网络安全技术

第一篇：网络安全技术

网络信息安全与策略

【摘要】随着我国网路信息科技的高速发展，网络信息安全问题日益突出。以网络方式获取信息和交流信息已成为现代信息社会的一个重要特征。网络给人们生活带来极大便利的同时，也给许多部门、单位和个人带来了极大的风险，造成严重的经济损失。最新报道：央视《经济半小时》播出“我国黑客木马形成产业 2009年收入可超百亿元”节目，可以看出黑客通过网络传播木马的严重性。本文主要探讨了网络信息安全中存在的威胁，并提出了相应的技术保障和对策。【关键字】网络

信息

安全

黑客

病毒

技术

一、网络信息安全的内涵

在网络出现以前，信息安全是指为建立信息处理系统而采取的技术上和管理上的安全保护以实现电子信息的保密性、完整性、可用性、可控性和不可否认性。当今信息时代，计算机网络已经成为一种不可缺少的信息交换工具。然而，由于计算机网络具有开放性、互联性、连接方式的多样性及终端分布的不均匀性，再加上本身存在的技术弱点和人为的疏忽，致使网络易受计算机病毒、黑客或恶意软件的侵害。面对侵袭网络安全的种种威胁，必须考虑信息的安全这个至关重要的问题。

网络信息安全分为网络安全和信息安全两个层面。网络安全包括系统安全，即硬件平台、操作系统、应用软件;运行服务安全，即保证服务的连续性、高效率。信息安全则主要是指数据安全，包括数据加密、备份、程序等。

1.网络信息安全的内容

(1)硬件实体安全。即网络硬件和存储媒体的安全。要保护这些硬设施不受损害，能够正常工作；预防地震、水灾、飓风、雷击等的措施；满足设备正常运行环境要求；防止电磁辐射、泄露；媒体的安全备份及管理等。

(2)软件系统安全。即计算机程序和文档资料及其网络中各种软件不被篡改或破坏，不被非法操作或误操作，功能不会失效，不被非法复制。

(3)运行服务安全。即网络中的各个信息系统能够正常运行并能正常地通过网络交流信息。通过对网络系统中的各种设备运行状况的监测，发现不安全因素能及时报警并采取措施改变不安全状态，保障网络系统正常运行。

(4)数据信息安全。即网络中存储及流通数据的安全。要保护网络中的数据文件和数据信息在传输过程中不被篡改、非法增删、复制、解密、显示、使用等。它是保障网络安全最根本的目的。

2.网络信息安全的目标

(1)保密性。保密性是指利用密码技术对敏感信息进行加密处理同时采取抑制、屏蔽措施防止电磁泄漏，保证信息只有合法用户才能利用，而不会泄露给非授权人、实休。

(2)完整性。完整性是指信息未经授权不能被修改、不被破坏、不被插人、不迟延、不乱序和不丢失的特性。对网络信息安全进行攻击的最终目的就是破坏信息的完整性。

(3)可用性。可用性是指合法用户访问并能按要求顺序使用信息的特性，即保证合法用户在需要时可以访问到信息。

(4)可控性。可控性是指授权机构对信息的内容及传播具有控制的能力的特性，可以控制授权范围内的信息流向以及方式。

(5)不可否认性。不可否认性是指在信息交流过程结束后，通信双方不能抵赖曾经做出的行为，也不能否认曾经接收到对方的信息。

二、网络信息安全面临的威胁

1.操作系统自身的因素

无论哪一种操作系统，其体系结构本身就是不安全的一种因素。由于操作系统的程序是可以动态连接的，包过I/O的驱动程序与系统服务都可以用打补丁的方法升级和进行动态连接。而这种动态连接正是计算机病毒产生的温床，该产品的厂商可以使用，“黑客”成员也可以使用。因此，这种打补丁与渗透开发的操作系统是不可能从根本上解决安全问题。

2.网络协议和软件的安全缺陷

因特网的基石是TCP/IP协议簇，该协议簇在实现上力求效率，而没有考虑安全因素，因为那样无疑增大代码量，从而降低了TCP/IP的运行效率，所以说TCP/IP本身在设计上就是不安全的。很容易被窃听和欺骗：大多数因特网上的流量是没有加密的，电子邮件口令、文件传输很容易被监听和劫持。很多基于TCP/IP的应用服务都在不同程度上存在着安全问题，这很容易被一些对TCP/IP十分了解的人所利用，一些新的处于测试阶级的服务有更多的安全缺陷。缺乏安全策略：许多站点在防火墙配置上无意识地扩大了访问权限，忽视了这些权限可能会被内部人员滥用，黑客从一些服务中可以获得有用的信息，而网络维护人员却不知道应该禁止这种服务。配置的复杂性：访问控制的配置一般十分复杂，所以很容易被错误配置，从而给黑客以可乘之机。TCP/IP是被公布于世的，了解它的人越多被人破坏的可能性越大。现在，银行之间在专用网上传输数据所用的协议都是保密的，这样就可以有效地防止入侵。当然，人们不能把TCP/IP和其实现代码保密，这样不利于TCP/IP网络的发展。

3.电脑黑客攻击多样化

进人2006年以来，网络罪犯采用翻新分散式阻断服务(DDOS)攻击的手法，用形同互联网黄页的域名系统服务器来发动攻击，扰乱在线商务。宽带网络条件下，常见的拒绝服务攻击方式主要有两种，一是网络黑客蓄意发动的针对服务和网络设备的DDOS攻击;二是用蠕虫病毒等新的攻击方式，造成网络流量急速提高，导致网络设备崩溃，或者造成网络链路的不堪负重。

调查资料显示，2006年初发现企业的系统承受的攻击规模甚于以往，而且来源不是被绑架的“僵尸”电脑，而是出自于域名系统(DNS)服务器。一旦成为DDOS攻击的目标，目标系统不论是网页服务器、域名服务器，还是电子邮件服务器，都会被网络上四面八方的系统传来的巨量信息给淹没。黑客的用意是借人量垃圾信息妨碍系统正常的信息处理，借以切断攻击目标对外的连线。黑客常用“僵尸”电脑连成网络，把大量的查询要求传至开放的DNS服务器，这些查询信息会假装成被巨量信息攻击的目标所传出的，因此DNS服务器会把回应信息传到那个网址。

美国司法部的一项调查资料显示，1998年3月到2005年2月期间，82%的人侵者掌握授权用户或设备的数据。在传统的用户身份认证环境下，外来攻击者仅凭盗取的相关用户身份凭证就能以任何台设备进人网络，即使最严密的用户认证保护系统也很难保护网络安全。另外，由于企业员工可以通过任何一台未经确认和处理的设备，以有效合法的个人身份凭证进入网络，使间谍软件、广告软件、木马程序及其它恶意程序有机可乘，严重威胁网络系统的安全。有资料显示，最近拉美国家的网络诈骗活动增多，作案手段先进。犯罪活动已经从“现实生活转入虚拟世界”，网上诈骗活动日益增多。

