安全技术与管理论文开题报告

计算机网路安全是促进网路事业健康发展的前提,在分析网路安全产生的原因及目前网路所面临威胁的基础上,以安全防御作为出发点,从技术及管理两大方面,提出了防护计算机网路安全的具体措施与有效方案。下面是我为大家整理的计算机网路安全发展论文开题报告，供大家参考。

《 计算机网路安全及防火墙技术 》

摘要：伴随着网际网路时代的到来，以资讯科技为核心的计算机产业得到了极大的繁荣与发展，在社会生活之中的各个领域，计算机装置已经得到了极为广泛的普及应用。然而伴随着计算机应用规模的不断扩大，相关的计算机网路安全问题也变得日益严峻，目前已经引起了社会各界的高度关注，因此就加强计算机网路安全为题展开相关的研究工作，对于引导资讯科技产业的良性发展，具有十分重大的现实意义。本文主要就计算机网路的安全性与相关的防火墙技术展开了具体的探究，以期能够给予相关的网路安全防护提供以可供参考的内容。

关键词：计算机;网路;安全;防火墙

1概述

网路安全在广义范围内通常被认为是网路系统之中到的软体、硬体以及相关的资料资讯能够得到妥善的保护，而不会由于突发状况或恶性攻击而遭受破坏、泄露乃至于损毁，以使得系统能够持续、稳定的执行，保障网路服务不发生断连。针对网路安全的内涵阐述，存在有多种角度的解读，比如从具体的使用者端而言，网路安全的内涵则重点偏向于个人隐私，或者是商业资讯能够在网路环境的传输过程当中，得到保密性与整体性的保护，要严禁避免所传输的资讯资料被认为窃取、肆意篡改等情况的发生，并且将资讯资料储存与某项计算机系统当中之时，要严格确保对非法入侵行为的防御。从网路运营商以及管理人员的角度而言，在本地网路环境之中的资讯访问等相关操作，均要确保有一定的保护及控制措施，严禁预防发生对于网路资源的恶意占领、控制，以及拒绝服务等情况的出现，高效可靠的抵御网路黑客的攻击行为，这便是网路运营商及管理人员所需要做到的网路安全部分。针对国家 *** 机关的安全保密部门而言，网路安全工作应当针对那些违法的、有损或者是牵涉到国家机密的资讯内容，予以必要的过滤及安全性防御，从而促使国家机密不会在网路渠道发生泄密事件，同时也使得由此可能会造成的社会危害降至最低，避免国家经济受损。

2网路安全技术

网路安全技术在最初设计之时，仅是考虑到了整体网路的便捷性与开放性，而对于安全性考虑不足，因此也就导致了目前的网路环境基础较为脆弱，对于网路攻击的防御能力较差。对于在电脑保安领域大量的专业人士进行了各种形式的安全研究，其中主要涵括了身份认证、资料加密、安全审计、安全协议以及防火墙等多项安全措施。在这诸类安全技术当中防火墙技术是确保网路内部安全最为行之有效的方法，防火墙技术融合了网路、密码、软体以及ISO安全标准等多方面的安全技术。在一般的概念理论之中，网路安全技术大致可被划分为下列三项：资讯传送技术、防火墙技术以及本地安全技术。其中资讯传送技术主要包含了资讯加密、数字签名以及资讯传送的方式等诸多内容，主要是由资讯的安全传送层面来进行归类划分。而本地安全技术则涵括了审计跟踪、访问控制、弱项保护、病毒防御等。

3防火墙技术

在众多的网路安全技术手段之中，防火墙技术无疑是最为关键的一项网路安全核心技术。本段内容将重点阐述一些防火墙技术的相关内容，其中主要包括了资讯传送技术、包过滤技术、代理技术等。

1资讯传送技术

在网际网路资讯的包交换网路之中，所有的资讯内容均会被分割为等量距离的资料系统，在每一段的资料系统之中通常会包含有IP源地址、目标地址、内部协议、目标埠以及各种型别的讯息路径。在这些资料系统段落被传输至网际网路之后，相应的接收系统防火墙会读取IP地址，进而选取一条物理路径进行资料输送，等量资料段可能会由不同的物理路径到达同一目标地点，在所有资料段落到达目标地点后再次进行资料的重新组合，并最终促使资料复原。

2包过滤技术

包过滤技术作为防火墙技术之中一项十分关键的技术内容，其能够借助于防火墙的隔离作用对于出入网路的资料资讯流加以控制与操作。资讯系统的管理人员可设定相应的规则系统，明确指出哪一型别部分的资料内容能够进出内部网路系统;哪一部分的资料内容在传输的过程当中应当对其实行拦截处理。目前的一些包过滤防火墙技术不但需要依据IP资料的具体地址、协议、埠、服务、时间等资讯要素来采取相应的访问控制措施，并且还需要针对所有的网路连线以及目前的会化妆与采取动态分析及监管控制。包过滤防火墙载体可被安置于路由器当中，因为基于网际网路的网路连线大多都需要应用到路由器这一装置，因此Router也便成为了实现网路内部与外部环节互相通讯的必由路径，对于一项包过滤规则而言其安全程度及安装的必要性是难以判断的，因此在一些安全程度要求较为严格的使用环境中，通常还会增用一些其他的相关技术来确保安全防护的可靠性。包过滤防火墙技术在实际的执行过程之中，其中的包过滤模组通常会于作业系统亦或路由器转发包前将大部分的资料资讯拦截下来。不仅需要检验包过滤模组是否达到了过滤标准的要求，同时还要做好对于拦截资料的记录工作。在通过检验规则的资料资讯可予以转发处置，针对不符合规则要求的资料资讯应当予以报警处置，并通知管理人员。如若没有相应的过滤标准，则可通过使用者所设定的预设引数，来明确此项资料内容应当予以通过稽核亦或作舍弃处理。过滤的规则即为网路系统的管理人员，根据自身部分制定出的安全策略所拟定的规则标准。在传统的防火墙技术当中，基于规则标准的防火墙过滤稽核，从属于同一连线方式之中的不同资料，且这些资料内容之间不存在任何相关性，每一项资料资讯都应当根据规则标准予以过滤处置，由此也便会使得系统的安全性稽核过于冗杂;而采用包过滤防火墙技术能够基于连线状态实现包过滤检查，使得从属于相同连线境况下的资料包当作一个整体资料包进行处置，并借助于规则表以及连线状态表的协同配合，极大提升了系统性能与安全效能。

