計算機網絡安全問題及防范策略

黃學華

南京信息工程大學計算機與軟件學院，江蘇南京 210044

1 概述

隨著計算機技術的日益普及，各行各業都在試圖通過計算機來提高其生產、經營、學習等方面的效率。計算機網絡作為計算機技術和現代化數字通信技術相互融合的產物，不但是人們日常生活所必須的工具，更是一個國家在政治、經濟、軍事等國家實力的象征。基于此，網絡安全問題就成了人們備受關注的重要課題。從其本質上來看，計算機網絡安全也即是確保網上的各信息資源的安全，網絡安全從某種意義上來說就是指網絡信息安全，也即是指網絡系統中流動及保存的各種數據資源信息不被惡意的泄漏和破壞。網絡上各種數據資源信息時網絡中最寶貴的資源，然而很多不法分子就是通過各種網絡途徑竊取相應的網絡信息資源、泄漏信息、進行一些有害信息的傳播等違法行為。而計算機網絡安全也即是指通過一定的控制手段和管理方法，對網絡上的信息及網絡自身進行保護措施，以此來實現網絡信息的安全級網絡各服務的正常運行；安全可靠的計算機網絡必須具備可靠性、保密性、完整性和可用性4個基本特點。

2 常見的計算機網絡安全隱患

2.1 使用操作系統不直接登陸侵入

操作系統自身存在的漏洞，很容易通過一些不正當手段獲取計算機的管理權限，并通過遠程登陸的方式，實現對計算機數據的破壞和更改，如通過Unix系統中Telent服務器很容易實現對其他計算機的遠程非法訪問。

2.2 利用TCP/IP協議實現破壞

TCP/IP協議組（又稱為網絡通訊協議），是當前計算機網絡互聯協議中最重要的協議之一。設計的目的是為了使網絡環境設置為相對可信安全的環境之下。該網絡協議首要考慮的因素也即是網絡的開放性和互聯性，但其安全性卻很少考慮在內。給TCP/IP協議組本身造成很大的不安全性，導致一系列基于此協議的計算機網絡服務的不安全性。基于此，一些非法分子就會通過TCP連接時所提供的服務器序列號，侵入到網絡中同時非法獲取傳輸的IP數據包，然后通過將信息破壞或篡改后重新發送，以此來影響網絡數據傳輸的正確性和安全性。

2.3 利用IP源路徑實現破壞

由于IP源路徑的不確定，使得計算機網路中的用戶在向其他用戶發送信息時，一些非法分子通過修改IP路徑，將發送信息發送至非法分子指定的IP目標中，以此來非法獲取一些用戶信息。

2.4 更改計算機系統內置文件

計算機網絡中潛存的病毒程序或木馬程序等，可以有企圖的對計算機相關系統文件實現破壞和更改，同時非法的獲取計算機用戶的一些價值文件和數據，如當前影響較大的“特洛伊木馬”等。

2.5 通過非法軟件實現對網絡中的計算機用戶監聽或掃描

通過安裝一些監控裝置或竊聽裝置到計算機用戶上，來實現對網絡中的計算機的非法監聽或掃描，以此來獲取網絡用戶的信息資源。

3 計算機網絡安全的防范策略分析

基于以上存在的問題而言，筆者以為要想防范用戶計算機免受網絡中木馬或病毒的攻擊，可通過采用分層控制的方案，實現對計算機網絡的分層控制，如內部我拿了過訪問控制層、內外網訪問控制層等，結合不同層次的計算機，采取相應的防范措施。

3.1 內外網間的訪問控制層

局域網和互聯網之間，用戶可通過以下防范實現安全管理：

1）安全掃描。互聯網互動過程中，及時的對計算機安全衛士和殺毒軟件等進行升級，以便及時的對流動數據包進行檢測，以便及時有效的對網絡中發現的木馬和病毒采取有效的防護措施；

圖1 防火墻系統的基本配置

2）防火墻系統。防火墻作為計算機網絡信息安全防護的第一道屏障，是一種加強網絡之間訪問控制，它主要用來預防一些非法用戶以非法手段使用網絡中不公開的信息資源，它可以完成兩個或多個數據包之間的傳輸的檢查工作，以此來決定網絡之間傳輸信息的準確性、真實性及安全性。用于隔離安全網絡與不信任網絡、隔離安全網與不安全網絡，同時對它們之間的相互訪問加以控制。它可以對所有進出它的數據實現過濾和檢查，真正發揮應有的安全防護作用。從當前計算機網絡信息安全多種保護手段來看，防火墻系統是當前最行之有效的方法之一。以下以某學校的校園網為例，簡單闡述防火墻系統在計算機網絡安全中的建設方案。

