随着信息技术的迅猛发展和广泛应用，社会信息化进程不断加快，信息网络的基础性、全局性作用日益增强。社会对信息化的依赖性也越来越强，信息网络的安全问题愈加重要。各级信息网络运营和管理部门对信息网络安全问题十分重视，通过加强信息网络安全建设和管理，不断提升信息网络安全防护能力，努力减少信息网络风险和损失。

　　信息网络安全涉及方方面面，需要社会各界的共同参与和努力。公安机关承担着维护信息网络安全、打击网络违法犯罪活动的重要职责，得到了社会各界的支持和帮助。为了解和掌握当前我国信息网络安全现状和计算机病毒疫情情况，公安部公共信息网络安全监察局和中国计算机学会计算机安全专业委员会在全国组织开展2004年度信息网络安全和计算机病毒疫情调查活动。

　　为了配合这次调查活动的开展，我们专门编辑了这本《信息网络安全知识读本》，共分为信息网络安全管理、安全技术与安全专用产品、计算机病毒防治、网络攻击防范、Windows操作系统安全和UNIX操作系统安全六个部分，就信息网络安全有关知识做了介绍，供从事信息网络安全管理和技术维护人员参考。在附录部分刊登了公安部计算机信息系统安全专用产品目录，供查阅。

　　在此感谢公安部信息通信局、珠海金山软件股份有限公司、北京瑞星科技股份有限公司、北京江民新科技有限公司、广州天海威数码技术有限公司、上海复旦光华信息发展有限公司在手册编撰中给予的支持。因编辑时间仓促，书中内容不对之处望指正。

　　计算机信息系统是指由计算机及其相关和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输和检索等处理的人机系统。信息网络和计算机信息系统是不同发展阶段对计算机信息系统的具体称谓，在90年代中期之前所称计算机信息系统，是以大型计算机为核心，通过网络将许多个人计算机联在一起形成的计算机信息系统；90年代末期以来所称的信息网络，则以高速通信网络为纽带，将许多计算机信息系统联在一起形成信息网络。

　　信息网络安全是指防止信息网络本身及其采集、加工、存储、传输的信息数据被故意或偶然的非授权泄露、更改、破坏或使信息被非法辨认、控制，即保障信息的可用性、机密性、完整性、可控性、不可抵赖性。

　　信息网络面临的威胁主要来自：电磁泄露、雷击等环境安全构成的威胁，软硬件故障和工作人员误操作等人为或偶然事故构成的威胁，利用计算机实施盗窃、诈骗等违法犯罪活动的威胁，网络攻击和计算机病毒构成的威胁，以及信息战的威胁等。

　　信息网络自身的脆弱性主要包括：在信息输入、处理、传输、存储、输出过程中存在的信息容易被篡改、伪造、破坏、窃取、泄漏等不安全因素；在信息网络自身在操作系统、数据库以及通信协议等存在安全漏洞和隐蔽信道等不安全因素；在其他方面如磁盘高密度存储受到损坏造成大量信息的丢失，存储介质中的残留信息泄密，计算机设备工作时产生的辐射电磁波造成的信息泄密。

　　信息网络运行部门的安全管理工作应首先研究确定信息网络安全策略，安全策略确定网络安全保护工作的目标和对象。信息网络安全策略涵盖面很多，如总体安全策略、网络安全策略、应用系统安全策略、部门安全策略、设备安全策略等。一个信息网络的总体安全策略，可以概括为“实体可信，行为可控，资源可管，事件可查，运行可靠”，总体安全策略为其它安全策略的制定提供总的依据。

　　实体可信：实体指构成信息网络的基本要素，主要有网络基础设备、软件系统、用户和数据。保证构建网络的基础设备和软件系统安全可信，没有预留后门或逻辑炸弹。保证接入网络的用户是可信的，防止恶意用户对系统的攻击破坏。保证在网络上传输、处理、存储的数据是可信的，防止搭线窃听，非授权访问或恶意篡改。

　　行为可控：保证用户行为可控，即保证本地计算机的各种软硬件资源(例如：内存、中断、I／O端口、硬盘等硬件设备，文件、目录、进程、系统调用等软件资源)不被非授权使用或被用于危害本系统或其它系统的安全。保证网络接入可控，即保证用户接入网络应严格受控，用户上网必须得到申请登记并许可。保证网络行为可控，即保证网络上的通信行为受到监视和控制，防止滥用资源、非法外联、网络攻击、非法访问和传播有害信息等恶意事件的发生。

　　资源可管：保证对路由器、交换机、服务器、邮件系统、目录系统、数据库、域名系统、安全设备、密码设备、密钥参数、交换机端口、IP地址、用户账号、服务端口等网络资源进行统一管理。

　　事件可查：保证对网络上的各类违规事件进行监控记录，确保日志记录的完整性，为安全事件稽查、取证提供依据。

　　运行可靠：保证网络节点在发生自然灾难或遭到硬摧毁时仍能不间断运行，具有容灾抗毁和备份恢复能力。保证能够有效防范病毒和黑客的攻击所引起的网络拥塞、系统崩溃和数据丢失，并具有较强的应急响应和灾难恢复能力。

　　信息网络安全管理包括管理组织机构、管理制度和管理技术三个方面，要通过组建完整的信息网络安全管理组织机构，设置安全管理人员，制定严格的安全管理制度，利用先进的安全管理技术对整个信息网络进行管理。

　　信息网络安全保护涉及人员、技术和法规三个方面，因此，信息网络安全防护体系从总体上可分为三大部分。即技术防护体系、组织管理体系和法规标准体系，它们以信息网络的总体安全策略为核心，共同保护信息网络安全运行。

　　信息安全管理坚持“谁主管谁负责，谁运行谁负责”的原则。信息安全管理组织的主要职责是：制定工作人员守则、安全操作规范和管理制度，经主管领导批准后监督执行；组织进行信息网络建设和运行安全检测检查，掌握详细的安全资料，研究制定安全对策和措施；负责信息网络的日常安全管理工作；定期总结安全工作，并接受公安机关公共信息网络安全监察部门的工作指导。

　　信息网络安全管理的主要内容：有主要领导负责的逐级安全保护管理责任制，配备专职或兼职的安全员，各级职责划分明确，并有效开展工作；明确运行和使用部门或岗位责任制，建立安全管理规章制度；在职工群众中普及安全知识，对重点岗位职工进行专门培训和考核；采取必要的安全技术措施；对安全保护工作有档案记录和应急计划；定期进行安全检测和风险分析和安全隐患整改；实行信息安全等级保护制度。

　　信息网络安全管理工作要坚持从实际出发、保障重点的原则，区分不同情况，分级、分类、分阶段进行信息网络安全建设和管理。按照《计算机信息系统安全保护等级划分准则》规定的规定，我国实行五级信息安全等级保护。

　　第一级：用户自主保护级；由用户来决定如何对资源进行保护，以及采用何种方式进行保护。

　　第二级：系统审计保护级；本级的安全保护机制支持用户具有更强的自主保护能力。特别是具有访问审记能力，即它能创建、维护受保护对象的访问审计跟踪记录，记录与系统安全相关事件发生的日期、时间、用户和事件类型等信息，所有和安全相关的操作都能够被记录下来，以便当系统发生安全问题时，可以根据审记记录，分析追查事故责任人。

　　第三级：安全标记保护级；具有第二级系统审计保护级的所有功能，并对访问者及其访问对象实施强制访问控制。通过对访问者和访问对象指定不同安全标记，限制访问者的权限。

　　第四级：结构化保护级；将前三级的安全保护能力扩展到所有访问者和访问对象，支持形式化的安全保护策略。其本身构造也是结构化的，以使之具有相当的抗渗透能力。本级的安全保护机制能够使信息系统实施一种系统化的安全保护。

　　第五级：访问验证保护级；具备第四级的所有功能，还具有仲裁访问者能否访问某些对象的能力。为此，本级的安全保护机制不能被攻击、被篡改的，具有极强的抗渗透能力。

　　计算机信息系统安全等级保护标准体系包括：信息系统安全保护等级划分标准、等级设备标准、等级建设标准、等级管理标准等，是实行等级保护制度的重要基础。

　　信息网络安全事件的具体含义会随着“角度”的变化而变化，比如：从用户（个人、企业等）的角度来说，个人隐私或商业利益的信息在网络上传输时受到侵犯，其他人或竞争对手利用窃听、冒充、篡改、抵赖等手段侵犯用户的利益和隐私，破坏信息的机密性、完整性和真实性。从网络运行和管理者角度说，安全事件是对本地网络信息的访问、读写等操作，出现“陷门”、病毒、非法存取、拒绝服务和网络资源非法占用和非法控制等威胁，或遭受网络黑客的攻击。对保密部门来说，则是国家机要信息泄露，对社会产生危害，对国家造成巨大损失。从社会教育和意识形态角度来讲，被利用在网络上传播不健康的内容，对社会的稳定和人类的发展造成阻碍等都是安全事件。对于网络运行和管理来说，网络攻击和计算机病毒传播等安全事件的响应处置包括6个阶段：1、准备阶段，基于威胁建立一组合理的防范、控制措施，建立一组尽可能高效的事件处理程序，获得处理问题必须的资源和人员，最终建立应急响应体系。2、检测阶段，进行技术检测，获取完整系统备份，进行系统审计，分析异常现象，评估事件范围，报告事件。3、控制阶段，制定可能的控制策略，拟定详细的控制措施实施计划，对控制措施进行评估和选择，记录控制措施的执行，继续报告。4、根除阶段，查找出事件根源并根除之，确认备份系统的安全，记录和报告。5、恢复阶段，根据事件情况，从保存完好的介质上恢复系统可靠性高，一次完整的恢复应修改所有用户口令。数据恢复应十分小心，可以从最新的完整备份或从容错系统硬件中恢复数据，记录和报告。6、追踪阶段，非常关键，其目标是回顾并整合发生事件信息，对事件进行一次事后分析，为下一步进行的民事或刑事的法律活动提高有用的信息。

