计算机网络数据安全和网络管理

1、第七章 计算机网络数据安全和网络管理 教学内容：7 1 计算机网络安全7 2 网络管理7 3 指挥自动化计算机网络要求教学重点：计算机网络安全教学难点：计算机网络安全教学时间： 4 学时课程性质： 计算机网络技术基础学科。基本理念： 网络技术主要是以硬件和协议分析，以及相关的通 信技术，网络互连和数据安全等各个方面的学习。教学思路： 是以计算机网络数据的安全为主，为学生简单介绍 常用的用于保护网络数据安全的策略和算法，主要 是以实际应用过程和方法为主。内容目标： 本章是要通过学习，使学生了解网络安全的基础知 识，特别是用于计算机安全的相关策略、应用和特 点作出说明。实践分析： 因为内容和实际应

2、用有一定的联系，所以可以通过 实例分析和说明的方式更生动的讲述相关内容。问题思考： 对一些重要的内容，对学生提出问题，使他们能够 自己思考理解。具体问题： 1、网络安全的威胁因素有哪些？2、网络安全策略有哪些？3、密钥密码体制有几种？4、防火墙实现技术有几种？5、如果你要组建一个网络，你会采用什么安全策 略。#第七章 计算机网络数据安全和网络管理第一节 计算机网络安全计算机网络数据安全和网络管理在网络中是十分重要的概 念。包括计算机网络安全标准，数据加密技术中 DES和RS基 本概念以及防火墙技术等。一、网络安全的威胁因素 威胁可分为两种：对网络中信息的威胁和对网络中设备的 威胁。威胁网络安全

3、的因素很多， 有些因素可能是人为的破坏， 也有的可能是非人为的失误。网络安全的威胁因素：(1) 物理破坏。 对于一个网络系统而言，其网络设备可能会遇到诸如地 震、雷击、 火灾、水灾等一类天灾的破坏， 以及由于设备被盗、 鼠咬、静电烧毁等而引起的系统损坏。(2) 系统软件缺陷。 网络系统软件，包括网络操作系统和应用程序等，不可能 百分之百的无缺陷和无漏洞。无论是 Windows或者UNIX都存 在或多或少的安全漏洞，这些漏洞恰恰是黑客进行攻击的首选 目标。有些软件公司的设计编程人员为了方便调试程序，在软 件中设置了“后门”。(3) 人为失误。 系统管理员在进行网络管理时，难免出现人为失误。这些

4、人为失误包括诸如对防火墙配置不当而造成安全漏洞；用户口 令选择不慎或长期没有变动；访问权限设置不当；内部人员之间口令管理不严格，以及无意识的误操作。(4) 网络攻击。网络攻击是计算机网络所面临的最大威胁。网络攻击可以 分为两种：主动攻击和被动攻击。主动攻击是以中断、篡改、伪造等多种方式，破坏信息的 有效性和完整性，或冒充合法数据进行欺骗，以至破坏整个网 络系统的正常工作。被动攻击则是在不影响网络正常工作的情况下，通过监听、窃取、破译等非法手段，以获得重要的网络机密信息。(5) 计算机病毒。如今网络上传播的计算机病毒，其传播范围更广，破坏性 更大。病毒对网络资源进行破坏，干扰网络的正常工作，甚至

5、 造成整个网络瘫痪，破坏硬件。二、网络安全的要素和安全等级1 网络安全的要素网络安全的要素涉及保密性、完整性、可用性、可控性和 可审查性。(1) 保密性：只有获得授权的用户才允许访问数据，包括 显示、打印。(2) 完整性：只有获得授权的用户才允许增加、删除和修 改数据，即确保数据传递的一致性。(3) 可用性：获得授权的合法用户或进程，只要需要就可 以随时访问相应的数据。(4) 可控性：对授权范围内的信息可以对其流向及行为方 式进行控制。(5) 可审查性：能对出现的网络安全问题提供调查的依据 和手段。2 网络安全的安全等级 为了判断一个计算机系统的安全性是否得当，帮助用户解 决网络安全问题，一些

