解碼低估網路安全

『壹』 你能說說影響網路安全的因素有哪些嗎

我們將所有影響網路正常運行的因素稱為網路安全威脅，從這個角度講，網路安全威脅既包括環境因素和災害因素，也包括人為因素和系統自身因素。
1．環境因素和災害因素
網路設備所處環境的溫度、濕度、供電、靜電、灰塵、強電磁場、電磁脈沖等，自然災害中的火災、水災、地震、雷電等，均會影響和破壞網路系統的正常工作。針對這些非人為的環境因素和災害因素目前已有比較好的應對策略。
2-人為因素
多數網路安全事件是由於人員的疏忽或黑客的主動攻擊造成的，也就是人為因素，豐要包括：
(1)有意：人為的惡意攻擊、違紀、違法和犯罪等。
(2)無意：工作疏忽造成失誤（配置不當等），對網路系統造成不良後果。
網路安全技術主要針對此類網路安全威脅進行防護。
3．系統自身因素
系統自身因素是指網路中的計算機系統或網路設備因自身的原因導致網路不安全，主要包括：
1)計算機硬體系統的故障。
2)各類計算機軟體故障或安全缺陷，包括系統軟體（如操作系統）、支撐軟體（各種中間件、資料庫管理系統等）和應用軟體。
3)網路和通信協議自身的缺陷也會導致網路安全問題，1.4節將詳細分析互聯網協議的安全問題。
系統自身的脆弱和不足（或稱為安全漏洞）是造成信息系統安全問題的內部根源，攻擊者正是利用系統的脆弱性使各種威脅變成現實。
一般來說，在系統的設計、開發過程中有很多因素會導致系統漏洞，主要包括：
1)系統基礎設計錯誤導致漏洞，例如互聯網在設計時沒有認證機制，使假冒IP地址很容易。
2)編碼錯誤導致漏洞，例如緩沖區溢出、格式化字元串漏洞、腳本漏洞等都是在編程實現時沒有實施嚴格的安全檢查而產生的漏洞。
3)安全策略實施錯誤導致漏洞，例如在設計訪問控制策略時，沒有對每一處訪問都進行訪問控制檢查。
4)實施安全策略對象歧義導致漏洞，即實施安全策略時，處理的對象和最終操作處理的對象不一致，如IE瀏覽器的解碼漏洞。
5)系統開發人員刻意留下的後門。 些後門是開發人員為了調試用的，而另一些則是開發人員為了以後非法控制用的，這些後門一旦被攻擊者獲悉，則將嚴重威脅系統的安全。
除了上述在設計實現過程中產生的系統安全漏洞外，很多安全事故是因為不正確的安全配置造成的，例如短口令、開放Guest用戶、安全策略配置不當等。
盡管人們逐漸意識到安全漏洞對網路安全所造成的嚴重威脅』，並採取很多措施來避免在系統中留下安全漏洞，但互聯網上每天都在發 新的安全漏洞公告，漏洞不僅存在，而且層出不窮，為什麼會這樣呢？原因主要在於：
1)方案的設計可能存在缺陷。
2)從理論上證明一個程序的正確性是非常困難的。
3)一些產品測試不足就匆匆投入市場。
4)為了縮短研製時間，廠商常常將安全性置於次要地位。
5)系統中運行的應用程序越來越多，相應的漏洞也就不可避免地越來越多。
為了降低安全漏洞對網路安全造成的威脅，目前一般的處理措施就是打補丁，消除安全漏洞。但是，打補丁也不是萬能的，主要原因是：
1)由於漏洞太多，相應的補丁也太多，補不勝補。
2)有的補丁會使某些已有的功能不能使用，導致拒絕服務。
3)有時補丁並非廠商們所宣稱的那樣解決問題。
4)很多補丁一經打上，就不能卸載。如果發現補丁因為這樣或那樣的原因不合適，就只好把整個軟體卸載，然後重新安裝軟體，非常麻煩。
5)漏洞的發現到補丁的發布有一段時間差，此外，漏洞也可能被某些人發現而未被公開，這樣就沒有相應的補丁可用。
6)網路和網站增長太快，沒有足夠的合格的補丁管理員。
7)有時候打補丁需要離線操作，這就意味著關閉該計算機上的服務，這對很多關鍵的服務來說也許是致命的。
8)有時補丁並非總是可以獲得的，特別是對於那些應用范圍不廣的系統而言，生產廠商可能沒有足夠的時間、精力和動力去開發補丁程序。
9)廠商可能在補丁中除解決已有問題之外添加很多的其他功能，這些額外的功能可能導致新的漏洞出現，系統性能下降，服務中斷，或者出現集成問題和安全功能的暫時中斷等。
1 0)補丁的成熟也需要一個過程，倉促而就的補丁常常會有這樣或那樣的問題，甚至還會帶來新的安全漏洞。
1 1)自動安裝補丁也有它的問題，很多自動安裝程序不能正常運行。
網路對抗研究領域中一個最基礎的研究方向就是漏洞挖掘，即通過測試、逆向分析等方法發現系統或軟體中存在的未知安全漏洞，在其安全補丁發布之前開發出相應的攻擊程序，並大規模應用。對於已發布補丁的軟體，也可以通過補丁比較技術發現補丁所針對的安全漏洞的細節，以最短的時間開發出利用程序，在用戶還沒來得及打上補丁之前實施攻擊。在這種情況下，補丁反而為攻擊者提供了有用的信息。
總之，威脅網路安全的因素有很多，但最根本的原因是系統自身存在安全漏洞，從而給了攻擊者可乘之機。

『貳』 請分析威脅網路信息安全有哪些因素

1.軟體漏洞：每一個操作系統或網路軟體的出現都不可能是無缺陷和漏洞的。這就使我們的計算機處於危險的境地，一旦連接入網，將成為眾矢之的。

2.配置不當：安全配置不當造成安全漏洞，例如,防火牆軟體的配置不正確，那麼它根本不起作用。對特定的網路應用程序，當它啟動時,就打開了一系列的
安全缺口，許多與該軟體捆綁在一起的應用軟體也會被啟用。除非用戶禁止該程序或對其進行正確配置。否則，安全隱患始終存在。

