局域网的网络安全

A. 如何防范网络安全问题

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。如何防范网络安全问题防范网络病毒。配置防火墙。采用入侵检测系统。web、emai1、bbs的安全监测系统。漏洞扫描系统。ip用问题的解决。利用网络维护子网系统安全。提高网络工作人员的素质，强化网络安全责任。采用强力的密码。一个足够强大的密码可以让暴力破解成为不可能实现的情况。相反的，如果密码强度不够，几乎可以肯定会让你的系统受到损害;对介质访问控制(mac)地址进行控制。隐藏无线网络的服务集合标识符、限制介质访问控制(mac)地址对网络的访问，可以确保网络不会被初级的恶意攻击者骚扰的;互联网已经成为世界各国人民沟通的重要工具。进入21世纪，以互联网为代表的信息化浪潮席卷世界每个角落，渗透到经济、政治、文化和国防等各个领域，对人们的生产、工作、学习、生活等产生了全面而深刻的影响，也使世界经济和人类文明跨入了新的历史阶段。然而，伴随着互联网的飞速发展，网络信息安全问题日益突出，越来越受到社会各界的高度关注。如何在推动社会信息化进程中加强网络与信息安全管理，维护互联网各方的根本利益和社会和谐稳定，促进经济社会的持续健康发展，成为我们在信息化时代必须认真解决的一个重大问题。下面介绍下关于网络安全防护的几项措施。


拓展资料;网络分段技术的应用将从源头上杜绝网络的安全隐患问题。因为局域网采用以交换机为中心、以路由器为边界的网络传输格局，再加上基于中心交换机的访问控制功能和三层交换功能，所以采取物理分段与逻辑分段两种方法来实现对局域网的安全控制，其目的就是将非法用户与敏感的网络资源相互隔离，从而防止非法侦听，保证信息的安全畅通。
以交换式集线器代替共享式集线器的方式将不失为解除隐患的又一方法。

法律依据:《规定》第十二条作出规定：网络用户或者网络服务提供者利用网络公开自然人基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等个人隐私和其他个人信息，造成他人损害，被侵权人请求其承担侵权责任的，人民法院应予支持。但下列情形除外：
(一)经自然人书面同意且在约定范围内公开;

(二)为促进社会公共利益且在必要范围内;

B. 如何让局域网更安全

局域网安全的解决办法有以下几种：

1.以交换式集线器代替共享式集线器

对局域网的中心交换机进行网络分段后，以太网侦听的危险仍然存在。这是因为网络最终用户的接入往往是通过分支集线器而不是中心交换机，而使用最广泛的分支集线器通常是共享式集线器。这样，当用户与主机进行数据通信时，两台机器之间的数据包(称为单播包Unicast

Packet)还是会被同一台集线器上的其他用户所侦听。一种很危险的情况是：用户TELNET到一台主机上，由于TELNET程序本身缺乏加密功能，用户所键入的每一个字符(包括用户名、密码等重要信息)，都将被明文发送，这就给黑客提供了机会。

因此，应该以交换式集线器代替共享式集线器，使单播包仅在两个节点之间传送，从而防止非法侦听。当然，交换式集线器只能控制单播包而无法控制广播包(Broadcast

Packet)和多播包(Multicast Packet)。所幸的是，广播包和多播包内的关键信息，要远远少于单播包。

2.网络分段

网络分段通常被认为是控制网络广播风暴的一种基本手段，但其实也是保证网络安全的一项重要措施。其目的就是将非法用户与敏感的网络资源相互隔离，从而防止可能的非法侦听，网络分段可分为物理分段和逻辑分段两种方式。

目前，海关的局域网大多采用以交换机为中心、路由器为边界的网络格局，应重点挖掘中心交换机的访问控制功能和三层交换功能，综合应用物理分段与逻辑分段两种方法，来实现对局域网的安全控制。例如：在海关系统中普遍使用的DEC

MultiSwitch 900的入侵检测功能，其实就是一种基于MAC地址的访问控制，也就是上述的基于数据链路层的物理分段。

3.VLAN的划分

为了克服以太网的广播问题，除了上述方法外，还可以运用VLAN(虚拟局域网)技术，将以太网通信变为点到点通信，防止大部分基于网络侦听的入侵。

目前的VLAN技术主要有三种：基于交换机端口的VLAN、基于节点MAC地址的VLAN和基于应用协议的VLAN。基于端口的VLAN虽然稍欠灵活，但却比较成熟，在实际应用中效果显着，广受欢迎。基于MAC地址的VLAN为移动计算提供了可能性，但同时也潜藏着遭受MAC欺诈攻击的隐患。而基于协议的VLAN，理论上非常理想，但实际应用却尚不成熟。

