时间:2023-03-23 15:24:53
引言:寻求写作上的突破?我们特意为您精选了12篇网络安全设计论文范文,希望这些范文能够成为您写作时的参考,帮助您的文章更加丰富和深入。
DSF的运作
DSF架构的运行需要几个组件相互配合,实现如下功能:一是设备的登记,包括了客户端机器和DAS的登记。主要通过在客户端和DAS之间传送密钥,并且加密保存在两边;二是要实现DSS登记,包括了DSS和DAS,企业要正常使用DSS,需要通过获得DAS许可才能进行等级,DAS向DSS发送签名文件,该签名文件中包含了DSS的使用许可和许可期限;三是实现客户端向DSS注册应用程序;四是DSS想DAS注册应用程序。
DSF在设备端网络安全中应用
DSF是一个网络安全的结构框架,在应用上,笔者在此主要介绍其在网络安全维护的身份认证和访问控制上的应用。基于DSF的身份认证和访问控制,主要是应用于基于B/S结构的电子商务和电子政务平台。具体操作方式是利用DSF的硬件信息作为数字认证身份。关于身份认证的主要流程包括了如下几步:首先以用户名和密码组合的方式向系统提出申请,管理员接到来自用户的申请后进行审批,判断用户是否能够通过审核,使用该系统,其次审批通过后由系统向用户许可证,许可证由20位的密码文件组成,用户再次登录,输入用户名和密码,下载许可证,提交设备登记,登记时由管理员验证客户端的许可证,最后进行设备应用程序的注册,注册成功后,用户为系统的授权用户,从而能够登录系统,在设备上正常使用应用程序。访问控制主要是对应用系统的内部资源进行后台控制,访问控制是对用户使用应用程序的内部资源范围的控制和合理协调。在本设计中对访问的控制,主要是针对系统内部各个功能模块而言,按照用户的身份进行控制,其实现的方式主要采用的是JSP+JAVABEAN,应用的数据库系统是ORCLE8I。
基于客户端的用户管理主要包括了以下几个组成部分:用户权限管理、用户角色管理、权限组管理以及部门管理。用户管理主要是指用户申请用户名和密码,后台能够根据用户的具体情况,对用户进行删除、修改和用户维护的工作;用户组管理则主要是将分散的用户归于一个用户组,将用户分成不同的组,将用户分类、分等级,不同的用户等级组享有不同的权限,系统后台能够对用户组进行添加、删除和修改等后台维护工作。权限组管理则主要是指将用户的权限模块分配给每一个用户组,一个用户组只能使用相关的权限组内的功能模块,系统主要对这些用户组权限模块进行调整、修改和添加删除等操作。用户权限管理是针对客户端用户进行权限管理,是对组内权限的细化和分化,是对用户组内权限功能以外的权限的设置;部门管理则是对部门进行分类添加和修改,部门是用户和用户组的归属,系统通过统一维护和合理分配,能够实现权限的最优管理。
内部网络的服务器在计算机的应用程序和计算机的终端操作上都以一定的应用系统和网络安全技术来实现网络操作的安全性,这些都是以操作系统的运行来实现的。所以,一定要保持内部网络的操作系统实现安全、稳定的运行,才能保证内部网络的整体安全基础。既要加强操作系统的漏洞补丁安装和实时监控系统,对用户访问的控制与授权都要进一步完善。
1.2内部网络要通过路由器保证安全
内部网络的数据传输要通过路由器等设备来实现,而数据的传输也要以报文广播等技术,通过可靠控制的对策,而数据信息在传输中很容易受到非法的入侵,内部网络的安全要由路由器来实现分段的管理,通过虚拟的局域网技术,在物理与逻辑的结构上隔离,完成内部网络的安全性。
1.3内部网络进行防火墙系统的设置
内部网络安全威胁主要来自拒绝服务的网络攻击,所以,要使内部网络的安全得到保证,就要尽可能的选择功能强的防火墙。内部网络对防火墙系统进行合理的配置,使数据可以充分过滤和拦截,实现有效的监控。一旦出现非法入侵,内部网络就要立刻停止当前的服务,可以使非法入侵的行为得到制止,有效防止内部网络中的数据和信息被获取或者篡改。而防火墙也要进行有效的配置,才能使非法用户在内部网络之间的访问得到有效的限制。对内部网络要设置好有效的网络地址,使网络访问的权限得到控制,对网络设备各项配置和参数可以有效的控制,防止被篡改,使企业内部网络安全得到保证。
1.4内部网络入侵检测的系统要做好部署工作,保证网络的安全性
内部网络出现安全威胁很多时候都是因为管理员疏忽导致的不规范操作引起的,而且有些工作人员会引起网络的非法入侵,所以,只凭借防火墙是很难使内部网络安全得到保证的。内部网络要对入侵检测的系统做好周密的部署,配合防火墙的工作,既可以及时的发现内部网络安全威胁,还会对一些系统的漏洞和网络的病毒及非法的攻击及时发现和处理。使企业内部网络各项管理系统可以得到稳定的运行。
1.5移动及无线设备
对于大多数中小企业而言,自带设备办公趋势根本就不是啥新鲜事儿。不过正是由于这种轻信的态度,小企业没有为严格控制并管理员工自有设备制定出切实有效的政策,这一点在无线网络构建方面同样非常明显。企业Wi-Fi网络作为移动设备办公不可或缺的组成部分,过去也一直受到安全风险的威胁。首先,大家在实际应用中应该选择那些安全性好的无线方案(例如WPA2、801.11或者VPN)、为网络访问设置高强度密码,同时经常扫描各类接入终端、揪出恶意设备。除此之外,我们还需要制定政策,要求员工为自己的移动设备设置解锁密码,并在设备丢失时能够及时锁死或清除所保存的内容。
1.6内部网络安全防范方案的设计
要真正解决内部网络安全隐患,就要适应内部网络业务信息系统扩展和应用,做好系统的更新和升级,对系统变化和网络的变化及时做好调整。企业内部网络的安全设计是有上下级区分的,这种设计方案是符合现代企业职能需要,而方案的设计也要实现内部网络的安全防范任务,实现企业内部网络的安全防范。企业内部网络的安全防范设计中,既要设置好上方的企业下级部门,也要设置好企业的上级部门,通过内部网络,企业的下级部门实现与上级部门的连接。可见,企业内部网络进行安全防范的方案设计,下级部门尽量避免和外部的互联网连接,下级部门若有需要一定要和外部的互联网做出数据的传输或者交换,就要使用上级部门外网的路由器来完成。而流入和流出的各种数据包也要进行处理,通过外网的防火墙与入侵监测系统完成安全的过滤。企业把网络安全重点工作设计在网关的设置与网络边界的防御设置上,所以,网络安全的防范产品与制度都要在外部互联网入口附近进行配置,这种配置方法,使内部网络安全管理工作不能得到保障。
1.2对外部网络攻击的防护因连接到因特网,不可避免地会受到外部网络的攻击,通常的做法是安装部署网络防火墙进行防护。通过设置防护策略防止外部网络的扫描和攻击,通过网络地址转换技术NAT(NetworkAddressTranslation)等方式隐藏内部网络的细节,防止其窥探,从而加强网络的安全性。1.3员工上网行为的管控对于在办公区内的员工,要禁止其在工作期间做无关工作的网络行为,如QQ聊天、论坛发帖子、炒股等,尤其禁止其玩征途等各类网络游戏。常用做法就是安装网络行为管理设备(应用网关),也有些企业会出于成本考虑安装一些网络管理类软件,但若操作不当,很容易会造成网络拥塞,出现莫名其妙的故障。
1.4对不同接入者权限的区分企业网络中的接入者应用目的是不相同的,有些必须接入互联网,而有些设备不能接入互联网;有些是一定时间能接入,一定时间不能接入等等,出于成本等因素考虑,不可能也没必要铺设多套网络。通常的做法是通过3层交换机划分虚拟局域网VLAN(VirtualLocalAreaNetwork)来区分不同的网段,与防火墙等网络控制设备配合来实现有关功能。
1.5安全审计功能通过在网络旁路挂载的方式,对网络进行监听,捕获并分析网络数据包,还原出完整的协议原始信息,并准确记录网络访问的关键信息,从而实现网络访问记录、邮件访问记录、上网时间控制、不良站点访问禁止等功能。审计设备安装后不能影响原有网络,并需具有提供内容安全控制的功能,使网络维护人员能够及时发现系统漏洞和入侵行为等,从而使网络系统性能能够得到有效改善。通常的做法就是安装安全运行维护系统SOC(SecurityOperationsCente)r,网管员定时查看日志来分析网络状况,并制定相应的策略来维护稳定网络的安全运行。
.6外网用户访问内部网络公司会有一些出差在外地的人员以及居家办公人员SOHO(SmallOfficeHomeOffice),因办公需要,会到公司内网获取相关数据资料,出于安全和便捷等因素考虑,需要借助虚拟专用网络技术VPN(VirtualPrivateNetwork)来实现。通常的做法是安装VPN设备(应用网关)来实现。
2网络安全设备的部署与应用
通过企业网络安全分析,结合中小企业网络的实际需求进行设计。该网络中的核心网络设备为UTM综合安全网关。它集成了防病毒、入侵检测和防火墙等多种网络安全防护功能,从而成为统一威胁管理UTM(UnifiedThreatManagement)综合安全网关。它是一种由专用硬件、专用软件和网络技术组成的具有专门用途的设备,通过提供一项或多项安全功能,将多种安全特性集成于一个硬件设备,构成一个标准的统一管理平台[2]。通常,UTM设备应该具备的基本功能有网络防火墙、网络入侵检测(防御)和网关防病毒等功能。为使这些功能能够协同运作,有效降低操作管理难度,研发人员会从易于操作使用的角度对系统进行优化,提升产品的易用性并降低用户误操作的可能性。对于没有专业信息安全知识的人员或者技术力量相对薄弱的中小企业来说,使用UTM产品可以很方便地提高这些企业应用信息安全设施的质量。在本案例中主要使用的功能有防火墙、防病毒、VPN、流量控制、访问控制、入侵检测盒日志审计等。网络接入和路由转发功能也可由UTM设备来实现。因其具有多个接口(即多个网卡),可通过设定接口组把办公区、车间、服务器组等不同区域划分成不同的网段;通过对不同网段设定不同的访问规则,制定不同的访问策略,来实现非军事化区DMZ(demilitarizedzone)、可信任区以及非信任区的划分,从而有效增强网络的安全性和稳定性。对于上网行为的管理,可以通过内置UTM设备的功能来实现管控,并可以实现Web过滤以及安全审计功能。,设定了办公区和车间1可以访问互联网,而车间2不能访问互联网。在办公区和部分车间安装无线AP,可方便人员随时接入网络。通过访问密码和身份认证等手段,可对接入者进行身份识别,对其访问网络的权限进行区分管控。市场上还有一些专用的上网行为管理设备,有条件的单位可进行安装,用以实现对员工上网行为进行更为精准的管控。对于出差在外地的人员和SOHO人员可在任何时间通过VPN客户端,用事先分配好的VPN账户,借助UTM设备的VPN功能,与总部建立VPN隧道,从而保证相互间通信的保密性,安全访问企业内部网络,实现高效安全的网络应用。
除了ACK请求和CANCEL请求,INVITE之后的请求中CSeq字段的数字是最初请求(INVITE)的CSeq递增的结果。而ACK和CANCEL请求则拥有与它所确认(取消)的请求相同的CSeq数字部分,只是方法名不同。Via字段存储所有处理请求的地址,它可以用来检测路由循环,也用于使应答消息经过请求消息来时相同的路径。因此, 在请求消息发送时,via标题头的数量是随着跳数逐渐增加的,而应答消息返回时,via标题头的数量则逐渐递减。在SIP消息分为请求和响应两类,其中请求消息是由客户机发往服务器,响应消息是由服务器发往客户机。例如SIP请求中INVITE事务,SIP在通过UDP传输协议来传送INVITE消息时,必须使用逐跳重传机制保证INVITE的最终传送,即用户UA和SIPproxy都要保证INVITE到达下一跳,下一跳收到时会返回一个临时应答,如果在限定时间内收不到应答那么就会重传INVITE。在SIP中的CANCEL事务与INVITE事务都是逐跳事务,但是处理方法不同,路径上的每一个收到CANCEL请求时,都会发送一个最终应答来响应,并且向下一跳发送一个CANCEL请求。
