時間：2022-04-01 16:57:31
導語：在網絡安全技術的撰寫旅程中，學習并吸收他人佳作的精髓是一條寶貴的路徑，好期刊匯集了九篇優秀范文，愿這些內容能夠啟發您的創作靈感，引領您探索更多的創作可能。
[關鍵詞]網絡安全；安全意識；信息加密；安全實施
中圖分類號：TP393.08 文獻標識碼：A 文章編號：1009-914X（2015）05-0244-01
前言：隨著Internet技術的成熟，整個世界通過互聯網已連為一體。信息和網絡服務的高度共享，網絡所代表的開放式信息系統成為現代信息社會的必然發展趨勢。但人們在享受信息革命帶來的巨大喜悅中，也不得不對網絡信息安全性報以足夠的憂慮。網絡的開放性、尤其是Interne網的國際性、自由性、無主管性、缺少法律約束以及自身結構上的安全缺陷，給網絡帶來了巨大的安全風險，安全問題嚴重地制約了網絡的進一步發展。怎樣合理地解決目前計算機網絡中存在的安全問題，以及可能會發生的安全問題等，都是計算機網絡研究中至關重要，不可回避的課題。
計算機網絡是指將地理位置不同的具有獨立功能的多臺計算機及其外部設備，通過通信線路連接起來，在網絡操作系統，網絡管理軟件及網絡通信協議的管理和協調下，實現資源共享和信息傳遞的計算機系統。
一、構成計算機網絡不安全的原因有很多，筆者認為主要有以下幾點：
l、操作系統本身不安全，這是操作系統不安全的根本原因。操作系統不安全的首要原因是操作系統結構制造成的，操作系統支持程序動態連接與數據動態交換，這雖然是現代系統集成和系統擴展的需要，但顯然與安全是有矛盾的；操作系統不安全的原因還在于可以創建進程，甚至支持在網絡的節點上進行遠程進程的創建與激活，并且被創建進程還可以繼承創建進程的權利。操作系統通常都提供 daemon軟件，這種軟件實際上都是一些系統進程的，但往往與其他操作系統核心層軟件有同等的權力。他們總在等待一些條件的出現，一旦條件出現 ，程序便可以運行下去。這些軟件通常都是“黑客”常利用的。
2、網絡自身具有不安全性。Internet和TCP /IP協議在最初設計時，主要追求網絡的互聯性及其所能提供的服務，并沒有考慮安全問題.這就造成了基于TCP /IP協議應用程序的不安全。集中表現在：幾乎所有的數據在網絡上都是明文傳輸和用戶在網絡上身份僅通IP 地址表現。由于這兩個原因，使得一些軟件產品的安全工作形同虛設。
3、各種應用服務存在安全問題。Telnet、NFS、RPC、FTP等都存在安全問題。例如Telnet、FTP協議在用戶認證時，密碼以明文方式傳送。
4、Internet上隨處可以方便地獲取系統入侵和破解工具。
5、安全制度的不健全，很少有單位制定嚴格的安全制度并能夠堅持執行的。
從一般意義上講 ，網絡安全所面臨的威脅主要可分為兩大類 ：一是網絡中信息的威脅；二是對網絡中設備的威脅。主要表現在：
1、信息泄漏：非法竊取網絡傳輸數據以獲取有用的信息，如對通信線路中傳輸的信后進行打線監聽 。
2、信息篡改：截取網上傳輸的數據包，并進行修改，添加 或破壞 。
3、非授權訪問：利用網絡資源，非法登人系統 ，獲得網絡資源與網絡信息，甚至進行蓄意破壞。
4、非法信息滲透：利用 Internet的開放性特點，向企業內部傳播不良信息激戰。
5、假冒合法用戶，通過網絡對企業的正常業務進行干擾，如發送虛假訂單等.
二、網絡安全技術
l、加密技術 ：在計算機網絡中， 常用的加密技術有節點加密、鏈路加密和端到端加密3種。
1.1 節點加密：在信息被傳人實際通信連接點之前進行。它在OSI 7層模型的第l層、第2層之間進行，是對相鄰兩節點之間傳輸的數據進行加密，不過為了便于傳輸路由的選擇，它僅對報文加密，而不對報頭加密。節點加密的目的是對源節點到目的節點之間的傳輸鏈路提供加密保護。
1.2 鏈路加密：在數據鏈路層進行，是對相鄰節點之間的鏈路上所傳輸的數據進行加密，不僅對數據加密還對報頭加密。鏈路加密的目的是保護網絡節點之間的鏈路信息安全。在采用鏈路加密的網絡中，每條通信鏈路上的加密是獨立實現的，使用不同的加密密鑰，這樣當某條鏈路受到破壞時不會導致其他鏈路上傳送的信息被破譯。
1.3 端到端加密：端到端加密的目的是對源端用戶到目的端用戶的數據提供加密保護。在始發節點上實施加密。在中間節點以密文形式傳輸， 最后到達目的節點時才進行解密。在端到端加密的情況下， 控制信息部分（如源節點地址、目的節點地址、路由信息等）不能被加密，否則中問節點就不能正確選擇路由。
加密技術是網絡信息最基本、最核心的技術措施。
2、保證信息完整性：它包括數據單元的完整性 和數據單元序列的完整性兩種形式。前者要求在每個數據單元增加分組校驗或密碼校驗；后者則要求增加序列號或時間標記。
3、鑒別交換技術：通過在對等實體間交換認證信息，以便檢驗和確認對等實體的合法性。鑒別交換技術有口令、密碼技術等。
4、確定技術：確認是確保信息 源點身份正確，其采用的技術是數字簽名。數字簽名利用非對成加密體制：加密方使用加密密鑰簽名，收件方使用解密密鑰。
5、訪問控制技術：訪問控制技術是按事先確定的規則決定主體對客體的訪問是否合法。防止未授權訪問是信息保護 的前緣屏障和最基本的技術。
6、虛擬專用網絡技術（VPN）：VPN是在共享網絡上通過應用一種被稱為“隧道”的技術實現的一種連接，它是分布在不 同地方的專用網絡在不可信任的公共網絡上安全地通信，其采用復雜的算法來加密傳輸的信息，使得需要受保護的數據不會被竊取。
7、網絡安全檢測技術：網絡安全檢測是采取預先主動的方式，對客戶端和網絡的各層進行全面有效的自動安全檢測，它主要包括安全掃描技術和實時安全監控技術。
三、網絡安全實施的兩種技術
1、靜態安全技術 ：目前市場上很多流行的安全社設備都屬于靜態安全范疇，如防火墻等，它們針對的是來自系統外部的攻擊，一旦外部侵入者進入了系統，它們便不受任何阻擋。認證手段也與此類似，一旦侵入者騙過了認證系統 ，那么侵入者便成為系統的內部人員。傳統的防火墻的缺點在于無法做到安全與速度同步提高，一旦考慮到安全因素而對網絡數據流量進行檢測和分析，網絡傳輸速度勢必受到影響。靜態安全技術的缺點是需要人工來實施和維護，不能主動跟蹤入侵者。
2、動態安全技術：動態安全技術能主動檢測網絡的易受攻擊點和安全漏洞，并且通常能夠早于人工探測到危險行為。它的主要檢測范圍包括：對網絡、系統和應用程序易受攻擊點的檢測和掃描、對可疑行為的監控和病毒檢測。這是一種集網絡系統入侵檢測、安全掃描和動態下響應和審計分析于一身的網絡安全解決方案。他利用綜合性審計技術發現網絡環境中的安全漏洞，保證網絡安全的完整性。他可以確定防火墻的防護規則是否正常發揮作用，評估Internet、Web服務器、防火墻、路由器的安全性：掃描、測試和確定網絡中存在的可被黑客利用的脆弱性。動態安全技術的最 大優點在于主動性，通過將實時的捕捉和分析系統與網絡監控系統相結合，早于黑客入侵之前發現網絡中潛在的危險，及時采取保護和防范措施，提高網絡的安全性。
參考文獻
關鍵詞：網絡安全 防火墻 PKI技術
1.概述
網絡防火墻技術的作為內部網絡與外部網絡之間的第一道安全屏障，是最先受到人們重視的網絡安全技術，就其產品的主流趨勢而言，大多數服務器（也稱應用網關）也集成了包濾技術，這兩種技術的混合應用顯然比單獨使用更具有大的優勢。那么我們究竟應該在哪些地方部署防火墻呢?首先，應該安裝防火墻的位置是公司內部網絡與外部Internet的接口處，以阻擋來自外部網絡的入侵;其次，如果公司內部網絡規模較大，并且設置有虛擬局域網(VLAN)，則應該在各個VLAN之間設置防火墻;第三，通過公網連接的總部與各分支機構之間也應該設置防火墻，如果有條件，還應該同時將總部與各分支機構組成虛擬專用網(VPN)。
安裝防火墻的基本原則是:只要有惡意侵入的可能，無論是內部網絡還是與外部公網的連接處，都應該安裝防火墻。
2.防火墻的選擇
選擇防火墻的標準有很多，但最重要的是以下幾條:
