网络安全技术
退 出
?学习目的,
? 了解 因特网上的安全隐患、脆弱性及根源
? 掌握 Web与电子商务安全技术
? 初步掌握 IP的安全技术
? 掌握 E-mail安全技术
? 掌握 安全扫描技术, 网络安全管理技术
? 掌握 网络信息过滤技术
? 掌握 身份认证技术
? 掌握 VPN（ Virtual Private Network）技术
?学习重点,
? Web与电子商务安全技术
? E-mail安全技术
? 安全扫描技术
? VPN（ Virtual Private Network）技术
9,1
因特网安全
概述
9,1,1 因特网上的安全隐患
Internet的安全隐患主要源于计算机网络的脆弱性、
网络通信协议本身固有的缺陷、网络软件与网络服务的
漏洞、网络结构和网络硬件的安全缺陷等几个方面。
具体表现为,
（ 1） Web具有双向的修改特性
（ 2） Web浏览、配置管理、内容发布等软件复杂，隐
藏潜在安全隐患
（ 3） Web通常是一个公司或机构的公告板
（ 4）用户往往是未经训练的
9,1,2 因特网的脆弱性及根源
计算机网络的脆弱性通常包括物理网络的脆弱性、过程网
络的脆弱性以及通信链路脆弱性三种。脆弱性根源具体表
现为,
（ 1）电磁辐射
（ 2）搭线窃听
（ 3）串音
,黑客, 的攻击手段可分为主动和被动攻击
主动攻击则意在篡改系统中所含信息或者改变系统的
状态及操作。
被动攻击不会导致对系统中所含信息的任何改动，而
且系统的操作和状态也不被改变，因此被动攻击主要威胁
信息的保密性。
常见的主动攻击手段有,
（ 1）冒充
（ 2）篡改
（ 3）抵赖
（ 4）其它
常见的被动攻击手段有,
（ 1）偷窃
（ 2）分析
总之计算机和计算机网络安全措施是确保计算
机与计算机网络正常运行的保护措施，尽管目前没
有一种保护措施能确保网络达到 100％的安全，但安
全措施却又是不可缺少的。
9．２
Web与电子商
务安全技术
9,2,1 Web与电子商务的安全分析
电子商务是在 Internet上运作的，它跨越国度、涉及
多种技术平台。因此，其电子商务活动的安全性是人们最
为关心的问题。
目前在电子商务的安全方面主要体现在：对 Web服务器
的安全威胁、对 Web浏览客户机的安全威胁和对服务器和
客户机之间通信信道的威 胁 等。
１、对 Web服务器的安全威胁
一般来说 Web服务的内容越丰富，功能越大，包含错误
代码的概率就越高，有安全漏洞的概率也就越高。
Web服务器上最敏感的文件之一就是存放用户名的文
件。
Web服务的数据库中会保存一些有价值的信息或隐私
信息，如果被更改或泄露会造成无法弥补的损失。
2,对 Web浏览客户机的安全威胁
活动内容是在静态页面中嵌入对用户是透明的程
序，它可完成一些动作 。 用户使用浏览器查看一个带
有活动内容的页面时，这些小应用程序就会自动下载
并开始在客户机上启动运行。企图破坏客户机的人可
将破坏性的活动内容放进表面看起来完全无害的页面
中。
通常存在如下一些活动内容,
（ 1） Java Applet。它使用 Java 语言开发，实现各种
各样的客户端应用。
（ 2） ActiveX。 ActiveX是一个控件，它封装由页面
设计者放在页面来执行特定任务的程序。
众所周知, 连接客户机同服务器的桥梁是互联网 。 但
从互联网最初的设计思想, 抗毁性, 和, 不可靠性, 来
看, 互联网的主要目的不是为了提供安全传输, 而是为
了提供冗余传输, 即为保证当一个或多个通信线路被切
断时仍能正常通信而设计 。 在网络上传输信息的保密性
通常通过将信息转化为不可识别字符串来实现的 。 发展
至今, 互联网的不安全状态与最初相比也没有很大改观
。
?对保密性的安全威胁
?对完整性的安全威胁
?对即需性的安全威胁
３,对服务器和客户机之间通信信道的威胁
9,2,2 Web安全防护技术
1,Web程序组件安全防护
对于一个连接到 Internet上的计算机系统而言,
最危险的事件之一就是从网上任意下载程序并在本
机上运行它 。 因为没有一个操作系统能控制一个已
经开始执行的程序的权限 。 Java通过, 沙盒, 机制
来实现它的安全性 。 除了类似沙盒这样的权限限制
机制外, 避免因程序的漏洞而使服务器受到攻击,
在编写 Web程序时还有以下一些要注意的地方 。
（ 1） ID字段使用随机产生的大数, 而不是连续的
整数； （ 2） 使用 Session或加密的 cookie来记录访
问者的状态及必要信息； （ 3） 处理输入内容前,
先核对提交的表单来源； （ 4） 对输入数据要进行
类型检查, 非法字符检查, 数组越界检查 。
1,概述
安全套接层协议 SSL（ Secure Socket Layer）是一
个用来保证安全传输文件的协议，它主要是使用公开密
钥体制和Ｘ,509数字证书技术保护信息传输的机密性和
完整性，但它不能保证信息的不可抵赖性，主要适用于
点对点之间的信息传输。
SSL协议包括子协议有,
（ 1） SSL记录协议
（ 2） SSL握手协议
（ 3） SSL警告协议
9,2,3 SSL
SSL体系结构图
2,SSL握手过程
（ 1） SSL握手过程
具体过程：① ～⑩
（ 2）服务器身份的认证
（ 3）客户端身份的认证
3,SSL的缺点
? 利用 SSL的攻击无法被入侵系统 IDS（ Intrusion
Detection System）检测到。
? 对电子商务来说，问题并没有完全解决
安全电子交易 SET(SecureElectronic Transaction)，
它采用公钥密码体制和 X.509数字证书标准，保障网上
购物信息的安全性。
SET的实现构架图
9,2,4 电子商务的安全技术
当前的主页防修改系统一般是 Client /Server结
构，分为两层：控制台和 Web服务器。也有三层结构的
主机防修改系统，在控制台和 Web服务器之间增加了代
理层。这类系统主要包括监控和恢复两大功能
1,主 页监控
监控策略,
① 实时监测
② 定时监测
③ 间隔监测
④ 分级监测
2,主页恢复
主页防修改系统的恢复部分包括对需要恢复的 Web文
件和重要的系统文件的备份和恢复两大功能 。
9,2,5 主页防修改技术
9,3
IP的安全
技术
作为一个开放的协议平台, TCP/IP将越来越多的部
门和人员用网络连接起来, 但是安全性的缺乏减慢了网
络的发展速度 。 目前网络面临的各种安全性威胁主要包
括,
（ 1） 数据泄露
（ 2） 数据完整性的破坏
（ 3） 身份伪装
（ 4） 拒绝服务
9,3,1 IP安全概述
9,3,2 IP安全体系结构
1,简介
IPSec使用了两种通信安全协议 AH
（ Authentication Header）和 ESP(Encapsulating
Security Payload)，以及 IKE（ Internet Key
Exchange）密钥管理协议来向 IPv4或 Ipv6数据提供可
互操作的、高质量的、基于密码学的安全性。
总的来说,IPSec可以为 IP层提供基于加密的互
操作性强、高质量的通信安全，所支持的安全服务包
括存取控制、无连接的完整性、数据发起方认证和加
密。
2．安全关联
安全关联 SA（ Security Association）的概念是
IPSec的基础。 IPSec的两种协议（ AH和 ESP）均使用到
SA。 SA管理的两大任务就是 SA的创建和删除。 SA的管
理既可手工进行，也可通过 IKE来完成。
（ 1）手工方式。安全参数由管理员按安全策略手工
指定、手工维护。
（ 2） IKE。 SA的自动建立和动态维护是通过 IKE进行
的。
3,AH协议
正如 AH名称的字面意义一样,AH协议在所有数据报
头加入一个密码，通过一个只有密钥持有人才知道的,
数字签名, 对用户进行认证。
AH只对没有分段的数据报起作用。
AH也提供任何接收者处理的抗重播（部分序列完整
性）服务，帮助抵抗拒绝服务攻击。
4,ESP协议
ESP协议主要用来对 IP数据报内容加密，此外
它对认证也提供某种程度的支持。
ESP协议数据单元格式由三部分组成，除了头
部、加密数据部分外，在实施认证时还包含一个可
选的尾部。
ESP报头结构
5.ISAKMP协议
Internet 安 全 关 联 和 密 钥 管 理 协 议
ISAKMP(Internet Security Association ad Key
Management Protocol)定义了通信双方信息沟通的
构建方法, 定义了保障通信安全所需的状态交换方
式, 还提供了对对方身份进行验证的方法, 密钥交
换时交换信息的方法, 以及对安全服务进行协商的
方法 。
ISAKMP描述了协商的两个独立阶段 。 第一阶
段：通信双方彼此间建立一个巳通过身分验证和安
全保护的通道 。 第二阶段：用这个通过了验证和安
全保护的通道为另一个不同的协议协商安全服务 。
6,IKE协议
IKE协议是 IPSec中最为重要的部分，在用 IPSec
保护一个 IP数据报之前，必须先建立一个 SA,IKE则用
于动态建立并管理工作 SA,IKE代表 IPSec对 SA进行协
商，并自动对 SAD进行填充。
IKE协议的安全性保护主要体现在 5个方面,
（ 1）机密性保护
