網絡研究校園網絡安全問題及對策研究畢業論文-wenkub

　

【正文】 個體化屬性之上的授權準則，授權通常依賴于敏感性。 網絡安全策略 策略通常是一般性的規范，只提出相應的重點，而不確切地說明如何達到所要的結果，因此策略屬于安全技術規范的最高一級。利用密碼技術的完整性保護可以很好地對付非法篡改，當信息源的完整性可以被驗證卻無法模仿時，可提供不可抵賴服務。網絡設備之間應互認證對方的身份，以保證正確的操作權力賦予和數據的存取控制；同時網絡也必須認證用戶的身份，以授權保證合法的用戶實施正確的操作。如何在有限的投入下合理地使用安全機制，以便盡可能地降低安全風險，是值得討論的，網絡信息安全機制應包括:技術機制和管理機制兩方面的內容。 網絡安全的屬性網絡安全具有三個基本的屬性：機密性、完整性、可用性。（2）網絡上系統信息的安全：包括用戶口令鑒別、用戶存取權限控制、數據存取權限、方式控制、安全審計、安全問題跟蹤、計算機病毒防治、數據加密等。廣義上講，凡是涉及到網絡上信息的保密性、完整性、可用性和可控性的相關技術和理論，都是網絡安全的研究領域。許多校園網是從局域網發展來的，由于意識與資金方面的原因，它們在安全方面往往沒有太多的設置，這就給病毒和黑客提供了生存的空間。(3)破壞數據的完整性；即使用非法手段，刪除、修改、重發某些重要信息，以干擾用戶的正常使用。 (4)我國信息安全人才培養還不能滿足其需要。因此，加強網絡信息安全保障已成為當前的迫切任務。電腦黑客利用系統中的安全漏洞非法進入他人計算機系統，其危害性非常大。(4)病毒：目前數據安全的頭號大敵是計算機病毒，它是編制者在計算機程序中插入的破壞計算機功能或數據，影響計算機軟件、硬件的正常運行并且能夠自我復制的一組計算機指令或程序代碼。(2)配置不當：安全配置不當造成安全漏洞，例如，防火墻軟件的配置不正確，那么它根本不起作用。而據統計在這整個行動中美國經濟共損失了十多億美金。 （二）網絡安全的防護力脆弱，導致的網絡危機(1)根據Warroon Research的調查，1997年世界排名前一千的公司幾乎都曾被黑客闖入。(5)黑客的攻擊手段在不斷地升級。甚至連安全工具本身也可能存在安全的漏洞。(3)系統的后門是難于考慮到的地方。(2)安全工具的使用受到人為因素的影響。然而，即使在使用了現有的安全工具和技術的情況下，網絡的安全仍然存在很大隱患，這些安全隱患主要可以包括為以下幾點:(1) 安全機制在特定環境下并非萬無一失。在信息處理能力提高的同時，系統的連結能力也在不斷的提高。其次，通過對網絡技術的研究，得出校園網也會面臨著安全上的威脅。專升本畢業設計(論文) 題目校園網絡安全問題及對策研究學生姓名學號所學專業計算機科學與技術指導老師目 錄摘要 iABSTRACT ii第一章 前言 3 3 5第二章 網絡安全概述 網絡安全的含義 7 網絡安全的屬性 7 網絡安全機制 7 網絡安全策略 8 網絡安全發展趨勢 10第三章 網絡安全問題解決對策 計算機安全級別的劃分 11 防火墻技術 13 入侵檢測技術 16 數據加密技術 20 反病毒技術 21第四章 網絡安全防范 TELNET入侵防范 23 防止ADMINISTRATOR賬號被破解 23 防止賬號被暴力破解 23 “木馬”防范措施 24 網頁惡意代碼及防范 24 嗅探器（SNIFFER）的防范 26 數據密文防范措施 27 其它網絡攻擊與防范措施 28第五章 校園網絡安全體系 校園網絡安全規范 30 安全方案建議 30 校園網絡安全技術的應用 31 校園安全隱患 34 校園網主動防御體系 35 其他網絡安全解決方案 39結束語 40致謝 43參考文獻 44附錄 46摘 要本論文從計算機網絡面臨的各種安全威脅，系統地介紹網絡安全技術。最后，確立了用P2DR模型的思想來建立校園網的安全防御體系。但在連結信息能力、流通能力提高的同時，基于網絡連接的安全問題也日益突出。比如防火墻，它雖然是一種有效的安全工具，可以隱蔽內部網絡結構，限制外部網絡到內部網絡的訪問。一個安全工具能不能實現期望的效果，在很大程度上取決于使用者，包括系統管理者和普通用戶，不正當的設置就會產生不安全因素。防火墻很難考慮到這類安全問題，多數情況下，這類入侵行為可以堂而皇之經過防火墻而很難被察覺；比如說，眾所周知的ASP源碼問題，它是IIS服務的設計者留下的一個后門，任何人都可以使用瀏覽器從網絡上方便地調出ASP程序的源碼，從而可以收集系統信息，進而對系統進行攻擊。