校園網(wǎng)絡(luò)安全技術(shù)與策略-畢業(yè)論文

一概述互聯(lián)網(wǎng)的各種安全威脅時刻影響著校園網(wǎng)的運行和管理，加強校園網(wǎng)的安全管理是當(dāng)前重要任務(wù)。校園網(wǎng)是學(xué)校信息系統(tǒng)的核心，必須建立有效的網(wǎng)絡(luò)安全防范體系保證網(wǎng)絡(luò)應(yīng)用的安全。校園網(wǎng)面臨著一系列的安全問題，受到來自外部和內(nèi)部的攻擊(如病毒困擾，非授權(quán)訪問等)。目前國內(nèi)許多高校存在校區(qū)分散的狀況，各校區(qū)間通信的安全連接還存在問題。但一般的校園網(wǎng)安全方案存在安全手段單一的問題，大多只是簡單地采用防火墻等有限措施來保護網(wǎng)絡(luò)安全。而這些措施往往存在很大的局限性，它們不能覆蓋實現(xiàn)整個校園網(wǎng)安全的各個層次、各個方位，這樣的網(wǎng)絡(luò)系統(tǒng)就存在很多的安全隱患。比如缺乏強健的認證、授權(quán)和訪問控制等，往往使攻擊者有機可乘；管理員無法了解網(wǎng)絡(luò)的漏洞和可能發(fā)生的攻擊。傳統(tǒng)的被動式抵御方式只能等待入侵者的攻擊，而缺乏主動防范的功能：對于已經(jīng)或正在發(fā)生的攻擊缺乏有效的追查手段；對從網(wǎng)絡(luò)進入的病毒等無法控制等，除此以外大多用戶安全意識都很淡薄，這些都是我們需要注意和解決的安全問題。本文以“實事求是”的指導(dǎo)思想為原則，從計算機網(wǎng)絡(luò)面臨的各種安全威脅，系統(tǒng)地介紹網(wǎng)絡(luò)安全技術(shù)。并針對校園網(wǎng)絡(luò)的安全問題進行研究，首先分析了高校網(wǎng)絡(luò)系統(tǒng)安全的隱患，然后從構(gòu)建安全防御體系和加強安全管理兩方面設(shè)計了校園網(wǎng)絡(luò)的安全策略。本次論文研究中，我首先了解了網(wǎng)絡(luò)安全問題的主要威脅因素，并利用網(wǎng)絡(luò)安全知識對安全問題進行剖析。其次，通過對網(wǎng)絡(luò)技術(shù)的研究，得出校園網(wǎng)也會面臨著安全上的威脅。最后，確立了用P2DR模型的思想來建立校園網(wǎng)的安全防御體系。并得出了構(gòu)建一套有效的網(wǎng)絡(luò)安全防御體系是解決校園網(wǎng)主要威脅和隱患的必要途徑和措施。二網(wǎng)絡(luò)安全概述2.1網(wǎng)絡(luò)安全發(fā)展與歷史現(xiàn)狀分析2.1.1因特網(wǎng)的發(fā)展及其安全問題隨著計算機技術(shù)的發(fā)展，在計算機上處理業(yè)務(wù)已由基于單機的數(shù)學(xué)運算、文件處理，基于簡單連結(jié)的內(nèi)部網(wǎng)絡(luò)的內(nèi)部業(yè)務(wù)處理、辦公自動化等發(fā)展到基于企業(yè)復(fù)雜的內(nèi)部網(wǎng)、企業(yè)外部網(wǎng)、全球互聯(lián)網(wǎng)的企業(yè)級計算機處理系統(tǒng)和世界范圍內(nèi)的信息共享和業(yè)務(wù)處理。在信息處理能力提高的同時，系統(tǒng)的連結(jié)能力也在不斷的提高。但在連結(jié)信息能力、流通能力提高的同時，基于網(wǎng)絡(luò)連接的安全問題也日益突出。主要表現(xiàn)在以下方面：1．網(wǎng)絡(luò)的開放帶來的安全問題Internet的開放性以及其他方面因素導(dǎo)致了網(wǎng)絡(luò)環(huán)境下的計算機系統(tǒng)存在很多安全問題。為了解決這些安全問題，各種安全機制、策略、管理和技術(shù)被研究和應(yīng)用。然而，即使在使用了現(xiàn)有的安全工具和技術(shù)的情況下，網(wǎng)絡(luò)的安全仍然存在很大隱患，這些安全隱患主要可以包括為以下幾點：（1）安全機制在特定條件下并非萬無一失（2）安全工具的使用受到人為因素的影響（3）系統(tǒng)的后門是難以考慮的地方（4）BUG難以防范（5）黑客的攻擊手段在不斷升級2．網(wǎng)絡(luò)的安全的防護力脆弱，導(dǎo)致的網(wǎng)絡(luò)危機（1）WarroonResearch調(diào)查根據(jù)WarroonResearch的調(diào)查，1997年世界排名前一千的公司幾乎都曾被黑客闖入。（2）FBI統(tǒng)計據(jù)美國FBI統(tǒng)計，美國每年因網(wǎng)絡(luò)安全造成的損失高達75億美元。（3）Ernst和Young報告Ernst和Young報告，由于信息安全被竊或濫用，幾乎80%的大型企業(yè)遭受損失。（4）最近一次黑客攻擊最近一次黑客大規(guī)模的攻擊行動中，雅虎網(wǎng)站的網(wǎng)絡(luò)停止運行3小時，這令它損失了幾百萬美金的交易。而據(jù)統(tǒng)計在這整個行動中美國經(jīng)濟共損失了十多億美金。由于業(yè)界人心惶惶，亞馬遜(A)、AOL、雅虎(Yahoo)、Ebay的股價均告下挫，以科技股為主的那斯達克指數(shù)(Nasdaq)打破過去連續(xù)三天創(chuàng)下新高的升勢，下挫了六十三點，杜瓊斯工業(yè)平均指數(shù)周三收市時也跌了二百五十八點。3．網(wǎng)絡(luò)安全的主要威脅因素（1）軟件漏洞每一個操作系統(tǒng)或網(wǎng)絡(luò)軟件的出現(xiàn)都不可能是無缺陷和漏洞的。這就使我們的計算機處于危險的境地，一旦連接入網(wǎng)，將成為眾矢之的。（2）配置不當(dāng)安全配置不當(dāng)造成安全漏洞，例如，防火墻軟件的配置不正確，那么它根本不起作用。對特定的網(wǎng)絡(luò)應(yīng)用程序，當(dāng)它啟動時，就打開了一系列的安全缺口，許多與該軟件捆綁在一起的應(yīng)用軟件也會被啟用。除非用戶禁止該程序或?qū)ζ溥M行正確配置，否則，安全隱患始終存在。（3）安全意識不強用戶口令選擇不慎，或?qū)⒆约旱膸ぬ栯S意轉(zhuǎn)借他人或與別人共享等都會對網(wǎng)絡(luò)安全帶來威脅。（4）病毒目前數(shù)據(jù)安全的頭號大敵是計算機病毒，它是編制者在計算機程序中插入的破壞計算機功能或數(shù)據(jù)，影響計算機軟件、硬件的正常運行并且能夠自我復(fù)制的一組計算機指令或程序代碼。計算機病毒具有傳染性、寄生性、隱蔽性、觸發(fā)性、破壞性等特點。因此，提高對病毒的防范刻不容緩。（5）黑客對于計算機數(shù)據(jù)安全構(gòu)成威脅的另一個方面是來自電腦黑客(Backer)。電腦黑客利用系統(tǒng)中的安全漏洞非法進入他人計算機系統(tǒng)，其危害性非常大。從某種意義上講，黑客對信息安全的危害甚至比一般的電腦病毒更為嚴重。2.1.2校園網(wǎng)絡(luò)面臨的安全問題其它網(wǎng)絡(luò)一樣，校園網(wǎng)也會受到相應(yīng)的威脅，大體可分為對網(wǎng)絡(luò)中數(shù)據(jù)信息的危害和對網(wǎng)絡(luò)設(shè)備的危害。具體來說包括：1．非法授權(quán)問題即對網(wǎng)絡(luò)設(shè)備及信息資源進行非正常使用或越權(quán)使用等。2．冒充合法用戶即利用各種假冒或欺騙的手段非法獲得合法用戶的使用權(quán)限，以達到占用合法用戶資源的目的。3．破會數(shù)據(jù)的完整性即使用非法手段，刪除、修改、重發(fā)某些重要信息，以干擾用戶的正常使用。4．干擾系統(tǒng)運行指改變系統(tǒng)的正常運行方法，減慢系統(tǒng)的響應(yīng)時間等手段。5．