（ 2）完整性保护及身份验证
（ 3）抵抗拒绝服务攻击
（ 4）防止中间人攻击
（ 5）完美向前保密
7,IPSec的处理
IPSec协议引擎都要调用策略管理模块，查询 SPD
，确定为该数据报使用的安全策略。根据策略管理模
块的查询结果，引擎对该数据报做出 3种可能的处理之
一,
（ 1）丢弃
（ 2）绕过 IPSec
（ 3）应用 IPSec
9,3,3 Windows2000的 IPSec技术
1,Windows 2000的安全管理模式
2,自动密钥管理
3,安全服务
4,实例
9,4
E-mail安全
技术
9,4,1 E-mail安全概述
电子邮件已经逐渐成为我们生活中不可缺少的一部
分, 但是它在带给我们方便和快速的同时, 也存在一些安
全方面的问题 。 例如, 垃圾邮件, 诈骗邮件, 邮件炸弹,
通过电子邮件传播的病毒等 。
9,4,2 E-mail的安全隐患
E-mail的安全性主要有以下直接或间接的几方面：
（ 1） 密码被窃取
（ 2） 邮件内容被截获
（ 3） 附件中带有大量病毒
（ 4） 邮箱炸弹的攻击
（ 5） 本身设计上的缺陷
1,PGP的历史及概述
2,PGP的算法
3,PGP的安全性
9,4,3 PGP（ Pretty Good Privacy）
9,4,4 S/MIME
S/MIME是 Secure Multipurpose Internet MailExtensions
的简称，它是从 PEM（ Privacy Enhanced Mail）和 MIME发
展而来的。最初由 RSA DataSecurity公司开发。目的使不
同产品的开发者能使用兼容的加密技术创建能互通的消息
传输代理。
9,4,5 PGP软件的使用实例
PGP安装完成后，用户要做的第一件事就是创建一个
自己的密钥对。当产生一个密钥（即一个 RSA密钥对）
时，要提供密钥的大小、密钥名字、一个通过短语（口
令）,然后还要给出一些随机的击键。根据这些密钥参
数产生的实际内容就是用户的 PGP密钥。
9,5
安全扫描
技术
在网络安全技术中，安全扫描技术是一类比较重要的技
术，也称为脆弱性评估（ Vulnerability Assessment）。
目前, 安全扫描技术主要分两类：基于主机的安全扫描和
基于网络的安全扫描 。
1,基于主机的扫描技术
基于主机的安全扫描一般采用 Client/Server的架构，主机
型安全漏洞扫描器的主要功能如下,
① 重要资料锁定
② 密码检测
③ 系统日志文件和文字文件分析
④ 动态式的警讯
⑤ 分析报表
⑥ 加密
⑦ 安全知识库的更新
9,5,1 安全扫描技术的分类
2,基于网络的扫描检测技术
基于网络的扫描检测技术采用积极的, 非破坏性
的办法来检测系统是否有可能被攻击崩溃, 它利用了
一系列的脚本模拟对系统进行攻击的行为, 然后对结
果进行分析 。
网络型安全漏洞扫描器主要的功能如下,
① 服务扫描侦测
② 后门程序扫描侦测
③ 密码破解扫描侦测
④ 应用程序扫描侦测
⑤ 拒绝服务扫描侦测
⑥ 系统安全扫描侦测
⑦ 分析报表
⑧ 安全知识库的更新
安全扫描系统可以对目标系统可能提供的各种网络服务 （
如 Ftp,Http等 ） 进行全面的扫描, 尽可能收集目标系统远
程主机和网络的有用信息, 并模拟前面我们介绍的一些攻
击行为找出可能的安全漏洞, 例如错误配置的网络服务,
系统或网络应用的漏洞等 。
9,5,2 安全扫描系统的设计
安全扫描系统的核心逻辑机构可以分为以下 5个主要组成部
分,
（ 1） 策略分析部分 ； （ 2） 获取检测工具部分 ； （ 3） 获
取数据部分 ； （ 4） 事实分析部分 ； （ 5） 报告分析部分
。
2,安全扫描的逻辑结构
1,设计原理
1．常见的免费扫描仪工具
（ 1） Nessus
（ 2） Nmap
（ 3） NSS（网络安全扫描程序）
（ 4） SATAN（安全管理员网络分析工具）
（ 5） X-Scan
2,常见的商业安全扫描产品
（ 1）系统扫描器（ System Scanner）
（ 2）数据库扫描器（ DataBase Scanner）
（ 3）互联网扫描器（ Internet Scanner）
9,5,3 安全扫描工具与产品
Brute Force Password-Guessing 为经常改变的账号、口令和服务测试其安全性
Daemons 检测 Unix进程 (Windows服务 )
Network 检测 SNMP和路由器及交换调和漏洞
Denial of Service 检测中断操作系统和程序的漏洞 。 一些检测将暂停相应的服务
NFS/X Windows 检测网络网络文件系统和 X-Windows的漏洞
RPC 检测特定的远程过程调用
SMTP/FTP 检测 SMTP和 FTP的漏洞
Web Server Scan and CGI-Bin 检测 Wcb服务器的文件和程序 (如 IIS,CGI,脚本和 Http)
NT Users, Groups, and
Passwords 检测 NT用户, 包括用户, 口令策略, 解锁策略
Browser Policy 检测 IE和 Netscape浏览器漏洞
Security Zones 检测用于访问互联网安全区域的权限漏洞
Port Scans 检测标准的网络端口和服务
Firewalls 检测防火墙设备, 确定安全和协议漏洞
Proxy/DNS 检测代理服务或域名系统的漏洞
IP Spoofing 检测是否计算机接收到可疑信息
Critical NT Issues 包含 NT操作系统强壮性安全测试和与其相关的活动
NT Groups/Networking 检测用户组成员资格和 NT网络安全漏洞
NetBIOS Misc 检测操作系统版本和补丁包, 确认日志存取, 列表, 显示NetBIOS提供的信息
Shares/DCOM 检测 NetBOIS共享和 DCOM对象 。 使用 DCOM可以测试注册码权限和缺省安全级别
NT Registry 包括检测主机注册信息的安全性, 保护 SNMP子网的密匙
NT Services 包括检测 NT正在运行的服务和与之相关安全漏洞
9,6
网络安全
管理技术
9,6,1 网络安全管理的必要性
网络安全管理是指对所有计算机网络应用体系中各
个方面的安全技术和产品进行统一的管理和协调，进而
从整体上提高整个计算机网络的防御入侵、抵抗攻击的
能力的体系。
在现有的计算机网络应用系统中加入计算机全面安
全管理职能单元的必要性在于,① 实现各类计算机安全
技术、产品之间的协调和联动，实现有机化。 ② 充分发
挥各类安全技术和产品的功能。 ③ 整体安全能力大幅度
提高。 ④ 实现计算机安全手段与现有计算机网络应用系
统的一体化。 ⑤ 使全网安全事件准确定位以及全网安全
策略制定成为可能。
9,6,2 传统的网络管理技术及其发展
由于网络安全管理与网络管理技术天生的血缘关系,
前者也经常采用网络管理的一些机制, 所以我们首先来
看一下传统的网络管理技术及其发展 。
目前新的网络管理趋势是向分布式, 智能化和综合化
方向发展, 下面谈谈一些网络管理技术的新发展情况 。
1,基于 Web的管理
2,基于 CORBA的管理
3,采用 Java技术的管理
4,面向智能 Agent的开放式管理
ESM（ Enterprise Security Management） 是目前
国际上兴起的一种整体安全管理框架, 它的主要思想
是采用多种智能 Agent和安全控制中心, 在统一安全策
略 （ Security Policy） 指导下, 将系统中的各个安全
部件协同起来, 实现总体的安全策略, 并且能够在多
个安全部件协同的基础上实现实时监控, 报表处理,
统计分析等 。 这样的体系架构具备适应性强 （ 能够适
用于各种网络和系统环境 ）, 可扩充性强, 集中化安
全管理等优点, 已成为网络安全整体解决方案的发展
方向 。
9,6,3 基于 ESM理念的安全管理机制
9,6,4 网络安全管理体系实现的功能
安全管理系统是信息系统安全的必要组成部分,
一般来说，安全管理系统需要实现以下的功能,
（ 1）实现对系统中多种安全机制的统一监控和管理
（ 2） 实现各类安全设施之间的互动和联动
（ 3） 实现基于权限控制的统一管理和区域自治
（ 4） 实现安全事件事务处理
（ 5） 实现各类实时报警措施
（ 6） 实现安全事件和数据的宏观统计分析和决策支持
（ 7） 支持应急响应
9,6,5安全管理系统与
常见安全技术或产品的关系
安全管理系统是通过对系统中各种安全机制的统一
管理来实现整体安全性的提升。在常见的安全管理系统的
设计中，通常包含总体控制部分以及和各种安全技术及产
品的接口部分。安全管理系统与各种安全机制 (或子系统 )
有如下一些关系,
1,安全管理系统同加密系统的关系
2,安全管理系统与防火墙的关系
3,安全管理系统与入侵检测系统的关系
4,安全管理系统与病毒系统的关系
5,安全管理系统与身份认证, 访问控制系统的关系
6,安全管理系统与扫描系统的关系
7,安全管理系统同网络管理系统的关系
9,7
网络 信息
过滤技术
互联网在给人们带来方便的同时, 也经常受到人们的
批评 。 因为它提供的基本信息结构常被用来散布违法或
