網路安全問題及對策

㈠ 網路安全問題產生的主要原因!

網路的東西太復雜 你這樣問 我也很難回答你 你若是要安全我建議你幾點：PC機器最好裝帶進程保護的防火牆 這樣就算你去黃網 IE都會有顯示在你電腦會運行什麼程序 這個是最直接 最客觀的 要是伺服器當然要做到一個強力的主動防禦 比如 卡巴 在黑客業內他是一個比較難做專殺的

㈡ 我國網路安全中存在的問題有哪些

隨著我國社會經濟的發展，計算機網路也迅速普及，滲透到我們生活的方方面面。

然而由於網路自身固有的脆弱和中國的網路信息技術起步比較晚使網路安全存在很多潛在

的威脅。在當今這樣「數字經濟」的時代，網路安全顯得尤為重要，也受到人們越來越多的

關注。

· 非授權訪問：沒有預先經過同意，就使用網路或計算機資源被看作非授權訪問，如有意避開系統訪問控制機制，對網路設備及資源進行非正常使用，或擅自擴大許可權，越權訪問信息。它主要有以下幾種形式：假冒、身份攻擊、非法用戶進入網路系統進行違法操作、合法用戶以未授權方式進行操作等。

㈢ 計算機網路安全問題及防範措施

對計算機信息構成不安全的因素很多， 其中包括人為的因素、自然的因素和偶發的因素。其中，人為因素是指，一些不法之徒利用計算機網路存在的漏洞，或者潛入計算機房，盜用計算機系統資源，非法獲取重要數據、篡改系統數據、破壞硬體設備、編制計算機病毒。人為因素是對計算機信息網路安全威脅最大的因素，垃圾郵件和間諜軟體也都在侵犯著我們的計算機網路。計算機網路不安全因素主要表現在以下幾個方面：
1、 計算機網路的脆弱性
互聯網是對全世界都開放的網路，任何單位或個人都可以在網上方便地傳輸和獲取各種信息，互聯網這種具有開放性、共享性、國際性的特點就對計算機網路安全提出了挑戰。互聯網的不安全性主要有以下幾項：
(1)網路的開放性，網路的技術是全開放的，使得網路所面臨的攻擊來自多方面。或是來自物理傳輸線路的攻擊，或是來自對網路協議的攻擊，以及對計算機軟體、硬體的漏洞實施攻擊。
(2)網路的國際性，意味著對網路的攻擊不僅是來自於本地網路的用戶，還可以是互聯網上其他國家的黑客，所以，網路的安全面臨著國際化的挑戰。
(3)網路的自由性，大多數的網路對用戶的使用沒有技術上的約束，用戶可以自由地上網，發布和獲取各類信息。
2、操作系統存在的安全問題
操作系統是作為一個支撐軟體，使得你的程序或別的運用系統在上面正常運行的一個環境。操作系統提供了很多的管理功能，主要是管理系統的軟體資源和硬體資源。操作系統軟體自身的不安全性，系統開發設計的不周而留下的破綻，都給網路安全留下隱患。
(1)操作系統結構體系的缺陷。操作系統本身有內存管理、CPU 管理、外設的管理，每個管理都涉及到一些模塊或程序，如果在這些程序裡面存在問題，比如內存管理的問題，外部網路的一個連接過來，剛好連接一個有缺陷的模塊，可能出現的情況是，計算機系統會因此崩潰。所以，有些黑客往往是針對操作系統的不完善進行攻擊，使計算機系統，特別是伺服器系統立刻癱瘓。
(2)操作系統支持在網路上傳送文件、載入或安裝程序，包括可執行文件，這些功能也會帶來不安全因素。網路很重要的一個功能就是文件傳輸功能，比如FTP，這些安裝程序經常會帶一些可執行文件，這些可執行文件都是人為編寫的程序，如果某個地方出現漏洞，那麼系統可能就會造成崩潰。像這些遠程調用、文件傳輸，如果生產廠家或個人在上面安裝間諜程序，那麼用戶的整個傳輸過程、使用過程都會被別人監視到，所有的這些傳輸文件、載入的程序、安裝的程序、執行文件，都可能給操作系統帶來安全的隱患。所以，建議盡量少使用一些來歷不明，或者無法證明它的安全性的軟體。
