学文网网络安全篇1
[论文摘要]随着计算机互联网技术的飞速发展，网络信息已经成为社会发展的重要组成部分。它涉及到***府、经济、文化、***事等诸多领域。由于计算机网络组成形式多样性、终端分布广和网络的开放性、互联性等特征，致使网络信息容易受到来自黑客窃取、计算机系统容易受恶意软件攻击，因此，网络信息资源的安全与保密成为一个重要的话题。详细阐述常见的计算机网络安全威胁，进而提出几种常用的网络安全防范措施.
一、引言
计算机网络是以共享资源（硬件、软件和数据等）为目的而连接起来的，在协议控制下，由一台或多台计算机、若干台终端设备、数据传输设备、以及便于终端和计算机之间或者若干台计算机之间数据流动的通信控制处理机等组成的系统的集合，这些计算机系统应当具有***自治的能力。计算机网络的最主要功能是向用户提供资源的共享，而用户本身无需考虑自己以及所用资源在网络中的位置。资源共享包括硬件共享、软件共享和数据共享。
随着网络技术在全球迅猛发展，网络信息化在给人们带来种种的方便同时，我们也正受到日益严重的来自网络的安全威胁。尽管我们广泛地使用各种复杂的安全技术，如防火墙、数据加密技术、访问控制技术、通道控制机制，但是，仍然有很多黑客的非法入侵，对社会造成了严重的危害。如何解决各种来自网络上的安全威胁，怎样才能确保网络信息的安全性。本文通过对网络安全存在的威胁进行分析，总结出对威胁网络安全的几种典型表现形式，从而归纳出常用的网络安全的防范措施。
二、计算机网络安全存在的威胁
由于计算机网络计算机网络组成形式多样性、终端分布广和网络的开放性、互联性等特征，致使网络容易受到来自黑客、恶意软件和其它种种攻击。
（一）常见的计算机网络安全威胁主要有：信息泄露、完整性破坏、拒绝服务、网络滥用。
信息泄露：信息泄露破坏了系统的保密性，他是指信息被透漏给非授权的实体。常见的，能够导致信息泄露的威胁有：网络监听、业务流分析、电磁、射频截获、人员的有意或无意、媒体清理、漏洞利用、授权侵犯、物理侵入、病毒、木马、后门、流氓软件、网络钓鱼。
完整性破坏：可以通过漏洞利用、物理侵犯、授权侵犯、病毒，木马，漏洞来等方式实现。
拒绝服务攻击：对信息或资源可以合法的访问却被非法的拒绝或者推迟与时间密切相关的操作。
网络滥用：合法的用户滥用网络，引入不必要的安全威胁，包括非法外联、非法内联、移动风险、设备滥用、业务滥用。
（二）常见的计算机网络络安全威胁的表现形式主要有：窃听、重传、伪造、篡改、拒绝服务攻击、行为否认、电子欺骗、非授权访问、传播病毒。
窃听：攻击者通过监视网络数据的手段获得重要的信息，从而导致网络信息的泄密。
重传：攻击者事先获得部分或全部信息，以后将此信息发送给接收者。
篡改：攻击者对合法用户之间的通讯信息进行修改、删除、插入，再将伪造的信息发送给接收者，这就是纯粹的信息破坏，这样的网络侵犯者被称为积极侵犯者。积极侵犯者的破坏作用最大。
拒绝服务攻击：攻击者通过某种方法使系统响应减慢甚至瘫痪，阻止合法用户获得服务。
行为否认：通讯实体否认已经发生的行为。
电子欺骗：通过假冒合法用户的身份来进行网络攻击，从而达到掩盖攻击者真实身份，嫁祸他人的目的.
非授权访问：没有预先经过同意，就使用网络或计算机资源被看作非授权访问。
传播病毒：通过网络传播计算机病毒，其破坏性非常高，而且用户很难防范。
三、计算机网络安全的防护措施
在当今网络化的世界中，网络的开放性和共享性在方便了人们使用的同时，也使得网络很容易遭受到攻击，而攻击的后果是严重的，诸如数据被人窃取、服务器不能提供服务等等。随着信息技术的高速发展，网络安全技术也越来越受到重视，由此推动了物理措施、防火墙、访问控制、数据加密、病毒的防护等各种网络安全的防护措施蓬勃发展。
物理措施：比如，保护网络关键设备，制定严格的网络安全规章制度，采取防辐射、防火以及安装不间断电源等措施。
防火墙：目前技术最为复杂而且安全级别最高的防火墙是隐蔽智能网关，它将网关隐藏在公共系统之后使其免遭直接攻击。隐蔽智能网关提供了对互联网服务进行几乎透明的访问，同时阻止了外部未授权访问对专用网络的非法访问。
访问控制：对用户访问网络资源的权限进行严格的认证和控制。
数据加密：对网络中传输的数据进行加密，到达目的地后再解密还原为原始数据，目的是防止非法用户截获后盗用信息。
病毒的防护：在企业培养集体防毒意识，部署统一的防毒策略，高效、及时地应对病毒的入侵。
其他措施：其他措施包括信息过滤、容错、数据镜像、数据备份和审计等。近几年来，都是围绕网络安全问题提出了许多解决办法，例如数据加密技术、防火墙技术安、安全审计技术、安全管理技术、系统漏洞检测技术等等。
目前市场普遍被采用的网络安全技术有：主机安全技术、身份认证技术、访问控制技术、密码技术、防火墙技术、安全审计技术、安全管理技术、系统漏洞检测技术、黑客跟踪技术。但是，有了安全技术还是远远不够，许多网络安全事件的发生都与缺乏安全防范意识有关，所以，我们要有网络安全防范意识并建立起相应的安全机制（比如：加密机制、数字签名机制、访问控制机制、数据完整性机制、认证机制、信息流填充机制、路由控制机制、公正机制等）就可以使网络安全得到保障。
四、结束语
在网络信息化时代，网络安全已越来越受重视了。虽然现在用于网络安全防护的产品有很多，但是黑客他们仍然无孔不入，对社会造成了严重的危害。根本原因是网络自身的安全隐患无法根除，这就使得黑客进行入侵有机可乘。尽管如此，随着网络安全技术日趋完善，降低黑客入侵的可能性，使网络信息安全得到保障。如何把握网络技术给人们带来方便的同时，又能使信息安全得到保证，这将是我们培养新一代网络管理人员的目标。
参考文献：
[1]张民、徐跃进，网络安全实验教程，清华大学出版社，2007，6.
[2]许治坤、王伟、郭添森、杨冀龙，网络渗透技术，电子工业出版社，2005-5-11.
网络安全篇2
1.1漏洞扫描
漏洞扫描是通过扫描网络系统有关硬软件要素或者网络系统应用的安全策略错误引起的安全隐患。当漏洞扫描程序发现未经许可的系统访问或者企***破坏网络系统正常运行的行为来评判网络系统所面临的安全威胁，其主要针对由于网络协议、参数配置不当或者应用系统缺陷引起的安全漏洞。目前，针对漏洞扫描的方法主要有漏洞库的特征匹配法和插件技术2种。其中，漏洞库的特征匹配法是采用基于规则的匹配技术，由扫描程序自动运行进行的漏洞扫描工作；插件技术又称为功能模块技术，是通过脚本语言编写的扫描程序来检测系统漏洞，这种技术使漏洞扫描软件的生机维护变得相对简单，插件的形式也大大提高了漏洞扫描软件的扩展性。
1.2端口扫描
端口扫描是指对网络潜在通信通道的扫描，主要通过2种手段来实现。
①向目标主机的TCP/IP服务端口发送扫描探测数据包，并记录目标主机的反馈信息，通过分析反馈信息判断主机应用端口的开关，以此来获得端口运行的相关信息；
②通过网络主机/服务器的出入数据包来监视本地主机运行情况。第二种手段再应用过程中只可以分析接收到的数据，而不会重新产生系统应用程序，这样可以防止产生新的安全威胁，有效帮助网络管理员及时发现网络安全隐患。典型的端口扫描方式主要有TCP全连接扫描和TCP半连接扫描。其中，TCP全连接扫描的工作流程是通过向主机端口发送Syn报文，然后接收端口的反馈信息Syn/Ack，最后再向目标端口发送Ack报文；TCP半连接扫描又叫"半开放扫描"，它的工作流程是通过扫描程序向目标端口发送Syn报文，通过分析反馈信息来判断端口是出于侦听还是关闭状态，其过程的建立不是建立在完全连接的基础之上，所以不会在网络主机上保存记录，只需要开放相关权限即可。
1.3操作系统探测
操作系统探测是通过检查操作系统类型或版本信息来确保网络信息安全的一种手段。随着操作系统应用功能的不断强大，其系统构建越来越复杂，导致操作系统的安全隐患也越来越多。许多网络攻击者都将操作系统作为攻击首选，但要达成攻击目的，收集主机操作系统信息是必要条件，因此运用操作系统探测技术来探测目标主机信息可以做到针对操作系统安全隐患的未雨绸缪。目前，应用的操作系统探测技术主要有TCP/IP协议栈指纹探测和应用层探测2种。TCP/IP协议栈指纹探测是通过探测操作系统TCP/IP协议栈实现过程中的差别来判定操作系统类别；应用层探测技术是通过与目标主机建立联系，以发送服务连接或访问主机记录的方式来探测目标主机操作系统的有关信息。
2应用原则及需求分析
网络安全扫描系统是网络安全扫描技术应用的重要形式，其应用效果的好坏直接影响到整个网络应用系统的信息安全，因此，在专用网络安全扫描系统应用过程中需要把握以下原则：
①要把握人机工效原则，具有友好用户界面，使用户能够对扫描过程进行灵活控制，并反馈清晰有效的扫描结果；
②要把握效率提升原则，具备并行扫描能力，能够采用多线程技术对网络系统进行并行扫描，确保网络安全扫描的效率；
③要把握灵活扩展原则，具备良好扩展性能，能够根据网络安全扫描的应用需求及时增加或者优化功能模块；
