防火墙技术论文模板(10篇)

导言：作为写作爱好者，不可错过为您精心挑选的10篇防火墙技术论文，它们将为您的写作提供全新的视角，我们衷心期待您的阅读，并希望这些内容能为您提供灵感和参考。

篇1

1从软、硬件形式上分

如果从防火墙的软、硬件形式来分的话，防火墙可以分为软件防火墙和硬件防火墙以及芯片级防火墙。

（1）软件防火墙。

软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关。俗称“个人防火墙”。软件防火墙就像其它的软件产品一样需要先在计算机上安装并做好配置才可以使用。防火墙厂商中做网络版软件防火墙最出名的莫过于Checkpoint。使用这类防火墙，需要网管对所工作的操作系统平台比较熟悉。

（2）硬件防火墙。

这里说的硬件防火墙是指“所谓的硬件防火墙”。之所以加上“所谓”二字是针对芯片级防火墙说的了。它们最大的差别在于是否基于专用的硬件平台。目前市场上大多数防火墙都是这种所谓的硬件防火墙，他们都基于PC架构，就是说，它们和普通的家庭用的PC没有太大区别。在这些PC架构计算机上运行一些经过裁剪和简化的操作系统，最常用的有老版本的Unix、Linux和FreeBSD系统。值得注意的是，由于此类防火墙采用的依然是别人的内核，因此依然会受到OS（操作系统）本身的安全性影响。

（3）芯片级防火墙。

芯片级防火墙基于专门的硬件平台，没有操作系统。专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。做这类防火墙最出名的厂商有NetScreen、FortiNet、Cisco等。这类防火墙由于是专用OS（操作系统），因此防火墙本身的漏洞比较少，不过价格相对比较高昂。

2从防火墙技术分

防火墙技术虽然出现了许多，但总体来讲可分为“包过滤型”和“应用型”两大类。前者以以色列的Checkpoint防火墙和美国Cisco公司的PIX防火墙为代表，后者以美国NAI公司的Gauntlet防火墙为代表。

（1）包过滤（Packetfiltering）型。

包过滤方式是一种通用、廉价和有效的安全手段。之所以通用，是因为它不是针对各个具体的网络服务采取特殊的处理方式，适用于所有网络服务；之所以廉价，是因为大多数路由器都提供数据包过滤功能，所以这类防火墙多数是由路由器集成的；之所以有效，是因为它能很大程度上满足了绝大多数企业安全要求。

在整个防火墙技术的发展过程中，包过滤技术出现了两种不同版本，称为“第一代静态包过滤”和“第二代动态包过滤”。

包过滤方式的优点是不用改动客户机和主机上的应用程序，因为它工作在网络层和传输层，与应用层无关。但其弱点也是明显的：过滤判别的依据只是网络层和传输层的有限信息，因而各种安全要求不可能充分满足；在许多过滤器中，过滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影响；由于缺少上下文关联信息，不能有效地过滤如UDP、RPC（远程过程调用）一类的协议；另外，大多数过滤器中缺少审计和报警机制，它只能依据包头信息，而不能对用户身份进行验证，很容易受到“地址欺骗型”攻击。对安全管理人员素质要求高，建立安全规则时，必须对协议本身及其在不同应用程序中的作用有较深入的理解。因此，过滤器通常是和应用网关配合使用，共同组成防火墙系统。

（2）应用（ApplicationProxy）型。

应用型防火墙是工作在OSI的最高层，即应用层。其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的程序，实现监视和控制应用层通信流的作用。其典型网络结构如图所示。

在型防火墙技术的发展过程中，它也经历了两个不同的版本：第一代应用网关型防火和第二代自适应防火墙。

类型防火墙的最突出的优点就是安全。由于它工作于最高层，所以它可以对网络中任何一层数据通信进行筛选保护，而不是像包过滤那样，只是对网络层的数据进行过滤。

另外型防火墙采取是一种机制，它可以为每一种应用服务建立一个专门的，所以内外部网络之间的通信不是直接的，而都需先经过服务器审核，通过后再由服务器代为连接，根本没有给内、外部网络计算机任何直接会话的机会，从而避免了入侵者使用数据驱动类型的攻击方式入侵内部网。

防火墙的最大缺点是速度相对比较慢，当用户对内外部网络网关的吞吐量要求比较高时，防火墙就会成为内外部网络之间的瓶颈。那因为防火墙需要为不同的网络服务建立专门的服务，在自己的程序为内、外部网络用户建立连接时需要时间，所以给系统性能带来了一些负面影响，但通常不会很明显。

3从防火墙结构分

从防火墙结构上分，防火墙主要有：单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。

单一主机防火墙是最为传统的防火墙，独立于其它网络设备，它位于网络边界。

这种防火墙其实与一台计算机结构差不多（如下图），同样包括CPU、内存、硬盘等基本组件，主板更是不能少的，且主板上也有南、北桥芯片。它与一般计算机最主要的区别就是一般防火墙都集成了两个以上的以太网卡，因为它需要连接一个以上的内、外部网络。其中的硬盘就是用来存储防火墙所用的基本程序，如包过滤程序和服务器程序等，有的防火墙还把日志记录也记录在此硬盘上。虽然如此，但我们不能说它就与我们平常的PC机一样，因为它的工作性质，决定了它要具备非常高的稳定性、实用性，具备非常高的系统吞吐性能。正因如此，看似与PC机差不多的配置，价格甚远。

随着防火墙技术的发展及应用需求的提高，原来作为单一主机的防火墙现在已发生了许多变化。最明显的变化就是现在许多中、高档的路由器中已集成了防火墙功能，还有的防火墙已不再是一个独立的硬件实体，而是由多个软、硬件组成的系统，这种防火墙，俗称“分布式防火墙”。

原来单一主机的防火墙由于价格非常昂贵，仅有少数大型企业才能承受得起，为了降低企业网络投资，现在许多中、高档路由器中集成了防火墙功能。如CiscoIOS防火墙系列。但这种防火墙通常是较低级的包过滤型。这样企业就不用再同时购买路由器和防火墙，大大降低了网络设备购买成本。

分布式防火墙再也不只是位于网络边界，而是渗透于网络的每一台主机，对整个内部网络的主机实施保护。在网络服务器中，通常会安装一个用于防火墙系统管理软件，在服务器及各主机上安装有集成网卡功能的PCI防火墙卡，这样一块防火墙卡同时兼有网卡和防火墙的双重功能。这样一个防火墙系统就可以彻底保护内部网络。各主机把任何其它主机发送的通信连接都视为“不可信”的，都需要严格过滤。而不是传统边界防火墙那样，仅对外部网络发出的通信请求“不信任”。

4按防火墙的应用部署位置分

按防火墙的应用部署位置分，可以分为边界防火墙、个人防火墙和混合防火墙三大类。

边界防火墙是最为传统的，它们于内、外部网络的边界，所起的作用的对内、外部网络实施隔离，保护边界内部网络。这类防火墙一般都属于硬件类型，价格较贵，性能较好。

个人防火墙安装于单台主机中，防护的也只是单台主机。这类防火墙应用于广大的个人用户，通常为软件防火墙，价格最便宜，性能也最差。

混合式防火墙可以说就是“分布式防火墙”或者“嵌入式防火墙”，它是一整套防火墙系统，由若干个软、硬件组件组成，分布于内、外部网络边界和内部各主机之间，既对内、外部网络之间通信进行过滤，又对网络内部各主机间的通信进行过滤。它属于最新的防火墙技术之一，性能最好，价格也最贵。