在集中式网络环境下，我们通常将中心的所有主机系统集中到一个VLAN里，在这个VLAN里不允许有任何用户节点，从而较好地保护敏感的主机资源。在分布式网络环境下，我们可以按机构或部门的设置来划分VLAN。各部门内部的所有服务器和用户节点都在各自的VLAN内，互不侵扰。

VLAN内部的连接采用交换实现，而VLAN与VLAN之间的连接则采用路由实现。目前，大多数的交换机(包括海关内部普遍采用的DEC

MultiSwitch

900)都支持RIP和OSPF这两种国际标准的路由协议。如果有特殊需要，必须使用其他路由协议(如CISCO公司的EIGRP或支持DECnet的IS-IS)，也可以用外接的多以太网口路由器来代替交换机，实现VLAN之间的路由功能。当然，这种情况下，路由转发的效率会有所下降。

无论是交换式集线器还是VLAN交换机，都是以交换技术为核心，它们在控制广播、防止黑客上相当有效，但同时也给一些基于广播原理的入侵监控技术和协议分析技术带来了麻烦。因此，如果局域网内存在这样的入侵监控设备或协议分析设备，就必须选用特殊的带有SPAN(Switch

Port

Analyzer)功能的交换机。这种交换机允许系统管理员将全部或某些交换端口的数据包映射到指定的端口上，提供给接在这一端口上的入侵监控设备或协议分析设备。笔者在厦门海关外部网设计中，就选用了Cisco公司的具备SPAN功能的Catalyst系列交换机，既得到了交换技术的好处，又使原有的Sniffer协议分析仪“英雄有用武之地”。

其它一些公司或企业在注重局域网监控管理软件的同时也要注意工司内部的网络问题，利用一些网络管理软件，网管工具软件让自己的员工为自己的公司利益最大化，当然我们讲的是人道，所以只要充分利用好电脑网络就行了，让我们一起维护一个绿色的网络共享家园。

