改进网络安全认证

A. 从网络安全角度出发，谈谈对该局域网安全性改进的建议。

其实，安全域的合理划分也可以有效应对网络安全事件。从目前的拓扑来看，并没有安全域这个概念。比如，web服务这一部分的服务器，可以规划一个DMZ域，数据库服务器可以规划为数据库域，核心交换可以规划维网络交换域。各个部门之间规划成业务处理域。等等。。这样的话，安全域和安全域之间要有明确的边界，在边界处合理部署防火墙，通过防火墙进行有效限制。
为了预防黑客攻击，仅仅通过安全域和合理划分还是不够的。安全产品可以弥补漏洞和其他脆弱点带来的威胁。网站首页被篡改，可以在web服务前段部署WAF，开启网页防篡改功能，WAF产品还可以有效的对sql注入，跨站等owasp统计的十大威胁。当然部分厂商的waf是可以绕过的，只需要通过某些组合，因此在产品测试期间，一个良好的测试工程师是很有必要的。在一个就是数据库审计也很有必要，毕竟公司数据库服务器曾受过攻击。数据库审计可以有效的对数据库进行行为审计，及时发现可疑行为。关于ddos防护，可以采用黑洞产品。通过防火墙来进行防ddos，当流量过大是防火墙产不多就已经死掉了（亲自测试），所有黑洞产品一般部署在防火墙之前。在谈一下防病毒。防病毒可以再网络当中部署防毒墙。最好的建议就是在每一个客户端上安装symantec杀毒软件（企业版）或者趋势的杀毒软件。
上面都是从防来讲的，其实我们也可以主动出击，防患于未然。通过数据库漏洞扫描。主机漏洞扫描web漏洞扫描系统，结合渗透测试，对网络做出合理的评价。
从题目当中，可以知道这是锐捷的出的题目，最好就是能够运用上锐捷的产品。锐捷的下一代防护墙将前面的大部分的功能结合在一起，锐捷下一代防火墙，避开安全产品糖葫芦是部署方式，可以同时开启功能。考虑到网络延迟的问题，因此锐捷的下一代防火墙是最佳选择。再价格方面也具有一定的优势。要是成本不考虑的话对现有的网络进行改造，不建议采用锐捷下一代防火墙。毕竟锐捷是从网络产品起步，跟其他安全厂家，绿盟。启明，天融信。迪普。。等。。。还存在部分差距。总体上讲，锐捷产品还是不错的。
以上回答并没有完全回答完毕，要是完全回答完了，估计可以出本书了、、、只是捡了几条相对重点来讲的。望采纳

B. 网络安全法是为了推动构建什么样的网络空间

网络安全法是为了推动构建和平、安全、开放、合作的网络空间。

根据《中华人民共和国网络安全法》第七条国家积极开展网络空间治理、网络技术研发和标准制定、打击网络违法犯罪等方面的国际交流与合作，推动构建和平、安全、开放、合作的网络空间，建立多边、民主、透明的网络治理体系。

(2)改进网络安全认证扩展阅读：

《中华人民共和国网络安全法》第十五条国家建立和完善网络安全标准体系。国务院标准化行政主管部门和国务院其他有关部门根据各自的职责，组织制定并适时修订有关网络安全管理以及网络产品、服务和运行安全的国家标准、行业标准。

