1 網絡安全策略
網絡安全策略是對網絡安全的目的，期望和目標以及實現 它們所必須運用的策略的論述，為網絡安全提供管理方向和支持，是一切網絡安全活動的基礎，指導安全活動的基礎，指導企業網絡安全結構體系的開發和實施。
包括：局域網的信息存儲、處理、傳輸技術；保護企業所有的信息、數據、文件和設備資源的管理和操作手段；確定安全管理等級和安全管理范圍；
制定有關網絡操作使用規程和人員出入機房管理制度；制定網絡系統的維護制度和應危措施。
計算機網絡所面臨的威脅大體可分為兩種：一是對網絡中信息的威脅；二是對網絡中設備的威脅。在網絡安全中，采取強有力的安全策略，對于保障網絡的安全性是非常重要的。
物理安全策略
物理安全策略的目的是保護計算機系統、網絡服務器、打印機等硬件實體和通信鏈路免受自然災害、人為破壞和搭線攻擊，包括安全地區的確定、物理安全邊界、物理安全控制、設備安全、防電磁輻射等。
物理接口控制是指安全地區應該通過合適的入口控制進行保護，從而保證只有合法員工可以訪問這些地區。設備安全是為了防止資產的丟失、破壞、防止商業活動中斷，建立完備的安全管理制度，防止非法進入計算機控制室和各種偷竊,破壞活動的發生。抑制和防止電磁泄漏（即TEMPEST技術）是物理安全策略的一個主要問題。目前主要防護措施有兩類：一類是對傳導發射的防護，主要采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導線間的交叉耦合。另一類是對輻射的防護，這類防護措施又可分為以下兩種：一是采用各種電磁屏蔽措施，如對設備的金屬屏蔽和各種接插件的屏蔽，同時對機房的下水管、暖氣管和金屬門窗進行屏蔽和隔離；二是干擾的防護措施，即在計算機系統工作的同時，利用干擾裝置產生一種與計算機系統輻射相關的偽噪聲向空間輻射來掩蓋計算機系統的工作頻率和信息特征。
訪問控制策略
訪問控制是網絡安全防范和保護的主要策略，它的主要任務是保證網絡資源不被非法使用和非常訪問。它也是維護網絡系統安全、保護網絡資源的重要手段。各種安全策略必須相互配合才能真正起到保護作用，但訪問控制可以說是保證網絡安全最重要的核心策略之一。訪問控制包括用戶訪問管理以防止未經授權的訪問；網絡訪問控制,保護網絡服務；操作系統訪問控制，防止未經授權的計算機訪問；應用系統訪問控制，防止信息系統中信息的未經授權的訪問；監控對系統的訪問和使用，探測未經授權的行為。
信息加密策略
信息安全策略是要保護信息的機密性、真實性和完整性，因此應對敏感或機密數據加密。信息加密過程是由形形色色的加密算法來具體實施，它以很小的代價提供很大的安全保護。在多數情況下，信息加密是保證信息機密性的唯一方法。信息加密的算法是公開的，其安全性取決于密鑰的安全性，應建立并遵守用于對信息進行保護的密碼控制的使用策略，密鑰管理基于一套標準、過程和方法，用于支持密碼技術的使用。信息加密的目的是保護網內的數據、文件、口令和控制信息，保護網上傳輸的數據。網絡加密常用的方法有鏈路加密、端點加密和節點加密三種。鏈路加密的目的是保護網絡節點之間的鏈路信息安全；端-端加密的目的是對源端用戶到目的端用戶的數據提供保護；節點加密的目的是對源節點到目的節點之間的傳輸鏈路提供保護。
網絡安全管理策略
網絡的安全管理策略包括：確定安全管理等級和安全管理范圍；制訂有關網絡操作使用規程和人員出入機房管理制度；制定網絡系統的維護制度和應急措施等。加強網絡的安全管理，制定有關規章制度，對于確保網絡的安全、可靠地運行，將起到十分有效的作用。
2.網絡防范的方法