3代理技术

代理技术通常是指采用代理亦或代理伺服器技术，具体可为一项代理内部网路的使用者，能够和外部的网路伺服器实行资讯的互动。代理技术能够使内部使用者所发出的请求在确认以后传送至外部伺服器之中，并且也能够将外部伺服器的响应再次传输至使用者端。目前在一些包过滤防火墙技术之中，针对FTP、HTTP以及DNS等系统应用均能够做到代理服务。以上所说的代理服务内容对于使用者而言是清晰可见的，即在使用者的意识当中是感知不到防火墙的存在，便能够安全的实现对于内外部网路的互相通讯。在内部网路使用者需应用透明代理进行外部资讯的访问时，使用者无需进行特殊设定，代理伺服器会自行构建透明路径，使使用者能够直接和外界进行通讯，此举不仅能够使得使用者在进行资讯获取时获得极大的便利性，同时也能够最大程度的降低使用过程之中的错误问题，避免在防火墙的日常应用过程中发生安全风险与错误问题。代理伺服器能够将内部的网路细节予以遮蔽处理，从而使得相关的入侵人员无法获取到系统的内部结构情况。并且通过对于某些特殊命令的遮蔽，能够避免使用者会无意使用到对系统产生安全威胁的命令，最终实现从网路底层避免攻击行为的发生。

4防火墙的构建

传统的包过滤防火墙系统，仅是依据所收集到的资料资讯来进行安全性评估，例如对于资料资讯的源地址、目标地址、TCP埠号，以及资料资讯之中的各类过滤资讯，而这些安全性评估评估内容相对都是较为基础的，因此较易遭受到病毒性的供给，例如源地址、源路由选取等病毒欺。据此应当采取一种新型的包过滤防火墙设计方式，以促使防火墙装置除了在对过滤资料进行核查之外，同时也应当针对相关的路由装置予以检查，将满足于资料过滤规则却未能够通过路由安全检测的资料包遗弃，以期最大程度的改善此类问题。

具体的防火墙构建流程为：

首先，对于Linux核心予以修改，使得其能够具备路由记录的功能。在Linux系统之中并不包含有支援IP资料包路由记录功能，因而便需要对其核心进行修改处理。对于此种功能的实现需要给予IP程式之中的选项控制模组，即build_options，因此应当对其采取相应的修改，使之能够具备路由记录的功能。

其次，在Linux系统之中安装以双项网络卡，并对路由进行合理的设定。在Linux主机之中安排路由功能往往需要在主机当中具备不低于两个的网路介面，在执行具体的操作之时可能会发生Linux系统当中乙太网卡缺少自行检测的功能，要解决这一功能性缺失问题，通常有两类方法，第一，在载入程式档案/etc/lilo.conf档案之中设定：append=“ether=irq0,io-port0,eth0ether=irql,io-portl,ethl”;而第二种修改方式为对核心源程式进行修改，将/usr/src/Linux/drivers/net/Space.c之中的ethl结构进行修改。

再次，构建基于路由记录基础之上的包过滤防火墙软体。此软体的构建从本质上来说，即是在初始Linux系统的包过滤防火墙软体基础上进行了一定的修改。这主要是由于Linux系统的核心程式，其自身便是一项包过滤程式，且具备常规防火墙技术的优势特性，如：简便、高效、功能强大，能够依序系统的具体设定来执行相关的安全策略，同时对于资料包内容也能够予以有效的过滤。

5结束语

总之，伴随着相关计算机网路技术的持续发展，以及其应用范围的不断扩充套件，网路技术在带给人们极大便捷性的同时，也产生了一定的资讯保安隐患。因为网路系统的安全性不但与技术与管理两方面存在着密切的相关性，并且也和网路装置的日常应用及维护具有一定的相关性。尽管当前防火墙技术是预防恶意网路入侵的主要手段，然而因为网路安全是由多个方面的因素所决定的，所以单纯的凭借防火墙技术显然是不能够满足于人们对于网路安全性的需要，因而，要想能够给予使用者提供以更为优秀的网路安全服务，就必须要将网路安全研究和相关的防火墙技术相结合，以期最终能够实现计算机网路安全性的持续提升。

参考文献：

[1]邹勇,白跃彬,赵银亮，等.增强型包过滤防火墙规则的形式化及推理机的设计与实现[J].计算机研究与发展,201412.

[2]秦拯,厉怡君,欧露，等.一种基于SFDD的状态防火墙规则集比对方法[J].湖南大学学报:自然科学版,201410.

[3]秦拯,欧露,张大方，等.高吞吐量协作防火墙的双向去冗余方法[J].湖南大学学报:自然科学版,20131.

