龙源期刊网 https://www.doczj.com/doc/27831860.html,
浅析防火墙配置技术
作者：郑伟
来源：《电脑知识与技术·学术交流》2008年第15期
摘要：文章介绍了防火墙的配置结构的类型和特点，重点阐述了屏蔽子网防火墙和双宿主机防火墙配置技术和应用，最后，针对不同情况，提出了防火墙配置方案。
关键词：防火墙；配置技术
中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)15-20ppp-0c
Brief Analysis Firewall Disposition Technology
ZHENG Wei
(Fire in Huaibei City Public Security Detachment,Huaibei 235000,China)
Abstract:The article introduced the firewall disposition structure type and the characteristic, elaborated with emphasis the shield subnet firewall and the double host machine firewall disposition technology and the application, finally, in view of the different situation, proposed the firewall disposition plan.
Key words:Firewall;disposition;technology
1 引言
今天我们所处的信息时代，也可以说也是病毒与黑客大行其道的时代，从Internet到企业内网、从个人电脑到可上网的手机平台，没有地方是安全的。每一次网络病毒的攻击，都会让家庭用户、企业用户甚至是运营商头痛脑热。不过经历过了一次又一次的病毒危机后，人们已经开始思考网络的安全了。现在任何一个企业组建网络都会考虑到购买防火墙，且有越来越多的家庭用户在自己的电脑上甚至宽带接入端也加上了防火墙。
但是防火墙不是一道用于心理安慰的屏障，只有会用防火墙才能够真正将威胁挡在门外，如果对防火墙的防护执行设置没有结合企业内部的需求而进行认真充分的定义，添加到防火墙上的安全过滤规则就有可能允许不安全的服务和通信通过，从而给企业网络带来不必要的危险
浅析防火墙技术现状及发展 1．防火墙概述 网络安全技术的主要代表是防火墙，下面简要介绍一下这种技术。 网络安全所说的防火墙是指内部网和外部网之间的安全防范系统。它使得内部网络与因特网之间或与其它外部网络之间互相隔离、限制网络互访。用来保护内部网络。防火墙通常安装在内部网与外部网的连接点上。所有来自Internet(外部网)的传输信息或从内部网发出的信息都必须穿过防火墙 防火墙的主要功能包括： (1)防火墙可以对流经它的网络通信进行扫描．从而过滤掉一些攻击．以免其在目标计算机上被执行。 (2)防火墙可以关闭不使用的端口．而且它还能禁止特定端口的输出信息。 (3)防火墙可以禁止来自特殊站点的访问，从而可以防止来自不明入侵者的所有通信．过滤掉不安全的服务和控制非法用户对网络的访问。 (4)防火墙可以控制网络内部人员对Intemet上特殊站点的访问。 (5)防火墙提供了监视Internet安全和预警的方便端点。 2．防火墙在企业中的应用现状 由于现在的各企业中应用的网络非常广泛．所以防火墙在企业中自然也是受到了非常多的应用下面介绍（论文发表向导江编辑专业/耐心/负责扣扣二三三五一六二五九七）下防火墙在企业中具体的应用。防火墙是网络安全的关口设备．只有在关键网络流量通过防火墙的时候．防火墙才能对此实行检查、防护功能。 (1)防火墙的位置一般是内网与外网的接合处．用来阻止来自外部网络的入侵 (2)如果内部网络规模较大，并且设置虚拟局域网(VLAN)．则应该在各个VLAN之间设置防火墙 (3)通过公网连接的总部与各分支机构之间应该设置防火墙 (4)主干交换机至服务器区域工作组交换机的骨干链路上 (5)远程拨号服务器与骨干交换机或路由器之间 总之．在网络拓扑上．防火墙应当处在网络的出口与不同安全等级区域的结合处。安装防火墙的原则是：只要有恶意侵入的可能．无论是内部网还是外部网的连接处都应安装防火墙 3．防火墙技术发展趋势
