毕业设计（论文）
论文题目：
系别：
班级：
姓名：
班级：
指导老师：
共青团安徽国防科技职业学院委员会
目录
前言 (4)
摘要 (5)
第一章、局域网 (7)
1.1．什么是局域网 (7)
1.2．局域网的现有拓扑结构 (7)
1.2.1. 星型结构 (7)
1.2.2. 环型结构 (8)
1.2.3. 总线型结构 (9)
1.2.4. 混合型拓扑结构 (10)
1.3．什么是内网 (10)
1.3.1．如何检测公网和内网 (11)
1.3.2．内网与外网的区别 (11)
第二章、内网安全 (12)
2.1．局域网内网安全现状 (12)
2.2．局域网内网安全威胁分析 (13)
2.2.1欺骗性的软件使数据安全性降低 (13)
2.2.2．服务器区域没有进行独立防护 (13)
2.2.3．计算机病毒及恶意代码的威胁 (14)
2.2.4．局域网用户安全意识不强 (14)
2.2.5．IP地址冲突 (14)
第三章、局域网内网安全实现与病毒防治策略 (16)
3.1、加强人员的网络安全培训 (16)
3.2、局域网内网安全控制策略 (16)
3.2.1、利用桌面管理系统控制用户入网 (17)
3.2.2、采用防火墙技术 (17)
3.2.3、封存所有空闲的IP地址 (18)
3.2.4、属性安全控制 (18)
3.2.5、启用杀毒软件强制安装策略 (18)
3.3．病毒防治 (18)
3.3.1、增加安全意识和安全知识 (19)
3.3.2、小心使用移动存储设备 (19)
3.3.3、挑选网络版杀毒软件 (19)
3.4．企业网络安全策略 (20)
3.4.1、注意内网安全与网络边界安全的不同 (20)
3.4.2、限制VPN的访问 (20)
3.4.3、为合作企业网建立内网型的边界防护 (20)
3.4.4、自动跟踪的安全策略 (20)
3.4.5、关掉无用的网络服务器 (21)
3.4.6、首先保护重要资源 (21)
3.4.7、建立可靠的无线访问 (21)
3.4.8、建立安全过客访问 (21)
3.4.9、创建虚拟边界防护 (22)
3.4.10、可靠的安全决策 (22)
总结 (23)
参考文献 (23)
2011年我的毕业设计论文
《计算机网络安全管理与维护》
安徽国防科技职业学院信息工程系
前言
2年多的大学生活结束了，开始正式的步入社会，毕业要面临的除了就业之外就是毕业论文的设计，在毕业前接到指导老师以及论文设计的通知，需要我们每个人自己设定一个论文标题上交到老师手上，既然是毕业论文当然是要自己学了什么东西根据所学来写一份毕业设计了，于是我开始在构思我的毕业设计到底应该写一些什么，身边的同学都有了自己要写的内容的打算，按照我们的专业来分析的话可以写的东西很多，比如网络的搭建啊，网络的教学应用，小型企业局域网的维护与管理之类的，有的同学在毕业前就有打算正式的从事网络管理我们这一专业的工作，所以写起来都是得心应手的。按照自己所想先将这一大概的蓝图规划好，之后一步步的填充东西进去，其实写论文比较难得还是设计大纲，我可能有所不同，因为我知道在我们这种专业学出来的可能以后想找个稳定的好工作非常难，而且说一句老实话我的专业知识不管是软件还是硬件学的都不好，所以此次毕业设计我定下了一个模糊的标题《计算机网络安全管理与维护》从这一模糊的大纲中慢慢的填写我心中
所想的内容，将自己所能达到的专业度完全发挥一下，当然之中也有一些网络上的资料了。因为主题开始就比较模糊，所以内容也有点天马行空，希望老师在看的过程中做好心理准备。
摘要
当人类步入21世纪这一信息社会、网络社会的时候，我国将建立起一套完整的网络安全体系，特别是从政策上和法律上建立起有中国自己特色的网络安全体系。在信息时代，信息可以帮助团体或个人，使他们受益，同样，信息也可以用来对他们构成威胁，造成破坏。因此网络安全包括组成网络系统的硬件、软件及其在网络上传输信息的安全性，使其不致因偶然的或者恶意的攻击遭到破坏，网络安全既有技术方面的问题，也有管理方面的问题，两方面相互补充，缺一不可。
网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。网络安全从其本质上来讲就是网络上的信息安全。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。
一、关键字
网络安全管理、局域网、内网、病毒
Summary
When humans into the 21st century this information society, social network, China will set up a complete set of network security system, especially from a policy and legal with Chinese characteristic establish the network security system. In the information age, information can help groups or individuals, make them benefit, also, information can also be used to pose a threat to them, causing destruction Therefore network security including composition network system hardware, software and its transfer over a network information safety, make its not for accidental or malicious attack destroyed, network security both technical problems, also have management problems, two respects complement each other, be short of one cannot.
第一章、局域网
1.1．什么是局域网
局域网（Local Area Network），简称LAN，是指在某一区域内由多台计算机互联成的计算机组。“某一区域”指的是同一办公室、同一建筑物、同一公司和同一学校等，一般是方圆几千米以内。局域网可以实现文件管理、应用软件共享、打印机共享、(扫描仪共享(注：扫描仪不能共享）)工作组内的日程安排、电子邮件和传真通信服务等功能。局域网是封闭型的，可以由办公室内的两台计算机组成，也可以由一个公司内的上千台计算机组成。
1.2．局域网的现有拓扑结构
网络中的计算机等设备要实现互联，就需要以一定的结构方式进行连接，这种连接方式就叫做“拓扑结构”，通俗地讲这些网络设备如何连接在一起的。
目前常见的网络拓扑结构主要有以下四大类：
1.2.1. 星型结构
这种结构是目前在局域网中应用得最为普遍的一种，在企业网络中几乎都是采用这一方式。星型网络几乎是Ethernet（以太网）网络专用，它是因网络中的各工作站节点设备通过一个网络集中设备（如集线器或者交换机）连接在一起，各节点呈星状分布而得名。这类网络目前用的最多的传输介质是双绞线，如常见的五类线、超五类双绞线等。
这种拓扑结构网络的基本特点主要有如下几点：
（1）容易实现：它所采用的传输介质一般都是采用通用的双绞线，这种传输介质相对来说比较便宜，如目前正品五类双绞线每米也仅1.5元左右，而同轴电缆最便宜的也要2.00元左右一米，光缆那更不用说了。这种拓扑结构主要应用于IEEE802.2、IEEE802.3标准的以太局域网中；
（2）节点扩展、移动方便：节点扩展时只需要从集线器或交换机等集中设备中拉一条线即可，而要移动一个节点只需要把相应节点设备移到新节点即可,而不会像环型网络那样“牵其一而动全局”；
（3）维护容易；一个节点出现故障不会影响其它节点的连接，可任意拆走故障节点；
（4）采用广播信息传送方式：任何一个节点发送信息在整个网中的节点都可以收到，这在网络方面存在一定的隐患，但这在局域网中使用影响不大；
（5）网络传输数据快：这一点可以从目前最新的1000Mbps到10G以太网接入速度可以看出。