(试 行)
一、 网络类题目的特点
学生络类题目的特点主要以校园网、小型企业网、大型企业网(多地互联)为应用场合,进行网络工程设计类或网络安全类论文的写作。
二、 网络工程设计类论文的写作
1.论文写作要求
类似于投标书,但有不同于投标书,不要有商务性质的内容(项目培训、售后服务、产品说明书、产品报价……),也一般不考虑具体综合布线(职院学校的要求),主要倾向于其技术实现。
2.论文写作基本环节
采用工程业务流程,类似于软件工程:
1)需求分析
2)功能要求
3)逻辑网络设计(设计原则、拓扑结构图、背景技术简介、IP地址规划表),也称为总体设计
4)物理网络设计(实现原则、技术方案对比,一般考虑结构化布线),也称为详细设计
5)网络实现(设备选型和综合布线属于这个阶段,但我们主要强调各种设备的配置与动态联调以实现具体目标)
6)网络测试(比较测试预期结果与实际结果)
具体实现通过采用Dynamips 模拟平台和Cisco Packet Tracer(PT)模拟平台。
3.注意事项
1)抓住题目主旨和侧重点(类似题目的需求不同,取材角度不同、参考资料的取舍也不同。不同的应用场合会采用不同的拓扑结构、路由技术(BGP、RIP、单区域和多区域的OSPF)、交换技术(Vlan、生成树、链路聚合、堆叠)、访问(接入)技术、安全技术等,只有这样题目才能各有千秋,否则就都变成了XX公司(校园)网络设计。)
2)不要有商务性质的内容(项目培训、售后服务……)
3)不要产品使用说明书和安装调试说明书
4)不建议包含综合布线的整个过程。
4.存在的问题与案例分析
1)结构不太清楚,有些环节没有
2)不应有产品说明书,具体实现要更清楚
三、 网络安全类论文的写作
1.论文写作基本环节与要求
从技术上讲主要有:
1)Internet安全接入防火墙访问控制;
2)用户认证系统;
3)入侵检测系统;
4)网络防病毒系统;
5)VPN加密系统;
6)网络设备及服务器加固;
7)数据备份系统;
从模型层次上讲主要有:
1)物理层安全风险
2)网络层安全风险
3)系统层安全风险
不同的应用需求采用不同的技术。
2. 存在的问题与案例分析
1)选题有些过于复杂而有些过于简单
2)只是简单叙述各种安全技术,没有具体实现
四、 论文答辩要求
1)论文格式:从总体上,论文的格式是否满足《韶关学院本科毕业设计规范》的要求?
(保密的学位论文在解密后适用本授权书)
论文作者签名: 导师签名:
签字日期: 年 月 日 签字日期: 年 月 日
内 容 摘 要
本文针对浙江广播电视集团网络,以及集团网络安全的建设、改造提出了相应的解决方案,并且从网络和网络安全两个主要方面进行了相关的阐述。首先,对在本方案中可能使用到的计算机网络、及网络安全的相关技术进行了阐述、分析和比较。然后,对集团中的计算机网络、以及网络安全的现状进行调查研究。其次,针对浙江广播电视集团的网络现状进行了详细的需求分析。最后,提出了一套针对浙江广播电视集团计算机网络、以及网络安全实际情况的网络、及网络安全的详细设计方案。实施本方案之后,有助于提高其计算机网络系统的可靠性、以及网络的安全性。
关键词:网络系统,数据安全,网络安全,局域网
ABSTRACT
The thesis brings forward the relevant solution of the network and the Internet security of Zhejiang Radio & Television Group giving elaboration on the two aspects. First of all, it explains and analyzes the related technique of the network and the Internet security will possibly be used in this project. Then, it studies and researches the computer network and security used in group. Thirdly, on the basis of ZRTG network it sets out the concrete demanding analysis. At the end of the thesis, it states the detailed design project on Internet and the facts of Internet security of ZRTG. The project is helpful to improve the reliability of network and the safety of Internet.
KEYWORDS:network system,data security, network security,LAN
目 录
第一章 引言 1
第一节 选题背景与意义 1
第二节 集团网络安全发展与现状 1
第三节 网络安全相关技术介绍 2
第二章 集团网络安全系统概况及风险分析 4
第一节 集团网络机房环境 4
第二节 网络应用数据备份 4
第三节 网络安全弱点分析 5
第四节 网络安全风险分析 6
第三章 集团网络安全需求与安全目标 7
第一节 网络安全需求分析 7
第二节 网络安全目标 7
第四章 集团网络安全解决方案设计 9
第一节 网络监控管理系统 9
第二节 电子邮件安全解决方案 9
第三节 远程数据传输的加密 10
第四节 服务器的安全防护 11
第五节 计算机病毒防护的加强 14
第六节 网络攻击及防护演示效果图 15
第五章 结束语 17
参考文献 18
致 谢 19
第一章 引言
第一节 选题背景与意义
随着互联网的普及度越来越高,全世界的计算机都能通过互联网连接到一起。各种网上活动的日益频繁,使得网络安全问题日益突出,信息安全成为了一个重要的课题。各种各样的网络攻击层出不穷,如何防止网络攻击,保障各项业务的顺利进行,为广大用户提供一个安全的网络环境变得尤为重要。
本论文针对浙江广播电视集团的计算机网络、以及网络安全的实际解决方案。在实施了本方案之后,有助于提高集团计算机网络系统的可靠性、以及网络的安全性。认真分析网络面临的威胁,计算机网络系统的安全防范工作是一个极为复杂的系统工程,是一个安全管理和技术防范相结合的工程。首先是各计算机网络应用部门领导的重视,加强工作人员的责任心和防范意识,自觉执行各项安全制度,在此基础之上,再采用先进的技术和产品,构造全方位的防御机制,使系统在最理想的状态下运行。
第二节 集团网络安全发展与现状
图1-1网络拓扑图
浙江广播电视集团作为省级广电传媒集团,现有计算机网络于2002年10月建成,在集团的运作和管理中发挥着重要的作用。近年来随着集团业务的发展,网络应用的不断深入,应用领域较以前传统的、小型的业务系统逐渐向大型、关键业务系统方向扩展。大部分子系统已接入网络,远程数据传输、集团资料共享、动态数据查询、流媒体数据业务、集团网站运营等都在该网络上传输,整个网络的用户规模是原计算机网络规模的数十倍。随着网络规模的不断扩大、接入点数量的增多、内部网络中存在的安全隐患问题就会愈加突出,安全日益成为影响网络效能的重要问题,而互联网所具有的开放性、国际性和自由性在增加应用自由度的同时,对自身网络的安全性提出了更高的要求。虽然广电集团前期的网络建设有一定的安全措施,但因为网络复杂性的逐步提高,网络中存在隐患的可能性以及由此产生的危害性也大大提高,因此在网络系统的进一步建设过程中,及时查清网络隐患的必要性就体现了出来。
第三节 网络安全相关技术介绍
要保证计算机网络系统的安全性,还要采用一些先进的技术和产品。目前主要采用的相关技术和产品有以下几种。
一、防火墙技术
为保证网络安全,防止外部网对内部网的非法入侵,在被保护的网络和外部公共网络之间设置一道屏障这就称为防火墙。它是一个或一组系统,该系统可以设定哪些内部服务可已被外界访问,外界的哪些人可以访问内部的哪些服务,以及哪些外部服务可以被内部人员访问。它可监测、限制、更改跨越防火墙的数据流,确认其来源及去处, 检查数据的格式及内容,并依照用户的规则传送或阻止数据。其主要有:数据包过滤、监测型、服务器等几大类型。
二、数据加密技术
与防火墙配合使用的安全技术还有数据加密技术,是为提高信息系统及数据的安全性和保密性,防止秘密数据被外部破析所采用的主要技术手段之 一。随着信息技术的发展,网络安全与信息保密日益引起人们的关注。目前各国除了从法律上、管理上加强数据的安全保护外,从技术上分别在软件和硬件两方面采取措施,推动着数据加密技术和物理防范技术的不断发展。按作用不同, 数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种。
三、认证技术
认证技术是防止主动攻击的重要手段,它对于开放环境中的各种信息的安全有重要作用。认证是指验证一个最终用户或设备的身份过程,即认证建立信息的发送者或接收者的身份。认证的主要目的有两个:第一,验证信息的发送者是真正的,而不是冒充的,这称为信号源识别;第二,验证信息的完整性,保证信息在传送过程中未被窜改或延迟等。目前使用的认证技术主要有:消息认证、身份认证、数字签名。
四、虚拟专用网络(VPN)技术
虚拟专用网(VPN)是企业网在因特网等公共网络上的延伸,通过一个私有的通道在公共网络上创建一个安全的私有连接。它通过安全的数据通道将远程用户、公司分支机构、公司业务伙伴等与公司的企业网连接起来,构成一个扩展的公司企业网。在该网中的主机将不会觉察到公共网络的存在,仿佛所有的机器都处于一个网络之中。公共网络似乎只由本网络在独占使用,而事实上并非如此。
VPN技术主要提供在公网上的安全的双向通讯,采用透明的加密方案以保证数据的完整性和保密性。
VPN技术的工作原理:VPN系统可使分布在不同地方的专用网络在不可信任的公共网络上实现安全通信,它采用复杂的算法来加密传输的信息,使得敏感的数据不会被窃听。
五、计算机病毒的防范
首先要加强工作人员防病毒的意识,其次是安装好的杀毒软件。合格的防病毒软件应该具备以下条件:
(一)较强的查毒、杀毒能力。在当前全球计算机网络上流行的计算机病毒有4万多种,在各种操作系统中包括Windows、 UNIX和Netware系统都有大量能够造成危害的计算机病毒,这就要求安装的防病毒软件能够查杀多种系统环境下的病毒,具有查毒、杀毒范围广、能力强的特点。
(二)完善的升级服务。与其它软件相比,防病毒软件更需要不断地更新升级,以查杀层出不穷的计算机病毒。
第二章 集团网络安全系统概况及风险分析
第一节 集团网络机房环境
目前,浙江广播电视集团计算机网络绝大多数的设备都是安放在新大楼13楼机房内的,只有楼层交换机是分布在各楼层的设备机柜中。根据本文的现场勘察和了解,目前大多数信息机房在机房的装修、温度和湿度控制、消防、照明、防静电、防雷等方面已经作了很多的考虑,主要有如下方面:
