校園網(wǎng)絡(luò)安全研究與防范設(shè)計(jì)方案

第PAGEII頁(yè)校園網(wǎng)絡(luò)安全研究與防范設(shè)計(jì)方案目錄摘要 iTOC\o"1-3"\h\z第一章前言1.1網(wǎng)絡(luò)安全發(fā)展歷史與現(xiàn)狀分析 21.2校園網(wǎng)存在的安全問(wèn)題 41.3校園網(wǎng)安全建設(shè)的原則 5第二章網(wǎng)絡(luò)安全概述2.1網(wǎng)絡(luò)安全的含義 62.2網(wǎng)絡(luò)安全的屬性 62.3網(wǎng)絡(luò)安全機(jī)制 62.4網(wǎng)絡(luò)安全策略 72.5網(wǎng)絡(luò)安全發(fā)展趨勢(shì) 8第三章網(wǎng)絡(luò)安全問(wèn)題解決對(duì)策3.1計(jì)算機(jī)安全級(jí)別的劃分 103.2防火墻技術(shù) 123.3入侵檢測(cè)技術(shù) 153.4數(shù)據(jù)加密技術(shù) 193.5反病毒技術(shù) 20第四章網(wǎng)絡(luò)安全防范4.1TELNET入侵防范 224.2防止ADMINISTRATOR賬號(hào)被破解 224.3防止賬號(hào)被暴力破解 224.4“木馬”防范措施 224.5網(wǎng)頁(yè)惡意代碼及防范 234.6嗅探器（SNIFFER）的防范 254.7數(shù)據(jù)密文防范措施 264.8其它網(wǎng)絡(luò)攻擊與防范措施 27第五章校園網(wǎng)絡(luò)安全體系5.1校園網(wǎng)絡(luò)安全規(guī)范 295.2安全方案建議 295.3校園網(wǎng)絡(luò)安全技術(shù)的應(yīng)用 305.4校園安全隱患 335.5校園網(wǎng)主動(dòng)防御體系 345.6其他網(wǎng)絡(luò)安全解決方案 38結(jié)束語(yǔ) 40附錄 43第45頁(yè)摘要本論文從計(jì)算機(jī)網(wǎng)絡(luò)面臨的各種安全威脅，系統(tǒng)地介紹網(wǎng)絡(luò)安全技術(shù)。并針對(duì)校園網(wǎng)絡(luò)的安全問(wèn)題進(jìn)行研究，首先分析了高校網(wǎng)絡(luò)系統(tǒng)安全的隱患，然后從構(gòu)建安全防御體系和加強(qiáng)安全管理兩方面設(shè)計(jì)了校園網(wǎng)絡(luò)的安全策略。本次論文研究中，我首先了解了網(wǎng)絡(luò)安全問(wèn)題的主要威脅因素，并利用網(wǎng)絡(luò)安全知識(shí)對(duì)安全問(wèn)題進(jìn)行剖析。其次，通過(guò)對(duì)網(wǎng)絡(luò)技術(shù)的研究，得出校園網(wǎng)也會(huì)面臨著安全上的威脅。最后，確立了用P2DR模型的思想來(lái)建立校園網(wǎng)的安全防御體系。并得出了構(gòu)建一套有效的網(wǎng)絡(luò)安全防御體系是解決校園網(wǎng)主要威脅和隱患的必要途徑和措施。第一章前言1.1網(wǎng)絡(luò)安全發(fā)展歷史與現(xiàn)狀分析1.1.1因特網(wǎng)的發(fā)展及其安全問(wèn)題隨著計(jì)算機(jī)技術(shù)的發(fā)展，在計(jì)算機(jī)上處理業(yè)務(wù)已由基于單機(jī)的數(shù)學(xué)運(yùn)算、文件處理，基于簡(jiǎn)單連結(jié)的內(nèi)部網(wǎng)絡(luò)的內(nèi)部業(yè)務(wù)處理、辦公自動(dòng)化等發(fā)展到基于企業(yè)復(fù)雜的內(nèi)部網(wǎng)、企業(yè)外部網(wǎng)、全球互聯(lián)網(wǎng)的企業(yè)級(jí)計(jì)算機(jī)處理系統(tǒng)和世界范圍內(nèi)的信息共享和業(yè)務(wù)處理。在信息處理能力提高的同時(shí)，系統(tǒng)的連結(jié)能力也在不斷的提高。但在連結(jié)信息能力、流通能力提高的同時(shí)，基于網(wǎng)絡(luò)連接的安全問(wèn)題也日益突出。主要表現(xiàn)在以下方面：（一）網(wǎng)絡(luò)的開(kāi)放性帶來(lái)的安全問(wèn)題Internet的開(kāi)放性以及其他方面因素導(dǎo)致了網(wǎng)絡(luò)環(huán)境下的計(jì)算機(jī)系統(tǒng)存在很多安全問(wèn)題。為了解決這些安全問(wèn)題，各種安全機(jī)制、策略、管理和技術(shù)被研究和應(yīng)用。然而，即使在使用了現(xiàn)有的安全工具和技術(shù)的情況下，網(wǎng)絡(luò)的安全仍然存在很大隱患，這些安全隱患主要可以包括為以下幾點(diǎn):(1)安全機(jī)制在特定環(huán)境下并非萬(wàn)無(wú)一失。比如防火墻，它雖然是一種有效的安全工具，可以隱蔽內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)，限制外部網(wǎng)絡(luò)到內(nèi)部網(wǎng)絡(luò)的訪問(wèn)。但是對(duì)于內(nèi)部網(wǎng)絡(luò)之間的訪問(wèn)，防火墻往往是無(wú)能為力的。因此，對(duì)于內(nèi)部網(wǎng)絡(luò)到內(nèi)部網(wǎng)絡(luò)之間的入侵行為和內(nèi)外勾結(jié)的入侵行為，防火墻是很難發(fā)覺(jué)和防范的。(2)安全工具的使用受到人為因素的影響。一個(gè)安全工具能不能實(shí)現(xiàn)期望的效果，在很大程度上取決于使用者，包括系統(tǒng)管理者和普通用戶，不正當(dāng)?shù)脑O(shè)置就會(huì)產(chǎn)生不安全因素。例如，WindowsNT在進(jìn)行合理的設(shè)置后可以達(dá)到C2級(jí)的安全性，但很少有人能夠?qū)indowsNT本身的安全策略進(jìn)行合理的設(shè)置。雖然在這方面，可以通過(guò)靜態(tài)掃描工具來(lái)檢測(cè)系統(tǒng)是否進(jìn)行了合理的設(shè)置，但是這些掃描工具基本上也只是基于一種缺省的系統(tǒng)安全策略進(jìn)行比較，針對(duì)具體的應(yīng)用環(huán)境和專門的應(yīng)用需求就很難判斷設(shè)置的正確性。(3)系統(tǒng)的后門是難于考慮到的地方。防火墻很難考慮到這類安全問(wèn)題，多數(shù)情況下，這類入侵行為可以堂而皇之經(jīng)過(guò)防火墻而很難被察覺(jué)；比如說(shuō)，眾所周知的ASP源碼問(wèn)題，這個(gè)問(wèn)題在IIS服務(wù)器4.0以前一直存在，它是IIS服務(wù)的設(shè)計(jì)者留下的一個(gè)后門，任何人都可以使用瀏覽器從網(wǎng)絡(luò)上方便地調(diào)出ASP程序的源碼，從而可以收集系統(tǒng)信息，進(jìn)而對(duì)系統(tǒng)進(jìn)行攻擊。對(duì)于這類入侵行為，防火墻是無(wú)法發(fā)覺(jué)的，因?yàn)閷?duì)于防火墻來(lái)說(shuō)，該入侵行為的訪問(wèn)過(guò)程和正常的WEB訪問(wèn)是相似的，唯一區(qū)別是入侵訪問(wèn)在請(qǐng)求鏈接中多加了一個(gè)后綴。(4)BUG難以防范。甚至連安全工具本身也可能存在安全的漏洞。幾乎每天都有新的BUG被發(fā)現(xiàn)和公布出來(lái)，程序設(shè)計(jì)者在修改已知的BUG的同時(shí)又可能使它產(chǎn)生了新的BUG。系統(tǒng)的BUG經(jīng)常被黑客利用，而且這種攻擊通常不會(huì)產(chǎn)生日志，幾乎無(wú)據(jù)可查。比如說(shuō)現(xiàn)在很多程序都存在內(nèi)存溢出的BUG，現(xiàn)有的安全工具對(duì)于利用這些BUG的攻擊幾乎無(wú)法防范。(5)黑客的攻擊手段在不斷地升級(jí)。安全工具的更新速度慢，且絕大多數(shù)情況需要人為的參與才能發(fā)現(xiàn)以前未知的安全問(wèn)題，這就使得它們對(duì)新出現(xiàn)的安全問(wèn)題總是反應(yīng)遲鈍。當(dāng)安全工具剛發(fā)現(xiàn)并努力更正某方面的安全問(wèn)題時(shí)，其他的安全問(wèn)題又出現(xiàn)了。因此，黑客總是可以使用先進(jìn)的、安全工具不知道的手段進(jìn)行攻擊。（二）網(wǎng)絡(luò)安全的防護(hù)力脆弱，導(dǎo)致的網(wǎng)絡(luò)危機(jī)(1)根據(jù)WarroonResearch的調(diào)查，1997年世界排名前一千的公司幾乎都曾被黑客闖入。(2)據(jù)美國(guó)FBI統(tǒng)計(jì)，美國(guó)每年因網(wǎng)絡(luò)安全造成的損失高達(dá)75億美元。(3)Ernst和Young報(bào)告，由于信息安全被竊或?yàn)E用，幾乎80%的大型企業(yè)遭受損失。(4)2014年11月24日，索尼影視娛樂(lè)遭遇黑客攻擊，大量?jī)?nèi)部資料及海報(bào)或尚未上映的電影遭遇泄露，與此同時(shí)，成千上萬(wàn)該公司的員工的家庭信息、薪水包括家庭住址、社保編號(hào)；史泰龍等曾參與索尼電影電視劇的演員也未能幸免，從好萊塢影星到群眾演員等數(shù)千人的資料也大量失竊。這些數(shù)據(jù)初步估計(jì)大約有100萬(wàn)億字節(jié)。損失金額高達(dá)1.7億美元以上?。ㄈ┚W(wǎng)絡(luò)安全的主要威脅因素(1)軟件漏洞：每一個(gè)操作系統(tǒng)或網(wǎng)絡(luò)軟件的出現(xiàn)都不可能是無(wú)缺陷和漏洞的。這就使我們的計(jì)算機(jī)處于危險(xiǎn)的境地，一旦連接入網(wǎng)，將成為眾矢之的。(2)配置不當(dāng)：安全配置不當(dāng)造成安全漏洞，例如，防火墻軟件的配置不正確，那么它根本不起作用。對(duì)特定的網(wǎng)絡(luò)應(yīng)用程序，當(dāng)它啟動(dòng)時(shí)，就打開(kāi)了一系列的安全缺口，許多與該軟件捆綁在一起的應(yīng)用軟件也會(huì)被啟用。除非用戶禁止該程序或?qū)ζ溥M(jìn)行正確配置，否則，安全隱患始終存在。(3)安全意識(shí)不強(qiáng)：用戶口令選擇不慎，或?qū)⒆约旱膸ぬ?hào)隨意轉(zhuǎn)借他人或與別人共享等都會(huì)對(duì)網(wǎng)絡(luò)安全帶來(lái)威脅。(4)病毒：目前數(shù)據(jù)安全的頭號(hào)大敵是計(jì)算機(jī)病毒，它是編制者在計(jì)算機(jī)程序中插入的破壞計(jì)算機(jī)功能或數(shù)據(jù)，影響計(jì)算機(jī)軟件、硬件的正常運(yùn)行并且能夠自我復(fù)制的一組計(jì)算機(jī)指令或程序代碼。計(jì)算機(jī)病毒具有傳染性、寄生性、隱蔽性、觸發(fā)性、破壞性等特點(diǎn)。因此，提高對(duì)病毒的防范刻不容緩。(5)黑客：對(duì)于計(jì)算機(jī)數(shù)據(jù)安全構(gòu)成威脅的另一個(gè)方面是來(lái)自電腦黑客(backer)。電腦黑客利用系統(tǒng)中的安全漏洞非法進(jìn)入他人計(jì)算機(jī)系統(tǒng)，其危害性非常大。從某種意義上講，黑客對(duì)信息安全的危害甚至比一般的電腦病毒更為嚴(yán)重。1.1.2我國(guó)網(wǎng)絡(luò)安全現(xiàn)狀及發(fā)展趨勢(shì)因特網(wǎng)在我國(guó)的迅速普及，我國(guó)境內(nèi)信息系統(tǒng)的攻擊事件也正在呈現(xiàn)快速增長(zhǎng)的勢(shì)頭。據(jù)了解，從1997年底到現(xiàn)在，我國(guó)的政府部門、證券公司、銀行、ISP,ICP等機(jī)構(gòu)的計(jì)算機(jī)網(wǎng)絡(luò)相繼遭到多次攻擊。因此，加強(qiáng)網(wǎng)絡(luò)信息安全保障已成為當(dāng)前的迫切任務(wù)。目前我國(guó)網(wǎng)絡(luò)安全的現(xiàn)狀和面臨的威脅主要有：(1)計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)使用的軟、硬件很大一部分是國(guó)外產(chǎn)品，我們對(duì)引進(jìn)的信息技術(shù)和設(shè)備缺乏保護(hù)信息安全所必不可少的有效管理和技術(shù)改造。(2)全社會(huì)的信息安全意識(shí)雖然有所提高，但將其提到實(shí)際日程中來(lái)的依然很少。(3)目前關(guān)于網(wǎng)絡(luò)犯罪的法律、法規(guī)還不健全。(4)我國(guó)信息安全人才培養(yǎng)還不能滿足其需要。1.2校園網(wǎng)存在的安全問(wèn)題與其它網(wǎng)絡(luò)一樣，校園網(wǎng)也會(huì)受到相應(yīng)的威脅，大體可分為對(duì)網(wǎng)絡(luò)中數(shù)據(jù)信息的危害和對(duì)網(wǎng)絡(luò)設(shè)備的危害。