[毕业设计精品]计算机网络技术及其在校园网的研究与应用毕业论文

I摘要本文从计算机网络面临的各种安全威胁，系统地介绍网络安全技术。并针对校园网络的安全问题进行研究，首先分析了高校网络系统安全的隐患，然后从构建安全防御体系和加强安全管理两方面设计了校园网络的安全策略。本次论文研究中，我首先了解了网络安全问题的主要威胁因素，并利用网络安全知识对安全问题进行剖析。其次，通过对网络技术的研究，得出校园网也会面临着安全上的威胁。最后，确立了用P2DR模型的思想来建立校园网的安全防御体系。并得出了构建一套有效的网络安全防御体系是解决校园网主要威胁和隐患的必要途径和措施关键词网络安全，安全防范，校园网ABSTRACTIABSTRACTINTHISPAPER,AVARIETYOFCOMPUTERNETWORKSECURITYTHREATSFACEDBYTHESYTEMTOINTRODUCETHENETWORKSECURITYTECHNOLOGYANDFORTHESAFETYOFTHECAMPUSNETWORKTOSTUDY,FIRSTOFALANNALYSIOFTHESAFETYOFCOLLEGESANDUNIVERSITESHIDDENNETWORKANDTHENBUILDASECURITYDEFENSESYTEMANDSTRENGTHENTHESECURITYMANAGEMENTOFBOTHTHEDESIGNOFTHECAMPUSNETWORKSECURITYPOLICYTHERESARCHPAPER,IFIRSTLEARNEDABOUTTHEMAJORISUESOFNETWORKSECURITYTHREATSANDTAKEADVANTAGEOFNETWORKSECURITYKNOWLEDGETOANALYZETHESECURITYISUESSECONDLY,THROUGHTHENETWORKTECHNOLOGY,WILCOMETOCAMPUSNETWORKISFACEDWITHSECURITYTHREATSFINALY,P2DRMODELESTABLISHEDITHTHEIDEATOCREATACMPUSNETORKSECURITYDEFENSESYTEMANDCOMETOBUILDANEFCTIVENETWORKSECURITYDEFENSESYTEMTOADDRESMAJORTHREATSTOTHECAMPUSNETWORKANDTHEHIDDENAYSANDMEASURESNECESARYKEYKKKWORDSNETWORKSECURITY,SAFETYPRECAUTIONS,CAMPUSNETWORK目录第1章前言111网络安全发展历史与现状分析1111因特网的发展及其安全问题112我国网络安全现状及发展趋势312校园网存在的安全问题13论文的主要任务4第2章网络安全概述521网络安全的含义522网络安全的属性23网络安全机制5231网络安全技术机制6232网络安全管理机制24网络安全策略6241安全策略的分类242安全策略的配置7243安全策略的实现流程25网络安全发展趋势8第3章网络安全问题解决对策931计算机安全级别的划分9311TCSEC简介312GB17859划分的特点10313安全等级标准模型1132防火墙技术321防火墙的基本概念与作用12322防火墙的工作原理33入侵检测技术15331入侵检测系统332入侵检测分类16333入侵检测系统17334代理AGENT技术18335入侵检测与防火墙实现联动34数据加密技术19341数据加密原理342对称密钥体系19343非对称密钥体系21344数据信封技术35反病毒技术22351计算机病毒的介绍352计算机病毒的组成与分类22353病毒的检测和清除目录第4章网络安全防范2441TELNET入侵防范2442防止ADMINISTRATOR账号被破解43防止账号被暴力破解2544“木马”防范措施26441“木马”的概述442“木马”的防范措施2645网页恶意代码及防范27451恶意代码分析452网页恶意代码的防范措施2846嗅探器（SNIFFER）的防范29461SNIFFER的工作原理462的检测和防范3047数据密文防范措施48其它网络攻击与防范措施32481源IP地址欺骗攻击482源路由欺骗攻击32483拒绝服务攻击及预防措施第5章校园网络安全体系3451校园网络安全规范3452安全方案建议521校园网络状况分析34522网络安全目标3553校园网络安全技术的应用531网络攻击的概念35532建立网络安全模型36533数据备份方法37534防火墙技术38535入侵检测技术536网络安全评估3854校园安全隐患3955校园网主动防御体系552校园网络安全防范体系41553完善安全制度与管理4356其他网络安全解决方案44561关闭不必要的端口562巩固安全策略44第6章结束语46致谢48参考文献49论文小结51附录521第1章前言1网络安全发展历史与现状分析11因特网的发展及其安全问题随着计算机技术的发展，在计算机上处理业务已由基于单机的数学运算、文件处理，基于简单连结的内部网络的内部业务处理、办公自动化等发展到基于企业复杂的内部网、企业外部网、全球互联网的企业级计算机处理系统和世界范围内的信息共享和业务处理。在信息处理能力提高的同时，系统的连结能力也在不断的提高。但在连结信息能力、流通能力提高的同时，基于网络连接的安全问题也日益突出。