中小型企業(yè)網(wǎng)絡安全規(guī)劃與設計本科畢業(yè)論文

...39/42中小型網(wǎng)絡安全規(guī)劃與設計摘要：中小企業(yè)在業(yè)務中對于信息技術和網(wǎng)絡的依賴程度越來越高，必須引起對信息安全的重視。然而，由于企業(yè)將主要的精力集中在各種業(yè)務應用的開展上，再加之受限于資金、技術、人員以與安全意識等多方面因素，信息安全建設往往相對滯后。部分企業(yè)已經(jīng)采用了“防火墻+防病毒”的基本安全措施，但很多中小企業(yè)什么安全保護措施都沒有，不能不讓人為此擔憂。隨著網(wǎng)絡技術的迅速發(fā)展，各種依托網(wǎng)絡開展的攻擊技術也得到了蔓延。黑客攻擊手段越來越豐富，各類破壞力較大的攻擊工具、文摘在網(wǎng)上唾手可得；中小企業(yè)的安全現(xiàn)狀常常使得他們成了黑客攻擊破壞的首選“試驗品”。另外病毒的發(fā)展已經(jīng)遠遠超過人們預期的想象，破壞性越來越嚴重；加上企業(yè)部信息安全管理制度的疏漏，為一些不法人員提供了大量的犯罪途徑。中小企業(yè)迅速建立完善的信息安全體制已經(jīng)勢在必行。關鍵字：中小型企業(yè)；網(wǎng)絡；安全Smallandmedium-sizednetworksecurityplanninganddesignAbstract:thesmallandmedium-sizedenterpriseinthebusinessfortheinformationtechnologyandnetworkmoreandmorerelyontheinformationsecurity,mustcausetheattention.However,becausetheenterprisewillmainlyfocusonthevariousbusinessapplicationsdevelopment,coupledwiththelimitedfunds,technology,personnelandsecurityawarenessandotherfactors,theinformationsecurityconstructionandoftenrelativelylag.Someenterpriseshaveadoptedthe"firewallandantivirus"basicsecuritymeasures,butmanysmallandmedium-sizedenterprisewhatsafetyprotectionmeasuresarenot,letapersonworryabout.Withtherapiddevelopmentofnetworktechnology,avarietyofrelyingonnetworkattacktechnologyisalsospread.Hackersmeansmoreandmoreabundant,allkindsofdestructiveforcelargerattacktools,abstractsonlinewithextremeease;smallandmedium-sizedenterprisesecuritystatusoftenmakesthemintoahackerattackpreferred"testmaterials".Anothervirusdevelopmenthasfarexceededtheexpectationsofimagination,damageismoreandmoreserious;plusenterpriseinternalinformationsecuritymanagementsystemforomissions,someunscrupulouspersonstoprovidealargenumberofpathwaysincrime.Smallandmedium-sizedenterprisesrapidlyestablishandimprovetheinformationsecuritysystemhasbeimperative.Keywords:Smallandmedium-sizedenterprises;networksecurity目錄第1章緒論1第2章網(wǎng)絡環(huán)境現(xiàn)狀32.1網(wǎng)絡環(huán)境介紹32.2中小型網(wǎng)絡情況分析5第3章網(wǎng)絡安全風險分析73.1概要風險分析73.2實際風險分析103.3安全缺口113.4網(wǎng)絡安全評估11第4章中小型企業(yè)網(wǎng)絡安全的實現(xiàn)措施124.1計算機安全124.1.1訪問控制策略124.1.2確保網(wǎng)絡安全的措施164.1.3.提高企業(yè)部網(wǎng)安全性的幾個步驟184.2網(wǎng)絡安全194.3網(wǎng)絡安全原則23第5章實現(xiàn)中小型企業(yè)網(wǎng)絡安全的規(guī)劃與設計245.1整體網(wǎng)絡安全系統(tǒng)架構245.2整體安全防護體系255.3INTERNET和信息發(fā)布服務265.4INTERNET和部網(wǎng)27結論33致34參考文獻35第1章緒論國中小企業(yè)信息化已經(jīng)得到了迅速的發(fā)展，而且發(fā)揮著越來越重要的作用，由于受資金、安全意識方面的限制，信息安全建設相對嚴重滯后。目前，很多企業(yè)已經(jīng)建立了防火墻+防病毒的安全體系，是否就能取得較好的安全效果呢？事實表明，這樣的安全措施還是不夠的。蠕蟲的爆發(fā)、遭到破壞、部信息資外泄……中小企業(yè)會遇到許多“成長中的煩惱”比如：外部安全隨著互聯(lián)網(wǎng)的發(fā)展，網(wǎng)絡安全事件層出不窮。近年來，計算機病毒傳播、蠕蟲攻擊、垃圾泛濫、敏感信息泄露等已成為影響最為廣泛的安全威脅。對于企業(yè)級用戶，每當遭遇這些威脅時，往往會造成數(shù)據(jù)破壞、系統(tǒng)異常、網(wǎng)絡癱瘓、信息失竊，工作效率下降，直接或間接的經(jīng)濟損失也很大。部安全最新調查顯示，在受調查的企業(yè)中60%以上的員工利用網(wǎng)絡處理私人事務。對網(wǎng)絡的不正當使用，降低了生產(chǎn)率、阻礙電腦網(wǎng)絡、消耗企業(yè)網(wǎng)絡資源、并引入病毒和間諜，或者使得不法員工可以通過網(wǎng)絡泄漏企業(yè)，從而導致企業(yè)數(shù)千萬美金的損失。