计算机网络：校园网网络安全问题分析及其解决对策研究

1、郑州铁路职业技术学院毕业论文论文题目：校园网网络安全问题分析及其解决对策研究 作者姓名： xxxxx 班级学号： 网络10a1 104633032 系 部： 软件学院/信息工程系 专 业： 计算机网络 指导教师： xxxxx 2013年 5 月 20 日摘 要 随着internet的飞速发展，校园网作为高校重要的基础设施，担当着高校教学、科研、管理和对外宣传交流等许多角色。在我们享受着网络给教学管理带来便捷的同时，网络中的种种不安全因素也在无时无刻不在威胁校园网的健康发展，例如，病毒侵犯、保密资料外泄、黑客的非法入侵，有害信息等等。所以，对于校园网这个特殊而又重要的局域网来说，必须建立完备的校

2、园网安全防护体系，不断加强校园网络的安全管理体制，保证校园网络能正常的运行以及校园内部的信息资源不受各种网络黑客的侵害，确保学生的身心健康，使学生尽可能少地接触网络上的不良信息，使他们具备一个积极向上的意识形态，并确保网络教学等活动得以正常运转。因此，如何在开放网络的环境中保证校园网的安全性已经成为一个及其重要并且必须要解决的问题。 本文通过分析当今校园网网络安全问题的现状，找出校园网面临的各种威胁，列出解决校园网安全问题的关键技术，校园网安全管理和维护的措施与建议。 关键词：校园网; 网络安全; 防火墙; 入侵检测目录摘 要2一、校园网网络概述51.1 互联网的发展与安全51.2 国内网络安

3、全现状61.3 校园网的特点714 校园网的网络构成81.4.1校园网网络体系结构概述91.4.2校园网系统功能构成101.4.3 校园应用管理平台111.4.4 典型校园网拓扑结构121.4.5 校园网的建设目标13二、校园网网络安全问题现状152.1 网络的开放性带来的安全问题152.2 校园网网络安全的主要威胁因素162.3校园网安全存在的缺陷172.3.1 网络自身的安全缺陷172.3.2 网络结构、配置、物理设备不安全172.3.3 内部用户的安全威胁182.3.4 软件的漏洞182.3.5 病毒的传播182.3.6 各种非法入侵和攻击19三、校园网网络安全问题解决方案203.1 解

4、决校园网安全问题的关键技术203.1.1 密码加密解密技术203.1.2 防火墙技术253.1.3防病毒技术293.1.4 入侵检测技术323.1.5 数据备份技术343.2 校园网网络安全对策分析373.2.1 校园网络安全策略概述373.2.2 网络安全系统策略的制定373.3校园网安全管理和维护的措施与建议393.3.1 配置高性能的防火墙产品393.3.2 网络设计、使用更合理化393.3.3 软件漏洞修复393.3.4 防杀毒软件系统403.3.5 配备入侵检测系统(ids)并建立蜜罐陷阱系统403.3.6 系统安全风险评估403.3.7 灾难恢复计划413.3.8 加强管理41四、

5、总结：42致谢：43参考文献：43一、校园网网络概述 1.1 互联网的发展与安全计算机与通信技术推动了因特网的快速发展。截至 2010 年 1 月底，我国网民数量已跃居世界第一。互联网的普及为我们的工作和生活带来了根本性变化，人们可以通过互联网来浏览新闻、获取资料、电子邮件、存储信息、进行实时通讯；可以足不出户进行网上购物、网上股票交易，利用网上银行进行转账业务等；电子政务的推广也使得政府部门和企业进行网上办公成为可能。计算机网络已经渗透到了教育、文化、经济、政治、军事等各个方面。可以说，今天的互联网已经成为了人们生活和工作中必不可少的一部分。但同时近几年网络信息安全问题表现异常突出：网上病毒

6、感染事件逐年增多；网络入侵攻击大幅上升，据统计表明，平均每 20 秒就有一个网络遭到入侵；网上经济诈骗成倍增长。网络安全是一个多层面的安全问题，它不仅涉及到黑客、漏洞、入侵、病毒等外来攻击安全问题，而且还涉及到保密、授权、抵赖等内部安全问题。目前世界上的各国正在通过采用各种技术和管理措施来保障互联网的安全，保证互联网系统的正常运行，确保网络传输和交换的数据不会发生修改、丢失和泄漏等。互联网网络的安全性同网络的性能、可靠性和可用性一起成为组建和运行网络不可忽视的问题。1.2 国内网络安全现状计算机网络的广泛应用己经对经济、文化、教育与科学的发展产生了重要的影响，同时也不可避免地带来了一系列新的社

7、会道德、法律问题。网络的快速发展使得网上资源越来越丰富，诸如电子商务、电子政务、电子税务、电子海关、网上银行、网络防伪等许多新兴业务也迅速兴起，因此，加强网络信息安全保障已成为当前的迫切任务。网络安全的保障能力是一个国家综合国力、经济竞争实力和生存能力的重要组成部分。网络安全问题解决不好将会全面地危及国家的政治、经济、文化、社会生活的各方面。目前我国网络安全的现状和面临的威胁主要有：1、计算机网络系统使用的软、硬件产品很大一部分依赖于国外产品，引进的信息技术和设备对信息安全的保护缺乏有效管理和技术改造。2、国内信息安全人才培养体系虽己初步形成，但随着信息化进程的加快和计算机的广泛应用，目前我国

