童樺

（武漢船用電力推進裝置研究所 湖北省武漢市 430064）

1 引言

縱深防御是一種分層防御措施，它迫使敵方必須突破多個防御層才能進入，從而降低其成功的機率?？v深防御本質是多層防護，建立縱深防御體系意味著每一個訪問流量都要經(jīng)過多層安全檢測，從一定程度上增加了安全檢測能力和被攻破的成本，降低了信息系統(tǒng)的安全風險。

2 縱深防御體系

針對信息系統(tǒng)的攻擊手法日益“精妙”，攻擊行為也越來越多。防御體系的設計應用好“先發(fā)優(yōu)勢”，在信息系統(tǒng)各個方面的防御手段考慮縱深覆蓋，“排兵布陣”構造縱深防御戰(zhàn)線，體系化地與進攻者對抗?？v深防御的概念如圖1所示。

圖1：縱深防御概念圖

為了保護核心數(shù)據(jù)，我們需要在多個層面進行控制和防御，一般來說包括物理安全防御、網(wǎng)絡安全防御、主機安全防御、應用安全防御，以及對數(shù)據(jù)本身的保護。如果沒有縱深防御體系，就難以構建真正的系統(tǒng)安全體系。

2.1 物理安全

物理安全主要是指在機房環(huán)境、網(wǎng)絡線路以及關鍵硬件設備等物理層次上的信息安全防護。保證物理層的安全，就需要保證通信線路的可靠性，設備運行、更換、拆卸時的安全性以及應對一系列自然災害的能力。物理層安全是實現(xiàn)所有安全的基礎，不容輕視。

物理安全防御措施包括如下方面：

（1）通過監(jiān)控系統(tǒng)、定期巡檢、安防保衛(wèi)等措施保證對傳輸信息資料的通訊電纜或支持信息服務的線纜、硬件設備加以保護，使其避免自然損耗或被不法分子盜竊、破壞。

（2）遵循國家標準規(guī)定建設機房，確保計算機系統(tǒng)有良好的工作環(huán)境，從而保證穩(wěn)定可靠的運行。

（3）妥善放置信息設備，配備電磁泄露防護裝置，如屏蔽雙絞線、線路傳導干擾器等，防止敏感信息通過電磁泄露。

（4）配備不間斷電源（UPS）、備用發(fā)電機等，保證重要信息設備的穩(wěn)定供電，降低信息設備的故障率。

（5）準備關鍵基礎設備的備品備件，一旦出現(xiàn)設備硬件故障，可以及時替換故障設備，盡快恢復信息系統(tǒng)的正常運行。

2.2 網(wǎng)絡安全

一個全面的網(wǎng)絡，安全解決方案需要綜合考慮網(wǎng)絡層的身份認證、訪問控制、數(shù)據(jù)傳輸、遠程接入入侵、網(wǎng)絡病毒等一系列安全因素。網(wǎng)絡層安全是實現(xiàn)數(shù)據(jù)和信息安全傳輸?shù)淖铌P鍵一環(huán)，也是需要我們在規(guī)劃時綜合考量的部分。

（1）邊界防御是網(wǎng)絡安全的重要的原則之一。所謂的邊界防御，我們可以理解為小區(qū)門禁、閘道或門衛(wèi)，這都是為了保護小區(qū)安全而建立的通道，只有擁有合理身份的人員才能進入小區(qū)，享受小區(qū)提供的資源。在網(wǎng)絡世界，防火墻就是進出網(wǎng)絡的門禁，它是不同網(wǎng)絡或網(wǎng)絡安全域之間信息的唯一出入口。

在國際標準化組織ISO 的開放系統(tǒng)互聯(lián)參考模型（OSI）中，網(wǎng)絡互聯(lián)模型分為7 層，如圖2 所示。

圖2：OSI 參考模型

一般來說，防火墻工作在如圖示的網(wǎng)絡層、傳輸層，防火墻的訪問控制策略依據(jù)策略規(guī)則中的源地址、目的地址、源端口、目的端口及規(guī)則中的協(xié)議類型來制定，并通過策略的允許、禁止執(zhí)行來確定信息流的出入。它能有效控制網(wǎng)絡之間的活動，保證內部網(wǎng)絡的安全。為了滿足訪問控制的細粒度，防火墻的訪問控制策略應遵循最小授權原則，僅開啟正常訪問必需的源地址、目的地址、源端口、目的端口及協(xié)議，這也勢必要求網(wǎng)絡運維人員找到信息安全和日常工作的平衡點，即：既能滿足訪問控制的最小授權，又不致影響業(yè)務工作，從而提升信息系統(tǒng)的安全性。除了在防火墻上設置基本的訪問控制策略，還需要配置如下安全策略：

