Abstract: The opening features of computer network has brought the threat and danger to computer network security. From the construction of a safe computer network, this paper expounds the situation computer network security from the angle of software and hardware, analyses the reason of network security problem, and makes some appropriate measures to strengthen the security construction based on some invasion means, in order to solve the network security issues, including information security, network security, behavior safety, and other technical problems.
关键词：计算机；网络安全；网络建设；防火墙
Key words: the computer；network security；network construction；the firewall
中图分类号：TP393 文献标识码：A文章编号：1006-4311（2012）15-0227-02
1对计算机网络安全构成威胁的常见方式
计算机网络的良好运行需要得到网络设备设施、电脑硬件、相应的操作系统、软件以及相关技术方面的支持，所以，网络产生的风险主要来源于网络的各项薄弱环节，入侵的方式有很多种。按照网络入侵的接口类型进行分类，包括内部网络以及外部网络两种类型的安全威胁。①外部网络构成的安全威胁。因为业务需要计算机终端联通了外部网络，一般情况下这种连接并未采取安全防护措施， 非常容易遭受外部网络的侵入。比如:病毒的袭击，导致网络或者系统出现瘫痪；木马程序的侵入，盗窃系统的控制权、关键资料；此外，还会对网络站点进行恶意篡改，向网络发送含有病毒的E-mail等。②内部网络构成的安全威胁。由于电脑用户的剧增，很多办公场所以及居民小区中建立各种局域网。网络的内部结构以及物理连接方式变化频繁，造成网络安全性能受到较大影响，容易产生安全隐患。
按照网络入侵的形式进行分类，也包括两种类型：①非法访问或者恶意袭击。体现为“黑客”的恶意袭击，利用网络系统本身存在的漏洞，窃取到该系统的各项操作权限，对系统进行非法访问并且破坏系统中的各项数据。黑客还能在网络传输过程中充分利用线路的电磁泄露或者搭线等办法用来窃取数据。②病毒袭击。病毒在电脑网络系统中传播非常快速，破坏力非常强，众所周知，任何种类的计算机病毒都会让计算机用户感到恐惧。此外，还有一些比如木马、蠕虫等病毒程序，使得用户的一些比较重要的数据资料都不得不小心翼翼。
2网络安全的研究与分析
数据加密技术在网络中发挥的功能是预防有重要的信息内容在网络上遭到拦截、盗窃和恶意篡改,在网络上实施窃听非常容易实现，黑客十分轻易就能够窃取到计算机用户的密码或者相关数据，而要想有效防止这些情况的出现最直接有效的办法是对其进行加密，并且加密之后的有关口令或者数据就算被黑客窃取也无法破译。下文介绍一些常用的加密法。
2.1 对称式加密法对称式加密（DES）是加密和解密共用相同的密钥，一般称为“Seccsion”，这种加密技术非常普及。该技术是一种对称算法，数据加密十分标准，方便快捷，十分适合于对大量的数据进行加密。比如美国政府运用的DES加密的标准便是这种加密技术，其“Seccsion Key”长度为56Bits。利用56 Bits的“Seccsion Key”对64 Bits的数据块实施加密，并且对于64Bits的数据块实施16 轮编码。在实施每轮编码的时候，一个48 Bits的“每轮” “Seccsion Key”值由56Bits的完整“Seccsion Key”获得。该技术的不足之处在于“Seccsion Key”长度较短，因而需要通过三重DES 的办法来解决“Seccsion Key”长度较短的问题。即通过两个“Seccsion Key”对明文实施三次加密，如果两个“Seccsion Key”为K1与K2。用K1实施解密。用密匙K2对前一个步骤产生的结果实施解密。通过K1对第二个步骤产生的结果实施加密。该技术的保密性由“Seccsion Key”的保密程度来决定，而计算方法是透明的。而DES内部的结构极为复杂，从而到目前为止并未找到破译的捷径。
2.2 非对称加密码法非对称算法（RSA）是由RSA公司发明，它是一种支持变长密匙的公开密钥算法，加密文件块的长度是可以变化的，所谓非对称，即这种算法需要一对密匙，利用当中某个加密，就要利用另外一个才能够进行解密，也就是它的最大的特点是利用不一样的密匙进行加密以及解密，每一个计算机用户保存着PK（公开密钥）以及SK（秘密密钥）。这种算法的安全性主要依赖对于大数的因子进行分解，它的最大缺点是没有办法从理论发明证实其保密性能，并且产生密匙也比较繁琐、分组的长度过长、运算代价非常大等缺陷。
2.3 数字证书以及公钥基础设施伴随互联网技术的高速发展，特别是电子商务的突飞猛进，为确保商务、贸易以及各种支付活动的安全可靠，要求有一种相应的机制来验证各方身份的真实性。而安全认证是确保电子商务能够良好运行的前提。公钥基础设施（PKI）是由公开密匙技术、CA数字证书、证书的认证中心以及公开密匙相关的安全对策等构成，它是一种以加密技术为基础的有效安全认证机制。数据的保密性以及安全性问题可以获得良好的解决。计算机用户通过PKI系统提供的安全可靠的服务开展安全通信活动，在网络上开展的所有通信服务的均是基于公钥为基础，而私钥仅仅掌握在与之通信的对象手中，利用数字签名以及数字证书，以保证发送的电子文档的全面完整性、准确不可篡改性以及无法抵赖性。
2.3.1 验证数据的完整性发送信息者通过所传输的信息和相应的算法产生一个附件，并且将信息和附件同时传输过去；接收信息者接收到信息与附件之后，通过相同算法和收到的信息产生新的附件；把这个新的附件和所收到的附件加以对比，假如这样的话 表明接收到的信息为正确的信息，反之，表明在传输信息过程中出了差错。
2.3.2 电子签章电子签章也就是数字签名，也可以称之为公匙数字签名，和书面上签名比较接近，只不过利用公匙加密技术，可以用来鉴别数字信息。一般有两种互为补充的计算，其中一个用来签名，一个用来验证。这种数字签名是一种通过发送信息者设置的其他人不能伪造的数字，这些数字是对发送信息者所传输信息的真实性的一种验证。其实质上是附属于数据单元上的一部分的数据或者是对其所实施的密码变换。通过数据或者变换可以使接受数据单元的人员对于数据单元的发送者以及数据的完整性进行确认，并且保护数据的不被恶意篡改。签名机制的根本目的是该签名只能利用签名者本人的相关信息才可以形成，即一个人的签名信息的形成具有唯一性。当双方出现异议的时候，仲裁方（即第三方）可以依据消息上的电子签章来核定该消息是不是由信息的发送者发送出去的,避免出现抵赖的问题。公开密钥技术的产生，使得电子签章变得更加便捷，无需第三方实施签名与验证。实现签名的步骤为：甲通过他自己的密钥加密信息，对文件进行签名；甲将签名的信息传送给乙； 乙利用甲的公开密钥对信息进行解密，对签名实施验证。
2.4 防火墙以及SSL安全协议的应用
2.4.1 防火墙的作用防火墙是指由软件和硬件组成、在内、外部网络之间、专用以及公用网之间建立的一个保护屏障，它是一种计算机软、硬件的有效结合，以便保护网络的安全，使得内部网不会受到非法用户的袭击。防火墙能够起到有效的保护作用。入侵者务必要通过防火墙所设置安全防线，才有可能接近入侵的计算机。防火墙的基本特性有三个：①内、外部网络两者之间的一切网络信息流均需通过防火墙。②只有那些满足安全条件的信息流才允许经过。③防火墙本身具备很强的抵御攻击的保护能力。
2.4.2SSL安全协议的工作原理SSL安全协议是也可以称之为安全套接层（Secure Sockets Layer）协议，它通常用在提升应用程序的数据安全性，是基于Internet所提供的确保私密性的一项安全协议。它可以使得客户与服务器之间的传输的信息免遭窃听，而且保持对服务器实施有效认证，还能够选择对计算机客户实施有效认证。SSL 协议牵涉到一切TCP/IP应用程序，是一种确保了所有安装了套阶层的用户与服务器两者之间的安全协议。它的优点是和应用层协议没有关联。它所提供的服务主要发挥了三个方面的作用。其一，确保了用户与服务器的认证具有合法性；其二，能够对传输的数据进行加密，确保数据的隐蔽性；其三，能够使得传输的数据保持完整性。
3计算机网络安全的前景分析
计算机网络早已融入人们的工作、生活等各个方面，由于网络具有开放性、共享性以及国际性的特点，所以计算机网络的安全问题肯定需要接受严峻的考验。一方面一些不法之徒抓住计算机网络自身存在的缺陷或者漏洞实施攻击，而另外一方面网络在社会经济发展的各个领域都得到了广泛的运用，人们对于计算机网络的依赖性也与日俱增，这就要求我们对于网络信息的安全要求提出了更加严格的标准。信息系统安全的一个关键构成部分就是计算机网络安全。而我们国家的网络信息安全相关技术的研究与开发工作仍然处在发展的初期阶段，很多问题有待进一步解决与完善。从而使得计算机网络更加安全可靠，为我们国家的信息化发展提供保障。
参考文献：
[1]张宝剑.计算机安全与防护技术[M].北京:机械工业出版社,2003.