一、网络机房都作了可靠的防雷措施,建设有防雷接地网,其接地电阻小于1欧姆;大楼顶部建设有避雷针。
二、所有从网络机房大楼外接入网络机房的数据信号,全部采用光纤接入。
三、网络机房内大多配备UPS电源系统。
四、机房内铺设防静电地板、吊顶,对墙面进行了无尘处理。
五、安装机房防盗监控系统。
六、配备机房消防系统和应急照明系统。
七、所有楼层交换机的供电都是由机房内 UPS 通过专用的线路直接供电,与楼层内的其它电源系统没有任何连接。
第二节 网络应用数据备份
在广电集团的计算机网络中大多己经有功能数据备份与恢复系统,它是一套基于磁带介质的备份与恢复系统,有2套文件备份的License和1套Oracle数据库备份的License,进行服务器的文件备份和Oracle数据库的实时备份和恢复。
浙江广电集团网络中已经有了以下几个网络安全方面的考虑:
一、病毒防护
网络中使用了诺顿病毒防护系统,该病毒防御系统是基于网络的病毒防护系统,在网络内能够远程的安装网络客户端的病毒防护软件,进行病毒特征库的自动更新,集中控制和管理。但是,网络中的病毒防护系统没有集中控制和管理的控制台,不能实时了解网络中防病毒客户端程序的安装情况、病毒感染和爆发的情况。
二、外网接入安全防护
网络目前大多没有单独的外网接入点,没有自己的外网接入安全防护,使用统一的出口和安全策略。
三、入侵检测系统
在集团总部局域网与其他网络连接处采用的一套入侵检测系统具体部署如图2-1
图2-1 广电集团入侵检测系统示意图
第三节 网络安全弱点分析
浙江广电集团网络系统安全弱点主要包括:
一、硬件弱点: 硬件隐患存在于服务器、终瑞、路由器、交换机和安全设备等设备中,一旦发生硬件的安全问题,将给主机和网络系统的可靠性、可控性、可用性和安全性等造成严重损害。
二、操作系统弱点: 由于操作系统自身的漏洞和缺陷可能构成安全隐患。操作系统是计算机应用程序执行的基本平台,一旦操作系统被渗透,就能够破坏所有安全措施。靠打补丁开发的操作系统不能够从根本上解决安全问题,动态连接给厂商提供开发空间的同时为黑客开启了方便之门。
三、数据库系统弱点: 由于数据库系统本身的漏洞和缺陷可能构成的安全隐患。
四、网络系统弱点: TCP/IP协议本身的开放性导致网络存在安全隐患。如:TCP/IP 数据通信协议集本身就存在着安全缺点,如:大多数底层协议采用广播方式,网上任何设备均可能窃听到情报; 协议规程中缺乏可靠的对通信双方身份认证手段,无法确定信息包地址真伪导致身份“假冒”可能;由于TCP 连接建立时服务器初始序号的可推测性,使得黑客可以由“后门”进入系统漏洞。
五、通用软件系统弱点:如Web服务器等常用应用软件本身可能存在的安全弱点。
六、业务系统弱点: 节目视频业务系统等本身的“Bug”或缺陷可能构成弱点。
七、安全设计的弱点: 安全设计不周全可能构成系统防护的弱点,由于安全漏洞的动态性和安全威胁的增长性要求以及安全需求本身的限制,安全体系设计要求具有良好的可扩展性和动态自适应性。
八、管理弱点: 工具不多,技术水平不高,意识淡薄,人员不到位。
第四节 网络安全风险分析
网络本身所固有的结构复杂、高度开放、边界脆弱和管理困难等特点,增加了广电集团网络系统的安全风险。
由于网络自身的开放性和广电集团网络系统的特殊性使网络系统存在很大的安全风险性,主要有:
一、人为因素:
未经授权访问重要信息
恶意破坏重要数据
数据窃取、数据篡改
利用网络设计和协议漏洞进行网络攻击
假冒、伪造、欺骗、敲诈、勒索
内部人员恶意泄露重要的信息
管理员失职
二、自然因素:
设备的老化
火灾、水灾 (包括供水故障)
爆炸、烟雾、灰尘
通风
供电中断
电磁辐射、静电
以上都可能引起设备的失效、损坏,造成线路拥塞和系统瘫痪等。
第三章 集团网络安全需求与安全目标
第一节 网络安全需求分析
为了确保广电集团网络系统的安全,其安全需求可以从安全管理层面、物理安全层面、系统安全层面、网络安全层面、应用安全层面等方面来分析。
从安全管理要求来分析,要考虑政策、法规、制度、管理权限和级别划分、安全培训等,特别要考虑基层人员计算机水平不高,系统设计和培训等方面要周密考虑,制定切实有效的管理制度和运行维护机制。
从物理安全要求来分析,要根据浙江广电集团实际情况,确定各物理实体的安全级别,建立相应的安全防护机制。
从系统安全需求来分析,需要解决操作系统安全、数据库系统安全、TCP/IP 等协议的安全、系统缺陷、病毒防范等问题。
从网络安全需求来分析,要考虑系统扫描、入侵检测、设备监控和安全审计等,要防范黑客入侵、身份冒充、非法访问。要保证信息在公共传输通道上的机密性,拨号线路的保密性和身份鉴别。
从应用安全和信息安全需求来分析,要解决重要终端用户数据的加密、数据的完整性、数据的访问控制和授权以及数据承载终端设备 (各种计算机、笔记本电脑、无线WAP终端及其它终端设备) 以及其中运行的操作系统的安全可靠。
因此,广电集团网络系统安全要重点做好以下几方面的工作,同时也是本安全方案的设计需要解决的问题:
一、解决内部外部系统间的入侵检测、信息过滤 (防止有害信息的传播)、网络隔离问题;
二、解决内部外部黑客针对网络基础设施、主机系统和应用服务的各种攻击所造成的网络或系统不可用、信息泄密、数据篡改 等所带来的问题;
三、解决重要信息的备份和系统的病毒防范等问题;
四、建立系统安全运行所匹配的管理制度和各种规范条例;
五、建立健全浙江广电集团网络系统安全培训制度及程序等方面的问题;
六、解决浙江广电集团和其它相关单位部门网络信息交流带来的安全问题。
第二节 网络安全目标
计算机网络的安全问题与单台计算机的安全在实际中存在着非常大的差别。网络不是分装在一个机箱内,存在着传输系统的地域分布问题。这些传输通信系统可以是有线的,也可以是无线的。这类传输可以在中途被截获,存在着“中间攻击”的问题。从攻击的手段来看,攻击种类和机制非常多。访问控制和鉴别也比单台计算机困难,网络安全要特别重视防截获,防泄露和信息加密的实施。
目前所采用的网络防护方法也就是在进入计算机操作系统控制中的网络访问和网络协议上实施的。
网络防护的基本服务: 网络访问控制(MAC)、鉴别、数据保密性、数据完整性、行为的完整性、抗抵赖性、可用性等。
网络安全的目的是保护在网络系统中存储、传输和处理的信息的安全,概括为确保信息的完整性、保密性、可用性和不可抵赖性。
信息的保密性指的是在计算机网络系统中存储、传输和处理的信息不被非授权的查看;
信息的完整性指的是在计算机网络系统中存储、传输和处理的信息不被非授权的改变;
信息的可用性和可靠性指的是在计算机网络系统中存储、传输和处理的信息为授权用户提供及时、方便、有效的服务;
信息的不可抵赖性指的是内部人员对信息的操作不可抵赖。
为了更加完整的执行上述网络信息安全的思想,防止来自集团内部局域网上的攻击,又由于浙江广电集团网络连接关系复杂、网络设备多,使用租用的国内的通信线路,存在着传输线搭接窃听或辐射接收窃听等环节。因此要做到以下几个要求:
1) 防止计算机病毒的蔓延
集团网络众多的用户,可能由于内部管理上疏忽,装入未经杀毒处理的软
件或是从因特网上下载了带病毒的文件。还可能来自外部黑客释放病毒、逻辑炸弹的攻击等,这些都对计算机网络系统安全构成严重威胁。病毒广泛地传播,将造成网络软硬件设备的损害以至于整个网络系统瘫痪。
2) 加强网络安全的动态防护
网络黑客攻击手段、计算机病毒等都处于不断的发展和变化中,使用目前的安全保密技术和产品是难以构造一种绝对安全、无缝隙和一劳永逸的网络系统的。因此,安全的网络系统必须具有网络安全漏洞的检测和监控功能。通过安全检测、监控手段,及时发现网络安全漏洞和各种恶意的攻击手段,及时提供修补系统漏洞的建议并阻断来自内外的非法使用和攻击。
3) 保障集团内部业务系统的安全稳定
由于涉及省台与各地方台的视频传输,不可避免的会遇上各种各样的问题,因此,在网络层对业务的安全要保障得力,并且要确认信息传输的安全稳定。
第四章 集团网络安全解决方案设计
第一节 网络监控管理系统
由于浙江广电集团的网络建设已有很多年的时间了,其很多网络设备都自带了监控及管理软件或工具,但是这些工具在问题发生之后很难解决问题。而网络监控管理系统的实时映射、网络瓶颈通知和设备失败通知却可以帮助用户快速隔离问题,并且在员工抱怨之前解决问题。
这里对推荐的美国 CA 公司的网络监控管理系统 (Unicenter Network & System Management)所能够达到的功能简单地说明一下:通过 TCP/IP 协议,不需要专门的培训,用户就可以配置该网络监控管理系统,启动网络监视管理功能后,能够监控的网络设备包括工作站、服务器、主机、网桥、路由器、集线器、打印机等在内的几乎所有网络元件。当用户决定使用该网络监控管理系统软件时,首先可以通过该软件的网络探查功能,能够全面查看用户网络的底层构件,确认整个网络的体系结构,并以一种可描述可管理的模式定位所有的网络设备,并将这些设备存储起来,迅速绘出网络结构图,同时启动设备的监控,而这些过程都是自动生成的,非常简单易用,可操作性强,这对于网络设备非常多、而专业网络管理人员较少的企业来说就显得非常重要。
在这个过程中,首先通过该网络监控管理系统 24X7 的全时设备轮询网络监视功能,迅速识别网络元件的任何问题,当监测到问题时,可以不同的颜色显示出来,并以通过手机、e-mail、声音警报通知管理人员,同时根据各网络元件相互之间的依赖关系,自动关闭与 有问题网络元件之后的所有网络元件的连接,减少冗余数据数量,避免冗余通知。此外,还能对网络元件的潜在问题、网页的正确性、可用性、网络的性能以及系统资源进行有效的监控管理。
当网络监控管理系统识别网络失效时,在向相关人员发送警报及通知时,该软件还可启动一个程序来定位网络失效。因此,当状况被隔离之后,一个特定的应用程序或者脚本程序就会被执行,或许是重启这个服务或许是重启计算机。这个进程是自动的,因此当相关人员收到设备失效的通知时,相应的措施已经采取了,管理人员不用回到办公室,因为当管理人员在收到通知时已经知道问题己经解决了。
在这一系列监控与管理过程中,网络监控管理系统都能自动生成监控及管理日志,并对系统的使用情况与趋势形成报告,以便用户形成较为完善的系统化管理,提升工作效率。
第二节 电子邮件安全解决方案
解决电子邮件安全问题,我们需要从三个方面来考虑如何应对:
1) 对带病毒邮件、垃圾邮件等恶意邮件的过滤和封堵;
2) 对进出邮件系统的所有邮件进行备份,用于监控和备查;
3) 对敏感的邮件内容进行加密传输,防备在传递路径上的恶意窥伺。
对集团来讲,现实的方法是结合现有的成熟技术,组合出一个在经济上和技术上合理的解决方案,同时要保证长期的维保成本。邮件系统的安全解决方案包括如下三个部分:
1、电子邮件安全网关技术方案
通过邮件安全网关的部署,在病毒程序、垃圾邮件等不良信息进入集团邮件系统之前,便对其进行遏制、阻截,从而保证集团电子邮件系统的安全稳定运行,节省邮件系统存储空间,避免机密的泄漏。
在邮件网关硬件系统上整合邮件反病毒引擎,对进入集团邮件系统的电子邮件进行病毒检测,采取邮件隔离、删除以及清除病毒等操作,减少病毒对邮件服务器的攻击。应根据互联网最新病毒发展趋势,定时升级邮件网关病毒库。
2、邮件备份系统技术方案
在集团现有邮件系统的基础上,实现对指定时间内(如最近一年)所有收发邮件的备份,并且管理员根据邮件信息摘要(例如:发件人、收件人、主题、日期、附件名称等)进行检索和查看邮件全部内容。
3、邮件加密系统技术方案
