计算机网络安全

目录内容摘要1关键词1Abstract.1Key words.11 需求分析.11.1原因分析11.2影响网络安全的主要因素22计算机网络攻击的特点和途径.22.1计算机网络攻击特点22.2网络攻击和入侵的主要途径33网络安全重要性.44计算机网络安全存在的问题.55计算机网络的安全策略.55.1加强安全制度的建立和落实工作55.2物理安全策略65.3访问与控制策略66计算机网络安全管理及防御.86.1计算机网络安全管理86.2计算机网络安全防范措施97计算机网络安全应具备的功能.138方案设计并实现.138.1桌面安全系统.138.2病毒防护系统.148.3动态口令身份认证系统.158.4访问控制“防火墙”.158.5信息加密、信息完整性检验.158.6安全审计系统.168.7入侵检测系统IDS.178.8漏洞扫描系统.179结束语.18参考文献.19致谢.20编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第21页 共22页计算机网络安全内容摘要：计算机网络已经应用了多年,INTNET已经发展成为一个规模非常庞大的网络,并且网络还在不断的扩大。但是到目前为止,网络安全存在着很大的风险,整个网络的安全体系一直是各国重点研究的领域。 关键词：计算机，网络，安全Abstract： The computer network has been used for many years, INTNET has developed into a very large network, and the network is continually expanding. But so far, there are significant network security risks, the entire network security system has been a national priority research areas. Keywords：computer, network, security1.需求分析随着计算机网络的广泛应用，全球信息化已成为人类发展的大趋势。但由于计算机网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互连性等特征，致使网络易受黑客、怪客、恶意软件和其他不轨的攻击。因此，计算机网络的防范措施应是能全方位针对不同的威胁，这样才能确保网络信息的保密性、完整性和可用性。 1.1原因分析2005年6月17日报道万事达信用卡公司称，大约4000万名信用卡用户的账户被一名黑客利用电脑病毒侵入，遭到入侵的数据包括信用卡用户的姓名、银行和账号，这都能够被用来盗用资金。如果该黑客真的用这些信息来盗用资金的话，不但将给这些信用卡用户带来巨大的经济损失，而且侵犯了这些信用卡用户的个人隐私。 网络安全从本质上来讲就是网络上的信息安全,是指网络系统的硬件、软件及其系统中的数据受到保护,不受偶然的或者恶意的原因而遭到破坏、更改、泄露,系统连续可靠正常的运行,网络服务不中断。广义来说,凡是涉及到网络上信息的机密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全所要研究的领域。网络安全涉及的内容既有技术方面的问题,也有管理方面的问题,两方面相互补充,缺一不可。技术方面主要侧重于防范外部非法用户的攻击,管理方面则侧重于内部人为因素的管理。如何更有效的保护重要的信息数据、提高计算机网络系统的安全性已经成为所有计算机网络应用必须考虑和必须解决的一个重要问题。 网络安全是在网络的安全性、功能性和易用性之间平衡的结果。真正安全的机器是没有联网的机器,就是说随着系统薄弱环节的数量减少或是消除,系统可能遭受的攻击量也随之减少直至消除,但是系统的功能性也降低甚至失去功能性。一个企业或是单位没有真正安全服务的一个主要原因就是当其提高安全性时就会减少功能性。而功能性是维持企业或单位正常运转的关键。因此网络安全的目标应该是在提供所需的功能性的情况下如何使风险最小化。1.2影响网络安全的主要因素1、网络系统在稳定性和可扩充性方面存在问题。由于设计的系统不规范、不合理以及缺乏安全性考虑，因而使其受到影响。2、 网络硬件的配置不协调。一是文件服务器。它是网络的中枢，其运行定性、功能完善性直接影响网络系统的质量。网络应用的需求没有引起足够的重视，设计和选型考虑欠周密，从而使网络功能发挥受阻，影响网络的可靠性、扩充性和升级换代。二是网卡用工作站选配不当导致网络不稳定。3、缺乏安全策略。许多站点在防火墙配置上无意识地扩大了访问权限，忽视了这些权限可能会被其他人员滥用。 4、访问控制配置的复杂性，容易导致配置错误，从而给他人以可乘之机。 5、管理制度不健全，网络管理、维护任其自然2计算机网络攻击的特点和途径2.1计算机网络攻击具有下述特点1、损失巨大 由于攻击和入侵的对象是网络上的计算机，所以一旦他们取得成功，就会使网络中成千上万台计算机处于瘫痪状态，从而给计算机用户造成巨大的经济损失。