网络安全的防范措施主要有哪些

在当今网络化的世界中，计算机信息和资源很容易遭到各方面的攻击。一方面，来源于Internet，Internet给企业网带来成熟的应用技术的同时，也把固有的安全问题带给了企业网；另一方面，来源于企业内部，因为是企业内部的网络，主要针对企业内部的人员和企业内部的信息资源，因此，企业网同时又面临自身所特有的安全问题。网络的开放性和共享性在方便了人们使用的同时，也使得网络很容易遭受到攻击，而攻击的后果是严重的，诸如数据被人窃取、服务器不能提供服务等等。随着信息技术的高速发展，网络安全技术也越来越受到重视，由此推动了防火墙、人侵检测、虚拟专用网、访问控制等各种网络安全技术的蓬勃发展。
企业网络安全是系统结构本身的安全，所以必须利用结构化的观点和方法来看待企业网安全系统。企业网安全保障体系分为4个层次，从高到低分别是企业安全策略层、企业用户层、企业网络与信息资源层、安全服务层。按这些层次建立一套多层次的安全技术防范系统，常见的企业网安全技术有如下一些。
VLAN(虚拟局域网)技术
选择VLAN技术可较好地从链路层实施网络安全保障。VLAN指通过交换设备在网络的物理拓扑结构基础上建立一个逻辑网络，它依用户的逻辑设定将原来物理上互连的一个局域网划分为多个虚拟子网，划分的依据可以是设备所连端口、用户节点的MAC地址等。该技术能有效地控制网络流量、防止广播风暴，还可利用MAC层的数据包过滤技术，对安全性要求高的VLAN端口实施MAC帧过滤。而且，即使黑客攻破某一虚拟子网，也无法得到整个网络的信息。
网络分段
企业网大多采用以广播为基础的以太网，任何两个节点之间的通信数据包，可以被处在同一以太网上的任何一个节点的网卡所截取。因此，黑客只要接人以太网上的任一节点进行侦听，就可以捕获发生在这个以太网上的所有数据包，对其进行解包分析，从而窃取关键信息。网络分段就是将非法用户与网络资源相互隔离，从而达到限制用户非法访问的目的。
硬件防火墙技术
任何企业安全策略的一个主要部分都是实现和维护防火墙，因此防火墙在网络安全的实现当中扮演着重要的角色。防火墙通常位于企业网络的边缘，这使得内部网络与Internet之间或者与其他外部网络互相隔离，并限制网络互访从而保护企业内部网络。设置防火墙的目的都是为了在内部网与外部网之间设立唯一的通道，简化网络的安全管理。
入侵检测技术
入侵检测方法较多，如基于专家系统入侵检测方法、基于神经网络的入侵检测方法等。目前一些入侵检测系统在应用层入侵检测中已有实现。

360ARP防护是要开启的，不会对电脑系统产生影响的。

360ARP防火墙，内核层双向拦截本机和外部ARP攻击，及时查杀ARP木马，在系统内核层直接拦截本机和外部的全部ARP攻击，并提供本机ARP木马病毒准确追踪和及时查杀，保持网络畅通及通讯安全。采用内核拦截技术，本机运行速度不受任何影响。

1、内核层双向拦截本机和外部ARP攻击，及时查杀ARP木马

在系统内核层直接拦截本机和外部的全部ARP攻击，并提供本机ARP木马病毒准确追踪和及时查杀，保持网络畅通及通讯安全。采用内核拦截技术，本机运行速度不受任何影响。

2、 精准追踪攻击源IP，方便网管及时查询攻击源

拦截到外部ARP攻击后，可通过拦截界面“追踪攻击源IP”来精准定位局域网内攻击源，方便网管及时查询

局域网内攻击源，及时解决问题。

3、拦截DNS欺骗、网关欺骗、IP冲突等多种攻击

具有拦截DNS欺骗，IP冲突攻击等多种形式的攻击功能，且多方位拦截，全面解决局域网内频繁掉线问题。

4、可自定义本机进程白名单

用户可自定义进程白名单，网络访问更安全。

5、拦截通知可自行选择是否提示，方便网吧用户使用

拦截通知是否显示由您决定，专为网吧用户设计，无打扰自动拦截ARP攻击，让您上网冲浪安全又无扰。

360arp防火墙设置教程　

打开360安全卫士，进入首页，点击安全防护中心，进入防火墙设置界面!

