计算机网络安全.docx

1、计算机网络安全目录内容摘要1关键词1Abstract.1Key words.11 需求分析.11.1原因分析11.2影响网络安全的主要因素22计算机网络攻击的特点和途径.22.1计算机网络攻击特点22.2网络攻击和入侵的主要途径33网络安全重要性.44计算机网络安全存在的问题.55计算机网络的安全策略.55.1加强安全制度的建立和落实工作55.2物理安全策略65.3访问与控制策略66计算机网络安全管理及防御.86.1计算机网络安全管理86.2计算机网络安全防范措施97计算机网络安全应具备的功能.138方案设计并实现.138.1桌面安全系统.138.2病毒防护系统.148.3动态口令身份认证系统

2、.158.4访问控制“防火墙”.158.5信息加密、信息完整性检验.158.6安全审计系统.168.7入侵检测系统IDS.178.8漏洞扫描系统.179结束语.18参考文献.19致谢.20计算机网络安全内容摘要：计算机网络已经应用了多年,INTNET已经发展成为一个规模非常庞大的网络,并且网络还在不断的扩大。但是到目前为止,网络安全存在着很大的风险,整个网络的安全体系一直是各国重点研究的领域。 关键词：计算机，网络，安全Abstract： The computer network has been used for many years, INTNET has developed into a

3、 very large network, and the network is continually expanding. But so far, there are significant network security risks, the entire network security system has been a national priority research areas. Keywords：computer, network, security1.需求分析随着计算机网络的广泛应用，全球信息化已成为人类发展的大趋势。但由于计算机网络具有联结形式多样性、终端分布不均匀性和

4、网络的开放性、互连性等特征，致使网络易受黑客、怪客、恶意软件和其他不轨的攻击。因此，计算机网络的防范措施应是能全方位针对不同的威胁，这样才能确保网络信息的保密性、完整性和可用性。 1.1原因分析2005年6月17日报道万事达信用卡公司称，大约4000万名信用卡用户的账户被一名黑客利用电脑病毒侵入，遭到入侵的数据包括信用卡用户的姓名、银行和账号，这都能够被用来盗用资金。如果该黑客真的用这些信息来盗用资金的话，不但将给这些信用卡用户带来巨大的经济损失，而且侵犯了这些信用卡用户的个人隐私。 网络安全从本质上来讲就是网络上的信息安全,是指网络系统的硬件、软件及其系统中的数据受到保护,不受偶然的或者恶意

5、的原因而遭到破坏、更改、泄露,系统连续可靠正常的运行,网络服务不中断。广义来说,凡是涉及到网络上信息的机密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全所要研究的领域。网络安全涉及的内容既有技术方面的问题,也有管理方面的问题,两方面相互补充,缺一不可。技术方面主要侧重于防范外部非法用户的攻击,管理方面则侧重于内部人为因素的管理。如何更有效的保护重要的信息数据、提高计算机网络系统的安全性已经成为所有计算机网络应用必须考虑和必须解决的一个重要问题。 网络安全是在网络的安全性、功能性和易用性之间平衡的结果。真正安全的机器是没有联网的机器,就是说随着系统薄弱环节的数量减少或是消除,系统

6、可能遭受的攻击量也随之减少直至消除,但是系统的功能性也降低甚至失去功能性。一个企业或是单位没有真正安全服务的一个主要原因就是当其提高安全性时就会减少功能性。而功能性是维持企业或单位正常运转的关键。因此网络安全的目标应该是在提供所需的功能性的情况下如何使风险最小化。1.2影响网络安全的主要因素1、网络系统在稳定性和可扩充性方面存在问题。由于设计的系统不规范、不合理以及缺乏安全性考虑，因而使其受到影响。2、 网络硬件的配置不协调。一是文件服务器。它是网络的中枢，其运行定性、功能完善性直接影响网络系统的质量。网络应用的需求没有引起足够的重视，设计和选型考虑欠周密，从而使网络功能发挥受阻，影响网络的可

7、靠性、扩充性和升级换代。二是网卡用工作站选配不当导致网络不稳定。3、缺乏安全策略。许多站点在防火墙配置上无意识地扩大了访问权限，忽视了这些权限可能会被其他人员滥用。 4、访问控制配置的复杂性，容易导致配置错误，从而给他人以可乘之机。 5、管理制度不健全，网络管理、维护任其自然2计算机网络攻击的特点和途径2.1计算机网络攻击具有下述特点1、损失巨大 由于攻击和入侵的对象是网络上的计算机，所以一旦他们取得成功，就会使网络中成千上万台计算机处于瘫痪状态，从而给计算机用户造成巨大的经济损失。如美国每年因计算机犯罪而造成的经济损失就达几百亿美元。平均一起计算机犯罪案件所造成的经济损失是一般案件的几十到几