會話監(jiān)控策略：在防火墻配置會話監(jiān)控策略，當會話處于非活躍一定時間或會話結束后，防火墻自動將會話丟棄，訪問來源必須重新建立會話才能繼續(xù)訪問資源；

會話限制策略：對于互聯(lián)網(wǎng)邊界，從維護系統(tǒng)可用性的角度必須限制會話數(shù)，來保障連接的有效性，防火墻可對保護的會話連接采取會話限制策略，當內網(wǎng)主機或服務器接受的連接數(shù)接近或達到閥值時，防火墻自動阻斷其他的訪問連接請求，避免主機或其他服務器接到過多的訪問而崩潰；

管理員身份認證策略：修改當前防火墻的配置，啟用證書認證方式，以滿足網(wǎng)絡設備對雙因素身份認證的需求；

應用系統(tǒng)身份認證策略：配置防火墻用戶認證功能，對保護的應用系統(tǒng)可采取身份認證的方式（包括用戶名/口令方式、S/KEY 方式等），實現(xiàn)基于用戶的訪問控制；此外，防火墻還能夠和第三方認證技術結合起來（包括RADIUS、TACAS、AD、數(shù)字證書），實現(xiàn)網(wǎng)絡層面的身份認證，進一步提升系統(tǒng)的安全性；

日志審計策略：防火墻詳細記錄了轉發(fā)的訪問數(shù)據(jù)包，可提供給網(wǎng)絡管理人員進行分析。但是，防火墻本地的存儲容量有限，應當將防火墻記錄日志統(tǒng)一導入到集中的日志管理服務器。

但是，防火墻也有自身的不足，它不能識別惡意的網(wǎng)絡攻擊行為。這就意味著，只要網(wǎng)絡訪問源符合訪問策略規(guī)則，就可以對允許訪問的網(wǎng)絡資源產生攻擊。這時，邊界防御的另一工具——入侵防御系統(tǒng)IPS 或入侵檢測系統(tǒng)IDS 就派上用場了。入侵防御系統(tǒng)可對物理層以上的各層數(shù)據(jù)進行檢查，一般采用串聯(lián)的方式部署于網(wǎng)絡邊界區(qū)域，用于檢測和實時阻斷從外部網(wǎng)絡到內部網(wǎng)絡的入侵行為，包括溢出攻擊、代碼執(zhí)行攻擊、木馬、蠕蟲、系統(tǒng)漏洞等各種網(wǎng)絡攻擊威脅，并對發(fā)現(xiàn)的安全威脅及時產生告警和阻斷。入侵檢測（Intrusion Detection）系統(tǒng)是對入侵行為的檢測。它通過收集和分析網(wǎng)絡行為、安全日志、審計數(shù)據(jù)、其它網(wǎng)絡上可以獲得的信息以及計算機系統(tǒng)中若干關鍵點的信息，檢查網(wǎng)絡或系統(tǒng)中是否存在違反安全策略的行為和被攻擊的跡象。入侵檢測作為一種積極主動地安全防護技術，提供了對內部攻擊、外部攻擊和誤操作的實時保護，在網(wǎng)絡系統(tǒng)受到危害之前攔截和響應入侵，因此被認為是防火墻之后的第二道安全閘門，在不影響網(wǎng)絡性能的情況下能對網(wǎng)絡進行監(jiān)測。針對端口掃描類、木馬后門、緩沖區(qū)溢出、IP 碎片攻擊等，入侵檢測系統(tǒng)可通過與防火墻的聯(lián)動進行阻斷。入侵檢測系統(tǒng)一般并聯(lián)在網(wǎng)絡中，以旁路監(jiān)聽的方式對網(wǎng)絡流量進行檢測。因為IPS 和IDS 部署方式的差異，導致單點故障對網(wǎng)絡的影響也就不一樣。IPS一旦故障，可能直接影響網(wǎng)絡的正常運行。而IDS 故障，只會造成網(wǎng)絡內危險攻擊無法識別，而不會影響網(wǎng)絡性能。所以，在網(wǎng)絡縱深防御方案中，選擇IPS 還是IDS 或者兩者并存，需要企業(yè)依據(jù)自己的網(wǎng)絡規(guī)模及防護要求來確定。

