【正文】 外，還包括反病毒技術(shù)和加密技術(shù)。其原理就是在殺毒掃描程序中嵌入病毒特征碼引擎。加密技術(shù)主要是隱藏信息、防止對信息篡改或防止非法使用信息而轉(zhuǎn)換數(shù)據(jù)的功能或方法。加密技術(shù)包括算法和密鑰。密鑰是用來對數(shù)據(jù)進行編碼和解碼的一種算法。 漏洞掃描技術(shù)漏洞掃描是自動檢測遠端或本地主機安全的技術(shù)，它查詢TCP/IP各種服務(wù)的端口，并記錄目標(biāo)主機的響應(yīng)，收集關(guān)于某些特定項目的有用信息。掃描程序可以在很短的時間內(nèi)查出現(xiàn)存的安全脆弱點。 物理安全為保證信息網(wǎng)絡(luò)系統(tǒng)的物理安全，還要防止系統(tǒng)信息在空間的擴散。為保證網(wǎng)絡(luò)的正常運行，在物理安全方面應(yīng)采取如下措施:產(chǎn)品保障方面:主要指產(chǎn)品采購、運輸、安裝等方面的安全措施。對一些關(guān)鍵設(shè)備和系統(tǒng)，應(yīng)設(shè)置備份系統(tǒng)。保安方面:主要是防盜、防火等，還包括網(wǎng)絡(luò)系統(tǒng)所有網(wǎng)絡(luò)設(shè)備、計算機、安全設(shè)備的安全防護。面對網(wǎng)絡(luò)安全行業(yè)的飛速發(fā)展以及整個社會越來越快的信息化進程，各種新技術(shù)將會不斷出現(xiàn)和應(yīng)用。第四章 網(wǎng)絡(luò)安全技術(shù) 防火墻的定義和選擇網(wǎng)絡(luò)防火墻技術(shù)是一種用來加強網(wǎng)絡(luò)之間訪問控制，防止外部網(wǎng)絡(luò)用戶以非法手段通過外部網(wǎng)絡(luò)進入內(nèi)部網(wǎng)絡(luò)，訪問內(nèi)部網(wǎng)絡(luò)資源，保護內(nèi)部網(wǎng)絡(luò)操作環(huán)境的特殊網(wǎng)絡(luò)互聯(lián)設(shè)備。目前的防火墻產(chǎn)品主要有堡壘主機、包過濾路由器、應(yīng)用層網(wǎng)關(guān)（代理服務(wù)器）以及電路層網(wǎng)關(guān)、屏蔽主機防火墻、雙宿主機等類型。雖然從理論上看，防火墻處于網(wǎng)絡(luò)安全的最底層，負(fù)責(zé)網(wǎng)絡(luò)間的安全認(rèn)證與傳輸。另外還有多種防火墻產(chǎn)品正朝著數(shù)據(jù)安全與用戶認(rèn)證、防止病毒與黑客入侵等方向發(fā)展。以一個非關(guān)鍵部門的網(wǎng)絡(luò)系統(tǒng)為例，假如其系統(tǒng)中的所有信息及所支持應(yīng)用的總價值為10萬元，則該部門所配備防火墻的總成本也不應(yīng)該超過10萬元。如果僅作粗略估算，非關(guān)鍵部門的防火墻購置成本不應(yīng)該超過網(wǎng)絡(luò)系統(tǒng)的建設(shè)總成本，關(guān)鍵部門則應(yīng)另當(dāng)別論選擇防火墻的標(biāo)準(zhǔn)有很多，但最重要的是以下兩條：（1）防火墻本身是安全的作為信息系統(tǒng)安全產(chǎn)品，防火墻本身也應(yīng)該保證安全，不給外部侵入者以可乘之機。通常，防火墻的安全性問題來自兩個方面：其一是防火墻本身的設(shè)計是否合理，其二是使用不當(dāng)。（2）可擴充性在網(wǎng)絡(luò)系統(tǒng)建設(shè)的初期，由于內(nèi)部信息系統(tǒng)的規(guī)模較小，遭受攻擊造成的損失也較小，因此沒有必要購置過于復(fù)雜和昂貴的防火墻產(chǎn)品。