(3)操作系統不安全的一個原因在於它可以創建進程，支持進程的遠程創建和激活，支持被創建的進程繼承創建的權利，這些機制提供了在遠端伺服器上安裝「間諜」軟體的條件。若將間諜軟體以打補丁的方式「打」在一個合法用戶上，特別是「打」在一個特權用戶上，黑客或間諜軟體就可以使系統進程與作業的監視程序監測不到它的存在。
(4)操作系統有些守護進程，它是系統的一些進程，總是在等待某些事件的出現。所謂守護進程，比如說用戶有沒按鍵盤或滑鼠，或者別的一些處理。一些監控病毒的監控軟體也是守護進程，這些進程可能是好的，比如防病毒程序，一有病毒出現就會被撲捉到。但是有些進程是一些病毒，一碰到特定的情況，比如碰到5月1日，它就會把用戶的硬碟格式化，這些進程就是很危險的守護進程，平時它可能不起作用，可是在某些條件發生，比如5月1日，它才發生作用，如果操作系統有些守護進程被人破壞掉就會出現這種不安全的情況。
(5)操作系統會提供一些遠程調用功能，所謂遠程調用就是一台計算機可以調用遠程一個大型伺服器裡面的一些程序，可以提交程序給遠程的伺服器執行，如telnet。遠程調用要經過很多的環節，中間的通訊環節可能會出現被人監控等安全的問題。
(6)操作系統的後門和漏洞。後門程序是指那些繞過安全控制而獲取對程序或系統訪問權的程序方法。在軟體開發階段，程序員利用軟體的後門程序得以便利修改程序設計中的不足。一旦後門被黑客利用，或在發布軟體前沒有刪除後門程序，容易被黑客當成漏洞進行攻擊，造成信息泄密和丟失。此外，操作系統的無口令的入口，也是信息安全的一大隱患。
(7)盡管操作系統的漏洞可以通過版本的不斷升級來克服， 但是系統的某一個安全漏洞就會使得系統的所有安全控制毫無價值。當發現問題到升級這段時間，一個小小的漏洞就足以使你的整個網路癱瘓掉。
3、資料庫存儲的內容存在的安全問題
資料庫管理系統大量的信息存儲在各種各樣的資料庫裡面，包括我們上網看到的所有信息，資料庫主要考慮的是信息方便存儲、利用和管理，但在安全方面考慮的比較少。例如：授權用戶超出了訪問許可權進行數據的更改活動；非法用戶繞過安全內核，竊取信息。對於資料庫的安全而言，就是要保證數據的安全可靠和正確有效，即確保數據的安全性、完整性。數據的安全性是防止資料庫被破壞和非法的存取；資料庫的完整性是防止資料庫中存在不符合語義的數據。
4 、防火牆的脆弱性
防火牆指的是一個由軟體和硬體設備組合而成、在內部網和外部網之間、專用網與網之間的界面上構造的保護屏障.它是一種硬體和軟體的結合，使Internet 與Intranet 之間建立起一個安全網關（Security Gateway），從而保護內部網免受非法用戶的侵入。
但防火牆只能提供網路的安全性，不能保證網路的絕對安全，它也難以防範網路內部的攻擊和病毒的侵犯。並不要指望防火牆靠自身就能夠給予計算機安全。防火牆保護你免受一類攻擊的威脅，但是卻不能防止從LAN 內部的攻擊，若是內部的人和外部的人聯合起來，即使防火牆再強，也是沒有優勢的。它甚至不能保護你免受所有那些它能檢測到的攻擊。隨著技術的發展，還有一些破解的方法也使得防火牆造成一定隱患。這就是防火牆的局限性。
5、其他方面的因素
計算機系統硬體和通訊設施極易遭受到自然的影響，如：各種自然災害（如地震、泥石流、水災、風暴、物破壞等）對構成威脅。還有一些偶發性因素，如電源故障、設備的機能失常、軟體開發過程中留下的某些漏洞等，也對計算機網路構成嚴重威脅。此外不好、規章制度不健全、安全管理水平較低、操作失誤、瀆職行為等都會對計算機信息安全造成威脅。

