國家電力信息網(wǎng)絡(luò)運(yùn)維方案

第一章前言

中國電力系統(tǒng)的信息化從20世紀(jì)60年代就已經(jīng)開始起步，早期主

要集中在發(fā)電廠和變電站自動監(jiān)測/控制方面等電力生產(chǎn)過程自動化，

20世紀(jì)80?90年代開始進(jìn)入電力系統(tǒng)專項業(yè)務(wù)應(yīng)用，涉及電網(wǎng)調(diào)度自

動化、電力負(fù)荷控制、計算機(jī)輔助設(shè)計、計算機(jī)仿真系統(tǒng)等的使用。20

世紀(jì)末，電力信息技術(shù)進(jìn)一步發(fā)展到綜合應(yīng)用，各級電力企業(yè)開始建立

管理信息系統(tǒng)，實現(xiàn)管理信息化，電力信息化逐漸從生產(chǎn)操作層走向管

理層，并向更深層次拓展。

相對于傳統(tǒng)行業(yè)，我國電力行業(yè)的信息化建設(shè)發(fā)展較早，已經(jīng)有了

一定的規(guī)模，到目前為止，電力企業(yè)的網(wǎng)絡(luò)普遍建立，電力專用通信網(wǎng)

已日趨完善，形成了微波、衛(wèi)星、光纖、無線移動通信等多種類通信手

段，通信范圍覆蓋全國。在此基礎(chǔ)上，基本建成從國家電網(wǎng)公司一區(qū)域

電網(wǎng)中心f省電力公司f地市電力公司f變電所（局）的四級計算機(jī)網(wǎng)

絡(luò)和電力生產(chǎn)調(diào)度網(wǎng)絡(luò)，成為生產(chǎn)控制、電力調(diào)度以及信息傳輸和交換

的重要基礎(chǔ)設(shè)施。

隨著電力市場化以及電網(wǎng)建設(shè)的進(jìn)一步發(fā)展，傳統(tǒng)的電力系統(tǒng)業(yè)務(wù)

正在發(fā)生變化，這主要體現(xiàn)在電力交易系統(tǒng)、電能量計量系統(tǒng)的建設(shè)；

會議電視、變電站視頻監(jiān)控（無人值守）、輸變電線路監(jiān)控及電廠視頻監(jiān)

控等視頻業(yè)務(wù)的出現(xiàn)；傳統(tǒng)單一主機(jī)的調(diào)度自動化體系架構(gòu)向客戶機(jī)/

服務(wù)器體系架構(gòu)的轉(zhuǎn)變；監(jiān)視全網(wǎng)運(yùn)行狀況，提供故障記錄和分析的故

障錄波系統(tǒng)的建設(shè)：雷電定位系統(tǒng)、氣象信息系統(tǒng)的建設(shè)；多媒體業(yè)務(wù)

的出現(xiàn)等。因此，基于Internet/Intranet的體現(xiàn)信息化綜合業(yè)務(wù)應(yīng)用

的管理信息系統(tǒng)將成為電力企業(yè)信息化的發(fā)展重點。

電力數(shù)據(jù)網(wǎng)絡(luò)承載的業(yè)務(wù)按照其性質(zhì)和對安全的要求分為實時控

制業(yè)務(wù)、非控制生產(chǎn)業(yè)務(wù)、生產(chǎn)管理業(yè)務(wù)和管理信息業(yè)務(wù)。目前網(wǎng)絡(luò)上

所有業(yè)務(wù)都承載在同一網(wǎng)絡(luò)上，存在安全隱患，服務(wù)質(zhì)量也難以保證。

按照國家電力公司的統(tǒng)一規(guī)劃，提出了“兩網(wǎng)分開”的措施。其中實時

控制業(yè)務(wù)和非控制生產(chǎn)業(yè)務(wù)屬于電力生產(chǎn)和控制的關(guān)鍵業(yè)務(wù)，對可靠

性、實時性、安全性的要求非常嚴(yán)格，由獨(dú)立的電力調(diào)度數(shù)據(jù)網(wǎng)承裁。

而生產(chǎn)管理業(yè)務(wù)和管理信息業(yè)務(wù)由電力通信數(shù)據(jù)網(wǎng)承載。兩個網(wǎng)絡(luò)之間

物理上分離。

無論對于電力調(diào)度數(shù)據(jù)網(wǎng)還是電力通信數(shù)據(jù)網(wǎng)，建立一個綜合、經(jīng)

濟(jì)、可靠、安全的通信網(wǎng)絡(luò)，既能滿足現(xiàn)在電力系統(tǒng)語音、數(shù)據(jù)、圖像

等各種業(yè)務(wù)的需求，又能面向未來，支持不斷增多的用戶、更大的帶寬

以及新的業(yè)務(wù)的廣域數(shù)據(jù)網(wǎng)是關(guān)鍵所在。

結(jié)合我們對電力行業(yè)的多方面了解，我們山東電力的信息化建設(shè)在

國家電力信息化建設(shè)方面，今年是重點推進(jìn)的項目之一，已進(jìn)入了加快

發(fā)展階段。我們山東博威信息技術(shù)有限公司，無論在電力行

業(yè)，還是在教育、政府、金融、軍隊等其他重點行業(yè)以及

中大型企業(yè)的信息化建設(shè)，都積累了豐富的行業(yè)項目集成

經(jīng)驗。我們的精英團(tuán)隊深知電力網(wǎng)信息化建設(shè)的重任，現(xiàn)

在將以更大、更堅定的步伐服務(wù)于我們山東電力以及全國

電力網(wǎng)絡(luò)的信息化建設(shè)。

第二章電力網(wǎng)絡(luò)安全需求分析與設(shè)計規(guī)劃

電力網(wǎng)安全建設(shè)需求分析：

網(wǎng)絡(luò)安全威脅來源

自信息系統(tǒng)開始運(yùn)行以來就存在信息系統(tǒng)安全問題，通過網(wǎng)絡(luò)遠(yuǎn)程

訪問而構(gòu)成的安全威脅成為日益受到嚴(yán)重關(guān)注的問題。根據(jù)美國FBI的

調(diào)查，美國每年因為網(wǎng)絡(luò)安全造成的經(jīng)濟(jì)損矢超過170億美元。

網(wǎng)絡(luò)安全威脅的來源在于網(wǎng)絡(luò)內(nèi)運(yùn)行的多種網(wǎng)絡(luò)協(xié)議，因為這些網(wǎng)

絡(luò)協(xié)議并非專為安全通訊而設(shè)計。因此，網(wǎng)絡(luò)可能存在的安全威脅來自

以下方面：

1.操作系統(tǒng)的安全性。前流行的許多操作系統(tǒng)均存在網(wǎng)絡(luò)安全漏

洞，如UNIX服務(wù)器，洞服務(wù)器及Windows桌面PC；

2.防火墻的安全性。防火墻產(chǎn)品自身是否安全，是否設(shè)置錯誤，需

要經(jīng)過檢驗;

3.來自內(nèi)部網(wǎng)用戶的安全威脅；

4.缺乏有效的手段監(jiān)視、評估網(wǎng)絡(luò)系統(tǒng)的安全性；

5.采用的TCP/IP協(xié)議族軟件，本身缺乏安全性；

6.應(yīng)用服務(wù)的安全。多應(yīng)用服務(wù)系統(tǒng)在訪問控制及安全通訊方面考

慮較少，并且，如果系統(tǒng)設(shè)置錯誤，很容易造成損失

網(wǎng)絡(luò)安全體系結(jié)構(gòu)

以上所列舉的種種網(wǎng)絡(luò)安全問題，從網(wǎng)絡(luò)結(jié)構(gòu)上來講涉及到網(wǎng)絡(luò)結(jié)

構(gòu)的各個層次。按照OSI7層模型，網(wǎng)絡(luò)安全貫穿于整個7層模型。針

對網(wǎng)絡(luò)實際運(yùn)行的TCP/IP協(xié)議，網(wǎng)絡(luò)安全貫穿于信息系統(tǒng)的4個層次。

平臺安全的層次模型

上圖表示了對應(yīng)網(wǎng)絡(luò)的安全體系層次模型：

圖安全體系層次模型

物理層的安全

物理層信息安全，主要防止物理通路的損壞、物理通路的竊聽、對

物理通路的攻擊（干擾等）。

鏈路層的安全

鏈路層的網(wǎng)絡(luò)安全需要保證通過網(wǎng)絡(luò)鏈路傳送的數(shù)據(jù)不被竊聽。主

要采用劃分VLAN（局域網(wǎng)）、加密通訊VPN（遠(yuǎn)程網(wǎng)）等手段。

網(wǎng)絡(luò)層的安全

網(wǎng)絡(luò)層的安全需要保證網(wǎng)絡(luò)只給授權(quán)的客戶使用授權(quán)的服務(wù)，保證

網(wǎng)絡(luò)路由正確，避免被攔截或監(jiān)聽。

操作系統(tǒng)的安全

操作系統(tǒng)安全要求保證客戶資料、操作系統(tǒng)訪問控制的安全，同時

能夠?qū)υ摬僮飨到y(tǒng)上的應(yīng)用進(jìn)行審計。

應(yīng)用平臺的安全

應(yīng)用平臺指建立在網(wǎng)絡(luò)系統(tǒng)之上的應(yīng)用軟件服務(wù)，如數(shù)據(jù)庫服務(wù)

器、電子郵件服務(wù)器、Web服務(wù)器等。由于應(yīng)用平臺的系統(tǒng)非常復(fù)雜，

通常采用多種技術(shù)（如SSL等）來增強(qiáng)應(yīng)用二臺的安全性。

應(yīng)用系統(tǒng)的安全

應(yīng)用系統(tǒng)完成網(wǎng)絡(luò)系統(tǒng)的最終目的一為用戶服務(wù)。應(yīng)用系統(tǒng)的安全

與系統(tǒng)設(shè)計和實現(xiàn)關(guān)系密切。應(yīng)用系統(tǒng)使用應(yīng)用平臺提供的安全服務(wù)來

保證基本安全，如通訊內(nèi)容安全，通訊雙方的認(rèn)證，審計等手段。

電力網(wǎng)絡(luò)安全建設(shè)的需求分析

根據(jù)咱們山東電力信息網(wǎng)絡(luò)的實際情況，我公司認(rèn)為電力行業(yè)數(shù)據(jù)

網(wǎng)絡(luò)經(jīng)過多年建設(shè)，已經(jīng)建成一個基礎(chǔ)良好的網(wǎng)絡(luò)，但是隨著電網(wǎng)建設(shè)

的新需求、電網(wǎng)市場化的進(jìn)一步發(fā)展以及信息安全技術(shù)的發(fā)展，電力數(shù)

據(jù)網(wǎng)絡(luò)建設(shè)正面臨若干亟待解決的挑戰(zhàn)：

1.兩網(wǎng)分離：在電力調(diào)度數(shù)據(jù)網(wǎng)與電力通信數(shù)據(jù)網(wǎng)分離的大趨勢

下，如何實現(xiàn)兩網(wǎng)分離是擺在各級調(diào)度機(jī)構(gòu)面前的緊迫問題。全國各地

區(qū)經(jīng)濟(jì)發(fā)展不平衡、電網(wǎng)規(guī)模各異、現(xiàn)有數(shù)據(jù)網(wǎng)絡(luò)情況千差萬別。部分

省份已經(jīng)建設(shè)了ATM骨干數(shù)據(jù)網(wǎng)，另外部分省份建設(shè)了IP寬帶數(shù)據(jù)網(wǎng),

也有部分省份網(wǎng)絡(luò)骨干還是基于微波和窄帶線路的窄帶網(wǎng)絡(luò)。如何實現(xiàn)

