5.1网络安全基础设施

证书认证系统无论是企业内部的信息网络还是外部的网络平台,都必须建立在一个安全可信的网络之上。目前，解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务.PKI（Public Key Infrastructure，公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题,为网络应用提供可靠的安全保障，向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统，建立一个完善的网络安全认证平台，能够通过这个安全平台实现以下目标：

身份认证（Authentication):确认通信双方的身份，要求通信双方的身份不能被假冒或伪装,在此体系中通过数字证书来确认对方的身份.

数据的机密性（Confidentiality)：对敏感信息进行加密,确保信息不被泄露，在此体系中利用数字证书加密来完成。

数据的完整性（Integrity）：确保通信信息不被破坏(截断或篡改),通过哈希函数和数字签名来完成。

不可抵赖性(Non—Repudiation）：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成,数字签名可作为法律证据.

5。2边界防护和网络的隔离

VPN(Virtual Private Network)虚拟专用网，是将物理分布在不同地点的网络通过公用骨干网（如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性.

通过安装部署VPN系统，可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体,通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接。

集成的防火墙功能模块采用了状态检测的包过滤技术，可以对多种网络对象进行有效地访问监控，为网络提供高效、稳定地安全保护。

5.3安全电子邮件

电子邮件是Internet上出现最早的应用之一。随着网络的快速发展，电子邮件的使用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点，电子邮件存在着很大的安全隐患.

目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME(Secure Multipurpose Internet Mail Extensions)，它是从PEM(Privacy Enhanced Mail）和MIME（Internet邮件的附件标准）发展而来的.首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织（根证书）之间相互认证,整个信任关系基本是树状的.其次，S/MIME将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性.

5.4桌面安全防护

对企业信息安全的威胁不仅来自企业网络外部，大量的安全威胁来自企业内部。很早之前安全界就有数据显示，近80％的网络安全事件,是来自于企业内部。同时，由于是内部人员所为，这样的安全犯罪往往目的明确，如针对企业机密和专利信息的窃取、财务欺骗等，因此，对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。

桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。

1）电子签章系统

利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术，可以无缝嵌入OFFICE系统，用户可以在编辑文档后对文档进行签章，或是打开文档时验证文档的完整性和查看文档的作者。

2）安全登录系统

安全登录系统提供了对系统和网络登录的身份认证。使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机，只需拔出智能密码钥匙,即可锁定计算机.

3)文件加密系统

文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法，从而保证了存储数据的安全性。

6方案的组织与实施方式

网络与信息安全防范体系流程主要由三大部分组成:攻击前的防范、攻击过程中的防范和攻击后的应对。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程，也为本方案的实施提供了借鉴。

因此在本方案的组织和实施中，除了工程的实施外，还应重视以下各项工作:

(1)在初步进行风险分析基础上,方案实施方应进行进一步的风险评估，明确需求所在，务求有的放矢，确保技术方案的针对性和投资的回报。

（2)把应急响应和事故恢复作为技术方案的一部分，必要时可借助专业公司的安全服务，提高应对重大安全事件的能力。

(3）该方案投资大，覆盖范围广，根据实际情况，可采取分地区、分阶段实施的方式。

(4)在方案实施的同时，加强规章制度、技术规范的建设,使信息安全的日常工作进一步制度化、规范化。

7结论

一个严密的网络安全防御体系，应该同时具备弥补管理上的不足和技术上的漏洞的能力，既要避免主观失误,又要防止客观攻击。具体来说要求具备主动探测弱点，漏洞分析，实时监控和过滤可疑行为这四大功能。这四大功能，主要由网络安全在线检测系统、入侵检测预警系统和防火墙三种手段来实现，这三种手段，缺乏任何一种，都难以形成坚固的保护屏障。

企业网络安全解决方案3

网络安全是一项动态的、整体的系统工程，从技术上来说，网络安全由安全的操作系统、应用系统、防病毒、防火墙、入侵检测、网络监控、信息审计、通信加密、灾难恢复、安全扫描等多个安全组件组成，一个单独的组件是无法确保信息网络的安全性。

此处重点针对一些普遍性问题和所应采用的相应安全技术，主要包括：建立全面的网络防病毒体系；防火墙技术，控制访问权限，实现网络安全集中管理；应用入侵检测技术保护主机资源，防止内外网攻击；应用安全漏洞扫描技术主动探测网络安全漏洞，进行定期网络安全评估与安全加固；应用网站实时监控与恢复系统，实现网站安全可靠的运行；应用网络安全紧急响应体系，防范安全突发事件。

1．应用防病毒技术，建立全面的网络防病毒体系

随着Internet的不断发展，信息技术已成为促进经济发展、社会进步的巨大推动力。不管是存储在工作站中、服务器里还是流通于Internet上的信息都已转变成为一个关系事业成败关键的策略点，这就使保证信息的安全变得格外重要。

1）采用多层的病毒防卫体系。

网络系统可能会受到来自于多方面的病毒威胁，为了免受病毒所造成的损失，建议采用多层的病毒防卫体系。所谓的多层病毒防卫体系，是指在每台PC机上安装单机版反病毒软件，在服务器上安装基于服务器的反病毒软件，在网关上安装基于网关的反病毒软件。因为防止病毒的攻击是每个员工的责任，人人都要做到自己使用的台式机上不受病毒的感染，从而保证整个企业网不受病毒的感染。

考虑到病毒在网络中存储、传播、感染的方式各异且途径多种多样，故相应地在构建网络防病毒系统时，应利用全方位的企业防毒产品，实施"层层设防、集中控制、以防为主、防杀结合"的策略。具体而言，就是针对网络中所有可能的病毒攻击设置对应的防毒软件，通过全方位、多层次的防毒系统配置，使网络没有薄弱环节成为病毒入侵的缺口。

2）选择合适的防病毒产品