計算機網路安全的對策，可以從一下幾個方面進行防護：
1、 技術層面對策
對於技術方面，計算機網路安全技術主要有實時掃描技術、實時監測技術、防火牆、完整性保護技術、病毒情況分析報告技術和系統安全管理技術。綜合起來，技術層面可以採取以下對策：
(1)建立安全管理制度。提高包括系統管理員和用戶在內的人員的技術素質和職業修養。對重要部門和信息，嚴格做好開機查毒，及時備份數據，這是一種簡單有效的方法。
(2)網路訪問控制。訪問控制是網路安全防範和保護的主要策略。它的主要任務是保證網路資源不被非法使用和訪問。它是保證網路安全最重要的核心策略之一。訪問控制涉及的技術比較廣，包括入網訪問控制、網路許可權控制、目錄級控制以及屬性控制等多種手段。
(3)資料庫的備份與恢復。資料庫的備份與恢復是資料庫管理員維護數據安全性和完整性的重要操作。備份是恢復資料庫最容易和最能防止意外的保證方法。恢復是在意外發生後利用備份來恢復數據的操作。有三種主要備份策略：只備份資料庫、備份資料庫和事務日誌、增量備份。
(4)應用密碼技術。應用密碼技術是信息安全核心技術，密碼手段為信息安全提供了可靠保證。基於密碼的數字簽名和身份認證是當前保證信息完整性的最主要方法之一，密碼技術主要包括古典密碼體制、單鑰密碼體制、公鑰密碼體制、數字簽名以及密鑰管理。
(5)切斷途徑。對被感染的硬碟和計算機進行徹底殺毒處理，不使用來歷不明的U 盤和程序，不隨意下載網路可疑信息。
(6)提高網路反病毒技術能力。通過安裝病毒防火牆，進行實時過濾。對網路伺服器中的文件進行頻繁掃描和監測，在工作站上採用防病毒卡，加強網路目錄和文件訪問許可權的設置。在網路中，限制只能由伺服器才允許執行的文件。
(7)研發並完善高安全的操作系統。研發具有高安全的操作系統，不給病毒得以滋生的溫床才能更安全。
2、管理層面對策
計算機網路的安全管理，不僅要看所採用的安全技術和防範措施，而且要看它所採取的管理措施和執行計算機安全保護、法規的力度。只有將兩者緊密結合，才能使計算機網路安全確實有效。
計算機網路的安全管理，包括對計算機用戶的安全、建立相應的安全管理機構、不斷完善和加強計算機的管理功能、加強計算機及網路的立法和執法力度等方面。加強計算機安全管理、加強用戶的法律、法規和道德觀念，提高計算機用戶的安全意識，對防止計算機犯罪、抵制黑客攻擊和防止計算機病毒干擾，是十分重要的措施。
這就要對計算機用戶不斷進行法制教育，包括計算機安全法、計算機犯罪法、保密法、數據保護法等，明確計算機用戶和系統管理人員應履行的權利和義務，自覺遵守合法信息系統原則、合法用戶原則、信息公開原則、信息利用原則和資源限制原則，自覺地和一切違法犯罪的行為作斗爭，維護計算機及網路系統的安全，維護信息系統的安全。除此之外，還應教育計算機用戶和全體工作人員，應自覺遵守為維護系統安全而建立的一切規章制度，包括人員管理制度、運行維護和管理制度、計算機處理的控制和管理制度、各種資料管理制度、機房保衛管理制度、專機專用和嚴格分工等管理制度。
3、安全層面對策
要保證計算機網路系統的安全、可靠，必須保證系統實體有個安全的物理環境條件。這個安全的環境是指機房及其設施，主要包括以下內容：
(1)計算機系統的環境條件。計算機系統的安全環境條件，包括溫度、濕度、空氣潔凈度、腐蝕度、蟲害、振動和沖擊、電氣干擾等方面，都要有具體的要求和嚴格的標准。
(2)機房場地環境的選擇。計算機系統選擇一個合適的安裝場所十分重要。它直接影響到系統的安全性和可靠性。選擇計算機房場地，要注意其外部環境安全性、可靠性、場地抗電磁干擾性，避開強振動源和強雜訊源，並避免設在建築物高層和用水設備的下層或隔壁。還要注意出入口的管理。
(3)機房的安全防護。機房的安全防護是針對環境的物理災害和防止未授權的個人或團體破壞、篡改或盜竊網路設施、重要數據而採取的安全措施和對策。為做到區域安全，首先，應考慮物理訪問控制來識別訪問用戶的身份，並對其合法性進行驗證；其次，對來訪者必須限定其活動范圍；第三，要在計算機系統中心設備外設多層安全防護圈，以防止非法暴力入侵；第四設備所在的建築物應具有抵禦各種自然災害的設施。

㈣ 當前網路安全的情況怎樣有什麼樣的對策

網路時代

不同的人往往從不同的角度將某個時期冠之以「XX時代」，用來強調某些事物或某些
人對社會的重要影響。這里所說的網路是指以計算機和其他電信設備為用戶終端，以現代
綜合電信網為傳輸鏈路，以交換設備和處理設備為結點，以多種多樣的信息為載荷的集合
。這種網路對當代社會的經濟、政治、文化、軍事和人們的生活等方面均產生了重大的影
響，所以越來越多的人認為我們的社會已經進入「網路時代」。

