2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
第 15章 计算机网络安全
15.1 概述
15.2 网络黑客攻击
15.3 网络安全解决方案
习 题
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
15.1.1 计算机网络安全的定义
网络安全涉及计算机科学、网络技术、通信技术、密码
技术、信息安全技术、应用数学、数论、信息论等多种学
科。
网络安全从其本质上来讲就是网络上的信息安全，是指
网络系统的硬件、软件及其系统中的数据受到保护，不受
偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连
续可靠正常地运行，网络服务不中断。从广义来说，凡是
涉及到网络上信息的保密性、完整性、可用性、真实性和
可控性的相关技术和理论都是网络安全所要研究的领域。
网络安全涉及的内容既有技术方面的问题，也有管理方面
的问题，两方面相互补充，缺一不可。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
技术方面主要侧重于防范外部非法用户的攻击，管理方
面则侧重于内部人为因素的管理。如何更有效地保护重要
的信息数据、提高计算机网络系统的安全性已经成为所有
计算机网络应用必须考虑和必须解决的一个重要问题。
15.1.2 网络安全的内容
计算机网络的安全性问题实际上包括两方面的内容：一
是网络的系统安全，二是网络的信息安全。
1．可靠性,可靠性是网络系统安全最基本的要求，可靠
性主要是指网络系统硬件和软件无故障运行的性能。
2．可用性,可用性是指网络信息可被授权用户访问的特
性，即网络信息服务在需要时，能够保证授权用户使用。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
3．保密性,保密性是指网络信息不被泄露的特性。保密性是在
可靠性和可用性的基础上保证网络信息安全的非常重要的手段。
4．完整性,完整性是指网络信息未经授权不能进行改变的特性，
即网络信息在存储和传输过程中不被删除、修改、伪造、乱序、
重放和插入等操作，保持信息的原样。
5．不可抵赖性,不可抵赖性也称做不可否认性，主要用于网络
信息的交换过程，保证信息交换的参与者都不可能否认或抵赖曾
进行的操作，类似于在发文或收文过程中的签名和签收的过程。
概括起来讲，网络信息安全就是通过计算机技术、通信技术、
密码技术和安全技术保护在公用网络中存储、交换和传输信息的
可靠性、可用性、保密性、完整性和不可抵赖性的技术。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
1．网络实体安全,如机房的物理条件、物理环境及设施
的安全标准，计算机硬件、附属设备及网络传输线路的的
安装及配置等。
2．软件安全,如保护网络系统不被非法侵入，系统软件
与应用软件不被非法复制、篡改，不受病毒的侵害等。
3．网络数据安全,如保护网络信息的数据不被非法存取，
保护其完整一致等。
4．网络安全管理,如运行时突发事件的安全处理等，包
括采取计算机安全技术，建立安全管理制度，开展安全审
计，进行风险分析等内容。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
15.1.3 计算机网络面临的威胁
计算机网络上的通信面临的威胁主要包括：
① 截获，攻击者从网络上窃听信息；
② 中断，攻击者有意中断网络上的通信；
③ 篡改，攻击者有意更改网络上的信息；
④ 伪造，攻击者使假的信息在网络上传输。
上述的 4种威胁可以分为两类：即被动攻击和主动攻击。其中
截获信息被称为被动攻击，攻击者只是被动地观察和分析信息，
而不干扰信息流，一般用于对网络上传输的信息内容进行了解。
中断、篡改和伪造信息被称为主动攻击，主动攻击对信息进行
各种处理，如有选择地更改、删除或伪造等。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
15.1.4 网络不安全的原因
网络不安全的原因是多方面的，主要包括：
① 来自外部的不安全因素，即网络上存在的攻击。
② 来自网络系统本身的，如网络中存在着硬件、软件、通信、
操作系统或其他方面的缺陷与漏洞，给网络攻击者以可乘之机。
③ 网络应用安全管理方面的原因，网络管理者缺乏网络安全
的警惕性，忽视网络安全，或对网络安全技术缺乏了解，没有
制定切实可行的网络安全策略和措施。
④ 网络安全协议的原因。在互联网上使用的协议是 TCP/IP，
其 IPv4版在设计之初没有考虑网络安全问题，从协议的根本上
缺乏安全的机制，这是互联网存在安全威胁的主要原因。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
15.1.5 网络安全措施
计算机网络安全是一个涉及面非常广的问题。在技术方面包括计算
机技术、通信技术和安全技术，在安全基础理论方面包括数学、密码
学等多个学科。除了技术和应用层次之外，还包括管理和法律等方面。
解决网络安全问题必须进行全面的考虑，包括：采取安全的技术、加
强安全检测与评估、构筑安全体系结构、加强安全管理、制定网络安
全方面的法律和法规等。
① 在安全监测和评估方面，包括网络、保密性以及操作系统的检
测与评估。网络操作系统的检测与评估又是首要的，国际上目前主要
参照美国计算机中心于 1983年（后来多次修订）发表的可信任计算机
标准评价准则（简称 TCSEC），把计算机操作系统分为 4个等级（ A,B、
C,D）和 8个级别,D级最低,A级最高。一般的操作系统的安全都处于
D与 A级之间，例如著名的 UNIX操作系统属于 C1级。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
② 在安全体系结构方面目前主要参照 ISO于 1989年制定
的 OSI网络安全体系结构，包括安全服务和安全机制，主要
解决网络信息系统中的安全与保密问题。
OSI安全服务主要包括对等实体鉴别服务、访问控制服
务、数据保密服务、数据完整性服务、数据源鉴别服务和
禁止否认服务等。
OSI加密机制主要包括加密机制、数字签名机制、访问
控制机制、数据完整性机制、交换鉴别机制、业务流量填
充机制、路由控制机制和公证机制等。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
15.1.6 网络安全策略
一般来说，安全策略包括两个部分：一个总体的策略和具体
的规则。总体的策略用于阐明公司安全政策的总体思想，而具
体的规则用于说明什么活动是被允许的，什么活动是被禁止的。
1．网络安全策略的等级
网络安全策略可分为以下 4个等级：
① 不把内部网络和外部网络相连，因此一切都被禁止。
② 除那些被明确允许之外，一切都被禁止。
③ 除那些被明确禁止之外，一切都被允许。
