1. 急求論文 如何構建網路環境下計算機信息安全體系 1500字以上
「凡事預則立，不預則廢」。網路安全的重要前提就是要充分具有網路安全意識，並形成相應的網路安全策略。首先要明確網路安全策略重在管理。俗話說：「三分技術，七分管理」，因此，必須加強網路的安全管理，確定安全管理等級和安全管理范圍，制訂和完善有關的規章制度（如網路操作使用規程、人員出入機房管理制度及網路系統的維護和開發管理制度等）。其次，要清楚做好網路安全策略必須從制定以下兩種核心策略著手：物理安全策略。制定物理安全策略的目的是保護網路伺服器、交換機、路由器、列印機、工作站等眾多硬體實體和通信鏈路免受自然災害、人為破壞和搭線竊聽；驗證用戶的身份和使用許可權、防止用戶越權操作；確保計算機系統有一個良好的電磁兼容工作環境，抑制和防止電磁泄漏；建立完備的安全管理制度，防止非法進入計算機控制室和各種偷竊、破壞計算機設備活動的發生。抑制和防止電磁泄漏（即TEMPEST技術）是物理安全策略的一個主要問題。目前主要防護措施有兩類：一類是對傳導發射的防護，另一類是對輻射的防護。後者又分為兩種，一是採用各種電磁屏蔽措施，二是干擾的防護措施；訪問控制策略。之所以制定訪問控制策略，因為它是網路安全防範和保護的主要策略，它的主要任務是保證網路資源不被非法使用和非法訪問。它也是維護網路系統安全、保護網路資源的重要手段。需要強調的是，各種安全策略必須相互配合才能真正起到保證網路安全的作用。
網路環境下的具體安全防範策略
安全策略是成功的網路安全體系的基礎與核心。安全策略描述了校園數據中心的安全目標（包括近期目標和長期目標），能夠承受的安全風險，保護對象的安全優先順序等方面的內容。安全技術常見的安全技術和工具主要包括防火牆、安全漏洞掃描、安全評估分析、入侵檢測、網路陷阱、入侵取證、備份恢復和病毒防範等。這些工具和技術手段是網路安全體系中直觀的部分，缺少任何一種都會有巨大的危險，因為，網路入侵防範是個整體概念。但校園數據中心往往經費有限，不能全部部署，這時就需要我們在安全策略的指導下，分步實施。需要說明的是，雖然是單元安全產品，但在網路安全體系中它們並不是簡單地堆砌，而是要合理部署，互聯互動，形成有機的整體。安全管理貫穿整個安全防範體系，是安全防範體系的核心。代表了安全防範體系中人的因素。安全不是簡單的技術問題，不落實到管理，再好的技術、設備也是徒勞的。一個有效的安全防範體系應該是以安全策略為核心，以安全技術為支撐，以安全管理為落實。安全管理不僅包括行政意義上的安全管理，更主要的是對安全技術和安全策略的管理。安全培訓最終用戶的安全意識是信息系統是否安全的決定因素，因此對校園數據中心用戶的安全培訓和安全服務是整個安全體系中重要、不可或缺的一部分。
建立網路入侵檢測系統
義為：試圖破壞信息系統的完整性、機密性或可信性的任何網路活動的集合。網路入侵分為三種類型：外部攻擊、內部攻擊和特權濫用。入侵檢測（Intrusion Detection）就是檢測任何企圖損害系統完整性、機密性或可信性的行為的一種網路安全技術，它通過對運行系統的狀態和活動的監視，找出異常或誤用的行為，根據所定義的安全策略，分析出非授權的網路訪問和惡意的行為，迅速發現入侵行為和企圖，為入侵防範提供有效的手段。入侵檢測在系統後台不問斷的運行，它從計算機網路系統中的若干關鍵點收集信息，並分析這些信息，通過對系統或網路日誌的分析，獲得系統或網路目前的安全狀況，查看網路中是否有違反安全策略的行為和遭到襲擊的痕跡，當檢測到非法或值得懷疑的行為時，及時報告給系統或網路管理員，並自動採取措施。入侵檢測作為一種提高網路安全性的新方法，被認為是防火牆的合理補充，它能幫助系統在不影響網路性能的情況下對網路進行檢測，從而提供對付網路攻擊操作的實時性保護，擴展了系統管理員的安全管理能力，（包括安全審計、監視、進攻識別和響應），提高了信息安全基礎結構的完整性。其作為保證現代計算機系統安全的重要手段，在整個網路系統安全保障體系中具有不可替代的地位。
入侵檢測系統檢查的數據源主要有兩大類，一類是網路數據，一類是系統數據。具體說來，這些都通過入侵檢測系統執行以下任務來實現：（1）監視、分析用戶及系統活動；（2）系統構造和弱點的審計；（3）評估重要系統和數據文件的完整性；（4）異常行為模式的統計分析；（5）識別反映已知進攻的活動模式並向相關人士報警；（6）操作系統日誌管理，並識別用戶違反安全策略的行為。
建立網路系統備份與災難恢復體系
對數據進行備份是為了保證數據的一致性和完整性，消除系統使用者和操作者的後顧之憂。不同的應用環境要求不同的解決方案，但一個完善的備份系統一般要滿足以下的原則：備份軟體要與操作系統完全兼容；選用的備份軟體，要支持各種操作系統、資料庫和典型應用；在進行備份的時候，要進行事務跟蹤，以確保備份系統中的所有文件；在設計備份時，要考慮到提高數據備份的速度；能提供定時的自動備份；備份數據存放在遠離數據中心的地方。備份不僅是數據的保護，其最終目的是為了在系統遇到人為或自然災難時，能夠通過備份內容對系統進行有效的災難恢復。第一類是全盤恢復，一般應用在伺服器發生意外災難，導致數據全部丟失、系統崩潰或是有計劃的系統升級、系統重組等情況，也稱為系統恢復。第二類是個別文件恢復，還有一種值得一提的是重定向恢復。為了防備數據丟失，我們需要做好詳細的災難恢復計劃，同時還要定期進行災難演練。此外，選了先進的備份硬體後，我們決不能忽略備份軟體的選擇，因為只有優秀的備份件才能充分發揮硬體的先進功能，保證快速、有效的數據備份和恢復。
最後，需要強調的是網路安全防範一定要持之以恆。網路安全保障體系的建立並非一勞永逸，隨著網路的擴展，黑客攻擊手段的發展，安全防範需求也會日新月異。值得注意的是，由於網路安全保障體系本身存在的固有弱點，在遭受攻擊時會導致「木桶原理」效應，即最微弱的安全漏洞都可能引發整個網路系統的崩潰。因此，必須進行可持續的安全規劃與防範，才能避免更多問題的出現。
2. 如何實現網路安全
如何實現網路安全
如何實現網路安全，現在是一個網路技術高度發展的時代，生活中越來越多人喜歡在網路上沖浪，以至於現在有很多網路詐騙，所網路的安全問題是需要人們去注意的，那麼，人在網路如何實現網路安全，下面我整理了相關內容。
如何實現網路安全1
從世界來說，網路的根伺服器掌握在美國，日本等少數幾個國家之中，打利比亞的時候，美國就斷了利比亞的根域名，利比亞有一段時間根本上不了國際 網。說到更近一點，美國的幾大公司在搶購北電的6000多專利，其中有無線網路等和網路以及電腦有關的大量的專利。所以說，網路的很多游戲規則都在別人手 里。
從國家來說，網路安全分為三塊。1、網路以及電腦的規則掌握（軟硬體上），2、國家級的硬體系統，包括基礎網路，各種防火牆和止血點，各種防禦和 攻擊設備。3、國家級的計算機人才系統，包括國家級的軍隊系統和藏兵於民的人才民兵系統，是的，網路如果有危險，在除去規則以外的斗爭，最可怕的不僅僅是 國家級軍隊，而是這個國家的整體國民計算機技術的基礎。雖然，2000年左右的中美黑客大戰過去了很多年了，當是，面對無窮的人海和無孔不入的各種個性的 入侵方式，國家級的軍隊是遠遠不夠的，計算機科學有些也是適合的是偏執者適合的是可能是英國最近抓的19歲天才少年和拒群病患者，這種人的實力在網路上可 能是一個正規網路部隊也比不上的。
其實網路安全和計算機的基礎安全是緊密聯系，包括計算機的系統，手機系統，計算機的生產，硬碟等硬體的製造，這裡面太多要注意了。網路安全是一個數學，電子科學，社會工程學，哲學，心理學，太空學等一系列的東西。
