国家电力信息网络运维方案

第一章前言

中国电力系统的信息化从20世纪60年代就已经开始起步，早期主

要集中在发电厂和变电站自动监测/控制方面等电力生产过程自动化，

20世纪80〜90年代开始进入电力系统专项业务应用，涉及电网调度自

动化、电力负荷控制、计算机辅助设计、计算机仿真系统等的使用。20

世纪末，电力信息技术进一步发展到综合应用，各级电力企业开始建立

管理信息系统，实现管理信息化，电力信息化逐渐从生产操作层走向管

理层，并向更深层次拓展。

相对于传统行业，我国电力行业的信息化建设发展较早，已经有了

一定的规模，到目前为止，电力企业的网络普遍建立，电力专用通信网

已日趋完善，形成了微波、卫星、光纤、无线移动通信等多种类通信手

段，通信范围覆盖全国。在此基础上，基本建成从国家电网公司一区域

电网中心f省电力公司f地市电力公司f变电所（局）的四级计算机网

络和电力生产调度网络，成为生产控制、电力调度以及信息传输和交换

的重要基础设施。

随着电力市场化以及电网建设的进一步发展，传统的电力系统业务

正在发生变化，这主要体现在电力交易系统、电能量计量系统的建设；

会议电视、变电站视频监控（无人值守）、输变电线路监控及电厂视频监

控等视频业务的出现；传统单一主机的调度自动化体系架构向客户机/

服务器体系架构的转变；监视全网运行状况，提供故障记录和分析的故

障录波系统的建设：雷电定位系统、气象信息系统的建设；多媒体业务

的出现等。因此，基于Internet/Intranet的体现信息化综合业务应用

的管理信息系统将成为电力企业信息化的发展重点。

电力数据网络承载的业务按照其性质和对安全的要求分为实时控

制业务、非控制生产业务、生产管理业务和管理信息业务。目前网络上

所有业务都承载在同一网络上，存在安全隐患，服务质量也难以保证。

按照国家电力公司的统一规划，提出了“两网分开”的措施。其中实时

控制业务和非控制生产业务属于电力生产和控制的关键业务，对可靠

性、实时性、安全性的要求非常严格，由独立的电力调度数据网承裁。

而生产管理业务和管理信息业务由电力通信数据网承载。两个网络之间

物理上分离。

无论对于电力调度数据网还是电力通信数据网，建立一个综合、经

济、可靠、安全的通信网络，既能满足现在电力系统语音、数据、图像

等各种业务的需求，又能面向未来，支持不断增多的用户、更大的带宽

以及新的业务的广域数据网是关键所在。

结合我们对电力行业的多方面了解，我们山东电力的信息化建设在

国家电力信息化建设方面，今年是重点推进的项目之一，已进入了加快

发展阶段。我们山东博威信息技术有限公司，无论在电力行

业，还是在教育、政府、金融、军队等其他重点行业以及

中大型企业的信息化建设，都积累了丰富的行业项目集成

经验。我们的精英团队深知电力网信息化建设的重任，现

在将以更大、更坚定的步伐服务于我们山东电力以及全国

电力网络的信息化建设。

第二章电力网络安全需求分析与设计规划

电力网安全建设需求分析：

网络安全威胁来源

自信息系统开始运行以来就存在信息系统安全问题，通过网络远程

访问而构成的安全威胁成为日益受到严重关注的问题。根据美国FBI的

调查，美国每年因为网络安全造成的经济损矢超过170亿美元。

网络安全威胁的来源在于网络内运行的多种网络协议，因为这些网

络协议并非专为安全通讯而设计。因此，网络可能存在的安全威胁来自

以下方面：

1.操作系统的安全性。前流行的许多操作系统均存在网络安全漏

洞，如UNIX服务器，洞服务器及Windows桌面PC；

2.防火墙的安全性。防火墙产品自身是否安全，是否设置错误，需

要经过检验;

