校园网络安全研究与防范设计方案

第PAGEII页校园网络安全研究与防范设计方案目录摘要 iTOC\o"1-3"\h\z第一章前言1.1网络安全发展历史与现状分析 21.2校园网存在的安全问题 41.3校园网安全建设的原则 5第二章网络安全概述2.1网络安全的含义 62.2网络安全的属性 62.3网络安全机制 62.4网络安全策略 72.5网络安全发展趋势 8第三章网络安全问题解决对策3.1计算机安全级别的划分 103.2防火墙技术 123.3入侵检测技术 153.4数据加密技术 193.5反病毒技术 20第四章网络安全防范4.1TELNET入侵防范 224.2防止ADMINISTRATOR账号被破解 224.3防止账号被暴力破解 224.4“木马”防范措施 224.5网页恶意代码及防范 234.6嗅探器（SNIFFER）的防范 254.7数据密文防范措施 264.8其它网络攻击与防范措施 27第五章校园网络安全体系5.1校园网络安全规范 295.2安全方案建议 295.3校园网络安全技术的应用 305.4校园安全隐患 335.5校园网主动防御体系 345.6其他网络安全解决方案 38结束语 40附录 43第45页摘要本论文从计算机网络面临的各种安全威胁，系统地介绍网络安全技术。并针对校园网络的安全问题进行研究，首先分析了高校网络系统安全的隐患，然后从构建安全防御体系和加强安全管理两方面设计了校园网络的安全策略。本次论文研究中，我首先了解了网络安全问题的主要威胁因素，并利用网络安全知识对安全问题进行剖析。其次，通过对网络技术的研究，得出校园网也会面临着安全上的威胁。最后，确立了用P2DR模型的思想来建立校园网的安全防御体系。并得出了构建一套有效的网络安全防御体系是解决校园网主要威胁和隐患的必要途径和措施。第一章前言1.1网络安全发展历史与现状分析1.1.1因特网的发展及其安全问题随着计算机技术的发展，在计算机上处理业务已由基于单机的数学运算、文件处理，基于简单连结的内部网络的内部业务处理、办公自动化等发展到基于企业复杂的内部网、企业外部网、全球互联网的企业级计算机处理系统和世界范围内的信息共享和业务处理。在信息处理能力提高的同时，系统的连结能力也在不断的提高。但在连结信息能力、流通能力提高的同时，基于网络连接的安全问题也日益突出。主要表现在以下方面：（一）网络的开放性带来的安全问题Internet的开放性以及其他方面因素导致了网络环境下的计算机系统存在很多安全问题。为了解决这些安全问题，各种安全机制、策略、管理和技术被研究和应用。然而，即使在使用了现有的安全工具和技术的情况下，网络的安全仍然存在很大隐患，这些安全隐患主要可以包括为以下几点:(1)安全机制在特定环境下并非万无一失。比如防火墙，它虽然是一种有效的安全工具，可以隐蔽内部网络结构，限制外部网络到内部网络的访问。但是对于内部网络之间的访问，防火墙往往是无能为力的。因此，对于内部网络到内部网络之间的入侵行为和内外勾结的入侵行为，防火墙是很难发觉和防范的。(2)安全工具的使用受到人为因素的影响。一个安全工具能不能实现期望的效果，在很大程度上取决于使用者，包括系统管理者和普通用户，不正当的设置就会产生不安全因素。例如，WindowsNT在进行合理的设置后可以达到C2级的安全性，但很少有人能够对WindowsNT本身的安全策略进行合理的设置。虽然在这方面，可以通过静态扫描工具来检测系统是否进行了合理的设置，但是这些扫描工具基本上也只是基于一种缺省的系统安全策略进行比较，针对具体的应用环境和专门的应用需求就很难判断设置的正确性。(3)系统的后门是难于考虑到的地方。防火墙很难考虑到这类安全问题，多数情况下，这类入侵行为可以堂而皇之经过防火墙而很难被察觉；比如说，众所周知的ASP源码问题，这个问题在IIS服务器4.0以前一直存在，它是IIS服务的设计者留下的一个后门，任何人都可以使用浏览器从网络上方便地调出ASP程序的源码，从而可以收集系统信息，进而对系统进行攻击。对于这类入侵行为，防火墙是无法发觉的，因为对于防火墙来说，该入侵行为的访问过程和正常的WEB访问是相似的，唯一区别是入侵访问在请求链接中多加了一个后缀。(4)BUG难以防范。甚至连安全工具本身也可能存在安全的漏洞。几乎每天都有新的BUG被发现和公布出来，程序设计者在修改已知的BUG的同时又可能使它产生了新的BUG。系统的BUG经常被黑客利用，而且这种攻击通常不会产生日志，几乎无据可查。比如说现在很多程序都存在内存溢出的BUG，现有的安全工具对于利用这些BUG的攻击几乎无法防范。(5)黑客的攻击手段在不断地升级。安全工具的更新速度慢，且绝大多数情况需要人为的参与才能发现以前未知的安全问题，这就使得它们对新出现的安全问题总是反应迟钝。当安全工具刚发现并努力更正某方面的安全问题时，其他的安全问题又出现了。因此，黑客总是可以使用先进的、安全工具不知道的手段进行攻击。（二）网络安全的防护力脆弱，导致的网络危机(1)根据WarroonResearch的调查，1997年世界排名前一千的公司几乎都曾被黑客闯入。(2)据美国FBI统计，美国每年因网络安全造成的损失高达75亿美元。(3)Ernst和Young报告，由于信息安全被窃或滥用，几乎80%的大型企业遭受损失。(4)2014年11月24日，索尼影视娱乐遭遇黑客攻击，大量内部资料及海报或尚未上映的电影遭遇泄露，与此同时，成千上万该公司的员工的家庭信息、薪水包括家庭住址、社保编号；史泰龙等曾参与索尼电影电视剧的演员也未能幸免，从好莱坞影星到群众演员等数千人的资料也大量失窃。这些数据初步估计大约有100万亿字节。损失金额高达1.7亿美元以上！（三）网络安全的主要威胁因素(1)软件漏洞：每一个操作系统或网络软件的出现都不可能是无缺陷和漏洞的。这就使我们的计算机处于危险的境地，一旦连接入网，将成为众矢之的。(2)配置不当：安全配置不当造成安全漏洞，例如，防火墙软件的配置不正确，那么它根本不起作用。对特定的网络应用程序，当它启动时，就打开了一系列的安全缺口，许多与该软件捆绑在一起的应用软件也会被启用。除非用户禁止该程序或对其进行正确配置，否则，安全隐患始终存在。(3)安全意识不强：用户口令选择不慎，或将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁。(4)病毒：目前数据安全的头号大敌是计算机病毒，它是编制者在计算机程序中插入的破坏计算机功能或数据，影响计算机软件、硬件的正常运行并且能够自我复制的一组计算机指令或程序代码。计算机病毒具有传染性、寄生性、隐蔽性、触发性、破坏性等特点。因此，提高对病毒的防范刻不容缓。(5)黑客：对于计算机数据安全构成威胁的另一个方面是来自电脑黑客(backer)。电脑黑客利用系统中的安全漏洞非法进入他人计算机系统，其危害性非常大。从某种意义上讲，黑客对信息安全的危害甚至比一般的电脑病毒更为严重。1.1.2我国网络安全现状及发展趋势因特网在我国的迅速普及，我国境内信息系统的攻击事件也正在呈现快速增长的势头。据了解，从1997年底到现在，我国的政府部门、证券公司、银行、ISP,ICP等机构的计算机网络相继遭到多次攻击。因此，加强网络信息安全保障已成为当前的迫切任务。目前我国网络安全的现状和面临的威胁主要有：(1)计算机网络系统使用的软、硬件很大一部分是国外产品，我们对引进的信息技术和设备缺乏保护信息安全所必不可少的有效管理和技术改造。(2)全社会的信息安全意识虽然有所提高，但将其提到实际日程中来的依然很少。(3)目前关于网络犯罪的法律、法规还不健全。(4)我国信息安全人才培养还不能满足其需要。1.2校园网存在的安全问题与其它网络一样，校园网也会受到相应的威胁，大体可分为对网络中数据信息的危害和对网络设备的危害。具体来说包括：(1)非授权访问；即对网络设备及信息资源进行非正常使用或越权使用等。