可從以下數據和事例中看出網路對社會產生的重大影響：

全球的Internet用戶已達5億多戶，中國則達4500多萬戶，而在Internet網之外還有相
當數量的專用網用戶。

全球已發現的計算機病毒超過4．5萬種，每年造成的經濟損失超過1．6萬億美元。

中國青年報2002年9月2日有兩篇關於網路的報道。一篇是說張小姐8月24日在雲南麗江
乘坐的旅遊車翻入山谷，張小姐第三腰椎壓縮性骨折，如不及時救治可能終身殘疾，其遠
在深圳的朋友上網求援，獲得民航的包機專運，使病人26日就轉至廣州中山附二醫院，27
日及時進行了手術，網路使她贏得了搶救的時間；另一篇是說7月23日11：15至12：30首都
國際機場因為網路故障而「癱瘓」使60個航班和6000多名旅客的飛行被延誤，還提到7月5
日深圳證券交易所因為網路故障而關停數小時的嚴重事故。

在網路時代，網路給社會帶來了前所未有的機遇和挑戰。網路的正常運行為社會帶來
了巨大的進步和財富，而網路的不安全性也會造成意想不到的災難和損失。網路正在加速
擴大覆蓋范圍、加速滲透到各個領域、加速改變傳統規則，我們只有努力提高網路的安全
性，趨利避害，才能與網路時代同步前進。

關於網路安全的主要觀點

網路安全的目標

保障網路的物理安全，對網路施以物理保護，防止遭到破壞。

保障網路的邏輯安全，即使用邏輯隔離以保證信息的機密性(confidentiality)、完整
性(integrity)、可用性(availability)、可控制性(controllability)、真實性(authent
icity)和不可抵賴性(non-repudiation)。機密性保證信息不會被未經授權的人所解讀；完
整性保證信息不會被增、刪、篡改和破壞；可用性保證信息確實為授權使用者正常運行；
可控性保證對網路和信息可實施安全監控；真實性保證接收到的信息確實是發信方發的而
不是假冒的；不可抵賴性保證發信方無法否認他發給收信方的信息，並可通過數字取證、
證據保全，使公證方和仲裁方方便介入，用法律管理網路。

保障網路的管理安全，首先是要選用可信任的人，其次是管理部門和管理人員要有足
夠的安全常識，制訂相應的法律、規章、制度，加強行政管理，預防為主。

安全不是絕對的

安全是一個與風險密切相關的概念，只有在一定風險程度范圍內的安全，而沒有絕對
的安全。

網路共享和網路威脅是一對公生體，網路開放、共享的程度越高，網路面臨的威脅就
越高。或者說，網路的可用性越高，網路的安全性就越低。網路存在安全漏洞是難免的，
網路的被攻擊是不可避免的，只是要把被攻破的幾率盡可能降低而已。

網路信息戰已現端倪

網路信息戰是指在網路里為爭奪制信息權而進行的軍事爭斗，目的是癱瘓敵方的指揮
自動化系統。

網路信息戰的作戰形式包括指揮控制戰、電子戰、情報戰、心理戰、黑客戰等。

1991年海灣戰爭中，美軍第一次將計算機病毒用於實戰並獲得了勝利，網路信息戰開
始應用於戰爭；此後，在南斯拉夫的科索沃戰爭、俄羅斯的車臣戰爭，2001年以中美戰機
相撞事件為導火索出現的中美黑客大戰，2001年發生在美國的「9．11」恐怖襲擊中，都有
網路信息戰的影子。

許多軍事專家已在潛心研究網路信息戰的方方面面，甚至將網路信息攻擊看作是現代
戰爭的殺手鐧。可以設想，在不久的將來，軍隊編制中出現網路戰分隊甚至網軍都是完全
可能的。

密碼技術是網路信息安全最核心最基本的技術

密碼的主要作用是將信息的密級屬性改變成公開屬性，使那些帶密級的信息可以在公
共網路中存放、傳輸和交換。

密碼技術可用於信息加密、信息認證、數字簽名、授權控制、加密隧道和密鑰管理等
方面，使截獲信息的人無法憑借現階段可獲得的計算資源進行破譯。

秘密全部寓於密鑰之中，這是編密者的基本信條，截獲者可以截取密文，但只要拿不
到密鑰，就應無法破譯。

編密有嚴格的程序和數學演算法，而破譯則要靠豐富的經驗、廣泛的聯想和恰當的技巧
了。世界上沒有不可破譯的密碼，而往往要受物力、財力、時間、條件的制約，「兩軍相
逢」只有智者勝了。

簡單的加密只能麻痹自己，方便敵人，還不如不加密。

網路安全不能一勞永逸

網路安全和網路威脅是一對矛盾，此消彼長，並在動態中發展，在斗爭中前進。

網路安全措施不是萬能的，但是沒有網路安全措施是萬萬不能的。

網路安全的重點在於提高網路的頑存性，允許某些非法入侵，允許部分組件受損、允
許某些部件的不可靠，但網路仍能在結構上合理配置資源和資源重組，仍可完成主要任務
。

網路安全要在定期的測評中運用最新技術成果不斷改進，不能一勞永逸。

網路安全的投資

網路安全產業包括安全設備和安全服務兩部分。安全設備包括防火牆、殺毒軟體、密
碼機、訪問控制、安全認證、加密隧道的構築等；安全服務包括安全咨詢、安全風險評估
、項目實施、整體解決方案、安全培訓、售後技術支援、產品更新換代等。

