第一篇：云計算下網(wǎng)絡(luò)安全技術(shù)實現(xiàn)和路徑研究論文

云計算網(wǎng)絡(luò)安全問題分析

1.1 數(shù)據(jù)通信無法得到保障

對于計算機(jī)網(wǎng)絡(luò)技術(shù)來說，其在使用時的一個主要目的就是為了實現(xiàn)數(shù)據(jù)的交換和傳遞，而在云計算環(huán)境下，影響數(shù)據(jù)傳輸安全性的因素主要有以下幾點：首先是服務(wù)器受到攻擊，在非常短的時間內(nèi)將大量的數(shù)據(jù)傳輸?shù)椒?wù)器中，導(dǎo)致通信出現(xiàn)堵塞現(xiàn)象，這種情況使得用戶無法進(jìn)行正常的信息傳輸。另外則是駭客入侵，對企業(yè)的計算機(jī)或者服務(wù)器進(jìn)行數(shù)據(jù)的惡意操作，導(dǎo)致用戶的數(shù)據(jù)出現(xiàn)丟失等問題。

1.2 網(wǎng)絡(luò)系統(tǒng)較為薄弱

網(wǎng)絡(luò)系統(tǒng)在使用時，一些個別的使用功能往往存在著一些漏洞問題，像電子郵件中的漏洞問題等，這些漏洞往往是駭客經(jīng)常攻擊的地方。另外則是計算機(jī)系統(tǒng)自身較為薄弱，在受到攻擊之后，用戶無法對自身的計算機(jī)進(jìn)行有效的使用，導(dǎo)致其對信息的接收和處理受到限制，最后則是數(shù)據(jù)庫安全性較為薄弱，對于這一問題，其在數(shù)據(jù)庫的完整性和審計等方面都存在。

1.3 網(wǎng)絡(luò)環(huán)境較為復(fù)雜

對于云計算的應(yīng)用，其使得網(wǎng)絡(luò)中的用戶容量更大，這使得計算機(jī)的推廣更加高效。但由于云計算在使用時同網(wǎng)絡(luò)環(huán)境之間存在著較大的差距，而用戶在獲取對應(yīng)的資料時又是采用的網(wǎng)絡(luò)尋找資源，這使得云計算完全暴露在網(wǎng)絡(luò)環(huán)境中，但由于云計算自身的數(shù)據(jù)庫安全性缺陷使得其無法對自身的數(shù)據(jù)安全進(jìn)行保障。云計算下網(wǎng)絡(luò)安全技術(shù)實現(xiàn)路徑分析

2.1 設(shè)置防火墻技術(shù)

對于防火墻技術(shù)來說，其能夠根據(jù)用戶的需求對傳輸?shù)男畔⑦M(jìn)行分辨，從而將對用戶有害的信息進(jìn)行自動過濾，保證網(wǎng)絡(luò)傳輸過程的數(shù)據(jù)安全性。對于防火墻技術(shù)，其在使用時主要有下面幾種功能：首先是對入侵技術(shù)進(jìn)行防御，對于駭客入侵來說，其首先需要采用對應(yīng)的入侵技術(shù)將入侵軟件或者數(shù)據(jù)傳輸?shù)接脩舻挠嬎銠C(jī)中，而采用了防火墻技術(shù)之后，其能夠?qū)鬏敂?shù)據(jù)進(jìn)行智能分辨，當(dāng)發(fā)現(xiàn)傳輸數(shù)據(jù)會對用戶的計算機(jī)安全造成威脅時，其能夠?qū)ζ溥M(jìn)行自動阻礙操作。然后是對病毒的預(yù)防，病毒對計算機(jī)的損害主要是通過對計算機(jī)用戶的IP地址進(jìn)行惡意修改，從而導(dǎo)致用戶無法正常進(jìn)入網(wǎng)絡(luò)環(huán)境中進(jìn)行信息的查詢，而采用防火墻技術(shù)之后，其能夠?qū)τ脩舻腎P地址進(jìn)行保護(hù)，當(dāng)發(fā)現(xiàn)能夠?qū)τ脩舻腎P地址進(jìn)行篡改的病毒時，其能夠?qū)ζ溥M(jìn)行阻擋等。

2.2 系統(tǒng)加密技術(shù)

對于系統(tǒng)加密技術(shù)來說，其包含兩種，一種是公鑰加密，另一種是私鑰加密，通過加密技術(shù)能夠?qū)⒂脩舻臄?shù)據(jù)代碼進(jìn)行有效處理，使其無法被駭客或者其他程序打開，這樣使得用戶的數(shù)據(jù)無法被盜用。此外，還可以通過過濾器對計算機(jī)中的阻斷程序等進(jìn)行清除，保證計算機(jī)的正常運(yùn)行，但在選擇過濾器時需要保證過濾器的性能，且供應(yīng)商能夠提供對應(yīng)的云服務(wù)，這樣才能保證用戶在不使用時保證計算機(jī)的安全性。圖1是公鑰加密的過程圖。

2.3 反病毒技術(shù)應(yīng)用

隨著計算機(jī)技術(shù)的快速發(fā)展，各種病毒也在逐漸增多，其病毒的類型越來越多，這對網(wǎng)絡(luò)安全帶來了較大的威脅，為了能夠更好的保證用戶的計算機(jī)安全使用，反病毒技術(shù)由此而生。對于反病毒技術(shù)，其主要有動態(tài)和靜態(tài)兩種不同的技術(shù)模式，對于動態(tài)技術(shù)，其能夠?qū)τ嬎愕牟《绢A(yù)防功能進(jìn)行加強(qiáng)，防止計算機(jī)使用過程中被病毒侵襲。對于動態(tài)技術(shù)，其使用成本較低，且使用較為方便，在病毒入侵之后，其能夠快速對其進(jìn)行預(yù)警，方便用戶保證自身計算機(jī)的安全性。而對于靜態(tài)技術(shù)，其在使用時往往不是根據(jù)網(wǎng)絡(luò)的情況確定的，而是一種固定的病毒預(yù)防技術(shù)，在使用過程中無法實現(xiàn)實時病毒預(yù)防和預(yù)警等作用，因此，該技術(shù)正在逐漸推出反病毒技術(shù)領(lǐng)域。

2.4 防護(hù)技術(shù)

對于計算機(jī)網(wǎng)絡(luò)安全來說，有效的防護(hù)技術(shù)是保證計算機(jī)安全運(yùn)行的重要保障，因此，選擇有效的防護(hù)技術(shù)能夠大大提高用戶的網(wǎng)絡(luò)安全性。比如在選擇云計算軟件時，由于計算機(jī)技術(shù)的發(fā)展速度較快，因此需要對云計算技術(shù)進(jìn)行實時更新，不斷對自身的漏洞進(jìn)行彌補(bǔ)，通過這種方法能夠使用戶的數(shù)據(jù)得到有效的保護(hù)。另外，在進(jìn)行用戶數(shù)據(jù)創(chuàng)建時，可以通過隔離機(jī)制來避免虛擬機(jī)的攻擊，防止計算機(jī)受到駭客等的攻擊。對于云計算來說，其安全性可以通過檢測軟件來對其進(jìn)行日常的監(jiān)控，檢測軟件位于客戶端位置，其能夠?qū)δ抉R和病毒等進(jìn)行自動的分離，防止其對計算機(jī)的安全性造成影響?？偨Y(jié)

伴隨著計算機(jī)網(wǎng)絡(luò)技術(shù)的快速發(fā)展，云計算技術(shù)的應(yīng)用將越來越廣泛，但由于云計算技術(shù)發(fā)展時間較短，其中還存在著很多的問題，為此，需要通過防火墻等技術(shù)來對其安全性進(jìn)行保障，有關(guān)部門需要盡快加強(qiáng)對云計算網(wǎng)絡(luò)安全技術(shù)的研究。

第二篇：云計算技術(shù)下企業(yè)網(wǎng)絡(luò)安全管理研究論文

【摘要】

云計算借助于虛擬化技術(shù)，通過網(wǎng)絡(luò)平臺提供軟件、平臺等服務(wù)，在下一代網(wǎng)絡(luò)技術(shù)中，云計算技術(shù)將成為核心技術(shù)，它提供可靠、安全的信息存儲，具有強(qiáng)大的數(shù)據(jù)處理與快捷的互聯(lián)網(wǎng)服務(wù)能力。本文則重要探討云計算下的企業(yè)網(wǎng)路安全管理系統(tǒng)的構(gòu)建，自在提高企業(yè)管理水平，促進(jìn)企業(yè)快速發(fā)展。

【關(guān)鍵詞】

云計算;企業(yè)網(wǎng)絡(luò);安全管理;構(gòu)建

近幾年來，伴隨著科學(xué)技術(shù)及其網(wǎng)絡(luò)信息技術(shù)的快速發(fā)展，云計算在各個領(lǐng)域中均得到實施。信息網(wǎng)絡(luò)技術(shù)已為人們的生產(chǎn)及生活帶來較大便利，同時也帶來了信息安全問題。企業(yè)網(wǎng)絡(luò)安全問題日益凸顯，云計算作為一種新型的核心技術(shù)，在各行各業(yè)中均得到廣泛應(yīng)用。

1云計算概述

云計算是2007年出現(xiàn)的新名詞，只帶現(xiàn)在還沒有一個確切的定義。總的來說，云計算指的是把分布式計算，虛擬化等技術(shù)結(jié)合起來的一種計算方式，基于互聯(lián)網(wǎng)為媒介，向用戶提供各種技術(shù)說明、數(shù)據(jù)說明及應(yīng)用，以方便用戶使用起來更方便快捷。對于云計算而言，它是分布式處理、網(wǎng)絡(luò)計算的發(fā)展，對分布式計算機(jī)中的數(shù)據(jù)、資源進(jìn)行整合，實現(xiàn)協(xié)同工作。用戶連上網(wǎng)絡(luò)，運(yùn)用云計算技術(shù)使標(biāo)準(zhǔn)化的訊息和數(shù)據(jù)更加的有效、精確、快速及多量化。云計算主要由計算與編程技術(shù)、數(shù)據(jù)存儲技術(shù)、虛擬機(jī)技術(shù)、數(shù)據(jù)處理技術(shù)等技術(shù)構(gòu)成。云計算技術(shù)不同于其他技術(shù)，它具有自身獨(dú)特的特征，其中包括：超大規(guī)模、高真實性、高安全性、擴(kuò)張性、按需求提供等。云計算技術(shù)具有獨(dú)特的特征，即使用成本低，適應(yīng)范圍廣泛、高效的運(yùn)行速度，被各大企業(yè)廣泛運(yùn)用。云計算通過電腦進(jìn)行數(shù)據(jù)發(fā)布，至電腦的算術(shù)功能更加強(qiáng)大，使那些繁瑣的、量大的計算得到了提高。并且，啟用云計算模式，使數(shù)據(jù)的儲存更加的統(tǒng)一化，有利于數(shù)據(jù)在監(jiān)管測試中更加的安全。在云計算模式的數(shù)據(jù)中心中，其對數(shù)據(jù)的統(tǒng)一化、資源配置的有效化、系統(tǒng)的優(yōu)化、安全的監(jiān)測環(huán)境和鋪排軟件，有效的提高了數(shù)據(jù)的完整性。并且，在云計算平臺加入硬件、軟件及技術(shù)資源，從而促進(jìn)集中管理的實行，同時，增加動態(tài)的虛構(gòu)化層次，促進(jìn)了資源、硬軟件的全面發(fā)展。云計算技術(shù)具有可持續(xù)性、虛擬化的特點，可持續(xù)性的特點，使系統(tǒng)的總體消耗費(fèi)用在一定的程度上降低。云計算的種類可分為公共云、社區(qū)云、混合云及私有云。其中公共云主要用于公共服務(wù)的云平臺，進(jìn)而為公眾提證供云存儲及云計算的服務(wù)；社區(qū)云則是在某一區(qū)域內(nèi)使用的云服務(wù)，進(jìn)而為多家關(guān)聯(lián)機(jī)構(gòu)所提供的云服務(wù)；混合云是兩種或兩種以上的云所組成的；私有云是指企業(yè)內(nèi)部所使用的云服務(wù)，適宜專網(wǎng)向結(jié)構(gòu)采用。

2云計算在企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)中的應(yīng)用

隨著科技的飛速發(fā)展和網(wǎng)絡(luò)的普及，企業(yè)管理所形成的運(yùn)用系統(tǒng)平臺都向著規(guī)?；?、多效用化、高效能、高機(jī)能的方向發(fā)展。以保障企業(yè)網(wǎng)絡(luò)管理系統(tǒng)安全的正常運(yùn)行、對其進(jìn)行定時調(diào)度和維護(hù)，完善企業(yè)內(nèi)部網(wǎng)絡(luò)的建設(shè)發(fā)展，云計算技術(shù)在企業(yè)網(wǎng)絡(luò)安全管理中的應(yīng)用必不可少?；谠朴嬎慵夹g(shù)的應(yīng)用將整合數(shù)據(jù)信息資源，可以確保企業(yè)安全管理系統(tǒng)數(shù)據(jù)的安全。

2.1云計算系統(tǒng)實現(xiàn)

作為多層服務(wù)的集合體系，電力云主要由物理存儲層、基礎(chǔ)管理層、高級訪問層、應(yīng)用接口層四個主要層次構(gòu)成。云計算系統(tǒng)是在企業(yè)網(wǎng)絡(luò)安全管理中，網(wǎng)絡(luò)存儲與設(shè)備是以物理存儲層為基礎(chǔ)的，其所分布的地理位置不同導(dǎo)致其云物理設(shè)備也不同，這些差異的地理位置及云物理設(shè)備之間的連接主要是通過內(nèi)部網(wǎng)來實現(xiàn)的?；A(chǔ)管理層是采用集群式和分布式系統(tǒng)，促使云中的儲存設(shè)備進(jìn)行協(xié)同工作，在基礎(chǔ)管理層中，還包括機(jī)密、數(shù)據(jù)備份內(nèi)容。高級訪問層主要包括管理系統(tǒng)的基礎(chǔ)與高級應(yīng)用，通過軟件平臺來實現(xiàn)安全管理軟件快速有效的運(yùn)行。云計算系統(tǒng)是在企業(yè)網(wǎng)絡(luò)安全管理中，應(yīng)用接口層是其最最活躍的部分，其系統(tǒng)中的運(yùn)行管理機(jī)構(gòu)信息及數(shù)據(jù)獲取必需通過應(yīng)用接口層完成。

2.2云計算的信息整合云計算的信息整合很多都是通過云計算技術(shù)來實現(xiàn)的，如企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)中的信息同享，利用公有信息模型，標(biāo)準(zhǔn)組件接口，讓多個企業(yè)網(wǎng)絡(luò)數(shù)據(jù)庫中的數(shù)據(jù)進(jìn)行交流、同享。同時，可利用自動分析與拆分技術(shù)，對系統(tǒng)中繁瑣的資源進(jìn)行統(tǒng)一，使其任務(wù)變成較小任務(wù)。經(jīng)過企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)中某個信息點將請求發(fā)云體系實現(xiàn)資源的統(tǒng)一，在請求接到后，將數(shù)據(jù)請求要求發(fā)送給企業(yè)網(wǎng)絡(luò)安全管理中的公用信息平臺，依照請求，對系統(tǒng)中的資源進(jìn)行儲蓄整理、推算。

2.3資源管理與調(diào)度

為了完成云計算技術(shù)在工作中的的有效使用，應(yīng)該鞏固對資源的處理、調(diào)度。其詳細(xì)運(yùn)行表現(xiàn)為：起初，為了保證企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)的安定、穩(wěn)固進(jìn)行，應(yīng)該對每一臺使用云計算技術(shù)的計算機(jī)設(shè)施進(jìn)行整合，對使用者權(quán)利、使用者因特網(wǎng)地址、用戶終端級別進(jìn)行整合。另外，描繪計算機(jī)資源近狀，對Cache、MFLOPS等數(shù)據(jù)結(jié)構(gòu)進(jìn)行概述。最后，實現(xiàn)云內(nèi)部任意終端的探問，運(yùn)用云調(diào)度技能，有效處理云資源，完成對系統(tǒng)資源的靈驗、科學(xué)整理，便于資源的詢問、使用。企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)與云計算的應(yīng)用具有計算速度快、安全可靠性高、應(yīng)用范圍廣的特點。為了使企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)有效快速的運(yùn)行，云計算技術(shù)還對技術(shù)標(biāo)準(zhǔn)合理的進(jìn)行規(guī)范，利用數(shù)據(jù)模型，完成數(shù)據(jù)的平穩(wěn)執(zhí)行。

2.4云計算的關(guān)鍵技術(shù)

數(shù)據(jù)安全技術(shù)。在企業(yè)網(wǎng)絡(luò)管理系統(tǒng)中采用云計算技術(shù)，數(shù)據(jù)的散落式儲存保證了數(shù)據(jù)的安全問題、系統(tǒng)內(nèi)的安全問題。在系統(tǒng)進(jìn)行運(yùn)行的過程中中，保障數(shù)據(jù)完好，應(yīng)該對數(shù)據(jù)處理、用戶約束、資源證實、權(quán)利管理等各技術(shù)的認(rèn)真分析，保障應(yīng)用數(shù)據(jù)的穩(wěn)定性、整體性。因此，在系統(tǒng)運(yùn)行過程中，云計算技術(shù)還要加強(qiáng)對數(shù)據(jù)的隱秘功能，從而保證數(shù)據(jù)的穩(wěn)定性、整體性，可以通過數(shù)據(jù)加密技術(shù)進(jìn)行維護(hù)。就像采用華為技術(shù)公司利用IaaS層資源管理軟件，有用地解決了數(shù)據(jù)存在的安全問題。與此之外，數(shù)據(jù)的安全技術(shù)強(qiáng)化系統(tǒng)中的用戶數(shù)據(jù)安全，保障用戶數(shù)據(jù)的安全共享，保障了數(shù)據(jù)的交迭。動態(tài)任務(wù)調(diào)度技術(shù)。其于企業(yè)網(wǎng)絡(luò)管理系統(tǒng)，其計算方式有暫態(tài)、靜態(tài)等多樣性，因為計算時間具有不穩(wěn)定性因素，且計算之間是具有相互依靠關(guān)系，從而便增加了計算任務(wù)的調(diào)度的難度。因此，為了保證企業(yè)網(wǎng)絡(luò)管理系統(tǒng)的高速運(yùn)行，在系統(tǒng)的云計算中心，使用任務(wù)預(yù)分配與動態(tài)分配相配合，分布式文件與本地文件相配合的形式，從而提高資源的有效利用，促使數(shù)據(jù)運(yùn)送、調(diào)整管理的時間損失降低了一定的程度。一體化數(shù)據(jù)管理技術(shù)。在系統(tǒng)的多種整理中，通過采用一體化數(shù)據(jù)管理技術(shù)與模型的方法來實現(xiàn)數(shù)據(jù)模型的統(tǒng)一化，以此減少不同模型轉(zhuǎn)化的過程中所形成的數(shù)據(jù)丟失與失誤，利用合并的計算數(shù)據(jù)準(zhǔn)則。在當(dāng)前的的數(shù)據(jù)模型中，大部分采取EICCIM國際標(biāo)準(zhǔn)，同時使用國網(wǎng)E格式標(biāo)準(zhǔn)數(shù)據(jù)替換，而關(guān)于計算輸入數(shù)據(jù)而言，可使用BPA和PSASP兼并的方法。

3企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)中云計算技術(shù)的應(yīng)用

云計算在企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)中的應(yīng)用可分為三大層次，即：基礎(chǔ)設(shè)施層、平臺服務(wù)層及軟件服務(wù)層。其中基礎(chǔ)設(shè)施層是面向應(yīng)用對象，平臺服務(wù)層面向服務(wù)、軟件服務(wù)層面向用戶。在每一個層次中都能夠根據(jù)功能需求加以細(xì)化。并且根據(jù)邏輯的順序，在基礎(chǔ)設(shè)施層上能夠分為數(shù)據(jù)采集及其轉(zhuǎn)化，并且根據(jù)硬件的不同，將其分為用戶設(shè)備終端、存儲設(shè)備及其服務(wù)器等。此外，在云計算的信息管理中，大多是通過虛擬化的技術(shù)來實現(xiàn)資源的形象化轉(zhuǎn)變，并將數(shù)據(jù)傳遞到服務(wù)平臺。同時根據(jù)設(shè)計及開發(fā)的相關(guān)流程，平臺服務(wù)層可分為開發(fā)、測試及其運(yùn)行。每一層都應(yīng)根據(jù)相關(guān)設(shè)計來進(jìn)行開發(fā)。如：在建立某企業(yè)的網(wǎng)絡(luò)安全管理系統(tǒng)時，首先，應(yīng)對該企業(yè)的業(yè)務(wù)類型進(jìn)行全面調(diào)查分析，并給予分類，查看適合采用哪一種云計算分類。若企業(yè)的網(wǎng)絡(luò)安全管理系統(tǒng)適宜采用私有云計算類型，則可采用私有云的管理系統(tǒng)。然后，企業(yè)應(yīng)根據(jù)實際應(yīng)用需求，需要配備足夠的服務(wù)器設(shè)備等。再次，對企業(yè)內(nèi)部IT資源、數(shù)據(jù)中心等加以整合，并選擇較為合適的虛擬化方法，對存儲設(shè)備及服務(wù)器給予虛擬化整合，將已虛擬化的集成管理器給予管理，并將其上傳到云計算的平臺之中。最后，在軟件的服務(wù)層，應(yīng)根據(jù)實際的應(yīng)用對象及其需求進(jìn)而用戶終端提供不同的軟件，并設(shè)置相應(yīng)的操作系統(tǒng)。當(dāng)企業(yè)采用云計算的技術(shù)后，應(yīng)配置基礎(chǔ)設(shè)施或功能軟件等，最終向服務(wù)提供者提供費(fèi)用，可有效降低計算成本。對于云計算的信息管理系統(tǒng)，其中影響較大的缺陷即所擁有的隱私保護(hù)力不夠，且公享資源的較大則是服務(wù)提供者所擁有的任意數(shù)據(jù)，如何在確保資源共享的優(yōu)點下，達(dá)到保護(hù)用戶隱私的目的，是當(dāng)前亟需解決的問題。