8、信息安全人才培养还远远不能满足国内需要。3、目前关于网络犯罪的法律还不健全，因特网上的犯罪对传统的法律提出了挑战。4、公民对信息安全意识虽然有所提高，但将实际应用中依然很少注意防范，计算机病毒、木马、黑客攻击泛滥成灾。1.3 校园网的特点近几年来因 cernet 网的发展，我国校园网的建设得到了快速的发展。全国绝大多数的高校建成了自己的校园网络，随着高校校园网建设工程的实施，全面提高了校园网网络通信的水平和规模，扩大了校园网的应用范围，为高校教师的教学和科研以及大学生对网络系统的应用提供了基本保障。校园网作为高校重要的基础设施，担当着高校教学、科研、管理和对外宣传交流等许多角色。因此校园网安全

9、状况直接影响着高校的教学等活动。随着网络应用的深入，校园网上各种传输的数据信息量急剧增加，网络的攻击越来越多，各种各样的安全问题影响校园网的正常运行。同时，随着网络规模的不断扩大，网络复杂性不断增加，用户对网络性能要求的不断提高，网络安全正逐步成为网络技术发展中一个极为关键的任务，对网络的发展产生了很大的影响，成为现代网络应用中最重要的问题之一。因此，如何确保校园网正常、安全和高效地运行是所有高校目前面临的问题。高校校园网建设中面临的问题概括起来主要有以下几个方面：（1）网络日常管理维护的困境。随着课堂教学逐步走向网络化，学生在线学习、娱乐时间的增加必然造成校园网网络大、业务多、故障产生问题复

10、杂，网络的安全性差、管理难度较大。（2）滥用网络资源。在校园网内，用户滥用网络资源的情况严重，有私自开设代理服务器非法获取网络服务的，也有校园网用户非法下载或上载的，甚至有的用户每天都不断网，其流量每天都达到几十个 g，占用了大量的网络带宽，影响了校园网的其它应用4。（3）网络安全、计费等运营问题。校园网中的计算机系统管理比较复杂，缺乏用户认证、授权、计费体系，安全认证存在有意无意的攻击。（4）互联网上的非法内容也形成了对网络的另一大威胁。不良信息的传播对正在形成世界观和人生观的大学生而言，危害是非常大的。要确保高校学生健康成长、积极向上，就必须采取措施对校园网络信息进行过滤和处理，使他们尽可

11、能少地接触网络上的不良信息。对校园网来说，如不具有过滤和识别作用，不但会造成大量非法内容及邮件进入，占用大量流量资源，造成网络流量堵塞、上网速度变慢等问题。许多校园网是从局域网发展而来的，由于安全管理意识与资金方面的原因，它们在安全方面往往没有作太多的设置，一般往往直接面向互联网，这就给病毒、黑客提供了充分施展身手的空间，这些安全隐患发生任何一次，都会对整个网络产生致命的危害。因此，校园网的网络安全需求是全方位的。14 校园网的网络构成 校园网的网络组成可以按照不同的标准来区分，通常可以分为按照网络的拓扑分为校园网的体系机构以及按网络的功能分为校园网的功能结构。1.4.1校园网网络体系结构概述

12、校园网安全策略的制定和实施是以各高校校园网的基础体系结构和网络应用具体情况为依据和实施基础的。因此在制定各高校的网络安全策略和实施具体的安全策略之前，透彻分析本校的校园网体系结构,网络拓扑结构，网络的路由策略，网络的区域划分，ip及vlan的规划，网络访问策略，各应用系统的功能服务对象，访问限制等等是非常必要的，其性能直接影响到网络安全策略的实施效果。网络体系结构是关于如何构建网络的技术，它包括两个层次的内涵。一是要标识出网络系统由哪些部分组成，清晰地描述出各个部分的功能、目的和特点。二是要描述网络各个组成部分之间的关系，如何将各个部分有机地结合在一起，形成完整的网络系统，从而保证网络有效地运

13、转，也就是将各个部分进行集成的方式或方法。根据教育部教育管理信息化标准的要求，校园网的总体建设目标包括：校园网基础设施建设是我们数字化校园的基础，它的建设水平和效果直接影响到我们运行在校园网上的服务，影响到全校的教学、科研甚至影响到师生的日常生活。校园网的建设包括根据自身的应用需求和特点进行校园网的体系结构的设计，相关技术设备的选择，网络出口包括带宽的选择，设备之间拓扑关系的确定，集成、调试，应用建设等关键环节，在这些环节当中也包含着对校园网络安全的考虑与设计。近年的信息化建设，通过科研需求、教学应用、网络办公、网上娱乐等应用建设和使用，网络应用逐渐渗透到了校园生活的方方面面。上网备课，接收邮

14、件，网络聊天，游戏购物，校园用户联网的时间一天天延长。教育部科技发展中心公布的相关数据显示，98.4%的高校教学、科研、行政办公已经全部联入校园网，90.5%高校的教室已提供了校园网接入环境，74.35%的学校在学生宿舍已经接入网络，校园网覆盖范围正在逐步地扩大。同时各个高校的网络应用建设也是搞得风风火火，从原来的只提供部分特殊用户的上网接入，只提供基本的web和mail服务发展到了增加网络出口，增加带宽，建设各部门和学院的二级站点乃至个人站点，video视频点播系统、iptv网络电视系统、各学科知识数据库系统、教学、人事等业务系统，精品课程、网上录播、监控等多种应用系统的建设。现在各高校正制