其实它的主要特点远不止这些，但因为后面我们还要具体讲一下各类网络接入设备，而网络的特点主要是受这些设备的特点来制约的，所以其它一些方面的特点等我们在后面讲到相应网络设备时再补充。
1.2.2. 环型结构
这种结构的网络形式主要应用于令牌网中，在这种网络结构中各设备是直接通过电缆来串接的，最后形成一个闭环，整个网络发送的信息就是在这个环中传递，通常把这类网络称之为“令牌环网”。实际上大多数情况下这种拓扑结构的网络不会是所有计算机真的要连接成物理上的环型，一
般情况下，环的两端是通过一个阻抗匹配器来实现环的封闭的，因为在实际组网过程中因地理位置的限制不方便真的做到环的两端物理连接。
这种拓扑结构的网络主要有如下几个特点：
（1）这种网络结构一般仅适用于IEEE802.5的令牌网在这种网络中，“令牌”是在环型连接中依次传递。所用的传输介质一般是同轴电缆。
（2）这种网络实现也非常简单，投资最小。可以从其网络结构示意图中看出，组成这个网络除了各工作站就是传输介质--同轴电缆，以及一些连接器材，没有价格昂贵的节点集中设备，如集线器和交换机。但也正因为这样，所以这种网络所能实现的功能最为简单，仅能当作一般的文件服务模式；
（3）传输速度较快：在令牌网中允许有16Mbps的传输速度，它比普通的10Mbps以太网要快许多。当然随着以太网的广泛应用和以太网技术的发展，以太网的速度也得到了极大提高，目前普遍都能提供100Mbps的网速，远比16Mbps要高。
（4）维护困难：从其网络结构可以看到，整个网络各节点间是直接串联，这样任何一个节点出了故障都会造成整个网络的中断、瘫痪，维护起来非常不便。另一方面因为同轴电缆所采用的是插针式的接触方式，所以非常容易造成接触不良，网络中断，而且这样查找起来非常困难，这一点相信维护过这种网络的人都会深有体会。
（5）扩展性能差：也是因为它的环型结构，决定了它的扩展性能远不如星型结构的好，如果要新添加或移动节点，就必须中断整个网络，在环
的两端作好连接器才能连接。
1.2.3. 总线型结构
这种网络拓扑结构中所有设备都直接与总线相连，它所采用的介质一般也是同轴电缆（包括粗缆和细缆），不过现在也有采用光缆作为总线型传输介质的，如后面我们将要讲的ATM网、所采用的网络等都属于总线型网络结构。
这种结构具有以下几个方面的特点：
（1）组网费用低：从示意图可以这样的结构根本不需要另外的互联设备，是直接通过一条总线进行连接，所以组网费用较低；
（2）这种网络因为各节点是共用总线带宽的，所以在传输速度上会随着接入网络的用户的增多而下降；
（3）网络用户扩展较灵活：需要扩展用户时只需要添加一个接线器即可，但所能连接的用户数量有限；
（4）维护较容易：单个节点失效不影响整个网络的正常通信。但是如果总线一断，则整个网络或者相应主干网段就断了。
（5）这种网络拓扑结构的缺点是一次仅能一个端用户发送数据，其它端用户必须等待到获得发送权。
1.2.4. 混合型拓扑结构
这种网络拓扑结构是由前面所讲的星型结构和总线型结构的网络结合在一起的网络结构，这样的拓扑结构更能满足较大网络的拓展，解决星型网络在传输距离上的局限，而同时又解决了总线型网络在连接用户数量的限制。这种网络拓扑结构同时兼顾了星型网与总线型网络的优点，在缺点
方面得到了一定的弥补。
1.3．什么是内网
内网就是局域网，网吧、校园网、单位办公网都属于此类。另外光纤到楼、小区宽带、教育网、有线电视上网虽然地域范围比较大但本质上还是基于以太网技术，所以仍然属于内网。
内网接入方式：上网的计算机得到的IP地址是互联网上的保留地址，保留地址有如下3种形式：
10.x.x.x
172.16.x.x至172.31.x.x
192.168.x.x
内网的计算机以NAT（网络地址转换）协议，通过一个公共的网关访问Internet。内网的计算机可向Internet上的其他计算机发送连接请求，但Internet上其他的计算机无法向内网的计算机发送连接请求。
公网接入方式：上网的计算机得到的IP地址是Interne上的非保留地址。
公网的计算机和Internet上的其他计算机可随意互相访问。
1.3.1．如何检测公网和内网
请用上面介绍的查看IP地址的办法，检查一下您的电脑里有没有这个IP 地址。如果有，您就是通过公网接入Internet，否则，就是通过内网接入Internet。
请注意：
1、如果您的浏览器里设置了使用代理服务器，请清除代理服务器设
置，并刷新本页面，之后再检测。
2、有些学校或大型的机关单位虽然分配公网IP给用户，但学校或单位为了安全起见，会封闭校外对校内的访问请求。这部分用户虽然有公网IP地址，但依然要用内网动态域名来建网站。如果您通过校园网或机关单位的网络上网，并检测到自己有公网IP，请您在本机调试好网站后，把防火墙打开，请外网的朋友通过IP地址来访问您的网站。如果能访问，就是公网；如果不能访问，就是内网。
1.3.2．内网与外网的区别
内网指的是局域网.几台或者几十台电脑之间互访
外网指的是我们上的internet网络
内网也叫私网地址如下：
IP等级IP位置
ClassA10.0.0.0-10.255.255.255
ClassB172.16.0.0-172.31.255.255
ClassC192.168.0.0-192.168.255.255
子网掩码一般设为:255.255.255.0
内网是可以上网的.内网需要一台服务器或路由器做网关,通过它来上网
做网关的服务器有一个公网IP,其它内网电脑的IP可根据它来随意设置,前
提是IP前三个数要跟它一样,第四个可从0-255中任选但要跟服务器的IP不同
第二章、内网安全
2.1．局域网内网安全现状
广域网络已有了相对完善的安全防御体系，防火墙、漏洞扫描、防病毒、IDS等网关级别、网络边界方面的防御，重要的安全设施大致集中于机房或网络入口处，在这些设备的严密监控下，来自网络外部的安全威胁大大减小。相反来自网络内部的计算机客户端的安全威胁缺乏必要的安全管理措施，安全威胁较大。未经授权的网络设备或用户就可能通过到局域网的网络设备自动进入网络，形成极大的安全隐患。目前，局域网络安全隐患是利用了网络系统本身存在的安全弱点，而系统在使用和管理过程的疏漏增加了安全问题的严重程度。
2.2．局域网内网安全威胁分析
局域网（LAN）是指在小范围内由服务器和多台电脑组成的工作组互联网络。由于通过交换机和服务器连接网内每一台电脑，因此局域网内信息的传输速率比较高，同时局域网采用的技术比较简单，安全措施较少，同样也给病毒传播提供了有效的通道和数据信息的安全埋下了隐患。
局域网的网络安全威胁通常有以下几类：
2.2.1欺骗性的软件使数据安全性降低
由于局域网很大的一部分用处是资源共享，而正是由于共享资源的“数据开放性”，导致数据信息容易被篡改和删除，数据安全性较低。例如“网络钓鱼攻击”，钓鱼工具是通过大量发送声称来自于一些知名机构的欺骗性
垃圾邮件，意图引诱收信人给出敏感信息：如用户名、口令、账号ID、ATMPIN 码或信用卡详细信息等的一种攻击方式。最常用的手法是冒充一些真正的网站来骗取用户的敏感的数据。以往此类攻击的冒名的多是大型或著名的网站，但由于大型网站反应比较迅速，而且所提供的安全功能不断增强，网络钓鱼已越来越多地把目光对准了较小的网站。同时由于用户缺乏数据备份等数据安全方面的知识和手段，因此会造成经常性的信息丢失等现象发生。
2.2.2．服务器区域没有进行独立防护
局域网内计算机的数据快速、便捷的传递，造就了病毒感染的直接性和快速性，如果局域网中服务器区域不进行独立保护，其中一台电脑感染病毒，并且通过服务器进行信息传递，就会感染服务器，这样局域网中任何一台通过服务器信息传递的电脑，就有可能会感染病毒。虽然在网络出口有防火墙阻断对外来攻击，但无法抵挡来自局域网内部的攻击。
2.2.3．计算机病毒及恶意代码的威胁
由于网络用户不及时安装防病毒软件和操作系统补丁，或未及时更新防病毒软件的病毒库而造成计算机病毒的入侵。许多网络寄生犯罪软件的攻击，正是利用了用户的这个弱点。寄生软件可以修改磁盘上现有的软件，在自己寄生的文件中注入新的代码。最近几年，随着犯罪软件汹涌而至，寄生软件已退居幕后，成为犯罪软件的助手。2007年，两种软件的结合推动旧有寄生软件变种增长3倍之多。2008年，预计犯罪软件社区对寄生软件的兴趣将继续增长，寄生软件的总量预计将增长20%。
