如何開創網路安全

1. 如何有效的維護網路安全

你好，很高興為你解答：
1、採用強力的密碼。一個足夠強大的密碼可以讓暴力破解成為不可能實現的情況。相反的，如果密碼強度不夠，幾乎可以肯定會讓你的系統受到損害；
2、對介質訪問控制(MAC)地址進行控制。隱藏無線網路的服務集合標識符、限制介質訪問控制(MAC)地址對網路的訪問，可以確保網路不會被初級的惡意攻擊者騷擾的；
3、在網路不使用的時間，將其關閉。這個建議的採用與否，取決於網路的具體情況。如果你並不是需要一天二十四小時每周七天都使用網路，那就可以採用這個措施。畢竟，在網路關閉的時間，安全性是最高的，沒人能夠連接不存在的網路；
4、關閉無線網路介面。如果你使用筆記本電腦之類的移動終端的話，應該將無線網路介面在默認情況下給予關閉。只有確實需要連接到一個無線網路的時間才打開相關的功能。其餘的時間，關閉的無線網路介面讓你不會成為惡意攻擊的目標；
5、確保核心的安全。在你離開的時間，務必確保無線路由器或連接到無線網路上正在使用的筆記本電腦上運行了有效的防火牆；
6、務必關閉無必要的服務，特別是在微軟Windows操作系統下不需要的服務，因為在默認情況下它們活動的後果可能會出乎意料。

2. HW期間網路安全工作應該怎麼開展

我認為網路安全工作，無論你有多強的技術手段，多麼牛的廠商設備，如果員工缺乏網路安全意識，可能只需要一個社工電話或者釣魚郵件，就會擊垮你的防禦手段，所以加強員工網路安全意識宣教工作，是所有單位有序出色完成HW工作的必不可少的一項基礎而扎實的工作。
網路安全意識工作，可以在內部運用視頻、圖文、海報等產品，系統全面的內部宣貫！
希望對您的問題有所幫助，針對網路安全意識提升 我們有整套的解決方案～因為我們只專注一件事，那就是——安全（網路安全意識提升，谷安天下）。

3. 如何做好網路安全防範

【法律分析】：1、在手機和電腦上不隨意點擊來歷不明的鏈接或搜索到非正規網站，遇到需要輸入身份證號碼、手機號、銀行賬號等個人隱私信息時，一定要提高警惕；
2、賬戶和密碼盡量不要相同，定期修改密碼，增加密碼的復雜度；不要直接用生日、電話號碼、證件號碼等有關個人信息的數字作為密碼，適當增加密碼的長度，並經常更換；
3、在網路平台中注冊賬號的時候，要注意平台的可信度，要設置好密碼，對個人隱私信息要加密處理，以免被盜取；
4、要對個人使用的手機和電腦進行安全設置，要安裝殺毒軟體，平時要進行殺毒管理，不訪問釣魚網站，維修時要注意找可靠站點修理，並做好私密保護；
5、在提供身份證復印件時，要在含有身份信息區域註明「本復印件僅供XX用於XX用途，他用無效」和日期，復印完成後要及時清除復印機緩存；
6、在使用微博、QQ空間、貼吧、論壇等社交軟體時，要盡可能避免透露或標注真實身份信息，以防不法分子盜取個人信息；
7、在朋友圈曬照片時，不曬包含個人信息的照片，如要曬姓名、身份證號、二維碼等個人信息有關的照片時，發前先進行模糊處理；
8、在公共網路環境中不處理個人敏感信息，不隨意接入開放WIFI；
9、不隨意在不明網站或APP上進行實名認證注冊，在注冊使用網站或APP時需查看是否含隱私政策或用戶協議等，查看對應內容，確保自身權益得到相應保障，防止霸王條款；
10、不要隨便掃二維碼，不要隨便接收來歷不明的文件。
【法律依據】：《中華人民共和國網路安全法》
第十一條網路相關行業組織按照章程，加強行業自律，制定網路安全行為規范，指導會員加強網路安全保護，提高網路安全保護水平，促進行業健康發展。
第十二條國家保護公民、法人和其他組織依法使用網路的權利，促進網路接入普及，提升網路服務水平，為社會提供安全、便利的網路服務，保障網路信息依法有序自由流動。
任何個人和組織使用網路應當遵守憲法法律，遵守公共秩序，尊重社會公德，不得危害網路安全，不得利用網路從事危害國家安全、榮譽和利益，煽動顛覆國家政權、推翻社會主義制度，煽動分裂國家、破壞國家統一，宣揚恐怖主義、極端主義，宣揚民族仇恨、民族歧視，傳播暴力、淫穢色情信息，編造、傳播虛假信息擾亂經濟秩序和社會秩序，以及侵害他人名譽、隱私、知識產權和其他合法權益等活動。

