每天學習一點知識,讓工作與生活更精彩
当前位置:首页 » 安全设置 » 主动网络安全策略
扩展阅读
三星连无线网络信号差 2025-07-13 04:35:22

主动网络安全策略

发布时间: 2023-05-11 01:15:36

网络安全技术的安全对策

电子商务的一个重要技术特征是利用计算机技术来传输和处理商业信息。因此,电子商务安全问题的对策从整体上可分为计算机网络安全措施和商务交易安全措施两大部分。
1.计算机网络安全措施
计算机网络安全措施主要包括保护网络安全、保护应用服务安全和保护系统安全三个方面,各个方面都要结合考虑安全防护的物理安全、防火墙、信息安全、Web安全、媒体安全等等。
(一)保护网络安全。
网络安全是为保护商务各方网络端系统之间通信过程的安全性。保证机密性、完整性、认证性和访问控制性是网络安全的重要因素。保护网络安全的主要措施如下:
(1)全面规划网络平台的安全策略。
(2)制定网络安全的管理措施。
(3)使用防火墙。
(4)尽可能记录网络上的一切活动。
(5)注意对网络设备的物理保护。
(6)检验网络平台系统的脆弱性。
(7)建立可靠的识别和鉴别机制。
(二)保护应用安全。
保护应用安全,主要是针对特定应用(如Web服务器、网络支付专用软件系统)所建立的安全防护措施,它独立于网络的任何其他安全防护措施。虽然有些防护措施可能是网络安全业务的一种替代或重叠,如Web浏览器和Web服务器在应用层上对网络支付结算信息包的加密,都通过IP层加密,但是许多应用还有自己的特定安全要求。
由于电子商务中的应用层对安全的要求最严格、最复杂,因此更倾向于在应用层而不是在网络层采取各种安全措施。
虽然网络层上的安全仍有其特定地位,但是人们不能完全依靠它来解决电子商务应用的安全性。应用层上的安全业务可以涉及认证、访问控制、机密性、数据完整性、不可否认性、Web安全性、EDI和网络支付等应用的安全性。
(三)保护系统安全。
保护系统安全,是指从整体电子商务系统或网络支付系统的角度进行安全防护,它与网络系统硬件平台、操作系统、各种应用软件等互相关联。涉及网络支付结算的系统安全包含下述一些措施:
(1)在安装的软件中,如浏览器软件、电子钱包软件、支付网关软件等,检查和确认未知的安全漏洞。
(2)技术与管理相结合,使系统具有最小穿透风险性。如通过诸多认证才允许连通,对所有接入数据必须进行审计,对系统用户进行严格安全管理。
(3)建立详细的安全审计日志,以便检测并跟踪入侵攻击等。
2.商务交易安全措施
商务交易安全则紧紧围绕传统商务在互联网络上应用时产生的各种安全问题,在计算机网络安全的基础上,如何保障电子商务过程的顺利进行。
各种商务交易安全服务都是通过安全技术来实现的,主要包括加密技术、认证技术和电子商务安全协议等。
(一)加密技术。
加密技术是电子商务采取的基本安全措施,交易双方可根据需要在信息交换的阶段使用。加密技术分为两类,即对称加密和非对称加密。
(1)对称加密。
对称加密又称私钥加密,即信息的发送方和接收方用同一个密钥去加密和解密数据。它的最大优势是加/解密速度快,适合于对大数据量进行加密,但密钥管理困难。如果进行通信的双方能够确保专用密钥在密钥交换阶段未曾泄露,那么机密性和报文完整性就可以通过这种加密方法加密机密信息、随报文一起发送报文摘要或报文散列值来实现。
(2)非对称加密。
非对称加密又称公钥加密,使用一对密钥来分别完成加密和解密操作,其中一个公开发布(即公钥),另一个由用户自己秘密保存(即私钥)。信息交换的过程是:甲方生成一对密钥并将其中的一把作为公钥向其他交易方公开,得到该公钥的乙方使用该密钥对信息进行加密后再发送给甲方,甲方再用自己保存的私钥对加密信息进行解密。
(二)认证技术。
认证技术是用电子手段证明发送者和接收者身份及其文件完整性的技术,即确认双方的身份信息在传送或存储过程中未被篡改过。
(1)数字签名。
数字签名也称电子签名,如同出示手写签名一样,能起到电子文件认证、核准和生效的作用。其实现方式是把散列函数和公开密钥算法结合起来,发送方从报文文本中生成一个散列值,并用自己的私钥对这个散列值进行加密,形成发送方的数字签名;然后,将这个数字签名作为报文的附件和报文一起发送给报文的接收方;报文的接收方首先从接收到的原始报文中计算出散列值,接着再用发送方的公开密钥来对报文附加的数字签名进行解密;如果这两个散列值相同,那么接收方就能确认该数字签名是发送方的。数字签名机制提供了一种鉴别方法,以解决伪造、抵赖、冒充、篡改等问题。
(2)数字证书。
数字证书是一个经证书授权中心数字签名的包含公钥拥有者信息以及公钥的文件数字证书的最主要构成包括一个用户公钥,加上密钥所有者的用户身份标识符,以及被信任的第三方签名第三方一般是用户信任的证书权威机构(CA),如政府部门和金融机构。用户以安全的方式向公钥证书权威机构提交他的公钥并得到证书,然后用户就可以公开这个证书。任何需要用户公钥的人都可以得到此证书,并通过相关的信任签名来验证公钥的有效性。数字证书通过标志交易各方身份信息的一系列数据,提供了一种验证各自身份的方式,用户可以用它来识别对方的身份。
(三)电子商务的安全协议。
除上文提到的各种安全技术之外,电子商务的运行还有一套完整的安全协议。比较成熟的协议有SET、SSL等。
(1)安全套接层协议SSL。
SSL协议位于传输层和应用层之间,由SSL记录协议、SSL握手协议和SSL警报协议组成的。SSL握手协议被用来在客户与服务器真正传输应用层数据之前建立安全机制。当客户与服务器第一次通信时,双方通过握手协议在版本号、密钥交换算法、数据加密算法和Hash算法上达成一致,然后互相验证对方身份,最后使用协商好的密钥交换算法产生一个只有双方知道的秘密信息,客户和服务器各自根据此秘密信息产生数据加密算法和Hash算法参数。SSL记录协议根据SSL握手协议协商的参数,对应用层送来的数据进行加密、压缩、计算消息鉴别码MAC,然后经网络传输层发送给对方。SSL警报协议用来在客户和服务器之间传递SSL出错信息。
(2)安全电子交易协议SET。
SET协议用于划分与界定电子商务活动中消费者、网上商家、交易双方银行、信用卡组织之间的权利义务关系,给定交易信息传送流程标准。SET主要由三个文件组成,分别是SET业务描述、SET程序员指南和SET协议描述。SET协议保证了电子商务系统的机密性、数据的完整性、身份的合法性。
SET协议是专为电子商务系统设计的。它位于应用层,其认证体系十分完善,能实现多方认证。在SET的实现中,消费者帐户信息对商家来说是保密的。但是SET协议十分复杂,交易数据需进行多次验证,用到多个密钥以及多次加密解密。而且在SET协议中除消费者与商家外,还有发卡行、收单行、认证中心、支付网关等其它参与者。