2.1.總擁有成本防火墻產品作為網絡系統的安全屏障，其總擁有成本(TCO)不應該超過受保護網絡系統可能遭受最大損失的成本。以一個非關鍵部門的網絡系統為例，假如其系統中的所有信息及所支持應用的總價值為10萬元，則該部門所配備防火墻的總成本也不應該超過10萬元。當然，對于關鍵部門來說，其所造成的負面影響和連帶損失也應考慮在內。如果僅做粗略估算，非關鍵部門的防火墻購置成本不應該超過網絡系統的建設總成本，關鍵部門則應另當別論。
2.2.防火墻本身是安全的
作為信息系統安全產品，防火墻本身也應該保證安全，不給外部侵入者以可乘之機。如果像馬其頓防線一樣，正面雖然牢不可破，但進攻者能夠輕易地繞過防線進入系統內部，網絡系統也就沒有任何安全性可言了。
通常，防火墻的安全性問題來自兩個方面:其一是防火墻本身的設計是否合理，這類問題一般用戶根本無從入手，只有通過權威認證機構的全面測試才能確定。所以對用戶來說，保守的方法是選擇一個通過多家權威認證機構測試的產品。其二是使用不當。一般來說，防火墻的許多配置需要系統管理員手工修改，如果系統管理員對防火墻不十分熟悉，就有可能在配置過程中遺留大量的安全漏洞。
2.3.管理與培訓
管理和培訓是評價一個防火墻好壞的重要方面。我們已經談到，在計算防火墻的成本時，不能只簡單地計算購置成本，還必須考慮其總擁有成本。人員的培訓和日常維護費用通常會在TCO中占據較大的比例。一家優秀秀的安全產品供應商必須為其用戶提供良好的培訓和售后服務。
2.4.可擴充性
在網絡系統建設的初期，由于內部信息系統的規模較小，遭受攻擊造成的損失也較小，因此沒有必要購置過于復雜和昂貴的防火墻產品。但隨著網絡的擴容和網絡應用的增加，網絡的風險成本也會急劇上升，此時便需要增加具有更高安全性的防火墻產品。如果早期購置的防火墻沒有可擴充性，或擴充成本極高，這便是對投資的浪費。好的產品應該留給用戶足夠的彈性空間，在安全水平要求不高的情況下，可以只選購基本系統，而隨著要求的提高，用戶仍然有進一步增加選件的余地。這樣不僅能夠保護用戶的投資，對提供防火墻產品的廠商來說，也擴大了產品覆蓋面。
2.5.防火墻的安全性
防火墻產品最難評估的方面是防火墻的安全性能，即防火墻是否能夠有效地阻擋外部入侵。這一點同防火墻自身的安全性一樣，普通用戶通常無法判斷。即使安裝好了防火墻，如果沒有實際的外部入侵，也無從得知產品性能的優劣。但在實際應用中檢測安全產品的性能是極為危險的，所以用戶在選擇防火墻產品時，應該盡量選擇占市場份額較大同時又通過了權威認證機構認證測試的產品。
3.加密技術
信息交換加密技術分為兩類：即對稱加密和非對稱加密。
3.1.對稱加密技術
在對稱加密技術中，對信息的加密和解密都使用相同的鑰，也就是說一把鑰匙開一把鎖。這種加密方法可簡化加密處理過程，信息交換雙方都不必彼此研究和交換專用的加密算法。如果在交換階段私有密鑰未曾泄露，那么機密性和報文完整性就可以得以保證。對稱加密技術也存在一些不足，如果交換一方有N個交換對象，那么他就要維護N個私有密鑰，對稱加密存在的另一個問題是雙方共享一把私有密鑰，交換雙方的任何信息都是通過這把密鑰加密后傳送給對方的。如三重DES是DES（數據加密標準）的一種變形，這種方法使用兩個獨立的56為密鑰對信息進行3次加密，從而使有效密鑰長度達到112位。
3.2.非對稱加密/公開密鑰加密
在非對稱加密體系中，密鑰被分解為一對（即公開密鑰和私有密鑰）。這對密鑰中任何一把都可以作為公開密鑰（加密密鑰）通過非保密方式向他人公開，而另一把作為私有密鑰（解密密鑰）加以保存。公開密鑰用于加密，私有密鑰用于解密，私有密鑰只能有生成密鑰的交換方掌握，公開密鑰可廣泛公布，但它只對應于生成密鑰的交換方。非對稱加密方式可以使通信雙方無須事先交換密鑰就可以建立安全通信，廣泛應用于身份認證、數字簽名等信息交換領域。非對稱加密體系一般是建立在某些已知的數學難題之上，是計算機復雜性理論發展的必然結果。最具有代表性是RSA公鑰密碼體制。
3.3.RSA算法
RSA算法是Rivest、Shamir和Adleman于1977年提出的第一個完善的公鑰密碼體制，其安全性是基于分解大整數的困難性。在RSA體制中使用了這樣一個基本事實：到目前為止，無法找到一個有效的算法來分解兩大素數之積。RSA算法的描述如下：
公開密鑰：n=pq(p、q分別為兩個互異的大素數，p、q必須保密)
e與（p-1）(q-1)互素
私有密鑰：d=e-1 {mod(p-1)(q-1)}
加密：c=me(mod n)，其中m為明文，c為密文。
解密：m=cd(mod n)
利用目前已經掌握的知識和理論，分解2048bit的大整數已經超過了64位計算機的運算能力，因此在目前和預見的將來，它是足夠安全的。
4.PKI技術
PKI（Publie Key Infrastucture）技術就是利用公鑰理論和技術建立的提供安全服務的基礎設施。PKI技術是信息安全技術的核心，也是電子商務的關鍵和基礎技術。由于通過網絡進行的電子商務、電子政務、電子事務等活動缺少物理接觸，因此使得用電子方式驗證信任關系變得至關重要。而PKI技術恰好是一種適合電子商務、電子政務、電子事務的密碼技術，他能夠有效地解決電子商務應用中的機密性、真實性、完整性、不可否認性和存取控制等安全問題。一個實用的PKI體系應該是安全的易用的、靈活的和經濟的。它必須充分考慮互操作性和可擴展性。它是認證機構（CA）、注冊機構（RA）、策略管理、密鑰（Key）與證書（Certificate）管理、密鑰備份與恢復、撤消系統等功能模塊的有機結合。
4.1.認證機構
CA（Certification Authorty）就是這樣一個確保信任度的權威實體，它的主要職責是頒發證書、驗證用戶身份的真實性。由CA簽發的網絡用戶電子身份證明—證書，任何相信該CA的人，按照第三方信任原則，也都應當相信持有證明的該用戶。CA也要采取一系列相應的措施來防止電子證書被偽造或篡改。構建一個具有較強安全性的CA是至關重要的，這不僅與密碼學有關系，而且與整個PKI系統的構架和模型有關。此外，靈活也是CA能否得到市場認同的一個關鍵，它不需支持各種通用的國際標準，能夠很好地和其他廠家的CA產品兼容。
4.2.注冊機構
RA（Registration Authorty）是用戶和CA的接口，它所獲得的用戶標識的準確性是CA頒發證書的基礎。RA不僅要支持面對面的登記，也必須支持遠程登記。要確保整個PKI系統的安全、靈活，就必須設計和實現網絡化、安全的且易于操作的RA系統。
4.3.策略管理
在PKI系統中，制定并實現科學的安全策略管理是非常重要的這些安全策略必須適應不同的需求，并且能通過CA和RA技術融入到CA 和RA的系統實現中。同時，這些策略應該符合密碼學和系統安全的要求，科學地應用密碼學與網絡安全的理論，并且具有良好的擴展性和互用性。
4.4.密鑰備份和恢復
為了保證數據的安全性，應定期更新密鑰和恢復意外損壞的密鑰是非常重要的，設計和實現健全的密鑰管理方案，保證安全的密鑰備份、更新、恢復，也是關系到整個PKI系統強健性、安全性、可用性的重要因素。
4.5.證書管理與撤消系統
證書是用來證明證書持有者身份的電子介質，它是用來綁定證書持有者身份和其相應公鑰的。通常，這種綁定在已頒發證書的整個生命周期里是有效的。但是，有時也會出現一個已頒發證書不再有效的情況這就需要進行證書撤消，證書撤消的理由是各種各樣的，可能包括工作變動到對密鑰懷疑等一系列原因。證書撤消系統的實現是利用周期性的機制撤消證書或采用在線查詢機制，隨時查詢被撤消的證書。
5.安全技術的研究現狀和動向
關鍵詞:網絡安全;技術
中圖分類號:TP31文獻標識碼:A
互聯網的飛速發展給人們的生產生活帶來了巨大變化,然而網絡安全技術作為一個獨特的領域越來越受到全球網絡建設者及使用者的關注,本文主要就網絡中經常受到的網絡攻擊及預防措施進行論述。
一、常見的網絡攻擊
(一)入侵系統攻擊。此類攻擊如果成功,將使你的系統上的資源被對方一覽無遺,對方可以直接控制你的機器,可任意修改或盜取被控機器中的各種信息。
(二)欺騙類攻擊。網絡協議本身的一些缺陷可以被利用,使黑客可以對網絡進行攻擊,主要方式有:IP欺騙;ARP欺騙;DNS欺騙;Web欺騙;電子郵件欺騙;源路由欺騙;地址欺騙等。
