• 免認證

進行免認證的訪問者只能使用特定的IP/MAC地址來訪問網絡資源。

• 密碼認證

訪問者將標識其身份的用戶名和密碼發送給第三方認證服務器，認證通過后，第三方認證服務器將訪問者的身份信息發送給FW。FW只記錄訪問者的身份信息不參與認證過程，該方式稱為單點登錄（Single Sign-On）。

• 單點登錄

單點登錄（SSO，Single Sign-On）指用戶通過一次認證之后，系統通過某種方式獲取其認證信息，之后該用戶不需要再次在設備上進行認證，即用戶可以實現“免認證”上網。

安全審查中采購網絡產品需要考慮以下這些：

• 產品和服務使用后帶來的關鍵信息基礎設施被非法控制、遭受干擾或破壞，以及重要數據被竊取、泄露、毀損的風險；

• 產品和服務供應中斷對關鍵信息基礎設施業務連續性的危害；

• 產品和服務的安全性、開放性、透明性、來源的多樣性，供應渠道的可靠性以及因為政治、外交、貿易等因素導致供應中斷的風險；

• 產品和服務提供者遵守中國法律、行政法規、部門規章情況；

• 其他可能危害關鍵信息基礎設施安全和國家安全的因素。

統一集中部署網絡及信息安全防護體系設計應遵循以下原則：

• 網絡環境綜合治理原則。信息網絡系統配備齊全、職責分工科學，網絡系統管理軟件功能完備，管理、控制策略合理靈活，具有較強的網絡支撐能力。

• 網絡結構優化先行原則。信息網絡包括局域網、城域網、廣域網協調配置，辦公自動化內部信息網絡、外部信息網絡、DMZ非軍事區、Internet分工明確，網絡結構合理。

• 網絡及信息安全防護網絡化原則。根據電網公司是網絡化的特點，建立網絡化2-3級信息安全監視與管理系統，包括：性能監視與管理（網絡管理、網絡流量分析、帶寬管理軟件等）、安全防護與管理（防火墻系統、防病毒系統、VPN系統、VLAN系統等）、安全檢測與管理（漏洞掃描系統、入侵檢測等）。

• 集中管理與分級控制原則。根據信息網絡系統的規模和企業管理體制的實際情況，確定信息網絡及應用系統的安全直接管轄以及管理范圍。例如，省公司信息中心負責安全直接管轄并運行維護的本級局域網或主干網絡系統及其所屬設備，負責安全管理的本級與下一級連接的邊界路由器和防火墻以及需要直接管轄的系統。

• 根據企業性質和任務，建立的信息安全總體框架及管理體系、技術體系，應遵循統一領導、統一規劃、統一標準、分級組織實施原則。

SIM交換欺詐他們會通過電話、短信向你發送一些測試包，這些的最終目標還是想獲取個人的信息，然后，他們會轉身使用這些信息來做一些事情，例如以您的名字開設帳戶，甚至接管您的電話號碼，從而授予他們對您的在線帳戶的完全訪問權限。SIM卡交換的做法正變得越來越普遍，盡管運營商采取了各種安全措施，但研究人員仍然能夠迅速輕松地演示接管您的電話號碼。SIM交換的原理非常簡單，從而導致危害很大。

堡壘機的細粒度是一種模型一般用于計算機開發過程，具體作用是將業務模型中的對象加以細分,從而得到更科學合理的對象模型,直觀的說就是劃分出很多對象，堡壘機可以通過細粒度的給用戶分組分權，如限制文件上傳、下載、創建等，在最小化權限的基礎上，實現最靈活配置控制。

堡壘機主要功能包含：

• 身份治理

  云堡壘機主賬號通過本地認證、AD認證、RADIUS認證等多種認證方式，將主賬號與實際運維用戶身份一一對應，確保行為審計的一致性，從而準確定位事故責任人，彌補傳統網絡安全審計產品無法準確定位運維用戶身份的缺陷。

• 角色分權

  持多種用戶角色：默認管理員、部門管理員、策略管理員、審計管理員、運維員。每種運維用戶角色的權限都各不相同。云堡壘機同時支持默認管理員自定義角色，滿足企業的復雜運維場景，為運維用戶設立不同的角色提供了選擇。