如果早期購置的防火墻沒有可擴充性，或擴充成本極高，這便是對投資的浪費。這樣不僅能夠保護用戶的投資，對提供防火墻產(chǎn)品的廠商來說，也擴大產(chǎn)品的覆蓋面。如果在交換階段私有密鑰未曾泄漏，那么機密性和報文完整性就可以得以保證。如三重DES是DES（數(shù)據(jù)加密標(biāo)準(zhǔn)）的一種變形，這種方法使用兩個獨立的56位密鑰對信息進行3次加密，從而使有效密鑰長度達到112位。這對密鑰中任何一把都可以作為公開密鑰（加密密鑰）通過非保密方式向他人公開，而另一把作為私有密鑰（解密密鑰）加以保存。非對稱加密方式可以使通信雙方無須事先交換密鑰就可以建立安全通信，廣泛應(yīng)用于身份認(rèn)證、數(shù)字簽名等信息交換領(lǐng)域。最具有代表性是RSA公鑰密碼體制。其安全性是基于分散大整數(shù)的困難性。RSA算法的描述如下：公開密鑰： n=pq(p、q 分別為兩個互異的大素數(shù)，p、q 必須保密)e與(p1)(q1)互素私有密鑰：d=e1 {mod(p1)(q1)} 加密：c=me(mod n)，其中 m 為明文，c為密文。 注冊與認(rèn)證管理 認(rèn)證機構(gòu)CA（Certification Authorty）就是這樣一個確保信任度的權(quán)威實體，它的主要職責(zé)是頻發(fā)證書、驗證用戶身份的真實性。CA也要采取一系列相應(yīng)的措施來防止電子證書被偽造或篡改。 注冊機構(gòu)RA(Registration Authority)是用戶和CA的借口，它所獲得的用戶標(biāo)識的準(zhǔn)確性是CA發(fā)給證書的基礎(chǔ)。要確保整個PKI系統(tǒng)的安全、靈活，就必須設(shè)計和實現(xiàn)網(wǎng)絡(luò)化、安全的且易于操作的RA系統(tǒng)。 證書管理與撤銷系統(tǒng)證書是用來證明證書持有者身份的電子介質(zhì)，它是用來綁定證書持有者身份和其相應(yīng)公鑰的。但是，有時也會出現(xiàn)一個已頒發(fā)證書不再有效的情況這就需要進行證書撤銷，證書撤銷的理由是各種各樣的。證書撤銷系統(tǒng)實現(xiàn)是利用周期性的發(fā)布機制撤銷證書或采用在線查詢機制，隨時查詢被撤銷的證書。但因信息網(wǎng)絡(luò)安全領(lǐng)域是一個綜合、交叉的學(xué)科領(lǐng)域它綜合了利用數(shù)學(xué)、物理、生化信息技術(shù)和計算機技術(shù)的諸多學(xué)科的長期積累和最新發(fā)展成果，提出系統(tǒng)的、完整的和協(xié)同的解決信息網(wǎng)絡(luò)安全的方案，目前應(yīng)從安全體系結(jié)構(gòu)、安全協(xié)議、現(xiàn)代密碼理論、信息分析和監(jiān)控以及信息安全系統(tǒng)五個方面開展研究，各部分相互協(xié)同形成有機整體。 包過濾型包過濾型產(chǎn)品是防火墻的初級產(chǎn)品，其技術(shù)依據(jù)是網(wǎng)絡(luò)中的分包傳輸技術(shù)。系統(tǒng)管理員也可以根據(jù)實際情況靈活制定判斷規(guī)則。但包過濾技術(shù)的缺陷也是明顯的。 代理型代理型的安全性能要高過包過濾型，并已經(jīng)開始向應(yīng)用層發(fā)展。從客戶機來看，代理服務(wù)器相當(dāng)于一臺真正的服務(wù)器；從服務(wù)器來看，代理服務(wù)器又是一臺真正的客戶機。由于外部系統(tǒng)與內(nèi)部服務(wù)器之間沒有直接的數(shù)據(jù)通道，外部的惡意侵害也就很難傷害到企業(yè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)。