本科计算机网络工程毕业论文.docx

1、本科计算机网络工程毕业论文摘要 随着计算机网络的不断发展和普及，计算机网络带来了无穷的资源，但随之而来的网络安全问题也显得尤为重要。安全是网络运行的前提，网络安全不仅仅是单点的安全，而是整个信息网络的安全，需要从多方进行立体的防护。文中就局域网网络安全的当前形式及面临的各种威胁，网络安全防措施、技术，阐述了局域网网络安全当前在我们生活中的重要性。关键词：局域网 网络 安全 网络安全AbstractAlong with calculator network continuously development and universality, the calculator network brou

2、ght an endless resources, but the network safe problem for following also seems to be is importance. The safety is a network movement of premise, the network safety isnt only an only a little bit single safety, but the whole safety of information network, need from in many ways carry on a stereoscop

3、ic protection. In the text the current form of area net network safety in bureau and face of various threat, the network safety guards against a measure, technique and elaborated that the area net network safety in bureau is in the importance in our life at present.Keyword：LAN Internet Security Netw

4、ork Security第一章 网络安全 1第一节 网络安全的定义 1第二节 局域网安全威胁及安全攻击 1一 局域网安全威胁 1二 安全攻击 2第三节 局域网当前形式及面临的问题 4第二章 网络安全的防护措施 6第一节 网络体系结构 6一 网络层次结构 6二 服务、接口和协议 6三 网络参考模型 7第二节 网络安全模型 10第三节 局域网安全防措施 12一 防火墙系统 12二 入侵检测系统 14第三章 基于某学校网络安全的研究 16第一节 校园网络安全防体系的建立 16一 校园网络安全策略概述 16二 对于校园网的解决方案 16第二节 某校网络安全设计方案 19一 网络安全设计原则 19二 网

5、络安全建设方案 19结束语 22辞 23参考文献 24第一章 网络安全随着Internet的兴起，网络安全问题越来越引起人们的关注，采取安全技术来防止对数据的破坏已成为网络应用中的当务之急。第一节网络安全的定义网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的行为而遭受到破坏、更改、泄露，使系统连续可靠正常地运行，网络服务不中断。网络安全从其本质上来讲就是网络上的信息安全1。第二节局域网安全威胁及安全攻击一 局域网安全威胁（一）来自互联网的安全威胁局域网是与Internet互连的。由于Internet的开放性、国际性与自由性，局域网将面临更加严重的安全威胁。如果局域

6、网与外部网络间没有采取一定的安全防护措施，很容易遭到来自Internets上黑客的各种攻击。他们可以通过嗅探程序来探测、扫描网络及操作系统存在的安全漏洞，如网络I P 地址、应用操作系统的类型、开放的T C P 端口号、系统用来保存用户名和口令等安全信息的关键文件等，并通过相应攻击程序进行攻击。他们还可以通过网络监听等手段获得部网用户的用户名、口令等信息，进而假冒部合法身份进行非法登录，窃取部网络中重要信息。还能通过发送大量数据包对网络服务器进行攻击，使得服务器超负荷工作导致拒绝服务，甚至使系统瘫痪。（二）来自局域网部的安全威胁部管理人员把部网络结构、管理员口令以及系统的一些重要信息传播给外人

7、带来信息泄漏；部职工有的可能熟悉服务器、小程序、脚本和系统的弱点，利用网络开些小玩笑，甚至搞破坏。如，泄漏至关重要的信息、错误地进入数据库、删除数据等，这都将给网络造成极大的安全威胁。（三）计算机病毒及恶意代码的威胁由于网络用户不及时安装防病毒软件和操作系统补丁，或未及时更新防病毒软件的病毒库而造成计算机病毒的入侵。许多网络寄生犯罪软件的攻击，正是利用了用户的这个弱点。寄生软件可以修改磁盘上现有的软件，在自己寄生的文件中注入新的代码。最近几年，随着犯罪软件（Crime Software）汹涌而至，寄生软件已退居幕后，成为犯罪软件的助手。二 安全攻击安全攻击是安全威胁的具体体现，他主要包括以下几