15、定各自的数字化校园的规划，新一轮的校园网应用建设和信息系统集成将展开，这对我们的校园网基础设施建设和网络安全提出了新的挑战。1.4.2校园网系统功能构成校园网作为校园网络信息平台应该由一个平台和三个系统构成，即系统管理平台、校园公共信息系统、校园管理信息及办公自动化系统、校园教-学资源库系统。具体系统功能构成见下图1.4.3 校园应用管理平台 校园应用系统管理平台是一个可靠性高、安全性好、易管理的操作平台。在此平台上可轻松的实现用户注册、系统的备份和恢复、用户权限的设置以及资源的调整、初始化等管理工作。通过使用intranet/internet技术以及先进的xml技术和b/s结构，实现了与in

16、ternet的无缝连接。校园公共信息系统（internet服务系统）主要用于校园公共信息的管理，是学校师生进行交流的场所，老师和学生通过公共信息系统将大大拓展信息交流的空间。作为大学的信息门户，该系统为全校师生提供校园讨论区（bbs）、校园聊天室、校园大事记、通知公告、信息发布等基础信息服务。通过权限设置，实现角色化管理，年级、班级、兴趣小组等各类角色都可以根据自己定制的需求去查询、发布信息。校园管理信息系统用于支持学校日常管理的各项工作。用户通过使用人事管理、教育教学管理、后勤管理、教学资源与应用平台、图书馆管理、生活管理、医疗管理等多个功能子系统可以方便快捷地处理各种复杂数据操作和文字录入

17、，完成各种校园信息数据的有效管理。校园办公自动化针对校园办公需求不仅实现了便捷保密的公文管理、档案管理、信息交流，而且使每位老师、每个学生都拥有自己的信箱。教学资源库系统提供一致的资源管理和使用方式，实现简便精确的资源获取与检索，全面支持教学应用，包括对各类教学软件库、教学网络平台、电子阅览室等资源的分类、检索和管理、多媒体教学、远程教育等功能。1.4.4 典型校园网拓扑结构校园网的网络体系结构包括校园网的网络边界设备，核心及骨干设备，网络接入层设备，网络服务提供设备和这些设备的连接方式以及该结构采用的协议及技术。当前的校园网多采用1000m以太网主干技术，1000m或100m到楼，100m或

18、10m到桌面，部分区域采用无线接入技术（802.11）实现无线接入。校园网络一般有边界路由器，高性能的核心路由交换机，各分布层的三层路由交换机，大量的二层可网管接入交换机，以及防火墙，ids（或ips），内容过滤系统，流量分析系统，网络设备管理系统等网络硬件设备。校园网多采用星形拓扑结构，常见的校园网拓扑结构如图1-2 图1-2 校园网拓扑结构 1.4.5 校园网的建设目标网络安全（network security）是抵御内部和外部各种形式的威胁，以确保网络的安全的过程。为了深入彻底地理解什么是网络安全，必须理解网络安全旨在保护的网络上所面临的威胁，理解一个能够用于阻止这些攻击的主要机制也是非

19、常重要的。通常，在网络上实现最终的安全目标可通过下面的一系列步骤完成，每一都是为了澄清攻击和阻止攻击的保护方法之间的关系。下面的步骤是在一个站上建立和实现安全的方法：第1步确定要保护的是什么；第2步决定尽力保护它免于什么威胁；第3步决定威胁的可能性；第4步以一种划算的方法实现保护资产的目的；第5步不断地检查这些步骤，每当发现一个弱点就进行改进。校园网络系统需要实现以下安全目标：l 保护网络系统的可用性；l 保护网络系统服务的连续性；l 防范网络资源的非法访问及非授权访问；l 防范入侵者的恶意攻击与破坏；l 保护信息通过网上传输过程中的机密性、完整性。二、校园网网络安全问题现状校园网在学校的日常

20、活动中发挥着越来越重要的作用，与此同时，校园网的安全问题也越来越突出，网络病毒，黑客入侵，管理不善等原因使得校园网络面临着严重的威胁。2.1 网络的开放性带来的安全问题 internet的开放性以及其他方面因素导致了网络环境下的计算机系统存在很多安全问题。为了解决这些安全问题，各种安全机制、策略、管理和技术被研究和应用。然而，即使在使用了现有的安全工具和技术的情况下，网络的安全仍然存在很大隐患，这些安全隐患主要可以包括为以下几点: (1)安全机制在特定环境下并非万无一失。比如防火墙，它虽然是一种有效的安全工具，可以隐蔽内部网络结构，限制外部网络到内部网络的访问。但是对于内部网络之间的访问，防火

21、墙往往是无能为力的。因此，对于内部网络到内部网络之间的入侵行为和内外勾结的入侵行为，防火墙是很难发觉和防范的。 (2)安全工具的使用受到人为因素的影响。一个安全工具能不能实现期望的效果，在很大程度上取决于使用者，包括系统管理者和普通用户，不正当的设置就会产生不安全因素。例如，windowsxp在进行合理的设置后可以达到c级的安全性，但很少有人能够对windowsxp本身的安全策略进行合理的设置。虽然在这方面，可以通过静态扫描工具来检测系统是否进行了合理的设置，但是这些扫描工具基本上也只是基于一种缺省的系统安全策略进行比较，针对具体的应用环境和专门的应用需求就很难判断设置的正确性。 (3)系统的

22、后门是难于考虑到的地方。防火墙很难考虑到这类安全问题，多数情况下，这类入侵行为可以堂而皇之经过防火墙而很难被察觉；比如说，众所周知的asp源码问题，这个问题在iis服务器4.0以前一直存在，它是iis服务的设计者留下的一个后门，任何人都可以使用浏览器从网络上方便地调出asp程序的源码，从而可以收集系统信息，进而对系统进行攻击。对于这类入侵行为，防火墙是无法发觉的，因为对于防火墙来说，该入侵行为的访问过程和正常的web访问是相似的，唯一区别是入侵访问在请求链接中多加了一个后缀。2.2 校园网网络安全的主要威胁因素(1)软件漏洞：每一个操作系统或网络软件的出现都不可能是无缺陷和漏洞的。这就使我们的