[2]袁津生,吴砚农.计算机网络安全基础[M].北京:人民邮电出版社,2003.
[3]陈建伟.计算机网络与信息安全[M].科学出版社,2006,2.
[4]郑小辰,赵葵,张红红.浅析网络安全问题[J].陕西煤炭,2008,(2):111- 112.
此次活动通过对2016年重大网络安全事件的梳理，采用专家组评选和网络投票的方式，评选出2016年网络安全大事件。
会上，来自中国工程院、中国科学院、公安部的专家学者，以及来自多家安全企业的业内人士，包括中国工程院院士、国家信息化专家咨询委员会委员沈昌祥，公安部网络安全保卫局原局长顾建国，中国计算机学会计算机安全专业委员会秘书长、公安部网络安全保卫局处长唐前临，安天网络安全技术有限公司副总裁李波等均表示，网络安全正在成为影响国民经济发展的重要因素，并且已逐渐深入扩展到政治、法律、军事、民生等各个层面，进而影响着整个社会的稳定和运转。
为此，我国应该进一步加强网络安全的防范工作，以此为基础建设网络强国，让互联网在国民经济中产生更加积极的影响和推动力。
中国计算机学会计算机安全专业委员会主任、公安部第一研究所原所长、研究员严明在主题为“网络安全的重要性和深远影响日益凸显”的发言中表示：“2016中国网络安全大事评选活动意义重大。一方面，此次活动评选出的大事，是对2016年网络安全领域的归纳、回顾和总结。通过这些事件，我们可以清晰地看到网络安全领域的事态发展和行业趋势。另一方面，这些大事也促使各界对网络安全、信息安全、网络经济等重要领域进行重新思考。通过回顾和分析这些事件的产生，我们不难发现，网络安全的重要性，以及对各行各业的深远影响日益凸显。特别是构建国家网络安全战略和严厉打击网络安全犯罪行为，已成为关系到各行各I和几乎所有人的重要问题。通过对网络安全重要性的审视，以及网络安全形势的分析，我们应从国家战略部署、政策法规、技术应用，以及打击网络犯罪等层面入手，不断加强网络安全环境的建设，以此促进网络安全的健康发展。”
关键词：智慧城市；智慧徐州；网络安全；安全防范
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2015）27-0037-03
Abstract： Network security for the wisdom of Xuzhou Information Resource Hub Project provides e-government LAN access to network security means that part of the application using virtual private network （VPN） technology， security exchange and sharing of the safe and reliable transmission of data. The construction of network security can protect the key application and encryption data of Xuzhou Information Resource Hub Project， enhance the efficiency of data transmission， and support the rapid creation of new security environment to meet the new application process requirements.
Key words： smart city； Xuzhou； network security； security
随着信息技术的迅速发展，世界各地有竞争力的城市已迎来了数字向智慧城市迈进的大潮。智慧城市建设注重城市物理基础设施与IT基础设施之间进行完美结合，旨在改变政府、企业和市民交互的方式，提高明确性、效率、灵活性和响应速度，促进城市内外部信息产生、交流、释放和传递向有序化、高效化发展，关注提高城市经济和社会活动的综合竞争力，越来越受到中国各个城市领导者的认同和肯定。
徐州市在“十二五”伊始，深刻认识到智慧徐州建设在提升综合竞争力、加快转变经济发展方式、加强社会建设与管理，解决发展深层次问题等方面的重要作用，将“智慧徐州”建设纳入了未来城市发展的战略主题，希望通过智慧徐州建设，以信息资源整合、共享、利用为抓手，健全公共服务，增进民生幸福，科技创新驱动产业转型升级，智能手段创新城市管理模式，采约建设实现信息基础全面领先，为把我市建设成“同类城市中环境最为秀美、文化事业最为繁荣、富民强市最为协调的江南名城”提供有力支撑。
网络系统作为智慧徐州信息资源枢纽工程及各部门接入的承载，需通过网络系统进行数据传输，规划一张合理的、高效的、安全的网络系统能够有效地保障智慧徐州信息资源枢纽工程能够安全、稳定、高速地运行。
1 网络安全建设
由于智慧徐州信息资源枢纽工程的信息资源的高度集中，带来的安全事件后果与风险也较传统应用高出很多，因此在建设中安全系统建设将作为一项重要工作加以实施。网络安全建设应包括以下几方面：
1.1 安全的网络结构
安全的网络结构应该能够满足为了保证主要的网络设备在进行业务处理时能够有足够的冗余空间，来满足处理高峰业务时期带来的需求；确保网络各部分的带宽能够满足高峰业务时期的需要；安全的访问路径则通过路由控制可以在终端与服务器之间建立；按照提出需求的业务的重要性进行排序来指定分配带宽优先级别，如果网络发生拥堵，则优先保护重要的主机；能够绘制出当前网络运行情况的拓扑结构图；参考不同部门之间的工作职能和涉及相关信息的重要程度等因素，来划分成不同的子网和网段，与此同时在以方便管理和控制的前提下，进行地址分配；重要网段部署不能处在网络的边界处而且不能与外部信息系统直接连接，应该采取安全的技术隔离手段将重要网段与其他网段进行必要的隔离。
1.2 访问控制安全
当在网络边界对控制设备进行访问时，能够启动访问控制功能；对实现过滤信息内容的功能，并且能对应用层的各种网络协议实现命令级的控制；能自动根据会话的状态信息为传输的数据流提供较为明确的允许或者拒绝访问的能力，将控制粒度设为端口级；能够及时限制网络的最大流量数和网络的连接数量；当会话结束或非活跃状态的会话处于一段时间后将终止网络的连接；要采取有效的技术手段防止对重要的网段地址欺骗；能在遵守系统和用户之间的访问规则条件下，来决定用户对受控系统进行资源的访问是否被允许或拒绝，同时将单个用户设置为控制粒度；具有拨号访问权限的用户数量受到限制。
在关键的位置部署网关设备是实现访问控制安全的最有效途径，政务网接入边界安全网关：为内部区域提供边界防护、访问控制和攻击过滤。
1.3 审计安全
安全审计方面应包括能够对网络系统中设备的用户行为、网络流量、运行状况等进行相关的记录；并且能够分析所记录的数据，生成相关的报表；为避免审计记录受到未预期的修改、覆盖或删除等操作，应当安全保护审计记录。通过防火墙可以实现网络审计的功能。
网络的审计安全主要内容有：为能够有效记录网络设备、各区域服务器系统和安全设备等这些设备以及经过这些设备的所有访问行为，应在这些设备上开启相应的审计功能，由安全管理员定期对日志信息和活动状态进行分析，并发现深层次的安全问题。
1.4 检查边界的完整性
为对私自联到内部网络的非授权设备行为进行安全检查，边界完整性检查要求能够准确定出其位置，并进行有效的阻断。
实现边界完整性检查的相关技术：
1）制定严格的检查策略，将服务器区域在网络设备上划分为具有独立功能的VLAN，同时禁止除来自网络入侵防御系统以外的其他VLAN的访问；