4计算机病毒

计算机病毒是专门用来破坏计算机正常工作，具有高级技巧的程序。它并不独立存在，而是寄生在其他程序之中，它具有隐蔽性、潜伏性、传染性和极大的破坏性。随着网络技术的不断发展、网络空间的广泛运用，病毒的种类急剧增加。目前全世界的计算机活体病毒达14万多种，其传播途径不仅通过软盘、硬盘传播，还可以通过网络的电子邮件和下载软件传播。从国家计算机病毒应急处理中日常监测结果来看，计算机病毒呈现出异常活跃的态势。据2001年调查，我国约73%的计算机用户曾感染病毒,2003年上半年升至83%。其中，感染3次以上的用户高达59%，而且病毒的破坏性较大。被病毒破坏全部数据的占14%，破坏部分数据的占57%。只要带病毒的电脑在运行过程中满足设计者所预定的条件，计算机病毒便会发作，轻者造成速度减慢、显示异常、丢失文件，重者损坏硬件、造成系统瘫痪。

5.人性的脆弱性

人们与生俱来就有信任他人、乐于助人以及对未知事物的好奇心等弱点。狡猾的电脑黑客往往利用这些弱点，通过E-mail、伪造的Web网站、向特定的用户提几个简单的问题的伎俩，骗取公司的保密资料或从个人用户那里骗取网上购物的信用卡、用户名和密码，达到入侵网络信息系统的目的，使得那些采用多种先进技术的安全保护措施形同虚设。

6管理因素

用户安全意识淡薄, 管理不善是当前存在的一个严重的问题。目前我国安全管理方面存在的问题主要有: 一是缺乏强有力的权威管理机构, 由于我国网络安全立法滞后, 安全管理部门受人力、技术等条件的限制影响着安全管理措施的有效实施。二是缺乏安全审计,安全审计是把与安全相关的事件记录到安全日志中,我国现有的网络系统大多数缺少安全审计, 安全日志形同虚设。三是安全意识淡薄。人们对信息安全认识不够, 过分依赖信息安全产品, 缺乏细致的内部网络管理机制, 一些用户警惕性不高, 操作麻痹, 甚至把自己账号随意给他人。

三、保障网络信息安全的对策和技术

1.安全通信协议和有关标准。

在网络安全技术应用领域，安全通信协议提供了一种标准，基于这些标准，企业可以很方便地建立自己的安全应用系统。目前主要的安全通信协议有SSL（TLS）、IPsec和S/MIME SL提供基于客户/服务器模式的安全标准，SSL（TLS）在传输层和应用层之间嵌入一个子层，主要用于实现两个应用程序之间安全通讯机制，提供面向连接的保护；IP安全协议（IPsec）提供网关到网关的安全通信标准，在网络层实现，IPsec能够保护整个网络；S/MIME在应用层提供对信息的安全保护，主要用于信息的安全存储、信息认证、传输和信息转发。三种安全通信协议虽然均提供了类似的安全服务，但是他们的具体应用范围是不同的，在实际应用中，应根据具体情况选择相应的安全通信协议。

2.防火墙技术

防火墙技术是为了保证网络路由安全性而在内部网和外部网之间的界面上构造一个保护层。所有的内外连接都强制性地经过这一保护层接受检查过滤，只有被授权的通信才允许通过。防火墙的安全意义是双向的，一方面可以限制外部网对内部网的访问，另一方面也可以限制内部网对外部网中不健康或敏感信息的访问。同时，防火墙还可以对网络存取访问进行记录和统计，对可疑动作告警，以及提供网络是否受到监视和攻击的详细信息。防火墙系统的实现技术一般分为两种，一种是分组过滤技术，一种是代理服务技术。分组过滤基于路由器技术，其机理是由分组过滤路由器对IP分组进行选择，根据特定组织机构的网络安全准则过滤掉某些IP地址分组，从而保护内部网络。代理服务技术是由一个高层应用网关作为代理服务器，对于任何外部网的应用连接请求首先进行安全检查，然后再与被保护网络应用服务器连接。代理服务技术可使内、外网络信息流动受到双向监控。

3.访问拉制技术

访问控制根据用户的身份赋予其相应的权限，即按事先确定的规则决定主体对客体的访问是否合法，当一主体试图非法使用一个未经授权使用的客体时，该机制将拒绝这一企图，其主要通过注册口令、用户分组控制、文件权限控制三个层次完成。此外，审计、日志、入侵侦察及报警等对保护网络安全起一定的辅助作用，只有将上述各项技术很好地配合起来，才能为网络建立一道安全的屏障。

4.反病毒软件

反病毒软件已成为人们抵御病毒进攻的有力武器。目前的反病毒软件具有几项技术特色。首先, 出现了病毒防火墙。该技术为用户提供了一个实时监防止病毒发作的工具,它对用户访问的每一个文件进行病毒检测, 确认无毒后才会让系统接管进行下一步的工作。其次, 反病毒软件提出了在线升级的方式。第三, 完成了统一的防病毒管理。第四,嵌入式查毒技术的形成, 它将杀毒引擎直接嵌挂到IE 浏览器和流行办公软件Office2003 和OfficeXP 组件当中,使其与可能发生病毒侵扰的应用程序有机地结合为一体, 在占用系统资源最小的情况下查杀病毒。

5.入侵检测技术

随着网络安全风险系数的不断提高, 作为对防火墙及其有益的补充, IDS(入侵检测系统)能够帮助网络系统快速发现攻击的发生,它扩展了系统管理员的安全管理能力包括安全审计、监视、进攻识别和响应, 提高了信息安全基础结构的完整性。入侵检测系统是一种对网络活动进行实时监测的专用系统, 该系统处于防火墙之后, 可以和防火墙及路由器配合工作, 用来检查一个LAN 网段上的所有通信,记录和禁止网络活动,可以通过重新配置来禁止从防火墙外部进入的恶意流量。入侵检测系统能够对网络上的信息进行快速分析或在主机上对用户进行审计分析, 通过集中控制台来管理、检测。

6.PKI技术

PKI是在公开密钥理论和技术基础上发展起来的一种综合安全平台，能够为所有网络应用透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理，从而达到保证网上传递信息的安全、真实、完整和不可抵赖的目的。利用PKI可以方便地建立和维护一个可信的网络计算环境，从而使得人们在这个无法直接相互面对的环境里，能够确认彼此的身份和所交换的信息，能够安全地从事商务活动。目前，PKI技术己趋于成熟，其应用已覆盖了从安全电子邮件、虚拟专用网络(VPN),Web交互安全到电子商务、电子政务、电子事务安全的众多领域，许多企业和个人已经从PKI技术的使用中获得了巨大的收益。

在PKI体系中，CA(CertificateAuthority，认证中心)和数字证书是密不可分的两个部分。认证中心又叫CA中心，它是负责产生、分配并管理数字证书的可信赖的第三方权威机构。认证中心是PKI安全体系的核心环节，因此又称作PKI/CA。认证中心通常采用多层次的分级结构，上级认证中心负责签发和管理下级认证中心的证书，最下一级的认证中心直接面向最终用户。数字证书，又叫“数字身份证”、“数字ID”，是由认证中心发放并经认证中心数字签名的，包含公开密钥拥有者以及公开密钥相关信息的一种电子文件，可以用来证明数字证书持有者的真实身份。

7.增强网络安全意识

利用讲座和电视视频直播给上网的朋友们普及有关网络安全知识,使他们知道网络中时时刻刻都存在潜在的威胁,可能会带来经济损失和精神损失。同时，还要让他们知道一切不明身份的垃圾邮件千万不要打开，因为它可能给你的电脑带进病毒。通过事实中的案例告诉网民在网络中做任何事情一定不要放松自己的警惕，加强自己电脑的杀毒软件，多关注网上欺骗手段的视频。总之，利用一切可以利用的手段加强网民的网络安全意识。