　　购买了各种各样的安全产品，就能够确保我们信息网络真正安全吗？回答是否定的！在信息网络安全建设中，专业信息网络安全服务，利用科学的安全体系框架和方法论，建立全面、有层次的安全管理体系，是保障信息网络安全的基本保证。信息网络安全防范产品与安全服务相辅相成，二者不可或缺，各项服务措施相互联系，承上启下，成熟的安全服务体系在安全服务进行中起到重要的指导作用，可以有条不紊地为用户作好每一件工作。信息网络安全服务的内容包括:安全咨询、安全系统规划、安全策略制定、安全系统集成、安全产品配置、安全培训、应急安全服务。上述各种安全服务都是相辅相成的。

　　《中华人民共和国计算机信息系统安全保护条例》第十七条规定，公安机关对计算机信息系统安全保护工作行使下列监督职权：监督、检查、指导计算机信息系统安全保护工作；查处危害计算机信息系统安全的违法犯罪案件；履行计算机信息系统安全保护工作的其他监督职责。

　　防范入侵的前线是口令系统。口令用于验证登录用户的身份标识。应当建立用户帐号管理，设置对文件、目录、打印机和其他资源的访问权限，加强口令管理（如设置生效期等）和检查，避免使用公共帐号，教育用户保管好口令并避免使用过于简单的口令。保护口令的一种方法是口令加密，就是为一进步防止口令泄露，口令在系统中保存时，以加密的形式存放。阻止口令攻击的另一种方法是拒绝入侵者访问口令文件，如果只有一个特权用户能够访问口令文件的加密部分，那么入侵者如果不知道该用户的口令，就无法读取它。二、系统后门和安全补丁

　　后门是一种可以绕过安全性控制而获得对程序或系统访问权的隐蔽程序或方法。在软件的开发阶段，程序员常会在软件内创建后门以便修改程序。如果后门被其他人知道，或是在发布软件之前没有删除后门，那么就可能被利用来建立隐蔽通道，甚至植入隐蔽的恶意程序，达到非法访问或窃取、篡改、伪造、破坏数据等目的。现在后门多指系统被入侵后被安装的具有控制系统权限的程序，通过它黑客可以远程控制系统。

　　漏洞是软件在开发的过程中没有考虑到的某些缺陷，也叫软件的bug。操作系统和应用软件都是存在安全漏洞的，这些漏洞不断地被发现。安全补丁是软件开发厂商为堵塞安全漏洞，提高软件的安全性和稳定性，开发的与原软件结合或对原软件升级的程序。因此，要定期从厂商处获取并安装最新的补丁程序，避免从非正规望站下载未知的补丁程序而被欺骗。

　　身份认证技术主要包括数字签名、身份验证和数字证明。数字签名又称电子加密，可以区分真实数据与伪造、被篡改过的数据。这对于网络数据传输，特别是电子商务是极其重要的，一般要采用一种称为摘要的技术，摘要技术主要是采用HASH函数（HASH(哈希)函数提供了这样一种计算过程：输入一个长度不固定的字符串，返回一串定长度的字符串，又称HASH值）将一段长的报文通过函数变换，转换为一段定长的报文，即摘要。身份识别是指用户向系统出示自己身份证明的过程，主要使用约定口令、智能卡和用户指纹、视网膜和声音等生理特征。数字证明机制提供利用公开密钥进行验证的方法。

　　传统上认为，防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它通过允许、拒绝或重新定向经过防火墙的数据流，防止不希望的、未授权的通信，并对进、出内部网络的服务和访问进行审计和控制，本身具有较强的抗攻击能力，对网络用户基本上是“透明”的，并且只有授权的管理员方可对防火墙进行管理。目前，市场上有六种基本类型的防火墙，分别是嵌入式防火墙、基于企业软件的防火墙、基于企业硬件的防火墙、ＳＯＨＯ软件防火墙、ＳＯＨＯ硬件防火墙和特殊防火墙。

　　嵌入式防火墙：就是内嵌于路由器或交换机的防火墙。嵌入式防火墙是某些路由器的标准配置。用户也可以购买防火墙模块，安装到已有的路由器或交换机中。嵌入式防火墙也被称为阻塞点防火墙。由于互联网使用的协议多种多样，所以不是所有的网络服务都能得到嵌入式防火墙的有效处理。嵌入式防火墙工作于ＩＰ层，无法保护网络免受病毒、蠕虫和特洛伊木马程序等来自应用层的威胁。就本质而言，嵌入式防火墙常常是无监控状态的，它在传递信息包时并不考虑以前的连接状态。

　　基于软件的防火墙：是能够安装在操作系统和硬件平台上的防火墙软件包。如果用户的服务器装有企业级操作系统，购买基于软件的防火墙则是合理的选择。如果用户是一家小企业，并且想把防火墙与应用服务器（如网站服务器）结合起来，添加一个基于软件的防火墙就是合理之举。

　　基于硬件的防火墙：捆绑在“交钥匙”系统（Ｔｕｒｎｋｅｙｓｙｓｔｅｍ）内，是一个已经装有软件的硬件设备。基于硬件的防火墙也分为家庭办公型和企业型两种款式。特殊防火墙：是侧重于某一应用的防火墙产品。目前，市场上有一类防火墙是专门为过滤内容而设计的，ＭａｉｌＭａｒｓｈａｌ和ＷｅｂＭａｒｓｈａｌ就是侧重于消息发送与内容过滤的特殊防火墙。ＯＫＥＮＡ的ＳｔｏｒｍＷａｔｃｈ虽然没有标明是防火墙，但也具有防火墙类规则和应用防范禁闭功能。

　　入侵检测系统（IDS，IntrusionDetectionSystem）是通过对计算机网络或计算机系统中的若干关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测系统执行的主要任务包括：监视、分析用户及系统活动；审计系统构造和弱点；识别、反映已知进攻的活动模式，向相关人士报警；统计分析异常行为模式；评估重要系统和数据文件的完整性；审计、跟踪管理操作系统，识别用户违反安全策略的行为。入侵检测系统可以弥补防火墙的不足，为网络安全提供实时的入侵检测并采取相应的防护手段，如记录证据、跟踪入侵、恢复或断开网络连接等。

　　通常，入侵检测系统按其输入数据的来源分为三种：基于主机的入侵检测系统，其输入数据来源于系统的审计日志，一般只能检测该主机上发生的入侵；基于网络的入侵检测系统，其输入数据来源于网络的信息流，能够检测该网段上发生的网络入侵；分布式入侵检测系统，能够同时分析来自主机系统审计日志和网络数据流的入侵检测系统，系统由多个部件组成，采用分布式结构。

　　漏洞扫描器是一种自动检测远程或本地主机安全性弱点的程序。通过使用漏洞扫描器，系统管理员能够发现所维护的Web服务器的各种TCP端口的分配、提供的服务、Web服务软件版本和这些服务及软件呈现在Internet上的安全漏洞。从而在计算机网络系统安全保卫战中做到“有的放矢”，及时修补漏洞，构筑坚固的安全长城。

　　常规标准，可以将漏洞扫描器分为两种类型：主机漏洞扫描器（HostScanner）和网络漏洞扫描器（NetworkScanner）。网络漏洞扫描器是指基于Internet远程检测目标网络和主机系统漏洞的程序，如提供网络服务、后门程序、密码破解和阻断服务等的扫描测试。主机漏洞扫描器是指针对操作系统内部进行的扫描，如Unix、NT、Liunx系统日志文件分析，可以弥补网络型安全漏洞扫描器只从外面通过网络检查系统安全的不足。一般采用Client/Server的架构，其会有一个统一控管的主控台(Console)和分布于各重要操作系统的Agents，然后由Console端下达命令给Agents进行扫描，各Agents再回报给Console扫描的结果，最后由Console端呈现出安全漏洞报表。除了上述二大类的扫描器外，还有一种专门针对数据库作安全漏洞检查的扫描器，主要功能为找出不良的密码设定、过期密码设定、侦测登入攻击行为、关闭久未使用的帐户，而且能追踪登入期间的限制活动等，数据库的安全扫描也是信息网络安全内很重要的一环。

