『壹』 保護信息系統安全有哪些方法
關信息安全的稱謂各種各樣。不要說非專業人員難以理解，即使業內人士，有時也會感到困惑，而且經常引起爭議。當前。常見的有關信息安全的稱謂有：信息安全、信息系統安全、網路安全、網路信息安全、網路系統安全、網路信息系統安全、信息網路安全、信息網路系統安全、計算機安全、計算機系統安全、計算機信息系統安全等等。這些稱謂從字面上看，有的差別不大，有的相去甚遠。本文將通過對各種有關信息安全的稱謂的討論，明確這樣一個結論：這些稱謂雖然各不相同，但它們的基本含義是完全一致的。所有這些稱謂都是指：確保在計算機、網路環境運行的信息系統的安全運行，以及信息系統中所存儲、傳輸和處理的信息的安全保護。或者簡單地描述為：系統安全運行和信息安全保護。也就是通常所說的確保信息的保密性、完整性和可用性(含可控性、抗抵賴性和真實性等)。
」信息安全」是人們使用最多的稱謂。這充分反映了對信息的安全保護是信息安全的最重要的內容。為了對信息安全的含義有一個比較確切的理解，我們首先對」信息」一詞作簡單說明。「信息 是一個十分廣泛的概念。從對其進行存儲、處理和傳播的角度可以粗略地劃分為」數字化信息」與」非數字化信息」。這里所說的」信息安全」中的」信息」應該是指數字化信息，或者說是指通過計算機、網路進行存儲、傳輸和處理的信息。於是」信息安全」就應該是指通過計算機、網路進行存儲、傳輸和處理的數據信息的安全。」信息系統安全」是 信息安全」的同義詞。實際上，信息安全並不僅僅是指對信息的保護，而應該是對信息系統的安全運行和對運行在信息系統中的信息進行保護(包括信息的保密性、完整性和可用性保護)的總稱。信息系統的安全運行是信息系統提供有效服務(即可用性)的前提，信息的安全保護主要是確保數據信息 的保密性和完整性。」網路安全」無疑是指在網路上傳輸的數據信息的安全。
然而，在當今網路就是計算機」和」計算機就是網路」的時代，網路與計算機在實際應用中已緊密地融為一體。實際上，在數宇化系統中，各種網路設備，比如交換機、路由器、網關、網橋等．都是一個個專用的計算機，作為網路重要組成部分的各種伺服器、工作站、客戶機等就更是各種通用或專用計算機。因此．網路安全實際上是指網路及計算機中的信息安全。這里強調網路安全完全可以理解為是因為網路的廣泛應用使得安全問題變得尤為突出的緣故。當然．」網路安全」並不僅僅指的是網路自身的安全．網路安全所要保護的對象最終仍然是網路中的信息。如果沒有了信息．網路還有什麼存在的必要呢。於是，可以說」網路信息安全」完全是「網路安全」的同義詞。
「網路系統安全」、 網路信息系統安全「同樣應該是「網路安全「的同義詞，或者講」網路安全」應該確切地稱為」網路系統安全「或更確切地稱為「網路信息系統安全「，而」網路安全「只是人們習慣的簡單稱謂而已。網路系統安全同樣應該包括系統安全運行和信息安全保護兩個方面的內容。而所謂的」信息網路安全 、」信息網路系統安全」完全可以看成是用詞習慣上的不同。
「計算機安全」、」計算機系統安全「和」計算機信息系統安全「是計算機發展的不同歷史時期，具有相同含義的稱謂。當前，」計算機信息系統安全」應該是最確切的稱謂。計算機的傳統應用領域包括：數值計算(科學和工程計算)，數據處理(事務處理、過程式控制制和智能化處理)等幾個方面。計算機信息系統安全主要是指計算機在數據處理方面應用的安全．當然也不排除其他應用領域的安全。只是由於數據處理方面的應用使得計算機直接面對廣大普通用戶，使得安全問題更為突出。按照」網路就是計算機」和」計算機就是網路」的概念，這里的計算機信息系統安全同樣是指，在計算機、網路環境下運行的信息系統的安全．包括：計算機、網路硬體系統的安全、操作系統安全、資料庫管理系統安全、應用系統安全等。單機操作系統安全不需要考慮數據信息在網上傳輸的安全問題；分布式操作系統安全需要考慮分布式節點內部數據信息的安全和節點間數據信息傳輸的安全。對於資料庫管理系統也是一樣。當然，如果前兩者均未考慮數據信息在網上傳輸的安全，就必須由網路系統或應用系統來解決這些問題。
總之，稱」網路信息系統安全」也好，叫」計算機信息系統安全「也罷，都離不開對數據信息在計算機、網路環境的存儲，處理、傳輸等過程的安全保護和安全使用。無論是從」網路信息安全」的角度考慮安全問題，還是從」計算機信息系統安全「的角度考慮安全問題，實際上走的是殊途同歸的道路。希望能按照「不爭論，求發展「的原則，共同為我國信息安全的發展、進步作出貢獻。
『貳』 經常上網，如何加強個人信息自我保護
個人信息保護現在很受網民的關注，也是現在政府政策和各社會資本企業嚴加監管的一項重要內容。
一、在加強個人信息保護方面，個人需要做的是：
加強網路安全防護意識，不要隨意點擊任何來自網路的鏈接，需要查看清楚且熟知沒有危險後再點擊查看；
對個人信息內容的保護，再不了解網路平台之前，不要把個人信息上傳；
定期檢查手機、電腦等常用的個人設備，有沒有被植入木馬或者病毒之類的；
如發現個人信息泄漏或者出現財產 損失，應及時聯系平台或者尋求公安的幫助。
二、網信辦正在開展一些個人信息保護的重要工作：
1.是立法先行。從不同層面制定出台了加強個人信息保護的法律法規，《網路安全法》於2017年6月施行，《個人信息保護法》已經納入十三屆全國人大常委會的立法規劃，《兒童個人信息網路保護規定》已經頒布，《數據安全管理辦法》《個人信息出境安全評估辦法》已經完成了公開徵求意見。
2.是標准支撐。中央網信辦指導全國信息安全標准化委員會，將個人信息保護標准作為研究制定的重點，為加強數據安全管理和個人信息保護、規范收集使用個人信息的行為，推動全國信安標委發布了《個人信息安全規范》《大數據服務安全能力要求》等國家標准，組織制定移動互聯網應用程序收集個人信息基本規范等標准草案。
3.是專項治理。中央網信辦、工業和信息化部、公安部、市場監管總局四部門聯合開展了App違法違規收集使用個人信息專項治理行動，指導App專項治理工作組受理了8000多條網民舉報，評估了400餘款大家常用的、下載量比較大的App，向其中100多家問題比較嚴重的App的運營者發送了整改通知，督促其整改。
4.是大力宣傳。通過多種形式、多種渠道宣傳普及個人信息保護常識，也通過曝光違法違規行為、發布打擊違法犯罪案例、開展警示教育等多種形式提升全民個人信息保護意識和技能。本次網安周也專門設立了個人信息保護日
『叄』 結合實驗課項目及所收集信息，談談如何構建安全網路信息環境，以及如何從技術角度應對各種網路安全威脅
一、引言
微型計算機和區域網的廣泛應用,基於client/server體系結構的分布式系統的出現,I
SDN,寬頻ISDN的興起,ATM技術的實施,衛星通信及全球信息網的建設,根本改變了以往主機
-終端型的網路應用模式;傳統的、基於Mainframe的安全系統結構已不能適用於新的網路環
境,主要原因是:
(1)微型機及LAN的引入,使得網路結構成多樣化,網路拓撲復雜化;
(2)遠地工作站及遠地LAN對Mainframe的多種形式的訪問,使得網路的地理分布擴散化
;
(3)多種通訊協議的各通訊網互連起來,使得網路通信和管理異質化。
