时间：2022-06-29 07:28:33
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇防火墙技术论文，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
关键词：网络安全；防火墙
1从软、硬件形式上分
如果从防火墙的软、硬件形式来分的话，防火墙可以分为软件防火墙和硬件防火墙以及芯片级防火墙。
（1）软件防火墙。
软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关。俗称“个人防火墙”。软件防火墙就像其它的软件产品一样需要先在计算机上安装并做好配置才可以使用。防火墙厂商中做网络版软件防火墙最出名的莫过于Checkpoint。使用这类防火墙，需要网管对所工作的操作系统平台比较熟悉。
（2）硬件防火墙。
这里说的硬件防火墙是指“所谓的硬件防火墙”。之所以加上“所谓”二字是针对芯片级防火墙说的了。它们最大的差别在于是否基于专用的硬件平台。目前市场上大多数防火墙都是这种所谓的硬件防火墙，他们都基于PC架构，就是说，它们和普通的家庭用的PC没有太大区别。在这些PC架构计算机上运行一些经过裁剪和简化的操作系统，最常用的有老版本的Unix、Linux和FreeBSD系统。值得注意的是，由于此类防火墙采用的依然是别人的内核，因此依然会受到OS（操作系统）本身的安全性影响。
（3）芯片级防火墙。
芯片级防火墙基于专门的硬件平台，没有操作系统。专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。做这类防火墙最出名的厂商有NetScreen、FortiNet、Cisco等。这类防火墙由于是专用OS（操作系统），因此防火墙本身的漏洞比较少，不过价格相对比较高昂。
2从防火墙技术分
防火墙技术虽然出现了许多，但总体来讲可分为“包过滤型”和“应用型”两大类。前者以以色列的Checkpoint防火墙和美国Cisco公司的PIX防火墙为代表，后者以美国NAI公司的Gauntlet防火墙为代表。
（1）包过滤（Packetfiltering）型。
包过滤方式是一种通用、廉价和有效的安全手段。之所以通用，是因为它不是针对各个具体的网络服务采取特殊的处理方式，适用于所有网络服务；之所以廉价，是因为大多数路由器都提供数据包过滤功能，所以这类防火墙多数是由路由器集成的；之所以有效，是因为它能很大程度上满足了绝大多数企业安全要求。
在整个防火墙技术的发展过程中，包过滤技术出现了两种不同版本，称为“第一代静态包过滤”和“第二代动态包过滤”。
包过滤方式的优点是不用改动客户机和主机上的应用程序，因为它工作在网络层和传输层，与应用层无关。但其弱点也是明显的：过滤判别的依据只是网络层和传输层的有限信息，因而各种安全要求不可能充分满足；在许多过滤器中，过滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影响；由于缺少上下文关联信息，不能有效地过滤如UDP、RPC（远程过程调用）一类的协议；另外，大多数过滤器中缺少审计和报警机制，它只能依据包头信息，而不能对用户身份进行验证，很容易受到“地址欺骗型”攻击。对安全管理人员素质要求高，建立安全规则时，必须对协议本身及其在不同应用程序中的作用有较深入的理解。因此，过滤器通常是和应用网关配合使用，共同组成防火墙系统。
（2）应用（ApplicationProxy）型。
应用型防火墙是工作在OSI的最高层，即应用层。其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的程序，实现监视和控制应用层通信流的作用。其典型网络结构如图所示。
在型防火墙技术的发展过程中，它也经历了两个不同的版本：第一代应用网关型防火和第二代自适应防火墙。
类型防火墙的最突出的优点就是安全。由于它工作于最高层，所以它可以对网络中任何一层数据通信进行筛选保护，而不是像包过滤那样，只是对网络层的数据进行过滤。
另外型防火墙采取是一种机制，它可以为每一种应用服务建立一个专门的，所以内外部网络之间的通信不是直接的，而都需先经过服务器审核，通过后再由服务器代为连接，根本没有给内、外部网络计算机任何直接会话的机会，从而避免了入侵者使用数据驱动类型的攻击方式入侵内部网。
防火墙的最大缺点是速度相对比较慢，当用户对内外部网络网关的吞吐量要求比较高时，防火墙就会成为内外部网络之间的瓶颈。那因为防火墙需要为不同的网络服务建立专门的服务，在自己的程序为内、外部网络用户建立连接时需要时间，所以给系统性能带来了一些负面影响，但通常不会很明显。
3从防火墙结构分
从防火墙结构上分，防火墙主要有：单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。
单一主机防火墙是最为传统的防火墙，独立于其它网络设备，它位于网络边界。
这种防火墙其实与一台计算机结构差不多（如下图），同样包括CPU、内存、硬盘等基本组件，主板更是不能少的，且主板上也有南、北桥芯片。它与一般计算机最主要的区别就是一般防火墙都集成了两个以上的以太网卡，因为它需要连接一个以上的内、外部网络。其中的硬盘就是用来存储防火墙所用的基本程序，如包过滤程序和服务器程序等，有的防火墙还把日志记录也记录在此硬盘上。虽然如此，但我们不能说它就与我们平常的PC机一样，因为它的工作性质，决定了它要具备非常高的稳定性、实用性，具备非常高的系统吞吐性能。正因如此，看似与PC机差不多的配置，价格甚远。
随着防火墙技术的发展及应用需求的提高，原来作为单一主机的防火墙现在已发生了许多变化。最明显的变化就是现在许多中、高档的路由器中已集成了防火墙功能，还有的防火墙已不再是一个独立的硬件实体，而是由多个软、硬件组成的系统，这种防火墙，俗称“分布式防火墙”。
原来单一主机的防火墙由于价格非常昂贵，仅有少数大型企业才能承受得起，为了降低企业网络投资，现在许多中、高档路由器中集成了防火墙功能。如CiscoIOS防火墙系列。但这种防火墙通常是较低级的包过滤型。这样企业就不用再同时购买路由器和防火墙，大大降低了网络设备购买成本。
分布式防火墙再也不只是位于网络边界，而是渗透于网络的每一台主机，对整个内部网络的主机实施保护。在网络服务器中，通常会安装一个用于防火墙系统管理软件，在服务器及各主机上安装有集成网卡功能的PCI防火墙卡，这样一块防火墙卡同时兼有网卡和防火墙的双重功能。这样一个防火墙系统就可以彻底保护内部网络。各主机把任何其它主机发送的通信连接都视为“不可信”的，都需要严格过滤。而不是传统边界防火墙那样，仅对外部网络发出的通信请求“不信任”。
4按防火墙的应用部署位置分
按防火墙的应用部署位置分，可以分为边界防火墙、个人防火墙和混合防火墙三大类。
边界防火墙是最为传统的，它们于内、外部网络的边界，所起的作用的对内、外部网络实施隔离，保护边界内部网络。这类防火墙一般都属于硬件类型，价格较贵，性能较好。
个人防火墙安装于单台主机中，防护的也只是单台主机。这类防火墙应用于广大的个人用户，通常为软件防火墙，价格最便宜，性能也最差。
混合式防火墙可以说就是“分布式防火墙”或者“嵌入式防火墙”，它是一整套防火墙系统，由若干个软、硬件组件组成，分布于内、外部网络边界和内部各主机之间，既对内、外部网络之间通信进行过滤，又对网络内部各主机间的通信进行过滤。它属于最新的防火墙技术之一，性能最好，价格也最贵。
5按防火墙性能分
按防火墙的性能来分可以分为百兆级防火墙和千兆级防火墙两类。
因为防火墙通常位于网络边界，所以不可能只是十兆级的。这主要是指防火的通道带宽（Bandwidth），或者说是吞吐率。当然通道带宽越宽，性能越高，这样的防火墙因包过滤或应用所产生的延时也越小，对整个网络通信性能的影响也就越小。
虽然防火墙是目前保护网络免遭黑客袭击的有效手段，但也有明显不足：无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变节者和不经心的用户们带来的威胁，也不能完全防止传送已感染病毒的软件或文件，以及无法防范数据驱动型的攻击。
参考文献
［1］孙建华等.网络系统管理-Linux实训篇［M］.北京：人民邮电出版社，2003，（10）.
关键词：防火墙；NetST；网络信息
中图分类号：TP393 文献标识码：A 文章编号：1006-4311（2012）18-0178-02
0 引言
一般来说，防火墙包括几个不同的组成部分：过滤器(有时也称屏蔽)用于阻断一定类型的通信传输。网关是一台或一组机器，它提供中继服务，以补偿过滤器的影响。驻有网关的网络常被叫做非军事区（DeMilitarized Zone，DMZ）。DMZ中的网关有时还由一个内部网关（internal gateway）协助工作。一般情况下，两个网关通过内部过滤器到内部的连接比外部网关到其他内部主机的连接更为开放。就网络通信而言，两个过滤器或网关本身，都是可以省去的，详细情况随防火墙的变化而变化。一般说来，外部过滤器可用来保护网关免受攻击，而内部过滤器用来应付一个网关遭到破坏后所带来的后果，两个过滤器均可保护内部网络，使之免受攻击。一个暴露的网关机器通常被叫做堡垒机。
防火墙可分成两种主要类别：数据包过滤（packet filtering）和应用网关（application gateway）。
数据包过滤防火墙的工作方法是通过基于数据包的源地址、目的地址或端口来进行过滤的。一般说来，不保持前后连接信息，过滤决定也是根据当前数据包的内容来做的。管理员可以设计一个可接受机器和服务的列表，以及一个不可接受机器和服务的列表。在主机和网络一级，利用数据包过滤器很容易实现允许或禁止访问。例如，允许主机A和B之间的任何IP访问，或禁止除A以外的任何机器访问B。
大多数安全策略需要更为精细的控制：对根本不被信任的主机，需要定义容许它们访问的服务。例如，可以希望允许任何主机与机器A连接，但仅限于发送或接收邮件。其他服务可以或不可以被允许。数据包过滤器允许在这一级别上进行某些控制，为了正确地做到这一点，要求精通许多操作系统上TCP和UDP端口的使用知识。包过滤防火墙的优点是速度快，缺点是不能对数据内容进行控制。
应用网关防火墙则是另一种方式，它不使用通用目标机制来允许各种不同种类的通信，而是针对每个应用使用专用目的代码。虽然这样做看来有些浪费，但却比任何其他方法安全得多。一是不必担心不同过滤规则集之间的交互影响，二是不必担忧对外部提供安全服务的主机中的漏洞。只需仔细检查选择的数个程序。应用网关还有另一个优点：它易于记录并控制所有的进/出通信，并对Internet的访问做到内容级的过滤，所以是很安全的。应用级网关的最大缺点就是速度慢。
1 网络的系统规划与设计
根据用户具体情况，规划内网的环境，必要时使用多个网段。确定是否需要向外部Internet提供服务以及何种服务，由此确定是否需要DMZ网段以及DMZ网段的具体结构。根据内网、DMZ网的结构确定NetST■防火墙的具体连接方式，防火墙位置一般放在路由器之后，内网、DMZ网之前。设计系统的访问控制规则，使防火墙起作用。
2 防火墙配置步骤建议
配置网络结构，安装NetST■防火墙硬件，使防火墙各网卡正确连接内网，外网和DMZ网。配置NetST■防火墙网络参数使网络连接正常，必要时需重启NetST■防火墙。设计网络安全策略，根据用户具体情况设置安全选项、NAT规则、访问控制的过滤规则、内容过滤规则等。启动防火墙引擎，使规则起作用。
3 防火墙规则定义的一般步骤
NetST防火墙一般按下列步骤定义规则：
一般情况下，我们建议用户按上面步骤进行规则配置，用户也可以根据情况进行一定的调整和修改。
4 状态检测防火墙引擎
NetST防火墙引擎采用国际先进的状态检测包过滤技术，实时在线监测当前内外网络的TCP连接状态，根据连接状态动态配置规则，对异常的连接状态进行阻断，实现入侵检测并及时报警。NetST■防火墙支持对目前国际上主要的网络攻击方法的判别，并且进行有效阻断。作为包过滤型防火墙， NetST防火墙为用户提供强大的包过滤功能。NetST防火墙支持各种主流网络协议，不仅可以根据网络流量的类型、网络地址、应用服务等条件进行过滤，并且可以对多种网络入侵进行辨别和有效阻断，同时实时进行记录和报警；另外，NetST■防火墙与内置多种网络对象的Java管理控制台配合使用，可以更加充分发挥NetST■防火墙引擎的强大的包过滤功能。
4.1 全面安全防护 NetST防火墙具备抵御多种外来恶意攻击的能力：
4.1.1 DoS（Deny of Service，拒绝服务）攻击：此类型的攻击方式包括SYN Flooding、LAND攻击、Ping Flooding、Ping of Death、Teardrop/New Tear、IP碎片攻击等，攻击者对服务器不断发各种类型的数据包使服务器的处理能力达到饱和，从而不能再接受正常的访问。NetST■防火墙利用地址检测、流量限制、碎片重组等方法进行防御；
4.1.2 IP欺骗：攻击机器 C模拟被攻击机器A信任的机器B与A通信，通常先通过DoS攻击使B的网络陷于瘫痪，然后再冒充B与A通信以执行对A造成危害的操作。防止IP欺骗的方法一是服务器不开危险服务，二是服务器的TCP连接的起始序列号要随机选取，防止被猜，三是加强对DoS攻击的防御。NetST■防火墙的防御方法是一是禁止外网到内网的连接请求，或只将允许的开放端口请求转到DMZ区的服务器，同时DMZ区服务器尽量只开单一服务，并注意对系统软件进行升级或打补丁；
4.1.3 端口扫描：通过端口扫描，攻击者可知道被攻击的服务器上运行那些服务，从而对服务进行攻击或利用某些服务的缺陷攻击主机。NetST■防火墙利用网络地址转换（NAT）功能、TCP状态检测等方法进行防御；
4.1.4 IP盗用：在内网中的一台机器通过修改IP地址模拟另一台机器，从而NetST■防火墙使用基于用户的认证使IP地址与用户动态绑定以及IP地址与MAC地址绑定来进行预防。
4.2 全面内容过滤 NetST防火墙支持对最常用的应用层协议进行内容过滤，使用户可以根据网络传输的内容进行管理和控制，从而使企业网络运行更加快速有效。NetST防火墙支持HTTP协议的URL过滤和HTML内容过滤。NetST■防火墙支持与WebCM■3000系列产品无缝集成，由NetST■防火墙提取出URL，然后与UFP服务器连接以确定是否允许此请求通过；同时，可过滤HTML页面中的各种脚本和Java小程序；可拒绝各种媒体类型的数据，如图像、声频、视频等，以免浪费带宽，降低工作效率；NetST防火墙支持FTP协议内容过滤，用户可自行设定拒绝上载和下载的文件类型表，对此文件类型范围内的文件传送请求将被拒绝；
NetST防火墙支持主要邮件协议的内容过滤。对于SMTP协议，用户可自行设定拒绝发的附件文件类型表，对此文件类型范围内的附件发送请求将被拒绝；对于POP3协议，可自行设定危险的附件文件类型表，对此文件类型范围内的附件收取将修改文件的后缀名以使其暂时失效，从而防止诸如“ILOVEYOU”等邮件病毒的攻击。
在当前信息技术高速发展的情况下，好的反火枪技术不断发展更新，设计该系统的过程中，我们也是在不断的发现问题，解决问题。也发现了不少没有能解决的新问题，比如延时的控制以及系统运行时的安全保障等新的问题。这需要在今后的工作中不断的去努力，不断地去研究逐渐解决。
参考文献：
[1]张迅.基于SIP的IP视频电话的设计与实现.华中科技大学硕士学位论文，2006：14-19.
