信协议（TCP／IP）上实现的一种安全协议，采用公开密钥技术。SSL（SecureSocketLayer）安全套接层应用广泛，各种网络都可以使用它，不仅如此，还提供了三中安全服务。SSL（SecureSocketLayer）安全套接层是一种利用TCP的可靠的端到端的安全服务，而且他还是一个二层协议，底层是SSL记录层，此层是用来封装各种上层协议。还有一层是SSL的握手协议，它的作用是在服务器和客户机之间传送数据之前协商加密算法和加密密钥，服务器将通过客户及提出的加密算法来选择最适合的算法。还有三个更高层的协议，分别为SSL的一部分：握手协议、修改密文规约协议和告警协议。有这两项技术作为基础的数字电视双向网络安全系统，既能获取第三方的认证，还能增加安全性。
3.2网络内容安全
网络是把双刃剑。现在网络充斥着各种不良信息，还有一些不法分子制造网络病毒损害电脑，盗取别人的个人信息和重要数据以此来谋取利益。当然随着网购的兴起，更有不法分子通过网络盗取和骗取钱财。由此，数字电视双向网络应该有一个安全的环境，保护用户的个人信息和钱财，还要防止病毒的侵入。我建议利用消息鉴别码（MessageAuthenticationCode，MAC），消息鉴别码（MessageAuthenticationCode，MAC）可以鉴别信息的来源是否合法还可以保证信息的完整性。消息鉴别码（MessageAuthenticationCode,MAC）有一个认证标识是用公开函数和密钥然后产生一个长度一定的值,消息鉴别码用这个标识来判断信息的完整性。利用一个密钥生成一个大小一定的数据块（MAC），将其与信息一起传送，接收方利用发送方共享的密钥进行鉴别认证等.消息鉴别码（MessageAuthenticationCode，MAC）仅仅认证消息MAC的完整性（不会被篡改）和可靠性（不会是虚假的消息或伪造的消息），但不负责数据MAC是否被安全传输。之所以要放弃信息的保密性（使用公钥加密私钥签名的对称密码协议可以很好的保证信息MAC的保密性、完整性和可靠性），是因为在某些场合（政府部门公告、网络管理通知等）并不需要对信息进行加密；或者是有些场合（例如广播信息等）需要长时间传输大量信息。由于MAC函数是单向函数，因此对明文M进行摘要计算的时间远比使用对称算法或公开密钥算法对明文加密的时间要小。
3.3保证用户信息的安全
在进行业务费用支付的时候，会要求用户输入个人资料和密码等。保护用户的资料和密码就成为结构系统需要注意的事项。虚拟键盘技术大可解决此问题。有了虚拟键盘技术，机顶盒会出现一个键盘，键盘上的数字都是随机排列的，这样就算不法分子偷到了遥控器的红外数据，得到的也仅仅是上下左右，而不是用户密码，从而保证了信息输入的安全。
4结语
关键词：计算机网络；安全建设；威胁因素；安全技术
中图分类号：TP393.08
目前计算机网络实现了信息全球化，被广泛应用到人们的学习、生活和工作之中，甚至也被应用到了国家各种事务的处理之中。但是因为计算机网络具有开放性、互联性和多样性的特点，很容易受到攻击，存在很多威胁因素。因此，就要采取必要的措施来网络信息的安全、保密、可靠。
1 计算机网络安全存在的威胁因素
威胁计算机网络安全的因素是多种多样的，涉及到很多个方面的，下面将对当前网络安全存在的威胁进行总结：
1.1 无授权访问。无授权访问指的是没有经过预先同意的对网络或计算机资源的使用，主要包括：自作主张的扩大权限，越权访问不该访问的信息；故意避开系统访问的控制，不正常的使用网络资源和设备。这些无授权访问主要通过非法进入网络系统、违规操作、假冒身份、身份攻击以及合法的用户不以授权的方式进行操作形式表现出来。
1.2 数据的完整性遭到破坏。一些攻击者使用违法手段盗窃数据的使用券，并对这些数据进行插入、修改、删除或者是重发一些重要保密的信息，期望得到有益于自己的响应。并且他们为了影响用户的正常使用，恶意修改、添加数据，破坏数据的完整性和正确性。
1.3 使用计算机网络散播病毒。计算机病毒通常是最先以一个计算机系统作为载体，通过移动硬盘、软盘、网络和光盘等媒质介体，对其他的计算机系统进行恶意破坏。计算机病毒能够在特别短的时间内使整个计算机网络瘫痪，使得网络损失惨重。用户很难防范通过计算机网络传播的病毒，单机系统和计算机系统很容易在病毒的干扰下发生异常和破坏。
1.4 丢失或泄露信息。被有意或者是无意丢失和泄露的信息往往是敏感数据和保密数据，通常包括：信息在存储介质中遭到泄露或丢失、信息在传输过程中遭到泄露或丢失（最常见的就是黑客通过对通信长度或频度、信息流量和流向等数据的分析以及利用搭线窃听或者是电磁泄露的方式截获或破解机密信息，来推算出用户的账号、口令等重要的有用的信息）、黑客建立隐蔽隧道来偷窃敏感保密的信息。
