網路安全通道獨立

㈠ 誰可以提供網路安全物理隔離卡解決方案

網路安全物理隔離卡解決方案 隨著計算機網路及國際互聯網的應用飛速發展，使我們進入了前所未有的網路信息時代。用一台計算機可知天下事，政府的各部門、各企業均已採用先進的互聯網技術建立自己的內部辦公網。但由於公眾網（INTRENET）的開放性，使得網路安全受到嚴重的威脅。因此保密局規定：內部辦公網路計算機與公眾網（INTERNET）間必需實現物理隔離。基於上述原因，河北省科學院應用數學研究所為實現網路的物理隔離，自主研製推出了網路衛士物理隔離卡產品。
網路衛士產品簡介及產品特點
一、 產品簡介
1、 該產品解決了內外網路之間的物理隔離。以在原有計算機上加裝一塊「網路衛士物理隔離卡」的方式，來實現區域網與互聯網的網路通道隔離。當區域網中任何一台計算機一經接入互聯網，將完全與內部網（涉密網)徹底隔離，可以在互聯網上無拘無束的沖浪，又能保證內網的絕對安全。
2、 本產品是一種通過硬體配以軟體控制，來實現內、外網的切換，操作方便，安全可靠。真正符合國家保密局《計算機信息系統國際連網保密管理》第六條的規定。
3、 功能上等效於兩台獨立的計算機。內、外網兩套系統共享一塊硬碟及計算機中的所有資源，節省了大量的投資與辦公場地。
4、 本產品分為內置式和外置式兩種類型。內置式是直接固定於主板的PCI插槽上，不佔用計算機的資源，與計算機主板之間沒有數據通信，不存在任何兼容性問題；外置式是放置於機箱外部，方便更換、檢查及處理。
5、 支持ADSL撥號上網或是政府網的用戶使用。
6、 獨立研發、專利設計。擁有自主知識產權， 並申報國家專利（專利號：99257640.7）該產品並已通過公安部的安全性能檢測，檢驗報告編號：公計檢（委）字第99046號。頒發了產品批量生產許可證，批准證書編號：XKC30213；該產品也獲得了國家保密局關於涉密信息系統產品檢測認證證書（編號：ISSTEC2003YT0049)。可以確保內部網路及資源不受外界公眾網竊取和攻擊，真正做到簡單、可靠、可信、安全無憂地使用電腦。

二、網路衛士物理隔離卡的主要特點
真正實現物理隔離
全部採用觸點式繼電器，在單片機2051的控制下實現三組繼電器跳轉，保證了內、外網的真正物理隔離。
軟體控制，操作簡單、快捷
只需用滑鼠點擊」網路衛士」控制軟體上相應的按鈕，網路衛士通過串列口發送指令，系統自動關閉計算機，重新開機後到另一個硬碟系統。
安裝簡單，維護方便
網路衛士物理隔離卡的安裝並不復雜，在一台工作站PC上選擇一個PCI插槽插上隔離卡，卡上的控制線和兩個硬碟相連接，具有安裝網卡經驗的人員經過簡單的培訓即可順利安裝、維護。
使用范圍廣泛
本產品適用於政府機關、金融機構、部隊、企業單位、個人等需接入互聯網而又需要保護本地操作系統，及保護本地數據資源的一切個人電腦。
廣泛適用於Win98、win2000、WIN XP等各種操作系統。

產品功能及性能
網路衛士隔離卡是一種功能相對簡單又較為經濟的隔離產品，作為一個優秀的雙硬碟物理隔離產品系列，本產品已具備同類產品中最高的技術和性能。
本產品是PC機的硬體插卡，它插在PCI插槽上，卡上有三個電源介面，分別與主機電源、內網硬碟電源介面及外網硬碟電源介面相連接。內外網硬碟各自安裝獨立的操作系統，分別與內外網相對應。卡上還有內外網路線纜介面用於連接內外網路介面的通斷。在同一時間內只有一個硬碟供電並與相應的網路接通，另外一個硬碟不供電，其對應的網路也切斷，實現內外網路徹底的物理隔離。
純硬體設計，真正實現物理隔離。當網路衛士物理隔離卡處於內網狀態向外網切換時NetGuard 會自動檢測軟盤驅動器是否有軟盤存在，若驅動器中有軟盤存在，則給出警告不能切換並且返回，取出軟盤後方可進行網路切換。這就防止了在內網狀態下軟盤中數據被外網訪問的可能。
隔離卡與計算機通過串列口通訊，控製程序對計算機串列口具有自適應性，可選擇任意一個串列口安裝和使用，更換串列口需要重新配置；
一台計算機實現兩台計算機的功能，兩套系統共享除硬碟以外的所有設備，可節省大量投資和辦公場地。
網路衛士安全隔離解決方案
針對政府部門對於內外網路必須達到物理隔離的要求，我們特提出以下解決方案：在原基礎上安裝第二塊硬碟，通過安裝使用網路衛士隔離卡，使每塊硬碟專用於某個網路，而與另一塊硬碟及網路是完全物理隔離的。

產 品 使 用 指 南
一、 系統要求
1、 在具有一塊硬碟的基礎上再加裝一塊硬碟，這兩塊硬碟需安裝有自己獨立的Win98/2000Professial/WinXP等操作系統，並安裝軟體NetGuard。
2、 進行網路切換時系統要通過串列口（COM1/COM2)發送指令到網路衛士物理隔離卡，因此在系統中，要確定和網路衛士物理隔離卡相連接的串列口COM1或COM2未被佔用。
二、 安裝
1、硬體安裝
（1)關掉電源,打開機箱；
（2)將網路衛士隔離卡插在PCI槽上（只起到對隔離卡的固定作用，不從PCI插槽取電，不佔用系統中斷資源，不影響啟動速度）；
（3)把內、外網線，對照卡上網線介面相連接，（內網線為標識為LAN的插槽，外網為標識為INTRNET的插槽，CARD插槽與網卡用藍色網線相連)。
（4)用灰色通訊線將卡上串口與PC機上的通訊串口相連。
（5)內、外網硬碟及PC機電源線與卡上相對應的電源線序連接。
2、軟體安裝
在兩塊不同的硬碟上分別安裝網路衛士切換軟體。
具體安裝方法如下：
●雙擊『我的電腦』裡面的光碟機盤符，找到與當前系統對應的切換軟體文件夾，雙擊里邊的SETUP.EXE文件開始安裝，連續選擇「NEXT」按鈕，最後選擇「FINISH」完成安裝。
●不需要時可從「控制面板」中的「添加/刪除程序」中卸載。
三、 使用說明

在Windows系統桌面上點擊「網路衛士」圖標 即可打開網路衛士切換軟體。只需用滑鼠雙擊選擇要切換到的網路按鈕，系統將自動關閉計算機，重新開機後自動轉換為對應的網路狀態。

網路衛士物理隔離卡與其它網路安全方法的比較

保護網路安全的方法 安全隔離性能 比較結果
1．配置兩台電腦，分別接上內部區域網和公眾網 可靠，符合國家有關網路
安全的規定 1． 使用不方便。
2． 投資成本巨大、浪費資源。
3． 網路設置復雜、維護難度大。
4． 佔用更多的辦公空間。
2．採用代理伺服器和防火牆技術 不可靠、不符合國家有關
網路安全隔離的規定 1． 投資成本大。
2． 即使是我國自主開發的防火牆產品，只要
CPU、操作系統是國外，安全程度亦難以保證。
3．安全隔離專用計算機 可靠、符合國家有關網路
安全隔離的規定 1． 重新購置該計算機，增加投資。
2． 單位現有的計算機造成浪費。
3． 一套機箱內二套設備, 技術上不合理。
4． 兼容機性能不穩定,價格高。
4．網路物理隔離卡 採用符合國家規定的物
理隔離法，安全可靠 1． 在原有設備上引入，不需增加太多投資。

