网络安全技术

第一篇：网络安全技术

网络安全技术

——防火墙技术与病毒

摘 要：

计算机网络安全，指致力于解决诸如如何有效进行介入控制，以及如何保证数据传输的安全性的技术手段。而计算机网络安全主要包括计算机网络安全的概况、虚拟网技术、防火墙技术、入侵检测技术, 安全扫描技术, 电子认证和数字签名技术.VPN技术、数据安全、计算机病毒等。防火墙技术作为时下比较成熟的一种网络安全技术，其安全性直接关系到用户的切身利益。针对网络安全独立元素——防火墙技术，通过对防火墙日志文件的分析，设计相应的数学模型和软件雏形，采用打分制的方法，判断系统的安全等级，实现对目标网络的网络安全风险评估，为提高系统的安全性提供科学依据。本文将以最常见的WORD宏病毒为例来解释计算机病毒传播过程。

关键词：网络安全 防火墙技术 计算机病毒

1.1 研究背景

随着互联网的普及和发展，尤其是Internet的广泛使用，使计算机应用更加广泛与深入。同时，我们不得不注意到，网络虽然功能强大，也有其脆弱易受到攻击的一面。据美国FBI统计，美国每年因网络安全问题所造成的经济损失高达75亿美元，而全求平均每20秒钟就发生一起Internet计算机侵入事件。在我国，每年因黑客入侵、计算机病毒的破坏也造成了巨大的经济损失。人们在利用网络的优越性的同时，对网络安全问题也决不能忽视。如何建立比较安全的网络体系，值得我们关注研究。

1.2 计算机病毒简介

计算机病毒是指那些具有自我复制能力的计算机程序, 它能影响计算机软件、硬件的正常运行, 破坏数据的正确与完整。计算机病毒的来源多种多样, 有的是计算机工作人员或业余爱好者为了纯粹寻开心而制造出来的;有的则是软件公司为保护自己的产品被非法拷贝而制造的报复性惩罚, 因为他们发现病毒比加密对付非法拷贝更有效且更有威胁, 这种情况助长了病毒的传播。还有一种情况就是蓄意破坏, 它分为个人行为和政府行为两种, 个人行为多为雇员对雇主的报复行为, 而政府行为则是有组织的战略战术手段。另外有的病毒还是用于研究或实验而设计的“有用”程序, 由于某种原因失去控制扩散出实验室, 从而成为危害四方的计算机病毒。

1987 年, 计算机用户忽然发现, 在世界的各个角落, 几乎同时出现了形形色色的计算机病毒。Brain, Lenig h, IBM 圣诞树, 黑色星期五, 特别是近期发现的几种病毒, 其名气也最大, 它们是: 台湾一号病毒、DIR-Ⅱ病毒、幽灵病毒、米开朗基罗病毒等, 至今, 病毒种类已超过一万种。

1988 年底, 我国国家统计系统发现小球病毒。随后, 中国有色金属总公司所属昆明、天津、成都等地的一些单位, 全国一些科研部门和国家机关也相继发现病毒入侵。自从“中国炸弹”病毒出现后,已发现越来越多的国产病毒。比如目前国内主要有:感染Window s3.x 的“V3783”,感染Window s95/ 98的“CIH”病毒。

纵观计算机病毒的发展历史, 我们不难看出, 计算机病毒已从简单的引导型、文件型病毒或它们的混合型发展到了多形性病毒、欺骗性病毒、破坏性病毒。已从攻击安全性较低的DOS平台发展到攻击安全性较高的Window s95/ 98平台;从破坏磁盘数据发展到直接对硬件芯片进行攻击。1995 年宏病毒的出现, 使病毒从感染可执行文件过渡到感染某些非纯粹的数据文件。最近有资料显示已发现JAVA病毒, 各种迹象表明病毒正向着各个领域渗透, 这些新病毒更隐秘, 破坏性更强。

计算机病毒的种类很多, 不同种类的病毒有着各自不同的特征, 它们有的以感染文件为主、有的以感染系统引导区为主, 大多数病毒只是开个小小的玩笑。

按传染方式分类可分为引导型病毒、文件型病毒和混合型病毒3种。引导型病毒主要是感染磁盘的引导区, 系统从包含了病毒的磁盘启动时传播, 它一般不对磁盘文件进行感染;文件型病毒一般只传染磁盘上的可执行文件(COM, EXE), 其特点是附着于正常程序文件, 成为程序文件的一个外壳或部件;混合型病毒则兼有以上两种病毒的特点, 既感染引导区又感染文件, 因此扩大了这种病毒的传染途径。

按连接方式分类可分为源码型病毒、入侵型病毒和操作系统型病毒等3 种。其中源码型病毒主要攻击高级语言编写的源程序, 它会将自己插入到系统的源程序中, 并随源程序一起编译、连接成可执行文件, 从而导致刚刚生成的可执行文件直接带毒;入侵型病毒用自身代替正常程序中的部分模块或堆栈区的病毒, 它只攻击某些特定程序, 针对性强;操作系统型病毒是用其自身部分加入或替代操作系统的部分功能, 危害性较大。

病毒按程序运行平台分类可分为DOS 病毒、Windows 病毒、WindowsNT病毒、OS/2 病毒等, 它们分别是发作于DOS,Windows9X,WindowsNT, OS/2等操作系统平台上的病毒。而计算机病毒的主要危害：不同的计算机病毒有不同的破坏行为, 其中有代表性的行为如下: 一是攻击系统数据区, 包括硬盘的主引导扇区、Boot 扇区、FAT 表、文件目录。一般来说, 攻击系统数据区的病毒是恶性病毒, 受损的数据不易恢复。二是攻击文件, 包括删除、改名、替换文件内容、删除部分程序代码、内容颠倒、变碎片等等。三是攻击内存。

1.3防火墙概述

随着Internet的迅速发展，网络应用涉及到越来越多的领域，网络中各类重要的、敏感的数据逐渐增多;同时由于黑客入侵以及网络病毒的问题，使得网络安全问题越来越突出。因此，保护网络资源不被非授权访问，阻止病毒的传播感染显得尤为重要。就目前而言，对于局部网络的保护，防火墙仍然不失为一种有效的手段，防火墙技术主要分为包过滤和应用代理两类。其中包过滤作为最早发展起来的一种技术，其应用非常广泛。

防火墙是设置在被保护网络和外部网络之间的一道屏障，以防止发生不可预测的、潜在破坏性的侵入。[4]防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。防火墙提供信息安全服务，是实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，它有效地监控了内部网络和互联网之间的任何活动，保证了内部网络的安全。