1.5 干扰服务攻击。主要是通过改变服务系统的正常的作业流程、执行无关紧要的程序来减慢系统响应直至瘫痪等方式不断地对计算机网络服务系统进行干扰，干扰合法用户的正常使用，以及不使正常用户进入计算机网络系统，无法得到服务等。
1.6 管理不到位存在的威胁。计算机网络的正常运行离不开正确的管理，错误的管理会给企业造成非常巨大的损失。需要进行的管理主要包括计算机网络、硬件设备和软件系统，例如若是软件系统没有健全的安全管理，不仅会破坏计算机网络的安全，还会使得计算机网络错误的运行。还有一个因素就是工作人员在工作过程中，不注意对移动U盘进行保护和管理，加入病毒，在插入电脑之后，又将带着的病毒传给电脑，病毒进入电脑之后，就会电脑的网络系统进行恶意破坏，使整个计算机网络系统瘫痪不能使用。
2 计算机网络系统安全技术措施
2.1 检测入侵。如果计算机网络中存在可以被恶意攻击者利用的漏洞、安全弱点和不安全的配置（如应用程序、网络服务、网络设备、TCP/IP协议、操作系统等几个方面存在这样的问题），就会遭到黑客或者攻击者的网络攻击和恶意入侵。网管人员在网络系统没有预警防护机制的情况下，是很难发现已经侵入到内部网络和关键主机的攻击者实施的非法操作的。检测入侵系统可以说是计算机网络系统的第二个安全闸门，因为它在监听网络的时候不影响计算机网络系统的性能，并且可以及时地提供对误操作、外部攻击和内部攻击的保护。
2.2 应用安全漏洞扫描技术。安全漏洞扫描技术可以通过自动检测本地或者是远程主机安全上存在的弱点，使网络管理人员在黑客和入侵者找到漏洞之前就修补存在着的这些安全漏洞。专门检查数据库安全漏洞的扫描器、网路安全漏洞扫描和主机安全漏洞扫描等都是安全漏洞扫描软件。但是由于操作系统的安全漏洞随时在、安全资料库时刻在更新，所以各种安全漏洞扫描器只有及时进行更新才能扫描出系统的全部安全漏洞，防止黑客的进入。
2.3 防治计算机病毒。防治计算机病毒的首要做法就是要给所以计算机装上杀毒软件，并对这些杀毒软件进行及时的更新和维护，还要定期对这些杀毒软件进行升级。杀毒软件可以在病毒侵入到系统的时候及时地发现病毒库中已经存在的可以代码、可疑程序和病毒，并警告给主系统准确的查找病毒的实际来源，对大多数病毒进行及时的隔离和清除。使用者要注意不要随意打开或者安装来历不明的程序、软件和陌生邮件等。发现已经感染病毒后要对病毒实行检测和清除，及时修补系统漏洞。
2.4 使用防火墙技术。防火墙指的是一个控制两个网络间互相访问的一个系统，它主要通过对硬件和软件的结合为内部网络和外部网络的沟通建立一个“保护层”，只有经过这个保护层连接和检查，获得授权允许的通信才能通过这个保护层。防火墙不仅能够阻止外界非法访问内部网络资源，还能提供监视Internet预警和安全的方便端点，控制内部访问外部的特殊站点。然而，防火墙并不能解决一切问题，即使是通过精心配制的防火墙也不能抵挡住隐蔽在外观看似正常的数据下的程序通道。为了更好的利用防火墙技术保护网络的安全，就要根据需求合理的配置防火墙，采用加密的HTTP协议和过滤严格的WEB程序，不要多开端口，经常升级，管理好内部网络的用户。
2.5 黑客诱骗技术。黑客诱骗技术就是通过―个由网络安全专家精心设置的特殊系统来引诱黑客，并记录和跟踪黑客，其最重点的功能就是经过特殊设置记录和监视系统中的所有操作，网络安全专家经过精心的伪装能够达到使黑客和恶意的进攻者在进入目标系统后，并不知道自己的行为已经处于别人的监视之中。网络安全专家故意在黑客诱骗技术系统中放置一些虚假的敏感信息或留下一些安全漏洞来吸引黑客自行上钩，使得黑客并不知道他们在目标系统中的所有行为都已经被记录下来。黑客诱骗技术系统的管理人员可以仔细分析和研究这些记录，了解黑客采用的攻击水平、攻击工具、攻击目的和攻击手段等，还可以分析黑客的聊天记录来推算他们的下一个攻击目标和活动范围，对系统进行防护性保护。同时这些记录还可以作为黑客的证据，保护自身的利益。
2.6 网络安全管理。确保网络的安全，还要加强对网络的管理，要限制用户的访问权限、制定有关的规章制度、制定书面规定、策划网络的安全措施、规定好网络人员的安全规则。此外，还要制定网络系统的应急措施和维护制度，确定安全管理和等级，这样才能确保网络的安全。
3 结束语
由于我们的工作和生活都离不开网络，所以计算机网络安全是我们非常关注的事情。我们需要建立一个安全、完善的计算机网络系统来保证我们的利益，需要计算机网络进行不断的完善，解决掉存在的各种安全威胁。同时网络的不安全也会影响到企业和国家的利益，所以只要网络的安全性提高了，企业和国家才能发展的更好，社会才会进步。
参考文献：
[1]张镝.浅析计算机网络安全建设方法及安全技术[J].电子世界，2014（08）：21-22.
