時間：2023-03-22 17:46:10
序論：速發表網結合其深厚的文秘經驗，特別為您篩選了11篇網絡安全設計論文范文。如果您需要更多原創資料，歡迎隨時與我們的客服老師聯系，希望您能從中汲取靈感和知識！
網絡安全協議這門課程涉及的重要知識點包括：網絡安全協議的基本概念、TCP/IP協議簇的安全隱患、在不同協議層次上的安全協議的原理和實現、不同層次安全協議之間的比較、無線網絡安全協議的原理和實現、安全協議的形式化分析基本方法等。網絡安全協議無論從教學設計、驗證，還是如何有效地應用來看都非常復雜。即使所采用的密碼算法很強大，協議依然有可能受到攻擊。網絡上的重放攻擊、中間人攻擊能夠繞過對密碼算法的攻擊，非常難以防范，此外，攻擊者還有可能利用安全協議的消息格式進行“類型缺陷（typeflaw）”攻擊。由于網絡安全協議的復雜性，在實際教學過程中，若只是由老師空洞的進行講解，大多數學生往往很難跟上講課的進度，進而失去對此門課程的興趣。目前常用的網絡安全協議包括PPTP/L2TP、IPSec、SSL/TSL、HTTPS、SSH、SNMPv3、S/MIME、、PGP、Kerberos、PKI、無線網安全協議（IEEE802.11i,WTLS）等。讓學生通過實踐教學活動，理解并掌握安全協議的理論及應用，并在實踐中增強自身的動手能力、創新能力是本課程的主要教學目標。本課程的實踐教學將教學內容劃分為4個階段，認知階段、體驗階段、應用階段及總結提高階段。通過這4個階段，使學生由表及里、由淺入深、由學到用、由用到創，全面掌握各主要協議的原理、應用及教學設計；同時，通過對4個階段的劃分，更好地滿足不同層次學生的需求，使學生學得更深、更透，用的更順、更廣，其創新思路也更易被激發和實現。
2SSL協議的實踐教學實施
2.1認知階段
本階段的實踐教學內容是通過利用Wireshark抓包分析工具軟件，獲取SSL/TSL協議通信流量，直觀地觀看SSL/TSL協議的結構、分析SSL/TSL協議的建立過程。在訪問222.249.130.131時，采用Wireshark抓取的部分通信流量，如圖1所示。第7~9條消息，完成TCP的連接?？蛻舳耸紫仍谀扯丝谙蚍掌鞫说?43端口發出連接請求，完成三次握手。第10~12條消息，客戶端首先發送Client-Hello等消息，請求建立SSL/TSL會話連接；然后，服務器端發送Server-Hello、證書等消息；接著客戶端發送ClientKeyExchange、ChangeCipherSpec等消息。第13~15條消息，服務器端發出的響應和ChangeCipherSpec消息，以及客戶端發出應答響應消息。至此表明連接已準備好，可以進行應用數據的傳輸。第16條消息是由客戶端發出的與另外一個服務器端的連接請求消息，與所討論內容無關。這種情形，在抓包分析時，經常會遇到，不必受此干擾。第17~18條消息，客戶端和服務器端分別關閉連接。以后再進行SSL/TSL連接時，不必產生新的會話ID，也不必交換證書、預主密鑰、密碼規格（cipher-spec）等會話參數。每一條消息都可以進一步打開，觀看更細節的內容。ClientHello消息的內容是對相應的二進制的內容的一個分析解釋，如圖2所示。其他消息的格式和內容也都可以清晰地呈現，在此不一一列舉。通過對SSL/TSL流量的抓取分析，可以很直觀地讓學生掌握如下知識點：（1）SSL/TLS協議是建立在TCP連接之上的安全協議。（2）SSL/TSL連接和會話的概念，以及連接和會話的建立過程。（3）握手協議的執行過程，各消息的先后次序，及消息的格式和內容。（4）重要的消息參數及其作用，如sessionID、數字證書、加密組件（Ciphersuite）、加密預主密鑰（Premaster）等。需要說明的是，上述內容沒有涉及客戶端發送的證書消息，只能通過證書完成客戶端對服務器的認證，沒有服務器對客戶端的認證。事實上，SSL/TSL是可以通過數字證書進行雙向認證的。
2.2體驗階段
經過認知階段的理論與實踐學習后，需要讓學生了解和掌握SSL協議應用在哪里？如何應用？可以有效防范哪些安全威脅？本階段的實踐教學內容通過配置IIS服務器中的SSL/TSL，為Web服務器和瀏覽器之間建立一個安全的通信通道，使學生學習和掌握SSL在Web的應用中的配置和作用，從而對SSL協議的應用有一個直接的感受和體驗。學生完成IIS服務器中的SSL/TLS配置，首先需要完成CA的安裝與配置[3]，用于數字證書的生成、發放和管理；然后，分別為IISWeb服務器和客戶端申請、安裝證書；最后在服務器上配置SSL，使客戶端與服務器建立SSL/TSL連接，如圖3所示。該階段的實踐教學，除加深學生對SSL/TSL的理解，還使他們學會了如何進行CA服務器的圖3建立https協議的訪問配置、Web服務器和客戶端的證書的申請，以及CA服務器對證書的頒發、安裝管理等。
2.3應用階段
通過前2個階段的實驗教學，很好地配合了SSL的理論教學，使學生對SSL/TSL協議有了更深的認識和體驗。本階段的實驗教學內容，將通過利用OpenSSL，實現一個簡單的SSL服務器端和客戶端[4]，使學生具備利用SSL/TLS協議進行通信的編程能力。OpenSSL是一個開放源代碼的SSL協議實現，具有一個強大的支撐函數庫，主要包括三大部分，密碼算法庫、SSL協議庫和OpenSSL應用程序。OpenSSL提供了一系列的封裝函數，可以方便實現服務器和客戶端的SSL通信。該階段的工作量較大，通常在教師指導下，由學生分組自行完成。（1）OpenSSL的編譯安裝。這一步驟涉及下載和安裝多個軟件，版本也各不相同。包括不同版本的Openssl、Perl、VC++等。一般建議學生采用自己熟悉的系統和開發平臺，安裝新版的OpenSSL。（2）VC++編譯環境的設置。目前的參考資料大都基于VC++6.0，我們采用的是VisualC++2010開發環境。網上有許多現成的源代碼，但一般很難編譯、調試或執行通過。我們建議學生可以參考已有的源代碼，但一定要通過自己的編譯、調試、改正，得到滿意的運行結果。（3）生成服務器和客戶端數字證書。SSL可以通過數字證書實現服務器和客戶端之間的雙向或單向認證。我們建議學生利用OpenSSL的證書生成命令行工具，自行完成一遍。這一步驟若出現問題，將直接影響以后程序的順利執行。（4）SSL/TLS編程。首先建議學生采用OpenSSL的BIO連接庫，建立一個簡單的服務器和客戶端，僅能完成簡單的TCP握手連接和通訊；然后，再加入SSL握手功能，實現一個真正意義上的簡單的SSL服務器和客戶端。SSL/TLS客戶端和服務器端程序運行結果，分別如圖4和圖5所示。通過該階段的實驗教學，一方面使學生熟悉如何利用OpenSSL工具編程，實現基于SSL的安全通信；另一方面使學生了解和掌握OpenSSL在安全方面的廣泛應用，最終使學生在畢業設計和未來工作中，有足夠的能力提出和實現應用安全方面的解決方案。
2.4總結
提高階段通過前3個階段的實踐教學內容，再結合課堂上的理論教學，學生對SSL/TSL協議的原理、實現和應用都有了較深的認識。由于有許多研究和實踐活動受各種條件所限，不可能全部列入教學實踐的內容，這個階段的主要任務是讓學生通過他人對SSL/TSL協議的研究和應用，了解SSL/TSL協議在實際應用中還存在哪些問題、如何進一步完善，其目的是訓練學生具備通過別人的研究和實踐活動進行高效學習的能力，同時也讓學生了解一個看似成熟的協議，還存在一系列的問題，這些問題有的是協議本身存在的，有些是在實際應用中產生的。我們通過提出3方面問題，讓學生去通過查閱相關資料，自己進行總結。①SSL/TSL協議的存在哪些不足？②將SSL/TSL協議與應用層和網絡層的安會協議進行比較，有哪些優劣？③通過一個實際的SSL/TSL協議的應用案例，說明SSL/TSL在實際應用中還存在哪些局限，應如何進行解決？教師可向學生推薦幾篇參考文獻[5-6]同時鼓勵學生自己查詢更多有價值的文獻。在此階段，教師和學生不斷進行交流和討論，對學生提出的問題以及業內新出現的熱點問題，教師要通過不斷的學習和提高給學生一個滿意的答案。例如2014曝出的Heartbleed漏洞，涉及OpenSSL的開源軟件包，而該軟件包被網銀、在線支付、電商網站、門戶網站、電子郵件等重要網站廣泛使用，所以漏洞影響范圍廣大。學生們對此漏洞非常有興趣，作為教師要盡快查閱有關資料，了解此漏洞的產生的原因、有何危害、如何補救等。此漏洞雖然是OpenSSL的開源軟件包程度存在的問題所導致的，與SSL/TSL協議本身無關，但是該漏洞的出現，提醒我們即使協議本身是安全的，在實現協議的過程中仍可能出現不安全的因素，導致安全漏洞的產生。
3實踐教學效果評價
實踐教學方案的教學設計是否可行和有效，需要在實際教學過程中進行檢驗。該實踐教學方案是在多年教學基礎上不斷總結而教學設計的，并已在2013和2014年度的網絡安全協議課程的教學中進行了實施。我們根據學生的反饋、表現以及實際教學效果，對方案的內容、難度以及方法也做了相應的調整。在方案實施過程中，教師要多與學生溝通，對所布置的作業認真檢查，關注并統計學生是否有興趣、是否努力，學生的技能是否得以改善，學生完成的情況、學生的滿意度等各項指標。從對各項指標的統計來看，大部分學生對該實踐教學方案比較認同，也取得了很好的效果，其中有幾位學生還在畢業設計中選擇了相關的畢測試。上述文檔將整個測試過程顯性化，實現了對缺陷解決過程的監控，有助于學生明確缺陷狀態，評估所報缺陷的準確性，完善現有圖式，促成自我反思與實踐反饋。測試所涉及的文檔和源碼都將編號歸檔，統一存放于配置管理服務器，歸檔的文檔被凍結，不允許修改。這些文件記錄了缺陷的整個解決過程，為后期分析問題、完善解決方案、改進工作流程、反思教學設計提供了重要依據。
目前，網絡安全管理技術越來越受到人們的重視，而網絡安全管理系統也逐漸地應用到企事業單位、政府機關和高等院校的各種計算機網絡中。隨著網絡安全管理系統建設的規模不斷發展和擴大，網絡安全防范技術也得到了迅猛發展，同時出現了若干問題，例如網絡安全管理和設備配置的協調問題、網絡安全風險監控問題、網絡安全預警響應問題，以及網絡中大量數據的安全存儲和使用問題等等。網絡安全管理在企業管理中最初是被作為一個關鍵的組成部分，從信息安全管理的方向來看，網絡安全管理涉及到整個企業的策略規劃和流程、保護數據需要的密碼加密、防火墻設置、授權訪問、系統認證、數據傳輸安全和外界攻擊保護等等。在實際應用中，網絡安全管理并不僅僅是一個軟件系統，它涵蓋了多種內容，包括網絡安全策略管理、網絡設備安全管理、網絡安全風險監控等多個方面。
