第一篇：计算机网络安全及防护
摘要：
随着信息系统的不断发展，计算机网络系统已经扩散到了各个领域，且在其中扮演着重要角色，同时也对人们的日常生产带来了很大影响。但在计算机网络系统迅速发展的同时，也带来了安全隐患，严重威胁到了人们的经济财产安全，所以确保计算机网络系统正常运行，做好相应的防护工作至关重要。本文就计算机网络的安全及防护进行简要分析，希望对计算机网络系统的进一步发展有良好的促进作用。
关键字：安全防护；网络病毒；计算机系统
0引言
随着计算机技术的广泛传播，人类开始进入了信息化时代。社会各界也逐步提高了对网络技术的重视，依赖性越来越大。但由于计算机网络技术自身的局限性，致使网络信息平台安全性越来越低，从而给不法分子提供了机会。所以增强计算机网络系统的安全性，已经逐步成为了社会各界重点关注的话题。
1.威胁计算机网络安全的因素
1.1黑客攻击
网络攻击与网络监听是两种常见的黑客攻击方式，其攻击的手段很难让人察觉，不仅仅局限于卫星、微波、无线等几种通讯方式。网络攻击就是黑客利用系统漏洞、互联网协议、缓冲区溢出等各种攻击手段，占用网络系统的可用资源，最终造成系统崩溃、网络崩盘的局面，致使网络无法正常使用。而网络监听则是通过冰河、灰鸽子等病毒软件，在对方不注意的情况下，通过互联网进入对方电脑，待入侵成功后便轻松截取对方信息，可以说，一旦目标电脑被入侵便没有了秘密可言[1]。
1.2木马程序的威胁
木马程序与普通的计算机软件不同，它是通过远程操作控制目标主机。它可为攻击者提供入侵目标主机的捷径，可以在对方没有察觉的情况下，肆意获取目标主机的机密文件，甚至可以远程操作目标主机，给使用者带来严重的威胁。通常这种恶意程序是通过与其他程序捆绑、伪装或利用网站挂马的方式吸引目标下载执行，其隐蔽性及强，很难让人一眼看出。在当今网络开放的时代，木马程序极度泛滥，严重威胁网络用户的人身安全[2]。
1.3计算机病毒
所谓计算机病毒就是入侵者往计算机程序中插入了一段可以影响计算机使用，且能够自我复制的程序代码或者计算机指令，这种病毒具有潜伏性、传染性、寄生性和传染性的特点。因此这类病毒通常在数据传输、复制以及运行程序中传播，在日常使用中，光盘、硬盘、U盘等都是传播计算机病毒的主要途径。一些计算机病毒破坏性很大，比如熊猫烧香病毒等，它给网络运行带来了极大危害，严重影响了计算机网络的正常运行。
1.4系统漏洞的威胁
网络软件并不是百毒不侵的，其中存在着很多的缺陷与不足，各类软件与操作系统都是通过反复调试与编写才投入使用，即使这样其自身的结构与设计都会出现问题，不可能任何漏洞都没有，而这些漏洞就给计算机病毒与恶意程序提供了机会，使得计算机处于一种非常危险的境地，一旦联网，就有被入侵的可能[3]。
1.5内部的威胁
内部威胁主要来自于企业员工或离职人员，通常内部威胁要远远超过外部威胁。主要是因为企业员工是重要数据直接管理者，因为他们的安全意识淡薄，在网络平台上，缺少适当的安全防范措施，给非法分子提供了可乘之机，致使企业机密泄露，进而给企业带来严重的经济损失，同时也严重威胁到了个人信息安全。近几年企业内部威胁事故时有发生，已成为了企业安全管理的重要内容。
2.增强网络防护的有效措施
2.1防火墙技术
防火墙技术是当前应用最为广泛的一种网络安全防护技术，该技术的作用是控制网络访问，阻止非法进入内网，从而对内网资源进行保护。防火墙会对传输的数据包以及数据包中的信息进行逐一检测，确保其中的数据满足计算机系统的访问控制规则（目标端口、源端口、源地址等），如果满足，则允许通过，若不满足则会将数据包丢弃。当前已有的防火墙技术主要有三种包过滤防火墙、状态监测防火墙和应用代理防火墙三种。包过滤防火墙是通过对数据包中的信息进行匹配，实现对内网资源的保护；状态监测防火墙除了具有包过滤防火墙的功能外，还会对监测表的状态进行检测；而应用代理防火墙则是通过代理服务器先对即将访问的客户端进行检测，完成数据包信息的匹配，然后再根据数据信息的匹配结果决定是否可以访问服务器。防火墙技术的缺陷在于无法阻止内部网络用户造成的威胁，也无法有效地阻止传送携带病毒的文件和程序。
2.2入侵检测技术
入侵检测技术属于一种新兴的计算机安全防护技术，该技术是对数据加密和防火墙等传统技术的补充。入侵检测技术作用的发挥通常需要信息收集、分析和结果处理三个步骤。首先是对计算机网络、运行系统等数据信息进行收集，包括正在运行的程序、文档、网络系统的日志文件等。其次，对所收集到的信息进行分析处理，检测出这些信息是否存在异常情况，同时将检测的报告传送给控制台。最后，根据告警信息，控制台将采取相应的防护措施，比如改变文件属性、切断内网与外网间的联系、终止进程以及重新设置路由器和防火墙。
2.3防病毒技术
就是监测计算机系统是否存在异常请求与非法操作的一项安全技术，一旦发现系统有安全隐患或病毒特征码的资源，就会立即报警，然后通过清除或隔离的方式，来降低病毒对计算机系统的干扰。不管是单机型系统或网络型防病毒软件，都具有自动更新病毒数据库、检测并清除病毒等功能。安装防病毒软件后，可以实现定时查杀病毒软件、定时更新病毒库、实时监测并保护计算机系统，从而有效降低病毒软件的影响。
2.4漏洞扫描技术
漏洞扫描技术是通过检测并收集目标主机请求，然后将收集的信息与数据库逐一匹配，从而找出目标主机脆弱性的检测技术。通过漏洞扫描技术能够实现定位、分析目标系统的漏洞与安全隐患，以便网络管理者进行修复，同时还能定期进行安全评估，有效避免病毒入侵，实现防护、修复功能，形成多层安全保护体系，有效降低了系统被攻击的危险，提高了网络系统的稳定性。
2.5采用数据加密技术
通过加密技术来避免计算机数据丢失。数据加密技术主要确保计算机系统内的口令、文件以及数据等的安全。数据加密的对象主要是网络传输中的数据流。一般采用的方法有：端对端与线路加密两种。其中端对端加密就是设置用户权限、区分用户资格，避免用户非法存取数据，这一技术通常用于网络操作系统以及NT技术中，在系统中可以设置用户权限，以达到保护计算机数据，避免信息泄露的目的。线路加密则是通过加密模块或加密法转换等方法实现，侧重的是对线路的加密，不考虑信源和信终，是对传输信息通过加密密匙来实现安全保护。此外还有数据存储加密，这种加密技术侧重的是存储过程的保护，避免数据信息在存储环节上失密，其中又分为存取控制和密文存取。
结语：
总之，计算机网络系统安全问题是一项综合性的课题，需要综合考虑用户实际需求以及网络安全需求，结合实际情况合理选用网络防护技术，管理者也要积极配合，进而形成一套完善的安全防护系统，有效避免了外来病毒的侵害，从而更好的服务于社会各个行业。
参考文献：
[1]姚相振.2015年RSA大会网络安全热点议题[J].信息技术与标准化,2015(06):11-13.[2]王红梅,宗慧娟,王爱民.计算机网络信息安全及防护策略研究[J].价值工程,2015(01):209-210.[3]张建华.关于计算机网络安全防护技术的探讨[J].计算机光盘软件与应用，2014,12(26):5628-5629.
