毕业设计（论文）-长江证券有限公司网络安全设计.doc

长江证券有限公司网络安全设计长江证券有限公司网络安全设计 长江证券有限公司网络安全设计 I 摘摘 要要 当今世界信息化浪潮席卷正全球。以 Internet 为代表的信息网络技术应用 正日益普及和广泛，应用领域从传统小型业务系统逐渐向大型关键业务系统扩展， 典型的例如党政部门信息系统、金融业务系统、企业商务系统等。网络安全已经 成为影响网络效能重要的问题，而 Internet 所具有的开放性、自由性和国际性 在增加应用自由度的时候，对安全提出了更高级的要求。一般来说，网络安全由 信息安全和控制安全两部分组成。信息安全指信息的完整性、可用性、保密性和 可靠性;控制安全则指身份认证、不可否认性、授权和访问控制因特网的迅猛发 展不仅带动了信息产业和国民经济地迅猛增长，也为企业的发展带来了勃勃生机。 因特网的迅猛发展不仅带动了信息产业和国民经济地迅猛增长，也为企业的发展 带来了勃勃生机。以因特网为代表的信息技术的发展不仅直接牵动了企业科技的 创新和生产力的提高，也逐渐成为提高企业竞争力的重要力量。这时网络安全成 为信息技术发展的一大障碍同时也是一大机遇与挑战。网络的安全措施应是能全 方位地针对各种不同的威胁和脆弱性，这样才能确保网络信息的保密性、完整性 和可用性。要想实现网络安全功能，应对网络系统进行全方位防范，从而制定出 比较合理的网络安全体系结构，在满足各子网系统建设的前提下，提出了包括病 毒防护、动态口令身份认证、安全审计管理、访问控制、信息加密策略、入侵检 测系统的部署、漏洞扫描系统等管理措施和安全技术在内的整套解决方案。目的 是建立一个完整的、立体的网络安全防御体系，使网络安全系统真正获得较好的 效果。 关键词：关键词：网络安全，防火墙技术，病毒 长江证券有限公司网络安全设计 II 目录目录 第第 1 1 章章 绪绪 论论 -1 1 1.1 网络安全产生的背景-1 1.2 网络安全的重要性-2 1.3 网络安全的策略-2 1.4 本论文的主要工作简介-3 第第 2 2 章章 长江证劵公司的网络安全长江证劵公司的网络安全 -4 4 2.1 公司的背景-4 2.2 公司的现网络拓扑图-4 2.3 增加防火墙后的网络及解决方案-6 2.4 营业网点的网络安全防范-7 第第 3 3 章章 防火墙防火墙 -9 9 3.1 防火墙的含义及作用-9 3.2 防火墙的分类-9 3.3 防火墙的配置与应用-11 3.3.1 防火墙配置基础-11 3.3.2 防火墙的应用-13 第第 4 4 章章 安全产品的配置与应用安全产品的配置与应用 -1515 4.1 防病毒及特洛伊木马软件-15 4.2 动态口令身份认证-17 第第 5 5 章章 安全方案测试安全方案测试 -2020 5.1 安全管理机构的建设原则-20 5.2 网络安全方案测试-20 5.3 展望-21 第 1 章 绪论 1 第 1 章 绪 论 1.1 网络安全产生的背景 随着计算机网络技术的快速发展和电子银行、电子商务、电子政 务的广泛应用，计算机网络已经深入到国家的政治、经济、文化和国 防建设的各个领域，遍布现代信息化社会工作和生活的各个层面， “数字化经济”和全球电子交易一体化正在形成。计算机网络安全不 仅关系到国计民生，还与国家安全密切相关，不仅涉及到国家政治、 军事和经济各个方面，而且影响到国家的安全与主权。随着计算机网 络的广泛应用和网络数据传输量的急剧增大，网络安全的重要性更为 突出。 目前，我国网络安全存在的主要问题有： 1）计算机系统遭受病毒感染和破坏的情况相当严重。据国家计 算机病毒应急处理中心数据看，从国家计算机病毒应急处理中心日常 监测结果看来，计算机病毒呈现出异常活跃 2）电脑黑客活动己形成重要威胁。网络信息系统具有致命的脆 弱性、易受攻击性和开放性，从国内情况来看，目前我国 95%与互联 网相联的网络管理中心都遭受过境内外黑客的攻击或侵入。 