(三)利用病毒攻擊。病毒是黑客實施網絡攻擊的有效手段之一,它具有傳染性、隱蔽性、寄生性、繁殖性、潛伏性、針對性、衍生性、不可預見性和破壞性等特性,而且在網絡中其危害更加可怕,目前可通過網絡進行傳播的病毒已有數萬種,可通過注入技術進行破壞和攻擊。
(四)木馬程序攻擊。特洛伊木馬是一種直接由一個黑客,或是通過一個不令人起疑的用戶秘密安裝到目標系統的程序。一旦安裝成功并取得管理員權限,安裝此程序的人就可以直接遠程控制目標系統。
(五)網絡偵聽。網絡偵聽為主機工作模式,主機能接受到本網段在同一條物理通道上傳輸的所有信息。只要使用網絡監聽工具,就可以輕易地截取所在網段的所有用戶口令和賬號等有用的信息資料。
(六)對防火墻的攻擊。防火墻也是由軟件和硬件組成的,在設計和實現上都不可避免地存在著缺陷,對防火墻的攻擊方法也是多種多樣的,如探測攻擊技術、認證的攻擊技術等。
二、防御措施主要有以下幾種
(一)防火墻。防火墻是建立在被保護網絡與不可信網絡之間的一道安全屏障,用于保護企業內部網絡和資源。它在內部和外部兩個網絡之間建立一個安全控制點,對進、出內部網絡的服務和訪問進行控制和審計。
根據防火墻所采用的技術不同,我們可以將它分為四種基本類型:包過濾型、網絡地址轉換――NAT、型和監測型。
1、包過濾型。包過濾型產品是防火墻的初級產品,其技術依據是網絡中的分包傳輸技術。網絡上的數據都是以“包”為單位進行傳輸的,數據被分割成為一定大小的數據包,每一個數據包中都會包含一些特定信息,如數據的源地址、目標地址、TCP/UDP源端口和目標端口等。防火墻通過讀取數據包中的地址信息來判斷這些“包”是否來自可信任的安全站點,一旦發現來自危險站點的數據包,防火墻便會將這些數據拒之門外,系統管理員也可以根據實際情況靈活制定判斷規則。
2、網絡地址轉化――NAT。網絡地址轉換是一種用于把IP地址轉換成臨時的、外部的、注冊的IP地址標準,它允許具有私有IP地址的內部網絡訪問因特網,它還意味著用戶不需要為其網絡中每一臺機器取得注冊的IP地址,在內部網絡通過安全網卡訪問外部網絡時,將產生一個映射記錄,系統將外出的源地址和源端口映射為一個偽裝的地址和端口,讓這個偽裝的地址和端口通過非安全網卡與外部網絡連接,這樣對外就隱藏了真實的內部網絡地址。在外部網絡通過非安全網卡訪問內部網絡時,它并不知道內部網絡的連接情況,而只是通過一個開放的IP地址和端口來請求訪問OLM防火墻,根據預先定義好的映射規則來判斷這個訪問是否安全;當符合規則時,防火墻認為訪問是安全的,可以接受訪問請求,也可以將連接請求映射到不同的內部計算機中。當不符合規則時,防火墻認為該訪問是不安全的,不能被接受,防火墻將屏蔽外部的連接請求。網絡地址轉換的過程對于用戶來說是透明的,不需要用戶進行設置,用戶只要進行常規操作即可。
3、型。型防火墻也可以被稱為服務器,它的安全性要高于包過濾型產品,并已經開始向應用層發展。服務器位于客戶機與服務器之間,完全阻擋了二者間的數據交流。從客戶機來看,服務器相當于一臺真正的服務器;而從服務器來看,服務器又是一臺真正的客戶機。當客戶機需要使用服務器上的數據時,首先將數據請求發給服務器,服務器再根據這一請求向服務器索取數據,然后再由服務器將數據傳輸給客戶機。由于外部系統與內部服務器之間沒有直接的數據通道,外部的惡意侵害也就很難傷害到企業內部的網絡系統。
4、監測型。監測型防火墻是新一代的產品,這一技術實際已經超越了最初的防火墻定義。監測型防火墻能夠對各層的數據進行主動的、實時的監測,在對這些數據加以分析的基礎上,監測型防火墻能夠有效地判斷出各層中的非法侵入。同時,這種檢測型防火墻產品一般還帶有分布式探測器,這些探測器安置在各種應用服務器和其他網絡的節點之中,不僅能夠檢測來自網絡外部的攻擊,同時對來自內部的惡意破壞也有極強的防范作用。據權威機構統計,在針對網絡系統的攻擊中,有相當比例的攻擊來自網絡內部。
(二)虛擬專用網。虛擬專用網(VPN)的實現技術和方式有很多,但是所有的VPN產品都應該保證通過公用網絡平臺傳輸數據的專用性和安全性。如在非面向連接的公用IP網絡上建立一個隧道,利用加密技術對經過隧道傳輸的數據進行加密,以保證數據的私有性和安全性。此外,還需要防止非法用戶對網絡資源或私有信息的訪問。
(三)虛擬局域網。選擇虛擬局域網(VLAN)技術可從鏈路層實施網絡安全。VLAN是指在交換局域網的基礎上,采用網絡管理軟件構建的可跨越不同網段、不同網絡的端到端的邏輯網絡。一個VLAN組成一個邏輯子網,即一個邏輯廣播域,它可以覆蓋多個網絡設備,允許處于不同地理位置的網絡用戶加入到一個邏輯子網中。該技術能有效地控制網絡流量、防止廣播風暴,但VLAN技術的局限在新的VLAN機制較好的解決了,這一新的VLAN就是專用虛擬局域網(PVLAN)技術。
(四)漏洞檢測。漏洞檢測就是對重要計算機系統或網絡系統進行檢查,發現其中存在的薄弱環節和所具有的攻擊性特征。通常采用兩種策略,即被動式策略和主動式策略。被動式策略基于主機檢測,對系統中不合適的設置、口令以及其他同安全規則相背的對象進行檢查;主動式策略基于網絡檢測,通過執行一些腳本文件對系統進行攻擊,并記錄它的反應,從而發現其中的漏洞。漏洞檢測的結果實際上就是系統安全性的一個評估,它指出了哪些攻擊是可能的,因此成為安全方案的一個重要組成部分。漏洞檢測系統是防火墻的延伸,并能有效地結合其他網絡安全產品的性能,保證計算機系統或網絡系統的安全性和可靠性。
(五)入侵檢測。入侵檢測系統將網絡上傳輸的數據實時捕獲下來,檢查是否有黑客入侵或可疑活動的發生,一旦發現有黑客入侵或可疑活動的發生,系統將做出實時報警響應。
(六)密碼保護。加密措施是保護信息的最后防線,被公認為是保護信息傳輸唯一實用的方法。無論是對等還是不對等加密都是為了確保信息的真實和不被盜取應用,但隨著計算機性能的飛速發展,破解部分公開算法的加密方法已變得越來越可能。
(七)安全策略。安全策略可以認為是一系列政策的集合,用來規范對組織資源的管理、保護以及分配,以達到最終安全的目的,安全策略的制定需要基于一些安全模型。
總之,網絡安全是一個綜合性的課題,涉及技術、管理、使用等許多方面,為網絡提供強大的安全服務――這也是網絡安全領域的迫切需要。
(作者單位:中國鐵通南陽分公司)
主要參考文獻:
[關鍵詞]網絡安全威脅防護技術趨勢
中圖分類號:TP3文獻標識碼:A文章編號:1671-7597(2009)1210104-02
一、計算機網絡安全概述
(一)網絡安全的定義
國際標準化組織(ISO)將計算機安全定義為“為數據處理系統建立和采取的技術和管理的安全保護,保護計算機硬件、軟件數據不因偶然和惡意的原因而遭到破壞、更改和泄露?！蔽覈约禾岢龅亩x是:“計算機系統的硬件、軟件、數據受到保護,不因偶然的或惡意的原因而遭到破壞、更改、泄露,系統能連續正常運行。”因此,所謂網絡安全就是指基于網絡的互聯互通和運作而涉及的物理線路和連接的安全,網絡系統的安全,操作系統的安全,應用服務的安全和人員管理的安全等幾個方面?？偟恼f來,計算機網絡的安全性,是由數據的安全性、通信的安全性和管理人員的安全意識三部分組成。①
(二)影響計算機網絡安全的主要因素
計算機網絡安全受到的安全威脅是來自各個方面的,一般來說,影響計算機網絡安全的因素主要有以下幾個方面:
1.計算機網絡使信息的收集方便而且快速,信息的價值劇增,吸引了許多網上黑客前來攻擊。
2.現有的計算機系統皆有安全漏洞,使網絡入侵成為可能。一般操作系統的體系結構其本身是不安全的,這也是計算機系統不安全的根本原因之一,操作系統的程序是可以動態連接的,包括FO的驅動程序與系統服務,都可以用打“補丁”的方式進行動態連接,為黑客的侵入和病毒的產生提供了一個好環境。
3.網絡系統中數據的安全問題。網絡中的信息數據是存放在計算機數據庫中的,通常也指存放在服務器中的信息集,供不同的用戶來共享,數據庫存在不安全性和危險性,因為在數據庫系統中存放著大量重要的信息資源,在用戶共享資源時可能會出現以下現象:授權用戶超出了他們的訪問權限進行更改活動,非法用戶繞過安全內核,竊取信息資源等。