2.2.4．局域网用户安全意识不强
许多用户使用移动存储设备来进行数据的传递，经常将外部数据不经过必要的安全检查通过移动存储设备带入内部局域网，同时将内部数据带出局域网，这给木马、蠕虫等病毒的进入提供了方便同时增加了数据泄密的可能性。另外一机两用甚至多用情况普遍，笔记本电脑在内外网之间平凡切换使用，许多用户将在Internet网上使用过的笔记本电脑在未经许可的情况下擅自接入内部局域网络使用，造成病毒的传入和信息的泄密。
2.2.5．IP地址冲突
局域网用户在同一个网段内，经常造成IP地址冲突，造成部分计算机无法上网。对于局域网来讲，此类IP地址冲突的问题会经常出现，用户规模越大，查找工作就越困难，所以网络管理员必须加以解决。
正是由于局域网内应用上这些独特的特点，造成局域网内的病毒快速传递，数据安全性低，网内电脑相互感染，病毒屡杀不尽，数据经常丢失。
第三章、局域网内网安全实现与病毒防治策略
3.1、加强人员的网络安全培训
安全是个过程，它是一个汇集了硬件、软件、网络、人员以及他们之间互相关系和接口的系统。从行业和组织的业务角度看，主要涉及管理、技术和应用三个层面。要确保信息安全工作的顺利进行，必须注重把每个环节落实到每个层次上，而进行这种具体操作的是人，人正是网络安全中最薄弱的环节，然而这个环节的加固又是见效最快的。所以必须加强对使用网络的人员的管理，注意管理方式和实现方法。从而加强工作人员的安全培训。增强内部人员的安全防范意识，提高内部管理人员整体素质。同时要加强法制建设，进一步完善关于网络安全的法律，以便更有利地打击不法分子。对局域网内部人员，从下面几方面进行培训：
1、加强安全意识培训，让每个工作人员明白数据信息安全的重要性，理解保证数据信息安全是所有计算机使用者共同的责任。
2、加强安全知识培训，使每个计算机使用者掌握一定的安全知识，至少能够掌握如何备份本地的数据，保证本地数据信息的安全可靠。
3、加强网络知识培训，通过培训掌握一定的网络知识，能够掌握IP 地址的配置、数据的共享等网络基本知识，树立良好的计算机使用习惯。
3.2、局域网内网安全控制策略
安全管理保护网络用户资源与设备以及网络管理系统本身不被未经授权的用户访问。目前网络管理工作量最大的部分是客户端安全部分，对网络的安全运行威胁最大的也同样是客户端安全管理。只有解决网络内部的
安全问题，才可以排除网络中最大的安全隐患，对于内部网络终端安全管理主要从终端状态、行为、事件三个方面进行防御。利用现有的安全管理软件加强对以上三个方面的管理是当前解决局域网安全的关键所在。
3.2.1、利用桌面管理系统控制用户入网
入网访问控制是保证网络资源不被非法使用，是网络安全防范和保护的主要策略。它为网络访问提供了第一层访问控制。它控制哪些用户能够登录到服务器并获取网络资源，控制用户入网的时间和在哪台工作站入网。用户和用户组被赋予一定的权限，网络控制用户和用户组可以访问的目录、文件和其他资源，可以指定用户对这些文件、目录、设备能够执行的操作。启用密码策略，强制计算机用户设置符合安全要求的密码，包括设置口令锁定服务器控制台，以防止非法用户修改。设定服务器登录时间限制、检测非法访问。删除重要信息或破坏数据，提高系统安全行，对密码不符合要求的计算机在多次警告后阻断其连网。
3.2.2、采用防火墙技术。
防火墙技术是通常安装在单独的计算机上，与网络的其余部分隔开，它使内部网络与Internet之间或与其他外部网络互相隔离，限制网络互访，用来保护内部网络资源免遭非法使用者的侵入，执行安全管制措施，记录所有可疑事件。它是在两个网络之间实行控制策略的系统，是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术。采用防火墙技术发现及封阻应用攻击所采用的技术有：
（1）深度数据包处理。深度数据包处理在一个数据流当中有多个数据包，在寻找攻击异常行为的同时，保持整个数据流的状态。深度数据包处
理要求以极高的速度分析、检测及重新组装应用流量，以避免应用时带来时延。
（2）IP/URL过滤。一旦应用流量是明文格式，就必须检测HTTP请求的URL部分，寻找恶意攻击的迹象，这就需要一种方案不仅能检查RUL，还能检查请求的其余部分。其实，如果把应用响应考虑进来，可以大大提高检测攻击的准确性。虽然URL过滤是一项重要的操作，可以阻止通常的脚本类型的攻击。
（3）TCP/IP终止。应用层攻击涉及多种数据包，并且常常涉及不同的数据流。流量分析系统要发挥功效，就必须在用户与应用保持互动的整个会话期间，能够检测数据包和请求，以寻找攻击行为。至少，这需要能够终止传输层协议，并且在整个数据流而不是仅仅在单个数据包中寻找恶意模式。系统中存着一些访问网络的木马、病毒等IP地址，检查访问的IP 地址或者端口是否合法，有效的TCP/IP终止，并有效地扼杀木马。
（4）访问网络进程跟踪。访问网络进程跟踪。这是防火墙技术的最基本部分，判断进程访问网络的合法性，进行有效拦截。这项功能通常借助于TDI层的网络数据拦截，得到操作网络数据报的进程的详细信息加以实现。
3.2.3、封存所有空闲的IP地址
启动IP地址绑定，采用上网计算机IP地址与MCA地址唯一对应，网络没有空闲IP地址的策略。由于采用了无空闲IP地址策略，可以有效防止IP地址引起的网络中断和移动计算机随意上内部局域网络造成病毒传播和数据泄密。
网络安全：网络安全硬件、网络安全软件、网络安全服务。 网络协议：为网络数据交换而建立的规则、标准或者约定。它的三要素为语法、语义、同步。语法：数据与控制信息的结构或格式。语义需要发出何种控制信息、完成何种协议以及做出何种作答。同步：事件实现顺序的详细说明。 网络体系结构：计算机网络的各层协议的集合。 OSI参考模型的分层原则：根据功能的需要分层；每一层应当实现一个定义明确的功能；每一层功能的选择应当有利于制定国际标准化协议；各层界面的选择应当尽量减少通过接口的信息量;层数应该足够多，以避免不同功能混扎在同一层中，但也不能过多，否则体系结构会过于庞大。 TCP—IP协议：是事实上的网络标准，由低到高分为网络接口层、网络层、传输层、应用层。 网络接口层：该层中的协议提供了一种数据传送的方法，使得系统可以通过直接的物理连接的网络，将数据传送到其他设备，并定义了如何利用网络来传送IP数据报。网络层协议：网络层协议IP是TCP-IP的核心协议，IP 可提供基本的分组传输服务。网络层还有地址转换协议（ARP）和网间控制报文协议（ICMP）。还提供了虚拟专用网（VPN）。 传输层协议：有传输控制协议（TCP）和用户数据报协议（UDP）。还提供了安全套接字服务（SSL）。 应用层协议：网络终端协议（Telnet）、文件传输协议（FTP）、简单邮件传输协议（SMTP）、邮件接收协议（POP）、超文本传输协议（HTTP）、域名服务（DNS）。系统安全结构：物理层（防止物理通路的损坏、窃听、攻击）、数据链路层（保证网络链路传送的数据不被窃听）、网络层（保证网络路由正确，避免被拦截和监听）、操作系统（保证客户资料、操作系统访问控制的安全）、应用平台（利用SSL），应用系统（使用应用平台提供的安全服务来保证基本安全）。 网络层的安全性：一般使用IP封装技术（其本质是纯文本的包被加密，封装在外层的IP报头里。用来对加密的包进行因特网上的路由选择，到达另一端时，外层的IP 头被拆开，报文被解密，然后送到收报地点），相应的安全协议可以用来在Internet上建立安全的IP通道和虚拟私有网。 传输层安全性：安全套接层协议（SSL），此协议包括SSL 记录协议和SSL握手协议。前者涉及应用程序提供的信息的分段、压缩、数据认证和加密。后者用来交换版本号、加密算法、身份认证并交换密钥。 应用层的安全性：它实际上是最灵活的处理单个文件安全性的手段。目前都是用PKI（公钥基础结构），此结构包括3个层次：顶层为网络层安全政策登记结构IPRA、第2层为安全政策证书颁发机构PCA、底层为证书颁发机构CA。 局域网的安全：局域网基本上都采用以广播为技术基础的以太网。它的安全分为网络分段、以交换式集线器代替共享式集线器（可防止网络监听）、虚拟专网。 网络分段：物理分段（是指将网络从物理层和数据链路层上分为若干网段）和逻辑分段(在网络层上进行分段)。