病毒與惡意的攻擊即通過網(wǎng)絡(luò)傳播病毒或進行惡意攻擊。除此之外，校園網(wǎng)還面對形形色色、良莠不分的網(wǎng)絡(luò)資源，如不進行識別和過濾，那么會造成大量非法內(nèi)容或郵件出入，占用大量流量資源，造成流量堵塞、上網(wǎng)速度慢等問題。許多校園網(wǎng)是從局域網(wǎng)發(fā)展來的，由于意識與資金方面的原因，它們在安全方面往往沒有太多的設(shè)置，這就給病毒和黑客提供了生存的空間。因此，校園網(wǎng)的網(wǎng)絡(luò)安全需求是全方位的。2.2網(wǎng)絡(luò)安全含義網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件，軟件及數(shù)據(jù)受到保護，不遭受偶然或惡意的破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行，網(wǎng)絡(luò)服務(wù)不中斷[1]。且在不同環(huán)境和應(yīng)用中又不同的解釋。1.運行系統(tǒng)安全即保證信息處理和傳輸系統(tǒng)的安全，包括計算機系統(tǒng)機房環(huán)境和傳輸環(huán)境的法律保護、計算機結(jié)構(gòu)設(shè)計的安全性考慮、硬件系統(tǒng)的安全運行、計算機操作系統(tǒng)和應(yīng)用軟件的安全、數(shù)據(jù)庫系統(tǒng)的安全、電磁信息泄露的防御等。2.網(wǎng)上信息系統(tǒng)的安全包括用戶口令鑒別、用戶存取權(quán)限控制、數(shù)據(jù)存取權(quán)限、方式控制、安全審計、安全問題跟蹤、計算機病毒防治、數(shù)據(jù)加密等。3.網(wǎng)上信息傳輸?shù)陌踩葱畔鞑ズ蠊陌踩?、包括信息過濾、不良信息過濾等。4.網(wǎng)上信息內(nèi)容的安全即我們討論的狹義的“信息安全”；側(cè)重于保護信息的機密性、真實性和完整性。本質(zhì)上是保護用戶的利益和隱私。2.3網(wǎng)絡(luò)安全屬性網(wǎng)絡(luò)安全具有三個基本的屬性：機密性、完整性、可用性。2.4網(wǎng)絡(luò)安全機制網(wǎng)絡(luò)安全機制是保護網(wǎng)絡(luò)信息安全所采用的措施，所有的安全機制都是針對某些潛在的安全威脅而設(shè)計的，可以根據(jù)實際情況單獨或組合使用。如何在有限的投入下合理地使用安全機制，以便盡可能地降低安全風(fēng)險，是值得討論的，網(wǎng)絡(luò)信息安全機制應(yīng)包括：技術(shù)機制和管理機制兩方面的內(nèi)容。2.5網(wǎng)絡(luò)安全策略策略通常是一般性的規(guī)范，只提出相應(yīng)的重點，而不確切地說明如何達到所要的結(jié)果，因此策略屬于安全技術(shù)規(guī)范的最高一級。安全策略的實現(xiàn)涉及到以下及個主要方面，如圖2-1所示圖2-1安全策略實現(xiàn)流程三網(wǎng)絡(luò)安全問題解決對策3.1計算機安全級別劃分3.1.1TCSEC簡介1999年9月13日國家質(zhì)量技術(shù)監(jiān)督局公布了我國第一部關(guān)于計算機信息系統(tǒng)安全等級劃分的標準“計算機信息系統(tǒng)安全保護等級劃分準則”（GB17859-1999）。而國外同標準的是美國國防部在1985年12月公布的可信計算機系統(tǒng)評價標準TCSEC(又稱桔皮書)。在TCSEC劃分了7個安全等級：D級、C1級、C2級、B1級、B2級、B3級和A1級。其中D級是沒有安全機制的級別，A1級是難以達到的安全級別，如表3-1所示表3-1網(wǎng)絡(luò)安全等級及安全級別的性能要求安全級別名稱說明D1酌情安全保護對硬件和操作系統(tǒng)幾乎無保護，對信息的訪問無控制C1自選安全保護由用戶注冊名和口令的組合來確定用戶對信息的訪問權(quán)限B1被標簽的安全性保護為強制性訪問控制，不允許文件的擁有者改變其許可權(quán)限B2結(jié)構(gòu)化保護要求對計算機中所有信息加以標簽，并且對設(shè)備分配單個或多個安全級別B3安全域保護使用安全硬件的方法來加強域的管理終端與系統(tǒng)的連接途徑可信任A核實保護系統(tǒng)不同來源必須有安全措施必須在銷售過程中實施3.1.2GB17859劃分的特點GB17859把計算機信息安全保護能力劃分為5個等級，它們是：系統(tǒng)自我保護級、系統(tǒng)審計保護級、安全標記保護級、結(jié)構(gòu)化保護級和訪問驗證保護級。這5個級別的安全強度從低到高排列讓高一級包括低一級的安全能力，如表3-2所示。表3-2GB17859的劃分標準安全能力一級二級三級四級五級自主訪問控制√∈≡≡≡強制訪問控制√∈≡標記√∈≡身份鑒別√∈∈≡≡客體重用√≡≡≡審計√∈∈∈數(shù)據(jù)完整√≡∈≡≡隱蔽信道分析√≡注:“√”:新增功能；“∈”：比上一級功能又所擴展；“≡”：與上一級功能相同。3.1.3安全等級標準模型計算機信息系統(tǒng)的安全模型主要又訪問監(jiān)控器模型、軍用安全模仿和信息流模型等三類模型，它們是定義計算機信息系統(tǒng)安全等級劃分標準的依據(jù)。3.2防火墻技術(shù)隨著網(wǎng)絡(luò)安全問題日益嚴重，網(wǎng)絡(luò)安全技術(shù)和產(chǎn)品也被人們逐漸重視起來，防火墻作為最早出現(xiàn)的網(wǎng)絡(luò)安全技術(shù)和使用量最大的網(wǎng)絡(luò)安全產(chǎn)品，受到用戶和研發(fā)機構(gòu)的親睞。3.2.1防火墻的基本概念和作用防火墻是指設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的一系列部件的組合，它執(zhí)行預(yù)先制定的訪問控制策略，決定了網(wǎng)絡(luò)外部與網(wǎng)絡(luò)內(nèi)部的訪問方式。在網(wǎng)絡(luò)中，防火墻實際是一種隔離技術(shù)，它所執(zhí)行的隔離措施有：1．拒絕未經(jīng)授權(quán)的用戶訪問內(nèi)部網(wǎng)和存取敏感數(shù)據(jù)2．允許合法用戶不受妨礙地訪問網(wǎng)絡(luò)資源（1）作為網(wǎng)絡(luò)安全的屏障一個防火墻作為阻塞節(jié)點和控制節(jié)點能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風(fēng)險，只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。（2）可以強化網(wǎng)絡(luò)安全策略通過以防火墻為中心的安全方案配置，能將所有的安全軟件配置在防火墻上，體現(xiàn)集中安全管理更經(jīng)濟。（3）對網(wǎng)絡(luò)存取和訪問進行檢測審計如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并做出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)，當(dāng)發(fā)生可疑動作時，防火墻能進行適當(dāng)?shù)膱缶?，并提供網(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細信息。（4）防止內(nèi)部信息的外泄通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離，從而限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。