2.防火墙的原理及分类

顾名思义，包过滤防火墙[9]就是把接收到的每个数据包同预先设定的包过滤规则相比较，从而决定是否阻塞或通过。过滤规则是基于网络层IP包包头信息的比较。包过滤防火墙工作在网络层，IP包的包头中包含源、目的IP地址，封装协议类型(TCP，UDP，ICMP或IP Tunnel)，TCP/UDP端口号，ICMP消息类型，TCP包头中的ACK等等。如果接收的数据包与允许转发的规则相匹配，则数据包按正常情况处理;如果与拒绝转发的规则相匹配，则防火墙丢弃数据包;如果没有匹配规则，则按缺省情况处理。包过滤防火墙是速度最快的防火墙，这是因为它处于网络层，并且只是粗略的检查连接的正确性，所以在一般的传统路由器上就可以实现，对用户来说都是透明的。但是它的安全程度较低，很容易暴露内部网络，使之遭受攻击。例如，HTTP。通常是使用80端口。如果公司的安全策略允许内部员工访问网站，包过滤防火墙可能设置允所有80端口的连接通过，这时，意识到这一漏洞的外部人员可以在没有被认证的情况下进入私有网络。包过滤防火墙的维护比较困难，定义过滤规则也比较复杂，因为任何一条过滤规则的不完善都会给网络黑客造成可乘之机。同时，包过滤防火墙一般无法提供完善的日志。

应用级代理技术通过在OSI的最高层检查每一个IP包，从而实现安全策略。代理技术与包过滤技术完全不同，包过滤技术在网络层控制所有的信息流，而代理技术一直处理到应用层，在应用层实现防火墙功能。它的代理功能，就是在防火墙处终止客户连接并初始化一个新的连接到受保护的内部网络。这一内建代理机制提供额外的安全，这是因为它将内部和外部网络隔离开来，使网络外部的黑客在防火墙内部网络上进行探测变得困难，更重要的是能够让网络管理员对网络服务进行全面的控制。但是，这将花费更多的处理时间，并且由于代理防火墙支持的应用有限，每一种应用都需要安装和配置不同的应用代理程序。比如访问WEB站点的HTTP，用于文件传输的FTP，用于E一MAIL的SMTP/POP3等等。如果某种应用没有安装代理程序，那么该项服务就不被支持并且不能通过防火墙进行转发;同时升级一种应用时，相应的代理程序也必须同时升级。

代理服务(Proxy Service)也称链路级网关或TCP通道(Circuit Level Gateways or TCP Tunnels)，也有人将它归于应用级网关一类。它是针对数据包过滤[10]和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的“链接”，由两个终止代理服务器上的“链接”来实现，外部计算机的网络链路只能到达代理服务器，从而起到了隔离防火墙内外计算机系统的作用。此外，代理服务也对过往的数据包进行分析、注册登记，形成报告，同时当发现被攻击迹象时会向网络管理员发出警报，并保留攻击痕迹。应用代理型防火墙是内部网与外部网的隔离点，起着监视和隔绝应用层通信流的作用。同时 也常结合入过滤器的功能。它工作在OSI模型的最高层，掌握着应用系统中可用作安全决策的全部信息。

复合型防火墙：由于对更高安全性的要求，常把基于包过滤的方法与基于应用代理的方法结合起来，形成复合型防火墙产品。这种结合通常是以下两种方案。屏蔽主机防火墙体系结构，在该结构中，分组过滤路由器或防火墙与Internet相连，同时一个堡垒机安装在内部网络，通过在分组过滤器路由器或防火墙上过滤规则的设置，使堡垒机成为Internet上其他节点所能到达的唯一节点，这确保了内部网络不受未授权外部用户的攻击。屏蔽子网防火墙体系结构：堡垒机放在一个子网内，形成非军事化区，两个分组过滤路由器放在这一子网的两端，使这一子网与Internet及内部网络分离。在屏蔽子网防火墙体系结构中，堡垒机和分组过滤路由器共同构成了整个防火墙的安全基础。执行save命令保存退出后就可以在企业外网出口指定IP时实现防火墙数据转发以及安全保护功能了。

3.1防火墙包过滤技术发展趋势

(1)安全策略功能

一些防火墙厂商把在AAA系统上运用的用户认证及其服务扩展到防火墙中，使其拥有可以支持基于用户角色的安全策略功能。该功能在无线网络应用中非常必要。具有用户身份验证的防火墙通常是采用应用级网关技术的，包过滤技术的防火墙不具有。用户身份验证功能越强，它的安全级别越高，但它给网络通信带来的负面影响也越大，因为用户身份验证需要时间，特别是加密型的用户身份验证。

(2)多级过滤技术

所谓多级过滤技术，是指防火墙采用多级过滤措施，并辅以鉴别手段。在分组过滤(网络层)一级，过滤掉所有的源路由分组和假冒的IP源地址；在传输层一级，遵循过滤规则，过滤掉所有禁止出或/和入的协议和有害数据包如nuke包、圣诞树包等；在应用网关(应用层)一级，能利用FTP、SMTP等各种网关，控制和监测Internet提供的所用通用服务。这是针对以上各种已有防火墙技术的不足而产生的一种综合型过滤技术，它可以弥补以上各种单独过滤技术的不足。

这种过滤技术在分层上非常清楚，每种过滤技术对应于不同的网络层，从这个概念出发，又有很多内容可以扩展，为将来的防火墙技术发展打下基础。

(3)功能扩展

功能扩展是指一种集成多种功能的设计趋势，包括VPN、AAA、PKI、IPSec等附加功能，甚至防病毒、入侵检测这样的主流功能，都被集成到防火墙产品中了，很多时候我们已经无法分辨这样的产品到底是以防火墙为主，还是以某个功能为主了，即其已经逐渐向我们普遍称之为IPS（入侵防御系统）的产品转化了。有些防火墙集成了防病毒功能，通常被称之为“病毒防火墙”，当然目前主要还是在个人防火墙中体现，因为它是纯软件形式，更容易实现。这种防火墙技术可以有效地防止病毒在网络中的传播，比等待攻击的发生更加积极。拥有病毒防护功能的防火墙可以大大减少公司的损失。

3.1防火墙的体系结构发展趋势

随着网络应用的增加，对网络带宽提出了更高的要求。这意味着防火墙要能够以非常高的速率处理数据。另外，在以后几年里，多媒体应用将会越来越普遍，它要求数据穿过防火墙所带来的延迟要足够小。为了满足这种需要，一些防火墙制造商开发了基于ASIC的防火墙和基于网络处理器的防火墙。从执行速度的角度看来，基于网络处理器的防火墙也是基于软件的解决方案，它需要在很大程度上依赖于软件的性能，但是由于这类防火墙中有一些专门用于处理数据层面任务的引擎，从而减轻了CPU的负担，该类防火墙的性能要比传统防火墙的性能好许多。

与基于ASIC的纯硬件防火墙相比，基于网络处理器的防火墙具有软件色彩，因而更加具有灵活性。基于ASIC的防火墙使用专门的硬件处理网络数据流，比起前两种类型的防火墙具有更好的性能。但是纯硬件的ASIC防火墙缺乏可编程性，这就使得它缺乏灵活性，从而跟不上防火墙功能的快速发展。理想的解决方案是增加ASIC芯片的可编程性，使其与软件更好地配合。这样的防火墙就可以同时满足来自灵活性和运行性能的要求。参考文献

[1] 艾军.防火墙体系结构及功能分析[J].电脑知识与技术.2004，(s):79一82.[2] 高峰.许南山.防火墙包过滤规则问题的研究[M].计算机应用.2003，23(6):311一312.[3] 孟涛、杨磊.防火墙和安全审计[M].计算机安全.2004，(4):17一18.[4] 郑林.防火墙原理入门[Z].E企业.2000.[5] 魏利华.防火墙技术及其性能研究.能源研究与信息.2004，20(l):57一62

