导航:首页 > 网络安全 > 代码战争网络安全

代码战争网络安全

发布时间:2022-09-28 17:48:07

网络安全都包括什么

电信系统网络解决方案

第一章 前 言

第二章 网络安全概述

第三章 网络安全解决方案

第四章 典型应用案例

第五章 未来网络安全解决方案发展趋势

第一章 前 言

当今的网络运营商正在经历一个令人振奋的信息爆炸时代,网络骨干带宽平均每六到九个月就要增加一倍。数据业务作为其中起主导作用的主要业务类型,要求并驱动网络结构开始发生根本性的改变。光互联网的出现为基于IP技术的网络应用奠定了新的基础。伴随网络的普及,信息网络技术的应用、关键业务系统扩展,电信部门业务系统安全成为影响网络效能的重要问题,而Internet所具有的开放性、国际性和自由性在增加应用自由度的同时,对安全提出了更高的要求。由于国际形势的变化,加剧了爆发"网络战争"的可能性,保障网络及信息安全直接关系到国家的经济安全甚至国家安全。因此如何使信息网络系统不受黑客和间谍的入侵,已成为国家电信基础网络健康发展所要考虑的重要问题。

在新的电信市场环境中,需求的多元化和信息消费的个性化逐渐成为必然趋势,这一点在数据通信领域体现得尤为明显。经过几年努力,公用数据通信网络在规模上和技术层次上都有了一个飞跃,用户数持续高速增长,信息业务用户发展尤为迅猛,全国性大集团性用户不断增加,并且开始向企业用户转移;政府上网工程进展顺利,电子商务已全面启动,中国电信安全认证体系通过了中国密码管理委员会和信息产业部举行的联合鉴定,并与金融部门开展了有效的合作。电信同时提供Internet接入业务,IP电话业务以及其他业务.该IP承载网承载图象、语音和数据的统一平台,强调Qos,VPN和计费等,成为新时代的多业务承载网。中国电信数据通信的发展定位于网络服务,实现个性化的服务。事实上,这一类网络功能非常丰富,如储值卡业务、电子商务认证平台、虚拟专用网等。而这一切都依赖于网络安全的保障,如果没有安全,个性化服务就根本无从谈起。只有电信的基础平台完善了,功能强化了,安全问题得到保障了,才能够提供真正个性化的服务。

由于电信部门的特殊性,传递重要信息、是整个国民通信系统的基础。它的安全性是尤其重要的。由于我们的一些技术和国外还有一定差距,国内现有的或正在建设中的网络,采用的网络设备和网络安全产品几乎全是国外厂家的产品。而只有使用国内自主研制的信息安全产品、具有自主版权的安全产品,才能真正掌握信息战场上的主动权,才能从根本上防范来自各种非法的恶意攻击和破坏。现今大多数计算机网络都把安全机制建立在网络层安全机制上,认为网络安全就仅仅是防火墙、加密机等设备。随着网络的互联程度的扩大,具体应用的多元化,这种安全机制对于网络环境来讲是十分有限的。面对种种威胁,必须采取有力的措施来保证计算机网络的安全。必须对网络的情况做深入的了解,对安全要求做严谨的分析,提出一个完善的安全解决方案。本方案根据电信网络的具体网络环境和具体的应用,介绍如何建立一套针对电信部门的完整的网络安全解决方案。

第二章 网络安全概述

网络安全的定义

什么是计算机网络安全,尽管现在这个词很火,但是真正对它有个正确认识的人并不多。事实上要正确定义计算机网络安全并不容易,困难在于要形成一个足够去全面而有效的定义。通常的感觉下,安全就是"避免冒险和危险"。在计算机科学中,安全就是防止:

未授权的使用者访问信息

未授权而试图破坏或更改信息

这可以重述为"安全就是一个系统保护信息和系统资源相应的机密性和完整性的能力"。注意第二个定义的范围包括系统资源,即CPU、硬盘、程序以及其他信息。

在电信行业中,网络安全的含义包括:关键设备的可靠性;网络结构、路由的安全性;具有网络监控、分析和自动响应的功能;确保网络安全相关的参数正常;能够保护电信网络的公开服务器(如拨号接入服务器等)以及网络数据的安全性等各个方面。其关键是在满足电信网络要求,不影响网络效率的同时保障其安全性。

电信行业的具体网络应用(结合典型案例)

电信整个网络在技术上定位为以光纤为主要传输介质,以IP为主要通信协议。所以我们在选用安防产品时必须要达到电信网络的要求。如防火墙必须满足各种路由协议,QOS的保证、MPLS技术的实现、速率的要求、冗余等多种要求。这些都是电信运营商应该首先考虑的问题。电信网络是提供信道的,所以IP优化尤其重要,至少包括包括如下几个要素:

网络结构的IP优化。网络体系结构以IP为设计基础,体现在网络层的层次化体系结构,可以减少对传统传输体系的依赖。

IP路由协议的优化。

IP包转发的优化。适合大型、高速宽带网络和下一代因特网的特征,提供高速路由查找和包转发机制。

带宽优化。在合理的QoS控制下,最大限度的利用光纤的带宽。

稳定性优化。最大限度的利用光传输在故障恢复方面快速切换的能力,快速恢复网络连接,避免路由表颤动引起的整网震荡,提供符合高速宽带网络要求的可靠性和稳定性。

从骨干层网络承载能力,可靠性,QoS,扩展性,网络互联,通信协议,网管,安全,多业务支持等方面论述某省移动互联网工程的技术要求。

骨干层网络承载能力

骨干网采用的高端骨干路由器设备可提供155M POS端口。进一步,支持密集波分复用(DWDM)技术以提供更高的带宽。网络核心与信息汇聚点的连接速率为155M连接速率,连接全部为光纤连接。

骨干网设备的无阻塞交换容量具备足够的能力满足高速端口之间的无丢包线速交换。骨干网设备的交换模块或接口模块应提供足够的缓存和拥塞控制机制,避免前向拥塞时的丢包。

可靠性和自愈能力

包括链路冗余、模块冗余、设备冗余、路由冗余等要求。对某省移动互联网工程这样的运营级宽带IP骨干网络来说,考虑网络的可靠性及自愈能力是必不可少的。

链路冗余。在骨干设备之间具备可靠的线路冗余方式。建议采用负载均衡的冗余方式,即通常情况下两条连接均提供数据传输,并互为备份。充分体现采用光纤技术的优越性,不会引起业务的瞬间质量恶化,更不会引起业务的中断。

模块冗余。骨干设备的所有模块和环境部件应具备1+1或1:N热备份的功能,切换时间小于3秒。所有模块具备热插拔的功能。系统具备99.999%以上的可用性。

设备冗余。提供由两台或两台以上设备组成一个虚拟设备的能力。当其中一个设备因故障停止工作时,另一台设备自动接替其工作,并且不引起其他节点的路由表重新计算,从而提高网络的稳定性。切换时间小于3秒,以保证大部分IP应用不会出现超时错误。

路由冗余。网络的结构设计应提供足够的路由冗余功能,在上述冗余特性仍不能解决问题,数据流应能寻找其他路径到达目的地址。在一个足够复杂的网络环境中,网络连接发生变化时,路由表的收敛时间应小于30秒。

拥塞控制与服务质量保障

拥塞控制和服务质量保障(QoS)是公众服务网的重要品质。由于接入方式、接入速率、应用方式、数据性质的丰富多样,网络的数据流量突发是不可避免的,因此,网络对拥塞的控制和对不同性质数据流的不同处理是十分重要的。

业务分类。网络设备应支持6~8种业务分类(CoS)。当用户终端不提供业务分类信息时,网络设备应根据用户所在网段、应用类型、流量大小等自动对业务进行分类。

接入速率控制。接入本网络的业务应遵守其接入速率承诺。超过承诺速率的数据将被丢弃或标以最低的优先级。

队列机制。具有先进的队列机制进行拥塞控制,对不同等级的业务进行不同的处理,包括时延的不同和丢包率的不同。

先期拥塞控制。当网络出现真正的拥塞时,瞬间大量的丢包会引起大量TCP数据同时重发,加剧网络拥塞的程度并引起网络的不稳定。网络设备应具备先进的技术,在网路出现拥塞前就自动采取适当的措施,进行先期拥塞控制,避免瞬间大量的丢包现象。

资源预留。对非常重要的特殊应用,应可以采用保留带宽资源的方式保证其QoS。

端口密度扩展。设备的端口密度应能满足网络扩容时设备间互联的需要。

网络的扩展能力

网络的扩展能力包括设备交换容量的扩展能力、端口密度的扩展能力、骨干带宽的扩展,以及网络规模的扩展能力。

交换容量扩展。交换容量应具备在现有基础上继续扩充多容量的能力,以适应数据类业务急速膨胀的现实。

骨干带宽扩展。骨干带宽应具备高的带宽扩展能力,以适应数据类业务急速膨胀的现实。

网络规模扩展。网络体系、路由协议的规划和设备的CPU路由处理能力,应能满足本网络覆盖某省移动整个地区的需求。

与其他网络的互联

保证与中国移动互联网,INTERNET国内国际出口的无缝连接。

通信协议的支持

以支持TCP/IP协议为主,兼支持IPX、DECNET、APPLE-TALK等协议。提供服务营运级别的网络通信软件和网际操作系统。

支持RIP、RIPv2、OSPF、IGRP、EIGRP、ISIS等路由协议。根据本网规模的需求,必须支持OSPF路由协议。然而,由于OSPF协议非常耗费CPU和内存,而本网络未来十分庞大复杂,必须采取合理的区域划分和路由规划(例如网址汇总等)来保证网络的稳定性。

支持BGP4等标准的域间路由协议,保证与其他IP网络的可靠互联。

支持MPLS标准,便于利用MPLS开展增值业务,如VPN、TE流量工程等。

网络管理与安全体系

支持整个网络系统各种网络设备的统一网络管理。

支持故障管理、记帐管理、配置管理、性能管理和安全管理五功能。

支持系统级的管理,包括系统分析、系统规划等;支持基于策略的管理,对策略的修改能够立即反应到所有相关设备中。

网络设备支持多级管理权限,支持RADIUS、TACACS+等认证机制。

对网管、认证计费等网段保证足够的安全性。

IP增值业务的支持

技术的发展和大量用户应用需求将诱发大量的在IP网络基础上的新业务。因此,运营商需要一个简单、集成化的业务平台以快速生成业务。MPLS技术正是这种便于电信运营商大规模地快速开展业务的手段。

传送时延

带宽成本的下降使得当今新型电信服务商在进行其网络规划时,会以系统容量作为其主要考虑的要素。但是,有一点需要提起注意的是,IP技术本身是面向非连接的技术,其最主要的特点是,在突发状态下易于出现拥塞,因此,即使在高带宽的网络中,也要充分考虑端到端的网络传送时延对于那些对时延敏感的业务的影响,如根据ITU-T的标准端到端的VoIP应用要求时延小于150ms。对于应用型实际运营网络,尤其当网络负荷增大时,如何确保时延要求更为至关重要,要确保这一点的关键在于采用设备对于延迟的控制能力,即其延迟能力在小负荷和大量超负荷时延迟是否都控制在敏感业务的可忍受范围内。

RAS (Reliability, Availability, Serviceability)

RAS是运营级网络必须考虑的问题,如何提供具有99.999%的业务可用性的网络是网络规划和设计的主要考虑。在进行网络可靠性设计时,关键点在于网络中不能因出现单点故障而引起全网瘫痪,特别在对于象某省移动这些的全省骨干网而言更是如此。为此,必须从单节点设备和端到端设备提供整体解决方案。Cisco7500系列路由器具有最大的单节点可靠性,包括电源冗余备份,控制板备份,交换矩阵备份,风扇的合理设计等功能;整体上,Cisco通过提供MPLSFRR和MPLS流量工程技术,可以保证通道级的快速保护切换,从而最大程度的保证了端到端的业务可用性。

虚拟专用网(VPN)

虚拟专用网是目前获得广泛应用,也是目前运营商获得利润的一种主要方式。除了原有的基于隧道技术,如IPSec、L2TP等来构造VPN之外,Cisco还利用新型的基于标准的MPLSVPN来构造Intrane和Extranet,并可以通过MPLSVPN技术提供Carrier'sCarrier服务。这从网络的可扩展性,可操作性等方面开拓了一条新的途径;同时,极大地简化了网络运营程序,从而极大地降低了运营费用。另外,采用Cisco跨多个AS及多个域内协议域的技术可使某省移动可随着其网络的不断增长扩展其MPLSVPN业务的实施,并可与其他运营商合作实现更广阔的业务能力。

服务质量保证

通常的Internet排队机制如:CustomerQueue,PriorityQueue,CBWFQ,WRR,WRED等技术不能完全满足对时延敏感业务所要求的端到端时延指标。为此,选用MDRR/WRED技术,可以为对时延敏感业务生成单独的优先级队列,保证时延要求;同时还专门对基于Multicast的应用提供了专门的队列支持,从而从真正意义上向网上实时多媒体应用迈进一步。

根据以上对电信行业的典型应用的分析,我们认为,以上各条都是运营商最关心的问题,我们在给他们做网络安全解决方案时必须要考虑到是否满足以上要求,不影响电信网络的正常使用,可以看到电信网络对网络安全产品的要求是非常高的。

网络安全风险分析

瞄准网络存在的安全漏洞,黑客们所制造的各类新型的风险将会不断产生,这些风险由多种因素引起,与网络系统结构和系统的应用等因素密切相关。下面从物理安全、网络安全、系统安全、应用安全及管理安全进行分类描述:

1、物理安全风险分析

我们认为网络物理安全是整个网络系统安全的前提。物理安全的风险主要有:

地震、水灾、火灾等环境事故造成整个系统毁灭

电源故障造成设备断电以至操作系统引导失败或数据库信息丢失

电磁辐射可能造成数据信息被窃取或偷阅

不能保证几个不同机密程度网络的物理隔离

2、网络安全风险分析

内部网络与外部网络间如果在没有采取一定的安全防护措施,内部网络容易遭到来自外网的攻击。包括来自internet上的风险和下级单位的风险。

内部局网不同部门或用户之间如果没有采用相应一些访问控制,也可能造成信息泄漏或非法攻击。据调查统计,已发生的网络安全事件中,70%的攻击是来自内部。因此内部网的安全风险更严重。内部员工对自身企业网络结构、应用比较熟悉,自已攻击或泄露重要信息内外勾结,都将可能成为导致系统受攻击的最致命安全威胁。