4結(jié)語

總而言之，云計算技術(shù)是當(dāng)前流行的新技術(shù)，已在各行各業(yè)中得到廣泛應(yīng)用，并且取得了較好的成效。對于企業(yè)網(wǎng)絡(luò)安全管理而言也不例外，同樣可采用云計算技術(shù)，能夠提高管理效率及質(zhì)量。本文則將云計算技術(shù)應(yīng)用于企業(yè)安全網(wǎng)絡(luò)管理中，旨在提高信息安全管理水平，促進(jìn)企業(yè)的可持續(xù)發(fā)展。

第三篇：云計算和大數(shù)據(jù)下在線教育研究

云計算和大數(shù)據(jù)環(huán)境下的在線教育研究

1.引言

當(dāng)前云計算和大數(shù)據(jù)技術(shù)的出現(xiàn)，面對在線教育交互中產(chǎn)生的大量復(fù)雜數(shù)據(jù)，可以實現(xiàn)識別、分析、挖掘并組織隱含在學(xué)習(xí)者交互過程中的結(jié)構(gòu)化、非結(jié)構(gòu)化數(shù)據(jù)信息，開發(fā)交互過程數(shù)據(jù)的價值，發(fā)現(xiàn)其隱性訴求并預(yù)測學(xué)習(xí)支持服務(wù)趨勢，并以其為導(dǎo)向改進(jìn)和拓寬在線教育服務(wù)，達(dá)到在線教育服務(wù)與學(xué)習(xí)者需求的雙向平衡。本文就是立足于對在線教育的交互瓶頸和需求分析，構(gòu)建基于大數(shù)據(jù)和云計算支持的在線教育交互平臺模型。重點研究交互平臺功能實現(xiàn)，使在線的學(xué)習(xí)者和教師可以實現(xiàn)完美的在線交互活動，并且對交互的數(shù)據(jù)進(jìn)行深入挖掘分析，解決目前在線教育所面臨的弊端。

2.在線教育交互平臺現(xiàn)狀分析

在線教育交互分為個別化交互和社會性交互，前者是學(xué)習(xí)者和學(xué)習(xí)資料之問的交互，后者是學(xué)習(xí)者和教師或者學(xué)習(xí)者之問的交互，社會性交互是提高在線教育交互水平的關(guān)鍵因素。隨著在線教育的交互信息資源增加，在線學(xué)習(xí)者和在線教師的需求不斷發(fā)展和提高，在線教育出現(xiàn)了許多問題。

針對服務(wù)應(yīng)用。目前在線教育的交互平臺缺乏統(tǒng)一身份認(rèn)證體系，需要進(jìn)行身份重復(fù)驗證，給用戶造成不便同時給系統(tǒng)增加安全隱患；缺乏統(tǒng)一的應(yīng)用展現(xiàn)，用戶信息分散在各個應(yīng)用中，且服務(wù)功能重復(fù)，堆砌浪費(fèi)；使用方法、界面和質(zhì)量不統(tǒng)一，給平臺使用和維護(hù)管理造成不便。在線學(xué)習(xí)時間的碎片化趨勢對學(xué)習(xí)者的終端設(shè)備要求很高，造成學(xué)習(xí)質(zhì)量下降；缺乏跨終端的資源共享系統(tǒng)，影響學(xué)習(xí)效率和滿意度，改變終端學(xué)習(xí)，增加數(shù)據(jù)丟失、病毒入侵等安全問題。

針對信息資源的存儲和分析挖掘。隨著在線學(xué)習(xí)者和在線教師的服務(wù)需求日益?zhèn)€性化和專業(yè)化，對于服務(wù)質(zhì)量也越來越看重，在線教育交互平臺必須根據(jù)在線學(xué)習(xí)者和在線教師的需求作出相應(yīng)的策略改變，以適應(yīng)服務(wù)需求的不斷改變和提高。由于在線教育是基于互聯(lián)網(wǎng)的學(xué)習(xí)方式，學(xué)生和學(xué)習(xí)資源、教師與學(xué)生、學(xué)生與學(xué)生之間的交流是通過網(wǎng)絡(luò)全方位進(jìn)行，所以需要通過對學(xué)習(xí)交流的分析挖掘出在線學(xué)習(xí)者和教師的需求。在線教育的信息資源總量日益增大，主要的數(shù)據(jù)資源包括結(jié)構(gòu)化和非結(jié)構(gòu)化信息，以及在線教育平臺內(nèi)部以異構(gòu)化數(shù)據(jù)為主的相關(guān)信息，且每天以大量的非結(jié)構(gòu)化數(shù)據(jù)和異構(gòu)性數(shù)據(jù)資源為主。但是目前對于這些異構(gòu)性數(shù)據(jù)和非結(jié)構(gòu)化數(shù)據(jù)的記錄、存儲和統(tǒng)計技術(shù)，完全不能滿足在線教育交互平臺的數(shù)據(jù)需求。因此對平臺產(chǎn)生的結(jié)構(gòu)化、非結(jié)構(gòu)化、異構(gòu)性大量數(shù)據(jù)進(jìn)行分析和深度挖掘潛在價值成為必然，為在線學(xué)習(xí)者和教師反饋快速、及時、高效、安全的信息分析結(jié)果。3.在線教育交互平臺應(yīng)用云計算和大數(shù)據(jù)

3.1 云計算和大數(shù)據(jù)與在線教育交互平臺

云計算是通過互聯(lián)網(wǎng)絡(luò)龐大的計算處理能力，將待處理程序自動分拆成無數(shù)個較小的子程序，再交由多部服務(wù)器所組成的龐大系統(tǒng)經(jīng)搜尋、計算和分析，最后將處理結(jié)果回傳給用戶。大數(shù)據(jù)技術(shù)是數(shù)據(jù)分析的前沿技術(shù)，需要從各種各樣類型的數(shù)據(jù)中，快速獲得有價值信息的能力，是需要新處理模式才能實現(xiàn)更強(qiáng)的決策力、洞察發(fā)現(xiàn)力和流程優(yōu)化能力的海量、高增長率和多樣化的信息資產(chǎn)。云計算強(qiáng)調(diào)的是動態(tài)計算能力，大數(shù)據(jù)注重的是靜態(tài)的計算對象。云計算彌補(bǔ)了目前大數(shù)據(jù)的存儲和運(yùn)行的最大問題，就是提供了運(yùn)算平臺，而大數(shù)據(jù)則運(yùn)用分布式處理手段應(yīng)用于這個平臺之上，兩者是相輔相成的關(guān)系。

云計算與大數(shù)據(jù)結(jié)合應(yīng)用，前者強(qiáng)調(diào)計算能力，后者看重存儲能力。大數(shù)據(jù)需要處理大量復(fù)雜數(shù)據(jù)的能力，包括數(shù)據(jù)獲取、整理、轉(zhuǎn)換、統(tǒng)計，即強(qiáng)大的計算能力，而云計算需要大量數(shù)據(jù)作為運(yùn)算的基礎(chǔ)，所以兩者的結(jié)合是必然趨勢。實際應(yīng)用中，云計算的出現(xiàn)和興起促進(jìn)了大數(shù)據(jù)的廣泛應(yīng)用，而大數(shù)據(jù)和云計算的結(jié)合應(yīng)用更是出現(xiàn)在許多領(lǐng)域，現(xiàn)已擴(kuò)展到公共問題領(lǐng)域。但是目前還沒有進(jìn)入在線教育行業(yè)。

借助云計算的優(yōu)勢，在線教育交互平臺上的用戶無需考慮在線學(xué)習(xí)時終端設(shè)備的運(yùn)算、存儲和負(fù)載能力的問題，可以更好的實現(xiàn)教育資源共享和教育網(wǎng)絡(luò)協(xié)同工作，大幅度提高教育資源的利用率和運(yùn)行效率。云存儲屏蔽了數(shù)據(jù)丟失、病毒入侵等問題，保障了數(shù)據(jù)安全和用戶信息私密，是在線教育交互平臺最安全可靠的數(shù)據(jù)存儲中心。用戶使用終端設(shè)備訪問教育資源進(jìn)行在線學(xué)習(xí)和交流，都會產(chǎn)生并積累大量結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)，不僅體量大而且增長速度很快。其中非結(jié)構(gòu)化數(shù)據(jù)已占數(shù)據(jù)總量的八成以上，但目前的數(shù)據(jù)分析處理算法和軟件不能達(dá)到對非結(jié)構(gòu)化數(shù)據(jù)的處理要求。大數(shù)據(jù)技術(shù)的應(yīng)用卻可以高速實時處理在線教育平臺產(chǎn)生的復(fù)雜海量數(shù)據(jù)，為在線教育平臺實時洞察學(xué)習(xí)者的變化、把握學(xué)習(xí)者的需求、提高教育質(zhì)量提供支持。對在線教育平臺上大量的不相關(guān)信息，進(jìn)行深度復(fù)雜分析，為未來教育需求趨勢提供預(yù)測分析，這是應(yīng)用大數(shù)據(jù)的在線教育與傳統(tǒng)在線教育本質(zhì)的不同。

3.2 基于云計算和大數(shù)據(jù)的在線教育交互平臺應(yīng)用模型分析

根據(jù)上述分析，隨著在線教育日益同質(zhì)化，在線教育機(jī)構(gòu)需要在保障教育資源豐富和高質(zhì)量的同時，更好的分析在線學(xué)習(xí)者和教師的偏好，為平臺的每個用戶提供有針對性的個性化服務(wù)。下面將利用云計算和大數(shù)據(jù)的優(yōu)勢構(gòu)建符合學(xué)習(xí)者和教師需求的高質(zhì)量在線教育交互平臺模型，如圖1所示。

應(yīng)用云計算和大數(shù)據(jù)技術(shù)的在線教育交互平臺主要分為用戶應(yīng)用服務(wù)層、數(shù)據(jù)資源處理層、基礎(chǔ)設(shè)施硬件層三部分，依次分析三部分功能實現(xiàn)。

3.2.1用戶服務(wù)應(yīng)用層

在線教育交互平臺的用戶主要為兩類，即在線教師和在線學(xué)習(xí)者。針對不同的用戶，訪問的授權(quán)和界面不同，盡可能為用戶提供個性化的精準(zhǔn)服務(wù)，主要表現(xiàn)為屬于用戶自己的展現(xiàn)網(wǎng)頁。服務(wù)應(yīng)用內(nèi)容主要分為四類，包括在線教學(xué)內(nèi)容、教學(xué)管理、交流互動和學(xué)習(xí)管理，如圖2所示。

服務(wù)應(yīng)用層是資源對外交互的窗口，是用戶使用資源的橋梁，與用戶體驗的便捷性有很大關(guān)系。因此應(yīng)用服務(wù)層是根據(jù)用戶需求，對信息資源請求重構(gòu)和提供，實現(xiàn)信息資源的服務(wù)分類，用戶享受個性化的服務(wù)資源。

平臺對每個用戶展現(xiàn)的內(nèi)容是不相同的。針對教師，平臺實時反饋在線學(xué)習(xí)者的情況和分析結(jié)果，尤其是對學(xué)習(xí)者的學(xué)習(xí)風(fēng)格和偏好的分析，實時跟蹤學(xué)生在課前、課中和課后的情況，完成課程反饋，對學(xué)生在平臺上的行為、學(xué)習(xí)記錄智能跟蹤記錄分析。針對學(xué)習(xí)者，構(gòu)成學(xué)習(xí)、答疑、測評、互動四位一體的學(xué)習(xí)模式，運(yùn)用豐富的學(xué)習(xí)資源，根據(jù)后臺的數(shù)據(jù)挖掘。提供學(xué)習(xí)進(jìn)度安排和個性化的學(xué)習(xí)方案。實現(xiàn)以學(xué)生為中心的在線教育方式。實現(xiàn)自主個性化學(xué)習(xí)、個性化即時筆記、針對性課程復(fù)習(xí)和測評，多方式在線交互的方式。

在線教育交互平臺的用戶看到的是良好的服務(wù)交互界面，無需知道后臺數(shù)據(jù)資源整合過程，完全由平臺的數(shù)據(jù)資源處理層完成，所以擁有更好的用戶體驗。平臺是所有教學(xué)資源的集散地，整合資源方便統(tǒng)一管理和使用，同一份資源，只需保存一份，通過資源關(guān)聯(lián)，可以在任意系統(tǒng)中快速調(diào)用。同時避免數(shù)據(jù)庫急劇增長，極大地減輕網(wǎng)絡(luò)負(fù)荷，減少用戶和平臺的工作時間，維持資源唯一性，資源發(fā)生更改時所有使用該資源的應(yīng)用均自動更新。

3.2.2數(shù)據(jù)資源處理層

中問層是數(shù)據(jù)資源處理層，主要為三部分。第一部分是對數(shù)據(jù)進(jìn)行標(biāo)準(zhǔn)化處理，第二部分是進(jìn)行數(shù)據(jù)挖掘分析整合。第三部分是數(shù)據(jù)庫。中問層的核心是第二部分，也是在線教育交互平臺的核心。如圖3所示。

面對迅速增加的復(fù)雜數(shù)據(jù)，在線教育交互平臺利用云計算和大數(shù)據(jù)進(jìn)行現(xiàn)代數(shù)據(jù)管理，支持所有數(shù)據(jù)類型，如文件、圖片、視頻、博客、點擊流和地理空問數(shù)據(jù)等，并以“云存儲”持久存儲于數(shù)據(jù)中心，保持?jǐn)?shù)據(jù)實時更新，實現(xiàn)數(shù)據(jù)共享、分析、發(fā)現(xiàn)、整合和優(yōu)化數(shù)據(jù)，提升數(shù)據(jù)價值。

利用負(fù)載平衡優(yōu)勢，有效透明地擴(kuò)展網(wǎng)絡(luò)設(shè)備和服務(wù)器的帶寬、增加在線教育交互平臺的吞葉量、加強(qiáng)平臺網(wǎng)絡(luò)數(shù)據(jù)處理能力、提高服務(wù)的靈活性和可用性。面對用戶大量的并發(fā)訪問或數(shù)據(jù)流量，可以分擔(dān)到多臺設(shè)備上處理，減少教師和學(xué)習(xí)者的等待響應(yīng)的時間；同時做并行處理，處理結(jié)果匯總返回到在線交互平臺，平臺系統(tǒng)處理能力得到大幅度提高。

離線數(shù)據(jù)是用戶訪問的各種數(shù)據(jù)庫中的信息資源，是從服務(wù)器端、客戶端、代理服務(wù)器端中采集的用戶訪問信息和行為信息。利用大數(shù)據(jù)技術(shù)進(jìn)行數(shù)據(jù)處理，清除不需要的數(shù)據(jù)，用聚類、分類等算法對處理之后的數(shù)據(jù)進(jìn)行模式分析，成立樣本數(shù)據(jù)資源為數(shù)據(jù)流挖掘分析作準(zhǔn)備。在線數(shù)據(jù)是由于數(shù)據(jù)流的動態(tài)性和流量大的特點，在實現(xiàn)數(shù)據(jù)流挖掘時，對流入的數(shù)據(jù)流，利用云計算做到占用內(nèi)存少，處理速度快，實現(xiàn)關(guān)聯(lián)規(guī)則、分類和聚類的挖掘。

整合數(shù)據(jù)是將離線數(shù)據(jù)作為樣本庫的參考，對在線數(shù)據(jù)進(jìn)行分析，及時有效的反饋結(jié)果，并且隨著時間的推移和用戶對信息資源的需求改變，及時更新資源分析結(jié)果。通過數(shù)據(jù)挖掘過程，對數(shù)據(jù)過濾、分析和整合，建立多資源分類結(jié)果，按照用戶的不同需求進(jìn)行決策，形成索引為用戶訪問和使用服務(wù)提供便利。整合數(shù)據(jù)主要是為整合用戶做準(zhǔn)備，將用戶的信息資源進(jìn)行相似度分析，對于類似的用戶歸類，進(jìn)行同類信息資源的分配。根據(jù)在線學(xué)習(xí)者的基本信息、學(xué)習(xí)風(fēng)格、學(xué)習(xí)滿意度和學(xué)習(xí)感知四維度的服務(wù)需求，可實現(xiàn)用戶的定制服務(wù)、個性化服務(wù)、精準(zhǔn)服務(wù)，便于用戶方便提取自己需要的資源。最后將用戶需要的資源根據(jù)授權(quán)不同。做統(tǒng)一標(biāo)準(zhǔn)化處理。上傳至服務(wù)應(yīng)用層，展現(xiàn)于用戶的界面。

4.基于云計算和大數(shù)據(jù)的在線教育交互平臺應(yīng)用優(yōu)勢

云計算和大數(shù)據(jù)結(jié)合對在線教育的發(fā)展具有巨大的促進(jìn)作用，不僅是針對提供的服務(wù)，更是對教育發(fā)展的促進(jìn)，增強(qiáng)在線教育的核心競爭力，保持在線教育的健康發(fā)展。4.1實現(xiàn)針對不同用戶的個性化精準(zhǔn)服務(wù)

在從以資源為核心的在線教育平臺建設(shè)到以用戶為核心的個性化在線教育平臺建設(shè)過程中，最主要的變化的就是針對不同用戶提供不同的個性化服務(wù)。而云計算和大數(shù)據(jù)的應(yīng)用就在于加強(qiáng)對在線教育的平臺用戶研究與交互數(shù)據(jù)的分析利用。并基于分析結(jié)果。改善服務(wù)內(nèi)容，提升個性化服務(wù)的質(zhì)量，完成平臺對用戶的跟蹤服務(wù)、精準(zhǔn)服務(wù)、知識關(guān)聯(lián)服務(wù)和宣傳推廣服務(wù)。面對平臺快速增長的數(shù)據(jù)，從中提取有價值的信息，實時分析反饋，建立不同類別的用戶模型，達(dá)到針對不同用戶提供針對性服務(wù)、增強(qiáng)用戶體驗、提高服務(wù)質(zhì)量的目標(biāo)。即使分析的數(shù)據(jù)源相同，但是由于提供對象不同，分析結(jié)果會不同，提供的服務(wù)也不同，做到精準(zhǔn)服務(wù)。即使是同類用戶，針對不同的個體，分析數(shù)據(jù)源不同，結(jié)果不同，提供的服務(wù)也不盡相同，做到個性化服務(wù)。

4.2提供教育發(fā)展動向以及熱點的變化

通過大數(shù)據(jù)和云計算技術(shù)，改變了被動更新教學(xué)資源的情況，變成根據(jù)在線學(xué)習(xí)者的需求主動更新資源，提升了在線教育平臺的作用。不僅為在線學(xué)習(xí)者提供了需要的學(xué)習(xí)資源，也為在線教師提供更有質(zhì)量的教學(xué)資源和研究依據(jù)。在線教育交互平臺通過對用戶數(shù)據(jù)的收集、整理、分析、深度挖掘和匯總，在宏觀上分析相關(guān)教育領(lǐng)域的發(fā)展動向和熱點變化，更快地洞察最新的學(xué)習(xí)者興趣走向，以及相關(guān)領(lǐng)域的內(nèi)容進(jìn)展，更新在線平臺的學(xué)習(xí)資源，并且保證學(xué)習(xí)內(nèi)容的實時性和前沿性。同時通過匯總結(jié)果有效評估在線學(xué)習(xí)者對各種教學(xué)資源的使用情況，并且根據(jù)熱點分析和目前已有教學(xué)資源交叉對比，可以有效評估教學(xué)資源的質(zhì)量，利于在線教育交互平臺持久發(fā)展。4.3提供無限量的數(shù)據(jù)存儲能力和更可靠的數(shù)據(jù)安全性

隨著在線教育交互的發(fā)展，信息數(shù)據(jù)量迅猛增長，產(chǎn)生出大量的半結(jié)構(gòu)化、非結(jié)構(gòu)化信息數(shù)據(jù)，對存儲的要求愈加嚴(yán)格。云計算的出現(xiàn)使得海量數(shù)據(jù)的存儲與運(yùn)算得到了解決，分布式存儲的方式可以持續(xù)收集大量數(shù)據(jù)，不會造成存儲空問的不足。在線教育交互平臺應(yīng)用“云存儲”方式，保證存儲數(shù)據(jù)的可靠性，并能夠?qū)崟r更新，有效解決海量數(shù)據(jù)資源的查詢、管理等問題。云計算使用數(shù)據(jù)多副本容錯、設(shè)備同構(gòu)可互換等手段來保障平臺的數(shù)據(jù)存儲安全。數(shù)據(jù)存儲到“云”中，不會受到計算機(jī)病毒或硬盤損壞造成的數(shù)據(jù)丟失。同時解放了用戶對終端設(shè)備能力的要求。4.4提高在線教育交互平臺管理能力