　　物理隔离器是一种不同网络间的隔离部件，通过物理隔离的方式使两个网络在物理连线上完全隔离，且没有任何公用的存储信息，保证计算机的数据在网际间不被重用。一般采用电源切换的手段，使得所隔离的区域始终处在互不同时通电的状态下(对硬盘、软驱、光驱，也可通过在物理上控制IDE线实现)。被隔离的两端永远无法通过隔离部件交换信息。

　　逻辑隔离器也是一种不同网络间的隔离部件，被隔离的两端仍然存在物理上数据通道连线，但通过技术手段保证被隔离的两端没有数据通道，即逻辑上隔离。一般使用协议转换、数据格式剥离和数据流控制的方法，在两个逻辑隔离区域中传输数据。并且传输的方向是可控状态下的单向，不能在两个网络之间直接进行数据交换。

　　八、什么是信息内容过滤产品现在网络上大量的黄色、反动、暴力、赌博等不良信息，以及垃圾邮件、病毒邮件、泄密邮件和网络聊天等问题，一直令企业领导者及网络管理者感到头疼。采取信息内容过滤产品可以有效的防止这些不良信息的入侵，有效的减轻网络管理人员及信息安全工作者的工作。信息过滤产品可以对互联网上的信息内容进行实时分析，对预先定义的非法信息内容进行过滤和拦截。信息过滤产品按其针对的服务进行分类，主要可分为：HTTP、邮件、TELNET(BBS)、FTP等。

　　VPN即虚拟专用网，是通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。通常，VPN是对企业内部网的扩展，通过它可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。VPN可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。

　　VPN架构中采用了多种安全机制，如隧道技术（Tunneling）、加解密技术（Encryption）、密钥管理技术、身份认证技术（Authentication）等，通过上述的各项网络安全技术，确保资料在公众网络中传输时不被窃取，或是即使被窃取了，对方亦无法读取数据包内所传送的资料。

　　安全操作系统是指计算机信息系统在自主访问控制、强制访问控制、标记、身份鉴别、客体重用、审计、数据完整性、隐蔽信道分析、可信路径、可信恢复等十个方面满足相应的安全技术要求。安全操作系统主要特征：1、最小特权原则，即每个特权用户只拥有能进行他工作的权力；2、自主访问控制；强制访问控制，包括保密性访问控制和完整性访问控制；3、安全审计；4、安全域隔离。只要有了这些最底层的安全功能，各种混为“应用软件”的病毒、木马程序、网络入侵和人为非法操作才能被真正，因为它们违背了操作系统的安全规则，也就失去了运行的基础。

　　数据库的安全性包括：机密性、完整性和可用性，数据库在三个层次上，客户机/服务器通过开放的网络环境，跨不同硬件和软件平台通信，数据库安全问题在这个环境下变得更加复杂。管理分布或联邦数据库环境，每个结点服务器还能自治实行集中式安全管理和访问控制，对自己创建的用户、规则、客体进行安全管理。如由DBA或安全管理员执行本部门、本地区、或整体的安全策略，授权特定的管理员管理各组应用程序、用户、规则和数据库。因此访问控制和安全管理尤为重要。安全数据库是指数据库管理系统必须允许系统管理员有效地管理数据库管理系统和它的安全，并且只有被授权的管理员才可以使用这些安全功能和设备。数据库管理系统保护的资源包括数据库管理系统存储、处理或传送的信息。数据库管理系统阻止对信息的未授权访问，以防止信息的泄漏、修改和破坏。

　　网页恢复产品是对受保护网页目录、文件的未授权破坏进行识别，并能用备份目录、文件进行自动恢复，主要包括：1、网页目录、文件未授权增加的恢复；2、网页目录、文件未授权删除的恢复；3、网页目录、文件未授权修改（包括目录、文件属性修改、重命名、移动等）的恢复。

　　安全审计产品是对网络或指定系统的使用状态进行跟踪记录和综合梳理的工具，分为用户自主保护、系统审计保护两级。

　　网络安全审计能够对网络进行动态实时监控，可通过寻找入侵和违规行为，记录网络上发生的一切，为用户提供取证手段。网络安全审计不但能够监视和控制来自外部的入侵，还能够监视来自内部人员的违规和破坏行动，它是评判一个系统是否安全的重要尺度。

　　PKI（Public KeyInfrastructure）指的是公钥基础设施。CA（CertificateAuthority）指的是认证中心。PKI从技术上解决了网络通信安全的种种障碍。CA从运营、管理、规范、法律、人员等多个角度来解决了网络信任问题。由此，人们统称为“PKI/CA”。从总体构架来看，PKI/CA主要由最终用户、认证中心和注册机构来组成。

　　PKI/CA的工作原理就是通过发放和维护数字证书来建立一套信任网络，在同一信任网络中的用户通过申请到的数字证书来完成身份认证和安全处理。

　　数字证书就像日常生活中的身份证、驾驶证，在您需要表明身份的时候，必须出示证件来明确身份。您在参与电子商务的时候就依靠这种方式来表明您的线）、什么是认证中心（CA）？

　　一个认证中心是以它为信任源，由她维护一定范围的信任体系，在该信任体系中的所有用户、服务器，都被发放一张数字证书来证明其身份已经被鉴定过，并为其发放一张数字证书，每次在进行交易的时候，通过互相检查对方的数字证书即可判别是否是本信任域中的可信体。

　　注册中心负责审核证书申请者的真实身份，在审核通过后，负责将用户信息通过网络上传到认证中心，由认证中心负责最后的制证处理。证书的吊销、更新也需要由注册机构来提交给认证中心做处理。总的来说，认证中心是面向各注册中心的，而注册中心是面向最终用户的，注册机构是用户与认证中心的中间渠道。

　　以数字证书为核心的PKI/CA技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，从而保证：信息除发送方和接收方外不被其它人窃取；信息在传输过程中不被篡改；发送方能够通过数字证书来确认接收方的身份；发送方对于自己的信息不能抵赖。PKI/CA解决方案已经普遍地应用于全球范围的电子商务应用中，为电子商务保驾护航，为电子商务的健康开展扫清了障碍。

　　电磁泄漏是指信息系统的设备在工作时能经过地线、电源线、信号线、寄生电磁信号或谐波等辐射出去，产生电磁泄漏。这些电磁信号如果被接收下来，经过提取处理，就可恢复出原信息，造成信息失密。具有保密要求的计算机信息系统必须注意防止电磁泄漏。

　　电磁干扰是指雷电电磁脉冲、电网操作过电压、静电放电等电磁场会对计算机信息系统运行造成干扰。

　　计算机设备大量采用的大规模集成电路芯片，其耐过电压、过电流的能力极低。在雷电天气状况下，避雷针引雷时，强大的雷电流经避雷针入地并在避雷针周围产生强电磁场，在电磁场内的电子设备可被感应出较高的雷电压、雷电流，造成电子设备损坏。

　　计算机信息系统防范雷击灾害可以在与计算机连接的所有外线上（包括电源线和通信线）加设防雷保安器，同时规范地线，防止雷击时在地线上产生的高电位反击。

　　销售许可管理是依据国务院《中华人民共和国计算机信息系统安全保护条例》和公安部《计算机信息系统安全专用产品检测和销售许可证管理办法》的规定而实行的一项行政管理。我国境内的计算机安全专用产品进入市场销售须申领公安部颁发的销售许可证，已取得销售许可证的产品应在固定位置标明“销售许可”标记。

　　目前，我国计算机信息系统安全专用产品的种类已由单机防病毒产品发展到现在的网络防毒、防火墙、身份鉴别、网络隔离、网页保护、漏洞扫描、防攻击预警、操作系统、数据库等十几大类信息安全保护产品，产品的功能检测也随着安全保护技术的完善由简单的功能确认发展到分级检验。在选择安全专用产品时应当考虑产品的性价比、特征库的升级与维护费用、最大处理能力、产品的可伸缩性、运行与维护开销、产品是否容易被躲避及响应方法、是否获得安全专用产品销售许可证。

　　计算机病毒不同于生物医学上的“病毒”，计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用并能自我复制的一组计算机指令或者程序代码。由于它的所做所为与生物病毒很相像，人们才给它起了这么一个“响亮”的名字。与生物病毒不同的是几乎所有的计算机病毒都是人为地故意制造出来的，有时一旦扩散出来后连制造者自己也无法控制。它已经不是一个简单的技术问题，而是一个严重的社会问题了。目前，全球已有的计算机病毒约7万余种。