④把握稳定可靠原则，确保扫描结果准确，为网络安全分析提供可靠依据。需求分析是专用网络安全扫描系统设计应用的基石，根据当前专用网络面临的主要安全威胁，网络安全扫描技术在应用过程中应该灵活采用弱口令扫描、漏洞扫描、端口扫描以及操作系统探测等关键技术，确保专用网络系统的各个信息安全相关要素都能够在网络安全扫描的范围内，使隐患减少到最低。
3专用网络安全扫描系统设计
3.1系统架构
在现有网络安全环境下，网络安全扫描系统在设计过程中应该优选模块化设计方案，在架构构建过程中需要确保主要功能模块能够动态加载，关键硬件实现即插即用，以确保专用网络安全扫描系统的体系架构具有良好的功能拓展能力。根据网络安全扫描技术的综合应用需求，专用网络安全扫描系统主要包括主程序以及4大关键技术的功能应用模块。主程序模块用于支撑专用网络安全扫描系统的体系架构，同时具备调度线程的启动能力，在专用网络安全扫描系统中它主要包括4项基本功能，即系统初始化功能、用户请求信息处理功能、安全扫描功能模块的加载功能和检测制定范围内主机存活的功能等。功能应用模块主要针对弱口令扫描、漏洞扫描、端口扫描以及操作系统探测4大关键技术的应用，在设计过程中既要保证各功能应用模块应用优势的充分发挥，又要保证功能模块的实时加载，使专用网络安全扫描系统能够针对不同的网络安全威胁加载相应的功能应用模块，确保整个专用网络系统的安全。通常功能应用模块以网络安全扫描各关键技术的应用模块形式存在，主要包括端口扫描模块、弱口令扫描模块、操作系统探测模块和漏洞扫描模块等。
3.2系统运行流程
专用网络安全扫描系统在运行过程中通常根据采用技术体制的不同而有所区别，但是结合专用网络安全扫描系统的基本任务情况，基本都包括以下几个步骤：
①运行系统主程序，加载业务功能模块，使各模块的基本信息倍主程序识别；
②设置系统参数和业务功能模块参数。系统参数包括扫描范围、业务功能模块选择以及信息传输路径和格式等，业务功能模块参数主要包括各模块在运行过程中所需要的相关参数，主要包括端口种类数量、文件路径等；
③主程序加载业务功能模块的应用参数，并将其保存在主程序服务列表中，以方便各个业务功能模块及时调用；
④判断用户主机存活与否，根据判断结果来决定是否启动扫描行为；
⑤选取需要使用的业务功能模块，并将该模块的功能函数地址存入系统主程序，以启用调度线程队扫描线程进行管控；
⑥扫描线程结束之后，通过调度线程发送消息通知系统主程序模块（在扫描过程中用户可以通过调度线程随时暂停、继续和停止扫描，各扫描模块也可以调用消息函数与系统主程序交互，以实时显示扫描进度和结果）；
⑦系统主程序收到扫描结束信息后，可以自动生成网络安全扫描报告并将结果反馈用户。
4结束语
网络安全篇3
关键词：安全生态；网络安全
中***分类号：TP393 文献标识码：A 文章编号：1009-3044（2016）16-0096-02
自互联网问世以来，网络安全就成为人类牵肠挂肚的事情。从表面看，网络安全只是针对网络所讲的安全，但本质上，网络安全涉及的内容广博、形式多样、主体多元，牵扯方方面面，是一个系统的大生态问题。因此，有必要将网络安全放在安全生态的背景下做深度的反思。
1 安全生态的界定及特征
安全是与风险、危险关联的对应词。按照《现代汉语词典》的解释，安全是指没有危险，不受威胁，不出事故。它要求人类与人类，人类与各种环境和谐相处，科学配合，有成绩的进步。谈论安全、追求安全的目的是防范、消弭危险，使人类在特定时间、针对特定事物，其假设目标的实现有一个良好运行的内外部环境和机制体制。发展、运行过程及结果没有危险，不出事故，但在现实生活中绝对意义的安全是不可能的，客观地讲，只能是少有危险，或各类风险、危险能够控制和及时化解。
生态是生物的生活状态。指生物在一定的自然环境下生存和发展的状态，也指生物的生理特性和生活习性。是生物与生物之间及生物与环境之间实现一种默契，达到高度适应、协调和统一的状态。生态是一个演变、发展有规律的系统，其目标在于系统功能的不断完善、不断净化。当然这个系统所包含的内涵层次呈多元化态势，既有生物自身的内容，有生物与生物间的内容，有环境自身的内容，有环境与环境间的内容，也有生物与环境间的内容，各种内容的交织、叠加，使得生态系统的内涵层次多元而异彩纷呈。同时，生态系统中资源承载量和环境容纳量在一定的时空范围内是恒定的，但其分布是不平衡的，存在着差异，差异导致竞争，优势和劣势不断交替。当然任何一个生物个体都有其资源生态位，成功、幸福、目标满足的生物个体一定是善于拓展自己资源，提高生态位适应环境的个体，是一个能量输入和输出平衡的个体，从而导致生态系统也是如此。另外生态系统也是联系共生的，是风险与安全在博弈中达到平衡的系统。
安全生态是指在自然环境下，生物与生物，环境与环境，生物与环境之间没有风险，不出事故，默契、适应、协调、统一的状态。其基本特征是：
1）指向明确。安全生态是一种社会存在的客观生态形式，他追求的终极目标是安全。不仅要求生物与生物间的安全，环境与环境间的安全，而且也要求生物与环境间的安全。在相对静止，和谐相处时要安全，即便在正负能量冲突中，风险也要可控。安全是安全生态的最终落脚点与目标指向。明晰的目标追求使安全生态可视价值跃然纸上。
2）主体泛在。在灵动的社会生活中，安全是人类难以割舍的不懈追求。安全生态与不同的社会生活主体结合，都会有目标明晰但内容要求不尽相同的生态目标。社会生活主体的多样性，决定了安全生态主体的泛在。这种泛在，构成了林林总总的安全生态要求，并随着社会分工的细化与多元，安全生态主体不断衍生已是大势所趋。
3）静中有动。生态是一种和谐统一的状态。这种和谐统一，随着生态能量的输入与输出在不断运动变化。当生态框架内的诸多因素相对守恒稳定时，生态系统是安全的，当生态框架内诸多因素发生矛盾碰撞，生态各因素间条件约束发生变化后，生态系统就会有风险的出现，安全就面临拷问，需要生态系统的诸因素不断调整，实现新的平衡，达到新的安全。这种运动冲突一类是实质变革的***式运动，一类是改良式的修复运动。安全生态诸因素的变化、修复、调整、变革决定了生态系统能量守恒的静止只是相对的，***式和改良式的运动却是绝对的，安全生态是在变革与修复中存在，具有了静中会动、静中有动的特征。
4）平衡完善。正是由于安全生态运动的绝对性，决定了安全生态的和谐平衡不会也不可能是永恒的。需要在各种能量的输入、输出的交织、博弈中，在生态的***式变革和改良式修复中，不断完善，实现新的平衡。从目标讲，是安全的实现。从能量讲，是正负能量冲突后的守恒。从形式讲，是生物与生物、环境与环境、生物与环境的和谐。从本质讲，则是风险因素的剔除，对危险细胞的修复或替代，是对生态系统存在的非安全因素的矫正、完善和变革。
2 加强安全生态建设是保证网络安全的必须
网络作为社会现代化的重要标志，而且以令人瞠目的速度进入寻常百姓家的现实，使得网络已成为社会进步、***治文明、经济发展、文化繁荣的有力支撑。当然，对网络安全的认知也上升到一个新高度。中国***自建立以来就十分关注安全，并在安全的基础上完成了新民主主义民主***、社会主义***和建设的任务，开创了有中国特色的社会主义道路。***的十首次提出了网络安全的概念，将网络安全提升到了治国理***的高度。十八届三中全会再次提出网络与信息安全，又一次证明了***对网络安全追求的坚毅与矢志不移。同时从网络运行的实际看，在国际视野内，由网络安全问题引发的国际***治、经济、文化的起伏已不再是虚幻，“棱镜门----斯诺登”事件就是鲜活的例证。从国内看，网络风险遍存，形式多样、变幻莫测。2015年“3.15”晚会所展现的网络风险，让人惊悚后怕。谋求洁净、和谐、稳定、环保的网络安全已是箭在弦上，不可期艾的大事。由于网络安全在本质上涉及与网络关联的方方面面，已不再是单一的就网络而言的安全，而是一个生态系统的安全，思考网络安全必须从安全生态的角度出发。
从环境的角度讲，安全生态是保证网络安全的必须。网络安全的主体是网络，结果是安全。但是网络存在不是孤立的。也就是说，有着客观的存在环境。网络与环境的和谐统一、平衡适应、有序递进构成了客观存在的安全生态。这些环境，从宏观角度看，可以理解为网络存在的社会环境，包含了***治环境、经济环境、文化环境、教育环境等由诸多内容组成的环境系统，构成了网络安全的环境营养圈。从微观角度看，可以理解为网络存在的运行环境，包含着硬件环境、软件环境、人文环境、科技环境等内容组成的环境系统，构成了网络安全的环境实施圈。在这样错综复杂的环境中，要实现网络安全，就要考虑环境的安全，也就要思考安全生态。因此，对安全生态的思考已然成为保证网络安全的必须。
从内容的角度讲，安全生态建设是保证网络安全的必须。存在于现实生活中的网络，其建设、发展、运行范围及其评价具有了明显的社会性，关乎***治、经济、文化、教育、民生的各个方面。从这些内容讲，网络安全自然也不再是网络自己的问题，而是与诸多内容紧密相连的生态系统安全的问题，要实现网络安全，单单考量网络是不够的，更重要的是要思考以诸多内容关联的生态系统。只有生态系统的安全，才会有网络安全的存在。