2． 無需重新購買電腦設備，不佔用原有的辦公空間。

3． 純硬體設計，操作使用簡單、安全、可靠。 具體的可以看 http://forum.chinesehonker.org/thread-6486-1-1.html

㈡ 網路安全

你這個問題有點難度，不是專業級的人士怕很難答出來。應該找一個專門學計算機高等級專業的同事或朋友咨詢一下，也可以咨詢一下高等院校計算機專業的教授或老師，他們應該能給你一個滿意的答復。

㈢ 淺說計算機網路安全技術的幾點問題

淺說計算機網路安全技術的幾點問題

【摘要】本文針對網路安全的三種技術方式進行說明，比較各種方式的特色以及可能帶來的安全風險或效能損失，並就信息交換加密技術的分類作以分杌針對PKI技術這一信息安全核心技術，論述了其安全體系的構成。

【關鍵詞】網路安全 防火牆 加密枝術 PKI技術

隨著計算機網路技術的飛速發展，尤其是互聯網的應用變得越來越廣泛，網路的開放性和自由性也產生了私有信息和數據被破壞或侵犯的可能性，網路信電的安全性變得日益重要起來，已被各個領域所重視。計算機網路安全從技術上來說，主要由防病毒、防火牆等多個安全組件組成，一個單獨的組件無法確保網路信息的安全性。目前廣泛運用和比較成熟的網路安全技術主要有：防火牆技術、數據加密技術、PKI技術等，以下就此幾項技術分別進行分析。

一、防火牆技術

防火牆是指一個由軟體或和硬體設備組合而成，處於企業或網路群體計算機與外界通道之間，限制外界用戶對內部網路訪問及管理內部用戶訪問外界網路的許可權。防火牆是網路安全的屏障，配置防火牆是實現網路安全最基本、最經濟、最有效的安全措施之一。當一個網路接上Internet之後，系統的安全除了考慮計算機病毒、系統的健壯性之外，更主要的是防止非法用戶的入侵，而目前防止的措施主要是靠防火牆技術完成。防火牆能極大地提高一個內部網路的安全性，並通過過濾不安全的服務而降低風險。通過以防火牆為中心的安全方案配置，能將所有安全軟體配置在防火牆上。其次對網路存取和訪問進行監控審計。如果所有的訪問都經過防火牆，那麼，防火牆就能記錄下這些訪問並做出日誌記錄，同時也能提供網路使用情況的統計數據。

當發生可疑動作時，防火牆能進行適當的報警，並提供網路是否受到監測和攻擊的詳細信息。再次防止內部信息的外泄。利用防火牆對內部網路的劃分，可實現內部網重點網段的隔離，從而降低了局部重點或敏感網路安全問題對全局網路造成的影響。

二、數據加密技術

與防火牆相比，數據加密技術比較靈活，更加適用於開放的網路。數據加密主要用於對動態信息的保護，對動態數據的攻擊分為主動攻擊和被動攻擊。對於主動攻擊，雖無法避免，但卻可以有效地檢測;而對於被動攻擊，雖無法檢測，但卻可以避免，實現這一切的基礎就是數據加密。數據加密技術分為兩類：即對稱加密和非對稱加密。

1.對稱加密技術

對稱加密是常規的以口令為基礎的技術，加密密鑰與解密密鑰是相同的，或者可以由其中一個推知另一個，這種加密方法可簡化加密處理過程，信息交換雙方都不必彼此研究和交換專用的加密演算法。如果在交換階段私有密鑰未曾泄露，那麼機密性和報文完整性就可以得以保證。目前，廣為採用的一種對稱加密方式是數據加密標准DES，DES的成功應用是在銀行業中的電子資金轉賬(EFT)領域中。

2.非對稱加密/公開密鑰加密

在非對稱加密體系中，密鑰被分解為一對(即公開密鑰和私有密鑰)。這對密鑰中任何一把都可以作為公開密鑰通過非保密方式向他人公開，而另一把作為私有密鑰加以保存。公開密鑰用於加密，私有密鑰用於解密，私有密鑰只能有生成密鑰的交換方掌握，公開密鑰可廣泛公布，但它只對應於生成密鑰的交換方。非對稱加密方式可以使通信雙方無須事先交換密鑰就可以建立安全通信，廣泛應用於身份認證、數字簽名等信皂交換領域。

三、PKI技術

PKI(Publie Key Infrastucture)技術就是利用公鑰理論和技術建立的提供安全服務的基礎設施。PKI技術是信息安全技術的核心，也是電子商務的關鍵和基礎技術。由於通過網路進行的電子商務、電子政務、電子事務等活動缺少物理接觸，因此使得用電子方式驗證信任關系變得至關重要。而PKI技術恰好是一種適合電子商務、電子政務、電子事務的密碼技術，他能夠有效地解決電子商務應用中的機密性、真實性、完整性、不可否認性和存取控制等安全問題。一個實用的PKI體系應該是安全的易用的、靈活的和經濟的。它必須充分考慮互操作性和可擴展勝。

1.認證機構

CA(Certification Authorty)就是這樣一個確保信任度的權威實體，它的主要職責是頒發證書、驗證用戶身份的真實性。由CA簽發的網路用戶電子身份證明一證書，任何相信該CA的人，按照第三方信任原則，也都應當相信持有證明的'該用戶。cA也要採取一系列相應的措施來防止電子證書被偽造或篡改。

2.注冊機構

RA(Registration Authorty)是用戶和CA的介面，它所獲得的用戶標識的准確性是CA頒發證書的基礎。RA不僅要支持面對面的登記，也必須支持遠程登記。要確保整個PKI系統的安全、靈活，就必須設計和實現網路化、安全的且易於操作的RA系統。

3.密鑰備份和恢復

為了保證數據的安全性，應定期更新密鑰和恢復意外損壞的密鑰是非常重要的，設計和實現健全的密鑰管理方案，保證安全的密鑰備份、更新、恢復，也是關繫到整個PKI系統強健眭、安全性、可用性的重要因素。

4.證書管理與撤消系統

證書是用來綁定證書持有者身份和其相應公鑰的。這種綁定在已頒發證書的整個生命周期里是有效的。但是，有時也會出現一個已頒發證書不再有效的情況，這就需要進行證書撤消。證書撤消的理由是各種各樣的，可能包括工作變動到對密鑰懷疑等一系列原因。證書撤消系統的實現是利用周期性的發布機制撤消證書或採用在線查詢機制，隨時查詢被撤消的證書。

四、結束語

網路安全是一個涉及技術、管理、使用等許多方面，既包括信息系統本身的安全問題，也有物理的和邏輯的技術措施，只有嚴格的保密政策、明晰的安全策略才能完好、實時地保證信息的完整性和確證性，為網路提供強大的安全服務。

㈣ 怎麼實現內外網的完全隔離

可以安裝物理安全隔離網閘設備進行內外網隔離。物理安全隔離網閘是一種由帶有多種控制功能專用硬體在電路上切斷網路之間的鏈路層連接，並能夠在網路間進行安全適度的應用數據交換的網路安全設備。

這個設備主要用來解決網路安全問題的，尤其是在那些需要絕對保證安全的保密網，專網和特種網路與互聯網進行連接時，用來防止來自互聯網的攻擊和保證這些高安全性網路的保密性、安全性、完整性。

(4)網路安全通道獨立擴展閱讀：

安全隔離網閘的原理

網閘是使用帶有多種控制功能的固態開關讀寫介質連接兩個獨立主機系統的信息安全設備。

由於物理隔離網閘所連接的兩個獨立主機系統之間，不存在通信的物理連接、邏輯連接、信息傳輸命令、信息傳輸協議，不存在依據協議的信息包轉發，只有數據文件的無協議"擺渡"，且對固態存儲介質只有"讀"和"寫"兩個命令。