3、系统的安全风险分析

所谓系统安全通常是指网络操作系统、应用系统的安全。目前的操作系统或应用系统无论是Windows还是其它任何商用UNIX操作系统以及其它厂商开发的应用系统,其开发厂商必然有其Back-Door。而且系统本身必定存在安全漏洞。这些"后门"或安全漏洞都将存在重大安全隐患。因此应正确估价自己的网络风险并根据自己的网络风险大小作出相应的安全解决方案。

4、应用的安全风险分析

应用系统的安全涉及很多方面。应用系统是动态的、不断变化的。应用的安全性也是动态的。比如新增了一个新的应用程序,肯定会出现新的安全漏洞,必须在安全策略上做一些调整,不断完善。

4.1 公开服务器应用

电信省中心负责全省的汇接、网络管理、业务管理和信息服务,所以设备较多包括全省用户管理、计费服务器、认证服务器、安全服务器、网管服务器、DNS服务器等公开服务器对外网提供浏览、查录、下载等服务。既然外部用户可以正常访问这些公开服务器,如果没有采取一些访问控制,恶意入侵者就可能利用这些公开服务器存在的安全漏洞(开放的其它协议、端口号等)控制这些服务器,甚至利用公开服务器网络作桥梁入侵到内部局域网,盗取或破坏重要信息。这些服务器上记录的数据都是非常重要的,完成计费、认证等功能,他们的安全性应得到100%的保证。

4.2 病毒传播

网络是病毒传播的最好、最快的途径之一。病毒程序可以通过网上下载、电子邮件、使用盗版光盘或软盘、人为投放等传播途径潜入内部网。网络中一旦有一台主机受病毒感染,则病毒程序就完全可能在极短的时间内迅速扩散,传播到网络上的所有主机,有些病毒会在你的系统中自动打包一些文件自动从发件箱中发出。可能造成信息泄漏、文件丢失、机器死机等不安全因素。

4.3信息存储

由于天灾或其它意外事故,数据库服务器造到破坏,如果没有采用相应的安全备份与恢复系统,则可能造成数据丢失后果,至少可能造成长时间的中断服务。

4.4 管理的安全风险分析

管理是网络中安全最最重要的部分。责权不明,安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。

比如一些员工或管理员随便让一些非本地员工甚至外来人员进入机房重地,或者员工有意无意泄漏他们所知道的一些重要信息,而管理上却没有相应制度来约束。当网络出现攻击行为或网络受到其它一些安全威胁时(如内部人员的违规操作等),无法进行实时的检测、监控、报告与预警。同时,当事故发生后,也无法提供黑客攻击行为的追踪线索及破案依据,即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录,及时发现非法入侵行为。

建立全新网络安全机制,必须深刻理解网络并能提供直接的解决方案,因此,最可行的做法是管理制度和技术解决方案的结合。

安全需求分析

1、物理安全需求

针对重要信息可能通过电磁辐射或线路干扰等泄漏。需要对存放绝密信息的机房进行必要的设计,如构建屏蔽室。采用辐射干扰机,防止电磁辐射泄漏机密信息。对存有重要数据库且有实时性服务要求的服务器必须采用UPS不间断稳压电源,且数据库服务器采用双机热备份,数据迁移等方式保证数据库服务器实时对外部用户提供服务并且能快速恢复。

2、系统安全需求

对于操作系统的安全防范可以采取如下策略:尽量采用安全性较高的网络操作系统并进行必要的安全配置、关闭一些起不常用却存在安全隐患的应用、对一些关键文件(如UNIX下:/.rhost、etc/host、passwd、shadow、group等)使用权限进行严格限制、加强口令字的使用、及时给系统打补丁、系统内部的相互调用不对外公开。

应用系统安全上,主要考虑身份鉴别和审计跟踪记录。这必须加强登录过程的身份认证,通过设置复杂些的口令,确保用户使用的合法性;其次应该严格限制登录者的操作权限,将其完成的操作限制在最小的范围内。充分利用操作系统和应用系统本身的日志功能,对用户所访问的信息做记录,为事后审查提供依据。我们认为采用的入侵检测系统可以对进出网络的所有访问进行很好的监测、响应并作记录。

3、防火墙需求

防火墙是网络安全最基本、最经济、最有效的手段之一。防火墙可以实现内部、外部网或不同信任域网络之间的隔离,达到有效的控制对网络访问的作用。

3.1省中心与各下级机构的隔离与访问控制

防火墙可以做到网络间的单向访问需求,过滤一些不安全服务;

防火墙可以针对协议、端口号、时间、流量等条件实现安全的访问控制。

防火墙具有很强的记录日志的功能,可以对您所要求的策略来记录所有不安全的访问行为。

3.2公开服务器与内部其它子网的隔离与访问控制

利用防火墙可以做到单向访问控制的功能,仅允许内部网用户及合法外部用户可以通过防火墙来访问公开服务器,而公开服务器不可以主动发起对内部网络的访问,这样,假如公开服务器造受攻击,内部网由于有防火墙的保护,依然是安全的。

4、加密需求

目前,网络运营商所开展的VPN业务类型一般有以下三种:

1.拨号VPN业务(VPDN)2.专线VPN业务3.MPLS的VPN业务

移动互连网络VPN业务应能为用户提供拨号VPN、专线VPN服务,并应考虑MPLSVPN业务的支持与实现。

VPN业务一般由以下几部分组成:

(1)业务承载网络(2)业务管理中心(3)接入系统(4)用户系统

我们认为实现电信级的加密传输功能用支持VPN的路由设备实现是现阶段最可行的办法。

5、安全评估系统需求

网络系统存在安全漏洞(如安全配置不严密等)、操作系统安全漏洞等是黑客等入侵者攻击屡屡得手的重要因素。并且,随着网络的升级或新增应用服务,网络或许会出现新的安全漏洞。因此必需配备网络安全扫描系统和系统安全扫描系统检测网络中存在的安全漏洞,并且要经常使用,对扫描结果进行分析审计,及时采取相应的措施填补系统漏洞,对网络设备等存在的不安全配置重新进行安全配置。

6、入侵检测系统需求

在许多人看来,有了防火墙,网络就安全了,就可以高枕无忧了。其实,这是一种错误的认识,防火墙是实现网络安全最基本、最经济、最有效的措施之一。防火墙可以对所有的访问进行严格控制(允许、禁止、报警)。但它是静态的,而网络安全是动态的、整体的,黑客的攻击方法有无数,防火墙不是万能的,不可能完全防止这些有意或无意的攻击。必须配备入侵检测系统,对透过防火墙的攻击进行检测并做相应反应(记录、报警、阻断)。入侵检测系统和防火墙配合使用,这样可以实现多重防护,构成一个整体的、完善的网络安全保护系统。

7、防病毒系统需求

针对防病毒危害性极大并且传播极为迅速,必须配备从服务器到单机的整套防病毒软件,防止病毒入侵主机并扩散到全网,实现全网的病毒安全防护。并且由于新病毒的出现比较快,所以要求防病毒系统的病毒代码库的更新周期必须比较短。

8、数据备份系统

安全不是绝对的,没有哪种产品的可以做到百分之百的安全,但我们的许多数据需要绝对的保护。最安全的、最保险的方法是对重要数据信息进行安全备份,通过网络备份与灾难恢复系统进行定时自动备份数据信息到本地或远程的磁带上,并把磁带与机房隔离保存于安全位置。如果遇到系统来重受损时,可以利用灾难恢复系统进行快速恢复。

9、安全管理体制需求

安全体系的建立和维护需要有良好的管理制度和很高的安全意识来保障。安全意识可以通过安全常识培训来提高,行为的约束只能通过严格的管理体制,并利用法律手段来实现。因些必须在电信部门系统内根据自身的应用与安全需求,制定安全管理制度并严格按执行,并通过安全知识及法律常识的培训,加强整体员工的自身安全意识及防范外部入侵的安全技术。

安全目标

通过以上对网络安全风险分析及需求分析,再根据需求配备相应安全设备,采用上述方案,我们认为一个电信网络应该达到如下的安全目标:

建立一套完整可行的网络安全与网络管理策略并加强培训,提高整体人员的安全意识及反黑技术。

利用防火墙实现内外网或不信任域之间的隔离与访问控制并作日志;

通过防火墙的一次性口令认证机制,实现远程用户对内部网访问的细粒度访问控制;

通过入侵检测系统全面监视进出网络的所有访问行为,及时发现和拒绝不安全的操作和黑客攻击行为并对攻击行为作日志;

通过网络及系统的安全扫描系统检测网络安全漏洞,减少可能被黑客利用的不安全因素;

利用全网的防病毒系统软件,保证网络和主机不被病毒的侵害;

备份与灾难恢复---强化系统备份,实现系统快速恢复;

通过安全服务提高整个网络系统的安全性。

② 网络安全问题

电信系统网络解决方案

第一章 前 言

第二章 网络安全概述

第三章 网络安全解决方案

第四章 典型应用案例

第五章 未来网络安全解决方案发展趋势

第一章 前 言

当今的网络运营商正在经历一个令人振奋的信息爆炸时代,网络骨干带宽平均每六到九个月就要增加一倍。数据业务作为其中起主导作用的主要业务类型,要求并驱动网络结构开始发生根本性的改变。光互联网的出现为基于IP技术的网络应用奠定了新的基础。伴随网络的普及,信息网络技术的应用、关键业务系统扩展,电信部门业务系统安全成为影响网络效能的重要问题,而Internet所具有的开放性、国际性和自由性在增加应用自由度的同时,对安全提出了更高的要求。由于国际形势的变化,加剧了爆发"网络战争"的可能性,保障网络及信息安全直接关系到国家的经济安全甚至国家安全。因此如何使信息网络系统不受黑客和间谍的入侵,已成为国家电信基础网络健康发展所要考虑的重要问题。

在新的电信市场环境中,需求的多元化和信息消费的个性化逐渐成为必然趋势,这一点在数据通信领域体现得尤为明显。经过几年努力,公用数据通信网络在规模上和技术层次上都有了一个飞跃,用户数持续高速增长,信息业务用户发展尤为迅猛,全国性大集团性用户不断增加,并且开始向企业用户转移;政府上网工程进展顺利,电子商务已全面启动,中国电信安全认证体系通过了中国密码管理委员会和信息产业部举行的联合鉴定,并与金融部门开展了有效的合作。电信同时提供Internet接入业务,IP电话业务以及其他业务.该IP承载网承载图象、语音和数据的统一平台,强调Qos,VPN和计费等,成为新时代的多业务承载网。中国电信数据通信的发展定位于网络服务,实现个性化的服务。事实上,这一类网络功能非常丰富,如储值卡业务、电子商务认证平台、虚拟专用网等。而这一切都依赖于网络安全的保障,如果没有安全,个性化服务就根本无从谈起。只有电信的基础平台完善了,功能强化了,安全问题得到保障了,才能够提供真正个性化的服务。

由于电信部门的特殊性,传递重要信息、是整个国民通信系统的基础。它的安全性是尤其重要的。由于我们的一些技术和国外还有一定差距,国内现有的或正在建设中的网络,采用的网络设备和网络安全产品几乎全是国外厂家的产品。而只有使用国内自主研制的信息安全产品、具有自主版权的安全产品,才能真正掌握信息战场上的主动权,才能从根本上防范来自各种非法的恶意攻击和破坏。现今大多数计算机网络都把安全机制建立在网络层安全机制上,认为网络安全就仅仅是防火墙、加密机等设备。随着网络的互联程度的扩大,具体应用的多元化,这种安全机制对于网络环境来讲是十分有限的。面对种种威胁,必须采取有力的措施来保证计算机网络的安全。必须对网络的情况做深入的了解,对安全要求做严谨的分析,提出一个完善的安全解决方案。本方案根据电信网络的具体网络环境和具体的应用,介绍如何建立一套针对电信部门的完整的网络安全解决方案。

第二章 网络安全概述

网络安全的定义

什么是计算机网络安全,尽管现在这个词很火,但是真正对它有个正确认识的人并不多。事实上要正确定义计算机网络安全并不容易,困难在于要形成一个足够去全面而有效的定义。通常的感觉下,安全就是"避免冒险和危险"。在计算机科学中,安全就是防止:

未授权的使用者访问信息

未授权而试图破坏或更改信息

这可以重述为"安全就是一个系统保护信息和系统资源相应的机密性和完整性的能力"。注意第二个定义的范围包括系统资源,即CPU、硬盘、程序以及其他信息。

在电信行业中,网络安全的含义包括:关键设备的可靠性;网络结构、路由的安全性;具有网络监控、分析和自动响应的功能;确保网络安全相关的参数正常;能够保护电信网络的公开服务器(如拨号接入服务器等)以及网络数据的安全性等各个方面。其关键是在满足电信网络要求,不影响网络效率的同时保障其安全性。

电信行业的具体网络应用(结合典型案例)

电信整个网络在技术上定位为以光纤为主要传输介质,以IP为主要通信协议。所以我们在选用安防产品时必须要达到电信网络的要求。如防火墙必须满足各种路由协议,QOS的保证、MPLS技术的实现、速率的要求、冗余等多种要求。这些都是电信运营商应该首先考虑的问题。电信网络是提供信道的,所以IP优化尤其重要,至少包括包括如下几个要素:

网络结构的IP优化。网络体系结构以IP为设计基础,体现在网络层的层次化体系结构,可以减少对传统传输体系的依赖。

IP路由协议的优化。

IP包转发的优化。适合大型、高速宽带网络和下一代因特网的特征,提供高速路由查找和包转发机制。

带宽优化。在合理的QoS控制下,最大限度的利用光纤的带宽。

稳定性优化。最大限度的利用光传输在故障恢复方面快速切换的能力,快速恢复网络连接,避免路由表颤动引起的整网震荡,提供符合高速宽带网络要求的可靠性和稳定性。

从骨干层网络承载能力,可靠性,QoS,扩展性,网络互联,通信协议,网管,安全,多业务支持等方面论述某省移动互联网工程的技术要求。

骨干层网络承载能力

骨干网采用的高端骨干路由器设备可提供155M POS端口。进一步,支持密集波分复用(DWDM)技术以提供更高的带宽。网络核心与信息汇聚点的连接速率为155M连接速率,连接全部为光纤连接。

