时间：2023-04-08 11:46:45
序论：速发表网结合其深厚的文秘经验，特别为您筛选了11篇安全网络论文范文。如果您需要更多原创资料，欢迎随时与我们的客服老师联系，希望您能从中汲取灵感和知识！
1.1设备依赖性。
不同于过往的档案记载，信息化的档案资料再也不是一支笔、一份纸记录的过程，从输入到输出都是经由计算机与其辅助设备实现，管理与传输也都依赖各种软件与网络资源共享，信息处理速度与质量在某些程度上依赖于计算机的性能与软件的适应性。
1.2易控性和可变性。
信息化的档案资料一般是以通用的文档、图片、视频、音频等形式储存下来，这给信息共享带来了便利，但也增加了档案资料的易控性和可变性，对于文档资料可以通过office工具删除修改文字、对于图片资料可以通过photoshop轻易地改变其原有的面貌、对于音频和视频资料可以通过adobeaudition和premiere工具的剪辑变成完全不同的模样，这些都造成了档案信息易丢失的现象。
1.3复杂性。
档案信息量不断增加、信息存储形式也变得丰富多样，不仅有前文所述的文档、图像、视频、音频等形式，不同格式之间的信息资料还可以相互转换，如视频与图片、文字与图片的转换等等，进一步增加了档案信息的复杂性。
2目前网络环境下档案信息安全管理存在的问题
2.1网络环境下档案信息安全问题的特性。
档案信息化有其显著特征，在此基础上的档案信息安全问题属性也发生了较大变化。首先表现在信息共享的无边界性，发达的网络技术使得整个世界变成一张巨大的网，上传的信息即使在大洋彼岸也能及时查看，一旦信息泄露，传播的范围广、造成的危害难以估量。同时，在某种程度上档案信息化系统也存在着脆弱性问题，计算机病毒可以入侵系统的众多组成部分，而任何一部分被攻击都可能造成整个系统的崩溃。此外，网络安全问题还存在一定的隐蔽性，无需面对面交流，不用对话沟通，只需打开一个网页或是鼠标轻轻点击，信息就会在极短时间内被窃取，造成严重后果。
2.2网络环境下档案信息安全面临的主要问题。
1）档案信息化安全意识薄弱。很多情况下，档案信息被窃取或损坏并不是因为入侵者手段高明，而是档案信息管理系统自身安全漏洞过多，其本质原因是档案信息管理安全意识不够。受传统档案管理观念的桎梏、自身技术水平的限制，很多管理人员并未将档案信息看作极为重要的资源，对相关资料处理的随意性大，也无法觉察到潜在的风险，日常操作管理不规范，增加了档案安全危机发生的可能性。
2）档案信息化安全资金投入不够。现代信息环境复杂多变，数据量急剧增加，信息管理难度也越来越大，对各种硬件、软件设备的要求也进一步提高，需要企业在档案信息管理方面投入更多的人力、物力，定期检查系统漏洞。而就目前情况而言，大部分企业在这方面投入的资源还远远达不到要求，档案信息管理的安全性得不到有效保障。
3）档案信息化安全技术问题。技术问题首先表现在互联网自身的开放性特征中，互联网的基石是TCP/IP协议，以效率和及时沟通性为第一追求目标，必然会导致安全性的牺牲，诸如E-mail口令与文件传输等操作很容易被监听，甚至于不经意间计算机就会被远程操控，许多服务器都存在可被入侵者获取最高控制权的致命漏洞。此外，网络环境资源良莠不齐，许多看似无害的程序中夹杂着计算机病毒代码片段，隐蔽性强、传染性强、破坏力大，给档案信息带来了严重威胁。
3网络环境下实现档案信息安全保障原则
3.1档案信息安全的绝对性与相对性。
档案信息安全管理工作的重要性是无需置疑的，是任何企业特别是握有核心技术的大型企业必须注重的问题，然而，档案信息管理并没有一劳永逸的方法，与传统档案一样，不存在绝对的安全保障，某一时期看起来再完善的系统也会存在不易发现的漏洞，随着科技的不断发展，会愈来愈明显地暴露出来。同时，档案信息安全维护技术也没有绝对的优劣之分，根据实际情况的需求，简单的技术可能性价比更高。
3.2管理过程中的技术与非技术因素。
档案信息管理工作不是单一的网络技术维护人员工作，也不是管理人员的独角戏，而需要技术与管理的有机结合。档案管理人员可以不具备专业网络技术人才的知识储备量，但一定要具备发现安全问题的感知力与责任心，对于一些常见入侵迹象要了然于心，对于工作中出现的自身无法解决的可疑现象应及时通知更专业的技术人员查看。可根据企业实际情况建立完善的档案安全管理机制，充分调动各部门员工的力量，以系统性、全面性的理念去组织档案信息管理工作。
4网络环境下档案信息安全管理具体保障方法
4.1建立制度屏障。
完善的制度是任何工作顺利进行的前提与基础，对于复杂网络环境下的档案信息安全管理工作来说更是如此。在现今高度发达的信息背景下，档案管理再不是锁好一扇门、看好一台计算机的简单工作，而是众多高新技术的集合体，因此，做好档案信息安全管理工作首先要加强安全意识的宣传，包括保密意识教育与信息安全基础教育，加强档案管理人员特别是技术操作人员的培训工作。同时，应注重责任制度的落实，详细规定库房管理、档案借阅、鉴定、销毁等责任分配，详细记录档案管理培训与考核工作、记录进出档案室的人员信息，具体工作落实到人。在实际操作中，应严格记录每一个操作步骤，将档案接收、借阅、复制等过程完整、有条理地编入类目中，以便日后查阅。
4.2建立技术屏障。
网络环境下的信息安全技术主要体现在通信安全技术和计算机安全技术两个方面。
1）通信安全技术。通信安全技术应用于档案资料的传输共享过程中，可分为加密、确认与网络控制技术等几大类。其中，信息加密技术是实现档案信息安全管理的关键，通过各种不同的加密算法实现信息的抽象化与无序化，即使被劫持也很难辨认出原有信息，这种技术性价比高，较小的投入便可获得较高的防护效果。档案信息确认技术是通过限制共享范围达到安全性要求，每一个用户都掌握着识别档案信息是否真实的方案，而不法接收者难以知晓方案的实际内容，从而预防信息的伪造、篡改行为。
2）计算机安全技术。从计算机安全角度入手，可采用芯片卡识别制度，每一名合法使用者的芯片卡微处理机内记录特有编号，只有当编号在数据库范围内时方可通过认证，防止档案信息经由计算机存储器被窃的现象发生。同时，应加强计算机系统的防火墙设计，注意查找系统漏洞。
2我国网络信息安全的应对措施
2．1加强网络信息安全管理网络信息安全实质就是一个管理方面的问题，特别是在我国网络信息安全行业刚刚发展初期，做好网络信息安全的管理工作更显得尤为重要。①严格根据管理流程实施管理操作。对网络进行微观操作，这是网络内网产生不安全的主要原因，因此，对业务不得进行越权查看及使用，不许私自对数据库或某些机密文件进行修改，以此来杜绝内网中计算机及网络受到恶意攻击。②实施连续性管理网络系统。作为网络管理人员，一定要把系统恢复和系统备份策略应用于网络系统，这不仅可实现连续性管理系统的要求，而且还可有效避免因恶意破坏、自然灾害等原因使设备遭到破坏、无法正常提供服务的问题发生。③加强管理人员的日常操作管理。要有效对系统进行管理，最为重要的在于管理人员，因此，作为网络系统管理人员，一定要具备超强的技术能力，此外，还必须具备一定的网络信息安全意识。不管是企业，还是公司，在进行网络管理人员选拔时，一定要综合考虑有关技术能力和安全意识等方面的因素;同时，还要创造条件对这些网络管理人员实施一定的职业培训以及网络信息安全教育，以此来让网络管理人员切实懂得网络信息安全的重要性，并让他们明白在维护网络信息安全中他们个人所应承担的责任。此外，对于网络信息的相关操作管理，一定要让网络管理人员熟练掌握，对于安全的网络管理策略能予以正确的执行和落实，这样，就可最大限度避免因人为原因所带来的网络信息安全漏洞。
2．2设置防火墙网络威胁绝大多数是从互联网来的，应用防火墙来判断与辨别进出网络的各种信息，能够有效避免内网或计算机系统遭到病毒和木马的攻击;所以，要对网络信息安全进行有效保护，一定要选择一个防火墙来进行保护，而且要让所选择的防火墙，不仅要技术性强，而且防御功能要足够强大。