国家支持企业、研究机构、高等学校、网络相关行业组织参与网络安全国家标准、行业标准的制定。

C. 如何构建安全网络环境

微型计算机和局域网的广泛应用,基于client/server体系结构的分布式系统的出现,I
SDN,宽带ISDN的兴起,ATM技术的实施,卫星通信及全球信息网的建设,根本改变了以往主机
-终端型的网络应用模式;传统的、基于Mainframe的安全系统结构已不能适用于新的网络环
境,主要原因是:
(1)微型机及LAN的引入,使得网络结构成多样化,网络拓扑复杂化;
(2)远地工作站及远地LAN对Mainframe的多种形式的访问,使得网络的地理分布扩散化
;
(3)多种通讯协议的各通讯网互连起来,使得网络通信和管理异质化。
构作Micro-LAN-Mainframe网络环境安全体系结构的目标同其它应用环境中信息安全的
目标一致,即:
(1)存储并处理于计算机和通信系统中的信息的保密性；
(2)存储并处理于计算机和通信系统中的信息的完整性；
(3)存储并处理于计算机和通信系统中的信息的可用性；
(4)对信息保密性、完整性、拒绝服务侵害的监查和控制。
对这些安全目标的实现不是绝对的,在安全系统构作中,可因地制宜,进行适合于自身条
件的安全投入,实现相应的安全机制。但有一点是应该明确的,信息安全是国民经济信息化
必不可少的一环,只有安全的信息才是财富。
对于潜在的财产损失,保险公司通常是按以下公式衡量的:
潜在的财产损失=风险因素×可能的损失
这里打一个比方,将信息系统的安全威胁比作可能的财产损失,将系统固有的脆弱程度
比作潜在的财产损失,于是有:
系统的脆弱程度=处于威胁中的系统构件×安全威胁
此公式虽不能将系统安全性定量化,但可以作为分析信息安全机制的适用性和有效性的
出发点。
对计算机犯罪的统计表明,绝大多数是内部人员所为。由于在大多数Micro-LAN-Mainf
rame系统中,用户登录信息、用户身份证件及其它数据是以明文形式传输的,任何人通过连
接到主机的微型机都可秘密地窃取上述信息。图1给出了我们在这篇文章中进行安全性分析
的网络模型,其安全性攻击点多达20个。本文以下各部分将详细讨论对此模型的安全威胁及
安全对策。
@@14219700.GIF;图1.Micro-LAN-Mainframe网络模型@@
二、开放式系统安全概述
1.OSI安全体系结构
1989年2月15日,ISO7498-2标准的颁布,确立了OSI参考模型的信息安全体系结构,它对
构建具体网络环境的信息安全构架有重要的指导意义。其核心内容包括五大类安全服务以
及提供这些服务所需要的八类安全机制。图2所示的三维安全空间解释了这一体系结构。
@@14219701.GIF;ISO安全体系结构@@
其中,一种安全服务可以通过某种安全机制单独提供,也可以通过多种安全机制联合提
供;一种安全机制可用于提供一种或多种安全服务。
2.美军的国防信息系统安全计划DISSP
DISSP是美军迄今为止最庞大的信息系统安全计划。它将为美国防部所有的网络(话音
、数据、图形和视频图象、战略和战术)提供一个统一的、完全综合的多级安全策略和结构
,并负责管理该策略和结构的实现。图3所示的DISSP安全框架三维模型,全面描述了信息系
统的安全需求和结构。第一维由九类主要的安全特性外加两类操作特性组成,第二维是系统
组成部件,它涉及与安全需求有关的信息系统部件,并提供一种把安全特性映射到系统部件
的简化手段;第三维是OSI协议层外加扩展的两层,OSI模型是面向通信的,增加两层是为了适
应信息处理。
@@14219702.GIF;DISSP安全框架雏形@@
3.通信系统的安全策略
1节和2节较全面地描述了信息系统的安全需求和结构,具有相当的操作指导意义。但仅
有这些,对于构作一个应用于某组织的、具体的网络应用环境的安全框架或安全系统还是不
够的。
目前,计算机厂商在开发适用于企业范围信息安全的有效策略方面并没有走在前面,这
就意味着用户必须利用现有的控制技术开发并维护一个具有足够安全级别的分布式安全系
统。一个安全系统的构作涉及的因素很多,是一个庞大的系统工程。一个明晰的安全策略必
不可少,它的指导原则如下:
·对安全暴露点实施访问控制；
·保证非法操作对网络的数据完整性和可用性无法侵害；
·提供适当等级的、对传送数据的身份鉴别和完整性维护；
·确保硬件和线路的联接点的物理安全；
·对网络设备实施访问控制；
·控制对网络的配置；
·保持对网络设施的控制权；
·提供有准备的业务恢复。
一个通信系统的安全策略应主要包括以下几个方面的内容:
总纲；
适用领域界定；
安全威胁分析；
企业敏感信息界定；
安全管理、责任落实、职责分明；
安全控制基线；
网络操作系统；
信息安全:包括用户身份识别和认证、文件服务器控制、审计跟踪和安全侵害报告、数
据完整性及计算机病毒；
网络安全:包括通信控制、系统状态控制、拨号呼叫访问控制；
灾难恢复。
三、LAN安全
1.LAN安全威胁
1)LAN环境因素造成的安全威胁
LAN环境因素,主要是指LAN用户缺乏安全操作常识;LAN提供商的安全允诺不能全部兑现
。
2)LAN自身成员面临的安全威胁
LAN的每一组成部件都需要保护,包括服务器、工作站、工作站与LAN的联接部件、LAN
与LAN及外部世界的联接部件、线路及线路接续区等。
3)LAN运行时面临的安全威胁
(1)通信线路上的电磁信号辐射
(2)对通信介质的攻击,包括被动方式攻击(搭线窃听)和主动方式攻击(无线电仿冒)
(3)通过联接上网一个未经授权的工作站而进行的网络攻击。攻击的方式可能有：窃听
网上登录信息和数据;监视LAN上流量及与远程主机的会话,截获合法用户log off指令,继续
与主机会话;冒充一个主机LOC ON,从而窃取其他用户的ID和口令。
(4)在合法工作站上进行非法使用,如窃取其他用户的ID、口令或数据
(5)LAN与其他网络联接时,即使各成员网原能安全运行,联网之后,也可能发生互相侵害
的后果。
(6)网络病毒
4)工作站引发的安全威胁
(1)TSR和通信软件的滥用:在分布式应用中,用户一般在本地微机及主机拥有自己的数
据。将微机作为工作站,LAN或主机系统继承了其不安全性。TSR是用户事先加载,由规定事
件激活的程序。一个截获屏幕的TSR可用于窃取主机上的用户信息。这样的TSR还有许多。
某些通信软件将用户键入字符序列存为一个宏,以利于实现对主机的自动LOGON,这也是很危
险的。
(2)LAN诊断工具的滥用:LAN诊断工具本用于排除LAN故障,通过分析网上数据包来确定
线路噪声。由于LAN不对通信链路加密,故LAN诊断工具可用于窃取用户登录信息。
(3)病毒与微机通信:例如Jerusalem-B病毒可使一个由几千台运行3270仿真程序的微机
组成的网络瘫痪。
2 LAN安全措施
1)通信安全措施
(1)对抗电磁信号侦听:电缆加屏蔽层或用金属管道,使较常规电缆难以搭线窃听;使用
光纤消除电磁辐射;对敏感区域(如电话室、PBX所在地、服务器所在地)进行物理保护。
(2)对抗非法工作站的接入:最有效的方法是使用工作站ID,工作站网卡中存有标识自身
的唯一ID号,LAN操作系统在用户登录时能自动识别并进行认证。
(3)对抗对合法工作站的非法访问:主要通过访问控制机制,这种机制可以逻辑实现或物
理实现。
(4)对通信数据进行加密,包括链路加密和端端加密。
2)LAN安全管理
(1)一般控制原则,如对服务器访问只能通过控制台;工作站间不得自行联接;同一时刻
,一个用户只能登录一台工作站;禁止使用网上流量监视器;工作站自动挂起;会话清除;键盘
封锁;交易跟踪等。
(2)访问控制,如文件应受保护,文件应有多级访问权力;SERVER要求用户识别及认证等
。
(3)口令控制,规定最大长度和最小长度;字符多样化;建立及维护一个软字库,鉴别弱口
令字;经常更换口令等。
(4)数据加密:敏感信息应加密
(5)审计日志:应记录不成功的LOGIN企图,未授权的访问或操作企图,网络挂起,脱离联
接及其他规定的动作。应具备自动审计日志检查功能。审计文件应加密等。
(6)磁盘利用:公用目录应只读,并限制访问。
(7)数据备份:是LAN可用性的保证;
(8)物理安全:如限制通信访问的用户、数据、传输类型、日期和时间;通信线路上的数
据加密等。
四、PC工作站的安全
这里,以荷兰NMB银行的PC安全工作站为例,予以说明。在该系统中,PC机作为IBM SNA主
机系统的工作站。
1.PC机的安全局限
(1)用户易于携带、易于访问、易于更改其设置。
(2)MS-DOS或PC-DOS无访问控制功能
(3)硬件易受侵害;软件也易于携带、拷贝、注入、运行及损害。
2.PC安全工作站的目标
(1)保护硬件以对抗未授权的访问、非法篡改、破坏和窃取；
(2)保护软件和数据以对抗:未授权的访问、非法篡改、破坏和窃取、病毒侵害；
(3)网络通信和主机软硬件也应类似地予以保护；
3.安全型PC工作站的设计
