時間：2023-01-05 06:47:23
導語：在控制系統網絡安全的撰寫旅程中，學習并吸收他人佳作的精髓是一條寶貴的路徑，好期刊匯集了九篇優秀范文，愿這些內容能夠啟發您的創作靈感，引領您探索更多的創作可能。
摘要：隨著計算機技術的飛速發展，全球信息化已成為人類發展的大趨勢。網絡會計信息系統給人類帶來了方便快捷的信息服務，已經成為企業發展的重要保證。但由于計算機網絡的開放性、互連性和時空的無限性等特征，致使網絡會計信息系統的安全問題變得非常突出，安全控制顯得尤為重要。認識到這些安全問題，采取必要的防范技術與對策是網絡會計信息系統正常運行的基本保障。關鍵詞：網絡會計信息系統；安全控制；電子商務中圖分類號：F23
文獻標識碼：A
文章編號：16723198(2009)19027402網絡會計系統的誕生及應用，在給人類帶來方便快捷的信息服務的同時，由于其自身的開放性、資源的共享性等特點，也帶來了諸多安全問題。因此，加強系統安全控制及防范已顯得特別重要。1 網絡會計信息系統存在的主要問題(1)授權方式的改變和對系統程序質量的依賴，潛伏著巨大的安全控制風險。在網絡會計系統中，權限分工采用的主要形式是口令授權，而口令存放于計算機系統內，一旦口令被人竊取，便會帶來巨大的安全隱患。網絡會計的安全控制在一定程度上取決于系統中運行的應用程序的質量。一旦程序中存在嚴重的錯誤，便會危害系統安全。而會計人員的計算機專業知識有限，很難及時發現這些漏洞，致使系統會多次重復同一錯誤而擴大損失。(2)電子商務的普及，會計信息易于被篡改或偽造，將給網絡會計系統的安全控制帶來新的難題。IT技術迅猛發展，網上交易愈加普遍，電子商務將逐步普及。企業在利用Internet網尋找潛在貿易伙伴、完成網上交易的同時，也將自己暴露于風險之中。一旦企業的全部原始憑證采用數字格式，實現電子化，極易被修改甚至偽造而不留任何痕跡，勢必將加強企業對網上公證機構的依賴，電子單據的信息保真將顯得特別重要。但目前相關技術還不完全成熟、相應法規并不完善，這將給系統安全控制造成極大的困難。(3)會計信息儲存方式和媒介發生變化，會計業務缺乏有效牽制。網絡會計采用高度電子化的交易方式，對數據的正確性、交易及其軌跡均帶來新的變化。原始憑證在網絡業務交易時自動產生并存入計算機，交易的全過程均在電子媒介上建立、運算與維護，而且大量的數據錄入和交易發生在企業外部；網絡會計使會計介質繼續發生變化，更多的介質將電子化，出現各種發票、結算單等電子單據。存貯形式主要以網絡頁面數據存貯，網頁數據只能在計算機及相應的程序中閱讀。由于計算機的自動高效使工作人員減少，各種手續被合并到一起由計算機統一執行，從而不能像手工方式下一筆業務要經過幾道崗位才能被確認而相互牽制，成為內部控制的安全隱患。(4)網絡環境的開放性和動態性，加劇了會計信息失真的風險。在開放的網絡環境中，大量的會計信息通過Internet傳遞，各種服務器上的信息在理論上都可以被訪問，除非物理上斷開連接，否則就存在被截取、篡改、泄漏甚至黑客或病毒的惡意侵擾等安全風險。盡管信息傳遞的無紙化可有效避免人為原因導致的信息失真現象，但仍不能排除電子憑證、電子賬簿可能被隨意修改而不留痕跡的行為。由于缺乏有效的確認標識，信息接受方懷疑所獲取財務信息的真實性；信息發送方也擔心所傳遞的信息能否被接受方正確識別并下載，這無疑加大了網絡會計安全控制的難度。(5)網絡會計系統的復雜性，加大了稽核與審計的難度。網絡是一個由計算機硬件、軟件、操作人員和各種規程構成的復雜系統，該系統將許多不相容職責相對集中，加大了舞弊的風險；信息來源的多樣性，有可能導致審計線索紊亂；系統設計主要強調會計核算的要求，很少考慮審計工作的需要，往往導致系統留下的審計線索很少，稽核與審計必須運用更復雜的查核技術，且要花費更多的時間和更高的代價，這無疑將加大稽核與審計的難度和成本。2 網絡會計信息系統的安全控制對策2.1 法律、政策保障為了對付計算機犯罪，保護會計信息使用者的權益，國家應制定并實施計算機安全及數據保護法律，從宏觀上加強對信息系統的控制，為網絡會計系統提供一個良好的社會環境；盡快建立和完善電子商務法律法規，制定網絡會計環境下的有關會計準則，規范網上交易的購銷、支付及核算行為。2.2 建立和完善網絡會計系統的管理制度管理制度是保證企業實現網絡會計信息系統安全、準確、可靠的先決條件。它主要包括確定各種人員的職責范圍及其考核辦法的崗位責任制；制定密碼的使用和管理辦法及機房、保衛、數據資料安全等方面應遵循的安全保密制度；操作計算機應遵守的操作規程及注意事項的操作管理制度；規定數據輸入、輸出、存儲、查詢與使用應遵守的數據管理制度；規定系統維護的申請、審批和應完成任務的系統維護制度；修訂《會計檔案管理辦法》，重新規定會計檔案的范圍、保管辦法及領用手續的會計檔案管理制度。2.3 加強網絡會計系統的安全控制(1)硬件安全控制。網絡會計系統的可靠運行主要依賴于硬件設備，因此硬件設備的質量必須有充分保證。加強對硬件的維護，防止計算機出現故障導致會計信息丟失；為以防萬一，關鍵的硬件設備可采用雙系統備份。另外，計算機房應充分滿足防火、防水、防盜、防鼠、恒溫等技術條件，必要情況下可采用電子門鎖、指紋核對、用計算機控制人員進出等防范控制手段；機房內用于動力、照明的供電線路應與計算機系統的供電線路分開，配置UPS不間斷電源、防輻射和防電磁波干擾等設備，盡量采用結構化布線來安裝網絡，在埋設地下電纜的位置設立標牌加以防范；對用于數據備份的存貯介質應注意防潮、防塵和防磁，長期保存的磁介質存貯媒體應定期轉貯等。(2)軟件安全控制。軟件的安全控制主要是保證程序不被修改、不損毀、不被病毒感染，程序的安全與否直接影響著系統的正常運行。①及時下載和安裝系統補丁，堵住操作系統、數據庫管理系統和網絡服務軟件的漏洞。②按操作權限嚴格控制系統軟件的安裝與修改，按操作規程定期對系統軟件進行安全性檢查。當系統被破壞時，要求系統軟件具備緊急響應、強制備份、快速重構和快速恢復等功能。③系統軟件應盡量減少人機對話窗口，必要的窗口應力求界面友好，防錯糾錯能力強，不接受錯誤輸入。④增強系統軟件的現場保護和自動跟蹤能力，對一切非正常操作可以記錄。當非法用戶企圖登錄或錯誤口令超限額使用時，系統會鎖定終端，凍結此用戶標識，記錄有關情況，并立即報警。⑤分析研究各應用軟件的兼容性、統一性，使各業務系統成為基于同一種操作系統平臺的大系統，各種業務之間能相互銜接，相關數據能夠自動核對、校驗。⑥非系統維護人員不得接觸程序的技術資料、源程序和加密文件，減少程序被修改的可能性。(3)數據資源安全控制。①合理定義、應用數據子模式。即根據不同類別的用戶或應用項目分別定義不同的數據子集，對特定類型的用戶開放，以限制用戶輕易獲取全部會計數據資源。②合理設置網絡資源的屬主、屬性和訪問權限。資源屬主體現不同用戶對資源的從屬關系，如建立者、修改者等，資源屬性表示資源本身的存取特性，如讀、寫或執行等，訪問權限體現用戶對資源的可用程度。③建立數據備份和恢復制度。數據備份是數據恢復與重建的基礎，對每天的業務數據雙備份，建立目錄清單異地存放。同時對存儲在網絡上的重要數據在傳輸前進行有效加密，接收到數據后再進行相應的解密，并定期更新加密密碼。
④在操作系統中建立數據保護機構。調用計算機機密文件時應登錄用戶名、日期、使用方式和使用結果，修改文件和數據必須登錄備查。⑤設置外部訪問區域，明確企業內部網絡的邊界。訪問區域是系統接待外界網上訪問，與外界進行數據交換的邏輯區域。企業建立內聯網時，要詳細分析網絡的服務功能和結構布局，通過專用軟件、硬件和管理措施，實現會計系統與外部訪問區域之間的嚴密的數據隔離；在內部網和外部網之間的界面上構造保護屏障，防止非法入侵和使用系統資源，記錄所有可疑事件。⑥在開發應用軟件的技術選擇上也要考慮數據安全性問題。如在網絡財務軟件中應充分利用客戶服務器結構和Web應用的優點，對于決策支持、遠程查詢、報表遠程上報則采用Web的應用，可以提高財務數據安全性。(4)網絡安全控制。為了提高網絡會計系統的安全防范能力，必須從技術上對整個系統的各個層次都要采取安全防范與控制措施，建立綜合的多層次的安全體系。數據加密技術是保護會計信息通過公共網絡傳輸和防止電子竊聽的首選方法。現代加密技術分為對稱加密和非對稱加密兩大類。對稱加密是關聯雙方共享一把專用密鑰進行加密和解密運算，它所面臨的最大難題是密鑰網上分發的安全性問題。非對稱加密是將密鑰分為一把公鑰和一把私鑰，加密鑰不同于解密鑰、并且不能由加密鑰推出解密鑰，有效解決了密鑰分發的管理問題，更適合網絡應用環境。訪問控制技術的代表是防火墻技術，特別是已融和虛擬專用網及隧道技術的防火墻技術。防火墻是建立在企業內部網和外部網接口處的訪問控制系統，它對跨越網絡邊界的信息進行過濾。可設置內外兩層防火墻，外層防火墻主要用來限制外界對主機操作系統的訪問，內層防火墻主要用來邏輯隔離會計系統與外部訪問區域之間的聯系，限制外界穿過訪問區域對內聯網的非法訪問。(5)毒防范安全控制。防范病毒最有效的措施是加強安全教育，健全并嚴格執行防范病毒管理制度，在系統的運行與維護過程中高度重視病毒防范及相應技術手段與措施。具體措施有：系統采購更新要經病毒檢測后才可使用；對不需要本地磁盤的工作站，盡量采用無盤工作站；采用基于服務器的網絡殺毒軟件進行實時監控、追蹤病毒；在網絡服務器上安裝防病毒卡或芯片等硬件；財務軟件可掛接或捆綁第三方反病毒軟件，加強軟件自身防病毒能力；對所有外來軟件、介質和傳輸數據必須經過病毒檢查，嚴禁使用游戲軟件；及時升級本系統的防病毒產品，定期檢測并清除系統病毒。(6)電子商務控制。網絡會計系統的應用為跨國企業、集團企業實現遠程報表、報賬、查賬、審計及財務監控等處理功能創造了條件。網絡會計是電子商務的基石和重要組成部分，對電子商務活動也必須進行相應的管理與控制。主要措施有：合理建立與關聯方的電子商務聯系模式；建立網上交易活動的授權、確認制度，以及相應的電子文件的接收、簽發驗證制度；建立交易日志的記錄與審計制度，進行遠程處理規程控制。3 加強內部審計為了監督并提高系統運行質量，企業應設獨立的內部審計部門，在審計委員會或高層決策機構領導下工作。內部審計應包括：對會計資料定期進行審計，系統處理是否正確，是否遵照《會計法》及有關法律、法規的規定；審查電子數據與書面資料的一致性，做到賬表相符，對不妥或錯誤的賬表處理應及時調整；監督數據保存方式的安全合法性，防止發生非法修改歷史數據的現象；對系統運行各環節進行審查，防止存在漏洞；對網絡資源的使用、網絡故障、系統記賬等方面進行記錄和分析。4 培養高素質的財會人員網絡會計要求財會人員不僅能進行計算機操作，還要求能解決實際工作中出現的各種問題，所以應積極培養能掌握現代信息技術和會計知識及管理理論與實務的復合型人才。既要通過教育來提高他們的思想認識、安全防范意識和職業道德水準，嚴格執行各項規章制度，又要加強專業知識的學習和培訓，不斷提高計算機網絡的安全防范手段和應用水平，在對網上會計信息進行有效過濾的同時，防止非法訪問和惡意攻擊本企業的會計信息。要適應網絡會計的發展，企業必須注重人才的培養和開發，這是信息時代保證企業在激烈的市場競爭中制勝的關鍵所在。網絡會計信息系統隨著網絡技術和電子商務的發展不斷發展和完善。可以相信，隨著會計信息系統功能的不斷完善，越來越多的企業應用的不斷深入，它將會引發企業管理思想、經營理念和會計管理工作的變化。參考文獻[1]凌艷萍，梁燕華，成志軍.會計電算化[M].長沙：中南大學出版社，2006：226229.[2]潘婧.網絡會計信息系統的安全風險及防范措施[J].財會研究，2008，(2)：4849.[3]馮曉玲，任新利.網絡會計信息系統的安全技術研究[J].會計之友，2007，(11)：8990.[4]劉梅玲.網絡會計信息系統的安全技術探討[J].中國會計電算化，2004，(12)：89.[5]范艷梅，孫艷霞，辛瑩，等.淺析網絡會計中存在的問題及對策[J].商業經濟，2008，(6)：109110.
