 |
网络教育学院
本 科 生 毕 业 论 文（设 计）
题 目： 基于某企业的网络安全策略
学习中心：
层 次： 专科起点本科
专 业：
年 级：
学 号：
学 生：
指导教师：
完成日期： 2021 年9月17日
内容摘要
伴随着网络的发展，也产生各种各样的问题，其中安全隐患日益突出，无论是企业、服务供应商、政府部门还是研究和教育机构，安全性显然决定着网络要求和工作的优先级。对于企业而言，提高内部信息集成，实现信息共享，提高工作效率，必须要建立完善、高效的网络。本文主要介绍了某企业的网络安全策略。文章首先介绍了课题的选题背景及企业网络安全的研究现状；然后介绍了企业网络安全的需求及存在的隐患；接着从四个方面介绍某企业网络安全策略及数据备份策略。
关键词：信息化；企业网络；网络安全；数据备份
目 录
引 言
随着计算机网络的出现和互联网的飞速发展，网络在信息获取及传递中发挥着无可比拟的作用。众多的企业、组织、政府部门与机构都在组建和发展自己的网络，并连接到Internet上，以充分共享、利用网络的信息和资源。
中国国内企业和政府机构都希望能具有竞争力并提高生产效率，这就必须对市场需求做出及时有力的响应，从而引发了依赖互联网来获取、共享信息的趋势， 这样才能进一步提高生产效率进而推动未来增长。然而，有网络的地方就有安全的问题。过去的网络大多是封闭式的，因而比较容易确保其安全性，简单的安全性设备就足以承担其任务。然而，当今的网络已经发生了变化，确保网络的安全性和可用性已经成为更加复杂而且必需的任务。用户每一次连接到网络上，原有的安全状况就会发生变化，所以，很多企业频繁地成为网络犯罪的牺牲品。由于当今网络业务的复杂性，依靠早期的简单安全设备已经对这些安全问题无能为力。
本文分为五个大的章节来进行阐释；第一章节是概论，介绍了网络安全概念、课题研究背景以及研究现状；第二章，说明了企业网络安全的需求及隐患；第三章，分析了某企业的网络安全策略，主要包括：访问控制策略、信息加密策略、内外网互联安全策略以及网络安全管理策略；第四章，重点介绍了数据备份策略；文章最后对本文进行了总结。
1 概述
1.1 背景
随着计算机网络技术的不断发展，开放性、共享性和互联程度也越来越高，网络应用已经遍布国家的政府、军事、经济、文教等诸多领域。其中存贮、传输和处理的信息有许多是重要的政府宏观调控决策、商业经济信息、银行资金转帐、股票证券、能源资源数据、科研数据等重要信息。另外电子商务、数字货币、网络银行等业务的兴起以及各种专用网的建设，这些都使网络信息保密问题显得越来越重要。而计算机网络所具有的特性在增加应用自由度的时候，对安全也提出了更高级的要求。一般来说，网络安全由信息安全和控制安全两部分组成。信息安全指信息的完整性、可用性、保密性和可靠性，控制安全则指身份认证、不可否认性、授权和访问控制。互联网的开放性、分散性和交互性等特征为信息交流、信息共享、信息服务创造了理想空间，网络技术迅速的发展和广泛的应用，为人类社会进步提供了巨大推动力。然而，正是由于互联网的特性，产生了信息污染、信息泄漏、信息不易受控等诸多安全问题[1]。
目前，全世界每年由于网络的脆弱性而导致的经济损失逐年上升，系统的安全问题日益严重。网络攻击事件之所以频频发生，其根本原因在于操作系统、网络设备甚至网络协议本身存在着严重的漏洞。只要稍有疏忽或防范不及时，网络安全灾难便如期而至。但随着网络应用越加普及和深入，网络内存储的重要和敏感数据越多；那么核心业务对网络的依赖性越大，人们对网络安全的要求也就越高。由此不难看出，网络安全已经成为在网络建设、网络升级和网络日常管理中的头等大事。
网络环境的多变性、复杂性，以及信息系统的脆弱性，决定了网络安全威胁的客观存在。近年来，随着网络安全事件的发生，人们越来越清楚的意识到，信息时代网络安全所引发的信息安全问题涉及到人们生活的方方面面。因此，可以说，在信息化社会里，网络安全的重要性再怎么强调也不过分。