2）为提升系统自身的安全访问控制能力，应对安全加固服务器系统采取相应措施。
1.5 入侵防范
网络的入侵防范应能在网络边界处监视到木马后门攻击、拒绝服务攻击、IP碎片攻击、端口扫描、强力攻击、网络蠕虫攻击和缓冲区溢出攻击等攻击行为。当攻击行为被检测到时，应能记录攻击的时间、源IP、目的和类型，如果发生较为严重的入侵事件，应及时提供警报信息。通过前置防火墙实现入侵防御的功能。
1.6 恶意代码防范
在网络边界处检测和清除恶意代码，对恶意代码数据库的升级和系统检测的更新等，是恶意代码防范的范畴。目前，主要是通过网络边界的安全网关系统防病毒模块来检测和清除系统漏洞类、蠕虫类、木马类、webcgi类、拒绝服务类等一系列恶意代码进行来实现恶意代码防范的技术。
1.7 网络设备的安全防护
网络设备的安全防护要求能够限制网络设备管理员的登录地址；在网络设备用户的标识唯一的伯伯下，要能鉴别出登录用户的身份；主要网络设备对同一用户进行身份时鉴别时，应当选择几种组合的鉴别技术来鉴别，避免只使用一种鉴别技术；鉴别身份的信息应不易被冒用，网络口令应定期更换而且要有一定的复杂度，不易破解；当登录失败时，能自动采取限制登录次数、结束会话和当网络登录连接超时自动退出等相应措施；当网络设备被用户远程管理时，能够有防止网络传输过程的鉴别信息被窃听的相关措施。
网络设备安全防护的技术实现主要是通过提供网络设备安全加固服务，根据前面的网络结构分析，系统采用若干台核心交换机、汇聚交换机和接入交换机，实现各个安全区域的连接。
对于网络设备，应进行相应的安全加固：
1）将楼层接入交换机的接口安全特性开启，并将MAC进行绑定。
2）关闭不必要的服务，包括关闭CDP、Finger服务、NTP服务、BOOTp服务（路由器适用）等。
3）登录要求和帐号管理，包括采用enable secret设置密码、采用认证、采用多用户分权管理等。
4）SNMP协议设置和日志审计，包括设置SNMP读写密码、更改SNMP协议端口、限制SNMP发起连接源地址、开启日志审计功能。
5）其它安全要求，包括禁止从网络启动和自动从网络下载初始配置文件、禁止未使用或空闲的端口、启用源地址路由检查（路由器适用）等。
2 网络安全防护
边界防护：在智慧徐州信息资源枢纽工程的边界设立一定的安全防护措施，具体到智慧徐州信息资源枢纽工程中边界，就是在平台的物理网络之间，智慧徐州信息资源枢纽工程的产品和边界安全防护技术主要采用交换机接入、前置防火墙及网闸。
区域防护：比边界防护更小的范围是区域防护，指在一个区域设立的安全防护措施，具体到智慧徐州信息资源枢纽工程中，区域是比较小的网段或者网络，智慧徐州信息资源枢纽工程的区域防护技术和产品采用接入防火墙。
节点防护：节点防护主要是指系统健壮性的保护，查堵系统的漏洞，它已经具体到其中某一台主机或服务器的防护措施，建议智慧徐州信息资源枢纽工程中的产品和节点防护技术都应采用病毒防范系统、信息安全检查工具和网络安全评估分析系统等。
3 网络高可用
在智慧徐州信息资源枢纽工程网络建设中，网络设备本身以及设备之间的连接都具非常高的可靠性。为了保障智慧徐州信息资源枢纽工程网络的稳定性，在智慧徐州信息资源枢纽工程核心网络部分，核心交换机、接入防火墙等设备全部采用冗余配置，包括引擎、交换网、电源等。所有的连接线路全部采用双归属的方式，包括与电子政务局域网互联，与服务器接入交换机互联。在数据应用区，服务器通过双网卡与服务器接入交换机互联，保障了服务器连接的高可靠性。
4 数据安全
4.1 数据安全建设
数据的安全是整个安全建设中非常重要的一部分内容。数据的安全建设主要涉及数据的完整性、数据的保密性以及数据的备份和恢复。对于系统管理、鉴别信息和重要业务的相关数据在存储过程中进行检测，如检测到数据完整性有错误时采取必要的恢复措施，并且能对这些数据采用加密措施，以保证数据传输的保密性。
对于资源共享平台系统的数据安全及备份恢复要求如下：
1）对于鉴别信息数据存储的保密性要求，均可以通过加强物理安全及网络安全，并实施操作系统级数据库加固的方式进行保护；
2）对于备份及恢复要求，配置了备份服务器和虚拟带库对各系统重要数据进行定期备份；
3）需要通过制定并严格执行备份与恢复管理制度和备份与恢复流程，加强各系统备份恢复能力。
4.2 数据安全加密传输（VPN）
针对数据传输的安全性，部分接入部门到智慧徐州信息资源枢纽工程的数据进行VPN加密传输。接入部门和平台两端之间运行IPSec 或SSL VPN协议，保证数据在传输过程中的端到端安全性。
4.3 数据交换过程的安全保障
平台数据交换过程的安全保障主要指信息在交换过程中不能被非法篡改、不能被非法访问、数据交换后不能抵赖等功能。
平台业务系统在传递消息的过程中可以指定是否采用消息内容的校验，校验方法是由发送消息的业务系统提供消息的原始长度和根据某种约定的验证码生成规则（比如 MD5 校验规则）生成的验证码。
4.4 数据交换接口安全设计
平台提供的消息传输接口支持不同的安全标准。对于对安全性要求比较高的业务系统来说，在调用平台的Web Service接口时使用HTTPS 协议，保证了传输层面的安全；而对于安全性不那么重要，只想通过很少的改动使用平台功能的业务系统来说，可以简单的通过HTTP方式调用平台的Web Service接口进行消息的传输。
5 安全管理体系建设
在智慧徐州信息资源枢纽工程安全保障体系建设中，应该建立相应的安全管理体系，而不是仅靠技术手段来防范所有的安全隐患。安全建设的核心是安全管理。在安全策略的指导下，安全技术和安全产品的保障下，一个安全组织日常的安全保障工作才能简明高效。
完整的安全管理体系主要包括：安全策略、安全组织和安全制度的建立。为了加强对客户网络的安全管理，确保重点设施的安全，应该加强安全管理体系的建设。
5.1 安全策略
安全策略是管理体系的核心，在对信息系统进行细致的调查、评估之后，结合智慧徐州信息资源枢纽工程的流程，制定出符合智慧徐州信息资源枢纽工程实际情况的安全策略体系。应包括安全方针、主策略和子策略和智慧徐州信息资源枢纽工程日常管理所需要的制度。
安全方针是整个体系的主导，是安全策略体系基本结构的最高层，它指明了安全策略所要达到的最高安全目标及其管理和适用范围。
在安全方针的指导下，主策略定义了智慧徐州信息资源枢纽工程安全组织体系及其岗位职责，明确了子策略的管理和实施要求，它是子策略的上层策略，子策略内容的制定和执行不能与主策略相违背。安全策略体系的最低层是子策略，也是用于指导组成安全保障体系的各项安全措施正确实施的指导方针。
5.2 安全组织
由于智慧徐州信息资源枢纽工程信息化程度非常高，信息安全对于整个智慧徐州信息资源枢纽工程系统的安全建设非常重要。因此，需要建立具有适当管理权的信息安全管理委员会来批准信息安全方针、分配安全职责并协调组织内部信息安全的实施。建立和组织外部安全专家的联系，以跟踪行业趋势，监督安全标准和评估方法，并在处理安全事故时提供适当的联络渠道。
5.3 安全制度
智慧徐州信息资源枢纽工程对于安全性要求非常高，因此安全制度的建立要求也很严格。由管理层负责制定切实可行的日常安全保密制度、审计制度、机房管理、操作规程管理、系统管理等，明确定义日常安全审计的例行制度、实施日程安排与计划、报告的形式及内容、达到的目标等。
智慧徐州信息资源枢纽工程建成后，需要针对各系统制定完善的动作体系，保证系统的安全运行。
参考文献：
[1] 吴小坤，吴信训.智慧城市建设中的信息技术隐患与现实危机[J].科学发展，2013（10）：50-54.