其缺點是對系統(tǒng)的整體性能有較大的影響，而且代理服務(wù)器必須針對客戶機可能產(chǎn)生的所有應(yīng)用類型逐一進行設(shè)置，大大增加了系統(tǒng)管理的復(fù)雜性。由于這種產(chǎn)品是基于應(yīng)用的，應(yīng)用網(wǎng)關(guān)能提供對協(xié)議的過濾。結(jié)束語互聯(lián)網(wǎng)現(xiàn)在已經(jīng)成為了人們不可缺少的通信工具，其發(fā)展速度也快的驚人，以此而來的攻擊破壞層出不窮，為了有效的防止入侵把損失降到最低，我們必須適合注意安全問題，使用盡量多而可靠的安全工具經(jīng)常維護，讓我們的網(wǎng)絡(luò)體系完善可靠。對于這個問題，我們還沒有從系統(tǒng)的規(guī)劃上去考慮它，從技術(shù)上、產(chǎn)業(yè)上、政策上來發(fā)展它。網(wǎng)絡(luò)安全是一項動態(tài)的、整體的系統(tǒng)工程，我們應(yīng)該結(jié)合現(xiàn)在網(wǎng)絡(luò)發(fā)展的特點，制定妥善的網(wǎng)絡(luò)安全策略，將英特網(wǎng)的不安全性降至到現(xiàn)有條件下的最低點，讓它為我們的工作和現(xiàn)代化建設(shè)做出更好的服務(wù)。目前黑客猖獗，平均每18秒鐘世界上就有一次黑客事件發(fā)生。文中首先論述了信息網(wǎng)絡(luò)安全內(nèi)涵發(fā)生的根本變化，闡述了我國發(fā)展民族信息安全體系的重要性及建立有中國特色的網(wǎng)絡(luò)安全體系的必要性，以及網(wǎng)絡(luò)的安全管理。然后具體講述了網(wǎng)絡(luò)防火墻安全技術(shù)的分類及其主要技術(shù)特征，防火墻部署原則，并從防火墻部署的位置詳細闡述了防火墻的選擇標(biāo)準(zhǔn)。最后分析網(wǎng)絡(luò)安全技術(shù)的研究現(xiàn)狀和動向。它不僅從一般性的防衛(wèi)變成了一種非常普通的防范，而且還從一種專門的領(lǐng)域變成了無處不在。一個國家的信息安全體系實際上包括國家的法規(guī)和政策，以及技術(shù)與市場的發(fā)展平臺。網(wǎng)絡(luò)安全產(chǎn)品有以下幾大特點：第一，網(wǎng)絡(luò)安全來源于安全策略與技術(shù)的多樣化，如果采用一種統(tǒng)一的技術(shù)和策略也就不安全了；第二，網(wǎng)絡(luò)的安全機制與技術(shù)要不斷地變化；第三，隨著網(wǎng)絡(luò)在社會各個方面的延伸，進入網(wǎng)絡(luò)的手段也越來越多，因此，網(wǎng)絡(luò)安全技術(shù)是一個十分復(fù)雜的系統(tǒng)工程。安全與反安全就像矛盾的兩個方面，總是不斷地向上攀升，所以安全產(chǎn)業(yè)將來也是一個隨著新技術(shù)發(fā)展而不斷發(fā)展的產(chǎn)業(yè)。對于這個問題，我們還沒有從系統(tǒng)的規(guī)劃上去考慮它，從技術(shù)上、產(chǎn)業(yè)上、政策上來發(fā)展它。目前計算機網(wǎng)絡(luò)面臨著很大的威脅，其構(gòu)成的因素是多方面的。網(wǎng)絡(luò)安全已被信息社會的各個領(lǐng)域所重視。但由于計算機網(wǎng)絡(luò)具有聯(lián)結(jié)形式多樣性、終端分布不均勻性和網(wǎng)絡(luò)的開放性、互連性等特征，致使網(wǎng)絡(luò)易受黑客、病毒、惡意軟件和其他不軌行為的攻擊，所以網(wǎng)上信息的安全和保密是一個至關(guān)重要的問題。