（5）協(xié)議的支持支持具有因特網(wǎng)服務(wù)性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系VPN。3.2.2防火墻的分類防火墻的分類有很多種。根據(jù)受保護的對象，可以分為網(wǎng)絡(luò)防火墻的單機防火墻；根據(jù)防火墻主要部分的形態(tài)，可以分為軟件防火墻和硬件防火墻；根據(jù)防火墻使用的對象，可以分外企業(yè)防火墻和個人防火墻；根據(jù)防火墻檢查數(shù)據(jù)包的位置，可以分外包過濾、防火墻應(yīng)用代理防火墻和檢測防火墻。3.3數(shù)據(jù)加密技術(shù)數(shù)據(jù)機密技術(shù)是網(wǎng)絡(luò)中最基本的安全技術(shù)，主要是通過對網(wǎng)絡(luò)中傳輸?shù)男畔⑦M行數(shù)據(jù)加密來保障其安全性，這是一種主動安全防御策略，用很小的代價即可為信息提供相當(dāng)大的安全保護。3.3.1數(shù)據(jù)加密原理數(shù)據(jù)加密是通過某種函數(shù)進行變換，把正常數(shù)據(jù)包文（稱為明文或明碼）轉(zhuǎn)換為密文（密碼）。解密是指把密文還原成明文的過程。密碼體制是指一個系統(tǒng)所采用基本工作方式以及它的兩個基本構(gòu)成要素，即加密/解密算法和密鑰。密鑰是一個數(shù)值，它和加密算法一起生成特別的密文。傳統(tǒng)密碼體制所用的加密密鑰和解密密鑰相同，稱為對稱密碼體制。如果加密密鑰和解密密鑰不相同，則稱為非對稱密碼體制，密鑰可以看作是密碼算法中的可變參數(shù)。從數(shù)學(xué)的角度來看，改變了密鑰，實際上也就改變了明文與密文之間等價的數(shù)學(xué)函數(shù)關(guān)系。密碼算法是相對穩(wěn)定的，在這種意義上，可以把密碼算法視為常量，而密鑰則是一個變量。在設(shè)計加密系統(tǒng)中，加密算法是可以公開的，真正需要保密的是密鑰，密鑰本質(zhì)是非常大的數(shù)，密鑰大小用位表示。在公開密鑰加密方法中，密鑰越大密文就越安全。利用密碼技術(shù)，在信源和通信信道之間對報文進行加密，經(jīng)過信道傳輸，到信宿接收時進行解密，以實現(xiàn)網(wǎng)絡(luò)通信保密，加密與解密過程如圖3-5所示加密過程解密過程明文密文密文明文加密過程解密過程圖3-5加密與解密過程常加密算法為：C=Ek(M)。其中，K為密鑰，M為明文，C為密文；E為加密算法，密文C是明文M使用密鑰K經(jīng)過加密算法計算后的結(jié)果。加密算法可以公開，而密鑰只能由通信雙方來掌握。3.3.2對稱密鑰體系在對稱型密鑰體系中，加密和解密采用同一密鑰，故將這種體系稱為對稱密鑰體系，如圖3-6所示圖3-6對稱密鑰體系的加密與解密在對稱密碼體系中，最為著名的是DES分組算法，DES將二進制序列明文分為每64位一組，使用64位的密鑰，對64位二進制數(shù)進行分組加密，每輪產(chǎn)生一個48位的“每輪”密鑰值，并參與下一輪的加密過程，經(jīng)過16輪的迭代、乘積變換、壓縮等處理后產(chǎn)生64位密文數(shù)據(jù)，DES加密過程如圖3-7所示。64位數(shù)據(jù)明文64位數(shù)據(jù)明文加密處理64位數(shù)據(jù)塊密文64位數(shù)據(jù)塊密文加密處理64位數(shù)據(jù)塊密文56位密鑰48位每輪密鑰48位每輪密鑰第一輪加密第十六輪加密圖3-7DES加密過程3.3.3非對稱密鑰體系非對稱加密技術(shù)將加密和解密分開并采用一對不同的密鑰進行。其工作原理如圖3-8所示。圖3-8非對稱密鑰體系的加密與解密RSA算法的原理是數(shù)論的歐拉原理：尋求兩個大的素數(shù)容易，將它們的乘積分解開及其困難，具體做法是：選擇兩個100位的十進制大素數(shù)p和q，計算出它們的積N=pq,將N公開；再計算出N的歐拉函數(shù)，Φ（N）=(p-1)*(q-1),定義Φ（N）為小于等于N且與N互素的數(shù)個數(shù)；然后，用戶從[0,Φ（N）-1]中任選一個與Φ（N）互素的數(shù)e，同時根據(jù)下式計算出另一個數(shù)d:ed=1modΦ（N）這樣就產(chǎn)生了一對密鑰：pk=（e,N）,sk=(d,N).若用整數(shù)X表示明文，Y表示密文，則有，加密：Y=XemodN；解密：X=YemodN。3.3.4數(shù)據(jù)信封技術(shù)數(shù)字信封中采用了單鑰密碼體制和公鑰密碼體制。信息發(fā)送者首先利用隨機產(chǎn)生的對稱密碼加密信息，再利用接收方的公鑰加密對稱密碼，被公鑰加密后的對稱密碼稱之為數(shù)字信封。信息接收方要解密信息時，必須先用自己的私鑰解密數(shù)字信封，得到對稱密碼，再利用對稱密碼解密所得到的信息，這樣就保證了數(shù)據(jù)傳輸?shù)恼鎸嵭院屯暾?，如圖3-9所示。圖3-9數(shù)據(jù)信封技術(shù)計算機病毒就是能夠通過某種途徑潛伏在計算機存儲介質(zhì)里，當(dāng)達到某種條件時，即被激活的具有對計算機資源進行破壞作用的一組程序或指令集合。隨著計算機技術(shù)的發(fā)展尤其是網(wǎng)絡(luò)技術(shù)的普及，計算機病毒進入了一個新的階段網(wǎng)絡(luò)四網(wǎng)絡(luò)安全防范4.1Telnet入侵防范Telnet協(xié)議是TCP/IP協(xié)議族中的一員，是Internet遠程登錄服務(wù)的標準協(xié)議和主要方式。它為用戶提供了在本地計算機上完成遠程主機工作的能力。在終端使用者的電腦上使用telnet程序，用它連接到服務(wù)器。終端使用者可以在telnet程序中輸入命令，這些命令會在服務(wù)器上運行，就像直接在服務(wù)器的控制臺上輸入一樣?？梢栽诒镜鼐湍芸刂品?wù)器。要開始一個telnet會話，必須輸入用戶名和密碼來登錄服務(wù)器。Telnet是常用的遠程控制Web服務(wù)器的方法。telnet可能是黑客常用的攻擊方式，我們可以通過修改telnet服務(wù)端口，停用telnet服務(wù)，甚至把telnet控制臺管理工具刪除。具體方法如下：通過修改telnet端口來防止黑客輕易入侵在命令提示符窗口中輸入Tlntadmnconfigport=168命令，回車后即可將telnet端口修改成168，如圖4-1所示圖4-1修改telnet服務(wù)端口如果將telnet的最大連接數(shù)設(shè)為0，這樣就可以讓一般的黑客豪無辦法，設(shè)置方法同上。如果根本不需要telnet，完全可以把它刪掉，因為該服務(wù)實在是太危險了，直接把系統(tǒng)安裝目錄中的system32中的Tlntadmn.exe刪除掉，這樣黑客想用telnet入侵就會非常困難了[7]。4.2防止Administrator賬號被破解Windows2000/xp/2003系統(tǒng)的Administrator賬號是不能被停用的，也不能設(shè)置安全策略，這樣黑客就可以一遍又一遍地嘗試這個賬號的密碼，直到被破解，為了防止這種侵入，我們可以把Administrator賬號更名：在“組策略”窗口中，依次展開“本地計算機策略”/“計算機配置”/“windows設(shè)置”/“安全設(shè)置”/“本地策略”/“安全選項”功能分支。重命名系統(tǒng)管理員帳戶“屬性”對話框，在此輸入新的管理員名稱，盡量把它為普通用戶，然后另建一個超過10位的超級復(fù)雜密碼，并對該賬號啟用審核，這樣即使黑客費力破解到密碼也殺一無所獲。另外為了防止黑客通過Guest賬號登錄計算機，可以在“組策略”中刪除Guest賬號。