8、百倍。2、威胁社会和国家安全 一些计算机网络攻击者出于各种目的经常把政府要害部门和军事部门的计算机作为攻击目标，从而对社会和国家安全造成威胁。如英国计算机专家麦金农，于2001年到2002年间共侵入了美国政府部门下属97台电脑，其中包括五角大楼、陆军、海军和美国国家航空航天局的系统，直接/间接损失达70万美元。此外，麦金农还曾致使美国军方华盛顿地区的2000多台电脑被迫关闭24小时。3、手段多样，手法隐蔽 计算机攻击的手段可以说五花八门。网络攻击者既可以通过监视网上数据来获取别人的保密信息；也可以通过截取别人的帐号和口令堂而皇之地进入别人的计算机系统；还可以通过一些特殊的方法绕过人们精心设计好

9、的防火墙等等。这些过程都可以在很短的时间内通过任何一台联网的计算机完成。入侵完成获得目标主机的管理权限，入侵者就得擦除痕迹，准备撤退了因而犯罪不留痕迹，隐蔽性很强。4、以软件攻击为主 几乎所有的网络入侵都是通过对软件的截取和攻击从而破坏整个计算机系统的。它完全不同于人们在生活中所见到的对某些机器设备进行物理上的摧毁。因此，这一方面导致了计算机犯罪的隐蔽性，另一方面又要求人们对计算机的各种软件（包括计算机通信过程中的信息流）进行严格的保护。2.2网络攻击和入侵的主要途径 网络入侵是指网络攻击者通过非法的手段（如破译口令、电子欺骗等）获得非法的权限，并通过使用这些非法的权限使网络攻击者能对被攻击的

10、主机进行非授权的操作。网络入侵的主要途径有：破译口令、IP欺骗和DNS欺骗。1、破译口令 口令是计算机系统抵御入侵者的一种重要手段，所谓口令入侵是指使用某些合法用户的帐号和口令登录到目的主机，然后再实施攻击活动。这种方法的前提是必须先得到该主机上的某个合法用户的帐号，然后再进行合法用户口令的破译。获得普通用户帐号的方法很多，如：利用目标主机的Finger功能：当用Finger命令查询时，主机系统会将保存的用户资料（如用户名、登录时间等）显示在终端或计算机上；利用目标主机的X.500服务：有些主机没有关闭X.500的目录查询服务，也给攻击者提供了获得信息的一条简易途径；从电子邮件地址中收集：有些

11、用户电子邮件地址常会透露其在目标主机上的帐号；查看主机是否有习惯性的帐号：有经验的用户都知道，很多系统会使用一些习惯性的帐号，造成帐号的泄露。2、IP欺骗 IP欺骗是指攻击者伪造别人的IP地址，让一台计算机假冒另一台计算机以达到蒙混过关的目的。它只能对某些特定的运行TCP/IP的计算机进行入侵。IP欺骗利用了TCP/IP网络协议的脆弱性。在TCP的三次握手过程中，入侵者假冒被入侵主机的信任主机与被入侵主机进行连接，并对被入侵主机所信任的主机发起淹没攻击，使被信任的主机处于瘫痪状态。当主机正在进行远程服务时，网络入侵者最容易获得目标网络的信任关系，从而进行IP欺骗。IP欺骗是建立在对目标网络的信

12、任关系基础之上的。同一网络的计算机彼此都知道对方的地址，它们之间互相信任。由于这种信任关系，这些计算机彼此可以不进行地址的认证而执行远程操作。你浏览的这篇免费计算机网络论文由论文共享网收集于网络，版权归原作者所有！3、DNS欺骗 域名系统（DNS）是一种用于TCP/IP应用程序的分布式数据库，它提供主机名字和IP地址之间的转换信息。通常，网络用户通过UDP协议和DNS服务器进行通信，而服务器在特定的53端口监听，并返回用户所需的相关信息。DNS协议不对转换或信息性的更新进行身份认证，这使得该协议被人以一些不同的方式加以利用。当攻击者危害DNS服务器并明确地更改主机名IP地址映射表时,DNS欺骗