虚拟专网VPN：以局域网交换技术（A TM和以太网交换）为基础的面向连接的技术，它的核心技术是采用隧道技术（将企业专网的数据加密封装后，透过虚拟的公网隧道进行传输，从而防止敏感数据的被窃）。 广域网的安全：加密技术（通过对网络数据的加密来保障网络的安全）、VPN技术、身份认证技术（对拨号用户的身份进行验证并记录完备的登陆日志）。 网络安全的威胁：安全漏洞（是指资源容易遭受攻击的位置）、乘虚攻击（通过利用环境中的安全漏洞访问到计算机中的资源产生）。 19．乘虚攻击的方法：利用技术漏洞型攻击（强力攻击、缓冲区溢出、错误配置、重放攻击、会话劫持）；信息收集；拒绝服务（物理损坏、资源删除、资源修改、资源饱和） 20．网络系统的安全体系：访问控制、检查安全漏洞、攻击监控、加密通信、备份和恢复、多层防御、隐藏内部信息、设立安全监控信息。 21．网络安全的主要攻击形式：信息收集（防范信息收集的关键技术就是限制外部对资源进行未经授权的访问）、利用技术漏洞型攻击、会话劫持、防止DNS毒化、URL字符串攻击、攻击安全账户管理器、文件缓冲区溢出、拒绝服务、攻击后门攻击、恶意代码。 22．网络安全的关键技术：防电磁辐射（分为对传导发射的防护和对辐射的防护）、访问控制技术、安全鉴别技术（a. 网络设备的鉴别，基于VPN设备和IP加密机的鉴别；b. 应用程序中的个人身份鉴别；c. 远程拨号访问中心加密设备（线路密码机）与远程加密设备（线路密码机）的鉴别；d. 密码设备对用户的鉴别）、权限控制（操作系统、数据库的访问、密码设备管理、应用业务软件操作的权限控制）、通信保密（a. 中心网络中采用IP加密机进行加密；b. 远程拨号网络中采用数据密码机进行线路加密）、数据完整性、实现身份鉴别（可利用：a. 数字签名机制；b. 消息鉴别码；c. 校验等；d. 口令字；e. 智能卡; f.身份验证服务：Kerberos和X.509目录身份验证）、安全审计、病毒防范及系统安全备份，加密方法、网络的入侵检测和漏洞扫描、应用系统安全、文件传送安全、邮件安全。 23．保证网络安全的措施：防火墙、身份认证（主要包括验证依据、验证系统和安全要求）、加密（数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种）、数字签名（密文和用来解码的密 钥一起发送，而该密钥本身又被加密，还需要另一个密 钥来解码）、内容检查、存取控制、安全协议（加密协议， 身份验证协议，密钥管理协议，数据验证协议，安全审 计协议，防护协议）、智能卡技术。 网络的安全策略：它是纵深防御策略，包括物理安全、 数据防御、应用程序防御、主机防御、网络防御、周边 防御。 网络攻击常用工具：任何攻击都需要进行嗅探或端口扫 描。网络嗅探的常用工具为Ethereal（它是开放源代码 的软件，免费的网络协议程序，支持UNIX、Windows）、 端口扫描是主动的，常用攻击是nmap（它基于Linus和 UNIX）。 1、信息安全性表现在以下的四个特性：保密性、完整性、 可用性、可控性 2、一个加密网络，不但可以防止非授权用户的搭线窃听 和入网，而且也是对付恶意软件的有效方法 3、密码算法主要分为3类：对称密钥算法、公钥加密算 法（非对称加密）、单项函数算法。 4、对称密钥算法：这种技术使用单一的密钥加密信息， 加密和解密共用一把密钥。 5、公钥加密算法（非对称加密）：这种技术使用两个密 钥，一个公钥用于加密信息，一个私钥用于解密信息。 这两把密钥之间具有数学关系，所以用一个密钥加密过 的资料只能用相应的另一个密钥来解密。 6、单项函数算法：这个函数对信息加密产生原始信息的 一个“签名”，即数字签名，该签名被在以后证明它的权 威性。 7、DES算法：它是最著名的对称密钥加密算法。DES 使用56位密钥和64位的数据块进行加密，并对64位数 据块进行16轮编码。在每轮编码时，一个48位的“每 轮”密钥值由56位的完整密钥的出来。 8、三重DES算法：这种方法用两个密钥对明文进行了 3次加密，但不是加密了3次，而是加密、解密、加密 的过程。用密钥1进行DES加密，用密钥2对步骤1的 结果进行DES解密，对步骤2的结果使用密钥1进行 DES加密。 9、RSA算法：是非对称加密算法，RSA是用两个密钥， 用公钥加密，私钥解密。加密时吧明文分成块，块的大 小可变，但不能超过密钥的长度。密钥越长，加密效果 越好，加密解密的开销也大，一般64位较合适。RSA 比较知名的应用是SSL。 10、公共密钥算法的2种用途：数据加密和身份认证。 11、数据加密：发送者用接收者的公钥对要发送的数据 加密，接收者用自己的私钥对接收到的数据解密。第三 者由于不知道接收者的私钥而无法破译该数据。 12、身份认证：发送者可以用自己的私钥对要发送的数 据加上“数字签名”，接收者可以通过验证“数字签名” 来确定数据的来源。 13、DES和RSA算法的比较：一是在加密解密的处理 效率方面，DES优于RSA；二是理方面，RSA比DES 更优越;；三是在安全性方面，两者都较好；四是在签名 和认证方面，RSA算法更容易。总之，DES加密解密速 度快，适用用于数据量大、需要在网上传播的信息。RSA 算法于数据量小但非常重要的数据，以及数字签名和 DES算法的密钥。 14、认证机构CA：它是证书的签发机构。他的职责是 验证并标识申请者的身份；确保CA用于签名证书的非 对称密钥的质量；确保整个签名过程的安全，确保签名 私钥的安全性；管理证书材料信息；确定并检查证书的 有效期限；确保证书主题标识的唯一性，防止重名；发 布并维护作废证书表；对整个证书签发过程做日志记录 及向申请人发通知等。CA也拥有一个证书，也有剖自 己的私钥，所以也有签字能力。 15、认证中心：是一个负责发放和管理数字证书的权威 机构。 16. 通用的加密标准分为：对称加密算法、非对称加密 算法、散列算法。 对称加密算法：DES、Triple-DES、RC2、RC4、CAST。 非对称加密算法：RSA、DSA、Diffie-Hellman。 散列算法：SHA-1、MD5。 17、数字证书：是一种能在完全开放系统中使用的证书 （例如互联网络），它的用户群绝不是几个人互相信任的 小集体。在这个用户群中，从法律度讲彼此之间都不能 轻易信任。所以公钥加密体系采用了将公钥和公钥主人 的名字联系在一起，再请一个大家都信任的权威机构确 认，并加上全球为机构的签名，就形成了证书。 18、通用的证书标准是X.509，目录服务标准 X.500及LDAP 19、数字签名：私钥拥有者用私钥加密数据，任何拥有 公钥的人都能解除开。信息发送者用其私钥对从所传报 文中提取的特征数据或称数字指纹进行RSA算法解密 运算操作得到发电者对数字指纹的签名函数H（m）。数 字签名具有不可抵赖性和完整性。 20、数字证书应具备的信息：版本号、序列号、签名算 法、发出该证书的认证机构、有效期限、主题信息、公 钥信息、认证机构的数字签名。 21、证书的管理功能：用户能方便地查找各种证书及已 经撤销的证书，能根据用户请求或其它相关信息撤销用 户的证书，能根据证书的有效期限自动地撤销证书，能 完成证书数据库的备份工作 22、认证机构发放的证书主要应用有：使用S/MIME 协议实现安全的电子邮件系统；使用SSL协议实现浏 览器与Web服务器之间的安全通信；使用SET协议实 现信用卡网上安全支付 23、智能卡：是当前国际上公认的商业网络安全通信中 最好的用户端解决方案，它的外形与普通信用卡相同， 内部有微处理器（CPU）和可重写存储单元（EEPROM）， 并有文件管理系统和保护算法不怀还以的人获得智能卡 必须还要得到卡的密码PIN，否则几次输入不成功，卡 会被锁定。 24、使用智能卡的优点：可把用户重要信息安全存在卡 中；加密处理可在卡内完成、每张卡存放的内容都是独 立的、不可代替的；便于携带。 第三章Windows 2000操作系统的安全管理 1、Windows 2000的安全特性主要体现在：对Internet 上的新型服务的支持、便于安全性框架、实现对Windows NT4.0的网络支持。 2、Kerberos是在Internet上广泛采用的一种安全验证机 制，它基于公钥技术。