防火墻技術
互聯網防火墻結合了硬件和軟件技術來防止未授權的訪問進行出入，是一個控制經過防火墻進行網絡活動行為和數據信息交換的軟件防護系統，目的是為了保證整個網絡系統不受到任何侵犯。防火墻是根據企業的網絡安全管理策略來控制進入和流出網絡的數據信息，而且其具有一定程度的抗外界攻擊能力，所以可以作為企業不同網絡之間，或者多個局域網之間進行數據信息交換的出入接口。防火墻是保證網絡信息安全、提供安全服務的基礎設施，它不僅是一個限制器，更是一個分離器和分析器，能夠有效控制企業內部網絡與外部網絡之間的數據信息交換，從而保證整個網絡系統的安全。將防火墻技術引入到網絡安全管理系統之中是因為傳統的子網系統并不十分安全，很容易將信息暴露給網絡文件系統和網絡信息服務等這類不安全的網絡服務，更容易受到網絡的攻擊和竊聽。目前，互聯網中較為常用的協議就是TCP/IP協議，而TCP/IP的制定并沒有考慮到安全因素，防火墻的設置從很大程度上解決了子網系統的安全問題。
1入侵檢測技術入侵檢測是一種增強系統安全的有效方法。其目的就是檢測出系統中違背系統安全性規則或者威脅到系統安全的活動。通過對系統中用戶行為或系統行為的可疑程度進行評估，并根據評價結果來判斷行為的正常性，從而幫助系統管理人員采取相應的對策措施。入侵檢測可分為：異常檢測、行為檢測、分布式免疫檢測等。
2系統設計目標該文的企業網絡安全管理系統的設計目的是需要克服原有網絡安全技術的不足，提出一種通用的、可擴展的、模塊化的網絡安全管理系統，以多層網絡架構的安全防護方式，將身份認證、入侵檢測、訪問控制等一系列網絡安全防護技術應用到網絡系統之中，使得這些網絡安全防護技術能夠相互彌補、彼此配合，在統一的控制策略下對網絡系統進行檢測和監控，從而形成一個分布式網絡安全防護體系，從而有效提高網絡安全管理系統的功能性、實用性和開放性。
系統原理框圖
該文設計了一種通用的企業網絡安全管理系統。
1系統總體架構網絡安全管理中心作為整個企業網絡安全管理系統的核心部分，能夠在同一時間與多個網絡安全終端連接，并通過其對多個網絡設備進行管理，還能夠提供處理網絡安全事件、提供網絡配置探測器、查詢網絡安全事件，以及在網絡中發生響應命令等功能。網絡安全是以分布式的方式，布置在受保護和監控的企業網絡中，網絡安全是提供網絡安全事件采集，以及網絡安全設備管理等服務的，并且與網絡安全管理中心相互連接。網絡設備管理包括了對企業整個網絡系統中的各種網絡基礎設備、設施的管理。網絡安全管理專業人員能夠通過終端管理設備，對企業網絡安全管理系統進行有效的安全管理。
2系統網絡安全管理中心組件功能系統網絡安全管理中心核心功能組件：包括了網絡安全事件采集組件、網絡安全事件查詢組件、網絡探測器管理組件和網絡管理策略生成組件。網絡探測器管理組件是根據網絡的安全狀況實現對模塊進行添加、刪除的功能，它是到系統探測器模塊數據庫中進行選擇，找出與功能相互匹配的模塊，將它們添加到網絡安全探測器上。網絡安全事件采集組件是將對網絡安全事件進行分析和過濾的結構添加到數據庫中。網絡安全事件查詢組件是為企業網絡安全專業管理人員提供對網絡安全數據庫進行一系列操作的主要結構。而網絡管理策略生產組件則是對輸入的網絡安全事件分析結果進行自動查詢，并將管理策略發送給網絡安全。系統網絡安全管理中心數據庫模塊組件：包括了網絡安全事件數據庫、網絡探測器模塊數據庫，以及網絡響應策略數據庫。網絡探測器模塊數據庫是由核心功能組件進行添加和刪除的，它主要是對安裝在網絡探測器上的功能模塊進行存儲。網絡安全事件數據庫是對輸入的網絡安全事件進行分析和統計，主要用于對各種網絡安全事件的存儲。網絡相應策略數據庫是對輸入網絡安全事件的分析結果反饋相應的處理策略，并且對各種策略進行存儲。
系統架構特點
1統一管理，分布部署該文設計的企業網絡安全管理系統是采用網絡安全管理中心對系統進行部署和管理，并且根據網絡管理人員提出的需求，將網絡安全分布地布置在整個網絡系統之中，然后將選取出的網絡功能模塊和網絡響應命令添加到網絡安全上，網絡安全管理中心可以自動管理網絡安全對各種網絡安全事件進行處理。
2模塊化開發方式本系統的網絡安全管理中心和網絡安全采用的都是模塊化的設計方式，如果需要在企業網絡管理系統中增加新的網絡設備或管理策略時，只需要對相應的新模塊和響應策略進行開發實現，最后將其加載到網絡安全中，而不必對網絡安全管理中心、網絡安全進行系統升級和更新。
1.2對外部網絡攻擊的防護因連接到因特網，不可避免地會受到外部網絡的攻擊，通常的做法是安裝部署網絡防火墻進行防護。通過設置防護策略防止外部網絡的掃描和攻擊，通過網絡地址轉換技術NAT（NetworkAddressTranslation）等方式隱藏內部網絡的細節，防止其窺探，從而加強網絡的安全性。1.3員工上網行為的管控對于在辦公區內的員工，要禁止其在工作期間做無關工作的網絡行為，如QQ聊天、論壇發帖子、炒股等，尤其禁止其玩征途等各類網絡游戲。常用做法就是安裝網絡行為管理設備（應用網關），也有些企業會出于成本考慮安裝一些網絡管理類軟件，但若操作不當，很容易會造成網絡擁塞，出現莫名其妙的故障。
1.4對不同接入者權限的區分企業網絡中的接入者應用目的是不相同的，有些必須接入互聯網，而有些設備不能接入互聯網；有些是一定時間能接入，一定時間不能接入等等，出于成本等因素考慮，不可能也沒必要鋪設多套網絡。通常的做法是通過3層交換機劃分虛擬局域網VLAN（VirtualLocalAreaNetwork）來區分不同的網段，與防火墻等網絡控制設備配合來實現有關功能。
1.5安全審計功能通過在網絡旁路掛載的方式,對網絡進行監聽，捕獲并分析網絡數據包，還原出完整的協議原始信息，并準確記錄網絡訪問的關鍵信息，從而實現網絡訪問記錄、郵件訪問記錄、上網時間控制、不良站點訪問禁止等功能。審計設備安裝后不能影響原有網絡，并需具有提供內容安全控制的功能，使網絡維護人員能夠及時發現系統漏洞和入侵行為等，從而使網絡系統性能能夠得到有效改善。通常的做法就是安裝安全運行維護系統SOC（SecurityOperationsCente）r，網管員定時查看日志來分析網絡狀況，并制定相應的策略來維護穩定網絡的安全運行。
.6外網用戶訪問內部網絡公司會有一些出差在外地的人員以及居家辦公人員SOHO（SmallOfficeHomeOffice），因辦公需要，會到公司內網獲取相關數據資料，出于安全和便捷等因素考慮，需要借助虛擬專用網絡技術VPN（VirtualPrivateNetwork）來實現。通常的做法是安裝VPN設備（應用網關）來實現。
2網絡安全設備的部署與應用
通過企業網絡安全分析，結合中小企業網絡的實際需求進行設計。該網絡中的核心網絡設備為UTM綜合安全網關。它集成了防病毒、入侵檢測和防火墻等多種網絡安全防護功能，從而成為統一威脅管理UTM(UnifiedThreatManagement)綜合安全網關。它是一種由專用硬件、專用軟件和網絡技術組成的具有專門用途的設備，通過提供一項或多項安全功能，將多種安全特性集成于一個硬件設備，構成一個標準的統一管理平臺[2]。通常，UTM設備應該具備的基本功能有網絡防火墻、網絡入侵檢測（防御）和網關防病毒等功能。為使這些功能能夠協同運作，有效降低操作管理難度，研發人員會從易于操作使用的角度對系統進行優化，提升產品的易用性并降低用戶誤操作的可能性。對于沒有專業信息安全知識的人員或者技術力量相對薄弱的中小企業來說，使用UTM產品可以很方便地提高這些企業應用信息安全設施的質量。在本案例中主要使用的功能有防火墻、防病毒、VPN、流量控制、訪問控制、入侵檢測盒日志審計等。網絡接入和路由轉發功能也可由UTM設備來實現。因其具有多個接口（即多個網卡），可通過設定接口組把辦公區、車間、服務器組等不同區域劃分成不同的網段；通過對不同網段設定不同的訪問規則，制定不同的訪問策略，來實現非軍事化區DMZ（demilitarizedzone）、可信任區以及非信任區的劃分，從而有效增強網絡的安全性和穩定性。對于上網行為的管理，可以通過內置UTM設備的功能來實現管控，并可以實現Web過濾以及安全審計功能。，設定了辦公區和車間1可以訪問互聯網，而車間2不能訪問互聯網。在辦公區和部分車間安裝無線AP，可方便人員隨時接入網絡。通過訪問密碼和身份認證等手段，可對接入者進行身份識別，對其訪問網絡的權限進行區分管控。市場上還有一些專用的上網行為管理設備，有條件的單位可進行安裝，用以實現對員工上網行為進行更為精準的管控。對于出差在外地的人員和SOHO人員可在任何時間通過VPN客戶端，用事先分配好的VPN賬戶，借助UTM設備的VPN功能，與總部建立VPN隧道，從而保證相互間通信的保密性，安全訪問企業內部網絡，實現高效安全的網絡應用。
計算機網絡論文參考文獻：
[1]李磊.基于計算機網絡病毒的主要特性及功能的分析與研究[J].山東工業技術，2016，（01）：157.
[2]丁媛媛.計算機網絡病毒防治技術及如何防范黑客攻擊探討[J].赤峰學院學報（自然科學版），2012，（08）：41-42.
[3]羅婷婷.網絡侵害行為分析[J].湖北民族學院學報（哲學社會科學版）.2015（04）.
[4]劉海燕，黃睿，黃軒.基于主題爬蟲的漏洞庫維護系統[J].計算機與現代化.2014（08）.
[5] 譚浩強.C程序設計[M].4版.北京：清華大學出版社，2010.
[6] 未來教育.全國計算機等級考試模擬考場二級C[M].成都：電子科技大學出版社，2015.
[7] 教育部考試中心.全國計算機等級考試二級教程-C語言程序設計[M].北京：高等教育出版社，2002.
計算機網絡論文參考文獻：
[1]姚渝春，李杰，王成紅.網絡型病毒與計算機網絡安全[J].重慶大學學報（自然科學版），2003，26（9）.
[2]吉玲峰.網絡型病毒與計算機網絡安全[J].計算機光盤軟件與應用，2013（5）.
[3]許江蘭.淺談網絡型病毒與計算機網絡安全[J].計算機光盤軟件與應用，2011（16）.
