【正文】 和不可重用性。 加密機(jī)制加密是提供數(shù)據(jù)保密性的基本方法，用加密方法和認(rèn)證機(jī)制相結(jié)合，可提供數(shù)據(jù)的保密性和完整性。 破壞數(shù)據(jù)完整性破壞數(shù)據(jù)完整性是指以非法手段得到對數(shù)據(jù)信息的使用權(quán)，刪除、修改、插入或重發(fā)某些重要信息，惡意添加、修改數(shù)據(jù)，以干擾用戶的正常使用。主要包括：假冒、身份攻擊、非法用戶進(jìn)入網(wǎng)絡(luò)系統(tǒng)進(jìn)行違法操作，合法用戶以未授權(quán)方式進(jìn)行操作等。曾經(jīng)出現(xiàn)過的黑客攻入網(wǎng)絡(luò)內(nèi)部的時間，大多是由于安全措施不完善導(dǎo)致的。被動攻擊是在不影響網(wǎng)絡(luò)正常工作的情況下，進(jìn)行截獲、竊取、破譯以獲得重要的機(jī)密信息。216。影響計(jì)算機(jī)網(wǎng)絡(luò)安全的因素很多，如有意的或無意的、人為的或非人為的等，外來黑客對網(wǎng)絡(luò)系統(tǒng)資源的非法使用更是影響計(jì)算機(jī)網(wǎng)絡(luò)安全的重要因素。 不可抵賴性不可抵賴性也稱不可否認(rèn)性，是指通信雙方在信息交互過程中，確保參與者本身以及參與者提供的信息的真實(shí)同一性，即所有參與者都不能否認(rèn)或抵賴本人的真實(shí)身份，以及提供信息的原樣性和完整的操作與承諾。 可控性可控性是對網(wǎng)絡(luò)信息的傳播及內(nèi)容具有控制能力的特性，即網(wǎng)絡(luò)系統(tǒng)中的任何信息要在一定傳輸范圍和存放空間內(nèi)可控。 完整性完整性是確保信息在傳輸過程中不被刪除、修改、偽造、亂序、重放、插入等破壞和丟失。網(wǎng)絡(luò)信息系統(tǒng)最基本的功能是向用戶提供服務(wù)，而用戶的需求是隨機(jī)的、多方面的、有時還有時間的需求。保密性是在可靠性和可用性基礎(chǔ)之上，保障網(wǎng)絡(luò)信息安全的重要手段。 可靠性可靠性是網(wǎng)絡(luò)信息系統(tǒng)能夠在規(guī)定條件下、規(guī)定時間內(nèi)完成規(guī)定功能的特性。從本質(zhì)上講，計(jì)算機(jī)網(wǎng)絡(luò)安全就是網(wǎng)絡(luò)的信息安全。在利益的驅(qū)動下，入侵與反入侵、攻擊與反攻擊技術(shù)都得到了長足的發(fā)展，攻擊技術(shù)和攻擊方式也變得越來越復(fù)雜，越來越隱蔽。因此隨后出現(xiàn)了第一代防火墻技術(shù)，用它來從入口上確保外部網(wǎng)絡(luò)用戶對內(nèi)部網(wǎng)絡(luò)訪問的安全（因?yàn)榉阑饓Φ谋Ｗo(hù)原理就是“防外不防內(nèi)”）。他們主要通過撥號式掃描方式尋找應(yīng)答MODEM，從而獲得未授權(quán)訪問的機(jī)會。最早的網(wǎng)絡(luò)是由連接啞鈴終端到中央服務(wù)器的串行點(diǎn)到點(diǎn)線路構(gòu)成的。因此在校園網(wǎng)的建設(shè)工作中必須處理好實(shí)用與發(fā)展、建設(shè)與管理、使用與培訓(xùn)等關(guān)系，從而使校園網(wǎng)的建設(shè)工作健康穩(wěn)定地開展。為此，本文主要是針對校園網(wǎng)絡(luò)安全當(dāng)前的網(wǎng)絡(luò)安全現(xiàn)狀提出多種解決方案，創(chuàng)建一個穩(wěn)健運(yùn)行的校園安全網(wǎng)絡(luò)。