6、组织各自制定了一套安全评估准则。其 中国外一些重要的安全评估准则有如下几种：(1) 美国国防部(DOD)的可信计算机系统评估准则 (TCSEC)。(2) 欧洲共同体的信息技术安全评测准则 (ITSEC) 。(3) ISO 国际标准。(4) 美国联邦标准。TCSEC 准则将计算机的安全等级分为四类七级，由低到高 依次为D1、C1、C2 B1、B2、B3 A1。从D1到A1，对安全的 要求逐渐变得越来越苛刻，能够得到的安全保障也越来越高， 但安全处理所需费用也相应提高。了解各级标准，有利于衡量 一个计算机平台的安全性，包括系统硬件及其操作系统的安全 性，以及更好地防范各种安全风险。TCSEC 准则

7、中各级的名称如下：Al ：可验证安全设计级B3 ：安全域级B2 ：结构化安全保护级B1 ：标记安全保护级C2 ：受控访问保护级C1 ：自主安全保护级D1 ：最低的保护级在上述七个级别中，A1和B3级是最高安全的等级。它们 经得起程度不同的严格测试和攻击，但成本也很高，只用于极 其重要的应用。B2级和B1级属于中等安全保护级别，可满足 重要应用的安全要求。目前，我国普遍应用的计算机，其操作 系统大都是引进国外的属于 C1级和C2级产品。对于一般商业 环境中的操作系统，C2级安全保护已经够用了。常见的 MS-DOS、Windows3.xWindows 95（非工作组方式 ） 计算机系统属于 Dl

8、级。三、网络安全策略 网络安全受到多方面的威胁，必需采用必要的安全策略， 以保证网络正常运行。下面介绍几种常见的网络安全策略：1 物理安全物理安全是指保护网络系统，包括网络服务器、工作站和 其他计算机设备等软硬件实体，以及通信链路和配套设施，不 被人为破坏或免受自然灾害损害。【加强设备运行环境的安全保护和严格安全管理制度】2 访问控制访问控制是网络安全防范和保护的主要策略。其目的是保 护网络资源不被非法使用和非法访问。具体方法包括：(1) 身份认证。 身份认证是对用户入网访问时进行身份识别。常用的技术 是验证用户的用户名和口令 ( 密码) ，只有全部确认无误，用户 才能进入网络系统，否则系统将

9、拒绝。(2) 权限控制。 进入系统的用户被授予一定的操作权限。这些权限控制用 户只能访问某些目录、文件和其它资源，并只能进行指定的相 关操作，不能越权使用系统，因而可以防止造成系统的破坏或 者泄露机密信息。3 数据加密 数据加密技术是保证网络安全的重要手段，具体实现技术 包括对称性加密和非对称性加密两类。4 防火墙 防火墙技术是一种由软、硬件构成的安全系统。它设置在 外部网络和内部网络之间。通过一定的安全策略，可以抵御外 部网络对内部网络的非法访问和攻击。【包过滤和代理服务】四、数据加密技术 数据在网络中传输时，由于网络的不安全性，往往需要对 数据进行加密，即将传输的明文加密成密文。1 数据加

10、密模型数据加密技术中截馭若加密密钥kt解雷議钥kd数据加密过程中涉及到加密密钥和解密密钥，根据加密密 钥和解密密钥是否相同，常规密钥密码体制和公开密钥密码体制。【对称性加密和非对称性】2 .密钥密码体制(1) 常规密钥密码体制。常规密钥密码体制中，加密密钥和解密密钥是相同的，因 此又称为对称密钥体制或单密钥体制。在常规加密的模型中，输入的信息包括明文和密钥，经加 密算法操作后将输出密文。【这种加密技术计算量小，加密效率高。安全地传输和管 理密钥是一个比较困难的工作】常规密钥密码体制中的典型代表是计算机网络中广泛使用的 DES(Digital EncryptionStandard)算法。其保密性