5按防火墙性能分

按防火墙的性能来分可以分为百兆级防火墙和千兆级防火墙两类。

因为防火墙通常位于网络边界，所以不可能只是十兆级的。这主要是指防火的通道带宽（Bandwidth），或者说是吞吐率。当然通道带宽越宽，性能越高，这样的防火墙因包过滤或应用所产生的延时也越小，对整个网络通信性能的影响也就越小。

虽然防火墙是目前保护网络免遭黑客袭击的有效手段，但也有明显不足：无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变节者和不经心的用户们带来的威胁，也不能完全防止传送已感染病毒的软件或文件，以及无法防范数据驱动型的攻击。

参考文献

篇2

因为校园网络需要同互联网连接，从而给师生查找资料提供便利，不过也因此容易受到黑客攻击。当代黑客攻击的技术越来越高明，破坏程度同样越来越严重，黑客攻击校园网络，有着时间长、范围广、损失大以及处理难的特点，校园网络当中的DNS服务器、WEB服务器以及邮件服务器是容易遭到黑客攻击的地方[8]，黑客很多时候使用专业工具攻击校园挽留过，导致校园网络服务器无法正常使用，部分攻击软件甚至可以让非法用户可以随便攻击校园网络，同时篡改校园网络的主页、破坏各种数据从而扰乱教学秩序。

1.2内部用户的问题

现在学生对于网络了解程度比较深，这就导致部分学生会在好奇心趋势下，攻击校园网络系统，从而给校园网络的正常运行带来不利影响，提高了校园网络管理的难度。统计显示内部用户造成的校园网络攻击占到30％左右，大部分情况由学生好奇心而引起，同时学校对于学生的管理以及教育不够重视，纵容他们破坏校园网络安全的种种行为。

2防火墙技术在校园网络安全中的应用

2.1选择合适的防火墙产品

最简单的防火墙是在校园网络的内部网以及外部网间加装应用网关或者是过滤路由器。为更好实现校园网络的安全，很多时候需要综合使用不同的防火墙技术从而组合防火墙系统。这就需要明确设置防火墙设置的方案，然后选择合适的防火墙产品。从形式的角度而言，防火墙可以分成硬件防火墙以及软件防火墙这2大类，硬件防火墙同软件防火墙比较而言，由于使用专用硬件设备，并且集成生产厂商防火墙软件，功能上通过内置安全软件，并且使用强化甚至专属的操作系统，有着管理方便以及更换容易的特点，并且软硬件的搭配往往比较固定。也就是说硬件防火墙的效率更高，可以解决防火墙性能以及效率之间的关系，可以根据校园网络的具体情况来加以选择。

2.2使用服务器

服务器指的是连接校园网络局域网以及Internet的网关，这一网关运行服务软件，可以实现不同网络之间的互相通信。服务器可以在用户以及服务器间实现协同工作，所以提供应用级的网关。客户端往服务器发送请求，请求到达服务器，然后服务器在接收连接请求之后，进行身份认证以及访问控制，要是客户端确认服务器身份认证以及访问控制，那么就代替客户端发送请求。服务器在响应之后，服务器则将数据反馈到客户端。

篇3

一、概述

随着计算机网络的广泛应用,全球信息化已成为人类发展的大趋势。互联网已经成了现代人生活中不可缺少的一部分,随着互联网规模的迅速扩大,网络丰富的信息资源给用户带来了极大方便的同时,由于计算机网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互连性等特征,致使网络易受黑客、怪客、恶意软件和其他不轨的攻击。为了保护我们的网络安全、可靠性,所以我们要用防火墙,防火墙技术是近年来发展起来的一种保护计算机网络安全的技术性措施。

其实防火墙就好像在古老的中世纪安全防务的一个现代变种:在你的城堡周围挖一道深深的壕沟。这样一来,使所有进出城堡的人都要经过一个吊桥,吊桥上的看门警卫可以检查每一个来往的行人。对于网络,也可以采用同样的方法:一个拥有多个LAN的公司的内部网络可以任意连接,但进出该公司的通信量必须经过一个电子吊桥(防火墙)。也就是说防火墙实际上是一种访问控制技术,在某个机构的网络和不安全的网络之间设置障碍,阻止对信息资源的非法访问,也可以使用防火墙阻止保密信息从受保护网络上被非法输出。

防火墙不是一个单独的计算机程序或设备。在理论上,防火墙是由软件和硬件两部分组成,用来阻止所有网络间不受欢迎的信息交换,而允许那些可接受的通信。

二、防火墙技术

网络防火墙是一种用来加强网络之间访问控制的特殊网络设备,它对两个或多个网络之间传输的数据包和连接方式按照一定的安全策略对其进行检查,来决定网络之间的通信是否被允许,其中被保护的网络称为内部网络或私有网络,另一方则被称为外部网络或公用网络。防火墙能有效得控制内部网络与外部网络之间的访问及数据传输,从而达到保护内部网络的信息不受外部非授权用户的访问和过滤不良信息的目的。一个好的防火墙系统应具有以下五方面的特性:

1、所有的内部网络和外部网络之间传输的数据必须通过防火墙;

2、只有被授权的合法数据及防火墙系统中安全策略允许的数据可以通过防火墙;

3、防火墙本身不受各种攻击的影响;

4、使用目前新的信息安全技术,比如现代密码技术等;

5、人机界面良好,用户配置使用方便,易管理。

实现防火墙的主要技术有:分组筛选器,应用网关和服务等。

(1)分组筛选器技术

分组筛选器是一个装备有额外功能的标准路由器。这些额外功能用来检查每个进出的分组。符合某种标准的分组被正常转发,不能通过检查的就被丢弃。

通常,分组筛选器由系统管理员配置的表所驱动。这些表列出了可接受的源端和目的端,拥塞的源端和目的端,以及作用于进出其他机器的分组的缺省规则。在一个UNIX设置的标准配置中,一个源端或目的端由一个IP地址和一个端口组成,端口表明希望得到什么样的服务。例如,端口23是用于Telnet的,端口79是用于Finger分组,端口119是用于USENET新闻的。一个公司可以拥塞到所有IP地址及一个端口号的分组。这样,公司外部的人就不能通过Telnet登陆,或用Finger找人。进而该公司可以奖励其雇员看一整天的USENET新闻。

拥塞外出分组更有技巧性,因为虽然大多数节点使用标准端口号,但这也不一定是一成不变的,更何况有一些重要的服务,像FTP(文件传输协议),其端口号是动态分配的。此外,虽然拥塞TCP连接很困难,但拥塞UDP分组甚至更难,因为很难事先知道它们要做什么。很多筛选分组器只是拦截UDP分组流。

