计算机网络安全技术与工具论文.doc

西安高新科技学院毕业论文
绪论

随着Internet的发展，电子商务已经逐渐成为人们进行商务活动的新模式。越来越多的人通过Internet进行商务活动。电子商务的发展前景十分诱人，而其安全问题也变得越来越突出，如何建立一个安全、便捷的电子商务应用环境，对信息提供足够的保护，已经成为商家和用户都十分关心的话题。
电子商务的一个重要技术特征是利用IT技术来传输和处理商业信息。因此，电子商务安全从整体上可分为两大部分：计算机网络安全和商务交易安全。
计算机网络安全的内容包括：计算机网络设备安全、计算机网络系统安全、数据库安全等。其特征是针对计算机网络本身可能存在的安全问题，实施网络安全增强方案，以保证计算机网络自身的安全性为目标。
商务交易安全则紧紧围绕传统商务在互联网络上应用时产生的各种安全问题，在计算机网络安全的基础上，如何保障电子商务过程的顺利进行。即实现电子商务的保密性、完整性、可鉴别性、不可伪造性和不可抵赖性。
计算机网络安全与商务交易安全实际上是密不可分的，两者相辅相成，缺一不可。没有计算机网络安全作为基础，商务交易安全就犹如空中楼阁，无从谈起。没有商务交易安全保障，即使计算机网络本身再安全，仍然无法达到电子商务所特有的安全要求。

第一章 网络的安全性

网络安全性可以大致分为四个相互交织的部分：保密、鉴别、抗抵赖性以及完整性控制。保密是指保护信息不被未授权者访问，这是保护网络安全方面人们最常想到的方法。鉴别是指在传输敏感信息或进行事务处理之前先确认对方的身份。抗抵赖性主要是与数字签名有关。完整性是指保护信息不能被他人访问修改。

1.1 加密技术

当前，加密技术大致可以分为三类：密钥加密、公开密钥加密和单向函数。密钥加密使用单一的密钥加密、解密信息。公开密钥使用两个密钥，一个用于加密，另一个用于解密。单向函数是对信息进行加密以便产生原始信息的一个“签名”，该签名在以后用于证明它的权威性。
在网络安全应用领域中，可以利用加密技术将要传输给对方的信息首先进行加密，这样即使在传输过程中，传输报文被其他人获得，但由于获得者对得到的传输信息不了解,这样就保证了传输信息的安全。

1.2 鉴别协议

鉴别是验证通信对象是原定的还是冒名顶替者的技术。验证远程实体是不是一个恶意的入侵者十分困难，并需要基于密码学的复杂协议。另外，鉴别和授权是有区别的。鉴别关心的是是否在与一个特定的进程进行通信。授权关心的是允许此进程做什么。
鉴别现在主要包括以下几种鉴别形式：(1)基于共享秘密密钥的鉴别;(2)使用密钥分发中心的鉴别;(3)使用Kerberos的鉴别;(4)使用公开密钥加密算法的鉴别。

1.3 数字签名

许多法律、财务以及其它文件的真实性和可靠性，最终还是由授权者的亲笔签名存在与否来确定。复印件是无效的。如果要用计算机化的报文代替文件的传送，就必须找到解决这些问题的办法。
设计这样一个代替亲笔签名的方案是十分困难的。从根本上说，这样一个系统必须有以下几个性质：(1)接收方能够验证发送方所宣称的身份;(2)发送方以后不能否认报文是他发送的;(3)接收方自己不能伪造该报文。
当前，数字签名技术大致分为两种：采用秘密密钥的数字签名和采用公开密钥的数字签名。

1.4计算机网络的潜在安全隐患

1.4.1 未进行操作系统相关安全配置

　　不论采用什么操作系统，在缺省安装的条件下都会存在一些安全问题，只有专门针对操作系统安全性进行相关的和严格的安全配置，才能达到一定的安全程度。千万不要以为操作系统缺省安装后，再配上很强的密码系统就算作安全了。网络软件的漏洞和“后门” 是进行网络攻击的首选目标。

1.4.2 未进行CGI程序代码审计

　　如果是通用的CGI问题，防范起来还稍微容易一些，但是对于网站或软件供应商专门开发的一些CGI程序，很多存在严重的CGI问题，对于电子商务站点来说，会出现恶意攻击者冒用他人账号进行网上购物等严重后果。

