本科计算机网络工程毕业论文

1、. . 摘要随着计算机网络的不断开展和普及，计算机网络带来了无穷的资源，但随之而来的网络平安问题也显得尤为重要。平安是网络运行的前提，网络平安不仅仅是单点的平安，而是整个信息网络的平安，需要从多方进展立体的防护。文中就局域网网络平安的当前形式及面临的各种威胁，网络平安防措施、技术，阐述了局域网网络平安当前在我们生活中的重要性。关键词：局域网 网络 平安 网络平安. AbstractAlong with calculator network continuously development and universality, the calculator network brought an e

2、ndless resources, but the network safe problem for following also seems to be is importance.The safety is a network movement of premise, the network safety isnt only an only a little bit single safety, but the whole safety of information network, need from in many ways carry on a stereoscopic protec

3、tion.In the te*t the current form of area net network safety in bureau and face of various threat, the network safety guards against a measure, technique and elaborated that the area net network safety in bureau is in the importance in our life at present.Keyword：LAN Internet Security Network Securi

4、ty. 目录TOC o 1-3 h z uHYPERLINK l _Toc262502813第一章网络平安 PAGEREF _Toc262502813 h 1HYPERLINK l _Toc262502814第一节网络平安的定义 PAGEREF _Toc262502814 h 1HYPERLINK l _Toc262502815第二节局域网平安威胁及平安攻击 PAGEREF _Toc262502815 h 1HYPERLINK l _Toc262502816一局域网平安威胁 PAGEREF _Toc262502816 h1HYPERLINK l _Toc262502817二平安攻击 PAGER

5、EF _Toc262502817 h 2HYPERLINK l _Toc262502818第三节局域网当前形式及面临的问题 PAGEREF _Toc262502818 h 4HYPERLINK l _Toc262502819第二章网络平安的防护措施 PAGEREF _Toc262502819 h 6HYPERLINK l _Toc262502820第一节网络体系构造 PAGEREF _Toc262502820 h 6HYPERLINK l _Toc262502821一网络层次构造 PAGEREF _Toc262502821 h 6HYPERLINK l _Toc262502822二效劳、接口和

6、协议 PAGEREF _Toc262502822 h 6HYPERLINK l _Toc262502823三网络参考模型 PAGEREF _Toc262502823 h 7HYPERLINK l _Toc262502824第二节网络平安模型 PAGEREF _Toc262502824 h 10HYPERLINK l _Toc262502825第三节局域网平安防措施 PAGEREF _Toc262502825 h 12HYPERLINK l _Toc262502826一防火墙系统 PAGEREF _Toc262502826 h 12HYPERLINK l _Toc262502827二入侵检测系统

7、 PAGEREF _Toc262502827 h 14HYPERLINK l _Toc262502828第三章基于*学校网络平安的研究 PAGEREF _Toc262502828 h 16HYPERLINK l _Toc262502829第一节校园网络平安防体系的建立 PAGEREF _Toc262502829 h16HYPERLINK l _Toc262502830一校园网络平安策略概述 PAGEREF _Toc262502830 h 16HYPERLINK l _Toc262502831二对于校园网的解决方案 PAGEREF _Toc262502831 h 16HYPERLINK l _T

8、oc262502832第二节*校网络平安设计方案 PAGEREF _Toc262502832 h 19HYPERLINK l _Toc262502833一网络平安设计原则 PAGEREF _Toc262502833 h 19HYPERLINK l _Toc262502834二网络平安建立方案 PAGEREF _Toc262502834 h 19HYPERLINK l _Toc262502835完毕语 PAGEREF _Toc262502835 h 22HYPERLINK l _Toc262502836辞 PAGEREF _Toc262502836 h 23HYPERLINK l _Toc262

9、502837参考文献 PAGEREF _Toc262502837 h 24. 第一章 网络平安随着Internet的兴起，网络平安问题越来越引起人们的关注，采取平安技术来防止对数据的破坏已成为网络应用中的当务之急。网络平安的定义网络平安是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的行为而遭受到破坏、更改、泄露，使系统连续可靠正常地运行，网络效劳不中断。网络平安从其本质上来讲就是网络上的信息平安1。局域网平安威胁及平安攻击一 局域网平安威胁一来自互联网的平安威胁局域网是与Internet互连的。由于Internet的开放性、国际性与自由性，局域网将面临更加严重的平安威胁。