因?yàn)榫W(wǎng)絡(luò)安全事故可能隨時發(fā)生，并且其災(zāi)難后果也難以預(yù)測，就像我們生活中的交通事故一樣。現(xiàn)在的網(wǎng)絡(luò)安全問題不再僅是幾個計(jì)算機(jī)病毒那么簡單。網(wǎng)絡(luò)安全保護(hù)的最終目的是預(yù)防各種各樣的非法入侵、網(wǎng)絡(luò)訪問和網(wǎng)絡(luò)攻擊。本文的主要就是針對總體建設(shè)中涉及的安全問題進(jìn)行分析與規(guī)劃設(shè)計(jì)，最后并對大部分解決方案進(jìn)行模擬實(shí)現(xiàn)。要突破這樣的簡單系統(tǒng)，只需要獲得對終端或串行終端口的物理訪問權(quán)限即可。試試的系統(tǒng)主要通過回?fù)芗夹g(shù)來保證的。但第一代防火墻技術(shù)只是基于兩臺過濾型路由器之間的堡壘主機(jī)在TCP/IP的網(wǎng)絡(luò)連接級提供保護(hù)。因此也催生了以后的多代防火墻技術(shù)，同時也誕生了許多其他網(wǎng)絡(luò)安全技術(shù)和設(shè)備，如入侵檢測系統(tǒng)（Intrusion Detection System，IDS）、入侵防御系統(tǒng)（Intrusion Prevention System，IPS）和網(wǎng)絡(luò)隔離設(shè)備等。凡是涉及網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實(shí)性和可控性的相關(guān)技術(shù)和理論都是網(wǎng)絡(luò)安全的研究領(lǐng)域。可靠性是系統(tǒng)安全的基本要求之一，是所有網(wǎng)絡(luò)信息系統(tǒng)的基本目標(biāo)。216。網(wǎng)絡(luò)信息系統(tǒng)的可用性一般用系統(tǒng)正常使用時間和整個工作時間之比來度量。完整性是一種面向信息安全的安全性，要求保持信息的原樣，即信息正確的生成、存儲和傳輸?？煽匦宰钪匾捏w現(xiàn)是全局監(jiān)控、預(yù)警能力和應(yīng)急響應(yīng)處理能力。網(wǎng)絡(luò)安全保護(hù)的最終目的是預(yù)防各種各樣的非法入侵者、網(wǎng)絡(luò)訪問和網(wǎng)絡(luò)攻擊。具體情況有以下幾種：216。 人為的惡意攻擊這是計(jì)算算計(jì)網(wǎng)絡(luò)所面臨的最大威脅，敵人的攻擊和計(jì)算機(jī)犯罪就屬于這一類。這兩種攻擊均對計(jì)算機(jī)網(wǎng)絡(luò)造成極大的危害，并導(dǎo)致機(jī)密數(shù)據(jù)的泄漏。另外，軟件的隱秘通道都是軟件公司的設(shè)計(jì)編程人員為了自己方便而設(shè)置的，一般不為外人所知，但一旦隱秘通道被探知后果將不堪設(shè)想，這樣的軟件不能保證網(wǎng)絡(luò)的安全。216。網(wǎng)絡(luò)信息安全機(jī)制定義了實(shí)現(xiàn)網(wǎng)絡(luò)信息安全服務(wù)的技術(shù)措施，包括所使用的可能方法，主要是利用密碼算法對重要而敏感的數(shù)據(jù)進(jìn)行處理。加密形式可適用于OSI參考模型的不同層（會話層除外），加密機(jī)制還包括密鑰管理機(jī)制。216。 數(shù)據(jù)完整性機(jī)制數(shù)據(jù)完整性主要解決數(shù)據(jù)單元的完整性和數(shù)據(jù)單元序列的完整性。216。 