攻击性的内容, 反动言论以及色情信息等, 提别是大量
的色情信息和不良信息已经对青少年的成长造成了巨大
的危害 。 大部分人认为互联网不应该无限制的发布这些
内容, 因此提出了一些方法来进行不良信息的过滤 。 这
些方法可以分为两类,
一类是信息阻塞, 另一类是内容定级和自我鉴定 。
对于有些不良信息, 我们希望能从源头进行控制, 阻
塞这些信息的进入, 基于源的信息阻塞就是这样的信息
过滤技术, 它实际上是由局域网, 广域网等网络得的主
管或 ISP对用户所能访问的站点, 内容进行限制, 它们
负责阻塞那些不良的信息进入自己的网络 。 从技术上说
,这样做有两种方法：在网络层阻塞和在应用层阻塞 。
1,网络层上的阻塞
在网络层阻塞需要路由器或防火墙来检查进来得到
IP包得到源 IP地址, 将它们与黑名单比较, 然后再决定
是继续转发 （ 如果 IP地址没有进入黑名单 ） 还是丢弃该
包 （ 如果 IP地址在黑名单上 ）, 这种阻塞也称为 IP地址
阻塞 。
9,7,1 信息阻塞
2．应用层上的阻塞
在应用层阻塞内容，需要代理服务器和应用层网
关来检查源信息，从而决定是否为相应的应用协议请
求提供服务。
很明显没，这样阻塞不良信息内容要比在网络层阻
塞更为有效，这种阻塞也叫 URL阻塞。
IP地址阻塞和 URL阻塞在技术上都是可行的，但存
在着一些共同的缺陷：黑名单的更改往往跟不上如今
Internet飞速的发展；用户采用一个不在案黑名单的
Proxy服务器就可以访问那些原本被阻塞的站点（这种
情况可以通过与网络监视系统协作，由监视系统通过
关键字发现不良信息后通知防火墙进行源的阻塞）。
此外，一个被强制列入黑名单的站点可能会比没有列
入黑名单之前更引人注目，这样就成了一个比技术问
题更复杂的问题。
内容分级与自我鉴定是由内容提供者和用户共同控制
的, 但是在这种情况下, 由内容或产品的提供者对他们的
内容进行评定登记, 然后 Internet用户和 ISP用户据此来保
护自己, 他们可以凭借一些已有的客观标准, 自己判断一
个 Web站点上的内容是否合法, 也就是他们对自己实际访
问的内容负责 。
1,PICS
PICS（ Platform for Internet Content Selection）,
互联网内容选择平台是最初工业界为促进内容定级和自我
鉴定而采取的第一个步骤 。
PICS主要包括以下部分,
（ 1） 分级服务
（ 2） PICS标签的内容
（ 3） 标签的传输
（ 4） 通过 Http申请 PICS 标签
（ 5） 向一个分级服务申请标签
9,7,2 信息定级与自我鉴定
娱 乐 软 件 顾 问 委 员 会 （ Recreational Software
Advisory Council,RSAC） 是 20世纪 90年代中期为了规范
儿童视频游戏的内容而在美国国会中分出的机构 。
2,RSACi
级别 暴 力
裸 体
性
语 言
级别 4 恣意的而且非常无理的暴力 极具挑逗性的正面媒体表演 暴露的性行为 极度仇恨或粗鲁的语言,非常暴露的性内容
级别 3
带血腥的杀戮场面
,人被杀或受到伤
害
正面裸体
非暴露性的性
抚摸
蛮横, 粗俗的语言, 手
势等, 使用带侮辱性的
称谓
级别 2
杀戮, 人或生物遭
到伤害或被杀死
半裸
穿着衣服的性
抚摸
一般性的脏话, 与性无
关的解剖学术语
级别 1
打斗, 对有生命物
体的伤害
暴露服装
充满激情的轻
吻
轻微的秽语, 或针对身
体的轻微措施
级别 0
没有侵犯性的暴力
行为, 没有自然的
或以外的暴力事件
无裸体场面
浪漫故事, 没
有任何性行为
的描写
不令人讨厌的言语
3,使用内容定级和自我鉴定的实例
当前主流浏览器之一就支持 PICS和 RSACi,它可以使用分级审
查来控制在 互联网上可以访问的内容类型, 启动, 分级审查, 功
能后, 只有那些满足要求标准的已经分级的内容才能在浏览器窗
口显示出来 。
启用, 分级审查, 功能的操作如下,① 在 IE浏览器中打开, 查
看, 菜单, 从中选择, Internet选项, 命令, 打开它的对话框,
并选择, 内容, 选项卡 （ 如图 9-4所示 ） 。 ② 在, 分级审查, 框
中单击, 启用, 安钮, 随后屏幕上出现一个名为, 分级审查, 的
对话框, 你将看到面板上共有 4个审查标准, 只需简单拖动滑动
条就可以设置了 。 ③ 分级审查设定完成后会弹出一个, 创建监
护人密码, 的面板 （ 如图 9-6所示 ）, 输入监护人密码, 最后按
,确定, 按钮, 然后会弹出一个窗口, 告诉你分级审查已经启用
。
（ 如图 9-4） ～ （ 如图 9-7） 所示,
图 9-4 内容选项卡
图 9-5 分级审查对话框
图 9-6 创建监护人, 密码, 的面板
图 9-7 分级审查启用
除了以上所谈的两种方法外, 其他还有一些客户端的封
锁软件, 这些技术被称之为本地信息审查技术, 包括,URL
或 IP限制, 文字拦截, 图像审查, 屏幕监视等 。
URL或 IP限制功能与前面所说的基于源的阻塞基本类似
,只不过是在主机端执行 。 文字拦截功能可以按关键字拦
截本机通过网络传输的信息, 不仅是流入的信息 。 而且可
以是从本地流出的信息, 这样可以防止一些本机的机密信
息或者其他不良信息的外泄, 此外, 还可以拦截各种文件
,可以采用与实时防病毒类似的开发特定设备驱动程序或
采用钩子技术, 在系统打开文件之前发现有害或者不良的
文字信息, 给出警告, 予以拦截, 文字拦截主要针对的是
一些文本, Html,WPS,Word等文件 。 图像审查功能采用特
定的识别技术, 在用户打开图像文件之前识别出是否含有
不良信息, 自动予以警告, 拦截 。 至于屏幕监视功能则主
要定时地抓拍屏幕图像, 保存起来, 以供审查之用 。
9,7,3其它的一些客户端封锁软件
9,8
身份认证
技术
9,8,1 身份认证概述
认证技术是网络信息安全理论与技术的一个重要方面。
身份认证是安全系统中的第一道关卡，用户在访问安全系统
之前，首先经过身份认证系统识别身份，然后访问监控器，
根据用户的身份和授权数据库决定用户是否能够访问某个资
源。
一旦身份认证系统被攻破，那么系统的所有安全措施将
形同虚设。黑客攻击的目标往往就是身份认证系统。因此要
加快对我国的信息安全的建设，加强身份认证理论及其应用
的研究是一个非常重要的课题。
单机状态下用户登录计算机, 一般有以下几种形式验证
用户身份,① 用户所知道的东西, 如口令, 密码 。 ②
用户所拥有的东西, 如智能卡, 身份证, 护照, 密钥盘
。 ③ 用户所具的有的生物特征, 如指纹, 声音, 视网
膜扫描, DNA等 。 下面分别进行讨论 。
1,基于口令的认证方式
基于口令的认证方式是最常用的一种技术 。 用户输
入自己的口令, 计算机验证并给予用户相应的权限 。 这
种方式很重要的问题是口令的存储 。 一般有两种方法,
（ 1） 直接明文存储口令
（ 2） Hash散列存储口令
9,8,2 单机状态下的身份认证
2,基于智能卡的认证方式
基于智能卡的认证方式是一种双因素的认证方式 （ PIN+
智能卡 ）, 即使 PIN或智能卡被窃取, 用户仍不会被冒充 。
智能卡提供硬件保护措施和加密算法, 可以利用这些功能加
强安全性能, 例如：可以把智能卡设置成用户只能得到加密
后的某个秘密信息, 从而防止秘密信息的泄露 。
智能卡具有硬件加密功能, 有较高的安全性 。 每个用户
持有一张智能卡, 智能卡存储用户个性化的秘密信息, 同时
在验证服务器中也存放该秘密信息 。 进行认证时, 用户输入
PIN（ 个人身份识别码 ）, 智能卡认证 PIN,成功后, 即可读
出智能卡中的秘密信息, 进而利用该秘密信息与主机之间进
行认证 。
3．基于生物特征的认证方式
基于生物认证的方式是以人体惟一的、可靠的、
稳定的生物特征（如指纹、虹膜、脸部、掌纹等）为依
据，采用计算机强大的计算功能和网络技术进行图像处
理和模式识别。
（ 1）指纹识别技术
① 指纹特征
② 指纹识别：指纹识别技术主要涉及 4个功能：读取
指纹图像、提取特征、保存数据和比对。
（ 2）虹膜识别技术
① 虹膜
② 算法
③ 录入和识别
9,8,3 网络环境下的身份认证
网络环境下的身份证较为复杂, 主要是要考虑到验证身份的
双方一般都是通过网络而非直接交互, 像根据指纹等手段就难
以实现 。 同时大量的黑客随时随地都可能尝试向网络渗透, 截获
合法用户口令并冒名顶替以合法身份入网, 所以目前一般采用高
强度的密码认证协议技术来进行身份认证 。
1,一次性口令技术
美国科学家 Leslie Lamport首次提出了利用散列函数产生一
次性口令的思想, 即用户每次登录系统时使用的口令是变化的 。
2,PPP 中的认证协议
PPP有 3个主要的组成部分,① 在串行链路上封闭数据报 （
Datagrams） 方法 。 ② 建立, 配置和测试数据链路连接 （
Data-link Connection） 的 LCP协议 。 ③ 建立和配置不同网络
层协议的一组 NCP协议 （ Network Control Protocol） 。
3,RADIUS协议
RADIUS（ Remote Authentication Dial-in User