4. 如何保證網路安全

保障網路安全措施如下：制定內部安全管理制度和操作規程，確定網路安全負責人，落實網路安全保護責任；採取防範計算機病毒和網路攻擊、網路侵入等危害網路安全行為的技術措施；採取監測、記錄網路運行狀態、網路安全事件的技術措施，並按照規定留存相關的網路日誌不少於六個月；採取數據分類、重要數據備份和加密等措施。
【法律依據】
《網路安全法》第二十一條
國家實行網路安全等級保護制度。網路運營者應當按照網路安全等級保護制度的要求，履行下列安全保護義務，保障網路免受干擾、破壞或者未經授權的訪問，防止網路數據泄露或者被竊取、篡改：
（一）制定內部安全管理制度和操作規程，確定網路安全負責人，落實網路安全保護責任；
（二）採取防範計算機病毒和網路攻擊、網路侵入等危害網路安全行為的技術措施；
（三）採取監測、記錄網路運行狀態、網路安全事件的技術措施，並按照規定留存相關的網路日誌不少於六個月；
（四）採取數據分類、重要數據備份和加密等措施；
（五）法律、行政法規規定的其他義務。

5. 如何保證網路安全

上網幾乎是天天都要做的事情，網路安全很重要，如何才能確保上網安全，與你分享幾招。

6. 如何做好網路安全呢

一、做好基礎性的防護工作，伺服器安裝干凈的操作系統，不需要的服務一律不裝，多一項就多一種被入侵的可能性，打齊所有補丁，微軟的操作系統當然推薦 WIN2K3，性能和安全性比WIN2K都有所增強，選擇一款優秀的殺毒軟體，至少能對付大多數木馬和病毒的，安裝好殺毒軟體，設置好時間段自動上網升級，設置好帳號和許可權，設置的用戶盡可能的少，對用戶的許可權盡可能的小，密碼設置要足夠強壯。對於 MSSQL，也要設置分配好許可權，按照最小原則分配。最好禁用xp_cmdshell。有的網路有硬體防火牆，當然好，但僅僅依靠硬體防火牆，並不能阻擋hacker的攻擊，利用反向連接型的木馬和其他的辦法還是可以突破硬體防火牆的阻擋。WIN2K3系統自帶的防火牆功能還不夠強大，建議打開，但還需要安裝一款優秀的軟體防火牆保護系統，我一般習慣用ZA，論壇有很多教程了。對於對互聯網提供服務的伺服器，軟體防火牆的安全級別設置為最高，然後僅僅開放提供服務的埠，其他一律關閉，對於伺服器上所有要訪問網路的程序，現在防火牆都會給予提示是否允許訪問，根據情況對於系統升級，殺毒軟體自動升級等有必要訪問外網的程序加到防火牆允許訪問列表。那麼那些反向連接型的木馬就會被防火牆阻止，這樣至少系統多了一些安全性的保障，給hacker入侵就多一些阻礙。網路上有很多基礎型的防護資料，大家可以查查相關伺服器安全配置方面的資料。

二、修補所有已知的漏洞，未知的就沒法修補了，所以要養成良好的習慣，就是要經常去關注。了解自己的系統，知彼知己，百戰百勝。所有補丁是否打齊，比如mssql,server-U，論壇程序是否還有漏洞，每一個漏洞幾乎都是致命的，系統開了哪些服務，開了哪些埠，目前開的這些服務中有沒有漏洞可以被黑客應用，經常性的了解當前黑客攻擊的手法和可以被利用的漏洞，檢查自己的系統中是否存在這些漏洞。比如SQL注入漏洞，很多網站都是因為這個伺服器被入侵，如果我們作為網站或者伺服器的管理者，我們就應該經常去關注這些技術，自己經常可以用一些安全性掃描工具檢測檢測，比如X- scan，snamp, nbsi，PHP注入檢測工具等，或者是用當前比較流行的hacker入侵工具檢測自己的系統是否存在漏洞，這得針對自己的系統開的服務去檢測，發現漏洞及時修補。網路管理人員不可能對每一方面都很精通，可以請精通的人員幫助檢測，當然對於公司來說，如果系統非常重要，應該請專業的安全機構來檢測，畢竟他們比較專業。