8.法律保护

随着互联网技术的发展，大量的信息在互联网上进行传播，不可避免地会侵犯他人的合法权益，而且这种侵犯将因为互联网比其他媒体更有广泛的影响而加重侵权的严重程度。从这个意义上来说，一个人可以不上网，但是他的合法权益被他人通过互联网侵犯却是有可能的，因此，加强与互联网相关的立法建设，对于全体国民都是非常重要的。

四、结论

随着信息技术的飞速发展，网络及网络信息安全技术已经深入到了社会的多个领域。网络和信息时代给我们带来技术进步和生活便利的同时，也给国家和个人都带了巨大经济损失。网民要加强自己的防范意识，保证自己的财产不受到侵犯。我还希望国家相关部门规范网络信息安全标准，加快先进技术的研发来保障网络通讯的安全。同时，加强相关法律法规的力度来保证人民的根本利益，为我们提供一个安全的网络环境。参考文献：

[1]庞淑英.网络信息安全技术基础及应用.2009 [2]李俊宇.信息安全技术基础冶金工业出版社.2004.12 [3]王丽辉.网络安全及相关技术吉林农业科技学院学报，第19卷第2期.2005 [4]何万敏.网络信息安全与防范技术甘肃农业.2005年第1期 [5]黄慧陈阂中.针对黑客攻击的预防措施计算机安全.2005 [6]王云峰.信息安全技术及策略[J].广东广播电视大学学报,2006

第二篇：网络安全技术

网络安全技术

——防火墙技术与病毒

摘 要：

计算机网络安全，指致力于解决诸如如何有效进行介入控制，以及如何保证数据传输的安全性的技术手段。而计算机网络安全主要包括计算机网络安全的概况、虚拟网技术、防火墙技术、入侵检测技术, 安全扫描技术, 电子认证和数字签名技术.VPN技术、数据安全、计算机病毒等。防火墙技术作为时下比较成熟的一种网络安全技术，其安全性直接关系到用户的切身利益。针对网络安全独立元素——防火墙技术，通过对防火墙日志文件的分析，设计相应的数学模型和软件雏形，采用打分制的方法，判断系统的安全等级，实现对目标网络的网络安全风险评估，为提高系统的安全性提供科学依据。本文将以最常见的WORD宏病毒为例来解释计算机病毒传播过程。

关键词：网络安全 防火墙技术 计算机病毒

1.1 研究背景

随着互联网的普及和发展，尤其是Internet的广泛使用，使计算机应用更加广泛与深入。同时，我们不得不注意到，网络虽然功能强大，也有其脆弱易受到攻击的一面。据美国FBI统计，美国每年因网络安全问题所造成的经济损失高达75亿美元，而全求平均每20秒钟就发生一起Internet计算机侵入事件。在我国，每年因黑客入侵、计算机病毒的破坏也造成了巨大的经济损失。人们在利用网络的优越性的同时，对网络安全问题也决不能忽视。如何建立比较安全的网络体系，值得我们关注研究。

1.2 计算机病毒简介

计算机病毒是指那些具有自我复制能力的计算机程序, 它能影响计算机软件、硬件的正常运行, 破坏数据的正确与完整。计算机病毒的来源多种多样, 有的是计算机工作人员或业余爱好者为了纯粹寻开心而制造出来的;有的则是软件公司为保护自己的产品被非法拷贝而制造的报复性惩罚, 因为他们发现病毒比加密对付非法拷贝更有效且更有威胁, 这种情况助长了病毒的传播。还有一种情况就是蓄意破坏, 它分为个人行为和政府行为两种, 个人行为多为雇员对雇主的报复行为, 而政府行为则是有组织的战略战术手段。另外有的病毒还是用于研究或实验而设计的“有用”程序, 由于某种原因失去控制扩散出实验室, 从而成为危害四方的计算机病毒。

1987 年, 计算机用户忽然发现, 在世界的各个角落, 几乎同时出现了形形色色的计算机病毒。Brain, Lenig h, IBM 圣诞树, 黑色星期五, 特别是近期发现的几种病毒, 其名气也最大, 它们是: 台湾一号病毒、DIR-Ⅱ病毒、幽灵病毒、米开朗基罗病毒等, 至今, 病毒种类已超过一万种。

1988 年底, 我国国家统计系统发现小球病毒。随后, 中国有色金属总公司所属昆明、天津、成都等地的一些单位, 全国一些科研部门和国家机关也相继发现病毒入侵。自从“中国炸弹”病毒出现后,已发现越来越多的国产病毒。比如目前国内主要有:感染Window s3.x 的“V3783”,感染Window s95/ 98的“CIH”病毒。

纵观计算机病毒的发展历史, 我们不难看出, 计算机病毒已从简单的引导型、文件型病毒或它们的混合型发展到了多形性病毒、欺骗性病毒、破坏性病毒。已从攻击安全性较低的DOS平台发展到攻击安全性较高的Window s95/ 98平台;从破坏磁盘数据发展到直接对硬件芯片进行攻击。1995 年宏病毒的出现, 使病毒从感染可执行文件过渡到感染某些非纯粹的数据文件。最近有资料显示已发现JAVA病毒, 各种迹象表明病毒正向着各个领域渗透, 这些新病毒更隐秘, 破坏性更强。

计算机病毒的种类很多, 不同种类的病毒有着各自不同的特征, 它们有的以感染文件为主、有的以感染系统引导区为主, 大多数病毒只是开个小小的玩笑。

按传染方式分类可分为引导型病毒、文件型病毒和混合型病毒3种。引导型病毒主要是感染磁盘的引导区, 系统从包含了病毒的磁盘启动时传播, 它一般不对磁盘文件进行感染;文件型病毒一般只传染磁盘上的可执行文件(COM, EXE), 其特点是附着于正常程序文件, 成为程序文件的一个外壳或部件;混合型病毒则兼有以上两种病毒的特点, 既感染引导区又感染文件, 因此扩大了这种病毒的传染途径。

按连接方式分类可分为源码型病毒、入侵型病毒和操作系统型病毒等3 种。其中源码型病毒主要攻击高级语言编写的源程序, 它会将自己插入到系统的源程序中, 并随源程序一起编译、连接成可执行文件, 从而导致刚刚生成的可执行文件直接带毒;入侵型病毒用自身代替正常程序中的部分模块或堆栈区的病毒, 它只攻击某些特定程序, 针对性强;操作系统型病毒是用其自身部分加入或替代操作系统的部分功能, 危害性较大。

病毒按程序运行平台分类可分为DOS 病毒、Windows 病毒、WindowsNT病毒、OS/2 病毒等, 它们分别是发作于DOS,Windows9X,WindowsNT, OS/2等操作系统平台上的病毒。而计算机病毒的主要危害：不同的计算机病毒有不同的破坏行为, 其中有代表性的行为如下: 一是攻击系统数据区, 包括硬盘的主引导扇区、Boot 扇区、FAT 表、文件目录。一般来说, 攻击系统数据区的病毒是恶性病毒, 受损的数据不易恢复。二是攻击文件, 包括删除、改名、替换文件内容、删除部分程序代码、内容颠倒、变碎片等等。三是攻击内存。