10、如果局域网与外部网络间没有采取一定的平安防护措施，很容易遭到来自Internets上黑客的各种攻击。他们可以通过嗅探程序来探测、扫描网络及操作系统存在的平安漏洞，如网络I P 地址、应用操作系统的类型、开放的T C P 端口号、系统用来保存用户名和口令等平安信息的关键文件等，并通过相应攻击程序进展攻击。他们还可以通过网络监听等手段获得部网用户的用户名、口令等信息，进而假冒部合法身份进展非法登录，窃取部网络中重要信息。还能通过发送大量数据包对网络效劳器进展攻击，使得效劳器超负荷工作导致拒绝效劳，甚至使系统瘫痪。二来自局域网部的平安威胁部管理人员把部网络构造、管理员口令以及系统的一些重要信息传播给

11、外人带来信息泄漏；部职工有的可能熟悉效劳器、小程序、脚本和系统的弱点，利用网络开些小玩笑，甚至搞破坏。如，泄漏至关重要的信息、错误地进入数据库、删除数据等，这都将给网络造成极大的平安威胁。三计算机病毒及恶意代码的威胁由于网络用户不及时安装防病毒软件和操作系统补丁，或未及时更新防病毒软件的病毒库而造成计算机病毒的入侵。许多网络寄生犯罪软件的攻击，正是利用了用户的这个弱点。寄生软件可以修改磁盘上现有的软件，在自己寄生的文件中注入新的代码。最近几年，随着犯罪软件Crime Software汹涌而至，寄生软件已退居幕后，成为犯罪软件的助手。二 平安攻击平安攻击是平安威胁的具体表达，他主要包括以下几种类

12、型：被动攻击、主动攻击、物理临近攻击和分发攻击2。一被动攻击被动攻击的主要目标是被动检视公共媒体上传送的信息。抵抗这类攻击的对策是使用虚拟专用网(VPN)。表1.1列举了一些特定的被动攻击。攻击描述检视明文检视网络的攻击者获取未加保护措施的用户信息或数据解密加密不善的通信数据公共域中已具备密码分析能力口令嗅探这类攻击包括使用协议分析工具捕获用于未授权使用的口令通信量分析即使不解密下层信息，外部通信模式的观察也能给对手提供关键信息。如通信模式的改变可以暗示紧急行动表1.1 特定的被动攻击举例二主动攻击主动攻击的主要目标是企图避开或打破平安防护、引入恶意代码如计算机病毒以及转换数据或系统的完整性。

13、典型对策包括增强的区域边界保护如防火墙和边界护卫、基于身份认证的访问控制、受保护的远程访问、质量平安管理、自动病毒检测工具、审计和入侵检测。表1.2类聚了一些特定的主动攻击。表1.2 主动攻击举例攻击描述修改传输中的数据在金融领域，如果能够修改电子交易，从而改变交易的数量或将交易转移到别的账户，其后果将是灾难性的重放插入数据旧消息的重新插入将耽误及时的行动会话劫持这种攻击包括未授权使用一个已经建立的会话伪装成授权的用户或效劳器这类攻击包括攻击者自己伪装成他人，因而得以未授权访问资源和信息。一个攻击者通过实施嗅探或其它手段获得用户/管理员信息，然后使用该信息作为一个授权用户登陆。这类攻击也包括用

14、于获取敏感数据的欺骗效劳器，通过与未产生疑心的用户建立信任关系来实施该攻击获取系统应用和操作系统软件攻击者探求以系统权限运动的软件中存在的脆弱性利用主机或网络信任攻击者通过操纵文件使虚拟/远方主机提供效劳，从而去利用传递的信任利用数据执行攻击者将恶意代码植入看起来无害的供下载的软件或电子中，从而使用户去执行该恶意代码。恶意代码可用于破坏或修改文件，特别是包含权限参数值的文件插入或利用恶意代码攻击者能进入用户系统并执行命令。通过先前发现的脆弱性并使用该访问来到达其攻击目的利用协议或根底设施的BUGS攻击者利用协议中缺限来欺骗用户或重定向通信量。恶意代码在VPN中可以通过更低级隧道来攫取信息拒绝效

