Ⅰ 網路安全策略
安全策略是指在某個安全區域內（通常是指屬於某個組織的一系列處理和通信資源），用於所有與安全相關活動的一套規則。這些規則是由此安全區域中所設立的一個安全權力機構建立的，並由安全控制機構來描述、實施或實現的。安全策略通常建立在授權的基礎之上，未經適當授權的實體，信息資源不可以給予、不允許訪問、不得使用。安全策略基於身份、規則、角色進行分類。
機房組建應按計算機運行特點及設備具體要求確定。機房一般宜由主機房區、基本工作區、輔助機房區等功能區域組成。
主機房區包括伺服器機房區、網路通信區、前置機房區和介質庫等。
基本工作區包括緩沖區、監控區和軟體測試區等。
輔助機房區包括配電區、配線區、UPS 區、消防氣瓶間和精密空調區等。
設備標識和鑒別：應對機房中設備的具體位置進行標識，以方便查找和明確責任。機房內關鍵設備部件應在其上設置標簽，以防止隨意更換或取走。
設備可靠性：應將主要設備放置在機房內，將設備或主要部件進行固定，並設置明顯的不易除去的標記。應對關鍵的設備關鍵部件冗餘配置，例如電源、主控板、網路介面等。
防靜電：機房內設備上線前必須進行正常的接地、放電等操作，對來自靜電放電的電磁干擾應有一定的抗擾度能力。機房的活動地板應有穩定的抗靜電性能和承載能力，同時耐油、耐腐蝕、柔光、不起塵等。
電磁騷擾：機房內應對設備和部件產生的電磁輻射騷擾、電磁傳導騷擾進行防護。
電磁抗擾：機房內設備對來自電磁輻射的電磁干擾和電源埠的感應傳導的電磁干擾應有一定的抗擾度。
浪涌抗擾：機房內設備應對來自電源埠的浪涌（沖擊）的電磁干擾應有一定的抗擾度。
電源適應能力：機房供電線路上設置穩壓器和過電壓防護設備。對於直流供電的系統設備，應能在直流電壓標稱值變化10%的條件下正常工作。
泄漏電流：機房內設備工作時對保護接地端的泄漏電流值不應超過5mA。
電源線：機房內設備應設置交流電源地線，應使用三芯電源線，其中地線應於設備的保護接地端連接牢固。
線纜：機房通信線纜應鋪設在隱蔽處，可鋪設在地下或管道中。
絕緣電阻：機房內設備的電源插頭或電源引入端與設備外殼裸露金屬部件之間的絕緣電阻應不小於5MΩ。
場地選擇：機房場地選擇應避開火災危險程度高的區域，還應避開有害氣體來源以及存放腐蝕、易燃、易爆物品的地方。機房場地應避開強振動源、強雜訊源和強電場干擾的地方。機房不應該選擇在樓層的最高層或者最低層地方。
防火：機房應設置火災自動報警系統，包括火災自動探測器、區域報警器、集中報警器和控制器等，能對火災發生的部位以聲、光或電的形式發出報警信號，並啟動自動滅火設備，切斷電源、關閉空調設備等。機房採取區域隔離防火措施，布局要將脆弱區和危險區進行隔離，防止外部火災進入機房，特別是重要設備地區，安裝防火門、使用阻燃材料裝修。機房及相關的工作房間和輔助房應採用具有耐火等級的建築材料。
電磁輻射防護：電源線和通信線纜應隔離鋪設，避免互相干擾。應對關鍵設備和磁介質實施電磁屏蔽。通信線採取屏蔽措施，防止外部電磁場對機房內計算機及設備的干擾，同時也抑制電磁信息的泄漏。應採用屏蔽效能良好屏蔽電纜作為機房的引入線。機房的信號電纜線（輸入／輸出）埠和電源線的進、出埠應適當加裝濾波器。電纜連接處應採取屏蔽措施，抑制電磁雜訊干擾與電磁信息泄漏。
供電系統：應設置冗餘或並行的電力電纜線路為計算機系統供電。應建立備用供電系統。機房供電電源設備的容量應具有一定的餘量。機房供電系統應將信息系統設備供電線路與其它供電線路分開，應配備應急照明裝置。機房應配置電源保護裝置，加裝浪涌保護器。機房電源系統的所有接點均應鍍錫處理，並且冷壓連接。
