网络安全问题越来越引起世界各国的严密关注，随着计算机网络在军工行业的广泛应用，不断出现网络被非法入侵，重要资料被窃取，网络系统瘫痪等严重问题，网络、应用程序的安全漏洞越来越多；各种病毒泛滥成灾。这一切，已给各个国家以及我国军工行业造成巨大的经济损失，甚至危害到国家安全。

军工企业担负着国家绝密的武器生产任务，其网络中的数据必须处于高度的保密状态，在网络系统安全和数据安全方面需要特别加强。在网络系统安全方面要防止网络系统遭到没有授权的存取或破坏以及非法入侵；在数据安全方面要防止机要、敏感数据被窃取或非法复制、使用等。如何搭建安全的网络架构，将非法入侵者拒之门外，防止内部信息外泄，这些是军工企业在网络建设时必须解决的问题。

在军工企业网络当中存在着很多不当使用造成的安全隐患，例如：
内部用户非法拨号访问Internet的问题，电话拨号上网可以轻易地从涉密网络的内部网络撕开一条通向外部的秘密通道，绕过防火墙、基于网络的入侵检测系统的监控。由于在这种方式下没有任何的安全防护，可能对涉密局域网的安全构成极大的影响。
有时会有一些人员通过一些存储设备（如USB硬盘、软盘、光盘等）或是输出设备（如打印机等）将重要的信息资料带走。
内部用户随意将不安全的软件带到涉密网中运行，可能带来病毒或木马程序，另外，内部用户用涉密网中的计算机玩游戏和看电影，也影响正常的工作。
因此我们必须考虑这些信息的泄露问题，做好终端的防护。一些涉密单位的做法就是在工作站上不安装任何的存储设备，一旦需要的时候再进行安装，这样非常不方便。比较好的解决措施就是安装终端防护系统，保证重要信息的安全，防止内部人员泄密。
实施意义
随着计算机技术、信息技术的发展，计算机网络系统必将成为我国军工行业业务的关键平台。同时，随着计算机网络系统的发展，计算机网络安全系统必将发挥越来越重要的作用。
网络安全系统的建立，必将为军工行业的业务信息系统、行政管理、信息交流提供一个安全的环境和完整平台。通过先进技术建立起的网络安全系统，可以从根本上解决来自网络外部及内部对网络安全造成的各种威胁，以最优秀的网络安全整体解决方案为基础形成一个更加完善的业务系统和办公自动化系统。利用高性能的网络安全环境，提供整体防病毒、防黑客、数据加密、身份验证防火墙等于一身的功能，有效地保证秘密、机密文件的安全传输，严格地制止经济情报丢失、泄密现象发生，维护数据安全。

主要网络安全威胁
网络安全的建立并不是单纯几种安全技术产品的堆积，它的重点在于要针对现有的网络环境，对网络中所有可能存在的破坏侵入点进行详细的分析，针对每一个可能的侵入点进行层层防护，对症下药，真正使之成为“安全的”企业网络。
对网络安全构成威胁的主要因素有：
内部网络和外部网络之间的连接为直接连接，外部用户不但可以访问对外服务的服务器，同进也能访问内部的网络服务器，这样，由于内部和外部没有隔离措施，内部系统较容易遭到攻击。
来自内部网的病毒的破坏。内部用户的恶意攻击、误操作，但目前发生的概率较小。
来自外部网络的攻击，具体有二条途径： Internet的连接部分；与各二级单位连接的部分。
外部网的破坏主要方式为：黑客用户的恶意攻击、窃取信息；通过网络传送的病毒和Internet的电子邮件夹带的病毒；来自Internet的Web浏览可能存在的恶意Java/ActiveX控件。
缺乏有效的手段监视、评估网络系统和操作系统的安全性。目前流行的许多操作系统均存在网络安全漏洞，如UNIX服务器，NT服务器及Windows桌面PC。
缺乏完整的安全策略、政策。
 