3.来自内部网用户的安全威胁；

4.缺乏有效的手段监视、评估网络系统的安全性；

5.采用的TCP/IP协议族软件，本身缺乏安全性；

6.应用服务的安全。多应用服务系统在访问控制及安全通讯方面考

虑较少，并且，如果系统设置错误，很容易造成损失

网络安全体系结构

以上所列举的种种网络安全问题，从网络结构上来讲涉及到网络结

构的各个层次。按照OSI7层模型，网络安全贯穿于整个7层模型。针

对网络实际运行的TCP/IP协议，网络安全贯穿于信息系统的4个层次。

平台安全的层次模型

上图表示了对应网络的安全体系层次模型：

图安全体系层次模型

物理层的安全

物理层信息安全，主要防止物理通路的损坏、物理通路的窃听、对

物理通路的攻击（干扰等）。

链路层的安全

链路层的网络安全需要保证通过网络链路传送的数据不被窃听。主

要采用划分VLAN（局域网）、加密通讯VPN（远程网）等手段。

网络层的安全

网络层的安全需要保证网络只给授权的客户使用授权的服务，保证

网络路由正确，避免被拦截或监听。

操作系统的安全

操作系统安全要求保证客户资料、操作系统访问控制的安全，同时

能够对该操作系统上的应用进行审计。

应用平台的安全

应用平台指建立在网络系统之上的应用软件服务，如数据库服务

器、电子邮件服务器、Web服务器等。由于应用平台的系统非常复杂，

通常采用多种技术（如SSL等）来增强应用二台的安全性。

应用系统的安全

应用系统完成网络系统的最终目的一为用户服务。应用系统的安全

与系统设计和实现关系密切。应用系统使用应用平台提供的安全服务来

保证基本安全，如通讯内容安全，通讯双方的认证，审计等手段。

电力网络安全建设的需求分析

根据咱们山东电力信息网络的实际情况，我公司认为电力行业数据

网络经过多年建设，已经建成一个基础良好的网络，但是随着电网建设

的新需求、电网市场化的进一步发展以及信息安全技术的发展，电力数

据网络建设正面临若干亟待解决的挑战：

1.两网分离：在电力调度数据网与电力通信数据网分离的大趋势

下，如何实现两网分离是摆在各级调度机构面前的紧迫问题。全国各地

区经济发展不平衡、电网规模各异、现有数据网络情况千差万别。部分

省份已经建设了ATM骨干数据网，另外部分省份建设了IP宽带数据网,

也有部分省份网络骨干还是基于微波和窄带线路的窄带网络。如何实现

两网分离，是新建网络还是利用原有网络，如何保护现有投资，都是各

级调度通信中心需要考虑的问题。

2.宽带网络：国家电网公司、南方电网公司和几大发电集团，对电

力信息化的需求日益增强，对数据的即时性、准确性和各公司实际生产

运行以及经济运行相关性将有更高的要求。各电力企业开发的财务系

统、人力资源系统、生产管理系统、电力营销系统、物质设备管理系统、

电力负荷管理系统、安全监督管理系统、计划统计和综合指标系统等业

务系统需要整合，提高信息资源共享水平，建立起一个适应现代市场化

环境的电力企业信息系统，为电力公司的产业提升和经营管理服务。另

一方面还需要加强企业信息网络安全建设，确保企业稳定安全发展。要

把信息系统的防灾减灾系统、数据异地备份和双机备份、远程备份等安

全理念引入信息网安全系统中，建立企业的应急处理系统。现有的广域

网络的带宽、性能和覆盖率还不能满足电力市场化运行的需要，企业信

息系统的实用化程度有待提高。加快建设信息网络，特别是建成以光纤

通信为主的现代化电力通信传输干线网络，形成高速宽带数据网，构建

电力高速数据通信网络平台，是目前面临的迫切需要。

3.业务互通：各级电力公司的内部网络虽然普遍建立，基本实现了

办公网络化，但是网络之间缺少互联互通，各网络的信息系统不能共享,

造成网络的割裂和信息的孤岛。而电力市场化之后，各级机构之间面临

着统一业务的需要，如：电力交易系统、电能量计量系统的建设面临着

全省网络的互通和省际、网际之间的交互，对广域网络建设提出更高的

要求，全国性骨干网络和区域电网的建设是实现这一目标的必有之路。

4.电力市场化：电力改革实现了“厂网分离、竞价上网”，在电力

行业引入市场竞争机制，电力改革，改变了市场竞争格局，改变了价值

链模式，最终要求企业改革自身的管理来应对各种变化。以信息技术提

高管理运营效率的利器??企业信息化，其根本基础是企业的运营与管

理，也必须适应这种管理与运营的变化。因此，电力改革最终也会影响

到电力行业企业信息化建设。企业必须向以客户为中心的管理与运营模

式方向转变，作为国家公用基础性行业企业，电力行业的竞争是同质产

品的竞争，如何在最短的时间里，以最好的服务质量、最低的服务成本

提供给用户服务是电力行业企业信息化要实现的目标，管理信息化建设

将成为重点内容。其中重点建设的内容包括：提升企业内部管理效率、

降低成本的ERP系统与EAM系统，支持客户信息管理与分析的CRM系统,

全面提高价值链竞争效率的SCM系统等都将纳入电力行业企业信息化建

设。而实现企业信息化的基础就是数据网络。一个稳定、可靠、高安全

的网络正是实现各种业务管理系统、提高客户满意度的前提条件。

根据以上电力网络发展情况，在网络安全方面为了满足以上发展情

况，我们可以得到以下需求：

网络的基本安全需求

满足基本的安全要求，是该网络成功运行的必要条件，在此基础上

提供强有力的安全保障，是网络系统安全的重要原则。

网络内部部署了众多的网络设备、服务器，保护这些设备的正常运

行，维护主要业务系统的安全，是网络的基本安全需求。

对于各种各样的网络攻击，如何在提供灵活且高效的网络通讯及信

息服务的同时，抵御和发现网络攻击，并且提供跟踪攻击的手段，是本

项目需要解决的问题。网络基本安全要求主要表现为：

a.网络正常运行。在受到攻击的情况下，能够保证网络系统

继续运行。

b.网络管理/网络部署的资料不被窃取。

c.具备先进的入侵检测及跟踪体系。

d.提供灵活而高效的内外通讯服务。

应用系统的安全需求

与普通网络应用不同的是，应用系统是网络功能的核心。对于应用

系统应该具有最高的网络安全措施。应用系统的安全体系应包含：

a.访问控制，通过对特定网段、服务建立的访问控制体系，将绝大

多数攻击阻止在到达攻击目标之前;

b.检查安全漏洞，通过对安全漏洞的周期检查，即使攻击可到达攻

击目标，也可使绝大多数攻击无效；

C.攻击监控，通过对特定网段、服务建立的攻击监控体系，可实时

检测出绝大多数攻击，并采取相应的行动（如断开网络连接、记录攻击

过程、跟踪攻击源等）；

d.加密通讯，主动的加密通讯，可使攻击者不能了解、修改敏感信

息；

e.认证，良好的认证体系可防止攻击者假冒合法用户；

f.备份和恢复，良好的备份和恢复机制，可在攻击造成损失时，尽

快地恢复数据和系统服务；

g.多层防御，攻击者在突破第一道防线后，延缓或阻断其到达攻击

目标；

h.隐藏内部信息，使攻击者不能了解系统内的基本情况；

i.设立安全监控中心，为信息系统提供安全体系管理、监控，维护

及紧急情况服务

平台安全的需求

网络平台将支持多种应用系统，对于每种系统均在不同程度上要求

充分考虑平台安全。

平台安全与平台性能和功能的关系

通常，系统安全与性能和功能是一对矛盾的关系。如果某个系统不

向外界提供任何服务（断开），外界是不可能构成安全威胁的。但是，

若要提供更多的服务，将网络建成了一个开放的网络环境，各种安全包

括系统级的安全问题也随之产生。

构建平台安全系统，一方面由于要进行认证、加密、监听、分析、

记录等工作，由此影响网络效率，并且降低客户应用的灵活性；另一方

面也增加了管理费用。

但是，来自网络的安全威胁是实际存在的，特别是在网络上运行关

键业务时，网络安全是首先要解决的问题。

选择适当的技术和产品，制订灵活的网络安全策略，在保证网络安

全的情况下，提供灵活的网络服务通道。

采用适当的安全体系设计和管理计划，能够有效降低网络安全对网

络性能的影响并降低管理费用。

平台安全的管理因素

平台安全可以采用多种技术来增强和执行。但是，很多安全威胁来

源于管理上的松懈及对安全威胁的认识。来自平台方面的安全威胁主要

利用以下途径：

a.系统实现存在的漏洞；

b.系统安全体系的缺陷;

C.使用人员的安全意识薄弱;

d.管理制度的薄弱；

良好的平台管理有助于增强系统的安全性：

a.及时发现系统安全的漏洞；

b.审查系统安全体系；

c.加强对使用人员的安全知识教育；

d.建立完善的系统管理制度。

电力网网络安全建设应重点考虑的几个问题

机房建设的安全性

在机房建设的过程中，用户最看重的是各种机房设备的稳定性和可

靠性。智能化管理与监控作为一个机房建设的重要组成部分，提高了机

房的可用性和安全性，而且作为机房本身一个重要的功能已经被融入到

越来越多的机房设计中。机房当中的安全性既包括设备的物理安全性又

包括网络逻辑上的安全性。

防病毒软件的使用

各个厂商的防病毒软件产品都有其不同的特色和侧重点。国内的防

病毒软件通常具有运行迅速、资源占用低的特点，查毒能力和杀毒能力

也都表现良好，只是在病毒处理方面还有待提高；国际厂商的产品在技

术处理方面仍旧保有优势，但其并非完美无缺，一些处理策略和产品理

念上并不适合国内市场，比较明显一点的就是国际厂商一般对仅在国内

流行的qq病毒无法查杀。综合而言，我们可以根据我们电力部门在广

域网接入和本地局域网内各采用不同特性的杀毒软件，以满足我们不同

的需求。

防火墙的使用

今天的防火墙设备被用来保护计算机网络免受未授权人员的骚扰

与黑客的入侵，这些设备尤如一道城墙一样隔在被保护的网络与不安全

的非信任网络之间。防火墙是位于两个信任程度不同的网络之间（如企

业内部网络和INTERNET之间）的软件或硬件设备的组合，它对两个网

络之间的通信进行控制，通过强制实施统一的安全策略，防止对重要信

息资源的非法存取和访问，以达到保护系统安全的目的。

入侵检测与漏洞扫描

入侵监测系统就像大厦的保安监视系统一样，监视着网络上的一举

一动。它的“摄像头”连接在网络的主要节点上，侦听、分析网络流量;

