【正文】 防病毒軟件，實(shí)現(xiàn)全網(wǎng)的病毒安全防護(hù)。第五章. 安全管理體制安全系統(tǒng)只能提供技術(shù)手段和措施，但人為的因素不可忽略，只有確立健全的安全管理體制，設(shè)立相應(yīng)的安全管理崗位，從制度上加以嚴(yán)格管理。系統(tǒng)中包含大量的網(wǎng)絡(luò)設(shè)備，必須為其配置功能強(qiáng)大的管理系統(tǒng)，該系統(tǒng)應(yīng)具有以下功能：(1)虛擬網(wǎng)管理、分配；(2)對(duì)所有網(wǎng)絡(luò)設(shè)備端口的監(jiān)視和管理；(3)對(duì)網(wǎng)絡(luò)流量的監(jiān)測(cè)和管理；(4)對(duì)所有網(wǎng)絡(luò)設(shè)備的遠(yuǎn)程管理和控制，包括網(wǎng)絡(luò)端口設(shè)備的開(kāi)放和關(guān)閉；(5)整個(gè)網(wǎng)絡(luò)的故障監(jiān)測(cè)，故障自動(dòng)報(bào)警功能；(6)整個(gè)網(wǎng)絡(luò)性能的統(tǒng)計(jì)和分析報(bào)告。談到網(wǎng)絡(luò)應(yīng)用安全，人們首先想到的是網(wǎng)絡(luò)黑客。確實(shí)，網(wǎng)絡(luò)黑客幾乎與網(wǎng)絡(luò)同時(shí)誕生，黑客與反黑的斗爭(zhēng)從來(lái)就沒(méi)有停止過(guò)。要有效防止黑客，就必須首先了解黑客所使用的手段。一般說(shuō)來(lái)黑客所使用的手段主要有下面幾類。一般說(shuō)來(lái)，有網(wǎng)絡(luò)路由器的地方都有探測(cè)程序（sniffer program）。探測(cè)程序是一種分析網(wǎng)絡(luò)流量的網(wǎng)絡(luò)應(yīng)用程序。IP的最基本的缺點(diǎn)是缺乏一種機(jī)制來(lái)確定數(shù)據(jù)包的真正來(lái)源。所有的包都含有源地址和目的地址，但是在IP包中沒(méi)有任何東西可以確認(rèn)IP包的源和目的地址是否變動(dòng)過(guò)。顯然，安全性不好的系統(tǒng)將是黑客進(jìn)駐和安裝探測(cè)軟件的地方。一旦探測(cè)軟件安裝完畢，黑客就可以通過(guò)分析經(jīng)過(guò)的所有數(shù)據(jù)流量，從而得到所需要的地址、帳號(hào)和密碼等數(shù)據(jù)。其中典型的包探測(cè)程序也就是利用IP的弱點(diǎn)，因?yàn)樗梢杂脕?lái)探測(cè)有效的Internet連接。一旦這種連接被檢測(cè)到，包探測(cè)程序就可以利用IP的其它弱點(diǎn)竊取其它連接信息。 ARP欺騙感染了ARP 欺騙病毒的計(jì)算機(jī)會(huì)向同網(wǎng)段內(nèi)所有計(jì)算機(jī)發(fā)ARP欺騙包，導(dǎo)致網(wǎng)絡(luò)內(nèi)其它計(jì)算機(jī)因網(wǎng)關(guān)物理地址被更改而無(wú)法上網(wǎng)，被欺騙計(jì)算機(jī)的典型癥狀是剛開(kāi)機(jī)能上網(wǎng)，幾分鐘之后斷網(wǎng)，如此不斷重復(fù)，造成了該子網(wǎng)段范圍內(nèi)的不穩(wěn)定，影響其它機(jī)器的正常使用。更為嚴(yán)重的是ARP欺騙病毒及其變形“惡意竊聽(tīng)”等病毒的中毒主機(jī)會(huì)截取局域網(wǎng)范圍內(nèi)所有的通訊數(shù)據(jù)。 IP地址欺騙當(dāng)一個(gè)黑客開(kāi)始使用一種用以散布網(wǎng)絡(luò)路由信息的應(yīng)用程序RIP時(shí)，一種路由方式的地址欺騙就開(kāi)始了。一般說(shuō)來(lái)，當(dāng)一個(gè)網(wǎng)絡(luò)收到RIP信息時(shí)，這種信息是沒(méi)有得到驗(yàn)證的。這種缺陷的結(jié)果是使得黑客可以發(fā)送虛假的路由信息到他想進(jìn)行欺騙的一臺(tái)主機(jī)，如主機(jī)A。這種假冒的信息頁(yè)將發(fā)送到主機(jī)A的路徑上的所有網(wǎng)關(guān)。主機(jī)A和這些網(wǎng)關(guān)收到的虛假路由信息是來(lái)自網(wǎng)絡(luò)上的一臺(tái)不工作或沒(méi)有使用的主機(jī)，如主機(jī)B。