應(yīng)用云計算和大數(shù)據(jù)的在線教育交互平臺，能夠面向具體應(yīng)用的數(shù)據(jù)需求，做到快速、及時和有效地響應(yīng)。根據(jù)需求的變化和增長，平臺具有很好的性能擴(kuò)展空問和擴(kuò)容時穩(wěn)定和可靠的支持，高效處理多種類型數(shù)據(jù)。在線教育機(jī)構(gòu)以此平臺為基礎(chǔ)利用云計算技術(shù)和大數(shù)據(jù)的優(yōu)勢，充分挖掘自身數(shù)據(jù)價值，實現(xiàn)數(shù)據(jù)資產(chǎn)從成本中心到利潤中心的轉(zhuǎn)變。通過整合數(shù)據(jù)資產(chǎn)，對數(shù)據(jù)資產(chǎn)進(jìn)行標(biāo)準(zhǔn)化，形成靈活可擴(kuò)展、易于更新、可管控的、可隔離、綠色環(huán)保的高效分析型數(shù)據(jù)管理交互平臺，實現(xiàn)支持標(biāo)準(zhǔn)開發(fā)、用戶自服務(wù)、多元化開發(fā)多種應(yīng)用支持模式，形成松禍合、可異構(gòu)的基礎(chǔ)數(shù)據(jù)和應(yīng)用數(shù)據(jù)兩級數(shù)據(jù)管理層次。同時，在線教育機(jī)構(gòu)可以駕馭自身數(shù)據(jù)資產(chǎn)，全面提升平臺的數(shù)據(jù)信息管理能力，盡力獲取對在線學(xué)習(xí)者和在線教師的洞察，以數(shù)據(jù)驅(qū)動在線教育的發(fā)展。

5.結(jié)論

對于在線教育交互這個重要研究領(lǐng)域而言，云計算和大數(shù)據(jù)技術(shù)的出現(xiàn)不僅影響著在線教育交互的形態(tài)，也為交互信息分析提供了新的思路和手段。一方面，新的技術(shù)使交互行為不斷向著實時化和碎片化的方向發(fā)展，使交互過程日益復(fù)雜；另一方面，新的技術(shù)又使獲得大量交互數(shù)據(jù)、特別是行為數(shù)據(jù)成為了可能，從而有更多了解在線學(xué)習(xí)過程和進(jìn)行教學(xué)決策的依據(jù)。在線教育交互作為信息服務(wù)，盡管在線教育交互平臺有資源的優(yōu)勢，但在技術(shù)等方面的劣勢也限制了其本身的發(fā)展。本文構(gòu)建基于大數(shù)據(jù)和云計算支持的在線教育交互平臺模型，分析平臺的功能實現(xiàn)，使在線的學(xué)習(xí)者和教師可以實現(xiàn)完美的在線交互活動，總結(jié)出利用云計算和大數(shù)據(jù)的在線教育交互平臺的特點優(yōu)勢。因此，在線教育交互平臺的快速發(fā)展需要利用云計算和大數(shù)據(jù)創(chuàng)新提升在線教育交互的核心競爭力。

第四篇：淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù) 論文

JIU JIANG UNIVERSITY

畢 業(yè) 論 文

題 目： 淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

院 系： 信息科學(xué)與技術(shù)學(xué)院 專 業(yè)： 網(wǎng)絡(luò)系統(tǒng)管理 姓 名：

年 級： 指導(dǎo)老師 ：

二零一一年十一月二十日

摘 要

隨著時代的發(fā)展，Internet日益普及，網(wǎng)絡(luò)已經(jīng)成為信息資源的海洋，給人們帶來了極大的方便。但由于Internet是一個開放的，無控制機(jī)構(gòu)的網(wǎng)絡(luò)，經(jīng)常會受到計算機(jī)病毒、黑客的侵襲。它可使計算機(jī)和計算機(jī)網(wǎng)絡(luò)數(shù)據(jù)和文件丟失，系統(tǒng)癱瘓。因此，計算機(jī)網(wǎng)絡(luò)系統(tǒng)安全問題必須放在首位。作為保護(hù)局域子網(wǎng)的一種有效手段，防火墻技術(shù)備受睞。

本文主要闡述了網(wǎng)絡(luò)安全技術(shù)所要受到的各方面威脅以及自身存在的一些缺陷，所謂知己知彼，百戰(zhàn)不殆。只有了解了網(wǎng)絡(luò)安全存在的內(nèi)憂外患，才能更好的改善網(wǎng)絡(luò)安全技術(shù)，發(fā)展網(wǎng)絡(luò)安全技術(shù)。然后主要闡述防火墻在網(wǎng)絡(luò)安全中起到的巨大的作用，防火墻的優(yōu)缺點及各種類型防火墻的使用和效果。

計算機(jī)網(wǎng)絡(luò)技術(shù)的在飛速發(fā)展中，尤其是互聯(lián)網(wǎng)的應(yīng)用變得越來越廣泛，在帶來了前所未有的海量信息的同時，網(wǎng)絡(luò)的開放性和自由性也產(chǎn)生了私有信息和數(shù)據(jù)被破壞或侵犯的可能性，網(wǎng)絡(luò)信息的安全性變得日益重要，只有熟悉了各種對網(wǎng)絡(luò)安全的威脅，熟悉各種保護(hù)網(wǎng)路安全的技術(shù)，我們才能更好的保護(hù)計算機(jī)和信息的安全。

關(guān)鍵字：計算機(jī)網(wǎng)絡(luò)；網(wǎng)絡(luò)安全；防范措施；防火墻技術(shù)

II

Abstract With the development of The Times, the Internet has become increasingly popular and network information resources of the sea, and bring great convenience。But because of the Internet is an open, without control network, computer virus, often by hackers。It can make the computer and the computer network, the system files and data loss。Therefore, the computer network system security problems must be given priority。As the protection of local subnet an effective means, firewall technology。

This article mainly elaborated by network security technology to every aspect of the threat and its existence, some defects, so-called awareness。The existence of the 1930's and network security, can improve network security technology, the development of network security technology。And then expounds mainly firewall in network security of huge role plays, advantages and disadvantages of various types of firewall use and effect of the firewall。

The computer network technology, especially in the rapid development of the Internet is becoming more and more widely applied in brought an unprecedented huge amounts of information, network of openness and freedom in the private information and data were damaged or infringed, the possibility of network information security is becoming increasingly important, only familiar to all kinds of network security threats, familiar with various protection network security technology, we can better protect the computer and information security。

Key words: Computer network, Network security, The prevention measures, Firewall technology

III

目錄

摘 要..................................................................II Abstract..............................................................III 引言....................................................................5 第一章 網(wǎng)絡(luò)安全概述.....................................................6 1.1計算機(jī)網(wǎng)絡(luò)安全的含義...........................................................6 1.2網(wǎng)絡(luò)信息安全的主要威脅.........................................................6 1.2.1自然威脅...................................................................6 1.2.2人為威脅—黑客攻擊與計算機(jī)病毒.............................................6 1.3計算機(jī)網(wǎng)絡(luò)中的安全缺陷及產(chǎn)生原因...............................................8 1.5影響計算機(jī)網(wǎng)絡(luò)安全的因素.......................................................8 第二章 計算機(jī)網(wǎng)絡(luò)安全防范策略..........................................10 2.1防火墻技術(shù)....................................................................10 2.2 數(shù)據(jù)加密與用戶授權(quán)訪問控制技術(shù)..............................................12 2.3 入侵檢測技術(shù).................................................................13 2.4防病毒技術(shù)....................................................................13 2.4.1 對付病毒有以下四種基本方法.................................................14 2.5安全管理隊伍的建設(shè)............................................................17 第三章防火墻技術(shù)........................................................18 3.1防火墻的定義..................................................................18 3.2防火墻的功能..................................................................18 3.2.1防火墻是網(wǎng)絡(luò)安全的屏障......................................................18 3.2.2防火墻的種類................................................................18 3.3 防火墻的技術(shù)原理............................................................18 3.4 防火墻的應(yīng)用.................................................................19 3.4.1個人防火墻的應(yīng)用............................................................19 3.4.2防火墻技術(shù)在校園網(wǎng)中應(yīng)用....................................................23 結(jié)論...................................................................25 致謝...................................................................26 參考文獻(xiàn)...............................................................27 IV

引言

近年來，隨著計算機(jī)網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，尤其是互聯(lián)網(wǎng)的應(yīng)用變得越來越廣泛，在帶來了前所未有的海量信息的同時，計算機(jī)網(wǎng)絡(luò)的安全性變得日益重要起來，由于計算機(jī)網(wǎng)絡(luò)聯(lián)接形式的多樣性、終端分布的不均勻性、網(wǎng)絡(luò)的開放性和網(wǎng)絡(luò)資源的共享性等因素，致使計算機(jī)網(wǎng)絡(luò)容易遭受病毒、黑客、惡意軟件和其它不軌行為的攻擊【1】。

為確保信息的安全與網(wǎng)絡(luò)暢通，研究計算機(jī)網(wǎng)絡(luò)的安全與防護(hù)措施已迫在眉捷，但網(wǎng)絡(luò)安全問題至今仍沒有能夠引起足夠的重視，更多的用戶認(rèn)為網(wǎng)絡(luò)安全問題離自己尚遠(yuǎn)，這一點從大約有40%以上的用戶特別是企業(yè)級用戶沒有安裝防火墻(Firewall)便可以窺見一斑，而所有的問題都在向大家證明一個事實，大多數(shù)的黑客入侵事件都是由于未能正確安裝防火墻而引發(fā)，所以防火墻技術(shù)應(yīng)當(dāng)引起我們的注意和重視。

本文主要研究網(wǎng)絡(luò)安全的缺陷原由及網(wǎng)絡(luò)安全技術(shù)的原理和其他技術(shù)，如防火墻技術(shù)對網(wǎng)絡(luò)安全起到的不可忽視的影響。

第一章 網(wǎng)絡(luò)安全概述

1.1計算機(jī)網(wǎng)絡(luò)安全的含義

計算機(jī)網(wǎng)絡(luò)安全的具體含義會隨著使用者的變化而變化，使用者不同，對網(wǎng)絡(luò)安全的認(rèn)識和要求也就不同。例如從普通使用者的角度來說，可能僅僅希望個人隱私或機(jī)密信息在網(wǎng)絡(luò)上傳輸時受到保護(hù)，避免被竊聽、篡改和偽造；而網(wǎng)絡(luò)提供商除了關(guān)心這些網(wǎng)絡(luò)信息安全外，還要考慮如何應(yīng)付突發(fā)的自然災(zāi)害、軍事打擊等對網(wǎng)絡(luò)硬件的破壞，以及在網(wǎng)絡(luò)出現(xiàn)異常時如何恢復(fù)網(wǎng)絡(luò)通信，保持網(wǎng)絡(luò)通信的連續(xù)性。

從本質(zhì)上來講，網(wǎng)絡(luò)安全包括組成網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其在網(wǎng)絡(luò)上傳輸信息的安全性，使其不致因偶然的或者惡意的攻擊遭到破壞，網(wǎng)絡(luò)安全既有技術(shù)方面的問題，也有管理方面的問題，兩方面相互補(bǔ)充，缺一不可。人為的網(wǎng)絡(luò)入侵和攻擊行為使得網(wǎng)絡(luò)安全面臨新的挑戰(zhàn)。

1.2網(wǎng)絡(luò)信息安全的主要威脅

網(wǎng)絡(luò)安全所面臨的威脅來自很多方面，并且隨著時問的變化而變化。這些威脅可以宏觀地分為自然威脅和人為威脅。

1.2.1自然威脅

自然威脅可能來自于各種自然災(zāi)害、惡劣的場地環(huán)境、電磁輻射和電磁干擾、網(wǎng)絡(luò)設(shè)備的自然老化等。這些無目的的事件，有時會直接威脅網(wǎng)絡(luò)的安全，影響信息的存儲媒體。威脅分別有：

1.自然災(zāi)害（如雷電、地震、火災(zāi)、水災(zāi)等），物理損壞（如硬盤損壞、設(shè)備使用壽命到期、外力破損等），設(shè)備故障（如停電斷電、電磁干擾等），意外事故。

2.電磁泄漏（如偵聽微機(jī)操作過程）。

3.操作失誤（如刪除文件，格式化硬盤，線路拆除等），意外疏漏（如系統(tǒng)掉電、死機(jī)等系統(tǒng)崩潰）

4.計算機(jī)系統(tǒng)機(jī)房環(huán)境的安全。

1.2.2人為威脅—黑客攻擊與計算機(jī)病毒

人為威脅就是說對網(wǎng)絡(luò)的人為攻擊。這些攻擊手段都是通過尋找系統(tǒng)的弱點【2】，以便達(dá)到破壞、欺騙、竊取數(shù)據(jù)等目的，造成經(jīng)濟(jì)上和政治上不可估量的損失。網(wǎng)絡(luò)安全的人為威脅主要分為以下幾種： ? 網(wǎng)絡(luò)缺陷

Intemet由于它的開放性迅速在全球范圍內(nèi)普及，但也正是因為開放性使其保護(hù)信息安全存在先天不足。Internet最初的設(shè)計考慮主要是考慮資源共享，基本沒有考慮安全問題，缺乏相應(yīng)的安全監(jiān)督機(jī)制。

? 黑客攻擊

自1998年后，網(wǎng)上的黑客越來越多，也越來越猖獗；與此同時黑客技術(shù)逐漸被越來越多的人掌握現(xiàn)在還缺乏針對網(wǎng)絡(luò)犯罪卓有成效的反擊和跟蹤手段，使得黑客攻擊的隱蔽性好，“殺傷力”強(qiáng)，這是網(wǎng)絡(luò)安全的主要威脅之一。? 各種病毒

病毒時時刻刻威脅著整個互聯(lián)網(wǎng)。像Nimda和CodeRed的爆發(fā)更是具有深遠(yuǎn)的影響，促使人們不得不在網(wǎng)絡(luò)的各個環(huán)節(jié)考慮對于各種病毒的檢測防治，對病毒徹底防御的重要性毋庸置疑。? 管理的欠缺及資源濫用

很多上了互聯(lián)網(wǎng)的企業(yè)缺乏對于網(wǎng)絡(luò)安全的認(rèn)識，管理上存在很多漏洞，特別是國內(nèi)的企業(yè)，只是提供了接入Internet的通道，對于網(wǎng)絡(luò)上黑客的攻擊缺乏基本的應(yīng)對措施，同時企業(yè)內(nèi)部普遍存在資源濫用現(xiàn)象，這是造成網(wǎng)絡(luò)安全問題的根本原因。軟件的漏洞和后門：隨著CPU的頻率越來越高，軟件的規(guī)模越來越大，軟件系統(tǒng)中的漏洞也不可避免的存在，強(qiáng)大如微軟所開發(fā)的Windows也存在。各種各樣的安全漏洞和“后門”，這是網(wǎng)絡(luò)安全的主要威脅之一。? 網(wǎng)絡(luò)內(nèi)部用戶的誤操作和惡意行為

對于來自網(wǎng)絡(luò)內(nèi)部的攻擊，主流的網(wǎng)絡(luò)安全產(chǎn)品防火墻基本無能為力，這類攻擊及其誤操作行為需要網(wǎng)絡(luò)信息審計、IDS等主要針對內(nèi)部網(wǎng)絡(luò)安全的安全產(chǎn)品來抵御。

? 網(wǎng)絡(luò)資源濫用

網(wǎng)絡(luò)有了安全保證和帶寬管理，依然不能防止員工對網(wǎng)絡(luò)資源的濫用。等行為極大地降低了員工的工作效率。管理層希望員工更加有效地使用互聯(lián)網(wǎng)，盡量避免網(wǎng)絡(luò)對工作帶來負(fù)面影響。? 信息泄漏

惡意、過失的不合理信息上傳和發(fā)布，可能會造成敏感信息泄漏、有害信息擴(kuò)散，危及社會、國家、體和個人利益。更有基于競爭需要，利用技術(shù)手段對目標(biāo)機(jī)信息資源進(jìn)行竊取。在眾多人為威脅中來自用戶和惡意軟件即計算機(jī)病毒的非法侵入嚴(yán)重，計算機(jī)病毒是利用程序干擾破壞系統(tǒng)正常工作的一種手段，它的產(chǎn)生和蔓延給信息系統(tǒng)的可靠性和安全性帶來嚴(yán)重的威脅和巨大的損失。? 操作系統(tǒng)存在的安全問題

操作系統(tǒng)是作為一個支撐軟件，使得你的程序或別的應(yīng)用系統(tǒng)在上面正常運(yùn)行的一個環(huán)境。操作系統(tǒng)提供了很多的管理功能，主要是管理系統(tǒng)的軟件資源和硬件資源。操作系統(tǒng)軟件自身的不安全性，系統(tǒng)開發(fā)設(shè)計的不周而留下的破綻，都給網(wǎng)絡(luò)安全留下隱患。

? 數(shù)據(jù)庫存儲的內(nèi)容存在的安全問題

數(shù)據(jù)庫管理系統(tǒng)大量的信息存儲在各種各樣的數(shù)據(jù)庫里面，包括我們上網(wǎng)看到的所有信息，數(shù)據(jù)庫主要考慮的是信息方便存儲、利用和管理，但在安全方面考慮的比較少。例如：授權(quán)用戶超出了訪問權(quán)限進(jìn)行數(shù)據(jù)的更改活動；非法用戶繞過安全內(nèi)核，竊取信息。對于數(shù)據(jù)庫的安全而言，就是要保證數(shù)據(jù)的安全可靠和正確有效，即確保數(shù)據(jù)的安全性、完整性。數(shù)據(jù)的安全性是防止數(shù)據(jù)庫被破壞和非法的存?。粩?shù)據(jù)庫的完整性是防止數(shù)據(jù)庫中存在不符合語義的數(shù)據(jù)。

1.3計算機(jī)網(wǎng)絡(luò)中的安全缺陷及產(chǎn)生原因

①網(wǎng)絡(luò)安全天生脆弱

計算機(jī)網(wǎng)絡(luò)安全系統(tǒng)的脆弱性是伴隨計算機(jī)網(wǎng)絡(luò)一同產(chǎn)生的，換句話說，安全系統(tǒng)脆弱是計算機(jī)網(wǎng)絡(luò)與生俱來的致命弱點。在網(wǎng)絡(luò)建設(shè)中，網(wǎng)絡(luò)特性決定了不可能無條件、無限制的提高其安全性能。要使網(wǎng)絡(luò)更方便快捷，又要保證網(wǎng)絡(luò)安全，這是一個非常棘手的“兩難選擇”，而網(wǎng)絡(luò)安全只能在“兩難選擇”所允許的范圍中尋找支撐點?？梢哉f世界上任何一個計算機(jī)網(wǎng)絡(luò)都不是絕對安全的

②黑客攻擊后果嚴(yán)重

近幾年，黑客猖狂肆虐，四面出擊，使交通通訊網(wǎng)絡(luò)中斷，軍事指揮系統(tǒng)失靈，電力供水系統(tǒng)癱瘓，銀行金融系統(tǒng)混亂??危及國家的政治、軍事、經(jīng)濟(jì)的安全與穩(wěn)定，在世界各國造成了難以估量的損失。

③網(wǎng)絡(luò)殺手集團(tuán)化

目前，網(wǎng)絡(luò)殺手除了一般的黑客外，還有一批具有高精尖技術(shù)的“專業(yè)殺手”，更令人擔(dān)憂的是出現(xiàn)了具有集團(tuán)性質(zhì)的“網(wǎng)絡(luò)恐怖分子”甚至政府出面組織的“網(wǎng)絡(luò)戰(zhàn)”、“黑客戰(zhàn)”，其規(guī)?；?、專業(yè)性和破壞程度都使其他黑客望塵莫及?？梢哉f，由政府組織的“網(wǎng)絡(luò)戰(zhàn)”、“黑客戰(zhàn)”是當(dāng)前網(wǎng)絡(luò)安全的最大隱患。目前，美國正開展用無線電方式、衛(wèi)星輻射式注入方式、網(wǎng)絡(luò)方式把病毒植入敵方計算機(jī)主機(jī)或各類傳感器、網(wǎng)橋中的研究以伺機(jī)破壞敵方的武器系統(tǒng)、指揮控制系統(tǒng)、通信系統(tǒng)等高敏感的網(wǎng)絡(luò)系統(tǒng)。另外，為達(dá)到預(yù)定目的，對出售給潛在敵手的計算機(jī)芯片進(jìn)行暗中修改，在CPU中設(shè)置“芯片陷阱”，可使美國通過因特網(wǎng)發(fā)布指令讓敵方電腦停止工作，以起到“定時炸彈”的作用。

1.5影響計算機(jī)網(wǎng)絡(luò)安全的因素

①網(wǎng)絡(luò)資源的共享性

資源共享是計算機(jī)網(wǎng)絡(luò)應(yīng)用的主要目的，但這為系統(tǒng)安全的攻擊者利用共享的資源進(jìn)行破壞提供了機(jī)會。隨著互聯(lián)網(wǎng)需求的日益增長，外部服務(wù)請求不可能做到完全隔離，攻擊者利用服務(wù)請求的機(jī)會很容易獲取網(wǎng)絡(luò)數(shù)據(jù)包。

②網(wǎng)絡(luò)的開放性

網(wǎng)上的任何一個用戶很方便訪問互聯(lián)網(wǎng)上的信息資源，從而很容易獲取到一個企業(yè)、單位以及個人的敏感性信息。

③網(wǎng)絡(luò)操作系統(tǒng)的漏洞

網(wǎng)絡(luò)操作系統(tǒng)是網(wǎng)絡(luò)協(xié)議和網(wǎng)絡(luò)服務(wù)得以實現(xiàn)的最終載體之一，它不僅

負(fù)責(zé)網(wǎng)絡(luò)硬件設(shè)備的接口封裝，同時還提供網(wǎng)絡(luò)通信所需要的各種協(xié)議和服務(wù)的程序?qū)崿F(xiàn)。由于網(wǎng)絡(luò)協(xié)議實現(xiàn)的復(fù)雜性，決定了操作系統(tǒng)必然存在各種實現(xiàn)過程所帶來的缺陷和漏洞。