它的“监视器”安装在网络安全管理员的主机上，以便随时发觉网络中

的入侵行为。通过运用先进的入侵监测技术，入侵监测系统可以发现绝

大多数的网络攻击行为。

身份验证

认证是计算机和网络安全的基本组成部分。对用户身份进行认证，

使企业能够充满自信的对不同的用户帐号指定不同的允许和访问权限，

以保证每个登陆到系统和网络中的用户只有完成他们工作所需的最低

级别权限。

2.2.6虚拟网络技术的应用

出于电力行业的行政安全设置、建筑物的集中布线方式以及一些应

用和安全的考虑，虚拟网的划分是必须的，针对每一个部门，通过VLAN

划分的方式，将不同部分进行有效地隔离，减少了冲突域，提高了网络

的安全访问。此外，用户需要的不仅仅是简单的划分，更多的是如何有

效的，简便的、动态修改和配置它们。

网络管理

电力网网络系统分布在不同的地区，同时又分布在各个地区的不同

位置，日常的网络维护和操作的工作量大大增加，网络系统需要一个可

靠，便捷、功能强大的网络管理系统来充分有效的管理和利用局域网络

资源。

以上提出了一些在电力网络设计及数据存储应考虑的因素，它与我

们的设计原则是相符合的。在对整个网络系统的设计中，我们必须坚持

从用户实际需求出发，利用先进的技术，为用户构建真正适合自身的网

络安全及存储系统。

电力网络安全设计原则:

网络安全体系结构主要考虑安全对象和安全机制，安全对象主要有

而0-1

网络安全、系统安全、数据库安全、信息安全、设备安全、信息介质安

全和计算机病毒防治等，其安全体系结构如图2T所示

安全体系设计原则

在进行计算机网络安全设计、规划时，应遵循以下原则：

a.需求、风险、代价平衡分析的原则：

对任一网络来说，绝对安全难以达到，也不一定必要。对一个网络

要进行实际分析，对网络面临的威胁及可能承担的风险进行定性与定量

相结合的分析，然后制定规范和措施，确定本系统的安全策略。保护成

本、被保护信息的价值必须平衡，价值仅1万元的信息如果用5万元的

技术和设备去保护是一种不适当的保护。

b.综合性、整体性原则：

运用系统工程的观点、方法，分析网络的安全问题，并制定具体措

施。一个较好的安全措施往往是多种方法适当综合的应用结果。一个计

算机网络包括个人、设备、软件、数据等环节。它们在网络安全中的地

位和影响作用，只有从系统综合的整体角度去看待和分析，才可能获得

有效、可行的措施。

C.一致性原则

这主要是指网络安全问题应与整个网络的工作周期（或生命周期）

同时存在，制定的安全体系结构必须与网络的安全需求相一致。实际上,

在网络建设之初就考虑网络安全对策，比等网络建设好后再考虑，不但

容易，而且花费也少得多。

d.易操作性原则

安全措施要由人来完成，如果措施过于复杂，对人的要求过高，本

身就降低了安全性。其次，采用的措施不能影响系统正常运行。

e.适应性、灵活性原则

安全措施必须能随着网络性能及安全需求的变化而变化，要容易适

应、容易修改。

f.多重保护原则

任何安全保护措施都不是绝对安全的，都可能被攻破。但是建立一

个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保

护仍可保护信息的安全

安全策略设计原则

安全策略分安全管理策略和安全技术实施策略两个方面：

a.管理策略

安全系统需要人来执行，即使是最好的、最值得信赖的系统安全措

施，也不能完全由计算机系统来完全承担安全保证任务，因此必须建立

完备的安全组织和管理制度。

b.技术策略

技术策略要针对网络、操作系统、数据库、信息共享授权提出具体

的措施。

安全管理设计原则

计算机信息系统的安全管理主要基于三个原则。

a.人负责原则

每项与安全有关的活动都必须有两人或多人在场。这些人应是系统

主管领导指派的，应忠诚可靠，能胜任此项工作。

b.任期有限原则

一般地讲，任何人最好不要长期担任与安全有关的职务，以免误认

为这个职务是专有的或永久性的。

C.职责分离原则

除非系统主管领导批准，在信息处理系统工作的人员不要打听、了

解或参与职责以外、与安全有关的任何事情。

安全管理的实现

信息系统的安全管理部门应根据管理原则和该系统处理数据的保

密性，制订相应的管理制度或采用相应规范，其具体工作是：

a.确定该系统的安全等级；

b.根据确定的安全等级，确定安全管理的范围；

c.制订相应的机房出入管理制度，对安全等级要求较高的系统，

要实行分区控制，限制工作人员出入与己无关的区域；

d.制订严格的操作规程，操作规程要根据职责分离和多人负责的

原则，各负其责，不能超越自己的管辖范围；

e.制订完备的系统维护制度，维护时，要首先经主管部门批准，

并有安全管理人员在场，故障原因、维护内容和维护前后的情况要详细

记录；

f.制订应急措施，要制订在紧急情况下，系统如何尽快恢复的应

急措施，使损失减至最小；

e.建立人员雇用和解聘制度，对工作调动和离职人员要及时调整

相应的授权。

安全系统需要由人来计划和管理，任何系统安全设施也不能完全由

计算机系统独立承担系统安全保障的任务。一方面，各级领导一定要高

度重视并积极支持有关系统安全方面的各项措施。其次，对各级用户的

培训也十分重要，只车当用户对网络安全性有了深入了解后，才能降低

网络信息系统的安全风险。

总之，制定系统安全策略、安装网络安全系统只是网络系统安全性

实施的第一步，只有当各级组织机构均严格执行网络安全的各项规定，

认真维护各自负责的分系统的网络安全性，才能保证整个系统网络的整

体安全性。

网络结构安全设计原则

由于网络的互连是在链路层、网络层、传输层、应用层不同协议层

来实现，各个层的功能特性和安全特性也不同，因而其网络安全措施也

不相同。

物理层安全涉及传输介质的安全特性，抗干扰、防窃听将是物理层

安全措施制定的重点。

在链路层，通过“桥”这一互连设备的监视和控制作用，使我们可

以建立一定程度的虚拟局域网，对物理和逻辑网段进行有效的分割和隔

离，消除不同安全级别逻辑网段间的窃听可能。

在网络层，可通过对不同子网的定义和对路由器的路由表控制来限

制子网间的接点通信，通过对主机路由表的控制来控制与之直接通信的

节点。同时，利用网关的安全控制能力，可以限制节点的通信、应用服

务，并加强外部用户识别和验证能力。对网络进行级别划分与控制，网

络级别的划分大致包括Internet/企业网、骨干网/区域网、区域网/部

门网、部门网/工作组网等，其中Internet/企业网的接口要采用专用防

火墙，骨干网/区域网、区域网/部门网的接口利用路由器的可控路由表、

安全邮件服务器、安全拨号验证服务器和安全级别较高的操作系统。增

强网络互连的分割和过滤控制，也可以大大提高安全保密性。

随着企业个人与个人之间、各部门之间、企业和企业之间、国际间

信息交流的日益频繁，信息传输的安全性成为一个重要的问题。尽管个

人、部门和整个企业制已认识到信息的宝贵价值和私有性，但商场上的

无情竞争已迫使机构打破原有的界限，在企业内部或企业之间共享更多

的信息，只有这样才能缩短处理问题的时间，并在相互协作的环境中孕

育出更多的革新和创造。然而，在群件系统中共享的信息却必须保证其

安全性，以防止有意无意的破坏。

物理实体的安全管理现已有大量标准和规范，如GB9361-88《计算

机场地安全要求》、GFB2887-88《计算机场地技术条件》等。

安全产品选型原则

在进行网络安全方案的产品选型时，要求安全产品至少应包含以下

功能：

a.访问控制：通过对特定网段、服务建立的访问控制体系，将绝

大多数攻击阻止在到达攻击目标之前；

b.检查安全漏洞：通过对安全漏洞的周期检查，即使攻击可到达

攻击目标，也可使绝大多数攻击无效;