2．3安装vpn设备所谓vpn设备，其实就是一个服务器，电脑在进行网络信息传递过程中，要使网络信息先向vpn服务器进行传递，然后再通过vpn设备向目的主机进行传递，这样就可让计算机不直接连接于物联网，从而让网络黑客无法得到真正的ip地址，无法完成对网络进行攻击，这样就有效对网络信息安全起到了保护作用。
1.基于IPv6的网络建设
在全球互联网高度发展的今天，由于网络与通信的日益融合，基于IPv4地址编码方式已于2011年1月枯竭。那么，IPv6成为解决IPv4地址耗尽问题的最好解决方法网络安全络安全论文，按照正常方式从IPv4向IPv6转换成功的话，全球所有的终端均可拥有一个IP地址，从而可实现全球网络的概念。
IPv6是下一版本的互联网协议，也可以说是下一代互联网的协议，它的提出最初是因为随着互联网的迅速发展，IPv4定义的有限地址空间将耗尽，而地址空间的不足必将妨碍互联网的进一步发展。为了扩大地址空间，通过IPv6以重新定义地址空间。IPv6采用128位地址长度，几乎可以不受限制地提供IP地址网络安全络安全论文，从而确保了端到端连接的可能性。
除了地址分配问题外，IPv6虽然有整体吞吐量、高服务质量等优势，但在安全接入方面并不比IPv4更为显著。IPv6并不意味着网络就自然安全了，虽然不使用地址翻译，但仍然会使用防火墙，.net本身并不会带来安全的因素。IPv6与IPv4面临同样的安全问题。
2. IPSec安全协议
2.1 IPSec安全协议的体系结构
在IPv6中,IPSec安全协议是一个协议套件,主要包括:认证头(Authentication Header,AH)、封装安全载荷(Encapsulating Security Payload,ESP)、Internet密钥交换(Internet Key Exchange,IKE)等相关组件论文开题报告范文论文下载。它提供的安全服务有:数据源身份验证,无连接数据完整性检查,数据内容的机密性保证,抗重播保护以及有限数据流机密性保证。IPSec协议的体系结构如图1所示。
2.2IPSec认证头AH协议
认证头AH用于为IP提供数据完成性、数据原始身份验证和一些可选的、有限的抗重播服务。AH定义了对数据所实施的安全保护的方法、头的位置、身份验证的覆盖范围,以及输入和输出处理规则,但不对所用的身份验证算法进行具体定义[。AH的格式如图2所示。认证头AH有2种工作模式,即传输模式和隧道模式。传输模式只对传输层数据和IP头中的固定字段提供认证保护,主要适合于主机实现[3]。隧道模式则对整个IP数据提供认证保护。
2.3 IPSec封装安全载荷ESP协议
封装安全载荷ESP为IP提供机密性、数据源验证、抗重播以及数据完整性等安全服务。ESP的格式不是固定的,依据采用不同的加密算法而不同,但起始处必须是安全参数索引(SPI),用以定义加密算法及密钥的生存周期等。ESP格式如图3所示。封装安全载荷ESP有2种不同的加密工作模式,即传输模式和隧道模式。传输模式ESP只对传输层数据单元加密,IPv6和各种扩展头以及ESP中的SPI段用明文传输,该方式适用于主机到主机的加密。隧道模式ESP对整个IP分组进行加密,该模式以新的包含有足够路由信息的IP头封装,从而便于中间结点的识别,该方式适用于设置有防火墙或其他类型安全网关的结构体系。
中图分类号：TP393.08
文献标识码：A
文章编号：1672-3198(2009)13-0245-02
1 网络攻击和入侵的主要途径
网络入侵是指网络攻击者通过非法的手段(如破译口令、电子欺骗等)获得非法的权限，并通过使用这些非法的权限使网络攻击者能对被攻击的主机进行非授权的操作。网络入侵的主要途径有：破译口令、IP欺骗和DNS欺骗。
口令是计算机系统抵御入侵者的一种重要手段，所谓口令入侵是指使用某些合法用户的帐号和口令登录到目的主机，然后再实施攻击活动。这种方法的前提是必须先得到该主机上的某个合法用户的帐号，然后再进行合法用户口令的破译。获得普通用户帐号的方法很多，如：利用目标主机的Finger功能：当用Finger命令查询时，主机系统会将保存的用户资料(如用户名、登录时间等)显示在终端或计算机上；利用目标主机的X.500服务：有些主机没有关闭X.500的目录查询服务，也给攻击者提供了获得信息的一条简易途径；从电子邮件地址中收集：有些用户电子邮件地址常会透露其在目标主机上的帐号；查看主机是否有习惯性的帐号；有经验的用户都知道，很多系统会使用一些习惯性的帐号，造成帐号的泄露。
IP欺骗是指攻击者伪造别人的IP地址，让一台计算机假冒另一台计算机以达到蒙混过关的目的。它只能对某些特定的运行TCP/IP的计算机进行入侵。IP欺骗利用了TCP/IP网络协议的脆弱性。在TCP的三次握手过程中。入侵者假冒被入侵主机的信任主机与被入侵主机进行连接，并对被入侵主机所信任的主机发起淹没攻击，使被信任的主机处于瘫痪状态。当主机正在进行远程服务时，网络入侵者最容易获得目标网络的信任关系，从而进行IP欺骗。IP欺骗是建立在对目标网络的信任关系基础之上的。同一网络的计算机彼此都知道对方的地址，它们之间互相信任。由于这种信任关系，这些计算机彼此可以不进行地址的认证而执行远程操作。
域名系统(DNS)是一种用于TCP/IP应用程序的分布式数据库，它提供主机名字和IP地址之间的转换信息。通常，网络用户通过UDP协议和DNS服务器进行通信，而服务器在特定的53端口监听。并返回用户所需的相关信息。DNS协议不对转换或信息性的更新进行身份认证，这使得该协议被人以一些不同的方式加以利用。当攻击者危害DNS服务器并明确地更改主机名―IP地址映射表时，DNS欺骗就会发生。这些改变被写入DNS服务器上的转换表。因而，当一个客户机请求查询时，用户只能得到这个伪造的地址，该地址是一个完全处于攻击者控制下的机器的IP地址。因为网络上的主机都信任DNS服务器，所以一个被破坏的DNS服务器可以将客户引导到非法的服务器。也可以欺骗服务器相信一个IP地址确实属于一个被信任客户。
2 计算机网络中的安全缺陷及产生的原因
(1)网络安全天生脆弱。
计算机网络安全系统的脆弱性是伴随计算机网络一同产生的，换句话说，安全系统脆弱是计算机网络与生俱来的致命弱点。在网络建设中，网络特性决定了不可能无条件、无限制的提高其安全性能。要使网络更方便快捷，又要保证网络安全，这是一个非常棘手的“两难选择”，而网络安全只能在“两难选择”所允许的范围中寻找支撑点。可以说世界上任何一个计算机网络都不是绝对安全的。
(2)黑客攻击后果严重。
近几年，黑客猖狂肆虐，四面出击，使交通通讯网络中断，军事指挥系统失灵，电力供水系统瘫痪，银行金融系统混乱……危及国家的政治、军事、经济的安全与稳定，在世界各国造成了难以估量的损失。
(3)网络杀手集团化。
目前，网络杀手除了一般的黑客外，还有一批具有高精尖技术的“专业杀手”，更令人担忧的是出现了具有集团性质的“网络”甚至政府出面组织的“网络战”、“黑客战”，其规模化、专业性和破坏程度都使其他黑客望尘莫及。可以说，由政府组织的“网络战”、“黑客战”是当前网络安全的最大隐患。目前，美国正开展用无线电方式、卫星辐射式注入方式、网络方式把病毒植入敌方计算机主机或各类传感器、网桥中的研究以伺机破坏敌方的武器系统、指挥控制系统、通信系统等高敏感的网络系统。另外，为达到预定目的，对出售给潜在敌手的计算机芯片进行暗中修改，在CPU中设置“芯片陷阱”，可使美国通过因特网指令让敌方电脑停止工作，以起到“定时炸弹”的作用。
(4)破坏手段多元化。