3.安全意識不強：用戶口令選擇不慎，或將自己的帳號隨意轉借他人或與別人共享等都會對網路安全帶來威脅。

4.病毒：目前數據安全的頭號大敵是計算機病毒，它是編制者在計算機程序中插入的破壞計算機功能或數據。影響計算機軟體、硬體的正常運行並且能夠自我
復制的一組計算機指令或程序代碼。計算機病毒具有傳染性、寄生性、隱蔽性、觸發性、破壞性等特點。因此,提高對病毒的防範刻不容緩。

5.黑客：對於計算機數據安全構成威脅的另一個方面是來自電腦黑客(backer)。電腦黑客利用系統中的安全漏洞非法進入他人計算機系統,其危害性非常大。從某種意義上講,黑客對信息安全的危害甚至比一般的電腦病毒更為嚴重。

『叄』 中國網路安全發展前景如何

全文統計口徑說明：1)搜索關鍵詞：網路安全及與之相近似或相關關鍵詞;2)搜索范圍：標題、摘要和權利說明;3)篩選條件：簡單同族申請去重、法律狀態為實質審查、授權、PCT國際公布、PCT進入指定國(指定期)，簡單同族申請去重是按照受理局進行統計。4)統計截止日期：2021年8月28日。5)若有特殊統計口徑會在圖表下方備注。

1、全球網路安全行業專利申請概況

(1)技術周期：處於成長期

2010-2020年，全球網路安全行業專利申請人數量及專利申請量逐年遞增，且自2018年開始，每年專利新增申請數量均在1000項以上。但專利申請人數量整體基數較小，說明行業技術集中在少數的申請人手中。

註：未剔除聯合申請數量。

—— 以上數據參考前瞻產業研究院《中國網路安全行業發展前景預測與投資戰略規劃分析報告》

『肆』 【圖說網路安全】網路攻擊與防範圖譜/分解圖

近年來，隨著我國信息化建設不斷推進，信息技術廣泛應用，信息網路快速普及。信息網路在促進經濟發展、社會進步、科技創新的同時，也帶來十分突出的信息安全問題。

現今的網路攻擊手段逐步多樣化、攻擊方式也更加隱蔽難以發現。對於用戶來說，如何進行感知並響應?攔截、檢測、認證還是購買第三方安全服務?需要哪些技術和產品?如何從宏觀上了解網路攻擊手段與防範方法呢?

科來《網路攻擊與防範圖譜》，一圖到底，打盡網路安全攻防全鏈條!

本圖譜從攻擊前准備到攻擊後痕跡擦除，梳理每一階段所涉及的攻擊手段，並針對性介紹防禦方法及每種方法對應的產品與服務。

本圖譜採用層層關聯關系，緊密關聯攻-防手段、安全產品與服務，從全局視角給出客觀、合理的建議，幫助進一步識別、了解網路攻擊過程及解決思路。

未知威脅感知

通過本圖譜，不僅可以對攻防手段有宏觀的認識，更可以通過「科來網路流量分析技術(Network Traffic Analysis)」從流量趨勢、會話詳情、L2~L7協議解碼、數據包解碼等方式深度透視網路攻擊行為的每一個細節，讓網路行為看得清、看得透，以解決困擾用戶的APT攻擊(Advanced Persistent Threat，高級持續性威脅)等難以檢測和防禦的問題。

感知未知威脅的核心思路就是「任何網路攻擊都會產生流量」，網路流量分析技術能夠幫助用戶提升未知威脅感知能力及安全事件快速響應能力，有效降低安全事件影響，最大限度降低網路威脅事件的損失。通過網路行為分析感知網路異常行為，解決了傳統網路安全依賴於特徵庫檢測技術無法感知未知網路威脅的問題。

安全事件響應

基於原始數據包的網路回溯，實現了網路安全事件完整回溯。讓用戶對發生的安全事件不僅知其然，更知其所以然，幫助用戶快速定位網路安全攻擊的方式與方法，為安全事件響應提供准確依據。同時界提供基於流量數據的安全檢測和安全事件響應服務。

『伍』 關於網路安全的

首先肯定要具備網路方面的基礎知識，如乙太網，OSI模型等，其次是協議知識，這是最重要的。只有對協議的結構有了熟悉之後，才能看懂數據包的協議解碼，從而才能做出相應的分析。
你可以下載科來網路分析系統，一邊使用工具一邊學習這樣進步會很快，同時對學習協議及故障分析都非常有好處。

『陸』 圖像編碼怎麼測網路傳輸安全性

圖像編碼測網路傳輸安全性的步驟：
1、電腦瀏覽器進入路由器的設置界面，地址欄輸入192.168.1.1並回車訪問。
2、彈出對話框，輸入用戶名和密碼，單擊確定進行登錄。
3、將SSID號修改為數字或字母組合的名稱，點擊保存。

『柒』 影響網路安全的因素有哪些

響網路安全的因素：

1、自然災害、意外事故；

2、計算機犯罪；

3、人為行為，比如使用不當，安全意識差等；

4、黑客」 行為：由於黑客的入侵或侵擾，比如非法訪問、拒絕服務計算機病毒、非法連接等；

5、內部泄密；

6、外部泄密；

7、信息丟失；

8、電子諜報，比如信息流量分析、信息竊取等；

9、網路協議中的缺陷，例如TCP/IP協議的安全問題等等。

(7)解碼低估網路安全擴展閱讀：

計算機網路安全措施主要包括保護網路安全、保護應用服務安全和保護系統安全三個方面，各個方面都要結合考慮安全防護的物理安全、防火牆、信息安全、Web安全、媒體安全等等。

1、保護網路安全。

網路安全是為保護商務各方網路端系統之間通信過程的安全性。保證機密性、完整性、認證性和訪問控制性是網路安全的重要因素。保護網路安全的主要措施如下：

（1）全面規劃網路平台的安全策略。

（2）制定網路安全的管理措施。

（3）使用防火牆。

（4）盡可能記錄網路上的一切活動。

（5）注意對網路設備的物理保護。

（6）檢驗網路平台系統的脆弱性。

（7）建立可靠的識別和鑒別機制。

2、保護應用安全。

保護應用安全，主要是針對特定應用（如Web伺服器、網路支付專用軟體系統）所建立的安全防護措施，它獨立於網路的任何其他安全防護措施。雖然有些防護措施可能是網路安全業務的一種替代或重疊，如Web瀏覽器和Web伺服器在應用層上對網路支付結算信息包的加密，都通過IP層加密，但是許多應用還有自己的特定安全要求。