从功能的角度讲，安全生态建设是保证网络安全的必须。生态功能的发挥是平衡目标的实现，平衡将成为安全的前提。网络安全成功的存在，既受益于环境，也受制于环境。既作用于内容，也反作用于内容。恰恰是网络、环境两者组成的生态在能量的交换、更替、对立、发展中，不断整合，不断进步，吐故纳新，不断修复，调适，实现新的平衡的过程。安全生态鲜明价值功能的，实现了网络安全的目标。因此，从功能的角度讲，只有安全生态的存在，网络安全才能存在。
3网络安全生态建设的路径思考
保证网络安全，消弭网络风险业已成为当下社会常态化思考的问题。但仅有思考是不够的，以网络安全为基准，做好安全生态建设路径的设计，实现网络安全，是当下我们着重考虑的问题。
1）提高认识。客观的讲，目前，对网络安全重要性的认识，已引起人们的高度关注。但是，从安全生态的角度来思考网络安全做的还很不够。可以说，还是刚刚起步。一是对安全生态认识不足。二是对安全生态与网络安全的关系认识不足。三是对安全生态建设认识不足。四是对上述认识的主体不仅十分局限，而且认识也参差不齐。要从安全生态的角度，保证网络安全，必须从认识层面有本质的提升。一方面，提高全社会对安全生态建设，保证网络安全这一命题的认识。认识的主体要做到全社会的覆盖，通过各种宣传手段，入心、入脑，做到家喻户晓。为通过安全生态建设，保证网络安全夯实思想基础。另一方面，提高对命题内涵和关系的认识。在正确认识网络的基础上，从学理和实践的层面，深刻理解安全生态的内涵、安全生态与网络安全的关系，扣住概念、握住逻辑、盯住实践，形成网络安全大框架下的安全生态建设的大逻辑，拿出安全生态建设的大设计，最终实现网络的大安全。
网络安全篇4
一 绪论 安全管理的发展趋势和现状
1、 网络安全现状
计算机网络的广泛应用是当今信息社会的一场***。电子商务和电子***务等网络应用的发展和普及不仅给我们的生活带来了很大的便利，而且正在创造着巨大的财富，以internet为代表的全球性信息化浪潮日益深刻，信息网络技术的应用正日益普及和广泛，应用层次不断深入，应用领域更是从传统的、小型业务系统逐渐向大型、关键业务系统扩展。
与此同时，计算机网络也正面临着日益剧增的安全威胁。广为网络用户所知的黑客行为和攻击活动正以每年10倍的速度增长，网页被修改、非法进入主机、发送假冒电子邮件、进入银行系统盗取和转移资金、窃取信息等网络攻击事件此起彼伏。计算机病毒、特洛伊木马、拒绝服务攻击、电子商务入侵和盗窃等，都造成了各种危害，包括机密数据被篡改和窃取、网站页面被修改或丑化、网络瘫痪等。网络与信息安全问题日益突出，已经成为影响国家安全、社会稳定和人民生活的大事，发展与现有网络技术相对应的网络安全技术，保障网络安全、有序和有效的运行，是保证互联网高效、有序应用的关键之一。
2、 现有网络安全技术
计算机网络是基于网络可识别的网络协议基础之上的各种网络应用的完整组合，协议本身和应用都有可能存在问题，网络安全问题包括网络所使用的协议的设计问题，也包括协议和应用的软件实现问题，当然还包括了人为的因素以及系统管理失误等网络安全问题，下表示意说明了这些方面的网络安全问题。
问题类型 问题点 问题描述
协议设计 安全问题被忽视 制定协议之时，通常首先强调功能性，而安全性问题则是到最后一刻、甚或不列入考虑范围。
其它基础协议问题 架构在其他不穏固基础协议之上的协议，即使本身再完善也会有很多问题。
流程问题 设计协议时，对各种可能出现的流程问题考虑不够周全，导致发生状况时，系统处理方式不当。
设计错误 协议设计错误，导致系统服务容易失效或招受攻击。
软件设计 设计错误 协议规划正确，但协议设计时发生错误，或设计人员对协议的认知错误，导致各种安全漏洞。
程序错误 程序撰写习惯不良导致很多安全漏洞，包含常见的未检查资料长度内容、输入资料容错能力不足、未检测可能发生的错误、应用环境的假设错误、引用不当模块、未检测资源不足等。
人员操作 操作失误 操作规范严格且完善，但是操作人员未受过良好训练、或未按手册操作，导致各种安全漏洞和安全隐患。
系统维护 默认值不安全 软件或操作系统的预设设置不科学，导致缺省设置下系统处于不安全的状况下。容易遭受病毒、蠕虫、特洛依木马等的攻击。
未修补系统 软件和操作系统的各种补丁程序没有及时修复。
内部安全问题 对由信任系统和网络发起的各种攻击防范不够。信任领域存在的不安全系统，成为不信任领域内系统攻击信任领域的各种跳板。
针对上表所示的各种网络安全问题，全世界的网络安全厂商都试***发展了各种安全技术来防范这些问题，这些技术包括访问控制技术、识别和鉴别技术、密码技术、完整性控制技术、审计和恢复技术、防火墙系统、计算机病毒防护、操作系统安全、数据库系统安全和抗抵赖协议等，相继陆续推出了包括防火墙、入侵检测（ids）、防病毒软件、ca系统、加密算法等在内的各类网络安全软件，这些技术和安全系统（软件）对网络系统提供了一定的安全防范，一定程度上解决了网络安全问题某一方面的问题。
3、 现有网络安全技术的缺陷
现有的各种网络安全技术都是针对网络安全问题的某一个或几个方面来设计的，它只能相应地在一定程度上解决这一个或几个方面的网络安全问题，无法防范和解决其他的问题，更不可能提供对整个网络的系统、有效的保护。如身份认证和访问控制技术只能解决确认网络用户身份的问题，但却无法防止确认的用户之间传递的信息是否安全的问题，而计算机病毒防范技术只能防范计算机病毒对网络和系统的危害，但却无法识别和确认网络上用户的身份等等。
现有的各种网络安全技术中，防火墙技术可以在一定程度上解决一些网络安全问题。防火墙产品主要包括包过滤防火墙，状态检测包过滤防火墙和应用层防火墙，但是防火墙产品存在着局限性。其最大的局限性就是防火墙自身不能保证其准许放行的数据是否安全。同时，防火墙还存在着一些弱点：一、不能防御来自内部的攻击：来自内部的攻击者是从网络内部发起攻击的，他们的攻击行为不通过防火墙，而防火墙只是隔离内部网与因特网上的主机，监控内部网和因特网之间的通信，而对内部网上的情况不作检查，因而对内部的攻击无能为力；二、不能防御绕过防火墙的攻击行为：从根本上讲，防火墙是一种被动的防御手段，只能守株待兔式地对通过它的数据报进行检查，如果该数据由于某种原因没有通过防火墙，则防火墙就不会采取任何的措施；三、不能防御完全新的威胁：防火墙只能防御已知的威胁，但是人们发现可信赖的服务中存在新的侵袭方法，可信赖的服务就变成不可信赖的了；四、防火墙不能防御数据驱动的攻击：虽然防火墙扫描分析所有通过的信息，但是这种扫描分析多半是针对ip地址和端口号或者协议内容的，而非数据细节。这样一来，基于数据驱动的攻击，比如病毒，可以附在诸如电子邮件之类的东西上面进入你的系统中并发动攻击。
入侵检测技术也存在着局限性。其最大的局限性就是漏报和误报严重，它不能称之为一个可以信赖的安全工具，而只是一个参考工具。
在没有更为有效的安全防范产品之前，更多的用户都选择并依赖于防火墙这样的产品来保障自己的网络安全，然而相对应的是，新的os漏洞和网络层攻击层出不穷，攻破防火墙、攻击计算机网络的事件也越来越多，因此，开发一个更为完善的网络安全防范系统来有效保护网络系统，已经成为各网络安全厂商和用户的共同需求和目标。
4发展趋势：
中国的网络安全技术在近几年得到快速的发展，这一方面得益于从中央到地方***府的广泛重视，另一方面因为网络安全问题日益突出，网络安全企业不断跟进最新安全技术，不断推出满足用户需求、具有时代特色的安全产品，进一步促进了网络安全技术的发展。
从技术层面来看，目前网络安全产品在发展过程中面临的主要问题是：以往人们主要关心系统与网络基础层面的防护问题，而现在人们更加关注应用层面的安全防护问题，安全防护已经从底层或简单数据层面上升到了应用层面，这种应用防护问题已经深入到业务行为的相关性和信息内容的语义范畴，越来越多的安全技术已经与应用相结合。
4.1、现阶段网络安全技术的局限性
谈及网络安全技术，就必须提到网络安全技术的三大主流—防火墙技术、入侵检测技术以及防病毒技术。
任何一个用户，在刚刚开始面对安全问题的时候，考虑的往往就是这“老三样”。可以说，这三种网络安全技术为整个网络安全建设起到了功不可没的作用，但是传统的安全“老三样”或者说是以其为主的安全产品正面临着许多新的问题。
首先，从用户角度来看，虽然系统中安装了防火墙，但是仍避免不了蠕虫泛滥、垃圾邮件、病毒传播以及拒绝服务的侵扰。
其次，未经大规模部署的入侵检测单个产品在提前预警方面存在着先天的不足，且在精确定位和全局管理方面还有很大的空间。
再次，虽然很多用户在单机、终端上都安装了防病毒产品，但是内网的安全并不仅仅是防病毒的问题，还包括安全策略的执行、外来非法侵入、补丁管理以及合规管理等方面。
所以说，虽然“老三样”已经立下了赫赫战功，且仍然发挥着重要作用，但是用户已渐渐感觉到其不足之处。其次，从网络安全的整体技术框架来看，网络安全技术同样面临着很大的问题，“老三样”基本上还是针对数据、单个系统、软硬件以及程序本身安全的保障。应用层面的安全，需要将侧重点集中在信息语义范畴的“内容”和网络虚拟世界的“行为”上。
4.2、技术发展趋势分析
.
