企业网络安全防护技术措施

1、目录第1章绪论1第2章企业网络安全概述32. 1网络安全32.2安全隐患32. 2. 1完整性33. 2.2 XX 性 34. 2.3可用性42.3 安全分类42.4 网络安全的目标42.4.1 消除盗窃42.4.2 确定身份42.4.3 鉴别假冒52. 4.4 XX5第3章企业数据安全62.1 数据库安全62.1.1 数据库安全问题62.1.2 数据库安全策略与配置63. 1. 3数据库的加密73.2数据备份与恢复83.2.1 数据备份与恢复概述83.2.2 2.2数据备份策略103.2.3 数据库的备份11第4章网络服务与应用系统的安全124. 1 Web服务器安全124. 1. 1 We

2、b的安全概述124. 1. 2 Web站点的安全和漏洞124. 1. 3 Web安全预防措施134.2域名系统的安全性144. 2.1 DNS的安全威胁145. 2.2名字欺骗技术156. 2. 3增强DNS服务的安全性154. 3电子的安全性164. 3. 1的安全风险165. 3.2服务器的安全与可靠性176. 3. 3客户端的安全17第5章网络病毒防X195. 1计算机病毒概述195. 1. 1计算机病毒的定义195.1.2 计算机病毒分类195.1.3 计算机病毒的特征195.1. 4计算机网络病毒的危害性205.2反病毒技术205.2. 1计算机病毒的防X205.2.2计算机网络病毒

3、的防X措施21第6章防火墙及相关技术应用236.1 防火墙概述236. 1. 1防火墙的概念237. 1.2防火墙的目的和功能238. 1. 3防火墙的局限性246.2 防火墙的分类256. 3防火墙的体系结构256. 3. 1双穴主机体系结构256. 3. 2屏蔽主机体系结构266. 3. 3屏蔽子网体系结构266.4防火墙的策略与维护276.4. 1设置防火墙的策略276. 4. 2防火墙的维护286. 5入侵检测系统295 / 386. 5.1入侵检测系统的功能及分类296. 5. 2入侵检测产品的选购原则306.6虚拟专用网(VPN) 30结论32致谢33参考文献34摘 要随着Inte

4、rnet上的个人和商业应用越来越普遍，基于网络应用和服务的信息资 源也面临着更多的安全风险。然而，在多数情况，网络安全并没有得到应有的重视。 信息是一种必须保护的资产，由于缺少足够的保护或者网络安全措施而造成的损失 对企业而言可能是致命的。为了能够让企业的网络系统避免遭受来自各种不安全的 攻击和威肋、，从而更加安全可靠地使用网络，我们应该采取各种有效的安全防护措 施。针对目前企业网络所面临的安全问题，本文从如何保护企业的数据安全、网络 服务与应用系统安全以及如何预防网络病毒和在网络中设置防火墙等几个方面阐述 了如何有效地保护企业网络的安全。文章通过对当今网络面临的安全问题的总结，并结合当前企业

5、网络的特点，制 定出了有效的安全防护措施。针对企业网络所出现的比较常见的安全问题，通过各 种方法给予解决或给出可行方案。在对各种网络安全防护措施的叙述的同时，文章还通过各种图形来近一步阐述 各种原理，使抽象问题变得更加的简洁明了。当涉及到网络连接等原理时，更能通 过各种网络拓扑图，形象的给予描述，使复杂问题的变得简单。通过本文的叙述， 我们将会对企业网络安全有一个更加清晰的认识。关键字：防火墙数据备份第1章绪论在信息化高速发展的今天，计算机网络已经完全渗透到社会生活的各个方面。随 着Internet上的个人和商业应用越来越普遍,基于网络应用和服务的信息资源也面 临着更多的安全风险。然而，在多数

6、情况，网络安全并没有得到应有的重视。信息 是一种必须保护的资产，由于缺少足够的保护或者网络安全措施而造成的损失对企 业而言可能是致命的。Internet的不可信也会限制企业的商业机会，特别是那些 100%基于Web的组织。制定和颁布安全政策与安全措施并使得用户和潜在的用户感 觉到足够安全是必须的。随着Internet的发展和应用，许多企业已经认识到通过网络建立企业内部的商 务平台、为企业雇员提供到自动销售系统的移动连接、向客户和消费者提供电子商 务平台等行为，都将为企业节约大量的销售成本。通过入侵检测、身份鉴定、授权 和评估系统，增强了防火墙的功能。现在，许多企业很好地平衡了防止恶意攻击与 增

7、加正当访问渠道之间的矛盾。在企业安全方面的投资可以保证企业的生产力和确保客户的信任。一个可靠的 安全基础能帮助企业建立与雇员、供应商、合伙人和客户之间的信任关系，使他们 相信企业的任何信息都能够受到妥善的保护，任何的网上交易都是可以信赖的。正是由于越来越多的企业组建了自己的局域网，并依靠现代网络的快速便捷使 自己的生产、经营、运作方式等发生了极大的改变。通过这种方式，企业降低了生 产成本，增加了企业收入。正是出于企业对网络的极度依赖，所以保证一个企业的 网络安全是非常重要的。在网络安全方面，企业采用的防护措施还有弥补操作系统 的安全漏洞、以及当网络已经瘫痪时进行灾难恢复等。此外，虚拟专用网（V