說以說要實現網路安全，要從小抓起，要從基礎做起，要從對於網路安全的民間人才的有度的放鬆，做到內寬外緊，登高望遠。
如何實現網路安全2
（一）、磁碟陣列（RAID）
目前伺服器有硬RAID跟軟RAID，硬R只有在硬體支持的情況下，均會設置到位，可以根據顧客需求對RAID類型進行設置（R1或者R5），從而到達加速讀取與數據冗餘，而軟R是在硬體不支持的情況下出現，軟R相對硬R性能方面會低一些，這里介紹下軟R的原理，以RAID1為例（兩塊硬碟）：
RAID 1它的宗旨是最大限度的保證用戶數據的可用性和可修復性。 RAID 1的操作方式是把用戶寫入硬碟的數據百分之百地自動復制到另外一個硬碟上。由於對存儲的數據進行百分之百的.備份，在所有RAID級別中，RAID 1提供最高的數據安全保障。同樣，由於數據的百分之百備份，備份數據佔了總存儲空間的一半
RAID1雖不能提高存儲性能，但由於其具有的高數據安全性，使其尤其適用於存放重要數據，如伺服器和資料庫存儲等領域。 如果即對大量數據需要存取，同時又對數據安全性要求嚴格那就需要應用到RAID 10或者RAID5，（需要3快以上硬碟。）
RAID 10是建立在RAID 0和RAID 1基礎上，RAID 1在這里就是一個冗餘的備份陣列，而RAID 0則負責數據的讀寫陣列。其實，圖1隻是一種RAID 10方式，更多的情況是從主通路分出兩路（以4個硬碟時為例），做Striping操作，即把數據分割，而這分出來的每一路則再分兩路，做Mirroring操作，即互做鏡像。這就是RAID 10名字的來歷（也因此被很多人稱為RAID 0+1），而不是像RAID 5、3那樣的全新等級
（二）、數據備份（增值服務）
1、手動備份
2、自動備份（代碼編寫一段自動計劃， 在國內或者國外購買一個無限空間，每周增量備份一次。）
（三）、災難恢復（硬碟損壞）
大家都知道，伺服器許要長期長時間不間斷的工作，硬碟是保存數據的部件，硬碟故障或者損壞會導致伺服器無法運行，甚至數據無法恢復，對個人乃至企業帶來無法估量的後果，如何恢復數據。
數據災難恢復工具對損壞硬碟的修復，將數據深入將90%以上的數據提取出來。 同時還可對以被格式化的數據，甚至在格式化之後又重新寫入的磁碟，均可恢復源數據。
如何實現網路安全3
隨著信息技術的發展，數據的價值變得越來越高，網路安全的重要性也不斷得到提升。
對於很多企業來說，成立專業的系統或者網路安全部門變得越來越必要。
要做好安全管理，最重要的一個原則就是許可權最小化原則，不論對於網路還是系統。
從網路接入的角度考慮，默認應該是全部拒絕訪問，根據白名單需求開通。
而且開通應該盡量遵循允許最少的源地址訪問，開通最少的可訪問埠。
從系統的角度來說，不同的人員，不同的需求，應該申請使用不同的賬號，做好隔離。
每個賬號的許可權，應該遵循最小化的原則，不是必須要使用的，不應該開放。
要意識到，安全與方便之間，通常存在沖突，而且可能消耗更多的成本或資源。
3. 如何構建安全網路環境
微型計算機和區域網的廣泛應用,基於client/server體系結構的分布式系統的出現,I
SDN,寬頻ISDN的興起,ATM技術的實施,衛星通信及全球信息網的建設,根本改變了以往主機
-終端型的網路應用模式;傳統的、基於Mainframe的安全系統結構已不能適用於新的網路環
境,主要原因是:
(1)微型機及LAN的引入,使得網路結構成多樣化,網路拓撲復雜化;
(2)遠地工作站及遠地LAN對Mainframe的多種形式的訪問,使得網路的地理分布擴散化
;
(3)多種通訊協議的各通訊網互連起來,使得網路通信和管理異質化。
構作Micro-LAN-Mainframe網路環境安全體系結構的目標同其它應用環境中信息安全的
目標一致,即:
(1)存儲並處理於計算機和通信系統中的信息的保密性；
(2)存儲並處理於計算機和通信系統中的信息的完整性；
(3)存儲並處理於計算機和通信系統中的信息的可用性；
(4)對信息保密性、完整性、拒絕服務侵害的監查和控制。
對這些安全目標的實現不是絕對的,在安全系統構作中,可因地制宜,進行適合於自身條
件的安全投入,實現相應的安全機制。但有一點是應該明確的,信息安全是國民經濟信息化
必不可少的一環,只有安全的信息才是財富。
對於潛在的財產損失,保險公司通常是按以下公式衡量的:
潛在的財產損失=風險因素×可能的損失
這里打一個比方,將信息系統的安全威脅比作可能的財產損失,將系統固有的脆弱程度
比作潛在的財產損失,於是有:
系統的脆弱程度=處於威脅中的系統構件×安全威脅
此公式雖不能將系統安全性定量化,但可以作為分析信息安全機制的適用性和有效性的
出發點。
對計算機犯罪的統計表明,絕大多數是內部人員所為。由於在大多數Micro-LAN-Mainf
rame系統中,用戶登錄信息、用戶身份證件及其它數據是以明文形式傳輸的,任何人通過連
接到主機的微型機都可秘密地竊取上述信息。圖1給出了我們在這篇文章中進行安全性分析
的網路模型,其安全性攻擊點多達20個。本文以下各部分將詳細討論對此模型的安全威脅及
安全對策。
@@14219700.GIF;圖1.Micro-LAN-Mainframe網路模型@@
二、開放式系統安全概述
1.OSI安全體系結構
1989年2月15日,ISO7498-2標準的頒布,確立了OSI參考模型的信息安全體系結構,它對
構建具體網路環境的信息安全構架有重要的指導意義。其核心內容包括五大類安全服務以
及提供這些服務所需要的八類安全機制。圖2所示的三維安全空間解釋了這一體系結構。
@@14219701.GIF;ISO安全體系結構@@
其中,一種安全服務可以通過某種安全機制單獨提供,也可以通過多種安全機制聯合提
供;一種安全機制可用於提供一種或多種安全服務。
2.美軍的國防信息系統安全計劃DISSP
DISSP是美軍迄今為止最龐大的信息系統安全計劃。它將為美國防部所有的網路(話音
、數據、圖形和視頻圖象、戰略和戰術)提供一個統一的、完全綜合的多級安全策略和結構
,並負責管理該策略和結構的實現。圖3所示的DISSP安全框架三維模型,全面描述了信息系
統的安全需求和結構。第一維由九類主要的安全特性外加兩類操作特性組成,第二維是系統
組成部件,它涉及與安全需求有關的信息系統部件,並提供一種把安全特性映射到系統部件
的簡化手段;第三維是OSI協議層外加擴展的兩層,OSI模型是面向通信的,增加兩層是為了適
應信息處理。
@@14219702.GIF;DISSP安全框架雛形@@
3.通信系統的安全策略
1節和2節較全面地描述了信息系統的安全需求和結構,具有相當的操作指導意義。但僅
有這些,對於構作一個應用於某組織的、具體的網路應用環境的安全框架或安全系統還是不
夠的。
目前,計算機廠商在開發適用於企業范圍信息安全的有效策略方面並沒有走在前面,這
就意味著用戶必須利用現有的控制技術開發並維護一個具有足夠安全級別的分布式安全系
統。一個安全系統的構作涉及的因素很多,是一個龐大的系統工程。一個明晰的安全策略必
不可少,它的指導原則如下:
·對安全暴露點實施訪問控制；
·保證非法操作對網路的數據完整性和可用性無法侵害；
·提供適當等級的、對傳送數據的身份鑒別和完整性維護；
·確保硬體和線路的聯接點的物理安全；
·對網路設備實施訪問控制；
·控制對網路的配置；
·保持對網路設施的控制權；
·提供有準備的業務恢復。
一個通信系統的安全策略應主要包括以下幾個方面的內容:
總綱；
適用領域界定；