防火墙技术发展趋势
在混合攻击肆虐的时代，单一功能的防火墙远不能满足业务的需要，而具备多种安全功能，基于应用协议层防御、低误报率检测、高可靠高性能平台和统一组件化管理的技术，优势将得到越来越多的体现，utm（unifiedthreatmanagement，统一威胁管理）技术应运而生。
从概念的定义上看，utm既提出了具体产品的形态，又涵盖了更加深远的逻辑范畴。从定义的前半部分来看，很多厂商提出的多功能安全网关、综合安全网关、一体化安全设备都符合utm的概念；而从后半部分来看，utm的概念还体现了经过多年发展之后，信息安全行业对安全管理的深刻理解以及对安全产品可用性、联动能力的深入研究。
utm的功能见***1.由于utm设备是串联接入的安全设备，因此utm设备本身必须具备良好的性能和高可靠性，同时，utm在统一的产品管理平台下，集防火墙、***、网关防病毒、ips、拒绝服务攻击等众多产品功能于一体，实现了多种防御功能，因此，向utm方向演进将是防火墙的发展趋势。utm设备应具备以下特点。
（1）网络安全协议层防御。防火墙作为简单的第二到第四层的防护，主要针对像ip、端口等静态的信息进行防护和控制，但是真正的安全不能只停留在底层，我们需要构建一个更高、更强、更可靠的墙，除了传统的访问控制之外，还需要对垃圾邮件、拒绝服务、黑客攻击等外部威胁起到综合检测和治理的作用，实现七层协议的保护，而不仅限于第二到第四层。
（2）通过分类检测技术降低误报率。串联接入的网关设备一旦误报过高，将会对用户带来灾难性的后果。ips理念在20世纪90年代就已经被提出，但是目前全世界对ips的部署非常有限，影响其部署的一个重要问题就是误报率。分类检测技术可以大幅度降低误报率，针对不同的攻击，采取不同的检测技术，比如防拒绝服务攻击、防蠕虫和黑客攻击、防垃圾邮件攻击、防违规短信攻击等，从而显著降低误报率。
（3）有高可靠性、高性能的硬件平台支撑。
（4）一体化的统一管理。由于utm设备集多种功能于一身，因此，它必须具有能够统一控制和管理的平台，使用户能够有效地管理。这样，设备平台可以实现标准化并具有可扩展性，用户可在统一的平台上进行组件管理，同时，一体化管理也能消除信息产品之间由于无法沟通而带来的信息孤岛，从而在应对各种各样攻击威胁的时候，能够更好地保障用户的网络安全。
二 网络安全面临的主要问题
1. 网络建设单位、管理人员和技术人员缺乏安全防范意识，从而就不可能采取主动的安全 措施加以防范，完全处于被动挨打的位置。
2. 组织和部门的有关人员对网络的安全现状不明确，不知道或不清楚网络存在的安全隐 患，从而失去了防御攻击的先机。
3. 组织和部门的计算机网络安全防范没有形成完整的、组织化的体系结构，其缺陷给攻击 者以可乘之机。
4. 组织和部门的计算机网络没有建立完善的管理体系，从而导致安全体系和安全控制措施 不能充分有效地发挥效能。业务活动中存在安全疏漏，造成不必要的信息泄露，给攻击者以收集敏感信息的机会。
5. 网络安全管理人员和技术有员缺乏必要的专业安全知识，不能安全地配置和管理网络， 不能及时发现已经存在的和随时可能出现的安全问题，对突发的安全事件不能作出积极、有序和有效的反应。
三 网络安全的解决办法
实现网络安全的过程是复杂的。这个复杂的过程需要严格有效的管理才能保证整个过程的有效性，才能保证安全控制措施有效地发挥其效能，从而确保实现预期的安全目标。因此，建立组织的安全管理体系是网络安全的核心。我们要从系统工程的角度构建网络的安全体系结构，把组织和部门的所有安全措施和过程通过管理的手段融合为一个有机的整体。安全体系结构由许多静态的安全控制措施和动态的安全分析过程组成。
1. 安全需求分析 "知已知彼，百战不殆"。只有明了自己的安全需求才能有针对性地构建适合于自己的安全体系结构，从而有效地保证网络系统的安全。
2. 安全风险管理 安全风险管理是对安全需求分析结果中存在的安全威胁和业务安全需求进行风险评估，以组织和部门可以接受的投资，实现最大限度的安全。风险评估为制定组织和部门的安全策略和构架安全体系结构提供直接的依据。
3. 制定安全策略 根据组织和部门的安全需求和风险评估的结论，制定组织和部门的计算机网络安全策略。
4. 定期安全审核 安全审核的首要任务是审核组织的安全策略是否被有效地和正确地执行。其次，由于网络安全是一个动态的过程，组织和部门的计算机网络的配置可能经常变化，因此组织和部门对安全的需求也会发生变化，组织的安全策略需要进行相应地调整。为了在发生变化时，安全策略和控制措施能够及时反映这种变化，必须进行定期安全审核。
5. 外部支持 计算机网络安全同必要的外部支持是分不开的。通过专业的安全服务机构的支持，将使网络安全体系更加完善，并可以得到更新的安全资讯，为计算机网络安全提供安全预警。
6. 计算机网络安全管理 安全管理是计算机网络安全的重要环节，也是计算机网络安全体系结构的基础性组成部分。通过恰当的管理活动，规范组织的各项业务活动，使网络有序地进行，是获取安全的重要条件。
网络安全篇5
病毒和黑客攻击是糖厂局域网面临的两大威胁，现实中糖厂局域网经常遭到黑客或病毒的攻击，黑客入侵网络系统对信息进行删除、修改、窃取，计算机病毒也对网络造成干扰和破坏。这些安全问题存在的主要原因，一是糖厂局域网的网络防护体系不严密，用户的网络安全意识不强。二是网络系统本身的脆弱性以及网络安全技术的缺陷。三是网络安全管理制度不健全。
局域网使用的TCP/IP协议在设计之初并没有考虑安全问题,存在许多的安全缺陷，主要表现在IP欺骗、路由选择欺骗、TCP序列号欺骗、TCP序列号轰炸攻击这几方面。黑客入侵糖厂局域网的方式可以分为被动式和主动式两类，被动式进攻是入侵者仅仅窃听信息，并不修改网络的信息。主动式进攻是入侵者与目标系统交互，一般会修改网络中的数据，具体的攻击技术主要有：Sniffer探测、端口扫描、特洛伊木马、拒绝服务攻击等。
糖厂网络安全的威胁还可能来自内部，主要表现在两方面，一是企业员工人为的失误，包括密码不设口令或者口令过于简单、没有及时对系统进行升级或打补丁、保留缺省账号等。二是企业员工的蓄意破坏，比如在计算机中植入木马以获得非法访问权。这些都会给糖厂的正常生产和经营带来严重的破坏。
2糖厂局域网络的结构模型
糖厂属于流程型企业，甘蔗是主要的原材料，生产具有季节性，制糖企业的兴旺与当地种植业有着密切的联系，使其管理上与其他类型企业有明显不同。制糖企业制造成本只占到制糖全部成本的30，而原料、运输、销售等方面的成本占了比较大的比重，糖厂必须从甘蔗原料的种植、运输、生产到成品糖销售等环节全面地进行成本管理，在信息管理系统中要集成各种农务软件。另外，糖厂广泛应用着多种信息化技术，主要有智能优化控制技术、传感检测技术、数控技术、DCS技术、PLC技术、嵌入式控制器等，这些技术都需要计算机网络来进行集成，糖厂的局域网络必须适应上述的特点。
糖厂局域网一般有Web、FTP、电子邮件、DNS等服务器以及十几至几百台的工作站，比较先进的制糖企业还把嵌入式控制系统集成在网络中。下***是糖厂目前采用比较普遍的一种局域网结构模型。
3解决糖厂网络安全问题的对策
网络安全不仅是一个技术问题，还是一个社会问题和管理问题，这里只是从技术的层面上探讨解决糖厂网络安全问题的一些对策。
3.1实行严格的网络访问控制
网络访问控制是保证网络安全的核心策略，它主要是保证网络资源不被非法访问。访问控制涉及的技术比较广，包括入网访问控制、网络权限控制、目录级控制以及属性控制等，各种安全策略必须相互配合才能真正起到保护作用。
对于糖厂的网络系统而言，其访问控制可分为对内访问控制和对外访问控制。对外访问控制指外部用户必须经过防火墙才能访问内部网络资源，防火墙一般由过滤路由器、服务器或堡垒主机组成，过滤路由器根据TCP/IP报头来过滤信息，然后把信息转发到堡垒主机，堡垒主机再根据不同的应用协议转发信息流。这种体系结构下的防火墙提供了多层安全保护，因此是比较安全的。因为很多安全问题都来自内部，因此必须对网络内部用户的访问采取适当的控制措施，下***是网络内部用户对网络资源的访问控制模型。
3.2把较新的网络安全技术应用在网络系统中
在糖厂局域网的建设与管理中，要逐步融入一些网络安全新技术，使网络系统更加安全可靠。目前常用的网络安全技术主要有数据加密、身份验证，存取控制、虚拟网络、防火墙技术等，此外还有入侵检测技术、蜜罐技术、取证技术、物理隔离技术等几种新的网络安全技术。入侵检测系统（IDS）是主动保护系统免受攻击的一种网络安全技术，当前已经出现了不少实用的入侵检测系统。蜜罐（HoneyPot）是诱骗攻击者的一种有效方法,它可以查找并发现新型的攻击工具，解决了IDS无法对新型攻击快速作出反应的缺点。蜜网（Honeynet）作为一种研究型蜜罐，是目前获取攻击者信息的主要来源之一。同时，基于IDS和蜜罐的计算机取证技术也得到了发展，开发了很多计算机取证的工具，如Encase、SafeBack等。物理隔离技术是近几年出现的一个
全新的安全防御手段，正逐步成为网络安全体系中不可缺少的环节，新一代的物理隔离产品能实现动态的隔断，并能对信息进行筛选。
3.3一种实用的网络安全解决方案
网络安全解决方案主要包括两方面，一是风险评估，二是安全策略。安全策略是网络安全体系的核心，它包括需求分析、安全管理制度、技术防护、紧急响应等几个方面。从技术的角度看，目前网络安全技术及其产品的种类很多，从底层到应用都有相应的网络安全产品可以选用，比如瑞星公司、Nod32公司的系列安全产品都能提供比较好的安全保障。