1.3防火墙概述

随着Internet的迅速发展，网络应用涉及到越来越多的领域，网络中各类重要的、敏感的数据逐渐增多;同时由于黑客入侵以及网络病毒的问题，使得网络安全问题越来越突出。因此，保护网络资源不被非授权访问，阻止病毒的传播感染显得尤为重要。就目前而言，对于局部网络的保护，防火墙仍然不失为一种有效的手段，防火墙技术主要分为包过滤和应用代理两类。其中包过滤作为最早发展起来的一种技术，其应用非常广泛。

防火墙是设置在被保护网络和外部网络之间的一道屏障，以防止发生不可预测的、潜在破坏性的侵入。[4]防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。防火墙提供信息安全服务，是实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，它有效地监控了内部网络和互联网之间的任何活动，保证了内部网络的安全。

2.防火墙的原理及分类

顾名思义，包过滤防火墙[9]就是把接收到的每个数据包同预先设定的包过滤规则相比较，从而决定是否阻塞或通过。过滤规则是基于网络层IP包包头信息的比较。包过滤防火墙工作在网络层，IP包的包头中包含源、目的IP地址，封装协议类型(TCP，UDP，ICMP或IP Tunnel)，TCP/UDP端口号，ICMP消息类型，TCP包头中的ACK等等。如果接收的数据包与允许转发的规则相匹配，则数据包按正常情况处理;如果与拒绝转发的规则相匹配，则防火墙丢弃数据包;如果没有匹配规则，则按缺省情况处理。包过滤防火墙是速度最快的防火墙，这是因为它处于网络层，并且只是粗略的检查连接的正确性，所以在一般的传统路由器上就可以实现，对用户来说都是透明的。但是它的安全程度较低，很容易暴露内部网络，使之遭受攻击。例如，HTTP。通常是使用80端口。如果公司的安全策略允许内部员工访问网站，包过滤防火墙可能设置允所有80端口的连接通过，这时，意识到这一漏洞的外部人员可以在没有被认证的情况下进入私有网络。包过滤防火墙的维护比较困难，定义过滤规则也比较复杂，因为任何一条过滤规则的不完善都会给网络黑客造成可乘之机。同时，包过滤防火墙一般无法提供完善的日志。

应用级代理技术通过在OSI的最高层检查每一个IP包，从而实现安全策略。代理技术与包过滤技术完全不同，包过滤技术在网络层控制所有的信息流，而代理技术一直处理到应用层，在应用层实现防火墙功能。它的代理功能，就是在防火墙处终止客户连接并初始化一个新的连接到受保护的内部网络。这一内建代理机制提供额外的安全，这是因为它将内部和外部网络隔离开来，使网络外部的黑客在防火墙内部网络上进行探测变得困难，更重要的是能够让网络管理员对网络服务进行全面的控制。但是，这将花费更多的处理时间，并且由于代理防火墙支持的应用有限，每一种应用都需要安装和配置不同的应用代理程序。比如访问WEB站点的HTTP，用于文件传输的FTP，用于E一MAIL的SMTP/POP3等等。如果某种应用没有安装代理程序，那么该项服务就不被支持并且不能通过防火墙进行转发;同时升级一种应用时，相应的代理程序也必须同时升级。

代理服务(Proxy Service)也称链路级网关或TCP通道(Circuit Level Gateways or TCP Tunnels)，也有人将它归于应用级网关一类。它是针对数据包过滤[10]和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的“链接”，由两个终止代理服务器上的“链接”来实现，外部计算机的网络链路只能到达代理服务器，从而起到了隔离防火墙内外计算机系统的作用。此外，代理服务也对过往的数据包进行分析、注册登记，形成报告，同时当发现被攻击迹象时会向网络管理员发出警报，并保留攻击痕迹。应用代理型防火墙是内部网与外部网的隔离点，起着监视和隔绝应用层通信流的作用。同时 也常结合入过滤器的功能。它工作在OSI模型的最高层，掌握着应用系统中可用作安全决策的全部信息。

复合型防火墙：由于对更高安全性的要求，常把基于包过滤的方法与基于应用代理的方法结合起来，形成复合型防火墙产品。这种结合通常是以下两种方案。屏蔽主机防火墙体系结构，在该结构中，分组过滤路由器或防火墙与Internet相连，同时一个堡垒机安装在内部网络，通过在分组过滤器路由器或防火墙上过滤规则的设置，使堡垒机成为Internet上其他节点所能到达的唯一节点，这确保了内部网络不受未授权外部用户的攻击。屏蔽子网防火墙体系结构：堡垒机放在一个子网内，形成非军事化区，两个分组过滤路由器放在这一子网的两端，使这一子网与Internet及内部网络分离。在屏蔽子网防火墙体系结构中，堡垒机和分组过滤路由器共同构成了整个防火墙的安全基础。执行save命令保存退出后就可以在企业外网出口指定IP时实现防火墙数据转发以及安全保护功能了。

3.1防火墙包过滤技术发展趋势

(1)安全策略功能

一些防火墙厂商把在AAA系统上运用的用户认证及其服务扩展到防火墙中，使其拥有可以支持基于用户角色的安全策略功能。该功能在无线网络应用中非常必要。具有用户身份验证的防火墙通常是采用应用级网关技术的，包过滤技术的防火墙不具有。用户身份验证功能越强，它的安全级别越高，但它给网络通信带来的负面影响也越大，因为用户身份验证需要时间，特别是加密型的用户身份验证。

(2)多级过滤技术

所谓多级过滤技术，是指防火墙采用多级过滤措施，并辅以鉴别手段。在分组过滤(网络层)一级，过滤掉所有的源路由分组和假冒的IP源地址；在传输层一级，遵循过滤规则，过滤掉所有禁止出或/和入的协议和有害数据包如nuke包、圣诞树包等；在应用网关(应用层)一级，能利用FTP、SMTP等各种网关，控制和监测Internet提供的所用通用服务。这是针对以上各种已有防火墙技术的不足而产生的一种综合型过滤技术，它可以弥补以上各种单独过滤技术的不足。

这种过滤技术在分层上非常清楚，每种过滤技术对应于不同的网络层，从这个概念出发，又有很多内容可以扩展，为将来的防火墙技术发展打下基础。

(3)功能扩展

功能扩展是指一种集成多种功能的设计趋势，包括VPN、AAA、PKI、IPSec等附加功能，甚至防病毒、入侵检测这样的主流功能，都被集成到防火墙产品中了，很多时候我们已经无法分辨这样的产品到底是以防火墙为主，还是以某个功能为主了，即其已经逐渐向我们普遍称之为IPS（入侵防御系统）的产品转化了。有些防火墙集成了防病毒功能，通常被称之为“病毒防火墙”，当然目前主要还是在个人防火墙中体现，因为它是纯软件形式，更容易实现。这种防火墙技术可以有效地防止病毒在网络中的传播，比等待攻击的发生更加积极。拥有病毒防护功能的防火墙可以大大减少公司的损失。

3.1防火墙的体系结构发展趋势

随着网络应用的增加，对网络带宽提出了更高的要求。这意味着防火墙要能够以非常高的速率处理数据。另外，在以后几年里，多媒体应用将会越来越普遍，它要求数据穿过防火墙所带来的延迟要足够小。为了满足这种需要，一些防火墙制造商开发了基于ASIC的防火墙和基于网络处理器的防火墙。从执行速度的角度看来，基于网络处理器的防火墙也是基于软件的解决方案，它需要在很大程度上依赖于软件的性能，但是由于这类防火墙中有一些专门用于处理数据层面任务的引擎，从而减轻了CPU的负担，该类防火墙的性能要比传统防火墙的性能好许多。