3）信息基础设施面临网络安全的挑战。面对信息安全的严峻形 势，我国的网络安全系统在预测、反应、防范和恢复能力方面存在许 多薄弱环节。 近年来，国内与网络有关的各类违法行为以每年 30%的速度递增。 网络环境的多变性、复杂性，以及信息系统的脆弱性，决定了网络安 重庆电子工程职业学院计算机系论文 2 全威胁的客观存在。我国被列入防护能力最低的国家之一，我国日益 开放并且走向世界，建立保护屏障和加强安全监管不可缺少。近年来， 随着网络安全事件的发生，人们越来越清楚的意识到，信息时代所引 发的信息安全问题涉及到人们生活的方方面面。因此可以说，在信息 化社会里，信息安全的重要性再怎么强调也不过分。 1.2 网络安全的重要性 在信息化飞速发展的今天，计算机网络得到了广泛应用，但随着 网络之间的信息传输量的急剧增长，一些机构和部门在得益于网络加 快业务运作的同时，其上网的数据也遭到了不同程度的攻击和破坏。 攻击者可以窃听网络上的信息，窃取用户的口令、数据库的信息；还 可以篡改数据库内容，伪造用户身份，否认自己的签名。更有甚者， 攻击者可以删除数据库内容，摧毁网络节点，释放计算机病毒等 等。为了能更好地适应信息技术的发展，必须做好安全措施，防止数 据的侦听和盗取，以免造成不可挽回的经济损失和安全威胁。 1.3 网络安全的策略 网络安全策略目的是决定一个计算机网络的组织结构怎样来保护 自己的网络及其信息，一般来说，安全策略包括两个部分：一个总体 的策略和具体的规则。总体的策略用于阐明公司安全政策的总体思想， 而具体的规则用于说明什么活动是被允许的，什么活动是被禁止的。 网络安全策略的等级网络安全策略可分为以下 4 个等级： 1)不把内部网络和外部网络相连，因此一切都被禁止； 2)除那些被明确允许之外，一切都被禁止； 第 1 章 绪论 3 3)除那些被明确禁止之外，一切都被允许； 4)一切都被允许，当然也包括那些本来被禁止的。 可以根据实际情况，在这 4 个等级之间找出符合自己的安全策略。 当系统自身的情况发生变化时，必须注意及时修改相应的安全策略。 1.4 本论文的主要工作简介 本文结合长江证券股份有限公司的实例，重点研究计算机网络的 安全问题，对长江证劵现存在的网络问题及相应的一个解决方案，从 而尽可能的使本网络安全系统保持可扩展性、健壮性，使网络安全系 统真正获得较好的结果。主要研究工作有： 1）长江证劵股份有限公司具体存在的问题及解决方案； 2）查找和收集网络安全相关的资料，剖析常见网络攻击的手段， 分析影响网络安全的因素。及相应的路由器和营业网点计算机上所做 的配置； 3）内网安全防范的具体方法，例如安装杀毒软件，口令认证， 管理风险等进行具体的分析； 4）根据中小型公司网络现状、中小型公司的需求、网络安全的 风险分析及网络安全系统设计目标和总体规划，设计了中小型网络安 全系统方案，运用先进的网络安全技术和网络安全产品对方案进行了 实现，探讨了今后网络安全系统的发展方向。 重庆电子工程职业学院计算机系论文 4 第 2 章 长江证劵公司的网络安全 2.1 公司的背景 长江证劵股份有限公司，是从事证劵金融行业的企业之一，长江 证券股份有限公司前身为湖北证券公司，成立于 1991 年 3 月 18 日， 注册地为武汉。2000 年 2 月 23 日，经中国证监会核准批复，公司增 资扩股至 10.29 亿元，同时更名为“长江证券有限责任公司” 。2001 年 12 月，经中国证监会核准批复，公司增资扩股至 20 亿元。2007 年 12 月 19 日，经中国证监会批复，公司更名为“长江证券股份有限 公司” ，并于 12 月 27 日正式在深圳证券交易所挂牌上市，股票代码 为 000783。现有公司员工 6176 人，经营范围是：证券经纪；证券投 资咨询；证券自营；证券资产管理；融资融券；证券投资基金代销； 为期货公司提供中间介绍业务；证券（不含股票、上市公司发行的公 司债券）承销；中国证监会批准的其他业务。 