保证网络设备的正常运行，特别是保证关键业务系统的安全，是糖厂网络系统安全需求的核心，主要包括：访问控制，确保网络系统不被非法访问；数据安全，保证数据库系统的安全性和可靠性；入侵检测，对于破坏网络系统的恶意行为能够及时发现、记录和跟踪；完善的防病毒措施等。
下面介绍一个对于糖厂比较完善和实用的网络安全解决方案，这个方案能比较彻底地解决糖厂局域网的安全问题，其安全网络拓扑结构如***3所示。以下具体介绍这个方案的基本策略。
3.3.1设置防火墙在Internet与糖厂局域网之间部署一台防火墙，其中WWW、E-mail、FTP、DNS服务器连接在防火墙的DMZ区，使内、外网相互隔离。局域网通过路由器与Internet连接，外网的用户只能访问到对外公开的一些服务（如WWW、E-mail、FTP、DNS），这样既保护内网资源不被非法访问或破坏，也阻止了内部用户对外部不良资源的使用，并能够对发生的安全事件进行跟踪和审计。防火墙技术有多种，这里最好选用状态检测型防火墙，它能在不同层中对数据进行检测，从而提高了效率，简化了规则。
3.3.2设置入侵检测系统将入侵检测引擎接入核心交换机，对网络系统进行实时检测。入侵检测是防火墙之后的第二道安全闸门，在发现入侵行为后，会及时作出响应，包括切断网络连接、记录事件和报警等，扩展了系统管理员的安全管理能力。
3.3.3安装杀毒软件杀毒软件不仅要部署在应用服务器上，网络内部各个环节也要安装杀毒软件，并且要及时更新病毒代码库。在选择杀毒软件时要考虑病毒查杀能力、病毒代码更新能力、实时监控能力、占用系统资源情况等因素，国内的产品如瑞星、江民等都是不错的选择。
3.3.4设置漏洞扫描器在局域网内设置一个漏洞扫描器，它能帮助管理员发现网络中存在的安全隐患和漏洞，并生成报告和安全建议。扫描器的放置位置一般分为两种：网络内部或网络外部，本方案将扫描器软件放置在网络内部，这样可以检测网络中存在的所有安全隐患。
3.3.5设置专用的备份服务器在局域网中设置一个专用的备份服务器，连接大容量的存储设备（磁带库、光盘库等），利用第三方存储备份软件系统，可以实现自动备份、数据分级存储以及灾难恢复，是保障数据安全的有效措施。
4小结
糖厂网络系统的安全隐患隐藏在各个角落，网络安全是一项动态的、整体的系统工程，从技术上来说，网络安全由安全的操作系统、防病毒、防火墙、入侵检测、网络监控、信息审计、通信加密、灾难恢复、安全扫描等多个安全组件组成，把这些安全组件进行适当地配置，就能有效地保障糖厂网络系统的安全。
参考文献
［1］王亚原.企业网络安全问题及对策.太原师范学院学报（自然科学版）,2005,4(1).
［2］田茂熙.构建企业网络安全体系.贵州化工,2005,30(1).
网络安全篇6
[论文摘要]随着计算机技术的发展，在计算机上处理业务已由单机处理功能发展到面向内部局域网、全球互联网的世界范围内的信息共享和业务处理功能。在信息处理能力提高的同时，基于网络连接的安全问题也日益突出，探讨了网络安全的现状及问题由来以及几种主要网络安全技术。
随着计算机网络的发展，其开放性，共享性，互连程度扩大，网络的重要性和对社会的影响也越来越大。而网络安全问题显得越来越重要了。国际标准化组织（ISO）将“计算机安全”定义为：“为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄漏”，上述计算机安全的定义包含物理安全和逻辑安全两方面的内容，其逻辑安全的内容可理解为我们常说的信息安全，是指对信息的保密性、完整性和可用性的保护，而网络安全性的含义是信息安全的引申，即网络安全是对网络信息保密性、完整性和可用性的保护。
一、网络的开放性带来的安全问题
众所周知，Internet是开放的，而开放的信息系统必然存在众多潜在的安全隐患，黑客和反黑客、破坏和反破坏的斗争仍将继续。在这样的斗争中，安全技术作为一个独特的领域越来越受到全球网络建设者的关注。为了解决这些安全问题，各种安全机制、策略和工具被研究和应用。然而，即使在使用了现有的安全工具和机制的情况下，网络的安全仍然存在很大隐患，这些安全隐患主要可以归结为以下几点：
（一）每一种安全机制都有一定的应用范围和应用环境
防火墙是一种有效的安全工具，它可以隐蔽内部网络结构，限制外部网络到内部网络的访问。但是对于内部网络之间的访问，防火墙往往是无能为力的。因此，对于内部网络到内部网络之间的入侵行为和内外勾结的入侵行为，防火墙是很难发觉和防范的。
（二）安全工具的使用受到人为因素的影响
一个安全工具能不能实现期望的效果，在很大程度上取决于使用者，包括系统管理者和普通用户，不正当的设置就会产生不安全因素。例如，NT在进行合理的设置后可以达到C2级的安全性，但很少有人能够对NT本身的安全策略进行合理的设置。虽然在这方面，可以通过静态扫描工具来检测系统是否进行了合理的设置，但是这些扫描工具基本上也只是基于一种缺省的系统安全策略进行比较，针对具体的应用环境和专门的应用需求就很难判断设置的正确性。
（三）系统的后门是传统安全工具难于考虑到的地方
防火墙很难考虑到这类安全问题，多数情况下这类入侵行为可以堂而皇之经过防火墙而很难被察觉。比如说，众所周知的ASP源码问题，这个问题在IIS服务器4.0以前一直存在，它是IIS服务的设计者留下的一个后门，任何人都可以使用浏览器从网络上方便地调出ASP程序的源码，从而可以收集系统信息，进而对系统进行攻击。对于这类入侵行为，防火墙是无法发觉的，因为对于防火墙来说，该入侵行为的访问过程和正常的WEB访问是相似的，唯一区别是入侵访问在请求链接中多加了一个后缀。
（四）只要有程序，就可能存在BUG
甚至连安全工具本身也可能存在安全的漏洞。几乎每天都有新的BUG被发现和公布出来，程序设计者在修改已知的BUG的同时又可能使它产生了新的BUG。系统的BUG经常被黑客利用，而且这种攻击通常不会产生日志，几乎无据可查。比如说现在很多程序都存在内存溢出的BUG，现有的安全工具对于利用这些BUG的攻击几乎无法防范。
（五）黑客的攻击手段在不断地更新，几乎每天都有不同系统安全问题出现
然而安全工具的更新速度太慢，绝大多数情况需要人为的参与才能发现以前未知的安全问题，这就使得它们对新出现的安全问题总是反应太慢。当安全工具刚发现并努力更正某方面的安全问题时，其他的安全问题又出现了。因此，黑客总是可以使用先进的、安全工具不知道的手段进行攻击。
二、网络安全的主要技术
安全是网络赖以生存的保障，只有安全得到保障，网络才能实现自身的价值。网络安全技术随着人们网络实践的发展而发展，其涉及的技术面非常广，主要的技术如认证、加密、防火墙及入侵检测是网络安全的重要防线。
（一）认证
对合法用户进行认证可以防止非法用户获得对公司信息系统的访问，使用认证机制还可以防止合法用户访问他们无权查看的信息。
（二）数据加密
加密就是通过一种方式使信息变得混乱，从而使未被授权的人看不懂它。主要存在两种主要的加密类型：私匙加密和公匙加密。
1.私匙加密。私匙加密又称对称密匙加密，因为用来加密信息的密匙就是解密信息所使用的密匙。私匙加密为信息提供了进一步的紧密性，它不提供认证，因为使用该密匙的任何人都可以创建、加密和平共处送一条有效的消息。这种加密方法的优点是速度很快，很容易在硬件和软件中实现。
2.公匙加密。公匙加密比私匙加密出现得晚，私匙加密使用同一个密匙加密和解密，而公匙加密使用两个密匙，一个用于加密信息，另一个用于解密信息。公匙加密系统的缺点是它们通常是计算密集的，因而比私匙加密系统的速度慢得多，不过若将两者结合起来，就可以得到一个更复杂的系统。
（三）防火墙技术
防火墙是网络访问控制设备，用于拒绝除了明确允许通过之外的所有通信数据，它不同于只会确定网络信息传输方向的简单路由器，而是在网络传输通过相关的访问站点时对其实施一整套访问策略的一个或一组系统。大多数防火墙都采用几种功能相结合的形式来保护自己的网络不受恶意传输的攻击，其中最流行的技术有静态分组过滤、动态分组过滤、状态过滤和服务器技术，它们的安全级别依次升高，但具体实践中既要考虑体系的性价比，又要考虑安全兼顾网络连接能力。此外，现今良好的防火墙还采用了***、检视和入侵检测技术。
防火墙的安全控制主要是基于IP地址的，难以为用户在防火墙内外提供一致的安全策略；而且防火墙只实现了粗粒度的访问控制，也不能与企业内部使用的其他安全机制（如访问控制）集成使用；另外，防火墙难于管理和配置，由多个系统（路由器、过滤器、服务器、网关、保垒主机）组成的防火墙，管理上难免有所疏忽。
（四）入侵检测系统
入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未 授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。在入侵检测系统中利用审计记录，入侵检测系统能够识别出任何不希望有的活动，从而达到限制这些活动，以保护系统的安全。在校园网络中采用入侵检测技术，最好采用混合入侵检测，在网络中同时采用基于网络和基于主机的入侵检测系统，则会构架成一套完整立体的主动防御体系。
（五）虚拟专用网（***）技术
***是目前解决信息安全问题的一个最新、最成功的技术课题之一，所谓虚拟专用网（***）技术就是在公共网络上建立专用网络，使数据通过安全的“加密管道”在公共网络中传播。用以在公共通信网络上构建***有两种主流的机制，这两种机制为路由过滤技术和隧道技术。目前***主要采用了如下四项技术来保障安全：隧道技术（Tunneling)、加解密技术（Encryption & Decryption)、密匙管理技术（Key Management)和使用者与设备身份认证技术（Authentication)。其中几种流行的隧道技术分别为PPTP、L2TP和Ipsec。***隧道机制应能技术不同层次的安全服务，这些安全服务包括不同强度的源鉴别、数据加密和数据完整性等。***也有几种分类方法，如按接入方式分成专线***和拨号***；按隧道协议可分为第二层和第三层的；按发起方式可分成客户发起的和服务器发起的。
（六）其他网络安全技术