靜電防護：主機房內絕緣體的靜電電位不應大於1kV。主機房內的導體應與大地作可靠的連接，不應有對地絕緣的孤立導體。
防雷電：機房系統中所有的設備和部件應安裝在有防雷保護的范圍內。不得在建築物屋頂上敷設電源或信號線路。必須敷設時，應穿金屬管進行屏蔽防護，金屬管應進行等電位連接。機房系統電源及系統輸入/輸出信號線，應分不同層次，採用多級雷電防護措施。
機房接地：對直流工作接地有特殊要求需單獨設置接地裝置的系統，接地電阻值及其它接地體之間的距離，應按照機房系統及有關規范的要求確定。
溫濕度控制：機房應有較完備的空調系統，保證機房溫度的變化在計算機設備運行所允許的范圍。當機房採用專用空調設備並與其它系統共享時，應保證空調效果和採取防火措施。機房空氣調節控制裝置應滿足計算機系統對溫度、濕度以及防塵的要求。空調系統應支持網路監控管理，通過統一監控，反映系統工作狀況。
機房防水：機房水管安裝不得穿過屋頂和活動地板，穿過牆壁和樓板的水管應使用套管，並採取可靠的密封措施。機房應有有效的防止給水、排水、雨水通過屋頂和牆壁漫溢和滲漏的措施，應採取措施防止機房內水蒸氣結露和地下積水的轉移與滲透。機房應安裝漏水檢測系統，並有報警裝置。
入網訪問控制是網路訪問的第1層安全機制。它控制哪些用戶能夠登錄到伺服器並獲准使用網路資源，控制准許用戶入網的時間和位置。用戶的入網訪問控制通常分為三步執行：用戶名的識別與驗證；用戶口令的識別與驗證；用戶賬戶的默認許可權檢查。三道控制關卡中只要任何一關未過，該用戶便不能進入網路。
對網路用戶的用戶名和口令進行驗證是防止非法訪問的第一道關卡。用戶登錄時首先輸入用戶名和口令，伺服器將驗證所輸入的用戶名是否合法。用戶的口令是用戶入網的關鍵所在。口令最好是數字、字母和其他字元的組合，長度應不少於6個字元，必須經過加密。口令加密的方法很多，最常見的方法有基於單向函數的口令加密、基於測試模式的口令加密、基於公鑰加密方案的口令加密、基於平方剩餘的口令加密、基於多項式共享的口令加密、基於數字簽名方案的口令加密等。經過各種方法加密的口令，即使是網路管理員也不能夠得到。系統還可採用一次性用戶口令，或使用如智能卡等攜帶型驗證設施來驗證用戶的身份。
網路管理員應該可對用戶賬戶的使用、用戶訪問網路的時間和方式進行控制和限制。用戶名或用戶賬戶是所有計算機系統中最基本的安全形式。用戶賬戶應只有網路管理員才能建立。用戶口令是用戶訪問網路所必須提交的准入證。用戶應該可以修改自己的口令，網路管理員對口令的控制功能包括限制口令的最小長度、強制用戶修改口令的時間間隔、口令的惟一性、口令過期失效後允許入網的寬限次數。針對用戶登錄時多次輸入口令不正確的情況，系統應按照非法用戶入侵對待並給出報警信息，同時應該能夠對允許用戶輸入口令的次數給予限制。
用戶名和口令通過驗證之後，系統需要進一步對用戶賬戶的默認許可權進行檢查。網路應能控制用戶登錄入網的位置、限制用戶登錄入網的時間、限制用戶入網的主機數量。當交費網路的用戶登錄時，如果系統發現「資費」用盡，還應能對用戶的操作進行限制。