与基于ASIC的纯硬件防火墙相比，基于网络处理器的防火墙具有软件色彩，因而更加具有灵活性。基于ASIC的防火墙使用专门的硬件处理网络数据流，比起前两种类型的防火墙具有更好的性能。但是纯硬件的ASIC防火墙缺乏可编程性，这就使得它缺乏灵活性，从而跟不上防火墙功能的快速发展。理想的解决方案是增加ASIC芯片的可编程性，使其与软件更好地配合。这样的防火墙就可以同时满足来自灵活性和运行性能的要求。参考文献

[1] 艾军.防火墙体系结构及功能分析[J].电脑知识与技术.2004，(s):79一82.[2] 高峰.许南山.防火墙包过滤规则问题的研究[M].计算机应用.2003，23(6):311一312.[3] 孟涛、杨磊.防火墙和安全审计[M].计算机安全.2004，(4):17一18.[4] 郑林.防火墙原理入门[Z].E企业.2000.[5] 魏利华.防火墙技术及其性能研究.能源研究与信息.2004，20(l):57一62

[6] 李剑，刘美华，曹元大.分布式防火墙系统.安全与环境学报.2002，2(l):59一61

[7] 王卫平，陈文惠，朱卫未.防火墙技术分析.信息安全与通信保密.2006，(8):24一27

[8] 付歌，杨明福.一个快速的二维数据包分类算法.计算机工程.2004，30(6):76一78

[9] 付歌，杨明福，王兴军.基于空间分解的数据包分类技术.计算机工程与应用.2004(8):63一65

[10] 〕韩晓非，王学光，杨明福.位并行数据包分类算法研究.华东理工大学学报.2003，29(5):504一508

[11] 韩晓非，杨明福，王学光.基于元组空间的位并行包分类算法.计算机工程与应用.2003，(29):188一192

[12] 冯东雷，张勇，白英彩.一种高性能包分类渐增式更新算法.计算机研究与发展.2003，40(3):387一392

第三篇：《网络安全技术》论文

常见防火墙技术分析

摘要:

计算机网络是一把双刃剑，它的开放性和便利性的同时，也增加了私有信息和数据被破坏或侵犯的可能性。

本文首先会简单地讲述目前计算机网络存在的安全隐患，我国网络安全的现状及网络安全问题产生的原因。

其次，由于网络安全威胁的存在，防火墙应运而生。防火墙是网络安全的关键技术, 其本质是一种隔离技术，其核心思想是在不安全的网络环境中构造一个相对安全的子网环境。本文将重点从安全功能、体系结构、实现防火墙的主要技术手段及配置等方面分析防火墙。关键词:网络安全，防火墙，防火墙类型

1.我国网络安全的现状

1.1研究背景

“计算机网络安全”定义：国际标准化组织（ISO）将“计算机网络安全”定义为：“为数据处理系统建立和采取的技术和管理的安全保护，保护网络系统的硬件、软件及其系统中的数据不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠、正常地运行，网络服务不中断。其具有以下五个方面的特征：保密性、完整性、可用性、可控性和可审查性。

当前，计算机已经被广泛地用于社会生产和生活的各个领域。特别是随着信息化和技术化的不断推进，计算机也在更加深刻地影响着社会的方方面面。

计算机网络安全问题主要有：信息在传输的过程中，数据被篡改和复制，以及拦截和查看，甚至遭受恶意的病毒攻击等。这些安全问题严重影响着计算机网络的正常运行，出现系统瘫痪或重要数据的泄漏，造成不可挽回的严重后果。

网络安全的主要威胁有：窃听、网络嗅探、拒绝服务、假冒、授权侵犯、计算机病毒。

1.2研究意义

为了有效解决网络安全问题和威胁，构建安全可靠的网络安全环境，我国有必要从技术方面对防火墙进行完善。基于网络内部和外部环境的特殊性，防火墙技术是目前保护网络安全最为有效地技术，不仅能够对网络传输的数据进行检查，还能对整个网络进行监控。

2.防火墙技术的概述

2.1防火墙技术的定义

防火墙是设置在被保护网络和外部网络之间的一道屏障，主要用来保护安全网络免受来自不安全网络的入侵，实际上是一种隔离技术。简单地说就是，防火墙是在两个网络间进行访问控制,它能允许你“同意”的人和数据进入你的网络, 同时将你“不同意”的人和数据拒之门外, 最大限度地阻止网络中的黑客来访问你的网络,防止他们更改、拷贝、毁坏你的重要

信息。不同的防火墙，配置的方法也不同，这取决于安全策略，预算以及全面规划等。

它是不同网络或网络安全域之间信息的唯一出入口，有效地加强网络之间访问控制。它是提供信息安全服务，实现网络和信息安全的基础设施，是一种非常有效的网络安全模型。

如图1：

2.2防火墙技术的发展史及分类

纵观防火墙近年来的发展,可以将其划分为如下四个阶段(即四代)及相应的分类。

2.2.1 第一代防火墙：基于路由器的防火墙

第一代防火墙技术几乎与路由器同时出现，采用了包过滤（Packetfilter）技术，从而使具有分组过滤功能的路由器成为第一代防火墙产品。简单地说，第一代防火墙产品一般是基于源地址和目的地址、应用或协议以及每个IP包的端口来作为出通过与否的判断。一个路由器便是一个“传统”的网络级防火墙,大多数的路由器都能通过检查这些信息来决定是否将所收到的包转发,但它不能判断出一个IP包自哪里，即将去哪里。

特点:

（1）网络级防火墙简洁、速度快、费用低,并且对用户透明；

（2)可利用路由器实现对分组的过滤;

（3)把地址、端口号、IP旗标及其他网络特征作为判断依据

不足：

（1）本身具有安全漏洞，外部网络要探寻内部网络十分容易。

（2）分组过滤规则的设置和配置存在安全隐患。对路由器中过滤规则的设置和配置十分复杂，它涉及到规则的逻辑一致性、作用端口的有效性和规则集的正确性，一般的网络系统管理员难于胜任，加之一旦出现新的协议，管理员就得加上更多的规则去限制，这往往会带来很多错误。

（3）路由器防火墙的最大隐患是:攻击者可以“假冒”地址。由于信息在网络上是以明文方式传送的,黑客(Hacker)可以在网络上伪造假的路由信息欺骗防火墙。

（4）路由器防火墙的本质缺陷是:由于路由器的主要功能是为网络访问提供动态的、灵活的路由,而防火墙则要对访问行为实施静态的、固定的控制,这是一对难以调和的矛盾,防火墙的规则设置会大大降低路由器的性能。

2.2.2第二代防火墙：用户防火墙工具套

1989年，贝尔实验室的DavePresotto和HowardTrickey推出了第二代防火墙，即电路层防火墙。为了弥补路由器防火墙的不足,很多大型用户纷纷要求以专门开发的防火墙系统来保护自己的网络,从而推动了用户防火墙工具套的出现。

他能够检查进出的数据包,通过网关复制传递数据,防止在受信任服务器和客户机与不受信任的主机间直接建立联系。他并且能够理解应用层上的协议,能够做复杂一些的访问控制,并做精细的注册和稽核。

特点：

（1)将过滤功能从路由器中独立出来,并加上审计和告警功能;