23、计算机处于危险的境地，一旦连接入网，将成为众矢之的。 (2)配置不当：安全配置不当造成安全漏洞，例如，防火墙软件的配置不正确，那么它根本不起作用。对特定的网络应用程序，当它启动时，就打开了一系列的安全缺口，许多与该软件捆绑在一起的应用软件也会被启用。除非用户禁止该程序或对其进行正确配置，否则，安全隐患始终存在。 (3)安全意识不强：用户口令选择不慎，或将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁(4)病毒：目前数据安全的头号大敌是计算机病毒，它是编制者在计算机程序中插入的破坏计算机功能或数据，影响计算机软件、硬件的正常运行并且能够自我复制的一组计算机指令或程序代码。计算机病毒具

24、有传染性、寄生性、隐蔽性、触发性、破坏性等特点。因此，提高对病毒的防范刻不容缓。 2.3校园网安全存在的缺陷 2.3.1 网络自身的安全缺陷 网络是一个开放的环境,tcp/ip是一个通用的协议,即通过ip地址作为网络节点的唯一标识,基于ip地址进行多用户的认证和授权,并根据ip包中源ip地址判断数据的真实和安全性,但该协议的最大缺点就是缺乏对ip地址的保护,缺乏对源ip地址真实性的认证机制,这就是tcp/ip协议不安全的根本所在。通过tcp/ip协议缺陷进行的常见攻击有:源地址欺骗、ip欺骗、源路由选择欺骗、路由选择信息协议攻击、syn攻击等等。 2.3.2 网络结构、配置、物理设备不安全 最

25、初的互联网只是用于少数可信的用户群体,因此设计时没有充分考虑安全威胁,互联网和所连接的计算机系统在实现阶段也留下了大量的安全漏洞。并且网络使用中由于所连接的计算机硬件多,一些厂商可能将未经严格测试的产品推向市场,留下大量安全隐患。同时,由于操作人员技术水平有限,所以在网络系统维护阶段会产生某些安全漏洞,尽管某些系统提供了一些安全机制,但由于种种原因使这些安全机制没有发挥其作用。 2.3.3 内部用户的安全威胁 系统内部人员存心攻击、恶作剧或无心之失等原因对网络进行破坏或攻击的行为,将会给网络信息系统带来更加难以预料的重大损失。u盘、移动硬盘等移动介质交叉使用和在联接互联网的电脑上使用,造成病毒

26、交叉感染等等,都会给校园网络带来较大的安全威胁。特别是近年来利用arp协议漏洞进行窃听、流量分析、dns劫持、资源非授权使用、植入木马病毒不断增加,严重影响了网络安全。 2.3.4 软件的漏洞 一般认为,软件中的漏洞和软件的规模成正比,软件越复杂其漏洞也就越多。在网络系统运行过程中,由于操作系统自身不够完善,针对系统漏洞本身的攻击较多,且影响也较严重。目前如办公、下载、视频播放、聊天等软件的流行,让使用率较高的程序也成为被攻击的目标。2.3.5 病毒的传播 网络的发展使资源的共享更加方便，移动设备使资源利用显著提高,但却带来病毒泛滥、网络性能急剧下降,许多重要的数据因此受到破坏或丢失,也就是说

27、,网络在提供方便的同时，也成为了病毒传播最为便捷的途径。例如,“红色代码”、“尼姆达”、“冲击波”、“震荡波”、“欢乐时光”、“熊猫烧香”的爆发无不使成千上万的用户受到影响。几年病毒的黑客化,使得病毒的感染和传播更加快速化、多样化,因而网络病毒的防范任务越来越严峻。 2.3.6 各种非法入侵和攻击 由于校园网接入点较多,拥有众多的公共资源,并且使用者安全意识淡薄,安全防护比较薄弱,使得校园网成为易受攻击的目标。非法入侵者有目的的破坏信息的有效性和完整性,窃取数据,非法抢占系统控制权、占用系统资源。比如:漏洞、薄弱点扫描,口令破解;非授权访问或在非授权和不能监测的方式下对数据进行修改;通过网络传

28、播病毒或恶意脚本,干扰用户正常使用或者占用过多的系统资源导致授权的用户不能获得应有的访问或操作被延迟产生了拒绝服务等。三、校园网网络安全问题解决方案3.1 解决校园网安全问题的关键技术3.1.1 密码加密解密技术为了保护所传输的数据在传递过程中不被别人窃听或修改，就必须对数据进行加密（加密后的数据称为密文），这样，即使别人窃取了数据（密文），由于没有密钥而无法将之还原成明文（未经加密数据）,从而保证了数据的安全性，接收方因有正确的密钥，因此可以将接收到的密文还原成正确的明文。密码技术主要有对称加密和非对称加密两种。1.对称加密算法对称密码体制也称为私钥加密法。从一定意义上说，密码学的基本目的是

29、保护隐私。也就是使通信双方通过某一不安全的信道传递信息时，只有对方才能破译这一信息。在过去，这一愿望是通过私钥密码体制来实现的。私钥密码体制是一种传统密码体制，在过去，最有代表性的私钥密码体制有 caesar、hill、vigenere等。而当代最有代表性的有：des、aes、idea、rc5 等，它们的安全性都是基于复杂的数学运算。若以 m 表示所有的明文信息，c 表示密文信息，k 是所有的密钥。则私钥密码体制是由这样一组函数对构成的：ek:mcdk:cm,kk在这里，对于所有的 mm 及 kk，都有 dk(ek(m)=m。使用这一体制时，通信的双方 a 和 b 需要事先达成某一秘密钥 kk

