网络安全的关键技术是什么？

1. 虚拟5261网络技术

虚拟网络技术主要基于近年来在4102中开发的LAN交换1653技术（ATM和以太网交换）. 交换技术将传统的基于广播的LAN技术发展为面向连接的技术. 因此，网络管理系统无需通过昂贵的路由器即可限制LAN通信的范围.

上述操作机制给网络安全带来的好处是显而易见的: 信息仅到达应有的位置. 因此，可以防止大多数基于网络监控的入侵方法. 通过虚拟网络设置的访问控制，虚拟网络外部的网络节点无法直接访问虚拟网络中的节点. 但是，虚拟网络技术还带来了新的安全性问题:

执行虚拟网络交换的设备变得越来越复杂，这已成为攻击的目标.

基于网络广播原理的入侵监控技术需要在高速交换网络中进行特殊设置.

基于MAC的VLAN无法阻止MAC欺骗攻击.

以太网本质上是基于广播机制的，但是在应用了交换机和VLAN技术之后，它实际上变成了点对点通信. 除非设置了监视端口，否则在信息交换中不会存在监视和插入（更改）问题.

但是，使用基于MAC的VLAN划分将面临假MAC地址的攻击. 因此，最好根据交换机端口划分VLAN. 但这要求整个网络桌面使用交换机端口，或者每个交换机端口所在的网段计算机都属于同一VLAN.

网络层通信可以跨路由器，因此可以从很远的地方发起攻击. IP协议套件的实现在各个制造商中并不完善. 因此，在网络层中发现了相对更多的安全漏洞，例如IP扫描，泪珠，同步洪水，IP欺骗攻击等.

两个. 防火墙技术

网络防火墙技术是一种特殊的网络互连设备，用于增强网络之间的访问控制，防止外部网络用户通过非法手段通过外部网络进入内部网络，访问内部网络资源并保护内部网络运行环境. 根据一定的安全策略检查在两个或多个网络之间传输的数据包（例如链接模式），以确定是否允许网络之间的通信并监视网络运行状态.

防火墙产品主要包括堡垒主机，包过滤路由器，应用层网关（代理服务器）和电路层网关，屏蔽主机防火墙，双主机计算机等.

尽管防火墙是保护网络免受黑客攻击的有效手段，但它也有明显的缺点: 它无法通过防火墙以外的其他方式阻止攻击，也无法阻止内部叛教者和疏忽用户的威胁. 它也不能完全阻止受病毒感染的软件或文件的传播，也不能阻止数据驱动的攻击. <​​/ p>

自从1986年美国数字公司在互联网上安装了世界上第一个商业防火墙系统并提出了防火墙的概念以来，防火墙技术得到了迅速的发展. 数十家公司推出了不同的功能. 防火墙产品系列.

防火墙位于5层网络安全系统的底部，属于网络层安全技术类别. 在这一层，企业要求安全系统的问题是: 是否所有IP都可以访问企业的内部网络系统. 如果回答为“是”，则表示企业内部网尚未在网络层采取相应的预防措施.

作为内部网络和外部公共网络之间的第一个障碍，防火墙是人们关注的最早的网络安全产品之一. 尽管从理论上讲，防火墙处于网络安全的最低级别，并且负责网络安全. 安全认证和传输防火墙技术在网络安全防护方面存在哪些不足?，但是随着网络安全技术的全面发展以及网络应用程序的不断变化，现代防火墙技术已逐渐转移到网络层以外的其他安全级别. 不仅需要完成传统防火墙的过滤任务，而且各种网络应用程序都提供相应的安全服务. 此外，各种防火墙产品正在朝着数据安全性和用户身份验证的方向发展，以防止病毒和黑客入侵.

1. 使用防火墙的好处

保护易受攻击的服务

通过过滤不安全的服务，防火墙可以极大地提高网络安全性并降低子网中主机的风险.

例如，防火墙可以禁止NIS和NFS服务通过，防火墙也可以拒绝源路由和ICMP重定向数据包.

控制对系统的访问

防火墙可以提供对系统的访问控制. 例如允许从外部访问某些主机，同时禁止访问其他主机. 例如，防火墙允许从外部访问特定的邮件服务器和Web服务器.