主要表现在以下方面（一）网络的开放性带来的安全问题INTERNET的开放性以及其他方面因素导致了网络环境下的计算机系统存在很多安全问题。为了解决这些安全问题，各种安全机制、策略、管理和技术被研究和应用。然而，即使在使用了现有的安全工具和技术的情况下，网络的安全仍然存在很大隐患，这些安全隐患主要可以包括为以下几点1安全机制在特定环境下并非万无一失。比如防火墙，它虽然是一种有效的安全工具，可以隐蔽内部网络结构，限制外部网络到内部网络的访问。但是对于内部网络之间的访问，防火墙往往是无能为力的。因此，对于内部网络到内部网络之间的入侵行为和内外勾结的入侵行为，防火墙是很难发觉和防范的。2安全工具的使用受到人为因素的影响。一个安全工具能不能实现期望的效果，在很大程度上取决于使用者，包括系统管理者和普通用户，不正当的设置就会产生不安全因素。例如，WINDOWSNT在进行合理的设置后可以达到C2级的安全性，但很少有人能够对WINDOWSNT本身的安全策略进行合理的设置。虽然在这方面，可以通过静态扫描工具来检测系统是否进行了合理的设置，但是这些扫描工具基本上也只是基于一种缺省的系统安全策略进行比较，针对具体的应用环境和专门的应用需求就很难判断设置的正确性。3系统的后门是难于考虑到的地方。防火墙很难考虑到这类安全问题，多数情况下，这类入侵行为可以堂而皇之经过防火墙而很难被察觉；比如说，众所周知的ASP源码问题，这个问题在IIS服务器40以前一直存在，它是IIS服务的设计者留下的一个后门，任何人都可以使用浏览器从网络上方便地调出ASP程序的源码，从而可以收集系第1章前言2统信息，进而对系统进行攻击。对于这类入侵行为，防火墙是无法发觉的，因为对于防火墙来说，该入侵行为的访问过程和正常的WEB访问是相似的，唯一区别是入侵访问在请求链接中多加了一个后缀。4BUG难以防范。甚至连安全工具本身也可能存在安全的漏洞。几乎每天都有新的BUG被发现和公布出来，程序设计者在修改已知的BUG的同时又可能使它产生了新的BUG。系统的BUG经常被黑客利用，而且这种攻击通常不会产生日志，几乎无据可查。比如说现在很多程序都存在内存溢出的BUG，现有的安全工具对于利用这些BUG的攻击几乎无法防范。5黑客的攻击手段在不断地升级。安全工具的更新速度慢，且绝大多数情况需要人为的参与才能发现以前未知的安全问题，这就使得它们对新出现的安全问题总是反应迟钝。当安全工具刚发现并努力更正某方面的安全问题时，其他的安全问题又出现了。因此，黑客总是可以使用先进的、安全工具不知道的手段进行攻击。（二）网络安全的防护力脆弱，导致的网络危机1根据WARROONRESEARCH的调查，1997年世界排名前一千的公司几乎都曾被黑客闯入。2据美国FBI统计，美国每年因网络安全造成的损失高达75亿美元。3ERNST和YOUNG报告，由于信息安全被窃或滥用，几乎80的大型企业遭受损失。4最近一次黑客大规模的攻击行动中，雅虎网站的网络停止运行3小时，这令它损失了几百万美金的交易。而据统计在这整个行动中美国经济共损失了十多亿美金。由于业界人心惶惶，亚马逊AMAZONCOM、AOL、雅虎YAHOO、EBAY的股价均告下挫，以科技股为主的那斯达克指数NASDAQ打破过去连续三天创下新高的升势，下挫了六十三点，杜琼斯工业平均指数周三收市时也跌了二百五十八点。（三）网络安全的主要威胁因素1软件漏洞每一个操作系统或网络软件的出现都不可能是无缺陷和漏洞的。这就使我们的计算机处于危险的境地，一旦连接入网，将成为众矢之的。2配置不当安全配置不当造成安全漏洞，例如，防火墙软件的配置不正确，那么它根本不起作用。对特定的网络应用程序，当它启动时，就打开了一系列的安全缺口，许多与该软件捆绑在一起的应用软件也会被启用。除非用户禁止该程序或对其进行正确配置，否则，安全隐患始终存在。3安全意识不强用户口令选择不慎，或将自己的帐号随意转借他人或与别人共享3等都会对网络安全带来威胁。4病毒目前数据安全的头号大敌是计算机病毒，它是编制者在计算机程序中插入的破坏计算机功能或数据，影响计算机软件、硬件的正常运行并且能够自我复制的一组计算机指令或程序代码。计算机病毒具有传染性、寄生性、隐蔽性、触发性、破坏性等特点。因此，提高对病毒的防范刻不容缓。5黑客对于计算机数据安全构成威胁的另一个方面是来自电脑黑客BACKER。电脑黑客利用系统中的安全漏洞非法进入他人计算机系统，其危害性非常大。从某种意义上讲，黑客对信息安全的危害甚至比一般的电脑病毒更为严重。12我国网络安全现状及发展趋势因特网在我国的迅速普及，我国境内信息系统的攻击事件也正在呈现快速增长的势头。据了解，从1997年底到现在，我国的政府部门、证券公司、银行、ISP,ICP等机构的计算机网络相继遭到多次攻击。因此，加强网络信息安全保障已成为当前的迫切任务。目前我国网络安全的现状和面临的威胁主要有1计算机网络系统使用的软、硬件很大一部分是国外产品，我们对引进的信息技术和设备缺乏保护信息安全所必不可少的有效管理和技术改造。2全社会的信息安全意识虽然有所提高，但将其提到实际日程中来的依然很少。3目前关于网络犯罪的法律、法规还不健全。4我国信息安全人才培养还不能满足其需要。12校园网存在的安全问题与其它网络一样，校园网也会受到相应的威胁，大体可分为对网络中数据信息的危害和对网络设备的危害。