4.遠程訪問控制使得每個主機甚至可以被國外的黑客攻擊。網絡黑客是計算機網絡發展的產物,黑客攻擊,早在10多年前的主機終端時代就已出現,隨著Internet的發展,現代黑客則從以系統為主的攻擊轉變到以網絡為主的攻擊,利用網絡竊取重要的情報,毀壞數據和信息。
5.目前的計算機病毒不但可以破壞計算機硬件,而且可以破壞網絡安全系統并通過網絡破壞更多的計算機。
二、計算機網絡所面臨的威脅及攻擊
(一)管理的欠缺
網絡系統的嚴格管理是企業、機構及用戶免受攻擊的重要措施。事實上,很多企業、機構及用戶的網站或系統都疏于這方面的管理。據IT界企業團體ITAA的調查顯示,美國90%的IT企業對黑客攻擊準備不足。目前,美國75～85%的網站都抵擋不住黑客的攻擊,約有75%的企業網上信息失竊,其中25%的企業損失在25萬美元以上。此外,管理的缺陷還可能出現系統內部人員泄露機密或外部人員通過非法手段截獲而導致機密信息的泄漏,從而為一些不法分子制造了可乘之機。②
(二)網絡的缺陷及軟件的漏洞
因特網的共享性和開放性使網上信息安全存在先天不足,因為其賴以生存的TCP/IP協議,缺乏相應的安全機制,而且因特網最初的設計考慮是該網不會因局部故障而影響信息的傳輸,基本沒有考慮安全問題,因此它在安全可靠、服務質量、帶寬和方便性等方面存在著不適應性。此外,隨著軟件系統規模的不斷增大,系統中的安全漏洞或“后門”也不可避免地存在,比如我們常用的操作系統,無論是Windows還是UNIX都存在或多或少的安全漏洞,眾多的各類服務器、瀏覽器、一些桌面軟件等等都被發現過存在安全隱患。
(三)計算機病毒
病毒是計算機中最讓人頭痛,也是最普遍的安全威脅,幾乎每一個用過電腦的人都受到過病毒或多或少的威脅。大到系統崩潰,數據丟失,小到影響系統性能,甚至有的病毒只是開個玩笑。
(四)黑客的攻擊
黑客是影響網絡安全的最主要因素之一?！昂诳汀笔怯⑽摹癏acker”的譯音,原意是用來形容獨立思考,然而卻奉公守法的計算機迷,熱衷于設計和編制計算機程序的程序設計者和編程人員。然而,隨著社會發展和技術的進步“Hacker”的定義有了新的演繹,出現了一類專門利用計算機犯罪的人,即那些憑借自己所掌握的計算機技術,專門破壞計算機系統和網絡系統,竊取政治、軍事、商業秘密,或者轉移資金賬戶,竊取金錢,以及不露聲色地捉弄他人,秘密進行計算機犯罪的人。
三、計算機網絡的安全技術
通過對網絡系統各個層次的分析可以給數據鏈路層網絡層系統層數據庫層和應用層提供全面的保護。
(一)加密技術
加密技術是網絡安全的核心,現代密碼技術發展至今二十余年,其技術已由傳統的只注重保密性轉移到保密性、真實性、完整性和可控性的完美結合。加密技術是解決網絡上信息傳輸安全的主要方法,其核心是加密算法的設計。③
1.非對稱密鑰加密
在非對稱機密體系中,密鑰被分解為一對(即公開密鑰和私有密鑰),而且加密密鑰與解密密鑰不同,是一種利用公開加密密鑰加密,利用不公開解密密鑰解密的密碼體制。
2.對稱加密技術
在對稱加密技術中,對信息的加密和解密都使用相同的鑰匙,這種加密方法可簡化加密處理過程。信息交換雙方都不必彼此研究交換專用的加密算法。若在交換階段私有密鑰未曾泄漏,那么機密性和報文完整性就可以得以保證。
(二)網絡防病毒技術
由于網絡計算機病毒是網絡系統最大的攻擊者,具有強大的傳染性和破壞力,網絡防病毒技術已成為計算機網絡安全的又一重要課題。防病毒技術可分為三種:病毒預防技術,病毒檢測技術和病毒消除技術。④
1.病毒預防技術
計算機病毒的預防技術是指通過一定的技術手段防止計算機病毒對系統的破壞。計算機病毒的預防應包括對已知病毒的預防和對未知病毒的預防。預防病毒技術包括:磁盤引導區保護、加密可執行程序、讀寫控制技術、系統監控技術等。
2.病毒檢測技術
計算機病毒的檢測技術是指通過一定的技術判定出計算機病毒的一種技術。計算機病毒的檢測技術有兩種:一種是判斷計算機病毒特征的監測技術。病毒特征包括病毒關鍵字、特征程序段內容、傳染方式、文件長度的變化等。另一種是文件自身檢測技術,這是一種不針對具體病毒程序的特征進行判斷,而只是通過對文件自身特征的檢驗技術。
3.病毒消除技術
計算機病毒的消除技術是計算機病毒檢測技術發展的必然結果,是計算機病毒傳染程序的一種逆過程。但由于殺毒軟件的更新是在病毒出現后才能研制,有很大的被動性和滯后性,而且由于計算機軟件所要求的精確性,致使某些變種病毒無法消除,因而應經常升級殺毒軟件。
4.入侵檢測技術和網絡監控技術
入侵檢測(IDSIntrusion Detection System)是近年來發展起來的一種防范技術,綜合采用了統計技術、規則方法、網絡通信技術、人工智能、密碼學、推理等技術和方法,其作用是監控網絡和計算機系統是否出現被入侵或濫用的征兆。根據采用的分析技術可分為簽名分析法和統計分析法。
(三)防火墻技術
網絡防火墻技術是一種用來加強網絡之間訪問控制,防止外部網絡用戶以非法手段進入內部網絡,訪問內部網絡資源,保護內部網絡的特殊網絡互聯設備。
1.防火墻技術的定義
在網絡中,防火墻是內部網絡與外界網絡之間的一道防御系統,通過它使得內部網絡與Internet或者其他外部網絡之間相互隔離,并通過限制網絡互訪來保護內部網絡,但這些對數據的處理操作并不會妨礙人們對風險區域的訪問。
2.防火墻的關鍵技術
根據防火墻所采用的技術不同,我們可以將它分為4種基本類型:包過濾型、網絡地址轉換型,型和監測型。⑤
(1)包過濾型。包過濾型產品是防火墻的初級產品,其技術依據是網絡中的分包傳輸技術。網絡上的數據都是以“包”為單位進行傳輸的,數據被分割成為一定大小的數據包,每一個數據包中都會包含一些特定信息,如數據的源地址、目標地址、TCP/UDP源端口和目標端口等。
(2)網絡地址轉換型。網絡地址轉換是一種用于把IP地址轉換成臨時的、外部的IP地址標準。它允許具有私有IP地址的內網訪問因特網。
(3)型。型防火墻也可以被稱為服務器,它的安全性要高于包過濾型產品,并已經開始向應用層發展。服務器位于客戶機與服務器之間,完全阻擋了二者間的數據交流。當客戶機需要使用服務器上的數據時,首先將數據請求發給服務器,服務器再根據這一請求向服務器索取數據,然后由服務器將數據傳輸給客戶機。
(4)監測型。監測型防火墻是新一代的產品,這一技術實際已經超越了最初的防火墻定義。監測型防火墻能夠對各層的數據進行主動、實時的監測,在對這些數據加以分析的基礎上,監測型防火墻能夠有效地判斷出各層中的非法侵入。
四、網絡安全防護的發展趨勢
(一)加強病毒監控
隨著病毒技術的發展,病毒的宿主也越來越多,在宿主增多的同時,傳播途徑也越來越廣,目前較受關注的一項病毒注入技術是利用電磁波注入病毒。這種技術的基本設想是把計算機病毒調制在電磁信號并向計算機網絡系統所在方向輻射,電磁信號通過網絡中某些適當的節點進入網絡,然后計算機病毒就在網絡中傳播,產生破壞作用。所以加強病毒監控成為網絡安全防護的一項重要內容。
(二)建立安全可靠的虛擬專用網
虛擬專用網(VPN)系統采用復雜的算法來加密傳輸的信息,使分布在不同地方的專用網絡在不可信任的公共網絡上安全地通信。其工作流程大致如下:1.要保護的主機發送不加密信息到連接公共網絡的虛擬專網設備;2.虛擬專網設備根據網絡管理員設置的規則,確認是否需要對數據進行加密或讓數據直接通過;3.對需要加密的數據,虛擬專網設備對整個數據包(包括要傳送的數據、發送端和接收端的IP地址)進行加密和附上數字簽名;4.虛擬專網設備加上新的數據包頭,其中包括目的地虛擬專網設備需要的安全信息和一些初始化參數;5.虛擬專網設備對加密后數據、鑒別包以及源IP地址、目標虛擬專網設IP地址進行重新封裝,重新封裝后數據包通過虛擬通道在公網上傳輸;6.當數據包到達目標虛擬專網設備時,數字簽名被核對無誤后數據包被解密。
(三)強化管理
網絡安全不只是一個單純的技術問題,而且也是一個十分重要的管理問題。采取各種措施對計算機網絡實施有效管理是計算機網絡防護的主要內容之一。一般,計算機網絡管理包括安全審計、行政管理、人事管理等幾個方面的內容。安全審計是對計算機系統的安全事件進行收集、記錄、分析、判斷,并采取相應的安全措施進行處理的過程。
注釋:
①李靜,計算機網絡安全與防范措施,湖南省政法管理部學院學報,2002,18(1):8.