（2)针对用户需求,提供模块化的软件包;

（3)软件可以通过网络发送,用户可以自己动手构造防火墙;

（4)与第一代防火墙相比,安全性提高了,价格也降低了。

不足：

（1）无论在实现上还是在维护上都对系统管理员提出了相当复杂的要求；

（2）对用户的技术要求高;

（3）全软件实现,安全性和处理速度均有局限，使用中出现差错的情况很多。

2.2.3 第三代防火墙：建立在通用操作系统上的防火墙

基于软件的防火墙在销售、使用和维护上的问题迫使防火墙开发商很快推出了建立在通用操作系统上的商用防火墙产品。近年来市场上广泛使用的就是这一代产品

特点:

（1)是批量上市的专用防火墙产品;

（2)包括分组过滤或者借用路由器的分组过滤功能;

（3)装有专用的代理系统,监控所有协议的数据和指令;

（4)保护用户编程空间和用户可配置内核参数的设置;

（5)安全性和速度大大提高。

不足：

（1)缺乏安全保障，因为作为基础的操作系统及其内核往往不为防火墙管理者所知；

（2)由于大多数防火墙厂商并非通用操作系统的厂商,通用操作系统厂商不会对操作系统的 安全性负责;

（3)从本质上看,第三代防火墙既要防止来自外部网络的攻击,还要防止来自操作系统厂商的攻击。

2.2.4第四代防火墙：具有安全操作系统的防火墙

1992年，USC信息科学院的BobBraden开发出了基于动态包过滤（Dynamicpacketfilter）技术的第四代防火墙，后来演变为目前所说的状态监视（Statefulinspection）技术。1994年，以色列的CheckPoint公司开发出了第一个基于这种技术的商业化的产品。

特点：

（1）防火墙厂商具有操作系统的源代码，并可实现安全内核。

（2）对安全内核实现加固处理：即去掉不必要的系统特性，加上内核特性，强化安全保护。

（3）对每个服务器、子系统都作了安全处理，一旦黑客攻破了一个服务器，它将会被隔离在此服务器内，不会对网络的其他部分构成威胁。

（4）在功能上包括了分组过滤、应用网关、电路级网关，且具有加密与鉴别功能。

（5）透明性好，易于使用。

2.3 防火墙技术的功能

（1）访问控制功能。是一种简单、有效的安全控制技术，也是防火墙最基本也是最重要的功能，通过禁止或允许特定用户访问特定的资源，保护网络的内部资源和数据。需要禁止非授权的访问，防火墙需要识别哪个用户可以访问何种资源。

（2）防止内部信息外泄。根据数据内存进行控制，如防火墙可以从电子邮件中过滤掉垃圾邮件，可以过滤掉内部用户访问外部服务的图片信息，也可以限制外部访问，使它们只能访问本地Web服务器中一部分信息。

（3）集中管理功能。防火墙是一个安全设备，针对不同的网络情况和安全需要，需要制定不同的安全策略，然后在防火墙上实施，使用中还需要根据情况改变安全策略，因此防火墙应具备集中管理功能。

（4）阻挡外部攻击。如果用户发送的信息是防火墙设置所不允许的，防火墙会立即将其阻断，避免其进入防火墙之后的网络中。

（5）自身的安全和可用性。防火墙要保证自身的安全不被非法侵入，保证正常的运作。如果防火墙被侵入，防火墙的安全策略被修改，这样内网就变得不安全。

（6）数据包的透明转发。由于防火墙一般部署在提供某些服务或应用的服务器前。用户对服务器的访问的请求与服务器反馈给用户的信息，都需要经过防火墙的转发。因此，防火墙具备网关功能，方便数据包的转发。

3防火墙技术在计算机网络安全中的运用

从整体上来说，计算机网络安全是通过网络的管理控制，以及技术的解决办法，确保在网络的环境中，保护数据进行使用和保密，及完整性。计算机网络安全主要有物理和逻辑安全。但是根据使用者的不一样，对网络安全的理解也就会不一样。如：一般的使用者认为，计算机网络安全就是在网络上传自己的隐私或者是重要的信息时，能够保护信息不能被窃听和篡改，以及伪造。而网络的供应商们则认为，除了保证网络信息的安全，还要考虑各种对网络硬件破坏因素的保护，以及在出现异常时恢复网络通信的保护。

(1）加密技术。即信息的发送方先对信息做加密处理，密码由和接收方掌握，接收方接收到经过加密处理的信息后，用解密密钥对信息进行解密，从而完成一次安全的信息传输。加密措施利用密钥来保障信息传输的安全性。

(2）身份验证。通过对网络用户的使用授权，在信息的发送方和接收方之间通过身份认证，建立起相对安全的信息通道，这样可以有效防止未经授权的非法用户的介入。

(3）防病毒技术。主要涉及对病毒的预防、检测以及清除三方面。

其一，在网络建设中，安装防火墙对互联网之间的交换信息按照某种规则进行控制，构

成一道安全屏障来保护内网与外网间的信息和数据传输，确保网络不被其他未经授权的第三方侵入。

其二，网络的连接如果是由路由器和互联网相连，服务器有www.xiexiebang.common firewall technology

Deluxe Zhang

Abstract:

It’s well known that computer network is a double-edged sword.It can not only provide us with great openness and convenience, but also increase the possibility of damaged or violated private information and data.To begin with，this article will relate the current risks of network security and explain main reasons of the network security problems.Then, the firewall emerged due to the threats of network security, what’s more, it’s the key technology to network security.In essence, firewall the isolation technique, while its main idea is creating a relative safety sub-network environment in an unsafety network environment.This article analyses several important aspects of firewall from thebasic security functions, architecture and the main means of achieving the firewall with configuration.Key words：Network security，Firewall，The type of firewall

第四篇：网络安全技术论文

从360和腾讯事件看网络信息安全

李娅楠

（中国民航大学 理学院 090243116）

摘要：阐述了网络信息安全的内涵，网络安全的组成，威胁网络安全的因素及相应应对措施。在此基础上论文指出对于网络安全教育和管理的加强是十分必要的，因此应加强信息安全学科建设和人才培养，确保我国的信息安全。

关键词：网络信息安全威胁因素 网络安全技术

最近，360杀毒软件和QQ聊天软件的争斗在网络上掀起了滔天巨浪。为此，有关QQ涉嫌窥探个人电脑隐私、奇虎360、金山等安全软件公司纷纷发布电脑隐私保护器软件，旨在应对或保护个人电脑隐私，一场由信息安全、个人隐私引发的“企业恩怨”正在上演。在这次事件中，360认为腾讯扫描用户硬盘，查看用户隐私；腾讯则认为360影响其程序运行，为此引发两者一系列争斗，并且斗争愈演愈烈，最终殃及用户。作为第三方，我并不关心这两家公司谁输谁赢，重要的是，透过这个现象，让我意识到，这场利益争夺战带来的影响，已经远远超出了这两家公司业务的范畴。我们应该跳出360与腾讯的恩怨，清醒意识并正确认识到网络信息安全的重要性。