• 集中管控

  通過定制集中的訪問控制策略，幫助企業梳理運維用戶與資源的關系，并且提供一對一、一對多、多對一、多對多的靈活授權模式。云堡壘機提供的訪問控制策略，不僅實現了將資源授權給運維用戶，也實現了功能權限的精細化控制，最大程度地降低越權操作的可能。

• 資源改密

  在傳統的運維模式下，管理員需要定期手動修改資源賬戶的密碼，同時維護起來也比較繁瑣。通過云堡壘機提供的改密策略，實現自動化的改密，并且以日志形式記錄改密執行結果，能讓管理員十分清晰的掌握資源的改密動態和歷史密碼。

• 資源訪問

  云堡壘機支持托管主機、應用的賬戶和密碼，運維人員無需輸入主機的賬戶和密碼，直接點擊“登錄”即可成功自動登錄到目標資源，并進行運維操作。采用數據庫代理技術，DBA或運維人員可不改變原來的使用習慣，在本地使用的客戶端軟件上，通過云堡壘機連接目標數據庫服務器進行訪問和操作。同時，云堡壘機也支持批量登錄功能。通過批量登錄，運維人員可以在一個頁面上批量打開多臺資源(支持不同協議類型)，方便運維人員在操作時進行不同資源的切換。

• 全程審計

  運維人員登錄到云堡壘機之后，云堡壘機管控所有的操作，并對所有的操作都進行詳細記錄。針對會話的審計日志，支持在線查看、在線播放和下載后離線播放。云堡壘機目前支持字符協議(SSH、TELNET)、圖形協議(RDP、VNC)、文件傳輸協議(FTP、SFTP)、數據庫協議(DB2、MySQL、Oracle、SQL Server)和應用發布的操作審計。其中，字符協議和數據庫協議能夠進行操作指令解析，100%還原操作指令;圖形協議和應用發布可以通過OCR進行文字識別;文件傳輸能夠記錄傳輸的文件名稱和目標路徑。

• 命令控制

  云堡壘機提供了集中的命令控制策略功能，實現基于不同的主機和用戶設置不同的命令控制策略。策略提供斷開連接、拒絕執行、動態授權和允許執行等四種執行動作，根據命令的危險程度和資源的重要程度去設置命令的執行動作。同時，云堡壘機預置了近千條Linux/Unix和主流網絡設備的操作命令，讓管理人員可以直接從命令庫進行調取，簡化命令控制策略的配置過程。

• 工單申請

  運維人員向管理員申請需要訪問的設備，申請時可以選擇資源賬戶、運維有效期、申請備注等信息，并且工單以多種方式通知管理員。當需要使用的功能權限(例如文件管理、RDP剪切板等)由于策略的限制無法使用時，運維人員也可以通過工單申請相應的功能權限。管理員對工單進行審核和批準后，運維人員就擁有了臨時的訪問權限。工單的審批流程可以由系統管理員進行自定義，并且可以設置多人審批或會簽審批模式，滿足企業流程需求。這樣能更靈活也更安全的開展運維工作。

• 會話協同

  通過云堡壘機，運維人員可以邀請其他用戶加入自己的會話，進行協同操作。當某項運維工作需要多人操作時，可以通過會話協同能夠邀請其他的用戶協助自己進行操作，操作控制權可在不同的運維用戶之間能夠進行靈活的切換。

• 雙人授權

  為降低高權限賬號被濫用引起違規操作的風險，借鑒銀行金庫管理中開關庫房必須有兩名管庫員在場共同授權的方式，以多人制衡的手段對高權限的使用進行監督和控制。云堡壘機通過雙人授權，讓運維人員在訪問核心資源時，必須要通過管理員的現場審批，通過雙人授權有效遏制權限濫用的情況，降低安全事件發生的風險。

• 報表分析

  云堡壘機預置了多種分析報表，能夠全方位地分析系統操作、資源運維的情況，讓管理員迅速了解系統的現狀，快速分析系統操作和資源運維的情況，及時阻止安全事件的發生。報表支持自動發送，支持以天、周、月為粒度發送報表，并且以HTML、DOC等多種格式導出，讓管理員隨時掌握系統信息。

網絡信息安全防御體系的設計應遵循以下原則：

• 網絡環境綜合治理原則。信息網絡系統配備齊全、職責分工科學，網絡系統管理軟件功能完備，管理、控制策略合理靈活，具有較強的網絡支撐能力。

• 網絡結構優化先行原則。信息網絡包括局域網、城域網、廣域網協調配置，辦公自動化內部信息網絡、外部信息網絡、DMZ非軍事區、Internet分工明確，網絡結構合理。

