網路安全立法解決對策

❶ 計算機網路安全問題及防範措施

對計算機信息構成不安全的因素很多， 其中包括人為的因素、自然的因素和偶發的因素。其中，人為因素是指，一些不法之徒利用計算機網路存在的漏洞，或者潛入計算機房，盜用計算機系統資源，非法獲取重要數據、篡改系統數據、破壞硬體設備、編制計算機病毒。人為因素是對計算機信息網路安全威脅最大的因素，垃圾郵件和間諜軟體也都在侵犯著我們的計算機網路。計算機網路不安全因素主要表現在以下幾個方面：
1、 計算機網路的脆弱性
互聯網是對全世界都開放的網路，任何單位或個人都可以在網上方便地傳輸和獲取各種信息，互聯網這種具有開放性、共享性、國際性的特點就對計算機網路安全提出了挑戰。互聯網的不安全性主要有以下幾項：
(1)網路的開放性，網路的技術是全開放的，使得網路所面臨的攻擊來自多方面。或是來自物理傳輸線路的攻擊，或是來自對網路協議的攻擊，以及對計算機軟體、硬體的漏洞實施攻擊。
(2)網路的國際性，意味著對網路的攻擊不僅是來自於本地網路的用戶，還可以是互聯網上其他國家的黑客，所以，網路的安全面臨著國際化的挑戰。
(3)網路的自由性，大多數的網路對用戶的使用沒有技術上的約束，用戶可以自由地上網，發布和獲取各類信息。
2、操作系統存在的安全問題
操作系統是作為一個支撐軟體，使得你的程序或別的運用系統在上面正常運行的一個環境。操作系統提供了很多的管理功能，主要是管理系統的軟體資源和硬體資源。操作系統軟體自身的不安全性，系統開發設計的不周而留下的破綻，都給網路安全留下隱患。
(1)操作系統結構體系的缺陷。操作系統本身有內存管理、CPU 管理、外設的管理，每個管理都涉及到一些模塊或程序，如果在這些程序裡面存在問題，比如內存管理的問題，外部網路的一個連接過來，剛好連接一個有缺陷的模塊，可能出現的情況是，計算機系統會因此崩潰。所以，有些黑客往往是針對操作系統的不完善進行攻擊，使計算機系統，特別是伺服器系統立刻癱瘓。
(2)操作系統支持在網路上傳送文件、載入或安裝程序，包括可執行文件，這些功能也會帶來不安全因素。網路很重要的一個功能就是文件傳輸功能，比如FTP，這些安裝程序經常會帶一些可執行文件，這些可執行文件都是人為編寫的程序，如果某個地方出現漏洞，那麼系統可能就會造成崩潰。像這些遠程調用、文件傳輸，如果生產廠家或個人在上面安裝間諜程序，那麼用戶的整個傳輸過程、使用過程都會被別人監視到，所有的這些傳輸文件、載入的程序、安裝的程序、執行文件，都可能給操作系統帶來安全的隱患。所以，建議盡量少使用一些來歷不明，或者無法證明它的安全性的軟體。
(3)操作系統不安全的一個原因在於它可以創建進程，支持進程的遠程創建和激活，支持被創建的進程繼承創建的權利，這些機制提供了在遠端伺服器上安裝「間諜」軟體的條件。若將間諜軟體以打補丁的方式「打」在一個合法用戶上，特別是「打」在一個特權用戶上，黑客或間諜軟體就可以使系統進程與作業的監視程序監測不到它的存在。