[2]赵洪斌.计算机网络安全建设方法及安全技术[J].计算机光盘软件和应用，2013（11）：35-38.
在电信部门IDC机房部署应用服务器两台及以上、数据库服务器两台（或者四台）分别做双机热备或多机互备，数据库服务器通过光纤交换机与存储系统相连接，为了便于数据同步，在单位部署一台数据上传服务器和电信部门IDC机房部署一台前置数据库服务器，定期将内部需要在外网查询的内容通过数据上传服务器自动传送到外网前置数据库服务器上，在外网前置数据库服务器上进行数据校验和比对后自动同步到网站数据库服务器上，实现内外网数据的及时更新。
2网络通信建设
由于门户网站的所有硬件都托管在电信部门IDC机房，故在网络通信方面完全利用电信部门IDC机房现有的网络通信设备，对外出口带宽至少为两条100MB链路。
3网络安全防护建设
政府类门户网站的安全建设按照计算机信息系统安全等级保护三级技术标准执行。涉及内容包括：数据机房安全、网络通信安全、主机系统安全、应用安全、数据安全几个部分。
3.1防护对象
政府门户网站信息网络大致可分为管理信息区域和信息区域，管理信息区域用于支撑该系统与业务相关的内部管理信息应用数据。管理信息区域划分为用于承载内部办公的信息内网和用于支撑对外业务和互联网用户的信息外网。信息区为面向公众的信息平台，用于信息查询、政策导向、公众监督等互联网访问需要。
3.2设计思路
政府类门户网站网络安全防护体系是依据以下策略进行建设：双网双机：管理信息区划分为信息内网和信息外网，内外网间采用物理隔离，信息内外网分别采用独立的服务器，数据进行单向流动，通过人工操作实现，极大地保障了信息数据和内部网络的安全。等级防护：管理信息系统将以实现等级保护为基本出发点进行安全防护体系建设，并参照国家等级保护基本要求进行安全防护措施设计；多层防御：在分域防护的基础上，将各安全域的信息系统划分为边界、网络、主机、应用四个层次进行安全防护设计，以实现层层递进，纵深防御。
3.3防护措施
（1）基于网络安全的访问控制。在网络边界部署访问控制设备，启用访问控制功能；根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；在会话处于非活跃时间或会话结束后终止网络连接；限制网络最大流量数及网络连接数；重要网段采取技术手段防止地址欺骗；按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；限制具有拨号访问权限的用户数量。
（2）设备和审计系统结合。对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；审计记录包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；能够根据记录数据进行分析，并生成审计报表；对审计记录进行保护，避免受到未预期的删除、修改或覆盖等；实现对应用系统的数据访问与操作进行全面地监控审计，可实时显示和监视操作行为，详细记录所有的操作行为和操作内容，提供审计查询和关联分析，输出完整地审计统计报告。
（3）基于安全事件的防护。能够对非法接入内部网络的行为进行检查，准确定出位置，并对其进行有效阻断。
（4）检测和主动防御的融合。在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时提供报警。
（5）病毒防御机制。在网络边界处对恶意代码进行检测和清除；维护恶意代码库的升级和检测系统的更新。
（6）虚拟接入和防篡改技术。对登录网络设备的用户进行身份鉴别；对网络设备的管理员登录地址进行限制；网络设备用户的标识唯一；当对网络设备进行远程管理时，采取必要措施防止鉴别信息在网络传输过程中被窃听；实现设备特权用户的权限分离。通过主页防篡改系统进一步防止黑客对门户网站设备的入侵。
（7）主机系统防护。主机系统安全防护包括对系统内服务器及存储设备的安全防护。服务器包括业务应用服务器、数据库服务器、WEB服务器、文件与通信服务器等。保护主机系统安全的目标是采用信息保障技术确保业务数据在进入、离开或驻留服务器时保持可用性、完整性和保密性，采用相应的身份认证、访问控制等手段阻止未授权访问，采用主机防火墙、入侵检测等技术确保主机系统的安全，进行事件日志审核以发现入侵企图，在安全事件发生后通过对事件日志的分析进行审计追踪，确认事件对主机的影响以进行后续处理。
3.4安全防护集成
综上所述，政府门户网站信息网络的可靠运转是基于通讯子网、计算机硬件、操作系统、各种应用软件等各方面、各层次的良好运行。因此，其风险将来自对内部和外部的各个关键点可能造成的威胁，这些威胁可能造成总体功能的失效。网络安全体系结构主要考虑安全对象和安全机制，安全对象主要有网络安全、系统安全、数据库安全、信息安全、设备安全、病毒防治等。