c.攻击监控：通过对特定网段、服务建立的攻击监控体系，可实

时检测出绝大多数攻击，并采取相应的行动（如断开网络连接、记录攻

击过程、跟踪攻击源等）；

d.加密通讯：主动的加密通讯，可使攻击者不能了解、修改敏感

信息；

e.认证：良好的认证体系可防止攻击者假冒合法用户；

f.恢复：良好的备份和恢复机制，可在攻击造成损失时，尽快地

恢复数据和系统服务；

g.多层防御：攻击者在突破笫一道防线后，延缓或阻断其到达攻

击目标；

h.隐藏内部信息：使攻击者不能了解系统内的基本情况；

i.设立安全监控中心：为信息系统提供安全体系管理、监控，保

护及紧急情况服务。

第三章网络安全解决方案

机房安全建设解决方案

电气系统

1、数据中心供配电系统应为380V/200V.50HZ,计算机供电质量达到

A级。

2、供配电方式为双路供电系统加UPS电源及柴油发电机设备，并对空

调系统和其他用电设备单独供电，以避免了空调系统启停对重要用电设

备的干扰。供电系统的负荷包含如下方面：

•服务器功率

单台服务器功率X服务器台数二总功率

•UPS总功率：

一般采用n+l备份方案，亦即并联UPS台数多加壹台，以防止某一台机

组出现故障。

目前UPS效率均在90%以上，故按照服务器总功率可以计算出UPS的总

KVA数。

•工作区恒温恒湿精密空调负荷：

工作区面积X200~250kcal/hr/m2二总的空调所需制冷量

按上述数据即可确定精密空调的数量，同时亦可确定空调所耗费电功

率。

•办公区空调、照明等负荷

•其它用负荷

由上可以计算出一个数据中心机房所需的用电负荷总功率。

3、电源分类：

•一类电源为UPS供电电源，由电源互投柜引至墙面配电箱，分路送到

活动地板下插座，再经插座分接计算机电源处，电缆用阻燃电缆，穿金

属线槽钢管敷设。

•二类电源为市电供电电源，由电源互投柜分别送至空调、照明配电箱

和插座配电箱，再分路送至灯具及墙面插座。电缆用阻燃电缆，照明支

路用塑铜线，穿金属线槽及钢管敷设。

•三类电源为柴油发电机组，是作为特别重要负荷的应急电源，应满足

的运行方式为：正常情况下，柴油发电机组应始终处于准备发动状态，

当两路市电均终断时，机组应立即启动，并具备带100%负荷的能力0任

一市电恢复时，机组应能自动退出运行并延时停机，恢复市电供电。机

组与电力系统间应有防止并列运行的连锁装置。柴油发电机组的容量应

按照用电负荷的分类来确定，因为布的负荷需要很大的启动功率，如空

调电动机，这就需要合理选择发电机组容量，以避免过大的启动电压降,

一般根据上述用电负荷总功率的倍来计算。

4、配电柜

•配电箱、柜应有短路、过流保护，其紧急断电按钮与火灾报警联锁。

•配电箱、柜安装完毕后，进行编号，并标明箱、柜内各开关的用途以

便于操作和检修。

•配电箱、柜内留有备用电路，作机房设备扩充时用电。

5、插座

机房内用电插座分为两大类，即UPS插座和市电插座。机房各工作间均

留有备用插座安装在墙壁下方供设备维修时月。

6、电缆（电线）

•电缆（电线）在铺设时应该平直，电缆（电线）要与地面、墙壁、天

花板保持一定的间隙。

•不同规格的电缆（电线）在铺设时要有不同的固定距离间隔。

•电缆（电线）在铺设施工中弯曲半径按厂家和当地供电部门的标准施

工。

•铺设电缆时要有留有适当的余度。

・地板下的电缆穿钢管或在金属线槽里铺设。

7、照明

・机房照明按“电子计算机机房设计规范"规定。

•照明灯具采用嵌入式安装。事故照明用备用电源自投自复配电箱，市

电与UPS电源自动切换。

•灯具内部配线采用多股铜芯导线，灯具的软线两端接入灯口之前均应

压扁并搪锡，使软线与固定螺丝接触良好。灯具的接地线或接零线，必

须用灯具专用接地螺丝并加垫圈和弹簧垫圈压紧。

•在机房内安装嵌装灯具固定在吊顶板预留洞孔内专设的框架上。灯上

边框外缘紧贴在吊顶板上，并与吊顶金属明龙骨平行。

•在机房内所有照明线都必须穿钢管或者金属软管并留有余量。电源线

应通过绝缘垫圈进入灯具，不应贴近灯具外壳。

8、接地系统

依据国标GB50169-92电气安装，接地施工及验收规范。计算机直流地

与机房抗静电接地及保护地严格分开以免相互干扰，采用铜网，所有接

点采用锡焊或铜焊使其接触良好，以保证各计算机设备的稳定运行并要

求其接地电阻1Q。机房抗静电接地与保护地采用软扁平编织铜线直接

敷设到每个房间让地板就近接地，能使地板产生的静电电荷迅速入地。

9、防雷

为防止机房设备的损坏和数据的丢失，机房防雷尤其重要。按国家建筑

物防雷设计规范，本设计对机房电气电子设备的外壳、金属件等实行等

电位连接，并在低压配电电源电缆进线输入端加装电源防雷器。防雷接

地电阻要求小于lOQo

空调系统

根据GB2887-82计算机场地技术要求，按A级设计，温度T=23C±2。（2,

相对湿度=55%,5%,夏季取上限，冬季取下限。

气流组织采用下送风、上回风，即抗静电活动地板静压箱送风，吊顶天

花微孔板回风。新风量设计取总风量的10%,中低度过滤，新风与回风

混合后，进入空调设备处理，提高控制精度，节省投资，方便管理。

门禁系统

门禁管理系统的主要目的是保证重要区域设备和资料的安全，便于

人员的合理流动，对进入这些重要区域的人员实行各种方式的门禁管

理，以便限制人员随意进出。

•卡片最好采用现在流行的感应式卡片。

•卡出入系统首先应具有权限设置的功能，即每张卡可进出的时间、可

进出哪道门，不同的卡片持有者应有不同的权限。

•每次有效的进入都应存档或统计。

•应有完善的密码系统，即对系统的更改，不同的操作者应有不同的权

限。

•电锁应采用安全可靠的产品，有电闭锁或无电闭锁根据用户要求可

调。

•紧急情况下或电锁出现故障的情况下应有应急钥匙可将门打开。

•门禁系统最好采用计算机控制系统。

・全套系统最好有备用电源。

监控系统

1、机房中有大量的服务器及机柜、机架。由于这些机柜及机架一般比

较高，所以监控的死角比较多，因此在电视监控布点时主要考虑各个出

入口，每一排机柜之间安装摄象机。如果在各出入口的空间比较大，可

考虑采用带变焦的摄象机，在每一排的机柜之间，根据监视距离，配定

焦摄象机即可。如果机房有多个房间的话，可考虑在UPS房和控制机房

内安装摄象机。

2、产品选型及技术要求：

・电视监控系统图像信号应满足图像信号技大指标表中的要求

项目指标值

复合视频信号幅度(1±)V(峰一峰)