部網(wǎng)絡之間、外網(wǎng)絡之間的連接安全隨著企業(yè)的發(fā)展壯大與移動辦公的普與，逐漸形成了企業(yè)總部、各地分支機構、移動辦公人員這樣的新型互動運營模式。怎么處理總部與分支機構、移動辦公人員的信息共享安全，既要保證信息的與時共享，又要防止的泄漏已經(jīng)成為企業(yè)成長過程中不得不考慮的問題。各地機構與總部之間的網(wǎng)絡連接安全直接影響企業(yè)的高效運作。本次論文將結合實際采用最合理的方式來對中小企業(yè)網(wǎng)絡進行規(guī)劃與設計。第2章網(wǎng)絡環(huán)境現(xiàn)狀2.1網(wǎng)絡環(huán)境介紹信息化已成為國際性發(fā)展趨勢，作為國民經(jīng)濟信息化的基礎，企業(yè)信息化建設受到國家和企業(yè)的廣泛重視。企業(yè)信息化，企業(yè)網(wǎng)絡的建設是基礎，從計算機網(wǎng)絡技術和應用發(fā)展的現(xiàn)狀來看，Intranet是得到廣泛認同的企業(yè)網(wǎng)絡模式。Intranet并不完全是原來局域網(wǎng)的概念，通過與Internet的聯(lián)結，企業(yè)網(wǎng)絡的圍可以是跨地區(qū)的，甚至跨國界的。現(xiàn)在，隨著信息化技術的飛速發(fā)展，Internet的發(fā)展已成燎原之勢，隨著WWW上商業(yè)活動的激增，Intranet也應運而生。近幾年，許多有遠見的企業(yè)領導者都已感到企業(yè)信息化的重要性,陸續(xù)建立起了自己的企業(yè)網(wǎng)和Intranet并通過各種WAN線路與Internet相連。許多有遠見的企業(yè)都認識到依托先進的IT技術構建企業(yè)自身的業(yè)務和運營平臺將極提升企業(yè)的核心競爭力，使企業(yè)在殘酷的競爭環(huán)境中脫穎而出。國際互聯(lián)網(wǎng)Internet在帶來巨大的資源和信息訪問的方便的同時，它也帶來了巨大的潛在的危險，至今仍有很多企業(yè)仍然沒有感到企業(yè)網(wǎng)安全的重要性。在我國網(wǎng)絡急劇發(fā)展還是近幾年的事，而在國外企業(yè)網(wǎng)領域出現(xiàn)的安全事故已經(jīng)是數(shù)不勝數(shù)。因此，我們應該在積極進行企業(yè)網(wǎng)建設的同時，就應借鑒國外企業(yè)網(wǎng)建設和管理的經(jīng)驗，在網(wǎng)絡安全上多考慮一些，將企業(yè)網(wǎng)中可能出現(xiàn)的危險和漏洞降到最低。使已經(jīng)花了不少財力、人力和時間后，建立起來的網(wǎng)絡真正達到預想的效果。影響計算機網(wǎng)絡安全的因索很多，既有自然因素，也有人為因素，其中人為因素危害較大，歸結起來豐要以下幾個方面：1、病毒感染從“蠕蟲”病毒開始到CIH、愛蟲病毒，病毒一直是計算機系統(tǒng)安全最直接的威脅。病毒依靠網(wǎng)絡迅速傳播，它很容易地通過代理服務器以軟件下載、接收等方式進入網(wǎng)絡，竊取網(wǎng)絡信息，造成很人的損失。2、來自網(wǎng)絡外部的攻擊這是指來自局域網(wǎng)外部的惡意攻擊，例如：有選擇地破壞網(wǎng)絡信息的有效性和完整性；偽裝為合法用戶進入網(wǎng)絡并占用大量資源；修改網(wǎng)絡數(shù)據(jù)、竊取、破譯信息、破壞軟件執(zhí)行；在中間站點攔截和讀取絕密信息等。3、來自網(wǎng)絡部的攻擊在局域網(wǎng)部，一些非法用戶冒用合法用戶的口令以合法身份登陸后。竊取信息，破壞信息容，造成應用系統(tǒng)無法運行。4、系統(tǒng)的漏洞與“后門”操作系統(tǒng)與網(wǎng)絡軟件不可能是百分之百的無缺陷、無漏洞的。編程人員有時會在軟件中留有漏洞。一旦這個疏漏被不法分子所知，就會借這個薄弱環(huán)節(jié)對整個網(wǎng)絡系統(tǒng)進行攻擊，大部分的黑客入侵網(wǎng)絡事件就是由系統(tǒng)的“漏洞”和“后門”所造成的。經(jīng)營管理對計算機應用系統(tǒng)的依賴性增強，計算機應用系統(tǒng)對網(wǎng)絡的依賴性增強。計算機網(wǎng)絡規(guī)模不斷擴大，網(wǎng)絡結構日益復雜。計算機網(wǎng)絡和計算機應用系統(tǒng)的正常運行對網(wǎng)絡安全提出了更高的要求。信息安全防應做整體的考慮，全面覆蓋信息系統(tǒng)的各層次，針對網(wǎng)絡、系統(tǒng)、應用、數(shù)據(jù)做全面的防。信息安全防體系模型顯示安全防是一個動態(tài)的過程，事前、事中和事后的技術手段應當完備，安全管理應貫穿安全防活動的始終。2.2中小型網(wǎng)絡情況分析中小企業(yè)由于規(guī)模大小、行業(yè)差異、工作方式與管理方式的不同有著不同的網(wǎng)絡拓撲機構。網(wǎng)絡情況有以下幾種。集中型:中小企業(yè)網(wǎng)絡一般只在總部設立完善的網(wǎng)絡布局。采取專線接入、ADSL接入或多條線路接入等網(wǎng)絡接入方式，一般網(wǎng)絡中的終端總數(shù)在幾十到幾百臺不等。網(wǎng)絡中有的劃分了子網(wǎng)，并部署了與核心業(yè)務相關的服務器，如數(shù)據(jù)庫、服務器、文檔資料庫、甚至ERP服務器等。分散型:采取多分支機構辦公與移動辦公方式，各分支機構均有網(wǎng)絡部署，數(shù)量不多。大的分支采取專線接入，一般分支采取ADSL接入方式。主要是通過VPN訪問公司主機設備與資料庫，通過或部網(wǎng)進行業(yè)務溝通交流。綜合型:集中型與分散型的綜合。綜合型企業(yè)網(wǎng)絡簡圖第3章網(wǎng)絡安全風險分析3.1概要風險分析1.物理安全分析網(wǎng)絡的物理安全是整個網(wǎng)絡系統(tǒng)安全的前提。在網(wǎng)絡工程建設中，由于網(wǎng)絡系統(tǒng)屬于弱電工程，耐壓值很低。因此，在網(wǎng)絡工程的設計和施工中，必須優(yōu)先考慮保護人和網(wǎng)絡設備不受電、火災和雷擊的侵害；考慮布線系統(tǒng)與照明電線、動力電線、通信線路、暖氣管道與冷熱空氣管道之間的距離；考慮布線系統(tǒng)和絕緣線、裸體線以與接地與焊接的安全；必須建設防雷系統(tǒng)，防雷系統(tǒng)不僅考慮建筑物防雷，還必須考慮計算機與其他弱電耐壓設備的防雷?？