C. 如何保障局域网内共享文件安全性

在企业的网络中，最常用的功能莫过于“共享文件”了。财务部门需要当月员工的考勤信息，人事部门可能不会亲自拿过去，而是在网络上共享；生产部门的生产报表也不会用书面的资料分发，而是放在网络的共享文件夹下，谁需要的话，就自己去查看就可以了，等等。类似的需求还有很多。x0dx0a可见，共享文件的功能，提高了企业办公的效率，使企业局域网应用中的一个不可缺的功能。但是，由于共享文件夹管理不当，往往也给企业带来了一些安全上的风险。如某些共享文件莫名其妙的被删除或者修改；有些对于企业来说数据保密的内容在网络上被共享，所有员工都可以访问；共享文件成为病毒、木马等传播的最好载体，等等。x0dx0a一、实时查看谁在访问我的共享文件x0dx0a第二步：依次选择“系统工具”、共享文件夹、打开文件，此时，在窗口中就会显示本机上的一些共享资源，被哪些电脑在访问。同时，在这个窗口中还会显示一些有用的信息，如其打开了哪一个共享文件；是什么时候开始访问的；已经闲置了多少时间。也就是所，只要其打开了某个共享文件夹，即使其没有打开共享文件，也会在这里显示。x0dx0a另外，我们有时候可能出于某些目的，如员工可能认为不能让这个人访问这个文件。此时，我们就可以直接右键点击这个会话，然后从快捷菜单中选择关闭会话，我们就可以阻止这个用户访问这个共享文件，而不会影响其他用户的正常访问。x0dx0a二、设置共享文件夹时，最好把文件与文件夹设置为只读x0dx0a在大部分时候，用户都只需要查看或者复制这个共享文件即可，而往往不会在共享文件夹上进行直接修改。但是，有些员工为了贪图方便，就直接以可读写的方式共享某个文件夹以及文件。这是非常危险的。x0dx0a一方面，这些不受限制的共享文件家与共享文件成为了病毒传播的载体。笔者在工作中发现，有些用户在共享文件的时候，没有权限限制。一段时间后，再去看这个共享文件，发现有些共享文件或者共享文件夹中有病毒或者木马的踪影。原来由于这个共享文件夹有写的权限，所以，其他用户如何打开这个文件，恰巧这台电脑中有病毒或者木马的话，就会传染给这个共享文件夹。从而让其他访问这个共享文件夹的电脑也中招。可见，没有保护措施的共享文件夹以及里面的共享文件，已经成为了病毒传播的一个很好的载体。x0dx0a另一方面，当数据非法更改时，很难发现是谁在恶作剧。虽然可以通过相关的日志信息可以查询到有哪些人访问过这个共享文件，以及是否进行了更改的动作。但是，光凭这些信息的话，是不能够知道这个用户对这个共享文件夹作了哪些更改。有时候，我们打开一个共享文件，会不小心的按了一个空格键或者一个字符键，不小心的把某个字覆盖了，等等。这些情况在实际工作中经常会遇到。有时候，即使找到了责任人，他也不知道到底修改了哪些内容。所以，当把共享文件设置为可写的话，则很难防止员工有意或者无意的更改。x0dx0a第三，若以可写的方式共享文件的话，可能无法保证数据的统一。如人事部门以可读写的方式共享了一个考勤文件。此时，若财务部门修改了这个文件，而人事部门并不知道。因为财务人员可能忘记告诉了人事部门，此时，就会导致两个部门之间的数据不一致，从而可能会造成一些不必要的麻烦。而且，由于没有相关的证据，到时候谁对谁错，大家都说不清楚。x0dx0a为了解决这些问题，笔者建议企业用户，在共享文件夹的时候，最好把文件夹的权限设置为只读。若这个共享文件夹有时候其他用户需要往这个文件夹中存文件，不能设置为只读。那我们也可以把共享文件夹中的文件设置为只读。如此的话，由于文件夹为只读的，则病毒、木马也就不能够感染这些文件夹，从而避免成为散播病毒的污染源；而且，也可以防止用户未经授权的更改，从而导致数据的不统一等等。x0dx0a三、建立文件共享服务器，统一管理共享文件的访问权限x0dx0a另外，若把企业的共享文件分散在各个用户终端管理的话，有一个问题，就是用户对于共享操作的熟悉程度不同或者安全观念有差异，所以，很难从部署一个统一的文件共享安全策略。如分散在用户主机的共享文件，员工一般不会定期对其进行备份，以防止因为意外损害而进行及时恢复；一般也不会设置具体的访问权限，如只允许一些特定的员工访问等等。因为这些操作的话，一方面可能需要一些专业知识，另一方面，设置企业也比较繁琐。所以，即使我们出了相关的制度，但是，员工一般很难遵守。x0dx0a所以，笔者建议，在一些有条件的企业，部署一个文件共享服务器，来统一管理共享文件。采取这种策略的话，有如下好处。x0dx0a一是可以定时的对共享文件进行备份，从而减少因为意外修改或者删除而导致的损失。若能够把共享文件夹都放在文件服务器上，则我们就可以定时的对文件服务器上的文件进行备份。如此的话，即使因为权限设置不合理，导致文件被意外修改或者删除；有时会，员工自己也会在不经意中删除不该删的文件，遇到这种情况的时候，则我们可以通过文件恢复作业，把原有的文件恢复过来，从而减少这些不必要的损失。x0dx0a二是可以统一制定文件访问权限策略。在共享文件服务器上，我们可以根据各个员工的需求，在文件服务中预先设置一些文件夹，并设置好具体的权限。如此的话，放到共享文件服务器中的文件就自动继承了文件服务器文件夹的访问权限，从而实现统一管理文件访问权限的目的。如对于一些全公司都可以访问的行政通知类文件，我们可以为此设立一个通知类文件夹，这个文件夹只有行政人员具有读写权限，而其他职工都只有只读权限。如此的话，其他员工就不能够对这些通知进行更改或者删除。所以，对共享文件夹进行统一的管理，可以省去用户每次设置权限的麻烦，从而提高共享文件的安全性。x0dx0a三是可以统一进行防毒管理。对于共享文件来说，我们除了要关心其数据是否为泄露或者非法访问外，另外一个问题就是共享文件是否会被病毒感染。病毒或者木马是危害企业网络安全的第一把杀手，而共享文件又是其很好的载体。若能够有效的解决共享文件的病毒木马感染问题，必定可以有效的抑制病毒或者木马在企业网络中为非作歹。而我们若能够在企业中统一部署文件服务器，则我们就可以利用下班的空闲时间，对文件服务器上的共享文件统一进行杀毒，以保证共享文件服务器上的文件都是干净的，没有被木马或者病毒所感染，从而避免其成为病毒或者木马的有效载体。x0dx0a综上所述，共享文件夹以及共享文件的安全性问题，是企业网络安全管理中的一个比较薄弱的环节，但是，又是一个十分重要的环节。笔者相信，做好这件工作，必定可以提高企业网络的利用价值，减少网络安全事故。

D. 局域网安全有哪些防护措施

应对网络攻击我们应该采取这样的防护 措施 呢?以下我整理的 局域网安全 的防护措施，供大家参考，希望大家能够有所收获!