4.3防止賬號被暴力破解黑空攻擊入侵大部分利用漏洞，通過提升管力員權(quán)限，這一切都跟賬號緊密相連。防范方法：通過修改注冊表來禁用空用戶連接。在注編輯器找HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA,在其窗口新建一個名為RestrictAnonymous的DWORD值將其設(shè)為1，如圖4-2所示圖4-2禁用空用戶連接4.4“木馬”防范4.4.1“木馬”的概述特洛伊木馬是一種隱藏了具有攻擊性的應(yīng)用程序。與病毒不同，它不具備復(fù)制能力，其功能具有破壞性。大部分“木馬”采用C/S運行模式，當(dāng)服務(wù)端在目標計算機上被運行后，打開一個特定的端口進行監(jiān)聽，當(dāng)客戶端向服務(wù)器發(fā)出連接請求時，服務(wù)器端相應(yīng)程序會自動運行來應(yīng)答客戶機的請求，如表4-1所示。表4-1C/S型木馬結(jié)構(gòu)1、端口打開并監(jiān)聽1、端口打開并監(jiān)聽2、受并運行命令3、運行并將信息返回客戶端1、首先發(fā)起連接2、連接成功后發(fā)出命令3、接受返回信息3.4.4數(shù)據(jù)信封技術(shù)4.4.2“木馬”的防范措施1．檢查系統(tǒng)配置應(yīng)用程序在“木馬”程序會想盡一切辦法隱藏自己，主要途徑有：在任務(wù)欄和任務(wù)管理器中隱藏自己，即將程序設(shè)為“系統(tǒng)服務(wù)”來偽裝自己，“木馬”會在每次服務(wù)端啟動時自動裝載到系統(tǒng)中，如：啟動組，win.ini,system.ini,注冊表等。比如在“開始”-“運行”輸入msconfig,執(zhí)行windows自帶“系統(tǒng)配置應(yīng)用程序”。在標簽為win.ini文件中，在[windows]下面“run=”和“l(fā)oad=”是可能加載“木馬”程序的途徑，一般情況下，它們的等號后面什么都沒有。在system.ini文件中，在[BOOT]下面有個“shell:文件名”正確的文件名應(yīng)該是“explorer.exe”如果不是“explorer.exe”，而是“shell:explorer.exe程序名”，那么后面跟著的那個程序就是“木馬”了[8]。2．查看注冊表regedHKEY_LOCAL_MACHINE\software\Microsoft\windows\currentversion\run目錄下查看鍵值有設(shè)有自己不熟悉的自動啟動文件，擴展名為：“.exe”。3．查找“木馬”的特征文件“木馬”的一個特征文件是kernl32.exe,另一個是sysexlpr.exe，只要刪除了這兩個文件，“木馬”就不起作用了，但是需要注意的是sysexlpr.exe是和文本文件關(guān)聯(lián)的，在刪除時，必須先把文本文件跟notepod關(guān)聯(lián)上，否則不能使用文本文件。4.5網(wǎng)頁惡意代碼及其防范4.5.1惡意代碼的威脅分類1．消耗系統(tǒng)資源不斷地利用CPU的利用率，使計算機不能處理其他的進程，導(dǎo)致系統(tǒng)和網(wǎng)絡(luò)資源癱瘓。這類病毒大都是利用JavaScrit產(chǎn)生的一個死循環(huán)，它可以在有惡意的網(wǎng)站中出現(xiàn)，也可以被當(dāng)作郵件發(fā)給用戶，當(dāng)用戶打開html,vbs附件時，屏幕會出現(xiàn)無數(shù)個瀏覽器窗口，最后不得不重啟。2．非法向用戶硬盤寫入文件3．IE泄露利用IE漏洞，網(wǎng)頁可以讀取客戶機的文件，就可以從中獲得用戶賬號和密碼。4．利用郵件非法安裝木馬4.5.2惡意代碼在html中利用死循環(huán)原理，交叉顯示耀眼的光線，如果繼續(xù)插入編寫的一段代碼，擴大惡意程度，那么IE將無法使用。4.5.3惡意代碼的防范措施1．運行IE時點擊“工具→Internet選項→安全→Internet區(qū)域的安全級別”，把安全級別由“中”改為“高”。網(wǎng)頁惡意代碼主要是含有惡意代碼的ActiveX或Applet、JavaScript的網(wǎng)頁文件，所以在IE設(shè)置中將ActiveX插件和控件、Java腳本等全部禁止就可以減少被網(wǎng)頁惡意代碼感染的幾率。具體方案是：在IE窗口中點擊“工具”→“Internet選項”，在彈出的對話框中選擇“安全”標簽，再點擊“自定義級別”按鈕，就會彈出“安全設(shè)置”對話框，把其中所有ActiveX插件和控件以及與Java相關(guān)全部選項選擇“禁用”。如圖4-3所示：圖4-3防范網(wǎng)頁惡意代碼2．網(wǎng)頁方面網(wǎng)頁惡意代碼大多是在訪問網(wǎng)站時候誤下載和激活的，所以不要進入不信任的陌生網(wǎng)站，對于網(wǎng)頁上的各種超級連接不要盲目去點擊，若被強制安裝惡意代碼，一經(jīng)發(fā)現(xiàn)立即刪除，或者安裝相應(yīng)的惡意代碼清除工具，或本機防火墻軟件。4.6嗅探器(Sineffer)的防范Sniffer是一種常用的收集有用數(shù)據(jù)方法，這些數(shù)據(jù)可能是用戶的帳號和密碼，可能是一些商用機密數(shù)據(jù)，等等。它可以作為能夠捕獲網(wǎng)絡(luò)報文的設(shè)備，ISS為Sniffer這樣定義：Sniffer是利用計算機的網(wǎng)絡(luò)接口截獲其他計算機的數(shù)據(jù)報文的一種工具。4.6.1嗅探器工作原理Sniffer要捕獲的東西必須是要物理信號能收到的報文信息，只要通知網(wǎng)卡接收其收到的所有包，在共享HUB下就能接收到這個網(wǎng)絡(luò)的所有包，但是交換HUB下就只能是自己的包加上廣播包，Sniffer工作在網(wǎng)絡(luò)環(huán)境中的底層，它會攔截所有正在網(wǎng)絡(luò)上傳遞的數(shù)據(jù)，并且通過相應(yīng)的軟件處理，可以實時分析這些數(shù)據(jù)的內(nèi)容，進而分析所處理的網(wǎng)絡(luò)狀態(tài)和整體布局，值得注意的是，Sniffer是極其安靜的，它是一種消極的安全攻擊。Sniffer在功能和設(shè)計方面有很多不同，有些只能分析一種協(xié)議，而另一些可能能夠分析幾百種協(xié)議，一般情況下，大多數(shù)的嗅探器至少能夠分析以下的協(xié)議：標準以太網(wǎng)，TCP/IP,IPX,DECNET。4.6.2嗅探器檢測與防范1．對于可能存在的網(wǎng)絡(luò)監(jiān)聽監(jiān)測對于懷疑運行監(jiān)聽程序的機器，用正確的IP地址和錯誤的物理地址ping，運行監(jiān)聽程序的機器會有響應(yīng)，這是因為正常的機器不接收錯誤的物理地址，處理監(jiān)聽狀態(tài)的機器能接收，但如果它的Ipstack不再發(fā)反向檢查的話，就會響應(yīng)。2．向網(wǎng)上發(fā)大量不存在的物理地址包由于監(jiān)聽程序要分析和處理大量的數(shù)據(jù)包會占用很多的資源，會導(dǎo)致系統(tǒng)性能下降，通過比較前后該機器性能加以判斷，這種辦法難度較大。3．使用反監(jiān)聽工具如Antisniffer等進行檢測對于網(wǎng)絡(luò)監(jiān)聽的防范措施有：（1）從邏輯或物理上對網(wǎng)絡(luò)分段（2）以交換式HUB代替共享式HUB（3）使用加密技術(shù)（4）劃分VLAN（虛擬局域網(wǎng)）4.7數(shù)據(jù)密文防范措施在前面的一章中我們已經(jīng)介紹了數(shù)據(jù)加密和隱藏技術(shù)，在保密系統(tǒng)中，信道中傳播的是加密后的消息，即密文，采用截獲密文進行分析的攻擊稱為被動攻擊，采用刪除、更改、增添、重放、偽造等手段向系統(tǒng)注入假消息并進行分析的攻擊稱為主動攻擊。