① 常見的網路攻擊應如何應對
網路攻擊是不可避免的。我們應該加強自身的網路防範安全意識，從自身杜絕不安全的來源，盡量不隨意去點擊和下載不安全的網頁鏈接。
② 對網路攻擊方法給出一些防範措施，比如緩沖區溢出等等
你沒有說明被攻擊的特徵,所以不知道你受到的攻擊屬於什麼類型.
作為預防 ，你必須將重要的數據備份並時刻注意系統運行狀況。
以下是針對網路安全問題，個人提出的幾點建議
1、提高安全意識 (1)不要隨意打開來歷不明的電子郵件及文件，不要隨便運行不太了解的人給你的程式，比如「特洛伊」類黑客程式就需要騙你運行。 中國.網管聯盟 (2)盡量避免從Internet下載不知名的軟體、游戲程式。即使從知名的網站下載的軟體也要及時用最新的病毒和木馬查殺軟體對軟體和系統進行掃描。 (3)密碼設置盡可能使用字母數字混排，單純的英文或數字非常容易窮舉。將常用的密碼設置不同，防止被人查出一個，連帶到重要密碼。重要密碼最佳經常更換。 (4)及時下載安裝系統補丁程式。 (5)不隨便運行黑客程式，不少這類程式運行時會發出你的個人信息。 (6)在支持HTML的BBS上，如發現提交警告，先看原始碼，非常可能是騙取密碼的陷阱。
2、使用防毒、防黑等防火牆軟體。 防火牆是個用以阻止網路中的黑客訪問某個機構網路的屏障，也可稱之為控制進/出兩個方向通信的門檻。在網路邊界上通過建立起來的相應網路通信監視系統來隔離內部和外部網路，以阻檔外部網路的侵入。
3、設置代理伺服器，隱藏自已的IP地址。 保護自己的IP地址是非常重要的。事實上，即便你的機器上被安裝了木馬程式，若沒有你的IP地址，攻擊者也是沒有辦法的，而保護IP地址的最佳方法就是設置代理伺服器。代理伺服器能起到外部網路申請訪問內部網路的中間轉接作用，其功能類似於一個數據轉發器，他主要控制哪些用戶能訪問哪些服務類型。當外部網路向內部網路申請某種網路服務時，代理伺服器接受申請，然後他根據其服務類型、服務內容、被服務的對象、服務者申請的時間、申請者的域名范圍等來決定是否接受此項服務，如果接受，他就向內部網路轉發這項請求。
4、將防毒、防黑當成日常例性工作，定時更新防毒組件，將防毒軟體保持在常駐狀態，以完全防毒。
5、由於黑客經常會針對特定的日期發動攻擊，計算機用戶在此期間應特別提高警戒。
6、對於重要的個人資料做好嚴密的保護，並養成資料備份的習慣。
③ 網路攻擊與防範
Windows XP以其穩定性、強大的個人和網路功能為大家所推崇，而它的「NT內核」，讓我們不得不加強安全防護。
1． 常規的安全防護
所謂「常規的安全防護」即施行同Windows 98一樣的安裝防病毒軟體、升級系統、禁止Ping三種安全方式。要強調的是Windows XP和它的前輩Windows 2000一樣，漏洞層出不窮，對於系統的升級不能像對Windows 98般馬虎，除了要安裝Microsoft針對「沖擊波」的漏洞補丁外，建議將Windows XP升級為最新的Service Pack 1（升級後會提高資源佔有，不過安全性、穩定性有所提高）。
2． 禁止遠程協助，屏蔽閑置的埠
在Windows XP上有一項名為「遠程協助」的功能，它允許用戶在使用計算機發生困難時，向MSN上的好友發出遠程協助邀請，來幫助自己解決問題。
而這個「遠程協助」功能正是「沖擊波」病毒所要攻擊的RPC（Remote Procere Call）服務在Windows XP上的表現形式。建議用戶不要使用該功能，使用前也應該安裝Microsoft提供的RPC漏洞工具和「沖擊波」免疫程序。禁止「遠程協助」的方法是：打開系統屬性對話框（右鍵「我的電腦」、「屬性」），在「遠程」項里去掉「允許從這台計算機發送遠程協助邀請」前面的「√」。
使用系統自帶的「TCP/IP篩選服務」就能夠限制埠。方法如下：在「網路連接」上單擊右鍵，選擇「屬性」，打開「網路連接屬性」對話框，在「常規」項里選中裡面的「Internet協議（TCP/IP）」然後單擊下面的[屬性]按鈕，在「Internet協議（TCP/IP）屬性」窗口裡，單擊下面的[高級]按鈕，在彈出的「高級TCP/IP設置」窗口裡選擇「選項」項，再單擊下面的[屬性]按鈕，最後彈出「TCP/IP篩選」窗口，通過窗口裡的「只允許」單選框，分別添加「TCP」、「UDP」、「IP」等網路協議允許的埠（如圖1），未提供各種服務的情況，可以屏蔽掉所有的埠。這是最佳的安全防範形式。
3． 禁止終端服務遠程式控制制
「終端服務」是Windows XP在Windows 2000系統（Windows 2000利用此服務實現遠程的伺服器託管）上遺留下來的一種服務形式。用戶利用終端可以實現遠程式控制制。「終端服務」和「遠程協助」是有一定區別的，雖然都實現的是遠程式控制制，終端服務更注重用戶的登錄管理許可權，它的每次連接都需要當前系統的一個具體登錄ID，且相互隔離，「終端服務」獨立於當前計算機用戶的邀請，可以獨立、自由登錄遠程計算機。