這樣，任何要發(fā)送到主機(jī)B的信息都會(huì)轉(zhuǎn)送到黑客的計(jì)算機(jī)上，而主機(jī)A和網(wǎng)關(guān)還認(rèn)為信息是流向了主機(jī)B——網(wǎng)絡(luò)上一個(gè)可信任的節(jié)點(diǎn)。一旦黑客成功地將他的計(jì)算機(jī)取代了網(wǎng)絡(luò)上的一臺(tái)實(shí)際主機(jī)，就實(shí)現(xiàn)了主機(jī)欺騙。 DOS攻擊DOS攻擊也稱強(qiáng)攻擊，其最基本的方法就是通過(guò)發(fā)起大量的服務(wù)請(qǐng)求，消耗服務(wù)器或網(wǎng)絡(luò)的系統(tǒng)資源，使之最終無(wú)法響應(yīng)其它請(qǐng)求，導(dǎo)致系統(tǒng)癱瘓。具體實(shí)現(xiàn)方法有下面幾種：PING/ICMP Echo Flood攻擊這種攻擊模式一般是發(fā)起大量的ICMP Echo請(qǐng)求給一個(gè)指定的目標(biāo)，以達(dá)到使服務(wù)癱瘓的目的。但是需要發(fā)起這么大量的ICMP 請(qǐng)求是不可能從一臺(tái)具有正確IP地址的主機(jī)上做到的，因?yàn)檫@樣也會(huì)對(duì)自身產(chǎn)生很大的影響，發(fā)起者不得不接受同樣多的回應(yīng)。所以HACKER需要利用虛假的地址再發(fā)起攻擊。我們可以利用H3C 9512的源地址驗(yàn)證功能實(shí)現(xiàn)防止PING攻擊。SMURF攻擊SMURF攻擊類似與PING攻擊，是一種帶寬消耗的攻擊模式。它需要大量虛假I(mǎi)CMP請(qǐng)求導(dǎo)向到IP廣播地址上。當(dāng)一個(gè)包是從設(shè)備的本地網(wǎng)絡(luò)外發(fā)送到本地網(wǎng)絡(luò)的廣播地址的時(shí)候，它被轉(zhuǎn)發(fā)到這個(gè)本地網(wǎng)絡(luò)的所有設(shè)備上。于是我們可以看到在SMURF攻擊中有3大部分：發(fā)起攻擊者，中間系統(tǒng)，和受害者。當(dāng)然中間系統(tǒng)也可能同樣是受害者。中間系統(tǒng)接從廣播地址那里收到ICMP應(yīng)答請(qǐng)求，當(dāng)這些設(shè)備同時(shí)回答請(qǐng)求的時(shí)候，就會(huì)導(dǎo)致嚴(yán)重網(wǎng)絡(luò)阻塞。防止SMURF攻擊的重要措施是在路由器上配置不準(zhǔn)廣播進(jìn)入的條目。我們也可以利用ZXR10UAS的安全ARP功能去阻擋流量到廣播地址。SYN攻擊TCP SYN攻擊是一種以大量虛假I(mǎi)P地址發(fā)起SYN握手信號(hào)消耗掉被攻擊設(shè)備的資源的攻擊模式。設(shè)備要做出大量的SYN回應(yīng)，而三次握手卻是無(wú)法正常完成，必須等待Time out之后（通常是1分鐘左右）。在短時(shí)間內(nèi)大量發(fā)起SYN攻擊，會(huì)很快消耗完設(shè)備的資源，讓被攻擊者無(wú)法完成正常的TCP服務(wù)，如EMAIL，WWW等。LAND攻擊LAND攻擊是SYN攻擊一種演變，它似的好像主機(jī)是在自己給自己發(fā)送包，從而讓系統(tǒng)變得不斷的嘗試應(yīng)答自己。分布式DOS攻擊（DDOS）DDOS攻擊是一種更嚴(yán)重的攻擊手段，它通過(guò)某些主機(jī)操作系統(tǒng)/軟件的缺陷，從而操縱大量的第三方設(shè)備向目標(biāo)發(fā)起攻擊，擴(kuò)大了DOS攻擊的強(qiáng)度。一般來(lái)說(shuō)，HACKER主要利用EMAIL或者JAVE Script等去控制其他主機(jī)，而且通常都以UNIX主機(jī)/服務(wù)器為主，因?yàn)樗鼈兪?4*7工作模式，方便被HACKER在方便的時(shí)候操縱和發(fā)起攻擊。通常我們需要在路由器上打開(kāi)外出包過(guò)濾去防止欺騙包離開(kāi)網(wǎng)絡(luò)，同時(shí)也可以采用工具去搜索本網(wǎng)絡(luò)中DDOS的引擎并且刪除它。黑客攻擊是網(wǎng)絡(luò)應(yīng)用安全的重點(diǎn)，但并不是全部。網(wǎng)絡(luò)應(yīng)用安全還應(yīng)該包括對(duì)網(wǎng)絡(luò)內(nèi)部不同用戶權(quán)限的外部訪問(wèn)控制（例如沒(méi)有授權(quán)用戶不準(zhǔn)上Internet或不準(zhǔn)訪問(wèn)與公司業(yè)務(wù)無(wú)關(guān)的娛樂(lè)性網(wǎng)站等）?？