　　下面我们将生物医学病毒与感染IBM-PC机的DOS环境下的病毒的特征进行对比。生物病毒计算机病毒攻击生物机体特定细胞攻击特定程序（所有 和*.EXE文件[针对MS-DOS环境]）修改细胞的遗传信息，使病毒在被感染的细胞中繁殖操纵程序使被感染程序能复制病毒程序被感染的细胞不再重复感染，并且被感染的机体很长时间没有症状很多计算机病毒只感染程序一次，被感染的程序很长时间可以正常运行病毒并非感染所有的细胞，并且病毒可以产生变异程序能够加上免疫标志，防止感染。但计算机病毒能够修改自身使免疫失效

　　1988年一个由美国CORNELL大学研究生莫里斯编写的蠕虫病毒蔓延造成了数千台计算机停机，蠕虫病毒开始现身网络。而后来的红色代码，尼姆达病毒疯狂的时候，造成几十亿美元的损失。2003年1月26日,一种名为“2003蠕虫王”的蠕虫病毒迅速传播并袭击了全球，致使互联网网路严重堵塞，互联网域名服务器瘫痪，造成网民浏览互联网网页及收发电子邮件的速度大幅减缓,同时银行自动提款机的运作中断,机票等网络预订系统的运作中断,信用卡等收付款系统出现故障。国外专家估计,造成的直接经济损失在12亿美元以上。

　　网络蠕虫（worm）主要是利用操作系统和应用程序漏洞传播，通过网络的通信功能将自身从一个结点发送到另一个结点并启动运行的程序，可以造成网络服务遭到拒绝并发生死锁。“蠕虫”由两部分组成：一个主程序和一个引导程序。主程序一旦在机器上建立就会去收集与当前机器联网的其它机器的信息。它能通过读取公共配置文件并运行显示当前网上联机状态信息的系统实用程序而做到这一点。随后，它尝试利用前面所描述的那些缺陷去在这些远程机器上建立其引导程序。

　　特洛伊木马程序（Trojanhorse）是一个隐藏在合法程序中的非法的程序。该非法程序被用户在不知情的情况下被执行。其名称源于古希腊的特洛伊木马神话，传说希腊人围攻特洛伊城，久久不能得手。后来想出了一个木马计，让士兵藏匿于巨大的木马中。大部队假装撤退而将木马摈弃于特洛伊城，让敌人将其作为战利品拖入城内。木马内的士兵则乘夜晚敌人庆祝胜利、放松警惕的时候从木马中爬出来，与城外的部队里应外合而攻下了特洛伊城。当有用程序被调用时，隐藏的木马程序将执行某种有害功能，例如显示讯息、删除文件或将磁盘格式化，并能用于间接实现非授权用户不能直接实现的功能。特洛依木马型病毒不会感染其他寄宿文件，清除特洛依木马型病毒的方法是直接删除受感染的程序。

　　计算机病毒的传播途径主要有：1、通过文件系统传播；2、通过电子邮件传播；3、通过局域网传播；4、通过互联网上即时通讯软件和点对点软件等常用工具传播；利用系统、应用软件的漏洞进行传播；6优游国际ub8登录，、利用系统配置缺陷传播，如弱口令、完全共享等；7、利用欺骗等社会工程的方法传播。计算机病毒的传播过程可简略示意如下：

　　（一）非授权可执行性，计算机病毒隐藏在合法的程序或数据中,当用户运行正常程序时,病毒伺机窃取到系统的控制权,得以抢先运行,然而此时用户还认为在执行正常程序；

　　（二）隐蔽性，计算机病毒是一种具有很高编程技巧、短小精悍的可执行程序，它通常总是想方设法隐藏自身,防止用户察觉；

　　（三）传染性，传染性是计算机病毒最重要的一个特征,病毒程序一旦侵入计算机系统就通过自我复制迅速传播。

　　(四)潜伏性，计算机病毒具有依附于其它媒体而寄生的能力,这种媒体我们称之为计算机病毒的宿主。依靠病毒的寄生能力,病毒可以悄悄隐藏起来,然后在用户不察觉的情况下进行传染。

　　(五)表现性或破坏性。无论何种病毒程序一旦侵入系统都会对操作系统的运行造成不同程度的影响。即使不直接产生破坏作用的病毒程序也要占用系统资源。而绝大多数病毒程序要显示一些文字或图象,影响系统的正常运行,还有一些病毒程序删除文件,甚至摧毁整个系统和数据,使之无法恢复,造成无可挽回的损失。

　　(六)可触发性，计算机病毒一般都有一个或者几个触发条件。一旦满足触发条件或者激活病毒的传染机制,使之进行传染;或者激活病毒的表现部分或破坏部分。触发的实质是一种条件的控制,病毒程序可以依据设计者的要求,在一定条件下实施攻击。这个条件可以是敲入特定字符,某个特定日期或特定时刻,或者是病毒内置的计数器达到一定次数等。

　　一是计算机系统运行速度减慢。二是计算机系统经常无帮故发生死机。三是计算机系统中的文件长度发生变化。四是计算机存储的容量异常减少。五是系统引导速度减慢。六是丢失文件或文件损坏。七是计算机屏幕上出现异常显示。八是计算机系统的蜂鸣器出现异常声响。九是磁盘卷标发生变化。十是系统不识别硬盘。十一是对存储系统异常访问。十二是键盘输入异常。十三是文件的日期、时间、属性等发生变化。十四是文件无法正确读取、复制或打开。十五是命令执行出现错误。十六是虚假报警。十七是换当前盘。有些病毒会将当前盘切换到C盘。十八是时钟倒转。有些病毒会命名系统时间倒转，逆向计时。十九是WINDOWS操作系统无故频繁出现错误。二十是系统异常重新启动。二十一是一些外部设备工作异常。二十二是异常要求用户输入密码。二十三是WORD或EXCEL提示执行“宏”。二十四是不应驻留内存的程序驻留内存。

　　计算机病毒的防治要从防毒、查毒、解毒三方面来进行；系统对于计算机病毒的实际防治能力和效果也要从防毒能力、查毒能力和解毒能力三方面来评判。

　　（一）防毒。是指根据系统特性，采取相应的系统安全措施预防病毒侵入计算机。防毒能力是指通过采取防毒措施，可以准确、实时监测预警经由光盘、软盘、硬盘不同目录之间、局域网、互联网（包括FTP方式、E-MAIL、HTTP方式）或其它形式的文件下载等多种方式的病毒感染；能够在病毒侵入系统时发出警报，记录携带病毒的文件，即时清除其中的病毒；对网络而言，能够向网络管理员发送关于病毒入侵的信息，记录病毒入侵的工作站，必要时还要能够注销工作站，隔离病毒源。

　　（二）查毒。是指对于确定的环境，能够准确地报出病毒名称，该环境包括，内存、文件、引导区（含主导区）、网络等。查毒能力是指发现和追踪病毒来源的能力，通过查毒能准确地发现信息网络是否感染有病毒，准确查找出病毒的来源，给出统计报告；查解病毒的能力应由查毒率和误报率来评判。

　　（三）解毒。是指根据不同类型病毒对感染对象的修改，并按照病毒的感染特性所进行的恢复。该恢复过程不能破坏未被病毒修改的内容。感染对象包括：内存、引导区（含主引导区）、可执行文件、文档文件、网络等。解毒能力是指从感染对象中清除病毒，恢复被病毒感染前的原始信息的能力。

　　（一）手工检测。是指通过一些软件工具（如DEBUG.COM、PCTOOLS.EXE、NU.COM、SYSINFO.EXE等）提供的功能进行病毒的检测。这种方法比较复杂，需要检测者熟悉机器指令和操作系统，因而无法普及。它的基本过程是利用一些工具软件，对易遭病毒攻击和修改的内存及磁盘的有关部分进行检查，通过和正常情况下的状态进行对比分析，来判断是否被病毒感染。这种方法检测病毒，费时费力，但可以剖析新病毒，检测识别未知病毒，可以检测一些自动检测工具不认识的新病毒。

　　（二）自动检测。是指通过一些诊断软件来判读一个系统或一个软盘是否有毒的方法。自动检测则比较简单，一般用户都可以进行，但需要较好的诊断软件。这种方法可方便地检测大量的病毒，但是，自动检测工具只能识别已知病毒，而且自动检测工具的发展总是滞后于病毒的发展，所以检测工具对未知病毒很难识别。

　　特洛伊木马是在执行看似正常的程序时，还同时运行了未被察觉的有破坏性的程序；木马通常能够将重要的信息传送给攻击者，而且攻击者可以把任意数量的程序植入木马。对于木马的防范可以采取以下措施：

　　不要执行任何来历不明的软件或程序；不要轻易打开陌生邮件，或许当你打开的同时就已经中了别人设置的木马；不要因为对方是你的好朋友就轻易执行他发过来的软件或程序，因为你不确信他是否也像你一样装上了病毒防火墙，也许你的朋友已经中了黑客程序自己却不知道！同时，你也不能担保是否有别人冒他的名给你发mail；千万不要随便留下你的个人资料，因为你永远不会知道是否有人会处心积虑收集起来。