[2] 娄欢，窦孝晨，黄志华，等.智慧城市顶层设计的信息安全管理研究[J].中国管理信息化，2015（5）：214-215.
[3] 赵军.信息安全体系下的东营智慧城市建设研究[J].中国安防，2014（9）：84-89.
一、 基本网络的搭建。
由于校园网网络特性(数据流量大,稳定性强,经济性和扩充性)和各个部门的要求(制作部门和办公部门间的访问控制),我们采用下列方案:
1. 网络拓扑结构选择:网络采用星型拓扑结构(如图1)。它是目前使用最多,最为普遍的局域网拓扑结构。节点具有高度的独立性,并且适合在中央位置放置网络诊断设备。
2.组网技术选择:目前,常用的主干网的组网技术有快速以太网(100Mbps)、FDDI、千兆以太网(1000Mbps)和ATM(155Mbps/622Mbps)。快速以太网是一种非常成熟的组网技术,它的造价很低,性能价格比很高;FDDI也是一种成熟的组网技术,但技术复杂、造价高,难以升级;ATM技术成熟,是多媒体应用系统的理想网络平台,但它的网络带宽的实际利用率很低;目前千兆以太网已成为一种成熟的组网技术,造价低于ATM网,它的有效带宽比622Mbps的ATM还高。因此,个人推荐采用千兆以太网为骨干,快速以太网交换到桌面组建计算机播控网络。
二、网络安全设计。
1.物理安全设计 为保证校园网信息网络系统的物理安全,除在网络规划和场地、环境等要求之外,还要防止系统信息在空间的扩散。计算机系统通过电磁辐射使信息被截获而失密的案例已经很多,在理论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米的复原显示技术给计算机系统信息的保密工作带来了极大的危害。为了防止系统中的信息在空间上的扩散,通常是在物理上采取一定的防护措施,来减少或干扰扩散出去的空间信号。正常的防范措施主要在三个方面:对主机房及重要信息存储、收发部门进行屏蔽处理,即建设一个具有高效屏蔽效能的屏蔽室,用它来安装运行主要设备,以防止磁鼓、磁带与高辐射设备等的信号外泄。为提高屏蔽室的效能,在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设计,如信号线、电话线、空调、消防控制线,以及通风、波导,门的关起等。对本地网 、局域网传输线路传导辐射的抑制,由于电缆传输辐射信息的不可避免性,现均采用光缆传输的方式,大多数均在Modem出来的设备用光电转换接口,用光缆接出屏蔽室外进行传输。
2.网络共享资源和数据信息安全设计 针对这个问题,我们决定使用VLAN技术和计算机网络物理隔离来实现。VLAN(Virtual LocalArea Network)即虚拟局域网,是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。
IEEE于1999年颁布了用以标准化VLAN实现方案的802.1Q协议标准草案。VLAN技术允许网络管理者将一个物理的LAN逻辑地划分成不同的广播域(或称虚拟LAN,即VLAN),每一个VLAN都包含一组有着相同需求的计算机工作站,与物理上形成的LAN有着相同的属性。
但由于它是逻辑地而不是物理地划分,所以同一个VLAN内的各个工作站无须放置在同一个物理空间里,即这些工作站不一定属于同一个物理LAN网段。一个VLAN内部的广播和单播流量都不会转发到其它VLAN中,即使是两台计算机有着同样的网段,但是它们却没有相同的VLAN号,它们各自的广播流也不会相互转发,从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。VLAN是为解决以太网的广播问题和安全性而提出的,它在以太网帧的基础上增加了VLAN头,用VLANID把用户划分为更小的工作组,限制不同工作组间的用户二层互访,每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围,并能够形成虚拟工作组,动态管理网络。从目前来看,根据端口来划分VLAN的方式是最常用的一种方式。许多VLAN厂商都利用交换机的端口来划分VLAN成员,被设定的端口都在同一个广播域中。例如,一个交换机的1,2,3,4,5端口被定义为虚拟网AAA,同一交换机的6,7,8端口组成虚拟网BBB。这样做允许各>，！
但是,这种划分模式将虚拟网络限制在了一台交换机上。第二代端口VLAN技术允许跨越多个交换机的多个不同端口划分VLAN,不同交换机上的若干个端口可以组成同一个虚拟网。以交换机端口来划分网络成员,其配置过程简单明了。
3.计算机病毒、黑客以及电子邮件应用风险防控设计 我们采用防病毒技术,防火墙技术和入侵检测技术来解决相关的问题。防火墙和入侵检测还对信息的安全性、访问控制方面起到很大的作用。
第一,防病毒技术。病毒伴随着计算机系统一起发展了十几年,目前其形态和入侵途径已经发生了巨大的变化,几乎每天都有新的病毒出现在INTERNET上,并且借助INTERNET上的信息往来,尤其是EMAIL进行传播,传播速度极其快。计算机黑客常用病毒夹带恶意的程序进行攻击。
为保护服务器和网络中的工作站免受到计算机病毒的侵害,同时为了建立一个集中有效地病毒控制机制,天下需要应用基于网络的防病毒技术。这些技术包括:基于网关的防病毒系统、基于服务器的防病毒系统和基于桌面的防病毒系统。例如,我们准备在主机上统一安装网络防病毒产品套间,并在计算机信息网络中设置防病毒中央控制台,从控制台给所有的网络用户进行防病毒软件的分发,从而达到统一升级和统一管理的目的。安装了基于网络的防病毒软件后,不但可以做到主机防范病毒,同时通过主机传递的文件也可以避免被病毒侵害,这样就可以建立集中有效地防病毒控制系统,从而保证计算机网络信息安全。形成的整体拓扑图。
第二,防火墙技术。企业防火墙一般是软硬件一体的网络安全专用设备,专门用于TCP/IP体系的网络层提供鉴别,访问控制,安全审计,网络地址转换(NAT),IDS,VPN,应用等功能,保护内部局域网安全接入INTERNET或者公共网络,解决内部计算机信息网络出入口的安全问题。
关键词：校园网；网络搭建；网络安全；设计
以Internet为代表的信息化浪潮席卷全球，信息网络技术的应用日益普及和深入，伴随着网络技术的高速发展，各种各样的安全问题也相继出现，校园网被“黑”或被病毒破坏的事件屡有发生，造成了极坏的社会影响和巨大的经济损失。维护校园网网络安全需要从网络的搭建及网络安全设计方面着手。
一、 基本网络的搭建
由于校园网网络特性（数据流量大，稳定性强，经济性和扩充性）和各个部门的要求（制作部门和办公部门间的访问控制），我们采用下列方案：
1． 网络拓扑结构选择：网络采用星型拓扑结构（如图1）。它是目前使用最多，最为普遍的局域网拓扑结构。节点具有高度的独立性，并且适合在中央位置放置网络诊断设备。
图1：基本网络拓扑图
2．组网技术选择：目前，常用的主干网的组网技术有快速以太网（100Mbps）、FDDI、千兆以太网(1000Mbps)和ATM(155Mbps/622Mbps)。快速以太网是一种非常成熟的组网技术，它的造价很低，性能价格比很高；FDDI也是一种成熟的组网技术，但技术复杂、造价高，难以升级；ATM技术成熟，是多媒体应用系统的理想网络平台，但它的网络带宽的实际利用率很低；目前千兆以太网已成为一种成熟的组网技术，造价低于ATM网，它的有效带宽比622Mbps的ATM还高。因此，个人推荐采用千兆以太网为骨干，快速以太网交换到桌面组建计算机播控网络。
二、网络安全设计