對此，我們必須采用有效的加密解密的程序來防止密文泄露，可以通過c語言來實現(xiàn)的加密和解密。4.8其他網(wǎng)絡(luò)攻擊與防范措施4.8.1源Ip地址欺騙攻擊許多應(yīng)用程序認為如果數(shù)據(jù)包能使其自身沿著路由到達目的地，而且應(yīng)答包也可以回到源地，那么源IP地址一定是有效的，而這正是使源IP地址欺騙攻擊成為可能的前提。要防止源IP地址的欺騙行為，可以采取以下措施來盡可能地保護系統(tǒng)免受這類攻擊：1．拋棄基于地址的信任策略2．使用加密方法3．進行包過濾4.8.2源路由欺騙攻擊在通常情況下，信息包從起點到終點走過的路徑是由位于此兩點間的路由器決定的，數(shù)據(jù)包本身只知道去行何處，但不知道該如何去源路由可使信息包的發(fā)送者將此數(shù)據(jù)包要經(jīng)過胡路徑寫在數(shù)據(jù)包里，使數(shù)據(jù)包循著一個對方不可預(yù)料的路徑到達目的主機。為了防范源路由欺騙攻擊，一般采用下面兩種措施：1．方法一對付這種攻擊最好的辦法是配置好路由器使它拋棄那些由外部網(wǎng)進來的卻聲稱是內(nèi)部主機的報文。2．方法二在路由器上關(guān)閉源路由，用命令noipsource-route。4.8.3拒絕服務(wù)器攻擊及預(yù)防措施在拒絕服務(wù)攻擊中，攻擊中加載過多的服務(wù)將對方資源全部耗盡，使得沒有多余資源供其他用戶使用，SYNFlood攻擊是典型的拒絕服務(wù)攻擊。為了防止拒絕服務(wù)攻擊，我們可以采取以下預(yù)防措施1．對方信息淹沒攻擊我們應(yīng)關(guān)掉可能產(chǎn)生無限序列的服務(wù)來防止這種攻擊。比如我們可以在服務(wù)器端拒絕所有的ICMP包，或者在該網(wǎng)段路由器上對ICMP進行帶寬限制，控制其在一定的范圍內(nèi)。2．防止SYN數(shù)據(jù)段攻擊應(yīng)對系統(tǒng)設(shè)定相應(yīng)的內(nèi)核參數(shù)，使得系統(tǒng)強制對超時的SYN請求連接數(shù)據(jù)包復(fù)位，同時通過縮短超時常數(shù)和加長等候隊列使得系統(tǒng)能迅速處理無效的SYN請求數(shù)據(jù)包3．配置調(diào)整建議在網(wǎng)段的路由器上做起配置的調(diào)整，這些調(diào)整包括限制SYN半公開數(shù)據(jù)包的流量和廣數(shù)。4．TCP攔截建議在路由器的前端做必要胡TCP攔截，使得只有完成TCP三次握手過程的數(shù)據(jù)包才可進入網(wǎng)段。五校園網(wǎng)絡(luò)安全體系通過以上對網(wǎng)絡(luò)攻擊分析和防范的設(shè)計，校園網(wǎng)絡(luò)也會面臨同樣的威脅，所以我們在知道網(wǎng)絡(luò)功防基礎(chǔ)上應(yīng)該構(gòu)筑校園網(wǎng)絡(luò)安全體系，要從兩個方面著手：一是采用一定的技術(shù)；二是不斷改進管理方法。從技術(shù)角度看，目前常用的安全手段有內(nèi)外網(wǎng)隔離技術(shù)、加密技術(shù)、身份認證、訪問控制、安全路由等，這些技術(shù)對防止非法入侵系統(tǒng)起到了一定的防御作用。防火墻作為一種將內(nèi)外網(wǎng)隔離的技術(shù)，普遍運用于校園網(wǎng)安全建設(shè)中[9]。5.1校園網(wǎng)絡(luò)安全規(guī)范在校園網(wǎng)的需求來講，校園的網(wǎng)絡(luò)安全是指利用各種網(wǎng)絡(luò)監(jiān)控和管理技術(shù)措施，對網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及系統(tǒng)中的數(shù)據(jù)資源實施保護，使其不會因為一些不利因素而遭到破壞，從而保證網(wǎng)絡(luò)系統(tǒng)連續(xù)、安全、可靠地運行。校園網(wǎng)分為內(nèi)部網(wǎng)和互聯(lián)網(wǎng)兩部分，技術(shù)上采用虛擬網(wǎng)管理。一般用戶不提供與internet直接相連，需要直接連接的用戶應(yīng)向校園網(wǎng)管理委員會提出申請，獲準后由網(wǎng)絡(luò)中心分配IP地址并提供相應(yīng)的入網(wǎng)軟硬件，具有直接連接權(quán)限的用戶應(yīng)與校園網(wǎng)管中心簽定保密協(xié)議書，并自覺接受網(wǎng)絡(luò)安全員的檢查。學(xué)校網(wǎng)絡(luò)中心負責(zé)網(wǎng)絡(luò)設(shè)備的運行管理，信息中心負責(zé)網(wǎng)絡(luò)資源，用戶帳戶肯安全管理，系統(tǒng)管理員口令絕對保密，根據(jù)用戶需求嚴格控制，合理分配用戶權(quán)限。網(wǎng)絡(luò)用戶口令應(yīng)經(jīng)常更新，防殺病毒軟件本身無毒，向?qū)W生開放的教學(xué)實驗室應(yīng)禁止使用軟驅(qū)和光驅(qū)，以杜絕病毒的傳播。校園網(wǎng)絡(luò)信息系統(tǒng)以自行開發(fā)為主，系統(tǒng)軟件應(yīng)對訪問權(quán)限嚴格限制，對不同操作人員，不同信息的內(nèi)容需按等級分設(shè)口令。學(xué)校信息系統(tǒng)采用客戶/服務(wù)器結(jié)構(gòu)，數(shù)據(jù)由網(wǎng)絡(luò)信息中心及網(wǎng)絡(luò)管理部門進行定期備份，對備份后的數(shù)據(jù)應(yīng)有專人保管，確保發(fā)生意外情況時能及時恢復(fù)系統(tǒng)運行，加強監(jiān)督管理工作，使用過程中的重要信息記錄要保存到事故文件中，以便掌握使用情況，發(fā)生可疑現(xiàn)象，及時追查安全事故責(zé)任。5.2校園網(wǎng)絡(luò)安全建議5.2.1校園網(wǎng)絡(luò)狀況分析1．資源分布和分布式系統(tǒng)校園網(wǎng)絡(luò)可向網(wǎng)絡(luò)用戶提供：域名服務(wù)（DNS），電子郵件服務(wù)（E-mail）,遠程登錄（telnet），文件傳輸服務(wù)（ftp）,電子廣告牌，BBS，電子新聞，WWW以及信息收集，存儲，交換，檢索等服務(wù)。2．網(wǎng)絡(luò)結(jié)構(gòu)的劃分整個網(wǎng)絡(luò)是由各網(wǎng)絡(luò)中心，和園區(qū)內(nèi)部網(wǎng)絡(luò)通過各種通信方式互聯(lián)而成的，所有網(wǎng)絡(luò)可歸納為由連接子網(wǎng)、公共子網(wǎng)、服務(wù)子網(wǎng)、內(nèi)部網(wǎng)四個部分組成。這四部分組成一個獨立單位的局域網(wǎng)，然后通過廣域連接與其他網(wǎng)絡(luò)連接。5.2.2校園網(wǎng)絡(luò)安全目標為了增加網(wǎng)絡(luò)安全性，必須地信息資源加以保護，對服務(wù)資源加以控制管理。1．信息資源（1）公眾信息即不需要訪問控制。（2）敏感信息即需要驗證身份和傳輸加密。（3）內(nèi)部信息即需要身份驗證以及根據(jù)根據(jù)身份進行訪問控制。2．服務(wù)資源內(nèi)部服務(wù)資源、公眾服務(wù)資源內(nèi)部服務(wù)資源：面向已知客戶，管理和控制內(nèi)部用戶對信息資源的訪問。公眾服務(wù)資源：面向匿名客戶，防止和抵御外來的攻擊。