三、伺服器的遠程管理，相信很多人都喜歡用server自帶的遠程終端，我也喜歡，簡潔速度快。但對於外網開放的伺服器來說，就要謹慎了，要想到自己能用，那麼這個埠就對外開放了，黑客也可以用，所以也要做一些防護了。一就是用證書策略來限制訪問者，給 TS配置安全證書，客戶端訪問需要安全證書。二就是限制能夠訪問伺服器終端服務的IP地址。三是可以在前兩者的基礎上再把默認的3389埠改一下。當然也可以用其他的遠程管理軟體，pcanywhere也不錯。

四、另外一個容易忽視的環節是網路容易被薄弱的環節所攻破，伺服器配置安全了，但網路存在其他不安全的機器，還是容易被攻破，「千里之堤，潰於蟻穴 」。利用被控制的網路中的一台機器做跳板，可以對整個網路進行滲透攻擊，所以安全的配置網路中的機器也很必要。說到跳板攻擊，水平稍高一點的hacker 攻擊一般都會隱藏其真實IP，所以說如果被入侵了，再去追查的話是很難成功的。Hacker利用控制的肉雞，肉雞一般都是有漏洞被完全控制的計算機，安裝了一些代理程序或者黑客軟體，比如DDOS攻擊軟體，跳板程序等，這些肉雞就成為黑客的跳板，從而隱藏了真實IP。

五、最後想說的是即使大家經過層層防護，系統也未必就絕對安全了，但已經可以抵擋一般的hacker的攻擊了。連老大微軟都不能說他的系統絕對安全。系統即使只開放80埠，如果服務方面存在漏洞的話，水平高的hacker還是可以鑽進去，所以最關鍵的一點我認為還是關注最新漏洞，發現就要及時修補。「攻就是防，防就是攻」 ，這個觀點我比較贊同，我說的意思並不是要去攻擊別人的網站，而是要了解別人的攻擊手法，更好的做好防護。比如不知道什麼叫克隆管理員賬號，也許你的機器已經被入侵並被克隆了賬號，可能你還不知道呢?如果知道有這種手法，也許就會更注意這方面。自己的網站如果真的做得無漏洞可鑽，hacker也就無可奈何了。

7. 如何構建計算機網路安全

區域網
首先，要統一IP地址並綁定MAC；其次，要在硬體防火牆設置IP規則及策略；再者，每一台電腦要安裝殺毒軟體並統一給員工進行培訓，伺服器上關閉駭客常用埠，並安裝蜜罐系統。
我們知道，駭客們攻擊網路之前要進行踩點偵查，所以，為了迷惑駭客我們將IP進行隱藏。
為了防止駭客監聽網路數據包，我們將數據包加密。
經常更新漏洞是關鍵，最好每個月進行一次入侵檢測。

8. 網路安全怎麼做

1.安裝安全種類的軟體 要注意的就是電腦或者手機有沒有安裝安全種類的軟體,當然安全軟體安裝一類就可以了,不在多在精,所以說如果沒安裝,就相當於沒有一層保護罩。
2.及時修復安全漏洞 要注意及時修復安全漏洞,安裝好安全軟體之後,如果有高危漏洞肯定是會有...
3.不隨意打開不健康網頁 接下來要說的就是個人的一些上網行為了。在上網的過程中,不要隨意打開...
4.不在網路上透露自己的個人信息或朋友、家人信息 網路是一個信息傳遞非常迅速的平台,所以在.