(2)冒充合法用户；即利用各种假冒或欺骗的手段非法获得合法用户的使用权限，以达到占用合法用户资源的目的。(3)破坏数据的完整性；即使用非法手段，删除、修改、重发某些重要信息，以干扰用户的正常使用。(4)干扰系统正常运行；指改变系统的正常运行方法，减慢系统的响应时间等手段。(5)病毒与恶意的攻击；即通过网络传播病毒或进行恶意攻击。除此之外，校园网还面对形形色色、良莠不分的网络资源，如不进行识别和过滤，那么会造成大量非法内容或邮件出入，占用大量流量资源，造成流量堵塞、上网速度慢等问题。许多校园网是从局域网发展来的，由于意识与资金方面的原因，它们在安全方面往往没有太多的设置，这就给病毒和黑客提供了生存的空间。因此，校园网的网络安全需求是全方位的。1.3校园网安全建设的原则计算机网络所具有的开发性、互连性和共享性等特征使网上信息安全存在先天的不足，加上系统软件本身的安全漏洞以及所欠缺的严格管理，致使网络易受黑客，恶意软件的攻击，因此对网络的安全所采取的措施，应能全方位地针对各种威胁，保障网络信息的保密性、完整性和可用性。本文针对目前网络安全存在的威胁，利用计算机网络安全技术知识对网络安全问题进行系统地研究，并在此基础上总结校园网存在的安全问题，通过安全系统需求，进行深入研究，找出存在的威胁，结合网络安全技术和网络攻防技术提出解决方案及措施第二章网络安全概述2.1网络安全的含义网络安全从其本质来讲就是网络上信息安全，它涉及的领域相当广泛，这是因为目前的公用通信网络中存在着各式各样的安全漏洞和威胁。广义上讲，凡是涉及到网络上信息的保密性、完整性、可用性和可控性的相关技术和理论，都是网络安全的研究领域。网络安全是指网络系统的硬件，软件及数据受到保护，不遭受偶然或恶意的破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。且在不同环境和应用中又不同的解释。（1）运行系统安全：即保证信息处理和传输系统的安全，包括计算机系统机房环境和传输环境的法律保护、计算机结构设计的安全性考虑、硬件系统的安全运行、计算机操作系统和应用软件的安全、数据库系统的安全、电磁信息泄露的防御等。（2）网络上系统信息的安全：包括用户口令鉴别、用户存取权限控制、数据存取权限、方式控制、安全审计、安全问题跟踪、计算机病毒防治、数据加密等。（3）网络上信息传输的安全：即信息传播后果的安全、包括信息过滤、不良信息过滤等。（4）网络上信息内容的安全：即我们讨论的狭义的“信息安全”；侧重于保护信息的机密性、真实性和完整性。本质上是保护用户的利益和隐私。2.2网络安全的属性网络安全具有三个基本的属性：机密性、完整性、可用性。（1）机密性：是指保证信息与信息系统不被非授权者所获取与使用，主要范措施是密码技术。（2）完整性：是指保证信息与信息系统可被授权人正常使用，主要防范措施是确保信息与信息系统处于一个可靠的运行状态之下。以上可以看出：在网络中，维护信息载体和信息自身的安全都包括了机密性、完整性、可用性这些重要的属性2.3网络安全机制网络安全机制是保护网络信息安全所采用的措施，所有的安全机制都是针对某些潜在的安全威胁而设计的，可以根据实际情况单独或组合使用。如何在有限的投入下合理地使用安全机制，以便尽可能地降低安全风险，是值得讨论的，网络信息安全机制应包括:技术机制和管理机制两方面的内容。2.3.1网络安全技术机制网络安全技术机制包含以下内容：（1）加密和隐藏。加密使信息改变，攻击者无法了解信息的内容从而达到保护；隐藏则是将有用信息隐藏在其他信息中，使攻击者无法发现。（2）认证和授权。网络设备之间应互认证对方的身份，以保证正确的操作权力赋予和数据的存取控制；同时网络也必须认证用户的身份，以授权保证合法的用户实施正确的操作。（3）审计和定位。通过对一些重要的事件进行记录，从而在系统中发现错误或受到攻击时能定位错误并找到防范失效的原因，作为内部犯罪和事故后调查取证的基础。（4）完整性保证。利用密码技术的完整性保护可以很好地对付非法篡改，当信息源的完整性可以被验证却无法模仿时，可提供不可抵赖服务。（5）权限和存取控制：针对网络系统需要定义的各种不同用户，根据正确的认证，赋予其适当的操作权力，限制其越级操作。（6）任务填充：在任务间歇期发送无用的具有良好模拟性能的随机数据，以增加攻击者通过分析通信流量和破译密码获得信息难度。2.3.2网络安全管理机制网络信息安全不仅仅是技术问题，更是一个管理问题，要解决网络信息安全问题，必须制定正确的目标策略，设计可行的技术方案，确定合理的资金技术，采取相应的管理措施和依据相关法律制度。2.4网络安全策略策略通常是一般性的规范，只提出相应的重点，而不确切地说明如何达到所要的结果，因此策略属于安全技术规范的最高一级。2.4.1安全策略的分类安全策略分为基于身份的安全策略和基于规则的安全策略两种。基于身份的安全策略是过滤对数据或资源的访问，有两种执行方法：若访问权限为访问者所有，典型的作法为特权标记或特殊授权，即仅为用户及相应活动进程进行授权；若为访问数据所有则可以采用访问控制表（ACL）。这两种情况中，数据项的大小有很大的变化，数据权力命名也可以带自己的ACL。基于规则的安全策略是指建立在特定的，个体化属性之上的授权准则，授权通常依赖于敏感性。在一个安全系统中，数据或资源应该标注安全标记，而且用户活动应该得到相应的安全标记。2.4.2安全策略的配置开放式网络环境下用户的合法权益通常受到两种方式的侵害：主动攻击和被动攻击，主动攻击包括对用户信息的窃取，对信息流量的分析。根据用户对安全的需求才可以采用以下的保护：（1）身份认证；检验用户的身份是否合法、防止身份冒充、及对用户实施访问控制数据完整性鉴别、防止数据被伪造、修改和删除。（2）信息保密；防止用户数据被泄、窃取、保护用户的隐私。（3）数字签名；防止用户否认对数据所做的处理。（4）访问控制；对用户的访问权限进行控制。（5）不可否认性；也称不可抵赖性，即防止对数据操作的否认。2.4.3安全策略的实现流程安全策略的实现涉及到以下及个主要方面，如图所示。图2-1安全策略实现流程（1）证书管理。主要是指公开密银证书的产生、分配更新和验证。（2）密银管理。包括密银的产生、协商、交换和更新，目的是为了在通信的终端系统之间建立实现安全策略所需的共享密银。（3）安全协作。是在不同的终端系统之间协商建立共同采用的安全策略，包括安全策略实施所在层次、具体采用的认证、加密算法和步骤、如何处理差错。（4）安全算法实现：具体算法的实现，如PES、RSA.（5）安全策略数据库：保存与具体建立的安全策略有关的状态、变量、指针。2.5网络安全发展趋势总的看来，对等网络将成为主流，与网格共存。网络进化的未来—绿色网络—呼唤着新的信息安全保障体系。国际互联网允许自主接入，从而构成一个规模庞大的，复杂的巨系统，在如此复杂的环境下，孤立的技术发挥的作用有限，必须从整体的和体系的角度，综合运用系统论，控制论和信息论等理论，融合各种技术手段，加强自主创新和顶层设计，协同解决网络安全问题。保证网络安全还需严格的手段，未来网络安全领域可能发生三件事，其一是向更高级别的认证转移；其二，目前存储在用户计算机上的复杂数据将“向上移动”，由与银行相似的机构确保它们的安全；第三，是在全世界的国家和地区建立与驾照相似的制度，它们在计算机销售时限制计算机的运算能力，或要求用户演示在自己的计算机受到攻击时抵御攻击的能力。第三章网络安全问题解决对策3.1计算机安全级别的划分3.1.1TCSEC简介1999年9月13日国家质量技术监督局公布了我国第一部关于计算机信息系统安全等级划分的标准“计算机信息系统安全保护等级划分准则”（GB17859-1999）。而国外同标准的是美国国防部在1985年12月公布的可信计算机系统评价标准TCSEC(又称桔皮书)。在TCSEC划分了7个安全等级：D级、C1级、C2级、B1级、B2级、B3级和A1级。