操作許可權控制是針對可能出現的網路非法操作而採取安全保護措施。用戶和用戶組被賦予一定的操作許可權。網路管理員能夠通過設置，指定用戶和用戶組可以訪問網路中的哪些伺服器和計算機，可以在伺服器或計算機上操控哪些程序，訪問哪些目錄、子目錄、文件和其他資源。網路管理員還應該可以根據訪問許可權將用戶分為特殊用戶、普通用戶和審計用戶，可以設定用戶對可以訪問的文件、目錄、設備能夠執行何種操作。特殊用戶是指包括網路管理員的對網路、系統和應用軟體服務有特權操作許可的用戶；普通用戶是指那些由網路管理員根據實際需要為其分配操作許可權的用戶；審計用戶負責網路的安全控制與資源使用情況的審計。系統通常將操作許可權控制策略，通過訪問控製表來描述用戶對網路資源的操作許可權。
訪問控制策略應該允許網路管理員控制用戶對目錄、文件、設備的操作。目錄安全允許用戶在目錄一級的操作對目錄中的所有文件和子目錄都有效。用戶還可進一步自行設置對目錄下的子控制目錄和文件的許可權。對目錄和文件的常規操作有：讀取(Read)、寫入(Write)、創建(Create)、刪除(Delete)、修改(Modify)等。網路管理員應當為用戶設置適當的操作許可權，操作許可權的有效組合可以讓用戶有效地完成工作，同時又能有效地控制用戶對網路資源的訪問。
訪問控制策略還應該允許網路管理員在系統一級對文件、目錄等指定訪問屬性。屬性安全控制策略允許將設定的訪問屬性與網路伺服器的文件、目錄和網路設備聯系起來。屬性安全策略在操作許可權安全策略的基礎上，提供更進一步的網路安全保障。網路上的資源都應預先標出一組安全屬性，用戶對網路資源的操作許可權對應一張訪問控製表，屬性安全控制級別高於用戶操作許可權設置級別。屬性設置經常控制的許可權包括：向文件或目錄寫入、文件復制、目錄或文件刪除、查看目錄或文件、執行文件、隱含文件、共享文件或目錄等。允許網路管理員在系統一級控制文件或目錄等的訪問屬性，可以保護網路系統中重要的目錄和文件，維持系統對普通用戶的控制權，防止用戶對目錄和文件的誤刪除等操作。
網路系統允許在伺服器控制台上執行一系列操作。用戶通過控制台可以載入和卸載系統模塊，可以安裝和刪除軟體。網路伺服器的安全控制包括可以設置口令鎖定伺服器控制台，以防止非法用戶修改系統、刪除重要信息或破壞數據。系統應該提供伺服器登錄限制、非法訪問者檢測等功能。
網路管理員應能夠對網路實施監控。網路伺服器應對用戶訪問網路資源的情況進行記錄。對於非法的網路訪問，伺服器應以圖形、文字或聲音等形式報警，引起網路管理員的注意。對於不法分子試圖進入網路的活動，網路伺服器應能夠自動記錄這種活動的次數，當次數達到設定數值，該用戶賬戶將被自動鎖定。
防火牆是一種保護計算機網路安全的技術性措施，是用來阻止網路黑客進入企業內部網的屏障。防火牆分為專門設備構成的硬體防火牆和運行在伺服器或計算機上的軟體防火牆。無論哪一種，防火牆通常都安置在網路邊界上，通過網路通信監控系統隔離內部網路和外部網路，以阻檔來自外部網路的入侵。
域間安全策略用於控制域間流量的轉發（此時稱為轉發策略），適用於介面加入不同安全區域的場景。域間安全策略按IP地址、時間段和服務（埠或協議類型）、用戶等多種方式匹配流量，並對符合條件的流量進行包過濾控制（permit/deny）或高級的UTM應用層檢測。域間安全策略也用於控制外界與設備本身的互訪（此時稱為本地策略），按IP地址、時間段和服務（埠或協議類型）等多種方式匹配流量，並對符合條件的流量進行包過濾控制（permit/deny），允許或拒絕與設備本身的互訪。