② 信息网络安全的安全策略

信息网络运行部门的安全管理工作应首先研究确定信息网络安全策略,安全策略确定网络安全保护工作的目标和对象。信息网络安全策略涵盖面很多,如总体安全策略、网络安全策略、应用系统安全策略、部门安全策略、设备安全策略等。一个信息网络的总体安全策略,可以概括为“实体可信,行为可控,资源可管,事件可查,运行可靠”,总体安全策略为其它安全策略的制定提供总的依据。
1. 实体可信:实体指构成信息网络的基本要素,主要有网络基础设备,如防火墙、VPN等;软件系统,如Windows7/8系统、UniNAC网络准入系统等;及用户和数据。保证构建网络的基础设备和软件系统安全可信,没有预留后门或逻辑炸弹。保证接入网络的用户是可信的,防止恶意用户对系统的攻击破坏。保证在网络上传输、处理、存储的数据是可信的,防止搭线窃听,非授权访问或恶意篡改。
2. 行为可控:保证用户行为可控,即保证本地计算机的各种软硬件资源 ( 例如:内存、中断、 I / O 端口、硬盘等硬件设备,文件、目录、进程、系统调用等软件资源 ) 不被非授权使用或被用于危害本系统或其它系统的安全。保证网络接入可控,即保证用户接入网络应严格受控,用户上网必须得到申请登记并许可。保证网络行为可控,即保证网络上的通信行为受到监视和控制,防止滥用资源、非法外联、网络攻击、非法访问和传播有害信息等恶意事件的发生。
3. 资源可管:保证对路由器、交换机、服务器、邮件系统、目录系统、数据库、域名系统、安全设备、密码设备、密钥参数、交换机端口、 IP 地址、用户账号、服务端口等网络资源进行统一管理。
4. 事件可查:保证对网络上的各类违规事件进行监控记录,确保日志记录的完整性,为安全事件稽查、取证提供依据。
5. 运行可靠:保证网络节点在发生自然灾难或遭到硬摧毁时仍能不间断运行,具有容灾抗毁和备份恢复能力。保证能够有效防范病毒和黑客的攻击所引起的网络拥塞、系统崩溃和数据丢失,并具有较强的应急响应和灾难恢复能力。

③ 如何保证自身的网络安全

如何保证自身的网络安全

如何保证自身的网络安全,网络安全是我们广大人民群众的利益有很大的关系,网络安全也是现在社会非常重要的一点,现在全球信息化的发展,网络安全是非常重要的,那么,如何保证自身的网络安全呢?我带你学习一下网络安全知识吧!

如何保证自身的网络安全1

1、硬件安全

网络安全的防护中,硬件安全就是最基础的也就是最简单的。定时检查网络安全以防链路的老化,人为破坏,被动物咬断。及时修复网络设备自身故障。常见的硬件安全保障措施主要有使用UPS电源,以确保网络能够以持续的电压运行;防雷、防水、防火、防盗、防电磁干扰及对存储媒体的安全防护。

2、系统安全

网络设备应使用大小写字母与数字以及特殊符号混合的密码,且安装防病毒软件并及时对系统补丁进行更新,对于不必要的服务及权限尽可能的关闭,对于外来的存储介质一定要先进行病毒查杀后再使用,对于已中病毒或者木马的计算机应该迅速切断网络并进行病毒查杀,必要时重新安装操作系统。

3、防御系统及备份恢复系统

防火墙就是网络安全领域首要的、基础的设备,它对维护内部网络的安全起着重要的作用。利用防火墙可以有效地划分网络不同安全级别区域间的边界,并在边界上对不同区域间的访问实施访问控制、身份鉴别与审计等安全功能。入侵检测就是防火墙的合理补充,能帮助系统对付网络攻击,提高了信息安全基础结构的完整性。入侵检测系统(IPS)就是一种主动保护网络资源的网络安全系统,它从计算机网络中的关键点收集信息,并进行分析,查瞧网络中就是否有违反安全策略的行为与受到攻击的迹象。建立网络监控与恢复系统能够在系统受到攻击时具备继续完成既定任务的能力,可及时发现入侵行为并做出快速、准确的响应,预防同类事件的再发生。在灾难发生后,使用完善的备份机制确保内容的可恢复性,将损失降至最低。