如美国每年因计算机犯罪而造成的经济损失就达几百亿美元。平均一起计算机犯罪案件所造成的经济损失是一般案件的几十到几百倍。2、威胁社会和国家安全 一些计算机网络攻击者出于各种目的经常把政府要害部门和军事部门的计算机作为攻击目标，从而对社会和国家安全造成威胁。如英国计算机专家麦金农，于2001年到2002年间共侵入了美国政府部门下属97台电脑，其中包括五角大楼、陆军、海军和美国国家航空航天局的系统，直接/间接损失达70万美元。此外，麦金农还曾致使美国军方华盛顿地区的2000多台电脑被迫关闭24小时。3、手段多样，手法隐蔽 计算机攻击的手段可以说五花八门。网络攻击者既可以通过监视网上数据来获取别人的保密信息；也可以通过截取别人的帐号和口令堂而皇之地进入别人的计算机系统；还可以通过一些特殊的方法绕过人们精心设计好的防火墙等等。这些过程都可以在很短的时间内通过任何一台联网的计算机完成。入侵完成获得目标主机的管理权限，入侵者就得擦除痕迹，准备撤退了因而犯罪不留痕迹，隐蔽性很强。4、以软件攻击为主 几乎所有的网络入侵都是通过对软件的截取和攻击从而破坏整个计算机系统的。它完全不同于人们在生活中所见到的对某些机器设备进行物理上的摧毁。因此，这一方面导致了计算机犯罪的隐蔽性，另一方面又要求人们对计算机的各种软件（包括计算机通信过程中的信息流）进行严格的保护。2.2网络攻击和入侵的主要途径 网络入侵是指网络攻击者通过非法的手段（如破译口令、电子欺骗等）获得非法的权限，并通过使用这些非法的权限使网络攻击者能对被攻击的主机进行非授权的操作。网络入侵的主要途径有：破译口令、IP欺骗和DNS欺骗。1、破译口令 口令是计算机系统抵御入侵者的一种重要手段，所谓口令入侵是指使用某些合法用户的帐号和口令登录到目的主机，然后再实施攻击活动。这种方法的前提是必须先得到该主机上的某个合法用户的帐号，然后再进行合法用户口令的破译。获得普通用户帐号的方法很多，如：利用目标主机的Finger功能：当用Finger命令查询时，主机系统会将保存的用户资料（如用户名、登录时间等）显示在终端或计算机上；利用目标主机的X.500服务：有些主机没有关闭X.500的目录查询服务，也给攻击者提供了获得信息的一条简易途径；从电子邮件地址中收集：有些用户电子邮件地址常会透露其在目标主机上的帐号；查看主机是否有习惯性的帐号：有经验的用户都知道，很多系统会使用一些习惯性的帐号，造成帐号的泄露。2、IP欺骗 IP欺骗是指攻击者伪造别人的IP地址，让一台计算机假冒另一台计算机以达到蒙混过关的目的。它只能对某些特定的运行TCP/IP的计算机进行入侵。IP欺骗利用了TCP/IP网络协议的脆弱性。在TCP的三次握手过程中，入侵者假冒被入侵主机的信任主机与被入侵主机进行连接，并对被入侵主机所信任的主机发起淹没攻击，使被信任的主机处于瘫痪状态。当主机正在进行远程服务时，网络入侵者最容易获得目标网络的信任关系，从而进行IP欺骗。IP欺骗是建立在对目标网络的信任关系基础之上的。同一网络的计算机彼此都知道对方的地址，它们之间互相信任。由于这种信任关系，这些计算机彼此可以不进行地址的认证而执行远程操作。你浏览的这篇免费计算机网络论文由论文共享网收集于网络，版权归原作者所有！3、DNS欺骗 域名系统（DNS）是一种用于TCP/IP应用程序的分布式数据库，它提供主机名字和IP地址之间的转换信息。通常，网络用户通过UDP协议和DNS服务器进行通信，而服务器在特定的53端口监听，并返回用户所需的相关信息。DNS协议不对转换或信息性的更新进行身份认证，这使得该协议被人以一些不同的方式加以利用。当攻击者危害DNS服务器并明确地更改主机名IP地址映射表时,DNS欺骗就会发生。这些改变被写入DNS服务器上的转换表。因而,当一个客户机请求查询时,用户只能得到这个伪造的地址,该地址是一个完全处于攻击者控制下的机器的IP地址。因为网络上的主机都信任DNS服务器,所以一个被破坏的DNS服务器可以将客户引导到非法的服务器,也可以欺骗服务器相信一个IP地址确实属于一个被信任客户。3网络安全的重要性 在信息化飞速发展的今天，计算机网络得到了广泛应用，但随着网络之间的信息传输量的急剧增长，一些机构和部门在得益于网络加快业务运作的同时，其上网的数据也遭到了不同程度的攻击和破坏。攻击者可以窃听网络上的信息，窃取用户的口令、数据库的信息；还可以篡改数据库内容，伪造用户身份，否认自己的签名。更有甚者，攻击者可以删除数据库内容，摧毁网络节点，释放计算机病毒等等。这致使数据的安全性和自身的利益受到了严重的威胁。 根据美国FBI（美国联邦调查局）的调查，美国每年因为网络安全造成的经济损失超过170亿美元。75%的公司报告财政损失是由于计算机系统的安全问题造成的。超过50%的安全威胁来自内部。而仅有59%的损失可以定量估算。在中国，针对银行、证券等金融领域的计算机系统的安全问题所造成的经济损失金额已高达数亿元，针对其他行业的网络安全威胁也时有发生。 