目前，“网络”除了制造、传播病毒软件、设置“邮箱炸弹”，更多的是采取借助工具软件对网络发动袭击，令其瘫痪或者盗用一些大型研究机构的服务器，使用“拒绝服务”程序，如TFN和与之相近的程序等，指挥它们向目标网站传输远远超出其带宽容量的垃圾数据，从而使其运行中断。多名黑客甚至可以借助同样的软件在不同的地点“集中火力”对一个或者多个网络发起攻击。而且，黑客们还可以把这些软件神不知鬼不觉地通过互联网安装到别人的电脑上，然后，在电脑主人根本不知道的情况下“借刀杀人”。
3 安全防范措施
(1)提高思想认识。
近年来，中国的网络发展非常迅速，同时，中国的网络安全也越来越引起人们的关注，国家权威部门曾对国内网站的安全系统进行测试，发现不少单位的计算机系统都存在安全漏洞，有些单位还非常严重，随时可能被黑客入侵。当前，世界各国对信息战十分重视，假如我们的网络安全无法保证，这势必影响到国家政治、经济的安全。因此，从思想上提高对计算机网络安全重要性的认识，是我们当前的首要任务。
(2)加强管理制度。
任何网站都不是绝对安全的，值得一提的是，当前一些单位在急忙赶搭“网络快车”时，只管好用，不管安全，这种短视必然带来严重的恶果，与“网络”的较量是一场“看不见硝烟的战争”，是高科技的较量，是“硬碰硬”的较量。根据这一情况，当前工作的重点，一是要狠抓日常管理制度的落实，要把安全管理制度落实到第一个环节中；二是要加强计算机从业人员的行业归口管理，对这些人员要强化安全教育和法制教育，建立人员管理档案并进行定期的检查和培训；三是要建立一支反黑客的“快速反应部队”，同时加快加紧培养高水平的网络系统管理员，并尽快掌握那些关键技术和管理知识。
(3)强化防范措施。
一般来说，影响计算机网络安全的因素很多，但目前最主要的因素是接受电子邮件和下载软件两种。下面就这两种方式谈谈基本的防范措施：切实保护电子邮件的安全：做好邮件帐户的选择。现在互联网上提供的E-MAIL帐户
主要都是免费帐户，这些免费的服务不提供任何有效的安全保障而且有的免费邮件服务器常常会导致邮件受损。所以，单位用户应该选择收费邮件帐户。做好邮件帐户的安全防范。一定要保护好邮箱的密码。在WEB方式中，不要使用IB的自动完成功能，不要使用保存密码功能以图省事，入网帐号与口令应该是需要保护的重中之重，密码要取得有技巧、有难度，密码最好能有8位数，且数字字母相间，中间还代“*”号之类的允许怪符号。
防止邮件炸弹。下面介绍几种对付电子邮件炸弹(E-MAIL BOMB)的方法：
①过滤电子邮件。凡可疑的E-MAIL尽量不要开启：如果怀疑信箱有炸弹，可以用邮件程序的远程邮箱管理功能来过滤信件，如国产的邮件程序Foxmail。在进行邮箱的远程管理时，仔细检查邮件头信息，如果发现有来历可疑的信件或符合邮件炸弹特征的信件，可以直接把它从邮件服务器上删除。
②使用杀毒软件。一是邮件有附件的话，不管是谁发过来的，也不管其内容是什么(即使是文档，也往往能成为病毒的潜伏场所，像著名的Melissa)，都不要立即执行，而是先存盘，然后用杀毒软件检查一番，以确保安全。二是注意目前网上有一些别有用心的人以网站的名义，让你接受他们通过邮件附件推给你的软件，并以种种借口要求你立即执行。对此，凡是发过来的任何程序、甚至文档都应用杀毒软件检查一番。
③使用转信功能。用户一般都有几个E-mail地址。最好申请一个容量较大的邮箱作为收信信箱，如777信箱(mail.省略)速度也很快。对于其它各种信箱，最好支持转信功能的，并设置转信到大信箱。所有其它邮件地址的信件都会自动转寄到大信箱内，可以很好地起到保护信箱的作用。
④申请邮件数字签证。现在国内的首都在线(省略)提供了邮件数字签证的服务。数字签证不但能够保护邮件的信息安全，而且通过它可以确认信件的发送者。最后要注意对本地的已收发邮件进行相应的删除处理。切实保障下载软件的安全。对于网络软件，需要指出的是，我们对下载软件和接受的E-MAIL决不可大意。在下载软件时应该注意：下载软件应尽量选择客流大的专业站点。大型的专业站点，资金雄厚，技术成熟，水平较高，信誉较佳，大都有专人维护，安全性能好，提供的软件问题较少。
计算机网络受到威胁后果严重
1.国家安全将遭受到威胁
网络黑客攻击的目标常包括银行、政府及军事部门，窃取和修改信息。这会对社会和国家安全造成严重威胁，有可能带来无法挽回的损失。
2.损失巨大
很多网络是大型网络，像互联网是全球性网络，这些网络上连接着无数计算机及网络设备，如果攻击者攻击入侵连接在网络上的计算机和网络设备，会破坏成千上万台计算机，从而给用户造成巨大经济损失。
3.手段多样，手法隐蔽
网络攻击所需设备简单，所花时间短，某些过程只需一台连接Internet的PC即可完成。这个特征决定了攻击者的方式多样性和隐蔽性。比如网络攻击者既可以用监视网上数据来盗取他人的保密信息；可以通过截取他人的帐号和口令潜入他人的计算机系统；可以通过一些方法来绕过或破坏他人安装的防火墙等等。
网络安全防范技术
1.病毒的防范
计算机病毒变得越来越复杂，对计算机信息系统构成极大的威胁。在网络环境中对计算机病毒的防范是网络安全性建设中重要的一环。它的入侵检测技术包括基于主机和基于网络两种。单机防病毒软件一般安装在单台PC上，即对本地和本地工作站连接的远程资源采用分析扫描的方式检测、清除病毒。对网络病毒的防范主要包括预防病毒、检测病毒和杀毒三种技术。网络版防病毒系统包括：（1）系统中心：系统中心实时记录计算机的病毒监控、检测和清除的信息，实现对整个防护系统的自动控制。（2）服务器端：服务器端为网络服务器操作系统应用而设计。（3）客户端：客户端对当前工作站上病毒监控、检测和清除，并在需要时向系统中心发送病毒监测报告。（4）管理控制台：管理控制台是为了网络管理员的应用而设计的，通过它可以集中管理网络上所有已安装的防病毒系统防护软件的计算机。
2.防火墙的配置
首先我们了解防火墙所处的位置决定了一些特点包括（1）所有的从外部到内部的通信都必须经过它（。2）只有有内部访问策略授权的通信才能被允许通过。（3）系统本身具有很强的高可靠性。所以防火墙是网络安全的屏障，配置防火墒是实现网络安全最基本、最经济、最有效的安全措施之一。防火墙是所有安全工具中最重要的一个组成部分。它在内部信任网络和其他任何非信任网络上提供了不同的规则进行判断和验证，确定是否允许该类型的信息通过。一个防火墙策略要符合4个目标，而每个目标通常都不是通过一个单独的设备或软件来实现的。通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证）配置在防火墙上。也可对网络存取和访问进行监控审计。如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并做出日志记录，同时，也能提供网络使用情况的统计数据。当有网络入侵或攻击时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。再次，利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而降低了局部重点或敏感网络安全问题对全局网络造成的影响，防止内部信息的外泄。
3.数据加密与用户授权访问控制技术
与防火墙相比，数据加密与用户授权访问控制技术比较灵活，更加适用于开放的网络。用户授权访问控制主要用于对静态信息的保护，需要系统级别的支持，一般在操作系统中实现。数据加密包括传输过程中的数据加密和存储数据加密，对于传输加密，一般有硬件加密和软件加密两种方法实现。网络中的数据加密，要选择加密算法和密钥，可以将这些加密算法分为对称密钥算法和公钥密钥算法两种。对称密钥算法中，收发双方使用相同的密钥。比较著名的对称密钥算法有：美国的DES、欧洲的IDEA等。
4.应用入侵检测技术