Service）由朗讯公司提出的客户 /服务器安全协议，是一
个拨号网络中提供注册、验证功能的工业标准，现已成为
Internet的正式协议标准
RADUIS的特点,
① RADUIS使用 UDP作为传输协议
② RADUIS服务器能支持多种认证方法
RADIUS的认证过程：① 接入服务器从用户那里获得取用
户名和口令，将其同用户的一些其他信息打成 RADIUS数据
包向 RADIUS服务器发送，通常称为认证请求包。 ② RADIUS
服务器收到认证请求包后，首先查看接入服务器是否已经
登记，然后根据包中用户名、口令等信息验证用户是否合
法。 ③ 接入服务器收到访问接受 /拒绝包时，首先要判断
包中的签名是否正确，如果不正确将认为收到了一个非法
的包。
4,Kerberos认证服务
Kerberos是麻理省工学院的 Project Athena
针对分布式环境的开放式系统开发的鉴别机制,
它已被开放软件基金会 （ OSF） 的分布式计算环
境 （ DCE）, 以及许多网络操作系统供应商所采
用 。
Kerberos系统应满足这样的要求,
① 安全
② 可靠
③ 透明
④ 可伸缩
9,8,4 Windows NT安全认证子系统
Windows NT的安全子系统主要由本地安全授权 LSA、安
全管理 SAM和安全参考监视器 SRM等组成。
（ 1）本地安全授权部分提供了许多服务程序，保障用户
获得存取系统的许可权。
（ 2）安全账户管理部分保存安全账户数据库 (SAM
Database)，该数据库包含所有组和用户的信息。
（ 3）安全参考监视器负责访问控制和审查策略，由 LSA支
持。 SRM提供客体 (文件、目录等 )的存取权限，检查主体 (用
户帐户等 )的权限，产生必要的审查信息。
（ 4） Windows NT有一个安全登录序列, 用以防止不可信应
用窃取用户名和口令序列, 并有用户帐号和口令等管理能力
。
（ 5）为了登录 WindowsNT(包括通过网络登录 )，每一用
户必须首先进行域以及用户名识别。每一域以及用户名惟
一地标识了一个用户，在系统内部，使用 SID(Security
Identifier)予以表征。
（ 6） Windows NT允许每一用户账号有一对应的口令 。
TFM(trusted Facility Manual)说明了怎样确保所有用户
账号都 有口令, 而且该口令在用户登录时必须键入以便鉴
别用户身份 。
（ 7） 口令存储在 SAM(Security Accounts Manager)数据库
中并由 DAC机制保护, 以防止非法访问 。
Windows NT
安全子系统
9, 9
VPN技术
要确保远程网络之间能够安全通信, VPN（ Virtual Private
Network,虚拟专用网络 ） 是一种很好的技术选择 。
1,VPN的基本原理
VPN是一种网络技术, 通常用以实现相关组织或个人跨开
放, 分布式的互联网的安全通信 。 其实质是, 利用共享的互联
网设施, 模拟, 专用, 广域网, 最终以极低的费用为远程用户
提供能和专用网络相媲美的保密通信服务 。 VPN用户都希望以
最小的代价, 使数据安全性得到的一定程度保证 。 互联网具有
极为广泛的网络覆盖范围, 远比长途通信费用低廉的接入费用
等优点, 却存在内在的不安全性, 促使用户根据自身业务特点
和需要, 或者自己构建 VPN,或者直接向 VPN服务供应商购买
合适的 VPN服务 。 自构 VPN称为基于用户设备的 VPN,此时, 用
户在已有的网络设备基础上, 适当扩充功能和 （ 或 ） 添置设备
,利用互联网连接远程网络 。
9,9,1 VPN概述
2,VPN的应用
VPN技术是应用户的远程安全通信需求而产生的, 特
定的需求规定了 VPN技术的特定应用领域 。 目前, VPN
主要有 3个应用领域,
远程接入网, 内联网和外联网 。 说明了如下,
? 远程接入网主要用于企业内部人员的移动或远程办
公, 也可以用于商家为其顾客提供 B2C（ Busness to
Censumer） 的安全访问服务 。
?内联网主要用于企业内部各分支机构的互联 。
?外联网主要为某个企业和其合作伙伴提供许可范围内
的信息共享服务 。
9,9,2 VPN的关键安全技术
目前, VPN主要采用 5项技术来保证安全, 这 5项技术分别
是隧道技术 （ Tunneling）, 加解密技术 （ Encryption &
Decryption）, 密钥管理技术 （ Key Management）, 使用者
与设备身份认证技术 （ Authentication） 和访问控制技术 （
Access Control） 。 后 4种技术在本书的有关章节已得到详
细展开, 所以这里我们只对隧道技术重点讨论 。
隧道技术按其拓扑结构分为点对点隧道和点对多点隧道 。
9,9,3 VPN的实现方法
对 VPN的分类有多种方法, 每一类 VPN都有其特有的实现方法
。 根据 VPN主要设备的归属不同, VPN可分为基于用户设备的 VPN
和基于网络的 VPN；根据 VPN运行在哪一层上, 将 VPN分成 L2VPN（
Layer 2 VPN,第二层 VPN） 和 L3VPN（ Layer 3 VPN,第三层
VPN） 。 一个 VPN是由若干个由隧道连接的 VPN设备组成, 每个 VPN
设备在与其关联的多个隧道和其他网络借口间以合适的方式转发
分组 。 这种分组转发的方式决定了该 VPN是 L2VPN还是 L3BPN,若
分组被中继或桥接转发, 则该 VPN是 L2VPN；否则, 该 VPN是 L3VPN
,分组将被路由转发 。 L2VPN可以进一步细分为,VLL（ Virtual
Leased Line,虚拟租借线路 ）, VPDN（ Virtual Private Dial
Network,虚拟专用拨号网络 ） 和 VPLS（ Virtual Private LAN
Segment,虚拟专用局域网段 ） 。 而 L3VPN又称为 VPRN（ Virtual
P[rivate Routed Network,虚拟专用路由网络 ]。
9,9,4 VPN产品与解决方案
1,解决方案一
某企业有分支机构设在外地, 每天日常的信息资源流动 （ 如
电子邮件, 公文流转等 ） 都通过长途电话拨号进入总部, 每月
的长途话费开销数万元, 而且由于拨号网络的速度限制, 用户
都普遍反应网络效率甚低 。
考虑到现在 Internet接入的费用日趋下降, 可以利用当地 ISP
提供的宽带网络服务接入到 Internet,再利用 Internet公众网络
使分支机构与总部公司实现网络互连 。 但公众网络上黑客众多
,公司内部邮件和公文需要保密, 不可以直接暴露在公众网络
中 。 基于用户的需求, 可以采用 VPN方式来进行网络互连, 即
利用 Internet节省了原有长途话费开销, 又具有一定强度的安全
性, 还提高了整个网络的吞吐率 。 网络拓扑结构如下图 9所示 。
网络拓扑结构图
2,解决方案二
某 IT公司的业务分布在各省市, 员工出差的频率相当高
。 出差员工日常与总公司只能通过长途电话汇报情况, 由于
IT公司有相当多的资料更新比较快, 而且往往是电子文档,
一般员工就只能通过 Internet公众网络中的电子邮件信箱
或匿名 FTP来交换资料, 而且经常受到信箱大小的限制, 或
匿名 FTP不安全因素的威胁 。
由于现在大多数员工都使用 Windows2000或 Windows XP作
为操作系统, 可以利用这些操作系统内置的 VPN拨号功能来
实现异地, 安全, 低开销地连入到总公司网络中 。 这样员工
不论出差在哪个城市, 都可以利用当地的 ISP连回总公司,
使用总部的网络资源, 收发电子邮件等, 显著提高了工作效
率, 如下图所示 。
远程连网图
9,10
本章小结
本章全面介绍了 Web的安全技术, 首先从分析因特网安全
性入手, 简要的描述了因特网上的安全隐患, 因特网的脆
弱性及其根源 。 之所以存在这些问题根本原因在于互联网
的最初的设计思想, 抗毁性,,, 不可靠性, 等 。 互联网
的主要目的不是为了提供安全传输, 而是为了提供冗余传
输 。 从互联网发展至今, 互联网的不安全状态与最初相比
也没有很大改观 。 通过学习让读者认识到：计算机和计算
机网络安全措施是确保计算机与计算机网络正常运行的保
护措施, 尽管目前没有一种保护措施能确保网络达到 100％
的安全, 但安全措施却又是不可缺少的 。
其次, 本章首先从电子商务的角度介绍了 Web与电子商务
安全技术, 进行了安全分析, 即：对 Web服务器的安全威胁
,对 Web浏览客户机的安全威胁和对通信信道的安全威胁这
三类, 使读者了解到电子商务中安全威胁的几个方面 。 并
提出了 Web安全防护技术, SSL,电子商务的安全技术, 主
页防修改技术等对策 。
然后, 本章就 Web安全技术与产品的几个方面展开了讨
论, 它们是,IP的安全技术, E-mail安全技术, 安全扫
描技术, 网络安全管理技术, 网络信息过滤技术, 身份
认证技术, VPN技术等的各个方面 。 从理论分析到具体措
施都进行了说明了, 对于读者建立 Web的安全技术的基本
概念有一定的借鉴作用 。