Kerberos协议规定了客户机/密钥 发布中心(Key Distribution Center，KDC)/服务器三者之 间获得和使用Kerberos票证进行通信规则和过程。 Kerberos验证机制加强了Windows 2000的安全性，它使 网络应用服务验证速度更快捷，同时可以建立域信任以 及在建立域信任的域中传递信任关系，另外Kerberos验 证有互操作性的优势。在一个多种操作系统并存的异构 网络环境中，Kerberos协议使用一个统一的用户数据库 对各种用户进行验证，这样就解决了现在异构环境中的 统一验证问题 3、Windows 2000的安全特性：数据安全性（用户登录 时的安全性和网络数据的保护、存储数据的保护）、通信 的安全性、单点安全登录、安全的管理性（对工作站、 服务器、域控制器的安全管理）。 4、Windows 2000中的组策略：账户策略/密码策略（配 置密码存留期、长度和复杂性）、账户策略\账户锁定策 略（配置锁定时间、阀值和复位计数器）、账户策略 \Kerberos策略（配置票证寿命）、本地策略\审计策略、 本地策略\用户权限、本地策略\安全选项、事件日志、受 限制的组、系统服务、注册表、文件系统。 5、密码策略：密码必须符合复杂性的要求，密码必须为 6个字符长（见意为8个字符），密码中必须包含以下三 个类别的字符（英语大写字母，英语小写字母、阿拉伯 数字、标点符号） 6、Windows 2000的安全模板：以inf的格式存储。 7、组策略的安全级别：域级和OU级。域级是一般的安 全要求，如对所有服务器使用的账户策略和审计策略等； OU级是对特定的服务器的安全要求，如IIS的服务器。 8、审计：主要目标是识别攻击者对网络所采取的操作， 分为成功事件和失败事件。 9、安全审计的类别：登录事件、账户登录事件、对象访 问、目录服务访问、特权使用、进程跟踪、系统事件、 策略更改。 10、入侵检测：可分为主动监测和被动检测。 11、主动监测：有目的地查找攻击并阻止这些攻击，有 端口扫描、事件查看器、转储日志工具、EventCombMT 工具，其中端口是最常用的。 12、被动检测：是被攻击后使用检查日志的方法。 1、Windows Server2003的内置信任安全构架TSI主要包 括：身份验证、授权与访问控制、审计与记账、密码管 理、安全管理（包括鉴别与安全策略）。 2、Windows Server2003的安全功能：授权管理器、存储 用户名和密码、软件限制策略、证书颁发机构、受限委 派、有效权限工具、加密文件系统、Everyone成员身份、 基于操作的审核、重新应用安全默认值。3、Windows Server2003的身份验证有四种：某个具体内容、某个具 体设备、某种特征（如指纹）、某个位置。 4、操作系统的验证机制体现在：支持的验证方法的数量、 方法的强度、验证信息是否集成到所有安全操作中。 5、交互式登录身份验证须执行2个方面：交互正式登陆 （向域账户或本地计算机确认用户身份）和网络身份验 证（使用本地计算机的用户每次访问网络资源时，必须 提供凭据）。 6、Kerberos V5身份验证：Kerberos V5是与密码或者智 能卡一起使用已进行交互登陆的协议。它是Windows Server2003对服务进行网络身份验证的默认方法。 Kerberos的三个头在协议中分别代表验证、授权、审核。 是基于对称密钥加密的。 7、Kerberos身份验证优点：使用独特的票证系统并能提 供更快的身份验证；是交互式验证；是开放的标准；支 持委托验证、支持智能卡网络登录的验证。 8、Kerberos V5身份验证的过程：（1）客户端系统上的 用户使用密码或智能卡向KDC进行身份验证。（2）KDC 为此客户颁发一个特别的票证授予式票证。（3）TGS接 着向客户颁发服务票证。（4）客户向请求的网络服务出 示服务票证。 9、强密码的规则：长度至少有7个字符；不包含用户名、 真实姓名或公司名称；不包含完整的字典词汇；与先前 的密码大不相同；包含全部下列四组字符类型（大写字 母、小写字母、数字、键盘上的符号）。远程资源账户、 本地计算机账户、域账户都要使用强密码。 10、授权：SRM是安全参考监视器，它是Windows 操 作系统内核模式中最有特权的安全组件，它检测所有来 自用户端访问资源的请求。授权不仅处理访问控制，还 能控制对操作系统的进程和线程的访问。 11、访问令牌：当每个用户登录系统时，产生访问令牌。 访问令牌的组件是本地安全认证机构LSA。令牌包含用 户域的授权和用户本地授权信息。 12、ACL：访问控制列表集，有多个访问控制实体ACE 组成，ACE与安全标识符SID连接来确定用户的访问权 限，如读取、修改等。 13、Windows Server2003有以下模拟级：匿名、识别、 模拟、委托。 14、Windows Server2003的安全策略：用户账号和用户 密码、域名管理、用户组权限、共享资源权限。 15、域：是指网络服务器和其他计算机的逻辑分组，每 个用户有一个账号，每次登陆是整个域，而不是某一个 服务器。可节省管理员和用户的精力和时间。 16、用户组权限：分为全局组和本地组。全局组由一个 域的几个用户账号组成。本地组由用户账号和一个或者 多个域中的全局组构成。本地组可以包含用户和全局组， 但不能包含其他本地组。 17、有3种方式访问Windows Server2003：通过用户账 号、密码和用户组方式登陆；在局部范围内通过资源共 享的形式登陆；在网络中通过TCP\IP协议对服务器进行 访问。 18、Windows Server2003的安全管理体现在3方面：安 全策略管理、安全补丁管理、相关审核管理。 19、Windows Server2003的组策略：来定义用户工作的 坏境，包括用户账户策略、审计策略、用户权利和事件 日志。 20、密码策略包括：强制密码历史、密码最常使用期限、 密码最短使用期限、密码长度最小值、密码必须符合复 杂性要求、用可还原加密来存储密码。 21、Windows Server2003的加密系统：它支持EFS技术 对任意文件或文件夹进行加密，这是一种核心的文件加 密技术，只有NTFS才能使用，加密后的文件不可以被 被除此用户以外的任何文件访问。 22、Windows Server2003的安全管理采用的对策：物理 安全管理、及时更新补丁、避免给用户定义特定的访问 控制、实施账号及口令策略、控制远程访问服务、启动 审核功能、确保注册表安全、应用系统的安全、取消 TCP/IP撒谎能够的NetBIOS 绑定、Internet Explorer增 强的安全配置、清除远程可访问的注册表路径、禁止不 必要的服务。 第五章Linux网络操作系统的安全管理 TCSEC将系统划分为4组7个等级：从低到高依次是D； C（C1、C2）；B（B1、B2、B3）；A（A1）。 文件的三种存取权限：用户存取权限、组存取权限、其 他用户存取权限。 基本的溢出攻击方式：堆栈溢出、函数指针、长跳转点。 溢出攻击的解决方案：补丁、编写程序、提升安全级、 利用文件系统和磁盘分区、chroot（可以让用户程序吧某 个目录当成根目录）。 PGP：电子邮件加密技术，是双密钥体系（用户A要建 立两个密钥，一个私钥，一个公钥，用户B向A发送信 息时，先用A的公钥加密，再传给A）它是加密和签名 的综合体。 常用服务端口号：ftp21 、ssh22、telnet23、smtp25。 网络接口层：这两层主要是讲数据转化成物理帧，并且 在电气连接上传递。 集线器：是一个简单的信号放大器，用来补偿信号在传 输中的衰减和变形。一台集线器可以连接很多网卡。而 网卡首先用双绞线连接到集线器和交换机，然后再连接 到其他的机器。 MAC地址：是以太网使用的一个48位的整数来标志自 身，当某一个网卡发送数据时，它在以太帧中携带发送 者和接收者的MAC地址。 混杂模式：程序绕过TCP/IP堆栈和网卡直接打交道。 嗅探器：在以太网内，用一个正确设计的程序就可以监 听到别人发送的信息，它可以作为专门的窃听工具。 SSL：网络接口层，安全套阶层协议，它是基于scoket 的采用客户/服务器方式，安装在传输层和应用层之间， 可以提供数据的加密传输，可强化HTTP的安全性。当 一个客户视图和服务器对话的时候，它首先要执行一个 握手过程。 