通信業(yè)務(wù)填充機(jī)制該機(jī)制的目的是對抗非法攻擊者在傳輸信道上監(jiān)聽信息以及非法進(jìn)行流量和流向分析。216。根據(jù)防范安全攻擊需求、需要達(dá)到的安全目標(biāo)、對應(yīng)安全機(jī)制所需的安全服務(wù)等因素，參照SSECMM（系統(tǒng)安全工程能力成熟度模型）和ISO17799（信息安全管理標(biāo)準(zhǔn)）等國際標(biāo)準(zhǔn)，綜合考慮實(shí)施性、可管理性、可擴(kuò)展性、綜合完備性、系統(tǒng)均衡性等方面，網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)過程中應(yīng)遵循的十大原則。因?yàn)闊o論是什么安全隱患導(dǎo)致的災(zāi)難，其結(jié)果可能都一樣，要么信息泄露，數(shù)據(jù)丟失、破壞，要么是服務(wù)器或者網(wǎng)絡(luò)癱瘓，無法正常工作。因此，充分、全面、完整地對系統(tǒng)的安全漏洞和安全威脅進(jìn)行分析、評估和檢測（包括模擬攻擊），是設(shè)計(jì)信息安全系統(tǒng)的必要前提條件。所有信息安全系統(tǒng)應(yīng)該包括3種機(jī)制：安全保護(hù)機(jī)制、安全監(jiān)測機(jī)制、安全恢復(fù)機(jī)制。 均衡性原則對于任何網(wǎng)絡(luò)而言，絕對的安全是不可能的達(dá)到的，所以要建立合理的得使用安全性與用戶需求評價、平衡體系。216。雖然說高檔的硬件防火墻產(chǎn)品可以實(shí)現(xiàn)更好的安全保護(hù)，但它的價格往往是很多高校難以承受的。良好的信息安全系統(tǒng)必然是分為不同等級的，包括對信息保密程度的分級，對用戶操作權(quán)限的分級，對網(wǎng)絡(luò)安全程度的分級（安全子網(wǎng)和安全區(qū)域），對系統(tǒng)實(shí)現(xiàn)結(jié)構(gòu)的分級（應(yīng)用層、網(wǎng)絡(luò)層、鏈路層）。安全保護(hù)系統(tǒng)式一個龐大的系統(tǒng)工程，其安全體系的設(shè)計(jì)必須遵循一系列的標(biāo)準(zhǔn)，只有這樣才能確保各個分系統(tǒng)的一致性，使整個系統(tǒng)安全地互聯(lián)互通、信息共享。 易操作性原則首先，安全措施是要人去完成，如果措施過于復(fù)雜，對人的要求過高，本身就降低了安全性。216。 統(tǒng)籌規(guī)劃，分步實(shí)施原則由于政策規(guī)定、服務(wù)需求的不明郎，以及隨著環(huán)境、條件、時間的變化，黑客所采用的攻擊也在不短更新，我們的安全保護(hù)策略不可能一步到位。如可以采取更先進(jìn)的檢測和防御措施，增加安全冗余設(shè)備，提高安全系統(tǒng)的可用性。它們分布在整個校園內(nèi), 管理起來非常困難。配置漏洞主要是指服務(wù)器、防火墻、路由器、交換機(jī)配置時考慮不全面而造成一些漏洞（例如密碼太簡單、ACL規(guī)則不完善等），導(dǎo)致一些略懂或精通網(wǎng)絡(luò)設(shè)備管理技術(shù)的人員可以通過網(wǎng)絡(luò)容易取得硬件設(shè)備的控制權(quán)，然后對其進(jìn)行適當(dāng)?shù)男薷模麄€網(wǎng)絡(luò)都在其的控制之下，嚴(yán)重時甚至?xí)?dǎo)致整個校園網(wǎng)絡(luò)癱瘓。對于這種攻擊行為，即使采用了VPN等保護(hù)措施也難以避免。