兩網(wǎng)分離，是新建網(wǎng)絡(luò)還是利用原有網(wǎng)絡(luò)，如何保護(hù)現(xiàn)有投資，都是各

級調(diào)度通信中心需要考慮的問題。

2.寬帶網(wǎng)絡(luò)：國家電網(wǎng)公司、南方電網(wǎng)公司和幾大發(fā)電集團(tuán)，對電

力信息化的需求日益增強(qiáng)，對數(shù)據(jù)的即時性、準(zhǔn)確性和各公司實際生產(chǎn)

運(yùn)行以及經(jīng)濟(jì)運(yùn)行相關(guān)性將有更高的要求。各電力企業(yè)開發(fā)的財務(wù)系

統(tǒng)、人力資源系統(tǒng)、生產(chǎn)管理系統(tǒng)、電力營銷系統(tǒng)、物質(zhì)設(shè)備管理系統(tǒng)、

電力負(fù)荷管理系統(tǒng)、安全監(jiān)督管理系統(tǒng)、計劃統(tǒng)計和綜合指標(biāo)系統(tǒng)等業(yè)

務(wù)系統(tǒng)需要整合，提高信息資源共享水平，建立起一個適應(yīng)現(xiàn)代市場化

環(huán)境的電力企業(yè)信息系統(tǒng)，為電力公司的產(chǎn)業(yè)提升和經(jīng)營管理服務(wù)。另

一方面還需要加強(qiáng)企業(yè)信息網(wǎng)絡(luò)安全建設(shè)，確保企業(yè)穩(wěn)定安全發(fā)展。要

把信息系統(tǒng)的防災(zāi)減災(zāi)系統(tǒng)、數(shù)據(jù)異地備份和雙機(jī)備份、遠(yuǎn)程備份等安

全理念引入信息網(wǎng)安全系統(tǒng)中，建立企業(yè)的應(yīng)急處理系統(tǒng)?，F(xiàn)有的廣域

網(wǎng)絡(luò)的帶寬、性能和覆蓋率還不能滿足電力市場化運(yùn)行的需要，企業(yè)信

息系統(tǒng)的實用化程度有待提高。加快建設(shè)信息網(wǎng)絡(luò)，特別是建成以光纖

通信為主的現(xiàn)代化電力通信傳輸干線網(wǎng)絡(luò)，形成高速寬帶數(shù)據(jù)網(wǎng)，構(gòu)建

電力高速數(shù)據(jù)通信網(wǎng)絡(luò)平臺，是目前面臨的迫切需要。

3.業(yè)務(wù)互通：各級電力公司的內(nèi)部網(wǎng)絡(luò)雖然普遍建立，基本實現(xiàn)了

辦公網(wǎng)絡(luò)化，但是網(wǎng)絡(luò)之間缺少互聯(lián)互通，各網(wǎng)絡(luò)的信息系統(tǒng)不能共享,

造成網(wǎng)絡(luò)的割裂和信息的孤島。而電力市場化之后，各級機(jī)構(gòu)之間面臨

著統(tǒng)一業(yè)務(wù)的需要，如：電力交易系統(tǒng)、電能量計量系統(tǒng)的建設(shè)面臨著

全省網(wǎng)絡(luò)的互通和省際、網(wǎng)際之間的交互，對廣域網(wǎng)絡(luò)建設(shè)提出更高的

要求，全國性骨干網(wǎng)絡(luò)和區(qū)域電網(wǎng)的建設(shè)是實現(xiàn)這一目標(biāo)的必有之路。

4.電力市場化：電力改革實現(xiàn)了“廠網(wǎng)分離、競價上網(wǎng)”，在電力

行業(yè)引入市場競爭機(jī)制，電力改革，改變了市場競爭格局，改變了價值

鏈模式，最終要求企業(yè)改革自身的管理來應(yīng)對各種變化。以信息技術(shù)提

高管理運(yùn)營效率的利器??企業(yè)信息化，其根本基礎(chǔ)是企業(yè)的運(yùn)營與管

理，也必須適應(yīng)這種管理與運(yùn)營的變化。因此，電力改革最終也會影響

到電力行業(yè)企業(yè)信息化建設(shè)。企業(yè)必須向以客戶為中心的管理與運(yùn)營模

式方向轉(zhuǎn)變，作為國家公用基礎(chǔ)性行業(yè)企業(yè)，電力行業(yè)的競爭是同質(zhì)產(chǎn)

品的競爭，如何在最短的時間里，以最好的服務(wù)質(zhì)量、最低的服務(wù)成本

提供給用戶服務(wù)是電力行業(yè)企業(yè)信息化要實現(xiàn)的目標(biāo)，管理信息化建設(shè)

將成為重點內(nèi)容。其中重點建設(shè)的內(nèi)容包括：提升企業(yè)內(nèi)部管理效率、

降低成本的ERP系統(tǒng)與EAM系統(tǒng)，支持客戶信息管理與分析的CRM系統(tǒng),

全面提高價值鏈競爭效率的SCM系統(tǒng)等都將納入電力行業(yè)企業(yè)信息化建

設(shè)。而實現(xiàn)企業(yè)信息化的基礎(chǔ)就是數(shù)據(jù)網(wǎng)絡(luò)。一個穩(wěn)定、可靠、高安全

的網(wǎng)絡(luò)正是實現(xiàn)各種業(yè)務(wù)管理系統(tǒng)、提高客戶滿意度的前提條件。

根據(jù)以上電力網(wǎng)絡(luò)發(fā)展情況，在網(wǎng)絡(luò)安全方面為了滿足以上發(fā)展情

況，我們可以得到以下需求：

網(wǎng)絡(luò)的基本安全需求

滿足基本的安全要求，是該網(wǎng)絡(luò)成功運(yùn)行的必要條件，在此基礎(chǔ)上

提供強(qiáng)有力的安全保障，是網(wǎng)絡(luò)系統(tǒng)安全的重要原則。

網(wǎng)絡(luò)內(nèi)部部署了眾多的網(wǎng)絡(luò)設(shè)備、服務(wù)器，保護(hù)這些設(shè)備的正常運(yùn)

行，維護(hù)主要業(yè)務(wù)系統(tǒng)的安全，是網(wǎng)絡(luò)的基本安全需求。

對于各種各樣的網(wǎng)絡(luò)攻擊，如何在提供靈活且高效的網(wǎng)絡(luò)通訊及信

息服務(wù)的同時，抵御和發(fā)現(xiàn)網(wǎng)絡(luò)攻擊，并且提供跟蹤攻擊的手段，是本

項目需要解決的問題。網(wǎng)絡(luò)基本安全要求主要表現(xiàn)為：

a.網(wǎng)絡(luò)正常運(yùn)行。在受到攻擊的情況下，能夠保證網(wǎng)絡(luò)系統(tǒng)

繼續(xù)運(yùn)行。

b.網(wǎng)絡(luò)管理/網(wǎng)絡(luò)部署的資料不被竊取。

c.具備先進(jìn)的入侵檢測及跟蹤體系。

d.提供靈活而高效的內(nèi)外通訊服務(wù)。

應(yīng)用系統(tǒng)的安全需求

與普通網(wǎng)絡(luò)應(yīng)用不同的是，應(yīng)用系統(tǒng)是網(wǎng)絡(luò)功能的核心。對于應(yīng)用

系統(tǒng)應(yīng)該具有最高的網(wǎng)絡(luò)安全措施。應(yīng)用系統(tǒng)的安全體系應(yīng)包含：

a.訪問控制，通過對特定網(wǎng)段、服務(wù)建立的訪問控制體系，將絕大

多數(shù)攻擊阻止在到達(dá)攻擊目標(biāo)之前;

b.檢查安全漏洞，通過對安全漏洞的周期檢查，即使攻擊可到達(dá)攻

擊目標(biāo)，也可使絕大多數(shù)攻擊無效；

C.攻擊監(jiān)控，通過對特定網(wǎng)段、服務(wù)建立的攻擊監(jiān)控體系，可實時

檢測出絕大多數(shù)攻擊，并采取相應(yīng)的行動（如斷開網(wǎng)絡(luò)連接、記錄攻擊

過程、跟蹤攻擊源等）；

d.加密通訊，主動的加密通訊，可使攻擊者不能了解、修改敏感信

息；

e.認(rèn)證，良好的認(rèn)證體系可防止攻擊者假冒合法用戶；

f.備份和恢復(fù)，良好的備份和恢復(fù)機(jī)制，可在攻擊造成損失時，盡

快地恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)；

g.多層防御，攻擊者在突破第一道防線后，延緩或阻斷其到達(dá)攻擊

目標(biāo)；

h.隱藏內(nèi)部信息，使攻擊者不能了解系統(tǒng)內(nèi)的基本情況；

i.設(shè)立安全監(jiān)控中心，為信息系統(tǒng)提供安全體系管理、監(jiān)控，維護(hù)

及緊急情況服務(wù)

平臺安全的需求

網(wǎng)絡(luò)平臺將支持多種應(yīng)用系統(tǒng)，對于每種系統(tǒng)均在不同程度上要求

充分考慮平臺安全。

平臺安全與平臺性能和功能的關(guān)系

通常，系統(tǒng)安全與性能和功能是一對矛盾的關(guān)系。如果某個系統(tǒng)不

向外界提供任何服務(wù)（斷開），外界是不可能構(gòu)成安全威脅的。但是，

若要提供更多的服務(wù)，將網(wǎng)絡(luò)建成了一個開放的網(wǎng)絡(luò)環(huán)境，各種安全包

括系統(tǒng)級的安全問題也隨之產(chǎn)生。

構(gòu)建平臺安全系統(tǒng)，一方面由于要進(jìn)行認(rèn)證、加密、監(jiān)聽、分析、

記錄等工作，由此影響網(wǎng)絡(luò)效率，并且降低客戶應(yīng)用的靈活性；另一方

面也增加了管理費(fèi)用。

但是，來自網(wǎng)絡(luò)的安全威脅是實際存在的，特別是在網(wǎng)絡(luò)上運(yùn)行關(guān)

鍵業(yè)務(wù)時，網(wǎng)絡(luò)安全是首先要解決的問題。

選擇適當(dāng)?shù)募夹g(shù)和產(chǎn)品，制訂靈活的網(wǎng)絡(luò)安全策略，在保證網(wǎng)絡(luò)安

全的情況下，提供靈活的網(wǎng)絡(luò)服務(wù)通道。

采用適當(dāng)?shù)陌踩w系設(shè)計和管理計劃，能夠有效降低網(wǎng)絡(luò)安全對網(wǎng)

絡(luò)性能的影響并降低管理費(fèi)用。

平臺安全的管理因素

平臺安全可以采用多種技術(shù)來增強(qiáng)和執(zhí)行。但是，很多安全威脅來

源于管理上的松懈及對安全威脅的認(rèn)識。來自平臺方面的安全威脅主要

利用以下途徑：

a.系統(tǒng)實現(xiàn)存在的漏洞；

b.系統(tǒng)安全體系的缺陷;

C.使用人員的安全意識薄弱;

d.管理制度的薄弱；

良好的平臺管理有助于增強(qiáng)系統(tǒng)的安全性：

a.及時發(fā)現(xiàn)系統(tǒng)安全的漏洞；

b.審查系統(tǒng)安全體系；

c.加強(qiáng)對使用人員的安全知識教育；

d.建立完善的系統(tǒng)管理制度。

電力網(wǎng)網(wǎng)絡(luò)安全建設(shè)應(yīng)重點考慮的幾個問題

機(jī)房建設(shè)的安全性

在機(jī)房建設(shè)的過程中，用戶最看重的是各種機(jī)房設(shè)備的穩(wěn)定性和可

靠性。智能化管理與監(jiān)控作為一個機(jī)房建設(shè)的重要組成部分，提高了機(jī)