[6] 李剑，刘美华，曹元大.分布式防火墙系统.安全与环境学报.2002，2(l):59一61

[7] 王卫平，陈文惠，朱卫未.防火墙技术分析.信息安全与通信保密.2006，(8):24一27

[8] 付歌，杨明福.一个快速的二维数据包分类算法.计算机工程.2004，30(6):76一78

[9] 付歌，杨明福，王兴军.基于空间分解的数据包分类技术.计算机工程与应用.2004(8):63一65

[10] 〕韩晓非，王学光，杨明福.位并行数据包分类算法研究.华东理工大学学报.2003，29(5):504一508

[11] 韩晓非，杨明福，王学光.基于元组空间的位并行包分类算法.计算机工程与应用.2003，(29):188一192

[12] 冯东雷，张勇，白英彩.一种高性能包分类渐增式更新算法.计算机研究与发展.2003，40(3):387一392

第二篇：网络安全技术

网络信息安全与策略

【摘要】随着我国网路信息科技的高速发展，网络信息安全问题日益突出。以网络方式获取信息和交流信息已成为现代信息社会的一个重要特征。网络给人们生活带来极大便利的同时，也给许多部门、单位和个人带来了极大的风险，造成严重的经济损失。最新报道：央视《经济半小时》播出“我国黑客木马形成产业 2009年收入可超百亿元”节目，可以看出黑客通过网络传播木马的严重性。本文主要探讨了网络信息安全中存在的威胁，并提出了相应的技术保障和对策。【关键字】网络

信息

安全

黑客

病毒

技术

一、网络信息安全的内涵

在网络出现以前，信息安全是指为建立信息处理系统而采取的技术上和管理上的安全保护以实现电子信息的保密性、完整性、可用性、可控性和不可否认性。当今信息时代，计算机网络已经成为一种不可缺少的信息交换工具。然而，由于计算机网络具有开放性、互联性、连接方式的多样性及终端分布的不均匀性，再加上本身存在的技术弱点和人为的疏忽，致使网络易受计算机病毒、黑客或恶意软件的侵害。面对侵袭网络安全的种种威胁，必须考虑信息的安全这个至关重要的问题。

网络信息安全分为网络安全和信息安全两个层面。网络安全包括系统安全，即硬件平台、操作系统、应用软件;运行服务安全，即保证服务的连续性、高效率。信息安全则主要是指数据安全，包括数据加密、备份、程序等。

1.网络信息安全的内容

(1)硬件实体安全。即网络硬件和存储媒体的安全。要保护这些硬设施不受损害，能够正常工作；预防地震、水灾、飓风、雷击等的措施；满足设备正常运行环境要求；防止电磁辐射、泄露；媒体的安全备份及管理等。

(2)软件系统安全。即计算机程序和文档资料及其网络中各种软件不被篡改或破坏，不被非法操作或误操作，功能不会失效，不被非法复制。

(3)运行服务安全。即网络中的各个信息系统能够正常运行并能正常地通过网络交流信息。通过对网络系统中的各种设备运行状况的监测，发现不安全因素能及时报警并采取措施改变不安全状态，保障网络系统正常运行。

(4)数据信息安全。即网络中存储及流通数据的安全。要保护网络中的数据文件和数据信息在传输过程中不被篡改、非法增删、复制、解密、显示、使用等。它是保障网络安全最根本的目的。

2.网络信息安全的目标

(1)保密性。保密性是指利用密码技术对敏感信息进行加密处理同时采取抑制、屏蔽措施防止电磁泄漏，保证信息只有合法用户才能利用，而不会泄露给非授权人、实休。

(2)完整性。完整性是指信息未经授权不能被修改、不被破坏、不被插人、不迟延、不乱序和不丢失的特性。对网络信息安全进行攻击的最终目的就是破坏信息的完整性。

(3)可用性。可用性是指合法用户访问并能按要求顺序使用信息的特性，即保证合法用户在需要时可以访问到信息。

(4)可控性。可控性是指授权机构对信息的内容及传播具有控制的能力的特性，可以控制授权范围内的信息流向以及方式。

(5)不可否认性。不可否认性是指在信息交流过程结束后，通信双方不能抵赖曾经做出的行为，也不能否认曾经接收到对方的信息。

二、网络信息安全面临的威胁

1.操作系统自身的因素

无论哪一种操作系统，其体系结构本身就是不安全的一种因素。由于操作系统的程序是可以动态连接的，包过I/O的驱动程序与系统服务都可以用打补丁的方法升级和进行动态连接。而这种动态连接正是计算机病毒产生的温床，该产品的厂商可以使用，“黑客”成员也可以使用。因此，这种打补丁与渗透开发的操作系统是不可能从根本上解决安全问题。

2.网络协议和软件的安全缺陷

因特网的基石是TCP/IP协议簇，该协议簇在实现上力求效率，而没有考虑安全因素，因为那样无疑增大代码量，从而降低了TCP/IP的运行效率，所以说TCP/IP本身在设计上就是不安全的。很容易被窃听和欺骗：大多数因特网上的流量是没有加密的，电子邮件口令、文件传输很容易被监听和劫持。很多基于TCP/IP的应用服务都在不同程度上存在着安全问题，这很容易被一些对TCP/IP十分了解的人所利用，一些新的处于测试阶级的服务有更多的安全缺陷。缺乏安全策略：许多站点在防火墙配置上无意识地扩大了访问权限，忽视了这些权限可能会被内部人员滥用，黑客从一些服务中可以获得有用的信息，而网络维护人员却不知道应该禁止这种服务。配置的复杂性：访问控制的配置一般十分复杂，所以很容易被错误配置，从而给黑客以可乘之机。TCP/IP是被公布于世的，了解它的人越多被人破坏的可能性越大。现在，银行之间在专用网上传输数据所用的协议都是保密的，这样就可以有效地防止入侵。当然，人们不能把TCP/IP和其实现代码保密，这样不利于TCP/IP网络的发展。

3.电脑黑客攻击多样化

进人2006年以来，网络罪犯采用翻新分散式阻断服务(DDOS)攻击的手法，用形同互联网黄页的域名系统服务器来发动攻击，扰乱在线商务。宽带网络条件下，常见的拒绝服务攻击方式主要有两种，一是网络黑客蓄意发动的针对服务和网络设备的DDOS攻击;二是用蠕虫病毒等新的攻击方式，造成网络流量急速提高，导致网络设备崩溃，或者造成网络链路的不堪负重。

调查资料显示，2006年初发现企业的系统承受的攻击规模甚于以往，而且来源不是被绑架的“僵尸”电脑，而是出自于域名系统(DNS)服务器。一旦成为DDOS攻击的目标，目标系统不论是网页服务器、域名服务器，还是电子邮件服务器，都会被网络上四面八方的系统传来的巨量信息给淹没。黑客的用意是借人量垃圾信息妨碍系统正常的信息处理，借以切断攻击目标对外的连线。黑客常用“僵尸”电脑连成网络，把大量的查询要求传至开放的DNS服务器，这些查询信息会假装成被巨量信息攻击的目标所传出的，因此DNS服务器会把回应信息传到那个网址。

