網路安全系統集成魯先志

Ⅰ 網路信息安全技術的目錄

第1章 網路安全
1.1 網路安全的基礎知識
1.1.1 網路安全的基本概念
1.1.2 網路安全的特徵
1.1.3 網路安全的目標
1.1.4 網路安全需求與安全機制
1.2 威脅網路安全的因素
1.2.1 網路的安全威脅
1.2.2 網路安全的問題及原因
1.3 網路安全防護體系
1.3.1 網路安全策略
1.3.2 網路安全體系
1.4 網路安全的評估標准
1.4.1 可信任計算機標准評估准則簡介
1.4.2 國際安全標准簡介
1.4.3 我國安全標准簡介
習題
第2章 密碼技術基礎
2.1 密碼技術的基本概念
2.2 古典加密技術
2.2.1 置換密碼
2.2.2 代換密碼
2.3 現代加密技術
習題
第3章 密鑰管理技術
3.1 密鑰的管理內容
3.2 密鑰的分配技術
3.2.1 密鑰分配實現的基本方法
3.2.2 密鑰分配實現的基本工具
3.2.3 密鑰分配系統實現的基本模式
3.2.4 密鑰的驗證
3.3 公鑰密碼
3.3.1 公鑰密碼體制的基本概念
3.3.2 公鑰密碼體制的原理
3.4 RSA演算法
3.4.1 RSA演算法描述
3.4.2 RSA演算法中的計算問題
3.4.3 RSA演算法的安全性
3.4.4 RSA的實用性及數字簽名
3.4.5 RSA演算法和DES演算法
3.5 橢圓曲線密碼體制
3.5.1 橢圓曲線
3.5.2 有限域上的橢圓曲線
3.5.3 橢圓曲線上的密碼
習題
第4章 數字簽名和認證技術
4.1 數字簽名的基本概念
4.1.1 數字簽名概念
4.1.2 數字簽名技術應滿足的要求
4.1.3 直接方式的數字簽名技術
4.1.4 具有仲裁方式的數字簽名技術
4.1.5 利用公鑰實現數字簽名技術原理
4.1.6 其它數字簽名技術
4.2 認證及身份驗證技術
4.2.1 相互認證技術
4.2.2 單向認證技術
4.2.3 身份驗證技術
4.2.4 身份認證系統實例——Kerberos系統
4.3 數字簽名標准及數字簽名演算法
4.3.1 數字簽名演算法DSS
4.3.2 數字簽名演算法DSA
4.3.3 數字簽名演算法HASH
4.3.4 數字簽名演算法RSA
4.4 其它數字簽名體制
4.4.1 基於離散對數問題的數字簽名體制
4.4.2 基於大數分解問題的簽名體制
4.5 數字證明技術
習題
第5章 網路入侵檢測原理與技術
5.1 黑客攻擊與防範技術
5.1.1 網路入侵及其原因
5.1.2 黑客攻擊策略
5.1.3 網路入侵的防範技術
5.2 入侵檢測原理
5.2.1 入侵檢測概念
5.2.2 入侵檢測模型
5.2.3 IDS在網路中的位置
5.3 入侵檢測方法
5.3.1 基於概率統計的檢測
5.3.2 基於神經網路的檢測
5.3.3 基於專家系統
5.3.4 基於模型推理的攻擊檢測技術
5.3.5 基於免疫的檢測
5.3.6 入侵檢測的新技術
5.3.7 其它相關問題
5.4 入侵檢測系統
5.4.1 入侵檢測系統的構成
5.4.2 入侵檢測系統的分類
5.4.3 入侵檢測系統的介紹
5.5 入侵檢測系統的測試評估
5.5.1 測試評估概述
5.5.2 測試評估的內容
5.5.3 測試評估標准
5.5.4 IDS測試評估現狀以及存在的問題
5.6 幾種常見的IDS系統
5.7 入侵檢測技術發展方向
習題
第6章 Internet的基礎設施安全
6.1 Internet安全概述
6.2 DNS的安全性
6.2.1 目前DNS存在的安全威脅
6.2.2 Windows下DNS欺騙
6.2.3 拒絕服務攻擊
6.3 安全協議IPSec
6.3.1 IP協議簡介
6.3.2 下一代IP-IPv6
6.3.3 IP安全協議IPSec的用途
6.3.4 IPSec的結構
6.4 電子郵件的安全性
6.4.1 PGP
6.4.2 S/MIME
6.5 Web的安全性
……
第7章 防火牆技術
第8章 電子商務的安全技術及應用
第9章 包過濾技術原理及應用
第10章 代理服務技術原理及應用
第11章 信息隱藏技術
附錄A 《中華人民共和國計算機信息網路國際聯網管理暫行辦法》 251
附錄B 《中華人民共和國計算機信息網路國際聯網安全保護管理辦法》 253
附錄C 《中華人民共和國計算機信息系統安全保護條例》