2在防护墙设置中心点击安全设置按钮。

3由于防护项次众多，本文主要介绍常用防火设置，首先在网页设置防火需要开启，如果关闭，选择对应选项即可!

4网络防护中主要是网页木马防护，防止流量‘挂、马的网站，对于未知网站文件非常有用!可以去掉复选框来关闭!

5隔离可以程序，有些安装软件会篡改你的IE主页，同时可以拦截输入法木，马，这个设置可以锁定防止被修改，同样取消复选框可以关闭!

6下载安全防护，这个功能主要针对右键附件及其它工具下载文件的检查!可选关闭!

7主动防御，这个是实时监测文件，比较占内存和资源，可选关闭!

8你可以在设置总页面打开他们的状态，可以快捷设置!鼠标放到相应=设置项次后会有选项出现。

青岛艾讯。

从信息系统安全防护技术来讲主要有以下几种: 1) 内联网信息系统的一些重要信息交互, 可以采用专用的通信线路(特别是采用没有电磁泄漏问题的光缆)来防止信息在传输的过程中被非法截获。一些重要信息应进行加密后传输, 可以进一步防止被截获信息的有效识别。这些技术主要为了保证信息的机密性。 2) 网络和系统隔离(防火墙等) 防火墙可以隔离内部网络和外部网络, 使得所有内外网之间的通信都经过特殊的检查以确保安全。 对一些特别主特别服务可以采用包装代理技术(如Wrapper等), 隔离用户对系统的直接访问, 加强系统的安全性。 3) 网络和系统安全扫描 网络安全扫描和系统扫描产品可以对内部网络、 *** 作系统、系统服务、以及防火墙等系统的安全漏洞进行检测, 即时发现漏洞给予修补, 使入侵者无机可乘。 4) 安全实时监控与入侵发现技术 信息系统的安全状况是动态变化的, 安全实时监控系统可以发现入侵行为并可以调整系统进行及时的保护反应。 5) *** 作系统安全加固 采用B级系统替代传统的C级系统是解决系统安全问题的比较根本性的措施。考虑到可用性和经济性的原则, 可以首先考虑在最敏感的服务器和网络隔离设备上采用B级系统。 6) 数据库系统和应用系统安全加固 在要害信息系统的服务器中采用B级 *** 作系统, 并配备B级数据库管理系统, 将应用、服务都建设在B级的基础上。这样整个信息系统恶性循环才有比较根本性的保障。 7) 可生存技术 可生存性是指在遭受攻击, 发生失效或事故时, 仍能及时完成服务使命的能力。主要是指健康性、适应性、多样性、进化性和恢复性。 8) 加强安全管理技术 信息系统安全问题中最核心的问题是管理问题。"人"是实现信息系统安全的关键因素。因此需要大力加强人员安全培训, 制订安全管理规范。同时, 要充分利用各种技术手段进行自动化管理。

[摘 要]随着的迅速发展,网络安全性已成为迫切需要解决的问题。随着计算机网络的发展越来越深入,计算机系统的安全性就日益突出和复杂。首先从网络安全内涵开始,对其面临的威胁及主要影响因素进行分析,重点介绍几种普遍的安全技术及其防护技术的发展趋势。
[关键词]网络安全威胁防护技术趋势
中图分类号:TP3文献标识码:A文章编号:1671-7597(2009)1210104-02