8、P）技 术将逐渐成为企业之间互联的首选产品，因为它能够降低成本、提高效率、增强安 全性，在日后的应用中将会有广阔的前景。然而，为了能够让企业网络变得更加的安全，我们不能只是靠各种安全防护产 品，除此之外，我们必须通过各种安全策略，包括制定严格的安全制度、法律，组 建安全团队，对网络安全动态实时关注，开发出更完善的安全系统，只有这样，才 能保证企业网络处于一个比较安全的位置。安全风险不能完全消除或者防止，但是可通过有效的风险管理和评估，将风险 最小化到可以接受的水平。至于什么才是可以接受的，这取决于个人或者企业的承 受力。如果减少风险所带来的收益超过了采取各种措施的费用，那么进行风险管理 就是值

9、得的。正是由于企业网络面临的安全问题是各种各样的，针对目前企业网络所面临的 安全问题，本文从如何保护企业的数据安全、网络服务与应用系统安全以及如何预 防网络病毒和在网络中设置防火墙等几个方面阐述了如何有效地保护企业网络的安 全。34 / 38第2章企业网络安全概述2. 1网络安全计算机网络安全是指计算机及其网络系统资源和信息资源不受自然和人为有害 因素的威胁和危害，即指计算机、网络系统的硬件、软件及其系统中的数据受到保 护，不因偶然的或者恶意的原因而遭到破坏、更改和泄露，确保系统能连续可靠正 常地运行，使网络服务不中断。计算机网络安全是一门涉及计算机科学、网络技术、 密码技术、信息安全技术、应

10、用数学、数论和信息论等多种学科的综合性科学。从广义上来说，凡是涉及到计算机网络上信息的xx性、完整性、可用性、真实 性和可控性的相关技术和理论都是计算机网络安全的研究领域。所以，广义的计算 机网络安全还包括信息设备的物理安全性，诸如场地环境保护、防火措施、防水措 施、放电保护、静电保护、电源保护、空调设备、计算机辐射和计算机病毒等。安全风险不能完全消除或者防止，但是可通过有效的风险管理和评估，将风险 最小化到可以接受的水平。至于什么才是可以接受的，这取决于个人或者企业的承 受力。如果减少风险所带来的收益超过了采取各种措施的费用，那么进行风险管理 就是值得的。2. 2安全隐患网络安全的目的是实现

11、网络信息的完整性、xx性和可用性。1 .2.1完整性完整性是指确保数据不允许被非授权人修改或者破坏的能力。完整性确保了发 送信息与接受信息是一致的，即使数据是非XX的，也必须保证数据的完整性，就像 一个人允许其他人知道他的日常业务，但决不允许他人擅自修改其业务一样。2 . 2. 2 XX 性XX性将保护数据不泄露给非授权的第三方。无论是客户数据还是公司内部数 据，企业都有责任保证数据的私密性。所有的客户都有权要求保护他们的个人信息, 一个企业也必须尊重客户的隐私权并与客户之间保持一种信任的关系。公司拥有的信息不仅是敏感的，而且也需要XX,只有被许可的部分才能被访问， 这些信息的传递也是以一种安

12、全的方式进行并能阻止未授权的访问。3 .2.3可用性可用性是指计算机系统的连续操作能力，其对立面是拒绝服务，这种攻击通过 垃圾信息来淹没网络设备，减慢直到整个系统崩溃。应用程序需要不同级别的可用 性，这取决于停机时间对业务的影响。例如，若一个应用程序是可用的，那么所有 的组件，包括应用程序和数据库服务器、存储设备和端到端的网络连接等，都必须 是可提供持续服务的。随着更多企业和组织对基于网络应用和Internet依赖性的增加，多媒体数据的 集成也对各种应用的可用性提出了更高的要求。各种原因造成的系统停机，都可能 导致可用性的缺乏，降低客户的信任度，其至减少企业的收入。4 . 3安全分类对于网络安

13、全隐患，主要有以下四方面的原因：1）技术缺陷：每个网络和计算机技术都存在内在的安全问题。2）配置缺陷：暴露出的安全问题，甚至大多数是安全技术的配置错误。3）政策缺陷：缺乏安全策略或者不正确的执行和管理，都可能使最好的安全和 网络技术失去作用。4）人为错误：工作人员写下自己的口令随意放置，或者多人共享一个口令等, 都是一些常见的问题。2.4网络安全的目标网络安全最重要的一个目标是获得那些任何不是被明确许可的操作被禁止的情 况。正在发展的一个安全策略目标是定义一个组织的计算机和网络的使用期望值。“安全”意味着防止系统内部和外部两方面的攻击。网络安全包括安全的数据、 应用和用户。2.4.1 消除盗窃

14、据统计美国的公司因为信息失窃而损失1000亿美元的收益，这通常发生于报表 和XX信息被当成垃圾丢弃。2.4.2 确定身份安全措施可能降低方便性，一般来说，简单的口令是一个效率较低的身份鉴定 形式，但是更强大的身份鉴定需要更多的成本开销。2.4.3 鉴别假冒任何隐藏的假冒都是一个潜在的安全漏洞，为了防止假冒，一般来说，要有足 够的身份鉴定、授权和审核以及专家的确认或者否定，然后在提出相应的建议。2.4.4 4.4 XX大多数安全是建立在XX基础上的。许多安全专家发现漏洞都是一些很容易修补 的众所周知的缺陷，因此必须确保网络安装最新的版本的补丁。在以后的几年当中， 据估计90%的对计算机的攻击将继

15、续利用那些已有的补丁程序或预防措施的安全缺 陷。对数据进行分类并确定哪些数据需要XX是一件迫切的事，需要XX的包括口令、 信用卡号、银行账户等。为了确保秘密数据的安全性，必须对系统进行分层并确保 安装最新的补丁程序。第3章企业数据安全3.1 数据库安全数据库系统是存储重要信息的场所，并担负着管理这些数据信息的任务。数据 库安全问题，在数据库技术诞生之后就一直存在，并随着数据库技术的发展而不断 深化。因而，如何保证和加强其安全性和xx性，已成为目前迫切需要解决的热门课 题。3.1.1 数据库安全问题计算机安全性的三个方面是安全性、XX性和可用性，都与数据库管理系统有关 系。数据库系统安全问题可归