構作Micro-LAN-Mainframe網路環境安全體系結構的目標同其它應用環境中信息安全的
目標一致,即:
(1)存儲並處理於計算機和通信系統中的信息的保密性；
(2)存儲並處理於計算機和通信系統中的信息的完整性；
(3)存儲並處理於計算機和通信系統中的信息的可用性；
(4)對信息保密性、完整性、拒絕服務侵害的監查和控制。
對這些安全目標的實現不是絕對的,在安全系統構作中,可因地制宜,進行適合於自身條
件的安全投入,實現相應的安全機制。但有一點是應該明確的,信息安全是國民經濟信息化
必不可少的一環,只有安全的信息才是財富。
對於潛在的財產損失,保險公司通常是按以下公式衡量的:
潛在的財產損失=風險因素×可能的損失
這里打一個比方,將信息系統的安全威脅比作可能的財產損失,將系統固有的脆弱程度
比作潛在的財產損失,於是有:
系統的脆弱程度=處於威脅中的系統構件×安全威脅
此公式雖不能將系統安全性定量化,但可以作為分析信息安全機制的適用性和有效性的
出發點。
對計算機犯罪的統計表明,絕大多數是內部人員所為。由於在大多數Micro-LAN-Mainf
rame系統中,用戶登錄信息、用戶身份證件及其它數據是以明文形式傳輸的,任何人通過連
接到主機的微型機都可秘密地竊取上述信息。圖1給出了我們在這篇文章中進行安全性分析
的網路模型,其安全性攻擊點多達20個。本文以下各部分將詳細討論對此模型的安全威脅及
安全對策。
@@14219700.GIF;圖1.Micro-LAN-Mainframe網路模型@@
二、開放式系統安全概述
1.OSI安全體系結構
1989年2月15日,ISO7498-2標準的頒布,確立了OSI參考模型的信息安全體系結構,它對
構建具體網路環境的信息安全構架有重要的指導意義。其核心內容包括五大類安全服務以
及提供這些服務所需要的八類安全機制。圖2所示的三維安全空間解釋了這一體系結構。
@@14219701.GIF;ISO安全體系結構@@
其中,一種安全服務可以通過某種安全機制單獨提供,也可以通過多種安全機制聯合提
供;一種安全機制可用於提供一種或多種安全服務。
2.美軍的國防信息系統安全計劃DISSP
DISSP是美軍迄今為止最龐大的信息系統安全計劃。它將為美國防部所有的網路(話音
、數據、圖形和視頻圖象、戰略和戰術)提供一個統一的、完全綜合的多級安全策略和結構
,並負責管理該策略和結構的實現。圖3所示的DISSP安全框架三維模型,全面描述了信息系
統的安全需求和結構。第一維由九類主要的安全特性外加兩類操作特性組成,第二維是系統
組成部件,它涉及與安全需求有關的信息系統部件,並提供一種把安全特性映射到系統部件
的簡化手段;第三維是OSI協議層外加擴展的兩層,OSI模型是面向通信的,增加兩層是為了適
應信息處理。
@@14219702.GIF;DISSP安全框架雛形@@
3.通信系統的安全策略
1節和2節較全面地描述了信息系統的安全需求和結構,具有相當的操作指導意義。但僅
有這些,對於構作一個應用於某組織的、具體的網路應用環境的安全框架或安全系統還是不
夠的。
目前,計算機廠商在開發適用於企業范圍信息安全的有效策略方面並沒有走在前面,這
就意味著用戶必須利用現有的控制技術開發並維護一個具有足夠安全級別的分布式安全系
統。一個安全系統的構作涉及的因素很多,是一個龐大的系統工程。一個明晰的安全策略必
不可少,它的指導原則如下:
·對安全暴露點實施訪問控制；
·保證非法操作對網路的數據完整性和可用性無法侵害；
·提供適當等級的、對傳送數據的身份鑒別和完整性維護；
·確保硬體和線路的聯接點的物理安全；
·對網路設備實施訪問控制；
·控制對網路的配置；
·保持對網路設施的控制權；
·提供有準備的業務恢復。
一個通信系統的安全策略應主要包括以下幾個方面的內容:
總綱；
適用領域界定；
安全威脅分析；
企業敏感信息界定；
安全管理、責任落實、職責分明；
安全控制基線；
網路操作系統；
信息安全:包括用戶身份識別和認證、文件伺服器控制、審計跟蹤和安全侵害報告、數
據完整性及計算機病毒；
網路安全:包括通信控制、系統狀態控制、撥號呼叫訪問控制；
災難恢復。
三、LAN安全
1.LAN安全威脅
1)LAN環境因素造成的安全威脅
LAN環境因素,主要是指LAN用戶缺乏安全操作常識;LAN提供商的安全允諾不能全部兌現
。
2)LAN自身成員面臨的安全威脅
LAN的每一組成部件都需要保護,包括伺服器、工作站、工作站與LAN的聯接部件、LAN
與LAN及外部世界的聯接部件、線路及線路接續區等。
3)LAN運行時面臨的安全威脅
(1)通信線路上的電磁信號輻射
(2)對通信介質的攻擊,包括被動方式攻擊(搭線竊聽)和主動方式攻擊(無線電仿冒)
(3)通過聯接上網一個未經授權的工作站而進行的網路攻擊。攻擊的方式可能有：竊聽
網上登錄信息和數據;監視LAN上流量及與遠程主機的會話,截獲合法用戶log off指令,繼續
與主機會話;冒充一個主機LOC ON,從而竊取其他用戶的ID和口令。
(4)在合法工作站上進行非法使用,如竊取其他用戶的ID、口令或數據
(5)LAN與其他網路聯接時,即使各成員網原能安全運行,聯網之後,也可能發生互相侵害
的後果。
(6)網路病毒
4)工作站引發的安全威脅
(1)TSR和通信軟體的濫用:在分布式應用中,用戶一般在本地微機及主機擁有自己的數
據。將微機作為工作站,LAN或主機系統繼承了其不安全性。TSR是用戶事先載入,由規定事
件激活的程序。一個截獲屏幕的TSR可用於竊取主機上的用戶信息。這樣的TSR還有許多。
某些通信軟體將用戶鍵入字元序列存為一個宏,以利於實現對主機的自動LOGON,這也是很危
險的。
(2)LAN診斷工具的濫用:LAN診斷工具本用於排除LAN故障,通過分析網上數據包來確定
線路雜訊。由於LAN不對通信鏈路加密,故LAN診斷工具可用於竊取用戶登錄信息。
(3)病毒與微機通信:例如Jerusalem-B病毒可使一個由幾千台運行3270模擬程序的微機
組成的網路癱瘓。
2 LAN安全措施
1)通信安全措施
(1)對抗電磁信號偵聽:電纜加屏蔽層或用金屬管道,使較常規電纜難以搭線竊聽;使用
光纖消除電磁輻射;對敏感區域(如電話室、PBX所在地、伺服器所在地)進行物理保護。
(2)對抗非法工作站的接入:最有效的方法是使用工作站ID,工作站網卡中存有標識自身
的唯一ID號,LAN操作系統在用戶登錄時能自動識別並進行認證。
(3)對抗對合法工作站的非法訪問:主要通過訪問控制機制,這種機制可以邏輯實現或物
理實現。
(4)對通信數據進行加密,包括鏈路加密和端端加密。
2)LAN安全管理
(1)一般控制原則,如對伺服器訪問只能通過控制台;工作站間不得自行聯接;同一時刻
,一個用戶只能登錄一台工作站;禁止使用網上流量監視器;工作站自動掛起;會話清除;鍵盤
封鎖;交易跟蹤等。
(2)訪問控制,如文件應受保護,文件應有多級訪問權力;SERVER要求用戶識別及認證等
。
(3)口令控制,規定最大長度和最小長度;字元多樣化;建立及維護一個軟字型檔,鑒別弱口
令字;經常更換口令等。
(4)數據加密:敏感信息應加密
(5)審計日誌:應記錄不成功的LOGIN企圖,未授權的訪問或操作企圖,網路掛起,脫離聯