傮w來說物理安全的風險主要有，地震、水災、火災等環(huán)境事故；電源故障；人為操作失誤或錯誤；設備被盜、被毀；電磁干擾；線路截獲；高可用性的硬件；雙機多冗余的設計；機房環(huán)境與報警系統(tǒng)、安全意識等，因此要盡量避免網(wǎng)絡的物理安全風險。2.網(wǎng)絡結構的安全風險分析網(wǎng)絡拓撲結構設計也直接影響到網(wǎng)絡系統(tǒng)的安全性。企業(yè)網(wǎng)絡與外網(wǎng)有互連?；诰W(wǎng)絡系統(tǒng)的圍大、函蓋面廣，部網(wǎng)絡將面臨更加嚴重的安全威脅，入侵者每天都在試圖闖入網(wǎng)絡節(jié)點。假如在外部和部網(wǎng)絡進行通信時，網(wǎng)絡系統(tǒng)中辦公系統(tǒng)與員工主機上都有涉密信息，假如部網(wǎng)絡的一臺電腦安全受損(被攻擊或者被病毒感染)，部網(wǎng)絡的機器安全就會受到威脅，同時也影響在同一網(wǎng)絡上的許多其他系統(tǒng)。透過網(wǎng)絡傳播，還會影響到連上Internet/Intrant的其他的網(wǎng)絡；影響所與，還可能涉與法律、金融等安全敏感領域。因此，我們在設計時有必要將公開服務器（WEB、DNS、EMAIL等）和外網(wǎng)與部其它業(yè)務網(wǎng)絡進行必要的隔離，避免網(wǎng)絡結構信息外泄；同時還要對外網(wǎng)的服務請求加以過濾，只允許正常通信的數(shù)據(jù)包到達相應主機，其它的請求服務在到達主機之前就應該遭到拒絕。3.操作系統(tǒng)的安全風險分析所謂系統(tǒng)的安全是指整個網(wǎng)絡操作系統(tǒng)和網(wǎng)絡硬件平臺是否可靠且值得信任。目前恐怕沒有絕對安全的操作系統(tǒng)可以選擇，無論是Microsfot的WindowsNT或者其它任何商用UNIX操作系統(tǒng)，其開發(fā)廠商必然有其后門。因此，我們可以得出如下結論：沒有完全安全的操作系統(tǒng)。不同的用戶應從不同的方面對其網(wǎng)絡作詳盡的分析，選擇安全性盡可能高的操作系統(tǒng)。因此不但要選用盡可能可靠的操作系統(tǒng)和硬件平臺，并對操作系統(tǒng)進行安全配置。而且，必須加強登錄過程的認證（特別是在到達服務器主機之前的認證），確保用戶的合法性；其次應該嚴格限制登錄者的操作權限，將其完成的操作限制在最小的圍。4.應用的安全風險分析應用系統(tǒng)的安全跟具體的應用有關，它涉與面廣。應用系統(tǒng)的安全是動態(tài)的、不斷變化的。應用的安全性也涉與到信息的安全性，它包括很多方面。應用的安全性也是動態(tài)的。這就需要我們對不同的應用，檢測安全漏洞，采取相應的安全措施，降低應用的安全風險。主要有文件服務器的安全風險、數(shù)據(jù)庫服務器的安全風險、病毒侵害的安全風險、數(shù)據(jù)信息的安全風險等應用的安全涉與方面很多，以目前Internet上應用最為廣泛的E-mail系統(tǒng)來說，其解決方案有sendmail、NetscapeMessagingServer、SoftwarePost.Office、LotusNotes、ExchangeServer、SUNCIMS等不下二十多種。其安全手段涉與LDAP、DES、RSA等各種方式。應用系統(tǒng)是不斷發(fā)展且應用類型是不斷增加的。在應用系統(tǒng)的安全性上，主要考慮盡可能建立安全的系統(tǒng)平臺，而且通過專業(yè)的安全工具不斷發(fā)現(xiàn)漏洞，修補漏洞，提高系統(tǒng)的安全性。應用的安全性涉與到信息、數(shù)據(jù)的安全性。信息的安全性涉與到信息泄露、未經(jīng)授權的訪問、破壞信息完整性、假冒、破壞系統(tǒng)的可用性等。在某些網(wǎng)絡系統(tǒng)中，涉與到很多信息，如果一些重要信息遭到竊取或破壞，它的經(jīng)濟、社會影響和政治影響將是很嚴重的。因此，對用戶使用計算機必須進行身份認證，對于重要信息的通訊必須授權，傳輸必須加密。采用多層次的訪問控制與權限控制手段，實現(xiàn)對數(shù)據(jù)的安全保護；采用加密技術，保證網(wǎng)上傳輸?shù)男畔ⅲòü芾韱T口令與、上傳信息等）的性與完整性。5.管理的安全分析管理是網(wǎng)絡中安全最最重要的部分。責權不明，安全管理制度不健全與缺乏可操作性等都可能引起管理安全的風險。當網(wǎng)絡出現(xiàn)攻擊行為或網(wǎng)絡受到其它一些安全威脅時（如部人員的違規(guī)操作等），無法進行實時的檢測、監(jiān)控、報告與預警。同時，當事故發(fā)生后，也無法提供黑客攻擊行為的追蹤線索與破案依據(jù)，即缺乏對網(wǎng)絡的可控性與可審查性。這就要求我們必須對站點的訪問活動進行多層次的記錄，與時發(fā)現(xiàn)非法入侵行為。建立全新網(wǎng)絡安全機制，必須深刻理解網(wǎng)絡并能提供直接的解決方案，因此，最可行的做法是制定健全的管理制度和嚴格管理相結合。保障網(wǎng)絡的安全運行，使其成為一個具有良好的安全性、可擴充性和易管理性的信息網(wǎng)絡便成為了首要任務。一旦上述的安全隱患成為事實，所造成的對整個網(wǎng)絡的損失都是難以估計的。因此，網(wǎng)絡的安全建設是網(wǎng)絡安全建設過程中重要的一環(huán)。管理方面的安全隱患包括：部管理人員或員工圖方便省事，不設置用戶口令，或者設置的口令過短和過于簡單，導致很容易破解。責任不清，使用一樣的用戶名、口令，導致權限管理混亂，信息泄密。把部網(wǎng)絡結構、管理員用戶名與口令以與系統(tǒng)的一些重要信息傳播給外人帶來信息泄漏風險。部不滿的員工有的可能造成極大的安全風險。3.2實際風險分析現(xiàn)今的網(wǎng)絡安全存在的威脅主要表現(xiàn)在以下幾個方面。1.非授權訪問。指對網(wǎng)絡設備與信息資源進行非正常使用或越權使用等。2.冒充合法用戶。主要指利用各種假冒或欺騙的手段非法獲得合法用戶的使用權限,以達到占用合法用戶資源的目的。3.破壞數(shù)據(jù)的完整性。指使用非法手段,刪除、修改、重發(fā)某些重要信息,以干擾用戶的正常使用。4.干擾系統(tǒng)正常運行。