[2]武海宁基于SIP/RTP的实用VOIP系统研究.北京邮电大学硕士学位论文，2007：17-23.
[3]唐岷.基于SIP的VoIP穿越防火墙/NAT的研究与实现.南京理工大学硕士学位论文，2006：45-50.
【关键词】建筑工程 防火防爆设计安全性能设计要点
中图分类号： TU198 文献标识码： A
一．引言
随着社会经济的发展，建筑工程建设得到了前所未有的发展，建筑工程项目的数量日益增多，同时出现的各种建筑工程事故也在增加。建筑工程的结构设计是保证工程质量的关键，防火防爆设计直接影响着工程项目的实用性，甚至关系着人民的生命财产安全。因此，为了提高建筑工程的质量，保障人民的生命财产安全，降低国家的经济损失，我们必须要加强对建筑工程防火防爆设计的研究，提高设计的安全性。
二.对工业建筑进行防火防爆设计需考虑的问题。
建筑消防设计是建筑设计中一个重要组成部分，关系到人民生命财产安全，应该引起大家的足够重视。文章从防火分区、安全疏散以及防爆泄压三方面来讨论：
（1）. 建筑的防火分区问题。
《建规》中规定了厂房及仓库的的防火分区，其中有一点需要注意，厂房及仓库的防火分区首先受该建筑物生产类别影响，其次还和建筑物的耐火等级有关。虽然《建规》中规定封闭楼梯间的门为双向弹簧门就可以了，但做为划分防火分区用的封闭楼梯间门至少应设乙级防火门。否则楼梯间也是火灾纵向蔓延的途径之一，也应按上下连通层作为一个防火分区计算面积。
（2）. 安全疏散设计问题。
很多大型工业建筑在消防安全疏散设计中存在的问题，诸如首层疏散楼梯无法直通室外，设备及管道布置错综复杂致使人员逃生路线迂回曲折，疏散距离超过规范要求等。在设计中应合理设置安全疏散通道，并使疏散通道两侧的隔墙耐火极限≥lh(非燃材料)，房间内最远工作点的疏散距离应考虑设备及管道布置的影响等等。
（3）防爆泄压应注意的问题
首先，不同用途的厂房有不同的厂房爆炸危险等级，进而根据规范采取相应级别的泄压比。第二，要避免建筑物内有爆炸危险的部位形成长细比过大的空间，以防止爆炸时产生较大超压，保证所设计的泄压面积能有效。第三，泄压方向要避开人员疏散通道及重要设施。
三．工业厂房防火防爆设计要点。
有爆炸危险的厂房，一旦发生爆炸，不但会造成房倒人亡，设备摧毁，生产停顿，甚至引起相邻厂房或设施连锁爆炸、次生火灾。因此，从厂房设计起，就应考虑防爆抗爆措施。消防部门也应加强对此类厂房的审核，严格把关，将隐患消灭在源头。因此在设计爆炸危险厂房时应注意把握以下几个方面：
1.平面布局设计。
规模较大的工厂和仓库，应根据实际需要，合理划分生产区、储存区、生产辅助设施区和行政办公、生活福利区等。同一生产企业内，宜尽量将火灾危险性相同或相近的建筑集中布置，以便分别采取防火防爆设施，便于安全管理。在选址时，应注意周围环境，充分考虑建厂地区的企业和居民安全。注意地势条件，应根据产品的性质，优先选取有利地形，减少危险性，减少对周围环境的火灾威胁。注意风向，散发可燃气体、可燃蒸汽和可燃粉尘的车间、装置，应布置在厂区的全年主导风向的下风向。
2.建筑耐火等级。
建筑物耐火等级。划分建筑物耐火等级是建筑设计防火规范中规定的防火技术措施中最基本的措施。它要求建筑物在火灾高温的持续作用下,墙、柱、梁、楼板、屋盖、吊顶等基本建筑构件,能在一定的时间内不破坏,不传播火灾,从而起到延缓和阻止火灾蔓延的作用,并为人员疏散、抢救物资和扑灭火灾以及为火灾后结构修复创造条件。
3.防火墙和防火门及防火间距。
根据在建筑物中的位置和构造形式，有与屋脊方向垂直的横向防火墙、与屋脊方向平行的纵向防火墙、内墙防火墙、外墙防火墙和独立防火墙等。内防火墙是把厂房或库房划分成防火单元，可以阻止火势在建筑物内的蔓延扩展；外防火墙是邻近两幢建筑物的防火间距不足而设置的无门窗洞的外墙，或两幢建筑物之间的室外独立防火墙。已采取防火分割的相邻区域如需要互相通行时，可在中间设置防火门。按燃烧性能不同有非燃烧体防火门和难燃烧体防火门；按开启方式不同有平开门和卷帘门等。
火灾发生时，由于强烈的热辐射、热对流以及燃烧物质的爆炸飞溅、抛向空中形成飞火，能使邻近甚至远处建筑物形成新的起火点。为阻止火势向相邻建筑物蔓延扩散，应保证建筑物之间的防火间距。
4.工业建筑防爆。
在一些工业建筑中,使用和产生的可燃气体、可燃蒸气、可燃粉尘等物质能够与空气形成爆炸危险性的混合物,遇到火源就能引起爆炸。这种爆炸能够在瞬间以机械功的形式释放出巨大的能量,使建筑物、生产设备遭到毁坏,造成人员伤亡。对于上述有爆炸危险的工业建筑,为了防止爆炸事故的发生,减少爆炸事故造成的损失,要从建筑平面与空间布置、建筑构造和建筑设施方面采取防火防爆措施。首先，此类建筑以独立设置，并宜采用敞开或半敞开式，承重结构多采用钢筋混凝土或钢框架、排架结构。第二，要加强与其贴临建造建筑物的保护，根据需要将两者之间的隔墙设置为防火墙或防爆墙。第三，有爆炸危险的甲、乙类厂房（仓库）应设置足够有效的泄压设施,以减少爆炸带来的损失。当建筑物长细比大于3时，宜将该建筑划分为长细比小于等于3的多个计算段来计算所需泄压面积，且各计算段中的公共截面不得作为泄压面积。另外，位于寒冷及严寒地区的有爆炸危险的建筑物屋顶上所设的泄压设施还应考虑采取有效防止冰雪积聚的措施。
5. 设置防爆门斗
设置防爆门斗是解决交通和防爆的有力措施，第一道门宜采用防爆门，才能达到防爆的效果。但防爆门均采用特殊钢材制作，其连接转动部件和防止门与门框碰撞产生火花，门铰链应采用青铜轴和垫圈或其他摩擦碰撞不发火材料制作，门扇周边贴橡胶板，防止碰撞产生火花。防爆门斗内要有一定的容积，保证当门打开时瞬时进入门斗的可燃气体浓度降低，两门布置应在不同方位上，间距200以上。防爆门斗也是爆炸危险部位的安全出口，其位置应满足安全疏散距离的要求。
四．结束语
随着人们生活水平的提高，对生命财产的安全性要求也在不断提高。建筑安全保障问题在人们心中的地位越来越高，经济性建立在安全性的基础之上，只有保证了建筑结构的安全性，才能够考虑建筑工程施工的经济性和适用性。在正常的情况下，建筑工程首先要具备良好的工作性能，进而为社会创造出良好的经济效益。进而有效提高建筑结构的安全性能，促进建筑工程建设的发展，促进建筑业的发展。
参考文献：
[1] 李海 防爆防火设计在工业建筑中的应用 [期刊论文] 《黑龙江科技信息》 -2012年2期
[2] 曲海富 海洋工程防爆墙结构有限元分析 [学位论文] 2007 - 天津大学：船舶与海洋结构物设计制造
[论文关键词] 计算机网络安全网络技术 [论文提要] 近年来计算机网络获得了飞速的发展，网络安全问题也随之成为人们关注的焦点。本文分析了影响网络安全的主要因素，重点阐述了几种常用的网络信息安全技术。
Keywords: computer network security network technology
Abstracts: In recent years, computer network access to the rapid development of network security issues will become a focus of attention. This paper analyzes the main factors affecting network security, focuses on several commonly used network information security technology. 中图分类号：TN711文献标识码：A 文章编号：计算机网络安全是指利用网络管理控制和技术措施，保证在一个网络环境里，数据的保密性、完整性及可使用性受到保护。计算机网络安全包括两个方面，即物理安全和逻辑安全。物理安全指系统设备及相关设施受到物理保护，免于破坏、丢失等。逻辑安全包括信息的完整性、保密性和可用性。 随着计算机网络的不断发展，全球信息化已成为人类发展的大趋势。但由于计算机网络具有联结形式多样性、互连性等特征，加上安全机制的缺乏和防护意识不强，致使网络易受黑客、恶意软件和其他不轨行为的攻击，所以网络信息的安全和保密是一个至关重要的问题。 一、威胁网络安全的主要因素 影响计算机网络安全的因素有很多，威胁网络安全则主要来自人为的无意失误、人为的恶意功击和网络软件系统的漏洞以及“后门”三个方面的因素，归纳起来如下： 1．应用系统和软件安全漏洞。WEB服务器和浏览器难以保障安全，最初人们引入CGI程序目的是让主页活起来，然而很多人在编CGI程序时对软件包并不十分了解，多数人不是新编程序，而是对程序加以适当的修改，这样一来，很多CGI程序就难免具有相同安全漏洞。且每个操作系统或网络软件的出现都不可能是完美无缺，因此始终处于一个危险的境地，一旦连接入网，就有可能成为功击对象。 2．安全策略。安全配置不当造成安全漏洞，例如：防火墙软件的配置不正确，那么它根本不起作用。许多站点在防火墙配置上无意识地扩大了访问权限，忽视了这些权限可能会被其他人员滥用。网络入侵的目的主要是取得使用系统的存储权限、写权限以及访问其他存储内容的权限，或者是作为进一步进入其他系统的跳板，或者恶意破坏这个系统，使其毁坏而丧失服务能力。对特定的网络应用程序，当它启动时，就打开了一系列的安全缺口，许多与该软件捆绑在一起的应用软件也会被启用。除非用户禁止该程序或对其进行正确配置，否则，安全隐患始终存在。 3．后门和木马程序。在计算机系统中，后门是指软、硬件制作者为了进行非授权访问而在程序中故意设置的访问口令，但也由于后门的存大，对处于网络中的计算机系统构成潜在的严重威胁。木马是一类特殊的后门程序，是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点；如果一台电脑被安装了木马服务器程序，那么黑客就可以使用木马控制器程序进入这台电脑，通过命令服务器程序达到控制电脑目的。 4．病毒。目前数据安全的头号大敌是计算机病毒，它是编制者在计算机程序中插入的破坏计算机功能或数据，影响硬件的正常运行并且能够自我复制的一组计算机指令或程序代码。它具有病毒的一些共性，如：传播性、隐蔽性、破坏性和潜伏性等等，同时具有自己的一些特征，如：不利用文件寄生（有的只存在于内存中），对网络造成拒绝服务以及和黑客技术相结合等。 5．黑客。黑客通常是程序设计人员，他们掌握着有关操作系统和编程语言的高级知识，并利用系统中的安全漏洞非法进入他人计算机系统，其危害性非常大。从某种意义上讲，黑客对信息安全的危害甚至比一般的电脑病毒更为严重。 二、常用的网络安全技术 1．杀毒软件技术。杀毒软件是我们计算机中最为常见的软件，也是用得最为普通的安全技术方案，因为这种技术实现起来最为简单，但我们都知道杀毒软件的主要功能就是杀毒，功能比较有限，不能完全满足网络安全的需要。这种方式对于个人用户或小企业基本能满足需要，但如果个人或企业有电子商务方面的需求，就不能完全满足了，值得欣慰的是随着杀毒软件技术的不断发展，现在的主流杀毒软件同时对预防木马及其它的一些黑客程序的入侵有不错的效果。还有的杀毒软件开发商同时提供了软件防火墙，具有了一定防火墙功能，在一定程度上能起到硬件防火墙的功效，如：360、金山防火墙和Norton防火墙等。
2．防火墙技术。防火墙技术是指网络之间通过预定义的安全策略，对内外网通信强制实施访问控制的安全应用措施。防火墙如果从实现方式上来分，又分为硬件防火墙和软件防火墙两类，我们通常意义上讲的硬防火墙为硬件防火墙，它是通过硬件和软件的结合来达到隔离内外部网络的目的，价格较贵，但效果较好，一般小型企业和个人很难实现；软件防火墙它是通过纯软件的方式来达到，价格很便宜，但这类防火墙只能通过一定的规则来达到限制一些非法用户访问内部网的目的。然而，防火墙也并非人们想象的那样不可渗透。在过去的统计中曾遭受过黑客入侵的网络用户有三分之一是有防火墙保护的，也就是说要保证网络信息的安全还必须有其他一系列措施，例如：对数据进行加密处理。需要说明的是防火墙只能抵御来自外部网络的侵扰，而对企业内部网络的安全却无能为力，要保证企业内部网的安全，还需通过对内部网络的有效控制和来实现。 3．数据加密技术。与防火墙配合使用的安全技术还有文件加密与数字签名技术，它是为提高信息系统及数据的安全性和保密性，防止秘密数据被外部窃取，侦听或破坏所采用的主要技术手段之一。按作用不同，文件加密和数字签名技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种。数据存储加密技术是以防止在存储环节上的数据失密为目的，可分为密文存储和存取控制两种；数据传输加密技术的目的是对传输中的数据流加密，常用的有线路加密和端口加密两种方法；数据完整性鉴别技术的目的是对介入信息的传送、存取、处理人的身份和相关数据内容进行验证，达到保密的要求，系统通过对比验证对象输入的特征值是否符合预先设定的参数，实现对数据的安全保护。数据加密在许多场合集中表现为密匙的应用，密匙管理技术事实上是为了数据使用方便。密匙的管理技术包括密匙的产生、分配保存、更换与销毁等各环节上的保密措施。 数据加密技术主要是通过对网络数据的加密来保障网络的安全可靠性，能够有效地防止机密信息的泄漏。另外，它也广泛地被应用于信息鉴别、数字签名等技术中，用来防止欺骗，这对信息处理系统的安全起到极其重要的作用。 4．入侵检测技术。网络入侵检测技术也叫网络实时监控技术，它通过硬件或软件对网络上的数据流进行实时检查，并与系统中的入侵特征数据库等比较，一旦发现有被攻击的迹象，立刻根据用户所定义的动作做出反应，如切断网络连接，或通知防火墙系统对访问控制策略进行调整，将入侵的数据包过滤掉等。因此入侵检测是对防火墙有益的补充。可在不影响网络性能的情况下对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护，大大提高了网络的安全性。 5．网络安全扫描技术。网络安全扫描技术是检测远程或本地系统安全脆弱性的一种安全技术，通过对网络的扫描，网络管理员可以了解网络的安全配置和运行的应用服务，及时发现安全漏洞，客观评估网络风险等级。利用安全扫描技术，可以对局域网络、Web站点、主机操作系统、系统服务以及防火墙系统的安全漏洞进行服务，检测在操作系统上存在的可能导致遭受缓冲区溢出攻击或者拒绝服务攻击的安全漏洞，还可以检测主机系统中是否被安装了窃听程序、防火墙系统是否存在安全漏洞和配置错误。 网络安全与网络的发展戚戚相关，关系着IN-TERNET的进一步发展和普及。网络安全不能仅依靠杀毒软件、防火墙和漏洞检测等硬件设备的防护，还应注重树立人的计算机安全意识，才可能更好地进行防护，才能真正享受到网络带来的巨大便利。
[参考文献] [1]顾巧论．计算机网络安全[M]．北京：清华大学出版社，2008．
[2]李军义．计算机网络技术与应用[M]．北京：北方大学出版社，2006．
[3]蔡立军．计算机网络安全技术[M]．北京：水利水电出版社，2005．
[4]赵秦．计算机网络信息安全技术研究[J]．中国新技术新产品，2009，（14）．
关键词：计算机；网络安全；防火墙技术；分析
中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)24-5787-02
Computer Network Security and Firewall Technology
ZHANG Rui
(Hinggan League Frontier Defense Detachment, Inner Mongolia Frontier Corps, Ulanhot 137400, China)
Abstract: With the popularization of computer technology in our country, the openness of the network to bring convenience, but also brought confusion to the network security issues. For example: the computer network are often victims of a virus or hacker attacks, so that important files and data loss. In order to be able to better ensure the security of network information, to avoid destruction and violation of, therefore, become the focus of attention as a firewall to protect network security technology. In this paper, a brief introduction of the com puter network security and firewall technology, computer network security and firewall technology to analyze, and described the use of fire wall technology in computer network security.