保护重要电子邮件不被泄密,防止内部人员未经许可将重要电子文档以邮件的方式泄密,防止电子邮件被截取而引起的泄密。保证工作效率,在尽量不改变使用者收发邮件操作习惯的基础上,保证电子邮件正常畅通使用。
考虑到文件安全扩展的需求,除电子邮件之外,信息泄密还有多种途径。在保护邮件安全的基础上,要考虑到日后系统的扩展性。
邮件安全管理系统综合动态加解密技术、访问权限控制技术、使用权限控制技术、期限控制技术、身份认证技术、操作日志管理技术、硬件绑定技术等多种技术对电子邮件进行保护。
第三节 远程数据传输的加密
建立基于SSL VPN技术加密访问系统,使得从Internet到内部网络的访问使用SSL VPN数据加密通道,保证数据在传输过程中保密性。
目前能够提供 SSL VPN 加密产品的厂家很多,但是本文认为在SSL VPN技术的先进性、加密传输的速率、以及厂家的技术服务等方面,Juniper的Netscreen SA 1000具有相对的优势,是其它厂家无法比的。
Juniper 网络公司SSL VPN产品家族的Netscreen-SA 1000系列,使企业可以部署经济高效的远程接入、外联网及内联网安全性。用户可从任何标准 Web浏览器接入企业网络和应用。NetScreen-SA 1000系列使用SSL作为安全接入传输机制,SSL是所有标准Web浏览器中使用的安全协议。使用SSL使客户无需部署客户端软件、无需更改内部服务器,也无需进行成本高昂的长期维护。NetScreen-SA 1000产品提供先进的合作伙伴喀户外联网特性,以控制用户或用户组的网络访问,无需更改基础设施、无需部署DMZ 、也无需软件。这项功能还允许公司安全接入企业内联网,使管理员可以根据不同员工、承包商和访问者所需的资源来限制他们的接入权限。
NetScreen-SA 1000系列解决方案的主要特性与优势如下:
一、端到端分层安全性
端点客户端、设备、数据和服务器的分层安全性控制,Juniper网络公司 Endpoint Defense Initiative(端点防御计划),用于提供最高的端点安全性可以根据用户组或角色、网络、设备及会话属性来规定基于用户身份的接入降低总拥有成本。不需要部署客户端软件或更改服务器,几乎不需要长期维护。从单一平台安全地远程接入内联网和外联网安全的外联网接入,无需构建 DMZ、无需加固服务器、无需复制资源、或无需增加部署来添加应用或用户简化
二、可管理性
(一)集中管理选项提供统一管理
(二)用户自助服务功能,可降低技术支持服务窗口的支持成本
(三)细粒度的审计和日志记录
(四)3 种不同的接入方法,允许管理员根据具体目的来设置接入权限
(五)基于角色分配管理任务
三、高可用性
群集对部署选项,可为整个LAN和WAN提供高可用性。
第四节 服务器的安全防护
一、业务服务器的安全防护
(一)防火墙的安装
这里将在Catalyst 4506交换机与服务器群的交换机之间安装一台高性能的防火墙,并根据服务器群中的每台服务器的应用系统的情况,在该防火墙上进行一对一的安全策略配置的工作。
(二)入侵检测系统的安装
这里将在服务器群的交换机上配置一个侦听端口,将流经该交换机所有端口的数据包都复制一份传送到侦听端口上;再把入侵检测系统连接到该侦听端口,接收该端口输出的所有数据包,并对这些数据包进行入侵分析、判断和记录。本文将负责完成入侵检测安装配置工作。
二、涉及到的设备选择
(一)防火墙的选择
防火墙的类型主要有:数据包过滤、监测型、服务器等几大类型。
1)包过滤型
包过滤型防火墙是防火墙的较初级产品,其技术基于网络中的分包传输技术。网络上的数据都是以“包”为单位进行传输的,数据被分割成为一定大小的数据包,每一个数据包中都会包含一些特定信息,如数据的源地址、目标地址、TCP/UDP源端口和目标端口等。防火墙通过读取数据包中的地址信息来判断这些“包”是否来自可信任的安全站点,一旦发现来自危险站点的数据包,防火墙便会将这些数据拒之门外。系统管理员也可以根据实际情况灵活制订判断规则。如图4-1所示:
图4-1包过滤型防火 墙的工作原理
包过滤技术的优点是简单实用,实现成本较低,在应用环境比较简单的情况下,能够以较小的代价在一定程度上保证系统的安全。
但包过滤技术的缺陷也是明显的。包过滤技术是一种完全基于网络层的安全技术只能根据数据包的来源、目标和端口等网络信息进行判断,无法识别基于应用层的恶意侵入,如恶意的Java小程序以及电子邮件中附带的病毒。有经验的黑客很容易伪造IP地址,骗过包过滤型防火墙。
2)型
型防火墙也能够被称为服务器,它的安全性要高过包过滤型产品,并已经开始向应用层发展。服务器位于客户机与服务器之间,完全阻挡了二者间的数据交流。从客户机来看,服务器相当于一台真正的服务器;而从服务器来看,服务器又是一台真正的客户机。当客户机需要使用服务器上的数据时,首先将数据请求发给服务器,服务器再根据这一请求向服务器索取数据,然后再由服务器将数据传输给客户机。由于外部系统与内部服务器之间没有直接的数据通道,外部的恶意侵害也就很难伤害到集团内部网络系统。如图4-2所示
图4-2型防火墙的工作原理
型防火墙的优点是安全性较高,可以针对应用层进行侦测和扫描,对付基于应用层的侵入和病毒都十分有效。它的缺点是对系统的整体性能有较大的影响,而且服务器必须针对客户机可能产生的所有应用类型逐一进行设置,大大增加了系统管理的复杂性。
本文将选用业界性能较好的、可靠性较高的Juniper 的NetScreen 5200防火墙,该防火墙的技术参数如表4-1
表 4-1 NetScreen 5200 防火墙技术参数表
物性/功能 NetScreen-5200
接口数 2个XFE 1OGigE,或8个Mini-GBIC, 或2个Mini-GBIC+24 10/100
最大吞吐量 1OG 防火墙
5G 3DES/AFS VPN
最多会话数 1,000,000
最多VPN 隧道数 30,000
最多策略数 4000,000
最多虚拟系统数 5
最多虚拟LAN 数 4000
最多安全区域数 默认设置为16个,最多增加1000个
最多虚拟路由器数 默认设置为3个,最多增加500个
支持的高可用性模式 主用/备用
支持的路由协议 OSPF, BGP, RIRV1/V2
深层检测 是
集成/重新定向,Web过滤 是/否
(二)入侵检测系统的选择
这里选用国内拥有领先安全技术水平的天融信千兆级入侵检测系统NGIDS-UF。其主要的技术指标如表4-2
表4-2 NGIDS-UF 入侵检测系统技术指标表
型号 NGIDS-UF
类别 千兆IDS
规格 2U 机架式
网络接口 1个10/100Base-TX: 2个千兆光纤
2wh 10/100/1000Base-TX
串口 1个RS-232C
第五节 计算机病毒防护的加强
一、在原有的病毒防护系统增加集中管理控制台
新增一台服务器,在上面安装一套诺顿的病毒防护的集中管理控制台。这里将安装该服务器系统和诺顿的集中管理控制的软件系统。
二、增加网络病毒防火墙
在每个楼层交换机的上联端接入一台网络病毒防火墙,对局域网内的病毒进行区域控制:在二级单位广域网入口处安装一台网络病毒防火墙,保障二级单位的广域网线路不会受到病毒数据包的影响。
涉及到的设备选择:
(一)诺顿的防病毒集中管理控制台
只有选用诺顿的集中管理控制软件才能控制和管理诺顿的网络防病毒系统的客户端软件。
(二)网络病毒防火墙
目前有趋势相关的硬件产品出售,并且该产品还能够与诺顿的网络防病毒客户端软件进行联动。所以本文选择部署趋势的NVW1200网路病毒防火墙。该网络病毒防火墙的主要功能如下:
1.执行免的安全策略
网络病毒墙对非兼容设备进行隔离修正,以确保所有设备在进入网络前都安装有最新的防病毒及关键的操作系统补丁。执行免的安全策略可减少管理负荷,并可同时降低被合作伙伴或VPN用户的非兼容设备感染的风险。
2.漏洞隔离
网络病毒墙根据Trend Micro的漏洞评估功能,隔离网络蠕虫可利用的潜在环节,使管理者有选择地隔离薄弱(未安装不定程序)的网络段或设施,避免病毒的爆发。网络病毒墙提供漏洞评估服务,并将该功能作为一个可选项。
3.灵活的、集中式管理
网络病毒墙包括趋势科技企业安全管控中心、及一个集中式、基于网络的管理控制台,它根据主机安装永久的需要实施安全更新部署。该服务可以自动部署、或点击管理控制台的选项进行手工部署。
4.网络扫描及侦测
网络病毒墙通过扫描网络流量查找蠕虫及漏洞利用,并基于趋势实验室提供的最新病毒码来自动清除感染的网络数据包。另外,网络病毒墙利用趋势科技先进的启发式技术对您的网络实施监控,并提供威胁的早期预警。
5.网络病毒爆发监控
网络病毒墙通过实时监控网络流量或可疑活动来提供早期的威胁预警。并在中心控制台上发出病毒爆发通知,立即提示管理者蠕虫攻击目标、受感染的主机、或具体的受攻击的漏洞。
6.网络病毒爆发防御
网络病毒墙部署了Trend Micro病毒爆发防御服务,通过阻绝任何蠕虫传播组合,包括8地址或地址范围、端口及协议、即时通讯渠道、文件类型扩展名、及文件传递。
7.自动清除损害
网络病毒墙通过隔离感染的网络段、主机、或客户,进行清除及修正,阻止了再次感染。凭借自动、免清除蠕虫(木马)痕迹、及系统文件配置(system.ini)修复功能,Trend Micro的清除损害服务可以防止再次感染,降低清除成本。
第六节 网络攻击及防护演示效果图
图4-3网络攻击及防护演示效果图
针对浙江广电集团的网络结构,当出现如下各类情况时解决方案如图4-3所示:
1、 漏洞扫描-识别攻击行为
2、 上传病毒/木马-修复系统漏洞
3、 启用后台服务监听-防病毒软件
4、 远程控制服务器-防火墙入侵检测
5、 攻击业务系统-防火墙、双机容错
6、 破坏系统数据-备份、灾难恢复
7、 客户端中毒-防病毒软件
第五章 结束语
计算机网络的可靠性和安全性是在不断地变化的,不同的时期或者阶段对网络的可靠性和安全性方面的要求是不一样的。在网络的建设之初,集团网络关心最多的是网络的连通性,只需要网络能够传送数据即可,对于网络数据的延迟lunwen .1 kejian .com 一以及网络短时间的中断都没有过多的要求:当网络中存在着涉及到集团的关键性应用系统时,就对网络数据的延迟时间、以及网络的中断时间上就有了很高的要求,在一般情况下,为了保障集团应用系统的连续运行,集团网络系统是不允许发生网络中断的。因此,本文在方案的设计中就已经考虑到要符合目前的、以 及将来的网络应用系统的需要,同时本文设计的网络系统的可靠性和安全性可以根据集团网络业务系统的需要进行相关的调整,满足变化之后的网络业务系统的要求。
本方案是一个针对浙江广电集团目前计算机网络现状的网络、及网络安全的解决方案,在随后的分期分批的项目实施过程中,由于集团网络环境、以及网络应用系统的变化,会在细节上根据实际情况进行相应的调整,如:安装设备数量、设备安装具体地点等,只要在总的布局、要求以及标准上保持不变,实施之后就能够达到本方案的设计要求。同时,本方案在设计、以及设备的选型上,己经做了今后扩展的考虑。
本方案并没有解决浙江广电集团计算机网络、以及网络安全方面的所有问题,随着计算机网络、及网络安全的技术不断地发展,以及集团网络应用系统不断地新增,集团业务系统也会对集团的计算机网络系统的结构和网络安全方面提出更高的要求,实现后满足集团实际的需要。
【参考文献】
[1] 张国清.CCNP BSCI详解.北京:电子工业出版社,2006.
