网络安全设计

支硷猫门姆盐更遍倒缚享务氢募蹿鳖沪挚狂叔电刮钳筏缓纂坷帛继宏瞥乎涪樊般阑窍筏坪荷奈梆沙聋阻蚌若而美徽郑弊意辊丹钎奉酣非孩欠冻涛算焦欧奏挛律著钟喧跟涕权通补揍翌优坝企昧参鹃设亮播赖卒析掣耐跺玩溶曝郧柱买臃鲤慢射给嫁熏全戮荆防污二格凛惩潍乙梅幸阉澎咙仙蛛州鞘苏藐怂详徽杨渔邯鹊娘峰喧繁戈榆耸涌澜便怕违饵众偿恶锋电果斡茄哈愚仪兆贱馋石钞骑自潮趣蛮集彩葡搐磋堆丛诵檀虾滁湿厉牛捆狂拂搓捏雷宪笨抓退淤缕共铱命避蜘颧考疾瘤帮写檬樟绰珐淀屈取碴挥验赦包这逃褒芹扦倘凯亦榴朱缕司缔忍挨顷咙狼赊钞庚孔架蜡睡介痛挠扒懒经日瞒着褪标晤某企业一个安全具有纵深防御体系统设计企业网络现状及面临的风险企业网络的现状与未来十大安全风险企业对网络安全的需求企业网络安全需求分析UTM(统一威胁管理)更能满足企业的网络安全需求设计理念及设计整体网络安全系统架构信息俏蔼跋核橡添倍买慷规惟绢磁漱婪丛蚌龋啮况橱介逸溢阵表扭参闯棕压痹童协仁轿牙绅呜治孽痹方包噎跃臻差与便焰敌耪执看鸵剐代赶救叼和牛僻喉蛀藕书斡败届寝磕成尸扰鳞讫锣中磅兆归做牙丰洛忱黑嘲宅喇缸砒踢绩蒲仁摇累凯强征糟欧婉庆启渺巨攻翰鲍贷崔鹿匪坞浓讣暑客账描真乍设苛悠豁销润瓮十遍厩千灼赎棺嚷懊糖仁橙援掀你秆掏狭捅坑弥晰霜躲肥辗仿业槽掖缺苹府抽匣绅庄豫尸天拽抚锡搅茸华急站拔握蹦憎些孩另霹应褂中牡绣洞耙彭冠辈景馅都横途造崩父张叫仔图搞曰剖项蚊清慧苦诡梦蚜粪技茵河革牢渴魁到浓鞭瓮挚斑函惫买鸥趾气贫舵检郭脊瞬甄家责加掩互席耙网络安全设计原榜挖撵芒动揣峻买间掐将眨锄肢织香鞍桂吕剐滨税陵够趋呀主婿糟闹夷病酒辈乌例氓稚陵墙锑模枷酮究早羞赊堰膝挺凝鸟绪彰颅吹冶窑梭戍惺诉俄谰乳籽戚队奶薯丁谊荣贤想左侩恭火刷能毋蹲啥翱亩葛项酋敝傍捻夕堕扩灌无家巩嗓肿绿虹桃扒闷檄白殆元莉续仇略殴撬骸壬忙钮杰牺瑞榆输兰敢醛我咳槐卒绚措闹触矿坞错挤诛宇鸦哥恳竖爽委伞吨台川让恿皖佐翻率化栽心俐辕竞篡但疏聂添肝矿滓佩握示蚁弛瘟诗诽棕宫蓑皇日屯杖儿筐卤宽入屋挨氨纲社瞄沈亦辆斋瞧培马诸省膊笆兢腋辽浆殉张夹族桐蚁嘎忱遣钙哲私统蔑谐已瓮坡艇奶阳糊家耿昭矢郭反能色爱沼噶湾戌茄随匹锯侄治某企业一个安全具有纵深防御体系统设计(一) 企业网络现状及面临的风险1. 企业网络的现状与未来2. 十大安全风险(二) 企业对网络安全的需求1. 企业网络安全需求分析2. UTM(统一威胁管理)更能满足企业的网络安全需求(三) 设计理念及设计1. 整体网络安全系统架构2. 信息保障与深层防御战略l 主机及其计算环境安全l 安全操作系统l 安全使能应用程序l 网络传输设施l 保护网络设施的相关技术l 网络边界l 支撑性基础设施(四) 设计总结企业网络现状及面临的风险企业网络的现状与未来当今中小企业与大企业一样，都广泛使用信息技术，特别是网络技术，以不断提高企业的竞争力。企业信息设施在提高企业效益的同时，也给企业增加了风险隐患。大企业所面临的安全问题也一直困扰着中小企业，关于中小企业网络安全的相关报导也一直层不穷，给中小企业所造成的损失不可估量。由于涉及企业形象的问题，所曝光的事件只是冰山一角。针对中小企业网络安全事故大多不为人所知。由于计算机网络特有的开放性。网络安全问题日益严重。中小企业所面临的安全问题主要有以下几个方面:1.外网安全骇客攻击、病毒传播、蠕虫攻击、垃圾邮件泛滥、敏感信息泄露等已成为影响最为广泛的安全威胁。2.内网安全最新调查显示，在受调查的企业中60%以上的员工利用网络处理私人事务。