骨干网设备的无阻塞交换容量具备足够的能力满足高速端口之间的无丢包线速交换。骨干网设备的交换模块或接口模块应提供足够的缓存和拥塞控制机制,避免前向拥塞时的丢包。

可靠性和自愈能力

包括链路冗余、模块冗余、设备冗余、路由冗余等要求。对某省移动互联网工程这样的运营级宽带IP骨干网络来说,考虑网络的可靠性及自愈能力是必不可少的。

链路冗余。在骨干设备之间具备可靠的线路冗余方式。建议采用负载均衡的冗余方式,即通常情况下两条连接均提供数据传输,并互为备份。充分体现采用光纤技术的优越性,不会引起业务的瞬间质量恶化,更不会引起业务的中断。

模块冗余。骨干设备的所有模块和环境部件应具备1+1或1:N热备份的功能,切换时间小于3秒。所有模块具备热插拔的功能。系统具备99.999%以上的可用性。

设备冗余。提供由两台或两台以上设备组成一个虚拟设备的能力。当其中一个设备因故障停止工作时,另一台设备自动接替其工作,并且不引起其他节点的路由表重新计算,从而提高网络的稳定性。切换时间小于3秒,以保证大部分IP应用不会出现超时错误。

路由冗余。网络的结构设计应提供足够的路由冗余功能,在上述冗余特性仍不能解决问题,数据流应能寻找其他路径到达目的地址。在一个足够复杂的网络环境中,网络连接发生变化时,路由表的收敛时间应小于30秒。

拥塞控制与服务质量保障

拥塞控制和服务质量保障(QoS)是公众服务网的重要品质。由于接入方式、接入速率、应用方式、数据性质的丰富多样,网络的数据流量突发是不可避免的,因此,网络对拥塞的控制和对不同性质数据流的不同处理是十分重要的。

业务分类。网络设备应支持6~8种业务分类(CoS)。当用户终端不提供业务分类信息时,网络设备应根据用户所在网段、应用类型、流量大小等自动对业务进行分类。

接入速率控制。接入本网络的业务应遵守其接入速率承诺。超过承诺速率的数据将被丢弃或标以最低的优先级。

队列机制。具有先进的队列机制进行拥塞控制,对不同等级的业务进行不同的处理,包括时延的不同和丢包率的不同。

先期拥塞控制。当网络出现真正的拥塞时,瞬间大量的丢包会引起大量TCP数据同时重发,加剧网络拥塞的程度并引起网络的不稳定。网络设备应具备先进的技术,在网路出现拥塞前就自动采取适当的措施,进行先期拥塞控制,避免瞬间大量的丢包现象。

资源预留。对非常重要的特殊应用,应可以采用保留带宽资源的方式保证其QoS。

端口密度扩展。设备的端口密度应能满足网络扩容时设备间互联的需要。

网络的扩展能力

网络的扩展能力包括设备交换容量的扩展能力、端口密度的扩展能力、骨干带宽的扩展,以及网络规模的扩展能力。

交换容量扩展。交换容量应具备在现有基础上继续扩充多容量的能力,以适应数据类业务急速膨胀的现实。

骨干带宽扩展。骨干带宽应具备高的带宽扩展能力,以适应数据类业务急速膨胀的现实。

网络规模扩展。网络体系、路由协议的规划和设备的CPU路由处理能力,应能满足本网络覆盖某省移动整个地区的需求。

与其他网络的互联

保证与中国移动互联网,INTERNET国内国际出口的无缝连接。

通信协议的支持

以支持TCP/IP协议为主,兼支持IPX、DECNET、APPLE-TALK等协议。提供服务营运级别的网络通信软件和网际操作系统。

支持RIP、RIPv2、OSPF、IGRP、EIGRP、ISIS等路由协议。根据本网规模的需求,必须支持OSPF路由协议。然而,由于OSPF协议非常耗费CPU和内存,而本网络未来十分庞大复杂,必须采取合理的区域划分和路由规划(例如网址汇总等)来保证网络的稳定性。

支持BGP4等标准的域间路由协议,保证与其他IP网络的可靠互联。

支持MPLS标准,便于利用MPLS开展增值业务,如VPN、TE流量工程等。

网络管理与安全体系

支持整个网络系统各种网络设备的统一网络管理。

支持故障管理、记帐管理、配置管理、性能管理和安全管理五功能。

支持系统级的管理,包括系统分析、系统规划等;支持基于策略的管理,对策略的修改能够立即反应到所有相关设备中。

网络设备支持多级管理权限,支持RADIUS、TACACS+等认证机制。

对网管、认证计费等网段保证足够的安全性。

IP增值业务的支持

技术的发展和大量用户应用需求将诱发大量的在IP网络基础上的新业务。因此,运营商需要一个简单、集成化的业务平台以快速生成业务。MPLS技术正是这种便于电信运营商大规模地快速开展业务的手段。

传送时延

带宽成本的下降使得当今新型电信服务商在进行其网络规划时,会以系统容量作为其主要考虑的要素。但是,有一点需要提起注意的是,IP技术本身是面向非连接的技术,其最主要的特点是,在突发状态下易于出现拥塞,因此,即使在高带宽的网络中,也要充分考虑端到端的网络传送时延对于那些对时延敏感的业务的影响,如根据ITU-T的标准端到端的VoIP应用要求时延小于150ms。对于应用型实际运营网络,尤其当网络负荷增大时,如何确保时延要求更为至关重要,要确保这一点的关键在于采用设备对于延迟的控制能力,即其延迟能力在小负荷和大量超负荷时延迟是否都控制在敏感业务的可忍受范围内。

RAS (Reliability, Availability, Serviceability)

RAS是运营级网络必须考虑的问题,如何提供具有99.999%的业务可用性的网络是网络规划和设计的主要考虑。在进行网络可靠性设计时,关键点在于网络中不能因出现单点故障而引起全网瘫痪,特别在对于象某省移动这些的全省骨干网而言更是如此。为此,必须从单节点设备和端到端设备提供整体解决方案。Cisco7500系列路由器具有最大的单节点可靠性,包括电源冗余备份,控制板备份,交换矩阵备份,风扇的合理设计等功能;整体上,Cisco通过提供MPLSFRR和MPLS流量工程技术,可以保证通道级的快速保护切换,从而最大程度的保证了端到端的业务可用性。

虚拟专用网(VPN)

虚拟专用网是目前获得广泛应用,也是目前运营商获得利润的一种主要方式。除了原有的基于隧道技术,如IPSec、L2TP等来构造VPN之外,Cisco还利用新型的基于标准的MPLSVPN来构造Intrane和Extranet,并可以通过MPLSVPN技术提供Carrier'sCarrier服务。这从网络的可扩展性,可操作性等方面开拓了一条新的途径;同时,极大地简化了网络运营程序,从而极大地降低了运营费用。另外,采用Cisco跨多个AS及多个域内协议域的技术可使某省移动可随着其网络的不断增长扩展其MPLSVPN业务的实施,并可与其他运营商合作实现更广阔的业务能力。

服务质量保证

通常的Internet排队机制如:CustomerQueue,PriorityQueue,CBWFQ,WRR,WRED等技术不能完全满足对时延敏感业务所要求的端到端时延指标。为此,选用MDRR/WRED技术,可以为对时延敏感业务生成单独的优先级队列,保证时延要求;同时还专门对基于Multicast的应用提供了专门的队列支持,从而从真正意义上向网上实时多媒体应用迈进一步。

根据以上对电信行业的典型应用的分析,我们认为,以上各条都是运营商最关心的问题,我们在给他们做网络安全解决方案时必须要考虑到是否满足以上要求,不影响电信网络的正常使用,可以看到电信网络对网络安全产品的要求是非常高的。

网络安全风险分析

瞄准网络存在的安全漏洞,黑客们所制造的各类新型的风险将会不断产生,这些风险由多种因素引起,与网络系统结构和系统的应用等因素密切相关。下面从物理安全、网络安全、系统安全、应用安全及管理安全进行分类描述:

1、物理安全风险分析

我们认为网络物理安全是整个网络系统安全的前提。物理安全的风险主要有:

地震、水灾、火灾等环境事故造成整个系统毁灭

电源故障造成设备断电以至操作系统引导失败或数据库信息丢失

电磁辐射可能造成数据信息被窃取或偷阅

不能保证几个不同机密程度网络的物理隔离

2、网络安全风险分析

内部网络与外部网络间如果在没有采取一定的安全防护措施,内部网络容易遭到来自外网的攻击。包括来自internet上的风险和下级单位的风险。

内部局网不同部门或用户之间如果没有采用相应一些访问控制,也可能造成信息泄漏或非法攻击。据调查统计,已发生的网络安全事件中,70%的攻击是来自内部。因此内部网的安全风险更严重。内部员工对自身企业网络结构、应用比较熟悉,自已攻击或泄露重要信息内外勾结,都将可能成为导致系统受攻击的最致命安全威胁。

3、系统的安全风险分析

所谓系统安全通常是指网络操作系统、应用系统的安全。目前的操作系统或应用系统无论是Windows还是其它任何商用UNIX操作系统以及其它厂商开发的应用系统,其开发厂商必然有其Back-Door。而且系统本身必定存在安全漏洞。这些"后门"或安全漏洞都将存在重大安全隐患。因此应正确估价自己的网络风险并根据自己的网络风险大小作出相应的安全解决方案。

4、应用的安全风险分析

应用系统的安全涉及很多方面。应用系统是动态的、不断变化的。应用的安全性也是动态的。比如新增了一个新的应用程序,肯定会出现新的安全漏洞,必须在安全策略上做一些调整,不断完善。

4.1 公开服务器应用

电信省中心负责全省的汇接、网络管理、业务管理和信息服务,所以设备较多包括全省用户管理、计费服务器、认证服务器、安全服务器、网管服务器、DNS服务器等公开服务器对外网提供浏览、查录、下载等服务。既然外部用户可以正常访问这些公开服务器,如果没有采取一些访问控制,恶意入侵者就可能利用这些公开服务器存在的安全漏洞(开放的其它协议、端口号等)控制这些服务器,甚至利用公开服务器网络作桥梁入侵到内部局域网,盗取或破坏重要信息。这些服务器上记录的数据都是非常重要的,完成计费、认证等功能,他们的安全性应得到100%的保证。

4.2 病毒传播

网络是病毒传播的最好、最快的途径之一。病毒程序可以通过网上下载、电子邮件、使用盗版光盘或软盘、人为投放等传播途径潜入内部网。网络中一旦有一台主机受病毒感染,则病毒程序就完全可能在极短的时间内迅速扩散,传播到网络上的所有主机,有些病毒会在你的系统中自动打包一些文件自动从发件箱中发出。可能造成信息泄漏、文件丢失、机器死机等不安全因素。

4.3信息存储

由于天灾或其它意外事故,数据库服务器造到破坏,如果没有采用相应的安全备份与恢复系统,则可能造成数据丢失后果,至少可能造成长时间的中断服务。

4.4 管理的安全风险分析

管理是网络中安全最最重要的部分。责权不明,安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。

比如一些员工或管理员随便让一些非本地员工甚至外来人员进入机房重地,或者员工有意无意泄漏他们所知道的一些重要信息,而管理上却没有相应制度来约束。当网络出现攻击行为或网络受到其它一些安全威胁时(如内部人员的违规操作等),无法进行实时的检测、监控、报告与预警。同时,当事故发生后,也无法提供黑客攻击行为的追踪线索及破案依据,即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录,及时发现非法入侵行为。

建立全新网络安全机制,必须深刻理解网络并能提供直接的解决方案,因此,最可行的做法是管理制度和技术解决方案的结合。

安全需求分析

1、物理安全需求

针对重要信息可能通过电磁辐射或线路干扰等泄漏。需要对存放绝密信息的机房进行必要的设计,如构建屏蔽室。采用辐射干扰机,防止电磁辐射泄漏机密信息。对存有重要数据库且有实时性服务要求的服务器必须采用UPS不间断稳压电源,且数据库服务器采用双机热备份,数据迁移等方式保证数据库服务器实时对外部用户提供服务并且能快速恢复。

2、系统安全需求

对于操作系统的安全防范可以采取如下策略:尽量采用安全性较高的网络操作系统并进行必要的安全配置、关闭一些起不常用却存在安全隐患的应用、对一些关键文件(如UNIX下:/.rhost、etc/host、passwd、shadow、group等)使用权限进行严格限制、加强口令字的使用、及时给系统打补丁、系统内部的相互调用不对外公开。

应用系统安全上,主要考虑身份鉴别和审计跟踪记录。这必须加强登录过程的身份认证,通过设置复杂些的口令,确保用户使用的合法性;其次应该严格限制登录者的操作权限,将其完成的操作限制在最小的范围内。充分利用操作系统和应用系统本身的日志功能,对用户所访问的信息做记录,为事后审查提供依据。我们认为采用的入侵检测系统可以对进出网络的所有访问进行很好的监测、响应并作记录。

3、防火墙需求

防火墙是网络安全最基本、最经济、最有效的手段之一。防火墙可以实现内部、外部网或不同信任域网络之间的隔离,达到有效的控制对网络访问的作用。

3.1省中心与各下级机构的隔离与访问控制

防火墙可以做到网络间的单向访问需求,过滤一些不安全服务;

防火墙可以针对协议、端口号、时间、流量等条件实现安全的访问控制。

防火墙具有很强的记录日志的功能,可以对您所要求的策略来记录所有不安全的访问行为。

3.2公开服务器与内部其它子网的隔离与访问控制

利用防火墙可以做到单向访问控制的功能,仅允许内部网用户及合法外部用户可以通过防火墙来访问公开服务器,而公开服务器不可以主动发起对内部网络的访问,这样,假如公开服务器造受攻击,内部网由于有防火墙的保护,依然是安全的。

4、加密需求

目前,网络运营商所开展的VPN业务类型一般有以下三种:

1.拨号VPN业务(VPDN)2.专线VPN业务3.MPLS的VPN业务

移动互连网络VPN业务应能为用户提供拨号VPN、专线VPN服务,并应考虑MPLSVPN业务的支持与实现。

VPN业务一般由以下几部分组成:

(1)业务承载网络(2)业务管理中心(3)接入系统(4)用户系统

我们认为实现电信级的加密传输功能用支持VPN的路由设备实现是现阶段最可行的办法。

5、安全评估系统需求

网络系统存在安全漏洞(如安全配置不严密等)、操作系统安全漏洞等是黑客等入侵者攻击屡屡得手的重要因素。并且,随着网络的升级或新增应用服务,网络或许会出现新的安全漏洞。因此必需配备网络安全扫描系统和系统安全扫描系统检测网络中存在的安全漏洞,并且要经常使用,对扫描结果进行分析审计,及时采取相应的措施填补系统漏洞,对网络设备等存在的不安全配置重新进行安全配置。