15、劳攻击者有很多其它的攻击方法，包括有效地将一个路由器从网络中脱离ICMP炸弹，在网络中扩散垃圾包以及向中心扩散垃圾等三物理临近攻击在物理临近攻击中未授权者可物理上接近网络、系统或设备，目的是修改、收集或拒绝访问信息。这种接近可以是秘密进入或公开接近，也可以是两种都有。表1.3列举了这种攻击独有的典型攻击实例。表1.3 临近攻击举例攻击描述修改数据或收集信息临近的攻击者由于获得了对系统的物理访问从而修改或窃取信息，如IP地址、登录的用户名和口令系统干预这种攻击来自临近的攻击者访问并干预系统如窃听、降级等物理破坏该攻击者来自获得对系统的物理访问的临近者，导致对本地系统的物理破坏四分发攻击“分发攻击

16、一词是指在软件和硬件开发出来之后和安装之前这段时间，或当它从一个地方传送到另一个地方，攻击者恶意修改软硬件。在工厂，可以通过加强处理配置控制将这类威胁降到最低。通过使用受控分发，或者由最终用户检验的签名软件和访问控制可以消除分发威胁。表1.4给了这类分发特有的典型攻击实例表1.4分发攻击举例攻击描述在制造商的设备上修改软/硬件当软件和硬件在生产线上流通时，可以通过修改软硬件配置来实施这类攻击。这一阶段威胁的对策包括严格的完整性控制和在测试软件产品中的加密签名，前者又包括高可靠配置控制在产品分发时修改软/硬件这些攻击可以通过在产品分发期如在装船时安装窃听设备修改软件和硬件配置来实施。这一阶段威胁

17、的对策包括在包装阶段使用篡改检测技术，使用授权和批准传递和使用忙买技术第三节 局域网当前形式及面临的问题随着局域网络技术的开展和社会信息化进程的加快,现在人们的生活、工作、学习、娱乐和交往都已离不开计算机网络。现今，全球网民数量已超过15亿，网络已经成为生活中离不开的工具，经济、文化、军事和社会活动都强烈地依赖于网络。网络环境的复杂性、多变性以及信息系统的脆弱性、开放性和易受攻击性，决定了网络平安威胁的客观存在。尽管计算机网络为人们提供了巨大的方便，但是受技术和社会因素的各种影响，计算机网络一直存在着多种平安缺陷。攻击者经常利用这些缺陷，实施攻击和入侵，给计算机网络造成极大的损害，网络攻击、病

18、毒传播、垃圾等迅速增长，利用网络进展盗窃、诈骗、敲诈讹诈、窃密等案件逐年上升，严重影响了网络的正常秩序，严重损害了网民的利益；网上、暴力等不良和有害信息的传播，严重危害了青少年的身心安康。网络系统的平安性和可靠性正在成为世界各国共同关注的焦点。根据中国互联网信息中心2010年初发布的统计报告显示：我国互联网已超过三百万家，上网用户2亿多，网民数和宽带上网人数均居全球第二。同时，网络平安风险也无处不在，各种网络平安漏洞大量存在和不断被发现，计算机系统遭受病毒感染和破坏的情况相当严重，计算机病毒呈现出异常活泼的态势。面对网络平安的严峻形势，我国的网络平安保障工作尚处于起步阶段，根底薄弱，水平不高，

19、网络平安系统在预测、反响、防和恢复能力方面存在许多薄弱环节，平安防护能力不仅大大低于美国、俄罗斯和以色列等信息平安强国，而且排在印度、国之后。在监视管理方面缺乏依据和标准，监管措施不到位，监管体系尚待完善，网络信息平安保障制度不健全、责任不落实、管理不到位。网络信息平安法律法规不够完善，关键技术和产品受制于人，网络信息平安效劳机构专业化程度不高，行为不规，网络平安技术与管理人才缺乏。面对网络平安的严峻形势，如何建立高质量、高稳定性、高可靠性的平安网络成为通信行业乃至整个社会开展所要面临和解决的重大课题。. 第二章 网络平安的防护措施第一节 网络体系构造一 网络层次构造计算机网络就是将多台计算机