(4)操作系統有些守護進程，它是系統的一些進程，總是在等待某些事件的出現。所謂守護進程，比如說用戶有沒按鍵盤或滑鼠，或者別的一些處理。一些監控病毒的監控軟體也是守護進程，這些進程可能是好的，比如防病毒程序，一有病毒出現就會被撲捉到。但是有些進程是一些病毒，一碰到特定的情況，比如碰到5月1日，它就會把用戶的硬碟格式化，這些進程就是很危險的守護進程，平時它可能不起作用，可是在某些條件發生，比如5月1日，它才發生作用，如果操作系統有些守護進程被人破壞掉就會出現這種不安全的情況。
(5)操作系統會提供一些遠程調用功能，所謂遠程調用就是一台計算機可以調用遠程一個大型伺服器裡面的一些程序，可以提交程序給遠程的伺服器執行，如telnet。遠程調用要經過很多的環節，中間的通訊環節可能會出現被人監控等安全的問題。
(6)操作系統的後門和漏洞。後門程序是指那些繞過安全控制而獲取對程序或系統訪問權的程序方法。在軟體開發階段，程序員利用軟體的後門程序得以便利修改程序設計中的不足。一旦後門被黑客利用，或在發布軟體前沒有刪除後門程序，容易被黑客當成漏洞進行攻擊，造成信息泄密和丟失。此外，操作系統的無口令的入口，也是信息安全的一大隱患。
(7)盡管操作系統的漏洞可以通過版本的不斷升級來克服， 但是系統的某一個安全漏洞就會使得系統的所有安全控制毫無價值。當發現問題到升級這段時間，一個小小的漏洞就足以使你的整個網路癱瘓掉。
3、資料庫存儲的內容存在的安全問題
資料庫管理系統大量的信息存儲在各種各樣的資料庫裡面，包括我們上網看到的所有信息，資料庫主要考慮的是信息方便存儲、利用和管理，但在安全方面考慮的比較少。例如：授權用戶超出了訪問許可權進行數據的更改活動；非法用戶繞過安全內核，竊取信息。對於資料庫的安全而言，就是要保證數據的安全可靠和正確有效，即確保數據的安全性、完整性。數據的安全性是防止資料庫被破壞和非法的存取；資料庫的完整性是防止資料庫中存在不符合語義的數據。
4 、防火牆的脆弱性
防火牆指的是一個由軟體和硬體設備組合而成、在內部網和外部網之間、專用網與網之間的界面上構造的保護屏障.它是一種硬體和軟體的結合，使Internet 與Intranet 之間建立起一個安全網關（Security Gateway），從而保護內部網免受非法用戶的侵入。
但防火牆只能提供網路的安全性，不能保證網路的絕對安全，它也難以防範網路內部的攻擊和病毒的侵犯。並不要指望防火牆靠自身就能夠給予計算機安全。防火牆保護你免受一類攻擊的威脅，但是卻不能防止從LAN 內部的攻擊，若是內部的人和外部的人聯合起來，即使防火牆再強，也是沒有優勢的。它甚至不能保護你免受所有那些它能檢測到的攻擊。隨著技術的發展，還有一些破解的方法也使得防火牆造成一定隱患。這就是防火牆的局限性。
5、其他方面的因素
計算機系統硬體和通訊設施極易遭受到自然的影響，如：各種自然災害（如地震、泥石流、水災、風暴、物破壞等）對構成威脅。還有一些偶發性因素，如電源故障、設備的機能失常、軟體開發過程中留下的某些漏洞等，也對計算機網路構成嚴重威脅。此外不好、規章制度不健全、安全管理水平較低、操作失誤、瀆職行為等都會對計算機信息安全造成威脅。