（1）网络出口边界部署能够防御DoS/DDoS攻击、ARP欺骗攻击、TCP报文标志位不合法攻击、LargeICMP报文攻击、地址扫描攻击和端口扫描攻击等多种恶意攻击的下一代防火墙。保证正常访问用户的接入，对内网资源形成进行有效保护。
（2）网络出口部署入侵防御系统，因为内部网络中有很多服务器（如web服务器、通讯服务器、应用服务器集群等等），各种服务器的操作系统和数据库在网络通讯传输中存在天然的安全隐患，如对协议中的异常情况考虑不足。外部非法访问可利用协议的漏洞对服务器发起攻击。向服务器发送非标准或者缓冲区溢出的协议数据，从而夺取服务器控制权或者造成服务器宕机。密切跟踪全球知名安全组织和软件厂商的安全公告，对各种威胁进行分析、验证，保证实时更新签名库，跟进安全威胁的发展状况。不断升级入侵防御系统检测引擎以防护新出现的安全威胁，具备防御0-DAY攻击能力。
（3）网络内部署安全审计系统，在严格执行安全保密规定的基础上，对整个系统的监控审计管理，保证系统的数据完整性、保密性和可信性。实时显示和监视操作行为，详细记录所有的操作行为和操作内容，提供审计查询和关联分析，输出完整地审计统计报告。发生安全问题时，可以从系统的审计记录库中快速查找违规操作活动和留下的痕迹，获取可靠的证据信息，如果发生了安全事故也能够快速查证并追根寻源。
（4）在门户网站服务器前端部署web应用防火墙系统，对web服务器进行全面防护，发现并阻断各种WEB攻击，定期检查网站各种安全隐患，发现问题及时预警并自动采取修补措施；实时防护各种WEB应用攻击、DDOS攻击、网页木马攻击等行为。
（5）在Web服务器上部署网页放篡改系统，采用HTTP请求过滤、核心内嵌等技术；提供实时阻断、事件触发、数字水印和应用防护四种防护措施，通过四种防护措施的合理组合达到起到更好的防护作用。在安全审计系统对Web服务器的所有操作全面监控进行告警、记录的预防措施的前提下，形成一套有机的保护体系，在发生篡改行为后迅速恢复Web网页内容，不影响正常访问，避免业务中断。
（6）网络出口部署的防病毒网关，所有数据流都需要经过防病毒网关。因此防病毒网关能够有效地监控进入内部网络的流量。提供两种方式的病毒扫描，一种传统的扫描方式，文件完全扫描后推送给真正的接收者，主要用来保护安全需求强烈的服务器或者重要区域，另一种是边传输边缓存的方式，允许用户实时接收数据，延时减小。
3.5网络安全技术服务
政府门户网站信息网络投入运行后，如何保障系统的安全运行便成了重中之重。其中涉及的工作量巨大，技术要求亦非常高。因此，政府门户网站常常采取安全服务外包方式聘请具备专业安全服务资质的机构进行网络安全保障。安全服务内容主要包括以下方面：
（1）Web安全监测。针对WEB应用安全，我们所提出日常安全检测内容需包含：XSS跨站攻击检测；SQL注入检测；URL重定向检测；FORM检测（单表逃逸检测）；FORM弱口令检测；网页木马（恶意代码）检测；数据窃取检测；GOOGLE-HACK检测；中间人攻击检测；Oracle密码暴力破解；WebSer-viceXPath注入检测；Web2.0AJAX注入检测；Cookies注入检测；杂项：其他各类CGI弱点检测，如：命令注入检测、LDAP注入检测、CFS跨域攻击检测、敏感文件检测、目录遍历检测、远程文件包含检测、应用层拒绝服务检测等。（2）数据库安全监测。数据库安全检测需实现的功能：发现不安全的数据库安装和配置；发现数据库弱口令；发现数据库的变化或潜藏木马；发现数据库弱点和补丁的层次。从而在此基础上形成一个综合的分析报告及修复建议。
（3）漏洞及病毒通报.系统在运行期间，计算机病毒及安全漏洞问题将是直接威胁整个系统运行的重要因素。因此，我们需要安全服务提供商定期提供定向计算机漏洞及病毒情况通报。借此，通过对这些情况的实时动态、快速的掌握，可提高管理部门的快速响应能力。
（4）风险评估。该系统需定期进行风险评估工作。有效地借助专业安全服务提供商的力量，来检测本系统现行情况的安全现状。
（5）系统安全加固。安全服务提供商需指派专业人员定期针对加固的系统进行漏洞扫描、攻击、渗透等方面的测试，确保核心设备、核心系统的加固有效性，并及时报告系统加固现状。在业务系统上线之前检查安全配置情况，并提供安全加固建议。安全加固是指针对政府门户网站的服务器、安全设备的安全加固和安全配置优化，对网络设备的安全加固建议。通过定期的加固工作，将系统的安全状况提升到一个较高的水平。将在漏洞扫描、安全审计、渗透测试的报告结果基础上，对服务器、安全设备等方面存在的各类脆弱性问题进行提炼归纳，提出合理的切实可行的安全加固方案。安全加固方案在提交并经过用户方评审、许可后，进行安全加固实施，同时，必须指导、协助对各应用系统的操作系统、数据库系统、中间件和应用程序的安全配置、安全策略和安全机制进行电子政务云计算中心加固和完善，使应用系统符合安全防护要求，保证该信息系统的安全可靠运行。
