物业工程部培训网络安全防范.docVIP

安全防范技术? 风险管理 安全策略 安全教育目前，越来越多的政府部门和企业机构开始应用Internet，信息共享程度与网上业务不断增加。与此同时，网络攻击和犯罪活动也日益猖獗。如何防止机密信息在网络中被泄露或窜改、如何有效地抵制和打击信息犯罪、保障网络与信息安全等，给人们提出了严峻的挑战。本文将讨论主要的网络安全防范技术与产品的有关问题。? 网络安全防范技术? 目前，网络安全防范技术主要从网络访问和网络协议入手，有下面一些具体的技术。???? 1. 密码学技术 密码学技术不只局限于对数据进行简单的加密处理，而是包括加密、消息摘要、数字签名及密钥管理在内的所有涉及到密码学知识的技术。网络安全服务的实现离不开加密技术的支持，应用加密技术不仅可以提供信息的保密性和数据完整性，而且能够保证通信双方身份的真实性。???? 2. 访问控制 访问控制是根据网络中主体和客体之间的访问授权关系，对访问过程做出限制，可分为自主访问控制和强制访问控制。自主访问控制主要基于主体及其身份来控制主体的活动，能够实施用户权限管理、访问属性（读、写、执行）管理等。强制访问控制则强调对每一主、客体进行密级划分，并采用敏感标识来标识主、客体的密级。???? 3. 身份认证 身份认证主要是通过标识和鉴别用户的身份，防止攻击者假冒合法用户获取访问权限。对于一般的计算机网络而言，主要考虑主机和节点的身份认证，至于用户的身份认证可以由应用系统来实现。???? 4. 安全审计 安全审计通过对网络上发生的各种访问情况记录日志，并对日志进行统计分析，从而对资源使用情况进行事后分析。审计也是发现和追踪事件的常用措施。???? 5. 安全监控 安全监控技术主要是对入侵行为的及时发现和反应，利用入侵者留下的痕迹（试图登录的失败记录、异常网络流量）来有效地发现来自外部或内部的非法入侵; 同时能够对入侵做出及时的响应，包括断开非法连接、报警等措施。安全监控技术以探测与控制为主，起主动防御的作用。???? 6. 安全漏洞检测 安全漏洞检测技术是指利用已知的攻击手段对系统进行主动的弱点扫描，以求及时发现系统漏洞，同时给出漏洞报告，指导系统管理员采用系统软件升级或关闭相关服务等手段避免受到这些攻击。????是最基本的网络安全技术，其他还有例如SSL、SHTTP、SOCKS、IPSec和SET等多种安全协议和安全技术，均是对这些技术的不同应用和扩展。?安全是一个广泛的主题，它涉及到许多不同的区域（物理设备、网络、系统平台、应用程序等），每个区域都有其相关的风险、威胁及解决方法。当我们讨论信息安全的时候，经常只关心黑客和操作系统的漏洞。尽管它们是安全的重要部分，但只是安全广义概念上的两个组件而已。对于连网的企业组织来说风险与威胁是没有终止的。信息安全是一个动态发展的过程，不仅仅是纯粹的技术，仅仅依赖于安全产品的堆积来应对迅速发展变化的各种攻击手段是不能持续有效的。信息安全建设是一项复杂的系统工程，要从观念上进行转变，规划、管理、技术等多种因素相结合使之成为一个可持续的动态发展的过程。绝对的信息安全是不存在的，每个网络环境都有一定程度的漏洞和风险。这种程度是可以接受的。信息安全问题的解决只能通过一系列的规划和措施，把风险降低到可被接受的程度，同时采取适当的机制使风险保持在此程度之内。当信息系统发生变化时应当重新规划和实施来适应新的安全需求。信息系统的安全往往取决于系统中最薄弱的环节 - 人。人是信息安全中最关键的因素，同时也应该清醒的认识到人也是信息安全中最薄弱的环节。我们经常听到这样令人感兴趣的信息：病毒、蠕虫造成了严重的破坏，黑客获取了信用卡的信息，大型网站主页被黑等等。可能人们普遍的认识是企业没有安装安全产品（如：防火墙、入侵检测系统、防病毒系统等）。这些问题很大程度上是安全管理没有有效实施造成的。安全管理是企业信息安全的核心。安全管理包括风险管理、安全策略和安全教育。这三个组件是企业安全规划的基础。风险管理识别企业的资产，评估威胁这些资产的风险，评估假定这些风险成为现实时企业所承受的灾难和损失。通过降低风险（如：安装防护措施）、避免风险、转嫁风险（如：买保险）、接受风险（基于投入/产出比考虑）等多种风险管理方式得到的结果来协助管理部门根据企业的业务目标和业务发展特点来制定企业安全策略。随着企业规模、业务发展、安全需求的不同，安全策略可能繁简不同。但是安全策略都应该简单明了、通俗易懂并直接反映主题，避免含糊不清的情况出现。信息安全策略是企业安全的最高方针，由高级管理部门支持，必须形成书面文档、广泛发布到企业所有员工手中，同时，要对所有相关人员进行安全策略的培训，对于有特殊责任人员要进行特殊的培训，使得安全策略能够真正在企业正常运营过程中得到贯彻、落实、实施。在安