由於電子商務中的應用層對安全的要求最嚴格、最復雜，因此更傾向於在應用層而不是在網路層採取各種安全措施。

雖然網路層上的安全仍有其特定地位，但是人們不能完全依靠它來解決電子商務應用的安全性。應用層上的安全業務可以涉及認證、訪問控制、機密性、數據完整性、不可否認性、Web安全性、EDI和網路支付等應用的安全性。

3、保護系統安全。

保護系統安全，是指從整體電子商務系統或網路支付系統的角度進行安全防護，它與網路系統硬體平台、操作系統、各種應用軟體等互相關聯。涉及網路支付結算的系統安全包含下述一些措施：

（1）在安裝的軟體中，如瀏覽器軟體、電子錢包軟體、支付網關軟體等，檢查和確認未知的安全漏洞。

（2）技術與管理相結合，使系統具有最小穿透風險性。如通過諸多認證才允許連通，對所有接入數據必須進行審計，對系統用戶進行嚴格安全管理。

（3）建立詳細的安全審計日誌，以便檢測並跟蹤入侵攻擊等。

『捌』 網路安全的關鍵技術有哪些

一.虛擬網技術

虛擬網技術主要基於近年發展的區域網交換技術(ATM和乙太網交換）。交換技術將傳統的基於廣播的區域網技術發展為面向連接的技術。因此，網管系統有能力限制區域網通訊的范圍而無需通過開銷很大的路由器。
由以上運行機制帶來的網路安全的好處是顯而易見的：信息只到達應該到達的地點。因此、防止了大部分基於網路監聽的入侵手段。通過虛擬網設置的訪問控制，使在虛擬網外的網路節點不能直接訪問虛擬網內節點。但是，虛擬網技術也帶來了新的安全問題：
執行虛擬網交換的設備越來越復雜，從而成為被攻擊的對象。
基於網路廣播原理的入侵監控技術在高速交換網路內需要特殊的設置。
基於MAC的VLAN不能防止MAC欺騙攻擊。
乙太網從本質上基於廣播機制，但應用了交換器和VLAN技術後，實際上轉變為點到點通訊，除非設置了監聽口，信息交換也不會存在監聽和插入（改變）問題。
但是，採用基於MAC的VLAN劃分將面臨假冒MAC地址的攻擊。因此，VLAN的劃分最好基於交換機埠。但這要求整個網路桌面使用交換埠或每個交換埠所在的網段機器均屬於相同的VLAN。
網路層通訊可以跨越路由器，因此攻擊可以從遠方發起。IP協議族各廠家實現的不完善，因此，在網路層發現的安全漏洞相對更多，如IP sweep, teardrop, sync-flood, IP spoofing攻擊等。