3.5.1应急响应目标
及时响应信息系统的安全紧急事件，保证事件的损失降到最小。包括如下目标：
（1）7*24*365快速响应服务（本地），提供全天候的紧急响应服务，本地在2个小时内到达现场；
（2）判定安全事件类型，从网络流量、系统和IDS日志记录、桌面日志中判断安全事件类型。查明安全事件原因，确定安全事件的威胁和破坏的严重程度。查明安全事件原因，确定安全事件的威胁和破坏的严重程度：
（3）抑制事态发展，抑制事态发展是为了将事故的损害降低到最小化。在这一步中，通常会将受影响系统和服务隔离。这一点对保持系统的可用性是非常重要的；
（4）排除系统故障，针对发现的安全事件来源，排除潜在的隐患，消除安全威胁，彻底解决安全问题；
（5）恢复信息系统正常操作，在根除问题后，将已经被攻击设备或由于事故造成的系统损坏做恢复性工作，使网络系统能在尽可能短的时间内恢复正常的网络服务；
（6）信息系统安全加固，对系统中发现的漏洞进行安全加固，消除安全隐患；
（7）重新评估信息系统的安全性能，重新评价系统的安全特性，确保在一定的时间范围内，不发生同类的安全事件。
3.5.2应急响应内容
应急响应是处理各种恶意攻击带来的紧急破坏效果，这里包括如下方面：
（1）拒绝服务响应，当网络遭受大量通问而造成我们正常业务无法提供服务的时候，必须采取措施，将恶意访问抵挡在业务范围之外；
（2）数据破坏响应，当服务器的相关环节，包括文件服务器，网站服务器，数据库服务器等的数据被恶意破坏，导致无法正常提供服务，并且此类现象可能还会重现；
（3）病毒蠕虫响应，当网络遭受到病毒蠕虫的攻击，导致正常办公网络瘫痪无法正常实施业务，必须采取根治措施，去除恶意影响；
（4）其他情况应急响应，除了上面列明外，包括恶意窃听、代码攻击、网络欺骗等，需要进一步找到攻击根源，去除漏洞。
3.6等级保护测评
聘请第三方信息安全等级保护测评公司进行网站系统相关软硬件是否达到信息安全等级保护三级的要求，并出具测评证书。
4建立及完善安全管理机制和网站维护队伍
关键词：档案网络 信息安全保障 建设保障体系
1.引言
如今我们的网络安全受到了严重的威胁，我们必须把维护档案网络信息安全作为我们工作的重中之重。但是现在人们关注的焦点主要在于建设和完善档案网络信息系统、应用软件以及硬件设备，对维护档案网络信息安全的重视还不够，但档案的信息安全事关人民群众生活的方方面面，基于这一情况，笔者重点阐述了建设档案网络信息保障体系的一些想法。
2.建设档案网络信息保障体系的基本要求
在充分了解档案网络信息保障系统的前提下，为了保障档案网络信息的安全，我们必须遵循以下要求：
第一，在档案网络信息部门创造一个安全可靠的环境。维护档案信息安全的网络部门环境是十分重要的，要对该部门网络的信息查询始端和终端以及网络设备进行仔细的检查，并做好保护工作。
第二，创造一个安全可靠的档案信息传输通道。档案信息在传送的过程中很容易被窃取，因此我们对传输过程的保密措施要做得十分到位，以防不法分子窃取档案信息从而造成不必要的损失。
第三，严格限制用户的访问权限。用户在申请权限的时候，要证实用户的身份，并且要保证用户只能访问授权的内容，不能访问受限制的内容。
第四，完善密码和密码设备的协调机制。所有用户密码以及密码设备都应当进行统一的管理，并且要把每个用户的密码与密码设备对应起来，确保准确。
第五，创造综合管理档案信息的工作环境。这个要求就是将全部用户的档案信息集中到一起进行管理。这样不仅方便管理档案信息，还能保证档案信息不被丢失，以达到安全管理档案网络信息保障系统的要求。
3.建设档案网络信息保障体系的具体方法
第一，配备防止网络病毒的设备，其作用是检测出已经存在的病毒对其查杀，并做好预防病毒的工作。
第二，配置扫描网络漏洞的系统，定时对主机、操作系统、软件系统以及网口进行扫描，防止漏洞入侵威胁网络信息安全。
第三，配备内网监控审计系统，先在PC机上安装服务器，从而监控所有PC机运作的全过程。
第四，建立完善的用户认证系统。对于想要进入该系统的用户，必须核实他们的真实身份和信息，严格做好用户认证工作。
第五，对服务器进行加密。要对服务器做好加密工作，以防服务器在传输过程中丢失档案信息。
第六，对保证网络安全的服务器加密。要增设路由和防火墙的功用。
第七，建立一个良好的防火墙系统。以防不法分子的入侵。
第八，对路由器进行加密。
上面阐述的都是比较好的方法，我们在实际过程中，需要建立一个完善的安全保障体系，具体包括以下六方面的内容：
第一、 物理安全