30、，他们可以通过直接会晤或者可以信赖的信使来互相得到对方的秘密钥。之后，若 a 想发送一组明文给 b，他传送的是密文信息 cek(m)。根据 c，b 通过解码函数 dk 复原信息。显而易见，解码系统应当具有的特点是：dk 和 ek 易于应用以及在第三方了解除选用密钥的方法之外的保密系统的信息之后，仍然不可能根据 c 得到 m（或 k）。这种方法已经使用几个世纪了,收发加密信息双方使用同一个私钥对信息进行加密和解密。在对称密码体制中,使用的加密算法比较简便高效,密钥简短,破译极其困难,因而保密性能良好,如 des。但是密钥长度不够,无论如何是对它们构成威胁,且密钥使用一段时间后就要更换,加密方每次

31、启动新密时,都要经过某种秘密渠道把密钥传给解密方,而密钥在传递过程中容易泄漏;网络通信时,如果网内所有用户都使用同样的密钥,那就失去了保密的意义。但如果网内任意两个用户通信时都使用互不相同的密钥,n 个通信成员就要使用 n(n-1)/2 个密钥,因此,密钥量太大,难以进行管理;无法满足互不相识的人进行私人谈话时的保密性要求,在 internet 中,有时素不相识的两方需要传送加密信息;难以解决数字签名验证的问题。（1）对称密钥算法特性该算法最方便的区别就是分组密码和序列密码,如图 2-1 和图 2-2。分组密码和序列密码之间的正式区别在于序列密码是按其在数据序列中的位置加密每个比特;而分组密码

32、则同等对待每个分组,它不考虑之前出现了什么。这种区别对实际通信有着重大的影响。如果差错发生在传输期间,则用二进制序列密码加密的数据会恰好在发生传输差错的脱密正文中出现差错。而如果用分组密码,则传输中的一个单独比特的差错就会酿成完全随机的相应脱密分组。实际上,一般不采用分组密码连续加密分离的数据分组,而采用分组密码作为序列密码的二进制密钥序列产生器。最有代表性对称加密算法是 des(数据加密标准),其工作原理为:将明文分割成许多 64 位大小的块,每个块用 64 位密钥进行加密,实际上,密钥由 56 位数据位和 8位奇偶校验位组成,因此只有 256 个可能的密码而不是 264 个。每块先用初始置

33、换方法进行加密,再连续进行 16 次复杂的替换,最后再对其施用初始置换的逆。第 i步的替换并不是直接利用原始的密钥 k,而是由 k 与 i 计算出的密钥 ki。而日本发明的 feal 算法(快速加密算法)、澳大利亚堪培拉国防学院首创的 loki 算法和瑞士索洛图恩实验室提出的idea算法(国际数据加密标准算法)三种算法的分组长度都是 64 比特,这使得他们在很多应用场合都能同 des 兼容。不过,它们的密钥长度都比 des 长,feal 和 loki 的密钥长度 64 比特,而 idea 的密钥长度 128 比特。（2）对称密码算法存在的问题像上面介绍的私有密码体制中指出的那样，私有密码体制在

34、实现数据加密解密的运算速度上很快，它是基于复杂的数学运算的，在实际应用中满足了许多应用要求，但是，私有密码体制存在以下几方面存在缺点：密钥分布问题。如上所述，传送信息的双方在不安全的信道上交流之前，需要预先选定某一秘密钥。在某些情况下，选用秘密钥的秘密信道是不存在的。密钥管理问题。对于有 n 个网络用户的网络系统来讲，每一对用户之间存在着一个秘密钥，总共需要 n(n 1)/2 个秘密钥。如果系统比较大的话，密钥则会因为变得太大而不容易管理。难以实现数字签名。数字签名是手写体的电子信号，它可以使信息的收到方向第三者确认该条信息是从发送者传送来的。在一个私钥密码系统中，a 和 b双方具有相同的加密

35、和解密能力，也就是说 b 无法向第三方证明来自 a 的信息确实是由 a 发出的。密钥难以传输。私钥密码体制的解密密钥和加密密钥相同或容易从加密密钥导出，因而加密密钥的暴露会使系统变得不安全。私钥密码体制的一个严重缺陷是在任何密文传输之前，发送者和接收者必须使用一个安全信道预先传送密钥，在实际应用中这一点是很难做到的。例如，假定发送者和接收者之间的距离很远，他们要使用电子邮件来通信，在这种情况下，通信双方可能没有合理的安全信道。2.非对称加密算法自从 1976 年公钥密码的思想提出以来，国际上已经提出了许多种公钥密码体制，如基于大整数因子分解问题的 rsa 体制和 rabin 体制、基于有限域上

36、的离散对数问题的 diffie-hellman 公钥体制和 elgamal 体制、基于椭圆曲线上的离散对数问题的 diffie-hellman 公钥体制和 elgamal 体制、基于背包问题的 merkle-hellman体制和 chor-rivest 体制、基于代数编码理论的 meeliece 体制、基于有限自动机理论的公钥体制等等。(1) 非对称算法特性该加密方式在信息的加密与解密中,使用“公开密钥”与“私有密钥”对,这个密钥对由解密者(即信息的接收者)做成,“公开密钥”作为对信息进行加密的密钥,对发送者发布,同时接收者保管好解密所需要的“私有密钥”。在这里,利用公开密钥加密的信息只能通过