關鍵字：智能手機；安全；神經網絡；病毒病毒識別模型在智能手機監測中的優越性以及可行性。
0 引言
現階段，互聯網已成為當今社會不可或缺的一部分，智能手機的數量也是與日俱增，與此同時不斷發展的是手機病毒，手機病毒已成為現代病毒發展的趨勢。
所謂手機病毒，其實是一種破壞手機系統的程序，且其傳播手段極為廣泛，可通過短信、彩信、郵件、網站或者下載文件、藍牙等傳播，手機一旦被病毒感染就會根據所感染病毒程序的要求對手機實施破壞，其表現方式不盡相同，可以使關機、死機、刪除手機資料、自動通話、發郵件等，有的病毒還能夠破壞手機SIM卡和芯片等手機硬件設備。
怎樣才能避免手機遭受病毒的破壞？其主要措施還是殺毒軟件和防火墻：
①定期對殺毒軟件的病毒庫進行更新升級，盡可能的保證其擁有當時已出現的病毒程序的破解，若病毒庫中不存在某個病毒的特征，則殺毒軟件就不能對該病毒進行查殺。此外，現在的手機殺毒軟件病毒庫采用的是特征代碼法，病毒的細微的變化都需要病毒庫對其進行辨別，然而智能手機的存儲空間和運算能力都是有限的，所以這種防殺毒的方法對智能手機而言，并不是完美的。
②而智能手機的防火墻主要的作用是攔截騷擾電話等，而并不是對手機病毒進行監控，面對現存的多樣易變的病毒，防火墻更是顯得微不足道。
究竟該選擇何種方式來保護手機，這也是本文研究的重點―神經網絡。
1 神經網絡
神經網絡是依據生物神經的機制和原理，對信息進行處理的一種模型。它能夠模擬動物大腦的某些機制機理，實現一些特定的功能。人工神經網絡具有很大的優越性：
①具有自學功能。比如說，當對一幅圖像進行識別時，將各種不同的圖像樣本及其對應的結果輸入人工神經網絡，它就能夠自己學習識別相同類型的圖像。
②具有聯想存儲功能。人工神經網絡中的反饋網絡具備了聯想存儲的功能。
③具有高速尋找優化解的功能。
2 神經網絡安全監控系統
神經網絡安全監控系統就是監控手機應用程序，使手機的正常業務能夠順利進行，而對那些異常業務則進行阻止。所謂正常的業務就是那些手機用戶已知的、按照用戶的意愿運行的、并且其運行并不破壞用戶手機中的資源和產生額外費用的已經授權的程序。
通過神經網絡監控手機的而應用程序的流程圖如圖1所示：
圖1 神經網絡安全監控流程圖圖2 單層感知器神經網絡結構
神經網絡智能手機安全監控的第一步是獲取所運行程序的特征，然后借助于神經網絡的識別功能，對所提取的應用程序的行為特征進行識別，如果識別結果為病毒手機會向用戶發出提示信息，若不為病毒則程序將繼續運行。
3.1 程序行為特征的獲取
這里舉個例子說明。例如OwnSkin.A病毒，該病毒以手機主題的形式誘導手機用戶進行下載安裝，一旦該病毒被安裝進了手機，它就會在用戶不知情的情況下自動連接網絡，自動想外界批量發送短信，對手機收到的短信的信息內容進行刪除等等。從對病毒的描述詳細程度方面來說，病毒具有很多種特征，本文以3個為例，進行說明，這3個特征分別是有無按鍵、是否自啟動、是否特殊號碼，程序行為特征獲取的方法如下：
①針對手機自啟動的行為特征：每種手機的系統，都有其正常的程序啟動方式，例如Windows Mobile通過“啟動”設置，Symbian的系統式通過“Recognizer”來設置程序的啟動，Linux系統是將啟動語句加入/ect/init.d/rcs，或者/usr/etc/rc.local中，在程序啟動的時候對這些個位置進行監控，就可以很容易的判別其是否為自啟動。
②針對按鍵這個行為特征：塞班的系統對是否有按鍵這個行為特征的監控是粗略的監控，以短信為例，手機短信的使用一般是先按功能鍵啟動功能圖標，然后選取短信的圖標，接著是對短信內容的編輯，即一系列的數字鍵，監控可得到一個相應的按鍵序列，這樣就可以通過是否有按鍵這個行為特征來監測手機程序的啟動是否正常。
③針對“被叫號碼”和“文件信息”的特征： 對于被叫號碼主要執行的是，查看所要撥出去的電話號碼是否是設置在黑名單里的電話，對于文件信息則是查看信息中所添加的附件是否是安裝文件，如果是手機用戶之間的正常傳輸行為，則必定有按鍵行為特征，這樣也就會避免手機中的病毒程序隱蔽性的自啟動來傳輸文件。
3.2 神經網絡建模
仍舊以上述3個行為特征為例，將其三個特征分別用“0”或者“1”來表示，若無按鍵、自啟動、特殊號碼，其特征值都取“1”，反之則取“0”，這三個特征值一共組合成了8中可能出現的情況，將其標記為矩陣如下：
(1)
借助于神經網絡的識別功能，本文以單層單神經元的神經網絡為例進行說明，采用以下的參數對神經網絡進行設計：
該網絡包含有一個輸入向量，包汗三個元素，并且每個元素取0―1之間的值。
神經網絡中的神經元通過hardlim函數為傳輸手段，根據這個函數設計出如圖2所示的神經網絡結構,：
(2)
該結構輸出結果為二值向量“0”或者“1”，其中“0”表示不是病毒特征，“1”則表示是行為特征。
在智能手機的實際應用中，傳輸函數和網絡結構、層數極易神經元等的類型多種多樣，可根據病毒的實際情況進行選擇和應用，在此筆者只是舉個例子來論述神經網絡是如何識別網絡的。當網絡建好之后，就需要通過適當的方法對病毒樣本進行訓練得出誤差。
仍以上述例子為例進行訓練：
輸入向量為：p= ;目標向量選為：t= ,在MATLAB7.1的環境中對病毒進行訓練，根據所的結果得出訓練的誤差性能曲線，如圖3所示：
圖3 訓練誤差性能曲線
經過訓練并獲取矩陣權重，至此，神經網絡的建模基本完成，其模型為
a=hardlim(P1*2+P2*2+P3*1-3)
在手機中所執行的應用程序，計算程序的行為特征向量與病毒的行為特征向量（111）之間的歐式距離，當所得之數比程序的特征行為向量和正常行為特征向量之間的歐式距離大時，系統將將此程序判定為病毒。
運用神經網絡系統對手機進行監測不需要像殺毒軟件一樣需要定期更新，這對手機的安全具有更好的防護作用。
3結語
隨著現代社會智能手機數量的增多和日常化，網絡黑客技術也在不斷的發展和完善，因此智能手機安全問題已然不能忽視或者小視。本文針對這個問題，以及殺毒軟件和防火墻的不足之處，論述了神經網絡病毒識別模型在智能手機監測中的優越性以及可行性。
參考文獻
[1]劉一靜,孫瑩,藺洋. 基于手機病毒攻擊方式的研究[J]信息安全與通信保密, 2007, (12) .
[2]李錦. 手機病毒特點及防范對策[J]通信技術, 2009, (02) .
[3]楊建強,吳釗,李學鋒. 增強智能手機安全的動態惡意軟件分析系統[J]. 計算機工程與設計, 2010, (13) .
[4]智能手機安全防護框架淺析[J]. 信息安全與通信保密, 2010, (10).
1美國電力行業信息安全的戰略框架
為響應奧巴馬政府關于加強丨Kj家能源坫礎設施安全(13636行政令，即ExecutiveOrder13636-ImprovingCriticalInfrastructureCybersecurity)的要求，美國能源部出資，能源行業控制系統工作組(EnergySec*torControlSystemsWorkingGroup,ESCSWG)在《保護能源行業控制系統路線圖》(RoadmaptoSecureControlSystemsintheEnergySector)的基礎上，于2011年了《實現能源傳輸系統信息安全路線閣》。2011路線圖為電力行業未來丨0年的信息安全制定了戰略框架和行動計劃，體現了美國加強國家電網持續安全和可靠性的承諾和努力路線圖基于風險管理原則，明確了至2020年美國能源傳輸系統網絡安全目標、實施策略及里程碑計劃，指導行業、政府、學術界為共丨司愿景投入并協同合作。2011路線圖指出：至2020年，要設計、安裝、運行、維護堅韌的能源傳輸系統(resilientenergydeliverysystems)。美國能源彳了業的網絡安全目標已從安全防護轉向系統堅韌。路線圖提出了實現目標的5個策略，為行業、政府、學術界指明了發展方向和工作思路。(1)建立安全文化。定期回顧和完善風險管理實踐，確保建立的安全控制有效。網絡安全實踐成為能源行業所有相關者的習慣,，(2)評估和監測風險。實現對能源輸送系統的所有架構層次、信息物理融合領域的連續安全狀態監測，持續評估新的網絡威脅、漏洞、風險及其應對措施。(3)制定和實施新的保施。新一代能源傳輸系統結構實現“深度防御”，在網絡安全事件中能連續運行。(4)開展事件管理。開展網絡事件的監測、補救、恢復，減少對能源傳輸系統的影響。開展事件后續的分析、取證以及總結，促進能源輸送系統環境的改進。(5)持續安全改進。保持強大的資源保障、明確的激勵機制及利益相關者密切合作，確保持續積極主動的能源傳輸系統安全提升。為及時跟蹤2011路線圖實施情況，能源行業控制系統工作組(ESCSWG)提供了ieRoadmap交互式平臺。通過該平臺共享各方的努力成果，掌握里程碑進展情況，使能源利益相關者為路線圖的實現作一致努力。
2美國電力行業信息安全的管理結構
承擔美國電力行業信息安全相關職責的主要政府機構和組織包括：國土安全部(DHS)、能源部(1)0￡)、聯邦能源管理委員會(FEUC)、北美電力可靠性公司(NERC)以及各州公共事業委員會(PUC)。2.1國土安全部美國國土安全部是美國聯邦政府指定的基礎設施信息安全領導部I'j'負責監督保護政府網絡安全，為私營企業提供專業援助。2009年DHS建立了國家信息安全和通信集成中心(NationalCyhersecurityandCommunicationsIntegrationCenter,NCCIC),負責與聯邦相關部門、各州、各行業以及國際社會共享網絡威脅發展趨勢，組織協調事件響應w。
2.2能源部
美國能源部不直接承擔電網信息安全的管理職責，而是通過指導技術研發和協助項目開發促進私營企業發展和技術進步能源部的電力傳輸和能源可靠性辦公室(Office(>fElectricityDelivery<&EnergyReliability)承擔加強國家能源基礎設施的可靠性和堅韌性的職責，提供技術研究和發展的資金，推進風險管理策略和信息安全標準研發，促進威脅信息的及時共享，為電網信息安全戰略性綜合方案提供支撐。
能源部2012年與美國國家標準技術研究院、北美電力可靠性公司合作編制了《電力安全風險管理過程指南》(ElectricitySubsectorCybersecurityRiskManagementProcess)151;2014年與國土安全部等共同協作編制完成了《電力行業信息安全能力成熟度模型》(ElectricitySubsectorcybersecurityCapabilityMaturityModel(ES-C2M2)丨6丨，以支撐電力行業的信息安全能力評估和提升;2014年資助能源行業控制系統工作組(ESCSWG)形成了《能源傳輸系統網絡安全采購用語指南》(CybersecurityProcurementlanguageforEnergyDeliverySystems)171,以加強供應鏈的信息安全風險管理。
在201丨路線圖的指導下，能源部啟動了能源傳輸系統的信息安全項目，資助愛達荷國家實驗室建立SCADA安全測試平臺，發現并解決行業面臨的關鍵安全漏洞和威脅;資助伊利諾伊大學等開展值得信賴的電網網絡基礎結構研究。
2.3聯邦能源管理委員會
聯邦能源管理委員會負責依法制定聯邦政府職責范圍內的能源監管政策并實施監管，是獨立監管機構。2005年能源政策法案(EnergyPolicyActof2005)授權FERC監督包括信息安全標準在內的主干電網強制可靠性標準的實施。2007年能源獨立與安全法案(EnergyIndependenceandSecurityActof2007(EISA))賦予FERC和國家標準與技術研究所(National丨nstituteofStandardsan<丨Technology，NIST)相關責任以協調智能電網指導方針和標準的編制和落實。2011年的電網網絡安全法案(GridCyberSecurityAct)要求FKRC建立關鍵電力基礎設施的信息安全標準。