計算機網路安全的對策，可以從一下幾個方面進行防護：
1、 技術層面對策
對於技術方面，計算機網路安全技術主要有實時掃描技術、實時監測技術、防火牆、完整性保護技術、病毒情況分析報告技術和系統安全管理技術。綜合起來，技術層面可以採取以下對策：
(1)建立安全管理制度。提高包括系統管理員和用戶在內的人員的技術素質和職業修養。對重要部門和信息，嚴格做好開機查毒，及時備份數據，這是一種簡單有效的方法。
(2)網路訪問控制。訪問控制是網路安全防範和保護的主要策略。它的主要任務是保證網路資源不被非法使用和訪問。它是保證網路安全最重要的核心策略之一。訪問控制涉及的技術比較廣，包括入網訪問控制、網路許可權控制、目錄級控制以及屬性控制等多種手段。
(3)資料庫的備份與恢復。資料庫的備份與恢復是資料庫管理員維護數據安全性和完整性的重要操作。備份是恢復資料庫最容易和最能防止意外的保證方法。恢復是在意外發生後利用備份來恢復數據的操作。有三種主要備份策略：只備份資料庫、備份資料庫和事務日誌、增量備份。
(4)應用密碼技術。應用密碼技術是信息安全核心技術，密碼手段為信息安全提供了可靠保證。基於密碼的數字簽名和身份認證是當前保證信息完整性的最主要方法之一，密碼技術主要包括古典密碼體制、單鑰密碼體制、公鑰密碼體制、數字簽名以及密鑰管理。
(5)切斷途徑。對被感染的硬碟和計算機進行徹底殺毒處理，不使用來歷不明的U 盤和程序，不隨意下載網路可疑信息。
(6)提高網路反病毒技術能力。通過安裝病毒防火牆，進行實時過濾。對網路伺服器中的文件進行頻繁掃描和監測，在工作站上採用防病毒卡，加強網路目錄和文件訪問許可權的設置。在網路中，限制只能由伺服器才允許執行的文件。
(7)研發並完善高安全的操作系統。研發具有高安全的操作系統，不給病毒得以滋生的溫床才能更安全。
2、管理層面對策
計算機網路的安全管理，不僅要看所採用的安全技術和防範措施，而且要看它所採取的管理措施和執行計算機安全保護、法規的力度。只有將兩者緊密結合，才能使計算機網路安全確實有效。
計算機網路的安全管理，包括對計算機用戶的安全、建立相應的安全管理機構、不斷完善和加強計算機的管理功能、加強計算機及網路的立法和執法力度等方面。加強計算機安全管理、加強用戶的法律、法規和道德觀念，提高計算機用戶的安全意識，對防止計算機犯罪、抵制黑客攻擊和防止計算機病毒干擾，是十分重要的措施。
這就要對計算機用戶不斷進行法制教育，包括計算機安全法、計算機犯罪法、保密法、數據保護法等，明確計算機用戶和系統管理人員應履行的權利和義務，自覺遵守合法信息系統原則、合法用戶原則、信息公開原則、信息利用原則和資源限制原則，自覺地和一切違法犯罪的行為作斗爭，維護計算機及網路系統的安全，維護信息系統的安全。除此之外，還應教育計算機用戶和全體工作人員，應自覺遵守為維護系統安全而建立的一切規章制度，包括人員管理制度、運行維護和管理制度、計算機處理的控制和管理制度、各種資料管理制度、機房保衛管理制度、專機專用和嚴格分工等管理制度。
3、安全層面對策
要保證計算機網路系統的安全、可靠，必須保證系統實體有個安全的物理環境條件。這個安全的環境是指機房及其設施，主要包括以下內容：
(1)計算機系統的環境條件。計算機系統的安全環境條件，包括溫度、濕度、空氣潔凈度、腐蝕度、蟲害、振動和沖擊、電氣干擾等方面，都要有具體的要求和嚴格的標准。
(2)機房場地環境的選擇。計算機系統選擇一個合適的安裝場所十分重要。它直接影響到系統的安全性和可靠性。選擇計算機房場地，要注意其外部環境安全性、可靠性、場地抗電磁干擾性，避開強振動源和強雜訊源，並避免設在建築物高層和用水設備的下層或隔壁。還要注意出入口的管理。
(3)機房的安全防護。機房的安全防護是針對環境的物理災害和防止未授權的個人或團體破壞、篡改或盜竊網路設施、重要數據而採取的安全措施和對策。為做到區域安全，首先，應考慮物理訪問控制來識別訪問用戶的身份，並對其合法性進行驗證；其次，對來訪者必須限定其活動范圍；第三，要在計算機系統中心設備外設多層安全防護圈，以防止非法暴力入侵；第四設備所在的建築物應具有抵禦各種自然災害的設施。