因此，上述的網(wǎng)絡(luò)必須有足夠強的安全措施，否則該網(wǎng)絡(luò)將是個無用、甚至?xí)＜皣野踩木W(wǎng)絡(luò)。故此，網(wǎng)絡(luò)的安全措施應(yīng)是能全方位地針對各種不同的威脅和網(wǎng)絡(luò)的脆弱性，這樣才能確保網(wǎng)絡(luò)信息的保密性、完整性和可用性。本文就進行初步探討計算機網(wǎng)絡(luò)安全的管理及其技術(shù)措施。在目前法律法規(guī)尚不完善的情況下，首先是各計算機網(wǎng)絡(luò)應(yīng)用部門領(lǐng)導(dǎo)的重視，加強工作人員的責(zé)任心和防范意識，自覺執(zhí)行各項安全制度，在此基礎(chǔ)上，再采用先進的技術(shù)和產(chǎn)品，構(gòu)造全方位的防御機制，使系統(tǒng)在理想的狀態(tài)下運行。例如從普通使用者的角度來說，可能僅僅希望個人隱私或機密信息在網(wǎng)絡(luò)上傳輸時受到保護，避免被竊聽、篡改和偽造；而網(wǎng)絡(luò)提供商除了關(guān)心這些網(wǎng)絡(luò)信息安全外，還要考慮如何應(yīng)付突發(fā)的災(zāi)害、軍事打擊等對網(wǎng)絡(luò)硬件的破壞，以及在網(wǎng)絡(luò)出現(xiàn)異常時如何恢復(fù)網(wǎng)絡(luò)通信，保持網(wǎng)絡(luò)通信的連續(xù)性。人為的網(wǎng)絡(luò)入侵和攻擊行為使得網(wǎng)絡(luò)安全面臨新的挑戰(zhàn)。網(wǎng)絡(luò)安全問題也越來越突出，為確保信息的安全與暢通,我們必須不斷加強和提高網(wǎng)絡(luò)安全防范意識，確保網(wǎng)絡(luò)信息的保密性、完整性和可用性?！碴P(guān)鍵詞〕計算機網(wǎng)絡(luò) 安全 管理 攻擊防范正文一、計算機安全基本概述國際標(biāo)準(zhǔn)化組織（ISO）將“計算機安全”定義為：“為數(shù)據(jù)處理系統(tǒng)建立和采取的技術(shù)和管理的安全保護，保護計算機硬件、軟件數(shù)據(jù)不因偶然和惡意的原因而 遭到破壞、更改和泄漏”。計算機網(wǎng)絡(luò)安全的具體含義會隨著使用者的變化而變化,使用者不同,對網(wǎng)絡(luò)安全的認(rèn)識和要求也就不同。而網(wǎng)絡(luò)提供商除了關(guān)心這些網(wǎng)絡(luò)信息安全外,還要考慮如何應(yīng)付突發(fā)的自然災(zāi)害、軍事打擊等對網(wǎng)絡(luò)硬件的破壞,以及在網(wǎng)絡(luò)出現(xiàn)異常時如何恢復(fù)網(wǎng)絡(luò)通信,保持網(wǎng)絡(luò)通信的連續(xù)性。二、影響網(wǎng)絡(luò)安全的主要因素及攻擊的主要方式 影響網(wǎng)絡(luò)安全的主要因素計算機網(wǎng)絡(luò)所面臨的威脅是多方面的，既包括對網(wǎng)絡(luò)中信息的威脅，也包括對網(wǎng)絡(luò)中設(shè)備的威脅，但歸結(jié)起來，主要有三點：一是人為的無意失誤。二是人為的惡意攻擊。這兩種攻擊均可對計算機網(wǎng)絡(luò)造成極大的危害，并導(dǎo)致機密數(shù)據(jù)的泄漏。任何一款軟件都或多或少存在漏洞，這些缺陷和漏洞恰恰就是黑客進行攻擊的首選目標(biāo)。此外，軟件公司的編程人員為便于維護而設(shè)置的軟件“后門”也是不容忽視的巨大威脅，一旦“后門”洞開，別人就能隨意進入系統(tǒng)，后果不堪設(shè)想。