二.防火牆枝術

網路防火牆技術是一種用來加強網路之間訪問控制,防止外部網路用戶以非法手段通過外部網路進入內部網路,訪問內部網路資源,保護內部網路操作環境的特殊網路互聯設備.它對兩個或多個網路之間傳輸的數據包如鏈接方式按照一定的安全策略來實施檢查,以決定網路之間的通信是否被允許,並監視網路運行狀態.
防火牆產品主要有堡壘主機,包過濾路由器,應用層網關(代理伺服器)以及電路層網關,屏蔽主機防火牆,雙宿主機等類型.
雖然防火牆是保護網路免遭黑客襲擊的有效手段,但也有明顯不足:無法防範通過防火牆以外的其它途徑的攻擊,不能防止來自內部變節者和不經心的用戶們帶來的威脅,也不能完全防止傳送已感染病毒的軟體或文件,以及無法防範數據驅動型的攻擊.
自從1986年美國Digital公司在Internet上安裝了全球第一個商用防火牆系統,提出了防火牆概念後,防火牆技術得到了飛速的發展.國內外已有數十家公司推出了功能各不相同的防火牆產品系列.
防火牆處於5層網路安全體系中的最底層,屬於網路層安全技術范疇.在這一層上,企業對安全系統提出的問題是:所有的IP是否都能訪問到企業的內部網路系統如果答案是"是",則說明企業內部網還沒有在網路層採取相應的防範措施.
作為內部網路與外部公共網路之間的第一道屏障,防火牆是最先受到人們重視的網路安全產品之一.雖然從理論上看,防火牆處於網路安全的最底層,負責網路間的安全認證與傳輸,但隨著網路安全技術的整體發展和網路應用的不斷變化,現代防火牆技術已經逐步走向網路層之外的其他安全層次,不僅要完成傳統防火牆的過濾任務,同時還能為各種網路應用提供相應的安全服務.另外還有多種防火牆產品正朝著數據安全與用戶認證,防止病毒與黑客侵入等方向發展.
1、使用Firewall的益處
保護脆弱的服務
通過過濾不安全的服務，Firewall可以極大地提高網路安全和減少子網中主機的風險。
例如，Firewall可以禁止NIS、NFS服務通過，Firewall同時可以拒絕源路由和ICMP重定向封包。
控制對系統的訪問
Firewall可以提供對系統的訪問控制。如允許從外部訪問某些主機，同時禁止訪問另外的主機。例如，Firewall允許外部訪問特定的Mail Server和Web Server。
集中的安全管理
Firewall對企業內部網實現集中的安全管理，在Firewall定義的安全規則可以運用於整個內部網路系統，而無須在內部網每台機器上分別設立安全策略。如在Firewall可以定義不同的認證方法，而不需在每台機器上分別安裝特定的認證軟體。外部用戶也只需要經過—次認證即可訪問內部網。
增強的保密性
使用Firewall可以阻止攻擊者獲取攻擊網路系統的有用信息，如Finger和DNS。
記錄和統計網路利用數據以及非法使用數據
Firewall可以記錄和統計通過Firewall的網路通訊，提供關於網路使用的統計數據，並且，Firewall可以提供統計數據，來判斷可能的攻擊和探測。
策略執行
Firewall提供了制定和執行網路安全策略的手段。未設置Firewall時，網路安全取決於每台主機的用戶。
2、 設置Firewall的要素
網路策略
影響Firewall系統設計、安裝和使用的網路策略可分為兩級，高級的網路策略定義允許和禁止的服務以及如何使用服務，低級的網路策略描述Firewall如何限制和過濾在高級策略中定義的服務。
服務訪問策略
服務訪問策略集中在Internet訪問服務以及外部網路訪問（如撥入策略、SLIP/PPP連接等）。
服務訪問策略必須是可行的和合理的。可行的策略必須在阻止己知的網路風險和提供用戶服務之間獲得平衡。典型的服務訪問策略是：允許通過增強認證的用戶在必要的情況下從Internet訪問某些內部主機和服務；允許內部用戶訪問指定的Internet主機和服務。
Firewall設計策略
Firewall設計策略基於特定的firewall，定義完成服務訪問策略的規則。通常有兩種基本的設計策略：
允許任何服務除非被明確禁止；
禁止任何服務除非被明確允許。
通常採用第二種類型的設計策略。
3、 Firewall的基本分類
包過濾型
包過濾型產品是防火牆的初級產品,其技術依據是網路中的分包傳輸技術.網路上的數據都是以"包"為單位進行傳輸的,數據被分割成為一定大小的數據包,每一個數據包中都會包含一些特定信息,如數據的源地址,目標地址,TCP/UDP源埠和目標埠等.防火牆通過讀取數據包中的地址信息來判斷這些"包"是否來自可信任的安全站點 ,一旦發現來自危險站點的數據包,防火牆便會將這些數據拒之門外.系統管理員也可以根據實際情況靈活制訂判斷規則.
包過濾技術的優點是簡單實用,實現成本較低,在應用環境比較簡單的情況下,能夠以較小的代價在一定程度上保證系統的安全.
但包過濾技術的缺陷也是明顯的.包過濾技術是一種完全基於網路層的安全技術,只能根據數據包的來源,目標和埠等網路信息進行判斷,無法識別基於應用層的惡意侵入,如惡意的Java小程序以及電子郵件中附帶的病毒.有經驗的黑客很容易偽造IP地址,騙過包過濾型防火牆.
網路地址轉換(NAT)
是一種用於把IP地址轉換成臨時的,外部的,注冊的IP地址標准.它允許具有私有IP地址的內部網路訪問網際網路.它還意味著用戶不許要為其網路中每一台機器取得注冊的IP地址.
在內部網路通過安全網卡訪問外部網路時,將產生一個映射記錄.系統將外出的源地址和源埠映射為一個偽裝的地址和埠,讓這個偽裝的地址和埠通過非安全網卡與外部網路連接,這樣對外就隱藏了真實的內部網路地址.在外部網路通過非安全網卡訪問內部網路時,它並不知道內部網路的連接情況,而只是通過一個開放的IP地址和埠來請求訪問.OLM防火牆根據預先定義好的映射規則來判斷這個訪問是否安全.當符合規則時,防火牆認為訪問是安全的,可以接受訪問請求,也可以將連接請求映射到不同的內部計算機中.當不符合規則時,防火牆認為該訪問是不安全的,不能被接受,防火牆將屏蔽外部的連接請求.網路地址轉換的過程對於用戶來說是透明的,不需要用戶進行設置,用戶只要進行常規操作即可.
代理型
代理型防火牆也可以被稱為代理伺服器,它的安全性要高於包過濾型產品,並已經開始向應用層發展.代理伺服器位於客戶機與伺服器之間,完全阻擋了二者間的數據交流.從客戶機來看,代理伺服器相當於一台真正的伺服器;而從伺服器來看,代理伺服器又是一台真正的客戶機.當客戶機需要使用伺服器上的數據時,首先將數據請求發給代理伺服器,代理伺服器再根據這一請求向伺服器索取數據,然後再由代理伺服器將數據傳輸給客戶機.由於外部系統與內部伺服器之間沒有直接的數據通道,外部的惡意侵害也就很難傷害到企業內部網路系統.
代理型防火牆的優點是安全性較高,可以針對應用層進行偵測和掃描,對付基於應用層的侵入和病毒都十分有效.其缺點是對系統的整體性能有較大的影響,而且代理伺服器必須針對客戶機可能產生的所有應用類型逐一進行設置,大大增加了系統管理的復雜性。
監測型監測型
防火牆是新一代的產品,這一技術實際已經超越了最初的防火牆定義.監測型防火牆能夠對各層的數據進行主動的,實時的監測,在對這些數據加以分析的基礎上,監測型防火牆能夠有效地判斷出各層中的非法侵入.同時,這種檢測型防火牆產品一般還帶有分布式探測器,這些探測器安置在各種應用伺服器和其他網路的節點之中,不僅能夠檢測來自網路外部的攻擊,同時對來自內部的惡意破壞也有極強的防範作用.據權威機構統計,在針對網路系統的攻擊中,有相當比例的攻擊來自網路內部.因此,監測型防火牆不僅超越了傳統防火牆的定義,而且在安全性上也超越了前兩代產品
雖然監測型防火牆安全性上已超越了包過濾型和代理伺服器型防火牆,但由於監測型防火牆技術的實現成本較高,也不易管理,所以在實用中的防火牆產品仍然以第二代代理型產品為主,但在某些方面也已經開始使用監測型防火牆.基於對系統成本與安全技術成本的綜合考慮,用戶可以選擇性地使用某些監測型技術.這樣既能夠保證網路系統的安全性需求,同時也能有效地控制安全系統的總擁有成本.
實際上,作為當前防火牆產品的主流趨勢,大多數代理伺服器(也稱應用網關)也集成了包過濾技術,這兩種技術的混合應用顯然比單獨使用具有更大的優勢.由於這種產品是基於應用的,應用網關能提供對協議的過濾.例如,它可以過濾掉FTP連接中的PUT命令,而且通過代理應用,應用網關能夠有效地避免內部網路的信息外泄.正是由於應用網關的這些特點,使得應用過程中的矛盾主要集中在對多種網路應用協議的有效支持和對網路整體性能的影響上。
4、 建設Firewall的原則
分析安全和服務需求
以下問題有助於分析安全和服務需求：
√ 計劃使用哪些Internet服務(如http，ftp，gopher)，從何處使用Internet服務(本地網，撥號，遠程辦公室)。
√ 增加的需要，如加密或拔號接入支持。
√ 提供以上服務和訪問的風險。
√ 提供網路安全控制的同時，對系統應用服務犧牲的代價。
策略的靈活性
Internet相關的網路安全策略總的來說，應該保持一定的靈活性，主要有以下原因：
√ Internet自身發展非常快，機構可能需要不斷使用Internet提供的新服務開展業務。新的協議和服務大量涌現帶來新的安全問題，安全策略必須能反應和處理這些問題。
√ 機構面臨的風險並非是靜態的，機構職能轉變、網路設置改變都有可能改變風險。
遠程用戶認證策略
√ 遠程用戶不能通過放置於Firewall後的未經認證的Modem訪問系統。
√ PPP/SLIP連接必須通過Firewall認證。
√ 對遠程用戶進行認證方法培訓。
撥入/撥出策略
√ 撥入/撥出能力必須在設計Firewall時進行考慮和集成。
√ 外部撥入用戶必須通過Firewall的認證。
Information Server策略
√ 公共信息伺服器的安全必須集成到Firewall中。
√ 必須對公共信息伺服器進行嚴格的安全控制，否則將成為系統安全的缺口。
√ 為Information server定義折中的安全策略允許提供公共服務。
√ 對公共信息服務和商業信息(如email)講行安全策略區分。
Firewall系統的基本特徵
√ Firewall必須支持．「禁止任何服務除非被明確允許」的設計策略。
√ Firewall必須支持實際的安全政策，而非改變安全策略適應Firewall。
√ Firewall必須是靈活的，以適應新的服務和機構智能改變帶來的安全策略的改變。
√ Firewall必須支持增強的認證機制。
√ Firewall應該使用過濾技術以允許或拒絕對特定主機的訪問。
√ IP過濾描述語言應該靈活，界面友好，並支持源IP和目的IP，協議類型，源和目的TCP/UDP口，以及到達和離開界面。
√ Firewall應該為FTP、TELNET提供代理服務，以提供增強和集中的認證管理機制。如果提供其它的服務(如NNTP，http等)也必須通過代理伺服器。
√ Firewall應該支持集中的SMTP處理，減少內部網和遠程系統的直接連接。
√ Firewall應該支持對公共Information server的訪問，支持對公共Information server的保護，並且將Information server同內部網隔離。
√ Firewall可支持對撥號接入的集中管理和過濾。
√ Firewall應支持對交通、可疑活動的日誌記錄。
√ 如果Firewall需要通用的操作系統，必須保證使用的操作系統安裝了所有己知的安全漏洞Patch。
√ Firewall的設計應該是可理解和管理的。
√ Firewall依賴的操作系統應及時地升級以彌補安全漏洞。
5、選擇防火牆的要點
(1) 安全性：即是否通過了嚴格的入侵測試。
(2) 抗攻擊能力：對典型攻擊的防禦能力
(3) 性能：是否能夠提供足夠的網路吞吐能力
(4) 自我完備能力：自身的安全性，Fail-close
(5) 可管理能力：是否支持SNMP網管
(6) VPN支持
(7) 認證和加密特性
(8) 服務的類型和原理
(9)網路地址轉換能力