美国司法部的一项调查资料显示，1998年3月到2005年2月期间，82%的人侵者掌握授权用户或设备的数据。在传统的用户身份认证环境下，外来攻击者仅凭盗取的相关用户身份凭证就能以任何台设备进人网络，即使最严密的用户认证保护系统也很难保护网络安全。另外，由于企业员工可以通过任何一台未经确认和处理的设备，以有效合法的个人身份凭证进入网络，使间谍软件、广告软件、木马程序及其它恶意程序有机可乘，严重威胁网络系统的安全。有资料显示，最近拉美国家的网络诈骗活动增多，作案手段先进。犯罪活动已经从“现实生活转入虚拟世界”，网上诈骗活动日益增多。

4计算机病毒

计算机病毒是专门用来破坏计算机正常工作，具有高级技巧的程序。它并不独立存在，而是寄生在其他程序之中，它具有隐蔽性、潜伏性、传染性和极大的破坏性。随着网络技术的不断发展、网络空间的广泛运用，病毒的种类急剧增加。目前全世界的计算机活体病毒达14万多种，其传播途径不仅通过软盘、硬盘传播，还可以通过网络的电子邮件和下载软件传播。从国家计算机病毒应急处理中日常监测结果来看，计算机病毒呈现出异常活跃的态势。据2001年调查，我国约73%的计算机用户曾感染病毒,2003年上半年升至83%。其中，感染3次以上的用户高达59%，而且病毒的破坏性较大。被病毒破坏全部数据的占14%，破坏部分数据的占57%。只要带病毒的电脑在运行过程中满足设计者所预定的条件，计算机病毒便会发作，轻者造成速度减慢、显示异常、丢失文件，重者损坏硬件、造成系统瘫痪。

5.人性的脆弱性

人们与生俱来就有信任他人、乐于助人以及对未知事物的好奇心等弱点。狡猾的电脑黑客往往利用这些弱点，通过E-mail、伪造的Web网站、向特定的用户提几个简单的问题的伎俩，骗取公司的保密资料或从个人用户那里骗取网上购物的信用卡、用户名和密码，达到入侵网络信息系统的目的，使得那些采用多种先进技术的安全保护措施形同虚设。

6管理因素

用户安全意识淡薄, 管理不善是当前存在的一个严重的问题。目前我国安全管理方面存在的问题主要有: 一是缺乏强有力的权威管理机构, 由于我国网络安全立法滞后, 安全管理部门受人力、技术等条件的限制影响着安全管理措施的有效实施。二是缺乏安全审计,安全审计是把与安全相关的事件记录到安全日志中,我国现有的网络系统大多数缺少安全审计, 安全日志形同虚设。三是安全意识淡薄。人们对信息安全认识不够, 过分依赖信息安全产品, 缺乏细致的内部网络管理机制, 一些用户警惕性不高, 操作麻痹, 甚至把自己账号随意给他人。

三、保障网络信息安全的对策和技术

1.安全通信协议和有关标准。

在网络安全技术应用领域，安全通信协议提供了一种标准，基于这些标准，企业可以很方便地建立自己的安全应用系统。目前主要的安全通信协议有SSL（TLS）、IPsec和S/MIME SL提供基于客户/服务器模式的安全标准，SSL（TLS）在传输层和应用层之间嵌入一个子层，主要用于实现两个应用程序之间安全通讯机制，提供面向连接的保护；IP安全协议（IPsec）提供网关到网关的安全通信标准，在网络层实现，IPsec能够保护整个网络；S/MIME在应用层提供对信息的安全保护，主要用于信息的安全存储、信息认证、传输和信息转发。三种安全通信协议虽然均提供了类似的安全服务，但是他们的具体应用范围是不同的，在实际应用中，应根据具体情况选择相应的安全通信协议。

2.防火墙技术

防火墙技术是为了保证网络路由安全性而在内部网和外部网之间的界面上构造一个保护层。所有的内外连接都强制性地经过这一保护层接受检查过滤，只有被授权的通信才允许通过。防火墙的安全意义是双向的，一方面可以限制外部网对内部网的访问，另一方面也可以限制内部网对外部网中不健康或敏感信息的访问。同时，防火墙还可以对网络存取访问进行记录和统计，对可疑动作告警，以及提供网络是否受到监视和攻击的详细信息。防火墙系统的实现技术一般分为两种，一种是分组过滤技术，一种是代理服务技术。分组过滤基于路由器技术，其机理是由分组过滤路由器对IP分组进行选择，根据特定组织机构的网络安全准则过滤掉某些IP地址分组，从而保护内部网络。代理服务技术是由一个高层应用网关作为代理服务器，对于任何外部网的应用连接请求首先进行安全检查，然后再与被保护网络应用服务器连接。代理服务技术可使内、外网络信息流动受到双向监控。

3.访问拉制技术

访问控制根据用户的身份赋予其相应的权限，即按事先确定的规则决定主体对客体的访问是否合法，当一主体试图非法使用一个未经授权使用的客体时，该机制将拒绝这一企图，其主要通过注册口令、用户分组控制、文件权限控制三个层次完成。此外，审计、日志、入侵侦察及报警等对保护网络安全起一定的辅助作用，只有将上述各项技术很好地配合起来，才能为网络建立一道安全的屏障。

4.反病毒软件

反病毒软件已成为人们抵御病毒进攻的有力武器。目前的反病毒软件具有几项技术特色。首先, 出现了病毒防火墙。该技术为用户提供了一个实时监防止病毒发作的工具,它对用户访问的每一个文件进行病毒检测, 确认无毒后才会让系统接管进行下一步的工作。其次, 反病毒软件提出了在线升级的方式。第三, 完成了统一的防病毒管理。第四,嵌入式查毒技术的形成, 它将杀毒引擎直接嵌挂到IE 浏览器和流行办公软件Office2003 和OfficeXP 组件当中,使其与可能发生病毒侵扰的应用程序有机地结合为一体, 在占用系统资源最小的情况下查杀病毒。

5.入侵检测技术

随着网络安全风险系数的不断提高, 作为对防火墙及其有益的补充, IDS(入侵检测系统)能够帮助网络系统快速发现攻击的发生,它扩展了系统管理员的安全管理能力包括安全审计、监视、进攻识别和响应, 提高了信息安全基础结构的完整性。入侵检测系统是一种对网络活动进行实时监测的专用系统, 该系统处于防火墙之后, 可以和防火墙及路由器配合工作, 用来检查一个LAN 网段上的所有通信,记录和禁止网络活动,可以通过重新配置来禁止从防火墙外部进入的恶意流量。入侵检测系统能够对网络上的信息进行快速分析或在主机上对用户进行审计分析, 通过集中控制台来管理、检测。

6.PKI技术

PKI是在公开密钥理论和技术基础上发展起来的一种综合安全平台，能够为所有网络应用透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理，从而达到保证网上传递信息的安全、真实、完整和不可抵赖的目的。利用PKI可以方便地建立和维护一个可信的网络计算环境，从而使得人们在这个无法直接相互面对的环境里，能够确认彼此的身份和所交换的信息，能够安全地从事商务活动。目前，PKI技术己趋于成熟，其应用已覆盖了从安全电子邮件、虚拟专用网络(VPN),Web交互安全到电子商务、电子政务、电子事务安全的众多领域，许多企业和个人已经从PKI技术的使用中获得了巨大的收益。