计算机网络安全(Network Security)是一门涉及计算机科学，网络技术，通信技术，密码技术，信息安全技术，应用数学，数论，信息论等多种学科的综合性科学。国际标准化组织（ISO）将“计算机网络安全”定义为：“为数据处理系统建立和采取的技术和管理的安全保护，保护网络系统的硬件、软件及其系统中的数据不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠、正常地运行，网络服务不中断。”上述计算机安全的定义包含物理安全和逻辑安全两方面的内容，其逻辑安全的内容可理解为我们常说的网络上的信息安全，是指对信息的保密性、完整性和可用性的保护，而网络安全性的含义是信息安全的引申，即网络安全是对网络信息保密性、完整性和可用性的保护。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。当然，网络安全的具体含义会随着“角度”的变化而变化。比如：从用户（个人、企业等）角度，他们希望涉及个人隐私或商业利益的信息在网络上传输时受到机密性、完整性和真实性的保护，避免其他人利用窃听、冒充、篡改、抵赖等手段侵犯用户的利益和隐私。从网络运行和管理者角度说，他们希望对本地网络信息的访问、读写等操作受到保护和控制，避免出现“陷门”、病毒、非法存取、拒绝服务和网络资源非法占用和非法控制等威胁，制止和防御网络黑客的攻击。对安全保密部门来说，他们希望对非法的、有害的或涉及国家机密的信息进行过滤和防堵，避免机要信息泄露，避免对社会产生危害，对国家造成巨大损失。从社会教育和意识形态角度来讲，网络上不健康的内容，会对社会的稳定和人类的发展造成阻碍，必须对其进行控制。

计算机网络安全从技术上来说，主要由防病毒、防火墙、入侵检测等多个安全组件组成，一个单

独的组件无法确保网络信息的安全性。早期的网络防护技术的出发点是首先划分出明确的网络边界，然后通过在网络边界处对流经的信息利用各种控制方法进行检查，只有符合规定的信息才可以通过网络边界，从而达到阻止对网络攻击、入侵的目的。计算机和网络技术具有的复杂性和多样性，使得计算机和网络安全成为一个需要持续更新和提高的领域。目前黑客的攻击方法已超过了计算机病毒的种类，而且许多攻击都是致命的。

近年来随着Internet的飞速发展，计算机网络的资源共享进一步加强，随之而来的信息安全问题日益突出。据美国FBI统计，美国每年网络安全问题所造成的经济损失高达75亿美元。而全球平均每20秒钟就发生一起Internet计算机侵入事件。在Internet/Intranet的大量应用中，Internet/Intranet安全面临着重大的挑战，事实上，资源共享和安全历来是一对矛盾。在一个开放的网络环境中，大量信息在网上流动，这为不法分子提供了攻击目标。而且计算机网络组成形式多样性、终端分布广和网络的开放性、互联性等特征更为他们提供便利。他们利用不同的攻击手段，获得访问或修改在网中流动的敏感信息，闯入用户或政府部门的计算机系统，进行窥视、窃取、篡改数据。不受时间、地点、条件限制的网络诈骗，其“低成本和高收益”又在一定程度上刺激了犯罪的增长。使得针对计算机信息系统的犯罪活动日益增多。

计算机的安全体系是一个层次对的体系，从高到低的层次关系如下图所示：

其中网络安全是最高级的安全，它是指保护网络系统的硬件，软件及其数据不受恶意或偶然的导致破坏，更改或泄漏，使系统连续可靠正常运行，使网络服务不中断。

而从人为（黑客）角度来看，常见的计算机网络安全威胁主要有：信息泄露、完整性破坏、拒绝服务、网络滥用。

信息泄露：信息泄露破坏了系统的保密性，他是指信息被透漏给非授权的实体。常见的，能够导致信息泄露的威胁有：网络监听、业务流分析、电磁、射频截获、人员的有意或无意、媒体清理、漏洞利用、授权侵犯、物理侵入、病毒、木马、后门、流氓软件、网络钓鱼。

完整性破坏：可以通过漏洞利用、物理侵犯、授权侵犯、病毒，木马，漏洞来等方式实现。拒绝服务攻击：对信息或资源可以合法的访问却被非法的拒绝或者推迟与时间密切相关的操作。

网络滥用：合法的用户滥用网络，引入不必要的安全威胁，包括非法外联、非法内联、移动风险、设备滥用、业务滥用。

常见的计算机网络安全威胁的表现形式主要有：窃听、重传、伪造、篡改、拒绝服务攻击、行为否认、电子欺骗、非授权访问、传播病毒。

窃听：攻击者通过监视网络数据的手段获得重要的信息，从而导致网络信息的泄密。重传：攻击者事先获得部分或全部信息，以后将此信息发送给接收者。

篡改：攻击者对合法用户之间的通讯信息进行修改、删除、插入，再将伪造的信息发送给接收者，这就是纯粹的信息破坏，这样的网络侵犯者被称为积极侵犯者。积极侵犯者的破坏作用最大。拒绝服务攻击：攻击者通过某种方法使系统响应减慢甚至瘫痪，阻止合法用户获得服务。行为否认：通讯实体否认已经发生的行为。

电子欺骗：通过假冒合法用户的身份来进行网络攻击，从而达到掩盖攻击者真实身份，嫁祸他人的目的.非授权访问：没有预先经过同意，就使用网络或计算机资源被看作非授权访问。

传播病毒：通过网络传播计算机病毒，其破坏性非常高，而且用户很难防范。

当然，除了人为因素，网络安全还在很大部分上由网络内部的原因或者安全机制或者安全工具本身的局限性所决定，他们主要表现在：每一种安全机制都有一定的应用范围和应用环境、安全工具的使用受到人为因素的影响、系统的后门是传统安全工具难于考虑到的地方、只要是程序，就可能存在BUG。而这一系列的缺陷，更加给想要进行攻击的人以方便。所以，网络安全问题可以说是由人所引起的。因此，对于网络安全教育和管理的加强是十分必要的，与此相关的加强计算机网络安全的对策措施有：1.对工作人员结合机房、硬件、软件、数据和网络等各个方面安全问题，进行安全教育，提高工作人员的安全观念和责任心；加强业务、技术的培训，提高操作技能；教育工作人员严格遵守操作规程和各项保密规定，防止人为事故的发生。同时，要保护传输线路安全。对于传输线路，应有露天保护措施或埋于地下，并要求远离各种辐射源，以减少各种辐__射引起的数据错误；线缆铺设应当尽可能使用光纤，以减少各种辐射引起的电磁泄漏和对发送线路的干扰。要定期检查连接情况，以检测是否有搭线窃听、非法外连或破坏行为。

2.运用网络加密技术：网络信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网上传输的数据。加密数据传输主要有三种：①链接加密。在网络节点间加密，在节点间传输加密的信息，传送到节点后解密，不同节点间用不同的密码。②节点加密。与链接加密类似，不同的只是当数据在节点间传送时，不用明码格式传送，而是用特殊的加密硬件进行解密和重加密，这种专用硬件通常放置在安全保险箱中。③首尾加密。对进入网络的数据加密，然后待数据从网络传送出后再进行解密。网络的加密技术很多，在实际应用中，人们通常根据各种加密算法结合在一起使用，这样可以更加有效地加强网络的完全性。网络加密技术也是网络安全最有效的技术之一。既可以对付恶意软件攻

击，又可以防止非授权用户的访问。

3.加强计算机网络访问控制：访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非正常访问，也是维护网络系统安全、保护网络资源的重要手段。访问控制技术主要包括入网访问控制、网络的权限控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监测和锁定控制、网络端口和节点的安全控制。根据网络安全的等级、网络空间的环境不同，可灵活地设置访问控制的种类和数量。