[4]伍毅強醫院計算機網絡設備管理及維護策略研究[J].無線互聯科技，2014，1：199.
[5]汪忠樂醫院計算機網絡安全管理工作的維護措施[J].無線互聯科技，2015，07：55-56.
[6]張波.試論醫院計算機網絡設備的管理措施和維護策略[J].科技創新導報，2013，24：29.
計算機網絡論文參考文獻：
[1]李先宗.計算機網絡安全防御技術探究[J].電腦知識與技術，2015（21）：33-35.
[2]羅恒輝.計算機網絡信息與防御技術的應用實踐芻議[J].信息與電腦，2016（2）：170-171.
[3]李軍.基于信息時代的網絡技術安全及網絡防御分析[J].網絡安全技術與應用，2016（1）：17-18.
[4]吳曉旭.計算機網絡安全的防御技術管窺[J].智能城市，2016（4）：120-121.
[5]彭龍.企業計算機網絡信息安全體系的構建研究[J].科技廣場，2016（5）：94-98.
[6]阮彥鈞.計算機網絡安全隱患及防御策略探討[J].科技與創新，2016（16）：91-92.
網絡安全論文參考文獻：
[1]張金輝，王衛，侯磊.信息安全保障體系建設研究.計算機安全，2012，（8）.
[2]肖志宏，楊倩雯.美國聯邦政府采購的信息安全保障機制及其啟示.北京電子科技學院學報，2009，（3）.
[3]沈昌祥.構建積極防御綜合防范的信息安全保障體系.金融電子化，2010，（12）.
[4]嚴國戈.中美軍事信息安全法律保障比較.信息安全與通信保密，2007，（7）.
[5]楊紹蘭.信息安全的保障體系.圖書館論壇，2005，（2）.
[6]侯安才，徐瑩.建設網絡信息安全保障體系的新思路.現代電子技術，2004，（3）.
網絡安全論文參考文獻：
[1]王爽.探討如何加強計算機網絡安全及防范[J].計算機光盤軟件與應用，2012（11）.
[2]田文英.淺談計算機操作系統安全問題[J].科技創新與應用，2012（23）.
[3]張曉光.試論計算機網絡的安全隱患與解決對策[J].計算機光盤軟件與應用，2012（18）.
[4]郭晶晶，牟勝梅，史蓓蕾.關于某金融企業網絡安全應用技術的探討[J].數字技術與應用，2013，12（09）：123-125.
[5]王擁軍，李建清.淺談企業網絡安全防護體系的建設[J].信息安全與通信保密，2013，11（07）：153-171.
[6]胡經珍.深入探討企業網絡安全管理中的常見問題[J].計算機安全，2013，11（07）：152-160.
[7]周連兵，張萬.淺議企業網絡安全方案的設計[J].中國公共安全：學術版，2013，10（02）：163-175.
網絡安全論文參考文獻：
[1]古田月.一場在網絡戰場上的較量與爭奪[N].中國國防報，2013-05-20（6）.
[2]蘭亭.美國秘密監視全球媒體[N].中國國防報，2010-10-24（1）.
[3]李志偉.法國網絡安全戰略正興起[N].人民日報，2013-01-01（3）.
（保密的學位論文在解密后適用本授權書）
論文作者簽名： 導師簽名：
簽字日期： 年 月 日 簽字日期： 年 月 日
內 容 摘 要
本文針對浙江廣播電視集團網絡，以及集團網絡安全的建設、改造提出了相應的解決方案，并且從網絡和網絡安全兩個主要方面進行了相關的闡述。首先，對在本方案中可能使用到的計算機網絡、及網絡安全的相關技術進行了闡述、分析和比較。然后，對集團中的計算機網絡、以及網絡安全的現狀進行調查研究。其次，針對浙江廣播電視集團的網絡現狀進行了詳細的需求分析。最后，提出了一套針對浙江廣播電視集團計算機網絡、以及網絡安全實際情況的網絡、及網絡安全的詳細設計方案。實施本方案之后，有助于提高其計算機網絡系統的可靠性、以及網絡的安全性。
關鍵詞：網絡系統，數據安全，網絡安全，局域網
ABSTRACT
The thesis brings forward the relevant solution of the network and the Internet security of Zhejiang Radio & Television Group giving elaboration on the two aspects. First of all, it explains and analyzes the related technique of the network and the Internet security will possibly be used in this project. Then, it studies and researches the computer network and security used in group. Thirdly, on the basis of ZRTG network it sets out the concrete demanding analysis. At the end of the thesis, it states the detailed design project on Internet and the facts of Internet security of ZRTG. The project is helpful to improve the reliability of network and the safety of Internet.
KEYWORDS：network system，data security, network security，LAN
目 錄
第一章 引言 1
第一節 選題背景與意義 1
第二節 集團網絡安全發展與現狀 1
第三節 網絡安全相關技術介紹 2
第二章 集團網絡安全系統概況及風險分析 4
第一節 集團網絡機房環境 4
第二節 網絡應用數據備份 4
第三節 網絡安全弱點分析 5
第四節 網絡安全風險分析 6
第三章 集團網絡安全需求與安全目標 7
第一節 網絡安全需求分析 7
第二節 網絡安全目標 7
第四章 集團網絡安全解決方案設計 9
第一節 網絡監控管理系統 9
第二節 電子郵件安全解決方案 9
第三節 遠程數據傳輸的加密 10
第四節 服務器的安全防護 11
第五節 計算機病毒防護的加強 14
第六節 網絡攻擊及防護演示效果圖 15
第五章 結束語 17
參考文獻 18
致 謝 19
第一章 引言
第一節 選題背景與意義
隨著互聯網的普及度越來越高，全世界的計算機都能通過互聯網連接到一起。各種網上活動的日益頻繁，使得網絡安全問題日益突出，信息安全成為了一個重要的課題。各種各樣的網絡攻擊層出不窮，如何防止網絡攻擊，保障各項業務的順利進行，為廣大用戶提供一個安全的網絡環境變得尤為重要。
本論文針對浙江廣播電視集團的計算機網絡、以及網絡安全的實際解決方案。在實施了本方案之后，有助于提高集團計算機網絡系統的可靠性、以及網絡的安全性。認真分析網絡面臨的威脅，計算機網絡系統的安全防范工作是一個極為復雜的系統工程，是一個安全管理和技術防范相結合的工程。首先是各計算機網絡應用部門領導的重視，加強工作人員的責任心和防范意識，自覺執行各項安全制度，在此基礎之上，再采用先進的技術和產品，構造全方位的防御機制，使系統在最理想的狀態下運行。
第二節 集團網絡安全發展與現狀
圖1-1網絡拓撲圖
浙江廣播電視集團作為省級廣電傳媒集團，現有計算機網絡于2002年10月建成，在集團的運作和管理中發揮著重要的作用。近年來隨著集團業務的發展，網絡應用的不斷深入，應用領域較以前傳統的、小型的業務系統逐漸向大型、關鍵業務系統方向擴展。大部分子系統已接入網絡，遠程數據傳輸、集團資料共享、動態數據查詢、流媒體數據業務、集團網站運營等都在該網絡上傳輸，整個網絡的用戶規模是原計算機網絡規模的數十倍。隨著網絡規模的不斷擴大、接入點數量的增多、內部網絡中存在的安全隱患問題就會愈加突出，安全日益成為影響網絡效能的重要問題，而互聯網所具有的開放性、國際性和自由性在增加應用自由度的同時，對自身網絡的安全性提出了更高的要求。雖然廣電集團前期的網絡建設有一定的安全措施，但因為網絡復雜性的逐步提高，網絡中存在隱患的可能性以及由此產生的危害性也大大提高，因此在網絡系統的進一步建設過程中，及時查清網絡隱患的必要性就體現了出來。
第三節 網絡安全相關技術介紹
要保證計算機網絡系統的安全性，還要采用一些先進的技術和產品。目前主要采用的相關技術和產品有以下幾種。
一、防火墻技術
為保證網絡安全，防止外部網對內部網的非法入侵，在被保護的網絡和外部公共網絡之間設置一道屏障這就稱為防火墻。它是一個或一組系統，該系統可以設定哪些內部服務可已被外界訪問，外界的哪些人可以訪問內部的哪些服務，以及哪些外部服務可以被內部人員訪問。它可監測、限制、更改跨越防火墻的數據流，確認其來源及去處， 檢查數據的格式及內容，并依照用戶的規則傳送或阻止數據。其主要有：數據包過濾、監測型、服務器等幾大類型。
二、數據加密技術
與防火墻配合使用的安全技術還有數據加密技術，是為提高信息系統及數據的安全性和保密性，防止秘密數據被外部破析所采用的主要技術手段之 一。隨著信息技術的發展，網絡安全與信息保密日益引起人們的關注。目前各國除了從法律上、管理上加強數據的安全保護外，從技術上分別在軟件和硬件兩方面采取措施，推動著數據加密技術和物理防范技術的不斷發展。按作用不同, 數據加密技術主要分為數據傳輸、數據存儲、數據完整性的鑒別以及密鑰管理技術四種。
三、認證技術
認證技術是防止主動攻擊的重要手段，它對于開放環境中的各種信息的安全有重要作用。認證是指驗證一個最終用戶或設備的身份過程，即認證建立信息的發送者或接收者的身份。認證的主要目的有兩個：第一，驗證信息的發送者是真正的，而不是冒充的，這稱為信號源識別；第二，驗證信息的完整性，保證信息在傳送過程中未被竄改或延遲等。目前使用的認證技術主要有：消息認證、身份認證、數字簽名。
四、虛擬專用網絡（VPN）技術
虛擬專用網(VPN)是企業網在因特網等公共網絡上的延伸,通過一個私有的通道在公共網絡上創建一個安全的私有連接。它通過安全的數據通道將遠程用戶、公司分支機構、公司業務伙伴等與公司的企業網連接起來，構成一個擴展的公司企業網。在該網中的主機將不會覺察到公共網絡的存在，仿佛所有的機器都處于一個網絡之中。公共網絡似乎只由本網絡在獨占使用，而事實上并非如此。
VPN技術主要提供在公網上的安全的雙向通訊，采用透明的加密方案以保證數據的完整性和保密性。