在PKI体系中，CA(CertificateAuthority，认证中心)和数字证书是密不可分的两个部分。认证中心又叫CA中心，它是负责产生、分配并管理数字证书的可信赖的第三方权威机构。认证中心是PKI安全体系的核心环节，因此又称作PKI/CA。认证中心通常采用多层次的分级结构，上级认证中心负责签发和管理下级认证中心的证书，最下一级的认证中心直接面向最终用户。数字证书，又叫“数字身份证”、“数字ID”，是由认证中心发放并经认证中心数字签名的，包含公开密钥拥有者以及公开密钥相关信息的一种电子文件，可以用来证明数字证书持有者的真实身份。

7.增强网络安全意识

利用讲座和电视视频直播给上网的朋友们普及有关网络安全知识,使他们知道网络中时时刻刻都存在潜在的威胁,可能会带来经济损失和精神损失。同时，还要让他们知道一切不明身份的垃圾邮件千万不要打开，因为它可能给你的电脑带进病毒。通过事实中的案例告诉网民在网络中做任何事情一定不要放松自己的警惕，加强自己电脑的杀毒软件，多关注网上欺骗手段的视频。总之，利用一切可以利用的手段加强网民的网络安全意识。

8.法律保护

随着互联网技术的发展，大量的信息在互联网上进行传播，不可避免地会侵犯他人的合法权益，而且这种侵犯将因为互联网比其他媒体更有广泛的影响而加重侵权的严重程度。从这个意义上来说，一个人可以不上网，但是他的合法权益被他人通过互联网侵犯却是有可能的，因此，加强与互联网相关的立法建设，对于全体国民都是非常重要的。

四、结论

随着信息技术的飞速发展，网络及网络信息安全技术已经深入到了社会的多个领域。网络和信息时代给我们带来技术进步和生活便利的同时，也给国家和个人都带了巨大经济损失。网民要加强自己的防范意识，保证自己的财产不受到侵犯。我还希望国家相关部门规范网络信息安全标准，加快先进技术的研发来保障网络通讯的安全。同时，加强相关法律法规的力度来保证人民的根本利益，为我们提供一个安全的网络环境。参考文献：

[1]庞淑英.网络信息安全技术基础及应用.2009 [2]李俊宇.信息安全技术基础冶金工业出版社.2004.12 [3]王丽辉.网络安全及相关技术吉林农业科技学院学报，第19卷第2期.2005 [4]何万敏.网络信息安全与防范技术甘肃农业.2005年第1期 [5]黄慧陈阂中.针对黑客攻击的预防措施计算机安全.2005 [6]王云峰.信息安全技术及策略[J].广东广播电视大学学报,2006

第三篇：网络安全技术论文

当前网络常见安全问题分析

指导老师：

摘要：信息时代，人们对计算机和网络的应用和依赖程度愈来愈高，信息安全问题日益突显，海量的信息存储在网络上，随时可能遭到非法入侵，存在着严重的安全隐患本文针对根据几火突出的网络安全问题，归纳并提出了一些网络信息安全防抄的方法和策略计算机网络的广泛应用给计算机的安全提出了更高的要求，也使网络安全问题日渐突出。如果不很好地解决这个问题，必将阻碍计算机网络化发展的进程。关键词：网络安全

黑客入侵

网络诈骗

1、网络安全的基本内涵

网络安全从本质上来讲就是网络上的信息安全，网络安全从其本质上来讲就是网络上的信息安全，具体指的是网络系统的硬件、软件及其系统中的数据受到保护，不会因为偶然的或者恶意的攻击而遭到破坏、更改、泄漏，系统能够连续可靠、正常地运行，网络服务不中断网络安全包括数据安全和系统安全两方面，它具有保密性、完整性、可用性可控性、不可否认性五大特征

从广义上来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论，都是网络安全所要研究的领域。计算机网络安全不仅包括组网的硬件、管理控制网络的软件，也包括共享的资源，快捷的网络服务，所以定义网络安全应考虑涵盖计算机网络所涉及的全部内容。参照ISO给出的计算机安全定义，认为计算机网络安全是指：“保护计算机网络系统中的硬件，软件和数据资源，不因偶然或恶意的原因遭到破坏、更改、泄露，使网络系统连续可靠性地正常运行，网络服务正常有序。”

2、常见的网络安全问题

互联网与生俱有的开放性、交互性和分散性特征使人类所憧憬的信息共享、开放、灵活和快速等需求得到满足。网络环境为信息共享、信息交流、信息服务创造了理想空间，网络技术的迅速发展和广泛应用，为人类社会的进步提供了巨大推动力。然而，正是由于互联网的上述特性，产生了许多安全问题：（1）信息泄漏、信息污染、信息不易受控。例如，资源未授权侵用、未授权信息流出现、系统拒绝信息流和系统否认等，这些都是信息安全的技术难点。（2）在网络环境中，一些组织或个人出于某种特殊目的，进行信息泄密、信息破坏、信息侵权和意识形态的信息渗透，甚至通过网络进行政治颠覆等活动，使国家利益、社会公共利益和各类主体的合法权益受到威胁。（3）网络运用的趋势是全社会广泛参与，随之而来的是控制权分散的管理问题。由于人们利益、目标、价值的分歧，使信息资源的保护和管理出现脱节和真空，从而使信息安全问题变得广泛而复杂。（4）随着社会重要基础设施的高度信息化，社会的“命脉”和核心控制系统有可能面临恶意攻击而导致损坏和瘫痪，包括国防通信设施、动力控制网、金融系统和政府网站等。

2.1遭受黑客攻击

自 1994 年国际互联网进入我国以来，我国的网民人数急剧增长，随着网络的逐渐普及，黑客队伍也相应产生并逐渐壮大，其作案范围日益扩大，作案手段日益高明，对网络安全造成了危害。

黑客主要是使用一些现有的工具对操作系统的弱口令或安全漏洞加以利用攻击，获得一般用户甚至管理员用户权限，进而达到实施破坏的目的。黑客攻击手段可分为非破坏性攻击和破坏性攻击两类。非破坏性攻击一般是为了扰乱系统的运行，并不盗窃系统资料，通常采用拒绝服务攻击或信息炸弹；破坏性攻击是以侵入他人电脑系统、盗窃系统保密信息、破坏目标系统的数据为目的

电脑黑客活动已形成重要威胁。网络信息系统具有致命的脆弱性、易受攻击性和开放性，从国内情况来看，目前我国95%与互联网相联的网络管理中心都遭受过境内外黑客的攻击或侵入，其中银行、金融和证券机构是黑客攻击的重点。