SSH：网络接口层，是一个用来解决TELNET/FTP协议 安全性的工具。 VPN：网络接口层，虚拟专用网，采用隧道技术。它通 过一个公共网络建立一个临时的、安全的连接。它在因 特网的一些机器之间建立一个虚拟连接，使得这些机器 看上去在一个独立的网络中，其他系统无法加入。VPN 的功能：加密数据、信息认证和身份认证、提供访问控 制。 ARP：地址解析协议，网络层，可有IP地址找到对应的 MAC地址。 ICMP：网络层，网络报文控制协议，它是IP协议的附 属协议，网络层用它来与其他主机或路由器交换错误报 文和其他重要控制信息。ICMP豹纹是在IP数据报内部 被传输的，主要用来对系统中的错误进行分析和控制。 IP地址欺骗：即外网地址冒充本地IP，是通过向路由和 目标发送虚假的重定向豹纹，导致本地机器的路由表被 欺骗实现的。 18、TCP三次握手过程：传输层，请求连接的客户机首 先将一个带SYN标志位的包发给服务器；服务器受到这 个包后产生一个自己的SYN标志，并把收到包的SYN+1 作为ACK标志返回给客户机；客户机收到该包后，再 发一个ACK=SYN+1的包给服务器。经过三次握手，才 正式建立连接。 第六章路由器安全管理 1．路由器相关安全特性具有两层含义：保证内部局域网 的安全（不被非法侵入）和保护外部进行数据交换的安
计算机及网络安全保密管理规定 1
武汉XX有限公司 计算机及网络安全保密管理规定 第一章总则 第一条为加强武汉XX有限公司(以下简称公司)计算机及网络安全保密管理工作,保障计算机及其网络安全运行,防止国家秘密和公司内部信息泄露,根据国家行政法规和上级机关有关规定,结合公司实际制订本规定。 第二条公司内部网络是指覆盖公司在武汉、襄樊两地部门的网络;国际联网是指各单机用户为实现信息的国际交流,同国际互联网(因特网)或其它国际性公共网络相联。 第三条涉及联网的部门和个人,应当严格遵守国家有关法律法规,严格执行安全保密制度,不得利用内部网络和国际联网从事危害国家和集团安全,泄露国家、集团和公司秘密等违法犯罪活动。 第二章计算机及其网络的管理与运行 第四条公司各部门计算机(包括台式计算机和便携式计算机)分为涉密计算机和非涉密计算机,计算机主机醒目处须有”涉密” 2
或”非涉密”标识,以示区分。存储、处理涉密信息的计算机以及联入集团涉密系统的计算机为涉密计算机;非涉密计算机严禁存储和处理涉密信息,严禁联入集团内部涉密系统。经集团保密工作部门批准,公司办和业务一部分别安排一台计算机接入集团涉密系统,实行专人管理。 第五条接入集团涉密系统的计算机由公司按国家对涉密网的管理规定和集团计算机网络安全管理部门的要求进行购置,由集团计算机网络安全管理部门或在其指导下进行调试和维护管理。公司信息化管理部门为公司计算机及网络安全管理部门,必须设立专职网络管理员,对公司的联网计算机进行统一管理。 第六条未经允许,任何部门和个人不得私自在集团内部网上接入各类网络设备,也不得在已接入集团内部网的网络设备上随意安装各种软件,更不能以非法身份侵入内部网络或擅自更改各类网络运行参数。专职网络管理员应定期对公司的联网计算机进行检查并做好相关记录。 第七条要加强对公司计算机联网服务器的安全管理和对计算机网络管理人员的教育管理,有权出入计算机网络服务器机房的工作人员为公司专职网络管理人员,非工作人员进入须经公司党群办审查批准。 第八条公司联入集团内网的两台计算机需要保留软驱和光 3
公司内部网络安全和设备管理制度 1、网络安全管理制度 (1)计算机网络系统的建设和应用，应遵守国家有关计算机管理 规定参照执行； (2)计算机网络系统实行安全等级保护和用户使用权限控制；安 全等级和用户使用网络系统以及用户口令密码的分配、设置由系统管理员负责制定和实施； (3)计算机中心机房应当符合国家相关标准与规定； (4)在计算机网络系统设施附近实施的维修、改造及其他活动， 必须提前通知技术部门做好有关数据备份，不得危害计算机网络系 统的安全。 (5)计算机网络系统的使用科室和个人，都必须遵守计算机安全 使用规则，以及有关的操作规程和规定制度。对计算机网络系统中发生的问题，有关使用科室负责人应立即向信息中心技术人员报告；(6)对计算机病毒和危害网络系统安全的其他有害数据信息的防 范工作，由信息中心负责处理，其他人员不得擅自处理； (7)所有HIS系统工作站杜绝接入互联网或与院内其他局域网直 接连接。 2、网络安全管理规则 (1)网络系统的安全管理包括系统数据安全管理和网络设备设施 安全管理； (2)网络系统应有专人负责管理和维护，建立健全计算机网络系 统各种管理制度和日常工作制度，如：值班制度、维护制度、数据库备份制度、工作移交制度、登记制度、设备管理制度等，以确保工作有序进行，网络运行安全稳定； (3)设立系统管理员，负责注册用户，设置口令，授予权限，对 网络和系统进行监控。重点对系统软件进行调试，并协调实施。同时，负责对系统设备进行常规检测和维护，保证设备处于良好功能状态； (4)设立数据库管理员，负责用户的应用程序管理、数据库维护 及日常数据备份。每三个月必须进行一次数据库备份，每天进行一次日志备份，数据和文档及时归档，备份光盘由专人负责登记、保管； (5)对服务器必须采取严格的保密防护措施，防止非法用户侵 入。系统的保密设备及密码、密钥、技术资料等必须指定专人保管，服务器中任何数据严禁擅自拷贝或者借用； (6)系统应有切实可行的可靠性措施，关键设备需有备件，出现 故障应能够及时恢复，确保系统不间断运行； (7)所有进入网络使用的U盘，必须经过严格杀毒处理，对造成 “病毒”蔓延的有关人员，应严格按照有关条款给予行政和经济处 罚； (8)网络系统所有设备的配置、安装、调试必须指定专人负责， 其他人员不得随意拆卸和移动； (9)所有上网操作人员必须严格遵守计算机及其相关设备的操作 规程，禁止无关人员在工作站上进行系统操作；
XX电子科技有限公司 信息安全和IT服务管理体系文件 网络安全管理程序 DK-0044-2019 受控状态受控 分发号 版本A/0 持有人
网络安全管理程序 1 目的 为了确保公司信息系统网络安全，对公司网络安全活动实施控制，特制定本程序。 2 范围 适用于对公司信息系统网络安全的管理。 3 职责 3.1 综合部 负责网络安全措施的制定、实施、维护。 3.2 相关部门 负责配合网络安全管理的实施。 4 程序 4.1 总则 本公司信息系统网络安全控制措施包括： a) 实施有效的网络安全策略； b) 路由器等安全配置管理； c) 网络设备的定期维护； d) 对用户访问网络实施授权管理； e) 对网络设备和系统的变更进行严格控制； f) 对网络的运行情况进行监控； g) 对网络服务的管理。
4.2 网络安全策略 4.2.1 网络安全的通用策略如下： a) 公司网络管理员负责信息网络和系统安全，审核系统日志。系统日志的记录内容和保存期限应符合《信息系统监控管理程序》。 b) 网络管理员负责公司网络设备的配置和内部的IP地址管理。 c) 网络管理员应编制《网络拓扑图》，描述网络结构并表示网络的各组成部分之间在逻辑上和物理上的相互连接。 d) 网络管理员应根据需要增加、修改或删除网络过滤规则，符合数据传送的保密性、可用性，使用最小化规则。 e) 任何个人不得擅自修改网络资源配置、网络权限和网络安全等级。 4.2.2 路由器设备安全配置策略如下： a) 除内部向外部提供的服务外，其他任何从外部向内部发起的连接请求必须经过公司总经理批准； b) 除内部向外部提供的服务相关部分外，内部向外部的访问需经总经理批准； c) 对设备的管理控制不对外提供； d) 路由器的策略设定，应以保证正常通信为前提，在不影响通信质量的前提下，对指定的需要禁止的通信类型进行相应的禁止设定； e) 路由器的设定应保证各个连接设备的兼容性，并考虑冗余和容错。 f) 路由器访问清单设定： ①依照连接对象及网络协议相关事宜制定访问清单加以过滤。 ②依据路由器负载程度，将可能造成网络系统无法运作的通讯端口，制定访 问控制清单加以过滤。 4.2.3 网络交换机安全配置策略： a) 网络交换机安全配置策略应考虑和周边网络设备的连接的兼容性、安全性、可靠性和可变性； b) 网络交换机安全配置策略应尽量减少不必要的限定以保证合理的通信能力。