11、主要取决于密钥的保密程度。(2) 公开密钥密码体制。公开密钥密码体制中，加密密钥和解密密钥是不相同 的。其中加密密钥是公开的，在网上公布，称为“公用密钥” ； 解密密钥是保密的，由接收方妥善保管，称为“私有密钥” 。 因此这种密钥体制又称为非对称密钥体制或双密钥体制。公开 密钥密码体制的密钥分配简单，管理方便。也可以进行数字签名，可以保证数据完整性和不可否认 性。这种情况下，发送方使用自己的私有密钥对数据进行加密， 接收方则使用发送方已公开的公用密钥对该“数字签名”施行 “解密”。【RSA (Rivets Shamir Adlema n)算法】五、防火墙技术 防火墙技术被认为是一种十分有效的防

12、止外部入侵的工 具。防火墙是一种隔离控制技术。设置在被保护网络和外部网 络之间，通过监测、限制某些数据的进入或发出，尽可能地对 外屏蔽网络内部的信息。可以阻止外部网络对内部网络的非法访问，防止内部信息 资源泄露、窃取和篡改，并且可以阻止内部信息从网络非法输 出。【采用封堵端口的方式】防火墙是一种被动防卫技术，防止非法用户入侵内部网 络，对内部的非法访问难以有效地控制。防火墙是在内部网络 Interanet 和外部网络 Internet 之 间建立一道安全屏障。1 防火墙的实现技术包括包过滤技术、应用网关技术。 包过滤(Packet Filter) 。包过滤技术中使用的主要设备是带有包过滤功能的

13、路由 器或者是使用软件进行包过滤的主机。通过在路由器上设置过 滤规则，检查数据包中的源IP地址、目的IP地址、源TCP端 口号、目的TCP端口号和TCP链路状态等信息。路由器能进行 路由选择，在网络层对数据包进行有选择地通过或阻断。规则鼻TP地址冃的IP地址功作AI34.LI.O尤许B拒绝C允许A 规则表示允许 网络访问 网络。 B规则表示拒绝网络访问网络。C规 则表示允许 网络访问0 号主机。包过滤技术在网络层实现，具有处理速度快，对用户透明的优点。但是配置繁琐，维护

14、比较困难，而且阻止外部IP欺骗的能力差，因此难于防范人为攻击。(2) 应用级网关。应用网关(Application Gateway)技术是建立在网络应用层上的协议过滤。应用级网关防火墙控制着对应用程序的访 问，即允许或阻止某些应用程序访问其他应用程序，在应用层 上实现协议过滤和转发。同时，还对数据包进行必要的分析和 统计。目前常用的应用网关技术是代理服务（Proxy Server）。代 理服务是运行在专用工作站（双重宿主主机）上的专用应用级 程序。这种程序使所有外部网络和内部网络的通信链路分为两段。由于内部网络和外部网络应用层的“链接”变成了两个终 止于代理服务的“链接”，因而成功地实现了防火

15、墙的隔离功外部网络 应用麗务器代理雎务器应用网关社理噩务程序内韶两堵 工作站代理服务包括服务器端程序和客户端程序。对于内部网络 的客户来说，它是一台服务器，而对于外部网络的服务器来说， 它是一台客户机。这种代理服务都是针对特定的应用层服务 的，允许或拒绝特定的应用程序。代理工作时，内部网络客户首先与代理服务器建立连接， 经过代理确认合法后，代理服务器再与外部网络服务器建立连 接。应用网关代理是目前认为最安全的防火墙技术。从上面的 分析来看，它具有如下优点：1）将内部网络和外部网络隔离，起到屏蔽内部网络结构和11信息的作用，例如屏蔽内部网络的 IP 地址。2) 可实现较强的数据流监控、过滤、记录