13、就会发生。这些改变被写入DNS服务器上的转换表。因而,当一个客户机请求查询时,用户只能得到这个伪造的地址,该地址是一个完全处于攻击者控制下的机器的IP地址。因为网络上的主机都信任DNS服务器,所以一个被破坏的DNS服务器可以将客户引导到非法的服务器,也可以欺骗服务器相信一个IP地址确实属于一个被信任客户。3网络安全的重要性 在信息化飞速发展的今天，计算机网络得到了广泛应用，但随着网络之间的信息传输量的急剧增长，一些机构和部门在得益于网络加快业务运作的同时，其上网的数据也遭到了不同程度的攻击和破坏。攻击者可以窃听网络上的信息，窃取用户的口令、数据库的信息；还可以篡改数据库内容，伪造用户身份，否认

14、自己的签名。更有甚者，攻击者可以删除数据库内容，摧毁网络节点，释放计算机病毒等等。这致使数据的安全性和自身的利益受到了严重的威胁。 根据美国FBI（美国联邦调查局）的调查，美国每年因为网络安全造成的经济损失超过170亿美元。75%的公司报告财政损失是由于计算机系统的安全问题造成的。超过50%的安全威胁来自内部。而仅有59%的损失可以定量估算。在中国，针对银行、证券等金融领域的计算机系统的安全问题所造成的经济损失金额已高达数亿元，针对其他行业的网络安全威胁也时有发生。 由此可见，无论是有意的攻击，还是无意的误操作，都将会给系统带来不可估量的损失。所以，计算机网络必须有足够强的安全措施。无论是在局

15、域网还是在广域网中，网络的安全措施应是能全方位地针对各种不同的威胁和脆弱性，这样才能确保网络信息的保密性、完整性和可用性。4计算机网络安全存在的问题 影响计算机网络安全的因素很多，有些因素可能是有意的，也可能是无意的；可能是人为的，也可能是非人为的；可能是外来黑客对网络系统资源的非法使有。 1、计算机病毒：面临名目繁多的计算机病毒威胁计算机病毒将导致计算机系统瘫痪，程序和数据严重破坏，使网络的效率和作用大大降低，使许多功能无法使用或不敢使用。层出不穷的各种各样的计算机病毒活跃在各个网络的每个角落，如近几年的“冲击波”、“震荡波”、“熊猫烧香病毒”给我们的正常工作已经造成过严重威胁。 2、人为的

16、无意失误：如操作员安全配置不当造成的安全漏洞，用户安全意识不强，用户口令选择不慎，用户将自己的账号随意转借他人或与别人共享等都会对网络安全带来威胁。 3、人为的恶意攻击：这是计算机网络所面临的最大威胁，以各种方式有选择地破坏信息的有效性和完整性。还有就是网络侦查，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信息。这两种攻击均可对计算机网络造成极大的危害，并导致机密数据的泄漏。 4、网络软件的缺陷和漏洞：网络软件不可能是百分之百的无缺陷和无漏洞的，然而，这些漏洞和缺陷恰恰是黑客进行攻击的首选目标。另外，软件的“后门”都是软件公司的设计编程人员为了自便而设置的，一般不为外人

17、所知，但一旦“后门”洞开，其造成的后果将不堪设想。 5、物理安全问题：物理安全是指在物理介质层次上对存贮和传输的信息安全保护。如通信光缆、电缆、电话线、局域网等有可能遭到破坏，引起计算机网络的瘫痪。 5计算机网络的安全策略 5.1加强安全制度的建立和落实工作一定要根据本单位的实际情况和所采用 的技术条件，参照有关的法规、条例和其他单位的版本，制定出切实可行又比较全面的各类安全管理制度。主要有：操作安全管理制度、场地与实施安全管理制度、设备安全管理制度、操作系统和数据库安全管理制度、计算机网络安全管理制度、软件安全管理制度、密钥安全管理制度、计算机病毒防治管理制度等。制度的建立切不能流于形式，重

18、要的是落实和监督。另外，要强化工作人员的安全教育和法制教育，真正认识到计算机网络系统安全的重要性和解决这一问题的长期性、艰巨性及复杂性。只有依靠人的安全意识和主观能动性，才能不断地发现新的问题，不断地找出解决问题的对策。 5.2物理安全策略对于传输线路及设备进行必要的保护，物理安全策略的目的是保护计算机系统、网络服务器等硬件实体和通信链路免受自然灾害、人为破坏和搭线攻击；验证用户的身份和使用权限、防止用户越权操作；确保计算机系统有一个良好的电磁兼容工作环境。物理安全可以分为两个方面：一是人为对网络的损害；二是网络对使用者的危害。 最常见的是施工人员由于对地下电缆不了解，从而造成电缆的破坏，这种