2.2 公司的现网络拓扑图 从整个网络的现状来看，省行中心是受防火墙保护的，有效防止 了来自地市行的网络入侵，同样地市行的二级中心与营业网点和合作 伙伴之间也有防火墙隔离，这样就组成了一个基本安全的网络系统。 但这种模型存在着三个安全隐患: 一是二级分行（假设为 A 分行和 B 分行）上联到省行的同一台路由器上，A 分行和 B 分行之间的相互访 问不经过任何防火墙隔离; 二是合作伙伴和营业网点在二级分行的同 一个下联路由器上，存在着合作伙伴非法侵入营业网点的可能; 三是 同一个路由器下联网点之间的相互访问没有防火墙隔离措施。这些安 全隐患都是历史原因造成的，其一是二级分行是将省行作为可信任对 第 2 章 长江证券公司的网络安全 5 象接入网络的，没有考虑到其他二级分行这一不可信任对象群存在着 非法入侵的可能性; 其二是合作伙伴（比如人民银行、移动公司、联 通公司、网通公司、保险公司等）是随着业务的开展逐步接入网络系 统的，从一开始就没有也不可能有一个完整的网络规划，没有一台专 门用于合作伙伴接入的路由器，在建网模型中将其等同于内部营业网 点，只是在路由器的配置上增加了访问列表控制。有上述三个安全隐 患的存在，就有可能存在非法入侵或网络攻击。比如某合作伙伴非法 入侵到一个营业网点上，利用网点的合法身份就可以取得与营业网点 相同的网络权限，可以窃取金融机密、篡改业务数据，从而造成数据 混乱直至经济损失。再比如 A 二级分行非法入侵到 B 分行，通过使 用网络攻击工具，可以直接致使 B 分行的网络系统拒绝多种服务，从 而造成网络瘫痪。高科技网络犯罪以其本身固有的隐蔽性，使侦破、 举证非常困难，所以一定要在技术和管理上严加防范，争取做到防患 于未然。如图 2-1 所示，是公司现状的网络图。 图 2-1 公司现网络图 重庆电子工程职业学院计算机系论文 6 2.3 增加防火墙后的网络及解决方案 根据以上分析，我们以为在市分行中心要增加防火墙，建立非军 事区，将二级分行的核心服务器、前置机保护起来; 对于合作伙伴要 与营业网点区别对待，专门使用一个合作伙伴接入路由器和他们相联 结。将分行机关本身的计算机群也视为不可信任对象放在非军事区之 外。如图 2-2 所示：是其增加防火墙后的网络拓扑结构。 图 2-2 增加防火墙后的网络结构图 如图 2-2 所示，根据现行情况，二级分行有多台上联路由器，同 时也有多台下联路由器，所以我们拟采用 Cisco 的 Pix 515ur 路由器 作为外层防火墙。Pix 515 UR 系列防火墙最多可以扩展到 5 个外网口、 第 2 章 长江证券公司的网络安全 7 1 个内网口，其安全级别从 100 到 0 任意分配，其中安全级别较高的 以太网口相对于安全级别低的以太网口而言都是内网口。根据信息产 业部和公安部的有关规定，进口防火墙要和国产防火墙联合使用，所 以我们拟选天融信的 FW2000 作为内层防火墙。这种选用联合防火墙 的优点是： 1）利用 Pix 的低价位、高配置的优势，将所有上联或下联路由 器联到同一台防火墙上，使路由器之间的访问必须通过防火墙隔离； 2）利用 Pix 的 nat 地址映射功能，屏蔽非军事区的地址，使得 所有对内网的攻击变成对防火墙的攻击，而防火墙的防护能力非常强； 3）内层使用天融信的 FW2000，价位比较低，而包过滤功能非常 强，即使部分漏网的恶意攻击数据包通过了 Pix，也会被 FW2000 过滤 掉，同时也满足了国家的有关规定。如果只选用 FW3000 防火墙进行 一层防火墙隔离措施，就受到了两个制约。一是性能价格比: FW2000 的可扩展性比较差，最多可扩展到 3 个外网口; FW3000 与 FW2000 的 价格差就高于一台 Pix 的价格，尽管 FW3000 最多可以扩展到 11 个外 网口，但扩一个口就需要 2 万元; 以需要隔离 5 台路由器为例，综合 计算下来，Cisco Pix+FW2000 需要 12.5 万元，单独使用 FW3000 需要 19.8 万元。