其中，目前最主要的安全威胁是来自网络外部用户（主要是各二级单位用户和Internet用户）的攻击。
网络安全需求分析
根据上面所描述的网络的具体环境和相应的遭受威胁的可能性分析，我们提出如下网络安全体系需求报告：
访问控制：通过对特定网段、服务建立访问控制体系，将绝大多数攻击阻止在到达攻击目标之前。
检查安全漏洞：通过对安全漏洞的周期检查，即使攻击可到达攻击目标，也可使绝大多数攻击无效。
攻击监控：通过对特定网段、服务建立的攻击监控体系，可实时检测出绝大多数攻击，并采取相应的行动（如断开网络连接、记录攻击过程、跟踪攻击源等）。
加密通讯：主动的加密通讯，可使攻击者不能了解、修改敏感信息。
认证：良好的认证体系可防止攻击者假冒合法用户。
备份和恢复：良好的备份和恢复机制，可在攻击造成损失时，尽快地恢复数据和系统服务。
多层防御：攻击者在突破第一道防线后，延缓或阻断其到达攻击目标。
隐藏内部信息：使攻击者不能了解系统内的基本情况。
设立安全监控中心：为信息系统提供安全体系管理、监控、保护及紧急情况服务。

网络安全方案设计
在进行计算机网络安全设计、规划时应遵循以下原则：
需求、风险、代价平衡分析的原则：对任一网络来说，绝对安全难以达到，也不一定必要。对一个网络要进行实际分析，对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。保护成本、被保护信息的价值必须平衡，价值仅1万元的信息如果用5万元的技术和设备去保护是一种不适当的保护。
综合性、整体性原则：运用系统工程的观点、方法，分析网络的安全问题，并制定具体措施。一个较好的安全措施往往是多种方法适当综合的应用结果。一个计算机网络包括个人、设备、软件、数据等环节。它们在网络安全中的地位和影响作用，只有从系统综合的整体角度去看待和分析，才可能获得有效、可行的措施。
一致性原则：这主要是指网络安全问题应与整个网络的工作周期（或生命周期）同时存在，制定的安全体系结构必须与网络的安全需求相一致。实际上，在网络建设之初就考虑网络安全对策，比等网络建设好后再考虑，不但容易，而且花费也少得多。
易操作性原则：安全措施要由人来完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。其次，采用的措施不能影响系统正常运行。
适应性、灵活性原则：安全措施必须能随着网络性能及安全需求的变化而变化，要容易适应、容易修改。
多重保护原则：任何安全保护措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其他层保护仍可保护信息的安全.
安全体系层次模型
按照网络OSI的7层模型，网络安全贯穿于整个7层。针对网络系统实际运行的TCP/IP协议，网络安全贯穿于信息系统的4个层次。下图表示了对应网络系统网络的安全体系层次模型：
物理层   物理层信息安全，主要防止物理通路的损坏、物理通路的窃听、对物理通路的攻击（干扰等）。
链路层   链路层的网络安全需要保证通过网络链路传送的数据不被窃听。主要采用划分VLAN（局域网）、加密通讯（远程网）等手段。
网络层   网络层的安全需要保证网络只给授权的客户使用授权的服务，保证网络路由正确，避免被拦截或监听。

安全区划分
为了对网络内部大量的、分散的主机进行有效的管理，就要进行安全区的划分。将大量的分散主机安置在不同的安全区，每个安全区只包括可管理数量的主机，使内部安全管理具有可操作性。
主机资源审计与保护
采用网络安全监控审计系统收集内网所有主机的相关信息，指导管理人员根据不同主机的资源现状制定不同的保护手段和管理制度。主机系统计算机资源的审计和管理包括：操作系统信息管理；设备信息管理；用户和组信息管理；系统进程信息管理；系统窗口程序信息管理；已安装的Windows程序信息管理，以及已安装Windows程序的远程管理能力；网络连接状态信息管理；远程截屏能力等。
网络行为和数据传输监控
采用网络安全监控审计系统通过IP地址监控、网络端口监控、网站访问监控、邮件监控、文件传输监控、拨号连接监控等技术手段，防止机密信息通过各种网络应用泄漏出去，以满足客户内部信息管理的需求。
存储设备访问复制监控
采用网络安全监控审计系统通过对泄密途径的管理，最终实现存储设备防泄密管理需求，例如：移动硬盘、移动U盘、SCSI硬盘、软盘、光盘等。
漏洞扫描与补丁分发
通过漏洞检测发现网络中的安全隐患，从软件厂家获取系统修补程序，以便及时安装到相应的计算机设备上，提高系统防护能力。
 