如何保证自身的网络安全2

1、网上注册内容时不要填写个人私密信息

尽可能少地暴露自己的用户信息。

2、尽量远离社交平台涉及的互动类活动

很多社交平台,会要求或是需要填写个人信息,实质上却获取了大量的用户信息,遇到那些奔着个人隐私信息去的没有实质性意义的活动,建议能不参加就不要参与。

3、定期安装或者更新病毒防护软件

不管是计算机还是智能手机,用户经常面临不小心点击一个链接或是下载了一个文件就被不法分子攻破个人账户信息的情况,安装防病毒软件进行病毒防护和病毒查杀成为设备使用时的必要手段。

4、不要在公众场所连接未知的WiFi账号

现在公共场所有些免费WiFi供用户连接使用,有些是为人们提供便利而专门设置的,享受便利的同时也不能忽视不法分子利用公共场所设置钓鱼WiFi的可能,一旦连接到犯罪份子设置的钓鱼WiFi,用户所使用的电子设备就容易被反扫描,而如果在使用过程中输入账号密码等信息,就会被对方获得。这一点就提醒广大用户在公众场所尽量不要去连接免费WiFi,以防个人信息的泄露。

5、警惕手机诈骗短信及电话

现在利用短信骗取手机用户的信息的诈骗事件屡见不鲜。这就提醒用户需要特别注意犯罪份子可能通过手机进行财产诈骗的可能。当面对手机短信里的`手机账户异常、银行账户异常、银行系统升级等信息,有可能是骗子利用伪基站发送的诈骗信息。遇到这种短信不要管它,或是联系官方工作人员,询问具体情况,验证真伪。

6、妥善处理好涉及到个人信息的单据

较为常见的涉及个人信息的单据就是快递单,上面一般会有手机号码、地址等个人信息,而一些消费小票上也包含部分姓名、银行卡号、消费记录等信息,这些单据的不妥善处理也会造成个人信息泄露等问题,因此对于已经废弃掉的单据,需要及时进行妥善处置。

如何保证自身的网络安全3

产生网络安全的问题的几个因素

1、信息网络安全技术的发展滞后于信息网络技术

网络技术的发展可以说就是日新月异,新技术、新产品层出不穷,但就是这些投入对产品本身的安全性来说,进展不大,有的还在延续第一代产品的安全技术,以Cisco的路由器为例,其低端路由产品从Cisco2500系列到7500系列,其密码加密算法基本一致,仅仅就是将数据吞吐能力及数据交换速率提高数倍。还有IPS防御系统等,考虑到经济预算、实际要求等并未采用安全性能最好的产品,从而在硬件条件上落后于网络黑客技术的更新。

2、操作系统及IT业务系统本身的安全性

来自Internet的邮件夹带的病毒及Web浏览可能存在的恶意Java/ActiveX控件目前流行的许多操作系统均存在网络安全漏洞,还有许多数据库软件、office办公软件等都存在系统漏洞,这些漏洞都能为黑客侵入系统所用。而来自外部网络的病毒邮件及web恶意插件主要就是就是伪装官方邮件或者网站,从而达到利用计算机网络作为自己繁殖与传播的载体及工具。企业很多计算机用户并不太懂电脑的安全使用,安全意识缺乏,计算机系统漏洞不及时修复,计算机密码不经常修改且未符合策略要求,下班后未关闭计算机,这都为网络安全留下了隐患。

3、来自内部网用户的安全威胁

以及物理环境安全威胁来自内部用户的安全威胁远大于外部网用户的安全威胁,特别就是一些安装了防火墙的网络系统,对内部网用户来说一点作用也没有。再强大的入侵防御系统对于自然灾害、人为破坏都就是无可奈何的。

4、缺乏有效的手段监视、评估网络系统的安全性

完整准确的安全评估就是网络安全防范体系的基础。它对现有或将要构建的整个网络的安全防护性能作出科学、准确的分析评估,并保障将要实施的安全策略技术上的可实现性、经济上的可行性与组织上的可执行性。