預設情況下域內數據流動不受限制，如果需要進行安全檢查可以應用域內安全策略。與域間安全策略一樣可以按IP地址、時間段和服務（埠或協議類型）、用戶等多種方式匹配流量，然後對流量進行安全檢查。例如：市場部和財務部都屬於內網所在的安全區域Trust，可以正常互訪。但是財務部是企業重要數據所在的部門，需要防止內部員工對伺服器、PC等的惡意攻擊。所以在域內應用安全策略進行IPS檢測，阻斷惡意員工的非法訪問。
當介面未加入安全區域的情況下，通過介麵包過濾控制介面接收和發送的IP報文，可以按IP地址、時間段和服務（埠或協議類型）等多種方式匹配流量並執行相應動作（permit/deny）。基於MAC地址的包過濾用來控制介面可以接收哪些乙太網幀，可以按MAC地址、幀的協議類型和幀的優先順序匹配流量並執行相應動作（permit/deny）。硬體包過濾是在特定的二層硬體介面卡上實現的，用來控制介面卡上的介面可以接收哪些流量。硬體包過濾直接通過硬體實現，所以過濾速度更快。
信息加密的目的是保護網內的數據、文件、口令和控制信息，保護網上傳輸的數據。網路加密常用的方法有鏈路加密、端點加密和節點加密三種。鏈路加密的目的是保護網路節點之間的鏈路信息安全;端-端加密的目的是對源端用戶到目的端用戶的數據提供保護;節點加密的目的是對源節點到目的節點之間的傳輸鏈路提供保護。用戶可根據網路情況酌情選擇上述加密方式。
信息加密過程是由形形色色的加密演算法來具體實施，它以很小的代價提供很大的安全保護。在多數情況下，信息加密是保證信息機密性的唯一方法。據不完全統計，到目前為止，已經公開發表的各種加密演算法多達數百種。如果按照收發雙方密鑰是否相同來分類，可以將這些加密演算法分為常規密碼演算法和公鑰密碼演算法。
在常規密碼中，收信方和發信方使用相同的密鑰，即加密密鑰和解密密鑰是相同或等價的。比較著名的常規密碼演算法有：美國的DES及其各種變形，比如Triple DES、GDES、New DES和DES的前身Lucifer; 歐洲的IDEA;日本的FEAL-N、LOKI-91、Skipjack、RC4、RC5以及以代換密碼和轉輪密碼為代表的古典密碼等。在眾多的常規密碼中影響最大的是DES密碼。
常規密碼的優點是有很強的保密強度，且經受住時間的檢驗和攻擊，但其密鑰必須通過安全的途徑傳送。因此，其密鑰管理成為系統安全的重要因素。
在公鑰密碼中，收信方和發信方使用的密鑰互不相同，而且幾乎不可能從加密密鑰推導出解密密鑰。比較著名的公鑰密碼演算法有：RSA、背包密碼、McEliece密碼、Diffe-Hellman、Rabin、Ong-Fiat-Shamir、零知識證明的演算法、橢園曲線、EIGamal演算法等等。最有影響的公鑰密碼演算法是RSA，它能抵抗到目前為止已知的所有密碼攻擊。
公鑰密碼的優點是可以適應網路的開放性要求，且密鑰管理問題也較為簡單，尤其可方便的實現數字簽名和驗證。但其演算法復雜。加密數據的速率較低。盡管如此，隨著現代電子技術和密碼技術的發展，公鑰密碼演算法將是一種很有前途的網路安全加密體制。
當然在實際應用中人們通常將常規密碼和公鑰密碼結合在一起使用，比如：利用DES或者IDEA來加密信息，而採用RSA來傳遞會話密鑰。如果按照每次加密所處理的比特來分類，可以將加密演算法分為序列密碼和分組密碼。前者每次只加密一個比特而後者則先將信息序列分組，每次處理一個組。
密碼技術是網路安全最有效的技術之一。一個加密網路，不但可以防止非授權用戶的搭線竊聽和入網，而且也是對付惡意軟體的有效方法之一。