其中D级是没有安全机制的级别，A1级是难以达到的安全级别，如表3-1所示：表3-1网络安全等级及安全级别的性能要求安全级别名称说明D1酌情安全保护对硬件和操作系统几乎无保护，对信息的访问无控制C1自选安全保护由用户注册名和口令的组合来确定用户对信息的访问权限B1被标签的安全性保护为强制性访问控制，不允许文件的拥有者改变其许可权限B2结构化保护要求对计算机中所有信息加以标签，并且对设备分配单个或多个安全级别B3安全域保护使用安全硬件的方法来加强域的管理终端与系统的连接途径可信任A核实保护系统不同来源必须有安全措施必须在销售过程中实施下面对下各个安全级别进行介绍：(1)D类安全等级：D类安全等级只包括D1一个级别。D1的安全等级最低。D1系统只为文件和用户提供安全保护。D1系统最普通的形式是本地操作系统，或者是一个完全没有保护的网络。(2)C类安全等级：该类安全等级能够提供审慎的保护，并为用户的行动和责任提供审计能力。C类安全等级可划分为C1和C2两类。C1系统的可信任运算基础体制（TrustedComputingBase，TCB）通过将用户和数据分开来达到安全的目的。在C1系统中，所有的用户以同样的灵敏度来处理数据，即用户认为C1系统中的所有文档都具有相同的机密性。C2系统比C1系统加强了可调的审慎控制。在连接事件和资源隔离来增强这种控制。C2系统具有C1系统中所有的安全性特征。(3)B类安全等级：B类安全等级可分为B1、B2和B3三类。B类系统具有强制性保护功能。强制性保护意味着如果用户没有与安全等级相连，系统就不会让用户存取对象。B1系统满足下列要求：系统对网络控制下的每个对象都进行灵敏度标记；系统使用灵敏度标记作为所有强迫访问控制的基础；系统在把导入的、非标记的对象放入系统前标记它们；灵敏度标记必须准确地表示其所联系的对象的安全级别；当系统管理员创建系统或者增加新的通信通道或I/O设备时，管理员必须指定每个通信通道和I/O设备是单级还是多级，并且管理员只能手工改变指定；单级设备并不保持传输信息的灵敏度级别；所有直接面向用户位置的输出（无论是虚拟的还是物理的）都必须产生标记来指示关于输出对象的灵敏度；系统必须使用用户的口令或证明来决定用户的安全访问级别；系统必须通过审计来记录未授权访问的企图。B2系统必须满足B1系统的所有要求。另外，B2系统的管理员必须使用一个明确的、文档化的安全策略模式作为系统的可信任运算基础体制。B2系统必须满足下列要求：系统必须立即通知系统中的每一个用户所有与之相关的网络连接的改变；只有用户能够在可信任通信路径中进行初始化通信；可信任运算基础体制能够支持独立的操作者和管理员。B3系统必须符合B2系统的所有安全需求。B3系统具有很强的监视委托管理访问能力和抗干扰能力。B3系统必须设有安全管理员。B3系统应满足以下要求:(a)B3必须产生一个可读的安全列表，每个被命名的对象提供对该对象没有访问权的用户列表说明；(b)B3系统在进行任何操作前，要求用户进行身份验证；(c)B3系统验证每个用户，同时还会发送一个取消访问的审计跟踪消息；设计必须正确区分可信任的通信路径和其他路径；可信任的通信基础体制为每一个被命名的对象建立安全审计跟踪；可信任的运算基础体制支持独立的安全管理。(4)A类安全等级：A系统的安全级别最高。目前，A类安全等级只包含A1一个安全类别。A1类与B3类相似，对系统的结构和策略不作特别要求。A1系统的显著特征是，系统的设计者必须按照一个正式的设计规范来分析系统。对系统分析后，设计者必须运用核对技术来确保系统符合设计规范。A1系统必须满足下列要求：系统管理员必须从开发者那里接收到一个安全策略的正式模型;所有的安装操作都必须由系统管理员进行；系统管理员进行的每一步安装操作都必须有正式文档。3.1.2GB17859划分的特点GB17859把计算机信息安全保护能力划分为5个等级，它们是：系统自我保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级。这5个级别的安全强度从低到高排列让高一级包括低一级的安全能力，GB17859的划分标准安全能力一级二级三级四级五级自主访问控制√∈≡≡≡强制访问控制√∈≡标记√∈≡身份鉴别√∈∈≡≡客体重用√≡≡≡审计√∈∈∈数据完整√≡∈≡≡隐蔽信道分析√≡可信路径√≡可信恢复√注:“√”:新增功能；“∈”：比上一级功能又所扩展；“≡”：与上一级功能相同。3.1.3安全等级标准模型计算机信息系统的安全模型主要又访问监控器模型、军用安全模仿和信息流模型等三类模型，它们是定义计算机信息系统安全等级划分标准的依据。（1）访问监控模型：是按TCB要求设计的，受保护的客体要么允许访问，要么不允许访问。（2）常用安全模型：是一种多级安全模型，即它所控制的信息分为绝密、机密、秘密和无密4种敏感级。（3）信息流模型：是计算机中系统中系统中信息流动路径，它反映了用户在计算机系统中的访问意图。信息流分直接的和间接的两种。3.2防火墙技术随着网络安全问题日益严重，网络安全技术和产品也被人们逐渐重视起来，防火墙作为最早出现的网络安全技术和使用量最大的网络安全产品，受到用户和研发机构的亲睐。3.2.1防火墙的基本概念与作用防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合，它执行预先制定的访问控制策略，决定了网络外部与网络内部的访问方式。在网络中，防火墙实际是一种隔离技术，它所执行的隔离措施有：（1）拒绝未经授权的用户访问内部网和存取敏感数据。（2）允许合法用户不受妨碍地访问网络资源。而它的核心思想是在不安全的因特网环境中构造一个相对安全的子网环境，其目的是保护一个网络不受另一个网络的攻击，所以防火墙又有以下作用：（1）作为网络安全的屏障。一个防火墙作为阻塞节点和控制节点能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险，只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。（2）可以强化网络安全策略。通过以防火墙为中心的安全方案配置，能将所有的安全软件配置在防火墙上，体现集中安全管理更经济。（3）对网络存取和访问进行监控审计。如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并做出日志记录，同时也能提供网络使用情况的统计数据，当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。（4）防止内部信息的外泄。通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。（5）支持具有因特网服务性的企业内部网络技术体系VPN。3.2.2防火墙的工作原理从防火墙的作用可以看出，防火墙必须具备两个要求：保障内部网安全和保障内部网和外部网的联通。因此在逻辑上防火墙是一个分离器、限制器、分析器。有效地监控了内部网和外部网的任何活动，保证了内部网络的安全，其一般逻辑位置如图3-1所示。图3-1防火墙的逻辑示意图防火墙根据功能实现在TCP/IP网络模型中的层次，其实现原理可以分为三类：在网络层实现防火墙功能为分组过滤技术；在应用层实现防火墙功能为代理服务技术；在网络层，IP层，应用层三层实现防火墙为状态检测技术。分组过滤技术实际上是基于路由器技术，它通常由分组过滤路由器对IP分组进行分组选择，允许或拒绝特定的IP数据包，工作于IP层。如表3-3所示。表3-3分组过滤技术工作特点5、应用层4、TCP层3、IP层2、数据链路层1、物理层过滤一般基于一个IP分组的以下各域：第一、源/目的IP地址；第二、TCP/UDP源/目的端口。前者的过滤，即根据制定的安全规则，过滤掉具有特定IP地址的数据分组，从而保护内部网络；后者则是为分组过滤提供了更大的灵活性。