1.4.3 拒绝服务（DoS，Denial of Service）攻击

　　随着电子商务的兴起，对网站的实时性要求越来越高，DoS或DDoS对网站的威胁越来越大。以网络瘫痪为目标的袭击效果比任何传统的恐怖主义和战争方式都来得更强烈，破坏性更大，造成危害的速度更快，范围也更广，而袭击者本身的风险却非常小，甚至可以在袭击开始前就已经消失得无影无踪，使对方没有实行报复打击的可能。今年2月美国“雅虎”、“亚马逊”受攻击事件就证明了这一点。

1.4.4 安全产品使用不当

　　虽然不少网站采用了一些网络安全设备，但由于安全产品本身的问题或使用问题，这些产品并没有起到应有的作用。很多安全厂商的产品对配置人员的技术背景要求很高，超出对普通网管人员的技术要求，就算是厂家在最初给用户做了正确的安装、配置，但一旦系统改动，需要改动相关安全产品的设置时，很容易产生许多安全问题。

1.4.5 缺少严格的网络安全管理制度

　　网络安全最重要的还是要思想上高度重视，网站或局域网内部的安全需要用完备的安全制度来保障。建立和实施严密的计算机网络安全制度与策略是真正实现网络安全的基础。

1.5 计算机网络安全体系

　　一个全方位的计算机网络安全体系结构包含网络的物理安全、访问控制安全、系统安全、用户安全、信息加密、安全传输和管理安全等。充分利用各种先进的主机安全技术、身份认证技术、访问控制技术、密码技术、防火墙技术、安全审计技术、安全管理技术、系统漏洞检测技术、黑客跟踪技术，在攻击者和受保护的资源间建立多道严密的安全防线，极大地增加了恶意攻击的难度，并增加了审核信息的数量，利用这些审核信息可以跟踪入侵者。
在实施网络安全防范措施时：
首先要加强主机本身的安全，做好安全配置，及时安装安全补丁程序，减少漏洞；
其次要用各种系统漏洞检测软件定期对网络系统进行扫描分析，找出可能存在的安全隐患，并及时加以修补；
从路由器到用户各级建立完善的访问控制措施，安装防火墙，加强授权管理和认证；
利用RAID5等数据存储技术加强数据备份和恢复措施；
对敏感的设备和数据要建立必要的物理或逻辑隔离措施；
对在公共网络上传输的敏感信息要进行强度的数据加密；
安装防病毒软件，加强内部网的整体防病毒措施；
建立详细的安全审计日志，以便检测并跟踪入侵攻击等。

第二章 网络安全体系结构

　　通过对网络的全面了解，按照安全策略的要求、风险分析的结果及整个网络的安全目标，整个网络措施应按系统体系建立。具体的安全控制系统由以下几个方面组成：物理安全、网络安全、系统安全、信息安全、应用安全和安全管理

2.1 物理安全

　　保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提，物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。
它主要包括三个方面：
环境安全：对系统所在环境的安全保护.
设备安全：主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等；
媒体安全：包括媒体数据的安全及媒体本身的安全。
在网络的安全方面，主要考虑两个大的层次，一是整个网络结构成熟化，主要是优化网络结构，二是整个网络系统的安全。

2.2 网络结构

　　安全系统是建立在网络系统之上的，网络结构的安全是安全系统成功建立的基础。在整个网络结构的安全方面，主要考虑网络结构、系统和路由的优化。
网络结构的建立要考虑环境、设备配置与应用情况、远程联网方式、通信量的估算、网络维护管理、网络应用与业务定位等因素。成熟的网络结构应具有开放性、标准化、可靠性、先进性和实用性，并且应该有结构化的设计，充分利用现有资源，具有运营管理的简便性，完善的安全保障体系。网络结构采用分层的体系结构，利于维护管理，利于更高的安全控制和业务发展。
网络结构的优化，在网络拓扑上主要考虑到冗余链路；防火墙的设置和入侵检测的实时监控等。