由此可见，无论是有意的攻击，还是无意的误操作，都将会给系统带来不可估量的损失。所以，计算机网络必须有足够强的安全措施。无论是在局域网还是在广域网中，网络的安全措施应是能全方位地针对各种不同的威胁和脆弱性，这样才能确保网络信息的保密性、完整性和可用性。4计算机网络安全存在的问题 影响计算机网络安全的因素很多，有些因素可能是有意的，也可能是无意的；可能是人为的，也可能是非人为的；可能是外来黑客对网络系统资源的非法使有。 1、计算机病毒：面临名目繁多的计算机病毒威胁计算机病毒将导致计算机系统瘫痪，程序和数据严重破坏，使网络的效率和作用大大降低，使许多功能无法使用或不敢使用。层出不穷的各种各样的计算机病毒活跃在各个网络的每个角落，如近几年的“冲击波”、“震荡波”、“熊猫烧香病毒”给我们的正常工作已经造成过严重威胁。 2、人为的无意失误：如操作员安全配置不当造成的安全漏洞，用户安全意识不强，用户口令选择不慎，用户将自己的账号随意转借他人或与别人共享等都会对网络安全带来威胁。 3、人为的恶意攻击：这是计算机网络所面临的最大威胁，以各种方式有选择地破坏信息的有效性和完整性。还有就是网络侦查，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信息。这两种攻击均可对计算机网络造成极大的危害，并导致机密数据的泄漏。 4、网络软件的缺陷和漏洞：网络软件不可能是百分之百的无缺陷和无漏洞的，然而，这些漏洞和缺陷恰恰是黑客进行攻击的首选目标。另外，软件的“后门”都是软件公司的设计编程人员为了自便而设置的，一般不为外人所知，但一旦“后门”洞开，其造成的后果将不堪设想。 5、物理安全问题：物理安全是指在物理介质层次上对存贮和传输的信息安全保护。如通信光缆、电缆、电话线、局域网等有可能遭到破坏，引起计算机网络的瘫痪。 5计算机网络的安全策略 5.1加强安全制度的建立和落实工作一定要根据本单位的实际情况和所采用 的技术条件，参照有关的法规、条例和其他单位的版本，制定出切实可行又比较全面的各类安全管理制度。主要有：操作安全管理制度、场地与实施安全管理制度、设备安全管理制度、操作系统和数据库安全管理制度、计算机网络安全管理制度、软件安全管理制度、密钥安全管理制度、计算机病毒防治管理制度等。制度的建立切不能流于形式，重要的是落实和监督。另外，要强化工作人员的安全教育和法制教育，真正认识到计算机网络系统安全的重要性和解决这一问题的长期性、艰巨性及复杂性。只有依靠人的安全意识和主观能动性，才能不断地发现新的问题，不断地找出解决问题的对策。 5.2物理安全策略对于传输线路及设备进行必要的保护，物理安全策略的目的是保护计算机系统、网络服务器等硬件实体和通信链路免受自然灾害、人为破坏和搭线攻击；验证用户的身份和使用权限、防止用户越权操作；确保计算机系统有一个良好的电磁兼容工作环境。物理安全可以分为两个方面：一是人为对网络的损害；二是网络对使用者的危害。 最常见的是施工人员由于对地下电缆不了解，从而造成电缆的破坏，这种情况可通过立标志牌加以防范；未采用结构化布线的网络经常会出现使用者对电缆的损坏，这就需要尽量采用结构化布线来安装网络；人为或自然灾害的影响，需在规划设计时加以考虑。 网络对使用者的危害主要是电缆的电击、高频信号的幅射等，这需要对网络的绝缘、接地和屏蔽工作做好。5.3访问与控制策略访问控制是网络安全防范和保护的主要策略，它也是维护网络系统安全、保护网络资源的重要手段。各种安全策略必须相互配合才能真正起到保护作用，但访问控制可以说是保证网络安全最重要的核心策略之一。 1、口令网络安全系统的最外层防线就是网络用户的登录，在注册过程中，系统会检查用户的登录名和口令的合法性，只有合法的用户才可以进入系统。2、网络资源属主、属性和访问权限 网络资源主要包括共享文件、共享打印机、网络通信设备等网络用户都有可以使用的资源。资源属主体现了不同用户对资源的从属关系，如建立者、修改者和同组成员等。资源属性表示了资源本身的存取特性，如可被谁读、写或执行等。访问权限主要体现在用户对网络资源的可用程度上。利用指定网络资源的属主、属性和访问权限可以有效地在应用级控制网络系统的安全性。3、网络安全监视 网络监视通称为“网管”，它的作用主要是对整个网络的运行进行动态地监视并及时处理各种事件。通过网络监视可以简单明了地找出并解决网络上的安全问题，如定位网络故障点、捉住IP盗用者、控制网络访问范围等。4、审计和跟踪 网络的审计和跟踪包括对网络资源的使用、网络故障、系统记帐等方面的记录和分析。一般由两部分组成：一是记录事件，即将各类事件统统记录到文件中；二是对记录进行分析和统计，从而找出问题所在。1）入网访问控制。入网访问控制为网络访问提供了第一层访问控制。用户的入网访问控制可分为三个步骤：用户名的识别与验证、用户口令的识别与验证、用户账号的缺省限制检查。 2）网络的权限控制。