　　网络病毒的清理防治方法主要有：1、全面地与互联网结合，对网络层、邮件客户端进行实时监控，防止病毒入侵；2、快速反应的病毒检测网，在病毒爆发的第一时间即能提供解决方案；3、病毒防治产品完善的在线升级，随时拥有最新的防病毒能力；4、对病毒经常攻击的应用程序提供重点保护（如Office、Outlook、IE、ICQ/QQ等）；5、获取完整、即时的反病毒咨询，尽快了解新病毒的特点和解决方案。

　　（一）要提高对计算机病毒危害的认识。计算机病毒再也不是象过去那样的无关紧要的小把戏了，在计算机应用高度发达的社会，计算机病毒对信息网络破坏造成的危害越来越大大。

　　（二）养成使用计算机的良好习惯。对重要文件必须保留备份、不在计算机上乱插乱用盗版光盘和来路不明的盘，经常用杀毒软件检查硬盘和每一张外来盘等。

　　（三）大力普及杀毒软件，充分利用和正确使用现有的杀毒软件，定期查杀计算机病毒，并及时升级杀毒软件。有的用户对杀毒软件从不升级，仍用几年前的老版本来对付新病毒；有的根本没有启用杀毒软件；还有的则不会使用杀毒软件的定时查杀等功能。

　　（四）及时了解计算机病毒的发作时间，及时采取措施。大多数计算机病毒的发作是有时间限定的。如ＣＩＨ病毒的三个变种的发作时间就限定为4月26日、6月26日、每月26日。特别是在大的计算机病毒爆发前夕。

　　（五）开启计算机病毒查杀软件的适时监测功能，特别是有利于及时防范利用网络传播的病毒，如一些恶意脚本程序的传播。

　　（六）加强对网络流量等异常情况的监测，做好异常情况的技术分析。对于利用网络和操作系统漏洞传播的病毒，可以采取分割区域统一清除的办法，在清除后要及时采取打补丁和系统升级等安全措施。

　　（七）有规律的备份系统关键数据，建立应对灾难的数据安全策略，如灾难备份计划（备份时间表、备份方式、容灾措施）和灾难恢复计划，保证备份的数据能够正确、迅速地恢复。

　　一般用户应选择：1、具有发现、隔离并清除病毒功能的计算机病毒防治产品；2、产品是否具有实时报警（包括文件监控、邮件监控、网页脚本监控等）功能；3、多种方式及时升级；4、统一部署防范技术的管理功能；5、对病毒清除是否彻底，文件修复后是否完整、可用；6、产品的误报、漏报率较低；7、占用系统资源合理，产品适应性较好。

　　对于企业用户要选择能够从一个中央位置进行远程安装、升级，能够轻松、自动、快速地获得最新病毒代码、扫描引擎和程序文件，使维护成本最小化的产品；产品提供详细的病毒活动记录，跟踪病毒并确保在有新病毒出现时能够为管理员提供警报；为用户提供前瞻性的解决方案，防止新病毒的感染；通过基于web和Windows的图形用户界面提供集中的管理，最大限度地减少网络管理员在病毒防护上所花费的时间。

　　为了加强计算机病毒的防治管理工作，2000年公安部发布了《计算机病毒防治管理办法》。规定各级公安机关负责本行政区域内的计算机病毒防治管理工作。

　　规定禁止制作、传播计算机病毒，向社会发布虚假计算机病毒疫情，承担计算机病毒的认定工作的机构应由公安部公共信息网络安全监察部门批准，计算机信息系统的使用单位应当履行防治计算机病毒的职责。

　　WEB服务器自身脆弱性：Web服务器软件自身存在安全问题，如Web服务器软件缺省安装提供了过多的不必要功能，密码过于简单遭到破解，当服务器管理员使用了不安全协议的软件（如telnet）进行管理时，被监听而导致信息外泄。

　　Web应用程序安全性差：主要是指CGI程序和ASP、PHP脚本等等程序的安全性。这些程序大大扩展了Web服务器的功能，但它们往往只重功能而忽视了安全性。

　　保护WEB服务的方法:1、用防火墙保护网站，可以有效地对数据包进行过滤，是网站的第一道防线、用入侵监测系统监测网络数据包，可以捕捉危险或有恶意的访问动作，并能按指定的规则，以记录、阻断、发警报等等多种方式进行响应，既可以实时阻止入侵行为，又能够记录入侵行为以追查攻击者；3、正确配置Web服务器，跟踪并安装服务器软件的最新补丁；4、服务器软件只保留必要的功能，关闭不必要的诸如FTP、SMTP等公共服务，修改系统安装时设置的默认口令，使用足够安全的口令；5、远程管理服务器使用安全的方法如SSH，避免运行使用明文传输口令的telnet、ftp等程序；6、谨慎使用CGI程序和ASP、PHP脚本程序7、使用网络安全检测产品对安全情况进行检测，发现并弥补安全隐患。

　　CGI（COMMOMGATEINTERFACE）是外部应用程序与WEB服务器交互的一个标准接口，它可以完成客户端与服务器的交互操作。CGI带来了动态的网页服务，CGI脚本是主页安全漏洞的主要来源，这主要是由于CGI程序设计不当，暴露了未经授权的数据。通过构造特殊字符串给CGI程序就可能得到这种权限。

　　防范CGI脚本漏洞主要是：1、使用最新版本的Web服务器，安装最新的补丁程序，正确配置服务器；2、按照帮助文件正确安装CGI程序，删除不必要的安装文件和临时文件；3、使用C编写CGI程序时，使用安全的函数；4、使用安全有效的验证用户身份的方法；5、验证用户的来源，防止用户短时间内过多动作；6、推荐过滤“` \ ” * ? ~ ^ ( ) [ ] $ \n \r \t \0#../；7、在设计CGI脚本时，其对输入数据的长度有严格限制；8、实现功能时制定安全合理的策略，CGI程序还应具有检查异常情况的功能，在检查出陌生数据后CGI应能及时处理这些情况。

　　1、禁止匿名登录。在Windows2000中，最初安置的ftp服务默认允许匿名登陆，它是一种可以让没有用户帐户的人登陆你的ftp服务器的方法。允许匿名访问有时会导致被利用传送非法文件。

　　取消匿名登录，只允许被预定义的用户帐号登录， 配置被定义在FTP 主目录的ACLs [访问控制列表]来进行访问控制，并使用NTFS 许可证。

　　2、设置访问日志。通过访问日志可以准确得到哪些IP地址和用户访问的准确纪录。定期维护日志能估计站点访问量和找出安全威胁和漏洞。

　　3、强化访问控制列表。采用NTFS 访问许可，运用ACL[访问控制列表] 控制对您的FTP 目录的的访问。

　　4、 设置站点为不可视。如您只需要用户传送文件到服务器而不是从服务器下载文件，可以考虑配置站点为不可视。这意味着用户被允许从FTP目录写入文件不能读取。这样可以阻止未授权用户访问站点。要配置站点为不可视，应当在“站点”和“主目录”设置访问许可。

　　5、使用磁盘配额。磁盘配额可能有效地限制每个用户所使用的磁盘空间。授予用户对自己上传的文件的完全控制权。使用磁盘配额可以检查用户是否超出了使用空间，能有效地限制站点被攻破所带来的破坏。并且，限制用户能拥有的磁盘空间，站点将不会成为那些寻找空间共享媒体文件的黑客的目标。

　　6、使用访问时间限制。Windows2000访问时间限制是从nt4.0继承而来。这个选项限制用户只能在指定的日期的时间内才能登陆访问站点。这可以限制在唯一被批准的时间才能访问服务器。如果站点在企业环境中使用，可以限制只有在工作时间才能访问服务请。下班以后就禁止登录以保障安全。

　　7、基于IP策略的访问控制。Windows2000的 FTP可以限制具体IP地址的访问。限制只能由特定的个体才能访问站点，可以减少未批准者登录访问的危险。

　　8、审计登陆事件。审计帐户登录事件，能在安全日志察看器里查看企图登陆站点的（成功/失败）事件，以警觉一名恶意用户设法入侵的可疑活动。它也作为历史记录用于站点入侵检测。

　　9、使用安全密码策略。复杂的密码是采用终端用户认证的安全方式。这是巩固站点安全的一个关键部分，FTP用户帐号选择密码时必须遵守以下规则:不包含用户帐号名字的全部或部份；必须是至少6个字符长；包含英文大、小写字符、数字和特殊字符等多个类别。

　　10、限制登录次数。 Windows2000 安全策略允许管理员当帐户在规定的次数内未登入的情况下将帐户锁定。

　　目前互连网上的邮件服务器所受攻击有两类：一类就是中继利用（Relay），即远程机器通过你的服务器来发信，这样任何人都可以利用你的服务器向任何地址发邮件，久而久之，你的机器不仅成为发送垃圾邮件的帮凶，也会使你的网络流量激增，同时将可能被网上的很多邮件服务器所拒绝；另一类攻击称为垃圾邮件（Spam），即人们常说的邮件炸弹，是指在很短时间内服务器可能接收大量无用的邮件，从而使邮件服务器不堪负载而出现瘫痪。这两种攻击都可能使邮件服务器无法正常工作。