16、和报告等功能。3) 针对特定应用协议的过滤规则变得相对简单，并能达到 更高程度的安全性要求。但是由于应用网关代理工作在应用层，将导致网络整体性 能下降。同时应用代理是针对特定应用的，新的应用协议必须 开发新的应用代理，以致于程序开发工作量大。2 防火墙的结构 包过滤路由器和应用级网关是防火墙的两种基本技术。它 们各自有自己的优缺点。常见的防火墙结构包括包过滤路由器、双宿主主机防火 墙，以及基于包过滤和代理服务技术结合而形成的屏蔽式主机 (Screened Host) 防火墙和屏蔽式子网 (Screened Subnet) 防 火墙。(1) 包过滤路由器。 这种防火墙是将外部网络和内部网络通过一

17、个包过滤路 由器连接起来。包过滤路由器除完成路由功能以外，还利用其 上的过滤规则，实现防火墙功能。这是一种常见的最简单的防 火墙。#主机(2) 双宿主主机。双宿主主机是指一台安装了两块网络接口卡(NIC)的主#机，其中一块网卡连接外部网络，另一块连接内部网络，每块 网卡上都有一个IP地址。双宿主主机运行代理软件而构成代理服务器时，同时要求 关闭操作系统的IP路由功能。此时，内部网络和外部网络的 通信完全由防火墙的代理服务程序进行转发。(3) 屏蔽式主机。屏蔽式主机防火墙系统由一台包过滤路由器和一台“堡垒主机”组成。包过滤路由器与外部网络In ternet 相联，堡垒主 机安装在内部网络上，如图

18、7-5所示。ntemet由部轉膳包过拢幅由器 1理组主机：屏蔽式主机防火墙系统所谓堡垒主机是指采取了相应的保护措施，可以防御外界 进攻的，形如“堡垒”的计算机。这种主机位于内部网络之上。通常，运行通用的操作系统和代理程序，为内部网络主机提供 代理服务。包过滤路由器只允许堡垒主机和外部网络通信，使堡垒主 机成为外部网络所能达到的惟一结点。并且通过其上设立的过 滤规则，控制内部网络和外部网络之间的通信，从而确保内部 网络不受未授权者的外部攻击。(4) 屏蔽式子网。通过建立一个屏蔽式子网将外部网络In ternet和内部网 络分开。屏蔽式子网由两台包过滤路由器和一台堡垒主机构 成。一台路由器和外部网

19、络相连，称为外部路由器；另一台与 内部网络相连，称为内部路由器。屏蔽式子网中不仅可以有堡 垒主机，还可以包括 WW服务器、FTP服务器等，如图7-6所示。防屏蔽式子网防火墙系统由于屏蔽式子网可以构成一个禁止穿行区，即外部网络和 内部网络均可访问屏蔽式子网，但禁止它们穿过屏蔽子网进行 通信，因此屏蔽式子网又称为非军事区（DMZ），保护内部网络 不受到安全威胁。15第二节 网络管理为了使计算机网络正常运转，各种网络资源高效利用，并 能及时报告和处理网络故障，必须采用高效的网络管理系统对 网络进行管理。二、网络管理功能在OSI网络管理标准中，网络管理功能分为5个基本模块：(1) 配置管理模块，完成定

20、义和删除网络资源，监测和控 制网络资源的活动状态和相互关系等。(2) 故障管理模块，完成对故障的检测、诊断、恢复，对 资源运行的跟踪，差错报告和分析等。(3) 性能管理模块，持续收集网络性能数据，评判网络系 统的主要性能指标，以检验网络服务水平，并作预测分析，发 现潜在问题等。(4) 安全管理模块，利用多种安全措施，如权限设置、安 全记录、密钥分配等，以保证网络资源的安全。(5) 计费管理模块，根据用户使用网络资源的情况，按照一 定的计费方法，自动进行费用核收。二、简单网络管理协议 (SNMP)目前， Internet 上广泛使用的一种网络管理协议是简单网 络管理协议 (SNMP)。SNMP建