接及其他規定的動作。應具備自動審計日誌檢查功能。審計文件應加密等。
(6)磁碟利用:公用目錄應只讀,並限制訪問。
(7)數據備份:是LAN可用性的保證;
(8)物理安全:如限制通信訪問的用戶、數據、傳輸類型、日期和時間;通信線路上的數
據加密等。
四、PC工作站的安全
這里,以荷蘭NMB銀行的PC安全工作站為例,予以說明。在該系統中,PC機作為IBM SNA主
機系統的工作站。
1.PC機的安全局限
(1)用戶易於攜帶、易於訪問、易於更改其設置。
(2)MS-DOS或PC-DOS無訪問控制功能
(3)硬體易受侵害;軟體也易於攜帶、拷貝、注入、運行及損害。
2.PC安全工作站的目標
(1)保護硬體以對抗未授權的訪問、非法篡改、破壞和竊取；
(2)保護軟體和數據以對抗:未授權的訪問、非法篡改、破壞和竊取、病毒侵害；
(3)網路通信和主機軟硬體也應類似地予以保護；
3.安全型PC工作站的設計
(1)PC硬體的物理安全:一個的可行的方法是限制對PC的物理訪問。在PC機的後面加一
個盒子,只有打開這個盒子才能建立所需要的聯接。
(2)軟體安全:Eracon PC加密卡提供透明的磁碟訪問;此卡提供了4K位元組的CMOS存儲用
於存儲密鑰資料和進行密鑰管理。其中一半的存儲區對PC匯流排是只可寫的,只有通過卡上數
據加密處理的密鑰輸入口才可讀出。此卡同時提供了兩個通信信道,其中一個支持同步通信
。具體的安全設計細節還有:
A、使用Clipcards提供的訪問權授予和KEY存儲(為離線應用而設)、Clipcards讀寫器
接於加密卡的非同步口。
B、對硬碟上全部數據加密,對不同性質的文件區分使用密鑰。
C、用戶LOGON時,強制進入與主機的安全監控器對話,以對該用戶進行身份驗證和權力
賦予;磁碟工作密鑰從主機傳送過來或從Clipcards上讀取(OFFLINE);此LOGON外殼控制應用
環境和密鑰交換。
D、SNA3270模擬器:利用Eracon加密卡實現與VTAM加解密設備功能一致的對數據幀的加
密。
E、主機安全監控器(SECCON):如果可能,將通過3270模擬器實現與PC安全監控程序的不
間斷的會話;監控器之間的一套消息協議用於完成對系統的維護。
五、分布式工作站的安全
分布式系統的工作站較一般意義上的網路工作站功能更加全面,它不僅可以通過與網上
伺服器及其他分布式工作站的通信以實現信息共享,而且其自身往往具備較強的數據存儲和
處理能力。基於Client/Server體系結構的分布式系統的安全有其特殊性,表現如下:
(1)較主機系統而言,跨區域網和廣域網,聯接區域不斷擴展的工作站環境更易受到侵害
;
(2)由於工作站是分布式的;往往分布於不同建築、不同地區、甚至不同國家,使安全管
理變得更加復雜;
(3)工作站也是計算機犯罪的有力工具,由於它分布廣泛,安全威脅無處不在;
(4)工作站環境往往與Internet及其他半公開的數據網互聯,因而易受到更廣泛的網路
攻擊。
可見,分布式工作站環境的安全依賴於工作站和與之相聯的網路的安全。它的安全系統
應不劣於主機系統,即包括用戶的身份識別和認證;適當的訪問控制;強健的審計機制等。除
此之外,分布式工作站環境還有其自身的特殊安全問題,如對網路伺服器的認證,確保通信中
數據的保密性和完整性等。這些問題將在後面討論。
六、通信中的信息安全
通過以上幾部分的討論,我們已將圖1所示的網路組件(包括LAN、網路工作站、分布式
工作站、主機系統)逐一進行了剖析。下面,我們將就它們之間的聯接安全進行討論。
1.加密技術
結合OSI七層協議模型,不難理解加密機制是怎樣用於網路的不同層次的。
(1)鏈路加密:作用於OSI數據模型的數據鏈路層,信息在每一條物理鏈路上進行加密和
解密。它的優點是獨立於提供商,能保護網上控制信息;缺點是浪費設備,降低傳輸效率。
(2)端端加密:作用於OSI數據模型的第4到7層。其優點是花費少,效率高;缺點是依賴於
網路協議,安全性不是很高。
(3)應用加密:作用於OSI數據模型的第7層,獨立於網路協議;其致命缺點是加密演算法和
密鑰駐留於應用層,易於失密。
2.撥號呼叫訪問的安全
撥號呼叫安全設備主要有兩類,open-ended設備和two-ended設備,前者只需要一台設備
,後者要求在線路兩端各加一台。
(1)open-ended設備:主要有兩類,埠保護設備(PPDs)和安全數據機。PPDs是處於
主機埠和撥號線路之間的前端通信處理器。其目的是隱去主機的身份,在將用戶請求送至
主機自身的訪問控制機制前,對該用戶進行預認證。一些PPDs具有回叫功能,大部分PPDs提
供某種形式的攻擊示警。安全數據機主要是回叫型的,大多數有內嵌口令,用戶呼叫調
制解調器並且輸入口令,數據機驗證口令並拆線。數據機根據用戶口令查到相應電
話號碼,然後按此號碼回叫用戶。
(2)two-ended設備:包括口令令牌、終端認證設備、鏈路加密設備和消息認證設備。口
令令牌日益受到大家歡迎,因為它在認證線路另一端的用戶時不需考慮用戶的位置及網路的
聯接類型。它比安全數據機更加安全,因為它允許用戶移動,並且禁止前向呼叫。
口令令牌由兩部分組成,運行於主機上與主機操作系統和大多數常用訪問控制軟體包接
口的軟體,及類似於一個接卡箱運算器的硬體設備。此軟體和硬體實現相同的密碼演算法。當
一個用戶登錄時,主機產生一個隨機數給用戶,用戶將該隨機數加密後將結果返回給主機;與
此同時,運行於主機上的軟體也作同樣的加密運算。主機將這兩個結果進行對比,如果一致
,則准予登錄。
終端認證設備是指將各個終端唯一編碼,以利於主機識別的軟體及硬體系統。只有帶有
正確的網路介面卡(NIC)標識符的設備才允許登錄。
鏈路加密設備提供用於指導線路的最高程度的安全保障。此類系統中,加密盒置於線路
的兩端,這樣可確保傳送數據的可信性和完整性。唯一的加密密鑰可用於終端認證。
消息認證設備用於保證傳送消息的完整性。它們通常用於EFT等更加註重消息不被更改
的應用領域。一般採用基於DES的加密演算法產生MAC碼。
七、安全通信的控制
在第六部分中,我們就通信中採取的具體安全技術進行了較為詳細的討論。但很少涉及
安全通信的控制問題,如網路監控、安全審計、災難恢復、密鑰管理等。這里,我們將詳細
討論Micro-LAN-Mainframe網路環境中的用戶身份認證、伺服器認證及密鑰管理技術。這三
個方面是緊密結合在一起的。
1.基於Smartcards的用戶認證技術
用戶身份認證是網路安全的一個重要方面,傳統的基於口令的用戶認證是十分脆弱的。
Smartcards是一類一話一密的認證工具,它的實現基於令牌技術。其基本思想是擁有兩個一
致的、基於時間的加密演算法,且這兩個加密演算法是同步的。當用戶登錄時,Smartcards和遠
端系統同時對用戶鍵入的某一個系統提示的數進行運算(這個數時刻變化),如果兩邊運行結
果相同,則證明用戶是合法的。
在這一基本的Smartcards之上,還有一些變種,其實現原理是類似的。
2.kerboros用戶認證及保密通信方案
對於分布式系統而言,使用Smartcards,就需要為每一個遠地系統准備一個Smartcard,
