《基于學校網(wǎng)絡安全的研究網(wǎng)絡工程畢業(yè)論文》由會員分享，可在線閱讀，更多相關《基于學校網(wǎng)絡安全的研究網(wǎng)絡工程畢業(yè)論文（24頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、摘 要 隨著計算機網(wǎng)絡的不斷發(fā)展和普及，計算機網(wǎng)絡帶來了無窮的資源，但隨之而來的網(wǎng)絡安全問題也顯得尤為重要。安全是網(wǎng)絡運行的前提，網(wǎng)絡安全不僅僅是單點的安全，而是整個信息網(wǎng)絡的安全，需要從多方進行立體的防護。文中就局域網(wǎng)網(wǎng)絡安全的當前形式及面臨的各種威脅，網(wǎng)絡安全防范措施、技術，闡述了局域網(wǎng)網(wǎng)絡安全當前在我們生活中的重要性。關鍵詞：局域網(wǎng)，網(wǎng)絡，安全，網(wǎng)絡安全AbstractAlong with calculator network continuously development and universality, the calculator network brought an endl

2、ess resources, but the network safe problem for following also seems to be is importance. The safety is a network movement of premise, the network safety isnt only an only a little bit single safety, but the whole safety of information network, need from in many ways carry on a stereoscopic protecti

3、on. In the text the current form of area net network safety in bureau and face of various threat, the network safety guards against a measure, technique and elaborated that the area net network safety in bureau is in the importance in our life at present.Keyword：LAN，Internet，Security，Network Securit

4、y目錄摘要1 網(wǎng)絡安全11.1網(wǎng)絡安全的定義11.2局域網(wǎng)安全威脅及安全攻擊11.3 局域網(wǎng)當前形式及面臨的問題42 網(wǎng)絡安全的防護措施62.1 網(wǎng)絡體系結構62.2 網(wǎng)絡安全模型102.3 局域網(wǎng)安全防范措施113 基于學校網(wǎng)絡安全的研究153.1 校園網(wǎng)絡安全防范體系的建立153.2 學校網(wǎng)絡安全設計方案17結束語20謝辭21參考文獻22211 網(wǎng)絡安全隨著Internet的興起，網(wǎng)絡安全問題越來越引起人們的關注，采取安全技術來防止對數(shù)據(jù)的破壞已成為網(wǎng)絡應用中的當務之急。1.1 網(wǎng)絡安全的定義網(wǎng)絡安全是指網(wǎng)絡系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不因偶然的或者惡意的行為而遭受到破壞、更

5、改、泄露，使系統(tǒng)連續(xù)可靠正常地運行，網(wǎng)絡服務不中斷。網(wǎng)絡安全從其本質上來講就是網(wǎng)絡上的信息安全1。1.2 局域網(wǎng)安全威脅及安全攻擊1.2.1 局域網(wǎng)安全威脅1、來自互聯(lián)網(wǎng)的安全威脅局域網(wǎng)是與Internet互連的。由于Internet的開放性、國際性與自由性，局域網(wǎng)將面臨更加嚴重的安全威脅。如果局域網(wǎng)與外部網(wǎng)絡間沒有采取一定的安全防護措施，很容易遭到來自Internets上黑客的各種攻擊。他們可以通過嗅探程序來探測、掃描網(wǎng)絡及操作系統(tǒng)存在的安全漏洞，如網(wǎng)絡I P 地址、應用操作系統(tǒng)的類型、開放的T C P 端口號、系統(tǒng)用來保存用戶名和口令等安全信息的關鍵文件等，并通過相應攻擊程序進行攻擊。他們

6、還可以通過網(wǎng)絡監(jiān)聽等手段獲得內(nèi)部網(wǎng)用戶的用戶名、口令等信息，進而假冒內(nèi)部合法身份進行非法登錄，竊取內(nèi)部網(wǎng)絡中重要信息。還能通過發(fā)送大量數(shù)據(jù)包對網(wǎng)絡服務器進行攻擊，使得服務器超負荷工作導致拒絕服務，甚至使系統(tǒng)癱瘓。2、來自局域網(wǎng)內(nèi)部的安全威脅內(nèi)部管理人員把內(nèi)部網(wǎng)絡結構、管理員口令以及系統(tǒng)的一些重要信息傳播給外人帶來信息泄漏；內(nèi)部職工有的可能熟悉服務器、小程序、腳本和系統(tǒng)的弱點，利用網(wǎng)絡開些小玩笑，甚至搞破壞。如，泄漏至關重要的信息、錯誤地進入數(shù)據(jù)庫、刪除數(shù)據(jù)等，這都將給網(wǎng)絡造成極大的安全威脅。3、計算機病毒及惡意代碼的威脅由于網(wǎng)絡用戶不及時安裝防病毒軟件和操作系統(tǒng)補丁，或未及時更新防病毒軟件的病

7、毒庫而造成計算機病毒的入侵。許多網(wǎng)絡寄生犯罪軟件的攻擊，正是利用了用戶的這個弱點。寄生軟件可以修改磁盤上現(xiàn)有的軟件，在自己寄生的文件中注入新的代碼。最近幾年，隨著犯罪軟件（Crime Software）洶涌而至，寄生軟件已退居幕后，成為犯罪軟件的助手。1.2.2 安全攻擊安全攻擊是安全威脅的具體體現(xiàn)，他主要包括以下幾種類型：被動攻擊、主動攻擊、物理臨近攻擊和分發(fā)攻擊2。1、被動攻擊被動攻擊的主要目標是被動檢視公共媒體上傳送的信息。抵抗這類攻擊的對策是使用虛擬專用網(wǎng)(VPN)。表1.1列舉了一些特定的被動攻擊。攻擊描述檢視明文檢視網(wǎng)絡的攻擊者獲取未加保護措施的用戶信息或數(shù)據(jù)解密加密不善的通信數(shù)據(jù)