第二篇：计算机网络安全及防护毕业设计论文
计算机网络安全及防护毕业设计论文
摘要
本文从计算机网络面临的各种安全威胁，系统地介绍网络安全技术。并针对校园网 络的安全问题进行研究，首先分析了高校网络系统安全的隐患，然后从构建安全防御体 系和加强安全管理两方面设计了校园网络的安全策略。本次论文研究中，我首先了解了 网络安全问题的主要威胁因素，并利用网络安全知识对安全问题进行剖析。其次，通过 对网络技术的研究，得出校园网也会面临着安全上的威胁。最后，确立了用P2DR模型 的思想来建立校园网的安全防御体系。并得出了构建一套有效的网络安全防御体系是解 决校园网主要威胁和隐患的必要途径和措施.关键词: 网络安全，安全防范，校园网
II ABSTRACT In this paper, a variety of computer network security threats faced by the system to introduce the network security technology.And for the safety of the campus network to study, first of all an analysis of the safety of colleges and universities hidden network and then build a security defense system and strengthen the security management of both the design of the campus network security policy.The research paper, I first learned about the major issues of network security threats and take advantage of network security knowledge to analyze the security issues.Secondly, through the network technology, will come to campus network is faced with security threats.Finally, P2DR model established with the idea to create a campus network security defense system..And come to build an effective network security defense system to address major threats to the campus network and the hidden ways and measures necessary.Key words: NetworkSecurity, SafetyPrecautions, Campus Network
目录
第1章 前言..............................................................1
1.1 网络安全发展历史与现状分析..........................................1 1.1.1因特网的发展及其安全问题........................................1 1.1.2我国网络安全现状及发展趋势.....................................3 第2章 网络安全概述......................................................5 2.1网络安全的含义......................................................5 2.2 网络安全的属性......................................................5 2.3 网络安全机制........................................................5 2.3.1 网络安全技术机制................................................6 2.3.2 网络安全管理机制................................................6 2.4 网络安全策略........................................................6 2.4.1 安全策略的分类..................................................6 2.4.2 安全策略的配置.................................................7 2.5 网络安全发展趋势....................................................8 第3章 网络安全问题解决对策..............................................9 3.1计算机安全级别的划分................................................9 3.1.1 TCSEC简介......................................................9 3.1.2 GB17859划分的特点.............................................10 3.1.3安全等级标准模型...............................................11
3.2 防火墙技术.........................................................11 3.2.1防火墙的基本概念与作用.........................................12 3.2.2 防火墙的工作原理...............................................12 第4章 网络安全防范.....................................................24 4.1 TELNET 入侵防范......................................................24 4.2 防止ADMINISTRATOR账号被破解................................24 4.3 防止账号被暴力破解.................................................25 4.4 “木马”防范措施...................................................26 4.4.1“木马”的概述..................................................26 4.4.2 “木马”的防范措施.............................................26 4.5 网页恶意代码及防范.................................................27 4.5.1恶意代码分析...................................................27 4.5.2网页恶意代码的防范措施.........................................28 第5章 结束语...........................................................46 致谢....................................................................48 参考文献................................................................49 论文小结................................................................51 附录....................................................................52
第1 章 前言
1.1 网络安全发展历史与现状分析