④ 主动网络的安全体系模型

主动网络中包含许多由各种可能的网络技术连接起来的网络节点,这些网络 节点并不一定都是主动节点。体系结构从宏观上分为三层,由碰历节点操作系统(Node OS)执行环境和主动应用主要构件组成,Node OS的功能是主动节点中的通信带宽处理机能Node OS力,以及存储空间等本地资源向其上层的EE提供可供调用的接口,包括输入输出信道软状态存储、安全策略数据库以及安全强制引擎Security Enforcement Engine,EE EE利用Node OS向其提供节点资源的调用接口,再向AA提供相对独立的执行环境的编程接口,一个Node OS中可以有多个EE类似于Java的接口。语言的虚拟机这些EE相对隔离构成一个个相对安全的执行环境,这样既可以限制每个EE对节点资源的使用,从而 保证多个节点资源可以公平地使用节点资源又能隔离每个EE的处理防范。由于某个主动分组无意或恶意地过多使用网络节点资源而妨碍主动节点的正常运行。
(一)ANSA安全体系
ANSA是IETF安全工作小组建议的主动网络安全体系结构。在ANSA体系结构中定义了一个基本 的安全角色—主体。它泛指任何网络操作行为的发起者,如:某个人某个团体或团体中的某个成员等。ANSA将主动网络中的安全问题分为两类:端到端 (End-to-End)安全和逐跳(Hop-by-Hop)安全,ANSA建议所有的逐跳安全和绝大部分端到端安全在节点操作系统层实现。其优点是所斗知有 的EE操作都经过统一的安全检查;其缺点是在目前基于类UNIX通用操作系统的主动网实验平台上加载安全机制,并需要修改操作系统内核,这显然大大增加了 主动网安全机制开发的难度。
(二)ABone安全体系
ABone是由DARPA资助的在Internet上供研究用的一个主动网实验平台。在功能上对等于IPv6网 络的实验平台6Bone。有了ABone人们就可以在全球范围内借助Internet开展主动网的研究工作。ABone支持两种可执行环境EE:ANTS 和ASP。目前加入ABone的节点己遍布于世界各地,基于Abone的主动网安全性研究非常活跃。绝大多数Abone的节点操作系统都为类UNIX操作 系统, Abone将主动网中笑销搜的安全问题主要划分为以下两类:
1、非法的主动分组对主动节点上合法的AA带来的安全隐患。
2、恶意的AA对主动节点上的EE和节点操作系统的危害。Abone建议逐跳安全可以在EE中实现也可以在网络守护进程(netiod)中实现,端到端安全则在EE中实现。其优点是实施安全机制不需修改操作系统内核;缺点是需要在每个EE中分别实现安全机制。
总之,主动网络与传统网络相比,具有无法比拟的灵活性和开放性,但这些优势也使得主动网络的安全问题变得更加棘手。本文在对主动网络定义阐述的基础上,提出了主动网络安全体系结构模型,并对模型的功能进行了描述,设计了系列基于AN的网络故障管理技术的基本实现方法。

⑤ 主动网络的安全威胁

(一)主动节点面临的安全威胁
主动节点希望保护自己的资源,不希望未经过授权的主动分组使用自己的节点资源,确保自己所提供的服 务具有可获得性,保护自己节点状态的完整性和保护自己状态反对未授权暴露。主动节点可能感觉受到的威胁来自执行环境,因为执行环境会消耗主动节点资源或更 改节点状态参数等。作为主动节点必须能够安全有效地管理自己资源,以便分配给经过授权的主动代码使用,为主动应用提供服务此外主动节饥绝点必须能够识别邻居节 点,这样能够确保将主动报文传送到可信任的相邻主动节点上。为了满足以上这些安全要求,主动网络应当采用下面方式来保障主动节点安全:(1)主动网络应当 采用有效的安全机制保证主动节点安全;(2)主动节点执行主动代码时候必须能够对其发行者进行身份认证,并执行一种存取控制来实现其资源操作和安全控制; (3)由于主动节点中的执行环境需要安装主动代码、执行主动代码等操作,因此主动节点应当有安全审计功能来实时监视主动节点系统以及主动应用程序的运行状 态,发现威胁时,能够及时终止主动代码的执行并且保留不可抵赖和不可磨灭的记录。
(二)执行环境面临的安全威桥肢斗胁
执行环境感觉其受到的威胁可能来自其它的执行环境、来自主动分组或者来自主动代码。因为在一个主动 节点中可能存在着多个执行环境,如果其中一个执行环境过多的消耗主动节点资源,那么必然对其它执行环境的运行造成损害。同样一个恶意的主动代码敏磨在执行环境 中运行的时候,该恶意主动代码可能更改执行环境参数、超额消耗执行环境所授权使用的资源、进行执行环境所未授权的存取控制操作,导致执行环境不能有效的或 正确的为其它主动代码提供服务。
(三)主动分组面临的安全威胁
主动代码可能向主动节点发出存取控制操作请求,其目的是为了处理和传送;主动代码可能向主动节点发 出存取请求,其目的是为了取得服务;主动代码也可能请求存取一个主动分组,其目的是为了处理或删除和更改这个分组,这些意味着主动代码应当能够识别它所想 处理的主动分组。一个主动节点可能对主动代码进行存取、检索更改或终止;主动分组需要保护自己数据没有经过未授权而被窃取或更改,保护自己的服务防止未授 权使用,保护自己的资源防止未授权使用。主动代码感觉受到的威胁主要来自其它主动分组、其它主动代码、来自执行环境和节点,它能保护自己防止其它主动代码 对其造成的安全危害,但是它不能保护自己防止受到执行环境和主动节点的安全威胁,因为主动代码不得不在执行环境和主动节点中运行。主动代码所能做的是保护 自己确保它没有被传送到不信任的节点和执行环境上。主动分组应当不相互干涉,一些分组将基于下面几个标准安装新的代码和进行存取控制:(1)授权分组创始 人允许安装新的代码;(2)代码被证明非干涉;(3)代码仅允许执行通过认证的创始动作;(4)代码被证明有边际影响,但仅影响信任使用者的代码。
(四)用户面临的安全威胁
用户或源节点希望保护自己主动分组中的传输数据和代码,确保主动分组中数据和代码的完整性和机密 性。因为其它非法或恶意的用户主动代码可能通过在主动节点上运行来查看其主动分组的数据、代码和运行状态等,所以主动应用用户会感觉威胁来自其它用户的主 动代码或主动分组:主动应用用户还把执行环境和节点看作威胁源,因为防止未授权的主动节点查看和修改其主动分组的数据、代码和运行的状态。

⑥ 如何保证网络安全

上网几乎是天天都要做的事情,网络安全很重要,如何才能确保上网安全,与你分享几招。

⑦ 简述网络安全策略的概念及制定安全策略的原则

网络的安全策略1.引言

随着计算机网络的不断发展,全球信息化已成为人类发展的大趋势。但由于计算机网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互连性等特征,致使网络易受黑客、怪客、恶意软件和其他不轨的攻击,所以网上信息的安全和保密是一个至关重要的问题。对于军用的自动化指挥网络、C3I系统和银行等传输敏感数据的计算机网络系统而言,其网上信息的安全和保密尤为重要。因此,上述的网络必须有足够强的安全措施,否则该网络将是个无用、甚至会危及国家安全的网络。无论是在局域网还是在广域网中,都存在着自然和人为等诸多因素的脆弱性和潜在威胁。故此,网络的安全措施应是能全方位地针对各种不同的威胁和脆弱性,这样才能确保网络信息的保密性、完整性和可用性。