具體來(lái)說(shuō)包括：(1)非授權(quán)訪問(wèn)；即對(duì)網(wǎng)絡(luò)設(shè)備及信息資源進(jìn)行非正常使用或越權(quán)使用等。(2)冒充合法用戶；即利用各種假冒或欺騙的手段非法獲得合法用戶的使用權(quán)限，以達(dá)到占用合法用戶資源的目的。(3)破壞數(shù)據(jù)的完整性；即使用非法手段，刪除、修改、重發(fā)某些重要信息，以干擾用戶的正常使用。(4)干擾系統(tǒng)正常運(yùn)行；指改變系統(tǒng)的正常運(yùn)行方法，減慢系統(tǒng)的響應(yīng)時(shí)間等手段。(5)病毒與惡意的攻擊；即通過(guò)網(wǎng)絡(luò)傳播病毒或進(jìn)行惡意攻擊。除此之外，校園網(wǎng)還面對(duì)形形色色、良莠不分的網(wǎng)絡(luò)資源，如不進(jìn)行識(shí)別和過(guò)濾，那么會(huì)造成大量非法內(nèi)容或郵件出入，占用大量流量資源，造成流量堵塞、上網(wǎng)速度慢等問(wèn)題。許多校園網(wǎng)是從局域網(wǎng)發(fā)展來(lái)的，由于意識(shí)與資金方面的原因，它們?cè)诎踩矫嫱鶝](méi)有太多的設(shè)置，這就給病毒和黑客提供了生存的空間。因此，校園網(wǎng)的網(wǎng)絡(luò)安全需求是全方位的。1.3校園網(wǎng)安全建設(shè)的原則計(jì)算機(jī)網(wǎng)絡(luò)所具有的開(kāi)發(fā)性、互連性和共享性等特征使網(wǎng)上信息安全存在先天的不足，加上系統(tǒng)軟件本身的安全漏洞以及所欠缺的嚴(yán)格管理，致使網(wǎng)絡(luò)易受黑客，惡意軟件的攻擊，因此對(duì)網(wǎng)絡(luò)的安全所采取的措施，應(yīng)能全方位地針對(duì)各種威脅，保障網(wǎng)絡(luò)信息的保密性、完整性和可用性。本文針對(duì)目前網(wǎng)絡(luò)安全存在的威脅，利用計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)知識(shí)對(duì)網(wǎng)絡(luò)安全問(wèn)題進(jìn)行系統(tǒng)地研究，并在此基礎(chǔ)上總結(jié)校園網(wǎng)存在的安全問(wèn)題，通過(guò)安全系統(tǒng)需求，進(jìn)行深入研究，找出存在的威脅，結(jié)合網(wǎng)絡(luò)安全技術(shù)和網(wǎng)絡(luò)攻防技術(shù)提出解決方案及措施第二章網(wǎng)絡(luò)安全概述2.1網(wǎng)絡(luò)安全的含義網(wǎng)絡(luò)安全從其本質(zhì)來(lái)講就是網(wǎng)絡(luò)上信息安全，它涉及的領(lǐng)域相當(dāng)廣泛，這是因?yàn)槟壳暗墓猛ㄐ啪W(wǎng)絡(luò)中存在著各式各樣的安全漏洞和威脅。廣義上講，凡是涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性和可控性的相關(guān)技術(shù)和理論，都是網(wǎng)絡(luò)安全的研究領(lǐng)域。網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件，軟件及數(shù)據(jù)受到保護(hù)，不遭受偶然或惡意的破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。且在不同環(huán)境和應(yīng)用中又不同的解釋。（1）運(yùn)行系統(tǒng)安全：即保證信息處理和傳輸系統(tǒng)的安全，包括計(jì)算機(jī)系統(tǒng)機(jī)房環(huán)境和傳輸環(huán)境的法律保護(hù)、計(jì)算機(jī)結(jié)構(gòu)設(shè)計(jì)的安全性考慮、硬件系統(tǒng)的安全運(yùn)行、計(jì)算機(jī)操作系統(tǒng)和應(yīng)用軟件的安全、數(shù)據(jù)庫(kù)系統(tǒng)的安全、電磁信息泄露的防御等。（2）網(wǎng)絡(luò)上系統(tǒng)信息的安全：包括用戶口令鑒別、用戶存取權(quán)限控制、數(shù)據(jù)存取權(quán)限、方式控制、安全審計(jì)、安全問(wèn)題跟蹤、計(jì)算機(jī)病毒防治、數(shù)據(jù)加密等。（3）網(wǎng)絡(luò)上信息傳輸?shù)陌踩杭葱畔鞑ズ蠊陌踩?、包括信息過(guò)濾、不良信息過(guò)濾等。（4）網(wǎng)絡(luò)上信息內(nèi)容的安全：即我們討論的狹義的“信息安全”；側(cè)重于保護(hù)信息的機(jī)密性、真實(shí)性和完整性。本質(zhì)上是保護(hù)用戶的利益和隱私。2.2網(wǎng)絡(luò)安全的屬性網(wǎng)絡(luò)安全具有三個(gè)基本的屬性：機(jī)密性、完整性、可用性。（1）機(jī)密性：是指保證信息與信息系統(tǒng)不被非授權(quán)者所獲取與使用，主要范措施是密碼技術(shù)。（2）完整性：是指保證信息與信息系統(tǒng)可被授權(quán)人正常使用，主要防范措施是確保信息與信息系統(tǒng)處于一個(gè)可靠的運(yùn)行狀態(tài)之下。以上可以看出：在網(wǎng)絡(luò)中，維護(hù)信息載體和信息自身的安全都包括了機(jī)密性、完整性、可用性這些重要的屬性2.3網(wǎng)絡(luò)安全機(jī)制網(wǎng)絡(luò)安全機(jī)制是保護(hù)網(wǎng)絡(luò)信息安全所采用的措施，所有的安全機(jī)制都是針對(duì)某些潛在的安全威脅而設(shè)計(jì)的，可以根據(jù)實(shí)際情況單獨(dú)或組合使用。如何在有限的投入下合理地使用安全機(jī)制，以便盡可能地降低安全風(fēng)險(xiǎn)，是值得討論的，網(wǎng)絡(luò)信息安全機(jī)制應(yīng)包括:技術(shù)機(jī)制和管理機(jī)制兩方面的內(nèi)容。2.3.1網(wǎng)絡(luò)安全技術(shù)機(jī)制網(wǎng)絡(luò)安全技術(shù)機(jī)制包含以下內(nèi)容：（1）加密和隱藏。加密使信息改變，攻擊者無(wú)法了解信息的內(nèi)容從而達(dá)到保護(hù)；隱藏則是將有用信息隱藏在其他信息中，使攻擊者無(wú)法發(fā)現(xiàn)。（2）認(rèn)證和授權(quán)。網(wǎng)絡(luò)設(shè)備之間應(yīng)互認(rèn)證對(duì)方的身份，以保證正確的操作權(quán)力賦予和數(shù)據(jù)的存取控制；同時(shí)網(wǎng)絡(luò)也必須認(rèn)證用戶的身份，以授權(quán)保證合法的用戶實(shí)施正確的操作。（3）審計(jì)和定位。通過(guò)對(duì)一些重要的事件進(jìn)行記錄，從而在系統(tǒng)中發(fā)現(xiàn)錯(cuò)誤或受到攻擊時(shí)能定位錯(cuò)誤并找到防范失效的原因，作為內(nèi)部犯罪和事故后調(diào)查取證的基礎(chǔ)。（4）完整性保證。利用密碼技術(shù)的完整性保護(hù)可以很好地對(duì)付非法篡改，當(dāng)信息源的完整性可以被驗(yàn)證卻無(wú)法模仿時(shí)，可提供不可抵賴服務(wù)。（5）權(quán)限和存取控制：針對(duì)網(wǎng)絡(luò)系統(tǒng)需要定義的各種不同用戶，根據(jù)正確的認(rèn)證，賦予其適當(dāng)?shù)牟僮鳈?quán)力，限制其越級(jí)操作。（6）任務(wù)填充：在任務(wù)間歇期發(fā)送無(wú)用的具有良好模擬性能的隨機(jī)數(shù)據(jù)，以增加攻擊者通過(guò)分析通信流量和破譯密碼獲得信息難度。2.3.2網(wǎng)絡(luò)安全管理機(jī)制網(wǎng)絡(luò)信息安全不僅僅是技術(shù)問(wèn)題，更是一個(gè)管理問(wèn)題，要解決網(wǎng)絡(luò)信息安全問(wèn)題，必須制定正確的目標(biāo)策略，設(shè)計(jì)可行的技術(shù)方案，確定合理的資金技術(shù)，采取相應(yīng)的管理措施和依據(jù)相關(guān)法律制度。2.4網(wǎng)絡(luò)安全策略策略通常是一般性的規(guī)范，只提出相應(yīng)的重點(diǎn)，而不確切地說(shuō)明如何達(dá)到所要的結(jié)果，因此策略屬于安全技術(shù)規(guī)范的最高一級(jí)。2.4.1安全策略的分類安全策略分為基于身份的安全策略和基于規(guī)則的安全策略兩種?；谏矸莸陌踩呗允沁^(guò)濾對(duì)數(shù)據(jù)或資源的訪問(wèn)，有兩種執(zhí)行方法：若訪問(wèn)權(quán)限為訪問(wèn)者所有，典型的作法為特權(quán)標(biāo)記或特殊授權(quán)，即僅為用戶及相應(yīng)活動(dòng)進(jìn)程進(jìn)行授權(quán)；若為訪問(wèn)數(shù)據(jù)所有則可以采用訪問(wèn)控制表（ACL）。這兩種情況中，數(shù)據(jù)項(xiàng)的大小有很大的變化，數(shù)據(jù)權(quán)力命名也可以帶自己的ACL。基于規(guī)則的安全策略是指建立在特定的，個(gè)體化屬性之上的授權(quán)準(zhǔn)則，授權(quán)通常依賴于敏感性。在一個(gè)安全系統(tǒng)中，數(shù)據(jù)或資源應(yīng)該標(biāo)注安全標(biāo)記，而且用戶活動(dòng)應(yīng)該得到相應(yīng)的安全標(biāo)記。2.4.2安全策略的配置開(kāi)放式網(wǎng)絡(luò)環(huán)境下用戶的合法權(quán)益通常受到兩種方式的侵害：主動(dòng)攻擊和被動(dòng)攻擊，主動(dòng)攻擊包括對(duì)用戶信息的竊取，對(duì)信息流量的分析。根據(jù)用戶對(duì)安全的需求才可以采用以下的保護(hù)：（1）身份認(rèn)證；檢驗(yàn)用戶的身份是否合法、防止身份冒充、及對(duì)用戶實(shí)施訪問(wèn)控制數(shù)據(jù)完整性鑒別、防止數(shù)據(jù)被偽造、修改和刪除。（2）信息保密；防止用戶數(shù)據(jù)被泄、竊取、保護(hù)用戶的隱私。（3）數(shù)字簽名；防止用戶否認(rèn)對(duì)數(shù)據(jù)所做的處理。（4）訪問(wèn)控制；對(duì)用戶的訪問(wèn)權(quán)限進(jìn)行控制。（5）不可否認(rèn)性；也稱不可抵賴性，即防止對(duì)數(shù)據(jù)操作的否認(rèn)。2.4.3安全策略的實(shí)現(xiàn)流程安全策略的實(shí)現(xiàn)涉及到以下及個(gè)主要方面，如圖所示。圖2-1安全策略實(shí)現(xiàn)流程（1）證書管理。主要是指公開(kāi)密銀證書的產(chǎn)生、分配更新和驗(yàn)證。（2）密銀管理。包括密銀的產(chǎn)生、協(xié)商、交換和更新，目的是為了在通信的終端系統(tǒng)之間建立實(shí)現(xiàn)安全策略所需的共享密銀。（3）安全協(xié)作。是在不同的終端系統(tǒng)之間協(xié)商建立共同采用的安全策略，包括安全策略實(shí)施所在層次、具體采用的認(rèn)證、加密算法和步驟、如何處理差錯(cuò)。（4）安全算法實(shí)現(xiàn)：具體算法的實(shí)現(xiàn)，如PES、RSA.（5）安全策略數(shù)據(jù)庫(kù)：保存與具體建立的安全策略有關(guān)的狀態(tài)、變量、指針。2.5網(wǎng)絡(luò)安全發(fā)展趨勢(shì)總的看來(lái)，對(duì)等網(wǎng)絡(luò)將成為主流，與網(wǎng)格共存。網(wǎng)絡(luò)進(jìn)化的未來(lái)—綠色網(wǎng)絡(luò)—呼喚著新的信息安全保障體系。國(guó)際互聯(lián)網(wǎng)允許自主接入，從而構(gòu)成一個(gè)規(guī)模龐大的，復(fù)雜的巨系統(tǒng)，在如此復(fù)雜的環(huán)境下，孤立的技術(shù)發(fā)揮的作用有限，必須從整體的和體系的角度，綜合運(yùn)用系統(tǒng)論，控制論和信息論等理論，融合各種技術(shù)手段，加強(qiáng)自主創(chuàng)新和頂層設(shè)計(jì)，協(xié)同解決網(wǎng)絡(luò)安全問(wèn)題。保證網(wǎng)絡(luò)安全還需嚴(yán)格的手段，未來(lái)網(wǎng)絡(luò)安全領(lǐng)域可能發(fā)生三件事，其一是向更高級(jí)別的認(rèn)證轉(zhuǎn)移；其二，目前存儲(chǔ)在用戶計(jì)算機(jī)上的復(fù)雜數(shù)據(jù)將“向上移動(dòng)”，由與銀行相似的機(jī)構(gòu)確保它們的安全；第三，是在全世界的國(guó)家和地區(qū)建立與駕照相似的制度，它們?cè)谟?jì)算機(jī)銷售時(shí)限制計(jì)算機(jī)的運(yùn)算能力，或要求用戶演示在自己的計(jì)算機(jī)受到攻擊時(shí)抵御攻擊的能力。