②張寶劍,計算機安全與防護技術[M].機械工業,2003,1.
③王德秀,網絡安全技術及應用,有線電視技術,2003,1.
④梅筱琴、蒲韻、廖凱生,計算機病毒防治與網絡安全手冊,海洋出版社,2004:9～2.
⑤余偉建、王凌,黑客攻擊手段分析與防范,人民郵電出版社,2003:10～13.
參考文獻:
[1]李靜,計算機網絡安全與防范措施,湖南省政法管理部學院學報,2002,18(1):8.
[2]王春、林海波,網絡安全與防火墻技術,北京:清華大學出版社,2000:10～30.
[3]秦超、李素科、滿成圓,網絡與系統安全實用指南,北京航空航天大學出版社,2002.
[4]劉東華等著,網絡與通信安全技術,人民郵電出版社,2002.
[關鍵詞]網絡安全；網絡維護；操作系統；網絡安全技術
doi：10.3969/j.issn.1673 - 0194.2016.18.109
[中圖分類號]TP393.08 [文獻標識碼]A [文章編號]1673-0194（2016）18-0-01
1 計算機網絡及網絡安全的相關涵義
1.1 計算機網絡的涵義
計算機網絡就是一種計算機系統，這種系統是將通信線路與設備進行聯通，再將具有多個獨立功能的，且存在于不同地理位置之中的多套計算機進行連接，通過信息交換或是網絡操作系統以及網絡通信協議等多功能的網絡軟件來對網絡中的信息進行資源功效的一種系統，計算機網絡主要包含資源子網以及通信子網兩個部分。
1.2 計算機網絡安全的涵義
計算機網絡安全就是一種可以使計算機的硬件、計算機的軟件、或者是計算機的網絡系統中的各種數據，避免受到不良因素的破壞或者是更改以及泄密等問題，從而來確保計算機的網絡系統可以連續有效進行的一種網絡服務的功能。
2 計算機網絡存在的安全問題分析
2.1 操作系統自身的安全漏洞
目前的操作系統無論是Windows還是Linux或是Vista系統，都具有較強的擴展性，這樣就會為黑客的攻擊以及計算機病毒的傳播提供了機會，對網絡安全產生了威脅，正是由于這樣的技術缺陷，才使整個計算機網絡的系統存在著問題。
2.2 TCP/IP協議較為脆弱
目前來說，在互聯網上常用的依舊是TCP/IP協議，這種協議未能充分的考慮到網絡的安全性，正是由于人們對這種協議特別的熟悉，因而便可以得知此協議的漏洞，從而對計算機網絡進行攻擊和入侵。
2.3 計算機網絡的廣域性與開放性的特點
由于計算機網絡本身具備著廣域性與開放性的特點，因而很難做到信息的保密，在加上通信的質量以及網絡自身的布線等因素，導致了眾多的安全問題，互聯網作為一種國際性的網絡，對于網絡信息的保護增加了很大的難度。
2.4 計算機病毒的入侵
計算機病毒具有極強的傳染性和破壞性，并且具有很長的潛伏期，這些病毒利用計算機自身系統的漏洞，入侵到計算機中，來對計算機進行控制，木馬病毒更是通過引誘的方式使用戶安裝某種程序，使用戶的賬戶受到威脅，竊取用戶的賬號密碼等，為用戶帶來巨大的安全隱患。
3 計算機網絡安全的防護技術分析
3.1 防火墻技術
目前來說最為廣泛的計算機網絡安全防護技術就是防火墻，它主要包含兩種，即：包過濾防火墻和應用級防火墻，包過濾防火墻是將路由器上傳到主機的數據進行掃描和過濾，對數據進行有效攔截，防火墻既是一種軟件也是一種硬件，更是一種安全部件，簡單來說，防火墻是將軟硬件進行完美的融合，可以對內部的網絡與外部的網絡進行隔離的操作，當有相應的網絡數據進行傳輸的時候，防火墻就可以根據自行的訪問權限的配置來對這些數據和信息進行過濾等操作，這樣就可以保護網絡的安全，就可以將外部的入侵進行隔離，使得向內部輸入的均是有用的、有價值的信息。
3.2 加密技術
加密技術簡單來說就是將原本的明文信息通過數據的加工使他們變為密文，從而保護數據的安全性，不容易發生泄密等問題，而加密技術的重點是加密算法以及密鑰管理。而對于計算機網絡加密技術中的核心關鍵技術就是密碼保護技術，密碼主要包括了對稱密碼、非對稱密碼以及混合密碼，通過對數據進行加密技術的操作，可以使得網絡中的數據傳輸具有一定的安全性。對于加密技術方法的選擇有很多，比如口令的方式、指紋的方式等，這就需要根據實際的情況進行加密技術方法的選擇。
3.3 入侵檢測技術
入侵檢測系統在計算機網絡系統之中也就是常說的網絡實時監控系統，主要就是對網絡上傳輸的數據和信息通過計算機的軟件硬件系統進行實時的監測，將這些數據與網絡中入侵的數據庫進行對比的操作，當在對比之后發現可攻擊的對象，就要采取措施來阻止入侵的數據進行破壞，可以立即的將網絡連接進行切斷，通過防火墻對訪問權限進行相應的設置和調整，進而將對入侵的數據進行阻攔和消滅，來保證計算機網絡的安全，入侵檢測主要包括誤用檢測和異常檢測兩種，通常來說，無用檢測的特點就是誤警率低且耗時較長，而異常檢測的特點就是耗時雖然短，但是誤警率較高。
3.4 網絡安全掃描技術
網絡安全掃描技術主要是可以讓系統的管理員隨時隨地的、及時的掌握最新的網絡系統中可能存在的漏洞，并且可以根據實際發生的情況，來采取相應的防范措施，使網絡系統中的安全風險得到降低，通過這項技術，可以對主機、站點、局域網等進行相應的掃描，發現安全漏洞后管理員就可以及時地進行處理。
21世紀，我國的經濟進入飛速發展階段。經濟全球化和信息共享推動了各個領域的發展和創新。人們的生活水平不斷提高，對生活的質量要求也越來越高?；ヂ摼W進入家家戶戶，為人們的生活帶去了便利?；ヂ摼W覆蓋面極廣。無論是建筑、教育、新媒體，還是醫療、工業，都不同程度的使用了互聯網。互聯網帶動了大數據時代，每天都有海量的信息充斥著人們的生活。如何在大數據環境下保證網絡安全技術是本文研究的主要內容。
【關鍵詞】
互聯網；大數據；網絡安全技術
大數據已經開始影響人們的生活了，人們越來越依賴大數據。在商業領域，大數據成為預測行情、找準營銷方向點的重要載體；在公共的服務領域，大數據為人們的出行、旅游、健康、環保等方面提供出參考信息；大數據為人們生活帶來了方便、快捷、靈通的消息和服務。但是，也在人們的生活中增添了很多危險的因素。在大數據環境下，人們上網、購物、消費的同時也暴露了個人信息。提高網絡的安全技術，在社會發展的同時保障人們的合法權益。
1大數據時代
最早提出大數據的人是維克托•邁爾-舍恩伯格及肯尼斯•庫克耶，他們認為大數據是一個巨量資料庫。大數據具有大量、高速、多樣、價值等四個主要特點，大數據以多元的形式將很多信息資源收集在一起，形成一個實效性特別強的數據組。大數據與云計算的關系密不可分，在大數據需要使用分布式的計算結構時，云計算會幫助大數據進行分布式處理、建立分布式數據庫和云存儲。在人們的意識里，數據就是簡單的信息。在互聯網時代到來之后，大數據時代也緊跟著到來。大數據不是簡單的互聯網信息，在工業設備、汽車、電表、機械等方面安裝上數碼傳感器，隨著空氣、溫度、濕度、環境的變化數碼傳感器會發生變化，隨之產生很多的數據信息，將這些數據匯集到一起進行研究處理就形成了數據庫，也就是大數據。大數據的產生對社會的發展有著很大的影響，它可以通過數據間的信息變化，設計出適合生產的軟件。將大數據運用到社會的各個領域中，可以節省資源、提高生產效益。企業中可以利用大數據對大量消費者的消費狀況有一個詳細的了解，找到消費者們共同的消費領域，制訂精準的營銷方案。大數據時代下，一些小型企業可以借助大數據的優勢做服務轉型。大數據環境下，企業的創新之路會走的更順暢更久遠。
2大數據環境中存在的問題
隨著大數據時代的到來，很多新興技術和軟件應運而生。互聯網的普及是人們出門攜帶的物品越來越少，甚至有人說拿著一部手機就可以走遍天下。無論是購物，還是吃飯，一個手機APP就可以全部搞定。但是，現在的軟件都是實名制的，隨著使用的數據軟件越多，人們的個人信息就暴露的越全面。近幾年，網絡詐騙的案件層出不窮，人們的姓名、身份證信息、家庭住址等等，都已經不再是秘密。大數據環境下，人們的個人信息被盜取是最大的問題。在2014年，支付寶前技術員工利用職位便利將20萬的支付寶用戶信息非法賣給了他人，這個事件發生之后，在社會上引起了很大的轟動。人們開始意識到自己的信息并不安全，有了防范心理。但是，騙子的手段也是層出不窮，每年都有很多人因為輕信網絡信息，被騙取了大量錢財。海量數據的安全存儲問題大數據環境中的數據存儲太多，存儲數據的系統無法滿足大數據的運用。大數據所帶來的存儲容量問題、延遲、并發訪問、安全問題、成本問題等，對大數據的存儲和安全保護系統提出了新的挑戰。大數據的存儲分為結構化存儲和非結構化存儲。結構化數據的存儲中安全防護存在很大的漏洞，諸如物理故障、軟件問題、病毒、黑客攻擊等因素是威脅數據安全的問題。非結構化數據占大數據總量的80%，在對數據存儲進行管理和處理工作中，一般使用NOSQL存儲技術。雖然NOSQL存儲技術有很大的優點，但是數據的多、雜、亂依然使數據存儲工作一團糟。在非結構化的數據存儲出現了訪問控制和隱私管理模式問題、技術漏洞問題、驗證安全問題等。