所以，物理隔離網閘從物理上隔離、阻斷了具有潛在攻擊可能的一切連接，使"黑客"無法入侵、無法攻擊、無法破壞，實現了真正的安全。

參考資料來源：網路--網閘

參考資料來源：網路--物理隔離

㈤ 什麼是網路安全，為何要注重網路安全

」
網路安全，通常指計算機網路的安全，實際上也可以指計算機通信網路的安全。計算機通信網路是將若乾颱具有獨立功能的計算機通過通信設備及傳輸媒體互連起來，在通信軟體的支持下，實現計算機間的信息傳輸與交換的系統。而計算機網路是指以共享資源為目的，利用通信手段把地域上相對分散的若干獨立的計算機系統、終端設備和數據設備連接起來，並在協議的控制下進行數據交換的系統。計算機網路的根本目的在於資源共享，通信網路是實現網路資源共享的途徑，因此，計算機網路是安全的，相應的計算機通信網路也必須是安全的，應該能為網路用戶實現信息交換與資源共享。下文中，網路安全既指計算機網路安全，又指計算機通信網路安全。
安全的基本含義：客觀上不存在威脅，主觀上不存在恐懼。即客體不擔心其正常狀態受到影響。可以把網路安全定義為：一個網路系統不受任何威脅與侵害，能正常地實現資源共享功能。要使網路能正常地實現資源共享功能，首先要保證網路的硬體、軟體能正常運行，然後要保證數據信息交換的安全。從前面兩節可以看到，由於資源共享的濫用，導致了網路的安全問題。因此網路安全的技術途徑就是要實行有限制的共享。
為什麼信息網路安全如此受到重視？
現在是互聯網電子時代，大家的信息都放在網路上。而隨著互聯網技術的發展，黑客侵襲系統也越來越嚴重。如果個人信息泄露，被不法分子利用來欺騙、敲詐信息被泄露者，那是一件危害很大的事情。
企業的信息網路安全同樣重要。企業的信息不管是私密文件還是同事間的文件傳遞都離不開網路。如果是對手侵入企業系統，得知企業計劃或者是招標之類的，那麼企業很有可能因為這一個重要信息的泄露導致企業的損失。
網路信息安全是一種基礎安全。隨著社會信息化程度的日益加深，無論是人們社會生產和生活的各種活動，還是國家機關、各種企業事業組織履行社會管理、提供社會服務以及自身的正常運轉，都越來越緊密地與計算機、信息網路結合在一起；無論是經濟社會發展，還是國家政治外交、國防軍事等活動，都越來越依賴於龐大而脆弱的計算機網路信息系統。如今，網路信息系統已經成為一切政治、經濟、文化和社會活動的基礎平台和神經中樞，如果一個國家的金融通信、能源交通、國防軍事等關系國計民生和國家核心利益的關鍵基礎設施所依賴的網路信息系統遭到破壞，處於無法運轉或失控狀態，將可能導致國家金融體系癱瘓、通訊系統中斷、國防能力嚴重削弱，甚至引起政治動盪、經濟崩潰、社會秩序混亂、國家面臨生存危機等嚴重後果。
網路信息安全還是一種整體安全，網路中的不管是哪個環節都可以影響到網路信息安全。這就好比是木桶效應，最短的那段是最不能受到忽視的，所以信息網路安全也要注重最薄弱的安全水平。
信息網路安全收到重視，也在促進著網路信息技術的發展進步。信息網路安全收到國家重視，就會有越來越多的精力和人才投入到信息網路安全，所以信息網路安全的技術會不斷得到創新。現在的信息網路安全只是暫時的安全，這也在促進著網路信息技術的不斷發展。所以在未來信息網路安全會更加受到重視，而我們的個人信息加密也會越來越好。那種信息泄露導致的事故也會越來越少發生。
通過上述介紹，什麼是網路安全，以及為什麼信息網路安全如此受到重視的信息，相信大家已經清楚了吧，想了解更多關於網路安全的信息，請繼續關注中培教育。
「
-來自網路，侵刪

㈥ 如何實現內網與外網的有效隔離

5月5日 23:04 保密要求比較高的場所可以使用物理隔離卡，有現成的產品賣
有如下品牌
· 易思克
· 偉思
· XWELL
· 宙斯盾
· HARD LINK
· 中孚
· 聯想
· 圖文
· 威訊

關於物理隔離

如今，我們已越來越發覺，我們必須聯結網路，無論是Internet、www、電子郵件等等，"聯結"令我們受益匪淺，當你已進入了互聯網時代，你將很難再離開網路，但與此同時，我們也正受到日益嚴重的來自網路的安全威脅，諸如網路的數據竊賊、黑客的侵襲、病毒發布者，甚至系統內部的泄密者。
盡管我們正在廣泛地使各種復雜的軟體技術，如防火牆、代理伺服器、侵襲探測器、通道控制機制，但是由於這些技術都是基於軟體的保護，是一種邏輯機制，這對於邏輯實體（即黑客或內部用戶）而言是可能被操縱的，即由於這些技術的極端復雜性與有限性，這些在線分析技術無法提供某些組織（如軍隊、軍工、政府、金融、研究院、電信以及企業）提出的高度數據安全要求。
基於安全官員的立場"如果不存在與網路的物理聯接，網路安全威脅便受到了真正的限制"，以及我國《計算機信息系統國際聯網保密管理規定》中第六條規定"涉及國家秘密的計算機信息系統，不得直接或間接地與國際互聯網或其它公共信息網路相聯接，必須實行物理隔離"，基於上述政策與規定，我們開發出了這一全新的網路安全技術--網路安全物理隔離技術，以及實現這一技術功能的產品--偉思信安網路安全隔離卡。

技術原理

網路安全隔離卡的功能即是以物理方式將一台PC虛擬為兩個電腦，實現工作站的雙重狀態，既可在安全狀態，又可在公共狀態，兩個狀態是完全隔離的，從而使一部工作站可在完全安全狀態下聯結內、外網。 網路安全隔離卡實際是被設置在PC中最低的物理層上，通過卡上一邊的IDE匯流排聯結主板，另一邊聯結IDE硬碟，內、外網的聯接均須通過網路安全隔離卡，PC機硬碟被物理分隔成為兩個區域，在IDE匯流排物理層上，在固件中控制磁碟通道，在任何時候，數據只能通往一個分區。

圖1

在安全狀態時，主機只能使用硬碟的安全區與內部網聯結，而此時外部網（如Internet）聯接是斷開的，且硬碟的公共區的通道是封閉的。
在公共狀態時，主機只能使用硬碟的公共區，可以與外部網聯結，而此時與內部網是斷開的，且硬碟安全區也是被封閉的。

轉換便捷

當兩種狀態轉換時，是通過滑鼠點擊操作系統上的切換鍵，即進入一個熱啟動過程，切換時，系統通過硬體重啟信號重新啟動，這樣，PC的內存所有數據被消除，兩個狀態分別是有獨立的操作系統，並獨立導入，兩個硬碟分區不會同時激活。

數據交換

為了安全的保證，兩個分區不能直接交換數據，但是用戶可以通過我們的一個獨特的設計，來安全方便地實現數據交換，即在兩個分區以外，網路安全隔離在硬碟上另外設置了一個功能區，功能區在PC處於不同的狀態下轉換，即在兩個狀態下，功能區均表現為硬碟的D盤，各個分區可以通過功能區作為一個過渡區來交換數據。當然根據用戶需要，也可創建單向的安全通道，即數據只能從公共區向安全區轉移，但不能逆向轉移，從而保證安全區的數據安全。

安全區控制

基於安全威脅來自內外兩方面的關系，即除了外來的黑客攻擊、病毒發布以外，系統內部有意或無意的泄密，也是必須防止的威脅。因此，網路安全隔離卡可以對安全區作只讀控制，即可禁止內部使用者以軟碟機、光碟機復制數據或纂改安全區的數據。