為有效實現(xiàn)入侵防御，我們可以在入侵防御系統(tǒng)上，部署以下策略集：

阻斷策略：由于入侵防御系統(tǒng)串聯(lián)在保護區(qū)域的邊界上，系統(tǒng)在檢測到攻擊行為后，能夠主動進行阻斷，將攻擊來源阻斷在安全區(qū)域之外，有效保障各類業(yè)務應用的正常開展，這里包括數(shù)據(jù)采集業(yè)務和信息發(fā)布業(yè)務；

防拒絕服務攻擊：入侵防御系統(tǒng)在防火墻進行邊界防范的基礎上，工作在網(wǎng)絡的關鍵環(huán)節(jié)，能夠應付各種SNA 類型和應用層的強力攻擊行為,包括消耗目的端的各種資源如網(wǎng)絡帶寬、系統(tǒng)性能等攻擊，主要防范的攻擊類型有TCP Flood，UDP Flood，SYN Flood，Ping Abuse 等；

審計查詢策略：入侵防御系統(tǒng)能夠完整記錄多種應用協(xié)議（HTTP、FTP、SMTP、POP3、TELNET 等）的內容。記錄內容包括，攻擊源IP、攻擊類型、攻擊目標、攻擊時間等信息，并按照相應的協(xié)議格式進行回放，清楚再現(xiàn)入侵者的攻擊過程，重現(xiàn)內部網(wǎng)絡資源濫用時泄漏的保密信息內容。同時必須對重要安全事件提供多種報警機制；

網(wǎng)絡檢測策略：在檢測過程中入侵防御系統(tǒng)綜合運用多種檢測手段，在檢測的各個部分使用合適的檢測方式，采取基于特征和基于行為的檢測，對數(shù)據(jù)包的特征進行分析，有效發(fā)現(xiàn)網(wǎng)絡中異常的訪問行為和數(shù)據(jù)包；

異常報警策略：入侵防御系統(tǒng)可以通過報警類型的制定，明確哪類事件，通過什么樣的方式，進行報警，及時告知網(wǎng)絡管理員；

在線升級策略：入侵防御系統(tǒng)內置的檢測庫是決定系統(tǒng)檢測能力的關鍵因素，因此應定期進行在線升級，確保入侵檢測庫的完整性和有效性。

我們可以在入侵檢測系統(tǒng)上，部署以下策略集：

網(wǎng)絡行為檢測策略：綜合使用細粒度檢測技術、協(xié)議分析技術、誤用檢測技術、協(xié)議異常檢測等技術，對網(wǎng)絡內部基于TCP/IP 的各種網(wǎng)絡行為進行實時檢測，有效防止各種攻擊和欺騙；

蠕蟲檢測策略：實時跟蹤當前最新的蠕蟲事件，針對當前已經(jīng)發(fā)現(xiàn)的蠕蟲及時的提供相關的事件規(guī)則。存在漏洞但是還未發(fā)現(xiàn)相關蠕蟲事件的，通過分析其相關漏洞提供相關的入侵事件規(guī)則，最大限度地解決網(wǎng)絡蠕蟲發(fā)現(xiàn)滯后問題；

配置實時會話監(jiān)控策略：實時監(jiān)控網(wǎng)絡當前TCP 會話并根據(jù)需要進行切斷、保存會話內容；

實時系統(tǒng)監(jiān)控策略：部署的入侵檢測系統(tǒng)，開啟實時系統(tǒng)檢測策略，實時檢測并分析網(wǎng)絡應用系統(tǒng)所接受的訪問數(shù)據(jù)包，對異常行為進行報警；

網(wǎng)絡流量統(tǒng)計策略：對網(wǎng)絡引擎監(jiān)控的網(wǎng)段做流量統(tǒng)計功能，以圖形化和數(shù)字結合的方式顯示?？梢苑植煌囊妗⒉煌脑?、目的地址查看TCP 連接數(shù)目，網(wǎng)絡字節(jié)流量統(tǒng)計，網(wǎng)絡報文數(shù)據(jù)包數(shù)，會話連接數(shù)統(tǒng)計等多種統(tǒng)計信息。

（2）交換機作為網(wǎng)絡組成部分的網(wǎng)絡設備，也會成為攻擊者的目標，也是影響網(wǎng)絡安全的重要因素。一旦管理員忽視了交換機的安全加固，那么交換機就可能成為攻擊者突破整個信息系統(tǒng)的安全缺口。以思科交換機為例，為了降低網(wǎng)絡設備帶來的風險，管理員需要對交換機采取如下的加固方案：

