當前位置:首頁 » 安全設置 » 網路安全屏障建設
擴展閱讀
蘋果142軟體黑屏 2024-03-29 19:19:28

網路安全屏障建設

發布時間: 2022-06-24 15:09:54

計算機網路安全問題及防範措施

對計算機信息構成不安全的因素很多, 其中包括人為的因素、自然的因素和偶發的因素。其中,人為因素是指,一些不法之徒利用計算機網路存在的漏洞,或者潛入計算機房,盜用計算機系統資源,非法獲取重要數據、篡改系統數據、破壞硬體設備、編制計算機病毒。人為因素是對計算機信息網路安全威脅最大的因素,垃圾郵件和間諜軟體也都在侵犯著我們的計算機網路。計算機網路不安全因素主要表現在以下幾個方面:
1、 計算機網路的脆弱性
互聯網是對全世界都開放的網路,任何單位或個人都可以在網上方便地傳輸和獲取各種信息,互聯網這種具有開放性、共享性、國際性的特點就對計算機網路安全提出了挑戰。互聯網的不安全性主要有以下幾項:
(1)網路的開放性,網路的技術是全開放的,使得網路所面臨的攻擊來自多方面。或是來自物理傳輸線路的攻擊,或是來自對網路協議的攻擊,以及對計算機軟體、硬體的漏洞實施攻擊。
(2)網路的國際性,意味著對網路的攻擊不僅是來自於本地網路的用戶,還可以是互聯網上其他國家的黑客,所以,網路的安全面臨著國際化的挑戰。
(3)網路的自由性,大多數的網路對用戶的使用沒有技術上的約束,用戶可以自由地上網,發布和獲取各類信息。
2、操作系統存在的安全問題
操作系統是作為一個支撐軟體,使得你的程序或別的運用系統在上面正常運行的一個環境。操作系統提供了很多的管理功能,主要是管理系統的軟體資源和硬體資源。操作系統軟體自身的不安全性,系統開發設計的不周而留下的破綻,都給網路安全留下隱患。
(1)操作系統結構體系的缺陷。操作系統本身有內存管理、CPU 管理、外設的管理,每個管理都涉及到一些模塊或程序,如果在這些程序裡面存在問題,比如內存管理的問題,外部網路的一個連接過來,剛好連接一個有缺陷的模塊,可能出現的情況是,計算機系統會因此崩潰。所以,有些黑客往往是針對操作系統的不完善進行攻擊,使計算機系統,特別是伺服器系統立刻癱瘓。
(2)操作系統支持在網路上傳送文件、載入或安裝程序,包括可執行文件,這些功能也會帶來不安全因素。網路很重要的一個功能就是文件傳輸功能,比如FTP,這些安裝程序經常會帶一些可執行文件,這些可執行文件都是人為編寫的程序,如果某個地方出現漏洞,那麼系統可能就會造成崩潰。像這些遠程調用、文件傳輸,如果生產廠家或個人在上面安裝間諜程序,那麼用戶的整個傳輸過程、使用過程都會被別人監視到,所有的這些傳輸文件、載入的程序、安裝的程序、執行文件,都可能給操作系統帶來安全的隱患。所以,建議盡量少使用一些來歷不明,或者無法證明它的安全性的軟體。
(3)操作系統不安全的一個原因在於它可以創建進程,支持進程的遠程創建和激活,支持被創建的進程繼承創建的權利,這些機制提供了在遠端伺服器上安裝「間諜」軟體的條件。若將間諜軟體以打補丁的方式「打」在一個合法用戶上,特別是「打」在一個特權用戶上,黑客或間諜軟體就可以使系統進程與作業的監視程序監測不到它的存在。
(4)操作系統有些守護進程,它是系統的一些進程,總是在等待某些事件的出現。所謂守護進程,比如說用戶有沒按鍵盤或滑鼠,或者別的一些處理。一些監控病毒的監控軟體也是守護進程,這些進程可能是好的,比如防病毒程序,一有病毒出現就會被撲捉到。但是有些進程是一些病毒,一碰到特定的情況,比如碰到5月1日,它就會把用戶的硬碟格式化,這些進程就是很危險的守護進程,平時它可能不起作用,可是在某些條件發生,比如5月1日,它才發生作用,如果操作系統有些守護進程被人破壞掉就會出現這種不安全的情況。
(5)操作系統會提供一些遠程調用功能,所謂遠程調用就是一台計算機可以調用遠程一個大型伺服器裡面的一些程序,可以提交程序給遠程的伺服器執行,如telnet。遠程調用要經過很多的環節,中間的通訊環節可能會出現被人監控等安全的問題。
(6)操作系統的後門和漏洞。後門程序是指那些繞過安全控制而獲取對程序或系統訪問權的程序方法。在軟體開發階段,程序員利用軟體的後門程序得以便利修改程序設計中的不足。一旦後門被黑客利用,或在發布軟體前沒有刪除後門程序,容易被黑客當成漏洞進行攻擊,造成信息泄密和丟失。此外,操作系統的無口令的入口,也是信息安全的一大隱患。
(7)盡管操作系統的漏洞可以通過版本的不斷升級來克服, 但是系統的某一個安全漏洞就會使得系統的所有安全控制毫無價值。當發現問題到升級這段時間,一個小小的漏洞就足以使你的整個網路癱瘓掉。
3、資料庫存儲的內容存在的安全問題
資料庫管理系統大量的信息存儲在各種各樣的資料庫裡面,包括我們上網看到的所有信息,資料庫主要考慮的是信息方便存儲、利用和管理,但在安全方面考慮的比較少。例如:授權用戶超出了訪問許可權進行數據的更改活動;非法用戶繞過安全內核,竊取信息。對於資料庫的安全而言,就是要保證數據的安全可靠和正確有效,即確保數據的安全性、完整性。數據的安全性是防止資料庫被破壞和非法的存取;資料庫的完整性是防止資料庫中存在不符合語義的數據。
4 、防火牆的脆弱性
防火牆指的是一個由軟體和硬體設備組合而成、在內部網和外部網之間、專用網與網之間的界面上構造的保護屏障.它是一種硬體和軟體的結合,使Internet 與Intranet 之間建立起一個安全網關(Security Gateway),從而保護內部網免受非法用戶的侵入。
但防火牆只能提供網路的安全性,不能保證網路的絕對安全,它也難以防範網路內部的攻擊和病毒的侵犯。並不要指望防火牆靠自身就能夠給予計算機安全。防火牆保護你免受一類攻擊的威脅,但是卻不能防止從LAN 內部的攻擊,若是內部的人和外部的人聯合起來,即使防火牆再強,也是沒有優勢的。它甚至不能保護你免受所有那些它能檢測到的攻擊。隨著技術的發展,還有一些破解的方法也使得防火牆造成一定隱患。這就是防火牆的局限性。
5、其他方面的因素
計算機系統硬體和通訊設施極易遭受到自然的影響,如:各種自然災害(如地震、泥石流、水災、風暴、物破壞等)對構成威脅。還有一些偶發性因素,如電源故障、設備的機能失常、軟體開發過程中留下的某些漏洞等,也對計算機網路構成嚴重威脅。此外不好、規章制度不健全、安全管理水平較低、操作失誤、瀆職行為等都會對計算機信息安全造成威脅。