❷ 網路安全技術的安全對策

電子商務的一個重要技術特徵是利用計算機技術來傳輸和處理商業信息。因此，電子商務安全問題的對策從整體上可分為計算機網路安全措施和商務交易安全措施兩大部分。
1．計算機網路安全措施
計算機網路安全措施主要包括保護網路安全、保護應用服務安全和保護系統安全三個方面，各個方面都要結合考慮安全防護的物理安全、防火牆、信息安全、Web安全、媒體安全等等。
（一）保護網路安全。
網路安全是為保護商務各方網路端系統之間通信過程的安全性。保證機密性、完整性、認證性和訪問控制性是網路安全的重要因素。保護網路安全的主要措施如下：
（1）全面規劃網路平台的安全策略。
（2）制定網路安全的管理措施。
（3）使用防火牆。
（4）盡可能記錄網路上的一切活動。
（5）注意對網路設備的物理保護。
（6）檢驗網路平台系統的脆弱性。
（7）建立可靠的識別和鑒別機制。
（二）保護應用安全。
保護應用安全，主要是針對特定應用（如Web伺服器、網路支付專用軟體系統）所建立的安全防護措施，它獨立於網路的任何其他安全防護措施。雖然有些防護措施可能是網路安全業務的一種替代或重疊，如Web瀏覽器和Web伺服器在應用層上對網路支付結算信息包的加密，都通過IP層加密，但是許多應用還有自己的特定安全要求。
由於電子商務中的應用層對安全的要求最嚴格、最復雜，因此更傾向於在應用層而不是在網路層採取各種安全措施。
雖然網路層上的安全仍有其特定地位，但是人們不能完全依靠它來解決電子商務應用的安全性。應用層上的安全業務可以涉及認證、訪問控制、機密性、數據完整性、不可否認性、Web安全性、EDI和網路支付等應用的安全性。
（三）保護系統安全。
保護系統安全，是指從整體電子商務系統或網路支付系統的角度進行安全防護，它與網路系統硬體平台、操作系統、各種應用軟體等互相關聯。涉及網路支付結算的系統安全包含下述一些措施：
（1）在安裝的軟體中，如瀏覽器軟體、電子錢包軟體、支付網關軟體等，檢查和確認未知的安全漏洞。
（2）技術與管理相結合，使系統具有最小穿透風險性。如通過諸多認證才允許連通，對所有接入數據必須進行審計，對系統用戶進行嚴格安全管理。
（3）建立詳細的安全審計日誌，以便檢測並跟蹤入侵攻擊等。
2．商務交易安全措施
商務交易安全則緊緊圍繞傳統商務在互聯網路上應用時產生的各種安全問題，在計算機網路安全的基礎上，如何保障電子商務過程的順利進行。
各種商務交易安全服務都是通過安全技術來實現的，主要包括加密技術、認證技術和電子商務安全協議等。
（一）加密技術。
加密技術是電子商務採取的基本安全措施，交易雙方可根據需要在信息交換的階段使用。加密技術分為兩類，即對稱加密和非對稱加密。
（1）對稱加密。
對稱加密又稱私鑰加密，即信息的發送方和接收方用同一個密鑰去加密和解密數據。它的最大優勢是加/解密速度快，適合於對大數據量進行加密，但密鑰管理困難。如果進行通信的雙方能夠確保專用密鑰在密鑰交換階段未曾泄露，那麼機密性和報文完整性就可以通過這種加密方法加密機密信息、隨報文一起發送報文摘要或報文散列值來實現。
（2）非對稱加密。