代理服务技术以一个高层的应用网关作为代理服务器，接受外来的应用连接请求，在代理服务器上进行安全检查后，再与被保护的应用服务器连接，使外部用户可以在受控制的前提下使用内部网络的服务，如图3-2所示。图3-2代理服务器原理示意代理服务技术工作在应用层,代理服务技术工作特点。5、应用层4、TCP层3、IP层2、数据链路层1、物理层由于代理服务作用于应用层，它能解释应用层上的协议，能够作复杂和更细粒度的访问控制；同时，由于所有进出服务器的客户请求必须通过代理网关的检查，可以作出精细的注册和审计记录，并且可以与认证、授权等安全手段方便地集成，为客户和服务提供更高层次的安全保护。（3）状态检测技术此技术工作在IP/TCP/应用层，它结合了分组过滤和代理服务技术的特点，它同分组过滤一样，在应用层上检查数据包的内容，分析高层的协议数据，查看内容是否符合网络安全策略。状态检测技术工作情况5、应用层4、TCP层3、IP层2、数据链路层1、物理层3.3入侵检测技术仅仅依赖防火墙并不能保证足够的安全，为了解决非法入侵所造成的各种安全问题，安全厂商提出了建立入侵检测系统的解决方法。入侵检测技术是防火墙技术的有效补充，通过对计算机或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络中或系统中潜在的违反安全策略的行为和被攻击的迹象。3.3.1入侵检测系统入侵检测系统功能构成，包括事件提取、入侵分析、入侵响应和远程管理四部分如图3-3所示。图3-3入侵检测系统组成入侵检测所利用的信息一般来自以下四个方面：系统和网络日志文件、目录和文件中的不期望的改变、程序执行中的不期望行为、物理形式的入侵信息。常用的分析方法有模式匹配、统计分析、完整性分析。模式匹配是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。统计分析方法首先给系统对象(如用户、文件、目录和设备等)创建一个统计描述，统计正常使用时的一些测量属性。测量属性的平均值将被用来与网络、系统的行为进行比较。当观察值超出正常值范围时，就有可能发生入侵行为。3.3.2入侵检测分类入侵检测通过对入侵和攻击行为的检测，查出系统的入侵者或合法用户对系统资源的滥用和误用。根据不同的检测方法，将入侵检测分为异常入侵检测和误用人侵检测。异常检测又称为基于行为的检测。其基本前提是：假定所有的入侵行为都是异常的。首先建立系统或用户的“正常”行为特征轮廓，通过比较当前的系统或用户的行为是否偏离正常的行为特征轮廓来判断是否发生了入侵。此方法不依赖于是否表现出具体行为来进行检测，是一种间接的方法。常用的具体方法有：统计异常检测方法、基于特征选择异常检测方法、基于贝叶斯推理异常检测方法、基于贝叶斯网络异常检测方法、基于模式预测异常检测方法、基于神经网络异常检测方法、基于机器学习异常检测方法、基于数据采掘异常检测方法等。采用异常检测的关键问题有如下两个方面：(1)特征量的选择在建立系统或用户的行为特征轮廓的正常模型时，选取的特征量既要能准确地体现系统或用户的行为特征，又能使模型最优化，即以最少的特征量就能涵盖系统或用户的行为特征。(2)参考阈值的选定由于异常检测是以正常的特征轮廓作为比较的参考基准，因此，参考阈值的选定是非常关键的。阈值设定得过大，那漏警率会很高；阈值设定的过小，则虚警率就会提高。合适的参考阈值的选定是决定这一检测方法准确率的至关重要的因素。由此可见，异常检测技术难点是“正常”行为特征轮廓的确定、特征量的选取、特征轮廓的更新。由于这几个因素的制约，异常检测的虚警率很高，但对于未知的入侵行为的检测非常有效。此外，由于需要实时地建立和更新系统或用户的特征轮廓，这样所需的计算量很大，对系统的处理性能要求很高。（二）误用检测又称为基于知识的检测。其基本前提是：假定所有可能的入侵行为都能被识别和表示。首先，对已知的攻击方法进行攻击签名(攻击签名是指用一种特定的方式来表示已知的攻击模式)表示，然后根据已经定义好的攻击签名，通过判断这些攻击签名是否出现来判断入侵行为的发生与否。这种方法是依据是否出现攻击签名来判断入侵行为，是一种直接的方法。常用的具体方法有：基于条件概率误用入侵检测方法、基于专家系统误用入侵检测方法、基于状态迁移分析、误用入侵检测方法、基于键盘监控误用入侵检测方法、基于模型误用入侵检测方法。误用检测的关键问题是攻击签名的正确表示。误用检测是根据攻击签名来判断入侵的，根据对已知的攻击方法的了解，用特定的模式语言来表示这种攻击，使得攻击签名能够准确地表示入侵行为及其所有可能的变种，同时又不会把非入侵行为包含进来。由于多数入侵行为是利用系统的漏洞和应用程序的缺陷，因此，通过分析攻击过程的特征、条件、排列以及事件间的关系，就可具体描述入侵行为的迹象。这些迹象不仅对分析已经发生的入侵行为有帮助，而且对即将发生的入侵也有预警作用。误用检测将收集到的信息与已知的攻击签名模式库进行比较，从中发现违背安全策略的行为。由于只需要收集相关的数据，这样系统的负担明显减少。该方法类似于病毒检测系统，其检测的准确率和效率都比较高。3.3.3入侵检测系统入侵检测就是通过对系统数据的分析、发现非授权的网络访问和攻击行为，然后采取报警、切断入侵线路等对抗措施。为此目的而设计的系统称为入侵检测系统。一个简单的入侵检测系统。入侵检测系统的基本任务：通过实时检测网络系统状态，判断入侵行为发生，并产生报警。从功能实现的角度可以把这个系统划分为三大模块：信息收集模块、信息处理与通讯模块、入侵判断与反应模块。其中信息收集模块与特定的环境，监视的对象有比较密切的关系:信息处理与通讯模块，是对所收集到的数据进行预处理和分类，然后把处理的结果按照一定的格式传输给检测判断模块。最后由检测判断模块根据一定的安全策略判断入侵行为的发生并采取相应的反击。随着网络系统结构的复杂化和大型化，系统的弱点或漏洞将趋向于分布式。另外，入侵行为不再是单一的行为，而是表现出相互协作入侵的特点。入侵检测系统要求可适应性、可训练性、高效性、容错性、可扩展性等要求。不同的IDS之间也需要共享信息，协同检测。3.3.4代理(Agent)技术代理(Ageni)是指能在特定的环境下无须人工干预和监督完成某项工作的实体。它具有自适应性、智能性和协作性。代理既能独立地完成自己的工作，又能与其它代理协作共同完成某项任务，且代理能够接受控制并能感知环境的变化而影响环境。代理分布于系统中的关键点及关键服务器，包括防火墙、对外提供各项服务的服务器、内部网关和服务器，完成绝大多数的入侵检测和响应任务。代理可以针对特定的应用环境进行配置和编程，使得代理占用负载最小。同时，代理可以与其它代理和中心服务器进行有限的交互，交换数据和控制信息。由于代理是独立的功能实体，在一个多代理系统中，单个的功能代理能够增加到系统中去或从系统中删除，并且能够对某个代理进行重配置，而不会影响到系统的其它部分。可以看到，在一个由多代理组成的入侵检测系统中，单个代理的失效只会影响到该代理和与之协作的部分代理，系统的其它部分仍能正常工作。如果能将入侵检测系统的功能合理地分配给各个代理，就能大大减少系统失效的风险。多代理系统所具有的这些优点使之能较好地解决常规入侵检测系统的缺陷。3.3.5入侵检测与防火墙实现联动防火墙与入侵检测这两种技术具有较强的互补性。目前，实现入侵检测和防火墙之间的联动有两种方式可以实现，一种是实现紧密结合，即把入侵检测系统嵌入到防火墙中，即入侵检测系统的数据来源不再来源于抓包，而是流经防火墙的数据流。所有通过的包不仅要接受防火墙检测规则的验证，还需要经过入侵检测，判断是否具有攻击性，以达到真正的实时阻断，这实际上是把两个产品合成一体。但是，由于入侵检测系统本身也是一个很庞大的系统，所以无论从实施难度、合成后的性能等方面都会因此受到很大影响。所以，目前还没有厂商做到这一步，仍处于理论研究阶段。