指改變系統(tǒng)的正常運行方法,減慢系統(tǒng)的響應時間等手段。5.病毒與惡意攻擊。指通過網(wǎng)絡傳播病毒或惡意Java、XActive等。6.線路竊聽。指利用通信介質的電磁泄漏或搭線竊聽等手段獲取非法信息。3.3安全缺口安全策略經(jīng)常會與用戶方便性相矛盾,從而產(chǎn)生相反的壓力,使安全措施與安全策略相脫節(jié)。這種情況稱為安全缺口。為什么會存在安全缺口呢?有下面四個因素:1、網(wǎng)絡設備種類繁多——當前使用的有各種各樣的網(wǎng)絡設備,從WindowsNT和UNIX服務器到防火墻、路由器和Web服務器,每種設備均有其獨特的安全狀況和功能;2、訪問方式的多樣化——一般來說,您的網(wǎng)絡環(huán)境存在多種進出方式,許多過程拔號登錄點以與新的Internet訪問方式可能會使安全策略的設立復雜化;3、網(wǎng)絡的不斷變化——網(wǎng)絡不是靜態(tài)的,一直都處于發(fā)展變化中。啟用新的硬件設備和操作系統(tǒng),實施新的應用程序和Web服務器時,安全配置也有不盡一樣;4、用戶保安專業(yè)知識的缺乏——許多組織所擁有的對網(wǎng)絡進行有效保護的保安專業(yè)知識十分有限,這實際上是造成安全缺口最為主要的一點。3.4網(wǎng)絡安全評估為堵死安全策略和安全措施之間的缺口,必須從以下三方面對網(wǎng)絡安全狀況進行評估:1、從企業(yè)外部進行評估:考察企業(yè)計算機基礎設施中的防火墻;2、從企業(yè)部進行評估:考察部網(wǎng)絡系統(tǒng)中的計算機;3、從應用系統(tǒng)進行評估:考察每臺硬件設備上運行的操作系統(tǒng)。第4章中小型企業(yè)網(wǎng)絡安全的實現(xiàn)措施4.1計算機安全4.1.1訪問控制策略訪問控制是網(wǎng)絡安全防和保護的主要策略，它的主要任務是保證網(wǎng)絡資源不被非法使用和非常訪問。它也是維護網(wǎng)絡系統(tǒng)安全、保護網(wǎng)絡資源的重要手段。各種安全策略必須相互配合才能真正起到保護作用，但訪問控制可以說是保證網(wǎng)絡安全最重要的核心策略之一。下面我們分述各種訪問控制策略。1、入網(wǎng)訪問控制入網(wǎng)訪問控制為網(wǎng)絡訪問提供了第一層訪問控制。它控制哪些用戶能夠登錄到服務器并獲取網(wǎng)絡資源，控制準許用戶入網(wǎng)的時間和準許他們在哪臺工作站入網(wǎng)。用戶的入網(wǎng)訪問控制可分為三個步驟：用戶名的識別與驗證、用戶口令的識別與驗證、用戶的缺省限制檢查。三道關卡中只要任何一關未過，該用戶便不能進入該網(wǎng)絡。對網(wǎng)絡用戶的用戶名和口令進行驗證是防止非法訪問的第一道防線。用戶注冊時首先輸入用戶名和口令，服務器將驗證所輸入的用戶名是否合法。如果驗證合法，才繼續(xù)驗證用戶輸入的口令，否則，用戶將被拒之網(wǎng)絡之外。用戶的口令是用戶入網(wǎng)的關鍵所在。為保證口令的安全性，用戶口令不能顯示在顯示屏上，口令長度應不少于6個字符，口令字符最好是數(shù)字、字母和其他字符的混合，用戶口令必須經(jīng)過加密，加密的方法很多，其中最常見的方法有：基于單向函數(shù)的口令加密，基于測試模式的口令加密，基于公鑰加密方案的口令加密，基于平方剩余的口令加密，基于多項式共享的口令加密，基于數(shù)字簽名方案的口令加密等。經(jīng)過上述方法加密的口令，即使是系統(tǒng)管理員也難以得到它。用戶還可采用一次性用戶口令，也可用便攜式驗證器（如智能卡）來驗證用戶的身份。網(wǎng)絡管理員應該可以控制和限制普通用戶的使用、訪問網(wǎng)絡的時間、方式。用戶名或用戶是所有計算機系統(tǒng)中最基本的安全形式。用戶應只有系統(tǒng)管理員才能建立。用戶口令應是每用戶訪問網(wǎng)絡所必須提交的“證件”、用戶可以修改自己的口令，但系統(tǒng)管理員應該可以控制口令的以下幾個方面的限制：最小口令長度、強制修改口令的時間間隔、口令的唯一性、口令過期失效后允許入網(wǎng)的寬限次數(shù)。用戶名和口令驗證有效之后，再進一步履行用戶的缺省限制檢查。網(wǎng)絡應能控制用戶登錄入網(wǎng)的站點、限制用戶入網(wǎng)的時間、限制用戶入網(wǎng)的工作站數(shù)量。當用戶對交費網(wǎng)絡的訪問“資費”用盡時，網(wǎng)絡還應能對用戶的加以限制，用戶此時應無法進入網(wǎng)絡訪問網(wǎng)絡資源。網(wǎng)絡應對所有用戶的訪問進行審計。如果多次輸入口令不正確，則認為是非法用戶的入侵，應給出報警信息。2、網(wǎng)絡的權限控制網(wǎng)絡的權限控制是針對網(wǎng)絡非法操作所提出的一種安全保護措施。用戶和用戶組被賦予一定的權限。網(wǎng)絡控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源?？梢灾付ㄓ脩魧@些文件、目錄、設備能夠執(zhí)行哪些操作。受托者指派和繼承權限屏蔽（IRM）可作為其兩種實現(xiàn)方式。受托者指派控制用戶和用戶組如何使用網(wǎng)絡服務器的目錄、文件和設備。繼承權限屏蔽相當于一個過濾器，可以限制子目錄從父目錄那里繼承哪些權限。我們可以根據(jù)訪問權限將用戶分為以下幾類：特殊用戶（即系統(tǒng)管理員）；一般用戶，系統(tǒng)管理員根據(jù)他們的實際需要為他們分配操作權限；審計用戶，負責網(wǎng)絡的安全控制與資源使用情況的審計。用戶對網(wǎng)絡資源的訪問權限可以用一個訪問控制表來描述。3、目錄級安全控制網(wǎng)絡應允許控制用戶對目錄、文件、設備的訪問。用戶在目錄一級指定的權限對所有文件和子目錄有效，用戶還可進一步指定對目錄下的子目錄和文件的權限。對目錄和文件的訪問權限一般有八種：系統(tǒng)管理員權限（Supervisor）；讀權限（Read）、；寫權限（Write）；創(chuàng)建權限（Create）；刪除權限（Erase）；修改權限（Modify）；文件查找權限（FileScan）；存取控制權限（AccessControl）；用戶對文件或目標的有效權限取決于以下二個因素：用戶的受托者指派、用戶所在組的受托者指派、繼承權限屏蔽取消的用戶權限。一個網(wǎng)絡系統(tǒng)管理員應當為用戶指定適當?shù)脑L問權限，這些訪問權限控制著用戶對服務器的訪問。