网络的权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。可以指定用户对这些文件、目录、设备能够执行哪些操作。 3）属性安全控制。当用文件、目录和网络设备时，网络系统管理员应给文件、目录等指定访问属性。属性安全控制可以将给定的属性与网络服务器的文件、目录和网络设备联系起来。属性安全在权限安全的基础上提供更进一步的安全性。网络上的资源都应预先标出一组安全属性。用户对网络资源的访问权限对应一张访问控制表，用以表明用户对网络资源的访问能力网络的属性可以保护重要的目录和文件，防止用户对目录和文件的误删除、执行修改、显示等。 4）网络服务器安全控制。网络允许在服务器控制台上执行一系列操作。用户使用控制台可以装载和卸载模块，可以安装和删除软件等操作。网络服务器的安全控制包括可以设置口令锁定服务器控制台，以防止非法用户修改、删除重要信息或破坏数据；可以设定服务器登录时间限制、非法访问者检测和关闭的时间间隔。 5、防火墙控制防火墙是一种保护计算机网络安全的技术性措施，它是一个用以阻止网络中的黑客访问某个机构网络的屏障，也可称之为控制进/出两个方向通信的门槛。在网络边界上通过建立起来的相应网络通信监控系统来隔离内部和外部网络，以阻档外部网络的侵入。目前的防火墙主要有以下：1）包过滤防火墙：包过滤防火墙设置在网络层，可以在路由器上实现包过滤。首先应建立一定数量的信息过滤表，信息过滤表是以其收到的数据包头信息为基础而建成的。信息包头含有数据包源IP地址、目的IP地址、传输协议类型、协议源端口号、协议目的端口号等。当一个数据包满足过滤表中的规则时，则允许数据包通过，否则禁止通过。2）代理防火墙：它由代理服务器和过滤路由器组成，它将过滤路由器和软件代理技术结合在一起。过滤路由器负责网络互连，并对数据进行严格选择，然后将筛选过的数据传送给代理服务器。3）双穴主机防火墙：该防火墙是用主机来执行安全控制功能。一台双穴主机配有多个网卡，分别连接不同的网络。双穴主机从一个网络收集数据，并且有选择地把它发送到另一个网络上。网络服务由双穴主机上的服务代理来提供。内部网和外部网的用户可通过双穴主机的共享数据区传递数据，从而保护了内部网络不被非法访问。 6、信息加密技术对数据进行加密，通常是利用密码技术实现的。信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网上传输的数据。在信息传送特别是远距离传送这个环节，密码技术是可以采取的唯一切实可行的安全技术，能有效的保护信息传输的安全。网络加密常用的方法有链路加密、端点加密和节点加密三种。链路加密的目的是保护网络节点之间的链路信息安全；端-端加密的目的是对源端用户到目的端用户的数据提供保护；节点加密的目的是对源节点到目的节点之间的传输链路提供保护。6计算机网络安全管理及防御6.1计算机网络安全管理网络安全管理是指对所有计算机网络应用体系中各个方面的安全技术和产品进行统一的管理和协调,进而从整体上提高整个计算机网络的防御入侵、抵抗攻击的能力体系。通常,建立一个安全管理系统包括多个方面的建设,如技术上实现的计算机安全管理系统,为系统定制的安全管理方针,相应的安全管理制度和人员等。 网络管理的趋势是向分布式、智能化和综合化方向发展。基于Web的管理。www以其能简单、有效地获取如文本、图形、声音与视频等不同类型的数据在Internet上广为使用。作为一种全新的网络管理模式,基于Web的网络管理WBM应运而生。WBM提供给普通拥护非常熟悉的Web浏览器的单一用户借口,以实现透明地访问分布在Internet上的各类信息,并且很容易支持大多数现有的标准网络管理协议框架;基于CORBA的管理。公共对象请求代理体系结构CORBA是由对象管理小组为开发面向对象的应用程序提供的一个通用框架结构;采用Java技术管理。Java用于异购分布式网络环境的应用程序开发,它提供了一个易移植、安全、高性能、简单、多线程和面向对象的环境,实现“一次编译,到处运行”。将Java技术集成至网络管理,可以有助于克服传统的纯SNMP的一些问题,降低网络管理的复杂性。随着计算机技术和通信技术的发展，计算机网络将日益成为重要信息交换手段，渗透到社会生活的各个领域，采取强有力的安全策略，保障网络的安全性。 6.2计算机网络安全的防范措施1、计算机病毒防治 大多数计算机都装有杀毒软件,如果该软件被及时更新并正确维护,它就可以抵御大多数病毒攻击。定期地升级软件是很重要的。在病毒入侵系统时,对于病毒库中已知的病毒或可疑程序、可疑代码,杀毒软件可以及时地发现,并向系统发出警报,准确地查找出病毒的来源。大多数病毒能够被清除或隔离。再有,对于不明来历的软件、程序及陌生邮件,不要轻易打开或执行。感染病毒后要及时修补系统漏洞,并进行病毒检测和清除。 2、防火墙技术 防火墙是控制两个网络间互相访问的一个系统。它通过软件和硬件相结合,能在内部网络与外部网络之间构造起一个保护层,网络内外的所有通信都必须经过此保护层进行检查与连接,只有授权允许的通信才能获准通过保护层。