　　防止邮件服务器被攻击的方法有三种：一种是升级高版本的服务器软件，利用软件自身的安全功能限制垃圾邮件的大量转发或订阅反垃圾邮件服务；第二种就是采用第三方软件利用诸如动态中继验证控制功能来实现，从而确保接受邮件的正确性；第三种是配置病毒网关、病毒过滤等功能，从网络的入口开始，阻止来自互联网的邮件病毒入侵，同时还要防止它们在进出公司内部网络时的传播。

　　由于DNS服务使用UDP协议，因此对于攻击者而言，更容易把攻击焦点集中在DNS服务上。DNS服务面临的威胁包括：

　　缓存区中毒：这种攻击是指黑客在主DNS服务器向辅DNS服务器进行区域传输时插入错误的DNS信息，一旦成功，攻击者便可使辅DNS服务器提供错误的名称到IP地址的解析信息；如果使用DNS缓存伪造信息的话，攻击者可以改变发向合法站点的传输流方向，使它传送到攻击者控制的站点上；

　　拒绝服务：对某些域名服务器的大规模拒绝服务攻击会造成互联网速度普遍下降或停止运行；

　　域劫持：通过利用客户升级自己的域注册信息所使用的不安全机制，攻击者可以接管域注册过程来控制合法的域；

　　泄漏网络拓朴结构：设置不当的DNS将泄漏过多的网络拓朴结构：如果你的DNS服务器允许对任何人都进行区域传输的话，那么你的整个网络架构中的主机名、主机IP列表、路由器名、路由器IP列表，甚至包括你的机器所在的位置等信息都会不知不觉的泄露出去。

　　为了保护DNS服务器不受攻击，首先应当保护DNS服务器所存储的信息，而且此信息应当由创建和设计者才能修改。部分注册信息的登录方式仍然采用一些比较过时的方法，如采用电子邮件的方式就可以升级DNS注册信息，这些过时的方法需要添加安全措施，例如采用加密的口令，或者采用安全的浏览器平台工具来提供管理域代码记录的方式；其次是正确配置区域传输，即只允许相互信任的DNS服务器之间才允许传输解析数据；还要应用防火墙配合使用，使得DNS服务器位于防火墙的保护之内，只开放相应的服务端口和协议；还有一点需要注意的是使用那些较新的DNS软件，因为他们中有些可以支持控制访问方式记录DNS信息，因此域名解析服务器只对那些合法的请求作出响应。内部的请求可以不受限制的访问区域信息，外部的请求仅能访问那些公开的信息；最后系统管理员也可以采用分离DNS的方式，内部的系统与外部系统分别访问不同的DNS系统，外部的计算机仅能访问公共的记录。

　　路由器作为互联网上重要的地址信息路由设备，直接暴露于网络之中。攻击路由器会浪费CPU周期，误导信息流量，使网络陷于瘫痪。路由器面临的威胁有：

　　将路由器作为攻击平台：入侵者利用不安全的路由器作为生成对其他站点扫描或侦察的平台；

　　拒绝服务：尽管路由器在设计上可以传送大量的数据流，但是它同样不能处理传送给大于它传输能力的流量。入侵者利用这种特性攻击连接到网络上的路由器，而不是直接攻击网络上的系统，从而造成对路由器的拒绝服务攻击；

　　明文传输配置信息：许多网络管理员未关闭或加密Telnet会话，因此若明文传输的口令被截取，黑客就可以任意配置路由器。

　　好的路由器本身会采取一个好的安全机制来保护自己，但是仅此一点是远远不够的。保护路由器安全还需要网管员在配置和管理路由器过程中采取相应的安全措施：

　　限制系统物理访问：限制系统物理访问是确保路由器安全的最有效方法之一，即将控制台和终端会话配置成在较短闲置时间后自动退出系统；避免将调制解调器连接至路由器的辅助端口也很重要。一旦限制了路由器的物理访问，用户一定要确保路由器的安全补丁是最新的。因为漏洞常常是在供应商发行补丁之前被披露，这就使得黑客抢在供应商发行补丁之前利用受影响的系统，这需要引起用户的关注。

　　加强口令安全：黑客常常利用弱口令或默认口令进行攻击。加长口令、选用30到60天的口令有效期等措施有助于防止这类漏洞。另外，一旦重要的网管员工辞职，用户应该立即更换口令。用户应该启用路由器上的口令加密功能，实施合理的验证控制以便路由器安全地传输数据。

　　应用身份验证功能：在大多数路由器上，用户可以配置一些加密和认证协议，如远程验证拨入用户服务。验证控制可以将用户的验证请求转发给通常在后端网络上的验证服务器，验证服务器还可以要求用户使用双因素验证，以此加强验证系统。

　　禁用不必要服务：拥有众多路由服务是件好事，但近来许多安全事件都凸显了禁用不需要本地服务的重要性，如禁止CDP服务；需要注意的是，禁用路由器上的CDP可能会影响路由器的性能。定时对有效操作网络是必不可少的，即使用户确保了部署期间时间同步，经过一段时间后，时钟仍有可能逐渐失去同步。由此，用户可以利用名为网络时间协议（NTP）的服务，对照有效准确的时间源以确保网络上的设备时针同步；不过，确保网络设备时钟同步的最佳方式不是通过路由器，而是在防火墙保护的网络区段放一台NTP服务器，将该服务器配置成仅允许向外面的可信公共时间源提出时间请求。另外，在路由器上，对于SNMP、DHCP以及WEB管理服务等，只有绝对必要的时候才可使用这些服务。

　　限制逻辑访问：限制逻辑访问主要是借助于合理处置访问控制列表，限制远程终端会话有助于防止黑客获得系统逻辑访问。其中SSH是优先的逻辑访问方法，还可以使用终端访问控制，以限制只能访问可信主机。因此，用户需要给Telnet在路由器上使用的虚拟终端端口添加一份访问列表。

　　有限使用ICMP消息类型：控制消息协议（ICMP）有助于排除故障，但也为攻击者提供了用来浏览网络设备、确定本地时间戳和网络掩码以及对OS修正版本作出推测的信息。因此，为了防止黑客搜集上述信息，只允许以下类型的ICMP流量进入用户网络：主机无法到达的、端口无法到达的、源抑制的以及超出生存时间（TTL）的。此外，还应禁止ICMP流量以外的所有流量，以防止拒绝服务攻击。

　　控制流量有限进入网络：为了避免路由器成为DoS攻击目标，用户应该拒绝以下流量进入：没有IP地址的包、采用本地主机地址、广播地址、多播地址以及任何假冒的内部地址的包。虽然用户无法杜绝DoS攻击，但用户可以限制DoS的危害；另外，用户还可以采取增加SYNACK队列长度、缩短ACK超时等措施来保护路由器免受TCPSYN的攻击。

　　安全使用SNMP/TELNET：如果用户使用SNMP，那么一定要选择功能强大的共用字符串，最好是使用提供消息加密功能的SNMPV3。如果不通过SNMP管理对设备进行远程配置，用户最好将SNMP设备配置成只读；拒绝对这些设备进行写操作，用户就能防止黑客改动或关闭接口。为进一步确保安全管理，用户可以使用SSH等加密机制，利用SSH与路由器建立加密的远程会话；为了加强保护，用户还应该限制SSH会话协商，只允许会话用于同用户经常使用的几个可信系统进行通信。

　　缓冲区溢出（又称堆栈溢出）攻击是最常用的黑客技术之一。这种攻击之所以泛滥，是由于开放源代码程序的本质决定的。Unix本身以及其上的许多应用程序都是用C语言编写的，而C语言不检查缓冲区的边界。在某些情况下，如果用户输入的数据长度超过应用程序给定的缓冲区，就会覆盖其他数据区，这就称作”缓冲区溢出”。一般情况下，覆盖其他数据区的数据是没有意义的，最多造成应用程序错误；但是，如果输入的数据是经过“黑客”精心设计的，覆盖缓冲区的数据恰恰是黑客的入侵程序代码，黑客就获取了程序的控制权。尽管这项攻击的技术要求非常高，而一旦执行这项攻击的程序被设计出来却是非常简单的。

　　由于缓冲区溢出是一个编程问题，所以他们只能通过修复被破坏的程序代码来解决问题。从“缓冲区溢出攻击”的原理可以看出，要防止此类攻击，我们可以在开放程序时仔细检查溢出情况，不允许数据溢出缓冲区。经常检查操作系统和应用程序提供商的站点，一旦发现补丁程序就马上下载是最好的方法。八、防范IP欺骗攻击

　　IP欺骗技术就是伪造某台主机的IP地址的技术。通过IP地址的伪装使得某台主机能够伪装另外的一台主机，而这台主机往往具有某种特权或者被另外的主机所信任。假设现在有一个合法用户（1.1.1.1）已经同服务器建立了正常的连接，攻击者构造攻击的TCP数据，伪装自己的IP为1.1.1.1，并向服务器发送一个带有RST位的TCP数据段。服务器接收到这样的数据后，认为从1.1.1.1发送的连接有错误，就会清空缓冲区中建立好的连接。这时，如果合法用户1.1.1.1再发送合法数据，服务器就已经没有这样的连接了，该用户就必须从新开始建立连接。攻击时，伪造大量的IP地址，向目标发送RST数据，使服务器不对合法用户服务。