9. 如何構建安全網路環境

微型計算機和區域網的廣泛應用,基於client/server體系結構的分布式系統的出現,I
SDN,寬頻ISDN的興起,ATM技術的實施,衛星通信及全球信息網的建設,根本改變了以往主機
-終端型的網路應用模式;傳統的、基於Mainframe的安全系統結構已不能適用於新的網路環
境,主要原因是:
(1)微型機及LAN的引入,使得網路結構成多樣化,網路拓撲復雜化;
(2)遠地工作站及遠地LAN對Mainframe的多種形式的訪問,使得網路的地理分布擴散化
;
(3)多種通訊協議的各通訊網互連起來,使得網路通信和管理異質化。
構作Micro-LAN-Mainframe網路環境安全體系結構的目標同其它應用環境中信息安全的
目標一致,即:
(1)存儲並處理於計算機和通信系統中的信息的保密性；
(2)存儲並處理於計算機和通信系統中的信息的完整性；
(3)存儲並處理於計算機和通信系統中的信息的可用性；
(4)對信息保密性、完整性、拒絕服務侵害的監查和控制。
對這些安全目標的實現不是絕對的,在安全系統構作中,可因地制宜,進行適合於自身條
件的安全投入,實現相應的安全機制。但有一點是應該明確的,信息安全是國民經濟信息化
必不可少的一環,只有安全的信息才是財富。
對於潛在的財產損失,保險公司通常是按以下公式衡量的:
潛在的財產損失=風險因素×可能的損失
這里打一個比方,將信息系統的安全威脅比作可能的財產損失,將系統固有的脆弱程度
比作潛在的財產損失,於是有:
系統的脆弱程度=處於威脅中的系統構件×安全威脅
此公式雖不能將系統安全性定量化,但可以作為分析信息安全機制的適用性和有效性的
出發點。
對計算機犯罪的統計表明,絕大多數是內部人員所為。由於在大多數Micro-LAN-Mainf
rame系統中,用戶登錄信息、用戶身份證件及其它數據是以明文形式傳輸的,任何人通過連
接到主機的微型機都可秘密地竊取上述信息。圖1給出了我們在這篇文章中進行安全性分析
的網路模型,其安全性攻擊點多達20個。本文以下各部分將詳細討論對此模型的安全威脅及
安全對策。
@@14219700.GIF;圖1.Micro-LAN-Mainframe網路模型@@
二、開放式系統安全概述
1.OSI安全體系結構
1989年2月15日,ISO7498-2標準的頒布,確立了OSI參考模型的信息安全體系結構,它對
構建具體網路環境的信息安全構架有重要的指導意義。其核心內容包括五大類安全服務以
及提供這些服務所需要的八類安全機制。圖2所示的三維安全空間解釋了這一體系結構。
@@14219701.GIF;ISO安全體系結構@@
其中,一種安全服務可以通過某種安全機制單獨提供,也可以通過多種安全機制聯合提
供;一種安全機制可用於提供一種或多種安全服務。
2.美軍的國防信息系統安全計劃DISSP
DISSP是美軍迄今為止最龐大的信息系統安全計劃。它將為美國防部所有的網路(話音
、數據、圖形和視頻圖象、戰略和戰術)提供一個統一的、完全綜合的多級安全策略和結構
,並負責管理該策略和結構的實現。圖3所示的DISSP安全框架三維模型,全面描述了信息系
統的安全需求和結構。第一維由九類主要的安全特性外加兩類操作特性組成,第二維是系統
組成部件,它涉及與安全需求有關的信息系統部件,並提供一種把安全特性映射到系統部件
的簡化手段;第三維是OSI協議層外加擴展的兩層,OSI模型是面向通信的,增加兩層是為了適
應信息處理。
@@14219702.GIF;DISSP安全框架雛形@@
3.通信系統的安全策略
1節和2節較全面地描述了信息系統的安全需求和結構,具有相當的操作指導意義。但僅
有這些,對於構作一個應用於某組織的、具體的網路應用環境的安全框架或安全系統還是不
夠的。
目前,計算機廠商在開發適用於企業范圍信息安全的有效策略方面並沒有走在前面,這
就意味著用戶必須利用現有的控制技術開發並維護一個具有足夠安全級別的分布式安全系
統。一個安全系統的構作涉及的因素很多,是一個龐大的系統工程。一個明晰的安全策略必
不可少,它的指導原則如下:
·對安全暴露點實施訪問控制；
·保證非法操作對網路的數據完整性和可用性無法侵害；
·提供適當等級的、對傳送數據的身份鑒別和完整性維護；
·確保硬體和線路的聯接點的物理安全；
·對網路設備實施訪問控制；
·控制對網路的配置；
·保持對網路設施的控制權；
·提供有準備的業務恢復。
一個通信系統的安全策略應主要包括以下幾個方面的內容:
總綱；
適用領域界定；
安全威脅分析；
企業敏感信息界定；
安全管理、責任落實、職責分明；
安全控制基線；
網路操作系統；
信息安全:包括用戶身份識別和認證、文件伺服器控制、審計跟蹤和安全侵害報告、數
據完整性及計算機病毒；
網路安全:包括通信控制、系統狀態控制、撥號呼叫訪問控制；
災難恢復。
三、LAN安全
1.LAN安全威脅
1)LAN環境因素造成的安全威脅
LAN環境因素,主要是指LAN用戶缺乏安全操作常識;LAN提供商的安全允諾不能全部兌現
。
2)LAN自身成員面臨的安全威脅
LAN的每一組成部件都需要保護,包括伺服器、工作站、工作站與LAN的聯接部件、LAN
與LAN及外部世界的聯接部件、線路及線路接續區等。
3)LAN運行時面臨的安全威脅
(1)通信線路上的電磁信號輻射
(2)對通信介質的攻擊,包括被動方式攻擊(搭線竊聽)和主動方式攻擊(無線電仿冒)
(3)通過聯接上網一個未經授權的工作站而進行的網路攻擊。攻擊的方式可能有：竊聽
網上登錄信息和數據;監視LAN上流量及與遠程主機的會話,截獲合法用戶log off指令,繼續
與主機會話;冒充一個主機LOC ON,從而竊取其他用戶的ID和口令。
(4)在合法工作站上進行非法使用,如竊取其他用戶的ID、口令或數據
(5)LAN與其他網路聯接時,即使各成員網原能安全運行,聯網之後,也可能發生互相侵害
的後果。
(6)網路病毒
4)工作站引發的安全威脅
(1)TSR和通信軟體的濫用:在分布式應用中,用戶一般在本地微機及主機擁有自己的數
據。將微機作為工作站,LAN或主機系統繼承了其不安全性。TSR是用戶事先載入,由規定事
件激活的程序。一個截獲屏幕的TSR可用於竊取主機上的用戶信息。這樣的TSR還有許多。
某些通信軟體將用戶鍵入字元序列存為一個宏,以利於實現對主機的自動LOGON,這也是很危
險的。
(2)LAN診斷工具的濫用:LAN診斷工具本用於排除LAN故障,通過分析網上數據包來確定
線路雜訊。由於LAN不對通信鏈路加密,故LAN診斷工具可用於竊取用戶登錄信息。
(3)病毒與微機通信:例如Jerusalem-B病毒可使一個由幾千台運行3270模擬程序的微機
組成的網路癱瘓。
2 LAN安全措施
1)通信安全措施
(1)對抗電磁信號偵聽:電纜加屏蔽層或用金屬管道,使較常規電纜難以搭線竊聽;使用
光纖消除電磁輻射;對敏感區域(如電話室、PBX所在地、伺服器所在地)進行物理保護。
(2)對抗非法工作站的接入:最有效的方法是使用工作站ID,工作站網卡中存有標識自身
的唯一ID號,LAN操作系統在用戶登錄時能自動識別並進行認證。
(3)對抗對合法工作站的非法訪問:主要通過訪問控制機制,這種機制可以邏輯實現或物
理實現。
(4)對通信數據進行加密,包括鏈路加密和端端加密。
2)LAN安全管理
(1)一般控制原則,如對伺服器訪問只能通過控制台;工作站間不得自行聯接;同一時刻
,一個用戶只能登錄一台工作站;禁止使用網上流量監視器;工作站自動掛起;會話清除;鍵盤
封鎖;交易跟蹤等。
(2)訪問控制,如文件應受保護,文件應有多級訪問權力;SERVER要求用戶識別及認證等
。
(3)口令控制,規定最大長度和最小長度;字元多樣化;建立及維護一個軟字型檔,鑒別弱口
令字;經常更換口令等。
(4)數據加密:敏感信息應加密
(5)審計日誌:應記錄不成功的LOGIN企圖,未授權的訪問或操作企圖,網路掛起,脫離聯
接及其他規定的動作。應具備自動審計日誌檢查功能。審計文件應加密等。
(6)磁碟利用:公用目錄應只讀,並限制訪問。
(7)數據備份:是LAN可用性的保證;
(8)物理安全:如限制通信訪問的用戶、數據、傳輸類型、日期和時間;通信線路上的數
據加密等。
四、PC工作站的安全
這里,以荷蘭NMB銀行的PC安全工作站為例,予以說明。在該系統中,PC機作為IBM SNA主
機系統的工作站。
1.PC機的安全局限
(1)用戶易於攜帶、易於訪問、易於更改其設置。
(2)MS-DOS或PC-DOS無訪問控制功能
(3)硬體易受侵害;軟體也易於攜帶、拷貝、注入、運行及損害。
2.PC安全工作站的目標
(1)保護硬體以對抗未授權的訪問、非法篡改、破壞和竊取；
(2)保護軟體和數據以對抗:未授權的訪問、非法篡改、破壞和竊取、病毒侵害；
(3)網路通信和主機軟硬體也應類似地予以保護；
3.安全型PC工作站的設計