管理和配置
有效的管理和配置内部安全系统是有效运营整个内部安全体系的重要前提，除了安全策略的管理，系统配置的管理，还有其他诸多的控制和管理，包括：安全策略配置和管理；多样化的安全策略优先级别；系统登录控制；远程安装、升级、卸载，不需要用户参与进一步的管理和设置；系统可用性、易用性保证。
网络安全监控审计系统的部署与实施方案
网络安全监控审计系统是一个解决信息泄密问题的有力工具。它能严格监控和记录企业内部各台计算机的使用情况，具有强大的屏幕快照、网络管理、实时跟踪、运行统计、历史归档，设备管理等功能。根据管理员事先的设定，自动截取工作站的屏幕快照、应用程序运行和浏览互联网的情况，并可以根据用户需要回播这些记录来报告工作站的工作状况，让管理者随时了解企业计算机用户的资源利用情况。
网络安全监控审计系统主要实现以下目标：对内网用户进行安全监视和行为审计；从网络通信和外接设备等方面进行信息传输复制限制；管理系统资源防止受到攻击；加固系统，分发补丁。
网络安全监控审计系统主要功能

硬件配置监视。可以查看指定的计算机或组的硬件配置信息。它包括用户的处理器，内存，磁盘等硬件信息，也有目前正在使用的操作系统信息。
安装软件监视。可以查看指定的计算机或组的应用软件安装信息，不仅包括当前安装的应用软件信息，也包括系统启动时自动运行的软件信息。
系统进程监视。可以查看指定计算机或组当前正在运行的进程信息，包括模块的名称和具体的路径。可以根据需要强行终止非法进程。
共享目录监视。可以查看指定的计算机的共享目录情况。
文件操作监视。可以查看指定的计算机或组的用户对文件或目录进行的操作，包括访问、创建、复制、移动、改名、删除、恢复以及文档打印、计算机远程访问等操作。
屏幕监视。可以查看屏幕给用户进行查看。
应用程序监视。可以查看用户使用应用程序的情况。
网站监视。在浏览网站报告里显示的是用户所浏览的网站，活动时间和百分比。
网络通讯监视。在监视报告里显示的是用户使用通讯协议的状况，包括HTTP、HTTPS、FTP、TELNET、SMTP、POP3等协议。可以很方便地查看用户使用协议的情况。
应用程序统计。可以查看该在某一段时间内用户的程序使用情况。
网站访问统计。可查看用户浏览网站情况。
历史屏幕纪录。可以查看指定计算机的历史屏幕记录。
操作日志查询。可以查看系统管理员在控制台操作的事件记录，防止监守自盗。包括计算机基本信息设置，计算机操作，计算机控制，数据查询，输出及图像查询，规则设置，数据清除，参数设置等一系列的操作。
系统日志查询。可以指定起始与终止的时间段，在列表框中会显示系统日志信息。

防止信息泄露
网站访问规则。可以指定允许或禁止访问的网站。
应用程序规则。可以指定允许或禁止运行指定的应用程序。
设备规则。可以针对单个计算机进行设备的禁用和开放操作。可禁止的设备类型包括：软驱、光驱（包括刻录机）、磁带驱动器、USB存储设备、串/并口、SCSI、IEEE1394总线、调制解调器、红外通讯设备、USB、以及笔记本电脑使用的PCMCIA卡接口。
禁止非法接入。禁止没有安装客户端的计算机访问当前的计算机或计算机组，从而达到保护网络的目的。
报警与响应。可以针对组或单个计算机进行设置报警与响应操作，对违反安全策略的行为进行报警。
系统资源管理
系统信息统计。可以对用户计算机中的安装程序、启动项目、硬件配置、IP/MAC地址等信息进行统计。
报表输出。可以对各种统计结果生成统一格式的报表。