浅析防火墙技术原理 数据包过滤技术工作在OSI网络参考模型的网络层和传输层，它是个人防火墙技术的第二道 防护屏障。数据包过滤技术在网络的入口，根据数据包头源地址，目的地址、端口号和协议 类型等标志确定是否允许通过。只有满足过滤条件的数据包才被转发到相应的目的地，其余 数据包则被从数据流中丢弃。 所谓的数据包过滤技术。又称“报文过滤”技术，它是防火墙最传统、最基本的过滤技术。防 火墙的产生也是从这一技术开始的，最早是于1989所提出的。防火墙的包过滤技术就是对 通信过程中数据进行过滤(又称筛选)，使符合事先规定的安全规则(或称“安全策略”)的数据包 通过，而使那些不符合安全规则的数据包丢弃。这个安全规则就是防火墙技术的根本，它是 通过对各种网络应用、通信类型和端口的使用来规定的。 包过滤方式是一种通用、廉价和有效的安全手段。它的优点是它对于用户来说是透明的，处 理速度快而且易于维护，通常被做为一道基本防线。不用改动客户机和主机上的应用程序， 因为它工作在网络层和传输层，与应用层无关。之所以通用，是因为它不是针对各个具体的 网络服务采取特殊的处理方式，适用于所有网络服务;之所以廉价，是因为大多数路由器都提 供数据包过滤功能，所以这类防火墙多数是由路由器集成的;之所以有效，是因为它能很大程 度上满足了绝大多数企业安全要求。 防火墙对数据的过滤，首先是根据数据包中包头部分所包含的源IP地址、目的IP地址、协 议类型(TCP包、UDP包、ICMP包)、源端口、目的端口及数据包传递方向等信息，判断是否 符合安全规则，以此来确定该数据包是否允许通过。 在这个网络结构中防火墙位于内、外部网络的边界，内部网络可能包括各种交换机、路由器 等网络设备。而外部网络通常是直接通过防火墙与内部网络连接，中间不会有其它网络设备。防火墙作为内、外部网络的唯一通道，所以进、出的数据都必须通过防火墙来传输的。这就 有效地保证了外部网络的所有通信请求，当然包括黑客所发出的非法请求都能在防火墙中进 行过滤。 包过滤技术最先使用的是在路由器上进行的，它也是最原始的防火墙方案。实现起来非常容易，只需要在原有的路由器上进行适当的配置即可实现防火墙方案。在整个防火墙技术的发 展过程中，包过滤技术出现了两种不同版本，称为“第一代静态包过滤”和“第二代动态包过滤”。 ①第一代静态包过滤类型防火墙 这类防火墙几乎是与路由器同时产生的，它是根据定义好的过滤规则审查每个数据包，以便 确定其是否与某一条包过滤规则匹配。过滤规则基于数据包的报头信息进行制订。报头信息 中包括IP源地址、IP目标地址、传输协议(TCP, UDP,ICMP等等)、TCP/UDP目标端口、ICMP 消息类型等。 ②第二代动态包过滤类型防火墙 这类防火墙采用动态设置包过滤规则的方法，避免了静态包过滤所具有的问题。这种技术后 来发展成为包状态监测技术。采用这种技术的防火墙对通过其建立的每一个连接都进行跟踪，并且根据需要可动态地在过滤规则中增加或更新条目。 2应用网关技术 应用级网关可以工作在OSI七层模型的任一层上，能够检查进出的数据包，通过网关复制传 递数据，防止在受信任服务器和客户机与不受信任的主机间直接建立联系。应用级网关能够