VPN技術的工作原理：VPN系統可使分布在不同地方的專用網絡在不可信任的公共網絡上實現安全通信，它采用復雜的算法來加密傳輸的信息，使得敏感的數據不會被竊聽。
五、計算機病毒的防范
首先要加強工作人員防病毒的意識，其次是安裝好的殺毒軟件。合格的防病毒軟件應該具備以下條件：
（一）較強的查毒、殺毒能力。在當前全球計算機網絡上流行的計算機病毒有4萬多種，在各種操作系統中包括Windows、 UNIX和Netware系統都有大量能夠造成危害的計算機病毒，這就要求安裝的防病毒軟件能夠查殺多種系統環境下的病毒，具有查毒、殺毒范圍廣、能力強的特點。
（二）完善的升級服務。與其它軟件相比，防病毒軟件更需要不斷地更新升級，以查殺層出不窮的計算機病毒。
第二章 集團網絡安全系統概況及風險分析
第一節 集團網絡機房環境
目前，浙江廣播電視集團計算機網絡絕大多數的設備都是安放在新大樓13樓機房內的，只有樓層交換機是分布在各樓層的設備機柜中。根據本文的現場勘察和了解，目前大多數信息機房在機房的裝修、溫度和濕度控制、消防、照明、防靜電、防雷等方面已經作了很多的考慮，主要有如下方面:
一、網絡機房都作了可靠的防雷措施，建設有防雷接地網，其接地電阻小于1歐姆;大樓頂部建設有避雷針。
二、所有從網絡機房大樓外接入網絡機房的數據信號，全部采用光纖接入。
三、網絡機房內大多配備UPS電源系統。
四、機房內鋪設防靜電地板、吊頂，對墻面進行了無塵處理。
五、安裝機房防盜監控系統。
六、配備機房消防系統和應急照明系統。
七、所有樓層交換機的供電都是由機房內 UPS 通過專用的線路直接供電，與樓層內的其它電源系統沒有任何連接。
第二節 網絡應用數據備份
在廣電集團的計算機網絡中大多己經有功能數據備份與恢復系統，它是一套基于磁帶介質的備份與恢復系統，有2套文件備份的License和1套Oracle數據庫備份的License，進行服務器的文件備份和Oracle數據庫的實時備份和恢復。
浙江廣電集團網絡中已經有了以下幾個網絡安全方面的考慮:
一、病毒防護
網絡中使用了諾頓病毒防護系統，該病毒防御系統是基于網絡的病毒防護系統，在網絡內能夠遠程的安裝網絡客戶端的病毒防護軟件，進行病毒特征庫的自動更新，集中控制和管理。但是，網絡中的病毒防護系統沒有集中控制和管理的控制臺，不能實時了解網絡中防病毒客戶端程序的安裝情況、病毒感染和爆發的情況。
二、外網接入安全防護
網絡目前大多沒有單獨的外網接入點，沒有自己的外網接入安全防護，使用統一的出口和安全策略。
三、入侵檢測系統
在集團總部局域網與其他網絡連接處采用的一套入侵檢測系統具體部署如圖2-1
圖2-1 廣電集團入侵檢測系統示意圖
第三節 網絡安全弱點分析
浙江廣電集團網絡系統安全弱點主要包括:
一、硬件弱點: 硬件隱患存在于服務器、終瑞、路由器、交換機和安全設備等設備中，一旦發生硬件的安全問題，將給主機和網絡系統的可靠性、可控性、可用性和安全性等造成嚴重損害。
二、操作系統弱點: 由于操作系統自身的漏洞和缺陷可能構成安全隱患。操作系統是計算機應用程序執行的基本平臺，一旦操作系統被滲透，就能夠破壞所有安全措施?？看蜓a丁開發的操作系統不能夠從根本上解決安全問題，動態連接給廠商提供開發空間的同時為黑客開啟了方便之門。
三、數據庫系統弱點: 由于數據庫系統本身的漏洞和缺陷可能構成的安全隱患。
四、網絡系統弱點： TCP/IP協議本身的開放性導致網絡存在安全隱患。如：TCP/IP 數據通信協議集本身就存在著安全缺點，如：大多數底層協議采用廣播方式，網上任何設備均可能竊聽到情報； 協議規程中缺乏可靠的對通信雙方身份認證手段，無法確定信息包地址真偽導致身份“假冒”可能；由于TCP 連接建立時服務器初始序號的可推測性，使得黑客可以由“后門”進入系統漏洞。
五、通用軟件系統弱點:如Web服務器等常用應用軟件本身可能存在的安全弱點。
六、業務系統弱點: 節目視頻業務系統等本身的“Bug”或缺陷可能構成弱點。
七、安全設計的弱點: 安全設計不周全可能構成系統防護的弱點，由于安全漏洞的動態性和安全威脅的增長性要求以及安全需求本身的限制，安全體系設計要求具有良好的可擴展性和動態自適應性。
八、管理弱點: 工具不多，技術水平不高，意識淡薄，人員不到位。
第四節 網絡安全風險分析
網絡本身所固有的結構復雜、高度開放、邊界脆弱和管理困難等特點，增加了廣電集團網絡系統的安全風險。
由于網絡自身的開放性和廣電集團網絡系統的特殊性使網絡系統存在很大的安全風險性，主要有：
一、人為因素：
未經授權訪問重要信息
惡意破壞重要數據
數據竊取、數據篡改
利用網絡設計和協議漏洞進行網絡攻擊
假冒、偽造、欺騙、敲詐、勒索
內部人員惡意泄露重要的信息
管理員失職
二、自然因素：
設備的老化
火災、水災 (包括供水故障)
爆炸、煙霧、灰塵
通風
供電中斷
電磁輻射、靜電
以上都可能引起設備的失效、損壞，造成線路擁塞和系統癱瘓等。
第三章 集團網絡安全需求與安全目標
第一節 網絡安全需求分析
為了確保廣電集團網絡系統的安全，其安全需求可以從安全管理層面、物理安全層面、系統安全層面、網絡安全層面、應用安全層面等方面來分析。
從安全管理要求來分析，要考慮政策、法規、制度、管理權限和級別劃分、安全培訓等，特別要考慮基層人員計算機水平不高，系統設計和培訓等方面要周密考慮，制定切實有效的管理制度和運行維護機制。
從物理安全要求來分析，要根據浙江廣電集團實際情況，確定各物理實體的安全級別，建立相應的安全防護機制。
從系統安全需求來分析，需要解決操作系統安全、數據庫系統安全、TCP/IP 等協議的安全、系統缺陷、病毒防范等問題。
從網絡安全需求來分析，要考慮系統掃描、入侵檢測、設備監控和安全審計等，要防范黑客入侵、身份冒充、非法訪問。要保證信息在公共傳輸通道上的機密性，撥號線路的保密性和身份鑒別。
從應用安全和信息安全需求來分析，要解決重要終端用戶數據的加密、數據的完整性、數據的訪問控制和授權以及數據承載終端設備 (各種計算機、筆記本電腦、無線WAP終端及其它終端設備) 以及其中運行的操作系統的安全可靠。
因此，廣電集團網絡系統安全要重點做好以下幾方面的工作，同時也是本安全方案的設計需要解決的問題：
一、解決內部外部系統間的入侵檢測、信息過濾 (防止有害信息的傳播)、網絡隔離問題；
二、解決內部外部黑客針對網絡基礎設施、主機系統和應用服務的各種攻擊所造成的網絡或系統不可用、信息泄密、數據篡改 等所帶來的問題；
三、解決重要信息的備份和系統的病毒防范等問題；
四、建立系統安全運行所匹配的管理制度和各種規范條例；
五、建立健全浙江廣電集團網絡系統安全培訓制度及程序等方面的問題；
六、解決浙江廣電集團和其它相關單位部門網絡信息交流帶來的安全問題。
第二節 網絡安全目標
計算機網絡的安全問題與單臺計算機的安全在實際中存在著非常大的差別。網絡不是分裝在一個機箱內，存在著傳輸系統的地域分布問題。這些傳輸通信系統可以是有線的，也可以是無線的。這類傳輸可以在中途被截獲，存在著“中間攻擊”的問題。從攻擊的手段來看，攻擊種類和機制非常多。訪問控制和鑒別也比單臺計算機困難，網絡安全要特別重視防截獲，防泄露和信息加密的實施。
目前所采用的網絡防護方法也就是在進入計算機操作系統控制中的網絡訪問和網絡協議上實施的。
網絡防護的基本服務: 網絡訪問控制(MAC)、鑒別、數據保密性、數據完整性、行為的完整性、抗抵賴性、可用性等。
網絡安全的目的是保護在網絡系統中存儲、傳輸和處理的信息的安全，概括為確保信息的完整性、保密性、可用性和不可抵賴性。
信息的保密性指的是在計算機網絡系統中存儲、傳輸和處理的信息不被非授權的查看；
信息的完整性指的是在計算機網絡系統中存儲、傳輸和處理的信息不被非授權的改變；
信息的可用性和可靠性指的是在計算機網絡系統中存儲、傳輸和處理的信息為授權用戶提供及時、方便、有效的服務；
信息的不可抵賴性指的是內部人員對信息的操作不可抵賴。
為了更加完整的執行上述網絡信息安全的思想，防止來自集團內部局域網上的攻擊，又由于浙江廣電集團網絡連接關系復雜、網絡設備多，使用租用的國內的通信線路，存在著傳輸線搭接竊聽或輻射接收竊聽等環節。因此要做到以下幾個要求：
1) 防止計算機病毒的蔓延
集團網絡眾多的用戶，可能由于內部管理上疏忽，裝入未經殺毒處理的軟
件或是從因特網上下載了帶病毒的文件。還可能來自外部黑客釋放病毒、邏輯炸彈的攻擊等，這些都對計算機網絡系統安全構成嚴重威脅。病毒廣泛地傳播，將造成網絡軟硬件設備的損害以至于整個網絡系統癱瘓。
2) 加強網絡安全的動態防護
網絡黑客攻擊手段、計算機病毒等都處于不斷的發展和變化中，使用目前的安全保密技術和產品是難以構造一種絕對安全、無縫隙和一勞永逸的網絡系統的。因此，安全的網絡系統必須具有網絡安全漏洞的檢測和監控功能。通過安全檢測、監控手段，及時發現網絡安全漏洞和各種惡意的攻擊手段，及時提供修補系統漏洞的建議并阻斷來自內外的非法使用和攻擊。
3) 保障集團內部業務系統的安全穩定
由于涉及省臺與各地方臺的視頻傳輸，不可避免的會遇上各種各樣的問題，因此，在網絡層對業務的安全要保障得力，并且要確認信息傳輸的安全穩定。
第四章 集團網絡安全解決方案設計
第一節 網絡監控管理系統
由于浙江廣電集團的網絡建設已有很多年的時間了，其很多網絡設備都自帶了監控及管理軟件或工具，但是這些工具在問題發生之后很難解決問題。而網絡監控管理系統的實時映射、網絡瓶頸通知和設備失敗通知卻可以幫助用戶快速隔離問題，并且在員工抱怨之前解決問題。
這里對推薦的美國 CA 公司的網絡監控管理系統 (Unicenter Network & System Management)所能夠達到的功能簡單地說明一下：通過 TCP/IP 協議，不需要專門的培訓，用戶就可以配置該網絡監控管理系統，啟動網絡監視管理功能后，能夠監控的網絡設備包括工作站、服務器、主機、網橋、路由器、集線器、打印機等在內的幾乎所有網絡元件。當用戶決定使用該網絡監控管理系統軟件時，首先可以通過該軟件的網絡探查功能，能夠全面查看用戶網絡的底層構件，確認整個網絡的體系結構，并以一種可描述可管理的模式定位所有的網絡設備，并將這些設備存儲起來，迅速繪出網絡結構圖，同時啟動設備的監控，而這些過程都是自動生成的，非常簡單易用，可操作性強，這對于網絡設備非常多、而專業網絡管理人員較少的企業來說就顯得非常重要。
在這個過程中，首先通過該網絡監控管理系統 24X7 的全時設備輪詢網絡監視功能，迅速識別網絡元件的任何問題，當監測到問題時，可以不同的顏色顯示出來，并以通過手機、e-mail、聲音警報通知管理人員，同時根據各網絡元件相互之間的依賴關系，自動關閉與 有問題網絡元件之后的所有網絡元件的連接，減少冗余數據數量，避免冗余通知。此外，還能對網絡元件的潛在問題、網頁的正確性、可用性、網絡的性能以及系統資源進行有效的監控管理。