2.计算网络面临的威胁

计算机网络所面临的威胁大体可分为两种:一是对网络中信息的威胁;二是对网络中设备的威胁。影响计算机网络的因素很多,有些因素可能是有意的,也可能是无意的;可能是人为的,也可能是非人为的;可能是外来黑客对网络系统资源的非法使有,归结起来,针对网络安全的威胁主要有三:

(1)人为的无意失误:如操作员安全配置不当造成的安全漏洞,用户安全意识不强,用户口令选择不慎,用户将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁。

(2)人为的恶意攻击:这是计算机网络所面临的最大威胁,敌手的攻击和计算机犯罪就属于这一类。此类攻击又可以分为以下两种:一种是主动攻击,它以各种方式有选择地破坏信息的有效性和完整性;另一类是被动攻击,它是在不影响网络正常工作的情况下,进行截获、窃取、破译以获得重要机密信息。这两种攻击均可对计算机网络造成极大的危害,并导致机密数据的泄漏。

(3)网络软件的漏洞和“后门”:网络软件不可能是百分之百的无缺陷和无漏洞的,然而,这些漏洞和缺陷恰恰是黑客进行攻击的首选目标,曾经出现过的黑客攻入网络内部的事件,这些事件的大部分就是因为安全措施不完善所招致的苦果。另外,软件的“后门”都是软件公司的设计编程人员为了自便而设置的,一般不为外人所知,但一旦“后门”洞开,其造成的后果将不堪设想。

3.计算机网络的安全策略

3.1 物理安全策略

物理安全策略的目的是保护计算机系统、网络服务器、打印机等硬件实体和通信链路免受自然灾害、人为破坏和搭线攻击;验证用户的身份和使用权限、防止用户越权操作;确保计算机系统有一个良好的电磁兼容工作环境;建立完备的安全管理制度,防止非法进入计算机控制室和各种偷窃、破坏活动的发生。

抑制和防止电磁泄漏(即TEMPEST技术)是物理安全策略的一个主要问题。目前主要防护措施有两类:一类是对传导发射的防护,主要采取对电源线和信号线加装性能良好的滤波器,减小传输阻抗和导线间的交叉耦合。另一类是对辐射的防护,这类防护措施又可分为以下两种:一是采用各种电磁屏蔽措施,如对设备的金属屏蔽和各种接插件的屏蔽,同时对机房的下水管、暖气管和金属门窗进行屏蔽和隔离;二是干扰的防护措施,即在计算机系统工作的同时,利用干扰装置产生一种与计算机系统辐射相关的伪噪声向空间辐射来掩盖计算机系统的工作频率和信息特征。

3.2 访问控制策略

访问控制是网络安全防范和保护的主要策略,它的主要任务是保证网络资源不被非法使用和非常访问。它也是维护网络系统安全、保护网络资源的重要手段。各种安全策略必须相互配合才能真正起到保护作用,但访问控制可以说是保证网络安全最重要的核心策略之一。下面我们分述各种访问控制策略。 3.2.1 入网访问控制

入网访问控制为网络访问提供了第一层访问控制。它控制哪些用户能够登录到服务器并获取网络资源,控制准许用户入网的时间和准许他们在哪台工作站入网。

用户的入网访问控制可分为三个步骤:用户名的识别与验证、用户口令的识别与验证、用户帐号的缺省限制检查。三道关卡中只要任何一关未过,该用户便不能进入该网络。

对网络用户的用户名和口令进行验证是防止非法访问的第一道防线。用户注册时首先输入用户名和口令,服务器将验证所输入的用户名是否合法。如果验证合法,才继续验证用户输入的口令,否则,用户将被拒之网络之外。用户的口令是用户入网的关键所在。为保证口令的安全性,用户口令不能显示在显示屏上,口令长度应不少于6个字符,口令字符最好是数字、字母和其他字符的混合,用户口令必须经过加密,加密的方法很多,其中最常见的方法有:基于单向函数的口令加密,基于测试模式的口令加密,基于公钥加密方案的口令加密,基于平方剩余的口令加密,基于多项式共享的口令加密,基于数字签名方案的口令加密等。经过上述方法加密的口令,即使是系统管理员也难以得到它。用户还可采用一次性用户口令,也可用便携式验证器(如智能卡)来验证用户的身份。

网络管理员应该可以控制和限制普通用户的帐号使用、访问网络的时间、方式。用户名或用户帐号是所有计算机系统中最基本的安全角式。用户帐号应只有系统管理员才能建立。用户口令应是每用户访问网络所必须提交的“证件”、用户可以修改自己的口令,但系统管理员应该可以控制口令的以下几个方面的限制:最小口令长度、强制修改口令的时间间隔、口令的唯一性、口令过期失效后允许入网的宽限次数。

用户名和口令验证有效之后,再进一步履行用户帐号的缺省限制检查。网络应能控制用户登录入网的站点、限制用户入网的时间、限制用户入网的工作站数量。当用户对交费网络的访问“资费”用尽时,网络还应能对用户的帐号加以限制,用户此时应无法进入网络访问网络资源。网络应对所有用户的访问进行审计。如果多次输入口令不正确,则认为是非法用户的入侵,应给出报警信息。