2.2计算机病毒

病毒实际上是一种特殊的程序或普通程序中的一段特殊代码，它的功能是破坏计算机的正常运行或窃取用户计算机上的隐私。计算机感染上病毒后，轻则使系统效率下降，重则造成系统死机或毁坏，使部分文件或全部数据丢失，甚至造成计算机主板等部件的损坏。有了互联网后，病毒的传播速度更快，涉及范围更广，危害性更大。计算机系统遭受病毒感染和破坏的情况相当严重。据国家计算机病毒应急处理中心副主任张健介绍，从国家计算机病毒应急处理中心日常监测结果看来，计算机病毒呈现出异常活跃的态势。

2.3 垃圾邮件和间谍软件

一些人利用电子邮件地址的“公开性”和系统的“可广播性”进行商业、宗教、政治等活动，把自己的电子邮件强行“推入”别人的电子邮箱，强迫他人接受垃圾邮件。与计算机病毒不同，间谍软件的主要目的不在于对系统造成破坏，而是窃取系统或是用户信息。间谍软件的功能繁多，它可以监视用户行为，或是发布广告，修改系统设置，威胁用户隐私和计算机安全，并可能不同程度地影响系统性能。

2.4 计算机犯罪

计算机犯罪，通常是利用窃取口令等手段非法侵人计算机信息系统，传播有害信息，恶意破坏计算机系统，实施贪污盗窃、诈骗和金融犯罪等活动。网络安全的防范措施

3.1 安装杀毒软件

计算机病毒有以下五种特征：寄生性、传染性、破坏性、可触发性、可潜伏性。根据计算机病毒的特征，人们摸索出了许多检测计算机病毒和杀毒的软件。国内的有瑞星、KV3000、金山毒霸、360杀毒软件等，国外的有诺顿、卡巴斯基等。但是，没有哪种杀毒软件是万能的，所以当本机的杀毒软件无法找到病毒时，用户可以到网上下载一些专杀工具，如木马专杀工具、蠕虫专杀工具或宏病毒专杀工具等。值得注意的是，安装了杀毒软件后，我们还必须每周至少更新一次杀毒软件病毒库，因为防病毒软件只有最新才是最有效的。每周还要对电脑硬盘进行一次全面的扫描、杀毒，以便及时发现并清除隐藏在系统中的病毒。当不慎感染上病毒时，应立即将杀毒软件升级到最新版本，然后对整个硬盘进行扫描，清除一切可以查杀的病毒。当受到网络攻击时，我们的第一反应就是拔掉网络连接端口以断开网络。3.2 安装网络防火墙

所谓“防火墙”，是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客访问自己的网络，防止他们随意更改、移动甚至删除网络上的重要信息。防火墙是一种行之有效且应用广泛的网络安全机制，防止Internet上的不安全因素蔓延到局域网内部，所以，防火墙是网络安全的重要一环。常见的个人网络防火墙有天网防火墙、瑞星防火墙和360安全卫士等。.安装防病毒网关软件 防病毒网关放置在内部网络和互联网连接处。当在内部网络发现病毒时，可能已经感染了很多计算机，防病毒网关可以将大部分病毒隔离在外部，它同时具有反垃圾邮件和反间谍软件的能力。当出现新的病毒时，管理员只要将防病毒网关升级就可以抵御新病毒的攻击。

3.3 数据加密

数据加密作为一项基本技术是所有通信安全的基石。数据加密过程是由形形色色的加密算法来具体实施的，它以很小的代价来提供很大的安全保护。在多数情况下，数据加密是保证信息机密性的惟一方法。一般把受保护的原始信息称为明文，编码后的称为密文。数据加密的基本过程包括对明文进行翻译，译成密文或密码的代码形式。该过程的逆过程为解密，即将该加密的编码信息转化为原来的形式的过程。机密资料被加密后，无论是被人通过复制数据、还是采用网络传送的方式窃取过去，只要对方不知道你的加密算法，该机密资料就成了毫无意义的乱码一堆。常见的加密软件有SecWall、明朝万达、完美数据加密大师等。

3.4 警惕“网络钓鱼”

“网络钓鱼”（phishing）是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息的一种攻击方式。黑客就是利用这种欺骗性的电子邮件和伪造的web站点来进行网络诈骗活动，受骗者往往会泄露自己的私人资料，如信用卡号、银行卡账户、身份证号等内容。黑客通常会将自己伪装成网络银行、在线零售商和信用卡公司等可信的品牌，骗取用户的私人信息。对此，用户应该提高警惕，可安装一款有反垃圾邮件功能的良好杀毒软件。大多数安全产品都能将这种邮件识别为垃圾邮件，使你对它们的花言巧语提高警惕。不登录不熟悉的网站，键入网站地址时要认真校对。多用常识思考，因为这是你 抵御诈骗的最有效方式。没有人会无条件地给予你什么，而网上一见钟情的概率也是微乎其微。因此，你从一开始就要对这种联络抱有高度怀疑，以防误入圈套。结语

本文简要地分析了计算机网络存在的几种安全隐患，并探讨了计算机网络的几种安全防范措施。总的来说，网络安全不仅仅是技术问题，同时也是一个安全管理问题。目前解决网络安全问题的大部分技术是存在的，但是随着社会的发展，人们对网络功能的要求愈加苛刻，这就决定了通信网络安全维护是一个长远持久的课题。我们必须适应社会，不断提高技术水平，以保证网络安全维护的顺利进行。

参考文献

1、尹建璋《计算机网络技术及应用实例》西安电子科技大学出版社，2、刘远生、辛一主编《计算机网络安全》北京:清华大学出版社.2009.6

3、张千里，陈光英《网络安全新技术》北京：人民邮电出版社,2003.1

4、徐茂智《信息安全概论》人民邮电出版社2007.8

5、刘永华、解圣庆《局域网组建、管理与维护》清华大学出版社2006.6

5、吕江。网络安全现状分析及应对措施[J]．中国新技术新产品，2009，23：44～45．

The current network common security analysis

Abstract: information age, people to the computer and network applications and dependence on more and more high, the information security problem has become very prominent, the magnitude of the information stored in the network, may at any time by the illegal invasion, there are serious security hidden danger in this paper according to a few fire outstanding network security problem, inductive and puts forward some prevention network information security copy method and strategy of the wide application of computer network to computer security put forward higher request, also make the problem of network security becomes more and more serious if not solve this problem well, will hinder the process of the development of computer network.Keywords: network security ,hackers ,network fraud

第四篇：网络安全技术论文

网络安全技术 论文

题 目 网络安全之防火墙技术 学生姓名 ＿＿ *** ＿＿＿ ＿＿ 学 号 ＿ ***＿ ＿＿＿＿ 专业班级 ＿＿＿*** ＿

指导老师 ＿ ***＿ ＿＿ ＿

2011年 12 月12日

摘要：

文中首先论述了信息网络安全内涵发生的根本变化，阐述了我国发展民族信息安全体系的重要性及建立有中国特色的网络安全体系的必要性，然后具体讲述了网络防火墙安全技术的分类及其主要技术特征，防火墙部署原则，并从防火墙部署的位置详细阐述了防火墙的选择标准。同时就信息交换加密技术的分类及RSA算法作了简要的分析，论述了其安全体系的构成。关键词：网络安全 防火墙