非對稱加密又稱公鑰加密，使用一對密鑰來分別完成加密和解密操作，其中一個公開發布（即公鑰），另一個由用戶自己秘密保存（即私鑰）。信息交換的過程是：甲方生成一對密鑰並將其中的一把作為公鑰向其他交易方公開，得到該公鑰的乙方使用該密鑰對信息進行加密後再發送給甲方，甲方再用自己保存的私鑰對加密信息進行解密。
（二）認證技術。
認證技術是用電子手段證明發送者和接收者身份及其文件完整性的技術，即確認雙方的身份信息在傳送或存儲過程中未被篡改過。
（1）數字簽名。
數字簽名也稱電子簽名，如同出示手寫簽名一樣，能起到電子文件認證、核准和生效的作用。其實現方式是把散列函數和公開密鑰演算法結合起來，發送方從報文文本中生成一個散列值，並用自己的私鑰對這個散列值進行加密，形成發送方的數字簽名；然後，將這個數字簽名作為報文的附件和報文一起發送給報文的接收方；報文的接收方首先從接收到的原始報文中計算出散列值，接著再用發送方的公開密鑰來對報文附加的數字簽名進行解密；如果這兩個散列值相同，那麼接收方就能確認該數字簽名是發送方的。數字簽名機制提供了一種鑒別方法，以解決偽造、抵賴、冒充、篡改等問題。
（2）數字證書。
數字證書是一個經證書授權中心數字簽名的包含公鑰擁有者信息以及公鑰的文件數字證書的最主要構成包括一個用戶公鑰，加上密鑰所有者的用戶身份標識符，以及被信任的第三方簽名第三方一般是用戶信任的證書權威機構（CA），如政府部門和金融機構。用戶以安全的方式向公鑰證書權威機構提交他的公鑰並得到證書，然後用戶就可以公開這個證書。任何需要用戶公鑰的人都可以得到此證書，並通過相關的信任簽名來驗證公鑰的有效性。數字證書通過標志交易各方身份信息的一系列數據，提供了一種驗證各自身份的方式，用戶可以用它來識別對方的身份。
（三）電子商務的安全協議。
除上文提到的各種安全技術之外，電子商務的運行還有一套完整的安全協議。比較成熟的協議有SET、SSL等。
（1）安全套接層協議SSL。
SSL協議位於傳輸層和應用層之間，由SSL記錄協議、SSL握手協議和SSL警報協議組成的。SSL握手協議被用來在客戶與伺服器真正傳輸應用層數據之前建立安全機制。當客戶與伺服器第一次通信時，雙方通過握手協議在版本號、密鑰交換演算法、數據加密演算法和Hash演算法上達成一致，然後互相驗證對方身份，最後使用協商好的密鑰交換演算法產生一個只有雙方知道的秘密信息，客戶和伺服器各自根據此秘密信息產生數據加密演算法和Hash演算法參數。SSL記錄協議根據SSL握手協議協商的參數，對應用層送來的數據進行加密、壓縮、計算消息鑒別碼MAC，然後經網路傳輸層發送給對方。SSL警報協議用來在客戶和伺服器之間傳遞SSL出錯信息。
（2）安全電子交易協議SET。
SET協議用於劃分與界定電子商務活動中消費者、網上商家、交易雙方銀行、信用卡組織之間的權利義務關系，給定交易信息傳送流程標准。SET主要由三個文件組成，分別是SET業務描述、SET程序員指南和SET協議描述。SET協議保證了電子商務系統的機密性、數據的完整性、身份的合法性。
SET協議是專為電子商務系統設計的。它位於應用層，其認證體系十分完善，能實現多方認證。在SET的實現中，消費者帳戶信息對商家來說是保密的。但是SET協議十分復雜，交易數據需進行多次驗證，用到多個密鑰以及多次加密解密。而且在SET協議中除消費者與商家外，還有發卡行、收單行、認證中心、支付網關等其它參與者。