計算機網路安全的對策,可以從一下幾個方面進行防護:
1、 技術層面對策
對於技術方面,計算機網路安全技術主要有實時掃描技術、實時監測技術、防火牆、完整性保護技術、病毒情況分析報告技術和系統安全管理技術。綜合起來,技術層面可以採取以下對策:
(1)建立安全管理制度。提高包括系統管理員和用戶在內的人員的技術素質和職業修養。對重要部門和信息,嚴格做好開機查毒,及時備份數據,這是一種簡單有效的方法。
(2)網路訪問控制。訪問控制是網路安全防範和保護的主要策略。它的主要任務是保證網路資源不被非法使用和訪問。它是保證網路安全最重要的核心策略之一。訪問控制涉及的技術比較廣,包括入網訪問控制、網路許可權控制、目錄級控制以及屬性控制等多種手段。
(3)資料庫的備份與恢復。資料庫的備份與恢復是資料庫管理員維護數據安全性和完整性的重要操作。備份是恢復資料庫最容易和最能防止意外的保證方法。恢復是在意外發生後利用備份來恢復數據的操作。有三種主要備份策略:只備份資料庫、備份資料庫和事務日誌、增量備份。
(4)應用密碼技術。應用密碼技術是信息安全核心技術,密碼手段為信息安全提供了可靠保證。基於密碼的數字簽名和身份認證是當前保證信息完整性的最主要方法之一,密碼技術主要包括古典密碼體制、單鑰密碼體制、公鑰密碼體制、數字簽名以及密鑰管理。
(5)切斷途徑。對被感染的硬碟和計算機進行徹底殺毒處理,不使用來歷不明的U 盤和程序,不隨意下載網路可疑信息。
(6)提高網路反病毒技術能力。通過安裝病毒防火牆,進行實時過濾。對網路伺服器中的文件進行頻繁掃描和監測,在工作站上採用防病毒卡,加強網路目錄和文件訪問許可權的設置。在網路中,限制只能由伺服器才允許執行的文件。
(7)研發並完善高安全的操作系統。研發具有高安全的操作系統,不給病毒得以滋生的溫床才能更安全。
2、管理層面對策
計算機網路的安全管理,不僅要看所採用的安全技術和防範措施,而且要看它所採取的管理措施和執行計算機安全保護、法規的力度。只有將兩者緊密結合,才能使計算機網路安全確實有效。
計算機網路的安全管理,包括對計算機用戶的安全、建立相應的安全管理機構、不斷完善和加強計算機的管理功能、加強計算機及網路的立法和執法力度等方面。加強計算機安全管理、加強用戶的法律、法規和道德觀念,提高計算機用戶的安全意識,對防止計算機犯罪、抵制黑客攻擊和防止計算機病毒干擾,是十分重要的措施。
這就要對計算機用戶不斷進行法制教育,包括計算機安全法、計算機犯罪法、保密法、數據保護法等,明確計算機用戶和系統管理人員應履行的權利和義務,自覺遵守合法信息系統原則、合法用戶原則、信息公開原則、信息利用原則和資源限制原則,自覺地和一切違法犯罪的行為作斗爭,維護計算機及網路系統的安全,維護信息系統的安全。除此之外,還應教育計算機用戶和全體工作人員,應自覺遵守為維護系統安全而建立的一切規章制度,包括人員管理制度、運行維護和管理制度、計算機處理的控制和管理制度、各種資料管理制度、機房保衛管理制度、專機專用和嚴格分工等管理制度。
3、安全層面對策
要保證計算機網路系統的安全、可靠,必須保證系統實體有個安全的物理環境條件。這個安全的環境是指機房及其設施,主要包括以下內容:
(1)計算機系統的環境條件。計算機系統的安全環境條件,包括溫度、濕度、空氣潔凈度、腐蝕度、蟲害、振動和沖擊、電氣干擾等方面,都要有具體的要求和嚴格的標准。
(2)機房場地環境的選擇。計算機系統選擇一個合適的安裝場所十分重要。它直接影響到系統的安全性和可靠性。選擇計算機房場地,要注意其外部環境安全性、可靠性、場地抗電磁干擾性,避開強振動源和強雜訊源,並避免設在建築物高層和用水設備的下層或隔壁。還要注意出入口的管理。
(3)機房的安全防護。機房的安全防護是針對環境的物理災害和防止未授權的個人或團體破壞、篡改或盜竊網路設施、重要數據而採取的安全措施和對策。為做到區域安全,首先,應考慮物理訪問控制來識別訪問用戶的身份,並對其合法性進行驗證;其次,對來訪者必須限定其活動范圍;第三,要在計算機系統中心設備外設多層安全防護圈,以防止非法暴力入侵;第四設備所在的建築物應具有抵禦各種自然災害的設施。

Ⅱ 怎樣營造一個文明健康的網路環境

文明上網,從自身做起,從現在做起,自尊自律;不隨意約會網友,維護網路安全,不破壞網路秩序;要有益身心健康,不沉溺虛擬時空。自覺養成上網的良好行為習慣,爭做網路文明的小小宣傳員、示範員。與同學們一起共同營造一個健康的網路環境。


網路:

網路是由若干節點和連接這些節點的鏈路構成,表示諸多對象及其相互聯系。在1999年之前,人們一般認為網路的結構都是隨機的。但隨著Barabasi和Watts在1999年分別發現了網路的無標度和小世界特性並分別在世界著名的《科學》和《自然》雜志上發表了他們的發現之後,人們才認識到網路的復雜性。




Ⅲ 網路安全的解決方案!急,滿意再給100!

談對網路安全的認識

近幾年來,網路越來越深入人心,它是人們工作、學習、生活的便捷工具和豐富資源。但是,我們不得不注意到,網路雖然功能強大,也有其脆弱易受到攻擊的一面。據美國FBI統計,美國每年因網路安全問題所造成的經濟損失高達75億美元,而全球平均每20秒鍾就發生一起Internet 計算機侵入事件。在我國,每年因黑客入侵、計算機病毒的破壞也造成了巨大的經濟損失。人們在利用網路的優越性的同時,對網路安全問題也決不能忽視。作為學校,如何建立比較安全的校園網路體系,值得我們關注研究。

建立校園網路安全體系,主要依賴三個方面:一是威嚴的法律;二是先進的技術;三是嚴格的管理。

從技術角度看,目前常用的安全手段有內外網隔離技術、加密技術、身份認證、訪問控制、安全路由、網路防病毒等,這些技術對防止非法入侵系統起到了一定的防禦作用。代理及防火牆作為一種將內外網隔離的技術,普遍運用於校園網安全建設中。

網路現狀

我校是一所市一級中學,目前有兩所網路教室、200多台教學辦公電腦,校園網一期工程為全校教教學教研建立了計算機信息網路,實現了校園內計算機聯網,信息資源共享並通過中國公用Internet網(CHINANET)與Internet互連,校園網結構是:校園內建築物之間的連接選用多模光纖,以網管中心為中心,輻射向其他建築物,樓內水平線纜採用超五類非屏雙絞線纜。3Com 4900交換機作為核心交換機;二級交換機為3Com 3300。

安全隱患

當時,校園網路存在的安全隱患和漏洞有:

1、校園網通過CHINANET與Internet相連,在享受Internet方便快捷的同時,也面臨著遭遇攻擊的風險。

2、校園網內部也存在很大的安全隱患,由於內部用戶對網路的結構和應用模式都比較了解,因此來自內部的安全威脅更大一些。現在,黑客攻擊工具在網上泛濫成災,而個別學生的心理特點決定了其利用這些工具進行攻擊的可能性。

3、目前使用的操作系統存在安全漏洞,對網路安全構成了威脅。我校的網路伺服器安裝的操作系統有Windows2000 Server,其普遍性和可操作性使得它也是最不安全的系統:本身系統的漏洞、瀏覽器的漏洞、IIS的漏洞,這些都對原有網路安全構成威脅。

4、隨著校園內計算機應用的大范圍普及,接入校園網節點日漸增多,而這些節點大部分都沒有採取一定的防護措施,隨時有可能造成病毒泛濫、信息丟失、數據損壞、網路被攻擊、系統癱瘓等嚴重後果。

由此可見,構築具有必要的信息安全防護體系,建立一套有效的網路安全機制顯得尤其重要。

措施及解決方案

根據我校校園網的結構特點及面臨的安全隱患,我們決定採用下面一些安全方案和措施。

一、安全代理部署

在Internet與校園網內網之間部署一台安全代理(ISA),並具防火牆等功能,形成內外網之間的安全屏障。其中WWW、MAIL、FTP、DNS對外伺服器連接在安全代理,與內、外網間進行隔離。那麼,通過Internet進來的公眾用戶只能訪問到對外公開的一些服務(如WWW、MAIL、FTP、DNS等),既保護內網資源不被外部非授權用戶非法訪問或破壞,也可以阻止內部用戶對外部不良資源的濫用,並能夠對發生在網路中的安全事件進行跟蹤和審計。在安全代理設置上可以按照以下原則配置來提高網路安全性:

1、據校園網安全策略和安全目標,規劃設置正確的安全過濾規則,規則審核IP數據包的內容包括:協議、埠、源地址、目的地址、流向等項目,嚴格禁止來自公網對校園內部網不必要的、非法的訪問。總體上遵從「關閉一切,只開有用」的原則。