偨Y(jié)1）隨著科技的發(fā)展，網(wǎng)絡(luò)在經(jīng)濟(jì)規(guī)模中正以不可替代的趨勢(shì)，扮演著“利用信息資源，協(xié)調(diào)生產(chǎn)成本，提高經(jīng)濟(jì)效益”的重要角色。對(duì)于企業(yè)而言，網(wǎng)絡(luò)的構(gòu)建是企業(yè)不可缺少的一部分。2）在設(shè)計(jì)網(wǎng)絡(luò)結(jié)構(gòu)時(shí)，企業(yè)的商業(yè)目的是優(yōu)先處理的因素，因此要考慮其成本、擴(kuò)充性、安裝維護(hù)是否方便等。綜合這些因素，使用網(wǎng)絡(luò)設(shè)備商的中低端設(shè)備，構(gòu)建快速以太網(wǎng)，是適合中小型企業(yè)網(wǎng)絡(luò)的解決方案。3)通過(guò)這次的畢業(yè)論文設(shè)計(jì)，我真的學(xué)到了很多的東西，在實(shí)際的工作我們要做的除了模塊化的東西外，我們盡量要把東西系統(tǒng)化，因?yàn)楹芏鄸|西就是有聯(lián)系的你只要找到了他們的關(guān)系會(huì)為你處理問(wèn)題帶來(lái)很高的效率，我也從中發(fā)現(xiàn)了自身很多不足的地方知識(shí)面還不夠廣，系統(tǒng)的認(rèn)識(shí)問(wèn)題還不夠，在學(xué)習(xí)中趨于模塊化了，所有要加強(qiáng)系統(tǒng)化的學(xué)習(xí)，努力提高自己的技術(shù)水平。3）本方案中使用的主要技術(shù)方法：1采用成熟的OSPF協(xié)議規(guī)劃網(wǎng)絡(luò)；2VLAN技術(shù)保證部門(mén)的隔離和安全，VTP管理VLAN的傳播；3HSRP技術(shù)增強(qiáng)骨干網(wǎng)的穩(wěn)定性，4組播技術(shù)，保證鏈路帶寬費(fèi)充分利用，避免浪費(fèi)；5ACL管理，保證企業(yè)數(shù)據(jù)的安全性；參考文獻(xiàn)[ .[2 Dinae Teare .CCNP學(xué)習(xí)指南：組建可擴(kuò)展的Cisco互聯(lián)網(wǎng)絡(luò)（BSCI）（第三版）.人民郵電出版社[3 Brian Morgan Neil Lovering. CCNA [4 Amir Ranjbar. CCNP [5 Richard Froom, Balaji Sivasubramanian, Erum Frahim. CCNP學(xué)習(xí)指南：組建Cisco多層交換網(wǎng)絡(luò)(BCMSN)(第4版).人民郵電出版社[6 David Hucaby .CCNP BCMSN認(rèn)證考試指南(第4版).人民郵電出版社[7 David Hucaby .CCNP BCMSN認(rèn)證考試指南(第三版).人民郵電出版社 [王達(dá)編著網(wǎng)絡(luò)工程師必讀——網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)電子工業(yè)出版社2009年出版[徐昌彪、鮮永菊編著計(jì)算機(jī)網(wǎng)絡(luò)中的擁塞控制與流量控制人民郵電出版社2007年出版致謝在論文完成之際，我要特別感謝我的指導(dǎo)老師肖麗娜老師的熱情關(guān)懷和悉心指導(dǎo)。在我撰寫(xiě)論文的過(guò)程中，肖老師傾注了大量的心血和汗水，無(wú)論是在論文的選題、構(gòu)思和資料的收集方面，還是在論文的研究方法以及成文定稿方面，我都得到了肖老師悉心細(xì)致的教誨和無(wú)私的幫助，特別是她廣博的學(xué)識(shí)、深厚的學(xué)術(shù)素養(yǎng)、嚴(yán)謹(jǐn)?shù)闹螌W(xué)精神和一絲不茍的工作作風(fēng)使我終生受益，在此表示真誠(chéng)地感謝和深深的謝意。 在論文的寫(xiě)作過(guò)程中，也得到了許多同學(xué)的寶貴建議，同時(shí)還得到許多實(shí)習(xí)期同事的支持和幫助，在此一并致以誠(chéng)摯的謝意，感謝所有關(guān)心、支持、幫助過(guò)我的良師益友。最后，向在百忙中抽出時(shí)間對(duì)本文進(jìn)行評(píng)審并提出寶貴意見(jiàn)的各位老師表示衷心的感謝！感謝所有教過(guò)我的老師你們辛苦了，在你們的教導(dǎo)下我知道了知識(shí)的發(fā)展前沿，知道了人生道理。感謝在輕工三年里和我共同學(xué)習(xí)和生活的同學(xué)們感謝你們對(duì)我的照顧對(duì)我做錯(cuò)事情的理解。 31 / 30