网络安全监控审计系统的实施方案
网络安全监控审计系统由三个部分组成：客户端、服务器端、控制台。用户可以根据具体需要将它们安装在局域网中的计算机上。
服务器端用来存储和管理所有安装有代理模块的计算机用于监视所产生的资料，一般安装在一台具有大容量硬盘和内存的服务器上，由计算机操作员管理。注意：一个局域网中只允许在一台机器上运行服务器模块。
客户端安装在每一台需要被监视的计算机上。每次在被监视的计算机启动时，客户端会自动运行。安装有客户端的计算器具有较强的安全保护功能。客户端经过安装后在系统后台运行，用户看不到客户端的运行痕迹，可防止被非授权用户删除。用户可以利用控制台模块来实时了解安装有客户端的计算机的运行情况，并且根据需要卸载客户端。
控制台主要用于实时监视每台安装有客户端的计算机，以及查看保存在服务器上的历史资料，一般安装在经过授权的管理人员的计算机上。客户端支持多种安装方式：
直接安装：在计算机上直接运行客户端的安装程序。
登录域服务器的电脑：SwordFish支持通过脚本自动分发安装客户端。
在有域服务器的网络中的电脑通过指定的用户名和密码登录域服务器，在域服务器上设置登录脚本，在目标用户登录域服务器时自动执行SwordFish客户端安装程序，这样可以方便快捷地完成系统客户端的布置。
登录网站安装：Web安装方式通过用户登录网站即被自动安装网络安全监控审计系统。
远程安装：对于Windows 2000，可以通过远程登录安装的方式进行安装。但需要知道对方的IP地址、管理员用户名和口令。

产品安装后进行的配置操作
在安装完成后，一般应采取如下措施：
对所有计算机，都禁止使用拨号进行非法外联，防止出现安全隐患；
对所有计算机，都禁止非法主机接入，保证整个网络都与外界严格隔离，又不影响正常使用；
对所有计算机，都禁止访问除内部网站外的其他网站；
对所有计算机，都禁止运行聊天和游戏软件；
对所有计算机，都禁止修改网络属性，包括IP地址等；
对所有计算机，都强制关闭了系统的默认共享，防止出现漏洞；
对大部分计算机都禁用了通讯设备、输出设备和外接存储设备，保证从这些计算机无法将网络中的数据复制或打印；
对所有计算机，设置补丁分发规则，定时升级；
对试图违反以上安全策略的行为以及试图改变都进行报警和采取锁定计算机的响应策略；
由主管领导亲自掌握设置屏幕监视的权限，对指定的计算机进行屏幕监视；
定期汇总统计文件操作记录、应用程序记录、网站访问记录、硬件设备记录和报警记录，检查是否有违反安全策略的行为。

在提到网络安全的全面解决方案时，很多人会认为：在服务器前加一个防火墙就解决了网络安全问题，这其实是一种很狭隘的安全思路。防火墙仅仅是一个访问控制、内外隔离的安全设备，在底层包过虑，对会超大ICMP（信报控制协议）包、IP伪装，碎片攻击，端口控制等方面的确有着不可替代的作用，但它在应用层的控制和检测能力是很有限的。比如利用Unicode漏洞和MS SQL Server远程控制等就可轻松穿透防火墙实施攻击。因此，缺乏一套整体安全解决方案的网络系统，其安全是肯定没有保障的。
一套网络安全的整体解决方案涉及很多方面，包括设置好密码策略、设置安全日志策略以及安全管理制度等等。
由于系统本身是不安全的，其不安全性主要体现在没有进行安全地安装配置、设置用户及目录的权限不当、没有建立适当的安全策略等。例如：没有打安全补丁、安装时为了方便使用简单口令而后来又不更改、没有进行适当的目录和文件权限设置、没有进行适当的用户权限设置、打开了过多的不必要的服务、没有对自己的应用系统进行安全检测等等。
另外，安全和管理是分不开的。即便有好的安全设备和系统，没有一套好的安全管理方法并贯彻实施，安全就是空谈。值得注意的是这里强调的不仅要有安全管理方法，而且还要贯彻实施。安全管理的目的在于两点：一是最大程度地保护网络，使得其安全地运行，再就是一旦发生黑客事件后能最大程度地挽回损失。所以建立定期的安全检测、口令管理、人员管理、策略管理、备份管理、日志管理等一系列管理方法和制度是非常必要的。