④ 一切都被允许，当然也包括那些本来被禁止的。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
可以根据实际情况，在这 4个等级之间找出符合自己的
安全策略。当系统自身的情况发生变化时，必须注意及时
修改相应的安全策略。
2．网络安全策略的内容
一个好的网络安全性策略应包括如下内容：
（ 1）网络用户的安全责任
（ 2）系统管理员的安全责任
（ 3）正确利用网络资源
（ 4）检测到网络安全问题时的对策
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
3．网络安全策略
网络安全管理主要是配合行政手段，从技术上实现安全
管理，从范畴上讲，涉及 4个方面：物理安全策略、访问控
制策略、信息加密策略、网络安全管理策略。
（ 1）物理安全策略
物理安全策略的目的是保护计算机系统、网络服务器、
打印机等硬件实体和通信链路免受自然灾害、人为破坏和
搭线攻击；验证用户的身份和使用权限，防止用户越权操
作；确保计算机系统有一个良好的电磁兼容工作环境；建
立完备的安全管理制度，防止非法进入计算机控制室和各
种偷窃、破坏活动的发生。抑制和防止电磁泄漏是物理安
全策略的一个主要问题。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
（ 2）访问控制策略
访问控制是网络安全防范和保护的主要策略。它的首要
任务是保证网络资源不被非法使用和非常规访问。访问控制
可以说是保证网络安全最重要的核心策略之一。
① 入网访问控制：入网访问控制为网络访问提供了第一
层访问控制，它控制哪些用户能够登录到服务器并获取网络
资源，控制准许用户入网的时间和准许他们在哪台工作站入
网。
用户入网访问控制可分为 3个步骤：用户名的识别与验证、
用户口令的识别和验证、用户账户的默认限制检查。三道关
卡中只要任何一关未过，该用户便不能进入该网络。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
② 网络的权限控制：网络的权限控制是针对网络非法
操作所提出的一种安全保护措施。用户和用户组被赋予一
定的权限；网络控制用户和用户组可以访问哪些目录、子
目录、文件和其他资源；可以指定用户对这些文件、目录、
设备能够执行哪些操作。
③ 目录级安全限制：用户在目录一级指定的权限对所
有文件和子目录有效，用户还可进一步指定对目录下的子
目录和文件的权限。对目录和文件的访问权限一般有 8种：
系统管理权限、读权限、写权限、创建权限、删除权限、
修改权限、文件查找权限、存取控制权限。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
④ 属性级安全控制：当用文件、目录和网络设备时，网络系
统管理员应给文件、目录等指定访问属性。
⑤ 网络服务器安全控制：网络允许在服务器控制台上执行一
系列操作。网络服务器的安全控制包括可以设置口令锁定服务器
控制台，以防止非法用户修改、删除重要信息或破坏数据；可以
设定服务器登录时间限制、非法访问者检测和关闭的时间间隔。
⑥ 网络监测和锁定控制：网络管理员应对网络实施监控，服
务器应记录用户对网络资源的访问，对非法的网络访问，服务器
应以图形、文字或声音等形式报警，以引起网络管理员的注意。
⑦ 网络端口和结点的安全控制：网络中服务器的端口以加密
的形式来识别结点的身份。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
⑧ 防火墙控制：防火墙是近期发展起来的一种保护计
算机网络安全的技术性措施，它是一个用于阻止网络中的
黑客访问某个机构网络的屏障，在网络边界上通过建立起
来的相应网络通信监控系统来隔离内部和外部网络，以阻
挡外部网络的侵入。
（ 3）信息加密策略
信息加密的目的是保护网内的数据、文件、口令和控制
信息，保护网上传输的数据。网络加密常用的方法有链路
加密、端点加密和结点加密 3种。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
（ 4）网络安全管理策略
在网络安全中，加强网络的安全管理，制定有关规章制
度，对于确保网络的安全、可靠地运行，将起到十分有效
的作用。
网络安全管理策略包括：确定安全管理等级和安全管理
范围；制定有关网络操作使用规程和人员出入机房管理制
度，制定网络系统的维护制度和应急措施等。
随着计算机技术和通信技术的发展，计算机网络将日益
成为工业、农业和国防等方面的重要信息交换手段，渗透
到社会生活的各个领域。因此，认清网络的脆弱性和潜在
威胁，采取强有力的安全措施，对于保障网络的安全性将
变得十分重要。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
15.2.1 黑客攻击者
黑客是英文 hacker的译音，原意为热衷于电脑程序的设计者，
指对于任何计算机操作系统的奥秘都有强烈兴趣的人。
入侵者（攻击者）指怀着不良的企图，闯入远程计算机系统
甚至破坏远程计算机系统完整性的人。入侵者利用获得的非法
访问权，破坏重要数据，拒绝合法用户的服务请求，或为了自
己的目的故意制造麻烦。
黑客攻击的步骤如下。
1．收集目标计算机的信息,信息收集的目的是为了进入所要
攻击的目标网络的数据库。黑客会利用下列的公开协议或工具，
收集驻留在网络系统中的各个主机系统的相关信息。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
用到的工具是端口扫描器和一些常用的网络命令。端口
扫描在下一小节有详细介绍。常用的网络命令有,SNMP协
议,TraceRoute程序,Whois协议,DNS服务器,Finger协
议,Ping程序、自动 Wardialing软件等。
2．寻求目标计算机的漏洞和选择合适的入侵方法
① 通过发现目标计算机的漏洞进入系统或者利用口令
猜测进入系统。
② 利用和发现目标计算机的漏洞，直接顺利进入。
发现计算机漏洞的方法用得最多的就是缓冲区溢出法。
发现系统漏洞的第二个方法是平时参加一些网络安全列表。
还有一些入侵的方法是采用 IP地址欺骗等手段。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
3．留下“后门”
后门一般是一个特洛伊木马程序，它在系统运行的同时
运行，而且能在系统以后的重新启动时自动运行这个程序。
4．清除入侵记录
清除入侵记录是把入侵系统时的各种登录信息都删除，
以防被目标系统的管理员发现。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
15.2.2 扫描
扫描是网络攻击的第一步，通过扫描可以直接截获数据
报进行信息分析、密码分析或流量分析等。通过扫描查找
漏洞如开放端口、注册用户及口令、系统漏洞等。
扫描有手工扫描和利用端口扫描软件。手工扫描是利用
各种命令，如 Ping,Tracert,Host等；使用端口扫描软
件是利用扫描器进行扫描。
扫描器是自动检测远程或本地主机安全性弱点的程序。