①內(nèi)部竊密和破壞。②截收信息。③非法訪問。④利用TCP/IP 協(xié)議上的某些不安全因素。⑤病毒破壞。⑥其它網(wǎng)絡(luò)攻擊方式。 計算機網(wǎng)絡(luò)中的安全缺陷及產(chǎn)生的原因(1)網(wǎng)絡(luò)安全天生脆弱。在網(wǎng)絡(luò)建設(shè)中,網(wǎng)絡(luò)特性決定了不可能無條件、無限制地提高其安全性能?？梢哉f世界上任何一個計算機網(wǎng)絡(luò)都不是絕對安全的。近幾年,黑客猖狂肆虐,四面出擊,使交通通訊網(wǎng)絡(luò)中斷,軍事指揮系統(tǒng)失靈,電力供水系統(tǒng)癱瘓,銀行金融系統(tǒng)混亂等,危及國家的政治、軍事、經(jīng)濟的安全與穩(wěn)定,在世界各國造成了難以估量的損失。目前,網(wǎng)絡(luò)殺手除了一般的黑客外,還有一批具有高精尖技術(shù)的“專業(yè)殺手”,更令人擔(dān)憂的是出現(xiàn)了具有集團性質(zhì)的“網(wǎng)絡(luò)恐怖分子”甚至政府出面組織的“網(wǎng)絡(luò)戰(zhàn)”、“黑客戰(zhàn)”,其規(guī)模化、專業(yè)性和破壞程度都使其他黑客望塵莫及。目前,美國正開展用無線電方式、衛(wèi)星輻射式注入方式、網(wǎng)絡(luò)方式把病毒植入敵方計算機主機或各類傳感器、網(wǎng)橋中的研究以伺機破壞敵方的武器系統(tǒng)、指揮控制系統(tǒng)、通信系統(tǒng)等高敏感的網(wǎng)絡(luò)系統(tǒng)。三、強化計算機管理是網(wǎng)絡(luò)系統(tǒng)安全的保證 加強設(shè)施管理，建立健全安全管理制度，防止非法用戶進入計算機控制室和各種非法行為的發(fā)生；注重在保護計算機系統(tǒng)、網(wǎng)絡(luò)服務(wù)器、打印機等硬件實體和通信線路免受自然災(zāi)害、人為破壞和搭線攻擊；驗證用戶的身份和使用權(quán)限，防止用戶越權(quán)操作，確保計算機網(wǎng)絡(luò)系統(tǒng)實體安全。訪問控制是網(wǎng)絡(luò)安全防范和保護的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非法訪問。（1）訪問控制策略。在這一層允許哪些用戶可以登錄到網(wǎng)絡(luò)服務(wù)器并獲取網(wǎng)絡(luò)資源，控制準(zhǔn)許用戶入網(wǎng)的時間和準(zhǔn)許他們在哪臺工作站入網(wǎng)。三步操作中只要有任何一步未過，用戶將被拒之門外。（2）網(wǎng)絡(luò)權(quán)限控制策略。用戶和用戶組被賦予一定的權(quán)限。(３)建立網(wǎng)絡(luò)服務(wù)器安全設(shè)置。防火墻技術(shù)是建立在現(xiàn)代通信網(wǎng)絡(luò)技術(shù)和信息安全技術(shù)基礎(chǔ)上的應(yīng)用性安全技術(shù)，越來越多地應(yīng)用于專用網(wǎng)絡(luò)與公用網(wǎng)絡(luò)的互聯(lián)環(huán)境之中，尤其以接入INTERNET網(wǎng)絡(luò)為甚。(４)信息加密策略。網(wǎng)絡(luò)加密常用的方法有線路加密、端點加密和節(jié)點加密三種。用戶可根據(jù)網(wǎng)絡(luò)情況酌情選擇上述加密方式。當(dāng)用文件、目錄和網(wǎng)絡(luò)設(shè)備時，網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)給文件、目錄等指定訪問屬性。