八種訪問權限的有效組合可以讓用戶有效地完成工作，同時又能有效地控制用戶對服務器資源的訪問，從而加強了網(wǎng)絡和服務器的安全性。4、屬性安全控制當用文件、目錄和網(wǎng)絡設備時，網(wǎng)絡系統(tǒng)管理員應給文件、目錄等指定訪問屬性。屬性安全控制可以將給定的屬性與網(wǎng)絡服務器的文件、目錄和網(wǎng)絡設備聯(lián)系起來。屬性安全在權限安全的基礎上提供更進一步的安全性。網(wǎng)絡上的資源都應預先標出一組安全屬性。用戶對網(wǎng)絡資源的訪問權限對應一訪問控制表，用以表明用戶對網(wǎng)絡資源的訪問能力。屬性設置可以覆蓋已經(jīng)指定的任何受托者指派和有效權限。屬性往往能控制以下幾個方面的權限：向某個文件寫數(shù)據(jù)、拷貝一個文件、刪除目錄或文件、查看目錄和文件、執(zhí)行文件、隱含文件、共享、系統(tǒng)屬性等。網(wǎng)絡的屬性可以保護重要的目錄和文件，防止用戶對目錄和文件的誤刪除、執(zhí)行修改、顯示等。5、網(wǎng)絡服務器安全控制網(wǎng)絡允許在服務器控制臺上執(zhí)行一系列操作。用戶使用控制臺可以裝載和卸載模塊，可以安裝和刪除軟件等操作。網(wǎng)絡服務器的安全控制包括可以設置口令鎖定服務器控制臺，以防止非法用戶修改、刪除重要信息或破壞數(shù)據(jù)；可以設定服務器登錄時間限制、非法訪問者檢測和關閉的時間間隔。6、網(wǎng)絡監(jiān)測和鎖定控制網(wǎng)絡管理員應對網(wǎng)絡實施監(jiān)控，服務器應記錄用戶對網(wǎng)絡資源的訪問，對非法的網(wǎng)絡訪問，服務器應以圖形或文字或聲音等形式報警，以引起網(wǎng)絡管理員的注意。如果不法之徒試圖進入網(wǎng)絡，網(wǎng)絡服務器應會自動記錄企圖嘗試進入網(wǎng)絡的次數(shù)，如果非法訪問的次數(shù)達到設定數(shù)值，那么該將被自動鎖定。7、網(wǎng)絡端口和節(jié)點的安全控制網(wǎng)絡中服務器的端口往往使用自動回呼設備、靜默調制解調器加以保護，并以加密的形式來識別節(jié)點的身份。自動回呼設備用于防止假冒合法用戶，靜默調制解調器用以防黑客的自動撥號程序對計算機進行攻擊。網(wǎng)絡還常對服務器端和用戶端采取控制，用戶必須攜帶證實身份的驗證器（如智能卡、磁卡、安全密碼發(fā)生器）。在對用戶的身份進行驗證之后，才允許用戶進入用戶端。然后，用戶端和服務器端再進行相互驗證4.1.2確保網(wǎng)絡安全的措施由于網(wǎng)絡安全的目的是保障用戶的重要信息的安全，因此限制直接接觸十分重要。如果用戶的網(wǎng)絡連入Internet，那麼最好盡可能地把與Internet連接的機器與網(wǎng)絡的其余部分隔離開來。實現(xiàn)這個目標的最安全的方法是將Internet服務器與網(wǎng)絡實際隔開。當然，這種解決方案增加了機器管理的難度。但是如果有人闖入隔離開的機器，那麼網(wǎng)絡的其余部分不會受到牽連。最重要的是限制訪問。不要讓不需要進入網(wǎng)關的人都進入網(wǎng)關。在機器上用戶僅需要一個用戶，嚴格限制它的口令。只有在使用su時才允許進入根。這個方法保留一份使用根者的記錄。在Internet服務器上提供的一些服務有FTP、、遠程登陸和WAIS（廣域信息服務）。但是，F(xiàn)TP和是使用最普遍的服務。它們還有潛力泄露出乎用戶意料之外的秘密。與任何其它Internet服務一樣，F(xiàn)TP一直是（而且仍是）易于被濫用的。值得一提的弱點涉與幾個方面。第一個危險是配置不當。它使站點的訪問者（或潛在攻擊者）能夠獲得更多超出其預期的數(shù)據(jù)。他們一旦進入，下一個危險是可能破壞信息。一個未經(jīng)審查的攻擊者可以抹去用戶的整個FTP站點。最后一個危險不必長篇累牘，這是因為它不會造成破壞，而且是低水平的。它由用戶的FTP站點構成，對于交換文件的人來說，用戶的FTP站點成為“麻木不仁的窩臟點”。這些文件無所不包，可以是盜版軟件，也可以是畫。這種交換如何進行的呢？簡單的很。發(fā)送者發(fā)現(xiàn)了一個他們有權寫入和拷入可疑文件的FTP站點。通過某些其它方法，發(fā)送者通知它們的同伙文件可以使用。所有這些問題都是由未正確規(guī)定許可條件而引起的。最大的一個問題可能是允許FTP用戶有機會寫入。當用戶通過FTP訪問一個系統(tǒng)時，這一般是FTP用戶所做的事。因此，F(xiàn)TP用戶可以訪問，用戶的訪問者也可以使用。所有這些問題都是由未正確規(guī)定許可條件而引起的。最大的一個問題可能是允許FTP用戶有機會寫入。當用戶通過FTP訪問一個系統(tǒng)時，這一般是FTP用戶所做的事。因此，F(xiàn)TP用戶可以訪問，用戶的訪問者也可以訪問。一般說來，F(xiàn)TP用戶不是用戶的系統(tǒng)中已經(jīng)有的。因此，用戶要建立FTP用戶。無論如何要保證將外殼設置為真正外殼以外的東西。這一步驟防止FTP用戶通過遠程登錄進行注冊（用戶或許已經(jīng)禁止遠程登錄，但是萬一用戶沒有這樣做，確認一下也不會有錯）。將所有文件和目錄的主人放在根目錄下，不要放在ftp下。這個預防措施防止FTP用戶修改用戶仔細構思出的口令。然后，將口令規(guī)定為755（讀和執(zhí)行，但不能寫，除了主人之外）。在用戶希望匿名用戶訪問的所有目錄上做這項工作。盡管這個規(guī)定允許他們讀目錄，但它也防止他們把什麼東西放到目錄中來。用戶還需要編制某些可用的庫。然而，由于用戶已經(jīng)在以前建立了必要的目錄，因此這一步僅執(zhí)行一部分。因此，用戶需要做的一切是將/usr/lib/libe.so.1和/usr/lib/libsock-et.so/1拷貝到~ftp/usr/lib中。接著將~ftp/usr/lib上的口令改為555，并建立主接收器。最后，用戶需要在~ftp/dev/中建立/dev/null和/dev/socksys設備結點。用戶可以用mknod手工建立它們。然而，讓系統(tǒng)為用戶工作會更加容易。SCO文檔說用cpio,但是copy（非cp）很管用。如果用戶想建立一個人們都可用留下文件的目錄，那麼可將它稱作輸入。允許其他人寫入這個目錄，但不能讀。這個預防措施防止它成為麻木不仁的窩臟點。人們可以在這里放入他們想放的任何東西，但是他們不能將它們取出。