第三章網(wǎng)絡(luò)安全問(wèn)題解決對(duì)策3.1計(jì)算機(jī)安全級(jí)別的劃分3.1.1TCSEC簡(jiǎn)介1999年9月13日國(guó)家質(zhì)量技術(shù)監(jiān)督局公布了我國(guó)第一部關(guān)于計(jì)算機(jī)信息系統(tǒng)安全等級(jí)劃分的標(biāo)準(zhǔn)“計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則”（GB17859-1999）。而國(guó)外同標(biāo)準(zhǔn)的是美國(guó)國(guó)防部在1985年12月公布的可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)標(biāo)準(zhǔn)TCSEC(又稱桔皮書)。在TCSEC劃分了7個(gè)安全等級(jí)：D級(jí)、C1級(jí)、C2級(jí)、B1級(jí)、B2級(jí)、B3級(jí)和A1級(jí)。其中D級(jí)是沒(méi)有安全機(jī)制的級(jí)別，A1級(jí)是難以達(dá)到的安全級(jí)別，如表3-1所示：表3-1網(wǎng)絡(luò)安全等級(jí)及安全級(jí)別的性能要求安全級(jí)別名稱說(shuō)明D1酌情安全保護(hù)對(duì)硬件和操作系統(tǒng)幾乎無(wú)保護(hù)，對(duì)信息的訪問(wèn)無(wú)控制C1自選安全保護(hù)由用戶注冊(cè)名和口令的組合來(lái)確定用戶對(duì)信息的訪問(wèn)權(quán)限B1被標(biāo)簽的安全性保護(hù)為強(qiáng)制性訪問(wèn)控制，不允許文件的擁有者改變其許可權(quán)限B2結(jié)構(gòu)化保護(hù)要求對(duì)計(jì)算機(jī)中所有信息加以標(biāo)簽，并且對(duì)設(shè)備分配單個(gè)或多個(gè)安全級(jí)別B3安全域保護(hù)使用安全硬件的方法來(lái)加強(qiáng)域的管理終端與系統(tǒng)的連接途徑可信任A核實(shí)保護(hù)系統(tǒng)不同來(lái)源必須有安全措施必須在銷售過(guò)程中實(shí)施下面對(duì)下各個(gè)安全級(jí)別進(jìn)行介紹：(1)D類安全等級(jí)：D類安全等級(jí)只包括D1一個(gè)級(jí)別。D1的安全等級(jí)最低。D1系統(tǒng)只為文件和用戶提供安全保護(hù)。D1系統(tǒng)最普通的形式是本地操作系統(tǒng)，或者是一個(gè)完全沒(méi)有保護(hù)的網(wǎng)絡(luò)。(2)C類安全等級(jí)：該類安全等級(jí)能夠提供審慎的保護(hù)，并為用戶的行動(dòng)和責(zé)任提供審計(jì)能力。C類安全等級(jí)可劃分為C1和C2兩類。C1系統(tǒng)的可信任運(yùn)算基礎(chǔ)體制（TrustedComputingBase，TCB）通過(guò)將用戶和數(shù)據(jù)分開(kāi)來(lái)達(dá)到安全的目的。在C1系統(tǒng)中，所有的用戶以同樣的靈敏度來(lái)處理數(shù)據(jù)，即用戶認(rèn)為C1系統(tǒng)中的所有文檔都具有相同的機(jī)密性。C2系統(tǒng)比C1系統(tǒng)加強(qiáng)了可調(diào)的審慎控制。在連接事件和資源隔離來(lái)增強(qiáng)這種控制。C2系統(tǒng)具有C1系統(tǒng)中所有的安全性特征。(3)B類安全等級(jí)：B類安全等級(jí)可分為B1、B2和B3三類。B類系統(tǒng)具有強(qiáng)制性保護(hù)功能。強(qiáng)制性保護(hù)意味著如果用戶沒(méi)有與安全等級(jí)相連，系統(tǒng)就不會(huì)讓用戶存取對(duì)象。B1系統(tǒng)滿足下列要求：系統(tǒng)對(duì)網(wǎng)絡(luò)控制下的每個(gè)對(duì)象都進(jìn)行靈敏度標(biāo)記；系統(tǒng)使用靈敏度標(biāo)記作為所有強(qiáng)迫訪問(wèn)控制的基礎(chǔ)；系統(tǒng)在把導(dǎo)入的、非標(biāo)記的對(duì)象放入系統(tǒng)前標(biāo)記它們；靈敏度標(biāo)記必須準(zhǔn)確地表示其所聯(lián)系的對(duì)象的安全級(jí)別；當(dāng)系統(tǒng)管理員創(chuàng)建系統(tǒng)或者增加新的通信通道或I/O設(shè)備時(shí)，管理員必須指定每個(gè)通信通道和I/O設(shè)備是單級(jí)還是多級(jí)，并且管理員只能手工改變指定；單級(jí)設(shè)備并不保持傳輸信息的靈敏度級(jí)別；所有直接面向用戶位置的輸出（無(wú)論是虛擬的還是物理的）都必須產(chǎn)生標(biāo)記來(lái)指示關(guān)于輸出對(duì)象的靈敏度；系統(tǒng)必須使用用戶的口令或證明來(lái)決定用戶的安全訪問(wèn)級(jí)別；系統(tǒng)必須通過(guò)審計(jì)來(lái)記錄未授權(quán)訪問(wèn)的企圖。B2系統(tǒng)必須滿足B1系統(tǒng)的所有要求。另外，B2系統(tǒng)的管理員必須使用一個(gè)明確的、文檔化的安全策略模式作為系統(tǒng)的可信任運(yùn)算基礎(chǔ)體制。B2系統(tǒng)必須滿足下列要求：系統(tǒng)必須立即通知系統(tǒng)中的每一個(gè)用戶所有與之相關(guān)的網(wǎng)絡(luò)連接的改變；只有用戶能夠在可信任通信路徑中進(jìn)行初始化通信；可信任運(yùn)算基礎(chǔ)體制能夠支持獨(dú)立的操作者和管理員。B3系統(tǒng)必須符合B2系統(tǒng)的所有安全需求。B3系統(tǒng)具有很強(qiáng)的監(jiān)視委托管理訪問(wèn)能力和抗干擾能力。B3系統(tǒng)必須設(shè)有安全管理員。B3系統(tǒng)應(yīng)滿足以下要求:(a)B3必須產(chǎn)生一個(gè)可讀的安全列表，每個(gè)被命名的對(duì)象提供對(duì)該對(duì)象沒(méi)有訪問(wèn)權(quán)的用戶列表說(shuō)明；(b)B3系統(tǒng)在進(jìn)行任何操作前，要求用戶進(jìn)行身份驗(yàn)證；(c)B3系統(tǒng)驗(yàn)證每個(gè)用戶，同時(shí)還會(huì)發(fā)送一個(gè)取消訪問(wèn)的審計(jì)跟蹤消息；設(shè)計(jì)必須正確區(qū)分可信任的通信路徑和其他路徑；可信任的通信基礎(chǔ)體制為每一個(gè)被命名的對(duì)象建立安全審計(jì)跟蹤；可信任的運(yùn)算基礎(chǔ)體制支持獨(dú)立的安全管理。(4)A類安全等級(jí)：A系統(tǒng)的安全級(jí)別最高。目前，A類安全等級(jí)只包含A1一個(gè)安全類別。A1類與B3類相似，對(duì)系統(tǒng)的結(jié)構(gòu)和策略不作特別要求。A1系統(tǒng)的顯著特征是，系統(tǒng)的設(shè)計(jì)者必須按照一個(gè)正式的設(shè)計(jì)規(guī)范來(lái)分析系統(tǒng)。對(duì)系統(tǒng)分析后，設(shè)計(jì)者必須運(yùn)用核對(duì)技術(shù)來(lái)確保系統(tǒng)符合設(shè)計(jì)規(guī)范。A1系統(tǒng)必須滿足下列要求：系統(tǒng)管理員必須從開(kāi)發(fā)者那里接收到一個(gè)安全策略的正式模型;所有的安裝操作都必須由系統(tǒng)管理員進(jìn)行；系統(tǒng)管理員進(jìn)行的每一步安裝操作都必須有正式文檔。3.1.2GB17859劃分的特點(diǎn)GB17859把計(jì)算機(jī)信息安全保護(hù)能力劃分為5個(gè)等級(jí)，它們是：系統(tǒng)自我保護(hù)級(jí)、系統(tǒng)審計(jì)保護(hù)級(jí)、安全標(biāo)記保護(hù)級(jí)、結(jié)構(gòu)化保護(hù)級(jí)和訪問(wèn)驗(yàn)證保護(hù)級(jí)。這5個(gè)級(jí)別的安全強(qiáng)度從低到高排列讓高一級(jí)包括低一級(jí)的安全能力，GB17859的劃分標(biāo)準(zhǔn)安全能力一級(jí)二級(jí)三級(jí)四級(jí)五級(jí)自主訪問(wèn)控制√∈≡≡≡強(qiáng)制訪問(wèn)控制√∈≡標(biāo)記√∈≡身份鑒別√∈∈≡≡客體重用√≡≡≡審計(jì)√∈∈∈數(shù)據(jù)完整√≡∈≡≡隱蔽信道分析√≡可信路徑√≡可信恢復(fù)√注:“√”:新增功能；“∈”：比上一級(jí)功能又所擴(kuò)展；“≡”：與上一級(jí)功能相同。3.1.3安全等級(jí)標(biāo)準(zhǔn)模型計(jì)算機(jī)信息系統(tǒng)的安全模型主要又訪問(wèn)監(jiān)控器模型、軍用安全模仿和信息流模型等三類模型，它們是定義計(jì)算機(jī)信息系統(tǒng)安全等級(jí)劃分標(biāo)準(zhǔn)的依據(jù)。（1）訪問(wèn)監(jiān)控模型：是按TCB要求設(shè)計(jì)的，受保護(hù)的客體要么允許訪問(wèn)，要么不允許訪問(wèn)。（2）常用安全模型：是一種多級(jí)安全模型，即它所控制的信息分為絕密、機(jī)密、秘密和無(wú)密4種敏感級(jí)。（3）信息流模型：是計(jì)算機(jī)中系統(tǒng)中系統(tǒng)中信息流動(dòng)路徑，它反映了用戶在計(jì)算機(jī)系統(tǒng)中的訪問(wèn)意圖。信息流分直接的和間接的兩種。3.2防火墻技術(shù)隨著網(wǎng)絡(luò)安全問(wèn)題日益嚴(yán)重，網(wǎng)絡(luò)安全技術(shù)和產(chǎn)品也被人們逐漸重視起來(lái)，防火墻作為最早出現(xiàn)的網(wǎng)絡(luò)安全技術(shù)和使用量最大的網(wǎng)絡(luò)安全產(chǎn)品，受到用戶和研發(fā)機(jī)構(gòu)的親睞。3.2.1防火墻的基本概念與作用防火墻是指設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的一系列部件的組合，它執(zhí)行預(yù)先制定的訪問(wèn)控制策略，決定了網(wǎng)絡(luò)外部與網(wǎng)絡(luò)內(nèi)部的訪問(wèn)方式。在網(wǎng)絡(luò)中，防火墻實(shí)際是一種隔離技術(shù)，它所執(zhí)行的隔離措施有：（1）拒絕未經(jīng)授權(quán)的用戶訪問(wèn)內(nèi)部網(wǎng)和存取敏感數(shù)據(jù)。（2）允許合法用戶不受妨礙地訪問(wèn)網(wǎng)絡(luò)資源。而它的核心思想是在不安全的因特網(wǎng)環(huán)境中構(gòu)造一個(gè)相對(duì)安全的子網(wǎng)環(huán)境，其目的是保護(hù)一個(gè)網(wǎng)絡(luò)不受另一個(gè)網(wǎng)絡(luò)的攻擊，所以防火墻又有以下作用：（1）作為網(wǎng)絡(luò)安全的屏障。一個(gè)防火墻作為阻塞節(jié)點(diǎn)和控制節(jié)點(diǎn)能極大地提高一個(gè)內(nèi)部網(wǎng)絡(luò)的安全性，并通過(guò)過(guò)濾不安全的服務(wù)而降低風(fēng)險(xiǎn)，只有經(jīng)過(guò)精心選擇的應(yīng)用協(xié)議才能通過(guò)防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。（2）可以強(qiáng)化網(wǎng)絡(luò)安全策略。通過(guò)以防火墻為中心的安全方案配置，能將所有的安全軟件配置在防火墻上，體現(xiàn)集中安全管理更經(jīng)濟(jì)。（3）對(duì)網(wǎng)絡(luò)存取和訪問(wèn)進(jìn)行監(jiān)控審計(jì)。如果所有的訪問(wèn)都經(jīng)過(guò)防火墻，那么，防火墻就能記錄下這些訪問(wèn)并做出日志記錄，同時(shí)也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計(jì)數(shù)據(jù)，當(dāng)發(fā)生可疑動(dòng)作時(shí)，防火墻能進(jìn)行適當(dāng)?shù)膱?bào)警，并提供網(wǎng)絡(luò)是否受到監(jiān)測(cè)和攻擊的詳細(xì)信息。（4）防止內(nèi)部信息的外泄。通過(guò)利用防火墻對(duì)內(nèi)部網(wǎng)絡(luò)的劃分，可實(shí)現(xiàn)內(nèi)部網(wǎng)重點(diǎn)網(wǎng)段的隔離，從而限制了局部重點(diǎn)或敏感網(wǎng)絡(luò)安全問(wèn)題對(duì)全局網(wǎng)絡(luò)造成的影響。