20、互连起来，使得用户程序能够交换信息和共享资源。不同系统中的实体进展通信，其过程是相当复杂的，为了简化网络的设计，人们采用工程设计中常用的构造化设计方法，即将复杂的通信问题分解成假设干个容易处理的子问题，然后逐个加以解决。网络设计中采用的构造化设计方法，就是将网络按照功能分成一系列的层次，每一层次完成一个特定的功能，相邻层中的较高层直接使用较低层提供的效劳来实现本层的功能，同时又向它的上层提供效劳，效劳的提供和使用都是通过相邻层的接口来进展的。这也就是人们通常所说的网络层次构造，层次构造是现代计算机网络的根底。参见图2.1。这种构造不仅使得网络的设计与具体的应用、根底的媒体技术以及互联技术等无关

21、，具有很大的灵活性，而且每一层的功能简单、易于实现和维护3。图2.1 网络的层次构造二 效劳、接口和协议每一层中的活动元素称为实体，实体可以是软件实体如进程，也可以是硬件实体如智能I/O芯片位于不同系统上同一层中的实体称为对等实体，不同系统间进展通信实际上是各对等实体间在通信。在*层上进展通信所使用的规则的集合称为该层的协议，各层协议按层次顺序排列而成的协议序列称为协议栈4。事实上，除了在最底层的物理媒体上进展的是实通信之外，其余各对等实体间进展的都是虚通信，即并没有数据流从一个系统的第N层直接流到另一个系统的第N层。每个实体只能和同一个系统中上下相邻的实体进展直接的通信，不同系统中的对等实体

22、是没有直接通信能力的，它们间的通信必须通过其下各层的通信间接完成。第N层实体向第N+1层实体提供的在第N层上的通信能力称为第N层的效劳。由此可见，第N+1层实体通过请求第N层的效劳完成第N+1层上的通信，而第N层实体通过请求第N-1层的效劳完成第N层上的通信，以此类推直到最底层，最底层上的对等实体通过连接它们的物理媒体直接通信。在第N层协议中所传送的每一信息被称作第N层协议数据单元PDU(ProtocolDataUnit)。相邻实体间的通信是通过它们的边界进展的，该边界称为相邻层间的接口。在接口处规定了下层向上层提供的效劳，以及上下层实体请求提供效劳所使用的形式规语句，这些形式规语句称为效劳原

23、语。因此可以说，相邻实体通过发送或接收效劳原语进展交互作用。而下层向上层提供的效劳分为两大类：面向连接的效劳和无连接的效劳。面向连接的效劳是系统效劳模式的抽象，每一次完整的数据传输都必须经过建立连接、使用连接和终止连接三个过程。在数据传输过程中，各数据分组不携带信宿地址，而使用连接号。本质上，效劳类型中的连接是一个管道，发送者在一端放入数据，接收者从另一端取出数据，其特点是：收发数据不但顺序一致而且容一样。无连接效劳是邮政系统效劳模式的抽象，其中每个数据分组都携带完整的信宿地址，各数据分组在系统中独立传送。无连接效劳不能保证数据分组的先后顺序，由于先后发送的数据分组可能经不同去往信宿，所以先发

24、的未必先到。在对一个网络进展层次构造的划分时，应做到：层次功能明确，相互独立；层间接口清晰，穿越接口的信息量尽量少；层次适中。虽然模型系统在构造上是分层的，但这并不要求现实系统在工程实现时也采用同样的层次构造。它们可以由实现者按其选择的任何方式来构造，只要这种实现的最终性能与模型系统所定义的性能相吻合即可。通常人们将网络的层次构造、协议栈和相邻层间的接口以及效劳统称为网络体系构造。三 网络参考模型目前最有代表性的网络参考模型是OSI参考模型和TCP/IP参考模型，但TCP/IP参考模型更流行。以下简要介绍这两种参考模型5。一OSI参考模型OSI(Open System Interconnect

25、ion，开放系统互联) OSI参考模型分为七层，由低到高依次为物理层、数据链路层、网络层、传输层、会话层、表示层和应用层，参见图2.2。OSI参考模型只是规定了网络的层次划分，以及每一层上所实现的功能，但它没有规定每一层上所实现的效劳和协议，因此它本身并不是一个网络体系构造。各层的主要功能如下：图2.2 OSI参考模型1 应用层是OSI参考模型的最高层，它的作用是为应用进程提供访问OSI环境的方法；2 表示层为上层用户提供数据或信息语法的表示转换；3 会话层是进程-进程层，进程间的通信也称为会话，会话层组织和管理不同主机上各进程间的对话；4 传输层是第一个端-端层，也称为主机-主机层，它为上层

