时间：2023-07-13 16:36:04
引言：易发表网凭借丰富的文秘实践，为您精心挑选了九篇网络安全主动防护范例。如需获取更多原创内容，可随时联系我们的客服老师。
关键词：主动防护；网络安全；网络欺骗；入侵防御
【中图分类号】 TP306 【文献标识码】 A 【文章编号】1671-8437（2012）02-0013-02
一、引言
网络信息安全保障是一项复杂的系统工程，是安全策略、多种技术、管理方法和人们安全素质的综合。现代的网络安全问题处于动态变化之中，要保障网络系统的安全，必须建立具有相应防御策略的网络安全防御体系。在综合型的网络安全防御模型中，多方位、多角度的纵深防御思想得到了充分体现，而主动防护系统在其中扮演了重要角色。
二、传统信息安全防护系统的弱点
传统信息安全防护方法，包括访问控制、防火墙、入侵检测系统（IDS）、虚拟专用网络（VPN）等，都是通过静态的规则阻挡攻击者，防御系统只能被动地接受攻击者的攻击，攻击者不会受到任何损失；而攻击者却完全主动地选择目标，通过系统信息收集和弱点挖掘，针对静态目标系统中最薄弱的环节强行攻击。这种情况下，传统防御系统恰处于“人为刀俎，我为鱼肉”的尴尬境地，其脆弱性一览无遗，导致近年来信息安全形势非但没有改善，反而日益恶化。
三、主动式网络安全防护系统
主动防护系统是一种综合性的网络安全防护体系，借鉴ISS的自适应网络安全模型P2DR和CISCO的网络动态安全轮模型，在传统网路安全防御技术的基础上建立。该系统应能实现：通过扫描网络漏洞，主动对网络可能遭受的威胁进行预先评估；用硬件NIDS主动、实时、高效地检测流经网络的数据包并及时响应；借助密罐，主动设置诱骗以保护网络上的机密信息。与传统防护系统相比，网络诱骗和主动式的入侵防御是主动防护系统中最具特点的两个重要环节。
四、网络诱骗系统
网络诱骗技术就是在网络中设计一个严格控制的欺骗环境，诱骗可疑入侵者重定向到该环境中，保护实际运行的系统，同时收集入侵信息，借以观察入侵者的行为，记录其活动，用以分析入侵者的水平、目的、所用工具、入侵手段等，待确定入侵者身份后，对其进行分别处理。同时在对可疑者进行分析的过程中，若网络服务质量急剧下降，则可通过特殊机制保持重要应用的网络服务质量。
1.网络诱骗系统的体系结构
网络诱骗系统由决策、诱导、欺骗、分析等模块组成，如图1所示。决策模块实时地监听各种事件，包括入侵检测系统的报警信号，普通网络访问事件等。决策模块将监听到的事件与欺骗、诱导信息库中的记录进行比较，若目的地址在被保护的范围内，则根据欺骗、诱导策略决定如何进行诱导或欺骗。诱导模块将攻击者的连接转向蜜罐系统，欺骗模块则由欺骗主机或欺骗网络生成虚假信息发送给攻击者，使其得不到正确的网络资料。系统所作的欺骗和诱导事件都记录到日志中，由分析模块进行分析，调整欺骗和诱导策略。
图1 网络诱骗系统的体系结构示意图
2.网络诱骗系统
网络欺骗系统有多种实现方式，目前得到实际应用的有欺骗主机和欺骗网络。欺骗主机有一个很好听的专用名称“蜜罐”（Honeypot），欺骗网络则被称为“陷阱”（Honeynet）。
（1）蜜罐系统
所谓蜜罐，主要是指建立一个虚拟的环境，上面装有模拟或真实的操作系统和应用程序，并故意留有各种弱点或漏洞，引诱黑客进行攻击，从而监视、学习并分析其攻击行为，进而提高自己系统或网络的安全系数。蜜罐工作于一种理想状态，即所有到蜜罐的通信都是允许的。蜜罐一般就是一台主机，通过在其中安装操作系统和相关配置，或运行一些仿真软件对硬件进行模拟建立多个虚拟操作系统，甚至模拟出一个小型网络，来实现其功能。
（2）陷阱网络
蜜罐物理上是一台单独的机器，可能会运行多个虚拟操作系统，但由于数据包是直接进入网络的，它不能控制外发的连接。因此，为了限制外发的数据包就必须使用防火墙，形成陷阱网络。陷阱网络有多个蜜罐主机、路由器、防火墙、IDS、审计系统等组成，一般需要实现蜜罐系统、数据控制系统、数据捕获系统、数据记录、数据分析、数据管理等功能。
五、主动式入侵防御系统
网络主动防护系统的特点不仅包括通过网络欺骗转移入侵者的攻击目标，更重要的是实现入侵追踪，以及在发现入侵后采取相应措施保护系统、分析入侵行为，甚至实施反击。而在网络欺骗系统中，入侵检测也是不可缺少的一个重要部分，它监听到的事件是欺骗决策模块的判断依据，它捕获的数据是入侵者留下的证据。下面将从入侵检测系统的不足之处谈起，对主动式网络防护系统中的入侵防御系统做一番窥视。
1.入侵检测系统（IDS）简析
入侵检测（ Intrusion Detection） ，是指从计算机网络系统中的若干关键点收集信息，并分析这些信息，发现网络中是否有违反安全策略的行为和遭到攻击的迹象。入侵检测概念的提出依赖于两个假设： ①用户和程序的活动是可以观察的。例如：系统审计机制。②正常活动和入侵活动有截然不同的行为。不正常的活动被标志为入侵。
2.入侵防御系统（IPS）
由于入侵检测系统存在误报率高，不能采取积极有效的主动防御措施等缺点，人们提出入侵防御系统（ Intrusion Prevention System， IPS）的解决方案。IPS是一种主动防御的解决方案，它可以阻止由防火墙漏掉的或IDS只能检测而不能处理的安全事件，减少因安全事件而受到的损失，增强系统和网络的性能。
入侵防御系统目前还没有一个统一完善的定义，有一种定义是：入侵防御系统（ IPS）为任何能够检测已知和未知攻击，并且在没有人为的干预下能够自动阻止攻击的硬件或软件设备，是一个能够对入侵进行检测和响应的“主动防御”系统。
关键词：主动防御；网络安全；攻击；防御
中图分类号：TP393.08文献标识码：A 文章编号：1009-3044(2010)20-5442-02
Design of Network Safety Attack and Defense Test Platform based on Active Defense
WANG Chao-yang
(5 Department 43 Team, Artillery Academy of the P.L.A, Hefei 230031, China)
Abstract: Now traditional passive defense technology will not reply the behavior of unceasing increase large-scale network attack. According to the characteristic and the advantage of active defense, the article has introduced a kind of design scheme test platform abort network safety attack and defense based on the technology of active defense, and the design and realization of system from the two pieces of experiment modular abort attack and defense.