先对需要加密的档案信息进行分类，根据他们需要加密的等级分为密文服务器以及明文服务器，然后将这些档案信息全部放置于屏蔽电磁的房间里，接着利用内网监控审计系统对整个网络和所有的主机进行实时监控。需要注意的是，我们要着重注意磁盘系统，由于磁盘系统是所有档案信息集中储存的场所，所以磁盘系统的安全与否决定着档案信息的安全。我们可以利用其他的高科技来保护磁盘系统以防不法分子的入侵。一般说来，物理安全保障体系是一种较为常见的手段，在实际应用中效果较为良好，而采用RAID 等技术来对磁盘的安全性加以保证，更是能够极大程度的提升整体的物理安全性能，为档案的保护提供了便利。
第二、 网络安全
储存档案信息的设备以及传送档案信息的设备一定要对终端和存储服务器配备密码机，只有这样才能够对档案信息进行加密。对于该部门的网络IP地址，要根据实际情况和工作需求，有效的进行规划。在选择硬件设施的时候，最好选择具有自动保障安全的设备。建设档案网络信息保障体系，对档案信息的安全性的提升所具有的现实意义是非常巨大的，通过必要的手段来对网络访问权限进行控制和管理，能够有效的提升网络的整体安全程度，对于保证档案网络信息的安全是具有重要的作用的。
第三、 系统安全
有些档案信息是需要特别加密的，通常我们都是采用Windows 2003且达到B级安全等级的操作系统，这种系统可以实时的把握系统运行的情况。必要时，还可以把国家认证的系统应用于此，这样可以增加保密的强度。此外，还需要做好备份工作，完善备份机制。应该看到，系统安全对于档案的网络信息安全保障体系的构建是具有特殊意义的，这是因为，只有一套安全有效的系统作为支持，才能够保证所研发的系统具有实现预先设计功能的可能。
第四、 应用安全
加密文件服务器和不加密文件服务器可以分开来管理。先对档案信息进行处理，重要的信息要提高加密等级，无关紧要的信息可以不进行加密。应用系统在工作的时候，也要保障它的安全，做好备份和预防工作。使用该系统的用户也应当得到官方的认证，同时对一些信息的访问应当受到限制。保证系统的自我恢复功能，在实际应用过程中具有极其重要的意义，尤其是对于提升系统的整体稳定性以及降低由于突发事件所导致的信息受损程度，都有极其重要的积极作用。
第五、 用户安全
我们是为用户服务的，用户安全也应当全力保证。在选择杀毒软件的时候，最好选择网络版本的杀毒防毒系统，一旦系统出现了漏洞或者是补丁，要立即进行修复。网络系统在运行的时候，要打开监控设备全程监控。已经设立好的IP地址不能随意的改变。用户在应用系统之前，就要对其身份进行认证，这不仅是为了保护档案信息的安全，也是为了保护用户的安全。认证以及管理用户的身份和信息是实现档案网络信息安全保证体系的基本前提。
第六、 安全管理
我们进行安全管理主要是为了在分层管理网络系统，集中监控档案信息安全的基础上，建立一个全方位多层次的档案网络信息安全保障系统。进行安全管理应当做到以下几个方面：第一，建立严格的管理规章制度，具体包括保障系统运作制度，用户认证制度，安全操作制度，程序规范制度，定期检查制度等等。第二，设立一个健全的组织机构，由专门的人对档案网络信息安全工作进行掌控，具体的部门由专业人士进行管理，各个部门的人要及时进行工作交流，取长补短。第三，设立一个完善的安全保障机制，也就是说，在出现故障或者档案信息安全受到威胁的时候，要有相应的措施应对，并且能够有效的处理各种突况。同时，还可以增设一些安全配套设施，比如说安全管理器、密码服务器等等。实际上，一套行之有效的安全管理机制，对于提升档案信息安全是非常有必要的，人作为机器的控制者，在工作中，通过制度对人的行为加以规范，是安全管理的重要途径之一。
4.结语
随着我国经济的高速发展，我国的互联网事业同样取得了辉煌的成就，而在科学技术和信息技术高速发展的社会，却连连遭遇档案信息丢失或被窃的问题。然而我们知道，保障档案信息的安全是确保国家和军队的重要支撑力量，所以保护档案信息安全是一件十分重要而且紧迫的事情。无论是国家、政府、军队，还是普通大众，都要给予档案信息安全足够的重视，并且要从理论和技术的角度，积极保护档案信息的安全。
参考文献：
【关键词】图书馆信息安全 存在的问题 重要性 管理策略
一、信息安全管理及其重要性
信息安全管理是一个极具综合性的学科，它涉及计算机科学、管理学、安全学如密码科学等众多专业领域。其定义放眼望去可以说是众说纷纭，但综合起来信息安全的主要任务或定义就是对信息的维护，以保证信息的安全、完整、及高度的保密性。信息安全管理在我国的起步不是很早，,但发展却很迅速,我国的政府主管部门对信息安全特别是其管理给与了极大重视。,借助于网络通信和高新技术的发展,数字化图书馆的发展取得了巨大的进步,在信息化时代，每一种新兴技术的出现，也附带着一些隐患，数字化图书馆也不例外，数字化图书馆在很大程度上是很便利的，但是，当某一个环节出现问题时可能造成整个图书馆网络出现瘫痪，因此，保证图书馆网络安全，使其高效运行便显得尤为重要。
二、图书馆安全问题存在的隐患的几个方面；