5.3校園網(wǎng)絡(luò)信息安全技術(shù)應(yīng)用5.3.1數(shù)據(jù)備份方法需求分析的基本任務(wù)：確定系統(tǒng)的目標和范圍，調(diào)查用戶的需求,分析系統(tǒng)必須做什么,編寫需求規(guī)格說明書等其它相關(guān)文檔，以及需求工程審查。同時還包括需求變更的控制。1．邏輯備份邏輯備份也可以稱作“基于文件的備份”。每個文件都是由不同的邏輯塊組成的，每個邏輯塊存儲在連續(xù)的物理磁盤塊上，基于文件的備份系統(tǒng)能識別文件結(jié)構(gòu)，并拷貝所有的文件和目錄到備份資源上。系統(tǒng)順序讀取每個文件的物理塊，然后備份軟件連續(xù)地將文件寫入到備份介質(zhì)上，從而使得每個單獨文件的恢復(fù)變得更快。2．物理備份物理又稱“基于塊的備份”或“基于設(shè)備的備份”，其在拷貝磁盤塊到備份介質(zhì)上時忽略文件結(jié)構(gòu)，從而提高備份的性能。因為備份軟件在執(zhí)行過程中，花費在搜索操作上的開銷很少。3．完全備份完全備份是指整個系統(tǒng)或用戶指定的所有文件數(shù)據(jù)進行一次全面的備份，這是一種最基本，也是最簡單的備份方式。這種備份方式的好處就是很直觀，容易理解。如果在備份間隔期間出現(xiàn)數(shù)據(jù)丟失等問題，可以只使用一份備份文件快速地恢復(fù)所丟失的數(shù)據(jù)。4．增量備份為了解決上述完全備份的兩個缺點，出現(xiàn)了更快、更小的增量備份。增量備份只備份相對于上次備份操作以來新創(chuàng)建或者更新過的數(shù)據(jù)。因為在特定的時間段內(nèi)只有少量的文件發(fā)生改變，沒有重復(fù)的備份數(shù)據(jù)，因此既節(jié)省空間，又縮短了備份的時間。因而這種備份方法比較經(jīng)濟，可以頻繁地進行。5.差異備份差異備份即備份上一次完全備份后產(chǎn)生和更新的所有新的數(shù)據(jù)。它的主要目的是將完全恢復(fù)時涉及到備份記錄數(shù)量限制在兩個，以簡化恢復(fù)的復(fù)雜性。5.4校園網(wǎng)絡(luò)安全隱患校當(dāng)前，校園網(wǎng)絡(luò)安全存在的漏洞很安全隱患有：1.外部安全隱患校園網(wǎng)通過CERNET與Internet相連，在享受Internet方便快捷的同時，也面臨著遭遇攻擊的風(fēng)險。2.內(nèi)部安全隱患校園網(wǎng)內(nèi)部也存在很大的安全隱患，由于內(nèi)部用戶對網(wǎng)絡(luò)的結(jié)構(gòu)和應(yīng)用模式都比較了解，因此來自內(nèi)部的安全威脅更大一些。而現(xiàn)在，黑客攻擊工具在網(wǎng)上十分常見，一般人員并不需要很復(fù)雜的知識就能用，所以存在很大的危險。3.內(nèi)部安全隱患目前使用的操作系統(tǒng)存在安全漏洞，對網(wǎng)絡(luò)安全構(gòu)成了威脅。大學(xué)的網(wǎng)絡(luò)服務(wù)器安裝的操作系統(tǒng)有WindowsNT/Windows2000、Unix、Linux等，這些系統(tǒng)安全風(fēng)險級別不同，例如WINNT/WIN2000的普遍性和可操作性使得它也是最不安全的系統(tǒng)：本身系統(tǒng)的漏洞、瀏覽器的漏洞、IIS的漏洞；Unix由于其技術(shù)的復(fù)雜性導(dǎo)致高級黑客對其進行攻擊：自身安全漏洞（RIP路由轉(zhuǎn)移等）、服務(wù)安全漏洞、Unix自身的病毒等等，這些都對原有網(wǎng)絡(luò)安全構(gòu)成威脅。由此可見，構(gòu)筑具有必要的信息安全防護體系，建立一套有效的網(wǎng)絡(luò)安全體系顯得尤其重要。5.5校園網(wǎng)絡(luò)主動和防御體系校園網(wǎng)的安全威脅既有來自校內(nèi)的，也有來自校外的。在設(shè)計校園網(wǎng)網(wǎng)絡(luò)安全系統(tǒng)時，首先要了解學(xué)校的需要和目標，制定安全策略，需要注意的是，網(wǎng)絡(luò)上的業(yè)務(wù)目標、安全策略與安全設(shè)計之間的關(guān)系是一體的。因此網(wǎng)絡(luò)安全防范體系應(yīng)該是動態(tài)變化的，在完成安全防范體系的設(shè)計后，必須不斷適應(yīng)安全環(huán)境的變化，以保證網(wǎng)絡(luò)安全防范體系的良性發(fā)展，確保它的有效性和先進性。5.5.1P2DR模型美國國際互聯(lián)網(wǎng)安全系統(tǒng)公司(ISS)提出的P2DR模型是指：策略(Policy)、防護(Protection)、檢測(Detection)和響應(yīng)(Response)。P2DR模型強調(diào)防護、檢測和響應(yīng)等環(huán)節(jié)的動態(tài)循環(huán)過程，通過這種過程達到保持網(wǎng)絡(luò)系統(tǒng)的相對安全。所以P2DR模型是“整體的、動態(tài)的”的安全循環(huán)，在安全策略整體的控制下指導(dǎo)下保證信息系統(tǒng)的安全。P2DR模型如圖5-1所示。圖5-1P2DR模型P2DR模型是美國ISS公司提出的動態(tài)網(wǎng)絡(luò)安全體系的代表模型，也是動態(tài)安全模型的雛形。P2DR模型包括四個主要部分：Policy(安全策略)、Protection(防護)、Detection(檢測)和Response(響應(yīng))。P2DR模型是在整體的安全策略的控制和指導(dǎo)下，在綜合運用防護工具(如防火墻、操作系統(tǒng)身份認證、加密等)的同時，利用檢測工具(如漏洞評估、入侵檢測等)了解和評估系統(tǒng)的安全狀態(tài)，通過適當(dāng)?shù)姆磻?yīng)將系統(tǒng)調(diào)整到“最安全”和“風(fēng)險最低”的狀態(tài)。防護、檢測和響應(yīng)組成了一個完整的、動態(tài)的安全循環(huán)，在安全策略的指導(dǎo)下保證信息系統(tǒng)的安全。該理論的最基本原理就是認為，信息安全相關(guān)的所有活動，不管是攻擊行為、防護行為、檢測行為和響應(yīng)行為等等都要消耗時間。因此可以用時間來衡量一個體系的安全性和安全能力。作為一個防護體系，當(dāng)入侵者要發(fā)起攻擊時，每一步都需要花費時間。當(dāng)然攻擊成功花費的時間就是安全體系提供的防護時間Pt；在入侵發(fā)生的同時，檢測系統(tǒng)也在發(fā)揮作用，檢測到入侵行為也要花費時間―檢測時間Dt；在檢測到入侵后，系統(tǒng)會做出應(yīng)有的響應(yīng)動作，這也要花費時間―響應(yīng)時間Rt。P2DR模型就可以用一些典型的數(shù)學(xué)公式來表達安全的要求：1．公式1：Pt＞Dt+RtPt代表系統(tǒng)為了保護安全目標設(shè)置各種保護后的防護時間；或者理解為在這樣的保護方式下，黑客（入侵者）攻擊安全目標所花費的時間。Dt代表從入侵者開始發(fā)動入侵開始，系統(tǒng)能夠檢測到入侵行為所花費的時間。Rt代表從發(fā)現(xiàn)入侵行為開始，系統(tǒng)能夠做出足夠的響應(yīng)，將系統(tǒng)調(diào)整到正常狀態(tài)的時間。那么，針對于需要保護的安全目標，如果上述數(shù)學(xué)公式滿足防護時間大于檢測時間加上響應(yīng)時間，也就是在入侵者危害安全目標之前就能被檢測到并及時處理。2．公式2：Et=Dt+Rt，如果Pt=0公式的前提是假設(shè)防護時間為0。Dt代表從入侵者破壞了安全目標系統(tǒng)開始，系統(tǒng)能夠檢測到破壞行為所花費的時間。Rt代表從發(fā)現(xiàn)遭到破壞開始，系統(tǒng)能夠做出足夠的響應(yīng)，將系統(tǒng)調(diào)整到正常狀態(tài)的時間。