當網絡監控管理系統識別網絡失效時，在向相關人員發送警報及通知時，該軟件還可啟動一個程序來定位網絡失效。因此，當狀況被隔離之后，一個特定的應用程序或者腳本程序就會被執行，或許是重啟這個服務或許是重啟計算機。這個進程是自動的，因此當相關人員收到設備失效的通知時，相應的措施已經采取了，管理人員不用回到辦公室，因為當管理人員在收到通知時已經知道問題己經解決了。
在這一系列監控與管理過程中，網絡監控管理系統都能自動生成監控及管理日志，并對系統的使用情況與趨勢形成報告，以便用戶形成較為完善的系統化管理，提升工作效率。
第二節 電子郵件安全解決方案
解決電子郵件安全問題，我們需要從三個方面來考慮如何應對：
1) 對帶病毒郵件、垃圾郵件等惡意郵件的過濾和封堵；
2) 對進出郵件系統的所有郵件進行備份，用于監控和備查；
3) 對敏感的郵件內容進行加密傳輸，防備在傳遞路徑上的惡意窺伺。
對集團來講，現實的方法是結合現有的成熟技術，組合出一個在經濟上和技術上合理的解決方案，同時要保證長期的維保成本。郵件系統的安全解決方案包括如下三個部分：
1、電子郵件安全網關技術方案
通過郵件安全網關的部署，在病毒程序、垃圾郵件等不良信息進入集團郵件系統之前，便對其進行遏制、阻截，從而保證集團電子郵件系統的安全穩定運行，節省郵件系統存儲空間，避免機密的泄漏。
在郵件網關硬件系統上整合郵件反病毒引擎，對進入集團郵件系統的電子郵件進行病毒檢測，采取郵件隔離、刪除以及清除病毒等操作，減少病毒對郵件服務器的攻擊。應根據互聯網最新病毒發展趨勢，定時升級郵件網關病毒庫。
2、郵件備份系統技術方案
在集團現有郵件系統的基礎上，實現對指定時間內(如最近一年)所有收發郵件的備份，并且管理員根據郵件信息摘要(例如：發件人、收件人、主題、日期、附件名稱等)進行檢索和查看郵件全部內容。
3、郵件加密系統技術方案
保護重要電子郵件不被泄密，防止內部人員未經許可將重要電子文檔以郵件的方式泄密，防止電子郵件被截取而引起的泄密。保證工作效率，在盡量不改變使用者收發郵件操作習慣的基礎上，保證電子郵件正常暢通使用。
考慮到文件安全擴展的需求，除電子郵件之外，信息泄密還有多種途徑。在保護郵件安全的基礎上，要考慮到日后系統的擴展性。
郵件安全管理系統綜合動態加解密技術、訪問權限控制技術、使用權限控制技術、期限控制技術、身份認證技術、操作日志管理技術、硬件綁定技術等多種技術對電子郵件進行保護。
第三節 遠程數據傳輸的加密
建立基于SSL VPN技術加密訪問系統，使得從Internet到內部網絡的訪問使用SSL VPN數據加密通道，保證數據在傳輸過程中保密性。
目前能夠提供 SSL VPN 加密產品的廠家很多，但是本文認為在SSL VPN技術的先進性、加密傳輸的速率、以及廠家的技術服務等方面，Juniper的Netscreen SA 1000具有相對的優勢，是其它廠家無法比的。
Juniper 網絡公司SSL VPN產品家族的Netscreen-SA 1000系列，使企業可以部署經濟高效的遠程接入、外聯網及內聯網安全性。用戶可從任何標準 Web瀏覽器接入企業網絡和應用。NetScreen-SA 1000系列使用SSL作為安全接入傳輸機制，SSL是所有標準Web瀏覽器中使用的安全協議。使用SSL使客戶無需部署客戶端軟件、無需更改內部服務器，也無需進行成本高昂的長期維護。NetScreen-SA 1000產品提供先進的合作伙伴喀戶外聯網特性，以控制用戶或用戶組的網絡訪問，無需更改基礎設施、無需部署DMZ 、也無需軟件。這項功能還允許公司安全接入企業內聯網，使管理員可以根據不同員工、承包商和訪問者所需的資源來限制他們的接入權限。
NetScreen-SA 1000系列解決方案的主要特性與優勢如下:
一、端到端分層安全性
端點客戶端、設備、數據和服務器的分層安全性控制，Juniper網絡公司 Endpoint Defense Initiative(端點防御計劃)，用于提供最高的端點安全性可以根據用戶組或角色、網絡、設備及會話屬性來規定基于用戶身份的接入降低總擁有成本。不需要部署客戶端軟件或更改服務器，幾乎不需要長期維護。從單一平臺安全地遠程接入內聯網和外聯網安全的外聯網接入，無需構建 DMZ、無需加固服務器、無需復制資源、或無需增加部署來添加應用或用戶簡化
二、可管理性
（一）集中管理選項提供統一管理
（二）用戶自助服務功能，可降低技術支持服務窗口的支持成本
（三）細粒度的審計和日志記錄
（四）3 種不同的接入方法，允許管理員根據具體目的來設置接入權限
（五）基于角色分配管理任務
三、高可用性
群集對部署選項，可為整個LAN和WAN提供高可用性。
第四節 服務器的安全防護
一、業務服務器的安全防護
（一）防火墻的安裝
這里將在Catalyst 4506交換機與服務器群的交換機之間安裝一臺高性能的防火墻，并根據服務器群中的每臺服務器的應用系統的情況，在該防火墻上進行一對一的安全策略配置的工作。
（二）入侵檢測系統的安裝
這里將在服務器群的交換機上配置一個偵聽端口，將流經該交換機所有端口的數據包都復制一份傳送到偵聽端口上；再把入侵檢測系統連接到該偵聽端口，接收該端口輸出的所有數據包，并對這些數據包進行入侵分析、判斷和記錄。本文將負責完成入侵檢測安裝配置工作。
二、涉及到的設備選擇
（一）防火墻的選擇
防火墻的類型主要有：數據包過濾、監測型、服務器等幾大類型。
1）包過濾型
包過濾型防火墻是防火墻的較初級產品，其技術基于網絡中的分包傳輸技術。網絡上的數據都是以“包”為單位進行傳輸的，數據被分割成為一定大小的數據包，每一個數據包中都會包含一些特定信息，如數據的源地址、目標地址、TCP/UDP源端口和目標端口等。防火墻通過讀取數據包中的地址信息來判斷這些“包”是否來自可信任的安全站點，一旦發現來自危險站點的數據包，防火墻便會將這些數據拒之門外。系統管理員也可以根據實際情況靈活制訂判斷規則。如圖4-1所示:
圖4-1包過濾型防火 墻的工作原理
包過濾技術的優點是簡單實用，實現成本較低，在應用環境比較簡單的情況下，能夠以較小的代價在一定程度上保證系統的安全。
但包過濾技術的缺陷也是明顯的。包過濾技術是一種完全基于網絡層的安全技術只能根據數據包的來源、目標和端口等網絡信息進行判斷，無法識別基于應用層的惡意侵入，如惡意的Java小程序以及電子郵件中附帶的病毒。有經驗的黑客很容易偽造IP地址，騙過包過濾型防火墻。
2）型
型防火墻也能夠被稱為服務器，它的安全性要高過包過濾型產品，并已經開始向應用層發展。服務器位于客戶機與服務器之間，完全阻擋了二者間的數據交流。從客戶機來看，服務器相當于一臺真正的服務器;而從服務器來看，服務器又是一臺真正的客戶機。當客戶機需要使用服務器上的數據時，首先將數據請求發給服務器，服務器再根據這一請求向服務器索取數據，然后再由服務器將數據傳輸給客戶機。由于外部系統與內部服務器之間沒有直接的數據通道，外部的惡意侵害也就很難傷害到集團內部網絡系統。如圖4-2所示
圖4-2型防火墻的工作原理
型防火墻的優點是安全性較高，可以針對應用層進行偵測和掃描，對付基于應用層的侵入和病毒都十分有效。它的缺點是對系統的整體性能有較大的影響，而且服務器必須針對客戶機可能產生的所有應用類型逐一進行設置，大大增加了系統管理的復雜性。
本文將選用業界性能較好的、可靠性較高的Juniper 的NetScreen 5200防火墻，該防火墻的技術參數如表4-1
表 4-1 NetScreen 5200 防火墻技術參數表
物性/功能 NetScreen-5200
接口數 2個XFE 1OGigE，或8個Mini-GBIC, 或2個Mini-GBIC+24 10/100
最大吞吐量 1OG 防火墻
5G 3DES/AFS VPN
最多會話數 1,000,000
最多VPN 隧道數 30,000
最多策略數 4000,000
最多虛擬系統數 5
最多虛擬LAN 數 4000
最多安全區域數 默認設置為16個，最多增加1000個
最多虛擬路由器數 默認設置為3個，最多增加500個
支持的高可用性模式 主用/備用
支持的路由協議 OSPF, BGP, RIRV1/V2
深層檢測 是
集成/重新定向，Web過濾 是/否
（二）入侵檢測系統的選擇
這里選用國內擁有領先安全技術水平的天融信千兆級入侵檢測系統NGIDS-UF。其主要的技術指標如表4-2
表4-2 NGIDS-UF 入侵檢測系統技術指標表
型號 NGIDS-UF
類別 千兆IDS
規格 2U 機架式
網絡接口 1個10/100Base-TX: 2個千兆光纖
2wh 10/100/1000Base-TX
串口 1個RS-232C
第五節 計算機病毒防護的加強
一、在原有的病毒防護系統增加集中管理控制臺
新增一臺服務器，在上面安裝一套諾頓的病毒防護的集中管理控制臺。這里將安裝該服務器系統和諾頓的集中管理控制的軟件系統。
二、增加網絡病毒防火墻
在每個樓層交換機的上聯端接入一臺網絡病毒防火墻，對局域網內的病毒進行區域控制：在二級單位廣域網入口處安裝一臺網絡病毒防火墻，保障二級單位的廣域網線路不會受到病毒數據包的影響。
涉及到的設備選擇：
(一)諾頓的防病毒集中管理控制臺
只有選用諾頓的集中管理控制軟件才能控制和管理諾頓的網絡防病毒系統的客戶端軟件。
(二)網絡病毒防火墻
目前有趨勢相關的硬件產品出售，并且該產品還能夠與諾頓的網絡防病毒客戶端軟件進行聯動。所以本文選擇部署趨勢的NVW1200網路病毒防火墻。該網絡病毒防火墻的主要功能如下:
1.執行免的安全策略
網絡病毒墻對非兼容設備進行隔離修正，以確保所有設備在進入網絡前都安裝有最新的防病毒及關鍵的操作系統補丁。執行免的安全策略可減少管理負荷，并可同時降低被合作伙伴或VPN用戶的非兼容設備感染的風險。
2.漏洞隔離
網絡病毒墻根據Trend Micro的漏洞評估功能，隔離網絡蠕蟲可利用的潛在環節，使管理者有選擇地隔離薄弱(未安裝不定程序)的網絡段或設施，避免病毒的爆發。網絡病毒墻提供漏洞評估服務，并將該功能作為一個可選項。
3.靈活的、集中式管理
網絡病毒墻包括趨勢科技企業安全管控中心、及一個集中式、基于網絡的管理控制臺，它根據主機安裝永久的需要實施安全更新部署。該服務可以自動部署、或點擊管理控制臺的選項進行手工部署。
4.網絡掃描及偵測