防火墙可以阻止外界对内部网络资源的非法访问,也可以控制内部对外部特殊站点的访问,提供监视Internet安全和预警的方便端点。当然,防火墙并不是万能的,即使是经过精心配置的防火墙也抵挡不住隐藏在看似正常数据下的通道程序。根据需要合理的配置防火墙,尽量少开端口,采用过滤严格的WEB程序以及加密的HTTP协议,管理好内部网络用户,经常升级,这样可以更好地利用防火墙保护网络的安全。 3、入侵检测 攻击者进行网络攻击和入侵的原因,在于计算机网络中存在着可以为攻击者所利用的安全弱点、漏洞以及不安全的配置,比如操作系统、网络服务、TCP/IP协议、应用程序、网络设备等几个方面。如果网络系统缺少预警防护机制,那么即使攻击者已经侵入到内部网络,侵入到关键的主机,并从事非法的操作,我们的网管人员也很难察觉到。这样,攻击者就有足够的时间来做他们想做的任何事情。 基于网络的IDS,即入侵检测系统,可以提供全天候的网络监控,帮助网络系统快速发现网络攻击事件,提高信息安全基础结构的完整性。IDS可以分析网络中的分组数据流,当检测到未经授权的活动时,IDS可以向管理控制台发送警告,其中含有详细的活动信息,还可以要求其他系统(例如路由器)中断未经授权的进程。IDS被认为是防火墙之后的第二道安全闸门,它能在不影响网络性能的情况下对网络进行监听,从而提供对内部攻击、外部攻击和误操作的实时保护。 4、安全漏洞扫描技术 安全漏洞扫描技术可以自动检测远程或本地主机安全性上的弱点,让网络管理人员能在入侵者发现安全漏洞之前,找到并修补这些安全漏洞。安全漏洞扫描软件有主机漏洞扫描,网络漏洞扫描,以及专门针对数据库作安全漏洞检查的扫描器。各类安全漏洞扫描器都要注意安全资料库的更新,操作系统的漏洞随时都在发布,只有及时更新才能完全的扫描出系统的漏洞,阻止黑客的入侵。 PKI技术。PKI是在公开密钥理论和技术基础上发展起来的一种综合安全平台,能够为所有网络应用透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理,从而达到保证网上传递信息的安全、真实、完整和不可抵赖的目的。利用PKI可以方便地建立和维护一个可信的网络计算环境,从而使得人们在这个无法直接相互面对的环境里,能够确认彼此的身份和所交换的信息,能够安全地从事商务活动。目前,PKI技术己趋于成熟,其应用已覆盖了从安全电子邮件、虚拟专用网络(VPN),Web交互安全到电子商务、电子政务、电子事务安全的众多领域,许多企业和个人已经从PKI技术的使用中获得了巨大的收益。5、数据加密技术 数据加密技术是最基本的网络安全技术,被誉为信息安全的核心,最初主要用于保证数据在存储和传输过程中的保密性。它通过变换和置换等各种方法将被保护信息置换成密文,然后再进行信息的存储或传输,即使加密信息在存储或者传输过程为非授权人员所获得,也可以保证这些信息不为其认知,从而达到保护信息的目的。该方法的保密性直接取决于所采用的密码算法和密钥长度。6、UserName/Password认证该种认证方式是最常用的一种认证方式，用于操作系统登录、telnet（远程登录）、rlogin（远程登录）等，但此种认证方式过程不加密，即password容易被监听和解密。7、使用摘要算法的认证 Radius（远程拨号认证协议）、OSPF（开放路由协议）、SNMPSecurityProtocol等均使用共享的SecurityKey（密钥），加上摘要算法（MD5）进行认证，但摘要算法是一个不可逆的过程，因此，在认证过程中，由摘要信息不能计算出共享的securitykey，所以敏感信息不能在网络上传输。市场上主要采用的摘要算法主要有MD5和SHA-1。8、基于PKI的认证 使用PKI（公开密钥体系）进行认证和加密。该种方法安全程度较高，综合采用了摘要算法、不对称加密、对称加密、数字签名等技术，很好地将安全性和高效性结合起来。这种认证方法目前应用在电子邮件、应用服务器访问、客户认证、防火墙认证等领域。该种认证方法安全程度很高，但是涉及到比较繁重的证书管理任务。9、虚拟专用网络（VPN）技术 VPN技术主要提供在公网上的安全的双向通讯，采用透明的加密方案以保证数据的完整性和保密性。 VPN技术的工作原理：VPN系统可使分布在不同地方的专用网络在不可信任的公共网络上实现安全通信，它采用复杂的算法来加密传输的信息，使得敏感的数据不会被窃听。其处理过程大体是这样：1）要保护的主机发送明文信息到连接公共网络的VPN设备。2）VPN设备根据网管设置的规则，确定是否需要对数据进行加密或让数据直接通过。 3）对需要加密的数据，VPN设备对整个数据包进行加密和附上数字签名。 4）VPN设备加上新的数据报头，其中包括目的地VPN设备需要的安全信息和一些初始化参数。 5）VPN设备对加密后的数据、鉴别包以及源IP地址、目标VPN设备的IP地址进行重新封装，重新封装后的数据包通过虚拟通道在公网上传输。 6）当数据包到达目标VPN设备时，数据包被解封装，数字签名被核对无误后，数据包被解密。