Key words: active defense; network safety; attack; defense
目前，伴随着计算机网络的大量普及与发展，网络安全问题也日益严峻。而传统的、被动防御的网络安全防护技术也将越来越无法应对不断出现的新的攻击方法和手段，网络安全防护体系由被动防御转向主动防御是大势所趋。因此，立足现有网络设备进行攻防实验平台的设计和研究，对于未来网络安全防护技术的研究具有深远的指导意义。
1 系统功能设计概述
1.1 主动防御技术的概念
主动防御技术是一种新的对抗网络攻击的技术，也是当今网络安全领域新兴的一个热点技术。它源于英文“Pro-active Defense”，其确切的含义为“前摄性防御”，是指由于某些机制的存在，使攻击者无法完成对攻击目标的攻击。由于这些前摄性措施能够在无人干预的情况下预防安全事件，因此有了通常所说的“主动防御”[1]。网络安全主动防御技术能够弥补传统被动防御技术的不足，采用主机防御的思想和技术，增强和保证本地网络安全，及时发现正在进行的网络攻击，并以响应的应急机制预测和识别来自外部的未知攻击，采取各种应对防护策略阻止攻击者的各种攻击行为。
1.2 系统设计目标
目前关于主动防御的网络安全防御策略理论研究的较多，但是对于很多实际应用方面还缺乏实战的指导和经验。网络安全攻防实验平台主要依据主动防御技术体系为策略手段，针对现有网管软件存在的问题，进行主动防御技术体系优化，其核心在于在实验中实现系统的漏洞机理分析、安全性检测、攻击试验、安全应急响应和提供防御应对策略建议等功能，能够启发实验者认识和理解安全机理，发现安全隐患，并进行系统安全防护。
1.3 实验平台功能
基于主动防御的网络安全攻防实验平台是一个网络攻击与防御的模拟演示平台，在单机上模拟出基本的网络节点(设备)，然后在这个模拟的网络环境中演示出网络攻击与防御的基本原理和过程，并以可视化的结果呈现出来。该实验平台所仿真的机理和结果能够依据网络安全的需求，最终用于网络攻防测评和实战的双重目的。并可以为网络攻击和防护技能人才更好的学习提供一定的参考。为完整地体现网络战攻防的全过程，该平台分为攻击模块与防御模块两部分。
攻击模块部分包括主机端口的扫描、检测、Web/SMB攻击模块和IDS等。其主要功能是实现对于目标系统的检测、漏洞扫描、攻击和与防护端的通讯等[2]。
防御模块部分主要是基于主动防御技术的功能要求，实现检测、防护和响应三种功能机制。即能够检测到有无攻击行为并予以显示、给出陷阱欺骗可以利用的漏洞和提供防护应对策略等，如: 网络取证、网络对抗、补丁安装、系统备份、防护工具的选购和安装、响应等。
2 攻防实验平台模型设计
2.1 设计方案
要实现网络攻防的实验，就必须在局域网环境构建仿真的Internet环境，作为攻防实验的基础和实验环境。仿真的Internet环境能实现www服务、FTP、E-mail服务、在线交互通信和数据库引擎服务等基本功能。依据系统的功能需求分析，该平台要实现一个集检测、攻击、防护、提供防护应对策略方案等功能于一体的软件系统。主要是除了要实现基本的检测、攻击功能外，还必须通过向导程序引导用户认识网络攻防的机理流程，即:漏洞存在―漏洞检测（攻击模块）―攻击进行(攻击模块)―系统被破坏―补救措施（防御模块）―解决的策略方案（防御模块）[3]，以更好的达到实验效果。
平台整体采用C/S模式，攻击模块为客户端，防御模块为服务器端。攻击模块进行真实的扫描、入侵和渗透攻击，防御模块从一定程度上模拟并显示受到的扫描、攻击行为，其模拟的过程是动态的，让实验者看到系统攻击和被攻击的全部入侵过程，然后提供响应的防护应对策略。攻防实验平台模型如图1所示。
2.2 基于主动防御的网络安全体系
根据本实验平台设计的思想和策略原理，为实现主动防御的检测、防护和响应功能机制，构建基于主动防御技术的网络安全策略体系（如图2所示）。安全策略是网络安全体系的核心，防护是整个网络安全体系的前沿，防火墙被安置在局域网和Internet网络之间，可以监视并限制进出网络的数据包，并防范网络内外的非法访问[4-5]。主动防御技术和防火墙技术相结合，构建了一道网络安全的立体防线，在很大程度上确保了网络系统的安全，对于未来的网络安全防护具有深远的意义。检测和响应是网络安全体系主动防御的核心，主要由网络主机漏洞扫描（包括对密码破解）、Web/SMB攻击、IDS、网络取证、蜜罐技术等应急响应系统共同实现，包括异常检测、模式发现和漏洞发现。
2.3 攻防模块设计
该实验平台的攻击模块和防御模块利用C/S模式采用特定端口进行通讯。攻击端以动作消息的形式，把进行的每一个动作发往防御端，防御模块从数据库中调用相关数据进行模拟、仿真，让实验者看到和体会到自身系统受到的各种攻击。攻防模块经过TCP/IP建立连接后，开始进行扫描、检测、Web/SMB攻击和IDS等入侵行为，攻击端每一个消息的启动都会发给防御端一个标志位，防御模块经判断后，调用相关的显示和检测模块进行处理，并提供相应的防护应对策略。
3 平台的实现
3.1 主动防御思想的实现
在一个程序中，必须要通过接口调用操作系统所提供的功能函数来实现自己的功能。同样，在平台系统中，挂接程序的API函数，就可以知道程序的进程将有什么动作，对待那些对系统有威胁的动作该怎么处理等等。实验中，采取挂接系统程序进程的API函数，对主机进程的代码进行真实的扫描，如果发现有诸如SIDT、SGDT、自定位指令等，就让进程继续运行；接下来就对系统进程调用API的情况进行监视，如果发现系统在数据的传输时违反规则，则会提示用户进行有针对性的操作；如果发现一个诸如EXE的程序文件被进程以读写的方式打开，说明进程的线程可能想要感染PE文件，系统就会发出警告；如果进程调用了CreateRemoteThread()，则说明它可能是比较威胁的API木马进程，也会发出警告。
3.2 攻击程序模块实现
网络安全攻防实验平台的设计是基于面向对象的思想，采用动态连接库开发扫描、检测、攻击等功能模块。利用套接字变量进行TCP/IP通信，调用DLL隐式连接和显示连接，采用在DLL中封装对话框的形式，也就是把扫描、检测、攻击等功能和所需要的对话框同时封装到DLL中，然后主程序直接调用DLL[6]。实验中，可以在攻击程序模块中指定IP范围，并输入需要攻击的主机IP地址和相应的其他参数，对活动主机漏洞进行扫描和密码攻击（如图3所示）；并指定IP，对其进行Web/SMB攻击，然后输出攻击的结果和在攻击过程中产生的错误信息等。
3.3 防御程序模块实现
在程序的运行中，采取利用网络侦听机制监听攻击模块的每一次动作消息的形式，自动显示给用户所侦听到外部攻击行为（如图4所示：Web/SMB攻击）。该模块同样使用了WinSock类套接字进行通讯，在创建了套接字后，赋予套接字一个地址。攻击模块套接字和防御模块套接字通过建立TCP/IP连接进行数据的传输。然后防御模块根据接收到的标志信息，在数据库中检索对应的记录，进行结果显示、网络取证、向用户提供攻击的类型及防护方法等多种应对策略。其中的蜜罐响应模块能够及时获取攻击信息，对攻击行为进行深入的分析，对未知攻击进行动态识别，捕获未知攻击信息并反馈给防护系统，实现系统防护能力的动态提升。
4 结束语
基于主动防御的网络安全攻防实验平台主要是针对传统的被动式防御手段的不完善而提出的思想模型。从模型的构建、平台的模拟和实验的效果来看，其系统从一定程度上真实的模拟了网络设备的攻防功能，可以为网络管理者和学习者提供一定的参考和指导。
参考文献：
[1] 杨锐,羊兴.建立基于主动防御技术的网络安全体系[J].电脑科技,2008(5).