Ⅱ 基於安全策略的企業網路設計的探討

目前,網路安全的技術主要包括防火牆技術、加密技術、身份驗證、存取控制、殺毒軟體、數據的完整性控制和安全協議等內容。針對校園網來說,存在較大的成本投入問題,不可能將所有的安全技術應用到網路中,在網路規劃階段可以針對最主要的安全問題進行設計防範。在網路設計階段可以採取防火牆技術、VLAN技術、殺毒軟體、網站過濾技術等。

樓主可以就上述技術在網路規劃設計階段如何進行設計進行探討。

以下參考！！！！！！！！！！！！

引言
信息技術日新月異的今天，網路技術發展迅猛，信息傳輸已經不僅僅局限於單純文本數據，數字數據
的傳輸，隨之而來的是視頻，音頻等多媒體技術的廣泛運用。隨著技術的發展，網路設備性能和傳輸介質容量有了極大的提高，但是由於用戶需求的日益提高，網路環境的日益復雜，使得網路規劃成為一項越發困難的課題，作為校園園區網的規劃成敗與否，將直接影響到學校教育網路系統性能的高低，從而影響教學進程和教學效果，下面主要對校園園區網的規劃思想進行探討。

1． 校園園區網規劃介紹
校園園區網規劃是校園網進行工程組網的前期准備工作，它的內容涉及到整項網路工程的重要步驟，是網路設計的核心與靈魂，校園園區網優良的長遠規劃和最佳的實現選擇是校園網長期高效能運營的基礎。目前，校園園區網中技術應用主要為輔助管理，教學科研，internet信息服務，以及網路技術探索應用四大類，由於總體的規劃所涉及到的技術因數繁多，因而校園園區網規劃應當實地考察，調研，通過反復論證，結合當今技術及發展方向，提出總體規劃設想，規劃既要適應當前的應用，又要反映未來需求，規劃應當考慮經濟，環境，人文，資源等多方面因素，以合理需求為原則。