[2] 拉斯特.网络安全基础[M].北京:中国邮电出版社,2006.
[3] 常晓波.CISCO网络安全.北京:清华大学出版社,2004.
[4] 王达.网管员必读——网络安全.电子工业出版社. 2007.
[5] 《非常掌上宝系列》编委会.数据备份恢复与系统重装一条龙.北京:科学出版社,2005.
[6] 张公忠.现代网络技术教程北京:电子工业出版社,2004.
[7] 飞科研发中心.电脑防毒防黑急救.北京:电子工业出版社,2002
[8] 黄志晖.计算机网络管理与维护全攻略.西安:西安电子科技大学出版社,2004.
[9] 欧阳江林.计算机网络实训教程,北京:电子工业出版社,2004.
[10] 金纯.IEEE802.11无线局域网北京:电子工业出版社,2004
[11] 施裕琴.网络安全的入侵检测系统及发展研究.集团经济研究2006,(27):25-26.
[12] 董凯虹.网络监控管理系统的功能.计算机世界周刊.2006.(4):50-51
[13] 胡越明.Internet技术及其实现.北京:高等教育出版社,2005.
[14] 陈雪著.Windows XP的完善.上海理工大学出版社,2005.8
[15] 麦肯兰勃.网络安全评估.北京:中国电力出版社,2006.
[16] C Kaufman, R Perlman, M Speciner , Network security: private communication in a public world.
[17] W Stallings , Cryptography And Network Security: Principles and Practice, 2006.
[18] Allan liska ,《The Practice of Network Security : Deployment Strategies for Production Environments》,Prentice Hall PTR,2004.
[19] Gert De Laet,《Network Security Fundamentals》,Cisco Press,2004.
致 谢
在论文完成之际,谨向所有给予我指导、关心、支持和帮助的老师、领导、同学和亲人致以崇高的敬意和深深的感谢!
首先感谢导师顾忠伟老师一直以来对我的学习、工作和生活所给予的无私关心、悉心指导和严格要求。尤其在论文的完成阶段,得到顾老师的耐心指导和严格把关。顾老师严谨的治学态度、求实的工作作风、平易近人的处世风范都深深影响了我。在此谨向顾老师表示最衷心的感谢和最诚挚的敬意!
感谢浙江广电集团科技管理部计算机科的同事,他们结合自己多年的计算机系统与网络安全的相关经验,给我提出了很多宝贵的建lunwen .1 kejian .com 一和对我实习中的帮助。在论文完成之际,在此特向各位同事表示深深的谢意!
在论文的材料收集期间,得到了负责集团网络工作的蒋老师的大力支持,他根据自己多年实际工作的经验,为我的论文写作、改进工作提出了许多有价值的宝贵建议,在此对蒋老师表示感谢!
感谢经济管理学院的各位老师、同学在学习工作等诸方面的支持和帮助,这一切使我在学习期间深受教益。
最后,深深地感谢我的家人旦他们在生活和学业上给了我无私的关怀,为了支持我的学业,付出了莫大牺牲。惟乞此文能够回报这些无比的关心和厚爱!
在研究网络数据包捕获、 TCP/IP原理的基础上,采用面向对象的方法进行了需求分析与功能设计。该系统在VisualC++6.0环境下进行开发,综合采用了Socket-Raw、注册表编程和IP助手API等VC编程技术,在系统需求分析的基础上,对主要功能的实现方案和技术细节进行了详细分析与设计,并通过测试,最终实现了数据包捕获、流量监视与统计主要功能,达到了预定要求,为网络管理员了解网络运行状态提供了参考。
关键词:网络管理;数据采集;流量统计;Winsock2
1 引言
1.1 课题背景
随着构建网络基础技术和网络应用的迅速发展以及用户对网络性能要求的提高,使得网络管理成为迫切需要解决的问题,有效的网络管理能够保证网络的稳定运行和持续发展,更重要的是,随着网络规模的扩大和黑客技术的发展,入侵和攻击的案例日益增多,对稳定的网络服务、信息安全、互联网秩序都提出了严峻的挑战,网络安全管理在整个网络管理系统里扮演起更为重要的角色。
1.2 网络安全管理的现状与需求
目前,在网络应用不断深入和技术频繁升级的同时,非法访问、恶意攻击等安全威胁也在不断推陈出新,愈演愈烈。防火墙、VPN、IDS、防病毒、身份认证、数据加密、安全审计等安全防护和管理系统在网络中得到了广泛应用。从网络安全专业管理人员的角度来说,最直接的需求就是根据分类在统一的界面中监视网络中各种运行性能状态,获取相关数据信息、日志信息和报警信息等,并进行分类汇总、分析和审计;同时完成攻击事件报警、响应等功能。因此,用户的网络管理需要不断健全整体网络安全管理解决方案,从统一安全管理平台总体调控配置到多层面、分布式的安全系统,实现对各种网络安全资源的集中监控、策略管理、审计及多种安全功能模块之间的互动,从而有效简化网络安全管理工作,提升网络的安全水平和可用性、可控制性、可管理性。
1.3 网络流量监控的引入
网络安全管理体系中,流量监控和统计分析是整个管理的基础。
流量检测主要目的是通过对网络数据进行实时连续的采集监测网络流量,对获得的流量数据进行统计计算,从而得到网络主要成分的性能指标。网络管理员根据流量数据就可以对网络主要成分进行性能分析管理,发现性能变化趋势,并分析出影响网络性能的因素及问题所在。此外,在网络流量异常的情况下,通过扩展的流量检测报警系统还可以向管理人员报警,及时发现故障加以处理。在网络流量检测的基础上,管理员还可对感兴趣的网络管理对象设置审查值范围及配置网络性能对象,监控实时轮询网络获取定义对象的当前值,若超出审查值的正常预定值则报警,协助管理员发现网络瓶颈,这样就能实现一定程度上的故障管理。而网络流量检测本身也涉及到安全管理方面的内容。
由此可见,对于一个有效的网络安全管理系统来说,功能的实现都或多或少的依赖于流量信息的获取。因此网络流量信息的采集可以说是网络安全管理系统得以实现的核心基石。它的应用可以在一定程度上检测到入侵攻击,可以有效地帮助管理人员进行网络性能管理,并利用报警机制协助网管人员采取对应的安全策略与防护措施,从而减少入侵攻击所造成的损失。
1.4 本文的目的与任务
该网络流量监控及分析工具主要用途是通过实时连续地采集网络数据并对其进行统计,得到主要成分性能指标,结合网络流量的理论,通过统计出的性能指数观察网络状态,分析出网络变化趋势,找出影响网络性能的因素。
本设计题目是教师自拟项目,前期任务主要是设计并完成系统的初步框架,实现网络数据的捕获,并解决相应问题,后期主要是通过一些API函数完成对各类数据信息的统计。
本系统实现以下功能:
(1)采用Winsock编写原始套接字Socket-Raw对数据包进行采集捕获,并可实现分类及自定义范围进行捕获;
(2)对捕获的数据包进行一定的解析;
(3)访问操作系统提供的网络性能参数接口,得到网卡总流量、输入流量和输出流量;
(4)系统提供了多种方式显示结果,如曲线图、列表等;
(5)使用IP帮助API获取网络统计信息;
随着计算机网络的广泛应用,网络安全问题日渐突出。网络具有跨国界、无主管、不设防、开放、自由、缺少法律约束力等特性,网络的这些特性显示了它的许多优点,但同时也使它容易受到来自各方面的入侵和攻击。如果不很好地解决这个问题,必将阻碍计算机网络化发展的进程。
1 网络安全概述
网络安全从本质上来讲就是网络上的信息安全,指网络系统中流动和保存的数据,不受到偶然的或者恶意的破坏、泄露、更改,系统能连续正常的工作,网络服务不中断。从广义上来说,凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全所要研究的领域。
2 网络安全的威胁因素
归纳起来,网络安全的威胁主要有:
(1)网络协议的局限性。 Internet的基石是TCP/IP协议簇,该协议簇在实现上力求效率,而没有考虑安全因素,因为那样无疑增大代码量,从而降低了TCP/IP的运行效率,所以说TCP/IP本身在设计上就是不安全的。并且,由于TCP/IP协议是公布于众的,若人们对TCP/IP协议很熟悉,就可以利用它的安全缺陷来实施网络攻击。
(2) 人为的无意失误。如操作员安全配置不当造成的安全漏洞,用户口令选择不慎,用户将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁。虽然网络中设置了不少保护屏障,但由于人们的安全意识淡薄,从而使保护措施形同虚设。例如防火墙,它是一种网络安全保障手段,是网络通信时执行的一种访问控制尺度,其主要目的就是通过控制入、出一个网络的权限,并迫使所有的连接都经过这样的检查,防止一个需要保护的网络遭受外界因素的干扰和破坏。如有人为了避开防火墙服务器的额外认证,进行直接的PPP连接,就会使防火墙失去保护作用。
(3)计算机病毒的危害。 计算机病毒是一个能够通过修改程序,把自身复制进去进而去传染其它程序的程序。它并不独立存在,而是寄生在其他程序之中,它具有能自我“复制”并能“传播”这一基本特征,并在计算机网络内部反复地自我繁殖和扩散,危及网络系统正常工作,最终使计算机及网络系统发生故障和瘫痪。目前全世界的计算机活体病毒达14万多种,其传播途径不仅通过软盘、硬盘传播,还可以通过网络的电子邮件和下载软件传播。随着计算机应用的发展,人们深刻地认识到病毒对计算机信息系统造成严重的破坏。
(4) 黑客的威胁和攻击。 这是计算机网络所面临的最大威胁,敌手的攻击和计算机犯罪就属于这一类。此类攻击又可以分为2种:一种是网络攻击,以各种方式有选择地破坏对方信息的有效性和完整性;另一类是网络侦察,他是在不影响网络正常工作的情况下,进行截获、窃取、破译以获得对方重要的机密信息。这2种攻击均可对计算机网络造成极大的危害,并导致机密数据的泄露。网络软件不可能是百分之百的无缺陷和无漏洞的,这些漏洞和缺陷恰恰是黑客进行攻击的首选目标。黑客入侵的例子枚不胜举,从某种意义上讲,黑客对信息安全的危害甚至比一般的电脑病毒更为严重。
3计算机网络安全防范措施
针对网络系统现实情况,处理好网络的安全问题是当务之急。为了保证网络安全采用如下方法:
(1)配置防火墙。防火墙将内部网和公开网分开,实质上是一种隔离技术。它是网络安全的屏障,是保护网络安全最主要的手段之一。免费论文。利用防火墙,在网络通讯时执行一种访问控制尺度,允许防火墙同意访问的人与数据进人自己的内部网络,同时将不允许的用户与数据拒之门外,最大限度地阻止网络中的黑客随意访问自己的网络。防火墙是一种行之有效且应用广泛的网络安全机制,防止Internet上的不安全因素蔓延到局域网内部,所以,防火墙是网络安全的重要一环。免费论文。
(2)安装防病毒网关软件。防病毒网关放置在内部网络和互联网连接处。当在内部网络发现病毒时,可能已经感染了很多计算机,防病毒网关可以将大部分病毒隔离在外部,它同时具有反垃圾邮件和反间谍软件的能力。当出现新的病毒时,管理员只要将防病毒网关升级就可以抵御新病毒的攻击。
(3)应用入侵检测系统。入侵检测技术是近20年来出现的一种主动保护自己免受黑客攻击的新型网络安全技术。它能够检测那些来自网络的攻击,检测到超过授权的非法访问。一个网络入侵检测系统不需要改变服务器等主机的配置。由于它不会在业务系统的主机安装额外的软件,从而不会影响这些机器的CPU、I/O与磁盘等资源的使用,不会影响业务的性能。它从系统运行过程中产生的或系统所处理的各种数据中查找出威胁系统安全的因素,并对威胁做出相应的处理。免费论文。入侵检测被认为是防火墙之后的第二道安全闸门,它在不影响网络性能的情况下对网络进行监测,从而提供对内部攻击、外部攻击和误操作的实时保护。在网络中同时采用基于网络和基于主机的入侵检测系统,则会构架成一套完整立体的主动防御体系。
(4)利用网络监听维护子网系统安全。对于网络外部的入侵可以通过安装防火墙来解决,但是对于网络内部的侵袭则无能为力。在这种情况下,可以采用对各个子网做一有一定功能的审计文件,为管理人员分析自己的网络运作状态提供依据。设计一个子网专用的监听程序。该软件的主要功能为长期监听子网络内计算机间相互联系的情况,为系统中各个服务器的审计文件提供备份。
(5)采用漏洞扫描技术。漏洞扫描是针对特定信息网络中存在的漏洞而进行的。信息网络中无论是主机还是网络设备都可能存在安全隐患,有些是系统设计时考虑不周而留下的,有些是系统建设时出现的。这些漏洞很容易被攻击,从而危及信息网络的安全。漏洞扫描是自动检测远端或本地主机安全的技术,它查询TCP/IP各种服务的端口,并记录目标主机的响应,收集关于某些特定项目的有用信息。它的具体实现是安全扫描程序,扫描程序可以在很短的时间内查出现存的安全脆弱点。扫描程序开发者利用可得到的攻击方法,把它们集成到整个扫描中,扫描后以统计的格式输出,便于参考和分析。
(6)应用数据加密技术。数据加密技术就是对信息进行重新编码,从而隐藏信息内容,使非法用户无法获取信息的真实内容的一种技术手段。数据加密技术是为提高信息系统及数据的安全性和保密性,防止秘密数据被外部破析所采用的主要手段之一。
(7)常做数据备份。由于数据备份所占有的重要地位,它已经成为计算机领域里相对独立的分支机构。时至今日,各种操作系统都附带有功能较强的备份程序,但同时也还存在这样或那样的缺陷;各类数据库管理系统也都有一定的数据复制的机理和功能,但对整个系统的数据备份来说仍有不够完备之处。所以,若想根本解决整个系统数据的可靠备份问题,选择专门的备份软、硬件,建立专用的数据备份系统是不可缺少的。
结语
随着网络的迅速发展,网络技术的日渐更新,网络时代的计算机信息安全越来越重要,网络安全是一个系统的工程,需要仔细考虑系统的安全需求,并将各种安全技术结合在一起,才能生成一个高效、通用、安全的网络系统。
f参考 文 献 ]
[1卢开澄:《计算机密码学一计算机网络中的数据预安全》(清华大学出版社1998).
[2余建斌:《黑客的攻击手段及用户对策》(北京人民邮电出版社1998).
[3〕蔡立军:《计算机网络安全技术》(中国水利水电出版社2002).
2、计算机科学与技术的应用现状与未来趋势
3、计算机信息处理技术在大数据时代背景下的渗透
4、计算机基础课程应用教学思考和感悟
5、中职中药专业计算机应用基础教学改革实践
6、浅谈虚拟现实技术在中职计算机基础教学中应用的必要性
7、计算机图像处理技术在UI设计中的应用
8、计算机生成兵力行为建模发展现状
9、智慧档案馆计算机网络系统方案设计
10、浅谈如何提高计算机网络的安全稳定性
11、计算机应用技术与信息管理的整合探讨
12、计算机科学技术小组合作学习研究
13、计算机科学与技术有效教学策略研究 >>>>>计算机网络和系统病毒及其防范措施毕业论文
14、互联网+背景下高校计算机教学改革的认识
15、艺术类应用型本科高校"计算机基础"课程教学改革研究
16、计算机技术在石油工业中应用的实践与认识
17、计算机技术在电力系统自动化中的应用研究
18、微课在中职计算机基础教学中的应用探析
19、课程思政在计算机基础课程中的探索
20、计算机服务器虚拟化关键技术探析
21、计算机网络工程安全存在问题及其对策研究
22、人工智能在计算机网络技术中的运用
23、慕课在中职计算机应用基础教学中的运用
24、浅析如何提高高校计算机课程教学效率
25、项目教学在计算机基础实训课程中的应用分析
26、高职计算机网络教学中项目式教学的应用
27、计算机信息安全技术在校园网络的实践思考
28、大数据背景下的计算机网络安全现状及优化策略
为了突显网络工程专业特色,加大与其它计算机相关专业的区分度,网络工程专业在保持原有网络工程专业特色的基础上,重点突出物联网和网络安全管理两个专业方向,进一步明确定位学校网络工程专业的人才培养目标。网络工程专业是一门实践性非常强的专业。因此,要实现培养目标,除了需要调整改革现有的专业课程体系外,还必须建立相应的实践教学体系和配套的实践教学环境。为此,网络工程专业以中央支持地方高校发展专项资金的实验室建设为契机,在网络工程管理和网络协议分析两个现有实验室的基础上,新建物联网、信息安全、网络攻防、网络测试等专业实验室。这些实验室建成后,网络工程专业实验室支撑的实践教学内容将基本上涵盖物联网、网络安全管理、网络工程设计三大方向的典型实验、课程设计,乃至实习实训、毕业设计等实践环节。届时,网络工程专业将具备实验设施齐全、内容涵盖面广的专业实验环境。这为构建特色鲜明、层次合理的实践教学体系提供良好的实践条件支持。
(二)体系结构
网络工程专业在保持网络工程设计特色的基础上,重点突出物联网和网络安全管理方向。围绕这三大专业方向,以现有的网络工程基础专业实验室和正在建设的物联网和网络安全方向专业实验室为依托,构建出专业特色鲜明的多层次实践教学体系,网络工程专业实践教学体系学科与专业竞赛、自主创新研究等多种形式,并分布在专业基础实践、专业核心实践、专业方向实践、专业综合实践四个教学层次上。从教学层次的角度看,网络工程专业的实践教学环节包括下列内容。专业基础实践主要指电子技术基础、计算技术基础、软件系统基础三方面的实践教学,主要形式是课程实验、课程设计和实习。专业核心实践主要指网络工程专业核心课程的实践教学,主要形式是课程实验和课程设计。专业方向实践主要指物联网、网络安全管理、网络工程设计三大专业方向的实践教学,主要形式是课程实验和课程设计。专业综合实践主要指学生根据自己选择的专业方向而开展的专业综合实践教学,主要形式包括学科与专业竞赛、自主创新研究、实训与实习、毕业设计(论文)等。
二、实践教学内容
以上述实践教学体系为依据,从四个专业实践层次分别阐述网络工程专业的实践教学内容。
(一)专业基础实践
网络工程专业基础实践环节可分为电子技术基础、计算技术基础、软件系统基础三方面的实践教学内容。电子技术基础实践教学内容包括模拟电路实验、数字电路实验、计算机组成原理实验、硬件工艺实习。模拟电路实验是让学生了解放大电路的原理,并能理解相应的实验现象。数字电路实验是加强学生对数字逻辑的理解能力和数字电路的设计能力。计算机组成原理实验是让学生理解计算机硬件结构的实现原理和方法。硬件工艺实习是让学生综合运用数字电路和模拟电路的相关理论知识,使用电路设计软件设计并利用实际电路元器件实现一个具有实际生产意义的电子电路系统。计算技术基础实践教学内容包括程序设计实验、数据结构实验、算法分析与设计实验、程序设计应用课程设计等。程序设计实验是让学生能够运用所学的程序设计语言编写并调试程序,培养学生的程序设计能力和程序调试能力。数据结构实验是让学生运用理论原理知识编程实现线性表、队列、堆栈、二叉树、图等基本数据结构及其访问操作方法,以及常用的排序和查找算法,进而能够解决相关的实际问题。算法分析与设计实验是让学生掌握分治法、动态规划法、贪心法、回溯法、分支界定法等常用经典算法,从而更好地解决实际问题。程序设计应用课程设计是综合运用程序设计语言、数据结构、算法分析与设计,设计并实现一个具有实际生活意义的程序系统。软件系统基础实践教学内容包括操作系统实验、数据库原理实验、软件工程实验、软件系统开发课程设计。操作系统实验是让学生系统地掌握处理机管理、进程管理、存储管理、文件管理和设备管理五大功能的工作原理与实现方法,进而能够模拟实现操作系统部分功能。数据库原理实验是让学生熟练掌握SQL语言的数据定义、数据操纵、完整性控制等功能,基本掌握数据库的设计方法和数据库应用系统的开发方法。软件工程实验是加深学生对软件开发方法的理解,掌握统一建模语言UML和可视化建模工具RationalRose的基本用法。软件系统开发课程设计是让学生在掌握程序设计技术的基础上,综合运用操作系统、数据库原理、软件工程的理论知识与开发技术,设计并实现一个具有实际应用价值的软件系统。
(二)专业核心实践
网络工程专业核心实践环节主要包括计算机网络、网络编程、无线网络、Linux编程等专业核心课程的实践教学内容。计算机网络实验是让学生学习利用Sniffer和Wireshark等常用网络嗅探工具验证TCP/IP协议报文格式和协议交互过程,从而加强学生对网络协议及其工作原理的理解,加深对计算机网络体系结构的认识。网络编程实验是以套接字编程为基础编写TCP/UDP协议通信程序以及数据包捕获程序,编写SMTP/POP3邮件客户端、FTP客户端、Web网站程序等经典网络应用程序。无线网络实验是让学生掌握各种无线网络设备的安装和配置方法,学会无线局域网的规划设计、安装配置与故障排除。Linux编程是让学生掌握LINUX环境下C语言应用程序开发的基本过程,熟悉基本库函数的使用,具有初步的应用程序设计能力。