1．智能卡技术，智能卡技术和加密技术相近，其实智能卡就是密匙的一种媒体，由授权用户持有并由该用户赋与它一个口令或密码字，该密码字与内部网络服务器上注册的密码一致。智能卡技术一般与身份验证联合使用。
2．安全脆弱性扫描技术，它为能针对网络分析系统当前的设置和防御手段，指出系统存在或潜在的安全漏洞，以改进系统对网络入侵的防御能力的一种安全技术。
3．网络数据存储、备份及容灾规划，它是当系统或设备不幸遇到灾难后就可以迅速地恢复数据，使整个系统在最短的时间内重新投入正常运行的一种安全技术方案。
4．IP盗用问题的解决。在路由器上捆绑IP和MAC地址。当某个IP通过路由器访问Internet时，路由器要检查发出这个IP广播包的工作站的MAC是否与路由器上的MAC地址表相符，如果相符就放行。否则不允许通过路由器，同时给发出这个IP广播包的工作站返回一个警告信息。
5．Web，Email，BBS的安全监测系统。在网络的www服务器、Email服务器等中使用网络安全监测系统，实时跟踪、监视网络， 截获Internet网上传输的内容，并将其还原成完整的www、Email、FTP、Telnet应用的内容 ，建立保存相应记录的数据库。及时发现在网络上传输的非法内容，及时向上级安全网管中心报告，采取措施。
网络安全篇7
[关键词]***书馆；网络安全；保障技术
随着信息化热潮的到来，信息资源电子化、数字化已成为现代信息的主要传播方式。作为文献信息保障中心的***书馆的运行模式正在发生巨大的变化，***书馆的业务管理、文献信息服务对网络依赖程度越来越大。但随着计算机网络技术的运用，必须要充分考虑网络系统的安全建设，在维护***书馆网络时，要及时采取有效的措施，以确保整个网络的安全运作。
1.***书馆网络存在的安全隐患
由于互联网络的开放性体系结构，使***书馆信息资源得到了最大限度的共享，为社会带来了一定的经济和社会效益。但同时***书馆网络信息安全也面临来自外部及内部的威胁和攻击的考验。外部威胁主要包括：黑客人侵、计算机病毒、垃圾邮件及黄毒泛滥等，内部威胁主要包括：操作系统的漏洞、软件产品的复杂多样性、电子数据的非物质性、不安全的通信协议、存贮介质的利用、内部人员的职业素质等。其中以网络通信协议、计算机病毒、黑客的攻击、操作系统和软件漏洞为常见的安全隐患。
1.1 网络通信协议的不安全性
***书馆网络最常用的网络通信协议有TCPAP、NETBIOS等，这些开放和标准的协议大多带有安全漏洞。例如，TCPAP协议缺乏有效的身份认证和对路由器协议的安全认证等安全隐患，通信的双方很难确定对方的确切身份及通信时的物理置；NETBIOS协议允许包括未授权用户在内的任何人通过139端口收集信息，外部的恶意用户能够更容易地非法接入网络。
1.2 计算机病毒的入侵
计算机病毒是一种人为制造的、隐藏在计算机系统数据资源中的、能够自我复制进行传播、对计算机系统进行破坏的程序。特别是通过宽带网泛滥的速度之快，蔓延之广。而且计算机病毒更新变化的速度常常让人防不胜防。几乎有80％的计算机用户都受到过来自网络上的病毒攻击。在网络上可通过邮件、网页、局域网、网络***等方式进行远程攻击。
1.3 黑客的攻击
美国是网络黑客的发源地。随着网络技术的普遍使用，黑客的人数也不断增多，一些黑客软件在网络上广为传播。它可以向被侵入的计算机发送文件，监视被侵入机器的用户操作，封锁或截获其键盘操作，而对方却全然不知。由于缺乏针对网络犯罪卓有成效的反击和跟踪手段，因此黑客的攻击不仅“杀伤力”大，而且隐蔽性强。
1.4 操作系统和应用软件的安全漏洞
Web服务器软件最容易成为黑客主动攻击的对象，Web浏览器的漏洞可能导致用户的个人数据和密码等隐私资料外泄，电子邮件软件遭受蠕虫病毒的传染和攻击更是屡见不鲜，新的网络应用如即时通信软件和对等网文件共享软件都可能遭受攻击，给攻击者提供侵入***书馆网络的后门。
1.5 防火墙自身带来的安全漏洞
“防火墙”，用于实施内部网络和Internet或其它外部网络之间的访问控制，在外部网与内部网之间建立起一个安全网关，从而防止发生不可预测的、潜在破坏性的侵入。它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外界屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护。但它自身也有其弱点，主要是：（1）难以防止应用程序的漏洞。（2）难于防内。防火墙的安全控制用于“外对内”或“内对外”。但是，防火墙很难解决内部人员对网络的攻击，即防外不防内。（3）难于管理和配置。防火墙的管理及配置相当复杂，它要求防火墙管理人员对网络安全攻击的手段及其系统配置的关系有相当深刻的了解。否则，易造成安全漏洞。
2. ***书馆网络的安全保障技术
2.1 操作系统的安全使用技术
（1）最小化安装必须的组件。很多系统被黑客人侵，大部分是从系统的服务开始，利用服务的漏洞入侵。只安装必须的服务，可大大减少被入侵的机会。
（2）操作系统补丁的更新。漏洞是操作系统致命的安全缺陷，所有的操作系统或多或少都有漏洞，特别是使用最多的Window系统，黑客攻击手段和病毒之间的间隔越来越短。预防操作系统漏洞型病毒最好的办法，就是及时为自己的操作系统打上补丁，关闭不必要的服务以及对系统进行必要的设置。一般来说，操作系统、网络服务系统都提供系统日志，尽可能记录发生的所有事件。多数攻击和病毒能通过系统日志的记录发现。因此，经常检查系统日志，能发现大多数的攻击事件和病毒，从而采取相应措施，以减少损失，并对以后的同样或类似情况进行预防。
2.2 信息加密技术
信息加密技术是网络方面用得较多的一种安全技术。一个加密网络，不但可以防止非授权用户的搭线窃听和人网，而且也是对付恶意软件的有效方法之一。信息加密的目的是保护网内的数据、文件、口令和控制信息不被泄漏、篡改和破坏，保护网上传输的数据不被分析。它不需要特殊的网络拓扑结构的支持，对网络性能影响较小。使用密码技术进行数据通信，其过程就是取得原始信息并用收、发方共同约定的一种特殊编码变换成密文进行传送。
2.3 身份认证技术
身份认证是用户向系统出示自己身份证明并系统查核用户身份证明的过程。保证网络安全的最普遍的做法是身份认证，没有通过身份认证的用户将无法访问网络资源。身份认证是每一个系统保护自身安全最基本的措施。
2.4 防火墙技术
防火墙处于***书馆的内部网络和外部网络之间，是***书馆网络的第一道防线。通常对于外部网络的接入，必须采取的安全策略是防火墙拒绝所有接受特殊的原则。即对所有的外部接入，认为都是不安全的，需要完全拒绝，只能访问事先设置好指定服务器的特定端口，不允许外部网络直接访问内部系统。防火墙的实现技术主要有三种类型：
（1）包过滤型。通过具有特殊功能的路由器，使用报文动态过滤技术，动态检查流过的TCPIP报文头，根据用户定义的规则，决定哪些报文允许流过，哪些报文禁止流过。一般按照源IP地址、目标IP地址、协议、源端口、目标端口的信息作为判断标准。这种类型防火墙的优点是对网络用户透明，使用方便，而且价格便宜。其缺点是不能对用户进行身份认证，难以对付冒名顶替（包括盗用IP地址）的非法用户，因而安全性不够高。
（2）应用网关型。使用技术，通过控制和监督应用层服务的网络连接，在内部网和外部网之间设置一个物理屏障，从而限制外部网与内部网的连接和通信。大部分应用网关型防火墙都只能提供有限的基本应用服务，因而通用性和使用性较差，但其优点也很明显，即安全性高，能进行严格的用户身份认证。
（3）服务型。通常由单独的计算机和专用应用程序承担。与数据包过滤技术和应用网关技术不同，服务技术在内部网与外部网间不存在直接连接，仅实现防火墙内外计算机系统的隔离，同时服务技术可实施较强的数据流监控、过滤、日志和审计等服务。
2.5 入侵检测技术
入侵检测技术作为一种新型网络安全技术，是对防火墙技术的合理补充。目的是提供实时的入侵监测及采取相应的防护手段。主要是通过从计算机网络系统中的若干关键点收集和分析信息，检查网络中是否有违反安全策略的行为和遭到袭击的迹象，提供对内部攻击、外部攻击和误操作的实的保护，在网络系统受到危害之前拦截和响应入侵。对于大型***书馆和经常受到不明网络攻击的***书馆来说，部署入侵检测系统（IDS）是非常必要的信息安全防护措施。
2.6 反病毒技术
对于***书馆网络来说，计算机病毒具有不可估量的威胁性和破坏力。对计算机病毒的防范，是***书馆网络安全建设中最重要的一环。
（1）硬件防御，即通过硬件检测的方式将病毒拒之门外，主要形式有防病毒卡和防病毒芯片两种。其工作原理是，在系统启动时，优先获得控制权，即时对系统实施监控，只要发现病毒就予以清除，从而避免病毒对系统的破坏，使计算机具备了免***能力。
（2）软件防御，即利用软件来防止病毒侵人系统，主要形式是各种杀毒软件。它们在工作原理上的共同之处是：监视常驻内存的程序，防止可执行文件被改写，并且禁止程序直接写入磁盘引导区。
总之，从以上介绍的各种安全保障技术中可以看出，他们都有各自的侧重点和优缺点。只有将各种安全保障技术结合起来使用，才能达到有效保障***书馆网络安全的目的。
参考文献：
[1]曾巧红.构筑***书馆网络安全的防护体系.***书馆论坛，2004（6）.