三.病毒防護技術

病毒歷來是信息系統安全的主要問題之一。由於網路的廣泛互聯，病毒的傳播途徑和速度大大加快。
我們將病毒的途徑分為：
(1 ) 通過FTP，電子郵件傳播。
(2) 通過軟盤、光碟、磁帶傳播。
(3) 通過Web游覽傳播，主要是惡意的Java控制項網站。
(4) 通過群件系統傳播。
病毒防護的主要技術如下：
(1) 阻止病毒的傳播。
在防火牆、代理伺服器、SMTP伺服器、網路伺服器、群件伺服器上安裝病毒過濾軟體。在桌面PC安裝病毒監控軟體。
(2) 檢查和清除病毒。
使用防病毒軟體檢查和清除病毒。
(3) 病毒資料庫的升級。
病毒資料庫應不斷更新，並下發到桌面系統。
(4) 在防火牆、代理伺服器及PC上安裝Java及ActiveX控制掃描軟體，禁止未經許可的控制項下載和安裝。

四.入侵檢測技術

利用防火牆技術，經過仔細的配置，通常能夠在內外網之間提供安全的網路保護，降低了網路安全風險。但是，僅僅使用防火牆、網路安全還遠遠不夠：
(1) 入侵者可尋找防火牆背後可能敞開的後門。
(2) 入侵者可能就在防火牆內。
(3) 由於性能的限制，防火焰通常不能提供實時的入侵檢測能力。
入侵檢測系統是近年出現的新型網路安全技術，目的是提供實時的入侵檢測及採取相應的防護手段，如記錄證據用於跟蹤和恢復、斷開網路連接等。
實時入侵檢測能力之所以重要首先它能夠對付來自內部網路的攻擊，其次它能夠縮短hacker入侵的時間。
入侵檢測系統可分為兩類：
√ 基於主機
√ 基於網路
基於主機的入侵檢測系統用於保護關鍵應用的伺服器，實時監視可疑的連接、系統日誌檢查，非法訪問的闖入等，並且提供對典型應用的監視如Web伺服器應用。
基於網路的入侵檢測系統用於實時監控網路關鍵路徑的信息，其基本模型如右圖示：
上述模型由四個部分組成：
(1) Passive protocol Analyzer網路數據包的協議分析器、將結果送給模式匹配部分並根據需要保存。
(2) Pattern-Matching Signature Analysis根據協議分析器的結果匹配入侵特徵，結果傳送給Countermeasure部分。
(3) countermeasure執行規定的動作。
(4) Storage保存分析結果及相關數據。
基於主機的安全監控系統具備如下特點：
(1) 精確，可以精確地判斷入侵事件。
(2) 高級，可以判斷應用層的入侵事件。
(3) 對入侵時間立即進行反應。
(4) 針對不同操作系統特點。
(5) 佔用主機寶貴資源。
基於網路的安全監控系統具備如下特點：
(1) 能夠監視經過本網段的任何活動。
(2) 實時網路監視。
(3) 監視粒度更細致。
(4) 精確度較差。
(5) 防入侵欺騙的能力較差。
(6) 交換網路環境難於配置。
基於主機及網路的入侵監控系統通常均可配置為分布式模式：
(1) 在需要監視的伺服器上安裝監視模塊(agent)，分別向管理伺服器報告及上傳證據，提供跨平台的入侵監視解決方案。
(2) 在需要監視的網路路徑上，放置監視模塊(sensor),分別向管理伺服器報告及上傳證據，提供跨網路的入侵監視解決方案。
選擇入侵監視系統的要點是：
(1) 協議分析及檢測能力。
(2) 解碼效率(速度)。
(3) 自身安全的完備性。
(4) 精確度及完整度，防欺騙能力。
(5) 模式更新速度。