8、公共域中已具備密碼分析能力口令嗅探這類攻擊包括使用協(xié)議分析工具捕獲用于未授權使用的口令通信量分析即使不解密下層信息，外部通信模式的觀察也能給對手提供關鍵信息。如通信模式的改變可以暗示緊急行動表1.1 特定的被動攻擊舉例2、主動攻擊主動攻擊的主要目標是企圖避開或打破安全防護、引入惡意代碼（如計算機病毒）以及轉換數(shù)據(jù)或系統(tǒng)的完整性。典型對策包括增強的區(qū)域邊界保護（如防火墻和邊界護衛(wèi)）、基于身份認證的訪問控制、受保護的遠程訪問、質量安全管理、自動病毒檢測工具、審計和入侵檢測。表1.2類聚了一些特定的主動攻擊。表1.2 主動攻擊舉例攻擊描述修改傳輸中的數(shù)據(jù)在金融領域，如果能夠修改電子交易，從而改變交易

9、的數(shù)量或將交易轉移到別的賬戶，其后果將是災難性的重放（插入數(shù)據(jù)）舊消息的重新插入將耽擱及時的行動會話劫持這種攻擊包括未授權使用一個已經(jīng)建立的會話偽裝成授權的用戶或服務器這類攻擊包括攻擊者自己偽裝成他人，因而得以未授權訪問資源和信息。一個攻擊者通過實施嗅探或其它手段獲得用戶/管理員信息，然后使用該信息作為一個授權用戶登陸。這類攻擊也包括用于獲取敏感數(shù)據(jù)的欺騙服務器，通過與未產(chǎn)生懷疑的用戶建立信任關系來實施該攻擊獲取系統(tǒng)應用和操作系統(tǒng)軟件攻擊者探求以系統(tǒng)權限運動的軟件中存在的脆弱性利用主機或網(wǎng)絡信任攻擊者通過操縱文件使虛擬/遠方主機提供服務，從而去利用傳遞的信任利用數(shù)據(jù)執(zhí)行攻擊者將惡意代碼植入看起

10、來無害的供下載的軟件或電子郵件中，從而使用戶去執(zhí)行該惡意代碼。惡意代碼可用于破壞或修改文件，特別是包含權限參數(shù)值的文件插入或利用惡意代碼攻擊者能進入用戶系統(tǒng)并執(zhí)行命令。通過先前發(fā)現(xiàn)的脆弱性并使用該訪問來達到其攻擊目的利用協(xié)議或基礎設施的BUGS攻擊者利用協(xié)議中缺限來欺騙用戶或重定向通信量。惡意代碼在VPN中可以通過更低級隧道來攫取信息拒絕服務攻擊者有很多其它的攻擊方法，包括有效地將一個路由器從網(wǎng)絡中脫離ICMP炸彈，在網(wǎng)絡中擴散垃圾包以及向郵件中心擴散垃圾郵件等3、物理臨近攻擊在物理臨近攻擊中未授權者可物理上接近網(wǎng)絡、系統(tǒng)或設備，目的是修改、收集或拒絕訪問信息。這種接近可以是秘密進入或公開接近

11、，也可以是兩種都有。表1.3列舉了這種攻擊獨有的典型攻擊實例。表1.3 臨近攻擊舉例攻擊描述修改數(shù)據(jù)或收集信息臨近的攻擊者由于獲得了對系統(tǒng)的物理訪問從而修改或竊取信息，如IP地址、登錄的用戶名和口令系統(tǒng)干預這種攻擊來自臨近的攻擊者訪問并干預系統(tǒng)（如竊聽、降級等）物理破壞該攻擊者來自獲得對系統(tǒng)的物理訪問的臨近者，導致對本地系統(tǒng)的物理破壞4、分發(fā)攻擊“分發(fā)攻擊”一詞是指在軟件和硬件開發(fā)出來之后和安裝之前這段時間，或當它從一個地方傳送到另一個地方，攻擊者惡意修改軟硬件。在工廠，可以通過加強處理配置控制將這類威脅降到最低。通過使用受控分發(fā)，或者由最終用戶檢驗的簽名軟件和訪問控制可以消除分發(fā)威脅。表1.

12、4給了這類分發(fā)特有的典型攻擊實例表1.4 分發(fā)攻擊舉例攻擊描述在制造商的設備上修改軟/硬件當軟件和硬件在生產(chǎn)線上流通時，可以通過修改軟硬件配置來實施這類攻擊。這一階段威脅的對策包括嚴格的完整性控制和在測試軟件產(chǎn)品中的加密簽名，前者又包括高可靠配置控制在產(chǎn)品分發(fā)時修改軟/硬件這些攻擊可以通過在產(chǎn)品分發(fā)期內(nèi)（如在裝船時安裝竊聽設備）修改軟件和硬件配置來實施。這一階段威脅的對策包括在包裝階段使用篡改檢測技術，使用授權和批準傳遞和使用忙買技術1.3 局域網(wǎng)當前形式及面臨的問題隨著局域網(wǎng)絡技術的發(fā)展和社會信息化進程的加快,現(xiàn)在人們的生活、工作、學習、娛樂和交往都已離不開計算機網(wǎng)絡。現(xiàn)今，全球網(wǎng)民數(shù)量已超

13、過15億，網(wǎng)絡已經(jīng)成為生活中離不開的工具，經(jīng)濟、文化、軍事和社會活動都強烈地依賴于網(wǎng)絡。網(wǎng)絡環(huán)境的復雜性、多變性以及信息系統(tǒng)的脆弱性、開放性和易受攻擊性，決定了網(wǎng)絡安全威脅的客觀存在。盡管計算機網(wǎng)絡為人們提供了巨大的方便，但是受技術和社會因素的各種影響，計算機網(wǎng)絡一直存在著多種安全缺陷。攻擊者經(jīng)常利用這些缺陷，實施攻擊和入侵，給計算機網(wǎng)絡造成極大的損害，網(wǎng)絡攻擊、病毒傳播、垃圾郵件等迅速增長，利用網(wǎng)絡進行盜竊、詐騙、敲詐勒索、竊密等案件逐年上升，嚴重影響了網(wǎng)絡的正常秩序，嚴重損害了網(wǎng)民的利益；網(wǎng)上色情、暴力等不良和有害信息的傳播，嚴重危害了青少年的身心健康。網(wǎng)絡系統(tǒng)的安全性和可靠性正在成為世界