国产厂商硬件防火墙对比解析综述 防火墙从形式上可分为软件防火墙和硬件防火墙。此次，我们主要介绍硬件防火墙。防火墙一般是通过网线连接于外部网络接口与内部服务器或企业网络之间的设备。它又分为普通硬件级别防火墙和“芯片”级硬件防火墙两种。所谓“芯片”级硬件防火墙，是指在专门设计的硬件平台，其搭建的软件也是专门开发的，并非流行的操作系统，因此可以达到较好的安全性能保障。目前，在这一层面我们介绍国内几家厂商，天融信、启明星辰、联想网御、华为、安氏领信等厂商。 此次，我们将以100~500人的规模为应用对象，对各厂商的适应的“芯片”级硬件防火墙进行对比分析，分别从厂商概述、产品定位、应用领域、产品特点和功能、运行环境、典型应用、产品推荐和市场价格等多方面进行横向对比分析。其实，选购和讨论硬件防火墙并不能单纯以规模来判断，还应该考虑防火墙产品结构、数据吞吐量和工作位置、性能级别、应用功能等诸多因素。 一、厂商概述 国内硬件防火墙的品牌较多，但较早一批专注于信息安全的厂商却不多，尤其是“芯片”级的防火墙更少了。如果以架构划分，芯片级防火墙基于专门的硬件平台，专有的ASIC芯片使它们比其他种类的防火墙速度更快，处理能力更强，性能更高，因此漏洞相对比较少。不过价格相对较贵，做这类防火墙的国内厂商并不多，如天融信。另外一种方式是以X86平台为代表的通用CPU芯片，是目前使用较广泛的一种方式。这类型厂商较多，如启明星辰、联想网御、华为等。一般而言，产品价格相对上一种较低。第三类就是网络处理器(NP)，一般只被用于低端路由器、交换机等数据通信产品，由于开发难度和开发成本低，开发周期短等原因，因此，进入这一门槛的标准相对较低，也拥有部分客户群体。 1. 天融信以ASIC平台产品为主国产份额第一 天融信的自主防火墙系统，首次提出TOPSEC联动技术体系。网络卫士防火墙历经了包过滤、应用代理、核检测等技术阶段。目前，以安全操作系统 TOS 为基础，开发了NGFW4000-UF及NGFW4000系列，融合了防火墙、防病毒、入侵检测、VPN、身份认证等多种安全解决方案。其Top ASIC芯片，采用SoC (System on Chip) 技术，内置硬件防火墙单元、7层数据分析、VPN加密、硬件路由交换单元、快速报文缓存MAC等众多硬件模组。开发出了从第一代到第二代产品(内部称为猎豹I 、猎豹II)，芯片转发容量从5Gbps到10Gbps，可达到全部千兆网口的全线速小包转发速率。 除了以ASIC平台为主的产品外，X86和NP平台的产品也面向不同需求用户。据IDC 2007年的报告显示，天融信防火墙产品以16.2%的市场份额，排名网络安全产品首位。 2.启明星辰采用高性能X86硬件架构一体化网关技术
毕业设计（论文） 题目XXXXXXXXXXXXXXXXXXX 系 (部) 计算机应用技术系 专业计算机应用技术 班级应用X班 姓名XXXXXXXXX 学号XXXXX 指导老师姚玉未 系主任金传伟 年月日
肇 庆 工 商 职 业 技 术 学 院 毕 业 设 计（论 文）任 务 书 兹发给计算机应用技术系应用X 班学生 毕业设计（论文）任务书，内 容如下： 1.毕业设计（论文）题目： 2.应完成的项目： （1）掌握防火墙的软件的配置、调试、管理的一般方法 （2）掌握网络安全和网络管理中分布式防火墙的应用 （3）掌握防火墙在企业网中的使用 （4）掌握分布式防火墙在企业网络中的组建 3.参考资料以及说明： [1] 《个人防火墙》 编著：福德 人民邮电出版社 2002.8 [2] 《网络安全性设计》编著：[美] Merike Kae 人民邮电出版社 2003 年10月第二版. [3] 《网络信息安全技术》 编著：聂元铭 丘平 科学出版社 2001年2月第一版 [4] 《网络安全与Firewall 技术》编著：楚狂 等 人民邮电出版社 2004 年3月第一版 [5] 计算机网络工程实用教程 ——电子工业出版社 4.本毕业设计（论文）任务书于 年 月 日发出，应于 年 月 日前完 成。 指导教师： 签发 年 月 日 学生签名： 年 月 日
毕业设计（论文）开题报告
随着计算机网络的发展，上网的人数不断地增大，网上的资源也不断地增加，网络的开放性、共享性、互连程度也随着扩大。网络安全产品也被人们重视起来。防火墙作为最早出现的网络安全产品和使用量最大的安全产品，也受到用户和研发机构的青睐。防火墙实际上是一种访问控制技术，在某个机构的网络和不安全的网络之间设置障碍，阻止对信息资源的非法访问, 也可以使用防火墙阻止保密信息从受保护网络上被非法输出。防火墙技术作为目前用来实现网络安全措施的一种主要手段，它主要是用来拒绝未经授权用户的访问，阻止未经授权用户存取敏感数据，同时允许合法用户不受妨碍的访问网络资源。如果使用得当，可以在很大程度上提高网络安全。 关键词：网络、安全、防火墙