技術的廣泛應用

由於網路安全隔離卡是控制主IDE匯流排，在PC機硬體最底層的基礎上，因此廣泛支持幾乎所有奔騰以及奔騰兼容晶元。
由於網路安全隔離卡是完全獨立於操作系統的，因此也支持幾乎所有主流的操作系統。 網路安全隔離卡對網路技術和協議完全透明，因此，對目前主要協議廣泛支持，如乙太網、快速乙太網、令牌環行網、光纖、ATM、ISDN、ADSL。

安裝與使用

網路安全隔離卡的安裝並不復雜，一般情況，並不需要改變用戶原有的網路結構，安裝人員的技術水平要求相當安裝普通網卡的水平。 安裝網路安全隔離卡，一般情況下，不必因為擔心丟失數據，而去復制硬碟上數據。 用戶的使用也只須接受簡單的培訓，不存在日後的維護問題。

適用范圍與政府論證

基於國家有關保密的規定，偉思的網路安全物理隔離技術，正完全符合這一點。因此，本技術適用於幾乎所有既要求十分嚴格的數據安全，同時又期望接入互聯網的各類機構，諸如政府機關、軍事機構、金融、電信、科研院校及大型企業等等。 偉思的"網路安全隔離卡"與"網路安全隔離集線器"已通過國家公安部和國家信息安全評測認證中心等國家權威機構的認證，並已具備了相關的產品證書。
如需要了解更多資料，歡迎到<技術支持>欄目的下載區下載本產品的詳細資料或聯系我們。

㈦ 誰有關於網路安全地資料啊

網路安全復習資料
第1-2章
1、 計算機網路定義（P1）
答：凡將地理位置不同的具有獨立功能的計算機系統通過學習設備和通信線路連接起來，在網路軟體支持下進行數據通信，資源共享和協同工作的系統。

2、 網路安全的五個屬性（P2）
答：1、可用性。 可用性是指得到授權的屍體在需要時可以使用所需要的網路資源和服務。
2、機密性。 機密性是指網路中的信息不被非授權實體（包括用戶和進程等）獲取與使用。
3、完整性。 完整性是指網路真實可信性，即網路中的信息不會被偶然或者蓄意地進行刪除、修改、偽造、插入等破壞，保證授權用戶得到的信息是真實的。
4、可靠性。 可靠性是指系統在規定的條件下和規定的時間內，完成規定功能的概率。
5、不可抵賴性。 不可抵賴性也稱為不可否認性。是指通信的雙方在通信過程中，對於自己所發送或接受的消息不可抵賴。

3、 網路安全威脅定義（P2）
答：所謂網路安全威脅是指某個實體（人、時間、程序等）對某一網路資源的機密性、完整性、可用性及可靠性等可能造成的危害。

4、 哪種威脅是被動威脅（P3）
答：被動威脅只對信息進行監聽，而不對其修改和破壞。

5、 安全威脅的主要表現形式（P4）
答：授權侵犯：為某一特定目標的被授權使用某個系統的人，將該系統用作其他未授權的目的。
旁路控制：攻擊者發掘系統的缺陷或佔全弱點，從而滲入系統。
拒絕服務：合法訪問被無條件拒絕和推遲。
竊聽：在監視通信的過程中獲得信息。
電磁泄露：信息泄露給未授權實體。
完整性破壞：對數據的未授權創建、修改或破壞造成數據一致性損害。
假冒：一個實體假裝成另外一個實體。
物理入侵：入侵者繞過物理控制而獲得對系統的訪問權。
重放：出於非法目的而重新發送截獲的合法通信數據的拷貝。
否認：參與通信的一方時候都認曾經發生過此次通信。
資源耗盡：某一資源被故意超負荷使用，導致其他用戶的服務被中斷。
業務流分析：通過對業務流模式進行觀察（有、無、數量、方向、頻率），而使信息泄露給未授權實體。
特洛伊木馬：含有覺察不出或無害程序段的軟體，當他被運行時，會損害用戶的安全。
陷門：在某個系統或文件中預先設置的「機關」，使得當提供特定的輸入時，允許違反安全策略。
人員疏忽：一個授權的人出於某種動機或由於粗心講信息泄露給未授權的人。

6、 什麼是重放（P4）
答：出於非法目的而重新發送截獲的合法通信數據的拷貝。

7、 什麼是陷門（P4）
答：在某個系統或文件中預先設置的「機關」，使得當提供特定的輸入時，允許違反安全策略。

8、 網路安全策略包括哪4方面（P6）
答：物理安全策略、訪問控制策略、信息加密策略、安全管理策略。

9、 安全訪問策略就是一組用於確認主體是否對客體具有訪問許可權的規則。

10、 P2DR模型的4部分，它的基本思想（P8）
答：P2DR模型包括4個主要部分，分別是：Policy—策略，Protection—保護，Detection—檢測，Response—響應。
P2DR模型的基本思想是：一個系統的安全應該在一個統一的安全策略的控制和指導下，綜合運用各種安全技術（如防火牆、操作系統身份認證、加密等手段）對系統進行保護，同時利用檢測工具（如漏洞評估、入侵檢測等系統）來監視和評估系統的安全狀態，並通過適當的響應機制來將系統調整到相對「最安全」和「風險最低」的狀態。

11、 PDRR模型的4部分（P10）
答：Protection（防護）、Detection（檢測）、Response（響應）、Recovery（恢復）。

12、 TCP/IP參考模型，各層的名稱、作用、主要協議（P16）
答：TCP/IP參考模型共有四層，從上至下分別為：應用層、傳輸層、網路層及網路介面層。
（1）、應用層：大致對應OSI的表示層、會話層、應用層，是TCP/IP模型的最上層，是面向用戶的各種應用軟體，是用戶訪問網路的界面，包括一些想用戶提供的常用應用程序，如電子郵件、Web瀏覽器、文件傳輸、遠程登錄等，也包括用戶在傳輸層智商建立的自己應用程序。
（2）、傳輸層：對應OSI的傳輸層。負責實現源主機和目的主機上的實體之間的通信。它提供了兩種服務：一種是可靠的、面向連接的服務（TCP協議）；一種是無連接的數據報服務（UDP協議）。為了實現可靠傳輸，要在會話時建立連接，對數據進行校驗和手法確認，通信完成後再拆除連接。
（3）、網路層：對應OSI的網路層，負責數據包的路由選擇功能，保證數據包能順利到達指定的目的地。一個報文的不同分組可能通過不同的路徑到達目的地，因此要對報文分組加一個順序標識符，以使目標主機接受到所有分組後，可以按序號將分組裝配起來，恢復原報文。
（4）、網路介面層：大致對應OSI的數據鏈路層和物理層，是TCP/IP模型的最低層。它負責接受IP數據包並通過網路傳輸介質發送數據包。

13、 常用網路服務有哪些，它們的作用。（P35）
答：（1）、Telnet：Telnet是一種網際網路遠程終端訪問服務。它能夠以字元方式模仿遠程終端，登錄遠程伺服器，訪問伺服器上的資源。
（2）、FTP：文件傳輸協議FTP的主要作用就是讓用戶連接上一個遠程計算機（這些計算機上運行著FTP伺服器程序）查看遠程計算機有哪些文件，然後把文件從遠程計算機上下載到本地計算機，或把本地計算機的文件上傳到遠程計算機去。
（3）、E-Mail：它為用戶提供有好的互動式界面，方便用戶編輯、閱讀、處理信件。
（4）、WWW：用戶通過瀏覽器可以方便地訪問Web上眾多的網頁，網頁包含了文本、圖片、語音、視頻等各種文件。
（5）、DNS：用於實現域名的解析，即尋找Internet域名並將它轉化為IP地址。

14、 安全訪問策略就是一組用於確認主體是否對客體具有訪問許可權的規則。
答：

15、 IP頭結構（P31）
答：IP頭+數據，IP頭有一個20位元組的固定長度部分和一個可選任意長度部分。

16、 TCP頭結構（P33）
答：埠源，目的埠，順序號，確認號，頭長度

17、 ping 指令的功能（P41）
答：ping命令用來檢測當前主機與目的主機之間的連通情況，它通過從當前主機向目的主機發送ICMP包，並接受應答信息來確定兩台計算機之間的網路是否連通，並可顯示ICMP包到達對方的時間。當網路運行中出現故障時，利用這個實用程序來預測故障和確定故障源是非常有效的。