14、各國共同關注的焦點。根據(jù)中國互聯(lián)網(wǎng)信息中心2010年初發(fā)布的統(tǒng)計報告顯示：我國互聯(lián)網(wǎng)網(wǎng)站已超過三百萬家，上網(wǎng)用戶2億多，網(wǎng)民數(shù)和寬帶上網(wǎng)人數(shù)均居全球第二。同時，網(wǎng)絡安全風險也無處不在，各種網(wǎng)絡安全漏洞大量存在和不斷被發(fā)現(xiàn)，計算機系統(tǒng)遭受病毒感染和破壞的情況相當嚴重，計算機病毒呈現(xiàn)出異?；钴S的態(tài)勢。面對網(wǎng)絡安全的嚴峻形勢，我國的網(wǎng)絡安全保障工作尚處于起步階段，基礎薄弱，水平不高，網(wǎng)絡安全系統(tǒng)在預測、反應、防范和恢復能力方面存在許多薄弱環(huán)節(jié)，安全防護能力不僅大大低于美國、俄羅斯和以色列等信息安全強國，而且排在印度、韓國之后。在監(jiān)督管理方面缺乏依據(jù)和標準，監(jiān)管措施不到位，監(jiān)管體系尚待完善，網(wǎng)絡信息安

15、全保障制度不健全、責任不落實、管理不到位。網(wǎng)絡信息安全法律法規(guī)不夠完善，關鍵技術和產(chǎn)品受制于人，網(wǎng)絡信息安全服務機構專業(yè)化程度不高，行為不規(guī)范，網(wǎng)絡安全技術與管理人才缺乏。面對網(wǎng)絡安全的嚴峻形勢，如何建設高質量、高穩(wěn)定性、高可靠性的安全網(wǎng)絡成為通信行業(yè)乃至整個社會發(fā)展所要面臨和解決的重大課題。2 網(wǎng)絡安全的防護措施2.1 網(wǎng)絡體系結構2.1.1 網(wǎng)絡層次結構計算機網(wǎng)絡就是將多臺計算機互連起來，使得用戶程序能夠交換信息和共享資源。不同系統(tǒng)中的實體進行通信，其過程是相當復雜的，為了簡化網(wǎng)絡的設計，人們采用工程設計中常用的結構化設計方法，即將復雜的通信問題分解成若干個容易處理的子問題，然后逐個加以解

16、決。網(wǎng)絡設計中采用的結構化設計方法，就是將網(wǎng)絡按照功能分成一系列的層次，每一層次完成一個特定的功能，相鄰層中的較高層直接使用較低層提供的服務來實現(xiàn)本層的功能，同時又向它的上層提供服務，服務的提供和使用都是通過相鄰層的接口來進行的。這也就是人們通常所說的網(wǎng)絡層次結構，層次結構是現(xiàn)代計算機網(wǎng)絡的基礎。參見圖2.1。這種結構不僅使得網(wǎng)絡的設計與具體的應用、基礎的媒體技術以及互聯(lián)技術等無關，具有很大的靈活性，而且每一層的功能簡單、易于實現(xiàn)和維護。圖2.1 網(wǎng)絡的層次結構2.1.2 服務、接口和協(xié)議每一層中的活動元素稱為實體，實體可以是軟件實體（如進程），也可以是硬件實體（如智能I/O芯片）位于不同系統(tǒng)

17、上同一層中的實體稱為對等實體，不同系統(tǒng)間進行通信實際上是各對等實體間在通信。在某層上進行通信所使用的規(guī)則的集合稱為該層的協(xié)議，各層協(xié)議按層次順序排列而成的協(xié)議序列稱為協(xié)議棧。事實上，除了在最底層的物理媒體上進行的是實通信之外，其余各對等實體間進行的都是虛通信，即并沒有數(shù)據(jù)流從一個系統(tǒng)的第N層直接流到另一個系統(tǒng)的第N層。每個實體只能和同一個系統(tǒng)中上下相鄰的實體進行直接的通信，不同系統(tǒng)中的對等實體是沒有直接通信能力的，它們間的通信必須通過其下各層的通信間接完成。第N層實體向第（N+1）層實體提供的在第N層上的通信能力稱為第N層的服務。由此可見，第（N+1）層實體通過請求第N層的服務完成第（N+1）

18、層上的通信，而第N層實體通過請求第（N-1）層的服務完成第N層上的通信，以此類推直到最底層，最底層上的對等實體通過連接它們的物理媒體直接通信。在第N層協(xié)議中所傳送的每一信息被稱作第N層協(xié)議數(shù)據(jù)單元PDU(Protocol Data Unit)。相鄰實體間的通信是通過它們的邊界進行的，該邊界稱為相鄰層間的接口。在接口處規(guī)定了下層向上層提供的服務，以及上下層實體請求（提供）服務所使用的形式規(guī)范語句，這些形式規(guī)范語句稱為服務原語。因此可以說，相鄰實體通過發(fā)送或接收服務原語進行交互作用。而下層向上層提供的服務分為兩大類：面向連接的服務和無連接的服務。面向連接的服務是電話系統(tǒng)服務模式的抽象，每一次完整的

19、數(shù)據(jù)傳輸都必須經(jīng)過建立連接、使用連接和終止連接三個過程。在數(shù)據(jù)傳輸過程中，各數(shù)據(jù)分組不攜帶信宿地址，而使用連接號。本質上，服務類型中的連接是一個管道，發(fā)送者在一端放入數(shù)據(jù)，接收者從另一端取出數(shù)據(jù)，其特點是：收發(fā)數(shù)據(jù)不但順序一致而且內(nèi)容相同。無連接服務是郵政系統(tǒng)服務模式的抽象，其中每個數(shù)據(jù)分組都攜帶完整的信宿地址，各數(shù)據(jù)分組在系統(tǒng)中獨立傳送。無連接服務不能保證數(shù)據(jù)分組的先后順序，由于先后發(fā)送的數(shù)據(jù)分組可能經(jīng)不同去往信宿，所以先發(fā)的未必先到。在對一個網(wǎng)絡進行層次結構的劃分時，應做到：層次功能明確，相互獨立；層間接口清晰，穿越接口的信息量盡量少；層次適中。雖然模型系統(tǒng)在結構上是分層的，但這并不要求現(xiàn)