❸ 網路安全風險與對策

網路安全風險與對策【1】

摘要：要使網路信息在一個良好的環境中運行，加強網路信息安全至關重要。

必須全方位解析網路的脆弱性和威脅，才能構建網路的安全措施，確保網路安全。

本文在介紹網路安全的脆弱性與威脅的基礎上，簡述了網路安全的技術對策。

關鍵詞：網路安全 脆弱性 威脅 技術對策

一、網路安全的脆弱性

計算機網路尤其是互連網路，由於網路分布的廣域性、網路體系結構的開放性、信息資源的共享性和通信信道的共用性，使計算機網路存在很多嚴重的脆弱性。

1.不設防的網路有許多個漏洞和後門

系統漏洞為病毒留後門，計算機的多個埠、各種軟體，甚至有些安全產品都存在著或多或少的漏洞和後門，安全得不到可靠保證。

2.電磁輻射

電磁輻射在網路中表現出兩方面的脆弱性：一方面，網路周圍電子電氣設備產生的電磁輻射和試圖破壞數據傳輸而預謀的干擾輻射源;另一方面，網路的終端、列印機或其他電子設備在工作時產生的電磁輻射泄露，可以將這些數據(包括在終端屏幕上顯示的數據)接收下來，並且重新恢復。

4.串音干擾

串音的作用是產生傳輸噪音，噪音能對網路上傳輸的信號造成嚴重的破壞。

5.硬體故障

硬體故障可造成軟體系統中斷和通信中斷，帶來重大損害。

6.軟體故障

通信網路軟體包含有大量的管理系統安全的部分，如果這些軟體程序受到損害，則該系統就是一個極不安全的網路系統。

7.人為因素

系統內部人員盜竊機密數據或破壞系統資源，甚至直接破壞網路系統。

8.網路規模

網路規模越大，其安全的脆弱性越大。

9.網路物理環境

這種脆弱性來源於自然災害。

10.通信系統

一般的通信系統，獲得存取權是相對簡單的，並且機會總是存在的。

一旦信息從生成和存儲的設備發送出去，它將成為對方分析研究的內容。

二、網路安全的威脅

網路所面臨的威脅大體可分為兩種：一是對網路中信息的威脅;二是對網路中設備的威脅。

造成這兩種威脅的因有很多：有人為和非人為的、惡意的和非惡意的、內部攻擊和外部攻擊等，歸結起來，主要有三種：

1.人為的無意失誤

如操作員安全配置不當造成的安全漏洞，用戶安全意識不強，用戶口令選擇不慎，用戶將自己的賬號隨意轉借他人或與別人共享等都會對網路安全帶來威脅。

2.人為的惡意攻擊

這是計算機網路所面臨的最大威脅，黑客的攻擊和計算機犯罪就屬於這一類。

此類攻擊又分為以下兩種：一種是主動攻擊，它是以各種方式有選擇地破壞信息的有效性和完整性;另一類是被動攻擊，它是在不影響網路正常工作的情況下，進行截獲、竊取、破譯以獲得重要機密信息。

這兩種攻擊均可對計算機網路造成極大的危害，並導致機密數據的泄漏。

3.網路軟體的漏洞和後門

網路軟體不可能是百分之百的`無缺陷和漏洞的。

然而，這些漏洞和缺陷恰恰是黑客進行攻擊的首選目標，黑客攻入網路內部就是因為安全措施不完善所招致的苦果。

另外，軟體的後門都是軟體公司的設計編程人員為了自便而設置的，一般不為外人所知，但一旦後門洞開，其造成的後果將不堪設想。

三、網路安全的技術對策

一個不設防的網路，一旦遭到惡意攻擊，將意味著一場災難。

居安思危、未雨綢繆，克服脆弱、抑制威脅，防患於未然。

網路安全是對付威脅、克服脆弱性、保護網路資源的所有措施的總和。

針對來自不同方面的安全威脅，需要採取不同的安全對策。

從法律、制度、管理和技術上採取綜合措施，以便相互補充，達到較好的安全效果。

技術措施是最直接的屏障，目前常用而有效的網路安全技術對策有如下幾種：

1.加密

加密的主要目的是防止信息的非授權泄露。

網路加密常用的方法有鏈路加密、端點加密和節點加密三種。

鏈路加密的目的是保護網路節點之間的鏈路信息安全;端點加密的目的是對源端用戶到目的端用戶的數據提供保護;節點加密的目的是對源節點到目的節點之間的傳輸鏈路提供保護。

信息加密過程是由形形色色的加密演算法來具體實施的，加密演算法有許多種，如果按照收發雙方密鑰是否相同來分類，可分為常規密碼演算法和公鑰密碼演算法，但在實際應用中人們通常將常規密碼演算法和公鑰密碼演算法結合在一起使用，這樣不僅可以實現加密，還可以實現數字簽名、鑒別等功能，有效地對抗截收、非法訪問、破壞信息的完整性、冒充、抵賴、重演等威脅。