Key words: computer; network security; firewall technology; analysis
计算机网络安全问题主要有：信息在传输的过程中，数据被篡改和复制，以及拦截和查看，甚至遭受恶意的病毒攻击等。这些安全问题严重影响着计算机网络的正常运行，出现系统瘫痪或重要数据的泄漏，造成不可挽回的严重后果。为了构建安全可靠的网络安全环境，我国除了从法律和政策方面建立网络安全体系，还从技术方面进行完善。由于网络内部和外部环境的特殊性，因此防火墙技术是目前保护网络安全最为有效地技术。不仅能够对网络传输的数据进行检查，还能对整个网络进行监控。
1计算机网络安全及防火墙技术的含义
计算机网络安全主要是保护使用者在进行信息传输时，不被外界所窃听和篡改，及复制，同时还要避免自然灾害所造成的损害，以确保网络通信的连续。总的来说，计算机网络安全就是在确保网络系统正常运行的同时，还要确保各方面流动或存储的数据不被更改和破坏，及泄漏。
防火墙技术属于一种隔离技术，是网络与网络之间安全的一道屏障，同时也是保证网络信息安全的基本手段。防火墙不仅能够对网络信息流进行控制，增强网络间的访问控制和安全性，还能够抵抗攻击，阻止其他用户非法获取网络信息资源。防火墙除了能够保护数据不被窃取和复制等，还能够保护内在的设备不被破坏，同时还能够确定服务器是否被访问、被什么人访问、什么时候访问等。
2计算机网络安全及防火墙技术分析
2.1计算机网络安全分析
其一，对计算机网络安全造成的威胁。在计算机网络安全中，造成的威胁主要是自然和人为两种。前者主要是自然灾害和设备的老化、电磁辐射和干扰，以及恶劣环境等造成的威胁；后者是病毒和黑客攻击、网络缺陷和管理的漏洞，以及恶意的操作等造成的威胁。除此之外，TCP/IP协议和网络结构的缺陷，以及网络安全意识的缺乏都将对计算机网络安全造成威胁。
其二，计算机网络安全主要影响原因在于网络资源的共享和开放、网络系统的设计不够完善，以及人为的恶意攻击等。由于资源共享的目的是实现网络应用，任何用户都能够通过互联网进行信息资源的访问，因此，攻击者只要通过服务请求就能够轻松访问到网络数据包，为攻击者提供了破坏的机会。同时合理的网络系统在确保节约资源的条件下，保证其安全性，相反就会构成安全的威胁。随着网络的广泛，黑客和病毒的攻击是计算机网络最难防御的威胁。
其三，利用数据加密和网络存取控制的方式确保对网络安全的保护。前者主要是通过链路和端端加密，以及节点和混合加密来阻止数据被恶意的篡改和破坏，以及泄漏等；后者主要是通过身份的识别和数字签名，以及存取权限的控制和备份恢复等来阻止非法访问造成数据的丢失和泄密，以及破坏等。
2.2防火墙技术分析
其一，包过滤性的防火墙。该防火墙主要是在OSI参考模型中的网络和传输层通过一个过滤路由器实现对整个网络的保护，只要与源头和目的地址、协议类型，以及端口号等过滤条件相符，就能够进行数据包的转发，相反就会丢失数据包。并且该防火墙工作透明，不仅效率高，而且速度也很快。但是该防火墙无法支持应用层协议，不能防御黑客的攻击和处理新型安全威胁。
其二，NAT和应用型的防火墙。前者是将IP地址转换成临时注册的IP地址，当内部网络对外部网络进行访问时，如果是通过安全网卡，防火墙就会自动将源地址与端口伪装，然后与外部相连。相反，如果是通过非安全网卡，那么访问是经过一个开放的IP与端口。防火墙对访问安全的判断是依照已经预设好的映射规则进行；而后者是运行在OSI的应用层。它不仅阻止网络的通信流，还能够实时监控，其安全性非常高。但是该防火墙影响系统的性能，使管理更加复杂。
其三，状态检测型的防火墙。该防火墙与其他防火墙相比较的话，不仅高安全和高效性，还具有很好的可扩展和伸缩性。该防火墙将相同连接的包看成整体数据流，并对连接状态表中的状态因素进行辨别和区分。虽然这种防火墙性能很好，但是容易造成网络连接的延缓滞留。
3在计算机网络安全中防火墙技术的运用
从整体上来说，计算机网络安全是通过网络的管理控制，以及技术的解决办法，确保在网络的环境中，保护数据进行使用和保密，及完整性。计算机网络安全主要有物理和逻辑安全。但是根据使用者的不一样，对网络安全的理解也就会不一样。如：一般的使用者认为，计算机网络安全就是在网络上传自己的隐私或者是重要的信息时，能够保护信息不能被窃听和篡改，以及伪造。而网络的供应商们则认为，除了保证网络信息的安全，还要考虑各种对网络硬件破坏因素的保护，以及在出现异常时恢复网络通信的保护。
1）加密技术。即信息的发送方先对信息做加密处理，密码由和接收方掌握，接收方接收到经过加密处理的信息后，用解密密钥对信息进行解密，从而完成一次安全的信息传输。加密措施利用密钥来保障信息传输的安全性。
2）身份验证。通过对网络用户的使用授权，在信息的发送方和接收方之间通过身份认证，建立起相对安全的信息通道，这样可以有效防止未经授权的非法用户的介入。
3）防病毒技术，主要涉及对病毒的预防、检测以及清除三方面。
其一，在网络建设中，安装防火墙对互联网之间的交换信息按照某种规则进行控制，构成一道安全屏障来保护内网与外网间的信息和数据传输，确保网络不被其他未经授权的第三方侵入。
其二，网络的连接如果是由路由器和互联网相连，服务器有WWW和DNS、FIP和Email等，且IP地址确定，同时该网络拥有一个C类IP地址。那么该网络首先要进入主干网，对主干网的中心资源采取访问控制，禁止服务器以外的服务访问。然后，为了防御外来非法访问盗用，在连接端口接收数据的同时，就要检查IP和以太网的地址，丢弃盗用IP地址数据包，并将有关的信息进行记录。实际的操作过程是：预设控制位102，当防火墙与IP、以太网地址访问到某个地址属于非法访问，那么防火墙就会自动将路由器中的存取控制表进行更改，过滤非法的IP地址包，以阻止外来的非法访问。
4结束语
总而言之，随着计算机网络的快速发展和运用，网络为人们带来便捷的同时，也带来了一定的安全问题。由于网络安全不仅与技术和管理有联系，对网络的使用和维护等也有联系。虽然目前防火墙技术是防止网络威胁的主要手段，但是由于网络安全存在多方面，仅依靠防火墙技术是无法满足人们对网络安全的需求，因此，只有将网络安全与防火墙技术结合进行研究，才能提供更好的安全服务。
参考文献：
[1]张威,潘小凤.防火墙与入侵检测技术探讨[J].南京工业职业技术学院学报,2008(2).
[2]程卫骥.浅析网络安全的威胁因素及防范措施[C]//煤矿自动化与信息化——第21届全国煤矿自动化与信息化学术会议暨第3届中国煤矿信息化与自动化高层论坛论文集:下册.2011.
关键词：数字化校园网，安全隐患，安全机制，安全实施
数字化校园是在校园网的基础之上，以计算机网络和信息数字化技术为依托，利用先进的信息手段和工具，来支撑学校的教学和管理信息流，实现了教育、教学、科研、管理、技术服务等校园信息的收集、处理、整合、存储、传输、应用等方面的全部数字化，使教学资源得到充分优化利用的一种虚拟教育环境。
一、高校数字化校园网的安全隐患分析
高校校园网的应用以及服务主要是面向学生，学生经常玩游戏、下电影、浏览未知以及可能存在安全隐患的网站、接收陌生人的电子邮件、用聊天软件时随意接受陌生人传送的文件，这些安全隐患都有可能导致校园网病毒泛滥；观看网上直播，严重影响网络速度，甚至阻塞网络运行；同时高校的学生人数较多，学生对网络安全的认识也参差不齐：很多学生认为网络中的安全威胁就是计算机病毒。所以，整个校园网中的大部分用户，对网络中存在的安全威胁还是没有一个清晰、系统的认识。
经过调查、分析、研究，高校校园网存在以下安全隐患：
1.校园网直接与因特网相连，所以会遭受黑客以及网络安全缺陷方面的攻击；
2.校园网内部安全隐患；
3.用户接入点数量大，使用率高，随时有可能造成病毒泛滥、信息丢失、数据损坏、网络被攻击、系统瘫痪等严重后果；
4.缺乏统一管理；
5.网络中心负荷量大：绝大部分网络管理功能都是由网络中心来完成的，包括校园网络的建设维护、网络使用的政策制定以及相关费用的收取；
总之，实施一个科学、合理的安全机制数字化校园网，对校园网的正常运行起着至关重要的作用。
二、数字化校园网安全机制的实施
为了有效地解决校园网将会遇到的种种网络安全问题，需要在网络中的各个环节都采取必要的安全防范措施，通过多种安全防范技术和措施的综合运用，从而来保证校园网能够高性能、高安全性的正常运行。
1、防火墙的实施
防火墙技术是抵抗黑客入侵和防止未授权访问的最有效手段之一，也是目前网络系统实现网络安全策略应用最为广泛的工具之一。
防火墙是一种保护内部网络操作环境的特殊网络互联设备；同时防火墙也是设置在不同网络或网络安全域之间的一系列部件的组合。它通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护。论文格式，安全实施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，它有效地监控了内部网和Internet之间的活动，保证内部网络的安全。
可根据具体的校园网实际环境，在防火墙上设置如下安全策略：
1）解决内外网络边界安全，防止外部攻击，保护内部网络（禁止外部网络访问内部网络）；2）根据IP地址、协议类型、端口等进行数据包过滤；3）内外网络采用两套IP地址，实现双向地址转换功能；4）支持安全服务器网络（DMZ区），允许内外网络访问DMZ区，但禁止DMZ区访问内部网络；5）通过IP与MAC地址绑定防止IP盗用，避免乱用网络资源；6）防止IP欺骗；7）防DDoS攻击；8）开启黑白名单功能，实现URL过滤，过滤不健康网站；9）提供应用服务，隔离内外网络；10）具有自身保护能力，可防范对防火墙的常见攻击；11）启动入侵检测及告警功能；12）学生访问不良信息网站后的日志记录，做到有据可查；13）多种应用协议的支持，等等。
2、网闸的实施
安全隔离网闸是一种由带有多种控制功能专用硬件在电路上切断网络之间的链路层连接，并能够在网络间进行安全适度的应用数据交换的网络安全设备。安全隔离网闸可以在保证安全的前提下，使用户可以浏览网页、收发电子邮件、在不同网络上的数据库之间交换数据，并可以在网络之间交换定制的文件。论文格式，安全实施。
可根据具体的校园网实际环境，在网闸上设置如下安全策略：
1）阻断内外网络的物理连接，防止外部攻击，保护内部网络；2）剥离内外网络传输的TCP/IP以及应用层协议，避免因为TCP/IP以及应用层协议造成的漏洞； 3）内外网络采用一套IP地址，实现指定协议通讯功能； 4）允许内网访问外网特定服务、应用（HTTP，FTP，FILE，DB等）；5）允许外网指定机器访问内网特定应用（FILE，DB等）；6）防止IP欺骗； 7）防DDoS攻击；8）具有自身保护能力，可防范常见DoS、DDoS攻击； 9）多种应用协议的支持，等等。
3、 防病毒的实施
计算机病毒对计算机网络的影响是灾难性的。计算机病毒的传播方式已经由在单机之间传播转向到各个网络系统之间的传播，一旦病毒侵入到某一局域网并发作，那么造成的危害是难以承受的。病毒和防病毒之间的斗争已经进入了由“杀”病毒到“防”病毒的时代。只有将病毒拒绝于内部网之外，或者及时查杀内部网的病毒，以此防范病毒在网络内泛滥传播，才能保证数据的真正安全。论文格式，安全实施。
我们结合计算机网络、计算机病毒的特征，给出以下防范防治策略：
1）阻止外网的病毒入侵（这是病毒入侵最常见的方式，因此在两个或多个网络边界之间，在网关处进行病毒拦截是效率最高，耗费资源最少的措施，但只能阻挡来自外部病毒的入侵）；2）阻止网络邮件/群件系统传播病毒（在邮件系统上部署防病毒体系）；3）设置文件服务器防病毒保护；4）最终用户：病毒绝大部分是潜伏在计算机网络的客户端机器上，因此在网络内对所有的客户机也要进行防毒控制；5）内容保护：为了能够在第一时间主动的阻止新型病毒的入侵，在防病毒系统中对附加内容进行过滤和保护是非常必要的；6）集中管理：通过一个监控中心对整个系统内的防毒服务和情况进行管理和维护，这样可以大大降低维护人员的数量和维护成本，并且缩短了升级、维护系统的响应时间。
