以Internet为代表的信息网络技术应用正日益普及和广泛，应用领域从传统小型业务系统逐渐向大型关键业务系统扩展，网络安全已经成为影响网络效能重要的问题，而Internet所具有的开放性、自由性和国际性在增加应用自由度的时候，对安全提出了更高级的要求，随着互联网技术的发展，通过网络传输的各种信息越来越多，各种计算机应用系统都在网络环境下运行。目前我公司已经建立了企业网站，电子邮件等系统，并且己经应用了OA、财务、人事等信息化系统软件，许多重要信息都存储在网络服务器中，因此网络系统的安全至关重要。但是，由于在早期网络协议设计上对安全问题的忽视，以及在管理和使用上的无序状态，使网络自身安全受到严重威胁。公司在网络安全上同样面临许多问题，例如邮件传输安全问题，大量垃圾邮件攻击问题，病毒传播问题，信息资源非法访问等问题，这就要求我们对网络系统安全性进行深入研究和分析，建立一套安全的网络系统架构。
　　本文主要针对公司目前存在的典型网络安全问题进行分析研究，实施相应的安全策略，找出相应的解决措施。由于目前企业规模不断扩大，员工全部采用网上办公，每位员工都有自己独立的计算机，因此在考虑安全措施时必须考虑到网络规模并能管理到每个节点。通过一系列安全策略和安全措施的实施，有效提高公司网络系统的安全性，保证企业网络信息系统的安全运行。
　　一、网络发展与安全现状
　　目前我们许多数据的存储和传输以及许多业务的交易都是通过网络进行的，因此网络系统的安全非常重要。许多地区都出现了基于网络的犯罪行为，黑客攻击，数据资料泄密，病毒破坏等己经成为制约网络发展的重要因素。国内外都开展了许多基于网络安全的研究工作，如防火墙技术、防病毒技术、入侵检测技术等，并推出了许多基于网络安全的产品。
　　随着网络应用的不断深入，对网络安全的要求不断提高，同时许多破坏网络安全的手段也越来越高明，这就要求我们不断应用新的网络安全技术，进一步提高网络的安全性。
　　我公司网络系统规模较大，各类应用服务器集中存放在中央机房中。公司应用系统主要包括网站系统、办公自动化、电子邮件系统、各类WEB应用软件、视频会议等。公司每位员工基本都配有计算机，所有工作基本都通过网络进行，因此公司网络具有使用人数多，网络流量大等特点，这也对网络的安全性提出了较高的要求。
　　1.网络系统存在的安全威胁和隐患问题
　　现有的系统主要存在下面的问题:
　　①弱口令造成信息泄露的威胁
　　由于公司应用系统较多，员工要设置各类账户的密码，非常繁琐，而且不便于记忆，因此许多员工将密码设置为简单密码，并且长期不对密码进行更改。这样容易产生信息泄露问题，一些攻击者会窃取密码，非法进入系统获取系统资料。如果重要资料被窃取，将会产生严重后果。
　　②病毒传播造成网路和系统瘫痪
　　公司员工数量较多，绝大多数员工都配有单独使用的计算机，并且大多数计算机都可以访问互联网。员工根据自己的情况自行安装防病毒系统，由于员工对病毒预防知识和防病毒软件的使用方法掌握情况不同，部分员工不能够正确使用防病毒系统，不能够保证防病毒代码和病毒库的及时更新，因此容易造成计算机感染病毒。由于整个网络系统非常庞大，缺乏对网络的统一监控，计算机感染病毒后，不能够及时有效地处理，因此造成病毒在网络中传播，当感染病毒的机器增多后，会引起部分网络或者整个网络速度急剧下降甚至瘫痪，造成许多员工无法正常上网。部分员工的计算机由于感染病毒而无法正常工作，有些计算机还出现计算机数据丢失等问题，严重影响公司员工正常工作。另外感染病毒的员工因重装系统而占用许多工作时间，影响工作的正常进行。
　　③没有划分VLAN，缺乏抵御网络风暴的能力
　　公司网络系统庞大，众多计算机都在同一网段上，系统没有划分VLAN，使网络中某一点出现故障就会影响一片，甚至“席卷”整个网络，产生广播风暴，使网络瘫痪。另外整个庞大的网络由于没有划分VLAN，所有计算机之间都可以互相访问，因此计算机容易受到其他计算机的攻击，并且容易泄露系统中的重要信息。如果重要的商业信息被泄露，將会对公司造成损失，产生严重后果。
　　④信息传输安全性无法保障