16、纳为以下三个方面：1 .保障数据库系统的XX性。2 .保障数据库系统的完整性。3 .数据库系统的可用性。4 .1.2数据库安全策略与配置数据库的安全策略包括系统的策略、数据安全的策略、用户安全的策略等。1、系统安全的策略1）数据库用户的管理每个数据库系统都有一个或几个管理员，负责维护所有的安全策略方面的问题, 这类管理员称为安全管理员。如果数据库系统很小，数据库管理员也就担当起安全 管理员的责任。但是，如果数据库系统很大，通常就要指定一个人或一群人专门担 当安全管理员的责任。2）用户的鉴别数据库用户可以通过操作系统、网络服务、或数据库进行身份确认，来鉴别（核 实合法用户）。3）操作系统的安全如

17、果可以的话，对于任何数据库应用的操作系统来说，还应该考虑数据库管理 员必须具有操作系统权限，以便创建和删除文件。一般数据库用户不应该具有操作 系统权限。如果操作系统会识别用户的数据库角色，那么，安全管理员就必须有操 作系统权限，以便修改操作系统账户的安全域。2、数据安全的策略安全包括在对象层上控制访问和使用数据库的机制。数据库安全策略应确定， 能访问特殊的模式对象、允许每个用户在对象上所做的特殊的动作类型。例如，访 问数据库表时，一些用户只能执行SELECT和INSERT语句，而不能执行DELETE语句。3、用户安全的策略1) 普通用户的权限管理安全管理员应该考虑涉及所有类型用户的权限管理问题

18、。例如，在一个有许多 用户名的数据库中，使用角色来管理用户可用的权限是非常有益的。否则，如果数 据库中只有少数用户名，就将权限明确地赋予用户，避免使用角色，这样反而更容 易。2) 密码的安全如果用户是通过数据库进行用户身份的确认，那么建议使用密码加密的方法与 数据库进行连接。3) 终端用户的安全安全管理员必须定义终端用户的安全策略。如果一个数据库有很多用户，安全 管理员可以决定将那些用户的组分类成用户组，然后为这些组创建用户角色。安全 管理员可以给每个用户角色赋予必要的权限或应用角色，再将用户角色赋予给这些 用户。对于例外情况，安全管理员还必须确定，必须将什么权限明确地授予那个用 户。4) 管

19、理员的安全安全管理员应该有一个处理数据库管理员的安全的策略。例如，当数据库很大, 且有几种类型的数据库管理员时，安全管理员就应该将相关的管理权限划分成几个 管理角色。然后将这些管理角色授予适当的管理员用户。相反，当数据库很小而且 只有几个管理员时，创建一个管理角色并把这个管理角色授予所有管理员，可能就 更方便些。3.1.3数据库的加密1、数据库加密概述大型数据库管理系统的运行平台一般是Windows NT/2000和UNIX,这些操作系 统的安全级别通常为Cl、C2级。它们具有用户注册、识别用户、任意存取控制、审 计等安全功能。虽然数据库管理系统在操作系统的基础上增加了不少安全措施，例 如基于

20、权限的控制等，但操作系统和数据库管理系统对数据库文件本身仍然缺乏有 效的保护措施，有经验的网上黑客会绕道而行，直接利用操作系统工具窃取或篡改 数据库文件的内容。这种隐患被称为通向数据库管理系统的隐秘通道，它所带来的 危害一般数据库用户难以觉察。分析和堵塞隐秘通道被认为是B2级的安全技术措 施。对数据库中的敏感数据进行加密处理，是堵塞这一隐秘通道的有效手段。2、加密算法加密算法是数据加密的核心。算法必须适应数据库系统的特点，加密解密速度 要快。著名的背包算法就是一种适合数据库加密的算法。算法的思路是假定某人拥 有大量的物品，重量各不相同。此人通过秘密地选择一部分物品并将它们放到背包 中来加密消息

21、。背包中的物品总重量是公开的，所有可能的物品也是公开的，但背 包中的物品却是XX的。附加一定的限制条件，给出重量，而要列出可能的物品，在 计算上是不可实现的。3. 2数据备份与恢复随着各单位局域网和互连网络的深入应用，系统内的服务器担负着企业的关键 应用,存储着重要的信息和数据，为网络环境下的大量客户机提供快速高效的信息查 询、数据处理和Internet等的各项服务，一旦数据丢失，将会造成无法弥补的损失。 为了计算机网络系统出现故障时，网络中的核心数据必须能安全的保存和迅速的恢 复，因此，对于企业来说，可靠的数据备份和恢复措施是非常必要的。3.2.1数据备份与恢复概述1、数据备份和恢复的基本概

22、念数据备份和恢复是指将计算机硬盘上的原始数据复制到其他存储媒体上，如磁 带、光盘等，在出现数据丢失或系统灾难时将复制在其他存储媒体上的数据恢复到 硬盘上，从而保护计算机的系统数据和应用数据。对于计算机网络数据，备份不仅 仅是文件的复制，还应该包括文件的权限、属性等信息。2、数据备份的原则对数据进行备份是为了保证数据的安全性，消除系统使用者和操作者的后顾之 忧。不同的应用环境要求不同的解决方案来适应，一般来说，要求满足以下原则。1）稳定性。备份产品的主要作用是为了系统提供一个数据保护方法，于是该产 品本身的稳定性就变成了最重要的一个方面，一定要与操作系统百分之百的兼容。2）全面性。在计算机网络环