如果用戶認為信息比較適合共享，那麼將拷貝到另一個目錄中。4.1.3.提高企業(yè)部網(wǎng)安全性的幾個步驟限制對網(wǎng)關的訪問。限制網(wǎng)關上的數(shù)。不要允許關不信任任何機器。沒有一臺機器應該信任網(wǎng)關；不要用NFS向網(wǎng)關傳輸或接收來自網(wǎng)關的任何文件系統(tǒng)；不要在網(wǎng)關上使用NIS（網(wǎng)絡信息服務）；制訂和執(zhí)行一個非網(wǎng)關機器上的安全性方針；關閉所有多余服務和刪除多余程序刪除網(wǎng)關的所有多余程序（遠程登錄、rlogin、FTP等等）；定期閱讀系統(tǒng)記錄。4.2網(wǎng)絡安全1.物理安全策略物理安全策略的目的是保護計算機系統(tǒng)、網(wǎng)絡服務器、打印機等硬件實體和信鏈路免受自然災害、人為破壞和搭線攻擊；驗證用戶的身份和使用權限、防用戶越權操作；確保計算機系統(tǒng)有一個良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進入計算機控制室和各種偷竊、破壞活動的發(fā)生。抑制和防止電磁泄漏（即TEMPEST技術）是物理安全策略的一個主要問題。目前主要防護措施有兩類：一類是對傳導發(fā)射的防護，主要采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導線間的交叉耦合。另一類是對輻射的防護，這類防護措施又可分為以下兩種：一是采用各種電磁屏蔽措施，如對設備的金屬屏蔽和各種接插件的屏蔽，同時對機房的下水管、暖氣管和金屬門窗進行屏蔽和隔離；二是干擾的防護措施，即在計算機系統(tǒng)工作的同時，利用干擾裝置產(chǎn)生一種與計算機系統(tǒng)輻射相關的偽噪聲向空間輻射來掩蓋計算機系統(tǒng)的工作頻率和信息特征。2.網(wǎng)絡結構的安全網(wǎng)絡結構布局的合理與否，也影響著網(wǎng)絡的安全性對銀行系統(tǒng)業(yè)務網(wǎng)，辦公網(wǎng)，與外單位互聯(lián)的接口網(wǎng)絡之間必須按各自的應用圍，安全程度進行合理分布，以免局部安全性較低的網(wǎng)絡系統(tǒng)造成的威脅，傳播到整個網(wǎng)絡系統(tǒng)，所以必須從兩個方面入手，一是加強|力問控制：在部局網(wǎng)可以通過交換機劃分VLAN功能來實現(xiàn)；或是通過配備防火墻來實現(xiàn)、外網(wǎng)或不同信任域之間的隔離與訪問控制：也可以配備應用層的訪問控制軟件系統(tǒng)，針對局域網(wǎng)具體的應用進行更細致的訪問控制。二是作好安全檢測工作：在局域網(wǎng)絡的共享網(wǎng)絡設備上配備入侵檢測系統(tǒng)，實時分析進出網(wǎng)絡數(shù)據(jù)流，對網(wǎng)絡違規(guī)事件跟蹤，實時報警，阻斷連接并做日志。3.操作系統(tǒng)的安全對操作系統(tǒng)必須進行安全配置，打上最新的補丁，還要利用相應的掃描軟件對其進行安全性掃描評估，檢測其存在的安全漏洞，分析系統(tǒng)的安全性，提出補救措施，管理人員應用時必須加強身份認證機制與認證強度盡量采用安全性較高的網(wǎng)絡操作系統(tǒng)并進行必要的安全配置，關閉一些起不常用卻存在安全隱患的應用，對一些關鍵文件使用權限進行嚴格限制，加強口令字的使用，與時給系統(tǒng)打補丁，系統(tǒng)部的相互調用不對外公開。4.應用的安全要確保計算機網(wǎng)絡應用的安全，主要從以下幾個方面作好安全防工作：一要配備防病毒系統(tǒng)，防止病毒入侵主機并擴散到全網(wǎng)，實現(xiàn)全網(wǎng)的病毒安全防護；二作好數(shù)據(jù)備份工作，最安全的，最保險的方法是對重要數(shù)據(jù)信息進行安全備份，如果遇到系統(tǒng)受損時，可以利用災難恢復系統(tǒng)進行快速恢復；三是對數(shù)據(jù)進行加密傳輸，保護數(shù)據(jù)在傳輸過程中不被泄露，保證用戶數(shù)據(jù)的性，數(shù)據(jù)加密的方法有從鏈路層加密，網(wǎng)絡層加密與應用層加密；四是進行信息鑒別，為了保證數(shù)據(jù)的完整性，就必須采用信息鑒別技術，VPN設備便能實現(xiàn)這樣的功能，數(shù)據(jù)源身份認證也是信息鑒別的一種手段，它可以確認信息的來源的可靠性，結合傳輸加密技術，我們可以選擇VPN設備，實現(xiàn)保護數(shù)據(jù)的性，完整性，真實性，可靠性。我們可以做的有：第一部分是增強用戶認證,用戶認證在網(wǎng)絡和信息的安全中屬于技術措施的第一道大門,最后防線為審計和數(shù)據(jù)備份,不加強這道大門的建設,整個安全體系就會較脆弱。用戶認證的主要目的是提供訪問控制和不可抵賴的作用。用戶認證方法按其層次不同可以根據(jù)以下三種因素提供認證。1.用戶持有的證件,如大門鑰匙、門卡等等;2.用戶知道的信息,如密碼;3.用戶特有的特征,如指紋、聲音、視網(wǎng)膜掃描等等。根據(jù)在認證中采用因素的多少,可以分為單因素認證、雙因素認證,多因素認證等方法。第二部分是授權,這主要為特許用戶提供合適的訪問權限,并監(jiān)控用戶的活動,使其不越權使用。該部分與訪問控制(常說的隔離功能)是相對立的。隔離不是管理的最終目的,管理的最終目的是要加強信息有效、安全的使用,同時對不同用戶實施不同訪問許可。第三部分是加密。在上述的安全體系結構中,加密主要滿足以下幾個需求。1.認證——識別用戶身份,提供訪問許可;2.一致性——保證數(shù)據(jù)不被非法篡改;3.隱密性——保護數(shù)據(jù)不被非法用戶查看;4.不可抵賴——使信息接收者無法否認曾經(jīng)收到的信息。加密是信息安全應用中最早開展的有效手段之一,數(shù)據(jù)通過加密可以保證在存取與傳送的過程中不被非法查看、篡改、竊取等。在實際的網(wǎng)絡與信息安全建設中,利用加密技術至少應能解決以下問題:1.鑰匙的管理,包括數(shù)據(jù)加密鑰匙、私人證書、私密等的保證分發(fā)措施;2.建立權威鑰匙分發(fā)機構;3.保證數(shù)據(jù)完整性技術;4.數(shù)據(jù)加密傳輸;5.數(shù)據(jù)存儲加密等。第四部分為審計和監(jiān)控,確切說,還應包括數(shù)據(jù)備份,這是系統(tǒng)安全的最后一道防線。