應制定相應的機房管理制度，規范機房與各種設備的使用和管理，保障機房安全及設備的正常運行，至少包括日常管理、出入管理、設備管理、巡檢（環境、設備狀態、指示燈等進行檢查並記錄）等。重要區域應配置電子門禁系統，控制、鑒別和記錄進入的人員。對機房內的各種介質應進行分類標識，重要介質存儲在介質庫或檔案室中。
加強網路的安全管理，制定有關規章制度，對於確保系統的安全、可靠地運行，將起到十分有效的作用。網路的安全管理策略包括：確定安全管理等級和安全管理范圍；制訂有關網路操作使用規程和訪問主機的管理制度；制訂網路系統的維護制度和應急措施等。
Ⅱ 互聯網安全是指哪些方面的要如何才能實現安全
主流網路安全技術全方面縱覽 一、網路安全的概念 國際標准化組織（ISO）對計算機系統安全的定義是：為數據處理系統建立和採用的技術和管理的安全保護，保護計算機硬體、軟體和數據不因偶然和惡意的原因遭到破壞、更改和泄露。由此可以將計算機網路的安全理解為：通過採用各種技術和管理措施，使網路系統正常運行，從而確保網路數據的可用性、完整性和保密性。所以，建立網路安全保護措施的目的是確保經過網路傳輸和交換的數據不會發生增加、修改、丟失和泄露等。 二、Internet上存在的主要安全隱患 Internet的安全隱患主要體現在下列幾方面： 1． Internet是一個開放的、無控制機構的網路，黑客（Hacker）經常會侵入網路中的計算機系統，或竊取機密數據和盜用特權，或破壞重要數據，或使系統功能得不到充分發揮直至癱瘓。 2． Internet的數據傳輸是基於TCP/IP通信協議進行的，這些協議缺乏使傳輸過程中的信息不被竊取的安全措施。 3． Internet上的通信業務多數使用Unix操作系統來支持，Unix操作系統中明顯存在的安全脆弱性問題會直接影響安全服務。 4．在計算機上存儲、傳輸和處理的電子信息，還沒有像傳統的郵件通信那樣進行信封保護和簽字蓋章。信息的來源和去向是否真實，內容是否被改動，以及是否泄露等，在應用層支持的服務協議中是憑著君子協定來維系的。 5．電子郵件存在著被拆看、誤投和偽造的可能性。使用電子郵件來傳輸重要機密信息會存在著很大的危險。 6．計算機病毒通過Internet的傳播給上網用戶帶來極大的危害，病毒可以使計算機和計算機網路系統癱瘓、數據和文件丟失。在網路上傳播病毒可以通過公共匿名FTP文件傳送、也可以通過郵件和郵件的附加文件傳播。 三、網路安全防範的內容 一個安全的計算機網路應該具有可靠性、可用性、完整性、保密性和真實性等特點。計算機網路不僅要保護計算機網路設備安全和計算機網路系統安全，還要保護數據安全等。因此針對計算機網路本身可能存在的安全問題，實施網路安全保護方案以確保計算機網路自身的安全性是每一個計算機網路都要認真對待的一個重要問題。網路安全防範的重點主要有兩個方面：一是計算機病毒，二是黑客犯罪。 計算機病毒是我們大家都比較熟悉的一種危害計算機系統和網路安全的破壞性程序。黑客犯罪是指個別人利用計算機高科技手段，盜取密碼侵入他人計算機網路，非法獲得信息、盜用特權等，如非法轉移銀行資金、盜用他人銀行帳號購物等。隨著網路經濟的發展和電子商務的展開，嚴防黑客入侵、切實保障網路交易的安全，不僅關繫到個人的資金安全、商家的貨物安全，還關繫到國家的經濟安全、國家經濟秩序的穩定問題，因此各級組織和部門必須給予高度重視。 