23、境中，可能包括了各种操作平台，如Netware、 Windows NT UNIX等。选用的备份软件，要支持各种操作系统、数据库和典型应用。3）安全性。计算机网络是计算机病毒传播的通道，给数据安全带来极大威胁。 如果在备份的时候，把计算机病毒也完整的备份下来，将会是一种恶性循环。因此, 要求在备份的过程中有查毒、防毒、杀毒、的功能，确保无毒备份，同时还要保证 备份介质不丢失和备份数据的完整性。4）容错性。确认备份数据的可靠性，也是一个至关重要的方面。如果引入RAID 技术，对磁带进行镜像，就可以更好的保证数据安全可靠，给用户再加一把保险锁。3、常用数据备份的方法1）磁带备份在所有备份介质中，磁带

24、备份是可靠、成本低、传输率高、易于使用和管理的 数据备份介质。2）硬盘备份在计算机中安装多块硬盘，将数据备份在不同的硬盘上，通常采用磁盘阵列 （RAID）的方法。在硬盘备份中也有采用移动硬盘进行手动备份的。硬盘备份的速 度快、实时性高，一块硬盘出现故障时不影响系统的运行。但使用硬盘备份时，由 于硬盘无法从系统中分离，一旦发生自然灾害将引起重大的数据损失。3）网络备份随着网络技术的发展，该技术也应用到数据的存储和备份中。采用网络备份可 以实现备份的集中管理、异地备份等。通过制定相应的备份策略，备份工作可以自 动进行，不需要太多的人干预，减少了日常的管理负担，并可避免人为的疏忽或错 误，提高了数据

25、备份的可靠性。特别是通过网络进行的异地备份可以有效的预防自 然灾害对数据的破坏。4、数据备份的注意事项1）制定备份策略。根据企业对数据安全的实际需要来制定适合的备份方案和策 略。2）将备份介质存储在异地。备份后的介质一定要保存在异地或防火、防水、防 磁的保险箱内。3）定期清洁备份设备。由于频繁进行备份操作，清洁备份设备是保证备份质量 的关键。4）使用合格的备份介质。对备份介质的读写操作会造成一定的磨损，当出现损 坏或老化时要及时更换，制定备份介质轮换策略。5）选用有报警功能的备份设备。用户可以检测备份设备的状态是否正常。6）每两三个星期检查备份介质，并从中恢复一些文件，从而得知备份文件是否 处

26、在可恢复的状态。3. 2. 2数据备份策略备份策略指确定需备份的内容、备份时间及备份方式。各个单位要根据自己的 实际情况来制定不同的备份策略。企业可以选取的备份策略有以下三种。1、完全备份对系统中的数据进行完全备份。例如，星期一用一盘磁带对整个系统进行备份, 星期二用另一盘磁带对整个系统进行备份，依次类推。这种备份策略的好处是当发 生数据丢失的灾难时，只要用一盘磁带（灾难发生前一天的备份磁带），就可以恢复 丢失的数据。然而它亦有不足之处。首先，由于每天都对整个系统进行备份，造成 备份的数据大量重复，这些重复的数据占用了大量的磁带空间，这对用户来说就意 味着增加成本。其次，由于需要备份的数据量较

27、大，因此备份所需的时间也就较长。 对于那些业务繁忙、备份时间有限的单位来说，选择这种备份策略是不明智的。2、增量备份增量备份是进行一次完全备份，然后在接下来只对当天新的或被修改过的数据 进行备份。这种备份策略的优点是节省了磁带空间，缩短了备份时间。但它的缺点 在于：当灾难发生时，数据的恢复比较麻烦。3、差分备份差分备份是管理员先进行一次系统完全备份，然后在接下来的几天里，管理员 再将当天所有与完全备份后发生改变的数据（新的或修改过的）备份到磁带上。差 分备份策略在避免了以上两中策略的缺陷的同时，乂具有了它们的所有优点。首先, 它无需每天都对系统做完全备份，因此备份所需时间短，并节省了磁带空间；

28、其次, 它的灾难恢复也很方便。系统管理员只需两盘磁带，即完全备份磁带与灾难发生前 一天的磁带，就可以将系统恢复。在实际应用中，备份策略通常是以下三种的结合。例如在每周一至周六每天进行一次增量备份或差分备份，每周日进行全备份，每月底进行一次全备份，每年底 进行一次全备份。3. 2. 3数据库的备份1、数据库备份技术概述当企业用户使用一个数据库时，总希望数据库的内容是可靠的、正确的，但由 于数据库在传输、存储和交换的过程中出现计算机系统的故障（包括机器故障、介 质故障、误操作等），同时，计算机系统也会发生意料不到的事故，数据库也可能遭 到破坏，这时如何尽快恢复数据就成为当务之急。如果平时对数据库做

29、了备份，那 么此时恢复数据就显得很容易。如果没有事先采取数据备份和数据恢复措施，数据 就会丢失，将造成惨重的损失。数据的备份与恢复作为信息安全的重要内容不可忽 视。因此，数据的备份与恢复也是数据库系统的一个安全功能。2、数据库的备份大多数操作系统都带有备份工具，例如，在Windows 2000中，通过在桌面上单 击开始程序/附件/备份工具/备份选项，单击备份向导按扭，启动系 统的备份向导。其它操作系统亦可以通过系统备份工具对数据库进行备份，也可以 利用专用的备份工具。第4章网络服务与应用系统的安全4.1 Web服务器安全在计算机网络应用服务中，Web技术被广泛的使用，给人们的生活、工作和学 习