26、用户提供不依赖具体网络的高效、经济、透明的端-端数据传输效劳所谓端-端是描述网络传输中对等实体之间关系的一个概念。在端-端系统中，初始信源机上*实体与最终信宿机的对等实体直接通信，彼此之间就像有一条直接线路，而不管传输过程中要经过多少接口报文处理机IMP。与端-端对应的另一个概念是点-点。在点-点系统中，对等实体间的通信由一段一段的直接相连的机器间的通信组成；5 网络层的作用是将数据分成一定长度的分组，将分组穿过通信子网从信源送到信宿；6 数据链路层的作用就是通过一定的手段，将有过失的物理链路转化成对网络层来说是没有传输错误的数据链路；7 物理层的作用是在物理媒介上传输原始的数据比特流，这一层

27、的设计同具体的物理媒介有关，如用什么信号表示“1”，用什么信号表示“0”，信号电平多少，收发双方如何同步。由以上几点可知，只有最低三层涉及通过通信子网的数据传输，高三层是端到端的层次，因而通信子网只包括第三层的功能。从实际的观点出发，OSI分层可以按照以下几点来考虑：1 依赖于应用的协议；2与特定媒体相关的协议；3 在1与2之间的桥接功能。二TCP/IP参考模型TCP/IP参考模型没有明确区分开效劳、接口和协议这三个概念，并且它是专门用来描述TCP/IP协议栈的，无法用来描述其它非TCP/IP网络。因此，尽管TCP/IP模型在工业上得到了广泛的应用，但人们在讨论网络时常常使用OSI参考模型，因

28、为它更具有一般性。TCP/IP草靠模型分为四层，它们是应用层、传输层、网络互联层和网络接口层，参见图2.3。各层功能如下：图2.3 TCP/IP参考模型1 应用层将OSI的高层-应用层、表示层和会话层的功能结合了起来，常见的协议有文件传输协(FTP)、远程终端协议(TELNET)、简单电子传输协议(SMTP)、域名系统(DNS)、简单网络管理协议(SNMP)、访问站点的HTTP等；2 传输层在功能上等价于OSI的传输层。在这一层上主要定义了两个传输协议，一个是可靠的面向连接的协议，称为传输控制协议(TCP)，另一个是不可靠的无连接协议，称为用户数据报协议(UDP)；3 网络互联层在功能上等价与

29、OSI网络层中与子网无关的局部。网络互联层是TCP/IP参考模型的核心，这一层上的协议称为IP。TCP和IP是非常重要的两个协议，以至于TCP/IP参考模型和TCP/IP协议族就以这两个的名称来命名；4网络接口层在功能上等价于OSI的子网络技术功能层。它包括OSI模型中的网络层中与子网有关的下部子层、数据链路层和物理层。负责将IP分组封装成适合在物理网络上传输的帧格式并传输，或将从物理网络接收到的帧解封，取出IP分组交给网络互联层。第二节 网络平安模型消息将通过*种类型的互联网从一方传输到另一方。这两方都是事务的主体，必须合作以便进展消息交换。可以通过在互联网上定义一条从信息源到信息目的地之间

30、的路由以及两个信息主体之间使用的*种通信协议(例如，TCP/IP)，来建立一条逻辑信息通道。如图2.4所示6：当需要或者希望防可能对信息性、真实性等产生威胁的攻击者的时候，平安方面的因素便会起作用。所有用于提供平安性的技术都包含以下两个主要局部：第一对待发送信息进展与平安相关的转换。其例如包括：消息加密，使得对于攻击者而言该消息不可读；建立在消息容上面的附加码，它可以用来验证发送者的身份。第二两个主体共享一些不希望被攻击者所知的秘密信息。其例如包括与消息变化一起使用的加密密钥，它在传输之前用于打乱消息而在接收之后用于恢复消息。图2.4 网络平安模型为了到达平安传输可能需要可信的第三方。例如，第