(2)应用网关技术

应用网关(ApplicationGateway)技术是建立在网络应用层上的协议过滤,它针对特别的网络应用服务协议即数据过滤协议,并且能够对数据包分析并形成相关的报告。应用网关对某些易于登录和控制所有输出输入的通信的环境给予严格的控制,以防有价值的程序和数据被窃取。它的另一个功能是对通过的信息进行记录,如什么样的用户在什么时间连接了什么站点。在实际工作中,应用网关一般由专用工作站系统来完成。

有些应用网关还存储Internet上的那些被频繁使用的页面。当用户请求的页面在应用网关服务器缓存中存在时,服务器将检查所缓存的页面是否是最新的版本(即该页面是否已更新),如果是最新版本,则直接提交给用户,否则,到真正的服务器上请求最新的页面,然后再转发给用户(3)服务

服务器(ProxyServer)作用在应用层,它用来提供应用层服务的控制,起到内部网络向外部网络申请服务时中间转接作用。内部网络只接受提出的服务请求,拒绝外部网络其它接点的直接请求。

具体地说,服务器是运行在防火墙主机上的专门的应用程序或者服务器程序;防火墙主机可以是具有一个内部网络接口和一个外部网络接口的双重宿主主机,也可以是一些可以访问因特网并被内部主机访问的堡垒主机。这些程序接受用户对因特网服务的请求(诸如FTP、Telnet),并按照一定的安全策略转发它们到实际的服务。提供代替连接并且充当服务的网关。

在实际应用当中,构筑防火墙的“真正的解决方案”很少采用单一的技术,通常是多种解决不同问题的技术的有机组合。你需要解决的问题依赖于你想要向你的客户提供什么样的服务以及你愿意接受什么等级的风险,采用何种技术来解决那些问题依赖于你的时间、金钱、专长等因素。超级秘书网

三、防火墙技术展望

伴随着Internet的飞速发展,防火墙技术与产品的更新步伐必然会加强,而要全面展望防火墙技术的发展几乎是不可能的。但是,从产品及功能上,却又可以看出一些动向和趋势。下面诸点可能是下一步的走向和选择:

1)防火墙将从目前对子网或内部网管理的方式向远程上网集中管理的方式发展。

2)过滤深度会不断加强,从目前的地址、服务过滤,发展到URL(页面)过滤、关键字过滤和对ActiveX、Java等的过滤,并逐渐有病毒扫描功能。

3)利用防火墙建立专用网是较长一段时间用户使用的主流,IP的加密需求越来越强,安全协议的开发是一大热点。

4)单向防火墙(又叫做网络二极管)将作为一种产品门类而出现。

5)对网络攻击的检测和各种告警将成为防火墙的重要功能。

6)安全管理工具不断完善,特别是可以活动的日志分析工具等将成为防火墙产品中的一部分。

另外值得一提的是,伴随着防火墙技术的不断发展,人们选择防火墙的标准将主要集中在易于管理、应用透明性、鉴别与加密功能、操作环境和硬件要求、VPN的功能与CA的功能、接口的数量、成本等几个方面。

参考文献:

[1]KaranjitS,ChirsH.InternetFirewallandNetworkSecurity,NewRiderspublishing,1996.

篇4

中图分类号：TU97文献标识码： A 文章编号：

1.外墙保温材料的应用

目前广泛应用的外墙外保温技术体系主要有膨胀聚苯乙烯泡沫（EPS）板薄抹灰外保温系统、挤塑聚苯乙烯泡沫（XPS）板薄抹灰外保温系统、聚氨酯泡沫（PU）薄抹灰外保温系统、胶粉 EPS颗粒保温浆料外保温系统、现浇混凝土复合无网EPS板外保温系统等，其中，EPS板薄抹灰外墙外保温系统为全国普遍推广使用的技术，几乎占节能建筑的90%以上。

PU是目前世界上公认的最佳保温绝热材料，导热系数仅为0.018～0.023W/m。k，25mm厚的PU的保温效果相当于40mm厚的 EPS、45mm厚的岩棉、380mm厚的混凝土或860mm厚的普通砖。主要指标对比如下。

保温效果：PU最好，EPS次之，岩棉最差。

耐冷热性能：岩棉最好，PU次之，EPS最差。

吸水率（性）：PU最低，EPS次之，岩棉最易吸水。

使用寿命：岩棉最长，PU次之，苯板最差。

价格：PU最高，岩棉次之，EPS最低。

事实上，EPS、XPS、PU都属于有机保温材料，最大优点是质量轻保温和隔热性好，最大缺陷是防火安全性差，易老化易燃烧，在燃烧时产生大量烟雾，毒性很大，这些产品的承重性使用年限 防火性都不如无机保温材料。

2.聚苯板外墙保温材料的火灾危险性

聚苯板薄抹灰系统在国内的外墙外保温中应用相当普遍，其危险性在于：（1）一旦火灾发生，有机保温板燃烧产生的有毒气体和火焰会给逃生者带来巨大危险；（2）因聚苯板受热产生的热熔缩变形以及网格布过热折断而导致瓷砖坠落，对逃生人员和救助人员造成的伤害也是致命的；（3）当墙体保温材料表面砂浆龟裂脱落后，也很快会引燃保温材料，火灾迅速向大范围蔓延；（4）外墙着火之后，由于室内的自动消防设施不能覆盖外墙，特别是当高层建筑外墙外保温材料着火后，更是无计可施。

3.国内外外墙保温系统防火技术现状

a）国外外墙保温防火技术现状：欧美等发达国家对外墙保温系统均有严格的防火安全等级要求，不同的外墙保温系统和保温材料设有防火测试方法和分级标准（考虑燃烧时烟气及毒性释放），并对不同防火等级的外墙保温系统的使用范围有严格规定如欧洲标准 E-TAG004《有抹面层的外墙外保温复合系统欧洲技术标准认证》中规定，对保温防火性的测试方法要按照 CEN分级文件EN13501-1《建筑产品或组件的燃烧性能分级》进行阻燃等级A1—E的测试防火等级的测定和相关的测试需进行两次：一次为整个体系，另一次仅为保温材料同时，对外墙外保温的防火要求将依据法律法规和适用于建筑物最终使用的管理条例而定，德国有因聚苯板薄抹灰系统防火安全性达不到要求而不能在22m以上建筑物使用的相关规定；英国有18m以上建筑物不允许使用聚苯板薄抹灰外墙外保温系统的规定；美国纽约州建筑指令中明确规定耐火极限低于2h的聚苯板薄抹灰外墙外保温系统不允许用在高于22.86m的住宅建筑中，而由岩棉等不燃材料组成的外墙保温系统则可广泛应用在各种类型的建筑中，该系统已经成为目前世界上应用范围最广的外墙保温做法之一。

b）国内外墙保温防火技术现状：聚苯板薄抹灰系统因其防火性能较差，发达国家对其使用范围有严格的限制，而国内高层超高层建筑采用聚苯板薄抹灰网格布粘贴面砖的外墙外保温做法相当普遍，主要原因是国内没有标准对此作出限制规定，如我国现有的 GB50016- 2006《建筑设计防火规范》和 GB50045-95《高层民用建筑设计防火规范》(2005年版)只规定了建筑构件的燃烧性能和耐火极限，附录 A（各类建筑构件燃烧性能和耐火极限）对外墙的规定均为不燃烧体，但是其中却没规定外墙保温材料的燃烧性能在JGJ144-2004《外墙保温工程技术规程》的表 4.0.11外墙外保温系统组成材料性能要求中，对胶粉EPS颗粒保温浆料的燃烧性能级别标注为B1（难燃性），但对EPS 板的燃烧性能级别标注却为“—”即没有规定。

