◆充分考虑新星网络的系统数据、文件的安全可靠性，所选产品与现系统具有良好的一致性和兼容性，以及最低的系统资源占用，保证不对现有系统运行产生不良影响。
◆应用全球最为先进的“实时监控”技术，充分体现趋势科技“以防为主”的反病毒思想。
◆所选用产品具备对多种压缩格式文件的病毒检测。
◆所选用产品易于安装、操作简便、便于管理和维护，具有友好的用户界面。
◆应用经由ICSA(国际电脑安全协会)技术认证的扫描引擎，保证对包括各种千面人病毒、变种病毒和黑客程序等具有最佳的病毒侦测率，除对已知病毒具备全面的侦防能力，对未知病毒亦有良好的侦测能力。强调在新星网络防毒系统内，实施统一的防病毒策略、集中的防毒管理和维护，最大限度地减轻使用人员和维护人员的工作量。
◆完全自动化的日常维护，便于进行病毒码及扫描引擎的更新。
◆提供良好的售后服务及技术支持。
◆具有良好的可扩充性，充分保护用户的现有投资，适应 新星网络系统的今后发展需要
4.3.3.2 产品应用
根据新星企业网络系统的结构和应用特点，病毒防御可采取多种措施：
◆网关防毒;
◆服务器防毒;
◆客户端防毒;
◆邮件防毒;
应用拓扑如下图：
13
图4-4病毒应用拓扑图
在网络骨干接入处，安装防毒墙(即安装有网关杀毒软件的独立网关设备)，由防毒墙实现网络接入处的病毒防护。由于是安装在网络接入处，因此，对主要网络协议进行杀毒处理(SMTP、FTP、HTTP)。
在服务器上安装单独的服务器杀毒产品，对服务器进行病毒保护。
由于内部存在几十个网络客户端，如采用普通杀毒软件会造成升级麻烦、使用不便等问题。可在服务器上安装客户端防病毒产品(客户端杀毒软件的工作模式是服务器端、客户端的方式)的服务器端，由客户端通过网络与服务器端连接后进行网络化安装。对产品升级，可通过在服务器端进行设置，自动通过INETRNET进行升级，再由客户端到服务器端进行升级，大大简化升级过程，并且整个升级是自动完成，不需要人工操作。
对邮件系统，可采取安装专用邮件杀毒产品，通过在邮件服务器上安装邮件杀毒程序，实现对内部邮件的杀毒，保证邮件在收、发时都是经过检查的，确保邮件无毒。
通过这种方法，可以达到层层设防的作用，最终实现病毒防护。
4.3.4 数据备份
14
新星企业内部存在大量的数据，而这里面又有许多重要的、机密的信息。而整个数据的安全保护就显得特别重要，对数据进行定期备份是必不可少的安全措施。在采取数据备份时应该注意以下几点：
◆存储介质安全
在选择存储介质上应选择保存时间长，对环境要求低的存储产品，并采取多种存储介质备份。如同时采用硬盘、光盘备份的方式。
◆数据安全
即数据在备份前是真实数据，没有经过篡改或含有病毒。
◆备份过程安全
确保数据在备份时是没有受到外界任何干扰，包括因异常断电而使数据备份中断的或其它情况。
◆备份数据的保管
对存有备份数据的存储介质，应保存在安全的地方，防火、防盗及各种灾害，并注意保存环境(温度、湿度等)的正常。同时对特别重要的备份数据，还应当采取异地备份保管的方式，来确保数据安全。对重要备份数据的异地、多处备份(避免类似美国911事件为各公司产生的影响)
4.3.5 安全审计
作为一个良好的安全系统，安全审计必不可少。
由于新星企业是一个非常庞大的网络系统，因而对整个网络(或重要网络部分)运行进行记录、分析是非常重要的，它可以让用户通过对记录的日志数据进行分析、比较，找出发生的网络安全问题的原因，并可作为以后的法律证据或者为以后的网络安全调整提供依据。
4.3.6 认证、鉴别、数字签名、抗抵赖
15
