1.4 网络安全策略

网络安全策略是指在特定的网络环境中，为提供一定级别的安全防护所必须遵守的规则，这个规则实际是安全策略模型，它包括3个重要的组成部分：法律、技术和管理。

1.4.1 网络安全策略设计的原则

网络安全策略必须针对网络的实际情况（如信息价值、攻击的危害程度、可使用的资金等因素），综合考虑成本和效率的平衡而设计。网络安全策略的设计过程应符合以下原则。

1.木桶原则

木桶原则是指对网络环境进行均衡、全面的保护。攻击者往往攻击网络系统中最薄弱的地方，因此，网络安全策略的设计要求充分、全面、完整地考虑整个网络系统的安全漏洞和安全威胁，做出较为平衡、周密的应对机制，提高整个网络系统的安全性能。

2.整体性原则

这一原则要求在网络安全策略设计时考虑各种安全措施的整体一致性。网络安全策略的设计必须考虑网络环境中的各种因素（各类用户以及各种设备、软件、数据等）的具体情况，有针对性地采取相应的策略。

3.均衡原则

对于任何网络，安全都是相对的，安全策略的制定都要符合实际的根本需求和用户的需求评价。安全体系设计并非越多越全就越好，安全策略的设计要平衡和协调用户需求、网络系统的规模和范围、系统的性质和信息的重要程度以及风险与成本的关系，做到安全性与可用性相适应。

4.一致性原则

在网络工作的整个周期中，网络体系的设计应与网络安全的需求相一致，在网络系统建设的各个环节都应该制定相对应的安全策略。这样才能确保各个分系统的一致性，使整个系统安全地互联互通、信息共享。

5.技术与管理相结合原则

安全体系是一个复杂的系统工程，涉及人、技术、操作等要素，单靠技术或单靠管理都不可能实现。因此，必须将各种安全技术与运行管理机制、人员安全意识与技术培训、安全规章制度与机制的建设相结合来考虑。

6.统筹规划，分步实施原则

由于政策规定、实际需求的变化，以及环境、条件、时间的变化，再加上攻击手段的增加，安全防护不可能一步到位，但可在一个比较全面的安全规划下，根据网络的实际需要，先建立基本的安全体系，保证基本的、必需的安全性。今后随着网络规模的扩大及应用的增加，以及网络应用和复杂程度的变化，网络脆弱性也会不断增加，可以根据当时的安全需求调整或增强安全防护力度，保证整个网络最根本的安全需求。

7.等级性原则

等级性原则是指安全层次和安全级别。网络安全策略设计时应该针对不同级别的安全对象（信息保密分级、权限分级、安全程度分级、系统结构分级），应用对应的安全机制，以满足网络中不同层次安全的需求。

8.动态性原则

由于网络用户不断增加、网络规模不断扩大、网络技术不断发展以及安全隐患不断发现，网络安全策略需要根据变化不断调整安全措施，持续不断地修改和升级，提高安全系统的可用性。

9.易操作性原则

安全策略的设计必须具有可操作性，对于实施难度过高和过于复杂的策略来说它们本身就使得安全性变差，也使得网络管理员不容易操作和管理。

1.4.2 几种网络安全策略

网络安全策略是指在安全法律、法规、政策的支持与指导下，在某个安全区域内，由区域内的权威机构采用合适的安全管理方法和安全技术建立的相关规则。

1.物理安全策略

物理安全策略主要是指计算机硬件系统和网络硬件系统的安全，特别要注意中心机房的硬件系统的安全，主要涉及机房环境、供电安全的保障（如UPS的性能）、防雷安全等。物理安全策略的目的是保护网络环境中计算机系统、网络服务器、网络设备等硬件实体和网络通信线缆免受自然灾害和人为破坏；确保计算机系统有一个良好的电磁辐射的工作环境；建立完备的安全管理制度，防止非法进入、偷窃和破坏活动在网络系统环境中发生。

2.访问控制策略

访问控制是网络安全防范和保护的主要策略，它的主要任务是阻止非法用户进入网络，保证网络的可用性。同时，该策略可以实现对用户权限的控制，结合审计机制实现网络资源和数据的安全可靠；但访问控制策略必须和其他各种安全策略相互配合才能真正起到保护作用。

访问控制在文件访问和网络访问中使用很多，访问控制通常需要定义访问的主体和客体。主体通常是访问者，可以是计算机也可以是某个应用进程或者程序，客体通常指的是网络资源。访问控制主要有强制访问控制和自主访问控制两种。

3.信息加密策略

加密策略是信息安全的核心技术，也是对付网络中各种安全威胁的有力武器，通过适当的加密技术和管理机制可以保证网络通信安全，确保信息不暴露给未授权的实体和进程。它可以将一个通俗易懂的明文变换成一个晦涩难懂的密文，实现对网络数据的保密。信息加密过程是由加密算法来具体实施的，它以很小的代价提供很大的安全保护。加密算法分为对称密码算法和非对称密码算法。

4.网络安全管理策略

在网络安全中，除了加强网络上的安全服务功能和安全保密措施外，还需要加强网络的安全管理，制定有关规章制度和应急措施。

网络的安全管理策略包括：确定网络系统的安全等级、制定安全管理等级和安全管理范围、制定严格的网络操作使用规程、制定机房出入管理制度、制定完备的网络系统维护制度和应急措施等。