通过使用扫描器可以不留痕迹地发现远程服务器的各种 TCP
端口的分配、提供的服务和软件版本，这就能间接或直观
地了解到远程主机所存在的安全问题。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
15.2.3 Sniffer
Sniffer，中文可以翻译为嗅探器，是一种威胁性极大
的被动攻击工具。使用这种工具，可以监视网络的状态、
数据流动情况以及网络上传输的信息。当信息以明文的形
式在网络上传输时，便可以使用网络监听的方式来进行攻
击。将网络接口设置在监听模式，便可以将网上传输的源
源不断的信息截获。黑客们常常用它来截获用户的口令，
据说某个骨干网络的路由器曾经被黑客攻击，并嗅探到大
量的用户口令。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
Sniffor程序是一种利用以太网的特性把网络适配卡（ NIC，一般
为以太网卡）置为混杂（ promiscuous）模式状态的工具，一旦网卡
设置为这种模式，它就能接收传输在网络上的每一个信息包。
普通的情况下，网卡只接收和自己的地址有关的信息包，即传输
到本地主机的信息包。要使 Sniffer能接收并处理这种方式的信息，
系统需要支持 BPF,Linux下需要支持 SOCKET一 PACKET。但一般情况
下，网络硬件和 TCP／ IP协议栈不支持接收或者发送与本地计算机无
关的数据报，所以，为了绕过标准的 TCP／ IP协议栈，网卡就必须设
置为我们刚开始讲的混杂模式。一般情况下，要激活这种方式，内
核必须支持这种伪设备 Bpfilter，而且需要 root权限来运行这种程
序，所以 Sniffer需要 root身份安装，如果只是以本地用户的身份进
入了系统，那么不可能嗅探到 root的密码，因为不能运行 Sniffer。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
15.2.4 特洛伊木马
“特洛伊木马”（ trojan horse）简称“木马”，是一种计算机程
序，它驻留在目标计算机里。在目标计算机系统启动的时候，自然启
动，然后在某一端口进行监听。如果在该端口收到数据，对这些数据
进行识别，然后按识别后的命令，在目标计算机上执行一些操作，比
如，窃取口令，复制或删除文件或重新启动计算机，特洛伊木马隐藏
着可以控制用户计算机系统、危害系统安全的功能，它可能造成用户
资料泄露，破坏或使整个系统崩溃。完整的木马程序一般由两部分组
成，一是服务器程序，二是控制器程序。“中了木马”就是指安装了
木马的服务器程序，若你的电脑被安装了服务器程序，则拥有控制器
程序的人就可以通过网络控制你的电脑，为所欲为，这时你电脑上的
各种文件、程序，以及在你电脑上使用的账户、密码就无安全可言了。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
15.2.5 常见的黑客攻击方法
信息收集是突破网络系统的第一步，有了第一步的信息搜集，
黑客就可以采取进一步的攻击步骤。
1．口令攻击,对付口令攻击的有效手段是加强口令管理，选
取特殊的不容易猜测的口令，口令长度不要少于 8个字符。
2．拒绝服务的攻击,一个拒绝服务的攻击是指占据了大量的
系统资源，没有剩余的资源给其他用户，系统不能为其他用户
提供正常的服务。
有两种类型的拒绝服务的攻击，第一种攻击试图去破坏或者
毁坏资源，使得无人可以使用这个资源。第二种类型是过载一
些系统服务，或者消耗一些资源，这样阻止其他用户使用这些
服务。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
3．网络监听,网络监听工具是黑客们常用的一类工具。使用这种工
具，可以监视网络的状态、数据流动情况以及网络上传输的信息。网
络监听可以在网上的任何一个位置，如局域网中的一台主机、网关上，
路由设备或交换设备上或远程网的调制解调器之间等。黑客们用得最
多的是通过监听截获用户的口令。
4．缓冲区溢出,缓冲区溢出是一个非常普遍、非常危险的漏洞，在
各种操作系统、应用软件中广泛存在。产生缓冲区溢出的根本原因在
于，将一个超过缓冲区长度的字串复制到缓冲区。溢出带了两种后果，
一是过长的字串覆盖了相邻的存储单元，引起程序运行失败，严重的
可引起宕机、系统重新启动等后果；二是利用这种漏洞可以执行任意
指令，甚至可以取得系统特权，在 UNIX系统中，利用 SUID程序中存在
的这种错误，使用一类精心编写的程序，可以很轻易地取得系统的超
级用户权限。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
5．电子邮件攻击
电子邮件系统面临着巨大的安全风险，它不但要遭受前面所述的许
多攻击，如恶意入侵者破坏系统文件，或者对端口 25（默认 SMTP口）
进行 SYN-Flood攻击，它们还容易成为某些专门面向邮件攻击的目标。
① 窃取／篡改数据, 通过监听数据报或者截取正在传输的信息，
攻击者能够读取，甚至修改数据。
② 伪造邮件：发送方黑客伪造电子邮件，使它们看起来似乎发自
某人／某地。
③ 拒绝服务（ Denial of Service Attack）：黑客可以让你的系
统或者网络充斥邮件信息（即邮件炸弹攻击）而瘫痪。这些邮件信息
塞满队列，占用宝贵的 CPU资源和网络带宽，甚至让邮件服务器完全瘫
痪。
④ 病毒：现代电子邮件可以使得传输文件附件更加容易。如果用
户毫不提防地去执行文件附件，病毒就会感染他们的系统。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
6．其他攻击方法
其他的攻击方法主要是利用一些程序进行攻击，比如后
门、程序中有逻辑炸弹和时间炸弹、病毒、蠕虫、特洛伊
木马程序等。陷门（ Trap door）和后门（ back door）是
一段非法的操作系统程序，其目的是为闯入者提供后门。
逻辑炸弹和时间炸弹是当满足某个条件或到预定的时间时
发作，破坏计算机系统。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
? 物理层的安全防护：在物理层上主要通过制订物理层
面的管理规范和措施来提供安全解决方案。
? 链路层安全保护：主要是链路加密设备对数据加密保
护。它对所有用户数据一起加密，用户数据通过通信线路
送到另一结点后解密。
? 网络层和安全防护：网络层的安全防护是面向 IP包的。
网络层主要采用防火墙作为安全防护手段，实现初级的安
全防护；在网络层也可以根据一些安全协议实施加密保护；
在网络层也可实施相应的入侵检测。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
? 传输层的安全防护：传输层处于通信子网和资源子网
之间，起着承上启下的作用。传输层也支持多种安全服务：
对等实体认证服务、访问控制服务、数据保密服务、数据
完整性服务、数据源点认证服务等。