具体来说包括1非授权访问；即对网络设备及信息资源进行非正常使用或越权使用等。2冒充合法用户；即利用各种假冒或欺骗的手段非法获得合法用户的使用权限，以达到占用合法用户资源的目的。3破坏数据的完整性；即使用非法手段，删除、修改、重发某些重要信息，以干扰用户的正常使用。4干扰系统正常运行；指改变系统的正常运行方法，减慢系统的响应时间等手段。5病毒与恶意的攻击；即通过网络传播病毒或进行恶意攻击。除此之外，校园网还面对形形色色、良莠不分的网络资源，如不进行识别和过滤，那么会造成大量非法内容或邮件出入，占用大量流量资源，造成流量堵塞、上网速度慢第1章前言4等问题。许多校园网是从局域网发展来的，由于意识与资金方面的原因，它们在安全方面往往没有太多的设置，这就给病毒和黑客提供了生存的空间。因此，校园网的网络安全需求是全方位的。13论文的主要任务计算机网络所具有的开发性、互连性和共享性等特征使网上信息安全存在先天的不足，加上系统软件本身的安全漏洞以及所欠缺的严格管理，致使网络易受黑客，恶意软件的攻击，因此对网络的安全所采取的措施，应能全方位地针对各种威胁，保障网络信息的保密性、完整性和可用性。本文针对目前网络安全存在的威胁，利用计算机网络安全技术知识对网络安全问题进行系统地研究，并在此基础上总结校园网存在的安全问题，通过安全系统需求，进行深入研究，找出存在的威胁，结合网络安全技术和网络攻防技术提出解决方案及措施。5第2章网络安全概述21网络安全的含义网络安全从其本质来讲就是网络上信息安全，它涉及的领域相当广泛，这是因为目前的公用通信网络中存在着各式各样的安全漏洞和威胁。广义上讲，凡是涉及到网络上信息的保密性、完整性、可用性和可控性的相关技术和理论，都是网络安全的研究领域。网络安全是指网络系统的硬件，软件及数据受到保护，不遭受偶然或恶意的破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断1。且在不同环境和应用中又不同的解释。（1）运行系统安全即保证信息处理和传输系统的安全，包括计算机系统机房环境和传输环境的法律保护、计算机结构设计的安全性考虑、硬件系统的安全运行、计算机操作系统和应用软件的安全、数据库系统的安全、电磁信息泄露的防御等。（2）网络上系统信息的安全包括用户口令鉴别、用户存取权限控制、数据存取权限、方式控制、安全审计、安全问题跟踪、计算机病毒防治、数据加密等。（3）网络上信息传输的安全即信息传播后果的安全、包括信息过滤、不良信息过滤等。（4）网络上信息内容的安全即我们讨论的狭义的“信息安全”；侧重于保护信息的机密性、真实性和完整性。本质上是保护用户的利益和隐私。2网络安全的属性网络安全具有三个基本的属性机密性、完整性、可用性。（1）机密性是指保证信息与信息系统不被非授权者所获取与使用，主要范措施是密码技术。（2）完整性是指保证信息与信息系统可被授权人正常使用，主要防范措施是确保信息与信息系统处于一个可靠的运行状态之下。以上可以看出在网络中，维护信息载体和信息自身的安全都包括了机密性、完整性、可用性这些重要的属性。23网络安全机制网络安全机制是保护网络信息安全所采用的措施，所有的安全机制都是针对某些潜在的安全威胁而设计的，可以根据实际情况单独或组合使用。如何在有限的投入下合理地使用安全机制，以便尽可能地降低安全风险，是值得讨论的，网络信息安全机制应第2章网络安全概述6包括技术机制和管理机制两方面的内容。231网络安全技术机制网络安全技术机制包含以下内容（1）加密和隐藏。加密使信息改变，攻击者无法了解信息的内容从而达到保护；隐藏则是将有用信息隐藏在其他信息中，使攻击者无法发现。（2）认证和授权。网络设备之间应互认证对方的身份，以保证正确的操作权力赋予和数据的存取控制；同时网络也必须认证用户的身份，以授权保证合法的用户实施正确的操作。（3）审计和定位。通过对一些重要的事件进行记录，从而在系统中发现错误或受到攻击时能定位错误并找到防范失效的原因，作为内部犯罪和事故后调查取证的基础。（4）完整性保证。利用密码技术的完整性保护可以很好地对付非法篡改，当信息源的完整性可以被验证却无法模仿时，可提供不可抵赖服务。（5）权限和存取控制针对网络系统需要定义的各种不同用户，根据正确的认证，赋予其适当的操作权力，限制其越级操作。（6）任务填充在任务间歇期发送无用的具有良好模拟性能的随机数据，以增加攻击者通过分析通信流量和破译密码获得信息难度。232网络安全管理机制网络信息安全不仅仅是技术问题，更是一个管理问题，要解决网络信息安全问题，必须制定正确的目标策略，设计可行的技术方案，确定合理的资金技术，采取相应的管理措施和依据相关法律制度。24网络安全策略策略通常是一般性的规范，只提出相应的重点，而不确切地说明如何达到所要的结果，因此策略属于安全技术规范的最高一级。241安全策略的分类安全策略分为基于身份的安全策略和基于规则的安全策略种。基于身份的安全策略是过滤对数据或资源的访问，有两种执行方法若访问权限为访问者所有，典型的作法为特权标记或特殊授权，即仅为用户及相应活动进程进行授权；若为访问数据所有则可以采用访问控制表（ACL）。这两种情况中，数据项的大小有很大的变化，数据权力命名也可以带自己的ACL3。7基于规则的安全策略是指建立在特定的，个体化属性之上的授权准则，授权通常依赖于敏感性。在一个安全系统中，数据或资源应该标注安全标记，而且用户活动应该得到相应的安全标记。