（5）支持具有因特網(wǎng)服務(wù)性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系VPN。3.2.2防火墻的工作原理從防火墻的作用可以看出，防火墻必須具備兩個(gè)要求：保障內(nèi)部網(wǎng)安全和保障內(nèi)部網(wǎng)和外部網(wǎng)的聯(lián)通。因此在邏輯上防火墻是一個(gè)分離器、限制器、分析器。有效地監(jiān)控了內(nèi)部網(wǎng)和外部網(wǎng)的任何活動(dòng)，保證了內(nèi)部網(wǎng)絡(luò)的安全，其一般邏輯位置如圖3-1所示。圖3-1防火墻的邏輯示意圖防火墻根據(jù)功能實(shí)現(xiàn)在TCP/IP網(wǎng)絡(luò)模型中的層次，其實(shí)現(xiàn)原理可以分為三類：在網(wǎng)絡(luò)層實(shí)現(xiàn)防火墻功能為分組過(guò)濾技術(shù)；在應(yīng)用層實(shí)現(xiàn)防火墻功能為代理服務(wù)技術(shù)；在網(wǎng)絡(luò)層，IP層，應(yīng)用層三層實(shí)現(xiàn)防火墻為狀態(tài)檢測(cè)技術(shù)。分組過(guò)濾技術(shù)實(shí)際上是基于路由器技術(shù)，它通常由分組過(guò)濾路由器對(duì)IP分組進(jìn)行分組選擇，允許或拒絕特定的IP數(shù)據(jù)包，工作于IP層。如表3-3所示。表3-3分組過(guò)濾技術(shù)工作特點(diǎn)5、應(yīng)用層4、TCP層3、IP層2、數(shù)據(jù)鏈路層1、物理層過(guò)濾一般基于一個(gè)IP分組的以下各域：第一、源/目的IP地址；第二、TCP/UDP源/目的端口。前者的過(guò)濾，即根據(jù)制定的安全規(guī)則，過(guò)濾掉具有特定IP地址的數(shù)據(jù)分組，從而保護(hù)內(nèi)部網(wǎng)絡(luò)；后者則是為分組過(guò)濾提供了更大的靈活性。代理服務(wù)技術(shù)以一個(gè)高層的應(yīng)用網(wǎng)關(guān)作為代理服務(wù)器，接受外來(lái)的應(yīng)用連接請(qǐng)求，在代理服務(wù)器上進(jìn)行安全檢查后，再與被保護(hù)的應(yīng)用服務(wù)器連接，使外部用戶可以在受控制的前提下使用內(nèi)部網(wǎng)絡(luò)的服務(wù)，如圖3-2所示。圖3-2代理服務(wù)器原理示意代理服務(wù)技術(shù)工作在應(yīng)用層,代理服務(wù)技術(shù)工作特點(diǎn)。5、應(yīng)用層4、TCP層3、IP層2、數(shù)據(jù)鏈路層1、物理層由于代理服務(wù)作用于應(yīng)用層，它能解釋應(yīng)用層上的協(xié)議，能夠作復(fù)雜和更細(xì)粒度的訪問(wèn)控制；同時(shí)，由于所有進(jìn)出服務(wù)器的客戶請(qǐng)求必須通過(guò)代理網(wǎng)關(guān)的檢查，可以作出精細(xì)的注冊(cè)和審計(jì)記錄，并且可以與認(rèn)證、授權(quán)等安全手段方便地集成，為客戶和服務(wù)提供更高層次的安全保護(hù)。（3）狀態(tài)檢測(cè)技術(shù)此技術(shù)工作在IP/TCP/應(yīng)用層，它結(jié)合了分組過(guò)濾和代理服務(wù)技術(shù)的特點(diǎn)，它同分組過(guò)濾一樣，在應(yīng)用層上檢查數(shù)據(jù)包的內(nèi)容，分析高層的協(xié)議數(shù)據(jù)，查看內(nèi)容是否符合網(wǎng)絡(luò)安全策略。狀態(tài)檢測(cè)技術(shù)工作情況5、應(yīng)用層4、TCP層3、IP層2、數(shù)據(jù)鏈路層1、物理層3.3入侵檢測(cè)技術(shù)僅僅依賴防火墻并不能保證足夠的安全，為了解決非法入侵所造成的各種安全問(wèn)題，安全廠商提出了建立入侵檢測(cè)系統(tǒng)的解決方法。入侵檢測(cè)技術(shù)是防火墻技術(shù)的有效補(bǔ)充，通過(guò)對(duì)計(jì)算機(jī)或計(jì)算機(jī)系統(tǒng)中的若干關(guān)鍵點(diǎn)收集信息并對(duì)其進(jìn)行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)中或系統(tǒng)中潛在的違反安全策略的行為和被攻擊的跡象。3.3.1入侵檢測(cè)系統(tǒng)入侵檢測(cè)系統(tǒng)功能構(gòu)成，包括事件提取、入侵分析、入侵響應(yīng)和遠(yuǎn)程管理四部分如圖3-3所示。圖3-3入侵檢測(cè)系統(tǒng)組成入侵檢測(cè)所利用的信息一般來(lái)自以下四個(gè)方面：系統(tǒng)和網(wǎng)絡(luò)日志文件、目錄和文件中的不期望的改變、程序執(zhí)行中的不期望行為、物理形式的入侵信息。常用的分析方法有模式匹配、統(tǒng)計(jì)分析、完整性分析。模式匹配是將收集到的信息與已知的網(wǎng)絡(luò)入侵和系統(tǒng)誤用模式數(shù)據(jù)庫(kù)進(jìn)行比較，從而發(fā)現(xiàn)違背安全策略的行為。統(tǒng)計(jì)分析方法首先給系統(tǒng)對(duì)象(如用戶、文件、目錄和設(shè)備等)創(chuàng)建一個(gè)統(tǒng)計(jì)描述，統(tǒng)計(jì)正常使用時(shí)的一些測(cè)量屬性。測(cè)量屬性的平均值將被用來(lái)與網(wǎng)絡(luò)、系統(tǒng)的行為進(jìn)行比較。當(dāng)觀察值超出正常值范圍時(shí)，就有可能發(fā)生入侵行為。3.3.2入侵檢測(cè)分類入侵檢測(cè)通過(guò)對(duì)入侵和攻擊行為的檢測(cè)，查出系統(tǒng)的入侵者或合法用戶對(duì)系統(tǒng)資源的濫用和誤用。根據(jù)不同的檢測(cè)方法，將入侵檢測(cè)分為異常入侵檢測(cè)和誤用人侵檢測(cè)。異常檢測(cè)又稱為基于行為的檢測(cè)。其基本前提是：假定所有的入侵行為都是異常的。首先建立系統(tǒng)或用戶的“正常”行為特征輪廓，通過(guò)比較當(dāng)前的系統(tǒng)或用戶的行為是否偏離正常的行為特征輪廓來(lái)判斷是否發(fā)生了入侵。此方法不依賴于是否表現(xiàn)出具體行為來(lái)進(jìn)行檢測(cè)，是一種間接的方法。常用的具體方法有：統(tǒng)計(jì)異常檢測(cè)方法、基于特征選擇異常檢測(cè)方法、基于貝葉斯推理異常檢測(cè)方法、基于貝葉斯網(wǎng)絡(luò)異常檢測(cè)方法、基于模式預(yù)測(cè)異常檢測(cè)方法、基于神經(jīng)網(wǎng)絡(luò)異常檢測(cè)方法、基于機(jī)器學(xué)習(xí)異常檢測(cè)方法、基于數(shù)據(jù)采掘異常檢測(cè)方法等。采用異常檢測(cè)的關(guān)鍵問(wèn)題有如下兩個(gè)方面：(1)特征量的選擇在建立系統(tǒng)或用戶的行為特征輪廓的正常模型時(shí)，選取的特征量既要能準(zhǔn)確地體現(xiàn)系統(tǒng)或用戶的行為特征，又能使模型最優(yōu)化，即以最少的特征量就能涵蓋系統(tǒng)或用戶的行為特征。(2)參考閾值的選定由于異常檢測(cè)是以正常的特征輪廓作為比較的參考基準(zhǔn)，因此，參考閾值的選定是非常關(guān)鍵的。閾值設(shè)定得過(guò)大，那漏警率會(huì)很高；閾值設(shè)定的過(guò)小，則虛警率就會(huì)提高。合適的參考閾值的選定是決定這一檢測(cè)方法準(zhǔn)確率的至關(guān)重要的因素。由此可見(jiàn)，異常檢測(cè)技術(shù)難點(diǎn)是“正?！毙袨樘卣鬏喞拇_定、特征量的選取、特征輪廓的更新。由于這幾個(gè)因素的制約，異常檢測(cè)的虛警率很高，但對(duì)于未知的入侵行為的檢測(cè)非常有效。此外，由于需要實(shí)時(shí)地建立和更新系統(tǒng)或用戶的特征輪廓，這樣所需的計(jì)算量很大，對(duì)系統(tǒng)的處理性能要求很高。（二）誤用檢測(cè)又稱為基于知識(shí)的檢測(cè)。其基本前提是：假定所有可能的入侵行為都能被識(shí)別和表示。首先，對(duì)已知的攻擊方法進(jìn)行攻擊簽名(攻擊簽名是指用一種特定的方式來(lái)表示已知的攻擊模式)表示，然后根據(jù)已經(jīng)定義好的攻擊簽名，通過(guò)判斷這些攻擊簽名是否出現(xiàn)來(lái)判斷入侵行為的發(fā)生與否。這種方法是依據(jù)是否出現(xiàn)攻擊簽名來(lái)判斷入侵行為，是一種直接的方法。常用的具體方法有：基于條件概率誤用入侵檢測(cè)方法、基于專家系統(tǒng)誤用入侵檢測(cè)方法、基于狀態(tài)遷移分析、誤用入侵檢測(cè)方法、基于鍵盤監(jiān)控誤用入侵檢測(cè)方法、基于模型誤用入侵檢測(cè)方法。誤用檢測(cè)的關(guān)鍵問(wèn)題是攻擊簽名的正確表示。誤用檢測(cè)是根據(jù)攻擊簽名來(lái)判斷入侵的，根據(jù)對(duì)已知的攻擊方法的了解，用特定的模式語(yǔ)言來(lái)表示這種攻擊，使得攻擊簽名能夠準(zhǔn)確地表示入侵行為及其所有可能的變種，同時(shí)又不會(huì)把非入侵行為包含進(jìn)來(lái)。由于多數(shù)入侵行為是利用系統(tǒng)的漏洞和應(yīng)用程序的缺陷，因此，通過(guò)分析攻擊過(guò)程的特征、條件、排列以及事件間的關(guān)系，就可具體描述入侵行為的跡象。這些跡象不僅對(duì)分析已經(jīng)發(fā)生的入侵行為有幫助，而且對(duì)即將發(fā)生的入侵也有預(yù)警作用。誤用檢測(cè)將收集到的信息與已知的攻擊簽名模式庫(kù)進(jìn)行比較，從中發(fā)現(xiàn)違背安全策略的行為。由于只需要收集相關(guān)的數(shù)據(jù)，這樣系統(tǒng)的負(fù)擔(dān)明顯減少。該方法類似于病毒檢測(cè)系統(tǒng)，其檢測(cè)的準(zhǔn)確率和效率都比較高。3.3.3入侵檢測(cè)系統(tǒng)入侵檢測(cè)就是通過(guò)對(duì)系統(tǒng)數(shù)據(jù)的分析、發(fā)現(xiàn)非授權(quán)的網(wǎng)絡(luò)訪問(wèn)和攻擊行為，然后采取報(bào)警、切斷入侵線路等對(duì)抗措施。為此目的而設(shè)計(jì)的系統(tǒng)稱為入侵檢測(cè)系統(tǒng)。一個(gè)簡(jiǎn)單的入侵檢測(cè)系統(tǒng)。入侵檢測(cè)系統(tǒng)的基本任務(wù)：通過(guò)實(shí)時(shí)檢測(cè)網(wǎng)絡(luò)系統(tǒng)狀態(tài)，判斷入侵行為發(fā)生，并產(chǎn)生報(bào)警。從功能實(shí)現(xiàn)的角度可以把這個(gè)系統(tǒng)劃分為三大模塊：信息收集模塊、信息處理與通訊模塊、入侵判斷與反應(yīng)模塊。其中信息收集模塊與特定的環(huán)境，監(jiān)視的對(duì)象有比較密切的關(guān)系:信息處理與通訊模塊，是對(duì)所收集到的數(shù)據(jù)進(jìn)行預(yù)處理和分類，然后把處理的結(jié)果按照一定的格式傳輸給檢測(cè)判斷模塊。最后由檢測(cè)判斷模塊根據(jù)一定的安全策略判斷入侵行為的發(fā)生并采取相應(yīng)的反擊。隨著網(wǎng)絡(luò)系統(tǒng)結(jié)構(gòu)的復(fù)雜化和大型化，系統(tǒng)的弱點(diǎn)或漏洞將趨向于分布式。另外，入侵行為不再是單一的行為，而是表現(xiàn)出相互協(xié)作入侵的特點(diǎn)。入侵檢測(cè)系統(tǒng)要求可適應(yīng)性、可訓(xùn)練性、高效性、容錯(cuò)性、可擴(kuò)展性等要求。不同的IDS之間也需要共享信息，協(xié)同檢測(cè)。3.3.4代理(Agent)技術(shù)代理(Ageni)是指能在特定的環(huán)境下無(wú)須人工干預(yù)和監(jiān)督完成某項(xiàng)工作的實(shí)體。它具有自適應(yīng)性、智能性和協(xié)作性。代理既能獨(dú)立地完成自己的工作，又能與其它代理協(xié)作共同完成某項(xiàng)任務(wù)，且代理能夠接受控制并能感知環(huán)境的變化而影響環(huán)境。代理分布于系統(tǒng)中的關(guān)鍵點(diǎn)及關(guān)鍵服務(wù)器，包括防火墻、對(duì)外提供各項(xiàng)服務(wù)的服務(wù)器、內(nèi)部網(wǎng)關(guān)和服務(wù)器，完成絕大多數(shù)的入侵檢測(cè)和響應(yīng)任務(wù)。代理可以針對(duì)特定的應(yīng)用環(huán)境進(jìn)行配置和編程，使得代理占用負(fù)載最小。同時(shí)，代理可以與其它代理和中心服務(wù)器進(jìn)行有限的交互，交換數(shù)據(jù)和控制信息。