外墙保温材料的防火已引起国家的重视，公安部消防局会同住房和城乡建设部标准定额司正在共同组织起草《建筑外保温材料防火措施》，在征求意见稿中提出了外墙保温材料燃烧性能要求：“(1)建筑体积大于10万立方米或建筑高度大于32米的公共建筑和建筑高度大于100米的居住建筑应采用岩棉矿棉玻璃棉等无机材料制作的保温材料；(2)建筑体积大于10万立方米或建筑高度大于32米的公共建筑和建筑高度大于100米的居住建筑外，其他建筑可采用可燃材料做外墙保温，但应采取相应的防火构造;(3)建筑外装修材料应采用不燃材料。”。

4.外墙保温材料防火安全措施

4.1提高外墙保温材料的防火性能，设置相应的防火构造物

a）对于新建建筑：(1)建议在修订的标准中, 对外墙保温材料燃烧性能等级的规定，应能满足外保温系统具有阻止火焰传播的能力；(2)建议在法律法规中明确规定推广使用不燃材料组成的外墙保温系统；(3)消防部门应加强对外墙保温材料防火性能等级的监管和测试；(4)对于使用聚苯板薄抹灰外保温系统,应增设防火隔离带、挡火梁等防火构造物。

b）对于已采用可燃材料做保温层的建筑：(1)保温层应采用不燃烧材料做水平和竖向分隔；(2)建筑外墙转角两侧和门洞窗口等开口周围应采用不燃烧材料进行分隔；(3)建筑外表层应采用不燃材料将保温层完全覆盖，可采用水泥砂浆涂抹；(4)当建筑外墙采用幕墙时，幕墙与每层楼板隔墙处的缝隙应采用防火材料封堵。

4.2单位加强消防安全管理，消防部门加强监管

单位要加强消防安全管理，认真开展消防安全自查自纠，针对自查中发现的用火用电不规范 胡乱堆放杂物等问题，必须立即排除；单位要认真落实安全生产的相关制度，落实防火制度和责任人，制定应急机制，规范用火用电，正确设置安全出口指向标志等；单位要加强对员工的消防安全培训，特别是特殊工种，必须保证员工持证上岗，确保用火用电安全，预防火灾事故的发生。

消防部门应加强监管，定期深入各单位进行监督检查，对存在的问题及时指出，要求单位落实整改对拒绝整改或整改不到位的单位，消防部门将依法给予处罚。监管的内容包括施工现场、施工工人的生活区、明火作业区和外墙保温材料、木料等易燃物品堆放区的消防设施的配备及监管情况，临时用电设施的防火、防水、防触电装置，外脚手架搭设和安全网的防火情况等。

4.3严格建设工程施工现场管理

强化施工现场管理应根据现有的消防条例和保温工程施工消防安全管理规定并结合实际情况制定出消防安全管理制度, 并认真贯彻执行：(1)保温板材进场后，不宜露天存放，应远离火源露天存放时，保温板材应采取可靠的防护措施。

(2)保温板材应在电焊等工序结束后进行铺设确需在保温板材铺设后进行电焊等工序的，将电焊部位周围应采用防火毯进行防火保护，或在可燃保温材料上涂刷水泥砂浆等不燃保护层进行保护；(3)不得直接在保温板材上进行防水材料的热熔热粘结法施工；(4)配足灭火器消防水泵消防水池等消防设施。

5.结束语

近年来由于外墙保温引起或加速火势蔓延的事故频发，国家有关部门对此类事故的重视上升到了一个新的高度。目前，作为施工单位要做的就是在现场施工阶段的防控工作。通过大量的工程实践，笔者认为对于外墙保温工程的施工阶段只要用科学严谨的态度进行管理，火灾事故是可以避免的。随着外墙保温安全和技术规程标准的完善，建筑节能事业必将健康有序地发展。

篇5

1 绪论

随着国家的快速发展，社会的需求等诸多问题都体现了互联网的重要性，各高校也都相继有了自己的内部和外部网络。致使学校网络安全问题是我们急需要解决的问题。小到别人的电脑系统瘫痪、帐号被盗，大到学校重要的机密资料，财政资料，教务处的数据被非法查看修改等等。学校机房网络安全也是一个很重要的地方。由于是公共型机房。对于公共机房的网络安全问题，提出以下几个方法去解决这类的一部分问题。

2 PC机

2.1 PC终端机。对于终端机来说，我们应该把一切的系统漏洞全部打上补丁。像360安全卫士（省略/）是一款不错的实用、功能强大的安全软件。里面有“修复系统漏洞”选项，我们只要点击扫描，把扫描到的系统漏洞，点击下载安装，并且都是自动安装，安装完就可以了。

2.2 安装杀毒软件。比如说中国著名的瑞星2008杀毒软件，从瑞星官方网站（省略/）下载，下载完，安装简体版就可以了。安装完之后，就进行全盘查毒。做到客户机没有病毒。让电脑处于无毒环境中。也可以在【开始-运行】中输入【sigverif】命令，检查系统的文件有没有签名，没有签名的文件就有可能是被病毒感染了。可以上网查询之后，进行删除。

2.3 防火墙。打好系统漏洞补丁，安装好杀毒软件之后，就是安装防火墙像瑞星防火墙，天网防火墙以及风云防火墙等。风云防火墙是一款功能强大的防火墙软件，它不仅仅能防病毒，还能防现在很是厉害的ARP病毒。

2.4 用户设置。把Administrator超级用户设置密码，对不同的用户进行用户权限设置。

3 解决方案

3.1 防火墙技术。防火墙是一种网络安全保障手段,是网络通信时执行的一种访问控制尺度,其主要目标就是通过控制入、出一个网络的权限,并迫使所有的连接都经过这样的检查,防止一个需要保护的网络遭外界因素的干扰和破坏。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监视了内部网络和Internet之间地任何活动，保证了内部网络地安全；在物理实现上，防火墙是位于网络特殊位置地以组硬件设备路由器、计算机或其他特制地硬件设备。防火墙可以是独立地系统，也可以在一个进行网络互连地路由器上实现防火墙。用防火墙来实现网络安全必须考虑防火墙的网络拓扑结构：

①屏蔽路由器：又称包过滤防火墙。

②双穴主机：双穴主机是包过滤网关的一种替代。

③主机过滤结构：这种结构实际上是包过滤和的结合。

④屏蔽子网结构：这种防火墙是双穴主机和被屏蔽主机的变形。

3.2 VPN技术。VPN的安全保证主要是通过防火墙技术、路由器配以隧道技术、加密协议和安全密钥来实现，可以保证企业员工安全地访问公司网络。

3.3 网络加密技术（Ipsec）。IP层是TCP/IP网络中最关键的一层，IP作为网络层协议，其安全机制可对其上层的各种应用服务提供透明的覆盖式安全保护。因此，IP安全是整个TCP/IP安全的基础，是网络安全的核心。IPSec提供的安全功能或服务主要包括：