10、安全隔离技术 面对新型网络攻击手段的不断出现和高安全网络的特殊需求,全新安全防护理念安全隔离技术应运而生。它的目标是,在确保把有害攻击隔离在可信网络之外,并保证可信网络内部信息不外泄的前提下,完成网络间信息的安全交换。隔离概念的出现是为了保护高安全度网络环境。 11、黑客诱骗技术 黑客诱骗技术是近期发展起来的一种网络安全技术,通过一个由网络安全专家精心设置的特殊系统来引诱黑客,并对黑客进行跟踪和记录。这种黑客诱骗系统通常也称为蜜罐(Honeypot)系统,其最重要的功能是特殊设置的对于系统中所有操作的监视和记录,网络安全专家通过精心的伪装使得黑客在进入到目标系统后,仍不知晓自己所有的行为已处于系统的监视之中。为了吸引黑客,网络安全专家通常还在蜜罐系统上故意留下一些安全后门来吸引黑客上钩,或者放置一些网络攻击者希望得到的敏感信息,当然这些信息都是虚假信息。这样,当黑客正为攻入目标系统而沾沾自喜的时候,他在目标系统中的所有行为,包括输入的字符、执行的操作都已经为蜜罐系统所记录。有些蜜罐系统甚至可以对黑客网上聊天的内容进行记录。蜜罐系统管理人员通过研究和分析这些记录,可以知道黑客采用的攻击工具、攻击手段、攻击目的和攻击水平,通过分析黑客的网上聊天内容还可以获得黑客的活动范围以及下一步的攻击目标,根据这些信息,管理人员可以提前对系统进行保护。同时在蜜罐系统中记录下的信息还可以作为对黑客进行起诉的证据。 12、网络安全管理防范措施 对于安全领域存在的问题,应采取多种技术手段和措施进行防范。在多种技术手段并用的同时,管理工作同样不容忽视。规划网络的安全策略、确定网络安全工作的目标和对象、控制用户的访问权限、制定书面或口头规定、落实网络管理人员的职责、加强网络的安全管理、制定有关规章制度等等,对于确保网络的安全、可靠运行将起到十分有效的作用。网络安全管理策略包括:确定安全管理等级和安全管理范围;指定有关网络操作使用规程和人员出入机房管理制度;制定网络系统的维护制度和应急措施等。7计算机网络安全应具备的功能为了能更好地适应信息技术的发展，计算机网络应用系统必须具备以下功能： 1、访问控制：通过对特定网段、服务建立的访问控制体系，将绝大多数攻击阻止在到达攻击目标之前。 2、检查安全漏洞：通过对安全漏洞的周期检查，即使攻击可到达攻击目标，也可使绝大多数攻击无效。 3、攻击监控：通过对特定网段、服务建立的攻击监控体系，可实时检测出绝大多数攻击，并采取响应的行动（如断开网络连接、记录攻击过程、跟踪攻击源等）。4、加密通讯：主动地加密通讯，可使攻击者不能了解、修改敏感信息。5、认证：良好的认证体系可防止攻击者假冒合法用户。6、备份和恢复：良好的备份和恢复机制，可在攻击造成损失时，尽快地恢复数据和系统服务。7、多层防御：攻击者在突破第一道防线后，延缓或阻断其到达攻击目标。8、设立安全监控中心：为信息系统提供安全体系管理、监控、保护及紧情况服务。8方案设计并实现 8.1桌面安全系统 用户的重要信息都是以文件的形式存储在磁盘上，使用户可以方便地存取、修改、分发。这样可以提高办公的效率，但同时也造成用户的信息易受到攻击，造成泄密。特别是对于移动办公的情况更是如此。因此，需要对移动用户的文件及文件夹进行本地安全管理，防止文件泄密等安全隐患。 本设计方案采用清华紫光公司出品的紫光S锁产品，“紫光S锁”是清华紫光“桌面计算机信息安全保护系统”的商品名称。紫光S锁的内部集成了包括中央处理器（CPU）、加密运算协处理器（CAU）、只读存储器（ROM），随机存储器（RAM）、电可擦除可编程只读存储器（E2PROM）等，以及固化在ROM内部的芯片操作系统COS（Chip Operating System）、硬件ID号、各种密钥和加密算法等。紫光S锁采用了通过中国人民银行认证的SmartCOS，其安全模块可防止非法数据的侵入和数据的篡改，防止非法软件对S锁进行操作。 8.2病毒防护系统 基于单位目前网络的现状，在网络中添加一台服务器，用于安装IMSS。 1、邮件防毒采用趋势科技的ScanMail for Notes。该产品可以和Domino的群件服务器无缝相结合并内嵌到Notes的数据库中，可防止病毒入侵到LotueNotes的数据库及电子邮件，实时扫描并清除隐藏于数据库及信件附件中的病毒。可通过任何Notes工作站或Web界面远程控管防毒管理工作，并提供实时监控病毒流量的活动记录报告。ScanMail是Notes Domino Server使用率最高的防病毒软件。 对付邮件病毒是要讲技巧的，办法很简单，有九种方法可以防御邮件病毒。一、选择一款可靠的防毒软件。二、定期升级病毒库。三、识别邮件病毒。四、让邮件监视功能起作用。五、投石问路。六、尽量不在“地址薄”中设置联系名单。七、少使用信纸模块。八、设置邮箱自动过滤功能。九、不使用邮件软件邮箱中的预览功能。2、服务器防毒采用趋势科技的ServerProtect。该产品的最大特点是内含集中管理的概念，防毒模块和管理模块可分开安装。