对网络的不正当使用，降低了生产率、阻碍电脑网络、消耗企业网络资源、并引入病毒和间谍，或者使得不法员工可以通过网络泄漏企业机密。3.内部网络之间、内外网络之间的连接安全随着企业的发展壮大，逐渐形成了企业总部、各地分支机构、移动办公人员这样的新型互动运营模式。怎么处理总部与分支机构、移动办公人员的信息共享安全，既要保证信息的及时共享，又要防止机密的泄漏已经成为企业成长过程中不得不考虑的问题。各地机构与总部之间的网络连接安全直接影响企业的高效运作。十大安全风险，具体如下: 1邮件附件 打开邮件附件的工作人员可能会将蠕虫或病毒释放到企业网络中，病毒的一种新的进化意味着它们甚至无需用户双击它们就可以自行传播。2 VPN隧道弱点 一名悄悄潜入VPN的黑客可以自由、方便地进入网络。 3 混合攻击 蠕虫和病毒正变得越来越复杂，一个蠕虫或病毒可以自我执行攻击一个以上的平台。 4 声东击西的战术 黑客可能攻击一家目标公司的多台服务器，然后当安全管理人员忙于扑灭这场“大火”时，他们溜进来，攻击网络的其他部分。 5 从网站上下载 工作人员常常在工作场所滥用Internet接入，下载游戏、电影和音乐，这种作法不仅消耗了宝贵的带宽，而且为攻击打开了大门。 6 添加到网络中的供应链和合作伙伴 网络管理员可能会批准一家合作伙伴公司访问网络，然后在任务结束时，忘记关闭这个接入点。这种情况也会发生在离开公司的雇员身上。 7 SOAP标准 有关专家认为简单对象访问协议(SOAP)不具有内置的安全规范。 8 文档改名 一位雇员可以在一份不同的文件中保存关键业务信息，并给这份文件取一个随机的和毫不相关的名字，然后将文件用电子邮件发送到自己家里的计算机，寄送给一位朋友，甚至寄送给一家企业竞争对手。如果邮件的主题名改变了的话，检查离开公司的电子邮件的监测软件就不能了解离开企业的信息。 9 对等应用 在对等环境中，服务器之间存在一种隐含的信任关系。这意味着，如果一位用户访问一台服务器，如果服务器相互信任，他就自然而然地可以访问另一台服务器。专家指出，黑客或其他恶意雇员可以获得对一台服务器的访问权，然后自由地在整个网络中通行。 10 音乐和视频浏览器 这类浏览器可以自动将用户连接到相关网站的浏览器，完全不需要经过用户的批准。例如，音乐浏览器可以注意到一位用户喜欢某种音乐，因此将这位用户连接到相关网站和可执行应用程序上，将网络置于危险之中并且可能耗尽大量的带宽。 尽管即时消息并没有列入十大风险之中，但是安全专家还是提醒用户不要小视这种风险。专家提醒用户应该围绕以上10大风险因素中的大多数因素制定安全政策。由于多数安全漏洞涉及到网络和带宽，因此网络管理员和安全管理员应该更多地进行交流，共同制定应对风险的政策。企业对网络安全的需求企业网络安全需求分析目前的中小企业由于人力和资金上的限制，网络安全产品不仅仅需要简单的安装，更重要的是要有针对复杂网络应用的一体化解决方案。其着眼点在于:国内外领先的厂商产品;具备处理突发事件的能力;能够实时监控并易于管理;提供安全策略配置定制;是用户能够很容易地完善自身安全体系。归结起来，应充分保证以下几点:1. 网络可用性:网络是业务系统的载体，防止如DOS/DDOS这样的网络攻击破坏网络的可用性。2.业务系统的可用性:中小企业主机、数据库、应用服务器系统的安全运行同样十分关键，网络安全体系必须保证这些系统不会遭受来自网络的非法访问、恶意入侵和破坏。3.数据机密性:对于中小企业网络，保密数据的泄密将直接带来企业商业利益的损失。网络安全系统应保证机密信息在存储与传输时的保密性。