網(wǎng)絡(luò)竊聽：一般說來，大多數(shù)網(wǎng)絡(luò)通信都是以明文(非加密)格式出現(xiàn)的，這就會使處于無線信號覆蓋范圍之內(nèi)的攻擊者可以乘機(jī)監(jiān)視并破解(讀取)通信。在無線網(wǎng)絡(luò)中，移動站與網(wǎng)絡(luò)控制中心及其它移動站之間不存在任何固定的物理鏈接，移動站必須通過無線信道傳輸其身份信息，身份信息在無線信道中傳輸時可能被竊聽，當(dāng)攻擊者截獲一合法用戶的身份信息時，可利用該用戶的身份侵入網(wǎng)絡(luò)，這就是所謂的身份假冒攻擊。惡意的網(wǎng)絡(luò)攻擊是指利用黑客技術(shù)對校園網(wǎng)絡(luò)系統(tǒng)或應(yīng)用服務(wù)器進(jìn)行破壞。特別是中小學(xué)生,由于年齡小, 分辨是非和抵御干擾能力較差, 如果不采取切實(shí)可行安全措施, 勢必會導(dǎo)致這些信息在校園內(nèi)傳播,侵蝕學(xué)生的心靈。要充分發(fā)揮投資網(wǎng)絡(luò)的效益，需求設(shè)計(jì)成為網(wǎng)絡(luò)規(guī)劃建設(shè)中的重要內(nèi)容，網(wǎng)絡(luò)平臺中主要有針對學(xué)校建筑群而設(shè)計(jì)出的拓?fù)鋱D，有互聯(lián)網(wǎng)設(shè)備（主交換機(jī)、路由器、二級交換機(jī)、服務(wù)器等）。根據(jù)校園內(nèi)外網(wǎng)的安全隱患分析，整體安全設(shè)計(jì)按照OSI/RM參考模型在各層對校園網(wǎng)進(jìn)行安全防護(hù)措施。數(shù)據(jù)鏈路層主要從MAC地址的綁定，數(shù)據(jù)的加密以及VLAN的劃分分別來配置局域網(wǎng)安全。物理層是網(wǎng)絡(luò)構(gòu)建的基礎(chǔ)，在許多行業(yè)或者許多具體應(yīng)用中，網(wǎng)絡(luò)物理層的安全保護(hù)也是非常必要的，特別是在WLAN網(wǎng)絡(luò)中。設(shè)備老化、意外故障、搭線竊聽、電磁泄漏、賬戶被竊等都是物理層的安全隱患。這時我們就可以通過簡單的設(shè)備或線路冗余來實(shí)現(xiàn)來基于物理層的網(wǎng)絡(luò)安全保護(hù)，通俗點(diǎn)說就是提供備用的設(shè)備和線路。 電源與風(fēng)扇的冗余在服務(wù)器、交換機(jī)、路由器和防火墻的這些關(guān)鍵的網(wǎng)絡(luò)設(shè)備中，一般比較高檔的設(shè)備都有電源和風(fēng)扇的冗余，因?yàn)檫@兩個組件比較容易發(fā)生故障。網(wǎng)卡一般都是冗余在一些應(yīng)用服務(wù)器上，把服務(wù)器的地址同時綁定在兩塊網(wǎng)卡上，其中只啟動一塊進(jìn)行工作，另一塊處于待命狀態(tài)，當(dāng)原來工作的網(wǎng)卡出現(xiàn)故障時，待命的網(wǎng)卡立即接替原來的網(wǎng)卡工作，保持服務(wù)器的網(wǎng)絡(luò)連接不中斷，外部用戶訪問也就不會中斷。每個內(nèi)存通道中有一個DIMM不被使用，預(yù)留為熱備內(nèi)存。 2）內(nèi)存鏡像—Mirroring 內(nèi)存鏡像是將內(nèi)存數(shù)據(jù)做兩個拷貝，分別放在主內(nèi)存和鏡像內(nèi)存中。如果任意內(nèi)存達(dá)到了“容錯閾值”，其所在通道就被標(biāo)示出來，另一個通道單獨(dú)工作。 