• 網絡及信息安全防護網絡化原則。根據電網公司是網絡化的特點，建立網絡化2、3級信息安全監視與管理系統，包括性能監視與管理（網絡管理、網絡流量分析、帶寬管理軟件等）、安全防護與管理（防火墻系統、防病毒系統、VPN系統、VLAN系統等）、安全檢測與管理（漏洞掃描系統、入侵檢測等）。

• 集中管理與分級控制原則。根據信息網絡系統的規模和企業管理體制的實際情況，確定信息網絡及應用系統的安全直接管轄以及管理范圍，例如，省公司信息中心負責安全直接管轄并運行維護的本級局域網或主干網絡系統及其所屬設備，負責安全管理的本級與下一級連接的邊界路由器和防火墻以及需要直接管轄的系統。

• 根據企業性質和任務，建立的信息安全總體框架及管理體系、技術體系，應遵循統一領導、統一規劃、統一標準、分級組織實施原則。

路由器與交換機的主要區別有六點：

• 路由器：尋址，轉發（依靠 IP 地址），交換機：過濾，轉發（依靠 MAC 地址）。路由器可以把一個IP分配給很多個主機使用，這些主機對外只表現出一個IP，交換機可以把很多主機連起來，這些主機對外各有各的IP。

• 交換機用于連接局域網，數據包在局域網內網的數據轉發，路由器用于連接局域網和外網，數據包可以在不同局域網轉發。

• 交換機工作于TCP/IP協議的最后一層數據鏈路層（物理層），路由器工作于網絡層。

• 交換機負責具體的數據包傳輸，路由器不負責包的實際傳輸，路由器只封裝好要傳輸的數據包，然后交給交換機去傳輸（不一定是交換機，可能是其他傳輸技術），用java比喻大概簡單理解為路由器是抽象類，定義好傳輸的數據包格式，交換機是具體實現類，也可以有其他實現類

• 交換機沒有MAC地址和IP地址，路由器有MAC地址和IP地址（指純碎的交換機和路由器，三層交換機是可以有IP地址的，路由器也有內置交換機功能的）

• 路由器提供了防火墻的服務，交換機不能提供該功能。路由器僅僅轉發特定地址的數據包，不傳送不支持路由協議的數據包傳送和未知目標網絡數據包的傳送，從而可以防止廣播風暴。

nmap掃描端口的命令是nmap -PS ip地址，使用該命令可以掃描目標地址所開放的端口地址，nmap掃描器主要基本功能有三個，一是探測一組主機是否在線，其次是掃描主機端口，嗅探所提供的網絡服務，還可以推斷主機所用的操作系統。也可以深入探測UDP或者TCP端口，直至主機所使用的操作系統；還可以將所有探測結果記錄到各種格式的日志中， 供進一步分析操作。

以下是一些nmap常用的命令：

• 查看當前開放的端口：nmap localhost；

• 查看主機端口（1024-65535）中開放的端口：nmap -p 1024-65535 localhost；

• 探測目標主機開放的端口：nmap -PS ip地址；

• 探測所列出的目標主機端口：nmap -p22,80,3306 ip地址；

• 探測目標主機操作系統類型、端口服務名稱、版本信息：nmap -sV -O localhost。

信息安全等級保護的作用是：

• 能夠有效提高我國信息和信息系統安全建設的整體水平。有利于在進行信息化建設的同時建設新的安全設施，保障信息安全和信息化建設相協調。

• 有利于為信息系統安全建設和管理提供系統性、針對性、可行性的指導和服務，有效控制信息安全建設成本。

• 有利于優化安全資源的配置，有利于保障基礎信息網絡和關系國家安全、經濟命脈、社會穩定等方面重要信息系統的安全等。

• 通過開展信息安全等級保護工作，可以有效解決我國信息安全面臨的威脅和存在的主要問題，充分體現“適度安全、重點保護”的目的。信息安全等級保護是國家意志的體現。

• 在國家信息安全保障工作中只有等級保護制度是強制實施的，實行信息安全等級保護制度，能夠充分調動國家、法人、其他組織和公民的積極性，發揮各方面的作用，達到有效保護的目的，增強安全保護的整體性、針對性和實效性。