? 应用层的安全防护：原则上讲所有安全服务均可在应
用层提供。在应用层可以实施强大的基于用户的身份认证；
在应用层也是实施数据加密、访问控制的理想位置；在应
用层还可加强数据的备份和恢复措施；应用层可以对资源
的有效性进行控制，资源包括各种数据和服务。应用层的
安全防护是面向用户和应用程序的，因此可以实施细粒度
的安全控制。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
15.3.1 操作系统安全使用
操作系统是网络管理与控制的系统软件，是使用网络的
入口点，因此操作系统的安全使用对于网络安全来说是至
关重要的。而且网络的漏洞大多数都是因为操作系统引起
的，网络的安全问题也大都是因为操作系统没有正确地配
置和使用引起的，因此，安全地使用操作系统是一个不容
忽视的问题。
1．安全使用
2．消除漏洞
3．安全策略配置
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
15.3.2 防火墙
在网络中，防火墙是一种用来加强网络之间访问控制的
特殊网络互连设备，如路由器、网关等。如图 15.1所示，
它对两个或多个网络之间传输的数据报和连接方式按照一
定的安全策略进行检查，以决定网络之间的通信是否被允
许。其中被保护的网络称为内部网络，另一方则称为外部
网络或公用网络。它能有效地控制内部网络与外部网络之
间的访问及数据传输，从而达到保护内部网络的信息不受
外部非授权用户的访问和过滤不良信息的目的。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
1．防火墙的功能
防火墙是由管理员为保护自己的网络免遭外界非授权访
问但又允许与 Internet连接而发展起来的。从网际角度看，
防火墙可以看成是安装在两个网络之间的一道栅栏，根据
安全计划和安全策略中的定义来保护其后面的网络。
由软件和硬件组成的防火墙应该具有以下功能：
① 所有进出网络的通信流都应该通过防火墙；
② 所有穿过防火墙的通信流都必须有安全策略和计划
的确认和授权；
③ 理论上说，防火墙是穿不透的。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
2．防火墙的分类
（ 1）包过滤路由器
包过滤路由器（ Packet Filters）在一般路由器的基础
上增加了一些新的安全控制功能，是一个检查通过它的数
据报的路由器，包过滤路由器的标准由网络管理员在网络
访问控制表（ Access Control List）中设定，以检查数
据报的源地址、目的地址及每个 IP数据报的端口。它是在
OSI参考协议的下 3层中实现的，数据报的类型可以拦截和
登录，因此，此类防火墙易于实现对用户透明的访问，且
费用较低。但包过滤路由器无法有效地区分同一 IP地址的
不同用户，因此安全性较差。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
（ 2）应用型防火墙
应用型防火墙（ Application Gateway，又称双宿主网
关或应用层网关）的物理位置与包过滤路由器一样，但它
的逻辑位置在 OSI参考协议的应用层上，所以主要采用协议
代理服务（ Proxy Services）。就是在运行防火墙软件的
堡垒主机（ Bastion Host）上运行代理服务程序 Proxy。
应用型防火墙不允许网络间的直接业务联系，而是以堡垒
主机作为数据转发的中转站。堡垒主机是一个具有两个网
络界面的主机，每一个网络界面与它所对应的网络进行通
信。它既能作为服务器接收外来请求，又能作为客户转发
请求。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
（ 3）主机屏蔽防火墙
主机屏蔽防火墙由一个只需单个网络端口的应用型防火墙和
一个包过滤路由器组成。将它物理地址连接在网络总线上，它
的逻辑功能仍工作在应用层上，所有业务通过它进行代理服务。
Intranet不能直接通过路由器和 Internet相联系，数据报要通
过路由器和堡垒主机两道防线。这个系统的第一个安全设施是
过滤路由器，对到来的数据报而言，首先要经过包过滤路由器
的过滤，过滤后的数据报被转发到堡垒主机上，然后由堡垒主
机上应用服务代理对这些数据报进行分析，将合法的信息转发
到 Intranet的主机上。外出的数据报首先经过堡垒主机上的应
用服务代理检查，然后被转发到包过滤路由器，最后由包过滤
路由器转发到外部网络上。主机屏蔽防火墙设置了两层安全保
护，因此相对比较安全。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
（ 4）子网屏蔽防火墙
子网屏蔽防火墙（ Screened Subnet Firewall）的保护
作用比主机屏蔽防火墙更进了一步，它在被保护的
Intranet与 Internet之间加入了一个由两个包过滤路由器
和一台堡垒机组成的子网。被保护的 Intranet与 Internet
不能直接通信，而是通过各自的路由器和堡垒主机打交道。
两台路由器也不能直接交换信息。
子网屏蔽防火墙是最为安全的一种防火墙体系结构，它
具有主机屏蔽防火墙的所有优点，并且比之更加优越。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
15.3.3 网络的安全防范建议
一般局域网和广域网应该有以下安全措施：
① 系统要尽量与公网隔离，要有相应的安全连接措施。
② 不同工作范围的网络既要采用防火墙、安全路由器、
保密网关等相互隔离，又要在政策允许时保证互通。
③ 为了提供网络安全服务，各相应的环节应根据需要
配置可单独评价的加密、数字签名、访问控制、数据完整
性、业务流填充、路由控制、公证、鉴别审计等安全机制，
并有相应的安全管理。
④ 远程客户访问重要的应用服务要有鉴别服务器严格
执行鉴别过程和访问控制。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
⑤ 网络和网络安全设备要经受住相应的安全测试。
⑥ 在相应的网络层次和级别上设立密钥管理中心、访
问控制中心、安全鉴别服务器、授权服务器等，负责访问
控制以及密钥、证书等安全材料的产生、更换、配置和销
毁等相应的安全管理活动。
⑦ 信息传递系统要具有抗监听、抗截获能力，能对抗
传输信息的纂改、删除、插入、重放、选取明文密码破译
等主动攻击和被动攻击，保护信息的机密性，保证信息和
系统的完整性。
⑧ 涉及保密的信息在传输过程中，在保密装置以外不
以明文形式出现。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
习 题
1．网络安全的定义。
2．网络安全包括哪些内容？
3．计算机网络面临哪些威胁？
4．网络不安全的原因有哪些？
5．网络安全策略分几级？
6．网络安全策略主要有哪些？
7．黑客攻击一般有几步？
8．简述网络监听的原理。
9．常见的黑客攻击方法有哪些？
10．防火墙如何分类？