8、种类型：被动攻击、主动攻击、物理临近攻击和分发攻击2。（一）被动攻击被动攻击的主要目标是被动检视公共媒体上传送的信息。抵抗这类攻击的对策是使用虚拟专用网(VPN)。表1.1列举了一些特定的被动攻击。攻击描述检视明文检视网络的攻击者获取未加保护措施的用户信息或数据解密加密不善的通信数据公共域中已具备密码分析能力口令嗅探这类攻击包括使用协议分析工具捕获用于未授权使用的口令通信量分析即使不解密下层信息，外部通信模式的观察也能给对手提供关键信息。如通信模式的改变可以暗示紧急行动表1.1 特定的被动攻击举例（二）主动攻击主动攻击的主要目标是企图避开或打破安全防护、引入恶意代码（如计算机病毒）以及转换数据

9、或系统的完整性。典型对策包括增强的区域边界保护（如防火墙和边界护卫）、基于身份认证的访问控制、受保护的远程访问、质量安全管理、自动病毒检测工具、审计和入侵检测。表1.2类聚了一些特定的主动攻击。表1.2 主动攻击举例攻击描述修改传输中的数据在金融领域，如果能够修改电子交易，从而改变交易的数量或将交易转移到别的账户，其后果将是灾难性的重放（插入数据）旧消息的重新插入将耽搁及时的行动会话劫持这种攻击包括未授权使用一个已经建立的会话伪装成授权的用户或服务器这类攻击包括攻击者自己伪装成他人，因而得以未授权访问资源和信息。一个攻击者通过实施嗅探或其它手段获得用户/管理员信息，然后使用该信息作为一个授权用

10、户登陆。这类攻击也包括用于获取敏感数据的欺骗服务器，通过与未产生怀疑的用户建立信任关系来实施该攻击获取系统应用和操作系统软件攻击者探求以系统权限运动的软件中存在的脆弱性利用主机或网络信任攻击者通过操纵文件使虚拟/远方主机提供服务，从而去利用传递的信任利用数据执行攻击者将恶意代码植入看起来无害的供下载的软件或电子中，从而使用户去执行该恶意代码。恶意代码可用于破坏或修改文件，特别是包含权限参数值的文件插入或利用恶意代码攻击者能进入用户系统并执行命令。通过先前发现的脆弱性并使用该访问来达到其攻击目的利用协议或基础设施的BUGS攻击者利用协议中缺限来欺骗用户或重定向通信量。恶意代码在VPN中可以通过更

11、低级隧道来攫取信息拒绝服务攻击者有很多其它的攻击方法，包括有效地将一个路由器从网络中脱离ICMP炸弹，在网络中扩散垃圾包以及向中心扩散垃圾等（三）物理临近攻击在物理临近攻击中未授权者可物理上接近网络、系统或设备，目的是修改、收集或拒绝访问信息。这种接近可以是秘密进入或公开接近，也可以是两种都有。表1.3列举了这种攻击独有的典型攻击实例。表1.3 临近攻击举例攻击描述修改数据或收集信息临近的攻击者由于获得了对系统的物理访问从而修改或窃取信息，如IP地址、登录的用户名和口令系统干预这种攻击来自临近的攻击者访问并干预系统（如窃听、降级等）物理破坏该攻击者来自获得对系统的物理访问的临近者，导致对本地系

12、统的物理破坏（四）分发攻击“分发攻击”一词是指在软件和硬件开发出来之后和安装之前这段时间，或当它从一个地方传送到另一个地方，攻击者恶意修改软硬件。在工厂，可以通过加强处理配置控制将这类威胁降到最低。通过使用受控分发，或者由最终用户检验的签名软件和访问控制可以消除分发威胁。表1.4给了这类分发特有的典型攻击实例表1.4 分发攻击举例攻击描述在制造商的设备上修改软/硬件当软件和硬件在生产线上流通时，可以通过修改软硬件配置来实施这类攻击。这一阶段威胁的对策包括严格的完整性控制和在测试软件产品中的加密签名，前者又包括高可靠配置控制在产品分发时修改软/硬件这些攻击可以通过在产品分发期（如在装船时安装窃听