系統(tǒng)一旦出了問題,這部分可以提供問題的再現(xiàn)、責任追查、重要數(shù)據(jù)復原等保障。在網(wǎng)絡和信息安全模型中,這五個部分是相輔相成、缺一不可的。其中底層是上層保障的基礎,如果缺少下面各層次的安全保障,上一層的安全措施則無從說起。如果一個企業(yè)沒有對授權用戶的操作規(guī)、安全政策和教育等方面制定有效的管理標準,那么對用戶授權的控制過程以與事后的審計等的工作就會變得非常困難。5.管理的安全安全體系的建立和維護需要有良好的管理制度和很高的安全意識來保障。安全意識可以通過安全常識培訓來提高，行為的約束只能通過嚴格的管理體制，并利用法律手段來實現(xiàn)，因國這些必須在電信部門系統(tǒng)根據(jù)自身的應用與安全需求，制定安全管理制度并嚴格按執(zhí)行，并通過安全知識與法律常識的培訓，加強整體員工的自身安全意識與防外部入侵的安全技術。4.3網(wǎng)絡安全原則網(wǎng)絡安全體系的核心目標是實現(xiàn)對網(wǎng)絡系統(tǒng)和應用操作過程的有效控制和管理。任何安全系統(tǒng)必須建立在技術、組織和制度這三個基礎之上。體系化設計原則。通過分析信息網(wǎng)絡的層次關系，提出科學的安全體系和安全框架，并根據(jù)安全體系分析存在的各種安全風險，從而最大限度地解決可能存在的安全問題。全局綜合性設計原則。從中小企業(yè)的實際情況看，單純依靠一種安全措施，并不能解決全部的安全問題。建議考慮到各種安全措施的使用，使用一個具有相當高度、可擴展性強的安全解決方案與產(chǎn)品?？尚行?、可靠性與安全性?？尚行允前踩桨傅母荆鼘⒅苯佑绊懙骄W(wǎng)絡通信平臺的暢通，可靠性是安全系統(tǒng)和網(wǎng)絡通信平臺正常運行的保證，而安全性是設計安全系統(tǒng)的最終目的。第5章實現(xiàn)中小型企業(yè)網(wǎng)絡安全的規(guī)劃與設計5.1整體網(wǎng)絡安全系統(tǒng)架構安全方案必須架構在科學網(wǎng)絡安全系統(tǒng)架構之上，因為安全架構是安全方案設計和分析的基礎。隨著針對應用層的攻擊越來越多、威脅越來越大，只針對網(wǎng)絡層以下的安全解決方案已經(jīng)不足以應付來自應用層的攻擊了。舉個簡單的例子，那些攜帶著后門程序的蠕蟲病毒是簡單的防火墻/VPN安全體系所無法對付的。因此我們建議企業(yè)采用立體多層次的安全系統(tǒng)架構。如圖所示，這種多層次的安全體系不僅要求在網(wǎng)絡邊界設置防火墻/VPN，還要設置針對網(wǎng)絡病毒和垃圾等應用層攻擊的防護措施，將應用層的防護放在網(wǎng)絡邊緣，這種主動防護可將攻擊容完全阻擋在企業(yè)部網(wǎng)之外。5.2整體安全防護體系基于以上的規(guī)劃和分析，建議中小企業(yè)企業(yè)網(wǎng)絡安全系統(tǒng)按照系統(tǒng)的實現(xiàn)目的，采用一種整合型高可靠性安全防火墻。(1)訪問控制實施企業(yè)網(wǎng)與外部、企業(yè)部不同部門之間的隔離。其關鍵在于應支持目前Internet中的所有協(xié)議,包括傳統(tǒng)的面向連接的協(xié)議、無連接協(xié)議、多媒體、視頻、商業(yè)應用協(xié)議以與用戶自定義協(xié)議等。(2)普通授權與認證提供多種認證和授權方法,控制不同的信息源。(3)容安全對流入企業(yè)部的網(wǎng)絡信息流實施部檢查,包括URL過濾等等。(4)加密提供防火墻與防火墻之間、防火墻與移動用戶之間信息的安全傳輸。(5)網(wǎng)絡設備安全管理目前一個企業(yè)網(wǎng)絡可能會有多個連通外界的出口,如連接ISP的專線、撥號線等,同時,在大的企業(yè)網(wǎng)不同部門和分公司之間可能亦會有由多級網(wǎng)絡設備隔離的小網(wǎng)絡。根據(jù)信息源的分布情況,有必要對不同網(wǎng)絡和資源實施不同的安全策略和多種級別的安全保護,如可以在防火墻上實施路由器、交換機、訪問服務器的安全管理。(6)集中管理實施一個企業(yè)一種安全策略,實現(xiàn)集中管理、集中監(jiān)控等。(7)提供記帳、報警功能實施移動方式的報警功能,包括E-mail、SNMP等。5.3INTERNET和信息發(fā)布服務這種情況非常普遍，ISP或ICP，企業(yè)的網(wǎng)頁，在INTERNET上提供息服務或提供數(shù)據(jù)庫服務等。任何一種想提供普遍服務或廣而告之的網(wǎng)絡行為，必須允許用戶能夠訪問到你提供服務的主機，都屬于這種情況。對訪問服務行業(yè)而言，訪問服務提供者必須把要提供服務的服務器主機放在外部用戶可以訪問的地方，也就是說，主機安全幾乎是唯一的保證。除非明確地知道誰會對你的訪問驚醒破壞，才可以對出口路由器或出口防火墻驚醒一些針對性的限制訪問控制的設定，否則，訪問控制變得毫無意義。主機安全是一個非常有效的手段。所謂的主機安全是一個非常廣義的概念，首先是要有一個安全的操作系統(tǒng)，建立在一個不安全、甚至穩(wěn)定性都很差的操作系統(tǒng)上，是無法作到一個安全的主機。然后是仔細的檢查你所提供的服務，如果不是你所必須提供的服務，建議除掉一切你所不需要的進程，對你的服務而言，它們都是你安全上的隱患?？梢圆捎靡恍┌踩珯z測或網(wǎng)絡掃描工具來確定你的服務器上到底有伸麼服務，以保證是否有安全漏洞或隱患。最后是對主機確定非常嚴格的訪問限制規(guī)則，除了允許提供商愿意提供的服務之外，宣紙并拒絕所有未允許的服務，這是一個非常嚴格的措施。除了主機安全以外，如果還需要提高服務的安全性，就該考慮采用網(wǎng)絡實時監(jiān)控和交互式動態(tài)防火墻。網(wǎng)絡實時監(jiān)控系統(tǒng)，會自動捕捉網(wǎng)絡上所有的通信包，并對其進行分析和解析，并判斷出用戶的行為和企圖。如果發(fā)現(xiàn)用戶的行為或企圖與服務商所允許的服務不同，交互式防火墻立即采取措施，封堵或拒絕用戶的訪問，將其拒絕在防火墻之外，并報警。網(wǎng)絡實時監(jiān)控系統(tǒng)和交互式防火墻具有很強的審計功能，但成本相對偏高。5.4INTERNET和部網(wǎng)企業(yè)一方面訪問INTERNET，得到INTERNET所帶來的好處，另一方面，卻不希望外部用戶去訪問企業(yè)的部數(shù)據(jù)庫和網(wǎng)絡。