19、情况可通过立标志牌加以防范；未采用结构化布线的网络经常会出现使用者对电缆的损坏，这就需要尽量采用结构化布线来安装网络；人为或自然灾害的影响，需在规划设计时加以考虑。 网络对使用者的危害主要是电缆的电击、高频信号的幅射等，这需要对网络的绝缘、接地和屏蔽工作做好。5.3访问与控制策略访问控制是网络安全防范和保护的主要策略，它也是维护网络系统安全、保护网络资源的重要手段。各种安全策略必须相互配合才能真正起到保护作用，但访问控制可以说是保证网络安全最重要的核心策略之一。 1、口令网络安全系统的最外层防线就是网络用户的登录，在注册过程中，系统会检查用户的登录名和口令的合法性，只有合法的用户才可以进入系统

20、。2、网络资源属主、属性和访问权限 网络资源主要包括共享文件、共享打印机、网络通信设备等网络用户都有可以使用的资源。资源属主体现了不同用户对资源的从属关系，如建立者、修改者和同组成员等。资源属性表示了资源本身的存取特性，如可被谁读、写或执行等。访问权限主要体现在用户对网络资源的可用程度上。利用指定网络资源的属主、属性和访问权限可以有效地在应用级控制网络系统的安全性。3、网络安全监视 网络监视通称为“网管”，它的作用主要是对整个网络的运行进行动态地监视并及时处理各种事件。通过网络监视可以简单明了地找出并解决网络上的安全问题，如定位网络故障点、捉住IP盗用者、控制网络访问范围等。4、审计和跟踪 网

21、络的审计和跟踪包括对网络资源的使用、网络故障、系统记帐等方面的记录和分析。一般由两部分组成：一是记录事件，即将各类事件统统记录到文件中；二是对记录进行分析和统计，从而找出问题所在。1）入网访问控制。入网访问控制为网络访问提供了第一层访问控制。用户的入网访问控制可分为三个步骤：用户名的识别与验证、用户口令的识别与验证、用户账号的缺省限制检查。 2）网络的权限控制。网络的权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。可以指定用户对这些文件、目录、设备能够执行哪些操作。 3）属性安全控制。当用文件、目录

22、和网络设备时，网络系统管理员应给文件、目录等指定访问属性。属性安全控制可以将给定的属性与网络服务器的文件、目录和网络设备联系起来。属性安全在权限安全的基础上提供更进一步的安全性。网络上的资源都应预先标出一组安全属性。用户对网络资源的访问权限对应一张访问控制表，用以表明用户对网络资源的访问能力网络的属性可以保护重要的目录和文件，防止用户对目录和文件的误删除、执行修改、显示等。 4）网络服务器安全控制。网络允许在服务器控制台上执行一系列操作。用户使用控制台可以装载和卸载模块，可以安装和删除软件等操作。网络服务器的安全控制包括可以设置口令锁定服务器控制台，以防止非法用户修改、删除重要信息或破坏数据；

23、可以设定服务器登录时间限制、非法访问者检测和关闭的时间间隔。 5、防火墙控制防火墙是一种保护计算机网络安全的技术性措施，它是一个用以阻止网络中的黑客访问某个机构网络的屏障，也可称之为控制进/出两个方向通信的门槛。在网络边界上通过建立起来的相应网络通信监控系统来隔离内部和外部网络，以阻档外部网络的侵入。目前的防火墙主要有以下：1）包过滤防火墙：包过滤防火墙设置在网络层，可以在路由器上实现包过滤。首先应建立一定数量的信息过滤表，信息过滤表是以其收到的数据包头信息为基础而建成的。信息包头含有数据包源IP地址、目的IP地址、传输协议类型、协议源端口号、协议目的端口号等。当一个数据包满足过滤表中的规则时

24、，则允许数据包通过，否则禁止通过。2）代理防火墙：它由代理服务器和过滤路由器组成，它将过滤路由器和软件代理技术结合在一起。过滤路由器负责网络互连，并对数据进行严格选择，然后将筛选过的数据传送给代理服务器。3）双穴主机防火墙：该防火墙是用主机来执行安全控制功能。一台双穴主机配有多个网卡，分别连接不同的网络。双穴主机从一个网络收集数据，并且有选择地把它发送到另一个网络上。网络服务由双穴主机上的服务代理来提供。内部网和外部网的用户可通过双穴主机的共享数据区传递数据，从而保护了内部网络不被非法访问。 6、信息加密技术对数据进行加密，通常是利用密码技术实现的。信息加密的目的是保护网内的数据、文件、口令和