2、安全代理配置成過濾掉以內部網路地址進入Internet的IP包,這樣可以防範源地址假冒和源路由類型的攻擊;過濾掉以非法IP地址離開內部網路的IP包,防止內部網路發起的對外攻擊。

3、安全代理上建立內網計算機的IP地址和MAC地址的對應表,防止IP地址被盜用。

4、定期查看安全代理訪問日誌,及時發現攻擊行為和不良上網記錄,並保留日誌90天。

5、允許通過配置網卡對安全代理設置,提高安全代理管理安全性。

二、入侵檢測系統部署

入侵檢測能力是衡量一個防禦體系是否完整有效的重要因素,強大完整的入侵檢測體系可以彌補防火牆相對靜態防禦的不足。對來自外部網和校園網內部的各種行為進行實時檢測,及時發現各種可能的攻擊企圖,並採取相應的措施。具體來講,就是將入侵檢測引擎接入中心交換機上。入侵檢測系統集入侵檢測、網路管理和網路監視功能於一身,能實時捕獲內外網之間傳輸的所有數據,利用內置的攻擊特徵庫,使用模式匹配和智能分析的方法,檢測網路上發生的入侵行為和異常現象,並在資料庫中記錄有關事件,作為網路管理員事後分析的依據;如果情況嚴重,系統可以發出實時報警,使得學校管理員能夠及時採取應對措施。

三、漏洞掃描系統

採用目前最先進的漏洞掃描系統定期對工作站、伺服器、交換機等進行安全檢查,並根據檢查結果向系統管理員提供詳細可靠的安全性分析報告,為提高網路安全整體水平產生重要依據。

四、諾頓網路版殺毒產品部署

在該網路防病毒方案中,我們最終要達到一個目的就是:要在整個區域網內杜絕病毒的感染、傳播和發作,為了實現這一點,我們應該在整個網路內可能感染和傳播病毒的地方採取相應的防病毒手段。同時為了有效、快捷地實施和管理整個網路的防病毒體系,應能實現遠程安裝、智能升級、遠程報警、集中管理、分布查殺等多種功能。

1、在學校網路中心配置一台高效的Windows2000伺服器安裝一個諾頓軟體網路版的系統中心,負責管理200多個主機網點的計算機。

2、在各行政、教學單位等200多台主機上分別安裝諾頓殺毒軟體網路版的客戶端。

3、安裝完諾頓殺毒軟體網路版後,在管理員控制台對網路中所有客戶端進行定時查殺毒的設置,保證所有客戶端即使在沒有聯網的時候也能夠定時進行對本機的查殺毒。

4、網管中心負責整個校園網的升級工作。為了安全和管理的方便起見,由網路中心的系統中心定期地、自動地到諾頓網站上獲取最新的升級文件(包括病毒定義碼、掃描引擎、程序文件等),然後自動將最新的升級文件分發到其它200多個主機網點的客戶端與伺服器端,並自動對諾頓殺毒軟體網路版進行更新,使全校的防毒病毒庫始終處於最新的狀態。

五、劃分內部虛擬專網(VLAN),針對內部有效VLAN設置合法地址池,針對不同VLAN開放相應埠,阻止廣播風暴發生。

六、實時升級Windows2000 Server、IE等各軟體補丁,減少漏洞;實行個人辦公電腦實名制。

七、安全管理

常言說:「三分技術,七分管理」,安全管理是保證網路安全的基礎,安全技術是配合安全管理的輔助措施。我們建立了一套校園網路安全管理模式,制定詳細的安全管理制度,如機房管理制度、病毒防範制度、上網規定等,同時要注意物理安全,防止設備器材的暴力損壞,防火、防雷、防潮、防塵、防盜等,並採取切實有效的措施保證制度的執行。

近幾年,通過對以上措施的逐步實施,我校校園網路能鴝安全正常運行,為學校教育教學工作的順利開展提供了有力輔助,並漸入佳境。

Ⅳ 如何做好網路安全工作

1、完善網路安全機制

制定《網路安全管理制度》,設立公司網路與信息化管理機構,負責網路設施和信息系統的運維管理。堅持做好網路與信息安全風險評估和定期巡查,制定網路安全應急預案,健全網路安全事件聯動機制,提高公司網路安全應急處理能力。

通過計算機入網申請登記表、網路密碼變更記錄、公司網路管理日誌等記錄,做好網路監控和安全服務,構建安全即服務的雙重縱深防禦模式,為公司管理保駕護航。

6、加強新媒體運營維護

做好公司微信、網站等的管理和維護,及時發布企業運行信息,構築全公司資源共享的信息平台,弘揚企業文化,提升企業形象,更好地服務於企業改革發展。

什麼是網路信息系統安全體系結構

網路信息系統安全體系結構是由硬體網路、通信軟體以及操作系統構成的,對於一個系統而言,首先要以硬體電路等物理設備為載體,然後才能運 行載體上的功能程序。
通過使用路由器、集線器、交換機、網線等網路設備,用戶可以搭建自己所需要的通信網路,對於小范圍的無線區域網而言,人們可以使用這 些設備搭建用戶需要的通信網路,最簡單的防護方式是對無線路由器設置相應的指令來防止非法用戶的入侵,這種防護措施可以作為一種通信協議保護,目前廣泛采 用WPA2加密協議實現協議加密,用戶只有通過使用密匙才能對路由器進行訪問,通常可以講驅動程序看作為操作系統的一部分,經過注冊表注冊後,相應的網路 通信驅動介面才能被通信應用程序所調用。
網路信息系統安全通常是指網路系統中的硬體、軟體要受到保護,不能被更改、泄露和破壞,能夠使整個網路得到可持續的穩定運 行,信息能夠完整的傳送,並得到很好的保密。因此計算機網路安全設計到網路硬體、通信協議、加密技術等領域。

Ⅵ 在一個子網內應用防火牆,不用其他的安全措施,這樣的網路會有什麼樣的安全隱患怎樣彌補

計算機網路安全防範策略

計算機網路安全從技術上來說,主要由防病毒、防火牆、入侵檢測等多個安全組件組成,一個單獨的組件無法確保網路信息的安全性。目前廣泛運用和比較成熟的網路安全技術主要有:防火牆技術、數據加密技術、入侵檢測技術、防病毒技術等,以下就此幾項技術分別進行分析。

(1)防火牆技術。防火牆是網路安全的屏障,配置防火牆是實現網路安全最基本、最經濟、最有效的安全措施之一。防火牆是指一個由軟體或和硬體設備組合而成,處於企業或網路群體計算機與外界通道之間,限制外界用戶對內部網路訪問及管理內部用戶訪問外界網路的許可權。當一個網路接上Internet之後,系統的安全除了考慮計算機病毒、系統的健壯性之外,更主要的是防止非法用戶的入侵,而目前防止的措施主要是靠防火牆技術完成。防火牆能極大地提高一個內部網路的安全性,並通過過濾不安全的服務而降低風險。防火牆可以強化網路安全策略。通過以防火牆為中心的安全方案配置,能將所有安全軟體(如口令、加密、身份認證)配置在防火牆上。其次對網路存取和訪問進行監控審計。如果所有的訪問都經過防火牆,那麼,防火牆就能記錄下這些訪問並做出日誌記錄,同時也能提供網路使用情況的統計數據。當發生可疑動作時,防火牆能進行適當的報警,並提供網路是否受到監測和攻擊的詳細信息。再次防止內部信息的外泄。利用防火牆對內部網路的劃分,可實現內部網重點網段的隔離,從而降低了局部重點或敏感網路安全問題對全局網路造成的影響。

(2)數據加密與用戶授權訪問控制技術。與防火牆相比,數據加密與用戶授權訪問控制技術比較靈活,更加適用於開放的網路。用戶授權訪問控制主要用於對靜態信息的保護,需要系統級別的支持,一般在操作系統中實現。