[2]张晓毅.***书馆网络安全浅谈.***书馆工作与研究，2003（3）.
[3]彭敏.***书馆网络的安全保障技术.***书情报论坛，2005（3）.
[4]朱志文.浅谈***书馆下数字***书馆的安全与防范措施.***书馆界，2004（2）.
网络安全篇8
【关键词】计算机 网络系统 安全集成
引言
随着计算机科学技术和网络技术的飞速发展，网络体系日渐强大，对社会发展起到了重要的作用。由于计算机网络具有互通性、***性和广泛性的特点，无论是在局域网还是在广域网中，都存在着自然和人为等诸多因素的潜在威胁，黑客攻击、病毒扩散、网络犯罪的数量迅速增长，网络的安全问题日趋严峻。因此，如何提高网络安全，确保网络安全有效运行，已成为目前迫切需要解决的问题。
一、网络安全常见威胁
（一）计算机病毒。
计算机病毒指在计算机程序中插入的破坏计算机功能和数据、影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。具有寄生性、传染性、隐蔽性等特点。常见的破坏性比较强的病毒经常表现为：蓝屏、机卡、CPU、自动重启使用率高、打不开杀毒软件等，并且在短时间内传播从而导致大量的计算机系统瘫痪，对企业或者个人造成重大的经济损失。
（二）非授权访问。
指利用编写和调试计算机程序侵入到他方内部网或专用网，获得非法或未授权的网络或文件访问的行为。如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。它主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。
（三）木马程序和后门。
木马程序和后门是一种可以通过远程控制别人计算机的程序，具有隐蔽性和非授权性的特点。企业的某台计算机被安装了木马程序或后门后，该程序可能会窃取用户信息，包括用户输入的各种密码，并将这些信息发送出去，或者使得黑客可以通过网络远程操控这台计算机，窃取计算机中的用户信息和文件，更为严重的是通过该台计算机操控整个企业的网络系统，使整个网络系统都暴露在黑客间谍的眼前。
二、网络的安全策略
（一）更改系统管理员的账户名。
应将系统管理员的账户名由原先的***istrator改为一个无意义的字符串，这样要登录的非法用户不但要猜准口令，还必须猜出用户名。
（二）关闭不必要的向内TCP/IP端口。
非法用户进入系统并得到管理员权限之后，首先要做的，必定设法恢复管理员刻意废止的TCP/IP上的NetBIOS装订。管理员应该使用路由器作为另一道防线，即提供web和FTP之类公共服务的NT服务器。
（三）防火墙配置。
防火墙是在2个网络间实现访问控制的1个或1组软件或硬件系统，它是外部网络与内部网络之间的第1道安全屏障。其主要功能就是屏蔽和允许指定的数据通讯，而这个功能的实现又主要是依靠一套访问控制策略，由访问控制策略来决定通讯的合法性，该控制策略的具体内容由企业的安全管理员和系统管理员共同来制定。
（四）VLAN 的划分。
VLAN 是为解决以太网的广播问题和安全性而提出的一种协议。它在以太网的基础上增加了VLAN 头，用VLAN ID 把用户划分为更小的工作组，限制不同VLAN 之间的用户不能直接互访，每个VLAN 就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。VLAN 之间的访问需要通过应用系统的授权来进行数据交互。为保护敏感资源和控制广播风暴，在3 层路由交换机的集中式网络环境下，将网络中的所有客户主机和服务器系统分别集中到不同的VLAN 里，在每个VLAN 里不允许任何用户设置IP、用户主机和服务器之间相互PING，不允许用户主机对服务器的数据进行编辑，只允许数据访问，从而较好地保护敏感的主机资源和服务器系统的数据。采用3 层交换机，通过VLAN 划分，来实现同一部门在同一个VLAN 中，这样既方便同部门的数据交换，又限制了不同部门之间用户的直接访问。
（五）身份认证。
身份认证是提高网络安全的主要措施之一。其主要目的是证实被认证对象是否属实，常被用于通信双方相互确认身份，以保证通信的安全。常用的网络身份认证技术有： 静态密码、USB Key 和动态口令、智能卡牌等。其中，最常见的使用是用户名加静态密码的方式。基于USB Key 的身份认证方式采用软硬件相结合，很好地解决了安全性与易用性之间的矛盾，利用USB Key 内置的密码算法实现对用户身份的认证。USB Key 身份认证系统主要有2 种应用模式： 一是基于冲击、响应的认证模式； 二是基于PKI 体系的认证模式。
（六）制订网络系统的应急计划。
为了将由意外事故引起的网络系统损害降低到最小程度，企业应制订应急计划。以防意外事故使网络系统遭受破坏。该应急计划应包括紧急行动方案及软、硬件系统恢复方案等。绝对的安全是没有的，安全标准的追求是以资金和方便为代价的。
结语
如何确保计算机网络信息的安全是每一个网络系统的设计者和管理者都极为关心的热点，当然，也是企业关心的重点。一个全方位的安全方案是非常难以实现的，只有在企业领导的支持下，在技术人员和管理人员的努力下，结合企业的实际情况，制定出相应的解决措施，才是符合本企业的安全方案。本文主要讨论了计算机网络的安全的几种不同的威胁，给出了相应安全策略以及相应的安全产品，提出了计算机网络系统实施建设的基本方案。
参考文献：
[1]殷伟.计算机安全与病毒防治[M]，合肥：安徽科学技术出版社.2004.
[2]陈豪然.计算机网络安全与防范技术研究[J]，科技风，2009（22）.
网络安全篇9
由于早期网络协议对安全问题的忽视，以及在使用和管理上的无序状态，网络安全受到严重的威胁，安全事故屡有发生。网络安全是对网络信息保密性、完整性和网络系统的可用性的保护，影响网络安全的因素主要包括网络信息的无序性、计算机病毒、黑客入侵和信息污染等，而其中黑客攻击是最棘手的难题。针对病毒防范，大多网络用户都会采取两个方面的保护与防范：一是在思想上重视、管理上到位，二是依靠防病毒软件。这两者是缺一不可的。相对来说，网络用户对于黑客攻击的防范显得有点力不从心，对黑客入侵的手段防不胜防，常常在不知不觉中的状态下受到攻击，当然带来的损失也是惨重的，常常是亡羊补牢，为时已晚。因此，认真研究当今黑客入侵的手段及其相应的防范对策，为计算机网络用户提供安全很有必要。网络信息安全分为网络安全和信息安全两个层面。网络安全包括系统安全，即硬件平台、操作系统、应用软件；运行服务安全，即保证服务的连续性、高效率。信息安全则主要是指数据安全，包括数据加密、备份、程序等。目前，大多数计算机使用的操作系统WinNT、Win2000等都几乎存在安全漏洞(Bugs)，其中某些是操作系统或应用软件自带的，这些漏洞在补丁未被开发出来之前一般很难防御黑客的破坏，除非将网线拔掉；还有一些漏洞是系统管理员配置错误引起的，如在网络文件系统中，将目录和文件以可写方式调出，将未加Shadow的用户密码以明码方式存放在某一目录之下，给黑客带来可乘之机，使黑客任意修改、删除数据库中的参数设定或有关数据、复制文件、非法窥视服务器中的数据，从而达到破坏的目的。
2黑客的攻击原理
(1)拒绝服务攻击。
拒绝服务(DenialofService，DoS)攻击是一种利用TCP/IP协议的弱点和系统存在的漏洞，对网络设备进行攻击的行为。它以消耗网络带宽和系统资源为目的，对网络服务器发送大量“请求”信息，造成网络或服务器系统不堪重负，致使系统瘫痪而无法提供正常的网络服务。拒绝服务攻击的典型方法是SYNFlood类型的攻击。
(2)恶意程序攻击。
黑客在收集信息的过程中利用TraceRoute程序，SNMP等一些公开的协议或工具收集驻留在网络系统中的各个主机系统的相关信息，然后会探测目标网络上的每台主机，利用一些特殊的数据包传送给目标主机，使其做出相对应的响应，由于每种操作系统的响应时间和方式都是不一样的，黑客利用这种特征把得到的结果与准备好的数据库中的资料相对照，从中便可轻而易举地判断出目标主机操作系统所用的版本及其他相关信息，尤其是对于某些系统，互联网上已了其安全漏洞所在，但用户由于不懂或一时疏忽未***并安装网上的该系统的“补丁”程序，那么黑客就可以自己编写一段程序进入到该系统进行破坏。还有一些黑客准备了后门程序，即进入到目标系统后为方便下一次入侵而安装在被攻击计算机系统内的一些程序，为该计算机埋下了无穷无尽的隐患，给用户造成了不可预测的损失。
(3)欺骗攻击。
每一台计算机都有一个IP地址，登录时服务器可以根据这个IP地址来判断来访者的身份。TCP/IP协议是用IP地址来作为网络节点的惟一标识，因此攻击者可以在一定范围内直接修改节点的IP地址，冒充某个可信节点的IP地址进行攻击，欺骗攻击就是一种利用假IP地址骗取服务器的信任，实现非法登录的入侵方法。
(4)对用户名和密码进行攻击。