随着计算机技术的发展，在计算机上处理业务已由基于单机的数学运算、文件处理，基于简单连结的内部网络的内部业务处理、办公自动化等发展到基于企业复杂的内部 网、企业外部网、全球互联网的企业级计算机处理系统和世界范围内的信息共享和业务 处理。在信息处理能力提高的同时，系统的连结能力也在不断的提高。但在连结信息能 力、流通能力提高的同时，基于网络连接的安全问题也日益突出。主要表现在以下方面：
（一）网络的开放性带来的安全问题
Internet的开放性以及其他方面因素导致了网络环境下的计算机系统存在很多安 全问题。为了解决这些安全问题，各种安全机制、策略、管理和技术被研究和应用。然 而，即使在使用了现有的安全工具和技术的情况下，网络的安全仍然存在很大隐患，这 些安全隐患主要可以包括为以下几点:(1)安全机制在特定环境下并非万无一失。比如防火墙，它虽然是一种有效的安全 工具，可以隐蔽内部网络结构，限制外部网络到内部网络的访问。但是对于内部网络之 间的访问，防火墙往往是无能为力的。因此，对于内部网络到内部网络之间的入侵行为 和内外勾结的入侵行为，防火墙是很难发觉和防范的。(2)安全工具的使用受到人为因素的影响。一个安全工具能不能实现期望的效果，在很大程度上取决于使用者，包括系统管理者和普通用户，不正当的设置就会产生不安 全因素。例如，Windows NT在进行合理的设置后可以达到C2级的安全性，但很少有人 能够对Windows NT本身的安全策略进行合理的设置。虽然在这方面，可以通过静态扫 描工具来检测系统是否进行了合理的设置，但是这些扫描工具基本上也只是基于一种缺 省的系统安全策略进行比较，针对具体的应用环境和专门的应用需求就很难判断设置的 正确性。
(3)系统的后门是难于考虑到的地方。防火墙很难考虑到这类安全问题，多数情况 下，这类入侵行为可以堂而皇之经过防火墙而很难被察觉；比如说，众所周知的ASP源 码问题，这个问题在IIS服务器4.0以前一直存在，它是IIS服务的设计者留下的一个 后门，任何人都可以使用浏览器从网络上方便地调出ASP程序的源码，从而可以收集系统信息，进而对系统进行攻击。对于这类入侵行为，防火墙是无法发觉的，因为对于防 火墙来说，该入侵行为的访问过程和正常的WEB访问是相似的，唯一区别是入侵访问在 请求链接中多加了一个后缀。(4)BUG难以防范。甚至连安全工具本身也可能存在安全的漏洞。几乎每天都有新 的BUG被发现和公布出来，程序设计者在修改已知的BUG的同时又可能使它产生了新的 BUG。系统的BUG经常被黑客利用，而且这种攻击通常不会产生日志，几乎无据可查。比如说现在很多程序都存在内存溢出的BUG，现有的安
全工具对于利用这些BUG的攻击 几乎无法防范。
(5)黑客的攻击手段在不断地升级。安全工具的更新速度慢，且绝大多数情况需要 人为的参与才能发现以前未知的安全问题，这就使得它们对新出现的安全问题总是反应 迟钝。当安全工具刚发现并努力更正某方面的安全问题时，其他的安全问题又出现了。因此，黑客总是可以使用先进的、安全工具不知道的手段进行攻击。
（二）网络安全的防护力脆弱，导致的网络危机
(1)根据Warroon Research的调查，1997年世界排名前一千的公司几乎都曾被黑客 闯入。
(2)据美国FBI统计，美国每年因网络安全造成的损失高达75亿美元。(3)Ernst和Young报告，由于信息安全被窃或滥用，几乎80%的大型企业遭受损 失。
(4)最近一次黑客大规模的攻击行动中，雅虎网站的网络停止运行3小时，这令它 损失了几百万美金的交易。而据统计在这整个行动中美国经济共损失了十多亿美金。由 于业界人心惶惶，亚马逊(Amazon.com)、AOL、雅虎(Yahoo!)、eBay的股价均告下挫，以科技股为主的那斯达克指数(Nasdaq)打破过去连续三天创下新高的升势，下挫了六十 三点，杜琼斯工业平均指数周三收市时也跌了二百五十八点。
（三）网络安全的主要威胁因素
(1)软件漏洞：每一个操作系统或网络软件的出现都不可能是无缺陷和漏洞的。这 就使我们的计算机处于危险的境地，一旦连接入网，将成为众矢之的。
(2)配置不当：安全配置不当造成安全漏洞，例如，防火墙软件的配置不正确，那 么它根本不起作用。对特定的网络应用程序，当它启动时，就打开了一系列的安全缺口，许多与该软件捆绑在一起的应用软件也会被启用。除非用户禁止该程序或对其进行正确 配置，否则，安全隐患始终存在。
(3)安全意识不强：用户口令选择不慎，或将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁。
(4)病毒：目前数据安全的头号大敌是计算机病毒，它是编制者在计算机程序中插入 的破坏计算机功能或数据，影响计算机软件、硬件的正常运行并且能够自我复制的一组 计算机指令或程序代码。计算机病毒具有传染性、寄生性、隐蔽性、触发性、破坏性等 特点。因此，提高对病毒的防范刻不容缓。
(5)黑客：对于计算机数据安全构成威胁的另一个方面是来自电脑黑客(backer)。电 脑黑客利用系统中的安全漏洞非法进入他人计算机系统，其危害性非常大。从某种意义 上讲，黑客对信息安全的危害甚至比一般的电脑病毒更为严重。
因特网在我国的迅速普及，我国境内信息系统的攻击事件也正在呈现快速增长的势 头。据了解，从1997年底到现在，我国的政府部门、证券公司、银行、ISP, ICP等机构 的计算机网络相继遭到多次攻击。因此，加强网络信息安全保障已成为当前的迫切任务。目前我国网络安全的现状和面临的威胁主要有：(1)计算机网络系统使用的软、硬件很大一部分是国外产品，我们对引进的信息技术 和设备缺乏保护信息安全所必不可少的有效管理和技术改造。(2)全社会的信息安全意识虽然有所提高，但将其提到实际日程中来的依然很少。
(3)目前关于网络犯罪的法律、法规还不健全。
(4)我国信息安全人才培养还不能满足其需要。
第2 章 网络安全概述
2.1 网络安全的含义
网络安全从其本质来讲就是网络上信息安全，它涉及的领域相当广泛，这是因为目 前的公用通信网络中存在着各式各样的安全漏洞和威胁。广义上讲，凡是涉及到网络上 信息的保密性、完整性、可用性和可控性的相关技术和理论，都是网络安全的研究领域。
网络安全是指网络系统的硬件，软件及数据受到保护，不遭受偶然或恶意的破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断 [1]。且在不同环境和应用中又 不同的解释。
（1）运行系统安全：即保证信息处理和传输系统的安全，包括计算机系统机房环境 和传输环境的法律保护、计算机结构设计的安全性考虑、硬件系统的安全运行、计算机 操作系统和应用软件的安全、数据库系统的安全、电磁信息泄露的防御等。
（2）网络上系统信息的安全：包括用户口令鉴别、用户存取权限控制、数据存取权 限、方式控制、安全审计、安全问题跟踪、计算机病毒防治、数据加密等。
（3）网络上信息传输的安全：即信息传播后果的安全、包括信息过滤、不良信息过 滤等。
（4）网络上信息内容的安全：即我们讨论的狭义的“信息安全”；侧重于保护信息 的机密性、真实性和完整性。本质上是保护用户的利益和隐私。
2.2 网络安全的属性
网络安全具有三个基本的属性：机密性、完整性、可用性。（1）机密性：是指保证信息与信息系统不被非授权者所获取与使用，主要 范措施是密码技术。
（2）完整性：是指保证信息与信息系统可被授权人正常使用，主要防范措施是确保 信息与信息系统处于一个可靠的运行状态之下。以上可以看出：在网络中，维护信息载体和信息自身的安全都包括了机密性、完整 性、可用性这些重要的属性。
2.3 网络安全机制
网络安全机制是保护网络信息安全所采用的措施，所有的安全机制都是针对某些潜 在的安全威胁而设计的，可以根据实际情况单独或组合使用。如何在有限的投入下合理 地使用安全机制，以便尽可能地降低安全风险，是值得讨论的，网络信息安全机制应包括:技术机制和管理机制两方面的内容。2.3.1 网络安全技术机制
网络安全技术机制包含以下内容：
（1）加密和隐藏。加密使信息改变，攻击者无法了解信息的内容从而达到保护；隐 藏则是将有用信息隐藏在其他信息中，使攻击者无法发现。
（2）认证和授权。网络设备之间应互认证对方的身份，以保证正确的操作权力赋予 和数据的存取控制；同时网络也必须认证用户的身份，以授权保证合法的用户实施正确 的操作。
（3）审计和定位。通过对一些重要的事件进行记录，从而在系统中发现错误或受到 攻击时能定位错误并找到防范失效的原因，作为内部犯罪和事故后调查取证的基础。
（4）完整性保证。利用密码技术的完整性保护可以很好地对付非法篡改，当信息源 的完整性可以被验证却无法模仿时，可提供不可抵赖服务。
（5）权限和存取控制：针对网络系统需要定义的各种不同用户，根据正确的认证，赋予其适当的操作权力，限制其越级操作。
（6）任务填充：在任务间歇期发送无用的具有良好模拟性能的随机数据，以增加攻 击者通过分析通信流量和破译密码获得信息难度。2.3.2 网络安全管理机制