2.2.2 网络系统安全

2.2.2.1 访问控制及内外网的隔离

　　访问控制
　　访问控制可以通过如下几个方面来实现：
1.制订严格的管理制度:可制定的相应：《用户授权实施细则》、《口令字及帐户管理规范》、《权限管理制度》。
2.配备相应的安全设备：在内部网与外部网之间，设置防火墙实现内外网的隔离与访问控制是保护内部网安全的最主要、同时也是最有效、最经济的措施之一。防火墙设置在不同网络或网络安全域之间信息的唯一出入口。
防火墙主要的种类是包过滤型，包过滤防火墙一般利用IP和TCP包的头信息对进出被保护网络的IP包信息进行过滤，能根据企业的安全政策来控制（允许、拒绝、监测）出入网络的信息流。同时可实现网络地址转换（NAT）、审记与实时告警等功能。由于这种防火墙安装在被保护网络与路由器之间的通道上，因此也对被保护网络和外部网络起到隔离作用。
防火墙具有以下五大基本功能：过滤进、出网络的数据；管理进、出网络的访问行为；封堵某些禁止的业务；记录通过防火墙的信息内容和活动；对网络攻击的检测和告警。

2.2.2.2 内部网不同网络安全域的隔离及访问控制

　　在这里，主要利用VLAN技术来实现对内部子网的物理隔离。通过在交换机上划分VLAN可以将整个网络划分为几个不同的广播域，实现内部一个网段与另一个网段的物理隔离。这样，就能防止影响一个网段的问题穿过整个网络传播。针对某些网络，在某些情况下，它的一些局域网的某个网段比另一个网段更受信任，或者某个网段比另一个更敏感。通过将信任网段与不信任网段划分在不同的VLAN段内，就可以限制局部网络安全问题对全局网络造成的影响。

2.2.2.3 网络安全检测

　　网络系统的安全性取决于网络系统中最薄弱的环节。如何及时发现网络系统中最薄弱的环节？如何最大限度地保证网络系统的安全？最有效的方法是定期对网络系统进行安全性分析，及时发现并修正存在的弱点和漏洞。
网络安全检测工具通常是一个网络安全性评估分析软件，其功能是用实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安全策略，达到增强网络安全性的目的。检测工具应具备以下功能：
具备网络监控、分析和自动响应功能
找出经常发生问题的根源所在；
　　建立必要的循环过程确保隐患时刻被纠正；控制各种网络安全危险。
　　漏洞分析和响应
　　配置分析和响应
　　漏洞形势分析和响应
　　认证和趋势分析
具体体现在以下方面：
防火墙得到合理配置
　　内外WEB站点的安全漏洞减为最低
　　网络体系达到强壮的耐攻击性
　　各种服务器操作系统，如E_MIAL服务器、WEB服务器、应用服务器、，将受黑客攻击的可能降为最低
　　对网络访问做出有效响应，保护重要应用系统（如财务系统）数据安全不受黑客攻击和内部人员误操作的侵害

2.2.2.4 审计与监控

　　审计是记录用户使用计算机网络系统进行所有活动的过程，它是提高安全性的重要工具。它不仅能够识别谁访问了系统，还能看出系统正被怎样地使用。对于确定是否有网络攻击的情况，审计信息对于去定问题和攻击源很重要。同时，系统事件的记录能够更迅速和系统地识别问题，并且它是后面阶段事故处理的重要依据。另外，通过对安全事件的不断收集与积累并且加以分析，有选择性地对其中的某些站点或用户进行审计跟踪，以便对发现或可能产生的破坏性行为提供有力的证据。 因此，除使用一般的网管软件和系统监控管理系统外，还应使用目前较为成熟的网络监控设备或实时入侵检测设备，以便对进出各级局域网的常见操作进行实时检查、监控、报警和阻断，从而防止针对网络的攻击与犯罪行为。