要提高計算機網絡的防御能力，加強網絡的安全措施，否則該網絡將是個無用、甚至會危及國家安全的網絡。無論是在局域網還是在廣域網中，都存在著自然和人為等諸多因素的脆弱性和潛在威脅，網絡的防范措施應該能全方位地應付各種不同的威脅和脆弱性，這樣才能確保網絡信息的保密性、完整性和可用性。從實體層次、能量層次、信息層次和管理層次四個層次來闡述網絡防范的方法。
實體層次防范對策
在組建網絡的時候，要充分考慮網絡的結構、布線、路由器、網橋的設置、位置的選擇，加固重要的網絡設施，增強其抗摧毀能力。與外部網絡相連時，采用防火墻屏蔽內部網絡結構，對外界訪問進行身份人證、數據過濾，在內部網中進行安全域劃分、分級權限分配。對外部網絡的訪問，將一些不安全的站點過濾掉，對一些經常訪問的站點做成鏡像，可大大提高效率，減輕線路負擔。網絡中的各個節點要相對固定，嚴禁隨意連接，一些重要的部件安排專門的場地人員維護、看管，防止自然或人為的破壞，加強場地安全管理，做好供電、接地、滅火的管理，與傳統意義上的安全保衛工作的目標相吻合。
能量層次防范對策
能量層次的防范對策是圍繞著制電磁權而展開的物理能量的對抗。攻擊者一方面通過運用強大的物理能量干擾、壓制或嵌入對方的信息網絡；另一方面又通過運用探測物理能量的技術手段對計算機輻射信號進行采集與分析，獲取秘密信息。防范的對策主要是做好計算機設施的防電磁泄露、抗電磁脈沖干擾，在重要部位安裝干擾器、建設屏蔽機房等。
目前主要防護措施有2類：
一類是對外圍輻射的防護，主要采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導線間的交叉耦合；給網絡加裝電磁屏蔽網，防止敵方電磁武器的攻擊。
另一類是對自身輻射的防護，這類防護措施又可分為2種：一是采用各種電磁屏蔽措施，如對設備的金屬屏蔽和各種接插件的屏蔽，同時對機房的下水管、暖氣管和金屬門窗進行屏蔽和隔離；二是干擾的防護措施，即在計算機系統工作的同時，利用干擾裝置產生一種與計算機系統輻射相關的偽噪聲向空間輻射來掩蓋計算機系統的工作頻率和信息特征。
信息層次防范對策
信息層次的計算機網絡對抗主要包括計算機病毒對抗、黑客對抗、密碼對抗、軟件對抗、芯片陷阱等多種形式。信息層次的計算機網絡對抗是網絡對抗的關鍵層次，是網絡防御的主要環節。它與計算機網絡在物理能量領域對抗的主要區別表現在：信息層次的對抗中獲得制信息權的決定因素是邏輯的，而不是物理能量的，取決于對信息系統本身的技術掌握水平，是知識和智力的較量，而不是電磁能量強弱的較量。信息層次的防御對策主要是防御黑客攻擊和計算機病毒。對黑客攻擊的防范，主要從訪問控制技術、防火墻技術和信息加密技術方面進行防范。
管理層次防御對策
實現信息安全，不但靠先進的技術，而且也得靠嚴格的安全管理。建立相應的網絡安全管理辦法，加強內部管理，建立合適的網絡安全管理系統，加強用戶管理和授權管理，建立安全審計和跟蹤體系，提高整體網絡安全意識。重要環節的安全管理要采取分權制衡的原則，要害部位的管理權限如果只交給一個人管理一旦除問題就將全線崩潰。分權可以相互制約，提高安全型。要有安全管理的應急響應預案，一旦出現相關的問題買上采取對應的措施。
安全的本質是攻擊防守雙方不斷利用脆弱性知識進行的博弈：攻防雙方不斷的發現漏洞并利用這些信息達到各自的目的。
網絡安全是相對的，動態的。例如隨著操作系統和應用系統漏洞的不斷發現以及口令很久未曾更改等情況的發生，整個系統的安全性就受到了威脅，這時候若不及時進行打安全補丁或更換口令，就很可能被一直在企圖入侵卻未能成功的黑客輕易攻破。
攻擊方受防御方影響，防御方受攻擊方影響是攻防博弈的基本假定。作為博弈一方的攻擊方，受防御方和環境影響而存在不確定性，所以攻擊方有風險。作為博弈一方的防御方，受攻擊方和環境影響而存在不確定性，所以防御方也有風險。防御方必須堅持持續改進原則，其安全機制既含事前保障，亦含事后監控。