网络信息安全不仅仅是技术问题，更是一个管理问题，要解决网络信息安全问题，必须制定正确的目标策略，设计可行的技术方案，确定合理的资金技术，采取相应的管 理措施和依据相关法律制度。
2.4 网络安全策略
策略通常是一般性的规范，只提出相应的重点，而不确切地说明如何达到所要的结 果，因此策略属于安全技术规范的最高一级。2.4.1 安全策略的分类
安全策略分为基于身份的安全策略和基于规则的安全策略种。基于身份的安全策略 是过滤对数据或资源的访问，有两种执行方法：若访问权限为访问者所有，典型的作法 为特权标记或特殊授权，即仅为用户及相应活动进程进行授权；若为访问数据所有则可 以采用访问控制表（ACL）。这两种情况中，数据项的大小有很大的变化，数据权力命名 也可以带自己的ACL。基于规则的安全策略是指建立在特定的，个体化属性之上的授权准则，授权通常依 赖于敏感性。在一个安全系统中，数据或资源应该标注安全标记，而且用户活动应该得 到相应的安全标记。
2.4.2 安全策略的配置
开放式网络环境下用户的合法权益通常受到两种方式的侵害：主动攻击和被动攻 击，主动攻击包括对用户信息的窃取，对信息流量的分析。根据用户对安全的需求才可 以采用以下的保护：
（1）身份认证；检验用户的身份是否合法、防止身份冒充、及对用户实施访问控制 数据完整性鉴别、防止数据被伪造、修改和删除。
（2）信息保密；防止用户数据被泄、窃取、保护用户的隐私。（3）数字签名；防止用户否认对数据所做的处理。（4）访问控制；对用户的访问权限进行控制。
（5）不可否认性；也称不可抵赖性，即防止对数据操作的否认。2.4.3 安全策略的实现流程 安全策略的实现涉及到以下及个主要方面，（1）证书管理。主要是指公开密银证书的产生、分配更新和验证。
（2）密银管理。包括密银的产生、协商、交换和更新，目的是为了在通信的终端系统之间建立实现安全策略所需的共享密银。
（3）安全协作。是在不同的终端系统之间协商建立共同采用的安全策略，包括安全 策略实施所在层次、具体采用的认证、加密算法和步骤、如何处理差错。（4）安全算法实现：具体算法的实现，如PES、RSA.（5）安全策略数据库：保存与具体建立的安全策略有关的状态、变量、指针。
2.5 网络安全发展趋势
总的看来，对等网络将成为主流，与网格共存。网络进化的未来—绿色网络—呼唤 着新的信息安全保障体系。国际互联网允许自主接入，从而构成一个规模庞大的，复杂的巨系统，在如此复杂 的环境下，孤立的技术发挥的作用有限，必须从整体的和体系的角度，综合运用系统论，控制论和信息论等理论，融合各种技术手段，加强自主创新和顶层设计，协同解决网络 安全问题。保证网络安全还需严格的手段，未来网络安全领域可能发生三件事，其一是向更高 级别的认证转移；其二，目前存储在用户计算机上的复杂数据将“向上移动”，由与银 行相似的机构确保它们的安全； 第三，是在全世界的国家和地区建立与驾照相似的制度，它们在计算机销售时限制计算机的运算能力，或要求用户演示在自己的计算机受到攻击 时抵御攻击的能力。
第 3章 网络安全问题解决对策
3.1 计算机安全级别的划分
3.1.1 TCSEC 简介
1999年9 月13日国家质量技术监督局公布了我国第一部关于计算机信息系统安全 等级划分的标准“计算机信息系统安全保护等级划分准则”（GB17859-1999）。而国外同 标准的是美国国防部在1985年12月公布的可信计算机系统评价标准TCSEC(又称桔皮 书)。在TCSEC划分了 7个安全等级：D级、C1 级、C2级、B1级、B2级、B3级和A1级。其中D级是没有安全机制的级别，A1级是难以达到的安全级别，下面对下各个安全级别进行介绍：(1)D 类安全等级：D 类安全等级只包括 D1 一个级别。D1 的安全等级最低。D1 系统只为文件和用户提供安全保护。D1 系统最普通的形式是本地操作系统，或者 是一个完全没有保护的网络。
(2)C 类安全等级：该类安全等级能够提供审慎的保护，并为用户的行动和责任 提供审计能力。C 类安全等级可划分为 C1 和 C2 两类。C1 系统的可信任运算基础 体制（Trusted Computing Base，TCB）通过将用户和数据分开来达到安全的目的。在 C1 系统中，所有的用户以同样的灵敏度来处理数据，即用户认为 C1 系统中的 所有文档都具有相同的机密性。C2 系统比 C1 系统加强了可调的审慎控制。在连接 事件和资源隔离来增强这种控制。C2 系统具有 C1 系统中所有的安全性特征。
(3)B 类安全等级：B 类安全等级可分为 B1、B2 和 B3 三类。B 类系统具
有强制 性保护功能。强制性保护意味着如果用户没有与安全等级相连，系统就不会让用 户存取对象。B1 系统满足下列要求：系统对网络控制下的每个对象都进行灵敏度 标记；系统使用灵敏度标记作为所有强迫访问控制的基础；系统在把导入的、非 标记的对象放入系统前标记它们；灵敏度标记必须准确地表示其所联系的对象的 安全级别；当系统管理员创建系统或者增加新的通信通道或 I/O 设备时，管理员 必须指定每个通信通道和 I/O 设备是单级还是多级，并且管理员只能手工改变指 定；单级设备并不保持传输信息的灵敏度级别；所有直接面向用户位置的输出（无 论是虚拟的还是物理的）都必须产生标记来指示关于输出对象的灵敏度；系统必 须使用用户的口令或证明来决定用户的安全访问级别；系统必须通过审计来记录 未授权访问的企图。B2 系统必须满足 B1 系统的所有要求。另外，B2 系统的管理 员必须使用一个明确的、文档化的安全策略模式作为系统的可信任运算基础体制。B2 系统必须满足下列要求：系统必须立即通知系统中的每一个用户所有与之相关 的网络连接的改变；只有用户能够在可信任通信路径中进行初始化通信；可信任 运算基础体制能够支持独立的操作者和管理员。B3 系统必须符合 B2 系统的所有安 全需求。B3 系统具有很强的监视委托管理访问能力和抗干扰能力。B3 系统必须设 有安全管理员。B3 系统应满足以下要求:(a)B3 必须产生一个可读的安全列表，每个被命名的对象提供对该对象没有访 问权的用户列表说明；(b)B3 系统在进行任何操作前，要求用户进行身份验证；(c)B3 系统验证每个用户，同时还会发送一个取消访问的审计跟踪消息；设计 者必须正确区分可信任的通信路径和其他路径；可信任的通信基础体制为每一个 被命名的对象建立安全审计跟踪；可信任的运算基础体制支持独立的安全管理。
(4)A 类安全等级：A 系统的安全级别最高。目前，A 类安全等级只包含 A1 一个 安全类别。A1 类与 B3 类相似，对系统的结构和策略不作特别要求。A1 系统的显 著特征是，系统的设计者必须按照一个正式的设计规范来分析系统。对系统分析 后，设计者必须运用核对技术来确保系统符合设计规范。A1 系统必须满足下列要 求：系统管理员必须从开发者那里接收到一个安全策略的正式模型;所有的安装操 作都必须由系统管理员进行；系统管理员进行的每一步安装操作都必须有正式文 档。
3.1.3 安全等级标准模型
计算机信息系统的安全模型主要又访问监控器模型、军用安全模仿和信息流模型等 三类模型，它们是定义计算机信息系统安全等级划分标准的依据。
（1）访问监控模型：是按 TCB 要求设计的，受保护的客体要么允许访问，要么不允许 访问。
（2）常用安全模型：是一种多级安全模型，即它所控制的信息分为绝密、机密、秘密 和无密4种敏感级。
（3）信息流模型：是计算机中系统中系统中信息流动路径，它反映了用户在计算机系 统中的访问意图。信息流分直接的和间接的两种。
3.2 防火墙技术
随着网络安全问题日益严重，网络安全技术和产品也被人们逐渐重视起来，防火墙 作为最早出现的网络安全技术和使用量最大的网络安全产品，受到用户和研发机构的亲睐。
3.2.1 防火墙的基本概念与作用 防火墙是指设置在不同网络或网络安全域
之间的一系列部件的组合，它执行预先制 定的访问控制策略，决定了网络外部与网络内部的访问方式。在网络中，防火墙实际是一种隔离技术，它所执行的隔离措施有：
（1）拒绝未经授权的用户访问内部网和存取敏感数据。（2）允许合法用户不受妨碍地访问网络资源。
而它的核心思想是在不安全的因特网环境中构造一个相对安全的子网环境，其目的 是保护一个网络不受另一个网络的攻击，所以防火墙又有以下作用：
（1）作为网络安全的屏障。一个防火墙作为阻塞节点和控制节点能极大地提高一个 内部网络的安全性，并通过过滤不安全的服务而降低风险，只有经过精心选择的应用协 议才能通过防火墙，所以网络环境变得更安全。
（2）可以强化网络安全策略。通过以防火墙为中心的安全方案配置，能将所有的安 全软件配置在防火墙上，体现集中安全管理更经济。
（3）对网络存取和访问进行监控审计。如果所有的访问都经过防火墙，那么，防火 墙就能记录下这些访问并做出日志记录，同时也能提供网络使用情况的统计数据，当发 生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。