但是不容否认，各个安全产品的紧密结合是一种趋势。第二种方式是通过开放接口来实现联动，即防火墙或者入侵检测系统开放一个接口供对方调用，按照一定的协议进行通讯、警报和传输。目前开放协议的常见形式有:安全厂家提供IDS的开放接口，供各个防火墙厂商使用，以实现互动。这种方式比较灵活，不影响防火墙和入侵检测系统的性能。3.4数据加密技术数据加密技术是网络中最基本的安全技术，主要是通过对网络中传输的信息进行数据加密来保障其安全性，这是一种主动安全防御策略，用很小的代价即可为信息提供相当大的安全保护。3.4.1数据加密原理数据加密是通过某种函数进行变换，把正常数据包文（称为明文或明码）转换为密文（密码）。解密是指把密文还原成明文的过程。密码体制是指一个系统所采用基本工作方式以及它的两个基本构成要素，即加密/解密算法和密钥。密钥是一个数值，它和加密算法一起生成特别的密文。传统密码体制所用的加密密钥和解密密钥相同，称为对称密码体制。如果加密密钥和解密密钥不相同，则称为非对称密码体制，密钥可以看作是密码算法中的可变参数。从数学的角度来看，改变了密钥，实际上也就改变了明文与密文之间等价的数学函数关系。密码算法是相对稳定的，在这种意义上，可以把密码算法视为常量，而密钥则是一个变量。在设计加密系统中，加密算法是可以公开的，真正需要保密的是密钥，密钥本质是非常大的数，密钥大小用位表示。在公开密钥加密方法中，密钥越大密文就越安全。利用密码技术，在信源和通信信道之间对报文进行加密，经过信道传输，到信宿接收时进行解密，以实现网络通信保密。通常加密算法为：C=Ek(M)。其中，K为密钥，M为明文，C为密文；E为加密算法，密文C是明文M使用密钥K经过加密算法计算后的结果。加密算法可以公开，而密钥只能由通信双方来掌握。3.4.2对称密钥体系在对称型密钥体系中，加密和解密采用同一密钥，故将这种体系称为秘密密钥密码体制或私钥密码体制。在对称密码体系中，最为著名的是DES分组算法，DES将二进制序列明文分为每64位一组，使用64位的密钥，对64位二进制数进行分组加密，每轮产生一个48位的“每轮”密钥值，并参与下一轮的加密过程，经过16轮的迭代、乘积变换、压缩等处理后产生64位密文数据。另一个成功的分组加密算法，它的核心是一个乘法/加法非线性构件，通过8轮迭代，能使明码数据更好地扩散和混淆[16]。3.4.3非对称密钥体系非对称加密技术将加密和解密分开并采用一对不同的密钥进行。RSA算法的原理是数论的欧拉原理：寻求两个大的素数容易，将它们的乘积分解开及其困难，具体做法是：选择两个100位的十进制大素数p和q，计算出它们的积N=pq,将N公开；再计算出N的欧拉函数，Φ（N）=(p-1)*(q-1),定义Φ（N）为小于等于N且与N互素的数个数；然后，用户从[0,Φ（N）-1]中任选一个与Φ（N）互素的数e，同时根据下式计算出另一个数d:ed=1modΦ（N）这样就产生了一对密钥：pk=（e,N）,sk=(d,N).若用整数X表示明文，Y表示密文，则有，加密：Y=XemodN；解密：X=YemodN。3.4.4数据信封技术数字信封中采用了单钥密码体制和公钥密码体制。信息发送者首先利用随机产生的对称密码加密信息，再利用接收方的公钥加密对称密码，被公钥加密后的对称密码称之为数字信封。信息接收方要解密信息时，必须先用自己的私钥解密数字信封，得到对称密码，再利用对称密码解密所得到的信息，这样就保证了数据传输的真实性和完整性。3.5反病毒技术3.5.1计算机病毒的介绍计算机病毒就是能够通过某种途径潜伏在计算机存储介质里，当达到某种条件时，即被激活的具有对计算机资源进行破坏作用的一组程序或指令集合。随着计算机技术的发展尤其是网络技术的普及，计算机病毒进入了一个新的阶段网络蠕虫病毒暴发阶段，2001至今，网络蠕虫已经成为网络病毒的主流。3.5.2计算机病毒的组成与分类经对目前出现的计算机病毒的分析发现，所有计算机病毒都是由三部分组成的，即病毒引导模块、病毒传染模块和病毒表现模块。（1）引导模块：负责将病毒引导到内存，并向系统中请求一定的存储空间，对相应的存储空间实施保护，以防止其他程序覆盖，并且修改系统的一些功能入口，在这些入口处引导病毒传染模块和病毒实现模块。（2）传染模块：它是整个病毒程序的核心，传染模块又分为两部分：判断部分、传染部分。（3）表现模块：包括病毒触发条件判断和具体表现。而从技术来分可以分为：网络病毒、邮件病毒、文件型病毒、宏病毒、引导型病毒、变体病毒、混合型病毒、其它类型病毒（java,pdf,图文病毒）[19]。3.5.3病毒的检测和清除想要知道自己的计算机中是否染有病毒，可以根据以下几种情况来做简单判断。（1）计算机执行速度越来越慢。（2）系统出现莫名其妙的死机或者重启。（3）网络速度变慢或者出现一些陌生的网络连接。（4）文件夹无缘无故多了一些文件。（5）突然出现蓝屏或无端黑屏等。除此以外，还可以用几种专业手段来检查：(1)比较法用原始备份与被检测的引导扇区或被监测的文件进行比较，比较时可以靠打印的代码清除。(2)搜索法利用每一种计算机病毒体含有的特定字符串对被检测的对象进行扫描。如果在被检测对象内部发现了某一种特定字符串，就表明发现了该字符串所代表的计算机病毒。(3)分析法计算机病毒检测分析法是防杀计算机病毒工作中不可缺少的重要技术，需要专门人员对各种病毒详尽地分析。(4)人工智能陷阱技术和宏病毒陷阱技术人工智能陷阱是一种监测计算机行为的常驻或扫描技术。它将所有的计算机病毒所产生的行为归纳起来，一旦发现内存中的程序有任何不当的行为，系统就会有所警觉，并告知使用者；宏病毒陷阱技术是结合了搜索法和人工智能陷阱技术，依行为模式来侦测已知及未知的宏病毒。(5)软件仿真扫描法软件仿真技术是成功地仿真CPU执行，在DOS虚拟机下伪执行计算机病毒程序，安全并确定地将其解密使其显露本来的面目，再加以扫描。第四章网络安全防范4.1telnet入侵防范Telnet协议是TCP/IP协议族中的一员，是Internet远程登录服务的标准协议和主要方式。它为用户提供了在本地计算机上完成远程主机工作的能力。在终端使用者的电脑上使用telnet程序，用它连接到服务器。终端使用者可以在telnet程序中输入命令，这些命令会在服务器上运行，就像直接在服务器的控制台上输入一样。可以在本地就能控制服务器。要开始一个telnet会话，必须输入用户名和密码来登录服务器。Telnet是常用的远程控制Web服务器的方法。telnet可能是黑客常用的攻击方式，我们可以通过修改telnet服务端口，停用telnet服务，甚至把telnet控制台管理工具删除。具体方法如下：通过修改telnet端口来防止黑客轻易入侵在命令提示符窗口中输入Tlntadmnconfigport=168命令，回车后即可将telnet端口修改成168。如果将telnet的最大连接数设为0，这样就可以让一般的黑客豪无办法，设置方法同上。如果根本不需要telnet，完全可以把它删掉，因为该服务实在是太危险了，直接把系统安装目录中的system32中的Tlntadmn.exe删除掉，这样黑客想用telnet入侵就会非常困难了。4.2防止Administrator账号被破解Windows2000/xp/2003系统的Administrator账号是不能被停用的，也不能设置安全策略，这样黑客就可以一遍又一遍地尝试这个账号的密码，直到被破解，为了防止这种侵入，我们可以把Administrator账号更名：在“组策略”窗口中，依次展开“本地计算机策略”/“计算机配置”/“windows设置”/“安全设置”/“本地策略”/“安全选项”功能分支。重命名系统管理员帐户“属性”对话框，在此输入新的管理员名称，尽量把它为普通用户，然后另建一个超过10位的超级复杂密码，并对该账号启用审核，这样即使黑客费力破解到密码也杀一无所获。另外为了防止黑客通过Guest账号登录计算机，可以在“组策略”中删除Guest账号。