18、 ftp命令中上傳和下載指令分別是什麼。（P48）
答：put：上傳文件到遠程伺服器。
get：下載文件到本地機器。

19、 怎麼利用Tracert指令來確定從一個主機到其他主機的路由。（P44）
答：通過向目標發送不同IP生存時間值的ICMP數據包，Tracert診斷程序確定到目標所採取的路由。

第3-4章
20、 什麼是基於密鑰的演算法（P52）
答：密碼體制的加密、解密演算法是公開的，演算法的可變參數（密鑰）是保密的，密碼系統的安全性僅依賴於密鑰的安全性，這樣的演算法稱為基於密鑰的演算法。

21、 什麼是對稱加密演算法、非對稱加密演算法（P54）
答：對稱加密演算法（Synmetric Algorithm），也稱為傳統密碼演算法，其加密密鑰與解密密鑰相同或很容易相互推算出來，因此也稱之為秘密密鑰演算法或單鑰演算法。
非對稱演算法（Asynmetric Algorithm）也稱公開密鑰演算法（Public Key Algorithm），是Whifield Diffie和Martin Hellman於1976年發明的，Ralph Merkle 也獨立提出了此概念。

22、 對DES、三重DES進行窮舉攻擊，各需要多少次。（P68）
答： 2的112平方 和2的64平方 （數學表達方式）

23、 給定p、q、e、M，設計一個RSA演算法，求公鑰、私鑰，並利用RSA進行加密和解密（P74）
答：公鑰：n=P*q e=（p-1）（q-1）私鑰d：e『e右上角有個-1』（（mod（p-1）（q-1）））加密c=m『右上角有e』（mod n） 解密 m=c『右上角有d』（mod n）

24、 使用對稱加密和仲裁者實現數字簽名的步驟（P87）
答：A用Kac加密准備發給B的消息M，並將之發給仲裁者，仲裁者用Kac解密消息，仲裁者把這個解密的消息及自己的證明S用Kac加密，仲裁者把加密消息給B，B用於仲裁者共享的密鑰Kac解密收到的消息，就可以看到來自於A的消息M來自仲裁者的證明S。

25、 使用公開密鑰體制進行數字簽名的步驟（P88）
答：A用他的私人密鑰加密消息，從而對文件簽名；A將簽名的消息發送給B；B用A的公開密鑰解消息，從而驗證簽名。

26、 使用公開密鑰體制與單向散列函數進行數字簽名的步驟（P89）
答：A使消息M通過單向散列函數H，產生散列值，即消息的指紋或稱消息驗證碼，A使用私人密鑰對散列值進行加密，形成數字簽名S，A把消息與數字簽名一起發給B，B收到消息和簽名後，用A的公開密鑰解密數字簽名S，再用同樣的演算法對消息運算生成算列值，B把自己生成的算列值域解密的數字簽名相比較。看是否匹配，從而驗證簽名。

27、 Kerberos定義。（P89）
答：Kerberos是為了TCP/IP網路設計的基於對稱密碼體系的可信第三方鑒別協議，負責在網路上進行可信仲裁及會話密鑰的分配。

28、 PKI定義（P91）
答：PLI就是一個用公鑰概念和技術實現的，為網路的數據和其他資源提供具有普適性安全服務的安全基礎設施。所有提供公鑰加密和數字簽名服務的系統都可以叫做PKI系統。

第5-7章
29、 Windows 2000 身份認證的兩個過程是（P106）
答：互動式登錄和網路身份認證。

30、 Windows 2000中用戶證書主要用於驗證消息發送者的SID（P107）

31、 Windows 2000安全系統支持Kerberos V5、安全套接字層/傳輸層安全（SSL/TLS）和NTLM三種身份認證機制（P107）

32、 Windows 2000提供哪些功能確保設備驅動程序和系統文件保持數字簽名狀態（P109）
答：Windows文件保護，系統文件檢查程序，文件簽名驗證。

33、 WINDOWS主機推薦使用的文件系統格式是NTFS

34、 使用文件加密系統對文件進行解密的步驟。（P113）
答：要解密一個文件，首先要對文件加密密鑰進行解密，當用戶的私鑰與這個公鑰匹配時，文件加密密鑰進行解密，用戶並不是唯一能對文件加密密鑰進行解密的人，當文件加密密鑰被解密後，可以被用戶或恢復代理用於文件資料的解密。

35、 常見的Web服務安全威脅有哪些（P128）
答：（1）、電子欺騙：是指以未經授權的方式模擬用戶或進程。
（2）、篡改：是指在未經授權的情況下更改或刪除資源。
（3）、否認：否認威脅是指隱藏攻擊的證據。
（4）、信息泄露：僅指偷竊或泄露應該保密的信息。
（5）、拒絕服務：「拒絕服務」攻擊是指故意導致應用程序的可用性降低。
（6）、特權升級：是指使用惡意手段獲取比正常分配的許可權更多的許可權。

36、 CGI提供了動態服務，可以在用戶和Web伺服器之間互動式通信(P129)

37、 JavaScript存在的5個主要的安全漏洞。（P131）
答：（1）、JavaScript可以欺騙用戶，將用戶的本地硬碟上的文件上載到Intemet上的任意主機。
（2）、JavaScript能獲得用戶本地硬碟上的目錄列表，這既代表了對隱私的侵犯又代表了安全風險。
（3）、JavaScript能監視用戶某時間內訪問的所有網頁，捕捉URL並將它們傳到Internet上的某台主機中。
（4）、JavaScript能夠觸發Netscape Navigator送出電子郵件信息而不需經過用戶允許。
（5）、嵌入網頁的JavaScript代碼是功蓋的，缺乏安全保密功能。

38、 什麼是Cookies，使用Cookies有什麼安全隱患。(P132)
答：Cookies是Netscape公司開發的一種機制，用來改善HTTP協議的無狀態性。

39、 IIS的安全配置主要包括哪幾個內容（P133）
答：（1）、刪除不必要的虛擬目錄。
（2）、刪除危險的IIS組件。
（3）、為IIS中的文件分類設置許可權。
（4）、刪除不必要的應用程序映射。
（5）、保護日誌安全。

40、 SSL結構，包括SSL協議的層次，主要作用(P142)
答：SSL協議位於TCP/IP協議與各種應用層協議之間，為數據通訊提供安全支持。SSL協議可分為兩層： SSL記錄協議（SSL Record Protocol）：它建立在可靠的傳輸協議（如TCP）之上，為高層協議提供數據封裝、壓縮、加密等基本功能的支持。 SSL握手協議（SSL Handshake Protocol）：它建立在SSL記錄協議之上，用於在實際的數據傳輸開始前，通訊雙方進行身份認證、協商加密演算法、交換加密密鑰等。 SSL協議提供的服務主要有： 1）認證用戶和伺服器，確保數據發送到正確的客戶機和伺服器； 2）加密數據以防止數據中途被竊取； 3）維護數據的完整性，確保數據在傳輸過程中不被改變。

41、 SSL會話通過握手協議來創建（P143）

42、 什麼是SET，它主要提供哪三種服務（P153）
答：SET本身不是支付系統，而使一個安全協議和規范的集合，是使用戶能夠在網路上以一種安全的方式應用信用卡支付的基礎設施。
主要提供的三種服務：（1）、在參與交易的各方之間提供安全的通信通道。
（2）、使用X.509v3證書為用戶提供一種信任機制。
（3）、保護隱私信息，這些信息只有在必要的時間和地點才可以由當事人雙方使用。