安全準入加固：關閉所有不需要的物理空閑接口；實現(xiàn)端口綁定，防止MAC 地址欺騙；實現(xiàn)IP 源防護，防止IP地址欺騙；實現(xiàn)動態(tài)ARP 防護，防止ARP 病毒；實現(xiàn)廣播風暴抑制功能。

協(xié)議安全加固：禁止CDP(Cisco Discovery Protocol)；禁止TCP、UDP Small 服務；禁止HTTP 服務，開啟HTTPs服務；禁止Finger 服務；禁止BOOTP 服務；禁止IP Source Routing 服務；禁止IP Directed Broadcast 服務；開啟TCPKeepalives 服務。

設備登錄加固：設置高強度登陸密碼，至少大于8 位，最好有數(shù)字、字母、符號結合；開啟全局密碼安全加密功能；通過ACL 限制登陸設備的源地址，只有管理主機的IP 地址可以登陸；開啟遠程登錄協(xié)議限制，關閉其他協(xié)議如Telnet登陸，開啟SSH 登陸；SSH 登錄次數(shù)限制為3 次；采用多用戶分權管理。

其他安全加固：設置復雜的SNMP 密碼，并部署SNMP ACL 實現(xiàn)訪問控制加固；開啟時間同步服務，方便后續(xù)安全審計；開啟日志服務，定義日志記錄級別，并同步到日志服務器。

（3）目前計算機病毒可以滲透到信息社會的各個領域，給信息系統(tǒng)帶來了巨大的破壞和潛在的威脅。2020 年2 月，印度APT 組織對我國醫(yī)療機構發(fā)起持續(xù)性威脅攻擊，黑客利用疫情題材制作誘餌文檔，采用魚叉式攻擊，定向投放到醫(yī)療機構領域。此次攻擊是為了獲取最新前沿的醫(yī)療新技術和醫(yī)療數(shù)據(jù)、擾亂中國的穩(wěn)定、制造更多的恐怖。這些攻擊非常有效，中小企業(yè)更容易受到這種網(wǎng)絡攻擊，為了確保企業(yè)的網(wǎng)絡安全，合理有效的預防是計算機病毒防治最經(jīng)濟有效的。病毒防治的措施可以分為管理措施和技術措施：

1.對用戶進行安全教育，了解我國相關反計算機病毒法律法規(guī)，不參與病毒的制作與傳播。

2.增強用戶安全意識：不隨意打開來歷不明的郵件附件，不隨意安裝免費的破解版軟件，不隨意點擊鏈接等。

3.安裝正規(guī)殺毒軟件公司的正版殺毒軟件，并合理配置病毒查殺、處理策略，保證殺毒軟件始終處于開啟狀態(tài)。

4. 及時更新病毒庫，定期掃描系統(tǒng)、查殺病毒，保證能在第一時間發(fā)現(xiàn)新的病毒及惡意代碼。

（4）通過部署安全審計系統(tǒng)，來抓取網(wǎng)絡中的訪問數(shù)據(jù)包，并進行詳細的記錄，可在事后進行匯總和分析，從而使網(wǎng)絡管理人員能夠隨時了解網(wǎng)絡終端的訪問行為。它能以旁路、透明的方式實時高速的對進出內部網(wǎng)絡的電子郵件和傳輸信息等進行數(shù)據(jù)截取和還原，并可根據(jù)用戶需求對通信內容進行審計，提供高速的敏感關鍵詞檢索和標記功能，從而為防止內部網(wǎng)絡敏感信息的泄漏以及非法信息的傳播，它能完整的記錄各種信息的起始地址和使用者，為調查取證提供第一手的資料。

2.3 主機安全

當數(shù)據(jù)通過網(wǎng)絡層傳輸進入主機后，安全的實現(xiàn)就集中在操作系統(tǒng)層。操作系統(tǒng)層安全是實現(xiàn)數(shù)據(jù)存儲和處理的關鍵節(jié)點，我們需要加固系統(tǒng)，防患于未然。針對各種操作系統(tǒng)的漏洞和缺陷，我們應該考慮實現(xiàn)身份鑒別，發(fā)現(xiàn)并修復系統(tǒng)漏洞，控制主機的外設端口并及時審計用戶的各種操作行為。