《 资讯与计算机通讯网路安全技术分析 》

摘要：资讯时代网路成为人们关注的话题，网路作为一个虚拟的社会，像每个人都带了面具，无法一眼分辨每个人的善恶。所以在网路中要学会保护自己，保护资讯的安全。本文分析了威胁计算机通讯网路安全的各种因素，并提出了加强网路安全的措施。

关键词：资讯保安;计算机通讯;网路;技术研究

计算机通讯网路安全就是指保护计算机上的资料没有在使用者许可的情况下不会出现被他人或计算机网路系统非法窃取和复制，同时保护使用者资料的完整性。同时保护计算机系统的正常执行，同时保护计算机不被非法利用，确保传输的资料在中途不会被撷取和窃听。

1威胁计算机网路安全的因素

目前家用计算机的系统有windows、Unix、Linux和Mac等，一种微软公司的windows系统，它占据着市场巨大的份额。我们一般所说的电脑保安问题也一般是出在这个系统上的，因为windows是一个开放的系统。开放性一方面帮助所以使用计算机的人都处在同一平台网路，互相交流方便快捷;另一方面也造就了大量的系统漏洞，为计算机网路发展产生负面影响。

1.1非法计算机工程师因素

非法计算机工程师俗称黑客，他们拥有高超的计算机网路技术，他们能够在不经过使用者允许的情况下，入侵他人的计算机窃取使用者资讯。同时他们能制造一种能自我复制，窃取他人资讯的程式，这种程式就是电脑病毒。电脑病毒因为自我复制效能够在网际网路上大量传播。感染病毒的计算机会降低了工作能力，因为病毒的自我复制占据了大量的硬碟空间和记忆体，严重时会破坏计算机原有系统，甚至出现计算机宕机，不断重启等现象，同时电脑内的使用者资料可能也被损坏，或被远端复制。有些黑客还会刻意破坏计算机的系统，或者通过盗取计算机内的各种资料来谋取利益。

1.2系统和软体的漏洞

计算机和网路的开放提升了系统不稳定性和保护资讯保安的难度。现在随着网路购物和网上银行的兴起，网路上的资讯具有更大的价值性。如果相应的支付软体和网上银行后台的网路协议存在漏洞，就容易出现资讯的大量泄露等情况。比如网易邮箱出现漏洞时，引发了大量民众恐慌，因为不少人把银行卡安全邮箱设在网易。账户密码等重要资讯与邮箱相联络。泄露邮箱资讯相当于把银行卡密码告诉别人。因此系统和软体本身安全性也是维护网路安全的要解决的重要问题。

2计算机位置资讯被利用

通讯网路的安全威胁在于在电脑位置资讯的修改和欺。计算机病毒可通过找到原路径资讯找到计算机使用者的位置，从而传输有害的资料给计算机，造成对计算机的破坏。此外利用IP流直接破坏伺服器，之后在进行非法入侵。在拷贝好想要的使用者资料后对使用者的电脑系统进行破坏，或者安装木马和监视工具。对电脑的资料进行实时偷窥。或者非法开启使用者摄像或录音装置，对计算机使用者在生活工作隐私进行违法侵犯。这种行为属于犯罪，是人们十分厌恶的一种计算机入侵行为。

3有效且常用的计算机网路安全技术

计算机网路网路安全的防护的方法也是多种多样，但是最佳的方法就是使用正版系统程式，浏览安全的网站，不要下载来历不明的软体。同时使用正版安全的软体，如果能做到著几点，黑客和病毒就很难找到你的电脑，从而维护了自己的安全。同时在日常使用计算机时，要采取一些必要手段，来保护自己的重要资料和资讯不回被窃取盗用。

3.1密码技术

密码技术即为对资料进行加密。是为了提高资讯系统与资料的安全性和保密性，防止机密资料被外部破译而采用的主要技术手段之一，主要有对称加密技术与非对称加密技术两种，其中加密技术以口令作为基础，通过使用金钥进而通过加密或者是解密运算;而对于非对称的加密技术而言，加密金钥是已知的，而解密金钥只有主人知道，由此提高了资讯与计算机通讯网路的安全。

3.2配置防火墙

设定防火墙能够减少病毒或者是非法程式的访问，有效减少对资讯资料的破坏。防火墙指的是于公共网路以及专用的网路间进行隔离墙的设定，有效对使用者请求的授权情况、对进出的专用网路资料以及资讯的准许情况等进行检查，从而进一步阻止非授权的使用者进入或者访问。利用网路资料包实施有效的监控，并对网路系统的各个埠进行掌控，有效核实使用者的身份。假如计算机系统中遭到不安全的程式影响，防火墙将会及时进行拦截，在经主人同意后程序方可进入至计算机的系统网路中，对与计算机的安全与正常执行具有重要的意义。

3.3安全审计及入侵检测技术

安全审计技术能够对使用者的入侵过程以及活动进行记录，分成诱捕及反击2个阶段。诱捕指的是特意安排出现漏洞并且允许入侵者侵入，以便获得较多的入侵特征及证据;反击是指计算机系统在掌握较多的证据以及进行充分的准备之后，对入侵的行为给予跟踪并查询其的来源以及身份，从而将系统与入侵者的连线切断。此外IDS又可称为入侵检测技术，能够提供动态的入侵检测进而采取有效的预防措施，当检测出计算机网路受到非法侵入后，可给予有效的预防措施进行阻断，还可追踪定位并对攻击源进行反击。

3.4VLAN技术

在ATM以及乙太网进行交换技术的基础上发展而来的虚拟区域网技术，能够将区域网的技术发展成连线的技术，进一步预防了网路进行监听及入侵等非法操作。例如将企业的内联网当中的资讯与电子邮件及资料伺服器进行单独的划分，使之形成VLAN1，再将企业外联网进行划分成VLAN2，有效控制企业内、外联网当中的各个资讯流向;即企业的内联网能够访问外联网的有关资讯;而外联网不可访问内联网的资料及资讯。由此一来确保企业的内部重要资讯与资料免受利用及非法访问，大大提高了通讯网路的安全及可靠性。