2.2.2.5 网络防病毒

　　由于在网络环境下，计算机病毒有不可估量的威胁性和破坏力，一次计算机病毒的防范是网络安全性建设中重要的一环。
网络反病毒技术包括预防病毒、检测病毒和消毒三种技术：
1.预防病毒技术：它通过自身常驻系统内存，优先获得系统的控制权，监视和判断系统中是否有病毒存在，进而阻止计算机病毒进入计算机系统和对系统进行破坏。这类技术有，加密可执行程序、引导区保护、系统监控与读写控制（如防病毒软件等）。
2.检测病毒技术：它是通过对计算机病毒的特征来进行判断的技术，如自身校验、关键字、文件长度的变化等。
3.清除病毒技术：它通过对计算机病毒的分析，开发出具有删除病毒程序并恢复原文件的软件。
网络反病毒技术的具体实现方法包括对网络服务器中的文件进行频繁地扫描和监测；在工作站上用防病毒芯片和对网络目录及文件设置访问权限等。
所选的防毒软件应该构造全网统一的防病毒体系。主要面向MAIL 、Web服务器，以及办公网段的PC服务器和PC机等。支持对网络、服务器、和工作站的实时病毒监控；能够在中心控制台向多个目标分发新版杀毒软件，并监视多个目标的病毒防治情况；支持多种平台的病毒防范；能够识别广泛的已知和未知病毒，包括宏病毒；支持对Internet/Intranet服务器的病毒防治，能够阻止恶意的Java或ActiveX小程序的破坏；支持对电子邮件附件的病毒防治，包括WORD、EXCEL中的宏病毒；支持对压缩文件的病毒检测；支持广泛的病毒处理选项，如对染毒文件进行实时杀毒，移出，重新命名等；支持病毒隔离，当客户机试图上载一个染毒文件时，服务器可自动关闭对该工作站的连接；提供对病毒特征信息和检测引擎的定期在线更新服务；支持日志记录功能；支持多种方式的告警功能（声音、图像、电子邮件等）等。

2.2.2.6 网络备份系统

　　备份系统为一个目的而存在：尽可能快地全盘恢复运行计算机系统所需的数据和系统信息。根据系统安全需求可选择的备份机制有：场点内高速度、大容量自动的数据存储、备份与恢复；场点外的数据存储、备份与恢复；对系统设备的备份。备份不仅在网络系统硬件故障或人为失误时起到保护作用，也在入侵者非授权访问或对网络攻击及破坏数据完整性时起到保护作用，同时亦是系统灾难恢复的前提之一。
在确定备份的指导思想和备份方案之后，就要选择安全的存储媒介和技术进行数据备份，有"冷备份"和"热备份"两种。热备份是指"在线"的备份，即下载备份的数据还在整个计算机系统和网络中，只不过传到令一个非工作的分区或是另一个非实时处理的业务系统中存放。"冷备份"是指"不在线"的备份，下载的备份存放到安全的存储媒介中，而这种存储媒介与正在运行的整个计算机系统和网络没有直接联系，在系统恢复时重新安装，有一部分原始的数据长期保存并作为查询使用。热备份的优点是投资大，但调用快，使用方便，在系统恢复中需要反复调试时更显优势。热备份的具体做法是：可以在主机系统开辟一块非工作运行空间，专门存放备份数据，即分区备份；另一种方法是，将数据备份到另一个子系统中，通过主机系统与子系统之间的传输，同样具有速度快和调用方便的特点，但投资比较昂贵。冷备份弥补了热备份的一些不足，二者优势互补，相辅相成，因为冷备份在回避风险中还具有便于保管的特殊优点。

2.3 系统安全

　　系统的安全主要是指操作系统、应用系统的安全性以及网络硬件平台的可靠性。对于操作系统的安全防范可以采取如下策略：
对操作系统进行安全配置，提高系统的安全性；系统内部调用不对Internet公开；关键性信息不直接公开，尽可能采用安全性高的操作系统。
应用系统在开发时，采用规范化的开发过程，尽可能的减少应用系统的漏洞；
　　网络上的服务器和网络设备尽可能不采取同一家的产品；
　　通过专业的安全工具（安全检测系统）定期对网络进行安全评估。

2.4 信息安全

　　在这个企业的局域网内，信息主要在内部传递，因此信息被窃听、篡改的可能性很小，是比较安全的。

2.5 应用安全

　　在应用安全上，主要考虑通信的授权，传输的加密和审计记录。这必须加强登录过程的认证（特别使在到达服务器主机之前的认证），确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。另外，在加强主机的管理上，除了上面谈的访问控制和系统漏洞检测外，还可以采用访问存取控制，对权限进行分割和管理。应用安全平台要加强资源目录管理和授权管理、传输加密、审计记录和安全管理。对应用安全，主要考虑确定不同服务的应用软件并紧密注视其Bug ；对扫描软件不断升级。