數據加密主要用於對動態信息的保護。對動態數據的攻擊分為主動攻擊和被動攻擊。對於主動攻擊,雖無法避免,但卻可以有效地檢測;而對於被動攻擊,雖無法檢測,但卻可以避免,實現這一切的基礎就是數據加密。數據加密實質上是對以符號為基礎的數據進行移位和置換的變換演算法,這種變換是受「密鑰」控制的。在傳統的加密演算法中,加密密鑰與解密密鑰是相同的,或者可以由其中一個推知另一個,稱為「對稱密鑰演算法」。這樣的密鑰必須秘密保管,只能為授權用戶所知,授權用戶既可以用該密鑰加密信急,也可以用該密鑰解密信息,DES是對稱加密演算法中最具代表性的演算法。如果加密/解密過程各有不相乾的密鑰,構成加密/解密的密鑰對,則稱這種加密演算法為「非對稱加密演算法」或稱為「公鑰加密演算法」,相應的加密/解密密鑰分別稱為「公鑰」和「私鑰」。在公鑰加密演算法中,公鑰是公開的,任何人可以用公鑰加密信息,再將密文發送給私鑰擁有者。私鑰是保密的,用於解密其接收的公鑰加密過的信息。典型的公鑰加密演算法如RSA是目前使用比較廣泛的加密演算法。

(3)入侵檢測技術。入侵檢測系統(Intrusion Detection System簡稱IDS)是從多種計算機系統及網路系統中收集信息,再通過這此信息分析入侵特徵的網路安全系統。IDS被認為是防火牆之後的第二道安全閘門,它能使在入侵攻擊對系統發生危害前,檢測到入侵攻擊,並利用報警與防護系統驅逐入侵攻擊;在入侵攻擊過程中,能減少入侵攻擊所造成的損失;在被入侵攻擊後,收集入侵攻擊的相關信息,作為防範系統的知識,添加入策略集中,增強系統的防範能力,避免系統再次受到同類型的入侵。入侵檢測的作用包括威懾、檢測、響應、損失情況評估、攻擊預測和起訴支持。入侵檢測技術是為保證計算機系統的安全而設計與配置的一種能夠及時發現並報告系統中未授權或異常現象的技術,是一種用於檢測計算機網路中違反安全策略行為的技術。

入侵檢測技術的功能主要體現在以下方面:監視分析用戶及系統活動,查找非法用戶和合法用戶的越權操作。檢測系統配置的正確性和安全漏洞,並提示管理員修補漏洞;識別反映已知進攻的活動模式並向相關人士報警;對異常行為模式的統計分析;能夠實時地對檢測到的入侵行為進行反應;評估重要系統和數據文件的完整性;可以發現新的攻擊模式。

(4)防病毒技術。隨著計算機技術的不斷發展,計算機病毒變得越來越復雜和高級,對計算機信息系統構成極大的威脅。在病毒防範中普遍使用的防病毒軟體,從功能上可以分為網路防病毒軟體和單機防病毒軟體兩大類。單機防病毒軟體一般安裝在單台PC上,即對本地和本地工作站連接的遠程資源採用分析掃描的方式檢測、清除病毒。網路防病毒軟體則主要注重網路防病毒,一旦病毒入侵網路或者從網路向其它資源傳染,網路防病毒軟體會立刻檢測到並加以刪除。

(5)安全管理隊伍的建設。在計算機網路系統中,絕對的安全是不存在的,制定健全的安全管理體制是計算機網路安全的重要保證,只有通過網路管理人員與使用人員的共同努力,運用一切可以使用的工具和技術,盡一切可能去控制、減小一切非法的行為,盡可能地把不安全的因素降到最低。同時,要不斷地加強計算機信息網路的安全規范化管理力度,大力加強安全技術建設,強化使用人員和管理人員的安全防範意識。網路內使用的IP地址作為一種資源以前一直為某些管理人員所忽略,為了更好地進行安全管理工作,應該對本網內的IP地址資源統一管理、統一分配。對於盜用IP資源的用戶必須依據管理制度嚴肅處理。只有共同努力,才能使計算機網路的安全可靠得到保障,從而使廣大網路用戶的利益得到保障。

5、結束語

計算機網路的安全問題越來越受到人們的重視,本文簡要的分析了計算機網路存在的幾種安全隱患,並探討了計算機網路的幾種安全防範措施。總的來說,網路安全不僅僅是技術問題,同時也是一個安全管理問題。我們必須綜合考慮安全因素,制定合理的目標、技術方案和相關的配套法規等。世界上不存在絕對安全的網路系統,隨著計算機網路技術的進一步發展,網路安全防護技術也必然隨著網路應用的發展而不斷發展。

Ⅶ 企業級網路安全威脅分析及安安全策略制定

企業級網路安全威脅分析及安安全策略制定 近年來,互聯網技術飛速發展,極大的方便了人們的溝通交流。但是黑客、病毒的存在也給企業網路安全敲響警鍾。本文對企業級網路安全的威脅源頭進行分析,並針對各個源頭提出對應的應對策略。
一、企業的網路安全現狀 據統計,我國現有企業的網路安全現狀是不容樂觀的,其主要表現在以下幾個方面: 信息和網路的安全防護能力差; 網路安全人才缺乏; 企業員工對網路的安全保密意識淡薄,企業領導對網路安全方面不夠重視等。一部分企業認為添加了各種安全產品之後,該網路就已經安全了,企業領導基本上就是只注重直接的經濟利益回報的投資項目,對網路安全這個看不見實際回饋的資金投入大部分都採取不積極的態度,其中起主導作用的因素還有就是企業缺少專門的技術人員和專業指導,導致我國目前企業的網路安全建設普遍處於不容樂觀的狀況。
二、網路安全常見威脅
1、計算機病毒 計算機病毒指在計算機程序中插入的破壞計算機功能和數據、影響計算機使用並且能夠自我復制的一組計算機指令或者程序代碼。具有寄生性、傳染性、隱蔽性等特點。常見的破壞性比較強的病毒經常表現為:藍屏、機卡、CPU、自動重啟使用率高、打不開殺毒軟體等,並且在短時間內傳播從而導致大量的計算機系統癱瘓,對企業或者個人造成重大的經濟損失。
2、非授權訪問 指利用編寫和調試計算機程序侵入到他方內部網或專用網,獲得非法或未授權的網路或文件訪問的行為。如有意避開系統訪問控制機制,對網路設備及資源進行非正常使用,或擅自擴大許可權,越權訪問信息。它主要有以下幾種形式:假冒、身份攻擊、非法用戶進入網路系統進行違法操作、合法用戶以未授權方式進行操作等。
3、木馬程序和後門 木馬程序和後門是一種可以通過遠程式控制制別人計算機的程序,具有隱蔽性和非授權性的特點。企業的某台計算機被安裝了木馬程序或後門後,該程序可能會竊取用戶信息,包括用戶輸入的各種密碼,並將這些信息發送出去,或者使得黑客可以通過網路遠程操控這台計算機,竊取計算機中的用戶信息和文件,更為嚴重的是通過該台計算機操控整個企業的網路系統,使整個網路系統都暴露在黑客間諜的眼前。
三、網路的安全策略
1、更改系統管理員的賬戶名 應將系統管理員的賬戶名由原先的Administrator改為一個無意義的字元串.這樣要疊錄的非法用戶不但要猜准口令。還必須猜出用戶名.這種更名功能在域用戶管理器的User Properties對話框中並沒有設置.用它的User-*-Rename菜單選項就可以實現這一功能.如果用的是NT
4.0.可以用Resource Kit中提供的工具封鎖聯機系統管理員賬號.這種封鎖僅僅對由網路過來的非法疊錄起作用.
2、關閉不必要的向內TCP/IP埠 非法用戶進入系統並得到管理員許可權之後.首先要做的,必定設法恢復管理員刻意廢止的TCP/IP上的NetBIOS裝訂.管理員應該使用路由器作為另一道防線。即提供web和FTP之類公共服務的NT伺服器.這種情況下,只須保留兩條路由器到伺服器的向內路徑:端日80的H1vrP和端日2l的FTP.
3、防火牆配置 防火牆是在2個網路間實現訪問控制的1個或1組軟體或硬體系統,它是外部網路與內部網路之間的第1道安全屏障。本建設方案主要採用硬體防火牆,其主要功能就是屏蔽和允許指定的數據通訊,而這個功能的實現又主要是依靠一套訪問控制策略,由訪問控制策略來決定通訊的合法性,該控制策略的具體內容由企業的安全管理員和系統管理員共同來制定。 制定的防火牆安全策略主要有: 所有從內到外和從外到內的數據包都必須經過防火牆; 只有被安全策略允許的數據包才能通過防火牆; 伺服器本身不能直接訪問互聯網; 防火牆本身要有預防入侵的功能; 默認禁止所有服務,除非是必須的服務才允許。而其他一些應用系統需要開放特殊的埠由系統管理員來執行。
4、VLAN 的劃分 VLAN 是為解決乙太網的廣播問題和安全性而提出的一種協議。VLAN 之間的訪問需要通過應用系統的授權來進行數據交互。為保護敏感資源和控制廣播風暴,在3 層路由交換機的集中式網路環境下,將網路中的所有客戶主機和伺服器系統分別集中到不同的VLAN 里,在每個VLAN 里不允許任何用戶設置IP、用戶主機和伺服器之間相互PING,不允許用戶主機對伺服器的數據進行編_,只允許數據訪問,從而較好地保護敏感的主機資源和伺服器系統的數據。採用3 層交換機,通過VLAN 劃分,來實現同一部門在同一個VLAN 中,這樣既方便同部門的數據交換,又限制了不同部門之間用戶的直接訪問。
5、身份認證 身份認證是提高網路安全的主要措施之一。其主要目的是證實被認證對象是否屬實,常被用於通信雙方相互確認身份,以保證通信的安全。常用的網路身份認證技術有: 靜態密碼、USB Key 和動態口令、智能卡牌等。其中,最常見的使用是用戶名加靜態密碼的方式。而在本方案中主要採用USB Key的方式。基於USB Key 的身份認證方式採用軟硬體相結合,很好地解決了安全性與易用性之間的矛盾,利用USB Key 內置的密碼演算法實現對用戶身份的認證。USB Key 身份認證系統主要有2 種應用模式: 一是基於沖擊、響應的認證模式; 二是基於PKI 體系的認證模式。
6、制訂網路系統的應急計劃 為了將由意外事故引起的網路系統損害降低到最小程度,企業應制訂應急計劃.以防意外事故使網路系統遭受破壞.該應急計劃應包括緊急行動方案及軟、硬體系統恢復方案等.絕對的安全是沒有的,安全標準的追求是以資金和方便為代價的.我們應隨時根據網路系統的運行環境而採用相應的安全保護策略.通過對計算機網路系統安全問題的充分認識.以及行政、技術和物質手段的保證。網路系統就能夠有足夠的安全性來對付各種不安全問題. 結語 如何確保計算機網路信息的安全是每一個網路系統的設計者和管理者都極為關心的熱點,當然,也是企業關心的重點。一個全方位的安全方案是非常難以實現的,只有在企業領導的支持下,在技術人員和管理人員的努力下,結合企業的實際情況,制定出相應的解決措施,才是符合本企業的安全方案。本文主要討論了計算機網路的安全的幾種不同的威脅,給出了相應安全策略以及相應的安全產品,提出了計算機網路系統實施建設的基本方案。
來源:時代財富