網絡病毒墻通過掃描網絡流量查找蠕蟲及漏洞利用，并基于趨勢實驗室提供的最新病毒碼來自動清除感染的網絡數據包。另外，網絡病毒墻利用趨勢科技先進的啟發式技術對您的網絡實施監控，并提供威脅的早期預警。
5.網絡病毒爆發監控
網絡病毒墻通過實時監控網絡流量或可疑活動來提供早期的威脅預警。并在中心控制臺上發出病毒爆發通知，立即提示管理者蠕蟲攻擊目標、受感染的主機、或具體的受攻擊的漏洞。
6.網絡病毒爆發防御
網絡病毒墻部署了Trend Micro病毒爆發防御服務，通過阻絕任何蠕蟲傳播組合，包括8地址或地址范圍、端口及協議、即時通訊渠道、文件類型擴展名、及文件傳遞。
7.自動清除損害
網絡病毒墻通過隔離感染的網絡段、主機、或客戶，進行清除及修正，阻止了再次感染。憑借自動、免清除蠕蟲(木馬)痕跡、及系統文件配置(system.ini)修復功能，Trend Micro的清除損害服務可以防止再次感染，降低清除成本。
第六節 網絡攻擊及防護演示效果圖
圖4-3網絡攻擊及防護演示效果圖
針對浙江廣電集團的網絡結構，當出現如下各類情況時解決方案如圖4-3所示：
1、 漏洞掃描-識別攻擊行為
2、 上傳病毒/木馬-修復系統漏洞
3、 啟用后臺服務監聽-防病毒軟件
4、 遠程控制服務器-防火墻入侵檢測
5、 攻擊業務系統-防火墻、雙機容錯
6、 破壞系統數據-備份、災難恢復
7、 客戶端中毒-防病毒軟件
第五章 結束語
計算機網絡的可靠性和安全性是在不斷地變化的，不同的時期或者階段對網絡的可靠性和安全性方面的要求是不一樣的。在網絡的建設之初，集團網絡關心最多的是網絡的連通性，只需要網絡能夠傳送數據即可，對于網絡數據的延遲lunwen .1 kejian .com 一以及網絡短時間的中斷都沒有過多的要求:當網絡中存在著涉及到集團的關鍵性應用系統時，就對網絡數據的延遲時間、以及網絡的中斷時間上就有了很高的要求，在一般情況下，為了保障集團應用系統的連續運行，集團網絡系統是不允許發生網絡中斷的。因此，本文在方案的設計中就已經考慮到要符合目前的、以 及將來的網絡應用系統的需要，同時本文設計的網絡系統的可靠性和安全性可以根據集團網絡業務系統的需要進行相關的調整，滿足變化之后的網絡業務系統的要求。
本方案是一個針對浙江廣電集團目前計算機網絡現狀的網絡、及網絡安全的解決方案，在隨后的分期分批的項目實施過程中，由于集團網絡環境、以及網絡應用系統的變化，會在細節上根據實際情況進行相應的調整，如:安裝設備數量、設備安裝具體地點等，只要在總的布局、要求以及標準上保持不變，實施之后就能夠達到本方案的設計要求。同時，本方案在設計、以及設備的選型上，己經做了今后擴展的考慮。
本方案并沒有解決浙江廣電集團計算機網絡、以及網絡安全方面的所有問題，隨著計算機網絡、及網絡安全的技術不斷地發展，以及集團網絡應用系統不斷地新增，集團業務系統也會對集團的計算機網絡系統的結構和網絡安全方面提出更高的要求，實現后滿足集團實際的需要。
【參考文獻】
[1] 張國清.CCNP BSCI詳解.北京:電子工業出版社，2006.
[2] 拉斯特.網絡安全基礎[M].北京：中國郵電出版社，2006.
[3] 常曉波.CISCO網絡安全.北京：清華大學出版社，2004.
[4] 王達.網管員必讀——網絡安全.電子工業出版社. 2007.
[5] 《非常掌上寶系列》編委會.數據備份恢復與系統重裝一條龍.北京:科學出版社，2005.
[6] 張公忠.現代網絡技術教程北京:電子工業出版社，2004.
[7] 飛科研發中心.電腦防毒防黑急救.北京:電子工業出版社，2002
[8] 黃志暉.計算機網絡管理與維護全攻略.西安:西安電子科技大學出版社，2004.
[9] 歐陽江林.計算機網絡實訓教程，北京:電子工業出版社，2004.
[10] 金純.IEEE802.11無線局域網北京:電子工業出版社，2004
[11] 施裕琴.網絡安全的入侵檢測系統及發展研究.集團經濟研究2006,(27):25-26.
[12] 董凱虹.網絡監控管理系統的功能.計算機世界周刊.2006.(4):50-51
[13] 胡越明.Internet技術及其實現.北京:高等教育出版社，2005.
[14] 陳雪著.Windows XP的完善.上海理工大學出版社，2005.8
[15] 麥肯蘭勃.網絡安全評估.北京：中國電力出版社，2006.
[16] C Kaufman, R Perlman, M Speciner , Network security: private communication in a public world.
[17] W Stallings , Cryptography And Network Security: Principles and Practice， 2006.
[18] Allan liska ,《The Practice of Network Security : Deployment Strategies for Production Environments》,Prentice Hall PTR,2004.
[19] Gert De Laet,《Network Security Fundamentals》,Cisco Press,2004.
致 謝
在論文完成之際，謹向所有給予我指導、關心、支持和幫助的老師、領導、同學和親人致以崇高的敬意和深深的感謝!
首先感謝導師顧忠偉老師一直以來對我的學習、工作和生活所給予的無私關心、悉心指導和嚴格要求。尤其在論文的完成階段，得到顧老師的耐心指導和嚴格把關。顧老師嚴謹的治學態度、求實的工作作風、平易近人的處世風范都深深影響了我。在此謹向顧老師表示最衷心的感謝和最誠摯的敬意！
感謝浙江廣電集團科技管理部計算機科的同事，他們結合自己多年的計算機系統與網絡安全的相關經驗，給我提出了很多寶貴的建lunwen .1 kejian .com 一和對我實習中的幫助。在論文完成之際，在此特向各位同事表示深深的謝意!
在論文的材料收集期間，得到了負責集團網絡工作的蔣老師的大力支持，他根據自己多年實際工作的經驗，為我的論文寫作、改進工作提出了許多有價值的寶貴建議，在此對蔣老師表示感謝!
感謝經濟管理學院的各位老師、同學在學習工作等諸方面的支持和幫助，這一切使我在學習期間深受教益。
最后，深深地感謝我的家人旦他們在生活和學業上給了我無私的關懷，為了支持我的學業，付出了莫大犧牲。惟乞此文能夠回報這些無比的關心和厚愛!
2:吉林省森工集團信息化發展前景與規劃.
3: 吉林省林業設計院網絡中心網絡改造與發展規劃.
4: 吉林省林業系統生態信息高速公路構建課題.
二、論文撰寫與設計研究的目的:
吉林省的林業分布十分廣泛,以長白山系為主要脈絡的山地廣泛分布各種森林資源,而作為林業及林業環境的發展,林業生態信息則是一個更為龐大的系統,快捷,準確,合理,系統的采集,處理,分析,存儲這些信息是擺在我們面前的十分現實的問題.在信息交流的這個世界中,信息好比貨物,我們需要將這些貨物(信息)進行合理的處理,其中以硬件為主的計算機網絡系統是這些貨物(信息)交流的"公路"和"處理廠",我做這個題目,就是要為它畫出一條"公路"和若干"處理方法"的藍圖.
由于森工集團這樣的特定企業,其一,它是一個統一管理的企業,具有集團化的特點,網絡的構建具有統一性.其二,它又在地理上是一個分散的企業,網絡點也具有分散性.然而,分散中還具有集中的特點,它的網絡系統的設計就應該是板塊化的.從信息的角度來講,信息的種類多,各種信息的采集傳輸處理角度也不盡相同,我們在設計的過程中不僅要考慮硬件的地域布局,也要考慮軟件平臺的配合.
沒有最好,只有更好;更新觀念,大步向前.我相信,在導師的精心指導下,經過我的努力,我將為它們創造出一條平坦,寬闊的"高速公路".
1,論文(設計)研究的對象:
擬訂以吉林省林業系統為地理模型,以林業網絡綜合服務為基本需求,以網絡拓撲結構為設計方向,以軟件整合為應用方法,開發設計一套完整的基于集散集團企業的企業網絡系統.
2,論文(設計)研究預期達到目標:
通過設計,論文的撰寫,預期達到網絡設計全面化,軟件整合合理化,網絡性能最優化,資金應用最低化,工程周期最短化的目標.
3,論文(設計)研究的內容:
一),主要問題:
設計解決網絡地域規范與現有網絡資源的利用和開發.
設計解決集中單位的網絡統一部署.
設計解決多類型網絡的接口部署.
設計解決分散網絡用戶的接入問題.
設計解決遠程瘦用戶網絡分散點的性能價格合理化問題.
設計解決具有針對性的輸入設備的自動化信息采集問題.
合理部署網絡服務中心的網絡平衡.
優化網絡服務系統,營造合理的網絡平臺.
網絡安全問題.
10,基本應用軟件整合問題.
[nextpage]
二),論文(設計)包含的部分:
1,地理模型與網絡模型的整合.
2,企業內部集中部門網絡設計.
3,企業內部分散單元網絡設計——總體分散.
4,企業內部分散單元網絡設計——遠程結點.
5,企業內部分散單元網絡設計——移動結點.
6,企業網絡窗口(企業外信息交流)設計.
7,企業網絡中心,服務平臺的設計.
8,企業網絡基本應用軟件結構設計.
9,企業網絡特定終端接點設計.
10,企業網絡整合設計.
5,論文(設計)的實驗方法及理由:
由于設計的過程并不是工程的施工過程,在設計過程中詳盡的去現場建設肯定有很大的難度,也不是十分可行的,那么我們在設計的階段就應該進行仿真試驗和科學計算.第一步,通過小型網絡測試軟件平臺,第二步,構建多個小型網絡搭建全局網絡模擬環境,第三步,構建干擾源利用小型網絡集總仿真測試.
6,論文(設計)實施安排表:
1.論文(設計)階段第一周次:相關理論的學習研究,閱讀參考文獻資料,制訂課題研究的實施方案,準備試驗用網絡硬件和軟件形成試驗程序表及試驗細則.
2.論文(設計)階段第二周次:開始第一輪實驗,進行小型網絡構建試驗,模擬網絡服務中心,模擬區域板塊,模擬遠程及移動網絡.
3.論文(設計)階段第三周次:進行接口模擬試驗,測試軟件應用平臺,完善課題研究方案.
4.論文(設計)階段第四周次:完成第一輪實驗,提交中期成果(實驗報告1).
5.論文(設計)階段第五周次:進行第二輪實驗,模擬環境(干擾仿真)實驗,提交實驗報告2.
6.論文(設計)階段第六周次:完成結題報告,形成論文.
三,論文(設計)實施工具及參考資料:
小型網絡環境,模擬干擾環境,軟件平臺.
吳企淵《計算機網絡》.
鄭紀蛟《計算機網絡》.
陳濟彪 丹青 等 《計算機局域網與企業網》.
christian huitema 《因特網路由技術》.