3.5正版系统和软体以及经常的漏洞修补

任何对计算机非法的操作都是需要漏洞才能实现的，所以保护计算机资讯保安最有效方式就是堵死黑客和病毒入侵电脑的漏洞。这就需要保证计算机系统的正版以及及时更新系统漏洞。在中国有很多人使用盗版的计算机作业系统，这也是黑客和病毒猖獗的主要原因之一，大量的盗版作业系统存在大量的漏洞，成为孕育黑客和病毒温床，所以为了保护计算机资讯，使用正版系统和正版程式是快捷最有效的方法之一。

4结论

计算机通讯网路安全的形势虽然严峻，但是通过不断创新的技术手段就可以改善现在的情况。我们虽不能找出所有黑客及清除所有的计算机网路病毒，但是我们能提高我们防病毒，防黑客的手段，通过各种手段让黑客和病毒无从下手，确保计算机资讯的安全性和正常使用。计算机通讯网路安全是我们与黑客、病毒和漏洞进行的一场长期的战争，只要我们不断运用新的技术，坚持正版，就能在这场战争取得优势地位。

参考文献

[1]徐有汐.网路安全技术研究[J].声屏世界,2015S1.

[2]冯扬.云安全技术研究[J].电力资讯与通讯技术,201401.

[3]谭琳.网路考试系统中安全技术研究[J].现代商贸工业,201302.

[4]李晓辉.网路安全技术研究[J].福建电脑,200903.

《 计算机网路安全防护技术研究 》

【摘要】计算机网路得发展为现代生活带来了极大的便利，但同时也隐藏着巨大的安全风险，近年来网路犯罪率是不断上升，其中一个重要的原因就是计算机网路安全防护不到位。本文结合当前计算机网路安全现状对计算机网路安全防护技术进行探讨，在具体的分析中首先从计算机网路安全的概念入手，其次对计算机网路安全现状进行分析，最后对计算机网路安全常用的防护技术进行了总结。

【关键词】计算机网路安全;防护技术;分析

计算机的快速发展和普及，给人们的生活、工作均带来了极大的便利，网路资讯科技的快速发展使得网路安全越来越受到人们的重视。计算机网路安全是一门专业性较强的计算机应用技术，其中资讯保安技术、网路技术以及通讯技术均是其重要组成，本文主要就计算机网路安全防护技术进行论述如下：

1计算机网路安全概念

电脑保安在国际上有统一的概念，具体的就是：“为资料处理系统建立和采取的技术和管理的安全保护，保护计算机硬体、软体资料不因偶然和恶意的原因而遭到破坏、更改和泄漏”。计算机网路安全指的就是在网路连线条件下，计算机系统可能遭受到重要资讯的破坏、泄露等，计算机网路安全可能涉及到个人隐私的泄露，同时也可能造成商业机密的泄露，因此计算机网路安全与我们每个人的生活都是息息相关，重视计算机网路安全是维持计算机整体安全性的保障。

2计算机网路安全现状分析

计算机网路安全由于在其中有了网路的连线诶作用，因此相对于单一的电脑保安，计算机网路安全风险更大。不过在当前计算机网路安全并没有引起足够重视，通常在一些大的企业、国家机关以及商业机构中对于计算机网路安全显得较为重视，但是在个人使用的计算机网路安全方面重视程度不够，有时邮箱里会有不明邮件，这时，好奇心的驱使让有些人去打开了连结，造成计算机的中毒，这种系统安全包括网路世界里各种各样的网站的安全性。此外，当前网路管理员在管理上表现得不尽人意，由于没用专业的知识，可能一部分是学习管理的，还有一部分是学习安全的，还有学习电子资讯的，总之综合性的人才很少，这使得他们在管理过程中不能及时发现问题，有的发现了问题，却又不知道如何去解决它，这种似懂非懂的管理，在影响了资讯化发展的同时也造成了人才的浪费;网路安全事故大多数是由于在管理方面出现的问题引起的，包括管理制度的具体实施，管理方式的正确运用和在管理中管理人员所起的作用，这些缺陷使得管理人员在实际的管理中比较混乱，缺乏整体性和系统性。

3计算机网路安全防护技术分析

3.1防火墙技术

防火墙对于大多数使用计算机的人都不是很陌生，但是对于防火墙技术了解的人并不多，防火墙指的是在计算机网路或者网路安全区域内一系列部件的组合，防火强是计算机网路安全最基本的保护技术，防火墙的设定可以由使用计算机的人员自行控制，可以关闭防火墙，同时也可以开启防火墙，防火墙是计算机网路资讯进入计算机的唯一通道，同时防火墙还能保证计算机内部使用者访问网路的唯一许可权。防火墙具有较高的抗攻击能力，一般电脑病毒、木马等无法通过防火墙对计算机造成影响，但是如果在使用计算机过程中关闭了防火墙则很容易造成计算机资讯保安的泄露，因此防火墙技术是计算机资讯保安保护的基础技术。

3.2访问控制技术

计算机网路不仅可以促进资讯的交流，实现资源共享，同时也为病毒、木马以及黑客等提供了访问计算机的通道，所以通常需要对访问进行控制，从而保护好计算机网路安全，降低由此造成的资讯泄露等。在访问技术方面一方面可通过路由器实现访问限制，另一方面可以对计算机中的系统档案设定访问许可权，这样在区域网范围内提高了资讯保安，重要系统档案的访问也受到了保护，这样计算机网路资讯保安得到了保障。