房的可用性和安全性，而且作為機(jī)房本身一個重要的功能已經(jīng)被融入到

越來越多的機(jī)房設(shè)計中。機(jī)房當(dāng)中的安全性既包括設(shè)備的物理安全性又

包括網(wǎng)絡(luò)邏輯上的安全性。

防病毒軟件的使用

各個廠商的防病毒軟件產(chǎn)品都有其不同的特色和側(cè)重點。國內(nèi)的防

病毒軟件通常具有運(yùn)行迅速、資源占用低的特點，查毒能力和殺毒能力

也都表現(xiàn)良好，只是在病毒處理方面還有待提高；國際廠商的產(chǎn)品在技

術(shù)處理方面仍舊保有優(yōu)勢，但其并非完美無缺，一些處理策略和產(chǎn)品理

念上并不適合國內(nèi)市場，比較明顯一點的就是國際廠商一般對僅在國內(nèi)

流行的qq病毒無法查殺。綜合而言，我們可以根據(jù)我們電力部門在廣

域網(wǎng)接入和本地局域網(wǎng)內(nèi)各采用不同特性的殺毒軟件，以滿足我們不同

的需求。

防火墻的使用

今天的防火墻設(shè)備被用來保護(hù)計算機(jī)網(wǎng)絡(luò)免受未授權(quán)人員的騷擾

與黑客的入侵，這些設(shè)備尤如一道城墻一樣隔在被保護(hù)的網(wǎng)絡(luò)與不安全

的非信任網(wǎng)絡(luò)之間。防火墻是位于兩個信任程度不同的網(wǎng)絡(luò)之間（如企

業(yè)內(nèi)部網(wǎng)絡(luò)和INTERNET之間）的軟件或硬件設(shè)備的組合，它對兩個網(wǎng)

絡(luò)之間的通信進(jìn)行控制，通過強(qiáng)制實施統(tǒng)一的安全策略，防止對重要信

息資源的非法存取和訪問，以達(dá)到保護(hù)系統(tǒng)安全的目的。

入侵檢測與漏洞掃描

入侵監(jiān)測系統(tǒng)就像大廈的保安監(jiān)視系統(tǒng)一樣，監(jiān)視著網(wǎng)絡(luò)上的一舉

一動。它的“攝像頭”連接在網(wǎng)絡(luò)的主要節(jié)點上，偵聽、分析網(wǎng)絡(luò)流量;

它的“監(jiān)視器”安裝在網(wǎng)絡(luò)安全管理員的主機(jī)上，以便隨時發(fā)覺網(wǎng)絡(luò)中

的入侵行為。通過運(yùn)用先進(jìn)的入侵監(jiān)測技術(shù)，入侵監(jiān)測系統(tǒng)可以發(fā)現(xiàn)絕

大多數(shù)的網(wǎng)絡(luò)攻擊行為。

身份驗證

認(rèn)證是計算機(jī)和網(wǎng)絡(luò)安全的基本組成部分。對用戶身份進(jìn)行認(rèn)證，

使企業(yè)能夠充滿自信的對不同的用戶帳號指定不同的允許和訪問權(quán)限，

以保證每個登陸到系統(tǒng)和網(wǎng)絡(luò)中的用戶只有完成他們工作所需的最低

級別權(quán)限。

2.2.6虛擬網(wǎng)絡(luò)技術(shù)的應(yīng)用

出于電力行業(yè)的行政安全設(shè)置、建筑物的集中布線方式以及一些應(yīng)

用和安全的考慮，虛擬網(wǎng)的劃分是必須的，針對每一個部門，通過VLAN

劃分的方式，將不同部分進(jìn)行有效地隔離，減少了沖突域，提高了網(wǎng)絡(luò)

的安全訪問。此外，用戶需要的不僅僅是簡單的劃分，更多的是如何有

效的，簡便的、動態(tài)修改和配置它們。

網(wǎng)絡(luò)管理

電力網(wǎng)網(wǎng)絡(luò)系統(tǒng)分布在不同的地區(qū)，同時又分布在各個地區(qū)的不同

位置，日常的網(wǎng)絡(luò)維護(hù)和操作的工作量大大增加，網(wǎng)絡(luò)系統(tǒng)需要一個可

靠，便捷、功能強(qiáng)大的網(wǎng)絡(luò)管理系統(tǒng)來充分有效的管理和利用局域網(wǎng)絡(luò)

資源。

以上提出了一些在電力網(wǎng)絡(luò)設(shè)計及數(shù)據(jù)存儲應(yīng)考慮的因素，它與我

們的設(shè)計原則是相符合的。在對整個網(wǎng)絡(luò)系統(tǒng)的設(shè)計中，我們必須堅持

從用戶實際需求出發(fā)，利用先進(jìn)的技術(shù)，為用戶構(gòu)建真正適合自身的網(wǎng)

絡(luò)安全及存儲系統(tǒng)。

電力網(wǎng)絡(luò)安全設(shè)計原則:

網(wǎng)絡(luò)安全體系結(jié)構(gòu)主要考慮安全對象和安全機(jī)制，安全對象主要有

而0-1

網(wǎng)絡(luò)安全、系統(tǒng)安全、數(shù)據(jù)庫安全、信息安全、設(shè)備安全、信息介質(zhì)安

全和計算機(jī)病毒防治等，其安全體系結(jié)構(gòu)如圖2T所示

安全體系設(shè)計原則

在進(jìn)行計算機(jī)網(wǎng)絡(luò)安全設(shè)計、規(guī)劃時，應(yīng)遵循以下原則：

a.需求、風(fēng)險、代價平衡分析的原則：

對任一網(wǎng)絡(luò)來說，絕對安全難以達(dá)到，也不一定必要。對一個網(wǎng)絡(luò)

要進(jìn)行實際分析，對網(wǎng)絡(luò)面臨的威脅及可能承擔(dān)的風(fēng)險進(jìn)行定性與定量

相結(jié)合的分析，然后制定規(guī)范和措施，確定本系統(tǒng)的安全策略。保護(hù)成

本、被保護(hù)信息的價值必須平衡，價值僅1萬元的信息如果用5萬元的

技術(shù)和設(shè)備去保護(hù)是一種不適當(dāng)?shù)谋Ｗo(hù)。

b.綜合性、整體性原則：

運(yùn)用系統(tǒng)工程的觀點、方法，分析網(wǎng)絡(luò)的安全問題，并制定具體措

施。一個較好的安全措施往往是多種方法適當(dāng)綜合的應(yīng)用結(jié)果。一個計

算機(jī)網(wǎng)絡(luò)包括個人、設(shè)備、軟件、數(shù)據(jù)等環(huán)節(jié)。它們在網(wǎng)絡(luò)安全中的地

位和影響作用，只有從系統(tǒng)綜合的整體角度去看待和分析，才可能獲得

有效、可行的措施。

C.一致性原則

這主要是指網(wǎng)絡(luò)安全問題應(yīng)與整個網(wǎng)絡(luò)的工作周期（或生命周期）

同時存在，制定的安全體系結(jié)構(gòu)必須與網(wǎng)絡(luò)的安全需求相一致。實際上,

在網(wǎng)絡(luò)建設(shè)之初就考慮網(wǎng)絡(luò)安全對策，比等網(wǎng)絡(luò)建設(shè)好后再考慮，不但

容易，而且花費(fèi)也少得多。

d.易操作性原則

安全措施要由人來完成，如果措施過于復(fù)雜，對人的要求過高，本

身就降低了安全性。其次，采用的措施不能影響系統(tǒng)正常運(yùn)行。

e.適應(yīng)性、靈活性原則

安全措施必須能隨著網(wǎng)絡(luò)性能及安全需求的變化而變化，要容易適

應(yīng)、容易修改。

f.多重保護(hù)原則

任何安全保護(hù)措施都不是絕對安全的，都可能被攻破。但是建立一

個多重保護(hù)系統(tǒng)，各層保護(hù)相互補(bǔ)充，當(dāng)一層保護(hù)被攻破時，其它層保

護(hù)仍可保護(hù)信息的安全

安全策略設(shè)計原則

安全策略分安全管理策略和安全技術(shù)實施策略兩個方面：

a.管理策略

安全系統(tǒng)需要人來執(zhí)行，即使是最好的、最值得信賴的系統(tǒng)安全措

施，也不能完全由計算機(jī)系統(tǒng)來完全承擔(dān)安全保證任務(wù)，因此必須建立

完備的安全組織和管理制度。

b.技術(shù)策略

技術(shù)策略要針對網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫、信息共享授權(quán)提出具體

的措施。

安全管理設(shè)計原則

計算機(jī)信息系統(tǒng)的安全管理主要基于三個原則。

a.人負(fù)責(zé)原則

每項與安全有關(guān)的活動都必須有兩人或多人在場。這些人應(yīng)是系統(tǒng)

主管領(lǐng)導(dǎo)指派的，應(yīng)忠誠可靠，能勝任此項工作。

b.任期有限原則

一般地講，任何人最好不要長期擔(dān)任與安全有關(guān)的職務(wù)，以免誤認(rèn)

為這個職務(wù)是專有的或永久性的。

C.職責(zé)分離原則

除非系統(tǒng)主管領(lǐng)導(dǎo)批準(zhǔn)，在信息處理系統(tǒng)工作的人員不要打聽、了

解或參與職責(zé)以外、與安全有關(guān)的任何事情。

安全管理的實現(xiàn)

信息系統(tǒng)的安全管理部門應(yīng)根據(jù)管理原則和該系統(tǒng)處理數(shù)據(jù)的保

密性，制訂相應(yīng)的管理制度或采用相應(yīng)規(guī)范，其具體工作是：

a.確定該系統(tǒng)的安全等級；

b.根據(jù)確定的安全等級，確定安全管理的范圍；

c.制訂相應(yīng)的機(jī)房出入管理制度，對安全等級要求較高的系統(tǒng)，

要實行分區(qū)控制，限制工作人員出入與己無關(guān)的區(qū)域；

d.制訂嚴(yán)格的操作規(guī)程，操作規(guī)程要根據(jù)職責(zé)分離和多人負(fù)責(zé)的

原則，各負(fù)其責(zé)，不能超越自己的管轄范圍；

e.制訂完備的系統(tǒng)維護(hù)制度，維護(hù)時，要首先經(jīng)主管部門批準(zhǔn)，

并有安全管理人員在場，故障原因、維護(hù)內(nèi)容和維護(hù)前后的情況要詳細(xì)

記錄；

f.制訂應(yīng)急措施，要制訂在緊急情況下，系統(tǒng)如何盡快恢復(fù)的應(yīng)

急措施，使損失減至最?。?/p>

e.建立人員雇用和解聘制度，對工作調(diào)動和離職人員要及時調(diào)整

相應(yīng)的授權(quán)。

安全系統(tǒng)需要由人來計劃和管理，任何系統(tǒng)安全設(shè)施也不能完全由

計算機(jī)系統(tǒng)獨(dú)立承擔(dān)系統(tǒng)安全保障的任務(wù)。一方面，各級領(lǐng)導(dǎo)一定要高

度重視并積極支持有關(guān)系統(tǒng)安全方面的各項措施。其次，對各級用戶的

培訓(xùn)也十分重要，只車當(dāng)用戶對網(wǎng)絡(luò)安全性有了深入了解后，才能降低

網(wǎng)絡(luò)信息系統(tǒng)的安全風(fēng)險。

總之，制定系統(tǒng)安全策略、安裝網(wǎng)絡(luò)安全系統(tǒng)只是網(wǎng)絡(luò)系統(tǒng)安全性

實施的第一步，只有當(dāng)各級組織機(jī)構(gòu)均嚴(yán)格執(zhí)行網(wǎng)絡(luò)安全的各項規(guī)定，

認(rèn)真維護(hù)各自負(fù)責(zé)的分系統(tǒng)的網(wǎng)絡(luò)安全性，才能保證整個系統(tǒng)網(wǎng)絡(luò)的整