37、私有密钥解密,但不能根据公开密钥推测私有密钥,所以可以在经由第三者的环境中发布公开密钥。如果用户 a 要给用户 b 传送秘密信息,则 a 首先应从公开钥本上查到 b 的公开钥,并形成 b 的加密算法 eb,用 eb 对明文加密编码,得到密文:c=eb(m),再将 c 发送给 b。用户 b 在接收到密文 c 后,就可以用自己的密钥所确定的解密算法 db 来恢复明文:db(c)db（eb（）,这就是一般公开密钥密码系统的加密、解密过程。由此可见,一方面,公开密钥密码系统使得任何人都可用其他用户 u 公开的加密密钥 k 给该用户发送经公开加密算法加密的信息,而不必事先分配和保管传统密码系统所需的大量

38、密钥;另一方面,当加密、解密变换可交换时,即 ekdkdkek,由于仅由用户u自己才具有唯一的一个解密密钥k,对某一有意义的信息,经过用户u 的解密算法 dk 变换后的结果,就可以用用户 u 公开的加密算法 ek 变换以恢复原来的信息。而用不同于 dk 的解密算法对原信息作变换后的结果,经用户 e 的加密算法 ek 变换后均不能产生有意义的信息。在此情况下,该公开密码系统就给用户用户 u 提供了对信息进行签名和身份验证的功能。(2)非对称算法存在的问题公钥密码体制采用的加密密钥（公开钥）和解密密钥（秘密钥）是不同的。由于加密密钥是公开的，密钥的分配和管理就很简单，而且能够很容易地实现数字签名，

39、因此最适合于电子商务应用的需要。但在实际应用中，公钥密码体制并没有完全取代私钥密码体制，这是因为公钥密码体制在应用中存在以下几个缺点：公钥密码是基于尖端的数学难题，计算非常复杂，它的速度远比不上私钥密码体制。公钥密码中要将相当一部分密码信息予以公布，势必对系统产生影响。在公钥密码中，若公钥文件被更改，则公钥被攻破。3.1.2 防火墙技术防火墙是在内部网和外部网之间建起一道屏障，并决定哪些内部资源可以被外界访问，哪些外部服务可以被内部人员访问的设备。内部网和外部网之间传输的所有信息都要经过防火墙的检查，只有授权的数据才能通过。防火墙大致可分为两大体系:包过滤防火墙和代理防火墙。包过滤防火墙是以c

40、heckpoint 防火墙和 cisco 公司的 pix 防火墙为代表，代理防火墙是以 nai 公司的 gauntlet 防火墙为代表。1. 包过滤防火墙包过滤(packetfiltering)防火墙技术是在网络层对数据包进行过滤，过滤的依据是系统内设置的过滤逻辑，被称为访问控制列表(acesscontroltable)。通过检查数据流中每个数据包的源地址、目的地址、所用的端口号、协议状态等因素，或它们的组合来确定是否允许该数据包通过。实现原理如图 2-3 所示。可以实现包过滤防火墙的费用开销较低，因为一般的路由器都可以提供包过滤功能。包过滤防火墙在一般情况下仅仅是检查数据包头，而不是实现对整

41、个数据的检测，所以处理速度上占有一定的优势。包过滤防火墙的缺点：定义数据包过滤器比较复杂，需网管员对各种 internet 服务、包头格式以及每种协议数据包中的每个域的意义有深入的理解。允许数据包直接通过防火墙这道屏障，任何直接经过防火墙的数据包都存在被用做数据驱动式攻击的潜在危险。数据驱动式攻击从表面上来看是由路由器转发到内部主机上没有危害的数据组成，实际上该数据包括一些隐藏的指令，可以通过修改访问控制列表和与安全有关的文件，使得入侵者获得对系统的访问权。包过滤器无法对网络上流动的信息进行全面的控制。包过滤路由器能够允许或拒绝特定的服务，但是不能理解特定服务的上下文环境。2.代理防火墙代理防

42、火墙采用代理（proxy）技术参与 tcp 连接的全过程，这样从内部发出的数据包经过防火墙处理后，就象来自于防火墙外部网卡一样，从而达到隐藏内部网结构的目的。代理防火墙被公认为是最安全的防火墙，其核心技术就是代理服务器技术。由于每一个内外网络之间的连接都要通过 proxy 的介入和转换，通过专门为特定服务编写的安全化应用程序进行处理，然后由防火墙本身提交请求和应答，不给内外网络的计算机任何直接会话的机会，从而避免入侵者采用数据驱动的攻击方式入侵内部网，所以说代理防火墙最突出的优点就是安全。实现原理如图 2-4 所示。代理防火墙技术是近年来商业应用中效果最好的防火墙技术。该技术结合了代理类型防火

43、墙安全性好和包过滤防火墙速度高的优点，在不损失安全性的基础上将防火墙的性能提高了 10 倍以上。包过滤防火墙和代理防火墙代表了当今防火墙产品中的两种主流类型。它们在性能方面各有所长，但是两大流派并非势不两立。为了提高产品竞争力，各厂商正在相互融合。代理防火墙的优点如下：代理防火墙内置了一些为提高安全性而编制的 proxy 应用程序。这些应用程序能够透彻地理解每一个相关服务命令，对来往数据包进行安全化处理，第三章网络安全技术研究而不是简单地中继数据。代理防火墙不允许数据包直接通过防火墙，可以隐藏内部服务器和客户机的实际 ip 和身份，避免数据驱动式攻击的发生。代理防火墙的缺点如下：interne