局域网安全的防护措施：

(1)、物理安全

存放位置：将关键设备集中存放到一个单独的机房中，并提供良好的通风、消防

电气设施条件

人员管理：对进入机房的人员进行严格管理，尽可能减少能够直接接触物理设备

的人员数量

硬件冗余：对关键硬件提供硬件冗余，如RAID磁盘阵列、热备份路由、UPS不

间断电源等

(2)、网络安全

端口管理：关闭非必要开放的端口，若有可能，网络服务尽量使用非默认端口，

如远程桌面连接所使用的3389端口，最好将其更改为其他端口

加密传输：尽量使用加密的通信方式传输数据据，如HTTPS、，IPsec...，

一般只对TCP协议的端口加密，UDP端口不加密

入侵检测：启用入侵检测，对所有的访问请求进行特征识别，及时丢弃或封锁攻

击请求，并发送击击警告

(3)、 系统安全

系统/软件漏洞：选用正版应用软件，并及时安装各种漏洞及修复补丁

账号/权限管理：对系统账号设置高强度的复杂密码，并定期进行更换，对特定

人员开放其所需的最小权限

软件/服务管理：卸载无关软件，关闭非必要的系统服务

病毒/木马防护：统一部署防病毒软件，并启用实时监控

(4)、数据安全

数据加密：对保密性要求较高的数据据进行加密，如可以使用微软的EFS

(Encrypting File System)来对文件系统进行加密

用户管理：严格控制用户对关键数据的访问，并记录用户的访问日志

数据备份：对关键数据进行备份，制定合理的备份方案，可以将其备份到远程

服务器、或保存到光盘、磁带等物理介质中，并保证备份的可用性

E. 无线局域网安全技术解析

由于无线局域网是以射频方式在开放的空间进行工作的，因而其开放性特点增加了确定无线 局域网安全 的难度，所以说相对于传统有线局域网而言，无线局域网的安全问题显得更为突出。其安全的内容主要体现在访问控制与信息保密两部分，目前已经有一些针对无线局域网的安全问题的解决 方法 ，但仍须不断改善。下面一起来学习无线局域网安全技术知识。

1无线局域网中不安全因素

无线局域网攻击可分为主动攻击和被动攻击两类。主动攻击是入侵者能够针对数据和通信内容进行修改，主动攻击主要有：

(1)信息篡改：网络攻击者能够针对网络通信数据进行删除、增加或改动。

(2)数据截获：是利用TCP/IP网络通信的弱点进行的，该方法会掠夺合法使用者的通信信道，进而获得系统的操作权限，截获数据。

(3)拒绝服务攻击：网络攻击者通过各种可能的方法使网络管理者无法获得系统资源及服务。

(4)重传攻击：网络攻击者从网络上获取某些通信内容，然后重新发送这些内容，以对服务器认证系统实施欺骗。

被动攻击主要是指网络入侵者取得对通信资源的存取权限，但是并不对数据内容进行篡改。主要有：

(1)非法窃听：入侵者针对通信数据进行侦听。(2)流量分析：入侵者可以得知诸如网络服务器位置及网络通信模式等相关信息。

2IEEE802.11标准的安全性

IEEE802.11b标准定义了两种方法实现无线局域网的接入控制和加密:系统ID(SSID)认证和有线对等加密(W-EP)。

2.1认证

当一个站点与另一个站点建立网络连接之前，必须首先通过认证，执行认证的站点发送一个管理认证帧到一个相应的站点，IEEE802.11b标准详细定义了两种认证服务:一是开放系统认证是802.11b默认的认证方式，是可用认证算法中简单的一种，分为两步，首先向认证另一站点的站点发送个含有发送站点身份的认证管理帧;然后，接收站发回一个提醒它是否识别认证站点身份的帧。另一是共享密钥认证，这种认证先假定每个站点通过一个独立于802.11网络的安全信道，已经接收到一个秘密共享密钥，然后这些站点通过共享密钥的加密认证，加密算法是有线等价加密(WEP)。

2.2WEP-WiredEquivalentPrivacy加密技术

WEP安全技术源自于名为RC4的RSA数据加密技术，以满足用户更高层次的网络安全需求。

WEP提供一种无线局域网数据流的安全方法，WEP是一种对称加密，加密和解密的密钥及算法相同，WEP的目标是接入控制，防止未授权用户接入网络，他们没有正确的WEP密钥。通过加密和只允许有正确WEP密钥的用户解密来保护数据流。