在Windows XP系統下，「終端服務」是被默認打開的，（Windows 2000系統需要安裝相應的組件，才可以開啟和使用終端服務）也就是說，如果有人知道你計算機上的一個用戶登錄ID，並且知道計算機的IP，它就可以完全控制你的計算機。
在Windows XP系統里關閉「終端服務」的方法如下：右鍵選擇「我的電腦」、「屬性」，選擇「遠程」項，去掉「允許用戶遠程連接到這台計算機」前面的「√」即可。
4．關閉Messenger服務
Messenger服務是Microsoft集成在Windows XP系統里的一個通訊組件，它默認情況下也是被打開的。利用它發送信息時，只要知道對方的IP，然後輸入文字，對方的桌面上就會彈出相應的文字信息窗口，且在未關閉掉Messenger服務的情況下強行接受。
很多用戶不知道怎麼關閉它，而飽受信息的騷擾。其實方法很簡單，進入「控制面板」，選擇「管理工具」，啟動裡面的「服務」項，然後在Messenger項上單擊右鍵，選擇「停止」即可（如圖2）。
5． 防範IPC默認共享
Windows XP在默認安裝後允許任何用戶通過空用戶連接（IPC＄）得到系統所有賬號和共享列表，這本來是為了方便區域網用戶共享資源和文件的，但是任何一個遠程用戶都可以利用這個空的連接得到你的用戶列表。黑客就利用這項功能，查找系統的用戶列表，並使用一些字典工具，對系統進行攻擊。這就是網上較流行的IPC攻擊。
要防範IPC攻擊就應該從系統的默認配置下手，可以通過修改注冊表彌補漏洞：
第一步：將HKEY_LOCAL _MACHINE\SYSTEM\CurrentControlSet\Control\LSA的RestrictAnonymous 項設置為「1」，就能禁止空用戶連接。
第二步：打開注冊表的HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Services\ LanmanServer\Parameters 項。
對於伺服器，添加鍵值「AutoShareServer」，類型為「REG_DWORD」，值為「0」。
對於客戶機，添加鍵值「AutoShareWks」，類型為「REG_DWORD」，值為「0」。
6． 合理管理Administrator
Windows 2000/XP系統，系統安裝後都會默認創建一個Administrator用戶，它擁有計算機的最高管理許可權。而有的用戶在安裝時，根本沒有給Administrator用戶設置密碼。黑客就利用這一點，使用高級用戶登錄對方計算機。因此，個人用戶應該妥善保管「Administrator」用戶信息，Windows 2000登錄時，要求輸入Administrator用戶的登錄密碼，而Windows XP在正常啟動後，是看不到Administrator用戶的，建議使用Windows XP的用戶進入安全模式，再在「控制面板」的「用戶賬戶」項里為Administrator用戶添加密碼，或者將其刪除掉，以免留下隱患。
當然還好殺毒軟體和防火牆,尤其是防火牆設置很關鍵.做到這些,安全性會有很大的提升.
④ 怎樣防止網路黑客攻擊呢
可以通過隱藏IP地址來防止黑客攻擊。
隱藏IP方法：
使用代理伺服器相對於直接連接到Internet可以保護IP地址，從而確保上網的安全。代理伺服器其實就是在電腦和要連的伺服器之間架設的一個「中轉站」，向網路伺服器等發出請求數據之後，代理伺服器首先會先截取這個請求，然後將請求轉交給遠程伺服器，從而實現和網路的連接。很明顯使用代理伺服器後，只能檢測到代理伺服器的IP地址而不是用戶所在地IP地址，這就實現了隱藏IP地址的目的，有效的保護了上網的安全。
黑客攻擊手段：
黑客攻擊手段可分為非破壞性攻擊和破壞性攻擊兩類。非破壞性攻擊一般是為了擾亂系統的運行，並不盜竊系統資料，通常採用拒絕服務攻擊或信息炸彈；破壞性攻擊是以侵入他人電腦系統、盜竊系統保密信息、破壞目標系統的數據為目的。
⑤ 企業網路常見的攻擊手法和防護措施
隨著Internet/Intranet技術的飛速發展和廣泛應用，網路安全問題愈來愈突出，已成為當前的一大技術熱點。黑客技術的公開和有組織化，以及網路的開放性使得網路受到攻擊的威脅越來越大。而企業對這一問題嚴重性的認識和所具備的應付能力還遠遠不夠。加上管理不當，應用人員水平參差不齊，沒有有效的方式控制網路的安全狀況，企業理想中的安全與實際的安全程度存在巨大的差距。
1、網路安全面臨的威脅
（1）、人為的無意失誤，如操作員安全配置不當造成的安全漏洞，用戶安全意識不強，用戶口令選擇不慎，用戶將自己的帳號隨意轉借他人或與別人共享等都會對網路安全帶來威脅。
