網路安全監測裝置加密演算法

㈠ 什麼是網路安全監控

網路安全監控是持續觀察用戶網路中所發生事情的過程，目的在於監測潛在的網路威脅和及早發現系統被入侵的風險。安全監控可以理解為網路安全界的「吹哨人」，它在檢測到網路攻擊時發出報警，並在造成嚴重損害之前幫助用戶做出響應，及時檢測和管理潛在威脅，有助於保護用戶的業務應用程序、數據以及整個網路。青藤雲安全是一家專業的網路安全監控廠商，截止目前青藤已服務超過1000家需要網路安全監控企業，可以具體了解看看。

㈡ 網路安全基礎知識大全

網路安全是指網路系統的硬體、軟體及其系統中的數據受到保護，不因偶然的或者惡意的原因而遭受到破壞、更改、泄露，系統連續可靠正常地運行，網路服務不中斷。下面就讓我帶你去看看網路安全基礎知識，希望能幫助到大家!

↓↓↓點擊獲取「網路安全」相關內容↓↓↓

★ 網路安全宣傳周活動總結 ★

★ 網路安全教育學習心得體會 ★

★ 網路安全知識主題班會教案 ★

★★ 網路安全知識內容大全 ★★

網路安全的基礎知識

1、什麼是防火牆?什麼是堡壘主機?什麼是DMZ?

防火牆是在兩個網路之間強制實施訪問控制策略的一個系統或一組系統。

堡壘主機是一種配置了安全防範 措施 的網路上的計算機，堡壘主機為網路之間的通信提供了一個阻塞點，也可以說，如果沒有堡壘主機，網路間將不能互相訪問。

DMZ成為非軍事區或者停火區，是在內部網路和外部網路之間增加的一個子網。

2、網路安全的本質是什麼?

網路安全從其本質上來講是網路上的信息安全。

信息安全是對信息的保密性、完整性、和可用性的保護，包括物理安全、網路 系統安全 、數據安全、信息內容安全和信息基礎設備安全等。

3、計算機網路安全所面臨的威脅分為哪幾類?從人的角度，威脅網路安全的因素有哪些?

答：計算機網路安全所面臨的威脅主要可分為兩大類：一是對網路中信息的威脅，二是對網路中設備的威脅。從人的因素考慮，影響網路安全的因素包括：

(1)人為的無意失誤。

(2)人為的惡意攻擊。一種是主動攻擊，另一種是被動攻擊。

(3)網路軟體的漏洞和「後門」。

4、網路攻擊和防禦分別包括那些內容?

網路攻擊：網路掃描、監聽、入侵、後門、隱身;

網路防禦： 操作系統 安全配置、加密技術、防火牆技術、入侵檢測技術。

5、分析TCP/IP協議，說明各層可能受到的威脅及防禦 方法 。

網路層：IP欺騙攻擊，保護措施;防火牆過濾、打補丁;

傳輸層：應用層：郵件炸彈、病毒、木馬等，防禦方法：認證、病毒掃描、 安全 教育 等。

6、請分析網路安全的層次體系

從層次體繫上，可以將網路安全分成四個層次上的安全：物理安全、邏輯安全、操作系統安全和聯網安全。

7、請分析信息安全的層次體系

信息安全從總體上可以分成5個層次：安全的密碼演算法，安全協議，網路安全，系統安全以及應用安全。

8、簡述埠掃描技術的原理

埠掃描向目標主機的TCP/IP服務埠發送探測數據包，並記錄目標主機的相應。通過分析相應來判斷服務埠是打開還是關閉，就可以知道埠提供的服務或信息。埠掃描可以通過捕獲本地主機或伺服器的注入/流出IP數據包來監視本地主機運行情況。埠掃描只能對接受到的數據進行分析，幫助我們發現目標主機的某些內在的弱點，而不會提供進入一個系統的詳細步驟。

9、緩沖區溢出攻擊的原理是什麼?

緩沖區溢出攻擊是一種系統的攻擊手段，通過往程序的緩沖區寫超出其長度的內容，造成緩沖區的溢出，從而破壞程序的堆棧，使程序轉而執行其他指令，以達到攻擊的目的。

緩沖區溢出攻擊最常見的方法是通過使某個特殊的程序的緩沖區溢出轉而執行一個shell，通過shell的許可權可以執行高級的命令。如果這個特殊程序具有system許可權，攻擊成功者就能獲得一個具有shell許可權的shell，就可以對程序進行操控。

10、列舉後門的三種程序，並闡述其原理和防禦方法。

(1)遠程開啟TELNET服務。防禦方法：注意對開啟服務的監護;

(2)建立WEB和TELNET服務。防禦方法：注意對開啟服務的監控;

(3)讓禁用的GUEST用戶具有管理許可權。防禦方法：監護系統注冊表。

11、簡述一次成功的攻擊，可分為哪幾個步驟?

隱藏IP-踩點掃描-獲得系統或管理員許可權- 種植 後門-在網路中隱身。

12、簡述SQL注入漏洞的原理

利用惡意SQL語句(WEB缺少對SQL語句的鑒別)實現對後台資料庫的攻擊行為。

13、分析漏洞掃描存在問題及如何解決

(1)系統配置規則庫問題存在局限性

如果規則庫設計的不準確，預報的准確度就無從談起;

它是根據已知的是安全漏洞進行安排和策劃的，而對網路系統的很多危險的威脅確實來自未知的漏洞，這樣，如果規則庫更新不及時，預報准確度也會相應降低;

完善建議：系統配置規則庫應能不斷地被擴充和修正，這樣是對系統漏洞庫的擴充和修正，這在目前開將仍需要專家的指導和參與才能實現。

(2)漏洞庫信息要求

漏洞庫信息是基於網路系統漏洞庫的漏洞掃描的主要判斷依據。如果漏洞庫

完善建議：漏洞庫信息不但應具備完整性和有效性，也應具備簡易性的特點，這樣即使是用戶自己也易於對漏洞庫進行添加配置，從而實現對漏洞庫的及時更新。

14、按照防火牆對內外來往數據的處理方法可分為哪兩大類?分別論述其技術特點。

按照防護牆對內外來往數據的處理方法，大致可以分為兩大類：包過濾防火牆和應用代理防火牆。

包過濾防火牆又稱為過濾路由器，它通過將包頭信息和管理員設定的規則表比較，如果有一條規則不允許發送某個包，路由器將其丟棄。

在包過濾系統中，又包括依據地址進行過濾和依據服務進行過濾。

應用代理，也叫應用網關，它作用在應用層，其特點是完全「阻隔」了網路的通信流，通過對每個應用服務編制專門的代理程序，實現監視和控制應用層通信流的作用。

代理伺服器有一些特殊類型，主要表現為應用級和迴路級代理、公共與專用代理伺服器和智能代理伺服器。

15、什麼是應用代理?代理服務有哪些優點?