④網(wǎng)絡(luò)系統(tǒng)設(shè)計的缺陷

網(wǎng)絡(luò)設(shè)計是指拓?fù)浣Y(jié)構(gòu)的設(shè)計和各種網(wǎng)絡(luò)設(shè)備的選擇等。網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)操作系統(tǒng)等都會直接帶來安全隱患。合理的網(wǎng)絡(luò)設(shè)計在節(jié)約資源的情況下，還可以提供較好的安全性。不合理的網(wǎng)絡(luò)設(shè)計則會成為網(wǎng)絡(luò)的安全威脅。

⑤惡意攻擊

就是人們常見的黑客攻擊及網(wǎng)絡(luò)病毒，這是最難防范的網(wǎng)絡(luò)安全威脅。隨著電腦教育的大眾化，這類攻擊也是越來越多，影響越來越大。

第二章 計算機(jī)網(wǎng)絡(luò)安全防范策略

計算機(jī)網(wǎng)絡(luò)安全從技術(shù)上來說，主要由防病毒、防火墻、入侵檢測等多個安全組件組成，任何一個單獨(dú)的組件都無法確保網(wǎng)絡(luò)信息的安全性。目前廣泛運(yùn)用和比較成熟的網(wǎng)絡(luò)安全技術(shù)主要有：防火墻技術(shù)、數(shù)據(jù)加密技術(shù)、入侵檢測技術(shù)、防病毒技術(shù)等，以下就此幾項技術(shù)分別進(jìn)行分析。2.1防火墻技術(shù)

防火墻

防火墻是汽車中一個部件的名稱。在汽車中，利用防火墻把乘客和引擎隔開，以便汽車引擎一旦著火，防火墻不但能保護(hù)乘客安全，而同時還能讓司機(jī)繼續(xù)控制引擎。在電腦術(shù)語中，當(dāng)然就不是這個意思了，我們可 以類比來理解，在網(wǎng)絡(luò)中，所謂“防火墻”，是指一種將內(nèi)部網(wǎng)和公眾訪問網(wǎng)(如Internet)分開的方法，它實際上是一種隔離技術(shù)。防火墻是在兩個網(wǎng)絡(luò)通訊時執(zhí)行的一種訪問控制尺度，它能允許你“同意”的人和數(shù)據(jù)進(jìn)入你的網(wǎng)絡(luò)，同時將你“不同意”的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡(luò)中的黑客來訪問你的網(wǎng)絡(luò)。換句話說，如果不通過防火墻，公司內(nèi)部的人就無法訪問Internet，Internet上的人也無法和公司內(nèi)部的人進(jìn)行通信。

防火墻（FireWall）成為近年來新興的保護(hù)計算機(jī)網(wǎng)絡(luò)安全技術(shù)性措施。它是一種隔離控制技術(shù)，在某個機(jī)構(gòu)的網(wǎng)絡(luò)和不安全的網(wǎng)絡(luò)（如Internet）之間設(shè)置屏障，阻止對信息資源的非法訪問，也可以使用防火墻阻止重要信息從企業(yè)的網(wǎng)絡(luò)上被非法輸出。作為Internet網(wǎng)的安全性保護(hù)軟件，F(xiàn)ireWall已經(jīng)得到廣泛的應(yīng)用。通常企業(yè)為了維護(hù)內(nèi)部的信息系統(tǒng)安全，在企業(yè)網(wǎng)和Internet間設(shè)立FireWall軟件。企業(yè)信息系統(tǒng)對于來自Internet的訪問，采取有選擇的接收方式。它可以允許或禁止一類具體的IP地址訪問，也可以接收或拒絕TCP/IP上的某一類具體的應(yīng)用。如果在某一臺IP主機(jī)上有需要禁止的信息或危險的用戶，則可以通過設(shè)置使用FireWall過濾掉從該主機(jī)發(fā)出的包。如果一個企業(yè)只是使用Internet的電子郵件和WWW服務(wù)器向外部提供信息，那么就可以在FireWall上設(shè)置使得只有這兩類應(yīng)用的數(shù)據(jù)包可以通過。這對于路由器來說，就要不僅分析IP層的信息，而且還要進(jìn)一步了解TCP傳輸層甚至應(yīng)用層的信息以進(jìn)行取舍。FireWall一般安裝在路由器 上以保護(hù)一個子網(wǎng)，也可以安裝在一臺主機(jī)上，保護(hù)這臺主機(jī)不受侵犯。

為了讓大家更好地使用防火墻，我們從反面列舉4個有代表性的失敗案例。例1：未制定完整的企業(yè)安全策略

網(wǎng)絡(luò)環(huán)境：某中型企業(yè)購買了適合自己網(wǎng)絡(luò)特點的防火墻，剛投入使用后，發(fā)現(xiàn)以前局域網(wǎng)中肆虐橫行的蠕蟲病毒不見了，企業(yè)網(wǎng)站遭受拒絕服務(wù)攻擊的次數(shù)也大大減少了，為此，公司領(lǐng)導(dǎo)特意表揚(yáng)了負(fù)責(zé)防火墻安裝實施的信息部。

該企業(yè)網(wǎng)絡(luò)環(huán)境如圖2.1所示：

圖2.1 該企業(yè)內(nèi)部網(wǎng)絡(luò)的核心交換機(jī)是帶路由模塊的三層交換機(jī)，出口通過路由器和ISP連接。內(nèi)部網(wǎng)劃分為5個VLAN，VLAN

1、VLAN 2和VLAN 3分配給不同的部門使用，不同的VLAN之間根據(jù)部門級別設(shè)置訪問權(quán)限；VLAN 4分配給交換機(jī)出口地址和路由器使用；VLAN 5分配給公共服務(wù)器使用。在沒有加入防火墻之前，各個VLAN中的PC機(jī)能夠通過交換機(jī)和路由器不受限制地訪問Internet。加入防火墻后，給防火墻分配一個VLAN 4中的空閑IP地址，并把網(wǎng)關(guān)指向路由器；將VLAN 5接入到防火墻的一個網(wǎng)口上。這樣，防火墻就把整個網(wǎng)絡(luò)分為3個區(qū)域: 內(nèi)部網(wǎng)、公共服務(wù)器區(qū)和外部網(wǎng)，三者之間的通信受到防火墻安全規(guī)則的限制。

問題描述：防火墻投入運(yùn)行后，實施了一套較為嚴(yán)格的安全規(guī)則，導(dǎo)致公司員工無法使用QQ聊天軟件，于是沒過多久就有員工自己撥號上網(wǎng)，導(dǎo)致感染了特洛依木馬和蠕蟲等病毒，并立刻在公司內(nèi)部局域網(wǎng)中傳播開來，造成內(nèi)部網(wǎng)大面積癱瘓。

問題分析：我們知道，防火墻作為一種保護(hù)網(wǎng)絡(luò)安全的設(shè)備，必須部署在受保護(hù)網(wǎng)絡(luò)的邊界處，只有這樣防火墻才能控制所有出入網(wǎng)絡(luò)的數(shù)據(jù)通信，達(dá)到將入侵者拒之門外的目的。如果被保護(hù)網(wǎng)絡(luò)的邊界不惟一，有很多出入口，那么只部署一臺防火墻是不夠的。在本案例中，防火墻投入使用后，沒有禁止私自撥號上網(wǎng)行為，使得許多PC機(jī)通過電話線和Internet相連，導(dǎo)致網(wǎng)絡(luò)邊界不惟一，入侵者可以通過攻擊這些PC機(jī)然后進(jìn)一步攻擊內(nèi)部網(wǎng)絡(luò)，從而成功地避開了防火墻。

解決辦法：根據(jù)自己企業(yè)網(wǎng)的特點，制定一整套安全策略，并徹底地貫徹實施。比如說，制定一套安全管理規(guī)章制度，嚴(yán)禁員工私自撥號上網(wǎng);同時封掉撥號上網(wǎng)的電話號碼，并購買檢測撥號上網(wǎng)的軟件，這樣從管理和技術(shù)上杜絕出現(xiàn)網(wǎng)絡(luò)邊界不惟一的情況發(fā)生。另外，考慮到企業(yè)員工的需求，可以在防火墻上添加按照時間段生效的安全規(guī)則，在非工作時間打開QQ使用的TCP/UDP端口，使得企業(yè)員工可以在工余時間使用QQ聊天軟件。

例2：未考慮與其他安全產(chǎn)品的配合使用

問題描述：某公司購買了防火墻后，緊接著又購買了漏洞掃描和IDS（入侵檢測系統(tǒng)）產(chǎn)品。當(dāng)系統(tǒng)管理員利用IDS發(fā)現(xiàn)入侵行為后，必須每次都要手工調(diào)

整防火墻安全策略，使管理員工作量劇增，而且經(jīng)常調(diào)整安全策略，也給整個網(wǎng)絡(luò)帶來不良影響。

問題分析：選購防火墻時未充分考慮到與其他安全產(chǎn)品如IDS的聯(lián)動功能，導(dǎo)致不能最大程度地發(fā)揮安全系統(tǒng)的作用。

解決辦法：購買防火墻前應(yīng)查看企業(yè)網(wǎng)是否安裝了漏洞掃描或IDS等其他安全產(chǎn)品，以及具體產(chǎn)品名稱和型號，然后確定所要購買的防火墻是否有聯(lián)動功能（即是否支持其他安全產(chǎn)品，尤其是IDS產(chǎn)品），支持的是哪些品牌和型號的產(chǎn)品，是否與已有的安全產(chǎn)品名稱相符，如果不符，最好不要選用，而選擇能同已有安全產(chǎn)品聯(lián)動的防火墻。這樣，當(dāng)IDS發(fā)現(xiàn)入侵行為后，在通知管理員的同時發(fā)送消息給防火墻，由防火墻自動添加相關(guān)規(guī)則，把入侵者拒之門外。

例3：未經(jīng)常維護(hù)升級防火墻 問題描述：某政府機(jī)構(gòu)購置防火墻后已安全運(yùn)行一年多，由于該機(jī)構(gòu)網(wǎng)絡(luò)結(jié)構(gòu)一直很穩(wěn)定，沒有什么變化，各種應(yīng)用也運(yùn)行穩(wěn)定，因此管理員逐漸放松了對防火墻的管理，只要網(wǎng)絡(luò)一直保持暢通即可，不再關(guān)心防火墻的規(guī)則是否需要調(diào)整，軟件是否需要升級。而且由于該機(jī)構(gòu)處于政府專網(wǎng)內(nèi)，與Internet物理隔離，防火墻無法實現(xiàn)在線升級。因此該機(jī)構(gòu)的防火墻軟件版本一直還是購買時的舊版本，雖然管理員一直都收到防火墻廠家通過電子郵件發(fā)來的軟件升級包，但從未手工升級過。在一次全球范圍的蠕蟲病毒迅速蔓延事件中，政府專網(wǎng)也受到蠕蟲病毒的感染，該機(jī)構(gòu)防火墻因為沒有及時升級，無法抵御這種蠕蟲病毒的攻擊，造成整個機(jī)構(gòu)的內(nèi)部網(wǎng)大面積受感染，網(wǎng)絡(luò)陷于癱瘓之中。

問題分析：安全與入侵永遠(yuǎn)是一對矛盾。防火墻軟件作為一種安全工具，必須不斷地升級與更新才能應(yīng)付不斷發(fā)展的入侵手段，過時的防護(hù)盾牌是無法抵擋最先進(jìn)的長矛的。作為安全管理員來說，應(yīng)當(dāng)時刻留心廠家發(fā)布的升級包，及時給防火墻打上最新的補(bǔ)丁。

解決辦法：及時維護(hù)防火墻，當(dāng)本機(jī)構(gòu)發(fā)生人員變動、網(wǎng)絡(luò)調(diào)整和應(yīng)用變化時，要及時調(diào)整防火墻的安全規(guī)則，及時升級防火墻。

從以上三個案例我們可以得出一些結(jié)論：防火墻只是保證安全的一種技術(shù)手段，要想真正實現(xiàn)安全，安全策略是核心問題。保護(hù)網(wǎng)絡(luò)安全不僅僅是防火墻一種產(chǎn)品，只有將多種安全產(chǎn)品無縫地結(jié)合起來，充分利用它們各自的優(yōu)點，才能最大限度地保證網(wǎng)絡(luò)安全。而保護(hù)網(wǎng)絡(luò)安全是動態(tài)的過程，防火墻需要積極地維護(hù)和升級。

2.2 數(shù)據(jù)加密與用戶授權(quán)訪問控制技術(shù)

與防火墻相比，數(shù)據(jù)加密與用戶授權(quán)訪問控制技術(shù)比較靈活，更加適用于開放的網(wǎng)絡(luò)。用戶授權(quán)訪問控制主要用于對靜態(tài)信息的保護(hù)，需要系統(tǒng)級別的支持，一般在操作系統(tǒng)中實現(xiàn)。數(shù)據(jù)加密主要用于對動態(tài)信息的保護(hù)。對動態(tài)數(shù)據(jù)的攻擊分為主動攻擊和被動攻擊。對于主動攻擊，雖無法避免，但卻可以有效地檢測；而對于被動攻擊，雖無法檢測，但卻可以避免，實現(xiàn)這一切的基礎(chǔ)就是數(shù)據(jù)加密。數(shù)據(jù)加密實質(zhì)上是對以符號為基礎(chǔ)的數(shù)據(jù)進(jìn)行移位和置換的變換算法，這種變換是對稱密鑰算法”。這樣的密鑰必須秘密保管，只能為授權(quán)用戶所知，授權(quán)用戶既可以用該密鑰加密信急，也可以用該密鑰解密信息，DES是對稱加密算法中最具代表性的算法。在公鑰加密算法中，公鑰是公開的，任何人可以用公鑰加密信息，再將密文發(fā)送給私鑰擁有者。私鑰是保密的，用于解密其接收的公鑰加密過的信息【5】。典型的公鑰加密算法~nRSA是目前使用比較廣泛的加密算法

2.3 入侵檢測技術(shù)

入侵檢測系統(tǒng)(IntrusionDetectionSystem，IDS)是從多種計算機(jī)系統(tǒng)及網(wǎng)絡(luò)系統(tǒng)中收集信息，再通過此信息分析入侵特征的網(wǎng)絡(luò)安全系統(tǒng)。IDS被認(rèn)為是防火墻之后的第二道安全閘門，它能使在入侵攻擊對系統(tǒng)發(fā)生危害前，檢測到入侵攻擊，并利用報警與防護(hù)系統(tǒng)驅(qū)逐入侵攻擊：在入侵攻擊過程中，能減少入侵攻擊所造成的損失；在被入侵攻擊后，收集入侵攻擊的相關(guān)信息，作為防范系統(tǒng)的知識，添加入策略集中，增強(qiáng)系統(tǒng)的防范能力，避免系統(tǒng)再次受到同類型的入侵【6】。

入侵檢測的作用包括威懾、檢測、響應(yīng)、損失情況評估、攻擊預(yù)測和起訴支持。入侵檢測技術(shù)是為保證計算機(jī)系統(tǒng)的安全而設(shè)計與配置的一種能夠及時發(fā)現(xiàn)并報告系統(tǒng)中未授權(quán)或異?，F(xiàn)象的技術(shù)，是一種用于檢測計算機(jī)網(wǎng)絡(luò)中違反安全策略行為的技術(shù)。入侵檢測技術(shù)的功能主要體現(xiàn)在以下方面： 1)分析用戶及系統(tǒng)活動，查找非法用戶和合法用戶的越權(quán)操作； 2)檢測系統(tǒng)配置的正確性和安全漏洞，并提示管理員修補(bǔ)漏洞； 3)識別反映已知進(jìn)攻的活動模式并向相關(guān)人上報警； 4)對異常行為模式的統(tǒng)計分析；

5)能夠?qū)崟r地對檢測到的入侵行為進(jìn)行反應(yīng)； 6)評估重要系統(tǒng)和數(shù)據(jù)文件的完整性； 7)可以發(fā)現(xiàn)新的攻擊模式； 入侵檢測方法

方法有很多，如基于專家系統(tǒng)入侵檢測方法、基于神經(jīng)網(wǎng)絡(luò)的入侵檢測方法等。目前一些入侵檢測系統(tǒng)在應(yīng)用層入侵檢測中已有實現(xiàn)

1.監(jiān)視、分析用戶及系統(tǒng)活動；

2.系統(tǒng)構(gòu)造和弱點的審計；

3.識別反映已知進(jìn)攻的活動模式并向相關(guān)人士報警；

4.異常行為模式的統(tǒng)計分析；

5.評估重要系統(tǒng)和數(shù)據(jù)文件的完整性；

6.操作系統(tǒng)的審計跟蹤管理，并識別用戶違反安全策略的行為。

入侵檢測技術(shù)同樣存在問題

1.現(xiàn)有的入侵檢測系統(tǒng)檢測速度遠(yuǎn)小于網(wǎng)絡(luò)傳輸速度, 導(dǎo)致誤報率和漏報率

2.入侵檢測產(chǎn)品和其它網(wǎng)絡(luò)安全產(chǎn)品結(jié)合問題, 即期間的信息交換,共同協(xié)作發(fā)現(xiàn)攻擊并阻擊攻擊

3.基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)對加密的數(shù)據(jù)流及交換網(wǎng)絡(luò)下的數(shù)據(jù)流不能進(jìn)行檢測, 并且其本身構(gòu)建易受攻擊

4.入侵檢測系統(tǒng)體系結(jié)構(gòu)問題

2.4 防病毒技術(shù)

計算機(jī)病毒的預(yù)防技術(shù)就是通過一定的技術(shù)手段防止計算機(jī)病毒對系統(tǒng)的傳染和

破壞。實際上這是一種動態(tài)判定技術(shù)，即一種行為規(guī)則判定技術(shù)。也就是說，計算機(jī)病毒的預(yù)防是采用對病毒的規(guī)則進(jìn)行分類處理，而后在程序運(yùn)作中凡有類似的規(guī)則出現(xiàn)則認(rèn)定是計算機(jī)病毒。具體來說，計算機(jī)病毒的預(yù)防是通過阻止計算機(jī)病毒進(jìn)入系統(tǒng)內(nèi)存或阻止計算機(jī)病毒對磁盤的操作，尤其是寫操作。

預(yù)防病毒技術(shù)包括：磁盤引導(dǎo)區(qū)保護(hù)、加密可執(zhí)行程序、讀寫控制技術(shù)、系統(tǒng)監(jiān)控技術(shù)等。例如，大家所熟悉的防病毒卡，其主要功能是對磁盤提供寫保護(hù)，監(jiān)視在計算機(jī)和驅(qū)動器之間產(chǎn)生的信號。以及可能造成危害的寫命令，并且判斷磁盤當(dāng)前所處的狀態(tài)：哪一個磁盤將要進(jìn)行寫操作，是否正在進(jìn)行寫操作，磁盤是否處于寫保護(hù)等，來確定病毒是否將要發(fā)作。計算機(jī)病毒的預(yù)防應(yīng)用包括對已知病毒的預(yù)防和對未知病毒的預(yù)防兩個部分。目前，對已知病毒的預(yù)防可以采用特征判定技術(shù)或靜態(tài)判定技術(shù)，而對未知病毒的預(yù)防則是一種行為規(guī)則的判定技術(shù)，即動態(tài)判定技術(shù)。

一、計算機(jī)病毒的預(yù)防技術(shù)

計算機(jī)病毒的預(yù)防技術(shù)就是通過一定的技術(shù)手段防止計算機(jī)病毒對系統(tǒng)的傳染和破壞。實際上這是一種動態(tài)判定技術(shù)，即一種行為規(guī)則判定技術(shù)。也就是說，計算機(jī)病毒的預(yù)防是采用對病毒的規(guī)則進(jìn)行分類處理，而后在程序運(yùn)作中凡有類似的規(guī)則出現(xiàn)則認(rèn)定是計算機(jī)病毒。具體來說，計算機(jī)病毒的預(yù)防是通過阻止計算機(jī)病毒進(jìn)入系統(tǒng)內(nèi)存或阻止計算機(jī)病毒對磁盤的操作，尤其是寫操作。

預(yù)防病毒技術(shù)包括：磁盤引導(dǎo)區(qū)保護(hù)、加密可執(zhí)行程序、讀寫控制技術(shù)、系統(tǒng)監(jiān)控技術(shù)等。例如，大家所熟悉的防病毒卡，其主要功能是對磁盤提供寫保護(hù)，監(jiān)視在計算機(jī)和驅(qū)動器之間產(chǎn)生的信號。以及可能造成危害的寫命令，并且判斷磁盤當(dāng)前所處的狀態(tài)：哪一個磁盤將要進(jìn)行寫操作，是否正在進(jìn)行寫操作，磁盤是否處于寫保護(hù)等，來確定病毒是否將要發(fā)作。計算機(jī)病毒的預(yù)防應(yīng)用包括對已知病毒的預(yù)防和對未知病毒的預(yù)防兩個部分。目前，對已知病毒的預(yù)防可以采用特征判定技術(shù)或靜態(tài)判定技術(shù)，而對未知病毒的預(yù)防則是一種行為規(guī)則的判定技術(shù)，即動態(tài)判定技術(shù)。

二、檢測病毒技術(shù)

計算機(jī)病毒的檢測技術(shù)是指通過一定的技術(shù)手段判定出特定計算機(jī)病毒的一種技術(shù)。它有兩種：一種是根據(jù)計算機(jī)病毒的關(guān)鍵字、特征程序段內(nèi)容、病毒特征及傳染方式、文件長度的變化，在特征分類的基礎(chǔ)上建立的病毒檢測技術(shù)。另一種是不針對具體病毒程序的自身校驗技術(shù)。即對某個文件或數(shù)據(jù)段進(jìn)行檢驗和計算并保存其結(jié)果，以后定期或不定期地以保存的結(jié)果對該文件或數(shù)據(jù)段進(jìn)行檢驗，若出現(xiàn)差異，即表示該文件或數(shù)據(jù)段完整性已遭到破壞，感染上了病毒，從而檢測到病毒的存在。