3.2.2 网络的权限控制

网络的权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。可以指定用户对这些文件、目录、设备能够执行哪些操作。受托者指派和继承权限屏蔽(IRM)可作为其两种实现方式。受托者指派控制用户和用户组如何使用网络服务器的目录、文件和设备。继承权限屏蔽相当于一个过滤器,可以限制子目录从父目录那里继承哪些权限。我们可以根据访问权限将用户分为以下几类:(1)特殊用户(即系统管理员);(2)一般用户,系统管理员根据他们的实际需要为他们分配操作权限;(3)审计用户,负责网络的安全控制与资源使用情况的审计。用户对网络资源的访问权限可以用一个访问控制表来描述。

3.2.3 目录级安全控制

网络应允许控制用户对目录、文件、设备的访问。用户在目录一级指定的权限对所有文件和子目录有效,用户还可进一步指定对目录下的子目录和文件的权限。对目录和文件的访问权限一般有八种:系统管理员权限(Supervisor)、读权限(Read)、写权限(Write)、创建权限(Create)、删除权限(Erase)、修改权限(Modify)、文件查找权限(File Scan)、存取控制权限(Access Control)。用户对文件或目标的有效权限取决于以下二个因素:用户的受托者指派、用户所在组的受托者指派、继承权限屏蔽取消的用户权限。一个网络系统管理员应当为用户指定适当的访问权限,这些访问权限控制着用户对服务器的访问。八种访问权限的有效组合可以让用户有效地完成工作,同时又能有效地控制用户对服务器资源的访问 ,从而加强了网络和服务器的安全性。

3.2.4 属性安全控制

当用文件、目录和网络设备时,网络系统管理员应给文件、目录等指定访问属性。属性安全控制可以将给定的属性与网络服务器的文件、目录和网络设备联系起来。属性安全在权限安全的基础上提供更进一步的安全性。网络上的资源都应预先标出一组安全属性。用户对网络资源的访问权限对应一张访问控制表,用以表明用户对网络资源的访问能力。属性设置可以覆盖已经指定的任何受托者指派和有效权限。属性往往能控制以下几个方面的权限:向某个文件写数据、拷贝一个文件、删除目录或文件、查看目录和文件、执行文件、隐含文件、共享、系统属性等。网络的属性可以保护重要的目录和文件,防止用户对目录和文件的误删除、、执行修改、显示等。

3.2.5 网络服务器安全控制

网络允许在服务器控制台上执行一系列操作。用户使用控制台可以装载和卸载模块,可以安装和删除软件等操作。网络服务器的安全控制包括可以设置口令锁定服务器控制台,以防止非法用户修改、删除重要信息或破坏数据;可以设定服务器登录时间限制、非法访问者检测和关闭的时间间隔。

3.2.6 网络监测和锁定控制

网络管理员应对网络实施监控,服务器应记录用户对网络资源的访问,对非法的网络访问,服务器应以图形或文字或声音等形式报警,以引起网络管理员的注意。如果不法之徒试图进入网络,网络服务器应会自动记录企图尝试进入网络的次数,如果非法访问的次数达到设定数值,那么该帐户将被自动锁定。

3.2.7 网络端口和节点的安全控制

网络中服务器的端口往往使用自动回呼设备、静默调制解调器加以保护,并以加密的形式来识别节点的身份。自动回呼设备用于防止假冒合法用户,静默调制解调器用以防范黑客的自动拨号程序对计算机进行攻击。网络还常对服务器端和用户端采取控制,用户必须携带证实身份的验证器(如智能卡、磁卡、安全密码发生器)。在对用户的身份进行验证之后,才允许用户进入用户端。然后,用户端和服务器端再进行相互验证。

3.2.8 防火墙控制

防火墙是近期发展起来的一种保护计算机网络安全的技术性措施,它是一个用以阻止网络中的黑客访问某个机构网络的屏障,也可称之为控制进/出两个方向通信的门槛。在网络边界上通过建立起来的相应网络通信监控系统来隔离内部和外部网络,以阻档外部网络的侵入。目前的防火墙主要有以下三种类型;

(1)包过滤防火墙:包过滤防火墙设置在网络层,可以在路由器上实现包过滤。首先应建立一定数量的信息过滤表,信息过滤表是以其收到的数据包头信息为基础而建成的。信息包头含有数据包源IP地址、目的IP地址、传输协议类型(TCP、UDP、ICMP等)、协议源端口号、协议目的端口号、连接请求方向、ICMP报文类型等。当一个数据包满足过滤表中的规则时,则允许数据包通过,否则禁止通过。这种防火墙可以用于禁止外部不合法用户对内部的访问,也可以用来禁止访问某些服务类型。但包过滤技术不能识别有危险的信息包,无法实施对应用级协议的处理,也无法处理UDP、RPC或动态的协议。

(2)代理防火墙:代理防火墙又称应用层网关级防火墙,它由代理服务器和过滤路由器组成,是目前较流行的一种防火墙。它将过滤路由器和软件代理技术结合在一起。过滤路由器负责网络互连,并对数据进行严格选择,然后将筛选过的数据传送给代理服务器。代理服务器起到外部网络申请访问内部网络的中间转接作用,其功能类似于一个数据转发器,它主要控制哪些用户能访问哪些服务类型。当外部网络向内部网络申请某种网络服务时,代理服务器接受申请,然后它根据其服务类型、服务内容、被服务的对象、服务者申请的时间、申请者的域名范围等来决定是否接受此项服务,如果接受,它就向内部网络转发这项请求。代理防火墙无法快速支持一些新出现的业务(如多媒体)。现要较为流行的代理服务器软件是WinGate和Proxy Server。