黑白电视水平清晰度>=350TVL

彩色电视水平清晰度>=270TVL

黑白电视灰度等级>=8

信噪比>二38

•一般情况下，定焦摄象机在光照度变化大的场所应选用自动光圈镜头

并配置防护罩，在光照稳定光源充足的地方，用固定光圈镜头可降低成

本O

・图像信号应保持24小时录像，录像方式可采用硬盘录像，也可采用

传统的录像系统。闭路电视控制系统最好有视频动态报警功能。同时如

果具有视频远程传输功能，即通过Internet、ISDN、局域网或电话线将

监视信号传输到远程客户指定的地方，在使月时将会更加方便。

•在安装闭路电视的同时，也可考虑在重要的机房档案库安装防盗报警

系统以加强防范手段。

消防系统

1、方案依据

1《高层建筑防火设干规范》GBJ45-82

1《火灾自动报警系统设计规范》GBJ116-88

2、消防自动报警及控制系统的组成

1消防控制中心包括智能火灾报警控制主机，用于集中报警及控制。

1消防控制中心外围报警及控制包括光电感烟探测器、感温探测器、组

合控制器和气瓶等。上述设备位于各楼层现场和端子箱内。

网络防病毒解决方案

计算机病毒与反病毒技术的发展，致使企业不能再依靠单一的防毒

体系来保全资源，面对日益复杂的病毒技术的出现，必须出现一种全新

的企业防毒模式。基于企业防毒的需求，我们公司所提供的企业全线防

毒体系，无疑给了我们电力网络一个更加安全的防护模式。

1、杀毒软件【网络版】体系结构

杀毒软件【网络版】整个防病毒体系是由四个相互关联的子系统组

成。每一个子系统均包括若干不同的模块，除承担各自的任务外，还与

另外子系统通讯，协同工作，共同完成对网络的病毒防护工作。

一、系统中心

系统中心是整个网络防病毒系统的信息管理和病毒防护的自动控制

核心。它实时地记录防护体系内每台计算机上的病毒监控、检测和清除

信息。同时，根据控制台的设置，实现对整个防护系统的自动控制。其

他子系统只有在系统中心工作后，才可实现各自的网络防护功能。它必

须先于其它子系统安装到符合条件的服务器上。

二、服务器端

服务器端是专门为网络服务器设计的防病毒子系统。它承担着对当

前服务器上病毒的实时监控、检测和清除任务，同时自动向系统中心报

告病毒监测情况。

三、客户端

客户端是专门为网络工作站（客户机）设计的防病毒子系统。它

承担着对当前工作站上病毒的实时监控、检测和清除任务，同时自动向

系统中心报告病毒监测情况。

四、控制台

控制台是为网络管理员专门设计，是整个网络防病毒系

统设置、使用和控制的操作平台。它集中管理网络上所有

已安装过网络版客户端的计算机，保障每个纳入防护网络

的计算机时刻处于最佳的防病毒状态。同时实现对系统中

心的管理。它既可以安装到服务器上也可以安装到客户机

上，视网络管理员的需要，可自由安装。所以，它又被称

为“移动控制台“。

2、如何进行防病毒管理

当一个计算机网络安装杀毒软件【网络版】后，必须将防病毒管理

纳入日常工作。只有通过网络系统管理员，杀毒软件【网络版】和我公

司的技术支持三方努力下才能真正实现整个网络安全的目的。针对杀毒

软件【网络版】提供的功能和特点，建议网络系统管理员进行如下的管

理：

?确立病毒防护原则

在通过杀毒软件【网络版】、企业自身技术人员（多指网络管理员）

和我公司技术支持工程师建立起网络的防病毒体系后，还必须确立该体

系运转的工作原则。根据我们电力公司的网络状况、技术人员状况和其

他实际情况，我公司提出以下建议：

?所有计算机均应安装杀毒软件，避免形成防护体系的薄弱环节。

?强制每台计算机开启实时监控功能。

?在每台服务器和客户机上设定合理的定时扫描频率。

?每次手动查杀病毒时，选择扫描所有文件。

?在重要服务器或客户机上选定“清除之前备份带毒文件”功能。

?系统管理员通过控制台获得某台服务器或客户机染毒信息后，应针

对该计算机进行专门处理。

?病毒防护信息管理

系统中心对防护体系内所有计算机的病毒监控、检测，以及处理情

况均有记录。对这些信息的有效监控、利用和管理会使整个防病毒工作

更加有效。网络管理员应根据网络的实际运行状况和工作需要制定切实

可行的管理方案。

?监控、检测和清绘病毒

该项管理是网络防病毒管理的核心，利用杀毒软件【网络版】提供

的各项功能可实现对所有计算机设计具体的管理方案。如，对实时监控、

扫描、清除时间、周期等设置。

?未知病毒侦测管理

由于新病毒的不断出现，反病毒软件也要随之更新。只有建立一套

完整可行的新病毒侦测和捕获方案才能实现这一过程的良性循环和周

期的缩短。这也是维护整个网络安全必不可〃的环节。一旦发现异常现

象，及时与反病毒公司联系。

?版本升级更新管理

彻底解决新病毒的办法是保证杀毒软件的不断升级更新。为此，网

络管理员应充分利用提供的各种升级方式，结合自身具体情况，制定合

理的升级管理办法，弁组织实施。

3、杀毒软件【网络版】的特点

■远程化管理

?远程杀毒：

网络管理员只需通过一台计算机，就可以对全网的所有计算机同

时进行病毒检测和清除。

?远程报警：

局域网中任何一台计算机上发现病毒时，杀毒软件自动将病毒信

息传递给网络管理员。

?远程操作:

网络管理员只需通过一台计算机，就可以对全网所有杀毒软件进

行统一或个性化设置。

■自动化管理

?自动安装：

整个局域网只需在一台计算机上安装杀毒软件，即可实现对所有

计算机的自动安装。

?自动升级：

系统自动从网站下载最新升级版本，并自动分发到各节点计算机,

实现全网统一升级。

■功能强大，操作简便

针对以往网络版杀毒软件设置复杂，操作繁琐的弊病，采用智能化

的底层优化技术，在保持功能强大的前提下，实现了界面简洁、操作便

利的目标，最大限度地减少了用户操作难度和工作量。

■集中式管理、分布式杀毒

?中央系统中心结合移动控制台实现全网方便管理

局域网内任意一台计算机均可设置为移动控制台。网络管理员通过

帐号和口令使用移动控制台，即可清楚地掌握整个网络环境中各个节点

的病毒监测状态，对局域网进行远程集中式安全管理。

?先进的分布式管理技术

杀毒软件采用先进的分布式管理技术，调用每个节点各自的杀毒软

件对该计算机上所有文件进行全面查杀病毒，解决了以往网络版杀毒软

件只能查杀共享文件的缺陷。由于不在网络上传输文件，既保障了每个

节点使用者的隐私，又大大提高了全网查杀病毒的效率。

防火墙解决方案

防火墙简介

在人们建筑和使用木制结构房屋的时候，为防止为灾的发生和蔓

延，将坚固的石块堆砌在房屋周围作为屏障，这种防护构筑物被称之为

防火墙。在今日的电子信息世界里，人们借助了这个概念，使用防火墙

来保护敏感的数据不被窃取和篡改，不过这些防火墙是由先进的计算机

系统构成的。

今天的防火墙设备被用来保护计算机网络免受未授权人员的骚扰

与黑客的入侵，这些设备尤如一道城墙一样隔在被保护的网络与不安全

的非信任网络之间。我们目前广泛使用的互联网络便是世界上最大的非

信任网，它在结构上并没有一个集中的管理机构，没有办法控制源自天

这里的访问的合法性，近年来媒体报导的很多黑客入侵事件都是通过互

联网络进行的。

防火墙的概念

简单的说，防火墙是位于两个信任程度不同的网络之间（如企业内

部网络和INTERNET之间）的软件或硬件设备的组合，它对两个网络之

间的通信进行控制，通过强制实施统一的安全策略，防止对重要信息资

源的非法存取和访问，以达到保护系统安全的目的。

防火墙通常是运行在一台单独计算机之上的一个特别的服务软件，

用来保护由许多台计算机组成的大型网络。它既可以是非常简单的过滤

器，也可能是精心配置的网关，但它们的原理是一样的，都是监测并过

滤所有内部网和外部网之间的信息交换，防火墙保护着内部网络敏感的

数据不被偷窃和破坏，并记录内外通讯的有关状态信息日志，如通讯发

生的时间和进行的操作等等。新一代的防火墙甚至可以阻止内部人员将

敏感数据向外传输。在把公司的局域网联入互联网络时，肯定不希望让

全世界的人随意翻阅公司内部的工资单、个人资料或是客户数据库。即

使在公司内部，同样也存在这种数据非法存取的可能性。例如一些对公

司不满的员式可能会修改工资表和财务报告。而在设置了防火墙以后，

就可以对网络数据的流动实现有效地管理：尤许公司内部员工使用电子

邮件，进行WEB浏览以及文件传输，但不允许外界随意访问公司内部的

计算机，同样还可以限制公司中不同部门之间互相访问。将局域网络放

置于防火墙之后可以有效阻止来自外界的攻击。

为什么需要设防火墙

设置防火墙使你的网络规划清晰明了，它可以识别并屏蔽非法的请

求，有效防止跨越权限的数据访问。如果你的网络联入了互联欢网络而

没有设置防火墙的话，你可能会接到许多系统入侵的报告。黑客袭击的

例子屡见不鲜，在一些讲座计算机安全的站点上可以找到许多案例。黑

客可以攻击美国国防学的网络，也可能会对一家公司发生兴趣。

防火墙的几种形式

防火墙有许许多多形式，有以软件形式运行在普通计算机之上的，

也有以固件形式设计在硬件设备之中的。总的来说业界的分类有三种：

包过滤防火墙；应用级网关；状态监视器。

a.包过滤防火墙

在互联网络这样的TCP/IP网络上，所有往来的信息都被分割成许

许多多一定长度的信息包，包中包含发送者的IP地址和接收者的IP地

址信息。当这些信息包被送上互联网络时，路由器会读取接收者的IP

并选择一条合适的物理线路发送出去，信息包可能经由不同的路线抵达

目的地，当所有的包抵达目的地后会重新组装还原。包过滤式的防火墙

会检查所有通过的信息包头部的IP地址，并按照管理员所给定的过滤

规则进行过滤。如果对防火墙设定某一IP地址的站点为不适宜访问的

话，从这个地址来的所有信息都会被防火墙屏蔽掉。

包过滤防火墙的优点是它对于用户来说是透明的，处理速度快而且

易于维护，通常做为第一道防线。但包过滤路由器通常没有用户的访问

日志，这样就不能得到入侵者的攻击记录。

b.应用级网关

应用级网关也就是通常我们提到的代理服务器。它适用天特定的互

联网服务，如超文本传输(HTTP),远程文件传输(FTP)等等。代理服

务器通常运行在两个网络之问，它对于客户来说象是一台真的服务器，

而对于外界的服务器来说，它又是一台客户机。当代理服务器接收到用

户对某站点的访问的站点内容，在下一个用户要访问同一站点时，服务

器就不用重复地获取相同的内容，直接将缓存内容发出即可，既节约了

时间也节约了网络资源。代理服务器会象一堵墙一样挡在内部用户和外

界之间，从外部只能看到该代理服务器而无法获知任何的内部资源，诸

如用户的IP地址等。应用级网关比单一的包过滤更为可靠，而且会详

细地记录所有的访问状态信息。但是应用级网关也存在一些不足之处，

首先它会使访问速度变慢，因为它不允许用户直接访问网络，而且应用

级网关需要对每一个特定的服务安装相应的代理服务软件，用户不能使

用未被服务器支持的服务，对每一类服务要使用特殊的客户端软件，更

不幸的是，并不是所有的互联网应用软件都可以使用代理服务器。

C.状态监测防火墙

这种防火墙具有非常好的安全特性，它使用了一个在网关上执行安

全策略的软件模块，称之为监测引擎。监测引擎在不影响网络正常运行

的前提下，采用抽取不关数据的方法对网络通信的各层实施监测，抽取

状态信息，并动态地保存起来作为以后执行安全策略的参考。监测引擎

支持多种协议和应用程序，并可以很容易地实现应用和服务的扩充。与

前两种防火墙不同，当用户访问请求到达网关的操作系统前，状态监视