242安全策略的配置开放式网络环境下用户的合法权益通常受到两种方式的侵害主动攻击和被动攻击，主动攻击包括对用户信息的窃取，对信息流量的分析。根据用户对安全的需求才可以采用以下的保护（1）身份认证；检验用户的身份是否合法、防止身份冒充、及对用户实施访问控制数据完整性鉴别、防止数据被伪造、修改和删除。（2）信息保密；防止用户数据被泄、窃取、保护用户的隐私。（3）数字签名；防止用户否认对数据所做的处理。（4）访问控制；对用户的访问权限进行控制。（5）不可否认性；也称不可抵赖性，即防止对数据操作的否认。243安全策略的实现流程安全策略的实现涉及到以下及个主要方面，如图21所示。图21安全策略实现流程（1）证书管理。主要是指公开密银证书的产生、分配更新和验证。（2）密银管理。包括密银的产生、协商、交换和更新，目的是为了在通信的终端系第2章网络安全概述8统之间建立实现安全策略所需的共享密银。（3）安全协作。是在不同的终端系统之间协商建立共同采用的安全策略，包括安全策略实施所在层次、具体采用的认证、加密算法和步骤、如何处理差错。（4）安全算法实现具体算法的实现，如PES、RSA（5）安全策略数据库保存与具体建立的安全策略有关的状态、变量、指针。25网络安全发展趋势总的看来，对等网络将成为主流，与网格共存。网络进化的未来绿色网络呼唤着新的信息安全保障体系。国际互联网允许自主接入，从而构成一个规模庞大的，复杂的巨系统，在如此复杂的环境下，孤立的技术发挥的作用有限，必须从整体的和体系的角度，综合运用系统论，控制论和信息论等理论，融合各种技术手段，加强自主创新和顶层设计，协同解决网络安全问题。保证网络安全还需严格的手段，未来网络安全领域可能发生三件事，其一是向更高级别的认证转移；其二，目前存储在用户计算机上的复杂数据将“向上移动”，由与银行相似的机构确保它们的安全；第三，是在全世界的国家和地区建立与驾照相似的制度，它们在计算机销售时限制计算机的运算能力，或要求用户演示在自己的计算机受到攻击时抵御攻击的能力5。9第3章网络安全问题解决对策31计算机安全级别的划分31TCSEC简介1999年9月13日国家质量技术监督局公布了我国第一部关于计算机信息系统安全等级划分的标准“计算机信息系统安全保护等级划分准则”（GB178591999）。而国外同标准的是美国国防部在1985年12月公布的可信计算机系统评价标准TCSEC又称桔皮书。在TCSEC划分了7个安全等级D级、C1级、C2级、B1级、B2级、B3级和A1级。其中D级是没有安全机制的级别，A1级是难以达到的安全级别，如表31所示表31网络安全等级及安全级别的性能要求下面对下各个安全级别进行介绍1D类安全等级D类安全等级只包括D1一个级别。D1的安全等级最低。D1系统只为文件和用户提供安全保护。D1系统最普通的形式是本地操作系统，或者是一个完全没有保护的网络。2C类安全等级该类安全等级能够提供审慎的保护，并为用户的行动和责任提供审计能力。C类安全等级可划分为C1和C2两类。C1系统的可信任运算基础体制（TRUSTEDCOMPUTINGBASE，TCB）通过将用户和数据分开来达到安全的目的。在C1系统中，所有的用户以同样的灵敏度来处理数据，即用户认为C1系统中的所有文档都具有相同的机密性。C2系统比C1系统加强了可调的审慎控制。在连接事件和资源隔离来增强这种控制。C2系统具有C1系统中所有的安全性特征。安全级别名称说明D1酌情安全保护对硬件和操作系统几乎无保护，对信息的访问无控制C1自选安全保护由用户注册名和口令的组合来确定用户对信息的访问权限B1被标签的安全性保护为强制性访问控制，不允许文件的拥有者改变其许可权限B2结构化保护要求对计算机中所有信息加以标签，并且对设备分配单个或多个安全级别B3安全域保护使用安全硬件的方法来加强域的管理终端与系统的连接途径可信任A核实保护系统不同来源必须有安全措施必须在销售过程中实施第3章网络安全解决对策103B类安全等级B类安全等级可分为B1、B2和B3三类。B类系统具有强制性保护功能。强制性保护意味着如果用户没有与安全等级相连，系统就不会让用户存取对象。B1系统满足下列要求系统对网络控制下的每个对象都进行灵敏度标记；系统使用灵敏度标记作为所有强迫访问控制的基础；系统在把导入的、非标记的对象放入系统前标记它们；灵敏度标记必须准确地表示其所联系的对象的安全级别；当系统管理员创建系统或者增加新的通信通道或I/O设备时，管理员必须指定每个通信通道和I/O设备是单级还是多级，并且管理员只能手工改变指定；单级设备并不保持传输信息的灵敏度级别；所有直接面向用户位置的输出（无论是虚拟的还是物理的）都必须产生标记来指示关于输出对象的灵敏度；系统必须使用用户的口令或证明来决定用户的安全访问级别；系统必须通过审计来记录未授权访问的企图。B2系统必须满足B1系统的所有要求。另外，B2系统的管理员必须使用一个明确的、文档化的安全策略模式作为系统的可信任运算基础体制。B2系统必须满足下列要求系统必须立即通知系统中的每一个用户所有与之相关的网络连接的改变；只有用户能够在可信任通信路径中进行初始化通信；可信任运算基础体制能够支持独立的操作者和管理员。B3系统必须符合B2系统的所有安全需求。B3系统具有很强的监视委托管理访问能力和抗干扰能力。B3系统必须设有安全管理员。