四、確保網路安全的主要技術 1，防火牆技術 網路防火牆技術是一種用來加強網路之間訪問控制，防止外部網路用戶以非法手段通過外部網路進入內部網路，訪問內部網路資源，保護內部網路操作環境的特殊網路互聯設備。它對兩個或多個網路之間傳輸的數據包如鏈接方式按照一定的安全策略來實施檢查，以決定網路之間的通信是否被允許，並監視網路運行狀態。 目前的防火牆產品主要有堡壘主機、包過濾路由器、應用層網關(代理伺服器)以及電路層網關、屏蔽主機防火牆、雙宿主機等類型。 防火牆處於5層網路安全體系中的最底層,屬於網路層安全技術范疇。負責網路間的安全認證與傳輸,但隨著網路安全技術的整體發展和網路應用的不斷變化,現代防火牆技術已經逐步走向網路層之外的其他安全層次,不僅要完成傳統防火牆的過濾任務,同時還能為各種網路應用提供相應的安全服務。另外還有多種防火牆產品正朝著數據安全與用戶認證、防止病毒與黑客侵入等方向發展。 根據防火牆所採用的技術不同,我們可以將它分為四種基本類型：包過濾型、網路地址轉換-NAT、代理型和監測型。具體如下： （1）包過濾型 包過濾型產品是防火牆的初級產品,其技術依據是網路中的分包傳輸技術。網路上的數據都是以"包"為單位進行傳輸的,數據被分割成為一定大小的數據包,每一個數據包中都會包含一些特定信息,如數據的源地址、目標地址、TCP/UDP源埠和目標埠等。防火牆通過讀取數據包中的地址信息來判斷這些"包"是否來自可信任的安全站點，一旦發現來自危險站點的數據包,防火牆便會將這些數據拒之門外。系統管理員也可以根據實際情況靈活制訂判斷規則。 包過濾技術的優點是簡單實用,實現成本較低,在應用環境比較簡單的情況下,能夠以較小的代價在一定程度上保證系統的安全。 但包過濾技術的缺陷也是明顯的。包過濾技術是一種完全基於網路層的安全技術,只能根據數據包的來源、目標和埠等網路信息進行判斷,無法識別基於應用層的惡意侵入,如惡意的Java小程序以及電子郵件中附帶的病毒。有經驗的黑客很容易偽造IP地址,騙過包過濾型防火牆。 （2）網路地址轉化-NAT 網路地址轉換是一種用於把IP地址轉換成臨時的、外部的、注冊的IP地址標准。它允許具有私有IP地址的內部網路訪問網際網路。它還意味著用戶不許要為其網路中每一台機器取得注冊的IP地址。 NAT的工作過程是：在內部網路通過安全網卡訪問外部網路時，將產生一個映射記錄。系統將外出的源地址和源埠映射為一個偽裝的地址和埠，讓這個偽裝的地址和埠通過非安全網卡與外部網路連接，這樣對外就隱藏了真實的內部網路地址。在外部網路通過非安全網卡訪問內部網路時，它並不知道內部網路的連接情況，而只是通過一個開放的IP地址和埠來請求訪問。OLM防火牆根據預先定義好的映射規則來判斷這個訪問是否安全。當符合規則時，防火牆認為訪問是安全的，可以接受訪問請求，也可以將連接請求映射到不同的內部計算機中。當不符合規則時，防火牆認為該訪問是不安全的，不能被接受，防火牆將屏蔽外部的連接請求。網路地址轉換的過程對於用戶來說是透明的，不需要用戶進行設置，用戶只要進行常規操作即可。 （3）代理型 代理型防火牆也可以被稱為代理伺服器,它的安全性要高於包過濾型產品,並已經開始向應用層發展。代理伺服器位於客戶機與伺服器之間,完全阻擋了二者間的數據交流。從客戶機來看,代理伺服器相當於一台真正的伺服器;而從伺服器來看,代理伺服器又是一台真正的客戶機。