（4）防止内部信息的外泄。通过利用防火墙对内部网络的划分，可实现内部网重点 网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。
（5）支持具有因特网服务性的企业内部网络技术体系VPN。
3.2.2 防火墙的工作原理
从防火墙的作用可以看出，防火墙必须具备两个要求：保障内部网安全和保障内部 网和外部网的联通。因此在逻辑上防火墙是一个分离器、限制器、分析器。
防火墙根据功能实现在 TCP/IP 网络模型中的层次，其实现原理可以分为三类：在 网络层实现防火墙功能为分组过滤技术；在应用层实现防火墙功能为代理服务技术；在 网络层，IP层，应用层三层实现防火墙为状态检测技术。
（1）分组过滤技术 实际上是基于路由器技术，它通常由分组过滤路由器对IP分组进行分组选择，允 许或拒绝特定的IP数据包，工作于IP层。
（2）代理服务技术 以一个高层的应用网关作为代理服务器，接受外来的应用连接请求，在代理服务器 上进行安全检查后，再与被保护的应用服务器连接，使外部用户可以在受控制的前提下 使用内部网络的服务，由于代理服务作用于应用层，它能解释应用层上的协议，能够作复杂和更细粒度的 访问控制；同时，由于所有进出服务器的客户请求必须通过代理网关的检查，可以作出 精细的注册和审计记录，并且可以与认证、授权等安全手段方便地集成，为客户和服务 提供更高层次的安全保护。
（3）状态检测技术 此技术工作在IP/TCP/应用层，它结合了分组过滤和代理服务技术的特点，它同分 组过滤一样，在应用层上检查数据包的内容，分析高层的协议数据，查看内容是否符 合网络安全策略。
第4 章 网络安全防范
4.1 telnet 入侵防范
Telnet 协议是 TCP/IP 协议族中的一员，是 Internet 远程登录服务的标准协 议和主要方式。它为用户提供了在本地计算机上完成远程主机工作的能力。在终 端使用者的电脑上使用telnet程序，用它连接到服务器。终端使用者可以在telnet 程序中输入命令，这些命令会在服务器上运行，就像直接在服务器的控制台上输 入一样。可以在本地就能控制服务器。要开始一个 telnet 会话，必须输入用户名 和密码来登录服务器。Telnet 是常用的远程控制 Web 服务器的方法。telnet可能是黑客常用的攻击方式，我们可以通过修改telnet服务端口，停用 telnet服务，甚至把telnet控制台管理工具删除。
4.2 防止 Administrator 账号被破解
Windows 2000/xp/2003系统的 Administrator账号是不能被停用的，也不能设置安全策略，这样黑客就可以一遍又一遍地尝试这个账号的密码，直到被破解，为了防止这 种侵入，我们可以把 Administrator账号更名：在“组策略”窗口中，依次展开“本地计 算机策略”/“计算机配置”/“windows设置”/“安全设置”/“本地策略”/“安全选 项”功能分支。重命名系统管理员帐户“属性”对话框，在此输入新的管理员名称，尽 量把它为普通用户，然后另建一个超过 10 位的超级复杂密码，并对该账号启用审核，这样即使黑客费力破解到密码也杀一无所获。另外为了防止黑客通过Guest账号登录计 算机，可以在“组策略”中删除Guest账号。
4.3 防止账号被暴力破解
黑客攻击入侵，大部分利用漏洞，通过提升权限成为管理员，这一切都跟用户账号 紧密相连。防范方法：通过修改注册表来禁用空用户连接。
4.4 “木马”防范措施
4.4.1“木马”的概述 特洛伊木马是一种隐藏了具有攻击性的应用程序。与病毒不同，它不具备复制能力，其功能具有破坏性。大部分“木马”采用C/S运行模式，当服务端在目标计算机上被运行后，打开一个 特定的端口进行监听，当客户端向服务器发出连接请求时，服务器端的相应程序会自动 运行来应答客户机的请求。
4.4.2 “木马”的防范措施
（1）检查系统配置应用程序。在“木马”程序会想尽一切办法隐藏自己，主要途径 有：在任务栏和任务管理器中隐藏自己，即将程序设为“系统服务”来伪装自己，“木 马”会在每次服务端启动时自动装载到系统中。（2）查看注册表。
（3）查找“木马”的特征文件，“木马”的一个特征文件是kernl32.exe,另一个是 sysexlpr.exe，只要删除了这两个文件，“木马”就不起作用了，但是需要注意的是 sysexlpr.exe是和文本文件关联的，在删除时，必须先把文本文件跟notepod关联上，否则不能使用文本文件。
4.5 网页恶意代码及防范
目前，网页中的恶意代码开始威胁到网络系统安全，一般分为以下几种：（1）消耗系统资源。
（2）非法向用户硬盘写入文件。
（3）IE泄露，利用IE漏洞，网页可以读取客户机的文件，就可以从中获得用户账号 和密码。
（4）利用邮件非法安装木马。4.5.1 恶意代码分析
在html中利用死循环原理，交叉显示耀眼的光线，如果继续插入编写的一段代码，扩大恶意程度，那么IE将无法使用。
4.5.2 网页恶意代码的防范措施
（1）运行IE时，点击“工具→Internet选项→安全→ Internet区域的安全级别”，把安全级别由 “中” 改为 “高”。网页恶意代码主要是含有恶意代码的ActiveX或Applet、JavaScript的网页文件，所以在IE设置中将ActiveX插件和控件、Java脚本等全部 禁止就可以减少被网页恶意代码感染的几率。具体方案是：在IE窗口中点击“工具” →“Internet选项”，在弹出的对话框中选择“安全”标签，再点击“自定义级别”按 钮，就会弹出“安全设置”对话框，把其中所有ActiveX插件和控件以及与Java相关 全部选项选择“禁用”。
（2）网页恶意代码大多是在访问网站时候误下载和激活的，所以不要进入不信任的 陌生网站，对于网页上的各种超级连接不要盲目去点击，若被强制安装恶意代码，一经 发现立即删除，或者安装相应的恶意代码清除工具，或本机防火墙软件。
第6 章 结束语
互联网的各种安全威胁时刻影响着校园网的运行和管理，加强校园网的安全管理是 当前重要任务。校园网是学校信息系统的核心，必须建立有效的网络安全防范体系保证 网络应用的安全。本文主要以当前网络安全存在的威胁和可能面临的攻击，设计了并实 现网络攻击的防御措施，并以研究成果为依据提出了一种以安全策略为核心，防护、检 测和响应为手段的一种校园网安全防范体系来保证校园网络安全的一个实用的解决方 案。当前，如何确保计算机网络的安全性是任何一个网络的设计者和管理者都极为关心 的热点。由于因特网协议的开放性，使得计算机网络的接入变得十分容易。正是在这样 得背景下，能够威胁到计算机网络安全的因素就非常多。所以，人们研究和开发了各种 安全技术和手段，努力构建一种可靠的计算机网络安全系统。这种安全系统的构建实际 上就是针对已经出现的各种威胁(或者是能够预见的潜在威胁)，采用相应的安全策略与 安全技术解除这些威胁对网络的破坏的过程。当然，随着计算机网络的扩大，威胁网络 安全因素的变化使得这个过程是一个动态的过程。计算机网络安全问题实质上也是网络 安全对抗的过程。但也涉及了校园网络内部的管理问题，制度问题，业务问题等等；所 以任何计算机网络安全体系一定不是可以一劳永逸地防范任何攻击的。人们力图建立的 只能是一个动态的网络安全防护系统。它是一个动态加静态的防御，是被动加主动的防 御，甚至是抗击，是计算机网
络管理技术加计算机网络安全技术的完整安全观念。校园网面临着一系列的安全问题，受到来自外部和内部的攻击(如病毒困扰,非授权 访问等)。目前国内许多高校存在校区分散的状况，各校区间通信的安全连接还存在问 题。但一般的校园网安全方案存在安全手段单一的问题，大多只是简单地采用防火墙等 有限措施来保护网络安全。而这些措施往往存在很大的局限性，它们不能覆盖实现整个 校园网安全的各个层次、各个方位，这样的网络系统就存在很多的安全隐患。比如缺乏 强健的认证、授权和访问控制等，往往使攻击者有机可乘;管理员无法了解网络的漏洞 和可能发生的攻击。传统的被动式抵御方式只能等待入侵者的攻击，而缺乏主动防范的 功能:对于已经或正在发生的攻击缺乏有效的追查手段；对从网络进入的病毒等无法控 制等，除此以外大多用户安全意识都很淡薄，这些都是我们需要注意和解决的安全问题。本文首先从多个角度研究了计算机网络的安全性，针对各种不同的威胁与攻击研究 了解决它们的相应安全技术。接下来，在一般意义下制定计算机网络安全系统设计的策 略与原则，提出了计算机网络安全的解决方案。但是，计算机网络安全的问题是一个永 久的课题，它将随着计算机技术、计算机网络的发展而一直存在、一直发展。计算机网络的威胁与计算机网络的安全防护会一直较量下去，本文采用的技术也不能说是非常完 善的，一方面因为网络攻防技术都是在不断发展中，另一方面是因为设计者的水平有限。且网络安全本身是一个十分复杂的技术问题，解决的手段也是多样的。所以，计算机网 络安全技术是个永无止境的研究课题。