一、计算机网络安全概述

(一)网络安全的定义
国际标准化组织(ISO)将计算机安全定义为“为数据处理系统建立和采取的技术和管理的安全保护,保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄露。”我国自己提出的定义是:“计算机系统的硬件、软件、数据受到保护,不因偶然的或恶意的原因而遭到破坏、更改、泄露,系统能连续正常运行。”因此,所谓网络安全就是指基于网络的互联互通和运作而涉及的物理线路和连接的安全,网络系统的安全, *** 作系统的安全,应用服务的安全和人员管理的安全等几个方面。总的说来,计算机网络的安全性,是由数据的安全性、通信的安全性和管理人员的安全意识三部分组成。①
(二)影响计算机网络安全的主要因素
计算机网络安全受到的安全威胁是来自各个方面的,一般来说,影响计算机网络安全的因素主要有以下几个方面:
1计算机网络使信息的收集方便而且快速,信息的价值剧增,吸引了许多网上黑客前来攻击。
2现有的计算机系统皆有安全漏洞,使网络入侵成为可能。一般 *** 作系统的体系结构其本身是不安全的,这也是计算机系统不安全的根本原因之一, *** 作系统的程序是可以动态连接的,包括FO的驱动程序与系统服务,都可以用打“补丁”的方式进行动态连接,为黑客的侵入和病毒的产生提供了一个好环境。
3网络系统中数据的安全问题。网络中的信息数据是存放在计算机数据库中的,通常也指存放在服务器中的信息集,供不同的用户来共享,数据库存在不安全性和危险性,因为在数据库系统中存放着大量重要的信息资源,在用户共享资源时可能会出现以下现象:授权用户超出了他们的访问权限进行更改活动,非法用户绕过安全内核,窃取信息资源等。
4远程访问控制使得每个主机甚至可以被国外的黑客攻击。网络黑客是计算机网络发展的产物,黑客攻击,早在10多年前的主机终端时代就已出现,随着Internet的发展,现代黑客则从以系统为主的攻击转变到以网络为主的攻击,利用网络窃取重要的情报,毁坏数据和信息。
5目前的计算机病毒不但可以破坏计算机硬件,而且可以破坏网络安全系统并通过网络破坏更多的计算机。

二、计算机网络所面临的威胁及攻击

(一)管理的欠缺
网络系统的严格管理是企业、机构及用户免受攻击的重要措施。事实上,很多企业、机构及用户的网站或系统都疏于这方面的管理。据IT界企业团体ITAA的调查显示,美国90%的IT企业对黑客攻击准备不足。目前,美国75～85%的网站都抵挡不住黑客的攻击,约有75%的企业网上信息失窃,其中25%的企业损失在25万美元以上。此外,管理的缺陷还可能出现系统内部人员泄露机密或外部人员通过非法手段截获而导致机密信息的泄漏,从而为一些不法分子制造了可乘之机。②
(二)网络的缺陷及软件的漏洞
因特网的共享性和开放性使网上信息安全存在先天不足,因为其赖以生存的TCP/IP协议,缺乏相应的安全机制,而且因特网最初的设计考虑是该网不会因局部故障而影响信息的传输,基本没有考虑安全问题,因此它在安全可靠、服务质量、带宽和方便性等方面存在着不适应性。此外,随着软件系统规模的不断增大,系统中的安全漏洞或“后门”也不可避免地存在,比如我们常用的 *** 作系统,无论是Windows还是UNIX都存在或多或少的安全漏洞,众多的各类服务器、浏览器、一些桌面软件等等都被发现过存在安全隐患。
(三)计算机病毒
病毒是计算机中最让人头痛,也是最普遍的安全威胁,几乎每一个用过电脑的人都受到过病毒或多或少的威胁。大到系统崩溃,数据丢失,小到影响系统性能,甚至有的病毒只是开个玩笑。
(四)黑客的攻击
黑客是影响网络安全的最主要因素之一。“黑客”是英文“Hacker”的译音,原意是用来形容独立思考,然而却奉公守法的计算机迷,热衷于设计和编制计算机程序的程序设计者和编程人员。然而,随着社会发展和技术的进步“Hacker”的定义有了新的演绎,出现了一类专门利用计算机犯罪的人,即那些凭借自己所掌握的计算机技术,专门破坏计算机系统和网络系统,窃取政治、军事、商业秘密,或者转移资金账户,窃取金钱,以及不露声色地捉弄他人,秘密进行计算机犯罪的人。