五.安全掃描技術

網路安全技術中，另一類重要技術為安全掃描技術。安全掃描技術與防火牆、安全監控系統互相配合能夠提供很高安全性的網路。
安全掃描工具源於Hacker在入侵網路系統時採用的工具。商品化的安全掃描工具為網路安全漏洞的發現提供了強大的支持。
安全掃描工具通常也分為基於伺服器和基於網路的掃描器。
基於伺服器的掃描器主要掃描伺服器相關的安全漏洞，如password文件，目錄和文件許可權，共享文件系統，敏感服務，軟體，系統漏洞等，並給出相應的解決辦法建議。通常與相應的伺服器操作系統緊密相關。
基於網路的安全掃描主要掃描設定網路內的伺服器、路由器、網橋、變換機、訪問伺服器、防火牆等設備的安全漏洞，並可設定模擬攻擊，以測試系統的防禦能力。通常該類掃描器限制使用范圍(IP地址或路由器跳數)。網路安全掃描的主要性能應該考慮以下方面：
(1) 速度。在網路內進行安全掃描非常耗時。
(2) 網路拓撲。通過GUI的圖形界面，可迭擇一步或某些區域的設備。
(3) 能夠發現的漏洞數量。
(4) 是否支持可定製的攻擊方法。通常提供強大的工具構造特定的攻擊方法。因為網路內伺服器及其它設備對相同協議的實現存在差別，所以預制的掃描方法肯定不能滿足客戶的需求。
(5) 報告，掃描器應該能夠給出清楚的安全漏洞報告。
(6) 更新周期。提供該項產品的廠商應盡快給出新發現的安生漏洞掃描特性升級，並給出相應的改進建議。
安全掃描器不能實時監視網路上的入侵，但是能夠測試和評價系統的安全性，並及時發現安全漏洞。

六. 認證和數宇簽名技術

認證技術主要解決網路通訊過程中通訊雙方的身份認可，數字簽名作為身份認證技術中的一種具體技術，同時數字簽名還可用於通信過程中的不可抵賴要求的實現。
認證技術將應用到企業網路中的以下方面：
(1) 路由器認證，路由器和交換機之間的認證。
(2) 操作系統認證。操作系統對用戶的認證。
(3) 網管系統對網管設備之間的認證。
(4) VPN網關設備之間的認證。
(5) 撥號訪問伺服器與客戶間的認證。
(6) 應用伺服器(如Web Server)與客戶的認證。
(7) 電子郵件通訊雙方的認證。
數字簽名技術主要用於：
(1) 基於PKI認證體系的認證過程。
(2) 基於PKI的電子郵件及交易(通過Web進行的交易)的不可抵賴記錄。
認證過程通常涉及到加密和密鑰交換。通常，加密可使用對稱加密、不對稱加密及兩種加密方法的混合。
UserName/Password認證
該種認證方式是最常用的一種認證方式，用於操作系統登錄、telnet、rlogin等，但由於此種認證方式過程不加密，即password容易被監聽和解密。
使用摘要演算法的認證
Radius(撥號認證協議)、路由協議(OSPF)、SNMP Security Protocol等均使用共享的Security Key，加上摘要演算法(MD5)進行認證，由於摘要演算法是一個不可逆的過程，因此，在認證過程中，由摘要信息不能計算出共享的security key，敏感信息不在網路上傳輸。市場上主要採用的摘要演算法有MD5和SHA-1。
基於PKI的認證
使用公開密鑰體系進行認證和加密。該種方法安全程度較高，綜合採用了摘要演算法、不對稱加密、對稱加密、數字簽名等技術，很好地將安全性和高效率結合起來。後面描述了基於PKI認證的基本原理。這種認證方法目前應用在電子郵件、應用伺服器訪問、客戶認證、防火牆驗證等領域。
該種認證方法安全程度很高，但是涉及到比較繁重的證書管理任務。

『玖』 計算機網路安全數據加密技術的運用

計算機網路安全數據加密技術的運用

在計算機網路的運行過程中,應用系統離不開數據的傳輸,不論是各種服務還是最基礎的運行都要通過數據的傳輸,所以,保證數據傳輸的安全是保證計算機網路安全的核心。認證認證技術的應用能有效的核實用戶的身信息,保障網路安全,其中最為常見的認證方式是數字簽名技術。

摘要: 隨著信息化普及范圍越來越大,網路安全問題也逐漸凸顯,導致網路外部與內部均面臨這多項威脅,而加密技術則是保障網路安全的關鍵性技術,在網路安全防護中起到了決定性作用。本文基於上述背景,從計算機網路安全現狀和加密技術應用現狀出發進行分析,並以此為依據,本文主要探討了數據加密技術在網路安全中的具體應用。

關鍵詞: 計算機網路安全;數據加密;應用

隨著計算機網路普及范圍越來越大,網路安全事件也越來越多,因此,用戶對網路的安全性能要求越發嚴格,尤其是信息數據的保密性能。有效保障網路安全是目前面臨的巨大挑戰,一方面,老式的防病毒技術已無法滿足現在的加密標准要求,另一方面,網路上的惡意攻擊事件層出不窮。加密技術則是解決網路安全問題的主要技術,目前在計算機網路中應用廣泛,從一定程度上起到了提高信息數據傳輸的安全性。