13、设备）修改软件和硬件配置来实施。这一阶段威胁的对策包括在包装阶段使用篡改检测技术，使用授权和批准传递和使用忙买技术第三节 局域网当前形式及面临的问题随着局域网络技术的发展和社会信息化进程的加快,现在人们的生活、工作、学习、娱乐和交往都已离不开计算机网络。现今，全球网民数量已超过15亿，网络已经成为生活中离不开的工具，经济、文化、军事和社会活动都强烈地依赖于网络。网络环境的复杂性、多变性以及信息系统的脆弱性、开放性和易受攻击性，决定了网络安全威胁的客观存在。尽管计算机网络为人们提供了巨大的方便，但是受技术和社会因素的各种影响，计算机网络一直存在着多种安全缺陷。攻击者经常利用这些缺陷，实施攻击和入

14、侵，给计算机网络造成极大的损害，网络攻击、病毒传播、垃圾等迅速增长，利用网络进行盗窃、诈骗、敲诈勒索、窃密等案件逐年上升，严重影响了网络的正常秩序，严重损害了网民的利益；网上、暴力等不良和有害信息的传播，严重危害了青少年的身心健康。网络系统的安全性和可靠性正在成为世界各国共同关注的焦点。根据中国互联网信息中心2010年初发布的统计报告显示：我国互联网已超过三百万家，上网用户2亿多，网民数和宽带上网人数均居全球第二。同时，网络安全风险也无处不在，各种网络安全漏洞大量存在和不断被发现，计算机系统遭受病毒感染和破坏的情况相当严重，计算机病毒呈现出异常活跃的态势。面对网络安全的严峻形势，我国的网络安全

15、保障工作尚处于起步阶段，基础薄弱，水平不高，网络安全系统在预测、反应、防和恢复能力方面存在许多薄弱环节，安全防护能力不仅大大低于美国、俄罗斯和以色列等信息安全强国，而且排在印度、国之后。在监督管理方面缺乏依据和标准，监管措施不到位，监管体系尚待完善，网络信息安全保障制度不健全、责任不落实、管理不到位。网络信息安全法律法规不够完善，关键技术和产品受制于人，网络信息安全服务机构专业化程度不高，行为不规，网络安全技术与管理人才缺乏。面对网络安全的严峻形势，如何建设高质量、高稳定性、高可靠性的安全网络成为通信行业乃至整个社会发展所要面临和解决的重大课题。第二章 网络安全的防护措施 第一节 网络体系结构

16、一 网络层次结构计算机网络就是将多台计算机互连起来，使得用户程序能够交换信息和共享资源。不同系统中的实体进行通信，其过程是相当复杂的，为了简化网络的设计，人们采用工程设计中常用的结构化设计方法，即将复杂的通信问题分解成若干个容易处理的子问题，然后逐个加以解决。网络设计中采用的结构化设计方法，就是将网络按照功能分成一系列的层次，每一层次完成一个特定的功能，相邻层中的较高层直接使用较低层提供的服务来实现本层的功能，同时又向它的上层提供服务，服务的提供和使用都是通过相邻层的接口来进行的。这也就是人们通常所说的网络层次结构，层次结构是现代计算机网络的基础。参见图2.1。这种结构不仅使得网络的设计与具体