(1)PC硬體的物理安全:一個的可行的方法是限制對PC的物理訪問。在PC機的後面加一
個盒子,只有打開這個盒子才能建立所需要的聯接。
(2)軟體安全:Eracon PC加密卡提供透明的磁碟訪問;此卡提供了4K位元組的CMOS存儲用
於存儲密鑰資料和進行密鑰管理。其中一半的存儲區對PC匯流排是只可寫的,只有通過卡上數
據加密處理的密鑰輸入口才可讀出。此卡同時提供了兩個通信信道,其中一個支持同步通信
。具體的安全設計細節還有:
A、使用Clipcards提供的訪問權授予和KEY存儲(為離線應用而設)、Clipcards讀寫器
接於加密卡的非同步口。
B、對硬碟上全部數據加密,對不同性質的文件區分使用密鑰。
C、用戶LOGON時,強制進入與主機的安全監控器對話,以對該用戶進行身份驗證和權力
賦予;磁碟工作密鑰從主機傳送過來或從Clipcards上讀取(OFFLINE);此LOGON外殼控制應用
環境和密鑰交換。
D、SNA3270模擬器:利用Eracon加密卡實現與VTAM加解密設備功能一致的對數據幀的加
密。
E、主機安全監控器(SECCON):如果可能,將通過3270模擬器實現與PC安全監控程序的不
間斷的會話;監控器之間的一套消息協議用於完成對系統的維護。
五、分布式工作站的安全
分布式系統的工作站較一般意義上的網路工作站功能更加全面,它不僅可以通過與網上
伺服器及其他分布式工作站的通信以實現信息共享,而且其自身往往具備較強的數據存儲和
處理能力。基於Client/Server體系結構的分布式系統的安全有其特殊性,表現如下:
(1)較主機系統而言,跨區域網和廣域網,聯接區域不斷擴展的工作站環境更易受到侵害
;
(2)由於工作站是分布式的;往往分布於不同建築、不同地區、甚至不同國家,使安全管
理變得更加復雜;
(3)工作站也是計算機犯罪的有力工具,由於它分布廣泛,安全威脅無處不在;
(4)工作站環境往往與Internet及其他半公開的數據網互聯,因而易受到更廣泛的網路
攻擊。
可見,分布式工作站環境的安全依賴於工作站和與之相聯的網路的安全。它的安全系統
應不劣於主機系統,即包括用戶的身份識別和認證;適當的訪問控制;強健的審計機制等。除
此之外,分布式工作站環境還有其自身的特殊安全問題,如對網路伺服器的認證,確保通信中
數據的保密性和完整性等。這些問題將在後面討論。
六、通信中的信息安全
通過以上幾部分的討論,我們已將圖1所示的網路組件(包括LAN、網路工作站、分布式
工作站、主機系統)逐一進行了剖析。下面,我們將就它們之間的聯接安全進行討論。
1.加密技術
結合OSI七層協議模型,不難理解加密機制是怎樣用於網路的不同層次的。
(1)鏈路加密:作用於OSI數據模型的數據鏈路層,信息在每一條物理鏈路上進行加密和
解密。它的優點是獨立於提供商,能保護網上控制信息;缺點是浪費設備,降低傳輸效率。
(2)端端加密:作用於OSI數據模型的第4到7層。其優點是花費少,效率高;缺點是依賴於
網路協議,安全性不是很高。
(3)應用加密:作用於OSI數據模型的第7層,獨立於網路協議;其致命缺點是加密演算法和
密鑰駐留於應用層,易於失密。
2.撥號呼叫訪問的安全
撥號呼叫安全設備主要有兩類,open-ended設備和two-ended設備,前者只需要一台設備
,後者要求在線路兩端各加一台。
(1)open-ended設備:主要有兩類,埠保護設備(PPDs)和安全數據機。PPDs是處於
主機埠和撥號線路之間的前端通信處理器。其目的是隱去主機的身份,在將用戶請求送至
主機自身的訪問控制機制前,對該用戶進行預認證。一些PPDs具有回叫功能,大部分PPDs提
供某種形式的攻擊示警。安全數據機主要是回叫型的,大多數有內嵌口令,用戶呼叫調
制解調器並且輸入口令,數據機驗證口令並拆線。數據機根據用戶口令查到相應電
話號碼,然後按此號碼回叫用戶。
(2)two-ended設備:包括口令令牌、終端認證設備、鏈路加密設備和消息認證設備。口
令令牌日益受到大家歡迎,因為它在認證線路另一端的用戶時不需考慮用戶的位置及網路的
聯接類型。它比安全數據機更加安全,因為它允許用戶移動,並且禁止前向呼叫。
口令令牌由兩部分組成,運行於主機上與主機操作系統和大多數常用訪問控制軟體包接
口的軟體,及類似於一個接卡箱運算器的硬體設備。此軟體和硬體實現相同的密碼演算法。當
一個用戶登錄時,主機產生一個隨機數給用戶,用戶將該隨機數加密後將結果返回給主機;與
