如何从安全方面保护内网

• 计算机病毒的防御

计算机病毒的防御应该从两个方面着手：首先，应该提高内部网络管理人员以及使用人员的安全意识，养成正确上网、安全上网的好习惯。其次，应该加强技术上的防范措施，如使用高技术防火墙、使用防毒杀毒工具等。具体做法如下。

- 设置权限及口令  大多数计算机系统常用口令来控制对系统资源的访问，这是防病毒进程中，最容易实现，也是最经济的方法之一。网络管理员和终端操作员根据自己的职责权限，选择不同的口令，对应用程序数据进行合法操作，防止用户非法访问数据和使用网络资源。然而在网络系统中，由于认证信息要通过网上传递，口令很容易被攻击者从网络传输线路上窃取并破译，因此在设置口令时应注意：务必使用长度超过6个字符并且由字母（区分大小写）、数字、符号共同组成的较高强度的口令，加大口令破解的难度；口令要定期进行变更；不得写下口令或在电子邮件中传送口令。只要我们牢记以上几点，就能取得很好的保密，控制效果。  - 集中管理软件的安装  在网络上，软件的安装和管理方式是十分关键的，它不仅关系到网络维护管理的效率和质量，而且涉及到网络的安全性。好的安全防护软件能在几分钟内轻松地安装到组织里的每一个NT服务器上，并可下载和散布到所有的目的机器上，由网络管理员集中设置和管理，它会与操作系统及其他安全措施紧密地结合在一起，成为网络安全管理的重要部分，并且自动提供最佳的网络病毒防御措施。  - 实时杀毒，多层防御  当计算机病毒对网上资源的应用程序进行攻击时，这样的病毒存在于信息共享的网络介质上，因此就要在计算机硬件和软件、局域网服务器、网关、防火墙上层层设防，对每种病毒都实行隔离、过滤，而且完全在后台操作。  计算机网络是一个开放的系统，它可以同时运行多程序、多数据流业务。单机版的杀毒软件虽然可以查杀终端机上的病毒，但是只要计算机一上网依旧会被病毒感染，所以说单机版的杀毒软是无法彻底有效地查杀网络中的病毒，确保系统安全的。所以网络防毒一定要从网络系统的角度设计防毒解决方案，只有这样才能有效地查杀并杜绝病毒在网络上的传播与感染。

• 熟悉网络维护的内容

要保证局域网以及网内所有计算机、服务器的安全高效运行，首要的任务就是尽快熟悉网络――包括设备性能、拓扑结构、运行情况等，只有这样，才能做到心中有数，更好地管理、维护企业网络。

- 熟悉网络设备  需要明确网络设备的性能、作用、基本设置以及维护方法。熟悉尾纤的光接口类型，常用的有接光纤收发器的SC，也有接交换机光模块的LC，接光终端盒的FC等。网络设备工作状态怎么样?光纤收发器六个指示灯是否全亮，如果没全亮，检查光纤接口是否连接正确，本地的TX与RX是否与远端的TX和RX交叉连接。如果六个指示灯都不亮，可能为光路衰减太大，此时可用光功率仪测量接收端的光功率，再看看交换机上的光模块是否正常、光口是否启用等。检查HUB或交换机的状态指示灯是否正常，如果闪烁或常亮黄灯，表明数据包在网络上有阻塞现象，需要检查同一网段中是否有环路产生或是否有ARP病毒爆发，这需要查看交换机的日志来获得详细的信息。  - 熟悉网络的结构  要熟悉网络的结构布局。比如建筑物内部的网络布局、建筑物之间的网络布局以及单位内internet连接的情况等。要仔细研究网络拓扑图，清楚线路的走向，以及交换机之间的连接情况等。  - 熟悉网络的运行情况  要熟悉网络的运行情况。如统计网络正常运行时的状态、网络的使用效率以及网络资源的分配情况等。这样，当网络出现不稳定因素时，就可以快速地分析出故障缘由，从而找出发生故障的设备。实际工作中应着重注意以下几点：在整个网络上生成的传输量以及这些传输都集中在哪些网段？网络上传输的信息来源，是正常传输、人为攻击还是病毒？服务器达到了什么样的繁忙程度？能否在任意一个时刻满足所有用户的请求？除此之外，也可以借助一些网络辅助软件来统计，分析网络的运行情况。  - 熟悉网线的故障排除  网线的制作方式对网络传输速度的影响是非常大的，若不按照标准制作，来自网线自身的背景噪音以及内部串扰就会大大降低网络传输速度。为此一定要按照T568B标准制作网线。网线是局域网的血管，没有它信息就不能流通。某条线路突然中断，若连续几次ping都出现Request time out，表明网络不通了。故障通常包括网线内部断裂、双绞线和RJ-45水晶头接触不良以及双绞线是否采用标准线序连接等。T568B线序为：白橙、橙、白绿、蓝、白蓝、绿、白棕、棕，可以用测线仪来检测一下线路是否断裂及线序是否正确。