集中式安全管理

Firewall为公司Intranet实施集中式安全管理. 防火墙中定义的安全规则可以应用于整个内部网络系统，而无需在内联网中的每台计算机上设置单独的安全策略. 例如，在防火墙中，可以定义不同的身份验证方法，而不是在每台计算机上安装特定的身份验证软件. 外部用户只需通过一种身份验证即可访问Intranet.

增强机密性

使用防火墙阻止攻击者获取有关攻击网络系统的有用信息，例如Finger和DNS.

记录和统计网络使用情况数据和非法使用情况数据

防火墙可以记录和统计通过防火墙的网络通信，提供有关网络使用情况的统计数据，防火墙可以提供统计数据以确定可能的攻击和检测.

策略执行

防火墙提供了一种制定和实施网络安全策略的方法. 如果未设置防火墙，则网络安全取决于每个主机的用户.

2. 设置防火墙的元素

网络策略

影响防火墙系统设计，安装和使用的网络策略可以分为两个级别. 高级网络策略定义了允许和禁止的服务以及如何使用该服务. 低级网络策略描述了高级策略中如何定义防火墙限制和过滤器. 服务.

服务访问政策

服务访问策略集中于Internet访问服务和外部网络访问（例如拨入策略，SLIP / PPP连接等）.

服务访问策略必须可行且合理. 可行的策略必须在预防已知的网络风险和提供用户服务之间取得平衡. 典型的服务访问策略是允许经过增强身份验证的用户在必要时从Internet访问某些内部主机和服务. 允许内部用户访问指定的Internet主机和服务.

防火墙设计策略

防火墙设计策略基于特定的防火墙，并定义用于完成服务访问策略的规则. 通常有两种基本的设计策略:

除非明确禁止，否则允许任何服务；

除非明确允许防火墙技术在网络安全防护方面存在哪些不足?，否则禁止任何服务.

通常使用第二种设计策略.

3. 防火墙的基本分类

数据包过滤类型

数据包过滤产品是防火墙的主要产品. 它的技术基础是网络中的子分组传输技术. 网络上的数据以“数据包”为单位进行传输，并将数据分为一定大小的数据包，每个数据包将包含一些特定的信息，例如源地址，目标地址，TCP / UDP源端口和目标数据端口. 防火墙通过读取数据包中的地址信息来确定这些“数据包”是否来自数据包. 受信任的安全站点，一旦发现来自危险站点的数据包，防火墙将阻止数据. 系统管理员还可以根据实际情况灵活制定判断规则.

包过滤技术的优点是简单实用，实现成本低. 在相对简单的应用环境中，它可以以较低的成本在一定程度上确保系统的安全性.

但是数据包过滤技术的缺点也很明显. 数据包过滤技术是一种完全基于网络层的安全技术. 只能根据网络信息（例如数据包的源，目的地和端口）来判断它. 它无法基于应用程序层识别应用程序. 恶意入侵，例如恶意Java小程序和电子邮件附带的病毒. 有经验的黑客可以轻松伪造IP地址并欺骗数据包筛选防火墙.

网络地址转换（NAT）

是用于将IP地址转换为临时，外部和注册IP地址的标准. 它允许具有专用IP地址的内部网络访问Internet. 这也意味着用户是每台机器都获得注册的IP地址.

当内部网络通过安全网卡访问外部网络时，将生成映射记录. 系统将传出的源地址和源端口映射到伪装的地址和端口，并允许伪装的地址和端口与非安全网卡通信. 外部网络连接，以便真正的内部网络地址从外部隐藏. 当外部网络通过非安全网卡访问内部网络时，它不知道内部网络的连接，而仅通过开放的IP地址和端口请求访问. .OLM防火墙根据以下信息判断访问是否安全: 预定义的映射规则. 当满足规则时，防火墙认为访问是安全的，并且可以接受访问请求，或将连接请求映射到其他内部计算机. 在规则中，防火墙认为访问不安全并且无法接受，防火墙将阻止外部连接请求. 网络地址转换的过程对用户是透明的，不需要用户进行设置，而用户只需要执行正常的操作即可.