隨著網絡技術的發展，網絡攻擊技術也發展很快，安全產品的發展仍處在比較被動的局面。安全產品只是一種防范手段，最關鍵還是靠人，要靠人的分析判斷能力去解決問題，這就使得網絡管理人員和網絡安全人員要不斷更新這些方面的知識，在了解安全防范的同時也應該多了解網絡攻擊的方法，只有這樣才能知已知彼，在網絡攻防的博弈中占據有利地位。
消極安全防范的原理
以已經發現的攻擊方式，經過專家分析后給出其特征進而來構建攻擊特征集。然后在網絡數據中尋找與之匹配的行為，從而起來發現或阻擋的作用。它的缺點是使用被動安全防范體系，不能對未被發現的攻擊方式作出反應。消極安全防范的一個主要特征就是針對已知的攻擊，建立攻擊特征庫，作為判斷網絡數據是否包含攻擊的依據。使用消極安全防范模型的產品，不能對付未知攻擊行為，并且需要不斷更新的特征庫。
例如在入侵檢測技術中，誤用入侵檢測技術就是根據已知的入侵模式來檢測入侵。入侵者常常利用系統和應用軟件中的弱點攻擊，而這些弱點易編成某種模式，如果入侵者攻擊方式恰好匹配上檢測系統中的模式庫，則入侵者即被檢測到，其優點是算法簡單、系統開銷小，但是缺點是被動，只能檢測出已知攻擊，模式庫要不斷更新。
3.網絡安全模型
網絡防范的目的就是實現網絡安全目標，網絡安全的工作目標通俗地說就是下面的“六不”：“進不來”——訪問控制機制——，“拿不走”——授權機制——，“看不懂”——加密機制——，“改不了”——數據完整性機制——，“逃不掉”——審計、監控、簽名機制——，“打不跨”——數據備份與災難恢復機制。為了實現整體網絡安全的工作目標，有兩種流行的網絡安全模型：P2DR模型和AP2DRR模型。
P2DR模型是動態安全模型（可適應網絡安全模型）的代表性模型。在整體的安全策略的控制和指導下，在綜合運用防護工具（如防火墻、操作系統身份認證、加密等手段）的同時，利用檢測工具（如漏洞評估、入侵檢測等系統）了解和評估系統的安全狀態，通過適當的反應將系統調整到“最安全”和“風險最低”的狀態。模型如圖4-55所示。
根據P2DR模型的理論，安全策略是整個網絡安全的依據。不同的網絡需要不同的策略，在制定策略以前,需要全面考慮局域網絡中如何在網絡層實現安全性，如何控制遠程用戶訪問的安全性，在廣域網上的數據傳輸實現安全加密傳輸和用戶的認證等等問題。對這些問題作出詳細回答，并確定相應的防護手段和實施方法，就是針對企業網絡的一份完整的安全策略。策略一旦制定，應當作業整個企業安全行為的準則。
而AP2DRR模型則包括以下環節：
網絡安全=風險分析（A）+ 制定安全策略（P）+ 系統防護（P）
+ 實時監測（D）+ 實時響應（R）+ 災難恢復（R）
通過對以上AP2DRR的6個元素的整合，形成了一套整體的網絡安全結構，如圖4-56所示:
事實上，對于一個整體網絡的安全問題，無論是P2DR還是AP2DRR，都將如何定位網絡中的安全問題放在最為關鍵的位置。這兩種模型都提到了一個非常重要的環節—P2DR中的檢測環節和AP2DRR中的風險分析，在這兩種安全模型中，這個環節并非僅僅指的是狹義的檢測手段，而是一個復雜的分析與評估的過程。
通過對網絡中的安全漏洞及可能受到的威脅等內容進行評估。獲取安全風險的客觀數據，為信息安全方案制定提供依據。
網絡安全具有相對性，其防范策略是動態的，因而網絡安全防范模型是一個不斷重復改進的循環過程。
@木子雨辰，將一直帶給大家信息安全知識，由淺至深、采用體系化結構逐步分享，大家有什么建議和問題，可以及留言，多謝大家點擊關注、轉發、評論，謝謝大家。
大家如果有需要了解安全知識內容需求的可以留言，溝通，愿與大家攜手前行。