①访问控制；②无连接完整性；③数据起源认证；④抗重放攻击；⑤机密性；⑥有限的数据流机密性。

3.4 身份认证。在一个更为开放的环境中，支持通过网络与其他系统相连，就需要“调用每项服务时需要用户证明身份，也需要这些服务器向客户证明他们自己的身份。”的策略来保护位于服务器中的用户信息和资源。像数字签名。

4会话控制与带宽管理策略

4.1 会话数控制。 使用校园网出口防火墙，通过单用户会话和流量控制功能进行相关管理。通过应用防火墙设置新建连接阀值，可以对网络中每个用户会话连接数进行控制，当阀值被触动后，动态地将非法用户添加到黑名单，直接将非法用户连接阻断，并且可以灵活的设置控制黑名单的有效时间。通过单用户会话数限制，可以做到：当校园网内机器病毒爆发时，阻止大量数据包对外建立连接，耗费网络资源；阻止黑客对网络的扫描；阻止黑客进行DDOS攻击。

5 结论

随着互联网的飞速发展，网络安全逐渐成为一个潜在的巨大问题。网络安全性是一个涉及面很广泛的问题，其中也会涉及到是否构成犯罪行为的问题。在其最简单的形式中，它主要关心的是确保无关人员不能读取，更不能修改传送给其他接收者的信息。此时，它关心的对象是那些无权使用，但却试图获得远程服务的人。安全性也处理合法消息被截获和重播的问题，以及发送者是否曾发送过该条消息的问题。本论文从多方面描述了网络安全的解决方案，目的在于为用户提供信息的保密，认证和完整性保护机制，使网络中的服务，数据以及系统免受侵扰和破坏。比如防火墙，认证，加密技术等都是当今常用的方法，本论文从这些方法入手深入研究各个方面的网络安全问题的解决，可以使读者有对网络安全技术的更深刻的了解。

参考文献

篇6

一、前言

企业内部办公自动化网络一般是基于TCP/IP协议并采用了Internet的通信标准和Web信息流通模式的Intranet，它具有开放性，因而使用极其方便。但开放性却带来了系统入侵、病毒入侵等安全性问题。一旦安全问题得不到很好地解决，就可能出现商业秘密泄漏、设备损坏、数据丢失、系统瘫痪等严重后果，给正常的企业经营活动造成极大的负面影响。因此企业需要一个更安全的办公自动化网络系统。

目前企业内部办公网络存在的安全隐患主要有黑客恶意攻击、病毒感染、口令攻击、数据监听等，在这众多的安全隐患中要数黑客恶意攻击和病毒感染的威胁最大，造成的破坏也最大。所以企业网络中应该以防范黑客和病毒为首。

针对企业办公网络存在的众多隐患，各个企业也实施了安全防御措施，其中包括防火墙技术、数据加密技术、认证技术、PKI技术等，但其中应用最为广泛、实用性最强、效果最好的就是防火墙技术。本文将就放火墙技术在企业办公中的应用给予探讨，希望能给广大企业办公网络安全建设带来一定帮助。

二、防火墙技术概述

1.防火墙的基本概念

防火墙原是建筑物大厦里用来防止火灾蔓延的隔断墙，在这里引申为保护内部网络安全的一道防护墙。从理论上讲，网络防火墙服务的原理与其类似，它用来防止外部网上的各类危险传播到某个受保护网内。从逻辑上讲，防火墙是分离器、限制器和分析器；从物理角度看，各个防火墙的物理实现方式可以有所不同，但它通常是一组硬件设备(路由器、主机)和软件的多种组合；而从本质上来说防火墙是一种保护装置，用来保护网络数据、资源和用户的声誉；从技术上来说，网络防火墙是一种访问控制技术，在某个机构的网络和不安全的网络之间设置障碍，阻止对信息资源的非法访问，换句话说，防火墙是一道门槛，控制进/出两个方向的通信，防火墙主要用来保护安全网络免受来自不安全网络的入侵，如安全网络可能是企业的内部网络，不安全网络是因特网，当然，防火墙不只是用于某个网络与因特网的隔离，也可用于企业内部网络中的部门网络之间的隔离。

2.防火墙的工作原理

防火墙的工作原理是按照事先规定好的配置和规则，监控所有通过防火墙

的数据流，只允许授权的数据通过，同时记录有关的联接来源、服务器提供的

通信量以及试图闯入者的任何企图，以方便管理员的监测和跟踪，并且防火墙本身也必须能够免于渗透。

3.防火墙的功能

一般来说，防火墙具有以下几种功能：

①能够防止非法用户进入内部网络。

②可以很方便地监视网络的安全性，并报警。

③可以作为部署NAT（NetworkAddressTranslation，网络地址变换）的地点，利用NAT技术，将有限的IP地址动态或静态地与内部的IP地址对应起来，用来缓解地址空间短缺的问题。

④可以连接到一个单独的网段上，从物理上和内部网段隔开，并在此部署WWW服务器和FTP服务器，将其作为向外部内部信息的地点。从技术角度来讲，就是所谓的停火区（DMZ）。

4.防火墙的分类

①包过滤型防火墙，又称筛选路由器(Screeningrouter)或网络层防火墙(Networklevelfirewall)，它工作在网络层和传输层。它基于单个数据包实施网络控制，根据所收到的数据包的源IP地址、目的IP地址、TCP/UDP源端口号及目标端口号、ICMP消息类型、包出入接口、协议类型和数据包中的各种标志等为参数，与用户预定的访问控制表进行比较，决定数据是否符合预先制定的安全策略，决定数据包的转发或丢弃，即实施过滤。

②服务器型防火墙

服务器型防火墙通过在主机上运行的服务程序，直接对特定的应用层进行服务，因此也称为应用型防火墙。其核心是运行于防火墙主机上的服务器进程，它代替网络用户完成特定的TCP/IP功能。一个服务器实际上是一个为特定网络应用而连接两个网络的网关。

③复合型防火墙

由于对更高安全性的要求，通常把数据包过滤和服务系统的功能和特点综合起来，构成复合型防火墙系统。所用主机称为堡垒主机，负责服务。各种类型的防火墙都有其各自的优缺点。当前的防火墙产品己不再是单一的包过滤型或服务器型防火墙，而是将各种安全技术结合起来，形成一个混合的多级防火墙，以提高防火墙的灵活性和安全性。混合型防火墙一般采用以下几种技术:①动态包过滤；②内核透明技术；③用户认证机制；④内容和策略感知能力:⑤内部信息隐藏；⑥智能日志、审计和实时报警；⑦防火墙的交互操作性等。

三、办公网络防火墙的设计

1.防火墙的系统总体设计思想

1.1设计防火墙系统的拓扑结构

在确定防火墙系统的拓扑结构时，首先必须确定被保护网络的安全级别。从整个系统的成本、安全保护的实现、维护、升级、改造以及重要的资源的保护等方面进行考虑，以决定防火墙系统的拓扑结构。

1.2制定网络安全策略778论文在线

在实现过程中，没有允许的服务是被禁止的，没有被禁止的服务都是允许的，因此网络安全的第一条策略是拒绝一切未许可的服务。防火墙封锁所有信息流，逐一完成每一项许可的服务；第二条策略是允许一切没有被禁止的服务，防火墙转发所有的信息，逐项删除被禁止的服务。