1計算機網路安全受到威脅的主要因素

1.1操作系統存在漏洞

計算機的操作系統是所有程序運行的環境,作為整個電腦的支撐軟體,操作系統如果存在隱患,入侵者就有可能通過竊取用戶口令進一步操作整個計算機的操作系統,得到用戶個人殘留在各個程序中的個人信息;如果系統的CPU程序、系統掌管內存存在隱患,入侵者就可以利用漏洞導致計算機或伺服器癱瘓;如果系統在網路安裝程序、上傳文件等地方出現安全漏洞,在用戶的傳輸過程中入侵者就可以利用間諜程序進行監視,這些隱患都是通過不安全的程序進入操作系統,所以在日常操作的過程中,要盡量避免使用陌生軟體。

1.2網路安全隱患

網路是獲取和發布各類信息十分自由的平台,這種自由也導致了網路面臨的威脅較多。網路安全攻擊有傳輸線攻擊、計算機軟體的硬體攻擊、網路協議攻擊等,其中網路協議不安全因素最為關鍵。計算機協議主要有TCP/IP協議,FTPNFS等協議,如果入侵者利用協議中存在的漏洞,就能通過搜索用戶名得到機器的密碼口令,對計算機的防火牆進行攻擊。

2數據加密技術的原理

在計算機網路的運行過程中,應用系統離不開數據的傳輸,不論是各種服務還是最基礎的運行都要通過數據的傳輸,所以,保證數據傳輸的安全是保證計算機網路安全的核心。數據加密技術是按照某種演算法,將原來的文件或數據進行處理,使與原來的“明文”變為一段不可讀的代碼的“密文”,這種代碼只有通過相應的密鑰才能被讀取,顯示其原來的內容,通過這種方式達到保護數據不被入侵者竊取、閱讀的目的。

3數據加密技術在計算機網路安全中的應用

3.1數據加密

按照確定的密碼演算法將敏感的明文數據轉換成難以識別的密文數據,通過使用不同密鑰,可用同一種演算法把相同的明文加密為不同密文的數據保護方法叫做數據加密。數據加密的方式主要有節點加密,鏈路加密和端到端加密。在“網上銀行”興起的前提下,銀行網路系統的安全問題十分重要,數據加密系統作為新的安全措施顯現出許多優點,得到了各大銀行中採用,通過數據加密技術和網路交換設備的聯動,即在交換機或防火牆在運行過程中,各種數據流信息會上報安全設備,數字加密系統對上報的信息和數據流進行檢測。在發現網路安全隱患時進行針對性的動作,並將安全事件的.反應動作發送給防火牆。通過交換機或防火牆精確地關閉或斷開埠,取得了很好的安全效果

3.2密鑰技術

密鑰的作用是加密和解碼數據,分私人和公用兩種。私人密鑰的安全性現對較高,因為得到了使用雙方的認可,但當目的不同所需的密鑰不同時會出現麻煩和錯誤,而公用密鑰操作簡單,可以彌補這個缺點。在操作時傳輸方用公用密鑰,接收方用私人密鑰,就很好的解決了問題,並且數據安全性較高。例如:使用信用卡時,商家的終端解密密鑰能解開並讀取用戶信息,再將信息發送到發行信用卡的公司,能確定用戶使用許可權但不能獲取用戶信息,達到方便且安全的效果。

3.3數總簽名

認證認證技術的應用能有效的核實用戶的身信息,保障網路安全,其中最為常見的認證方式是數字簽名技術。此技術以加密技術為基礎,對加密解密技術方式進行核實,採用最多的應用是公用密鑰的數字簽名和私人密鑰的數字簽名。如上文所述,私人密鑰的數字簽名是通過雙方認證的,可能會存在一方篡改信息的情況,此時要引入第三方認證,公用密鑰就避免了這種麻煩。例如在國內稅務行業中,數字簽名認證為網上稅務業務的辦理提供了安全保障。

4結語

綜上,隨著經濟的發展,信息時代的更新十分迅速,網路惡意攻擊和木馬病毒等也層出不窮,操作系統技術再高還是會有安全漏洞。所以,建立完善的防護體系,注重管理網路安全應用才能有效的保護信息安全,因此,技術人員要跟隨網路發展的腳步,不斷完善安全防護系統,才能更好的保護用戶信息安全。

參考文獻

[1]郭其標.基於同態加密的無線感測器網路安全數據融合分析[J].網路安全技術與應用,2015,(5):76-79.

[2]於海龍.網路安全中的信息加密[J].青春歲月,2015,(4):574-575.

[3]李帥.淺析加密技術在網路安全中的應用[J].電腦知識與技術,2015,11(18):23-24,28.

;

『拾』 基於隱馬爾可夫模型的網路安全態勢預測方法

論文：文志誠,陳志剛.基於隱馬爾可夫模型的網路安全態勢預測方法[J].中南大學學報(自然科學版),2015,46(10):3689-3695.
摘要
為了給網路管理員制定決策和防禦措施提供可靠的依據，通過考察網路安全態勢變化特點，提出構建隱馬 爾可夫預測模型。利用時間序列分析方法刻畫不同時刻安全態勢的前後依賴關系，當安全態勢處於亞狀態或偏離 正常狀態時，採用安全態勢預測機制，分析其變化規律，預測系統的安全態勢變化趨勢。最後利用模擬數據，對 所提出的網路安全態勢預測演算法進行驗證。訪真結果驗證了該方法的正確性。

隱馬爾可夫模型（Hidden Markov Model，HMM）是統計模型，其難點是從可觀察的參數中確定該過程的隱含參數。隱馬爾可夫模型是關於時序的概率模型，描述由一個隱藏的馬爾科夫鏈隨機生成不可觀測的狀態隨機序列，再由各個狀態生成一個觀測而產生觀測隨機序列的過程。如果要利用隱馬爾可夫模型，模型的狀態集合和觀測集合應該事先給出。

舉個例子：有個孩子叫小明，小明每天早起上學晚上放學。假設小明在學校里的狀態有三種，分別是丟錢了，撿錢了，和沒丟沒撿錢，我們記作{q0,q1,q2}。

那麼對於如何確定他的丟錢狀態？如果小明丟錢了，那他今天應該心情不好，如果撿錢了，他回來肯定心情好，如果沒丟沒撿，那他肯定心情平淡。我們將他的心情狀態記作{v0,v1v2}。我們這里觀測了小明一周的心情狀態，心情狀態序列是{v0,v0,v1,v1,v2,v0,v1}。那麼小明這一周的丟撿錢狀態是什麼呢？這里引入隱馬爾科夫模型。