• 新系統安全建設更加突出重點、 統一規范、科學合理，對促進我國信息安全的發展起到重要的推動作用。

遠程登錄服務

遠程登錄服務又被成為Telnet服務，Telnet是Internet遠程登陸服務的一個協議，該協議定義了遠程登錄用戶與服務器交互的方式。Telnet允許用戶在一臺連網的計算機上登錄到一個遠程分時系統中，然后像使用自己的計算機一樣使用該遠程系統。

要使用遠程登錄服務，必須在本地計算機上啟動一個客戶應用程序，指定遠程計算機的名字，并通過Internet與之建立連接。一旦連接成功，本地計算機就像通常的終端一樣，直接訪問遠程計算機系統的資源。遠程登錄軟件允許用戶直接與遠程計算機交互，通過鍵盤或鼠標操作，客戶應用程序將有關的信息發送給遠程計算機，再由服務器將輸出結果返回給用戶。用戶退出遠程登錄后，用戶的鍵盤、顯示控制權又回到本地計算機。一般用戶可以通過Windows的Telnet客戶程序進行遠程登錄。

文件傳輸服務

文件傳輸協議（FTP）是為進行文件共享而設計的因特網標準協議。通常情況下使用匿名FTP，這使沒有得到全部授權訪問FTP服務器的遠程用戶可以傳輸能夠被共享的文件。如果運行FTP服務器，用戶就可能在未經允許登錄的情況下取得存放在系統中一個分離的公共區域中的文件，并可能取得系統中的任何東西。站點上的匿名FTP區可能存有機構的文件檔案、軟件、圖片以及其他類型的信息，這些信息是人們需得到的，或是希望共享的。

電子郵件服務

電子郵件（E-mail）是最流行和最基本的網絡服務之一。它的危險性相對小些，但并不是沒有風險。偽電子郵件是常有的，它可能會對用戶進行某種欺騙以達到某種目的，如冒充管理員要求更改為指定的口令。接收的電子郵件耗費磁盤空間，而且可能存在潛在的侵襲服務，郵件炸彈就是通過往信箱里送入大量的郵件而達到這種攻擊的目的。以前的郵件侵襲往往是數據驅動的，如在某些智能終端上閱讀郵件會執行系統的某些命令，現在這種侵襲并不多見。但是自從有了 MIME格式電子郵件系統，電子郵件現在能夠攜帶各種各樣的程序，這些程序運行時無法控制，有可能會破壞系統或偷竊信息。目前這種危害是人們最擔心的一種危害。

簡單郵件傳輸協議（SMTP）是收發電子郵件的一種因特網標準協議。一般來說，SMTP本身不存在安全問題，但 SMTP 服務器則可能有安全問題。發送郵件給用戶所用的程序通常也應當能被任何一個接收郵件的用戶所運行，這就使它得到廣泛的應用，同時也為侵襲者提供了目標。

WWW服務

WWW(World Wide Web)服務是一種建立在超文本基礎上的瀏覽、查詢因特網信息的方式，它以交互方式查詢并且訪問存放于遠程計算機的信息，為多種因特網瀏覽與檢索訪問提供一個單獨一致的訪問機制。Web 頁將文本、超媒體、圖形和聲音結合在一起。因特網給企業帶來通信與獲取信息資源的便利條件。

DNS服務

DNS服務是將域名和IP地址相互映射到一個分布式數據庫，能夠使人更方便地訪問因特網，而不用去記住能夠被機器直接讀取的IP數字串。在因特網早期階段，網上的每個站點都能保留一個主機列表，其中列有相關的每個機器的名字和IP地址。隨著聯網的主機的增加，使每個站點都保留一份主機列表就不現實了，也很少有站點能夠那樣做。一方面是如果這樣做的話，主機列表會非常大，另一方面是當其他機器改變名字和地址的對應時，主機列表不能及時修改，這兩方面的原因都導致主機列表不易修改。取而代之的是使用域名服務（DNS），DNS允許每個站點保留自己的主機信息，也能查詢其他站點的信息。DNS本質上不是一個用戶級服務，但它是SMTP、FTP和Telnet的基礎，實際上其他的服務都用到它，因為用戶愿意使用名字而不是那些難記的IP數字。而許多匿名FTP服務器還要進行名字和地址的雙重驗證，否則不允許從客戶機登錄。