30、带来了很大的方便，同时在这个虚幻的网络世界里，经常出现一些Web站点被攻 击、被篡改、信息泄露等，这就使得能否保证使用者的安全和隐私成为Web应用中 的一个主要问题。Web的安全性是Web应用中必须考虑的重要问题。Web服务器Web (World Wide Web) 乂称万维网，其基本结构是采用开放试的客户机/服务 器(Client/Server)结构，其基本工作原理如图4T所示。Web浏览器HTTP请求报文HTTP响应报文图4-1客户机/服务器工作模式4.1.1 Web的安全概述通常的网络安全总是设置各种各样的限制，使得不明身份的人无法获得非授权 的服务，但是Web服务器恰恰相反，它希望接受

31、尽可能多的客户，对客户几乎没有 限制和要求，这样，相当于其他网络服务器，Web是最容易受到攻击的。Web安全风 险一般可分为三类，即对Web服务器及其相连LAN的威肋、对服务器和客户机之间 的通信信道的威肋从Web服务器角度来将，服务器风险比Web浏览器用户更大， 服务器受攻击要比客户机受攻击危险的多。4.1.2 Web站点的安全和漏洞1、Web站点主要安全问题1)未经授权的存取动作。该类问题指的是用户未经授权就使用系统资源，即 使未对系统造成破坏，也侵犯了隐私。2)窃取系统的信息。该类问题指的是攻击者非法访问、获取目标机器(Web 服务器或者浏览器)上的敏感信息；或者中途截取Web服务器和浏

32、览器之间传输的 敏感信息；或者由于配置、软件等的原因无意泄露的敏感信息，如账号、密码和客 户资料等。这种行为给用户造成非常大的损失。3）破坏系统。该类问题指的是入侵者进入系统后，破坏系统的重要数据、系 统运行的重要文件，从而导致Web站点系统无法正常运行。4）拒绝服务。该类问题指的是攻击者的直接目的不在于侵入计算机，而是在 短时间内向目标发送大量的正常的请求数据包并使得目标机器维持相应的连接，或 者发送需要目标机器解析的大量无用的数据包。使得目标机器资源耗尽或是应接不 暇，根本无法响应正常的服务。这种威胁不容易抵御。5）非法使用。该类问题指的是入侵者利用系统从事非法用途，如存放、发布 非法信息

33、。6）病毒破坏。该类问题指的是由于不小心执行病毒程序、系统存在安全漏洞 被网络病毒攻击等，从而导致系统数据被破坏、被窃取、甚至系统崩溃。2、Web站点典型安全漏洞1）操作系统类安全漏洞。该类问题指的是非法文件访问、远程获得管理员权限、 系统后门等漏洞。2）网络系统的安全漏洞。该类问题指的是网络结构不合理，如Web服务器被监 听、路由器出现错误的配置、交换机有后门口令或允许未授权用户绕过认证系统、 防火墙防外不防内以及防火墙设置不当。3）应用系统的安全漏洞。该类问题指的是计算机网络中使用的TCP/IP协议以 及 Server mail Server、FTP Server 等存在的安全漏洞。4）网

34、络安全防护系统漏洞。该类问题指的是网络安全意识不强，缺少信息系统 安全管理的规X,缺少安全测试、检查、监控，缺少信息发布的审核和管理，缺少 对网络安全事件的响应，网管人员的技术水平不高。5）其他安全漏洞。该类问题指的是薄弱的认证环节，复杂的设置和控制、易被 监视和欺骗等漏洞。不能对电子、下载文件和浏览的恶意进行有效控制。4.1.3 Web安全预防措施1）增强服务器操作系统的安全，密切关注并及时安装系统及软件的最新补丁。2）建立良好的账号管理制度，限制在Web服务器开账户。使用足够安全的口令, 在口令长度及定期更改方面做出要求，防止被盗用，并正确设置用户访问权限。3）对服务器进行远程管理时，使用

35、如SSL等安全协议，避免使用Telnet、FTP 等程序，因为这些程序是以明文形式传输密码的，容易被监听。并严格控制远程管 理员身份的使用，仅在绝对需要时，才允许使用具有高授权的操作。4）使用入侵检测系统，监视系统、事件、安全记录和系统日志，以及网络中的 数据包，定期查看服务器中的日志logs文件，分析一切可疑事件，对危险和恶意访 问进行阻断、报警等响应，并进行必要的修补和控制。5）限制可访问用户的IP或域名。在Web服务器上可以根据IP地址或域名来限 制用户对资源的访问，可以限制哪些IP或域名可以访问，哪些IP或域名不可以访 问。6）使用防火墙，对数据包进行过滤，禁止某些地址对服务器的某些服

36、务的访问， 并在外部网络和Web服务器中建立双层防护。利用防火墙，将服务器中与Web服务 器无关的服务及端口阻隔，进一步增强开放的服务的安全性。7）使用漏洞扫描和安全评估软件，对整个网络进行全面的扫描、分析和评估, 从用户账户约束、口令系统、访问控制、系统监测、数据完整和数据加密等多方面 进行安全分析和审计。建立和提高用户的安全策略，及时发现并弥补安全漏洞。4.2 域名系统的安全性域名系统（Domain Name SystenH）S）是一个分布式数据库.它把主机名翻译成 IP地址，把IP地址翻译成主机名。对于DS服务器而言可用性是最为重要的。在现 实生活中经常定义攻击者入侵系统获取数据为一个安