隱馬爾科夫模型的形式定義如下：

一個HMM模型可以由狀態轉移矩陣A、觀測概率矩陣B、以及初始狀態概率π確定，因此一個HMM模型可以表示為λ(A,B,π)。

利用隱馬爾可夫模型時，通常涉及三個問題，分別是：

後面的計算啥的和馬爾科夫差不多我就不寫了。。。。。。

2.1網路安全態勢

在網路態勢方面，國內外相關研究多見於軍事戰 場的態勢獲取，網路安全領域的態勢獲取研究尚處於 起步階段，還未有普遍認可的解決方法。張海霞等[9] 提出了一種計算綜合威脅值的網路安全分級量化方 法。該方法生成的態勢值滿足越危險的網路實體，威 脅值越高。本文定義網路安全態勢由網路基礎運行性 (runnability)、網路脆弱性(vulnerability)和網路威脅性 (threat)三維組成，從 3 個不同的維度(或稱作分量)以 直觀的形式向用戶展示整個網路當前安全態勢 SA=( runnability, vulnerability, threat)。每個維度可通過 網路安全態勢感知，從網路上各運行組件經信息融合 而得到量化分級。為了方便計算實驗與降低復雜度， 本文中，安全態勢每個維度取「高、中、差」或「1，2， 3」共 3 個等級取值。本文主要進行網路安全態勢預測

2.2構建預測模型
隱馬爾可夫模型易解決一類對於給定的觀測符號序列，預測新的觀測符號序列出現概率的基本問題。 隱馬爾可夫模型是一個關於可觀測變數O與隱藏變數 S 之間關系的隨機過程，與安全態勢系統的內部狀態 (隱狀態)及外部狀態(可觀測狀態)相比，具有很大的相 似性，因此，利用隱馬爾可夫模型能很好地分析網路 安全態勢問題。本文利用隱馬爾可夫的時間序列分析 方法刻畫不同時刻安全態勢的前後依賴關系。

已知 T 時刻網路安全態勢，預測 T+1，T+2，⋯， T+n 時刻可能的網路安全態勢。以網路安全態勢的網路基礎運行性(runnability)、網路脆弱性(vulnerability) 和網路威脅性(threat)三維組成隱馬爾可夫模型的外在表現特徵，即可觀測狀態或外部狀態，它們分別具有 「高、中、差」 或「1， 2，3」取值，則安全態勢共有 33=27 種外部組合狀態。模型的內部狀態(隱狀態)為安全態 勢 SA的「高、中高、中、中差、差」取值。注意：在本 文中外部特徵的 3 個維度，每個維度三等取值，而內部 狀態 SA為五等取值。模型示例如圖 1 所示。

網路安全態勢SA一般以某個概率aij在「高、中高、 中、中差、差」這 5 個狀態之間相互轉換，從一個狀態 向另一個狀態遷移，這些狀態稱為內部狀態或隱狀態， 外界無法監測到。然而，可以通過監測工具監測到安 全態勢外在的表現特徵，如網路基礎運行性 (runnability)、網路脆弱性(vulnerability)和網路威脅性 (threat)三維。監測到的這些參數值組合一個整體可以 認為是一個可觀測狀態(外部狀態，此觀測狀態由 L 個 分量構成，是 1 個向量)。圖 1 中，設狀態 1 為安全態 勢「高」狀態，狀態 5 為安全態勢「差」狀態。在實際應 用中，根據具體情況可自行設定，本文取安全態勢每 維外在表現特徵 L=3，則有 27 種安全態勢可觀測外部 狀態，而其內部狀態(隱狀態)N 共為 5 種。

定義 1： 設網路安全態勢 SA內部隱狀態可表示為S1，S2，⋯，S5，則網路安全態勢將在這 5 個隱狀態之 間以某個概率 aij自由轉移，其中 0≤aij≤1。
定義 2： 網路安全態勢 SA外在表現特徵可用 L 個 隨機變數 xi(1≤i≤L, 本處 L=3)表示，令 v=(x1， x2，⋯， xL)構成 1 個 L 維隨機變數 v；在時刻 I，1 次具體觀測 oi的觀測值表示為 vi，則經過 T 個時刻對 v 觀測得到 1 個安全態勢狀態觀測序列 O={o1，o2，⋯，oT}。

本文基本思路是：建立相應的隱馬爾可夫模型， 收集內、外部狀態總數訓練隱馬爾可夫模型；當網路安全態勢異常時，通過監測器收集網路外在表現特徵數據，利用已訓練好 HMM 的模型對網路安全態勢進行預測，為管理員提供決策服務。

基本步驟如下：首先，按引理 1 賦 給隱馬爾可夫模型 λ=(π，A，B)這 3 個參數的先驗值； 其次，按照一定規則隨機採集樣本訓練 HMM 模型直 至收斂，獲得 3 個參數的近似值；最後，由一組網路 安全態勢樣本觀測序列預測下一階段態勢。

本實驗採集一組 10 個觀測樣本數據為：

<高、高、 高>，<高、高、高>，<高、中、高>，
<高、中、中>， <中、中、中>，<中、中、中>，
<中、中、高>，<中、 高、高>，<高、高、高>和<高、高、高>。

輸入到隱馬爾可夫模型中，經解碼為安全態勢隱狀態： 「高、高、 中高、中高、中、中、中高、中高、高、高」。最後 1 個隱狀態 qT=「高」。由於 a11=0.682 6（上一次為高，下一次為高的狀態轉移概率），在所有的隱狀態 轉移概率中為最高，所以，在 T+1 時刻的安全態勢 SA 為 qT+1=「高」。網路安全態勢預測對比圖如圖 4 所示， 其中，縱軸表示安全態勢等級，「5」表示「高」，「0」表 示「低」；橫軸表示時間，在采樣序號 10 時，安全態勢 為高，經預測下一個時刻 11 時，安全態勢應該為高， 可信度達 68.26%。通過本實驗，依據訓練好的隱馬爾 可夫預測模式可方便地預測下一時刻的網路安全態勢 發展趨勢。從圖 4 可明顯看出本文的 HMM 方法可信 度比貝葉斯預測方法的高。