25、控制信息，保护网上传输的数据。在信息传送特别是远距离传送这个环节，密码技术是可以采取的唯一切实可行的安全技术，能有效的保护信息传输的安全。网络加密常用的方法有链路加密、端点加密和节点加密三种。链路加密的目的是保护网络节点之间的链路信息安全；端-端加密的目的是对源端用户到目的端用户的数据提供保护；节点加密的目的是对源节点到目的节点之间的传输链路提供保护。6计算机网络安全管理及防御6.1计算机网络安全管理网络安全管理是指对所有计算机网络应用体系中各个方面的安全技术和产品进行统一的管理和协调,进而从整体上提高整个计算机网络的防御入侵、抵抗攻击的能力体系。通常,建立一个安全管理系统包括多个方面的建设,

26、如技术上实现的计算机安全管理系统,为系统定制的安全管理方针,相应的安全管理制度和人员等。 网络管理的趋势是向分布式、智能化和综合化方向发展。基于Web的管理。www以其能简单、有效地获取如文本、图形、声音与视频等不同类型的数据在Internet上广为使用。作为一种全新的网络管理模式,基于Web的网络管理WBM应运而生。WBM提供给普通拥护非常熟悉的Web浏览器的单一用户借口,以实现透明地访问分布在Internet上的各类信息,并且很容易支持大多数现有的标准网络管理协议框架;基于CORBA的管理。公共对象请求代理体系结构CORBA是由对象管理小组为开发面向对象的应用程序提供的一个通用框架结构;采

27、用Java技术管理。Java用于异购分布式网络环境的应用程序开发,它提供了一个易移植、安全、高性能、简单、多线程和面向对象的环境,实现“一次编译,到处运行”。将Java技术集成至网络管理,可以有助于克服传统的纯SNMP的一些问题,降低网络管理的复杂性。随着计算机技术和通信技术的发展，计算机网络将日益成为重要信息交换手段，渗透到社会生活的各个领域，采取强有力的安全策略，保障网络的安全性。 6.2计算机网络安全的防范措施1、计算机病毒防治 大多数计算机都装有杀毒软件,如果该软件被及时更新并正确维护,它就可以抵御大多数病毒攻击。定期地升级软件是很重要的。在病毒入侵系统时,对于病毒库中已知的病毒或可疑

28、程序、可疑代码,杀毒软件可以及时地发现,并向系统发出警报,准确地查找出病毒的来源。大多数病毒能够被清除或隔离。再有,对于不明来历的软件、程序及陌生邮件,不要轻易打开或执行。感染病毒后要及时修补系统漏洞,并进行病毒检测和清除。 2、防火墙技术 防火墙是控制两个网络间互相访问的一个系统。它通过软件和硬件相结合,能在内部网络与外部网络之间构造起一个保护层,网络内外的所有通信都必须经过此保护层进行检查与连接,只有授权允许的通信才能获准通过保护层。防火墙可以阻止外界对内部网络资源的非法访问,也可以控制内部对外部特殊站点的访问,提供监视Internet安全和预警的方便端点。当然,防火墙并不是万能的,即使是

29、经过精心配置的防火墙也抵挡不住隐藏在看似正常数据下的通道程序。根据需要合理的配置防火墙,尽量少开端口,采用过滤严格的WEB程序以及加密的HTTP协议,管理好内部网络用户,经常升级,这样可以更好地利用防火墙保护网络的安全。 3、入侵检测 攻击者进行网络攻击和入侵的原因,在于计算机网络中存在着可以为攻击者所利用的安全弱点、漏洞以及不安全的配置,比如操作系统、网络服务、TCP/IP协议、应用程序、网络设备等几个方面。如果网络系统缺少预警防护机制,那么即使攻击者已经侵入到内部网络,侵入到关键的主机,并从事非法的操作,我们的网管人员也很难察觉到。这样,攻击者就有足够的时间来做他们想做的任何事情。 基于网络的IDS,即入侵检测系统,可以提供全天候的网络监控,帮助网络系统快速发现网络攻击事件,提高信息安全基础结构的完整性。IDS可以分析网络中的分组数据流,当检测到XX的活动时,IDS可以向管理控制台发送警告,其中含有详细的活动信息,还可以要求其他系统(例如路由器)中断XX的进程。IDS被认为是防火墙之后的第二道安全闸门,它能在不影响网络性能的情况下对网络进行监听,从而提供对内部攻击、外部攻击和误操作的实时保护。 4、安全漏洞扫描技术 安全漏洞扫描技术可以自动