國際上網路安全產業的投資大約占網路產業的10%—15%，其中安全設備和安全服務的
投資比例接近於1：1，而且隨著時間的推移安全服務的投資比例還會增大。專家們預計不
久的將來就會出現「網上110」、「網上警察」和「網上急救隊」了。

做網路安全的理性用戶

理性用戶應該遵紀守法，貫徹執行相關的網路安全技術標准、規范；聽取專家咨詢建
議，制訂與網路發展協調的安全方案；精挑細選，掌握產品的真實性能指標；關注最新技
術，動態調整安全方案，備好安全應急措施。

網路安全的基本對策

建立網路安全的體系結構

網路安全的體系結構是一個理論基礎，可以使網路安全建設綱舉目張、有條不紊、全
面周到、相對完善。

國外的一些政府部門、研究機構和公司已經就網路安全體系結構提出了一些模型，趙
戰先生在其基礎上提出了適合中國國情的模型，即WPDRRC(預警、保護、檢測、反應、恢復
和反擊)。預警是指預測網路可能受到的攻擊，評估面臨的風險，為安全決策提供依據；保
護是指依據不同等級的安全要求，採用不同的保護等級；檢測是指動態、實時地查明網路
所受到的威脅性質和程度；反應是指對於危及安全的事件及時做出相應的處理，把危害減
至最低限度；恢復是指採用容錯、冗餘、替換、修復和一致性保證等技術使網路迅速恢復
正常工作；反擊是指具有犯罪取證能力和打擊手段。

專網與互聯網的隔離

2002年8月5日國家信息化辦公室發文要求、「電子政務網路由政務內網和政外網構成
，兩網之間有機隔離，政務外網與互聯網之間邏輯隔離。」其他部門和單位也有與此類似
的要求。

物理隔離，就是兩個網路之間不存在數據流，也不存在可以共享的存儲和信道。物理
隔離的實施方案有：支持雙主機、單終端的終端切換方案；雙硬碟、雙網卡的物理隔離方
案；具有雙網隔離功能的隔離網卡方案；外部網使用單獨硬碟，內部網使用伺服器端統一
存儲的隔離方案；後來又出現了雙主板、單CPU、通過硬體體系結構實現隔離的方案。用戶
可以靈活設計自己的物理隔離方案，但它仍然無法抵禦來自內部的無意疏忽和有意攻擊。

邏輯隔離，就是兩個網路之間只允許合法的數據交流，而不允許非法的數據流進入專
網。邏輯隔離可使用防火牆、網閘等來實現，例如校園網與互聯網通過防火牆來互聯，防
火牆可將互聯網上的色情、恐怖、邪教宣傳等信息拒之於校園網之外。但是防火牆是防外
不防內的，防火牆的標簽區分能力仍有大量的盲點，防火牆自身往往也存在漏洞使攻擊者
有隙而入，防火牆的過濾規則如果定義不恰當也會有「漏網之魚」，防火牆若不能適應新
的安全威脅即時升級和更新也將有名無實。

另外需要指出的是，為了安全關閉網路是因噎廢食；為了安全而與外部網物理隔絕，
會使內部網變成「信息孤島」，大大降低使用效能；採用相對完善的安全方案，使內部網
與外部網(包括互聯網)安全互聯，使專網用戶也能共享互聯網的豐富資源，這才是網路的
「大禹治水」之道，網路的發展是硬道理

防火牆技術

防火牆是一種按某種規則對專網和互聯網，或對互聯網的一部分和其餘部分之間的信
息交換進行有條件的控制(包括隔離)，從而阻斷不希望發生的網路間通信的系統。

防火牆可以用硬體、也可以用軟體、或用硬軟體共同來實現。防火牆按應用場合可分
為企業防火牆和個人防火牆，按技術原理可分為包過濾型和應用網關型，按工作模式可分
為網橋模式和路由模式。

防火牆可以為專網加強訪問控制、提供信息過濾、應用層的專用代理、日誌分析統計
報告、對用戶進行「鑰匙口令+防火牆一次性口令」的雙因於認證等功能。

防火牆的介入不應過多影響網路的效能，正常工作時應能阻擋或捕捉到非法闖入者，
特別是一旦防火牆被攻破時應能重新啟動並恢復到正常工作狀態，把對網路的破壞降至最
低限度。