三、清除病毒技術(shù)

計算機(jī)病毒的清除技術(shù)是計算機(jī)病毒檢測技術(shù)發(fā)展的必然結(jié)果，是計算機(jī)病毒傳染程序的一種逆過程。目前，清除病毒大都是在某種病毒出現(xiàn)后，通過對其進(jìn)行分析研究而研制出來的具有相應(yīng)解毒功能的軟件。這類軟件技術(shù)發(fā)展往往是被動的，帶有滯后性。而且由于計算機(jī)軟件所要求的精確性，解毒軟件有其局限性，對有些變種病毒的清除無能為力。目前市場上流行的Intel公司的PC_CILLIN、CentralPoint公司的CPAV，及我國的LANClear和Kill89等產(chǎn)品均采用上述三種防病毒技術(shù)

2.4.1 對付病毒有以下四種基本方法

1、基于網(wǎng)絡(luò)目錄和文件安全性方法

以NetWare為例，在NetWare中，提供了目錄和文件訪問權(quán)限與屬性兩種安全性措施。“訪問權(quán)限有：防問控制權(quán)、建立權(quán)、刪除權(quán)、文件掃描權(quán)、修改權(quán)、讀權(quán)、寫權(quán)和管理權(quán)。屬性有：需歸檔、拷貝禁止、刪除禁止、僅執(zhí)行、隱含、索引、清洗、讀審記、寫審記、只讀、讀寫、改名禁止、可共享、系統(tǒng)和交易。屬性優(yōu)先于訪問權(quán)限。根據(jù)用戶對目錄和文件的操作能力，分配不同的訪問權(quán)限和屬性。例如，對于公用目錄中的系統(tǒng)文件和工具軟件，應(yīng)該只設(shè)置只讀屬性，系統(tǒng)程序所在的目錄不要授予修改權(quán)和管理權(quán)。這樣，病毒就無法對系統(tǒng)程序?qū)嵤└腥竞图纳?，其它用戶也就不會感染病毒?/p>

由此可見，網(wǎng)絡(luò)上公用目錄或共享目錄的安全性措施，對于防止病毒在網(wǎng)上傳播起到積極作用。至于網(wǎng)絡(luò)用戶的私人目錄，由于其限于個別使用，病毒很難傳播給其它用戶。采用基于網(wǎng)絡(luò)目錄和文件安全性的方法對防止病毒起到了一定作用，但是這種方法畢竟是基于網(wǎng)絡(luò)操作系統(tǒng)的安全性的設(shè)計，存在著局限性?，F(xiàn)在市場上還沒有一種能夠完全抵御計算機(jī)病毒侵染的網(wǎng)絡(luò)操作系統(tǒng)，從網(wǎng)絡(luò)安全性措施角度來看，在網(wǎng)絡(luò)上也是無法防止帶毒文件的入侵。

2、采用工作站防病毒芯片

這種方法是將防病毒功能集成在一個芯片上，安裝在網(wǎng)絡(luò)工作站上，以便經(jīng)常性地保護(hù)工作站及其通往服務(wù)器的路徑。工作站是網(wǎng)絡(luò)的門戶，只要將這扇門戶關(guān)好，就能有效地防止病毒的入侵。將工作站存取控制與病毒保護(hù)能力合二為一插在網(wǎng)卡的EPROM槽內(nèi)，用戶也可以免除許多繁瑣的管理工作。

Trend Micro Devices公司解決的辦法是基于網(wǎng)絡(luò)上每個工作站都要求安裝網(wǎng)絡(luò)接口卡網(wǎng)絡(luò)接口卡上有一個Boot Rom芯片，因為多數(shù)網(wǎng)卡的Boot Rom并沒有充分利用，都會剩余一些使用空間，所以如果安全程序夠小的話，就可以把它安裝在網(wǎng)絡(luò)的Boot Rom的剩余空間內(nèi)，而不必另插一塊芯片。

市場上Chipway防病毒芯片就是采用了這種網(wǎng)絡(luò)防病毒技術(shù)。在工作站DOS引導(dǎo)過程中，ROMBIOS，Extended BIOS裝入后，Partition Table裝入之前，Chipway獲得控制權(quán)，這樣可以防止引導(dǎo)型病毒。Chipway的特點是：①不占主板插槽，避免了沖突；②遵循網(wǎng)絡(luò)上國際標(biāo)準(zhǔn)，兼容性好；③具有他工作站防毒產(chǎn)品的優(yōu)點。但目前，Chipway對防止網(wǎng)絡(luò)上廣為傳播的文件型病毒能力還十分有限。

3、采用Station Lock網(wǎng)絡(luò)防毒方法

Station Lock是著名防病毒產(chǎn)品開發(fā)商Trend Micro Devices公司的新一代網(wǎng)絡(luò)防病毒產(chǎn)品。其防毒概念是建立在”病毒必須執(zhí)行有限數(shù)量的程序之后，才會產(chǎn)生感染效力“的基礎(chǔ)之上。例如，病毒是一個不具自我辨別能力的小程序，在病毒傳染過程中至少必須攔截一個DOS中斷請求，而且必須試圖改變程序指針，以便讓系統(tǒng)優(yōu)先執(zhí)行病毒程序從而獲得系統(tǒng)控制權(quán)。引導(dǎo)型病毒必須使用系統(tǒng)的BIOS功能調(diào)用，文件型病毒必須將自己所有的程序代碼拷貝到另一個系統(tǒng)執(zhí)行文件時才能復(fù)制感染?；旌闲筒《竞投嘈误w病毒在實施感染之前也必須獲取系統(tǒng)控制權(quán)，才能運(yùn)行病毒體程序而實施感染。Station Lock就是通過這些特點，用間接方法觀察，精確地預(yù)測病毒的攻擊行為。其作用對象包括多型體病毒和未來型病毒。

Station Lock也能處理一些基本的網(wǎng)絡(luò)安全性問題，例如存取控制、預(yù)放未授權(quán)拷貝以及在一個點對點網(wǎng)絡(luò)環(huán)境下限制工作站資源相互存取等。Station Lock能根據(jù)病毒活動辯別可能的病毒攻擊意圖，并在它造成任

何破壞之前予以攔截。由于Station Lock是在啟動系統(tǒng)開始之前，就接管了工作站上的硬件和軟件，所以病毒攻擊Station Lock是很困難的。Station Lock是目前網(wǎng)絡(luò)環(huán)境下防治病毒比較有效的方法。

4、基于服務(wù)器的防毒技術(shù)

服務(wù)器是網(wǎng)絡(luò)的核心，一旦服務(wù)器被病毒感染，就會使服務(wù)器無法啟動，整個網(wǎng)絡(luò)陷于癱瘓，造成災(zāi)難性后果。目前基于服務(wù)器的防治病毒方法大都采用了NLM(NetWare Load Module)技術(shù)以NLM模塊方式進(jìn)行程序設(shè)計，以服務(wù)器為基礎(chǔ)，提供實時掃描病毒能力。市場上的產(chǎn)品如Central Point公司的AntiVirus for Networks，Intel公司的LANdesk Virus Protect以及南京威爾德電腦公司的Lanclear for NetWare等都是采用了以服務(wù)器為基礎(chǔ)的防病毒技術(shù)。這些產(chǎn)品的目的都是保護(hù)服務(wù)器，使服務(wù)器不被感染。這樣，病毒也就失去了傳播途徑，因而從根本上杜絕了病毒在網(wǎng)上蔓延。

(1)對服務(wù)器中所有文件掃描

這一方法是對服務(wù)器的所有文件進(jìn)行集中檢查看其是否帶毒，若有帶毒文件，則提供給網(wǎng)絡(luò)管理員幾種處理方法。允許用戶清除病毒，或刪除帶毒文件，或更改帶毒文件名成為不可執(zhí)行文件名并隔離到一個特定的病毒文件目錄中。

(2)實時在線掃描

網(wǎng)絡(luò)防病毒技術(shù)必須保持全天24小時監(jiān)控網(wǎng)絡(luò)是否有帶毒文件進(jìn)入服務(wù)器。為了保證病毒監(jiān)測實時性，通常采用多線索的設(shè)計方法，讓檢測程序作為一個隨時可以激活的功能模塊，且在NetWare運(yùn)行環(huán)境中，不影響其它線索的運(yùn)行。這往往是設(shè)計一個NLM最重要的部分，即多線索的調(diào)度。實時在線掃描能非常及時地追蹤病毒的活動，及時告之網(wǎng)絡(luò)管理員和工作站用戶。

(3)掃描選擇

該功能允許網(wǎng)絡(luò)管理員定期檢查服務(wù)器中是否帶毒，例如可按每月、每星期、每天集中掃描一下網(wǎng)絡(luò)服務(wù)器，這樣就使網(wǎng)絡(luò)用戶擁有極大的操作選擇余地。

(4)自動報告功能及病毒存檔

當(dāng)網(wǎng)絡(luò)用戶將帶毒文件有意或無意地拷入服務(wù)器中時，網(wǎng)絡(luò)防病毒系統(tǒng)必須立即通知網(wǎng)絡(luò)管理員，或涉嫌病毒的使用者，同時自己記入病毒檔案。病毒檔案一般包括：病毒類型、病毒名稱、帶毒文件所存的目錄及工作站標(biāo)識等，另外，記錄對病毒文件處理方法。

(5)工作站掃描

基于服務(wù)器的防病毒軟件不能保護(hù)本地工作站的硬盤，有效的方法是在服務(wù)器上安裝防毒軟件，同時在上網(wǎng)的工作站內(nèi)存中調(diào)入一個常駐掃毒程序，實時檢測在工作站中運(yùn)行的程序。如LANdesk Virus Protect采用Lpscan，而LANClear for NetWare采用world程序等。

(6)對用戶開放的病毒特征接口

大家知道病毒及其變種層出不窮。據(jù)有關(guān)資料報道，截止1994年2月25日，全世界流傳的MSDOS病毒達(dá)2700多種。如何使防病毒系統(tǒng)能對付不斷出現(xiàn)的新病毒？這要求開發(fā)商能夠使自己的產(chǎn)品具有自動升級功能，也就是真正交給網(wǎng)絡(luò)

用戶防治病毒的一把金鑰匙。其典型的做法是開放病毒特征數(shù)據(jù)庫。用戶隨時將遇到的帶毒文件，經(jīng)過病毒特征分析程序，自動將病毒特征加入特征庫，以隨時增強(qiáng)抗毒能力。當(dāng)然這一工作難度極大，需要不懈的努力。在上述四種網(wǎng)絡(luò)防毒技術(shù)中，Station Lock是一種針對病毒行為的防治方法，StationLock目前已能提供Intel以太網(wǎng)絡(luò)接口卡支持，而且未來還將支持各種普及型的以太令牌環(huán)(Token-Ring)網(wǎng)絡(luò)接口卡?；诜?wù)器的防治病毒方法，表現(xiàn)在可以集中式掃毒，能實現(xiàn)實時掃描功能，軟件升級方便。特別是當(dāng)連網(wǎng)的機(jī)器很多時，利用這種方法比為每臺工作站都安裝防病毒產(chǎn)品要節(jié)省成本。其代表性的產(chǎn)品有LANdesk、LANClear for NetWare等。

2.5 安全管理隊伍的建設(shè)

在計算機(jī)網(wǎng)絡(luò)系統(tǒng)中，絕對的安全是不存在的，制定健全的安全管理體制是計算機(jī)網(wǎng)絡(luò)安全的重要保證，只有通過網(wǎng)絡(luò)管理人員與使用人員的共同努力，運(yùn)用一切可以使用的工具和技術(shù)，盡一切可能去控制、減小一切非法的行為，盡可能地把不安全的因素降到最低。同時，要不斷地加強(qiáng)計算機(jī)信息網(wǎng)絡(luò)的安全規(guī)范化管理力度，大力加強(qiáng)安全技術(shù)建設(shè)，強(qiáng)化使用人員和管理人員的安全防范意識。網(wǎng)絡(luò)內(nèi)使用的IP地址作為一種資源以前一直為某些管理人員所忽略，為了更好地進(jìn)行安全管理工作，應(yīng)該對本網(wǎng)內(nèi)的IP地址資源統(tǒng)一管理、統(tǒng)一分配。對于盜用IP資源的用戶必須依據(jù)管理制度嚴(yán)肅處理。只有共同努力，才能使計算機(jī)網(wǎng)絡(luò)的安全可靠得到保障，從而使廣大網(wǎng)絡(luò)用戶的利益得到保障。

第三章 防火墻技術(shù)

3.1 防火墻的定義

防火墻是指設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口,能根據(jù)網(wǎng)絡(luò)的安全政策控制(允許拒絕監(jiān)測)出入網(wǎng)絡(luò)的信息流,且本身具有較強(qiáng)的抗攻擊能力。它是提供信息安全服務(wù),實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。

Internet防火墻是一個或一組系統(tǒng)，它能增強(qiáng)機(jī)構(gòu)內(nèi)部網(wǎng)絡(luò)的安全性，用于加強(qiáng)網(wǎng)絡(luò)間的訪問控制，防止外部用戶非法使用內(nèi)部網(wǎng)的資源，保護(hù)內(nèi)部網(wǎng)絡(luò)的設(shè)備不被破壞，防止內(nèi)部網(wǎng)絡(luò)的敏感數(shù)據(jù)被竊取，防火墻系統(tǒng)還決定了哪些內(nèi)部服務(wù)可以被外界訪問，外界的哪些人可以訪問內(nèi)部的服務(wù)，以及哪些外部服務(wù)何時可以被內(nèi)部人員訪問。要使一個防火墻有效，所有來自和去往Internet的信息都必須經(jīng)過防火墻并接受檢查。防火墻必須只允許授權(quán)的數(shù)據(jù)通過，并且防火墻本身也必須能夠免于滲透。但是，防火墻系統(tǒng)一旦被攻擊突破或迂回繞過，就不能提供任何保護(hù)了。3.2防火墻的功能

3.2.1 防火墻是網(wǎng)絡(luò)安全的屏障

防火墻(作為阻塞點,控制點)能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性,并通過過濾不安全的服務(wù)而降低風(fēng)險。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻,所以網(wǎng)絡(luò)環(huán)境變得更安全。

防火墻可以強(qiáng)化網(wǎng)絡(luò)安全策略,通過以防火墻為中心的安全方案配置,能將所有安全軟件(如口令加密身份認(rèn)證審計等)配置在防火墻上，對網(wǎng)絡(luò)存取和訪問進(jìn)行監(jiān)控審計:所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并作出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù),當(dāng)發(fā)生可疑動作時，防火墻能進(jìn)行適當(dāng)?shù)膱缶?并提供網(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細(xì)信息。防止內(nèi)部信息的外泄，通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離,而限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。3.2.2防火墻的種類

防火墻技術(shù)可根據(jù)防范的方式和側(cè)重點的不同,總體來講可分為二大類:分組過濾,應(yīng)用代理。

分組過濾(Packetfiltering);作用在網(wǎng)絡(luò)層和傳輸層,它根據(jù)分組包頭源地址,目的地址和端口號,協(xié)議類型等標(biāo)志確定是否允許數(shù)據(jù)包通過。只有滿足過濾邏輯的數(shù)據(jù)包才被轉(zhuǎn)發(fā)到相應(yīng)的目的地出口端,其余數(shù)據(jù)包則被從數(shù)據(jù)流中丟棄。

應(yīng)用代理(ApplicationProxy):也叫應(yīng)用網(wǎng)關(guān)(ApplicationGateway), 它作用在應(yīng)用層,其特點是完全 “ 阻隔 ” 了網(wǎng)絡(luò)通信流通過對每種應(yīng)用服務(wù)編制專門的代理程序,實現(xiàn)監(jiān)視和控制應(yīng)用層通信流的作用,實際中的應(yīng)用網(wǎng)關(guān)通常由專用工作站實現(xiàn)【8】。

3.3 防火墻的技術(shù)原理

目前，防火墻系統(tǒng)的工作原理因?qū)崿F(xiàn)技術(shù)不同，大致可分為三種：（1）包過濾技術(shù)

包過濾技術(shù)是一種基于網(wǎng)絡(luò)層的防火墻技術(shù)。根據(jù)設(shè) 置好的過濾規(guī)則，通

過檢查IP數(shù)據(jù)包來確定是否該數(shù)據(jù)包通過。而那些不符合規(guī)定的IP地址會被防火墻過濾掉，由此保證網(wǎng)絡(luò)系統(tǒng)的安全。該技術(shù)通常可以過濾基于某些或所有下列信息組的IP包：源IP地址;目的IP地址;TCP/UDP源端口;TCP/UDP目的端口。包過濾技術(shù)實際上是一種基于路由器的技術(shù)，其最大優(yōu)點就是價格便宜，實現(xiàn)邏輯簡單便于安裝和使用。

缺點：1）過濾規(guī)則難以配置和測試。2）包過濾只訪問網(wǎng)絡(luò)層和傳輸層的信息，訪問信息有限，對網(wǎng)絡(luò)更高協(xié)議層的信息無理解能力。3）對一些協(xié)議，如UDP和RPC難以有效的過濾。

（2）代理技術(shù)

代理技術(shù)是與包過濾技術(shù)完全不同的另一種防火墻技術(shù)。其主要思想就是在兩個網(wǎng)絡(luò)之間設(shè)置一個“中間檢查站”，兩邊的網(wǎng)絡(luò)應(yīng)用可以通過這個檢查站相互通信，但是它們之間不能越過它直接通信。這個“中間檢查站”就是代理服務(wù)器，它運(yùn)行在兩個網(wǎng)絡(luò)之間，對網(wǎng)絡(luò)之間的每一個請求進(jìn)行檢查。當(dāng)代理服務(wù)器接收到用戶請求后，會檢查用戶請求合法性。若合法，則把請求轉(zhuǎn)發(fā)到真實的服務(wù)器上，并將答復(fù)再轉(zhuǎn)發(fā)給用戶。代理服務(wù)器是針對某種應(yīng)用服務(wù)而寫的，工作在應(yīng)用層。

優(yōu)點：它將內(nèi)部用戶和外界隔離開來，使得從外面只能看到代理服務(wù)器而看不到任何內(nèi)部資源。與包過濾技術(shù)相比，代理技術(shù)是一種更安全的技術(shù)【9】。

缺點：在應(yīng)用支持方面存在不足，執(zhí)行速度較慢。（3）狀態(tài)監(jiān)視技術(shù) 這是第三代防火墻技術(shù)，集成了前兩者的優(yōu)點。能對網(wǎng)絡(luò)通信的各層實行檢測。同包過濾技術(shù)一樣，它能夠檢測通過IP地址、端口號以及TCP標(biāo)記，過濾進(jìn)出的數(shù)據(jù)包。它允許受信任的客戶機(jī)和不受信任的主機(jī)建立直接連接，不依靠與應(yīng)用層有關(guān)的代理，而是依靠某種算法來識別進(jìn)出的應(yīng)用層數(shù)據(jù)，這些算法通過己知合法數(shù)據(jù)包的模式來比較進(jìn)出數(shù)據(jù)包，這樣從理論上就能比應(yīng)用級代理在過濾數(shù)據(jù)包上更有效。

狀態(tài)監(jiān)視器的監(jiān)視模塊支持多種協(xié)議和應(yīng)用程序，可方便地實現(xiàn)應(yīng)用和服務(wù)的擴(kuò)充。此外，它還可監(jiān)測RPC和UDP端口信息，而包過濾和代理都不支持此類端口。這樣，通過對各層進(jìn)行監(jiān)測，狀態(tài)監(jiān)視器實現(xiàn)網(wǎng)絡(luò)安全的目的。目前，多使用狀態(tài)監(jiān)測防火墻，它對用戶透明，在OSI最高層上加密數(shù)據(jù)，而無需修改客戶端程序，也無需對每個需在防火墻上運(yùn)行的服務(wù)額外增加一個代理。

要想建立一個真正行之有效的安全的計算機(jī)網(wǎng)絡(luò)，僅使用防火墻還是不夠，在實際的應(yīng)用中，防火墻常與其它安全措施，比如加密技術(shù)、防病毒技術(shù)等綜合應(yīng)用，才起到防御的最大化的效果。3.4 防火墻的應(yīng)用

3.4.1 個人防火墻的應(yīng)用 瑞星個人防火墻的應(yīng)用 1）安裝

第一步啟動安裝程序。

當(dāng)把瑞星個人防火墻下載版安裝程序保存到您電腦中的指定目錄后，找到該目錄，雙擊運(yùn)行安裝程序，就可以進(jìn)行瑞星個人防火墻下載版的安裝了。

第二步完成安裝后，如圖3.1：

圖3.1 第三步輸入產(chǎn)品序列號和用戶ID。

啟動個人防火墻，當(dāng)出現(xiàn)如圖3.2下所示的窗口后，在相應(yīng)位置輸入您購買獲得的產(chǎn)品序列號和用戶ID，點擊“確定”，通過驗證后則會提示“您的瑞星個人防火墻現(xiàn)在可以正常使用”。

圖3.2 常見問題：不輸入產(chǎn)品序列號和用戶ID，產(chǎn)品將無法升級，防火墻保護(hù)功能將全部失效，您的計算機(jī)將無法抵御黑客攻擊。

2）升級

第一步網(wǎng)絡(luò)配置：

?打開防火墻主程序

?在菜單中依次選擇【設(shè)置】/【設(shè)置網(wǎng)絡(luò)】，打開【網(wǎng)絡(luò)設(shè)置】窗口,如圖3.3

圖3.3 1。設(shè)定網(wǎng)絡(luò)連接方式，如果設(shè)定“通過代理服務(wù)器訪問網(wǎng)絡(luò)”，還需要輸入代理服務(wù)器IP、端口、身份驗證信息。