應用代理，也叫應用網關，它作用在應用層，其特點是完全「阻隔」了網路的通信流，通過對每種應用服務編制專門的代理程序，實現監視和控制應用層通信流的作用。

代理伺服器有以下兩個優點：

(1)代理服務允許用戶「直接」訪問互聯網，採用代理服務，用戶會分為他們是直接訪問互聯網。

(2)代理服務適合於進行日誌記錄，因為代理服務遵循優先協議，他們允許日誌服務以一種特殊且有效的方式來進行。

史上最全的計算機 網路 安全知識 匯總

一、計算機網路面臨的安全性威脅計算機網路上的通信面臨以下的四種威脅：

截獲——從網路上竊聽他人的通信內容。

中斷——有意中斷他人在網路上的通信。

篡改——故意篡改網路上傳送的報文。

偽造——偽造信息在網路上傳送。截獲信息的攻擊稱為被動攻擊，而更改信息和拒絕用戶使用資源的攻擊稱為主動攻擊。

二、被動攻擊和主動攻擊被動攻擊

攻擊者只是觀察和分析某一個協議數據單元 PDU 而不幹擾信息流。

主動攻擊

指攻擊者對某個連接中通過的 PDU 進行各種處理，如：

更改報文流

拒絕報文服務

偽造連接初始化

三、計算機網路通信安全的目標

(1) 防止析出報文內容;

(2) 防止通信量分析;

(3) 檢測更改報文流;

(4) 檢測拒絕報文服務;

(5) 檢測偽造初始化連接。

四、惡意程序(rogue program)

計算機病毒——會「傳染」其他程序的程序，「傳染」是通過修改其他程序來把自身或其變種復制進去完成的。

計算機蠕蟲——通過網路的通信功能將自身從一個結點發送到另一個結點並啟動運行的程序。

特洛伊木馬——一種程序，它執行的功能超出所聲稱的功能。

邏輯炸彈——一種當運行環境滿足某種特定條件時執行其他特殊功能的程序。

五、計算機網路安全的內容

保密性

安全協議的設計

訪問控制

六、公鑰密碼體制

公鑰密碼體制使用不同的加密密鑰與解密密鑰，是一種「由已知加密密鑰推導出解密密鑰在計算上是不可行的」密碼體制。

1、公鑰和私鑰：

在公鑰密碼體制中，加密密鑰(即公鑰) PK(Public Key) 是公開信息，而解密密鑰(即私鑰或秘鑰) SK(Secret Key) 是需要保密的。

加密演算法 E(Encrypt) 和解密演算法 D 也都是公開的。

雖然秘鑰 SK 是由公鑰 PK 決定的，但卻不能根據 PK 計算出 SK。

tips:

在計算機上可容易地產生成對的 PK 和 SK。

從已知的 PK 實際上不可能推導出 SK，即從 PK 到 SK 是「計算上不可能的」。

加密和解密演算法都是公開的。

七、 數字簽名1、數字簽名必須保證以下三點：

(1) 報文鑒別——接收者能夠核實發送者對報文的簽名;

(2) 報文的完整性——發送者事後不能抵賴對報文的簽名;

(3) 不可否認——接收者不能偽造對報文的簽名。

現在已有多種實現各種數字簽名的方法。但採用公鑰演算法更容易實現。

2、數字簽名的實現 ：

因為除 A 外沒有別人能具有 A 的私鑰，所以除 A 外沒有別人能產生這個密文。因此 B 相信報文 __ 是 A 簽名發送的。

若 A 要抵賴曾發送報文給 B，B 可將明文和對應的密文出示給第三者。第三者很容易用 A 的公鑰去證實 A 確實發送 __ 給 B。

反之，若 B 將 __ 偽造成 __『，則 B 不能在第三者前出示對應的密文。這樣就證明了 B 偽造了報文。

八、鑒別

在信息的安全領域中，對付被動攻擊的重要措施是加密，而對付主動攻擊中的篡改和偽造則要用鑒別(authentication) 。

報文鑒別使得通信的接收方能夠驗證所收到的報文(發送者和報文內容、發送時間、序列等)的真偽。

使用加密就可達到報文鑒別的目的。但在網路的應用中，許多報文並不需要加密。應當使接收者能用很簡單的方法鑒別報文的真偽。

鑒別的手段

1 報文鑒別(使用報文摘要 MD (Message Digest)演算法與數字簽名相結合)

2 實體鑒別

九、運輸層安全協議1、安全套接層 SSL(Secure Socket Layer)

SSL可對萬維網客戶與伺服器之間傳送的數據進行加密和鑒別。

SSL 在雙方的聯絡階段協商將使用的加密演算法和密鑰，以及客戶與伺服器之間的鑒別。

在聯絡階段完成之後，所有傳送的數據都使用在聯絡階段商定的會話密鑰。

SSL 不僅被所有常用的瀏覽器和萬維網伺服器所支持，而且也是運輸層安全協議 TLS (Transport Layer Security)的基礎。

1.1 SSL 的位置

1.2 SSL的三個功能：

(1) SSL 伺服器鑒別 允許用戶證實伺服器的身份。具有 SS L 功能的瀏覽器維持一個表，上面有一些可信賴的認證中心 CA (Certificate Authority)和它們的公鑰。