第 15章 计算机网络安全
15.1 概述
15.2 网络黑客攻击
15.3 网络安全解决方案
习 题
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
15.1.1 计算机网络安全的定义
网络安全涉及计算机科学、网络技术、通信技术、密码
技术、信息安全技术、应用数学、数论、信息论等多种学
科。
网络安全从其本质上来讲就是网络上的信息安全，是指
网络系统的硬件、软件及其系统中的数据受到保护，不受
偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连
续可靠正常地运行，网络服务不中断。从广义来说，凡是
涉及到网络上信息的保密性、完整性、可用性、真实性和
可控性的相关技术和理论都是网络安全所要研究的领域。
网络安全涉及的内容既有技术方面的问题，也有管理方面
的问题，两方面相互补充，缺一不可。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
技术方面主要侧重于防范外部非法用户的攻击，管理方
面则侧重于内部人为因素的管理。如何更有效地保护重要
的信息数据、提高计算机网络系统的安全性已经成为所有
计算机网络应用必须考虑和必须解决的一个重要问题。
15.1.2 网络安全的内容
计算机网络的安全性问题实际上包括两方面的内容：一
是网络的系统安全，二是网络的信息安全。
1．可靠性,可靠性是网络系统安全最基本的要求，可靠
性主要是指网络系统硬件和软件无故障运行的性能。
2．可用性,可用性是指网络信息可被授权用户访问的特
性，即网络信息服务在需要时，能够保证授权用户使用。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
3．保密性,保密性是指网络信息不被泄露的特性。保密性是在
可靠性和可用性的基础上保证网络信息安全的非常重要的手段。
4．完整性,完整性是指网络信息未经授权不能进行改变的特性，
即网络信息在存储和传输过程中不被删除、修改、伪造、乱序、
重放和插入等操作，保持信息的原样。
5．不可抵赖性,不可抵赖性也称做不可否认性，主要用于网络
信息的交换过程，保证信息交换的参与者都不可能否认或抵赖曾
进行的操作，类似于在发文或收文过程中的签名和签收的过程。
概括起来讲，网络信息安全就是通过计算机技术、通信技术、
密码技术和安全技术保护在公用网络中存储、交换和传输信息的
可靠性、可用性、保密性、完整性和不可抵赖性的技术。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
1．网络实体安全,如机房的物理条件、物理环境及设施
的安全标准，计算机硬件、附属设备及网络传输线路的的
安装及配置等。
2．软件安全,如保护网络系统不被非法侵入，系统软件
与应用软件不被非法复制、篡改，不受病毒的侵害等。
3．网络数据安全,如保护网络信息的数据不被非法存取，
保护其完整一致等。
4．网络安全管理,如运行时突发事件的安全处理等，包
括采取计算机安全技术，建立安全管理制度，开展安全审
计，进行风险分析等内容。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
15.1.3 计算机网络面临的威胁
计算机网络上的通信面临的威胁主要包括：
① 截获，攻击者从网络上窃听信息；
② 中断，攻击者有意中断网络上的通信；
③ 篡改，攻击者有意更改网络上的信息；
④ 伪造，攻击者使假的信息在网络上传输。
上述的 4种威胁可以分为两类：即被动攻击和主动攻击。其中
截获信息被称为被动攻击，攻击者只是被动地观察和分析信息，
而不干扰信息流，一般用于对网络上传输的信息内容进行了解。
中断、篡改和伪造信息被称为主动攻击，主动攻击对信息进行
各种处理，如有选择地更改、删除或伪造等。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
15.1.4 网络不安全的原因
网络不安全的原因是多方面的，主要包括：
① 来自外部的不安全因素，即网络上存在的攻击。
② 来自网络系统本身的，如网络中存在着硬件、软件、通信、
操作系统或其他方面的缺陷与漏洞，给网络攻击者以可乘之机。
③ 网络应用安全管理方面的原因，网络管理者缺乏网络安全
的警惕性，忽视网络安全，或对网络安全技术缺乏了解，没有
制定切实可行的网络安全策略和措施。
④ 网络安全协议的原因。在互联网上使用的协议是 TCP/IP，
其 IPv4版在设计之初没有考虑网络安全问题，从协议的根本上
缺乏安全的机制，这是互联网存在安全威胁的主要原因。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
15.1.5 网络安全措施
计算机网络安全是一个涉及面非常广的问题。在技术方面包括计算
机技术、通信技术和安全技术，在安全基础理论方面包括数学、密码
学等多个学科。除了技术和应用层次之外，还包括管理和法律等方面。
解决网络安全问题必须进行全面的考虑，包括：采取安全的技术、加
强安全检测与评估、构筑安全体系结构、加强安全管理、制定网络安
全方面的法律和法规等。
① 在安全监测和评估方面，包括网络、保密性以及操作系统的检
测与评估。网络操作系统的检测与评估又是首要的，国际上目前主要
参照美国计算机中心于 1983年（后来多次修订）发表的可信任计算机
标准评价准则（简称 TCSEC），把计算机操作系统分为 4个等级（ A,B、
C,D）和 8个级别,D级最低,A级最高。一般的操作系统的安全都处于
D与 A级之间，例如著名的 UNIX操作系统属于 C1级。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
② 在安全体系结构方面目前主要参照 ISO于 1989年制定
的 OSI网络安全体系结构，包括安全服务和安全机制，主要
解决网络信息系统中的安全与保密问题。
OSI安全服务主要包括对等实体鉴别服务、访问控制服
务、数据保密服务、数据完整性服务、数据源鉴别服务和
禁止否认服务等。
OSI加密机制主要包括加密机制、数字签名机制、访问
控制机制、数据完整性机制、交换鉴别机制、业务流量填
充机制、路由控制机制和公证机制等。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
15.1.6 网络安全策略
一般来说，安全策略包括两个部分：一个总体的策略和具体
的规则。总体的策略用于阐明公司安全政策的总体思想，而具
体的规则用于说明什么活动是被允许的，什么活动是被禁止的。
1．网络安全策略的等级
网络安全策略可分为以下 4个等级：
① 不把内部网络和外部网络相连，因此一切都被禁止。
② 除那些被明确允许之外，一切都被禁止。
③ 除那些被明确禁止之外，一切都被允许。
④ 一切都被允许，当然也包括那些本来被禁止的。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