4、学生宿舍区域802.1x认证
考虑到认证效率、接入安全、管理特性等多方面的因素，对于学生宿舍区域的用户接入建议采用已经标准化的802.1x认证方式：
1）网络环境复杂，接入用户数量巨大：建议采用分布式的用户认证方式，把认证分散到楼栋汇聚交换机上去完成，如果发生故障，不至于会影响到整个网络的所有用户；2）网络流量大，认证用户数量大：所采用的认证方式要具有很高的效率，以保证用户能及时通过认证，在网络流量大，认证用户数多时不会对设备的性能产生影响，以保证整个网络高效、稳定的运行；3）某些用户技术层次高，存在对网络安全造成影响的可能：难免存在某些用户因好奇使用一些黑客软件或病毒软件而造成对网络的影响，因此所采用的认证方式要能够有比较高的安全性，能防止如DHCP的恶意攻击等安全功能。
5、数据存储方案的实施
数字化校园是计算机技术的一个新兴应用领域，涉及的内容非常广泛，包括资料数字化、海量存储及数据管理、全方位查询检索、多渠道等技术，提供包括电子图书、视频、音频及其他多种形式的媒体资料等等。在数字化校园环境下，各种数字信息的增长非常迅猛，同时，数字信息存储的容量需求越来越大。
因此，设计一种高容量、可扩充的存储技术方案也是校园网络安全的重点。可以容纳、甚至可以无限制地容纳更多信息的“海量”存储技术：如NAS存储、SAN存储等应用支撑平台解决方案，在系统结构上满足用户未来的应用需求，同时合理使用用户投资，建立满足用户现有需求的系统，并且易于扩展的系统，来帮助用户解决在数据存储和应用需求方面所面临的挑战。
三、总结
随着Internet技术突飞猛进的发展，网络的应用范围和领域迅速扩大，新的网络技术、安全技术不断推陈出新，黑客技术也逐渐多元化，导致安全问题日益突出。在计算机网络里，安全防范体系的建立不是一劳永逸的，没有绝对的安全，我们只能不断的采用新的网络技术，以及新的安全设备与技术，这样才有可能将网络中威胁降到最低限度。论文格式，安全实施。
防火墙、网闸、病毒防范是信息安全领域的主流技术，这些网络安全技术为整个网络安全的建设起到至关重要的作用，任何一个网络或者用户都不能够忽视。论文格式，安全实施。到目前为止，尽管相关研究人员已经在理论和实践方面都作了大量的工作，而影响校园网的安全因素在不断地变化，黑客与病毒的攻击方式在不断地更新。论文格式，安全实施。要确保网络的安全就只有根据实际情况，在安全技术上采用最新的技术成果，及时调整安全策略，有效整合现有安全资源，并且不断引入新的安全机制，才能保证网络安全防范体系的良性发展，确保数字化校园网的有效性和先进性。
参考文献：
[1]焦中明.高校数字化校园建设的几个问题.赣南师范学院学报
[2]徐立.我国高校校园网建设的研究.中南大学硕士论文
[3]沈培华.数字校园的五个层次.计算机世界
[4]赵思辉.数字化校园基础平台体系架构.福建电脑
[5]宋金玲.数字校园的相关技术及方法研究.中国矿业大学
[6]曾力炜,徐鹰.关于数字化校园建设的研究.计算机与现代化
[7]占素环.校园网网络安全技术及解决方案.农机化研究
[8]张武军,李雪安.高校校园网安全整体解决方案研究.电子科技
［论文关键词］ 电子商务 信息安全 信息安全技术 数字认证 安全协议
［论文摘 要］电子商务是新兴商务形式，信息安全的保障是电子商务实施的前提。本文针对电子商务活动中存在的信息安全隐患问题，实施保障电子商务信息安全的数据加密技术、身份验证技术、防火墙技术等技术性措施，完善电子商务发展的内外部环境，促进我国电子商务可持续发展。
随着网络的发展，电子商务的迅速崛起，使网络成为国际竞争的新战场。然而，由于网络技术本身的缺陷，使得网络社会的脆性大大增加，一旦计算机网络受到攻击不能正常运作时，整个社会就会陷入危机。所以，构筑安全的电子商务信息环境，愈来愈受到国际社会的高度关注。
一、电子商务中的信息安全技术
电子商务的信息安全在很大程度上依赖于技术的完善，包括密码、鉴别、访问控制、信息流控制、数据保护、软件保护、病毒检测及清除、内容分类识别和过滤、网络隐患扫描、系统安全监测报警与审计等技术。
1.防火墙技术。防火墙主要是加强网络之间的访问控制， 防止外部网络用户以非法手段通过外部网络进入内部网络。
2.加密技术。数据加密就是按照确定的密码算法将敏感的明文数据变换成难以识别的密文数据，当需要时可使用不同的密钥将密文数据还原成明文数据。
3.数字签名技术。数字签名技术是将摘要用发送者的私钥加密，与原文一起传送给接收者，接收者只有用发送者的公钥才能解密被加密的摘要。
4.数字时间戳技术。时间戳是一个经加密后形成的凭证文档，包括需加时间戳的文件的摘要、DTS 收到文件的日期与时间和DIS 数字签名，用户首先将需要加时间的文件用HASH编码加密形成摘要，然后将该摘要发送到DTS，DTS 在加入了收到文件摘要的日期和时间信息后再对该文件加密，然后送回用户。
二、电子商务安全防范措施
网络安全是电子商务的基础。网络安全防范技术可以从数据的加密(解密)算法、安全的网络协议、网络防火墙、完善的安全管理制度、硬件的加密和物理保护、安全监听系统和防病毒软件等领域来进行考虑和完善。
1.防火墙技术
用过Internet，企业可以从异地取回重要数据，同时又要面对 Internet 带来的数据安全的新挑战和新危险:即客户、推销商、移动用户、异地员工和内部员工的安全访问;以及保护企业的机密信息不受黑客和工业间谍的入侵。因此，企业必须加筑安全的“壕沟”，而这个“壕沟”就是防火墙.防火墙系统决定了哪些内容服务可以被外界访问;外界的哪些人可以访问内部的服务以及哪些外部服务可以被内部人员访问。防火墙必须只允许授权的数据通过，而且防火墙本身必须能够免于渗透。
2. VPN技术
虚拟专用网简称VPN，指将物理上分布在不同地点的网络通过公用骨干网联接而形成逻辑上的虚拟“私”网，依靠IPS或 NSP在安全隧道、用户认证和访问控制等相关技术的控制下达到与专用网络类同的安全性能，从而实现基于 Internet 安全传输重要信息的效应。目前VPN 主要采用四项技术来保证安全， 这四项技术分别是隧道技术、加解密技术、密钥管理技术、使用者与设备身份认证技术。
3.数字签名技术
为了保证数据和交易的安全、防止欺骗，确认交易双方的真实身份，电子商务必须采用加密技术。数字签名就是基于加密技术的，它的作用就是用来确定用户是否是真实的。数字签名就是通过一个单向哈希函数对要传送的报文进行处理而得到的用以认证报文是否发生改变的一个字母数字串。发送者用自己的私钥把数据加密后传送给接收者，接收者用发送者的公钥解开数据后，就可确认消息来自于谁，同时也是对发送者发送的信息真实性的一个证明，发送者对所发信息不可抵赖，从而实现信息的有效性和不可否认性。
三、电子商务的安全认证体系
随着计算机的发展和社会的进步，通过网络进行的电子商务活动当今社会越来越频繁，身份认证是一个不得不解决的重要问题，它将直接关系到电子商务活动能否高效而有序地进行。认证体系在电子商务中至关重要，它是用户获得访问权限的关键步骤。现代密码的两个最重要的分支就是加密和认证。加密目的就是防止敌方获得机密信息。认证则是为了防止敌方的主动攻击，包括验证信息真伪及防止信息在通信过程被篡改删除、插入、伪造及重放等。认证主要包括三个方面:消息认证、身份认证和数字签名。
身份认证一般是通过对被认证对象(人或事)的一个或多个参数进行验证。从而确定被认证对象是否名实相符或有效。这要求要验证的参数与被认证对象之间应存在严格的对应关系，最好是惟一对应的。身份认证是安全系统中的第一道关卡。
数字证书是在互联网通信中标志通信各方身份信息的一系列数据。提供了一种 Internet 上验证用户身份的方式，其作用类似于司机的驾驶执照或身份证。它是由一个权威机构CA机构，又称为证书授权(Certificate Authority)中心发行的，人们可以在网上用它识别彼此的身份。
四、结束语
安全实际上就是一种风险管理。任何技术手段都不能保证100%的安全。但是，安全技术可以降低系统遭到破坏、攻击的风险。因此，为进一步促进电子商务体系的完善和行业的健康快速发展，必须在实际运用中解决电子商务中出现的各类问题，使电子商务系统相对更安全。电子商务的安全运行必须从多方面入手，仅在技术角度防范是远远不够的，还必须完善电子商务立法，以规范飞速发展的电子商务现实中存在的各类问题，从而引导和促进我国电子商务快速健康发展。
参考文献
[1] 劳帼龄.电子商务的安全技术[M].北京:中国水利水电出版社，2005.
[2] 赵泉.网络安全与电子商务[M].北京:清华大学出版社，2005.
论文摘要:随着计算机的飞速发展以及网络技术的普遍应用，随着信息时代的来临，信息作为一种重要的资源正得到了人们的重视与应用。因特网是一个发展非常活跃的领域，可能会受到黑客的非法攻击，所以在任何情况下，对于各种事故，无意或有意的破坏，保护数据及其传送、处理都是非常必要的。计划如何保护你的局域网免受因特网攻击带来的危害时，首先要考虑的是防火墙。防火墙的核心思想是在不安全的网际网环境中构造一个相对安全的子网环境。本文介绍了防火墙技术的基本概念、系统结构、原理、构架、入侵检测技术及VPN等相关问题。
Abstract:Alongwiththefastcomputerdevelopmentandtheuniversalapplicationofthenetworktechnology,alongwithinformationtimescomingupon,Informationisattractingtheworld’sattentionandemployedasakindofimportantresources.Internetisaveryactivelydevelopedfield.Becauseitmaybeillegallyattackedbyhackers,Itisverynecessaryfordata’sprotection,deliveryandprotectionagainstvariousaccidents,intentionalorwantdestroyunderanycondition.FirewallisthefirstconsiderationwhenplanhowtoprotectyourlocalareanetworkagainstendangersbroughtbyInternetattack.Thecorecontentoffirewalltechnologyistoconstructarelativelysafeenvironmentofsubnetinthenot-so-safenetworkenvironment.Thispaperintroducesthebasicconceptionandsystemstructureoffire-walltechnologyandalsodiscussestwomaintechnologymeanstorealizefire-wall:Oneisbasedonpacketfiltering,whichistorealizefire-wallfunctionthroughScreeningRouter;andtheotherisProxyandthetypicalrepresentationisthegatewayonapplicationlevel.....