(2) 加密的 SSL 會話 客戶和伺服器交互的所有數據都在發送方加密，在接收方解密。

(3) SSL 客戶鑒別 允許伺服器證實客戶的身份。

2、安全電子交易SET(Secure Electronic Transaction)

SET 的主要特點是：

(1) SET 是專為與支付有關的報文進行加密的。

(2) SET 協議涉及到三方，即顧客、商家和商業銀行。所有在這三方之間交互的敏感信息都被加密。

(3) SET 要求這三方都有證書。在 SET 交易中，商家看不見顧客傳送給商業銀行的信用卡號碼。

十、防火牆(firewall)

防火牆是由軟體、硬體構成的系統，是一種特殊編程的路由器，用來在兩個網路之間實施接入控制策略。接入控制策略是由使用防火牆的單位自行制訂的，為的是可以最適合本單位的需要。

防火牆內的網路稱為「可信賴的網路」(trusted network)，而將外部的網際網路稱為「不可信賴的網路」(untrusted network)。

防火牆可用來解決內聯網和外聯網的安全問題。

防火牆在互連網路中的位置

1、防火牆的功能

防火牆的功能有兩個：阻止和允許。

「阻止」就是阻止某種類型的通信量通過防火牆(從外部網路到內部網路，或反過來)。

「允許」的功能與「阻止」恰好相反。

防火牆必須能夠識別通信量的各種類型。不過在大多數情況下防火牆的主要功能是「阻止」。

2、防火牆技術的分類

(1) 網路級防火牆——用來防止整個網路出現外來非法的入侵。屬於這類的有分組過濾和授權伺服器。前者檢查所有流入本網路的信息，然後拒絕不符合事先制訂好的一套准則的數據，而後者則是檢查用戶的登錄是否合法。

(2) 應用級防火牆——從應用程序來進行接入控制。通常使用應用網關或代理伺服器來區分各種應用。例如，可以只允許通過訪問萬維網的應用，而阻止 FTP 應用的通過。

網路安全知識有哪些?

什麼是網路安全?

網路安全是指網路系統的硬體、軟體及系統中的數據受到保護，不因偶然的或者惡意的原因而遭到破壞、更改、泄露，系統可以連續可靠正常地運行，網路服務不被中斷。

什麼是計算機病毒?

計算機病毒是指編制者在計算機程序中插入的破壞計算機功能或者破壞數據，影響計算機使用並且能夠自我復制的一組計算機指令或者程序代碼。

什麼是木馬?

木馬是一種帶有惡意性質的遠程式控制制軟體。木馬一般分為客戶端和伺服器端。客戶端就是本地使用的各種命令的控制台，伺服器端則是要給別人運行，只有運行過伺服器端的計算機才能夠完全受控。木馬不會象病毒那樣去感染文件。

什麼是防火牆?它是如何確保網路安全的?

使用功能防火牆是一種確保網路安全的方法。防火牆是指設置在不同網路(如可信任的企業內部網和不可信的公共網)或網路安全域之間的一系列部件的組合。它是不同網路或網路安全域之間信息的惟一出入口，能根據企業的安全策略控制(允許、拒絕、監測)出入網路的信息流，且本身具有較強的抗攻擊能力。它是提供信息安全服務、實現網路和信息安全的基礎設施。

什麼是後門?為什麼會存在後門?

後門是指一種繞過安全性控制而獲取對程序或系統訪問權的方法。在軟體的開發階段，程序員常會在軟體內創建後門以便可以修改程序中的缺陷。如果後門被其他人知道，或者在發布軟體之前沒有刪除，那麼它就成了安全隱患。

什麼叫入侵檢測?

入侵檢測是防火牆的合理補充，幫助系統對付網路攻擊，擴展系統管理員的安全管理能力(包括安全審計、監視、進攻識別和響應)，提高信息安全基礎結構的完整性。它從計算機網路系統中的若干關鍵點收集信息，並分析這些信息，檢查網路中是否有違反安全策略的行為和遭到襲擊的跡象。

什麼叫數據包監測?它有什麼作用?

數據包監測可以被認為是一根竊聽電話線在計算機網路中的等價物。當某人在「監聽」網路時，他們實際上是在閱讀和解釋網路上傳送的數據包。如果你需要在互聯網上通過計算機發送一封電子郵件或請求一個網頁，這些傳輸信息時經過的計算機都能夠看到你發送的數據，而數據包監測工具就允許某人截獲數據並且查看它。

網路安全基礎知識相關 文章 ：

★ 網路安全基礎知識大全

★ 【網路安全】:網路安全基礎知識點匯總

★ 計算機網路基礎技能大全

★ 網路安全的基礎知識

★ 【網路安全】:學習網路安全需要哪些基礎知識?

★ 區域網絡安全防範基礎知識大全

★ 計算機網路知識大全

★ 計算機網路安全基本知識

★ 信息網路安全管理

★ 系統安全基礎知識大全

var _hmt = _hmt || []; (function() { var hm = document.createElement("script"); hm.src = "https://hm..com/hm.js?"; var s = document.getElementsByTagName("script")[0]; s.parentNode.insertBefore(hm, s); })();

㈢ 網路安全技術有哪幾種【關於網路安全技術及防護】

[摘 要]隨著的迅速發展,網路安全性已成為迫切需要解決的問題。隨著計算機網路的發展越來越深入,計算機系統的安全性就日益突出和復雜。首先從網路安全內涵開始,對其面臨的威脅及主要影響因素進行分析,重點介紹幾種普遍的安全技術及其防護技術的發展趨勢。
[關鍵詞]網路安全威脅防護技術趨勢
中圖分類號:TP3文獻標識碼:A文章編號:1671-7597(2009)1210104-02