二是天融信系列防火墙是以数据包过滤见长的，Pix+FW 则综合实现了状态型数据包过滤和内网地址屏蔽，其安全性能高于单 层 FW3000。 重庆电子工程职业学院计算机系论文 8 2.4 营业网点的网络安全防范 经过上述网络改造之后，尚有一个安全隐患没有消除: 同一台路 由器下联的营业网点之间的相互访问没有防火墙隔离。每个营业网点 如果都配置硬件防火墙固然好，但是成本太高。针对金融企业网相对 封闭、营业网点操作人员的计算机网络专业水平都相对较低的特点， 不妨对常见网络攻击手段逐一分析，从路由器和营业网点计算机上做 相映配置，从而做到低成本下的有效防范。 第 3 章 防火墙 9 第 3 章 防火墙 3.1 防火墙的含义及作用 从传统意义讲：用于控制实际的火灾，使火灾被限制在建筑物的 某部分，不会蔓延到其他区域。 从网络安全意义上讲:用于保护网络免受恶意行为的侵害，并阻止 其非法行为的网络设备或系统。作为一个安全网络的边界点，在不同 的网络区域之间进行流量的访问控制。防火墙能够做什么、它有什么 作用？ 1）控制和管理网络访问； 2）保护网络和系统资源； 3）数据流量的深度检测； 4）身份验证； 5）扮演中间人角色； 6）记录和报告事件。 3.2 防火墙的分类 1）按照操作对象分为：主机防火墙、网络防火墙； 2）按照实现方式分为：软件防火墙和硬件防火墙； 3）按照过滤和检测方式分为：包过滤防火墙、状态防火墙、应 用网关防火墙、地址转换防火墙、透明防火墙、混合防火墙。 在状态防火墙中： 1）有状态包过滤防火墙技术与无状态包过滤防火墙执行相似的 重庆电子工程职业学院计算机系论文 10 操作； 2）保持对连接状态的跟踪，状态表。 （1）无需开放高端口访问权限； （2）作为主要的防御措施； （3）需要更加严格的控制； （4）不属于现有会话的访问将被拒绝。 3）检查更高级的信息： （1）TCP Flag、TCP Seq.； （2）更多的 Dos 防护； （3）特定应用层协议检测。 4）不能阻止应用层攻击； 5）状态表导致的系统开销； 6）部署方式。 在防火墙的部署中：防火墙拓扑位置 1）专用（内部）和公共（外部）网络之间； 2）网络的出口和入口处； 3）专用网络内部：关键的网段，如数据中心。 防火墙区域 1）Trust（内部） ； 2）Untrust（外部，Internet） ； 3）DMZ（Demilitarized Zone，非武装军事区） ； （1）DMZ 中的系统通常为提供对外服务的系统； （2）增强信任区域中设备的安全性； （3）特殊的访问策略； 第 3 章 防火墙 11 （4）信任区域中的设备也会对 DMZ 中的系统进行访问。 如图 3-1 所示：是防火墙的部署图。 图 3-1 防火墙的部署图 3.3 防火墙的配置与应用 3.3.1 防火墙配置基础 1）配置接口 Conf t Name if ethernet0 outside security0 Name if ethernet1 inside security100 Name if ethernet2 DMZ security50 Interface ethernet0 auto Interface ethernet1 auto 重庆电子工程职业学院计算机系论文 12 Interface ethernet2 auto Ip address outside Ip address inside Ip address dmz 0 Router outside Write memory 2）保存和查看配置 pix1(config)# ping 0 0 response received - 0ms 0 response received - 0ms 0 response received - 0ms pix1(config)# write memory Building