21、立在TCP/IP协议簇中的UDP协议之上，提供无连接服务。尽管这是一种不可靠的服务， 但保证了信息快速传递。SNM模型由3部分组成：管理进程(Manager)、管理代理(Agent) 和管理信息库 (MIB) 。1 管理进程 管理进程处于管理模型的核心。它是一组运行于网络管理中心主机上的软件程序。它可以在 SNMP勺支持下，通过管理 代理来对各种资源执行监测、配置等管理操作。管理进程可以 通过图形介面显示网络中各管理代理的配置及其它网络信息， 为管理人员管理网络提供方便。2 管理代理 管理代理是运行在被管理设备中的软件。网络中被管理的设备可以是主机、 路由器、集线器等。 它监视设备的工作状态、

22、 使用状况等，并收集相关网络管理信息。这些信息都存储在管 理信息库 (MIB) 中。每一个管理代理都拥有一个包含代管设备 相关信息的本地管理信息库。在管理进程的指令下，管理代理 一方面从MIB中读取信息提交给管理进程，另一方面修改 MIB 中的信息。3 管理信息库 管理信息库包括的数据项因管理设备不同而不同，例如一个 路由器的管理信息可能包括关于路由选择表的信息。每个管理 代理，管理MIB中属于本地的管理对象。各管理代理控制的被 管理对象共同构成全网的管理信息库。19SNMP管理模型第三节 指挥自动化计算机网络安全要求一、范围1. 主题内容和适用范围(1) 本标准规定了全军指挥自动化计算机网络

23、在实体、网 络和管理等方面的安全要求(未涉及可靠性安全要求)。可作 为论证、招标、研制、验收和应用的基本依据。其它计算机网 络，特别是国家重点要害部门的计算机网络也可参照采用。(2) 本标准适用于指挥自动化广域网和局域网。 二、引用文件GB 2887 计算站场地技术要求GB 4943 数据处理设备的安全GB 9361 计算站场地安全要求GJB 141.1 用于数据传输的一般专用标准电话电路特性GJB 141.2 用于数据传输的优质专用标准电话电路特性GJB 148 数据传输质量维护极限及维护标准GJB 151 军用设备和分系统电磁发射和敏感度要求GJB 663 军用通信系统、设备安全要求三、定

24、义1. 信息破坏由于偶然事故或人为因素而破坏信息的正确性、完整性和 可用性。2. 网络实体计算机网络中各类设备（包括节点机设备、通信设备、终 端设备、存储设备、电源系统等）以及为此服务的其他硬件设 备的总称。3. 计算机病毒 依附在计算机程序中的一种可以繁衍的程序。它象生物病 毒一样使计算机程序感染 , 并在计算机网络中再生和扩散，造 成其紊乱或瘫痪。4. 最小特权 在完成某种操作时所赋予网络中每个主体（用户或进程） 必不可少的特权。5. 主动威胁 非法占用网络处理信息、侵入文件、修改程序，造成在错 误状态下运行。6. 被动威胁 当网络正常运行时，由于系统单元暴露或输入输出等管理 不严造成信息

25、泄露或被非法截取而产生的威胁。7. 实体安全（物理安全） 为确保网络在信息的采集、处理、传输、存储过程中，不 致受到人为或自然因素的危害，而对网络设备、设施、环境、 人员等所采取的安全措施。8. 灾难事件 因人为或自然灾害造成的涉及全局的一时难以恢复的破 坏性事件。四、一般要求1. 目标 网络安全设计应与论证、招标、研制、验收和应用工作同 步进行，并根据需求，分阶段、分层次逐步实施和完善，以达 到如下目标：a. 保证网络正常运行，避免各种非故意的错误与损失；b. 保证信息的正确性、完整性和可用性，防止网络及数据 遇到偶然的、被动的和主动的威胁，以及自然灾害的破坏；c. 对影响网络的意外事故具有