31、三方可能需要负责分发秘密信息给两个主体，同时对攻击者隐藏这些信息。通用模型说明设计特定的平安效劳时有四个根本的任务：第一设计用来执行与平安相关的转换的算法，这种算法应该是不会被攻击者击破的。第二生成用于该算法的秘密信息。第三开发分发和共享秘密信息的方法。第四指定一种能被两个主体使用的协议，这种协议使用平安算法和秘密信息以便获得特定的平安效劳。另一种有害访问是利用计算机系统逻辑上的弱点，这不仅能够影响应用程序，而且还能够影响实用程序，例如编辑器和编译器。程序存在两种形式的威胁：第一，信息访问威胁：本不该访问*些数据用户截取或修改数据。第二，效劳威胁：利用计算机的效劳缺陷阻止合法用户的使用。病毒和

32、蠕虫是软件攻击的两个具体例如。由于磁盘的有用软件可能隐藏着有害逻辑，因此可以通过这些磁盘小系统引入这种攻击。他们同样可以通过网络进入到系统中；后一种机制在网络平安中更受关注。解决有害访问的平安机制主要有两大畴。第一类畴是看门人功能，如图2.5所示。它包含基于口令的登录过程，它们设计成拒绝除授权用户外的所有访问，另一类平安机制是屏蔽逻辑，它们设计用来检测和拒绝蠕虫、病毒以及其他类似的攻击。一旦任意一个有害的用户或者有害的软件获得访问权，第二道防线包含各种检测活动的部控制，能够检视和分析存储的信息，以此来检测有害入侵者的存在。图2.5 网络访问平安模型第三节 局域网平安防措施一 防火墙系统一防火墙

33、概述防火墙是一种用来增强部网络平安性的系统，它将网络隔离为部网和外部网，从*种程度上来说，防火墙是位于部网和外部网之间的桥梁和检查站，它一般由一台和多台计算机构成，它对部网和外部网的数据流量进展分析、检测、管理和控制，通过对数据的筛选和过滤，来防止未授权的访问进出部计算机网，从而到达保护部网资源和信息的目的。防火墙是指设置在不同网络如可信任的企业部网和不可信的公共网或网络平安域之间的一系列部件的组合。它是不同网络或网络平安域之间信息的唯一出入口，能根据企业的平安政策控制(允许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息平安效劳，实现网络和信息平安的根底设施。在逻辑上

34、，防火墙是一个别离器，一个限制器，也是一个分析器，有效地监控了部网和Internet之间的任何活动，保证了部网络的平安。二防火墙的体系构造1 双重宿主主机体系构造双重宿主主机体系构造围绕双重宿主主机构筑。双重宿主主机至少有两个网络接口。这样的主机可以充当与这些接口相连的网络之间的路由器，它能够从一个网络到另外一个网络发送IP数据包。然而双重宿主主机的防火墙体系构造制止这种发送。因此IP数据包并不是从一个网络如外部网络直接发送到另一个网络如部网络。外部网络能与双重宿主主机通信，部网络也能与双重宿主主机通信。但是外部网络与部网络不能直接通信，它们之间的通信必须经过双重宿主主机的过滤和控制。2 被屏

35、蔽主机体系构造双重宿主主机体系构造防火墙没有使用路由器。而被屏蔽主机体系构造防火墙则使用一个路由器把部网络和外部网络隔离开。在这种体系构造中，主要的平安由数据包过滤提供例如，数据包过滤用于防止人们绕过代理效劳器直接相连。这种体系构造涉及到堡垒主机。堡垒主机是因特网上的主机能连接到的唯一的部网络上的系统。任何外部的系统要访问部的系统或效劳都必须先连接到这台主机。因此堡垒主机要保持更高等级的主机平安。数据包过滤容许堡垒主机开放可允许的连接什么是可允许连接将由你的站点的特殊的平安策略决定到外部世界。3 被屏蔽子网体系构造被屏蔽子网体系构造添加额外的平安层到被屏蔽主机体系构造，即通过添加周边网络更进一

