网络安全审计网桥模式

1. 设计一个网络安全方案 完全没有思路，不懂为什么会出这样的题目，对linux，防火墙，和服务器都不熟

防火墙应用方案
时间：2007-4-21 15:53:27 点击：191
核心提示：防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。由于防火墙处于网络系统中的敏感位置，自身还要面对各种安全威胁，因...
防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。

由于防火墙处于网络系统中的敏感位置，自身还要面对各种安全威胁，因此，通过防火墙构建一套安全、稳定和可靠的网络访问控制机制，其重要性不言而喻。

建立安全、稳定和可靠的防火墙访问控制系统必须考虑以下内容：

· 防火墙自身安全、可靠

· 内部系统运行稳定

· 内部处理性能高效

· 功能灵活、满足不同用户需求

· 防火墙配置方便

· 支持多种管理方式

· 防攻击能力强

· 多种用户鉴别方法

· 具有可扩展性、可升级性

方案设计

典型的防火墙访问控制方案拓扑如图。该方案能够提供内部网络用户通过防火墙作地址转换访问外部网，公开的WEB服务器和邮件服务器通过防火墙的端口映射对外提供网页浏览和邮件收发功能。网络的所有合法有效地址都设置在防火墙上，进出的数据包通过防火墙的规则校验以及攻击检验后提交给实际访问主机，内部网络配置对外部网络透明。

通常，防火墙提供三个连接端口，分别连接边界路由器、内部主干交换机和对外服务器交换机上，通过串联提供网 络之间互相访问的唯一通道。对外服务区通过在防火墙上限定开放特定的端口，只对允许的网络访问方式进行授权并建立连接，并通过日志系统对访问进行监控，杜绝系统的非法访问和安全漏洞。内部网对外部不提供网络服务，通过在防火墙上限定单向内部到外部的访问模式，确保内部网络访问的安全性、可靠性。

防火墙的所采用的网络安全技术
防 火墙作为网络安全体系的基础和核心控制设备，它贯穿于受控网络通信主干线，对通过受控干线的任何通信行为进行安全处理，如控制、审计、报警、反应等，同时 也承担着繁重的通信任务。为了提供一个安全、稳定和可靠的防火墙防护体系，采用了多种的安全技术和措施：

· 专有系统平台以及系统冗余

在安全的操作系统基础上开发的自主版权产品保证了系统自身的安全性，硬件采用专用硬件平台对电源等关键部件提供硬件冗余，保证系统硬件的稳定运行，通过双机热备保证防火墙在电信、证券等关键性业务领域保证不间断工作。

· 高效的数据包转发性能

防火墙通过采用优化的专有操作系统内核，摒弃了与安全访问控制无关的系统进程，通过专有硬件平台使系统的处理能力达到最大。采用状态检测技术使防火墙的安全与性能达到最优化，在国家信息安全测评认证中心测试中，百条规则加载时系统性能下降不超过4%。

· 系统配置灵活、适应用户不同网络需求

防火墙在网络中可以配置为网桥模式、路由模式、网桥和路由混合模式、代理模式，多种网络模式的灵活搭配使安装防火墙对用户原有系统的影响降到最低。可根据双向IP地址对IP数据包进行转换，并可以对外部地址提供针对主机的地址映射和针对服务的端口映射，满足用户的网络需求。

· 强大的访问控制功能

可以根据IP地址、地址转化、应用代理、登录用户、用户组、时间等多种手段对访问进行控制，通过应用代理可以对常用高层应用（HTTP、SMTP、FTP、POP3、NNTP）做具体命令级的详细访问控制。

· 支持流量和带宽管理

防火墙对用户的访问连接除了传统的允许、拒绝、日志记录处理方式外，还可以控制用户的网络流量大小以及用户的访问带宽，保障网络资源的合理使用。

· 配置简单、方便

采用面向对象的管理方式，极大地提高了防火墙配置的简易性，通过配置文件的上传、下载，使系统出现故障后能快速修复。基于OPT机制的一次性口令认证系统以及远程管理加密机制保障了远程管理的安全可靠。