（2）、人為的惡意攻擊，來自內部的攻擊者往往會對內部網安全造成最大的威脅，因為他們本身就是單位內部人員，對單位的業務流程，應用系統，網路結構甚至是網路系統管理非常熟悉，而這些人員對Intranet發起攻擊的成功率可能最高，造成的損失最大，所以這部分攻擊者應該成為我們要防範的主要目標。
（3）、網路軟體的漏洞和「後門」網路軟體不可能是百分之百的無缺陷和無漏洞的，這些漏洞和缺陷恰恰是黑客進行攻擊的首選目標。曾經出現過的黑客攻入網路內部的事件大部分就是因為安全措施不完善所招致的苦果。另外，軟體的「後門」都是軟體公司的設計編程人員為了自便而設置的，一般不為外人所知，可一旦「後門」洞開，其造成的後果將不堪設想。
（4）、互聯網路的不安全因素，國際互聯網路是跨越時空的，所以安全問題也是跨越時空的。雖然我們國家的網路不發達，但是我們遭到的安全危險卻是同國外一樣的，這是一個很嚴重的問題。在不同的行業，所遭受的攻擊因行業和網路服務的不同而不同。在電信或者ICP市場，進攻服務系統比較多；而在銀行業，對數據系統的進攻相對更頻繁；政府方面，對服務的進攻，尤其是其信息發布系統很頻繁。
（5）、病毒入侵，目前，網路病毒種類繁多，病毒很容易通過互聯網或其他途徑（如通過各接入點、日常維護操作、磁碟、其他外網）進入網路內部各伺服器，造成網路擁塞、業務中斷、系統崩潰。而現在流行的各種新型網路病毒，將網路蠕蟲、計算機病毒、木馬程序合為一體，發展到融和了多種技術於一體，互相利用和協同，已不僅僅是單一的攻擊和漏洞利用，使系統自身防不勝防。病毒發作對系統數據的破壞性、和系統本身都將會造成很大的影響。
2、網路攻擊的一般方法
從黑客的角度來看，黑客可以利用的方式多種多樣，包括：
（1）使用探察軟體，猜測和分析操作系統類別、網路提供服務、網路的結構等；
（2）使用強制攻擊軟體對網路進行攻擊，例如針對POP的強行的密碼猜解，SQL的密碼猜解等；
（3）使用漏洞掃描工具，發現漏洞，進而採用緩存溢出等手段直接或者間接的獲取系統超級用戶許可權；如系統平台自身由於漏洞被黑客利用，將直接導致全廠業務服務的中斷。
（4）使用木馬進行非法連接；
（5）利用疏忽的資料庫簡單配置，例如超級管理員密碼簡單甚至為空或者用戶密碼和用戶名相同等漏洞，獲取資料庫的某些許可權，進而獲得系統的許可權。
（6）利用可信任的關系進行攻擊，例如深圳電信網站的某些資料庫設定的訪問地址，這樣黑客可以先攻擊這些被資料庫信任的地址進行逐「跳」的攻擊。
（7）DDOS攻擊，使用各種工具進行洪水攻擊；利用漏洞的拒絕服務攻擊。
3、企業網路安全防護措施
根據企業網路系統的實際防護需要，必須保護的內容包括：Web主機（門戶網站、OA系統等基於Web訪問的主機），資料庫主機，郵件伺服器等，網路入口，內部網路檢測。對企業重要的是有效防護Web伺服器的非法訪問和網頁被非法修改，防護資料庫伺服器數據被非授權用戶非法訪問或被黑客篡改、刪除。一旦發現伺服器遭入侵或網頁被篡改，能進行及時報警和恢復處理。
（1）防火牆，在外部網路同內部網路之間應設置防火牆設備。如通過防火牆過濾進出網路的數據；對進出網路的訪問行為進行控制和阻斷；封堵某些禁止的業務；記錄通過防火牆的信息內容和活動；對網路攻擊的監測和告警。禁止外部用戶進入內部網路，訪問內部機器；保證外部用戶可以且只能訪問到某些指定的公開信息；限制內部用戶只能訪問到某些特定的Intenet資源，如WWW服務、FTP服務、TELNET服務等；防火牆產品本身具有很強的抗攻擊能力。使用硬體防火牆，管理和維護更加方便有效。
（2）、入侵檢測系統，企業內部主機操作系統種類一般在兩種以上，而目前漏洞攻擊手法大部分是基於操作系統已有的安全漏洞進行攻擊，通過使用防火牆設備可以防範大部分的黑客攻擊，但是有些攻擊手法是通過防火牆上開啟的正常服務來實現的，而且防火牆不能防範內部用戶的惡意行為和誤操作。通過使用入侵檢測系統，可以監視用戶和系統的運行狀態，查找非法用戶和合法用戶的越權操作；檢測系統配置的正確性和安全漏洞，並提示管理員修補漏洞；對用戶非法活動的統計分析，發現攻擊行為的規律；檢查系統程序和數據的一致性和正確性；能夠實時對檢測到的攻擊行為進行反應。
（3）網路漏洞掃描入侵者一般總是通過尋找網路中的安全漏洞來尋找入侵點。進行系統自身的脆弱性檢查的主要目的是先於入侵者發現漏洞並及時彌補，從而進行安全防護。由於網路是動態變化的：網路結構不斷發生變化、主機軟體不斷更新和增添；所以，我們必須經常利用網路漏洞掃描器對網路設備進行自動的安全漏洞檢測和分析，包括：應用伺服器、WWW伺服器、郵件伺服器、DNS伺服器、資料庫伺服器、重要的文件伺服器及交換機等網路設備，通過模擬黑客攻擊手法，探測網路設備中存在的弱點和漏洞，提醒安全管理員，及時完善安全策略，降低安全風險。
