第一篇 1五層全方位網絡防護策略

1.1物理安全防護策略

網絡設計與規(guī)劃之初，要考慮核心機房及數(shù)據中心的選址問題。機房要選擇在可控區(qū)域內，并與非可控區(qū)域間隔300米外，在現(xiàn)實條件無法滿足的情況下，對機房采取安全屏蔽措施。機房對樓層的選擇盡量就低不就高，避免在樓頂。在涉密單位，重要的政府機關、機要及軍政、部隊網絡要與互聯(lián)網物理隔離，不同等級的網絡之間采用最小耦合。在物理環(huán)境安全中要注重通風、降溫及消防。在機房內采用機房專用精密空調，將機房的整體溫度控制在21℃±2℃范圍內。適度的溫度可以延長服務器的使用壽命，減少故障的發(fā)生機率。機房的消防一定要采用氣體聯(lián)動消防，切勿使用水或傳統(tǒng)的干粉，這些方法雖然可以滅火，但對設備的影響，卻是不可逆的，它的影響遠大于滅火本身。

1.2網絡層安全防護策略

網絡層安全防護應從網絡拓撲結構進行分析，防護的方法是：在網絡邊界部署抗拒絕服務攻擊系統(tǒng)、防火墻、入侵檢測系統(tǒng)實時監(jiān)測網絡流量數(shù)據，發(fā)現(xiàn)違規(guī)操作后告警并阻斷，形成防火墻與入侵檢測系統(tǒng)聯(lián)動的邊界防護安全域。在核心交換機旁路部署安全審計系統(tǒng)、網絡分析系統(tǒng)及漏洞掃描系統(tǒng)，利用安全審計系統(tǒng)對全網行為、數(shù)據庫進行實時審計，通過網絡分析系統(tǒng)抓取數(shù)據包，準確、及時定位故障，還原數(shù)據包行為來取證違規(guī)違紀操作。將服務器劃分為內、外服務器域，保護不同的應用數(shù)據。利用虛擬局域網技術、身份認證準入機制及三層交換的ACL管理控制策略配合使用形成用戶的不同域安全防護。

1.3系統(tǒng)層安全防護策略

對操作系統(tǒng)和數(shù)據庫系統(tǒng)配置高強度用戶名及密碼，啟用登陸失敗處理、傳輸加密等措施。對用戶主機使用8位以上的口令，禁用guest用戶、更改administrator用戶名。對服務器主機進行訪問控制的配置，管理員分級分權限控制，對重要信息（文件、數(shù)據庫等）進行標記，設定訪問控制策略進行訪問控制，開啟服務器日志審計功能。通過軟件防火墻關閉服務器及用戶主機端口，利用系統(tǒng)組策略關閉不必要的服務。

1.4應用層安全防護策略

對重要的應用層系統(tǒng)及軟件如WWW、DNS系統(tǒng)進行備份，可制作雙機備份系統(tǒng)，一主一備，一旦一個系統(tǒng)出現(xiàn)故障，另一個系統(tǒng)自動啟動，實現(xiàn)應用層的無縫實時切換。數(shù)據是網絡的核心，因此保護數(shù)據也是應用層安全防護的要點。最好的方法是建立異地容災備份中心，可簡稱為兩地三中心。本地有數(shù)據中心及備份中心，異地有容災中心。數(shù)據備份采用光纖SAN網絡架構，ISCSI協(xié)議與TCP/IP協(xié)議不同，兩網之間不進行網絡通信，保證網絡的安全。

1.5管理層安全

安全的最高境界不是產品，也不是服務，而是管理。沒有好的管理思想、嚴格的管理制度、負責的管理人員和實施到位管理程序，就沒有真正的信息安全。對人員的管理和安全制度的制訂是否有效，直接影響這一層的安全問題。管理層安全包括管理制度、管理技術。管理制度須制訂一系列的安全管理制度，普及安全教育，包括：用戶守則的制訂。管理技術包括安全理論知識的培訓、對安全產品使用培訓、建立安全信息分發(fā)系統(tǒng)、及時通報最新安全事件、建立安全論壇、交流安全技術等。

2結束語

網絡安全影響因素萬變不離物理層安全、網絡層安全、系統(tǒng)層安全、應用層安全、及管理層安全這五類。物理安全是網絡安全的基礎，網絡層安全是網絡安全的關鍵，系統(tǒng)層安全是網絡安全的個體體現(xiàn)，應用層安全是網絡安全的重點，管理層安全是網絡安全長治久安成效的重要保障�？傊�，網絡安全不能脫離這五個方面的任何一個層次而談，忽略了任何一個方面，網絡安全都將會存在短板，“木桶效應”將展現(xiàn)。

作者：韓桂明單位：江蘇省鹽城市信息工程技術學校

第二篇 1計算機網絡安全中涉及的主要問題

1.1計算機網絡使用人員的道德素質問題

隨著互聯(lián)網技術的不斷發(fā)展，可以通過計算機進行多種形式進行詐騙、竊取用戶的財產。由于網絡的隱蔽性，促進這種違法犯罪行為的滋生。黑客的數(shù)量增長的趨勢不斷上升，技術手段也越來越先進，網絡安全受到了極大影響，給人們的日常生活帶來了不利影響。在網絡中，也出現(xiàn)了惡意攻擊、竊取信息，在網絡上散布謠言和虛假信息，損害他人的名譽。此外，由于網絡的使用者的水平參差不齊，對網絡安全的認識不充分，自我保護意識差，也是造成網絡安全問題的原因。