· 多种访问身份鉴别方式

通过IP与MAC地址绑定，防止内部计算机IP地址盗用。远程用户通过一次性口令认证确认用户身份，提供基于广域网的用户访问控制。

· 针对多种攻击行为的防御能力

防火墙支持针对********、DOS攻击、源路由攻击、IP碎片包攻击、JAVA脚本等多种攻击手段的识别和防御，并可以和专业的入侵检测系统联动联防，保证系统在遭受攻击时正常工作。实时监控和报警功能使管理员在入侵出现时可以最快的对入侵作出反应和应对措施，WEB页面自动保护功能通过对WEB服务器的定时监控和修复，降低由于网站页面被修改对政府、企业造成的不良影响。

· 模块化设计、可升级性、可扩展性好

模块化设计使系统升级和加载新的系统模块（计费、VPN等）更加方便，防火墙采用多接口设计，最大可扩展12个接口模块。

评述
防火墙作为系统的网关设备，是安全防护的第一道屏障，也是内部网络和外部网络数据交换的通道。采用防火墙对访问请求进行控制，能够挡住大多数的网络攻击行为。通过将公共服务区和内部网分开，即使公共服务器破坏，也能够很好的保护内部网络，采用防火墙是实现网络安全防护最有效的手段。

2. 网络安全审计的概念

计算机网络安全审计（Audit）是指按照一定的安全策略，利用记录、系统活动和用户活动等信息，检查、审查和检验操作事件的环境及活动，从而发现系统漏洞、入侵行为或改善系统性能的过程。也是审查评估系统安全风险并采取相应措施的一个过程。在不至于混淆情况下，简称为安全审计，实际是记录与审查用户操作计算机及网络系统活动的过程，是提高系统安全性的重要举措。系统活动包括操作系统活动和应用程序进程的活动。用户活动包括用户在操作系统和应用程序中的活动，如用户所使用的资源、使用时间、执行的操作等。安全审计对系统记录和行为进行独立的审查和估计，其主要作用和目的包括5个方面：
（1）对可能存在的潜在攻击者起到威慑和警示作用，核心是风险评估。
（2）测试系统的控制情况，及时进行调整，保证与安全策略和操作规程协调一致。
（3）对已出现的破坏事件，做出评估并提供有效的灾难恢复和追究责任的依据。
（4）对系统控制、安全策略与规程中的变更进行评价和反馈，以便修订决策和部署。
（5）协助系统管理员及时发现网络系统入侵或潜在的系统漏洞及隐患。 网络安全审计从审计级别上可分为3种类型：系统级审计、应用级审计和用户级审计。
1）系统级审计
系统级审计主要针对系统的登入情况、用户识别号、登入尝试的日期和具体时间、退出的日期和时间、所使用的设备、登入后运行程序等事件信息进行审查。典型的系统级审计日志还包括部分与安全无关的信息，如系统操作、费用记账和网络性能。这类审计却无法跟踪和记录应用事件，也无法提供足够的细节信息。
2）应用级审计
应用级审计主要针对的是应用程序的活动信息，如打开和关闭数据文件，读取、编辑、删除记录或字段的等特定操作，以及打印报告等。
3）用户级审计
用户级审计主要是审计用户的操作活动信息，如用户直接启动的所有命令，用户所有的鉴别和认证操作，用户所访问的文件和资源等信息。

3. 数据库审计系统是怎么工作的

为了完全不影响数据库系统自身运行与性能，数据库安全审计系统应支持采用旁路监听或模式，具体可分为核心交换机网络监听模式、网桥模式和数据库系统主机上实施监听模式。具体可以产考昂楷科技的数据库审计系统