（4）、防病毒系統要防止計算機病毒在網路上傳播、擴散，需要從Internet、郵件、文件伺服器和用戶終端四個方面來切斷病毒源，才能保證整個網路免除計算機病毒的干擾，避免網路上有害信息、垃圾信息的大量產生與傳播。單純的殺毒軟體都是單一版系統，只能在單台計算機上使用，只能保證病毒出現後將其殺滅，不能阻止病毒的傳播和未知病毒的感染；若一個用戶沒有這些殺毒軟體，它將成為一個病毒傳染源，影響其它用戶，網路傳播型病毒的影響更甚。只有將防毒、殺毒融為一體來考慮，才能較好的達到徹底預防和清除病毒的目的。
因此，使用網路防、殺毒的全面解決方案才是消除病毒影響的最佳辦法。它可以將進出企業網的病毒、郵件病毒進行有效的清除，並提供基於網路的單機殺毒能力。網路病毒防護系統能保證病毒庫的及時更新，以及對未知病毒的稽查。另外，要提高網路運行的管理水平，有效地、全方位地保障網路安全。
4、企業網路安全解決方案
廣義的計算機系統安全的范圍很廣，它不僅包括計算機系統本身，還包括自然災害（如雷電、地震、火災等），物理損壞（如硬碟損壞、設備使用壽命到期等），設備故障（如停電、電磁干擾等），意外事故等。
狹義的系統安全包括計算機主機系統和網路系統上的主機、網路設備和某些終端設備的安全問題，主要針對對這些系統的攻擊、偵聽、欺騙等非法手段的防護。以下所有的計算機系統安全均是狹義的系統安全范疇。規劃企業網路安全方案，要根據企業的網路現狀和網路安全需求，結合網路安全分析，一是需要加強對網路出口安全方面的控制和管理，防止安全事故的發生；二是加強內部網路訪問控制，以業務分工來規劃網路，限制網路用戶的訪問范圍；同時增加網路安全檢測設備，對用戶的非法訪問進行監控。我們建議，企業的安全解決方案一般應有下面一些做法：
（1）在Internet接入處，放置高性能硬體防火牆（包括防火牆+帶寬管理+流探測+互動IDS等）。防火牆要支持包過濾和應用級代理兩種技術，具有三種管理方式，能夠很方便的設置防火牆的各種安全策略，並且能夠與網路入侵檢測系統進行互動，相互配合，阻擋黑客的攻擊。
（2）在內網快速以大網交換機上連接一個網路入侵檢測系統，對進入內網的數據包進行檢查，確保沒有惡意的數據包進入，從而影響內網數據伺服器的正常工作。
（3）使用互聯網入侵檢測系統對DMZ區和內網的伺服器（包括Web伺服器/應用伺服器、數據伺服器、DNS伺服器、郵件伺服器和管理伺服器等），以及桌面計算機進行掃描和評估，進行人工安全分析，以確定其存在的各種安全隱患和漏洞，並根據掃描的結果提出加固建議，保護企業網路系統的正常工作。
（4）在各主要伺服器上安裝伺服器防病毒產品，對伺服器進行病毒防護，確保病毒不會進入各伺服器，並且不會通過伺服器進行傳播。
（5）用一台專用的PC伺服器安裝伺服器防病毒系統，並在內網上安裝工作站防病毒產品，通過伺服器防病毒系統對這些工作站進行管理和升級。
⑥ 如何應對網路攻擊、如何進行網路防範
1、足夠強的機器口令
2、必要的防火牆+防病毒+入侵檢測
3、系統漏洞補丁
4、個人隱私的保密（如QQ號、網銀證書等）
⑦ 簡要說明對網路攻擊採取的防範措施有哪幾種
最直接有效的方式就是配置網路防火牆。在網路防火牆上設置各種數據包的過濾規則、以及對各種網路協議和各種服務埠的行為約定、另外還可以將通過合法手續申請下來的正式靜態 IP 地址和其對應的網卡 MAC 地址進行綁定。
⑧ 如何防範計算機網路攻擊
一、計算機網路攻擊的常見手法
互聯網發展至今，除了它表面的繁榮外，也出現了一些不良現象，其中黑客攻擊是最令廣大網民頭痛的事情，它是計算機網路安全的主要威脅。下面著重分析黑客進行網路攻擊的幾種常見手法及其防範措施。
（一）利用網路系統漏洞進行攻擊
許多網路系統都存在著這樣那樣的漏洞，這些漏洞有可能是系統本身所有的，如WindowsNT、UNIX等都有數量不等的漏洞，也有可能是由於網管的疏忽而造成的。黑客利用這些漏洞就能完成密碼探測、系統入侵等攻擊。
對於系統本身的漏洞，可以安裝軟體補丁；另外網管也需要仔細工作，盡量避免因疏忽而使他人有機可乘。
（二）通過電子郵件進行攻擊
電子郵件是互聯網上運用得十分廣泛的一種通訊方式。黑客可以使用一些郵件炸彈軟體或CGI程序向目的郵箱發送大量內容重復、無用的垃圾郵件，從而使目的郵箱被撐爆而無法使用。當垃圾郵件的發送流量特別大時，還有可能造成郵件系統對於正常的工作反映緩慢，甚至癱瘓，這一點和後面要講到的「拒絕服務攻擊（DDoS）比較相似。
對於遭受此類攻擊的郵箱，可以使用一些垃圾郵件清除軟體來解決，其中常見的有SpamEater、Spamkiller等，Outlook等收信軟體同樣也能達到此目的。
（三）解密攻擊
在互聯網上，使用密碼是最常見並且最重要的安全保護方法，用戶時時刻刻都需要輸入密碼進行身份校驗。而現在的密碼保護手段大都認密碼不認人，只要有密碼，系統就會認為你是經過授權的正常用戶，因此，取得密碼也是黑客進行攻擊的一重要手法。