6、入侵检测系统需求

在许多人看来,有了防火墙,网络就安全了,就可以高枕无忧了。其实,这是一种错误的认识,防火墙是实现网络安全最基本、最经济、最有效的措施之一。防火墙可以对所有的访问进行严格控制(允许、禁止、报警)。但它是静态的,而网络安全是动态的、整体的,黑客的攻击方法有无数,防火墙不是万能的,不可能完全防止这些有意或无意的攻击。必须配备入侵检测系统,对透过防火墙的攻击进行检测并做相应反应(记录、报警、阻断)。入侵检测系统和防火墙配合使用,这样可以实现多重防护,构成一个整体的、完善的网络安全保护系统。

7、防病毒系统需求

针对防病毒危害性极大并且传播极为迅速,必须配备从服务器到单机的整套防病毒软件,防止病毒入侵主机并扩散到全网,实现全网的病毒安全防护。并且由于新病毒的出现比较快,所以要求防病毒系统的病毒代码库的更新周期必须比较短。

8、数据备份系统

安全不是绝对的,没有哪种产品的可以做到百分之百的安全,但我们的许多数据需要绝对的保护。最安全的、最保险的方法是对重要数据信息进行安全备份,通过网络备份与灾难恢复系统进行定时自动备份数据信息到本地或远程的磁带上,并把磁带与机房隔离保存于安全位置。如果遇到系统来重受损时,可以利用灾难恢复系统进行快速恢复。

9、安全管理体制需求

安全体系的建立和维护需要有良好的管理制度和很高的安全意识来保障。安全意识可以通过安全常识培训来提高,行为的约束只能通过严格的管理体制,并利用法律手段来实现。因些必须在电信部门系统内根据自身的应用与安全需求,制定安全管理制度并严格按执行,并通过安全知识及法律常识的培训,加强整体员工的自身安全意识及防范外部入侵的安全技术。

安全目标

通过以上对网络安全风险分析及需求分析,再根据需求配备相应安全设备,采用上述方案,我们认为一个电信网络应该达到如下的安全目标:

建立一套完整可行的网络安全与网络管理策略并加强培训,提高整体人员的安全意识及反黑技术。

利用防火墙实现内外网或不信任域之间的隔离与访问控制并作日志;

通过防火墙的一次性口令认证机制,实现远程用户对内部网访问的细粒度访问控制;

通过入侵检测系统全面监视进出网络的所有访问行为,及时发现和拒绝不安全的操作和黑客攻击行为并对攻击行为作日志;

通过网络及系统的安全扫描系统检测网络安全漏洞,减少可能被黑客利用的不安全因素;

利用全网的防病毒系统软件,保证网络和主机不被病毒的侵害;

备份与灾难恢复---强化系统备份,实现系统快速恢复;

通过安全服务提高整个网络系统的安全性。

③ 网络安全的黑板报内容资料

计算机网络安全是指利用网络管理控制和技术措施,保证在一个网络环境里,数据的保密性、完整性及可使用性受到保护。计算机网络安全包括两个方面,即物理安全和逻辑安全。物理安全指系统设备及相关设施受到物理保护,免于破坏、丢失等。逻辑安全包括信息的完整性、保密性和可用性。下面是我收集整理的网络安全的黑板报内容资料,欢迎大家阅读!

网络安全的黑板报内容资料

计算机网络的脆弱性

互联网是对全世界都开放的网络,任何单位或个人都可以在网上方便地传输和获取各种信息,互联网这种具有开放性、共享性、国际性的特点就对计算机网络安全提出了挑战。互联网的不安全性主要有以下几项:

1)网络的开放性

网络的技术是全开放的,使得网络所面临的攻击来自多方面。或是来自物理传输线路的攻击,或是来自对网络通信协议的攻击,以及对计算机软件、硬件的漏洞实施攻击。

2)网络的国际性

意味着对网络的攻击不仅是来自于本地网络的用户,还可以是互联网上其他国家的黑客,所以,网络的安全面临着国际化的挑战。

3)网络的自由性

大多数的网络对用户的使用没有技术上的约束,用户可以自由的上网,发布和获取各类信息。

防范间谍软件之危害的对策

1、公开安装的间谍软件

对于那些公开安装的间谍软件,你无需费多大工夫去研究他,因为你可以轻而易举的将之卸载,除此之外,你还可以知道他们的大至功能所在。换句话说,对于这些公开安装的间谍软件,你有很多措施保护你的隐私不受侵犯。例如,从不在办公室计算机里检查私有的电子邮件。公开安装的间谍软件一般都是合法的,他们有特定的使用人群和用途。

公司和学院:他们也许使用间谍软件监测他们雇员的计算机和网络使用。

父母:他们也许使用间谍软件监测家庭电脑和网络使用。防止他们的孩子受到有害信息的毒害。许多父母希望间谍软件可能帮助他们。

政府:他们也许为公开安全或信息战争而使用间谍软件监测网络。

2、秘密侵入的间谍软件

真正的危险来自那些秘密侵入到你计算机里的间谍软件,因为你不知道他究竟想做什么。所有间谍软件的安装都利用了两种弱点。一种是PC机的应用软件,另一种是你自己。

由于现代计算机软件是极端复杂的,现有的很多应用软件和操作系统都存在各种各样的漏洞。间谍软件可以利用这些漏洞侵入到你的计算机。理论上你不可能防止这种侵入,当你冲浪网页,一张小图片可能给你带来可怕的间谍软件。除给你的操作系统打上必要的补丁,尽可能不去不安全或不熟悉的站点是减少这种侵入的有效方法。

很显然,这种利用应用软件漏洞的侵入方式需要较高的技术水平。而绝大多数间谍软件的侵入是采用简单的欺诈方式。例如,他们免费给你提供一个可以清除间谍软件的软件,而他们真正的目的是将你计算机里原有的间谍软件去除,用他们的取而代之。

如果你习惯在网上下载免费软件,你的计算机里可能有一大堆间谍软件。

所以我们有两种方法对付这些秘密侵入的间谍软件:尽量不去不熟悉或不安全的站点,尽量不从网上下载免费软件。

这种秘密的侵入也有他特定的用户群和用途。论防范间谍软件之危害。

网络安全知识资料

1.网络安全类型

运行系统安全,即保证信息处理和传输系统的安全。它侧重于保证系统正常运行,避免因为系统的崩溃和损坏而对系统存贮、处理和传输的信息造成破坏和损失,避免由于电磁泄漏,产生信息泄漏,干扰他人,受他人干扰。

网络上系统信息的安全。包括用户口令鉴别,用户存取权限控制,数据存取权限、方式控制,安全审计,安全问题跟踪,计算机病毒防溻,数据加密。

网络上信息传播安全,即信息传播后果的安全。包括信息过滤等。它侧重于防止和控制非法、有害的信息进行传播后的后果。避免公用网络上大量自由传输的信息失控。

网络上信息内容的安全。它侧重于保护信息的保密性、真实性和完整性。避免攻击者利用系统的安全漏洞进行窃听、冒充、诈骗等有损于合法用户的行为。本质上是保护用户的利益和隐私。

2.网络安全特征

网络安全应具有以下四个方面的特征:

保密性:信息不泄漏给非授权用户、实体或过程,或供其利用的特性。

完整性:数据未经授权不能进行改变的特性。即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。

可用性:可被授权实体访问并按需要使用的特性。即当需要时能否存取所需的信息。例如网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击;

可控性:对信息的传播及内容具有控制能力。

3.威胁网络安全因素

自然灾害、意外事故;计算机犯罪; 人为行为,比如使用不当,安全意识差等;黑客“ 行为:由于黑客的入侵或侵扰,比如非法访问、拒绝服务计算机病毒、非法连接等;内部泄密;外部泄密;信息丢失;比如信息流量分析、信息窃取等; 信息战;网络协议中的缺陷,例如TCP/IP协议的安全问题等等。

网络安全威胁主要包括两种:渗入威胁和植入威胁

渗入威胁主要有:假冒、旁路控制、授权侵犯;

植入威胁主要有:特洛伊木马、陷门。

陷门:把某一”特征“设立于某个系统或系统部件之中,使得在提供特定的输入数据时,允许安全策略被违反。

4、网络安全的结构幂次

1、物理安全

自然灾害(如雷电、地震、火灾等),物理损坏(如硬盘损坏、设备使用寿命到期等),设备故障(如停电、电磁干扰等),意外事故。解决方案是:防护措施,安全制度,数据备份等。

电磁泄漏,信息泄漏,干扰他人,受他人干扰,乘机而入(如进入安全进程后半途离开),痕迹泄漏(如口令密钥等保管不善)。解决方案是:辐射防护,隐藏销毁等。

操作失误(如删除文件,格式化硬盘,线路拆除等),意外疏漏。解决方案是:状态检测,报警确认,应急恢复等。

计算机系统机房环境的安全。特点是:可控性强,损失也大。

解决方案:加强机房管理,运行管理,安全组织和人事管理。

2 、安全控制

微机操作系统的安全控制。如用户开机键入的口令(某些微机主板有“ 万能口令”),对文件的读写存取的控制(如Unix系统的文件控制机制)。主要用于保护存贮在硬盘上的信息和数据。

网络接口模块的安全控制。在网络环境下对来自其他机器的网络通信进程进行安全控制。主要包括:身份认证,客户权限设置与判别,审计日志等。

网络互联设备的安全控制。对整个子网内的所有主机的传输信息和运行状态进行安全监测和控制。主要通过网管软件或路由器配置实现。

5、网络加密方式

链路加密方式

节点对节点加密方式

端对端加密方式

6、TCP/IP协议的安全问题

TCP/IP协议数据流采用明文传输。

源地址欺骗(Source address spoofing)或IP欺骗(IP spoofing)。 源路由选择欺骗(Source Routing spoofing)。

路由选择信息协议攻击(RIP Attacks)。

鉴别攻击(Authentication Attacks)。

TCP序列号欺骗(TCP Sequence number spoofing)。

TCP序列号轰炸攻击(TCP SYN Flooding Attack),简称SYN攻击。

易欺骗性(Ease of spoofing)。

7、网络安全工具

扫描器:是自动检测远程或本地主机安全性弱点的程序,一个好的扫描器相当于一千个口令的价值。

如何工作:TCP端口扫描器,选择TCP/IP端口和服务(比如FTP),并记录目标的回答,可收集关于目标主机的有用信息(是否可匿名登录,是否提供某种服务)。扫描器告诉我们什么:能发现目标主机的内在弱点,这些弱点可能是破坏目标主机的关键因素。系统管理员使用扫描器,有助于加强系统的安全性。黑客使用它,对网络的安全不利。

目前流行的扫描器:

(1)NSS网络安全扫描器。

(2)stroke超级优化TCP端口检测程序,可记录指定机器的所有开放端口。

(3)SATAN安全管理员的网络分析工具。

(4)JAKAL。

(5)XSCAN。

8、黑客常用的信息收集工具

信息收集是突破网络系统的第一步。黑客可以使用下面几种工具来收集所需信息:

1、SNMP协议

SNMP协议,用来查阅非安全路由器的路由表,从而了解目标机构网络拓扑的内部细节。

简单网络管理协议(Simple Network Management Protocol SNMP)首先是由Internet工程任务组织(Internet Engineering Task Force)(IETF)的研究帏组为了解决Internet上的路由器管理问题而提出的。SNMP被设计成与协议无关,所以它可以在IP,IPX,AppleTalk,OSI以及其他用到的传输协议上被使用。

2、TraceRoute程序

TraceRoute程序,得出到达目标主机所经过的网络数和路由器数。Traceroute程序是同Van Jacobson编写的能深入探索TCPIP协议的方便可用的工具。它能让我们看到数据报从一台主机传到另一台主机所经过的路由。Traceroute程序还可以上我们使用IP源路由选项,让源主机指定发送路由。

3、Whois协议

Whois协议,它是一种信息服务,能够提供有关所有DNS域和负责各个域的系统管理员数据。(不过这些数据常常是过时的)。WHOIS协议。其基本内容是,先向服务器的TCP端口43建立一个连接,发送查询关键字并加上回车换行,然后接收服务器的查询结果。

4、DNS服务器

DNS服务器是Domain Name System或者Domain Name Service(域名系统或者域名服务)。域名系统为Internet上的主机分配域名地址和IP地址。用户使用域名地址,该系统就会自动把域名地址转为IP地址。域名服务是运行域名系统的Internet工具。执行域名服务的服务器称之为DNS服务器,通过DNS服务器来应答域名服务的查询。

5、Finger协议

Finger协议,能够提供特定主机上用户们的详细信息(注册名、电话号码、最后一次注册的时间等)。

6、Ping实用程序

Ping实用程序,可以用来确定一个指定的主机的位置并确定其是否可达。把这个简单的工具用在扫描程序中,可以Ping网络上每个可能的主机地址,从而可以构造出实际驻留在网络上的主机清单。它是用来检查网络是否通畅或者网络连接速度的命令。作为一个生活在网络上的管理员或者黑客来说,ping命令是第一个必须掌握的DOS命令,它所利用的原理是这样的:网络上的机器都有唯一确定的IP地址,我们给目标IP地址发送一个数据包,对方就要返回一个同样大量的'数据包,根据返回的数据包我们可以确定目标主机的存在,可以初步判断目标主机的操作系统等,当然,它也可用来测定连接速度和丢包率。

使用方法(XP系统下)

开始-运行-CMD-确定-输入ping 0.0.0.0-回车 0.0.0.0为你需要的IP。

部分防火墙会对ping禁止,故可能会提示timed out(超时)等情况

判断操作系统,则是看返回的TTL值。

9、 Internet防火墙

Internet防火墙是这样的系统(或一组系统),它能增强机构内部网络的安全性。 防火墙系统决定了哪些内部服务可以被外界访问;外界的哪些人可以访问内部的哪些服务,以及哪些外部服务可以被内部人员访问。要使一个防火墙有效,所有来自和去往Internet的信息都必须经过防火墙,接受防火墙的检查。防火墙只允许授权的数据通过,并且防火墙本身也必须能够免于渗透。

1、 Internet防火墙与安全策略的关系

防火墙不仅仅是路由器、堡垒主机、或任何提供网络安全的设备的组合,防火墙是安全策略的一个部分。

安全策略建立全方位的防御体系,甚至包括:告诉用户应有的责任,公司规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施,以及雇员培训等。所有可能受到攻击的地方都必须以同样安全级别加以保护。

3、 Internet防火墙的作用

Internet防火墙允许网络管理员定义一个中心“ 扼制点” 来防止非法用户,比如防止黑客、网络破坏者等进入内部网络。禁止存在安全脆弱性的服务进出网络,并抗击来自各种路线的攻击。Internet防火墙能够简化安全管理,网络的安全性是在防火墙系统上得到加固,而不是分布在内部网络的所有主机上。