26、应急措施。2. 基本原则(1) 特权分散原理 把实现某一重要功能的特权分散给若干个程序、节点或用 户，必须由规定的若干个具有特权的程序、节点或用户到齐后 才能实现该功能。(2) 最小特权原理 应限定网络中每个主体所必须的最小 特权，确保可能的事故、错误、网络部件的篡改等原因造成的 损失最小。(3) 安全控制和对象的独立性 安全控制的设计、实现和操作应隔离。(4) 分割和分区化 对网络中受保护的内容分割成几个部分，并分别加以保 护。(5) 参数化安全控制设计应参数化，以便授权时加以调节。(6) 隐蔽 对工作人员和受控对象(用户)隐蔽控制手段及其操作详 情。(7) 经济性 对网络中须保密的设备，采

27、用经济有效的控制设计达到要 求。所占资源应少于系统资源的 10%。(8) 安全形象 全网络在用户和公众面前应具有完整的安全形象。3. 基本要求(1) 应具有对全网网络拓扑、网络配置及网络参数的统一 管理，监督与控制功能。(2) 对网络实体的环境安全、电磁干扰和辐射的保护应有 安全措施。(3) 网络系统应有技术安全手段，确保数据传输、交换、 存储处理及通信控制的安全。(4) 网络应具有计算机病毒的预防措施。(5) 对灾难性事件应有应急措施。(6) 网络应具有必要的冗余度和降级处理能力。(7) 网络安全设施的接口设备应方便用户并实现透明操 作。(8) 网络应具有承受允许的最严重错误的能力。(9)

28、在确保安全的前提下应充分发挥资源共享的效能。(10) 网络应采取多重安全控制手段。每个安全控制手段均 能产生充分的证据，以表明所完成操作的正确性。(11) 网络应登记用户进入网络的各种活动，以提供事后检 查。(12) 存取控制应是逐级授权的。网络在为授权用户提供合 法服务的同时，应具有拒绝非法访问的功能。(13) 应具有监视和控制网络负载状态的功能，以防止其崩 溃和瘫痪。五、详细要求1. 实体安全(物理安全)威胁实体安全的具体表现如下：a. 人为破坏；b. 各种自然灾害；c. 各类媒体失窃和散失；d. 设备故障；e. 环境和场地因素；f. 电磁发射及敏感度；g. 战争的破坏等。(1) 网络节点

29、场地环境安全要求网络节点中心应设专用机房，装备空调、在线式不间断供 电电源、报警、防水、防盗、防鼠和消防设备以及电磁防护、 接地及避雷装置。1）设计或改建网络节点机房时必须符合 GB2887和GB9361 的规定。2）网络节点机房建筑和结构还应注意下列问题：a. 宜为专用建筑；b. 在电梯或楼梯应设置不能直接进入机房的场所；c. 应与外部人员频繁出入的场所隔离；d. 周围应设有防止非法进入的设施；e. 建筑物周围应有足够照度的照明设施；f. 外部容易接近的窗口应采取防范措施。无人值守时应有 自动报警设备；g. 应只有一个出入口，并在合适的位置上开设应急出入 口，作为应急疏散通道。出入口处均应安

30、装出入控制装置；h. 内部设计应便于出入控制和分区控制。3）安全设备除符合GB9361规定外，还应满足下列要求：a. 机房进出口须设置应急电话；b. 各房间应有声光报警装置；c. 进出口应派警卫或设置识别与记录进出人员的设备及 防范措施；d. 机房内用于动力、照明的供电线路应与计算机系统的供 电线路分开；e. 机房内不同电压的供电系统应安装互不兼容的插座； f. 应配备温、湿度自动记录仪及温、湿度报警设备和碎纸机；g. 机房及疏散通道须配备应急照明装置（ 5 勒克斯）。（2）网络终端场地环境安全要求1）终端室的环境a. 应具备适当的通风和空调；b. 应清洁无尘；c. 应具备防静电措施；d. 应