體安全性。

網(wǎng)絡(luò)結(jié)構(gòu)安全設(shè)計原則

由于網(wǎng)絡(luò)的互連是在鏈路層、網(wǎng)絡(luò)層、傳輸層、應(yīng)用層不同協(xié)議層

來實現(xiàn)，各個層的功能特性和安全特性也不同，因而其網(wǎng)絡(luò)安全措施也

不相同。

物理層安全涉及傳輸介質(zhì)的安全特性，抗干擾、防竊聽將是物理層

安全措施制定的重點。

在鏈路層，通過“橋”這一互連設(shè)備的監(jiān)視和控制作用，使我們可

以建立一定程度的虛擬局域網(wǎng)，對物理和邏輯網(wǎng)段進(jìn)行有效的分割和隔

離，消除不同安全級別邏輯網(wǎng)段間的竊聽可能。

在網(wǎng)絡(luò)層，可通過對不同子網(wǎng)的定義和對路由器的路由表控制來限

制子網(wǎng)間的接點通信，通過對主機(jī)路由表的控制來控制與之直接通信的

節(jié)點。同時，利用網(wǎng)關(guān)的安全控制能力，可以限制節(jié)點的通信、應(yīng)用服

務(wù)，并加強(qiáng)外部用戶識別和驗證能力。對網(wǎng)絡(luò)進(jìn)行級別劃分與控制，網(wǎng)

絡(luò)級別的劃分大致包括Internet/企業(yè)網(wǎng)、骨干網(wǎng)/區(qū)域網(wǎng)、區(qū)域網(wǎng)/部

門網(wǎng)、部門網(wǎng)/工作組網(wǎng)等，其中Internet/企業(yè)網(wǎng)的接口要采用專用防

火墻，骨干網(wǎng)/區(qū)域網(wǎng)、區(qū)域網(wǎng)/部門網(wǎng)的接口利用路由器的可控路由表、

安全郵件服務(wù)器、安全撥號驗證服務(wù)器和安全級別較高的操作系統(tǒng)。增

強(qiáng)網(wǎng)絡(luò)互連的分割和過濾控制，也可以大大提高安全保密性。

隨著企業(yè)個人與個人之間、各部門之間、企業(yè)和企業(yè)之間、國際間

信息交流的日益頻繁，信息傳輸?shù)陌踩猿蔀橐粋€重要的問題。盡管個

人、部門和整個企業(yè)制已認(rèn)識到信息的寶貴價值和私有性，但商場上的

無情競爭已迫使機(jī)構(gòu)打破原有的界限，在企業(yè)內(nèi)部或企業(yè)之間共享更多

的信息，只有這樣才能縮短處理問題的時間，并在相互協(xié)作的環(huán)境中孕

育出更多的革新和創(chuàng)造。然而，在群件系統(tǒng)中共享的信息卻必須保證其

安全性，以防止有意無意的破壞。

物理實體的安全管理現(xiàn)已有大量標(biāo)準(zhǔn)和規(guī)范，如GB9361-88《計算

機(jī)場地安全要求》、GFB2887-88《計算機(jī)場地技術(shù)條件》等。

安全產(chǎn)品選型原則

在進(jìn)行網(wǎng)絡(luò)安全方案的產(chǎn)品選型時，要求安全產(chǎn)品至少應(yīng)包含以下

功能：

a.訪問控制：通過對特定網(wǎng)段、服務(wù)建立的訪問控制體系，將絕

大多數(shù)攻擊阻止在到達(dá)攻擊目標(biāo)之前；

b.檢查安全漏洞：通過對安全漏洞的周期檢查，即使攻擊可到達(dá)

攻擊目標(biāo)，也可使絕大多數(shù)攻擊無效;

c.攻擊監(jiān)控：通過對特定網(wǎng)段、服務(wù)建立的攻擊監(jiān)控體系，可實

時檢測出絕大多數(shù)攻擊，并采取相應(yīng)的行動（如斷開網(wǎng)絡(luò)連接、記錄攻

擊過程、跟蹤攻擊源等）；

d.加密通訊：主動的加密通訊，可使攻擊者不能了解、修改敏感

信息；

e.認(rèn)證：良好的認(rèn)證體系可防止攻擊者假冒合法用戶；

f.恢復(fù)：良好的備份和恢復(fù)機(jī)制，可在攻擊造成損失時，盡快地

恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)；

g.多層防御：攻擊者在突破笫一道防線后，延緩或阻斷其到達(dá)攻

擊目標(biāo)；

h.隱藏內(nèi)部信息：使攻擊者不能了解系統(tǒng)內(nèi)的基本情況；

i.設(shè)立安全監(jiān)控中心：為信息系統(tǒng)提供安全體系管理、監(jiān)控，保

護(hù)及緊急情況服務(wù)。

第三章網(wǎng)絡(luò)安全解決方案

機(jī)房安全建設(shè)解決方案

電氣系統(tǒng)

1、數(shù)據(jù)中心供配電系統(tǒng)應(yīng)為380V/200V.50HZ,計算機(jī)供電質(zhì)量達(dá)到

A級。

2、供配電方式為雙路供電系統(tǒng)加UPS電源及柴油發(fā)電機(jī)設(shè)備，并對空

調(diào)系統(tǒng)和其他用電設(shè)備單獨(dú)供電，以避免了空調(diào)系統(tǒng)啟停對重要用電設(shè)

備的干擾。供電系統(tǒng)的負(fù)荷包含如下方面：

?服務(wù)器功率

單臺服務(wù)器功率X服務(wù)器臺數(shù)二總功率

?UPS總功率：

一般采用n+l備份方案，亦即并聯(lián)UPS臺數(shù)多加壹臺，以防止某一臺機(jī)

組出現(xiàn)故障。

目前UPS效率均在90%以上，故按照服務(wù)器總功率可以計算出UPS的總

KVA數(shù)。

?工作區(qū)恒溫恒濕精密空調(diào)負(fù)荷：

工作區(qū)面積X200~250kcal/hr/m2二總的空調(diào)所需制冷量

按上述數(shù)據(jù)即可確定精密空調(diào)的數(shù)量，同時亦可確定空調(diào)所耗費(fèi)電功

率。

?辦公區(qū)空調(diào)、照明等負(fù)荷

?其它用負(fù)荷

由上可以計算出一個數(shù)據(jù)中心機(jī)房所需的用電負(fù)荷總功率。

3、電源分類：

?一類電源為UPS供電電源，由電源互投柜引至墻面配電箱，分路送到

活動地板下插座，再經(jīng)插座分接計算機(jī)電源處，電纜用阻燃電纜，穿金

屬線槽鋼管敷設(shè)。

?二類電源為市電供電電源，由電源互投柜分別送至空調(diào)、照明配電箱

和插座配電箱，再分路送至燈具及墻面插座。電纜用阻燃電纜，照明支

路用塑銅線，穿金屬線槽及鋼管敷設(shè)。

?三類電源為柴油發(fā)電機(jī)組，是作為特別重要負(fù)荷的應(yīng)急電源，應(yīng)滿足

的運(yùn)行方式為：正常情況下，柴油發(fā)電機(jī)組應(yīng)始終處于準(zhǔn)備發(fā)動狀態(tài)，

當(dāng)兩路市電均終斷時，機(jī)組應(yīng)立即啟動，并具備帶100%負(fù)荷的能力0任

一市電恢復(fù)時，機(jī)組應(yīng)能自動退出運(yùn)行并延時停機(jī)，恢復(fù)市電供電。機(jī)

組與電力系統(tǒng)間應(yīng)有防止并列運(yùn)行的連鎖裝置。柴油發(fā)電機(jī)組的容量應(yīng)

按照用電負(fù)荷的分類來確定，因為布的負(fù)荷需要很大的啟動功率，如空

調(diào)電動機(jī)，這就需要合理選擇發(fā)電機(jī)組容量，以避免過大的啟動電壓降,

一般根據(jù)上述用電負(fù)荷總功率的倍來計算。

4、配電柜

?配電箱、柜應(yīng)有短路、過流保護(hù)，其緊急斷電按鈕與火災(zāi)報警聯(lián)鎖。

?配電箱、柜安裝完畢后，進(jìn)行編號，并標(biāo)明箱、柜內(nèi)各開關(guān)的用途以

便于操作和檢修。

?配電箱、柜內(nèi)留有備用電路，作機(jī)房設(shè)備擴(kuò)充時用電。

5、插座

機(jī)房內(nèi)用電插座分為兩大類，即UPS插座和市電插座。機(jī)房各工作間均

留有備用插座安裝在墻壁下方供設(shè)備維修時月。

6、電纜（電線）

?電纜（電線）在鋪設(shè)時應(yīng)該平直，電纜（電線）要與地面、墻壁、天

花板保持一定的間隙。

?不同規(guī)格的電纜（電線）在鋪設(shè)時要有不同的固定距離間隔。

?電纜（電線）在鋪設(shè)施工中彎曲半徑按廠家和當(dāng)?shù)毓╇姴块T的標(biāo)準(zhǔn)施

工。

?鋪設(shè)電纜時要有留有適當(dāng)?shù)挠喽取?/p>

?地板下的電纜穿鋼管或在金屬線槽里鋪設(shè)。

7、照明

?機(jī)房照明按“電子計算機(jī)機(jī)房設(shè)計規(guī)范"規(guī)定。

?照明燈具采用嵌入式安裝。事故照明用備用電源自投自復(fù)配電箱，市

電與UPS電源自動切換。

?燈具內(nèi)部配線采用多股銅芯導(dǎo)線，燈具的軟線兩端接入燈口之前均應(yīng)

壓扁并搪錫，使軟線與固定螺絲接觸良好。燈具的接地線或接零線，必

須用燈具專用接地螺絲并加墊圈和彈簧墊圈壓緊。

?在機(jī)房內(nèi)安裝嵌裝燈具固定在吊頂板預(yù)留洞孔內(nèi)專設(shè)的框架上。燈上

邊框外緣緊貼在吊頂板上，并與吊頂金屬明龍骨平行。

?在機(jī)房內(nèi)所有照明線都必須穿鋼管或者金屬軟管并留有余量。電源線

應(yīng)通過絕緣墊圈進(jìn)入燈具，不應(yīng)貼近燈具外殼。

8、接地系統(tǒng)

依據(jù)國標(biāo)GB50169-92電氣安裝，接地施工及驗收規(guī)范。計算機(jī)直流地

與機(jī)房抗靜電接地及保護(hù)地嚴(yán)格分開以免相互干擾，采用銅網(wǎng)，所有接

點采用錫焊或銅焊使其接觸良好，以保證各計算機(jī)設(shè)備的穩(wěn)定運(yùn)行并要

求其接地電阻1Q。機(jī)房抗靜電接地與保護(hù)地采用軟扁平編織銅線直接

敷設(shè)到每個房間讓地板就近接地，能使地板產(chǎn)生的靜電電荷迅速入地。

9、防雷

為防止機(jī)房設(shè)備的損壞和數(shù)據(jù)的丟失，機(jī)房防雷尤其重要。按國家建筑

物防雷設(shè)計規(guī)范，本設(shè)計對機(jī)房電氣電子設(shè)備的外殼、金屬件等實行等

電位連接，并在低壓配電電源電纜進(jìn)線輸入端加裝電源防雷器。防雷接

地電阻要求小于lOQo

空調(diào)系統(tǒng)