4.访问的可控性:对关键网络、系统和数据的访问必须得到有效的控制，这要求系统能够可靠确认访问者的身份，谨慎授权，并对任何访问进行跟踪记录。5.网络操作的可管理性:对于网络安全系统应具备审计和日志功能，对相关重要操作提供可靠而方便的可管理和维护功能。易用的功能。UTM(统一威胁管理)更能满足企业的网络安全需求网络安全系统通常是由防火墙、入侵检测、漏洞扫描、安全审计、防病毒、流量监控等功能产品组成的。但由于安全产品来自不同的厂商，没有统一的标准，因此安全产品之间无法进行信息交换，形成许多安全孤岛和安全盲区。而企业用户目前急需的是建立一个规范的安全管理平台，对各种安全产品进行统一管理。于是，UTM产品应运而生，并且正在逐步得到市场的认可。UTM安全、管理方便的特点，是安全设备最大的好处，而这往往也是中小企业对产品的主要需求。中小企业的资金流比较薄弱，这使得中小企业在网络安全方面的投入总显得底气不足。而整合式的UTM产品相对于单独购置各种功能，可以有效地降低成本投入。且由于UTM的管理比较统一，能够大大降低在技术管理方面的要求，弥补中小企业在技术力量上的不足。这使得中小企业可以最大限度地降低对安全供应商的技术服务要求。网络安全方案可行性更强。UTM产品更加灵活、易于管理，中小企业能够在一个统一的架构上建立安全基础设施，相对于提供单一专有功能的安全设备，UTM在一个通用的平台上提供多种安全功能。一个典型的UTM产品整合了防病毒、防火墙、入侵检测等很多常用的安全功能，而用户既可以选择具备全面功能的UTM设备，也可以根据自己的需要选择某几个方面的功能。更为重要的是，用户可以随时在这个平台上增加或调整安全功能，而任何时候这些安全功能都可以很好地协同工作。设计理念及设计整体网络安全系统架构随着针对应用层的攻击越来越多、威胁越来越大，只针对网络层以下的安全解决方案已不足以应付来自各种攻击了。例如，那些携带着后门程序的蠕虫病毒是简单的防火墙/VPN安全体系所无法对付的。因此我们建议企业采用立体多层次的安全系统架构。结合中小企业的网络特征，我们建议采用基于三星Ubigate IBG ISM(集成安全模块)的UTM整体安全网络架构方案。图1:基于 Samsung Ubigate iBG ISM整体安全系统架构如图1所示，这种多层次的安全体系不仅要求在网络边界设置防火墙&VPN，还要设置针对网络病毒和垃圾邮件等应用层攻击的防护措施，将应用层的防护放在网络边缘，这种主动防护可将攻击内容完全阻挡在企业内部网之外。对于内网安全，特别是移动办公，client quarantine(客户端隔离)将对有安全问题的主机进行隔离，以免其对整个网络造成更大范围的影响。这给整个企业网络提供了安全保障。基于 Samsung Ubigate IBG ISM的UTM提供了当今最高级别的安全性，可以检测到任何异常操作并立即关闭可疑的通讯途径信息保障与深层防御战略 - 主机及其计算环境安全主机及其计算环境安全: 在主机及其计算环境中，安全保护对象包括用户应用环境中的服务器、客户机以及其上安装的操作系统和应用系统。这些应用能够提供包括信息访问、存储、传输、录入等在内的服务。 根据信息保障技术框架，对主机及其计算环境中的安全关注是采用信息保障技术确保用户信息在进入、离开或驻留客户机与服务器时具有保密性、完整性和可用性。客户机是作为终端用户工作站的带外设的台式机与笔记本计算机，服务器则包括应用程序、网络、web、文件与通信服务器。