20、實系統(tǒng)在工程實現(xiàn)時也采用同樣的層次結構。它們可以由實現(xiàn)者按其選擇的任何方式來構造，只要這種實現(xiàn)的最終性能與模型系統(tǒng)所定義的性能相吻合即可。通常人們將網(wǎng)絡的層次結構、協(xié)議棧和相鄰層間的接口以及服務統(tǒng)稱為網(wǎng)絡體系結構。2.1.3 網(wǎng)絡參考模型目前最有代表性的網(wǎng)絡參考模型是OSI參考模型和TCP/IP參考模型，但TCP/IP參考模型更流行。以下簡要介紹這兩種參考模型。1、OSI參考模型OSI(Open System Interconnection，開放系統(tǒng)互聯(lián)) OSI參考模型分為七層，由低到高依次為物理層、數(shù)據(jù)鏈路層、網(wǎng)絡層、傳輸層、會話層、表示層和應用層，參見圖2.2。OSI參考模型只是規(guī)定了網(wǎng)

21、絡的層次劃分，以及每一層上所實現(xiàn)的功能，但它沒有規(guī)定每一層上所實現(xiàn)的服務和協(xié)議，因此它本身并不是一個網(wǎng)絡體系結構。各層的主要功能如下： 圖2.2 OSI參考模型1) 應用層是OSI參考模型的最高層，它的作用是為應用進程提供訪問OSI環(huán)境的方法；2) 表示層為上層用戶提供數(shù)據(jù)或信息語法的表示轉換；3) 會話層是進程-進程層，進程間的通信也稱為會話，會話層組織和管理不同主機上各進程間的對話；4) 傳輸層是第一個端-端層，也稱為主機-主機層，它為上層用戶提供不依賴具體網(wǎng)絡的高效、經(jīng)濟、透明的端-端數(shù)據(jù)傳輸服務（所謂端-端是描述網(wǎng)絡傳輸中對等實體之間關系的一個概念。在端-端系統(tǒng)中，初始信源機上某實體與

22、最終信宿機的對等實體直接通信，彼此之間就像有一條直接線路，而不管傳輸過程中要經(jīng)過多少接口報文處理機（IMP）。與端-端對應的另一個概念是點-點。在點-點系統(tǒng)中，對等實體間的通信由一段一段的直接相連的機器間的通信組成）；5) 網(wǎng)絡層的作用是將數(shù)據(jù)分成一定長度的分組，將分組穿過通信子網(wǎng)從信源送到信宿；6) 數(shù)據(jù)鏈路層的作用就是通過一定的手段，將有差錯的物理鏈路轉化成對網(wǎng)絡層來說是沒有傳輸錯誤的數(shù)據(jù)鏈路；7) 物理層的作用是在物理媒介上傳輸原始的數(shù)據(jù)比特流，這一層的設計同具體的物理媒介有關，如用什么信號表示“1”，用什么信號表示“0”，信號電平多少，收發(fā)雙方如何同步。由以上幾點可知，只有最低三層涉及

23、通過通信子網(wǎng)的數(shù)據(jù)傳輸，高三層是端到端的層次，因而通信子網(wǎng)只包括第三層的功能。從實際的觀點出發(fā)，OSI分層可以按照以下幾點來考慮：1) 依賴于應用的協(xié)議；2) 與特定媒體相關的協(xié)議；3) 在1與2之間的橋接功能。2、TCP/IP參考模型TCP/IP參考模型沒有明確區(qū)分開服務、接口和協(xié)議這三個概念，并且它是專門用來描述TCP/IP協(xié)議棧的，無法用來描述其它非TCP/IP網(wǎng)絡。因此，盡管TCP/IP模型在工業(yè)上得到了廣泛的應用，但人們在討論網(wǎng)絡時常常使用OSI參考模型，因為它更具有一般性。TCP/IP草靠模型分為四層，它們是應用層、傳輸層、網(wǎng)絡互聯(lián)層和網(wǎng)絡接口層，參見圖2.3。各層功能如下：圖2.

24、3 TCP/IP參考模型1) 應用層將OSI的高層-應用層、表示層和會話層的功能結合了起來，常見的協(xié)議有文件傳輸協(xié)(FTP)、遠程終端協(xié)議(TELNET)、簡單電子郵件傳輸協(xié)議(SMTP)、域名系統(tǒng)(DNS)、簡單網(wǎng)絡管理協(xié)議(SNMP)、訪問WWW站點的HTTP等；2) 傳輸層在功能上等價于OSI的傳輸層。在這一層上主要定義了兩個傳輸協(xié)議，一個是可靠的面向連接的協(xié)議，稱為傳輸控制協(xié)議(TCP)，另一個是不可靠的無連接協(xié)議，稱為用戶數(shù)據(jù)報協(xié)議(UDP)；3) 網(wǎng)絡互聯(lián)層在功能上等價與OSI網(wǎng)絡層中與子網(wǎng)無關的部分。網(wǎng)絡互聯(lián)層是TCP/IP參考模型的核心，這一層上的協(xié)議稱為IP。TCP和IP是非

25、常重要的兩個協(xié)議，以至于TCP/IP參考模型和TCP/IP協(xié)議族就以這兩個的名稱來命名；4) 網(wǎng)絡接口層在功能上等價于OSI的子網(wǎng)絡技術功能層。它包括OSI模型中的網(wǎng)絡層中與子網(wǎng)有關的下部子層、數(shù)據(jù)鏈路層和物理層。負責將IP分組封裝成適合在物理網(wǎng)絡上傳輸?shù)膸袷讲鬏?，或將從物理網(wǎng)絡接收到的幀解封，取出IP分組交給網(wǎng)絡互聯(lián)層。2.2 網(wǎng)絡安全模型消息將通過某種類型的互聯(lián)網(wǎng)從一方傳輸?shù)搅硪环健＿@兩方都是事務的主體，必須合作以便進行消息交換?？梢酝ㄟ^在互聯(lián)網(wǎng)上定義一條從信息源到信息目的地之間的路由以及兩個信息主體之間使用的某種通信協(xié)議(例如，TCP/IP)，來建立一條邏輯信息通道。如圖2.4所示：