致谢 本次毕业设计得到指导老师的悉心指导，从文献的查阅、论文的选题、撰写、修改、定稿，我的每一个进步都和麦老师的关注与指导密不可分。麦老师渊博的学识、严谨的 治学态度和丰富的实践经验使我在做论文间受益非浅，麦老师不仅使我在理论知识和实 践经验上得到长进，而且培养了更为系统和科学的学习和工作方法。在此谨向麦老师表 示衷心的感谢和诚挚的敬意!并感谢所有的同学对我学习、生活的关心和帮助！论文即 将完成之际，感慨万千。最后，我要感谢我的母校，以及大学的所有老师。谢谢您们这 三年来在大学里给我的培养和启示，让我今生难忘。
参考文献
[1] 邵波，王其和.计算机网络安全技术及应用.北京：电子工业出版社，2005.11：17-18 [2] 蔡立军.计算机网络安全技术[M].北京：中国水利水电出版社,2005，52-56 [3] 陈健伟，张辉.计算机网络与信息安全[M].北京：希望电子出版社，2006.2：42-43 [4] 王锐，陈靓，靳若明，周刚.网络最高安全技术指南[M].北京：机械工业出版社，1998，12-14 [5] 王宇，卢昱.计算机网络安全与控制技术[M].北京：科学出版社，2005.6：19-20 [6] ClarkMPNetwork&teleeo nrnunieationsdesignandoPeration[M].Chiehester: JolinWiley&Sons,1997,25-27 [7] 贾晶，陈元，王丽娜.信息系统的安全与保密[M].北京:清华大学出版社，2003，62-68 [8] [美]MarcFarley.LANTimesGuidetosee tyandDataIntegrity[M].北京:机械工 业出
版社，1998，82-85 [9] 宋劲松.网络入侵检测：分析、发现和报告攻击[M].国防工业出版社,2004.9:26-28 [10] 冯登国.计算机通信网络安全[M].北京:清华大学出版社，2001，3 [11] [美]斯托林斯.密码编码学与网络安全——原理与实践（第三版）[M].电子工业出版 社,2005,12-14 [12] 张小斌，严望佳.黑客分析与防范技术[M].北京:清华大学出版社，1999，22-23 [13] PtacekT，Newsham N.Insertion.EvasionandDenialofServiee:EludingNetwork IntrUsioneteetion[M].SeeureNetworkslnc，1998,59-60 [14] 刘冰.计算机网络技术与应用[M].北京：机械工业出版社，2008.1:36-38 [15] 影印.密码学与网络安全[M].清华大学出版社,2005.1:99-102 [16] 卡哈特.密码学与网络安全[M].清华大学出版社,2005.9:100-102 [17] 关桂霞.网络安全概论[M].电子工业出版社,2004.10:23-24 [18] 罗森林,高平.信息系统安全与对抗技术实验教程.北京：北京理工大学出版社，2005.1:49-50 [19] 潘瑜.计算机网络安全技术[M].北京：科学出版社，2006，23 [20] 华师傅资讯编著.黑客攻防疑难解析与技巧800例.北京:中国铁道出版社，2008，219 [21] 谢冬青，冷键，雄伟.计算机网络安全技术[M].北京：机械工业出版社，2007,46-47 [22] 宋劲松.网络入侵检测：分析、发现和报告攻击[M].国防工业出版社,2004.9:78-79 [23] 肖军.网络信息对抗[M].北京：机械工业出版社，2005.8：326-327 [24] 王竹林.校园网组建和管理[M].北京：清华大学出版社，2002，259-260 [25] 胡道元 闵京华.网络安全[M].清华大学出版社，论文小结
时光飞逝，转眼间我们就要大学毕业了。这次毕业设计给了我很大的感想！通过这 次的毕业设计真的让我学到了很多东西。在毕业设计的这段时间里，我发现自己了的缺 陷和不足，而且还非常的缺乏经验，令我印象最深刻的是在设计过程中会遇到各中各样 细节上的问题，这些问题给我的进度造成了一些很大的影响，但我并没有气馁，在查阅 了大量资料反复演算，点点滴滴的修改后终于解决。绘图过程中也会遇到麻烦，比如怎 样最清晰的表达自己的设计思路，如何去解决面临的以前自己没有涉及的领域！甚至有 些参考书上的很多东西不是标准的。幸亏有大量朋友和老师的指导，使我改正了在书上 看到的不正确的知识。老师们的知识真的很渊博!经验也特别丰富。我的论文，在制作的 过程中很存在很多的问题。感谢那些老师和网络上的朋友对我进行的耐心指导!通过这次毕业设计，提高了我的独立思考分析以及解决问题的能力，在设计的整个 过程中，能够进一步将所学的设计软件熟练运用，对以往学过的理论基础知识进行复习运用，对未涉及过的知识领域做了一次大胆的尝试，并通过此次毕业设计对计算机知识 有一个拓展，了解网络安全的前沿技术，以理论结合实际进一步提高自己的动手能力，为将来进入工作岗位打好基础。
附录
计算机通用端口列表：
端口：0 服务：Reserved 说明：通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端口，当你试图使用通常的闭合端口连接它时将产生不同的结果。一种典型的扫描，使用IP地址为0.0.0.0，设置ACK位并在以太网层广播。端口：1 服务：tcpmux 说明：这显示有人在寻找SGI Irix机器。Irix 是实现tcpmux的主要提供者，默认情况下tcpmux在这种系统中被打开。端口：7 服务：Echo 说明：能看到许多人搜索Fraggle放大器时，发送到X.X.X.0和X.X.X.255的信息。端口：19 服务：Character Generator 说明：这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时会发送含有垃圾字符的数据流直到连接关闭。HACKER利用IP欺骗可以发动DoS攻击。伪造两个chargen服务器之间的UDP包。同样Fraggle DoS攻击向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。
第三篇：计算机网络安全与防护
《计算机网络安全与防护》
计算机网络安全与防护
作者：某某君 日期：2010年6月
摘要：由于网络的开放性等特征而使其容易遭受黑客攻击、病毒侵犯，针对网络安全面临的问题，总结提出一些解决的对策。
关 键 词：网络安全；黑客；病毒；防火墙；访问权限
计算机网络具有连接形式多样性、终端分布不均匀性和网络的开放性、互联性等特征，致使网络易受黑客、恶意软件和其它不轨的攻击，例如，现在的病毒以破坏正常的网络通讯、偷窃数据为目的的越来越多，它们和木马相配合，可以控制被感染的工作站，并将数据自动传给发送病毒者，或者破坏工作站软、硬件，其危害相当恶劣，因此加强计算机网络的安全建设已刻不容缓，只有足够强的安全措施，才能确保网络系统的安全性，网络信息的保密性、完整性和可用性。
1网络安全面临的主要问题
计算机网络所面临的威胁大体可分为两类：一是对窃取或破坏网络中信息资源；二是对网络中计算机系统的攻击。影响计算机网络的因素很多，归纳起来，针对网络安全的威胁主要来自于如下四个方面：
1.1网络黑客：指的是熟悉特定的电脑操作系统，并且具有较强的技术能力，恶意非法进入他人计算机系统，黑客利用系统中的安全漏洞非法进入他人计算机系统，可以利用个人技术查询或恶意破坏重要数据、修改系统文件导致计算机系统瘫痪，黑客的攻击程序危害性非常大，从某种意义上讲，黑客对计算机网络安全的危害甚至比一般的电脑病毒更为严重。
1.2配置不当：安全配置不当造成了安全漏洞，例如，对网络服务器的访问权限设置不当，非法用户对网络服务器信息进行非法调用和窃取。对防火墙软件的配置不合理，例如只是对外设置防火墙保护，那么对内几乎不起什么作用，然而不幸的是，一般情况下有70％的攻击是来自局域网的内部用户，所以怎样防止来自内部的攻击是当前局域网建设中的一个非常重要的方面。
1.3计算机病毒：目前网络安全的头号大敌是计算机病毒，它是编制或者在计算机程序中插入的破坏计算机功能或数据，影响计算机软件、硬件的正常运行并且能够自我复制的一组计算机指令或程序代码。计算机病毒具有传染性、寄生性、隐蔽性、触发性、破坏性几大特点，病毒的种类也不断变化，破坏范围也有软件
扩大到硬件。新型病毒正向着更具破坏性、更加隐蔽、传染率更高、传播速度更快、适应平台更广的方向发展。
1.4安全意识不强：用户口令设置过于简单，或用户的访问权限设置不当，或将管理员的帐号随意转借他人或与别人共享等都会对网络安全带来威胁。将一些处理过的机密文件随意存放在工作站的共享文件夹内，或在硬盘上留有备份，这就有可能使得某些重要文件在局域网上随意地流传，为网络系统留下了安全隐患。主服务器上的数据库存放着所有重要数据，不能及时进行数据备份，如果这个数据库遭到破坏，将会遭到无法挽回的损失。
2网络安全性的解决方法
