1、計算機網(wǎng)絡(luò)系統(tǒng)平安維護策略初探Keyrds：puternetrkSystesafeaintenaneanageent一個平安的計算機網(wǎng)絡(luò)應(yīng)該具有可靠性、可用性、完好性、保密性等特點。計算機網(wǎng)絡(luò)平安保護的重點應(yīng)在以下兩個方面:一是計算機病毒，二是黑客的入侵。1.計算機病毒的防御防御計算機病毒應(yīng)該從兩個方面著手，首先應(yīng)該加強內(nèi)部網(wǎng)絡(luò)管理人員以及使用人員的平安意識，使他們能養(yǎng)成正確上網(wǎng)、平安上網(wǎng)的好習(xí)慣。再者，應(yīng)該加強技術(shù)上的防范措施，比方使用高技術(shù)防火墻、使用防毒殺毒工具等。詳細(xì)做法如下：1.1權(quán)限設(shè)置，口令控制。很多計算機系統(tǒng)常用口令來控制對系統(tǒng)資源的訪問，這是防病毒進程中，最容易和最經(jīng)濟的方法

2、之一。網(wǎng)絡(luò)管理員和終端操作員根據(jù)自己的職責(zé)權(quán)限，選擇不同的口令，對應(yīng)用程序數(shù)據(jù)進展合法操作，防止用戶越權(quán)訪問數(shù)據(jù)和使用網(wǎng)絡(luò)資源。在選擇口令應(yīng)往意，必須選擇超過6個字符并且由字母和數(shù)字共同組成的口令；操作員應(yīng)定期變一次口令；不得寫下口令或在電子郵件中傳送口令。通常簡單的口令就能獲得很好的控制效果，因為系統(tǒng)本身不會把口令泄露出去。但在網(wǎng)絡(luò)系統(tǒng)中，由于認(rèn)證信息要通過網(wǎng)遞，口令很容易被攻擊者從網(wǎng)絡(luò)傳輸線路上竊取，所以網(wǎng)絡(luò)環(huán)境中，使用口令控制并不是很平安的方法。1.2簡易安裝，集中管理。在網(wǎng)絡(luò)上，軟件的安裝和管理方式是非常關(guān)鍵的，它不僅關(guān)系到網(wǎng)絡(luò)維護管理的效率和質(zhì)量，而且涉及到網(wǎng)絡(luò)的平安性。好的殺毒軟件

3、能在幾分鐘內(nèi)輕松地安裝到組織里的每一個NT效勞器上，并可下載和分布到所有的目的機器上，由網(wǎng)絡(luò)管理員集中設(shè)置和管理，它會與操作系統(tǒng)及其它平安措施嚴(yán)密地結(jié)合在一起，成為網(wǎng)絡(luò)平安管理的一部分，并且自動提供最正確的網(wǎng)絡(luò)病毒防御措施。1.3實時殺毒，報警隔離。當(dāng)計算機病毒對網(wǎng)上資源的應(yīng)用程序進展攻擊時，這樣的病毒存在于信息共享的網(wǎng)絡(luò)介質(zhì)上，因此就要在網(wǎng)關(guān)上設(shè)防，在網(wǎng)絡(luò)前端進展殺毒。基于網(wǎng)絡(luò)的病毒特點，應(yīng)該著眼于網(wǎng)絡(luò)整體來設(shè)計防范手段。在計算機硬件和軟件，LAN效勞器，效勞器上的網(wǎng)關(guān)，Internet層層設(shè)防，對每種病毒都實行隔離、過濾，而且完全在后臺操作。例如:某一終端機假設(shè)通過軟盤感染了計算機病毒，勢

4、必會在LAN上蔓延，而效勞器具有了防毒功能，病毒在由終端機向效勞器轉(zhuǎn)移的進程中就會被殺掉。為了引起普覺，當(dāng)在網(wǎng)絡(luò)中任何一臺工作站或效勞器上發(fā)現(xiàn)病毒時，它都會立即報警通知網(wǎng)絡(luò)管理員。1.4以網(wǎng)為本，多層防御。網(wǎng)絡(luò)防毒不同于單機防毒。計算機網(wǎng)絡(luò)是一個開放的系統(tǒng)，它是同時運行多程序、多數(shù)據(jù)流向和各種數(shù)據(jù)業(yè)務(wù)的效勞。單機版的殺毒軟件雖然可以暫時查殺終端機上的病毒，一旦上網(wǎng)仍會被病毒感染，它是不能在網(wǎng)絡(luò)上徹底有效地查殺病毒，確保系統(tǒng)平安的。所以網(wǎng)絡(luò)防毒一定要以網(wǎng)為本，從網(wǎng)絡(luò)系統(tǒng)和角度重新設(shè)計防毒解決方案，只有這樣才能有效地查殺網(wǎng)絡(luò)上的計算機病毒。2.對黑客攻擊的防御對黑客的防御策略應(yīng)該是對整個網(wǎng)絡(luò)系統(tǒng)施