幾乎每天都有新的BUG被發現和公布出來，程序設計者在修改已知的BUG的同時又可能使它產生了新的BUG。安全工具的更新速度慢，且絕大多數情況需要人為的參與才能發現以前未知的安全問題，這就使得它們對新出現的安全問題總是反應遲鈍。 (2) 據美國FBI統計，美國每年因網絡安全造成的損失高達75億美元。由于業界人心惶惶，亞馬遜()、AOL、雅虎(Yahoo!)、eBay的股價均告下挫，以科技股為主的那斯達克指數(Nasdaq)打破過去連續三天創下新高的升勢，下挫了六十三點，杜瓊斯工業平均指數周三收市時也跌了二百五十八點。對特定的網絡應用程序，當它啟動時，就打開了一系列的安全缺口，許多與該軟件捆綁在一起的應用軟件也會被啟用。計算機病毒具有傳染性、寄生性、隱蔽性、觸發性、破壞性等特點。從某種意義上講，黑客對信息安全的危害甚至比一般的電腦病毒更為嚴重。 目前我國網絡安全的現狀和面臨的威脅主要有：(1)計算機網絡系統使用的軟、硬件很大一部分是國外產品，我們對引進的信息技術和設備缺乏保護信息安全所必不可少的有效管理和技術改造。與其它網絡一樣，校園網也會受到相應的威脅，大體可分為對網絡中數據信息的危害和對網絡設備的危害。(4)干擾系統正常運行；指改變系統的正常運行方法，減慢系統的響應時間等手段。因此，校園網的網絡安全需求是全方位的。網絡安全是指網絡系統的硬件，軟件及數據受到保護，不遭受偶然或惡意的破壞、更改、泄露，系統連續可靠正常地運行，網絡服務不中斷。（3）網絡上信息傳輸的安全：即信息傳播后果的安全、包括信息過濾、不良信息過濾等。 （1）機密性：是指保證信息與信息系統不被非授權者所獲取與使用，主要 范措施是密碼技術。 網絡安全技術機制網絡安全技術機制包含以下內容：（1）加密和隱藏。 （3）審計和定位。 （5）權限和存取控制：針對網絡系統需要定義的各種不同用戶，根據正確的認證，賦予其適當的操作權力，限制其越級操作。 安全策略的分類安全策略分為基于身份的安全策略和基于規則的安全策略兩種。在一個安全系統中，數據或資源應該標注安全標記，而且用戶活動應該得到相應的安全標記。（3）數字簽名；防止用戶否認對數據所做的處理。 圖 21 安全策略實現流程（1）證書管理。（3）安全協作。網絡進化的未來—綠色網絡—呼喚著新的信息安全保障體系。而國外同標準的是美國國防部在1985年12月公布的可信計算機系統評價標準TCSEC(又稱桔皮書)。D1系統只為文件和用戶提供安全保護。C1系統的可信任運算基礎體制（Trusted Computing Base，TCB）通過將用戶和數據分開來達到安全的目的。C2系統具有C1系統中所有的安全性特征。B1系統滿足下列要求：系統對網絡控制下的每個對象都進行靈敏度標記；系統使用靈敏度標記作為所有強迫訪問控制的基礎；系統在把導入的、非標記的對象放入系統前標記它們；靈敏度標記必須準確地表示其所聯系的對象的安全級別；當系統管理員創建系統或者增加新的通信通道或I/O設備時，管理員必須指定每個通信通道和I/O設備是單級還是多級，并且管理員只能手工改變指定；單級設備并不保持傳輸信息的靈敏度級別；所有直接面向用戶位置的輸出（無論是虛擬的還是物理的）都必須產生標記來指示關于輸出對象的靈敏度；系統必須使用用戶的口令或證明來決定用戶的安全訪問級別；系統必須通過審計來記錄未授權訪問的企圖。B3系統必須符合B2系統的所有安全需求。(4)A類安全等級：A系統的安全級別最高。對系統分析后，設計者必須運用核對技術來確保系統符合設計規范。這5個級別的安全強度從低到高排列讓高一級包括低一級的安全能力，GB17859的劃分標準安全能力 一級 二級 三級 四級 五級自主訪問控制 √ ∈ ≡ ≡ ≡強制訪問控制 √ ∈ ≡標記 √ ∈ ≡身份鑒別 √ ∈ ∈ ≡ ≡客體重用 √ ≡ ≡ ≡審計 √ ∈ ∈ ∈數據完整 √ ≡ ∈ ≡ ≡隱蔽信道分析 √ ≡可信路徑 √ ≡可信恢復 √注: “√”:新增功能；“∈”：比上一級功能又所擴展；“≡”：與上一級功能相同。（3）信息流模型：是計算機中系統中系統中信息流動路徑，它反映了用戶在計算機系統中的訪問意圖。在網絡中，防火墻實際是一種隔離技術，它所執行的隔離措施有：（1）拒絕未經授權的用戶訪問內部網和存取敏感數據。（2）可以強化網絡安全策略。