加强网络安全建设，是关系到单位整体形象和利益的大问题。目前在各单位的网络中都存储着大量的信息资料，许多方面的工作也越来越依赖网络，一旦网络安全方面出现问题，造成信息的丢失或不能及时流通，或者被篡改、增删、破坏或窃用，都将带来难以弥补的巨大损失。而对于政府等许多单位来讲，加强网络安全建设的意义甚至关系到国家的安全、利益和发展。网络安全是网络应用的保证和前提，没有网络安全，网络应用就无法顺利进行。
国内外研究现状：
在国际上，从20世纪70年代中期开始，网络与信息安全问题就得到了美英等西方发达国家的高度关注。20世纪80年代，美国国防部国家计算机安全中心发布了第一个信息安全评价标准——著名的“可信计算机系统评价准则”(TCSEC，又称橘皮书)[2]。经过对网络系统和数据等做出安全解释，形成了后来的“彩虹系列”规范。安全评价标准在20世纪90年代如雨后春笋般相继出现。1991年欧共体颁布的“信息技术安全评价准则”(ITSCE)。1993年，加拿大颁布的“加拿大可信计算机产品评价准则”(CTCPEC)。同年，一个各国都能接受的通用安全评估标准CC，由美国国家安全局和国家技术标准研究所联合英，加，法，荷，德5国共同起草提出。
经过30多年的发展，网络信息安全在相关标准制定，基础理论研究，安全产品开发，防御体系建设，人才培养和安全意识教育方面都取得了实质性的成果。网络信息安全内涵从20世纪70年代的公开密匙密码体制发展到网络信息完整性、可控性、可用性和抗抵赖性，进而又发展为“攻(攻击，Attack)、防(防护，Defence)、测(检测，Detection)、控(控制，Contro1)、管(管理，Manage)、评(评估，Assessment)”等方面的基础架构和实施策略。从攻击防范技术方面看，国际上的安全技术研究热点涵盖了信息伪装技术、黑客防范体系、入侵检测技术、信息监控与分析、应急响应机制、容灾备份技术、安全审计、病毒防范技术以及人工免疫技术在反病毒和抗入侵技术中的应用等。在安全模型方面，美国提出了具有预警、保护、检测、反应、恢复和反击等安全功能的防御体系。在产品研发方面，主流的安全产品主要有防火墙，入侵检测系统，虚拟专用网VPN，入侵响应系统，身份认证产品(CA和PKI)，安全路由器，防病毒网关，安全操作系统等。
从2000年以来，信息安全的重要性在国内被提升到空前的高度。信息安全相关法规和部门规章的制定，相关信息安全标准的制定，网络安全事件应急和协调机制的初步建立，信息安全关键技术研究的开展，信任体系的建设，信息安全专用产品的研发，这些都表明我国的网络与信息安全产业己具备一定规模。但总的来说，我国网络与信息安全还面临着严峻的挑战。而作为国家信息化基础设施的企业网络，担负着保障网络与信息安全的重要责任。随着Internet的普及，移动，互联网，电信业务的不断整合，网络安全方面的防护和管理已得到各个企业的广泛关注。将企业网络建设成真正安全、可靠的网络已成为每个企业、安全研究人员需要解决的重要问题之一。
我国在企业网络安全保障方面做了大量的工作。除了采用当前国际先进的安全技术外，还采取了技术和管理措施来加强网络的安全。而企业网络尽管在网络服务安全等基础方面采取了一些安全措施，但由于企业经营管理者的网络安全专业知识的缺乏，信息安全意识的淡薄，企业在信息化建设中对安全重要性的忽视，法律法规和技术标准配套，行政执法、技术检测评估等方面的企业安全管理制度和网络信息系统等保护制度的可操作性非常差导致了企业网络和重要应用设施在规划，建设和使用三个环节无法持续保证自身的稳定性、安全性和可靠性[3]。
1.2 本文的主要内容及组织结构
本文研究的内容为企业网络安全策略。本文的组织结构：
全文共分5章。
第一章，主要是介绍网络安全概念、课题研究背景以及研究现状；
第二章，介绍企业网络安全的需求及隐患；
第三章，分析了某企业的网络安全策略，主要包括：访问控制策略、信息加密策略、内外网互联安全策略以及网络安全管理策略；
第四章，重点介绍了数据备份策略；
第四章，对本文进行了总结。
2 企业网络安全需求及隐患
企业的网络安全需求是一个不断发展的过程，随着企业系统网络环境的发展以及外部网络形势的变化，企业的网络安全需求在不同时期也有相应的改变。这就要求对企业安全需求的调查分析过程与整个网络的现状的改变同步，才能保证对企业网络安全具体需求分析的有效性[6]。