磁盤冗余磁盤方面的冗余就是磁盤冗余陣列——RAID（Redundant Array of Inexpensive Disk）。服務(wù)器冗余就是指服務(wù)器的容錯，即“容錯服務(wù)器”。如在核心層和骨干層，甚至在匯聚層的服務(wù)器、交換機(jī)和路由器上，采取雙線路，甚至多線路連接。 線路冗余 Line redundancy在物理層方的安全保護(hù)方面，網(wǎng)絡(luò)中心機(jī)房和用戶賬戶的安全管理也是一個重要的方面。除了以上所說的線路和設(shè)備冗余之外，還要制定嚴(yán)格的機(jī)房管理制度，以確保機(jī)房設(shè)備和線路不遭受破壞，如關(guān)掉設(shè)備電源，拔掉設(shè)備跳線或用戶網(wǎng)線等。防止鼠、蟲等進(jìn)入機(jī)房，并且保證沒有雨淋危險。采取復(fù)雜性要求限制，防止用戶設(shè)置過于簡單的賬戶密碼。 限定用戶登入時允許嘗試的最多次數(shù)。在網(wǎng)絡(luò)安全系統(tǒng)中的數(shù)據(jù)安全管理方面，我們可以通過設(shè)計(jì)數(shù)據(jù)容災(zāi)方案來確保數(shù)據(jù)安全。 理想的備份系統(tǒng)應(yīng)該是全方位、多層次的。一般在生產(chǎn)本地的備份目的主要有兩個：一是生產(chǎn)系統(tǒng)的業(yè)務(wù)數(shù)據(jù)由于系統(tǒng)或人為誤操作造成損壞或丟失后，可及時在生產(chǎn)本地實(shí)現(xiàn)數(shù)據(jù)的恢復(fù)；另一個目的是在發(fā)生地域性災(zāi)難（地震、火災(zāi)、機(jī)器毀壞等）時，可及時在本地或異地實(shí)現(xiàn)數(shù)據(jù)及整個系統(tǒng)的災(zāi)難恢復(fù)。備份系統(tǒng)能根據(jù)用戶的實(shí)際需求，定義需要備份的數(shù)據(jù)，然后以圖形界面方式根據(jù)需要設(shè)置備份時間表，備份系統(tǒng)將自動啟動備份作業(yè)，無需人工干預(yù)。當(dāng)然，如果你的數(shù)據(jù)庫系統(tǒng)是基于文件系統(tǒng)的，當(dāng)然可以用備份文件的方法備份數(shù)據(jù)庫。歸檔管理 用戶可以按項(xiàng)目、時間定期對所有數(shù)據(jù)進(jìn)行有效的歸檔處理。它利用硬盤、可擦寫磁光盤、磁帶進(jìn)行三層式存儲管理。所以優(yōu)秀的網(wǎng)絡(luò)備份方案應(yīng)能夠備份系統(tǒng)的關(guān)鍵數(shù)據(jù)，在網(wǎng)絡(luò)出現(xiàn)故障甚至損壞時，能夠迅速地恢復(fù)網(wǎng)絡(luò)系統(tǒng)。自動復(fù)制每日完成后的數(shù)據(jù)，以存放異地作災(zāi)難恢復(fù)。第一類是全盤恢復(fù)，第二類是個別文件恢復(fù)，還有一種值得一提的是重定向恢復(fù)。 個別文件恢復(fù)由于操作人員的水平不高，個別文件恢復(fù)可能要比全盤恢復(fù)常見得多，利用網(wǎng)絡(luò)備份系統(tǒng)的恢復(fù)功能，我們很容易恢復(fù)受損的個別文件。重定向恢復(fù)可以是整個系統(tǒng)恢復(fù)也可以是個別文件恢復(fù)。數(shù)據(jù)鏈路層的主要特征就是形成MAC地址，并對物理上的比特流進(jìn)行編碼、成幀、拆幀，以及鏈路控制，為鏈路層提供可靠的數(shù)據(jù)傳輸。數(shù)據(jù)加密技術(shù)主要分為數(shù)據(jù)傳輸加密和數(shù)據(jù)存儲加密兩種。