取得密碼也還有好幾種方法，一種是對網路上的數據進行監聽。因為系統在進行密碼校驗時，用戶輸入的密碼需要從用戶端傳送到伺服器端，而黑客就能在兩端之間進行數據監聽。
但一般系統在傳送密碼時都進行了加密處理，即黑客所得到的數據中不會存在明文的密碼，這給黑客進行破解又提了一道難題。這種手法一般運用於區域網，一旦成功攻擊者將會得到很大的操作權益。
另一種解密方法就是使用窮舉法對已知用戶名的密碼進行暴力解密。這種解密軟體對嘗試所有可能字元所組成的密碼，但這項工作十分地費時，不過如果用戶的密碼設置得比較簡單，如「12345」、「ABC」等那有可能只需一眨眼的功夫就可搞定。
為了防止受到這種攻擊的危害，用戶在進行密碼設置時一定要將其設置得復雜，也可使用多層密碼，或者變換思路使用中文密碼，並且不要以自己的生日和電話甚至用戶名作為密碼，因為一些密碼破解軟體可以讓破解者輸入與被破解用戶相關的信息，如生日等，然後對這些數據構成的密碼進行優先嘗試。另外應該經常更換密碼，這樣使其被破解的可能性又下降了不少。
（四）後門軟體攻擊
後門軟體攻擊是互聯網上比較多的一種攻擊手法。Back Orifice2000、冰河等都是比較著名的特洛伊木馬，它們可以非法地取得用戶電腦的超級用戶級權利，可以對其進行完全的控制，除了可以進行文件操作外，同時也可以進行對方桌面抓圖、取得密碼等操作。
這些後門軟體分為伺服器端和用戶端，當黑客進行攻擊時，會使用用戶端程序登陸上已安裝好伺服器端程序的電腦，這些伺服器端程序都比較小，一般會隨附帶於某些軟體上。有可能當用戶下載了一個小游戲並運行時，後門軟體的伺服器端就安裝完成了，而且大部分後門軟體的重生能力比較強，給用戶進行清除造成一定的麻煩。
當在網上下載數據時，一定要在其運行之前進行病毒掃描，並使用一定的反編譯軟體，查看來源數據是否有其他可疑的應用程序，從而杜絕這些後門軟體。
（五）拒絕服務攻擊
互聯網上許多大網站都遭受過此類攻擊。實施拒絕服務攻擊（DDoS）的難度比較小，但它的破壞性卻很大。它的具體手法就是向目的伺服器發送大量的數據包，幾乎佔取該伺服器所有的網路寬頻，從而使其無法對正常的服務請求進行處理，而導致網站無法進入、網站響應速度大大降低或伺服器癱瘓。
現在常見的蠕蟲病毒或與其同類的病毒都可以對伺服器進行拒絕服務攻擊的進攻。它們的繁殖能力極強，一般通過Microsoft的Outlook軟體向眾多郵箱發出帶有病毒的郵件，而使郵件伺服器無法承擔如此龐大的數據處理量而癱瘓。
對於個人上網用戶而言，也有可能遭到大量數據包的攻擊使其無法進行正常的網路操作，所以大家在上網時一定要安裝好防火牆軟體，同時也可以安裝一些可以隱藏IP地址的程序，怎樣能大大降低受到攻擊的可能性。
-----------------------------------------------------------------------------
二、計算機網路安全的防火牆技術
計算機網路安全是指利用網路管理控制和技術措施，保證在一個網路環境里，信息數據的保密性、完整性和可使用性受到保護。網路安全防護的根本目的，就是防止計算機網路存儲、傳輸的信息被非法使用、破壞和篡改。防火牆技術正是實現上述目的一種常用的計算機網路安全技術。
（一）防火牆的含義
所謂「防火牆」，是指一種將內部網和公眾訪問網(如Internet)分開的方法，它實際上是一種隔離技術。防火牆是在兩個網路通訊時執行的一種訪問控制尺度，它能允許你「同意」的人和數據進入你的網路，同時將你「不同意」的人和數據拒之門外，最大限度地阻止網路中的黑客來訪問你的網路，防止他們更改、拷貝、毀壞你的重要信息。
（二）防火牆的安全性分析
防火牆對網路的安全起到了一定的保護作用，但並非萬無一失。通過對防火牆的基本原理和實現方式進行分析和研究，作者對防火牆的安全性有如下幾點認識：
1．只有正確選用、合理配置防火牆，才能有效發揮其安全防護作用
防火牆作為網路安全的一種防護手段，有多種實現方式。建立合理的防護系統，配置有效的防火牆應遵循這樣四個基本步驟：
a.風險分析；
b.需求分析；
c.確立安全政策；
d.選擇准確的防護手段，並使之與安全政策保持一致。
然而，多數防火牆的設立沒有或很少進行充分的風險分析和需求分析，而只是根據不很完備的安全政策選擇了一種似乎能「滿足」需要的防火牆，這樣的防火牆能否「防火」還是個問題。
2．應正確評估防火牆的失效狀態
評價防火牆性能如何，及能否起到安全防護作用，不僅要看它工作是否正常，能否阻擋或捕捉到惡意攻擊和非法訪問的蛛絲馬跡，而且要看到一旦防火牆被攻破，它的狀態如何? 按級別來分，它應有這樣四種狀態：
a.未受傷害能夠繼續正常工作；
b.關閉並重新啟動，同時恢復到正常工作狀態；
c.關閉並禁止所有的數據通行；