3.3加密技术

计算机网路加密技术一方面可以避免计算机资讯的泄露，另一方面可以保障网路的系统安全，在具体的计算机网路安全加密技术应用过程中可以通过增加金钥提高系统的安全性，这种对计算机系统进行加密避免了重要资讯的外泄，使得计算机系统安全性更高，可靠性更强，特别是对于计算机使用者而言，对于计算中中一些关键的节点资讯都可以通过加密技术保证资讯保安，这样资料在传输过程中安全性同样的会增加。

3.4病毒防范技术

计算机网路安全中一个主要的威胁就是计算机病毒，对于计算机病毒一般可以通过计算机使用者安装网路软体实现病毒的拦截、查杀，通过定期的病毒扫描可保证计算机网路安全，在这种计算机技术中可以通过加密执行程式实现对计算机的读防写、系统监控，从而有效防止病毒对计算机的入侵。

3.5备份和映象技术

备份是做好个人重要资料保护的一种有效方法，同时也是提高计算机网路安全的技术方法，经常的备份可避免在计算机系统出现瘫痪或者重灌系统后重要资料的丢失。这对于一些企业、 *** 机关而言显得尤为重要;除了备份外，映象技术也是一种重要的技术，通过映象可保证在计算机出现问题时系统的正常使用。

3.6漏洞扫描和修复技术

计算机在使用过程中定期的会出现系统漏洞，而系统漏洞具有一定的安全风险存在，因此在使用计算机过程中，对于出现的系统漏洞需要及时的进行修复，而且这种修复必须是全面的、全方位的。同时在系统漏洞修复完成后还需要进一步检测系统安全，确保系统漏洞成功修复，现阶段使用的一些系统类软体中都带有系统漏洞的检测，因此使用者在使用过程中对于出现的漏洞需要及时解决。

4结束语

21世纪的今天是一个高度资讯化的时代，大量的资讯资源都需要通过计算机网路实现资源共享，但是计算器网路中潜在的一些安全风险则成为了资讯泄露、企业财产损失的主要原因，因此加强计算机网路安全技术管理是保证网路安全的重要工作，在实际的应用中可将多种计算机网路安全防护技术联合使用，从而进一步提高计算机网路安全性。

参考文献

[1]徐超汉.计算机网路安全与资料完整性技术[J].北京:电子工业出版社,2010,3.

[2]邱均平,陈敬全,岳亚.网路资讯资源版权的管理与对策[J].中国软科学,2012,1.