1．物理安全设计 为保证校园网信息网络系统的物理安全，除在网络规划和场地、环境等要求之外，还要防止系统信息在空间的扩散。计算机系统通过电磁辐射使信息被截获而失密的案例已经很多，在理论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米的复原显示技术给计算机系统信息的保密工作带来了极大的危害。为了防止系统中的信息在空间上的扩散，通常是在物理上采取一定的防护措施，来减少或干扰扩散出去的空间信号。正常的防范措施主要在三个方面:对主机房及重要信息存储、收发部门进行屏蔽处理，即建设一个具有高效屏蔽效能的屏蔽室，用它来安装运行主要设备，以防止磁鼓、磁带与高辐射设备等的信号外泄。为提高屏蔽室的效能，在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设计，如信号线、电话线、空调、消防控制线，以及通风、波导，门的关起等。对本地网 、局域网传输线路传导辐射的抑制，由于电缆传输辐射信息的不可避免性，现均采用光缆传输的方式，大多数均在Modem出来的设备用光电转换接口，用光缆接出屏蔽室外进行传输。
2．网络共享资源和数据信息安全设计 针对这个问题，我们决定使用VLAN技术和计算机网络物理隔离来实现。VLAN（Virtual Local Area Network）即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。IEEE于1999年颁布了用以标准化VLAN实现方案的802.1Q协议标准草案。VLAN技术允许网络管理者将一个物理的LAN逻辑地划分成不同的广播域（或称虚拟LAN，即VLAN），每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。但由于它是逻辑地而不是物理地划分，所以同一个VLAN内的各个工作站无须放置在同一个物理空间里，即这些工作站不一定属于同一个物理LAN网段。一个VLAN内部的广播和单播流量都不会转发到其它VLAN中，即使是两台计算机有着同样的网段，但是它们却没有相同的VLAN号，它们各自的广播流也不会相互转发,从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。VLAN是为解决以太网的广播问题和安全性而提出的，它在以太网帧的基础上增加了VLAN头，用VLANID把用户划分为更小的工作组，限制不同工作组间的用户二层互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。从目前来看，根据端口来划分VLAN的方式是最常用的一种方式。许多VLAN厂商都利用交换机的端口来划分VLAN成员，被设定的端口都在同一个广播域中。例如，一个交换机的1，2，3，4，5端口被定义为虚拟网AAA，同一交换机的6，7，8端口组成虚拟网BBB。这样做允许各端口之间的通讯，并允许共享型网络的升级。但是，这种划分模式将虚拟网络限制在了一台交换机上。第二代端口VLAN技术允许跨越多个交换机的多个不同端口划分VLAN，不同交换机上的若干个端口可以组成同一个虚拟网。以交换机端口来划分网络成员，其配置过程简单明了。
3．计算机病毒、黑客以及电子邮件应用风险防控设计 我们采用防病毒技术，防火墙技术和入侵检测技术来解决相关的问题。防火墙和入侵检测还对信息的安全性、访问控制方面起到很大的作用。
第一，防病毒技术。病毒伴随着计算机系统一起发展了十几年，目前其形态和入侵途径已经发生了巨大的变化，几乎每天都有新的病毒出现在INTERNET上，并且借助INTERNET上的信息往来，尤其是EMAIL进行传播，传播速度极其快。计算机黑客常用病毒夹带恶意的程序进行攻击。
为保护服务器和网络中的工作站免受到计算机病毒的侵害，同时为了建立一个集中有效地病毒控制机制，需要应用基于网络的防病毒技术。这些技术包括：基于网关的防病毒系统、基于服务器的防病毒系统和基于桌面的防病毒系统。例如，我们准备在主机上统一安装网络防病毒产品套间，并在计算机信息网络中设置防病毒中央控制台，从控制台给所有的网络用户进行防病毒软件的分发，从而达到统一升级和统一管理的目的。安装了基于网络的防病毒软件后，不但可以做到主机防范病毒，同时通过主机传递的文件也可以避免被病毒侵害，这样就可以建立集中有效地防病毒控制系统，从而保证计算机网络信息安全。形成的整体拓扑图如图2。
图2：防病毒 架构拓扑图
第二，防火墙技术。企业防火墙一般是软硬件一体的网络安全专用设备，专门用于TCP/IP体系的网络层提供鉴别，访问控制，安全审计，网络地址转换（NAT），IDS，VPN，应用等功能，保护内部局域网安全接入INTERNET或者公共网络，解决内部计算机信息网络出入口的安全问题。
校园网的一些信息不能公布于众，因此必须对这些信息进行严格的保护和保密，所以要加强外部人员对校园网网络的访问管理，杜绝敏感信息的泄漏。通过防火墙，严格控制外来用户对校园网网络的访问，对非法访问进行严格拒绝。防火墙可以对校园网信息网络提供各种保护，包括：过滤掉不安全的服务和非法访问，控制对特殊站点的访问，提供监视INTERNET安全和预警，系统认证，利用日志功能进行访问情况分析等。通过防火墙，基本可以保证到达内部的访问都是安全的可以有效防止非法访问，保护重要主机上的数据，提高网络完全性。校园网网络结构分为各部门局域网（内部安全子网）和同时连接内部网络并向外提供各种网络服务的安全子网。防火墙的拓扑结构图如图3。
图3：防火墙拓扑图
内部安全子网连接整个内部使用的计算机，包括各个VLAN及内部服务器，该网段对外部分开，禁止外部非法入侵和攻击，并控制合法的对外访问，实现内部子网的安全。共享安全子网连接对外提供的WEB，EMAIL，FTP等服务的计算机和服务器，通过映射达到端口级安全。外部用户只能访问安全规则允许的对外开放的服务器，隐藏服务器的其它服务，减少系统漏洞。
公布各国外交使节往来文件。维基解密公布的文件称，意大利总理希尔维奥•贝卢斯科尼和俄罗斯总理普京有着“亲密关系”。美国的外交官们永远也无法理解普京为何会偏爱这位“软弱、无能，喜爱狂欢作乐而常常缺乏睡眠”的意大利总理。然而，尽管贝卢斯科尼有这些缺点，普京仍旧乐意送他一些贵重的礼物（作为回礼，贝卢斯科尼也会回赠一些奢侈的礼物。）两位政要总是依托国家资源，签署一些能源协议，这让美国的外交官们非常不解。一时间，美国政府一方面向各相关国家解释道歉，一方面以各种手段打击维基泄密的相关人员，同时禁止政府工作人员阅读、下载或传递泄密电文。关于气候学家擅自更改数据事件，导致人们对全球变暖理论产生怀疑，外界纷纷指责科学家操纵研究结果的行为。为此英格兰东安格利亚大学特别成立独立的调查小组对事件进行调查，并且还解雇了气候研究所主任菲利普•琼斯教授。
“维基解密”事件对档案馆藏的安全保密工作提出全面挑战
维基泄密为何掀起如此轩然大波呢？我们看到，使美国和其他相关国家政府大为惊恐的，并不仅仅是泄密内容，而是泄密的方式和手段———这是有史以来最大批量、最完整、并通过网络的机密文件外泄。在信息交流技术日益发达、人们日益依赖网络进行交流和决策的今天，相关政府除了乏力的道歉和解释之外，几乎毫无反击之力。维基泄密提醒我们：