网盾防火墙与国内外主流防火墙 分析报告 一.防火墙产品类型发展趋势 在防火墙十多年的发展中，防火墙厂家对防火墙的分类一直在变化，各个厂家对自己的防火墙产品有不同的标榜。但在我看来，防火墙发展的总趋势都是集中在寻找防火墙性能和功能的平衡点。下面是五种典型的现行的防火墙种类。 （一.）包过滤防火墙 传统的包过滤对包的检测是工作在网络层，它只是通过逐个检查单个包的地址，协议以及端口等信息来决定是否允许此数据包通过。包过滤的主要优点是由高性能和易于配置，因此尽管包过滤的安全性低，许多厂家仍然不放弃包过滤类型，而且对包过滤进行了大量的功能扩展，如添加代理功能，用户认证，对话层的状态检测等以提高包过滤的安全性能，以求做到保证速度和安全性兼得。 （二.）应用代理防火墙 应用级防火墙主要工作于应用层。它主要的优点是通过完全隔离内网和外网的通信以及细粒度的内容检测可以达到很强的安全性能。但是它的缺点也很突出，首先它对网络性能影响很大，其次是必须为每一种服务实现一个代理所造成的开发上的麻烦,最后是应用代理防火墙对用户配置所造成的麻烦。所以应用代理防火墙的厂商也不断的想办法提高自己的性能增强自己的竞争力，另一方面也逐步向透明代理过渡以方便用户的使用。 （三.）混合型防火墙（Hybrid） 由于希望防火墙在功能和处理上能进行融合，保证完善的应用。许多厂家提出了混合型防火墙的概念。他们认为混合型防火墙应该是动态包过滤和透明代理的有机结合，可以做到用户无需知道给他提供服务的到底是用了那些技术，而防火墙根据不同的服务要求提供用户的使用要求和安全策略。而且为了保证性能只有必须使用应用代理才能实现的功能才使用代理。 （四.）全状态检测防火墙（Full State Inspection） 这是由一个知名防火墙厂家Checkpoint提出的一种新型防火墙，据Checkpoint关于firewall-1的技术文档介绍，该种防火墙既能具有包过滤的功能又能具有代理防火墙的安全性。Firewall-1拥有一个强大的检测模块（Inspection Model）,该模块可以分析所有的包通信层，并提取相关的通信及应用状态信息。Firewall-1的检查模块位于操作系统的核心，位于链路层和网络层之间，因此任何包未通过该模块检验通过之前将不会交给更高的协议层处理。据说状态检测可以支持所有主要的因特网服务和上百种应用程序，如e-mail,FTP,Telnet,Orable SQL*Net数据库存取和新兴的多媒体应用程序如
浅谈防火墙技术 最新的防火墙技术是基于状态检查的，提供“动态包过滤”的功能。基于状态检查的动态包过滤是一种新型的防火墙技术，就象代理防火墙和包过滤路由器的交叉产物。下面就由小编跟大家谈谈防火墙技术的知识吧。 浅谈防火墙技术一： 一、防火墙概述 防火墙是指一种将内部网络和外部网络分开的方法，实际上是一种隔离控制技术。在某个机构的网络和不安全的网络之间设置障碍，阻止对信息资源的非法访问，也可以阻止保密信息从受保护网络上被非法输出。通过限制与网络或某一特定区域的通信，以达到防止非法用户侵犯受保护网络的目的。防火墙是在两个网络通讯时执行的一种访问控制尺度，它对两个网络之问传输的数据包和连接方式按照一定的安全策略对其进行检查，来决定网络之问的通信是否被允许：其中被保护的网络称为内部网络，未保护的网络称为外部网络或公用网络。应用防火墙时，首先要明确防火墙的缺省策略，是接受还是拒绝。如果缺省策略是接受，那么没有显式拒绝的数据包可以通过防火