d. 關閉並允許所有的數據通行。
前兩種狀態比較理想，而第四種最不安全。但是許多防火牆由於沒有條件進行失效狀態測試和驗證，無法確定其失效狀態等級，因此網路必然存在安全隱患。
3.防火牆必須進行動態維護
防火牆安裝和投入使用後，並非萬事大吉。要想充分發揮它的安全防護作用，必須對它進行跟蹤和維護，要與商家保持密切的聯系，時刻注視商家的動態。因為商家一旦發現其產品存在安全漏洞，就會盡快發布補救(Patch) 產品，此時應盡快確認真偽(防止特洛伊木馬等病毒)，並對防火牆軟體進行更新。
4.目前很難對防火牆進行測試驗證
防火牆能否起到防護作用，最根本、最有效的證明方法是對其進行測試，甚至站在「黑客」的角度採用各種手段對防火牆進行攻擊。然而具體執行時難度較大，主要原因是：
a.防火牆性能測試目前還是一種很新的技術，尚無正式出版刊物，可用的工具和軟體更是寥寥無幾。據了解目前只有美國ISS公司提供有防火牆性能測試的工具軟體。
b.防火牆測試技術尚不先進，與防火牆設計並非完全吻合，使得測試工作難以達到既定的效果。
c.選擇「誰」進行公正的測試也是一個問題。
可見，防火牆的性能測試決不是一件簡單的事情，但這種測試又相當必要，進而提出這樣一個問題：不進行測試，何以證明防火牆安全？
5.非法攻擊防火牆的基本「招數」
a. IP地址欺騙攻擊。許多防火牆軟體無法識別數據包到底來自哪個網路介面，因此攻擊者無需表明進攻數據包的真正來源，只需偽裝IP地址，取得目標的信任，使其認為來自網路內部即可。IP地址欺騙攻擊正是基於這類防火牆對IP地址缺乏識別和驗證的機制而得成的。
b.破壞防火牆的另一種方式是攻擊與干擾相結合。也就是在攻擊期間使防火牆始終處於繁忙的狀態。防火牆過分的繁忙有時會導致它忘記履行安全防護的職能，處於失效狀態。
c.防火牆也可能被內部攻擊。因為安裝了防火牆後，隨意訪問被嚴格禁止了， 這樣內部人員無法在閑暇的時間通過Telnet瀏覽郵件或使用FTP向外發送信息，個別人會對防火牆不滿進而可能攻擊它、破壞它，期望回到從前的狀態。這里，攻擊的目標常常是防火牆或防火牆運行的操作系統，因此不僅涉及網路安全，還涉及主機安全問題。
----------------------------------------------------------------------------
（三）防火牆的基本類型
實現防火牆的技術包括四大類：網路級防火牆（也叫包過濾型防火牆）、應用級網關、電路級網關和規則檢查防火牆。
1.網路級防火牆
一般是基於源地址和目的地址、應用或協議以及每個IP包的埠來作出通過與否的判斷。一個路由器便是一個「傳統」的網路級防火牆，大多數的路由器都能通過檢查這些信息來決定是否將所收到的包轉發，但它不能判斷出一個IP包來自何方，去向何處。
先進的網路級防火牆可以判斷這一點，它可以提供內部信息以說明所通過的連接狀態和一些數據流的內容，把判斷的信息同規則表進行比較，在規則表中定義了各種規則來表明是否同意或拒絕包的通過。包過濾防火牆檢查每一條規則直至發現包中的信息與某規則相符。
如果沒有一條規則能符合，防火牆就會使用默認規則，一般情況下，默認規則就是要求防火牆丟棄該包。其次，通過定義基於TCP或UDP數據包的埠號，防火牆能夠判斷是否允許建立特定的連接，如Telnet、FTP連接。
下面是某一網路級防火牆的訪問控制規則：
(1)允許網路123.1.0使用FTP(21口)訪問主機 ；
(2)允許IP地址為 和 的用戶Telnet (23口)到主機 上；
(3)允許任何地址的E-mail(25口)進入主機 ；
(4)允許任何WWW數據（80口）通過；
(5)不允許其他數據包進入。
網路級防火牆簡潔、速度快、費用低，並且對用戶透明，但是對網路的保護很有限，因為它只檢查地址和埠，對網路更高協議層的信息無理解能力。
2.規則檢查防火牆
該防火牆結合了包過濾防火牆、電路級網關和應用級網關的特點。它同包過濾防火牆一樣， 規則檢查防火牆能夠在OSI網路層上通過IP地址和埠號，過濾進出的數據包。它也象電路級網關一樣，能夠檢查SYN和ACK標記和序列數字是否邏輯有序。
當然它也象應用級網關一樣， 可以在OSI應用層上檢查數據包的內容，查看這些內容是否能符合公司網路的安全規則。規則檢查防火牆雖然集成前三者的特點，但是不同於一個應用級網關的是，它並不打破客戶機/服務機模式來分析應用層的數據， 它允許受信任的客戶機和不受信任的主機建立直接連接。
規則檢查防火牆不依靠與應用層有關的代理，而是依靠某種演算法來識別進出的應用層數據，這些演算法通過已知合法數據包的模式來比較進出數據包，這樣從理論上就能比應用級代理在過濾數據包上更有效。
目前在市場上流行的防火牆大多屬於規則檢查防火牆，因為該防火牆對於用戶透明，在OSI最高層上加密數據，不需要你去修改客戶端的程序，也不需對每個需要在防火牆上運行的服務額外增加一個代理。