43、 SET的參與者（P154）
答：（1）、持卡人（顧客）。 （2）、商家。 （3）、發卡機構。 （4）、代理商。 （5）、支付網關。 （6）、證書權威。

44、 SET協議使用SHA-1散列碼和RSA數字簽名來提供消息完整性（P154）

45、 SET協議使用X.509v3和RSA數字簽名來提供持卡人賬戶認證（P154）

46、 雙重簽名機制的主要特點：雙重簽名機制可以巧妙的把發送給不同接受者的兩條消息聯系起來，而又很好的保護了消費者的隱私（P155）

47、 電子郵件不是一種「端到端」的服務，而是被稱為「存儲轉發」服務。（P157）

48、 郵件網關的功能（P158）
答：（1）、預防功能。能夠保護機密信息，防止郵件泄密造成公司的損失，用戶可以理由郵件的接收者、發送者、標題、附件和正文來定製郵件的屬性。
（2）、監控功能。快速識別和監控無規則的郵件，減少公司員工不恰當使用E-mail，防止垃圾郵件阻塞郵件伺服器。
（3）、跟蹤功能。軟體可以跟蹤公司的重要郵件，它可以按接收者、發送者、標題、附件和日期搜索。郵件伺服器可以作為郵件資料庫，可以打開郵件附件也可以存儲到磁碟上。
（4）、郵件備份。可以根據日期和文件做郵件備份，並且可以輸出到便利的存儲器上整理歸檔。如果郵件伺服器出現問題，則郵件備份系統可以維持普通的郵件功能防止丟失郵件。

49、 根據用途，郵件網關可分為哪三種（P158）
答：根據郵件網關的用途可將其分成：普通郵件網關、郵件過濾網關和反垃圾郵件網關。

50、 SMTP協議與POP3協議的區別：SMTP協議用於郵件伺服器之間傳送郵件，POP3協議用於用戶從郵件伺服器上把郵件存儲到本地主機。（P159）
答：

51、 什麼是電子郵件「欺騙」（P161）
答：電子郵件欺騙是在電子郵件中改變名字，使之看起來是從某地或某人發出來的行為。

52、 進行電子郵件欺騙的三種基本方法（P161）
答：（1）、相似的電子郵件地址；
（2）、修改郵件客戶；
（3）、遠程登錄到25埠。

53、 PGP通過使用加密簽字實現安全E-mai（P166）

54、 PGP的三個主要功能（P166）
答：（1）、使用強大的IDEA加密演算法對存儲在計算機上的文件加密。經加密的文件只能由知道密鑰的人解密閱讀。
（2）、使用公開密鑰加密技術對電子郵件進行加密。經加密的電子郵件只有收件人本人才能解密閱讀。
（3）、使用公開密鑰加密技術對文件或電子郵件做數字簽名，鑒定人可以用起草人的公開密鑰鑒別真偽。

第8-10章
55、 防火牆定義（P179）
答：網路術語中所說的防火牆（Firewall）是指隔離在內部網路與外部網路之間的一道防禦系統，它能擋住來自外部網路的攻擊和入侵，保障內部網路的安全。

56、 什麼是數據驅動攻擊（P180）
答：入侵者把一些具有破壞性的數據藏匿在普通數據中傳送到Internet主機上，當這些數據被激活時就會發生數據驅動攻擊。

57、 防火牆的功能（P181）
答：（1）、可以限制未授權用戶進入內部網路，過濾掉不安全服務和非法用戶。
（2）、防止入侵者接近內部網路的防禦設施，對網路攻擊進行檢測和告警。
（3）、限制內部用戶訪問特殊站點。
（4）、記錄通過防火牆的信息內容和活動，為監視Internet安全提供方便。

58、 防火牆應的特性（P181）
答：（1）、所有在內部網路和外部網路之間傳輸的數據都必須通過防火牆。
（2）、只有被授權的合法數據，即防火牆安全策略允許的數據，可以通過防火牆。
（3）、防火牆本身具有預防入侵的功能，不受各種攻擊的影響。
（4）、人機界面良好，用戶配置實用方便，易管理。系統管理員可以方便地對防火牆進行設置，對Internet的訪問者、被訪問者、訪問協議以及訪問方式進行控制。

59、 防火牆的缺點（P182）
答：（1）、不能防範惡意的內部用戶。
（2）、不能防範不通過防火牆的連接。
（3）、不能防範全部的威脅。
（4）、防火牆不能防範病毒。

60、 防火牆技術主要有包過濾防火牆和代理伺服器（P182）

61、 包過濾防火牆的定義（P182）
答：包過濾防火牆又稱網路層防火牆，它對進出內部網路的所有信息進行分析，並按照一定的信息過濾規則對信息進行限制，允許授權信息通過，拒絕非授權信息通過。

62、 包過濾的定義（P183）
答：包過濾（Packet Filtering）急速在網路層中對數據包實施有選擇的通過，依據系統事先設定好的過濾規則，檢查數據流中的每個包，根據包頭信息來確定是否允許數據包通過，拒絕發送可疑的包。

63、 包過濾防火牆的優點（P183）
答：（1）、一個屏蔽路由器能保護整個網路。
（2）、包過濾對用戶透明。
（3）、屏蔽路由器速度快、效率高。

64、 包過濾型防火牆工作在網路層（P183）

65、 三種常見的防火牆體系結構（P187）
答：（1）、雙重宿主主機結構。 （2）、屏蔽主機結構。 （3）、屏蔽子網結構。

66、 屏蔽主機結構由什麼組成（P188）
答：屏蔽主機結構需要配備一台堡壘主機和一個有過濾功能的屏蔽路由器。

67、 分布式防火牆的優點（P192）
答：（1）、增強的系統安全性。
（2）、提高了系統性能。
（3）、系統的擴展性。
（4）、應用更為廣泛，支持VPN通信。

68、 病毒的定義（P199）
答：計算機病毒是指編制或者在計算機程序中插入的破壞計算機功能或者破壞數據，影響計算機使用並且能夠自我復制的一組計算機指令或者程序代碼。

69、 病毒的生命周期（P200）
答：隱藏階段、觸發階段、執行階段。

70、 病毒的特徵（P201）
答：（1）、傳染性：傳染性是病毒的基本特徵。
（2）、破壞性：所有的計算機病毒都是一種可執行程序，而這一執行程序又不然要運行，所以對系統來講，病毒都存在一個共同的危害，即佔用系統資源、降低計算機系統的工作效率。
（3）、潛伏性：一個編制精巧的計算機病毒程序，進入系統之後一般不會馬上發作，可以在幾周或者幾個月內隱藏在合法文件中，對其他系統進行傳染，而不被人發現。
（4）、可執行性：計算機病毒與其他合法程序一樣，是一段可執行性程序，但常常不是一個完整的程序，而使寄生在其他可執行程序中的一段代碼。
（5）、可觸發性：病毒因某個時間或數值的出現，誘使病毒實施感染或進行攻擊的特性稱為可觸發性。
（6）、隱蔽性：病毒一般是具有很高編程技巧、短小精悍的程序。如果不經過代碼分析，感染了病毒的程序與正常程序是不容易區別的。

71、 病毒的分類，蠕蟲病毒屬於一種網路病毒，CIH屬於文件型病毒（P202）

72、 病毒的主要傳播途徑（P203）
答：（1）、通過移動儲存設備來傳播。
（2）、網路傳播。
（3）、無線傳播。

73、 蠕蟲病毒的基本程序結構包括哪些模塊（P209）
答：（1）、傳播模塊：負責蠕蟲的傳播。傳播模塊又可以分為三個基本模塊：掃描模塊、攻擊模塊和復制模塊。
（2）、隱藏模塊：侵入主機後，隱藏蠕蟲程序，防止被用戶發現。
（3）、目的功能模塊：實現對計算機的控制、監視或破壞等功能。