當客戶機需要使用伺服器上的數據時,首先將數據請求發給代理伺服器,代理伺服器再根據這一請求向伺服器索取數據,然後再由代理伺服器將數據傳輸給客戶機。由於外部系統與內部伺服器之間沒有直接的數據通道,外部的惡意侵害也就很難傷害到企業內部網路系統。 代理型防火牆的優點是安全性較高,可以針對應用層進行偵測和掃描,對付基於應用層的侵入和病毒都十分有效。其缺點是對系統的整體性能有較大的影響,而且代理伺服器必須針對客戶機可能產生的所有應用類型逐一進行設置,大大增加了系統管理的復雜性。 （4）監測型 監測型防火牆是新一代的產品,這一技術實際已經超越了最初的防火牆定義。監測型防火牆能夠對各層的數據進行主動的、實時的監測,在對這些數據加以分析的基礎上,監測型防火牆能夠有效地判斷出各層中的非法侵入。同時,這種檢測型防火牆產品一般還帶有分布式探測器,這些探測器安置在各種應用伺服器和其他網路的節點之中,不僅能夠檢測來自網路外部的攻擊,同時對來自內部的惡意破壞也有極強的防範作用。據權威機構統計,在針對網路系統的攻擊中,有相當比例的攻擊來自網路內部。因此,監測型防火牆不僅超越了傳統防火牆的定義,而且在安全性上也超越了前兩代產品。 雖然監測型防火牆安全性上已超越了包過濾型和代理伺服器型防火牆,但由於監測型防火牆技術的實現成本較高,也不易管理,所以目前在實用中的防火牆產品仍然以第二代代理型產品為主,但在某些方面也已經開始使用監測型防火牆。基於對系統成本與安全技術成本的綜合考慮,用戶可以選擇性地使用某些監測型技術。這樣既能夠保證網路系統的安全性需求,同時也能有效地控制安全系統的總擁有成本。 雖然防火牆是目前保護網路免遭黑客襲擊的有效手段，但也有明顯不足：無法防範通過防火牆以外的其它途徑的攻擊，不能防止來自內部變節者和不經心的用戶們帶來的威脅，也不能完全防止傳送已感染病毒的軟體或文件，以及無法防範數據驅動型的攻擊。 參考資料： http://down.xiaojiao.com/view.asp?id=405
Ⅲ 什麼是網路安全管理策略
在網路安全技術飛速發展的今天，只有將不同安全側重點的安全技術有效地融合起來，安全產品的性價比才能更高。目前，已有一些廠商在安全設備與安全策略管理、安全風險控制、集中安全審計等方面做了十分有效的工作。通過綜合分析，結合實際管理需求，我們認為以下幾項技術需要重點掌握：
協議聯通技術：目前國際上的網管軟體大多是基於SNMP設計的，一般只側重於設備管理，且編程復雜、結構單一，不利於大規模集成。如果用戶要管理各類網路設備、操作系統及安全產品，則要綜合使用諸如WBEM、UDDI和XML等協議與通信技術。因此應盡量提高各協議介面間的透明訪問程度，實現協議間的互聯互訪。
探頭集成技術：目前各安全子系統要對網路及用戶進行實時管理，大多採用用戶端安裝插件的技術，在多個子系統都需插件的情況下，可能產生沖突，且給用戶系統增加負擔，因此各廠商除提供必要的介面信息外，集成單位也應注意將各種信息技術進行融合，通過編程實現對各系統探頭的集成。
可視化管理技術：為了讓用戶更好地通過安全管理平台進行集中管理，用戶管理界面最好能夠提供直觀的網路拓樸圖，實時顯示整個網路的安全狀況，使用戶可以便捷地查看各安全產品組件的狀態、日誌以及信息處理結果，產生安全趨勢分析報表。因此可視化管理技術的研究與應用尤為重要。