31、设置温、湿度计、吸尘器以及碎纸机；e. 终端宜采取屏蔽措施，如屏蔽罩等；f. 处理密级数据的远程终端应放置在相应的安全环境中。2）终端室电源防护应根据需要选用离线式或在线式不间 断供电电源。3）防火、防烟、防水和防鼠害a. 应设置灭火器，并根据需要安装火灾探测器；b. 将当地消防队电话号码张贴在电话机附近；c. 定期检查火灾探测设备或灭火器以及水敏传感器，并保 存这类检查的书面报告。d. 指定并训练人员担任扑灭小火或闷燃火灾的消防员；e. 终端室严禁吸烟；f. 禁止使用延伸接线盒和多通电源插座；g. 机房窗帘使用阻燃材料制作；h. 应有应急供电的备用照明；i. 设备不得紧靠墙壁放置；j. 在设

32、备周围不要堆积大量纸张，以免堵住设备的通风 孔；25k. 设备上严禁放置无关物品；l. 终端室不要有水管、蒸汽管道通过天花板；m. 如果终端室屋顶有水塔或冷却器，必须采用防护装置；n. 每台设备应配置防水罩；o. 在易受鼠害的场所，电缆和电线上应涂驱鼠药剂；.应设置捕鼠和驱鼠装置。4）防盗a. 采用特殊门锁；b. 每个设备都应附有标签或标记；.应设警报器；d. 可采用锚式锁固定终端设备；e. 可在终端上加装锁式电源开关；f. 如果用户不愿在设备上打孔安装锁或开关，可在靠近终 端处安装独立的锁式电源开关。开关的导线应联至电源插座， 终端电源线联到开关。（3）网络通信系统安全要求1）网络通信系统安

33、全应符合 GJB663规定。2）网络通信系统传输线路的安全应注意下列问题：a. 传输线路应符合标准。用于数据传输的电话电路特性应符合GJB147.1和GJB147.2。定期检查各线段及接点，更换老化变质的电缆；b. 传输线路应采用屏蔽电缆并有露天保护或埋于地下，要 求远离强电线路或强电磁场发射源，以减少由于干扰引起的数 据错误；c. 铺设电缆应采用金属铠装、屏蔽电缆或加装金属套管， 以减少各种监控辐射对线路的干扰；d. 加装中和变压器、屏蔽变压器和绝缘变压器；e. 宜采用光纤电缆；f. 定期测试信号强度，检查是否有非法装置接入线路；g. 定期检查接线盒及其它易被人接近的线路部位；h. 调制解调

34、器应放置在受监视的区域，以防止外来连接的 企图。调制解调器的连接应定期检验， 以检验是否有篡改行为(4) 电磁兼容和防护1) 网络设备的电磁兼容，按 GJB151有关规定限值选用。2) 要防止电磁辐射被截收。a. 入网设备必须符合 GJB151规定；b. 重要场合应对机房进行屏蔽；c. 可采取区域控制的办法；d. 采取主动有源干扰等技术；e. 机房宜设在地下室或底层。3) 网络通信系统必须具有防止电磁干扰和泄漏的措施。(5) 记录媒体的保护(1) 载有关键性程序、主记录、设备分配图表、加密算法、 密钥等记录媒体应按其密级及其产生的难易程序分级管理和 保护。(2) 载有关键记录的磁盘、磁带等磁媒

35、体应加防磁场保护 措施，必要时需进行备份保护。2. 网络系统安全(1) 信息传输安全a. 密级信息到达终点之前，严禁呈现明文状态；b. 传输密级信息时必须进行网络加密，如链路加密、节点 加密和用户加密等；c. 为保证密级数据的安全传递，网络节点机宜有备份；d. 不传送信息时接口应阻断；e. 设置辩认正当通信伙伴的功能；f. 用拨号线能接触网络时，拨号码应予以保护。同时保密 信息不宜存放在节点机内。(2) 鉴别1) 为了防止非法修改节点机中的通行字表，应具备鉴别用 户通行字真实性的能力；2) 对用户密钥应鉴别；3) 在数据通信中，应有验证接收到的数据是否真实的能 力；4) 应能识别非法入网的终端