可以根据实际情况，在这 4个等级之间找出符合自己的
安全策略。当系统自身的情况发生变化时，必须注意及时
修改相应的安全策略。
2．网络安全策略的内容
一个好的网络安全性策略应包括如下内容：
（ 1）网络用户的安全责任
（ 2）系统管理员的安全责任
（ 3）正确利用网络资源
（ 4）检测到网络安全问题时的对策
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
3．网络安全策略
网络安全管理主要是配合行政手段，从技术上实现安全
管理，从范畴上讲，涉及 4个方面：物理安全策略、访问控
制策略、信息加密策略、网络安全管理策略。
（ 1）物理安全策略
物理安全策略的目的是保护计算机系统、网络服务器、
打印机等硬件实体和通信链路免受自然灾害、人为破坏和
搭线攻击；验证用户的身份和使用权限，防止用户越权操
作；确保计算机系统有一个良好的电磁兼容工作环境；建
立完备的安全管理制度，防止非法进入计算机控制室和各
种偷窃、破坏活动的发生。抑制和防止电磁泄漏是物理安
全策略的一个主要问题。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
（ 2）访问控制策略
访问控制是网络安全防范和保护的主要策略。它的首要
任务是保证网络资源不被非法使用和非常规访问。访问控制
可以说是保证网络安全最重要的核心策略之一。
① 入网访问控制：入网访问控制为网络访问提供了第一
层访问控制，它控制哪些用户能够登录到服务器并获取网络
资源，控制准许用户入网的时间和准许他们在哪台工作站入
网。
用户入网访问控制可分为 3个步骤：用户名的识别与验证、
用户口令的识别和验证、用户账户的默认限制检查。三道关
卡中只要任何一关未过，该用户便不能进入该网络。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
② 网络的权限控制：网络的权限控制是针对网络非法
操作所提出的一种安全保护措施。用户和用户组被赋予一
定的权限；网络控制用户和用户组可以访问哪些目录、子
目录、文件和其他资源；可以指定用户对这些文件、目录、
设备能够执行哪些操作。
③ 目录级安全限制：用户在目录一级指定的权限对所
有文件和子目录有效，用户还可进一步指定对目录下的子
目录和文件的权限。对目录和文件的访问权限一般有 8种：
系统管理权限、读权限、写权限、创建权限、删除权限、
修改权限、文件查找权限、存取控制权限。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
④ 属性级安全控制：当用文件、目录和网络设备时，网络系
统管理员应给文件、目录等指定访问属性。
⑤ 网络服务器安全控制：网络允许在服务器控制台上执行一
系列操作。网络服务器的安全控制包括可以设置口令锁定服务器
控制台，以防止非法用户修改、删除重要信息或破坏数据；可以
设定服务器登录时间限制、非法访问者检测和关闭的时间间隔。
⑥ 网络监测和锁定控制：网络管理员应对网络实施监控，服
务器应记录用户对网络资源的访问，对非法的网络访问，服务器
应以图形、文字或声音等形式报警，以引起网络管理员的注意。
⑦ 网络端口和结点的安全控制：网络中服务器的端口以加密
的形式来识别结点的身份。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
⑧ 防火墙控制：防火墙是近期发展起来的一种保护计
算机网络安全的技术性措施，它是一个用于阻止网络中的
黑客访问某个机构网络的屏障，在网络边界上通过建立起
来的相应网络通信监控系统来隔离内部和外部网络，以阻
挡外部网络的侵入。
（ 3）信息加密策略
信息加密的目的是保护网内的数据、文件、口令和控制
信息，保护网上传输的数据。网络加密常用的方法有链路
加密、端点加密和结点加密 3种。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.1 概述
（ 4）网络安全管理策略
在网络安全中，加强网络的安全管理，制定有关规章制
度，对于确保网络的安全、可靠地运行，将起到十分有效
的作用。
网络安全管理策略包括：确定安全管理等级和安全管理
范围；制定有关网络操作使用规程和人员出入机房管理制
度，制定网络系统的维护制度和应急措施等。
随着计算机技术和通信技术的发展，计算机网络将日益
成为工业、农业和国防等方面的重要信息交换手段，渗透
到社会生活的各个领域。因此，认清网络的脆弱性和潜在
威胁，采取强有力的安全措施，对于保障网络的安全性将
变得十分重要。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
15.2.1 黑客攻击者
黑客是英文 hacker的译音，原意为热衷于电脑程序的设计者，
指对于任何计算机操作系统的奥秘都有强烈兴趣的人。
入侵者（攻击者）指怀着不良的企图，闯入远程计算机系统
甚至破坏远程计算机系统完整性的人。入侵者利用获得的非法
访问权，破坏重要数据，拒绝合法用户的服务请求，或为了自
己的目的故意制造麻烦。
黑客攻击的步骤如下。
1．收集目标计算机的信息,信息收集的目的是为了进入所要
攻击的目标网络的数据库。黑客会利用下列的公开协议或工具，
收集驻留在网络系统中的各个主机系统的相关信息。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
用到的工具是端口扫描器和一些常用的网络命令。端口
扫描在下一小节有详细介绍。常用的网络命令有,SNMP协
议,TraceRoute程序,Whois协议,DNS服务器,Finger协
议,Ping程序、自动 Wardialing软件等。
2．寻求目标计算机的漏洞和选择合适的入侵方法
① 通过发现目标计算机的漏洞进入系统或者利用口令
猜测进入系统。
② 利用和发现目标计算机的漏洞，直接顺利进入。
发现计算机漏洞的方法用得最多的就是缓冲区溢出法。
发现系统漏洞的第二个方法是平时参加一些网络安全列表。
还有一些入侵的方法是采用 IP地址欺骗等手段。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
3．留下“后门”
后门一般是一个特洛伊木马程序，它在系统运行的同时
运行，而且能在系统以后的重新启动时自动运行这个程序。
4．清除入侵记录
清除入侵记录是把入侵系统时的各种登录信息都删除，
以防被目标系统的管理员发现。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
15.2.2 扫描
扫描是网络攻击的第一步，通过扫描可以直接截获数据
报进行信息分析、密码分析或流量分析等。通过扫描查找
漏洞如开放端口、注册用户及口令、系统漏洞等。
扫描有手工扫描和利用端口扫描软件。手工扫描是利用
各种命令，如 Ping,Tracert,Host等；使用端口扫描软
件是利用扫描器进行扫描。
扫描器是自动检测远程或本地主机安全性弱点的程序。
通过使用扫描器可以不留痕迹地发现远程服务器的各种 TCP