2.6 安全管理

　　为了保护网络的安全性，除了在网络设计上增加安全服务功能，完善系统的安全保密措施外，安全管理规范也是网络安全所必须的。安全管理策略一方面从纯粹的管理上即安全管理规范来实现，另一方面从技术上建立高效的管理平台（包括网络管理和安全管理）。安全管理策略主要有：定义完善的安全管理模型；建立长远的并且可实施的安全策略；彻底贯彻规范的安全防范措施；建立恰当的安全评估尺度，并且进行经常性的规则审核。当然，还需要建立高效的管理平台。

2.6.1 安全管理规范

　　面对网络安全的脆弱性，除了在网络设计上增加安全服务功能，完善系统的安全保密措施外，还必须花大力气加强网络安全管理规范的建立，因为诸多的不安全因素恰恰反映在组织管理和人员录用等方面，而这又是计算机网络安全所必须考虑的基本问题，所以应引起各计算机网络应用部门领导的重视。

1.安全管理原则

　　网络信息系统的安全管理主要基于三个原则。
　　多人负责原则：每一项与安全有关的活动，都必须有两人或多人在场。这些人应是系统主管领导指派的，他们忠诚可靠，能胜任此项工作；他们应该签署工作情况记录以证明安全工作已得到保障。具体的活动有：
访问控制使用证件的发放与回收；
　　信息处理系统使用的媒介发放与回收；
　　处理保密信息；
　　硬件和软件的维护；
　　系统软件的设计、实现和修改；
　　重要程序和数据的删除和销毁等；
任期有限原则：一般地讲，任何人最好不要长期担任与安全有关的职务，以免使他认为这个职务是专有的或永久性的。为遵循任期有限原则，工作人员应不定期地循环任职，强制实行休假制度，并规定对工作人员进行轮流培训，以使任期有限制度切实可行。
职责分离原则：在信息处理系统工作的人员不要打听、了解或参与职责以外的任何与安全有关的事情，除非系统主管领导批准。出于对安全的考虑，下面每组内的两项信息处理工作应当分开。
计算机操作与计算机编程；
　　机密资料的接收和传送；
　　安全管理和系统管理；
　　应用程序和系统程序的编制；
　　访问证件的管理与其它工作；
　　计算机操作与信息处理系统使用媒介的保管等。

2.安全管理的实现

　　信息系统的安全管理部门应根据管理原则和该系统处理数据的保密性，制定相应的管理制度或采用相应的规范。具体工作是：
　　根据工作的重要程度，确定该系统的安全等级
　　根据确定的安全等级，确定安全管理的范围
　　制订相应的机房出入管理制度对于安全等级要求较高的系统，要实行分区控制，限制工作人员出入与己无关的区域。出入管理可采用证件识别或安装自动识别登记系统，采用磁卡、身份卡等手段，对人员进行识别、登记管理。
　　制订严格的操作规程
　　操作规程要根据职责分离和多人负责的原则，各负其责，不能超越自己的管辖范围。
　　制订完备的系统维护制度
　　对系统进行维护时，应采取数据保护措施，如数据备份等。维护时要首先经主管部门批准，并有安全管理人员在场，故障的原因、维护内容和维护前后的情况要详细记录。
　　制订应急措施
　　要制定系统在紧急情况下，如何尽快恢复的应急措施，使损失减至最小。建立人员雇用和解聘制度，对工作调动和离职人员要及时调整响应的授权。

2.6.2 网络管理

　　管理员可以在管理机器上对整个内部网络上的网络设备、安全设备、网络上的防病毒软件、入侵检测探测器进行综合管理，同时利用安全分析软件可以从不同角度对所有的设备、服务器、工作站进行安全扫描，分析他们的安全漏洞，并采取相应的措施。

2.6.3 安全管理

　　安全管理的主要功能指对安全设备的管理；监视网络危险情况，对危险进行隔离，并把危险控制在最小范围内；身份认证，权限设置；对资源的存取权限的管理；对资源或用户动态的或静态的审计；对违规事件，自动生成报警或生成事件消息；口令管理（如操作员的口令鉴权），对无权操作人员进行控制；密钥管理：对于与密钥相关的服务器，应对其设置密钥生命期、密钥备份等管理功能；冗余备份：为增加网络的安全系数，对于关键的服务器应冗余备份。安全管理应该从管理制度和管理平台技术实现两个方面来实现。安全管理产品尽可能的支持统一的中心控制平台。