由于新星企业网络系统庞大，上面存在很多分级的重要信息;同时，由于现在国家正在大力推进电子政务的发展，网上办公已经越来越多的被应用到各级政府部门当中，因此，需要对网上用户的身份、操作权限等进行控制和授权。对不同等级、类型的信息只允许相应级别的人进行审阅;对网上公文的处理采取数字签名、抗抵赖等相应的安全措施。
4.4 物理安全
新星企业网络系统的物理安全要求是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾和雷击等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。
4.4.1 两套网络的相互转换
由于新星企业内部网络系统具有两套网络，这两套网络系统是完全物理隔离的，而企业内部有部分用户需要两个网络都要接入，这就涉及到两个网络之间的相互切换问题。而现在的实际使用是采用手工拔插网线的方式进行切换，这使得使用中非常不方便。因此，本方案建议采用网络隔离卡的方式来解决网络切换的问题。
4.4.1.1 隔离卡工作方式
隔离卡上有两个网络接口，一个接内网，一个接外网;另外还有一个控制口，通过控制口连接一个控制器(只有火柴盒大小)，放置于电脑旁边。同时，在隔离卡上接两个硬盘，使一个计算机变为两个计算机使用，两个硬盘上分别运行独立的操作系统。这样，可通过控制器进行切换(简单的开关，类似电源开关)，使计算机分别接到两个网络上。
4.4.1.2 应用
根据新星企业网络的实际情况，需要在二、三、四楼共20个信息点上安装隔离卡。其中二楼6个，三楼12个，四楼2个。
4.4.2 防电磁辐射
16
普通的综合布线系统通常都采用5类UTP的方式，由于电信号在传输时存在电磁场，并随着信号的改变而改变磁场的强弱，而UTP本身没有任何的屏蔽功能，因此容易被国外间谍机构或不法分子采取电磁波复原的方法窃取重要机密信息，造成严重后果。因而对重要信息点的数据传输介质应采取相应的安全措施，如使用屏蔽双绞线等
终端设备尤其是CRT显示器均有程度不同的电磁辐射问题，但又因终端分散使用不宜集中采用屏蔽室的办法来防止，因此除要求在订购设备上尽量选取低辐射产品外，还应根据保护对象分别采取主动式的干扰设备(如干扰机来破坏对信息的侦窃)，或采用加装带屏蔽门窗的屏蔽室。
4.4.3 网络防雷
由于新星企业网络系统的物理范围主要是在一栋大楼内，而大楼本身已采取相应的防雷措施，因此，本方案中主要针对网络系统防雷进行设计，不包括电源防雷(这一般属于大楼防雷的部分)。
不少用户为防止计算机及其局域网或广域网遭雷击，便简单地在与外部线路连接的调制解调器上安装避雷器，但由于静电感应雷、防电磁感应雷主要是通过供电线路破坏设备的，因此对计算机信息系统的防雷保护首先是合理地加装电源避雷器，其次是加装信号线路和天馈线避雷器。如果大楼信息系统的设备配置中有计算机中心机房、程控交换机房及机要设备机房，那么在总电源处要加装电源避雷器。按照有关标准要求，必须在0区、1区、2区分别加装避雷器(0区、1区、2区是按照雷电出现的强度划分的)。在各设备前端分别要加装串联型电源避雷器(多级集成型)，以最大限度地抑制雷电感应的能量。同时，计算机中心的MODEM、路由器、甚至HUB等都有线路出户，这些出户的线路都应视为雷电引入通道，都应加装信号避雷器。对楼内计算机等电子设备进行防护的同时，对建(构)筑物再安装防雷设施就更安全了。
根据新星企业网络结构、物理结构、电源结构分析，防雷系统可采取两级防雷措施：
◆骨干网络防雷;
◆终端防雷;
17