4.3防止账号被暴力破解黑客攻击入侵，大部分利用漏洞，通过提升权限成为管理员，这一切都跟用户账号紧密相连。防范方法：通过修改注册表来禁用空用户连接。在注册表编辑器中找到如下子键HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA,在其窗口新建一个名为RestrictAnonymous的DWORD值将其设为1。4.4“木马”防范措施4.4.1“木马”的概述特洛伊木马是一种隐藏了具有攻击性的应用程序。与病毒不同，它不具备复制能力，其功能具有破坏性。大部分“木马”采用C/S运行模式，当服务端在目标计算机上被运行后，打开一个特定的端口进行监听，当客户端向服务器发出连接请求时，服务器端的相应程序会自动运行来应答客户机的请求。4.4.2“木马”的防范措施（1）检查系统配置应用程序。在“木马”程序会想尽一切办法隐藏自己，主要途径有：在任务栏和任务管理器中隐藏自己，即将程序设为“系统服务”来伪装自己，“木马”会在每次服务端启动时自动装载到系统中，如：启动组，win.ini,system.ini,注册表等。比如在“开始”-“运行”输入msconfig,执行windows自带“系统配置应用程序”。在标签为win.ini文件中，在[windows]下面“run=”和“load=”是可能加载“木马”程序的途径，一般情况下，它们的等号后面什么都没有。在system.ini文件中，在[BOOT]下面有个“shell:文件名”正确的文件名应该是“explorer.exe”如果不是“explorer.exe”，而是“shell:explorer.exe程序名”，那么后面跟着的那个程序就是“木马”了。查看注册表。输入regedit命令HKEY_LOCAL_MACHINE\software\Microsoft\windows\currentversion\run目录下查看键值有设有自己不熟悉的自动启动文件，扩展名为：“.exe”。（3）查找“木马”的特征文件，“木马”的一个特征文件是kernl32.exe,另一个是sysexlpr.exe，只要删除了这两个文件，“木马”就不起作用了，但是需要注意的是sysexlpr.exe是和文本文件关联的，在删除时，必须先把文本文件跟notepod关联上，否则不能使用文本文件。4.5网页恶意代码及防范目前，网页中的恶意代码开始威胁到网络系统安全，一般分为以下几种：（1）消耗系统资源。不断地利用cpu的利用率，使计算机不能处理其他的进程，导致系统和网络资源瘫痪。这类病毒大都是利用JavaScrit产生的一个死循环，它可以在有恶意的网站中出现，也可以被当作邮件发给用户，当用户打开html,vbs附件时，屏幕会出现无数个浏览器窗口，最后不得不重启。（2）非法向用户硬盘写入文件。（3）IE泄露，利用IE漏洞，网页可以读取客户机的文件，就可以从中获得用户账号和密码。（4）利用邮件非法安装木马。4.5.1恶意代码分析在html中利用死循环原理，交叉显示耀眼的光线，如果继续插入编写的一段代码，扩大恶意程度，那么IE将无法使用。例如：下面的两段简单代码分别就事用的死循环原理来进行破坏的。<html><body><script>Varcolor=newArray；Color[1]=“black”;Color[2]=”white”;For(x=0;x<3;x++){Document.bgcolor=color[x];If(x==2){x=0;}}</script></body></html>本代码的功能是使用白黑两色轮流交换，形成刺眼的效果，当x自增到2，立即回到0，形成死循环。<html><head><title>nothing</title><scriptlanguage=“JavaScript>Functionopenwindow(){for(i=0;i<100;i++);windows.open(‘0’)}</script></head><bodyonload=“openwindow()”></body></html>本段代码的功能是实现某网站的窗体无限地弹出。4.5.2网页恶意代码的防范措施（1）运行IE时，点击“工具→Internet选项→安全→Internet区域的安全级别”，把安全级别由“中”改为“高”。网页恶意代码主要是含有恶意代码的ActiveX或Applet、JavaScript的网页文件，所以在IE设置中将ActiveX插件和控件、Java脚本等全部禁止就可以减少被网页恶意代码感染的几率。具体方案是：在IE窗口中点击“工具”→“Internet选项”，在弹出的对话框中选择“安全”标签，再点击“自定义级别”按钮，就会弹出“安全设置”对话框，把其中所有ActiveX插件和控件以及与Java相关全部选项选择“禁用”。（2）网页恶意代码大多是在访问网站时候误下载和激活的，所以不要进入不信任的陌生网站，对于网页上的各种超级连接不要盲目去点击，若被强制安装恶意代码，一经发现立即删除，或者安装相应的恶意代码清除工具，或本机防火墙软件。4.6嗅探器（sniffer）的防范Sniffer是一种常用的收集有用数据方法，这些数据可能是用户的帐号和密码，可能是一些商用机密数据，等等。它可以作为能够捕获网络报文的设备，ISS为sniffer这样定义：sniffer是利用计算机的网络接口截获其他计算机的数据报文的一种工具4.6.1Sniffer的工作原理Sniffer要捕获的东西必须是要物理信号能收到的报文信息，只要通知网卡接收其收到的所有包，在共享HUB下就能接收到这个网络的所有包，但是交换HUB下就只能是自己的包加上广播包，sniffer工作在网络环境中的底层，它会拦截所有正在网络上传递的数据，并且通过相应的软件处理，可以实时分析这些数据的内容，进而分析所处理的网络状态和整体布局，值得注意的是，sniffer是极其安静的，它是一种消极的安全攻击。Sniffer在功能和设计方面有很多不同，有些只能分析一种协议，而另一些可能能够分析几百种协议，一般情况下，大多数的嗅探器至少能够分析以下的协议：标准以太网，TCP/IP,IPX,DECNET。4.6.2Sniffer的检测和防范（1）对于可能存在的网络监听的检测；对于怀疑运行监听程序的机器，用正确的IP地址和错误的物理地址ping，运行监听程序的机器会有响应，这是因为正常的机器不接收错误的物理地址，处理监听状态的机器能接收，但如果它的Ipstack不再发反向检查的话，就会响应。（2）向网上发大量不存在的物理地址的包；由于监听程序要分析和处理大量的数据包会占用很多的资源，会导致系统性能下降，通过比较前后该机器性能加以判断，这种办法难度较大。（3）使用反监听工具如Antisniffer等进行检测。对于网络监听的防范措施有：(1)从逻辑或物理上对网络分段。(2)以交换式HUB代替共享式HUB。(3)使用加密技术。(4)划分VLAN(虚拟局域网)。4.7数据密文防范措施在前面的一章中我们已经介绍了数据加密和隐藏技术，在保密系统中，信道中传播的是加密后的消息，即密文，采用截获密文进行分析的攻击称为被动攻击，采用删除、更改、增添、重放、伪造等手段向系统注入假消息并进行分析的攻击称为主动攻击。对此，我们必须采用有效的加密解密的程序来防止密文泄露，可以通过c语言来实现的加密和解密。下面的例子是用c语言来实现的简易加密算法。加密算法#include“stdio.h”main(){intkey;charmingma,mima;printf(“\npleaseinputthecharacter：“)；scanf(“%c”,&mingma);printf(“\npleaseinputthekey:”);scanf(“%d”,&key);if((mingma>=‘A’)&&(mingma<=‘Z’)mima=‘A’+(mingma-‘A’+key)%26;if((mingma>=‘a’)&&(mingma<=‘z’)mima=‘a’+(mingma-‘a’+key)%26;printf(“\ntheoutputis:%C”,mima);}其实现的功能是：对密码字符按规律进行移位：如：明码“a”若“key=2”的密码实际上是“c”。