推荐：

1. 背景和意义随着计算机的发展,人们越来越意识到网络的重要性,通过网络,分散在各处的计算机被网络联系在一起。做为网络的组成部分,把众多的计算机联系在一起,组成一个局域网,在这个局域网中,可以在它们之间共享程序、文档等各种资源；还可以通过网络使多台计算机共享同一硬件,如打印机、调制解调器等；同时我们也可以通过网络使用计算机发送和接收传真,方便快捷而且经济。21世纪全世界的计算机都将通过Internet联到一起,信息安全的内涵也就发生了根本的变化。它不仅从一般性的防卫变成了一种非常普通的防范,而且还从一种专门的领域变成了无处不在。当人类步入21世纪这一信息社会、网络社会的时候,我国将建立起一套完整的网络安全体系,特别是从政策上和法律上建立起有中国自己特色的网络安全体系。 一个国家的信息安全体系实际上包括国家的法规和政策,以及技术与市场的发展平台。我国在构建信息防卫系统时,应着力发展自己独特的安全产品,我国要想真正解决网络安全问题,最终的办法就是通过发展民族的安全产业,带动我国网络安全技术的整体提高。 网络安全产品有以下几大特点：第一,网络安全来源于安全策略与技术的多样化,如果采用一种统一的技术和策略也就不安全了；第二,网络的安全机制与技术要不断地变化；第三,随着网络在社会个方面的延伸,进入网络的手段也越来越多,因此,网络安全技术是一个十分复杂的系统工程。为此建立有中国特色的网络安全体系,需要国家政策和法规的支持及集团联合研究开发。安全与反安全就像矛盾的两个方面,总是不断地向上攀升,所以安全产业将来也是一个随着新技术发展而不断发展的产业。 信息安全是国家发展所面临的一个重要问题。对于这个问题,我们还没有从系统的规划上去考虑它,从技术上、产业上、政策上来发展它。政府不仅应该看见信息安全的发展是我国高科技产业的一部分,而且应该看到,发展安全产业的政策是信息安全保障系统的一个重要组成部分,甚至应该看到它对我国未来电子化、信息化的发展将起到非常重要的作用。第二章网络安全现状2.网络安全面临的挑战网络安全可能面临的挑战垃圾邮件数量将变本加厉。根据电子邮件安全服务提供商Message Labs公司最近的一份报告,预计2003年全球垃圾邮件数量的增长率将超过正常电子邮件的增长率,而且就每封垃圾邮件的平均容量来说,也将比正常的电子邮件要大得多。这无疑将会加大成功狙击垃圾邮件的工作量和难度。目前还没有安装任何反垃圾邮件软件的企业公司恐怕得早做未雨绸缪的工作,否则就得让自己的员工们在今后每天不停地在键盘上按动“删除键”了。另外,反垃圾邮件软件也得不停升级,因为目前垃圾邮件传播者已经在实行“打一枪换一个地方”的游击战术了。即时通讯工具照样难逃垃圾信息之劫。即时通讯工具以前是不大受垃圾信息所干扰的,但现在情况已经发生了很大的变化。垃圾邮件传播者会通过种种手段清理搜集到大量的网络地址,然后再给正处于即时通讯状态的用户们发去信息,诱导他们去访问一些非法收费网站。更令人头疼的是,目前一些推销合法产品的厂家也在使用这种让人厌烦的手段来让网民们上钩。目前市面上还没有任何一种反即时通讯干扰信息的软件,这对软件公司来说无疑也是一个商机。内置防护软件型硬件左右为难。现在人们对网络安全问题受重视的程度也比以前大为提高。这种意识提高的表现之一就是许多硬件设备在出厂前就内置了防护型的软件。这种做法虽然前几年就已经出现,预计在今后的几年中将会成为一种潮流。但这种具有自护功能的硬件产品却正遭遇着一种尴尬,即在有人欢迎这种产品的同时,也有人反对这样的产品。往好处讲,这种硬件产品更容易安装,整体价格也相对低廉一些。但它也有自身的弊端：如果企业用户需要更为专业化的软件服务时,这种产品就不会有很大的弹性区间。企业用户网络安全维护范围的重新界定。目前各大企业公司的员工们在家里通过宽带接入而登录自己公司的网络系统已经是一件很寻常的事情了。这种工作新方式的出现同样也为网络安全带来了新问题,即企业用户网络安全维护范围需要重新界定。因为他们都是远程登录者,并没有纳入传统的企业网络安全维护的“势力范围”之内。另外,由于来自网络的攻击越来越严重,许多企业用户不得不将自己网络系统内的每一台PC机都装上防火墙、反侵入系统以及反病毒软件等一系列的网络安全软件。这同样也改变了以往企业用户网络安全维护范围的概念。个人的信用资料。个人信用资料在公众的日常生活中占据着重要的地位。以前的网络犯罪者只是通过网络窃取个人用户的信用卡账号,但随着网上窃取个人信用资料的手段的提高,预计2003年这种犯罪现象将会发展到全面窃取美国公众的个人信用资料的程度。如网络犯罪者可以对你的银行存款账号、社会保险账号以及你最近的行踪都能做到一览无余。如果不能有效地遏制这种犯罪趋势,无疑将会给美国公众的日常人生活带来极大的负面影响。3.病毒现状互联网的日渐普及使得我们的日常生活不断网络化,但与此同时网络病毒也在继续肆虐威胁泛滥。在过去的六个月内,互联网安全饱受威胁,黑客蠕虫入侵问题越来越严重,已成泛滥成灾的趋势。2003年8月,冲击波蠕虫在视窗暴露安全漏洞短短26天之后喷涌而出,8天内导致全球电脑用户损失高达20亿美元之多,无论是企业系统或家庭电脑用户无一幸免。据最新出炉的赛门铁克互联网安全威胁报告书(Symantec Internet Security Threat Report)显示,在2003年上半年,有超过994种新的Win32病毒和蠕虫被发现,这比2002年同时期的445种多出一倍有余。而目前Win32病毒的总数大约是4千个。在2001年的同期,只有308种新Win32病毒被发现。这份报告是赛门铁克在今年1月1日至6月31日之间,针对全球性的网络安全现状,提出的最为完整全面的威胁趋势分析。受访者来自世界各地500名安全保护管理服务用户,以及2万个DeepSight威胁管理系统侦察器所探测的数据。赛门铁克高级区域董事罗尔威尔申在记者通气会上表示,微软虽然拥有庞大的用户市占率,但是它的漏洞也非常的多,成为病毒目标是意料中事。他指出,开放源码如Linux等之所以没有受到太多病毒蠕虫的袭击,完全是因为使用者太少,以致于病毒制造者根本没有把它不放在眼里。