比如，對WebServer被破壞的頁面進行恢復(fù)。那么，Dt與Rt的和就是該安全目標系統(tǒng)的暴露時間Et。針對于需要保護的安全目標，如果Et越小系統(tǒng)就越安全。通過上面兩個公式的描述，實際上給出了安全一個全新的定義：“及時的檢測和響應(yīng)就是安全”，“及時的檢測和恢復(fù)就是安全”。而且，這樣的定義為安全問題的解決給出了明確的方向：提高系統(tǒng)的防護時間Pt，降低檢測時間Dt和響應(yīng)時間Rt。5.5.2校園網(wǎng)絡(luò)安全防范體系安全模型中的安全策略、防護、檢測、響應(yīng)始終貫穿著安全技術(shù)和安全管理兩個方面的重要內(nèi)容，校園網(wǎng)絡(luò)安全防范體系構(gòu)建是以安全策略為核心,防護，檢測和響應(yīng)為實施方法,并通過安全培訓(xùn)加強所有人員的安全意識，完善安全體系安全單元環(huán)境。安全體系的示意圖如圖5-2所示。圖5-2安全防范體系針對以上校園網(wǎng)網(wǎng)絡(luò)安全體系應(yīng)用以下安全技術(shù)來實現(xiàn)：1．配置防火墻和入侵檢測系統(tǒng)在校園網(wǎng)的進口處架設(shè)了防火墻和網(wǎng)絡(luò)入侵檢測系統(tǒng)。防火墻作為一種將內(nèi)外網(wǎng)隔離的技術(shù)，普遍運用于校園網(wǎng)安全建設(shè)中。防火墻可以有效地隔離內(nèi)部網(wǎng)與外部網(wǎng)，保護校園內(nèi)部網(wǎng)絡(luò)免遭非法的侵入。網(wǎng)絡(luò)安全檢測工具是一個網(wǎng)絡(luò)安全性評估分析軟件，不時的掃描分析網(wǎng)絡(luò)系統(tǒng)，網(wǎng)絡(luò)管理員根據(jù)檢測的報告系統(tǒng)分析存在的弱點和漏洞，及時采取補救措施，以達到增強網(wǎng)絡(luò)安全性的目的?；诰W(wǎng)絡(luò)的入侵檢測系統(tǒng)，對監(jiān)視網(wǎng)段中的各種數(shù)據(jù)包進行特征分析，會根據(jù)產(chǎn)品中配置規(guī)則情況錄取是否發(fā)出警報或直接切斷網(wǎng)絡(luò)連接。2．采用VLAN技術(shù)按學(xué)校各部門擁有不同的應(yīng)用業(yè)務(wù)以及不同的安全級別，有限制非法訪問可以運用VLAN技術(shù)。如使用三層交換機基于端口劃分技術(shù)將網(wǎng)絡(luò)分段并進行隔離，實現(xiàn)訪問控制。3．配置代理服務(wù)器在計算機中心學(xué)生機房配置訪問控制列表，使用二級防火墻，并利用代理軟件配置代理服務(wù)器，在代理服務(wù)器上安裝雙網(wǎng)卡，連接外網(wǎng)的網(wǎng)卡使用公網(wǎng)IP地址，連接內(nèi)網(wǎng)的網(wǎng)卡使用私有地址，學(xué)生客戶機IP地址與代理服務(wù)器內(nèi)網(wǎng)IP地址在同一網(wǎng)段，網(wǎng)關(guān)IP為代理服務(wù)器內(nèi)網(wǎng)IP地址。機房機器通過代理服務(wù)器連接互聯(lián)網(wǎng)，可以控制前往 Internet的所有用戶的流量。4．安裝殺毒軟件在整個校園網(wǎng)中只要有可能感染和傳播病毒的地方都采取相應(yīng)的防病毒手段，安裝相適應(yīng)的防殺毒軟件，有效地防止病毒在校園網(wǎng)上感染、傳播和發(fā)作。對防病毒軟件要有效、快速地升級病毒定義碼和掃描引擎。網(wǎng)絡(luò)的安全管理是一個長期的、動態(tài)的過程。本網(wǎng)絡(luò)系統(tǒng)的安全性還存在不少問題，比如說防止網(wǎng)絡(luò)攻擊方面，盡管使用了入侵檢測系統(tǒng)和防火墻的聯(lián)動技術(shù)，但是，目前的入侵檢測系統(tǒng)對未知的攻擊檢測能力較弱，且存在誤報率太高的缺點。這些問題有待我們作進一步的探討和改進，不斷的分階段完善安全防范體系。5．制定安全策略安全策略是賦予了組織機構(gòu)技術(shù)人員或信息資產(chǎn)使用權(quán)的人員必須履行的準則的正規(guī)陳述它是一個成功的網(wǎng)絡(luò)安全體系的基礎(chǔ)與核心。業(yè)務(wù)需求和風(fēng)險分析是安全策略的主要制定依據(jù)。校園網(wǎng)絡(luò)的安全策略是依據(jù)校園網(wǎng)的業(yè)務(wù)需求描述了校園網(wǎng)近期安全目標和長期安全目標，以及安全風(fēng)險評估分析，不同安全評估標準中保護對象的安全等級方面的內(nèi)容。5.5.3完善安全制度與管理安全管理貫穿整個安全防范體系，是安全防范體系的核心，代表了安全防范體系中人的因素。網(wǎng)絡(luò)系統(tǒng)的安全性不只是技術(shù)方面的問題，如果日常管理上沒有相應(yīng)規(guī)章制度來管理約束，再先進的軟件技術(shù),硬件設(shè)備對網(wǎng)絡(luò)系統(tǒng)的安全來說也是不安全的。一個有效的安全防范體系應(yīng)該是以安全策略為核心，以安全技術(shù)為支撐，以安全管理為落實,安全管理主要是對安全技術(shù)和安全策略的管理，安全策略為安全管理提供管理方向，安全技術(shù)是輔助安全管理的措施。當(dāng)網(wǎng)絡(luò)出現(xiàn)攻擊行為或其它一些安全威脅時，無法進行實時的檢測、監(jiān)控、報告與預(yù)警。同時，當(dāng)事故發(fā)生后，也無法提供黑客攻擊行為的追蹤線索，即缺乏對網(wǎng)絡(luò)的可控性與可審查性。這就要求網(wǎng)絡(luò)管理員經(jīng)常通過網(wǎng)絡(luò)攻擊掃描器提前識別弱點區(qū)域，入侵檢測系統(tǒng)監(jiān)控和響應(yīng)安全事件，必須對站點的訪問活動進行多層次的記錄，及時發(fā)現(xiàn)非法入侵行為。安全管理主要是對安全策略的一系列實施操作，這些操作是構(gòu)建網(wǎng)絡(luò)安全體系必不可少的。沒有完善的安全管理體系，很難保證網(wǎng)絡(luò)系統(tǒng)的安全。必須制定詳細的安全管理制度，如機房管理制度、病毒防范制度等，并采取切實有效的措施保證制度的執(zhí)行。學(xué)院網(wǎng)絡(luò)安全防范體系建立以后，學(xué)院的網(wǎng)絡(luò)控制中心負責(zé)網(wǎng)絡(luò)設(shè)備的運行管理，信息中心負責(zé)網(wǎng)絡(luò)教學(xué)資源的安全管理。規(guī)定系統(tǒng)管理員要進行日常的網(wǎng)絡(luò)安全管理，實時地、動態(tài)地監(jiān)控網(wǎng)絡(luò)運行情況，每日必須檢查服務(wù)器的日志，對重要的數(shù)據(jù)服務(wù)器，每日必須進行異地數(shù)據(jù)備份。六結(jié)論本文首先從多個角度研究了計算機網(wǎng)絡(luò)的安全性，針對各種不同的威脅與攻擊研究了解決它們的相應(yīng)安全技術(shù)。接下來，在一般意義下制定計算機網(wǎng)絡(luò)安全系統(tǒng)設(shè)計的策略與原則，提出了計算機網(wǎng)絡(luò)安全的解決方案。但是，計算機網(wǎng)絡(luò)安全的問題是一個永久的課題，它將隨著計算機技術(shù)、計算機網(wǎng)絡(luò)的發(fā)展而一直存在、一直發(fā)展。計算機網(wǎng)絡(luò)的威脅與計算機網(wǎng)絡(luò)的安全防護會一直較量下去，本文采用的技術(shù)也不能說是非常完善的，一方面因為網(wǎng)絡(luò)攻防技術(shù)都是在不斷發(fā)展中，另一方面是因為設(shè)計者的水平有限。