1.2缺乏有效的監(jiān)管

由于網絡是一個虛擬的世界，隱蔽性和突發(fā)性強，給有效的監(jiān)管帶來了壓力。計算機網絡信息安全的管理機制還不夠完全，網絡監(jiān)管涉及范圍廣，形式變異性強，有效監(jiān)管的難度大。同時國家對網絡系統(tǒng)的監(jiān)管還處在初級階段，也致使在網絡安全中存在著隱患。

2針對網絡安全提出的處理和防范措施

2.1加強物理層和技術層的安全防范

首先對計算機的物理安全方面采取防護措施：對計算機的使用環(huán)境、設備運行狀況進行合理安排，提供網絡信息安全最基本的保證。然后，在互聯(lián)網和內部局域網之間建立防火墻，提供在訪問網絡、數(shù)據信息傳輸時的控制和監(jiān)管，從而保證網絡信息的安全。防火墻主要包括：硬件防火墻、軟件防火墻和芯片防火墻三種類型。

2.2加強使用網絡的安全意識

加強網絡安全的宣傳力度，提高用戶使用網絡的安全意識，規(guī)范網絡使用的行為，營造健康、合理、安全使用網絡的環(huán)境氛圍，這是解決計算機網絡安全問題的基礎。同時。國家應該制定嚴格的監(jiān)管機制，對網絡使用進行監(jiān)管和控制，把網路監(jiān)管提高到法律高度。

2.3采取計算機網絡保護新技術

采取新技術保護網絡使用安全。系統(tǒng)漏洞掃描技術：對計算機進行定時的系統(tǒng)漏洞掃描，給計算機進行實時的、全方位的系統(tǒng)掃描，檢測系統(tǒng)存在的漏洞，及時修復，提高計算機在運行時的安全系數(shù)；防病毒技術：雖然計算機病毒無處不在，傳播速度快，但是在計算機使用時，經常更新殺毒軟件、及時進行殺毒處理，可以減少病毒給計算機使用帶來的危害；采取一定的加密技術和合理使用密碼：為了保護用戶的隱私，保證信息傳遞的安全性，對用戶信息進行加密處理，這種技術能夠有效防信息被不法分子竊取利用。在計算機中，設置密碼可以有效保護用戶登陸安全和網絡使用安全，采用多種形式對用戶的身份進行加密，是保護計算機網絡安全的關鍵技術。

3結束語

計算機網路中存在的安全問題不能夠被完全消除，但是通過采用一定的防護措施，加強對網絡使用者的安全教育，提高安全使用網絡的新技術，可以有效減少在網絡使用中的安全問題。營造良好的網絡使用環(huán)境，充分享受網絡時代給我們工作和生活帶來的便利。

作者：趙一明單位：國網河北省電力公司邢臺分公司

第三篇 1弱點相關性介紹

1.1弱點相關陣

我們使用函數(shù)表示任意弱點之間的相關性，函數(shù)值為布爾值（即值只為0或1）。如果攻擊弱點為攻擊弱點的前提，則令=1；相反，如果攻擊弱點不是攻擊弱點的前提，則令=0。通過對這些已知的攻擊結果和弱點間關系進行綜合整理分析，就能夠得到任意弱點間的相關性，再將這些相關性進行匯總，就能夠得到一個由1-0組成的相關性矩陣。根據這種分析方法，就可以基于專家經驗或者已知弱點分布情況，構造一個弱點相關矩陣。

1.2弱點相關圖

對于網絡攻擊者來說，攻擊者為了操作的方便性會建立一個詳細的攻擊序列，這個序列的結構非常復雜。對于網絡管理員而言，通常只需要關注網絡弱點的攻擊修復問題，而不需要過多考慮多攻擊序列的情況。網絡管理員需要的就是可以直接反映特定網絡系統(tǒng)中弱點之間關系的相關圖，即弱點相關圖。網絡管理員可以應用弱點相關圖對弱點進行修復，并快速定位攻擊者和對網絡中的各個安全漏洞進行檢查，這對保障網絡系統(tǒng)的安全具有重要的意義。

2基于弱點相關性的網絡安全問題分析方法

介紹基于弱點相關性網絡安全問題分析方法之前，首先要建立分析問題的假設條件，即：單調性要求。也就是說，網絡攻擊能夠根據正向和反向搜索兩種方式生成，正向搜索主要針對攻擊者，以模擬攻擊者未來將實施的攻擊行為意圖，而反向搜索則主要針對攻擊目標，向后回退以查詢相關的攻擊行為，直到網絡初始狀態(tài)為止。以弱點相關矩陣為基礎，能夠利用正反搜索生成弱點相關圖。惡意網絡攻擊者在對網絡進行攻擊時，首先會從自身主機開始，隨機攻擊能夠到達的某臺主機的一個弱點，然后基于弱點相關性，連續(xù)攻擊該主機或與其連接的主機的其他漏洞，這種攻擊行為一直持續(xù)到最終的目的主機漏洞為止。這樣，網絡系統(tǒng)中被攻擊的所有弱點序列就組成一個網絡系統(tǒng)弱點相關矩陣VCG。我們以VCG為基礎，構建一個深度優(yōu)先的正向弱點相關圖，生成算法主要包括如下幾步：