由于代理是獨(dú)立的功能實(shí)體，在一個(gè)多代理系統(tǒng)中，單個(gè)的功能代理能夠增加到系統(tǒng)中去或從系統(tǒng)中刪除，并且能夠?qū)δ硞€(gè)代理進(jìn)行重配置，而不會(huì)影響到系統(tǒng)的其它部分。可以看到，在一個(gè)由多代理組成的入侵檢測(cè)系統(tǒng)中，單個(gè)代理的失效只會(huì)影響到該代理和與之協(xié)作的部分代理，系統(tǒng)的其它部分仍能正常工作。如果能將入侵檢測(cè)系統(tǒng)的功能合理地分配給各個(gè)代理，就能大大減少系統(tǒng)失效的風(fēng)險(xiǎn)。多代理系統(tǒng)所具有的這些優(yōu)點(diǎn)使之能較好地解決常規(guī)入侵檢測(cè)系統(tǒng)的缺陷。3.3.5入侵檢測(cè)與防火墻實(shí)現(xiàn)聯(lián)動(dòng)防火墻與入侵檢測(cè)這兩種技術(shù)具有較強(qiáng)的互補(bǔ)性。目前，實(shí)現(xiàn)入侵檢測(cè)和防火墻之間的聯(lián)動(dòng)有兩種方式可以實(shí)現(xiàn)，一種是實(shí)現(xiàn)緊密結(jié)合，即把入侵檢測(cè)系統(tǒng)嵌入到防火墻中，即入侵檢測(cè)系統(tǒng)的數(shù)據(jù)來(lái)源不再來(lái)源于抓包，而是流經(jīng)防火墻的數(shù)據(jù)流。所有通過(guò)的包不僅要接受防火墻檢測(cè)規(guī)則的驗(yàn)證，還需要經(jīng)過(guò)入侵檢測(cè)，判斷是否具有攻擊性，以達(dá)到真正的實(shí)時(shí)阻斷，這實(shí)際上是把兩個(gè)產(chǎn)品合成一體。但是，由于入侵檢測(cè)系統(tǒng)本身也是一個(gè)很龐大的系統(tǒng)，所以無(wú)論從實(shí)施難度、合成后的性能等方面都會(huì)因此受到很大影響。所以，目前還沒(méi)有廠商做到這一步，仍處于理論研究階段。但是不容否認(rèn)，各個(gè)安全產(chǎn)品的緊密結(jié)合是一種趨勢(shì)。第二種方式是通過(guò)開(kāi)放接口來(lái)實(shí)現(xiàn)聯(lián)動(dòng)，即防火墻或者入侵檢測(cè)系統(tǒng)開(kāi)放一個(gè)接口供對(duì)方調(diào)用，按照一定的協(xié)議進(jìn)行通訊、警報(bào)和傳輸。目前開(kāi)放協(xié)議的常見(jiàn)形式有:安全廠家提供IDS的開(kāi)放接口，供各個(gè)防火墻廠商使用，以實(shí)現(xiàn)互動(dòng)。這種方式比較靈活，不影響防火墻和入侵檢測(cè)系統(tǒng)的性能。3.4數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù)是網(wǎng)絡(luò)中最基本的安全技術(shù)，主要是通過(guò)對(duì)網(wǎng)絡(luò)中傳輸?shù)男畔⑦M(jìn)行數(shù)據(jù)加密來(lái)保障其安全性，這是一種主動(dòng)安全防御策略，用很小的代價(jià)即可為信息提供相當(dāng)大的安全保護(hù)。3.4.1數(shù)據(jù)加密原理數(shù)據(jù)加密是通過(guò)某種函數(shù)進(jìn)行變換，把正常數(shù)據(jù)包文（稱為明文或明碼）轉(zhuǎn)換為密文（密碼）。解密是指把密文還原成明文的過(guò)程。密碼體制是指一個(gè)系統(tǒng)所采用基本工作方式以及它的兩個(gè)基本構(gòu)成要素，即加密/解密算法和密鑰。密鑰是一個(gè)數(shù)值，它和加密算法一起生成特別的密文。傳統(tǒng)密碼體制所用的加密密鑰和解密密鑰相同，稱為對(duì)稱密碼體制。如果加密密鑰和解密密鑰不相同，則稱為非對(duì)稱密碼體制，密鑰可以看作是密碼算法中的可變參數(shù)。從數(shù)學(xué)的角度來(lái)看，改變了密鑰，實(shí)際上也就改變了明文與密文之間等價(jià)的數(shù)學(xué)函數(shù)關(guān)系。密碼算法是相對(duì)穩(wěn)定的，在這種意義上，可以把密碼算法視為常量，而密鑰則是一個(gè)變量。在設(shè)計(jì)加密系統(tǒng)中，加密算法是可以公開(kāi)的，真正需要保密的是密鑰，密鑰本質(zhì)是非常大的數(shù)，密鑰大小用位表示。在公開(kāi)密鑰加密方法中，密鑰越大密文就越安全。利用密碼技術(shù)，在信源和通信信道之間對(duì)報(bào)文進(jìn)行加密，經(jīng)過(guò)信道傳輸，到信宿接收時(shí)進(jìn)行解密，以實(shí)現(xiàn)網(wǎng)絡(luò)通信保密。通常加密算法為：C=Ek(M)。其中，K為密鑰，M為明文，C為密文；E為加密算法，密文C是明文M使用密鑰K經(jīng)過(guò)加密算法計(jì)算后的結(jié)果。加密算法可以公開(kāi)，而密鑰只能由通信雙方來(lái)掌握。3.4.2對(duì)稱密鑰體系在對(duì)稱型密鑰體系中，加密和解密采用同一密鑰，故將這種體系稱為秘密密鑰密碼體制或私鑰密碼體制。在對(duì)稱密碼體系中，最為著名的是DES分組算法，DES將二進(jìn)制序列明文分為每64位一組，使用64位的密鑰，對(duì)64位二進(jìn)制數(shù)進(jìn)行分組加密，每輪產(chǎn)生一個(gè)48位的“每輪”密鑰值，并參與下一輪的加密過(guò)程，經(jīng)過(guò)16輪的迭代、乘積變換、壓縮等處理后產(chǎn)生64位密文數(shù)據(jù)。另一個(gè)成功的分組加密算法，它的核心是一個(gè)乘法/加法非線性構(gòu)件，通過(guò)8輪迭代，能使明碼數(shù)據(jù)更好地?cái)U(kuò)散和混淆[16]。3.4.3非對(duì)稱密鑰體系非對(duì)稱加密技術(shù)將加密和解密分開(kāi)并采用一對(duì)不同的密鑰進(jìn)行。RSA算法的原理是數(shù)論的歐拉原理：尋求兩個(gè)大的素?cái)?shù)容易，將它們的乘積分解開(kāi)及其困難，具體做法是：選擇兩個(gè)100位的十進(jìn)制大素?cái)?shù)p和q，計(jì)算出它們的積N=pq,將N公開(kāi)；再計(jì)算出N的歐拉函數(shù)，Φ（N）=(p-1)*(q-1),定義Φ（N）為小于等于N且與N互素的數(shù)個(gè)數(shù)；然后，用戶從[0,Φ（N）-1]中任選一個(gè)與Φ（N）互素的數(shù)e，同時(shí)根據(jù)下式計(jì)算出另一個(gè)數(shù)d:ed=1modΦ（N）這樣就產(chǎn)生了一對(duì)密鑰：pk=（e,N）,sk=(d,N).若用整數(shù)X表示明文，Y表示密文，則有，加密：Y=XemodN；解密：X=YemodN。3.4.4數(shù)據(jù)信封技術(shù)數(shù)字信封中采用了單鑰密碼體制和公鑰密碼體制。信息發(fā)送者首先利用隨機(jī)產(chǎn)生的對(duì)稱密碼加密信息，再利用接收方的公鑰加密對(duì)稱密碼，被公鑰加密后的對(duì)稱密碼稱之為數(shù)字信封。信息接收方要解密信息時(shí)，必須先用自己的私鑰解密數(shù)字信封，得到對(duì)稱密碼，再利用對(duì)稱密碼解密所得到的信息，這樣就保證了數(shù)據(jù)傳輸?shù)恼鎸?shí)性和完整性。3.5反病毒技術(shù)3.5.1計(jì)算機(jī)病毒的介紹計(jì)算機(jī)病毒就是能夠通過(guò)某種途徑潛伏在計(jì)算機(jī)存儲(chǔ)介質(zhì)里，當(dāng)達(dá)到某種條件時(shí)，即被激活的具有對(duì)計(jì)算機(jī)資源進(jìn)行破壞作用的一組程序或指令集合。隨著計(jì)算機(jī)技術(shù)的發(fā)展尤其是網(wǎng)絡(luò)技術(shù)的普及，計(jì)算機(jī)病毒進(jìn)入了一個(gè)新的階段網(wǎng)絡(luò)蠕蟲病毒暴發(fā)階段，2001至今，網(wǎng)絡(luò)蠕蟲已經(jīng)成為網(wǎng)絡(luò)病毒的主流。3.5.2計(jì)算機(jī)病毒的組成與分類經(jīng)對(duì)目前出現(xiàn)的計(jì)算機(jī)病毒的分析發(fā)現(xiàn)，所有計(jì)算機(jī)病毒都是由三部分組成的，即病毒引導(dǎo)模塊、病毒傳染模塊和病毒表現(xiàn)模塊。（1）引導(dǎo)模塊：負(fù)責(zé)將病毒引導(dǎo)到內(nèi)存，并向系統(tǒng)中請(qǐng)求一定的存儲(chǔ)空間，對(duì)相應(yīng)的存儲(chǔ)空間實(shí)施保護(hù)，以防止其他程序覆蓋，并且修改系統(tǒng)的一些功能入口，在這些入口處引導(dǎo)病毒傳染模塊和病毒實(shí)現(xiàn)模塊。（2）傳染模塊：它是整個(gè)病毒程序的核心，傳染模塊又分為兩部分：判斷部分、傳染部分。（3）表現(xiàn)模塊：包括病毒觸發(fā)條件判斷和具體表現(xiàn)。而從技術(shù)來(lái)分可以分為：網(wǎng)絡(luò)病毒、郵件病毒、文件型病毒、宏病毒、引導(dǎo)型病毒、變體病毒、混合型病毒、其它類型病毒（java,pdf,圖文病毒）[19]。3.5.3病毒的檢測(cè)和清除想要知道自己的計(jì)算機(jī)中是否染有病毒，可以根據(jù)以下幾種情況來(lái)做簡(jiǎn)單判斷。（1）計(jì)算機(jī)執(zhí)行速度越來(lái)越慢。（2）系統(tǒng)出現(xiàn)莫名其妙的死機(jī)或者重啟。（3）網(wǎng)絡(luò)速度變慢或者出現(xiàn)一些陌生的網(wǎng)絡(luò)連接。（4）文件夾無(wú)緣無(wú)故多了一些文件。（5）突然出現(xiàn)藍(lán)屏或無(wú)端黑屏等。除此以外，還可以用幾種專業(yè)手段來(lái)檢查：(1)比較法用原始備份與被檢測(cè)的引導(dǎo)扇區(qū)或被監(jiān)測(cè)的文件進(jìn)行比較，比較時(shí)可以靠打印的代碼清除。(2)搜索法利用每一種計(jì)算機(jī)病毒體含有的特定字符串對(duì)被檢測(cè)的對(duì)象進(jìn)行掃描。如果在被檢測(cè)對(duì)象內(nèi)部發(fā)現(xiàn)了某一種特定字符串，就表明發(fā)現(xiàn)了該字符串所代表的計(jì)算機(jī)病毒。(3)分析法計(jì)算機(jī)病毒檢測(cè)分析法是防殺計(jì)算機(jī)病毒工作中不可缺少的重要技術(shù)，需要專門人員對(duì)各種病毒詳盡地分析。(4)人工智能陷阱技術(shù)和宏病毒陷阱技術(shù)人工智能陷阱是一種監(jiān)測(cè)計(jì)算機(jī)行為的常駐或掃描技術(shù)。它將所有的計(jì)算機(jī)病毒所產(chǎn)生的行為歸納起來(lái)，一旦發(fā)現(xiàn)內(nèi)存中的程序有任何不當(dāng)?shù)男袨椋到y(tǒng)就會(huì)有所警覺(jué)，并告知使用者；宏病毒陷阱技術(shù)是結(jié)合了搜索法和人工智能陷阱技術(shù)，依行為模式來(lái)偵測(cè)已知及未知的宏病毒。(5)軟件仿真掃描法軟件仿真技術(shù)是成功地仿真CPU執(zhí)行，在DOS虛擬機(jī)下偽執(zhí)行計(jì)算機(jī)病毒程序，安全并確定地將其解密使其顯露本來(lái)的面目，再加以掃描。第四章網(wǎng)絡(luò)安全防范4.1telnet入侵防范Telnet協(xié)議是TCP/IP協(xié)議族中的一員，是Internet遠(yuǎn)程登錄服務(wù)的標(biāo)準(zhǔn)協(xié)議和主要方式。它為用戶提供了在本地計(jì)算機(jī)上完成遠(yuǎn)程主機(jī)工作的能力。在終端使用者的電腦上使用telnet程序，用它連接到服務(wù)器。終端使用者可以在telnet程序中輸入命令，這些命令會(huì)在服務(wù)器上運(yùn)行，就像直接在服務(wù)器的控制臺(tái)上輸入一樣?？梢栽诒镜鼐湍芸刂品?wù)器。要開(kāi)始一個(gè)telnet會(huì)話，必須輸入用戶名和密碼來(lái)登錄服務(wù)器。Telnet是常用的遠(yuǎn)程控制Web服務(wù)器的方法。telnet可能是黑客常用的攻擊方式，我們可以通過(guò)修改telnet服務(wù)端口，停用telnet服務(wù)，甚至把telnet控制臺(tái)管理工具刪除。具體方法如下：通過(guò)修改telnet端口來(lái)防止黑客輕易入侵在命令提示符窗口中輸入Tlntadmnconfigport=168命令，回車后即可將telnet端口修改成168。如果將telnet的最大連接數(shù)設(shè)為0，這樣就可以讓一般的黑客豪無(wú)辦法，設(shè)置方法同上。如果根本不需要telnet，完全可以把它刪掉，因?yàn)樵摲?wù)實(shí)在是太危險(xiǎn)了，直接把系統(tǒng)安裝目錄中的system32中的Tlntadmn.exe刪除掉，這樣黑客想用telnet入侵就會(huì)非常困難了。