網絡管理服務

有許多種服務軟件用來管理和維護網絡，然而大多數用戶并不直接使用這些服務軟件，但對網絡管理員來說，這些軟件是很重要的工具。這里并不介紹專用的網絡管理系統，只是介紹一些 Unix操作系統本身帶有的一些網絡管理命令。

ping和traceroute是兩種常用的網絡管理工具。它們以前是在Unix上執行的，但現在卻在幾乎所有與因特網連接的平臺上執行。它們沒有自己的協議，只使用因特網控制信息協議（ICMP）。

可以通過以下方式去做蜜罐識別：

• BOF 的識別，BOF（Back Officer Friendly）；

• 假代理技術，關注 Honeypot Hunter 軟件；

• Honeyd 的識別，Honeyd 由 Niels Provos 創建，是一個開源程序；

• 利用 Sebek 識別蜜網，第二、三代蜜網都有這個軟件；

• Tarpits 的識別；

• 外聯數據控制識別，一般蜜罐會嚴格限制系統向外的流量；

• 識別 VMware 虛擬機，重點關注 MAC 地址的范圍；

• 用 Nmap 等 Scan 工具，同一個機器同時開放很多 Port 的；

• 因為很多蜜罐都設置在相同或臨近的網段。所以，同一個網段（e.g. ／24），很多機器都開放相同的 Port，回應相似的 Response；

• 去 Shodan／Censys 查。

攻擊者也會嘗試對蜜罐進行識別。比較容易的識別的是低交互的蜜罐，嘗試一些比較復雜且少見的操作能比較容易的識別低交互的蜜罐。相對困難的是高交互蜜罐的識別，因為高交互蜜罐通常以真實系統為基礎來構建，和真實系統比較近似。對這種情況，通常會基于虛擬文件系統和注冊表的信息、內存分配特征、硬件特征、特殊指令等來識別。

常見的web攻擊方式如下：

• SQL注入：Web應用未對用戶提交的數據做過濾或者轉義，導致后端數據庫服務器執行了黑客提交的sql語句。黑客利用sql注入攻擊可進行拖庫、植入webshell，進而入侵服務器。

• XSS跨站：Web應用未對用戶提交的數據做過濾或者轉義，導致黑客提交的javascript代碼被瀏覽器執行。黑客利用xss跨站攻擊，可以構造惡意蠕蟲、劫持網站cookie、獲取鍵盤記錄、植入惡意挖礦js代碼。

• 命令注入：Web應用未對用戶提交的數據做過濾或者轉義，導致服務器端執行了黑客提交的命令。黑客利用登入注入攻擊，可以對服務器植入后門、直接反彈shell入侵服務器。

• CSRF：Web應用對某些請求未對來源做驗證，導致登錄用戶的瀏覽器執行黑客偽造的HTTP請求，并且應用程序認為是受害者發起的合法請求的請求。黑客利用CSRF攻擊可以執行一些越權操作如添加后臺管理員、刪除文章等。

• 目錄遍歷：Web應用對相關目錄未做訪問權限控制，并且未對用戶提交的數據做過濾或者轉義，導致服務器敏感文件泄露。黑客利用目錄遍歷攻擊，可獲取服務器的配置文件，進而入侵服務器。

• 木馬后門：Web應用未對用戶提交的數據做過濾或者轉義，導致木馬代碼執行。黑客利用木馬后門攻擊，可以入侵服務器。

• 緩沖區溢出：http協議未對請求頭部做字節大小限制，導致可以提交大量數據因此可能導致惡意代碼被執行。

• 文件上傳:Web應用未對文件名后綴，上傳數據包是否合規，導致惡意文件上傳。文件上傳攻擊，將包含惡意代碼的文件上傳到服務器，最終導致服務器被入侵。

• 掃描器掃描:黑客利用漏洞掃描器掃描網站，可以發現web應用存在的漏洞，最終利用相關漏洞攻擊網站。

• 高級爬蟲:爬蟲自動化程度較高可以識別setcookie等簡單的爬蟲防護方式。

• 常規爬蟲:爬蟲自動化程度較低，可以利用一些簡單的防護算法識別,如setcookie的方式。

• 敏感信息泄露:web應用過濾用戶提交的數據導致應用程序拋出異常，泄露敏感信息，黑客可能利用泄露的敏感信息進一步攻擊網站。

• 服務器錯誤:Web應用配置錯誤，導致服務器報錯從而泄露敏感信息，黑客可能利用泄露的敏感信息進一步攻擊網站。

• 非法文件下載:Web應用未對敏感文件(密碼、配置、備份、數據庫等)訪問做權限控制，導致敏感文件被下載，黑客利用下載的敏感文件可以進一步攻擊網站。

• 第三方組件漏洞:Web應用使用了存在漏洞的第三方組件，導致網站被攻擊。

• XPATH注入:Web應用在用xpath解析xml時未對用戶提交的數據做過濾，導致惡意構造的語句被xpath執行。黑客利用xpath注入攻擊，可以獲取xml文檔的重要信息。