墙;如果缺省策略是拒绝，那么没有显式接受的数据包不能通过防火墙。显然后者的安全性更高。 防火墙不是一个单独的计算机程序或设备。在理论上，防火墙是由软件和硬件两部分组成，用来阻止所有网络问不受欢迎的信息交换，而允许那些可接受的通信。从逻辑上讲，防火墙是分离器、限制器、分析器;从物理上讲，防火墙由一组硬件设备(路由器、主计算机或者路由器、主计算机和配有适当软件的网络的多种组合)和适当的软件组成。 二、防火墙的基本类型 防火墙的基本类型包括包过滤、网络地址转化—NAT、应用代理和状态检测。 1.包过滤 包过滤型产品是防火墙的初级产品，其技术依据是网络中的分包传输技术。网络上的数据都是以“包”为单位进行传输的，数据被分割成为一定大小的数据包，每一个数据包中都会包含一些特定信息，如数据的源地址、目标地址、TCP/UDP源端口和目标端口等。防火墙通过读取数据包中的地址信息来判断这些“包”是否来自可信
浅析防火墙技术的分类及功能 1 防火墙技术概述 对于整个网络环境来说, 防火墙是在网络信息交互过程中, 针对网络信息实现全面的保护, 例如说当网络外部的信息要进入到内部网络环境当中, 那么防火墙网络安全技术就能够利用自身的内部组件, 针对信息进行安全检测, 检测到符合内部网络的要求时, 才能够继续实现信息流通, 如果当中发现了危险信息的存在, 那么防火墙就会主动地切断跟内部网络之间的联系, 在运行中形成安全日志, 预防同名的信息继续进行恶意攻击。防火墙的网络安全技术本身就属于一个高质量的运行管理系统。防火墙自身拥有一定的防御能力, 能够限制信息流通, 同时干预的范围也非常广泛, 能够针对整个网络进行控制, 确保系统不会受到恶意信息的攻击, 既能够防止信息泄露, 又能够保障信息的安全, 实现了防火墙的信息独立处理职能。 2 防火墙的网络安全要点 2.1 防火墙的维护 防火墙网络安全技术在不断地升级更新, 根据外界攻击的类型能够实现同步的维护工作, 开发人员在开发出防火墙之后, 并不是代表防火墙能够一直进行网络环境的维护工作, 而是需要根据网络环境的复杂性不断地更新, 能够有效保障防火墙随时随地的处于最新型的保护状态。 2.2 防火墙的配置 防火墙的配置工作, 是通过科学合理的配置来提升防火墙的防护能力, 从而实现信息保护目标。因此防火墙要建立出严格的配置原则, 分析当前网络环境的风险级别, 能够积极采取科学有效的防护措施。防火墙的配置原则可以分为三种, 第一种首先是要越简单越好, 越简单的设计也越不容易出错误, 更加容易被理解和使用。第二种原则是要全面深入, 如果防御措施过于单一, 难以保障系统的安全运行, 因此需要采用更多多元化的深层防御体系, 提升系统的安全运行质量。第三种原则是内外兼顾, 防火墙的重要特点是防外不防内, 因此要重视网络内部环境的安全管理措施, 例如说入侵检测、主机防护还有漏洞扫描等。 2.3 入侵检测 入侵检测能够主动地检测网络环境当中存在的安全漏洞, 属于目前为止发展最成熟的安全技术, 入侵检测系统的目的就是针对网络内部和外部环境的滥用计算机系统行为进行鉴别和组织。入侵检测系统能够在计算机网络系统的运行过程中收集各种信息, 查看网络中是否有违反安全策略的行为出现。当对所有信息进行入侵检测之后, 如果发现有不良信息, 就会反馈给防火墙, 然后由防火墙发挥作用, 起到抵御入侵的效能, 进而避免不良信息的侵入。 2.4 防火墙的失效处理 防火墙虽然能够对网络环境起到一定的防护作用, 但是如果到了一定的程度, 防火墙也
浅析网络防火墙技术 [论文关键词]防火墙网络安全 [论文摘要]在当今的计算机世界，因特网无孔不入。为应付“不健全”的因特网，人们创建了几种安全机制，例如访问控制、认证表，以及最重要的方法一：防火墙。随着网络技术的发展，因特网已经走进千家万户，网络的安全成为人们最为关注的问题。目前，保护内部网免遭外部入侵比较有效的方法为防火墙技术。 一、防火墙的基本概念 防火墙是一个系统或一组系统，在内部网与因特网间执行一定的安全策略，它实际上是一种隔离技术。一个有效的防火墙应该能够确保所有从因特网流入或流向因特网的信息都将经过防火墙，所有流经防火墙的信息都应接受检查。