2007年FERC批準由北美電力可靠性公司制定的《關鍵基礎設施保護》(criticalinfrastructureprotection，CIPW標準為北美電力可靠性標準之中的強制標準，要求各相關企業執行，旨在保護電網，預防信息系統攻擊事件的發生。
2.4北美電力可靠性公司
北美電力可靠性公司是非盈利的國際電力可靠性組織。NERC在FERC的監管下，制定并強制執行包括信息安全標準在內的大電力系統可靠性標準，開展可靠性監測、分析、評估、信息共享，確保大電力系統的可靠性。
NERC了一系列的關鍵基礎設施保護(CIP)標準181作為北美電力系統的強制性標準;與美國能源部和NIST編制了《電力行業信息安全風險管理過程指南》，提供了網絡安全風險管理的指導方針。
歸屬NERC的電力行業協凋委員會(ESCC)是聯邦政府與電力行業的主要聯絡者，其主要使命是促進和支持行業政策和戰略的協調，以提高電力行業的可靠性和堅韌性'NERC通過其電力行業信息共享和分析中心(ES-ISAC)的態勢感知、事件管理以及協調和溝通的能力，與電力企業進行及時、可靠和安全的信息共享和溝通。通過電網安全年會(GridSecCon)、簡報，提供威脅應對策略、最佳實踐的討論共享和培訓機會;組織電網安全演練(GridEx)檢查整個行業應對物理和網絡事件的響應能力，促2.5州公共事業委員會美國聯邦政府對地方電力公司供電系統的可靠性沒有直接的監管職責。各州公共事業委員會負責監管地方電力公司的信息安全，大多數州的PUC沒有網絡安全標準的制定職責。PUC通過監管權力，成為地方電力系統和配電系統網絡安全措施的重要決策者。全國公用事業監管委員協會(NationalAssociationofRegulatoryUtilitycommissioners,NARUC)作為PUC的一■個聯盟協會，也采取措施促進PUC的電力網絡安全工作，呼吁PUC密切監控網絡安全威脅，定期審查各自的政策和程序，以確保與適用標準、最佳實踐的一致性%
3美國電力行業信息安全的硏究資源
參與美國電力行業信息安全研究的機構和組織主要有商務部所屬的國家標準技術研究院及其領導下的智能電網網絡安全委員會、國土安全部所屬的能源行業控制系統工作組，重點幵展電力行業信息安全發展路線圖、框架以及標準、指南的研究。同時，能源部所屬的多個國家實驗室提供網絡安全測試、網絡威脅分析、具體防御措施指導以及新技術研究等。
3.1國家標準技術研究院(NIST)
根據2007能源獨立與安全法令，美_國家標準技術研究院負責包括信息安全協議在內的智能電網協議和標準的自愿框架的研發。NISTf20102014發#了《?能電網互操作標準的框架和路線圖》(NISTFrameworkaridRoadmapforSmartGridInteroperabilityStandard)1.0、2.0和3.0版本，明確了智能電網的網絡安全原則以及標準等。2011年3月，NIST了信息安全標準和指導方針系列中的旗艦文檔《NISTSP800-39，信息安全風險管理》丨叫(NISTSpedalPublication800—39,ManagingInformationSecurityRisk)，提供了一系列有意義的信息安全改進建議。2014年2月，根據13636行政令，了《提高關鍵基礎設施網絡安全框架》第一版，以幫助組織識別、評估和管理關鍵基礎設施信息安全風險。
NIST正在開發工業控制系統(ICS)網絡安全實驗平臺用于檢測符合網絡安全保護指導方針和標準的_「.業控制系統的性能，以指導工業控制系統安全策略最佳實踐的實施。
3.2智能電網網絡安全委員會
智能電網網絡安全委員會其前身是智能電網互操作組網絡安全工作組(SGIP-CSWG)ra。SGCC一直專注于智能電網安全架構、風險管理流程、安全測試和認證等研究，致力于推進智能電網網絡安全的發展和標準化。在NIST的領導下，SGCC編制并進一步修訂了《智能電網信息安全指南》(NISTIR7628,GuidelinesforSmartGridCybersecurity),提出了智能電網信息安全分析框架，為組織級研究、設計、研發和實施智能電網技術提供了指導性T.具。
3.3國家電力行業信息安全組織(NESC0)
能源部組建的國家電力行業信息安全組織(NationalElectricSectorCybersecurityOrganization,NESCO)，集結了美國國內外致力于電力行業網絡安全的專家、開發商以及用戶，致力于網絡威脅的數據分析和取證工作⑴。美國電力科學研究院(EPRI)作為NESC0成員之一提供研究和分析資源，開展信息安全要求、標準和結果的評估和分析。NESCO與能源部、聯邦政府其他機構等共同合作補充和完善了2011路線圖的關鍵里程碑和目標。
3.4能源行業控制系統工作組(ESCSWG)
隸屬國土安全部的能源行業控制系統工作組由能源領域安全專家組成，在關鍵基礎設施合作咨詢委員會框架下運作。在能源部的資助下，ESCSWG編制了《實現能源傳輸系統信息安全路線圖》、《能源傳輸系統網絡安全釆購用語指南》。3.5能源部所屬的國家實驗室
3.5.1愛達荷國家實驗室(INL)
愛達荷W家實驗室成立于1949年，是為美國能源部在能源研究、國家防御等方面提供支撐的應用工程實驗室。近十年來，INL與電力行業合作，加強了電網可靠性、控制系統安全研究。
在美國能源部的資助下，INL建立了包含美國國內和國際上多種控制系統的SCADA安全測試平臺以及無線測試平臺等資源，目的對SCADA進行全面、徹底的評估，識別控制系統脆弱點，并提供脆弱點的消減方法113】。通過能源部的能源傳輸系統信息安全項目，INL提出了采用數據壓縮技術檢測惡意流量對SCADA實時網絡保護的方法hi。為支持美國國土安全部控制系統安全項目，INL開發并實施了培訓課程以增強控制系統專家的安全意識和防御能力。1NL的相關研究報告有《SCADA網絡安全評估方法》、《控制系統十大漏洞及其補救措施》、《控制系統網絡安全：深度防御戰略》、《控制系統評估中常見網絡安全漏洞》%、《能源傳輸控制系統漏洞分析>嚴|等。
3.5.2太平洋西北國家實驗室(PNNL)
太平洋西北國家實驗室是美國能源部所屬的闊家綜合性實驗室，研究解決美國在能源、環境和國家安全等方面最緊迫的問題。
PNNL提出的安全SCADA通信協議(secureserialcommunicationsprotocol,SSCP)的概念，有助于實現遠程訪問設備與控制中心之間的安全通信。的相關研究報告有《工業控制和SCADA的安全數據傳輸指南》等。PNNL目前正在開展仿生技術提高能源領域網絡安全的研究項。
3.5.3桑迪亞國家實驗室(SNL)
桑迪亞國家實驗室是能源部所屬的多學科國家實驗室，也是聯邦政府資助的研究和發展中心。SNL的研究報告有《關鍵基礎設施保護網絡漏洞評估指南》、《控制系統數據分析和保護安全框架》、《過程控制系統的安全指標》I1'《高級計量基礎設施安全考慮》、《微電網網絡安全參考結構》等。在能源部的資助下，SNL開展了關于供應鏈威脅的研究項目，形成的威脅模型有助于指導安全解決方案的選擇以及新投資的決策hi。
4美國電力行業信息安全的運作策略
4.1標準只作為網絡安全的基線
NERC的關鍵基礎設施保護標準(CIP)作為強制性標準，是電力行業整體網絡安全策略的重要內容。CIP標準與電網規劃準則、系統有功平衡與調頻、無功平衡與調壓、安全穩定運行等系列標準相并列，成為北美大電網可靠性標準的重要組成部分。目前強制執行的是CIP-002至C⑴-009共8個標準的第3版。文獻1丨6]提供了CIP-002至CIP-009主要內容的描述列表。C〖P第5版近期已通過FERC批準即將于2016年實施。第5版新增了CIP-010配置變更管理和漏洞評估、C1P-011信息保護2個強制標準。
目前配電系統沒有強制標準，但NIST將C1P標準融入了智能電網互操作框架中。智能電網互操作框架雖然是自愿標準，但為配電系統提供了信息安全措施指導為系統性的指導智能電網信息安全工作，NIST組織編制了《美國智能電網信息安全指南》，提出了一個普適性的智能電網信息安全分析框架，為智能電網的各相關方提供了風險評估、風險識別以及安全要求的實施方法。DOE編制的《電力行業信息安全風險管理過程指南》提供了電力行業信息安全風險管理的方法[5】。DOE與DHS合作編制的《信息安全能力成熟度模型》(ES-C2M2)i6i，通過行業實踐幫助組織評估、優化和改善網絡安全功能，促進網絡安全行動和投資的有序開展以及信息安全能力的持續提升。2014年NIST了《提高關鍵基礎設施網絡安全框架》也作為電力行業網絡安全自愿標準。文獻f17]提到只有21%的公用事業采取了NERC推薦的預防震網措施，可見自愿標準的執行率偏低強制執行的CIP標準在大電力系統網絡安全方面確實發揮了基礎作用，然而網絡威脅的快速變化以及每個組織面對的風險的獨特性，強制性標準在某種程度上影響企業采取超過但不同于最低標準的合適的防護措施。文獻丨3]提出目前將強制性的解決方案擴展到配電網不是有效的方法，聯邦政府也在考慮縮小強制性范圍。持續提升網絡安全水平不能僅僅依賴于標準的符合度，監督管理不能保證安全。電力行業的網絡安全需要整體的網絡安全戰略，包括安全文化建設、共享與協作、風險管理等。無論是強制性的標準還是非強制性的標準都只是信息安全的最低要求'4.2安全文化建設成為信息安全路線圖首要策略
對能源傳輸系統安全風險的認知缺失或識別能力的不足，缺少有效的安全策略和技術環境訓練的人員，將阻礙能源行業的持續安全。安全文化建設已成為201丨路線圖的首要策略，以提升電力行業網絡安全運作的主動性。2011路線圖提出重點從最佳實踐、教育、認證等方面加強信息安全文化建設，以實現能源傳輸系統的最佳實踐被廣泛使用、具備能源傳輸和網絡安全技能的行業人員明顯增長等中長期目標'最佳實踐傳遞的目標效果是網絡安全實踐成為能源行業所有相關者的習慣。相關國家實驗室圍繞各自研究方向總結了評估方法、漏洞補救措施、操作指南等一系列最佳實踐。如INL根據其多年SCADA漏洞評估經驗，編制了《能源傳輸系統漏洞分析》、《SCADA網絡安全評估方法》等。PNNL編制的《丁業控制和SCADA系統的安全數據傳輸指南》，為工業控制系統提供了能及時發現并阻止人侵的數據傳輸結構。NIST將最佳實踐融入了安全框架、指南和導則中，如《提高關鍵基礎設施網絡安全框架》、《工業控制系統網絡安全指南》等。NESCO、NERC等通過電網安全年會等多種方式提供了最佳實踐的交流機會。
關鍵詞：醫院信息系統；網絡安全控制系統
中圖分類號：TP393文獻標識碼：A文章編號：1009-3044(2012)11-2470-02
A Hospital Network Security Solutions
LIU Chang-sheng，SHI Wei
(Information Department of No.105 Hospital of PLA, Heifei 230031, China)
Abstract: With the development of hospital information systems, network and information security issues become increasingly prominent, and how to ensure the running of medical information in a safe and stable state, became the new issue of the hospital information. The article introduces the security status of the hospital information system and analyzed make a positive contribution with safe and stable operation of the hospital network after using a corporate network security control system.