[2] 裴斐,郑秋生,等.网络攻防训练平台设计[J].中原工学院学报,2004(2).
[3]Stuart McClure, Joel Scambray, George Kurtz. 黑客大曝光―网络安全的机密与解决方案[ M].北京:清华大学出版社，2002
[4] 张常有.网络安全体系结构[M].成都:电子科技大学出版社,2006(15).
[5] 黄家林,张征帆.主动防御系统及应用研究[J].网络安全技术与应用,2007(3).
关键词 计算机网络；安全防护；关键技术
中图分类号：TP393 文献标识码：A 文章编号：1671-7597（2013）15-0065-01
计算机网络是现代数字信息传输与存储的主要通道之一，随着其在日常应用中的深入，基于网络的信息安全问题越来越多，针对网络信息的信息窃取与泄露事件时有发生，因此建立完善可用的计算机网络安全防护体系显得日趋重要。为提供高效可靠的安全防护性能，诸多安全防护技术被应用到计算机网络，如数据加密与签名认证、主动防御技术、网络访问控制技术、防火墙技术等。这些技术在某些方面具有良好的应用效果，但是存在一定的应用局限性。为提升计算机网络的适应性、动态性和灵活性，必须应用多种相互匹配的安全防护技术构成安全防护体系，为计算机网络提供足够的安全防护措施。
1 计算机网络安全防护体系
传统的计算机网络安全防护更多集中在网络运行过程的安全防护技术应用，但是随着网络攻击手段的演变与增加，传统的防火墙技术、数据加密技术、用户身份认证技术等安全防护手段已经无法满足应用需求，针对计算机网络的安全防护开始从被动防御向主动防御转变，由单独安全防护技术应用向网络安全防护体系建设发展。综合来看，计算机网络安全防护体系主要由三部分内容构成：网络安全评估部分、安全防护相关技术部分以及网络安全服务部分。每一部分中又包含若干具体的网络安全防护措施，他们共同作用向计算机网络提供安全防护服务。计算机网络的安全防护体系结构图如图1所示。
2 计算机网络安全防护体系中的关键技术
2.1 系统漏洞扫描
任何计算机网络中都不可避免的存在漏洞或缺陷，这些漏洞或缺陷一旦被恶意利用即有可能对计算机网络以及网络中的用户造成安全威胁。为解决和预防因漏洞所带来的安全问题，要定期对计算机网络进行漏洞扫描和漏洞修复。
2.2 网络访问与应用管理技术
为增强网络应用的规范性，同时提升网络安全问题发生后的追溯与分析能力，可以使用身份认证技术对网络用户进行身份认证，并为用户分配对应的网络操作权限。这一方面可以提升非法用户访问网络的难度，另一方面还可以对网络用户的异常操作行为进行记录与追踪。
2.3 防火墙技术
防火墙技术是一种内网与外网通信过程中的网络访问控制技术。该技术可以按照用户设定的安全防护策略对不同网络之间的信息传输与网络访问等行为进行监控与数据检查，以确认网络运行是否正常，数据通信是否被允许。目前常用的防火墙技术有包过滤防火墙、地址转换防火墙以及防火墙等三种。
其中，包过滤防火墙技术会对网络中传输的数据包进行地址审查，确认数据传输域发送地址是否可信任，若地址不可信则滤除该信息的接收与发送操作；地址转换防火墙技术可以将内网的IP地址转换为外网的IP地址，从而隐藏通信终端的真实地址，避免外网与内网终端之间建立直接通信连接；防火墙技术使用服务器技术将通信双方的通信数据进行接收与转发，使得客户端与网络服务器之间的数据通信需要经过两次通路才能够实现，这样便提升了内网的安全性。
2.4 入侵检测技术
入侵检测技术是一种主动防御技术，该技术可以应用多种相关技术制定与网络环境相匹配的安全规则，并利用该规则对从网络中获取的数据信息进行分析，进而对网络的运行状态进行监控，判断网络中是否存在安全威胁。入侵检测技术根据检测数据的类型可以分为异常检测与滥用监测两种。前者以用户的统计行为习惯作为特征参量来辨认网络中是否存在入侵行为，该技术是一种自适应技术，可用于对未知攻击行为进行检测与防御；后者则是以网络信息检测规则来判断是否存在入侵行为，由于该技术是基于规则而实现的，因而其主要用于对已知的攻击类型与攻击行为进行检测与防御。
2.5 数据加密与数字签名技术
数据加密技术主要用于防止数据在计算机网络传输过程中产生的信息泄露或窃取，其根据加密数据应用类型不同可以分为传输加密、存储加密以及完整性验证等三种。
在传输加密中，端加密技术可以将需要传输的明文数据信息转变为密文信息，该信息只有使用与之相匹配的解密算法和解密密钥才能够恢复成为正确的明文信息，线路加密技术可以对信息传输的路径进行加密，使数据的传输路径得到安全保护。
在存储加密中，数据加密算法可以将需要存储的信息转换为密文信息，该密文信息在需要存取时需要进行用户身份验证与权限审查，只有合法用户在其权限范围内才能够对数据进行相应的操作。
在数据完整性验证中，数据中包含了发件人、收件人以及数据相关内容的验证与鉴别信息，在验证数据完整性时需要数据使用对象按照相应的验证参数进行特征验证，确认信息是否完整或受到篡改。数字签名技术在数据完整性验证中具有非常重要的应用意义。
2.6 其他网络安全服务
为构成一个完整有效的网络安全服务体系，除了上述安全防护技术外，还应该在网络中提供应急保障服务，以确保出现安全问题时能够尽量减小问题所造成的影响，最短时间内将网络恢复到正常运行状态。这就要求一方面要建立和完善应急服务体系，如双系统待机等，保证一条网络出现问题时可以及时切换到备用网络；另一方面要建立和完善数据恢复体系，如服务器双热备份等，保证网络服务器出现数据损毁或缺失时能够存在备用数据库将其恢复。此外，科学规范的网络安全使用培训也是非常有必要的，其可以降低人为因素所带来的网络安全威胁。
参考文献
[1]彭珺，高珺.计算机网络信息安全及防护策略研究[J].计算机与数字工程，2011，39（1）.