2． 校園園區網規劃實施計劃
2．1 了解用戶，收集信息
網路規劃的目的在於收集一線信息的基礎上給出合理可行的設計方案，如戰場指揮，運籌帷幄，決
勝千里，其關鍵之處在於廣泛收集信息，全面合理的規劃校園園區網需認真考慮三點因素：
（1）學校歷史網路資源信息，當前網路規劃設計計劃，領先的技術方向，運營機制和管理辦法，滿足未來網路的高度擴展計劃及其特點
（2）了解學校校園網路的使用者分別是誰？他們各自的知識層次如何？以及他們對計算機的使用觀點和使用頻率如何？他們對當前的網路態度和看法如何？這一點將為日後培訓和安排多少人員進行網路的技術支持和維護起導向作用。
（3）明確網路規模：有哪些校區，哪些部門，多少網路用戶，哪些資源需要上網，採用什麼檔次的設備而又在資金預算范圍內，不同部門之間的信息流向問題，不同時刻網路流量及流量峰值問題，確定網路終端數量及位置，共享數據的存儲位置和哪些人要用這些數據等基本狀況等
（4）找出用戶與用戶，用戶與資源，資源與資源之間的內在關系，相關信息，這是校園網設計的前提和依據，是規劃的核心思想，作為一個龐大的校園網，如何使得設計的網路便於教學需求和管理應用，教學網與管理網各自安全運作，相互兼容，而又不矛盾？這一點尤為重要。
2．2 分析需求，提出網路設計原則
2．2．1 需求分析
教育行業有著自身的特殊性，校園園區網對整個網路性能要求相對較高，校園園區網組建需滿足對數字，語音，圖形圖象等多媒體技術的寬泛應用，以及綜合科研信息的傳輸和處理需求的綜合數字網，並能符合多種協議的要求，其體系應當符合國際標准（如TCP/IP協議，Novell IPX協議等），同時能兼容已有的網路環境，因此設計組網前，應對各方面需求總結歸納，做出細致分析：
（1）內部光纜主幹需求：規劃需分析綜合布線系統及其子系統，主配線間MDF與二及配線間IDF的位置，不同類別的伺服器位置等。
（2）應用管理需求：能夠讓管理人員從繁瑣的文字處理中徹底解脫出去，以計算機信息系統交流和日常事物，構建公文系統，日常辦公系統，檔案系統，電子郵件等功能，且需操作簡單，便於使用。滿足視頻點播，語音教學，多媒體課件等教學需求，具備基本的Internet訪問等。
（3）網路流量需求：要求校園園區網有足夠的網路吞吐量來滿足教學任務，保證信息的高質高效率傳輸，校園網流量涉及到，語音教學，多媒體課件，伺服器訪問，Web瀏覽，視頻點播等，對帶寬需求和時延性要求極高。
（4）網路安全需求：校園網路必須有完善的安全管理機制，能夠確保網路內部可靠運行，還要防止來自外部的和來自內部的非法訪問和入侵，保證關鍵資料庫的存儲安全
2．2．2 提出設計原則
（1）網路可靠性原則：
網路設計過程中網路拓撲應採用穩定可靠的形式，如：雙路由網路拓撲，環行網路結構。因為它們即可冗餘備份，安全性又可以得到保障，核心層交換可採用高端交換設備和光纖技術的主幹鏈路（TRUNK）來實現較高的容錯性，這樣就可以避免單點故障的出現，網路結構使用雙鏈路，雙核心交換設備，雙路由備份可靠措施，都可以使校園網可靠性和實用性得到大大的提高
（2）網路可擴展性原則：
校園園區網擴展性包含2層意思（一）：新的教學部門能簡單的接入現有網路 （二）：升級新技術的應用能夠無逢的在現有網路上運行
可見，規劃校園園區網路時不但要分析當前的技術指標，而且要對未來的網路增長情況做出估計和預算，以滿足新的需求，保證網路可靠性，從而保證校園正常的教學秩序
（3）網路實用性和可管理性原則：
校園園區網系統設計在性能價格比方面要體現系統的實用性，可採用先進的設備，但有要在資金允許的條件下實現建網的目標，校園園區網應基於簡單網路管理協議（SNMP），並支持管理信息庫（MIB），利用圖形化，可視化管理界面和操作方式，易於管理，這也正體現出了實用性原則，合理的網路規劃策略，可提供強大的管理
功能，能使管理一體化進行，這就便於日後的校園網更新與維護
（4）網路安全性原則
1.對物理層及網路拓撲結構，操作系統及應用軟體要求具備相應的安全檢測機制，邊界網關應該構築防火牆，安裝殺毒軟體，對網關路由器進行必要的安全性過濾，如訪問控制列表ACL配置，用戶身份認證，數據加密，密鑰等技術來實現校園園區網的安全化
2.採用靜態虛擬區域網技術（靜態VLAN）加強內網的管理，因為VLAN是基於邏輯劃分而非物理地理劃分，這就有效的控制了各個網段的相互訪問，從而保證了內網的安全性，同時VLAN又可抑制不必要的廣播，從而節約了帶寬，又便於管理
3.以TCP/IP四層網際模型為框架建立持續過程的網路安全性措施運行機制，做到維護網路，監測網路，測試網路，改進網路四位一體的網路持續性保衛工作，它是網路安全性管理的核心思想，如圖所示：