第三章 常见的网络安全攻击工具

3.1 破坏性攻击工具

所谓破坏性攻击工具，是指以完成下面的一个或两个任务为目的的程序：1骚扰；2破坏数据。
绝大多数的破坏性攻击工具除了惹人讨厌以外基本对安全没有威胁。当然，这些程序偶尔也会影响到网络的性能。例如，一个路由程序或邮件服务器在一个服务拒绝程序的攻击下就能导致失效。即在受攻击期间，合法的网络用户可能不能访问有用的网络资源。但是攻击并没有破坏系统，它只是影响系统的操作。因而每个新的系统管理员都应指导有关服务拒绝的知识和一些常见的破坏性设备。它主要包括以下主要的类型：1电子邮件炸弹；2利用邮件链接进行电子邮件轰炸；3邮件中继；4服务拒绝攻击；5病毒。

3.2 扫描程序

扫描程序查询TCP/IP端口并继续目标的响应。扫描程序通过确定下列项目，收集关于目标主机的有用信息：1当前正在进行什么服务？2哪些用户拥有这些服务？3是否支持匿名登录？4是否有某些网络服务需要鉴别？
扫描程序之所以重要是因为它们能揭示一个网络的脆弱点。在负责任的人手里，扫描程序可以使一些烦琐的安全审计工作得到简化；在怀有恶意或不负责任的人手中，扫描程序会对网络的安全造成威胁。

3.3 口令攻击程序

用户口令对大多数计算机系统而言是唯一识别用户的技术手段，使用口令攻击程序比较容易发现网络中存在的弱点。

第四章 防火墙技术

防火墙技术大体上分为以下两类之一：网络层或应用层。虽然如此，绝大多数的防火墙产品都具有两重特性，因此还有必要从概念上分别讨论。
网络层技术保护整个网络不受非法入侵。网络层技术的一个范例就是包过滤技术，它简单检查所有进入网络的信息，并将不符合预先设定标准的数据过滤掉。网络层防火墙采用的另一种技术是授权服务器，由它来验证用户登录的身份。
应用层技术控制对应用程序的访问。例如，代理服务器允许对某些程序的访问，如HTTP，而阻止对其它应用程序的访问，如FTP。

4.1 包过滤器

数据包是网络传输信息的单元，每个文件在网络上传输时都是通过分割成包进行传输的，当这些包到达目的地时，再将这些包重新组织起来，形成完整的文件。
每个包都含有两个部分：包头和数据部分。包过滤器使用IP包头来进行对传输报文的控制。
当一个报文到达过滤路由器时，工作过程是这样的：
(1)包过滤器从包头中取出需要的信息。例如，源、目的IP地址,源、目的TCP端口号。
(2)包过滤器将这些信息与规则表中的规则相比较。
(3)如果这个包来自TROUBLEHOST，无论其目的地址是哪里都将被丢弃。
(4)如果这个包通过了第一条规则（如果不是来自于TROUBLEHOST），则继续传输直到满足所有的规则。
(5)如果其中任意一条规则不满足，这个包就将被丢弃。
另外，包过滤器对网络传输速度有较大的影响，配置的规则应该尽量精简。

4.2 代理服务器

防火墙技术的第二个主要类别是应用层技术，这一类的设备被称为应用网关，它是运行代理服务器软件的计算机。
代理服务器是代表一个应用主体而运行的软件，它代表主体从一个网络与另一个网络通信，完成特定的检查任务。代理服务器软件可以独立在一台机器上运行，或者与诸如包过滤器的其它软件一起运行。
代理服务器象一个内部网络与外界之间的边界检查点。两边的应用可以通过代理服务器相互通信，但它们不能越过它进行通信。代理服务器接受来自一边的通信，检查并确认这一通信是否授权通过，如果是,则启动到通信目的的连接，并将它发送出去。
除应用网关外，还有另一种被叫作“电路层网关”的代理服务器。他们之间不同之处是在应用协议上，应用网关理解它所用的应用协议。实际上，应用层代理服务器是为特定的服务器而编写的，如果网关没有为指定服务而设立代理服务器，这一服务就不能通过网关。
不足之处在于代理服务器受限制于它能处理的应用协议。而优势在于代理服务器能够检查应用协议信息，找出应该连接到哪里。代理服务器甚至可以检查包的内容，并根据用户想干什么来允许或拒绝连接。如FTP的代理服务器能够设置成拒绝含有“put”指令的包的连接。
电路层网关不关心任何应用协议，它只是建立一个网络到另一个网络的连接（如果这一连接满足允许规则），然后就退出。优点是代理服务器能处理任何遇到的协议。缺点是代理服务器不能检查应用信息以找出这个连接希望连到哪里。使用电路层代理服务器的应用，必须告诉服务器这一连接要做什么。
使用代理机制，要求有一个高性能的系统，否则会产生严重的通信瓶颈。