1在数字化时代，窃取机密更加容易。泄密者也许只需点击一下鼠标就能获取和大量秘密信息，泄密门槛很低。维基泄密事件，无疑给世界各国敲响了数据安全防护的警钟，考验着各行各业从业人员对所从事工作的忠诚度。历年来，我国上至国家政府机密，下到企业商业机密，都在遭受一场空前的信息安全考验！仅仅以企业为例，据有关资料显示，企业的机密资料泄露80%来源于企业内部，其中75%来源于内部电子文档的流失。针对中国500家大型企业的调查发现，国内企业对电子文档几乎没有任何有效的防护措施，采取保护措施的还不到3%，一些机密文件、电子文档可轻易通过电子邮件、MSN、QQ或移动设备泄密到企业外部，从业人员对所从事工作的忠诚度势必成为企业信息化建设的重点。事实证明，无论从技术手段上安装专业的数据泄露防护系统，都不能从根本上解决数据泄密的问题，数字化信息时代的今天，内部和外部都会造成泄密，而一旦造成泄密事件，给我们的各项工作都会造成不可估量的损失。
2在数字化时代，机密外泄信息量巨大，速度极快、波及范围宽广。在档案传统馆藏利用与纸质传媒时代，机密文件易于做好安全防范措施，万一机密泄露，传播需要一定时日，且影响范围有一定限制。时至今日，维基解密网一次就公布逾9万份美国军方关于阿富汗战争的秘密文件，曝光阿富汗战争不少鲜为人知的信息，随后陆续公布的资料，都给各国政府造成恐慌。据【eNet硅谷动力消息】市场研究公司JupiterResearch在其发表的研究报告中指出，到2012年全球网民总数将占总人口的四分之一，达到18亿人。报告认为，从全球的角度来说，“金砖四国”巴西、俄罗斯、印度和中国的网民人数增长速度最快，到2011年，中国将会取代美国成为全球网民人数最多的国家，印度将是继中国和美国之后全球网民第三多的国家。如此规模庞大的网民基础、如此庞大的解密文件信息，无异于互联网的一次次核爆。
3数字化信息时代档案保密工作任重道远。档案馆藏经过数字化处理，所有馆藏都在各自的信息库或挂在互联网上，等同于已“公开”或“暂缓公开”。不妨说，自互联网诞生那天起，大多数互联网技术的创新与发展都是与网络“黑客”、间谍或“内部人员作案”斗争的结果。据网上爆料：2011年12月28日，国家工业和信息化部（下称工信部）发表声明称，已经启动应急预案。其下属国家互联网应急中心（CNCERT）30日数据显示，截至2011年12月29日，已通过公开渠道获得疑似泄露数据库26个，涉及账号、密码2.78亿条。
其中具有与网站、论坛相关联信息的数据库有12个，涉及数据1.36亿条；无法判断网站、论坛关联性的数据库有14个，涉及数据1.42亿条。2012年1月10日晚间，国家互联网信息办（下称国信办）就连环泄密事件所做的情况调查通报。通报披露，近期查处的五起信息泄露事件中，最终确认被黑客入侵并遭泄露者仅CSDN和天涯社区两家网站，被入侵均为2009年前的陈年往事；其余数据泄露或为公司内部职员监守自盗，或是“一些人编造或炒作网站用户信息被大规模泄露的消息”。2012年开年后，中国正式进入“5亿网民”时代，网络又传出新浪7000多万用户信息可被攻破，网络信息安全显现出前所未有的脆弱。这些都给我们档案从业人员提出了严峻的考验。
4打击网络泄密犯罪行为困难重重。维基解密网没有公开机密文件来源，没有传统的犯罪证据和传统犯罪套路，难以调查取证。网上公布维基解密其运作方式为：维基解密每天接到约30份用户匿名提交的文档，一般他们会先经过顾问和志愿者团队的可信度审核后，以原始的、未经编辑的形式把那些可信的材料贴出来，并附上评论。维基解密网站托管在以坚持客户匿名著称的瑞典网络服务提供商PRQ.se，这家公司可以承受法律压力和网络攻击。然后送到位于比利时的服务器上，再送到“另一个法律上较为友善的国家”，然后这些文件被删除，转存到其他地方。有一批匿名的工程师提供技术维护，整个流程和提交的文件都被加密，并使用经过修改的Tor网络匿名传输，整个系统即使核心成员也无法全部进入。此外，维基解密还在系统中一直传递许多虚假的提交文件，以使真正的文件难以被发现。西方世界各国联合打击维基泄密创始人阿桑奇，却无法给他以泄密事件定罪。
如何确保档案馆藏数字化建设网络信息平台安全
目前，我国各地档案数字化建设普遍存在一些问题：软件管理系统功能各异，缺乏通用性；信息难于实现资源共享；标准各地不同、规范化工作亟待提高；信息管理人员队伍建设不到位等。各级档案馆藏都带有国家秘密、企业核心利益等性质等各种纸质文档与电子文档,都有严格的保密规定与保密期限。透过维基泄密，我们应该清醒地意识到,档案管理也面临着前所未有的考验。随着改革开放的深入,利益格局的多元化和意识形态、社会生活方式的多样化,以及来自各方面的拉动和诱惑也越来越多。因此,档案管理战线必须认清自己的工作性质，把握方向,确保档案馆藏数字化建设网络安全。
1国家立法监督部门，加强对互联网监管和打击力度，对原有的相关法律法规，做出必要的完善与补充；对现有的《档案法》进行修订，加大打击各类利用档案数据进行违法犯罪活动的力度；国家档案局要采取措施，出台相关管理规定，出台国家档案管理数字化信息平台建设安保行业标准。
2全国各地要严格档案管理人员的选拔标准，加大对各级各类管理人员的培训工作。除了强调专业素质与能力外，要更加强调政治素质与职业道德。培训工作着重点要放在政治思想教育与职业道德建设上。
3各地市地方与高校档案管理部门，要严格按照国家相关法律法规和行业技术标准，切勿急躁、冒进、好大喜功建立各种数字化档案馆。已建成的数字化档案馆要不断完善安保措施建设，在建的要加强安保措施建设，待建待批的一定要有详细的安保措施预案，要对可能造成本单位档案泄密的地方要及时整改到位。
关键词：地市烟草；网络安全；技术；管理
中图分类号：TP393.08 文献标识码：A 文章编号：1674-7712 （2014） 02-0000-02
烟草行业自1985年有了第一台计算机以来，经过20多年行业信息化工作者孜孜不倦的努力，行业的信息化建设工作取得了长足的发展，建立了涵盖行业各个方面工作的完备的信息网络，为行业工作的便捷开展提供了可靠的信息化助力，为“卷烟上水平”做出了应有的贡献。但不可否认的是，在信息化建设之初，由于经验的缺乏及技术的限制，没有形成一个具有远见性及科学性，能与行业整体业务发展战略紧密融合的信息网络安全建设战略，导致多年来行业信息网络安全建设工作缺乏统一的导向和组织，虽然各省烟草公司都制定并出台了计算机网络建设与管理规范，指导各地市的信息网络建设，但因为制度出台时间较短，及网络改造需要流程与时间，可以说目前各地市网络安全建设水平仍不够理想，信息网络安全建设发展至今，越来越多的困难与矛盾开始逐渐凸显。
一、地市烟草公司信息网络安全建设现状
地市烟草信息网络是构成全省烟草信息网络的个体，因此地市信息网络安全建设水平便直接关系全省信息网络建设水平，是构成全省信息网络安全建设的一环，就像构成木桶的一板，依据管理学上“木桶效应”的短板理论，木桶的盛水量由构成木桶的最短的一板决定，当有一个地市信息网络安全建设水平大大低于平均水平，就将大大拉低全省烟草信息网络整体安全防护水平。可以说全省烟草的信息网路安全建设必将是环环相扣的，一环均不得松懈，一环均不得落后。
地市信息网络安全建设关系到全行业主干的网络的安全与稳定，而信息网络环境的复杂性、多变性以及系统的脆弱性、开放性和易受攻击性，决定了信息网络安全威胁的客观存在。当行业人员在享受着信息网络给日常办公带来便利性的同时，信息网络安全问题也日渐突出，信息网络安全建设形势日益严峻。结合地市烟草实际情况分析总结（某地市烟草信息网络安全结构图如下），以及笔者日常的实际工作体会，主要可以总结出当前地市烟草信息网络安全建设还主要存在着以下几方面问题：
（一）将信息网络安全建设理解为单纯的安全设备采购