訪問控制技術

訪問控制是一種確定進入網路的合法用戶對哪些網路資源(如內存、I／0、CPU、數據
庫等)享有何種授權並可進行何種訪問(如讀、寫、運行等)的機制。

訪問控制可分為身份訪問控制、內容訪問控制、規則訪問控制、環境訪問控制、數據
標簽等類型。

訪問控制的常用技術有通行字、許可權標記、安全標記、訪問控製表和矩陣、訪問持續
時間限制等。

訪問控制必須遵從最小特權原則，即用戶在其合法的訪問授權之外而無其他的訪問特
權，以保證有效防止網路因超許可權訪問而造成的損失。

值得指出的是，訪問控制的強度並不是很高的，也不會是絕對安全的，例如通行字一
般都很短且帶有一些人所共知的特徵，被猜中或攻破的可能性是較大的。

防病毒技術

計算機病毒是一種攻擊性程序，它可以修改其他程序或將自身的拷貝插入其他程序中
來感染計算機網路，病毒通常都具有破壞性作用，並通過網上信息交流而迅速傳播，進一
步破壞網上信息的完善性。

計算機病毒的特點是具有非授權的可執行性、隱蔽性好、感染性強、潛伏得深、破壞
性廣泛、有條件地觸發而發作、新病毒層出不窮等。

計算機病毒的危害多種多樣。病毒程序會消耗資源使網路速度變慢；病毒會干擾、改
變用戶終端的圖像或聲音，使用戶無法正常工作：有些病毒還會破壞文件、存儲器、軟體
和硬體，使部分網路癱瘓；有些病毒會在硬碟上設置遠程共享區，形成後門，為黑客大開
方便之門。

防病毒技術包括四個方面：病毒的檢測(查毒)，並可自動報警和攔截；病毒的清除(殺
毒)，清除力求干凈徹底、不傷害網路；網路的修復，依據相關線索搶救丟失的數據，使網
絡恢復正常工作；病毒的預防(免疫)，通常利用軟體補丁不斷彌補網路漏洞，以亡羊補牢
，同時要對殺毒軟體及時升級換代，保持其足夠的「殺傷力」。

網路病毒千奇百怪，分類方法繁多。按病毒的演算法分類則有伴隨性病毒(最早出現的一
種病毒)，「蠕蟲」型病毒(如1998年的莫里斯病毒)、寄生型病毒(新發現的病毒基本上都
是此類)，如幽靈病毒、裝甲病毒、行騙病毒、慢效病毒、輕微破壞病毒、噬菌體病毒、反
反病毒以及綜合性病毒等；而廣大網民容易理解的還是按應用場合分類為互聯網病毒、電
子郵件病毒、宏病毒、Windows病毒、DOS病毒、黑客程序以及其它應用性病毒。道高一尺
，魔高一丈，病毒功防戰中只能是「勇敢+智慧+堅韌」的一方取勝了。

入侵檢測技術

入侵檢測被認為是繼防火牆、信息加密之後的新一代網路安全技術。入侵檢測是在指
定的網段上(例如在防火牆內)及早發現具有入侵特徵的網路連接，並予以即時地報警、切
斷連接或其它處置。

入侵檢測與防火牆所監視的入侵特徵不同。防火牆監視的是數據流的結構性特徵，如
源地址、目的地址和埠號等，這些特徵一定會表示在數據流的特定位置上；而入侵檢測
監視的是體現在數據內容中的攻擊特徵，如數據流中出現大量連續的Nop填充碼，往往是利
用緩；中區溢出漏洞的攻擊程序所制，它們使數據流的內容發生了改變。但是還有一些入
侵不會導致數據流出現攻擊特徵字元串，而是體現為一種異常的群體行為模式，必須靠分
布式入侵檢測系統才能綜合分析而發現。

入侵檢測的難點在於：檢測耗費時間加響應耗費時間之和必須小於攻擊耗費時間，這
個時間隨著計算機速度的提高往往在μs級甚至於ns級；攻擊特徵成千上萬，既有已知的還
有未知的，入侵檢測的演算法也要隨之而改進：網路寬頻越來越大，網上數據流量已是天量
海量，檢測如此巨大的數據流真如「大海撈針」；入侵檢測要對非法入侵發現得及時、抓
住特徵、防止銷毀證據並做出反擊，是一場不折不扣的高科技戰爭。

虛擬安全專網(VPN)

VPN是指業務提供商利用公眾網(如互聯網)將多個用戶子網連接成一個專用網，VPN是
一個邏輯網路而非物理網路，它既擁有公眾網的豐富資源而又擁有專用網的安全性和靈活
性。