安全威脅分析；
企業敏感信息界定；
安全管理、責任落實、職責分明；
安全控制基線；
網路操作系統；
信息安全:包括用戶身份識別和認證、文件伺服器控制、審計跟蹤和安全侵害報告、數
據完整性及計算機病毒；
網路安全:包括通信控制、系統狀態控制、撥號呼叫訪問控制；
災難恢復。
三、LAN安全
1.LAN安全威脅
1)LAN環境因素造成的安全威脅
LAN環境因素,主要是指LAN用戶缺乏安全操作常識;LAN提供商的安全允諾不能全部兌現
。
2)LAN自身成員面臨的安全威脅
LAN的每一組成部件都需要保護,包括伺服器、工作站、工作站與LAN的聯接部件、LAN
與LAN及外部世界的聯接部件、線路及線路接續區等。
3)LAN運行時面臨的安全威脅
(1)通信線路上的電磁信號輻射
(2)對通信介質的攻擊,包括被動方式攻擊(搭線竊聽)和主動方式攻擊(無線電仿冒)
(3)通過聯接上網一個未經授權的工作站而進行的網路攻擊。攻擊的方式可能有：竊聽
網上登錄信息和數據;監視LAN上流量及與遠程主機的會話,截獲合法用戶log off指令,繼續
與主機會話;冒充一個主機LOC ON,從而竊取其他用戶的ID和口令。
(4)在合法工作站上進行非法使用,如竊取其他用戶的ID、口令或數據
(5)LAN與其他網路聯接時,即使各成員網原能安全運行,聯網之後,也可能發生互相侵害
的後果。
(6)網路病毒
4)工作站引發的安全威脅
(1)TSR和通信軟體的濫用:在分布式應用中,用戶一般在本地微機及主機擁有自己的數
據。將微機作為工作站,LAN或主機系統繼承了其不安全性。TSR是用戶事先載入,由規定事
件激活的程序。一個截獲屏幕的TSR可用於竊取主機上的用戶信息。這樣的TSR還有許多。
某些通信軟體將用戶鍵入字元序列存為一個宏,以利於實現對主機的自動LOGON,這也是很危
險的。
(2)LAN診斷工具的濫用:LAN診斷工具本用於排除LAN故障,通過分析網上數據包來確定
線路雜訊。由於LAN不對通信鏈路加密,故LAN診斷工具可用於竊取用戶登錄信息。
(3)病毒與微機通信:例如Jerusalem-B病毒可使一個由幾千台運行3270模擬程序的微機
組成的網路癱瘓。
2 LAN安全措施
1)通信安全措施
(1)對抗電磁信號偵聽:電纜加屏蔽層或用金屬管道,使較常規電纜難以搭線竊聽;使用
光纖消除電磁輻射;對敏感區域(如電話室、PBX所在地、伺服器所在地)進行物理保護。
(2)對抗非法工作站的接入:最有效的方法是使用工作站ID,工作站網卡中存有標識自身
的唯一ID號,LAN操作系統在用戶登錄時能自動識別並進行認證。
(3)對抗對合法工作站的非法訪問:主要通過訪問控制機制,這種機制可以邏輯實現或物
理實現。
(4)對通信數據進行加密,包括鏈路加密和端端加密。
2)LAN安全管理
(1)一般控制原則,如對伺服器訪問只能通過控制台;工作站間不得自行聯接;同一時刻
,一個用戶只能登錄一台工作站;禁止使用網上流量監視器;工作站自動掛起;會話清除;鍵盤
封鎖;交易跟蹤等。
(2)訪問控制,如文件應受保護,文件應有多級訪問權力;SERVER要求用戶識別及認證等
。
(3)口令控制,規定最大長度和最小長度;字元多樣化;建立及維護一個軟字型檔,鑒別弱口
令字;經常更換口令等。
(4)數據加密:敏感信息應加密
(5)審計日誌:應記錄不成功的LOGIN企圖,未授權的訪問或操作企圖,網路掛起,脫離聯
接及其他規定的動作。應具備自動審計日誌檢查功能。審計文件應加密等。
(6)磁碟利用:公用目錄應只讀,並限制訪問。
(7)數據備份:是LAN可用性的保證;
(8)物理安全:如限制通信訪問的用戶、數據、傳輸類型、日期和時間;通信線路上的數
據加密等。
四、PC工作站的安全
這里,以荷蘭NMB銀行的PC安全工作站為例,予以說明。在該系統中,PC機作為IBM SNA主
機系統的工作站。
1.PC機的安全局限
(1)用戶易於攜帶、易於訪問、易於更改其設置。
(2)MS-DOS或PC-DOS無訪問控制功能
(3)硬體易受侵害;軟體也易於攜帶、拷貝、注入、運行及損害。
2.PC安全工作站的目標
(1)保護硬體以對抗未授權的訪問、非法篡改、破壞和竊取；
(2)保護軟體和數據以對抗:未授權的訪問、非法篡改、破壞和竊取、病毒侵害；
(3)網路通信和主機軟硬體也應類似地予以保護；
3.安全型PC工作站的設計
(1)PC硬體的物理安全:一個的可行的方法是限制對PC的物理訪問。在PC機的後面加一
個盒子,只有打開這個盒子才能建立所需要的聯接。
(2)軟體安全:Eracon PC加密卡提供透明的磁碟訪問;此卡提供了4K位元組的CMOS存儲用
於存儲密鑰資料和進行密鑰管理。其中一半的存儲區對PC匯流排是只可寫的,只有通過卡上數
據加密處理的密鑰輸入口才可讀出。此卡同時提供了兩個通信信道,其中一個支持同步通信
。具體的安全設計細節還有:
A、使用Clipcards提供的訪問權授予和KEY存儲(為離線應用而設)、Clipcards讀寫器
接於加密卡的非同步口。
B、對硬碟上全部數據加密,對不同性質的文件區分使用密鑰。
C、用戶LOGON時,強制進入與主機的安全監控器對話,以對該用戶進行身份驗證和權力
賦予;磁碟工作密鑰從主機傳送過來或從Clipcards上讀取(OFFLINE);此LOGON外殼控制應用
環境和密鑰交換。
D、SNA3270模擬器:利用Eracon加密卡實現與VTAM加解密設備功能一致的對數據幀的加
密。
E、主機安全監控器(SECCON):如果可能,將通過3270模擬器實現與PC安全監控程序的不
間斷的會話;監控器之間的一套消息協議用於完成對系統的維護。
五、分布式工作站的安全
分布式系統的工作站較一般意義上的網路工作站功能更加全面,它不僅可以通過與網上
伺服器及其他分布式工作站的通信以實現信息共享,而且其自身往往具備較強的數據存儲和
處理能力。基於Client/Server體系結構的分布式系統的安全有其特殊性,表現如下:
(1)較主機系統而言,跨區域網和廣域網,聯接區域不斷擴展的工作站環境更易受到侵害
;
(2)由於工作站是分布式的;往往分布於不同建築、不同地區、甚至不同國家,使安全管
理變得更加復雜;
(3)工作站也是計算機犯罪的有力工具,由於它分布廣泛,安全威脅無處不在;
(4)工作站環境往往與Internet及其他半公開的數據網互聯,因而易受到更廣泛的網路
攻擊。
可見,分布式工作站環境的安全依賴於工作站和與之相聯的網路的安全。它的安全系統
應不劣於主機系統,即包括用戶的身份識別和認證;適當的訪問控制;強健的審計機制等。除
此之外,分布式工作站環境還有其自身的特殊安全問題,如對網路伺服器的認證,確保通信中
數據的保密性和完整性等。這些問題將在後面討論。
六、通信中的信息安全
通過以上幾部分的討論,我們已將圖1所示的網路組件(包括LAN、網路工作站、分布式
工作站、主機系統)逐一進行了剖析。下面,我們將就它們之間的聯接安全進行討論。
1.加密技術
結合OSI七層協議模型,不難理解加密機制是怎樣用於網路的不同層次的。
(1)鏈路加密:作用於OSI數據模型的數據鏈路層,信息在每一條物理鏈路上進行加密和
解密。它的優點是獨立於提供商,能保護網上控制信息;缺點是浪費設備,降低傳輸效率。
(2)端端加密:作用於OSI數據模型的第4到7層。其優點是花費少,效率高;缺點是依賴於
網路協議,安全性不是很高。
(3)應用加密:作用於OSI數據模型的第7層,獨立於網路協議;其致命缺點是加密演算法和
密鑰駐留於應用層,易於失密。
2.撥號呼叫訪問的安全