且網(wǎng)絡(luò)安全本身是一個十分復(fù)雜的技術(shù)問題，解決的手段也是多樣的。所以，計算機網(wǎng)絡(luò)安全技術(shù)是個永無止境的研究課題。致謝大學(xué)三年的學(xué)習(xí)生活即將結(jié)束，在此，我要感謝所有曾經(jīng)教導(dǎo)過我的老師和關(guān)心過我的同學(xué)，他們在我成長過程中給予了我很大的幫助。本文能夠成功的完成，要特別感謝我的指導(dǎo)教師李老師的關(guān)懷和教導(dǎo)。從撰寫、修改、定稿，我的每一個進步都和李老師的關(guān)注與指導(dǎo)密不可分。李老師淵博的學(xué)識、嚴謹?shù)闹螌W(xué)態(tài)度和豐富的實踐經(jīng)驗使我在做論文間受益非淺，李老師不僅使我在理論知識和實踐經(jīng)驗上得到長進，而且培養(yǎng)了更為系統(tǒng)和科學(xué)的學(xué)習(xí)和工作方法。在此謹向李老師表示衷心的感謝和誠摯的敬意！論文即將完成之際，感慨萬千。最后，我要再次感謝我的母校，以及大學(xué)的所有老師。謝謝您們這三年來在大學(xué)里給我的培養(yǎng)和啟示，讓我今生難忘。參考文獻：[1]邵波，王其和.計算機網(wǎng)絡(luò)安全技術(shù)及應(yīng)用.北京：電子工業(yè)出版社，2005.11：17-18[2]陳健偉，張輝.計算機網(wǎng)絡(luò)與信息安全[M].北京：希望電子出版社，2006.2：42-43[3]王宇，盧昱.計算機網(wǎng)絡(luò)安全與控制技術(shù)[M].北京：科學(xué)出版社，2005.6：19-20[4]張小斌，嚴望佳.黑客分析與防范技術(shù)[M].北京:清華大學(xué)出版社，1999，22-23[5]卡哈特.密碼學(xué)與網(wǎng)絡(luò)安全[M].清華大學(xué)出版社,2005.9:100-102[6]潘瑜.計算機網(wǎng)絡(luò)安全技術(shù)[M].北京：科學(xué)出版社，2006，23[7]華師傅資訊編著.黑客攻防疑難解析與技巧800例.北京:中國鐵道出版社，2008，219[8]謝冬青，冷鍵，雄偉.計算機網(wǎng)絡(luò)安全技術(shù)[M].北京：機械工業(yè)出版社，2007,46-47[9]王竹林.校園網(wǎng)組建和管理[M].北京：清華大學(xué)出版社，2002，259-26007,46-47 基于C8051F單片機直流電動機反饋控制系統(tǒng)的設(shè)計與研究基于單片機的嵌入式Web服務(wù)器的研究MOTOROLA單片機MC68HC（8）05PV8/A內(nèi)嵌EEPROM的工藝和制程方法及對良率的影響研究基于模糊控制的電阻釬焊單片機溫度控制系統(tǒng)的研制基于MCS-51系列單片機的通用控制模塊的研究基于單片機實現(xiàn)的供暖系統(tǒng)最佳啟停自校正（STR）調(diào)節(jié)器單片機控制的二級倒立擺系統(tǒng)的研究基于增強型51系列單片機的TCP/IP協(xié)議棧的實現(xiàn)基于單片機的蓄電池自動監(jiān)測系統(tǒng)基于32位嵌入式單片機系統(tǒng)的圖像采集與處理技術(shù)的研究基于單片機的作物營養(yǎng)診斷專家系統(tǒng)的研究基于單片機的交流伺服電機運動控制系統(tǒng)研究與開發(fā)基于單片機的泵管內(nèi)壁硬度測試儀的研制基于單片機的自動找平控制系統(tǒng)研究基于C8051F040單片機的嵌入式系統(tǒng)開發(fā)基于單片機的液壓動力系統(tǒng)狀態(tài)監(jiān)測儀開發(fā)模糊Smith智能控制方法的研究及其單片機實現(xiàn)一種基于單片機的軸快流CO〈,2〉激光器的手持控制面板的研制基于雙單片機沖床數(shù)控系統(tǒng)的研究基于CYGNAL單片機的在線間歇式濁度儀的研制基于單片機的噴油泵試驗臺控制器的研制基于單片機的軟起動器的研究和設(shè)計基于單片機控制的高速快走絲電火花線切割機床短循環(huán)走絲方式研究基于單片機的機電產(chǎn)品控制系統(tǒng)開發(fā)基于PIC單片機的智能手機充電器基于單片機的實時內(nèi)核設(shè)計及其應(yīng)用研究基于單片機的遠程抄表系統(tǒng)的設(shè)計與研究基于單片機的煙氣二氧化硫濃度檢測儀的研制基于微型光譜儀的單片機系統(tǒng)單片機系統(tǒng)軟件構(gòu)件開發(fā)的技術(shù)研究基于單片機的液體點滴速度自動檢測儀的研制基于單片機系統(tǒng)的多功能溫度測量儀的研制基于PIC單片機的電能采集終端的設(shè)計和應(yīng)用基于單片機的光纖光柵解調(diào)儀的研制氣壓式線性摩擦焊機單片機控制系統(tǒng)的研制基于單片機的數(shù)字磁通門傳感器基于單片機的旋轉(zhuǎn)變壓器-數(shù)字轉(zhuǎn)換器的研究基于單片機的光纖Bragg光柵解調(diào)系統(tǒng)的研究單片機控制的便攜式多功能乳腺治療儀的研制基于C8051F020單片機的多生理信號檢測儀基于單片機的電機運動控制系統(tǒng)設(shè)計Pico專用單片機核的可測性設(shè)計研究基于MCS-51單片機的熱量計基于雙單片機的智能遙測微型氣象站MCS-51單片機構(gòu)建機器人的實踐研究基于單片機的輪軌力檢測基于單片機的GPS定位儀的研究與實現(xiàn)基于單片機的電液伺服控制系統(tǒng)用于單片機系統(tǒng)的MMC卡文件系統(tǒng)研制基于單片機的時控和計數(shù)系統(tǒng)性能優(yōu)化的研究基于單片機和CPLD的粗光柵位移測量系統(tǒng)研究單片機控制的后備式方波UPS提升高職學(xué)生單片機應(yīng)用能力的探究基于單片機控制的自動低頻減載裝置研究基于單片機控制的水下焊接電源的研究基于單片機的多通道數(shù)據(jù)采集系統(tǒng)基于uPSD3234單片機的氚表面污染測量儀的研制基于單片機的紅外測油儀的研究96系列單片機仿真器研究與設(shè)計基于單片機的單晶金剛石刀具刃磨設(shè)備的數(shù)控改造基于單片機的溫度智能控制系統(tǒng)的設(shè)計與實現(xiàn)基于MSP430單片機的電梯門機控制器的研制基于單片機的氣體測漏儀的研究基于三菱M16C/6N系列單片機的CAN/USB協(xié)議轉(zhuǎn)換器基于單片機和DSP的變壓器油色譜在線監(jiān)測技術(shù)研究基于單片機的膛壁溫度報警系統(tǒng)設(shè)計基于AVR單片機的低壓無功補償控制器的設(shè)計基于單片機船舶電力推進電機監(jiān)測系統(tǒng)基于單片機網(wǎng)絡(luò)的振動信號的采集系統(tǒng)基于單片機的大容量數(shù)據(jù)存儲技術(shù)的應(yīng)用研究基于單片機的疊圖機研究與教學(xué)方法實踐基于單片機嵌入式Web服務(wù)器技術(shù)的研究及實現(xiàn)基于AT89S52單片機的通用數(shù)據(jù)采集系統(tǒng)基于單片機的多道脈沖幅度分析儀研究機器人旋轉(zhuǎn)電弧傳感角焊縫跟蹤單片機控制系統(tǒng)基于單片機的控制系統(tǒng)在PLC虛擬教學(xué)實驗中的應(yīng)用研究基于單片機系統(tǒng)的網(wǎng)絡(luò)通信研究與應(yīng)用基于PIC16F877單片機的莫爾斯碼自動譯碼系統(tǒng)設(shè)計與研究基于單片機的模糊控制器在工業(yè)電阻爐上的應(yīng)用研究基于雙單片機沖床數(shù)控系統(tǒng)的研究與開發(fā)H