4. 两台家用无线路由，如何设置成网桥模式

路由器无线网桥设置方法
打开路由器配置页面后
点左边的--无线参数--基本设置--勾上“开启Bridge功能”--接着在下面"AP1的mac地址"这里输入另一个路由的无线MAC地址，注意是无线MAC地址，保存设置
接着配置另一个路由，同样开启Bridge功能--在“AP1的mac地址”这里输入刚刚配置过的那个无线MAC地址，简单说就是互相输入对方的无线MAC地址，保存设置
注意：两个路由的SSID安全等设置要一样 而且在Bridge模式下，这个路由器仅支持WEP安全类型。
至此路由基本配置部分到结束了，然后得设置无线路由的IP了，1号路由IP为192.168.1.1，2号的则设置成 192.168.1.2 并把路由的IP分配功能给关了，下面用笔记本连接吧，注意笔记本有可能获取的网关是192.168.1.2，所以最好不要自动获取IP，改成手动配置的，IP随便写了个（比如用192.168.1.100 只要不重复就行），掩码：255.255.255.0,网关：192.168.1.1 完成后就可以很爽的上网了
来个简单总结
1.在无线参数页面，把两台无线路由器的SSID号、频段、模式设
var script = document.createElement('script'); script.src = 'http://static.pay..com/resource/chuan/ns.js'; document.body.appendChild(script);
2.在开启Bridge功能的选项前面打勾，然后在AP1的MAC地址上填入对方的MAC地址。这个MAC地址可以在无线状态页面中无线状态里找到。
3.安全设置选项两台服务器要设成一致。
4.两台服务器的LAN口IP地址设置成同一网段内的不同IP地址。 完成以上设置就能够使两台无线路由器进行通讯了。设置完成后连接到一台路由上，然同PING另一台路由器的IP地址。能够ping通就完成设置了。

5. 怎样选择数据库审计系统

为了完全不影响数据库系统自身运行与性能，数据库安全审计系统应支持采用旁路监听或模式，具体可分为核心交换机网络监听模式、网桥模式和数据库系统主机上实施监听模式。
传统的数据库审计定位往往局限于IP地址和MAC地址，很多时候不具备可信性。昂楷数据库审计系统可以对IP、MAC、用户名、服务端等一系列进行关联分析，从而追踪到具体人。

6. 什么叫网桥有什么作用

网桥（Bridge）是早期的两端口二层网络设备，用来连接不同网段。网桥的两个端口分别有一条独立的交换信道，不是共享一条背板总线，可隔离冲突域。网桥比集线器（Hub）性能更好，集线器上各端口都是共享同一条背板总线的。

作用：

1、能扩展网络的距离或范围，而且可提高网络的性能、可靠性和安全性。

2、网桥纳入存储和转发功能可使其适应于连接使用不同MAC 协议的两个LAN，因而构成一个不同LAN 混连在一起的混合网络环境。

3、使用网桥进行互连克服了物理限制，这意味着构成LAN 的数据站总数和网段数很容易扩充。

4、网桥的中继功能仅仅依赖于MAC 帧的地址，因而对高层协议完全透明。

(6)网络安全审计网桥模式扩展阅读：

网桥的缺点：

1、由于网桥对接收的帧要先存储和查找站表，然后转发，这就增加了时延。

2、在MAC子层并没有流量控制功能。当网络上负荷很重时，可能因网桥缓冲区的存储空间不够而发生溢出，以致产生帧丢失的现象。

3、具有不同MAC子层的网段桥接在一起时，网桥在转发一个帧之前，必须修改帧的某些字段的内容，以适合另一个MAC子层的要求，增加时延。

4、网桥只适合于用户数不太多（不超过几百个）和信息量不太大的局域网，否则有时会产生较大的广播风暴。

网桥的基本特征：

1、网桥在数据链路层上实现局域网互连；

2、网桥能够互连两个采用不同数据链路层协议、不同传输介质与不同传输速率的网络

3、网桥以接收、存储、地址过滤与转发的方式实现互连的网络之间的通信；

4、网桥需要互连的网络在数据链路层以上采用相同的协议

5、网桥可以分隔两个网络之间的通信量，有利于改善互连网络的性能与安全性。

7. 当前网络安全的情况怎样有什么样的对策

网络时代

不同的人往往从不同的角度将某个时期冠之以“XX时代”，用来强调某些事物或某些
人对社会的重要影响。这里所说的网络是指以计算机和其他电信设备为用户终端，以现代
综合电信网为传输链路，以交换设备和处理设备为结点，以多种多样的信息为载荷的集合
。这种网络对当代社会的经济、政治、文化、军事和人们的生活等方面均产生了重大的影
响，所以越来越多的人认为我们的社会已经进入“网络时代”。