[美]othmar kyas 《網絡安全技術——風險分析,策略與防火墻》.
其他相關設備,軟件的說明書.
1、論文(設計)的創新點:
努力實現網絡資源的全面應用,擺脫將單純的網絡硬件設計為企業網絡設計的模式,大膽實踐將軟件部署與硬件設計階段相整合的網絡設計方法.
題目可行性說明及預期成果:
中圖分類號:TP393.08 文獻標識碼:A文章編號:1007-9599 (2010) 09-0000-02
Research&Application of Network Security Management System
Huang Yang
(The 772th Research Institute of China Shipbuilding Industry Corporation,Hubei430064,China)
Abstract:Aiming at the fact that there are lots of potential safety hazard on network,this paper researched and discussed the network security management system.Firstly the current information on network of security management system was analyzed,on the basis of analysis,the design and realization of network information security management system was discussed in details,and the whole structure levels and function models were pointed out;on the other hand,the realization scheme of the network information security management system was analyzed from the client,server and the long-distance communication,the three aspects were also discussed.All this work is significative for enhancing the information security level on network.
Keywords:Network security;Security management;Network management system
一、引言
隨著計算機網絡的發展,信息與網絡技術正逐漸改變著人們的政治、經濟、文化生活的方式。同時,隨著人們對網絡依賴性的增強,網絡安全問題逐漸暴露,網絡安全事件層出不窮。在信息化程度逐步提高的現代社會,信息安全越來越得到關注。
本論文重點結合局域網內信息安全的要求,對網絡安全監管系統進行開發設計與研究,以期從中找到可靠有效的信息安全管理模式和網絡安全監管系統的開發管理經驗,并以此和廣大同行分享。
二、網絡安全監管應用現狀分析
為了防范安全攻擊,提高網絡安全性,安全廠商紛紛采用各種安全技術,推出各類安全產品,如防病毒、防火墻、入侵監測、入侵保護、VPN等等,并且加強操作系統和應用系統自身的安全防護,加強安全審計。這些措施都在很大程度上提高了網絡的安全狀況,然而,不同的安全產品都是解決某一方面的安全問題,例如:防火墻用于檢測和限制外部網絡對受保護網絡的訪問,對穿過防火墻的惡意數據包卻無能為力,更不能防范內部威脅。
針對上述情況,需要有相應的技術和產品來整合不同的安全產品,能夠將來自不同事件源的事件統一監控起來,并對這些事件進行分析,向用戶提供網絡運行的整體安全狀況,有效減少誤報和漏報,極大提高報警準確性,發現復雜的攻擊行為,并能根據保存的歷史事件數據對事件進行深入調查和安全審計。
為了解決上述問題,本文提出了統一的網絡安全監測系統,該系統從網絡的整體安全出發,通過對網絡中各種安全設備的集中監控,收集各安全設備產生的安全事件,并通過對收集到各種安全事件進行深層的分析、統計和關聯,定位安全風險,對各類安全事件及時提供處理方法和建議的安全解決方案。
三、網絡安全監管系統的設計研究
(一)系統總體層次架構設計
安全監測分析系統的基本功能是采集防火墻、IDS、IPS、網站防護設備、防病毒網關等安全設備安全事件,對網絡邊界進行全天候實時安全監測及深度分析。整合各種安全事件并進行關聯分析,實時顯示全網安全態勢,并形成各類安全監測分析報告。
根據功能要求,安全監測分析系統的軟件結構由下至上,由三個層次組成:采集層、分析層、展示層。采集層負責從安全設備中收集這些設備產生的安全日志,此外還從交換機鏡像流量中分析收集攻擊事件和敏感信息。采集層收集到的數據按照指定的篩選要求進行篩選后發送給分析層進行集中的存儲和分析。由于安全設備發送過來的日志采用的協議不同,報文內部的格式也不同,需要采集端能夠對其進行識別和預處理,即對安全事件進行標準化處理。分析層對采集到的海量數據進行集中的存儲和分析,以提取出主要關注的信息。分析層實現數據接收、實時分析、深度分析的功能。其中包括事件準確定位、時間關聯分析、知識庫、安全態勢分析、告警生成、存儲索引、數據統計、人工分析與報告等。展示層提供人機交互接口,將分析結果以直觀的形式展示給安全管理員,并接受安全管理員的操作指令。
(二)系統功能模塊設計
本論文所設計的網絡信息安全監管系統,也采用分散式管理的模式,以客戶端和服務器構成整個局域網信息的安全監管模式。
以客戶端與服務器結構的設計,安全監管系統的客戶端,是安裝于遠端上的監控程序,它的主要的功能需求為以下四方面:
1.提供管理對各組件的安裝、刪除、及運行參數的設置與維護;
2.提供所有監控內容的查看并發給遠端監控服務器;
3.提供實時信息捕獲;
4.提供對服務器監控端的自動升級,升級不成功可恢復最后一次有效版本。
安全監管系統的服務器端,是安裝于本地的、可對遠端監控程序進行有效管理與信息接收,它的主要功能需求為以下幾方面:
1.提供實時顯示服務器的監控內容;
2.提供有效的遠端控制;
3.提供對遠端服務器監控端的升級管理;
4.支持多管理員管理;
5.提供有效的數據雙重備份功能。
(三)系統的具體實現
1.網絡安全監管系統客戶端設計
客戶端的設計為三個部分:狀態掃描模塊、信息收發模塊和參數管理工具。
(1)狀態掃描模塊:是用于狀態掃描的驅動。它將為整個系統提供與服務器進行通信的模塊、信息收發模塊和參數管理工具。
(2)信息收發模塊:它將與狀態掃描模塊進行通信,并將收集和整理好的數據發給遠端的監控管理端。
(3)參數管理工具:可以進行參數設定的工具。
當信息收發模塊收集到信息時,轉發到遠程控制程序上,但是有個問題會出現,當一臺機器發送信息時,遠程服務端可以正常接收到信息,但當同時有一千個這樣的信息從不同的服務器傳來時,控制端程序將會面臨巨大的負載,最重要的是可能會丟掉重要的信息,如遠端的告警信息。所以對于要發送的信息,在發送和接收時都需要進行一些處理,它們將被分開來發送,并且發送到不同的服務器程序上。
2.網絡安全監管系統服務器設計
服務器端設計成一個C/S結構,每個管理員所使用的將是一個可登錄的管理客戶端程序,但是這里的服務器將不是一個,而是多個,因為多個服務器端程序將用來處理不同的信息。服務器端可以處理多種形式的數據,有效減少單機的通信負載、降低整體結構的處理難度,從而對于不同權限的管理員進行管理。管理員將使用管理終端程序進行登錄后在不同的服務器端上進行相應的數據查詢,這樣的結構可以使設計與實現變得容易。
3.網絡安全監管系統通信方式設計
為了解決遠程通信的問題,在發送端會將信息分類處理,并發給不同的接收端,這樣作的最大好處在于,可以減少處理難度和降低通信負載。信息可以分為三大類:
(1)用于管理的狀態信息;
(2)用于管理區域的信息;
(3)告警信息。
對于在多管理員管理時同樣會發揮良好的結構優勢。當有多個管理員同時在管理不同的服務器時,他們只需按其所需與這些服務器進行交互,例如一個管理員如果想查看局域網在線人數、局域網資源占用等等信息時,只需要與服務器進行通信,而維護人員在檢查服務器時它可能只會在狀態服務器進行查看,而在告警出現時告警服務器會保存告警信息,并發出警告等待人員處理。
四、結語
在信息化時代的今天,網絡十分容易受到非法攻擊和侵入,為此對于網絡安全的監管顯得十分重要,本論文對于網絡信息安全監管系統的設計研究,對于網絡信息安全監理與管理是一次有益的嘗試與探索,當然,其中還有很多的技術問題有待于廣大技術工作人員的共同努力,才能夠最終實現我國網絡信息安全的有效監理與管理,進而保障信息安全。
參考文獻:
2、計算機科學與技術的應用現狀與未來趨勢
3、計算機信息處理技術在大數據時代背景下的滲透
4、計算機基礎課程應用教學思考和感悟
5、中職中藥專業計算機應用基礎教學改革實踐
6、淺談虛擬現實技術在中職計算機基礎教學中應用的必要性
7、計算機圖像處理技術在UI設計中的應用
8、計算機生成兵力行為建模發展現狀
9、智慧檔案館計算機網絡系統方案設計
10、淺談如何提高計算機網絡的安全穩定性
11、計算機應用技術與信息管理的整合探討
12、計算機科學技術小組合作學習研究
13、計算機科學與技術有效教學策略研究 >>>>>計算機網絡和系統病毒及其防范措施畢業論文
14、互聯網+背景下高校計算機教學改革的認識
15、藝術類應用型本科高校"計算機基礎"課程教學改革研究
16、計算機技術在石油工業中應用的實踐與認識
17、計算機技術在電力系統自動化中的應用研究
18、微課在中職計算機基礎教學中的應用探析
19、課程思政在計算機基礎課程中的探索
20、計算機服務器虛擬化關鍵技術探析
21、計算機網絡工程安全存在問題及其對策研究
22、人工智能在計算機網絡技術中的運用
23、慕課在中職計算機應用基礎教學中的運用
24、淺析如何提高高校計算機課程教學效率
25、項目教學在計算機基礎實訓課程中的應用分析
26、高職計算機網絡教學中項目式教學的應用
27、計算機信息安全技術在校園網絡的實踐思考
28、大數據背景下的計算機網絡安全現狀及優化策略
論文關鍵詞：計算機，網絡安全，安全管理，密鑰安全技術
當今社會．網絡已經成為信息交流便利和開放的代名詞．然而伴隨計算機與通信技術的迅猛發展．網絡攻擊與防御技術也在循環遞升，原本網絡固有的優越性、開放性和互聯性變成了信息安全隱患的便利橋梁．網絡安全已變成越來越棘手的問題在此．筆者僅談一些關于網絡安全及網絡攻擊的相關知識和一些常用的安全防范技術。
1網絡信息安全的內涵
網絡安全從其本質上講就是網絡上的信息安全．指網絡系統硬件、軟件及其系統中數據的安全。網絡信息的傳輸、存儲、處理和使用都要求處于安全狀態可見．網絡安全至少應包括靜態安全和動態安全兩種靜態安全是指信息在沒有傳輸和處理的狀態下信息內容的秘密性、完整性和真實性：動態安全是指信息在傳輸過程中不被篡改、竊取、遺失和破壞。