三、计算机网络的安全技术

通过对网络系统各个层次的分析可以给数据链路层网络层系统层数据库层和应用层提供全面的保护。
(一)加密技术
加密技术是网络安全的核心,现代密码技术发展至今二十余年,其技术已由传统的只注重保密性转移到保密性、真实性、完整性和可控性的完美结合。加密技术是解决网络上信息传输安全的主要方法,其核心是加密算法的设计。③
1非对称密钥加密
在非对称机密体系中,密钥被分解为一对(即公开密钥和私有密钥),而且加密密钥与解密密钥不同,是一种利用公开加密密钥加密,利用不公开解密密钥解密的密码体制。
2对称加密技术
在对称加密技术中,对信息的加密和解密都使用相同的钥匙,这种加密方法可简化加密处理过程。信息交换双方都不必彼此研究交换专用的加密算法。若在交换阶段私有密钥未曾泄漏,那么机密性和报文完整性就可以得以保证。
(二)网络防病毒技术
由于网络计算机病毒是网络系统最大的攻击者,具有强大的传染性和破坏力,网络防病毒技术已成为计算机网络安全的又一重要课题。防病毒技术可分为三种:病毒预防技术,病毒检测技术和病毒消除技术。④
1病毒预防技术
计算机病毒的预防技术是指通过一定的技术手段防止计算机病毒对系统的破坏。计算机病毒的预防应包括对已知病毒的预防和对未知病毒的预防。预防病毒技术包括:磁盘引导区保护、加密可执行程序、读写控制技术、系统监控技术等。
2病毒检测技术
计算机病毒的检测技术是指通过一定的技术判定出计算机病毒的一种技术。计算机病毒的检测技术有两种:一种是判断计算机病毒特征的监测技术。病毒特征包括病毒关键字、特征程序段内容、传染方式、文件长度的变化等。另一种是文件自身检测技术,这是一种不针对具体病毒程序的特征进行判断,而只是通过对文件自身特征的检验技术。
3病毒消除技术
计算机病毒的消除技术是计算机病毒检测技术发展的必然结果,是计算机病毒传染程序的一种逆过程。但由于杀毒软件的更新是在病毒出现后才能研制,有很大的被动性和滞后性,而且由于计算机软件所要求的精确性,致使某些变种病毒无法消除,因而应经常升级杀毒软件。
4入侵检测技术和网络监控技术
入侵检测(IDSIntrusion Detection System)是近年来发展起来的一种防范技术,综合采用了统计技术、规则方法、网络通信技术、人工智能、密码学、推理等技术和方法,其作用是监控网络和计算机系统是否出现被入侵或滥用的征兆。根据采用的分析技术可分为签名分析法和统计分析法。
(三)防火墙技术
网络防火墙技术是一种用来加强网络之间访问控制,防止外部网络用户以非法手段进入内部网络,访问内部网络资源,保护内部网络的特殊网络互联设备。
1防火墙技术的定义
在网络中,防火墙是内部网络与外界网络之间的一道防御系统,通过它使得内部网络与Internet或者其他外部网络之间相互隔离,并通过限制网络互访来保护内部网络,但这些对数据的处理 *** 作并不会妨碍人们对风险区域的访问。
2防火墙的关键技术
根据防火墙所采用的技术不同,我们可以将它分为4种基本类型:包过滤型、网络地址转换型,代理型和监测型。⑤
(1)包过滤型。包过滤型产品是防火墙的初级产品,其技术依据是网络中的分包传输技术。网络上的数据都是以“包”为单位进行传输的,数据被分割成为一定大小的数据包,每一个数据包中都会包含一些特定信息,如数据的源地址、目标地址、TCP/UDP源端口和目标端口等。
(2)网络地址转换型。网络地址转换是一种用于把IP地址转换成临时的、外部的IP地址标准。它允许具有私有IP地址的内网访问因特网。
(3)代理型。代理型防火墙也可以被称为代理服务器,它的安全性要高于包过滤型产品,并已经开始向应用层发展。代理服务器位于客户机与服务器之间,完全阻挡了二者间的数据交流。当客户机需要使用服务器上的数据时,首先将数据请求发给代理服务器,代理服务器再根据这一请求向服务器索取数据,然后由代理服务器将数据传输给客户机。
(4)监测型。监测型防火墙是新一代的产品,这一技术实际已经超越了最初的防火墙定义。监测型防火墙能够对各层的数据进行主动、实时的监测,在对这些数据加以分析的基础上,监测型防火墙能够有效地判断出各层中的非法侵入。