1.3确定包过滤规则

包过滤规则是以处理IP包头信息为基础，设计在包过滤规则时，一般先组织好包过滤规则，然后再进行具体设置。

1.4设计服务

服务器接受外部网络节点提出的服务请求，如果此请求被接受，服务器再建立与实服务器的连接。由于它作用于应用层，故可利用各种安全技术，如身份验证、日志登录、审计跟踪、密码技术等，来加强网络安全性，解决包过滤所不能解决的问题。

1.5严格定义功能模块，分散实现

防火墙由各种功能模块组成，如包过滤器、服务器、认证服务器、域名服务器、通信监控器等。这些功能模块最好由路由器和单独的主机实现，功能分散减少了实现的难度，增加了可靠程度。

1.6防火墙维护和管理方案的考虑

防火墙的日常维护是对访问记录进行审计，发现入侵和非法访问情况。据此对防火墙的安全性进行评价，需要时进行适当改进，管理工作要根据网络拓扑结构的改变或安全策略的变化，对防火墙进行硬件和软件的修改和升级。通过维护和管理进一步优化其性能，以保证网络极其信息的安全性。

2.一种典型防火墙设计实例——数据包防火墙设计

数据包过滤防火墙工作于DOD(DepartmentofDefense)模型的网络层，其技术核心是对是流经防火墙每个数据包进行行审查，分析其包头中所包含的源地址、目的地址、封装协议(TCP，UDP、ICMP，IPTunnel等)、TCP/UDP源端口号和目的端口号、输人输出接口等信息，确定其是否与系统预先设定的安全策略相匹配，以决定允许或拒绝该数据包的通过。从而起到保护内部网络的作用，这一过程就称为数据包过滤。

本例中网络环境为：内部网络使用的网段为192.168.1.0，eth0为防火墙与Internet接口的网卡，eth1为防火墙与内部网络接口的网卡。

数据包过滤规则的设计如下：

2.1与服务有关的安全检查规则

这类安全检查是根据特定服务的需要来决定是否允许相关的数据包被传输.这类服务包括WWW，FTP，Telnet，SMTP等.我们以WWW包过滤为例，来分析这类数据包过滤的实现.

WWW数据包采用TCP或UDP协

议，其端口为80，设置安全规则为允许内部网络用户对Internet的WWW访问，而限制Internet用户仅能访问内部网部的WWW服务器，(假定其IP地址为192.168.1.11)。

要实现上述WWW安全规则，设置WWW数据包过滤为，在防火eth0端仅允许目的地址为内部网络WWW服务器地址数据包通过，而在防火墙eth1端允许所有来自内部网络WWW数据包通过。

#DefineHTTPpackets

#允许Internet客户的WWW包访问WWW服务器

/sbin/ipchains-Ainput-ptcp-s0.0.0.0/01024:-d192.168.1.11/32www-ieth0–jACCEPT

/sbin/ipchains-Ainput-ptcp-s0.0.0.0/fl1024:-d192.168.1.11132www-ieth0–jACCEPT

#允许WWW服务器回应Internet客户的WWW访问请求

/sbin/ipchains-Ainput-ptcp-s192.168.1.11/32www:-d0.0.0.0/01024:-iethl–jACCEPT

/sbin/ipchains-Ainput-pudp-s192.168.1.11/32www:-d0.0.0.0/01024:-ieth1–jACCEPT

显然，设置此类数据过滤的关键是限制与服务相应的目地地址和服务端口。

与此相似，我们可以建立起与FTP，Telnet，SMTP等服务有关的数据包检查规则；

2.2与服务无关的安全检查规则778论文在线

这类安全规则是通过对路由表、数据包的特定IP选项和特定段等内容的检查来实现的，主要有以下几点：

①数据包完整性检查(TinyFragment):安全规则为拒绝不完整数据包进人Ipchains本身并不具备碎片过滤功能，实现完整性检查的方法是利用REDHAT，在编译其内核时设定IP；alwaysdefraymentssetto‘y’。REDHAT检查进人的数据包的完整性，合并片段而抛弃碎片。

②源地址IP(SourceIPAddressSpoofing)欺骗:安全规则为拒绝从外部传输来的数据包伪装成来自某一内部网络主机，以期能渗透到内部网络中.要实现这一安全规则，设置拒绝数据包过滤规则为，在防火墙eth0端拒绝1P源地址为内部网络地址的数据包通过。

③源路由(SourceRouting)欺骗:安全规则为拒绝从外部传输来的数据包包含自行指定的路由信息，实现的方法也是借助REDHAT的路由功能，拒绝来自外部的包含源路由选项的数据包。

总之，放火墙优点众多，但也并非万无一失。所以，安全人员在设定防火墙后千万不可麻痹大意，而应居安思危，将防火墙与其他安全防御技术配合使用，才能达到应有的效果。

参考文献：

张晔,刘玉莎.防火墙技术的研究与探讨[J].计算机系统应用,1999

王丽艳.浅谈防火墙技术与防火墙系统设计.辽宁工学院学报.2001

郭伟.数据包过滤技术与防火墙的设计.江汉大学学报.2001

篇7

 

0 引言

近年来,随着信息技术的发展,各行各业都利用计算机网络和通讯技术开展业务工作。广西百色田阳县农产品批发中心利用现代信息技术建有专门的网站，通过网站实施农产品信息、电子支付等商务工作。但是基于互联网的电了商务的安全问题日益突出，并且该问题已经严重制约了农产品电子商务的进一步发展。

1　农产品电子商务的安全需求

根据电子商务系统的安全性要求，田阳农产品电子商务系统需要满足系统的实体安全、运行安全和信息安全三方面的要求。

1) 系统实体安全

系统实体安全是指保护计算机设备、设施（含网络）以及其它媒体免遭地震、水灾、火灾、有害气体和其它环境事故（如电磁污染等）破坏的措施和过程。

2) 系统运行安全系统运行安全是指为保障系统功能的安全实现，提供一套安全措施（如风险分析、审计跟踪、备份与恢复、应急）来保护信息处理过程的安全。项目组在实施项目前已对系统进行了静态的风险分析，防止计算机受到病毒攻击，阻止黑客侵入破坏系统获取非法信息，因此系统备份是必不可少的（如采用放置在不同地区站点的多台机器进行数据的实时备份）。为防止意外停电，系统需要配备多台备用电源，作为应急设施。

3) 信息安全

系统信息安全是指防止信息财产被故意的或偶然的非授权泄露、更改、破坏或信息被非法的系统标识、控制。系统的核心服务是交易服务，因此保证此类安全最为迫切。系统需要满足保密性，即保护客户的私人信息，不被非法窃取。同时系统要具有认证性和完整性，即确保客户身份的合法性，保证预约信息的真实性和完整性，系统要实现基于角色的安全访问控制、保证系统、数据和服务由合法的客户、人员访问，即保证系统的可控性。在这基础上要实现系统的不可否认性，要有效防止通信或交易双方对已进行的业务的否认。