1.1部署入侵网络检测系统入侵网络检测系统是通过对计算机网络或计算机系统的关键点信息进行收集与分析，从而发现是否有被攻击或违反安全策略的迹象，协助系统管理员进行安全管理或对系统所收到的攻击采取相应的对策。
1.2漏洞扫描系统的建立对服务器、工作站以及交换机等关键网络设备的检查其必须要采用当前最为先进的漏洞扫描系统，同时定期对上述关键网络设备进行检查，并对检测的报告进行分析，从而为网络的安全提供保障。
1.3培养网络安全人才网络安全人才的培养是一个很重要的问题。在我国，专门从事网络安全问题的部门、单位比较少，技术人员十分缺乏，并且网络人员以及网络管理人员网络安全意识比较淡薄，缺乏必备的安全知识。所以，我国急切需要培养大量的网络安全人才，并提高他们的网络安全意识和学习必备的安全知识。只有这样，我国才能在网络安全领域的研发、产业发展、人才培养等方面更快发展，缩小和国外的，是我国的网络更加的安全，国家更加的安全。
1.4大力发展自主性网络安全产业大力开发有自主知识产权的网络安全产品可以有效提高网络安全性能，是彻底摆脱进口设备的有效途径，自己掌握关键技术是大力发展自主性网络安全产业的关键。通过加大对网络安全技术网络安全技术研究开发与研究的投人，可以使网络安全技术水平得到进一步的提高。
2网络安全的发展趋势
随着我国当前网络技术的飞速发展，原来的采用单点叠加方式的网络防护手段已经不能抵御当前混合型的网络威胁。因此，构建考虑局部安全、智能安全和全局安全的一个安全体系，以此为广大的网络用户提供更为全方位和多层次的立体防护体系，是当前做好网络安全建设的一个重要的理念，同时也是网络安全未来发展趋势。
2.1网络安全技术的融合发展在网络普及率不断提高的情况下，网络所面临的威胁也日益加剧。传统的以单一防护的方式已经成为过去。因此，只有通过技术的融合，建立更加智能化、集中化的管理体系，成为未来网络安全的必然。未来网络的规模会越来越庞大和复杂，网络层的安全和畅通已经不能仅仅依靠传统的网络安全设备来保证，因此整体的安全解决方案开始融合以终端准入解决方案为代表的网络管理软件。终端准入解决方案为网络安全提供了有效保障，帮助用户实现了更加主动的安全防护，实现了更加高效、便捷地网络管理目标，全面推动了网络整体安全体系建设的进程。
2.2网络主动防御的发展网络主动防御的理念已经被提出来很多年了，但是和其他理论一样，在其发展的时候遇到了很多阻碍。所谓的网络主动防御，其实质就是通过对指定程序或者是线程方面的行为，并按照事先设定的规则，从而判断该行为是否是属于病毒或者是比较危险的程序，以此对其进行清除。通过主动防御可有效的提高系统整体的安全策略，并推进整个互联网络的智能化的建设。该产品在现阶段的发展中还不够成熟，但是未来随着技术的进步，该技术会更为完善，从而成为未来互联网的发展趋势。
3结语
【 关键词 】 “互联网+”时代；网络安全；管理策略；安全体系
On Network Security Policy Analysis and Management Strategy in the “Internet +” Era
Cai Wei
（China Nonferrous Mining Group Co.， Ltd Beijing 100029）
【 Abstract 】 This article expounds the basic connotation of network security and requirements in the "Internet +" era. analyzes the present situation of network security and the current main security threat， puts forward the construction of network security situational awareness， intrusion detection and emergency control system of the management of protective measures based on the monitoring and early warning， active defense， real-time response to the three basic strategies.
【 Keywords 】 “internet +” era； network security； management strategy； security system
1 引言
当今社会已经进入到了“互联网+”时代，网络安全与我们的生活息息相关，密不可分。网络信息安全对于国家、社会、企业、生活的各个领域以及个人都有十分重要的作用和意义。目前，在网络应用的深入和技术频繁升级的同时，非法访问、恶意攻击等安全威胁也在不断推陈出新。防火墙、VNP、IDS、防病毒、身份认证、数据加密、安全审计等安全防护和管理系统在互联网络中得到了广泛应用。随着大规模网络的部署和应用领域的迅速拓展，网络安全的重要性越来越受到人们的关注，但同时网络安全的脆弱性也引起了人们的重视，网络安全问题随时随地都有可能发生。近年来，国外一些组织曾多次对中国企业、政府等网站进行过大规模的网络攻击，网络安全已渗入到社会生活的各个方面，提高网络安全防护能力，研究网络安全管理策略是一项十分紧迫而有意义的课题。
2 “互联网+”时代网络安全
互联网本身在软硬件方面存在着“先天”的漏洞，“互联网+”时代的到来让这只大网的规模急剧扩大，尽管在网络安全防护方面采取了很多有效性措施，然而网络信息所具有的高无形价值、低复制成本、低传播成本和强时效性的特点造成了各种各样的安全隐患，安全成为了互联网络的重要属性。
2.1 内涵
“互联网+”是指依托互联网基础平台，利用移动互联网、 云计算、大数据技术等新一代信息技术与各行业的跨界融合，发挥互联网在生产要素配置中的优化和集成作用，实现产业转型、业务拓展和产品创新的新模式。互联网对其他行业的深入影响和渗透，正改变着人们的生成、生活方式，互联网+传统集市造就了淘宝，互联网+传统百货公司造就了京东，互联网+传统银行造就了支付宝，互联网+传统交通造就了快的、滴滴。随着“互联网+”时代的到来，迫切需要“网络安全+”的保护，否则，互联网发展的越快遭遇重大损失的风险越大，失去了安全，“互联网+”就会成为沙中之塔。在国家战略的推动下，互联网产业规模的成长空间还很巨大，网络安全，刻不容缓。
2.2 主要内容
“互联网+”不仅仅是互联网移动了、泛在了、与传统行业对接了，更加入了无所不在的计算、数据、知识，给网络安全带来了巨大的挑战和风险。网络安全泛指网络系统的硬件、软件及其系统上的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄漏，系统连续可靠正常地运行，网络服务不被中断。从内容上看，“互联网+时代”的网络安全大致包括四个方面：（1）网络实体安全主要是以网络机房的物理条件、物理环境及设施、计算机硬件、附属设备及网络传输线路的安装及配置等为主；（2）软件安全主要是保护网络系统不被非法侵入，系统软件与应用软件不被非法复制、篡改、不受病毒的侵害等；（3）数据安全主要是保护数据不被非法存取，确保其完整性、一致性、机密性等；（4）管理安全主要是网络运行过程中对突发事件的安全处理等，包括采取安全分析技术、建立安全管理制度、开展安全审计、进行风险分析等。
2.3 基本要求
网络安全包括五个基本要求：机密性、完整性、可用性、可控性与可审查性。（1）机密性是指保证网络信息不被非授权用户得到，即使得到也无法知晓信息内容，通过访问控制、加密变换等方式阻止非授权用户获知信息内容；（2）完整性是指网络在利用、传输、贮存等过程中不被篡改、丢失、缺损等，以及网络安全处理方法的正确性；（3）可用性是指网络中的各类资源在授权人需要的时候，可以立即获得；（4）可控性是指能够对网络系统实施安全监控，做到能够控制授权范围内的信息流向、传播及行为方式，控制网络资源的使用方式；（5）可审查性是指对出现的安全问题能够提供调查的依据和手段，使系统内发生的与安全有关的行为均有说明性记录可查。
3 “互联网+”时代网络安全分析
3.1 特征分析
近年来，无论是在军事还是在民用信息领域中都出现了一个趋势：以网络为中心，各行各业与互联网紧密相关，即进入了“互联网+”时代。各类组织、机构的行为对网络的依赖程度越来越大，以网络为中心的趋势导致了两个显著的特征：一是互联网络的重要性；二是互联网络的脆弱性。