在防火墙上可以很方便的监视网络的安全性,并产生报警。(注意:对一个与Internet相联的内部网络来说,重要的问题并不是网络是否会受到攻击,而是何时受到攻击?)网络管理员必须审计并记录所有通过防火墙的重要信息。如果网络管理员不能及时响应报警并审查常规记录,防火墙就形同虚设。在这种情况下,网络管理员永远不会知道防火墙是否受到攻击。

Internet防火墙可以作为部署NAT(Network Address Translator,网络地址变换)的逻辑地址。因此防火墙可以用来缓解地址空间短缺的问题,并消除机构在变换ISP时带来的重新编址的麻烦。

Internet防火墙是审计和记录Internet使用量的一个最佳地方。网络管理员可以在此向管理部门提供Internet连接的费用情况,查出潜在的带宽瓶颈的位置,并根据机构的核算模式提供部门计费。

10、Internet安全隐患的主要体现

1. Internet是一个开放的、无控制机构的网络,黑客(Hacker)经常会侵入网络中的计算机系统,或窃取机密数据和盗用特权,或破坏重要数据,或使系统功能得不到充分发挥直至瘫痪。

2. Internet的数据传输是基于TCP/IP通信协议进行的,这些协议缺乏使传输过程中的信息不被窃取的安全措施。

3. Internet上的通信业务多数使用Unix操作系统来支持,Unix操作系统中明显存在的安全脆弱性问题会直接影响安全服务。

4.在计算机上存储、传输和处理的电子信息,还会有像传统的邮件通信那样进行信币保护和签字盖章。信息的来源和去向是否真实,内容是否被改动,以及是否泄漏等,在应用支持的服务协议中是凭着君子协定来维系的。

5.电子邮件存在着被拆看、误投和伪造的可能性。使用电子邮件来传输重要机密信息会存在着很大的危险。

6.计算机病毒通过Internet的传播给上网用户带来极大的危害,病毒可以使计算机和计算机网络系统瘫痪、数据和文件丢失。在网络上传播病毒可以通过公共匿名FTP文件传送、也可以通过邮件和邮件的附加文件传播。

网络安全制度

一、必须遵守《计算机信息网络国际联网安全保护管理办法》和《中华人民共和国计算机信息网络国际联网管理暂行规定》以及其它相关法律、法规的规定。

二、学校网络中心必须采取各种技术及行政手段保证网络安全和信息安全。

三、网络中心的工作人员和用户必须对所提供的信息负责。不得利用计算机联网从事危害国家安全,泄露国家秘密等违法活动,不得制作、查阅、复制和传播有碍社会治安和有伤风俗文化的信息。

四、不允许进行任何干扰网络用户、破坏网络服务和破坏网络设备的活动。包括不许在网络上发布不真实的信息,不许散布计算机病毒,不许使用网络进入未经授权使用的计算机等。

五、学校应设立网络安全员,负责网络安全和信息安全工作。

六、网络中心应按照《计算机信息网络国际联网安全保护管理办法》定期对相应的网络用户进行有关的网络安全和信息安全教育。

七、网络中心应根据国家有关规定对上网用户进行审查。凡违反国家有关规定的信息严禁上网。

八、所有用户有义务向网络安全员和有关部门报告违法犯罪行为和有害信息。

九、网络中心和用户必须接受上级有关部门依法进行的监督检查。对违反本管理办法的个人,将对其进行警告,停止网络连接、上报学校等处理。

十、安装正版杀毒软件、防火墙,按时更新杀毒软件、防火墙,定期杀毒,防范非法用户入侵,防止计算机病毒入侵。

网络安全口号

1.质量是安全的基础,安全是生产的前提

2.忽视有一段时间是痛苦的

3.生产繁忙而安全

4.小心点,没什么大错误,胡乱选角。

5.时刻注意安全,防止事故发生

6.粗心是事故的温床。粗心是安全水道的礁石

7.鲁莽是走向事故深渊的第一步

8.眼睛容不下一粒沙子。马虎是安全的

9.杂草不清除弱苗隐患,效益难

10.成千上万的产品堆积成山,火花源被摧毁

11.安全是增产的细胞隐患,是事故的胚胎

12.注重安全的果实,忽视安全的危害

13.锋利的刀不用磨就会生锈,也不会安全地抓住任何错误

14.愉快地去工作,安全地回家

15.重量不足以按下安全帽救人

16.安全规章制度不离手

17.安全是一朵快乐的花。给家人浇水是一种独特的方式

18.不要忘记危机,也不要忘记混乱

19.你必须努力工作以避免事故

20.入海前探风,上班前练习

网络安全知识

一、在使用电脑过程中应该采取哪些网络安全防范措施:

1、安装防火墙和防病毒软件,并经常升级;

2、注意经常给系统打补丁,堵塞软件漏洞;

3、不要上一些不太了解的网站,不要执行从网上下载后未经杀毒处理的软件,不要打开MSN或者QQ上传送过来的不明文件等。

二、如何防范U盘、移动硬盘泄密:

1、及时查杀木马与病毒;

2、从正规商家购买可移动存储介质;

3、定期备份并加密重要数据;

4、不要将办公与个人的可移动存储介质混用。

三、如何将网页浏览器配置得更安全:

1、设置统一、可信的浏览器初始页面;

2、定期清理浏览器中本地缓存、历史记录以及临时文件内容;

3、利用病毒防护软件对所有下载资源及时进行恶意代码扫描。

四、如何设置windows操作系统开机密码:

按照先后顺序,依次使用鼠标点击“开始”菜单中的“控制面板”下的“用户账户”,选择账户后点击“创建密码”,输入两遍密码后按“创建密码”按钮即可。

五、为什么要定期进行补丁升级:

编写程序不可能十全十美,所以软件也免不了会出现BUG,而补丁是专门用于修复这些BUG的。因为原来发布的软件存在缺陷,发现之后另外编制一个小程序使其完善,这种小程序俗称补丁。定期进行补丁升级,升级到最新的安全补丁,可以有效地防止非法入侵。

六、计算机中毒有哪些症状:

1、经常死机;

2、文件打不开;

3、经常报告内存不够;

4、提示硬盘空间不够;

5、出现大量来历不明的文件;

6、数据丢失;

7、系统运行速度变慢;

8、操作系统自动执行操作。

七、为什么不要打开来历不明的网页、电子邮件链接或附件:

互联网上充斥着各种钓鱼网站、病毒、木马程序。不明来历的网页、电子邮件链接、附件中,很可能隐藏着大量的病毒、木马,一旦打开,这些病毒、木马会自动进入电脑并隐藏在电脑中,会造成文件丢失损坏甚至导致系统瘫痪。

八、接入移动存储设备(如移动硬盘和U盘)前为什么要进行病毒扫描:

外接存储设备也是信息存储介质,所存的信息很容易带有各种病毒,如果将带有病毒的外接存储介质接入电脑,很容易将病毒传播到电脑中。

九、计算机日常使用中遇到的异常情况有哪些:

计算机出现故障可能是由计算机自身硬件故障、软件故障、误操作或病毒引起的,主要包括系统无法启动、系统运行变慢、可执行程序文件大小改变等异常现象。

十、Cookies会导致怎样的安全隐患:

当用户访问一个网站时,Cookies将自动储存于用户IE内,其中包含用户访问该网站的种种活动、个人资料、浏览习惯、消费习惯,甚至信用记录等。这些信息用户无法看到,当浏览器向此网址的其他主页发出GET请求时,此Cookies信息也会随之发送过去,这些信息可能被不法分子获得。为保障个人隐私安全,可以在IE设置中对Cookies的使用做出限制。

④ 什么叫网络安全

1、操作系统没有进行相关的安全配置

不管使用的是哪一种操作系统,安装不完全的情况下都会存在一些安全问题,只有专门针对操作系统安全性进行相关的和严格的安全配置,才能达到一定的安全程度。千万不要以为操作系统缺省安装后,只要自己设置的密码很强就没有问题。网络软件的漏洞和“后门”是进行网络攻击的首选目标。

2、没有进行CGI程序代码审计

如果是通用的CGI问题,防范起来还稍微容易一些,但是对于网站或软件供应商专门开发的一些CGI程序,很多存在严重的CGI问题,对于电子商务站点来说,会出现恶意攻击者冒用他人账号进行网上购物等严重后果。

3、拒绝服务(DoS,DenialofService)攻击

现在的网站对于实时性的要求是越来越高,DoS或DDoS对网站的威胁越来越大。如果一个网络攻击是以网络瘫痪为目标的,那么它的袭击效果是很强烈的,破坏性很大,造成危害的速度和范围也是我们预料不到的,而袭击者本身的风险却非常小,甚至可以在袭击开始前就已经消失得无影无踪。

4、安全产品使用不当

虽然很多网站都采用了基本的网络安全设备,但由于安全产品本身的问题或使用问题,这些产品并没有发挥到应有的作用。很多安全厂商的产品对配置人员的技术要求很高,就算是厂家在最初给用户做了正确的安装、配置,但一旦系统改动,需要改动相关安全产品的设置时,很容易产生许多安全问题。

5、缺少严格的网络安全管理制度

网络安全最重要的还是要有相应的制度去保障,建立和实施严密的计算机网络安全制度与策略是真正实现网络安全的基础。

⑤ 网络安全知识具体应该从哪几个方面着手学习

认同fkdcm朋友的观点如下:

第一章 前 言

第二章 网络安全概述

第三章 网络安全解决方案

第四章 典型应用案例

第五章 未来网络安全解决方案发展趋势

第一章 前 言

当今的网络运营商正在经历一个令人振奋的信息爆炸时代,网络骨干带宽平均每六到九个月就要增加一倍。数据业务作为其中起主导作用的主要业务类型,要求并驱动网络结构开始发生根本性的改变。光互联网的出现为基于IP技术的网络应用奠定了新的基础。伴随网络的普及,信息网络技术的应用、关键业务系统扩展,电信部门业务系统安全成为影响网络效能的重要问题,而Internet所具有的开放性、国际性和自由性在增加应用自由度的同时,对安全提出了更高的要求。由于国际形势的变化,加剧了爆发"网络战争"的可能性,保障网络及信息安全直接关系到国家的经济安全甚至国家安全。因此如何使信息网络系统不受黑客和间谍的入侵,已成为国家电信基础网络健康发展所要考虑的重要问题。

在新的电信市场环境中,需求的多元化和信息消费的个性化逐渐成为必然趋势,这一点在数据通信领域体现得尤为明显。经过几年努力,公用数据通信网络在规模上和技术层次上都有了一个飞跃,用户数持续高速增长,信息业务用户发展尤为迅猛,全国性大集团性用户不断增加,并且开始向企业用户转移;政府上网工程进展顺利,电子商务已全面启动,中国电信安全认证体系通过了中国密码管理委员会和信息产业部举行的联合鉴定,并与金融部门开展了有效的合作。电信同时提供Internet接入业务,IP电话业务以及其他业务.该IP承载网承载图象、语音和数据的统一平台,强调Qos,VPN和计费等,成为新时代的多业务承载网。中国电信数据通信的发展定位于网络服务,实现个性化的服务。事实上,这一类网络功能非常丰富,如储值卡业务、电子商务认证平台、虚拟专用网等。而这一切都依赖于网络安全的保障,如果没有安全,个性化服务就根本无从谈起。只有电信的基础平台完善了,功能强化了,安全问题得到保障了,才能够提供真正个性化的服务。

由于电信部门的特殊性,传递重要信息、是整个国民通信系统的基础。它的安全性是尤其重要的。由于我们的一些技术和国外还有一定差距,国内现有的或正在建设中的网络,采用的网络设备和网络安全产品几乎全是国外厂家的产品。而只有使用国内自主研制的信息安全产品、具有自主版权的安全产品,才能真正掌握信息战场上的主动权,才能从根本上防范来自各种非法的恶意攻击和破坏。现今大多数计算机网络都把安全机制建立在网络层安全机制上,认为网络安全就仅仅是防火墙、加密机等设备。随着网络的互联程度的扩大,具体应用的多元化,这种安全机制对于网络环境来讲是十分有限的。面对种种威胁,必须采取有力的措施来保证计算机网络的安全。必须对网络的情况做深入的了解,对安全要求做严谨的分析,提出一个完善的安全解决方案。本方案根据电信网络的具体网络环境和具体的应用,介绍如何建立一套针对电信部门的完整的网络安全解决方案。

第二章 网络安全概述

网络安全的定义

什么是计算机网络安全,尽管现在这个词很火,但是真正对它有个正确认识的人并不多。事实上要正确定义计算机网络安全并不容易,困难在于要形成一个足够去全面而有效的定义。通常的感觉下,安全就是"避免冒险和危险"。在计算机科学中,安全就是防止:

未授权的使用者访问信息

未授权而试图破坏或更改信息

这可以重述为"安全就是一个系统保护信息和系统资源相应的机密性和完整性的能力"。注意第二个定义的范围包括系统资源,即CPU、硬盘、程序以及其他信息。

在电信行业中,网络安全的含义包括:关键设备的可靠性;网络结构、路由的安全性;具有网络监控、分析和自动响应的功能;确保网络安全相关的参数正常;能够保护电信网络的公开服务器(如拨号接入服务器等)以及网络数据的安全性等各个方面。其关键是在满足电信网络要求,不影响网络效率的同时保障其安全性。

电信行业的具体网络应用(结合典型案例)

电信整个网络在技术上定位为以光纤为主要传输介质,以IP为主要通信协议。所以我们在选用安防产品时必须要达到电信网络的要求。如防火墙必须满足各种路由协议,QOS的保证、MPLS技术的实现、速率的要求、冗余等多种要求。这些都是电信运营商应该首先考虑的问题。电信网络是提供信道的,所以IP优化尤其重要,至少包括包括如下几个要素:

网络结构的IP优化。网络体系结构以IP为设计基础,体现在网络层的层次化体系结构,可以减少对传统传输体系的依赖。

IP路由协议的优化。

IP包转发的优化。适合大型、高速宽带网络和下一代因特网的特征,提供高速路由查找和包转发机制。

带宽优化。在合理的QoS控制下,最大限度的利用光纤的带宽。

稳定性优化。最大限度的利用光传输在故障恢复方面快速切换的能力,快速恢复网络连接,避免路由表颤动引起的整网震荡,提供符合高速宽带网络要求的可靠性和稳定性。

从骨干层网络承载能力,可靠性,QoS,扩展性,网络互联,通信协议,网管,安全,多业务支持等方面论述某省移动互联网工程的技术要求。

骨干层网络承载能力

骨干网采用的高端骨干路由器设备可提供155M POS端口。进一步,支持密集波分复用(DWDM)技术以提供更高的带宽。网络核心与信息汇聚点的连接速率为155M连接速率,连接全部为光纤连接。