2.1有效防护黑客攻击：WEB、FTP、DNS这些服务器较容易引起黑客的注意，并遭受攻击。从服务器自身安全来讲，只开放其基本的服务端口，关闭所有无关的服务端口。如DNS服务器只开放TCP／UDP42端口，WEB服务器只开放TCP80端口。FTP服务器只开放TCP21端口；在每一台服务器上都安装系统监控软件和反黑客软件，提供安全防护作用并识别恶意攻击一旦发现攻击，会通过中断用户进程和挂起用户帐号来阻止非法攻击；有效利用服务器自动升级功能定期对服务器进行安全漏洞扫描，管理员对及时网络系统进行打补丁；对于关键的服务器，如计费服务器、中心数据库服务器等，可用专门的防火墙保护，或放在受保护的网管网段内。
为了从物理上保证网络的安全性，特别是防止外部黑客入侵，可以将内部网络中所分配的IP地址与电脑网卡上的MAC地址绑定起来，使网络安全系统在侦别内部信息节点时具有物理上的唯一性。
2.2制定有效配置方案：应通过合理正确的授权来限制用户的权限，这是在办公用户中特别容易被疏忽的，如局域网中的共享授权，经常会被用户设置成对任何人开放且完全控制，这非常不安全也是很危险的。正确的方法是针对不同的用户设置相应的只读、可读写、可完全控制等权限，只有指定用户才会有相应权限，既保护了数据，又建立了合理的共享。
防火墙配置方案如下：将网络划分为三个部分，Internet(外网)、DMZ区(非军事区)、内网。Internet(外网)和DMA区通过外部路由器隔离；DMZ区和内部网络通过内部路由器隔离。代理服务器、E-mail服务器、各种服务器(包括Web服务器、Ftp服务器等)、以及其它需要进行访问控制的系统都放在DMZ中。外部网络非法入侵者要攻破此防火墙系统侦听到内部网上的数据，必须突破外部路由器和内部路由器才能侵袭内部网络，这样大大提高了内部网络的安全级别。配置防火墙的流量控制相关参数，实现不同时段、不同子网的不同带宽流量设置，有效防止内部用户在网络使用高峰时期大量占用带宽而导致网络瘫痪。
为了保证网络内部安全还应该利用Vlan技术将内部网络分成几个子网，网络分段通常被认为是控制网络广播风暴的一种手段，但其实也是保护网络安全的一项重要措施。其目的就是将非法用户与敏感的网络资源相互隔离，从而防止可能的非法侦听，网络分段用来实现对局域网的安全控制，也防止了内部网用户对网络服务器的攻击。
2.3建立病毒防护体系：对于一个网络系统而言，绝不能简单的使用单机版的病毒防治软件，必须有针对性地选择性能优秀的专业级网络杀毒软件，以建立实时的、全网段的病毒防护体系，是网络系统免遭病毒侵扰的重要保证，用户可以根据本网络的拓扑结构来选择合适的产品，及时升级杀毒软件的病毒库，并在相关的病毒防治网站上及时下载特定的防杀病毒工具查杀顽固性病毒，这样才能有较好病毒防范能力。
2.4加强网络安全意识：加强网络中用户名及密码的安全：必须为系统建立用户名和相应的密码，绝不能使用默认用户或不加密码；密码的位数不要短于6位，最好使用大、小写字母、标点和数字的混合集合，并定期更改密码；不要所有的地方都用一个密码，不要把自己的密码写在别人可以看到的地方，最好是强记在脑子里，不要在输入密码的时候让别人看到，更不能把自己的密码告诉别人；重要岗位人员调离时，应进行注销，并更换系统的用户名和密码，移交全部技术资料。对重要数据信息进行必要的加密和认证技术，以保证万一数据信息泄漏也能防止信息内容泄露。
对于网络中的硬件设备、软件、数据等都有冗余备份，并具有在较短时间内恢复系统运行的能力。对于存放重要数据库的服务器，应选用性能稳定的专用服务器，并且配备UPS等相关的硬件应急保障设备，硬盘最好作Raid备份，并定时对数据作光盘备份。
总之，要想建立一个高效、稳定、安全的计算机网络系统，不能仅仅依靠防火墙、杀毒软件等单个的系统，需要仔细考虑系统的安全需求，将系统配置、认证技术、加密技术等各个方面工作结合在一起才能够实现。当然，绝对安全可靠的网络系统是不存在的。我们采用以上措施来保护网络安全，只不过是为了让我们的网络数据在面临威胁的时候能将所遭受到的损失降到最低。
参考文献：
[1]孙学军,喻梅.《计算机网络》.电子工业出版社，2003
[2]郑再欣.“浅谈计算机网络安全及防范”.《广东公安科技》,2004
[3]徐翼超.“计算机网络安全问题初探”.《交通企业管理》，2004
第四篇：浅析计算机网络安全防护措施
浅析计算机网络安全防护措施
摘要：计算机网络由于其特有的性质使其容易受到黑客的攻击，这也给网络安全防护提出了新的要求。本文从计算机网络安全的现状入手，探讨了其目前存在的问题，并提出了相应的安全技术措施以抵御黑客的攻击，文章还针对几个常见的网络攻击，提出了防护措施及合理化建议，希望能对加强计算机网络安全起到一定的作用。
关键词：计算机；网络安全；防护措施；木马；病毒；攻击；安全概论
计算机网络的快速迅猛发展，给人们的日常生活带来了深远的影响。随着人们对计算机网络的不断使用。网络的安全性已经变得越来越重要。各种电脑病毒造成的大规模网络安全攻击事件给全球的互联网和军事情报网、商业带来了重大冲击，网络病毒传播速度之快及其破坏力之大和影响范围之广都远远超过以往没有计算机网络的时代。计算机网络技术的发展，打破了传统意义上的信息传递概念，是一种跨时代的飞跃。相对的，计算机网络的安全性也至关重要，所以，各种保密手段和防黑客技术也在新的世纪得到突飞猛进的进展。掌握一定的网络安全防护技术已经变得相当重要。网络安全定义
网络安全牵扯到多种学科的多个方面，采用各种技术手段，使网络系统中的软硬件和信息数据等受到全面监护，从而不会被盗取，维持网络数据的完整性。计算机网络安全现状
3.1 恶意代码。如今恶意代码问题主要体现在政治、经济和军事上，已经成为网络安全面临的当务之急。通过系统漏洞、电子邮件等多种手段恶意代码在主机间大量相互传播，给国家和社会造成巨大的经济损失、安全危机和利益损害。
3.2 安全漏洞。操作系统和各种应用程序的漏洞花样繁多并且层出不穷，使得黑客攻击得得心应手，任何系统都有漏洞，攻击者们可以方便地从新闻组获取程序漏洞进行攻击。
3.3 黑客利用合法管理工具。用来改进系统管理及服务质量的电脑上存在的一些工具软件。本意是用来改进系统管理状态，但也会被黑客们用来收集非法信息及加强攻击力度。4 网络安全相关技术
4.1 防火墙技术。防火墙网络安全的重要保护依靠，是21世纪新兴的网络安全保护措施，为保证安全上网及信息不外泄，人们普遍采用为计算机配置防火墙的办法来保证网络安全。通过软件、硬件相补充，防火墙能在内外网之间搭建起一个“保护膜”，与电脑进行交互的各种通信都必须在此保护膜进行检查过滤，木马、病毒及可疑信息被屏蔽掉，可信信息可通过保护膜进行通信。
防火墙的作用主要有以下四点：（1）对通过它与电脑进行交互的网络信息进行检查并过滤扫描，将病毒、木马攻击过滤掉；（2）关闭不使用的端口，禁止特定端口的输出信息；（3）禁止来自特殊站点的访问，过滤掉不安全的服务和控制非法用户对网络的访问：（4）控制网络内部人员对网络特殊站点的访问。
4.2 计算机病毒防治技术。（1）杀毒软件：是用于消除病毒、伊木马和恶意软件的一类
软件。具有监控识别、病毒扫描清除和自动升级等功能，是计算机防御系统的重要组成部分。网络版杀毒软件可以对局域网内所有计算机进行病毒查杀，保证局域网系统安全。（2）防毒墙：传统防火墙不能满足企业安全防护的需要，而防毒墙作为一类高端杀毒设备，适合于大型网络，在网关处进行查毒作业。目前比较知名的防毒墙有卡巴斯基、瑞星、驱逐舰、cp防毒墙。
4.3 入侵检测技术。入侵检测是指通过从计算机网络或主机系统中的若干关键点收集信息并对其进行分析，通过对网络传输的监控，检测网络或系统中是否有违反安全策略的行为和遭受袭击的迹象，并对此进行日志记录和采取相应措施，使病毒无法进入个人用户计算机，避免信息丢失的一种安全技术。
作为一种积极主动的安全防护技术，入侵检测技术提供了对内外攻击和误操作的实时保护，极大地方便了网络管理，尽管目前在技术上仍有许多为克服的问题，但随着科学技术的发展，入侵检测技术也会不断成熟更新。
4.4 漏洞扫描技术。所谓漏洞扫描技术，是利用系统自动检测本地计算机或者远程主机安全缺口的技术。它主要是通过安全扫描程序具体实现的，可以迅速且准确得在较大范围内发现系统的薄弱环节，在黑客攻击之前发现并修补漏洞。
4.5 密码技术。密码技术是基于密码学的原理上发展起来的，其中密码体制是密码技术中最为核心的一个概念。一个密码体制被定义为一对数据变换。对称密码体制的特征是用于加密和解密的密钥是一样的或相互容易推出。常见的网络攻击及其防范对策
5.1 特洛伊木马。特洛伊木马程序在个人电脑中隐藏一个会在系统启动时自动运行的程序，用户在上网时，木马便可以控制你的电脑。该程序是一段额外的恶意操作编码，附加在正常程序中。含有木马的程序在执行时，实际上暗地执行了用户不希望的程序。该木马生命力非常顽强，它能够不断复制并插入到未被感染的程序中，逐渐使电脑瘫痪，黑客通过特洛伊木马读写没有授权的文件，并可以获得计算机的掌控权。