26、圖2.4 網(wǎng)絡安全模型當需要或者希望防范可能對信息機密性、真實性等產(chǎn)生威脅的攻擊者的時候，安全方面的因素便會起作用。所有用于提供安全性的技術都包含以下兩個主要部分：第一 對待發(fā)送信息進行與安全相關的轉換。其示例包括：消息加密，使得對于攻擊者而言該消息不可讀；建立在消息內(nèi)容上面的附加碼，它可以用來驗證發(fā)送者的身份。第二 兩個主體共享一些不希望被攻擊者所知的秘密信息。其示例包括與消息變化一起使用的加密密鑰，它在傳輸之前用于打亂消息而在接收之后用于恢復消息。為了達到安全傳輸可能需要可信的第三方。例如，第三方可能需要負責分發(fā)秘密信息給兩個主體，同時對攻擊者隱藏這些信息。通用模型表明設計特定的安全服務時

27、有四個基本的任務：1) 設計用來執(zhí)行與安全相關的轉換的算法，這種算法應該是不會被攻擊者擊破的。2) 生成用于該算法的秘密信息。3) 開發(fā)分發(fā)和共享秘密信息的方法。4) 指定一種能被兩個主體使用的協(xié)議，這種協(xié)議使用安全算法和秘密信息以便獲得特定的安全服務。另一種有害訪問是利用計算機系統(tǒng)邏輯上的弱點，這不僅能夠影響應用程序，而且還能夠影響實用程序，例如編輯器和編譯器。程序存在兩種形式的威脅：1) 信息訪問威脅：本不該訪問某些數(shù)據(jù)用戶截取或修改數(shù)據(jù)。2) 服務威脅：利用計算機的服務缺陷阻止合法用戶的使用。病毒和蠕蟲是軟件攻擊的兩個具體示例。由于磁盤的有用軟件可能隱藏著有害邏輯，因此可以通過這些磁盤小

28、系統(tǒng)引入這種攻擊。他們同樣可以通過網(wǎng)絡進入到系統(tǒng)中；后一種機制在網(wǎng)絡安全中更受關注。解決有害訪問的安全機制主要有兩大范疇。第一類范疇是看門人功能，如圖2.5所示。它包含基于口令的登錄過程，它們設計成拒絕除授權用戶外的所有訪問，另一類安全機制是屏蔽邏輯，它們設計用來檢測和拒絕蠕蟲、病毒以及其他類似的攻擊。一旦任意一個有害的用戶或者有害的軟件獲得訪問權，第二道防線包含各種檢測活動的內(nèi)部控制，能夠檢視和分析存儲的信息，以此來檢測有害入侵者的存在。圖2.5 網(wǎng)絡訪問安全模型2.3 局域網(wǎng)安全防范措施2.3.1 防火墻系統(tǒng)1、防火墻概述防火墻是一種用來增強內(nèi)部網(wǎng)絡安全性的系統(tǒng)，它將網(wǎng)絡隔離為內(nèi)部網(wǎng)和外部

29、網(wǎng)，從某種程度上來說，防火墻是位于內(nèi)部網(wǎng)和外部網(wǎng)之間的橋梁和檢查站，它一般由一臺和多臺計算機構成，它對內(nèi)部網(wǎng)和外部網(wǎng)的數(shù)據(jù)流量進行分析、檢測、管理和控制，通過對數(shù)據(jù)的篩選和過濾，來防止未授權的訪問進出內(nèi)部計算機網(wǎng)，從而達到保護內(nèi)部網(wǎng)資源和信息的目的。防火墻是指設置在不同網(wǎng)絡（如可信任的企業(yè)內(nèi)部網(wǎng)和不可信的公共網(wǎng)）或網(wǎng)絡安全域之間的一系列部件的組合。它是不同網(wǎng)絡或網(wǎng)絡安全域之間信息的唯一出入口，能根據(jù)企業(yè)的安全政策控制(允許、拒絕、監(jiān)測)出入網(wǎng)絡的信息流，且本身具有較強的抗攻擊能力。它是提供信息安全服務，實現(xiàn)網(wǎng)絡和信息安全的基礎設施。在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，有效

30、地監(jiān)控了內(nèi)部網(wǎng)和Internet之間的任何活動，保證了內(nèi)部網(wǎng)絡的安全。2、防火墻的體系結構1) 雙重宿主主機體系結構雙重宿主主機體系結構圍繞雙重宿主主機構筑。雙重宿主主機至少有兩個網(wǎng)絡接口。這樣的主機可以充當與這些接口相連的網(wǎng)絡之間的路由器，它能夠從一個網(wǎng)絡到另外一個網(wǎng)絡發(fā)送IP數(shù)據(jù)包。然而雙重宿主主機的防火墻體系結構禁止這種發(fā)送。因此IP數(shù)據(jù)包并不是從一個網(wǎng)絡（如外部網(wǎng)絡）直接發(fā)送到另一個網(wǎng)絡（如內(nèi)部網(wǎng)絡）。外部網(wǎng)絡能與雙重宿主主機通信，內(nèi)部網(wǎng)絡也能與雙重宿主主機通信。但是外部網(wǎng)絡與內(nèi)部網(wǎng)絡不能直接通信，它們之間的通信必須經(jīng)過雙重宿主主機的過濾和控制。2) 被屏蔽主機體系結構雙重宿主主機體系

31、結構防火墻沒有使用路由器。而被屏蔽主機體系結構防火墻則使用一個路由器把內(nèi)部網(wǎng)絡和外部網(wǎng)絡隔離開。在這種體系結構中，主要的安全由數(shù)據(jù)包過濾提供（例如，數(shù)據(jù)包過濾用于防止人們繞過代理服務器直接相連）。這種體系結構涉及到堡壘主機。堡壘主機是因特網(wǎng)上的主機能連接到的唯一的內(nèi)部網(wǎng)絡上的系統(tǒng)。任何外部的系統(tǒng)要訪問內(nèi)部的系統(tǒng)或服務都必須先連接到這臺主機。因此堡壘主機要保持更高等級的主機安全。數(shù)據(jù)包過濾容許堡壘主機開放可允許的連接（什么是可允許連接將由你的站點的特殊的安全策略決定）到外部世界。3) 被屏蔽子網(wǎng)體系結構被屏蔽子網(wǎng)體系結構添加額外的安全層到被屏蔽主機體系結構，即通過添加周邊網(wǎng)絡更進一步的把內(nèi)部網(wǎng)絡