(1)PC硬件的物理安全:一个的可行的方法是限制对PC的物理访问。在PC机的后面加一
个盒子,只有打开这个盒子才能建立所需要的联接。
(2)软件安全:Eracon PC加密卡提供透明的磁盘访问;此卡提供了4K字节的CMOS存储用
于存储密钥资料和进行密钥管理。其中一半的存储区对PC总线是只可写的,只有通过卡上数
据加密处理的密钥输入口才可读出。此卡同时提供了两个通信信道,其中一个支持同步通信
。具体的安全设计细节还有:
A、使用Clipcards提供的访问权授予和KEY存储(为脱机应用而设)、Clipcards读写器
接于加密卡的异步口。
B、对硬盘上全部数据加密,对不同性质的文件区分使用密钥。
C、用户LOGON时,强制进入与主机的安全监控器对话,以对该用户进行身份验证和权力
赋予;磁盘工作密钥从主机传送过来或从Clipcards上读取(OFFLINE);此LOGON外壳控制应用
环境和密钥交换。
D、SNA3270仿真器:利用Eracon加密卡实现与VTAM加解密设备功能一致的对数据帧的加
密。
E、主机安全监控器(SECCON):如果可能,将通过3270仿真器实现与PC安全监控程序的不
间断的会话;监控器之间的一套消息协议用于完成对系统的维护。
五、分布式工作站的安全
分布式系统的工作站较一般意义上的网络工作站功能更加全面,它不仅可以通过与网上
服务器及其他分布式工作站的通信以实现信息共享,而且其自身往往具备较强的数据存储和
处理能力。基于Client/Server体系结构的分布式系统的安全有其特殊性,表现如下:
(1)较主机系统而言,跨局域网和广域网,联接区域不断扩展的工作站环境更易受到侵害
;
(2)由于工作站是分布式的;往往分布于不同建筑、不同地区、甚至不同国家,使安全管
理变得更加复杂;
(3)工作站也是计算机犯罪的有力工具,由于它分布广泛,安全威胁无处不在;
(4)工作站环境往往与Internet及其他半公开的数据网互联,因而易受到更广泛的网络
攻击。
可见,分布式工作站环境的安全依赖于工作站和与之相联的网络的安全。它的安全系统
应不劣于主机系统,即包括用户的身份识别和认证;适当的访问控制;强健的审计机制等。除
此之外,分布式工作站环境还有其自身的特殊安全问题,如对网络服务器的认证,确保通信中
数据的保密性和完整性等。这些问题将在后面讨论。
六、通信中的信息安全
通过以上几部分的讨论,我们已将图1所示的网络组件(包括LAN、网络工作站、分布式
工作站、主机系统)逐一进行了剖析。下面,我们将就它们之间的联接安全进行讨论。
1.加密技术
结合OSI七层协议模型,不难理解加密机制是怎样用于网络的不同层次的。
(1)链路加密:作用于OSI数据模型的数据链路层,信息在每一条物理链路上进行加密和
解密。它的优点是独立于提供商,能保护网上控制信息;缺点是浪费设备,降低传输效率。
(2)端端加密:作用于OSI数据模型的第4到7层。其优点是花费少,效率高;缺点是依赖于
网络协议,安全性不是很高。
(3)应用加密:作用于OSI数据模型的第7层,独立于网络协议;其致命缺点是加密算法和
密钥驻留于应用层,易于失密。
2.拨号呼叫访问的安全
拨号呼叫安全设备主要有两类,open-ended设备和two-ended设备,前者只需要一台设备
,后者要求在线路两端各加一台。
(1)open-ended设备:主要有两类,端口保护设备(PPDs)和安全调制解调器。PPDs是处于
主机端口和拨号线路之间的前端通信处理器。其目的是隐去主机的身份,在将用户请求送至
主机自身的访问控制机制前,对该用户进行预认证。一些PPDs具有回叫功能,大部分PPDs提
供某种形式的攻击示警。安全调制解调器主要是回叫型的,大多数有内嵌口令,用户呼叫调
制解调器并且输入口令,调制解调器验证口令并拆线。调制解调器根据用户口令查到相应电
话号码,然后按此号码回叫用户。
(2)two-ended设备:包括口令令牌、终端认证设备、链路加密设备和消息认证设备。口
令令牌日益受到大家欢迎,因为它在认证线路另一端的用户时不需考虑用户的位置及网络的
联接类型。它比安全调制解调器更加安全,因为它允许用户移动,并且禁止前向呼叫。
口令令牌由两部分组成,运行于主机上与主机操作系统和大多数常用访问控制软件包接
口的软件,及类似于一个接卡箱运算器的硬件设备。此软件和硬件实现相同的密码算法。当
一个用户登录时,主机产生一个随机数给用户,用户将该随机数加密后将结果返回给主机;与
此同时,运行于主机上的软件也作同样的加密运算。主机将这两个结果进行对比,如果一致
,则准予登录。
终端认证设备是指将各个终端唯一编码,以利于主机识别的软件及硬件系统。只有带有
正确的网络接口卡(NIC)标识符的设备才允许登录。
链路加密设备提供用于指导线路的最高程度的安全保障。此类系统中,加密盒置于线路
的两端,这样可确保传送数据的可信性和完整性。唯一的加密密钥可用于终端认证。
消息认证设备用于保证传送消息的完整性。它们通常用于EFT等更加注重消息不被更改
的应用领域。一般采用基于DES的加密算法产生MAC码。
七、安全通信的控制
在第六部分中,我们就通信中采取的具体安全技术进行了较为详细的讨论。但很少涉及
安全通信的控制问题,如网络监控、安全审计、灾难恢复、密钥管理等。这里,我们将详细
讨论Micro-LAN-Mainframe网络环境中的用户身份认证、服务器认证及密钥管理技术。这三
个方面是紧密结合在一起的。
1.基于Smartcards的用户认证技术
用户身份认证是网络安全的一个重要方面,传统的基于口令的用户认证是十分脆弱的。
Smartcards是一类一话一密的认证工具,它的实现基于令牌技术。其基本思想是拥有两个一
致的、基于时间的加密算法,且这两个加密算法是同步的。当用户登录时,Smartcards和远
端系统同时对用户键入的某一个系统提示的数进行运算(这个数时刻变化),如果两边运行结
果相同,则证明用户是合法的。
在这一基本的Smartcards之上,还有一些变种,其实现原理是类似的。
2.kerboros用户认证及保密通信方案
对于分布式系统而言,使用Smartcards,就需要为每一个远地系统准备一个Smartcard,
这是十分繁琐的,MIT设计与开发的kerboros用户认证及保密通信方案实现了对用户的透明
,和对用户正在访问的网络类型的免疫。它同时还可用于节点间的保密通信及数据完整性的
校验。kerboros的核心是可信赖的第三方,即认证服务中心,它拥有每一个网络用户的数据
加密密钥,需要用户认证的网络服务经服务中心注册,且每一个此类服务持有与服务中心通
信的密钥。
对一个用户的认证分两步进行,第一步,kerboros认证工作站上的某用户;第二步,当该
用户要访问远地系统服务器时,kerboros起一个中介人的作用。
当用户首次登录时,工作站向服务器发一个请求,使用的密钥依据用户口令产生。服务
中心在验明用户身份后,产生一个ticket,所使用的密钥只适合于该ticket-granting服务。
此ticket包含用户名、用户IP地址、ticket-granting服务、当前时间、一个随机产生的密
钥等;服务中心然后将此ticket、会话密钥用用户密钥加密后传送给用户;用户将ticket解
密后,取出会话密钥。当用户想联接某网络服务器时,它首先向服务中心发一个请求,该请求
由两部分组成,用户先前收到的ticket和用户的身份、IP地址、联接服务器名及一个时间值
,此信息用第一次传回的会话密钥加密。服务中心对ticket解密后,使用其中的会话密钥对
用户请求信息解密。然后,服务中心向该用户提供一个可与它相联接的服务器通信的会话密
钥及一个ticket,该ticket用于与服务器通信。
kerboros方案基于私钥体制,认证服务中心可能成为网络瓶颈,同时认证过程及密钥管
理都十分复杂。
3.基于公钥体制的用户认证及保密通信方案
在ISO11568银行业密钥管理国际标准中,提出了一种基于公钥体制,依托密钥管理中心
而实现的密钥管理方案。该方案中,通信双方的会话密钥的传递由密钥管理中心完成,通信
双方的身份由中心予以公证。这样就造成了密钥管理中心的超负荷运转,使之成为网上瓶颈
,同时也有利于攻击者利用流量分析确定网络所在地。
一个改进的方案是基于公钥体制,依托密钥认证中心而实现的密钥管理方案。该方案中
,通信双方会话密钥的形成由双方通过交换密钥资料而自动完成,无须中心起中介作用,这样
就减轻了中心的负担,提高了效率。由于篇幅所限,这里不再展开讨论。
八、结论
计算机网络技术的迅速发展要求相应的网络安全保障,一个信息系统安全体系结构的确
立有助于安全型信息系统的建设,一个具体的安全系统的建设是一项系统工程,一个明晰的
安全策略对于安全系统的建设至关重要,Micro-LAN-Mainframe网络环境的信息安全是相对
的,但其丰富的安全技术内涵是值得我们学习和借鉴的。