• XML注入:Web應用程序使用較早的或配置不佳的XML處理器解析了XML文檔中的外部實體引用，導致服務器解析外部引入的xml實體。黑客利用xml注入攻擊可以獲取服務器敏感文件、端口掃描攻擊、dos攻擊。

• LDAP注入防護:Web應用使用ldap協議訪問目錄，并且未對用戶提交的數據做過濾或轉義，導致服務端執行了惡意ldap語句，黑客利用ldap注入可獲取用戶信息、提升權限。

• SSI注入:Web服務器配置了ssi，并且html中嵌入用戶輸入，導致服務器執行惡意的ssi命令。黑客利用ssi注入可以執行系統命令。

• Webshell黑客連接嘗試去連接網站可能存在的webshell，黑客可能通過中國菜刀等工具去連接webshell入侵服務器。

• 暴力破解:黑客在短時間內大量請求某一url嘗試猜解網站用戶名、密碼等信息，黑客利用暴力破解攻擊，猜解網站的用戶名、密碼，可以進一步攻擊網站。

• 非法請求方法:Web應用服務器配置允許put請求方法請求，黑客可以構造非法請求方式上傳惡意文件入侵服務器。

• 撞庫:Web應用對用戶登入功能沒做驗證碼驗證，黑客可以借助工具結合社工庫去猜網站用戶名及密碼。

信息安全等級保護的主要作用有以下這些：

• 驗證信息系統是否滿足相應安全保護等級，要求不同安全等級的信息系統應具有不同的安全保護能力。

• 能夠有效地提高我國信息和信息系統安全建設的整體水平。

• 有利于在信息化建設過程中同步建設信息安全設施，保障信息安全與信息化建設相協調，為信息系統安全建設和管理提供系統性、針對性、可行性的指導和服務，有效控制信息安全建設成本。

• 優化信息安全資源配置，對信息系統分級實施保護，重點保障基礎信息網絡和關系國家安全、經濟命脈、社會穩定等方面重要信息系統的安全。

• 明確國家、法人和其他組織、公民的信息安全責任，加強信息安全管理，推動信息安全產業的發展，逐步探索出一條適應我國社會主義市場經濟發展的信息安全模式。

防火墻策略配置有以下內容：

• 網絡規則：網絡規則用來定義并描述網絡拓撲，其描述了兩個網絡實體之間是否存在連接，以定義如何進行連接。

• 訪問規則：只適用于具有路由網絡關系的網絡間的訪問，一個訪問規則可以允許到多個服務器的訪問，在訪問規則中只應使用出站協議定義客戶所訪問的服務，用戶只能訪問協議中所定義的端口，支持IP級別協議和ICMP協議的訪問。

• 服務器發布規則：適用于源網絡和目的網絡之間具有路由網絡關系或者NAT網絡關系的網絡間的訪問。只是根據網絡關系的不同，服務發布規則偵聽的IP地址不同。在目的網絡到源網絡具有NAT網絡關系的情況下，服務發布規則偵聽的IP地址是ISA防火墻上連接源網絡的網絡接口的IP地址;而在源網絡和目的網絡之間具有路由網絡關系或者NAT網絡關系的的情況下，服務發布規則偵聽的IP地址是被發布的服務器的IP地址。

內網安全管理系統是：

• 內網安全管理系統以終端監控系統為依托，在統一的管理平臺系統中集成了終端管理、網絡管理、內容管理、資產管理等諸多功能。

• 內網安全管理系統主要對內網上的主機進行統一安全管理。統一安全管理是指對網絡主機用戶操作實施監督控制,并對主機中的安全軟件(如主機入侵監測系統、主機防火墻和主機身份認證系統等等)進行統一的管理,使其運行在一個比較合適和安全的狀態之下。其中,主機的用戶操作監督控制是指對用戶的操作行為進行監督(如文件拷貝、網絡訪問、更改網絡主機IP地址、添加管理員用戶名以及文件網絡共享等等用戶操作),同時對惡意用戶做出的違規行為(如撥號外聯等等)進行控制。