事件關聯技術：由於從單獨的安全事件中很難發覺其它的攻擊行為，必須綜合多種安全設備的事件信息進行分析，才能得到准確的判斷。所以，事件關聯技術的研究和實現，可以大大提高安全管理平台綜合處理與智能處理的能力，提高管理平台分析及審計能力，更好地幫助網管人員進行網路安全的集中管控，發揮網路安全管理平台的重要作用。
事件過濾技術：一個安全事件有可能同時觸動多個安全單元，同時產生多個安全事件報警信息，造成同一事件信息「泛濫」，反而使關鍵的信息被淹沒。因此，事件過濾技術也是安全管理平台需要解決的一個重要問題。
快速響應技術：發生網路安全事件後，單靠人工處理可能會貽誤戰機，所以必須要開發快速響應技術，從而能使系統自動響應安全事件。如實現報警、阻塞、阻斷、引入陷阱，以及取證和反擊等。
Ⅳ 信息安全策略主要包括哪些內容
1、密碼策略：
加強用戶密碼管理和伺服器密碼管理。主要是拒絕訪問、檢測病毒、控制病毒和消除病毒。密碼必須滿足復雜性要求。最小密碼長度。所有的安全策略都是根據計算機的實際使用情況來設置的。
2、本地安全策略：
設置計算機的安全方面和許可權，比如用戶許可權的分配。
3、組策略：
組策略可以對計算機進行詳細的設置，如鎖定驅動器號、隱藏驅動器號等。
4、口令策略：
主要是加強用戶口令管理和伺服器口令管理；
5、計算機病毒和惡意代碼防治策略：
主要是拒絕訪問，檢測病毒，控制病毒，消除病毒。
(4)網站的安全策略描述了什麼擴展閱讀：
信息安全管理措施：
一、注重思想教育，著力提高網路安全保護的自覺性。
1、用思想教育啟迪。
2、用環境氛圍熏陶。
3、用各種活動深化。
二、建立完善機制，努力促進網路安全操作的規范性。
1、著眼全面規范，建立統攬指導機制。
2、著眼激發動力，健全責任追究機制。
3、著眼發展要求，建立研究創新機制。
三、緊扣任務特點，不斷增強網路安全管理的針對性。
1、加強網路信息安全檢查。
2、加強網路信息安全教育培訓。
3、加強網路信息日常維護管理。
Ⅳ 網路安全策略都包括哪些方面的策略
（1）物理安全策略：物理安全策略的目的是保護計算機系統、網路伺服器、列印機等硬體實體和通信鏈路免受自然災害、人為破壞和搭線攻擊；驗證用戶的身份和使用許可權、防止用戶越權操作；確保計算機系統有一個良好的電磁兼容工作環境；建立完備的安全管理制度，防止非法進入計算機控制室和各種偷竊、破壞活動的發生。
（2）訪問控制策略：入網訪問控制，網路的許可權控制，目錄級安全控制，屬性安全控制，網路監測和鎖定控制，網路埠和結點的安全控制。
（3）防火牆控制防火牆是近期發展起來的一種保護計算機網路安全的技術性措施，它是一個用以阻止網路中的黑客訪問某個機構網路的屏障，也可稱之為控制進/出兩個方向通信的門檻。在網路邊界上通過建立起來的相應網路通信監控系統來隔離內部和外部網路，以阻擋外部網路的侵入。當前主流的防火牆主要分為三類：包過濾防火牆、代理防火牆和雙穴主機防火牆。
（4）信息加密策略網路加密常用的方法有鏈路加密、端點加密和結點加密三種。鏈路加密的目的是保護網路結點之間的鏈路信息安全；端點加密的目的是對源端用戶到目的端用戶的數據提供保護；結點加密的目的是對源結點到目的結點之間的傳輸鏈路提供保護。
（5）網路安全管理策略在網路安全中，除了採用上述技術措施之外，加強網路的安全管理，制定有關規章制度，對於確保網路的安全、可靠地運行，將起到十分有效的作用。網路的安全管理策略包括：確定安全管理等級和安全管理范圍；制訂有關網路操作使用規程和人員出入機房的管理制度；制訂網路系統的維護制度和應急措施等。