Key words: hospital information system; network security control system
1醫院信息系統安全現狀
隨著計算機技術的迅速發展以及廣泛應用，計算機在醫學領域的使用也得到廣泛的運用。醫院信息系統是誕生于20世紀初的產物，當時單機版的收費系統代替了傳統的手工收費，隨著技術的不斷發展，院內局域網模式的醫院信息系統在全國醫院如雨后春筍般的出現，同時隨著國家醫療保險政策的不斷完善，醫院信息系統已經由院內局域網模式逐步走向全市、全省乃至全國聯網的發展模式。醫院信息系統正在變成醫療體系結構中不可或缺的基礎架構,然而在計算機和互聯網快速發展的今天,其安全問題也逐漸突顯出來阻礙信息化的進一步發展[1]。
我院醫院信息系統（HIS系統）目前采用C/S架構模式，各種服務器20余臺，HIS終端近600臺，與合肥市、安徽省各縣市實現了醫保聯網，醫院網絡已經由封閉走向了開放的模式。醫院網絡環境的復雜使得網絡面臨了重大的安全隱患，既要保證醫院合法用戶對信息訪問，又要對其進行相應的權限控制；既要保證內網與外網信息的傳輸通暢，又要保證內網的信息安全。因此，如何管理網絡中數量龐大、安全脆弱的電腦終端，如何保障機密數據不被泄露、篡改和非法訪問，如何持續監控支持關鍵業務的各種軟件、硬件系統是否在正常運行，如何讓IT維護人員由疲于奔命的“救火隊員”變為“防火隊員”，這些成了現今網絡安全管理的重大問題。
2醫院信息系統安全處理措施
針對網絡環境的復雜性，網絡安全管理必須要做到以下幾點：1）主動性：要能自動發現網絡上的所有終端，并能準確掌握每臺終端的管理狀態；2）可控性：未經許可的終端非法接入要禁止其訪問內部資源；3）方便性：安全管理要方便IT維護人員。我院主要采用某公司的安全管理控制系統實行對全院網絡安全運行的監管。其功能主要具備四大部分：準入控制、系統安全、信息安全、桌面安全管理。
2.1準入控制
醫院網絡處于高度開放的狀態，網路接入點遍布醫院各角落，只要具備一定的網絡基礎知識就可以通過設備非法接入醫院網絡，對網絡安全造成極大地危害。通過控制系統的準入控制功能實現對局域網中的各種設備的接入進行控制，禁止設備的非法接入，通過與智能交換機的結合使得只有安裝了控制系統的設備才允許訪問網絡，同時可以監測接入網絡的設備是否已經安裝了該控制系統，對于沒有安裝該系統的設備禁止其訪問網絡，保證了對網絡訪問的安全性。而且控制系統還能根據設備的IP、MAC等信息找到設備的物理位置，準確找到非法用戶的存在。
2.2系統安全
即使合法接入醫院網絡的設備同樣也存在著眾多安全隱患，控制系統提供了詳細的系統安全管理方案。包括防病毒管理、上網行為管理、網絡異常分析、軟件進程的管理等功能。通過系統定義的各種符合醫院實際的策略實施到各客戶端，可以有效的對各客戶端進行管理，策略內的操作可以正常使用，一旦操作超過策略以外，就會提示用戶沒有權限使用此功能，可以有效的避免了操作員的誤操作對系統造成的破壞。由于醫院通過電信光纖接入省市醫保中心，所以使用外網的權限要得到有效的控制，否則將對醫院的網絡安全造成極大地威脅。通過控制系統的上網策略限制只有某些有權限的用戶可以使用外網功能，即使其他用戶將計算機脫離院內局域網也無法使用互聯網功能。
2.3信息安全
防信息泄露作為安全管理套件的核心子系統，將基于文件驅動的透明加解密技術和網絡準入控制技術有效結合，全面徹底地解決了文檔泄密和數據庫泄密問題。
傳統的防止數據庫泄密問題是通過審計手段即通過主機上的日志審計和基于網絡監聽的數據包審計實現，此種方法只能用于事后追查，無法做到事前防范。安全管理控制系統通過強制手段解決信息泄密防護問題，變事后審計為事前防范，防止內部用戶泄露數據庫信息內容。
文檔信息防泄密通過多種加密算法對文檔進行加密，采用基于PKI體系的文檔權限管理控制，支持文件證書、UKEY等。同時對設備U盤等移動存儲介質實行全面管控，禁止非授權移動存儲介質在內網使用，防止內部移動存儲介質在外部非法使用，這樣大大降低介質丟失后泄密的安全風險，同時也可以保證內外網數據交換安全、方便。
2.4桌面安全管理
醫院現有各種設備終端近600余臺，設備的日常維護需要很大的工作量。當遇到需要現場操作的時候，維護人員就會出現滿院跑的現象，浪費時間精力。控制軟件的桌面管理功能提供了補丁管理、軟件分發、資產管理、遠程協助和管理、拓撲管理等功能。可以自動從系統廠商下載補丁，自動檢查客戶端需要安裝的補丁、已經安裝的補丁和未安裝的補丁。統一制定策略定時/即時和自動/手動安裝需要的補丁。可對數量龐大的桌面電腦做統一的軟件自動分發和安裝，將安裝包準確地分發到目標桌面電腦，支持中繼方式進行軟件包分發，能自動緘默安裝、自動彈出界面強制安裝、提示用戶手工安裝等。支持對Windows98、2000、XP等系統的桌面遠程控制。
3總結
醫院信息系統牽涉面廣，要保證網絡的安全，不僅保證服務器、網絡操作系統、網絡設備、網絡線路以及數據庫的安全穩定運行，還要依靠安全控制系統對醫院網絡實行有效的監管和控制，讓網絡處于可控范圍內，這樣才能保證網絡一直處于安全穩定的運行狀態。[2]
參考文獻:
工業控制系統(ICS)是綜合運用信息技術、電子技術、通信技術和計算機技術等，對現場設備進行檢測控制，實現工業技術生產過程自動化的應用系統。ICS在冶金、電力、石化、水處理、鐵路、食品加工等行業，以及軍工的航空、航天、船舶、艦艇、潛艇等領域的自動化生產管理系統中都得到了廣泛地應用。
1 工業控制系統安全現狀
與傳統信息系統安全需求不同，ICS設計需要兼顧應用場景與控制管理等多方面因素，并且優先考慮系統的高可用性和業務連續性。鑒于ICS的特定設計理念，缺乏有效的工業安全防御和數據通信保密措施是很多ICS所面臨的共同問題。
傳統的ICS多為車間/廠區局域網ICS，系統特點包括專有網絡、專有操作系統、無以太網絡、沒有因特網的鏈接。從網絡安全角度，系統是安全的。
現今的ICS開始與互聯網或辦公網直接/間接互聯，形成從控制網到信息網的大系統ICS，系統特點包括以太網無處不在、無線設備、遠程配置和監控、Windows和Linux等流行操作系統。從網絡安全角度，系統存在巨大安全隱患，很容易被黑客攻擊。
2 工業控制系統安全漏洞及風險分析
隨著工業信息化進程的快速推進，物聯網技術開始在工控領域廣泛應用，實現了系統間的協同和信息分享，極大地提高了企業的綜合效益。與此同時，暴露在互聯網等公共網絡中的工業控制系統也必將面臨病毒、木馬、黑客入侵、拒絕服務等傳統的信息安全威脅，而且由于工業控制系統多被應用在電力、交通、石油化工、核工業等國家重要行業中，其安全事故造成的社會影響和經濟損失會更為嚴重。
2.1工業控制系統安全漏洞
工業控制系統安全漏洞包括：策略與規則漏洞、平臺漏洞、網絡漏洞。
2.1.1 策略與規則漏洞
缺乏工業控制系統的安全策略、缺乏工業控制系統的安全培訓與意識培養、缺乏工業控制系統設備安全部署的實施方法、缺乏工業控制系統的安全審計、缺乏針對工業控制系統的配置變更管理。
2.1.2 平臺漏洞
平臺漏洞包括：平臺配置漏洞、平臺硬件漏洞、平臺軟件漏洞、惡意軟件攻擊。
(1)平臺配置漏洞
包括關鍵配置信息未備份、關鍵信息未加密存儲、沒有采用口令或口令不滿足長度和復雜度要求、口令泄露等。
(2)平臺硬件漏洞
包括關鍵系統缺乏物理防護、未授權的用戶能夠物理訪問設備、對工業控制系統不安全的遠程訪問。
(3)平臺軟件漏洞
包括拒絕服務攻擊(DOS攻擊)、采用不安全的工控協議、采用明文傳輸、未安裝入侵檢測系統與防護軟件等。
(4)惡意軟件攻擊
包括未安裝防病毒軟件等。
2.1.3 網絡漏洞
(1)網絡配置漏洞
包括有缺陷的網絡安全架構、口令在傳輸過程中未加密、未采取細粒度的訪問控制策略、安全設備配置不當。
(2)網絡硬件漏洞
包括網絡設備的物理防護不充分、未采取有效的措施保護物理端口、關鍵網絡設備未備份。
(3)網絡邊界漏洞
包括未定義網絡安全邊界、未部署防火墻或配置不當、未采取信息流向控制措施。
2.2 工業控制系統安全風險分析
電力故障、自然災害、軟硬件故障、黑客攻擊、惡意代碼都會對ICS系統產生影響。其中，電力故障、自然災害和軟/硬件故障，屬于信息安全范疇之外，而非法操作、惡意代碼和黑客攻擊作為信息安全威脅的主要形式，往往很難被發現或控制，對ICS網絡安全運行的威脅和影響也最大。
(1)利用USB協議漏洞在U盤中植入惡意代碼
U盤內部結構：U盤由芯片控制器和閃存兩部分組成，芯片控制器負責與PC的通訊和識別，閃存用來做數據存儲;閃存中有一部分區域用來存放U盤的固件，控制軟硬件交互，固件無法通過普通手段進行讀取。
USB協議漏洞：USB設備設計標準并不是USB設備具備唯一的物理特性進行身份驗證，而是允許一個USB設備具有多個輸入輸出設備的特征。
這樣就可以通過U盤固件逆向重新編程，將U盤進行偽裝，偽裝成一個USB鍵盤，并通過虛擬鍵盤輸入集成到U盤固件中的惡意代碼而進行攻擊。
(2)利用組態軟件數據庫漏洞進行攻擊
ICS系統采用的組態軟件，缺乏安全防護措施，往往公開訪問其實時數據庫的途徑，以方便用戶進行二次開發，從而可利用此漏洞，遠程/本地訪問數據庫，獲取全部數據庫變量，選取關鍵數據進行訪問并篡改，從而達到攻擊目的。
2.3 工業控制系統信息安全風險總結
病毒：可引起工控設備或網絡故障，破壞生產過程數據或影響網絡正常服務，如蠕蟲病毒等。
緩沖區溢出攻擊：利用設計漏洞進行的攻擊。
拒絕服務攻擊：惡意造成拒絕服務，造成目標系統無法正常工作或癱瘓，或造成網絡阻塞。
網絡嗅探：可捕獲主機所在網絡的所有數據包，一旦被惡意利用，獲取了目標主機的關鍵信息則可對目標主機實施進一步攻擊。
IP欺騙：可通過技術手段利用TCP/IP協議缺陷，偽裝成被信任主機，使用被信任主機的源地址與目標主機進行會話，在目標主機不知的情況下實施欺騙行為。
口令破解：攻擊者若通過一定手段取得用戶口令，提升權限進入目標系統，對目標主機進行完全控制。
3 工業控制系統安全檢查
3.1 檢查對象
包括工藝、工程分析、控制系統信息安全后果分析、安全防護能力分析等。
3.2 檢測方式
包括訪談、現場測試、離線測試、測試床或另外搭建測試環境測試。
3.3 檢測內容
應包括信息流轉過程中遇到的一切鏈路、設備(硬件程序、模塊組件)、人員等。
管理檢查需要準備的資料：信息安全相關管理制度和安全策略;設備保密管理制度;系統運行管理制度、產品供應商(或者商)、系統集成商等提供的資質證明、授權證明、合格證書等。
技術檢查需要準備的資料：招標合同技術規格書;詳細設備清單;設備配置及使用說明;網絡拓撲圖;輸入輸出端口信息;DNC服務器配置及使用說明;設備的連接說明、功能說明、操作手冊。
運維檢查需要準備的資料：運行維護管理制度、訪問控制端口設置情況記錄、運行維護報告、應急預案方案、應急演練記錄。
3.4 檢測重點
重點檢查輸入輸出端口使用、設備安全配置、運維安全措施的落實情況，同時檢查資產管理情況，訪問控制策略、備份及應急管理等方面。
4 結束語
通過上面的分析與研究，工業控制系統還存在許多的漏洞和安全風險，只有充分認識到這些漏洞，才能利用信息安全手段不斷的處置這些漏洞，使風險降到最低。同時我們應該認識到，工業控制系統信息安全技術是一門不斷深入發展的技術，隨著工業控制系統廣泛應用和不斷發展，其信息安全必將面臨更加嚴峻的挑戰，隨之信息安全技術的研究也必將快速推進。
【關鍵詞】SCADA系統；信息安全