一、防火墙的定义和由来

所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入。

自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统，提出了防火墙概念后，防火墙技术得到了飞速的发展。国内外已有数十家公司推出了功能各不相同的防火墙产品系列。目前的防火墙产品主要有堡垒主机、包过滤路由器、应用层网关(代理服务器)以及电路层网关、屏蔽主机防火墙、双宿主机等类型。防火墙处于5层网络安全体系中的最底层,属于网络层安全技术范畴。在这一层上,企业对安全系统提出的问题是:所有的IP是否都能访问到企业的内部网络系统?如果答案是“是”,则说明企业内部网还没有在网络层采取相应的防范措施。

二、防火墙的功能

防火墙服务于以下多个目的： 1)限定人们从一个特定的控制点进入； 2)限定人们从一个特定的点离开； 3)防止侵入者接近你的其他防御设施；

4)有效地阻止破坏者对你的计算机系统进行破坏。

1）防火墙是网络安全的屏障：

一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。

2）防火墙可以强化网络安全策略：

通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。

3）对网络存取和访问进行监控审计：

如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。

除了安全作用，防火墙还支持具有Internet服务特性的企业内部网络技术体系VPN（虚拟专用网）。

三、防火墙技术与产品发展的回顾

从总体上看,防火墙应该具有以下五大基本功能：

●过滤进、出网络的数据； ●管理进、出网络的访问行为； ●封堵某些禁止行为；

●记录通过防火墙的信息内容和活动； ●对网络攻击进行检测和告警。

为实现以上功能,在防火墙产品的开发中,人们广泛地应用了网络拓扑、计算机操作系统、路由、加密、访问控制、安全审计等成熟或先进的技术和手段。纵观防火墙近年

来的发展,可以将其划分为如下四个阶段(即四代)。

1）基于路由器的防火墙

由于多数路由器本身就包含有分组过滤功能,故网络访问控制可能通过路控制来实现,从而使具有分组过滤功能的路由器成为第一代防火墙产品。第一代防火墙产品的特点是：

1)利用路由器本身对分组的解析,以访问控制表(Access List)方式实现对分组的过滤； 2)过滤判断的依据可以是:地址、端口号、IP旗标及其他网络特征；

3)只有分组过滤的功能,且防火墙与路由器是一体的。这样,对安全要求低的网络可以采用路由器附带防火墙功能的方法,而对安全性要求高的网络则需要单独利用一台路由器作为防火墙。2）用户化的防火墙工具套

为了弥补路由器防火墙的不足,很多大型用户纷纷要求以专门开发的防火墙系统来保护自己的网络,从而推动了用户防火墙工具套的出现。

作为第二代防火墙产品,用户化的防火墙工具套具有以下特征： 1)将过滤功能从路由器中独立出来,并加上审计和告警功能;； 2)针对用户需求,提供模块化的软件包；

3)软件可以通过网络发送,用户可以自己动手构造防火墙；

4)与第一代防火墙相比,安全性提高了,价格也降低了。3）建立在通用操作系统上的防火墙

基于软件的防火墙在销售、使用和维护上的问题迫使防火墙开发商很快推出了建立在通用操作系统上的商用防火墙产品。近年来市场上广泛使用的就是这一代产品,它们具有如下一些特点:：

1)是批量上市的专用防火墙产品；

2)包括分组过滤或者借用路由器的分组过滤功能；

3)装有专用的代理系统,监控所有协议的数据和指令；

4)保护用户编程空间和用户可配置内核参数的设置； 5)安全性和速度大大提高。

四、防火墙的选择

选择防火墙的标准有很多,但最重要的是以下几条:

1.总拥有成本防火墙产品作为网络系统的安全屏障,其总拥有成本(TCO)不应该超过受保护网络系统可能遭受最大损失的成本。

以一个非关键部门的网络系统为例,假如其系统中的所有信息及所支持应用的总价值为10万元,则该部门所配备防火墙的总成本也不应该超过10万元。当然,对于关键部门来说,其所造成的负面影响和连带损失也应考虑在内。如果仅做粗略估算,非关键部门的防火墙购置成本不应该超过网络系统的建设总成本,关键部门则应另当别论。

2.防火墙本身是安全的

通常,防火墙的安全性问题来自两个方面:其一是防火墙本身的设计是否合理,这类问题一般用户根本无从入手,只有通过权威认证机构的全面测试才能确定。其二是使用不当。一般来说,防火墙的许多配置需要系统管理员手工修改,如果系统管理员对防火墙不十分熟悉,就有可能在配置过程中遗留大量的安全漏洞。3.可扩充性

随着网络的扩容和网络应用的增加,网络的风险成本也会急剧上升,此时便需要增加具有更高安全性的防火墙产品。好的产品应该留给用户足够的弹性空间,在安全水平要求不高的情况下,可以只选购基本系统,而随着要求的提高,用户仍然有进一步增加选件的余地。这样不仅能够保护用户的投资,对提供防火墙产品的厂商来说,也扩大了产品覆盖面。

五、结论

虽然防火墙是目前保护网络免遭黑客袭击的有效手段，但也有明显不足：无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变节者和不经心的用户们带来的威胁，也不能完全防止传送已感染病毒的软件或文件，以及无法防范数据驱动型的攻击。针对这些缺陷，应该设计更为有效的防火墙，为网络安全提供更全面的保障。

参考文献

[1] 莫向阳.Filter-Hook Driver详解[M].北京：机械工业出版社，2008。[2] W.Richard Stevens.TCP/IP详解卷一[M].北京：机械工业出版社，2004。[3] 辛长安.Viusal C++编程技术与难点剖析[M].北京：清华大学出版社，2002。

第五篇：网络安全技术论文

常见防火墙技术分析



指导教师：曾启杰

（广东工业大学自动化学院，广州，510006）

摘 要:随着科学技术和经济的迅猛发展，网络所涉及的应用领域也越来越广泛。Internet的迅猛发展给现代人的生产和生活带来了前所未有的飞跃，但同时网络病毒和黑客入侵的问题也越来越突出，网络安全问题变得尤为重要。就目前网络保护而言，防火墙依然是一种有效的手段。但是，由于防火墙是属于高科技产物，许多人对此还并不了解。鉴于此，本文从通用的角度，通俗易懂地表述有关防火墙技术的一些知识及应用。

关键词: 防火墙（Firewall）Internet防火墙技术 网络安全（Network Security）应用现状 1防火墙技术

自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统，提出了防火墙概念后，防火墙技术得到了飞速的发展。

1.1防火墙的概念

防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障，是一种获取安全性方法的形象说法。它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入。

而在网络中，所谓“防火墙”，是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。[1]

1.2防火墙原理

首先，我们需要了解一些基本的防火墙实现原理。防火墙目前主要分包过滤，和状态检测的包过滤，应用层代理防火墙，但是他们的基本实现都是类似的。

│ │---路由器-----网卡│防火墙│网卡│----------内部网络│ │

防火墙一般有两个以上的网络卡，一个连到外部(router)，另一个是连到内部网络。当打开主机网络转发功能时，两个网卡间的网络通讯能直接通过。当有防火墙时，他好比插在网卡之间，对所有的网络通讯进行控制。