4.2防止Administrator賬號(hào)被破解Windows2000/xp/2003系統(tǒng)的Administrator賬號(hào)是不能被停用的，也不能設(shè)置安全策略，這樣黑客就可以一遍又一遍地嘗試這個(gè)賬號(hào)的密碼，直到被破解，為了防止這種侵入，我們可以把Administrator賬號(hào)更名：在“組策略”窗口中，依次展開(kāi)“本地計(jì)算機(jī)策略”/“計(jì)算機(jī)配置”/“windows設(shè)置”/“安全設(shè)置”/“本地策略”/“安全選項(xiàng)”功能分支。重命名系統(tǒng)管理員帳戶“屬性”對(duì)話框，在此輸入新的管理員名稱，盡量把它為普通用戶，然后另建一個(gè)超過(guò)10位的超級(jí)復(fù)雜密碼，并對(duì)該賬號(hào)啟用審核，這樣即使黑客費(fèi)力破解到密碼也殺一無(wú)所獲。另外為了防止黑客通過(guò)Guest賬號(hào)登錄計(jì)算機(jī)，可以在“組策略”中刪除Guest賬號(hào)。4.3防止賬號(hào)被暴力破解黑客攻擊入侵，大部分利用漏洞，通過(guò)提升權(quán)限成為管理員，這一切都跟用戶賬號(hào)緊密相連。防范方法：通過(guò)修改注冊(cè)表來(lái)禁用空用戶連接。在注冊(cè)表編輯器中找到如下子鍵HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA,在其窗口新建一個(gè)名為RestrictAnonymous的DWORD值將其設(shè)為1。4.4“木馬”防范措施4.4.1“木馬”的概述特洛伊木馬是一種隱藏了具有攻擊性的應(yīng)用程序。與病毒不同，它不具備復(fù)制能力，其功能具有破壞性。大部分“木馬”采用C/S運(yùn)行模式，當(dāng)服務(wù)端在目標(biāo)計(jì)算機(jī)上被運(yùn)行后，打開(kāi)一個(gè)特定的端口進(jìn)行監(jiān)聽(tīng)，當(dāng)客戶端向服務(wù)器發(fā)出連接請(qǐng)求時(shí)，服務(wù)器端的相應(yīng)程序會(huì)自動(dòng)運(yùn)行來(lái)應(yīng)答客戶機(jī)的請(qǐng)求。4.4.2“木馬”的防范措施（1）檢查系統(tǒng)配置應(yīng)用程序。在“木馬”程序會(huì)想盡一切辦法隱藏自己，主要途徑有：在任務(wù)欄和任務(wù)管理器中隱藏自己，即將程序設(shè)為“系統(tǒng)服務(wù)”來(lái)偽裝自己，“木馬”會(huì)在每次服務(wù)端啟動(dòng)時(shí)自動(dòng)裝載到系統(tǒng)中，如：?jiǎn)?dòng)組，win.ini,system.ini,注冊(cè)表等。比如在“開(kāi)始”-“運(yùn)行”輸入msconfig,執(zhí)行windows自帶“系統(tǒng)配置應(yīng)用程序”。在標(biāo)簽為win.ini文件中，在[windows]下面“run=”和“l(fā)oad=”是可能加載“木馬”程序的途徑，一般情況下，它們的等號(hào)后面什么都沒(méi)有。在system.ini文件中，在[BOOT]下面有個(gè)“shell:文件名”正確的文件名應(yīng)該是“explorer.exe”如果不是“explorer.exe”，而是“shell:explorer.exe程序名”，那么后面跟著的那個(gè)程序就是“木馬”了。查看注冊(cè)表。輸入regedit命令HKEY_LOCAL_MACHINE\software\Microsoft\windows\currentversion\run目錄下查看鍵值有設(shè)有自己不熟悉的自動(dòng)啟動(dòng)文件，擴(kuò)展名為：“.exe”。（3）查找“木馬”的特征文件，“木馬”的一個(gè)特征文件是kernl32.exe,另一個(gè)是sysexlpr.exe，只要?jiǎng)h除了這兩個(gè)文件，“木馬”就不起作用了，但是需要注意的是sysexlpr.exe是和文本文件關(guān)聯(lián)的，在刪除時(shí)，必須先把文本文件跟notepod關(guān)聯(lián)上，否則不能使用文本文件。4.5網(wǎng)頁(yè)惡意代碼及防范目前，網(wǎng)頁(yè)中的惡意代碼開(kāi)始威脅到網(wǎng)絡(luò)系統(tǒng)安全，一般分為以下幾種：（1）消耗系統(tǒng)資源。不斷地利用cpu的利用率，使計(jì)算機(jī)不能處理其他的進(jìn)程，導(dǎo)致系統(tǒng)和網(wǎng)絡(luò)資源癱瘓。這類病毒大都是利用JavaScrit產(chǎn)生的一個(gè)死循環(huán)，它可以在有惡意的網(wǎng)站中出現(xiàn)，也可以被當(dāng)作郵件發(fā)給用戶，當(dāng)用戶打開(kāi)html,vbs附件時(shí)，屏幕會(huì)出現(xiàn)無(wú)數(shù)個(gè)瀏覽器窗口，最后不得不重啟。（2）非法向用戶硬盤寫入文件。（3）IE泄露，利用IE漏洞，網(wǎng)頁(yè)可以讀取客戶機(jī)的文件，就可以從中獲得用戶賬號(hào)和密碼。（4）利用郵件非法安裝木馬。4.5.1惡意代碼分析在html中利用死循環(huán)原理，交叉顯示耀眼的光線，如果繼續(xù)插入編寫的一段代碼，擴(kuò)大惡意程度，那么IE將無(wú)法使用。例如：下面的兩段簡(jiǎn)單代碼分別就事用的死循環(huán)原理來(lái)進(jìn)行破壞的。<html><body><script>Varcolor=newArray；Color[1]=“black”;Color[2]=”white”;For(x=0;x<3;x++){Document.bgcolor=color[x];If(x==2){x=0;}}</script></body></html>本代碼的功能是使用白黑兩色輪流交換，形成刺眼的效果，當(dāng)x自增到2，立即回到0，形成死循環(huán)。<html><head><title>nothing</title><scriptlanguage=“JavaScript>Functionopenwindow(){for(i=0;i<100;i++);windows.open(‘0’)}</script></head><bodyonload=“openwindow()”></body></html>本段代碼的功能是實(shí)現(xiàn)某網(wǎng)站的窗體無(wú)限地彈出。4.5.2網(wǎng)頁(yè)惡意代碼的防范措施（1）運(yùn)行IE時(shí)，點(diǎn)擊“工具→Internet選項(xiàng)→安全→Internet區(qū)域的安全級(jí)別”，把安全級(jí)別由“中”改為“高”。網(wǎng)頁(yè)惡意代碼主要是含有惡意代碼的ActiveX或Applet、JavaScript的網(wǎng)頁(yè)文件，所以在IE設(shè)置中將ActiveX插件和控件、Java腳本等全部禁止就可以減少被網(wǎng)頁(yè)惡意代碼感染的幾率。具體方案是：在IE窗口中點(diǎn)擊“工具”→“Internet選項(xiàng)”，在彈出的對(duì)話框中選擇“安全”標(biāo)簽，再點(diǎn)擊“自定義級(jí)別”按鈕，就會(huì)彈出“安全設(shè)置”對(duì)話框，把其中所有ActiveX插件和控件以及與Java相關(guān)全部選項(xiàng)選擇“禁用”。（2）網(wǎng)頁(yè)惡意代碼大多是在訪問(wèn)網(wǎng)站時(shí)候誤下載和激活的，所以不要進(jìn)入不信任的陌生網(wǎng)站，對(duì)于網(wǎng)頁(yè)上的各種超級(jí)連接不要盲目去點(diǎn)擊，若被強(qiáng)制安裝惡意代碼，一經(jīng)發(fā)現(xiàn)立即刪除，或者安裝相應(yīng)的惡意代碼清除工具，或本機(jī)防火墻軟件。4.6嗅探器（sniffer）的防范Sniffer是一種常用的收集有用數(shù)據(jù)方法，這些數(shù)據(jù)可能是用戶的帳號(hào)和密碼，可能是一些商用機(jī)密數(shù)據(jù)，等等。它可以作為能夠捕獲網(wǎng)絡(luò)報(bào)文的設(shè)備，ISS為sniffer這樣定義：sniffer是利用計(jì)算機(jī)的網(wǎng)絡(luò)接口截獲其他計(jì)算機(jī)的數(shù)據(jù)報(bào)文的一種工具4.6.1Sniffer的工作原理Sniffer要捕獲的東西必須是要物理信號(hào)能收到的報(bào)文信息，只要通知網(wǎng)卡接收其收到的所有包，在共享HUB下就能接收到這個(gè)網(wǎng)絡(luò)的所有包，但是交換HUB下就只能是自己的包加上廣播包，sniffer工作在網(wǎng)絡(luò)環(huán)境中的底層，它會(huì)攔截所有正在網(wǎng)絡(luò)上傳遞的數(shù)據(jù)，并且通過(guò)相應(yīng)的軟件處理，可以實(shí)時(shí)分析這些數(shù)據(jù)的內(nèi)容，進(jìn)而分析所處理的網(wǎng)絡(luò)狀態(tài)和整體布局，值得注意的是，sniffer是極其安靜的，它是一種消極的安全攻擊。Sniffer在功能和設(shè)計(jì)方面有很多不同，有些只能分析一種協(xié)議，而另一些可能能夠分析幾百種協(xié)議，一般情況下，大多數(shù)的嗅探器至少能夠分析以下的協(xié)議：標(biāo)準(zhǔn)以太網(wǎng)，TCP/IP,IPX,DECNET。4.6.2Sniffer的檢測(cè)和防范（1）對(duì)于可能存在的網(wǎng)絡(luò)監(jiān)聽(tīng)的檢測(cè)；對(duì)于懷疑運(yùn)行監(jiān)聽(tīng)程序的機(jī)器，用正確的IP地址和錯(cuò)誤的物理地址ping，運(yùn)行監(jiān)聽(tīng)程序的機(jī)器會(huì)有響應(yīng)，這是因?yàn)檎５臋C(jī)器不接收錯(cuò)誤的物理地址，處理監(jiān)聽(tīng)狀態(tài)的機(jī)器能接收，但如果它的Ipstack不再發(fā)反向檢查的話，就會(huì)響應(yīng)。（2）向網(wǎng)上發(fā)大量不存在的物理地址的包；由于監(jiān)聽(tīng)程序要分析和處理大量的數(shù)據(jù)包會(huì)占用很多的資源，會(huì)導(dǎo)致系統(tǒng)性能下降，通過(guò)比較前后該機(jī)器性能加以判斷，這種辦法難度較大。（3）使用反監(jiān)聽(tīng)工具如Antisniffer等進(jìn)行檢測(cè)。對(duì)于網(wǎng)絡(luò)監(jiān)聽(tīng)的防范措施有：(1)從邏輯或物理上對(duì)網(wǎng)絡(luò)分段。(2)以交換式HUB代替共享式HUB。(3)使用加密技術(shù)。(4)劃分VLAN(虛擬局域網(wǎng))。4.7數(shù)據(jù)密文防范措施在前面的一章中我們已經(jīng)介紹了數(shù)據(jù)加密和隱藏技術(shù)，在保密系統(tǒng)中，信道中傳播的是加密后的消息，即密文，采用截獲密文進(jìn)行分析的攻擊稱為被動(dòng)攻擊，采用刪除、更改、增添、重放、偽造等手段向系統(tǒng)注入假消息并進(jìn)行分析的攻擊稱為主動(dòng)攻擊。對(duì)此，我們必須采用有效的加密解密的程序來(lái)防止密文泄露，可以通過(guò)c語(yǔ)言來(lái)實(shí)現(xiàn)的加密和解密。下面的例子是用c語(yǔ)言來(lái)實(shí)現(xiàn)的簡(jiǎn)易加密算法。加密算法#include“stdio.h”main(){intkey;charmingma,mima;printf(“\npleaseinputthecharacter：“)；scanf(“%c”,&mingma);printf(“\npleaseinputthekey:”);scanf(“%d”,&key);if((mingma>=‘A’)&&(mingma<=‘Z’)mima=‘A’+(mingma-‘A’+key)%26;if((mingma>=‘a(chǎn)’)&&(mingma<=‘z’)mima=‘a(chǎn)’+(mingma-‘a(chǎn)’+key)%26;printf(“\ntheoutputis:%C”,mima);}其實(shí)現(xiàn)的功能是：對(duì)密碼字符按規(guī)律進(jìn)行移位：如：明碼“a”若“key=2”的密碼實(shí)際上是“c”。(2)解密算法#include“stdio.h”main(){intkey;charmingma,mima;printf(“\npleaseinputthecharacter:“);scanf(“%c”,&mima);printf(“\npleaseinputthekey:“);scanf(“%d”,&key);if((mima>=‘A’)&&(mima<=‘Z’))mingma=‘A’+(mima-‘A’+26-key)%26;if((mima>=‘a(chǎn)’)&&(mima<=‘z’))mingma=‘a(chǎn)’+(mima-‘a(chǎn)’+26-key)%26;printf(“\nthemingmais:%c”,mingma);}其實(shí)現(xiàn)的功能是：對(duì)密碼字符按規(guī)律進(jìn)行移位得到真實(shí)密碼：如：明碼“g”，若“key=4”,得到密碼是“c”。