configuration. Cryptochecksum: dfe4a212 2d798b65 c28d5c76 86c2aa92 OK pix1(config)# pix1(config)# write terminal pix1(config)# show run 3）访问类型： （1）出站连接：从高到低的接口 （2）入站连接：从低到高的接口 4）配置出站连接： （1）缺省情况下，PIX 允许所有出站连接； （2）还要使用 NAT 和 GLOBAL 命令完成连接；思科建议尽可 第 3 章 防火墙 13 能 5)在防火墙上启用 NAT (1)接口级别相同的网络不会产生连接. pix2(config)# nat (inside) 2 0 0 pix2(config)# nat (dmz) 2 0 0 pix2(config)# global (outside) 2 netmask Global will be Port Address Translated pix2(config)#global (outside) 2 -00 netmask 6)配置入站访问连接 (1)缺省情况下,入站连接是被拒绝的. (2)任何入站连接都需要进行配置. (3)可以使用 static 和 conduit 完成任务. (4)如:在 DMZ 中加了一台 WEB 服务器,如何发布到互联网中. pix2(config)# static (inside,outside) 11 netmask 55 0 0 pix2(config)# conduit permit host 11 eq www any 3.3.2 防火墙的应用 如图 3-2 所示：是防火墙的应用结构图。 重庆电子工程职业学院计算机系论文 14 图 3-2 防火墙的应用 第 4 章 安全产品的配置与应用 15 第 4 章 安全产品的配置与应用 4.1 防病毒及特洛伊木马软件 为了实现在整个局域网内杜绝病毒的感染、传播和发作，我们应 该在整个网络内可能感染和传播病毒的地方采取相应的防病毒手段。 同时为了有效、快捷地实施和管理整个网络的防病毒体系，应能实现 远程安装、智能升级、远程报警、集中管理、分布查杀病毒等多种功 能。 1）选择防毒软件的标准： （1） “高侦测率”是基本条件； （2） “尽量小影响”是基本要求； （3） “容易管理”是基本要求； （4）未知病毒“隔离政策”是关键； 2）病毒处理功能特色指标（高侦测率）： （1）未知病毒检测能力、未知病毒清除能力 ； （2）压缩文件查毒（不限层数） 、压缩文件清毒（不限层数） ； （3）打包文件查毒（不限层数） 、打包文件清毒（不限层数） ； （4）内存查毒、内存清毒、运行文件清毒； 常用的防病毒软件：Kv3000、瑞星：Rishing 、NAI 公司： McAfee TVD 、TrendMicro（趋势科技） 、Symantec 公司：Norton AntiVirus。 一个完整的木马程序有两个部分组成：服务器端和控制器端 1）客户端防毒：采用趋势科技的 Officescan。该产品作为网络版 重庆电子工程职业学院计算机系论文 16 的客户端防毒系统，使管理者通过单点控制所有客户机上的防毒模块， 并可以自动对所有客户端的防毒模块进行更新。其最大特点是拥有灵 活的产品集中部署方式，不受 Windows 域管理模式的约束，除支持 SMS，登录域脚本，共享安装以外，还支持纯 W 己 b 的部署方式。 2）邮件防毒：采用趋势科技的 SacllMailforNoteS。该产品可以 和 Domino 的群件服务器无缝相结合并内嵌到 Notes 的数据库中，可 防止病毒入侵到 LotueNoteS 的数据库及电子邮件，实时扫描并清除隐 藏于数据库及信件附件中的病毒。可通过任何 Notes 工作站或 Web 界 面远程控管防毒管理工作，并提供实时监控病毒流量的活动记录报告。 3）服务器防毒：采用趋势科技的 ServerProtect。