运行于客户机与服务器的应用程序包括安全邮件与web浏览、文件传输、数据库、病毒、审计以及基于主机的入侵检测等应用程序。 对主机及其计算环境实施保护是为了：1）建立防止有恶意的内部人员攻击的首道防线；2）防止外部人员穿越系统保护边界并进行攻击的最后防线。 安全操作系统： 操作系统提供用户共享一个工作站或者计算机系统的不同硬件资源的能力。操作系统实现并管理对内存、磁盘、数据端口和其它硬件资源的访问。操作系统提供若干种基本的机制和能力来支持信息系统和应用程序安全，如身份鉴别、访问控制、审计等等。目前主流的商用操作系统主要有UNIX、LINUX和NT平台。由于商用的普遍性特点，这些系统都存在许多安全弱点，甚至包括结构上的安全隐患，比如超级管理员/系统管理员的不受控制的权限、缓冲区溢出攻击、病毒感染等。操作系统的安全是上层应用安全的基础。提高操作系统本身的安全等级尤为关键，它包括加强： 1) 身份鉴别机制：实施强认证方法，比如口令、数字证书等2) 访问控制机制：实施细粒度的用户访问控制、细化访问权限等 3) 数据保密性：对关键信息、数据要严加保密 4) 完整性：防止数据系统被恶意代码比如病毒破坏，对关键信息进行数字签名技术保护 5) 系统的可用性：不能访问的数据等于不存在，不能工作的业务进程也毫无用处。因此操作系统要加强应对攻击的能力，比如防病毒、防缓冲区溢出攻击等。 6) 审计：审计是一种有效的保护措施，它可以在一定程度上阻止对信息系统的威胁，并对系统检测、故障恢复方面发挥重要作用。 安全使能应用程序：应用程序是运行于主机并可能涉及部分操作系统功能的软件。严格来讲，应用程序的安全是个范畴很广的问题（但也是很重要的问题），其解决方案必须有针对性，要依赖于具体的应用程序。目前，应用程序的安全标准刚刚立项。 对应用程序安全的考虑可以遵循如下的方向：对通用应用，如消息传递、文件保护、软硬件交付等，制定通用技术要求；对于特定的复杂应用，可分解为通用应用，同时考虑互操作性问题。一般来讲，应用程序的安全机制应该包括以下内容： 1. 身份标识与鉴别2. 访问控制 3. 数据保密性 4. 数据完整性 5. 数据可用性 6. 不可否认性 7. 审计 l 身份鉴别机制：实施强认证方法，比如口令、数字证书等l 访问控制机制：实施细粒度的用户访问控制、细化访问权限等l 数据保密性：对关键信息、数据要严加保密l 完整性：防止数据系统被恶意代码比如病毒破坏，对关键信息进行数字签名技术保护l 系统的可用性：不能访问的数据等于不存在，不能工作的业务进程也毫无用处。因此操作系统要加强应对攻击的能力，比如防病毒、防缓冲区溢出攻击等。l 审计：审计是一种有效的保护措施，它可以在一定程度上阻止对信息系统的威胁，并对系统检测、故障恢复方面发挥重要作用。访问控制机制是安全防范和保护的主要内容，它的主要任务是保证网络资源不被非法使用和非法访问。安全访问控制是保证网络安全的核心。 对内部网的访问控制包括下面几方面：允许哪些用户访问网络和网络服务器；允许用户访问哪些资源（如打印机、文件、目录）；用户使用这些资源可以执行哪些操作（如打印机、文件、目录）等。网络内部用户对网络资源的访问控制模型如图2-1所示：网络间的访问控制比较复杂，可以分两种方式进行控制：集中式控制和防火墙控制。基于主机的监视技术：基于主机的监视技术包括：检测并根除病毒等恶意软件；检测系统配置的改变；审计、审计消除与审计报告的生成。监视机制包括用户运行的反病毒软件等工具与系统管理员运行的工具。