32、和外部網(wǎng)絡隔離開。被屏蔽子網(wǎng)體系結構的最簡單的形式為，兩個屏蔽路由器，每一個都連接到周邊網(wǎng)。一個位于周邊網(wǎng)與內(nèi)部網(wǎng)絡之間，另一個位于周邊網(wǎng)與外部網(wǎng)絡之間。這樣就在內(nèi)部網(wǎng)絡與外部網(wǎng)絡之間形成了一個“隔離帶”。為了侵入用這種體系結構構筑的內(nèi)部網(wǎng)絡，侵襲者必須通過兩個路由器。即使侵襲者侵入堡壘主機，他將仍然必須通過內(nèi)部路由器。3、防火墻的功能1) 數(shù)據(jù)包過濾技術數(shù)據(jù)包過慮技術是在網(wǎng)絡中的適當位置對數(shù)據(jù)包實施有選擇的通過的技術選擇好依據(jù)系統(tǒng)內(nèi)設置的過濾規(guī)則后，只有滿足過濾規(guī)則的數(shù)據(jù)包才被轉發(fā)至相應的網(wǎng)絡接口，而其余數(shù)據(jù)包則從數(shù)據(jù)流中被丟棄。數(shù)據(jù)包過濾技術是防火墻中最常用的技術。對于一個危險的網(wǎng)絡，用這

33、種方法可以阻塞某些主機和網(wǎng)絡連入內(nèi)部網(wǎng)絡，也可限制內(nèi)部人員對一些站點的訪問。包過濾型防火墻工作在OSI參考模型的網(wǎng)絡層和傳輸層，它根據(jù)數(shù)據(jù)包頭源地址，目的地址，端口號和協(xié)議類型等標志確定是否允許通過，只有滿足過濾條件的數(shù)據(jù)包才被轉發(fā)到相應目的地，其余數(shù)據(jù)包則被數(shù)據(jù)流中阻擋丟棄。2) 網(wǎng)絡地址轉換技術網(wǎng)絡地址轉換是一種用于把IP地址轉換成臨時的外部的、注冊的IP的地址標準，用戶必須要為網(wǎng)絡中每一臺機器取得注冊的IP地址。在內(nèi)部網(wǎng)絡通過安全網(wǎng)卡訪問外部網(wǎng)絡時，系統(tǒng)將外出的源地址和源端口映射為一個偽裝的地址和端口與外部連接，這樣對外就隱藏了真實的內(nèi)部網(wǎng)絡地址。在外部網(wǎng)絡通過非安全網(wǎng)卡訪問內(nèi)部網(wǎng)絡時，

34、它并不知道內(nèi)部網(wǎng)絡的連接情況，而只是通過一個開放的IP地址和端口來請求訪問。防火墻根據(jù)預先定義好的映射規(guī)則來判斷這個訪問是否安全和接受與否。網(wǎng)絡地址轉換過程對于用戶來說是透明的，不需要用戶進行設置，用戶只要進行常規(guī)操作即可。3) 代理技術代理技術是在應用層實現(xiàn)防火墻功能，代理服務器執(zhí)行內(nèi)部網(wǎng)絡向外部網(wǎng)絡申請時的中轉連接作用。代理偵聽網(wǎng)絡內(nèi)部客戶的服務請求，當一個連接到來時，首先進行身份驗證，并根據(jù)安全策略決定是否中轉連接。當決定轉發(fā)時，代理服務器上的客戶進程向真正的服務器發(fā)出請求，服務器返回代理服務器轉發(fā)客戶機的數(shù)據(jù)。另一種情況是，外部網(wǎng)通過代理訪問內(nèi)部網(wǎng)，當外部網(wǎng)絡節(jié)點提出服務請求時，代理服

35、務器首先對該用戶身份進行驗證。若為合法用戶，則把該請求轉發(fā)給真正的某個內(nèi)部網(wǎng)絡的主機。而在整個服務過程中，應用代理一直監(jiān)控著用戶的操作，一旦用戶進行非法操作，就可以進行干涉，并對每一個操作進行記錄。若為不合法用語，則拒絕訪問。2.3.2 入侵檢測系統(tǒng)1、入侵檢測系統(tǒng)概述入侵檢測是指通過對行為、安全日志或審計數(shù)據(jù)或其它網(wǎng)絡上可以獲得的信息進行操作，檢測到對系統(tǒng)的闖入或闖入的企圖。入侵檢測技術是為保證計算機系統(tǒng)的安全而設計與配置的一種能夠及時發(fā)現(xiàn)并報告系統(tǒng)中未授權或異常現(xiàn)象的技術，是一種用于檢測計算機網(wǎng)絡中違反安全策略行為的技術。進行入侵檢測的軟件與硬件的組合便是入侵檢測系統(tǒng)2、入侵檢測原理入侵檢

36、測跟其他檢測技術有同樣的原理。從一組數(shù)據(jù)中，檢測出符合某一特點的數(shù)據(jù)。攻擊者進行攻擊的時候會留下痕跡，這些痕跡和系統(tǒng)正常運行的時候產(chǎn)生的數(shù)據(jù)混在一起。入侵檢測系統(tǒng)的任務是從這些混合的數(shù)據(jù)中找出是否有入侵的痕跡，并給出相關的提示和警告。入侵檢測的第一步是信息收集，收集內(nèi)容包括系統(tǒng)、網(wǎng)絡、數(shù)據(jù)及用戶活動的狀態(tài)和行為。由放置在不同網(wǎng)段的傳感器或不同主機的代理來收集信息，包括系統(tǒng)和網(wǎng)絡日志文件、網(wǎng)絡流量、非正常的目錄和文件改變、非正常的程序執(zhí)行。第二步是信息分析，收集到的有關系統(tǒng)、網(wǎng)絡、數(shù)據(jù)及用戶活動的狀態(tài)和行為等信息，被送到檢測引擎，檢測引擎駐留在傳感器中，一般通過三種技術手段進行分析：模式匹配、統(tǒng)