2。您可以選中【使用安全升級模式】，確保升級期間阻止新的網(wǎng)絡(luò)連接 3。點擊【確定】按鈕完成設(shè)置

小提示：

1。如果您已經(jīng)可以瀏覽網(wǎng)頁，說明網(wǎng)絡(luò)設(shè)置已經(jīng)配置好了，這里直接使用默認(rèn)設(shè)置即可。

2。如果您不使用撥號方式上網(wǎng)，將不會看到界面中【使用撥號網(wǎng)絡(luò)連接】的選項以及相關(guān)設(shè)置。

3。請確保此步設(shè)置正確，否則可能無法完成智能升級。

第二步：智能升級

完成網(wǎng)絡(luò)配置后，進(jìn)行智能升級的操作方法：

方法一：點擊主界面右側(cè)的【智能升級】按鈕，圖3.4示:

圖3.4 方法二：在菜單中依次選擇【操作】/【智能升級】

方法三：右鍵點擊防火墻托盤圖標(biāo)，在彈出菜單中選擇【啟動智能升級】 3)啟動瑞星個人防火墻下載版程序

啟動瑞星個人防火墻軟件主程序有三種方法：

方法一：進(jìn)入【開始】/【所有程序】/【瑞星個人防火墻】，選擇【瑞星個人防火墻】即可啟動。

方法二：用鼠標(biāo)雙擊桌面上的【瑞星個人防火墻】快捷圖標(biāo)即可啟動。方法三：用鼠標(biāo)單擊任務(wù)欄“快速啟動”上的【瑞星個人防火墻】快捷圖標(biāo)

即可啟動。

成功啟動程序后的界面如下圖3.5所示:

圖3.5 主要界面元素

1、菜單欄：

用于進(jìn)行菜單操作的窗口，包括【操作】、【設(shè)置】、【幫助】三個菜單。如圖3.6示:

圖3.6

2、操作按鈕：

位于主界面右側(cè)，包括【啟動/停止保護(hù)】、【連接/斷開網(wǎng)絡(luò)】、【智能升級】、【查看日志】。如圖3。7示:

圖3.7 功能：停止防火墻的保護(hù)功能，執(zhí)行此功能后，您計算機(jī)將不再受瑞星防火墻的保護(hù)已處于停止保護(hù)狀態(tài)時，此按鈕將變?yōu)椤締⒂帽Ｗo(hù)】；點擊將重新啟用防火墻的保護(hù)功能，您也可以通過菜單項【操作】/【停止保護(hù)】來執(zhí)行此功能；將您的計算機(jī)完全與網(wǎng)絡(luò)斷開，就如同拔掉網(wǎng)線或是關(guān)掉Modem一樣。其他人都不能訪問您的計算機(jī)，但是您也不能再訪問網(wǎng)絡(luò)。這是在遇到頻繁攻擊時最為有效的應(yīng)對方法；已經(jīng)斷開網(wǎng)絡(luò)后，此項將變?yōu)椤具B接網(wǎng)絡(luò)】，點擊將恢復(fù)網(wǎng)絡(luò)連接；您也可以通過菜單項【操作】/【斷開網(wǎng)絡(luò)】來執(zhí)行此功能；啟動智能升級程序?qū)Ψ阑饓M(jìn)行升級更新；您也可以通過菜單項【操作】/【智能升級】來執(zhí)行此功能；啟動日志顯示程序；您也可能通過【操作】/【顯示日志】來執(zhí)行此

功能。

3、標(biāo)簽頁：

位于主界面上部，分【工作狀態(tài)】、【系統(tǒng)狀態(tài)】、【游戲保護(hù)】、【安全資訊】、【漏洞掃描】、【啟動選項】六個標(biāo)簽。如圖3。8示:

圖3。8

4、安全級別：

位于主界面右下角，拖動滑塊到對應(yīng)的安全級別，修改立即生效。

5、當(dāng)前版本及更新日期：

位于主界面右上角，顯示防火墻當(dāng)前版本及更新日期。

6、規(guī)則設(shè)置

配置防火墻的過濾規(guī)則（如圖3。9），包括： 黑名單：在黑名單中的計算機(jī)禁止與本機(jī)通訊

白名單：在白名單中的計算機(jī)對本地具有完全的訪問權(quán)限

端口開關(guān)：允許或禁止端口中的通訊，可簡單開關(guān)本機(jī)與遠(yuǎn)程的端口 可信區(qū)：通過可信區(qū)的設(shè)置，可以把局域網(wǎng)和互聯(lián)網(wǎng)區(qū)分對待 IP規(guī)則：在IP層過濾的規(guī)則

訪問規(guī)則：本機(jī)中訪問網(wǎng)絡(luò)的程序的過濾規(guī)則

圖3。9 3.4.2 防火墻技術(shù)在校園網(wǎng)中應(yīng)用

一、安裝防火墻

防火墻技術(shù)在校園網(wǎng)安全建設(shè)中得到廣泛的應(yīng)用。由于防火墻是一種按某種規(guī)則對專網(wǎng)和互聯(lián)網(wǎng),或?qū)ヂ?lián)網(wǎng)的一部分和其余部分之間的信息交換進(jìn)行有條件的控制(包括隔離),從而阻斷不希望發(fā)生的網(wǎng)絡(luò)間通信的系統(tǒng)部署防火墻技術(shù)[10],構(gòu)筑內(nèi)外網(wǎng)之間的安全屏障,可以有效地將內(nèi)部網(wǎng)與外部網(wǎng)隔離開來,保護(hù)校園網(wǎng)絡(luò)不受未經(jīng)授權(quán)的第三方侵入。

二、校園網(wǎng)防火墻系統(tǒng)的配置

假定校園網(wǎng)通過Cisco路由器與INTERNET相連。校園內(nèi)的IP地址范圍是確

定的,且有明確的閉和邊界,它有一個C類的IP地址,有DNS、Email、WWW、FTP等服務(wù)器,可采用以下存取控制策略。

1)對進(jìn)入CERNET主干網(wǎng)的存取控制

2)對網(wǎng)絡(luò)中心資源主機(jī)的訪問控制,網(wǎng)絡(luò)中心的DNS、Email、FTP、WWW等服務(wù)器是重要的資源,要特別的保護(hù),可對網(wǎng)絡(luò)中心所在子網(wǎng)禁止,DNS,Email,WWW,FTP以外的一切服務(wù)。

3)對校外非法網(wǎng)址的訪問,一般情況,一些傳播非法信息的站點主要在校外,而這些站點的域名可能是已知的。為防止IP地址欺騙和盜用需為對網(wǎng)絡(luò)內(nèi)部人員訪問Internet進(jìn)行一定限制在連接內(nèi)部網(wǎng)絡(luò)的端口接收數(shù)據(jù)時進(jìn)行IP地址和以太網(wǎng)地址檢查,盜用IP地址的數(shù)據(jù)包將被丟棄,并記錄有關(guān)信息;再連接 Internet 端接收數(shù)據(jù)時,如從外部網(wǎng)絡(luò)收到一段假冒內(nèi)部IP地址發(fā)出的報文,也應(yīng)丟棄,并記錄有關(guān)信息。防止IP地址被盜用的徹底解決辦法是:代理服務(wù)器防火墻和捆綁IP地址和以太網(wǎng)地址,對非法訪問的動態(tài)禁止一旦獲得某個IP地址的訪問是非法的,可立即更改路由器中的存取控制表,從而禁止其對外的非法訪問。首先應(yīng)在路由器和校園網(wǎng)的以太口預(yù)設(shè)控制組102,然后過濾掉來自非法地址的所有IP包。

結(jié)論

計算機(jī)網(wǎng)絡(luò)的安全問題越來越受到人們的重視，一個安全的計算機(jī)網(wǎng)絡(luò)系統(tǒng)的保護(hù)不僅和系統(tǒng)管理員的系統(tǒng)安全知識有關(guān)，而且和每個使用者的安全操作等都有關(guān)系。網(wǎng)絡(luò)安全是動態(tài)的，新的Internet黑客站點、病毒與安全技術(shù)每日劇增，世界上不存在絕對安全的網(wǎng)絡(luò)系統(tǒng)，隨著計算機(jī)網(wǎng)絡(luò)技術(shù)的進(jìn)一步發(fā)展，網(wǎng)絡(luò)安全防護(hù)技術(shù)也必然隨著網(wǎng)絡(luò)應(yīng)用的發(fā)展而不斷發(fā)展。

防火墻不能完全解決網(wǎng)絡(luò)安全的全部問題，如不能防范內(nèi)部攻擊等，因此還需要考慮其他技術(shù)的和非技術(shù)的因素，如身份鑒別，信息加密術(shù)，提高網(wǎng)絡(luò)管理人員的安全意識等，總之，防火墻是網(wǎng)絡(luò)安全的第一道重要的安全屏障，如何提高防火墻的防護(hù)能力并保證系統(tǒng)的高速高效運(yùn)行，不斷提高網(wǎng)絡(luò)安全水平，這將是一個隨著網(wǎng)絡(luò)技術(shù)的發(fā)展而不斷研究的課題。

致謝

本文是在指導(dǎo)老師胡楠老師的悉心教導(dǎo)下完成的。寫論文的這段時間，老師淵博的學(xué)識，嚴(yán)謹(jǐn)?shù)闹螌W(xué)太多和細(xì)心指導(dǎo)，以及他給我的支持和鼓勵使我終身難忘，我所取得的每一點成就都與導(dǎo)師的熱心關(guān)懷和精心指導(dǎo)是分不開的，值此論文完成之際，特別向?qū)熤乱灾孕牡母兄x各崇高的敬意。

本課題的完成過程中，本人還得到了同學(xué)們及其他各方面的支持和幫助，特別感謝致謝在一起愉快的度過大學(xué)生活的各位室友，正是由于你們的幫助和支持，我才能克服一個一個的困難和疑惑，直至本文的順利完成。

在論文即將完成之際，我的心情無法平靜，從開始進(jìn)入課題到論文的順利完成，有多少可敬的師長、同學(xué)、朋友給了我無言的幫助，在這里請接受我誠摯的謝意!我還要感謝培養(yǎng)我長大含辛茹苦的父母，謝謝你們!最后，我要向百忙之中抽時間對本文進(jìn)行審閱，評議和參與本人論文答辯的各位老師表示感謝。

參考文獻(xiàn)

[1]張斌,黑客與反黑客,北京郵電大學(xué)出版社,Pag56-75 [2]石淑華,池瑞楠,計算機(jī)網(wǎng)絡(luò)安全技術(shù)(第二版),北京人民郵電出版社,Pag267-283 [3]肖新峰,宋強(qiáng),王立新等,TCP/IP協(xié)議與網(wǎng)絡(luò)管理,北京清華大學(xué)出版社,Pag83-99 [4]李軍,防火墻上臺階,信息網(wǎng)絡(luò)安全2004年07期,Pag28—29 [5]陳愛民,計算機(jī)的安全與保密,北京電子工業(yè)出版社,pag35-42 [6]蔣建春,馬恒太,任黨恩等,網(wǎng)絡(luò)安全入侵檢測研究綜述軟件學(xué)報

[7]石淑華,池瑞楠,計算機(jī)網(wǎng)絡(luò)安全技術(shù)(第二版),北京人民郵電出版社,Pag70-104 [8]老聃,安全網(wǎng)關(guān)—網(wǎng)絡(luò)邊界防護(hù)的利器,信息安全與通信保密,2004年08期75 [9]陳平,何慶等主編,電腦2003合訂本，西南師范大學(xué)出版社,2004年1月 [10] 張穎,劉軍,王磊,計算機(jī)網(wǎng)絡(luò)安全的現(xiàn)狀及解決方法[N]電腦商情報 ,2007年1月

第五篇：淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)論文

婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

摘 要

隨著時代的發(fā)展，Internet日益普及，網(wǎng)絡(luò)已經(jīng)成為信息資源的海洋，給人們帶來了極大的方便。但由于Internet是一個開放的，無控制機(jī)構(gòu)的網(wǎng)絡(luò)，經(jīng)常會受到計算機(jī)病毒、黑客的侵襲。它可使計算機(jī)和計算機(jī)網(wǎng)絡(luò)數(shù)據(jù)和文件丟失，系統(tǒng)癱瘓。因此，計算機(jī)網(wǎng)絡(luò)系統(tǒng)安全問題必須放在首位。作為保護(hù)局域子網(wǎng)的一種有效手段，防火墻技術(shù)備受睞。

本文主要闡述了網(wǎng)絡(luò)安全技術(shù)所要受到的各方面威脅以及自身存在的一些缺陷，所謂知己知彼，百戰(zhàn)不殆。只有了解了網(wǎng)絡(luò)安全存在的內(nèi)憂外患，才能更好的改善網(wǎng)絡(luò)安全技術(shù)，發(fā)展網(wǎng)絡(luò)安全技術(shù)。然后主要闡述防火墻在網(wǎng)絡(luò)安全中起到的巨大的作用，防火墻的優(yōu)缺點及各種類型防火墻的使用和效果。

計算機(jī)網(wǎng)絡(luò)技術(shù)的在飛速發(fā)展中，尤其是互聯(lián)網(wǎng)的應(yīng)用變得越來越廣泛，在帶來了前所未有的海量信息的同時，網(wǎng)絡(luò)的開放性和自由性也產(chǎn)生了私有信息和數(shù)據(jù)被破壞或侵犯的可能性，網(wǎng)絡(luò)信息的安全性變得日益重要，只有熟悉了各種對網(wǎng)絡(luò)安全的威脅，熟悉各種保護(hù)網(wǎng)路安全的技術(shù)，我們才能更好的保護(hù)計算機(jī)和信息的安全。

關(guān)鍵字：計算機(jī)網(wǎng)絡(luò)；網(wǎng)絡(luò)安全；防范措施；防火墻技術(shù)

婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

Abstract With the development of The Times, the Internet has become increasingly popular and network information resources of the sea, and bring great convenience。But because of the Internet is an open, without control network, computer virus, often by hackers。It can make the computer and the computer network, the system files and data loss。Therefore, the computer network system security problems must be given priority。As the protection of local subnet an effective means, firewall technology。

This article mainly elaborated by network security technology to every aspect of the threat and its existence, some defects, so-called awareness。The existence of the 1930's and network security, can improve network security technology, the development of network security technology。And then expounds mainly firewall in network security of huge role plays, advantages and disadvantages of various types of firewall use and effect of the firewall。

The computer network technology, especially in the rapid development of the Internet is becoming more and more widely applied in brought an unprecedented huge amounts of information, network of openness and freedom in the private information and data were damaged or infringed, the possibility of network information security is becoming increasingly important, only familiar to all kinds of network security threats, familiar with various protection network security technology, we can better protect the computer and information security。

Key words: Computer network, Network security, The prevention measures, Firewall technology

II 淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

目錄

摘 要................................................I Abstract.............................................II 引言.................................................1 第一章 網(wǎng)絡(luò)安全概述.................................2 1.1 計算機(jī)網(wǎng)絡(luò)安全的含義..........................2 1.2 網(wǎng)絡(luò)信息安全的主要威脅........................2 1.2.1 自然威脅..................................2 1.2.2 人為威脅—黑客攻擊與計算機(jī)病毒............3 1.3 計算機(jī)網(wǎng)絡(luò)中的安全缺陷及產(chǎn)生原因..............4 1.4 影響計算機(jī)網(wǎng)絡(luò)安全的因素......................5 第二章 計算機(jī)網(wǎng)絡(luò)安全防范策略.......................6 2.1 防火墻技術(shù)....................................6 2.2 數(shù)據(jù)加密與用戶授權(quán)訪問控制技術(shù)................9 2.3 入侵檢測技術(shù).................................10 2.4 防病毒技術(shù)...................................11 2.5 安全管理隊伍的建設(shè)...........................11 第三章 防火墻技術(shù)..................................12 3.1 防火墻的定義.................................12 3.2 防火墻的功能.................................12 3.2.1 防火墻是網(wǎng)絡(luò)安全的屏障...................12 3.2.2 防火墻的種類.............................13 3.3 防火墻的技術(shù)原理.............................13 3.4 防火墻的應(yīng)用.................................15 3.4.1 個人防火墻的應(yīng)用.........................15 3.4.2 防火墻技術(shù)在校園網(wǎng)中應(yīng)用.................20 結(jié)論................................................22

III 婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

致謝................................................23 參考文獻(xiàn).............................................24 IV 淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

引言

近年來，隨著計算機(jī)網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，尤其是互聯(lián)網(wǎng)的應(yīng)用變得越來越廣泛，在帶來了前所未有的海量信息的同時，計算機(jī)網(wǎng)絡(luò)的安全性變得日益重要起來，由于計算機(jī)網(wǎng)絡(luò)聯(lián)接形式的多樣性、終端分布的不均勻性、網(wǎng)絡(luò)的開放性和網(wǎng)絡(luò)資源的共享性等因素，致使計算機(jī)網(wǎng)絡(luò)容易遭受病毒、黑客、惡意軟件和其它不軌行為的攻擊【1】。

為確保信息的安全與網(wǎng)絡(luò)暢通，研究計算機(jī)網(wǎng)絡(luò)的安全與防護(hù)措施已迫在眉捷，但網(wǎng)絡(luò)安全問題至今仍沒有能夠引起足夠的重視，更多的用戶認(rèn)為網(wǎng)絡(luò)安全問題離自己尚遠(yuǎn)，這一點從大約有40%以上的用戶特別是企業(yè)級用戶沒有安裝防火墻(Firewall)便可以窺見一斑，而所有的問題都在向大家證明一個事實，大多數(shù)的黑客入侵事件都是由于未能正確安裝防火墻而引發(fā)，所以防火墻技術(shù)應(yīng)當(dāng)引起我們的注意和重視。

本文主要研究網(wǎng)絡(luò)安全的缺陷原由及網(wǎng)絡(luò)安全技術(shù)的原理和其他技術(shù)，如防火墻技術(shù)對網(wǎng)絡(luò)安全起到的不可忽視的影響。

婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

第一章網(wǎng)絡(luò)安全概述

1.1 計算機(jī)網(wǎng)絡(luò)安全的含義

計算機(jī)網(wǎng)絡(luò)安全的具體含義會隨著使用者的變化而變化，使用者不同，對網(wǎng)絡(luò)安全的認(rèn)識和要求也就不同。例如從普通使用者的角度來說，可能僅僅希望個人隱私或機(jī)密信息在網(wǎng)絡(luò)上傳輸時受到保護(hù)，避免被竊聽、篡改和偽造；而網(wǎng)絡(luò)提供商除了關(guān)心這些網(wǎng)絡(luò)信息安全外，還要考慮如何應(yīng)付突發(fā)的自然災(zāi)害、軍事打擊等對網(wǎng)絡(luò)硬件的破壞，以及在網(wǎng)絡(luò)出現(xiàn)異常時如何恢復(fù)網(wǎng)絡(luò)通信，保持網(wǎng)絡(luò)通信的連續(xù)性。

從本質(zhì)上來講，網(wǎng)絡(luò)安全包括組成網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其在網(wǎng)絡(luò)上傳輸信息的安全性，使其不致因偶然的或者惡意的攻擊遭到破壞，網(wǎng)絡(luò)安全既有技術(shù)方面的問題，也有管理方面的問題，兩方面相互補(bǔ)充，缺一不可。人為的網(wǎng)絡(luò)入侵和攻擊行為使得網(wǎng)絡(luò)安全面臨新的挑戰(zhàn)。

1.2 網(wǎng)絡(luò)信息安全的主要威脅

網(wǎng)絡(luò)安全所面臨的威脅來自很多方面，并且隨著時問的變化而變化。這些威脅可以宏觀地分為自然威脅和人為威脅。

1.2.1 自然威脅

自然威脅可能來自于各種自然災(zāi)害、惡劣的場地環(huán)境、電磁輻射和電磁干擾、網(wǎng)絡(luò)設(shè)備的自然老化等。這些無目的的事件，有時會直接威脅網(wǎng)絡(luò)的安全，影響信息的存儲媒體。

淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

1.2.2 人為威脅—黑客攻擊與計算機(jī)病毒

人為威脅就是說對網(wǎng)絡(luò)的人為攻擊。這些攻擊手段都是通過尋找系統(tǒng)的弱點【2】，以便達(dá)到破壞、欺騙、竊取數(shù)據(jù)等目的，造成經(jīng)濟(jì)上和政治上不可估量的損失。網(wǎng)絡(luò)安全的人為威脅主要分為以下幾種：

? 網(wǎng)絡(luò)缺陷

Intemet由于它的開放性迅速在全球范圍內(nèi)普及，但也正是因為開放性使其保護(hù)信息安全存在先天不足。Internet最初的設(shè)計考慮主要是考慮資源共享，基本沒有考慮安全問題，缺乏相應(yīng)的安全監(jiān)督機(jī)制。? 黑客攻擊

自1998年后，網(wǎng)上的黑客越來越多，也越來越猖獗；與此同時黑客技術(shù)逐漸被越來越多的人掌握現(xiàn)在還缺乏針對網(wǎng)絡(luò)犯罪卓有成效的反擊和跟蹤手段，使得黑客攻擊的隱蔽性好，“殺傷力”強(qiáng)，這是網(wǎng)絡(luò)安全的主要威脅之一。

? 各種病毒

病毒時時刻刻威脅著整個互聯(lián)網(wǎng)。像Nimda和CodeRed的爆發(fā)更是具有深遠(yuǎn)的影響，促使人們不得不在網(wǎng)絡(luò)的各個環(huán)節(jié)考慮對于各種病毒的檢測防治，對病毒徹底防御的重要性毋庸置疑。