如現在最流行的防火牆之一OnTechnology軟體公司生產的OnGuard和CheckPoint軟體公司生產的FireWall-1防火牆都是一種規則檢查防火牆。
從趨勢上看，未來的防火牆將位於網路級防火牆和應用級防火牆之間，也就是說，網路級防火牆將變得更加能夠識別通過的信息，而應用級防火牆在目前的功能上則向「透明」、「低級」方面發展。最終防火牆將成為一個快速注冊稽查系統，可保護數據以加密方式通過，使所有組織可以放心地在節點間傳送數據。
（四）防火牆的配置
防火牆配置有三種：Dual-homed方式、Screened-host方式和Screened-subnet方式。Dual-homed方式最簡單。 Dual-homedGateway放置在兩個網路之間，這個Dual-omedGateway又稱為bastionhost。
這種結構成本低，但是它有單點失敗的問題。這種結構沒有增加網路安全的自我防衛能力，而它往往是受「黑客」攻擊的首選目標，它自己一旦被攻破，整個網路也就暴露了。
Screened-host方式中的Screeningrouter為保護Bastionhost的安全建立了一道屏障。它將所有進入的信息先送往Bastionhost，並且只接受來自Bastionhost的數據作為出去的數據。
這種結構依賴Screeningrouter和Bastionhost，只要有一個失敗，整個網路就暴露了。Screened-subnet包含兩個Screeningrouter和兩個Bastionhost。 在公共網路和私有網路之間構成了一個隔離網，稱之為」停火區」（DMZ，即DemilitarizedZone）,Bastionhost放置在」停火區」內。這種結構安全性好，只有當兩個安全單元被破壞後，網路才被暴露，但是成本也很昂貴。
----------------------------------------------------------------------------
（四）防火牆的安全措施
各種防火牆的安全性能不盡相同。這里僅介紹一些一般防火牆的常用安全措施：
1.防電子欺騙術
防電子欺騙術功能是保證數據包的IP地址與網關介面相符，防止通過修改IP地址的方法進行非授權訪問。還應對可疑信息進行鑒別，並向網路管理員報警。
2.網路地址轉移
地址轉移是對Internet隱藏內部地址，防止內部地址公開。這一功能可以克服IP定址方式的諸多限制，完善內部定址模式。把未注冊IP地址映射成合法地址，就可以對Internet進行訪問。
3.開放式結構設計
開放式結構設計使得防火牆與相關應用程序和外部用戶資料庫的連接相當容易，典型的應用程序連接如財務軟體包、病毒掃描、登錄分析等。
4.路由器安全管理程序
它為Bay和Cisco的路由器提供集中管理和訪問列表控制。
（六）傳統防火牆的五大不足
1．無法檢測加密的Web流量
如果你正在部署一個光鍵的門戶網站，希望所有的網路層和應用層的漏洞都被屏蔽在應用程序之外。這個需求，對於傳統的網路防火牆而言，是個大問題。
由於網路防火牆對於加密的SSL流中的數據是不可見的，防火牆無法迅速截獲SSL數據流並對其解密，因此無法阻止應用程序的攻擊，甚至有些網路防火牆，根本就不提供數據解密的功能。
2、普通應用程序加密後，也能輕易躲過防火牆的檢測
網路防火牆無法看到的，不僅僅是SSL加密的數據。對於應用程序加密的數據，同樣也不可見。在如今大多數網路防火牆中，依賴的是靜態的特徵庫，與入侵監測系統（IDS，Intrusion Detect System）的原理類似。只有當應用層攻擊行為的特徵與防火牆中的資料庫中已有的特徵完全匹配時，防火牆才能識別和截獲攻擊數據。
但如今，採用常見的編碼技術，就能夠地將惡意代碼和其他攻擊命令隱藏起來，轉換成某種形式，既能欺騙前端的網路安全系統，又能夠在後台伺服器中執行。這種加密後的攻擊代碼，只要與防火牆規則庫中的規則不一樣，就能夠躲過網路防火牆，成功避開特徵匹配。
3、對於Web應用程序，防範能力不足
網路防火牆於1990年發明，而商用的Web伺服器，則在一年以後才面世。基於狀態檢測的防火牆，其設計原理，是基於網路層TCP和IP地址，來設置與加強狀態訪問控制列表（ACLs，Access Control Lists）。在這一方面，網路防火牆表現確實十分出色。
近年來，實際應用過程中，HTTP是主要的傳輸協議。主流的平台供應商和大的應用程序供應商，均已轉移到基於Web的體系結構，安全防護的目標，不再只是重要的業務數據。網路防火牆的防護范圍，發生了變化。
對於常規的企業區域網的防範，通用的網路防火牆仍佔有很高的市場份額，繼續發揮重要作用，但對於新近出現的上層協議，如XML和SOAP等應用的防範，網路防火牆就顯得有些力不從心。