网络的重要性体现在现代人类社会中的诸多要素对互联网络的依赖。就像人们离不开水、电、电话一样，人们也越来越离不开网络，而且越是发达的地区，对网络的依赖程度就越大。尤其是随着重要基础设施的高度信息化，直接影响国家利益及安全的许多关键基础设施已实现网络化，与此同时，这些社会的“命脉”和“核心”控制系统也面临着更大的威胁，一旦上述基础设施的网络系统遭受攻击而失灵，可能造成一个地区，甚至是一个国家社会功能的部分或者是完全瘫痪。
网络的脆弱性体现在这些重要的网络中，每时每刻都会面临恶意攻击、病毒传播、错误操作、随机失效等安全威胁，而且这些威胁所导致的损失，也随着人们对网络依赖程度的日益增高而变得越来越难以控制。互联网最初基本上是一个不设防的网络空间，其采用的TCP/IP、SNMP等协议的安全性很脆弱。它强调开放性和共享性，本身并不为用户提供高度的安全保护。互联网络系统的脆弱性，使其容易受到致命的攻击。事实上，目前我国与互联网相连的大部分网络管理中心都遭受过境内外黑客的攻击或入侵，其中银行、金融和证券机构是黑客攻击的重点。
3.2 现状分析
《2013年中国网民信息安全状况研究报告》指出：整体上，我国网络安全环境不容客观，手机短信安全、应用软件安全、计算机终端安全和各类服务器安全状况不尽人意。
从数量规模上看，中国已是网络大国，但从防护和管理能力上看，还不是网络强国，网络安全形势十分严峻复杂。2015年2月，中国互联网信息中心《第35次中国互联网络发展状况统计报告》显示，随着“互联网+”时代的到来，2014年中国网民规模6.49亿，手机网民数量5.57亿，网站总数3350000，国际出口带宽达4118G，中国大陆31个省、直辖市、自治区中网民数量超过千万规模的达25个。
从应用范围上，“互联网+”时代的到来使得庞大的网络群体带领中国进入了“低头阅读”时代，“微博客账号12 亿，微信日均发送160 亿条，QQ 日均发送60 亿条，新浪微博、腾讯微博日均发帖2.3 亿条，手机客户端日均启动20 亿次”的数据体现了中国网民的特征。
从网络安全发展趋势上看，网络规模急剧扩大，增加了网络安全漏洞的可能性；多个行业领域加入互联网，增加了网络安全控制的难度和风险；移动智能互联设备作为互联网的末端延伸，增加了网络攻击的新目标；互联网经济规模的跃升，增加了网络管理的复杂性。
3.3 威胁分析
互联网络安全威胁主要来自于几个方面：一是计算机网络系统遭受病毒感染和破坏。计算机网络病毒呈现出异常活跃的态势，我国约73%的计算机用户曾感染病毒，且病毒的破坏性较大；二是电脑黑客活动猖獗。网络系统具有致命的脆弱性、易受攻击性和开放性，我国95%与互联网相联的网络管理中心都遭受过境内外黑客的攻击或侵入；三是网络基础设施自身的缺陷。各类硬件设施本身存在漏洞和安全隐患，各类网络安全系统在预测、反应、防范和恢复能力方面存在许多薄弱环节。国内与网络有关的各类违法行为以每年30%的速度递增，来自于外部的黑客攻击、病毒入侵和基于多IP的恶意攻击持续不断。
从网络安全威胁对象上看，主要是应用软件、新型智能终端、移动互联设备、路由器和各类网站。2015年瑞星公司的《瑞星2014年中国信息安全报告》显示，新增病毒的总体数量依然呈上涨趋势，挂马网站及钓鱼网站屡禁不止。新增手机病毒上涨迅速，路由器安全、NFC支付安全、智能可穿戴设备等是当前网络安全最为薄弱的环节。
从网络安全状态上看，仅2014年，总体网民中有46.3%的网民遭遇过网络安全问题，在安全事件中，电脑或手机中病毒或木马、账号或密码被盗情况最为严重，分别达到26.7%和25.9%，在网上遭遇到消费欺诈比例为12.6%。2015年2月境内感染网络病毒的终端数为2210000，境内被篡改网站数量近10000个，3月电信网内遭受DDOS攻击流量近18000TB。2015年5月底短短几天，就有支付宝、网易、Uber等互联网龙头接连出现故障，这是海外黑客针对中国APT攻击的冰山一角。
从网络安全防护技术上看，一方面，安全问题层出不穷，技术日趋复杂。另一方面，安全问题的迅速发展和网络规模的迅速扩大，给安全解决方案带来极大的挑战，方案本身的研发周期和用户部署周期的影响，导致安全解决方案在处理实际问题时普遍存在强滞后性、弱通用性和弱有效性的特点。更为重要的是现有安全解决方案通常只能针对特定的安全问题，用户需要不断增加部署新的安全解决方案以应对网络安全的发展。
4 “互联网+”时代网络安全管理体系
安全是“互联网+”时展的核心问题，网络安全管理至关重要，在“互联网+”模式提出之后，如何守卫网络安全将成其发展的关键。“互联网+”时代更需要建立一个完整的网络安全防护体系，提高各网络设备、系统之间的协同性和关联性，使网络安全防护体系由静态到动态，由被动到主动，提高网络安全处置的自适应性和实时反应能力，增强入侵检测的阻断能力，从而达到全面系统安全管控的效果。
4.1 基于监测预警建立网络安全态势感知体系
在现有基础上，通过互联网安全态势评价指标，分级分层部料数据采集和感知分析系统，构建互联网安全态势感知体系。评价指标包括网络运行基础型指标，网络脆弱性指标、网络威胁指标三类。其中运行基础指标包括基础网络性能、基础网络流量和网络设备负载等；网络脆弱性指标包括关键网络设备性能指数、重要系统的状态参数、终端服务器运行状态等；网络威胁指标包括攻击事件、攻击类型、病毒传播速度、染毒终端数量等。为了有效地获取各类统计分析数据，需要在重要的节点和核心区域部署数据采集和感知分析系统，对网络中的应用终端、大型核心服务器等关键数据进行采集，如网络运行状态数据、病毒感染数据、骨干网络流量数据、服务器病毒攻击数据等，通过对采集数据的分析，形成分类、分级的网络安全态势，通过对数据的实时关联分析动态获取网络安全态势，构建一体联动的态势感知体系。
4.2 基于主动防御建立网络安全入侵检测体系
在现有入侵防御能力基础上，重点建设主动防御、网络蜜罐、流量清洗等系统，构建网络安全入侵检测体系。一是建设主动防御系统。利用启发式检测和入侵行为分析技术构建主动防御系统，部署于各类各级网络管理终端和核心服务器上，通过对未知网络威胁、病毒木马进行检测和查杀，主动检测系统漏洞和安全配置，形成上下联动、多级一体的安全防护能力。二是建设网络蜜罐系统。利用虚拟化和仿真等技术拓展和丰富网络蜜罐系统，实现攻击诱捕和蜜罐数据管理，在重要节点、网站和业务专网以上节点部署攻击诱捕系统，有针对性地设置虚假目标，诱骗实施方对其攻击，并记录详细的攻击行为、方法和访问目标等数据，通过对诱捕攻击数据分析，形成联动防御体系。三是建设流量清洗系统，包括流量监测和过滤分系统。在核心交换区域和网络管理中心部署流量检测分系统，及时发现网络中的攻击流量和恶意流量。在核心骨干节点部署流量过滤分系统，在网络攻击发生时，按照设置的过滤规则，自动过滤恶意攻击流量，确保正常的数据流量，从数据链路层阻止恶意攻击对网络的破坏。
4.3 基于实时响应建立网络安全应急管控体系
在现有应急响应机制基础上，通过进一步加强广域网络、系统设备和各类用户终端的控制，构建应急管控体系。一是加强多级、多类核心网络的控制。依托网络管理系统、流量监测系统以及流量清洗系统对骨干网络进行实时监控，实时掌控不同方向、不同区域、不同领域的网络流量分布情况、网络带宽占用情况，便于有效应对各类突况。二是加强网络安全事件的控制。特别是对影响网络运行的病毒传播扩散、恶意攻击导致网络瘫痪以及对各类网络的非法攻击等行为，要能在第一时间进行预警和处置。三是建立健全应急管控机制。对于不同类型的网络安全威胁，明确相关的职能部门及必要的防范措施，避免出现网络安全问题时“无人问津”的情况，确保网络安全处理的时效性。
5 结束语
时代赋予了互联网新的职能，互联网在给我们的生活带来便利的同时也威胁着人们的安全，必须着重研究和建立新的网络安全管理体制并制定相应的应对策略。网络安全策略不能停留在被动的封堵漏洞状态，也远远不是防毒软件和防火墙等安全产品的简单堆砌就能够解决的，网络安全需要形成一套主动防范、积极应对的可信、可控网络体系，从根本上提高网络与信息安全的监管、恢复和抗击、防护、响应等能力，对于个人、企业、社会甚至国家利益和安全都具有十分重要的现实意义。
参考文献
[1] 吴贺君.我国互联网安全现状及发展趋势[J].长春师范学院学报，2011（12）.