應用層

傳輸層

網際層
internet層

網路接入

圖（1）以TCP/IP模型構建持續性網路安全管理方式
3． 總結失敗項目，明確網路規劃的必要性
當前很多學校紛紛建立自己的校園網，但由於組網設計前期規劃工作做的不徹底，不扎實，使得校園
網發揮效益不大，巨大的投資沒有換來實實在在的成效收益。這一點在中小學校園網建設上體現的較為明顯，其原因主要三點：
（1）認識不到為
學校對校園網概念定義缺乏認識，帶有盲目性和自我偏見性，沒有明確建校園網的目的，不曉得校
園網到底起什麼樣的實質性作用。
（2）投資方案不合理
由於對校園園區網建設認識不正確，使得很多學校出現「重硬體，輕軟體」的現象，結果校園園區網建設成了基於硬體設備的校園網組網解決方案，是純粹的設備集合。而對建網後的維護極不重視，後期的管理投入所佔比例微乎其微，所以使得校園網不能很好的服務與教學和管理，甚至還會使整個網路趨於崩潰。
（3）缺乏有效的組織管理和實施手段
校園園區網的建設不僅僅涉及到技術問題，還會引起更深層次的變革，而學校在建設校園園區網時，認識不充分，在新技術，新思想面前不能及時轉變觀念，沒有行之有效的組織管理和實施手段。
基於上述三點指出：盲目的進行校園網建設，不採取合理的規劃，都會導致校園網建設失敗，一個成功的校園網規劃應當是集穩定開放的網路平台，量身定製的應用軟體，有效的組織實施方案三位於一體的的校園園區網建設過程。

4． 總結
校園園區網應順應時代教育思想的革命，在網路技術上具備響應的本質特徵，教育的一個基本特徵是打破時間和地域的限制，面向全體社會成員，這就要求規劃校園園區網路時必須站的高，看的遠，時刻明確思想定位和技術定位，本文主要探討了如何行之有效的規劃一個滿足教學，科研，管理全方面高效新型校園園區網，並指明規劃思想。總之，未來校園園區區域網的規劃目標，規劃方向應該是建成一個集IP服務，寬頻光傳輸且提供服務的運營級多功能網路

參考文獻：[1]王竹林等 . 校園網組網與管理<M> 清華大學出版社 . 2001出版
[2]思科網路技術教程（三. 四）學期 人民郵電出版社 2002出版
[3]http://www.net130.com.cn
[4]方東權 . 楊巋 . 校園網路安全與管理[J]. 網路安全與技術 2005第51期

Ⅲ 怎樣加強網路與信息安全標准化建設

加強信息安全建設的幾點認識
董振國
信息安全建設是電子政務建設不可缺少的重要組成部分。電子政務信息系統承載著大量事關國家政治安全、經濟安全、國防安全和社會穩定的數據和信息；網路與信息安全不僅關繫到電子政務的健康發展，而且已經成為國家安全保障體系的重要組成部分。缺乏安全保障的電子政務信息系統，不可能實現真正意義上的電子政務。
一、強化安全保密意識，高度重視信息安全，是確保政務網路信息系統安全運行的前提條件
目前，電子政務信息系統大都是採用開放式的操作系統和網路協議，存在著先天的安全隱患。網路攻擊、黑客入侵、病毒泛濫、系統故障、自然災害、網路竊密和內部人員違規操作等都對電子政務的安全構成極大威脅。因此，信息安全保障工作是一項關系國民經濟和社會信息化全局的長期性任務。
我們必須認真貫徹「一手抓電子政務建設，一手抓網路和信息安全」的精神和中辦發［2003］27號文件關於信息安全保障工作的總體要求，充分認識加強信息安全體系建設的重要性和緊迫性，高度重視網路和信息安全。這是做好信息安全保障工作的前提條件。「高度重視」首先要領導重視；只有領導重視才能把信息安全工作列入議事日程，放到重要的位置，才能及時協調解決信息安全工作所面臨的諸多難題。其次，要通過加強網路保密知識的普及教育，特別是對縣處級以上幹部進行網路安全知識培訓，大力強化公務員隊伍的安全保密意識，使網路信息安全宣傳教育工作不留死角，為網路信息系統安全運行創造條件。