2 农产品电子商和安全策略

为了满足电子商务的安全要求，电子商务系统必须利用安全技术为电子商务活动参与者提供可靠的安全服务，具体可采用的技术如下：

2.1基于多重防范的网络安全策略

1) 防火墙技术

防火墙是由软件系统和硬件系统组成的，在内部网与外部网之间构造保护屏障。所有内外部网之间的连接都必须经过保护屏障，并在此进行检查和连接，只有被授权的信息才能通过此保护屏障，从而使内部网与外部网形成一定的隔离，防止非法入侵、非法盗用系统资源，执行安全管制机制，记录可疑事件等。

防火墙具有很好的保护作用。论文大全，信息安全。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。你可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务，如视频流等，但至少这是你自己的保护选择。

边界防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。论文大全，信息安全。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。论文大全，信息安全。

2) VPN 技术

VPN 技术也是一项保证网络安全的技术之一，它是指在公共网络中建立一个专用网络，数据通过建立好的虚拟安全通道在公共网络中传播。企业只需要租用本地的数据专线，连接上本地的公众信息网，其分支机构就可以相互之间安全的传递信息。同时，企业还可以利用公众信息网的拨号接入设备，让自己的用户拨号到公众信息网上，就可以进入企业网中。使用VPN 技术可以节省成本、扩展性强、提供远程访问、便于管理和实现全面控制，是当前和今后企业网络发展的趋势。

VPN提供用户一种私人专用（Private）的感觉，因此建立在不安全、不可信任的公共数据网的首要任务是解决安全性问题。VPN的安全性可通过隧道技术、加密和认证技术得到解决。在Intranet VPN中，要有高强度的加密技术来保护敏感信息；在远程访问VPN中要有对远程用户可*的认证机制。

性能

VPN要发展其性能至少不应该低于传统方法。尽管网络速度不断提高，但在Internet时代，随着电子商务活动的激增，网络拥塞经常发生，这给VPN性能的稳定带来极大的影响。因此VPN解决方案应能够让管理员进行通信控制来确保其性能。通过VPN平台，管理员定义管理政策来激活基于重要性的出入口带宽分配。这样既能确保对数据丢失有严格要求和高优先级应用的性能，又不会“饿死”，低优先级的应用。

管理问题

由于网络设施、应用不断增加，网络用户所需的IP地址数量持续增长，对越来越复杂的网络管理，网络安全处理能力的大小是VPN解决方案好坏的至关紧要的区分。VPN是公司对外的延伸，因此VPN要有一个固定管理方案以减轻管理、报告等方面负担。管理平台要有一个定义安全政策的简单方法，将安全政策进行分布，并管理大量设备。论文大全，信息安全。

2.2基于角色访问的权限控制策略

农产品电子商务系统信息系统含有大量的数据对象，与这些对象有关的用户数量也非常多，所以用户权限管理工作非常重要。

目前权根控制方法很多，我们采用基于RBAC演变的权限制制思路。在RBAC之中，包含用户、角色、目标、操作、许可权五个基本数据元素，权限被赋予角色，而不是用户，当一个角色被指定给一个用户时，此用户就拥有了该角色所包含的权限。角色访问控制策略主要是两方面的工作：

(1)确定角色

根据系统作业流程的任务，并结合实际的操作岗位划分角色。角色分为高级别角色和代级别角色，低级别角色可以为高级别角色的子角色，高级别角色完全继承其子角色的权限。

(2)分配权限策略

根据系统的实际功能结构对系统功能进行编码，系统管理员可以创建、删除角色所具有的权限，以及为角色增加、删除用户。需要注意的是角色被指派给用户后，此时角色不发生冲突，对该角色的权限不能轻易进行修改，以免造成由于修改角色权限从而造成角色发生冲突。论文大全，信息安全。论文大全，信息安全。对用户的权限控制通过功能菜单权限控制或者激活权限控制来具体实现。用户登陆系统时，系统会根据用户的角色的并集，从而得到用户的权限，由权限得到菜单项对该用户的可视属性是true/false，从而得到用户菜单。

2.3基于数据加密的数据安全策略

在农产品商务系统中，数据库系统作为计算机信息系统核心部件，数据库文件作为信息的聚集体，其安全性将是重中之重。

1)数据库加密系统措施

(1)在用户进入系统进行两级安全控制

这种控制可以采用多种方式，包括设置数据库用户名和口令，或者利用IC卡读写器或者指纹识别器进行用户身份认证。

2)防止非法复制

对于服务器来说，可以采用软指纹技术防止非法复制，当然，权限控制、备份/复制和审计控制也是实行的一样。

3)安全的数据抽取方式

提供两种卸出和装入数据库中的加密数据的方式：其一是用密文式卸出，这种卸出方式不解密，卸出的数据还是密文，在这种模式下，可直接使用dbms提供的卸出、装入工具；其二是用明文方式卸出，这种卸出方式需要解密，卸出的数据明文，在这种模式下，可利用系统专用工具先进行数据转换，再使用dbms提供的卸出、装入工具完成。

3结束语

随着信息化技术的快速发展，农产品电子商务创新必须适应新的变化，必须充分考虑信息安全因素与利用信息安全技术，这样才能实现农产品电子商务业务快速增长，本文所述的安全策略，对当前实施电子商务有一定效果的，是值得推介应用的。

参考文献：

[1]卢华玲.电子商务安全技术研究[J].重庆工学院学报（自然科学版），2007，（12）：71－73.

[2]唐文龙.基于角色访问控制在农产品电子商务系统中的应用[j]. 大众科技.34-35

篇8

 

一、概述

指纹信息系统作为一种公安工作的局域网，有其特定含义和应用范畴，它积累信息为侦察破案提供线索，概括起来有四个方面的典型应用：第一，指纹系统是为公安工作服务的，是一种刑事侦察的工具，它是各地、市之间指纹交流工具，也是指纹信息资源的提供者。第二，指纹系统是为侦察破案提供线索，为案件进展提供便利服务的。第三，指纹系统积累犯罪嫌疑人信息，如嫌疑人的指纹管理、前科管理、基本信息管理等，为串、并案件提供可靠依据。第四，指纹系统是沟通与其他公安工作的窗口，利用它既可以获取各种信息，也可以向其他公安工作相关信息。

二、指纹信息系统安全的主要问题

随着网络在公安工作各个方面的延伸，进入指纹系统的手段也越来越多，因此，指纹信息安全是目前指纹工作中面临的一个重要问题。

1、物理安全问题

指纹信息系统安全首先要保障系统上指纹数据的物理安全。物理安全是指在物理介质层次上对存贮和传输的指纹数据安全保护。目前常见的不安全因素（安全威胁或安全风险）包括两大类：第一类是自然灾害（如雷电、地震、火灾、水灾等），物理损坏（如硬盘损坏、设备使用寿命到期、外力破损等），设备故障（如停电、断电、电磁干扰等），意外事故。第二类是操作失误（如删除文件、格式化硬盘、线路拆除等），意外疏漏（如系统掉电、“死机”等）。

2、指纹操作系统及应用服务的安全问题

现在应用的主流操作系统为Windows 操作系统，该系统存在很多安全隐患。操作系统不安全也是系统不安全的重要原因。

3、非法用户的攻击

几乎每天都可能听到在公安网上众多的非法攻击事件，这些事件一再提醒我们，必须高度重视系统的安全问题。非法用户攻击的主要方法有：口令攻击、网络监听、缓冲区溢出、邮件攻击和其他攻击方法。