现代企业网络应提供更完善的网络安全解决方案，以阻击病毒和黑客的攻击，减少企业的经济损失。传统企业网络的安全措施主要是通过部署防火墙、IDS、杀毒软件，以及配合交换机或路由器的ACL来实现对病毒和黑客攻击的防御，但实践证明这些被动的防御措施并不能有效地解决企业网络的安全问题。在企业网络已经成为公司生产运营的重要组成部分的。今天，现代企业网络必须要有一整套从用户接入控制，病毒报文识别到主动抑制的一系列安全控制手段，这样才能有效地保证企业网络的稳定运行。
企业网络通常采用TCP/IP、WWW、电子邮件、数据库等通用技术和标准，依托多种通信方式进行广域连接，覆盖系统的大部分单位，传输、存储和处理的信息大都涉及到行业内部信息。因此必须对信息资源加以保护，对服务资源予以控制和管理。
2.1 企业网络安全需求
确保信息网络内部各类信息在存储、获取、传递和处理过程中保持完整、真实、可用和不被非法泄露。各类信息的获取、存储、处理和传递必须满足业务的层次管理和授权管理需要。确保各局域网在信息交换和发布过程中的完整、真实、可用和不被非法泄露的特性。确保网络能防范来自网络外部的攻击，控制内部用户对资源的访问。
信息资源的安全要求按公开信息、内部信息和保密信类划分。公开信息不进行访问控制；内部信息需要进行身证，据此进行访问控制；保密信息的访问不但要进行身份在传输中还需要加密。服务资源的安全要求按公共服务资源和内部服务资类划分，公共服务资源需要防止和抵御外来的攻击，主要匿名客户；内部服务资源主要面向已知客户，需要管理和内部用户对信息资源的访问，包括用户可以使用哪些服否对外等，同时也需要防止可能由内部用户发动的攻击。
2.2 企业网络安全隐患
网络的入侵不仅来自网络外部，也来自于网络内部，由于办公网络在用途和实现方式上与公众网络有所不同，大部分办公网络都采用内部网的形式进行组建，外部网相对而言网络节点数量和信息量都较少，敏感信息一般存放在内部网络中，而且内外网之间大多采用了较强的保护甚至物理隔离措施，因此大多数的安全威胁来自网络内部，而非外部，其原因主要有：
一般来说，大部分机构的信息安全保护措施都是“防外不防内”，很多办公网络赖以保障其安全的防火墙系统大部分位于网络边界，对来自内部的攻击毫无作用。
内部人员最容易接触敏感信息，而且对系统的结构、运作都非常熟悉，因此行动的针对性很强，很容易危害系统的核心数据和资源，而且很难被发觉。
内部人员可能采用常用的非法用户技术和软件对办公网络进行测试。
企业的网络安全又分为以下几点：
（1）网络通信协议。IP层协议安全缺陷，IP地址软件设置是IP地址假冒和IP地址欺骗的安全隐患；应用层协议TELNET、FTP、SMTP等协议缺乏安全认证和保密措施，为攻击者提供了截获秘密的通道。
（2）资源共享。网络应用通常是共享网络资源，比如信息共享、设备共享等。如果缺少必要的访问控制策略，会造成存储设备中各种重要信息泄密。
（3）电子邮件协议。电子邮件为网络用户提供电子邮件应用服务。内部网用户可以通过拔号或其它方式发送和接收电子邮件，这就会被黑客跟踪或收到一些特洛伊木马、病毒程序等，如果用户安全意识比较淡薄，给入侵者提供机会，会给系统带来不安全因素。
（4）操作系统的安全漏洞。计算机操作系统尤其服务器系统是被攻击的重点，如果操作系统因本身遭到攻击，则不仅影响机器本身而且会消耗大量的网络资源，致使整个网络陷入瘫痪。
（5）病毒侵害。网络是病毒传播最好、最快的途径之一。一旦有主机受病毒感染，病毒程序就完全可能在极短的时间内迅速扩散，传播到网络上的所有主机，可能造成信息泄漏、文件丢失、机器不能正常运行等。
（6）网络系统安全策略不健全，或配置失当，产生网络系统安全漏洞。
2.3 安全问题对企业网络的危害
网络攻击能对办公网络系统和信息安全造成极大的危害，主要表现在以下几方面：
（1）泄密：由于办公网络主要传输和处理比较敏感的信息(例如行业信息、财务、决策等)，作为政府机关或房地产单位，泄密造成的危害尤为严重，泄密