四、网络安全防护的发展趋势

(一)加强病毒监控
随着病毒技术的发展,病毒的宿主也越来越多,在宿主增多的同时,传播途径也越来越广,目前较受关注的一项病毒注入技术是利用电磁波注入病毒。这种技术的基本设想是把计算机病毒调制在电磁信号并向计算机网络系统所在方向辐射,电磁信号通过网络中某些适当的节点进入网络,然后计算机病毒就在网络中传播,产生破坏作用。所以加强病毒监控成为网络安全防护的一项重要内容。
(二)建立安全可靠的虚拟专用网
虚拟专用网()系统采用复杂的算法来加密传输的信息,使分布在不同地方的专用网络在不可信任的公共网络上安全地通信。其工作流程大致如下:1要保护的主机发送不加密信息到连接公共网络的虚拟专网设备;2虚拟专网设备根据网络管理员设置的规则,确认是否需要对数据进行加密或让数据直接通过;3对需要加密的数据,虚拟专网设备对整个数据包(包括要传送的数据、发送端和接收端的IP地址)进行加密和附上数字签名;4虚拟专网设备加上新的数据包头,其中包括目的地虚拟专网设备需要的安全信息和一些初始化参数;5虚拟专网设备对加密后数据、鉴别包以及源IP地址、目标虚拟专网设IP地址进行重新封装,重新封装后数据包通过虚拟通道在公网上传输;6当数据包到达目标虚拟专网设备时,数字签名被核对无误后数据包被解密。
(三)强化管理
网络安全不只是一个单纯的技术问题,而且也是一个十分重要的管理问题。采取各种措施对计算机网络实施有效管理是计算机网络防护的主要内容之一。一般,计算机网络管理包括安全审计、行政管理、人事管理等几个方面的内容。安全审计是对计算机系统的安全事件进行收集、记录、分析、判断,并采取相应的安全措施进行处理的过程。

注释:
①李静,计算机网络安全与防范措施,湖南省政法管理部学院学报,2002,18(1):8
②张宝剑,计算机安全与防护技术[M]机械工业,2003,1
③王德秀,网络安全技术及应用,有线电视技术,2003,1
④梅筱琴、蒲韵、廖凯生,计算机病毒防治与网络安全手册,海洋出版社,2004:9～2
⑤余伟建、王凌,黑客攻击手段分析与防范,人民邮电出版社,2003:10～13


参考文献:
[1]李静,计算机网络安全与防范措施,湖南省政法管理部学院学报,2002,18(1):8
[2]王春、林海波,网络安全与防火墙技术,北京:清华大学出版社,2000:10～30
[3]秦超、李素科、满成圆,网络与系统安全实用指南,北京航空航天大学出版社,2002
[4]刘东华等著,网络与通信安全技术,人民邮电出版社,2002
作者简介:
张尚理,男,硕士研究生,高级工程师,研究方向:网络安全。