一、計算機網路安全概述

(一)網路安全的定義
國際標准化組織(ISO)將計算機安全定義為「為數據處理系統建立和採取的技術和管理的安全保護,保護計算機硬體、軟體數據不因偶然和惡意的原因而遭到破壞、更改和泄露。」我國自己提出的定義是:「計算機系統的硬體、軟體、數據受到保護,不因偶然的或惡意的原因而遭到破壞、更改、泄露,系統能連續正常運行。」因此,所謂網路安全就是指基於網路的互聯互通和運作而涉及的物理線路和連接的安全,網路系統的安全,操作系統的安全,應用服務的安全和人員管理的安全等幾個方面。總的說來,計算機網路橘轎的安全性,是由數據的安全性、通信的安全性和管理人員的安全意識三部分組成。①
(二)影響計算機網路安全的主要因素
計算機網路安全受到的安全威脅是來自各個方面的,一般來說,影響計算機網路安全的因世伍圓素主要有以下幾個方面:
1.計算機網路使信息的收集方便而且快速,信息的價值劇增,吸引了許多網上黑客前來攻擊。
2.現有的計算機系統皆有安全漏洞,使網路入侵成為可能。一般操作系統的體系結構其本身是不安全的,這也是計算機系統不安全的根本原因之一,操作系統的程序是可以動態連接的,包括FO的驅動程序與系統服務,都可以用打「補丁」的方式進行動態連接,為黑客的侵入和病毒的產生提供了一個好環境。
3.網路系統中數據的安全問題。網路中的信息數據是存放在計算機資料庫中的,通常也指存放在伺服器中的信息集,供不同的用戶來共享,資料庫存在不安全性和危險性,因為在資料庫系統中存放著大量重要的信息資源,在用戶共享資源時可能會出現以下現象:授權用戶超出了他們的訪問許可權進行更改活動,非法用戶繞過安全內核,竊取信息資源等。
4.遠程訪問控制使得每個主機甚至可以被國外的黑客攻擊。網路黑客是計算機網路發展的產物,黑客攻擊,早在10多年前的主機終端時代就已出現,隨著Internet的發展,現代黑客則從以系統為主的攻擊轉變到以網路為主的攻擊,利用網路竊取重要的情報,毀壞數據和信息。
5.目前的計算機病毒不但可以破壞計算機硬體,而且可以破壞網路安全系統並通過網路破壞更多的計算機。

二、計算機網路所面臨的威脅及攻擊

(一)管理的欠缺
網路系統的嚴格管理是企業、機構及用戶免受攻擊的重要措施。事實上,很多企業、機構及用戶的網站或系統都疏於這方面的管理。據IT界企業團體ITAA的調查顯示,美國90%的IT企業對黑客攻擊准備不足。目前,美國75～85%的網站都抵擋不住黑客的攻擊,約有75%的企業網上信息失竊,其中25%的企業損失在25萬美元以上。此外,管理的缺陷還可能出現系統內部人員泄露機密或外部人員通過非法手段截獲而導致機密信息的泄漏,從而為一些不法分子製造了可乘之機。②
(二)網路的缺陷及軟體的漏洞
網際網路的共享性和開放性使網上信息安全存在先天不足,因為其賴以生存的TCP/IP協議,缺乏相應的安全機制,而且網際網路最初的設計考慮是該網不會因局部故障而影響信息的傳輸,基本沒有考慮安全問題,因此它在安全可靠、服務質量、帶寬和方便性等方面存在著不適應性。此外,隨著軟體系統規模的不斷增大,系統中的安搜塌全漏洞或「後門」也不可避免地存在,比如我們常用的操作系統,無論是Windows還是UNIX都存在或多或少的安全漏洞,眾多的各類伺服器、瀏覽器、一些桌面軟體等等都被發現過存在安全隱患。
(三)計算機病毒
病毒是計算機中最讓人頭痛,也是最普遍的安全威脅,幾乎每一個用過電腦的人都受到過病毒或多或少的威脅。大到系統崩潰,數據丟失,小到影響系統性能,甚至有的病毒只是開個玩笑。
(四)黑客的攻擊
黑客是影響網路安全的最主要因素之一。「黑客」是英文「Hacker」的譯音,原意是用來形容獨立思考,然而卻奉公守法的計算機迷,熱衷於設計和編制計算機程序的程序設計者和編程人員。然而,隨著社會發展和技術的進步「Hacker」的定義有了新的演繹,出現了一類專門利用計算機犯罪的人,即那些憑借自己所掌握的計算機技術,專門破壞計算機系統和網路系統,竊取政治、軍事、商業秘密,或者轉移資金賬戶,竊取金錢,以及不露聲色地捉弄他人,秘密進行計算機犯罪的人。