3提高網絡安全技術的措施
出現問題就要解決問題，大數據在促進社會發展的過程中也產生了很多的弊端。找到問題的源頭后，就應該付出實踐去解決問題。通過對數據進行網絡安全監控，提高大數據環境的安全性能。網絡安全技術是在數據傳輸中保證數據安全性的一種技術手段，網絡安全技術又分為網絡結構安全分析技術、系統安全結構分析技術以及物理安全分析技術和管理安全分析技術。提高網絡安全技術，在大數據環境中建立健全的網絡安全體系。提高網絡安全技術的具有措施有以下幾點：
3.1使用入侵檢測系統
入侵檢測系統是網絡安全技術中的新型系統，主要對數據進行實時的入侵檢測，是一種保證數據安全、無病毒的防護系統。入侵檢測系統分為兩類，一類基于主機；一類基于網絡。機遇主機的入侵檢測系統可以保護重要的服務器，隨時監測并可疑連接、非法訪問的入侵。基于網絡則是用來監控網絡主要的路徑信息、不良信息。一旦發現入侵現象立馬發出警報，并自動采取防護措施。
3.2提高網絡安全技術人員的綜合素養
“監守自盜”是大數據時代下經常出現的問題，負責保護整理數據的人員成了販賣數據信息的人。在企業或者媒體平臺中，應該對所有的職員進行培訓。建立網絡數據管理制度，對不遵守制度的人嚴懲不貸。提高網絡安全技術人員的專業能力和職業素養，對企業中的數據進行嚴格保管，不做有損人民利益和企業形象的事情。
4結語
在這個日新月異的時代中，人們的生活每天都有新的變化。隨著大數據時代的到來，人們可以輕松解決很多事情。沒有了時間和空間的上的阻礙，經濟發展的腳步會越來越快的。將來，大數據在教育、消費、電力、能源、交通、健康、金融等全球七大重點領域都會得到全面廣泛的應用。大數據已經成為了國家發展的趨勢。為保證大數據能夠利國利民的進行，國家的網絡安全監測人員需要不斷地提升自己的專業能力，加強對網絡安全的管理。提高網絡安全技術，使人們能有一個健康、安全的生活環境。
參考文獻
[1]王元卓,靳小龍,程學旗等.網絡大數據:現狀與展望[J].計算機學報,2013,36(06):1125-1138.
[2]李建中,劉顯敏.大數據的一個重要方面:數據可用性[J].計算機研究與發展,2013,50(06):1147-1162.
本次分論壇以“突破核心技術，保障國家安全”為主題，邀請“產學研用測”各界專家，圍繞“基礎技術、非對稱技術、前沿技術”等不同角度，探討核心技術自主創新及其在重要領域的應用問題。來自中央和地方網絡安全管理部門、網絡安全企業、重點行業和重要領域網絡安全和信息化管理部門、武漢市高校網絡安全專業的學生，共200余人參加了會議。
與會專家一致表示，國家網信安全的根基在于核心技術的突破。與此同時，注重主動防護、人才培養，實現協同聯動，共建數據開放、信息共享的合作機制也至關重要。
主動防護，敢于爭先
當前，互聯網發展重心由PC互聯網向移動互聯網轉移，網絡安全的重要性和復雜性更加凸顯。中國工程院院士沈昌祥針對主動免疫防御話題發表演講，他認為，網絡空間安全是集計算、通信和控制等學科交叉的科學問題。消極被動的封堵查殺防不勝防，“就好比人沒有免疫系統”。他表示，由于人們對IT的認知邏輯的局限性，故不能避免邏輯缺陷對任務執行的影響，尤其是難以應對人為利用缺陷進行攻擊。因此，必須從計算體系結構和計算模式等科學技術創新去實現相對安全。
沈昌祥院士表示，要建立一套攻擊者進不去、非授權者重要信息拿不到、竊取保密信息看不懂、系統和信息篡改不了、系統工作癱不成、攻擊行為賴不掉的計算機免疫系統，這就是“可信計算”，一邊計算一邊防護，計算結果跟預期一樣，全程可測可控。他介紹，1992年中國可信計算正式立項研究并規模應用，到目前已形成自主創新體系。
中國工程院院士鄭建華針對新形勢下密碼技術提出自己的思考。他表示，個人電腦時代，網絡應用的安全防護基于PKI進行，有內置私密的USB硬件設備。而現在，超過七成的網絡訪問都是在移動智能終端，傳統密碼技術在當下的移動互聯環境下遇到了巨大挑戰，安全性很難得到保證。
鄭建華院士認為，中國的信息技術長期落后于發達國家，但隨著中國手機網民增多，中國通過移動終端的信息服務，比例已經高于發達國家。在移動互聯環境下如何使用密碼？全球最大的研究樣本，就在中國。中國完全有可能在這方面“彎道超車”，做到全球領先。
中標軟件總經理韓乃平強調，要從被動防御轉向主動防御，從底層實現安全增強，并且要堅持安全可信與產業發展并重。在重點打造可信操作系統同時，應面向國防、行業信息化、軍工等多個方面進行研究，在設備信息化、移動終端安全等方面進行創新。韓乃平認為，未來的網絡安全，特別是基于可信計算的網絡安全有非常光明的前途。
行業協同，跨界創新
面對網信領域復雜的攻防形勢，奇虎360首席安全官譚曉生表示，安全攻防是一種攻防不平衡的狀態，“你被別人搞定了，可能要幾個月之后才知道，但是攻擊者得手的時間是以秒、分來計算的，而真正開始預防和處置則基本是以月為單位?！彼f：“威脅情報有不可替代的價值，但產業的能力協同更為重要。在行業里應追求能力上的協同，有了能力協同就能夠進行更為快速地處理。”譚曉生通過G20安保期間的一個應急處置案例說明事件高效處理的關鍵在于“威脅情報+產業協同+扁平化組織結構”。同時，他還呼吁網絡安全行業能夠“協同聯通，共建安全”。
山石網科通信技術有限公司董事長羅東平同樣非常贊同企業之間的協同合作?！耙粋€企業能把其中幾項核心技術做得強大了，已經非常了不起了?！彼硎?，國內網絡安全企業應該真心遵從工匠精神，在各自擅長的點把核心技術做精做強。各個企業之間長板合力，共同打造更加安全的網絡。
在發展路徑選擇上，匡恩網絡技術委員會主席兼首席執行官孫一桉認為，互聯網企業應該多多關注一些跨界的新領域，比如人工智能、工業物聯網安全等。這些新領域的起點都差不多，如果我們直接做挑戰者可能會走得更好，尤其中國是世界上智能制造的最大應用場景，未來物聯網的最大應用市場，所以工業控制物聯網的安全中國應該成為世界第一。
培養人才，彎道超車
“網絡安全為人民，網絡安全靠人民”，核心技術的突破，離不開網絡安全和信息化人才的培養。武漢市網信辦主任黃長清發表致辭，他表示，我國的互聯網技術落后，培養網絡安全人才尤為重要。武漢打造國家網絡安全人才與創新基地，踐行“五大創新”，武漢大學和華中科技大學將成為網絡安全人才的培養高地。武漢大學計算機學院副院長應時表示，武漢大學在中央網信辦、武漢市網信辦的指導下整合校內外優質資源，成立了武漢大學網絡空間安全研究院，努力在新的形勢下為我國網絡信息安全建設做出新的更大貢獻。
在論壇的“高端訪談”板塊，眾專家圍繞突破核心技術瓶頸、夯實技術產業支撐進行了探討。談及企業的軟肋和命門時，各位嘉賓紛紛提到人才培養、核心技術、業務與技術合作等的重要性。針對企業需要優先解決的問題時，譚曉生指出芯片、操作系統以及人才培養是需要關注的問題。
【 關鍵詞 】 身份認證；數據加密；完整性校驗；WEP；WPA
1 引言
隨著無線上網本、iPad、智能手機等移動終端的不斷推陳出新，以WLAN技術為核心的移動寬帶互聯應用呈爆炸式增長。與此同時，大量基于物聯網、云計算而生的企業級移動業務在園區網內得到廣泛應用，如智能電網、物流定位、無線語音、P2P共享等。無線網絡已經深刻地改變了我們的生活與工作，無線網絡在為我們帶來豐富與便捷應用的同時，安全威脅也在不斷蔓延，個人信息的泄漏、各類賬號密碼的被盜、私密信息的被公開，也在困擾著使用無線網絡的人們。
2 無線網絡的安全隱患
利用WLAN進行通信必須具有較高的通信保密能力。對于現有的WLAN產品，它的安全隱患主要有幾點。2.1 未經授權使用網絡服務
由于無線局域網的開放式訪問方式，非法用戶可以未經授權而擅自使用網絡資源，不僅會占用寶貴的無線信道資源，增加帶寬費用，降低合法用戶的服務質量，而且未經授權的用戶沒有遵守運營商提出的服務條款，甚至可能導致法律糾紛。
2.2 地址欺騙和會話攔截
在無線環境中，非法用戶通過非法偵聽等手段獲得網絡中合法終端的MAC地址比有線環境中要容易得多，這些合法的MAC地址可以被用來進行惡意攻擊。