第一章绪论
§1.1概述
随着以Internet为代表的全球信息化浪潮的来临，信息网络技术的应用正日益广泛，应用层次正在深入，应用领域也从传统的、小型业务系统逐渐向大型、关键业务系统扩展，其中以党政系统、大中院校网络系统、银行系统、商业系统、管理部门、政府或军事领域等为典型。伴随网络的普及，公共通信网络传输中的数据安全问题日益成为关注的焦点。一方面，网络化的信息系统提供了资源的共享性、用户使用的方便性，通过分布式处理提高了系统效率和可靠性，并且还具备可扩充性。另一方面，也正是由于具有这些特点增加了网络信息系统的不安全性。
开放性的网络，导致网络所面临的破坏和攻击可能是多方面的，例如:可能来自物理传输线路的攻击，也可以对网络通信协议和实现实施攻击，可以是对软件实施攻击，也可以对硬件实施攻击。国际性的网络，意味着网络的攻击不仅仅来自本地网络的用户，也可以来自linternet上的任何一台机器，也就是说，网络安全所面临的是一个国际化的挑战。开放的、国际化的Internet的发展给政府机构、企事业单位的工作带来了革命性的变革和开放，使得他们能够利用Internet提高办事效率、市场反应能力和竞争力。通过Internet，他们可以从异地取回重要数据，同时也面临Internet开放所带来的数据安全的挑战与危险。如何保护企业的机密信息不受黑客和工业间谍的入侵，己成为政府机构、企事业单位信息化建设健康发展所要考虑的重要因素之一。广泛分布的企业内部网络由公共网络互联起来，这种互联方式面临多种安全威胁，极易受到外界的攻击，导致对网络的非法访问和信息泄露。防火墙是安全防范的最有效也是最基本的手段之一。
虽然国内己有许多成熟的防火墙及其他相关安全产品，并且这些产品早已打入市场，但是对于安全产品来说，要想进入我军部队。我们必须自己掌握安全测试技术，使进入部队的安全产品不出现问题，所以对网络安全测试的研究非常重要，具有深远的意义。
§1.2本文主要工作
了解防火墙的原理、架构、技术实现
了解防火墙的部署和使用配置
熟悉防火墙测试的相关标准
掌握防火墙产品的功能、性能、安全性和可用性的测试方法
掌握入侵检测与VPN的概念及相关测试方法
第二章防火墙的原理、架构、技术实现
§2.1什么是防火墙？
防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。
§2.2防火墙的原理
随着网络规模的扩大和开放性的增强，网络上的很多敏感信息和保密数据将受到很多主动和被动的人为攻击。一种解决办法是为需要保护的网络上的每个工作站和服务器装备上强大的安全特征(例如入侵检测)，但这几乎是一种不切合实际的方法，因为对具有几百个甚至上千个节点的网络，它们可能运行着不同的操作系统，当发现了安全缺陷时，每个可能被影响的节点都必须加以改进以修复这个缺陷。另一种选择就是防火墙(Firewall)，防火墙是用来在安全私有网络(可信任网络)和外部不可信任网络之间安全连接的一个设备或一组设备，作为私有网络和外部网络之间连接的单点存在。防火墙是设置在可信任的内部网络和不可信任的外部网络之间的一道屏障，它可以实施比较广泛的安全策略来控制信息流，防止不可预料的潜在的入侵破坏.DMZ外网和内部局域网的防火墙系统。
§2.3防火墙的架构
防火墙产品的三代体系架构主要为：
第一代架构：主要是以单一cpu作为整个系统业务和管理的核心，cpu有x86、powerpc、mips等多类型，产品主要表现形式是pc机、工控机、pc-box或risc-box等；
第二代架构：以np或asic作为业务处理的主要核心，对一般安全业务进行加速，嵌入式cpu为管理核心，产品主要表现形式为box等；
第三代架构：iss（integratedsecuritysystem）集成安全体系架构，以高速安全处理芯片作为业务处理的主要核心，采用高性能cpu发挥多种安全业务的高层应用，产品主要表现形式为基于电信级的高可靠、背板交换式的机架式设备，容量大性能高，各单元及系统更为灵活。
§2.4防火墙的技术实现
从Windows软件防火墙的诞生开始，这种安全防护产品就在跟随着不断深入的黑客病毒与反黑反毒之争，不断的进化与升级。从最早期的只能分析来源地址，端口号以及未经处理的报文原文的封包过滤防火墙，后来出现了能对不同的应用程序设置不同的访问网络权限的技术；近年来由ZoneAlarm等国外知名品牌牵头，还开始流行了具有未知攻击拦截能力的智能行为监控防火墙；最后，由于近来垃圾插件和流氓软件的盛行，很多防火墙都在考虑给自己加上拦截流氓软件的功能。综上，Windows软件防火墙从开始的时候单纯的一个截包丢包，堵截IP和端口的工具，发展到了今天功能强大的整体性的安全套件。
第三章防火墙的部署和使用配置
§3.1防火墙的部署
虽然监测型防火墙安全性上已超越了包过滤型和服务器型防火墙，但由于监测型防火墙技术的实现成本较高，也不易管理，所以目前在实用中的防火墙产品仍然以第二代型产品为主，但在某些方面也已经开始使用监测型防火墙。基于对系统成本与安全技术成本的综合考虑，用户可以选择性地使用某些监测型技术。这样既能够保证网络系统的安全性需求，同时也能有效地控制安全系统的总拥有成本。
实际上，作为当前防火墙产品的主流趋势，大多数服务器（也称应用网关）也集成了包过滤技术，这两种技术的混合应用显然比单独使用具有更大的优势。由于这种产品是基于应用的，应用网关能提供对协议的过滤。例如，它可以过滤掉FTP连接中的PUT命令，而且通过应用，应用网关能够有效地避免内部网络的信息外泄。正是由于应用网关的这些特点，使得应用过程中的矛盾主要集中在对多种网络应用协议的有效支持和对网络整体性能的影响上。
----那么我们究竟应该在哪些地方部署防火墙呢？
----首先,应该安装防火墙的位置是公司内部网络与外部Internet的接口处，以阻挡来自外部网络的入侵；其次，如果公司内部网络规模较大，并且设置有虚拟局域网(VLAN)，则应该在各个VLAN之间设置防火墙；第三，通过公网连接的总部与各分支机构之间也应该设置防火墙，如果有条件，还应该同时将总部与各分支机构组成虚拟专用网(VPN)。
----安装防火墙的基本原则是：只要有恶意侵入的可能，无论是内部网络还是与外部公网的连接处，都应该安装防火墙。
§3.2防火墙的使用配置
一、防火墙的配置规则：
没有连接的状态(没有握手或握手不成功或非法的数据包)，任何数据包无法穿过防火墙。(内部发起的连接可以回包。通过ACL开放的服务器允许外部发起连接)
inside可以访问任何outside和dmz区域。
dmz可以访问outside区域。
inside访问dmz需要配合static(静态地址转换)。
outside访问dmz需要配合acl(访问控制列表)。
二、防火墙设备的设置步骤：
1、确定设置防火墙的部署模式；
2、设置防火墙设备的IP地址信息（接口地址或管理地址（设置在VLAN1上））；
3、设置防火墙设备的路由信息；
4、确定经过防火墙设备的IP地址信息（基于策略的源、目标地址）；
5、确定网络应用（如FTP、EMAIL等应用）；
6、配置访问控制策略。
第四章防火墙测试的相关标准
防火墙作为信息安全产品的一种，它的产生源于信息安全的需求。所以防火墙的测试不仅有利于提高防火墙的工作效率，更是为了保证国家信息的安全。依照中华人民共和国国家标准GB/T18019-1999《信息技术包过滤防火墙安全技术要求》、GB/T18020-1999《信息技术应用级防火墙安全技术要求》和GB/T17900-1999《网络服务器的安全技术要求》以及多款防火墙随机提供的说明文档，中国软件评测中心软件产品测试部根据有关方面的标准和不同防火墙的特点整理出以下软件防火墙的测试标准：
4.1规则配置方面
要使防火墙软件更好的服务于用户，除了其默认的安全规则外，还需要用户在使用过程中不断的完善其规则；而规则的设置是否灵活方便、实际效果是否理想等方面，也是判断一款防火墙软件整体安全性是否合格的重要标准。简单快捷的规则配置过程让防火墙软件具备更好的亲和力，一款防火墙软件如果能实施在线检测所有对本机的访问并控制它们、分别对应用程序、文件或注册表键值实施单独的规则添加等等，这将成为此款软件防火墙规则配置的一个特色。
§4.2防御能力方面
对于防火墙防御能力的表现，由于偶然因素太多，因此无法从一个固定平等的测试环境中来得出结果。但是可以使用了X-Scan等安全扫描工具来测试。虽然得出的结果可能仍然有一定的出入，但大致可以做为一个性能参考。
§4.3主动防御提示方面
对于网络访问、系统进程访问、程序运行等本机状态发生改变时，防火墙软件一般都会有主动防御提示出现。这方面主要测试软件拦截或过滤时是否提示用户做出相应的操作选择。
§4.4自定义安全级别方面
用户是否可以参照已有安全级别的安全性描述来设置符合自身特殊需要的规则。防火墙可设置系统防火墙的安全等级、安全规则，以防止电脑被外界入侵。一般的防火墙共有四个级别：
高级：预设的防火墙安全等级，用户可以上网，收发邮件；l
中级：预设的防火墙安全等级，用户可以上网，收发邮件，网络聊天，FTP、Telnet等；l
低级：预设的防火墙安全等级，只对已知的木马进行拦截，对于其它的访问，只是给于提示用户及记录；l
自定义：用户可自定义防火墙的安全规则，可以根据需要自行进行配置。l
§4.5其他功能方面
这主要是从软件的扩展功能表现、操作设置的易用性、软件的兼容性和安全可靠性方面来综合判定。比如是否具有过滤网址、实施木马扫描、阻止弹出广告窗口、将未受保护的无线网络“学习”为规则、恶意软件检测、个人隐私保护等丰富的功能项，是否可以满足用户各方面的需要。
§4.6资源占用方面
这方面的测试包括空闲时和浏览网页时的CPU占用率、内存占有率以及屏蔽大量攻击时的资源占用和相应速度。总的来是就是资源占用率越低越好，启动的速度越快越好。
§4.7软件安装方面
这方面主要测试软件的安装使用是否需要重启系统、安装过程是不是方便、安装完成后是否提示升级本地数据库的信息等等。
§4.8软件界面方面
软件是否可切换界面皮肤和语言、界面是否简洁等等。简洁的界面并不代表其功能就不完善，相反地，简化了用户的操作设置项也就带来了更智能的安全防护功能。比如有的防护墙安装完成后会在桌面生成简单模式和高级模式两个启动项，这方便用户根据不同的安全级别启动相应的防护
第五章防火墙的入侵检测
§5.1什么是入侵检测系统？
入侵检测可被定义为对计算机和网络资源上的恶意使用行为进行识别和响应的处理过程，它不仅检测来自外部的入侵行为，同时也检测内部用户的未授权活动。
入侵检测系统(IDS)是从计算机网络系统中的若干关键点收集信息，并分析这些信息，检查网络中是否有违反安全策略的行为和遭到袭击的迹象。IDS被公认为是防火墙之后的第二道安全闸门，它作为一种积极主动的安全防护技术，从网络安全立体纵深、多层次防御的角度出发，对防范网络恶意攻击及误操作提供了主动的实时保护，从而能够在网络系统受到危害之前拦截和响应入侵
§5.2入侵检测技术及发展
自1980年产生IDS概念以来，已经出现了基于主机和基于网络的入侵检测系统，出现了基于知识的模型识别、异常识别和协议分析等入侵检测技术，并能够对百兆、千兆甚至更高流量的网络系统执行入侵检测。
入侵检测技术的发展已经历了四个主要阶段：
第一阶段是以基于协议解码和模式匹配为主的技术，其优点是对于已知的攻击行为非常有效，各种已知的攻击行为可以对号入座，误报率低;缺点是高超的黑客采用变形手法或者新技术可以轻易躲避检测，漏报率高。
第二阶段是以基于模式匹配+简单协议分析+异常统计为主的技术，其优点是能够分析处理一部分协议，可以进行重组;缺点是匹配效率较低，管理功能较弱。这种检测技术实际上是在第一阶段技术的基础上增加了部分对异常行为分析的功能。
第三阶段是以基于完全协议分析+模式匹配+异常统计为主的技术，其优点是误报率、漏报率和滥报率较低，效率高，可管理性强，并在此基础上实现了多级分布式的检测管理;缺点是可视化程度不够，防范及管理功能较弱。
第四阶段是以基于安全管理+协议分析+模式匹配+异常统计为主的技术，其优点是入侵管理和多项技术协同工作，建立全局的主动保障体系，具有良好的可视化、可控性和可管理性。以该技术为核心，可构造一个积极的动态防御体系，即IMS——入侵管理系统。
新一代的入侵检测系统应该是具有集成HIDS和NIDS的优点、部署方便、应用灵活、功能强大、并提供攻击签名、检测、报告和事件关联等配套服务功能的智能化系统§5.3入侵检测技术分类
从技术上讲，入侵检测技术大致分为基于知识的模式识别、基于知识的异常识别和协议分析三类。而主要的入侵检测方法有特征检测法、概率统计分析法和专家知识库系统。
(1)基于知识的模式识别
这种技术是通过事先定义好的模式数据库实现的，其基本思想是：首先把各种可能的入侵活动均用某种模式表示出来，并建立模式数据库，然后监视主体的一举一动，当检测到主体活动违反了事先定义的模式规则时，根据模式匹配原则判别是否发生了攻击行为。
模式识别的关键是建立入侵模式的表示形式，同时，要能够区分入侵行为和正常行为。这种检测技术仅限于检测出已建立模式的入侵行为，属已知类型，对新类型的入侵是无能为力的，仍需改进。
(2)基于知识的异常识别
这种技术是通过事先建立正常行为档案库实现的，其基本思想是：首先把主体的各种正常活动用某种形式描述出来，并建立“正常活动档案”，当某种活动与所描述的正常活动存在差异时，就认为是“入侵”行为，进而被检测识别。
异常识别的关键是描述正常活动和构建正常活动档案库。
利用行为进行识别时，存在四种可能：一是入侵且行为正常;二是入侵且行为异常;三是非入侵且行为正常;四是非入侵且行为异常。根据异常识别思想，把第二种和第四种情况判定为“入侵”行为。这种检测技术可以检测出未知行为，并具有简单的学习功能。
以下是几种基于知识的异常识别的检测方法：
1)基于审计的攻击检测技术
这种检测方法是通过对审计信息的综合分析实现的，其基本思想是：根据用户的历史行为、先前的证据或模型，使用统计分析方法对用户当前的行为进行检测和判别，当发现可疑行为时，保持跟踪并监视其行为，同时向系统安全员提交安全审计报告。
2)基于神经网络的攻击检测技术
由于用户的行为十分复杂，要准确匹配一个用户的历史行为和当前的行为是相当困难的，这也是基于审计攻击检测的主要弱点。
而基于神经网络的攻击检测技术则是一个对基于传统统计技术的攻击检测方法的改进方向，它能够解决传统的统计分析技术所面临的若干问题，例如，建立确切的统计分布、实现方法的普遍性、降低算法实现的成本和系统优化等问题。
3)基于专家系统的攻击检测技术
所谓专家系统就是一个依据专家经验定义的推理系统。这种检测是建立在专家经验基础上的，它根据专家经验进行推理判断得出结论。例如，当用户连续三次登录失败时，可以把该用户的第四次登录视为攻击行为。
4)基于模型推理的攻击检测技术
攻击者在入侵一个系统时往往采用一定的行为程序，如猜测口令的程序，这种行为程序构成了某种具有一定行为特征的模型，根据这种模型所代表的攻击意图的行为特征，可以实时地检测出恶意的攻击企图，尽管攻击者不一定都是恶意的。用基于模型的推理方法人们能够为某些行为建立特定的模型，从而能够监视具有特定行为特征的某些活动。根据假设的攻击脚本，这种系统就能检测出非法的用户行为。一般为了准确判断，要为不同的入侵者和不同的系统建立特定的攻击脚本。
使用基于知识的模式识别和基于知识的异常识别所得出的结论差异较大，甚至得出相反结论。这是因为基于知识的模式识别的核心是维护一个入侵模式库，它对已知攻击可以详细、准确地报告出攻击类型，但对未知攻击却无能为力，而且入侵模式库必须不断更新。而基于知识的异常识别则是通过对入侵活动的检测得出结论的，它虽无法准确判断出攻击的手段，但可以发现更广泛的、甚至未知的攻击行为。
§5.4入侵检测技术剖析
1）信号分析
对收集到的有关系统、网络、数据及用户活动的状态和行为等信息，一般通过三种技术手段进行分析：模式匹配、统计分析和完整性分析。其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。
2）模式匹配
模式匹配就是将收集到的信息与已知的网络入侵和系统已有模式数据库进行比较，从而发现违背安全策略的行为。该过程可以很简单（如通过字符串匹配以寻找一个简单的条目或指令），也可以很复杂（如利用正规的数学表达式来表示安全状态的变化）。一般来讲，一种进攻模式可以用一个过程（如执行一条指令）或一个输出（如获得权限）来表示。该方法的一大优点是只需收集相关的数据集合，显著减少系统负担，且技术已相当成熟。它与病毒防火墙采用的方法一样，检测准确率和效率都相当高。但是，该方法存在的弱点是需要不断的升级以对付不断出现的黑客攻击手法，不能检测到从未出现过的黑客攻击手段。
3）统计分析
统计分析方法首先给系统对象（如用户、文件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失败次数和延时等）。在比较这一点上与模式匹配有些相象之处。测量属性的平均值将被用来与网络、系统的行为进行比较，任何观察值在正常值范围之外时，就认为有入侵发生。例如，本来都默认用GUEST帐号登录的，突然用ADMINI帐号登录。这样做的优点是可检测到未知的入侵和更为复杂的入侵，缺点是误报、漏报率高，且不适应用户正常行为的突然改变。具体的统计分析方法如基于专家系统的、基于模型推理的和基于神经网络的分析方法，目前正处于研究热点和迅速发展之中。
4）完整性分析
完整性分析主要关注某个文件或对象是否被更改，这经常包括文件和目录的内容及属性，它在发现被更改的、被特咯伊化的应用程序方面特别有效。完整性分析利用强有力的加密机制，称为消息摘要函数（例如MD5），它能识别哪怕是微小的变化。其优点是不管模式匹配方法和统计分析方法能否发现入侵，只要是成功的攻击导致了文件或其它对象的任何改变，它都能够发现。缺点是一般以批处理方式实现，用于事后分析而不用于实时响应。尽管如此，完整性检测方法还应该是网络安全产品的必要手段之一。例如，可以在每一天的某个特定时间内开启完整性分析模块，对网络系统进行全面地扫描检查。
§5.5防火墙与入侵检测的联动
网络安全是一个整体的动态的系统工程，不能靠几个产品单独工作来进行安全防范。理想情况下，整个系统的安全产品应该有一个响应协同，相互通信，协同工作。其中入侵检测系统和防火墙之间的联动就能更好的进行安全防护。图8所示就是入侵检测系统和防火墙之间的联动，当入侵检测系统检测到入侵后，通过和防火墙通信，让防火墙自动增加规则，以拦截相关的入侵行为，实现联动联防。
§5.6什么是VPN?