　　随着企业信息化的发展，电子邮件已经成为公司业务洽谈必不可少的信息交流沟通手段。但是随着电子邮件的应用日益广泛，随之带来的安全问题也日益严重。由于电子邮件传输协议(SMTP)是建立在TCP协议基础上的，没有任何安全性的保证;电子邮件以明文的形式在网络中传输，所以极易被心怀叵测的人截取、查看。这些问题对于公司的核心部门的人员尤其突出，由于他们之间往来的电子邮件往往涉及到公司的机密信息，如果造成失密事件，后果不堪设想。公司许多商务往来和市场运作等信息都通过网站向外发布，但网站信息以明文的方式传输，在传输过程中容易被第三方截获。公司重要信息如果被泄漏，将会对公司业务造成严重损失。
　　⑤客户端用户操作系统存在漏洞等安全隐患
　　许多用户在安装操作系统后，不能够及时安装操作系统和各类软件的补丁程序，造成系统存在各种漏洞，引发各类网络安全问题。微软每月都会发布安全漏洞补丁程序，公司内员工数量较多，部分员工安全意识薄弱，对系统安全知识欠缺，不能够及时安装微软操作系统的补丁程序，造成客户端操作系统存在许多安全漏洞，系统易受到攻击或感染病毒，导致网络中断。
　　⑥计算机命名不规范
　　公司网络中计算机数量非常多，但由于公司没有制定统一的命名规范，许多计算机用户根据自己的喜好随意命名，一旦计算机出现问题，如感染病毒，影响网络正常运行时，无法定位具体的计算机并确定计算机的使用人员，因此不能够及时排除故障，影响问题解决的时间。
　　⑦用户权限混乱
　　随着信息化建设的深入，越来越多的重要信息存放在网络信息系统中，对于信息的安全管理越来越重要。但由于系统设计之初，信息量较少，缺乏对权限控制的有效管理，许多用户可以存取或更改与用户本身的权限不相符的信息。同时，由于权限管理不严格，部分重要信息被非法用户窃取，造成信息系统安全隐患。 　　二、公司信息安全系统设计及实施
　　针对上述网络系统存在的安全隐患，公司进行了信息安全系统的实施。根据公司目前网络系统状况，主要采用防病毒系统全面部署和监控，整个网络进行VLAN划分，防火墙实施，用户权限角色等安全措施，保证和加强系统安全运行。
　　1. 复杂密码
　　为了有效控制对信息系统资源的访问，防止重要资源信息的泄漏，对于所有信息入口密码都要求使用复杂密码，以防止不法用户使用破译工具软件破译密码，进入信息系统窃取信息。
　　2. VLAN划分
　　病毒、恶意攻击等也是网络安全的一大隐患，因此将整个网络划分成不同的VLAN，VLAN之间一般不可互相访问，除非有业务需求，在用户提出申请后，才可以开通相应的访问权，这样当出现病毒或其它恶意攻击后，一般只能在一个VLAN中进行攻击，不会蔓延到整个网络，避免造成大规模的网络瘫痪现象。另外在整个公司内部部署统一的防病毒系统，并且可以通过中央控管系统进行集中监控，这样可以有效监控病毒的传播情况，采取有效措施控制病毒的传播。保证整个公司信息系统安全可靠地运行。
　　VLAN技术己经成为提高网络运转效率、提供最大程度的可配置性而普遍采用非常成熟的技术，因此公司内部整个局域网络采用VLAN划分技术，将局域网络划分成不同的子网，各子网之间的访问受到限制，避免病毒的传播及信息泄露。网络VLAN划分情况如图所示:
　　网络VLAN划分示意图
　　VLAN不受楼层和交换机的限制，即VLAN可以跨楼层和跨交换机。各个楼层和各个交换机上的同名称VLAN属于同一个VLAN。
　　下面是5号交换机部分VLAN划分情况表
　　3. 计算机规范命名
　　目前公司网络规模庞大，计算机数量较多，由于计算机使用人员技术水平和安全意识参差不齐，导致一些计算机出现安全漏洞和感染病毒等问题，影响整个网络系统的稳定运行，因此需要在整个网络中建立计算机快速定位系统，一旦在网络上监测到计算机出现问题，能够快速准确地查找到计算机和相关使用人员，尽快解决问题，根据公司目前计算机的使用基本上是每人一台计算机的特点，在公司内采用计算机规范命名，具体规则如下:
　　XXX XXX XXX XXX
　　第一段 第二段 第三段 第四段
　　第一段表示所属公司，第二段表示所在地点，第三段表示部门，第四段表示设备序号，通过计算机命名可以直接定位到计算机所在位置及使用人，快速解决计算机系统出现的问题。
　　4. 防火墙部署