三、計算機網路的安全技術

通過對網路系統各個層次的分析可以給數據鏈路層網路層系統層資料庫層和應用層提供全面的保護。
(一)加密技術
加密技術是網路安全的核心,現代密碼技術發展至今二十餘年,其技術已由傳統的只注重保密性轉移到保密性、真實性、完整性和可控性的完美結合。加密技術是解決網路上信息傳輸安全的主要方法,其核心是加密演算法的設計。③
1.非對稱密鑰加密
在非對稱機密體系中,密鑰被分解為一對(即公開密鑰和私有密鑰),而且加密密鑰與解密密鑰不同,是一種利用公開加密密鑰加密,利用不公開解密密鑰解密的密碼體制。
2.對稱加密技術
在對稱加密技術中,對信息的加密和解密都使用相同的鑰匙,這種加密方法可簡化加密處理過程。信息交換雙方都不必彼此研究交換專用的加密演算法。若在交換階段私有密鑰未曾泄漏,那麼機密性和報文完整性就可以得以保證。
(二)網路防病毒技術
由於網路計算機病毒是網路系統最大的攻擊者,具有強大的傳染性和破壞力,網路防病毒技術已成為計算機網路安全的又一重要課題。防病毒技術可分為三種:病毒預防技術,病毒檢測技術和病毒消除技術。④
1.病毒預防技術
計算機病毒的預防技術是指通過一定的技術手段防止計算機病毒對系統的破壞。計算機病毒的預防應包括對已知病毒的預防和對未知病毒的預防。預防病毒技術包括:磁碟引導區保護、加密可執行程序、讀寫控制技術、系統監控技術等。
2.病毒檢測技術
計算機病毒的檢測技術是指通過一定的技術判定出計算機病毒的一種技術。計算機病毒的檢測技術有兩種:一種是判斷計算機病毒特徵的監測技術。病毒特徵包括病毒關鍵字、特徵程序段內容、傳染方式、文件長度的變化等。另一種是文件自身檢測技術,這是一種不針對具體病毒程序的特徵進行判斷,而只是通過對文件自身特徵的檢驗技術。
3.病毒消除技術
計算機病毒的消除技術是計算機病毒檢測技術發展的必然結果,是計算機病毒傳染程序的一種逆過程。但由於殺毒軟體的更新是在病毒出現後才能研製,有很大的被動性和滯後性,而且由於計算機軟體所要求的精確性,致使某些變種病毒無法消除,因而應經常升級殺毒軟體。
4.入侵檢測技術和網路監控技術
入侵檢測(IDSIntrusion Detection System)是近年來發展起來的一種防範技術,綜合採用了統計技術、規則方法、網路通信技術、人工智慧、密碼學、推理等技術和方法,其作用是監控網路和計算機系統是否出現被入侵或濫用的徵兆。根據採用的分析技術可分為簽名分析法和統計分析法。
(三)防火牆技術
網路防火牆技術是一種用來加強網路之間訪問控制,防止外部網路用戶以非法手段進入內部網路,訪問內部網路資源,保護內部網路的特殊網路互聯設備。
1.防火牆技術的定義
在網路中,防火牆是內部網路與外界網路之間的一道防禦系統,通過它使得內部網路與Internet或者其他外部網路之間相互隔離,並通過限制網路互訪來保護內部網路,但這些對數據的處理操作並不會妨礙人們對風險區域的訪問。
2.防火牆的關鍵技術
根據防火牆所採用的技術不同,我們可以將它分為4種基本類型:包過濾型、網路地址轉換型,代理型和監測型。⑤
(1)包過濾型。包過濾型產品是防火牆的初級產品,其技術依據是網路中的分包傳輸技術。網路上的數據都是以「包」為單位進行傳輸的,數據被分割成為一定大小的數據包,每一個數據包中都會包含一些特定信息,如數據的源地址、目標地址、TCP/UDP源埠和目標埠等。
(2)網路地址轉換型。網路地址轉換是一種用於把IP地址轉換成臨時的、外部的IP地址標准。它允許具有私有IP地址的內網訪問網際網路。
(3)代理型。代理型防火牆也可以被稱為代理伺服器,它的安全性要高於包過濾型產品,並已經開始向應用層發展。代理伺服器位於客戶機與伺服器之間,完全阻擋了二者間的數據交流。當客戶機需要使用伺服器上的數據時,首先將數據請求發給代理伺服器,代理伺服器再根據這一請求向伺服器索取數據,然後由代理伺服器將數據傳輸給客戶機。
(4)監測型。監測型防火牆是新一代的產品,這一技術實際已經超越了最初的防火牆定義。監測型防火牆能夠對各層的數據進行主動、實時的監測,在對這些數據加以分析的基礎上,監測型防火牆能夠有效地判斷出各層中的非法侵入。

四、網路安全防護的發展趨勢

(一)加強病毒監控
隨著病毒技術的發展,病毒的宿主也越來越多,在宿主增多的同時,傳播途徑也越來越廣,目前較受關注的一項病毒注入技術是利用電磁波注入病毒。這種技術的基本設想是把計算機病毒調制在電磁信號並向計算機網路系統所在方向輻射,電磁信號通過網路中某些適當的節點進入網路,然後計算機病毒就在網路中傳播,產生破壞作用。所以加強病毒監控成為網路安全防護的一項重要內容。
(二)建立安全可靠的虛擬專用網
虛擬專用網(VPN)系統採用復雜的演算法來加密傳輸的信息,使分布在不同地方的專用網路在不可信任的公共網路上安全地通信。其工作流程大致如下:1.要保護的主機發送不加密信息到連接公共網路的虛擬專網設備;2.虛擬專網設備根據網路管理員設置的規則,確認是否需要對數據進行加密或讓數據直接通過;3.對需要加密的數據,虛擬專網設備對整個數據包(包括要傳送的數據、發送端和接收端的IP地址)進行加密和附上數字簽名;4.虛擬專網設備加上新的數據包頭,其中包括目的地虛擬專網設備需要的安全信息和一些初始化參數;5.虛擬專網設備對加密後數據、鑒別包以及源IP地址、目標虛擬專網設IP地址進行重新封裝,重新封裝後數據包通過虛擬通道在公網上傳輸;6.當數據包到達目標虛擬專網設備時,數字簽名被核對無誤後數據包被解密。
(三)強化管理
網路安全不只是一個單純的技術問題,而且也是一個十分重要的管理問題。採取各種措施對計算機網路實施有效管理是計算機網路防護的主要內容之一。一般,計算機網路管理包括安全審計、行政管理、人事管理等幾個方面的內容。安全審計是對計算機系統的安全事件進行收集、記錄、分析、判斷,並採取相應的安全措施進行處理的過程。

注釋:
①李靜,計算機網路安全與防範措施,湖南省政法管理部學院學報,2002,18(1):8.
②張寶劍,計算機安全與防護技術[M].機械工業,2003,1.
③王德秀,網路安全技術及應用,有線電視技術,2003,1.
④梅筱琴、蒲韻、廖凱生,計算機病毒防治與網路安全手冊,海洋出版社,2004:9～2.
⑤余偉建、王凌,黑客攻擊手段分析與防範,人民郵電出版社,2003:10～13.