[2] 陈君.互联网信息安全的“中国设计”[J].今日中国（中文版），2014（06）.
[3] 周潜之.加强网络安全管理刻不容缓[N].光明日报，2014（01）.
[4] 罗佳妮.完善互联网信息安全保障机制的思考[J].新闻传播，2013（09）.
[5] 胡凌.网络安全、隐私与互联网的未来[J].中外法学，2012（02）.
[6] 中国互联网信息中心.2013年中国网民信息安全状况研究报告[R].2013（09）.
[7] 娜，刘鹏飞.2015中国互联网展望[J].新媒在线，2015（03）.
[8] 熊励，王国正.移动互联网安全，一道绕不过去的坎[J].社会观察，2014（05）.
[9] 喻国明.移动互联网时代的网络安全：趋势与对策[J].国明视点，2015（02）.
[10] 蔡志伟.融合网络行为监测与控制技术研究[D].理工大学硕士论文，2011（06）.
[11] 周鹏.大数据时代网络安全的防护[J].网络安全技术与应用，2015（04）.
【关键词】网络安全；IPS；构建；应用
【中图分类号】TP393.08
【文献标识码】A
【文章编号】1672—5158（2012）10-0102-01
1、建设背景
随着信息化建设的发展，网络越来越庞大，承载的应用系统也越来越复杂，随之而来的网络安全风险也日益突出。尤其混合威胁的风险，如蠕虫、病毒、木马、僵尸程序、DDoS攻击阻塞甚至中断网络，各类P2P应用轻易的占据100％的网络上行下行带宽，同时，随之而来的修复工作使IT管理人员被迫充当“消防队员”的角色，消耗了大量宝贵的人力资源；如何构建主动的网络安全防护系统，对网络进行流量控制及净化，实时了解网络运维情况，及时发现消除网络安全隐患，督促提高用户安全意识等问题，成为网络安全面临的最大挑战。
通常在谈到网络安全时，首先会想到“防火墙”，一般采用防火墙作为安全保障体系的第一道防线，防御黑客攻击。但是，随着攻击者知识的日趋成熟，攻击工具与手法的日趋复杂多样，单纯的防火墙已经无法满足安全需要，部署了防火墙的安全保障体系仍需要进一步完善。
2、部署情况
系统部署情况：在单位内网一外网出口及地州广域网出口处在线部署网络入侵保护系统。网络入侵保护系统具有防火墙功能提供边界控制、安全域划分，防护来自其他安全域的攻击；网络入侵保护系统可以实时拦截进出网络的数据流量中各种类型的恶意攻击流量，把攻击防御在受保护网络之外，实现内网访问控制细粒度管理，净化网络流量，保护内网的信息资产及网络性能。同时，考虑网络冗余，提高可用性，系统具有BYPASS功能，支持失效开放（Fail-open）机制，当出现软件故障、硬件故障、电源故障时，系统自动切换到直通状态以保障网络可用性，避免单点故障。
该系统具有4个100／1000M自适应以太网口，可用于2路IPS保护或1路IPS保护+2路IDS监听，这样外网广域网的出口都将得到有效的保护及监控，并且另外2个空闲网口目前可用于管理通讯。将来可通过升级证书而不用更新硬件，IPS升级为6口3路IPS保护以满足将来网络扩展。在线部署的IPS在链路上实时捕捉数据包，根据网络的自身特点设置合理有效的访问控制、流量管理、行为管理策略和入侵保护模式，进行入侵行为检测、分析和实时响应，自动阻断攻击，净化网络流量，消除安全隐患，使用一种产品就达到多重保护目的，大大地节约了投资，并切实有效地保护网络的安全。
同时，在安全管控中心服务器上安装网络入侵保护系统控制台程序，实现对IPS等安全系统的集中管理，该系统同时支持C／S和B／S模式，可以灵活方便的管理部署在内网中的网络入侵保护系统。系统支持“集中+分布式”部署管理IPS，保证了今后可在全省范围实现既可统一、又可分级管理的主动入侵防护系统，使系统具有可扩展性、可充分利用现有资源、可随需而变的灵活管理方式。
3、应用情况
通过部署网络入侵保护系统，本单位网络安全状况得到了显著的提高、网络性能得到明显改善、发现及加固了网络安全的薄弱环节、规范了用户上网行为、加强了用户安全意识，主动入侵防护系统达到了预期的应用效果。
3.1 在构建主动的网络安全防护系统方面
在部署初期，当时IPS系统平均每天可发现及阻断各种攻击事件655次／天。部署半年以后，通过IPS发现及整改了各种网络安全问题规范了网络行为，平均每天可发现及阻断各种攻击事件减少到60次／天。主动安全防护系统的成功构建使本单位网络攻击事件减少了10倍。
3.2 在对网络进行流量控制及净化方面
通过在IPS上设置阻断“蠕虫事件”“拒绝服务类攻击事件”策略，结合对每个IP限制“P2P类应用”分配100kbps带宽的限流策略，原来严重影响单位网络性能的攻击流量、P2P应用流量得到了有效的阻断及控制，净化了网络流量，保障了网络性能。
3.3 在辅助网络运维管理方面
通过IPS系统可实时了解当前网络的流量情况、协议构成、应用状况等，为网络运维提供参考及决策依据。
3.4 在及时发现消除网络安全隐患方面
IPS上线部署后立即发现了感染“震荡波”蠕虫病毒的客户端，为管理员定位了蠕虫病毒源；随后IPS又发现了感染“熊猫烧香”病毒的客户端；管理员依靠IPS阻断了蠕虫病毒的攻击及传播，保护了网络，依据IPS日志报警信息定位了染毒客户端，并进一步清除病毒修补客户端漏洞，消除了网络安全隐患。
根据IPS日志报警信息，发现了1台网络设备采用明文telnet方式管理并使用了弱口令，管理员及时整改，将设备登录管理方式配置为加密的SSH，配置了访问控制策略账号安全策略，并设置了强壮的口令，大幅提升了网络设备管理的安全性。
根据IPS日志报警信息还发现了，某网管平台管理部分网络设备时使用了SNMP默认的public口令，即相应的被管理网络设备存在“SNMP默认共同体串信息泄露漏洞”，管理员依据此信息定位了存在“SNMP默认共同体串信息泄露漏洞”的网络设备，并根据IPS知识库建议进行了整改，为所有采用SNMP管理的网络设备配置了强壮的口令，并严格限制了SNMP写权限，消除了网络安全隐患，提升了网络安全管理水平。