目前的公眾網都是基於IP網間協議的，為了解決IP數據流的安全問題，IETF(網際網路工
程工作組)制訂了一個Ipsec(IP安全標准)。Ipsec採用兩種安全機制：一個是AH(IP鑒別頭
)，它對IP數據進行強密碼校驗，進而提供數據完整性鑒別和源鑒別；另一個是ESP(IP數據
封裝安全凈荷)，它通過加密IP數據來提供數據完整性和保密性，ESP又分為隧道加密方式
(即對整個IP數據全加密)和IP數據凈荷加密方式兩類。

Ipsec是一種端到端的安全機制，Ipsec工作於互聯網協議的第三層即網間協議層，因
此位於第四層的TCP協議(即傳送控制協議)不用任何改變即可工作在Ipsec之上。

其它網路安全對策

除了上述幾條外，網路安全方面還應採用以下一些對策：

適當強度的密碼演算法，密碼始終是網路安全的基石，也是一切安全對策的核心；

採用安全性好的操作系統；

採用電磁防護措施，一方面要防止有用信息的電磁漏瀉發射，另一方面要採用抗電磁
干擾傳輸方式；

採用防雷電的保護措施；

採用適當的物理防護措施；

加強行政管理、完善規章制度、嚴格人員選任、法律介入網路等。

結束語

網路是我們馳騁的廣闊天地，而網路出口和IP地址為我們劃定了網路疆土。網路天地
里既充滿了各種各樣的有用資源，也暗藏著許多「殺機」，正在進行著一場沒有硝煙的戰
爭。「保存自己、消滅敵人」是我們的基本原則，為了實現網路安全，我們必須不斷學習
，與網路的發展同步前進；聽取和尊重專家的建議，慎重安全決策；綜合運用多種安全對
策，確保適度的網路安全；動態改進安全對策；努力占據安全的制高點。

㈤ 對當前網路安全的認識和對策

最近幾年裡，網路攻擊技術和攻擊工具有了新的發展趨勢，使藉助Internet運行業務的機構面臨著前所未有的風險，本文將對網路攻擊的新動向進行分析，使讀者能夠認識、評估，並減小這些風險。

趨勢一：自動化程度和攻擊速度提高

攻擊工具的自動化水平不斷提高。自動攻擊一般涉及四個階段，在每個階段都出現了新變化。

掃描可能的受害者。自1997年起，廣泛的掃描變得司空見慣。目前，掃描工具利用更先進的掃描模式來改善掃描效果和提高掃描速度。

損害脆弱的系統。以前，安全漏洞只在廣泛的掃描完成後才被加以利用。而現在攻擊工具利用這些安全漏洞作為掃描活動的一部分，從而加快了攻擊的傳播速度。

傳播攻擊。在2000年之前，攻擊工具需要人來發動新一輪攻擊。目前，攻擊工具可以自己發動新一輪攻擊。像紅色代碼和尼姆達這類工具能夠自我傳播，在不到18個小時內就達到全球飽和點。

攻擊工具的協調管理。隨著分布式攻擊工具的出現，攻擊者可以管理和協調分布在許多Internet系統上的大量已部署的攻擊工具。目前，分布式攻擊工具能夠更有效地發動拒絕服務攻擊，掃描潛在的受害者，危害存在安全隱患的系統。

趨勢二：攻擊工具越來越復雜

攻擊工具開發者正在利用更先進的技術武裝攻擊工具。與以前相比，攻擊工具的特徵更難發現，更難利用特徵進行檢測。攻擊工具具有三個特點：反偵破，攻擊者採用隱蔽攻擊工具特性的技術，這使安全專家分析新攻擊工具和了解新攻擊行為所耗費的時間增多；動態行為，早期的攻擊工具是以單一確定的順序執行攻擊步驟，今天的自動攻擊工具可以根據隨機選擇、預先定義的決策路徑或通過入侵者直接管理，來變化它們的模式和行為；攻擊工具的成熟性，與早期的攻擊工具不同，目前攻擊工具可以通過升級或更換工具的一部分迅速變化，發動迅速變化的攻擊，且在每一次攻擊中會出現多種不同形態的攻擊工具。此外，攻擊工具越來越普遍地被開發為可在多種操作系統平台上執行。許多常見攻擊工具使用IRC或HTTP(超文本傳輸協議)等協議，從入侵者那裡向受攻擊的計算機發送數據或命令，使得人們將攻擊特性與正常、合法的網路傳輸流區別開變得越來越困難。