• 网络管理

网络不仅要建设好，更要管理好。不仅管理设备，更要约束上网行为。比如出现ARP病毒攻击等影响网络运行的问题时，一时没法判断到底是哪个用户引起的，可通过网络管理软件直接查看设备上接入了多少用户，其中哪些人是安全的、哪些人是不安全的，并且可以针对不安全的用户采取进一步的措施，如启动流量分析、发出告警、强制下线、设置带宽等方式有效管理接入终端。

首先，使用交换机巡检软件trayping进行检查，发现ping不通的交换机，及时查明原因。  其次，使用网管软件，如华为的H3C智能管理中心，可以实时查看网络链路情况，如果链路有故障，则线条变为红色，也可查看交换机是否工作正常，并自动生成网络拓扑图，实时对网络运行情况进行监测，在用户还未报修之前就获知网络所潜在的故障源。  再次，建立网络文档。当网络出现问题的时候，网络文档能够提供帮助，成为解决问题的向导，节省故障处理时间，并能帮助其他网络管理员了解网络结构，快速定位故障。

从安全方面保护内网的措施如下：

• 设置权限及口令：大多数计算机系统常用口令来控制对系统资源的访问，这是防病毒进程中，最容易实现，也是最经济的方法之一。网络管理员和终端操作员根据自己的职责权限，选择不同的口令，对应用程序数据进行合法操作，防止用户非法访问数据和使用网络资源。然而在网络系统中，由于认证信息要通过网上传递，口令很容易被攻击者从网络传输线路上窃取并破译，因此在设置口令时应注意：务必使用长度超过6个字符并且由字母（区分大小写）、数字、符号共同组成的较高强度的口令，加大口令破解的难度；口令要定期进行变更；不得写下口令或在电子邮件中传送口令。只要我们牢记以上几点，就能取得很好的保密，控制效果。

• 熟悉网络的结构：要熟悉网络的结构布局。比如建筑物内部的网络布局、建筑物之间的网络布局以及单位内internet连接的情况等。要仔细研究网络拓扑图，清楚线路的走向，以及交换机之间的连接情况等。

• 集中管理软件的安装：在网络上，软件的安装和管理方式是十分关键的，它不仅关系到网络维护管理的效率和质量，而且涉及到网络的安全性。好的安全防护软件能在几分钟内轻松地安装到组织里的每一个NT服务器上，并可下载和散布到所有的目的机器上，由网络管理员集中设置和管理，它会与操作系统及其他安全措施紧密地结合在一起，成为网络安全管理的重要部分，并且自动提供最佳的网络病毒防御措施。

• 实时杀毒，多层防御：当计算机病毒对网上资源的应用程序进行攻击时，这样的病毒存在于信息共享的网络介质上，因此就要在计算机硬件和软件、局域网服务器、网关、防火墙上层层设防，对每种病毒都实行隔离、过滤，而且完全在后台操作。

• 熟悉网络设备：需要明确网络设备的性能、作用、基本设置以及维护方法。熟悉尾纤的光接口类型，常用的有接光纤收发器的SC，也有接交换机光模块的LC，接光终端盒的FC等。网络设备工作状态怎么样?光纤收发器六个指示灯是否全亮，如果没全亮，检查光纤接口是否连接正确，本地的TX与RX是否与远端的TX和RX交叉连接。如果六个指示灯都不亮，可能为光路衰减太大，此时可用光功率仪测量接收端的光功率，再看看交换机上的光模块是否正常、光口是否启用等。检查HUB或交换机的状态指示灯是否正常，如果闪烁或常亮黄灯，表明数据包在网络上有阻塞现象，需要检查同一网段中是否有环路产生或是否有ARP病毒爆发，这需要查看交换机的日志来获得详细的信息。

• 熟悉网络的运行情况：要熟悉网络的运行情况。如统计网络正常运行时的状态、网络的使用效率以及网络资源的分配情况等。这样，当网络出现不稳定因素时，就可以快速地分析出故障缘由，从而找出发生故障的设备。实际工作中应着重注意以下几点：在整个网络上生成的传输量以及这些传输都集中在哪些网段？网络上传输的信息来源，是正常传输、人为攻击还是病毒？服务器达到了什么样的繁忙程度？能否在任意一个时刻满足所有用户的请求？除此之外，也可以借助一些网络辅助软件来统计，分析网络的运行情况。

• 熟悉网线的故障排除：网线的制作方式对网络传输速度的影响是非常大的，若不按照标准制作，来自网线自身的背景噪音以及内部串扰就会大大降低网络传输速度。为此一定要按照T568B标准制作网线。网线是局域网的血管，没有它信息就不能流通。某条线路突然中断，若连续几次ping都出现Request time out，表明网络不通了。故障通常包括网线内部断裂、双绞线和RJ-45水晶头接触不良以及双绞线是否采用标准线序连接等。T568B线序为：白橙、橙、白绿、蓝、白蓝、绿、白棕、棕，可以用测线仪来检测一下线路是否断裂及线序是否正确。