二、加強法制建設，建立完善的制度規范，是做好信息安全保障工作的重要基礎
確保政務網路信息安全，必須加強信息安全法制建設和標准化建設，嚴格按照規章制度和工作規范辦事。俗話說，沒有規矩不成方圓，信息安全工作尤其如此。如果我們能夠堅持建立法制和標准，完善制度和規范並很好地執行，就會把不安全因素和失誤降到最低限度，使政務信息安全工作不斷登上新的台階。
為此，一要嚴格按照現行的法律法規規范網路行為，維護網路秩序，同時逐步建立和完善信息安全法律制度。要加強信息安全標准化工作，抓緊制定急需的信息安全和技術標准，形成與國際標准相銜接的具有中國特色的信息安全標准體系。
二要建立健全各項規章制度和日常工作規范。要根據網路和信息安全面臨的新情況、新問題，緊密聯系本單位信息安全保密工作的實際，本著「堵漏、補缺、管用」的原則，抓緊修訂、完善和新建信息安全工作的各項規章制度及操作規程，切實增強制度的科學性、有用性和可操作性，使信息安全工作有據可依、有章可循。
三要重視安全標准和規章制度的貫徹落實。有了制度，不能把它束之高閣。不按制度辦事，是造成工作失誤和安全隱患的重要原因。很多不安全因素和工作漏洞都是由於沒有按程序辦事所造成的。因此，要組織信息化工作人員反復學習有關制度和規范，使他們熟悉和掌握各項制度的基本內容，明白信息安全工作的規矩和方法，自覺用制度約束自己，規范工作。
四要建立完善對制度落實情況的監督檢查和激勵機制。工作程序、規章制度建立後，必須做到行必循之，把規章制度的每一條、每一款落到實處。執行制度主要靠自覺，但必須有嚴格的監督檢查。要通過監督檢查建立信息安全工作的激勵機制，把信息安全工作與年度考核評比及「爭先創優」工作緊密結合起來，激勵先進，鞭策後進，確保各項信息安全工作制度落到實處。各地、各部門要不定期地對本地和本系統的制度落實情況進行自查自糾，發現問題及早解決。

三、建立信息安全組織體系，落實安全管理責任制，是做好政務信息安全保障工作的關鍵
調查顯示，在實際的網路安全問題中，約有80%是由於管理問題造成的。因此，建立信息安全管理機構，加強組織協調，發揮其統籌規劃、科學管理、宏觀調控和決策的作用，強化信息安全管理，形成全方位的信息安全管理組織體系至關重要。
一方面，要逐步建立和完善信息安全組織體系。該體系應包括各地、各部門成立的保密工作領導小組；有本部門主管領導參加的政務網路與信息安全協調小組；聘請國內外安全專家組成的安全咨詢專家小組。根據建設和應用情況需要，還可建立相應的信息安全管理執行機構（如「政府安全中心」），負責整個政務信息系統中的安全保密工作，包括提供相關服務。
另一方面，要在健全信息安全組織體系的基礎上，切實落實安全管理責任制。明確各級、各部門行政一把手（或主管領導同志）作為信息安全保障工作的第一責任人；技術部門主管或項目負責人作為信息安全保障工作直接責任人，強化對網路管理人員和操作人員的管理。切實把好用人關，對關鍵崗位實行A、B角色管理；對網路管理人員和涉密操作人員要簽訂保密協議，明確保密職責，實行持證上崗制度。要培養一批具有信息安全管理經驗的復合人才，充實到關鍵崗位，為政務信息化把好安全關。