Ⅷ 網路安全的關鍵技術有哪些

一.虛擬網技術

虛擬網技術主要基於近年發展的區域網交換技術(ATM和乙太網交換)。交換技術將傳統的基於廣播的區域網技術發展為面向連接的技術。因此,網管系統有能力限制區域網通訊的范圍而無需通過開銷很大的路由器。
由以上運行機制帶來的網路安全的好處是顯而易見的:信息只到達應該到達的地點。因此、防止了大部分基於網路監聽的入侵手段。通過虛擬網設置的訪問控制,使在虛擬網外的網路節點不能直接訪問虛擬網內節點。但是,虛擬網技術也帶來了新的安全問題:
執行虛擬網交換的設備越來越復雜,從而成為被攻擊的對象。
基於網路廣播原理的入侵監控技術在高速交換網路內需要特殊的設置。
基於MAC的VLAN不能防止MAC欺騙攻擊。
乙太網從本質上基於廣播機制,但應用了交換器和VLAN技術後,實際上轉變為點到點通訊,除非設置了監聽口,信息交換也不會存在監聽和插入(改變)問題。
但是,採用基於MAC的VLAN劃分將面臨假冒MAC地址的攻擊。因此,VLAN的劃分最好基於交換機埠。但這要求整個網路桌面使用交換埠或每個交換埠所在的網段機器均屬於相同的VLAN。
網路層通訊可以跨越路由器,因此攻擊可以從遠方發起。IP協議族各廠家實現的不完善,因此,在網路層發現的安全漏洞相對更多,如IP sweep, teardrop, sync-flood, IP spoofing攻擊等。