3.5 在督促提高用户安全意识方面
IPS系统还帮助管理员发现了用户的各种弱口令、空口令，管理员据此向相关用户提出了账号、口令安全建议，并对用户进行了安全培训，有效地督促用户提高安全意识，系统上线半年后本单位用户安全意识得到了明显提高，本网用户使用弱口令、空口令现象基本消除。
关键词：安全性 防护 技术 计算机 网络
中图分类号：TP393 文献标识码：A 文章编号：1007-9416（2013）10-0209-01
1 常见计算机网络安全防护技术分析
现阶段计算机网络安全防护技术按照其应用功能不同，可分为密码技术、入侵检测技术、防火墙技术和陷阱网络。密码技术是基于密码学的原理的密码体制或一对数据变换，其中对称密码体制（序列密码和分组密码），将明文消息按字符逐位加密分组，逐组加密。而加密技术本身也存在不足，一是加密信息可破解，二是密码泄露后，信息仍会被盗取。
防火墙技术是一种只允许符合安全策略的通信通过的防外不防内的网络安全防护技术，使用过滤路由器保护网络安全，具有过滤内部网络用户请求和数据包的功能，且工作时速度快、效率高，可提高网络范围内的反入侵技术成功率，有效隔离内部网络和外部网络。但防火墙技术还有一些缺点，不能彻底防止IP地址欺诈行为，且其正常数据包过滤路由器不能执行默写安全策略，不利于反黑客攻击；防火墙技术协议不完全适用于数据包过滤，也不支持应用层协议；不能实时更新以致于无法及时处理新安全威胁。
入侵检测技术是一门通过搜集和分析信息，提供实时的入侵检测，并采取相应手段抵御网络内部攻击的新型安全防范技术，主要功能是监测、统计、分析和跟踪管理网络用户、计算机终端及其连接系统的异常行为模式，审计和检查系统本身属性安全性，检查和评估系统和数据文件的完整性，记忆和识别分析已知的攻击行为模式，可弥补防火墙技术上的不足。入侵检测技术也有其局限性，如对于网络外部的攻击无法做到适时防御。
基于网络的开放性而设计的隐藏在防火墙后的陷阱网络系统主要包括能模拟常见漏洞或其它操作系统或“牢笼式”主机，诱骗入侵者进入受控环境，降低正常系统被攻击的概率。陷阱网路主要用来学习了解攻击者的思路、工具和目的，并为特定组织提供网络安全风险和脆弱性经验，发展事件响应能力。事实上陷阱网络，对于一些高端用户或黑客而言，容易识别，可能行之无效。
2 安全防护技术对计算机网络的影响
2.1 安全防护技术对计算机网络的有利影响
首先是防火墙技术通过应用级网关、地址转换、服务和数据包过滤等方式对流入或流出防火墙的信息进行检查和报警提示，有效的防火墙技术不仅可以避免重新编号，还能缓解IP地址紧张问题。
其次随着网络病毒的急速增加，其辨认难度也在逐步增加，扩散速度也逐步加快，防病毒技术和病毒查杀软件可将传统的被动防御形式，转化为主动防御模式，有效结合治理机制与技术手段逐步渗透到入口拦截、客户定制、反黑杀毒及全面优化等多个方面，加强了计算机网络相关防护水平和功能应用。
再次信息数据加密技术的发展，非对称密钥密码技术对非特定信息和数据进行加密，不仅保证了数据安全性、完整性，还通过访问控制、身份鉴别和版权保护等手段有效控制数据传输安全。
最后入侵的检测技术不仅能免受网络协议、加密或速率的影响，还能进行检测特定用户监视和特洛伊木马，保证网络系统安全。
2.2 安全防护技术对计算机网络的抵制作用
网络安全防护技术本身有着技术缺陷，如防火墙技术仅能预防和控制计算机内部网络攻击。而目前网络工程安全问题层出不穷，仍亟待解决如黑客攻击威胁、计算机病毒入侵、IP地址盗用、垃圾邮件泛滥和计算机系统风险等，这些网络安全问题并非一项技术能解决，而网络安全防护技术缺陷往往会助长这些问题的发展扩张趋势。计算机病毒本身具有复制性、破坏性和传染性，多是通过网络途径进行传播，也随着现有的防毒软件所存在的缺陷，不断地人为编造，变异发展，最后破坏计算机资源进，影响系统安全性。当然在计算机网络工程管理机构的体制不健全，岗位分工不明确，对密码及权限管理不足，也会使用户自身安全防护意识薄弱，导致严重信息系统风险，威胁计算机网络安全。
3 加强网络工程中安全防护技术的策略
3.1 设置防火墙过滤信息
在局域网与外部网络间架设网络防火墙过滤信息是防治黑客攻击最直接的办法，也是加强网络工程中安全防护技术的关键。在将局域网、外部网地址分割开后，流入、流出计算机的网络通信、信息经防火墙的过滤掉威胁和攻击，禁止特殊站点访问和特定端口流出通信，封锁特洛伊木马，以增加内部网络的安全性。
3.2 加强病毒的防护措施
首先要增强网民的病毒防护意识，熟悉常见的杀毒软件（如360安全卫士）和防病毒卡的使用，紧密结合技术手段和管理机制，定期检测与查杀计算病毒，还要做好备份措施，防止系统数据的破坏和丢失。
3.3 入侵检测技术的植入
入侵检测系统作为一种对计算机网络资源及信息中隐藏或包含的恶意攻击行为有效的识别，拦截和响应入侵的主动性较强的安全防护技术，可实时防护错误操作、内部或外部攻击，并能够从网络安全的立体纵深、多层次防御的角度出发提供安全服务，有效的降低网络的威胁和破坏。
3.4 拒绝垃圾邮件的收取
未经用户许可批量强行发送至用户邮箱的垃圾邮件已成为如今的计算机网络安全的公害。拒绝垃圾邮件的收取的第一步是邮件地址的自我保护，控制邮箱地址使用率和安全使用率；或使用out-look Ex Press和Fax mail中的邮件管理来过滤、拒收垃圾文件。
总之，计算机网络的安全运行得益于安全防护技术的综合有效地应用，单一的安全防护技术是无法保证网络安全的，所以为了保证计算机网络安全正常地运行，网络用户或计算机终端用户应充分考虑计算机整个系统的安全要求，有效地在计算机上设置安全防护软件，结合预防措施做好日常维护。
4 结语
安全性防护技术是一把双刃剑，只有充分了解其应用功能、使用缺陷，有效地综合利用它们，才能有效促进计算机网络的安全健康的运行和发展。
参考文献
[1]刘钊.对计算机网络信息安全及防护的相关研究[J].信息与电脑，2013（04）：76-76.