17、的应用、基础的媒体技术以及互联技术等无关，具有很大的灵活性，而且每一层的功能简单、易于实现和维护3。图2.1 网络的层次结构二 服务、接口和协议每一层中的活动元素称为实体，实体可以是软件实体（如进程），也可以是硬件实体（如智能I/O芯片）位于不同系统上同一层中的实体称为对等实体，不同系统间进行通信实际上是各对等实体间在通信。在某层上进行通信所使用的规则的集合称为该层的协议，各层协议按层次顺序排列而成的协议序列称为协议栈4。事实上，除了在最底层的物理媒体上进行的是实通信之外，其余各对等实体间进行的都是虚通信，即并没有数据流从一个系统的第N层直接流到另一个系统的第N层。每个实体只能和同一个系统中上

18、下相邻的实体进行直接的通信，不同系统中的对等实体是没有直接通信能力的，它们间的通信必须通过其下各层的通信间接完成。第N层实体向第（N+1）层实体提供的在第N层上的通信能力称为第N层的服务。由此可见，第（N+1）层实体通过请求第N层的服务完成第（N+1）层上的通信，而第N层实体通过请求第（N-1）层的服务完成第N层上的通信，以此类推直到最底层，最底层上的对等实体通过连接它们的物理媒体直接通信。在第N层协议中所传送的每一信息被称作第N层协议数据单元PDU(Protocol Data Unit)。相邻实体间的通信是通过它们的边界进行的，该边界称为相邻层间的接口。在接口处规定了下层向上层提供的服务，以

19、及上下层实体请求（提供）服务所使用的形式规语句，这些形式规语句称为服务原语。因此可以说，相邻实体通过发送或接收服务原语进行交互作用。而下层向上层提供的服务分为两大类：面向连接的服务和无连接的服务。面向连接的服务是系统服务模式的抽象，每一次完整的数据传输都必须经过建立连接、使用连接和终止连接三个过程。在数据传输过程中，各数据分组不携带信宿地址，而使用连接号。本质上，服务类型中的连接是一个管道，发送者在一端放入数据，接收者从另一端取出数据，其特点是：收发数据不但顺序一致而且容相同。无连接服务是邮政系统服务模式的抽象，其中每个数据分组都携带完整的信宿地址，各数据分组在系统中独立传送。无连接服务不能保

20、证数据分组的先后顺序，由于先后发送的数据分组可能经不同去往信宿，所以先发的未必先到。在对一个网络进行层次结构的划分时，应做到：层次功能明确，相互独立；层间接口清晰，穿越接口的信息量尽量少；层次适中。虽然模型系统在结构上是分层的，但这并不要求现实系统在工程实现时也采用同样的层次结构。它们可以由实现者按其选择的任何方式来构造，只要这种实现的最终性能与模型系统所定义的性能相吻合即可。通常人们将网络的层次结构、协议栈和相邻层间的接口以及服务统称为网络体系结构。三 网络参考模型目前最有代表性的网络参考模型是OSI参考模型和TCP/IP参考模型，但TCP/IP参考模型更流行。以下简要介绍这两种参考模型5。

21、（一）OSI参考模型OSI(Open System Interconnection，开放系统互联) OSI参考模型分为七层，由低到高依次为物理层、数据链路层、网络层、传输层、会话层、表示层和应用层，参见图2.2。OSI参考模型只是规定了网络的层次划分，以及每一层上所实现的功能，但它没有规定每一层上所实现的服务和协议，因此它本身并不是一个网络体系结构。各层的主要功能如下： 图2.2 OSI参考模型1 应用层是OSI参考模型的最高层，它的作用是为应用进程提供访问OSI环境的方法；2 表示层为上层用户提供数据或信息语法的表示转换；3 会话层是进程-进程层，进程间的通信也称为会话，会话层组织和管理不同

22、主机上各进程间的对话；4 传输层是第一个端-端层，也称为主机-主机层，它为上层用户提供不依赖具体网络的高效、经济、透明的端-端数据传输服务（所谓端-端是描述网络传输中对等实体之间关系的一个概念。在端-端系统中，初始信源机上某实体与最终信宿机的对等实体直接通信，彼此之间就像有一条直接线路，而不管传输过程中要经过多少接口报文处理机（IMP）。与端-端对应的另一个概念是点-点。在点-点系统中，对等实体间的通信由一段一段的直接相连的机器间的通信组成）；5 网络层的作用是将数据分成一定长度的分组，将分组穿过通信子网从信源送到信宿；6 数据链路层的作用就是通过一定的手段，将有差错的物理链路转化成对网络层来

