利用网络新技术实现网络及信息系统精细化管理

《利用网络新技术实现网络及信息系统精细化管理》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、匿要!：篓篓：=一癌力信息厨络建没与断管理／20D6车电力行业信息亿年会论文集利用网络新技术实现网络及信息系统精细化管理六安供电公司科技信息部宋华茂【摘要】针对电力企业网络及信息安全发展的要求，采用先进的网络安全设备和其网络安全防范性能，并根据实际应用制定了细致的安全访问控制策略，规范了策略的审批、应用流程，实现了精细化的网络安全管理。【关键字】网络安全设备网络及信息系统安全精细化为确保供电企业计算机网络及信息系统安全，应用精细化管理的方法对网络及信息安全的防护技术进行研究和分析，制定详细的局域网安全策略及其实现流程，从根本上保证网络及信息

2、系统的安全可靠运行。分析网络中存在安全问题供电企业的计算机局域网受到的安全威胁主要表现在非法访问、冒充合法用户、破坏数据完整性、干扰系统正常运行、利用网络传播病毒等。其中最主要威胁是计算机病毒和网络黑客的破坏和攻击，特别是特洛伊木马和蠕虫问题，以及计算机黑客程序的威胁，使计算机系统随时会受到攻击而瘫痪。近期，随着P2P软件的大量应用，其多连接，大流量的传输数据也对网络产生了极大的威胁，因此，缺乏良好管理和精细化安全策略保护的计算机网络将如履薄冰，十分危险。二、提出解决网络安全问题的方案网络中安全问题主要表现在网络设备本身的安全、主机系统的安

3、全、信息系统的安全、客户端的安全。物理上的安全问题可以采用设备冗余的方法来解决，但是受到病毒及其他安全威胁造成的安全问题就必须采用一定的安全策略来主动防范了。通过对网络设备本身所具有的安全特性的研究和实践，归纳以下方法来解决绝大多数安全问题。(一)、优化VLAN"配置，合理分割局域网安全区域目前，绝大多数供电企业都采用交换式以太网，并配置了3层交换设备。利用这些资源可以采用vIAN技术来隔离网络冲突域，阻止网络广播。Ⅵ．AN技术可以基于MAC地址、端口、逻辑地址等多种划分方法，将由交换机组成的整个网络从逻辑上分割成若干个广播域，同一广播域的

4、计算机组成一个逻辑子网。VLAN将逻辑网络与物理网络分开，隔离广播域，极大地方便了网络节点的移动、增减和变动，增强了网络的安全性，提高了网络的性能和可扩展性。(二)、严格规划vLAN间的信息交互，隔离Ⅵ，AN间非法访问对于VkkN与VLAN之间，应规划详细的访问控制列表，通过访问控制授权vLAN间的合法访问，隔离VLAN间的非法访问。这样做，不但可以有效保证每个ⅥjAN间的信息安全，实践证明，也是防范网络蠕虫病毒传播的有效手段。六安供电公司局域网正是严格采用了VALN问的授权管理，才圄慰圜慰怒窭墨密翟罂翟翟翟譬墨=翟翟翟甚翟翟鋈翌==：三=

5、二夏801幽垒堕垄型笪，皇丝皇叁监塞苤』皇垄笪皇旦笪壁丝皇堡堡笪堡=：二兰：三翼：!!!塑能在几次大范围的网络蠕虫病毒爆发期间未受影响。当然，VALN间的访问控制需要在核心交换机加载大量的访问控制列表，这可能会影响信息传输的效率。针对这种情况，可以考虑使用一些硬件的模块来加强性能，比如CISCO的基于核心交换机的安全模块FWSM，它安装在CiscoCatalyst6500系列交换机中，基于CiscoPIXTMFirewall技术，能够提供CiscoPIX安全设备系列相同的安全性和可靠性，使VLAN之间集成了防火墙功能，吞吐量达到5GB以上。

6、通过配置FWSM，VLAN之间，用户VLAN和服务器VLAN之间都可以有很强的安全保障，网络管理力度增大。(三)、应用VACL优化访问控制列表，保护重要应用安全要严格控制网络的安全等级、有效隔离VLAN间的非法访问，势必会规划大量的VLAN和访问控制列表来细化网络的安全区域和访问限制，这样就会增加网络的复杂度和网络设备的负担，而VACL技术恰恰可以有效的解决这个矛盾，VACL是基于二层的用于控制同一VLAN内部访问的访问控制列表，它可以精确控制同一VLAN内计算机等设备之间的访问，是VLAN技术的有力补充和加强，它保障划分于同一VLAN并连

7、接在同一台交换机的设备如服务器等之间相互合法访问，隔离它们之间的非法访问，能极大的增强服务器的安全防护能力。(四)、使用IDS，监控和保护已授权的访问在对VLAN之间，主机之间进行了有效的隔离和精细化的访问授权后，虽然杜绝了绝大部分的安全问题，但是只要是服务就要提供访问，如wⅣw服务要开通TCP80端口，SQLSERVER要开通TCPl433端口，那么如果病毒或攻击利用这些端口的漏洞来实施攻击的话，如何来防范呢，针对这种情况，我们配置了CiscoCmalyst6500系列入侵检测系统(IDSM．2)服务模块，它可以通过VLAN访问控制列表(

8、VACL)获取功能来提供对数据流的访问权限。VACL可以支持无限个VLAN。每秒500Mb(Mbps)的IDS检测能力可以提供高速的分组检查功能，让用户可以为各种类型的网络和流量