企業(yè)當然沒有辦法去建立兩套網(wǎng)絡來滿足這種需求。防火墻的基本思想不是對每臺主機系統(tǒng)進行保護，而是讓所有對系統(tǒng)的訪問通過某一點，并且保護這一點，并盡可能地對受保護的部網(wǎng)和不可信任的外界網(wǎng)絡之間建立一道屏障，它可以實施比較慣犯的安全政策來控制信息流，防止不可預料的潛在的入侵破壞。根據(jù)企業(yè)部網(wǎng)安全政策的不同，采取防火墻的技術手段也有所不同。1、包過濾防火墻包過濾防火墻的安全性是基于對包的IP地址的校驗。在Internet上，所有信息都是以包的形式傳輸?shù)模畔邪l(fā)送方的IP地址和接收方的IP地址。包過濾防火墻將所有通過的信息包中發(fā)送方IP地址、接收方IP地址、TCP端口、TCP鏈路狀態(tài)等信息讀出，并按照預先設定過濾原則過濾信息包。那些不符合規(guī)定的IP地址的信息包會被防火墻過濾掉，以保證網(wǎng)絡系統(tǒng)的安全。包過濾防火墻是基于訪問控制來實現(xiàn)的。它利用數(shù)據(jù)包的頭信息（源IP地址、封裝協(xié)議、端口號等）判定與過濾規(guī)則相匹配與否決定舍取。建立這類防火墻需按如下步驟去做；建立安全策略；寫出所允許的和禁止的任務；將安全策略轉化為數(shù)據(jù)包分組字段的邏輯表達式；用相應的句法重寫邏輯表達式并設置之，包過濾防火墻主要是防止外來攻擊，或是限制部用戶訪問某些外部的資源。如果是防止外部攻擊，針對典型攻擊的過濾規(guī)則，大體有：對付源IP地址欺騙式攻擊（SourceIPAddressSpoofingAttacks）對入侵者假冒部主機，從外部傳輸一個源IP地址為部網(wǎng)絡IP地址的數(shù)據(jù)包的這類攻擊，防火墻只需把來自外部端口的使用部源地址的數(shù)據(jù)包統(tǒng)統(tǒng)丟棄掉。對付殘片攻擊（TinyFragmentAttacks）入侵者使用TCP/IP數(shù)據(jù)包分段特性，創(chuàng)建極小的分段并強行將TCP/IP頭信息分成多個數(shù)據(jù)包，以繞過用戶防火墻的過濾規(guī)則。黑客期望防火墻只檢查第一個分段而允許其余的分段通過。對付這類攻擊，防火墻只需將TCP/IP協(xié)議片斷位移植（FragmentOffset）為1的數(shù)據(jù)包全部丟棄即可。包過濾防火墻簡單、透明，而且非常行之有效，能解決大部分的安全問題，但必須了解包過濾防火墻不能做伸麼和有伸麼缺點。對于采用動態(tài)分配端口的服務，如很多RPC（遠程過程調用）服務相關聯(lián)的服務器在系統(tǒng)啟動時隨機分配端口的，就很難進行有效地過濾。包過濾防火墻只按照規(guī)則丟棄數(shù)據(jù)包而不對其作日志，導致對過濾的IP地址的不同用戶，不具備用戶身份認證功能，不具備檢測通過高層協(xié)議（如應用層）實現(xiàn)的安全攻擊的能力。2、代理防火墻包過濾防火墻從很大意義上像一場戰(zhàn)爭，黑客想攻擊，防火墻堅決予以拒絕。而代理服務器則是另外一種方式，能回避就回避，甚至干脆隱藏起來。代理服務器接收客戶請求后會檢查驗證其合法性，如其合法，代理服務器象一臺客戶機一樣取回所需的信息再轉發(fā)給客戶。它將部系統(tǒng)與外界隔離開來，從外面只能看到代理服務器而看不到任何部資源。代理服務器只允許有代理的服務通過，而其他所有服務都完全被封鎖住。代理服務器非常適合那些根本就不希望外部用戶訪問企業(yè)部的網(wǎng)絡，而也不希望部的用戶無限制的使用或濫用INTERNET。采用代理服務器，可以把企業(yè)的部網(wǎng)絡隱藏起來，部的用戶需要驗證和授權之后才可以去訪問INTERNET。代理服務器包含兩大類：一類是電路級代理網(wǎng)關，另一類是應用級代理網(wǎng)關。電路級網(wǎng)關又稱線路級網(wǎng)關，它工作在會話層。它在兩主機收次建立TCP連接時創(chuàng)立一個電子屏障。它作為服務器接收外來請求，轉發(fā)請求；與被保護的主機連接時則擔當客戶機角色、起代理服務的作用。它監(jiān)視兩主機建立連接時的握手信息，如Syn、Ack和序列數(shù)據(jù)等是否合乎邏輯，信號有效后網(wǎng)關僅復制、傳遞數(shù)據(jù)，而不進行過濾。電路網(wǎng)關中特殊的客戶程序只在初次連接時進行安全協(xié)商控制，其后就透明了。只有懂得如何與該電路網(wǎng)關通信的客戶機才能到達防火墻另一邊的服務器。電路級網(wǎng)關的防火墻的安全性比較高，但它仍不能檢查應用層的數(shù)據(jù)包以消除應用層攻擊的威脅。應用級網(wǎng)關使用軟件來轉發(fā)和過濾特定的應用服務，如TELNET、FTP等服務的連接。這是一種代理服務。它只允許有代理的服務通過，也就是說只有那些被認為“可信賴的”服務才被允許通過防火墻。另外代理服務還可以過濾協(xié)議，如過濾FTP連接、拒絕使用FTP放置命令等。應用級網(wǎng)關的安全性高，其不足是要為每種應用提供專門的代理服務程序。兩種代理技術都具有登記、日記、統(tǒng)計和報告功能，有很好的審計功能。還可以具有嚴格的用戶認證功能。先進的認證措施，如驗證授權RADIUS、智能卡、認證令牌、生物統(tǒng)計學和基于軟件的工具已被用來克服傳統(tǒng)口令的弱點。3、狀態(tài)監(jiān)控技術網(wǎng)絡狀態(tài)監(jiān)控技術普遍被認為是下一代的網(wǎng)絡安全技術。傳統(tǒng)的網(wǎng)絡狀態(tài)監(jiān)控技術對網(wǎng)絡安全正常的工作完全沒有影響的前提下，采用捕捉網(wǎng)絡數(shù)據(jù)包的方法對網(wǎng)絡通信的各個層次實行監(jiān)測，并作安全決策的依據(jù)。監(jiān)視模塊支持多種網(wǎng)絡協(xié)議和應用協(xié)議，可以方便地實現(xiàn)應用和服務擴充。狀態(tài)監(jiān)視服務可以監(jiān)視RPC（遠程過程調用）和UDP（用戶數(shù)據(jù)包）端口信息，而包過濾和代理服務則都無法做到。網(wǎng)絡狀態(tài)監(jiān)控對主機的要求非常高，128M的存可能是一個基本的要求，硬盤的要求也非常大，至少要求9G，對SWAP區(qū)至少也要求192M以上。一個好