37、全问题，但是对DNS服务器来 说，遭到了拒绝服务攻击则是一件更重要的问题。失去DNS服务器的话，任何在 Internet网络上的人将不能够再使用域名找到所要访问的服务器。更严重的是，没 有DNS服务，所有的发送都将失败，而内部网络将由于解析域名的失败而失去和外 部网络的联系。4.2.1 DNS的安全威胁1、拒绝服务攻击网络攻击者攻击DNS服务器、路由器和防火墙，是DNS服务器无法回应正常的 DNS查询的请求。2、设置不当的DNS将泄露过多的网络拓扑结构如果DNS服务器设置为允许对任何人都进行区域传输的话，那么整个网络架构 中的主机名、主机IP列表、路由器名、路由器IP列表甚至包括机器所在的位置

38、等 信息很容易被窃取，通过分析这些信息可以很清楚地得到内部的网络拓扑结构。3、利用被控制的DNS服务器入侵整个网络当一个入侵者控制了 DNS服务器后，他就可以随意篡改DNS的记录信息，甚至 使用这些被篡改的记录信息来达到进一步入侵整个网络的目的。比如，将现有的DNS 记录中的主机信息修改成被攻击者自己控制的主机，这样所有达到原来目的地的数 据包将被重定位到入侵者手中，DXS带来的威胁会涉及到整个网络系统破坏了整个 网络的安全完整性。4.2.2 名字欺骗技术当允许用户执行远程系统命令时，系统管理员往往在某些主机之间建立相互信 任的关系，当主机间的信任是借助名字并通过DNS来认证时，就会导致名字欺

39、骗的 出现。例如，当一个主机B要向主机A发送信息时，中途被主机C篡改了主机B的 地址等信息，而此时主机C担当了主机B的较色，从而主机C就和主机A建立了信 任关系，此时主机C就假冒主机B欺骗了主机A。4.2.3 增强DNS服务的安全性1 .设置分布在不同网络中的DNS服务器将DNS服务器分布在不同的网络中，以防御拒绝服务的攻击。如果多台DNS服务 器放在同一网段，处在同一个路由器（或防火墙）后面，一旦DNS服务器前的路由器 （或防火墙）成了攻击目标，大量的数据包将涌向这个路由器（或防火墙），堵塞了 这个路由器（或防火墙），而正常的DNS解析请求无法到达路由器（或防火墙）后的 DS服务器上。从而干

40、扰了正常的DS通信，导致应用服务器无法给外界提供服务， 发生瘫痪。2 .防卫名字欺骗技术对于名字欺骗技术的防卫方法有：把名字数据库中的信息的生存期改为比较长的时间，如一个星期或一个月，这样 名字信息保存在缓冲区的时间较长,即使更改数据库内容也不会马上生效,攻击者不 可能等这么长的时间。但生存期过长对数据库的更改也不利。在设置信任关系时不使用机器名字，而使用机器的IP地址，这样可以使系统避 免名字欺骗，但可能遭受IP地址欺骗。为保证安全的服务，要认证用户而不是认证主机名和IP地址。4.3电子的安全性电子()作为Internet上使用最多、最重要的服务之一，同时也是安全漏洞最 多的服务之一，它已成

41、为目前网络上传递病毒和黑客程序主要的途径之一。系统之所 以是一种最脆弱的服务，是因为它可以接受来自Internet上任何主机的任何数据。4.3.1 的安全风险1 .的漏洞服务器向全球开放，原则上可以接收任何人发来的，很容易受到攻击。的信息可 能携带会损害服务器或客户机的指令。客户端软件和Web提供的阅读器很容易受到这 类侵扰。与标准的基于文本的Internet不同，客户端软件和网页浏览器可以执行脚 本。例如，在一条信息中加进了一个小的脚本，并发给用户。这个脚本在信息中作为 一个小图标，用户点击这个图像，就会打开一个小程序，甚至会在打开时自动运行。 如果携带了恶意的代码，病毒或程序，会影响本地计

42、算机的安全，其至会自动转发给 地址薄中的其他用户，造成更大X围的攻击。2 .利用欺骗欺骗行为表现形式可能各异，但原理相同，通常是欺骗用户进行一个毁坏性的操 作或暴露敏感信息(比如密码)。欺骗性会制造安全漏洞。当用户收到的电子中涉及 敏感信息时，用户要适当分析，认真核对的发送者，信息表头中的信息等。比如，收 到的宣称来自系统管理员，要求用户将他们的口令改为特定的字串、要求用户提供口 令或其他敏感信息，并威胁如果用户不照次办理，将关闭用户的账户。用户应了解， 一般网络管理人员都不会用发出这样的要求。3 .轰炸轰炸可被描述为不停接到大量同一内容的。一条信息被传给成千上万的不断扩大 的用户。更糟的是，

43、如果一个人回复了该，那么表头里所有的用户都会收到这封回信。 轰炸主要的风险来自服务器。如果服务器接到很多的，可能会造成服务器脱网，系统 崩溃，甚至造成网络拥塞。如果系统突然变得迟钝，或人们开始抱怨速度大幅减慢，或不能收、发，这时 服务器可能正忙于处理极大数量的信息。如果感到站点正受侵袭，应找出轰炸的来 源，然后设置防火墙或路由器进行过滤。4. 3. 2服务器的安全与可靠性1）建立一个安全的电子系统，采用合适的安全标准非常重要。但仅仅依靠安全 标准是不够的，服务器本身必须是安全、可靠、久经实战考验的。2）对于网络入侵的防X,在服务器端要考虑信息的过滤、病毒的检测等措施， 控制不良和带病毒的的入侵

44、。对于服务破坏的防X,则可以分成一下几个方面。3）防止来自外部网络的攻击，包括拒绝来自指定地址和域名的服务器连接请求, 拒绝收信人数量大于预定上限的，限制单个IP地址的连接数量，暂时搁置可疑的信 息等。采用这些措施可以有效地拒绝垃圾，保证网络和的畅通。同时使用网络防火墙 对进入服务器的地址和风险的关键字进行控制、过滤以屏蔽不良的。4）防止来自内部网络的攻击，包括拒绝来自指定用户、IP地址和域名的服务请 求，强制实施SMTP认证，实现SSL POP和SSL SMTP以确认用户身份等。5）在服务器上使用防病毒软件，监控收、发的中是否有病毒，并自动采取清除 病毒的措施。6）及时更新服务器软件和系统补