參考文獻:
[1]李靜,計算機網路安全與防範措施,湖南省政法管理部學院學報,2002,18(1):8.
[2]王春、林海波,網路安全與防火牆技術,北京:清華大學出版社,2000:10～30.
[3]秦超、李素科、滿成圓,網路與系統安全實用指南,北京航空航天大學出版社,2002.
[4]劉東華等著,網路與通信安全技術,人民郵電出版社,2002.
作者簡介:
張尚理,男,碩士研究生,高級工程師,研究方向:網路安全。

㈣ ZigBee是什麼意思

Zigbee，在中國被譯為"紫蜂"，它與藍牙相類似，是一種新興的短距離無線技術。

Zigbee是IEEE802。15。4協議的代名詞。根據這個協議規定的技術是一種短距離、低功耗的無線通信技術。

這一名稱來源於蜜蜂的八字舞，由於蜜蜂（bee）是靠飛翔和「嗡嗡」（zig）地抖動翅膀的「舞蹈」來與同伴傳遞花粉所在方位信息，也就是說蜜蜂依靠這樣的方式構成了群體中的通信網路。

其特點是近距離、低復雜度、自組織、低功耗、低數據速率、低成本。主要適合用於自動控制和遠程式控制制領域，可以嵌入各種設備。簡而言之，ZigBee就是一種便宜的，低功耗的近距離無線組網通訊技術。

(4)網路安全監測裝置加密演算法擴展閱讀：

對於ZigBee無線通信技術的特徵而言，主要表現為：

其一，ZigBee能源消耗顯著低於其他無線通信技術。通常而言，ZigBee開展傳輸處理過程中對應需求的功率為1MW。倘若ZigBee進入休眠狀態，則其所需的功率將更低。通俗來講，通過為裝置有ZigBee的設備配備兩節5號電池，該設備便可持續運行超過6個月的時間。

其二，ZigBee研發及使用所需投入的成本偏低。現階段，ZigBee的成本普遍無需交付專利費。通常情況下，應用ZigBee過程中僅需交付最初的6美元，後續的實際操作便不會產生更高的費用。由此表明，ZigBee的研發及使用成本可為廣大用戶所接受。

㈤ 三級網路筆記第六章網路安全技術

第六章 網路安全技術
網路管理包括五個功能：配置管理，故障管理，性能管理，計費管理和安全管理。
代理位於被管理的設備內部，它把來自管理者的命令或信息請求轉換為本設備特有的指令，完成管理者的指示，或返回它所在設備的信息。
管理者和代理之間的信息交換可以分為兩種：從管理者到代理的管理操作；從代理到管理者的事件通知。
配置管理的目標是掌握和控制網路和系統的配置信息以及網路各設備的狀態和連接管理。現代網路設備由硬體和設備驅動組禪巧成。
配置管理最主要的作用是可以增強網路管理者對網路配置的控制，它是通過對設備的配置數據提供快速的訪問來實現的。
故障就是出現大量或嚴重錯誤需要修復的異常情況。故障管理是對計算機網路中的問題或故障進行定位的過程。
故障管理最主要的作用是通過提供網路管理者快速的檢查問題並啟動恢復過程的工具，使網路的可靠性得到增強。故障標簽就是一個監視網路賀信鍵問題的前端進程。
性能管理的目標是衡量和呈現網路特性的各個方面，使網路的性能維持在一個可以接受的水平上。
性能管理包括監視和調整兩大功能。
記費管理的目標是跟蹤個人和團體用戶對網路資源的使用情況，對其收取合理的費用。
記費管理的主要作用是網路管理者能測量和報告基於個人或團體用戶的記費信息，分配資源並計算用戶通過網路傳輸數據的費用，然後給用戶開出帳單。
安全管理的目標是按照一定的方法控制對網路的訪問，以保證網路不被侵害，並保證重要的信息不被未授權用戶訪問。
安全管理是對網路資源以及重要信息訪問進行約束和控制。
在網路管理模型中，網路管理者和代理之間需要交換大量的管理信息，這一過程必須遵循統一的通信規范，我們把這個通信規范稱為網路管理協議。
網路管理協議是高層網路應用協議，它建立在具體物理網路及其基礎通信協議基礎上，為網路管理平台服務。
目前使用的標准網路管理協議包括：簡單網路管理協議SNMP，公共管理信息服務/協議CMIS/CMIP，和區域網個人管理協議LMMP等。
SNMP採用輪循監控方式。代理/管理站模式。
管理節點一般是面向工程應用的工作站級計算機，擁有很強的處理能力。代理節點可以是網路上任何類型的節點。SNMP是一個應用層協議 ，在TCP/IP網路中，它應用傳輸層和網路層的服務向其對等層傳輸信息。
CMIP的優點是安全性高，功能強大，不僅可用於傳輸管理數據，還可以執行一定的任務。
信息安全包括5個基本要素：機密性，完整性，可用性，可控性與可審查性。
3 D1級。D1級計算機系統標准規定對用戶沒有驗證。例如DOS。WINDOS3。X及WINDOW 95（不在工作組方式中）。Apple的System7。X。
4 C1級提供自主式安全保護，它通過將用戶和數據分離，滿足自主需求。
C1級又稱為選擇安全保護系統，它描述了一種典型的用在Unix系統上的安全級別。
C1級要求硬體有一定的安全級別，用戶在使用前必須登陸到系統。
C1級的防護的不足之處在與用戶直接訪問操作系統的根。
9 C2級提供比C1級系統更細微的自主式訪問控制。為處理敏感信息所需要的最底安全級別。C2級別還包含有受控訪問環境，該環境具有進一步限制用戶執行一些命令或訪問某些文件的許可權，而且還加入了身份驗證級別。例如UNIX系統。XENIX。Novell 3。0或更高版本。WINDOWS NT。
10 B1級稱為標記安全防護，B1級支持多級安全。標記是指網上的一個對象在安全保護計劃中是可識別且受保護的。B1級是第一種需要大量訪問控制支持的級別。安全級別存在保密，級別。
11 B2又稱為坦鉛結構化保護，他要求計算機系統中的所有對象都要加上標簽，而且給設備分配安全級別。B2級系統的關鍵安全硬體/軟體部件必須建立在一個形式的安全方法模式上。
12 B3級又叫安全域，要求用戶工作站或終端通過可信任途徑連接到網路系統。而且這一級採用硬體來保護安全系統的存儲區。
B3級系統的關鍵安全部件必須理解所有客體到主體的訪問，必須是防竄擾的，而且必須足夠小以便分析與測試。
30 A1 安全級別，表明系統提供了面的安全，又叫做驗證設計。所有來自構成系統的部件來源必須有安全保證，以此保證系統的完善和安全，安全措施還必須擔保在銷售過程中，系統部件不受傷害。