這是十分繁瑣的,MIT設計與開發的kerboros用戶認證及保密通信方案實現了對用戶的透明
,和對用戶正在訪問的網路類型的免疫。它同時還可用於節點間的保密通信及數據完整性的
校驗。kerboros的核心是可信賴的第三方,即認證服務中心,它擁有每一個網路用戶的數據
加密密鑰,需要用戶認證的網路服務經服務中心注冊,且每一個此類服務持有與服務中心通
信的密鑰。
對一個用戶的認證分兩步進行,第一步,kerboros認證工作站上的某用戶;第二步,當該
用戶要訪問遠地系統伺服器時,kerboros起一個中介人的作用。
當用戶首次登錄時,工作站向伺服器發一個請求,使用的密鑰依據用戶口令產生。服務
中心在驗明用戶身份後,產生一個ticket,所使用的密鑰只適合於該ticket-granting服務。
此ticket包含用戶名、用戶IP地址、ticket-granting服務、當前時間、一個隨機產生的密
鑰等;服務中心然後將此ticket、會話密鑰用用戶密鑰加密後傳送給用戶;用戶將ticket解
密後,取出會話密鑰。當用戶想聯接某網路伺服器時,它首先向服務中心發一個請求,該請求
由兩部分組成,用戶先前收到的ticket和用戶的身份、IP地址、聯接伺服器名及一個時間值
,此信息用第一次傳回的會話密鑰加密。服務中心對ticket解密後,使用其中的會話密鑰對
用戶請求信息解密。然後,服務中心向該用戶提供一個可與它相聯接的伺服器通信的會話密
鑰及一個ticket,該ticket用於與伺服器通信。
kerboros方案基於私鑰體制,認證服務中心可能成為網路瓶頸,同時認證過程及密鑰管
理都十分復雜。
3.基於公鑰體制的用戶認證及保密通信方案
在ISO11568銀行業密鑰管理國際標准中,提出了一種基於公鑰體制,依託密鑰管理中心
而實現的密鑰管理方案。該方案中,通信雙方的會話密鑰的傳遞由密鑰管理中心完成,通信
雙方的身份由中心予以公證。這樣就造成了密鑰管理中心的超負荷運轉,使之成為網上瓶頸
,同時也有利於攻擊者利用流量分析確定網路所在地。
一個改進的方案是基於公鑰體制,依託密鑰認證中心而實現的密鑰管理方案。該方案中
,通信雙方會話密鑰的形成由雙方通過交換密鑰資料而自動完成,無須中心起中介作用,這樣
就減輕了中心的負擔,提高了效率。由於篇幅所限,這里不再展開討論。
八、結論
計算機網路技術的迅速發展要求相應的網路安全保障,一個信息系統安全體系結構的確
立有助於安全型信息系統的建設,一個具體的安全系統的建設是一項系統工程,一個明晰的
安全策略對於安全系統的建設至關重要,Micro-LAN-Mainframe網路環境的信息安全是相對
的,但其豐富的安全技術內涵是值得我們學習和借鑒的。
『肆』 什麼是網路安全，常用的安全措施有那些求答案！急！
網路安全是指網路系統的硬體、軟體及其系統中的數據受到保護，不因偶然的或者惡意的原因而遭受到破壞、更改、泄露，系統連續可靠正常地運行，網路服務不中斷。 網路安全包含網路設備安全、網路信息安全、網路軟體安全。從廣義來說，凡是涉及到網路上信息的保密性、完整性、可用性、真實性和可控性的相關技術和理論都是網路安全的研究領域。網路安全是一門涉及計算機科學、網路技術、通信技術、密碼技術、信息安全技術、應用數學、數論、資訊理論等多種學科的綜合性學科。
網路安全解決方案分析我們的網路對安全性有極高的要求，網路中的關鍵應用和關鍵數據越來越多，如何保障關鍵業務數據的安全性成為網路運維中非常關鍵的工作。
物理安全
網路的物理安全是整個網路系統安全的前提。在校園網工程建設中，由於網路系統屬於弱電工程，耐壓值很低。因此，在網路工程的設計和施工中，必須優先考慮保護人和網路設備不受電、火災和雷擊的侵害；考慮布線系統與照明電線、動力電線、通信線路、暖氣管道及冷熱空氣管道之間的距離；考慮布線系統和絕緣線、裸體線以及接地與焊接的安全；必須建設防雷系統，防雷系統不僅考慮建築物防雷，還必須考慮計算機及其他弱電耐壓設備的防雷。總體來說物理安全的風險主要有，地震、水災、火災等環境事故；電源故障；人為操作失誤或錯誤；設備被盜、被毀；電磁干擾；線路截獲；高可用性的硬體；雙機多冗餘的設計；機房環境及報警系統、安全意識等，因此要注意這些安全隱患，同時還要盡量避免網路的物理安全風險。
網路結構
網路拓撲結構設計也直接影響到網路系統的安全性。假如在外部和內部網路進行通信時，內部網路的機器安全就會受到威脅，同時也影響在同一網路上的許多其他系統。透過網路傳播，還會影響到連上Internet/Intranet的其他的網路；影響所及，還可能涉及法律、金融等安全敏感領域。因此，我們在設計時有必要將公開伺服器（WEB、DNS、EMAIL等）和外網及內部其它業務網路進行必要的隔離，避免網路結構信息外泄；同時還要對外網的服務請求加以過濾，只允許正常通信的數據包到達相應主機，其它的請求服務在到達主機之前就應該遭到拒絕。
系統的安全
所謂系統的安全是指整個網路操作系統和網路硬體平台是否可靠且值得信任。恐怕沒有絕對安全的操作系統可以選擇，無論是Microsoft 的Windows NT或者其它任何商用UNIX操作系統，其開發廠商必然有其Back-Door。因此，我們可以得出如下結論：沒有完全安全的操作系統。不同的用戶應從不同的方面對其網路作詳盡的分析，選擇安全性盡可能高的操作系統。因此不但要選用盡可能可靠的操作系統和硬體平台，並對操作系統進行安全配置。而且，必須加強登錄過程的認證（特別是在到達伺服器主機之前的認證），確保用戶的合法性；其次應該嚴格限制登錄者的操作許可權，將其完成的操作限制在最小的范圍內。
應用系統
應用系統的安全跟具體的應用有關，它涉及面廣。應用系統的安全是動態的、不斷變化的。應用的安全性也涉及到信息的安全性，它包括很多方面。
——應用系統的安全是動態的、不斷變化的。
應用的安全涉及方面很多，以Internet上應用最為廣泛的E-mail系統來說，其解決方案有sendmail、Netscape Messaging Server、SoftwareCom Post.Office、Lotus Notes、Exchange Server、SUN CIMS等不下二十多種。其安全手段涉及LDAP、DES、RSA等各種方式。應用系統是不斷發展且應用類型是不斷增加的。在應用系統的安全性上，主要考慮盡可能建立安全的系統平台，而且通過專業的安全工具不斷發現漏洞，修補漏洞，提高系統的安全性。
——應用的安全性涉及到信息、數據的安全性。
信息的安全性涉及到機密信息泄露、未經授權的訪問、 破壞信息完整性、假冒、破壞系統的可用性等。在某些網路系統中，涉及到很多機密信息，如果一些重要信息遭到竊取或破壞，它的經濟、社會影響和政治影響將是很嚴重的。因此，對用戶使用計算機必須進行身份認證，對於重要信息的通訊必須授權，傳輸必須加密。採用多層次的訪問控制與許可權控制手段，實現對數據的安全保護；採用加密技術，保證網上傳輸的信息（包括管理員口令與帳戶、上傳信息等）的機密性與完整性。
管理風險