因此，密碼技術是信息網路安全的核心技術。

2.數字簽名

數字簽名機制提供了一種鑒別方法，以解決偽造、抵賴、冒充和篡改等安全問題。

數字簽名採用一種數據交換協議，使得收發數據的雙方能夠滿足兩個條件：接受方能夠鑒別發送方宣稱的身份;發送方以後不能否認他發送過數據這一事實。

數據簽名一般採用不對稱加密技術，發送方對整個明文進行加密變換，得到一個值，將其作為簽名。

接收者使用發送者的公開密鑰簽名進行解密運算，如其結果為明文，則簽名有效，證明對方省份是真實的。

3.鑒別

鑒別的目的是驗明用戶或信息的正身。

對實體聲稱的身份進行唯一地識別，以便驗證其訪問請求、或保證信息來自或到達指定的源目的。

鑒別技術可以驗證消息的完整性，有效地對抗冒充、非法訪問、重演等威脅。

按照鑒別對象的不同，鑒別技術可以分為消息源鑒別和通信雙方相互鑒別。

鑒別的方法很多;利用鑒別碼驗證消息的完整性;利用通行字、密鑰、訪問控制機制等鑒別用戶身份，防治冒充、非法訪問;當今最佳的鑒別方法是數字簽名。

利用單方數字簽名，可實現消息源鑒別，訪問身份鑒別、消息完整性鑒別。

4.訪問控制

訪問控制是網路安全防範和保護的主要對策，它的目的是防止非法訪問，訪問控制是採取各種措施保證系統資源不被非法訪問和使用。

一般採用基於資源的集中式控制、基於源和目的地址的過濾管理、以及網路簽證技術等技術實現。

5.防火牆

防火牆技術是建立在現代通信網路技術和信息安全技術基礎上的應用性安全技術，越來越多地應用於專用網路與公用網路的互連環境中。

在大型網路系統與網際網路互連的第一道屏障就是防火牆。

防火牆通過控制和監測網路之間的信息交換和訪問行為來實現對網路安全的有效管理，其基本功能為：過濾進、出網路的數據;管理進出網路的訪問行為：封堵某些禁止行為;記錄通過防火牆的信息內容和活動;對網路攻擊進行檢測和和告警。

隨著計算機技術和通信技術的發展，計算機網路將日益成為工業、農業和國防等方面的重要信息交換手段，滲透到社會生活的各個領域。

因此，認清網路的脆弱性和潛在威脅，採取強有力的安全對策，對於保障網路的安全性將變得十分重要。

參考文獻：

[1]張世永.網路安全原理與應用.北京：科學出版社，2003.

[2]崔國平.國防信息安全戰略.北京：金城出版社，2000.

網路安全風險評估的模擬與應用【2】

摘 要 伴隨著互聯網的普及和應用，網路安全問題日益突出，在採用防火牆技術、入侵檢測和防禦技術、代理技術、信息加密技術、物理防範技術等一系列網路安全防範技術的同時，人們開始採用網路安全風險評估的方法輔助解決網路安全問題。

為提高網路安全風險評估准確率，本文提出了一種基於支持向量機的評價模型，通過模擬分析，得出採用該模型進行網路安全風險評估具有一定可行性，值得應用。

關鍵詞 網路安全 安全風險評估 模擬

當今時代是信息化時代，計算機網路應用已經深入到了社會各個領域，給人們的工作和生活帶來了空前便利。

然而與此同時，網路安全問題也日益突出，如何通過一系列切實有效的安全技術和策略保證網路運行安全已成為我們面臨的重要課題。

網路安全風險評估技術很早前就受到了信息安全領域的關注，但發展至今，該技術尚需要依賴人員能力和經驗，缺乏自主性和實效性，評價准確率較低。

本文主要以支持向量機為基礎，構建一個網路安全風險評估模型，將定性分析與定量分析相結合，通過綜合數值化分析方法對網路安全風險進行全面評價，以期為網路安全管理提供依據。

1網路安全風險評估模型的構建

網路安全風險模型質量好壞直接影響評估結果，本文主要基於支持向量機，結合具有良好泛化能力和學習能力的組合核函數，將信息系統樣本各指標特徵映射到一個高維特徵空間，構成最優分類超平面，構造網路信息安全風險二分類評估模型。