可从以下数据和事例中看出网络对社会产生的重大影响：

全球的Internet用户已达5亿多户，中国则达4500多万户，而在Internet网之外还有相
当数量的专用网用户。

全球已发现的计算机病毒超过4．5万种，每年造成的经济损失超过1．6万亿美元。

中国青年报2002年9月2日有两篇关于网络的报道。一篇是说张小姐8月24日在云南丽江
乘坐的旅游车翻入山谷，张小姐第三腰椎压缩性骨折，如不及时救治可能终身残疾，其远
在深圳的朋友上网求援，获得民航的包机专运，使病人26日就转至广州中山附二医院，27
日及时进行了手术，网络使她赢得了抢救的时间；另一篇是说7月23日11：15至12：30首都
国际机场因为网络故障而“瘫痪”使60个航班和6000多名旅客的飞行被延误，还提到7月5
日深圳证券交易所因为网络故障而关停数小时的严重事故。

在网络时代，网络给社会带来了前所未有的机遇和挑战。网络的正常运行为社会带来
了巨大的进步和财富，而网络的不安全性也会造成意想不到的灾难和损失。网络正在加速
扩大覆盖范围、加速渗透到各个领域、加速改变传统规则，我们只有努力提高网络的安全
性，趋利避害，才能与网络时代同步前进。

关于网络安全的主要观点

网络安全的目标

保障网络的物理安全，对网络施以物理保护，防止遭到破坏。

保障网络的逻辑安全，即使用逻辑隔离以保证信息的机密性(confidentiality)、完整
性(integrity)、可用性(availability)、可控制性(controllability)、真实性(authent
icity)和不可抵赖性(non-repudiation)。机密性保证信息不会被未经授权的人所解读；完
整性保证信息不会被增、删、篡改和破坏；可用性保证信息确实为授权使用者正常运行；
可控性保证对网络和信息可实施安全监控；真实性保证接收到的信息确实是发信方发的而
不是假冒的；不可抵赖性保证发信方无法否认他发给收信方的信息，并可通过数字取证、
证据保全，使公证方和仲裁方方便介入，用法律管理网络。

保障网络的管理安全，首先是要选用可信任的人，其次是管理部门和管理人员要有足
够的安全常识，制订相应的法律、规章、制度，加强行政管理，预防为主。

安全不是绝对的

安全是一个与风险密切相关的概念，只有在一定风险程度范围内的安全，而没有绝对
的安全。

网络共享和网络威胁是一对公生体，网络开放、共享的程度越高，网络面临的威胁就
越高。或者说，网络的可用性越高，网络的安全性就越低。网络存在安全漏洞是难免的，
网络的被攻击是不可避免的，只是要把被攻破的几率尽可能降低而已。

网络信息战已现端倪

网络信息战是指在网络里为争夺制信息权而进行的军事争斗，目的是瘫痪敌方的指挥
自动化系统。

网络信息战的作战形式包括指挥控制战、电子战、情报战、心理战、黑客战等。

1991年海湾战争中，美军第一次将计算机病毒用于实战并获得了胜利，网络信息战开
始应用于战争；此后，在南斯拉夫的科索沃战争、俄罗斯的车臣战争，2001年以中美战机
相撞事件为导火索出现的中美黑客大战，2001年发生在美国的“9．11”恐怖袭击中，都有
网络信息战的影子。

许多军事专家已在潜心研究网络信息战的方方面面，甚至将网络信息攻击看作是现代
战争的杀手锏。可以设想，在不久的将来，军队编制中出现网络战分队甚至网军都是完全
可能的。

密码技术是网络信息安全最核心最基本的技术

密码的主要作用是将信息的密级属性改变成公开属性，使那些带密级的信息可以在公
共网络中存放、传输和交换。

密码技术可用于信息加密、信息认证、数字签名、授权控制、加密隧道和密钥管理等
方面，使截获信息的人无法凭借现阶段可获得的计算资源进行破译。

秘密全部寓于密钥之中，这是编密者的基本信条，截获者可以截取密文，但只要拿不
到密钥，就应无法破译。

编密有严格的程序和数学算法，而破译则要靠丰富的经验、广泛的联想和恰当的技巧
了。世界上没有不可破译的密码，而往往要受物力、财力、时间、条件的制约，“两军相
逢”只有智者胜了。