（一）计算机病毒和木马的威胁
随着计算机技术的发展，电脑病毒也不断“升级”，病毒的传播范围愈来愈广，破坏力也不断增强，信息技术的发展也为病毒的传播提供了便利，这些病毒和木马通过各种方式侵扰网络用户，如电子邮件、主动扫描等方式，图书馆的安全信息系统也难逃其害，这对图书馆的安全管理和广大用户都产生了许多不利影响。如果用户没有装置相应的实施网页主动防御软件，就可能被病毒和木马所侵袭。用户的重要账号和密码等有价值的信息被黑，因此图书馆的网络安全形式相当的严峻。
（二）自身系统存在的问题
目前大多数图书馆安装的都是是windows操作系统，其特点是操作方便，配置简单，漏洞却相当多，很容易被病毒和黑客所攻击和侵袭。另外internet的基础协议tcp|ip协议的漏洞通过ip欺骗，拒绝服务和数据监听等手段使得网络出现安全问题。
（三）网络黑客的入侵
黑客多利用黑客特用工具进入服务器后台程序对图书馆网络进行攻击破坏，网络内容被随意篡改，许多不良信息涌入网络，对社会产生了恶劣影响。而且黑客的门槛降低，图书馆的信息网络往往会成为最直接的试验地。
（四）图书馆自我管理模式的落后
外部的侵扰和威胁会影响图书馆的安全，但自身管理的漏洞往往是对其网络系统的最大威胁。图书馆应该建立合理科学的管理系统和安全机制，制定好相应的应急措施，这样才会有效减少安全问题出现的几率。相比之下，许多单位的管理模式还是传统的管理模式，在出现问题后才被动的去处理，这显然不是我们采取的有效之法。而由于管理制度的落后导致的信息泄露往往引起了图书馆的重大安全问题。
（五）网络设备配置隐患
现如今，网络设备配置很普遍也很必要，但其中也出现了许多漏洞。网络设备配置有很多种类，而正是多种类也为图书馆网络管理增加了许多难度，比如设备用户设置的密码过于简单，就会产生许多隐患，容易让不法分子钻了空而去的设备控制权，修改用户设备配置，尽管这只是小小的疏忽，却为整个网络管理带来不便甚至是危险。
三、信息安全管理的目的和原则
（一）目的有如下；首先为了保证计算机必备硬件遭到自然灾害的损害，其次，保证信息系统的处理信息的运行安全，防止信息未被授权而遭更改和泄漏破坏，保证信息的保密性和完整性。最后，通过信息安全管理的制度规范和体系来保证业务的运行和管理安全。
（二）原则如下；第一是系统化原则，即信息安全管理要制定具体的、有针对性的安全管理计划和措施，根据具体要求来制定全方位更加细化的安全策略。
第二是与时俱进原则，即信息安全管理应时刻关注信息技术变化，考察安全环境动态，与时俱进，根据最新的发展制定最新的管理办法。
第三是预防控制为主的原则，信息安全管理以预防为主，要求组织成员要有一定的信息安全管理的超前意识，能够预防大多数的安全事件。
第四是规范化原则，遵照信息安全管理的规范，并结合组织的信息安全管理要求来制定安全策略制度。
四、图书馆安全网络信息环境的构建
（一）安装智能防火墙
面对当前中很多的网络漏洞，安装智能防火墙既是一种必要，也是一种明确的选择。所谓智能防火墙，其智能之处就体现在它利用一系列细致高效的方法如统计、记忆、概率等进行数据控制。新的数学的方法消除了匹配检查所需的海量计算,使其高效的发现网络行为的特征从而进行直接的访问控制,智能防火墙综合了包过滤和技术,能对数据链路层进行全方位的控制,实现tcp|ip协议的微内核.这种内核使得速度超过了传统的防火墙,而且提供透明的技术,减轻客户端的配置工作,还支持数据加密和解密,提供对虚拟网的vpn的强大支持,内部信息完全隐藏等使得图书馆的网络系统处于一个更加安全的环境。智能防火墙还能有效的监控和管理图书馆内部的局域网，传统的防火墙只防外不管内，导致的后果是局域网速慢，病毒和木马横行。智能防火墙的安装能有效发现图书馆内部的恶意流量并帮助管理人员找到受攻击的源头。虽说不能100%的去防范网络攻击，但可以防御大部分的黑客攻击。
（二）建立系统的病毒防杀体系
传统的病毒防杀系统已无法有效抑制现行病毒的侵害，随着信息化的发展，网络技术不断更新，网络病毒也出现了许多新特点，如传播的途径多速度快、病毒种类多等。所以要更好的防护图书馆信息安全就必须要采用新型的集中式的病毒防杀措施，这种集中式的病毒防杀系统可以管理很多的联网计算机，并可以统一查杀病毒，自动更新和升级病毒库，有科学健全的病毒预警机制，还可以提高电子邮件病毒网关和病毒引擎功能，对病毒邮件进行过滤。就目前来看可以说集中式病毒防杀系统对防御网络病毒是非常有效的。
（三）网络使用者权限的分配合理化
网络使用权限的安全实质上也就解释了网络安全的状态，因此要保证图书馆的网络安全就必须要科学而有效的管理网络账号和权限。所以在实际的操作中我们要注意以下几点，首先是要提高使用者权限的分配合理度，注意在设定和分配权限中的安全性，一定程度上限制高权限者的数量，避免多用户多漏洞的情况发生。其次网络管理员要对用户和账号进行统一的管理，限制管理员账号的登陆网站，将其网站登录固定在本图书馆内，以防网外用户对本馆网络的侵入。