退 出
?学习目的,
? 了解 因特网上的安全隐患、脆弱性及根源
? 掌握 Web与电子商务安全技术
? 初步掌握 IP的安全技术
? 掌握 E-mail安全技术
? 掌握 安全扫描技术, 网络安全管理技术
? 掌握 网络信息过滤技术
? 掌握 身份认证技术
? 掌握 VPN（ Virtual Private Network）技术
?学习重点,
? Web与电子商务安全技术
? E-mail安全技术
? 安全扫描技术
? VPN（ Virtual Private Network）技术
9,1
因特网安全
概述
9,1,1 因特网上的安全隐患
Internet的安全隐患主要源于计算机网络的脆弱性、
网络通信协议本身固有的缺陷、网络软件与网络服务的
漏洞、网络结构和网络硬件的安全缺陷等几个方面。
具体表现为,
（ 1） Web具有双向的修改特性
（ 2） Web浏览、配置管理、内容发布等软件复杂，隐
藏潜在安全隐患
（ 3） Web通常是一个公司或机构的公告板
（ 4）用户往往是未经训练的
9,1,2 因特网的脆弱性及根源
计算机网络的脆弱性通常包括物理网络的脆弱性、过程网
络的脆弱性以及通信链路脆弱性三种。脆弱性根源具体表
现为,
（ 1）电磁辐射
（ 2）搭线窃听
（ 3）串音
,黑客, 的攻击手段可分为主动和被动攻击
主动攻击则意在篡改系统中所含信息或者改变系统的
状态及操作。
被动攻击不会导致对系统中所含信息的任何改动，而
且系统的操作和状态也不被改变，因此被动攻击主要威胁
信息的保密性。
常见的主动攻击手段有,
（ 1）冒充
（ 2）篡改
（ 3）抵赖
（ 4）其它
常见的被动攻击手段有,
（ 1）偷窃
（ 2）分析
总之计算机和计算机网络安全措施是确保计算
机与计算机网络正常运行的保护措施，尽管目前没
有一种保护措施能确保网络达到 100％的安全，但安
全措施却又是不可缺少的。
9．２
Web与电子商
务安全技术
9,2,1 Web与电子商务的安全分析
电子商务是在 Internet上运作的，它跨越国度、涉及
多种技术平台。因此，其电子商务活动的安全性是人们最
为关心的问题。
目前在电子商务的安全方面主要体现在：对 Web服务器
的安全威胁、对 Web浏览客户机的安全威胁和对服务器和
客户机之间通信信道的威 胁 等。
１、对 Web服务器的安全威胁
一般来说 Web服务的内容越丰富，功能越大，包含错误
代码的概率就越高，有安全漏洞的概率也就越高。
Web服务器上最敏感的文件之一就是存放用户名的文
件。
Web服务的数据库中会保存一些有价值的信息或隐私
信息，如果被更改或泄露会造成无法弥补的损失。
2,对 Web浏览客户机的安全威胁
活动内容是在静态页面中嵌入对用户是透明的程
序，它可完成一些动作 。 用户使用浏览器查看一个带
有活动内容的页面时，这些小应用程序就会自动下载
并开始在客户机上启动运行。企图破坏客户机的人可
将破坏性的活动内容放进表面看起来完全无害的页面
中。
通常存在如下一些活动内容,
（ 1） Java Applet。它使用 Java 语言开发，实现各种
各样的客户端应用。
（ 2） ActiveX。 ActiveX是一个控件，它封装由页面
设计者放在页面来执行特定任务的程序。
众所周知, 连接客户机同服务器的桥梁是互联网 。 但
从互联网最初的设计思想, 抗毁性, 和, 不可靠性, 来
看, 互联网的主要目的不是为了提供安全传输, 而是为
了提供冗余传输, 即为保证当一个或多个通信线路被切
断时仍能正常通信而设计 。 在网络上传输信息的保密性
通常通过将信息转化为不可识别字符串来实现的 。 发展
至今, 互联网的不安全状态与最初相比也没有很大改观
。
?对保密性的安全威胁
?对完整性的安全威胁
?对即需性的安全威胁
３,对服务器和客户机之间通信信道的威胁
9,2,2 Web安全防护技术
1,Web程序组件安全防护
对于一个连接到 Internet上的计算机系统而言,
最危险的事件之一就是从网上任意下载程序并在本
机上运行它 。 因为没有一个操作系统能控制一个已
经开始执行的程序的权限 。 Java通过, 沙盒, 机制
来实现它的安全性 。 除了类似沙盒这样的权限限制
机制外, 避免因程序的漏洞而使服务器受到攻击,
在编写 Web程序时还有以下一些要注意的地方 。
（ 1） ID字段使用随机产生的大数, 而不是连续的
整数； （ 2） 使用 Session或加密的 cookie来记录访
问者的状态及必要信息； （ 3） 处理输入内容前,
先核对提交的表单来源； （ 4） 对输入数据要进行
类型检查, 非法字符检查, 数组越界检查 。
1,概述
安全套接层协议 SSL（ Secure Socket Layer）是一
个用来保证安全传输文件的协议，它主要是使用公开密
钥体制和Ｘ,509数字证书技术保护信息传输的机密性和
完整性，但它不能保证信息的不可抵赖性，主要适用于
点对点之间的信息传输。
SSL协议包括子协议有,
（ 1） SSL记录协议
（ 2） SSL握手协议
（ 3） SSL警告协议
9,2,3 SSL
SSL体系结构图
2,SSL握手过程
（ 1） SSL握手过程
具体过程：① ～⑩
（ 2）服务器身份的认证
（ 3）客户端身份的认证
3,SSL的缺点
? 利用 SSL的攻击无法被入侵系统 IDS（ Intrusion
Detection System）检测到。
? 对电子商务来说，问题并没有完全解决
安全电子交易 SET(SecureElectronic Transaction)，
它采用公钥密码体制和 X.509数字证书标准，保障网上
购物信息的安全性。
SET的实现构架图
9,2,4 电子商务的安全技术
当前的主页防修改系统一般是 Client /Server结
构，分为两层：控制台和 Web服务器。也有三层结构的
主机防修改系统，在控制台和 Web服务器之间增加了代
理层。这类系统主要包括监控和恢复两大功能
1,主 页监控
监控策略,
① 实时监测
② 定时监测
③ 间隔监测
④ 分级监测
2,主页恢复
主页防修改系统的恢复部分包括对需要恢复的 Web文
件和重要的系统文件的备份和恢复两大功能 。
9,2,5 主页防修改技术
9,3
IP的安全
技术
作为一个开放的协议平台, TCP/IP将越来越多的部
门和人员用网络连接起来, 但是安全性的缺乏减慢了网
络的发展速度 。 目前网络面临的各种安全性威胁主要包
括,
（ 1） 数据泄露
（ 2） 数据完整性的破坏
（ 3） 身份伪装
（ 4） 拒绝服务
9,3,1 IP安全概述
9,3,2 IP安全体系结构
1,简介
IPSec使用了两种通信安全协议 AH
（ Authentication Header）和 ESP(Encapsulating
Security Payload)，以及 IKE（ Internet Key
Exchange）密钥管理协议来向 IPv4或 Ipv6数据提供可
互操作的、高质量的、基于密码学的安全性。
总的来说,IPSec可以为 IP层提供基于加密的互
操作性强、高质量的通信安全，所支持的安全服务包
括存取控制、无连接的完整性、数据发起方认证和加
密。
2．安全关联
安全关联 SA（ Security Association）的概念是
IPSec的基础。 IPSec的两种协议（ AH和 ESP）均使用到
SA。 SA管理的两大任务就是 SA的创建和删除。 SA的管
理既可手工进行，也可通过 IKE来完成。
（ 1）手工方式。安全参数由管理员按安全策略手工
指定、手工维护。
（ 2） IKE。 SA的自动建立和动态维护是通过 IKE进行
的。
3,AH协议
正如 AH名称的字面意义一样,AH协议在所有数据报
头加入一个密码，通过一个只有密钥持有人才知道的,
数字签名, 对用户进行认证。
AH只对没有分段的数据报起作用。
AH也提供任何接收者处理的抗重播（部分序列完整
性）服务，帮助抵抗拒绝服务攻击。
4,ESP协议
ESP协议主要用来对 IP数据报内容加密，此外
它对认证也提供某种程度的支持。
ESP协议数据单元格式由三部分组成，除了头
部、加密数据部分外，在实施认证时还包含一个可
选的尾部。
ESP报头结构
5.ISAKMP协议
Internet 安 全 关 联 和 密 钥 管 理 协 议
ISAKMP(Internet Security Association ad Key
Management Protocol)定义了通信双方信息沟通的
构建方法, 定义了保障通信安全所需的状态交换方
式, 还提供了对对方身份进行验证的方法, 密钥交
换时交换信息的方法, 以及对安全服务进行协商的
方法 。
ISAKMP描述了协商的两个独立阶段 。 第一阶
段：通信双方彼此间建立一个巳通过身分验证和安
全保护的通道 。 第二阶段：用这个通过了验证和安
全保护的通道为另一个不同的协议协商安全服务 。
6,IKE协议
IKE协议是 IPSec中最为重要的部分，在用 IPSec
保护一个 IP数据报之前，必须先建立一个 SA,IKE则用
于动态建立并管理工作 SA,IKE代表 IPSec对 SA进行协
商，并自动对 SAD进行填充。
IKE协议的安全性保护主要体现在 5个方面,
（ 1）机密性保护