D. 网络安全法中网络运行安全规定，国家实行什么制度

网络安全法中网络运行安全规定，国家实行网络安全等级制度。

E. 求教目前世界范围内网络安全方面的最新进展与研究热点

【热心相助】
国内外网络安全技术研究现状
1．国外网络安全技术的现状
（1）构建完善网络安全保障体系
针对未来网络信息战和各种网络威胁、安全隐患越来越暴露的安全问题。新的安全需求、新的网络环境、新的威胁，促使美国和其他很多发达国家为具体的技术建立一个以深度防御为特点的整体网络安全平台——网络安全保障体系。
（2）改进常用安全防护技术
美国等国家对入侵检测、漏洞扫描、入侵防御技术、防火墙技术、病毒防御、访问控制、身份认证等传统的网络安全技术进行更为深入的研究，改进其实现技术，为国防等重要机构研发了新型的智能入侵防御系统、检测系统、漏洞扫描系统、防火墙等多种安全产品。
另外，美国等发达国家还结合生物识别、PKI和智能卡技术研究访问控制技术。美国军队将生物测量技术作为一个新的研究重点。从美国发生了恐怖袭击事件，进一步意识到生物识别技术在信息安全领域的潜力。除利用指纹、声音成功鉴别身份外，还发展了远距人脸扫描和远距虹膜扫描的技术，避免了传统识别方法易丢失、易欺骗等许多缺陷。
（3）强化云安全信息关联分析
目前，针对各种更加复杂及频繁的网络攻击，加强对单个入侵监测系统数据和漏洞扫描分析等层次的云安全技术的研究，及时地将不同安全设备、不同地区的信息进行关联性分析，快速而深入地掌握攻击者的攻击策略等信息。美国在捕获攻击信息和扫描系统弱点等传统技术上取得了很大的进展。
（4）加强安全产品测评技术
系统安全评估技术包括安全产品评估和信息基础设施安全性评估技校。
美国受恐怖袭击“9.11”事件以来，进一步加强了安全产品测评技术，军队的网络安全产品逐步采用在网络安全技术上有竞争力的产品，需要对其进行严格的安全测试和安全等级的划分，作为选择的重要依据。
（5）提高网络生存（抗毁）技术
美军注重研究当网络系统受到攻击或遭遇突发事件、面临失效的威胁时，尽快使系统关键部分能够继续提供关键服务，并能尽快恢复所有或部分服务。结合系统安全技术，从系统整体考虑安全问题，是网络系统更具有韧性、抗毁性，从而达到提高系统安全性的目的。
主要研究内容包括进程的基本控制技术、容错服务、失效检测和失效分类、服务分布式技术、服务高可靠性控制、可靠性管理、服务再协商技术。
（6）优化应急响应技术
在美国“9.11” 袭击事件五角大楼被炸的灾难性事件中，应急响应技术在网络安全体系中不可替代的作用得到了充分的体现。仅在遭受袭击后几小时就基本成功地恢复其网络系统的正常运作，主要是得益于事前在西海岸的数据备份和有效的远程恢复技术。在技术上有所准备，是美军五角大楼的信息系统得以避免致命破坏的重要原因。
（7）新密码技术的研究
美国政府在进一步加强传统密码技术研究的同时，研究和应用改进新椭圆曲线和AES等对称密码，积极进行量子密码新技术的研究。量子技术在密码学上的应用分为两类：一是利用量子计算机对传统密码体制进行分析；二是利用单光子的测不准原理在光纤一级实现密钥管理和信息加密，即量子密码学。
2. 我国网络安全技术方面的差距
虽然，我国对网络安全技术方面的研究取得一些新成果，但是，与先进的发达国家的新技术、新方法、新应用等方面相比还有差距，需要尽快赶上，否则“被动就要挨打”。
（1）安全意识差，忽视风险分析
目前，我国较多企事业机构在进行构建及实施网络信息系统前，经常忽略或简化风险分析，导致无法全面地认识系统存在的威胁，很可能导致安全策略、防护方案脱离实际。
（2）急需自主研发的关键技术
现在，我国计算机软硬件包括操作系统、数据库系统等关键技术严重依赖国外，而且缺乏网络传输专用安全协议，这是最大的安全隐患、风险和缺陷，一旦发生信息战时，非国产的芯片、操作系统都有可能成为敌方利用的工具。所以，急需进行操作系统等安全化研究，并加强专用协议的研究，增强内部信息传输的保密性。
对于已有的安全技术体系，包括访问控制技术体系、认证授权技术体系、安全DNS体系、IA工具集合、公钥基础设施PKI技术体系等，应该制订持续性发展研究计划，不断发展完善，为网络安全保障充分发挥更大的作用。
（3）安全检测薄弱
网络安全检测与防御是网络信息有效保障的动态措施，通过入侵检测与防御、漏洞扫描等手段，定期对系统进行安全检测和评估，及时发现安全问题，进行安全预警，对安全漏洞进行修补加固，防止发生重大网络安全事故。
我国在安全检测与防御方面比较薄弱，应研究将入侵检测与防御、漏洞扫描、路由等技术相结合，实现跨越多边界的网络入侵攻击事件的检测、防御、追踪和取证。
（4）安全测试与评估不完善
如测试评估的标准还不完整，测试评估的自动化工具匮乏，测试评估的手段不全面，渗透性测试的技术方法贫乏，尤其在评估网络整体安全性方面几乎空白。
（5）应急响应能力弱
应急响应就是对网络系统遭受的意外突发事件的应急处理，其应急响应能力是衡量系统生存性的重要指标。网络系统一旦发生突发事件，系统必须具备应急响应能力，使系统的损失降至最低，保证系统能够维持最必需的服务，以便进行系统恢复。
我国应急处理的能力较弱，缺乏系统性，对系统存在的脆弱性、漏洞、入侵、安全突发事件等相关知识研究不够深入。特别是在跟踪定位、现场取证、攻击隔离等方面的技术，缺乏研究和相应的产品。
（6）需要强化系统恢复技术
网络系统恢复指系统在遭受破坏后，能够恢复为可用状态或仍然维持最基本服务的能力。我国在网络系统恢复方面的工作，主要从系统可靠性角度进行考虑，以磁盘镜像备份、数据备份为主，以提高系统的可靠性。然而，系统可恢复性的另一个重要指标是当系统遭受毁灭性破坏后的恢复能力，包括整个运行系统的恢复和数据信息的恢复等。在这方面的研究明显存在差距，应注重相关远程备份、异地备份与恢复技术的研究，包括研究远程备份中数据一致性、完整性、访问控制等关键技术。
参考资料主要网站
[ 1 ] IT专家网 http://security.ctocio.com.cn/
[ 2 ] 中国IT实验室 http://download.chinaitlab.com/
[ 3 ] 安全中国 http://www.anqn.com/jiamijiemi/
[ 4 ] 中国计算机安全 http://www.infosec.org.cn/
[ 5 ] 51CTO技术论坛 http://www.51cto.com/html/
[ 6 ] 毒霸信息安全网 http://news.ba.net/secure/2006/06/07/84794.shtml
[ 7 ] 金山客户服务中心 http://kefu.xoyo.com/index.php?game=ba
[ 8 ] 中国安全网 http://www.securitycn.net/
[ 9 ] IT安全世界 http://www.itcso.com/