撥號呼叫安全設備主要有兩類,open-ended設備和two-ended設備,前者只需要一台設備
,後者要求在線路兩端各加一台。
(1)open-ended設備:主要有兩類,埠保護設備(PPDs)和安全數據機。PPDs是處於
主機埠和撥號線路之間的前端通信處理器。其目的是隱去主機的身份,在將用戶請求送至
主機自身的訪問控制機制前,對該用戶進行預認證。一些PPDs具有回叫功能,大部分PPDs提
供某種形式的攻擊示警。安全數據機主要是回叫型的,大多數有內嵌口令,用戶呼叫調
制解調器並且輸入口令,數據機驗證口令並拆線。數據機根據用戶口令查到相應電
話號碼,然後按此號碼回叫用戶。
(2)two-ended設備:包括口令令牌、終端認證設備、鏈路加密設備和消息認證設備。口
令令牌日益受到大家歡迎,因為它在認證線路另一端的用戶時不需考慮用戶的位置及網路的
聯接類型。它比安全數據機更加安全,因為它允許用戶移動,並且禁止前向呼叫。
口令令牌由兩部分組成,運行於主機上與主機操作系統和大多數常用訪問控制軟體包接
口的軟體,及類似於一個接卡箱運算器的硬體設備。此軟體和硬體實現相同的密碼演算法。當
一個用戶登錄時,主機產生一個隨機數給用戶,用戶將該隨機數加密後將結果返回給主機;與
此同時,運行於主機上的軟體也作同樣的加密運算。主機將這兩個結果進行對比,如果一致
,則准予登錄。
終端認證設備是指將各個終端唯一編碼,以利於主機識別的軟體及硬體系統。只有帶有
正確的網路介面卡(NIC)標識符的設備才允許登錄。
鏈路加密設備提供用於指導線路的最高程度的安全保障。此類系統中,加密盒置於線路
的兩端,這樣可確保傳送數據的可信性和完整性。唯一的加密密鑰可用於終端認證。
消息認證設備用於保證傳送消息的完整性。它們通常用於EFT等更加註重消息不被更改
的應用領域。一般採用基於DES的加密演算法產生MAC碼。
七、安全通信的控制
在第六部分中,我們就通信中採取的具體安全技術進行了較為詳細的討論。但很少涉及
安全通信的控制問題,如網路監控、安全審計、災難恢復、密鑰管理等。這里,我們將詳細
討論Micro-LAN-Mainframe網路環境中的用戶身份認證、伺服器認證及密鑰管理技術。這三
個方面是緊密結合在一起的。
1.基於Smartcards的用戶認證技術
用戶身份認證是網路安全的一個重要方面,傳統的基於口令的用戶認證是十分脆弱的。
Smartcards是一類一話一密的認證工具,它的實現基於令牌技術。其基本思想是擁有兩個一
致的、基於時間的加密演算法,且這兩個加密演算法是同步的。當用戶登錄時,Smartcards和遠
端系統同時對用戶鍵入的某一個系統提示的數進行運算(這個數時刻變化),如果兩邊運行結
果相同,則證明用戶是合法的。
在這一基本的Smartcards之上,還有一些變種,其實現原理是類似的。
2.kerboros用戶認證及保密通信方案
對於分布式系統而言,使用Smartcards,就需要為每一個遠地系統准備一個Smartcard,
這是十分繁瑣的,MIT設計與開發的kerboros用戶認證及保密通信方案實現了對用戶的透明
,和對用戶正在訪問的網路類型的免疫。它同時還可用於節點間的保密通信及數據完整性的
校驗。kerboros的核心是可信賴的第三方,即認證服務中心,它擁有每一個網路用戶的數據
加密密鑰,需要用戶認證的網路服務經服務中心注冊,且每一個此類服務持有與服務中心通
信的密鑰。
對一個用戶的認證分兩步進行,第一步,kerboros認證工作站上的某用戶;第二步,當該
用戶要訪問遠地系統伺服器時,kerboros起一個中介人的作用。
當用戶首次登錄時,工作站向伺服器發一個請求,使用的密鑰依據用戶口令產生。服務
中心在驗明用戶身份後,產生一個ticket,所使用的密鑰只適合於該ticket-granting服務。
此ticket包含用戶名、用戶IP地址、ticket-granting服務、當前時間、一個隨機產生的密
鑰等;服務中心然後將此ticket、會話密鑰用用戶密鑰加密後傳送給用戶;用戶將ticket解
密後,取出會話密鑰。當用戶想聯接某網路伺服器時,它首先向服務中心發一個請求,該請求
由兩部分組成,用戶先前收到的ticket和用戶的身份、IP地址、聯接伺服器名及一個時間值
,此信息用第一次傳回的會話密鑰加密。服務中心對ticket解密後,使用其中的會話密鑰對
用戶請求信息解密。然後,服務中心向該用戶提供一個可與它相聯接的伺服器通信的會話密
鑰及一個ticket,該ticket用於與伺服器通信。
kerboros方案基於私鑰體制,認證服務中心可能成為網路瓶頸,同時認證過程及密鑰管
理都十分復雜。
3.基於公鑰體制的用戶認證及保密通信方案
在ISO11568銀行業密鑰管理國際標准中,提出了一種基於公鑰體制,依託密鑰管理中心
而實現的密鑰管理方案。該方案中,通信雙方的會話密鑰的傳遞由密鑰管理中心完成,通信
雙方的身份由中心予以公證。這樣就造成了密鑰管理中心的超負荷運轉,使之成為網上瓶頸
,同時也有利於攻擊者利用流量分析確定網路所在地。
一個改進的方案是基於公鑰體制,依託密鑰認證中心而實現的密鑰管理方案。該方案中
,通信雙方會話密鑰的形成由雙方通過交換密鑰資料而自動完成,無須中心起中介作用,這樣
就減輕了中心的負擔,提高了效率。由於篇幅所限,這里不再展開討論。
八、結論
計算機網路技術的迅速發展要求相應的網路安全保障,一個信息系統安全體系結構的確
立有助於安全型信息系統的建設,一個具體的安全系統的建設是一項系統工程,一個明晰的
安全策略對於安全系統的建設至關重要,Micro-LAN-Mainframe網路環境的信息安全是相對
的,但其豐富的安全技術內涵是值得我們學習和借鑒的。
4. 怎樣為信息系統構建安全防護體系
1、結構化及縱深防禦保護框架
系統在框架設計時應從一個完整的安全體系結構出發，綜合考慮信息網路的各個環節，綜合使用不同層次的不同安全手段，為核心業務系統的安全提供全方位的管理和服務。
在信息系統建設初期，考慮系統框架設計的時候要基於結構化保護思想，覆蓋整體網路、區域邊界、計算環境的關鍵保護設備和保護部件本身，並在這些保護部件的基礎上系統性地建立安全框架。使得計算環境中的應用系統和數據不僅獲得外圍保護設備的防護，而且其計算環境內的操作系統、資料庫自身也具備相應的安全防護能力。同時要明確定義所有訪問路徑中各關鍵保護設備及安全部件間介面，以及各個介面的安全協議和參數，這將保證主體訪問客體時，經過網路和邊界訪問應用的路徑的關鍵環節，都受到框架中關鍵保護部件的有效控制。
在進行框架設計時可依據IATF（信息保護技術框架）深度防護戰略的思想進行設計，IATF模型從深度防護戰略出發，強調人、技術和操作三個要素，基於縱深防禦架構構建安全域及邊界保護設施，以實施外層保護內層、各層協同的保護策略。該框架使能夠攻破一層或一類保護的攻擊行為無法破壞整個信息基礎設施。在攻擊者成功地破壞了某個保護機制的情況下，其它保護機制仍能夠提供附加的保護。
在安全保障體系的設計過程中，必須對核心業務系統的各層邊界進行全面分析和縱深防禦體系及策略設計，在邊界間採用安全強隔離措施，為核心業務系統建立一個在網路層和應用層同時具備較大縱深的防禦層次結構，從而有效抵禦外部通過網路層和應用層發動的入侵行為。
2、全生命周期的閉環安全設計
在進行信息系統的安全保障體系建設工作時，除設計完善的安全保障技術體系外，還必須設計建立完整的信息安全管理體系、常態化測評體系、集中運維服務體系以及應急和恢復體系，為核心信息系統提供全生命周期的安全服務。