入侵检测系统是从多种计算机系统及网络系统中收集信息，再通过这些信息分析入侵特征的网络安全系统。入侵检测系统的功能包括：监控和分析系统、用户的行为；评估系统文件与数据文件的完整性，检查系统漏洞；对系统的异常行为进行分析和识别，及时向网络管理人员报警；跟踪管理操作系统，识别无授仅用户活动。具体应用就是指对那些面向系统资源和网络资源的未经授权的行为进行识别和响应。入侵检测通过监控系统的使用情况，来检测系统用户的越权使用以及系统外部的人侵者利用系统的安全缺陷对系统进行入侵的企图。目前主要有两类入侵检测系统基于主机的和基于网络的。前者检查某台主机系统日志中记录的未经授权的可疑行为，并及时做出响应。后者是在连接过程中监视特定网段的数据流，查找每一数据包内隐藏的恶意入侵，并对发现的人侵做出及时的响应。
5.规范安全管理行为
第二，计算机网网络安全管理技术问题。目前计算机网络安全管理存在一些技术上的盲点以及漏洞，使得很多不法分子有威胁网络安全的切入点，主要包括病毒的入侵、木马程序的潜伏、不正当手段介入网络、高频率信息的干扰等。
第三，外力侵害。我国很多的网吧、机房不具备抵御外界侵害的能力，主要外界侵害包括自然的灾祸以及周围环境侵害等，自然的灾祸指的是自然的灾祸，如雷电、洪涝灾害、火灾、电磁泄露等；周围环境侵害包括断电引起数据、设备损害问题和噪音问题导致的数据高误码率等。第四，用户意识不高。很多用户在进行计算机网络使用的时候，没有足够的网络安全意识，对于密码、权限、口令等私密的东西没有保护好，随意泄露，或者没有及时修补一些网络漏洞和补丁，黑客可以找到攻击点。除此以外，还存在网络安全技术人员素质不足、监管不到位等问题
改进计算机网网络安全管理对策
针对目前存在的计算机网网络安全管理问题，提出了以下对策。
第一，为了改进计算机网网络安全管理，要加强用户网络安全管理意识。对于密码、权限、口令等比较隐私的东西，用户要保护好，不要随意泄露，对于网络漏洞和补丁，要做到及时修补，不要给有心人有机可乘的机会，进行数据备份，防止突发意外事故发生之后，数据的丢失，保持数据完整性，做到能够及时恢复系统，减少延误损失；
第二，为了改进计算机网网络安全管理，要加强自然等各种外力侵害的防范。在网吧以及机房等公共场所，首先要安装空调，控制室内温度以及湿度，防止温度以及湿度过高，造成网络瘫痪。其次要装好相应的防止雷击的措施，多进行建筑检测，尤其注重电源、网络传输线等的防范措施，最后是防火措施要做好。各种装修材料有可能的话，尽量选择防火的，保持室内通风，放置好防火器等设施；
第三，为了改进计算机网网络安全管理，要加强计算机网网络安全管理技术问题的研究，管理人员要及时更新病毒数据库，强化对病毒的检测以及清除，加强防火墙的建设，发挥防火墙的作用，做到限制服务访问、防止无权限的外部网的入侵、统计相应的网络流量并进行适时限流等，进行网络入侵检测，一旦发生这些情况要及时的制止。要加强检测、扫描以及评估漏洞，减小安全隐患；
第四，为了改进计算机网网络安全管理，要加强对网络安全管理制度的建立和完善。要完善已有的计算机网网络安全管理制度，对一些过于形式化的网络安全管理制度，要缩小范围，提出其操作的细则，对其中有不适应现展的规则进行修正以及改善，使其更能与当代网络发展相适应，对于没有及时建立的法律以及法规，要及时建立，并在实践中不断改进以及发展；
当今许多的企业都广泛的使用信息技术，特别是网络技术的应用越来越多，而宽带接入已经成为企业内部计算机网络接入国际互联网的主要方式。而与此同时，因为计算机网络特有的开放性，企业的网络安全问题也随之而来，由于安全问题给企业造成了相当大的损失。因此，预防和检测网络设计的安全问题和来自国际互联网的黑客攻击以及病毒入侵成为网络管理员一个重要课题。
一、网络安全问题
在实际应用过程中，遇到了不少网络安全方面的问题。网络安全是一个十分复杂的问题，它的划分大体上可以分为内网和外网。如下表所示：
由上表可以看出，外部网的安全问题主要集中在入侵方面，主要的体现在：未授权的访问，破坏数据的完整性，拒绝服务攻击和利用网络、网页浏览和电子邮件夹带传播病毒。但是网络安全不仅要防范外部网，同时更防范内部网。因为内部网安全措施对网络安全的意义更大。据调查，在已知的网络安全事件中,约70%的攻击是来自内部网。内部网的安全问题主要体现在：物理层的安全，资源共享的访问控制策略，网内病毒侵害，合法用户非授权访问，假冒合法用户非法授权访问和数据灾难性破坏。
二、安全管理措施
综合以上对于网络安全问题的初步认识，有线中心采取如下的措施：
（一）针对与外网的一些安全问题
对于外网造成的安全问题，使用防火墙技术来实现二者的隔离和访问控制。
防火墙是实现网络安全最基本、最经济、最有效的措施之一。防火墙可以对所有的访问进行严格控制（允许、禁止、报警）。
防火墙可以监视、控制和更改在内部和外部网络之间流动的网络通信；用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，从而保护内部网络操作环境。所以，安装防火墙对于网络安全来说具有很多优点：（1）集中的网络安全；（2）可作为中心“扼制点”；（3）产生安全报警；（4）监视并记录Internet的使用；（5）NAT的位置；（6）WWW和FTP服务器的理想位置。
但防火墙不可能完全防止有些新的攻击或那些不经过防火墙的其它攻击。为此，中心选用了RealSecureSystemAgent和NetworkEngine。其中，RealSecureSystemAgent是一种基于主机的实时入侵检测产品，一旦发现对主机的入侵，RealSecure可以中断用户进程和挂起用户账号来阻止进一步入侵，同时它还会发出警报、记录事件等以及执行用户自定义动作。RealSecureSystemAgent还具有伪装功能，可以将服务器不开放的端口进行伪装，进一步迷惑可能的入侵者，提高系统的防护时间。Re?鄄alSecureNetworkEngin是基于网络的实时入侵检测产品，在网络中分析可疑的数据而不会影响数据在网络上的传输。网络入侵检测RealSecureNetworkEngine在检测到网络入侵后，除了可以及时切断攻击行为之外，还可以动态地调整防火墙的防护策略，使得防火墙成为一个动态的、智能的防护体系。
通过部署入侵检测系统，我们实现了以下功能：
对于WWW服务器，配置主页的自动恢复功能，即如果WWW服务器被攻破、主页被纂改，系统能够自动识别并把它恢复至事先设定的页面。
入侵检测系统与防火墙进行“互动”，即当入侵检测系统检测到网络攻击后，通知防火墙，由防火墙对攻击进行阻断。
（二）针对网络物理层的稳定
网络物理层的稳定主要包括设备的电源保护，抗电磁干扰和防雷击。
本中心采用二路供电的措施，并且在配电箱后面接上稳压器和不间断电源。所有的网络设备都放在机箱中，所有的机箱都必须有接地的设计，在机房安装的时候必须按照接地的规定做工程；对于供电设备，也必须做好接地的工作。这样就可以防止静电对设备的破坏，保证了网内硬件的安全。
（三）针对病毒感染的问题
病毒程序可以通过电子邮件、使用盗版光盘等传播途径潜入内部网。网络中一旦有一台主机受病毒感染，则病毒程序就完全可能在极短的时间内迅速扩散，传播到网络上的所有主机，可能造成信息泄漏、文件丢失、机器死机等不安全因素。防病毒解决方案体系结构中用于降低或消除恶意代码；广告软件和间谍软件带来的风险的相关技术。中心使用企业网络版杀毒软件，（例如：SymantecAntivirus等）并控制写入服务器的客户端，网管可以随时升级并杀毒，保证写入数据的安全性，服务器的安全性，以及在客户端安装由奇虎安全卫士之类来防止广告软件和间谍软件。
（四）针对应用系统的安全
应用系统的安全主要面对的是服务器的安全，对于服务器来说，安全的配置是首要的。对于本中心来说主要需要2个方面的配置：服务器的操作系统（Windows2003）的安
全配置和数据库（SQLServer2000）的安全配置。1．操作系统（Windows2003）的安全配置
（1）系统升级、打操作系统补丁，尤其是IIS6.0补丁。