F. 信息安全技术 与此课题有关的国内，国外研究情况、课题研究的主要内容、目的和意义

热心相助
您好！
国内外网络安全技术研究现状
1．国外网络安全技术的现状
（1）构建完善网络安全保障体系
针对未来网络信息战和各种网络威胁、安全隐患越来越暴露的安全问题。新的安全需求、新的网络环境、新的威胁，促使美国和其他很多发达国家为具体的技术建立一个以深度防御为特点的整体网络安全平台——网络安全保障体系。
（2）优化安全智能防御技术
美国等国家对入侵检测、漏洞扫描、入侵防御技术、防火墙技术、病毒防御、访问控制、身份认证等传统的网络安全技术进行更为深入的研究，改进其实现技术，为国防等重要机构研发了新型的智能入侵防御系统、检测系统、漏洞扫描系统、防火墙、统一资源管理等多种安全产品。
另外，美国还结合生物识别、公钥基础设施PKI(Public Key Infrastructure )和智能卡技术研究访问控制技术。美国军队将生物测量技术作为一个新的研究重点。从美国发生了恐怖袭击事件，进一步意识到生物识别技术在信息安全领域的潜力。除利用指纹、声音成功鉴别身份外，还发展了远距人脸扫描和远距虹膜扫描的技术，避免了传统识别方法易丢失、易欺骗等许多缺陷。
（3）强化云安全信息关联分析
目前，针对各种更加复杂及频繁的网络攻击，加强对单个入侵监测系统数据和漏洞扫描分析等层次的云安全技术的研究，及时地将不同安全设备、不同地区的信息进行关联性分析，快速而深入地掌握攻击者的攻击策略等信息。美国在捕获攻击信息和扫描系统弱点等传统技术上取得了很大的进展。
（4）加强安全产品测评技术
系统安全评估技术包括安全产品评估和信息基础设施安全性评估技校。
美国受恐怖袭击“9.11”事件以来，进一步加强了安全产品测评技术，军队的网络安全产品逐步采用在网络安全技术上有竞争力的产品，需要对其进行严格的安全测试和安全等级的划分，作为选择的重要依据。
（5）提高网络生存（抗毁）技术
美军注重研究当网络系统受到攻击或遭遇突发事件、面临失效的威胁时，尽快使系统关键部分能够继续提供关键服务，并能尽快恢复所有或部分服务。结合系统安全技术，从系统整体考虑安全问题，是网络系统更具有韧性、抗毁性，从而达到提高系统安全性的目的。
主要研究内容包括进程的基本控制技术、容错服务、失效检测和失效分类、服务分布式技术、服务高可靠性控制、可靠性管理、服务再协商技术。
（6）优化应急响应技术
在美国“9.11” 袭击事件五角大楼被炸的灾难性事件中，应急响应技术在网络安全体系中不可替代的作用得到了充分的体现。仅在遭受袭击后几小时就基本成功地恢复其网络系统的正常运作，主要是得益于事前在西海岸的数据备份和有效的远程恢复技术。在技术上有所准备，是美军五角大楼的信息系统得以避免致命破坏的重要原因。
（7）新密码技术的研究
美国政府在进一步加强传统密码技术研究的同时，研究和应用改进新椭圆曲线和AES等对称密码，积极进行量子密码新技术的研究。量子技术在密码学上的应用分为两类：一是利用量子计算机对传统密码体制进行分析；二是利用单光子的测不准原理在光纤一级实现密钥管理和信息加密，即量子密码学。
2. 我国网络安全技术方面的差距
我国对网络安全技术研究非常重视，已经纳入国家“973”计划、“863”计划和国家自然科学基金等重大高新技术研究项目，而且在密码技术等方面取得重大成果。但是，与先进的发达国家的新技术、新方法、新应用等方面相比还有差距，应当引起警觉和高度重视，特别是一些关键技术必须尽快赶上，否则“被动就要挨打”。
（1）安全意识差，忽视风险分析
我国较多企事业机构在进行构建及实施网络信息系统前，经常忽略或简化风险分析，导致无法全面地认识系统存在的威胁，很可能导致安全策略、防护方案脱离实际。
（2）急需自主研发的关键技术
现在，我国计算机软硬件包括操作系统、数据库系统等关键技术严重依赖国外，而且缺乏网络传输专用安全协议，这是最大的安全隐患、风险和缺陷，一旦发生信息战时，非国产的芯片、操作系统都有可能成为对方利用的工具。所以，急需进行操作系统等安全化研究，并加强专用协议的研究，增强内部信息传输的保密性。
对于已有的安全技术体系，包括访问控制技术体系、认证授权技术体系、安全DNS体系、公钥基础设施PKI技术体系等，并制订持续性发展研究计划，不断发展完善，为网络安全保障充分发挥更大的作用。
（3）安全检测防御薄弱
网络安全检测与防御是网络信息有效保障的动态措施，通过入侵检测与防御、漏洞扫描等手段，定期对系统进行安全检测和评估，及时发现安全问题，进行安全预警，对安全漏洞进行修补加固，防止发生重大网络安全事故。
我国在安全检测与防御方面比较薄弱，应研究将入侵检测与防御、漏洞扫描、路由等技术相结合，实现跨越多边界的网络入侵攻击事件的检测、防御、追踪和取证。
（4）安全测试与评估不完善
如测试评估的标准还不完整，测试评估的自动化工具匮乏，测试评估的手段不全面，渗透性测试的技术方法贫乏，尤其在评估网络整体安全性方面。
（5）应急响应能力欠缺
应急响应就是对网络系统遭受的意外突发事件的应急处理，其应急响应能力是衡量系统生存性的重要指标。网络系统一旦发生突发事件，系统必须具备应急响应能力，使系统的损失降至最低，保证系统能够维持最必需的服务，以便进行系统恢复。
我国应急处理的能力较弱，缺乏系统性，对系统存在的脆弱性、漏洞、入侵、安全突发事件等相关知识研究不够深入。特别是在跟踪定位、现场取证、攻击隔离等方面的技术，缺乏研究和相应的产品。
（6）强化系统恢复技术不足
网络系统恢复指系统在遭受破坏后，能够恢复为可用状态或仍然维持最基本服务的能力。我国在网络系统恢复方面的工作，主要从系统可靠性角度进行考虑，以磁盘镜像备份、数据备份为主，以提高系统的可靠性。然而，系统可恢复性的另一个重要指标是当系统遭受毁灭性破坏后的恢复能力，包括整个运行系统的恢复和数据信息的恢复等。在这方面的研究明显存在差距，应注重相关远程备份、异地备份与恢复技术的研究，包括研究远程备份中数据一致性、完整性、访问控制等关键技术。
3.网络安全技术的发展态势
网络安全的发展态势主要体现在以下几个方面：
（1）网络安全技术水平不断提高
随着网络安全威胁的不断加剧和变化，网络安全技术正在不断创新和提高，从传统安全技术向可信技术、深度检测、终端安全管控和Web安全等新技术发展，也不断出现一些云安全、智能检测、智能防御技术、加固技术、网络隔离、可信服务、虚拟技术、信息隐藏技术和软件安全扫描等新技术。可信技术是一个系统工程，包含可信计算技术、可信对象技术和可信网络技术，用于提供从终端及网络系统的整体安全可信环境。
（2）安全管理技术高度集成
网络安全技术优化集成已成趋势，如杀毒软件与防火墙集成、虚拟网VPN与防火墙的集成、入侵检测系统IDS与防火墙的集成，以及安全网关、主机安全防护系统、网络监控系统等集成技术。
（3）新型网络安全平台
统一威胁管理UTM（UnifiedThreat Management）是实现网络安全的重要手段，也是网络安全技术发展的一大趋势，已成为集多种网络安全防护技术一体化的解决方案，在保障网络安全的同时大量降低运维成本。主要包括：网络安全平台、统一威胁管理工具和日志审计分析系统等。将在5.5.5中具体进行介绍。
【案例1-6】国际互联网安全联盟DMARC(Domain-based Message Authentication, Reporting & Conformance)。由于全球知名互联网公司多次出现网站被黑、域名被更改及诈骗性邮件等网络安全问题，在2012年由谷歌、Facebook、微软、雅虎、网易等15家组建成立，仅1年多时间就使约19.76亿的电子邮箱用户受益，约为全球33亿电子邮箱用户中三分之二，每月拦截过上亿封诈骗性邮件。
2013年中国互联网安全联盟成立。由网易、网络、人人、腾讯、新浪、微软、阿里巴巴集团及支付宝七家企业依照相关法律、法规，在平等互利、共同发展、优势互补、求同存异的原则下共同发起组建，制定了《互联网企业安全漏洞披露与处理公约》。其中，拥有超过5.3亿邮箱用户的网易公司，已经取得了重大成果。
（4）高水平的服务和人才
网络安全威胁的严重性及新变化，对解决网络安全技术和经验要求更高，急需高水平的网络安全服务和人才。随着网络安全产业和业务的发展网络安全服务必将扩展，对网络系统进行定期的风险评估，通过各种措施对网络系统进行安全加固，逐渐交给网络安全服务公司或团队将成为一种趋势。为用户提供有效的网络安全方案是服务的基本手段，对网络系统建设方案的安全评估、对人员安全培训也是服务的重要内容。
（5）特殊专用安全工具
对网络安全影响范围广、危害大的一些特殊威胁，应采用特殊专用工具，如专门针对分布式拒绝服务攻击DDoS的防范系统，专门解决网络安全认证、授权与计费的AAA（Authentication Authorization Accounting）认证系统、单点登录系统、入侵防御系统、智能防火墙和内网非法外联系统等。
近年来，世界竞争会变得更加激烈，经济从“金融危机”影响下的持续低迷中艰难崛起，企业更注重探寻新的经济增长点、优先保护品牌、用户数据、技术研发和知识产权等。同时，在面临新的挑战中精打细算，减少非生产项目的投入，使用更少的信息安全人员，以更少的预算保护企业资产和资源。
摘自：高等教育出版社，网络安全技术与实践，贾铁军教授新书。