第五章 防火墙体系结构

5.1 双重宿主主机体系结构

双重宿主主机体系结构围绕双重宿主主机计算机构筑，该计算机至少有两个网络接口。这样的主机可以充当与其相连的网络之间的路由器；它能够从一个网络到另一个网络发送IP数据包。然而，实现双重宿主主机的防火墙体系结构禁止这种发送功能。因而，IP数据包从一个网络（例如，Internet网）并不是被直接发送到其他的网络（例如，内部网络）。防火墙内部的系统能与双重宿主主机通信，同时防火墙外部的系统（在Internet网上）能与双重宿主主机通信，但是这些系统不能直接相互通信。它们之间的IP通讯被完全阻止。
双重宿主主机防火墙的网络体系结构是相当简单的；双重宿主主机位于两者之间，并且被连接到Internet网和内部网。
双重宿主主机能提供级别非常高的控制。如果你不想任何数据包在外部的网络和内部的网络之间传输，一方面你很容易实现这一点;另一方面，如果在网络中发现了任何具有外部数据源的数据包，可以肯定的就是，网络安全出现了问题。然而，为了保持和利用双重宿主主机的潜在优势还需做大量的工作。
双重宿主主机仅仅能通过代理或者通过用户直接登录到双重宿主主机来提供服务。但是，用户帐号本身就会带来安全问题。尤其在双重宿主主机上，它们会带来额外的问题。更严重的是，大多数用户认为通过登录到双重宿主主机来使用它们是非常麻烦的。

5.2 被屏蔽主机体系结构

双重宿主主机体系结构提供来自与多个网络相连的主机的服务（但是路由关闭），被屏蔽主机体系结构使用一个单独的路由器提供来自仅仅与内部的网络相连的主机的服务。在这种体系结构中，主要安全由数据包过滤提供（例如，数据包过滤用于防止人们绕过代理服务器直接相连）。
堡垒主机位于内部的网络上。在屏蔽的路由器上的数据包过滤是按照这样一种方法设置的：即堡垒主机是Internet网上的主机能连接到的唯一的在内部网络上的主机系统。因此，堡垒主机需要更高等级的主机安全。
被屏蔽主机体系结构主要的缺点是：如果侵袭者设法入侵堡垒主机，则在堡垒主机和其余的内部主机之间就没有任何保护网络安全的东西存在。路由器如果出现单点失效故障，或者被损害，整个网络对入侵者来说就是开放的了。

5.3 被屏蔽子网体系结构

被屏蔽子网体系结构添加额外的安全层到被屏蔽主机体系结构，即通过添加周边网络进一步地把内部网与Internet网隔开。
为什么这样做呢？是由它们的性质决定的。堡垒主机是网络上最容易遭受侵袭的设备。尽管你尽最大的努力来保护它们，但它们仍然最可能受到侵袭。如果在被屏蔽主机体系结构中，你的内部网络对来自你的堡垒主机的侵袭是门户大开的，那么堡垒主机就会是非常诱人的目标。因为在堡垒主机和其它内部机器之间没有其它的防御。
通过在周边网络上隔离堡垒主机，就能减少在堡垒主机上入侵的影响。它会给入侵者一些机会，但不是全部。
被屏蔽子网体系结构的最简单的形式为:两个屏蔽路由器，每一个都连接到周边网络。一个位于周边网与内部网络之间，另一个位于周边网与外部网络之间（通常为Internet网）。为了侵入用这种类型的体系机构构筑的内部网络，入侵者必须通过两个路由器。即使入侵者设法侵入堡垒主机，他仍然必须通过内部路由器。在这种情况下，没有内部网络的单一的易受侵袭点。
在实际工作中，应该根据所购买防火墙软件的要求、硬件环境所能提供的支持，综合考虑选用最合适的防火墙体系结构，最大限度地发挥防火墙软件的功能，实现对信息的安全保护。
除了以上讨论的采取必要的技术保护手段之外，加强对网络的管理是解决安全问题的关键。如果能对网络运行状况定期的检查，利用各种网络安全工具加强对网络的监控，就可以在入侵者尝试入侵网络时发现这些潜在的攻击行为，从而减少或避免损失，保障系统稳定运行。