36、步的把部网络和外部网络隔离开。被屏蔽子网体系构造的最简单的形式为，两个屏蔽路由器，每一个都连接到周边网。一个位于周边网与部网络之间，另一个位于周边网与外部网络之间。这样就在部网络与外部网络之间形成了一个“隔离带。为了侵入用这种体系构造构筑的部网络，侵袭者必须通过两个路由器。即使侵袭者侵入堡垒主机，他将仍然必须通过部路由器。三防火墙的功能1 数据包过滤技术数据包过虑技术是在网络中的适当位置对数据包实施有选择的通过的技术选择好依据系统设置的过滤规则后，只有满足过滤规则的数据包才被转发至相应的网络接口，而其余数据包则从数据流中被丢弃。数据包过滤技术是防火墙中最常用的技术。对于一个危险的网络，用这种方

37、法可以阻塞*些主机和网络连入部网络，也可限制部人员对一些站点的访问。包过滤型防火墙工作在OSI参考模型的网络层和传输层，它根据数据源地址，目的地址，端口号和协议类型等标志确定是否允许通过，只有满足过滤条件的数据包才被转发到相应目的地，其余数据包则被数据流中阻挡丢弃。2 网络地址转换技术网络地址转换是一种用于把IP地址转换成临时的外部的、注册的IP的地址标准，用户必须要为网络中每一台机器取得注册的IP地址。在部网络通过平安网卡访问外部网络时，系统将外出的源地址和源端口映射为一个伪装的地址和端口与外部连接，这样对外就隐藏了真实的部网络地址。在外部网络通过非平安网卡访问部网络时，它并不知道部网络的连

38、接情况，而只是通过一个开放的IP地址和端口来请求访问。防火墙根据预先定义好的映射规则来判断这个访问是否平安和承受与否。网络地址转换过程对于用户来说是透明的，不需要用户进展设置，用户只要进展常规操作即可。3 代理技术代理技术是在应用层实现防火墙功能，代理效劳器执行部网络向外部网络申请时的中转连接作用。代理侦听网络部客户的效劳请求，当一个连接到来时，首先进展身份验证，并根据平安策略决定是否中转连接。当决定转发时，代理效劳器上的客户进程向真正的效劳器发出请求，效劳器返回代理效劳器转发客户机的数据。另一种情况是，外部网通过代理访问部网，当外部网络节点提出效劳请求时，代理效劳器首先对该用户身份进展验证。

39、假设为合法用户，则把该请求转发给真正的*个部网络的主机。而在整个效劳过程中，应用代理一直监控着用户的操作，一旦用户进展非法操作，就可以进展干预，并对每一个操作进展记录。假设为不合法用语，则拒绝访问。二 入侵检测系统一入侵检测系统概述入侵检测是指通过对行为、平安日志或审计数据或其它网络上可以获得的信息进展操作，检测到对系统的闯入或闯入的企图。入侵检测技术是为保证计算机系统的平安而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反平安策略行为的技术。进展入侵检测的软件与硬件的组合便是入侵检测系统二入侵检测原理入侵检测跟其他检测技术有同样的原理。从一组数据

40、中，检测出符合*一特点的数据。攻击者进展攻击的时候会留下痕迹，这些痕迹和系统正常运行的时候产生的数据混在一起。入侵检测系统的任务是从这些混合的数据中找出是否有入侵的痕迹，并给出相关的提示和警告。入侵检测的第一步是信息收集，收集容包括系统、网络、数据及用户活动的状态和行为。由放置在不同网段的传感器或不同主机的代理来收集信息，包括系统和网络日志文件、网络流量、非正常的目录和文件改变、非正常的程序执行。第二步是信息分析，收集到的有关系统、网络、数据及用户活动的状态和行为等信息，被送到检测引擎，检测引擎驻留在传感器中，一般通过三种技术手段进展分析：模式匹配、统计分析和完整性分析。当检测到*种误用模式时

41、，产生一个告警并发送给控制台。第三步是结果处理，控制台按照告警产生预先定义的响应采取相应措施，可以是重新配置路由器或防火墙、终止进程、切断连接、改变文件属性，也可以只是简单的告警。. 第三章 基于*学校网络平安的研究第一节 校园网络平安防体系的建立一 校园网络平安策略概述具体的平安由以下几个方面组成：物理平安、网络平安、信息平安7。一物理平安物理平安策略主要指网络根底设施、网络设备的平安以及不同网络之间的隔离进展控制的策略。物理平安直接关系到网络的平安，如果非法用户有接触网络设备的可能，则他直接对设备进展破坏要比通过网络远程进展破坏容易得多。二网络平安网络平安是指系统主机、效劳器平安、反病毒、