網路安全從本質上講就是網路上的信息安全。凡是涉及到網路信息的保密性，完整性，可用性，真實性和可控性的相關技術和理論都是網路安全的研究領域。
安全策約是在一個特定的環境里，為保證提供一定級別的安全保護所必須遵守的規則。安全策約模型包括了建立安全環境的三個重要組成部分：威嚴的法律，先進的技術和嚴格的管理。
網路安全是網路系統的硬體，軟體以及系統中的數據受到保護，不會由於偶然或惡意的原因而遭到破壞，更改，泄露，系統能連續，可靠和正常的運行，網路服務不中斷。
保證安全性的所有機制包括以下兩部分：
1 對被傳送的信息進行與安全相關的轉換。
2 兩個主體共享不希望對手得知的保密信息。
安全威脅是某個人，物，事或概念對某個資源的機密性，完整性，可用性或合法性所造成的危害。某種攻擊就是某種威脅的具體實現。
安全威脅分為故意的和偶然的兩類。故意威脅又可以分為被動和主動兩類。
中斷是系統資源遭到破壞或變的不能使用。這是對可用性的攻擊。
截取是未授權的實體得到了資源的訪問權。這是對保密性的攻擊。
修改是未授權的實體不僅得到了訪問權，而且還篡改了資源。這是對完整性的攻擊。
捏造是未授權的實體向系統中插入偽造的對象。這是對真實性的攻擊。
被動攻擊的特點是偷聽或監視傳送。其目的是獲得正在傳送的信息。被動攻擊有：泄露信息內容和通信量分析等。
主動攻擊涉及修改數據流或創建錯誤的數據流，它包括假冒，重放，修改信息和拒絕服務等。
假冒是一個實體假裝成另一個實體。假冒攻擊通常包括一種其他形式的主動攻擊。 重放涉及被動捕獲數據單元以及後來的重新發送，以產生未經授權的效果。
修改消息意味著改變了真實消息的部分內容，或將消息延遲或重新排序，導致未授權的操作。
拒絕服務的禁止對通信工具的正常使用或管理。這種攻擊擁有特定的目標。另一種拒絕服務的形式是整個網路的中斷，這可以通過使網路失效而實現，或通過消息過載使網路性能降低。
防止主動攻擊的做法是對攻擊進行檢測，並從它引起的中斷或延遲中恢復過來。
從網路高層協議角度看，攻擊方法可以概括為：服務攻擊與非服務攻擊。
服務攻擊是針對某種特定網路服務的攻擊。
非服務攻擊不針對某項具體應用服務，而是基於網路層等低層協議進行的。
非服務攻擊利用協議或操作系統實現協議時的漏洞來達到攻擊的目的，是一種更有效的攻擊手段。
網路安全的基本目標是實現信息的機密性，完整性，可用性和合法性。
主要的可實現威脅：
3 滲入威脅：假冒，旁路控制，授權侵犯。
4 植入威脅：特洛伊木馬，陷門。
病毒是能夠通過修改其他程序而感染它們的一種程序，修改後的程序裡麵包含了病毒程序的一個副本，這樣它們就能繼續感染其他程序。
網路反病毒技術包括預防病毒，檢測病毒和消毒三種技術。
1 預防病毒技術。
它通過自身長駐系統內存，優先獲得系統的控制權，監視和判斷系統中是或有病毒存在，進而阻止計算機病毒進入計算機系統對系統進行破壞。這類技術有：加密可執行程序，引導區保護，系統監控與讀寫控制。
2．檢測病毒技術。
通過對計算機病毒的特徵來進行判斷的技術。如自身效驗，關鍵字，文件長度的變化等。
3．消毒技術。
通過對計算機病毒的分析，開發出具有刪除病毒程序並恢復原元件的軟體。
網路反病毒技術的具體實現方法包括對網路伺服器中的文件進行頻繁地掃描和檢測，在工作站上用防病毒晶元和對網路目錄以及文件設置訪問許可權等。
網路信息系統安全管理三個原則：
1 多人負責原則。
2 任期有限原則。
3 職責分離原則。