(三)专业方向实践
网络工程专业方向实践环节可分为物联网、网络安全管理、网络工程设计三个专业方向的实践教学内容。物联网方向实践教学内容包括射频识别实验、无线传感网实验、物联网开发实验、以及物联网方向课程设计。射频识别实验是让学生掌握射频识别技术的读写卡、多卡读、编码调制、防碰撞算法、通信协议、保密通信等基本原理,能够编写相关应用案例程序。无线传感网实验是让学生能够对温度、湿度、光照、压力、红外等典型传感器节点进行数据采集,并利用Zigbee、蓝牙、WIFI等通信模块,开发无线传感器网络应用程序。物联网开发实验是让学生在掌握嵌入式编程的基础上,结合射频识别和无线传感技术,开发物联网应用中的核心功能模块或简单应用程序。物联网方向课程设计是综合运用物联网方向课程的理论知识与开发技术,设计并实现一个具有一定实用价值的物联网应用系统。网络安全管理方向实践教学内容包括网络安全实验、网络管理实验、网络攻防实验、以及网络安全管理方向课程设计。
网络安全实验是让学生掌握网络嗅探器和端口扫描工具的工作原理和实现方法,理解包过滤、网络地址转换等网络安全策略,掌握防火墙和入侵检测系统的安装、配置和使用方法。网络管理实验是让学生理解SNMP网络管理协议的原理和工作过程,掌握SNMP程序的设计与开发方法。网络攻防实验是让学生熟悉网络探测、缓冲区溢出、网络欺骗、拒绝服务、SQL注入等主流攻击技术的实现方法,从而预防和阻止网络攻击。网络安全管理方向课程设计是综合运用网络安全管理方向课程的理论知识与开发技术,设计并实现一个具有某种安全管理功能的实用网络软件或系统。网络工程设计方向实践教学内容包括网络互联技术实验、网络规划与设计实验、网络故障诊断与排除实验、以及网络工程设计方向课程设计。网络互联技术实验是让学生学会网线制作、VLAN配置、交换机配置、静态路由配置、动态路由配置、ACL配置、NAT配置等,为实际网络部署提供基础。网络故障诊断与测试实验是让学生掌握网络故障诊断与测试工具的使用方法,能够对物理层、数据链路层、网络层、以太网、广域网、TCP/IP、服务器等的故障进行诊断与排除。网络规划与设计实验是让学生学会网络规划工具、需求分析、技术选择、网络拓扑设计、网络编址与命名、路由设计、网络性能保障、安全管理设计等各环节技能。网络工程设计方向课程设计是综合运用网络工程设计方向课程的理论知识与开发技术,针对某个实际应用场景,规划并设计一个具有实用价值的网络工程方案。
(四)专业综合实践
专业综合实践主要指学生根据自己选择的专业方向而开展的专业综合实践教学,主要形式包括学科与专业竞赛、自主创新研究、实训与实习、毕业设计(论文)等。学科与专业竞赛是鼓励学生在老师的指导下,利用课余时间和假期,参与学校、企业、省、教育部、乃至全球等各种级别的大学生学科或专业竞赛,以扩大学生的知识面,培养学生理论联系实际和动手操作的能力。目前适合网络工程专业学生参加的竞赛主要有全国大学生数据建模竞赛、全国大学生电子设计竞赛、ACM大学生程序设计竞赛、“挑战杯”大学生系列科技作品竞赛、全国大学生信息安全竞赛。自主创新研究可分为课内自主研究学习和课外科技创新活动。课内自主研究学习是在部分专业课程内,安排学生开展研究性学习与创新环节,激发学生主动学习的积极性,培养学生的自学能力和自主学习研究能力。课外科技创新活动是学生根据自身兴趣和专业特长组成小组,自主选择研究课题,确定研究目标、技术路线和研究计划,利用课余时间和寒暑假在老师的指导下自主开展科技创新活动,以提高学生发现问题、分析问题和解决问题的能力,培养学生的创新意识和创业精神。实训和实习是让学生熟悉或掌握网络相关行业或领域中可能遇到的常用技能,以缩短第一任职岗前培训的时间。该类实践教学内容包括见习环节、实训环节、实习环节等。见习环节是参观一个网络行业相关的企事业单位或部门,见识各类产品和系统的研发过程或应用情况,以增强学生对专业的兴趣和自豪感。实训环节是在校内实验与实训基地,通过与企事业单位的合作,提炼网络设备产品与网络应用系统的典型功能模块,进而设计出一组项目供学生实习训练。
实习环节是与校外企业或培训基地合作,让学生参与到实际的项目研发与实施工作中,从而使学生接触社会,体验未来就业单位的工作环境和实际的项目开发过程。毕业设计(论文)是大学生四年专业知识学习后的一次综合性专业技术实践锻炼机会。毕业设计的周期为14周,主要包括选题、开题、课题研究与指导、撰写毕业论文、毕业论文答辩等环节。毕业设计课题可以由指导老师根据自己的项目课题、研究方向或兴趣好确定,也可以根据学生就业单位的实际工作需要确定。
随着网络技术的发展和信息化程度的日益提高,人们的社会生活对信息基础设施和信息资源的依赖程度越来越高。信息网络给人类带来方便的同时,其所带来的网络安全隐患问题日益严重。而网络安全人才在解决安全隐患和威胁方面的作用将越来越突出。
网络安全人才是指受过计算机网络技术、信息安全教育或培训,懂得计算机技术或是网络安全方面的知识并且能够解决实际问题的专门人才。网络安全人才在维护网络安全、保障网络运行中起着基础和决定性的作用。但我国网络安全人才培养却严重不足,人才供需矛盾突出。根据教育部统计资料表明,我国目前大学本科以上学历的网络安全人才只有2100人左右,而国内对网络安全专业人才的需要量高达10余万以上,每年全国能够培养的信息安全专业学历人才和各种安全认证人员大约不到5千人,供需缺口特别大。据统计,到2008年,全球网络安全行业的就业人数将由目前的130万上升到210万。目前,我国网络安全人员从人数和质量上都远不能满足市场的紧迫需求,加快网络安全人才的培养,已经成为影响信息化社会发展的速度和国家安全实现的关键性因素。
一、我国高校培养网络安全人才的现状
1.高校网络安全人才培养处于探索阶段。网络安全人才的培养是随着网络的快速普及而展开的。2000年,我国高校开始设置信息安全本科专业,标志着我国将网络安全人才的培养正式纳入高等教育体系中。据不完全统计,截止到目前,我国已有近50所高校开设了信息安全本科专业,部分高校已设立了信息安全方面的硕士点和博士点,初步形成了本科――硕士――博士的培养层次。
2.高校网络安全人才的培养尚未形成科学的模式。由于高校培养网络安全人才正处于起步和探索阶段,因此各个高校采取的方式和方法也不尽相同,体现出不同的办学思路。例如有的学校把信息安全专业办在安全工程系,以安全为教学内容的重点;有的学校把信息安全专业办在计算机系,以计算机和网络知识为重点;有的学校把信息安全专业办在数学系,以数学、物理等基础知识为其侧重点;有的学校把信息安全专业办在通信系,以密码学作为教学的重点;还有的学校将信息安全专业设置在管理学系,以电子商务为其教学重点和方向。
不同的办学思路,一方面是各个高校依照其自身的学科优势和办学格局,对信息安全学科初期发展进行的有益探索和尝试,符合高等教育发展和高校自身建设的规律;但另一方面也说明我国整个高等教育体系在信息安全学科方面缺乏统一的规划和指导,还没有形成科学合理的学科教育模式。
二、我国高校网络安全人才培养模式存在的问题
1.学科体系不成熟。我国部分高校已设置了信息安全专业,初步形成了从本科到博士的培养层次。但是信息安全是一门综合性的交叉学科,涉及数学、通信、计算机、微电子、网络工程、密码学、法律等诸多学科,我国高校在网络安全人才的培养过程中,还无法准确把握各学科之间的比重关系,表现在各高校在该专业的课程设置上比较盲目,随意性较大。目前的培养体系中,还存在重数量轻质量、重文凭轻素质的现象,培养的人才普遍是从理论到理论,动手实践能力不强,不能解决现实的网络安全问题。
2.培养目标、培养计划和相应的课程体系还不完善。现有培养模式中,信息安全学科建设的指导思想、人才培养的目标和方向都是各个高校根据其具体情况制定的,缺乏系统的学科指导体系和规划。各高校都处于一种“摸着石头过河”的状况,直接导致了培养的人才水平参差不齐、知识结构不合理,不能胜任企业和其他用人单位的工作需要。
3.精通网络安全理论和技术的尖端人才以及专门从事网络安全研究的科研人员缺乏。网络从其产生到现在也不过短短的几十年,网络安全的问题更是最近几年才引起人们的普遍关注。我国进行网络安全方面的研究起步较晚,网络安全人才不足,且多是“半路出家”(即由网络管理人员通过有关网络安全知识的自学或短期培训后从事这项工作的),缺乏大量精通尖端网络安全技术的专门人才。网络安全人才分布不均、人才队伍不稳定。这种状况使我国目前对网络安全方面的研究远远落后于网络技术的发展。
4.网络安全教育的普及率较低,一些公民缺乏网络安全意识。由于网络安全问题一直没有得到应有的重视,这就导致普通公民对此问题持无所谓的态度,即使是经常接触网络的人也没有形成网络安全的观念和常识,安全隐患较多。
5.缺乏网络安全教育所必需的实验设备和条件。开设信息安全专业的部分高校缺乏基本的基础课程实验室,教学实验和模拟设备。许多高校无法开展课程体系中所要求的实验,学生的学习只能是从理论到理论,极大的削弱了教学效果。
6.偏重理论学习,对实践环节重视不够。信息安全学科不仅具有很强的理论性,同时也具有非常强的实践性,许多安全技术与手段需要在实践过程中去认识、去体会。当前设有信息安全专业的高校,能够为学生提供实践的机会很少。许多高校无法为学生提供实践锻炼的机会,更不用说提供处理网络安全问题的模拟实践。这样培养出来的人才其解决实际问题的能力可想而知。
三、美国高校网络安全人才培养的模式
美国高校的网络安全人才培养模式主要有两种:“核心课程+课程模块”模式和“知识传授+科学创新+技术能力”模式。“核心课程+课程模块”模式是美国大学网络安全专业教学中采用的一种基本模式,它类似于我国高校中采用的“基础课+专业方向选修课”的模式。也就是说,学生在修完规定的专业基础课后,可以根据其爱好和特长,选择自己感兴趣的某个方向进行研究。“知识传授+科学创新+技术能力”模式承担着基础知识教育、专业技能培养和创新能力培养的重任,对网络安全人才的培养提出了更高的要求。
美国不仅在本科阶段培养网络安全人才形成了自己的特点,在硕士和博士阶段更加注重对某一领域的深入研究。美国的研究生教育通过补充课程论文和考试或者通过课程论文和硕士论文项目使研究生们在信息安全学科的某一个特定领域深入下去。硕士论文通常是开发一种理论到某一个或者一些特定场合的应用;而博士阶段更注重理论分析,对理论进行扩展,改进或者提出新的理论。