(3)双穴主机防火墙:该防火墙是用主机来执行安全控制功能。一台双穴主机配有多个网卡,分别连接不同的网络。双穴主机从一个网络收集数据,并且有选择地把它发送到另一个网络上。网络服务由双穴主机上的服务代理来提供。内部网和外部网的用户可通过双穴主机的共享数据区传递数据,从而保护了内部网络不被非法访问。

4.信息加密策略

信息加密的目的是保护网内的数据、文件、口令和控制信息,保护网上传输的数据。网络加密常用的方法有链路加密、端点加密和节点加密三种。链路加密的目的是保护网络节点之间的链路信息安全;端-端加密的目的是对源端用户到目的端用户的数据提供保护;节点加密的目的是对源节点到目的节点之间的传输链路提供保护。用户可根据网络情况酌情选择上述加密方式。

信息加密过程是由形形 色色的加密算法来具体实施,它以很小的代价提供很大的安全保护。在多数情况下,信息加密是保证信息机密性的唯一方法。据不完全统计,到目前为止,已经公开发表的各种加密算法多达数百种。如果按照收发双方密钥是否相同来分类,可以将这些加密算法分为常规密码算法和公钥密码算法。

在常规密码中,收信方和发信方使用相同的密钥,即加密密钥和解密密钥是相同或等价的。比较着名的常规密码算法有:美国的DES及其各种变形,比如Triple DES、GDES、New DES和DES的前身Lucifer; 欧洲的IDEA;日本的FEAL-N、LOKI-91、Skipjack、RC4、RC5以及以代换密码和转轮密码为代表的古典密码等。在众多的常规密码中影响最大的是DES密码。

常规密码的优点是有很强的保密强度,且经受住时间的检验和攻击,但其密钥必须通过安全的途径传送。因此,其密钥管理成为系统安全的重要因素。

在公钥密码中,收信方和发信方使用的密钥互不相同,而且几乎不可能从加密密钥推导出解密密钥。比较着名的公钥密码算法有:RSA、背包密码、McEliece密码、Diffe-Hellman、Rabin、Ong-Fiat-Shamir、零知识证明的算法、椭园曲线、EIGamal算法等等。最有影响的公钥密码算法是RSA,它能抵抗到目前为止已知的所有密码攻击。

公钥密码的优点是可以适应网络的开放性要求,且密钥管理问题也较为简单,尤其可方便的实现数字签名和验证。但其算法复杂。加密数据的速率较低。尽管如此,随着现代电子技术和密码技术的发展,公钥密码算法将是一种很有前途的网络安全加密体制。

当然在实际应用中人们通常将常规密码和公钥密码结合在一起使用,比如:利用DES或者IDEA来加密信息,而采用RSA来传递会话密钥。如果按照每次加密所处理的比特来分类,可以将加密算法分为序列密码和分组密码。前者每次只加密一个比特而后者则先将信息序列分组,每次处理一个组。 密码技术是网络安全最有效的技术之一。一个加密网络,不但可以防止非授权用户的搭线窃听和入网,而且也是对付恶意软件的有效方法之一。

5. 网络安全管理策略

在网络安全中,除了采用上述技术措施之外,加强网络的安全管理,制定有关规章制度,对于确保网络的安全、可靠地运行,将起到十分有效的作用。

网络的安全管理策略包括:确定安全管理等级和安全管理范围;制订有关网络操作使用规程和人员出入机房管理制度;制定网络系统的维护制度和应急措施等。

6. 结束语

随着计算机技术和通信技术的发展,计算机网络将日益成为工业、农业和国防等方面的重要信息交换手段,渗透到社会生活的各个领域。因此,认清网络的脆弱性和潜在威胁,采取强有力的安全策略,对于保障网络的安全性将变得十分重要。

⑧ 我国目前应该采取哪些措施来解决网络安全问题

取“混合”防御措施解决网络安全问题

如果对一名企业的CIO说:包括贵公司在内的大多数企业的网络安全机制不堪一击。他会是什么表情?

不幸的是,这是正在发生的事实。尽管企业已经竭尽所能采取相应的防护措施,安全预算占到整个IT投资的重要比例,攻击仍然频繁发生。在美国联邦调查局进行的调查中,美国87%的公司和个人的计算机在2005年发生过安全事故,发生3次安全事故以上的企业占总数的一半以上。

安全投资不断增加,但事故依旧频仍,似乎企业所部署的安全级别总是难以追上它们所承受的实际风险。按照安全专家的解释来说就是“木桶原理”—也许企业选择了最好的安全产品,但如果在安全策略上存在漏洞的话,安全产品的性能将会大打折扣。《2005 年全球信息安全调查》也显示,企业将其安全预算的50% 用于“日常操作和事故响应”,仅将17% 的预算用于完成“更关键的战略项目”。

小时候看武侠片,一种叫铁布衫的功夫让人心驰神往—任凭对手脚打拳踢,刀枪不入,没事人似的。如今,让CIO们头疼的是—怎样才能给网络也穿上一层刀枪不入的铁布衫?