由於體系結構的原因，即使是最先進的網路防火牆，在防範Web應用程序時，由於無法全面控制網路、應用程序和數據流，也無法截獲應用層的攻擊。由於對於整體的應用數據流，缺乏完整的、基於會話（Session）級別的監控能力，因此很難預防新的未知的攻擊。
4、應用防護特性，只適用於簡單情況
目前的數據中心伺服器，時常會發生變動，比如：
★ 定期需要部署新的應用程序；
★ 經常需要增加或更新軟體模塊；
★ QA們經常會發現代碼中的bug，已部署的系統需要定期打補丁。
在這樣動態復雜的環境中，安全專家們需要採用靈活的、粗粒度的方法，實施有效的防護策略。
雖然一些先進的網路防火牆供應商，提出了應用防護的特性，但只適用於簡單的環境中。細看就會發現，對於實際的企業應用來說，這些特徵存在著局限性。在多數情況下，彈性概念（proof-of-concept）的特徵無法應用於現實生活中的數據中心上。
比如，有些防火牆供應商，曾經聲稱能夠阻止緩存溢出：當黑客在瀏覽器的URL中輸入太長數據，試圖使後台服務崩潰或使試圖非法訪問的時候，網路防火牆能夠檢測並制止這種情況。
細看就會發現，這些供應商採用對80埠數據流中，針對URL長度進行控制的方法，來實現這個功能的。
如果使用這個規則，將對所有的應用程序生效。如果一個程序或者是一個簡單的Web網頁，確實需要涉及到很長的URL時，就要屏蔽該規則。
網路防火牆的體系結構，決定了網路防火牆是針對網路埠和網路層進行操作的，因此很難對應用層進行防護，除非是一些很簡單的應用程序。
5、無法擴展帶深度檢測功能
基於狀態檢測的網路防火牆，如果希望只擴展深度檢測（deep inspection）功能，而沒有相應增加網路性能，這是不行的。
真正的針對所有網路和應用程序流量的深度檢測功能，需要空前的處理能力，來完成大量的計算任務，包括以下幾個方面：
★ SSL加密/解密功能；
★ 完全的雙向有效負載檢測；
★ 確保所有合法流量的正常化；
★ 廣泛的協議性能；
這些任務，在基於標准PC硬體上，是無法高效運行的，雖然一些網路防火牆供應商採用的是基於ASIC的平台，但進一步研究，就能發現：舊的基於網路的ASIC平台對於新的深度檢測功能是無法支持的。
三、結束語
由於互聯網路的開放性和通信協議的安全缺陷，以及在網路環境中數據信息存儲和對其訪問與處理的分布性特點，網上傳輸的數據信息很容易泄露和被破壞，網路受到的安全攻擊非常嚴重，因此建立有效的網。
⑨ 如何預防與應對網路攻擊
如果是在Linux 系統下，可以通過設置 iptables 防火牆規則預防網路攻擊、以及通過定期更新Linux系統補丁來盡量預防各種漏洞。
⑩ 網路常見的攻擊手段有哪些以及詳細的防禦方案
1 、竊取口令
就我們所知，被用來竊取口令的服務包括 FTP、 TFTP、郵件系統、 Finger和 Telnet等等。換句話說，如果系統管理員在選擇主機系統時不小心或不走運的話，攻擊者要竊取口令文件就將易如反掌，所以防範的手段包括對軟體的使用都要採取十分謹慎地態度，大家一定要記住：壞傢伙只用成功一次就夠了。
2 、 缺陷和後門
事實上沒有完美無缺的代碼，也許系統的某處正潛伏著重大的缺陷或者後門等待人們的發現，區別只是在於誰先發現它。只有本著懷疑一切的態度，從各個方面檢查所輸入信息的正確性，還是可以迴避這些缺陷的。比如說，如果程序有固定尺寸的緩沖區，無論是什麼類型，一定要保證它不溢出；如果使用動態內存分配，一定要為內存或文件系統的耗盡做好准備，並且記住恢復策略可能也需要內存和磁碟空間。
3 、 鑒別失敗
即使是一個完善的機制在某些特定的情況下也會被攻破。例如：源地址的校驗可能正在某種條件下進行（如防火牆篩選偽造的數據包），但是黑客可以用程序 Portmapper重傳某一請求。在這一情況下，伺服器最終受到欺騙，報文表面上源於本地，實際上卻源於其他地方。
4 、 協議失敗
尋找協議漏洞的游戲一直在黑客中長盛不衰，在密碼學的領域尤其如此。有時是由於密碼生成者犯了錯誤，過於明了和簡單。更多的情況是由於不同的假設造成的，而證明密碼交換的正確性是很困難的事。
5 、 信息泄漏
大多數的協議都會泄漏某些信息。高明的黑客並不需要知道你的區域網中有哪些計算機存在，他們只要通過地址空間和埠掃描，就能尋找到隱藏的主機和感興趣的服務。最好的防禦方法是高性能的防火牆，如果黑客們不能向每一台機器發送數據包，該機器就不容易被入侵拒絕服務
有的人喜歡刺破別人的車胎，有的人喜歡在牆上亂塗亂畫，也有人特別喜歡把別人的機器搞癱瘓。很多網路攻擊者對這種損人不利己的行為樂此不疲真是令人費解。這種搗亂的行為多種多樣，但本質上都差不多，就是想將你的資源耗盡，從而讓你的計算機系統癱瘓。盡管主動的過濾可以在一定的程度上保護你，但是由於這種攻擊不容易識別，往往讓人防不勝防。