根據(jù)GB2887-82計算機(jī)場地技術(shù)要求，按A級設(shè)計，溫度T=23C±2。（2,

相對濕度=55%,5%,夏季取上限，冬季取下限。

氣流組織采用下送風(fēng)、上回風(fēng)，即抗靜電活動地板靜壓箱送風(fēng)，吊頂天

花微孔板回風(fēng)。新風(fēng)量設(shè)計取總風(fēng)量的10%,中低度過濾，新風(fēng)與回風(fēng)

混合后，進(jìn)入空調(diào)設(shè)備處理，提高控制精度，節(jié)省投資，方便管理。

門禁系統(tǒng)

門禁管理系統(tǒng)的主要目的是保證重要區(qū)域設(shè)備和資料的安全，便于

人員的合理流動，對進(jìn)入這些重要區(qū)域的人員實行各種方式的門禁管

理，以便限制人員隨意進(jìn)出。

?卡片最好采用現(xiàn)在流行的感應(yīng)式卡片。

?卡出入系統(tǒng)首先應(yīng)具有權(quán)限設(shè)置的功能，即每張卡可進(jìn)出的時間、可

進(jìn)出哪道門，不同的卡片持有者應(yīng)有不同的權(quán)限。

?每次有效的進(jìn)入都應(yīng)存檔或統(tǒng)計。

?應(yīng)有完善的密碼系統(tǒng)，即對系統(tǒng)的更改，不同的操作者應(yīng)有不同的權(quán)

限。

?電鎖應(yīng)采用安全可靠的產(chǎn)品，有電閉鎖或無電閉鎖根據(jù)用戶要求可

調(diào)。

?緊急情況下或電鎖出現(xiàn)故障的情況下應(yīng)有應(yīng)急鑰匙可將門打開。

?門禁系統(tǒng)最好采用計算機(jī)控制系統(tǒng)。

?全套系統(tǒng)最好有備用電源。

監(jiān)控系統(tǒng)

1、機(jī)房中有大量的服務(wù)器及機(jī)柜、機(jī)架。由于這些機(jī)柜及機(jī)架一般比

較高，所以監(jiān)控的死角比較多，因此在電視監(jiān)控布點時主要考慮各個出

入口，每一排機(jī)柜之間安裝攝象機(jī)。如果在各出入口的空間比較大，可

考慮采用帶變焦的攝象機(jī)，在每一排的機(jī)柜之間，根據(jù)監(jiān)視距離，配定

焦攝象機(jī)即可。如果機(jī)房有多個房間的話，可考慮在UPS房和控制機(jī)房

內(nèi)安裝攝象機(jī)。

2、產(chǎn)品選型及技術(shù)要求：

?電視監(jiān)控系統(tǒng)圖像信號應(yīng)滿足圖像信號技大指標(biāo)表中的要求

項目指標(biāo)值

復(fù)合視頻信號幅度(1±)V(峰一峰)

黑白電視水平清晰度>=350TVL

彩色電視水平清晰度>=270TVL

黑白電視灰度等級>=8

信噪比>二38

?一般情況下，定焦攝象機(jī)在光照度變化大的場所應(yīng)選用自動光圈鏡頭

并配置防護(hù)罩，在光照穩(wěn)定光源充足的地方，用固定光圈鏡頭可降低成

本O

?圖像信號應(yīng)保持24小時錄像，錄像方式可采用硬盤錄像，也可采用

傳統(tǒng)的錄像系統(tǒng)。閉路電視控制系統(tǒng)最好有視頻動態(tài)報警功能。同時如

果具有視頻遠(yuǎn)程傳輸功能，即通過Internet、ISDN、局域網(wǎng)或電話線將

監(jiān)視信號傳輸?shù)竭h(yuǎn)程客戶指定的地方，在使月時將會更加方便。

?在安裝閉路電視的同時，也可考慮在重要的機(jī)房檔案庫安裝防盜報警

系統(tǒng)以加強(qiáng)防范手段。

消防系統(tǒng)

1、方案依據(jù)

1《高層建筑防火設(shè)干規(guī)范》GBJ45-82

1《火災(zāi)自動報警系統(tǒng)設(shè)計規(guī)范》GBJ116-88

2、消防自動報警及控制系統(tǒng)的組成

1消防控制中心包括智能火災(zāi)報警控制主機(jī)，用于集中報警及控制。

1消防控制中心外圍報警及控制包括光電感煙探測器、感溫探測器、組

合控制器和氣瓶等。上述設(shè)備位于各樓層現(xiàn)場和端子箱內(nèi)。

網(wǎng)絡(luò)防病毒解決方案

計算機(jī)病毒與反病毒技術(shù)的發(fā)展，致使企業(yè)不能再依靠單一的防毒

體系來保全資源，面對日益復(fù)雜的病毒技術(shù)的出現(xiàn)，必須出現(xiàn)一種全新

的企業(yè)防毒模式?；谄髽I(yè)防毒的需求，我們公司所提供的企業(yè)全線防

毒體系，無疑給了我們電力網(wǎng)絡(luò)一個更加安全的防護(hù)模式。

1、殺毒軟件【網(wǎng)絡(luò)版】體系結(jié)構(gòu)

殺毒軟件【網(wǎng)絡(luò)版】整個防病毒體系是由四個相互關(guān)聯(lián)的子系統(tǒng)組

成。每一個子系統(tǒng)均包括若干不同的模塊，除承擔(dān)各自的任務(wù)外，還與

另外子系統(tǒng)通訊，協(xié)同工作，共同完成對網(wǎng)絡(luò)的病毒防護(hù)工作。

一、系統(tǒng)中心

系統(tǒng)中心是整個網(wǎng)絡(luò)防病毒系統(tǒng)的信息管理和病毒防護(hù)的自動控制

核心。它實時地記錄防護(hù)體系內(nèi)每臺計算機(jī)上的病毒監(jiān)控、檢測和清除

信息。同時，根據(jù)控制臺的設(shè)置，實現(xiàn)對整個防護(hù)系統(tǒng)的自動控制。其

他子系統(tǒng)只有在系統(tǒng)中心工作后，才可實現(xiàn)各自的網(wǎng)絡(luò)防護(hù)功能。它必

須先于其它子系統(tǒng)安裝到符合條件的服務(wù)器上。

二、服務(wù)器端

服務(wù)器端是專門為網(wǎng)絡(luò)服務(wù)器設(shè)計的防病毒子系統(tǒng)。它承擔(dān)著對當(dāng)

前服務(wù)器上病毒的實時監(jiān)控、檢測和清除任務(wù)，同時自動向系統(tǒng)中心報

告病毒監(jiān)測情況。

三、客戶端

客戶端是專門為網(wǎng)絡(luò)工作站（客戶機(jī)）設(shè)計的防病毒子系統(tǒng)。它

承擔(dān)著對當(dāng)前工作站上病毒的實時監(jiān)控、檢測和清除任務(wù)，同時自動向

系統(tǒng)中心報告病毒監(jiān)測情況。

四、控制臺

控制臺是為網(wǎng)絡(luò)管理員專門設(shè)計，是整個網(wǎng)絡(luò)防病毒系

統(tǒng)設(shè)置、使用和控制的操作平臺。它集中管理網(wǎng)絡(luò)上所有

已安裝過網(wǎng)絡(luò)版客戶端的計算機(jī)，保障每個納入防護(hù)網(wǎng)絡(luò)

的計算機(jī)時刻處于最佳的防病毒狀態(tài)。同時實現(xiàn)對系統(tǒng)中

心的管理。它既可以安裝到服務(wù)器上也可以安裝到客戶機(jī)

上，視網(wǎng)絡(luò)管理員的需要，可自由安裝。所以，它又被稱

為“移動控制臺“。

2、如何進(jìn)行防病毒管理

當(dāng)一個計算機(jī)網(wǎng)絡(luò)安裝殺毒軟件【網(wǎng)絡(luò)版】后，必須將防病毒管理

納入日常工作。只有通過網(wǎng)絡(luò)系統(tǒng)管理員，殺毒軟件【網(wǎng)絡(luò)版】和我公

司的技術(shù)支持三方努力下才能真正實現(xiàn)整個網(wǎng)絡(luò)安全的目的。針對殺毒

軟件【網(wǎng)絡(luò)版】提供的功能和特點，建議網(wǎng)絡(luò)系統(tǒng)管理員進(jìn)行如下的管

理：

?確立病毒防護(hù)原則

在通過殺毒軟件【網(wǎng)絡(luò)版】、企業(yè)自身技術(shù)人員（多指網(wǎng)絡(luò)管理員）

和我公司技術(shù)支持工程師建立起網(wǎng)絡(luò)的防病毒體系后，還必須確立該體

系運(yùn)轉(zhuǎn)的工作原則。根據(jù)我們電力公司的網(wǎng)絡(luò)狀況、技術(shù)人員狀況和其

他實際情況，我公司提出以下建議：

?所有計算機(jī)均應(yīng)安裝殺毒軟件，避免形成防護(hù)體系的薄弱環(huán)節(jié)。

?強(qiáng)制每臺計算機(jī)開啟實時監(jiān)控功能。

?在每臺服務(wù)器和客戶機(jī)上設(shè)定合理的定時掃描頻率。

?每次手動查殺病毒時，選擇掃描所有文件。

?在重要服務(wù)器或客戶機(jī)上選定“清除之前備份帶毒文件”功能。

?系統(tǒng)管理員通過控制臺獲得某臺服務(wù)器或客戶機(jī)染毒信息后，應(yīng)針

對該計算機(jī)進(jìn)行專門處理。

?病毒防護(hù)信息管理

系統(tǒng)中心對防護(hù)體系內(nèi)所有計算機(jī)的病毒監(jiān)控、檢測，以及處理情

況均有記錄。對這些信息的有效監(jiān)控、利用和管理會使整個防病毒工作

更加有效。網(wǎng)絡(luò)管理員應(yīng)根據(jù)網(wǎng)絡(luò)的實際運(yùn)行狀況和工作需要制定切實

可行的管理方案。

?監(jiān)控、檢測和清繪病毒

該項管理是網(wǎng)絡(luò)防病毒管理的核心，利用殺毒軟件【網(wǎng)絡(luò)版】提供

的各項功能可實現(xiàn)對所有計算機(jī)設(shè)計具體的管理方案。如，對實時監(jiān)控、

掃描、清除時間、周期等設(shè)置。

?未知病毒偵測管理

由于新病毒的不斷出現(xiàn)，反病毒軟件也要隨之更新。只有建立一套

完整可行的新病毒偵測和捕獲方案才能實現(xiàn)這一過程的良性循環(huán)和周

期的縮短。這也是維護(hù)整個網(wǎng)絡(luò)安全必不可〃的環(huán)節(jié)。一旦發(fā)現(xiàn)異?，F(xiàn)

象，及時與反病毒公司聯(lián)系。

?版本升級更新管理

徹底解決新病毒的辦法是保證殺毒軟件的不斷升級更新。為此，網(wǎng)

絡(luò)管理員應(yīng)充分利用提供的各種升級方式，結(jié)合自身具體情況，制定合

理的升級管理辦法，弁組織實施。

3、殺毒軟件【網(wǎng)絡(luò)版】的特點

■遠(yuǎn)程化管理

?遠(yuǎn)程殺毒：

網(wǎng)絡(luò)管理員只需通過一臺計算機(jī)，就可以對全網(wǎng)的所有計算機(jī)同

時進(jìn)行病毒檢測和清除。

?遠(yuǎn)程報警：

局域網(wǎng)中任何一臺計算機(jī)上發(fā)現(xiàn)病毒時，殺毒軟件自動將病毒信

息傳遞給網(wǎng)絡(luò)管理員。

?遠(yuǎn)程操作:

網(wǎng)絡(luò)管理員只需通過一臺計算機(jī)，就可以對全網(wǎng)所有殺毒軟件進(jìn)

行統(tǒng)一或個性化設(shè)置。

■自動化管理

?自動安裝：

整個局域網(wǎng)只需在一臺計算機(jī)上安裝殺毒軟件，即可實現(xiàn)對所有

計算機(jī)的自動安裝。

?自動升級：

系統(tǒng)自動從網(wǎng)站下載最新升級版本，并自動分發(fā)到各節(jié)點計算機(jī),

實現(xiàn)全網(wǎng)統(tǒng)一升級。

■功能強(qiáng)大，操作簡便

針對以往網(wǎng)絡(luò)版殺毒軟件設(shè)置復(fù)雜，操作繁瑣的弊病，采用智能化

的底層優(yōu)化技術(shù)，在保持功能強(qiáng)大的前提下，實現(xiàn)了界面簡潔、操作便

利的目標(biāo)，最大限度地減少了用戶操作難度和工作量。

■集中式管理、分布式殺毒

?中央系統(tǒng)中心結(jié)合移動控制臺實現(xiàn)全網(wǎng)方便管理

局域網(wǎng)內(nèi)任意一臺計算機(jī)均可設(shè)置為移動控制臺。網(wǎng)絡(luò)管理員通過

帳號和口令使用移動控制臺，即可清楚地掌握整個網(wǎng)絡(luò)環(huán)境中各個節(jié)點

的病毒監(jiān)測狀態(tài)，對局域網(wǎng)進(jìn)行遠(yuǎn)程集中式安全管理。

?先進(jìn)的分布式管理技術(shù)

殺毒軟件采用先進(jìn)的分布式管理技術(shù)，調(diào)用每個節(jié)點各自的殺毒軟

件對該計算機(jī)上所有文件進(jìn)行全面查殺病毒，解決了以往網(wǎng)絡(luò)版殺毒軟

件只能查殺共享文件的缺陷。由于不在網(wǎng)絡(luò)上傳輸文件，既保障了每個

節(jié)點使用者的隱私，又大大提高了全網(wǎng)查殺病毒的效率。

防火墻解決方案

防火墻簡介

在人們建筑和使用木制結(jié)構(gòu)房屋的時候，為防止為災(zāi)的發(fā)生和蔓

延，將堅固的石塊堆砌在房屋周圍作為屏障，這種防護(hù)構(gòu)筑物被稱之為

防火墻。在今日的電子信息世界里，人們借助了這個概念，使用防火墻

來保護(hù)敏感的數(shù)據(jù)不被竊取和篡改，不過這些防火墻是由先進(jìn)的計算機(jī)

系統(tǒng)構(gòu)成的。

今天的防火墻設(shè)備被用來保護(hù)計算機(jī)網(wǎng)絡(luò)免受未授權(quán)人員的騷擾

與黑客的入侵，這些設(shè)備尤如一道城墻一樣隔在被保護(hù)的網(wǎng)絡(luò)與不安全

的非信任網(wǎng)絡(luò)之間。我們目前廣泛使用的互聯(lián)網(wǎng)絡(luò)便是世界上最大的非

信任網(wǎng)，它在結(jié)構(gòu)上并沒有一個集中的管理機(jī)構(gòu)，沒有辦法控制源自天

這里的訪問的合法性，近年來媒體報導(dǎo)的很多黑客入侵事件都是通過互

聯(lián)網(wǎng)絡(luò)進(jìn)行的。

防火墻的概念

簡單的說，防火墻是位于兩個信任程度不同的網(wǎng)絡(luò)之間（如企業(yè)內(nèi)

部網(wǎng)絡(luò)和INTERNET之間）的軟件或硬件設(shè)備的組合，它對兩個網(wǎng)絡(luò)之

間的通信進(jìn)行控制，通過強(qiáng)制實施統(tǒng)一的安全策略，防止對重要信息資

源的非法存取和訪問，以達(dá)到保護(hù)系統(tǒng)安全的目的。

防火墻通常是運(yùn)行在一臺單獨(dú)計算機(jī)之上的一個特別的服務(wù)軟件，

用來保護(hù)由許多臺計算機(jī)組成的大型網(wǎng)絡(luò)。它既可以是非常簡單的過濾

器，也可能是精心配置的網(wǎng)關(guān)，但它們的原理是一樣的，都是監(jiān)測并過

濾所有內(nèi)部網(wǎng)和外部網(wǎng)之間的信息交換，防火墻保護(hù)著內(nèi)部網(wǎng)絡(luò)敏感的

數(shù)據(jù)不被偷竊和破壞，并記錄內(nèi)外通訊的有關(guān)狀態(tài)信息日志，如通訊發(fā)

生的時間和進(jìn)行的操作等等。新一代的防火墻甚至可以阻止內(nèi)部人員將

敏感數(shù)據(jù)向外傳輸。在把公司的局域網(wǎng)聯(lián)入互聯(lián)網(wǎng)絡(luò)時，肯定不希望讓

全世界的人隨意翻閱公司內(nèi)部的工資單、個人資料或是客戶數(shù)據(jù)庫。即

使在公司內(nèi)部，同樣也存在這種數(shù)據(jù)非法存取的可能性。例如一些對公

司不滿的員式可能會修改工資表和財務(wù)報告。而在設(shè)置了防火墻以后，

就可以對網(wǎng)絡(luò)數(shù)據(jù)的流動實現(xiàn)有效地管理：尤許公司內(nèi)部員工使用電子

郵件，進(jìn)行WEB瀏覽以及文件傳輸，但不允許外界隨意訪問公司內(nèi)部的

計算機(jī)，同樣還可以限制公司中不同部門之間互相訪問。將局域網(wǎng)絡(luò)放

置于防火墻之后可以有效阻止來自外界的攻擊。

為什么需要設(shè)防火墻

設(shè)置防火墻使你的網(wǎng)絡(luò)規(guī)劃清晰明了，它可以識別并屏蔽非法的請

求，有效防止跨越權(quán)限的數(shù)據(jù)訪問。如果你的網(wǎng)絡(luò)聯(lián)入了互聯(lián)歡網(wǎng)絡(luò)而

沒有設(shè)置防火墻的話，你可能會接到許多系統(tǒng)入侵的報告。黑客襲擊的

例子屢見不鮮，在一些講座計算機(jī)安全的站點上可以找到許多案例。黑

客可以攻擊美國國防學(xué)的網(wǎng)絡(luò)，也可能會對一家公司發(fā)生興趣。

防火墻的幾種形式

防火墻有許許多多形式，有以軟件形式運(yùn)行在普通計算機(jī)之上的，

也有以固件形式設(shè)計在硬件設(shè)備之中的?？偟膩碚f業(yè)界的分類有三種：

包過濾防火墻；應(yīng)用級網(wǎng)關(guān)；狀態(tài)監(jiān)視器。

a.包過濾防火墻

在互聯(lián)網(wǎng)絡(luò)這樣的TCP/IP網(wǎng)絡(luò)上，所有往來的信息都被分割成許

許多多一定長度的信息包，包中包含發(fā)送者的IP地址和接收者的IP地

址信息。當(dāng)這些信息包被送上互聯(lián)網(wǎng)絡(luò)時，路由器會讀取接收者的IP

并選擇一條合適的物理線路發(fā)送出去，信息包可能經(jīng)由不同的路線抵達(dá)

目的地，當(dāng)所有的包抵達(dá)目的地后會重新組裝還原。包過濾式的防火墻

會檢查所有通過的信息包頭部的IP地址，并按照管理員所給定的過濾

規(guī)則進(jìn)行過濾。如果對防火墻設(shè)定某一IP地址的站點為不適宜訪問的

話，從這個地址來的所有信息都會被防火墻屏蔽掉。

包過濾防火墻的優(yōu)點是它對于用戶來說是透明的，處理速度快而且

易于維護(hù)，通常做為第一道防線。但包過濾路由器通常沒有用戶的訪問

日志，這樣就不能得到入侵者的攻擊記錄。

b.應(yīng)用級網(wǎng)關(guān)

應(yīng)用級網(wǎng)關(guān)也就是通常我們提到的代理服務(wù)器。它適用天特定的互

聯(lián)網(wǎng)服務(wù)，如超文本傳輸(HTTP),遠(yuǎn)程文件傳輸(FTP)等等。代理服

務(wù)器通常運(yùn)行在兩個網(wǎng)絡(luò)之問，它對于客戶來說象是一臺真的服務(wù)器，

而對于外界的服務(wù)器來說，它又是一臺客戶機(jī)。當(dāng)代理服務(wù)器接收到用

戶對某站點的訪問的站點內(nèi)容，在下一個用戶要訪問同一站點時，服務(wù)

器就不用重復(fù)地獲取相同的內(nèi)容，直接將緩存內(nèi)容發(fā)出即可，既節(jié)約了

時間也節(jié)約了網(wǎng)絡(luò)資源。代理服務(wù)器會象一堵墻一樣擋在內(nèi)部用戶和外

界之間，從外部只能看到該代理服務(wù)器而無法獲知任何的內(nèi)部資源，諸

如用戶的IP地址等。應(yīng)用級網(wǎng)關(guān)比單一的包過濾更為可靠，而且會詳

細(xì)地記錄所有的訪問狀態(tài)信息。但是應(yīng)用級網(wǎng)關(guān)也存在一些不足之處，

首先它會使訪問速度變慢，因為它不允許用戶直接訪問網(wǎng)絡(luò)，而且應(yīng)用

級網(wǎng)關(guān)需要對每一個特定的服務(wù)安裝相應(yīng)的代理服務(wù)軟件，用戶不能使

用未被服務(wù)器支持的服務(wù)，對每一類服務(wù)要使用特殊的客戶端軟件，更

不幸的是，并不是所有的互聯(lián)網(wǎng)應(yīng)用軟件都可以使用代理服務(wù)器。

C.狀態(tài)監(jiān)測防火墻

這種防火墻具有非常好的安全特性，它使用了一個在網(wǎng)關(guān)上執(zhí)行安

全策略的軟件模塊，稱之為監(jiān)測引擎。監(jiān)測引擎在不影響網(wǎng)絡(luò)正常運(yùn)行

的前提下，采用抽取不關(guān)數(shù)據(jù)的方法對網(wǎng)絡(luò)通信的各層實施監(jiān)測，抽取

狀態(tài)信息，并動態(tài)地保存起來作為以后執(zhí)行安全策略的參考。監(jiān)測引擎

支持多種協(xié)議和應(yīng)用程序，并可以很容易地實現(xiàn)應(yīng)用和服務(wù)的擴(kuò)充。與

前兩種防火墻不同，當(dāng)用戶訪問請求到達(dá)網(wǎng)關(guān)的操作系統(tǒng)前，狀態(tài)監(jiān)視

器要抽取有關(guān)數(shù)據(jù)進(jìn)行分析，結(jié)合網(wǎng)絡(luò)配置和安全規(guī)定作出接納、拒絕、

身份認(rèn)證、報警或給該通信加密等處理動作。一旦某個訪問違反安全規(guī)

定，就會被拒絕，并報告有關(guān)狀態(tài)作日志記錄。狀態(tài)監(jiān)測防火墻的另一

個優(yōu)點是它會監(jiān)測無連接狀態(tài)的遠(yuǎn)程過程調(diào)用（RPC）和用戶數(shù)據(jù)報

（UDP）之類的端口信息，而包過濾和應(yīng)用網(wǎng)關(guān)防火墻都不支持此類應(yīng)