74、 木馬（通過植入用戶的計算機，獲取系統中的有用數據）、蠕蟲（P208）、網頁病毒（P203）各有什麼特點即它們各自定義。
答：木馬：通過植入用戶的計算機，獲取系統中的有用數據。
蠕蟲：是一種通過網路傳播的惡性病毒。
網頁病毒：也稱網頁惡意代碼，是指網頁中JavaApplet，JavaScript或者ActiveX設計的非法惡意程序。

第11-12章
75、 獲取口令的常用方法(P225)
答：（1）、通過網路監聽非法得到用戶口令。
（2）、口令的窮舉攻擊。
（3）、利用系統管理員的失誤。

76、 埠掃描器通常分為哪三類（P227）
答：資料庫安全掃描器、操作系統安全掃描器和網路安全掃描器。

77、 埠掃描技術包括（P228）
答：（1）、TCPconnect()掃描。
（2）、TCP SYN掃描。
（3）、TCP FIN掃描。
（4）、IP段掃描。
（5）、TCP反向ident掃描。
（6）、FTP返回攻擊。
（7）、UDP ICMP埠不能到達掃描。
（8）、ICMP echo掃描。

78、 如何發現Sniffer（P230）
答：（1）、網路通信掉包率特別高。
（2）、網路寬頻出現異常。
（3）、對於懷疑運行監聽程序的主機，用正確的IP地址和錯誤的物理地址去PING，正常的機器不接收錯誤的物理地址，出於監聽狀態的機器能接收，這種方法依賴系統的IPSTACK,對有些系統可能行不通。
（4）、往網上發送大量包含不存在的物理地址的包，由於監聽程序要處理這些包，將導致性能下降，通過比較前後該機器的性能（Icmp Echo Delay等方法）加以判斷。
（5）、另外，目前也有許多探測sniffer的應用程序可以用來幫助探測sniffer，如ISS的anti-Sniffer、Sentinel、Lopht的Antisniff等。

79、 防禦網路監聽的方法（P231）
答：（1）、從邏輯上火物理上對網路分段。
（2）、以交換式集線器代替共享式集線器。
（3）、使用加密技術。
（4）、劃分VLAN。

80、 什麼是拒絕服務攻擊（P233）
答：拒絕服務攻擊是指一個用戶占據了大量的共享資源，使系統沒有剩餘的資源給其他用戶提供服務的一種攻擊方式。

81、 分布式拒絕服務攻擊體系包括哪三層（P234）
答：（1）、攻擊者：攻擊者所用的計算機是攻擊主控台，可以是網路上的任何一台主機，甚至可以是一個活動的便攜機。攻擊者操縱整個攻擊過程，它向主控端發送攻擊命令。
（2）、主控端：主控端是攻擊者非法入侵並控制的一些主機，這些主機還分別控制大量 的代理主機。主控端主機的上面安裝了特定的程序，因此它們可以接受攻擊者發來的特殊指令，並且可以把這些命令發送到代理主機上。
（3）、代理端：代理端同樣也是攻擊者入侵並控制的一批主機，在它們上面運行攻擊器程序，接受和運行主控端發來的命令。代理端主機是攻擊的執行者，由它向受害者主機實際發起進攻。

82、 木馬入侵原理（P236）
配置木馬，傳播木馬，運行木馬，信息泄露，建立連接，遠程式控制制。
83、 入侵檢測定義（P241）
答：入侵檢測（Intrusion Detection）,顧名思義，即是對入侵行為的發覺。進行入侵檢測的軟體與硬體的組合便是入侵檢測系統（Intrusion Detection System,IDS）。

84、 入侵檢測過程包括信息收集和信號分析（P243）

85、 入侵檢測過程中的三種信號分析方法（P243）
答：（1）、模式匹配的方法：模式匹配就是將收集到的信息與已知的網路入侵和系統誤用模式資料庫進行比較，從而發現違背安全策略的行為。這種分析方法也稱為誤用檢測。
（2）、統計分析的方法：統計分析方法首先給系統對象（如用戶、文件、目錄和設備等）創建一個統一描述，統計正常使用時的一些測量屬性（如訪問次數、操作失敗次數和延時等）。
（3）、完整性分析的方法：完整性分析主要關注某個文件或對象是否被更改，這經常包括文件和目錄的內容及屬性的變化。

86、 按照數據來源，入侵檢測系統可分為哪三種（P244）
答：（1）、基於主機的入侵檢測系統。
（2）、基於網路的入侵檢測系統。
（3）、採用上述兩種數據來源的分布式的入侵檢測系統。

87、 什麼是模式匹配方法（P244）
答：模式匹配就是將收集到的信息與已知的網路入侵和系統誤用模式資料庫進行比較，從而發現違背安全策略的行為。這種分析方法也稱為誤用檢測。

88、 基於網路的入侵檢測系統的組成（P246）
答：網路安全資料庫，安全配置機構，探測器，分析引擎。

89、 網路管理有哪五大功能(P258)
答：配置管理（Configuration Management）、性能管理（Performance Management）、故障管理（Fault Management）、計費管理（Accounting Management）、安全管理（Security Management）。

90、 OSI系統的管理結構（P262）
答：管理系統中的代理實現被管理對象的訪問，被管理對象資源的感念性存儲稱為管理信息庫，管理者和代理之間使用OSI通信協議再進行通信，其中CMIP是網路管理的應用層協議，在OSI網路管理中起關鍵作用

91、 TCP/IP網路中應用最為廣泛的網路管理協議是SNMP。(P264)

92、 網路管理體系結構的三種模型（P293）
答：集中式體系結果、分層式體系結構、分布式體系結構。

㈧ 無線區域網中的安全措施

摘要：由於在現在區域網建網的地域越來越復雜，很多地方應用了無線技術來建設區域網，但是由於 無線網路 應用電磁波作為傳輸媒介，因此安全問題就顯得尤為突出。本文通過對危害無線區域網的一些因素的敘述，給出了一些應對的安全 措施 ，以保證無線區域網能夠安全，正常的運行。

關鍵字：WLAN，WEP，SSID，DHCP，安全措施

1、 引言

WLAN是Wireless LAN的簡稱，即無線區域網。所謂無線網路，顧名思義就是利用無線電波作為傳輸媒介而構成的信息網路，由於WLAN產品不需要鋪設通信電纜，可以靈活機動地應付各種網路環境的設置變化。WIAN技術為用戶提供更好的移動性、靈活性和擴展性，在難以重新布線的區域提供快速而經濟有效的區域網接入，無線網橋可用於為遠程站點和用戶提供區域網接入。但是，當用戶對WLAN的期望日益升高時，其安全問題隨著應用的深入表露無遺，並成為制約WLAN發展的主要瓶頸。[1]

2、 威脅無線區域網的因素

首先應該被考慮的問題是，由於WLAN是以無線電波作為上網的傳輸媒介，因此無線網路存在著難以限制網路資源的物理訪問，無線網路信號可以傳播到預期的方位以外的地域，具體情況要根據建築材料和環境而定，這樣就使得在網路覆蓋范圍內都成為了WLAN的接入點，給入侵者有機可乘，可以在預期范圍以外的地方訪問WLAN，竊聽網路中的數據，有機會入侵WLAN應用各種攻擊手段對無線網路進行攻擊，當然是在入侵者擁有了網路訪問權以後。

其次，由於WLAN還是符合所有網路協議的計算機網路，所以計算機病毒一類的網路威脅因素同樣也威脅著所有WLAN內的計算機，甚至會產生比普通網路更加嚴重的後果。

因此，WLAN中存在的安全威脅因素主要是：竊聽、截取或者修改傳輸數據、置信攻擊、拒絕服務等等。

IEEE 802.1x認證協議發明者VipinJain接受媒體采訪時表示：「談到無線網路，企業的IT經理人最擔心兩件事：首先，市面上的標准與安全解決方案太多，使得用戶無所適從；第二，如何避免網路遭到入侵或攻擊？無線媒體是一個共享的媒介，不會受限於建築物實體界線，因此有人要入侵網路可以說十分容易。」[1]因此WLAN的安全措施還是任重而道遠。