23、说是没有传输错误的数据链路；7 物理层的作用是在物理媒介上传输原始的数据比特流，这一层的设计同具体的物理媒介有关，如用什么信号表示“1”，用什么信号表示“0”，信号电平多少，收发双方如何同步。由以上几点可知，只有最低三层涉及通过通信子网的数据传输，高三层是端到端的层次，因而通信子网只包括第三层的功能。从实际的观点出发，OSI分层可以按照以下几点来考虑：1 依赖于应用的协议；2与特定媒体相关的协议；3 在1与2之间的桥接功能。（二）TCP/IP参考模型TCP/IP参考模型没有明确区分开服务、接口和协议这三个概念，并且它是专门用来描述TCP/IP协议栈的，无法用来描述其它非TCP/IP网络。因此，

24、尽管TCP/IP模型在工业上得到了广泛的应用，但人们在讨论网络时常常使用OSI参考模型，因为它更具有一般性。TCP/IP草靠模型分为四层，它们是应用层、传输层、网络互联层和网络接口层，参见图2.3。各层功能如下：图2.3 TCP/IP参考模型1 应用层将OSI的高层-应用层、表示层和会话层的功能结合了起来，常见的协议有文件传输协(FTP)、远程终端协议(TELNET)、简单电子传输协议(SMTP)、域名系统(DNS)、简单网络管理协议(SNMP)、访问WWW站点的HTTP等；2 传输层在功能上等价于OSI的传输层。在这一层上主要定义了两个传输协议，一个是可靠的面向连接的协议，称为传输控制协议(

25、TCP)，另一个是不可靠的无连接协议，称为用户数据报协议(UDP)；3 网络互联层在功能上等价与OSI网络层中与子网无关的部分。网络互联层是TCP/IP参考模型的核心，这一层上的协议称为IP。TCP和IP是非常重要的两个协议，以至于TCP/IP参考模型和TCP/IP协议族就以这两个的名称来命名；4网络接口层在功能上等价于OSI的子网络技术功能层。它包括OSI模型中的网络层中与子网有关的下部子层、数据链路层和物理层。负责将IP分组封装成适合在物理网络上传输的帧格式并传输，或将从物理网络接收到的帧解封，取出IP分组交给网络互联层。第二节 网络安全模型消息将通过某种类型的互联网从一方传输到另一方。这

26、两方都是事务的主体，必须合作以便进行消息交换。可以通过在互联网上定义一条从信息源到信息目的地之间的路由以及两个信息主体之间使用的某种通信协议(例如，TCP/IP)，来建立一条逻辑信息通道。如图2.4所示6：当需要或者希望防可能对信息性、真实性等产生威胁的攻击者的时候，安全方面的因素便会起作用。所有用于提供安全性的技术都包含以下两个主要部分：第一 对待发送信息进行与安全相关的转换。其示例包括：消息加密，使得对于攻击者而言该消息不可读；建立在消息容上面的附加码，它可以用来验证发送者的身份。第二 两个主体共享一些不希望被攻击者所知的秘密信息。其示例包括与消息变化一起使用的加密密钥，它在传输之前用于打

27、乱消息而在接收之后用于恢复消息。图2.4 网络安全模型为了达到安全传输可能需要可信的第三方。例如，第三方可能需要负责分发秘密信息给两个主体，同时对攻击者隐藏这些信息。通用模型表明设计特定的安全服务时有四个基本的任务：第一 设计用来执行与安全相关的转换的算法，这种算法应该是不会被攻击者击破的。第二 生成用于该算法的秘密信息。第三 开发分发和共享秘密信息的方法。第四 指定一种能被两个主体使用的协议，这种协议使用安全算法和秘密信息以便获得特定的安全服务。另一种有害访问是利用计算机系统逻辑上的弱点，这不仅能够影响应用程序，而且还能够影响实用程序，例如编辑器和编译器。程序存在两种形式的威胁：第一，信息访