避免在程序中隐藏特洛伊木马的主要方法是，对新生成的文件进行数字签名，然后通过对运行文件的数字签名的检查来判断文件是否被植入木马。对发现的木马通过编辑win.ini文件更改木马文件，检查注册表，并在注册表中将木马程序删除；若下载到可疑程序后应该立即拒绝执行，运用杀毒软件查杀完以后再运行。另外，用户不要随便从网站上下载软件，经常检查自己的系统文件、注册表，提高自己的网络安全意识。
5.2 邮件炸弹。电子邮件炸弹是发信人通过匿名的电子邮件地址，不断重复性的将电子邮件邮寄给同一个邮箱地址，就像是战争时期用某个战争工具对同一地方进行疯狂攻击，因此被称作邮件炸弹。通过电邮炸弹，黑客将被攻击者的电子邮箱全部用垃圾邮件占满，造成邮件服务器拒绝响应请求或执行任务服务，造成网络连接丢失、系统崩溃。
避免邮件炸弹的一个简单实现就是，在以太网中安置一个嗅探器（Sniffer），借助嗅探器管理人员可以诊断出大量单个主机需不断不可见的问题；通过路由器的配置，选择性获取电子邮件。
5.3 过载攻击。过载攻击是黑客攻击者通过服务器发出大量无用请求，在过载攻击中，一个共享的资源或者服务由于需要处理大量的请求，以至于无法满足从其他用户到来的请求。
防止过载攻击的措施主要有：手动杀死一些耗时的进程；限制单一用户所使用的进程的最大数量。但是都存在负面作用，两种方法都会使用户的正常的请求得不到电脑系统的正常响应。电脑系统管理人员可以使用网络地址列表和监视工具来发现过载攻击，也可以通过路由器或前面介绍的防火墙来发现攻击来源；在公共资源中，划分计算机中的资源，限制单个用户的使用量。结语
随着计算机在人类生活中的广泛应用，越来越多的计算机病毒传播、计算机网络非法入侵事件、计算机信息数据丢失问题造成巨大的国民经济损失，甚至危害国家的安全。因此网络安全问题已经受到人们的普遍重视，由此带来的工种问题必须给予及时的解决。网络安全不能仅仅依靠杀毒防毒技术发展。在研究技术的同时，电脑使用者也要加强网络安全防范措施，增加网络安全教育，提高安全意识。避免因为自己的失误，造成一些不必要的损失。
第五篇：电信网络安全及防护
电信网络安全及防护
摘 要：电信网络的安全问题不容忽视。分析了电信网络安全现状，指出了影响电信网络安全的主要因素，并从技术角度提出了防护措施。
关键词：电信；网络安全；技术防护
从20世纪90年代至今，我国电信行业取得了跨越式发展，电信固定网和移动网的规模均居世界第一，网络的技术水平也居世界前列。电信已经深入到人类生活的方方面面，和日常生活的结合越来越紧密。电信网的安全状况直接影响这些基础设施的正常运行。加强电信网络的安全防护工作，是一项重要的工作。笔者结合工作实际，就电信网络安全及防护工作做了一些思考。电信网络安全及其现状
狭义的电信网络安全是指电信网络本身的安全性，按照网络对象的不同包括了PSTN网络的安全、IP/Internet网络安全、传输网络安全、电信运营商内部网络安全等几个方面；广义的网络安全是包括了网络本身安全这个基本层面，在这个基础上还有信息安全和业务安全的层面，几个层面结合在一起才能够为用户提供一个整体的安全体验。
电信运营商都比较重视网络安全的建设，针对网络特点、业务特点建立了系统的网络安全保障体系。我国电信的网络安全保障体系建设起步较早。2000年，原中国电信意识到网络安全的重要性，并专门成立了相关的网络安全管理部门，着力建立中国电信自己的网络安全保障体系。安全保障体系分为管理体系和技术体系。在管理体系中，包括组织体系、策略体系和保障的机制，依据组织保障策略引导、保障机制支撑的原则。随着网络规模的不断扩大和业务的突飞猛进，单靠纯粹的管理和应急相应很难完成有关网络安全方面的工作。为此，建立了网络安全基础支撑的平台，也就是SOC平台，形成了手段保障、技术保障和完备的技术管理体系，以完成中国电信互联网的安全保障工作。这个系统通过几个模块协同工作，来完成对网络安全事件的监控，完成对网络安全工作处理过程中的支撑，还包括垃圾邮件独立处理的支持系统。
然而，网络安全是相对的。网络开放互联、设备引进、新技术引入、自然灾害和突发事件的存在等，造成了网络的脆弱性。当电信网络由封闭的、基于电路交换的系统向基于开放、IP数据业务转型中，安全问题更加暴露。从狭义的网络安全层面看，随着攻击技术的发展，网络攻击工具的获得越来越容易，对网络发起攻击变得容易；而运营商网络分布越来越广泛，这种分布式的网络从管理上也容易产生漏洞，容易被攻击。从广义的网络安全层面看，业务欺诈、垃圾邮件、违法违规的SP行为等，也是威胁网络安全的因素。电信网络安全面临的形势及问题
2.1 互联网与电信网的融合，给电信网带来新的安全威胁
传统电信网的业务网和支撑网是分离的。用户信息仅在业务网中传送，信令网、网管网等支撑网与业务网隔离，完全由运营商控制，电信用户无法进入。这种机制有效地避免了电信用户非法进入网络控制系统，保障了网络安全。IP电话引入后，需要与传统电信网互联互通，电信网的信令网不再独立于业务网。IP电话的实现建立在TCP/IP协议基础上，TCP/IP协议面临的所有安全问题都有可能引入传统电信网。IP电话的主叫用户号码不在IP包中传送，一旦出现不法行为，无论是运营商还是执法机关，确认这些用户的身份需要费一番周折，加大了打击难度。
2.2 新技术、新业务的引入，给电信网的安全保障带来不确定因素
NGN的引入，彻底打破了电信网根据不同业务网分别建设、分别管理的传统思路。NGN的引入给运营商带来的好处是显而易见的，但从网络安全方面看，如果采取的措施不当，NGN的引入可能会增加网络的复杂性和不可控性。此外，3G、WMiAX、IPTV等新技术、新业务的引入，都有可能给电信网的安全带来不确定因素。特别是随着宽带接入的普及，用户向网络侧发送信息的能力大大增强，每一个用户都有能力对网络发起威力较大的拒绝服务等攻击。如果这些宽带被非法控制，组成僵尸网络群，其拒绝服务攻击的破坏力将可能十分巨大。2.3 运营商之间网络规划、建设缺乏协调配合，网络出现重大事故时难以迅速恢复
目前，我国电信领域基本形成了有效的竞争格局。但由于改革的配套措施还不尽完备，电信市场多运营商条件下的监管措施还不配套，给电信网络安全带来了新的威胁。如在网络规划建设方面，原来由行业主管部门对电信网络进行统一规划、统一建设，现在由各运营企业承担各自网络的规划、建设，行业主管部门在这方面的监管力度明显弱化。一旦出现大面积的网络瘫痪问题，不同运营商之间的网络能否互相支援配合就存在问题。
2.4 相关法规尚不完善，落实保障措施缺乏力度
当前我国《电信法》还没有出台，《信息安全法》还处于研究过程中，与网络安全相关的法律法规还不完备，且缺乏操作性。在规范电信运营企业安全保障建设方面，也缺乏法律依据。运营企业为了在竞争中占据有利地位，更多地关注网络建设、业务开发、市场份额和投资回报，把经济效益放在首位，网络安全相关的建设、运行维护管理等相对滞后。电信网络安全防护的对策思考
强化电信网络安全，应做到主动防护与被动监控、全面防护与重点防护相结合，着重考虑以下几方面。
3.1 发散性的技术方案设计思路
在采用电信行业安全解决方案时，首先需要对关键资源进行定位，然后以关键资源为基点，按照发散性的思路进行安全分析和保护，并将方案的目的确定为电信网络系统建立一个统一规范的安全系统，使其具有统一的业务处理和管理流程、统一的接口、统一的协议以及统一的数据格式的规范。
3.2 网络层安全解决方案
网络层安全要基于以下几点考虑：控制不同的访问者对网络和设备的访问；划分并隔离不同安全域；防止内部访问者对无权访问区域的访问和误操作。可以按照网络区域安全级别把网络划分成两大安全区域，即关键服务器区域和外部接入网络区域，在这两大区域之间需要进行安全隔离。同时，应结合网络系统的安全防护和监控需要，与实际应用环境、工作业务流程以及机构组织形式进行密切结合，在系统中建立一个完善的安全体系，包括企业级的网络实时监控、入侵检测和防御，系统访问控制，网络入侵行为取证等，形成综合的和全面的端到端安全管理解决方案，从而大大加强系统的总体可控性。
3.3 网络层方案配置
在电信网络系统核心网段应该利用一台专用的安全工作站安装入侵检测产品，将工作站直接连接到主干交换机的监控端口(SPANPort)，用以监控局域网内各网段间的数据包，并可在关键网段内配置含多个网卡并分别连接到多个子网的入侵检测工作站进行相应的监测。
3.4 主机、操作系统、数据库配置方案
由于电信行业的网络系统基于Intranet体系结构，兼呈局域网和广域网的特性，是一个充分利用了Intranet技术、范围覆盖广的分布式计算机网络，它面临的安全性威胁来自于方方面面。每一个需要保护的关键服务器上都应部署核心防护产品进行防范，并在中央安全管理平台上部署中央管理控制台，对全部的核心防护产品进行中央管理。
3.5 系统、数据库漏洞扫描
系统和数据库的漏洞扫描对电信行业这样的大型网络而言，具有重要的意义。充分利用已有的扫描工具完成这方面的工作，可免去专门购买其他的系统/数据库漏洞扫描工具。
点击咨询 