(2)解密算法#include“stdio.h”main(){intkey;charmingma,mima;printf(“\npleaseinputthecharacter:“);scanf(“%c”,&mima);printf(“\npleaseinputthekey:“);scanf(“%d”,&key);if((mima>=‘A’)&&(mima<=‘Z’))mingma=‘A’+(mima-‘A’+26-key)%26;if((mima>=‘a’)&&(mima<=‘z’))mingma=‘a’+(mima-‘a’+26-key)%26;printf(“\nthemingmais:%c”,mingma);}其实现的功能是：对密码字符按规律进行移位得到真实密码：如：明码“g”，若“key=4”,得到密码是“c”。4.8其它网络攻击与防范措施4.8.1源IP地址欺骗攻击许多应用程序认为如果数据包能使其自身沿着路由到达目的地，而且应答包也可以回到源地，那么源IP地址一定是有效的，而这正是使源IP地址欺骗攻击成为可能的前提。要防止源IP地址的欺骗行为，可以采取以下措施来尽可能地保护系统免受这类攻击：(1)抛弃基于地址的信任策略。(2)使用加密方法。(3)进行包过滤。4.8.2源路由欺骗攻击在通常情况下，信息包从起点到终点走过的路径是由位于此两点间的路由器决定的，数据包本身只知道去行何处，但不知道该如何去源路由可使信息包的发送者将此数据包要经过胡路径写在数据包里，使数据包循着一个对方不可预料的路径到达目的主机。为了防范源路由欺骗攻击，一般采用下面两种措施：(1)对付这种攻击最好的办法是配置好路由器使它抛弃那些由外部网进来的却声称是内部主机的报文。(2)在路由器上关闭源路由，用命令noipsource-route。4.8.3拒绝服务攻击及预防措施在拒绝服务攻击中，攻击中加载过多的服务将对方资源全部耗尽，使得没有多余资源供其他用户使用，SYNFlood攻击是典型的拒绝服务攻击。为了防止拒绝服务攻击，我们可以采取以下预防措施。（1）对方信息淹没攻击，我们应关掉可能产生无限序列的服务来防止这种攻击。比如我们可以在服务器端拒绝所有的ICMP包，或者在该网段路由器上对ICMP进行带宽限制，控制其在一定的范围内。（2）防止SYN数据段攻击，我们应对系统设定相应的内核参数，使得系统强制对超时的SYN请求连接数据包复位，同时通过缩短超时常数和加长等候队列使得系统能迅速处理无效的SYN请求数据包。（3）建议在网段的路由器上做起配置的调整，这些调整包括限制SYN半公开数据包的流量和广数。（4）建议在路由器的前端做必要胡TCP拦截，使得只有完成TCP三次握手过程的数据包才可进入网段。第五章校园网络安全体系通过以上对网络攻击分析和防范的设计，校园网络也会面临同样的威胁，所以我们在知道网络功防基础上应该构筑校园网络安全体系，要从两个方面着手：一是采用一定的技术；二是不断改进管理方法。从技术角度看，目前常用的安全手段有内外网隔离技术、加密技术、身份认证、访问控制、安全路由等，这些技术对防止非法入侵系统起到了一定的防御作用。防火墙作为一种将内外网隔离的技术，普遍运用于校园网安全建设中。5.1校园网络安全规范在校园网的需求来讲，校园的网络安全是指利用各种网络监控和管理技术措施，对网络系统的硬件、软件及系统中的数据资源实施保护，使其不会因为一些不利因素而遭到破坏，从而保证网络系统连续、安全、可靠地运行。校园网分为内部网和互联网两部分，技术上采用虚拟网管理。一般用户不提供与internet直接相连，需要直接连接的用户应向校园网管理委员会提出申请，获准后由网络中心分配IP地址并提供相应的入网软硬件，具有直接连接权限的用户应与校园网管中心签定保密协议书，并自觉接受网络安全员的检查。学校网络中心负责网络设备的运行管理，信息中心负责网络资源，用户帐户肯安全管理，系统管理员口令绝对保密，根据用户需求严格控制，合理分配用户权限。网络用户口令应经常更新，防杀病毒软件本身无毒，向学生开放的教学实验室应禁止使用软驱和光驱，以杜绝病毒的传播。校园网络信息系统以自行开发为主，系统软件应对访问权限严格限制，对不同操作人员，不同信息的内容需按等级分设口令。学校信息系统采用客户/服务器结构，数据由网络信息中心及网络管理部门进行定期备份，对备份后的数据应有专人保管，确保发生意外情况时能及时恢复系统运行，加强监督管理工作，使用过程中的重要信息记录要保存到事故文件中，以便掌握使用情况，发生可疑现象，及时追查安全事故责任。5.2安全方案建议5.2.1校园网络状况分析（1）资源分布和应用服务体系校园网络可向网络用户提供：域名服务（DNS），电子邮件服务（E-mail）,远程登录（telnet），文件传输服务（ftp）,电子广告牌，BBS，电子新闻，WWW以及信息收集，存储，交换，检索等服务。（2）网络结构的划分整个网络是由各网络中心，和园区内部网络通过各种通信方式互联而成的，所有网络可归纳为由连接子网、公共子网、服务子网、内部网四个部分组成。这四部分组成一个独立单位的局域网，然后通过广域连接与其他网络连接。5.2.2网络安全目标为了增加网络胡安全性，必须对信息资源加以保护，对服务资源加以控制肯管理。（1）信息资源a:公众信息；即不需要访问控制。b:内部信息；即需要身份验证以及根据根据身份进行访问控制。C:敏感信息；即需要验证身份和传输加密。（2）服务资源包括：内部服务资源、公众服务资源内部服务资源：面向已知客户，管理和控制内部用户对信息资源的访问。公众服务资源：面向匿名客户，防止和抵御外来的攻击。5.3校园网络安全技术的应用5.3.1网络攻击的概念校园网的网络攻击主要来自internet中,所以对网络的攻击可以分为两种基本的类型，即服务攻击与非服务攻击。（1）服务攻击指对为网络提供某种服的服务器发起攻击，遭成该网络的“拒绝服务”，使网络工作部正常。拒绝服务攻击将会带来消耗带宽、消耗计算资源、使系统和应用崩溃等后果，它是阻止针对某种服务的合法使用者访问他有权的服务。（2）非服务攻击非服务攻击是针对网络层等低层协议进行的，攻击者可能使用各种方法对网络通信设备发起攻击，使得网络通信设备工作严重阻塞或瘫痪，导致一个局域网或更多的网布能正常工作。与服务攻击相比，非服务攻击与特定服务无关，它往往利用协议或操作系统实现协议时的漏洞来达到目的。（3）非授权访问非授权访问是指存储在联网计算机中的信息或服务被未授权的网络用户非法使用，或者被授权用户越权滥用。网络的非法用户可以通过猜测用户口令，窃取口令的办法，或者设法绕过网络安全认证系统来冒充合法用户，非法查看、下载、修改、删除未授权访问的信息，以及使用未授权的网络服务。访问授权一般是由计算机操作系统、数据库管理系统、应用软件与网络操作系统和防火墙来共同保障，通常采用的方法是用户访问权限设置、用户口令加密、用户身份认证、数据加密与结点地址过滤等。5.3.2建立网络安全模型通信双方在网络上传输信息时，需要先在发送和接收方之间建立一条逻辑通道。为了在开放的网络环境中安全地传输信息，需要对信息提供安全机制和安全服务，如图5-1所示。图5-1网络安全模型信息的安全传输包括两个基本部分：（1）对发送的信息进行安全转换（如信息加密），实现信息的保密性。或者附加一些特征信息，以便进行发送方身份验证。（2）发送和接收双方共享的某些信息（如加密密钥），这些信息除了对可信任的第三方外，对于其他用户是保密的。为了信息的安全传输，通常需要一个可信任的第三方。第三方的作用是负责向通信双方秘密信息，并在双方发生争议时进行仲裁。