VPN的英文全称是“VirtualPrivateNetwork”，翻译过来就是“虚拟专用网络”。顾名思义，虚拟专用网络我们可以把它理解成是虚拟出来的企业内部专线。它可以通过特殊的加密的通讯协议在连接在Internet上的位于不同地方的两个或多个企业内部网之间建立一条专有的通讯线路，就好比是架设了一条专线一样，但是它并不需要真正的去铺设光缆之类的物理线路。这就好比去电信局申请专线，但是不用给铺设线路的费用，也不用购买路由器等硬件设备。VPN技术原是路由器具有的重要技术之一，目前在交换机，防火墙设备或Windows2000等软件里也都支持VPN功能，一句话，VPN的核心就是在利用公共网络建立虚拟私有网。
虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
§5.7VPN的特点
1.安全保障虽然实现VPN的技术和方式很多，但所有的VPN均应保证通过公用网络平台传输数据的专用性和安全性。在安全性方面，由于VPN直接构建在公用网上，实现简单、方便、灵活，但同时其安全问题也更为突出。企业必须确保其VPN上传送的数据不被攻击者窥视和篡改，并且要防止非法用户对网络资源或私有信息的访问。
2.服务质量保证（QoS）
VPN网应当为企业数据提供不同等级的服务质量保证。不同的用户和业务对服务质量保证的要求差别较大。在网络优化方面，构建VPN的另一重要需求是充分有效地利用有限的广域网资源，为重要数据提供可靠的带宽。广域网流量的不确定性使其带宽的利用率很低，在流量高峰时引起网络阻塞，使实时性要求高的数据得不到及时发送；而在流量低谷时又造成大量的网络带宽空闲。QoS通过流量预测与流量控制策略，可以按照优先级分实现带宽管理，使得各类数据能够被合理地先后发送，并预防阻塞的发生。
3.可扩充性和灵活性
VPN必须能够支持通过Intranet和Extranet的任何类型的数据流，方便增加新的节点，支持多种类型的传输媒介，可以满足同时传输语音、图像和数据等新应用对高质量传输以及带宽增加的需求。
4.可管理性
从用户角度和运营商角度应可方便地进行管理、维护。VPN管理的目标为：减小网络风险、具有高扩展性、经济性、高可靠性等优点。事实上，VPN管理主要包括安全管理、设备管理、配置管理、访问控制列表管理、QoS管理等内容。
§5.8VPN防火墙
VPN防火墙就是一种过滤塞（目前你这么理解不算错），你可以让你喜欢的东西通过这个塞子，别的玩意都统统过滤掉。在网络的世界里，要由VPN防火墙过滤的就是承载通信数据的通信包。
最简单的VPN防火墙是以太网桥。但几乎没有人会认为这种原始VPN防火墙能管多大用。大多数VPN防火墙采用的技术和标准可谓五花八门。这些VPN防火墙的形式多种多样：有的取代系统上已经装备的TCP/IP协议栈；有的在已有的协议栈上建立自己的软件模块；有的干脆就是独立的一套操作系统。还有一些应用型的VPN防火墙只对特定类型的网络连接提供保护（比如SMTP或者HTTP协议等）。还有一些基于硬件的VPN防火墙产品其实应该归入安全路由器一类。以上的产品都可以叫做VPN防火墙，因为他们的工作方式都是一样的：分析出入VPN防火墙的数据包，决定放行还是把他们扔到一边。
所有的VPN防火墙都具有IP地址过滤功能。这项任务要检查IP包头，根据其IP源地址和目标地址作出放行/丢弃决定。看看下面这张图，两个网段之间隔了一个VPN防火墙，VPN防火墙的一端有台UNIX计算机，另一边的网段则摆了台PC客户机。
当PC客户机向UNIX计算机发起telnet请求时，PC的telnet客户程序就产生一个TCP包并把它传给本地的协议栈准备发送。接下来，协议栈将这个TCP包“塞”到一个IP包里，然后通过PC机的TCP/IP栈所定义的路径将它发送给UNIX计算机。在这个例子里，这个IP包必须经过横在PC和UNIX计算机中的VPN防火墙才能到达UNIX计算机。
现在我们“命令”（用专业术语来说就是配制）VPN防火墙把所有发给UNIX计算机的数据包都给拒了，完成这项工作以后，比较好的VPN防火墙还会通知客户程序一声呢！既然发向目标的IP数据没法转发，那么只有和UNIX计算机同在一个网段的用户才能访问UNIX计算机了。
还有一种情况，你可以命令VPN防火墙专给那台可怜的PC机找茬，别人的数据包都让过就它不行。这正是VPN防火墙最基本的功能：根据IP地址做转发判断。但要上了大场面这种小伎俩就玩不转了，由于黑客们可以采用IP地址欺骗技术，伪装成合法地址的计算机就可以穿越信任这个地址的VPN防火墙了。不过根据地址的转发决策机制还是最基本和必需的。另外要注意的一点是，不要用DNS主机名建立过滤表，对DNS的伪造比IP地址欺骗要容易多了。
后记：
入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。入侵检测系统面临的最主要挑战有两个：一个是虚警率太高，一个是检测速度太慢。现有的入侵检测系统还有其他技术上的致命弱点。因此，可以这样说，入侵检测产品仍具有较大的发展空间，从技术途径来讲，除了完善常规的、传统的技术（模式识别和完整性检测）外，应重点加强统计分析的相关技术研究。
但无论如何，入侵检测不是对所有的入侵都能够及时发现的，即使拥有当前最强大的入侵检测系统，如果不及时修补网络中的安全漏洞的话，安全也无从谈起。
同样入侵检测技术也存在许多缺点，IDS的检测模型始终落后于攻击者的新知识和技术手段。主要表现在以下几个方面：
1)利用加密技术欺骗IDS;
2)躲避IDS的安全策略;
3)快速发动进攻，使IDS无法反应;
4)发动大规模攻击，使IDS判断出错;
5)直接破坏IDS;
6)智能攻击技术，边攻击边学习，变IDS为攻击者的工具。
我认为在与防火墙技术结合中应该注意扩大检测范围和类别、加强自学习和自适应的能力方面发展。
参考文献：
1..MarcusGoncalves著。宋书民，朱智强等译。防火墙技术指南[M]。机械工业出版社
2.梅杰，许榕生。Internet防火墙技术新发展。微电脑世界.
关键词：电力 无线网络 漏洞 自动化 解决方案
中图分类号：TN915 文献标识码：A 文章编号：1672-3791（2014）10（c）-0084-02
1 研究背景
近年来，全球的数据网络正以令人惊奇的速度发展，为信息的交流和经济的发展提供了高效的工具和便利的平台。随着电力建设的飞速发展，电力自动化数据网络也迅速扩大，正在向全面覆盖所有的电力企业迈进，电力系统数字化已是大势所趋。电力调度自动化系统、配电自动化系统、电量计费系统、电力市场技术支持系统及交易系统、电力客户服务中心系统、变电站自动化系统、发电厂监控系统、MIS 系统等，无一不是以高速的数据传输与交换为基本手段而建设的。电力自动化数据通信网络利用因特网、无线网等的工具和平台，在提高数据传输效率、减少开发维护工作量的同时，也带来了新的问题，这就是内部机密信息在网络上的泄密、以及被攻击破坏等。
随着计算机运算性能的提高，通信技术的不断发展，电力通信协议也在不断的改进，以适应通信数据类别、流量和实时性的要求。IEC60870规约系列规定了电力远动、继电保护数据、电能计费等多个方面的通信协议，甚至出现了104网络通信规约，以适应网络RTU在电力系统中的应用。各项信息安全技术也开始得到广泛的应用，但是仍然是以以下观点为基础开展的，电力数据网络的信息安全研究应该有所突破：
（1）电力通信网络的两个隔离。物理隔离作为国家的明文规定是建立在网络条件不如人意，网络威胁依然严重的情况下的，需要看到电力信息系统的开放性将是主流方向，基础研究应该突破这个框架开展一些前瞻性的工作。（2）重点防护监控系统，对通信数据网络的信息安全重视不足。虽然通信网络的安全威胁相比而言较小，但是由于电力通信对实时性和可靠性的要求，使得通信数据网络与电力监控系统的信息安全同等重要。（3）认为电力自动化通信没有安全问题，或者认为还不值得深入研究，电力信息使得任何安全研究都不能不重视其实时性的要求，因此自动化通信的信息安全研究开展不多，还需要进行大量的研究。
2 电力系统无线通信对于信息安全的需求
电力自动化管理系统无线网络中传输的数据非常混杂，从加密的技术角度来区分，可分为实时数据和非实时数据两类。
2.1 实时数据的数据特点
无线网络中传输的实时数据，其通信规约对时间的要求很严格，不允许较大的传输延迟；另一方面，实时数据的数据量相对较小，且数据流量比较稳定。主要包括：
（1）下行数据。包括遥控、遥调和保护装置及其他自动装置的整定值信息等。这类数据与设备状态相关，直接影响到电网的安全运行。安全要求和实时要求都很高。（2）上行数据。包括遥信、重要遥测、事件顺序记录（SOE）信息等。这类数据是电网稳定运行的判据，也是调度决策的依据，实时性要求很高。管理数据。如负荷管理、停电计划等管理信息系统（MIS）的重要管理数据。这类数据对保密性有一定要求。实时数据其数据流量稳定且时效性快，但是要求实时性高、可靠性高，其保密性和数据完整性的要求也高，因此对实时数据加密必须慎之又慎。
2.2 非实时数据的数据特点
无线网络中传输的非实时数据，其数据量一般较大，但时效性不高，可以允许一定的传输延迟。它主要包括电力设备的维护日志、电力用户的电能质量信息等。非实时数据实时性要求不高，但是对数据完整性和保密性有一定的要求，在数据加密中要注意选择合适的算法。
3 电力自动化系统的安全漏洞及解决方案
电力自动化应用系统，不论是电力负荷管理系统、电能量管理系统或是其它的应用系统，它的网络结构框图都可以归纳成图1所示。
3.1 中心站的安全隐患及解决方法
应用系统都有一个中心站，它包括前置机、服务器等硬件设备及配套的管理软件，它负责接收各个子站上传的数据并通过管理软件对数据进行分析、归纳和管理；另一方面，它也维护各个子站正常运行，并以下发命令的方式对子站进行操作管理；而且中心站还是本应用系统与其它的电力自动化应用系统进行数据共享和管理的一个数据接口。一般来说，中心站和子站之间以及中心站和其它应用系统之间的数据传输都是通过有线传输（如光纤）进行的。
中心站既是内部通信子站数据集中的一个节点，也是应用系统与外部进行数据收发的一个接口。只要攻击者侵入了该节点，整个系统的数据就相当于暴露在了入侵者的面前。而且一旦中心站出现了故障，即使其它的通信子站均运行正常，整个系统也无法正常工作了。正由于它的重要性和脆弱性，因此对于中心站就更是要进行重点防护。防火墙就是一种有效的网络安全保护措施，它可以按照用户事先规定好的方案控制信息的流入和流出，监督和控制使用者的操作。防火墙大量的应用于企业中，它可以作为不同网络或网络安全域之间的信息的出入口，能根据企业的安全策略控制出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，它能有效地监控内部网和 Internet之间的任何活动，保证内部网络的安全。
防火墙的目的是在内部、外部两个网络之间建立一个安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络的服务和访问的审计和控制。一般的防火墙都可以达到以下目的：一是可以限制他人进入内部网络，过滤掉不安全服务和非法用户；二是防止入侵者接近你的防御设施；三是限定用户访问特殊站点；四是为监视Internet安全提供方便。由于防火墙假设了网络边界和服务，因此更适合于相对独立的网络，例如Intranet 等种类相对集中的网络。防火墙正在成为控制对网络系统访问的非常流行的方法。事实上，在Internet上的Web网站中，超过三分之一的Web网站都是由某种形式的防火墙加以保护，这是对黑客防范最严，安全性较强的一种方式，任何关键性的服务器，都建议放在防火墙之后。可见，防火墙处于可信网络和不可信网络边界的位置，是可信网络和不可信网络数据交换的“门户”，用来防止未经授权的通信进出被保护的内部网络，通过边界控制强化内部网络的安全策略，其性能、可用性、可靠性、安全性等指标在很大程度上决定了网络的传输效率和传输安全。防火墙是网络安全策略的有机组成部分，它通过控制和监测网络之间的信息交换和访问行为来实现对网络安全的有效管理，从总体上来看，防火墙的基本功能有两个：一是隔离，使内部网络不与外部网络进行物理直接连接；二是访问控制，是进出内部网络的数据包按照安全策略有选择地转发。围绕这两个基本功能，大量与安全有关的网络技术和安全技术被综合进防火墙设备中，使防火墙地功能不断扩展，性能不断提高。概括地说，功能较完善的防火墙采用了以下安全技术：
3.1.1 多级的过滤控制技术
一般采用了三级过滤措施，并辅以鉴别手段。在分组过滤一级，能过滤掉所有的源路由分组和假冒的IP源地址；在应用级网关一级，能利用FTP、SMTP等各种网关，控制和监测Internet提供的所有通用服务；在电路网关一级，实现内部主机与外部站点的透明连接，并对服务的通行实行严格控制。
3.1.2 网络地址转换技术（NAT）
利用NAT技术能透明地对所有内部地址作转换，使外部网络无法了解内部网络的拓扑信息，同时允许内部网络使用自己编的IP地址和专用网络，防火墙能详尽记录每一个主机的通信，确保每个分组送往正确的地址。
3.1.3 用户鉴别与加密
为了降低防火墙产品在Telnet、FTP等服务和远程管理上的安全风险，鉴别功能必不可少，防火墙采用一次性使用的口令字系统来作为用户的鉴别手段，并实现了对邮件的加密。
3.1.4 审计和告警