45、丁，发现安全漏洞要及时修补，不能存在侥幸 心里。4. 3. 3客户端的安全是目前网络上传播病毒与黑客程序的主要途径之一。唯有加强危机意识和网络安 全知识，才能更好地保障用户计算机网络安全。客户端的安全防X主要有一下几点。1）不轻易打开来历不明的电子。特别是来历不明乂包含附件的，即使附件看来 好像是.jpg（图形文件）文件，也不要轻易打开它，因为Windows允许用户在文件命名 时使用多个后缀，而许多电子程序只显示第一个后缀。比如，看到的附件名称是 WOW. JPG,而它的全名实际是WOW. JPG. VBS,打开这个附件意味着运行一个恶意的 VBScript 病毒。2）警惕欺骗性的电子。针对值

46、得怀疑的要采取措施证实是否确有其事。对于重 要的要通过数字签名来证明用户的身份，使用数字签名可使收件人相信是由发送方的 机器发送的，并且未被伪造或篡改。3）及时更新客户端软件并及时打补丁。4）使用并时常升级防毒软件，定期对计算机进行病毒检查。最好选用有防火墙 的防病毒软件。5）对XX性要求较高的使用数字标识对进行加密。这样使得只有预定的接收着才 能接收阅读，但用户必须获得对方的数字标识。第5章网络病毒防X5.1 计算机病毒概述计算机以及网络技术的迅速发展，给人们的生活带来了极大的方便，然而计算机 在给我们带来便捷的同时，也给我们带来了不利的因素，那就是计算机病毒。现如今, 计算机病毒对整个系统

47、以及网络的危害是匪夷所思的。因此，对于任何使用计算机的 个人和单位，都必须学会如何来防x计算机病毒。5.1.1 计算机病毒的定义“计算机病毒”有很多种定义，从广义上讲，凡是能引起计算机故障，破坏计算 机中数据的程统称为计算机病毒。现在比较准确的定义是：“计算机病毒是指编制或 者在计算机程序中插入的破坏计算机功能或者数据、影响计算机使用，并且能够自我 复制的一组计算机指令或者程序代码”。5.1.2 计算机病毒分类计算机病毒按其传染方式分为三种类型：引导型、文件型、混合型。1）引导型病毒是指传染计算机系统磁盘引导程序的计算机病毒。2）文件型病毒是指传染可执行文件的计算机病毒。3）混合型病毒是指传染

48、可执行文件乂传染引导程序的计算机病毒。它兼有文件 型和引导型病毒的特点。5.1.3 计算机病毒的特征计算机病毒是一种特殊的程序，所以它除了具有与其他正常程序一样的特性外， 还具有与众不同的基本特征。L传染性计算机病毒的传染性是指病毒具有把自身复制到其他程序中的特性。2 .潜伏性计算机病毒的潜伏性是指病毒具有依附其他媒体而寄生的能力。3 .破坏性计算机病毒的破坏性是指病毒破坏文件或数据，甚至损坏主板。4 .可触发性计算机病毒的可触发性是指病毒因某个事件或某个数值的出现，诱发病毒发作。5.1.4计算机网络病毒的危害性1）破坏磁盘文件分配表，使磁盘上的信息丢失。2）删除软盘或硬盘上的可执行文件或数据

49、文件，使文件丢失。3）修改或破坏文件中的数据，这时文件的格式是正常的，但内容已经发生改变。4）产生垃圾文件，占据磁盘及内存空间，使磁盘空间逐渐减少。5）破坏硬盘的主引导扇区，使计算机无法启动。6）对整个磁盘或磁盘的特定扇区进行格式化，使磁盘中的全部或部分信息丢失 使受损的数据难以恢复。7）非法使用及破坏网络中的资源，破坏电子，发送垃圾信息，占用网络带宽等。8）占用CPU运行时间，使主机运行效率降低。5. 2反病毒技术由于病毒经常给我们的计算机系统及网络系统造成严重的损坏，有时其至是致命 的打击。所以，我们就必须使用各种方法来防x计算机病毒，既而，反病毒技术也得 到了迅速的发展。5.1.1 计算

50、机病毒的防X防治感染病毒主要有两种手段：一是用户遵守和加强安全操作控制措施，在思想 上要重视病毒可能造成的危害；二是在安全操作的基础上，使用硬件和软件防病毒工 具，利用网络的优势，把防病毒纳入到网络安全体系中。形成一套完整的安全机制， 使病毒无法逾越计算机安全保护的屏障，病毒便无法广泛传播。1.在思想和制度方面1）加强立法，健全管理制度。2）加强教育和宣传，打击盗版。2.在技术措施方面除管理方面的措施外，防止计算机病毒的感染和蔓延还应采取有效的技术措施。 应采用纵深防御的方法，采用多种阻塞渠道和多种安全机制对病毒进行隔离，这是保 护计算机系统免遭病毒危害的有效方法。1）系统安全对病毒的预防依赖