G. 任何组织和个人都有权对网络运营者的网络进行安全防御测试吗

任何组织和个人都有权对网络运营者的网络进行安全防御测试，这句话是错误的，只有法律规定的网络安全服务机构才可以进行测试。

根据《中华人民共和国网络安全法》第三十八条关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。

(7)改进网络安全认证扩展阅读：

《中华人民共和国网络安全法》第六十二条违反本法第二十六条规定，开展网络安全认证、检测、风险评估等活动，或者向社会发布系统漏洞、计算机病毒、网络攻击、网络侵入等网络安全信息的，由有关主管部门责令改正，给予警告；

拒不改正或者情节严重的，处一万元以上十万元以下罚款，并可以由有关主管部门责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五千元以上五万元以下罚款。

H. 网络安全的关键技术有哪些

一.虚拟网技术

虚拟网技术主要基于近年发展的局域网交换技术(ATM和以太网交换）。交换技术将传统的基于广播的局域网技术发展为面向连接的技术。因此，网管系统有能力限制局域网通讯的范围而无需通过开销很大的路由器。
由以上运行机制带来的网络安全的好处是显而易见的：信息只到达应该到达的地点。因此、防止了大部分基于网络监听的入侵手段。通过虚拟网设置的访问控制，使在虚拟网外的网络节点不能直接访问虚拟网内节点。但是，虚拟网技术也带来了新的安全问题：
执行虚拟网交换的设备越来越复杂，从而成为被攻击的对象。
基于网络广播原理的入侵监控技术在高速交换网络内需要特殊的设置。
基于MAC的VLAN不能防止MAC欺骗攻击。
以太网从本质上基于广播机制，但应用了交换器和VLAN技术后，实际上转变为点到点通讯，除非设置了监听口，信息交换也不会存在监听和插入（改变）问题。
但是，采用基于MAC的VLAN划分将面临假冒MAC地址的攻击。因此，VLAN的划分最好基于交换机端口。但这要求整个网络桌面使用交换端口或每个交换端口所在的网段机器均属于相同的VLAN。
网络层通讯可以跨越路由器，因此攻击可以从远方发起。IP协议族各厂家实现的不完善，因此，在网络层发现的安全漏洞相对更多，如IP sweep, teardrop, sync-flood, IP spoofing攻击等。