器要抽取有关数据进行分析，结合网络配置和安全规定作出接纳、拒绝、

身份认证、报警或给该通信加密等处理动作。一旦某个访问违反安全规

定，就会被拒绝，并报告有关状态作日志记录。状态监测防火墙的另一

个优点是它会监测无连接状态的远程过程调用（RPC）和用户数据报

（UDP）之类的端口信息，而包过滤和应用网关防火墙都不支持此类应

用。这种防火墙无疑是非常坚固的，但它对网络的速度有一定影响，而

且配置也比较复杂。

防火墙的生产厂商们已在他们的产品中如入了更多的新技术来增

加产品的竞争力。网络应用的内容安全，如在网关上对计算机病毒进行

实时的扫描和防护便是最新加入防火墙的功能。根据国际计算机安全协

会（ICSA）的一份报告，在1996年有23%的病毒感染是由EMAIL引起

的。某些防火墙产品已能够监测通过HTTP,FTP,SMTP等协议传输的已

知病毒。

防火墙的应用与选择

在建立防火墙架构的同时，就将成长性的理念植入其中，不仅将会

为你节省下许多的投入，同时还能够确保你的安全配置能够与你业务的

扩展速度保持同步。下面，我们就一起来看看如何能够建立起一个具有

高性价比、可以逐步升级的防火墙系统。

每一个将它的内荀网络连接到互联网上的公司或者组织，都需要一

套防火墙系统来保护自己免遭来自网络上的入侵和攻击。而且现在，安

全系统供应商也能够按照每一个客户的预算来为他们提供相应的解决

方案。不过，如果你的公司计划要不断发展的话（又有哪一个公司不是

这样的呢），那么你在选择防火墙解决方案的时候，就一定要把可扩展

性摆在重要位置。

解决方案：硬件Vs.软件

最简单的方法，就是在网络的主机上安装一个价格较为低廉的专用防火

墙设备，也就是我们通常所说的“硬件防火墙"。像PIX501、SonicWall

Pro1260WatchGuardEdgeX15,以及NetScreen5系列就是这样的

产品。它们所采用的者3是一些很“傻瓜”的解决方案，设置起来非常简

单。不过，你会发现，虽然这些产品价格便宜，但同时它们的升级性能

也相当的一般。通常这些产品的连接端口都非常的有限，而且其带宽也

不会很大。这种硬件产品基本上很难、甚至不可能对其进行升级，因此

当你的网络开始不断增长，你的需求也随之发生改变的时候，你就有可

能会需要购买一个更加高级的防火墙设备。与最低端的产品相比，其它

的一些设备具有更大的容量，你需要购买另外的使用许可证来利用这些

潜能就好了。

虽然最初的成本可能会比较高，而且设置起来也不是很简便，但是

你还是会发现那些所谓的“软件防火墙”，比如说微软公司的ISA

ServerCheckpoint,以及赛们铁克公司的企业防火墙，会更容易伴随

着你的公司一起成长。这些防火墙产品可以被安装在某个常规网络操作

系统（比如说WindowsServer、UNIX或者Solaris）之上。这就意味着，

你对计算机及其相关配置拥有充分的选择权，而且在以后需要的时候，

还可以对其进行升级，比如说换个速度更快的处理器，或者增加更多的

内存。

与低端的硬件产品相比，软件防火墙通常能够支持数量相当庞大的

网络连接，而其数据的吞吐带宽则是由你所选择的硬件来决定的。这些

企业级的软件防火墙通常都是针对网络保护来设计的，不要与那些针对

保护单台计算机而设i-的、基于主机或者“个人”防火墙的软件防火墙

相混淆。

网络环境下的身份认证解决方案

网络环境下的身份认证较为复杂，主要是要考虑到验证身份的双方

一般都通过网络而非直接交互，像根据指纹等手段就无法实现。同时，

大量的黑客随时随地都可能尝试向网络渗透，截获合法用户口令并冒名

顶替合法身份入网。所以，目前一般采用的是基于对称密钥加密或者公

开密钥加密的方法，采用高强度的密码技术进行身份认证。

认证是计算机和网络安全的基本组成部分。对用户身份进行认证，

使企业能够充满自信的对不同的用户帐号指定不同的允许和访问权限，

以保证每个登陆到系统和网络中的用户只有完成他们工作所需的最低

级别权限。一个只有少量的用户和敏感数据的小型企业可以不用关心大

多数操作系统中内建的默认认证机制：用户利用用户名和对应的密码来

登陆。但是，随着公司的成长，认证的需求也在改变。随着用户数量的

增长，记录和跟踪用户访问哪些数据变得越来越困难，这使得技术化的

控制手段变得更加重要。随着网络中敏感信息数量的增长，如何控制非

授权用户访问敏感信息的风险也随之增加。这样的增长同样会让用户更

多的通过VPN和拨号服务器来远程登录。这正是重新审视自己的认证解

决方案的时机。

在适当的时机引入策略

实现复杂的认证解决方案可能会花费大量的资金，而迅速成长中的企业

预算通常比较紧张。即使决定在这个时刻仍然保持老的密码认证机制，

也有许多办法使得它更加安全。

在很多小型企业里，员工很容易记住（同样也容易破解）密码并多

年都使用同一个密码，而且用于各种用途。迈向更加安全的认证解决方

案的第一步就事制定政策来管理密码，这包括：

?密码长度：所有密码的长度必须至少有8个字符，这会提高企亚安

全，越长越好。

?密码复杂度：所有的密码都必须由阿拉伯数字、英文字母和其他符

号组合而成。密码不应当由字典单词或者其他容易被猜出的名字或者数

字组成。（例如用户的社会安全号码、电话号码、配偶的名字，等等）。

?密码过期：密码必须被经常更改（每隔30到90天，取决于安全级

别）。新的密码不应当与最近使用的密码类似，而且用户不允许在每次

改变密码时，交换使用相同的两个密码。

?密码安全：用户应当被禁止写下他们的密码（即使是被保存在一个

锁好的或者其他的安全位置，用户有时候也难免疏忽）以及向其他人共

享自己的密码。用户应当接受关于社会工程学的培训（试图通过胁迫、

说服和其他诡计来获取用户的密码）。尽可能的用技术来武装认证机制,

通过网络操作系统或者附加软件。软件应当强制用户在特定周期改变密

码，不接受不符合长度、复杂性和修改周期要求的密码。

入侵检测与漏洞扫描解决方案

什么是入侵检测系统？

目前，网络攻击和入侵的手段多种多样，从使用的方法主要可以分

为以下几大类：

扫描:检测攻击者使用各种扫描方式企图获得攻击目标的有关信

息及漏洞情况的行为。常用的扫描工具有SANTAN.Saint.