四、結合實際注重實效，正確處理信息安全「五大關系」，是確保信息安全投資效益的最佳選擇
在電子政務建設中，信息安全方面的投資往往涉及很大金額。各地、各部門應緊密結合自身實際，正確處理和把握與信息安全相關的「五大關系」，使有限的資金發揮出最大的社會效益。
1、要正確處理發展與安全的關系。發展與安全是信息安全關系中最基本、最重要的一對關系，由此可以派生出其他一些關系。發展與安全的關系是辯證統一、相輔相成的，其中發展是目的，安全是保證。二者關系處理得好，安全會有保障並能促進發展；處理不好，安全就會制約並牽制發展。正確處理發展與安全的關系就是要加快發展，確保安全。具體講，就是在加快發展過程中確保安全；在確保安全的條件下加快發展。這里要注意克服兩種傾向：一是過分強調發展而忽視安全；二是追求絕對安全而制約發展。為此，要堅持電子政務發展和網路信息安全「兩手抓」。要在電子政務建設和發展過程中不斷加強安全管理，完善安全措施，切實保障安全；同時要在適度安全、基本安全的前提下，培育業務需求，加大工作力度，促進電子政務事業加快發展。
2、處理好安全成本與效益的關系。成本與效益的關系是由信息安全基本關系派生出來的，二者的關系是對立統一、相反相成的。成本與效益的關系處理得好，安全成本就會下降同時效益提高；處理不好，安全成本就會上升同時效益下降。正確處理好安全成本與效益的關系，必須堅持綜合平衡。要根據中辦發［2003］27號文件中關於「信息化發展的不同階段和不同信息系統不同的安全需求，必須從實際出發，綜合平衡安全成本和風險，優化信息安全資源的配置，確保重點」的要求，一方面千方百計降低安全投入成本，另一方面努力提高安全措施的實際效果，確保滿足重點項目、重點部位的安全需求，使有限的安全保障資金充分發揮出良好的使用效益。
3、處理好信息安全與共享（信息公開和保密）的關系。這也是從信息安全基本關系中派生出來的。開放和發展需要信息資源共享，而網路互聯為信息共享提供了條件。但信息公開和信息保護是一對不可迴避的矛盾。推進信息化建設既要強調資源共享，還要保證信息安全。我們應立足於電子政務建設的大系統，整體地、動態地看待信息安全與資源共享問題，用發展的眼光和辯證的觀點去處理問題。在這對矛盾中，目前資源共享是矛盾的主要方面。當前我國各地方、各行業的信息資源建設普遍存在「數字鴻溝」、「信息孤島」現象。針對這種情況,我們在處理兩者之間關系時,應當緊緊圍繞矛盾的主要方面，在確保國家安全和尊重個人隱私的前提下，把當前工作的重點放在最大限度地促進信息資源共享方面，消除數字鴻溝和信息孤島，提高信息資源共享程度，使政務信息資源發揮更大的社會效益。
4、處理好安全管理與技術的關系。安全管理與技術的關系也是信息安全體系中的基本關系之一。在信息安全保障體系中，安全管理和安全技術是一個不可分割的統一體，是一個事物的兩個方面。管理離不開技術，技術離不開管理；兩者緊密相連、相互滲透、互為補充。因此，在信息安全工作中，我們要堅持管理和技術並重，做到管理手段和技術手段相結合，也就是在加強管理的前提下，採用先進的安全技術，在提升技術的基礎上強化管理。信息安全問題的解決需要技術手段，但又不能單純依賴技術。信息化的過程其實是人與技術相互融合的過程，如何使管理與技術相得益彰十分重要。在這方面，我們要同時注意防止和克服「重管理、輕技術」和「單純技術觀點」兩種傾向，既要高度重視信息安全技術的重要作用，又要避免陷入唯技術論的怪圈。從理論上看，不存在絕對安全的技術；技術固然重要，但管理更不容忽視。雖然「三分技術，七分管理」的說法不一定準確，但從另一個角度說明了安全管理工作的重要性。因此，我們應以業務為主導，從全局的高度部署安全策略，採用先進技術，加強安全管理，把採取安全技術手段與加強日常管理和健全體制機制緊密結合起來，堅持一手抓安全技術手段開發，一手抓安全規章制度的建立與完善，提高政務網路信息系統的安全性和可靠性。
5、處理好信息安全工作中應急事件處理與建立長效機制的關系。要保證政務網路與信息系統的「長治久安」，必須著手建立一套長期有效的安全機制。但信息安全問題在信息化進程中廣泛存在且突發性強，所以又必須強調和重視應急事件的處理。一旦出現影響到國家利益的網路安全與信息安全事件，必須能夠立即採取有效措施，控制危機的發展，把損失減少到最低限度。
為此，首先要建立和完善信息安全監控體系，及時發現和處置突發事件，提高對網路攻擊、病毒入侵、網路失竊密的防範能力，防治有害信息傳播，增強對政務網路和信息系統的監控、管理和保護。其次，要重視信息安全應急處理工作，建立健全應急管理協調機制、指揮調度機制和信息安全通報制度。要制定完善信息安全處置預案，加強信息安全應急支援服務隊伍建設，提高信息安全應急響應能力。