（1）首先，初始狀態(tài)下攻擊者進入一臺能夠到達的主機；

（2）從中選擇一個與前一個弱點相關但未使用的弱點；如果為攻擊者的最終攻擊目的漏洞，則在VCG記錄該攻擊鏈中存在目標，否則，將按照的相關性，或者繼續(xù)攻擊一臺能夠從到達的主機，且該臺主機之前并沒有被攻擊過；或者在主機中選擇其他的相關性弱點進行攻擊。中至少要存在一個以為前提的弱點，如果，則要求。如果符合要求，則直接在上重復算法第二步，否則，則需要在上再找一個弱點重復算法第二步，直到上的所有弱點都被攻擊為止；

（3）從初始狀態(tài)下攻擊者能夠到達的主機中，另外選擇一臺進入，并重復算法第二步，直到攻擊者遍歷完所有的網絡主機。如果網絡中存在臺主機，帶有主機標示的弱點集中元素不多于個。由于在攻擊鏈分析時，搜索方向一直向前，那么各個弱點的行只能出現(xiàn)一個狀態(tài)，因此VCG節(jié)點不會多于個，而基于弱點相關矩陣的VCG搜索深度不會超過個。由此可見，VCG分析能夠避免出現(xiàn)當應用原有模型檢測網絡攻擊圖時因冗余造成的指數(shù)狀態(tài)爆炸現(xiàn)象，另外，正向搜索也能夠保證VCG的完善性。下面根據某個實際網絡系統(tǒng)產生弱點相關圖，所有的網絡結構如下圖所示：圖2為對應的弱點相關矩陣，為不同的弱點，根據該矩陣以及上述算法，首先由攻擊者出發(fā)，然后遍歷FTP服務器和數(shù)據庫服務器，最終得到整個網絡系統(tǒng)的弱點相關圖：圖中各個弱點是按照從左到右的順序執(zhí)行的，同時可以看到，數(shù)據庫服務器中的弱點在每條攻擊鏈上都會被使用到，而且這三個弱點為串聯(lián)形式。因此，網絡管理員進行網絡維護時要優(yōu)先考慮這三個弱點，只需要將其中一個弱點修復好，攻擊者就無法繼續(xù)進行攻擊，這對提升整個網絡系統(tǒng)的安全效果十分明顯。

3針對弱點相關性產生的網絡安全問題處理措施

3.1物理措施

以弱點相關性為前提的網絡安全系統(tǒng)維護，可以首先考慮應用物理方式解決相應問題。例如，網絡系統(tǒng)中的關鍵設備，包括大型交換機、大型計算機等設備，對于這些設備我們可以指定一整套完善的網絡安全制度，采取一系列的安裝維護措施，例如防輻射裝置、防火裝置等。

3.2數(shù)據加密措施

對于網絡數(shù)據資料安全而言，數(shù)據機密是最重要也最基本的一個工作內容，因此，數(shù)據加密顯得至關重要。數(shù)據加密能夠有效避免信息外泄情況的發(fā)生，對避免攻擊者竊取重要信息提供保障，除此之外，還能夠有效降低計算機病毒傳播的概率。

3.3訪問控制措施

對于不同類型的用戶訪問網絡系統(tǒng)，要對用戶建立相應的訪問權限，并對權限進行認證，以保證網絡使用人員不會產生影響網絡系統(tǒng)正常運行的操作。例如，用戶訪問網站之前，會在網頁上彈出對話框提示網頁的安全性，這樣就能夠保障網絡系統(tǒng)的安全性得到進一步的提高，并進一步加大對不安全網頁的控制和管理工作。

3.4網絡隔離措施

有效的網絡隔離措施能夠保證網絡系統(tǒng)的安全和正常運行。其中，隔離卡主要針對單臺機器節(jié)點，而安全隔離措施的范圍則相對較廣，這種方式通常是針對于整個網絡系統(tǒng)的。

3.5其他網絡安全措施

除了上述幾項措施外，信息過濾、信息容錯與信息備份等措施也具有一定的意義，尤其是上文中提到的基于弱點相關性的網絡安全問題分析方法，對處理網絡安全問題具有積極的效果。

4結論

本文通過弱點相關性對網絡安全問題進行探討，并對安全系統(tǒng)進行有效的管理，對網絡安全管理員快速修復網絡漏洞十分有效，對保持計算機網絡的安全具有積極的意義。隨著我國計算機網絡的快速發(fā)展，人們對網絡安全的重視程度也越來越高，因此，以弱點相關性為基礎進行網絡安全性能分析必將得到更好的發(fā)展。

作者：顧晟單位：泰州學院