37、計分析和完整性分析。當檢測到某種誤用模式時，產(chǎn)生一個告警并發(fā)送給控制臺。第三步是結果處理，控制臺按照告警產(chǎn)生預先定義的響應采取相應措施，可以是重新配置路由器或防火墻、終止進程、切斷連接、改變文件屬性，也可以只是簡單的告警。3 基于學校網(wǎng)絡安全的研究3.1 校園網(wǎng)絡安全防范體系的建立3.1.1 校園網(wǎng)絡安全策略概述具體的安全由以下幾個方面組成：物理安全、網(wǎng)絡安全、信息安全7。1、物理安全物理安全策略主要指網(wǎng)絡基礎設施、網(wǎng)絡設備的安全以及不同網(wǎng)絡之間的隔離進行控制的策略。物理安全直接關系到網(wǎng)絡的安全，如果非法用戶有接觸網(wǎng)絡設備的可能，那么他直接對設備進行破壞要比通過網(wǎng)絡遠程進行破壞容易得多。2、網(wǎng)

38、絡安全網(wǎng)絡安全是指系統(tǒng)（主機、服務器）安全、反病毒、系統(tǒng)安全檢測、審計分析網(wǎng)絡運行安全、備份與恢復、局域網(wǎng)與子網(wǎng)安全、訪問控制（防火墻）、網(wǎng)絡安全檢測、入侵檢測。3、信息安全主要涉及到信息傳輸?shù)陌踩?、信息存儲的安全以及對網(wǎng)絡傳輸信息內(nèi)容的審計三方面，具體包括數(shù)據(jù)加密、數(shù)據(jù)完整性鑒別、防抵賴、信息存儲安全、數(shù)據(jù)庫安全、終端安全、信息的防泄密、信息內(nèi)容審計、用戶授權。3.1.2 對于校園網(wǎng)的解決方案計算機網(wǎng)絡系統(tǒng)是一個分層次的拓撲結構，因此網(wǎng)絡的安全防護也需要采用分層次的拓撲防護措施，即一個完整的網(wǎng)絡安全解決方案應該覆蓋網(wǎng)絡的各個層次，并且與安全管理相結合。網(wǎng)絡安全防護分層如下表3.1所示：表3.

39、1 網(wǎng)絡安全分層結構物理層安全主要指網(wǎng)絡設備通訊線路的安全網(wǎng)絡層安全防火墻、VLAN、路由安全系統(tǒng)層安全操作系統(tǒng)的安全應用層安全防病毒、應用系統(tǒng)的安全1、物理層安全保證計算機信息系統(tǒng)各種設備的物理安全是整個計算機信息系統(tǒng)安全的前提。物理安全是保護計算機網(wǎng)絡設備、設施以及其它媒體免遭地震、水災、火災等環(huán)境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導致的破壞過程。它主要包括三個方面：環(huán)境安全、設備安全、媒體安全。2、網(wǎng)絡層安全主要包括：限制非法用戶通過網(wǎng)絡遠程訪問和破壞系統(tǒng)數(shù)據(jù)，竊取傳輸線路中的數(shù)據(jù)；確保對網(wǎng)絡設備的安全配置。對網(wǎng)絡來說，首先要確保網(wǎng)絡設備的安全配置，保證非授權用戶不能訪問任意

40、一臺計算機、路由器和防火墻。1) 合理劃分VLANVLAN（Virtual Local Area Network）即虛擬局域網(wǎng)，是一種通過將局域網(wǎng)內(nèi)的設備邏輯地而不是物理地劃分成一個個網(wǎng)段而實現(xiàn)虛擬工作組的技術。VLAN技術允許網(wǎng)絡管理者將一個物理的LAN邏輯地劃分成不同的廣播域，每一個VLAN都包含一組有著相同需要的計算機工作站，與物理上形成的LAN有著相同的屬性。但由于它是邏輯地而不是物理地劃分，一個VLAN內(nèi)部的廣播和單薄流量都不會轉發(fā)到其他VLAN中，從而有助于控制流量、減少設備投資、簡化網(wǎng)絡管理、提高網(wǎng)絡的安全性。VLAN在交換機上的實現(xiàn)方法，可以大致劃分為4類：第一是基于端口劃分的

41、VLAN；第二是基于MAC地址劃分VLAN；第三是基于網(wǎng)絡層劃分VLAN；第四是基于IP組播劃分VLAN。以太網(wǎng)從本質上基于廣播機制，但應用了交換器和VLAN技術后，實際上轉變?yōu)辄c到點通訊，以上運行機制帶來的網(wǎng)絡安全是好處是顯而易見的：a) 信息只有到達應該到達的地點。因此，防止了大部分基于網(wǎng)絡監(jiān)聽的入侵手段。b) 通過虛擬網(wǎng)設置的訪問控制，使在虛擬網(wǎng)外的網(wǎng)絡節(jié)點不能直接訪問虛擬網(wǎng)內(nèi)節(jié)點。2) 防火墻與IDS安裝防火墻進行安全保護，它是一種在校園內(nèi)部網(wǎng)和Internet之間實施的信息安全防范系統(tǒng)技術，通過檢測、限制、更改跨越防火墻的數(shù)據(jù)流，可以有效地對外屏蔽校園內(nèi)部網(wǎng)絡的信息，從而對系統(tǒng)結構及

42、其良性運行等實現(xiàn)安全防護。IDS所采用的不是被動防御的策略，而是主動監(jiān)視、檢測和識別在進行的或已經(jīng)成功的入侵行為，并及時報告給網(wǎng)絡管理者。由于IDS系統(tǒng)除了報告外，本身不能對入侵采取任何的防御措施。3) 路由器訪問控制列表路由器是內(nèi)部網(wǎng)和Internet的連接，是信息出入的必經(jīng)之路，對網(wǎng)絡的安全具有舉足輕重的作用，路由器本身就可以對數(shù)據(jù)包進行過濾和有效地防止外部用戶對校園網(wǎng)的安全訪問，可以限制網(wǎng)絡流量，也可以限制校園網(wǎng)內(nèi)的某些用戶或設備使用網(wǎng)絡資源。不同VLAN之間的訪問只能通過路由器或路由模塊來完成，因此路由設備可以作為控制VLAN之間訪問的初級屏障，因此，我們可以利用路由器來提高網(wǎng)絡的安全