这需要追溯到攻击产生源头—黑客。目前,日益成熟的黑客工具包、恶意软件构造模块化正在导致威胁数量与日俱增,从发现新漏洞到发起针对该漏洞的特定攻击之间的时间大大缩短。

就实际情况而言,这段时间在2004年平均是每30天,而在 2005 年上半年迅速缩短为6天。攻击行为的产生已经比大多数机构为漏洞打补丁的反应快得多,这样,企业网关不能仅仅依靠传统的攻击特征检测技术来抵御新的威胁。

黑客攻击手法的变化大大改变了网络安全的部署方式。首先,利用管理补丁程序进行防御的效果微乎其微,因为提供补丁程序的速度远远低于发起攻击的速度。其次,防病毒和入侵检测产品不能及时更新,无法在攻击的早期阶段提供防御,需要能主动阻止威胁在整个网络蔓延的安全解决方案。最后,除主动应对外,还需要在企业防线中引入更多的检测机制,包括提高应用程序层可见性的检测机制。总之,由于现代威胁越来越难以应对,也就需要采取“混合”防御措施来织就企业安全的“铁布衫”。

网络安全问题已经超越了简单的策略,它不仅仅局限在某个点运用某项技术解决某个特定的威胁,而是需要以网络安全技术为基础的整合网关产品,并且能兼顾企业跨厂商、跨平台、跨产品的要求。

从这个角度,全面的网关解决方案应该具有以下特点:主动(能够防御未知威胁)、全面(将所有企业内外的攻击源头阻挡在外)、高效(经济实惠)。对赛门铁克来说,这不仅仅是一个概念,而是立即可以部署的实际解决方案——网络安全解决方案 (Symantec Network Security,SNS)和网关安全解决方案 (Symantec Gateway Security,SGS)。

SNS提供实时内嵌网络入侵预防和检测,可以阻止网络周边环境以及内网的威胁,帮助各组织防范蠕虫、恶意攻击和复杂的多变体攻击。SGS则整合了防火墙、入侵防护、入侵检测、防病毒、内容过滤、VPN以及反垃圾邮件等多项技术。借助遍布180多个国家的20000 多个事件传感器,赛门铁克响应中心可以对新产生的威胁和漏洞趋势做出广泛而迅速的洞察。

另外,SGS与SNS都可以通过赛门铁克企业信息安全架构(Symantec Enterprise Security Architecture)下的外挂程序,提供集中式管理;或者同各种网络管理框架(如HP OpenView和IBM Tivoli)进行集成。企业可以利用企业级事件的日志记录和报告功能,评估安全基础架构的整体有效性,实现运营目标,以及在企业内部发布安全信息。(

⑨ 青少年如何防范网络安全问题

1.培养健康的网络心态树立正确的价值观和明确的理想目标,树立正确的价值观有利于青少年选择和接收互联网上的复杂信息,学会用科学的手段对信息进行筛选,提高自身抵御不良信息污染的能力。也要辩证地认识网络,养成良好的上网习惯,面对网络的青少年应该有一个强烈的自我控制能力,学会抵制各种不良诱惑,积极接受学校的网络知识教育,并利用网络的积极因素抵制不良因素的影响。
2.主动学习网络安全教育课程在生活中,许多网络诈骗就是通过窃取他人信息来骗取钱财等,因此我们有必要加强对自身的保护,可以利用课余时间,对网络安全的基本理论知识和系统安全策略进行学习,如加密解密算法、防火墙工作原理、作用,系统漏洞及修补方法,病毒处理等知识,以此保证自己信息的安全,也可以防止在网络购物过程中自己的信息被泄露,我们还可以通过手机观看网络安全防范技能,以丰富自身的网络安全防范技能,还可以通过关注新闻实事来了解网络诈骗的诈骗形式。
青少年网络安全意识缺会带来的后果1.网络成瘾“网络成瘾”指的是在没有任何诱惑之下上网失去控制的现象,其表现的主要问题在于主体不能有效控制自己想要上网的欲望,并对上网带来的快感有生理和心理依赖。青少年网络成瘾表现主要有:“网恋”和“网络游戏”。2.网络失德网络不像我们所生活的现实世界,它具有极强的隐蔽特点,在这样隐蔽的环境之中,会出现降低自己道德标准的情况,比如随意散发言论、传播垃圾信息、弄虚造假、进行网络欺诈等,这些都会对社会安全造成恶劣的影响。3.网络犯罪网络犯罪指的是凭借计算机进行犯罪,或者是犯罪对象通过网络进行的危害网络安全的行为,通常来讲网络犯罪主要分成如下三种:以网络为工具的犯罪、以网络为攻击目标的犯罪、以网络为获利来源的犯罪。4.网络受害因为青少年缺乏较强的安全防范意识,所以在应用网络的时候很容易受到网络的侵害,其中常见的网络受害主要有如下三种:网络交友上当受骗、网络交易上当受骗、遇到网络攻击。
法律依据:《刑法》第二百六十六条【诈骗罪】诈骗公私财物,数额较大的,处三年以下有期徒刑、拘役或者管制,并处或者单处罚金;数额巨大或者有其他严重情节的,处三年以上十年以下有期徒刑,并处罚金;数额特别巨大或者有其他特别严重情节的,处十年以上有期徒刑或者无期徒刑,并处罚金或者没收财产。本法另有规定的,依照规定。

⑩ 网络安全策略都包括哪些方面的策略

网络安全防护是一种网络安全技术,指致力于解决诸如如何有效进行介入控制,以及如何保证数据传输的安全性的技术手段,主要包括物理安全分析技术,网络结构安全分析技术,系统安全分析技术,管理安全分析技术,及其它的安全服务和安全机制策略。

防护措施:

  1. 对用户访问网络资源的权限进行严格的认证和控制。例如,进行用户身份认证,对口令加密、更新和鉴别,设置用户访问目录和文件的权限,控制网络设备配置的权限,等等。

  2. 数据加密防护:加密是防护数据安全的重要手段。加密的作用是保障信息被人截获后不能读懂其含义。

3. 网络隔离防护:网络隔离有两种方式,一种是采用隔离卡来实现的,一种是采用网络安全隔离网闸实现的。

4. 其他措施:其他措施包括信息过滤、容错、数据镜像、数据备份和审计等。