44、t 服务在不断增加，为了让这些类型的服务通过防火墙而又不失代理防火墙的高级别的安全性，代理防火墙厂商必须不断推出相应于每一种新服务的新的代理应用程序。这就要求厂商有足够的研发能力和整体实力，以及具有一个代理应用程序相当完备的防火墙产品。代理防火墙中的代理应用程序要对来往数据进行细的检查和审计，对计算机的性能上有一定的要求。对于运行 atm 或千兆位以太网等高速网络的环境之间架设防火墙的情况下，则除了提高防火墙机器的配置之外，还要通过防火墙阵列等方式来提高处理速度。3.1.3防病毒技术1.计算机病毒的机理计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自

45、我复制的一组计算机指令或者程序代码。计算机病毒是人为利用计算机硬件固有的脆弱性，编制的具有某些特殊功能的程序。它目的在于利用各种途径和方法侵入计算机系统，伺机触发运行，实施破坏和传染。有些病毒所引起的后果仅仅是磁盘空间的损失；有些病毒在其侵入过程中破坏程序，留下一个感染过的无法使用的程序文件；有些病毒则有可能造成整个系统瘫痪。计算机病毒的种类很多，对病毒代码进行分析、比较可看出，它们的主要结构是类似的，有其共同特点。病毒代码主要包含三部分:引导部分、传染部分和表现部分。（1）引导部分引导部分的作用是将病毒主体加载到内存，为传染部分做准备(如驻留内存，修改中断，修改高端内存，保存原中断向量等操作

46、。（2）传染部分传染部分的作用是将病毒代码复制到传染目标上去。不同类型的病毒在传染方式，传染条件上各有不同。（3）表现部分表现部分是病毒间差异最大的部分，前两个部分也是为这部分服务的。病毒一般是在一定条件才会触发其表现部分的。如:以时钟、计数器作为触发条件的或用键盘输入特定字符来触发的。这一部分也是最为灵活的部分，这部分根据编制者的不同目的而千差万别，或者根本没有这部分。2.计算机病毒的特点计算机病毒的特点很多，主要由于计算机病毒发展迅速，种类繁多等因素决定的。计算机病毒具有可执行性、传染迅速性、潜伏性、可触发性、破坏性的等。随着网络病毒技术的不断提高，有表现出新的特点：（1）技术更加复杂化现

47、在很多病毒和其他技术混合使用。某些病毒及普通病毒、蠕虫、木马和黑客等技术于一身，具有混合型特征，破坏性极强。（2）传播途径广很多传播途径多，扩散速度快。很多病毒与 internet 和 intranet 紧密结合，通过系统漏洞、局域网、网页、邮件等方式进行传播，扩散速度极快。目前此类病毒已有 20 种之多。（3）欺骗性很多病毒利用人们的好奇心理，往往具有很强的诱惑性和欺骗性，使得它更容易传染，如“库尔尼科娃”病毒即是利用网坛美女库尔尼科娃的魅力。（4）频繁性很多病毒出现频度高，病毒生成工具多。早期的计算机病毒都是编程高手制作的，编写病毒是为了显示自己的技术，但库尔尼科娃病毒的设计者只是修改了下

48、载的 vbs 蠕虫孵化器变生成了该病毒。这种工具在网络上很容易就可以获得，因此新病毒的出现频度超出以往的任何时候。3计算机病毒防治技术计算机病毒防治技术很多，常见的技术有：（1）特征码扫描技术特征码扫描法是分析出病毒的特征病毒码并集中存放于病毒代码库文件中，在扫描时将扫描对象与特征代码库比较，如有吻合则判断为染上病毒。（2）虚拟执行技术虚拟执行技术是通过虚拟执行方法查杀病毒，可以对付加密、变形、异型及病毒生产机生产的病毒。（3）文件实时监控技术通过利用操作系统底层接口技术，对系统中的所有类型文件或指定类型的文件进行实时的行为监控，一旦有病毒传染或发作时就及时报警。（4）防病毒技术智能引擎技术口

49、智能引擎技术发展了特征码扫描法的优点，改进了其弊端，使得病毒扫描速度不随病毒库的增大而减慢。文件实时监控、内存实时监控、脚本实时监控、邮件实时监控、注册表实时监控。嵌入式杀毒技术是对病毒经常攻击的应用程序或对象提供重点保护的技术，它利用操作系统或应用程序提供的内部接口来实现。它对使用频度高、使用范围广的主要的应用软件提供被动式的防护。（5）病毒免疫技术病毒免疫技术一直是反病毒专家研究的热点，它通过加强自主访问控制和设置磁盘禁写保护区来实现病毒免疫的基本构想。3.1.4 入侵检测技术入侵行为主要是指对系统资源的非授权使用，它可以造成系统数据的丢失和破坏以及系统拒绝合法用户的服务请求等。入侵检测技

50、术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。违反安全策略的行为有：入侵非法用户的违规行为；滥用用户的违规行为。利用审计记录，入侵检测系统能够识别出任何不希望有的活动，从而达到限制这些活动，以保护系统的安全。 入侵检测系统可在系统发生危害前检测到入侵攻击，并利用报警与防护系统驱逐入侵攻击。在入侵攻击过程中，能减少入侵攻击所造成的损失。在被入侵攻击后，收集入侵攻击的相关信息，作为防范系统的知识，添加到知识库内，以增强系统的防范能力。入侵检测系统常用的检测方法有特征检测、统计检测与专家系统。据公安部计算