43、性。3、系統(tǒng)層安全操作系統(tǒng)是計算機系統(tǒng)的核心和基礎工具，因此操作系統(tǒng)的漏洞往往成為危害計算機和網(wǎng)絡安全的手段和環(huán)節(jié)。保護計算機操作系統(tǒng)的安全，對于網(wǎng)絡的安全尤為重要。4、應用層安全1) 網(wǎng)絡防病毒技術網(wǎng)絡病毒成為威脅網(wǎng)絡安全的重要因素，如何防護網(wǎng)絡病毒也就成為校園網(wǎng)安全必須考慮的重要問題。為保護服務器和網(wǎng)絡中的工作站免受計算機病毒的侵害，同時也是為了建立一個集中有效的防病毒控制機制，需要應用于網(wǎng)絡的防病毒技術?；诰W(wǎng)絡防病毒技術可以在網(wǎng)絡的各個環(huán)節(jié)上實現(xiàn)對計算機病毒的防范，其中包括基于網(wǎng)關的防病毒系統(tǒng)、基于服務器的防病毒系統(tǒng)和基于桌面的防病毒系統(tǒng)。安裝了基于網(wǎng)絡的防病毒軟件后，不但可以做到主機

44、可以防范病毒的感染，同時通過這些主機傳遞的文件也可以避免被病毒侵害，并且可以建立一個集中有效的防病毒控制機制，從而保護計算機信息網(wǎng)絡的安全。2) 應用系統(tǒng)防護策略對于應用系統(tǒng)，由于其數(shù)據(jù)包含用戶信息、各種應用數(shù)據(jù)，是非常關鍵和重要的，因此要應用系統(tǒng)具有很強大的安全防護能力就必須做到以下三點：一是建立統(tǒng)一的用戶和目錄管理機制；二是建立認證授權機制；三是建立備份和恢復機制。3.2 學校網(wǎng)絡安全設計方案3.2.1 網(wǎng)絡安全設計原則1、可用性和可靠性保證匯聚以上的網(wǎng)絡中單點故障不會使局域網(wǎng)失去與整個網(wǎng)絡的連接，多點故障不會造成整個網(wǎng)絡被分成幾個互不相連的部分。2、網(wǎng)絡安全性對用戶進行合理的區(qū)域劃分，實

45、現(xiàn)對網(wǎng)絡用戶的訪問控制，能有效的抵御病毒的入侵和惡意攻擊，確保網(wǎng)絡的安全。3、可擴展性網(wǎng)絡系統(tǒng)在體系結構、容量、產(chǎn)品升級、處理能力等方面必須為今后的擴充留有足夠的余地，保證滿足今后的發(fā)展，以及其它的需求。3.2.2 網(wǎng)絡安全建設方案1、 物理安全物理安全包括通信線路安全，物理設備的安全，機房環(huán)境的安全。1) 通信線路的安全學校保衛(wèi)人員要負責對校園進行24小時不間斷的巡邏，防止通信線路被破壞。2) 機房環(huán)境安全供配電系統(tǒng)安全設計：要求能保證對機房內(nèi)的主機、服務器、網(wǎng)絡設備、通訊設備等的電源供應在任何情況下都不會間斷。防雷接地系統(tǒng)安全設計：保證機房的各種設備安全，要求機房設有至少四種接地的形式。消

46、防報警和自動滅火系統(tǒng)安全設計。2、 網(wǎng)絡安全VLAN的劃分是整個校園網(wǎng)的主體框架，此校園網(wǎng)主要是發(fā)揮三個方面的功能：教學功能、管理功能、信息功能。因此校園網(wǎng)采用三層網(wǎng)絡架構設計，分為核心層、匯聚層、接入層。如圖3.1所示。核心層設計為2個節(jié)點，用2臺核心交換機實現(xiàn)雙機備份匯聚層設計為5個節(jié)點，用5臺交換機與核心層交換機冗余連接互為備份。其中后勤部另加一個網(wǎng)關。根據(jù)各部門對校園網(wǎng)的要求，采用基于端口的VLAN劃分方法，對網(wǎng)絡進行合理劃分，確保校園網(wǎng)絡的安全。3、應用安全1)病毒防范隨著計算機網(wǎng)絡應用的不斷發(fā)展，網(wǎng)絡已經(jīng)逐步成為人類生活中不可缺少的一部分。但隨之而來的病毒也給我們帶來了不少的麻煩。

47、因此必須采取措施，對防病毒軟件進行實時監(jiān)控，保證防病毒軟件的正常運行，在檢測到防病毒運行不正常時，通知用戶及時采取措施，避免遭受計算機病毒進一步的破壞。2) 數(shù)據(jù)備份網(wǎng)絡中心服務器應隨時為各數(shù)據(jù)庫服務器提供存儲空間，支持各數(shù)據(jù)庫的備份功能。圖3.1 網(wǎng)絡拓撲圖結 束 語本文結合校園網(wǎng)的具體情況，分析現(xiàn)實網(wǎng)絡安全需求，確定校園網(wǎng)的安全策略，針對校園網(wǎng)的安全問題提出了一些解決方案，采用了先進的安全產(chǎn)品，建立了全面主動的網(wǎng)絡安全防御體系。運用了靜態(tài)式防范(如：防火墻)和主動式安全檢測（如：入侵檢測等）相結合的技術。隨著網(wǎng)絡技術的不斷發(fā)展，校園網(wǎng)也將會出現(xiàn)新的安全問題，校園網(wǎng)整體安全防范體系是一個動態(tài)

48、的、不斷發(fā)展變化的綜合運行機制，這樣就對網(wǎng)絡管理者提出了更高的要求，其必須隨時掌握最新技術，不斷更新完善網(wǎng)絡安全體系，使校園網(wǎng)運行更加安全、可靠、穩(wěn)定。參 考 文 獻1袁津生，吳硯農(nóng)，計算機網(wǎng)絡安全基礎M，北京：人民郵電出版社，2002年。2張成昆，網(wǎng)絡安全原理與技術，北京：人民郵電出版社，2003年。3李晶名，網(wǎng)絡安全，北京：電子工業(yè)出版社，2005年。4黃開枝，孫巖，網(wǎng)絡防御與安全對策M，北京：清華大學出版社，2004年。5胡道元，網(wǎng)絡安全M，北京：清華大學出版社，2004年。6祝海寧，網(wǎng)絡安全基礎，北京：機械工業(yè)出版社，2002年。7張成現(xiàn)，論校園網(wǎng)安全管理問題J，西北紡織工業(yè)學院學報，2001年。