B3系统应满足以下要求AB3必须产生一个可读的安全列表，每个被命名的对象提供对该对象没有访问权的用户列表说明；BB3系统在进行任何操作前，要求用户进行身份验证；CB3系统验证每个用户，同时还会发送一个取消访问的审计跟踪消息；设计者必须正确区分可信任的通信路径和其他路径；可信任的通信基础体制为每一个被命名的对象建立安全审计跟踪；可信任的运算基础体制支持独立的安全管理。4A类安全等级A系统的安全级别最高。目前，A类安全等级只包含A1一个安全类别。A1类与B3类相似，对系统的结构和策略不作特别要求。A1系统的显著特征是，系统的设计者必须按照一个正式的设计规范来分析系统。对系统分析后，设计者必须运用核对技术来确保系统符合设计规范。A1系统必须满足下列要求系统管理员必须从开发者那里接收到一个安全策略的正式模型所有的安装操作都必须由系统管理员进行；系统管理员进行的每一步安装操作都必须有正式文档。312GB17859划分的特点1GB17859把计算机信息安全保护能力划分为5个等级，它们是系统自我保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级。这5个级别的安全强度从低到高排列让高一级包括低一级的安全能力，如表32所示。表32GB17859的划分标准安全能力一级二级三级四级五级自主访问控制强制访问控制标记身份鉴别客体重用审计数据完整隐蔽信道分析可信路径可信恢复注“”新增功能；“”比上一级功能又所扩展；“”与上一级功能相同。313安全等级标准模型计算机信息系统的安全模型主要又访问监控器模型、军用安全模仿和信息流模型等三类模型，它们是定义计算机信息系统安全等级划分标准的依据。（1）访问监控模型是按TCB要求设计的，受保护的客体要么允许访问，要么不允许访问。（2）常用安全模型是一种多级安全模型，即它所控制的信息分为绝密、机密、秘密和无密4种敏感级。（3）信息流模型是计算机中系统中系统中信息流动路径，它反映了用户在计算机系统中的访问意图。信息流分直接的和间接的两种。32防火墙技术随着网络安全问题日益严重，网络安全技术和产品也被人们逐渐重视起来，防火墙作为最早出现的网络安全技术和使用量最大的网络安全产品，受到用户和研发机构的亲第3章网络安全解决对策12睐。321防火墙的基本概念与作用防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合，它执行预先制定的访问控制策略，决定了网络外部与网络内部的访问方式。在网络中，防火墙实际是一种隔离技术，它所执行的隔离措施有（1）拒绝未经授权的用户访问内部网和存取敏感数据。（2）允许合法用户不受妨碍地访问网络资源。而它的核心思想是在不安全的因特网环境中构造一个相对安全的子网环境，其目的是保护一个网络不受另一个网络的攻击，所以防火墙又有以下作用（1）作为网络安全的屏障。一个防火墙作为阻塞节点和控制节点能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险，只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。（2）可以强化网络安全策略。通过以防火墙为中心的安全方案配置，能将所有的安全软件配置在防火墙上，体现集中安全管理更经济。（3）对网络存取和访问进行监控审计。如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并做出日志记录，同时也能提供网络使用情况的统计数据，当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。（4）防止内部信息的外泄。通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。（5）支持具有因特网服务性的企业内部网络技术体系VPN。32防火墙的工作原理从防火墙的作用可以看出，防火墙必须具备两个要求保障内部网安全和保障内部网和外部网的联通。因此在逻辑上防火墙是一个分离器、限制器、分析器12。有效地监控了内部网和外部网的任何活动，保证了内部网络的安全，其一般逻辑位置如图31所示。13图31防火墙的逻辑示意图防火墙根据功能实现在TCP/I网络模型中的层次，其实现原理可以分为三类在网络层实现防火墙功能为分组过滤技术；在应用层实现防火墙功能为代理服务技术；在网络层，IP层，应用层三层实现防火墙为状态检测技术。（1）分组过滤技术实际上是基于路由器技术，它通常由分组过滤路由器对IP分组进行分组选择，允许或拒绝特定的IP数据包，工作于IP层。如表33所示。表3分组过滤技术工作特点输入数据流输出数据流过滤一般基于一个IP分组的以下各域第一、源/目的IP地址；第二、TCP/UDP源/目的端口。前者的过滤，即根据制定的安全规则，过滤掉具有特定IP地址的数据分组，从而保护内部网络；后者则是为分组过滤提供了更大的灵活性。（2）代理服务技术以一个高层的应用网关作为代理服务器，接受外来的应用连接请求，在代理服务器上进行安全检查后，再与被保护的应用服务器连接，使外部用户可以在受控制的前提下使用内部网络的服务，如图32所示。5、应用层4、TCP层3、IP层2、数据链路层1、物理层第3章网络安全解决对策14客户网关服务器发送请求转发请求转发请求请求响应图32代理服务器原理示意代理服务技术工作在应用层，其工作情况如表33所示。