简单的加密只能麻痹自己，方便敌人，还不如不加密。

网络安全不能一劳永逸

网络安全和网络威胁是一对矛盾，此消彼长，并在动态中发展，在斗争中前进。

网络安全措施不是万能的，但是没有网络安全措施是万万不能的。

网络安全的重点在于提高网络的顽存性，允许某些非法入侵，允许部分组件受损、允
许某些部件的不可靠，但网络仍能在结构上合理配置资源和资源重组，仍可完成主要任务
。

网络安全要在定期的测评中运用最新技术成果不断改进，不能一劳永逸。

网络安全的投资

网络安全产业包括安全设备和安全服务两部分。安全设备包括防火墙、杀毒软件、密
码机、访问控制、安全认证、加密隧道的构筑等；安全服务包括安全咨询、安全风险评估
、项目实施、整体解决方案、安全培训、售后技术支援、产品更新换代等。

国际上网络安全产业的投资大约占网络产业的10%—15%，其中安全设备和安全服务的
投资比例接近于1：1，而且随着时间的推移安全服务的投资比例还会增大。专家们预计不
久的将来就会出现“网上110”、“网上警察”和“网上急救队”了。

做网络安全的理性用户

理性用户应该遵纪守法，贯彻执行相关的网络安全技术标准、规范；听取专家咨询建
议，制订与网络发展协调的安全方案；精挑细选，掌握产品的真实性能指标；关注最新技
术，动态调整安全方案，备好安全应急措施。

网络安全的基本对策

建立网络安全的体系结构

网络安全的体系结构是一个理论基础，可以使网络安全建设纲举目张、有条不紊、全
面周到、相对完善。

国外的一些政府部门、研究机构和公司已经就网络安全体系结构提出了一些模型，赵
战先生在其基础上提出了适合中国国情的模型，即WPDRRC(预警、保护、检测、反应、恢复
和反击)。预警是指预测网络可能受到的攻击，评估面临的风险，为安全决策提供依据；保
护是指依据不同等级的安全要求，采用不同的保护等级；检测是指动态、实时地查明网络
所受到的威胁性质和程度；反应是指对于危及安全的事件及时做出相应的处理，把危害减
至最低限度；恢复是指采用容错、冗余、替换、修复和一致性保证等技术使网络迅速恢复
正常工作；反击是指具有犯罪取证能力和打击手段。

专网与互联网的隔离

2002年8月5日国家信息化办公室发文要求、“电子政务网络由政务内网和政外网构成
，两网之间有机隔离，政务外网与互联网之间逻辑隔离。”其他部门和单位也有与此类似
的要求。

物理隔离，就是两个网络之间不存在数据流，也不存在可以共享的存储和信道。物理
隔离的实施方案有：支持双主机、单终端的终端切换方案；双硬盘、双网卡的物理隔离方
案；具有双网隔离功能的隔离网卡方案；外部网使用单独硬盘，内部网使用服务器端统一
存储的隔离方案；后来又出现了双主板、单CPU、通过硬件体系结构实现隔离的方案。用户
可以灵活设计自己的物理隔离方案，但它仍然无法抵御来自内部的无意疏忽和有意攻击。

逻辑隔离，就是两个网络之间只允许合法的数据交流，而不允许非法的数据流进入专
网。逻辑隔离可使用防火墙、网闸等来实现，例如校园网与互联网通过防火墙来互联，防
火墙可将互联网上的色情、恐怖、邪教宣传等信息拒之于校园网之外。但是防火墙是防外
不防内的，防火墙的标签区分能力仍有大量的盲点，防火墙自身往往也存在漏洞使攻击者
有隙而入，防火墙的过滤规则如果定义不恰当也会有“漏网之鱼”，防火墙若不能适应新
的安全威胁即时升级和更新也将有名无实。