在項目開展的全過程中，還應該遵循SSE-CMM（信息安全工程能力成熟度模型）所確定的評價安全工程實施綜合框架，它提供了度量與改善安全工程學科應用情況的方法，也就是說，對合格的安全工程實施者的可信性，是建立在對基於一個工程組的安全實施與過程的成熟性評估之上的。SSE-CMM將安全工程劃分為三個基本的過程域：風險、工程、保證。風險過程識別所開發的產品或系統的危險性，並對這些危險性進行優先順序排序。針對危險性所面臨的問題，工程過程要與其他工程一起來確定和實施解決方案。由安全保證過程來建立對最終實施的解決方案的信任，並向顧客轉達這種安全信任。因此，在安全工程實施過程中，嚴格按照SSE-CMM體系來指導實施流程，將有效地提高安全系統、安全產品和安全工程服務的質量和可用性。
3、信息系統的分域保護機制
對信息系統進行安全保護設計時，並不是對整個系統進行同一級別的保護，應針對業務的關鍵程度或安全級別進行重點的保護，而安全域劃分是進行按等級保護的重要步驟。
控制大型網路的安全的一種方法就是把網路劃分成單獨的邏輯網路域，如內部服務網路域、外部服務網路域及生產網路域，每一個網路域由所定義的安全邊界來保護，這種邊界的實施可通過在相連的兩個網路之間的安全網關來控制其間訪問和信息流。網關要經過配置，以過濾兩個區域之間的通信量，並根據訪問控制方針來堵塞未授權訪問。
根據信息系統實際情況劃分不同的區域邊界，重點關注從互聯網→外部網路→內部網路→生產網路，以及以應用系統為單元的從終端→伺服器→應用→中間件→資料庫→存儲的縱向各區域的安全邊界，綜合採用可信安全域設計，從而做到縱深的區域邊界安全防護措施。
實現結構化的網路管理控制要求的可行方法就是進行區域邊界的劃分和管理。在這種情況下，應考慮在網路邊界和內部引入控制措施，來隔離信息服務組、用戶和信息系統，並對不同安全保護需求的系統實施縱深保護。
一般來說核心業務系統必然要與其它信息系統進行交互。因此，應根據防護的關鍵保護部件的級別和業務特徵，對有相同的安全保護需求、相同的安全訪問控制和邊界控制策略的業務系統根據管理現狀劃分成不同的安全域，對不同等級的安全域採用對應級別的防護措施。根據域間的訪問關系和信任關系，設計域間訪問策略和邊界防護策略，對於進入高等級域的信息根據結構化保護要求進行數據規劃，對於進入低等級域的信息進行審計和轉換。
4、融入可信計算技術
可信計算技術是近幾年發展起來的一種基於硬體的計算機安全技術，其通過建立信任鏈傳遞機制，使得計算機系統一直在受保護的環境中運行，有效地保護了計算機中存儲數據的安全性，並防止了惡意軟體對計算機的攻擊。在信息系統安全保障體系設計時，可以考慮融入可信計算技術，除重視安全保障設備提供的安全防護能力外，核心業務系統安全保障體系的設計將強調安全保障設備的可靠性和關鍵保護部件自身安全性，為核心業務系統建立可信賴的運行環境。
以可信安全技術為主線，實現關鍵業務計算環境關鍵保護部件自身的安全性。依託縱深防禦架構應用可信與可信計算技術（含密碼技術）、可信操作系統、安全資料庫，確保系統本身安全機制和關鍵防護部件可信賴。在可信計算技術中，密碼技術是核心，採用我國自主研發的密碼演算法和引擎，通過TCM模塊，來構建可信計算的密碼支撐技術，最終形成有效的防禦惡意攻擊手段。通過系統硬體執行相對基礎和底層的安全功能，能保證一些軟體層的非法訪問和惡意操作無法完成，可信計算技術的應用可以為建設安全體系提供更加完善的底層基礎設施，並為核心業務系統提供更強有力的安全保障。
5、細化安全保護策略與保障措施
在核心業務系統不同區域邊界之間基本都以部署防火牆為鮮明特點，強化網路安全策略，根據策略控制進出網路的信息，防止內部信息外泄和抵禦外部攻擊。
在區域邊界處部署防火牆等邏輯隔離設備實施訪問控制，設置除因數據訪問而允許的規則外，其他全部默認拒絕，並根據會話狀態信息（如包括數據包的源地址、目的地址、源埠號、目的埠號、協議、出入的介面、會話序列號、發出信息的主機名等信息，並應支持地址通配符的使用）對數據流進行控制；對進出網路的信息內容進行過濾，實現對應用層HTTP、FTP、TELNET、SMTP、POP3等協議命令級的控制；自動終止非活躍會話連接；限制網路最大流量及網路連接數，防止DOS等攻擊行為；使用IP與MAC綁定技術，防範地址欺騙等攻擊行為；使用路由器、防火牆、認證網關等邊界設備，配置撥號訪問控制列表對系統資源實現單個用戶的允許或拒絕訪問，並限制撥號訪問許可權的用戶數量。
在核心業務系統內網的核心交換邊界部署網路入侵檢測系統，對網路邊界處入侵和攻擊行為進行檢測，並在最重要的區域和易於發生入侵行為的網路邊界進行網路行為監控，在核心交換機上部署雙路監聽埠IDS系統，IDS監聽埠類型需要和核心交換機對端的埠類型保持一致。在網路邊界處監視以下攻擊行為：埠掃描、強力攻擊、木馬後門攻擊、拒絕服務攻擊、緩沖區溢出攻擊、IP碎片攻擊和網路蠕蟲攻擊等；當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發生嚴重入侵事件時應提供報警。
在區域邊界處部署防病毒網關，對進出網路的數據進行掃描，可以把病毒攔截在外部，減少病毒滲入內網造成危害的可能。防病毒網關是軟硬體結合的設備，通常部署在防火牆和中心交換機之間，可以在病毒進入網路時對它進行掃描和查殺。防病毒網關可以採用全透明方式，適用於各種復雜的網路環境，通過多層過濾、深度內容分析、關聯等技術策略，對網路數據進行高效過濾處理，可以提升網路環境的安全狀況。防病毒網關需要具備以下特性：
（1）防病毒、防木馬以及針對操作系統、應用程序漏洞進行的攻擊。
（2）防蠕蟲攻擊，防病毒網關根據自有的安全策略可以攔截蠕蟲的動態攻擊，防止蠕蟲爆發後對網路造成的阻塞。
（3）過濾垃圾郵件功能，防病毒過濾網關通過檢查郵件伺服器的地址來過濾垃圾郵件。防病毒網關通過黑名單資料庫以及啟發式掃描的資料庫，對每封郵件進行判斷並且識別，提高了對垃圾郵件的檢測力度，實現了垃圾郵件網關的功能。
邊界設備等作為區域邊界的基礎平台，其安全性至關重要。由於邊界設備存在安全隱患（如：安裝、配置不符合安全需求；參數配置錯誤；賬戶/口令問題；許可權控制問題；安全漏洞沒有及時修補；應用服務和應用程序濫用等）被利用而導致的安全事件往往是最經常出現的安全問題，所以對這些基礎設施定期地進行安全評估、安全加固與安全審計，對增強區域邊界的安全性有著重要的意義。
6、常態化的安全運維
信息系統的安全不僅依賴於增加和完善相應的安全措施，而且在安全體系建設完成之後，需要通過相應的安全體系運行保障手段，諸如定期的評估、檢查加固、應急響應機制及持續改進措施，以確保安全體系的持續有效性。
（1）定期進行信息安全等級保護測評。根據國家要求，信息系統建設完成後，運營、使用單位或者其主管部門應當選擇具有信息安全測評資質的單位，依據相關標準定期對信息系統開展信息安全等級保護測評。通過測評可以判定信息系統的安全狀態是否符合等級保護相應等級的安全要求，是否達到了與其安全等級相適應的安全防護能力。通過對信息系統等級符合性檢驗，最終使系統達到等級保護的相關要求，降低信息安全風險事件的發生概率。
（2）定期進行安全檢查及整改。確定安全檢查對象，主要包括關鍵伺服器、操作系統、網路設備、安全設備、主要通信線路和客戶端等，通過全面的安全檢查，對影響系統、業務安全性的關鍵要素進行分析，發現存在的問題，並及時進行整改。