通过防火墙可以定义一个关键点以防止外来入侵；监控网络的安全并在异常情况下给出报警提示，尤其对于重大的信息量通过时除进行检查外，还应做日志登记；提供网络地址转换功能，有助于缓解IP地址资源紧张的问题，同时，可以避免当一个内部网更换ISP时需重新编号的麻烦；防火墙是为客户提供服务的理想位置，即在其上可以配置相应的WWW和FTP服务等。 二、防火墙的技术分类 现有的防火墙主要有：包过滤型、代理服务器型、复合型以及其他类型（双宿主主机、主机过滤以及加密路由器）防火墙。 包过滤（Packet Fliter）通常安装在路由器上，而且大多数商用路由器都提供了包过滤的功能。包过滤规则以IP包信息为基础，对IP源地址、目标地址、协议类型、端口号等进行筛选。包过滤在网络层进行。 代理服务器型（Proxy Service）防火墙通常由两部分构成，服务器端程序和客户端程序。客户端程序与中间节点连接，中间节点再与提供服务的服务器实际连接。 复合型（Hybfid）防火墙将包过滤和代理服务两种方法结合起来，形成新的防火墙，由堡垒主机提供代理服务。 各类防火墙路由器和各种主机按其配置和功能可组成各种类型的防火墙，主
武汉职业技术学院 总复习二 班级：姓名：学号： 一．选择题 1、对于防火墙不足之处，描述错误的是 D 。 A.无法防护基于尊重作系统漏洞的攻击 B.无法防护端口反弹木马的攻击 C.无法防护病毒的侵袭 D.无法进行带宽管理 2. 防火墙对数据包进行状态检测包过滤是，不可以进行过滤的是：D。 A: 源和目的IP地址 B: 源和目的端口 C: IP协议号 D: 数据包中的内容 3. 防火墙对要保护的服务器作端口映射的好处是： D 。 A: 便于管理 B: 提高防火墙的性能 C: 提高服务器的利用率 D: 隐藏服务器的网络结构，使服务器更加安全 4. 关于防火墙发展历程下面描述正确的是 A 。 A.第一阶段：基于路由器的防火墙 B. 第二阶段：用户化的防火墙工具集 C. 第三阶段：具有安全尊重作系统的防火墙 D: 第四阶段：基于通用尊重作系统防火墙 5. 包过滤防火墙的缺点为： A 。 A. 容易受到IP欺骗攻击 B. 处理数据包的速度较慢 C: 开发比较困难 D: 代理的服务（协议）必须在防火墙出厂之前进行设定 6. 内网用户通过防火墙访问公众网中的地址需要对源地址进行转换，规则中的动作应选择： B 。 A:Allow B：NAT C：SAT D：FwdFast 7. 从安全属性对各种网络攻击进行分类，阻断攻击是针对 B 的攻击。 A. 机密性 B. 可用性 C. 完整性 D. 真实性 8. VPN的加密手段为 C 。 A. 具有加密功能的防火墙
B. 具有加密功能的路由器 C. VPN内的各台主机对各自的信息进行相应的加密 D. 单独的加密设备 9. 根据ISO的信息安全定义，下列选项中___ B _是信息安全三个基本属性之一。 A 真实性 B 可用性 C 可审计性 D 可靠性 10. 计算机病毒最本质的特性是__ C__。 A 寄生性 B 潜伏性 C 破坏性 D 攻击性 11. 防止盗用IP行为是利用防火墙的 C 功能。 A: 防御攻击的功能 B: 访问控制功能 C: IP地址和MAC地址绑定功能 D: URL过滤功能 12. F300-Pro是属于那个级别的产品 C 。 A:SOHO级（小型企业级） B：低端产品（中小型企业级） C：中段产品（大中型企业级） D：高端产品（电信级） 13. 一般而言，Internet防火墙建立在一个网络的 C 。 A. 内部子网之间传送信息的中枢 B. 每个子网的内部 C. 内部网络与外部网络的交叉点 D. 部分内部网络与外部网络的结合处 14. 目前，VPN使用了 A 技术保证了通信的安全性。 A. 隧道协议、身份认证和数据加密 B. 身份认证、数据加密 C. 隧道协议、身份认证 D. 隧道协议、数据加密 15. 我国在1999年发布的国家标准_ C ___为信息安全等级保护奠定了基础 A．GB 17799 B ．GB 15408 C．GB 17859 D．GB 14430 16. 网络安全最终是一个折衷的方案，即安全强度和安全操作代价的折衷，除增加安全