LANguardNetworkScanner.Nmap等。

嗅探：攻击者试图从网络中获取用户名、口令等敏感信息。常用

的嗅探工具有SATAN、Xray、Sniffer等。

后门：攻击者试图利用各种后门程序对目标系统进行访问，常用

的后门攻击工具如冰河、Backoffice、SubSseven、

NetBusSolaris>RootkitDagger等0

病毒：利用互联网的高速传播速度，网络病毒已经成为网络攻击

的主要组成部分。近来比较猖獗的病毒有Nimda病毒、Toadie

病毒、W97M/Vale宏病毒、电子邮件蠕虫、W32/Navidad@M因特

网蠕虫等。

恶意代码：攻击者编写ActiveX、Javascript等形式的各种恶

意代码对例如网站这样对外提供服务的系统进行攻击。

拒绝服务(DoS)和分布式拒绝服务(DDoS)：攻击者通过消耗系

统资源使目标主机的部分或全部服务功能丧失。常见的拒绝服务

攻击有SYNFLOOD攻击，PINGFLOOD攻击,WINNUK攻击等。

欺骗：攻击者还经常使用欺骗手段达到攻击目的，如域名系统无

权限的欺骗查询、ICMPECHO报文数据等

入侵检测(IntrusionDetection)技术是为保证计算机系统的安

全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象

的技术,是一种用于检测信息系统中违反安全策略行为的技术。

入侵检测系统—IntrusionDetectionSystem(IDS)利用入侵检测

技术监视信息系统,寻找入侵的行为并进行相应的处理。

入侵监测系统就像大厦的保安监视系统一样，监视着网络上的一举

一动。它的“摄像头”连接在网络的主要节点上，侦听、分析网络流量；

它的“监视器”安装在网络安全管理员的主机上，以便随时发觉网络中

的入侵行为。通过运用先进的入侵监测技术，入侵监测系统可以发现绝

大多数的网络攻击行为。

入侵检测的必要性

针对日益严重的网络安全问题和越来越突出的安全需求，P2DR“动

态安全模型''应运而生，该模型目前已被业内人士广泛认同。

P2DR模型包含4个主要部分：Policy（安全

策略）、Protection（防护）、Detection（检测）、

Response（响应）。

防护、检测和晌应组成了一个完整的、动态

的安全循环。在整体的安全策略的控制和指

导下，在综合运用防护工具的同时，利用检

测工具了解和评估系统的安全状态，将系统

调整到“最安全”和“风险最低”的状态。

图P2DR模型示意图

在P2DR模型较为独特之处，是它加进了时间的因素，如入侵探测

时间、应变时间等概念，使其成为了一套完整的安全架构。

P2DR模型的基本描述为：

安全二风险分析+执行策略+系统实施+漏洞监测+实时响应

该模型强调的是系统安全的动态性，以安全检测、漏洞监测和自适

应填充“安全间隙”为循环来提高网络安全。P2DR理论提出了全新的安

仝概念，安仝不能依靠单纯的静态防护，也不能依靠单纯的技术手段来

解决。根据该模型，防护是一个必备的措施和必须的环节。从发生的入

侵事件可以看出，基砧防护的网络还是缺乏安全性，访问控制等静态安

全措施只能对网络系统中的某几个环节起保护作用，如果忽略了网络系

统中的安全漏洞和随时可能发生的攻击，隐患仍然存在，计算机信息仍

然受到威胁。所以需要增设检测和响应这两个环节，发现隐藏的漏洞，

主动提高网络的抗攻击能力。这个环节主要通过日常漏洞检测扫描和实

时入侵检测响应技术来担当重任。

近来信息安全问题越来越受到人们的关注，为了解决安全问题，各

单位都不同程度地增加了对信息安全的资金投入，各种防火墙、防病毒

等安全产品都被广泛应用到了用户的信息网络当中。那么在网络中部署

了上述这些安全产品以后，用户所面临的安全问题是否都得到了全部解

决呢？从上面介绍的P2DR模型我们可以知道，答案是否定的。

这主要表现在以下几个方面：

防火墙的局限性

传统的边界防火墙由于其部署于内网与外网之间，进行网络隔离

和访问控制，但它很难解决内网控制内部人员的安全问题，即只

能防范来自外部的风险，而不能防范来自内部的风险。对于应用

层的攻击防火堵的防护也是不能令人满意的。

安全漏洞与攻击方法的不断出现

随着安全漏洞不断被公布，及攻击者知识的日趋成熟，攻击工具

与手法的日趋复杂多样化，单纯的防火墙策略已经无法满足对安

全高度敏感的部门的需要。网络的防卫必须采用一种纵深的、多

样的手段。

静态防御的不足

访问控制等静态安全措施可以发挥一定的安全保护作用，但如忽

略了网络系统中的安全漏洞和随时可能发生的攻击隐患，计算机

安全系统仍然会受到威胁。

部署入侵检测系统不但可以有效地解决上述问题，并且能够帮助用

户达到以下网络安全管理目的：

识别各种黑客攻击或入侵的方法和手段

入侵检测系统从网络数据流中搜集各种网络行为的信息，然后从

中分析各种攻击的特征，它可以全面快速地识别各种网络攻击,

并做相应的防范。?

实时的报警和响应，帮助用户及时发现并解决安全问题

入侵检测系统在发现入侵或误用行为之后，根据一定的事件响应

规则进行实时的报警。入侵检测系统同时也能够针对恶意攻击按

照预定的响应方式进行实时响应。

详尽纪录报警事件信息

所有的网络攻击事件的详细信息都会被记录到入侵检测系统的

日志中，以备用户进行事后核查。并且所记录的日志信息可以作

为对攻击者实施法律制裁的依据，加强对用户信息系统的法律保

护。

网络攻击事件的统计分析

网络管理人员利用入侵检测系统可以便捷地统计分析出网络在

一段时间遭受了哪些攻击、哪种攻击方式最多、从哪里来的攻击

最严重等等。入侵检测系统产生的统计分析报表将是用户加强网

络安全建设的重要事实依据。

协助管理员加强网络安全的管理

借助入侵检测系统，网络管理人员可以随时了解人们正在访问的

信息，并且在有人试图偷窥或盗取敏感数据时及时觉察。入侵检

测系统具备的网络安全专家的入侵分析与判断能力，扩展了系统

管理员的安全管理能力。

入侵检测系统的工作原理

入侵检测系统一般分为传感器｛Sensor）和控制台｛Consol）两部分。

传感器负责监听、分析网络数据，发现攻击时发出报警，并按照预定的

响应规则对攻击事件做出响应；控制台负责接收报警，统计和分析报警

数据，并可以对传感器进行参数设置。那么入侵检测系统是如何实现上

述功能的呢？

,配置曾理Sensor

•本报警事件

侦听\•统计攻击事件

•分析攻击事件

•侦所网络该盘

报警

•分析网络流量

♦发送报警事件

•响应入侵行为

J第里

SensorConsol

图入侵检测系统工作原理图

传感器有一个或多个端口作为侦听网络数据的“探针”，被称为“侦

听端口:这些端口的工作模式被设置为“混杂模式”，因此它们可以接

收到网络中所有传输的数据包。通常，传感器的侦听端口通常连接在交

换机或集线器的端口上。连接在集线器上的侦听端口可以接收到集线器

上所有的流量；但是，在没有对交换机进行一定的设置之前，由于交换

机各端口之间的数据转发是以交换方式进行的，所以连接在交换机端口

上的侦听端口无法接收到交换机上其他端口的流量。因此，需要对部署

了传感器的交换机做端口镜像设置，将被监听的端口的数据流量转发到

侦听端口所连接的交换机端口上。

侦听端口接收到的网络数据包由入侵监测系统的检测器接收，进一

步做攻击分析。检测器会对数据包属性的多个方面进行检测，如数据包

长度、源地址、目标地址、数据包的内容等；采用的分析方法包括攻击

特征匹配分析、包状态检测分析、协议状态分析、流量异常检测等多种

检测方式。

入侵监测系统的检测器一旦发现网络流量中有攻击特征或可疑的行

为，将触发报警器向控制台发出攻击事件报警信息。报警信息被保存在

数据库中备查。

发现攻击行为后，入侵监测系统的响应器将根据预先设定的响应方

式对攻击行为做出响应，如中断TCP会话、，为造ICMP应答、通过防火

墙阻断等。

网络管理

一个完善的网络管理系统是计算机网络能够稳定可靠运行的保证。

所以网络管理对于我们的网络来说是至关重要的。网络管理做得好，至

少可以得到以下好处：

・确保工作不致中断，这对于网络系统是至关重要的；高性能的网

络有助于提高工作效率和竞争力，网络管理员必须确保这些网络应用能

顺利运行；

・可以确保网络的规模和性能随业务的扩展而增长，不致于拖业务

的后腿；

•可以确保教育网数据的安全性和一致性;

・降低网络维护的成本。

网络管理系统的重要性是不言而喻的。为了设计一个完善的网