（ 2）完整性保护及身份验证
（ 3）抵抗拒绝服务攻击
（ 4）防止中间人攻击
（ 5）完美向前保密
7,IPSec的处理
IPSec协议引擎都要调用策略管理模块，查询 SPD
，确定为该数据报使用的安全策略。根据策略管理模
块的查询结果，引擎对该数据报做出 3种可能的处理之
一,
（ 1）丢弃
（ 2）绕过 IPSec
（ 3）应用 IPSec
9,3,3 Windows2000的 IPSec技术
1,Windows 2000的安全管理模式
2,自动密钥管理
3,安全服务
4,实例
9,4
E-mail安全
技术
9,4,1 E-mail安全概述
电子邮件已经逐渐成为我们生活中不可缺少的一部
分, 但是它在带给我们方便和快速的同时, 也存在一些安
全方面的问题 。 例如, 垃圾邮件, 诈骗邮件, 邮件炸弹,
通过电子邮件传播的病毒等 。
9,4,2 E-mail的安全隐患
E-mail的安全性主要有以下直接或间接的几方面：
（ 1） 密码被窃取
（ 2） 邮件内容被截获
（ 3） 附件中带有大量病毒
（ 4） 邮箱炸弹的攻击
（ 5） 本身设计上的缺陷
1,PGP的历史及概述
2,PGP的算法
3,PGP的安全性
9,4,3 PGP（ Pretty Good Privacy）
9,4,4 S/MIME
S/MIME是 Secure Multipurpose Internet MailExtensions
的简称，它是从 PEM（ Privacy Enhanced Mail）和 MIME发
展而来的。最初由 RSA DataSecurity公司开发。目的使不
同产品的开发者能使用兼容的加密技术创建能互通的消息
传输代理。
9,4,5 PGP软件的使用实例
PGP安装完成后，用户要做的第一件事就是创建一个
自己的密钥对。当产生一个密钥（即一个 RSA密钥对）
时，要提供密钥的大小、密钥名字、一个通过短语（口
令）,然后还要给出一些随机的击键。根据这些密钥参
数产生的实际内容就是用户的 PGP密钥。
9,5
安全扫描
技术
在网络安全技术中，安全扫描技术是一类比较重要的技
术，也称为脆弱性评估（ Vulnerability Assessment）。
目前, 安全扫描技术主要分两类：基于主机的安全扫描和
基于网络的安全扫描 。
1,基于主机的扫描技术
基于主机的安全扫描一般采用 Client/Server的架构，主机
型安全漏洞扫描器的主要功能如下,
① 重要资料锁定
② 密码检测
③ 系统日志文件和文字文件分析
④ 动态式的警讯
⑤ 分析报表
⑥ 加密
⑦ 安全知识库的更新
9,5,1 安全扫描技术的分类
2,基于网络的扫描检测技术
基于网络的扫描检测技术采用积极的, 非破坏性
的办法来检测系统是否有可能被攻击崩溃, 它利用了
一系列的脚本模拟对系统进行攻击的行为, 然后对结
果进行分析 。
网络型安全漏洞扫描器主要的功能如下,
① 服务扫描侦测
② 后门程序扫描侦测
③ 密码破解扫描侦测
④ 应用程序扫描侦测
⑤ 拒绝服务扫描侦测
⑥ 系统安全扫描侦测
⑦ 分析报表
⑧ 安全知识库的更新
安全扫描系统可以对目标系统可能提供的各种网络服务 （
如 Ftp,Http等 ） 进行全面的扫描, 尽可能收集目标系统远
程主机和网络的有用信息, 并模拟前面我们介绍的一些攻
击行为找出可能的安全漏洞, 例如错误配置的网络服务,
系统或网络应用的漏洞等 。
9,5,2 安全扫描系统的设计
安全扫描系统的核心逻辑机构可以分为以下 5个主要组成部
分,
（ 1） 策略分析部分 ； （ 2） 获取检测工具部分 ； （ 3） 获
取数据部分 ； （ 4） 事实分析部分 ； （ 5） 报告分析部分
。
2,安全扫描的逻辑结构
1,设计原理
1．常见的免费扫描仪工具
（ 1） Nessus
（ 2） Nmap
（ 3） NSS（网络安全扫描程序）
（ 4） SATAN（安全管理员网络分析工具）
（ 5） X-Scan
2,常见的商业安全扫描产品
（ 1）系统扫描器（ System Scanner）
（ 2）数据库扫描器（ DataBase Scanner）
（ 3）互联网扫描器（ Internet Scanner）
9,5,3 安全扫描工具与产品
Brute Force Password-Guessing 为经常改变的账号、口令和服务测试其安全性
Daemons 检测 Unix进程 (Windows服务 )
Network 检测 SNMP和路由器及交换调和漏洞
Denial of Service 检测中断操作系统和程序的漏洞 。 一些检测将暂停相应的服务
NFS/X Windows 检测网络网络文件系统和 X-Windows的漏洞
RPC 检测特定的远程过程调用
SMTP/FTP 检测 SMTP和 FTP的漏洞
Web Server Scan and CGI-Bin 检测 Wcb服务器的文件和程序 (如 IIS,CGI,脚本和 Http)
NT Users, Groups, and
Passwords 检测 NT用户, 包括用户, 口令策略, 解锁策略
Browser Policy 检测 IE和 Netscape浏览器漏洞
Security Zones 检测用于访问互联网安全区域的权限漏洞
Port Scans 检测标准的网络端口和服务
Firewalls 检测防火墙设备, 确定安全和协议漏洞
Proxy/DNS 检测代理服务或域名系统的漏洞
IP Spoofing 检测是否计算机接收到可疑信息
Critical NT Issues 包含 NT操作系统强壮性安全测试和与其相关的活动
NT Groups/Networking 检测用户组成员资格和 NT网络安全漏洞
NetBIOS Misc 检测操作系统版本和补丁包, 确认日志存取, 列表, 显示NetBIOS提供的信息
Shares/DCOM 检测 NetBOIS共享和 DCOM对象 。 使用 DCOM可以测试注册码权限和缺省安全级别
NT Registry 包括检测主机注册信息的安全性, 保护 SNMP子网的密匙
NT Services 包括检测 NT正在运行的服务和与之相关安全漏洞
9,6
网络安全
管理技术
9,6,1 网络安全管理的必要性
网络安全管理是指对所有计算机网络应用体系中各
个方面的安全技术和产品进行统一的管理和协调，进而
从整体上提高整个计算机网络的防御入侵、抵抗攻击的
能力的体系。
在现有的计算机网络应用系统中加入计算机全面安
全管理职能单元的必要性在于,① 实现各类计算机安全
技术、产品之间的协调和联动，实现有机化。 ② 充分发
挥各类安全技术和产品的功能。 ③ 整体安全能力大幅度
提高。 ④ 实现计算机安全手段与现有计算机网络应用系
统的一体化。 ⑤ 使全网安全事件准确定位以及全网安全
策略制定成为可能。
9,6,2 传统的网络管理技术及其发展
由于网络安全管理与网络管理技术天生的血缘关系,
前者也经常采用网络管理的一些机制, 所以我们首先来
看一下传统的网络管理技术及其发展 。
目前新的网络管理趋势是向分布式, 智能化和综合化
方向发展, 下面谈谈一些网络管理技术的新发展情况 。
1,基于 Web的管理
2,基于 CORBA的管理
3,采用 Java技术的管理
4,面向智能 Agent的开放式管理
ESM（ Enterprise Security Management） 是目前
国际上兴起的一种整体安全管理框架, 它的主要思想
是采用多种智能 Agent和安全控制中心, 在统一安全策
略 （ Security Policy） 指导下, 将系统中的各个安全
部件协同起来, 实现总体的安全策略, 并且能够在多
个安全部件协同的基础上实现实时监控, 报表处理,
统计分析等 。 这样的体系架构具备适应性强 （ 能够适
用于各种网络和系统环境 ）, 可扩充性强, 集中化安
全管理等优点, 已成为网络安全整体解决方案的发展
方向 。
9,6,3 基于 ESM理念的安全管理机制
9,6,4 网络安全管理体系实现的功能
安全管理系统是信息系统安全的必要组成部分,
一般来说，安全管理系统需要实现以下的功能,
（ 1）实现对系统中多种安全机制的统一监控和管理
（ 2） 实现各类安全设施之间的互动和联动
（ 3） 实现基于权限控制的统一管理和区域自治
（ 4） 实现安全事件事务处理
（ 5） 实现各类实时报警措施
（ 6） 实现安全事件和数据的宏观统计分析和决策支持
（ 7） 支持应急响应
9,6,5安全管理系统与
常见安全技术或产品的关系
安全管理系统是通过对系统中各种安全机制的统一
管理来实现整体安全性的提升。在常见的安全管理系统的
设计中，通常包含总体控制部分以及和各种安全技术及产
品的接口部分。安全管理系统与各种安全机制 (或子系统 )
有如下一些关系,
1,安全管理系统同加密系统的关系
2,安全管理系统与防火墙的关系
3,安全管理系统与入侵检测系统的关系
4,安全管理系统与病毒系统的关系
5,安全管理系统与身份认证, 访问控制系统的关系
6,安全管理系统与扫描系统的关系
7,安全管理系统同网络管理系统的关系
9,7
网络 信息
过滤技术
互联网在给人们带来方便的同时, 也经常受到人们的
批评 。 因为它提供的基本信息结构常被用来散布违法或
攻击性的内容, 反动言论以及色情信息等, 提别是大量