成品油管道輸送過程中高度的自動化工業控制手段是確保管道安全、穩定輸送成品油的前提，近年來為了實現實時數據采集與生產控制，滿足“兩化融合”的需求和管理的方便，工業控制系統和企業管理系統往往需要直接進行通信，而企業管理系統一般直接連接Internet，在這種情況下，工業控制系統也面臨著來自Internet的威脅。因此建立成品油管道企業SCADA系統的安全防護體系和安全模型，對確保SCADA系統安全穩定運行，加速實現“數字化管道”的進程具有重要的現實意義，是當前管道企業自動化控制系統建設中亟待解決的大問題。
一、華南管網生產網現狀及特點
銷售華南分公司作為石化企業最長的成品油長輸管道，典型的資金和技術密集型企業，負責西南及珠三角3千多公里的成品油輸送業務，管道全線由國際上先進的SCADA系統完成對輸油管道生產過程的數據采集、監視、水擊保護與控制，批量計劃、批次編排與輸送，管道泄漏檢測與定位等任務。華南管網的生產運行以調控中心操作控制為主，管道生產的連續性很強，裝置和重要設備的意外停產都會導致巨大的經濟損失，生產管理上更注重安全和平穩運行。SCADA控制網絡由DCS、PLC和SCADA等控制系統構成，生產網在數據采集方面，采用開放性設計。開放性設計是當今系統設計的基本要求，它要求計算機軟硬件廠家共同遵守通用的國際標準，以實現不同廠家設備之間的通訊。整個華南管網SCADA系統采用OPC協議、IEC 104協議、Modbus協議等通用標準接口與幾十家甚至上百家的第三方設備通訊，采集足夠的管線運行參數，如液位、溫度、電氣、陰保、密度等信號，確保對管線的有效監控。具體架構見圖1所示。
在通信方式上，為確保監控數據及時、準確、安全的傳輸，采用沿管線敷設通信光纜線路方式，建立基于光同步數字傳輸系統下多業務傳輸平臺（MSTP）的綜合性通信網絡，通過MSTP通信信道（主用信道）和公網SDH 2M信道（備用信道）方式進行數據傳輸和保護，以實現對沿線站場及線路SCADA實施遠距離的數據采集、監視控制、安全保護和統一調度管理。在數據交換上，采用思科路由交換設備構建，使用EIGRP路由協議作為主干路由協議，負責整個網絡的路由計算，具體網絡拓撲見圖2。
二、生產網絡安全隱患分析
1.操作系統安全漏洞
目前公司主要采用通用計算機（PC）+Windows的技術架構，操作系統使用WINDOWS SERVER 2003、WINDOWS SERVER 2008。當今的DCS廠商更強調開放系統集成性，各DCS廠商不再把開發組態軟件或制造各種硬件單元視為核心技術，而是紛紛把DCS的各個組成部分采用第三方集成方式或OEM方式。這一思路的轉變使得現代DCS的操作站完全呈現PC化與Windows化的趨勢。PC+Windows的技術架構現已成為控制系統操作站（HMI）的主流，任何一個版本的Windows自以來都在不停的漏洞補丁，為保證過程控制系統相對的獨立性，現場工程師通常在系統正式運行后不會對Windows平臺打任何補丁，更為重要的是打過補丁的操作系統沒有經過制造商測試，存在安全運行風險。但是與之相矛盾的是，系統不打補丁就會存在被攻擊的漏洞，即使是普通常見病毒也會遭受感染，可能造成Windows平臺乃至控制網絡的癱瘓。
2.網絡通信協議存在安全漏洞
OPC協議、Modbus協議等通用協議越來越廣泛地應用在工業控制網絡中，隨之而來的通信協議漏洞問題也日益突出。例如，OPCClassic協議（OPCDA，OPCHAD和OPCA&E）基于微軟的DCOM協議，DCOM協議是在網絡安全問題被廣泛認識之前設計的，極易受到攻擊，并且OPC通訊采用不固定的端口號，導致目前幾乎無法使用傳統的IT防火墻來確保其安全性。因此確保使用OPC通訊協議的工業控制系統的安全性和可靠性給工程師帶來了極大的挑戰。
3.殺毒軟件漏洞
為了保證工控應用軟件的可用性及穩定性，目前部分工控系統操作站不安裝殺毒軟件。即使安裝了殺毒軟件，在使用過程中也有很大的局限性，原因在于使用殺毒軟件很關鍵的一點是，其病毒庫需要不定期的更新，這一要求尤其不適合于工業控制環境。而且殺毒軟件對新病毒的處理總是滯后的，這容易導致大規模的病毒攻擊，特別是新病毒。
4.應用軟件漏洞
由于應用軟件多種多樣，很難形成統一的防護規范以應對安全問題；另外當應用軟件面向網絡應用時，就必須開放其應用端口。因此常規的IT防火墻等安全設備很難保障其安全性。互聯網攻擊者很有可能會利用一些大型工程自動化軟件的安全漏洞獲取設備的控制權，一旦這些控制權被不良意圖黑客所掌握，那么后果不堪設想。
5.缺乏有效的網絡監控手段
缺乏統一的網絡和業務系統監控平臺，主要體現在以下四個方面。
第一是隨著生產網絡不斷拓寬，對網絡的依賴越來越大，要求對網絡管理的內容日趨增多，包括網絡管理、性能管理、應用管理、使用管理、安全系統等內容。第二是業務服務的規模增大，規劃、維護、安全、管理等分工更加細致，管理迫切要求對業務服務管理和維護建立統一的、規范的、體系化的、層次化的服務管理。第三是多設備、多系統的運行信息、告警信息的多樣化，需要對這些信息進行集中化的管理，進行智能化的分析、統計，得出有利于網絡管理和維護的數據，便于更有效、更快捷的解決問題。第四是管理人員不斷增多，管理流程日益復雜，管理成本不斷上升，技術管理體系需要完善。
6.網絡未有效隔離
公司生產網與Internet網間缺乏安全有效的隔離。隨著互聯網日新月異的發展和企業集團信息化整合的加強，中石化總部提出了生產數據集中采集，通過廣域網實現集團內部資源共享、統一集團管理的需求，企業信息化網絡不再是單純意義上的Intranet，而Internet接入也成為必然。Internet接入減弱了控制系統、SCADA等系統與外界的隔離，容易造成蠕蟲、木馬等病毒的威脅向工業控制系統擴散。
7.缺乏有效的訪問控制手段
操作站（PC）和服務器提供了過多的硬件接口，光盤、移動硬盤等存儲介質未經安全檢測就使用給網絡安全帶來了隱患；筆記本電腦等非生產終端設備未經過準入許可，通過網絡節點接入后，在未授權的情況下便可以訪問和操控控制網絡系統，也存在安全隱患。
三、生產網絡安全方案設計原則
針對以上存在的安全隱患，通過目前大型企業網絡設計及建設經驗，結合生產網絡的特點，生產網絡系統在安全方案設計、規劃過程中，應遵循以下原則：
綜合性、整體性原則：應用系統工程的觀點、方法，分析網絡的安全及具體措施。安全措施主要包括：行政法律手段、各種管理制度（人員審查、工作流程、維護保障制度等）以及專業措施（識別技術、存取控制、密碼、低輻射、容錯、防病毒、采用高安全產品等）。一個較好的安全措施往往是多種方法適當綜合的應用結果。一個計算機網絡，包括個人、設備、軟件、數據等，這些環節在網絡中的地位和影響作用，也只有從系統綜合整體的角度去看待、分析，才能取得有效、可行的措施。即計算機網絡安全應遵循整體安全性原則，根據規定的安全策略制定出合理的網絡安全體系結構。
需求、風險、代價平衡的原則：對任一網絡，絕對安全難以達到，也不一定是必要的。對一個網絡進行實際研究（包括任務、性能、結構、可靠性、可維護性等），并對網絡面臨的威脅及可能承擔的風險進行定性與定量相結合的分析，然后制定規范和措施，確定本系統的安全策略。
一致性原則：一致性原則主要是指網絡安全問題應與整個網絡的工作周期（或生命周期）同時存在，制定的安全體系結構必須與網絡的安全需求相一致。安全的網絡系統設計（包括初步或詳細設計）及實施計劃、網絡驗證、驗收、運行等，都要有安全的內容及措施。實際上，在網絡建設初期就考慮網絡安全對策，比在網絡建設好后再考慮安全措施，不但容易，且花費也少得多。
分步實施原則：由于網絡系統及其應用擴展范圍廣，隨著網絡規模的擴大及應用的增加，網絡脆弱性也會不斷增加。一勞永逸地解決網絡安全問題是不現實的。同時由于實施信息安全措施需相當的費用支出。因此分步實施，即可滿足網絡系統及信息安全的基本需求，亦可節省費用開支。
多重保護原則：任何安全措施都不是絕對安全的，都可能被攻破。但是建立一個多重保護系統，各層保護相互補充，當一層保護被攻破時，其它層保護仍可保護信息的安全。
四、生產網絡安全保障的主要方法和措施
華南管網生產網的安全建設前提必須是確保生產應用系統的正常穩定，由于目前控制系統應用軟件對網絡穩定性及計算機性能要求較高，安全系統建設應基于不增加系統負擔，不過大占用網絡帶寬，不因安全設備的安裝增加故障點的前提考慮，盡可能進行網絡加固監控，實現對網絡安全事件的“事前、事中、事后”全程監控防范。現就生產網的建設提出自己的想法和建議，基本架構及方法如圖3。
1.采用網絡隔離技術，實現內外網數據安全交互
隔離防護系統建設必須遵循“安全隔斷、適度交換”的設計原則，當用戶的網絡需要保證高強度的安全，同時又與其它不信任網絡進行信息交換的情況下，采用數據通道控制技術，在保證內網系統和信息安全的前提下，實現內外網之間數據的安全、快速交換。采用多重安全機制、綜合防范策略，徹底避免來自操作系統、命令、協議等已知和未知的攻擊。目前此類安全產品以隔離網閘為代表，通過專用硬件使兩個網絡在物理不連通的情況下實現數據的安全傳輸。
2.建立綜合網管系統，全面完整掌握網絡運行狀況
目前生產網所要管理的資源包括網絡、主機、安全、數據庫、中間件、業務系統等，通過采集以上資源全部告警狀態信息、配置信息及性能信息，并與通信資源庫進行關聯，實現對全網的拓撲管理、配置信息管理、業務管理、故障管理、性能管理等功能。為了便于運行人員快速熟悉和掌握新的統一平臺的使用，廣泛采用了功能菜單和圖形化界面相結合的操作界面。
3.建立網絡入侵檢測系統
入侵檢測系統IDS（Intrusion Detec-tion System）提供一種實時的檢測，對網絡流量中的惡意數據包進行檢測，發現異常后報警并動態防御。由于考慮到生產網的可用性及穩定性，故在服務器及操作站中不加裝軟件防火墻及網絡流量檢測軟件，而是根據接口流量及帶寬，在各管理處及輸油站網絡的交換機上鏈路出口、核心交換匯聚接口及與外網連接接口均部署IDS。為避免因設備故障影響網絡通斷，將IDS以旁路并聯方式連接到網絡中，對路由器或交換機做端口鏡像，將需要監控的端口流量鏡像后傳輸IDS后進行分析，最終通過IDS服務器完成集中監控、策略統一配置和報表綜合管理等功能，實現從事前警告、事中防護到事后取證的一體化監控。
4.建立嚴格的準入控制
針對接入層用戶的安全威脅，特別是來自應用層面的安全隱患，防止黑客對核心層設備及服務器的攻擊，我們必須在接入層設置強大的安全屏障，從網絡接入端點的安全控制入手，通過安全客戶端、安全策略服務器、網絡設備以及第三方軟件的聯動，對接入網絡的用戶終端強制實施企業安全策略，加強網絡用戶終端的主動防御能力，并嚴格控制終端用戶的網絡使用行為，保護網絡安全。整個系統應包括準入控制手段、控制支撐、控制決策和應用接口4個層面。
5.通過桌面安全實現補丁及防病毒軟件升級
操作站及服務器等PC設備考慮到生產網的安全，不直接Internet直接下載操作系統補丁及防病毒軟件補丁，而在生產網內部建立桌面安全系統與外網連接，通過桌面安全系統實現對公司生產網內PC機的控制管理，從應用程序管理、外設管理、軟件分發、補丁管理、文件操作審計、遠程管理等多方面對PC機各種資源要素進行全程控制、保護和審計。確保桌面計算機運行的可靠性、完整性和安全性，提高PC機維護效率，從而達到自動化管理和信息安全監控的整體目的。
五、結論
隨著計算機技術的發展，計算機病毒制造技術和黑客攻擊技術也在不斷的發展變化，越來越多的安全事件的發生，我國的工業基礎設施面臨著前所未有的安全挑戰。雖然我們在生產網安全建設和防范過程中積累了一定經驗，但我們仍需研究和探索，不斷學習和掌握日新月異的網絡安全新知識，綜合運用多種安全技術來加強安全策略和安全管理，從而建立起一套真正適合企業生產網的安全網絡體系。
參考文獻
[1]戴宗坤.信息安全實用技術[M].重慶大學出版社，2005.