（2）禁止默认共享。
（3）打开管理工具-本地安全策略，在本地策略-安全选项中，开启不显示上次的登录用户名。
（4）禁用TCP/IP上的NetBIOS。
（5）停掉Guest帐号，并给guest加一个异常复杂的密码。
（6）关闭不必要的端口。
（7）启用WIN2003的自身带的网络防火墙，并进行端口的改变。
（8）打开审核策略，这个也非常重要，必须开启。
2．数据库（SQLServer2000）的安全配置
（1）安装完SQLServer2000数据库上微软网站打最新的SP4补丁。
（2）使用安全的密码策略
。设置复杂的sa密码。
（3）在IPSec过滤拒绝掉1434端口的UDP通讯，可以尽可能地隐藏你的SQLServer。
（4）使用操作系统自己的IPSec可以实现IP数据包的安全性。
（五）管理员的工具
除了以上的一些安全措施以外，作为网络管理员还要准备一些针对网络监控的管理工具，通过这些工具来加强对网络安全的管理。
Ping、Ipconfig/winipcfg、Netstat：
Ping，TCP/IP协议的探测工具。
Ipconfig/winipcfg，查看和修改网络中的TCP/IP协议的有关配置，
Netstat，利用该工具可以显示有关统计信息和当前TCP/IP网络连接的情况，用户或网络管理人员可以得到非常详尽的统计结果。
SolarWindsEngineer''''sEditionToolset
另外本中心还采用SolarWindsEngineer''''sEditionToolset。它的用途十分广泛，涵盖了从简单、变化的ping监控器及子网计算器（Subnetcalculators）到更为复杂的性能监控器何地址管理功能。”
SolarWindsEngineer''''sEditionToolset的介绍：
SolarWindsEngineer’sEdition是一套非常全面的网络工具库，包括了网络恢复、错误监控、性能监控和管理工具等等。除了包含ProfessionalPLUSEdition中所有的工具外，Engineer’sEdition还增加了新的SwitchPortMapper工具，它可以在您的switch上自动执行Layer2和Layer3恢复。工程师版包含了SolarwindsMIB浏览器和网络性能监控器（NetworkPerformanceMonitor），以及其他附加网络管理工具。
SnifferPro能够了解本机网络的使用情况，它使用流量显示和图表绘制功能在众多网管软件中最为强大最为灵活；它能在于混杂模式下的监听，也就是说它可以监听到来自于其他计算机发往另外计算机的数据，当然很多混杂模式下的监听是以一定的设置为基础的，只有了解了对本机流量的监听设置才能够进行高级混杂模式监听。
除了上面说的五个措施以外，还有不少其他的措施加强了安全问题的管理：
制订相应的机房管理制度；
制订相应的软件管理制度；
制订严格的操作管理规程；
常永亮
(飞行试验研究院测试所陕西西安710089)
【摘要】Internet是一种开放和标准的面向所有用户的技术，其资源通过网络共享，因此，资源共享和信息安全就成了一对矛盾。
【关键词】网络攻击、安全预防、风险分析、网络安全
1.引言
随着网络的迅速发展，网络的安全性显得非常重要，这是因为怀有恶意的攻击者窃取、修改网络上传输的信息，通过网络非法进入远程主机，获取储存在主机上的机密信息，或占用网络资源，阻止其他用户使用等。然而，网络作为开放的信息系统必然存在众多潜在的安全隐患，因此，网络安全技术作为一个独特的领域越来越受到全球网络建设者的关注。
一般来说，计算机系统本身的脆弱性和通信设施的脆弱性再加上网际协议的漏洞共同构成了网络的潜在威胁。随着无线互联网越来越普及的应用，互联网的安全性又很难在无线网上实施，因此，特别在构建内部网时，若忽略了无线设备的安全性则是一种重大失误。
2.网络攻击及其防护技术
计算机网络安全是指计算机、网络系统的硬件、软件以及系统中的数据受到保护，不因偶然或恶意的原因遭到破坏、泄露，能确保网络连续可靠的运行。网络安全其实就是网络上的信息存储和传输安全。
网络的安全主要来自黑客和病毒攻击，各类攻击给网络造成的损失已越来越大了，有的损失对一些企业已是致命的，侥幸心里已经被提高防御取代，下面就攻击和防御作简要介绍。
2.1常见的攻击有以下几类：
2.1.1入侵系统攻击
此类攻击如果成功，将使你的系统上的资源被对方一览无遗，对方可以直接控制你的机器。
2.1.2缓冲区溢出攻击
程序员在编程时会用到一些不进行有效位检查的函数，可能导致黑客利用自编写程序来进一步打开安全豁口然后将该代码缀在缓冲区有效载荷末尾，这样当发生缓冲区溢出时，从而破坏程序的堆栈，使程序转而执行其它的指令，如果这些指令是放在有root权限的内存中，那么一旦这些指令得到了运行，黑客就以root权限控制了系统，这样系统的控制权就会被夺取，此类攻击在LINUX系统常发生。在Windows系统下用户权限本身设定不严谨，因此应比在LINUX系统下更易实现。
2.1.3欺骗类攻击
网络协议本身的一些缺陷可以被利用，使黑客可以对网络进行攻击，主要方式有：IP欺骗；ARP欺骗；DNS欺骗；Web欺骗；电子邮件欺骗；源路由欺骗；地址欺骗等。
2.1.4拒绝服务攻击
通过网络，也可使正在使用的计算机出现无响应、死机的现象，这就是拒绝服务攻击，简称DoS（DenialofService）。
分布式拒绝服务攻击采用了一种比较特别的体系结构，从许多分布的主机同时攻击一个目标，从而导致目标瘫痪，简称DDoS（DistributedDenialofService）。
2.1.5对防火墙的攻击
防火墙也是由软件和硬件组成的，在设计和实现上都不可避免地存在着缺陷，对防火墙的攻击方法也是多种多样的，如探测攻击技术、认证的攻击技术等。
2.1.6利用病毒攻击
病毒是黑客实施网络攻击的有效手段之一，它具有传染性、隐蔽性、寄生性、繁殖性、潜伏性、针对性、衍生性、不可预见性和破坏性等特性，而且在网络中其危害更加可怕，目前可通过网络进行传播的病毒已有数万种，可通过注入技术进行破坏和攻击。
2.1.7木马程序攻击
特洛伊木马是一种直接由一个黑客，或是通过一个不令人起疑的用户秘密安装到目标系统的程序。一旦安装成功并取得管理员权限，安装此程序的人就可以直接远程控制目标系统。
2.1.8网络侦听
网络侦听为主机工作模式，主机能接受到本网段在同一条物理通道上传输的所有信息。只要使用网络监听工具，就可以轻易地截取所在网段的所有用户口令和帐号等有用的信息资料。
等等。现在的网络攻击手段可以说日新月异，随着计算机网络的发展，其开放性、共享性、互连程度扩大，网络的重要性和对社会的影响也越来越大。计算机和网络安全技术正变得越来越先进，操作系统对本身漏洞的更新补救越来越及时。现在企业更加注意企业内部网的安全，个人越来越注意自己计算机的安全。可以说：只要有计算机和网络的地方肯定是把网络安全放到第一位。
网络有其脆弱性，并会受到一些威胁。因而建立一个系统时进行风险分析就显得尤为重要了。风险分析的目的是通过合理的步骤，以防止所有对网络安全构成威胁的事件发生。因此，严密的网络安全风险分析是可靠和有效的安全防护措施制定的必要前提。网络风险分析在系统可行性分析阶段就应进行了。因为在这阶段实现安全控制要远比在网络系统运行后采取同样的控制要节约的多。即使认为当前的网络系统分析建立的十分完善，在建立安全防护时，风险分析还是会发现一些潜在的安全问题，从整体性、协同性方面构建一个信息安全的网络环境。可以说网络的安全问题是组织管理和决策。
2.2防御措施主要有以下几种
2.2.1防火墙
防火墙是建立在被保护网络与不可信网络之间的一道安全屏障，用于保护企业内部网络和资源。它在内部和外部两个网络之间建立一个安全控制点，对进、出内部网络的服务和访问进行控制和审计。