管理是網路中安全最最重要的部分。責權不明，安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風險。當網路出現攻擊行為或網路受到其它一些安全威脅時（如內部人員的違規操作等），無法進行實時的檢測、監控、報告與預警。同時，當事故發生後，也無法提供黑客攻擊行為的追蹤線索及破案依據，即缺乏對網路的可控性與可審查性。這就要求我們必須對站點的訪問活動進行多層次的記錄，及時發現非法入侵行為。
建立全新網路安全機制，必須深刻理解網路並能提供直接的解決方案，因此，最可行的做法是制定健全的管理制度和嚴格管理相結合。保障網路的安全運行，使其成為一個具有良好的安全性、可擴充性和易管理性的信息網路便成為了首要任務。一旦上述的安全隱患成為事實，所造成的對整個網路的損失都是難以估計的。因此，網路的安全建設是校園網建設過程中重要的一環。
安全技術手段
物理措施：例如，保護網路關鍵設備(如交換機、大型計算機等)，制定嚴格的網路安全規章制度，採取防輻射、防火以及安裝不間斷電源（UPS）等措施。
訪問控制：對用戶訪問網路資源的許可權進行嚴格的認證和控制。例如，進行用戶身份認證，對口令加密、更新和鑒別，設置用戶訪問目錄和文件的許可權，控制網路設備配置的許可權等等。
數據加密：加密是保護數據安全的重要手段。加密的作用是保障信息被人截獲後不能讀懂其含義。防止計算機網路病毒，安裝網路防病毒系統。
網路隔離：網路隔離有兩種方式，一種是採用隔離卡來實現的，一種是採用網路安全隔離網閘實現的。
隔離卡主要用於對單台機器的隔離，網閘主要用於對於整個網路的隔離。這兩者的區別可參見參考資料。
其他措施：其他措施包括信息過濾、容錯、數據鏡像、數據備份和審計等。圍繞網路安全問題提出了許多解決辦法，例如數據加密技術和防火牆技術等。數據加密是對網路中傳輸的數據進行加密，到達目的地後再解密還原為原始數據，目的是防止非法用戶截獲後盜用信息。防火牆技術是通過對網路的隔離和限制訪問等方法來控制網路的訪問許可權。
安全防範意識
擁有網路安全意識是保證網路安全的重要前提。許多網路安全事件的發生都和缺乏安全防範意識有關。
主機安全檢查
要保證網路安全，進行網路安全建設，第一步首先要全面了解系統，評估系統安全性，認識到自己的風險所在，從而迅速、准確得解決內網安全問題。由安天實驗室自主研發的國內首款創新型自動主機安全檢查工具，徹底顛覆傳統系統保密檢查和系統風險評測工具操作的繁冗性，一鍵操作即可對內網計算機進行全面的安全保密檢查及精準的安全等級判定，並對評測系統進行強有力的分析處置和修復。
主機物理安全
伺服器運行的物理安全環境是很重要的，很多人忽略了這點。物理環境主要是指伺服器託管機房的設施狀況，包括通風系統、電源系統、防雷防火系統以及機房的溫度、濕度條件等。這些因素會影響到伺服器的壽命和所有數據的安全。我不想在這里討論這些因素，因為在選擇IDC時你自己會作出決策。
在這里著重強調的是，有些機房提供專門的機櫃存放伺服器，而有些機房只提供機架。所謂機櫃，就是類似於家裡的櫥櫃那樣的鐵櫃子，前後有門，裡面有放伺服器的拖架和電源、風扇等，伺服器放進去後即把門鎖上，只有機房的管理人員才有鑰匙打開。而機架就是一個個鐵架子，開放式的，伺服器上架時只要把它插到拖架里去即可。這兩種環境對伺服器的物理安全來說有著很大差別，顯而易見，放在機櫃里的伺服器要安全得多。
如果你的伺服器放在開放式機架上，那就意味著，任何人都可以接觸到這些伺服器。別人如果能輕松接觸到你的硬體，還有什麼安全性可言?
如果你的伺服器只能放在開放式機架的機房，那麼你可以這樣做：
（1)將電源用膠帶綁定在插槽上，這樣避免別人無意中碰動你的電源；
（2)安裝完系統後，重啟伺服器，在重啟的過程中把鍵盤和滑鼠拔掉，這樣在系統啟動後，普通的鍵盤和滑鼠接上去以後不會起作用(USB滑鼠鍵盤除外)
（3)跟機房值班人員搞好關系，不要得罪機房裡其他公司的維護人員。這樣做後，你的伺服器至少會安全一些。
『伍』 如何保護企業核心信息安全
教你五招~~~
一、密碼：有一個好的密碼是一個良好的開端。澳大利亞的標准AS17799建議密碼的長度至少要有八位以上，並且記得定期更換密碼。
二、網路和個人計算機安全：不要直接或者間接的將個人擁有的設備接入到公司網路中；不要安裝非正式的無線訪問接入點。因為可能導致外部人員進入你的網路，致秘密信息的泄漏。
三、電子郵件：對於那些有疑問或者不知道來源的郵件，不要點擊電子郵件中的連接--而是直接在瀏覽器中輸入URL。
四、列印機和其他媒介：沒有必要總是把文檔列印出來。如果列印的信息是機密信息，並且它是以電子版本的形式存在的話，那麼可能需要更好的保護；盡量不要使用"公用的"列印機最好使用專門或類似的位於受限或者被監控的領域的（比如說只為財務人員所使用的）列印機。
五、利用網路安全管理設備：如UniNAC、UniBDP數據防泄露，這類管理系統，遵循合規進入、授權使用、加密傳輸、安全存儲、審核輸出、記錄員工操作的流程，對重要級敏感數據的訪問行為、傳播進行有效監控，及時發現違反安全策略的事件並實時告警、記錄、進行安全事件定位分析，准確掌握網路系統的安全狀態，對敏感數據進行審計和攔截，防範數據被非法復制、列印、截屏、外傳。來建立一個設備和數據的良好管理文化。
『陸』 就你了解的網路信息安全知識，談你對保護個人信息安全的思路和方法，怎樣避免個人信息泄露，怎樣避免被人肉
網路信息安全知識，談對保護個人信息安全的思路和方法
對於網路公司而言，做好網路安全管理工作非常重要，這時候，需要制訂一套完善的網路安全管理制度。以下是關於安全管理規章制度範文，供各位參考。
1. 建立健全計算機信息網路電子公告系統的用戶登記和信息管理制度；
2. 組織網路管理員學習《計算機信息網路國際聯網安全保護管理辦法》，提高網路安全員的警惕性。
3. 負責對本網路用戶進行安全教育和培訓。
4. 建立電子公告系統的網路安全管理制度和考核制度，加強對電子公告系統的審核管理工作，杜絕BBS上出現違犯《計算機信息網路國際聯網安全保護管理辦法》的內容。
1. 對版主的聘用本著認真慎重的態度、認真核實版主身份，做好版主聘用記錄。
2. 對各版聘用版主實行有針對性的網路安全教育，落實版主職責，提高版主的責任感。
3. 版主負責檢查各版信息內容，如發現違反《計算機信息網路國際互聯網安全保護管理辦法》即時予以刪除，情節嚴重者，做好原始記錄，報告網路管理員解決，由管理員向公安機關計算機管理監察機構報告。
4. 網路管理員負責對各版版主進行績效管理考核，如發現不能正常履行版主職責者，將予以警告，嚴重者予以解聘。
5. 在版主負責欄目中發現重大問題未得到及時解決者，即時對版主予以解聘。
6. 加強網路管理員職責，配合各版版主的工作，共同維護電子公告板的信息安全。
1. 檢查時嚴格按照《計算機信息網路國際互聯網安全保護管理辦法》、《網路安全管理制度》及《信息審核管理制度》（見附頁）的標准執行。
2. 如發現違犯《計算機信息網路國際互聯網安全保護管理辦法》（見附頁）的言論及信息，即時予以刪除，情節嚴重者保留有關原始記錄，並在二十四小時內向當地公安機關報告。
3. 負責對本網路用戶進行安全教育和培訓，網路管理員加強對《計算機信息網路國際互聯網安全保護管理辦法》的學習，進一步提高對網路信息安全維護的警惕性。