对网络事件进行审计，如果发现入侵行为将以发出邮件、声响等多种方式报警。为了加强自动化应用系统的安全水平，需要在系统与其它网络的接口之间设置一套防火墙设备。这样既能防止外来的访问者攻击系统，窃取或者篡改系统数据；同时也能防止内部数据未经允许流向外部网络。如图1所示，在公网通信中，除了自动化系统与其它应用系统的接口外，子站采集自终端的数据要发送到中心站，也要通过 Internet网络进行传输，这就给攻击者提供了一个侵入的端口。因此要在这两处均安装防火墙设备，来保证系统的安全运行。在专网通信中，由于整个通信网络是一个相对独立的网络，因此中心站了通信子站之间就不必加装防火墙了。
3.2 无线终端的安全防护手段
无论是哪种无线网络，都有若干数量的无线终端，它们是通信系统的最基本的组成结构，通过通信子站与中心站进行通信。因为无线终端的数据众多，也使它们往往成为系统安全漏洞所在。对于应用系统而言，保护系统信息安全与保护系统业务正常是同等重要的。保护系统信息安全首先必须保证信息访问的安全性，要让不该看到信息的人不能看到，不该操作信息的人不能操作。这方面，一是要依靠身份认证技术来给信息的访问加上一把锁，二是要通过适当的访问控制模型显式地准许或限制访问能力及范围。这就引出了两种信息安全技术：身份认证技术及访问控制技术。通过这两种技术手段，就能有效的解决以上的两个安全问题。对于自动化应用系统来说，系统内的终端用户只是采集电力用户数据并上传给服务器，并不存在越权访问系统信息的问题。因此采用身份认证技术就足以解决无线终端的信息保护问题了。
身份认证是指被认证对象向系统出示自己身份证明的过程，通常是获得系统服务所必须的第一道关卡。身份认证需要证实的是实体本身，而不是象消息认证那样证实其合法性、完整性。身份认证的过程一般会涉及到两方面的内容识别和验证。识别，就是要对系统中的每个合法注册的用户具有识别能力，要保证识别的有效性，必须保证任意两个不同的用户都不能具有相同的标识符。验证是指访问者声明自己的身份后，系统还必须对它声称的身份进行验证。标识符可以是非秘密的，而验证信息必须是秘密的。
身份认证系统有两方认证和三方认证两种形式两方认证系统由被认证对象和认证方组成，被认证对象出示证件，提出操作要求，认证方检验被认证对象所提供证件的合法性和有效性三方认证系统除了被认证对象和认证方外，还有一个仲裁者，由双方都信任的人充当仲裁和调节。建立一个身份认证系统的应满足的是：1）可识别率最大化：认证方正确识别合法被认证对象身份的概率最大化；2）可欺骗率最小化：攻击者伪装被认证对象欺骗认证方的成功率最小化；3）不可传递性：认证方不可以用被认证对象提供的信息来伪装被认证对象；4）计算有效性：实现身份认证所需的计算量要小；5）安全存储：实现身份认证所需的参数能够安全的存储；6）第三方可信赖性：在三方认证的系统中，第三方必须是双方都信任的人或组织或可信安全性身份认证系统所使用的算法的安全性是可证明和可信任的。
电力自动化系统内部使用身份认证技术，在每一个无线终端的实体上增加了一道安全防护，如图2 所示。在进行数据传输之前，验证对方是否是系统内的合法用户。可以防止入侵者伪装成内部用户，获取系统数据。
3.3 保护系统信息安全的常用方案-算法加密
除了以上的信息安全技术之外，算法加密技术是一种被普遍应用的安全技术。它在发送方将要发送的数据根据一定的算法进行加密，变成不可识别的密文；而在接收方通过对应的解密算法再将密文转化为明文。从而保证数据在传输过程中的保密性。
4 结论
该文研究了电力自动化无线通信系统中的信息安全问题。随着电力自动化无线通信技术的快速发展，对网络信息安全的要求也不断提高。无线通信技术有着其自身的特点，要求的安全解决方案也与其他不同。需要既保证无线信道的带宽，又要有效地提高系统的安全防护强度。
参考文献
[1] 孙毅，唐良瑞，杜丹.配电自动化中的通信网解决方案[J].燕山大学学报，2004，5（28）：423-426.
[2] 宋磊，罗其亮，罗毅，等.电力系统实时数据通信加密方案[J].电力系统自动化，2004，28（14）：76-81.
关键词：VPN网络，视频监控系统
背景需求分析
近年来，数字视频监控系统以其控制灵活、信息容量大、存储和检索便利等优点逐步取代了传统的模拟视频监控系统，被广泛应用于监控、安防、质检等方面。随着计算机及网络技术的发展、普及和网络带宽的迅速扩大，视频监控已经发展到了网络多媒体监控系统，即将数字视频监控技术与网络技术相结合，在现场监控主机无人职守情况下，实现局域网或Internet远程监控的功能。如此一来，将监控信息从监控中心释放出来，从而提高了治理水平和效率。但假如远程访问视频监控服务技术功能不足，则无法保证监控信息所需的保密性和速度性，这该怎样解决呢？VPN?（VirtualPrivate Networking）技术的出现，正好解决了该问题，实现了远程视频监控信息安全便利的传输。
经调查发现，实现VPN远程视频监控系统较重视的需求为：
虚拟私有网络VPN安全传输：完整的VPN网络视频监控系统，最重要的需求是要让各分支外点及本地局域网的监控视频能安全、实时的传送到总公司监控中心的治理服务器，统一作企业安全防护及报警。视频监控信息若不作加密处理就直接通过公众互联网进行传送，可能会造成企业内部机密外露等问题。因此，需要建置完善的VPN传输，不仅可节约高昂的专线成本，还能得到安全稳定的传输质量。
稳定良好的宽带接入服务：将视频监控信息集成到VPN中，虽然可以确保得到安全稳定的联机，但VPN线路还是建立在公众互联网上，一但接入的宽带线路不稳定轻易掉线，也连带影响到VPN的联机质量。稳定良好的的宽带接入服务或于运营商掉线断网时可以实时提供备援的支持是必要的。
带宽增级同时也能节省成本：多媒体视频监控系统包括视频、音频及相关数据的传送，若要得到实时、顺畅的传送质量，需要相当大的带宽才可达成，因此首先就面临到带宽的增级。如此就会导致线路成本的增加及可能的线路添加，带来成本及治理上的诸多问题。这时，兼顾成本的考虑下，适当的线路集成整合成为企业的需求。
网络安全防攻击防火墙：越来越多的攻击及病毒，造成企业网络安全的潜危机。一旦宽带接入受到恶意攻击影响网络正常运作，轻则让监控信息传输效率大减，严重时发生整个网络断网，造成视频监控系统停摆的窘境。若是多购置防火墙，等于是增加成本，因此路由器中需要有适当的防火墙功能，以进行网络安全的防护。
内部上网行为管控避免影响重要传输：多数员工在上班时间通过BT等下载音乐电影，或是聊QQ、MSN等实时交流工具，不仅影响工作效率，也很大可能会造成带宽被占用、影响监控信息传送速度降低影响监控实时反应，更严重是可能随之而来的病毒、蠕虫和木马的威胁。有效而可靠的管制内网用户使用特定软件是很必要的。
方便的配置及治理：当今讲求效率的时代，路由器也需要提供简易配置好治理的配置接口设计，让网管由繁复工作中解放。另外VPN客户端大多不配备专业的网管，很多指令行的路由器给设置带来了困扰，而想要对路由器进行任一个操作，都必须找来专业的人员，这又为实时反应带来了变量。因此路由器的配置，最好使用直观的配置接口及简化的配置设计，即使不是是专门的网管人员经简单的培训后也可轻易上手，节省不必要的时间浪费。
VPN远程视频监控应用
依据企业远程VPN视频监控系统服务需求及以上组网分析，具有高度性价比优势的多WAN VPN防火墙厂商侠诺科技，为远程VPN视频监控系统提出一完整的组网方案。
方案功能特点
多WAN端口接入汇聚带宽：Qno侠诺多WAN产品支持带宽汇聚、自动线路备援等功能，多WAN口接入方式，让企业有更大和弹性配置空间。可支持多线路多ISP接入，不仅可以汇聚带宽以节省成本，而且还可以实现线路备援、数据分流、负载均衡等效果。当一条线路掉线，会自动改用另一个WAN连接端口的线路连接，确保VPN联机不掉线，避免掉线时造成无形的损失与伤害。
强效防火墙有效防病毒攻击：VPN防火墙，具备主动式封包检测功能，只需单向启动各式黑客攻击、蠕虫病毒防护功能，即可简易完成配置，有效防止内外网恶意攻击，确保企业网络安全，降低网络受攻击带来的损失。具有内建的防制ARP功能，凭借自动检视封包的机制，侦测过滤可疑的封包，做为防制ARP攻击的第一道防线。可搭配IP /MAC双向绑定，在路由器端以内网PC端进行IP/MAC绑定，即可达到防堵ARP无漏洞的效果。论文参考网。
QoS带宽治理优化带宽使用：视频监控多媒体传输需要有稳定的带宽，而少数BT下载等恶意占用带宽造成网络卡，经常会造成客户抱怨。让人宽慰的是侠诺二代多元QoS带宽治理功能，支持一周七天、一天三个时段采取不同的带宽治理政策，依据不同的网络应用环境、时段，自由选择管控方式，达到带宽利用率最佳化的目的。该功能包含有传统QoS带宽管控及智能SmartQoS治理，可依据联机数、要害字、最大或最小带宽等方式进行管控，也可启动动态智能治理，对于非凡的应用或用户进行非凡限制。这个功能并不禁止特定的应用，只是加以限制，从而更弹性的提供带宽服务。
轻松实现了中心管控：同时治理外点多条VPN接入联机，对于大部分网管来说，是非常棘手的问题，尤其是必须反复留心查询各点联机状况、带宽使用率、视频监控等信息，更是耗费许多时间。而Qno侠诺多WAN VPN防火墙则轻松解决了上述问题，其所具备的中心控管功能，可一次看清全部VPN联机的情况，再也不必一一地检查联机的状况。若需进一步协助设定或排解问题，网管也可直接进入分点的治理接口查看或进行设定治理，安全又有效率。
简易又方便的系统治理：Qno侠诺多WAN VPN防火墙具有全中文化配置及治理界面，所有设定参数与组态清楚明确、简单易懂，轻松完成网络设置。还支持强大的系统日志功能，可通过对日志治理和查找，即时监控系统状态及内外流量，进而作对应的配置，确保内网运作无误。
支持多VPN协议外点灵活选择：Qno侠诺高阶产品系列，可支持PPTP、IPSec VPN、SmartLinkVPN、QnoKey IPSec客户端密钥等多种连机方式，可满足外点多种VPN弹性配置需求，实现总部中心端与各分点建构实时、稳定、安全的互连VPN网络系统。由此可见，多通道多协议的特点完全能胜任企业扩展及网络视频布点，而且外点可根据实际规划与应用，灵活选择适用的方式接入中心端。
SmartLink VPN快速设定：侠诺SmartLinkVPN快速联机，简化20多复杂设置步骤，将大部份的设定参数的工作交由VPN网关自动完成，用户只需要输中心端服务器IP地址、用户名、密码三个参数，即可完成超快速VPN连机设定。
策略路由解决VPN跨网瓶颈：由于国内长期存在电信、网通互连不互通的问题，许多企业建立VPN时会发生跨ISP网络时带宽不足，导致VPN不稳定或易于掉线。侠诺多WAN口的设计，可搭配策略路由的设定，让不同ISP外点可直接连到对应VPN服务器入口，实现“电信走电信、网通走网通”，从而有效解决跨网受限问题。
指定路由强化网络稳定性：另外一方面，多WAN口的设计，也提供了访问网络快速稳定的途径。支持指定路由功能，可通过协议绑定，将特定的服务或应用绑定在指定的端口，如WEB走WAN1，MAIL走WAN2等等，加速访问速度，进一步保障网络的稳定性。也可将VPN绑定特定端口，保证VPN通道的稳定流畅。
总结
通过以上介绍，可以看出，Qno侠诺多WAN VPN防火墙产品多项功能，都体现了侠诺简单、安全、快速的“3S”研发理念和贴近用户需求的专心，帮助企业以较少的成本、时间与精力，达成高效、快速、安全的运营效能。非凡对于远程VPN视频监控服务来说，在带宽、安全性稳定性等多方面都有较高要求，VPN远程视频监控解决方案，可有效保持企业总部和分支机构间的隧道畅通，进而保证其服务的稳定性和可靠度，提高安全监控的视频质量，当异常事件发生时，可以在第一时间进行处理。论文参考网。可谓是最省成本、且最方便的解决途径。
春节假期，偶然在街上碰到大学同学小张。多年不见话题就多了，在了解到本人现在所从事的是网络安全技术方面的工作后，他像是碰到了大救星，一个劲儿要请客吃饭。原来，他利用这几年打工的储蓄独立创业，加盟了一家全国闻名的服装连锁店，连锁总店要求必须部署VPN信息网络。年前，他便按照要求进行了统一购买了VPN设备，但是由于其设置和应用过于复杂，对于作为网络“外行”的人来说，实在是有点难以应付。此外，因为金融危机的影响，为了压缩人力资源成本，他暂时还没有聘请专业网管的计划，正为这事上火。论文参考网。
其实，这种问题在国内数万家中小连锁企业的经营治理过程中绝不是首例。产生这种矛盾的原因有两点：专业化的高端设备满足了企业的应用需求，但是一般的兼职网管无法应付其治理和维护；平民化的低端设备，使用和治理倒是比较简单，却达不到企业信息化治理的全面需求。VPN网络是未来企业发展的大势所趋，但当务之急是为企业提供最为合适的设备，即要能兼具安全与简便的基本特性。安全无须多说，简便性就成了体现产品技术水平的最大差异化，也同样彰显了企业客户在应用上的突出需求之一。事实证实，其简便的应用特性非常贴近中小企业的需求现状，得到了较好的市场效果。
作为在SMB宽带接入和VPN应用领域耕耘多年的专业厂商，侠诺科技每年都会其创新的产品及应用功能。但是无论怎样创新变化，简单、安全、快速的“3S”研发理念都始终贯穿于其系列产品线。其中，简便（即Simple）被放在首位——“侠诺极简风，治理一键通”。 侠诺的极简风格，是要求专心体察用户的细致需求，将最复杂的技术以最简单的方式呈现给用户，让企业的网管员用最少的时间与精力，达到较为复杂的配置与治理需求，帮助企业有效的增进运营效能。事实证实，其简便的应用特性非常贴近中小企业的需求现状，得到了较好的市场效果。