该产品的最大特 点是内含集中管理的概念，防毒模块和管理模块可分开安装。一方面 使所有服务器的防毒系统可以从单点进行部署，管理和更新，另一方 面减少了整个防毒系统对原系统的影响， 。Serve 少 rotect 产品支持 WindowsNT/2000、NovellNetware，同时 ServerProtect 是业界第一款 支持 Linux 平台的防病毒产品。 防范措施主要有： 1）使用正版防毒软件，并及时更新防毒病毒码； 2）及时打上系统和软件补丁； 3）不要访问色情、黑客等不良网站； 4）不要轻易相信“朋友”发来的链接和程序，对于下载的软件 应该先查毒，然后才能运行； 5）陌生人的邮件勿轻易打开； 6）定期更新密码，尤其是银 行账号、游戏账号等的密码 第 4 章 安全产品的配置与应用 17 7) 使用防毒软件定期扫描系统。 对于企业用户而言还应做好以下几点： 1）加强网络管理，关闭不必要的网络端口和应用； 2）使用网络版的防毒软件，可以进行全网管理； 3）加强用户安全意识教育； 4）做好安全监控和病毒事件应急响应； 5）监控 Web 服务器是否挂马，有条件者可以寻求专业防毒机构 和专业人士的支持。 4.2 动态口令身份认证 动态口令身份认证具有随机性、动态性、一次性、不可逆等特点， 不仅保留了静态口令方便性的优点，而且很好地弥补了静态口令存在 的各种缺陷。动态口令系统在国际公开的密码算法基础上，结合生成 动态口令的特点，加以精心修改，通过数十次以上的非线性迭代运算， 完成时间参数与密钥充分的混合扩散。在此基础上，采用先进的身份 认证及加解密流程、先进的密钥管理方式，从整体上保证了系统的安 全性。特点如下： 1）动态口令系统的抗截获攻击能力在动态口令认证系统的设计 中，每个正确的动态口令只能使用一次。因此，不用担心口令在传输 认证期间被第三方监听到。因为正确的口令在认证服务器上被认证之 后，在数据库中会有相应的日志记录，这时即使再有使用这个正确口 令的用户提交认证，也不能通过。动态口令系统的这个特点使得截获 攻击无法实现。 2）动态口令系统的抗实物解剖能力动态口令卡采用了带加密位 重庆电子工程职业学院计算机系论文 18 的数据处理器，防止有人企图解算法程序从其中读出，具有很高的抗 实物解剖能力。另外，由于每个用户的密钥都不相同(在初始化时随时 生成)，并且密钥与同口令计算有关的信息存贮在动态 RAM 中，当有 人对其进行分析时，数据处理一旦掉电，这些密钥将消失。即使有人 破译了其中的程序，由于不知道用户的密钥，以及初始化时间等相关 信息，也无法正确地计算出用户实时的口令。 3）动态口令系统的抗穷举攻击能力穷举攻击是破解口令时常用 的攻击手段之一。这种攻击手段的特点就是大量频繁地对一个用户的 口令进行反复认证。针对这一特点，在动态口令认证系统中对每一个 用户在一个时段内的认证结果设计了日志记录，当发现一个用户的认 证记录为多次失败时，系统将锁住这个用户的认证行为。这样也就杜 绝了穷举攻击的可能性。 4）系统的密钥管理和安全数据库的加密。系统安全数据库保存 用户信息、用户密钥等等，这些敏感数据如果泄露，将使第三者获得 合法用户的身份，因此是绝对需要保密的。我们对安全数据库均进行 加密后存放在服务器上，绝对不以明码的形式出现。系统主密钥存放 在系统维护员的 IC 卡上，只有掌握系统维护员的 IC 卡的人才能对这 些敏感数据库进行操作。因此不掌握系统密钥的话，即使有机会接触 到服务器，也无法取得各用户密钥。 本网络系统采用南京众力科技有限公司生产的 VPN 动态口令身 份认证系统。VPN 动态口令身份认证系统主要由以下几个主要模块组 成：认证系统管理员界面、帐号管理服务器(UAM)、RADIUS 认证服 务器、NAS(网络接入服务器采用带 VPN 功能的防火墙，例如： NOKIAIP380)、ORACLE 数据库管理系统、VPN 客户端、防火墙管 第 4 章 安全产品的配置与应用 19 理软件(例如：NOKIA 防火墙软件 CheekPointExpress)。