代理类型

代理防火墙也可以称为代理服务器. 它的安全性高于数据包过滤产品的安全性，并且已开始开发到应用程序层. 代理服务器位于客户端和服务器之间，完全阻止了两个数据交换. 从客户端的角度来看，代理服务器等效于真实服务器. 从服务器的角度来看，代理服务器是真正的客户端. 当客户端需要使用服务器上的数据时，首先将数据请求发送到代理服务器，然后代理服务器根据该请求从服务器请求数据，然后代理服务器将数据发送到客户端. 由于外部系统和内部服务器之间没有直接的数据通道，因此外部恶意侵权也很难损害企业的内部网络系统.

代理防火墙的优点是它具有很高的安全性，可以检测和扫描应用程序层，并且对于基于应用程序层的入侵和病毒非常有效. 它的缺点是对系统的整体性能有较大的影响. 此外，必须针对客户端可能生成的所有应用程序类型一一设置代理服务器，这大大增加了系统管理的复杂性.

监视类型监视类型

防火墙是新一代产品. 该技术实际上已经超过了最初的防火墙定义. 监控防火墙可以主动，实时地监控每一层的数据. 基于对这些数据的分析，监视类型的防火墙可以有效地确定每一层中的非法入侵. 同时，这种检测类型的防火墙产品通常还具有分布式检测器，这些检测器放置在各种应用程序服务器和其他网络节点中. 检测来自网络外部的攻击，同时对内部的恶意破坏具有强大的预防作用. 根据权威组织的统计，针对网络系统的攻击有相当一部分来自网络内部. 因此，监控防火墙不仅超越了传统防火墙的定义，而且安全性也超过了前两代产品

尽管监视防火墙的安全性已超过数据包筛选和代理服务器防火墙，但由于监视防火墙技术的实施成本较高，因此难以管理，因此实际使用的防火墙产品仍是基于Agent的第二代产品产品是主要产品，但在某些方面也使用了监视防火墙. 基于对系统成本和安全技术成本的综合考虑，用户可以有选择地使用某些监视技术. 这样可以确保网络系统的安全性要求也可以有效地控制安全系统的总拥有成本.

实际上，作为当前防火墙产品的主流趋势，大多数代理服务器（也称为应用程序网关）也集成了数据包过滤技术. 这两种技术的混合应用显然比单独使用它们具有更大的优势. 该产品基于应用程序，并且应用程序网关可以提供协议过滤. 例如，它可以过滤掉FTP连接中的PUT命令，并且通过代理应用程序，应用程序网关可以有效避免信息从内部网络泄漏. 正是因为应用网关的这些特性使得应用过程中的矛盾主要集中在对多种网络应用协议的有效支持以及对网络整体性能的影响上.

4. 构建防火墙的原理

分析安全和服务要求

以下问题可以帮助分析安全性和服务需求:

√计划使用哪些Internet服务（例如http，ftp，gopher）以及在哪里使用Internet服务（本地网络，拨号，远程办公室）.

√需求增加，例如加密或拨号访问支持.

√提供以上服务和访问风险.

√在提供网络安全控制的同时牺牲系统应用程序服务的成本.

策略灵活性

通常，与Internet相关的网络安全策略应保持一定程度的灵活性，主要是由于以下原因:

√Internet本身发展非常快，组织可能需要继续使用Internet提供的新服务来开展业务. 新协议和服务的激增带来了新的安全问题，并且安全策略必须能够响应并处理这些问题.

√组织面临的风险不是一成不变的. 组织职能的变化和网络设置的变化可能会改变风险.

远程用户身份验证策略

√远程用户无法通过位于防火墙后面的未经身份验证的调制解调器访问系统.

√PPP / SLIP连接必须通过防火墙身份验证.

√对远程用户进行身份验证方法的培训.

拨入/拨出策略

√设计防火墙时必须考虑并集成拨入/拨出功能.

√外部拨入用户必须通过防火墙身份验证.

信息服务器策略

√公共信息服务器的安全性必须集成到防火墙中.

√必须在公共信息服务器上进行严格的安全控制，否则将成为系统安全的空白.

√为信息服务器定义一个折衷的安全策略，以允许提供公共服务.

√区分公共信息服务和商业信息（例如电子邮件）.

防火墙系统的基本功能

√防火墙必须支持. “除非明确允许，否则禁止任何服务”设计策略.

√防火墙必须支持实际的安全策略，而不是更改安全策略以适应防火墙.