2.2.2虚拟专用网
虚拟专用网（VPN）的实现技术和方式有很多，但是所有的VPN产品都应该保证通过公用网络平台传输数据的专用性和安全性。如在非面向连接的公用IP网络上建立一个隧道，利用加密技术对经过隧道传输的数据进行加密，以保证数据的私有性和安全性。此外，还需要防止非法用户对网络资源或私有信息的访问。
2.2.3虚拟局域网
选择虚拟局域网(VLAN)技术可从链路层实施网络安全。VLAN是指在交换局域网的基础上，采用网络管理软件构建的可跨越不同网段、不同网络的端到端的逻辑网络。一个VLAN组成一个逻辑子网，即一个逻辑广播域，它可以覆盖多个网络设备，允许处于不同地理位置的网络用户加入到一个逻辑子网中。该技术能有效地控制网络流量、防止广播风暴，还可利用MAC层的数据包过滤技术，对安全性要求高的VLAN端口实施MAC帧过滤。而且，即使黑客攻破某一虚拟子网，也无法得到整个网络的信息，但VLAN技术的局限在新的VLAN机制较好的解决了，这一新的VLAN就是专用虚拟局域网（PVLAN）技术。
2.2.4漏洞检测
漏洞检测就是对重要计算机系统或网络系统进行检查，发现其中存在的薄弱环节和所具有的攻击性特征。通常采用两种策略，即被动式策略和主动式策略。被动式策略基于主机检测，对系统中不合适的设置、口令以及其他同安全规则相背的对象进行检查；主动式策略基于网络检测，通过执行一些脚本文件对系统进行攻击，并记录它的反应，从而发现其中的漏洞。漏洞检测的结果实际上就是系统安全性的一个评估，它指出了哪些攻击是可能的，因此成为安全方案的一个重要组成部分。漏洞检测系统是防火墙的延伸，并能有效地结合其他网络安全产品的性能，保证计算机系统或网络系统的安全性和可靠性。
2.2.5入侵检测
入侵检测系统将网络上传输的数据实时捕获下来，检查是否有黑客入侵或可疑活动的发生，一旦发现有黑客入侵或可疑活动的发生，系统将做出实时报警响应。
2.2.6密码保护
加密措施是保护信息的最后防线，被公认为是保护信息传输唯一实用的方法。无论是对等还是不对等加密都是为了确保信息的真实和不被盗取应用，但随着计算机性能的飞速发展，破解部分公开算法的加密方法已变得越来越可能。因此，现在对加密算法的保密越来越重要，几个加密方法的协同应用会使信息保密性大大加强。
2.2.7安全策略
安全策略可以认为是一系列政策的集合，用来规范对组织资源的管理、保护以及分配，已达到最终安全的目的。安全策略的制定需要基于一些安全模型。
2.2.8网络管理员
网络管理员在防御网络攻击方面也是非常重要的，虽然在构建系统时一些防御措施已经通过各种测试，但上面无论哪一条防御措施都有其局限性，只有高素质的网络管理员和整个网络安全系统协同防御，才能起到最好的效果。
以上大概讲了几个网络安全的策略，网络安全基本要素是保密性、完整性和可用，但网络的安全威胁与网络的安全防护措施是交互出现的。不适当的网络安全防护，不仅可能不能减少网络的安全风险，浪费大量的资金，而且可能招致更大的安全威胁。一个好的安全网络应该是由主机系统、应用和服务、路由、网络、网络管理及管理制度等诸多因数决定的，但所有的防御措施对信息安全管理者提出了挑战，他们必须分析采用哪种产品能够适应长期的网络安全策略的要求，而且必须清楚何种策略能够保证网络具有足够的健壮性、互操作性并且能够容易地对其升级。
随着信息系统工程开发量越来越大，致使系统漏洞也成正比的增加，受到攻击的次数也在增多。相对滞后的补救次数和成本也在增加，黑客与反黑客的斗争已经成为一场没有结果的斗争。
3.结论
网络安全的管理与分析现已被提到前所未有的高度，现在IPv6已开始应用，它设计的时候充分研究了以前IPv4的各种问题，在安全性上得到了大大的提高，但并不是不存在安全问题了。在WindowsVista的开发过程中，安全被提到了一个前所未有的重视高度，但微软相关负责人还是表示，＂即使再安全的操作系统，安全问题也会一直存在＂。
总之，网络安全是一个综合性的课题，涉及技术、管理、使用等许多方面，既包括信息系统本身的安全问题，也有物理的和逻辑的技术措施，一种技术只能解决一方面的问题，而不是万能的。因此只有完备的系统开发过程、严密的网络安全风险分析、严谨的系统测试、综合的防御技术实施、严格的保密政策、明晰的安全策略以及高素质的网络管理人才等各方面的综合应用才能完好、实时地保证信息的完整性和正确性，为网络提供强大的安全服务——这也是网络安全领域的迫切需要。
参考文献
随着互联网的飞速发展，城市人民的生活基本进入信息化时代，人们不管是网上购物，还是在线聊天等，或多或少了一些个人信息。甚至我国很大一部分的企业关键信息都存储于网络，因此网络是信息传递和存储的载体，它的正常运行有效地保证了用户信息的安全。网络信息安全主要涵盖网络信息安全、传输安全和内容安全三个方面，网络数据传播的渠道方式以及传播的信息内容是否真实可靠。基于我国网络安全基本情况，所谓网络安全，主要体现在从以下四个方面：网络信息数据的完整性、保密性以及共享数据的可控性和可用性。每一个安全特征都需要每个网络用户自觉维护，才能实现。本文根据网络安全要求及其特征，对目前网络安全做了体现架构分析。根据用户群体的不同将网络划分为五个层次，分别为应用和保密基础层、应用群体、用户群体、系统群体以及网络群体。目前，本文所提的五层网络安全体系在全球范围内已经得到了公认，并且也已经成功应用在网络安全产品之中，五层网络安全体系主要涵盖五层，下面针对每层的安全性问题做简要分析。
1.1.1网络层的安全性
网络信息和传输是否能得到控制是网络层安全性的核心问题，网络用户通过固定的IP地址进入网络系统，而网络则对此IP地址传输的数据进行检查，查看信息内容是否安全，安全则允许传输，否则屏蔽。目前网络安全性提高方法主要由两种：防火墙产品和VPN（虚拟专用网）。
1.1.2系统的安全性
网络系统中的安全性主要包括两个方面：第一是非法黑客对网络系统的入侵和破坏；第二是传统病毒对网络系统的入侵和破坏。病毒是一种可复制性、具有攻击型可执行文件，这些病毒的源头是非法程序员通过网络散布的、破坏正常文件的可执行文件；黑客是通过非法渠道进入网络系统窃取他人资料；这两种方式都是破坏系统安全性的渠道。
1.1.3用户操作安全性
目前，网络数据主要分为两种，一种是静态数据；一种是动态数据；而用户都是通过静态数据进行校验，登录系统，但往往由于用户操作失误或遗失账号密码，导致系统出现漏洞，给非法用户提供了侵入系统接口。
1.1.4应用程序的安全性
应用程序安全性主要涉及两个方面的问题：一是应用程序对数据的合法权限；二是应用程序对用户的合法权限。即合法用户通过应用程序操作合法数据。
1.1.5数据的安全性
数据作为整个架构层次的核心部分，其保存前、中和后都需要进行加密，充分保证数据的安全性，即使在数据被窃后。通过数据加密等措施，即使数据丢失，也可以让非法入侵者得到的是加密文件，无法了解其信息内容。上述的五层安全体系并非孤立分散。他们是有机的结合体，通过互相的数据共享和联通，形成整个网络体系架构，以上便是本文所设计及介绍的五层网络安全体系。
1.2安全技术分析
从上个世纪网络盛行时，网络安全就被世人所关注，针对网络漏洞和病毒，科学家和研究者制定出各种协议和规则，甚至研究出各种网络安全技术，下面就几种成熟的网络安全技术进行分别介绍。
（1）防火墙技术。
防火墙作为一种网络数据核查软件，很好的杜绝了网络用户通过非法渠道获取其他网络用户信息，它通过分包和IP地址并行校验机制，对外来数据进行一一检查，此种技术很好的保障了内部数据的安全性。目前，防火墙技术主要是分组过滤和服务两种类型，它们的主要宗旨是保护外来非法数据对本地数据的入侵和破坏，防火墙技术是一种真正保证本地数据的有效工具，它通过固定的网络协议对往来电子邮件进行过滤，使进出数据都得到了很好的检验。