VPN 用户从 顶 temet 远程访问内部网络，需要对用户身份进行认证，允许合法的 用户访问网络，不合法的用户不允许访问。密码通过远程网络传输有 被黑客拦截的危险，而采用动态口令作为密码，即每次用户通过身份 认证后本次密码立即失效。用户下次登录时，通过 VPN 客户端获得 新的密码，并通过手机短信将新密码发送给用户。 采用该方案后，在中小型公司的认证系统中能够实现： 1）密钥/时间双因素的身份认证机制； 2）登录口令随时间变化； 3）口令使用次数和时效自由控制，有效抵御重播攻击行为； 4）开放的应用程序接口，与应用系统方便集成； 5）使用经过国家认可的自主密码算法，具有优秀的安全性； 6）提供客户端设备与认证服务器之间的时间补偿机制，提高系 和可用性； 7）用户端设备设计小巧，性能稳定，使用方便； 8）提供完善灵活的安全事件日志审计和查询功能。 避免了静态口令中的不足，譬如： 1）网络数据流窃听(Sniffer)； 2）认证信息截取/重放(Record/Replay)； 3）字典攻击； 4）穷举尝试(BruteForee)。 重庆电子工程职业学院计算机系论文 20 第 5 章 安全方案测试 5.1 安全管理机构的建设原则 单位安全网内网系统安全具有高度的敏感性和特殊性，通过设 立专门的主管机关强制性执行上述国家相关法规来进行管理。信息 安全管理机构的职能建设遵照从上至下的垂直管理原则，即：上级 机关信息安全管理机构指导下一级机关信息系统安全管理机构的工 作原则：下一级机关信息系统的安全管理机构接受并执行上一级机 关信息系统安全管理机构的安全策略;信息系统的安全管理机构，不 隶属于同级信息系统管理和业务机构。信息系统安全管理机构由系 统管理、系统分析、软件硬件、安全保卫、系统稽核、人事、通信 等有关方面的人员组成。 能建设遵照从上至下的垂直管理原则，即：上级机关信息安全 管理机构指导下一级机关信息系统安全管理机构的工作原则：下一 级机关信息系统的安全管理机构接受并执行上一级机关信息系统安 全管理机构的安全策略;信息系统的安全管理机构，不隶属于同级信 息系统管理和业务机构。信息系统安全管理机构由系统管理、系统 分析、软件硬件、安全保卫、系统稽核、人事、通信等有关方面的 人员组成。 5.2 网络安全方案测试 随着网络应用的深入普及，网络安全越来越重要，国家和企业 都对建立一个安全的网络有了更高的要求。鉴于国家和各单位领导 的重 第 5 章 安全方案测试 21 视，涉及信息安全的经费逐年增加，但是信息安全并不是在市场上 所有安全产品的堆叠，因为这种堆叠不仅会在经济造成极大的浪费、 在人力上造成非常大浪费，更重要的是它没有达到防护的效果，因 此完善的计算机网络安全方案就显得十分重要。一个特定的系统网 络安全方案，应建立在对网络风险分析的基础上，结合系统实际的 应用而做。由于各个系统的应用不同，不能简单地把信息系统的网 络安全方案固定为一个模式，用这个模式去套所有的网络系统。 本系统通过网络的连通性测试、各应用系统功能的实现测试、 网络管理功能的实现测试、实际数据传输的测试均达到中小型网络 管理的需求 5.3 展望 本文实际上重点讨论了对非授权用户非法访问网络信息的保护 方法，这是和外界物理隔离的保密网络现阶段遇到的最为主要问题。 系统管理人员应该清楚在自己的系统上所注册的合法用户究竟都有 哪些;他们各自的权限又在哪儿。其次详细讨论了针对计算机操作系 统普遍存在的安全漏洞对用户计算机的威胁，以及采取哪些防护手 段。 由于时间、精力的有限以及技术方面的不足，本文还存在着许 多需要进一步加以完善的工作： 1）本文做的工作只是对中小型公司网络安全系统中的几个模块 进行了详细的分析和设计，而校园网络安全是校园网很重要部分， 它包含很多的内容，因此还有大量应用需要开发； 重庆电子工程职业学院计算机系论文 22 2