IEEE802.11b标准提供了两种用于无线局域网的WEP加密方案。第一种方案可提供四个缺省密钥以供所有的终端共享包括一个子系统内的所有接入点和客户适配器。当用户得到缺省密钥以后，就可以与子系统内所有用户安全通信，缺省密钥存在的问题是当它被广泛分配时可能会危及安全。第二种方案是在每个客户适配器建立一个与其他用户联系的密钥表、该方案比第一种方案更加安全，但随着终端数量的增加给每一个终端分配密钥很困难。

2.3IEEE802.11的安全缺陷

无线局域网IEEE802.11的安全缺陷可以从以下几个方面考虑：

(1)WEP的缺陷：密钥管理系统不够健全、安全机制提供的安全级别不高、数据包装算法不完善、认证系统不完善、初始化向量IV的操作存在不足。

(2)RC4加密算法的缺陷：WEP采用RC4密码算法，RC4算法的密钥序列与明文无关，属于同步流密码(SSC)。其弱点是解密丢步后，其后的数据均出错，若攻击者翻转密文中的bit位，解码后明文中的对应比特位也是翻转的，若攻击者截获两个使用相同密钥流加密的密文，可得到相应明文的异或结果，利用统计分析解密明文成为可能。(3)认证安全缺陷：IEEE802.11b标准的默认认证协议是开放式系统认证，实际上它是一个空的认证算法。它的认证机制就已经给黑客入侵打开了方便之门。

(4)访问控制的安全缺陷：封闭网络访问控制机制，因为管理消息在网络里的广播是不受任何阻碍的，因此，攻击者可以很容易地嗅探到网络名称，获得共享密钥;以太网MAC地址访问控制表，一是MAC地址很易被攻击者嗅探到，二是大多数的无线网卡可以用软件来改变MAC地址，伪装一个有效地址，越过防线，连接到网络。

3无线局域网中安全技术

(1)有线对等保密协议WEP：WEP协议设计的初衷是使用无线协议为网络业务流提供安全保证，使得 无线网络 的安全达到与有线网络同样的安全等级。是为了达到以下两个目的：访问控制和保密。

(2)Wi-Fi保护接入(WPA)：制定Wi-Fi保护接入协议是为了改善或者替换有漏洞的WEP加密方式。WPA提供了比WEP更强大的加密方式，解决了WEP存在的许多弱点。

(3)临时密钥完整性协议(TKIP)：TKIP是一种基础性的技术，允许WPA向下兼容WEP协议和现有的无线硬件。TKIP与WEP一起工作，组成了一个更长的128位密钥，并根据每个数据包变换密钥，使这个密钥比单独使用WEP协议安全许多倍。

(4)可扩展认证协议(EAP)：有EAP的支持，WPA加密可提供与控制访问无线网络有关的更多的功能。其方法不是仅根据可能被捕捉或者假冒的MAC地址过滤来控制无线网络的访问，而是根据公共密钥基础设施(PKI)来控制无线网络的访问。虽然WPA协议给WEP协议带来了很大的改善，它比WEP协议安全许多倍。

(5)访问控制表：在软件开发上采用的另一种保证安全的机制是基于用户以太网MAC地址的访问控制机制。每一个接入点都可以用所列出的MAC地址来限制网络中的用户数。如果用户地址存在于列表中，则允许访问网络，否则，拒绝访问。

4企业无线局域网安全防范建议

无线局域网安全技术可以划分为三种安全策略。多数安全产品提供商在配置安全系统时会采用这三种安全策略的组合。第一种策略是认证。这种策略包括判断客户端是否是授权的无线LAN用户以及确定该用户有什么权限。同时它也包括阻比非授权用户使用无线LAN的机制。第二种策略是在用户得到认证并接入无线LAN后维护会话的保密性机制。一般来说.保密性通过使用加密技术得以实现。最后一种策略是校验信息的完整性。

企业用户必须依据使用环境的机密要求程度，对使用的应用软件进行评估。切入点是从无线局域网的连接上开始，要考虑四个基本安全服务：

(1)经常进行审查：

保护WLAN的每一步就是完成网络审查，实现对内部网络的所有访问节点都做审查，确定欺骗访问节点，建立 规章制度 来约束它们，或者完全从网络上剥离掉它们;审查企业内无线网络设施及无线覆盖范围内的详细情况。