用。這種防火墻無疑是非常堅固的，但它對網(wǎng)絡(luò)的速度有一定影響，而

且配置也比較復(fù)雜。

防火墻的生產(chǎn)廠商們已在他們的產(chǎn)品中如入了更多的新技術(shù)來增

加產(chǎn)品的競爭力。網(wǎng)絡(luò)應(yīng)用的內(nèi)容安全，如在網(wǎng)關(guān)上對計算機(jī)病毒進(jìn)行

實時的掃描和防護(hù)便是最新加入防火墻的功能。根據(jù)國際計算機(jī)安全協(xié)

會（ICSA）的一份報告，在1996年有23%的病毒感染是由EMAIL引起

的。某些防火墻產(chǎn)品已能夠監(jiān)測通過HTTP,FTP,SMTP等協(xié)議傳輸?shù)囊?/p>

知病毒。

防火墻的應(yīng)用與選擇

在建立防火墻架構(gòu)的同時，就將成長性的理念植入其中，不僅將會

為你節(jié)省下許多的投入，同時還能夠確保你的安全配置能夠與你業(yè)務(wù)的

擴(kuò)展速度保持同步。下面，我們就一起來看看如何能夠建立起一個具有

高性價比、可以逐步升級的防火墻系統(tǒng)。

每一個將它的內(nèi)荀網(wǎng)絡(luò)連接到互聯(lián)網(wǎng)上的公司或者組織，都需要一

套防火墻系統(tǒng)來保護(hù)自己免遭來自網(wǎng)絡(luò)上的入侵和攻擊。而且現(xiàn)在，安

全系統(tǒng)供應(yīng)商也能夠按照每一個客戶的預(yù)算來為他們提供相應(yīng)的解決

方案。不過，如果你的公司計劃要不斷發(fā)展的話（又有哪一個公司不是

這樣的呢），那么你在選擇防火墻解決方案的時候，就一定要把可擴(kuò)展

性擺在重要位置。

解決方案：硬件Vs.軟件

最簡單的方法，就是在網(wǎng)絡(luò)的主機(jī)上安裝一個價格較為低廉的專用防火

墻設(shè)備，也就是我們通常所說的“硬件防火墻"。像PIX501、SonicWall

Pro1260WatchGuardEdgeX15,以及NetScreen5系列就是這樣的

產(chǎn)品。它們所采用的者3是一些很“傻瓜”的解決方案，設(shè)置起來非常簡

單。不過，你會發(fā)現(xiàn)，雖然這些產(chǎn)品價格便宜，但同時它們的升級性能

也相當(dāng)?shù)囊话?。通常這些產(chǎn)品的連接端口都非常的有限，而且其帶寬也

不會很大。這種硬件產(chǎn)品基本上很難、甚至不可能對其進(jìn)行升級，因此

當(dāng)你的網(wǎng)絡(luò)開始不斷增長，你的需求也隨之發(fā)生改變的時候，你就有可

能會需要購買一個更加高級的防火墻設(shè)備。與最低端的產(chǎn)品相比，其它

的一些設(shè)備具有更大的容量，你需要購買另外的使用許可證來利用這些

潛能就好了。

雖然最初的成本可能會比較高，而且設(shè)置起來也不是很簡便，但是

你還是會發(fā)現(xiàn)那些所謂的“軟件防火墻”，比如說微軟公司的ISA

ServerCheckpoint,以及賽們鐵克公司的企業(yè)防火墻，會更容易伴隨

著你的公司一起成長。這些防火墻產(chǎn)品可以被安裝在某個常規(guī)網(wǎng)絡(luò)操作

系統(tǒng)（比如說WindowsServer、UNIX或者Solaris）之上。這就意味著，

你對計算機(jī)及其相關(guān)配置擁有充分的選擇權(quán)，而且在以后需要的時候，

還可以對其進(jìn)行升級，比如說換個速度更快的處理器，或者增加更多的

內(nèi)存。

與低端的硬件產(chǎn)品相比，軟件防火墻通常能夠支持?jǐn)?shù)量相當(dāng)龐大的

網(wǎng)絡(luò)連接，而其數(shù)據(jù)的吞吐帶寬則是由你所選擇的硬件來決定的。這些

企業(yè)級的軟件防火墻通常都是針對網(wǎng)絡(luò)保護(hù)來設(shè)計的，不要與那些針對

保護(hù)單臺計算機(jī)而設(shè)i-的、基于主機(jī)或者“個人”防火墻的軟件防火墻

相混淆。

網(wǎng)絡(luò)環(huán)境下的身份認(rèn)證解決方案

網(wǎng)絡(luò)環(huán)境下的身份認(rèn)證較為復(fù)雜，主要是要考慮到驗證身份的雙方

一般都通過網(wǎng)絡(luò)而非直接交互，像根據(jù)指紋等手段就無法實現(xiàn)。同時，

大量的黑客隨時隨地都可能嘗試向網(wǎng)絡(luò)滲透，截獲合法用戶口令并冒名

頂替合法身份入網(wǎng)。所以，目前一般采用的是基于對稱密鑰加密或者公

開密鑰加密的方法，采用高強(qiáng)度的密碼技術(shù)進(jìn)行身份認(rèn)證。

認(rèn)證是計算機(jī)和網(wǎng)絡(luò)安全的基本組成部分。對用戶身份進(jìn)行認(rèn)證，

使企業(yè)能夠充滿自信的對不同的用戶帳號指定不同的允許和訪問權(quán)限，

以保證每個登陸到系統(tǒng)和網(wǎng)絡(luò)中的用戶只有完成他們工作所需的最低

級別權(quán)限。一個只有少量的用戶和敏感數(shù)據(jù)的小型企業(yè)可以不用關(guān)心大

多數(shù)操作系統(tǒng)中內(nèi)建的默認(rèn)認(rèn)證機(jī)制：用戶利用用戶名和對應(yīng)的密碼來

登陸。但是，隨著公司的成長，認(rèn)證的需求也在改變。隨著用戶數(shù)量的

增長，記錄和跟蹤用戶訪問哪些數(shù)據(jù)變得越來越困難，這使得技術(shù)化的

控制手段變得更加重要。隨著網(wǎng)絡(luò)中敏感信息數(shù)量的增長，如何控制非

授權(quán)用戶訪問敏感信息的風(fēng)險也隨之增加。這樣的增長同樣會讓用戶更

多的通過VPN和撥號服務(wù)器來遠(yuǎn)程登錄。這正是重新審視自己的認(rèn)證解

決方案的時機(jī)。

在適當(dāng)?shù)臅r機(jī)引入策略

實現(xiàn)復(fù)雜的認(rèn)證解決方案可能會花費(fèi)大量的資金，而迅速成長中的企業(yè)

預(yù)算通常比較緊張。即使決定在這個時刻仍然保持老的密碼認(rèn)證機(jī)制，

也有許多辦法使得它更加安全。

在很多小型企業(yè)里，員工很容易記?。ㄍ瑯右踩菀灼平猓┟艽a并多

年都使用同一個密碼，而且用于各種用途。邁向更加安全的認(rèn)證解決方

案的第一步就事制定政策來管理密碼，這包括：

?密碼長度：所有密碼的長度必須至少有8個字符，這會提高企亞安

全，越長越好。

?密碼復(fù)雜度：所有的密碼都必須由阿拉伯?dāng)?shù)字、英文字母和其他符

號組合而成。密碼不應(yīng)當(dāng)由字典單詞或者其他容易被猜出的名字或者數(shù)

字組成。（例如用戶的社會安全號碼、電話號碼、配偶的名字，等等）。

?密碼過期：密碼必須被經(jīng)常更改（每隔30到90天，取決于安全級

別）。新的密碼不應(yīng)當(dāng)與最近使用的密碼類似，而且用戶不允許在每次

改變密碼時，交換使用相同的兩個密碼。

?密碼安全：用戶應(yīng)當(dāng)被禁止寫下他們的密碼（即使是被保存在一個

鎖好的或者其他的安全位置，用戶有時候也難免疏忽）以及向其他人共

享自己的密碼。用戶應(yīng)當(dāng)接受關(guān)于社會工程學(xué)的培訓(xùn)（試圖通過脅迫、

說服和其他詭計來獲取用戶的密碼）。盡可能的用技術(shù)來武裝認(rèn)證機(jī)制,

通過網(wǎng)絡(luò)操作系統(tǒng)或者附加軟件。軟件應(yīng)當(dāng)強(qiáng)制用戶在特定周期改變密

碼，不接受不符合長度、復(fù)雜性和修改周期要求的密碼。

入侵檢測與漏洞掃描解決方案

什么是入侵檢測系統(tǒng)？

目前，網(wǎng)絡(luò)攻擊和入侵的手段多種多樣，從使用的方法主要可以分

為以下幾大類：

掃描:檢測攻擊者使用各種掃描方式企圖獲得攻擊目標(biāo)的有關(guān)信

息及漏洞情況的行為。常用的掃描工具有SANTAN.Saint.

LANguardNetworkScanner.Nmap等。

嗅探：攻擊者試圖從網(wǎng)絡(luò)中獲取用戶名、口令等敏感信息。常用

的嗅探工具有SATAN、Xray、Sniffer等。

后門：攻擊者試圖利用各種后門程序?qū)δ繕?biāo)系統(tǒng)進(jìn)行訪問，常用

的后門攻擊工具如冰河、Backoffice、SubSseven、

NetBusSolaris>RootkitDagger等0

病毒：利用互聯(lián)網(wǎng)的高速傳播速度，網(wǎng)絡(luò)病毒已經(jīng)成為網(wǎng)絡(luò)攻擊

的主要組成部分。近來比較猖獗的病毒有Nimda病毒、Toadie

病毒、W97M/Vale宏病毒、電子郵件蠕蟲、W32/Navidad@M因特

網(wǎng)蠕蟲等。

惡意代碼：攻擊者編寫ActiveX、Javascript等形式的各種惡

意代碼對例如網(wǎng)站這樣對外提供服務(wù)的系統(tǒng)進(jìn)行攻擊。

拒絕服務(wù)(DoS)和分布式拒絕服務(wù)(DDoS)：攻擊者通過消耗系

統(tǒng)資源使目標(biāo)主機(jī)的部分或全部服務(wù)功能喪失。常見的拒絕服務(wù)

攻擊有SYNFLOOD攻擊，PINGFLOOD攻擊,WINNUK攻擊等。

欺騙：攻擊者還經(jīng)常使用欺騙手段達(dá)到攻擊目的，如域名系統(tǒng)無

權(quán)限的欺騙查詢、ICMPECHO報文數(shù)據(jù)等

入侵檢測(IntrusionDetection)技術(shù)是為保證計算機(jī)系統(tǒng)的安

全而設(shè)計與配置的一種能夠及時發(fā)現(xiàn)并報告系統(tǒng)中未授權(quán)或異?，F(xiàn)象

的技術(shù),是一種用于檢測信息系統(tǒng)中違反安全策略行為的技術(shù)。

入侵檢測系統(tǒng)—IntrusionDetectionSystem(IDS)利用入侵檢測

技術(shù)監(jiān)視信息系統(tǒng),尋找入侵的行為并進(jìn)行相應(yīng)的處理。

入侵監(jiān)測系統(tǒng)就像大廈的保安監(jiān)視系統(tǒng)一樣，監(jiān)視著網(wǎng)絡(luò)上的一舉

一動。它的“攝像頭”連接在網(wǎng)絡(luò)的主要節(jié)點上，偵聽、分析網(wǎng)絡(luò)流量；

它的“監(jiān)視器”安裝在網(wǎng)絡(luò)安全管理員的主機(jī)上，以便隨時發(fā)覺網(wǎng)絡(luò)中

的入侵行為。通過運(yùn)用先進(jìn)的入侵監(jiān)測技術(shù)，入侵監(jiān)測系統(tǒng)可以發(fā)現(xiàn)絕

大多數(shù)的網(wǎng)絡(luò)攻擊行為。

入侵檢測的必要性

針對日益嚴(yán)重的網(wǎng)絡(luò)安全問題和越來越突出的安全需求，P2DR“動

態(tài)安全模型''應(yīng)運(yùn)而生，該模型目前已被業(yè)內(nèi)人士廣泛認(rèn)同。

P2DR模型包含4個主要部分：Policy（安全

策略）、Protection（防護(hù)）、Detection（檢測）、

Response（響應(yīng)）。

防護(hù)、檢測和晌應(yīng)組成了一個完整的、動態(tài)