骨干网设备的无阻塞交换容量具备足够的能力满足高速端口之间的无丢包线速交换。骨干网设备的交换模块或接口模块应提供足够的缓存和拥塞控制机制,避免前向拥塞时的丢包。

可靠性和自愈能力

包括链路冗余、模块冗余、设备冗余、路由冗余等要求。对某省移动互联网工程这样的运营级宽带IP骨干网络来说,考虑网络的可靠性及自愈能力是必不可少的。

链路冗余。在骨干设备之间具备可靠的线路冗余方式。建议采用负载均衡的冗余方式,即通常情况下两条连接均提供数据传输,并互为备份。充分体现采用光纤技术的优越性,不会引起业务的瞬间质量恶化,更不会引起业务的中断。

模块冗余。骨干设备的所有模块和环境部件应具备1+1或1:N热备份的功能,切换时间小于3秒。所有模块具备热插拔的功能。系统具备99.999%以上的可用性。

设备冗余。提供由两台或两台以上设备组成一个虚拟设备的能力。当其中一个设备因故障停止工作时,另一台设备自动接替其工作,并且不引起其他节点的路由表重新计算,从而提高网络的稳定性。切换时间小于3秒,以保证大部分IP应用不会出现超时错误。

路由冗余。网络的结构设计应提供足够的路由冗余功能,在上述冗余特性仍不能解决问题,数据流应能寻找其他路径到达目的地址。在一个足够复杂的网络环境中,网络连接发生变化时,路由表的收敛时间应小于30秒。

拥塞控制与服务质量保障

拥塞控制和服务质量保障(QoS)是公众服务网的重要品质。由于接入方式、接入速率、应用方式、数据性质的丰富多样,网络的数据流量突发是不可避免的,因此,网络对拥塞的控制和对不同性质数据流的不同处理是十分重要的。

业务分类。网络设备应支持6~8种业务分类(CoS)。当用户终端不提供业务分类信息时,网络设备应根据用户所在网段、应用类型、流量大小等自动对业务进行分类。

接入速率控制。接入本网络的业务应遵守其接入速率承诺。超过承诺速率的数据将被丢弃或标以最低的优先级。

队列机制。具有先进的队列机制进行拥塞控制,对不同等级的业务进行不同的处理,包括时延的不同和丢包率的不同。

先期拥塞控制。当网络出现真正的拥塞时,瞬间大量的丢包会引起大量TCP数据同时重发,加剧网络拥塞的程度并引起网络的不稳定。网络设备应具备先进的技术,在网路出现拥塞前就自动采取适当的措施,进行先期拥塞控制,避免瞬间大量的丢包现象。

资源预留。对非常重要的特殊应用,应可以采用保留带宽资源的方式保证其QoS。

端口密度扩展。设备的端口密度应能满足网络扩容时设备间互联的需要。

网络的扩展能力

网络的扩展能力包括设备交换容量的扩展能力、端口密度的扩展能力、骨干带宽的扩展,以及网络规模的扩展能力。

交换容量扩展。交换容量应具备在现有基础上继续扩充多容量的能力,以适应数据类业务急速膨胀的现实。

骨干带宽扩展。骨干带宽应具备高的带宽扩展能力,以适应数据类业务急速膨胀的现实。

网络规模扩展。网络体系、路由协议的规划和设备的CPU路由处理能力,应能满足本网络覆盖某省移动整个地区的需求。

与其他网络的互联

保证与中国移动互联网,INTERNET国内国际出口的无缝连接。

通信协议的支持

以支持TCP/IP协议为主,兼支持IPX、DECNET、APPLE-TALK等协议。提供服务营运级别的网络通信软件和网际操作系统。

支持RIP、RIPv2、OSPF、IGRP、EIGRP、ISIS等路由协议。根据本网规模的需求,必须支持OSPF路由协议。然而,由于OSPF协议非常耗费CPU和内存,而本网络未来十分庞大复杂,必须采取合理的区域划分和路由规划(例如网址汇总等)来保证网络的稳定性。

支持BGP4等标准的域间路由协议,保证与其他IP网络的可靠互联。

支持MPLS标准,便于利用MPLS开展增值业务,如VPN、TE流量工程等。

网络管理与安全体系

支持整个网络系统各种网络设备的统一网络管理。

支持故障管理、记帐管理、配置管理、性能管理和安全管理五功能。

支持系统级的管理,包括系统分析、系统规划等;支持基于策略的管理,对策略的修改能够立即反应到所有相关设备中。

网络设备支持多级管理权限,支持RADIUS、TACACS+等认证机制。

对网管、认证计费等网段保证足够的安全性。

IP增值业务的支持

技术的发展和大量用户应用需求将诱发大量的在IP网络基础上的新业务。因此,运营商需要一个简单、集成化的业务平台以快速生成业务。MPLS技术正是这种便于电信运营商大规模地快速开展业务的手段。

传送时延

带宽成本的下降使得当今新型电信服务商在进行其网络规划时,会以系统容量作为其主要考虑的要素。但是,有一点需要提起注意的是,IP技术本身是面向非连接的技术,其最主要的特点是,在突发状态下易于出现拥塞,因此,即使在高带宽的网络中,也要充分考虑端到端的网络传送时延对于那些对时延敏感的业务的影响,如根据ITU-T的标准端到端的VoIP应用要求时延小于150ms。对于应用型实际运营网络,尤其当网络负荷增大时,如何确保时延要求更为至关重要,要确保这一点的关键在于采用设备对于延迟的控制能力,即其延迟能力在小负荷和大量超负荷时延迟是否都控制在敏感业务的可忍受范围内。

RAS (Reliability, Availability, Serviceability)

RAS是运营级网络必须考虑的问题,如何提供具有99.999%的业务可用性的网络是网络规划和设计的主要考虑。在进行网络可靠性设计时,关键点在于网络中不能因出现单点故障而引起全网瘫痪,特别在对于象某省移动这些的全省骨干网而言更是如此。为此,必须从单节点设备和端到端设备提供整体解决方案。Cisco7500系列路由器具有最大的单节点可靠性,包括电源冗余备份,控制板备份,交换矩阵备份,风扇的合理设计等功能;整体上,Cisco通过提供MPLSFRR和MPLS流量工程技术,可以保证通道级的快速保护切换,从而最大程度的保证了端到端的业务可用性。

虚拟专用网(VPN)

虚拟专用网是目前获得广泛应用,也是目前运营商获得利润的一种主要方式。除了原有的基于隧道技术,如IPSec、L2TP等来构造VPN之外,Cisco还利用新型的基于标准的MPLSVPN来构造Intrane和Extranet,并可以通过MPLSVPN技术提供Carrier'sCarrier服务。这从网络的可扩展性,可操作性等方面开拓了一条新的途径;同时,极大地简化了网络运营程序,从而极大地降低了运营费用。另外,采用Cisco跨多个AS及多个域内协议域的技术可使某省移动可随着其网络的不断增长扩展其MPLSVPN业务的实施,并可与其他运营商合作实现更广阔的业务能力。

服务质量保证

通常的Internet排队机制如:CustomerQueue,PriorityQueue,CBWFQ,WRR,WRED等技术不能完全满足对时延敏感业务所要求的端到端时延指标。为此,选用MDRR/WRED技术,可以为对时延敏感业务生成单独的优先级队列,保证时延要求;同时还专门对基于Multicast的应用提供了专门的队列支持,从而从真正意义上向网上实时多媒体应用迈进一步。

根据以上对电信行业的典型应用的分析,我们认为,以上各条都是运营商最关心的问题,我们在给他们做网络安全解决方案时必须要考虑到是否满足以上要求,不影响电信网络的正常使用,可以看到电信网络对网络安全产品的要求是非常高的。

网络安全风险分析

瞄准网络存在的安全漏洞,黑客们所制造的各类新型的风险将会不断产生,这些风险由多种因素引起,与网络系统结构和系统的应用等因素密切相关。下面从物理安全、网络安全、系统安全、应用安全及管理安全进行分类描述:

1、物理安全风险分析

我们认为网络物理安全是整个网络系统安全的前提。物理安全的风险主要有:

地震、水灾、火灾等环境事故造成整个系统毁灭

电源故障造成设备断电以至操作系统引导失败或数据库信息丢失

电磁辐射可能造成数据信息被窃取或偷阅

不能保证几个不同机密程度网络的物理隔离

2、网络安全风险分析

内部网络与外部网络间如果在没有采取一定的安全防护措施,内部网络容易遭到来自外网的攻击。包括来自internet上的风险和下级单位的风险。

内部局网不同部门或用户之间如果没有采用相应一些访问控制,也可能造成信息泄漏或非法攻击。据调查统计,已发生的网络安全事件中,70%的攻击是来自内部。因此内部网的安全风险更严重。内部员工对自身企业网络结构、应用比较熟悉,自已攻击或泄露重要信息内外勾结,都将可能成为导致系统受攻击的最致命安全威胁。

3、系统的安全风险分析

所谓系统安全通常是指网络操作系统、应用系统的安全。目前的操作系统或应用系统无论是Windows还是其它任何商用UNIX操作系统以及其它厂商开发的应用系统,其开发厂商必然有其Back-Door。而且系统本身必定存在安全漏洞。这些"后门"或安全漏洞都将存在重大安全隐患。因此应正确估价自己的网络风险并根据自己的网络风险大小作出相应的安全解决方案。

4、应用的安全风险分析

应用系统的安全涉及很多方面。应用系统是动态的、不断变化的。应用的安全性也是动态的。比如新增了一个新的应用程序,肯定会出现新的安全漏洞,必须在安全策略上做一些调整,不断完善。

4.1 公开服务器应用

电信省中心负责全省的汇接、网络管理、业务管理和信息服务,所以设备较多包括全省用户管理、计费服务器、认证服务器、安全服务器、网管服务器、DNS服务器等公开服务器对外网提供浏览、查录、下载等服务。既然外部用户可以正常访问这些公开服务器,如果没有采取一些访问控制,恶意入侵者就可能利用这些公开服务器存在的安全漏洞(开放的其它协议、端口号等)控制这些服务器,甚至利用公开服务器网络作桥梁入侵到内部局域网,盗取或破坏重要信息。这些服务器上记录的数据都是非常重要的,完成计费、认证等功能,他们的安全性应得到100%的保证。

4.2 病毒传播

网络是病毒传播的最好、最快的途径之一。病毒程序可以通过网上下载、电子邮件、使用盗版光盘或软盘、人为投放等传播途径潜入内部网。网络中一旦有一台主机受病毒感染,则病毒程序就完全可能在极短的时间内迅速扩散,传播到网络上的所有主机,有些病毒会在你的系统中自动打包一些文件自动从发件箱中发出。可能造成信息泄漏、文件丢失、机器死机等不安全因素。

4.3信息存储

由于天灾或其它意外事故,数据库服务器造到破坏,如果没有采用相应的安全备份与恢复系统,则可能造成数据丢失后果,至少可能造成长时间的中断服务。

4.4 管理的安全风险分析

管理是网络中安全最最重要的部分。责权不明,安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。

比如一些员工或管理员随便让一些非本地员工甚至外来人员进入机房重地,或者员工有意无意泄漏他们所知道的一些重要信息,而管理上却没有相应制度来约束。当网络出现攻击行为或网络受到其它一些安全威胁时(如内部人员的违规操作等),无法进行实时的检测、监控、报告与预警。同时,当事故发生后,也无法提供黑客攻击行为的追踪线索及破案依据,即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录,及时发现非法入侵行为。

建立全新网络安全机制,必须深刻理解网络并能提供直接的解决方案,因此,最可行的做法是管理制度和技术解决方案的结合。

安全需求分析

1、物理安全需求

针对重要信息可能通过电磁辐射或线路干扰等泄漏。需要对存放绝密信息的机房进行必要的设计,如构建屏蔽室。采用辐射干扰机,防止电磁辐射泄漏机密信息。对存有重要数据库且有实时性服务要求的服务器必须采用UPS不间断稳压电源,且数据库服务器采用双机热备份,数据迁移等方式保证数据库服务器实时对外部用户提供服务并且能快速恢复。

2、系统安全需求

对于操作系统的安全防范可以采取如下策略:尽量采用安全性较高的网络操作系统并进行必要的安全配置、关闭一些起不常用却存在安全隐患的应用、对一些关键文件(如UNIX下:/.rhost、etc/host、passwd、shadow、group等)使用权限进行严格限制、加强口令字的使用、及时给系统打补丁、系统内部的相互调用不对外公开。

应用系统安全上,主要考虑身份鉴别和审计跟踪记录。这必须加强登录过程的身份认证,通过设置复杂些的口令,确保用户使用的合法性;其次应该严格限制登录者的操作权限,将其完成的操作限制在最小的范围内。充分利用操作系统和应用系统本身的日志功能,对用户所访问的信息做记录,为事后审查提供依据。我们认为采用的入侵检测系统可以对进出网络的所有访问进行很好的监测、响应并作记录。

3、防火墙需求

防火墙是网络安全最基本、最经济、最有效的手段之一。防火墙可以实现内部、外部网或不同信任域网络之间的隔离,达到有效的控制对网络访问的作用。

3.1省中心与各下级机构的隔离与访问控制

防火墙可以做到网络间的单向访问需求,过滤一些不安全服务;

防火墙可以针对协议、端口号、时间、流量等条件实现安全的访问控制。

防火墙具有很强的记录日志的功能,可以对您所要求的策略来记录所有不安全的访问行为。

3.2公开服务器与内部其它子网的隔离与访问控制

利用防火墙可以做到单向访问控制的功能,仅允许内部网用户及合法外部用户可以通过防火墙来访问公开服务器,而公开服务器不可以主动发起对内部网络的访问,这样,假如公开服务器造受攻击,内部网由于有防火墙的保护,依然是安全的。

4、加密需求

目前,网络运营商所开展的VPN业务类型一般有以下三种:

1.拨号VPN业务(VPDN)2.专线VPN业务3.MPLS的VPN业务

移动互连网络VPN业务应能为用户提供拨号VPN、专线VPN服务,并应考虑MPLSVPN业务的支持与实现。

VPN业务一般由以下几部分组成:

(1)业务承载网络(2)业务管理中心(3)接入系统(4)用户系统

我们认为实现电信级的加密传输功能用支持VPN的路由设备实现是现阶段最可行的办法。

5、安全评估系统需求

网络系统存在安全漏洞(如安全配置不严密等)、操作系统安全漏洞等是黑客等入侵者攻击屡屡得手的重要因素。并且,随着网络的升级或新增应用服务,网络或许会出现新的安全漏洞。因此必需配备网络安全扫描系统和系统安全扫描系统检测网络中存在的安全漏洞,并且要经常使用,对扫描结果进行分析审计,及时采取相应的措施填补系统漏洞,对网络设备等存在的不安全配置重新进行安全配置。

6、入侵检测系统需求

在许多人看来,有了防火墙,网络就安全了,就可以高枕无忧了。其实,这是一种错误的认识,防火墙是实现网络安全最基本、最经济、最有效的措施之一。防火墙可以对所有的访问进行严格控制(允许、禁止、报警)。但它是静态的,而网络安全是动态的、整体的,黑客的攻击方法有无数,防火墙不是万能的,不可能完全防止这些有意或无意的攻击。必须配备入侵检测系统,对透过防火墙的攻击进行检测并做相应反应(记录、报警、阻断)。入侵检测系统和防火墙配合使用,这样可以实现多重防护,构成一个整体的、完善的网络安全保护系统。

7、防病毒系统需求

针对防病毒危害性极大并且传播极为迅速,必须配备从服务器到单机的整套防病毒软件,防止病毒入侵主机并扩散到全网,实现全网的病毒安全防护。并且由于新病毒的出现比较快,所以要求防病毒系统的病毒代码库的更新周期必须比较短。

8、数据备份系统

安全不是绝对的,没有哪种产品的可以做到百分之百的安全,但我们的许多数据需要绝对的保护。最安全的、最保险的方法是对重要数据信息进行安全备份,通过网络备份与灾难恢复系统进行定时自动备份数据信息到本地或远程的磁带上,并把磁带与机房隔离保存于安全位置。如果遇到系统来重受损时,可以利用灾难恢复系统进行快速恢复。

9、安全管理体制需求

安全体系的建立和维护需要有良好的管理制度和很高的安全意识来保障。安全意识可以通过安全常识培训来提高,行为的约束只能通过严格的管理体制,并利用法律手段来实现。因些必须在电信部门系统内根据自身的应用与安全需求,制定安全管理制度并严格按执行,并通过安全知识及法律常识的培训,加强整体员工的自身安全意识及防范外部入侵的安全技术。

安全目标

通过以上对网络安全风险分析及需求分析,再根据需求配备相应安全设备,采用上述方案,我们认为一个电信网络应该达到如下的安全目标:

建立一套完整可行的网络安全与网络管理策略并加强培训,提高整体人员的安全意识及反黑技术。

利用防火墙实现内外网或不信任域之间的隔离与访问控制并作日志;

通过防火墙的一次性口令认证机制,实现远程用户对内部网访问的细粒度访问控制;

通过入侵检测系统全面监视进出网络的所有访问行为,及时发现和拒绝不安全的操作和黑客攻击行为并对攻击行为作日志;

通过网络及系统的安全扫描系统检测网络安全漏洞,减少可能被黑客利用的不安全因素;

利用全网的防病毒系统软件,保证网络和主机不被病毒的侵害;

备份与灾难恢复---强化系统备份,实现系统快速恢复;

通过安全服务提高整个网络系统的安全性。

⑥ 网络安全和黑客攻防有什么区别

网络安全覆盖的范围更广,可以说黑客攻击是网络安全的一类,一般电脑装个360安全卫士足够防护的了

⑦ apt是什么意思

apt指APT攻击。

APT攻击,即高级可持续威胁攻击,也称为定向威胁攻击,指某组织对特定对象展开的持续有效的攻击活动。这种攻击活动具有极强的隐蔽性和针对性,通常会运用受感染的各种介质、供应链和社会工程学等多种手段实施先进的、持久的且有效的威胁和攻击。

入侵方式

APT入侵客户的途径多种多样,主要包括以下几个方面。

一、以智能手机、平板电脑和USB等移动设备为目标和攻击对象继而入侵企业信息系统的方式。

二、社交工程的恶意邮件是许多APT攻击成功的关键因素之一,随着社交工程攻击手法的日益成熟,邮件几乎真假难辨。从一些受到APT攻击的大型企业可以发现,这些企业受到威胁的关键因素都与普通员工遭遇社交工程的恶意邮件有关。黑客刚一开始,就是针对某些特定员工发送钓鱼邮件,以此作为使用APT手法进行攻击的源头。

三、利用防火墙、服务器等系统漏洞继而获取访问企业网络的有效凭证信息是使用APT攻击的另一重要手段。

总之,高级持续性威胁(APT)正在通过一切方式,绕过基于代码的传统安全方案(如防病毒软件、防火墙、IPS等),并更长时间地潜伏在系统中,让传统防御体系难以侦测。

⑧ 网络安全涉及哪几个方面.

网络安全主要有系统安全、网络的安全、信息传播安全、信息内容安全。具体如下:

1、系统安全

运行系统安全即保证信息处理和传输系统的安全,侧重于保证系统正常运行。避免因为系统的崩演和损坏而对系统存储、处理和传输的消息造成破坏和损失。避免由于电磁泄翻,产生信息泄露,干扰他人或受他人干扰。

2、网络的安全

网络上系统信息的安全,包括用户口令鉴别,用户存取权限控制,数据存取权限、方式控制,安全审计。安全问题跟踩。计算机病毒防治,数据加密等。

3、信息传播安全

网络上信息传播安全,即信息传播后果的安全,包括信息过滤等。它侧重于防止和控制由非法、有害的信息进行传播所产生的后果,避免公用网络上大云自由传翰的信息失控。

4、信息内容安全

网络上信息内容的安全侧重于保护信息的保密性、真实性和完整性。避免攻击者利用系统的安全漏洞进行窃听、冒充、诈骗等有损于合法用户的行为。其本质是保护用户的利益和隐私。

(8)代码战争网络安全扩展阅读:

维护网络安全的工具有VIEID、数字证书、数字签名和基于本地或云端的杀毒软体等构成。

1、Internet防火墙

它能增强机构内部网络的安全性。Internet防火墙负责管理Internet和机构内部网络之间的访问。在没有防火墙时,内部网络上的每个节点都暴露给Internet上的其它主机,极易受到攻击。这就意味着内部网络的安全性要由每一个主机的坚固程度来决定,并且安全性等同于其中最弱的系统。

2、VIEID

在这个网络生态系统内,每个网络用户都可以相互信任彼此的身份,网络用户也可以自主选择是否拥有电子标识。除了能够增加网络安全,电子标识还可以让网络用户通过创建和应用更多可信的虚拟身份,让网络用户少记甚至完全不用去记那些烦人的密码。

3、数字证书

CA中心采用的是以数字加密技术为核心的数字证书认证技术,通过数字证书,CA中心可以对互联网上所传输的各种信息进行加密、解密、数字签名与签名认证等各种处理,同时也能保障在数字传输的过程中不被不法分子所侵入,或者即使受到侵入也无法查看其中的内容。

⑨ shen me she hei ke

---什么是黑客?

Jargon File中对“黑客”一词给出了很多个定义,大部分定义都涉及高超的编程技术,强烈的解决问题和克服限制的欲望。如果你想知道如何成为一名黑客,那么好,只有两方面是重要的。(态度和技术)

长久以来,存在一个专家级程序员和网络高手的共享文化社群,其历史可以追溯到几十年前第一台分时共享的小型机和最早的ARPAnet实验时期。 这个文化的参与者们创造了“黑客”这个词。 黑客们建起了Internet。黑客们使Unix操作系统成为今天这个样子。黑客们搭起了Usenet。黑客们让WWW正常运转。如果你是这个文化的一部分,如果你已经为它作了些贡献,而且圈内的其他人也知道你是谁并称你为一个黑客,那么你就是一名黑客。

黑客精神并不仅仅局限于软件黑客文化圈中。有些人同样以黑客态度对待其它事情如电子和音乐---事实上,你可以在任何较高级别的科学和艺术中发现它。软件黑客们识别出这些在其他领域同类并把他们也称作黑客---有人宣称黑客实际上是独立于他们工作领域的。 但在本文中,我们将注意力集中在软件黑客的技术和态度,以及发明了“黑客”一词的哪个共享文化传统之上。

另外还有一群人,他们大声嚷嚷着自己是黑客,实际上他们却不是。他们是一些蓄意破坏计算机和电话系统的人(多数是青春期的少年)。真正的黑客把这些人叫做“骇客”(cracker),并不屑与之为伍。多数真正的黑客认为骇客们是些不负责任的懒家伙,还没什么大本事。专门以破坏别人安全为目的的行为并不能使你成为一名黑客, 正如拿根铁丝能打开汽车并不能使你成为一个汽车工程师。不幸的是,很多记者和作家往往错把“骇客”当成黑客;这种做法激怒真正的黑客。

根本的区别是:黑客们建设,而骇客们破坏。

如果你想成为一名黑客,继续读下去。如果你想做一个骇客,去读 alt.2600 新闻组,并在发现你并不像自己想象的那么聪明的时候去坐5到10次监狱。 关于骇客,我只想说这么多。

---黑客的态度

黑客们解决问题,建设事物,信仰自由和双向的帮助,人人为我, 我为人人。
要想被认为是一名黑客,你的行为必须显示出你已经具备了这种态度。要想做的好象你具备这种态度,你就不得不真的具备这种态度。但是如果你想靠培养黑客态度在黑客文化中得到承认,那就大错特错了。因为成为具备这些特质的这种人对你自己非常重要,有助于你学习,并给你提供源源不断的活力。同所有有创造性的艺术一样,成为大师的最有效方法就是模仿大师的精神---不是仅从理智上,更要从感情上进行模仿。

So,如果你想做一名黑客,请重复以下事情直到你相信它们:

1 这世界充满待解决的迷人问题

做一名黑客有很多乐趣,但却是些要费很多气力方能得到的乐趣。 这些努力需要动力。成功的运动员从健壮体魄,挑战自我极限中汲取动力。同样,做黑客,你必须
要有从解决问题,磨练技术,锻炼智力中得到基本的热望。如果你还不是这类人又想做黑客,你就要设法成为这样的人。否则你会发现,你的黑客热情会被其他诱惑无情地吞噬掉---如金钱、性和社会上的虚名。

(同样你必须对你自己的学习能力建立信心---相信尽管你对某问题所知不多,但如果你一点一点地学习、试探,你最终会掌握并解决它。)

2. 一个问题不应该被解决两次

聪明的脑瓜是宝贵的,有限的资源。当这个世界还充满其他有待解决的有趣问题之时,他们不应该被浪费在重新发明轮子这些事情上。 作为一名黑客,你必须相信其他黑客的思考时间是宝贵的---因此共享信息,解决问题并发布结果给其他黑客几乎是一种道义,这样其他人就可以去解决新问题而不是重复地对付旧问题。

(你不必认为你一定要把你的发明创造公布出去,但这样做的黑客是赢得大家尊敬最多的人。卖些钱来给自己养家糊口,买房买车买计算机甚至发大财和黑客价值也是相容的,只要你别忘记你还是个黑客。)

3. 无聊和乏味的工作是罪恶

黑客们应该从来不会被愚蠢的重复性劳动所困扰,因为当这种事情发生时就意味着他们没有在做只有他们才能做的事情---解决新问题。这样的浪费伤害每一个人。因此,无聊和乏味的工作不仅仅是令人不舒服而已,它们是极大的犯罪。 要想做的象个黑客,你必须完全相信这点并尽可能多地将乏味的工作自动化,不仅为你自己,也为了其他人(尤其是其他黑客们)。

(对此有一个明显的例外。黑客们有时也做一些重复性的枯燥工作以进行“脑力休息”,或是为练熟了某个技巧,或是获得一些除此无法获得的经验。但这是他自己的选择---有脑子的人不应该被迫做无聊的活儿。)

4 自由就是好

黑客们是天生的反权威主义者。任何能向你发命令的人会迫使你停止解决令你着迷的问题,同时,按照权威的一般思路,他通常会给出一些极其愚昧的理由。因此,不论何时何地,任何权威,只要他压迫你或其他黑客,就要和他斗到底。

(这并非说任何权力都不必要。儿童需要监护,罪犯也要被看管起来。 如果服从命令得到某种东西比起用其他方式得到它更节约时间,黑客会同意接受某种形式的权威。但这是一个有限的、特意的交易;权力想要的那种个人服从不是你的给予,而是无条件的服从。)

权力喜爱审查和保密。他们不信任自愿的合作和信息共享---他们只喜欢由他们控制的合作。因此,要想做的象个黑客,你得对审查、保密,以及使用武力或欺骗去压迫人们的做法有一种本能的反感和敌意。

5. 态度不能替代能力

要做一名黑客,你必须培养起这些态度。但只具备这些态度并不能使你成为一名黑客,就象这并不能使你成为一个运动健将和摇滚明星一样。成为一名黑客需要花费智力,实践,奉献和辛苦。

因此,你必须学会不相信态度,并尊重各种各样的能力。黑客们不会为那些故意装模做样的人浪费时间,但他们却非常尊重能力---尤其是做黑客的能力,不过任何能力总归是好的。具备很少人才能掌握的技术方面的能力尤其为好,而具备那些涉及脑力、技巧和聚精会神的能力为最好。

如果你尊敬能力,你会享受提高自己能力的乐趣---辛苦的工作和奉献会变成一种高度娱乐而非贱役。 要想成为一名黑客,这一点非常重要。

---基本黑客技术

黑客态度是重要的,但技术更加重要。态度无法替代技术,在你被别的黑客称为黑客之前,有一套基本的技术你必须掌握。 这套基本技术随着新技术的出现和老技术的过时也随时间在缓慢改变。例如,过去包括使用机器码编程,而知道最近才包括了HTML语言。但现在明显包括以下技术:

1 学习如何编程

这当然是最基本的黑客技术。如果你还不会任何计算机语言,我建议你从Python开始。它设计清晰,文档齐全,对初学者很合适。尽管是一门很好的初级语言,它不仅仅只是个玩具。它非常强大,灵活,也适合做大型项目。

但是记住,如果你只会一门语言,你将不会达到黑客所要求的技术水平,甚至也不能达到一个普通程序员的水平---你需要学会如何以一个通用的方法思考编程问题,独立于任何语言。要做一名真正的黑客,你需要学会如何在几天内通过一些手册,结合你现在所知,迅速掌握一门新语言。这意味着你应该学会几种不同的语言。

如果要做一些重要的编程,你将不得不学习C语言,Unix的核心语言。其他对黑客而言比较重要的语言包括Perl和LISP。 Perl很实用,值得一学;它被广泛用于活动网页和系统管理,因此即便你从不用Perl写程序,至少也应该能读懂它。 LISP 值得学习是因为当你最终掌握了它你会得到丰富的经验;这些经验使你在以后的日子里成为一个更好的程序员,即使你实际上可能很少使用LISP本身。

当然,实际上你最好四种都会。 (Python, C, Perl, and LISP). 除了是最重要的四种基本语言,它们还代表了四种非常不同的编程方法,每种都会让你受益非浅。

这里我无法完整地教会你如何编程---这是个复杂的活儿。但我可以告诉你,书本和课程也不能作到。几乎所有最好的黑客都是自学成材的。真正能起作用的就是去亲自读代码和写代码。

学习如何编程就象学习用自然语言写作一样。最好的做法是读一些大师的名着,试着自己写点东西,再读些,再写点,又读些,又写点....如此往复,直到你达到自己在范文中看到的简洁和力量。

过去找到好的代码去读是困难的,因为很少有大型程序的可用源代码能让新手练手。这种状况已经得到了很大的改善;现在有很多可用的开放源码软件,编程工具和操作系统(全都有黑客写成)。这使我们自然地来到第二个话题...