(2)正确应用加密：首先要选择合适的加密标准。无线网络系统不可能孤立地存在，在企业环境里尤其如此，所以加密方法一定要与上层应用系统匹配。在适用的情况下尽量选择密钥位数较高的加密方法

(3)认证同样重要：加密可以保护信息不被解除，但是无法保证数据的真实性和完整性，所以必须为其提供匹配的认证机制。在使用的无线网络系统带有认证机制的情况下可以直接利用。但是与加密一样，要保证认证机制与 其它 应用系统能够协同工作，在需要的情况下企业应该增加对WLAN用户的认证功能(如使用RADIUS)，也可配置入侵检测系统(IDS)，作为一种检测欺骗访问的前期识别方式。

(4)及时评估机密性：企业用户要每个季度对网络使用情况进行一次评估，以决定根据网络流量来改变网络中机密性要求，有针对性来分网段传输信息。

(5)将无线纳入安全策略：对于企业应用环境来说，将无线局域网安全问题纳入到企业整体网络安全策略当中是必不可少的。

企业有关信息安全方面的所有内容，包括做什么、由谁来做、如何做等等，应该围绕统一的目标来组织，只有这样才能打造出企业健康有效的网络安全体系。

5结束语

纵观无线网络发展历史，可以预见随着应用范围的日益普及，无线网络将面临越来越多的安全问题。然而，新的安全理论和技术的不断涌现使得我们有信心从容面对众多安全挑战，实现无线网络更广泛的应用。

F. 如何保障无线局域网安全

1、通过查看WiFi 网络设置来了解已有哪些保护措施。看晃否用有线等效加密(WEP)，无线网络安全接入(WPA)或二代无线网络安全接入(WPA2)等保护措施。其中WEP是最早的无线安全协议，效果不佳。WPA优于WEP，不过WPA2才是最佳选择。
2、将网络安全设置改为WPA2模式。如果购买的是早期型号，建议更换支持WPA2的新型路由器。因为它更安全，速度也更快。
3、为WiFi 网络设置高强度密码。选择独特的密码十分重要，最好使用由数字，字母和符号组成的长密码，这样不易被别人猜出。
4、保护路由器，以免他人更改设置。路由器需要设置单独的密码，要与保护WiFi 网络的密码有所区别。不要用出厂给的简单用户名及密码（如Admin之类的）。

G. 局域网的网络安全

局域网的安全：1、物理安全：是指机房的网络环境安全，机房规范化部署，保持温度和湿度，防止灰尘，抗电磁干扰等，可预防火灾等情况发生。
2、网络结构/系统安全：网络拓扑上考虑冗余链路，设置防火墙，设置入侵检测，设置实时监控系统。①设置严格内外网隔离 ②内网不同区域物理隔离，划分多个不同广播域。③网络安全检测 ④网络监控和管控（上网行为管理软件）
以上简单列了一些局域网安全的注意事项，还有需要注意的非常多，题主可以多搜搜。我个人感觉这块比较简单一点，防火墙装一个，上网行为管理软件装一个 就差不多了。
防火墙 推荐华为或者思科的防火墙，上网行为管理软件 推荐Lanecat网猫

H. 怎样确保局域网安全

一、对重要资料进行备份：

要维护企业局域网的安全， 首先必须对重要资料进行备份，以预防各种软硬件故障、病毒的侵袭和黑客的破坏等导致系统崩溃而遭受损失。

二、在网络内部使用代理网关：

使用代理网关使得网络数据包不能直接在内外网络之间进行。

三、设置防火墙 ：

1.选择适当的防火墙

2. 可选择Cisco 805路由器

I. 无线局域网中的安全措施

摘要：由于在现在局域网建网的地域越来越复杂，很多地方应用了无线技术来建设局域网，但是由于 无线网络 应用电磁波作为传输媒介，因此安全问题就显得尤为突出。本文通过对危害无线局域网的一些因素的叙述，给出了一些应对的安全 措施 ，以保证无线局域网能够安全，正常的运行。

关键字：WLAN，WEP，SSID，DHCP，安全措施

1、 引言

WLAN是Wireless LAN的简称，即无线局域网。所谓无线网络，顾名思义就是利用无线电波作为传输媒介而构成的信息网络，由于WLAN产品不需要铺设通信电缆，可以灵活机动地应付各种网络环境的设置变化。WIAN技术为用户提供更好的移动性、灵活性和扩展性，在难以重新布线的区域提供快速而经济有效的局域网接入，无线网桥可用于为远程站点和用户提供局域网接入。但是，当用户对WLAN的期望日益升高时，其安全问题随着应用的深入表露无遗，并成为制约WLAN发展的主要瓶颈。[1]