他举例说,劫匪当然知道要把目标锁定在拥有大量现金的银行,所以他相信随着使用Linux平台的用户数量的增加,慢慢地将会有针对Linux的病毒和蠕虫出现。不过,他不同意开放源码社群的合作精神将能有效地对抗任何威胁的袭击。他说,只要是将源码暴露在外,就有可能找出其安全漏洞,而且世上不是全是好人,不怀好意的人多的是。 即时通讯病毒4倍增长赛门铁克互联网安全威胁报告书指出,在2003年上半年使用诸如ICQ之类即时通讯软件(Instant Messaging,IM)和对等联网(P2P)来传播的病毒和蠕虫比2002年增加了400%,在50大病毒和蠕虫排行榜中,使用IM和P2P来传播的恶意代码共有19个。据了解,IM和P2P是网络安全保护措施不足导致但这并不是主因,主因在于它们的流行广度和使用者的无知。该报告显示,该公司在今年上半年发现了1千432个安全漏洞,比去年同时期的1千276个安全漏洞,增加了12%。其中80%是可以被人遥控的,因此严重型的袭击可以通过网络来进行,所以赛门铁克将这类可遥控的漏洞列为中度至高度的严重危险。另外,今年上半年的新中度严重漏洞增加了21%、高度严重漏洞则增加了6%,但是低度严重漏洞则减少了11%。至于整数错误的漏洞也有增加的趋势,今年的19例比起去年同期的3例,增加了16例。微软的互联网浏览器漏洞在今年上半年也有12个,而微软的互联网资讯服务器的漏洞也是非常的多,赛门铁克相信它将是更多袭击的目标；以前袭击它的有尼姆达(Nimda)和红色代码(Code Red)。该报告显示了64%的袭击是针对软件新的安全漏洞(少过1年的发现期),显示了病毒制造者对漏洞的反应越来越快了。以Blaster冲击波为例,就是在Windows安全漏洞被发现短短26天后出现的。知名病毒和蠕虫的威胁速度和频率也增加了不少,今年上半年的知名威胁比去年同期增加了20%,有60%的恶意代码(Malicious Code)是知名病毒。今年1月在短短数小时内造成全球性的瘫痪的Slammer蠕虫,正是针对2002年7月所发现的安全漏洞。另外,针对机密信息的袭击也比去年上半年增加了50%,Bugbear.B就是一个专锁定银行的蠕虫。黑客病毒特征赛门铁克互联网安全威胁报告书中也显现了有趣的数据,比如周末的袭击有比较少的趋向,这与去年同期的情况一样。虽然如此,周末两天加上来也有大约20%,这可能是袭击者会认为周末没人上班,会比较疏于防备而有机可乘。赛门铁克表示这意味着网络安全保护监视并不能因为周末休息而有所放松。该报告书也比较了蠕虫类和非蠕虫类袭击在周末的不同趋势,非蠕虫类袭击在周末会有下降的趋势,而蠕虫类袭击还是保持平时的水平。蠕虫虽然不管那是星期几,但是有很多因素也能影响它传播的率,比如周末少人开机,确对蠕虫的传播带来一些影响。该报告书也得出了在互联网中病毒袭击发生的高峰时间,是格林威治时间下午1点至晚上10点之间。虽然如此,各国之间的时差关系,各国遭到袭击的高峰时间也会有少许不同。比如说,华盛顿袭击高峰时间是早上8时和下午5时,而日本则是早上10时和晚上7时。知名病毒和蠕虫的威胁速度和频率也增加了不少,今年上半年的知名威胁比去年同期增加了20%,有60%的恶意代码(Malicious Code)是知名病毒。今年1月在短短数小时内造成全球性的瘫痪的Slammer蠕虫,正是针对2002年7月所发现的安全漏洞。另外,针对机密信息的袭击也比去年上半年增加了50%,Bugbear.B就是一个专锁定银行的蠕虫。管理漏洞---如两台服务器同一用户/密码,则入侵了A服务器,B服务器也不能幸免；软件漏洞---如Sun系统上常用的Netscape EnterPrise Server服务,只需输入一个路径,就可以看到Web目录下的所有文件清单；又如很多程序只要接受到一些异常或者超长的数据和参数,就会导致缓冲区溢出；结构漏洞---比如在某个重要网段由于交换机、集线器设置不合理,造成黑客可以监听网络通信流的数据；又如防火墙等安全产品部署不合理,有关安全机制不能发挥作用,麻痹技术管理人员而酿成黑客入侵事故；信任漏洞---比如本系统过分信任某个外来合作伙伴的机器,一旦这台合作伙伴的机器被黑客入侵,则本系统的安全受严重威胁；综上所述,一个黑客要成功入侵系统,必须分析各种和这个目标系统相关的技术因素、管理因素和人员因素。因此得出以下结论： a、世界上没有绝对安全的系统；b、网络上的威胁和攻击都是人为的,系统防守和攻击的较量无非是人的较量；c、特定的系统具备一定安全条件,在特定环境下,在特定人员的维护下是易守难攻的；d、网络系统内部软硬件是随着应用的需要不断发展变化的；网络系统外部的威胁、新的攻击模式层出不穷,新的漏洞不断出现,攻击手段的花样翻新,网络系统的外部安全条件也是随着时间的推移而不断动态变化的。一言以蔽之,网络安全是相对的,是相对人而言的,是相对系统和应用而言的,是相对时间而言的。 4,安全防御体系3.1.2 现代信息系统都是以网络支撑,相互联接,要使信息系统免受黑客、病毒的攻击,关键要建立起安全防御体系,从信息的保密性（保证信息不泄漏给未经授权的人）,拓展到信息的完整性（防止信息被未经授权的篡改,保证真实的信息从真实的信源无失真地到达真实的信宿）、信息的可用性（保证信息及信息系统确实为授权使用者所用,防止由于计算机病毒或其它人为因素造成的系统拒绝服务,或为敌手可用）、信息的可控性（对信息及信息系统实施安全监控管理）、信息的不可否认性（保证信息行为人不能否认自己的行为）等。安全防御体系是一个系统工程,它包括技术、管理和立法等诸多方面。为了方便,我们把它简化为用三维框架表示的结构。其构成要素是安全特性、系统单元及开放互连参考模型结构层次。 安全特性维描述了计算机信息系统的安全服务和安全机制,包括身份鉴别、访问控制、数据保密、数据完整、防止否认、审计管理、可用性和可靠性。采取不同的安全政策或处于不同安全保护等级的计算机信息系统可有不同的安全特性要求。系统单元维包括计算机信息系统各组成部分,还包括使用和管理信息系统的物理和行政环境。开放系统互连参考模型结构层次维描述了等级计算机信息系统的层次结构。 