的安全循環(huán)。在整體的安全策略的控制和指

導(dǎo)下，在綜合運(yùn)用防護(hù)工具的同時，利用檢

測工具了解和評估系統(tǒng)的安全狀態(tài)，將系統(tǒng)

調(diào)整到“最安全”和“風(fēng)險最低”的狀態(tài)。

圖P2DR模型示意圖

在P2DR模型較為獨(dú)特之處，是它加進(jìn)了時間的因素，如入侵探測

時間、應(yīng)變時間等概念，使其成為了一套完整的安全架構(gòu)。

P2DR模型的基本描述為：

安全二風(fēng)險分析+執(zhí)行策略+系統(tǒng)實施+漏洞監(jiān)測+實時響應(yīng)

該模型強(qiáng)調(diào)的是系統(tǒng)安全的動態(tài)性，以安全檢測、漏洞監(jiān)測和自適

應(yīng)填充“安全間隙”為循環(huán)來提高網(wǎng)絡(luò)安全。P2DR理論提出了全新的安

仝概念，安仝不能依靠單純的靜態(tài)防護(hù)，也不能依靠單純的技術(shù)手段來

解決。根據(jù)該模型，防護(hù)是一個必備的措施和必須的環(huán)節(jié)。從發(fā)生的入

侵事件可以看出，基砧防護(hù)的網(wǎng)絡(luò)還是缺乏安全性，訪問控制等靜態(tài)安

全措施只能對網(wǎng)絡(luò)系統(tǒng)中的某幾個環(huán)節(jié)起保護(hù)作用，如果忽略了網(wǎng)絡(luò)系

統(tǒng)中的安全漏洞和隨時可能發(fā)生的攻擊，隱患仍然存在，計算機(jī)信息仍

然受到威脅。所以需要增設(shè)檢測和響應(yīng)這兩個環(huán)節(jié)，發(fā)現(xiàn)隱藏的漏洞，

主動提高網(wǎng)絡(luò)的抗攻擊能力。這個環(huán)節(jié)主要通過日常漏洞檢測掃描和實

時入侵檢測響應(yīng)技術(shù)來擔(dān)當(dāng)重任。

近來信息安全問題越來越受到人們的關(guān)注，為了解決安全問題，各

單位都不同程度地增加了對信息安全的資金投入，各種防火墻、防病毒

等安全產(chǎn)品都被廣泛應(yīng)用到了用戶的信息網(wǎng)絡(luò)當(dāng)中。那么在網(wǎng)絡(luò)中部署

了上述這些安全產(chǎn)品以后，用戶所面臨的安全問題是否都得到了全部解

決呢？從上面介紹的P2DR模型我們可以知道，答案是否定的。

這主要表現(xiàn)在以下幾個方面：

防火墻的局限性

傳統(tǒng)的邊界防火墻由于其部署于內(nèi)網(wǎng)與外網(wǎng)之間，進(jìn)行網(wǎng)絡(luò)隔離

和訪問控制，但它很難解決內(nèi)網(wǎng)控制內(nèi)部人員的安全問題，即只

能防范來自外部的風(fēng)險，而不能防范來自內(nèi)部的風(fēng)險。對于應(yīng)用

層的攻擊防火堵的防護(hù)也是不能令人滿意的。

安全漏洞與攻擊方法的不斷出現(xiàn)

隨著安全漏洞不斷被公布，及攻擊者知識的日趨成熟，攻擊工具

與手法的日趨復(fù)雜多樣化，單純的防火墻策略已經(jīng)無法滿足對安

全高度敏感的部門的需要。網(wǎng)絡(luò)的防衛(wèi)必須采用一種縱深的、多

樣的手段。

靜態(tài)防御的不足

訪問控制等靜態(tài)安全措施可以發(fā)揮一定的安全保護(hù)作用，但如忽

略了網(wǎng)絡(luò)系統(tǒng)中的安全漏洞和隨時可能發(fā)生的攻擊隱患，計算機(jī)

安全系統(tǒng)仍然會受到威脅。

部署入侵檢測系統(tǒng)不但可以有效地解決上述問題，并且能夠幫助用

戶達(dá)到以下網(wǎng)絡(luò)安全管理目的：

識別各種黑客攻擊或入侵的方法和手段

入侵檢測系統(tǒng)從網(wǎng)絡(luò)數(shù)據(jù)流中搜集各種網(wǎng)絡(luò)行為的信息，然后從

中分析各種攻擊的特征，它可以全面快速地識別各種網(wǎng)絡(luò)攻擊,

并做相應(yīng)的防范。?

實時的報警和響應(yīng)，幫助用戶及時發(fā)現(xiàn)并解決安全問題

入侵檢測系統(tǒng)在發(fā)現(xiàn)入侵或誤用行為之后，根據(jù)一定的事件響應(yīng)

規(guī)則進(jìn)行實時的報警。入侵檢測系統(tǒng)同時也能夠針對惡意攻擊按

照預(yù)定的響應(yīng)方式進(jìn)行實時響應(yīng)。

詳盡紀(jì)錄報警事件信息

所有的網(wǎng)絡(luò)攻擊事件的詳細(xì)信息都會被記錄到入侵檢測系統(tǒng)的

日志中，以備用戶進(jìn)行事后核查。并且所記錄的日志信息可以作

為對攻擊者實施法律制裁的依據(jù)，加強(qiáng)對用戶信息系統(tǒng)的法律保

護(hù)。

網(wǎng)絡(luò)攻擊事件的統(tǒng)計分析

網(wǎng)絡(luò)管理人員利用入侵檢測系統(tǒng)可以便捷地統(tǒng)計分析出網(wǎng)絡(luò)在

一段時間遭受了哪些攻擊、哪種攻擊方式最多、從哪里來的攻擊

最嚴(yán)重等等。入侵檢測系統(tǒng)產(chǎn)生的統(tǒng)計分析報表將是用戶加強(qiáng)網(wǎng)

絡(luò)安全建設(shè)的重要事實依據(jù)。

協(xié)助管理員加強(qiáng)網(wǎng)絡(luò)安全的管理

借助入侵檢測系統(tǒng)，網(wǎng)絡(luò)管理人員可以隨時了解人們正在訪問的

信息，并且在有人試圖偷窺或盜取敏感數(shù)據(jù)時及時覺察。入侵檢

測系統(tǒng)具備的網(wǎng)絡(luò)安全專家的入侵分析與判斷能力，擴(kuò)展了系統(tǒng)

管理員的安全管理能力。

入侵檢測系統(tǒng)的工作原理

入侵檢測系統(tǒng)一般分為傳感器｛Sensor）和控制臺｛Consol）兩部分。

傳感器負(fù)責(zé)監(jiān)聽、分析網(wǎng)絡(luò)數(shù)據(jù)，發(fā)現(xiàn)攻擊時發(fā)出報警，并按照預(yù)定的

響應(yīng)規(guī)則對攻擊事件做出響應(yīng)；控制臺負(fù)責(zé)接收報警，統(tǒng)計和分析報警

數(shù)據(jù)，并可以對傳感器進(jìn)行參數(shù)設(shè)置。那么入侵檢測系統(tǒng)是如何實現(xiàn)上

述功能的呢？

,配置曾理Sensor

?本報警事件

偵聽\?統(tǒng)計攻擊事件

?分析攻擊事件

?偵所網(wǎng)絡(luò)該盤

報警

?分析網(wǎng)絡(luò)流量

?發(fā)送報警事件

?響應(yīng)入侵行為

J第里

SensorConsol

圖入侵檢測系統(tǒng)工作原理圖

傳感器有一個或多個端口作為偵聽網(wǎng)絡(luò)數(shù)據(jù)的“探針”，被稱為“偵

聽端口:這些端口的工作模式被設(shè)置為“混雜模式”，因此它們可以接

收到網(wǎng)絡(luò)中所有傳輸?shù)臄?shù)據(jù)包。通常，傳感器的偵聽端口通常連接在交

換機(jī)或集線器的端口上。連接在集線器上的偵聽端口可以接收到集線器

上所有的流量；但是，在沒有對交換機(jī)進(jìn)行一定的設(shè)置之前，由于交換

機(jī)各端口之間的數(shù)據(jù)轉(zhuǎn)發(fā)是以交換方式進(jìn)行的，所以連接在交換機(jī)端口

上的偵聽端口無法接收到交換機(jī)上其他端口的流量。因此，需要對部署

了傳感器的交換機(jī)做端口鏡像設(shè)置，將被監(jiān)聽的端口的數(shù)據(jù)流量轉(zhuǎn)發(fā)到

偵聽端口所連接的交換機(jī)端口上。

偵聽端口接收到的網(wǎng)絡(luò)數(shù)據(jù)包由入侵監(jiān)測系統(tǒng)的檢測器接收，進(jìn)一

步做攻擊分析。檢測器會對數(shù)據(jù)包屬性的多個方面進(jìn)行檢測，如數(shù)據(jù)包

長度、源地址、目標(biāo)地址、數(shù)據(jù)包的內(nèi)容等；采用的分析方法包括攻擊

特征匹配分析、包狀態(tài)檢測分析、協(xié)議狀態(tài)分析、流量異常檢測等多種

檢測方式。

入侵監(jiān)測系統(tǒng)的檢測器一旦發(fā)現(xiàn)網(wǎng)絡(luò)流量中有攻擊特征或可疑的行

為，將觸發(fā)報警器向控制臺發(fā)出攻擊事件報警信息。報警信息被保存在

數(shù)據(jù)庫中備查。

發(fā)現(xiàn)攻擊行為后，入侵監(jiān)測系統(tǒng)的響應(yīng)器將根據(jù)預(yù)先設(shè)定的響應(yīng)方

式對攻擊行為做出響應(yīng)，如中斷TCP會話、，為造ICMP應(yīng)答、通過防火

墻阻斷等。

網(wǎng)絡(luò)管理

一個完善的網(wǎng)絡(luò)管理系統(tǒng)是計算機(jī)網(wǎng)絡(luò)能夠穩(wěn)定可靠運(yùn)行的保證。

所以網(wǎng)絡(luò)管理對于我們的網(wǎng)絡(luò)來說是至關(guān)重要的。網(wǎng)絡(luò)管理做得好，至

少可以得到以下好處：

?確保工作不致中斷，這對于網(wǎng)絡(luò)系統(tǒng)是至關(guān)重要的；高性能的網(wǎng)

絡(luò)有助于提高工作效率和競爭力，網(wǎng)絡(luò)管理員必須確保這些網(wǎng)絡(luò)應(yīng)用能

順利運(yùn)行；

?可以確保網(wǎng)絡(luò)的規(guī)模和性能隨業(yè)務(wù)的擴(kuò)展而增長，不致于拖業(yè)務(wù)

的后腿；

?可以確保教育網(wǎng)數(shù)據(jù)的安全性和一致性;

?降低網(wǎng)絡(luò)維護(hù)的成本。

網(wǎng)絡(luò)管理系統(tǒng)的重要性是不言而喻的。為了設(shè)計一個完善的網(wǎng)