2、 威胁无线局域网的因素

首先应该被考虑的问题是，由于WLAN是以无线电波作为上网的传输媒介，因此无线网络存在着难以限制网络资源的物理访问，无线网络信号可以传播到预期的方位以外的地域，具体情况要根据建筑材料和环境而定，这样就使得在网络覆盖范围内都成为了WLAN的接入点，给入侵者有机可乘，可以在预期范围以外的地方访问WLAN，窃听网络中的数据，有机会入侵WLAN应用各种攻击手段对无线网络进行攻击，当然是在入侵者拥有了网络访问权以后。

其次，由于WLAN还是符合所有网络协议的计算机网络，所以计算机病毒一类的网络威胁因素同样也威胁着所有WLAN内的计算机，甚至会产生比普通网络更加严重的后果。

因此，WLAN中存在的安全威胁因素主要是：窃听、截取或者修改传输数据、置信攻击、拒绝服务等等。

IEEE 802.1x认证协议发明者VipinJain接受媒体采访时表示：“谈到无线网络，企业的IT经理人最担心两件事：首先，市面上的标准与安全解决方案太多，使得用户无所适从；第二，如何避免网络遭到入侵或攻击？无线媒体是一个共享的媒介，不会受限于建筑物实体界线，因此有人要入侵网络可以说十分容易。”[1]因此WLAN的安全措施还是任重而道远。

3、无线局域网的安全措施

3.1采用无线加密协议防止未授权用户

保护无线网络安全的最基本手段是加密，通过简单的设置AP和无线网卡等设备，就可以启用WEP加密。无线加密协议(WEP)是对无线网络上的流量进行加密的一种标准 方法 。许多无线设备商为了方便安装产品，交付设备时关闭了WEP功能。但一旦采用这种做法，黑客就能利用无线嗅探器直接读取数据。建议经常对WEP密钥进行更换，有条件的情况下启用独立的认证服务为WEP自动分配密钥。另外一个必须注意问题就是用于标识每个无线网络的服务者身份(SSID)，在部署无线网络的时候一定要将出厂时的缺省SSID更换为自定义的SSID。现在的AP大部分都支持屏蔽SSID广播，除非有特殊理由，否则应该禁用SSID广播，这样可以减少无线网络被发现的可能。[2]

但是目前IEEE 802.11标准中的WEP安全解决方案，在15分钟内就可被攻破，已被广泛证实不安全。所以如果采用支持128位的WEP，解除128位的WEP的是相当困难的，同时也要定期的更改WEP，保证无线局域网的安全。如果设备提供了动态WEP功能，最好应用动态WEP，值得我们庆幸的，Windows XP本身就提供了这种支持，您可以选中WEP选项“自动为我提供这个密钥”。同时，应该使用IPSec，，SSH或其他

WEP的替代方法。不要仅使用WEP来保护数据。

3.2 改变服务集标识符并且禁止SSID广播

SSID是无线接人的身份标识符，用户用它来建立与接入点之间的连接。这个身份标识符是由通信设备制造商设置的，并且每个厂商都用自己的缺省值。例如，3COM 的设备都用“101”。因此，知道这些标识符的黑客可以很容易不经过授权就享受你的无线服务。你需要给你的每个无线接入点设置一个唯一并且难以推测的 SSID。如果可能的话。还应该禁止你的SSID向外广播。这样，你的无线网络就不能够通过广播的方式来吸纳更多用户．当然这并不是说你的网络不可用．只是它不会出现在可使用网络的名单中。[3]

3.3 静态IP与MAC地址绑定

无线路由器或AP在分配IP地址时，通常是默认使用DHCP即动态IP地址分配，这对无线网络来说是有安全隐患的，“不法”分子只要找到了无线网络，很容易就可以通过DHCP而得到一个合法的IP地址，由此就进入了局域网络中。因此，建议关闭DHCP服务，为家里的每台电脑分配固定的静态IP地址，然后再把这个IP地址与该电脑网卡的MAC地址进行绑定，这样就能大大提升网络的安全性。“不法”分子不易得到合法的IP地址，即使得到了，因为还要验证绑定的MAC地址，相当于两重关卡。[4]设置方法如下：

首先，在无线路由器或AP的设置中关闭“DHCP服务器”。然后激活“固定DHCP”功能，把各电脑的“名称”(即Windows系统属陆里的“计算机描述”)，以后要固定使用的IP地址，其网卡的MAC地址都如实填写好，最后点“执行”就可以了。