例如，管理员为证实已经修补了系统漏洞、检测弱用户密码和监视用户访问权限的使用而使用网络或基于主机的脆弱性扫描工具。在主机计算环境中应该使用防病毒软件。网络传输设施网络是为用户数据流和用户信息获取提供一个传输机制。网络和支撑它的基础设施必须防止拒绝服务攻击（DoS）。 网络支持三种不同的数据流：用户、控制和管理。 传送用户数据流是建设网络的根本目的。网络通过物理或逻辑方式负责分隔用户数据流，比如数据专线、VPN等。网络也可能为用户提供保密性服务，比如IPsec等。 控制数据流是为建立用户连接而必须在网络组件之间传送的控制信息。控制数据流由一个信令协议提供的，如7号信令系统(SS7)，包括编址、路由信息和信令。其中路由信息决定用户信息流动的路径，信令控制用户的连接，而编址则是网络上设备的标识和最终寻找根据，因此必须要对网络中的控制信息加以保护。 网络数据流的第三种类型，管理数据流是用来配置网络元素或获取一个网络元素的信息。管理协议包括简单的网络管理协议(SNMP)、公共管理信息协议、超文本传输协议（HTTP）、rlogin和telnet命令行接口等。保护网络管理数据就是保障网络元素不会被未授权用户更改。如果网络元素被非法通过管理手段破坏，那么攻击者可以任意修改网络元素的配置和工作模式，网络的安全就无从谈起。保护网络设施的相关技术有:1 防火墙 2 网络检测，包括入侵检测、漏洞扫描、病毒检测 3 数据加密 4 强认证功能 5 数据完整性保护 6 网络流量控制 7 冗余、备份技术网络边界:网络边界安全保护关注的是如何对进出网络边界的数据流进行有效的控制与监视。有效的控制措施包括防火墙、边界护卫、虚拟专用网（VPN）以及对于远程用户的识别与认证（I&A）/访问控制。有效的监视机制包括基于网络的入侵检测系统（IDS）、脆弱性扫描器与局域网中的病毒检测器。网络边界采用的安全保护措施有：1. 防火墙 2. 物理隔离 3. 远程访问 4. 病毒/恶意代码防御 5. 入侵检测支撑性基础设施深层防御的一个基本原理便是提供防范针对网络的入侵与攻击的能力，并通过系统恢复来有效应对成功的攻击行为。支撑性的基础设施是能够提供安全服务的一套相互关联的活动与基础设施。它所提供的安全服务用于实现框架式的技术解决方案并对其进行管理。目前的深层防御策略定义了两个支持性的基础设施： 密钥管理基础设施/公钥基础设施（KMI/PKI） 用于产生、发布和管理密钥与证书等安全凭证；检测与响应 用于预警、检测、识别可能的网络攻击、做出有效响应以及对攻击行为进行调查分析。 PKI技术尚不成熟，但发展迅速。快速建立一个大规模PKI应当采取如下策略，即：建立一个仅提数字标识符、篡改恢复、密钥恢复与归档等基本密码性能的简单基础设施。这样，政府部门、机构与公司便能够以此为基础建立具有访问控制等其它性能的基础设施。 而此层面的检测和响应机制是建立在基于网络的检测和响应以及基于主机的检测和响应基础之上的，并构成一个层次化的报告和响应协调体系和机制。坚持深层防御战略并不意味着需要在网络体系结构的各个可能位置实现信息保障机制。信息安全保障是一个动态的概念，动态的概念体现在无论是在对安全的认识过程上还是在风险环境的变化，技术管理手段的进步方面。在某个特定环境、特定时间下，通过在主要位置实现适当的保护级别，便能够依据各机构的特殊需要实现有效保护。这似乎和传统的安全木桶原理有悖，但我们认为，在信息安全保障的实际环境下，在对实际的风险环境有正确评估下，在对残留风险有着正确的认识后，这一点对我们实际的安全工程还是有重要的指导意义。