另外，由于IEEE802.11沒有對AP身份進行認證，非法用戶很容易偽裝成AP進入網絡，并進一步獲取合法用戶的鑒別身份信息，通過攔截會話實現網絡攻擊。
2.3 高級入侵
一旦攻擊者進入無線網絡，它將成為進一步入侵其他系統的起點。多數企業部署的WLAN都在防火墻之后，這樣WLAN的安全隱患就會成為整個安全系統的漏洞，只要攻破無線網絡，就會使整個網絡暴露在非法用戶面前。
3 無線網絡安全技術
為了應對無線網絡中存在的各種安全威脅，相應的無線安全技術也應運而生，包括物理地址（ MAC ）過濾、服務區標識符（SSID）匹配、有線對等保密（WEP）、端口訪問控制技術（IEEE802.1x）、WPA（Wi-Fi Protected Access）、IEEE 802.11i等。上述的各類技術均是圍繞著網絡安全的核心要素：認證性、加密性、完整性。
認證性：確保訪問網絡資源的用戶身份是合法的。
加密性：確保所傳遞的信息即使被截獲了，攻擊者也無法獲取原始的數據。
完整性：如果所傳遞的信息被篡改，接收者能夠檢測到。
此外，還需要提供有效的密鑰管理機制，如密鑰的動態協商，以實現無線安全方案的可擴展性。
3.1 物理地址（ MAC ）過濾
每個無線客戶端網卡都由唯一的48位物理地址（MAC）標識，可在AP中手動設置一組允許訪問的MAC地址列表，實現物理地址過濾。這種方法的效率會隨著終端數目的增加而降低，而且非法用戶通過網絡偵聽就可獲得合法的MAC地址表，而MAC地址并不難修改，因而非法用戶完全可以盜用合法用戶的MAC地址來非法接入。因此MAC地址過濾并不是一種非常有效的身份認證技術。
3.2 服務區標識符 （ SSID ） 匹配
無線客戶端必需與無線訪問點AP設置的SSID相同 ，才能訪問AP；如果設置的SSID與AP的SSID不同，那么AP將拒絕它通過接入上網。利用SSID設置，可以很好地進行用戶群體分組，避免任意漫游帶來的安全和訪問性能的問題。可以通過設置隱藏接入點（AP）及SSID區域的劃分和權限控制來達到保密的目的，因此可以認為SSID是一個簡單的口令，通過提供口令認證機制，實現一定的安全。
3.3 WEP加密機制
IEEE 802.11-1999把WEP機制作為安全的核心內容，包括幾個方面。
身份認證：認證采用了Open System認證和共享密鑰認證，前者無認證可言，后者容易造成密鑰被竊取。
完整性校驗：完整性校驗采用了ICV域，發送端使用Checksum算法計算報文的ICV，附加在MSDU后，MSDU和ICV共同被加密保護。接收者解密報文后，將本地計算的CRC-32結果和ICV進行對比，如果不相等，則可以判定報文被篡改。CRC-32算法本身很弱，使用bit-flipping attack就可以篡改報文，同時讓接收者也無法察覺。
密鑰只能靜態配置，密鑰管理不支持動態協商，完全不能滿足企業等大規模部署的需求。
數據加密：數據加密采用加密算法RC4，加密密鑰長度有64位和128位兩種，其中24Bit的IV是由WLAN系統自動產生的，需要在AP和STA上配置的密鑰就只有40位或104位。RC4并不是很弱的加密算法，安全的漏洞在于IV。IV存在的目的是要破壞加密結果的規律，實現每次加密的結果都不同，但是長度太短了。在流量較大的網絡，IV值很容易出現被重用。目前有很多軟件都可以在短短幾分鐘內完成對WEP的破解。
3.4 WPA加密機制
在IEEE 802.11i 標準最終確定前，WPA標準是代替WEP的無線安全標準協議，為 IEEE 802.11無線局域網提供更強大的安全性能。WPA是IEEE802.11i的一個子集，其核心就是IEEE802.1x和TKIP?？梢哉J為：WPA = 802.1x + EAP + TKIP + MIC？。
身份認證：在802.11中只是停留在概念的階段，到了WPA中變得實用而又重要，它要求用戶必須提供某種形式的憑據來證明它是合法的，并擁有對某些網絡資源的使用權限，并且是強制性的。
WPA的認證分為兩種：第一種采用802.1x+EAP的方式，用戶提供認證所需的憑證，例如賬戶口令，通過專用認證服務器（一般是RADIUS服務器）來實現。在大型企業網絡中，通常采用此種方式。不過面對中小型企業或者家庭用戶時，架設一臺專用的認證服務器未免昂貴，維護也非常繁雜，針對此種情況WPA也提供一種簡化的方式，這種方式稱為WPA預共享密鑰（WPA-PSK），它不需要專門的認證服務器，僅需要在每個WLAN節點預先輸入一個密鑰即可完成。只要密鑰相符，客戶就可以獲得無線局域網的訪問權。由于這把密鑰僅用于認證過程，并不用于加密過程，因此會避免諸如使用WEP加密機制中認證安全問題。
完整性校驗：是為防止攻擊者從中間截獲數據報文、篡改后重發而設置的。802.11中對每個數據分段（MPDU）進行ICV校驗ICV本身的目的是為了保證數據在傳輸途中不會因為電磁干擾等物理因素導致報文出錯，因此采用相對簡單高效的CRC算法，但是攻擊者可以通過修改ICV值來使之和被篡改過的報文相符合，可以說沒有任何安全的功能。WPA除了和802.11一樣繼續保留對每個數據分段（MPDU）進行CRC校驗外，WPA為802.11的每個數據分組（MSDU）都增加了一個8字節的消息完整性校驗值。而WPA中的MIC則是專門為了防止工具者的篡改而專門設定的，它采用Michael算法，安全性很高。當MIC發生錯誤的時候，數據很可能已經被篡改，系統很可能正在受到攻擊。此時，WPA還會采取一系列的對策，比如立刻更換組密鑰、暫?；顒?0秒等，來阻止攻擊者的攻擊。
數據加密：WPA采用TKIP為加密引入了新的機制，它使用一種密鑰構架和管理方法，通過由認證服務器動態生成分發的密鑰來取代單個靜態密鑰、把密鑰首部長度從24位增加到48位等方法增強安全性。同時，TKIP采用802.1x/EAP構架，認證服務器在接受了用戶身份后，使用802.1x產生一個唯一的主密鑰處理會話。然后，TKIP把這個密鑰通過安全通道分發到客戶端和AP，并建立起一個密鑰構架和管理系統，使用主密鑰為用戶會話動態產生一個唯一的數據加密密鑰，來加密無線通信數據報文。TKIP的密鑰構架使WEP靜態單一的密鑰變成了500萬億可用密鑰。雖然WPA采用的還是和WEP一樣的RC4加密算法，但其動態密鑰的特性很難被攻破。
3.5 IEEE 802.11i標準
為了進一步加強無線網絡的安全性和保證不同廠家之間無線安全技術的兼容， IEEE802.11工作組開發了新的安全標準IEEE802.11i ，并且致力于從長遠角度考慮解決IEEE 802.11無線局域網的安全問題。IEEE 802.11i標準針對802.11標準的安全缺陷，進行了如下改進。
身份認證：802.11i的安全體系也使用802.1x認證機制，通過無線客戶端與Radius 服務器之間動態協商生成PMK（Pairwise Master Key），再由無線客戶端和AP之間在這個PMK的基礎上經過4次握手協商出單播密鑰以及通過兩次握手協商出組播密鑰，每一個無線客戶端與AP之間通訊的加密密鑰都不相同，而且會定期更新密鑰，很大程度上保證了通訊的安全。
完整性校驗：采用了CBC和Michoel算法實現完整性校驗。
數據加密：數據加密采用了CCMP加密，CCMP基于AES-CCM算法，結合了用于加密的CTR和用于完整性的加密塊鏈接消息認證碼（CBC-MAC），保護MPDU數據和IEEE 802.11 MPDU幀頭部分域的完整性。
密鑰協商：通過4次握手過程進行動態協商密鑰。
4 無線網絡安全策略選擇
無線的網絡技術發展到今天給人們提供了多種選擇，雖然目前802.11i方興未艾，考慮到升級成本、部署難度、網絡效率等多方面的因素，在進行無線網絡安全策略選擇時，根據具體情況進行分析。如表1所示給出不同場合下，無線安全方案。
在充分體驗無線網絡給人們帶來的便利與豐富體驗的同時，安全威脅一直如影相隨，保證無線網絡安全也就成為了無線網絡應用與發展中所有問題的焦點問題，WiFi聯盟推出的各項技術與標準不斷增強著無線網絡安全，加強了無線安全管理。安全技術與標準的完善不斷推動者無線網絡的應用，同時無線網絡安全不僅與認證、加密、完整性檢測等技術有關，還需要入侵檢測系統、防火墻等技術的配合，因此無線網絡的安全是一個多層次的問題，根據實際情況，綜合利用各項技術設計無線網絡安全方案。
參考文獻
[1] 卡什（Cache， J.）.無線網絡安全.北京：機械工業出版社，2012.3.