3、無線區域網的安全措施

3.1採用無線加密協議防止未授權用戶

保護無線網路安全的最基本手段是加密，通過簡單的設置AP和無線網卡等設備，就可以啟用WEP加密。無線加密協議(WEP)是對無線網路上的流量進行加密的一種標准 方法 。許多無線設備商為了方便安裝產品，交付設備時關閉了WEP功能。但一旦採用這種做法，黑客就能利用無線嗅探器直接讀取數據。建議經常對WEP密鑰進行更換，有條件的情況下啟用獨立的認證服務為WEP自動分配密鑰。另外一個必須注意問題就是用於標識每個無線網路的服務者身份(SSID)，在部署無線網路的時候一定要將出廠時的預設SSID更換為自定義的SSID。現在的AP大部分都支持屏蔽SSID廣播，除非有特殊理由，否則應該禁用SSID廣播，這樣可以減少無線網路被發現的可能。[2]

但是目前IEEE 802.11標准中的WEP安全解決方案，在15分鍾內就可被攻破，已被廣泛證實不安全。所以如果採用支持128位的WEP，解除128位的WEP的是相當困難的，同時也要定期的更改WEP，保證無線區域網的安全。如果設備提供了動態WEP功能，最好應用動態WEP，值得我們慶幸的，Windows XP本身就提供了這種支持，您可以選中WEP選項「自動為我提供這個密鑰」。同時，應該使用IPSec，，SSH或其他

WEP的替代方法。不要僅使用WEP來保護數據。

3.2 改變服務集標識符並且禁止SSID廣播

SSID是無線接人的身份標識符，用戶用它來建立與接入點之間的連接。這個身份標識符是由通信設備製造商設置的，並且每個廠商都用自己的預設值。例如，3COM 的設備都用「101」。因此，知道這些標識符的黑客可以很容易不經過授權就享受你的無線服務。你需要給你的每個無線接入點設置一個唯一並且難以推測的 SSID。如果可能的話。還應該禁止你的SSID向外廣播。這樣，你的無線網路就不能夠通過廣播的方式來吸納更多用戶．當然這並不是說你的網路不可用．只是它不會出現在可使用網路的名單中。[3]

3.3 靜態IP與MAC地址綁定

無線路由器或AP在分配IP地址時，通常是默認使用DHCP即動態IP地址分配，這對無線網路來說是有安全隱患的，「不法」分子只要找到了無線網路，很容易就可以通過DHCP而得到一個合法的IP地址，由此就進入了區域網絡中。因此，建議關閉DHCP服務，為家裡的每台電腦分配固定的靜態IP地址，然後再把這個IP地址與該電腦網卡的MAC地址進行綁定，這樣就能大大提升網路的安全性。「不法」分子不易得到合法的IP地址，即使得到了，因為還要驗證綁定的MAC地址，相當於兩重關卡。[4]設置方法如下：

首先，在無線路由器或AP的設置中關閉「DHCP伺服器」。然後激活「固定DHCP」功能，把各電腦的「名稱」(即Windows系統屬陸里的「計算機描述」)，以後要固定使用的IP地址，其網卡的MAC地址都如實填寫好，最後點「執行」就可以了。

3.4 技術在無線網路中的應用

對於高安全要求或大型的無線網路，方案是一個更好的選擇。因為在大型無線網路中維護工作站和AP的WEP加密密鑰、AP的MAC地址列表都是非常艱巨的管理任務。

對於無線商用網路，基於的解決方案是當今WEP機制和MAC地址過濾機制的最佳替代者。方案已經廣泛應用於Internet遠程用戶的安全接入。在遠程用戶接入的應用中，在不可信的網路(Internet)上提供一條安全、專用的通道或者隧道。各種隧道協議，包括點對點的隧道協議和第二層隧道協議都可以與標準的、集中的認證協議一起使用。同樣，技術可以應用在無線的安全接入上，在這個應用中，不可信的網路是無線網路。AP可以被定義成無WEP機制的開放式接入(各AP仍應定義成採用SSID機制把無線網路分割成多個無線服務子網)，但是無線接入網路VLAN (AP和伺服器之問的線路)從區域網已經被伺服器和內部網路隔離出來。伺服器提供網路的認征和加密，並允當區域網網路內部。與WEP機制和MAC地址過濾接入不同，方案具有較強的擴充、升級性能，可應用於大規模的無線網路。

3.5 無線入侵檢測系統

無線入侵檢測系統同傳統的入侵檢測系統類似，但無線入侵檢測系統增加了無線區域網的檢測和對破壞系統反應的特性。侵入竊密檢測軟體對於阻攔雙面惡魔攻擊來說，是必須採取的一種措施。如今入侵檢測系統已用於無線區域網。來監視分析用戶的活動，判斷入侵事件的類型，檢測非法的網路行為，對異常的網路流量進行報警。無線入侵檢測系統不但能找出入侵者，還能加強策略。通過使用強有力的策略，會使無線區域網更安全。無線入侵檢測系統還能檢測到MAC地址欺騙。他是通過一種順序分析，找出那些偽裝WAP的無線上網用戶無線入侵檢測系統可以通過提供商來購買，為了發揮無線入侵檢測系統的優良的性能，他們同時還提供無線入侵檢測系統的解決方案。[1]

3.6 採用身份驗證和授權

當攻擊者了解網路的SSID、網路的MAC地址或甚至WEP密鑰等信息時，他們可以嘗試建立與AP關聯。目前，有3種方法在用戶建立與無線網路的關聯前對他們進行身份驗證。開放身份驗證通常意味著您只需要向AP提供SSID或使用正確的WEP密鑰。開放身份驗證的問題在於，如果您沒有其他的保護或身份驗證機制，那麼您的無線網路將是完全開放的，就像其名稱所表示的。共享機密身份驗證機制類似於「口令一響應」身份驗證系統。在STA與AP共享同一個WEP密鑰時使用這一機制。STA向AP發送申請，然後AP發回口令。接著，STA利用口令和加密的響應進行回復。這種方法的漏洞在於口令是通過明文傳輸給STA的，因此如果有人能夠同時截取口令和響應，那麼他們就可能找到用於加密的密鑰。採用其他的身份驗證／授權機制。使用 802.1x，或證書對無線網路用戶進行身份驗證和授權。使用客戶端證書可以使攻擊者幾乎無法獲得訪問許可權。

[5]

3.7其他安全措施

除了以上敘述的安全措施手段以外我們還要可以採取一些其他的技術，例如設置附加的第三方數據加密方案，即使信號被盜聽也難以理解其中的內容；加強企業內部管理等等的方法來加強WLAN的安全性。

4、 結論

無線網路應用越來越廣泛，但是隨之而來的網路安全問題也越來越突出，在文中分析了WLAN的不安全因素，針對不安全因素給出了解決的安全措施，有效的防範竊聽、截取或者修改傳輸數據、置信攻擊、拒絕服務等等的攻擊手段，但是由於現在各個無線網路設備生產廠商生產的設備的功能不一樣，所以現在在本文中介紹的一些安全措施也許在不同的設備上會有些不一樣，但是安全措施的思路是正確的，能夠保證無線網路內的用戶的信息和傳輸消息的安全性和保密性，有效地維護無線區域網的安全。

參考文獻

[1]李園,王燕鴻,張鉞偉,顧偉偉.無線網路安全性威脅及應對措施[J].現代電子技術.2007, (5):91-94.

[2]王秋華,章堅武.淺析無線網路實施的安全措施[J].中國科技信息.2005, (17):18.

[3]邊鋒.不得不說無線網路安全六種簡單技巧[J].計算機與網路.2006, (20):6.

[4]冷月.無線網路保衛戰[J].計算機應用文摘.2006,(26)：79-81.

[5]宋濤.無線區域網的安全措施[J]. 電信交換.2004, (1):22-27.