? 管理的欠缺及資源濫用

很多上了互聯(lián)網(wǎng)的企業(yè)缺乏對于網(wǎng)絡(luò)安全的認(rèn)識，管理上存在很多漏洞，特別是國內(nèi)的企業(yè)，只是提供了接入Internet的通道，對于網(wǎng)絡(luò)上黑客的攻擊缺乏基本的應(yīng)對措施，同時企業(yè)內(nèi)部普遍存在資源濫用現(xiàn)象，這是造成網(wǎng)絡(luò)安全問題的根本原因。軟件的漏洞和后門：隨著CPU的頻率越來越高，軟件的規(guī)模越來越大，軟件系統(tǒng)中的漏洞也不可避免的存在，強(qiáng)大如微軟所開發(fā)的Windows也存在。各種各樣的安全漏洞和“后門”，這是網(wǎng)絡(luò)安全的主要威脅之一。

? 網(wǎng)絡(luò)內(nèi)部用戶的誤操作和惡意行為

對于來自網(wǎng)絡(luò)內(nèi)部的攻擊，主流的網(wǎng)絡(luò)安全產(chǎn)品防火墻基本無能為力，這類攻擊及其誤操作行為需要網(wǎng)絡(luò)信息 3 婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

審計、IDS等主要針對內(nèi)部網(wǎng)絡(luò)安全的安全產(chǎn)品來抵御。? 網(wǎng)絡(luò)資源濫用

網(wǎng)絡(luò)有了安全保證和帶寬管理，依然不能防止員工對網(wǎng)絡(luò)資源的濫用。等行為極大地降低了員工的工作效率。管理層希望員工更加有效地使用互聯(lián)網(wǎng)，盡量避免網(wǎng)絡(luò)對工作帶來負(fù)面影響。? 信息泄漏

惡意、過失的不合理信息上傳和發(fā)布，可能會造成敏感信息泄漏、有害信息擴(kuò)散，危及社會、國家、體和個人利益。更有基于競爭需要，利用技術(shù)手段對目標(biāo)機(jī)信息資源進(jìn)行竊取。在眾多人為威脅中來自用戶和惡意軟件即計算機(jī)病毒的非法侵入嚴(yán)重，計算機(jī)病毒是利用程序干擾破壞系統(tǒng)正常工作的一種手段，它的產(chǎn)生和蔓延給信息系統(tǒng)的可靠性和安全性帶來嚴(yán)重的威脅和巨大的損失。

1.3 計算機(jī)網(wǎng)絡(luò)中的安全缺陷及產(chǎn)生原因

網(wǎng)絡(luò)安全缺陷產(chǎn)生的原因主要有：

第一TCP/IP的脆弱性。因特網(wǎng)的基石是TCP/IP協(xié)議【3】，不幸的是該協(xié)議對于網(wǎng)絡(luò)的安全性考慮得并不多。并且，由于TCP/IP協(xié)議是公布于眾的，如果人們對TCP/IP很熟悉，就可以利用它的安全缺陷來實施網(wǎng)絡(luò)攻擊。

第二，網(wǎng)絡(luò)結(jié)構(gòu)的不安全性。因特網(wǎng)是一種網(wǎng)間網(wǎng)技術(shù)。它是由無數(shù)個局域網(wǎng)所連成的一個巨大網(wǎng)絡(luò)。當(dāng)人們用一臺主機(jī)和另一局域網(wǎng)的主機(jī)進(jìn)行通信時，通常情況下它們之間互相傳送的數(shù)據(jù)流要經(jīng)過很多機(jī)器重重轉(zhuǎn)發(fā)，如果攻擊者利用一臺處于用戶的數(shù)據(jù)流傳輸路徑上的主機(jī)，他就可以劫持用戶的數(shù)據(jù)包。

第三，易被竊聽。由于因特網(wǎng)上大多數(shù)數(shù)據(jù)流都沒有加密，因此人們利用網(wǎng)上免費(fèi)提供的工具就很容易對網(wǎng)上的電子郵件、口令和傳輸?shù)奈募M(jìn)行竊聽。

第四，缺乏安全意識。雖然網(wǎng)絡(luò)中設(shè)置了許多安全保護(hù)屏障，但人們普遍缺乏安全意識，從而使這些保護(hù)措施形同虛設(shè)。如人們?yōu)榱吮荛_防火墻代理服務(wù)器的額外認(rèn)證，進(jìn)行直接的PPP連接從而避開了防火墻的保護(hù)。淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

1.4 影響計算機(jī)網(wǎng)絡(luò)安全的因素

①網(wǎng)絡(luò)資源的共享性。資源共享是計算機(jī)網(wǎng)絡(luò)應(yīng)用的主要目的，但這為系統(tǒng)安全的攻擊者利用共享的資源進(jìn)行破壞提供了機(jī)會。隨著互聯(lián)網(wǎng)需求的日益增長，外部服務(wù)請求不可能做到完全隔離，攻擊者利用服務(wù)請求的機(jī)會很容易獲取網(wǎng)絡(luò)數(shù)據(jù)包。

②網(wǎng)絡(luò)的開放性。網(wǎng)上的任何一個用戶很方便訪問互聯(lián)網(wǎng)上的信息資源，從而很容易獲取到一個企業(yè)、單位以及個人的敏感性信息。

③網(wǎng)絡(luò)操作系統(tǒng)的漏洞。網(wǎng)絡(luò)操作系統(tǒng)是網(wǎng)絡(luò)協(xié)議和網(wǎng)絡(luò)服務(wù)得以實現(xiàn)的最終載體之一，它不僅負(fù)責(zé)網(wǎng)絡(luò)硬件設(shè)備的接口封裝，同時還提供網(wǎng)絡(luò)通信所需要的各種協(xié)議和服務(wù)的程序?qū)崿F(xiàn)。由于網(wǎng)絡(luò)協(xié)議實現(xiàn)的復(fù)雜性，決定了操作系統(tǒng)必然存在各種實現(xiàn)過程所帶來的缺陷和漏洞。

④網(wǎng)絡(luò)系統(tǒng)設(shè)計的缺陷。網(wǎng)絡(luò)設(shè)計是指拓?fù)浣Y(jié)構(gòu)的設(shè)計和各種網(wǎng)絡(luò)設(shè)備的選擇等。網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)操作系統(tǒng)等都會直接帶來安全隱患。合理的網(wǎng)絡(luò)設(shè)計在節(jié)約資源的情況下，還可以提供較好的安全性。不合理的網(wǎng)絡(luò)設(shè)計則會成為網(wǎng)絡(luò)的安全威脅。

⑤惡意攻擊。就是人們常見的黑客攻擊及網(wǎng)絡(luò)病毒，這是最難防范的網(wǎng)絡(luò)安全威脅。隨著電腦教育的大眾化，這類攻擊也是越來越多，影響越來越大。婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

第二章計算機(jī)網(wǎng)絡(luò)安全防范策略

計算機(jī)網(wǎng)絡(luò)安全從技術(shù)上來說，主要由防病毒、防火墻、入侵檢測等多個安全組件組成，任何一個單獨(dú)的組件都無法確保網(wǎng)絡(luò)信息的安全性。目前廣泛運(yùn)用和比較成熟的網(wǎng)絡(luò)安全技術(shù)主要有：防火墻技術(shù)、數(shù)據(jù)加密技術(shù)、入侵檢測技術(shù)、防病毒技術(shù)等，以下就此幾項技術(shù)分別進(jìn)行分析。

2.1 防火墻技術(shù)

防火墻網(wǎng)絡(luò)安全的屏障，配置防火墻是實現(xiàn)網(wǎng)絡(luò)安全最基本、最經(jīng)濟(jì)、最有效的安全措施之一。防火墻是指一個由軟件或和硬件設(shè)備組合而成，處于企業(yè)或網(wǎng)絡(luò)群體計算機(jī)與外界通道之間，限制外界用戶對內(nèi)部網(wǎng)絡(luò)訪問及管理內(nèi)部用戶訪問外界網(wǎng)絡(luò)的權(quán)限。當(dāng)一個網(wǎng)絡(luò)接上Internet之后，系統(tǒng)的安全除了考慮計算機(jī)病毒、系統(tǒng)的健壯性之外，更主要的是防止非法用戶的入侵，而目前防止的措施主要是靠防火墻技術(shù)完成。防火墻能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風(fēng)險。

防火墻可以強(qiáng)化網(wǎng)絡(luò)安全策略。通過以防火墻為中心的安全方案配置，能將所有安全軟件(如口令、加密、身份認(rèn)證)配置在防火墻上。其次對網(wǎng)絡(luò)存取和訪問進(jìn)行監(jiān)控審計。如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并做出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。當(dāng)發(fā)生可疑動作時，防火墻能進(jìn)行適當(dāng)?shù)膱缶⑻峁┚W(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細(xì)信息。再次防止內(nèi)部信息的外泄。利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離【4】，從而降低了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。

為了讓大家更好地使用防火墻，我們從反面列舉4個有代表性的失敗案例。

例1：未制定完整的企業(yè)安全策略 淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

網(wǎng)絡(luò)環(huán)境：某中型企業(yè)購買了適合自己網(wǎng)絡(luò)特點的防火墻，剛投入使用后，發(fā)現(xiàn)以前局域網(wǎng)中肆虐橫行的蠕蟲病毒不見了，企業(yè)網(wǎng)站遭受拒絕服務(wù)攻擊的次數(shù)也大大減少了，為此，公司領(lǐng)導(dǎo)特意表揚(yáng)了負(fù)責(zé)防火墻安裝實施的信息部。

該企業(yè)網(wǎng)絡(luò)環(huán)境如圖2.1所示：

圖2.1 該企業(yè)內(nèi)部網(wǎng)絡(luò)的核心交換機(jī)是帶路由模塊的三層交換機(jī)，出口通過路由器和ISP連接。內(nèi)部網(wǎng)劃分為5個VLAN，VLAN

1、VLAN 2和VLAN 3分配給不同的部門使用，不同的VLAN之間根據(jù)部門級別設(shè)置訪問權(quán)限；VLAN 4分配給交換機(jī)出口地址和路由器使用；VLAN 5分配給公共服務(wù)器使用。在沒有加入防火墻之前，各個VLAN中的PC機(jī)能夠通過交換機(jī)和路由器不受限制地訪問Internet。加入防火墻后，給防火墻分配一個VLAN 4中的空閑IP地址，并把網(wǎng)關(guān)指向路由器；將VLAN 5接入到防火墻的一個網(wǎng)口上。這樣，防火墻就把整個網(wǎng)絡(luò)分為3個區(qū)域: 內(nèi)部網(wǎng)、公共服務(wù)器區(qū)和外部網(wǎng)，三者之間的通信受到防火墻安全規(guī)則的限制。

問題描述：防火墻投入運(yùn)行后，實施了一套較為嚴(yán)格的安全規(guī)則，導(dǎo)致公司員工無法使用QQ聊天軟件，于是沒過多久就有員工自己撥號上網(wǎng)，導(dǎo)致感染了特洛依木馬 婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

和蠕蟲等病毒，并立刻在公司內(nèi)部局域網(wǎng)中傳播開來，造成內(nèi)部網(wǎng)大面積癱瘓。

問題分析：我們知道，防火墻作為一種保護(hù)網(wǎng)絡(luò)安全的設(shè)備，必須部署在受保護(hù)網(wǎng)絡(luò)的邊界處，只有這樣防火墻才能控制所有出入網(wǎng)絡(luò)的數(shù)據(jù)通信，達(dá)到將入侵者拒之門外的目的。如果被保護(hù)網(wǎng)絡(luò)的邊界不惟一，有很多出入口，那么只部署一臺防火墻是不夠的。在本案例中，防火墻投入使用后，沒有禁止私自撥號上網(wǎng)行為，使得許多PC機(jī)通過電話線和Internet相連，導(dǎo)致網(wǎng)絡(luò)邊界不惟一，入侵者可以通過攻擊這些PC機(jī)然后進(jìn)一步攻擊內(nèi)部網(wǎng)絡(luò)，從而成功地避開了防火墻。

解決辦法：根據(jù)自己企業(yè)網(wǎng)的特點，制定一整套安全策略，并徹底地貫徹實施。比如說，制定一套安全管理規(guī)章制度，嚴(yán)禁員工私自撥號上網(wǎng);同時封掉撥號上網(wǎng)的電話號碼，并購買檢測撥號上網(wǎng)的軟件，這樣從管理和技術(shù)上杜絕出現(xiàn)網(wǎng)絡(luò)邊界不惟一的情況發(fā)生。另外，考慮到企業(yè)員工的需求，可以在防火墻上添加按照時間段生效的安全規(guī)則，在非工作時間打開QQ使用的TCP/UDP端口，使得企業(yè)員工可以在工余時間使用QQ聊天軟件。

例2：未考慮與其他安全產(chǎn)品的配合使用 問題描述：某公司購買了防火墻后，緊接著又購買了漏洞掃描和IDS（入侵檢測系統(tǒng)）產(chǎn)品。當(dāng)系統(tǒng)管理員利用IDS發(fā)現(xiàn)入侵行為后，必須每次都要手工調(diào)整防火墻安全策略，使管理員工作量劇增，而且經(jīng)常調(diào)整安全策略，也給整個網(wǎng)絡(luò)帶來不良影響。

問題分析：選購防火墻時未充分考慮到與其他安全產(chǎn)品如IDS的聯(lián)動功能，導(dǎo)致不能最大程度地發(fā)揮安全系統(tǒng)的作用。

解決辦法：購買防火墻前應(yīng)查看企業(yè)網(wǎng)是否安裝了漏洞掃描或IDS等其他安全產(chǎn)品，以及具體產(chǎn)品名稱和型號，然后確定所要購買的防火墻是否有聯(lián)動功能（即是否支持其他安全產(chǎn)品，尤其是IDS產(chǎn)品），支持的是哪些品牌和型號的產(chǎn)品，是否與已有的安全產(chǎn)品名稱相符，如果不符，最好不要選用，而選擇能同已有安全產(chǎn)品聯(lián)動的防火墻。這樣，當(dāng)IDS發(fā)現(xiàn)入侵行為后，在通知管理員的同 淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

時發(fā)送消息給防火墻，由防火墻自動添加相關(guān)規(guī)則，把入侵者拒之門外。

例3：未經(jīng)常維護(hù)升級防火墻 問題描述：某政府機(jī)構(gòu)購置防火墻后已安全運(yùn)行一年多，由于該機(jī)構(gòu)網(wǎng)絡(luò)結(jié)構(gòu)一直很穩(wěn)定，沒有什么變化，各種應(yīng)用也運(yùn)行穩(wěn)定，因此管理員逐漸放松了對防火墻的管理，只要網(wǎng)絡(luò)一直保持暢通即可，不再關(guān)心防火墻的規(guī)則是否需要調(diào)整，軟件是否需要升級。而且由于該機(jī)構(gòu)處于政府專網(wǎng)內(nèi)，與Internet物理隔離，防火墻無法實現(xiàn)在線升級。因此該機(jī)構(gòu)的防火墻軟件版本一直還是購買時的舊版本，雖然管理員一直都收到防火墻廠家通過電子郵件發(fā)來的軟件升級包，但從未手工升級過。在一次全球范圍的蠕蟲病毒迅速蔓延事件中，政府專網(wǎng)也受到蠕蟲病毒的感染，該機(jī)構(gòu)防火墻因為沒有及時升級，無法抵御這種蠕蟲病毒的攻擊，造成整個機(jī)構(gòu)的內(nèi)部網(wǎng)大面積受感染，網(wǎng)絡(luò)陷于癱瘓之中。

問題分析：安全與入侵永遠(yuǎn)是一對矛盾。防火墻軟件作為一種安全工具，必須不斷地升級與更新才能應(yīng)付不斷發(fā)展的入侵手段，過時的防護(hù)盾牌是無法抵擋最先進(jìn)的長矛的。作為安全管理員來說，應(yīng)當(dāng)時刻留心廠家發(fā)布的升級包，及時給防火墻打上最新的補(bǔ)丁。

解決辦法：及時維護(hù)防火墻，當(dāng)本機(jī)構(gòu)發(fā)生人員變動、網(wǎng)絡(luò)調(diào)整和應(yīng)用變化時，要及時調(diào)整防火墻的安全規(guī)則，及時升級防火墻。

從以上三個案例我們可以得出一些結(jié)論：防火墻只是保證安全的一種技術(shù)手段，要想真正實現(xiàn)安全，安全策略是核心問題。保護(hù)網(wǎng)絡(luò)安全不僅僅是防火墻一種產(chǎn)品，只有將多種安全產(chǎn)品無縫地結(jié)合起來，充分利用它們各自的優(yōu)點，才能最大限度地保證網(wǎng)絡(luò)安全。而保護(hù)網(wǎng)絡(luò)安全是動態(tài)的過程，防火墻需要積極地維護(hù)和升級。

2.2

數(shù)據(jù)加密與用戶授權(quán)訪問控制技術(shù)

與防火墻相比，數(shù)據(jù)加密與用戶授權(quán)訪問控制技術(shù)比 婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

較靈活，更加適用于開放的網(wǎng)絡(luò)。用戶授權(quán)訪問控制主要用于對靜態(tài)信息的保護(hù)，需要系統(tǒng)級別的支持，一般在操作系統(tǒng)中實現(xiàn)。數(shù)據(jù)加密主要用于對動態(tài)信息的保護(hù)。對動態(tài)數(shù)據(jù)的攻擊分為主動攻擊和被動攻擊。對于主動攻擊，雖無法避免，但卻可以有效地檢測；而對于被動攻擊，雖無法檢測，但卻可以避免，實現(xiàn)這一切的基礎(chǔ)就是數(shù)據(jù)加密。數(shù)據(jù)加密實質(zhì)上是對以符號為基礎(chǔ)的數(shù)據(jù)進(jìn)行移位和置換的變換算法，這種變換是對稱密鑰算法”。這樣的密鑰必須秘密保管，只能為授權(quán)用戶所知，授權(quán)用戶既可以用該密鑰加密信急，也可以用該密鑰解密信息，DES是對稱加密算法中最具代表性的算法。在公鑰加密算法中，公鑰是公開的，任何人可以用公鑰加密信息，再將密文發(fā)送給私鑰擁有者。私鑰是保密的，用于解密其接收的公鑰加密過的信息【5】。典型的公鑰加密算法~nRSA是目前使用比較廣泛的加密算法。

2.3 入侵檢測技術(shù)

入侵檢測系統(tǒng)(IntrusionDetectionSystem，IDS)是從多種計算機(jī)系統(tǒng)及網(wǎng)絡(luò)系統(tǒng)中收集信息，再通過此信息分析入侵特征的網(wǎng)絡(luò)安全系統(tǒng)。IDS被認(rèn)為是防火墻之后的第二道安全閘門，它能使在入侵攻擊對系統(tǒng)發(fā)生危害前，檢測到入侵攻擊，并利用報警與防護(hù)系統(tǒng)驅(qū)逐入侵攻擊：在入侵攻擊過程中，能減少入侵攻擊所造成的損失；在被入侵攻擊后，收集入侵攻擊的相關(guān)信息，作為防范系統(tǒng)的知識，添加入策略集中，增強(qiáng)系統(tǒng)的防范能力，避免系統(tǒng)再次受到同類型的入侵【6】。

入侵檢測的作用包括威懾、檢測、響應(yīng)、損失情況評估、攻擊預(yù)測和起訴支持。入侵檢測技術(shù)是為保證計算機(jī)系統(tǒng)的安全而設(shè)計與配置的一種能夠及時發(fā)現(xiàn)并報告系統(tǒng)中未授權(quán)或異?，F(xiàn)象的技術(shù)，是一種用于檢測計算機(jī)網(wǎng)絡(luò)中違反安全策略行為的技術(shù)。入侵檢測技術(shù)的功能主要體現(xiàn)在以下方面：

1)分析用戶及系統(tǒng)活動，查找非法用戶和合法用戶的越權(quán)操作；

2)檢測系統(tǒng)配置的正確性和安全漏洞，并提示管理員修 淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

3)4)5)6)7)補(bǔ)漏洞；

識別反映已知進(jìn)攻的活動模式并向相關(guān)人上報警； 對異常行為模式的統(tǒng)計分析；

能夠?qū)崟r地對檢測到的入侵行為進(jìn)行反應(yīng)； 評估重要系統(tǒng)和數(shù)據(jù)文件的完整性； 可以發(fā)現(xiàn)新的攻擊模式；

2.4 防病毒技術(shù)

隨著計算機(jī)技術(shù)的不斷發(fā)展，計算機(jī)病毒變得越來越復(fù)雜和高級，對計算機(jī)信息系統(tǒng)構(gòu)成極大的威脅。在病毒防范中普遍使用的防病毒軟件，從功能上可以分為網(wǎng)絡(luò)防病毒軟件和單機(jī)防病毒軟件兩大類。單機(jī)防病毒軟件一般安裝在單臺Pc上，即對本地和本地工作站連接的遠(yuǎn)程資源采用分析掃描的方式檢測、清除病毒。網(wǎng)絡(luò)防病毒軟件則主要注重網(wǎng)絡(luò)防病毒，一旦病毒入侵網(wǎng)絡(luò)或者從網(wǎng)絡(luò)向其它資源傳染，網(wǎng)絡(luò)防病毒軟件會立刻檢測到并加以刪除【7】。

2.5 安全管理隊伍的建設(shè)

在計算機(jī)網(wǎng)絡(luò)系統(tǒng)中，絕對的安全是不存在的，制定健全的安全管理體制是計算機(jī)網(wǎng)絡(luò)安全的重要保證，只有通過網(wǎng)絡(luò)管理人員與使用人員的共同努力，運(yùn)用一切可以使用的工具和技術(shù)，盡一切可能去控制、減小一切非法的行為，盡可能地把不安全的因素降到最低。同時，要不斷地加強(qiáng)計算機(jī)信息網(wǎng)絡(luò)的安全規(guī)范化管理力度，大力加強(qiáng)安全技術(shù)建設(shè)，強(qiáng)化使用人員和管理人員的安全防范意識。網(wǎng)絡(luò)內(nèi)使用的IP地址作為一種資源以前一直為某些管理人員所忽略，為了更好地進(jìn)行安全管理工作，應(yīng)該對本網(wǎng)內(nèi)的IP地址資源統(tǒng)一管理、統(tǒng)一分配。對于盜用IP資源的用戶必須依據(jù)管理制度嚴(yán)肅處理。只有共同努力，才能使計算機(jī)網(wǎng)絡(luò)的安全可靠得到保障，從而使廣大網(wǎng)絡(luò)用戶的利益得到保障。婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