此同時,運行於主機上的軟體也作同樣的加密運算。主機將這兩個結果進行對比,如果一致
,則准予登錄。
終端認證設備是指將各個終端唯一編碼,以利於主機識別的軟體及硬體系統。只有帶有
正確的網路介面卡(NIC)標識符的設備才允許登錄。
鏈路加密設備提供用於指導線路的最高程度的安全保障。此類系統中,加密盒置於線路
的兩端,這樣可確保傳送數據的可信性和完整性。唯一的加密密鑰可用於終端認證。
消息認證設備用於保證傳送消息的完整性。它們通常用於EFT等更加註重消息不被更改
的應用領域。一般採用基於DES的加密演算法產生MAC碼。
七、安全通信的控制
在第六部分中,我們就通信中採取的具體安全技術進行了較為詳細的討論。但很少涉及
安全通信的控制問題,如網路監控、安全審計、災難恢復、密鑰管理等。這里,我們將詳細
討論Micro-LAN-Mainframe網路環境中的用戶身份認證、伺服器認證及密鑰管理技術。這三
個方面是緊密結合在一起的。
1.基於Smartcards的用戶認證技術
用戶身份認證是網路安全的一個重要方面,傳統的基於口令的用戶認證是十分脆弱的。
Smartcards是一類一話一密的認證工具,它的實現基於令牌技術。其基本思想是擁有兩個一
致的、基於時間的加密演算法,且這兩個加密演算法是同步的。當用戶登錄時,Smartcards和遠
端系統同時對用戶鍵入的某一個系統提示的數進行運算(這個數時刻變化),如果兩邊運行結
果相同,則證明用戶是合法的。
在這一基本的Smartcards之上,還有一些變種,其實現原理是類似的。
2.kerboros用戶認證及保密通信方案
對於分布式系統而言,使用Smartcards,就需要為每一個遠地系統准備一個Smartcard,
這是十分繁瑣的,MIT設計與開發的kerboros用戶認證及保密通信方案實現了對用戶的透明
,和對用戶正在訪問的網路類型的免疫。它同時還可用於節點間的保密通信及數據完整性的
校驗。kerboros的核心是可信賴的第三方,即認證服務中心,它擁有每一個網路用戶的數據
加密密鑰,需要用戶認證的網路服務經服務中心注冊,且每一個此類服務持有與服務中心通
信的密鑰。
對一個用戶的認證分兩步進行,第一步,kerboros認證工作站上的某用戶;第二步,當該
用戶要訪問遠地系統伺服器時,kerboros起一個中介人的作用。
當用戶首次登錄時,工作站向伺服器發一個請求,使用的密鑰依據用戶口令產生。服務
中心在驗明用戶身份後,產生一個ticket,所使用的密鑰只適合於該ticket-granting服務。
此ticket包含用戶名、用戶IP地址、ticket-granting服務、當前時間、一個隨機產生的密
鑰等;服務中心然後將此ticket、會話密鑰用用戶密鑰加密後傳送給用戶;用戶將ticket解
密後,取出會話密鑰。當用戶想聯接某網路伺服器時,它首先向服務中心發一個請求,該請求
由兩部分組成,用戶先前收到的ticket和用戶的身份、IP地址、聯接伺服器名及一個時間值
,此信息用第一次傳回的會話密鑰加密。服務中心對ticket解密後,使用其中的會話密鑰對
用戶請求信息解密。然後,服務中心向該用戶提供一個可與它相聯接的伺服器通信的會話密
鑰及一個ticket,該ticket用於與伺服器通信。
kerboros方案基於私鑰體制,認證服務中心可能成為網路瓶頸,同時認證過程及密鑰管
理都十分復雜。
3.基於公鑰體制的用戶認證及保密通信方案
在ISO11568銀行業密鑰管理國際標准中,提出了一種基於公鑰體制,依託密鑰管理中心
而實現的密鑰管理方案。該方案中,通信雙方的會話密鑰的傳遞由密鑰管理中心完成,通信
雙方的身份由中心予以公證。這樣就造成了密鑰管理中心的超負荷運轉,使之成為網上瓶頸
,同時也有利於攻擊者利用流量分析確定網路所在地。
一個改進的方案是基於公鑰體制,依託密鑰認證中心而實現的密鑰管理方案。該方案中
,通信雙方會話密鑰的形成由雙方通過交換密鑰資料而自動完成,無須中心起中介作用,這樣
就減輕了中心的負擔,提高了效率。由於篇幅所限,這里不再展開討論。
八、結論
計算機網路技術的迅速發展要求相應的網路安全保障,一個信息系統安全體系結構的確
立有助於安全型信息系統的建設,一個具體的安全系統的建設是一項系統工程,一個明晰的
安全策略對於安全系統的建設至關重要,Micro-LAN-Mainframe網路環境的信息安全是相對
的,但其豐富的安全技術內涵是值得我們學習和借鑒的。