的色情信息和不良信息已经对青少年的成长造成了巨大
的危害 。 大部分人认为互联网不应该无限制的发布这些
内容, 因此提出了一些方法来进行不良信息的过滤 。 这
些方法可以分为两类,
一类是信息阻塞, 另一类是内容定级和自我鉴定 。
对于有些不良信息, 我们希望能从源头进行控制, 阻
塞这些信息的进入, 基于源的信息阻塞就是这样的信息
过滤技术, 它实际上是由局域网, 广域网等网络得的主
管或 ISP对用户所能访问的站点, 内容进行限制, 它们
负责阻塞那些不良的信息进入自己的网络 。 从技术上说
,这样做有两种方法：在网络层阻塞和在应用层阻塞 。
1,网络层上的阻塞
在网络层阻塞需要路由器或防火墙来检查进来得到
IP包得到源 IP地址, 将它们与黑名单比较, 然后再决定
是继续转发 （ 如果 IP地址没有进入黑名单 ） 还是丢弃该
包 （ 如果 IP地址在黑名单上 ）, 这种阻塞也称为 IP地址
阻塞 。
9,7,1 信息阻塞
2．应用层上的阻塞
在应用层阻塞内容，需要代理服务器和应用层网
关来检查源信息，从而决定是否为相应的应用协议请
求提供服务。
很明显没，这样阻塞不良信息内容要比在网络层阻
塞更为有效，这种阻塞也叫 URL阻塞。
IP地址阻塞和 URL阻塞在技术上都是可行的，但存
在着一些共同的缺陷：黑名单的更改往往跟不上如今
Internet飞速的发展；用户采用一个不在案黑名单的
Proxy服务器就可以访问那些原本被阻塞的站点（这种
情况可以通过与网络监视系统协作，由监视系统通过
关键字发现不良信息后通知防火墙进行源的阻塞）。
此外，一个被强制列入黑名单的站点可能会比没有列
入黑名单之前更引人注目，这样就成了一个比技术问
题更复杂的问题。
内容分级与自我鉴定是由内容提供者和用户共同控制
的, 但是在这种情况下, 由内容或产品的提供者对他们的
内容进行评定登记, 然后 Internet用户和 ISP用户据此来保
护自己, 他们可以凭借一些已有的客观标准, 自己判断一
个 Web站点上的内容是否合法, 也就是他们对自己实际访
问的内容负责 。
1,PICS
PICS（ Platform for Internet Content Selection）,
互联网内容选择平台是最初工业界为促进内容定级和自我
鉴定而采取的第一个步骤 。
PICS主要包括以下部分,
（ 1） 分级服务
（ 2） PICS标签的内容
（ 3） 标签的传输
（ 4） 通过 Http申请 PICS 标签
（ 5） 向一个分级服务申请标签
9,7,2 信息定级与自我鉴定
娱 乐 软 件 顾 问 委 员 会 （ Recreational Software
Advisory Council,RSAC） 是 20世纪 90年代中期为了规范
儿童视频游戏的内容而在美国国会中分出的机构 。
2,RSACi
级别 暴 力
裸 体
性
语 言
级别 4 恣意的而且非常无理的暴力 极具挑逗性的正面媒体表演 暴露的性行为 极度仇恨或粗鲁的语言,非常暴露的性内容
级别 3
带血腥的杀戮场面
,人被杀或受到伤
害
正面裸体
非暴露性的性
抚摸
蛮横, 粗俗的语言, 手
势等, 使用带侮辱性的
称谓
级别 2
杀戮, 人或生物遭
到伤害或被杀死
半裸
穿着衣服的性
抚摸
一般性的脏话, 与性无
关的解剖学术语
级别 1
打斗, 对有生命物
体的伤害
暴露服装
充满激情的轻
吻
轻微的秽语, 或针对身
体的轻微措施
级别 0
没有侵犯性的暴力
行为, 没有自然的
或以外的暴力事件
无裸体场面
浪漫故事, 没
有任何性行为
的描写
不令人讨厌的言语
3,使用内容定级和自我鉴定的实例
当前主流浏览器之一就支持 PICS和 RSACi,它可以使用分级审
查来控制在 互联网上可以访问的内容类型, 启动, 分级审查, 功
能后, 只有那些满足要求标准的已经分级的内容才能在浏览器窗
口显示出来 。
启用, 分级审查, 功能的操作如下,① 在 IE浏览器中打开, 查
看, 菜单, 从中选择, Internet选项, 命令, 打开它的对话框,
并选择, 内容, 选项卡 （ 如图 9-4所示 ） 。 ② 在, 分级审查, 框
中单击, 启用, 安钮, 随后屏幕上出现一个名为, 分级审查, 的
对话框, 你将看到面板上共有 4个审查标准, 只需简单拖动滑动
条就可以设置了 。 ③ 分级审查设定完成后会弹出一个, 创建监
护人密码, 的面板 （ 如图 9-6所示 ）, 输入监护人密码, 最后按
,确定, 按钮, 然后会弹出一个窗口, 告诉你分级审查已经启用
。
（ 如图 9-4） ～ （ 如图 9-7） 所示,
图 9-4 内容选项卡
图 9-5 分级审查对话框
图 9-6 创建监护人, 密码, 的面板
图 9-7 分级审查启用
除了以上所谈的两种方法外, 其他还有一些客户端的封
锁软件, 这些技术被称之为本地信息审查技术, 包括,URL
或 IP限制, 文字拦截, 图像审查, 屏幕监视等 。
URL或 IP限制功能与前面所说的基于源的阻塞基本类似
,只不过是在主机端执行 。 文字拦截功能可以按关键字拦
截本机通过网络传输的信息, 不仅是流入的信息 。 而且可
以是从本地流出的信息, 这样可以防止一些本机的机密信
息或者其他不良信息的外泄, 此外, 还可以拦截各种文件
,可以采用与实时防病毒类似的开发特定设备驱动程序或
采用钩子技术, 在系统打开文件之前发现有害或者不良的
文字信息, 给出警告, 予以拦截, 文字拦截主要针对的是
一些文本, Html,WPS,Word等文件 。 图像审查功能采用特
定的识别技术, 在用户打开图像文件之前识别出是否含有
不良信息, 自动予以警告, 拦截 。 至于屏幕监视功能则主
要定时地抓拍屏幕图像, 保存起来, 以供审查之用 。
9,7,3其它的一些客户端封锁软件
9,8
身份认证
技术
9,8,1 身份认证概述
认证技术是网络信息安全理论与技术的一个重要方面。
身份认证是安全系统中的第一道关卡，用户在访问安全系统
之前，首先经过身份认证系统识别身份，然后访问监控器，
根据用户的身份和授权数据库决定用户是否能够访问某个资
源。
一旦身份认证系统被攻破，那么系统的所有安全措施将
形同虚设。黑客攻击的目标往往就是身份认证系统。因此要
加快对我国的信息安全的建设，加强身份认证理论及其应用
的研究是一个非常重要的课题。
单机状态下用户登录计算机, 一般有以下几种形式验证
用户身份,① 用户所知道的东西, 如口令, 密码 。 ②
用户所拥有的东西, 如智能卡, 身份证, 护照, 密钥盘
。 ③ 用户所具的有的生物特征, 如指纹, 声音, 视网
膜扫描, DNA等 。 下面分别进行讨论 。
1,基于口令的认证方式
基于口令的认证方式是最常用的一种技术 。 用户输
入自己的口令, 计算机验证并给予用户相应的权限 。 这
种方式很重要的问题是口令的存储 。 一般有两种方法,
（ 1） 直接明文存储口令
（ 2） Hash散列存储口令
9,8,2 单机状态下的身份认证
2,基于智能卡的认证方式
基于智能卡的认证方式是一种双因素的认证方式 （ PIN+
智能卡 ）, 即使 PIN或智能卡被窃取, 用户仍不会被冒充 。
智能卡提供硬件保护措施和加密算法, 可以利用这些功能加
强安全性能, 例如：可以把智能卡设置成用户只能得到加密
后的某个秘密信息, 从而防止秘密信息的泄露 。
智能卡具有硬件加密功能, 有较高的安全性 。 每个用户
持有一张智能卡, 智能卡存储用户个性化的秘密信息, 同时
在验证服务器中也存放该秘密信息 。 进行认证时, 用户输入
PIN（ 个人身份识别码 ）, 智能卡认证 PIN,成功后, 即可读
出智能卡中的秘密信息, 进而利用该秘密信息与主机之间进
行认证 。
3．基于生物特征的认证方式
基于生物认证的方式是以人体惟一的、可靠的、
稳定的生物特征（如指纹、虹膜、脸部、掌纹等）为依
据，采用计算机强大的计算功能和网络技术进行图像处
理和模式识别。
（ 1）指纹识别技术
① 指纹特征
② 指纹识别：指纹识别技术主要涉及 4个功能：读取
指纹图像、提取特征、保存数据和比对。
（ 2）虹膜识别技术
① 虹膜
② 算法
③ 录入和识别
9,8,3 网络环境下的身份认证
网络环境下的身份证较为复杂, 主要是要考虑到验证身份的
双方一般都是通过网络而非直接交互, 像根据指纹等手段就难
以实现 。 同时大量的黑客随时随地都可能尝试向网络渗透, 截获
合法用户口令并冒名顶替以合法身份入网, 所以目前一般采用高
强度的密码认证协议技术来进行身份认证 。
1,一次性口令技术
美国科学家 Leslie Lamport首次提出了利用散列函数产生一
次性口令的思想, 即用户每次登录系统时使用的口令是变化的 。
2,PPP 中的认证协议
PPP有 3个主要的组成部分,① 在串行链路上封闭数据报 （
Datagrams） 方法 。 ② 建立, 配置和测试数据链路连接 （
Data-link Connection） 的 LCP协议 。 ③ 建立和配置不同网络
层协议的一组 NCP协议 （ Network Control Protocol） 。
3,RADIUS协议
RADIUS（ Remote Authentication Dial-in User