36、和用户。遇有多次不成功的联 机尝试时，应及时记录并分析结果，采取相应的处理。（3）输入输出控制1）明确网络系统各环节工作人员的职责a. 设计人员与操作人员必须分离；b. 重要事务处理项目，必须由法定人办理；c. 工作期间至少应有二人在场，以防止非法使用网络；d. 必须保存控制台打印记录。2）制订统一的数据格式并使用标准编码。3）操作控制a. 对特定的终端设备，应采用通行字、卡片、识别码、钥 匙等办法限定操作人员。b. 操作人员操作应符合有关操作规程和输入/输出数据处 理的规定；c. 应建立良好的人机操作环境，以减少失误；d. 处理密级数据的各终端应予隔离。4）数据在投入使用前，必须确保其准确可

37、靠。5）输出控制a. 各业务部门终端数据输出控制应有专人负责；b. 输出文件必须有明显的、可读的密级标志；c. 输出文件的发放应按规定生成所申请数量的拷贝。网上 传输文件，收方应给回执；d. 打印过保密数据的色带，应妥善保管或销毁。6）内存的残留信息应及时清除，以防止引起信息泄漏。297）设备无人值守运行时，应切实地对运行状态进行监视、控制及记录。如运行状态的监视、运行控制、记录运行状态。8）在互通的计算机系统之间，建立能检查判断对方是否正 常工作的功能。9）应具有检测不正当使用和非法存取的监视 （记录）功能。 如存取监视功能、 控制台记录功能、 系统使用状况记录功能等。10）对不设在专用机房

38、的计算机，应采取下列措施以预防 程序及数据不正当使用的更改。a. 下线的计算机不应保存重要的程序及数据文件；b. 上线时应对重要程序及数据文件进行必要的检测，以避 免不正当更改；c. 对上线计算机应设置监视功能，以对不正当输入及事件 进行检查。（4）联网处理联网时不得影响互联双方原有的安全性。（5）密码保护1）密码算法的设计、研制、投入使用必须报请密码主管部 门批准，并由指定的密码研制单位研制生产。2）网络应根据划分的密级处理相应的信息。密码算法的保 密强度必须与被保护信息的密级相适应，严禁在低密级环境中 处理、传输、存储高密级信息。3）网络的关键程序、密码算法、密钥等软件数据，必须受 到保密

39、保护或其它形式的有效保护。but there are still some 304) 用于链路加密、 节点加密、终端加密的算法要相互分割。5) 不同系统间的密码体制既要相互分割，又要能保证系统 间通信。6) 在紧急情况下，密钥受到意外破坏时的恢复等问题，要 有妥善可行的应急措施。3. 计算机病毒的预防(1) 不要用非发行包软盘引导系统。(2) 基于软盘的计算机，应使用确认无病毒的磁盘启动系 统，该盘应贴上作为系统引导盘的标签。(3) 基本硬盘的计算机应尽可能的避免由软盘引导。(4) 谨慎使用公共软件和共享软件。公用和共享软件切勿 放在根目录中。(5) 格式化时为所有硬、软盘建立卷标，且在每次执

40、行目 录命令时检查卷标，注意卷标的任何变化。(6) 监视系统运行方式的变化，记录并分析异常现象。(7) 系统之间应尽可能地减少可执行代码的交换。(8) 所有的引导软盘均应是写保护的。对某些高保安环境， 应使用硬盘写保护系统。(9) 当软盘片不经常使用时，应从驱动器中取出，并作为 文件归档。(10) 禁止在联网计算机上运行任何游戏盘。(11) 禁止使用非本单位软盘。 重要部门要使用专机、 专盘。(12) 非本机使用的软盘或新开发的软件，须经检测，确认 没有病毒方可在系统上使用。(13) 本机使用的软盘不得外借或使用者随意携带外出。(14) 系统中的数据要定期考贝。(15) 网络中所用记录媒体应经常进行病毒检测，当发现病 毒时，应立即采取隔离措施，防止病毒在网上扩散，并设法消 除之。(16) 宜采取信号抗病毒措施，防止病毒依附着无线电信号 进入接收机、处理机；(17) 购置、引进设备或将设备送外维修，要考