端口的分配、提供的服务和软件版本，这就能间接或直观
地了解到远程主机所存在的安全问题。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
15.2.3 Sniffer
Sniffer，中文可以翻译为嗅探器，是一种威胁性极大
的被动攻击工具。使用这种工具，可以监视网络的状态、
数据流动情况以及网络上传输的信息。当信息以明文的形
式在网络上传输时，便可以使用网络监听的方式来进行攻
击。将网络接口设置在监听模式，便可以将网上传输的源
源不断的信息截获。黑客们常常用它来截获用户的口令，
据说某个骨干网络的路由器曾经被黑客攻击，并嗅探到大
量的用户口令。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
Sniffor程序是一种利用以太网的特性把网络适配卡（ NIC，一般
为以太网卡）置为混杂（ promiscuous）模式状态的工具，一旦网卡
设置为这种模式，它就能接收传输在网络上的每一个信息包。
普通的情况下，网卡只接收和自己的地址有关的信息包，即传输
到本地主机的信息包。要使 Sniffer能接收并处理这种方式的信息，
系统需要支持 BPF,Linux下需要支持 SOCKET一 PACKET。但一般情况
下，网络硬件和 TCP／ IP协议栈不支持接收或者发送与本地计算机无
关的数据报，所以，为了绕过标准的 TCP／ IP协议栈，网卡就必须设
置为我们刚开始讲的混杂模式。一般情况下，要激活这种方式，内
核必须支持这种伪设备 Bpfilter，而且需要 root权限来运行这种程
序，所以 Sniffer需要 root身份安装，如果只是以本地用户的身份进
入了系统，那么不可能嗅探到 root的密码，因为不能运行 Sniffer。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
15.2.4 特洛伊木马
“特洛伊木马”（ trojan horse）简称“木马”，是一种计算机程
序，它驻留在目标计算机里。在目标计算机系统启动的时候，自然启
动，然后在某一端口进行监听。如果在该端口收到数据，对这些数据
进行识别，然后按识别后的命令，在目标计算机上执行一些操作，比
如，窃取口令，复制或删除文件或重新启动计算机，特洛伊木马隐藏
着可以控制用户计算机系统、危害系统安全的功能，它可能造成用户
资料泄露，破坏或使整个系统崩溃。完整的木马程序一般由两部分组
成，一是服务器程序，二是控制器程序。“中了木马”就是指安装了
木马的服务器程序，若你的电脑被安装了服务器程序，则拥有控制器
程序的人就可以通过网络控制你的电脑，为所欲为，这时你电脑上的
各种文件、程序，以及在你电脑上使用的账户、密码就无安全可言了。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
15.2.5 常见的黑客攻击方法
信息收集是突破网络系统的第一步，有了第一步的信息搜集，
黑客就可以采取进一步的攻击步骤。
1．口令攻击,对付口令攻击的有效手段是加强口令管理，选
取特殊的不容易猜测的口令，口令长度不要少于 8个字符。
2．拒绝服务的攻击,一个拒绝服务的攻击是指占据了大量的
系统资源，没有剩余的资源给其他用户，系统不能为其他用户
提供正常的服务。
有两种类型的拒绝服务的攻击，第一种攻击试图去破坏或者
毁坏资源，使得无人可以使用这个资源。第二种类型是过载一
些系统服务，或者消耗一些资源，这样阻止其他用户使用这些
服务。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
3．网络监听,网络监听工具是黑客们常用的一类工具。使用这种工
具，可以监视网络的状态、数据流动情况以及网络上传输的信息。网
络监听可以在网上的任何一个位置，如局域网中的一台主机、网关上，
路由设备或交换设备上或远程网的调制解调器之间等。黑客们用得最
多的是通过监听截获用户的口令。
4．缓冲区溢出,缓冲区溢出是一个非常普遍、非常危险的漏洞，在
各种操作系统、应用软件中广泛存在。产生缓冲区溢出的根本原因在
于，将一个超过缓冲区长度的字串复制到缓冲区。溢出带了两种后果，
一是过长的字串覆盖了相邻的存储单元，引起程序运行失败，严重的
可引起宕机、系统重新启动等后果；二是利用这种漏洞可以执行任意
指令，甚至可以取得系统特权，在 UNIX系统中，利用 SUID程序中存在
的这种错误，使用一类精心编写的程序，可以很轻易地取得系统的超
级用户权限。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
5．电子邮件攻击
电子邮件系统面临着巨大的安全风险，它不但要遭受前面所述的许
多攻击，如恶意入侵者破坏系统文件，或者对端口 25（默认 SMTP口）
进行 SYN-Flood攻击，它们还容易成为某些专门面向邮件攻击的目标。
① 窃取／篡改数据, 通过监听数据报或者截取正在传输的信息，
攻击者能够读取，甚至修改数据。
② 伪造邮件：发送方黑客伪造电子邮件，使它们看起来似乎发自
某人／某地。
③ 拒绝服务（ Denial of Service Attack）：黑客可以让你的系
统或者网络充斥邮件信息（即邮件炸弹攻击）而瘫痪。这些邮件信息
塞满队列，占用宝贵的 CPU资源和网络带宽，甚至让邮件服务器完全瘫
痪。
④ 病毒：现代电子邮件可以使得传输文件附件更加容易。如果用
户毫不提防地去执行文件附件，病毒就会感染他们的系统。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.2 网络黑客攻击
6．其他攻击方法
其他的攻击方法主要是利用一些程序进行攻击，比如后
门、程序中有逻辑炸弹和时间炸弹、病毒、蠕虫、特洛伊
木马程序等。陷门（ Trap door）和后门（ back door）是
一段非法的操作系统程序，其目的是为闯入者提供后门。
逻辑炸弹和时间炸弹是当满足某个条件或到预定的时间时
发作，破坏计算机系统。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
? 物理层的安全防护：在物理层上主要通过制订物理层
面的管理规范和措施来提供安全解决方案。
? 链路层安全保护：主要是链路加密设备对数据加密保
护。它对所有用户数据一起加密，用户数据通过通信线路
送到另一结点后解密。
? 网络层和安全防护：网络层的安全防护是面向 IP包的。
网络层主要采用防火墙作为安全防护手段，实现初级的安
全防护；在网络层也可以根据一些安全协议实施加密保护；
在网络层也可实施相应的入侵检测。
2010年 5月 21日星期五 2时 17分 37秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
? 传输层的安全防护：传输层处于通信子网和资源子网
之间，起着承上启下的作用。传输层也支持多种安全服务：
对等实体认证服务、访问控制服务、数据保密服务、数据
完整性服务、数据源点认证服务等。
? 应用层的安全防护：原则上讲所有安全服务均可在应