*********************
企業網路安全管理方案
大致包括： 1) 企業網路安全漏洞分析評估2) 網路更新的拓撲圖、網路安全產品采購與報價3) 管理制度制定、員工安全教育與安全知識培訓計劃4) 安全建設方案5) 網管設備選擇與網路管理軟體應用6) 網路維護與數據災難備份計劃7) 企業防火牆應用管理與策略8) 企業網路病毒防護9) 防內部攻擊方案10) 企業VPN設計
網路安全要從兩方面來入手
第一、管理層面。包括各種網路安全規章制度的建立、實施以及監督
第二、技術層面。包括各種安全設備實施，安全技術措施應用等
按照你的描述 首先我提醒你一點
安全是要花錢的 如果不想花錢就你現有的這些設備
我認為應該從以下幾點入手
一、制定並實施網路安全管理制度 包括伺服器以及個人主機安全管理、包括個級別許可權管理等等
二、制定並實施網路安全日常工作程序，包括監測上網行為、包括入侵監測
三、從技術層面上，你那裡估計是一根專線接入後用交換機或者無線路由器DHCP分配IP地址供大家上網，這樣的話你做不到上網行為管理，你需要一台防火牆進行包過濾以及日誌記錄 或者作一台代理伺服器進行上網行為管理並進行日誌記錄。
四、區域網內計算機系統管理 包括操作系統防病毒 更新補丁等工作 堡壘往往是從內部攻破 內部計算機中毒主動向外發送數據，造成泄密 這已經是很常見的事情 所以做好主機防護很重要。
當然 如果您有錢 黑洞系統 入侵監測 漏洞掃描 多級防火牆 審計系統都可以招呼
最後提醒一點 那就是 沒有絕對的安全 安全都是相對的
你需要什麼級別的安全 就配套做什麼級別的安全措施
管理永遠大於技術 技術只是輔助手段
具體有什麼問題 請更新問題 我會再來回答 或者用Bai Hi來聯系我
只是我不定期在
個人如何注意網路安全
1.安裝好殺毒軟體和防火牆並及時更新。
2.養成良好的上網習慣，不去點擊一些不良網站和郵件。
3.定期殺毒，及時給系統打好補丁。
4.學習網路安全知識，遠離黑客工具。
『柒』 如何提升網路信息安全保障能力
健全的網路與信息安全保障措施 隨著企業網路的普及和網路開放性，共享性，互連程度的擴大，網路的信息安全問題也越來越引起人們的重視。一個安全的計算機網路應該具有可靠性、可用性、完整性、保密性和真實性等特點。計算機網路不僅要保護計算機網路設備安全和計算機網路系統安全，還要保護數據安全。網路安全風險分析 計算機系統本身的脆弱性和通信設施的脆弱性共同構成了計算機網路的潛在威脅。信息網路化使信息公開化、信息利用自由化，其結果是信息資源的共享和互動，任何人都可以在網上發布信息和獲取信息。這樣，網路信息安全問題就成為危害網路發展的核心問題，與外界的網際網路連接使信息受侵害的問題尤其嚴重。 目前企業網路信息的不安全因素來自病毒、黑客、木馬、垃圾郵件等幾個方面。 計算機病毒是一種危害計算機系統和網路安全的破壞性程序。它可以直接破壞計算機數據信息，也可以大量佔用磁碟空間、搶占系統資源從而干擾了系統的正常運行。 隨著Internet技術的發展、企業網路環境的日趨成熟和企業網路應用的增多，病毒的感染、傳播的能力和途徑也由原來的單一、簡單變得復雜、隱蔽，尤其是Internet環境和企業網路環境為病毒傳播、生存提供了環境。 黑客攻擊已經成為近年來經常發生的事情，網路中伺服器被攻擊的事件層出不窮。黑客利用計算機系統、網路協議及資料庫等方面的漏洞和缺陷，採用破解口令(password cracking)、天窗(trapdoor)、後門(backdoor)、特洛伊木馬(Trojan horse)等手段侵入計算機系統，進行信息破壞或佔用系統資源，使得用戶無法使用自己的機器。一般大型企業的網路都擁有Internet連接，同時對外提供的WWW和EMAIL等服務。因此企業內部網路通過Internet連接外部進行大量的信息交換，而其中大約80%信息是電子郵件，郵件中又有一半以上的郵件是垃圾郵件，這一比例還在逐年上升。 企業區域網內部的信息安全更是不容忽視的。網路內部各節點之間通過網路共享網路資源，就可能因無意中把重要的涉密信息或個人隱私信息存放在共享目錄下，因此造成信息泄漏；甚至存在內部人員編寫程序通過網路進行傳播，或者利用黑客程序入侵他人主機的現象。因此，網路安全不僅要防範外部網，同時更防範內部網。網路安全措施 由此可見，有眾多的網路安全風險需要考慮，因此，企業必須採取統一的安全策略來保證網路的安全性。一個完整的安全技術和產品包括：身份認證、訪問控制、流量監測、網路加密技術、防火牆、入侵檢測、防病毒、漏洞掃描等；而造成安全事件的原因則包括技術因素、管理因素以及安全架構設計上的疏漏等問題。 1.外部入侵的防範措施 (1)網路加密(Ipsec) IP層是TCP/IP網路中最關鍵的一層，IP作為網路層協議，其安全機制可對其上層的各種應用服務提供透明的覆蓋式安全保護。因此，IP安全是整個TCP/IP安全的基礎，是網路安全的核心。IPSec是目前唯一一種能為任何形式的Internet通信提供安全保障的協議。IPSec允許提供逐個數據流或者逐個連接的安全，所以能實現非常細致的安全控制。對於用戶來說，便可以對於不同的需要定義不同級別地安全保護(即不同保護強度的IPSec通道)。IPSec為網路數據傳輸提供了數據機密性、數據完整性、數據來源認證、抗重播等安全服務，使得數據在通過公共網路傳輸時，不用擔心被監視、篡改和偽造。 IPSec是通過使用各種加密演算法、驗證演算法、封裝協議和一些特殊的安全保護機制來實現這些目的，而這些演算法及其參數是保存在進行IPSec通信兩端的SA(Security Association，安全聯盟)，當兩端的SA中的設置匹配時，兩端就可以進行IPSec通信了。 在虛擬專用網(VPN)中主要採用了IPSec技術。 (2)防火牆 防火牆是一種網路安全保障手段，是網路通信時執行的一種訪問控制尺度，其主要目標就是通過控制進、出一個網路的許可權，在內部和外部兩個網路之間建立一個安全控制點，對進、出內部網路的服務和訪問進行控制和審計，防止外部網路用戶以非法手段通過外部網路進入內部網路，訪問、干擾和破壞內部網路資源。在邏輯上，防火牆是一個分離器，一個限制器，也是一個分析器，有效地監視了內部網路和Internet之間的任何活動，保證了內部網路的安全。 防火牆有軟、硬體之分，實現防火牆功能的軟體，稱為軟體防火牆。軟體防火牆運行於特定的計算機上，它需要計算機操作系統的支持。基於專用的硬體平台的防火牆系統，稱為硬體防火牆。它們也是基於PC架構，運行一些經過裁剪和簡化的操作系統，承載防火牆軟體。 (3)入侵檢測 部署入侵檢測產品，並與防火牆聯動，以監視區域網外部繞過或透過防火牆的攻擊，並及時觸發聯動的防火牆及時關閉該連接；同時監視主伺服器網段的異常行為，以防止來自區域網內部的攻擊或無意的誤用及濫用行為。入侵檢測是防火牆的合理補充，幫助系統對付網路攻擊，擴展了系統管理員的安全管理能力。 2.內部非法活動的防範措施 (1)身份認證 網路安全身份認證是指登錄計算機網路時系統對用戶身份的確認技術。是網路安全的第一道防線，也是最重要的一道防線。用戶在訪問安全系統之前，首先經過身份認證系統識別身份，然後訪問監控器根據用戶的身份和授權資料庫決定用戶是否能夠訪問某個資源。