****计算机信息网络安全管理制度 第一章总则 第一条为规范****系统信息化及计算机网络安全管理，促进信息化建设，提高工作效率，确保信息化网络、计算机设备安全、有效运行，特制定本制度。 第二条 ****信息化及计算机网络管理工作在本队队长的统一领导下，由****计算机信息网络安全管理领导小组所有成员负责具体组织实施。 第三条本单位计算机信息网络安全管理工作实行“一把手”负责制。 第四条本制度所称计算机信息安全网络管理工作包括信息化网络及设备管理、安全保密管理、计算机病毒防治、资料管理、培训等内容。 第二章信息化网络及设备管理 第五条信息化网络及设备按个人分配使用。分配到个人的设备由单位的工作人员负责，单位应指定一名熟悉计算机技术的人员负责日常管理和维护工作。 第六条凡使用信息化网络及设备的工作人员应自觉遵守相关法律法规和制度规定。对违反规定使信息化网络及设备不能正常工作和造成重大事故者，追究其相应责任，后果严重的，依法追究法律责任。
第七条严禁在信息化设备上安装与工作无关的、未经广泛验证为安全的软件程序。严禁带电拔插计算机内部配件。移动非便携式信息网络设备应断电后进行。离开工作场所前，须关闭计算机，切断电源。如有特殊情况不能关闭的，须征得本部门负责人同意。 第八条非指定的技术人员不得擅自打开信息化网络设备外壳，进行任何配臵和检测。不得擅自将信息网络设备（包括报废设备）的配件私自拆卸，移植到其它设备。 第九条未经单位负责人批准，任何人不得随意更换信息化网络设备，不得随意外借、处臵信息网络设备。外部人员如需使用本单位的信息网络设备，需经本单位主管领导同意，并在现场监督的情况下进行。 第十条对计算机进行硬盘格式化和删除操作系统文件，须事先做好数据备份工作，并由本单位信息化管理员进行操作。 第十一条各单位信息化网络设备的使用人、保管人、责任人等情况的变更，应及时报办公室和财务部门登记备案。 第十二条重要的信息化网络设备，由本单位办公室集中统一管理。如需要使用时，应办理相关借用手续。 第十三条为防止计算机病毒造成严重后果，对外来移动存储介质（软盘、光盘、优盘、移动硬盘等）要严格管理，
第1章网络安全概述与环境配置 一、选择题 1. 狭义上说的信息安全，只是从自然科学的角度介绍信息安全的研究内容。 2. 信息安全从总体上可以分成5个层次，密码技术是信息安全中研究的关键点。 3. 信息安全的目标CIA指的是机密性，完整性，可用性。 4. 1999年10月经过国家质量技术监督局批准发布的《计算机信息系统安全保护等级划分准则》将计算机安全保护划分为以下5个级别。 二、填空题 1. 信息保障的核心思想是对系统或者数据的4个方面的要求：保护（Protect），检测（Detect），反应（React），恢复（Restore）。 2. TCG目的是在计算和通信系统中广泛使用基于硬件安全模块支持下的可信计算平台Trusted Computing Platform，以提高整体的安全性。 3. 从1998年到2006年，平均年增长幅度达50％左右，使这些安全事件的主要因素是系统和网络安全脆弱性（Vulnerability）层出不穷，这些安全威胁事件给Internet带来巨大的经济损失。 4. B2级，又叫结构保护（Structured Protection）级别，它要求计算机系统中所有的对象都要加上标签，而且给设备（磁盘、磁带和终端）分配单个或者多个安全级别。 5. 从系统安全的角度可以把网络安全的研究内容分成两大体系：攻击和防御。 三、简答题 1. 网络攻击和防御分别包括哪些内容？ 答：①攻击技术：网络扫描，网络监听，网络入侵，网络后门，网络隐身 ②防御技术：安全操作系统和操作系统的安全配置，加密技术，防火墙技术，入侵检测，网络安全协议。 2. 从层次上，网络安全可以分成哪几层？每层有什么特点？ 答：从层次体系上，可以将网络安全分为4个层次上的安全： （1）物理安全特点：防火，防盗，防静电，防雷击和防电磁泄露。 （2）逻辑安全特点：计算机的逻辑安全需要用口令、文件许可等方法实现。 （3）操作系统特点：操作系统是计算机中最基本、最重要的软件。操作系统的安全是网络安全的基础。 （4）联网安全特点：联网的安全性通过访问控制和通信安全两方面的服务来保证。 3、为什么要研究网络安全？ 答：目前研究网络安全已经不只为了信息和数据的安全性。网络安全已经渗透到国家的政治、经济、军事等领域，并影响到社会的稳定。 第2章网络安全协议基础 一、选择题 1. OSI参考模型是国际标准化组织制定的模型，把计算机与计算机之间的通信分成7个互相连接的协议层。 2. 表示层服务的一个典型例子是用一种一致选定的标准方法对数据进行编码。。 3. 子网掩码是用来判断任意两台计算机的IP地址是否属于同一子网络的根据。。 4. 通过ICMP协议，主机和路由器可以报告错误并交换相关的状态信息。 5. 常用的网络服务中，DNS使用UDP协议。 二、填空题 1. 网络层的主要功能是完成网络中主机间的报文传输，在广域网中，这包括产生从源端到目的端的路由。 2. TCP/IP协议族包括4个功能层：应用层、传输层、网络层和网络接口层。这4层概括了相对于OSI参考模型中的7层。 3. 目前E-mail服务使用的两个主要协议是简单邮件传输协议（SMTP）和邮局协议（POP）。 4. ping指令通过发送ICMP包来验证与另一台TCP/IP计算机的IP级连接，应答消息的接收情况将和往返过程的次数一起显示出来。
网络安全试题二 一．判断题（） 1.网络安全管理漏洞是造成网络受攻击的原因之一。t 2.人为的主动攻击是有选择地破坏信息的有效性和完整性。t 3.防火墙技术是网络与信息安全中主要的应用技术。t 4."明文是可理解的数据, 其语义内容是可用的。" t 5.移位和置换是密码技术中常用的两种编码方法。t 6.在实际应用中，不可以将对称密钥密码体制与非对称密钥密码体制混用。f 7.加密算法的安全强度取决于密钥的长度。t 8.数字签名一般采用对称密码算法。 f 9.在局域网中，由于网络范围小，所以很难监听网上传送的数据。f 10.子网掩码用来区分计算机所有的子网。t 11.安全检测与预警系统可以捕捉网络的可疑行为，及时通知系统管理员。t 12.操作系统的安全设置是系统级安全的主要需求。t 13.网络服务对系统的安全没有影响，因此可以随意的增加网络服务。f 14.在系统中，不同的用户可以使用同一个帐户和口令，不会到系统安全有影响。f 15.在Windows NT操作系统中，用户不能定义自已拥有资源的访问权限。f 16.在Windows NT操作系统中，文件系统的安全性能可以通过控制用户的访问权限来实 现。t 17.用户身份认证和访问控制可以保障数据库中数据完整、保密及可用性。t 18.防火墙是万能的，可以用来解决各种安全问题。 f 19.在防火墙产品中，不可能应用多种防火墙技术。f 20.入侵检测系统可以收集网络信息对数据进行完整性分析，从而发现可疑的攻击特征。t 二．单项选择题（） 1.以下那些属于系统的物理故障：a A. 硬件故障与软件故障 B. 计算机病毒 C. 人为的失误 D. 网络故障和设备环境故障 2.在对称密钥密码体制中，加、解密双方的密钥： a A. 双方各自拥有不同的密钥 B. 双方的密钥可相同也可不同 C. 双方拥有相同的密钥 D. 双方的密钥可随意改变 3.对称密钥密码体制的主要缺点是：b A. 加、解密速度慢 B. 密钥的分配和管理问题 C. 应用局限性 D. 加密密钥与解密密钥不同 4.数字签名是用来作为：a A. 身份鉴别的方法