二.防火牆枝術

網路防火牆技術是一種用來加強網路之間訪問控制,防止外部網路用戶以非法手段通過外部網路進入內部網路,訪問內部網路資源,保護內部網路操作環境的特殊網路互聯設備.它對兩個或多個網路之間傳輸的數據包如鏈接方式按照一定的安全策略來實施檢查,以決定網路之間的通信是否被允許,並監視網路運行狀態.
防火牆產品主要有堡壘主機,包過濾路由器,應用層網關(代理伺服器)以及電路層網關,屏蔽主機防火牆,雙宿主機等類型.
雖然防火牆是保護網路免遭黑客襲擊的有效手段,但也有明顯不足:無法防範通過防火牆以外的其它途徑的攻擊,不能防止來自內部變節者和不經心的用戶們帶來的威脅,也不能完全防止傳送已感染病毒的軟體或文件,以及無法防範數據驅動型的攻擊.
自從1986年美國Digital公司在Internet上安裝了全球第一個商用防火牆系統,提出了防火牆概念後,防火牆技術得到了飛速的發展.國內外已有數十家公司推出了功能各不相同的防火牆產品系列.
防火牆處於5層網路安全體系中的最底層,屬於網路層安全技術范疇.在這一層上,企業對安全系統提出的問題是:所有的IP是否都能訪問到企業的內部網路系統如果答案是"是",則說明企業內部網還沒有在網路層採取相應的防範措施.
作為內部網路與外部公共網路之間的第一道屏障,防火牆是最先受到人們重視的網路安全產品之一.雖然從理論上看,防火牆處於網路安全的最底層,負責網路間的安全認證與傳輸,但隨著網路安全技術的整體發展和網路應用的不斷變化,現代防火牆技術已經逐步走向網路層之外的其他安全層次,不僅要完成傳統防火牆的過濾任務,同時還能為各種網路應用提供相應的安全服務.另外還有多種防火牆產品正朝著數據安全與用戶認證,防止病毒與黑客侵入等方向發展.
1、使用Firewall的益處
保護脆弱的服務
通過過濾不安全的服務,Firewall可以極大地提高網路安全和減少子網中主機的風險。
例如,Firewall可以禁止NIS、NFS服務通過,Firewall同時可以拒絕源路由和ICMP重定向封包。
控制對系統的訪問
Firewall可以提供對系統的訪問控制。如允許從外部訪問某些主機,同時禁止訪問另外的主機。例如,Firewall允許外部訪問特定的Mail Server和Web Server。
集中的安全管理
Firewall對企業內部網實現集中的安全管理,在Firewall定義的安全規則可以運用於整個內部網路系統,而無須在內部網每台機器上分別設立安全策略。如在Firewall可以定義不同的認證方法,而不需在每台機器上分別安裝特定的認證軟體。外部用戶也只需要經過—次認證即可訪問內部網。
增強的保密性
使用Firewall可以阻止攻擊者獲取攻擊網路系統的有用信息,如Finger和DNS。
記錄和統計網路利用數據以及非法使用數據
Firewall可以記錄和統計通過Firewall的網路通訊,提供關於網路使用的統計數據,並且,Firewall可以提供統計數據,來判斷可能的攻擊和探測。
策略執行
Firewall提供了制定和執行網路安全策略的手段。未設置Firewall時,網路安全取決於每台主機的用戶。
2、 設置Firewall的要素
網路策略
影響Firewall系統設計、安裝和使用的網路策略可分為兩級,高級的網路策略定義允許和禁止的服務以及如何使用服務,低級的網路策略描述Firewall如何限制和過濾在高級策略中定義的服務。
服務訪問策略
服務訪問策略集中在Internet訪問服務以及外部網路訪問(如撥入策略、SLIP/PPP連接等)。
服務訪問策略必須是可行的和合理的。可行的策略必須在阻止己知的網路風險和提供用戶服務之間獲得平衡。典型的服務訪問策略是:允許通過增強認證的用戶在必要的情況下從Internet訪問某些內部主機和服務;允許內部用戶訪問指定的Internet主機和服務。
Firewall設計策略
Firewall設計策略基於特定的firewall,定義完成服務訪問策略的規則。通常有兩種基本的設計策略:
允許任何服務除非被明確禁止;
禁止任何服務除非被明確允許。
通常採用第二種類型的設計策略。
3、 Firewall的基本分類
包過濾型
包過濾型產品是防火牆的初級產品,其技術依據是網路中的分包傳輸技術.網路上的數據都是以"包"為單位進行傳輸的,數據被分割成為一定大小的數據包,每一個數據包中都會包含一些特定信息,如數據的源地址,目標地址,TCP/UDP源埠和目標埠等.防火牆通過讀取數據包中的地址信息來判斷這些"包"是否來自可信任的安全站點 ,一旦發現來自危險站點的數據包,防火牆便會將這些數據拒之門外.系統管理員也可以根據實際情況靈活制訂判斷規則.
包過濾技術的優點是簡單實用,實現成本較低,在應用環境比較簡單的情況下,能夠以較小的代價在一定程度上保證系統的安全.
但包過濾技術的缺陷也是明顯的.包過濾技術是一種完全基於網路層的安全技術,只能根據數據包的來源,目標和埠等網路信息進行判斷,無法識別基於應用層的惡意侵入,如惡意的Java小程序以及電子郵件中附帶的病毒.有經驗的黑客很容易偽造IP地址,騙過包過濾型防火牆.
網路地址轉換(NAT)
是一種用於把IP地址轉換成臨時的,外部的,注冊的IP地址標准.它允許具有私有IP地址的內部網路訪問網際網路.它還意味著用戶不許要為其網路中每一台機器取得注冊的IP地址.
在內部網路通過安全網卡訪問外部網路時,將產生一個映射記錄.系統將外出的源地址和源埠映射為一個偽裝的地址和埠,讓這個偽裝的地址和埠通過非安全網卡與外部網路連接,這樣對外就隱藏了真實的內部網路地址.在外部網路通過非安全網卡訪問內部網路時,它並不知道內部網路的連接情況,而只是通過一個開放的IP地址和埠來請求訪問.OLM防火牆根據預先定義好的映射規則來判斷這個訪問是否安全.當符合規則時,防火牆認為訪問是安全的,可以接受訪問請求,也可以將連接請求映射到不同的內部計算機中.當不符合規則時,防火牆認為該訪問是不安全的,不能被接受,防火牆將屏蔽外部的連接請求.網路地址轉換的過程對於用戶來說是透明的,不需要用戶進行設置,用戶只要進行常規操作即可.
代理型
代理型防火牆也可以被稱為代理伺服器,它的安全性要高於包過濾型產品,並已經開始向應用層發展.代理伺服器位於客戶機與伺服器之間,完全阻擋了二者間的數據交流.從客戶機來看,代理伺服器相當於一台真正的伺服器;而從伺服器來看,代理伺服器又是一台真正的客戶機.當客戶機需要使用伺服器上的數據時,首先將數據請求發給代理伺服器,代理伺服器再根據這一請求向伺服器索取數據,然後再由代理伺服器將數據傳輸給客戶機.由於外部系統與內部伺服器之間沒有直接的數據通道,外部的惡意侵害也就很難傷害到企業內部網路系統.
代理型防火牆的優點是安全性較高,可以針對應用層進行偵測和掃描,對付基於應用層的侵入和病毒都十分有效.其缺點是對系統的整體性能有較大的影響,而且代理伺服器必須針對客戶機可能產生的所有應用類型逐一進行設置,大大增加了系統管理的復雜性。
監測型監測型
防火牆是新一代的產品,這一技術實際已經超越了最初的防火牆定義.監測型防火牆能夠對各層的數據進行主動的,實時的監測,在對這些數據加以分析的基礎上,監測型防火牆能夠有效地判斷出各層中的非法侵入.同時,這種檢測型防火牆產品一般還帶有分布式探測器,這些探測器安置在各種應用伺服器和其他網路的節點之中,不僅能夠檢測來自網路外部的攻擊,同時對來自內部的惡意破壞也有極強的防範作用.據權威機構統計,在針對網路系統的攻擊中,有相當比例的攻擊來自網路內部.因此,監測型防火牆不僅超越了傳統防火牆的定義,而且在安全性上也超越了前兩代產品
雖然監測型防火牆安全性上已超越了包過濾型和代理伺服器型防火牆,但由於監測型防火牆技術的實現成本較高,也不易管理,所以在實用中的防火牆產品仍然以第二代代理型產品為主,但在某些方面也已經開始使用監測型防火牆.基於對系統成本與安全技術成本的綜合考慮,用戶可以選擇性地使用某些監測型技術.這樣既能夠保證網路系統的安全性需求,同時也能有效地控制安全系統的總擁有成本.
實際上,作為當前防火牆產品的主流趨勢,大多數代理伺服器(也稱應用網關)也集成了包過濾技術,這兩種技術的混合應用顯然比單獨使用具有更大的優勢.由於這種產品是基於應用的,應用網關能提供對協議的過濾.例如,它可以過濾掉FTP連接中的PUT命令,而且通過代理應用,應用網關能夠有效地避免內部網路的信息外泄.正是由於應用網關的這些特點,使得應用過程中的矛盾主要集中在對多種網路應用協議的有效支持和對網路整體性能的影響上。
4、 建設Firewall的原則
分析安全和服務需求
以下問題有助於分析安全和服務需求:
√ 計劃使用哪些Internet服務(如http,ftp,gopher),從何處使用Internet服務(本地網,撥號,遠程辦公室)。
√ 增加的需要,如加密或拔號接入支持。
√ 提供以上服務和訪問的風險。
√ 提供網路安全控制的同時,對系統應用服務犧牲的代價。
策略的靈活性
Internet相關的網路安全策略總的來說,應該保持一定的靈活性,主要有以下原因:
√ Internet自身發展非常快,機構可能需要不斷使用Internet提供的新服務開展業務。新的協議和服務大量涌現帶來新的安全問題,安全策略必須能反應和處理這些問題。
√ 機構面臨的風險並非是靜態的,機構職能轉變、網路設置改變都有可能改變風險。
遠程用戶認證策略
√ 遠程用戶不能通過放置於Firewall後的未經認證的Modem訪問系統。
√ PPP/SLIP連接必須通過Firewall認證。
√ 對遠程用戶進行認證方法培訓。
撥入/撥出策略
√ 撥入/撥出能力必須在設計Firewall時進行考慮和集成。
√ 外部撥入用戶必須通過Firewall的認證。
Information Server策略
√ 公共信息伺服器的安全必須集成到Firewall中。
√ 必須對公共信息伺服器進行嚴格的安全控制,否則將成為系統安全的缺口。
√ 為Information server定義折中的安全策略允許提供公共服務。
√ 對公共信息服務和商業信息(如email)講行安全策略區分。
Firewall系統的基本特徵
√ Firewall必須支持.「禁止任何服務除非被明確允許」的設計策略。
√ Firewall必須支持實際的安全政策,而非改變安全策略適應Firewall。
√ Firewall必須是靈活的,以適應新的服務和機構智能改變帶來的安全策略的改變。
√ Firewall必須支持增強的認證機制。
√ Firewall應該使用過濾技術以允許或拒絕對特定主機的訪問。
√ IP過濾描述語言應該靈活,界面友好,並支持源IP和目的IP,協議類型,源和目的TCP/UDP口,以及到達和離開界面。
√ Firewall應該為FTP、TELNET提供代理服務,以提供增強和集中的認證管理機制。如果提供其它的服務(如NNTP,http等)也必須通過代理伺服器。
√ Firewall應該支持集中的SMTP處理,減少內部網和遠程系統的直接連接。
√ Firewall應該支持對公共Information server的訪問,支持對公共Information server的保護,並且將Information server同內部網隔離。
√ Firewall可支持對撥號接入的集中管理和過濾。
√ Firewall應支持對交通、可疑活動的日誌記錄。
√ 如果Firewall需要通用的操作系統,必須保證使用的操作系統安裝了所有己知的安全漏洞Patch。
√ Firewall的設計應該是可理解和管理的。
√ Firewall依賴的操作系統應及時地升級以彌補安全漏洞。
5、選擇防火牆的要點
(1) 安全性:即是否通過了嚴格的入侵測試。
(2) 抗攻擊能力:對典型攻擊的防禦能力
(3) 性能:是否能夠提供足夠的網路吞吐能力
(4) 自我完備能力:自身的安全性,Fail-close
(5) 可管理能力:是否支持SNMP網管
(6) VPN支持
(7) 認證和加密特性
(8) 服務的類型和原理
(9)網路地址轉換能力