結合校園網的特點，首先在路由器和中心交換機間放置阿姆瑞特防火墻（阿姆瑞特F300防火墻擁有5個接口），同時將學校對外服務器放置于防火強的其它接口上，以此在保障各服務器安全的同時保，還保障了網絡的帶寬。通過在防火墻上設置不允許Internet 用戶訪問該校內部網，使得該校園網絡更加安全合理。其具體配置可參照圖1所示；

3）入侵檢測。計算機實現互聯網互動時，及時有效的進行安全衛士和殺毒軟件系統的升級，對于網絡中流動的數據包及時有效的進行檢測，以便對網絡互動中發現的木馬或病毒程序采取及時的防護措施，必要時禁止登陸對該網站的訪問。

3.2 內部網的訪問控制層

一般情況下，我們可采取以下方法來實現對內部網的訪問保護：

1）用戶身份認證。用戶入網需要經過用戶名驗證，用戶口令驗證以及用戶賬號驗證三個步驟。其關鍵也即是用戶口令，同時需要進行加密實現保護。還應盡量避免多個計算機使用同一賬戶進行登錄；

2）權限控制。權限的原則也即是管理員、用戶等需履行的某一任務而特別具有的權限，這是有效限制其他非法用戶訪問網絡資源的有效途徑。權限設置過程中，首先應確保網絡權限設置的合理性，不能因權限的設置影響網絡的正常運行，同時為減少病毒的入侵，還應增加相應的加密技術來確保網絡的安全，以此來實現對整個網絡信息數據的系統性加密，以此來確保網絡的安全性和可靠性，另外還可適當通過對節點的加密，來實現對計算機節點信息的實時保護，以便最大限度的保障期安全性能；

3）加密技術。數據加密也即是通過適當數學函數轉換方法來以密文的形式代替明文，并只有特定接受者才能對其進行解密。將其分為對稱加密和不對稱加密兩種方法；

4）定時的安全掃描。一般情況下，計算機網路用戶會以出現問題解決問題的態度來對待計算機網絡出現的安全問題，這是一個極為不好的習慣，計算機網絡用戶應養成定期的系統掃描和全盤掃描的習慣，定期檢測計算機網絡各部分的運行狀況，以便及早發現問題，及早給予處理；

5）入侵檢測；

6）設置網絡病毒防范技術。病毒作為計算機網絡中最常見的安全威脅，對計算機網絡進行保護就必須適當增加網路殺毒軟件，通過安裝各種殺毒軟件實現對計算機網絡的實時保護，以此來將網絡威脅降低到最小程度。部分用戶會因為覺得麻煩而不選擇安裝殺毒軟件，這樣一來很容易給病毒營造一種暢通無阻的環境，病毒會隨著瀏覽網頁或下載資料資源等入侵到本地計算機網絡系統，進而給正常的網絡訪問帶來影響。因此，筆者以為無論是單位計算機網絡還是小型的家用計算機網絡中的計算機均應安裝一定的殺毒軟件，以此來啟動本地計算機的防護功能。

3.3 數據存儲層

數據存儲層的安全對整個系統安全來說同樣非常重要。通常我們可通過如下措施，實現對數據存儲層的安全防護。

1）加密技術。可通過一些保密軟件來實現對安全性要求較高的數據進行保護，以此來預防病毒和木馬的入侵；

2）選擇安全系數較高的數據庫系統，實現對數據庫系統的安全防護；

3）確保存儲介質的安全性；

4）及時對數據庫進行系統掃描，定時進行系統升級，以此來及時發現數據庫系統中存在的漏洞，以便及時有效的進行實時修復。

3.4 網絡安全法律規范的實施

網絡安全法律法規作為網絡信息防護的重要放線之一，如果龐大的網絡系統沒有同意的法律法規進行保障，同樣得不到有效的運行，網絡也便成為無序的網絡，也便沒有網絡之說。目前國家相關權利機關針對網路信息安全問題專門制定了一系列相關的法律法規，以此來確保網絡正常安全運行。

總之，計算機網絡安全作為一項長期復雜的系統工程，需要我們不斷健全和強化其各項安全保障措施，以此來提高網絡安全的正常運行。

[1]謝希仁.計算機網絡第5版[M].電子工業出版社，2008：284-285.

[2]李明革，楊亞洲，姜占華.園區網絡故障分析及解決措施[J].吉林大學學報：信息科學版，2008(4)：102-103.

[3]盧建華，蔣明，陳淑芳.網絡數據包捕獲及分析[J].網絡安全技術與應用，2009(2)：23-25.

[4]孫全尚，孫書雙.淺析計算機網絡安全及防范技術[J].科技創新導報，2008(28)：56-58.

[5]邊云生.計算機網絡安全防護技術探究[J].電腦知識與技術，2011，7(31)：45-46.