2網絡信息安全的現狀
中國互聯網絡信息中心(CNNIC)的《第23次中國互聯網絡發展狀況統計報告》。報告顯示，截至2008年底，中國網民數達到2．98億．手機網民數超1億達1．137億。
Research艾瑞市場咨詢根據公安部公共信息網絡安全監察局統計數據顯示．2006年中國(大陸)病毒造成的主要危害情況：“瀏覽器配置被修改”是用戶提及率最高的選項．達20．9％．其次病毒造成的影響還表現為“數據受損或丟失”18％．“系統使用受限”16．1％．“密碼被盜”13．1％．另外“受到病毒非法遠程控制”提及率為6．1％“無影響”的只有4．2％。
3安全防范重在管理
在網絡安全中．無論從采用的管理模型，還是技術控制，最重要的還是貫徹始終的安全管理管理是多方面的．有信息的管理、人員的管理、制度的管理、機構的管理等．它的作用也是最關鍵的．是網絡安全防范中的靈魂。
在機構或部門中．各層次人員的責任感．對信息安全的認識、理解和重視程度，都與網絡安全息息相關所以信息安全管理至少需要組織中的所有雇員的參與．此外還需要供應商、顧客或股東的參與和信息安全的專家建議在信息系統設計階段就將安全要求和控制一體化考慮進去．則成本會更低、效率會更高那么做好網絡信息安全管理．至少應從下面幾個方面人手．再結合本部門的情況制定管理策略和措施：
①樹立正確的安全意識．要求每個員工都要清楚自己的職責分工如設立專職的系統管理員．進行定時強化培訓．對網絡運行情況進行定時檢測等。
2）有了明確的職責分工．還要保障制度的貫徹落實．要加強監督檢查建立嚴格的考核制度和獎懲機制是必要的。
③對網絡的管理要遵循國家的規章制度．維持網絡有條不紊地運行。
④應明確網絡信息的分類．按等級采取不同級別的安全保護。
4網絡信息系統的安全防御
4．1防火墻技術
根據CNCERT／CC調查顯示．在各類網絡安全技術使用中．防火墻的使用率最高達到76．5％。防火墻的使用比例較高主要是因為它價格比較便宜．易安裝．并可在線升級等特點防火墻是設置在被保護網絡和外部網絡之間的一道屏障，以防止發生不可預測的、潛在破壞性的侵入。它通過監測、限制、更改跨越防火墻的數據流，盡可能地對外部屏蔽網絡內部的信息、結構和運行狀況．以此來實現網絡的安全保護。
4．2認證技術
認證是防止主動攻擊的重要技術．它對開放環境中的各種消息系統的安全有重要作用．認證的主要目的有兩個：
①驗證信息的發送者是真正的主人
2）驗證信息的完整性，保證信息在傳送過程中未被竄改、重放或延遲等。
4．3信息加密技術
加密是實現信息存儲和傳輸保密性的一種重要手段信息加密的方法有對稱密鑰加密和非對稱密鑰加密．兩種方法各有所長．可以結合使用．互補長短。
4．4數字水印技術
信息隱藏主要研究如何將某一機密信息秘密隱藏于另一公開的信息中．然后通過公開信息的傳輸來傳遞機密信息對信息隱藏而吉．可能的監測者或非法攔截者則難以從公開信息中判斷機密信息是否存在．難以截獲機密信息．從而能保證機密信息的安全隨著網絡技術和信息技術的廣泛應用．信息隱藏技術的發展有了更加廣闊的應用前景。數字水印是信息隱藏技術的一個重要研究方向．它是通過一定的算法將一些標志性信息直接嵌到多媒體內容中．但不影響原內容的價值和使用．并且不能被人的感覺系統覺察或注意到。
4．5入侵檢測技術的應用
1 引言
隨著網絡的廣泛普及和應用，政府、軍隊大量的機密文件和重要數據，企業的商業秘密乃至個人信息都存儲在計算機中，一些不法之徒千方百計地“闖入”網絡，竊取和破壞機密材料及個人信息。據專家分析，我國80%的網站是不安全的，40%以上的網站可以輕易的被入侵。網絡給人們生活帶來不愉快和尷尬的事例舉不勝舉：存儲在計算機中的信息不知不覺被刪除;在數據庫中的記錄不知道何時被修改;正在使用的計算機卻不知道何故突然“死機”等等諸如此類的安全威脅事件數不勝數。因此，網絡信息的安全性具有舉足輕重的作用。
本論文主要針對分布式網絡的信息安全展開分析討論，通過對分布式網絡安全管理系統的設計研究，以期找到可供借鑒的提高分布式網絡信息安全水平的防范手段或方法，并和廣大同行分享。
2 網絡安全管理技術概述
在當今這個信息化社會中，一方面，硬件平臺，操作系統平臺，應用軟件等IT系統已變得越來越復雜和難以統一管理;另一方面，現代社會生活對網絡的高度依賴，使保障網絡的通暢、可靠就顯得尤其重要。這些都使得網絡管理技術成為網絡安全技術中人們公認的關鍵技術。
網絡管理從功能上講一般包括配置管理、性能管理、安全管理、故障管理等。由于網絡安全對網絡信息系統的性能、管理的關聯及影響趨于更復雜、更嚴重，網絡安全管理還逐漸成為網絡管理技術中的一個重要分支，正受到業界及用戶的日益深切的廣泛關注。
目前，在網絡應用的深入和技術頻繁升級的同時，非法訪問、惡意攻擊等安全威脅也在不斷推陳出新，愈演愈烈。防火墻、VPN、防病毒、身份認證、數據加密、安全審計等安全防護和管理系統在網絡中得到了廣泛應用。雖然這些安全產品能夠在特定方面發揮一定的作用，但是這些產品大部分功能分散，各自為戰，形成了相互沒有關聯的、隔離的“安全孤島”，各種安全產品彼此之間沒有有效的統一管理調度機制，不能互相支撐、協同工作，從而使安全產品的應用效能無法得到充分的發揮。
從網絡安全管理員的角度來說，最直接的需求就是在一個統一的界面中監視網絡中各種安全設備的運行狀態，對產生的大量日志信息和報警信息進行統一匯總、分析和審計;同時在一個界面完成安全產品的升級、攻擊事件報警、響應等功能。但是，一方面，由于現今網絡中的設備、操作系統、應用系統數量眾多、構成復雜，異構性、差異性非常大，而且各自都具有自己的控制管理平臺、網絡管理員需要學習、了解不同平臺的使用及管理方法，并應用這些管理控制平臺去管理網絡中的對象(設備、系統、用戶等)，工作復雜度非常之大。另一方面，應用系統是為業務服務的;企業內的員工在整個業務處理過程中處于不同的工作崗位，其對應用系統的使用權限也不盡相同，網絡管理員很難在各個不同的系統中保持用戶權限和控制策略的全局一致性。
另外，對大型網絡而言，管理與安全相關的事件變得越來越復雜。網絡管理員必須將各個設備、系統產生的事件、信息關聯起來進行分析，才能發現新的或更深層次的安全問題。因此，用戶的網絡管理需要建立一種新型的整體網絡安全管理解決方案—分布式網絡安全管理平臺來總體配置、調控整個網絡多層面、分布式的安全系統，實現對各種網絡安全資源的集中監控、統一策略管理、智能審計及多種安全功能模塊之間的互動，從而有效簡化網絡安全管理工作，提升網絡的安全水平和可控制性、可管理性，降低用戶的整體安全管理開銷。
3 分布式網絡安全管理系統的設計
3.1 分布式網絡安全管理系統架構分析
隨著Internet技術的發展，現在的企業網絡規模在不斷擴大，設備物理分布變得十分復雜，許多企業都設有專門的網絡管理部門，來應對企業網絡中可能出現的問題，以保證企業業務的正常運行。這些網絡管理部門的工作人員可能會根據需要分布在不同的業務部門中，甚至不同的城市中，這就導致原有的集中式網絡設備平臺管理已經不能滿足企業的需求。復合式網絡安全管理平臺必須能夠實現遠程、多用戶、分級式管理，同時要保證整個平臺系統的安全性。
針對以上需求，本網絡安全管理平臺設計為一種網絡遠程管理系統，采取服務器和客戶端的模式。
(1) 分布式網絡安全管理平臺服務器端
分布式網絡安全管理平臺的服務器端是整個管理系統的核心，它位于要管理的企業網絡內部的一臺服務器上，掌控著所有的網絡資源，對被管網絡資源的操作都是由平臺服務器端直接完成。
分布式網絡安全管理平臺的各種管理功能模塊是相對獨立存在的，而服務器端相當于一個大容器，當需要某種管理功能時，就可以通過一定的方法，將管理模塊動態加載到服務器端上。管理模塊完成管理的具體功能，管理模塊既可以單獨完成某種管理功能，也可以通過服務器端提供的服務，協作完成特定的管理功能。服務器端還提供了一個公共的通信接口，通過這個通信接口，服務器端上的管理功能模塊就可以實現與客戶端的交互。
(2) 分布式網絡安全管理平臺客戶端
客戶端相當于一個個企業網絡的管理員，這些管理員己經被分配給不同的用戶名和密碼，從而對應于不同的平臺操作權限。管理員可以通過局域網或者Internet登陸到管理平臺的服務器。_服務器端實現網絡安全管理平臺的各種管理功能。每當有用戶登陸到服務器時，首先服務器端有一個用戶鑒別和權限判斷，通過后，根據權限不同的平臺管理信息被傳送回客戶端，客戶端將這些管理信息顯示出來。如果管理員在客戶端進行了某些操作，客戶端會將這些操作信息發送到服務器，服務器對用戶和操作進行權限鑒定，通過后，服務器就調用相應的管理功能模塊來實現操作，并將結果返回給客戶端，客戶端進行相應的顯示。
3.2 分布式網絡的安全策略管理設計
策略管理的目標是可以通過集中的方式高效處理大量防火墻的策略配 置問題。隨著網絡規模與業務模式的不斷增長變化，對IT基礎設施的全局統一管理越來越成為企業IT部門的重要職責;策略的集中管理更有效的描述了全網設備的基本情況，便于設備間的協作、控制，能夠提高問題診斷能力，提高運營的可靠性;另一方面，也極大的減輕了管理員的工作強度，使其工作效率大幅度提高。
策略管理并不是系統中孤立的模塊，它與節點管理、權限管理有著緊密的聯系。由于節點管理將全網劃分為若干管理域，每個管理域中還有相應的下級組織部門，因此策略管理首先與節點信息相聯系，這也就隱含了策略的層級配置管理。
另外，策略是由某個具有一定權限的管理員對某個管理域或設備制訂的，因此策略是否能定制成功需要調用權限管理中的功能加以判定，因此隱含了策略的可行性管理。全網策略被統一存儲，結合節點管理，策略存儲有它自身的結構特點，這些屬于策略的存儲管理。
策略按照一定的時間、順序被部署到具體的設備上，無論策略是對管理域定制的，還是對設備制訂的，所有相關的策略最終都要被下發的設備中去，下發的方式能夠根據實際網絡拓撲的變化而做適應性調整，這些屬于策略的管理。
3.3 分布式網絡信息安全構建技術
(1) 構筑入侵檢測系統(IDS)
不同于防火墻，IDS入侵檢測系統是一個監聽設備，沒有跨接在任何鏈路上，無須網絡流量流經它便可以工作。因此，對IDS的部署，唯一的要求是：IDS應當掛接在所有所關注流量都必須流經的鏈路上。
(2) 構筑入侵防御(IPS)
入侵防御是一種主動的、積極的入侵防范、阻止系統，它部署在網絡的進出口處，當它檢測到攻擊企圖后，它會自動地將攻擊包丟掉或采取措施將攻擊源阻斷。入侵防御系統在網絡邊界檢查到攻擊包的同時將其直接拋棄，則攻擊包將無法到達目標，從而可以從根本上避免黑客的攻擊。
(3) 采用郵件防病毒服務器
郵件防病毒服務器安裝位置一般是郵件服務器與防火墻之間。郵件防病毒軟件的作用：對來自INTERNTE的電子郵件進行檢測，根據預先設定的處理方法處理帶毒郵件。郵件防病毒軟件的監控范圍包括所有來自INTERNET的電子郵件以及所屬附件。
4 結語