（四）注意重要数据的备份
图书馆系统永远不可能是万无一失，绝对安全的，这时候，数据库的备份工作是必要而且迫切的,他作为数据安全的最后一道防线,是图书馆进行网络信息服务的基础,数据安全是图书馆的核心部分在图书馆中，数目与读者的信息时最基础也是最难以收集的数据，,万一这些数据丢失以后可能对图书馆的正常工作造成不可弥补的损失,因此，我们应该把图书馆的数据备份工作放在绝对位置，并定期将数据转存，在需要并条件许可时，要对重要的数据进行双重安全的保护，即采取双机热备份技术进行备份，保障图书馆系统的正常运行。
（五）加强图书馆安全管理的制度建设
制度永远是任何建设的基础，同样，有了健全的管理制度体系才能引导并保障图书馆安全管理向着更好的方向发展。这个制度体系中包括很多方面，每个领域、每个细节都应该将制度意识落到实处，包括游戏的管理机构完整的管理制度和针对性的培训和明确的安全责任体系。
其次，技术部门也需要加强制度体系的建设，安全合理的管理体制是技术人员正确操作的保证，在图书馆的网络维护上也应该多下功夫，建立专门的技术团队来定是维护网络安全，并负责其中的制度与策略的实施，当然，技术人员本身也应该注意自身的技术规范，保证这一环节科学安全，避免漏洞出现。最后技术部门的一个职能就是对员工和读者进行安全教育和技术培训，增强器安全意，还有图书馆其他工作人员也应学习一下网络和技术培训，参加相关的操作了解来达到丰富自己网络安全的知识。
图书馆的信息安全是相当重要的，需要我们顺应新时代的发展趋势，来保证图书馆网络事业的健康发展。
参考文献；
一、以账户为核心进行管理
1.一个用户、一个账户(One userOne account)，全校一卡通。
2.账户灵活分组，赋予适当权限。
建教师组和学生组。将账户加入其中，分别赋予适当权限。
有时也面对临时目标设立虚拟工作组。
二、保证主干畅通，全网冗余设计，负载均衡
核心层采用高性能双并列主干交换机结构，一个链路失效后，快速将负载转移到集束的其他链路上，使网络正常运行。
采用HSRP，一个路由器不工作时，另一个可迅速接管，不至整个网络瘫痪，在第三层上实现路由容错、负载均衡、对用户通明。
三、合理设置和分配IP地址
1.静、动结合
重要的服务器、网关等少数设备为静态IP；其他机器通过DHCP服务器动态分配。
2.划分VLAN
为隔绝广播风暴，方便组内共享和教学，合理划分VLAN。
每个机房设一个VLAN，可用于教学广播系统授课、分发素材和控制。
每个教研组设一个VLAN，可访问组内共享的教案、课件等材料。
设置一管理VLAN，连在核心三层交换机上，配置ACL，只许管理VLAN和特定主机直接访问每一台机器，其他均过滤。在管理VLAN中设一无线接入端口，通过WPA-PSK(TKIP)加密链路，但出于安全考虑平时不开通。
四、设置VPN
1.LANtoLAN方式VPN
VPN网关上配输入输出过滤器，将VPN隧道数据流转发给VPN服务器，其他数据流按类型转发给相应的服务器，隧道使用IPSec提供安全保障。
2.客户到LAN方式VPN
采用SSL隧道安全协议。设置教师和学生公用VPN账号密码和并发数，Web登录后，仍要进行个人账户验证，才可访问。
开通专用管理员VPN账号，在进行证书认证后，可远程登录维护。
五、数据库的安全策略
1.采用分布式数据库
为减少校际间带宽的占用、便于管理，采用分布式，使数据库的存储和使用尽量在本校区内完成。
2.站点间相互信任、数据一致性维护、加密和备份
站点间通过Kerberos基于对称密码体制的双向身份验证协议来进行信任验证。
当多用户并发访问数据时，会产生丢失更新、读过时数据、读脏数据等问题，采用两段封锁协议可使并发调度策略串行化，避免带来的问题：如死锁，则强行撤销引起死锁的事务，数据库回滚。
分片设计上，遵循完备性、重构和不相交条件。
对敏感字段进行库内加密，常用于索引的字段明文存放。
数据库定期冷热备份，多用增量备份，建立日志和检查点，以便发生事务、系统或介质故障和病毒破坏时进行数据恢复。
六、防火墙配置
用ACL允许教师账户访问Inter―net，在规定时间以外拒绝学生账户访问Internet；对外过滤非法IP地址和协议，通过账户名口令登录。才能访问内部资源。
用服务器，分担部分用户认证，缓存设计大大分减了出校流量、冗余，使安全性和性能得以提高。
管理人员每天检查日志，及时发现异常进行处理。
七、防毒措施
用卡巴斯基的网络版进行实时监控定期查杀；每台PC上安装杀毒软件，定时升级，实时监控和查杀。
学生机房克隆前，母盘要保证无毒；中毒后可一键还原。
以上就是我校网络建设中安全策略和机制的设计实施情况，在实际运行和使用中不断改进取得了好的效果。
参考文献：