42、系统平安检测、审计分析网络运行平安、备份与恢复、局域网与子网平安、访问控制防火墙、网络平安检测、入侵检测。三信息平安主要涉及到信息传输的平安、信息存储的平安以及对网络传输信息容的审计三方面，具体包括数据加密、数据完整性鉴别、防抵赖、信息存储平安、数据库平安、终端平安、信息的防泄密、信息容审计、用户授权。二 对于校园网的解决方案计算机网络系统是一个分层次的拓扑构造，因此网络的平安防护也需要采用分层次的拓扑防护措施，即一个完整的网络平安解决方案应该覆盖网络的各个层次，并且与平安管理相结合。网络平安防护分层如下表3.1所示：表3.1 网络平安分层构造物理层平安主要指网络设备通讯线路的平安网络层平安防

43、火墙、VLAN、路由平安系统层平安操作系统的平安应用层平安防病毒、应用系统的平安一物理层平安保证计算机信息系统各种设备的物理平安是整个计算机信息系统平安的前提。物理平安是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。它主要包括三个方面：环境平安、设备平安、媒体平安。二网络层平安主要包括：限制非法用户通过网络远程访问和破坏系统数据，窃取传输线路中的数据；确保对网络设备的平安配置。对网络来说，首先要确保网络设备的平安配置，保证非授权用户不能访问任意一台计算机、路由器和防火墙。1 合理划分VLANVLANVirtual L

44、ocal Area Network即虚拟局域网，是一种通过将局域网的设备逻辑地而不是物理地划分成一个个网段而实现虚拟工作组的技术。VLAN技术允许网络管理者将一个物理的LAN逻辑地划分成不同的播送域，每一个VLAN都包含一组有着一样需要的计算机工作站，与物理上形成的LAN有着一样的属性。但由于它是逻辑地而不是物理地划分，一个VLAN部的播送和薄弱流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的平安性。VLAN在交换机上的实现方法，可以大致划分为4类：第一是基于端口划分的VLAN；第二是基于MAC地址划分VLAN；第三是基于网络层划分VLAN；第四是基于

45、IP组播划分VLAN。以太网从本质上基于播送机制，但应用了交换器和VLAN技术后，实际上转变为点到点通讯，以上运行机制带来的网络平安是好处是显而易见的：第一，信息只有到达应该到达的地点。因此，防止了大局部基于网络监听的入侵手段。第二，通过虚拟网设置的访问控制，使在虚拟网外的网络节点不能直接访问虚拟网节点。2 防火墙与IDS安装防火墙进展平安保护，它是一种在校园部网和Internet之间实施的信息平安防系统技术，通过检测、限制、更改跨越防火墙的数据流，可以有效地对外屏蔽校园部网络的信息，从而对系统构造及其良性运行等实现平安防护。IDS所采用的不是被动防御的策略，而是主动监视、检测和识别在进展的或

46、已经成功的入侵行为，并及时报告给网络管理者。由于IDS系统除了报告外，本身不能对入侵采取任何的防御措施。3 路由器访问控制列表路由器是部网和Internet的连接，是信息出入的必经之路，对网络的平安具有举足轻重的作用，路由器本身就可以对数据包进展过滤和有效地防止外部用户对校园网的平安访问，可以限制网络流量，也可以限制校园网的*些用户或设备使用网络资源。不同VLAN之间的访问只能通过路由器或路由模块来完成，因此路由设备可以作为控制VLAN之间访问的初级屏障，因此，我们可以利用路由器来提高网络的平安性。三系统层平安操作系统是计算机系统的核心和根底工具，因此操作系统的漏洞往往成为危害计算机和网络平安的手段和环节。保护计算机操作系统的平安，对于网络的平安尤为重要。四应用层平安1 网络防病毒技术网络病毒成为威胁网络平安的重要因素，如何防护网络病毒也就成为校园网平安必须考虑的重要问题。为保护效劳器和网络中的工作站免受计算机病毒的侵害，同时也是为了建立一个集中有效的防病毒控制机制，需要应用于网络的防病毒技术。基于网络防病毒技术可以在网络的各个环节上实现对计算机病毒的防，其中包括基于网关的防病毒系统、基于效劳器的防病毒系统和基于桌面的防