经过多年的信息化网络安全建设投入，一种简单的理念容易令一些行业信息化工作从业者产生误解，即所谓的信息网络安全建设就是网络安全设备的采购，只要网络安全设备采购部署到位，信息网络安全便高枕无忧，从一定角度来说，这种观点并没有错误，随着信息技术的发展，日益先进强大的网络安全设备层出不穷，人性化的操作界面也使得设备使用与配置变得不再困难，对信息网络安全起到很好的保障。各地市烟草公司也在逐年增加着安全设备的采购数量，网络安全随着安全设备的增加看起来已经不再是问题。但实际情况是这样吗？在实际情况中我们仍然会发现，地市烟草在重视网络安全设备采购的时却较为忽视对网络安全设备采购的前期规划，导致亟需网络设备没有得到采购，或者采购的安全设备没有得到很好的实施。造成重复投资及资产浪费的局面，同时设备上线实施后期的运行维护及更新升级，随着时间的流逝，人为的懈怠与忽视，都导致购买的安全设备没有起到最大的作用。
（二）信网络安全建设偏重技术钻研，忽略日常管理
信息网络安全不能完全依赖技术手段来解决，更多的需要从信息安全日常管理上入手，毕竟信息网络的使用者是人，只有对人的管理到位，才能保证在技术手段搭建的网络安全保障平台下不出现人为操作引发的漏洞。当前地市信息化工作从业者在对信息安全技术钻研方面投以了很大的热情，但对信息网络安全日常管理方面却显得无能为力，或者说掌控能力还不够，虽然制定并颁布了涵盖网络安全各方面的信息化制度，但相关制度却没有得到很好的贯彻执行，很多制度名存实亡，而行业各级员工良好信息网络安全使用习惯始终没有得到养成，信息安全问责机制得不到很好实施，同时而信息中心作为相关信息安全管理制度的制定者，受限于部门职能及自身管理水平所限，导致对制度执行的监督管理能力低下。而在信息网络安全管理不力的情况下，致使再强大的技术防护都无法避免管理缺失形成的隐患。
（三）信息网络安全建设重视对外防护，忽视对内防护
当前网络安全建设更多的针对外来攻击的防护，而忽视对内的安全防护，更多的是在网络边界搭设安全设备抵御从外部而来的非法入侵及非法访问，而针对内部终端用户的审计及跟踪则较为缺失。根据统计结果标明，99.9%的网络安全事件来源于网络内部，而只有0.1%安全事件来自于外部，绝大多网络安全事件来自于以内部客户端为跳板进行的网络攻击。当企业内部存在有恶意的攻击者，他们就能较好的规避防火墙等安全设备的安全策略，并把安全策略转向对于他们有利的一面，对内部网络进行攻击。同时外部的黑客，也能通过木马，能让内部用户运行他们指定的程序，操纵主机，窃取数据，这些都源于当前的信息网络建设对来自网络内部攻击防护较为薄弱，同时对内部网络准入控制把控力度做得较为不足，虽部署有桌面终端管理系统，但在相应策略部署上，没有及时到位，而该系统特殊的技术阻断方式，也在一定程度容易导致其阻断率无法达到100%。
（四）网络安全建设应急机制不健全
目前地市信息网络安全建设更多的是重视的日常安全巡检等日常检查工作，但是对网络突发事件的应急处置则较为欠缺，地市网络安全建设应急机制建立不健全，缺乏相应网络事故应急预案及相关演练，对突况的应变不熟练，导致出现突发的网络安全事故时则会变得手忙脚乱，无法很好应对突发事件带来的异常，促使事故造成的损失愈发严重，同时没有良好的容灾备份机制，一旦信息安全事故发生，是否能快速有效的恢复关键数据成为疑问。
二、针对当前网络安全建设现状的一些建议
针对当前地市烟草信息网络安全建设过程中存在的问题，通过一定的分析总结，参照最新的技术规范及管理理念，以及上级的制度规定，我们试提出以下几条改进建议，以达到全面提升信息网络安全建设实用性、科学性、全面性、稳定性的效果，具体如下：
（一）加强网络安全设备采购的前期规划及合理配置实用
网络安全设备的采购应加强前期规划及需求分析工作，不能无目的，无原则的一味追求高新设备，当前的现状是各地市对网络安全的设备采购均存在着档次及匹配性问题，存在过大及追高的弊病，形成投资浪费，同时由于项目管控能力较弱，前期规划不足，购置的设备在配置实施后等不到很好的使用，或起不到原先预想的效果。因此要加强项目前期规划，做好需求调研与需求分析工作，对网络安全设备应起到的效果及采购设备级别有准确的预估，加强采购项目的整体实施管控，并重点关注设备采购后的实施上线工作，做好安全策略的制定和部署，要充分利用设备、活用设备，充分达到应起的效用，在设备正式上线运行后，要做好安全防护策略的及时更新与修订，作好安全设备的日常巡检工作，保证安全设备始终发挥作用，而不是上线运行一段时间后就闲置不管。通过对购置网络安全设备活用、善用，提升资产投资价值，搭建坚固稳妥信息网络安全环境，促进信息网络安全建设的实用性。
（二）建立完善的信息网络安全日常管理体系
加强网络安全建设的日常管理工作，应以培养员工的良好的网络安全习惯为工作重点。所谓信息网络安全建设“三分技术，七分管理”，管理到位，信息网络安全建设也将事半功倍。一味单纯的依靠技术进行网络安全防护，而管理上存在漏洞，再强大的技术也将一无所用。好的技术，加上完善严密的管理，才能确保信息网络安全、坚固、稳妥。因此要注重建立完善信息安全管理保障体系，加强安全监管和信息安全等级保护工作，要对网络设备的安全性和信息安全专用产品实行强制认证。同时在加强对员工日常信息安全理念培训的同时，要与接入网内的计算机终端使用者签订信息安全责任状，树立“谁使用、谁负责”、“谁管理、谁负责”的信息安全理念，严格落实信息安全责任制，确保员工不敢轻易触碰信息安全底限，养成良好信息网路安全使用习惯。通过建立全面多级信息网络安全管理体系，增进信息网络建设的科学性。
（三）加强信息网络安全建设对内防护工作
地市公司目前均在互联网出口及边界架设了硬件防火墙等安全设备，但由于防火墙的特殊技术架构，其对内部通过防火墙外部的数据是不进行检测的，这就导致黑客可以利用内网主机上的后门程序，建立隐蔽信道，攻破防火墙，因此其在抵御外部攻击上起到较好作用，但面对来自网络内部的攻击就显得束手无策，针对这一情况，在进行信息网络安全建设的同时，应重点加强信息网络安全的内部防护工作，而加强对客户端的上网行为审计及网络准入控制，就成了加强信息网络内部安全建设的必然选择。客户端接入网络的同时，通过对其安全状况及授权情况进行检测，只有安全状况符合要求，得到合理授权的客户端才能正常接入办公网络。应在互联网出口处，防火墙之前，部署上网行为管理设备，对客户端出互联网的数据进行检测及筛选，降低客户端进行危险的互联网访问，感染病毒，遭受攻击的分险。通过加强信息网络安全建设的内部防护，提升信息网络安全的全面性。
（四）加强信息网路安全建设应急机制建设及演练
要加强信息网络安全建设的应急机制建设，加强应急预案的实施演练，增强对网络安全突发事件的应急处理能力。每年应进行定期仿真度高的应急方案演练，模拟网络安全事故发生时可能发生的情况，进行针对性演习。在方案演练前，要做好演练前期的方案策划，演练过程的完全记录，演练过后的总结分析工作。并以此来不断改进现有的应急预案。同时应做好容灾备份工作，进行关键网络设备的冗余配置及重要数据库的备份工作，确保发生突发事件后，能够及时进行网络及数据恢复工作，将突发事件带来的影响降到最低，不过多的影响正常办公业务的开展，确保信息网络安全的稳定性。
四、结束语
烟草是个比较特殊的行业，在专卖体制下实行“统一领导?垂直管理?垄断经营”，处于一种行政限产型的垄断状态。行业的特殊性要求我们必须克服特殊体制带来的缺陷，高效的开展行业信息化建设工作。地市信息网络安络，作为全省信息网络的组成部分，其信息安全建设水平决定了全省信息网络安全性与稳定性，其重要性不言而喻，只有重视信息网络安全建设，重视当前信息网络安全建设过程中发现的问题，通过科学的规划，合理的布局，周密的实施，去逐渐改变当前的不利局面，才能确保信息网络安全建设的科学性、全面性、稳定性与实用性，确保日常信息网络的平稳运转，为全行业的快速发展提供稳定强大的信息化助力！
参考文献：
[1]福建省烟草公司.计算机网络建设与管理规范[Z].2012.