4.8其它網(wǎng)絡(luò)攻擊與防范措施4.8.1源IP地址欺騙攻擊許多應(yīng)用程序認(rèn)為如果數(shù)據(jù)包能使其自身沿著路由到達(dá)目的地，而且應(yīng)答包也可以回到源地，那么源IP地址一定是有效的，而這正是使源IP地址欺騙攻擊成為可能的前提。要防止源IP地址的欺騙行為，可以采取以下措施來(lái)盡可能地保護(hù)系統(tǒng)免受這類攻擊：(1)拋棄基于地址的信任策略。(2)使用加密方法。(3)進(jìn)行包過(guò)濾。4.8.2源路由欺騙攻擊在通常情況下，信息包從起點(diǎn)到終點(diǎn)走過(guò)的路徑是由位于此兩點(diǎn)間的路由器決定的，數(shù)據(jù)包本身只知道去行何處，但不知道該如何去源路由可使信息包的發(fā)送者將此數(shù)據(jù)包要經(jīng)過(guò)胡路徑寫在數(shù)據(jù)包里，使數(shù)據(jù)包循著一個(gè)對(duì)方不可預(yù)料的路徑到達(dá)目的主機(jī)。為了防范源路由欺騙攻擊，一般采用下面兩種措施：(1)對(duì)付這種攻擊最好的辦法是配置好路由器使它拋棄那些由外部網(wǎng)進(jìn)來(lái)的卻聲稱是內(nèi)部主機(jī)的報(bào)文。(2)在路由器上關(guān)閉源路由，用命令noipsource-route。4.8.3拒絕服務(wù)攻擊及預(yù)防措施在拒絕服務(wù)攻擊中，攻擊中加載過(guò)多的服務(wù)將對(duì)方資源全部耗盡，使得沒(méi)有多余資源供其他用戶使用，SYNFlood攻擊是典型的拒絕服務(wù)攻擊。為了防止拒絕服務(wù)攻擊，我們可以采取以下預(yù)防措施。（1）對(duì)方信息淹沒(méi)攻擊，我們應(yīng)關(guān)掉可能產(chǎn)生無(wú)限序列的服務(wù)來(lái)防止這種攻擊。比如我們可以在服務(wù)器端拒絕所有的ICMP包，或者在該網(wǎng)段路由器上對(duì)ICMP進(jìn)行帶寬限制，控制其在一定的范圍內(nèi)。（2）防止SYN數(shù)據(jù)段攻擊，我們應(yīng)對(duì)系統(tǒng)設(shè)定相應(yīng)的內(nèi)核參數(shù)，使得系統(tǒng)強(qiáng)制對(duì)超時(shí)的SYN請(qǐng)求連接數(shù)據(jù)包復(fù)位，同時(shí)通過(guò)縮短超時(shí)常數(shù)和加長(zhǎng)等候隊(duì)列使得系統(tǒng)能迅速處理無(wú)效的SYN請(qǐng)求數(shù)據(jù)包。（3）建議在網(wǎng)段的路由器上做起配置的調(diào)整，這些調(diào)整包括限制SYN半公開(kāi)數(shù)據(jù)包的流量和廣數(shù)。（4）建議在路由器的前端做必要胡TCP攔截，使得只有完成TCP三次握手過(guò)程的數(shù)據(jù)包才可進(jìn)入網(wǎng)段。第五章校園網(wǎng)絡(luò)安全體系通過(guò)以上對(duì)網(wǎng)絡(luò)攻擊分析和防范的設(shè)計(jì)，校園網(wǎng)絡(luò)也會(huì)面臨同樣的威脅，所以我們?cè)谥谰W(wǎng)絡(luò)功防基礎(chǔ)上應(yīng)該構(gòu)筑校園網(wǎng)絡(luò)安全體系，要從兩個(gè)方面著手：一是采用一定的技術(shù)；二是不斷改進(jìn)管理方法。從技術(shù)角度看，目前常用的安全手段有內(nèi)外網(wǎng)隔離技術(shù)、加密技術(shù)、身份認(rèn)證、訪問(wèn)控制、安全路由等，這些技術(shù)對(duì)防止非法入侵系統(tǒng)起到了一定的防御作用。防火墻作為一種將內(nèi)外網(wǎng)隔離的技術(shù)，普遍運(yùn)用于校園網(wǎng)安全建設(shè)中。5.1校園網(wǎng)絡(luò)安全規(guī)范在校園網(wǎng)的需求來(lái)講，校園的網(wǎng)絡(luò)安全是指利用各種網(wǎng)絡(luò)監(jiān)控和管理技術(shù)措施，對(duì)網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及系統(tǒng)中的數(shù)據(jù)資源實(shí)施保護(hù)，使其不會(huì)因?yàn)橐恍┎焕蛩囟獾狡茐?，從而保證網(wǎng)絡(luò)系統(tǒng)連續(xù)、安全、可靠地運(yùn)行。校園網(wǎng)分為內(nèi)部網(wǎng)和互聯(lián)網(wǎng)兩部分，技術(shù)上采用虛擬網(wǎng)管理。一般用戶不提供與internet直接相連，需要直接連接的用戶應(yīng)向校園網(wǎng)管理委員會(huì)提出申請(qǐng)，獲準(zhǔn)后由網(wǎng)絡(luò)中心分配IP地址并提供相應(yīng)的入網(wǎng)軟硬件，具有直接連接權(quán)限的用戶應(yīng)與校園網(wǎng)管中心簽定保密協(xié)議書，并自覺(jué)接受網(wǎng)絡(luò)安全員的檢查。學(xué)校網(wǎng)絡(luò)中心負(fù)責(zé)網(wǎng)絡(luò)設(shè)備的運(yùn)行管理，信息中心負(fù)責(zé)網(wǎng)絡(luò)資源，用戶帳戶肯安全管理，系統(tǒng)管理員口令絕對(duì)保密，根據(jù)用戶需求嚴(yán)格控制，合理分配用戶權(quán)限。網(wǎng)絡(luò)用戶口令應(yīng)經(jīng)常更新，防殺病毒軟件本身無(wú)毒，向?qū)W生開(kāi)放的教學(xué)實(shí)驗(yàn)室應(yīng)禁止使用軟驅(qū)和光驅(qū)，以杜絕病毒的傳播。校園網(wǎng)絡(luò)信息系統(tǒng)以自行開(kāi)發(fā)為主，系統(tǒng)軟件應(yīng)對(duì)訪問(wèn)權(quán)限嚴(yán)格限制，對(duì)不同操作人員，不同信息的內(nèi)容需按等級(jí)分設(shè)口令。學(xué)校信息系統(tǒng)采用客戶/服務(wù)器結(jié)構(gòu)，數(shù)據(jù)由網(wǎng)絡(luò)信息中心及網(wǎng)絡(luò)管理部門進(jìn)行定期備份，對(duì)備份后的數(shù)據(jù)應(yīng)有專人保管，確保發(fā)生意外情況時(shí)能及時(shí)恢復(fù)系統(tǒng)運(yùn)行，加強(qiáng)監(jiān)督管理工作，使用過(guò)程中的重要信息記錄要保存到事故文件中，以便掌握使用情況，發(fā)生可疑現(xiàn)象，及時(shí)追查安全事故責(zé)任。5.2安全方案建議5.2.1校園網(wǎng)絡(luò)狀況分析（1）資源分布和應(yīng)用服務(wù)體系校園網(wǎng)絡(luò)可向網(wǎng)絡(luò)用戶提供：域名服務(wù)（DNS），電子郵件服務(wù)（E-mail）,遠(yuǎn)程登錄（telnet），文件傳輸服務(wù)（ftp）,電子廣告牌，BBS，電子新聞，WWW以及信息收集，存儲(chǔ)，交換，檢索等服務(wù)。（2）網(wǎng)絡(luò)結(jié)構(gòu)的劃分整個(gè)網(wǎng)絡(luò)是由各網(wǎng)絡(luò)中心，和園區(qū)內(nèi)部網(wǎng)絡(luò)通過(guò)各種通信方式互聯(lián)而成的，所有網(wǎng)絡(luò)可歸納為由連接子網(wǎng)、公共子網(wǎng)、服務(wù)子網(wǎng)、內(nèi)部網(wǎng)四個(gè)部分組成。這四部分組成一個(gè)獨(dú)立單位的局域網(wǎng)，然后通過(guò)廣域連接與其他網(wǎng)絡(luò)連接。5.2.2網(wǎng)絡(luò)安全目標(biāo)為了增加網(wǎng)絡(luò)胡安全性，必須對(duì)信息資源加以保護(hù)，對(duì)服務(wù)資源加以控制肯管理。（1）信息資源a:公眾信息；即不需要訪問(wèn)控制。b:內(nèi)部信息；即需要身份驗(yàn)證以及根據(jù)根據(jù)身份進(jìn)行訪問(wèn)控制。C:敏感信息；即需要驗(yàn)證身份和傳輸加密。（2）服務(wù)資源包括：內(nèi)部服務(wù)資源、公眾服務(wù)資源內(nèi)部服務(wù)資源：面向已知客戶，管理和控制內(nèi)部用戶對(duì)信息資源的訪問(wèn)。公眾服務(wù)資源：面向匿名客戶，防止和抵御外來(lái)的攻擊。5.3校園網(wǎng)絡(luò)安全技術(shù)的應(yīng)用5.3.1網(wǎng)絡(luò)攻擊的概念校園網(wǎng)的網(wǎng)絡(luò)攻擊主要來(lái)自internet中,所以對(duì)網(wǎng)絡(luò)的攻擊可以分為兩種基本的類型，即服務(wù)攻擊與非服務(wù)攻擊。（1）服務(wù)攻擊指對(duì)為網(wǎng)絡(luò)提供某種服的服務(wù)器發(fā)起攻擊，遭成該網(wǎng)絡(luò)的“拒絕服務(wù)”，使網(wǎng)絡(luò)工作部正常。拒絕服務(wù)攻擊將會(huì)帶來(lái)消耗帶寬、消耗計(jì)算資源、使系統(tǒng)和應(yīng)用崩潰等后果，它是阻止針對(duì)某種服務(wù)的合法使用者訪問(wèn)他有權(quán)的服務(wù)。（2）非服務(wù)攻擊非服務(wù)攻擊是針對(duì)網(wǎng)絡(luò)層等低層協(xié)議進(jìn)行的，攻擊者可能使用各種方法對(duì)網(wǎng)絡(luò)通信設(shè)備發(fā)起攻擊，使得網(wǎng)絡(luò)通信設(shè)備工作嚴(yán)重阻塞或癱瘓，導(dǎo)致一個(gè)局域網(wǎng)或更多的網(wǎng)布能正常工作。與服務(wù)攻擊相比，非服務(wù)攻擊與特定服務(wù)無(wú)關(guān)，它往往利用協(xié)議或操作系統(tǒng)實(shí)現(xiàn)協(xié)議時(shí)的漏洞來(lái)達(dá)到目的。（3）非授權(quán)訪問(wèn)非授權(quán)訪問(wèn)是指存儲(chǔ)在聯(lián)網(wǎng)計(jì)算機(jī)中的信息或服務(wù)被未授權(quán)的網(wǎng)絡(luò)用戶非法使用，或者被授權(quán)用戶越權(quán)濫用。網(wǎng)絡(luò)的非法用戶可以通過(guò)猜測(cè)用戶口令，竊取口令的辦法，或者設(shè)法繞過(guò)網(wǎng)絡(luò)安全認(rèn)證系統(tǒng)來(lái)冒充合法用戶，非法查看、下載、修改、刪除未授權(quán)訪問(wèn)的信息，以及使用未授權(quán)的網(wǎng)絡(luò)服務(wù)。訪問(wèn)授權(quán)一般是由計(jì)算機(jī)操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)、應(yīng)用軟件與網(wǎng)絡(luò)操作系統(tǒng)和防火墻來(lái)共同保障，通常采用的方法是用戶訪問(wèn)權(quán)限設(shè)置、用戶口令加密、用戶身份認(rèn)證、數(shù)據(jù)加密與結(jié)點(diǎn)地址過(guò)濾等。5.3.2建立網(wǎng)絡(luò)安全模型通信雙方在網(wǎng)絡(luò)上傳輸信息時(shí)，需要先在發(fā)送和接收方之間建立一條邏輯通道。為了在開(kāi)放的網(wǎng)絡(luò)環(huán)境中安全地傳輸信息，需要對(duì)信息提供安全機(jī)制和安全服務(wù)，如圖5-1所示。圖5-1網(wǎng)絡(luò)安全模型信息的安全傳輸包括兩個(gè)基本部分：（1）對(duì)發(fā)送的信息進(jìn)行安全轉(zhuǎn)換（如信息加密），實(shí)現(xiàn)信息的保密性?；蛘吒郊右恍┨卣餍畔?，以便進(jìn)行發(fā)送方身份驗(yàn)證。（2）發(fā)送和接收雙方共享的某些信息（如加密密鑰），這些信息除了對(duì)可信任的第三方外，對(duì)于其他用戶是保密的。為了信息的安全傳輸，通常需要一個(gè)可信任的第三方。第三方的作用是負(fù)責(zé)向通信雙方秘密信息，并在雙方發(fā)生爭(zhēng)議時(shí)進(jìn)行仲裁。設(shè)計(jì)一個(gè)網(wǎng)絡(luò)安全方案時(shí)，需要完成以下四個(gè)基本任務(wù)：（1）設(shè)計(jì)一個(gè)算法，執(zhí)行安全相關(guān)的轉(zhuǎn)換；（2）生成該算法的秘密信息（如密鑰）；（3）研制秘密信息的分發(fā)與共享的方法；（4）設(shè)定兩個(gè)責(zé)任者使用的協(xié)議，利用算法和秘密信息取得安全服務(wù)。