此种攻击方式大致分为三种情况，一是对源代码的攻击，对于网站来说，由于ASP的方便易用，越来越多的网站后台程序都使用ASP脚本语言。但是，由于ASP本身存在一些安全漏洞，稍不小心就会给黑客提供可乘之机。用户名与口令往往是黑客们最感兴趣的东西，如果被通过某种方式看到源代码，后果是严重的。第二种攻击的方法就是监听，用户输入的密码需要从用户端传送到服务器端进行系统对其的校验，黑客能在两端之间进行数据监听。一般系统在传送密码时都进行了加密处理，即黑客所得到的数据中不会存在明文的密码，因此，这种手法一般运用于局域网，一旦成功，攻击者将会得到很大的操作权益。第三是解密，就是使用穷举法对已知用户名的密码进行解密。这种解密软件对尝试所有可能字符所组成的密码。这种方法十分耗时，但在密码设置简单的情况下却比较容易得手。
3对策
(1)利用防火墙来阻止网络攻击。
防火墙(Firewall)是在计算机和Internet提供屏障的程序或设备，可以通过配置合理的防火墙来防止网络黑客的攻击事件发生。防火墙还可以被用来隔离局域网中的计算机，以免受来自Internet的威胁。如果到达防火墙的数据包不满足所指定的条件，那么防火墙就阻止这些数据包进入局域网，但防火墙对于已授权的连接却是透明的。所有的内外连接都强制性地经过这一保护层接受检查过滤，只有被授权的通信才允许通过。“防火墙”的安全意义是双向的，一方面可以限制外部网对内部网的访问；另一方面也可以限制内部网对外部网中不健康或敏感信息的访问。同时，“防火墙”还可以对网络存取访问进行记录和统计，对可疑动作报警，以及提供网络是否受到监视和攻击的详细信息。防火墙系统的实现技术一般分为2种，一种是分组过滤技术；一种是服务技术。分组过滤基于路由器技术，其机理是由分组过滤路由器对IP分组进行选择，根据特定组织机构的网络安全准则过滤掉某些IP地址分组，从而保护内部网络。服务技术是由一个高层应用网关作为服务器，对于任何外部网的应用连接请求首先进行安全检查，然后再与被保护网络应用服务器连接。服务技术可使内、外网络信息流动受到双向监控。
(2)加强教育和宣传。
黑客的攻击之所以能经常得逞，其主要原因就是人们思想***，没有正视黑客入侵所造成的严重后果。人们经常在有意无意之中就泄露了信息，这些就为黑客开了方便之门。因此要大力宣传计算机病毒的危害，要宣传可行的预防病毒的措施，使大家提高警惕。要普及计算机软件的基本知识，使人们了解病毒入侵计算机的原理和感染方法，以便及早发现，及早清除。特别对未成年人，应从小培养网络用户的合法上网概念，防止有害信息的传播和渗透。另外，对工作人员应结合机房、硬件、软件、数据和网络等各方面的安全问题，进行安全教育，提高工作人员的保密观念和责任心；加强业务、技术的培训，提高操作技能；教育工作人员严格遵守操作规程和各项保密规定，防止人为事故的发生。
(3)建立、健全法律和管理制度。
网络安全篇10
关键词：主动网络；网络安全；网络传输方案；主动代码
主动网络是一种可编程的分组交换网络，通过各种主动技术和移动计算技术，使传统网络从被动的字节传送模式向更一般化的网络计算模式转换，提高网络传输速度、动态定制及网络新服务的能力。
一、主动网络介绍
主动网络的基本思想是将程序注入数据包，使程序和数据一起随数据包在网络上传输；网络的中间节点运行数据包中的程序，利用中间节点的计算能力，对数据包中的数据进行一定的处理；从而将传统网络中“存储——转发”的处理模式改变为“存储——计算——转发”的处理模式。
主动网络中能够携带程序代码的分组称为主动分组，能够处理主动分组并执行主动分组中所带程序的中间节点称为主动节点，如主动路由器和主动交换机。网络节点不仅具有分组路由的处理能力而且能够对分组内容进行计算，使分组在传送过程中可以被修改、存储或重定向。主动网络允许用户向网络节点插入自己定制的程序，网络节点在处理数据包时将程序载入并执行，以此来修改或者扩展网络的基础配置，从而实现快速、动态的部署新协议、提供新服务，使网络更具灵活性和可扩展性。
二、主动网络的安全威胁
（一）主动节点面临的安全威胁
主动节点希望保护自己的资源，不希望未经过授权的主动分组使用自己的节点资源，确保自己所提供的服务具有可获得性，保护自己节点状态的完整性和保护自己状态反对未授权暴露。主动节点可能感觉受到的威胁来自执行环境，因为执行环境会消耗主动节点资源或更改节点状态参数等。作为主动节点必须能够安全有效地管理自己资源，以便分配给经过授权的主动代码使用，为主动应用提供服务此外主动节点必须能够识别邻居节点，这样能够确保将主动报文传送到可信任的相邻主动节点上。为了满足以上这些安全要求，主动网络应当采用下面方式来保障主动节点安全：（1）主动网络应当采用有效的安全机制保证主动节点安全；（2）主动节点执行主动代码时候必须能够对其发行者进行身份认证，并执行一种存取控制来实现其资源操作和安全控制；（3）由于主动节点中的执行环境需要安装主动代码、执行主动代码等操作，因此主动节点应当有安全审计功能来实时监视主动节点系统以及主动应用程序的运行状态，发现威胁时，能够及时终止主动代码的执行并且保留不可抵赖和不可磨灭的记录。
（二）执行环境面临的安全威胁
执行环境感觉其受到的威胁可能来自其它的执行环境、来自主动分组或者来自主动代码。因为在一个主动节点中可能存在着多个执行环境，如果其中一个执行环境过多的消耗主动节点资源，那么必然对其它执行环境的运行造成损害。同样一个恶意的主动代码在执行环境中运行的时候，该恶意主动代码可能更改执行环境参数、超额消耗执行环境所授权使用的资源、进行执行环境所未授权的存取控制操作，导致执行环境不能有效的或正确的为其它主动代码提供服务。
（三）主动分组面临的安全威胁
主动代码可能向主动节点发出存取控制操作请求，其目的是为了处理和传送；主动代码可能向主动节点发出存取请求，其目的是为了取得服务；主动代码也可能请求存取一个主动分组，其目的是为了处理或删除和更改这个分组，这些意味着主动代码应当能够识别它所想处理的主动分组。一个主动节点可能对主动代码进行存取、检索更改或终止；主动分组需要保护自己数据没有经过未授权而被窃取或更改，保护自己的服务防止未授权使用，保护自己的资源防止未授权使用。主动代码感觉受到的威胁主要来自其它主动分组、其它主动代码、来自执行环境和节点，它能保护自己防止其它主动代码对其造成的安全危害，但是它不能保护自己防止受到执行环境和主动节点的安全威胁，因为主动代码不得不在执行环境和主动节点中运行。主动代码所能做的是保护自己确保它没有被传送到不信任的节点和执行环境上。主动分组应当不相互干涉，一些分组将基于下面几个标准安装新的代码和进行存取控制：（1）授权分组创始人允许安装新的代码；（2）代码被证明非干涉；（3）代码仅允许执行通过认证的创始动作；（4）代码被证明有边际影响，但仅影响信任使用者的代码。
（四）用户面临的安全威胁
用户或源节点希望保护自己主动分组中的传输数据和代码，确保主动分组中数据和代码的完整性和机密性。因为其它非法或恶意的用户主动代码可能通过在主动节点上运行来查看其主动分组的数据、代码和运行状态等，所以主动应用用户会感觉威胁来自其它用户的主动代码或主动分组：主动应用用户还把执行环境和节点看作威胁源，因为防止未授权的主动节点查看和修改其主动分组的数据、代码和运行的状态。
三、主动网络的保护策略
（一）主动节点的保护
（1）主动分组的认证：任何主动分组都具有一份证书，该证书由一个可信任的证书中心。证书用来保证对该证书签名的持有者为主动分组负责；（2）监视和控制：可以通过设定访问监视器，它可以根据策略数据库中的安全决策来决定访问是否被授权，通过安全策略来允许主动分组访问和使用主动节点资源和服务；（3）限制技术：时间限制、范围限制以及复制限制，这些限制在阻止主动分组过度占用节点资源方面是必要的。
（二）主动分组的保护
（1）在主动网络中，主动分组可能会导致一些在现有的传统网络中不易经常出现的一些问题，如毁坏节点资源、拒绝服务、窃取信息等。为了保护主动分组的安全，可以采用加密、容错、数字签名技术等安全技术；（2）加密指主动分组不含有明文代码和数据，防止在传输过程中代码和数据被破坏；（3）容错技术就是备份、持续和重定向。备份意味着在每个节点都进行复制。持续是指分组临时被存储以防节点失效，这样即使节点崩溃，分组仍然存在存储器中。由于备份和持续会消耗大量的内存和带宽，对大部分分组来说是不可接受的，所以只有非常重要的分组才这样做；（4）数字签名技术对于主动分组进行完备性检测常采用公钥签名或X.509证书形式。接收方收到主动分组后，利用CA公钥验证CA数字签名以保证证书的完整性，然后从证书中获得主动分组发送者的公钥，验证主体的身份。
四、主动网络安全传输方案的设计
（一）合法节点之间的安全传输
在主动网络中，传输过程中，路径上的主动节点要执行主动分组中含有的代码，对主动分组进行计算处理，主动分组在完成传输之前，究竟会有多少个节点参与到通信中来，以及这些节点究竟是哪些节点，它们分布在什么位置，这些信息是无法事先确定的。这就导致发送节点、中间节点以及终端节点都无法确定自己会与多少个节点通信，也无法知道这些节点的所属者以及它们的地理位置。这就给主动节点之间的认证带来了困难，所以引入认证中心（CA）是完成主动节点通信过程中进行身份鉴别的必然选择。让所有可信节点都向CA注册，获得认证，并获取一张由CA签发的用以证明其合法身份的数字证书，从而使可信节点之间能够通过数字证书来完成彼此的身份鉴别。
（二）有不可信节点参与的安全通信