二.防火墙枝术

网络防火墙技术是一种用来加强网络之间访问控制,防止外部网络用户以非法手段通过外部网络进入内部网络,访问内部网络资源,保护内部网络操作环境的特殊网络互联设备.它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查,以决定网络之间的通信是否被允许,并监视网络运行状态.
防火墙产品主要有堡垒主机,包过滤路由器,应用层网关(代理服务器)以及电路层网关,屏蔽主机防火墙,双宿主机等类型.
虽然防火墙是保护网络免遭黑客袭击的有效手段,但也有明显不足:无法防范通过防火墙以外的其它途径的攻击,不能防止来自内部变节者和不经心的用户们带来的威胁,也不能完全防止传送已感染病毒的软件或文件,以及无法防范数据驱动型的攻击.
自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统,提出了防火墙概念后,防火墙技术得到了飞速的发展.国内外已有数十家公司推出了功能各不相同的防火墙产品系列.
防火墙处于5层网络安全体系中的最底层,属于网络层安全技术范畴.在这一层上,企业对安全系统提出的问题是:所有的IP是否都能访问到企业的内部网络系统如果答案是"是",则说明企业内部网还没有在网络层采取相应的防范措施.
作为内部网络与外部公共网络之间的第一道屏障,防火墙是最先受到人们重视的网络安全产品之一.虽然从理论上看,防火墙处于网络安全的最底层,负责网络间的安全认证与传输,但随着网络安全技术的整体发展和网络应用的不断变化,现代防火墙技术已经逐步走向网络层之外的其他安全层次,不仅要完成传统防火墙的过滤任务,同时还能为各种网络应用提供相应的安全服务.另外还有多种防火墙产品正朝着数据安全与用户认证,防止病毒与黑客侵入等方向发展.
1、使用Firewall的益处
保护脆弱的服务
通过过滤不安全的服务，Firewall可以极大地提高网络安全和减少子网中主机的风险。
例如，Firewall可以禁止NIS、NFS服务通过，Firewall同时可以拒绝源路由和ICMP重定向封包。
控制对系统的访问
Firewall可以提供对系统的访问控制。如允许从外部访问某些主机，同时禁止访问另外的主机。例如，Firewall允许外部访问特定的Mail Server和Web Server。
集中的安全管理
Firewall对企业内部网实现集中的安全管理，在Firewall定义的安全规则可以运用于整个内部网络系统，而无须在内部网每台机器上分别设立安全策略。如在Firewall可以定义不同的认证方法，而不需在每台机器上分别安装特定的认证软件。外部用户也只需要经过—次认证即可访问内部网。
增强的保密性
使用Firewall可以阻止攻击者获取攻击网络系统的有用信息，如Finger和DNS。
记录和统计网络利用数据以及非法使用数据
Firewall可以记录和统计通过Firewall的网络通讯，提供关于网络使用的统计数据，并且，Firewall可以提供统计数据，来判断可能的攻击和探测。
策略执行
Firewall提供了制定和执行网络安全策略的手段。未设置Firewall时，网络安全取决于每台主机的用户。
2、 设置Firewall的要素
网络策略
影响Firewall系统设计、安装和使用的网络策略可分为两级，高级的网络策略定义允许和禁止的服务以及如何使用服务，低级的网络策略描述Firewall如何限制和过滤在高级策略中定义的服务。
服务访问策略
服务访问策略集中在Internet访问服务以及外部网络访问（如拨入策略、SLIP/PPP连接等）。
服务访问策略必须是可行的和合理的。可行的策略必须在阻止己知的网络风险和提供用户服务之间获得平衡。典型的服务访问策略是：允许通过增强认证的用户在必要的情况下从Internet访问某些内部主机和服务；允许内部用户访问指定的Internet主机和服务。
Firewall设计策略
Firewall设计策略基于特定的firewall，定义完成服务访问策略的规则。通常有两种基本的设计策略：
允许任何服务除非被明确禁止；
禁止任何服务除非被明确允许。
通常采用第二种类型的设计策略。
3、 Firewall的基本分类
包过滤型
包过滤型产品是防火墙的初级产品,其技术依据是网络中的分包传输技术.网络上的数据都是以"包"为单位进行传输的,数据被分割成为一定大小的数据包,每一个数据包中都会包含一些特定信息,如数据的源地址,目标地址,TCP/UDP源端口和目标端口等.防火墙通过读取数据包中的地址信息来判断这些"包"是否来自可信任的安全站点 ,一旦发现来自危险站点的数据包,防火墙便会将这些数据拒之门外.系统管理员也可以根据实际情况灵活制订判断规则.
包过滤技术的优点是简单实用,实现成本较低,在应用环境比较简单的情况下,能够以较小的代价在一定程度上保证系统的安全.
但包过滤技术的缺陷也是明显的.包过滤技术是一种完全基于网络层的安全技术,只能根据数据包的来源,目标和端口等网络信息进行判断,无法识别基于应用层的恶意侵入,如恶意的Java小程序以及电子邮件中附带的病毒.有经验的黑客很容易伪造IP地址,骗过包过滤型防火墙.
网络地址转换(NAT)
是一种用于把IP地址转换成临时的,外部的,注册的IP地址标准.它允许具有私有IP地址的内部网络访问因特网.它还意味着用户不许要为其网络中每一台机器取得注册的IP地址.
在内部网络通过安全网卡访问外部网络时,将产生一个映射记录.系统将外出的源地址和源端口映射为一个伪装的地址和端口,让这个伪装的地址和端口通过非安全网卡与外部网络连接,这样对外就隐藏了真实的内部网络地址.在外部网络通过非安全网卡访问内部网络时,它并不知道内部网络的连接情况,而只是通过一个开放的IP地址和端口来请求访问.OLM防火墙根据预先定义好的映射规则来判断这个访问是否安全.当符合规则时,防火墙认为访问是安全的,可以接受访问请求,也可以将连接请求映射到不同的内部计算机中.当不符合规则时,防火墙认为该访问是不安全的,不能被接受,防火墙将屏蔽外部的连接请求.网络地址转换的过程对于用户来说是透明的,不需要用户进行设置,用户只要进行常规操作即可.
代理型
代理型防火墙也可以被称为代理服务器,它的安全性要高于包过滤型产品,并已经开始向应用层发展.代理服务器位于客户机与服务器之间,完全阻挡了二者间的数据交流.从客户机来看,代理服务器相当于一台真正的服务器;而从服务器来看,代理服务器又是一台真正的客户机.当客户机需要使用服务器上的数据时,首先将数据请求发给代理服务器,代理服务器再根据这一请求向服务器索取数据,然后再由代理服务器将数据传输给客户机.由于外部系统与内部服务器之间没有直接的数据通道,外部的恶意侵害也就很难伤害到企业内部网络系统.
代理型防火墙的优点是安全性较高,可以针对应用层进行侦测和扫描,对付基于应用层的侵入和病毒都十分有效.其缺点是对系统的整体性能有较大的影响,而且代理服务器必须针对客户机可能产生的所有应用类型逐一进行设置,大大增加了系统管理的复杂性。
监测型监测型
防火墙是新一代的产品,这一技术实际已经超越了最初的防火墙定义.监测型防火墙能够对各层的数据进行主动的,实时的监测,在对这些数据加以分析的基础上,监测型防火墙能够有效地判断出各层中的非法侵入.同时,这种检测型防火墙产品一般还带有分布式探测器,这些探测器安置在各种应用服务器和其他网络的节点之中,不仅能够检测来自网络外部的攻击,同时对来自内部的恶意破坏也有极强的防范作用.据权威机构统计,在针对网络系统的攻击中,有相当比例的攻击来自网络内部.因此,监测型防火墙不仅超越了传统防火墙的定义,而且在安全性上也超越了前两代产品
虽然监测型防火墙安全性上已超越了包过滤型和代理服务器型防火墙,但由于监测型防火墙技术的实现成本较高,也不易管理,所以在实用中的防火墙产品仍然以第二代代理型产品为主,但在某些方面也已经开始使用监测型防火墙.基于对系统成本与安全技术成本的综合考虑,用户可以选择性地使用某些监测型技术.这样既能够保证网络系统的安全性需求,同时也能有效地控制安全系统的总拥有成本.
实际上,作为当前防火墙产品的主流趋势,大多数代理服务器(也称应用网关)也集成了包过滤技术,这两种技术的混合应用显然比单独使用具有更大的优势.由于这种产品是基于应用的,应用网关能提供对协议的过滤.例如,它可以过滤掉FTP连接中的PUT命令,而且通过代理应用,应用网关能够有效地避免内部网络的信息外泄.正是由于应用网关的这些特点,使得应用过程中的矛盾主要集中在对多种网络应用协议的有效支持和对网络整体性能的影响上。
4、 建设Firewall的原则
分析安全和服务需求
以下问题有助于分析安全和服务需求：
√ 计划使用哪些Internet服务(如http，ftp，gopher)，从何处使用Internet服务(本地网，拨号，远程办公室)。
√ 增加的需要，如加密或拔号接入支持。
√ 提供以上服务和访问的风险。
√ 提供网络安全控制的同时，对系统应用服务牺牲的代价。
策略的灵活性
Internet相关的网络安全策略总的来说，应该保持一定的灵活性，主要有以下原因：
√ Internet自身发展非常快，机构可能需要不断使用Internet提供的新服务开展业务。新的协议和服务大量涌现带来新的安全问题，安全策略必须能反应和处理这些问题。
√ 机构面临的风险并非是静态的，机构职能转变、网络设置改变都有可能改变风险。
远程用户认证策略
√ 远程用户不能通过放置于Firewall后的未经认证的Modem访问系统。
√ PPP/SLIP连接必须通过Firewall认证。
√ 对远程用户进行认证方法培训。
拨入/拨出策略
√ 拨入/拨出能力必须在设计Firewall时进行考虑和集成。
√ 外部拨入用户必须通过Firewall的认证。
Information Server策略
√ 公共信息服务器的安全必须集成到Firewall中。
√ 必须对公共信息服务器进行严格的安全控制，否则将成为系统安全的缺口。
√ 为Information server定义折中的安全策略允许提供公共服务。
√ 对公共信息服务和商业信息(如email)讲行安全策略区分。
Firewall系统的基本特征
√ Firewall必须支持．“禁止任何服务除非被明确允许”的设计策略。
√ Firewall必须支持实际的安全政策，而非改变安全策略适应Firewall。
√ Firewall必须是灵活的，以适应新的服务和机构智能改变带来的安全策略的改变。
√ Firewall必须支持增强的认证机制。
√ Firewall应该使用过滤技术以允许或拒绝对特定主机的访问。
√ IP过滤描述语言应该灵活，界面友好，并支持源IP和目的IP，协议类型，源和目的TCP/UDP口，以及到达和离开界面。
√ Firewall应该为FTP、TELNET提供代理服务，以提供增强和集中的认证管理机制。如果提供其它的服务(如NNTP，http等)也必须通过代理服务器。
√ Firewall应该支持集中的SMTP处理，减少内部网和远程系统的直接连接。
√ Firewall应该支持对公共Information server的访问，支持对公共Information server的保护，并且将Information server同内部网隔离。
√ Firewall可支持对拨号接入的集中管理和过滤。
√ Firewall应支持对交通、可疑活动的日志记录。
√ 如果Firewall需要通用的操作系统，必须保证使用的操作系统安装了所有己知的安全漏洞Patch。
√ Firewall的设计应该是可理解和管理的。
√ Firewall依赖的操作系统应及时地升级以弥补安全漏洞。
5、选择防火墙的要点
(1) 安全性：即是否通过了严格的入侵测试。
(2) 抗攻击能力：对典型攻击的防御能力
(3) 性能：是否能够提供足够的网络吞吐能力
(4) 自我完备能力：自身的安全性，Fail-close
(5) 可管理能力：是否支持SNMP网管
(6) VPN支持
(7) 认证和加密特性
(8) 服务的类型和原理
(9)网络地址转换能力

三.病毒防护技术

病毒历来是信息系统安全的主要问题之一。由于网络的广泛互联，病毒的传播途径和速度大大加快。
我们将病毒的途径分为：
(1 ) 通过FTP，电子邮件传播。
(2) 通过软盘、光盘、磁带传播。
(3) 通过Web游览传播，主要是恶意的Java控件网站。
(4) 通过群件系统传播。
病毒防护的主要技术如下：
(1) 阻止病毒的传播。
在防火墙、代理服务器、SMTP服务器、网络服务器、群件服务器上安装病毒过滤软件。在桌面PC安装病毒监控软件。
(2) 检查和清除病毒。
使用防病毒软件检查和清除病毒。
(3) 病毒数据库的升级。
病毒数据库应不断更新，并下发到桌面系统。
(4) 在防火墙、代理服务器及PC上安装Java及ActiveX控制扫描软件，禁止未经许可的控件下载和安装。