三.病毒防護技術

病毒歷來是信息系統安全的主要問題之一。由於網路的廣泛互聯,病毒的傳播途徑和速度大大加快。
我們將病毒的途徑分為:
(1 ) 通過FTP,電子郵件傳播。
(2) 通過軟盤、光碟、磁帶傳播。
(3) 通過Web游覽傳播,主要是惡意的Java控制項網站。
(4) 通過群件系統傳播。
病毒防護的主要技術如下:
(1) 阻止病毒的傳播。
在防火牆、代理伺服器、SMTP伺服器、網路伺服器、群件伺服器上安裝病毒過濾軟體。在桌面PC安裝病毒監控軟體。
(2) 檢查和清除病毒。
使用防病毒軟體檢查和清除病毒。
(3) 病毒資料庫的升級。
病毒資料庫應不斷更新,並下發到桌面系統。
(4) 在防火牆、代理伺服器及PC上安裝Java及ActiveX控制掃描軟體,禁止未經許可的控制項下載和安裝。

四.入侵檢測技術

利用防火牆技術,經過仔細的配置,通常能夠在內外網之間提供安全的網路保護,降低了網路安全風險。但是,僅僅使用防火牆、網路安全還遠遠不夠:
(1) 入侵者可尋找防火牆背後可能敞開的後門。
(2) 入侵者可能就在防火牆內。
(3) 由於性能的限制,防火焰通常不能提供實時的入侵檢測能力。
入侵檢測系統是近年出現的新型網路安全技術,目的是提供實時的入侵檢測及採取相應的防護手段,如記錄證據用於跟蹤和恢復、斷開網路連接等。
實時入侵檢測能力之所以重要首先它能夠對付來自內部網路的攻擊,其次它能夠縮短hacker入侵的時間。
入侵檢測系統可分為兩類:
√ 基於主機
√ 基於網路
基於主機的入侵檢測系統用於保護關鍵應用的伺服器,實時監視可疑的連接、系統日誌檢查,非法訪問的闖入等,並且提供對典型應用的監視如Web伺服器應用。
基於網路的入侵檢測系統用於實時監控網路關鍵路徑的信息,其基本模型如右圖示:
上述模型由四個部分組成:
(1) Passive protocol Analyzer網路數據包的協議分析器、將結果送給模式匹配部分並根據需要保存。
(2) Pattern-Matching Signature Analysis根據協議分析器的結果匹配入侵特徵,結果傳送給Countermeasure部分。
(3) countermeasure執行規定的動作。
(4) Storage保存分析結果及相關數據。
基於主機的安全監控系統具備如下特點:
(1) 精確,可以精確地判斷入侵事件。
(2) 高級,可以判斷應用層的入侵事件。
(3) 對入侵時間立即進行反應。
(4) 針對不同操作系統特點。
(5) 佔用主機寶貴資源。
基於網路的安全監控系統具備如下特點:
(1) 能夠監視經過本網段的任何活動。
(2) 實時網路監視。
(3) 監視粒度更細致。
(4) 精確度較差。
(5) 防入侵欺騙的能力較差。
(6) 交換網路環境難於配置。
基於主機及網路的入侵監控系統通常均可配置為分布式模式:
(1) 在需要監視的伺服器上安裝監視模塊(agent),分別向管理伺服器報告及上傳證據,提供跨平台的入侵監視解決方案。
(2) 在需要監視的網路路徑上,放置監視模塊(sensor),分別向管理伺服器報告及上傳證據,提供跨網路的入侵監視解決方案。
選擇入侵監視系統的要點是:
(1) 協議分析及檢測能力。
(2) 解碼效率(速度)。
(3) 自身安全的完備性。
(4) 精確度及完整度,防欺騙能力。
(5) 模式更新速度。

五.安全掃描技術

網路安全技術中,另一類重要技術為安全掃描技術。安全掃描技術與防火牆、安全監控系統互相配合能夠提供很高安全性的網路。
安全掃描工具源於Hacker在入侵網路系統時採用的工具。商品化的安全掃描工具為網路安全漏洞的發現提供了強大的支持。
安全掃描工具通常也分為基於伺服器和基於網路的掃描器。
基於伺服器的掃描器主要掃描伺服器相關的安全漏洞,如password文件,目錄和文件許可權,共享文件系統,敏感服務,軟體,系統漏洞等,並給出相應的解決辦法建議。通常與相應的伺服器操作系統緊密相關。
基於網路的安全掃描主要掃描設定網路內的伺服器、路由器、網橋、變換機、訪問伺服器、防火牆等設備的安全漏洞,並可設定模擬攻擊,以測試系統的防禦能力。通常該類掃描器限制使用范圍(IP地址或路由器跳數)。網路安全掃描的主要性能應該考慮以下方面:
(1) 速度。在網路內進行安全掃描非常耗時。
(2) 網路拓撲。通過GUI的圖形界面,可迭擇一步或某些區域的設備。
(3) 能夠發現的漏洞數量。
(4) 是否支持可定製的攻擊方法。通常提供強大的工具構造特定的攻擊方法。因為網路內伺服器及其它設備對相同協議的實現存在差別,所以預制的掃描方法肯定不能滿足客戶的需求。
(5) 報告,掃描器應該能夠給出清楚的安全漏洞報告。
(6) 更新周期。提供該項產品的廠商應盡快給出新發現的安生漏洞掃描特性升級,並給出相應的改進建議。
安全掃描器不能實時監視網路上的入侵,但是能夠測試和評價系統的安全性,並及時發現安全漏洞。

六. 認證和數宇簽名技術

認證技術主要解決網路通訊過程中通訊雙方的身份認可,數字簽名作為身份認證技術中的一種具體技術,同時數字簽名還可用於通信過程中的不可抵賴要求的實現。
認證技術將應用到企業網路中的以下方面:
(1) 路由器認證,路由器和交換機之間的認證。
(2) 操作系統認證。操作系統對用戶的認證。
(3) 網管系統對網管設備之間的認證。
(4) VPN網關設備之間的認證。
(5) 撥號訪問伺服器與客戶間的認證。
(6) 應用伺服器(如Web Server)與客戶的認證。
(7) 電子郵件通訊雙方的認證。
數字簽名技術主要用於:
(1) 基於PKI認證體系的認證過程。
(2) 基於PKI的電子郵件及交易(通過Web進行的交易)的不可抵賴記錄。
認證過程通常涉及到加密和密鑰交換。通常,加密可使用對稱加密、不對稱加密及兩種加密方法的混合。
UserName/Password認證
該種認證方式是最常用的一種認證方式,用於操作系統登錄、telnet、rlogin等,但由於此種認證方式過程不加密,即password容易被監聽和解密。
使用摘要演算法的認證
Radius(撥號認證協議)、路由協議(OSPF)、SNMP Security Protocol等均使用共享的Security Key,加上摘要演算法(MD5)進行認證,由於摘要演算法是一個不可逆的過程,因此,在認證過程中,由摘要信息不能計算出共享的security key,敏感信息不在網路上傳輸。市場上主要採用的摘要演算法有MD5和SHA-1。
基於PKI的認證
使用公開密鑰體系進行認證和加密。該種方法安全程度較高,綜合採用了摘要演算法、不對稱加密、對稱加密、數字簽名等技術,很好地將安全性和高效率結合起來。後面描述了基於PKI認證的基本原理。這種認證方法目前應用在電子郵件、應用伺服器訪問、客戶認證、防火牆驗證等領域。
該種認證方法安全程度很高,但是涉及到比較繁重的證書管理任務。

Ⅸ 需要一篇論文 企業網路建設安全策略探討

企業網路建設安全策略探討

陳明明 (遼寧石油化工大學理學院,遼寧撫順)

摘要:

企業內部網路安全是建立企業網路信息系統時需解決的重大問題.對計算機網路安全機制的防火牆技術和入侵檢測技術進行了對比與分析.防護牆是一種邊界安全防護層,經過仔細配置,能夠在內部,外部網路之間建立一道安全屏障,降低網路被入侵的風險.但單一的防火牆技術只能在相對的時期內保證網路的安全,需要不斷的維護,調整,升級其安全策略.監測與檢測技術從安全技術層面為網路管理部門提供了進一步實施安全管理和維護的手段,使其既能防範來自外部的非法入侵又能防範來自內部的惡性破壞以及人為的誤操作.提出了企業網路建設中這兩項技術應用的重要作用.