表3代理服务技术工作特点输入数据流输出数据流由于代理服务作用于应用层，它能解释应用层上的协议，能够作复杂和更细粒度的访问控制；同时，由于所有进出服务器的客户请求必须通过代理网关的检查，可以作出精细的注册和审计记录，并且可以与认证、授权等安全手段方便地集成，为客户和服务提供更高层次的安全保护。（3）状态检测技术此技术工作在IP/TCP/应用层，它结合了分组过滤和代理服务技术的特点，它同分组过滤一样，在应用层上检查数据包的内容，分析高层的协议数据，查看内容是否符合网络安全策略。如表34所示。5、应用层4、TCP层3、IP层2、数据链路层1、物理层15表34状态检测技术工作情况输入数据流输出数据流3入侵检测技术仅仅依赖防火墙并不能保证足够的安全，为了解决非法入侵所造成的各种安全问题，安全厂商提出了建立入侵检测系统的解决方法。入侵检测技术是防火墙技术的有效补充，通过对计算机或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络中或系统中潜在的违反安全策略的行为和被攻击的迹象。31入侵检测系统入侵检测系统功能构成，包括事件提取、入侵分析、入侵响应和远程管理四部分如图33所示。图3入侵检测系统组成入侵检测所利用的信息一般来自以下四个方面系统和网络日志文件、目录和文件中的不期望的改变、程序执行中的不期望行为、物理形式的入侵信息。常用的分析方法5、应用层4、TCP层3、IP层2、数据链路层1、物理层第3章网络安全解决对策16有模式匹配、统计分析、完整性分析。模式匹配是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。统计分析方法首先给系统对象如用户、文件、目录和设备等创建一个统计描述，统计正常使用时的一些测量属性。测量属性的平均值将被用来与网络、系统的行为进行比较。当观察值超出正常值范围时，就有可能发生入侵行为。32入侵检测分类入侵检测通过对入侵和攻击行为的检测，查出系统的入侵者或合法用户对系统资源的滥用和误用。根据不同的检测方法，将入侵检测分为异常入侵检测和误用人侵检测。（一）异常检测又称为基于行为的检测。其基本前提是假定所有的入侵行为都是异常的。首先建立系统或用户的“正常”行为特征轮廓，通过比较当前的系统或用户的行为是否偏离正常的行为特征轮廓来判断是否发生了入侵。此方法不依赖于是否表现出具体行为来进行检测，是一种间接的方法。常用的具体方法有统计异常检测方法、基于特征选择异常检测方法、基于贝叶斯推理异常检测方法、基于贝叶斯网络异常检测方法、基于模式预测异常检测方法、基于神经网络异常检测方法、基于机器学习异常检测方法、基于数据采掘异常检测方法等。采用异常检测的关键问题有如下两个方面1特征量的选择在建立系统或用户的行为特征轮廓的正常模型时，选取的特征量既要能准确地体现系统或用户的行为特征，又能使模型最优化，即以最少的特征量就能涵盖系统或用户的行为特征。2参考阈值的选定由于异常检测是以正常的特征轮廓作为比较的参考基准，因此，参考阈值的选定是非常关键的。阈值设定得过大，那漏警率会很高；阈值设定的过小，则虚警率就会提高。合适的参考阈值的选定是决定这一检测方法准确率的至关重要的因素。由此可见，异常检测技术难点是“正常”行为特征轮廓的确定、特征量的选取、特征轮廓的更新。由于这几个因素的制约，异常检测的虚警率很高，但对于未知的入侵行为的检测非常有效。此外，由于需要实时地建立和更新系统或用户的特征轮廓，这样所需的计算量很大，对系统的处理性能要求很高。（二）误用检测17又称为基于知识的检测。其基本前提是假定所有可能的入侵行为都能被识别和表示。首先，对已知的攻击方法进行攻击签名攻击签名是指用一种特定的方式来表示已知的攻击模式表示，然后根据已经定义好的攻击签名，通过判断这些攻击签名是否出现来判断入侵行为的发生与否。这种方法是依据是否出现攻击签名来判断入侵行为，是一种直接的方法。常用的具体方法有基于条件概率误用入侵检测方法、基于专家系统误用入侵检测方法、基于状态迁移分析、误用入侵检测方法、基于键盘监控误用入侵检测方法、基于模型误用入侵检测方法。误用检测的关键问题是攻击签名的正确表示。误用检测是根据攻击签名来判断入侵的，根据对已知的攻击方法的了解，用特定的模式语言来表示这种攻击，使得攻击签名能够准确地表示入侵行为及其所有可能的变种，同时又不会把非入侵行为包含进来。由于多数入侵行为是利用系统的漏洞和应用程序的缺陷，因此，通过分析攻击过程的特征、条件、排列以及事件间的关系，就可具体描述入侵行为的迹象。这些迹象不仅对分析已经发生的入侵行为有帮助，而且对即将发生的入侵也有预警作用。误用检测将收集到的信息与已知的攻击签名模式库进行比较，从中发现违背安全策略的行为。由于只需要收集相关的数据，这样系统的负担明显减少。该方法类似于病毒检测系统，其检测的准确率和效率都比较高。33入侵检测系统入侵检测就是通过对系统数据的分析、发现非授权的网络访问和攻击行为，然后采取报警、切断入侵线路等对抗措施。为此目的而设计的系统称为入侵检测系统。一个简单的入侵检测系统，如图34所示。图34简单的入侵检测系统第3章网络安全解决对策18图37所示入侵检测系统的基本任务通过实时检测网络系统状态，判断入侵行为发生，并产生报警。从功能实现的角度可以把这个系统划分为三大模块信息收集模块、信息处理与通讯模块、入侵判断与反应模块。