（1）建立有效身份鑒別機制，確保用戶主體在對客體訪問時標記的唯一性和復雜性：

1.設置BIOS 密碼，BIOS 密碼也稱為CMOS 密碼，是用戶進入計算機的第一道防護屏障。在計算機啟動過程中，當屏幕下方出現(xiàn)提示：“Press DEL to enter SETUP”時按住Del 鍵便可進入。進入后，分別設置“SUPERVISOR PASSWORD”和“USER PASSWORD”，并且設置兩個不同的密碼，保證密碼滿足長度和復雜度的要求。

2.設置操作系統(tǒng)用戶名和密碼，普通用戶使用user 權限用戶名登陸計算機，保證密碼滿足長度和復雜度的要求并定期更換。用戶身份鑒別成功后，當空閑操作時間超過規(guī)定值，應當重新進行身份鑒別。

3. 部署PKI/CA 系統(tǒng)，建立基于用戶身份認證的管理平臺。身份鑒別方式采用USB KEY加PIN碼、生理特征識別等。通過該平臺，集中管理和分配帳戶信息，建立分組管理機制，通過組策略實現(xiàn)不同級別的權限管理。同時，PKI/CA 作為信息安全基礎設施的重要組成部分，是目前同時解決身份認證、訪問控制、信息保密和抗抵賴最好的辦法。

（2）定期檢查用戶，刪除無用、過期的帳戶，保證所有用戶均為有效且在用。系統(tǒng)應禁用Guset 帳戶，Guest 帳戶默認不開啟。應更改默認的管理員名稱administrator，并配置帳戶鎖定策略，防止暴力破解等問題。

（3）禁用某些服務，防止不必要的服務帶來的安全問題，以WIN7 為例，如:Adaptive Brightness、Bluetooth Service、Bluetooth Support Service、Fax、Net.Tcp Port Sharing Service等。

（4）關閉系統(tǒng)的默認共享。默認共享的方式非常危險，極易被黑客利用。關閉系統(tǒng)默認共享的方法很多，可以通過系統(tǒng)設置、修改注冊表、批處理文件或卸載“文件和打印機共享”等方法。需要說明的是，如果卸載“文件和打印機共享”，則右擊文件夾時，彈出的快捷菜單中“共享”一項沒有了，因為對應的功能服務已經(jīng)被卸載了。另外，采用域管理的計算機，IPC$不能取消默認共享。

（5）系統(tǒng)漏洞也是威脅系統(tǒng)安全的風險。系統(tǒng)漏洞是指操作系統(tǒng)在邏輯設計上的缺陷或錯誤，如被不法者利用，可通過植入木馬、病毒等方式來攻擊或控制整個電腦，竊取電腦中重要資料和信息。2017 年5 月，WannaCry 病毒席卷全球，一旦電腦中了WannaCry 病毒，則電腦所有文件被加密，要求支付高昂比特幣費用才能拿到解密秘鑰。這是近十年來影響范圍最大的一次黑客攻擊事件，全球共有150 多個國家超過30 萬臺電腦被感染，波及政府、學校、醫(yī)院、航班、金融等行業(yè)。此病毒基于NSA 網(wǎng)絡軍火庫中的“永恒之藍”漏洞進行傳播，基于445 共享端口，微軟漏洞編號為ms17-010。 Windows 默認開放的135、137、138、139、445和3389 端口，很容易被攻擊工具利用，帶來攻擊風險。所以，我們在工作中根據(jù)業(yè)務需求，仔細分析定位是否需要關閉某些不需要的高危端口。同時，為了防范針對系統(tǒng)漏洞的攻擊，最經(jīng)濟有效地方法就是給受漏洞影響的系統(tǒng)打上安全補丁。運維人員也可以利用漏洞掃描系統(tǒng)對主機、服務器等進行檢測，發(fā)現(xiàn)系統(tǒng)內信息設備的系統(tǒng)漏洞和弱口令。運維人員針對檢測出的系統(tǒng)漏洞進行評估，對系統(tǒng)補丁進行測試，確認正常后更新系統(tǒng)補丁，并及時修改弱口令。運維人員定期開展漏洞掃描，持續(xù)評估并消減漏洞以降低數(shù)據(jù)泄露或者被破壞的風險。