第六章 结束语

网络安全技术是伴随着网络的诞生而出现的，但直到80年代末才引起关注，90年代在国外获得了飞速的发展。近几年频繁出现的安全事故引起了各国计算机安全界的高度重视，计算机网络安全技术也因此出现了日新月异的变化。安全核心系统、VPN安全隧道、身份认证、网络底层数据加密和网络入侵主动监测等越来越高深复杂的安全技术极大地从不同层次加强了计算机网络的整体安全性。安全核心系统在实现一个完整或较完整的安全体系的同时也能与传统网络协议保持一致。它以密码核心系统为基础，支持不同类型的安全硬件产品，屏蔽安全硬件以变化对上层应用的影响，实现多种网络安全协议，并在此之上提供各种安全的计算机网络应用。 互联网已经日渐融入到人类社会的各个方面中，网络防护与网络攻击之间的斗争也将更加激烈。这就对网络安全技术提出了更高的要求。未来的网络安全技术将会涉及到计算机网络的各个层次中，但围绕电子商务安全的防护技术将在未来几年中成为重点，如身份认证、授权检查、数据安全、通信安全等将对电子商务安全产生决定性影响。

致谢

在西安高新科技学院生活学习了三年，学院给予我的太多太多，不仅是学习还是精神上的，都十分丰富。临近毕业，我深深感到了依依不舍，因为有一直关心我们的学院领导、教职工老师…… 通过这次毕业论文的完成过程，我学到了很多知识，感谢学院为我们提供的舒适的环境、辅导老师给我们的指导，在这里我学到的东西将会受益终生，谢谢西安高新科技学院。

参考文献

佚名，《计算机网络安全与防护技术研究》，学生大出版社，2004年
夏云，《现代计算机网络技术与应用》，科技出版社，2001年
来宾，张磊，《计算机网络原理与应用》，冶金出版社，2003年
李涛，《网络安全概论》，清华大学出版社，2004年
李艇，《网络安全与管理综合实训教程》，2004年

摘 要

计算机网络中的“入侵”活动已经引起了公众的高度重视。安全对计算机网络的非法入侵、攻击行为已经成为网络信息化时代的现实危害。网络已成为不容忽视的问题，因为现在越来越多的企业、机关以及涉及国家安全的部门走向信息化时代，所以计算机网络安全是一个急待解决的课题。通过对网络入侵事件的事后分析，造成安全缺陷的两个最普遍的原因是：(1)受入侵主机的错误配置；(2)系统缺陷或反应能力不足。现在有许多防范网络被攻击的技术，如最常见的防火墙技术、加密技术等。这些技术还存在一些不足，而且黑客的攻击手段越来越高，计算机行业还有许多发展的空间，因此网络安全是需要我们一直关注的话题。

[关键词].PGP； 网络安全； 防火墙

Summary

Computer " invades " the activity has already caused public great attention of the network. The illegal invasion , attack of the security to computer network have already become reality of information age of the network to endanger. The network has already become the question that can't be ignored , because more and more enterprises , organs and departments related to national security move towards information age now, so the online security of the computer is an urgent subject to be solved . Through invading analysing afterwards to the network, two most general reasons to cause the safe defect are of the incident: (1)Disposed by the mistake of invading the host computer ; (2)Systematic defect or the respond is insufficient. There is technology that a lot of strick precaution networks are attacked now, for instance most common fire wall technology , encryption ,etc.. Technology the exist some insufficient , and attack of hacker means high, computer industry has space of a lot of development, so the online security is the topic needing us to pay close attention to all the time .

Key Words：PGP Network safety Fire wall

目 录

绪论.....................................................................................................................