√防火墙必须灵活地适应新服务和机构变更带来的安全策略变更.

√防火墙必须支持增强的身份验证机制.

√防火墙应使用过滤技术来允许或拒绝对特定主机的访问.

√IP过滤描述语言应灵活，友好并且支持源IP和目标IP，协议类型，源和目标TCP / UDP端口以及到达和离开接口.

√防火墙应为FTP和TELNET提供代理服务，以提供增强的集中式身份验证管理机制. 如果您提供其他服务（例如NNTP，http等），则还必须通过代理服务器.

√防火墙应支持集中式SMTP处理，以减少Intranet与远程系统之间的直接连接.

√防火墙应支持对公共信息服务器的访问，支持对公共信息服务器的保护，并将信息服务器与Intranet隔离.

√防火墙可以支持集中管理和拨号访问过滤.

√防火墙应支持流量和可疑活动的记录.

√如果防火墙需要通用操作系统，则必须确保所使用的操作系统已安装了所有已知的安全漏洞补丁.

√防火墙设计应易于理解和管理.

√应该及时升级防火墙所依赖的操作系统，以弥补安全漏洞.

5. 选择防火墙的要点

（1）安全性: 是否已通过严格的入侵测试.

（2）防攻击能力: 针对典型攻击的防御能力

（3）性能: 是否可以提供足够的网络吞吐量？

（4）自我完善: 自身安全，失败关闭

（5）可管理性: 是否支持SNMP网络管理

（6）VPN支持

（7）身份验证和加密功能

（8）服务的类型和原则

（9）网络地址转换功能

三个. 病毒防护技术

病毒一直是信息系统安全的主要问题之一. 由于网络的广泛互连，病毒的传播和速度得到了极大的加快.

我们将病毒路径划分为:

（1）通过FTP和电子邮件传播.

（2）通过软盘，CD和磁带进行传播.

（3）通过网络游览传播，主要是恶意Java控制网站.

（4）通过群件系统传播.

病毒防护的主要技术如下:

（1）防止病毒传播.

在防火墙，代理服务器，SMTP服务器，网络服务器和组件服务器上安装病毒过滤软件. 在台式机上安装病毒监视软件.

（2）检查并删除病毒.

使用防病毒软件检查并删除病毒.

（3）升级病毒.

病毒应不断更新并分发到桌面系统.

（4）在防火墙，代理服务器和PC上安装Java和ActiveX控件扫描软件，并禁止下载和安装未经授权的控件.

四个. 入侵检测技术

使用防火墙技术和精心配置通常可以在内部和外部网络之间提供安全的网络保护，从而降低网络安全风险. 但是，仅使用防火墙和网络安全是不够的:

（1）入侵者可以寻找可能在防火墙后面打开的后门.

（2）入侵者可能在防火墙内部.

（3）由于性能的限制，阻燃通常无法提供实时入侵检测功能.

入侵检测系统是近年来出现的一种新型的网络安全技术. 其目的是提供实时入侵检测并采取相应的保护措施，例如记录跟踪和恢复的证据，断开网络连接等.

实时入侵检测之所以重要，是因为它可以应对来自内部网络的攻击，其次，它可以缩短黑客入侵的时间.

入侵检测系统可以分为两类:

√基于主机

√基于网络

基于主机的入侵检测系统用于保护关键应用程序服务器，实时监视可疑连接，系统日志检查，非法访问入侵等，并提供对典型应用程序（例如Web服务器应用程序）的监视.

基于网络的入侵检测系统用于实时监视网络关键路径信息，其基本模型如右图所示:

以上模型包括四个部分:

（1）被动协议分析器网络数据包的协议分析器，将结果发送到模式匹配部分并根据需要保存.

（2）模式匹配签名分析根据协议分析器的结果匹配入侵签名，并将结果发送到对策部分.

（3）对策采取了规定的措施.

（4）存储可保存分析结果和相关数据.

基于主机的安全监视系统具有以下特征:

（1）准确，可以准确确定入侵事件.

（2）Advanced，可以确定应用程序层的入侵事件.

（3）立即响应入侵时间.

（4）根据不同操作系统的特征.

（5）占用主机的宝贵资源.

基于网络的安全监视系统具有以下特征:

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-288386-1.html