其中信息收集模块与特定的环境，监视的对象有比较密切的关系信息处理与通讯模块，是对所收集到的数据进行预处理和分类，然后把处理的结果按照一定的格式传输给检测判断模块。最后由检测判断模块根据一定的安全策略判断入侵行为的发生并采取相应的反击。随着网络系统结构的复杂化和大型化，系统的弱点或漏洞将趋向于分布式。另外，入侵行为不再是单一的行为，而是表现出相互协作入侵的特点。入侵检测系统要求可适应性、可训练性、高效性、容错性、可扩展性等要求。不同的IDS之间也需要共享信息，协同检测。34代理AGENT技术代理AGENI是指能在特定的环境下无须人工干预和监督完成某项工作的实体。它具有自适应性、智能性和协作性。代理既能独立地完成自己的工作，又能与其它代理协作共同完成某项任务，且代理能够接受控制并能感知环境的变化而影响环境。代理分布于系统中的关键点及关键服务器，包括防火墙、对外提供各项服务的服务器、内部网关和服务器，完成绝大多数的入侵检测和响应任务。代理可以针对特定的应用环境进行配置和编程，使得代理占用负载最小。同时，代理可以与其它代理和中心服务器进行有限的交互，交换数据和控制信息。由于代理是独立的功能实体，在一个多代理系统中，单个的功能代理能够增加到系统中去或从系统中删除，并且能够对某个代理进行重配置，而不会影响到系统的其它部分。可以看到，在一个由多代理组成的入侵检测系统中，单个代理的失效只会影响到该代理和与之协作的部分代理，系统的其它部分仍能正常工作。如果能将入侵检测系统的功能合理地分配给各个代理，就能大大减少系统失效的风险。多代理系统所具有的这些优点使之能较好地解决常规入侵检测系统的缺陷。35入侵检测与防火墙实现联动防火墙与入侵检测这两种技术具有较强的互补性。目前，实现入侵检测和防火墙之间的联动有两种方式可以实现，一种是实现紧密结合，即把入侵检测系统嵌入到防火墙中，即入侵检测系统的数据来源不再来源于抓包，而是流经防火墙的数据流。所有通过的包不仅要接受防火墙检测规则的验证，还需要经过入侵检测，判断是否具有攻击性，以达到真正的实时阻断，这实际上是把两个产品合成一体。但是，由于入侵检测系统本身也是一个很庞大的系统，所以无论从实施难度、合成后的性能等方面都会因此受到很大影响。所以，目前还没有厂商做到这一步，仍处于理论研究阶段。但是不容否认，各19个安全产品的紧密结合是一种趋势。第二种方式是通过开放接口来实现联动，即防火墙或者入侵检测系统开放一个接口供对方调用，按照一定的协议进行通讯、警报和传输。目前开放协议的常见形式有安全厂家提供IDS的开放接口，供各个防火墙厂商使用，以实现互动。这种方式比较灵活，不影响防火墙和入侵检测系统的性能。34数据加密技术数据加密技术是网络中最基本的安全技术，主要是通过对网络中传输的信息进行数据加密来保障其安全性，这是一种主动安全防御策略，用很小的代价即可为信息提供相当大的安全保护。341数据加密原理数据加密是通过某种函数进行变换，把正常数据包文（称为明文或明码）转换为密文（密码）。解密是指把密文还原成明文的过程。密码体制是指一个系统所采用基本工作方式以及它的两个基本构成要素，即加密/解密算法和密钥。密钥是一个数值，它和加密算法一起生成特别的密文。传统密码体制所用的加密密钥和解密密钥相同，称为对称密码体制。如果加密密钥和解密密钥不相同，则称为非对称密码体制，密钥可以看作是密码算法中的可变参数。从数学的角度来看，改变了密钥，实际上也就改变了明文与密文之间等价的数学函数关系。密码算法是相对稳定的，在这种意义上，可以把密码算法视为常量，而密钥则是一个变量。在设计加密系统中，加密算法是可以公开的，真正需要保密的是密钥，密钥本质是非常大的数，密钥大小用位表示。在公开密钥加密方法中，密钥越大密文就越安全。利用密码技术，在信源和通信信道之间对报文进行加密，经过信道传输，到信宿接收时进行解密，以实现网络通信保密，加密与解密过程如图35所示。明文密文密文明文图35加密与解密过程通常加密算法为CEKM。其中，K为密钥，M为明文，C为密文；E为加密算法，密文C是明文M使用密钥K经过加密算法计算后的结果。加密算法可以公开，而密钥只能由通信双方来掌握。342对称密钥体系加密过程解密过程第3章网络安全解决对策20在对称型密钥体系中，加密和解密采用同一密钥，故将这种体系称为秘密密钥密码体制或私钥密码体制，如图36所示图36对称密钥体制的加密与解密在对称密码体系中，最为著名的是DES分组算法，DES将二进制序列明文分为每64位一组，使用64位的密钥，对64位二进制数进行分组加密，每轮产生一个48位的“每轮”密钥值，并参与下一轮的加密过程，经过16轮的迭代、乘积变换、压缩等处理后产生64位密文数据，DES加密过程如图37所示。64位数据明文加密处理64位数据块密文64位数据块密文加密处理64位数据块密文56位密钥48位每轮密钥48位每轮密钥第一轮加密第十六轮加密图37DES加密过程另一个成功的分组加密算法，它的核心是一个乘法/加法非线性构件，通过8轮迭代，能使明码数据更好地扩散和混淆16。21343非对称密钥体系非对称加密技术将加密和解密分开并采用一对不同的密钥进行。其工作原理如图38所示。