服务器的安全设置很重要，所以相对也会很繁琐，需要进行的 *** 作有很多：
系统漏洞扫描与修复；管理员账号、来宾账号、普通账号、影子账号的优化保护系
统不被黑客恶意添加或修改；
对IIS下的ASP、ASPX网站相关的EXE和DLL文件进行保护 *** 作防止网站被恶意上传和特殊权限的运行；
对系统文件夹下
的关键二进制文件进行保护 *** 作，确保存储的DLL文件和以及其他用于支持、配置或 *** 作的文件的安全；对系统文件夹下的文件进行保护 *** 作，防止系统文件被修
改，以确保系统的正常运行；
对用户配置信息的文件夹进行保护 *** 作，以防止用户当前桌面环境、应用程序设置和个人数据信息的泄露；
对数据库进行权限优化以及
安全加固；
停止了类似Remote Registry（远程修改注册表服务） Remote Desktop Help Session
Manager（远程协助服务）
这种不必要的服务，以防被黑客利用，降低安全隐患；
关闭135和445这类用于远程过程调用，局域网中轻松访问各种共享文件夹或共享打印机的端口；
禁止掉
ICP空连接功能，以防止连接者与目标主机建立无需用户名与密码的空连接造成的风险出现；
配置backlog，提高网络并发性及网络的处理能力；
优化设置
SYN-ACK等待时间，检查无效网关用以提高网络性能；
检查TCPIP协议栈IGMP堆栈溢出本地拒绝服务、检查ICMP重定向报文，并进行优化 *** 作，
防止被用于攻击；
禁止路由发现功能，用以防止ICMP路由通告报文带来的增加路由表纪录的攻击；
限制处于TIME_WAIT状态的最长时间，使运行的应用
程序可以更快速地释放和创建连接；
卸载掉wshomocx组件和shell32dll组件，防止默认允许asp运行、exe可执行文件带来的安全隐
患；
禁止掉系统自动启动服务器共享的功能，用以防止服务器上的资源被共享功能泄露出去。
在手动配置的同时也可以安装服务器安全狗进行相应的设置，能够更加的完善服务器的安全设置，并且服务器安全狗也能给服务器提供实时防护，一举两得，新手和老手同样适合使用，免费又安全。建议可以去试试
我的服务器用的是小鸟云的，性能稳定，访问很流畅。

-- 家庭用户网络安全“两忌”
网络安全对于个人用户而言，已不是一个遥远的话题。事实上，在网上“冲浪”时注意相关的事项就可以有效地保护自己。
忌“引狼入室”
这里的“狼”指的是那些不受欢迎的病毒，它们会危害到电脑的健康程序。从网上DOWN下载软件和接收邮件时很可能会让这些不受欢迎的“家伙”混进来，但绝不容许它们有干坏事的机会。
为了达到这一目的，个人用户应采取一系列措施。首先，下载软件应尽量选择客流大的专业网站下载。因为它们都有专人维护，提供的软件一般不会有问题，同时速度也很快。相比较而言，大多数个人站点的技术、维护、拥有的网络资源确实没有那些专业站点雄厚，所提供的软件出问题的机会也较多。其次，从网上DOWN来的软件不要立即使用，WORD文档也不宜直接打开，应先用杀毒软件检测一番，不要嫌麻烦，有备无患。建一个专门的目录，下载软件时将文件DOWN保存到那个目录，以便于统一杀毒。对于DOWN下来的ZIP与自解压文件，不管杀毒软件是否支持查杀压缩文件中含的病毒，都应当先自行解开，以防止杀毒软件漏报。
忌“自投罗网”
由于病毒是潜伏在别的程序内的，在宿主程序第一次启动时被激活。而“木马”则不同于病毒，微软的安全公报对“木马”类软件的评价是：“该软件其实要求用户先装入Sever端， 然后再启动Client 端进行控制。虽然将其作为特洛伊木马安装到欲控制的机器上不算很困难， 但毕竟这不是 Win95／98的Bug。 而是利用机器所有者的疏忽而已。”
“木马”无法去感染别的程序、文件，进行自我复制，而是以单独的个体存在。因此，很关键的一条就是使用户去启动木马SERVER端。要想避免自投罗网，就得对木马的工作机制、体系架构有所了解。
先说工作机制，一旦感染木马后，它就会给你的Windows留下后门，秘密监视网络消息，一旦发现远方的控制指令，就会秘密地予以回应，可以让远方的控制者掌握对机器的完全控制权。此后在用户不知情的情况下，远方的侵入者可以随时在因特网上无限制地访问用户的计算机，就如同访问其他桌上另一台机器一样方便。
对于它的工作体制，其程序也分成服务器端（简称S端）、客户机端（简称C端）两部分。这里就拿它们的开山鼻祖Back Orifice（简称BO）为例，BO 是Win95／98平台上的一个客户机／服务器C／S　应用程序，其客户机端（C端）程序可以监视、管理和使用网络中运行服务器端程序（S端）所在的网络资源。所以，个人用户所要做的就是避免因疏忽而启动S端。（

---