5、行的分層次、多級別的包括檢測、告警和修復(fù)等應(yīng)急功能的實時系統(tǒng)策略，方法如下：防火墻構(gòu)成了系統(tǒng)對外防御的第一道防線。在這里，防火墻是一個小型的防御系統(tǒng)，用來隔離被保護的內(nèi)部網(wǎng)絡(luò)，明確定義網(wǎng)絡(luò)的邊界和效勞，同時完成授權(quán)、訪問控制以及平安審計的功能。根本的防火墻技術(shù)有以下幾種：1.包過濾路由器路由器的一個主要功能足轉(zhuǎn)發(fā)分組，使之離目的更近。為了轉(zhuǎn)發(fā)分組，路由器從IP報頭讀取目的地址，應(yīng)用基于表格的路由算法安排分組的出口。過濾路由器在一般路由器的根底上增加了一些新的平安控制功能。絕人多數(shù)防火墻系統(tǒng)在它們的體系構(gòu)造中含了這些路由器，但只足以一種相當(dāng)隨意的方式來允許或制止通過它的分組，因此它并不能做成一個

6、完好的解決方案。2.雙宿網(wǎng)關(guān)一個雙宿網(wǎng)關(guān)足一個具有兩個網(wǎng)絡(luò)界面的主機，每個網(wǎng)絡(luò)界面與它所對應(yīng)的網(wǎng)絡(luò)進展了通信。它具有路由器的作用。通常情況下，應(yīng)用層網(wǎng)關(guān)或代理雙宿網(wǎng)關(guān)下，他們傳遞的信息經(jīng)常是對一特定效勞的懇求或者對一特定效勞的響應(yīng)。假設(shè)認(rèn)為消息是平安的，那么代理會將消息轉(zhuǎn)發(fā)相應(yīng)的主機上。用戶只可以使用代理效勞器支持的效勞。3.過濾主機網(wǎng)關(guān)一個過濾主機網(wǎng)關(guān)是由一個雙宿網(wǎng)關(guān)和一個過濾路由器組成的。防火墻的配置包括一個位于內(nèi)部網(wǎng)絡(luò)下的堡壘主機和一個位于堡壘主機和INTERNET之間的過濾路由器。這個系統(tǒng)構(gòu)造的第一個平安設(shè)施是過濾路由器，它阻塞外部網(wǎng)絡(luò)進來的除了通向堡壘主機的所有其他信息流。對到來的信

7、息流而言，由于先要經(jīng)過過濾路由器的過濾，過濾后的信息流被轉(zhuǎn)發(fā)到堡壘主機上，然后由堡壘主機下的應(yīng)用效勞代理對這此信息流進展了分析并將合法的信息流轉(zhuǎn)發(fā)到內(nèi)部網(wǎng)絡(luò)的主機上;外出的信息首先經(jīng)過堡壘主機下的應(yīng)用效勞代理的檢查，然后被轉(zhuǎn)發(fā)到過濾路由器，然后有過濾路由器將其轉(zhuǎn)發(fā)到外部網(wǎng)絡(luò)上。4.過濾子網(wǎng)網(wǎng)關(guān)一個平安的過濾子網(wǎng)建立在內(nèi)部網(wǎng)絡(luò)與INTERNET之間，這個子網(wǎng)的入口通常是一個堡壘主機，分組過濾器通常位于子網(wǎng)與INTERNET之間以及內(nèi)部網(wǎng)絡(luò)與子網(wǎng)之間。分組過濾器通過出入信息流的過濾起到了子網(wǎng)與內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的緩沖作用。堡壘主機上的代理提供了對外網(wǎng)絡(luò)的交互訪問。在過濾路由器過濾掉所有不能識別或制

8、止通過的信息流后，將其他信息流轉(zhuǎn)發(fā)到堡壘主機上，由其上的代理仔細(xì)進展檢查。所以，可以根據(jù)實際情況，單獨或者結(jié)合使用以上防火墻技術(shù)來構(gòu)筑第一道防線。但是防火墻并不能完全保護內(nèi)部網(wǎng)絡(luò)，必須結(jié)合其他措施才能進步系統(tǒng)的平安程度。在防火墻之后是基于網(wǎng)絡(luò)主機的操作系統(tǒng)平安和物理平安措施。按照級別從低到高，分別是主機系統(tǒng)的物理平安、操作系統(tǒng)的內(nèi)核平安、系統(tǒng)效勞平安、應(yīng)用效勞平安和文件系統(tǒng)平安;同時主機平安檢查和破綻修補以及系統(tǒng)備份平安作為輔助平安措施。這些構(gòu)成整個網(wǎng)絡(luò)系統(tǒng)的第二道平安防線，主要防范部分打破防火墻以及從內(nèi)部發(fā)起的攻擊。系統(tǒng)備份是網(wǎng)絡(luò)系統(tǒng)的最后防線，用來遭受攻擊之后進展系統(tǒng)恢復(fù)。在防火墻和主機平安措施之后，是全局性的由系統(tǒng)平安審計、入侵檢測和應(yīng)急處理機構(gòu)成的整體平安檢查和反響措施。它從網(wǎng)絡(luò)系統(tǒng)中的防火墻、網(wǎng)絡(luò)主機甚至直接從網(wǎng)絡(luò)鏈路層上提取網(wǎng)絡(luò)狀態(tài)信息，作為輸人提供給入侵檢測子系統(tǒng)。入侵檢測子系統(tǒng)根據(jù)一定的規(guī)那么判斷是否有入侵事件發(fā)生，假設(shè)有入侵發(fā)生，那么啟動應(yīng)急處理措施，并產(chǎn)生警告信息。而且，系統(tǒng)的平安審計還可以作為以后對攻擊行為和后果進展處理、對系統(tǒng)平安策略進展改進的信息來源。計算機網(wǎng)絡(luò)的平