（2）应用网关。
应用网关主要是针对网络数据传输过程中的数据包进行过滤，一般与防火墙技术组合使用，防火墙将数据包送至应用网关，应用网关可以被用来处理电子邮件，远程登录，及文件传输。
（3）虚拟私人网络。
虚拟网络主要是为一些用户专门访问而成立的技术，因此可以在Internet上建立自己的虚拟私人网络是一个安全的策略。通过路由器，虚拟链接就形成了。这样就可以由用户建立一个专内网络，进行数据交换，形成内部网络。由此可见，通过这种手段来保护数据的安全。
（4）数据加密技术。
为防止数据被外部非法用户所窃取的另外一个重要技术就是数据加密技术，它也是目前最为常用，而且安全性和可靠性非常高，数据加密技术主要包括密钥机制、数据传输、存储和完整性等。数据传输加密技术。数据存储加密技术。数据完整性鉴别技术。密钥管理技术。
（5）智能卡技术。
智能卡技术主要是对存储数据的磁盘进行管理，在存储空间设置授权机制，非授权数据和非授权的操作用户都将无法与智能卡进行交互，这种方式充分保障了智能卡总的数据安全性，适合独立和重要数据保护应用技术之一。
2．数据加密
2.1数据加密技术
加密技术是保证某些信息只有目标接收人才能读懂其含义的一种方法。所有的加密技术都要使用算法，算法是一种复杂的数字规则，被设计用来搅乱信息，以防止第三者对信息的截获。密码体制技术是研究通信安全保密的学科，它由密码编码学和密码分析学两部分组成。密码编码学是研究对信息进行变换，以保护信息在传送过程中不被第三方窃取、解读和利用的方法，它涉及对数据的保护、控制和标识。密码分析学研究如何分析和破译密码，二者既相互对立，又相互促进。加密算法的抗攻击能力可用加密强度来衡量，加密强度由三个因素组成：算法强度、密钥的保密性、密钥长度。加密技术是信息安全系统中常用的一种数据保护工具，而这种加密技术可用在交易过程中使用，加密体制无外乎分为两种，一种是对称加密，另一种是非对称加密体制。除了这两种加密体制外，还包括了哈希技术和数字签名技术。这些加密技术都在五层体系架构中发挥着重要的作用。
（1）对称加密/对称密钥加密/专用密钥加密体制。
如果使用对称加密方式，相同的密钥被使用在信息加密和解密的过程中，加密算法可以通过使用对称加密方法将其简化，每个贸易方都采用相同的加密算法并只交换共享的专用密钥，而不必彼此研究和交换专用的加密算法。
（2）非对称加密/公开密钥加密。
非对称加密和公开密钥加密同属一个意思。即在这种加密体制中，密钥被分解为一个加密密钥和一个专用的解密密钥。非对称加密算法中最著名的就是RSA算法，它的优点是加密复杂度高，不易破解，但他的缺点是运行速度慢。因此在实际加密过程中基本不采用此种加密算法。对应加密量大的应用，公开密钥加密算法通常用于对称加密方法密钥的加密。
2.2密钥安全分析
密钥是数据加密技术中的核心算法点，本文所讨论的五层架构体系中所有的数据传输和存储及访问，都基于数据加密技术的支持，随着技术的发展，加密技术不断完善，但完成安全的数据通讯，仅仅有加密和解密算法还是不够的，还需要有安全的密钥分配协议的支持。在网络数据传输过程中，采用公钥密码系统有较好的安全性，但加密解密的速度慢，而私钥虽然速度快，但不安全，因此密钥分配协议（简称KDP）是一种增强加密和解密的安全性。目前，世界存在的密钥分配协议有两种，一种是基于单一网络的密钥分配协议；一种是基于网络时钟同步的网络密钥分配协议；还有一种是基于层次的KDP。但这三种协议由于种种原因（必要前提、不可修补等）而不能长时间应用与数据加密技术中。
2.3可修补密钥分配协议
本文基于数据加密技术和网络安全的五层体系架构考虑，设计一种可替补的密钥分配协议方法，通过此协议，增加数据加密密钥的合理性和减小密钥丢失的风险性，提高网络安全性能。所谓密钥可修补分配协议的重点在于当一个密钥由于病毒、黑客或用户误操作而导致的系统漏洞，因此系统就出现各种被恶意破坏的可能存在，目前部分密钥分配协议中采用新密钥代替被泄露的密钥，但也无法保证没有了安全漏洞。而本文所设计的密钥分配协议不仅能取代泄露的密钥，而且可使系统恢复至初始，此种协议被称为可替补协议。
2新型网络安全控制
在现有网络环境中不断革新网络环境，并提出相应的安全控制措施是现阶段SDN数据中心网络改良的核心任务。新的安全系统主要借助网络控制结构形成的，新型的网络环境中控制平台会出现上移的状况，这就会导致控制机制出现一定程度的集中化趋势，这就需要根据SDN信息处理中心设计一个更加可靠有效的控制器。从具体的操作层次而言，应该先将控制器添加到某一控制单元内，允许其可以进行自由的进出访问，并在信息访问过程中添加审计程序，动态性的检查控制器中用户登录信息，保证其合法性，从本质上切断进攻者进入终端数据中心的途径。再次，应该保证整体控制器信息交流的有效性，这就要求OpenFlow协议应该在不同的数据交流中心建立一个安全的通讯通道，防止某些攻击者借助通道漏洞进入控制中心。传统的安全产品中存在的网络安全缺点还表现在安全控制网络系统中存在某些致命的缺点，因此，根据现阶段安全控制产品设计出不同类型的安全控制产品，分为以下几个类型：第一种传统的安全控制产品是虚拟机的形态，相应的安全设备可以借助虚拟设备完成数据信息的循环化处理，通过这种方式可以将保证其中的网络拓扑稳定性，但是该种产品其安全性相对较低，容易被其他受到感染的虚拟处理终端目的性攻击，其该设备内部配置相对比较复杂。第二种是形态，一般是agent模式，它是一种具体的形式部署在不同虚拟机的操作系统当中的模式，该系统内质是借助Hypervisor完成不同应用之间的连接，通过该种模式可以真实性的监控虚拟机的现实数据传输量，从而控制其中的数据传输。但是该种方法受到了一定程度的Hypervisor的显示，如果该端口没有提供合理性的接口，那么虚拟中的数据传输就需要寻找其它端口进行数据连接，这对于开发者而言是相对困难的。第三，可以在实体的网络连接当中接入SDN处理技术，虽然该形态可能受到虚拟环境的限制，但是该种方法可以从系统内部完成对数据传输的控制，这样信道内部的数据就可以完整的被牵引到实体设备当中，而操作者仅仅通过建立隔离模板就完整的实现了对系统的控制。
学校在建立自己的内网时，由于意识薄弱与经费投入不足等方面的原因，比如将原有的单机互联，使用原有的网络设施；校园网络的各种硬件设备以及保存数据的光盘等都有可能因为自然因素的损害而导致数据的丢失、泄露或网络中断；机房设计不合理，温度、湿度不适应以及无抗静电、抗磁干扰等设施；网络安全方面的投入严重不足，没有系统的网络安全设施配备等等；以上情况都使得校园网络基本处在一个开放的状态，没有有效的安全预警手段和防范措施。
（二）学校校园网络上的用户网络信息安全意识淡薄、管理制度不完善
学校师生对网络安全知识甚少，安全意识淡薄，U盘、移动硬盘、手机等存贮介质随意使用；学校网络管理人员缺乏必要的专业知识，不能安全地配置和管理网络；学校机房的登记管理制度不健全，允许不应进入的人进入机房；学校师生上网身份无法唯一识别，不能有效的规范和约束师生的非法访问行为；缺乏统一的网络出口、网络管理软件和网络监控、日志系统，使学校的网络管理混乱；缺乏校园师生上网的有效监控和日志；计算机安装还原卡或使用还原软件，关机后启动即恢复到初始状态，这些导致校园网形成很大的安全漏洞。
（三）学校校园网中各主机和各终端所使用的操作系统和应用软件均不可避免地存在各种安全“漏洞”或“后门”
大部分的黑客入侵网络事件就是由系统的“漏洞”及“后门”所造成的。网络中所使用的网管设备和软件绝大多数是舶来品，加上系统管理员以及终端用户在系统设置时可能存在各种不合理操作，在网络上运行时，这些网络系统和接口都相应增加网络的不安全因素。
（四）计算机病毒、网络病毒泛滥，造成网络性能急剧下降，重要数据丢失