（4）防止內部信息的外泄。因此在邏輯上防火墻是一個分離器、限制器、分析器。如表33 所示。圖 32 代理服務器原理示意代理服務技術工作在應用層,代理服務技術工作特點。入侵檢測技術是防火墻技術的有效補充，通過對計算機或計算機系統中的若干關鍵點收集信息并對其進行分析，從中發現網絡中或系統中潛在的違反安全策略的行為和被攻擊的跡象。模式匹配是將收集到的信息與已知的網絡入侵和系統誤用模式數據庫進行比較，從而發現違背安全策略的行為。 入侵檢測分類入侵檢測通過對入侵和攻擊行為的檢測，查出系統的入侵者或合法用戶對系統資源的濫用和誤用。首先建立系統或用戶的“正常”行為特征輪廓，通過比較當前的系統或用戶的行為是否偏離正常的行為特征輪廓來判斷是否發生了入侵。(2) 參考閾值的選定由于異常檢測是以正常的特征輪廓作為比較的參考基準，因此，參考閾值的選定是非常關鍵的。由于這幾個因素的制約，異常檢測的虛警率很高，但對于未知的入侵行為的檢測非常有效。首先，對已知的攻擊方法進行攻擊簽名(攻擊簽名是指用一種特定的方式來表示已知的攻擊模式)表示，然后根據已經定義好的攻擊簽名，通過判斷這些攻擊簽名是否出現來判斷入侵行為的發生與否。誤用檢測是根據攻擊簽名來判斷入侵的，根據對已知的攻擊方法的了解，用特定的模式語言來表示這種攻擊，使得攻擊簽名能夠準確地表示入侵行為及其所有可能的變種，同時又不會把非入侵行為包含進來。由于只需要收集相關的數據，這樣系統的負擔明顯減少。一個簡單的入侵檢測系統。最后由檢測判斷模塊根據一定的安全策略判斷入侵行為的發生并采取相應的反擊。不同的IDS之間也需要共享信息，協同檢測。代理分布于系統中的關鍵點及關鍵服務器，包括防火墻、對外提供各項服務的服務器、內部網關和服務器，完成絕大多數的入侵檢測和響應任務。可以看到，在一個由多代理組成的入侵檢測系統中，單個代理的失效只會影響到該代理和與之協作的部分代理，系統的其它部分仍能正常工作。目前，實現入侵檢測和防火墻之間的聯動有兩種方式可以實現，一種是實現緊密結合，即把入侵檢測系統嵌入到防火墻中，即入侵檢測系統的數據來源不再來源于抓包，而是流經防火墻的數據流。但是不容否認，各個安全產品的緊密結合是一種趨勢。 數據加密技術數據加密技術是網絡中最基本的安全技術，主要是通過對網絡中傳輸的信息進行數據加密來保障其安全性，這是一種主動安全防御策略，用很小的代價即可為信息提供相當大的安全保護。密鑰是一個數值，它和加密算法一起生成特別的密文。密碼算法是相對穩定的，在這種意義上，可以把密碼算法視為常量，而密鑰則是一個變量。通常加密算法為：C=Ek(M)。 在對稱密碼體系中，最為著名的是DES分組算法，DES將二進制序列明文分為每64位一組，使用64位的密鑰，對64位二進制數進行分組加密，每輪產生一個48位的“每輪”密鑰值，并參與下一輪的加密過程，經過16輪的迭代、乘積變換、壓縮等處理后產生64位密文數據。數字信封中采用了單鑰密碼體制和公鑰密碼體制。隨著計算機技術的發展尤其是網絡技術的普及，計算機病毒進入了一個新的階段網絡蠕蟲病毒暴發階段，2001至今，網絡蠕蟲已經成為網絡病毒的主流。（3）表現模塊：包括病毒觸發條件判斷和具體表現。（2）系統出現莫名其妙的死機或者重啟。除此以外，還可以用幾種專業手段來檢查：(1)比較法用原始備份與被檢測的引導扇區或被監測的文件進行比較，比較時可以靠打印的代碼清除。(4)人工智能陷阱技術和宏病毒陷阱技術 人工智能陷阱是一種監測計算機行為的常駐或掃描技術。它為用戶提供了在本地計算機上完成遠程主機工作的能力。要開始一個telnet會話，必須輸入用戶名和密碼來登錄服務器。如果將telnet的最大連接數設為0，這樣就可以讓一般的黑客豪無辦法，設置方法同上。另外為了防止黑客通過Guest賬號登錄計算機，可以在“組策略”中刪除Guest賬號。 “木馬”防范措施“木馬”的概述 特洛伊木馬是一種隱藏了具有攻擊性的應用程序。在“木馬”程序會想盡一切辦法隱藏自己，主要途徑有：在任務欄和任務管理器中隱藏自己，即將程序設為“系統服務”來偽裝自己，“木馬”會在每次服務端啟動時自動裝載到系統中，如：啟動組，,注冊表等。查看注冊表。 不斷地利用cpu的利用率，使計算機不能處理其他的進程，導致系統和網絡資源癱瘓。（4）利用郵件非法安裝木馬。Color[2]=”white”。If(x==2){x=0。i++)。具體方案