鏈路加密過程中，所有新消息在從源節(jié)點(diǎn)流出后，被傳輸之前需要加密設(shè)備（加密機(jī)或者集成在網(wǎng)卡的安全模塊）使用下一個鏈路的密鑰對數(shù)據(jù)進(jìn)行加密，在下一個中間節(jié)點(diǎn)接收消息前再由加密設(shè)備用本鏈路的密鑰進(jìn)行解密。在到達(dá)目的結(jié)點(diǎn)之前，一條消息可能要經(jīng)過許多條通信鏈路的傳輸，中間還要經(jīng)過許多中間結(jié)點(diǎn)這樣也就需要加、解密多次。結(jié)點(diǎn)加密不允許消息在網(wǎng)絡(luò)結(jié)點(diǎn)以明文的形式存在。但端到端加密是在應(yīng)用層完成的。但是在我們平常的網(wǎng)絡(luò)通信主操作中，都不是以MAC地址來制定目標(biāo)結(jié)點(diǎn)的，而是以IP地址或者NetBIOS 名稱來指定的。因?yàn)锳RP主要欺騙的是網(wǎng)關(guān)服務(wù)器，所以只需要在交換機(jī)、路由器或防火墻內(nèi)進(jìn)行IP地址與MAC地址綁定。Switchconf t: 進(jìn)入全局配置模式Switch(config)int interfaceid:進(jìn)入相應(yīng)的端口配置模式Switch(configif)switchport mode access:設(shè)置以上端口為訪問模式Switch(configif) switchport portsecurity：在端口上啟用端口安全特性Switch(configif) switchport portsecurity macaddress mac（mac地址）把MAC地址綁定在interfaceid端口上。Switchwr 保存配置。創(chuàng)建VLAN有兩種方法。SwitchenableSwitchconfigure terminalEnter configuration mands, one per line. End with CNTL/Z.Switch(config)vlan 10在全局配置模式下創(chuàng)建Switch(configvlan)name MathSwitch(configvlan)exSwitch(config) database下面配置vlan在此模式下創(chuàng)建VLAN看起來比較直觀，但這種方法比較陳舊，一般不常用這樣方法，體方法如下所述。當(dāng)然網(wǎng)路邊界防火墻不全只是工作在OSI/RM網(wǎng)絡(luò)層的，還有可以工作在傳輸層，甚至應(yīng)用層的，如基于應(yīng)用網(wǎng)關(guān)的防火墻。它是根據(jù)分組包的源/宿IP地址、端口號及協(xié)議類型、標(biāo)志等確定是否允許包通過。當(dāng)不符合規(guī)則時，防火墻認(rèn)為該訪問是不安全的，不能被接受的，防火墻將屏蔽外部的連接請求。當(dāng)代理服務(wù)器得到一個客戶的連接意圖時，它們將何時客戶請求，并經(jīng)過特定的安全化的Proxy應(yīng)用程序處理連接請求，將處理后的請求傳遞到真是的服務(wù)器上，然后接受服務(wù)器應(yīng)答，并做進(jìn)一步處理后，將答復(fù)交給發(fā)出請求的最終客戶。 網(wǎng)絡(luò)中的三個安全區(qū)域。此網(wǎng)絡(luò)通常稱為DMZ（非軍事區(qū)）或者邊緣網(wǎng)絡(luò)，它是校園內(nèi)部網(wǎng)絡(luò)劃分的一個小區(qū)域