网络病毒是指病毒突破网络的安全性，传播到网络服务器，进而在整个网络上感染，危害极大。感染计算机病毒、蠕虫和木马程序是最突出的网络安全情况，遭到端口扫描、黑客攻击、网页篡改或垃圾邮件次之。校园网中教师和学生对文件下载、电子邮件、QQ聊天的广泛使用，使得校园网内病毒泛滥。计算机病毒是一种人为编制的程序，它具有传染性、隐蔽性、激发性、复制性、破坏性等特点。它的破坏性是巨大的，一旦学校网络中的一台电脑感染上病毒，就很可能在短短几分钟中内使病毒蔓延到整个校园网络，只要网络中有几台电脑中毒，就会堵塞出口，导致网络的“拒绝服务”，严重时会造成网络瘫痪。《参考消息》1989年8月2日刊登的一则评论，列出了下个世纪的国际恐怖活动将采用五种新式武器和手段，计算机病毒名列第二，这给未来的信息系统投上了一层阴影。从近期的“熊猫烧香”、“灰鸽子”、“仇英”、“艾妮”等网络病毒的爆发中可以看出，网络病毒的防范任务越来越严峻。
综上所述，学校校园网络的安全形势非常严峻，在这种情况下，学校如何能够保证网络的安全运行，同时又能提供丰富的网络资源，保障办公、教学以及学生上网的多种需求成为了一个难题。根据校园网络面临的安全问题，文章提出以下校园网络安全防范措施。
二、校园网络的主要防范措施
（一）服务器
学校在建校园网络之时配置一台服务器，它是校园网和互联网之间的中介，在服务器上执行服务的软件应用程序，对服务器进行一些必要的设置。校园网内用户访问Internet都是通过服务器，服务器会检查用户的访问请求是否符合规定，才会到被用户访问的站点取回所需信息再转发给用户。这样，既保护内网资源不被外部非授权用户非法访问或破坏，也可以阻止内部用户对外部不良资源的滥用，外部网络只能看到该服务器而无法获知内部网络上的任何计算机信息，整个校园网络只有服务器是可见的，从而大大增强了校园网络的安全性。（二）防火墙
防火墙系统是一种建立在现代通信网络技术和信息安全技术基础上的应用性安全技术产品，是一种使用较早的、也是目前使用较广泛的网络安全防范产品之一。它是软件或硬件设备的组合，通常被用来进行网络安全边界的防护。防火墙通过控制和检测网络之中的信息交换和访问行为来实现对网络安全的有效管理，在网络间建立一个安全网关，对网络数据进行过滤（允许/拒绝），控制数据包的进出，封堵某些禁止行为，提供网络使用状况（网络数据的实时/事后分析及处理，网络数据流动情况的监控分析，通过日志分析，获取时间、地址、协议和流量，网络是否受到监视和攻击），对网络攻击行为进行检测和告警等等，最大限度地防止恶意或非法访问存取，有效的阻止破坏者对计算机系统的破坏，可以最大限度地保证校园网应用服务系统的安全工作。（三）防治网络病毒
校园网络的安全必须在整个校园网络内形成完整的病毒防御体系，建立一整套网络软件及硬件的维护制度，定期对各工作站进行维护，对操作系统和网络系统软件采取安全保密措施。为了实现在整个内网杜绝病毒的感染、传播和发作，学校应在网内有可能感染和传播病毒的地方采用相应的防病毒手段，在服务器和各办公室、工作站上安装瑞星杀毒软件网络版，对病毒进行定时的扫描检测及漏洞修复，定时升级文件并查毒杀毒，使整个校园网络有防病毒能力。
（四）口令加密和访问控制
校园网络管理员通过对校园师生用户设置用户名和口令加密验证，加强对网络的监控以及对用户的管理。网管理员要对校园网内部网络设备路由器、交换机、防火墙、服务器的配置均设有口令加密保护，赋予用户一定的访问存取权限、口令字等安全保密措施，用户只能在其权限内进行操作，合理设置网络共享文件，对各工作站的网络软件文件属性可采取隐含、只读等加密措施，建立严格的网络安全日志和审查系统，建立详细的用户信息数据库、网络主机登录日志、交换机及路由器日志、网络服务器日志、内部用户非法活动日志等，定时对其进行审查分析，及时发现和解决网络中发生的安全事故，有效地保护网络安全。
（五）VLAN(虚拟局域网)技术
VLAN(虚拟局域网)技术，是指在交换局域网的基础上，采用网络管理软件构建的可跨越不同网段、不同网络的端到端的逻辑网络。根据实际需要划分出多个安全等级不同的网络分段。学校要将不同类型的用户划分在不同的VLAN中，将校园网络划分成几个子网。将用户限制在其所在的VLAN里，防止各用户之间随意访问资源。各个子网间通过路由器、交换机、网关或防火墙等设备进行连接，网络管理员借助VLAN技
术管理整个网络，通过设置命令，对每个子网进行单独管理，根据特定需要隔离故障，阻止非法用户非法访问，防止网络病毒、木马程序，从而在整个网络环境下，计算机能安全运行。
（六）系统备份和数据备份
虽然有各种防范手段，但仍会有突发事件给网络系统带来不可预知的灾难，对网络系统软件应该有专人管理，定期做好服务器系统、网络通信系统、应用软件及各种资料数据的数据备份工作，并建立网络资源表和网络设备档案，对网上各工作站的资源分配情况、故障情况、维修记录分别记录在网络资源表和网络设备档案上。这些都是保证网络系统正常运行的重要手段。
（七）入侵检测系统（IntrusionDetectionSystem，IDS）
IDS是一种网络安全系统，是对防火墙有益的补充。当有敌人或者恶意用户试图通过Internet进入网络甚至计算机系统时，IDS能检测和发现入侵行为并报警，通知网络采取措施响应。即使被入侵攻击，IDS收集入侵攻击的相关信息，记录事件，自动阻断通信连接，重置路由器、防火墙，同时及时发现并提出解决方案，列出可参考的网络和系统中易被黑客利用的薄弱环节，增强系统的防范能力，避免系统再次受到入侵。入侵检测系统作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵，大大提高了网络的安全性。
（八）增强网络安全意识、健全学校统一规范管理制度
根据学校实际情况，对师生进行网络安全防范意识教育，使他们具备基本的网络安全知识。制定相关的网络安全管理制度（网络操作使用规程、人员出入机房管理制度、工作人员操作规程和保密制度等）。安排专人负责校园网络的安全保护管理工作，对学校专业技术人员定期进行安全教育和培训，提高工作人员的网络安全的警惕性和自觉性，并安排专业技术人员定期对校园网进行维护。
三、结论
校园网的安全问题是一个较为复杂的系统工程，长期以来，从病毒、黑客与防范措施的发展来看，总是“道高一尺，魔高一丈”，没有绝对安全的网络系统，只有通过综合运用多项措施，加强管理，建立一套真正适合校园网络的安全体系，提高校园网络的安全防范能力。
摘要：随着“校校通”工程的深入实施，校园网作为学校重要的基础设施，担负着学校教学、教研、管理和对外交流等许多重要任务。校园网的安全问题，直接影响着学校的教学活动。文章结合十几年来校园网络使用安全及防范措施等方面的经验，对如何加强校园网络安全作了分析和探讨。
关键词：校园网；网络安全；防范措施；防火墙；VLAN技术
校园网是指利用网络设备、通信介质和适宜的组网技术与协议以及各类系统管理软件和应用软件，将校园内计算机和各种终端设备有机地集成在一起，用于教学、科研、管理、资源共享等方面的局域网络系统。校园网络安全是指学校网络系统的硬件、软件及其系统中的数据受到保护，不因偶然和恶意等因素而遭到破坏、更改、泄密，保障校园网的正常运行。随着“校校通”工程的深入实施，学校教育信息化、校园网络化已经成为网络时代的教育的发展方向。目前校园网络内存在很大的安全隐患，建立一套切实可行的校园网络防范措施，已成为校园网络建设中面临和亟待解决的重要问题。
参考文献：
1、王文寿,王珂.网管员必备宝典——网络安全[M].清华大学出版社,2006.
2、张公忠.现代网络技术教程[M].清华大学出版社,2004.
3、刘清山.网络安全措施[M].电子工业出版社,2000.
4、谢希仁.计算机网络[M].大连理工大学出版社,2000.
5、张冬梅.网络信息安全的威胁与防范[J].湖南财经高等专科学校学报,2002(8).