一方面减少了整个防毒系统对原系统的影响，另一方面使所有服务器的防毒系统可以从单点进行部署，管理和更新。服务器防毒的方法有：一、网络防毒必须要严把病毒各种传播途径。二、多平台构架需要多平台结构的网络防毒软件。三、用实时化的反病毒技术，可以在用户不清楚的情况下，主动对病毒进行处理。四、复杂的网络防毒管理应该需要花费大量人工时间去解决的防毒问题。3、客户端防毒采用趋势科技的OfficeScan。该产品作为网络版的客户端防毒系统，使管理者通过单点控制所有客户机上的防毒模块，并可以自动对所有客户端的防毒模块进行更新。其最大特点是拥有灵活的产品集中部署方式，不受Windows域管理模式的约束，除支持SMS，登录域脚本，共享安装以外，还支持纯Web的部署方式。客户端防毒的方法有：一、使用NTFS格式格式化磁盘分区。二、用代理服务器上网。三、禁用Guest账户。四、默认账户更名。五、只给User权限。六、丢掉IE，掉用第三方非IE核心浏览器。七、杀毒软件要防卸载。八、使用内网行为管理软件。4、集中控管TVCS管理员可以通过此工具在整个企业范围内进行配置、监视和维护趋势科技的防病毒软件，支持跨域和跨网段的管理，并能显示基于服务器的防病毒产品状态。无论运行于何种平台和位置，TVCS在整个网络中总起一个单一管理控制台作用。简便的安装和分发代理部署，网络的分析和病毒统计功能以及自动下载病毒代码文件和病毒爆发警报，给管理带来极大的便利。 8.3动态口令身份认证系统 动态口令系统在国际公开的密码算法基础上，结合生成动态口令的特点，加以精心修改，通过十次以上的非线性迭代运算，完成时间参数与密钥充分的混合扩散。在此基础上，采用先进的身份认证及加解密流程、先进的密钥管理方式，从整体上保证了系统的安全性。 8.4访问控制“防火墙” 单位安全网由多个具有不同安全信任度的网络部分构成，在控制不可信连接、分辨非法访问、辨别身份伪装等方面存在着很大的缺陷，从而构成了对网络安全的重要隐患。本设计方案选用四台网御防火墙，分别配置在高性能服务器和三个重要部门的局域网出入口，实现这些重要部门的访问控制。 通过在核心交换机和高性能服务器群之间及核心交换机和重要部门之间部署防火墙，通过防火墙将网络内部不同部门的网络或关键服务器划分为不同的网段，彼此隔离。这样不仅保护了单位网络服务器，使其不受来自内部的攻击，也保护了各部门网络和数据服务器不受来自单位网内部其他部门的网络的攻击。如果有人闯进您的一个部门，或者如果病毒开始蔓延，网段能够限制造成的损坏进一步扩大。 8.5信息加密、信息完整性校验 为有效解决办公区之间信息的传输安全，可以在多个子网之间建立起独立的安全通道，通过严格的加密和认证措施来保证通道中传送的数据的完整性、真实性和私有性。 SJW-22网络密码机系统组成 网络密码机（硬件）:是一个基于专用内核，具有自主版权的高级通信保护控制系统。 本地管理器（软件）:是一个安装于密码机本地管理平台上的基于网络或串口方式的网络密码机本地管理系统软件。 中心管理器（软件）:是一个安装于中心管理平台（Windows系统）上的对全网的密码机设备进行统一管理的系统软件。 8.6安全审计系统 根据以上多层次安全防范的策略，安全网的安全建设可采取“加密”、“外防”、“内审”相结合的方法，“内审”是对系统内部进行监视、审查，识别系统是否正在受到攻击以及内部机密信息是否泄密，以解决内层安全。 安全审计系统能帮助用户对安全网的安全进行实时监控，及时发现整个网络上的动态，发现网络入侵和违规行为，忠实记录网络上发生的一切，提供取证手段。作为网络安全十分重要的一种手段，安全审计系统包括识别、记录、存储、分析与安全相关行为有关的信息。 在安全网中使用的安全审计系统应实现如下功能：安全审计自动响应、安全审计数据生成、安全审计分析、安全审计浏览、安全审计事件存储、安全审计事件选择等。 本设计方案选用“汉邦软科”的安全审计系统作为安全审计工具。 汉邦安全审计系统是针对目前网络发展现状及存在的安全问题，面向企事业的网络管理人员而设计的一套网络安全产品，是一个分布在整个安全网范围内的网络安全监视监测、控制系统。 1、安全审计系统由安全监控中心和主机传感器两个部分构成。主机传感器安装在要监视的目标主机上，其监视目标主机的人机界面操作、监控RAS连接、监控网络连接情况及共享资源的使用情况。安全监控中心是管理平台和监控平台，网络管理员通过安全监控中心为主机传感器设定监控规则，同时获得监控结果、报警信息以及日志的审计。主要功能有文件保护审计和主机信息审计。 1）文件保护审计：文件保护安装在审计中心，可有效的对被审计主机端的文件进行管理规则设置，包括禁止读、禁止写、禁止删除、禁止修改属性、禁止重命名、记录日志、提供报警等功能。以及对文件保护进行用户管理。 2）主机信息审计:对网络内公共资源中，所有主机进行审计，可以审计到主机的机器名、当前用户、操作系统类型、IP地址信息。 2、资源监控系统主要有四类功能1）监视屏幕:在用户指定的时间段内，系统自动每隔数秒或数分截获一次屏幕;用户实时控制屏幕截获的开始和结束。 