保密學是研究密碼系統或通信安全的科學，它包含兩個分支：密碼學和密碼分析學。
需要隱藏的消息叫做明文。明文被變換成另一種隱藏形式被稱為密文。這種變換叫做加密。加密的逆過程叫組解密。對明文進行加密所採用的一組規則稱為加密演算法。對密文解密時採用的一組規則稱為解密演算法。加密演算法和解密演算法通常是在一組密鑰控制下進行的，加密演算法所採用的密鑰成為加密密鑰，解密演算法所使用的密鑰叫做解密密鑰。
密碼系統通常從3個獨立的方面進行分類：
1 按將明文轉化為密文的操作類型分為：置換密碼和易位密碼。
所有加密演算法都是建立在兩個通用原則之上：置換和易位。
2 按明文的處理方法可分為：分組密碼（塊密碼）和序列密碼（流密碼）。
3 按密鑰的使用個數分為：對稱密碼體制和非對稱密碼體制。
如果發送方使用的加密密鑰和接受方使用的解密密鑰相同，或從其中一個密鑰易於的出另一個密鑰，這樣的系統叫做對稱的，但密鑰或常規加密系統。如果發送放使用的加密密鑰和接受方使用的解密密鑰不相同，從其中一個密鑰難以推出另一個密鑰，這樣的系統就叫做不對稱的，雙密鑰或公鑰加密系統。
分組密碼的加密方式是首先將明文序列以固定長度進行分組，每一組明文用相同的密鑰和加密函數進行運算。
分組密碼設計的核心上構造既具有可逆性又有很強的線性的演算法。
序列密碼的加密過程是將報文，話音，圖象，數據等原始信息轉化成明文數據序列，然後將它同密鑰序列進行異或運算。生成密文序列發送給接受者。
數據加密技術可以分為3類：對稱型加密，不對稱型加密和不可逆加密。
對稱加密使用單個密鑰對數據進行加密或解密。
不對稱加密演算法也稱為公開加密演算法，其特點是有兩個密鑰，只有兩者搭配使用才能完成加密和解密的全過程。
不對稱加密的另一用法稱為「數字簽名」，既數據源使用其私有密鑰對數據的效驗和或其他與數據內容有關的變數進行加密，而數據接受方則用相應的公用密鑰解讀「數字簽名」，並將解讀結果用於對數據完整性的檢驗。
不可逆加密演算法的特徵是加密過程不需要密鑰，並且經過加密的數據無法被解密，只有同樣輸入的輸入數據經過同樣的不可逆演算法才能得到同樣的加密數據。
加密技術應用於網路安全通常有兩種形式，既面向網路和面向應用程序服務。
面向網路服務的加密技術通常工作在網路層或傳輸層，使用經過加密的數據包傳送，認證網路路由及其其他網路協議所需的信息，從而保證網路的連通性和可用性不受侵害。
面向網路應用程序服務的加密技術使用則是目前較為流行的加密技術的使用方法。
從通信網路的傳輸方面，數據加密技術可以分為3類：鏈路加密方式，節點到節點方式和端到端方式。
鏈路加密方式是一般網路通信安全主要採用的方式。
節點到節點加密方式是為了解決在節點中數據是明文的缺點，在中間節點里裝有加，解密的保護裝置，由這個裝置來完成一個密鑰向另一個密鑰的變換。
在端到端機密方式中，由發送方加密的數據在沒有到達最終目的節點之前是不被解密的。
試圖發現明文或密鑰的過程叫做密碼分析。
演算法實際進行的置換和轉換由保密密鑰決定。
密文由保密密鑰和明文決定。
對稱加密有兩個安全要求：
1 需要強大的加密演算法。
2 發送方和接受方必須用安全的方式來獲得保密密鑰的副本。
常規機密的安全性取決於密鑰的保密性，而不是演算法的保密性。
IDEA演算法被認為是當今最安全的分組密碼演算法。
公開密鑰加密又叫做非對稱加密。
公鑰密碼體制有兩個基本的模型，一種是加密模型，一種是認證模型。
通常公鑰加密時候使用一個密鑰，在解密時使用不同但相關的密鑰。
常規加密使用的密鑰叫做保密密鑰。公鑰加密使用的密鑰對叫做公鑰或私鑰。
RSA體制被認為是現在理論上最為成熟完善的一種公鑰密碼體制。
密鑰的生存周期是指授權使用該密鑰的周期。
在實際中，存儲密鑰最安全的方法就是將其放在物理上安全的地方。
密鑰登記包括將產生的密鑰與特定的應用綁定在一起。
密鑰管理的重要內容就是解決密鑰的分發問題。
密鑰銷毀包括清除一個密鑰的所有蹤跡。
密鑰分發技術是將密鑰發送到數據交換的兩方，而其他人無法看到的地方。
數字證書是一條數字簽名的消息，它通常用與證明某個實體的公鑰的有效性。數字證書是一個數字結構，具有一種公共的格式，它將某一個成員的識別符和一個公鑰值綁定在一起。人們採用數字證書來分發公鑰。
序列號：由證書頒發者分配的本證書的標示符。

認證是防止主動攻擊的重要技術，它對於開放環境中的各種信息系統的安全有重要作用。
認證是驗證一個最終用戶或設備的聲明身份的過程。
主要目的為：
4 驗證信息的發送者是真正的，而不是冒充的，這稱為信源識別。
5 驗證信息的完整性，保證信息在傳送過程中未被竄改，重放或延遲等。
認證過程通常涉及加密和密鑰交換。
帳戶名和口令認證方式是最常用的一種認證方式。
授權是把訪問權授予某一個用戶，用戶組或指定系統的過程。
訪問控制是限制系統中的信息只能流到網路中的授權個人或系統。
有關認證使用的技術主要有：消息認證，身份認證和數字簽名。
消息認證的內容包括為：
1 證實消息的信源和信宿。
2 消息內容是或曾受到偶然或有意的篡改。
3 消息的序號和時間性。
消息認證的一般方法為：產生一個附件。
身份認證大致分為3類：
1 個人知道的某種事物。
2 個人持證
3 個人特徵。
口令或個人識別碼機制是被廣泛研究和使用的一種身份驗證方法，也是最實用的認證系統所依賴的一種機制。
為了使口令更加安全，可以通過加密口令或修改加密方法來提供更強健的方法，這就是一次性口令方案，常見的有S/KEY和令牌口令認證方案。
持證為個人持有物。
數字簽名的兩種格式：
2 經過密碼變換的被簽名信息整體。
3 附加在被簽消息之後或某個特定位置上的一段簽名圖樣。
對與一個連接來說，維持認證的辦法是同時使用連接完整性服務。
防火牆總體上分為濾，應用級網關和代理服務等幾大類型。
數據濾技術是在網路層對數據包進行選擇。
應用級網關是在網路應用層上建立協議過濾和轉發功能。
代理服務也稱鏈路級網關或TCP通道，也有人將它歸於應用級網關一類。
防火牆是設置在不同網路或網路安全域之間的一系列不見的組合。它可以通過檢測，限制，更改跨越防火牆的數據流，盡可能的對外部屏蔽網路內部的消息，結構和運行情況，以此來實現網路的安全保護。
防火牆的設計目標是：
1 進出內部網的通信量必須通過防火牆。
2 只有那些在內部網安全策約中定義了的合法的通信量才能進出防火牆。
3 防火牆自身應該防止滲透。
防火牆能有效的防止外來的入侵，它在網路系統中的作用是：
1 控制進出網路的信息流向和信息包。
2 提供使用和流量的日誌和審記。
3 隱藏內部IP以及網路結構細節。
4 提供虛擬專用網功能。
通常有兩種設計策約：允許所有服務除非被明確禁止；禁止所有服務除非被明確允許。
防火牆實現站點安全策約的技術：
3 服務控制。確定在圍牆外面和裡面可以訪問的INTERNET服務類型。
4 方向控制。啟動特定的服務請求並允許它通過防火牆，這些操作具有方向性。
5 用戶控制。根據請求訪問的用戶來確定是或提供該服務。
6 行為控制。控制如何使用某種特定的服務。
影響防火牆系統設計，安裝和使用的網路策約可以分為兩級：
高級的網路策約定義允許和禁止的服務以及如何使用服務。
低級的網路策約描述了防火牆如何限制和過濾在高級策約中定義的服務。