一、我國互聯網網絡安全形勢
（一）基礎網絡防護能力明顯提升，但安全隱患不容忽視。根據工信部組織開展的2011年通信網絡安全防護檢查情況，基礎電信運營企業的網絡安全防護意識和水平較2010年均有所提高，對網絡安全防護工作的重視程度進一步加大，網絡安全防護管理水平明顯提升，對非傳統安全的防護能力顯著增強，網絡安全防護達標率穩步提高，各企業網絡安全防護措施總體達標率為98.78%，較2010年的92.25%、2009年的78.61%呈逐年穩步上升趨勢。
但是，基礎電信運營企業的部分網絡單元仍存在比較高的風險。據抽查結果顯示，域名解析系統（DNS）、移動通信網和IP承載網的網絡單元存在風險的百分比分別為6.8%、17.3%和0.6%。涉及基礎電信運營企業的信息安全漏洞數量較多。據國家信息安全漏洞共享平臺（CNVD）收錄的漏洞統計，2011年發現涉及電信運營企業網絡設備（如路由器、交換機等）的漏洞203個，其中高危漏洞73個；發現直接面向公眾服務的零日DNS漏洞23個， 應用廣泛的域名解析服務器軟件Bind9漏洞7個。涉及基礎電信運營企業的攻擊形勢嚴峻。據國家計算機網絡應急技術處理協調中心（CNCERT）監測，2011年每天發生的分布式拒絕服務攻擊（DDoS）事件中平均約有7%的事件涉及到基礎電信運營企業的域名系統或服務。2011年7月15日域名注冊服務機構三五互聯DNS服務器遭受DDoS攻擊，導致其負責解析的大運會官網域名在部分地區無法解析。8月18日晚和19日晚，新疆某運營商DNS服務器也連續兩次遭到拒絕服務攻擊，造成局部用戶無法正常使用互聯網。
（二）政府網站安全事件顯著減少，網站用戶信息泄漏引發社會高度關注。據CNCERT監測，2011年中國大陸被篡改的政府網站為2807個，比2010年大幅下降39.4%；從CNCERT專門面向國務院部門門戶網站的安全監測結果來看，國務院部門門戶網站存在低級別安全風險的比例從2010年的60%進一步降低為50%。但從整體來看，2011年網站安全情況有一定惡化趨勢。在CNCERT接收的網絡安全事件（不含漏洞）中，網站安全類事件占到61.7%；境內被篡改網站數量為36612個，較2010年增加5.1%；4月-12月被植入網站后門的境內網站為12513個。CNVD接收的漏洞中，涉及網站相關的漏洞占22.7%，較2010年大幅上升，排名由第三位上升至第二位。網站安全問題進一步引發網站用戶信息和數據的安全問題。2011年底， CSDN、天涯等網站發生用戶信息泄露事件引起社會廣泛關注，被公開的疑似泄露數據庫26個，涉及帳號、密碼信息2.78億條，嚴重威脅了互聯網用戶的合法權益和互聯網安全。根據調查和研判發現，我國部分網站的用戶信息仍采用明文的方式存儲，相關漏洞修補不及時，安全防護水平較低。
（三）我國遭受境外的網絡攻擊持續增多。
黑影服務器-僵尸網絡控制端數量排名（2012年3月14日）
麥咖啡
賽門鐵克
賽門鐵克——病毒郵件排名（2011年11月）
賽門鐵克——釣魚網站排名（2011年11月）
賽門鐵克-垃圾郵件數量排名（2011年11月）
索菲斯
索菲斯—垃圾郵件排名
2011年，CNCERT抽樣監測發現，境外有近4.7萬個IP地址作為木馬或僵尸網絡控制服務器參與控制我國境內主機，雖然其數量較2010年的22.1萬大幅降低，但其控制的境內主機數量卻由2010年的近500萬增加至近890萬，呈現大規模化趨勢。其中位于日本（22.8%）、美國（20.4%）和韓國（7.1%）的控制服務器IP數量居前三位，美國繼2009年和2010年兩度位居榜首后，2011年其控制服務器IP數量下降至第二，以9528個IP控制著我國境內近885萬臺主機，控制我國境內主機數仍然高居榜首。在網站安全方面，境外黑客對境內1116個網站實施了網頁篡改；境外11851個IP通過植入后門對境內10593個網站實施遠程控制，其中美國有3328個IP（占28.1%）控制著境內3437個網站，位居第一，源于韓國（占8.0%）和尼日利亞（占5.8%）的IP位居第二、三位；仿冒境內銀行網站的服務器IP有95.8%位于境外，其中美國仍然排名首位——共有481個IP（占72.1%）仿冒了境內2943個銀行網站的站點，中國香港（占17.8%）和韓國（占2.7%）分列二、三位。總體來看，2011年位于美國、日本和韓國的惡意IP地址對我國的威脅最為嚴重。另據工業和信息化部互聯網網絡安全信息通報成員單位報送的數據，2011年在我國實施網頁掛馬、網絡釣魚等不法行為所利用的惡意域名約有65%在境外注冊。此外，CNCERT在2011年還監測并處理多起境外IP對我國網站和系統的拒絕服務攻擊事件。這些情況表明我國面臨的境外網絡攻擊和安全威脅越來越嚴重。
（四）網上銀行面臨的釣魚威脅愈演愈烈。隨著我國網上銀行的蓬勃發展，廣大網銀用戶成為黑客實施網絡攻擊的主要目標。2011年初，全國范圍大面積爆發了假冒中國銀行網銀口令卡升級的騙局，據報道此次事件中有客戶損失超過百萬元。據CNCERT監測，2011年針對網銀用戶名和密碼、網銀口令卡的網銀大盜、Zeus等惡意程序較往年更加活躍， 3月-12月發現針對我國網銀的釣魚網站域名3841個。CNCERT全年共接收網絡釣魚事件舉報5459件，較2010年增長近2.5倍，占總接收事件的35.5%；重點處理網頁釣魚事件1833件，較2010年增長近兩倍。
（五）工業控制系統安全事件呈現增長態勢。繼2010年伊朗布舍爾核電站遭到Stuxnet病毒攻擊后，2011年美國伊利諾伊州一家水廠的工業控制系統遭受黑客入侵導致其水泵被燒毀并停止運作，11月Stuxnet病毒轉變為專門竊取工業控制系統信息的Duqu木馬。2011年CNVD收錄了100余個對我國影響廣泛的工業控制系統軟件安全漏洞，較2010年大幅增長近10倍，涉及西門子、北京亞控和北京三維力控等國內外知名工業控制系統制造商的產品。相關企業雖然能夠積極配合CNCERT處置安全漏洞，但在處置過程中部分企業也表現出產品安全開發能力不足的問題。
（六）手機惡意程序現多發態勢。隨著移動互聯網生機勃勃的發展，黑客也將其視為攫取經濟利益的重要目標。2011年CNCERT捕獲移動互聯網惡意程序6249個，較2010年增加超過兩倍。其中，惡意扣費類惡意程序數量最多，為1317個，占21.08%，其次是惡意傳播類、信息竊取類、流氓行為類和遠程控制類。從手機平臺來看，約有60.7%的惡意程序針對Symbian平臺，該比例較2010年有所下降，針對Android平臺的惡意程序較2010年大幅增加，有望迅速超過Symbian平臺。2011年境內約712萬個上網的智能手機曾感染手機惡意程序，嚴重威脅和損害手機用戶的權益。
（七）木馬和僵尸網絡活動越發猖獗。2011年，CNCERT全年共發現近890萬余個境內主機IP地址感染了木馬或僵尸程序，較2010年大幅增加78.5%。其中，感染竊密類木馬的境內主機IP地址為5.6萬余個，國家、企業以及網民的信息安全面臨嚴重威脅。根據工業和信息化部互聯網網絡安全信息通報成員單位報告，2011年截獲的惡意程序樣本數量較2010年增加26.1%，位于較高水平。黑客在瘋狂制造新的惡意程序的同時，也在想方設法逃避監測和打擊，例如，越來越多的黑客采用在境外注冊域名、頻繁更換域名指向IP等手段規避安全機構的監測和處置。
（八）應用軟件漏洞呈現迅猛增長趨勢。2011年，CNVD共收集整理并公開信息安全漏洞5547個，較2010年大幅增加60.9%。其中，高危漏洞有2164個，較2010年增加約2.3倍。在所有漏洞中，涉及各種應用程序的最多，占62.6%，涉及各類網站系統的漏洞位居第二，占22.7%，而涉及各種操作系統的漏洞則排到第三位，占8.8%。除預警外，CNVD還重點協調處置了大量威脅嚴重的漏洞，涵蓋網站內容管理系統、電子郵件系統、工業控制系統、網絡設備、網頁瀏覽器、手機應用軟件等類型以及政務、電信、銀行、民航等重要部門。上述事件暴露了廠商在產品研發階段對安全問題重視不夠，質量控制不嚴格，發生安全事件后應急處置能力薄弱等問題。由于相關產品用戶群體較大，因此一旦某個產品被黑客發現存在漏洞，將導致大量用戶和單位的信息系統面臨威脅。這種規模效應也吸引黑客加強了對軟件和網站漏洞的挖掘和攻擊活動。
（九）DDoS攻擊仍然呈現頻率高、規模大和轉嫁攻擊的特點。2011年，DDoS仍然是影響互聯網安全的主要因素之一，表現出三個特點。一是DDoS攻擊事件發生頻率高，且多采用虛假源IP地址。據CNCERT抽樣監測發現，我國境內日均發生攻擊總流量超過1G的較大規模的DDoS攻擊事件365起。其中，TCP SYN FLOOD和UDP FLOOD等常見虛假源IP地址攻擊事件約占70%，對其溯源和處置難度較大。二是在經濟利益驅使下的有組織的DDoS攻擊規模十分巨大，難以防范。例如2011年針對浙江某游戲網站的攻擊持續了數月，綜合采用了DNS請求攻擊、UDP FLOOD、TCP SYN FLOOD、HTTP請求攻擊等多種方式，攻擊峰值流量達數十個Gbps。三是受攻擊方惡意將流量轉嫁給無辜者的情況屢見不鮮。2011年多家省部級政府網站都遭受過流量轉嫁攻擊，且這些流量轉嫁事件多數是由游戲私服網站爭斗引起。
二、國內網絡安全應對措施
（一）相關互聯網主管部門加大網絡安全行政監管力度，堅決打擊境內網絡攻擊行為。針對工業控制系統安全事件愈發頻繁的情況，工信部在2011年9月專門印發了《關于加強工業控制系統信息安全管理的通知》，對重點領域工業控制系統信息安全管理提出了明確要求。2011年底，工信部印發了《移動互聯網惡意程序監測與處置機制》，開展治理試點，加強能力建設。6月起，工信部組織開展2011年網絡安全防護檢查工作，積極將防護工作向域名服務和增值電信領域延伸。另外還組織通信行業開展網絡安全實戰演練，指導相關單位妥善處置網絡安全應急事件等。公安部門積極開展網絡犯罪打擊行動，破獲了2011年12月底CSDN、天涯社區等數據泄漏案等大量網絡攻擊案件；國家網絡與信息安全信息通報中心積極發揮網絡安全信息共享平臺作用，有力支撐各部門做好網絡安全工作。
（二）通信行業積極行動，采取技術措施凈化公共網絡環境。面對木馬和僵尸程序在網上的橫行和肆虐，在工信部的指導下，2011年CNCERT會同基礎電信運營企業、域名從業機構開展14次木馬和僵尸網絡專項打擊行動，次數比去年增加近一倍。成功處置境內外5078個規模較大的木馬和僵尸網絡控制端和惡意程序傳播源。此外，CNCERT全國各分中心在當地通信管理局的指導下，協調當地基礎電信運營企業分公司合計處置木馬和僵尸網絡控制端6.5萬個、受控端93.9萬個。根據監測，在中國網民數和主機數量大幅增加的背景下，控制端數量相對2010年下降4.6%，專項治理工作取得初步成效。