四.入侵检测技术

利用防火墙技术，经过仔细的配置，通常能够在内外网之间提供安全的网络保护，降低了网络安全风险。但是，仅仅使用防火墙、网络安全还远远不够：
(1) 入侵者可寻找防火墙背后可能敞开的后门。
(2) 入侵者可能就在防火墙内。
(3) 由于性能的限制，防火焰通常不能提供实时的入侵检测能力。
入侵检测系统是近年出现的新型网络安全技术，目的是提供实时的入侵检测及采取相应的防护手段，如记录证据用于跟踪和恢复、断开网络连接等。
实时入侵检测能力之所以重要首先它能够对付来自内部网络的攻击，其次它能够缩短hacker入侵的时间。
入侵检测系统可分为两类：
√ 基于主机
√ 基于网络
基于主机的入侵检测系统用于保护关键应用的服务器，实时监视可疑的连接、系统日志检查，非法访问的闯入等，并且提供对典型应用的监视如Web服务器应用。
基于网络的入侵检测系统用于实时监控网络关键路径的信息，其基本模型如右图示：
上述模型由四个部分组成：
(1) Passive protocol Analyzer网络数据包的协议分析器、将结果送给模式匹配部分并根据需要保存。
(2) Pattern-Matching Signature Analysis根据协议分析器的结果匹配入侵特征，结果传送给Countermeasure部分。
(3) countermeasure执行规定的动作。
(4) Storage保存分析结果及相关数据。
基于主机的安全监控系统具备如下特点：
(1) 精确，可以精确地判断入侵事件。
(2) 高级，可以判断应用层的入侵事件。
(3) 对入侵时间立即进行反应。
(4) 针对不同操作系统特点。
(5) 占用主机宝贵资源。
基于网络的安全监控系统具备如下特点：
(1) 能够监视经过本网段的任何活动。
(2) 实时网络监视。
(3) 监视粒度更细致。
(4) 精确度较差。
(5) 防入侵欺骗的能力较差。
(6) 交换网络环境难于配置。
基于主机及网络的入侵监控系统通常均可配置为分布式模式：
(1) 在需要监视的服务器上安装监视模块(agent)，分别向管理服务器报告及上传证据，提供跨平台的入侵监视解决方案。
(2) 在需要监视的网络路径上，放置监视模块(sensor),分别向管理服务器报告及上传证据，提供跨网络的入侵监视解决方案。
选择入侵监视系统的要点是：
(1) 协议分析及检测能力。
(2) 解码效率(速度)。
(3) 自身安全的完备性。
(4) 精确度及完整度，防欺骗能力。
(5) 模式更新速度。

五.安全扫描技术

网络安全技术中，另一类重要技术为安全扫描技术。安全扫描技术与防火墙、安全监控系统互相配合能够提供很高安全性的网络。
安全扫描工具源于Hacker在入侵网络系统时采用的工具。商品化的安全扫描工具为网络安全漏洞的发现提供了强大的支持。
安全扫描工具通常也分为基于服务器和基于网络的扫描器。
基于服务器的扫描器主要扫描服务器相关的安全漏洞，如password文件，目录和文件权限，共享文件系统，敏感服务，软件，系统漏洞等，并给出相应的解决办法建议。通常与相应的服务器操作系统紧密相关。
基于网络的安全扫描主要扫描设定网络内的服务器、路由器、网桥、变换机、访问服务器、防火墙等设备的安全漏洞，并可设定模拟攻击，以测试系统的防御能力。通常该类扫描器限制使用范围(IP地址或路由器跳数)。网络安全扫描的主要性能应该考虑以下方面：
(1) 速度。在网络内进行安全扫描非常耗时。
(2) 网络拓扑。通过GUI的图形界面，可迭择一步或某些区域的设备。
(3) 能够发现的漏洞数量。
(4) 是否支持可定制的攻击方法。通常提供强大的工具构造特定的攻击方法。因为网络内服务器及其它设备对相同协议的实现存在差别，所以预制的扫描方法肯定不能满足客户的需求。
(5) 报告，扫描器应该能够给出清楚的安全漏洞报告。
(6) 更新周期。提供该项产品的厂商应尽快给出新发现的安生漏洞扫描特性升级，并给出相应的改进建议。
安全扫描器不能实时监视网络上的入侵，但是能够测试和评价系统的安全性，并及时发现安全漏洞。

六. 认证和数宇签名技术

认证技术主要解决网络通讯过程中通讯双方的身份认可，数字签名作为身份认证技术中的一种具体技术，同时数字签名还可用于通信过程中的不可抵赖要求的实现。
认证技术将应用到企业网络中的以下方面：
(1) 路由器认证，路由器和交换机之间的认证。
(2) 操作系统认证。操作系统对用户的认证。
(3) 网管系统对网管设备之间的认证。
(4) VPN网关设备之间的认证。
(5) 拨号访问服务器与客户间的认证。
(6) 应用服务器(如Web Server)与客户的认证。
(7) 电子邮件通讯双方的认证。
数字签名技术主要用于：
(1) 基于PKI认证体系的认证过程。
(2) 基于PKI的电子邮件及交易(通过Web进行的交易)的不可抵赖记录。
认证过程通常涉及到加密和密钥交换。通常，加密可使用对称加密、不对称加密及两种加密方法的混合。
UserName/Password认证
该种认证方式是最常用的一种认证方式，用于操作系统登录、telnet、rlogin等，但由于此种认证方式过程不加密，即password容易被监听和解密。
使用摘要算法的认证
Radius(拨号认证协议)、路由协议(OSPF)、SNMP Security Protocol等均使用共享的Security Key，加上摘要算法(MD5)进行认证，由于摘要算法是一个不可逆的过程，因此，在认证过程中，由摘要信息不能计算出共享的security key，敏感信息不在网络上传输。市场上主要采用的摘要算法有MD5和SHA-1。
基于PKI的认证
使用公开密钥体系进行认证和加密。该种方法安全程度较高，综合采用了摘要算法、不对称加密、对称加密、数字签名等技术，很好地将安全性和高效率结合起来。后面描述了基于PKI认证的基本原理。这种认证方法目前应用在电子邮件、应用服务器访问、客户认证、防火墙验证等领域。
该种认证方法安全程度很高，但是涉及到比较繁重的证书管理任务。

I. 网络安全法运营商的相关规定有哪些

网络运营者开展经营和服务活动，必须遵守法律、行政法规，尊重社会公德，遵守商业道德，诚实信用，履行网络安全保护义务，接受政府和社会的监督，承担社会责任。

建设、运营网络或者通过网络提供服务，应当依照法律、行政法规的规定和国家标准的强制性要求，采取技术措施和其他必要措施，保障网络安全、稳定运行，有效应对网络安全事件，防范网络违法犯罪活动，维护网络数据的完整性、保密性和可用性。

网络相关行业组织按照章程，加强行业自律，制定网络安全行为规范，指导会员加强网络安全保护，提高网络安全保护水平，促进行业健康发展。

(9)改进网络安全认证扩展阅读

保障网络运行安全，必须落实网络运营者第一责任人的责任。要求网络运营者按照网络安全等级保护制度的要求，采取相应的管理措施和技术防范等措施，履行相应的网络安全保护义务。

为了保障关键信息基础设施安全，维护国家安全、经济安全和保障民生，对关键信息基础设施的运行安全作了规定，实行重点保护。范围包括基础信息网络、重要行业和领域的重要信息系统、军事网络、重要政务网络、用户数量众多的商业网络等。

随着云计算、大数据等技术的发展和应用，网络数据安全对维护国家安全、经济安全，保护公民合法权益，促进数据利用至为重要。要求网络运营者采取数据分类、重要数据备份和加密等措施，防止网络数据被窃取或者篡改。

加强对公民个人信息的保护，防止公民个人信息数据被非法获取、泄露或者非法使用要求关键信息基础设施的运营者在境内存储公民个人信息等重要数据；确需在境外存储或者向境外提供的，应当按照规定进行安全评估。