另外需要指出的是，为了安全关闭网络是因噎废食；为了安全而与外部网物理隔绝，
会使内部网变成“信息孤岛”，大大降低使用效能；采用相对完善的安全方案，使内部网
与外部网(包括互联网)安全互联，使专网用户也能共享互联网的丰富资源，这才是网络的
“大禹治水”之道，网络的发展是硬道理

防火墙技术

防火墙是一种按某种规则对专网和互联网，或对互联网的一部分和其余部分之间的信
息交换进行有条件的控制(包括隔离)，从而阻断不希望发生的网络间通信的系统。

防火墙可以用硬件、也可以用软件、或用硬软件共同来实现。防火墙按应用场合可分
为企业防火墙和个人防火墙，按技术原理可分为包过滤型和应用网关型，按工作模式可分
为网桥模式和路由模式。

防火墙可以为专网加强访问控制、提供信息过滤、应用层的专用代理、日志分析统计
报告、对用户进行“钥匙口令+防火墙一次性口令”的双因于认证等功能。

防火墙的介入不应过多影响网络的效能，正常工作时应能阻挡或捕捉到非法闯入者，
特别是一旦防火墙被攻破时应能重新启动并恢复到正常工作状态，把对网络的破坏降至最
低限度。

访问控制技术

访问控制是一种确定进入网络的合法用户对哪些网络资源(如内存、I／0、CPU、数据
库等)享有何种授权并可进行何种访问(如读、写、运行等)的机制。

访问控制可分为身份访问控制、内容访问控制、规则访问控制、环境访问控制、数据
标签等类型。

访问控制的常用技术有通行字、权限标记、安全标记、访问控制表和矩阵、访问持续
时间限制等。

访问控制必须遵从最小特权原则，即用户在其合法的访问授权之外而无其他的访问特
权，以保证有效防止网络因超权限访问而造成的损失。

值得指出的是，访问控制的强度并不是很高的，也不会是绝对安全的，例如通行字一
般都很短且带有一些人所共知的特征，被猜中或攻破的可能性是较大的。

防病毒技术

计算机病毒是一种攻击性程序，它可以修改其他程序或将自身的拷贝插入其他程序中
来感染计算机网络，病毒通常都具有破坏性作用，并通过网上信息交流而迅速传播，进一
步破坏网上信息的完善性。

计算机病毒的特点是具有非授权的可执行性、隐蔽性好、感染性强、潜伏得深、破坏
性广泛、有条件地触发而发作、新病毒层出不穷等。

计算机病毒的危害多种多样。病毒程序会消耗资源使网络速度变慢；病毒会干扰、改
变用户终端的图像或声音，使用户无法正常工作：有些病毒还会破坏文件、存储器、软件
和硬件，使部分网络瘫痪；有些病毒会在硬盘上设置远程共享区，形成后门，为黑客大开
方便之门。

防病毒技术包括四个方面：病毒的检测(查毒)，并可自动报警和拦截；病毒的清除(杀
毒)，清除力求干净彻底、不伤害网络；网络的修复，依据相关线索抢救丢失的数据，使网
络恢复正常工作；病毒的预防(免疫)，通常利用软件补丁不断弥补网络漏洞，以亡羊补牢
，同时要对杀毒软件及时升级换代，保持其足够的“杀伤力”。

网络病毒千奇百怪，分类方法繁多。按病毒的算法分类则有伴随性病毒(最早出现的一
种病毒)，“蠕虫”型病毒(如1998年的莫里斯病毒)、寄生型病毒(新发现的病毒基本上都
是此类)，如幽灵病毒、装甲病毒、行骗病毒、慢效病毒、轻微破坏病毒、噬菌体病毒、反
反病毒以及综合性病毒等；而广大网民容易理解的还是按应用场合分类为互联网病毒、电
子邮件病毒、宏病毒、Windows病毒、DOS病毒、黑客程序以及其它应用性病毒。道高一尺
，魔高一丈，病毒功防战中只能是“勇敢+智慧+坚韧”的一方取胜了。