（三）互聯網企業和安全廠商聯合行動，有效開展網絡安全行業自律。2011年CNVD收集整理并漏洞信息，重點協調國內外知名軟件商處置了53起影響我國政府和重要信息系統部門的高危漏洞。中國反網絡病毒聯盟（ANVA）啟動聯盟內惡意代碼共享和分析平臺試點工作，聯合20余家網絡安全企業、互聯網企業簽訂遵守《移動互聯網惡意程序描述規范》，規范了移動互聯網惡意代碼樣本的認定命名，促進了對其的分析和處置工作。中國互聯網協會于2011年8月組織包括奇虎360和騰訊公司在內的38個單位簽署了《互聯網終端軟件服務行業自律公約》，該公約提倡公平競爭和禁止軟件排斥，一定程度上規范了終端軟件市場的秩序；在部分網站發生用戶信息泄露事件后，中國互聯網協會立即召開了“網站用戶信息保護研討會”，提出安全防范措施建議。
（四）深化網絡安全國際合作，切實推動跨境網絡安全事件有效處理。作為我國互聯網網絡安全應急體系對外合作窗口，2011年CNCERT積極推動“國際合作伙伴計劃”，已與40個國家、79個組織建立了聯系機制，全年共協調國外安全組織處理境內網絡安全事件1033起，協助境外機構處理跨境事件568起。其中包括針對境內的DDoS攻擊、網絡釣魚等網絡安全事件，也包括針對境外蘇格蘭皇家銀行網站、德國郵政銀行網站、美國金融機構Wells Fargo網站、希臘國家銀行網站和韓國農協銀行網站等金融機構，加拿大稅務總局網站、韓國政府網站等政府機構的事件。另外CNCERT再次與微軟公司聯手，繼2010年打擊Waledac僵尸網絡后，2011年又成功清除了Rustock僵尸網絡，積極推動跨境網絡安全事件的處理。2011年，CNCERT圓滿完成了與美國東西方研究所（EWI）開展的為期兩年的中美網絡安全對話機制反垃圾郵件專題研討，并在英國倫敦和我國大連舉辦的國際會議上正式了中文版和英文版的成果報告“抵御垃圾郵件 建立互信機制”，增進了中美雙方在網絡安全問題上的相互了解，為進一步合作打下基礎。
三、2012年值得關注的網絡安全熱點問題
隨著我國互聯網新技術、新應用的快速發展，2012年的網絡安全形勢將更加復雜，尤其需要重點關注如下幾方面問題：
（一）網站安全面臨的形勢可能更加嚴峻，網站中集中存儲的用戶信息將成為黑客竊取的重點。由于很多社交網站、論壇等網站的安全性差，其中存儲的用戶信息極易被竊取，黑客在得手之后會進一步研究利用所竊取的個人信息，結合社會工程學攻擊網上交易等重要系統，可能導致更嚴重的財產損失。
（二）隨著移動互聯網應用的豐富和3G、wifi網絡的快速發展，針對移動互聯網智能終端的惡意程序也將繼續增加，智能終端將成為黑客攻擊的重點目標。由于Android手機用戶群的快速增長和Android應用平臺允許第三方應用的特點，運行Android操作系統的智能移動終端將成為黑客關注的重點。
（三）隨著我國電子商務的普及，網民的理財習慣正逐步向網上交易轉移，針對網上銀行、證券機構和第三方支付的攻擊將急劇增加。針對金融機構的惡意程序將更加專業化、復雜化，可能集網絡釣魚、網銀惡意程序和信息竊取等多種攻擊方式為一體，實施更具威脅的攻擊。
（四）APT 攻擊將更加盛行，網絡竊密風險加大。APT攻擊具有極強的隱蔽能力和針對性，傳統的安全防護系統很難防御。美國等西方發達國家已將APT攻擊列入國家網絡安全防御戰略的重要環節，2012年APT攻擊將更加系統化和成熟化，針對重要和敏感信息的竊取，有可能成為我國政府、企業等重要部門的嚴重威脅。
（五）隨著2012年ICANN正式啟動新通用頂級域名（gTLD）業務，新增的大量gTLD及其多語言域名資源，將給域名濫用者或欺詐者帶來更大的操作空間。
（六）隨著寬帶中國戰略開始實施，國家下一代互聯網啟動商用試點，以及無線城市的大規模推進和云計算大范圍投入應用， IPv6網絡安全、無線網安全和云計算系統及數據安全等方面的問題將會越來越多地呈現出來。
影響計算機網絡系統安全的因素計算機網絡的安全性，是一個系統的概念，是由數據運行的安全性、通信的安全性和管理人員的安全意識三部分組成。任何一方面出現問題都將影響整個網絡系統的正常運行。
計算機網絡軟、硬件技術的不完善由于人類認識能力和技術發展的局限性，在設計硬件和軟件的過程中，難免會留下種種技術缺陷，由此造成信息安全隱患，如Internet作為全球使用范圍最廣的信息網，自身協議的開放性雖極大地方便了各種計算機入網，拓寬了共享資源。但TCP/IP協議在開始制定時沒有考慮通信路徑的安全性，缺乏通信協議的基本安全機制，沒有加密、身份認證等功能;在發送信息時常包含源地址、目標地址和端口號等信息。由此導致了網絡上的遠程用戶讀寫系統文件、執行根和非根擁有的文件通過網絡進行傳送時產生了安全漏洞。
計算機病毒的影響計算機病毒利用網絡作為自己繁殖和傳播的載體及工具，造成的危害越來越大。Internet帶來的安全威脅來自文件下載及電子郵件，郵件病毒憑借其危害性強、變形種類繁多、傳播速度快、可跨平臺發作、影響范圍廣等特點，利用用戶的通訊簿散發病毒，通過用戶文件泄密信息，郵件病毒己成為目前病毒防治的重中之重。
計算機網絡存在著系統內部的安全威脅計算機網絡系統內部的安全威脅包括以下幾個方面:①計算機系統及通信線路的脆弱性。②系統軟硬件設計、配置及使用不當。③人為因素造成的安全泄漏，如網絡機房的管理人員不慎將操作口令泄漏，有意或無意地泄密、更改網絡配置和記錄信息，磁盤上的機密文件被人利用，臨時文件未及時刪除而被竊取。
物理電磁輻射引起的信息泄漏計算機附屬電子設備在工作時能經過地線、電源線、信號線將電磁信號或諧波等輻射出去，產生電磁輻射。電磁輻射物能夠破壞網絡中傳輸的數據，這種輻射的來源主要有兩個方面:①網絡周圍電子設備產生的電磁輻射和試圖破壞數據傳輸而預謀的干擾輻射源。②網絡的終端、打印機或其他電子設備在工作時產生的電磁輻射泄漏，這些電磁信號在近處或者遠處都可以被接收下來，經過提取處理，重新恢復出原信息，造成信息泄漏。
缺少嚴格的網絡安全管理制度載體及工具，造成的危害越來越大。Internet帶來的安全威脅來自文件下載及電子郵件，郵件病毒憑借其危害性強、變形種類繁多、傳播速度快、可跨平臺發作、影響范圍廣等特點，利用用戶的通訊簿散發病毒，通過用戶文件泄密信息，郵件病毒己成為目前病毒防治的重中之重。
13計算機網絡存在著系統內部的安全威脅計算機網絡系統內部的安全威脅包括以下幾個方面:①計算機系統及通信線路的脆弱性。②系統軟硬件設計、配置及使用不當。③人為因素造成的安全泄漏，如網絡機房的管理人員不慎將操作口令泄漏，有意或無意地泄密、更改網絡配置和記錄信息，磁盤上的機密文件被人利用，臨時文件未及時刪除而被竊取。
物理電磁輻射引起的信息泄漏計算機附屬電子設備在工作時能經過地線、電源線、信號線將電磁信號或諧波等輻射出去，產生電磁輻射。電磁輻射物能夠破壞網絡中傳輸的數據，這種輻射的來源主要有兩個方面:①網絡周圍電子設備產生的電磁輻射和試圖破壞數據傳輸而預謀的干擾輻射源。②網絡的終端、打印機或其他電子設備在工作時產生的電磁輻射泄漏，這些電磁信號在近處或者遠處都可以被接收下來，經過提取處理，重新恢復出原信息，造成信息泄漏。
缺少嚴格的網絡安全管理制度網絡內部的安全需要用完備的安全制度來保障，管理的失敗是網絡系統安全體系失敗的非常重要的原因。網絡管理員配置不當或者網絡應用升級不及時造成的安全漏洞、使用脆弱的用戶口令、隨意使用普通網絡站點下載的軟件、在防火墻內部架設撥號服務器卻沒有對賬號認證等嚴格限制、用戶安全意識不強、將自己的賬號隨意轉借他人或與別人共享等，都會使網絡處于危險之中。
加強計算機網絡系統安全管理的對策建議面對網絡安全的脆弱性，應切實加強計算機網絡的安全管理，網絡安全是對付威脅、克服脆弱性、保護網絡資源的所有措施的總和，涉及政策、法律、管理、教育和技術等方面的內容。網絡安全是一項系統工程，針對來自不同方面的安全威脅，需要采取不同的安全對策。
計算機網絡系統的物理安全管理計算機網絡系統物理安全管理的目的是保護路由器、交換機工作站、網絡服務器、打印機等硬件實體和通信線路免受自然災害、人為破壞和搭線竊聽攻擊，確保網絡設備有一個良好的電磁兼容工作環境。抑制和防止電磁泄漏是物理安全的一個主要問題。
對傳導發射的防護主要采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導線值的交叉藕合。
對輻射的防護這類防護措施分為兩種：一是采用各種電磁屏蔽措施，如對設備的金屬屏蔽和各種接插件的屏蔽，同時對網絡機房的下水管、暖氣管和金屬門窗進行屏蔽和隔離;二是干擾的防護措施，即在計算機系統工作的同時，利用干擾裝置產生一種與計算機系統輻射相關的偽噪聲向空間輻射來掩蓋計算機系統的工作頻率和信息特征。
計算機網絡系統的訪問控制策略
訪問控制是網絡安全防范和保護的主要策略，它的主要任務是保證網絡資源不被非法使用和非常訪問。
入網訪問控制它為網絡訪問提供了第一層訪問控制，它控制哪些用戶能夠登錄到服務器并獲取網絡資源，控制準許用戶入網的時間和準許他們在哪臺工作站入網。
網絡的權限控制它是針對網絡非法操作所提出的一種安全保護措施。用戶和用戶組被賦予一定的權限，網絡控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源，可以指定用戶對這些文件、目錄、設備能夠執行哪些操作。
網絡服務器安全控制包括可以設置口令鎖定服務器控制臺，以防止非法用戶修改。刪除重要信息或破壞數據;可以設定服務器登錄時間限制、非法訪問者檢測和關閉的時間間隔。
屬性安全控制它能控制以下幾個方面的權限：向某個文件寫數據、拷貝一個文件、刪除目錄或文件、查看目錄和文件、執行文件、隱含文件、共享、系統屬性等。網絡的屬性可以保護重要的目錄和文件，防止用戶對目錄和文件的誤刪除、執行修改、顯示等。
防火墻技術是建立在現代通信網絡技術和信息安全技術基礎上的應用性安全技術，是在兩個網絡之間實行控制策略的系統，通常安裝在單獨的計算機上，與網絡的其余部分隔開，它使內部網絡與Internet之間或與其他外部網絡互相隔離，限制網絡互訪，用來保護內部網絡資源免遭非法使用者的侵人，執行安全管制措施，記錄所有可疑事件。利用防火墻技術經過仔細的配置，一般能夠在內外網絡之間提供安全的網絡保護，降低網絡安全的風險。目前使用的防火墻產品可分為兩種類型:包過濾型和應用網關型。
數據加密技術是保障信息安全的最基本最核心的技術措施和理論基礎，由加密算法來具體實施。由于數據在傳輸過程中有可能遭到侵犯者的竊聽而失去保密信息，如當一個企業在傳送涉及到自己的商業秘密的數據時，一定要用密文傳送，也就是利用技術手段把重要的數據變為亂碼傳送，到達目的地后再用相同或不同的手段還原。
鑒別技術主要是在信息交流過程中防止信息被非法偽造、篡改和假冒的一種技術。如果黑客進人了計算機系統，虛假信息或更改真實的信息，通過鑒別技術即可做出判斷。