Service）由朗讯公司提出的客户 /服务器安全协议，是一
个拨号网络中提供注册、验证功能的工业标准，现已成为
Internet的正式协议标准
RADUIS的特点,
① RADUIS使用 UDP作为传输协议
② RADUIS服务器能支持多种认证方法
RADIUS的认证过程：① 接入服务器从用户那里获得取用
户名和口令，将其同用户的一些其他信息打成 RADIUS数据
包向 RADIUS服务器发送，通常称为认证请求包。 ② RADIUS
服务器收到认证请求包后，首先查看接入服务器是否已经
登记，然后根据包中用户名、口令等信息验证用户是否合
法。 ③ 接入服务器收到访问接受 /拒绝包时，首先要判断
包中的签名是否正确，如果不正确将认为收到了一个非法
的包。
4,Kerberos认证服务
Kerberos是麻理省工学院的 Project Athena
针对分布式环境的开放式系统开发的鉴别机制,
它已被开放软件基金会 （ OSF） 的分布式计算环
境 （ DCE）, 以及许多网络操作系统供应商所采
用 。
Kerberos系统应满足这样的要求,
① 安全
② 可靠
③ 透明
④ 可伸缩
9,8,4 Windows NT安全认证子系统
Windows NT的安全子系统主要由本地安全授权 LSA、安
全管理 SAM和安全参考监视器 SRM等组成。
（ 1）本地安全授权部分提供了许多服务程序，保障用户
获得存取系统的许可权。
（ 2）安全账户管理部分保存安全账户数据库 (SAM
Database)，该数据库包含所有组和用户的信息。
（ 3）安全参考监视器负责访问控制和审查策略，由 LSA支
持。 SRM提供客体 (文件、目录等 )的存取权限，检查主体 (用
户帐户等 )的权限，产生必要的审查信息。
（ 4） Windows NT有一个安全登录序列, 用以防止不可信应
用窃取用户名和口令序列, 并有用户帐号和口令等管理能力
。
（ 5）为了登录 WindowsNT(包括通过网络登录 )，每一用
户必须首先进行域以及用户名识别。每一域以及用户名惟
一地标识了一个用户，在系统内部，使用 SID(Security
Identifier)予以表征。
（ 6） Windows NT允许每一用户账号有一对应的口令 。
TFM(trusted Facility Manual)说明了怎样确保所有用户
账号都 有口令, 而且该口令在用户登录时必须键入以便鉴
别用户身份 。
（ 7） 口令存储在 SAM(Security Accounts Manager)数据库
中并由 DAC机制保护, 以防止非法访问 。
Windows NT
安全子系统
9, 9
VPN技术
要确保远程网络之间能够安全通信, VPN（ Virtual Private
Network,虚拟专用网络 ） 是一种很好的技术选择 。
1,VPN的基本原理
VPN是一种网络技术, 通常用以实现相关组织或个人跨开
放, 分布式的互联网的安全通信 。 其实质是, 利用共享的互联
网设施, 模拟, 专用, 广域网, 最终以极低的费用为远程用户
提供能和专用网络相媲美的保密通信服务 。 VPN用户都希望以
最小的代价, 使数据安全性得到的一定程度保证 。 互联网具有
极为广泛的网络覆盖范围, 远比长途通信费用低廉的接入费用
等优点, 却存在内在的不安全性, 促使用户根据自身业务特点
和需要, 或者自己构建 VPN,或者直接向 VPN服务供应商购买
合适的 VPN服务 。 自构 VPN称为基于用户设备的 VPN,此时, 用
户在已有的网络设备基础上, 适当扩充功能和 （ 或 ） 添置设备
,利用互联网连接远程网络 。
9,9,1 VPN概述
2,VPN的应用
VPN技术是应用户的远程安全通信需求而产生的, 特
定的需求规定了 VPN技术的特定应用领域 。 目前, VPN
主要有 3个应用领域,
远程接入网, 内联网和外联网 。 说明了如下,
? 远程接入网主要用于企业内部人员的移动或远程办
公, 也可以用于商家为其顾客提供 B2C（ Busness to
Censumer） 的安全访问服务 。
?内联网主要用于企业内部各分支机构的互联 。
?外联网主要为某个企业和其合作伙伴提供许可范围内
的信息共享服务 。
9,9,2 VPN的关键安全技术
目前, VPN主要采用 5项技术来保证安全, 这 5项技术分别
是隧道技术 （ Tunneling）, 加解密技术 （ Encryption &
Decryption）, 密钥管理技术 （ Key Management）, 使用者
与设备身份认证技术 （ Authentication） 和访问控制技术 （
Access Control） 。 后 4种技术在本书的有关章节已得到详
细展开, 所以这里我们只对隧道技术重点讨论 。
隧道技术按其拓扑结构分为点对点隧道和点对多点隧道 。
9,9,3 VPN的实现方法
对 VPN的分类有多种方法, 每一类 VPN都有其特有的实现方法
。 根据 VPN主要设备的归属不同, VPN可分为基于用户设备的 VPN
和基于网络的 VPN；根据 VPN运行在哪一层上, 将 VPN分成 L2VPN（
Layer 2 VPN,第二层 VPN） 和 L3VPN（ Layer 3 VPN,第三层
VPN） 。 一个 VPN是由若干个由隧道连接的 VPN设备组成, 每个 VPN
设备在与其关联的多个隧道和其他网络借口间以合适的方式转发
分组 。 这种分组转发的方式决定了该 VPN是 L2VPN还是 L3BPN,若
分组被中继或桥接转发, 则该 VPN是 L2VPN；否则, 该 VPN是 L3VPN
,分组将被路由转发 。 L2VPN可以进一步细分为,VLL（ Virtual
Leased Line,虚拟租借线路 ）, VPDN（ Virtual Private Dial
Network,虚拟专用拨号网络 ） 和 VPLS（ Virtual Private LAN
Segment,虚拟专用局域网段 ） 。 而 L3VPN又称为 VPRN（ Virtual
P[rivate Routed Network,虚拟专用路由网络 ]。
9,9,4 VPN产品与解决方案
1,解决方案一
某企业有分支机构设在外地, 每天日常的信息资源流动 （ 如
电子邮件, 公文流转等 ） 都通过长途电话拨号进入总部, 每月
的长途话费开销数万元, 而且由于拨号网络的速度限制, 用户
都普遍反应网络效率甚低 。
考虑到现在 Internet接入的费用日趋下降, 可以利用当地 ISP
提供的宽带网络服务接入到 Internet,再利用 Internet公众网络
使分支机构与总部公司实现网络互连 。 但公众网络上黑客众多
,公司内部邮件和公文需要保密, 不可以直接暴露在公众网络
中 。 基于用户的需求, 可以采用 VPN方式来进行网络互连, 即
利用 Internet节省了原有长途话费开销, 又具有一定强度的安全
性, 还提高了整个网络的吞吐率 。 网络拓扑结构如下图 9所示 。
网络拓扑结构图
2,解决方案二
某 IT公司的业务分布在各省市, 员工出差的频率相当高
。 出差员工日常与总公司只能通过长途电话汇报情况, 由于
IT公司有相当多的资料更新比较快, 而且往往是电子文档,
一般员工就只能通过 Internet公众网络中的电子邮件信箱
或匿名 FTP来交换资料, 而且经常受到信箱大小的限制, 或
匿名 FTP不安全因素的威胁 。
由于现在大多数员工都使用 Windows2000或 Windows XP作
为操作系统, 可以利用这些操作系统内置的 VPN拨号功能来
实现异地, 安全, 低开销地连入到总公司网络中 。 这样员工
不论出差在哪个城市, 都可以利用当地的 ISP连回总公司,
使用总部的网络资源, 收发电子邮件等, 显著提高了工作效
率, 如下图所示 。
远程连网图
9,10
本章小结
本章全面介绍了 Web的安全技术, 首先从分析因特网安全
性入手, 简要的描述了因特网上的安全隐患, 因特网的脆
弱性及其根源 。 之所以存在这些问题根本原因在于互联网
的最初的设计思想, 抗毁性,,, 不可靠性, 等 。 互联网
的主要目的不是为了提供安全传输, 而是为了提供冗余传
输 。 从互联网发展至今, 互联网的不安全状态与最初相比
也没有很大改观 。 通过学习让读者认识到：计算机和计算
机网络安全措施是确保计算机与计算机网络正常运行的保
护措施, 尽管目前没有一种保护措施能确保网络达到 100％
的安全, 但安全措施却又是不可缺少的 。
其次, 本章首先从电子商务的角度介绍了 Web与电子商务
安全技术, 进行了安全分析, 即：对 Web服务器的安全威胁
,对 Web浏览客户机的安全威胁和对通信信道的安全威胁这
三类, 使读者了解到电子商务中安全威胁的几个方面 。 并
提出了 Web安全防护技术, SSL,电子商务的安全技术, 主
页防修改技术等对策 。
然后, 本章就 Web安全技术与产品的几个方面展开了讨
论, 它们是,IP的安全技术, E-mail安全技术, 安全扫
描技术, 网络安全管理技术, 网络信息过滤技术, 身份
认证技术, VPN技术等的各个方面 。 从理论分析到具体措
施都进行了说明了, 对于读者建立 Web的安全技术的基本
概念有一定的借鉴作用 。