设计一个网络安全方案时，需要完成以下四个基本任务：（1）设计一个算法，执行安全相关的转换；（2）生成该算法的秘密信息（如密钥）；（3）研制秘密信息的分发与共享的方法；（4）设定两个责任者使用的协议，利用算法和秘密信息取得安全服务。5.3.3数据备份方法数据备份有多种实现形式，从不同的角度可以对备份进行不同的分类：从备份模式来看，可以分为物理备份和逻辑备份；从备份策略来看，可以分为完全备份、增量备份和差异备份；根据备份服务器在备份过程中是否可以接收用户响应和数据更新，又可以分为离线备份和在线备份。（1）逻辑备份逻辑备份也可以称作“基于文件的备份”。每个文件都是由不同的逻辑块组成的，每个逻辑块存储在连续的物理磁盘块上，基于文件的备份系统能识别文件结构，并拷贝所有的文件和目录到备份资源上。系统顺序读取每个文件的物理块，然后备份软件连续地将文件写入到备份介质上，从而使得每个单独文件的恢复变得更快。（2）物理备份。物理又称“基于块的备份”或“基于设备的备份”，其在拷贝磁盘块到备份介质上时忽略文件结构，从而提高备份的性能。因为备份软件在执行过程中，花费在搜索操作上的开销很少。（3）完全备份完全备份是指整个系统或用户指定的所有文件数据进行一次全面的备份，这是一种最基本，也是最简单的备份方式。这种备份方式的好处就是很直观，容易理解。如果在备份间隔期间出现数据丢失等问题，可以只使用一份备份文件快速地恢复所丢失的数据。（4）增量备份为了解决上述完全备份的两个缺点，出现了更快、更小的增量备份。增量备份只备份相对于上次备份操作以来新创建或者更新过的数据。因为在特定的时间段内只有少量的文件发生改变，没有重复的备份数据，因此既节省空间，又缩短了备份的时间。因而这种备份方法比较经济，可以频繁地进行。（5）差异备份差异备份即备份上一次完全备份后产生和更新的所有新的数据。它的主要目的是将完全恢复时涉及到备份记录数量限制在两个，以简化恢复的复杂性。5.3.4防火墙技术防火墙是在网络之间通过执行控制策略来保护网络的系统，它包括硬件和软件。设置防火墙的目的是保护内部网络资源不被外部非授权用户使用。防火墙的功能包括：（1）检查所有从外部网络进入内部网络流出到外部网络的数据包。（2）执行安全策略，限制所有不符合安全策略要求的数据包通过。（3）具有防攻击能力，保证自身的安全性。防火墙是一个由软件与硬件组成的系统。由于不同内部网的安全策略与防护目的不同，防火墙系统的配置与实现方式也有很大的区别。简单的一个包过滤路由器或应用网关、应用代理服务器都可以作为防火墙使用。5.3.5入侵检测技术入侵检测系统是对计算机和网络资源的恶意使用行为进行识别的系统。它的目的是监测和发现可能存在的攻击行为，包括来自系统外部的入侵行为和来自内部的非法授权行为，并采取相应的防护手段。它的基本功能包括：（1）监控、分析用户和系统的行为。（2）检查系统的配置和漏洞。（3）评估重要的系统和数据文件的完整性。（4）对异常行为的统计分析，识别攻击类型，并向网络管理人员报警。（5）对操作系统进行审计、跟踪管理，识别违反授权的用户活动。5.3.6网络安全评估网络安全评估系统是一种集网络安全检测、风险评估、修复、统计分析和网络安全风险集中控制管理功能于一体的网络安全设备。通过扫描某个网络内的主机，再进行智能分析，得到该网络的安全状况分析图表，以及每个机器的详细的安全登记评估图表。从本质来讲评估技术就是一种检测技术。网络安全评估分析技术可以分为基于应用和基于网络的两种评估分析技术。（1）基于应用的技术采用被动、非破坏的办法检测应用软件包的设置，发现安全漏洞。（2）基于网络的技术采用积极的、非破坏的办法来检验系统是否有可能被攻击。5.4校园安全隐患当时，校园网络主要存在的安全隐患和漏洞有：（1）校园网通过CERNET与Internet相连，在享受Internet方便快捷的同时，也面临着遭遇攻击的风险。（2）校园网内部也存在很大的安全隐患，由于内部用户对网络的结构和应用模式都比较了解，因此来自内部的安全威胁更大一些。而现在，黑客攻击工具在网上十分常见，一般人员并不需要很复杂的知识就能用，所以存在很大的危险。（3）目前使用的操作系统存在安全漏洞，对网络安全构成了威胁。大学的网络服务器安装的操作系统有Windows2000/Windows2003、Unix、Linux等，这些系统安全风险级别不同，例如WIN2000/WIN2003的普遍性和可操作性使得它也是最不安全的系统：本身系统的漏洞、浏览器的漏洞、IIS的漏洞；Unix由于其技术的复杂性导致高级黑客对其进行攻击：自身安全漏洞（RIP路由转移等）、服务安全漏洞、Unix自身的病毒等等，这些都对原有网络安全构成威胁。（4）随着校园内计算机应用的大范围普及，接入校园网节点日渐增多，而这些节点大部分都没有采取一定的防护措施，随时有可能造成病毒泛滥、信息丢失、数据损坏、网络被攻击、系统瘫痪等严重后果。由此可见，构筑具有必要的信息安全防护体系，建立一套有效的网络安全体系显得尤其重要。5.5校园网主动防御体系校园网的安全威胁既有来自校内的，也有来自校外的。在设计校园网网络安全系统时，首先要了解学校的需要和目标，制定安全策略，需要注意的是，网络上的业务目标、安全策略与安全设计之间的关系是一体的。因此网络安全防范体系应该是动态变化的，在完成安全防范体系的设计后，必须不断适应安全环境的变化，以保证网络安全防范体系的良性发展，确保它的有效性和先进性。5.5.1P2DR模型美国国际互联网安全系统公司(ISS)提出的P2DR模型是指：策略(Policy)、防护(Protection)、检测(Detection)和响应(Response)。P2DR模型强调防护、检测和响应等环节的动态循环过程，通过这种过程达到保持网络系统的相对安全。所以P2DR模型是“整体的、动态的”的安全循环，在安全策略整体的控制下指导下保证信息系统的安全。P2DR模型如图5-2所示。图5-2P2DR模型P2DR模型是美国ISS公司提出的动态网络安全体系的代表模型，也是动态安全模型的雏形。P2DR模型包括四个主要部分：Policy(安全策略)、Protection(防护)、Detection(检测)和Response(响应)。P2DR模型是在整体的安全策略的控制和指导下，在综合运用防护工具(如防火墙、操作系统身份认证、加密等)的同时，利用检测工具(如漏洞评估、入侵检测等)了解和评估系统的安全状态，通过适当的反应将系统调整到“最安全”和“风险最低”的状态。防护、检测和响应组成了一个完整的、动态的安全循环，在安全策略的指导下保证信息系统的安全。该理论的最基本原理就是认为，信息安全相关的所有活动，不管是攻击行为、防护行为、检测行为和响应行为等等都要消耗时间。因此可以用时间来衡量一个体系的安全性和安全能力。作为一个防护体系，当入侵者要发起攻击时，每一步都需要花费时间。当然攻击成功花费的时间就是安全体系提供的防护时间Pt；在入侵发生的同时，检测系统也在发挥作用，检测到入侵行为也要花费时间―检测时间Dt；在检测到入侵后，系统会做出应有的响应动作，这也要花费时间―响应时间Rt。P2DR模型就可以用一些典型的数学公式来表达安全的要求：（1）公式1：Pt>Dt+Rt。Pt代表系统为了保护安全目标设置各种保护后的防护时间；或者理解为在这样的保护方式下，黑客（入侵者）攻击安全目标所花费的时间。Dt代表从入侵者开始发动入侵开始，系统能够检测到入侵行为所花费的时间。Rt代表从发现入侵行为开始，系统能够做出足够的响应，将系统调整到正常状态的时间。那么，针对于需要保护的安全目标，如果上述数学公式满足防护时间大于检测时间加上响应时间，也就是在入侵者危害安全目标之前就能被检测到并及时处理。（2）公式2：Et=Dt+Rt，如果Pt=0。公式的前提是假设防护时间为0。Dt代表从入侵者破坏了安全目标系统开始，系统能够检测到破坏行为所花费的时间。Rt