图38非对称密钥体系的加密与解密RSA算法的原理是数论的欧拉原理寻求两个大的素数容易，将它们的乘积分解开及其困难，具体做法是选择两个100位的十进制大素数P和Q，计算出它们的积NPQ,将N公开；再计算出N的欧拉函数，（N）P1Q1,定义（N）为小于等于N且与N互素的数个数；然后，用户从0,（N）1中任选一个与（N）互素的数E，同时根据下式计算出另一个数DED1MOD（N）这样就产生了一对密钥PK（E,N）,SKD,N若用整数X表示明文，Y表示密文，则有，加密YXEMODN；解密XYEMODN。34数据信封技术数字信封中采用了单钥密码体制和公钥密码体制。信息发送者首先利用随机产生的对称密码加密信息，再利用接收方的公钥加密对称密码，被公钥加密后的对称密码称之为数字信封。信息接收方要解密信息时，必须先用自己的私钥解密数字信封，得到对称密码，再利用对称密码解密所得到的信息，这样就保证了数据传输的真实性和完整性，如图39所示。图39数据信封技术第3章网络安全解决对策235反病毒技术351计算机病毒的介绍计算机病毒就是能够通过某种途径潜伏在计算机存储介质里，当达到某种条件时，即被激活的具有对计算机资源进行破坏作用的一组程序或指令集合。随着计算机技术的发展尤其是网络技术的普及，计算机病毒进入了一个新的阶段网络蠕虫病毒暴发阶段，2001至今，网络蠕虫已经成为网络病毒的主流。352计算机病毒的组成与分类经对目前出现的计算机病毒的分析发现，所有计算机病毒都是由三部分组成的，即病毒引导模块、病毒传染模块和病毒表现模块。计算机病毒程序组成如图310所示。计算机病毒程序病毒引导模块病毒传染模块病毒表现模块图310计算机病毒程序组成（1）引导模块负责将病毒引导到内存，并向系统中请求一定的存储空间，对相应的存储空间实施保护，以防止其他程序覆盖，并且修改系统的一些功能入口，在这些入口处引导病毒传染模块和病毒实现模块。（2）传染模块它是整个病毒程序的核心，传染模块又分为两部分判断部分、传染部分。（3）表现模块包括病毒触发条件判断和具体表现。而从技术来分可以分为网络病毒、邮件病毒、文件型病毒、宏病毒、引导型病毒、变体病毒、混合型病毒、其它类型病毒（JAVA,PDF,图文病毒）19。353病毒的检测和清除想要知道自己的计算机中是否染有病毒，可以根据以下几种情况来做简单判断。（1）计算机执行速度越来越慢。（2）系统出现莫名其妙的死机或者重启。23（3）网络速度变慢或者出现一些陌生的网络连接。（4）文件夹无缘无故多了一些文件。（5）突然出现蓝屏或无端黑屏等。除此以外，还可以用几种专业手段来检查1比较法用原始备份与被检测的引导扇区或被监测的文件进行比较，比较时可以靠打印的代码清除。2搜索法利用每一种计算机病毒体含有的特定字符串对被检测的对象进行扫描。如果在被检测对象内部发现了某一种特定字符串，就表明发现了该字符串所代表的计算机病毒。3分析法计算机病毒检测分析法是防杀计算机病毒工作中不可缺少的重要技术，需要专门人员对各种病毒详尽地分析。4人工智能陷阱技术和宏病毒陷阱技术人工智能陷阱是一种监测计算机行为的常驻或扫描技术。它将所有的计算机病毒所产生的行为归纳起来，一旦发现内存中的程序有任何不当的行为，系统就会有所警觉，并告知使用者；宏病毒陷阱技术是结合了搜索法和人工智能陷阱技术，依行为模式来侦测已知及未知的宏病毒。5软件仿真扫描法软件仿真技术是成功地仿真CPU执行，在DOS虚拟机下伪执行计算机病毒程序，安全并确定地将其解密使其显露本来的面目，再加以扫描。第4章网络安全防范设计24第4章网络安全防范41TELNET入侵防范TELNET协议是TCP/IP协议族中的一员，是INTERNET远程登录服务的标准协议和主要方式。它为用户提供了在本地计算机上完成远程主机工作的能力。在终端使用者的电脑上使用TELNET程序，用它连接到服务器。终端使用者可以在TELNET程序中输入命令，这些命令会在服务器上运行，就像直接在服务器的控制台上输入一样。可以在本地就能控制服务器。要开始一个TELNET会话，必须输入用户名和密码来登录服务器。TELNET是常用的远程控制WEB服务器的方法。TELNET可能是黑客常用的攻击方式，我们可以通过修改TELNET服务端口，停用TELNET服务，甚至把TELNET控制台管理工具删除。具体方法如下通过修改TELNET端口来防止黑客轻易入侵在命令提示符窗口中输入TLNTADMNCONFIGPORT168命令，回车后即可将TELNET端口修改成168，如图41所示。图41修改TELNET服务端口如果将TELNET的最大连接数设为0，这样就可以让一般的黑客豪无办法，设置方法同上。如果根本不需要TELNET，完全可以把它删掉，因为该服务实在是太危险了，直接把系统安装目录中的SYSTEM32中的TLNTADMNEXE删除掉，这样黑客想用TELNET入侵就会非常困难了20。42防止ADMINSTRATOR账号被破解WINDOWS2000/XP/2003系统的ADMINISTRATOR账号是不能被停用的，也不能设置安25全策略，这样黑客就可以一遍又一遍地尝试这个账号的密码，直到被破解，为了防止这种侵入，我们可以把ADMINISTRATOR账号更名在“组策略”窗口中，依次展开“本地计算机策略”/“计算机配置”/“WINDOWS设置”/“安全设置”/“本地策略”/“安全选项”功能分支。重命名系统管理员帐户“属性”对话框，在此输入新的管理员名称，尽量把它为普通用户，然后另建一个超过10位的超级复杂密码，并对该账号启用审核，这样即使黑客费力破解到密码也杀一无所获。另外为了防止黑客通过GUEST账号登录计算机，可以在“组策略”中删除GU