入侵检测技术

入侵检测被认为是继防火墙、信息加密之后的新一代网络安全技术。入侵检测是在指
定的网段上(例如在防火墙内)及早发现具有入侵特征的网络连接，并予以即时地报警、切
断连接或其它处置。

入侵检测与防火墙所监视的入侵特征不同。防火墙监视的是数据流的结构性特征，如
源地址、目的地址和端口号等，这些特征一定会表示在数据流的特定位置上；而入侵检测
监视的是体现在数据内容中的攻击特征，如数据流中出现大量连续的Nop填充码，往往是利
用缓；中区溢出漏洞的攻击程序所制，它们使数据流的内容发生了改变。但是还有一些入
侵不会导致数据流出现攻击特征字符串，而是体现为一种异常的群体行为模式，必须靠分
布式入侵检测系统才能综合分析而发现。

入侵检测的难点在于：检测耗费时间加响应耗费时间之和必须小于攻击耗费时间，这
个时间随着计算机速度的提高往往在μs级甚至于ns级；攻击特征成千上万，既有已知的还
有未知的，入侵检测的算法也要随之而改进：网络宽带越来越大，网上数据流量已是天量
海量，检测如此巨大的数据流真如“大海捞针”；入侵检测要对非法入侵发现得及时、抓
住特征、防止销毁证据并做出反击，是一场不折不扣的高科技战争。

虚拟安全专网(VPN)

VPN是指业务提供商利用公众网(如互联网)将多个用户子网连接成一个专用网，VPN是
一个逻辑网络而非物理网络，它既拥有公众网的丰富资源而又拥有专用网的安全性和灵活
性。

目前的公众网都是基于IP网间协议的，为了解决IP数据流的安全问题，IETF(因特网工
程工作组)制订了一个Ipsec(IP安全标准)。Ipsec采用两种安全机制：一个是AH(IP鉴别头
)，它对IP数据进行强密码校验，进而提供数据完整性鉴别和源鉴别；另一个是ESP(IP数据
封装安全净荷)，它通过加密IP数据来提供数据完整性和保密性，ESP又分为隧道加密方式
(即对整个IP数据全加密)和IP数据净荷加密方式两类。

Ipsec是一种端到端的安全机制，Ipsec工作于互联网协议的第三层即网间协议层，因
此位于第四层的TCP协议(即传送控制协议)不用任何改变即可工作在Ipsec之上。

其它网络安全对策

除了上述几条外，网络安全方面还应采用以下一些对策：

适当强度的密码算法，密码始终是网络安全的基石，也是一切安全对策的核心；

采用安全性好的操作系统；

采用电磁防护措施，一方面要防止有用信息的电磁漏泻发射，另一方面要采用抗电磁
干扰传输方式；

采用防雷电的保护措施；

采用适当的物理防护措施；

加强行政管理、完善规章制度、严格人员选任、法律介入网络等。

结束语

网络是我们驰骋的广阔天地，而网络出口和IP地址为我们划定了网络疆土。网络天地
里既充满了各种各样的有用资源，也暗藏着许多“杀机”，正在进行着一场没有硝烟的战
争。“保存自己、消灭敌人”是我们的基本原则，为了实现网络安全，我们必须不断学习
，与网络的发展同步前进；听取和尊重专家的建议，慎重安全决策；综合运用多种安全对
策，确保适度的网络安全；动态改进安全对策；努力占据安全的制高点。

8. 什么是桥模式和路由模式有什么不一样么请教高手解释一下，简单易懂啊。

桥模式就是交换模式，网桥将网络的多个网段在数据链路层连接起来，是早期的两端口二层网络设备，用来连接不同网段。

桥模式与路由模式主要有以下三个方面不同：

1、二者工作方式不同。

①网桥工作在数据链路层，将两个LAN连起来，根据MAC地址来转发帧，可以看作一个“低层的路由器”（路由器工作在网络层，根据网络地址如IP地址进行转发）。

②路由模式一般指的是ADSL ROUTER在“ROUTER ENABLE（路由使能）”的工作模式下，它具有PPPOE拨号、NAT、RIP-1等少量路由功能。

参考资料来源：

1、网络-网桥

2、网络-路由模式