（3）對於互聯網系統或與互聯網連接的系統，定期進行滲透測試。滲透測試是一種信息系統進行安全檢測的方法，是從攻擊者的角度來對信息系統的安全防護能力進行安全檢測的手段，在對現有信息系統不造成任何損害的前提下，模擬入侵者對指定系統進行攻擊測試。滲透測試通常能以非常明顯、直觀的結果來反映出系統的安全現狀。
（4）定期進行安全教育培訓。技術培訓主要是提高員工的安全意識和安全技能，使之能夠符合相關信息安全工作崗位的能力要求，全面提高自身整體的信息安全水平。針對不同層次、不同職責、不同崗位的員工，進行有關信息安全管理的理論培訓、安全管理制度教育、安全防範意識宣傳和專門安全技術訓練，確保信息安全策略、規章制度和技術規范的順利執行，從而最大限度地降低和消除安全風險。
5. 淺談如何建立區域網內部安全管理系統求解答
但越來越多事實證明，來自網路內部的安全問題同樣不容忽視。只有構建一套功能完善的內部安全系統，從網路資源、設備資源、客戶端資源和應用資源方面對內部網路加以管理和審計，才能以達到最佳的管理效果。一、加強客戶端聯網管理，保證可信設備接入
一是搞好設備的入網檢測。應當對移動設備（筆記本電腦等）和新增設備（計算機等）以及攜帶型存儲工具接入檢測，未經允許擅自接入的設備會給網路帶來病毒傳播、黑客入侵等不安全因素；
二是嚴格監控筆記本電腦的帶入帶出。防止區域網內的筆記本帶出網路後上公網的非安全的行為，如若出現這些行為，筆記本在上內網時，必須通過系統安檢程序的安全檢測，並自動阻斷這類筆記本入網。
三是進行客戶端違規聯網檢測，對網路的物理隔離和邏輯隔離度監控要有制度，有措施。許多單位專網與INTERNET是必須嚴格物理隔離的，內部網路用戶如果通過數據機、雙網卡、無線網卡等設備進行在線違規撥號上網、違規離線上網等行為，必須按照不同的策略進行警告或分布式阻斷。
二、採取多種安全措施，注重客戶端安全管理
一是對客戶端進行防病毒軟體的安裝與監控。必須在網內所有客戶端上安裝網路版殺毒軟體，並定期進行病毒代碼的升級。對防病毒軟體在客戶端的安裝和升級情況應可監控，並對監控信息集中管理，對未安裝防毒軟體的，可通過系統強行安裝防病毒軟體。
二是對客戶端及時統一掃描漏洞、分發補丁。「沖擊波」、「震盪波」等是利用系統漏洞傳播的病毒，因此客戶端必須具備補丁自動分發部署和控制功能。要在網路中安裝客戶端補丁自動分發系統，對注冊後的網路客戶端，在本機系統中實時運行狀態監測程序，及時將本機的補丁修補狀況上報，管理人員在WEB平台中可以對全網計算機終端補丁修補狀況作詳細了解，與有重大漏洞出現，可及時對客戶端進行操作系統升級。
此外，還必須對客戶端軟體安全情況進行監控，管理員必須能夠自動發現客戶端安裝的軟體，對與業務工作無關的游戲、盜版軟體能做到及時發現，及時控制；對安全事件源能遠程阻斷，發現網路客戶端出現病毒、蠕蟲攻擊等安全問題後，做到對安全事件源的實時、快速、精確定位、遠程阻斷隔離操作；能查找網路薄弱環節，當大規模病毒（安全）事件發生後，網管員能確定病毒黑客事件源頭、找到網路中的薄弱環節，加強安全預警。三、規范軟體操作使用，搞好應用資源安全管理
一是避免安裝使用盜版軟體。內部人員在計算機上安裝使用盜版軟體，引入了潛在的安全漏洞，降低了計算機系統的安全系數；一些內部人員處於好奇或者惡意破壞的目的，還在計算機上安裝使用一些黑客軟體，從內部發起攻擊；還有一些內部人員安全意識淡薄，不安裝制定的防毒軟體等等，這些行為對網路構成了重大威脅，必須採取有效技術手段對終端合法、非法進程進行監控，監控網路客戶端運行程序。
二是合理使用網路管理軟體，掃描發現和繪制網路拓撲結構，顯示路由器與子網、交換機與交換機、交換機與主機之間的連接關系，顯示交換機各埠和使用情況和流量信息，定期對客戶端流量、分支網路帶寬流量進行分析，並進行數據包規則檢測，防止非法入侵、非法濫用網路資源。四、合理規劃網路資源，確保系統運行正規
一是使用VLAN技術加強內部網路管理。根據不同的應用業務以及不同部級別，將網路劃分不同的網段進行隔離，實現相互間的訪問控制，達到限制用戶非法訪問的目的。檢測網路中IP應用狀況，並將IP同MAC地址進行綁定,防止特殊IP地址被盜用。
二是對網路內部硬體設備登記注冊。將硬體設備屬性信息採集後存儲到資料庫中，硬體屬性信息包括：硬碟容量、序列號、cpu型號、內存大小、網卡mac地址、ip地址等重要屬性信息。應限制內部人員在內網計算機上安裝、使用可移動的存儲設備如軟碟機、光碟機、USB介面的優盤、硬碟、數碼相機等，防止移動存儲介質間接地與外網進行數據交換，導致病毒入侵或敏感信息、機密數據的傳播與泄漏。
三是搞好網路設備的物理信息的登記管理。如設備的名稱、使用人（管理負責人）姓名、設備樓層房間號、聯系電話、計算機使用部門等，進行物理定位，做到遇有故障能及時准確地定位和排查。五、搞好系統備份恢復，提高網路的容災能力
在做好網路安全管理工作的同時，也應考慮系統在不可避免的因素下出現的故障恢復需要。首先，必須定期做好重要設備、重要數據的備份， 以便在出現故障時採取硬體恢復和軟體恢復。硬體恢復有硬體替代、固件修復、數據讀取等方法，存儲重要數據和運行重要軟體的設備應准備一套硬體備份，而固件修復和數據讀取則要送技術可靠、安全保密性強的專業部門進行處理。軟體恢復包括系統恢復和文件恢復。系統恢復就是操作系統和應用軟體不能正常啟動，可利用修復軟體對其進行修復，最快捷的方法是利用ghost、livestate對系統進行全盤備份，從而以最快的速度是系統正常工作。文件恢復則是存儲介質上的應用文件損壞，如DOC、XLS文件壞,用修復軟體對其修復，從而恢復文件數據。
[信息來源：武警湖北總隊司令部][信息作者：梁 靜]
6. 如何建立以防火牆為核心的五位一體網路安全體系
全流程實施網路安全響應。建立健全網路安全事件應急響應機制，優化完善網路安全事件應急預案，規范應急響應處置流程，常態化開展應急演練。
確保重要信息系統的實體安全、運行安全和數據安全。遴選網路安全應急支撐機構，組織支撐機構參與網路安全事件處置和重要敏感時點網路安全保障，妥善處置各類網路安全事件100餘起，全部及時督促涉事單位整改到位。
計算機網路運行過程中，伺服器作為核心，應作為防護重點，圍繞計算機伺服器構建安全防護體系。但隨著計算機技術的發展，網路黑客及入侵技術在形式上也不斷演變，從而使計算機網路安全威脅不斷升級。為使計算機伺服器安全防護體系盡量保持高效，應做好以下幾點：
第一，計算機網路安全防護體系應將伺服器及附屬設備加以結合並做好統籌規劃，同步做好計算機應用技術安全體系搭建及管理制度上的支撐。在計算機應用安全管理制度上，應針對計算機系統操作人員、管理人員及維修人員明確安全防護的基本要求，如操作口令不能泄露、計算機賬戶系統不能隨意訪問、系統管理許可權要縮緊、計算機維修要做好登記等。
第二，梳理常見的計算機伺服器遭入侵的途徑及方式，出台相應的規章制度，對危險系數較高的網路行為加以約束。
第三，計算機伺服器安全防護中的安全技術，主要通過計算機殺毒軟硬體來實施相應的網路安全管理。
第四，對計算機系統本身所隱藏的安全漏洞進行識別及修補，為計算機安全防護打好基礎。第五，定期做好計算機關鍵信息及重要數據的備份，設置計算機訪問許可權及操作密碼，避免數據被竊取及被損害。最後，約束計算機遠程訪問行為，封堵電腦黑客及入侵者通過電話號碼入侵計算機系統的遠程路徑。
7. 校園網基本網路搭建及網路安全設計分析