第三章防火墻技術(shù)

3.1 防火墻的定義

防火墻是指設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口,能根據(jù)網(wǎng)絡(luò)的安全政策控制(允許拒絕監(jiān)測)出入網(wǎng)絡(luò)的信息流,且本身具有較強(qiáng)的抗攻擊能力。它是提供信息安全服務(wù),實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。

Internet防火墻是一個或一組系統(tǒng)，它能增強(qiáng)機(jī)構(gòu)內(nèi)部網(wǎng)絡(luò)的安全性，用于加強(qiáng)網(wǎng)絡(luò)間的訪問控制，防止外部用戶非法使用內(nèi)部網(wǎng)的資源，保護(hù)內(nèi)部網(wǎng)絡(luò)的設(shè)備不被破壞，防止內(nèi)部網(wǎng)絡(luò)的敏感數(shù)據(jù)被竊取，防火墻系統(tǒng)還決定了哪些內(nèi)部服務(wù)可以被外界訪問，外界的哪些人可以訪問內(nèi)部的服務(wù)，以及哪些外部服務(wù)何時可以被內(nèi)部人員訪問。要使一個防火墻有效，所有來自和去往Internet的信息都必須經(jīng)過防火墻并接受檢查。防火墻必須只允許授權(quán)的數(shù)據(jù)通過，并且防火墻本身也必須能夠免于滲透。但是，防火墻系統(tǒng)一旦被攻擊突破或迂回繞過，就不能提供任何保護(hù)了。

3.2 防火墻的功能

3.2.1 防火墻是網(wǎng)絡(luò)安全的屏障

防火墻(作為阻塞點,控制點)能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性,并通過過濾不安全的服務(wù)而降低風(fēng)險。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻,所以網(wǎng)絡(luò)環(huán)境變得更安全。

防火墻可以強(qiáng)化網(wǎng)絡(luò)安全策略,通過以防火墻為中心的安全方案配置,能將所有安全軟件(如口令加密身份認(rèn)證審計等)配置在防火墻上，對網(wǎng)絡(luò)存取和訪問進(jìn)行監(jiān)控審計:所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并作出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù),當(dāng)發(fā)生可疑動作時，防火墻能進(jìn)行適當(dāng)?shù)膱缶?并提供網(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細(xì)信息。防止內(nèi) 淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

部信息的外泄，通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離,而限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。

3.2.2 防火墻的種類

防火墻技術(shù)可根據(jù)防范的方式和側(cè)重點的不同,總體來講可分為二大類:分組過濾,應(yīng)用代理。

分組過濾(Packetfiltering);作用在網(wǎng)絡(luò)層和傳輸層,它根據(jù)分組包頭源地址,目的地址和端口號,協(xié)議類型等標(biāo)志確定是否允許數(shù)據(jù)包通過。只有滿足過濾邏輯的數(shù)據(jù)包才被轉(zhuǎn)發(fā)到相應(yīng)的目的地出口端,其余數(shù)據(jù)包則被從數(shù)據(jù)流中丟棄。

應(yīng)用代理(ApplicationProxy):也叫應(yīng)用網(wǎng)關(guān)(ApplicationGateway), 它作用在應(yīng)用層,其特點是完全 “ 阻隔 ” 了網(wǎng)絡(luò)通信流通過對每種應(yīng)用服務(wù)編制專門的代理程序,實現(xiàn)監(jiān)視和控制應(yīng)用層通信流的作用,實際中的應(yīng)用網(wǎng)關(guān)通常由專用工作站實現(xiàn)【8】。

3.3 防火墻的技術(shù)原理

目前，防火墻系統(tǒng)的工作原理因?qū)崿F(xiàn)技術(shù)不同，大致可分為三種：

（1）包過濾技術(shù)

包過濾技術(shù)是一種基于網(wǎng)絡(luò)層的防火墻技術(shù)。根據(jù)設(shè) 置好的過濾規(guī)則，通過檢查IP數(shù)據(jù)包來確定是否該數(shù)據(jù)包通過。而那些不符合規(guī)定的IP地址會被防火墻過濾掉，由此保證網(wǎng)絡(luò)系統(tǒng)的安全。該技術(shù)通?？梢赃^濾基于某些或所有下列信息組的IP包：源IP地址;目的IP地址;TCP/UDP源端口;TCP/UDP目的端口。包過濾技術(shù)實際上是一種基于路由器的技術(shù)，其最大優(yōu)點就是價格便宜，實現(xiàn)邏輯簡單便于安裝和使用。

缺點：1）過濾規(guī)則難以配置和測試。2）包過濾只訪問網(wǎng)絡(luò)層和傳輸層的信息，訪問信息有限，對網(wǎng)絡(luò)更高協(xié)議層的信息無理解能力。3）對一些協(xié)議，如UDP和RPC難以有效的過濾。婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

（2）代理技術(shù)

代理技術(shù)是與包過濾技術(shù)完全不同的另一種防火墻技術(shù)。其主要思想就是在兩個網(wǎng)絡(luò)之間設(shè)置一個“中間檢查站”，兩邊的網(wǎng)絡(luò)應(yīng)用可以通過這個檢查站相互通信，但是它們之間不能越過它直接通信。這個“中間檢查站”就是代理服務(wù)器，它運(yùn)行在兩個網(wǎng)絡(luò)之間，對網(wǎng)絡(luò)之間的每一個請求進(jìn)行檢查。當(dāng)代理服務(wù)器接收到用戶請求后，會檢查用戶請求合法性。若合法，則把請求轉(zhuǎn)發(fā)到真實的服務(wù)器上，并將答復(fù)再轉(zhuǎn)發(fā)給用戶。代理服務(wù)器是針對某種應(yīng)用服務(wù)而寫的，工作在應(yīng)用層。

優(yōu)點：它將內(nèi)部用戶和外界隔離開來，使得從外面只能看到代理服務(wù)器而看不到任何內(nèi)部資源。與包過濾技術(shù)相比，代理技術(shù)是一種更安全的技術(shù)【9】。

缺點：在應(yīng)用支持方面存在不足，執(zhí)行速度較慢。（3）狀態(tài)監(jiān)視技術(shù) 這是第三代防火墻技術(shù)，集成了前兩者的優(yōu)點。能對網(wǎng)絡(luò)通信的各層實行檢測。同包過濾技術(shù)一樣，它能夠檢測通過IP地址、端口號以及TCP標(biāo)記，過濾進(jìn)出的數(shù)據(jù)包。它允許受信任的客戶機(jī)和不受信任的主機(jī)建立直接連接，不依靠與應(yīng)用層有關(guān)的代理，而是依靠某種算法來識別進(jìn)出的應(yīng)用層數(shù)據(jù)，這些算法通過己知合法數(shù)據(jù)包的模式來比較進(jìn)出數(shù)據(jù)包，這樣從理論上就能比應(yīng)用級代理在過濾數(shù)據(jù)包上更有效。

狀態(tài)監(jiān)視器的監(jiān)視模塊支持多種協(xié)議和應(yīng)用程序，可方便地實現(xiàn)應(yīng)用和服務(wù)的擴(kuò)充。此外，它還可監(jiān)測RPC和UDP端口信息，而包過濾和代理都不支持此類端口。這樣，通過對各層進(jìn)行監(jiān)測，狀態(tài)監(jiān)視器實現(xiàn)網(wǎng)絡(luò)安全的目的。目前，多使用狀態(tài)監(jiān)測防火墻，它對用戶透明，在OSI最高層上加密數(shù)據(jù)，而無需修改客戶端程序，也無需對每個需在防火墻上運(yùn)行的服務(wù)額外增加一個代理。

要想建立一個真正行之有效的安全的計算機(jī)網(wǎng)絡(luò)，僅使用防火墻還是不夠，在實際的應(yīng)用中，防火墻常與其它安全措施，比如加密技術(shù)、防病毒技術(shù)等綜合應(yīng)用，才起到防御的最大化的效果。淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

3.4 防火墻的應(yīng)用

3.4.1 個人防火墻的應(yīng)用

瑞星個人防火墻的應(yīng)用 1）安裝

第一步啟動安裝程序。

當(dāng)把瑞星個人防火墻下載版安裝程序保存到您電腦中的指定目錄后，找到該目錄，雙擊運(yùn)行安裝程序，就可以進(jìn)行瑞星個人防火墻下載版的安裝了。

第二步完成安裝后，如圖3.1：

圖3.1 第三步輸入產(chǎn)品序列號和用戶ID。

啟動個人防火墻，當(dāng)出現(xiàn)如圖3.2下所示的窗口后，在相應(yīng)位置輸入您購買獲得的產(chǎn)品序列號和用戶ID，點擊“確定”，通過驗證后則會提示“您的瑞星個人防火墻現(xiàn)在可以正常使用”。

婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

圖3.2 常見問題：不輸入產(chǎn)品序列號和用戶ID，產(chǎn)品將無法升級，防火墻保護(hù)功能將全部失效，您的計算機(jī)將無法抵御黑客攻擊。

2）升級

第一步網(wǎng)絡(luò)配置：

?打開防火墻主程序 ?在菜單中依次選擇【設(shè)置】/【設(shè)置網(wǎng)絡(luò)】，打開【網(wǎng)絡(luò)設(shè)置】窗口,如圖3.3 圖3.3 1。設(shè)定網(wǎng)絡(luò)連接方式，如果設(shè)定“通過代理服務(wù)器訪問網(wǎng)絡(luò)”，還需要輸入代理服務(wù)器IP、端口、身份驗證信息。

2。您可以選中【使用安全升級模式】，確保升級期間阻止新的網(wǎng)絡(luò)連接 淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

3。點擊【確定】按鈕完成設(shè)置

小提示：

1。如果您已經(jīng)可以瀏覽網(wǎng)頁，說明網(wǎng)絡(luò)設(shè)置已經(jīng)配置好了，這里直接使用默認(rèn)設(shè)置即可。

2。如果您不使用撥號方式上網(wǎng)，將不會看到界面中【使用撥號網(wǎng)絡(luò)連接】的選項以及相關(guān)設(shè)置。

3。請確保此步設(shè)置正確，否則可能無法完成智能升級。

第二步：智能升級

完成網(wǎng)絡(luò)配置后，進(jìn)行智能升級的操作方法：

方法一：點擊主界面右側(cè)的【智能升級】按鈕，圖3.4示:

圖3.4 方法二：在菜單中依次選擇【操作】/【智能升級】 方法三：右鍵點擊防火墻托盤圖標(biāo)，在彈出菜單中選擇【啟動智能升級】

3)啟動瑞星個人防火墻下載版程序

啟動瑞星個人防火墻軟件主程序有三種方法：

方法一：進(jìn)入【開始】/【所有程序】/【瑞星個人防火墻】，選擇【瑞星個人防火墻】即可啟動。

方法二：用鼠標(biāo)雙擊桌面上的【瑞星個人防火墻】快捷圖標(biāo)即可啟動。

方法三：用鼠標(biāo)單擊任務(wù)欄“快速啟動”上的【瑞星 婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

個人防火墻】快捷圖標(biāo)即可啟動。

成功啟動程序后的界面如下圖3.5所示:

圖3.5 主要界面元素

1、菜單欄：

用于進(jìn)行菜單操作的窗口，包括【操作】、【設(shè)置】、【幫助】三個菜單。如圖3.6示:

圖3.6

2、操作按鈕：

位于主界面右側(cè)，包括【啟動/停止保護(hù)】、【連接/斷開網(wǎng)絡(luò)】、【智能升級】、【查看日志】。如圖3。7示:

圖3.7 功能：停止防火墻的保護(hù)功能，執(zhí)行此功能后，您計 淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

算機(jī)將不再受瑞星防火墻的保護(hù)已處于停止保護(hù)狀態(tài)時，此按鈕將變?yōu)椤締⒂帽Ｗo(hù)】；點擊將重新啟用防火墻的保護(hù)功能，您也可以通過菜單項【操作】/【停止保護(hù)】來執(zhí)行此功能；將您的計算機(jī)完全與網(wǎng)絡(luò)斷開，就如同拔掉網(wǎng)線或是關(guān)掉Modem一樣。其他人都不能訪問您的計算機(jī)，但是您也不能再訪問網(wǎng)絡(luò)。這是在遇到頻繁攻擊時最為有效的應(yīng)對方法；已經(jīng)斷開網(wǎng)絡(luò)后，此項將變?yōu)椤具B接網(wǎng)絡(luò)】，點擊將恢復(fù)網(wǎng)絡(luò)連接；您也可以通過菜單項【操作】/【斷開網(wǎng)絡(luò)】來執(zhí)行此功能；啟動智能升級程序?qū)Ψ阑饓M(jìn)行升級更新；您也可以通過菜單項【操作】/【智能升級】來執(zhí)行此功能；啟動日志顯示程序；您也可能通過【操作】/【顯示日志】來執(zhí)行此功能。

3、標(biāo)簽頁：

位于主界面上部，分【工作狀態(tài)】、【系統(tǒng)狀態(tài)】、【游戲保護(hù)】、【安全資訊】、【漏洞掃描】、【啟動選項】六個標(biāo)簽。如圖3。8示:

圖3。8

4、安全級別： 位于主界面右下角，拖動滑塊到對應(yīng)的安全級別，修改立即生效。

5、當(dāng)前版本及更新日期：

位于主界面右上角，顯示防火墻當(dāng)前版本及更新日期。

6、規(guī)則設(shè)置

配置防火墻的過濾規(guī)則（如圖3。9），包括： 黑名單：在黑名單中的計算機(jī)禁止與本機(jī)通訊 白名單：在白名單中的計算機(jī)對本地具有完全的訪問權(quán)限

端口開關(guān)：允許或禁止端口中的通訊，可簡單開關(guān)本機(jī)與遠(yuǎn)程的端口 婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

可信區(qū)：通過可信區(qū)的設(shè)置，可以把局域網(wǎng)和互聯(lián)網(wǎng)區(qū)分對待

IP規(guī)則：在IP層過濾的規(guī)則

訪問規(guī)則：本機(jī)中訪問網(wǎng)絡(luò)的程序的過濾規(guī)則

圖3。9 3.4.2 防火墻技術(shù)在校園網(wǎng)中應(yīng)用

一、安裝防火墻

防火墻技術(shù)在校園網(wǎng)安全建設(shè)中得到廣泛的應(yīng)用。由于防火墻是一種按某種規(guī)則對專網(wǎng)和互聯(lián)網(wǎng),或?qū)ヂ?lián)網(wǎng)的一部分和其余部分之間的信息交換進(jìn)行有條件的控制(包括隔離),從而阻斷不希望發(fā)生的網(wǎng)絡(luò)間通信的系統(tǒng)部署防火墻技術(shù)[10],構(gòu)筑內(nèi)外網(wǎng)之間的安全屏障,可以有效地將內(nèi)部網(wǎng)與外部網(wǎng)隔離開來,保護(hù)校園網(wǎng)絡(luò)不受未經(jīng)授權(quán)的第三方侵入。

二、校園網(wǎng)防火墻系統(tǒng)的配置

假定校園網(wǎng)通過Cisco路由器與INTERNET相連。校園內(nèi)的IP地址范圍是確定的,且有明確的閉和邊界,它有一個C類的IP地址,有DNS、Email、WWW、FTP等服務(wù)器,可采用以下存取控制策略。

1)對進(jìn)入CERNET主干網(wǎng)的存取控制

2)對網(wǎng)絡(luò)中心資源主機(jī)的訪問控制,網(wǎng)絡(luò)中心的DNS、Email、FTP、WWW等服務(wù)器是重要的資源,要特別的保護(hù),可對網(wǎng)絡(luò)中心所在子網(wǎng)禁止,DNS,Email,WWW,FTP 淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

以外的一切服務(wù)。

3)對校外非法網(wǎng)址的訪問,一般情況,一些傳播非法信息的站點主要在校外,而這些站點的域名可能是已知的。為防止IP地址欺騙和盜用需為對網(wǎng)絡(luò)內(nèi)部人員訪問Internet進(jìn)行一定限制在連接內(nèi)部網(wǎng)絡(luò)的端口接收數(shù)據(jù)時進(jìn)行IP地址和以太網(wǎng)地址檢查,盜用IP地址的數(shù)據(jù)包將被丟棄,并記錄有關(guān)信息;再連接 Internet 端接收數(shù)據(jù)時,如從外部網(wǎng)絡(luò)收到一段假冒內(nèi)部IP地址發(fā)出的報文,也應(yīng)丟棄,并記錄有關(guān)信息。防止IP地址被盜用的徹底解決辦法是:代理服務(wù)器防火墻和捆綁IP地址和以太網(wǎng)地址,對非法訪問的動態(tài)禁止一旦獲得某個IP地址的訪問是非法的,可立即更改路由器中的存取控制表,從而禁止其對外的非法訪問。首先應(yīng)在路由器和校園網(wǎng)的以太口預(yù)設(shè)控制組102,然后過濾掉來自非法地址的所有IP包。婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

結(jié)論

計算機(jī)網(wǎng)絡(luò)的安全問題越來越受到人們的重視，一個安全的計算機(jī)網(wǎng)絡(luò)系統(tǒng)的保護(hù)不僅和系統(tǒng)管理員的系統(tǒng)安全知識有關(guān)，而且和每個使用者的安全操作等都有關(guān)系。網(wǎng)絡(luò)安全是動態(tài)的，新的Internet黑客站點、病毒與安全技術(shù)每日劇增，世界上不存在絕對安全的網(wǎng)絡(luò)系統(tǒng)，隨著計算機(jī)網(wǎng)絡(luò)技術(shù)的進(jìn)一步發(fā)展，網(wǎng)絡(luò)安全防護(hù)技術(shù)也必然隨著網(wǎng)絡(luò)應(yīng)用的發(fā)展而不斷發(fā)展。

防火墻不能完全解決網(wǎng)絡(luò)安全的全部問題，如不能防范內(nèi)部攻擊等，因此還需要考慮其他技術(shù)的和非技術(shù)的因素，如身份鑒別，信息加密術(shù)，提高網(wǎng)絡(luò)管理人員的安全意識等，總之，防火墻是網(wǎng)絡(luò)安全的第一道重要的安全屏障，如何提高防火墻的防護(hù)能力并保證系統(tǒng)的高速高效運(yùn)行，不斷提高網(wǎng)絡(luò)安全水平，這將是一個隨著網(wǎng)絡(luò)技術(shù)的發(fā)展而不斷研究的課題。淺析計算機(jī)網(wǎng)絡(luò)安全和防火墻技術(shù)

致謝

本文是在指導(dǎo)老師胡楠老師的悉心教導(dǎo)下完成的。寫論文的這段時間，老師淵博的學(xué)識，嚴(yán)謹(jǐn)?shù)闹螌W(xué)太多和細(xì)心指導(dǎo)，以及他給我的支持和鼓勵使我終身難忘，我所取得的每一點成就都與導(dǎo)師的熱心關(guān)懷和精心指導(dǎo)是分不開的，值此論文完成之際，特別向?qū)熤乱灾孕牡母兄x各崇高的敬意。

本課題的完成過程中，本人還得到了同學(xué)們及其他各方面的支持和幫助，特別感謝致謝在一起愉快的度過大學(xué)生活的各位室友，正是由于你們的幫助和支持，我才能克服一個一個的困難和疑惑，直至本文的順利完成。

在論文即將完成之際，我的心情無法平靜，從開始進(jìn)入課題到論文的順利完成，有多少可敬的師長、同學(xué)、朋友給了我無言的幫助，在這里請接受我誠摯的謝意!我還要感謝培養(yǎng)我長大含辛茹苦的父母，謝謝你們!最后，我要向百忙之中抽時間對本文進(jìn)行審閱，評議和參與本人論文答辯的各位老師表示感謝。

婁底職業(yè)技術(shù)學(xué)院計算機(jī)網(wǎng)絡(luò)專業(yè)

參考文獻(xiàn)

[1]張斌,黑客與反黑客,北京郵電大學(xué)出版社,Pag56-75 [2]石淑華,池瑞楠,計算機(jī)網(wǎng)絡(luò)安全技術(shù)(第二版),北京人民郵電出版社,Pag267-283 [3]肖新峰,宋強(qiáng),王立新等,TCP/IP協(xié)議與網(wǎng)絡(luò)管理,北京清華大學(xué)出版社,Pag83-99 [4]李軍,防火墻上臺階,信息網(wǎng)絡(luò)安全2004年07期,Pag28—29 [5]陳愛民,計算機(jī)的安全與保密,北京電子工業(yè)出版社,pag35-42 [6]蔣建春,馬恒太,任黨恩等,網(wǎng)絡(luò)安全入侵檢測研究綜述軟件學(xué)報 [7]石淑華,池瑞楠,計算機(jī)網(wǎng)絡(luò)安全技術(shù)(第二版),北京人民郵電出版社,Pag70-104 [8]老聃,安全網(wǎng)關(guān)—網(wǎng)絡(luò)邊界防護(hù)的利器,信息安全與通信保密,2004年08期75

[9]陳平,何慶等主編,電腦2003合訂本，西南師范大學(xué)出版社,2004年1月

[10] 張穎,劉軍,王磊,計算機(jī)網(wǎng)絡(luò)安全的現(xiàn)狀及解決方法[N]電腦商情報 ,2007年1月