組合核函數表示為：

K(x，y)=d1Kpoly(x，y)+d2KRBF(x，y) d1+d2=1

Kpoly為多項式核函數，KRBF為徑向基核函數。

組合核函數能夠突出測試點附近局部信息，也保留了離測試點較遠處的全局信息。

本文主要選用具有良好外推能力的d=2，d=4階多項式。

另外一方面，當%l=1時，核函數局部性不強，當%l=0.5時，核函數則具有較強局部性，所以組合核函數選用支持向量機d=2，%l=0.5的組合進行測試。

2模擬研究

2.1數據集與實驗平台

構建網路安全風險評估模型前，需要在深入了解並歸納網路安全影響因素的基礎上，確定能夠反映評估對象安全屬性、反映網路應對風險水平的評估指標，根據網路安全三要素，確定資產(通信服務、計算服務、信息和數據、設備和設施)、威脅(信息篡改、信息和資源的破壞、信息盜用和轉移、信息泄露、信息丟失、網路服務中斷)和脆弱性(威脅模型、設計規范、實現、操作和配置的脆弱性)為網路安全風險評估指標，從網路層、傳輸層和物理層三方面出發，構建一個完整的網路安全評估指標體系。

將選取的網路安全風險評價指標劃分為可忽略的風險、可接受的風險、邊緣風險、不可接受的分享、災變風險五個等級。

在此之後，建立網路評估等級，將網路安全風險評估等級定為安全、基本安全、不安全、很不安全四個等級。

確定評價指標後，構造樣本數據集，即訓練樣本集和測試樣本集。

為驗證模型可行性和有效性，基於之前研究中所使用的有效的網路實驗環境，構建實驗網路，在實驗網路中設計網路中各節點的訪問控制策略，節點A為外網中的一台PC機，它代表的是目標網路外的訪問用戶;節點B網路信息伺服器，其WWW服務對A開放，Rsh服務可監聽本地WWW服務的數據流;節點C為資料庫，節點B的WWW服務可向該資料庫讀寫信息;節點D為管理機，可通過Rsh服務和Snmp服務管理節點B;節點E為個人計算機，管理員可向節點C的資料庫讀寫信息。

2.2網路安全風險評估模型實現

將數據分為訓練數據和測試數據，如果每一個訓練數據可表示為1?6維的行向量，即：

Rm=[Am，0，Am，1，Am，2，……Am，15]

那麼，整個網路信息系統安全性能指標矩陣為：

Rm=[R0，R1，R2，……Rm-1]

將這M個項目安全性能指標矩陣作為訓練數據集，利用訓練數據集對二分類評估模型進行訓練，作非線性變換使訓練數據成為線性可分，通過訓練學習，尋找支持向量，構造最優分類超平面，得出模型決策函數，然後設定最小誤差精度和最大訓練次數，當訓練精度小於預定目標誤差，或是網路迭代次數達到最大迭代次數，停止訓練，保存網路。

採用主成分析法即「指標數據標准化――計算協方差矩陣――求解特徵值和U值――確定主成分」對指標進行降維處理，消除冗餘信息，提取較少綜合指標盡可能多地將原有指標信息反映出來，提高評價准確率。

實際操作中可取前5個主成分代表16個指標體系。

在訓練好的模型中輸入經過主成分析法處理後的指標值，對待評估的網路進行評估，根據網路輸出等級值來判斷網路安全分等級。

2.3實驗結果與分析

利用訓練後的網路對測試樣本集進行測試後，得到測試結果。

結果表明，基於支持向量機的二分類評估模型能正確地對網路的安全等級進行評價，評估准確率高達100%，結果與實際更貼近，評估結果完全可以接受。

但即便如此，在日常管理中，仍需加強維護，採取適當網路安全技術防範黑客攻擊和病毒侵犯，保證網路正常運行。

3結語

總之，網路安全風險評估技術是解決網路安全風險問題行之有效的措施之一。

本文主要提出了一種基於支持向量機的二分類評估模型，通過模擬分析，得到該模型在網路安全風險的量化評估中具有一定可行性和有效性的結論。

未來，我們還應考慮已有安全措施和安全管理因素等對網路安全的影響，通過利用網路數據，進一步改進評估模型和相關評估方法，以達到完善評估效果的目的。

參考文獻

[1] 步山嶽，張有東.計算機安全技[M].高等教育出版社，2005，10.

[2] 張千里.網路安全新技術[M].人民郵電出版社，2003.

[3] 馮登國.網路安全原理與技術[M].科技出版社，2003，9.