用层提供。在应用层可以实施强大的基于用户的身份认证；
在应用层也是实施数据加密、访问控制的理想位置；在应
用层还可加强数据的备份和恢复措施；应用层可以对资源
的有效性进行控制，资源包括各种数据和服务。应用层的
安全防护是面向用户和应用程序的，因此可以实施细粒度
的安全控制。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
15.3.1 操作系统安全使用
操作系统是网络管理与控制的系统软件，是使用网络的
入口点，因此操作系统的安全使用对于网络安全来说是至
关重要的。而且网络的漏洞大多数都是因为操作系统引起
的，网络的安全问题也大都是因为操作系统没有正确地配
置和使用引起的，因此，安全地使用操作系统是一个不容
忽视的问题。
1．安全使用
2．消除漏洞
3．安全策略配置
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
15.3.2 防火墙
在网络中，防火墙是一种用来加强网络之间访问控制的
特殊网络互连设备，如路由器、网关等。如图 15.1所示，
它对两个或多个网络之间传输的数据报和连接方式按照一
定的安全策略进行检查，以决定网络之间的通信是否被允
许。其中被保护的网络称为内部网络，另一方则称为外部
网络或公用网络。它能有效地控制内部网络与外部网络之
间的访问及数据传输，从而达到保护内部网络的信息不受
外部非授权用户的访问和过滤不良信息的目的。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
1．防火墙的功能
防火墙是由管理员为保护自己的网络免遭外界非授权访
问但又允许与 Internet连接而发展起来的。从网际角度看，
防火墙可以看成是安装在两个网络之间的一道栅栏，根据
安全计划和安全策略中的定义来保护其后面的网络。
由软件和硬件组成的防火墙应该具有以下功能：
① 所有进出网络的通信流都应该通过防火墙；
② 所有穿过防火墙的通信流都必须有安全策略和计划
的确认和授权；
③ 理论上说，防火墙是穿不透的。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
2．防火墙的分类
（ 1）包过滤路由器
包过滤路由器（ Packet Filters）在一般路由器的基础
上增加了一些新的安全控制功能，是一个检查通过它的数
据报的路由器，包过滤路由器的标准由网络管理员在网络
访问控制表（ Access Control List）中设定，以检查数
据报的源地址、目的地址及每个 IP数据报的端口。它是在
OSI参考协议的下 3层中实现的，数据报的类型可以拦截和
登录，因此，此类防火墙易于实现对用户透明的访问，且
费用较低。但包过滤路由器无法有效地区分同一 IP地址的
不同用户，因此安全性较差。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
（ 2）应用型防火墙
应用型防火墙（ Application Gateway，又称双宿主网
关或应用层网关）的物理位置与包过滤路由器一样，但它
的逻辑位置在 OSI参考协议的应用层上，所以主要采用协议
代理服务（ Proxy Services）。就是在运行防火墙软件的
堡垒主机（ Bastion Host）上运行代理服务程序 Proxy。
应用型防火墙不允许网络间的直接业务联系，而是以堡垒
主机作为数据转发的中转站。堡垒主机是一个具有两个网
络界面的主机，每一个网络界面与它所对应的网络进行通
信。它既能作为服务器接收外来请求，又能作为客户转发
请求。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
（ 3）主机屏蔽防火墙
主机屏蔽防火墙由一个只需单个网络端口的应用型防火墙和
一个包过滤路由器组成。将它物理地址连接在网络总线上，它
的逻辑功能仍工作在应用层上，所有业务通过它进行代理服务。
Intranet不能直接通过路由器和 Internet相联系，数据报要通
过路由器和堡垒主机两道防线。这个系统的第一个安全设施是
过滤路由器，对到来的数据报而言，首先要经过包过滤路由器
的过滤，过滤后的数据报被转发到堡垒主机上，然后由堡垒主
机上应用服务代理对这些数据报进行分析，将合法的信息转发
到 Intranet的主机上。外出的数据报首先经过堡垒主机上的应
用服务代理检查，然后被转发到包过滤路由器，最后由包过滤
路由器转发到外部网络上。主机屏蔽防火墙设置了两层安全保
护，因此相对比较安全。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
（ 4）子网屏蔽防火墙
子网屏蔽防火墙（ Screened Subnet Firewall）的保护
作用比主机屏蔽防火墙更进了一步，它在被保护的
Intranet与 Internet之间加入了一个由两个包过滤路由器
和一台堡垒机组成的子网。被保护的 Intranet与 Internet
不能直接通信，而是通过各自的路由器和堡垒主机打交道。
两台路由器也不能直接交换信息。
子网屏蔽防火墙是最为安全的一种防火墙体系结构，它
具有主机屏蔽防火墙的所有优点，并且比之更加优越。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
15.3.3 网络的安全防范建议
一般局域网和广域网应该有以下安全措施：
① 系统要尽量与公网隔离，要有相应的安全连接措施。
② 不同工作范围的网络既要采用防火墙、安全路由器、
保密网关等相互隔离，又要在政策允许时保证互通。
③ 为了提供网络安全服务，各相应的环节应根据需要
配置可单独评价的加密、数字签名、访问控制、数据完整
性、业务流填充、路由控制、公证、鉴别审计等安全机制，
并有相应的安全管理。
④ 远程客户访问重要的应用服务要有鉴别服务器严格
执行鉴别过程和访问控制。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
15.3 网络安全解决方案
⑤ 网络和网络安全设备要经受住相应的安全测试。
⑥ 在相应的网络层次和级别上设立密钥管理中心、访
问控制中心、安全鉴别服务器、授权服务器等，负责访问
控制以及密钥、证书等安全材料的产生、更换、配置和销
毁等相应的安全管理活动。
⑦ 信息传递系统要具有抗监听、抗截获能力，能对抗
传输信息的纂改、删除、插入、重放、选取明文密码破译
等主动攻击和被动攻击，保护信息的机密性，保证信息和
系统的完整性。
⑧ 涉及保密的信息在传输过程中，在保密装置以外不
以明文形式出现。
2010年 5月 21日星期五 2时 17分 38秒 计算机网络技术实用教程 (第 3版 )
习 题
1．网络安全的定义。
2．网络安全包括哪些内容？
3．计算机网络面临哪些威胁？
4．网络不安全的原因有哪些？
5．网络安全策略分几级？
6．网络安全策略主要有哪些？
7．黑客攻击一般有几步？
8．简述网络监听的原理。
9．常见的黑客攻击方法有哪些？
10．防火墙如何分类？