　　虽然IP欺骗攻击有着相当难度，但我们应该清醒地意识到，这种攻击非常广泛，入侵往往由这里开始。预防这种攻击还是比较容易的，比如删除UNIX中所有的/etc/hosts.equiv、$HOME/.rhosts文件，修改/etc/inetd.conf文件，使得RPC机制无法应用。另外，还可以通过设置防火墙过滤来自外部而信源地址却是内部IP的报文。

　　SYNFood攻击是利用特殊的程序，设置TCP的Header，向服务器端不断地成倍发送只有SYN标志的TCP连接请求。当服务器接收的时候，都认为是没有建立起来的连接请求，于是为这些请求建立会话，排到缓冲区队列中。如果你的SYN请求超过了服务器能容纳的限度，缓冲区队列满，那么服务器就不再接收新的请求了。其他合法用户的连接都被拒绝掉。此时，服务器已经无法再提供正常的服务了，所以SYNFood攻击是拒绝服务攻击。

　　对于SYNFlood攻击，目前尚没有很好的监测和防御方法，不过如果系统管理员熟悉攻击方法和系统架构，通过一系列的设定，也能从一定程度上降低被攻击系统的负荷，减轻负面的影响。

　　对于WindowsNT/2000而言，它的SYN攻击保护机制可以这样考虑：正常情况下，OS对TCP连接的一些重要参数有一个常规的设置：SYNTimeout时间、SYN-ACK的重试次数、SYN报文从路由器到系统再到Winsock的延时等等。这个常规设置针对系统优化，可以给用户提供方便快捷的服务；一旦服务器受到攻击，SYNHalflink 的数量超过系统中TCP活动 HalfConnction最大连接数的设置，系统将会认为自己受到了SYNFlood攻击，并将根据攻击的判断情况作出反应：减短SYNTimeout时间、减少SYN-ACK的重试次数、自动对缓冲区中的报文进行延时等等措施，力图将攻击危害减到最低。如果攻击继续，超过了系统允许的最大HalfConnection值，系统已经不能提供正常的服务了，为了保证系统不崩溃，可以将任何超出最大HalfConnection值范围的SYN报文随机丢弃，保证系统的稳定性。

　　Smurf攻击是利用Ping程序中使用的ICMP协议。攻击者首先制造出源地址是受攻击主机的IP地址的包；然后攻击者将这些包发送给不知情的第三方，使它们成为帮凶；如果攻击者发送足够的ICMP包，回应会超过受攻主机的承受能力；因此，Smurf攻击实际上是一种IP欺骗式的攻击，将导致拒绝服务攻击的结果。

　　Fraggle攻击与Smurf攻击类似，只是利用UDP协议；虽然标准的端口是7，但是大多数使用Fraggle攻击的程序允许你指定其它的端口。

　　最好的防止系统受到Smurf和Fraggle攻击的方法是在防火墙上过滤掉ICMP报文，或者在服务器上禁止Ping，并且只在必要时才打开ping服务。

　　这种攻击通过发送大于65536字节的ICMP包使操作系统崩溃；通常不可能发送大于65536个字节的ICMP包，但可以把报文分割成片段，然后在目标主机上重组；最终会导致被攻击目标缓冲区溢出。

　　防止系统受到PingofDeath攻击的方法与防范Smurf和Fraggle攻击是相同得，可以在防火墙上过滤掉ICMP报文，或者在服务器上禁止Ping，并且只在必要时才打开ping服务。

　　Teardrop类的攻击利用UDP包重组时重叠偏移（假设数据包中第二片IP包的偏移量小于第一片结束的位移，而且算上第二片IP包的Data，也未超过第一片的尾部，这就是重叠现象。）的漏洞对系统主机发动拒绝服务攻击，最终导致主机菪掉；对于Windows系统会导致蓝屏死机，并显示STOP0x0000000A错误。

　　对付这种类型得攻击最好的方法就是要及时为操作系统打补丁了，但是Teardrop攻击仍然会耗费处理器的资源和主机带宽。

　　尽管目前没有哪个网络可以免受拒绝服务（DoS）攻击，但如果采取以下几项措施，能起到一定的预防作用。

　　1.确保所有服务器采用最新系统，并打上安全补丁。根据计算机紧急响应协调中心的发现，几乎每个受到DoS攻击的系统都没有及时打上补丁。

　　2.确保管理员对所有主机进行检查，而不仅针对关键主机。这是为了确保管理员知道每个主机系统在运行什么？谁在使用主机？哪些人可以访问主机？否则，即使黑客侵犯了系统，也很难查明。

　　3. 确保从服务器相应的目录或文件数据库中删除未使用的服务，如FTP或NFS。

　　4. 禁止内部网通过Modem连接至PSTN系统。否则，黑客能通过电话线发现未受保护的主机，立刻就能访问极为机密的数据。

　　5.禁止使用网络访问程序如Telnet、Ftp、Rsh、Rlogin和Rcp，使用加密的访问程序（如SSH）取代。SSH不会在网上以明文格式传送口令，而Telnet和Rlogin则正好相反，黑客能搜寻到这些口令，从而立即访问网络上的重要服务器。此外，若没有必要使用Rlogin登录，则最好在Unix上应该将.rhost和hosts.equiv文件删除，因为不用猜口令，这些文件就会提供登录访问。

　　6. 限制在防火墙外的网络文件共享。否则的话会使黑客有机会截获系统文件，并以特洛伊木马替换它，文件传输功能无异将陷入瘫痪。

　　7.确保手头有一张最新的网络拓扑图。这张图应该详细标明TCP/IP地址、主机、路由器及其他网络设备，还应该包括网络边界、安全服务器区（SSN）及内部网部分。

　　8.应用防火墙系统，在防火墙上运行端口映射程序或端口扫描程序。大多数事件是由于防火墙配置不当造成的，使DoS/DDoS攻击成功率很高，所以定要认真检查特权端口和非特权端口。

　　9. 检查所有网络设备、主机和服务器系统的日志。只要日志出现漏洞或时间出现变更，几乎可以肯定：相关的主机安全受到了危胁。

　　操作系统的密码（口令）十分重要，它是抵抗攻击的第一道防线，我们必须把密码安全作为安全策略的第一步。如果攻击者未能窃取到系统密码，那么他就不能很好地和系统进行交互信息，对系统所能采取的入侵的方法也就不多了。因此，必须设置安全强壮的密码。所有安全强壮的密码至少要有下列四方面内容的三种：

　　以下举例说明强壮密码的重要性：假设密码设置为6位（包括任意五个字母和一位数字或符号），则其可能性将近有163亿种。不过这只是是理论估算，实际上密码比这有规律得多。例如，英文常用词条约5000条，从5000个词中任取一个字母与一个字符合成口令，仅有688万种可能性，在一台赛扬600（CPU主频）的计算机上每秒可运算10万次，则破解时间仅需1分钟！即使采用穷举方法，也只需9个小时；因此6位密码十分不可靠。而对于8位密码（包括七个字母和一位数字或符号）来说，若完全破解，则需要将近三年的时间。因此，密码不要用全部数字，不要用自己的中英文名，不要用字典上的词，一定要数字和字母交替夹杂，并最好加入@#$%!&*?之类的字符。

　　WindowsNT/2000系统在默认配置下允许任何字符或字符串作为密码，包括空格，这是相当不安全的，下面我们通过修改注册表使得用户设定的密码中必须同时包含字母和数字，从而增强系统的安全性。具体设置如下：

　　在右侧窗口中新建（右键选择“新建”）一个名为AlphanumPwds的双字节（操作系统的不同，出来的菜单可能有不同，Dword同样表示双字节）值，（右键选择”新建”）

　　（注：后面将会有大量操作注册表的描述，过程如上图大致类似，就不再采用图示。）注册表各项解释如下：名称：指某个值的标示名，比如上图的AlphanumPwds。

　　类型： 指该名称的数据类型，共有三种：REG_SZ字符串型，它的数据可以是字符串；REG_BINARY二进制数据类型，它的数据就只能是0和1的组合； REG_DWORD是双字节数据类型，它的数据可以是十六进制数据。

　　在”控制面板” “管理工具” “本地安全策略” “帐户策略”中的”密码策略”，双击想要更改的项目，比如修改密码长度最小值：点确定就可以了。按照上面的步骤作如下设置： 密码复杂性要求 启用 密码长度最小值 8位强制密码历史 5次强制密码历史 42天

　　对于WindowsNT系统而言，帐号策略的设置是通过域用户管理器来实施的，从用户管理器的菜单中选择用户权限，可以设置密码使用时间，长度以及连续登录失败后的锁定机制等。具体方法是：