3.4 技术在无线网络中的应用

对于高安全要求或大型的无线网络，方案是一个更好的选择。因为在大型无线网络中维护工作站和AP的WEP加密密钥、AP的MAC地址列表都是非常艰巨的管理任务。

对于无线商用网络，基于的解决方案是当今WEP机制和MAC地址过滤机制的最佳替代者。方案已经广泛应用于Internet远程用户的安全接入。在远程用户接入的应用中，在不可信的网络(Internet)上提供一条安全、专用的通道或者隧道。各种隧道协议，包括点对点的隧道协议和第二层隧道协议都可以与标准的、集中的认证协议一起使用。同样，技术可以应用在无线的安全接入上，在这个应用中，不可信的网络是无线网络。AP可以被定义成无WEP机制的开放式接入(各AP仍应定义成采用SSID机制把无线网络分割成多个无线服务子网)，但是无线接入网络VLAN (AP和服务器之问的线路)从局域网已经被服务器和内部网络隔离出来。服务器提供网络的认征和加密，并允当局域网网络内部。与WEP机制和MAC地址过滤接入不同，方案具有较强的扩充、升级性能，可应用于大规模的无线网络。

3.5 无线入侵检测系统

无线入侵检测系统同传统的入侵检测系统类似，但无线入侵检测系统增加了无线局域网的检测和对破坏系统反应的特性。侵入窃密检测软件对于阻拦双面恶魔攻击来说，是必须采取的一种措施。如今入侵检测系统已用于无线局域网。来监视分析用户的活动，判断入侵事件的类型，检测非法的网络行为，对异常的网络流量进行报警。无线入侵检测系统不但能找出入侵者，还能加强策略。通过使用强有力的策略，会使无线局域网更安全。无线入侵检测系统还能检测到MAC地址欺骗。他是通过一种顺序分析，找出那些伪装WAP的无线上网用户无线入侵检测系统可以通过提供商来购买，为了发挥无线入侵检测系统的优良的性能，他们同时还提供无线入侵检测系统的解决方案。[1]

3.6 采用身份验证和授权

当攻击者了解网络的SSID、网络的MAC地址或甚至WEP密钥等信息时，他们可以尝试建立与AP关联。目前，有3种方法在用户建立与无线网络的关联前对他们进行身份验证。开放身份验证通常意味着您只需要向AP提供SSID或使用正确的WEP密钥。开放身份验证的问题在于，如果您没有其他的保护或身份验证机制，那么您的无线网络将是完全开放的，就像其名称所表示的。共享机密身份验证机制类似于“口令一响应”身份验证系统。在STA与AP共享同一个WEP密钥时使用这一机制。STA向AP发送申请，然后AP发回口令。接着，STA利用口令和加密的响应进行回复。这种方法的漏洞在于口令是通过明文传输给STA的，因此如果有人能够同时截取口令和响应，那么他们就可能找到用于加密的密钥。采用其他的身份验证／授权机制。使用 802.1x，或证书对无线网络用户进行身份验证和授权。使用客户端证书可以使攻击者几乎无法获得访问权限。

[5]

3.7其他安全措施

除了以上叙述的安全措施手段以外我们还要可以采取一些其他的技术，例如设置附加的第三方数据加密方案，即使信号被盗听也难以理解其中的内容；加强企业内部管理等等的方法来加强WLAN的安全性。

4、 结论

无线网络应用越来越广泛，但是随之而来的网络安全问题也越来越突出，在文中分析了WLAN的不安全因素，针对不安全因素给出了解决的安全措施，有效的防范窃听、截取或者修改传输数据、置信攻击、拒绝服务等等的攻击手段，但是由于现在各个无线网络设备生产厂商生产的设备的功能不一样，所以现在在本文中介绍的一些安全措施也许在不同的设备上会有些不一样，但是安全措施的思路是正确的，能够保证无线网络内的用户的信息和传输消息的安全性和保密性，有效地维护无线局域网的安全。

参考文献

[1]李园,王燕鸿,张钺伟,顾伟伟.无线网络安全性威胁及应对措施[J].现代电子技术.2007, (5):91-94.

[2]王秋华,章坚武.浅析无线网络实施的安全措施[J].中国科技信息.2005, (17):18.

[3]边锋.不得不说无线网络安全六种简单技巧[J].计算机与网络.2006, (20):6.

[4]冷月.无线网络保卫战[J].计算机应用文摘.2006,(26)：79-81.

[5]宋涛.无线局域网的安全措施[J]. 电信交换.2004, (1):22-27.