　　为了提高进一步提高网络系统的安全性，在公司内部实施了防火墙部署和流量控制。在公司广域网的主要互联网出口配置防火墙，在防火墙的DMZ区域主要放置公司需要对外发布的服务器，员工使用的计算机和对内发布的应用系统全部位于内部安全区域内，员工通过防火墙NAT，转换形式访问互联网。
　　5.MAC地址和交换机端口绑定及流量控制设计
　　由于MAC地址是计算机网卡的唯一地址，也就是我们鉴别计算机最真实的手段，如果将MAC地址和网络端口地址相绑定，那将是一种非常强大的管理手段。
　　a)建立整个公司计算机网卡MAC地址的数据库，这些工作由计算机室对网络上每台客户机第一次运行时完成。
　　b)将每台客户机MAC地址以及对应端口地址和计算机名建立对应数据库。
　　c)在交换机中将每台客户机的MAC地址和对应端口地址进行绑定。
　　d)每次客户机联网过程时交换机自动比对客户机的MAC地址和端口地址。
　　下面是MAC地址和交换机端口绑定及流量控制实例
　　枝干CISCO交换机中MAC地址和端口地址绑定代码：
　　6数据备份和应急恢复机制
　　我们的数据备份和恢复系统由3台工HP公司的 HP Storage Works DLT vs82磁带驱动器以及相应备份软件组成。同时也应用微软自带的备份软件定时向另外一台备份机进行备份。
　　数据的日常备份工作是一个管理员工作中很重要的一部分，如何快速而有效的进行日常的数据备份工作也是困扰管理员很久的问题。另外，在制定备份策略时，除了要制定好日常的备份计划外，一定要手动写下恢复和备份计划方案，以便在备份系统当机之后我们还能够恢复备份计划。
　　三、病毒防范控制系统的实施
　　公司局域网络内部服务器和客户机数量较多，为了保证整个网络系统的安全运行，出现病毒时迅速发现并找到感染病毒的机器，在部署防病毒系统时采用中央控管方式进行部署。客户端在安装防病毒系统时直接登录公司服务器进行安装。安装完成后，可以通过中央控管的服务器直接监控客户端系统的病毒状况，对客户端系统病毒码是否正常升级，防病毒系统是否正常运行等进行监控。
　　由于公司内部推行了计算机规范命名，可以根据计算机名称確定每位员工所使用的防病毒系统的运行情况以及系统是否感染病毒等情况。系统管理员定期察看日志，将感染病毒严重的计算机系统断开网络，同时下载最新的网络病毒专杀工具进行病毒清除。公司防病毒系统监控图及主动防御设置见图1、图2和图3.
　　防病毒系统监控图1
　　防病毒系统监控图2
　　主动防御设置图3
　　在公司安装部署了防病毒系统后，仍然出现了较大规模的病毒传播问题，部分员工不能够按照公司的要求安装统一实施的防病毒系统，一些员工计算机感染病毒后，不经过邮件服务器而直接利用SMTP端口发送病毒邮件，另外还有来自互联网的病毒邮件攻击，公司邮件服务器收到大量病毒邮件后，导致系统负载过重，邮件防病毒系统没有完全阻断病毒邮件而导致病毒邮件传播，引发更多的计算机感染病毒。
　　为了阻断来自互联网的病毒，在公司网络版防病毒软件中设置病毒过滤系统，对于从互联网发送到公司的邮件进行过滤，发现病毒邮件及时进行清除，隔离等操作，通过在反垃圾系统中过滤病毒邮件，大大减少了发送到邮件服务器的病毒邮件。防病毒邮件系统设置见图4
　　防病毒邮件系统设置图4
　　四、结束语
　　随着互联网的不断发展，公司在网络上的应用系统会越来越多，针对网络安全方面的问题也随之增多，因此需要全面系统地对网络安全问题进行深入分析，从各个层面加强安全措施，保证网络系统的稳定运行。
　　公司目前已经规划了许多网络安全系统方案，并进行了实施和部署，这些规划多数是从现有网络存在的安全隐患和安全问题入手，通过对网络系统安全问题进行分析，制定出相应的方案并进行实施，以便解决现有的网络安全问题。
　　随着网络应用的深入发展，信息窃取、黑客和病毒等各种破坏网络安全的手段会越来越高明，越来越隐蔽，因此防范措施也需要进一步加强，今后安全方案的规划要从被动地进行防御转变到主动去检测发现安全漏洞和隐患，并自行进行修复和防范，在方案的规划中提高方案的智能性，能够全面系统提高网络的安全性，并及时发现网络中可能存在的安全隐患，自动进行系统处理并通知相关的管理人员。
　　总之，随着计算机技术的不断发展，对网络安全提出了更高的要求，公司会根据网络系统不断发展的要求，进一步规划出更加适合公司发展的网络安全系统，满足公司网络系统建设不断发展的要求。