2）监视键盘:在用户指定的时间段内，截获Host Sensor Program用户的所有键盘输入，用户实时控制键盘截获的开始和结束。 3）监测监控RAS连接：在用户指定的时间段内，记录所有的RAS连接信息。用户实时控制ass连接信息截获的开始和结束。当gas连接非法时，系统将自动进行报警或挂断连接的操作。 4）监测监控网络连接：在用户指定的时间段内，记录所有的网络连接信息(包括:TCP， UDP，NetBios）。用户实时控制网络连接信息截获的开始和结束。由用户指定非法的网络连接列表，当出现非法连接时，系统将自动进行报警或挂断连接的操作。 单位内网中安全审计系统采集的数据来源于安全计算机，所以应在安全计算机安装主机传感器，保证探头能够采集进出网络的所有数据。安全监控中心安装在信息中心的一台主机上，负责为主机传感器设定监控规则，同时获得监控结果、报警信息以及日志的审计。单位内网中的安全计算机为600台，需要安装600个传感器。 8.7入侵检测系统IDS 入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。从网络安全的立体纵深、多层次防御的角度出发，入侵检测理应受到人们的高度重视，这从国际入侵检测产品市场的蓬勃发展就可以看出。 根据网络流量和保护数据的重要程度，选择IDS探测器（百兆）配置在内部关键子网的交换机处放置，核心交换机放置控制台，监控和管理所有的探测器因此提供了对内部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。 在单位安全内网中，入侵检测系统运行于有敏感数据的几个要害部门子网和其他部门子网之间，通过实时截取网络上的是数据流，分析网络通讯会话轨迹，寻找网络攻击模式和其他网络违规活动。 8.8漏洞扫描系统 本内网网络的安全性决定了整个系统的安全性。在内网高性能服务器处配置一台网络隐患扫描I型联动型产品。I型联动型产品适用于该内网这样的高端用户，I型联动型产品由手持式扫描仪和机架型扫描服务器结合一体，网管人员就可以很方便的实现了集中管理的功能。网络人员使用I型联动型产品，就可以很方便的对200信息点以上的多个网络进行多线程较高的扫描速度的扫描，可以实现和IDS、防火墙联动，尤其适合于制定全网统一的安全策略。同时移动式扫描仪可以跨越网段、穿透防火墙，实现分布式扫描，服务器和扫描仪都支持定时和多IP地址的自动扫描，网管人员可以很轻松的就可以进行整个网络的扫描，根据系统提供的扫描报告，配合我们提供的三级服务体系，大大的减轻了工作负担，极大的提高了工作效率。 联动扫描系统支持多线程扫描，有较高的扫描速度，支持定时和多IP地址的自动扫描，网管人员可以很轻松的对自己的网络进行扫描和漏洞的弥补。同时提供了Web方式的远程管理，网管不需要改变如何的网络拓扑结构和添加其他的应用程序就可以轻轻松松的保证了网络的安全性。另外对于信息点少、网络环境变化大的内网配置网络隐患扫描II型移动式扫描仪。移动式扫描仪使用灵活，可以跨越网段、穿透防火墙，对重点的服务器和网络设备直接扫描防护，这样保证了网络安全隐患扫描仪和其他网络安全产品的合作和协调性，最大可能地消除安全隐患。 在防火墙处部署联动扫描系统，在部门交换机处部署移动式扫描仪，实现放火墙、联动扫描系统和移动式扫描仪之间的联动，保证了网络安全隐患扫描仪和其他网络安全产品的合作和协调性，最大可能的消除安全隐患，尽可能早地发现安全漏洞并进行修补，优化资源，提高网络的运行效率和安全性。9结束语 随着网络应用的深入普及，网络安全越来越重要，国家和企业都对建立一个安全的网络有了更高的要求。一个特定系统的网络安全方案，应建立在对网络风险分析的基础上，结合系统的实际应用而做。由于各个系统的应用不同，不能简单地把信息系统的网络安全方案固化为一个模式，用这个模子去套所有的信息系统。 本文根据网络安全系统设计的总体规划,从桌面系统安全、病毒防护、身份鉴别、访问控制、信息加密、信息完整性校验、抗抵赖、安全审计、入侵检测、漏洞扫描等方面安全技术和管理措施设计出一整套解决方案，目的是建立一个完整的、立体的、多层次的网络安全防御体系。 参考文献 1黄鹤.浅析计算机网络安全策略. 科技信息(学术研究) ，2007:1618. 2张维,魏霞，郑世珏.电子银行防火墙安全策略的研究与实现.高等函授学报(自然科学版) ，2003：68. 3刘青超.电子商务的安全策略.科技情报开发与经济，2005：2123. 4高永安.计算机网络安全的防范策略.科技信息，2006：712. 致谢： 我要感谢我的指导老师叶涛老师，在他的悉心指导下我的论文才得以完成，是他在忙碌的教学工作中挤出时间修改、批阅我的论文，给了我很多参考意见。叶老师丰富的专业知识，严谨的治学态度，务实的工作作风和对学生的真挚关怀给我留下了深刻的印象，也将使我受益匪浅，再次对叶老师给我的帮助和关怀表示衷心的感谢！第 21 页 共 22 页