授權資料庫由安全管理員按照需要進行配置。審計系統根據審計設置記錄用戶的請求和行為，同時入侵檢測系統實時或非實時地檢測是否有入侵行為。訪問控制和審計系統都要依賴於身份認證系統提供的用戶的身份。身份認證在安全系統中的地位極其重要，是最基本的安全服務，其它的安全服務都要依賴於它。一旦身份認證系統被攻破，那麼系統的所有安全措施將形同虛設。黑客攻擊的目標往往就是身份認證系統，因此身份認證實在是網路安全的關鍵。 (2)訪問控制 訪問控制決定了用戶可以訪問的網路范圍、使用的協議、埠；能訪問系統的何種資源以及如何使用這些資源。在路由器上可以建立訪問控制列表，它是應用在路由器介面的指令列表，這些指令列表用來告訴路由器哪些數據包可以接收、哪些數據包需要拒絕。至於數據包是被接收還是被拒絕，可以由類似於源地址、目的地址、埠號、協議等特定指示條件來決定。建立訪問控制列表後，可以限制網路流量，提高網路性能，對通信流量起到控制的手段，這也是對網路訪問的基本安全手段。由於訪問控制列表ACL(Access Control List)的表項可以靈活地增加，所以可以把ACL當作一種網路控制的有力工具，用來過濾流入和?鞽雎酚善鶻涌詰氖蒞?在應用系統中，訪問控制的手段包括用戶識別代碼、口令、登錄控制、資源授權(例如用戶配置文件、資源配置文件和控制列表)、授權核查、日誌和審計。適當的訪問控制能夠阻止未經允許的用戶有意或無意地獲取數據，根據授予的許可權限制其對資源的利用范圍和程度。 (3)流量監測 目前有很多因素造成網路的流量異常，如拒絕服務攻擊(DoS)、網路蠕蟲病毒的傳播、一些網路掃描工具產生的大量TCP連接請求等，很容易使網路設備癱瘓。這些網路攻擊，都是利用系統服務的漏洞或利用網路資源的有限性，在短時間內發動大規模網路攻擊，消耗特定資源，造成網路或計算機系統癱瘓。因此監控網路的異常流量非常重要。流量監測技術主要有基於SNMP的流量監測和基於Netflow的流量監測。基於SNMP的流量信息採集，是通過提取網路設備Agent提供的MIB(管理對象信息庫)中收集一些具體設備及流量信息有關的變數。 基於SNMP收集的網路流量信息包括：輸入位元組數、輸入非廣播包數、輸入廣播包數、輸入包丟棄數、輸入包錯誤數、輸入未知協議包數、輸出位元組數、輸出非廣播包數、輸出廣播包數、輸出包丟棄數、輸出包錯誤數、輸出隊長等。基於Netflow流量信息採集是基於網路設備提供的Netflow機制實現的網路流量信息採集，在此基礎上實現的流量信息採集效率和效果均能夠滿足網路流量異常監測的需求。基於以上的流量檢測技術，目前有很多流量監控管理軟體，此類軟體是判斷異常流量流向的有效工具，通過流量大小變化的監控，可以幫助網管人員發現異常流量，特別是大流量異常流量的流向，從而進一步查找異常流量的源、目的地址。處理異常流量最直接的解決辦法是切斷異常流量源設備的物理連接，也可以採用訪問控制列表進行包過濾或在路由器上進行流量限定的方法控制異常流量。 (4)漏洞掃描 對一個網路系統而言，存在不安全隱患，將是黑客攻擊得手的關鍵因素。就目前的網路系統來說，在硬體、軟體、協議的具體實現或系統安全策略方面都可能存在一定的安全缺陷即安全漏洞。及時檢測出網路中每個系統的安全漏洞是至關重要的。安全掃描是增強系統安全性的重要措施之一，它能夠有效地預先評估和分析系統中的安全問題。漏洞掃描系統是用來自動檢測遠程或本地主機安全漏洞的程序，按功能可分為：操作系統漏洞掃描、網路漏洞掃描和資料庫漏洞掃描。網路漏洞掃描系統，是指通過網路遠程檢測目標網路和主機系統漏洞的程序，它對網路系統和設備進行安全漏洞檢測和分析，從而發現可能被入侵者非法利用的漏洞。定期對網路系統進行漏洞掃描，可以主動發現安全問題並在第一時間完成有效防護，讓攻擊者無隙可鑽。 (5)防病毒 企業防病毒系統應該具有系統性與主動性的特點，能夠實現全方位多級防護。考慮到病毒在網路中存儲、傳播、感染的方式各異且途徑多種多樣，相應地在構建網路防病毒系統時，應利用全方位的企業防毒產品，實施集中控制、以防為主、防殺結合的策略。具體而言，就是針對網路中所有可能的病毒攻擊設置對應的防毒軟體，通過全方位、多層次的防毒系統配置，使網路沒有薄弱環節成為病毒入侵的缺口。實例分析 大慶石化區域網是企業網路，覆蓋大慶石化機關、各生產廠和其他的二級單位，網路上運行著各種信息管理系統，保存著大量的重要數據。為了保證網路的安全，針對計算機網路本身可能存在的安全問題，在網路安全管理上我們採取了以下技術措施： 1.利用PPPOE撥號上網的方式登錄區域網 我們對網路用戶實施了身份認證技術管理。用戶採用 PPPOE撥號方式上區域網，即用戶在網路物理線路連通的情況下，需要通過撥號獲得IP地址才能上區域網。我們選用華為ISN8850智能IP業務交換機作為寬頻接入伺服器(BAS)，RADIUS伺服器作用戶認證系統，每個用戶都以實名注冊，這樣我們就可以管理用戶的網上行為，實現了對乙太網接入用戶的管理。 2.設置訪問控制列表 在我們的網路中有幾十台路由交換機，在交換機上我們配置了訪問控制列表，根據信息流的源和目的 IP 地址或網段，使用允許或拒絕列表，更准確地控制流量方向，並確保 IP 網路免遭網路侵入。 3.劃分虛擬子網 在區域網中，我們把不同的單位劃分成不同的虛擬子網(VLAN)。對於網路安全要求特別高的應用，如醫療保險和財務等，劃分獨立的虛擬子網，並使其與區域網隔離，限制其他VLAN成員的訪問，確保了信息的保密安全。 4.在網路出口設置防火牆在區域網的出口，我們設置了防火牆設備，並對防火牆制定安全策略，對一些不安全的埠和協議進行限制，使所有的伺服器、工作站及網路設備都在防火牆的保護之下，同時配置一台日誌伺服器記錄、保存防火牆日誌，詳細記錄了進、出網路的活動。 5.部署Symantec防病毒系統 我們在大慶石化區域網內部署了Symantec防病毒系統。Symantec系統具有跨平台的技術及強大功能，系統中心是中央管理控制台。通過該管理控制台集中管理運行Symantec AntiVirus 企業版的伺服器和客戶端；可以啟動和調度掃描，以及設置實時防護，從而建立並實施病毒防護策略，管理病毒定義文件的更新，控制活動病毒，管理計算機組的病毒防護、查看掃描、病毒檢測和事件歷史記錄等功能。 6.利用高效的網路管理軟體管理全網大慶石化區域網的網路環境比較復雜，含有多種cisco交換設備、華為交換設備、路由設備以及其他一些接入設備，為了能夠有效地網路，我們採用了BT_NM網路資源管理系統。 該系統基於SNMP管理協議，可以實現跨廠商、跨平台的管理。系統採用物理拓撲的方法來自動生成網路的拓撲圖，能夠准確和直觀地反映網路的實際連接情況，包括設備間的冗餘連接、備份連接、均衡負載連接等，對拓撲結構進行層次化管理。通過網路軟體的IP地址定位功能可以定位IP地址所在交換機的埠，有效解決了IP地址盜用、查找病毒主機網路黑客等問題。 通過網路軟體還可實現對網路故障的監視、流量檢測和管理，使網管人員能夠對故障預警，以便及時採取措施，保證了整個網路能夠堅持長時間的安全無故障運行。 7.建立了VPN系統 虛擬專用網是對企業內部網的擴展。它可以幫助遠程用戶、公司分支機構、商業夥伴及供應商同公司的內部網建立可信的安全連接，並保證數據的安全傳輸。虛擬專用網可用於實現企業網站之間安全通信的虛擬專用線路，用於經濟有效地連接到商業夥伴和用戶的安全外聯網虛擬專用網。為了滿足企業用戶遠程辦公需求，同時為了滿足網路安全的要求，我們在石化區域網中建立了VPN系統。VPN的核心設備為Cisco的3825路由器，遠端子公司採用Cisco的2621路由器，動態接入設備採用Cisco的1700路由器。 8.啟動應用伺服器的審計功能在區域網的各應用中我們都啟用了審計功能，對用戶的操作進行審核和記錄，保證了系統的安全。