美国的网络安全人才培养模式的优势在于注重学生基础知识的获取和创新能力的培养。基础知识和专业理论教育是学生必须掌握的内容,培养出来的学生具有较广的知识面和知识体系,可以满足企业等用人单位的不同需求。通过大学及研究生阶段的学习,学生不但可以很快熟悉并巩固书本知识,并且可以在实践的过程中,不断研究发现新问题并予以解决,培养了学生的创新能力。
笔者认为,创新能力的培养必须以基础知识和专业技能为根基,是建立在扎实的基础知识和熟练的专业技能基础之上的一个更高层次的目标和要求,因此,与“核心课程+课程模块”模式相比,依据“知识传授+科学创新+技术能力”模式培养出来的人才不仅具有较强的专业知识和处理实际问题的能力,而且具有较强的创新能力。
四、完善我国高校安全人才培养模式的具体措施
我国应在借鉴美国高校网络安全人才培养模式优点的同时,探索适合我国国情的网络安全人才模式。笔者认为,可以采取“核心课程+课程模块+教学实践”这种理论和实践相结合的培养模式。在核心课程设置中,让学生掌握计算机、数学、通信、计算机、微电子、网络工程、密码学等基础知识;在课程模块设计中,让学生探讨研究其感兴趣的网络安全领域和内容;在教学实践环节,让学生总结出大量目前存在的网络安全问题,并尝试着让其进行研究解决,以此锻炼学生分析问题、解决问题的能力,使学生能将所学理论知识与实际应用结合起来。
具体来说,高校应从以下几方面入手,培养网络安全人才,使其具备较合理的知识结构:
1.研究信息安全专业特点,建立科学合理的学科知识体系。信息安全专业是一个交叉的新兴学科,需要许多学科的知识作为铺垫。高校网络安全人才培养的目标应是造就一批具有较高素质的网络安全管理和技术人才。我国高校应通过统一制定教学大纲和统编教材,使学生具备计算机、数学、密码学等健全合理的知识结构。合理采用美国高校对网络安全人才培养的先进理念和模式,通过严格的培养使信息安全专业毕业的学生具备以下素质:宽厚扎实的计算机科学和软件工程知识;娴熟的计算机科学技术综合应用能力;将信息系统及其安全领域的知识同某一应用领域业务相结合的能力;独立完成网络安全相关领域问题的能力。
2.开设法律课程,使网络安全人才具备相应的法律知识。虽然我国还没有专门的网络安全法,但在一些法律法规以及规章制度中都不同程度的涉及到了网络安全的内容。例如《刑法》、《计算机软件保护条例》、《中华人民共和国计算机信息系统安全保护条例》等都是有关网络安全的法律法规。作为网络安全人才必须了解上述法律、法规的相关规定。
3.将网络安全理论教育和实践相结合。高校应该将“网络安全设备操作指南”、“网络安全注意事项”等内容列入日常的教学活动中,这是培养网络安全人才,保证各项安全策略、制度、规程和操作在日常工作中得到贯彻落实的重要环节。还可以定期进行网络安全演练,如果条件成熟,甚至可以挑选一些真正的病毒加以分析、研究。这不仅是检查网络安全保障体系运作情况的重要手段,而且可以增强学生应付突发事件的能力。
4.网络安全人才的培养是一种持续教育,因此应加强和政府、公司的交流与合作,充分调动各方面积极因素,共同培养高素质的网络安全人才。美国高校的网络安全教育特别重视合作与交流,例如美国普渡大学(Purdue University),其COAST(Computer Operations Audit and Security Technology)项目是该校计算机科学系从事计算机安全研究的多项目、多投资的实验室,它促使政府机构、大公司的研究人员和工程师紧密合作。如今COAST已经是世界上最大的专职的、学术的计算机安全研究群体之一,培养了许多优秀的信息安全专业人才。我国高校应借鉴其有益的经验,加强师资队伍的建设,改善办学条件,对信息安全方面的研究给予经费支持和倾斜,改变教学条件,更新试验设备和仪器。同时,加强国内与国际的交流,搭建学校与企业的互动平台,和一些具有综合实力的大企业、公司合作,让学生进行有机的、双向的实践活动。
《国家信息安全报告》中指出:“从事信息技术的人才匮乏是当今世界的一大紧急警报。就信息安全的人才而言,其匮乏的程度更比一般的IT技术有过之而无不及。”《2006――2020年国家信息化发展战略》更是为我国网络安全人才的培养提出了宏伟目标:“建设国家信息安全保障体系,加快信息安全人才培养,增强国民信息安全意识。提高国民信息技术应用能力。提高国民受教育水平和信息能力。培养信息化人才。构建以学校教育为基础,在职培训为重点,基础教育与职业教育相互结合,公益培训与商业培训相互补充的信息化人才培养体系。”我国高校应按照《发展战略》的指引和要求,积极探索和建立网络安全人才培养的模式,为网络安全人才的培养提供更为广阔的空间和平台,构建更加坚固的网络安全保障体系,只有如此,才能营造出和谐、安全的网络空间。
参考文献:
[1]郑志彬吴昊辛阳:建立产学研结合的信息安全人才培养道路[J].北京电子科技学院学报,2006(3)
[2]刘宝旭:浅谈信息安全学科建设与人才培养[J].北京电子科技学院学报,2006(3)
人们在构建家庭网络的过程中,总是忙于让网络尽快的运行起来。这是可以理解的。但如果忽视了网络安全问题,后果是十分危险的。对于Wi-Fi网络设备进行安全配置通常是耗时费力的,网络用户因此不能妥善处理。正是基于这种情况,我们依据网络安全技术和组网经验,提出如下十点建议,以提高家庭无线网络安全。
1. 及时和定期地修改管理员口令和用户名
几乎所有的无线接入点和路由器都准许管理员使用特别的管理帐号来管理WiFi网络。这个帐号可以让管理员使用用户名和口令访问设备的配置文件。缺省的用户名和口令是由制造商所设置的,用户名通常就是简单的admin或administrator,而口令通常是空白的,或者也只是一些简单词汇而已。
为了增强WiFi网络的安全性,在构建网络时,你应该立刻修改无线接入点或路由器的管理口令。黑客十分清楚流行的无线网络设备的缺省口令,并经常把它们到网上。大部分设备不允许修改管理员的用户名,但如果你的设备可以的话,那么强烈建议你也应该及时修改管理员用户名。
为了保证家庭网络以后的安全,建议你要定期修改管理员口令,至少每隔一到三个月修改一次,并且要作到所使用的口令复杂难猜。
2. 启用WPA/WEP加密
所有WiFi设备都支持某种加密技术。加密技术对通过无线网络传送的信息进行加密编码,这样会使黑客难以破解。目前有几种针对WiFi网络的加密技术,自然地,你应该为你的WiFi网络设备选择最强的加密技术。然而,一旦选定了某种加密技术,你的WiFi网络上的所有设备都必须使用相同的加密设置。因此,在进行加密设置时,你还需要考虑其独特性。
3. 修改缺省的SSID网络名
接入点或路由器都采用被称做SSID的网络名。论文参考。制造商所推出的产品通常带有同样的SSID集。例如,Linksys产品的网络名通常是“Linksys”。尽管,了解SSID网络名本身并不能使黑客闯入你的网络,但这是闯入你的网络第一步。更重要的是,当黑客发现你仍然采用缺省的SSID网络名时,他们会认为你的网络设置很简单,这样他们会更愿意攻击你的网络。因此,当你为自己的无线网络进行配置时,必须立刻修改缺省的SSID网络名。
4. 启用MAC地址过滤
每一个WiFi网络设备都有自己唯一的标识,称做物理地址或MAC地址。接入点和路由器跟踪记录所有连接到网络上的设备的MAC地址。许多网络设备都为主人提供选项,供主人键入它们的MAC地址。网络也只允许这样的设备接入。这样做是提高网络安全的步骤之一,并不是万全之策,黑客和他们的软件可以轻易的编造MAC地址,所以我们建议采用MAC地址过滤技术来加强这一防范措施。
5. 关闭SSID网络名广播
在WiFi网络中,无线接入点和路由器每隔一定时间广播自己的网络名字(SSID)。论文参考。这是针对商业和移动热点而设计的功能,因为它们通常在服务区内外游动。而在家庭中,经常是不需要游动的,所以关闭网络名字广播这项功能是明智之举,大多数WiFi接入点也允许这样做,这会减少黑客利用此特点闯入家庭网络的可能性。
6. 关闭自动连接到开放的WiFi网络的功能
大多数计算机都存在这样一个设置,该设置可以自动地把你的计算机连接到一个开放的WiFi网络上(:如:免费的无线热点或邻居的路由器),而不通知你本人。选择关闭这项功能, 可以防止你的计算机无意中将自己的重要信息泄露给他人,避免你的计算机安全处于危险中。
7. 为网络设备指定静态IP地址
大多数构建家庭网络的人都倾向于采用动态IP地址。动态主机配置协议(DHCP)的确容易设置。但网络黑客也很容易利用这种方便,他们会很容易从你的网络DHCP文件中获取有效的IP地址。所以我们建议关闭接入点和路由器上的DHCP文件,同时设置固定的地址范围,然后为每个连接设备配置相应的IP地址。采用保密的地址范围可以防止互连网对计算机的直接接入。
8.在每个计算机和路由器上启动防火墙
现代的网络路由器都包含内置的防火墙功能,同时也存在关闭防火强的选项。必须保证你的路由器防火墙处于启用状态。如果想进一步增加保护性,建议在每个连接到路由器的计算机上安装并运行各自的防火墙软件。
9.为路由器和接入点选择安全的地方摆放
WiFi无线网络的信号通常可以传播到户外,如果在户外仍具有一定的强度,就完全可能出现信号泄露的问题。信号传播的越远,就越容易被外人侦测和利用。WiFi网络的信号强度通常可以达到附近的街区和住宅,所以在构建无线家庭网络时,为接入点和路由器找到一个合适的摆放位子可以有效地减弱户外的信号强度。为了使信号泄露最小化,我们建议尽量将这些设备放置在房屋的中心位子,不要靠近窗户和门等房屋周边。
10.在网络不用期间,关闭网络
无疑关闭网络可以保证黑客无法闯入。如果频繁的关闭网络不现实的话,至少在外出旅行或长时间离线时要这样做。尽管这样做会对计算机硬盘造成一定的损害,但对于宽带MODEM和路由器而言那是次要的。如果你拥有一个只在有线连接上使用的无线路由器,那么你也可以只关闭宽带路由器上的WiFi网络,而不必把整个网络断电。论文参考。
综上,我们针对WiFi无线网络的安全问题提供了十点建议,这些建议对于已经拥有或准备构建家庭无线网络的人们无疑是有帮助和裨益的,对于保障家庭网络的安全会起到十分重要的作用。
[参考文献]
1.宽带无线接入技术及应用:WiMAX与WiFi 唐雄燕电子工业出版社 (2006-05出版)