關鍵詞:企業網路;網路安全;防火牆技術;入侵檢測技術

由於企業發展的需要,計算機網路技術為企業生產,管理,經營等各方面信息交換帶來了很大的變革,企業得益於網路,但是與此同時,網路的數據不同程度被侵害,企業利益受到了嚴重的威脅.侵害的來源主要有企業內部不法職工,網路黑客,企業競爭對手等.他們通過竊取用戶口令,偽造用戶身份,竊聽網路信息等手段篡改資料庫內容,竊取用戶重要資料,摧毀網路節點,釋放病毒,造成數據信息失真,丟失,設備損壞,生產經營失控,信息系統崩潰等,使企業蒙受巨大經濟損失.由此可見,阻止黑客入侵,防止非法用戶的資源訪問,保證計算機網路的安全運行是網路管理員重大責任.一個網路建設是一個系統工程,而安全策略是極其重要的組成部分,安全策略基本包括安全技術,安全程序規則,安全審計,安全校驗,安全機構,安全教育與培訓等等.

其中,安全技術是極為重要的部分,目前主要採用的技術是防火牆技術,防病毒技術,網路用戶認證與加密,安全檢測技術等.防火牆技術和安全檢測技術在目前的大部分企業網路建設中都被不同程度採用,這兩項技術在不同層面上對網路的安全起到保護作用.

防火牆技術

防護牆是一種邊界安全防護層,能夠有效的保護網路內部的安全,在網路安全中起到重要作用.原來防火牆技術僅僅是基於網路層的安全技術,目前已經成為更加先進和復雜的基於應用層的網關,經過認真仔細的配置,防火牆通常能夠在內部,外部網路之間建立一道安全屏障,降低網路被入侵的風險.

防火牆建立策略

防火牆是由主機,路由器,安全策略構成的集合體,其功能是禁止或允許對網路的訪問.強制所有的訪問者要通過預先設定規則檢查,確定訪問者的請求被禁止或允許.主要防範策略有數據包過濾,應用級網關和代理服務.數據包過濾在路由器設置過濾邏輯,建立訪問控製表,在網路層對數據流的數據包的源地
址,埠號,協議等進行組合評價,確定是否允許通過.應用級網關應用網關是安裝在一台專用工作站系統上的.在網路應用層面上建立協議過濾轉發.針對指定網路服務協議使用專門的數據過濾邏輯,形成的分析統計報告供管理員瀏覽.代理服務鏈路網關(通道),是一個專用伺服器,內外網路的"鏈接"取決於代理伺服器應用層的連接.外部計算機的網路連接只能到達代理伺服器.代理伺服器對所有鏈接的數據進行分析,注冊,報告,報警,記錄訪問者的痕跡,追蹤攻擊網路的人員.

防火牆的結構策略

在實際構建防火牆的工作中一般運用多策略,多部件組合的方法.簡單防火牆採用商用帶有數據包過濾功能的路由器,進行分組過濾.放置在和企業網路之間的分組過濾路由器.屏蔽主機防火牆是由一台主機和一個屏蔽路由器構成.主機連接企業內部網路,路由器在和內部網路之間,路由器負責數據包的過濾以及對主機某些埠屏蔽.屏蔽子網指在屏蔽主機結構中,主機後端再加入一台路由器,保護子網路安全,這樣使子網路安全性進一步提高雙宿主主機防火牆是在企業內部網路和間設置一個主機,安裝兩個網路介面,屏蔽掉協議的直接傳輸,內部網路不能直接和傳輸存在問題.

由於防火牆只是一種靜態的安全技術,需要人工實施與維護,相對入侵時間的隨機性發生,不能完全做到阻止入侵者的攻擊.主要表現在:不能阻止來自內部網路不法用戶的入侵;外部入侵者通過掃描路由器可以找到防火牆背後的入口,繞過防火牆進行入侵;由於防火牆性能的問題不能實時進行入侵檢測;不能防止病毒的侵入;不能解決自身的安全問題.防火牆安全性能的提高將降低網路的運行速
度.因此單一的防火牆技術只能在相對的時期保證網路的安全,這就要求網路管理部門不斷的維護,調整,升級防火牆的安全策略.同時,建立和完善網路的監測檢測技術.

網路監測與檢測技術

防火牆安全技術是處於被動的保護網路的安全,而實時監測與檢測技術是主動保護自身的安全技術機制.從安全技術層面為網路管理部門提供了進一步實施安全管理和維護的手段.既能防範來自外部的非法入侵又能防範來自內部的惡性破壞
以及人為的誤操作.採用相應保護手段保護網路系統,同時可以分析,跟蹤,切斷連接,保留證據等,控制網路的用戶運行保護網路的安全.檢測系統與檢測方法檢測系統分別是基於主機和基於網路的系統.基於主機的檢測系統主要用於監控網路上用戶的運行,此種技術已經廣泛的用於網路操作系統,其檢測方法與運行全部集成在網路操作系統中.實時檢測網路中的連接,系統日誌檢查等,在網路伺服器操作系統中為管理員提供了相應安全策略和保護方法.基於網路的系統主要用於實時監測關鍵路徑上的數據流量,代理軟體在區域網網路中監測數據流.基於路由器檢測系統主要用於保護網路的基礎設施,確保計算機網路之間連接安全.主機檢測系統主要作用是通過網路系統實時監測每一個用戶的使用情況,判斷出非法入侵的事件,系統對不同入侵行為採用相應保護措施,由於運行檢測系統需要大量的系統資源,因此,伺服器主機一定要選硬體性能很好的計算機伺服器.基於網路的檢測由於只能在網路內進行監視,因此,在區域網網段部署檢測系統是很方便的.檢測方法主要基於行為和基於知識的入侵.基於行為入侵檢測方法是根據網路用戶的行為或者資源使用情況來判斷是否入侵,即異常檢測一般採用概率統計的方法.基於知識的入侵檢測方法是根據已知的攻擊方法模型建立檢測
模式,通過判斷來發現是否發生入侵,即違規檢測.檢測功能一個檢測系統的基本功能必須能夠保證對現有已知的入侵行為進行發現處理,同時要為系統管理
人員提供簡捷的配置方法,完善的操作功能.能夠做到:監視系統及用戶的運行狀態,檢查用戶許可權;檢查系統漏洞,提示系統管理人員;分析,統計用戶的行為規律;系統文件與數據的一致性校驗;對檢測到的異常行為進行報警,保護處理;操作系統的審計管理.檢測系統的數據報告將作為安全策略制定的基本依據之一.

第5期陳明明,企業網路建設安全策略探討

Ⅹ 如何做好企業信息安全建設

下面是無錫恆隆科技安全專家列出的保證企業信息安全的幾項措施:
2、優先採購和使用具有核心技術的國產應用系統。現代企業的高效運營,離不開OA、BPM、CRM、ERP等企業應用系統的支持。在這些領域,國內的技術和產品都較成熟,服務也快速有效。針對中國國情的特殊性,國產應用系統的適應性還更強,反而國外產品水土不服。
3、結合實際情況采購使用加密軟體。企業雖然已經採用了反病毒軟體、防火牆、入侵檢測、身份認證、文件加密等手段,但依然無法阻止電子形式的信息以電子郵件、文件傳輸、惡意下載等手段從企業中泄漏出去。無錫恆隆科技的文檔加密軟體可以對微軟office系列(word、excel、powerpoint、pdf,其他)、二維設計軟體:(autoCAD、其他)、三維工程設計軟體(SOLIDWORKS、SOLID EDGE、Pro/E、UG、CATIA、其他)進行自由加密,保障企業信息的安全。