保證內網安全的措施如下：

• 設置權限及口令：大多數計算機系統常用口令來控制對系統資源的訪問，這是防病毒進程中，最容易實現，也是最經濟的方法之一。網絡管理員和終端操作員根據自己的職責權限，選擇不同的口令，對應用程序數據進行合法操作，防止用戶非法訪問數據和使用網絡資源。然而在網絡系統中，由于認證信息要通過網上傳遞，口令很容易被攻擊者從網絡傳輸線路上竊取并破譯，因此在設置口令時應注意：務必使用長度超過6個字符并且由字母（區分大小寫）、數字、符號共同組成的較高強度的口令，加大口令破解的難度；口令要定期進行變更；不得寫下口令或在電子郵件中傳送口令。只要我們牢記以上幾點，就能取得很好的保密，控制效果。

• 熟悉網絡的結構：要熟悉網絡的結構布局。比如建筑物內部的網絡布局、建筑物之間的網絡布局以及單位內internet連接的情況等。要仔細研究網絡拓撲圖，清楚線路的走向，以及交換機之間的連接情況等。

• 集中管理軟件的安裝：在網絡上，軟件的安裝和管理方式是十分關鍵的，它不僅關系到網絡維護管理的效率和質量，而且涉及到網絡的安全性。好的安全防護軟件能在幾分鐘內輕松地安裝到組織里的每一個NT服務器上，并可下載和散布到所有的目的機器上，由網絡管理員集中設置和管理，它會與操作系統及其他安全措施緊密地結合在一起，成為網絡安全管理的重要部分，并且自動提供最佳的網絡病毒防御措施。

• 實時殺毒，多層防御：當計算機病毒對網上資源的應用程序進行攻擊時，這樣的病毒存在于信息共享的網絡介質上，因此就要在計算機硬件和軟件、局域網服務器、網關、防火墻上層層設防，對每種病毒都實行隔離、過濾，而且完全在后臺操作。

• 熟悉網絡設備：需要明確網絡設備的性能、作用、基本設置以及維護方法。熟悉尾纖的光接口類型，常用的有接光纖收發器的SC，也有接交換機光模塊的LC，接光終端盒的FC等。網絡設備工作狀態怎么樣?光纖收發器六個指示燈是否全亮，如果沒全亮，檢查光纖接口是否連接正確，本地的TX與RX是否與遠端的TX和RX交叉連接。如果六個指示燈都不亮，可能為光路衰減太大，此時可用光功率儀測量接收端的光功率，再看看交換機上的光模塊是否正常、光口是否啟用等。檢查HUB或交換機的狀態指示燈是否正常，如果閃爍或常亮黃燈，表明數據包在網絡上有阻塞現象，需要檢查同一網段中是否有環路產生或是否有ARP病毒爆發，這需要查看交換機的日志來獲得詳細的信息。

• 熟悉網絡的運行情況：要熟悉網絡的運行情況。如統計網絡正常運行時的狀態、網絡的使用效率以及網絡資源的分配情況等。這樣，當網絡出現不穩定因素時，就可以快速地分析出故障緣由，從而找出發生故障的設備。實際工作中應著重注意以下幾點：在整個網絡上生成的傳輸量以及這些傳輸都集中在哪些網段？網絡上傳輸的信息來源，是正常傳輸、人為攻擊還是病毒？服務器達到了什么樣的繁忙程度？能否在任意一個時刻滿足所有用戶的請求？除此之外，也可以借助一些網絡輔助軟件來統計，分析網絡的運行情況。

• 熟悉網線的故障排除：網線的制作方式對網絡傳輸速度的影響是非常大的，若不按照標準制作，來自網線自身的背景噪音以及內部串擾就會大大降低網絡傳輸速度。為此一定要按照T568B標準制作網線。網線是局域網的血管，沒有它信息就不能流通。某條線路突然中斷，若連續幾次ping都出現Request time out，表明網絡不通了。故障通常包括網線內部斷裂、雙絞線和RJ-45水晶頭接觸不良以及雙絞線是否采用標準線序連接等。T568B線序為：白橙、橙、白綠、藍、白藍、綠、白棕、棕，可以用測線儀來檢測一下線路是否斷裂及線序是否正確。