计算机网络安全管理制度（样本）第一章总则、安全组织 第一条为了加强对本单位计算机网络的安全保护，维护计算机网络的正常运作，根据有关法规的规定，制定本制度。任何使用本单位计算机网络的人员必须遵循此制度。 第二条根据有关法律法规，本单位须建立互联网安全领导组织，并报公安机关备案。经单位办公会研究决定，本单位计算机网络安全领导组织为：×××计算机网络安全领导小组，人员分工如下： 组长：××× 副组长：××× 安全员：×××，××× 第三条领导小组的主要职责： （一）全面负责上级机关及我市关于互联网安全政策和法规的宣传与落实； （二）研究制定本单位各项安全管理制度和安全管理措施； （三）对本单位的安全管理制度和安全措施的落实情况进行检查和督导以及安全隐患的排查； （四）精心挑选、指派一名或多名政治素质好，懂计算机知识的专业技术人员担任本单位的计算机安全员，安全员参加公安机关安全技术培训和考核后，持证上岗。 第二章计算机机房安全管理制度 第四条计算机机房管理员要保证计算机软、硬件运行正常，满足办公需要。 第五条计算机使用人员负责管理所使用的计算机，公共用机实行使用登记制度，无关人员不得使用计算机。 第六条按照计算机的操作规程要求正确操作使用计算机。 第七条禁止计算机使用人员私自拆卸计算机设备、删除及更改系统配置信息、格式化硬盘等。 第八条爱护公用设备，人为损坏计算机设备，必须照价赔偿。 第九条长时间离开计算机前必须关闭所有电源。 第三章信息发布、审核、登记、报告制度 第十条任何人员不得利用本单位计算机，从事危害国家安全、泄露国家秘密，不得从事赌博违法犯罪活动，不得侵犯国家、社会、集体利益和其他公民的合法权益，不得制作、复制和传播下列信息： （一）煽动抗拒、破坏宪法和法律、行政法规实施的； （二）煽动颠覆国家政权、推翻社会主义制度的； （三）煽动分裂国家、破坏国家统一的； （四）煽动民族仇恨、民族歧视，破坏民族团结的； （五）捏造或者歪曲事实，散布谣言，扰乱社会秩序的；
网络安全管理与维复习题一 一．判断题 1.计算机病毒对计算机网络系统威胁不大。false 2.黑客攻击是属于人为的攻击行为。ture 3.信息根据敏感程度一般可为成非保密的、内部使用的、保密的、绝密的几类。t 4.防止发送数据方发送数据后否认自已发送过的数据是一种抗抵赖性的形式。t 5.密钥是用来加密、解密的一些特殊的信息。t 6.在非对称密钥密码体制中，发信方与收信方使用不同的密钥。t 7.数据加密可以采用软件和硬件方式加密。t 8.当一个网络中的主机太多时，可以将一个大网络分成几个子网。t 9.对路由器的配置可以设置用户访问路由器的权限。t 10.计算机系统的脆弱性主要来自于操作系统的不安全性。t 11.操作系统中超级用户和普通用户的访问权限没有差别。f 12.保护帐户口令和控制访问权限可以提高操作系统的安全性能。t 13.定期检查操作系统的安全日志和系统状态可以有助于提高操作系统安全。f 14.在Windows NT操作系统中，域间的委托关系有单向委托和双向委托两种。t 15.审计和日志工具可以记录对系统的所有访问，可以追踪入侵者的痕迹，能够找出系统的 安全漏动。t 16.访问控制是用来控制用户访问资源权限的手段。t 17.数字证书是由CA认证中心签发的。t 18.防火墙可以用来控制进出它们的网络服务及传输数据。t 19.防火墙中应用的数据包过滤技术是基于数据包的IP地址及TCP端口号的而实现对数据 过滤的。t 20.病毒只能以软盘作为传播的途径。 f 二．单项选择题 1.目前广为流行的安全级别是美国国防部开发的计算机安全标准－可信任计算机标准评 价准则（Trusted Computer Standards Evaluation Criteria）。TCSEC按安全程度最低的级别是：a A D B A1 C C1 D B2 E 以上都不是 2.有一种系统具有限制用户执行某些命令或访问某些文件的权限，而且还加入了身份认证 级别；系统对发生的事件能够加以审计（audit），并写入日志当中。这个系统属于哪一个安全级别？ b A D B C1 C C2 D B2 3.属于C级的操作系统有： a A. UNIX操作系统
XXXXX 计算机信息网络安全管理制度 第一章总则 第一条为规范XXXXX系统信息化及计算机网络安全管理，促进信息化建设，提高工作效率，确保信息化网络、计算机设备安全、有效运行，特制定本制度。 第二条 XXXXX信息化及计算机网络管理工作在XXX的统一领导下，由XXXXX计算机信息网络安全管理领导小组所有成员负责具体组织实施。 第三条本单位计算机信息网络安全管理工作实行“一把手”负责制。 第四条本制度所称计算机信息安全网络管理工作包括信息化网络及设备管理、安全保密管理、计算机病毒防治、资料管理、培训等内容。 第二章信息化网络及设备管理 第五条信息化网络及设备按个人分配使用。分配到个人的设备由单位的工作人员负责，单位应指定一名熟悉计算机技术的人员负责日常管理和维护工作。 第六条凡使用信息化网络及设备的工作人员应自觉遵守相关法律法规和制度规定。对违反规定使信息化网络及设备不能正常工作和造成重大事故者，追究其相应责任，后
果严重的，依法追究法律责任。 第七条严禁在信息化设备上安装与工作无关的、未经广泛验证为安全的软件程序。严禁带电拔插计算机内部配件。移动非便携式信息网络设备应断电后进行。离开工作场所前，须关闭计算机，切断电源。如有特殊情况不能关闭的，须征得本部门负责人同意。 第八条非指定的技术人员不得擅自打开信息化网络设备外壳，进行任何配臵和检测。不得擅自将信息网络设备（包括报废设备）的配件私自拆卸，移植到其它设备。 第九条未经单位负责人批准，任何人不得随意更换信息化网络设备，不得随意外借、处臵信息网络设备。外部人员如需使用本单位的信息网络设备，需经本单位主管领导同意，并在现场监督的情况下进行。 第十条对计算机进行硬盘格式化和删除操作系统文件，须事先做好数据备份工作，并由本单位信息化管理员进行操作。 第十一条各单位信息化网络设备的使用人、保管人、责任人等情况的变更，应及时报办公室和财务部门登记备案。 第十二条重要的信息化网络设备，由本单位办公室集中统一管理。如需要使用时，应办理相关借用手续。 第十三条为防止计算机病毒造成严重后果，对外来移
计算机网络安全与管理院系专业名称年级班别学号学生姓名 中文摘要：随着计算机和网络的飞速发展，网络已经涉及到国家、政府、军事、文教等诸多领域，网络安全问题在人们生产生活中占有很重要的地位。因此，在这个网络时代，加强网络的安全保障显得原来越重要。从计算机网络安全与管理出发，分析了计算机网络、网络安全、管理防范、安全存在的问题等，简单的做了一些介绍。 关键词：计算机、网络安全、安全管理 当前，随着计算机的迅猛发展为现代化建设提供了一定的技术保障。并且网络技术发展的日益普及，给我们带来了巨大的经济效益。但是，网络的发展也带来了一系列的安全隐患和威胁，导致了一些新的安全问题和社会不稳定因素。计算机网络安全面临着众多的威胁，如黑客攻击，病毒，后门等，使得人们的安全降低，严重威胁着人们的生活财产等的安全，所以网络的王权与管理刻不容缓。 1.计算机网络组成 计算机网络组成要素，无论什么类型的网络，其基本组成部分主要包括如下部分。 （1）网络终端设备 为网络的主体，一般指计算机。但随着智能化以及网络的发展，机、电视机报警设备等都可以接入网络它们都属于网路终端设备。 （2）通信链路 包括通信设备与通信线路，用以连接网络终端设备并构成计算机网络。如光缆、网卡、交换机、路由器等。
（3）网络协议 网络协议是网络终端设备之间进行通信是必须遵守的一套规则和 约定，发送的信息要遵守该约定，收到的信息按照规则或约定进行理解。目前使用最广泛的是TCP/IP。 （4）网络操作系统和网络应用软件 链接到网络上的计算机必须装有支持通信协议的网络操作系统，才能使计算机之间进行信息传递。目前几乎所有的操作系统都是网络操作系统。此外，为了提供特殊服务，计算机上还应该安装相应的网络应用程序，如浏览器、QQ、电子邮件等。 2.网络安全与管理概述 网络安全与管理的基本概念 随着计算机和通信技术的发展，国家和社会的信息化程度逐步提高，网络已成为全球信息基础设施的主要组成部分，成为现代人工作生活中必可少的一部分，人们对网络的依赖程度也逐步加深，一旦网络由于种种原因发生故障，陷于瘫痪，人们的生活也必然会受到极大的影响。网络技术如同一把双刃剑，在给我们带来便利的同时，所引发的安全隐患问题也很值得我们关注。广义来说，凡是涉及网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全所要研究的领域。网络安全是一门涉及多方面的学科，如计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学等等，它涉及安全体系结构、安全协议、密码理论、信息内容分析、安全监控、应急处理等。网络安全涉及的内容既有技术方面的问题，也有管理方面的问题，两方面相互补充，缺一不可。