『捌』 怎樣保護計算機網路信息安全
1、固有的安全漏洞 現在，新的操作系統或應用軟體剛一上市，漏洞就已被找出。沒有任何一個系統可以排除漏洞的存在，想要修補所有的漏洞簡直比登天還難。從CERT（CarnegieMellon 大學計算機緊急事件響應隊）那裡，可以找到相當全面的程序錯誤列表。另一個消息的來源就是諸如BugNet或NTBug traq一類的新聞組。
(1) 緩沖區溢出。這是攻擊中最容易被利用的系統漏洞。很多系統在不檢查程序與緩沖區間的變化的情況下，就接收任何長度的數據輸入，把溢出部分放在堆棧內，系統還照常執行命令。這樣破壞者便有機可乘。他只要發送超出緩沖區所能處理的長度的指令，系統便進入不穩定狀態。假如破壞者特別配置一串他准備用作攻擊的字元，他甚至可以訪問系統根目錄。
(2) 拒絕服務。拒絕服務 (DenialofService ， DoS) 攻擊的原理是攪亂 TCP/IP 連接的次序。典型的 DoS 攻擊會耗盡或是損壞一個或多個系統的資源（ CPU 周期、內存和磁碟空間），直至系統無法處理合法的程序。這類攻擊的例子是 Synflood 攻擊。發動 Synflood 攻擊的破壞者發送大量的不合法請求要求連接，目的是使系統不勝負荷。其結果是系統拒絕所有合法的請求，直至等待回答的請求超時。
2、合法工具的濫用 大部分系統都配備了用以改進系統管理及服務質量的工具軟體，但遺憾的是，這些工具同時也會被破壞者利用去收集非法信息及加強攻擊力度：
例如：NBTSTAT命令是用來給系統管理員提供遠程節點的信息的。但是破壞者也用這一命令收集對系統有威脅性的信息，例如區域控制軟體的身份信息、NetBIOS的名字、IIS名甚至是用戶名。這些信息足以被黑客用來破譯口令。
另一個最常被利用的工具是網包嗅探器（PacketSniffer）。系統管理員用此工具來監控及分發網包，以便找出網路的潛在問題。黑客如要攻擊網路，則先把網卡變成功能混雜的設備，截取經過網路的包（包括所有未加密的口令和其他敏感信息），然後短時間運行網包嗅探器就可以有足夠的信息去攻擊網路。
3、不正確的系統維護措施 系統固有的漏洞及一大堆隨處可見的破壞工具大大方便了黑客的攻擊，但無效的安全管理也是造成安全隱患的一個重要因素。當發現新的漏洞時，管理人員應仔細分析危險程度，並馬上採取補救措施。
有時候，雖然我們已經對系統進行了維護，對軟體進行了更新或升級，但由於路由器及防火牆的過濾規則過於復雜，系統又可能會出現新的漏洞。所以，及時、有效地改變管理可以大大降低系統所承受的風險。
4、低效的系統設計和檢測能力 在不重視信息保護的情況下設計出來的安全系統會非常 " 不安全 " ，而且不能抵禦復雜的攻擊。建立安全的架構一定要從底層著手。這個架構應能提供實效性的安全服務，並且需要妥善的管理。
伺服器的代碼設計及執行也要進行有效管理。最近 , 有很多公開的漏洞報告指出：在輸入檢查不完全時， cgi bin 是非常脆弱的。黑客可以利用這一漏洞發動拒絕服務攻擊，非法訪問敏感信息或是篡改 Web 計算機網路信息安全的防護策略
盡管計算機網路信息安全受到威脅，但是採取恰當的防護措施也能有效的保護網路信息的安全。本文總結了以下幾種方法並加以說明以確保在策略上保護網路信息的安全：
1、隱藏IP地址 黑客經常利用一些網路探測技術來查看我們的主機信息，主要目的就是得到網路中主機的IP地址。IP地址在網路安全上是一個很重要的概念，如果攻擊者知道了你的IP地址，等於為他的攻擊准備好了目標，他可以向這個IP發動各種進攻，如DoS(拒絕服務)攻擊、Floop溢出攻擊等。隱藏IP地址的主要方法是使用代理伺服器。 使用代理伺服器後，其它用戶只能探測到代理伺服器的IP地址而不是用戶的IP地址，這就實現了隱藏用戶IP地址的目的，保障了用戶上網安全。
2、關閉不必要的埠 黑客在入侵時常常會掃描你的計算機埠，如果安裝了埠監視程序（比如Netwatch），該監視程序則會有警告提示。如果遇到這種入侵，可用工具軟體關閉用不到的埠，比如，用「Norton Internet Security」關閉用來提供網頁服務的80和443埠，其他一些不常用的埠也可關閉。
3、更換管理員帳戶 Administrator帳戶擁有最高的系統許可權，一旦該帳戶被人利用，後果不堪設想。黑客入侵的常用手段之一就是試圖獲得Administrator帳戶的密碼，所以我們要重新配置Administrator帳號。首先是為Administrator帳戶設置一個強大復雜的密碼，然後我們重命名Administrator帳戶，再創建一個沒有管理員許可權的Administrator帳戶欺騙入侵者。這樣一來，入侵者就很難搞清哪個帳戶真正擁有管理員許可權，也就在一定程度上減少了危險性。
4、杜絕Guest帳戶的入侵 Guest帳戶即所謂的來賓帳戶，它可以訪問計算機，但受到限制。不幸的是，Guest也為黑客入侵打開了方便之門！禁用或徹底刪除Guest帳戶是最好的辦法，但在某些必須使用到Guest帳戶的情況下，就需要通過其它途徑來做好防禦工作了。首先要給Guest設一個強壯的密碼，然後詳細設置Guest帳戶對物理路徑的訪問許可權。
5、封死黑客的"後門" 俗話說「無風不起浪」，既然黑客能進入，那我們的系統一定存在為他們打開的"後門"，我們只要將此堵死，讓黑客無處下手，豈不美哉！
(1) 刪掉不必要的協議
對於伺服器和主機來說，一般只安裝TCP/IP協議就夠了。滑鼠右擊「網路鄰居」，選擇「屬性」，再滑鼠右擊「本地連接」，選擇「屬性」，卸載不必要的協議。其中NetBIOS是很多安全缺陷的源泉，對於不需要提供文件和列印共享的主機，可以將綁定在TCP/IP協議的NetBIOS給關閉，避免針對NetBIOS的攻擊。
(2) 關閉「文件和列印共享」
文件和列印共享應該是一個非常有用的功能，但在我們不需要它的時候，它也是引發黑客入侵的安全漏洞。所以在沒有必要"文件和列印共享"的情況下，我們可以將其關閉。即便確實需要共享，也應該為共享資源設置訪問密碼。
(3) 禁止建立空連接
在默認的情況下，任何用戶都可以通過空連接連上伺服器，枚舉帳號並猜測密碼。因此我們必須禁止建立空連接。
(4) 關閉不必要的服務
服務開得多可以給管理帶來方便，但也會給黑客留下可乘之機，因此對於一些確實用不到的服務，最好關掉。比如在不需要遠程管理計算機時，我都會將有關遠程網路登錄的服務關掉。去掉不必要的服務停止之後，不僅能保證系統的安全，同時還可以提高系統運行速度。