51、机信息系统安全产品质量监督检验中心的报告，国内送检的入侵检测产品中95%是属于使用入侵模板进行模式匹配的特征检测产品，其他 5%是采用概率统计的统计检测产品与基于日志的专家知识库系统产品。（1）特征检测特征检测对已知的攻击或入侵的方式做出确定性的描述，形成相应的事件模式。当被审计的事件与已知的入侵事件模式相匹配时，即报警。该方法预报检测的准确率较高，但对于无经验知识的入侵与攻击行为无能为力。（2）统计检测统计模型常用异常检测，在统计模型中常用的测量参数包括:审计事件的数量、间隔时间、资源消耗情况等。统计方法的最大优点是它可以“学习”用户的使用习惯，从而具有较高检出率与可用性。但是它的“学习”能

52、力也给入侵者以机会通过逐步“训练”使入侵事件符合正常操作的统计规律，从而透过入侵检测系统。（3）专家系统用专家系统对入侵进行检测，经常是针对有特征入侵行为。所谓的规则，即是知识，不同的系统与设置具有不同的规则，且规则之间往往无通用性。专家系统的建立依赖于知识库的完备性，知识库的完备性又取决于审计记录的完备性与实时性。入侵的特征抽取与表达，是入侵检测专家系统的关键。在系统实现中，将有关入侵的知识转化为 if-then 结构也可以是复合结构)，条件部分为入侵特征，then 部分是系统防范措施。运用专家系统防范有特征入侵行为的有效性完全取决于专家系统知识库的完备性。3.1.5 数据备份技术数据是比网

53、络本身还宝贵的资源，因此提高数据的安全性和可用性是安全技术需要解决的重要问题之一。数据备份和灾难恢复都属于数据备份和恢复范畴，其分界点就是看灾难的大小。容灾级别可高可低，系统投资可大可小。一个全面的容灾解决方案应该包括数据复制这个核心产品，还应有一个远离本地的容灾场地，即数据备份中心，在中心内有服务器、磁盘阵列等硬件设施；软件方面有数据复制软件，还应有集群架构和远程切换的管理措施，能够保证突发事件发生后，数据能够即时被恢复，系统在最短的时间内恢复正常运行。数据并非备份就可以高枕无忧，应定期进行测试、恢复，保证遇到突发事件后备份数据的可用性，测试是很重要的。数据备份目的是为了恢复。因此，客户需要

54、对数据备份和恢复系统有一个管理计划。总而言之，应当时刻警惕突发事件的发生，做好数据备份，做到防患于未然，在灾难发生时能够做到即时恢复，保护好信息数据。目前最先进的数据备份技术是基于网络的备份系统。理想的备份系统应该是全方位、多层次的。网络存储备份管理系统对整个网络的数据进行管理。利用集中式管理工具的帮助，系统管理员可对全网的备份策略进行统一管理，备份服务器可以监控所有机器的备份作业，也可以修改备份策略，并可即时浏览所有目录。所有数据可以备份到同备份服务器或应用服务器相连的任意一台磁带库内。一个完整的数据备份和灾难恢复方案，应包括备份硬件、备份软件、备份计划和灾难恢复计划四个部分。（1）备份硬件

55、丢失数据有三种可能：人为的错误、漏洞和病毒、设备失灵。解决数据丢失的方法包括硬盘介质存储、光学介质和磁带磁带机存储技术。与磁带磁带机存储技术和光学介质备份相比，硬盘存储所需费用是极其昂贵的。磁盘存储技术虽然可以提供容错性解决方案，但容错却不能抵御用户的错误和病毒。一旦两个磁盘在短时间内失灵，在一个磁盘重建之前，不论是磁盘镜像还是磁盘双工都不能提供数据保护。因此，在大容量数据备份方面，采用硬盘作为备份介质并不是最佳选择。与硬盘备份相比，虽然光学介质备份提供了比较经济的存储解决方案，但它们所用的访问时间要比硬盘长 2 到 6 倍，并且容量相对较小。当备份大容量数据时，所需光盘数量大：虽保存的持久性

56、较长，但整体可靠性较低。所以光学介质也不是大容量数据备份的最佳选择。在大容量备份方面，磁带机所具有的优势是：容量大并可灵活配置、速度相对适中、介质保存长久，存储时间超过 30 年、成本较低、数据安全性高、可实现无人操作的自动备份等。所以一般来说，磁带设备是大容量网络备份用户的主要选择。（2）备份软件虽然己有用户在网络中运用到大容量备份设备，但大多数用户还没有意识到备份软件的重要性。重要原因是许多人对备份知识和备份手段缺乏了解。他们所知道的备份软件无非是网络操作系统附带提供的备份功能，但对如何正确使用专业的备份软件却知之甚少。备份软件主要分两大类：一是各个操作系统厂商在软件内附带的，如 netw

57、are操作系统的“backup”功能、nt 操作系统的“ntbackup”等；二是各个专业厂商提供的全面的专业备份软件。对于备份软件的选择，不仅要注重使用方便、自动化程度高，还要有好的扩展性和灵活性。同时，跨平台的网络数据备份软件能满足用户在数据保护、系统恢复和病毒防护方面的支持。（3）备份计划灾难恢复的先决条件，是要做好备份策略及恢复计划。日常备份计划描述每天的备份以什么方式进行、使用什么介质、什么时间进行以及系统备份方案的具体实施细则。在计划制订完毕后，应严格按照程序进行日常备份，否则将无法达到备份的目的。在备份计划中，数据备份方式的选择是主要的。目前的备份方式主要有全备份、增量备份和差分备份。全备份所需时间最长，但恢复时间最短，操作最方便，当系统中数据量不大时，采用全备份最可靠。增量备份和差分备份所需的备份介质和备份时间都会少一些，但是恢复起来要比全备份麻烦一些。用户根据自身业务对备份窗口和灾