4.使用防火墙技术：采用防火墙技术是解决网络安全问题的主要手段。防火墙技术是建立在现代通信网络技术和信息技术基础上的应用性安全技术，越来越多地应用于专用网络与公用网络的互联环境之中。防火墙是在网络之间执行访问控制策略的系统，通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况。具备检查、阻止信息流通过和允许信息流通过两种管理机制，并且本身具有较强的抗攻击能力。在逻辑上，防火墙可以有效地监控内部网和Internet 之间的任何活动，保证内部网络的安全。防火墙的应用可最大限度地保障网络的正常运行，它可以起着提高内部网络的安全性、强化网络安全策略、防止内部信息泄漏、网络防毒、信息加密、存储通信、授权、认证等重要作用。

对于此次360腾讯事件，且不论腾讯是否窥探了我们的隐私，透过此次腾讯与360之间的争夺战，我们应该正确认识到信息安全与隐私保护的必要性。现今计算机及网络已成为我们不可或缺的工具，然而计算机及网络在给我们带来极大方便的同时，也隐藏着巨大的危机和漏洞。即使对于计算机专业人士来讲，如果不是顶层设计人员，都很难搞清屏幕之下，到底有多少代码在悄悄地窥视。这次两个国产软件商的纷争，可以说把神秘的网络风险揭开了一角。在计算机网络系统中，绝对安全是不存在的，而计算机网络信息安全的工作贯穿于计算机网络建设、发展的始终，这就需要我们时刻重视，不断学习，才能确保计算机网络的安全、可靠地运行。总之，网络安全是一个综合性的课题，涉及技术、管理、使用等许多方面，既包括信息系统本身的安全问题，也有物理的和逻辑的技术措施，一种技术只能解决一方面的问题，而不是万能的。为此建立有中国特色的网络安全体系，需要国家政策和法规的支持及集团联合研究开发。安全与反安全就像矛盾的两个方面，总是不断地向上攀升，所以安全产业将来也是一个随着 新技术发展而不断发展的产业。

参考文献：

[1]朱理森,张守连.计算机网络应用技术[M].北京:专利文献出版社，2001.[2]谢希仁.计算机网络(第4版)[M].北京:电子工业出版社,2003

[3]张民,徐跃进.网络安全实验教程，清华大学出版社，2007，6.

第五篇：网络安全与技术

网 络 安 全 与 技 术

计算机网络安全之防火墙概述

随着计算机网络技术的普及和越来越广泛地应用于工业、农业、交通等国民经济各个领域和国防建设和军事领域,计算机网络时常出现的安全问题日益增多,存在的安全隐患,促使人们采取各种方案保护计算机网络的安全。21世纪全世界的计算机都将通过Internet联到一起，信息安全的内涵也就发生了根本的变化。它不仅从一般性的防卫变成了一种非常普通的防范，而且还从一种专门的领域变成了无处不在。当人类步入21世纪这一信息社会、网络社会的时候，我们将建立起一套完整的网络安全体系，特别是从政策上和法律上建立起有中国自己特色的网络安全体系。

一个国家的信息安全体系实际上包括国家的法规和政策，以及技术与市场的发展平台。我国在构建信息防卫系统时，应着力发展自己独特的安全产品，我们要想真正解决网络安全问题，最终的办法就是通过发展民族的安全产业，带动我国网络安全技术的整体提高。

网络安全产品有以下几大特点：第一，网络安全来源于安全策略与技术的多样

于(Checkpoint)。使用这类防火墙，需要网管对所工作的操作系统平台比较熟悉。

2.硬件防火墙

这里说的硬件防火墙是指“所谓的硬件防火墙”。之所以加上所谓二字是针对芯片级防火墙说的了。它们最大的差别在于是否基于专用的硬件平台。目前市场上大多数防火墙都是这种所谓的硬件防火墙，他们都基于PC架构，就是说，它们和普通的家庭用的PC没有太大区别。在这些PC架构计算机上运行一些经过裁剪和简化的操作系统，最常用的有老版本的(Unix、Linux和FreeBSD)系统。值得注意的是，由于此类防火墙采用的依然是别人的内核，因此依然会受到OS操作系统本身的安全性影响。

传统硬件防火墙一般至少应具备三个端口，分别接(内网，外网和DMZ区)非军事化区，现在一些新的硬件防火墙往往扩展了端口，常见四端口防火墙一般将第四个端口做为配置口、管理端口。很多防火墙还可以进一步扩展端口数目。

3.芯片级防火墙

“芯片级”防火墙基于专门的硬件平台，没有操作系统。专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。做这类防火墙最出名的厂商有(NetScreen、FortiNet、Cisco)等。这类防火墙由于是专用OS操作系统,因此防火墙本身的漏洞比较少，不过价格相对比较高昂。

根据防火墙所采用的技术不同,我们可以将它分为四种基本类型:包过滤型、网络地址转换—NAT、代理型和监测型。

1.包过滤型

包过滤型产品是防火墙的初级产品,其技术依据是网络中的分包传输技术。网络上的数据都是以“包”为单位进行传输的,数据被分割成为一定大小的数据包,每一个

4.监测型

监测型防火墙是新一代的产品,这一技术实际已经超越了最初的防火墙定义。监测型防火墙能够对各层的数据进行主动的、实时的监测,在对这些数据加以分析的基础上,监测型防火墙能够有效地判断出各层中的非法侵入。同时,这种检测型防火墙产品一般还带有分布式探测器,这些探测器安置在各种应用服务器和其他网络的节点之中,不仅能够检测来自网络外部的攻击,同时对来自内部的恶意破坏也有极强的防范作用。据权威机构统计,在针对网络系统的攻击中,有相当比例的攻击来自网络内部。因此,监测型防火墙不仅超越了传统防火墙的定义,而且在安全性上也超越了前两代产品

虽然监测型防火墙安全性上已超越了包过滤型和代理服务器型防火墙,但由于监测型防火墙技术的实现成本较高,也不易管理,所以目前在实用中的防火墙产品仍然以第二代代理型产品为主,但在某些方面也已经开始使用监测型防火墙。基于对系统成本与安全技术成本的综合考虑,用户可以选择性地使用某些监测型技术。这样既能够保证网络系统的安全性需求,同时也能有效地控制安全系统的总拥有成本。

实际上,作为当前防火墙产品的主流趋势,大多数代理服务器(也称应用网关)也集成了包过滤技术,这两种技术的混合应用显然比单独使用具有更大的优势。由于这种产品是基于应用的,应用网关能提供对协议的过滤。例如,它可以过滤掉FTP连接中的PUT命令,而且通过代理应用,应用网关能够有效地避免内部网络的信息外泄。正是由于应用网关的这些特点,使得应用过程中的矛盾主要集中在对多种网络应用协议的有效支持和对网络整体性能的影响上。

当前信息安全技术发展迅速，但没有任一种解决方案可以防御所有危及信息安全的攻击，这是“矛”与“盾”的问题，需要不断吸取新的技术，取众家所长，才能使“盾”更坚，以防御不断锋利的“矛”，因此，要不断跟踪新技术，对所采用的信息安全技术进行升级完善，以确保相关利益不受侵犯。

我国信息网络安全技术的研究和产品开发尚处于起步阶段，就更需要我们去研究、开发和探索，以走有中国特色的产学研联合发展之路，赶上或超过发达国家的水平，以此保证我国网络信息的安全，推动我国围民经济的高速发展。