【关键词】安全缺陷 TCP/IP终端安全多级备份 入侵检测 加密 解密
近年来‘1.21 DNS事件’和‘棱镜门事件’等网络安全事件层出不穷，使得网络安全监控管理理论和机制的研究受到高度的重视，而各类网络安全技术的创新已是网络安全研究的主导方向。但是，网络安全体系一定要以网为本，从网络系统的角度重新设计网络的安全体系。下面就对网络安全技术应用的综合性及系统性进行剖析。
一、网络面临的安全问题
网络环境下的信息和数据面临诸多风险，即使是在使用了现有的安全机制情况下，由于每一种安全机制都有一定的应用范围和应用环境，网络的安全仍然存在很大隐患，这些安全隐患主要可以归结为以下几点：
（一）网络的自身的安全缺陷是导致网络安全问题的根本原因。
TCP/IP协议是网络中使用的基本通信协议，设计之初没有充分考虑安全威胁，许多的网络协议和应用没有提供必要的安全服务。确切的说，TCP/IP除了最常用的TCP和IP协议外，还包含许多工具性协议、管理协议及应用协议。TCP/IP协议共分为应用层、传输层、网际层、网络接口层。其中，应用层向用户提供访问Internet的TELNET、FTP、DNS等一些高层协议。传输层提供应用程序端到端通信服务的TCP和UDP协议。网际层负责相邻主机之间的通信的IP和ICMP等协议。网络接口层主要负责数据帧的发送和接收。而这些协议基本上都存安全设计缺陷或漏洞。
（二）网络系统的维护和管理方面的困难性也是网络安全问题主要原因。
木桶理论：传统理论描述的是一个木桶其价值在于盛水量的多少，但决定盛水量的关键是最短的木板。新理论认为，木桶的长久盛水量，取决于各木板之间配合的紧密性。相对于传统理论，新理论更强调系统中各个部件之间的关联。
根据权威部门统计，超过80%的网络安全问题源于用户终端，业界也推出了大量的软硬件安全产品。但这些产品并没有真正解决终端安全问题，究其原因是它们只着眼于自己的领域，相互没有配合。
（三）用户的安全和防范意识薄弱是造成网络安全问题的最重要原因。
二、网络安全的防护
现阶段为了解决网络环境下所面临的安全问题，必须强化网络安全意识，创新网络安全策略，积极落实安全防范措施。但由于网络安全威胁的多样性和复杂性，从而导致了对网络安全防护的综合性和系统性。
（一）针对以上三大隐患我们需要进行有针对性的防范：
1.网络自身的安全缺陷导致的网络安全问题
对于网络自身的安全问题是不可避免，长期存在的。由于网络和相关软件越来越复杂，安全漏洞也会越来越多，这些漏洞往往成为网络攻击的重要目标或渠道。因此我们在与相应的软件硬件厂商保持实时信息交流的同时，时刻关注网络安全的最新消息，有针对性地更新解决方案和应用策略。
2.网络维护和管理方面的困难性导致的网络安全问题
网络安全需要网络管理者和建设者主动思考，通过安全联动技术将整个网络系统中的各类资源进行整合，这样才能真正实现全面防护、统一管理、降低成本、强制安全等目标。
3.用户安全和防范意识薄弱造成的网络安全问题
首先要通过管理制度和普及相应的法律法规来全面的提升用户的安全和防范意识，使用户主动做好终端的管理和防护；其次，需要抓住网络准入这一关键点来管理终端，确保终端安全制度严格实施。同时融入其它的安全和管理技术，建立主动防御的安全体系，并在实践中不断完善。
（二）网络安全防护还需通过以下方式手段进行完善：
1.部署防火墙
防火墙的基本功能是对网络进行访问控制。绝大部分的防火墙都是放置在可信任网络（内部网）和不可信任网络（Internet）之间。在实际的应用中可结合实际需求情况进行部署。
2.在网络内部和日常管理过程中建立多级备份机制
数据和信息安全工作是网络安全的重中之重。对于重要数据资料采取必要的容灾备份机制，以保证不丢失或被破坏，即使遭到破坏在最短时间内可以恢复。
3.加强对恶意代码程序的防护
在网络预防方面：由于现有的防控软件和硬件大多数都属于被动的防治，因此对于恶意代码程序的防护应该通过管理和制度上从根本进行预防。
在终端预防方面：由于恶意代码程序都是基于软件运行的。对其防治在于完善软件的安全机制。因此我们首先要严格管理制度，对网络中的终端使用行为和各类软件从严进行管理与检测。
①加强系统中软硬件的漏洞检测和更新
就目前网络系统的安全状况而言，系统中的软件和硬件都可能存在漏洞。因此必需与设备厂商建立长久的更新预防机制。
②采用加解密技术
网络是一个开放式系统，加密和解密技术不能公应用于email等应用，对于其它的网络通信也很重要。
③部署入侵检测系统
入侵检测系统可以检查网络或系统中是否存在违反即定安全策略的行为和被攻击的迹象，通过采取相应的联动手段达到限制这些活动，以保护网络和信息系统的安全。
三、结束语
网络安全技术的应用是一个综合性的课题，涉及到技术、管理、使用等诸多方面，既包含信息系统本身的安全问题，也有物理和逻辑的技术措施，需要通过精心调研网络信息系统的安全需求，确定切实可行的网络信息安全解决方案。只有通过在建设和应用过程中不断地分析问题、不断地创新解决方案，同时严格的执行相关的管理制度和操作规程、明确清晰的制定安全策略，以及建立高素质的网络管理人才队伍。才能完好、实时地保证信息的安全性、完整性和准确性，为网络信息提供最大化的安全服务。
参考文献：
[1]杭州华三通信技术有限公司.新一代网络建设理论与实践[M].电子工业出版社，2001.
.DOCX
【珍惜当下，不负遇见】
（本文档共
【
3
】页/【
1010
】字）
单位
姓名
20XX年X月
教育信息安全与防护培训心得体会
——单位
姓名
20XX年X月
20XX年X月，我通过国培智慧云平台学习了《教育信息安全与防护》系列课程，课程有《教育信息安全管理与防护-教育现代化与教育信息化》《中小学教师网络信息安全防护案例分析-网络信息安全防护案例》《常用信息安全防护技术与实践-教育网络安全分析》等。通过聆听专家的精彩讲解，我感触颇深。
维护教育信息安全，是每个教育工作者的责任。和平年代网络信息安全关乎国家与人民的利益，如何为网络筑起一道“安全门”。需要人民群众上下一心主动投身到网络安全事业中去，全心全意为国家网络安全拉起一道“防火墙”。
互联网虽然是虚拟的，但使用互联网的人都在现实中。鉴于网络安全的形式日益严峻，对付网络安全要有非常行之有效的方式，就是让社会上的每一个分子都成为参与者，都能积极贡献自己的一份力量。
通过学习教育信息安全与防护，使我更加深刻的理解网络信息安全的重要性。网络信息安全是保护个人信息的完整性和保密性的重要条件，只有明白了网络信息安全的基础知识，我们才能更加的了解网络信息安全在如今信息化时代的重要性!