[2]卢昱，王宇.信息网络安全控制[M].北京：国防工业出版社，2011.
［关键词］ 通信网络； 网络建设； 网络安全
随着现代科技的迅猛发展，通信技术也得到长足的发展，中国的通信产业高速运行，通信市场竞争加大。在信息时代各通信公司为了争占市场，纷纷加大通信网络的建设工作，通信网络的建设是保证运营商赢得市场的关键。但在通信网络建设中存在许多网络安全问题，这些问题直接影响着信息化社会的通信网络服务质量，影响着每个人的信息生活。
1 通信网络建设中不安全问题存在的特点
同许多通信建设项目一样，通信网络建设中同样存在着许多风险，不安全问题也很多。这种不安全问题的不确定性，有的时候并不是以人的力量所能控制的，有的是客观因素造成的，有的是人为因素造成的，人类只有在建设过程中将可以预见的不安全因素加以控制，将网络建设的不安全因素降到最低，减少网络建设的损失程度。通信网络建设的不安全因素有着自身的特点。
1.1 不安全因素存在客观性
通信网络建设中的不安全问题有着一定的客观性，如客观存在对网络有害的地质环境等。
1.2 不安全因素存在主观性
由于社会的不安定因素的存在，在通信网络建设中还存在人为破坏网络安全的主观因素。
1.3 不安全因素存在偶然性
任何一种风险都存在着偶然性，网络建设过程中的风险不安全因素也同样，有时因多种其他因素引起的偶然性原因造成。
1.4 不安全因素存在必然性
在经过大量的不安全因素的事故资料研究后，我们发现通信网络建设过程中存在着某些必然发生的不安全因素，需要我们找出规律，有效避免。
1.5 不安全因素存在可变性
在通信网络建设过程中，各种不安全因素会随着项目的进度而变化，因此在建设过程中的任何一个时期都要注意这些可变性的不安全因素。
2 通信网络建设的中存在的不安全问题
2.1 通信网络建设中设备因素
通信网络建设过程中需要大量网络建设本身的设备如大型交换机、服务器、光纤、光缆、电缆和相关土建的大型设备，这些与网络计算机相关的设备的易损性也极大地影响网络安全，同样如果这些网络设备本身存在质量问题，将极大关系到通信网络建成后的通信网络质量。
2.2 通信网络建设中系统平台问题
如果说通信网络建设中，硬件好比是一个人的躯体，那么软件平台就相当一个人的中枢神经，软件平台质量的好坏，包括此平台的运行是否稳定，后续售后服务是否到位，软件平台是否可以升级，是否具有可持续发展性，都大大地关系到通信网络建设中的安全问题。另外由于目前我国通信系统所使用的软件平台多是商用软件或是在商用的基础上加以改进的，因此源代码的不安全性，是通信网络建设中的一个重大的安全隐患。
2.3 人类或动物因素的破坏
人为因素的破坏主要由两部分组成，一是人类活动的无意识的偶然性的破坏，如在建筑过程中将通信网络的光缆挖断等；二是人们主观性有意的破坏活动，有的甚至是一种犯罪活动，如偷挖光缆，或是因某种行业竞争进行网络破坏，或是损害社会利益破坏通信网络建设的一种行为。动物破坏网络建设的安全问题一般都比较小，影响面不大，一般指被动物咬断光纤，咬断网线的一些偶然性的事件。
2.4 自然灾害的影响
近年来，地球上的自然灾害频发，如海啸、地震、泥石流、水灾、火灾等，这些自然灾害对通信网络建设的损害是巨大的，有的是无法恢复的，但这一切又是现有人类的技术水平，人类的力量所不能抵抗的，在损害网络安全的这些灾害发生后，人类只能尽可能地恢复和弥补，将损失降到最小。
2.5 战争的影响
世界的总体虽然是和平的，但某些在局部地区也常常有局域性的战争爆发，像海湾战争等，各国家内也时有发生的各种不同等级不同性质的战争，由于现代科技的发展，现代战争对地球的损害几乎是毁灭性的，战争离不开通信设备，也是战争双方首先要破坏的设施，因此战争成为通信网络建设不安定因素和破坏者之一。
3 提高通信网络建设安全的策略
通信网络建设过程中，建设周期内会面临各种各样的安全问题，并且大量的安全问题之间存在着内在的错综复杂的关系，有的安全问题与外界因素交互影响，使得网络建设的安全问题题显得复杂化、多样化和多层次化。我们应该在网络建设过程中采取有力的方法手段将这些安全问题最小化，保证通信网络建设的正常运行。
3.1 加强网络建设人员管理
通信网络建设项目往往周期长、规模大、涉及范围广，人员是决定通信网络建设项目的重要因素，项目决策人可以为项目起到好的导向和管理作用，技术人员、施工人员和具体的业务管理人员，则细致到网络建设的各个部分，每个人的工作都影响到网络建设的安全问题，如，采买设备的人员采买的质量是否过关，技术人员在具体实施过程中是否认真等。
3.2 做好网络建设的前期调查
在进行通信网络建设时，一定要做好前期的调查和分析，做出可行性方案供多方面技术人员讨论，因为通信网络建设有着本身的特点，涉及到多个领域多个学科的多个方面，如地质勘测，可以决定某一区域的地质是否合适铺设光缆，是否适合建设大型机房，存放服务器等。每个方面的调查分析都要尽量充分，将网络建设中的任何不安全问题都考虑在内，尽量杜绝可以防止发生的网络建设安全问题。
3.3 做好防雷措施
有些自然现象是人类无法更改的，更是望而兴叹的，通信网络建设中一定要充分考虑这一问题，做好防雷击的设施，防止雷击对通信网络、设备造成的损害。防雷设施对通信网络非常重要，直接影响到通信网络能否正常运行。
3.4 做好防灾措施
包括很多方面，因为在许多自然灾害面前人类是无能为力的，而地震、水灾、火灾这些自然灾害对通信网络的损害又是毁灭性的，针对不同的自然灾害要采取不同的措施。
在地震高发地区，通信网络更为重要，同样防震措施尤为关键，为了保证通信网络与信息传送的安全，要尽可能地将网络建设的主要点建设在尽可能远离地震带的地方，在每个环节中都要做好防震措施，提升建筑特的防震等级。
在水灾易发地区，同样会对通信网络安全造成重大的损害，破坏通信网络的正常运行，因此在一些易发水灾的地区，将考虑通信网络建设的铺设地点，尽可能地将建设点建在地势较高的地方，远离水域，或是深埋地下，不易被洪水冲刷的地方。
总之，通信网络建设的安全关系大到影响到国家、社会的政治、经济、生活、文化的发展，小到影响到每一个人的具体生活，难以想象没有通信网络，在信息社会中人将如何生存，因此，提高对通信网络建设的安全问题的重视，采取相对应的安全措施，是保证通信网络建设的重要问题，从而确保我国拥有一个安全稳定的通信网络环境。
主要参考文献
［1］ 韩文华． 浅谈我国信息与通信网建设的安全问题［J］． 理论界，2005（6）.
［2］ 彭劲杰． 我国信息与通信网建设的安全思考［J］． 中国科技信息， 2005（23）.
［3］ 公戈． 论我国信息与通信网建设的安全问题［J］． 邮电设计技术， 2000（2）.
［4］ 艾科拜尔·艾合麦提． 浅谈我国通信网络建设中的若干安全问题［J］． 硅谷， 2008（15）.