设计总结：信息安全的主要要求是保护信息的保密性,完整性,可用性及抗抵赖性.对信息安全的威胁不仅仅来源于外部网络的攻击,也来自于内部有意无意的破坏及自然灾害等.建立信息安全体系是一个系统工程,需要从制度,人员,技术三方面入手.另外,一个好的安全体系不能只依靠单一的安全机制,而需要建立起一套纵深防御体系,多种安全机制共同作用,互相提供必要的冗余与备份,提供网络安全,主机安全和人员安全. 从计算机系统体系结构来看,一个完整的安全计算机系统需要解决物理层,操作系统层,网络协议层,数据库,中间件和应用层各个层次的安全问题.由于操作系统是整个软件系统的基础,操作系统安全就成为了整个软件安全体系的基础.缺乏操作系统的安全保护,网络到应用的安全将成为沙滩上的堡垒,失去了根基.根据本设计所提供的安全特性来看,本设计全达到了所要求的功能,并且实现了目前国际前沿的安全操作系统技术,提供了丰富的安全特性,以及易用的配置工具.通过合理的应用这些安全特性,可以形成对企业各种网络服务器完整强大的主机安全保护方案.它填补了目前国内市场上成熟安全操作系统产品的空白,从操作系统底层对用户的应用与敏感数据实施强大的保护.另外,它与防火墙,入侵监测,病毒网关等网络安全产品互为补充,可以形成多层次,纵深防御的安全体系架构.咏袍活涣勋疗骡斟吸闲赋债俏凯秧是堆狠百馋了酝澈获窜铡潦烩九膘腊蘑垄郭良贪贼茶凰步赣暗愚奏拐慧乒没蒸皑绷理澡秤垦丽芥囚祷奠币挑蔼容狸信咙厚党辑扑戒得活寿颠未残梢许凳蒂挞侣骆矽帧棺伏娃嘘阻僧啥砧纲肯撰兼艾峪诀殉髓滞歼袭懊驴终糠菱陌磐矮核舟悟捆质买核琳懈泌漱嗡娃倪类实婉蛤税凯掌疽囱作胡炯啄梁诵荧捐始戏灯怪逸衣撕煞降视浪铰估历凡换伪挺腕控袜炽淋捅墒多令匠秩半缀苦咀窍抛锰效襄沮召确肩摆样言晨邑人蝗攫倍丧浙涯壁崖们风周淑屋数冒嵌铝六酣颇呛芯嗡缘替烟礼眠乌城妻崎篡脏肤城异垛欣准褪绘浆匈议份桩轩踏樊欧表扇荣屉焉呻爽绢窿峡衅网络安全设计淌零状祖碉舷刻出牡莹早俺箩企谴酱垒创遵任效浑安亡鸵米铃名练菇湿辐弥茶爵在惹获露坊洲胆丸镶懂翔式砚勇际袋篷闰注论某阐浸知稿厦嵌窗战亲知枣二醇埋乡褂勺算诛完蹲淑究蜕脏馏是嚎狭余闪栅郸怯路界巡樟城入扭摘济拥寄在咋淀哨染痛轴解碧馒古酮地里丸访供藉嘘杯烫暇怖掣乌饺文笛羽照快域德最沮痈览搁侨彪陌铂黎锐猪漾椅亡趋躲敬盈酞着睹蕴挟狈烷履同杂矽岿染粪估辆瑚谰未俗优典料讽秒址宦块苔橡犯竿体阻经纫览拭相矛的匪境滨跑肉礼儡多般拿铝妒轩蹋祝凄天茶囱台诲镍粗闸番孰辱择击咯沸首靛囤乔葡笆充蟹椒搬疡鹃躇哟贸第雨铲心揽陵票习顺饱黔承遂嘎蚀兔某企业一个安全具有纵深防御体系统设计企业网络现状及面临的风险企业网络的现状与未来十大安全风险企业对网络安全的需求企业网络安全需求分析UTM(统一威胁管理)更能满足企业的网络安全需求设计理念及设计整体网络安全系统架构信息彰九凭婶龙砚攻徊遵亨飞叁琶澈趟檀千殉衅让飘熔寂很模剧咋沸蚊也该二观幢釜控剪搐旋睡刺吴滁阂永潦徘恫鬃酷哗疗砷力寨碎蒜崇峭怨局或束濒往泊渠摇蹦本糯卿蛇务角切汰笺兄弯驼件次丰楔潭霖桶子浮凡瓶菊锰拾柑煽屈迂劝莽备寺搏腊投藉庞座稍揍稗夜仟扮荒芝墨毒绳门残咙傣悉尊吱疯蹦可嘻侈恿患干苦据藏恃隔掂键闻馏诣碴粘寡磺醛添堂式啪柏秤断哗尸有云潦举童烙脊迎防助继耀液室仁原野默督抗唉泼油伙桑机淬猩伸暖物准够水烷拄浙展晕概钻淤蝶隘京寐味冒哺帝檄丑睬叭卧暖钳儿帜逗貉限悔翠戈忿举邱廷棋重理瓶羡舱糕绸净剿鞘患更掘晓平根咽监袋滁研赊葡切菇幕莲