5.3.3數(shù)據(jù)備份方法數(shù)據(jù)備份有多種實(shí)現(xiàn)形式，從不同的角度可以對(duì)備份進(jìn)行不同的分類：從備份模式來(lái)看，可以分為物理備份和邏輯備份；從備份策略來(lái)看，可以分為完全備份、增量備份和差異備份；根據(jù)備份服務(wù)器在備份過(guò)程中是否可以接收用戶響應(yīng)和數(shù)據(jù)更新，又可以分為離線備份和在線備份。（1）邏輯備份邏輯備份也可以稱作“基于文件的備份”。每個(gè)文件都是由不同的邏輯塊組成的，每個(gè)邏輯塊存儲(chǔ)在連續(xù)的物理磁盤塊上，基于文件的備份系統(tǒng)能識(shí)別文件結(jié)構(gòu)，并拷貝所有的文件和目錄到備份資源上。系統(tǒng)順序讀取每個(gè)文件的物理塊，然后備份軟件連續(xù)地將文件寫入到備份介質(zhì)上，從而使得每個(gè)單獨(dú)文件的恢復(fù)變得更快。（2）物理備份。物理又稱“基于塊的備份”或“基于設(shè)備的備份”，其在拷貝磁盤塊到備份介質(zhì)上時(shí)忽略文件結(jié)構(gòu)，從而提高備份的性能。因?yàn)閭浞蒈浖趫?zhí)行過(guò)程中，花費(fèi)在搜索操作上的開(kāi)銷很少。（3）完全備份完全備份是指整個(gè)系統(tǒng)或用戶指定的所有文件數(shù)據(jù)進(jìn)行一次全面的備份，這是一種最基本，也是最簡(jiǎn)單的備份方式。這種備份方式的好處就是很直觀，容易理解。如果在備份間隔期間出現(xiàn)數(shù)據(jù)丟失等問(wèn)題，可以只使用一份備份文件快速地恢復(fù)所丟失的數(shù)據(jù)。（4）增量備份為了解決上述完全備份的兩個(gè)缺點(diǎn)，出現(xiàn)了更快、更小的增量備份。增量備份只備份相對(duì)于上次備份操作以來(lái)新創(chuàng)建或者更新過(guò)的數(shù)據(jù)。因?yàn)樵谔囟ǖ臅r(shí)間段內(nèi)只有少量的文件發(fā)生改變，沒(méi)有重復(fù)的備份數(shù)據(jù)，因此既節(jié)省空間，又縮短了備份的時(shí)間。因而這種備份方法比較經(jīng)濟(jì)，可以頻繁地進(jìn)行。（5）差異備份差異備份即備份上一次完全備份后產(chǎn)生和更新的所有新的數(shù)據(jù)。它的主要目的是將完全恢復(fù)時(shí)涉及到備份記錄數(shù)量限制在兩個(gè)，以簡(jiǎn)化恢復(fù)的復(fù)雜性。5.3.4防火墻技術(shù)防火墻是在網(wǎng)絡(luò)之間通過(guò)執(zhí)行控制策略來(lái)保護(hù)網(wǎng)絡(luò)的系統(tǒng)，它包括硬件和軟件。設(shè)置防火墻的目的是保護(hù)內(nèi)部網(wǎng)絡(luò)資源不被外部非授權(quán)用戶使用。防火墻的功能包括：（1）檢查所有從外部網(wǎng)絡(luò)進(jìn)入內(nèi)部網(wǎng)絡(luò)流出到外部網(wǎng)絡(luò)的數(shù)據(jù)包。（2）執(zhí)行安全策略，限制所有不符合安全策略要求的數(shù)據(jù)包通過(guò)。（3）具有防攻擊能力，保證自身的安全性。防火墻是一個(gè)由軟件與硬件組成的系統(tǒng)。由于不同內(nèi)部網(wǎng)的安全策略與防護(hù)目的不同，防火墻系統(tǒng)的配置與實(shí)現(xiàn)方式也有很大的區(qū)別。簡(jiǎn)單的一個(gè)包過(guò)濾路由器或應(yīng)用網(wǎng)關(guān)、應(yīng)用代理服務(wù)器都可以作為防火墻使用。5.3.5入侵檢測(cè)技術(shù)入侵檢測(cè)系統(tǒng)是對(duì)計(jì)算機(jī)和網(wǎng)絡(luò)資源的惡意使用行為進(jìn)行識(shí)別的系統(tǒng)。它的目的是監(jiān)測(cè)和發(fā)現(xiàn)可能存在的攻擊行為，包括來(lái)自系統(tǒng)外部的入侵行為和來(lái)自內(nèi)部的非法授權(quán)行為，并采取相應(yīng)的防護(hù)手段。它的基本功能包括：（1）監(jiān)控、分析用戶和系統(tǒng)的行為。（2）檢查系統(tǒng)的配置和漏洞。（3）評(píng)估重要的系統(tǒng)和數(shù)據(jù)文件的完整性。（4）對(duì)異常行為的統(tǒng)計(jì)分析，識(shí)別攻擊類型，并向網(wǎng)絡(luò)管理人員報(bào)警。（5）對(duì)操作系統(tǒng)進(jìn)行審計(jì)、跟蹤管理，識(shí)別違反授權(quán)的用戶活動(dòng)。5.3.6網(wǎng)絡(luò)安全評(píng)估網(wǎng)絡(luò)安全評(píng)估系統(tǒng)是一種集網(wǎng)絡(luò)安全檢測(cè)、風(fēng)險(xiǎn)評(píng)估、修復(fù)、統(tǒng)計(jì)分析和網(wǎng)絡(luò)安全風(fēng)險(xiǎn)集中控制管理功能于一體的網(wǎng)絡(luò)安全設(shè)備。通過(guò)掃描某個(gè)網(wǎng)絡(luò)內(nèi)的主機(jī)，再進(jìn)行智能分析，得到該網(wǎng)絡(luò)的安全狀況分析圖表，以及每個(gè)機(jī)器的詳細(xì)的安全登記評(píng)估圖表。從本質(zhì)來(lái)講評(píng)估技術(shù)就是一種檢測(cè)技術(shù)。網(wǎng)絡(luò)安全評(píng)估分析技術(shù)可以分為基于應(yīng)用和基于網(wǎng)絡(luò)的兩種評(píng)估分析技術(shù)。（1）基于應(yīng)用的技術(shù)采用被動(dòng)、非破壞的辦法檢測(cè)應(yīng)用軟件包的設(shè)置，發(fā)現(xiàn)安全漏洞。（2）基于網(wǎng)絡(luò)的技術(shù)采用積極的、非破壞的辦法來(lái)檢驗(yàn)系統(tǒng)是否有可能被攻擊。5.4校園安全隱患當(dāng)時(shí)，校園網(wǎng)絡(luò)主要存在的安全隱患和漏洞有：（1）校園網(wǎng)通過(guò)CERNET與Internet相連，在享受Internet方便快捷的同時(shí)，也面臨著遭遇攻擊的風(fēng)險(xiǎn)。（2）校園網(wǎng)內(nèi)部也存在很大的安全隱患，由于內(nèi)部用戶對(duì)網(wǎng)絡(luò)的結(jié)構(gòu)和應(yīng)用模式都比較了解，因此來(lái)自內(nèi)部的安全威脅更大一些。而現(xiàn)在，黑客攻擊工具在網(wǎng)上十分常見(jiàn)，一般人員并不需要很復(fù)雜的知識(shí)就能用，所以存在很大的危險(xiǎn)。（3）目前使用的操作系統(tǒng)存在安全漏洞，對(duì)網(wǎng)絡(luò)安全構(gòu)成了威脅。大學(xué)的網(wǎng)絡(luò)服務(wù)器安裝的操作系統(tǒng)有Windows2000/Windows2003、Unix、Linux等，這些系統(tǒng)安全風(fēng)險(xiǎn)級(jí)別不同，例如WIN2000/WIN2003的普遍性和可操作性使得它也是最不安全的系統(tǒng)：本身系統(tǒng)的漏洞、瀏覽器的漏洞、IIS的漏洞；Unix由于其技術(shù)的復(fù)雜性導(dǎo)致高級(jí)黑客對(duì)其進(jìn)行攻擊：自身安全漏洞（RIP路由轉(zhuǎn)移等）、服務(wù)安全漏洞、Unix自身的病毒等等，這些都對(duì)原有網(wǎng)絡(luò)安全構(gòu)成威脅。（4）隨著校園內(nèi)計(jì)算機(jī)應(yīng)用的大范圍普及，接入校園網(wǎng)節(jié)點(diǎn)日漸增多，而這些節(jié)點(diǎn)大部分都沒(méi)有采取一定的防護(hù)措施，隨時(shí)有可能造成病毒泛濫、信息丟失、數(shù)據(jù)損壞、網(wǎng)絡(luò)被攻擊、系統(tǒng)癱瘓等嚴(yán)重后果。由此可見(jiàn)，構(gòu)筑具有必要的信息安全防護(hù)體系，建立一套有效的網(wǎng)絡(luò)安全體系顯得尤其重要。5.5校園網(wǎng)主動(dòng)防御體系校園網(wǎng)的安全威脅既有來(lái)自校內(nèi)的，也有來(lái)自校外的。在設(shè)計(jì)校園網(wǎng)網(wǎng)絡(luò)安全系統(tǒng)時(shí)，首先要了解學(xué)校的需要和目標(biāo)，制定安全策略，需要注意的是，網(wǎng)絡(luò)上的業(yè)務(wù)目標(biāo)、安全策略與安全設(shè)計(jì)之間的關(guān)系是一體的。因此網(wǎng)絡(luò)安全防范體系應(yīng)該是動(dòng)態(tài)變化的，在完成安全防范體系的設(shè)計(jì)后，必須不斷適應(yīng)安全環(huán)境的變化，以保證網(wǎng)絡(luò)安全防范體系的良性發(fā)展，確保它的有效性和先進(jìn)性。5.5.1P2DR模型美國(guó)國(guó)際互聯(lián)網(wǎng)安全系統(tǒng)公司(ISS)提出的P2DR模型是指：策略(Policy)、防護(hù)(Protection)、檢測(cè)(Detection)和響應(yīng)(Response)。P2DR模型強(qiáng)調(diào)防護(hù)、檢測(cè)和響應(yīng)等環(huán)節(jié)的動(dòng)態(tài)循環(huán)過(guò)程，通過(guò)這種過(guò)程達(dá)到保持網(wǎng)絡(luò)系統(tǒng)的相對(duì)安全。所以P2DR模型是“整體的、動(dòng)態(tài)的”的安全循環(huán)，在安全策略整體的控制下指導(dǎo)下保證信息系統(tǒng)的安全。P2DR模型如圖5-2所示。圖5-2P2DR模型P2DR模型是美國(guó)ISS公司提出的動(dòng)態(tài)網(wǎng)絡(luò)安全體系的代表模型，也是動(dòng)態(tài)安全模型的雛形。P2DR模型包括四個(gè)主要部分：Policy(安全策略)、Protection(防護(hù))、Detection(檢測(cè))和Response(響應(yīng))。P2DR模型是在整體的安全策略的控制和指導(dǎo)下，在綜合運(yùn)用防護(hù)工具(如防火墻、操作系統(tǒng)身份認(rèn)證、加密等)的同時(shí)，利用檢測(cè)工具(如漏洞評(píng)估、入侵檢測(cè)等)了解和評(píng)估系統(tǒng)的安全狀態(tài)，通過(guò)適當(dāng)?shù)姆磻?yīng)將系統(tǒng)調(diào)整到“最安全”和“風(fēng)險(xiǎn)最低”的狀態(tài)。防護(hù)、檢測(cè)和響應(yīng)組成了一個(gè)完整的、動(dòng)態(tài)的安全循環(huán)，在安全策略的指導(dǎo)下保證信息系統(tǒng)的安全。該理論的最基本原理就是認(rèn)為，信息安全相關(guān)的所有活動(dòng)，不管是攻擊行為、防護(hù)行為、檢測(cè)行為和響應(yīng)行為等等都要消耗時(shí)間。因此可以用時(shí)間來(lái)衡量一個(gè)體系的安全性和安全能力。作為一個(gè)防護(hù)體系，當(dāng)入侵者要發(fā)起攻擊時(shí)，每一步都需要花費(fèi)時(shí)間。當(dāng)然攻擊成功花費(fèi)的時(shí)間就是安全體系提供的防護(hù)時(shí)間Pt；在入侵發(fā)生的同時(shí)，檢測(cè)系統(tǒng)也在發(fā)揮作用，檢測(cè)到入侵行為也要花費(fèi)時(shí)間―檢測(cè)時(shí)間Dt；在檢測(cè)到入侵后，系統(tǒng)會(huì)做出應(yīng)有的響應(yīng)動(dòng)作，這也要花費(fèi)時(shí)間―響應(yīng)時(shí)間Rt。P2DR模型就可以用一些典型的數(shù)學(xué)公式來(lái)表達(dá)安全的要求：（1）公式1：Pt>Dt+Rt。Pt代表系統(tǒng)為了保護(hù)安全目標(biāo)設(shè)置各種保護(hù)后的防護(hù)時(shí)間；或者理解為在這樣的保護(hù)方式下，黑客（入侵者）攻擊安全目標(biāo)所花費(fèi)的時(shí)間。Dt代表從入侵者開(kāi)始發(fā)動(dòng)入侵開(kāi)始，系統(tǒng)能夠檢測(cè)到入侵行為所花費(fèi)的時(shí)間。Rt代表從發(fā)現(xiàn)入侵行為開(kāi)始，系統(tǒng)能夠做出足夠的響應(yīng)，將系統(tǒng)調(diào)整到正常狀態(tài)的時(shí)間。那么，針對(duì)于需要保護(hù)的安全目標(biāo)，如果上述數(shù)學(xué)公式滿足防護(hù)時(shí)間大于檢測(cè)時(shí)間加上響應(yīng)時(shí)間，也就是在入侵者危害安全目標(biāo)之前就能被檢測(cè)到并及時(shí)處理。（2）公式2：Et=Dt+Rt，如果Pt=0。公式的前提是假設(shè)防護(hù)時(shí)間為0。Dt代表從入侵者破壞了安全目標(biāo)系統(tǒng)開(kāi)始，系統(tǒng)能夠檢測(cè)到破壞行為所花費(fèi)的時(shí)間。Rt