　　当要给文件设置权限的时候，要首先保证该分区格式为NTFS（WindowsNT的文件系统），当然你也可以使用文件分配表（FAT）格式，但是FAT文件系统没有对文件的访问权限加以任何限制，FAT只在那些相对来讲对安全要求较低的情况下使用。在NTFS文件系统中，可以使用权限对单个文件进行保护，并且可以把该权限应用到本地访问和网络访问中。在NTFS文件系统上，可以对文件设置文件权限，对目录设置目录权限，用于指定可以访问的组和用户以及允许的访问等级时。

　　如果实施了NTFS的文件系统格式，可通过系统的资源管理器直接来管理文件的安全，设置目录或文件的权限。以regedit.exe文件为例，右键选择“属性”，

　　在“安全”标签里面选择不同组的名称，就可以更改配置他们对该文件的操作权限。

　　基于文件级的权限可以分配下面几种：读取（用户可以读取该文件的内容），写入（用户可以写入数据到该文件中），读取及执行（用户可以执行该程序），修改（用户可以修改该文件内容，包括删除），完全控制（以上所有权限都有）。因此，适当地为不同权限的帐号分配相应的访问权限（在”允许”，”拒绝”栏分别打勾，如下图）对于文件系统的安全是致关重要的。

　　Windows NT/2000中的注册表（Registry）是一系列的数据库文件，主要存储在系统安装目录\System32\Config下，有些注册表文件建立和存储在内存中，这些文件的备份也存储在系统安装目录\Repair下。由于所有配置和控制系统数据最终都存在于注册表中，而且Registry的缺省权限设置是对“所有人”“完全控制”（FullControl）和“创建”（Create），这种设置可能会被恶意用户删除或者替换掉注册表（Registry）文件。所以，如果注册表权限没有设置好的话，整个WindowsNT/2000的系统就不安全，因此我们必须控制注册表的访问权。

　　对于注册表（Registry），建议应严格限制只能在本地进行注册，不能被远程访问，限制对注册表（Registry）编辑工具的访问。具体可以利用文件管理器设置只允许网络管理员使用注册表编辑工具regedit.exe或regedt32.exe，其他任何用户不得使用；还可使用第三方工具软件，比如EnterpriseAdministrator（MissionCriticalSoftware）来锁住注册表（Registry）。或者把对注册表缺省的所有用户都能“完全控制”的权利改成只能“读取”.在“开始”“运行”里面输入regedt32如下图：假设我们将HKEY_CURRENT_USER支更改成一般用户只能读，在菜单中选择“安全”“权限”如下图：选择组用户users（在win2000系统中默认uers是一般用户，如果在上面列表中没有定义users组权限，可以选择”添加”按纽，将该组进行权限设置）同时，HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg这个键应该只允许Administrators组成员访问。修改方法参照上图。为了能识别用户，防止匿名登陆，应该在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA下新建一个DWORD（双字节）类型的RestrictAnonymous项，并设置其值为1（具体操作请参考上面的图示）。

　　实际上，如果把用户操作注册表的这种权利设置成“只读”，将会给一些应用软件带来许多潜在的功能性问题，比如Dlexpert（下载专家，一个下载软件），在下载的时候会将当前下载地址等信息写入到注册表里面，如果在设置了注册表权限的机器上运行该程序，会出现下载地址无法保存的现象，解决办法就是使用regedt32软件将用户权限更改回去，在这里，我们建议在重要服务器上不要安装和运行其他非系统的软件。

　　WindowsNT/2000默认安装路径是在系统主分区的\WINNT目录下，在安装时可以修改它的安装路径，如C:\WINNT可以改为C:\WINDOW或D:\WINNT等；改变默认安装目录对合法用户不会造成任何影响，但对于那些企图通过类似WEB服务器的漏洞或者缺陷来远程访问文件的攻击者来说就大大地增加了难度。

　　对于在WindowsNT/2000默认系统帐号，如administrator，guest等都必须改名，对于其它一些帐号，比如IUSR_机器名是在安装IIS后产生的，对其也必须改名。因为改变Administrator帐户的名字，可以防止黑客对缺省命名的帐户进行攻击，这个措施可以解决一系列的安全漏洞，一旦帐号被他人窃取或攻破，整个网络系统便无任何安全性可言了。

　　所以应为系统管理员和备份操作员创建特殊帐户，系统管理员在进行特殊任务时必须用这个特殊帐户注册，然后注销。所有具有Administrator和备份特权的帐户绝对不能浏览Web。所有的帐户只能具有User或者PowerUser组的权限，对于Guest帐户，默认是无口令的，所以最好能停止使用Guest帐户。

　　注：停用Guest帐户，可能会给win9x用户通过网上邻居访问服务器带来“无权限访问”的错误。解决方法是在服务器中添加win9x机器上的用户名或者启用guest帐号。

　　WindowsNT/2000出于管理的目的自动地建立了一些默认共享，包括C$，D$磁盘共享以及ADMIN$目录共享等。尽管它们仅仅是针对管理而配置的，但仍成为一个没必要的风险，成为攻击者的目标。

　　同样可以通过控制面板里面的管理工具来暂时取消共享。选择“计算机管理”程序，选择“共享文件夹”，在相应的共享文件夹上按右键，选择“停止”共享即可。不过在系统重新启动后，IPC$和printer$会再次共享。

　　WindowsNT/2000的打印机驱动是以完全控制权限运行在操作系统级别。缺省情况下，任何人都可以在WindowsNT/2000中安装打印机驱动，这种默认权限使系统很易遭受木马攻击。攻击者可以建立假的打印机驱动而实际上进行了其它的活动，例如，开启后门等。因此，要严格限制用户拥有安装的权限，只允许管理员组和打印机操作员可以安装打印驱动，具体可以打开注册表，在主键HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Providers\LanManPrintServices中增加类型为DWORD（双字节）的AddPrintDrivers项，并设置其值为1。

　　我们应该严格限制打印机、串口等共享对象，使其只能被管理员使用，由于这种限制可以影响许多程序，比如在一局域网中的服务器上的共享打印机，设置了权限控制后，一般用户就无法进行网络打印了。所以在应用这种限制时要考虑是否该服务器对外提供了这些服务。如果没有提供可以使用下面的方法来进行权限设置：请首先打开注册表。然后在主键HKEY_LOCAL_MACHINE\System\currentControlSet\Control\SessionManager中增加（或者修改）一个类型为DWORD（双字节）的名称为ProtectionMode的项，并将其值设成1。

　　第二种方法使用一些第三方软件，比如The Cleaner，它可以在HYPERLINK下载到。

　　所谓“域”是指网络服务器和其他计算机的逻辑分组，凡是在共享域范围内的用户都使用公共的安全机制和用户帐号信息。每个用户有一个帐号，每次登录的是整个域，而不是某一个服务器。即使在物理上相隔较远，但在逻辑上可以在一个域上，这样便于管理。在网络环境下，使用域的管理就显得更为有效；在使用”域”的划分时，我们应该注意到“域”是建立在一个子网范围内，其根本基础是相互之间的信任度很高。

　　这里我们应该注意到在WindowsNT/2000中，关于域的所用安全机制信息或用户帐号信息都存放在帐号数据库中（称为安全帐号管理器(SAM)数据库）。安全帐号管理器（SAM）数据库在磁盘上的具置就保存在系统安装目录下的system32\config\中的SAM文件，在这个目录下还包括一个SECURITY文件，也是安全数据库的内容。安全帐号管理器（SAM）数据库中包含所有组、帐户的信息，包括密码HASH结果、帐户的SID等。所以在对WindowsNT/2000进行维护时应该特别小心安全帐号管理器（SAM）数据库的完整性，严格限制Administrator组和备份组帐户的成员资格。加强对这些帐户的跟踪，尤其是Administrator帐户的登录（Logon）失败和注销（Logoff）失败。对SAM进行的任何权限改变和对其本身的修改都要进行审计，切记要改变缺省权限设置来预防这个漏洞，一般来讲只有管理员才允许具有对以上两个文件的编辑权限。下面的过程演示了怎么样启用SAM访问审核。首先启动一个cmd命令窗口，在“开始”“运行”输入：会出来一个黑底的命令窗口。以下命令均是在该窗口中进行操作1. 确认启动schedule，如未启动，使用以下命令启动该服务netstart schedule2.使用At 命令添加任务：at 时间 /interactive“regedt32.exe”比如当前时间16:49，那么我们可以设置程序在16:51分启动:at 14:51/interactive“regedt32.exe”3. 那么到14:51分，Regedt32.exe会以系统帐号启动。4.选择HKEY_LOCAL_MACHINE 窗口；5. 选择 SAM 并从“安全“菜单选择“权限“，如下图；再选择”高级”出来窗口如图示：6. 单击“添加“，然后“显示用户“；7. 添加如下帐号：2. SYSTEM3. DomainAdmins4.Administrator5. BackupOperators随着操作系统版本不一。ub8优游国际，