该框架是一个立体空间,突破了以往单一功能考虑问题的旧模式,是站在顶层从整体上进行规划的。它把与安全相关的物理、规章及人员等安全要素都容纳其中,涉及系统保安和人员的行政管理等方面的各种法令、法规、条例和制度等均在其考虑之列。另外,从信息战出发,消极的防御是不够的,应是攻防并重,在防护基础上检测漏洞、应急反应和迅速恢复生成是十分必要的。目前,世界各国都在抓紧加强信息安全防御体系。美国在2000年1月到2003年5月实行《信息系统保护国家计划V1.0》,从根本上提高防止信息系统入侵和破坏能力。我国急切需要强化信息安全保障体系,确立我军的信息安全战略和防御体系。这既是时代的需要,也是国家安全战略和军队发展的需要,更是现实斗争的需要,是摆在人们面前刻不容缓的历史任务。 5加密技术密码理论与技术主要包括两部分,即基于数学的密码理论与技术（包括公钥密码、分组密码、序列密码、认证码、数字签名、Hash函数、身份识别、密钥管理、PKI技术等）和非数学的密码理论与技术（包括信息隐形,量子密码,基于生物特征的识别理论与技术）。自从1976年公钥密码的思想提出以来,国际上已经提出了许多种公钥密码体制,但比较流行的主要有两类：一类是基于大整数因子分解问题的,其中最典型的代表是RSA；另一类是基于离散对数问题的,比如ElGamal公钥密码和影响比较大的椭圆曲线公钥密码。由于分解大整数的能力日益增强,所以对RSA的安全带来了一定的威胁。目前768比特模长的RSA已不安全。一般建议使用1024比特模长,预计要保证20年的安全就要选择1280比特的模长,增大模长带来了实现上的难度。而基于离散对数问题的公钥密码在目前技术下512比特模长就能够保证其安全性。特别是椭圆曲线上的离散对数的计算要比有限域上的离散对数的计算更困难,目前技术下只需要160比特模长即可,适合于智能卡的实现,因而受到国内外学者的广泛关注。国际上制定了椭圆曲线公钥密码标准IEEEP1363,RSA等一些公司声称他们已开发出了符合该标准的椭圆曲线公钥密码。我国学者也提出了一些公钥密码,另外在公钥密码的快速实现方面也做了一定的工作,比如在RSA的快速实现和椭圆曲线公钥密码的快速实现方面都有所突破。公钥密码的快速实现是当前公钥密码研究中的一个热点,包括算法优化和程序优化。另一个人们所关注的问题是椭圆曲线公钥密码的安全性论证问题。公钥密码主要用于数字签名和密钥分配。当然,数字签名和密钥分配都有自己的研究体系,形成了各自的理论框架。目前数字签名的研究内容非常丰富,包括普通签名和特殊签名。特殊签名有盲签名,代理签名,群签名,不可否认签名,公平盲签名,门限签名,具有消息恢复功能的签名等,它与具体应用环境密切相关。显然,数字签名的应用涉及到法律问题,美国联邦政府基于有限域上的离散对数问题制定了自己的数字签名标准（DSS）,部分州已制定了数字签名法。法国是第一个制定数字签名法的国家,其他国家也正在实施之中。在密钥管理方面,国际上都有一些大的举动,比如1993年美国提出的密钥托管理论和技术、国际标准化组织制定的X.509标准（已经发展到第3版本）以及麻省里工学院开发的Kerboros协议(已经发展到第5版本)等,这些工作影响很大。密钥管理中还有一种很重要的技术就是秘密共享技术,它是一种分割秘密的技术,目的是阻止秘密过于集中,自从1979年Shamir提出这种思想以来,秘密共享理论和技术达到了空前的发展和应用,特别是其应用至今人们仍十分关注。我国学者在这些方面也做了一些跟踪研究,发表了很多论文,按照X.509标准实现了一些CA。但没有听说过哪个部门有制定数字签名法的意向。目前人们关注的是数字签名和密钥分配的具体应用以及潜信道的深入研究。认证码是一个理论性比较强的研究课题,自80年代后期以来,在其构造和界的估计等方面已经取得了长足的发展,我国学者在这方面的研究工作也非常出色,影响较大。目前这方面的理论相对比较成熟,很难有所突破。另外,认证码的应用非常有限,几乎停留在理论研究上,已不再是密码学中的研究热点。Hash函数主要用于完整性校验和提高数字签名的有效性,目前已经提出了很多方案,各有千秋。美国已经制定了Hash标准-SHA-1,与其数字签名标准匹配使用。由于技术的原因,美国目前正准备更新其Hash标准,另外,欧洲也正在制定Hash标准,这必然导致Hash函数的研究特别是实用技术的研究将成为热点。信息交换加密技术分为两类：即对称加密和非对称加密。1.对称加密技术 在对称加密技术中,对信息的加密和解密都使用相同的钥,也就是说一把钥匙开一把锁。这种加密方法可简化加密处理过程,信息交换双方都不必彼此研究和交换专用的加密算法。如果在交换阶段私有密钥未曾泄露,那么机密性和报文完整性就可以得以保证。对称加密技术也存在一些不足,如果交换一方有N个交换对象,那么他就要维护N个私有密钥,对称加密存在的另一个问题是双方共享一把私有密钥,交换双方的任何信息都是通过这把密钥加密后传送给对方的。如三重DES是DES（数据加密标准）的一种变形,这种方法使用两个独立的56为密钥对信息进行3次加密,从而使有效密钥长度达到112位。 2.非对称加密/公开密钥加密 在非对称加密体系中,密钥被分解为一对（即公开密钥和私有密钥）。这对密钥中任何一把都可以作为公开密钥（加密密钥）通过非保密方式向他人公开,而另一把作为私有密钥（解密密钥）加以保存。公开密钥用于加密,私有密钥用于解密,私有密钥只能有生成密钥的交换方掌握,公开密钥可广泛公布,但它只对应于生成密钥的交换方。非对称加密方式可以使通信双方无须事先交换密钥就可以建立安全通信,广泛应用于身份认证、数字签名等信息交换领域。非对称加密体系一般是建立在某些已知的数学难题之上,是计算机复杂性理论发展的必然结果。最具有代表性是RSA公钥密码体制。 3.RSA算法 RSA算法是Rivest、Shamir和Adleman于1977年提出的第一个完善的公钥密码体制,其安全性是基于分解大整数的困难性。在RSA体制中使用了这样一个基本事实：到目前为止,无法找到一个有效的算法来分解两大素数之积。RSA算法的描述如下： 公开密钥：n=pq(p、q分别为两个互异的大素数,p、q必须保密)