摘要：伴隨著Internet的日益普及，網路應用的蓬勃發展，網路信息資源的安全備受關注。校園網網路中的主機可能會受到非法入侵者的攻擊，網路中的敏感數據有可能泄露或被修改，保證網路系統的保密性、完整性、可用性、可控性、可審查性方面具有其重要意義。通過網路拓撲結構和網組技術對校園網網路進行搭建，通過物理、數據等方面的設計對網路安全進行完善是解決上述問題的有效 措施 。
關鍵詞：校園網；網路搭建；網路安全；設計。
以Internet為代表的信息化浪潮席捲全球，信息 網路技術 的應用日益普及和深入，伴隨著網路技術的高速發展，各種各樣的安全問題也相繼出現，校園網被「黑」或被病毒破壞的事件屢有發生，造成了極壞的社會影響和巨大的經濟損失。維護校園網網路安全需要從網路的搭建及網路安全設計方面著手。
一、 基本網路的搭建。
由於校園網網路特性（數據流量大，穩定性強，經濟性和擴充性）和各個部門的要求（製作部門和辦公部門間的訪問控制），我們採用下列方案：
1. 網路拓撲結構選擇：網路採用星型拓撲結構（如圖1）。它是目前使用最多，最為普遍的區域網拓撲結構。節點具有高度的獨立性，並且適合在中央位置放置網路診斷設備。
2.組網技術選擇：目前，常用的主幹網的組網技術有快速乙太網（100Mbps）、FDDI、千兆乙太網（1000Mbps）和ATM（155Mbps/622Mbps）。快速乙太網是一種非常成熟的組網技術，它的造價很低，性能價格比很高；FDDI也是一種成熟的組網技術，但技術復雜、造價高，難以升級；ATM技術成熟，是多媒體應用系統的理想網路平台，但它的網路帶寬的實際利用率很低；目前千兆乙太網已成為一種成熟的組網技術，造價低於ATM網，它的有效帶寬比622Mbps的ATM還高。因此，個人推薦採用千兆乙太網為骨幹，快速乙太網交換到桌面組建計算機播控網路。
二、網路安全設計。
1.物理安全設計 為保證校園網信息網路系統的物理安全，除在網路規劃和場地、環境等要求之外，還要防止系統信息在空間的擴散。計算機系統通過電磁輻射使信息被截獲而失密的案例已經很多，在理論和技術支持下的驗證工作也證實這種截取距離在幾百甚至可達千米的復原顯示技術給計算機系統信息的__帶來了極大的危害。為了防止系統中的信息在空間上的擴散，通常是在物理上採取一定的防護措施，來減少或干擾擴散出去的空間信號。正常的防範措施主要在三個方面：對主機房及重要信息存儲、收發部門進行屏蔽處理，即建設一個具有高效屏蔽效能的屏蔽室，用它來安裝運行主要設備，以防止磁鼓、磁帶與高輻射設備等的信號外泄。為提高屏蔽室的效能，在屏蔽室與外界的各項聯系、連接中均要採取相應的隔離措施和設計，如信號線、電話線、空調、消防控制線，以及通風、波導，門的關起等。對本地網 、區域網傳輸線路傳導輻射的抑制，由於電纜傳輸輻射信息的不可避免性，現均採用光纜傳輸的方式，大多數均在Modem出來的設備用光電轉換介面，用光纜接出屏蔽室外進行傳輸。
2.網路共享資源和數據信息安全設計 針對這個問題，我們決定使用VLAN技術和計算機網路物理隔離來實現。VLAN（Virtual LocalArea Network）即虛擬區域網，是一種通過將區域網內的設備邏輯地而不是物理地劃分成一個個網段從而實現虛擬工作組的新興技術。
IEEE於1999年頒布了用以標准化VLAN實現方案的802.1Q協議標准草案。VLAN技術允許網路管理者將一個物理的LAN邏輯地劃分成不同的廣播域（或稱虛擬LAN，即VLAN），每一個VLAN都包含一組有著相同需求的計算機工作站，與物理上形成的LAN有著相同的屬性。
但由於它是邏輯地而不是物理地劃分，所以同一個VLAN內的各個工作站無須放置在同一個物理空間里，即這些工作站不一定屬於同一個物理LAN網段。一個VLAN內部的廣播和單播流量都不會轉發到 其它 VLAN中，即使是兩台計算機有著同樣的網段，但是它們卻沒有相同的VLAN號，它們各自的廣播流也不會相互轉發，從而有助於控制流量、減少設備投資、簡化網路管理、提高網路的安全性。VLAN是為解決乙太網的廣播問題和安全性而提出的，它在乙太網幀的基礎上增加了VLAN頭，用VLANID把用戶劃分為更小的工作組，限制不同工作組間的用戶二層互訪，每個工作組就是一個虛擬區域網。虛擬區域網的好處是可以限制廣播范圍，並能夠形成虛擬工作組，動態管理網路。從目前來看，根據埠來劃分VLAN的方式是最常用的一種方式。許多VLAN廠商都利用交換機的埠來劃分VLAN成員，被設定的埠都在同一個廣播域中。例如，一個交換機的1，2，3，4，5埠被定義為虛擬網AAA，同一交換機的6，7，8埠組成虛擬網BBB。這樣做允許各埠之間的通訊，並允許共享型網路的升級。
但是，這種劃分模式將虛擬網路限制在了一台交換機上。第二代埠VLAN技術允許跨越多個交換機的多個不同埠劃分VLAN，不同交換機上的若干個埠可以組成同一個虛擬網。以交換機埠來劃分網路成員，其配置過程簡單明了。
3.計算機病毒、黑客以及電子郵件應用風險防控設計 我們採用防病毒技術，防火牆技術和入侵檢測技術來解決相關的問題。防火牆和入侵檢測還對信息的安全性、訪問控制方面起到很大的作用。
第一，防病毒技術。病毒伴隨著計算機系統一起發展了十幾年，目前其形態和入侵途徑已經發生了巨大的變化，幾乎每天都有新的病毒出現在INTERNET上，並且藉助INTERNET上的信息往來，尤其是EMAIL進行傳播，傳播速度極其快。計算機黑客常用病毒夾帶惡意的程序進行攻擊。
為保護伺服器和網路中的工作站免受到計算機病毒的侵害，同時為了建立一個集中有效地病毒控制機制，天下論文網需要應用基於網路的防病毒技術。這些技術包括：基於網關的防病毒系統、基於伺服器的防病毒系統和基於桌面的防病毒系統。例如，我們准備在主機上統一安裝網路防病毒產品套間，並在計算機信息網路中設置防病毒中央控制台，從控制台給所有的網路用戶進行防病毒軟體的分發，從而達到統一升級和統一管理的目的。安裝了基於網路的防病毒軟體後，不但可以做到主機防範病毒，同時通過主機傳遞的文件也可以避免被病毒侵害，這樣就可以建立集中有效地防病毒控制系統，從而保證計算機網路信息安全。形成的整體拓撲圖。
第二，防火牆技術。企業防火牆一般是軟硬體一體的網路安全專用設備，專門用於TCP/IP體系的網路層提供鑒別，訪問控制，安全審計，網路地址轉換（NAT），IDS，，應用代理等功能，保護內部 區域網安全 接入INTERNET或者公共網路，解決內部計算機信息網路出入口的安全問題。
校園網的一些信息不能公布於眾，因此必須對這些信息進行嚴格的保護和保密，所以要加強外部人員對校園網網路的訪問管理，杜絕敏感信息的泄漏。通過防火牆，嚴格控制外來用戶對校園網網路的訪問，對非法訪問進行嚴格拒絕。防火牆可以對校園網信息網路提供各種保護，包括：過濾掉不安全的服務和非法訪問，控制對特殊站點的訪問，提供監視INTERNET安全和預警，系統認證，利用日誌功能進行訪問情況分析等。通過防火牆，基本可以保證到達內部的訪問都是安全的可以有效防止非法訪問，保護重要主機上的數據，提高網路完全性。校園網網路結構分為各部門區域網（內部安全子網）和同時連接內部網路並向外提供各種網路服務的安全子網。防火牆的拓撲結構圖。
內部安全子網連接整個內部使用的計算機，包括各個VLAN及內部伺服器，該網段對外部分開，禁止外部非法入侵和攻擊，並控制合法的對外訪問，實現內部子網的安全。共享安全子網連接對外提供的WEB，EMAIL，FTP等服務的計算機和伺服器，通過映射達到埠級安全。外部用戶只能訪問安全規則允許的對外開放的伺服器，隱藏伺服器的其它服務，減少系統漏洞。
參考文獻：
[1]Andrew S. Tanenbaum. 計算機網路（第4版）[M].北京：清華大學出版社，2008.8.