28、问威胁：本不该访问某些数据用户截取或修改数据。第二，服务威胁：利用计算机的服务缺陷阻止合法用户的使用。病毒和蠕虫是软件攻击的两个具体示例。由于磁盘的有用软件可能隐藏着有害逻辑，因此可以通过这些磁盘小系统引入这种攻击。他们同样可以通过网络进入到系统中；后一种机制在网络安全中更受关注。解决有害访问的安全机制主要有两大畴。第一类畴是看门人功能，如图2.5所示。它包含基于口令的登录过程，它们设计成拒绝除授权用户外的所有访问，另一类安全机制是屏蔽逻辑，它们设计用来检测和拒绝蠕虫、病毒以及其他类似的攻击。一旦任意一个有害的用户或者有害的软件获得访问权，第二道防线包含各种检测活动的部控制，能够检视和分析存储

29、的信息，以此来检测有害入侵者的存在。图2.5 网络访问安全模型第三节 局域网安全防措施一 防火墙系统（一）防火墙概述防火墙是一种用来增强部网络安全性的系统，它将网络隔离为部网和外部网，从某种程度上来说，防火墙是位于部网和外部网之间的桥梁和检查站，它一般由一台和多台计算机构成，它对部网和外部网的数据流量进行分析、检测、管理和控制，通过对数据的筛选和过滤，来防止未授权的访问进出部计算机网，从而达到保护部网资源和信息的目的。防火墙是指设置在不同网络（如可信任的企业部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制(允许、拒

30、绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了部网和Internet之间的任何活动，保证了部网络的安全。（二）防火墙的体系结构1 双重宿主主机体系结构双重宿主主机体系结构围绕双重宿主主机构筑。双重宿主主机至少有两个网络接口。这样的主机可以充当与这些接口相连的网络之间的路由器，它能够从一个网络到另外一个网络发送IP数据包。然而双重宿主主机的防火墙体系结构禁止这种发送。因此IP数据包并不是从一个网络（如外部网络）直接发送到另一个网络（如部网络）。外部网络能与双重宿主主

31、机通信，部网络也能与双重宿主主机通信。但是外部网络与部网络不能直接通信，它们之间的通信必须经过双重宿主主机的过滤和控制。2 被屏蔽主机体系结构双重宿主主机体系结构防火墙没有使用路由器。而被屏蔽主机体系结构防火墙则使用一个路由器把部网络和外部网络隔离开。在这种体系结构中，主要的安全由数据包过滤提供（例如，数据包过滤用于防止人们绕过代理服务器直接相连）。这种体系结构涉及到堡垒主机。堡垒主机是因特网上的主机能连接到的唯一的部网络上的系统。任何外部的系统要访问部的系统或服务都必须先连接到这台主机。因此堡垒主机要保持更高等级的主机安全。数据包过滤容许堡垒主机开放可允许的连接（什么是可允许连接将由你的站点的特殊的安全策略决定）到外部世界。3 被屏蔽子网体系结构被屏蔽子网体系结构添加额外的安全层到被屏蔽主机体系结构，即通过添加周边网络更进一步的把部网络和外部网络隔离开。被屏蔽子网体系结构的最简单的形式为，两个屏蔽路由器，每一个都连接到周边网。一个位于周边网与部网络之间，另一个位于周边网与外部网络之间。这样就在部网络与外部网络之间形成了一个“隔离带”。为了侵入用这种体系结构构筑的部网络，侵袭者必须通过两个路由器。即使侵袭者侵入堡垒主机，他将仍然必须通过部路由器。（三）防火墙的功能1 数据包过滤技术数据包过虑技术是在网络中的适当位置对数据包实施有选择的通过的