報文鑒別是指在兩個通信者之間建立包括自動化立體倉庫軟件包、生產線監測系統軟件包、同步控制算法軟件模塊、張力控制算法軟件模塊、船閘控制系統軟件包、船閘船只最優調度算法軟件等等。
基于現場總線的先進控制系統市場前景分析
市場需求目前，國內各行業競爭激烈。企業逐步認識到只有不斷引人新技術才能使企業得到持續穩定地發展。企業有追求新技術、改造現有系統的需求。現場總線技術是未來自動化技術發展的主流，基于現場總線的先進控制系統以其明顯的技術優勢和價格優勢，在分布式控制系統市場中將逐步替代PLC產品。
企業效益對現場設備制造商參與基于現場總線的先進控制系統開發的現場設備制造商將本企業傳統產品提高了一個技術水平。由于現場總線技術的開放性，企業開發的現場總線產品可以集成到任何現場總線控制系統中。
來自中央網信辦、國家發改委、國資委、科技部、國家能源局，中國互聯網發展基金會、全國信息安全標準化委員會、中國網絡安全產業聯盟，民銀國際投資有限公司、北京匡恩網絡科技有限責任公司等部門、機構的各界專家，匯聚一堂，就目前國際安全新趨勢、我國工業控制網絡安全面臨的挑戰和機遇、以及如何促進工控網絡安全產業發展等，進行了交流、研討。以下為與會專家的發言摘要。
胥和平：工控網絡安全問題已成為網絡經濟的一個重大問題
這次新經濟圓桌會議選擇了一個重大話題：工業控制系統的網絡安全。
2015年國家明確提出“互聯網+”、“中國制造2025”等重大戰略舉措，十八屆五中全會和“十三五”規劃明確指出，把拓展網絡發展空間作為一個重大戰略舉措。一年多來，“互聯網+”在各個領域的深度滲透，廣泛推進，已經取得了明顯的成效，大家一直在期待一個萬物互聯、互聯互通的社會，期待一個基于“互聯網+”的新的經濟形態出現。但當所有設備、所有系統互聯互通以后，安全問題就至關重要。
一個小小的病毒、一個網絡的漏洞就可以導致大型工業系統、大型基礎設施運轉出現巨大的經濟損失。這些問題成為網絡經濟的一個重大問題，也成為發展互聯網經濟的重要基礎。
何幫喜：從戰略高度加強工業控制網絡安全頂層設計，明確責任部門
過去我當過商會會長，對工業領域很熟悉。我們經常遇到這樣的事兒：很多企業在招標過程中，在實施技術過程中，突然計算機的機密文件、數據被盜。企業很著急，但無法解決。后來，經過調研，我了解到這屬于工控網絡安全問題。而且，還是非常普遍的現象。
今年全國兩會召開前，我們經過調研和專家指導，寫了《關于加強我國工控網絡安全，應納入國家戰略的建議》的提案，多名政協委員聯名提交。同時，十幾名人大代表也聯名提交了關于工控網絡安全的議案。
我們的主要建議是：從國家戰略高度加強工業控制網絡安全頂層設計，明確責任部門；建立完備的工控網絡安全體系，掌握芯片級核心技術；大力扶持新興工控網絡安全企業，鼓勵技術創新和產業化；在各行業建設中同步進行工控網絡安全規劃和驗收等。
董寶青：工控安全難度最大，相信未來幾年內會扭轉現狀
萬物互聯的時代，我們從過去關注互聯網安全、信息系統安全轉向最底層次、最難的工控安全，因為它要解決信息空間跟物理、機械的融合問題。
首先，在國家頂層設計方面，目前看，比較清晰。大家也都非常關注和重視。其次，微觀層面，所有的工業企業或者產業系統、實體經濟體系，都要建立信息安全管理制度和組織落實制度。第三，要建立技術供應鏈全生命周期、全環節的把控能力，實施國產替代、自主可控、安全可靠的思路，打造我們的技術供應產業鏈。第四，要建立日常的維護制度、運營制度、巡查制度等。第五，建立一些應急支援的隊伍力量。第六，大力發展產業隊伍。
我們在工業控制系統的市場占有率還不到10%，相信未來幾年，通過企業的努力，國家政策制度的建立，能夠扭轉這種形勢，安全可控、自主可控，能夠放心地發展經濟。
徐建平：首先要加強系統性的謀劃和頂層設計
當前我們在網絡安全方面面臨幾個問題：一、安全問題的認識問題。應該從根本上解決，建立容錯機制。二、政策上也有很多需要完善的地方。比如推動自主化，真正的支持措施少。三、整個大的制造業大而不強。四、部門之間協同性要進一步加強。五、工業控制系統安全管理還存在很多缺陷。
我們應該加強系統性的謀劃和頂層設計。我個人認為，部門之間雖然已經形成了一個相應的工作機制，但是離真正的加強安全管理要求，還差得很遠，還有很大的空間。首先，在規劃上，要真正把工業控制網絡安全納入到各級規劃當中去。其次，突出重點，集中優勢，突破關鍵。實質上就是要強化自主創新能力，落到實處。第三，加強法律法規的建設，通過法規的形式為信息安全、安全能力的建設提供保障。第四，加強社會安全意識教育。
劉育新：國家如何支持、民企怎么進入，都需要認真研究
在國家科技管理體制發生變化、發生改革的情況下，對于工業控制網絡安全怎么支持，是值得研究的問題。工業控制網絡安全還有行業性的問題，不同行業要求不一樣。應用基礎性的研究怎么支持？政府的錢是有限的，這是一個導向作用的錢，政府支持哪個領域，市場上資金就會注意這個方向。
此外，這個技術或者產業發展起來，需要有競爭，是開放性的。網絡安全的天然屬性就是封閉性、體系性，因為它涉及到保密等問題。民營企業和社會資本怎么進入，政府的管理門檻怎么降低，這是需要認真考慮的。競爭不競爭，有時候差距很大。
孫耀唯：能源領域是公共系統網絡安全的重要方面，我們不能輕視
能源系統對工控系統安全是比較重視的，這些年在工信部的支持指導下做了很多工作。比如一些預測預警，包括信息通報，也做過一些執法檢查，還有專項監管。在國產化方面，我們也做了很多嘗試和推廣，包括裝備，風電、水電、火電都在國產化，國產率越來越高。
從行業角度來講：一、我們要培養安全意識，今后將加強教育和宣傳。二、頂層設計分工。國家總體有籌劃、部署、規劃；分行業建立一個完整的規劃；地方公安系統都有網絡安全測試實驗室，但還要加上企業。三、人才培養方面，我們一直很重視加強專業性的培養，每個崗位不僅要有安全意識，還要有操作意識。四、監管層面，要加強政府的作用，監管隊伍、監管素質、監管手段上了之后，會發揮很多的作用。
能源領域是公共系統網絡安全的重要方面，我們不能輕視，也正在加強，希望有關方面繼續給與支持。
張銘：立法要細，規劃要明確，設備必須國產化
要用發展網絡安全產業的模式，解決中國網絡安全問題。我認為，在工業領域，用產業網絡控制安全的概念更好，產業不只是工業，還有其他的。中國有一個非常大的網絡安全產業。這個領域會誕生非常大的企業，一定要把這個產業發展好。
怎么發展產業，我提幾點建議。
第一，立法必須要有。我們現在有一個網絡安全征求意見稿。法律一定要細，如果大的法律解決不了問題，實施細則就一定要細，一定要能夠操作。這么大的一個產業，如果用市場經濟的辦法來解決，首先要把法規制定好。
第二，需要一個工控網絡方面的規劃。這個規劃必須要明確目標、部門之間協作、政策支持、后續保障、協調機制等等。企業有企業的定位，政府有政府的定位，制定好目標，就會有監督，有檢查，很多事情才能落實到位。
第三，自主知識產權核心設備國產化，這個必須要解決。
第四，意識培訓，大家都用互聯網，大家要有網絡安全的意識。我覺得這部分，政府應該拿點錢，企業也會愿意拿點錢，把這個錢給行業協會，讓它組織培訓。
秦昌桂：工業控制網絡安全，關鍵是人才
關于公共安全，工業控制網絡安全已經作為網絡安全，也是作為國家安全，納入國家最高戰略，凡是自動化程度越高，智能化程度越高，它的安全更危險。工業控制網絡安全的重要性是顯而易見的。但關鍵一點還是人才，你講國產化也好，什么也好，講到底就是人才。安全體系一定是要有自己的產品、自己的技術。工業控制網絡安全的企業，從國家層面來講，一定要自主培養人才。
網絡安全方面，大家對信息安全是主動防守，強調得更重要，對自動化特別是生產領域、經濟領域是忽視的。不要擴大威脅，但是也不要忽視威脅，還要考慮自身的防御。你的病毒、漏洞自己可以破壞你自己的體系。從我們基金會來講，一定要利用社會的力量，除了加大對網絡安全宣傳周支持，我們重點支持網絡安全人才的培養，人是最根本的。
高林：關于加強信息安全標準化工作的指導意見今年會很快出臺
做好工業控制網絡安全，需要從幾個方面分析：
一是法規和機制層面。具體到工控網絡安全的事情上，在操作層面還需要進一步明確各有關部門、組織的職責。二是標準的事情。2012年國家成立了全國信息安全標準化技術委員會，形成這么一個架構，就是要協調標準化的事情。組織上有了，做的過程中也是一個逐漸深入的過程。今年馬上要出一個政策，關于加強信息安全標準化工作的指導意見，會進一步加強工業系統的網絡安全標準統籌。這里面很重要的一個問題，主要的核心是工控系統網絡安全防控的要求。三是規劃層面。要做好技術保障，有很多需要在國家層面布局的，要有一批隊伍做這個事情，不能光靠政府，光靠職能部門。四是監管層面。首先要在整個國家網絡安全審查制度框架之下做工控產品的安全審查。另外就是系統檢查，要明確主體責任，主體責任一定是系統的擁有者、運營者。五是服務層面，現在有很多協會和第三方機構組織做一些服務，包括政府支持在一些單位建立通信通報、共享、追蹤等服務。
陳興躍：我們就做兩件事，一是搭建橋梁，二是建設平臺
從聯盟的角度來講，我們就做兩件事，一是搭建橋梁，二是建設平臺。所謂橋梁，就是作為產業和部門對接的橋梁、產業合作的橋梁。所謂平臺，就是聚集整個產業的資源，集中力量做大事。以標準工作為例，產業聯盟推進標準工作有先天的優勢。總而言之，產業聯盟工作要代表網絡安全產業的水平。
剛才有嘉賓提到資金的問題，聯盟會員中有很多中小企業，他們有非常強的資金需要。會員企業希望在聯盟平臺上做一個產業的創新基金，在聯盟平臺上發現好的創新團隊和創新技術，開展專項對接扶持。
孫一桉：希望政策方面能幫助我們穿透設備供應商這“最后一道門”
工控網絡安全技術是衡量一個國家綜合實力的重要組成部分，也是國家安全的重要組成部分。工業控制系統解決安全問題特別難，它不是拿一個簡單信息安全的手段加一個工業的殼就可以解決，它必須和各個行業深入對接。
我們在推廣過程中有一個巨大的障礙，就是設備供應商。國產設備供應商是比較開放的，但在國外的設備供應商那里遭遇了很大的阻力，這對我們是潛在的、巨大的危害。我們不能走到互聯網安全那條老路上去，讓設備供應商自己做系統的安全維護，后門都打開了，還全然不知。所以，在這個領域，我強烈呼吁各方能一同協力，穿透“最后一道門”，讓設備供應商開放出來，用自主可控的安全手段來解決安全問題，不要重蹈過去互聯網安全的覆轍。
工業網絡安全，是信息安全與工業自動化的跨學科的集成，涉及到國家安全、經濟安全、民生安全，是新經濟時代一個基礎性的、亟待解決的問題，需要各級政府部門、各行業一起來加速推動。
白津夫：網絡經濟安全不是網絡安全，須采取新舉措
工業控制網絡安全，強調的是網絡經濟層面，網絡經濟安全不是一般意義上的網絡安全。隨著“互聯網+”和網絡經濟不斷發展，網絡安全風險不斷放大，切不可掉以輕心。