1.3防火墙的主要类型

1.3.1 网络层防火墙

网络层防火墙可视为一种IP封包过滤器，运作在底层的TCP/IP协议堆栈上。我们可以以枚举的方式，只允许符合特定规则的封包通过，其余的一概禁止穿越防火墙（病毒除外，防火墙不能防止病毒侵入）。这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能套用内置的规则。我们也能以另一种较宽松的角度来制定防火墙规则，只要封包不符合任何一项“否定规则”就予以放行。操作系统及网络设备大多已内置防火墙功能。1.3.2 应用层防火墙 应用层防火墙是在 TCP/IP 堆栈的“应用层”上运作，我们使用浏览器时所产生的数据流或是使用 FTP 时的数据流都是属于这一层。应用层防火墙可以拦截进出某应用程序的所有封包，并且封锁其他的封包（通常是直接将封包丢弃）。理论上，这一类的防火墙可以完全阻绝外部的数据流进到受保护的机器里。[2] 1.3.3 数据库防火墙

数据库防火墙是一款基于数据库协议分析与控制技术的数据库安全防护系统。基于主动防御机制，实现数据库的访问行为控制、危险操作阻断、可疑行为审计。数据库防火墙通过SQL协议分析，根据预定义的禁止和许可策略让合法的SQL操作通过，阻断非法违规操作，形成数据库的外围防御圈，实现SQL危险操作的主动预防、实时审计。数据库防火墙面对来自于外部的入侵行为，提供SQL注入禁止和数据库虚拟补丁包功能。

1.4防火墙技术

1.4.1 Internet防火墙技术概念

防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用网络与公用网络的互连环境之中，尤以Internet网络为最甚。Internet防火墙是近年发展起来的一项网络安全技术，其特征是通过在网络边界上建立相应的网络通信监控系统，达到保障网络安全的目的。它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护。1.4.2 Internet防火墙目的

防火墙原是指建筑物大厦用来防止火灾蔓延的隔断墙。从理论上讲，Internet防火墙服务也属于类似的用来防止外界侵入的。它可以防止Internet上的各种危险(病毒、资源盗用等)传播到你的网络内部。而事实上，防火墙并不像现实生活中的防火墙，它有点像古代守

1)2)3)

4)有效地阻止破坏者对你的计算机系统进行破坏。1.4.3 Internet防火墙五大基本功能

所有来自Internet的传输信息或你发出的信息都必须经过防火墙，这样防火墙就起到了保护诸如电子邮件、文件传输、远程登录、在特定的系统间进行信息交换等安全的作用。从逻辑上讲，防火墙是起分隔、限制、分析的作用。

防火墙作为网络安全策略的有机组成部分，它通过控制和监测网络之间的信息交换和访

1)过滤进、出网络的数据 2)管理进、出网络的访问行为 3)封堵某些禁止行为

4)记录通过防火墙的信息内容和活动 5）对网络攻击进行检测和告警

为实现以上功能，在防火墙产品的开发中，人们广泛地应用了网络拓扑、计算机操作系统、路由、加密、访问控制、安全审计等成熟或先进的技术和手段。[3]

2.防火墙技术的功能 2.1基本功能

防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计 算机。我们可以将防火墙配置成许多不同保护级别，高级别的保护可能会禁止一些服务，如视频流等。

防火墙最基本的功能就是控制在计算机网络中，不同信任程度区域间传送的数据流。防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。

2.2保护网络安全

一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。

防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。

2.3数据库安全

实现数据库安全的实时防护。数据库防火墙通过SQL 协议分析，根据预定义的禁止和许可策略让合法的SQL 操作通过，阻断非法违规操作，形成数据库的外围防御圈,实现SQL 危险操作的主动预防、实时审计。数据库防火墙面对来自于外部的入侵行为，提供SQL 注入禁止和数据库虚拟补丁包功能。

2.4其他功能

除了安全作用，防火墙还支持具有Internet服务特性的企业内部网络技术体系VPN（虚拟专用网）。防火墙的英文名为“FireWall”，它是目前一种最重要的网络防护设备。从专业角度讲，防火墙是位于两个（或多个）网络间，实施网络之间访问控制的一组组件集合。

3.防火墙技术的应用

3.1防火墙技术在网络安全应用中的重要性

防火墙最基本的功能就是控制在计算机网络中，不同信任程度区域间传送的数据流。例如互联网是不可信任的区域，而内部网络是高度信任的区域。以避免安全策略中禁止的一些通信，与建筑中的防火墙功能相似。它在网络安全应用中的重要性主要包括以下几个方面： 3.1.1 网络安全的屏障

防火墙能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。防火墙同时可以保护网络免受基于路由的攻击，防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。

3.1.2 强化网络安全策略

通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。

3.1.3 监控网络存取和访问

如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提 3 供网络是否受到监测和攻击的详细信息。

3.1.4 防止内部信息的外泄

通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。

3.2黑客攻击防火墙技术

一直以来，黑客都在研究攻击防火墙的技术和手段，攻击的手法和技术越来越智能化和多样化。但是就黑客攻击防火墙的过程上看，大概可以分为三类攻击。

第一类攻击防火墙的方法是探测在目标网络上安装的是何种防火墙系统并且找出此防火墙系统允许哪些服务。我们叫它为对防火墙的探测攻击。

第二类攻击防火墙的方法是采取地址欺骗、TCP序号攻击等手法绕过防火墙的认证机制，从而对防火墙和内部网络破坏。

第三类攻击防火墙的方法是寻找、利用防火墙系统实现和设计上的安全漏洞，从而有针对性地发动攻击。这种攻击难度比较大，可是破坏性很大。[4]

3.3防火墙技术在网络安全中的应用现状

随着防火墙技术的不断更新，新型的防火墙技术安全性能更高，它综合了过滤和代理技术，克服二者在安全方面的缺陷，使得防火墙的安全性能有了长足提高。目前新型防火墙技术主要包括以下几种：

1.分布式防火墙技术，指那些驻留在网络中主机如服务器或桌面机并对主机系统自身提供安全保护的软件产品，广义上讲，分布式防火墙是一种新的防火墙体系结构。

2.嵌入式防火墙技术，指内嵌于路由器或交换机的防火墙，通常也被称为阻塞点防火墙，这种防火墙能弥补并改善各类安全能力不足的企业边缘防火墙、基于主机的应用程序、网络代理程序、入侵检测告警程序和防病毒程序等，确保企业内部和外部的网络安全。

3.职能防火墙技术，通过利用统计、记忆、概率和决策的职能方法对数据进行识别，并达到访问控制的目的，由于这些方法多时人工职能学科采用的方法，也统称为职能防火墙。

3.4 windows防火墙的具体操作

3.4.1 如何关闭windows防火墙

a：打开“开始”菜单，“运行”输入control命令打开控制面板；

b：在控制面板中找到“防火墙”图标双击打开；

c：选择“关闭（不推荐）”并确定即可关闭防火墙。3.4.2 如何打开windows防火墙

只需将关闭防火墙的第三步改成“启用（推荐）”即可开启示windows防火墙。

参考文献

1防火墙知识导读

2杨青，崔建群，郑世钰 ．计算机网络技术及应用教程 ：清华大学出版社，2007年2月第1版 ． 3浅析Internet防火墙技术 4黑客突破防火墙常用的几种技术