【关键词】IPSecVPN网络安全防火墙；
1引言
IPSecVNP作为一种主流网络安全技术已经发展了多年，无论是目前流行的正在使用的IPv4网络还是发展中的IPv6网络，无论是移动办公还是局域网间通讯，都在大量使用IPSecVNP作为网络安全通讯基础设备。本论文通过研究IPSec协议族，实现了一个较为完整的IPSecVNP系统。包括客户端、服务器端软硬件设计和实现、网络配置及内嵌以管理等。还解决了IPSec协议通过CBAC防火墙问题。
2 IPSecVPN系统设计
本文实现了IPSecVNP系统的功能，满足了政府、金融行业和企事业单位低成本安全通讯的需求，可以按照客户实际需要的VPN系统进行安装部署、调试维护。IPSecVPN的主要作用是采用加密、认证等方式保护网络通信的安全性、私密性、可认证性和完整性。
IPSecVNP网关作为IPSecVNP系统中主要的设备，担负大部分计算任务，两台以上IPSecVNP网关就可以搭建IPSecVPN系统的基本框架。IPSec移动客户端（easyVPN）是专为单台主机或便携式电脑设计的，目的是使其拥有与IPSecVPN网关保护的局域网络通信的能力。如图1所示。
IPSecVPN网关工作在本地局域网及与其通信的远程局域网的网关位置，具有加密和认证功能，使用互联网作为信道。通过IPSecVPN网关的加密能力确保信息在不安全的互联网上以密文形式传输。数据校验功能确保了即便信息被截取，也无法窥视、篡改通讯内容。
IPSecVPN实现的总体结构分为IPSec输入输出处理、SPD和SAD策略管理、IKE密钥交换、加密算法和认证算法、NAT兼容等模块。其中IPSec安全协议的处理是数据处理的核心，策略管理模块提供IPSec处理策略，IKE密钥交换模块用于通讯双方SA协商，加密算法和认证算法模块是安全通讯基础，NAT兼容提供复杂网络环境下IPSecVPN应用的解决方法。
在用户层提供手工注入SA和IKE动态协商SA程序。用一个IKE守护进程监听动态协商请求，并进行相应的协商处理。策略系统实现存储、管理及验证策略。并提供用户层操作到内核的接口Pfkey Sockets（手工注入SA和利用IKE动态协商SA的接口及SAD与SPD的接口）。在内核中除实现与用户的接口外，还将实现SAD，SPD的管理、IPSec协议进入/外出处理及认证加密算法。IPSec协议处理部分建议采用IP+IPSec方案。这样会进一步加快IPSec的处理速度。
3 IPSecVPN穿越防火墙设计
前提：A、B、C三台cisco3750边缘路由器分别处于两局域网网关位置，两两一组，形成冗余。网关后各有一台主机，这两台主机之间进行IPsec安全通讯。每台边缘路由器都已经配置好相应的IPsec隧道及相关策略，而且配置了基于cisco ios CBAC状态型防火墙，两局域网由两路由器模拟的Internet网云连接。
3.1首先，对于防火墙主要进行如下一些配置：开启inspect检测，这样可以让每个接口自动检查ACL允许的流量，deny的不检查，有通信时建立状态表，没有通信时就不建立，也就是有会话时就有ACL，没有就删除。以下是针对IPSec协议的检测，在outside方向，开启对isakmp协商的检测。
ip inspect name outside udp timeout 5
ip inspect name outside isakmp
ip inspect name outside icmp
3.2对outside区域运用防火墙策略。由于AH和ESP的协议号分别为50和51，所以在outside方向上，让有限状态机对协议号为50的AH和51的ESP报文进行检测放行。
permit ahp any any
permit esp any any
由于isakmp的协商属于UDP协议，且端口号为500和4500，在outside方向，让有限状态机对isakmp的4500和500端口进行检测放行，以便isakmp协商成功。
permit udp any any eq isakmp
permit udp any any eq non500-isakmp
验证：在A路由器上使用 show access-list命令可以看到，如图2所示。
图2显示ESP格式报文的加密报文和isakmp的通道协商已经与防火墙的规则进行了匹配并且放行。Ping测试显示成功，如图3所示。
4加密流量与非加密流量对比
前提：为了达到加密与非加密流量对比，需要在配置两台服务器，一台处于内网中，受到IPSecVPN的加密保护，一台在公网上，供外网客户访问，不采用IPSec加密。服务器上包括WWW、FTP、DNS、MAIL常用服务。
（1）在外网和内网服务器上开启wireshark进行抓包并分析；（2）访问服务器www网页；（3）访问FTP服务器；（4）使用OE发送邮件；（5）使用OE进行收邮件；（6）使用telent登录服务器；（7）打开wireshark显示抓包分析结果，外网服务器的抓包结果显示，所有包的协议都可以显示出来，包括WWW的网址与内容，FTP和TELNET的用户名与密码，这些都是极其不安全的，而经过IPSec加密的内网服务器则所有包都是用ESP包头进行封装加密，显示不出任何包信息，这样可以很好的保护企业的数据。如图5和图6所1示。
5小结
本文通过研究IPSec协议族，实现了一个较为完整的IPSecVPN系统。包括客户端、服务器端软硬件设计和实现、网络配置及内嵌管理等，还解决了IPSec协议通过CBAC防火墙问题。
参考文献：
关键词：网络安全，信息化建设，网络管理
一、引言
计算机网络进入校园，使各种资源数字化。极大的改变了现有教学方式及工作方式。和其它的互联网一样，校园网也具备计算机网络的一切结构和功能。为了让网络保持畅通，为广大师生提供良好的服务，校园网的管理与维护就显的越来越重要。如何正确规范化的管理校园网，使之形成一套完整管理与维护理论体系，也是当前一项重要的研究课题。
二、校园网的管理与维护
随着各种资源不断网络化，就必须对校园网加强管理，制定相关政策法规，出现问题有法可依。这些规章制度包括网络使用规范、用户上网规范、信息点教学平台、网络管理制度、计算机操作管理制度、网络设备维修保养及报废制度等。重要体现在如下几方面：
1．网络系统安全存在的问题：
第一、有效阻挡病毒；现阶段，各种木马及计算机病毒令人防不胜防，如何将损失降到最小，是网络管理员考虑的问题。当软毒软件不能有效杀灭病毒时，要求网管员要在第一时间给出解决的办法并及时通知在校园网上，使教师了解病毒发作的特征和相应的解决方法，使各用户及时安装最新的病毒库和补丁程序。通过路由器查出有木马和病毒的计算机，在网络上封闭其访问网络权限，等用户计算机正常以后再开通网上访问权限。这样可避免扩散到其他计算机上，有效控制病毒在整网的蔓延。并要求所用计算机及时升级。
第二、网络用户权限管理与维护，首先要加强对网管权限的监管力度，由于网管可控制网内的每一台电脑，如果网络管理人员成为泄密者，其后果将不堪设想。可以通过在平时管理时用普通帐号，只有在安装软件和设置服务器时才用超级管理员帐号，这样做可以防止网管丢了密码对网络所造成的破坏。平时要求网络用户在使用密码时，尽量设置强口令的密码，如可以设置为字母加数据加特殊符号，这要有效提高破译密码的时间和难度。在网络培训和计算机课程中强调网络安全。
第三、校园网防火墙管理与维护：根据学校网络建设，有的学校用的是教育网接口，有的学校由于所处地理位置不同，有可能会用到当地网络供应商提供的接口。不管用那一种方式接入互联网，都不能忽略网络安全问题，如要防止有些学生及个别教师在内部做出的攻击，还要防止外网对校园网的外部的攻击。攻击的方式多种多样，要有效防止攻击事件的发生，防火墙和入侵检测系统是必不可少的，通过网络防火墙，使局域网内的网络用户可以安全地通过防火墙访问Internet，局域网内的WWW服务器也可以安全地对Internet提供服务。有效阻止外部未经过验证的数据包进入校园网里，防火墙有硬件防火墙和软件防火墙，可根据各自学校的要求进行设置。
2.网络系统安全管理方式方法：
第一、及时安装系统补丁程序(Patch)；对文件目录权限；定期检查系统安全性；不要将服务器的登录方式设置为自动登录，应使用NT Security对话框注册；取消服务器上经常不用的服务和协议种类。尽量关闭不必要的服务端口，对一些可能存在被攻击的端口要定期扫描，一旦发现可疑情况及时做处理；定期对重要数据进行备份；随着服务和协议数量越多其系统的安全性会变的越来越差；超级管理员账号仅用于网络管理，不要在任何客户机上使用超级管理员账号。论文参考。对于windows系统，要特别慎重属于Administrator组成员用户；记住口令文件保存在WINNT SYSTEM32CONFIG目录的SAM文件中，并且在WINNTREPAIR目录中有SAM备份。所以对SAM文件写入、更改权限等要进行安全审计；系统默认禁用Guest账号，最好不允许使用Guest账号。不要在Everyone组增加任何权限，因为Guest也属于该组；新增用户时分配一个口令，并控制用户'首次登录必须更改口令'，最好进一步设置成口令的不低于6个字符，杜绝安全漏洞；利用端口扫描工具，定期在防火墙外对网络内所有的服务器和客户进行端口扫描；禁止自动启动telnet服务。
3、应用软件的管理与维护：包括网络实验室及各客户端软件的配置更新规范，如相关的教学软件、编程软件、系统软件等。如：对未及时归还用户，如无特殊情况，损坏或丢失者，都要根据情节进行相应的处理。系统软件或价值较高的应用软件，一律不外借。除了软件的管理以外，还要大力加强软件的建设，如软件的购买、保管，使用、报损等。可根据需要，设立教师课件资源库，把每位教学每学期的多媒体课件，课后习题，辅导资料全部入库，这样不但对教师和学生带来方便，也成为校园网中的宝贵教学资源。
4．网络核心设备的管理与维护：校园网是由计算机、服务器（性能好的计算机）、路由器、交换机等各种设备组成，校园网要正常运行，必须保证核心网络设备正常运行，是校园网络系统的基础，所有的设备都属于网络专用设备，网络管理人员定期要对全校的网络设备进行检查及时解决故障，还要对一些网络设备进行设置：如web服务器、proxy服务器、路由器路由设置，防火墙规则设置等，同时这些设备对温度，湿度，安全有较高的要求，所以对核心设备应用专门存放房间，以保证设备正常运行。
5．网络实验室的管理：
网络实验室全天对学生开放，这就涉及到使用，安全等管理问题，出于安全的考虑，实验室中的每一台计算机均锁在柜子里，防止学生破坏计算机硬件设备；学生上网问题可以用划分子网来解决，通过对网络掩码的划分，使学生在正常上实验课时，被分配到取消上网资源子网，如需用网络资源时，可对子网整体设置，这样可使实验室管理更高效；当实验室软件出现问题时，可采用网络对拷的方式进行快速修复，把一台已安装和设置好的计算机当服务器制作出镜像文件，再逐个分发到需要的计算机上。一般五分钟左右就可以修好。为了管理上网的学生用户，可采用软件方式加硬件方式进行管理，换句话说，如果用户没有合法的用户名和密码，当计算机开机自检完以后不再加载系统程序。可专门设置一个服务器对所有学生设置上网时间和权限。论文参考。论文参考。
三．对网络用户进行定期培训
1．主要对教师进行培训：教师是学校开展现代教育技术实验的主力军，让教师通过校内外的培训，尽快提高现代教育思想和教育技术素质，是开展现代教育技术实验成败的关键。通过培训，使教师队伍计算机知识和操作水平不断提高。各校必需有一批懂技术、会使用的人员，才能真正发挥网络的功能，才能够发挥出校园网巨大潜能，使校园网的建设更具有更深远的实际意义。
2．培训成果：教师人人懂得计算机操作，掌握上校园网的方法，会使用'备课系统'进行备课，会使用多媒体教学系统进行教学，掌握上网技术，要善于通过国内外互联网获得信息资源，会使用常规电教设备和多媒体电子教学平台进行教学，会改编课件，会设计、编写课件脚本，制作多媒体课件（方便、普及型的PPT课件）。教师绝大部分的课时都使用多媒体软件，运用多媒体的教学工具进行教学。
3．教师用计算机的管理：
一般实行专人专用，在教师使用期内所出的问题全由用户自己负责。如：注意防尘、防潮、防磁、防碰撞；要求各位老师及时升级杀毒软件。由于人为因素对计算机硬件造成损坏的，要按原价赔偿。在计算机的使用过程中，遇到问题，可向网络组反映。不允许做一些可能会对计算机造成伤害的操作，如私自把主机机箱盖打开等，否则后果自负。具体的规定可根据各自学校的情况制定
四、总结
通过对校园网维护和管理的论述,近一步说明了校园网管理与维护既关系到学校教学质量和人才培养，也反应了一个学校的信息化建设的水平的高低.如何高效、安全、健康的利用现用的网络资源,提高学校管理与维护校园网的水平。
参考文献
[1] 孟洛明.现代网络管理技术.北京.北京邮电大学出版社.2000.6
[2] Refdom.交换网络中的嗅探和ARP欺骗.xfocus.net.
[3] David BJohnson，David A Maltz．Yih—ChunHu．The Dynamic SoumeRouting Protocol for Mobile Ad HocNetworks(DSR)．