51、于计算机系统本身的安全，而系统的安全乂首先依赖于操作系 统的安全。开发并完善高安全的操作系统并向之迁移，例如，从DOS平台移至安全性 较高的UNIX或Windows 2000平台，并且跟随版本和操作系统补丁的升级而全面升级, 是有效防止病毒的入侵和蔓延的一种根本手段。2）软件过滤软件过滤的目的是识别某一类特殊的病毒，防止它们进入系统和不断复制。对于 进入系统内的病毒，一般采用专家系统对系统参数进行分析，以识别系统的不正常处 和未经授权的改变。3）软件加密软件加密是对付病毒的有效技术措施，由于开销较大，目前只用于特别重要的系 统。软件加密就是将系统中可执行文件加密。若施放病毒者不能在可执行文件加

52、密前 得到该文件，或不能破译加密算法，则该文件不可能被感染。即使病毒在可执行文件 加密前传染了该文件，该文件解码后，病毒也不能向其他可执行文件传播，从而杜绝 了病毒的复制。4）备份恢复定期或不定期地进行磁盘文件备份，确保每一个细节的准确、可靠，在万一系统 崩溃时最大限度地恢复系统。对付病毒破坏最有效的办法就是制作备份。将程序和数 据分别备份在不同的磁盘上，当系统遭遇病毒攻击时，可通过与后备副本比较或重新 装入一个备份的、干净的源程序来解决。5）建立严密的病毒监视体系后台实时扫描病毒的应用程序也可有效地预防病毒的侵袭。它能对的附加部分、 下载的Internet文件、以及正在打开的文件进行实时扫描

53、检测，确认无异常后再继 续向下执行，若有异常，则提问并停止执行。及时对反病毒软件进行升级，能有效地 防止病毒的入侵和扩散。对于联网的冲算机最好使用网络版的反病毒软件，这样便于 集中管理、软件升级和病毒监控。6）在内部网络出口进行访问控制网络病毒一般都使用某些特定的端口收发数据包以进行网络传播，在网络出口的防火 墙或路由器上禁止这端口访问内网络，可以有效地防止内部网络中计算机感染网络病 毒。5. 2. 2计算机网络病毒的防X措施只有建立一个有层次的、立体的防病毒体系，才能有效制止病毒在网路内部的蔓延。1）在计算机网路中，要保证系统管理员有最高的访问权限，避免过多地出现超 级用户。超级用户登录后将

54、拥有服务器目录下的全部访问权限，一旦带入病毒，将产 生更为严重的后果。为工作站上用户账号设置复杂的密码。目前，一些网络病毒自带 破解密码的字典，对于密码设置过于简单的计算机可以很容易的侵入。因此，必须设 置复杂的密码，才能有效地防止病毒入侵。2）对非共享软件，将其执行文件（如*.、*.Exe等）定期备份，当计算机异常 出现问题时，将文件恢复到本地硬盘上进行重写操作。3）建立健全的网络系统安全管理制度，严格操作规程和规章制度，定期做文件 备份和病毒检测。即使有了杀毒软件，也不可掉以轻心，因为没有一个杀毒软件可以 完全杀掉所有病毒，所以仍要记住定期备份，一旦真的遭到病毒的破坏，只要将受损 的数据恢

55、复即可。4）目前预防病毒最好的办法就是在计算机中安装具有实时监控功能的防病毒软 件，并及时升级。第6章防火墙及相关技术应用6.1防火墙概述防火墙技术是建立在现代通信网络技术和信息安全技术基础之上的安全性计算 机网络安全技术,被广泛应用于专用网络与公用网络互联环境之中。在构建安全网络 环境的过程中，防火墙作为第一道安全防线，受到越来越多用户的关注。通常的购买 网络安全设备时，总是把防火墙放在首位。目前出现的很多网络安全问题都证明大多 数的黑客入侵事件都是由于未能正确安装防火墙而引发的。防火墙技术在保护计算机 网络安全领域中起着非常重要的作用，已经成为世界上用的最多的网络安全产品之 -O但是客观地

56、讲，防火墙并不能完全解决网络安全问题，而只是网络安全政策中的 一个组成部分。6. 1.1防火墙的概念防火墙的本义原是指房屋之间修建的那道墙，这道墙可以防止火灾发生的时候蔓 延到别的房屋。然而，多数防火墙里都有一个重要的门，允许人们进入或离开房屋。 因此，防火墙在提供增强安全性的同时允许必要的访问。计算机网络安全领域中的防火墙指位于不同网络安全域之间的软件和硬件设备 的一系列部件的组合，作为不同网络安全域之间通信流的唯一通道，并根据用户的有 关安全策略控制（允许、拒绝、监视、记录）进出不同网络安全域的访问，如图6-1 所示。图6-1防火墙防火墙系统模型7. 1.2防火墙的目的和功能1 .应用防火

57、墙的目的为了提高计算机网络的安全性，防火墙已经被普遍应用在计算机网络中。应用防 火墙可以达到以下目的。1）所有内部网络与外部网的信息必须经过防火墙。2）确保内部网向外部网的全功能互联。3）防止入侵者接近防御设施，限制进入受保护网络，保护内部网络的安全。4）只有按本地的安全策略被授权的信息才允许通过。5）防火墙本身具有防止被穿透的能力，防火墙本身不受各种攻击的影响。6）为监视网络安全提供方便。防火墙已成为控制网络系统访问的非常流行的方法，事实上在Internet上的很 多都是由某种形式的防火墙加以保护的，采用防火墙的保护措施可以有效地提高网络 的安全性，任何关键性的服务器，都建议放在防火墙之后。2 .防火墙基本功能防火墙是网络安全策略的有机组成部分，通过控制和检测网络之间的信息交换和 访问行为来实现对网络安全的有效管理，防止外部网络不安全的信息流入内部网络和 限制内部网络重要信息流到外部网络。从总体上看，防火墙应具有以下五大基本功能。1）过滤进、出内部网络的数据。2）管理进、出内部网络的访问行为。3）封堵某些禁止的业务。4）记录通