10. 企業如何做好網路安全

中小企業網路安全問題嚴重
垃圾郵件、病毒、間諜軟體和不適內容會中斷業務運行，這些快速演變的威脅隱藏在電子郵件和網頁中，並通過網路快速傳播，消耗著有限的網路和系統資源。要防範這些威脅，就需要在網路安全方面有所投入才行。但現在的經濟形勢讓眾多中小企業面臨生存挑戰，IT投入的縮減，專業人員的不足等因素，相比大型企業來說，都讓中小企業在對付網路威脅方面更加無助。
即使投入有限，中小企業的網路安全需求一點也不比大企業少。在現實情況中，中小企業往往還對便捷的管理、快速的服務響應等要求更高。那麼中小企業如何在有限的投入中構建完善的網路安全體系呢？試試下面這幾招。
第一招：網關端防護事半功倍
內部病毒相互感染、外部網路的間諜軟體、病毒侵襲等危害，使得僅僅依靠單一安全產品保證整個網路安全穩定運行的日子一去不復返了。而應對目前新型的Web威脅，利用架設在網關處的安全產品，在威脅進入企業網路之前就將其攔截在大門之外是更加有效的方法。對於中小企業來說，選擇一款功能全面、易於管理和部署的網關安全設備，不但可以在第一時間內對各類Web流量內容進行掃描過濾，同時也可以大大減輕各應用伺服器主機的負荷。
比如，趨勢科技推出的IGSA就包含了防病毒、防垃圾郵件和內容過濾、防間諜軟體、防網路釣魚、防僵屍保護以及URL過濾服務等眾多功能，並且可以統一集中管理，通過日誌報告還讓網路運行安全情況一目瞭然，大大減少了信息安全管理的工作量。
第二招：運用「雲安全」免去內存升級壓力
目前中小企業內網安全也不容忽視，而且要求實現集中管理和保護內部桌面計算機。在網路威脅飆升的今天，更新病毒碼成為每天必備的工作，但傳統代碼比對技術的流程性問題正在導致查殺病毒的有效性急劇下降。趨勢科技推出的雲安全解決方案超越了病毒樣本分析處理機制，通過雲端伺服器群對互聯網上的海量信息源進行分析整理，將高風險信息源保存到雲端資料庫中，當用戶訪問時，通過實時查詢信息源的安全等級，就可以將高風險信息及時阻擋，從而讓用戶頻繁的更新病毒碼工作成為歷史。
目前，桌面端防護的用戶數是網關防護用戶數的5倍，桌面防護在現階段也是必不可少的手段，但要求減輕更新負擔和加強管理便捷性。這方面，趨勢科技的Office Scan通過應用最新的雲安全技術，使桌面端防護不再依賴於病毒碼更新，降低了帶寬資源和內存資源的佔用和壓力。
第三招：安全服務節省管理成本
網路安全管理成本在整個網路安全解決方案中佔有一定比例，如果用三分技術、七分管理的理論來解釋，這方面成本顯然更高。如何才能在專業管理人員有限的狀況下，達到安全管理的目標呢？中小企業可以藉助安全廠商的專家技術支持，高效、專業地保障網路安全運行。也就是借用外力來管理自己的網路安全設備，將比自己培養管理人員成本更低，而且效果更佳。
目前，已有包括趨勢科技在內的多家廠商提供此類服務。
第四招：培養安全意識一勞永逸
對於網路安全而言，薄弱的環節除了安全技術的滯後外，內部員工的安全意識不強也是重要因素。大量網路威脅的出現，與員工的應用操作不當有密切關聯，如隨意訪問含有惡意代碼的網站、下載和使用電子郵件發送帶有病毒的附件、不更新病毒碼等。所以，組織網路安全知識培訓也必不可少，管理層還要制定一套完善的網路安全策略。
網路安全建設要具有長遠的眼光，不能僅僅為了眼前的幾種威脅而特意部署安全方案，只有從硬體、軟體、服務等方面綜合考慮，選擇實力強的安全解決方案，才可以低價優質的保護網路安全。