[2] 楊哲.無線網絡黑客攻防.北京：中國鐵道出版社，2011.11.
[3] 劉威.無線網絡技術.北京：電子工業出版社，2012.1.
[4] 任偉.無線網絡安全問題初探.信息網絡安全，2012.1.
[5] 池水明，孫斌.無線網絡安全風險及防范技術芻議.信息網絡安全，2012.3.
【關鍵詞】防火墻；殺毒軟件；操作系統應用；加密技術
一、網絡安全定義
什么樣的環境才是安全的，用怎樣的手段去塑造安全的網絡環境。解決了這兩個問題，就了解了網絡安全的的真諦。國際組織和不同的協會乃至國家，都曾經給出過網絡安全的定義。各有不同，但是無外乎是從宏觀角度、微觀角度來論述。核心含義還是大致相同的。這里我們綜合我國的網絡安全定義從理解的角度進行說明。網絡安全首先是指網絡能夠正常的進行信息傳送工作，不受到任何因素的威脅。實現的手段既包含軟件安裝與使用等手段又涵蓋硬件設備的作用。深入淺出的說就是利用安裝硬件設備和通過軟件技術共同實現。從而保證網絡信息安全，不被病毒、木馬又或者自然因素的影響?；蛟S有人說自然因素如何控制，能夠預防所有的病毒木馬嗎？的確，這個概念是理想化的。是網絡安全的高級標準。只要我們做好網絡安全維護工作，不斷更新軟件工具，使用網絡安全技術，就能夠保證具體時間段內的安全。使得網絡威脅縮減到最小，也就實現了網絡安全的目的。
二、殺毒技術的應用
1994年2月18日，我國正式頒布實施了《中華人民共和國計算機信息系統安全保護條例》，在《條例》第二十八條中明確指出：“計算機病毒，是指編制或者在計算機程序中插入的破壞計算機功能或者毀壞數據，影響計算機使用，并能自我復制的一組計算機指令或者程序代碼。”這是我國對于計算機病毒的正式定義，但是在實際中，所有會對用戶的計算機安全產生威脅的，都被劃入了廣義的病毒范疇。
病毒大致分為以下幾類：傳統病毒，宏病毒，惡意腳本，木馬、黑客、蠕蟲、破壞性程序。
1.傳統病毒：能夠感染的程序。通過改變文件或者其他東西進行傳播，通常有感染可執行文件的文件型病毒和感染引導扇區的引導型病毒；
2.宏病毒（Macro）：利用Word、Excel等的宏腳本功能進行傳播的病毒；中華考試網（Examw。com）
3.惡意腳本（Script）：做破壞的腳本程序。包括HTML腳本、批處理腳本、VB、JS腳本等；
4.木馬（Trojan）程序：當病毒程序被激活或啟動后用戶無法終止其運行。廣義上說，所有的網絡服務程序都是木馬，判定是否是木馬病毒的標準不好確定，通常的標準是：在用戶不知情的情況下安裝，隱藏在后臺，服務器端一般沒有界面無法配置；
5.黑客（Hack） 程序：利用網絡來攻擊其他計算機的網絡工具，被運行或激活后就象其他正常程序一樣有界面；黑客程序是用來攻擊/破壞別人的計算機，對使用者本身的機器沒有損害；
6.蠕蟲（Worm）程序：蠕蟲病毒是一種可以利用操作系統的漏洞、電子郵件、P2P軟件等自動傳播自身的病毒；
7.破壞性程序（Harm）：病毒啟動后，破壞用戶計算機系統，如刪除文件，格式化硬盤等。常見的是bat文件，也有一些是可執行文件，有一部分和惡意網頁結合使用。
網絡安全熱門技術之一，針對的是各種病毒。網絡病毒主要目的都是非法獲取數據信息，破壞計算機硬件設備，最終達到組織計算機和網絡正常工作的破壞性目的。常見的病毒類型眾多，這里簡單舉例，不一一介紹。比如蠕蟲類的病毒，工作原理是通過不斷的復制，而去占用 CPU和內存空間，造成剩余空間過低或者沒有剩余空間，使得網絡和計算機癱瘓 ；又如CIH 病毒，這個曾經破壞性極強的病毒，只是一個業余的編程愛好者編寫的。可見病毒的制作并不需要很高的技術含量。這也使得病毒類型不斷更新，威脅性極大。CIH 利用時間為觸發，也就是在到達某個日期時候或者星期幾的時候才發作。他的目的是損壞計算機硬件的硬盤等設備。造成了巨大的經濟損失。當然還有熊貓燒香、圣誕節病毒、灰鴿子病毒（木馬）如此等等，不一而足。
殺毒技術重要是通過了解病毒和木馬的特性，工作原理，觸發條件來進行病毒的破解、查殺。殺毒軟件已經有成熟的產品，用戶只需要了解各個產片的特性和公司情況，更新狀況挑選適合的產品。進行安裝和使用就可。這里推薦的有金山獨霸系列、KAV 系列、卡巴斯基、諾頓、瑞星等。喜歡嘗試新產品的朋友可以嘗試使用360 殺毒等。但是新的殺毒軟件產品在提供新特性的同時往往也存在一些沒有預見的小問題。用戶可根據情況選擇。
三、操作系統安全應用
作系統安全應用網絡安全離不開網絡終端―計算機的使用。而計算機的使用又不能是裸機，都需要操作系統進行工作。哪么操作系統也就成了各種網絡危險分子的攻擊目標。受到各類型的攻擊。所以要做好操作系統安全，保證網絡安全。
操作系統內核技術通常來說不是普通用戶可以接觸的，但是用戶只需了解哪些操作系統適合個人用戶使用，哪些適合作為服務器操作系統就可以。任何一種操作系統都有安全設置技術，只不過是安全性程度高低不同，比如個人用戶，對安全性較低的，可以采用 XP 操作系統。如果是公司或者對安全性要求較高的，就需要使用 LINUX 系列或者 WINDOW SEVER 系列。再提高一步，如果設計政府公務國家安全，哪么就有必要使用自主開發的操作系統，如我國就曾開發過紅旗系列的操作系統。
從設置角度，要掌握網絡管理員設置技術。以 WINDOWS SEVER2000 為例，一般來說都要屏蔽 不必要的“組”，設置多級別用戶密碼，啟用服務日志，用戶分級管理等操作。這些都屬于初級階段，要做一名技術成熟的網絡管理員，需要更加深入的學習了解，這里篇幅有限不能贅述。
四、數據傳送技術應用
現在，在動態信息傳輸的過程中，很多協議都是采用收錯重傳、丟棄后續包的方式來保證信息完整性和準確性，黑客正是利用這一點在信息包內加入病毒程序對用戶電腦或數據進行攻擊，為了保證數據的安全性，確保數據的完整性也是所做工作中重要的一部分。有效的方法有以下幾種 ：
報文鑒別 ：與數據鏈路層的 CRC 控制類似，將報文名字段使用一定的操作組成一個約束值，稱為該報文的完整性檢測向量 ICV 把約束值與數據捆綁在一起進行加密，這樣攻擊者由于不能對所做工作中重要的一部分報文進行解密，從而確保信息的安全性。因此，確保數據不被修改。這樣，計算機把接收方收到數據后解密并計算 ICV 與明文中的 ICV 對比，如果相同則認為有效。消息完整性編碼 MIC ：是一種通過一種簡單的函數來計算消息摘要的一種方法，函數信息和數據信息都會被接收方接收，接收方重新計算摘要后還要對接收的內容進行驗證與檢錯。防抵賴技術的主要作用是能為源和目的地提供證明，數字簽名是防抵賴技術中使用比較普遍的一種方法，數字簽名就是按照某種系統默認的數據傳送與接收協議，實現發送方已經發送數據，接收方已經接收數據的一種方法。
參考文獻：
[1] 方鑫 . 計算機網絡安全的探析 [J].信息與電腦 （ 理論版 ）.2010（07）.