趨勢三：發現安全漏洞越來越快

新發現的安全漏洞每年都要增加一倍，管理人員不斷用最新的補丁修補這些漏洞，而且每年都會發現安全漏洞的新類型。入侵者經常能夠在廠商修補這些漏洞前發現攻擊目標。

趨勢四：越來越高的防火牆滲透率

防火牆是人們用來防範入侵者的主要保護措施。但是越來越多的攻擊技術可以繞過防火牆，例如，IPP(Internet列印協議)和WebDAV(基於Web的分布式創作與翻譯)都可以被攻擊者利用來繞過防火牆。

趨勢五：越來越不對稱的威脅

Internet上的安全是相互依賴的。每個Internet系統遭受攻擊的可能性取決於連接到全球Internet上其他系統的安全狀態。由於攻擊技術的進步，一個攻擊者可以比較容易地利用分布式系統，對一個受害者發動破壞性的攻擊。隨著部署自動化程度和攻擊工具管理技巧的提高，威脅的不對稱性將繼續增加。

趨勢六：對基礎設施將形成越來越大的威脅

基礎設施攻擊是大面積影響Internet關鍵組成部分的攻擊。由於用戶越來越多地依賴Internet完成日常業務，基礎設施攻擊引起人們越來越大的擔心。基礎設施面臨分布式拒絕服務攻擊、蠕蟲病毒、對Internet域名系統(DNS)的攻擊和對路由器攻擊或利用路由器的攻擊。

拒絕服務攻擊利用多個系統攻擊一個或多個受害系統，使受攻擊系統拒絕向其合法用戶提供服務。攻擊工具的自動化程度使得一個攻擊者可以安裝他們的工具並控制幾萬個受損害的系統發動攻擊。入侵者經常搜索已知包含大量具有高速連接的易受攻擊系統的地址塊，電纜數據機、DSL和大學地址塊越來越成為計劃安裝攻擊工具的入侵者的目標。由於Internet是由有限而可消耗的資源組成，並且Internet的安全性是高度相互依賴的，因此拒絕服務攻擊十分有效。

蠕蟲病毒是一種自我繁殖的惡意代碼。與需要用戶做某種事才能繼續繁殖的病毒不同，蠕蟲病毒可以自我繁殖。再加上它們可以利用大量安全漏洞，會使大量的系統在幾個小時內受到攻擊。一些蠕蟲病毒包括內置的拒絕服務攻擊載荷或Web站點損毀載荷，另一些蠕蟲病毒則具有動態配置功能。但是，這些蠕蟲病毒的最大影響力是，由於它們傳播時生成海量的掃描傳輸流，它們的傳播實際上在Internet上生成了拒絕攻擊，造成大量間接的破壞(這樣的例子包括：DSL路由器癱瘓；並非掃描本身造成的而是掃描引發的基礎網路管理(ARP)傳輸流激增造成的電纜調制解制器ISP網路全面超載)。

DNS是一種將名字翻譯為數字IP地址的分布式分級全球目錄。這種目錄結構最上面的兩層對於Internet運行至關重要。在頂層中有13個「根」名伺服器。下一層為頂級域名(TLD)伺服器，這些伺服器負責管理「.com」、「.net」等域名以及國家代碼頂級域名。DNS面臨的威脅包括：緩存區中毒，如果使DNS緩存偽造信息的話，攻擊者可以改變發向合法站點的傳輸流方向，使它傳送到攻擊者控制的站點上；破壞數據，攻擊者攻擊脆弱的DNS伺服器，獲得修改提供給用戶的數據的能力；拒絕服務，對某些TLD域名伺服器的大規模拒絕服務攻擊會造成Internet速度普遍下降或停止運行；域劫持，通過利用客戶升級自己的域注冊信息所使用的不安全機制，攻擊者可以接管域注冊過程來控制合法的域。

路由器是一種指揮Internet上傳輸流方向的專用計算機。路由器面臨的威脅有：將路由器作為攻擊平台，入侵者利用不安全的路由器作為生成對其他站點的掃描或偵察的平台；拒絕服務，盡管路由器在設計上可以傳送大量的傳輸流，但是它常常不能處理傳送給它的同樣數量的傳輸流，入侵者利用這種特性攻擊連接到網路上的路由器，而不是直接攻擊網路上的系統；利用路由器之間的信賴關系，路由器若要完成任務，就必須知道向哪裡發送接收到的傳輸流，路由器通過共享它們之間的路由信息來做到這點，而這要求路由器信賴其收到的來自其他路由器的信息，因此攻擊者可以比較容易地修改、刪除全球Internet路由表或將路由輸入到全球Internet路由表中，將發送到一個網路的傳輸流改向傳送到另一個網路，從而造成對兩個網路的拒絕服務攻擊。盡管路由器保護技術早已可供廣泛使用，但是許多用戶沒有利用路由器提供的加密和認證特性來保護自己的安全。

㈥ 網路安全問題及對策

殺軟+防木馬+防火牆