[2]袁津生，吳硯農。 計算機網路安全基礎[M]. 北京：人民郵電出版社，2006.7.
[3]中國IT實驗室。 VLAN及技術[J/OL], 2009.
8. 假設你是一名網路管理員，公司的網路安全體系如何搭建
主要就是建立防火牆，建立內部網路，設置訪問許可權，這些都可以找網路供應商給你規劃，你只要清楚你們想做成什麼效果就好了
9. 安全網路與可編程安全控制器的結合上，如何搭建安全網路
從CONTROL ENGINEERING China（控制工程中文版雜志）的一篇文章中可以看出，伴隨著功能安全的改變，安全網路也發生了改變。EN954安全標準的停用指日可待，屆時將會被EN ISO13849取代。大多數設備業主不再視安全為一個負擔，而是將其視為增加設備開機時間和提升利潤率的契機。安全網路越來越重要，可編程式控制制器取代繼電器，對於功能安全，其角色相當於PLC之於設備控制。
對於設備生產廠商和系統集成商來說，最有意思的改變發生在安全網路與可編程安全控制器的結合上（可能分成三步）。因為集成商正在面臨多PLC作業環境的挑戰，一種中立的PLC安全方案是最有效的。它提供了一種可以與Allen- Bradley，Siemens，Mitsubishi，Schneider和Omron等公司的PLC整合的安全解決方案，能夠輕松地從一台PLC移植到另一台PLC上。
AS-Interface作為一種安全網路技術，誕生於1994年，它是一種被300家製造商支持的開放式解決方案。在圖1的示例系統中，一個生產車間配備有2組光幕，以控制車間的准入。送入和送出的產品會屏蔽光幕，車間的人員准入由電磁互鎖安全開關控制，系統必須配備急停開關和一些重啟按鈕後才可運行，共使用8個聯網設備。
第一步：搭建網路
由於網路是包括安全信息和常規信息在內的所有信息的傳輸機制，穩定的網路通訊必須最先完成。使用AS-Interface完成下列步驟：
a.)在車間內布置網路電纜，然後將模塊/設備與網路連接。AS-Interface允許任何網路拓撲。時間需求：連接8台設備，1個小時就足夠了（見圖1）。
b.)為每一個模塊/設備分配一個獨一無二的地址。使用簡單的手持式選址工具來為每一台設備分配地址。時間需求：大約5分鍾。
c.)將配置輸入安全控制器。安全控制器知道了網路設備的地址，才能高效地掃面網路設備。使用安全控制上的按鈕就可以完成，無需使用PC或者安裝軟體。時間需求：15秒。
第二步：安全功能
使用拖放介面搭建安全功能，創建直觀的流向圖、輸入變數（例如安全設備的狀態）與邏輯操作的關聯、將其與安全輸出（OSSDs）相連。物理輸出可以是乾式節點，用來控制直接與現代設備上的電子安全輸入連接的安全接觸器或者電子安全輸出。圖2顯示的是流向系統框圖。綠色突出顯示的功能代表急停開關和電磁聯鎖門禁開關，兩者都直接與全局「與功能」模塊相連。全局「與功能」確保只有當所有輸入都是邏輯1時，OSSDs才會激活設備（例如進入解鎖狀態）。傳統的硬接線系統中，所有的輸入設備在電氣上串聯使用。
在功能模塊上雙擊，打開對話框。圖3是急停開關的設置對話框。設備名稱「急停開關」和實際設備的網路地址1-9都是在這里設置。由於相應規范要求急停開關需與重啟按鈕相連，局部確認默認為開啟狀態。通過網路傳輸各種數字位代表其他不同的狀態，在此例中是地址為1-5A的按鈕模塊上的綠色按鈕（例如輸入數字位為3）。由PLC控制的輸出位也可以使用，通過HMI可以使其他狀態激活。
門禁開關的配置類似，但是取決於不同的系統設計，可能不需要重啟按鈕。與硬接線解決方案對比，OSSD可以根據一組輸入自行啟動，根據另一組輸入進入重置狀態。每台設備都可以有自己的重置數據位，或者所有的設備可以共享同樣的重置狀態。
使用傳統的硬接線安裝方式時，通常要求屏蔽功能的光幕與外部屏蔽模塊連接，屏蔽感測器也與這些模塊連接，所有的設置步驟都在屏蔽模塊上完成，屏蔽模塊只能提供兩組安全輸出節點，節點直接與安全繼電器相連，或者作為設備的連接件的一部分，串聯連接。
使用網路方式，一旦光幕和屏蔽感測器使用網路進行通訊，屏蔽動作就可以完全在軟體中進行設置。圖2（也可見圖4）中的紅色和藍色突出顯示部分是帶有相應屏蔽感測器的進料光幕和出料光幕。設置屏蔽功能時，光幕的狀態簡單地和屏蔽功能做或連接。屏蔽功能提供各種操作狀態，包括2感測器和4感測器屏蔽、有向屏蔽、跨接以及輸入使能。只要光幕不被遮擋，即使傳送帶上的物體使屏蔽感測器仍舊處於激活狀態，也無法通過光幕。
第三步：有用的診斷
一旦配置被移植到安全控制器上，就可以實現圖形診斷功能。功能模塊的外邊框和其連線以如下方式使用。當輸入為真時（解鎖狀態）功能模塊為綠色。與下一個功能模塊之間的連接線也是綠色。很多其他顏色（紅色、黃色）和閃爍狀態用來提供具體反饋。除了圖形用戶介面，功能模塊顏色的數字值也傳送至PLC。確保PLC持續監控系統，在HMI上顯示狀態和錯誤信息，形成帶有時間/日期標記的數據日誌。
10. 網路安全設備有哪些如何組網使用
1、行為管理器：是用於上網的一個行為痕跡分析的設備
2、防火牆：它是一種位於內部網路與外部網路之間的網路安全系統。一項信息安全的防護系統，依照特定的規則，允許或是限制傳輸的數據通過。
3、VPN：是我們平常所說的虛擬專用網路，VPN是指通過一個公用網路來搭建一個臨時的、安全的連接。通常VPN都用到企業內網管理上，它可以通過特殊的加密的通訊協議在連接在Internet上的位於不同地方的兩個或多個企業內部網之間建立一條專有的通訊線路。
4、殺毒軟體：也稱反病毒軟體或防毒軟體，是用於消除電腦病毒、特洛伊木馬和惡意軟體等計算機威脅的一類軟體。殺毒軟體通常集成監控識別、病毒掃描和清除和自動升級等功能，有的殺毒軟體還帶有數據恢復等功能，是計算機防禦系統(包含殺毒軟體，防火牆，特洛伊木馬和其他惡意軟體的查殺程序，入侵預防系統等)的重要組成部分。