2 得到一个开放源码的Unix并学会使用、运行它

我假设你已经拥有了一台个人计算机或者有一个可用的( 今天的孩子们真幸福 :-) )。新手们最基本的一步就是得到一份Linux或BSD-Unix,安装在个人计算机上,并运行它。
当然,这世界上除了Unix还有其他操作系统。但它们都是以二进制形式发送的---你无法读到它的源码,更不可能修改它。尝试在DOS或Windows的机器上学习黑客技术,就象是在腿上绑了铁块去学跳舞。

除此之外,Unix还是Internet的操作系统。你可以不知道Unix而学会用Internet,但不懂它你就无法成为一名Internet黑客。因为这个原因,今天的黑客文化在很大程度上是以Unix为中心的。(这点并不总是真的,一些很早的黑客对此很不高兴,但Unix和Internet之间的共生关系已是如此之强,甚至连微软也无可奈何)

So,装一个Unix---我个人喜欢Linux,不过也有其他选择。(你也可以在同一台机器上同时运行DOS,Windows和Linux)学会它。运行它。用它跟Internet对话。读它的代码。试着去修改他。你会得到比微软操作系统上好的多的编程工具(包括C,Lisp, Python, and Perl),你会得到乐趣,并将学到比你想象的更多知识。

关于学习Unix的更多信息,请看 The Loginataka.

要得到Linux,请看: 哪里能得到 Linux.

3 学会如何使用WWW和写HTML

大多黑客文化建造的东西都在你看不见的地方发挥着作用,帮助工厂、办公室和大学正常运转,表面上很难看到它对他人的生活的影响。Web是一个大大的例外。即便政客也同意,这个巨大而耀眼的黑客玩具正在改变整个世界。单是这个原因(还有许多其它的), 你就需要学习如何掌握Web。

这并不是仅仅意味着如何使用浏览器(谁都会),而是要学会如何写HTML,Web的标记语言。如果你不会编程,写HTML会教你一些有助于学习的思考习惯。因此,先建起自己的主页。

但仅仅建一个主页也不能使你成为一名黑客。 Web里充满了各种网页。多数是无意义的,零信息量垃圾。

要想有价值,你的网页必须有内容---必须有趣或对其它黑客有用。这样,我们来到下一个话题....

---黑客文化中的地位

象大部分不涉及金钱的文化一样,黑客王国的运转靠声誉维护。你设法解决有趣的问题,但它们到底多有趣,你的解法有多好,是要有那些和你具有同样技术水平的人或比你更牛的人去评判的。

相应地,当你在玩黑客游戏时,你知道,你的分数要靠其他黑客对你的技术的评估给出。(这就是为什么只有在其它黑客称你为黑客是,你才算得上是一名黑客)这个事实常会被黑客是一项孤独的工作这一印象所减弱;它也会被另一个黑客文化的禁忌所减弱(此禁忌的效力正在减弱但仍很强大):拒绝承认自我或外部评估是一个人的动力。

特别地,黑客王国被人类学家们称为一种精英文化。在这里你不是凭借你对别人的统治来建立地位和名望,也不是靠美貌,或拥有其他人想要的东西,而是靠你的奉献。尤其是奉献你的时间,你的才智和你的技术成果。

要获得其他黑客的尊敬,你可以做以下五种事情:

1. 写开放源码的软件

第一个(也是最基本和传统的)是写些被其他黑客认为有趣或有用的程序,并把程序的原代码公布给大家共享。
(过去我们称之为“自由软件-free software”,但这却使很多不知free的精确含义的人感到不解。现在我们很多人使用“开放源码-open source”这个词)

黑客王国里最受尊敬的大牛们是那些写了大型的、具有广泛用途的软件,并把它们公布出去,使每人都在使用他的软件的人。

2. 帮助测试并修改开放源码的软件

黑客们也尊敬也那些使用、测试开放源码软件的人。在这个并非完美的世界上,我们不可避免地要花大量软件开发的时间在测试和抓臭虫阶段。 这就是为什么任何开放源码的作者稍加思考后都会告诉你好的beta测试员象红宝石一样珍贵。 (他知道如何清楚描述出错症状,很好地定位错误,能忍受快速发布的软件中的bug,愿意使用一些简单的诊断工具) 甚至他们中的一个能判断出哪个测试阶段是延长的、令人精疲力尽的噩梦,哪个只是一个有益健康的玩意儿。

如果你是个新手,试着找一个赶兴趣的正在开发的程序,作一个好的beta测试员。从帮着测试,到帮着抓臭虫,到最后帮着改程序,你会不断进步。以后你写程序时,会有别人来帮你,你就得到了你当初善举的回报。

3. 公布有用的信息

另一个好事是收集整理网页上有用有趣的信息或文档如FAQ。许多主要FAQ的维护者和其他开放源码的作者一样受到大家的尊敬。

4. 帮助维护基础设施的运转

黑客文化是靠自愿者运转的。要使Internet能正常工作,就要有大量枯燥的工作不得不去完成----管理mail list,newsgroup,维护大量文档,开发RFC和其它技术标准等等。做这类事情的人会得到很多人的尊敬,因为每人都知道这些事情是耗时耗力的苦役,不象编码那样好玩。做这些事情需要毅力。

5. 为黑客文化本身服务

最后,你可以为这个文化本身服务(例如象我这样,写一个“如何成为黑客”的初级教程 :-) )(hehe,象我这样把它翻成中文 :-) ) 这并非一定要在你已经在这里呆了很久,精通所有以上4点,获得一定声誉后后才能去做。

黑客文化没有领袖。精确地说,它确实有些文化英雄和部落长者和历史学家和发言人。若你在这圈内呆的够长,你或许成为其中之一。
记住:黑客们不相信他们的部落长者的自夸的炫耀,因此很明显地去追求这种名誉是危险的。你必须具备基本的谦虚和优雅。

---黑客和怪人(Nerd)的联系

同流行的传说相反,做一名黑客并不一定要你是个怪人。然而,很多黑客都是怪人。做一个出世者有助于你集中精力进行更重要的事情,如思考和编程。
因此,很多黑客都愿意接受“怪人”这个标签,更有甚者愿意使用“傻子(geek)”一词并自以为豪---这是宣布他们与主流社会不合作的声明。

如果你能集中足够的精力来做好黑客同时还能有正常的生活,这很好。今天作到这一点比我在1970年代是个新手是要容易的多。今天主流文化对技术怪人要友善的多。甚至有更多的人意识到黑客通常更富爱心,是块很好的做恋人和配偶的材料。 更多信息见 Girl's Guide to Geek Guys.

如果你因为生活上不如意而为做黑客而吸引,那也没什么---至少你不会分神了。或许以后你会找到自己的另一半。

---风格的意义

重申一下,做一名黑客,你必须进入黑客精神之中。当你不在计算机边上时,你仍然有很多事情可做。它们并不能替代真正的编程(没有什么能替代编程),但很多黑客都那么做,并感到它们与黑客精神存在一种本质的关联。

阅读科幻小说。参加科幻小说讨论会。(一个很好的寻找黑客的场合)
研究禅宗,或练功习武。
练就一双精确的耳朵,学会鉴赏特别的音乐。学会玩某种乐器,或唱歌。
提高对双关语的鉴赏。
学会流畅地用母语写作。(令人惊讶的时,我所知道的所有最棒的黑客,都是很不错的作家)

这些事情,你做的越多,你就越适合做黑客。至于为什么偏偏是这些事情,原因并不很清楚,但它们都涉及到了左-右脑的综合技巧,这似乎是关键所在。(黑客们既需要清晰的逻辑思维,有时也需要强烈的跳出逻辑之外的直觉)

最后,还有一些不要去做的事情。

不要使用愚蠢的,过于哗众取宠的ID
不要自称为网络崩客(punk) ,也不要对那些人浪费时间
不要寄出充满拼写和语法错误的email,或张贴错误百出的文章

做以上的事情,会使大大损害你的声誉。黑客们个个记忆超群---你将需要数年的时间让他们忘记你的愚蠢。

---其它资源

Peter Seebach为那些不知如何同黑客打交道的经理们维护了一个非常精彩的黑客FAQ。

The Loginataka 有许多关于如何正确培养一个Unix黑客的态度的材料。

我也曾写过一篇“黑客文化简史”。

我还写过另一篇文章,“大教堂与集市”,解释了许多Linux和开放源码文化的运做原理。我还在它的续集“开拓智域”一文中有更直接的论述。

---FAQ(常问问题解答)

问:你会教我如何做黑客吗?

自从第一次发布此页,我每周都会得到一些请求,要我“教会他如何做黑客”;遗憾的是,我没有足够的时间和精力来做这个;我自己的编程项目已经占用了我110%的时间。
甚至即便我想教你也不可能,黑客基本上是一项需要你自行修炼的的态度和技术。你会发现即使真正的黑客想帮助你,如果你乞求他们填鸭一样教你的话,你不会赢得他们的尊敬。
首先去学习。显示你在尝试,你能靠自己去学习。然后再去向黑客们请教问题。

问:你会帮我“黑”掉一个站点吗?或者教我怎么黑它?

No. 任何在读完FAQ后还问此问题人,都是愚不可及的家伙,即使有时间我也不会理睬。 任何发给我的此类mail都会被忽略或被痛斥。

问:哪里能找到真正的可以与之交流的黑客?

最佳办法是就近参加一个Unix或Linux的用户组,参加他们的会议。

问:我该先学哪种语言?

HTML, 如果你还不会的话.
但它不是一个真正的编程语言。当你准备编程时,我建议你从 Python开始. 会有很多人向你推荐Perl,它比Python还受欢迎,但却难学一些。

C 是非常重要的,但它却是最难学的。不要一开始就尝试学C。

问:开放源码的自由软件不会使程序员饿肚子吗?

这似乎不大可能---到目前,开放源码软件产业创造了而不是消灭了大量工作机会。
如果写一个程序比不写一个程序只是个纯粹经济上的收益的话,无论它是否免费,只要它被完成,程序员都会从中得到回报。而且,无论软件是由多么的free的方法开发的,对更新的软件应用的需求总是会有的。

问:我从何学起?哪里有免费的Unix?

本页的其他地方指向最常用的免费Unix。要做一名黑客,你需要自立自强,以及自我教育的能力。
参考资料:国内着名安全站点:http://www.chinesehack.org/#
回答者:君特·格拉斯 - 大魔导师 十二级 1-29 20:48

提问者对于答案的评价:
谢谢你回答的这么详细

⑩ 网络安全涉及什么方面

1、操作系统没有进行相关的安全配置
不管使用的是哪一种操作系统,安装不完全的情况下都会存在一些安全问题,只有专门针对操作系统安全性进行相关的和严格的安全配置,才能达到一定的安全程度。千万不要以为操作系统缺省安装后,只要自己设置的密码很强就没有问题。网络软件的漏洞和“后门”是进行网络攻击的首选目标。
2、没有进行CGI程序代码审计
如果是通用的CGI问题,防范起来还稍微容易一些,但是对于网站或软件供应商专门开发的一些CGI程序,很多存在严重的CGI问题,对于电子商务站点来说,会出现恶意攻击者冒用他人账号进行网上购物等严重后果。
3、拒绝服务(DoS,DenialofService)攻击
现在的网站对于实时性的要求是越来越高,DoS或DDoS对网站的威胁越来越大。如果一个网络攻击是以网络瘫痪为目标的,那么它的袭击效果是很强烈的,破坏性很大,造成危害的速度和范围也是我们预料不到的,而袭击者本身的风险却非常小,甚至可以在袭击开始前就已经消失得无影无踪。
4、安全产品使用不当
虽然很多网站都采用了基本的网络安全设备,但由于安全产品本身的问题或使用问题,这些产品并没有发挥到应有的作用。很多安全厂商的产品对配置人员的技术要求很高,就算是厂家在最初给用户做了正确的安装、配置,但一旦系统改动,需要改动相关安全产品的设置时,很容易产生许多安全问题。
5、缺少严格的网络安全管理制度
网络安全最重要的还是要有相应的制度去保障,建立和实施严密的计算机网络安全制度与策略是真正实现网络安全的基础。

阅读全文

与代码战争网络安全相关的资料

热点内容
手机不在网络 浏览:50
网络卖旧货平台有哪些 浏览:974
wifi机怎么改装网络机 浏览:780
高中网络辅导课程哪个好 浏览:374
四川网络机柜多少钱 浏览:538
网络信号可以转化电话信号 浏览:432
无线网上的cmcc是什么网络 浏览:871
横琴新区网络营销专业文凭 浏览:558
霸天安云在移动网络下显示离线 浏览:782
digi什么网络 浏览:685
4g网络信号差怎么改 浏览:145
家里网络掉线怎么修复 浏览:755
开机有线网络连接不上 浏览:433
华为鸿蒙sa网络怎么打开 浏览:314
网络客服应具备哪些技能 浏览:389
华为海备思如何使用wifi网络 浏览:466
十大网络新歌有哪些 浏览:851
个性网络营销是什么意思 浏览:826
谷歌推广网络营销哪个好 浏览:4
华为禁了网络的软件如何打开 浏览:308

友情链接