（6）禁止終端違規(guī)進行“一機多用”和“非法外聯(lián)”。非法外聯(lián)是指用戶不僅可以直接通過有限的網(wǎng)絡實現(xiàn)與其他電腦或Internet 實現(xiàn)互聯(lián)，也可以通過多種無線連接方式，例如無線局域網(wǎng)、紅外線、藍牙等實現(xiàn)網(wǎng)絡和設備和互聯(lián)。還可以通過終端提供的豐富的外設接口，例如USB 接口、COM 口、LPT 口、Modem 等多種接口，實現(xiàn)終端與外設、終端與終端或終端與網(wǎng)絡的互聯(lián)。借助終端提供的多種外聯(lián)通道，越權進行非法網(wǎng)絡和設備外聯(lián)，隨意外發(fā)內部敏感資料，同時也為病毒、木馬攻擊內網(wǎng)提供了理想的通道。采用安全軟件進行主機安全加固并對用戶的操作行為進行審計，如通過主機監(jiān)控與審計系統(tǒng)對計算機的端口與外設硬件進行控制，系統(tǒng)采用硬件設備驅動級別的禁用方式實現(xiàn)對USB設備、串口、并口、軟驅、光驅、紅外設備、藍牙設備、網(wǎng)絡設備、1394 接口、打印設備禁用。并可通過對終端行為的管理與綜合審計，實現(xiàn)對各種事件信息進行統(tǒng)計分析和事后跟蹤、追查。

2.4 應用和數(shù)據(jù)安全

應用和數(shù)據(jù)安全對信息系統(tǒng)而言是核心部分，應用安全主要圍繞著各種應用程序與時俱進展開，主要包含如下內容：

（1）結合網(wǎng)絡層、系統(tǒng)層的保護，加大對應用資源的保護力度，三者相互協(xié)調保護，一方面提供應用系統(tǒng)外的安全保護能力，另一方面實現(xiàn)應用系統(tǒng)內部的安全保護，內外結合。

（2）應用系統(tǒng)開發(fā)人員在編寫程序時，需要考慮潛在的安全問題，提高軟件自身容錯性，例如：一個典型的針對SMTP 服務器的拒絕服務攻擊，攻擊者可能向SMTP 服務器發(fā)送大量email，使得郵件服務器資源都被消耗殆盡，最終不能處理合法用戶的請求。那么開發(fā)人員就應限制單個用戶的多重并發(fā)會話，對應用程序的最大并發(fā)會話連接數(shù)進行限制，對一個時間段內可能的并發(fā)會話連接數(shù)進行限制，從而降低針對SMTP 的拒絕服務攻擊的風險。

（3）對應用系統(tǒng)的運行進行實時監(jiān)控，一旦出現(xiàn)異常，及時報警，使事件得到快速響應和處理，并提交審計報告，為應用系統(tǒng)持續(xù)健康穩(wěn)定運行提供技術保障。

（4）通過加密機制，保證通信數(shù)據(jù)和存儲數(shù)據(jù)的機密性。

（5）對信息系統(tǒng)關鍵核心應用、網(wǎng)絡設備通過雙機熱備技術保證應用數(shù)據(jù)及鏈路的穩(wěn)定安全。在系統(tǒng)軟件及硬件的支持下，設備在發(fā)生故障能自動啟動備份系統(tǒng)，而且主備之間的切換能夠實時熱倒換，即運行中即使發(fā)生設備故障切換也不會對網(wǎng)絡業(yè)務造成影響。

（6）對信息系統(tǒng)的關鍵部件采取冗余措施，采用分布式體系結構，對設備的關鍵部件，如主控引擎、交換轉發(fā)單元、電源系統(tǒng)、散熱系統(tǒng)等，進行冗余部署，保證系統(tǒng)在工作中不會全部失效。

（7）充分估算需要備份的應用系統(tǒng)數(shù)據(jù)總量，設計合理的備份調度周期，完善備份制度和策略，建立統(tǒng)一備份系統(tǒng)。

3 結束語

信息安全具有動態(tài)性，安全風險不斷在變化，信息系統(tǒng)的安全并非單純的技術解決方案，企業(yè)對全網(wǎng)的管控同樣很重要。在管理層面，我們的安全工作主要體現(xiàn)在制定嚴格的安全管理制度，明確安全職責劃分以及人員角色的合理配置。這些工作都可以在很大程度上降低其他層次的安全隱患。當今網(wǎng)絡安全事件已經(jīng)完全滲透到真實世界里，通過建設信息系統(tǒng)的安全體系，保證信息系統(tǒng)的安全，全面的防御與規(guī)劃，才能使我們的企業(yè)擁有符合實際需求的信息安全縱深防御體系，防患于未然，避免出現(xiàn)重大安全事故。