屬性安全在權(quán)限安全的基礎(chǔ)上提供更進一步的安全性。用戶對網(wǎng)絡(luò)資源的訪問權(quán)限對應(yīng)一張訪問控制表，用以表明用戶對網(wǎng)絡(luò)資源的訪問能力。網(wǎng)絡(luò)的屬性可以保護重要的目錄和文件，防止用戶對目錄和文件的誤刪、執(zhí)行修改、顯示等。日志系統(tǒng)具有綜合性數(shù)據(jù)記錄功能和自動分類檢索能力。日志所記錄的內(nèi)容有執(zhí)行某操作的用戶所執(zhí)行操作的機器IP地址、操作類型、操作對象及操作執(zhí)行時間等，以備日后審計核查之用。同時，要保護傳輸線路安全。要定期檢查連接情況，以檢測是否有搭線竊聽、非法外連或破壞行為。加密數(shù)據(jù)傳輸主要有三種：①鏈接加密。②節(jié)點加密。③首尾加密。網(wǎng)絡(luò)的加密技術(shù)很多，在實際應(yīng)用中，人們通常根據(jù)各種加密算法結(jié)合在一起使用，這樣可以更加有效地加強網(wǎng)絡(luò)的完全性。既可以對付惡意軟件攻擊，又可以防止非授權(quán)用戶的訪問。訪問控制技術(shù)主要包括入網(wǎng)訪問控制、網(wǎng)絡(luò)的權(quán)限控制、目錄級安全控制、屬性安全控制、網(wǎng)絡(luò)服務(wù)器安全控制、網(wǎng)絡(luò)監(jiān)測和鎖定控制、網(wǎng)絡(luò)端口和節(jié)點的安全控制。 使用防火墻技術(shù)：采用防火墻技術(shù)是解決網(wǎng)絡(luò)安全問題的主要手段。防火墻是在網(wǎng)絡(luò)之間執(zhí)行訪問控制策略的系統(tǒng)，通過監(jiān)測、限制、更改跨越防火墻的數(shù)據(jù)流，盡可能地對外部屏蔽網(wǎng)絡(luò)內(nèi)部的信息、結(jié)構(gòu)和運行狀況。在邏輯上，防火墻是一個分離器、限制器和分析器，可以有效地監(jiān)控內(nèi)部網(wǎng)和Internet 之間的任何活動，保證內(nèi)部網(wǎng)絡(luò)的安全。五、網(wǎng)絡(luò)系統(tǒng)安全綜合解決措施要想實現(xiàn)網(wǎng)絡(luò)安全功能，應(yīng)對網(wǎng)絡(luò)系統(tǒng)進行全方位防范，從而制定出比較合理的網(wǎng)絡(luò)安全體系結(jié)構(gòu)。 物理安全。網(wǎng)絡(luò)對使用者的危害主要是電纜的電擊、高頻信號的幅射等，這需要對網(wǎng)絡(luò)的絕緣、接地和屏蔽工作做好。訪問控制識別并驗證用戶，將用戶限制在已授權(quán)的活動和資源范圍之內(nèi)。（1）口令。（2）網(wǎng)絡(luò)資源屬主、屬性和訪問權(quán)限。資源屬主體現(xiàn)了不同用戶對資源的從屬關(guān)系，如建立者、修改者和同組成員等。訪問權(quán)限主要體現(xiàn)在用戶對網(wǎng)絡(luò)資源的可用程度上。（3）網(wǎng)絡(luò)安全監(jiān)視。通過網(wǎng)絡(luò)監(jiān)視可以簡單明了地找出并解決網(wǎng)絡(luò)上的安全問題，如定位網(wǎng)絡(luò)故障點、捉住IP盜用者、控制網(wǎng)絡(luò)訪問范圍等。網(wǎng)絡(luò)的審計和跟蹤包括對網(wǎng)絡(luò)資源的使用、網(wǎng)絡(luò)故障、系統(tǒng)記帳等方面的記錄和分析。傳輸安全要求保護網(wǎng)絡(luò)上被傳輸?shù)男畔?，以防止被動地和主動地侵犯。任何良好的安全系統(tǒng)必須包括加密！這已成為既定的事實。（2）防