4、计算机病毒威胁

计算机病毒将导致指纹系统瘫痪，系统程序和指纹数据严重破坏，使系统的效率和作用大大降低，系统的许多功能无法使用或不敢使用。虽然，至今还没过出现灾难性的后果，但层出不穷的各种各样的计算机病毒活跃在公安网的各个角落，令人堪忧。计算机病毒是指人为制造的干扰和破坏计算机系统的程序,它具有传染性、隐蔽性、潜伏性、破坏性等特点。通常,我们将计算机的病毒分为“良性”和“恶性”两类。所谓良性病毒是指不对计算机数据进行破坏,但会造成计算机工作异常、变慢等。 恶性病毒往往没有直观表现,但会对计算机数据进行破坏,有的甚至会破坏计算机的硬件,造成整个计算机瘫痪。前段时间流行的冲击波、震荡波、狙击波病毒，它们根据 Windows漏洞进行攻击，电脑中毒后1分钟重起。在重新启动之前，冲击波和震荡波允许用户操作，而狙击波不允许用户操作。病毒是十分狡猾的敌人,它随时随地在寻找入侵电脑的机会,因此,预防和清除计算机病毒是非常重要的，我们应提高对计算机病毒的防范意识,不给病毒以可乘之机。

三、指纹系统的安全防范措施

指纹信息系统是一个人机系统，需要多人参与工作，而系统操作人员是系统安全的责任主体，因此，要重视对各级系统操作人员进行系统安全的教育，做到专机专用，严禁操作人员进行工作以外的操作；下面就本人在实际工作中总结的一些经验,谈一 谈对指纹信息系统的维护与病毒的预防。

1、 对指纹系统硬件设备和系统设施进行安全防护

（1）系统服务器安全：服务器是指纹系统的大脑和神经中枢，一旦服务器或硬盘有故障，轻者将导致系统的中断，重者可能导致系统瘫痪或指纹数据丢失，因此在服务器端，可以采用双机热备份＋异机备份方案。论文大全。在主服务器发生故障的情况下，备份服务器自动在 30 秒 内将所有服务接管过来，从而保证整个指纹系统不会因为服务器发生故障而影响到系统的正常运行，确保系统 24小时不间断运行。在磁盘阵列柜，我们可安装多块服务器硬盘， 用其中一块硬盘做备份，这样可保证在其它硬盘发生故障时，直接用备份硬盘进行替换。

（2）异机数据备份：为防止单点故障（如磁盘阵列柜故障）的出现，可以另设一个备份服务器为，并给它的服务设置一个定时任务，在定置任务时，设定保存两天的备份数据，这样可保证当某天指纹数据备份过程中出现故障时也能进行指纹数据的安全恢复。通过异机备份，即使出现不可抗拒、意外事件或人为破坏等毁灭性灾难时，也不会导致指纹信息的丢失，并可保证在1小时内将指纹数据恢复到最近状态下，使损失降到最低。

（3）电路供应：中心机房电源尽量做到专线专供，同时采用UPS（不间断电源），部分非窗口计算机采用300 W 延时20分钟的 UPS进行备用，这样可保证主服务器和各服务窗口工作站不会因电源故障而造成指纹信息的丢失或系统的瘫痪。

（4）避雷系统：由于通信设备尤其是裸露于墙体外的线路，易受雷击等强电磁波影响而导致接口烧坏，为对整个系统进行防雷保护，分别对中心机房、主交换机、各分交换机和各工作站进行了分层次的防护。

（5）主机房的防盗、防火、防尘：主机房是系统中心，一旦遭到破坏将带来不可估量的损失，可以安装防盗门，或安排工作人员24小时值班。同时，由于服务器、交换机均属于高精密仪器，对防尘要求很高，所以对主机房进行装修时应铺上防静电地板，准备好（电火）灭火器，安装上空调， 以保证机房的恒温，并派专人对主机房的卫生、防尘等具体负责。论文大全。

（6）对移动存储器，借出时要写保护，借入时要先杀毒；

（7）不使用盗版或来历不明的软件，做到专机专用，在公安内网的机器不准联到互联网上使用；

2 、 全方位的系统防御机制

我们常说“病从口入”所以要做到防患于未然,必须切断计算机病毒的传播途径,具体的预防措施如下:

（1）利用防病毒技术来阻止病毒的传播与发作。

为了使系统免受病毒所造成的损失，采用多层的病毒防卫体系。在每台PC机上安装单机版反病毒软件，在服务器上安装基于服务器的反病毒软件，并在网关上安装基于网关的反病毒软件。因为防止病毒的攻击是每个工作人员的责任，人人都要做到自己使用的台式机上不受病毒的感染，从而保证整个指纹系统不受病毒的感染。

（2）应用防火墙技术来控制访问权限。

作为指纹系统内部网络与外部公安网络之间的第一道屏障,防火墙是最先受到重视的网络安全产品之一。虽然从理论上看,防火墙处于网络安全的最底层,负责网络间的安全认证与传输,但随着公安网络安全技术的整体发展和公安工作中网络应用的不断变化,现代防火墙技术已经逐步走向网络层之外的其他安全层次,不仅要完成传统防火墙的过滤任务,同时还能为各种网络应用提供相应的安全服务。 在系统出口处安装防火墙后，系统内部与外部网络进行了有效的隔离，所有来自外部的访问请求都要通过防火墙的检查，这样系统的安全有了很大的提高。论文大全。防火墙可以通过源地址过滤，拒绝非法IP 地址，有效避免公安网上与指纹工作无关的主机的越权访问；防火墙可以只保留有用的服务，将其他不需要的服务关闭，这样做可以将系统受攻击的可能性降低到最小限度，使非法用户无机可乘；防火墙可以制定访问策略，只有被授权的外部主机才可以访问系统的有限IP地址，保证其它用户只能访问系统的必要资源，与指纹工作无关的操作将被拒绝；由于所有访问都要经过防火墙，所以防火墙可以全面监视对系统的访问活动，并进行详细的记录，通过分析可以发现可疑的攻击行为；防火墙可以进行地址转换工作，使外部用户不能看到系统内部的结构，使攻击失去目标。

（3）应用入侵检测技术及时发现攻击苗头。

入侵检测系统是提供实时的入侵检测及采取相应的防护手段，如记录证据用于跟踪和恢复、断开网络连接等。实时入侵检测能力之所以重要是因为它能够对付来自系统内外的攻击，缩短入侵的时间。

（4）应用安全扫描技术主动探测系统安全漏洞，进行系统安全评估与安全加固。安全扫描技术与防火墙、入侵检测系统互相配合，能够有效提高指纹系统的安全性。通过对系统的扫描，系统管理员可以了解系统的安全配置和运行的应用服务，及时发现安全漏洞，客观评估系统风险等级。系统管理员也可以根据扫描的结果及时消除系统安全漏洞和更正系统中的错误配置，在非法用户攻击前进行防范。

（5）应用系统安全紧急响应体系，防范安全突发事件。

指纹系统安全作为一项动态工程，意味着它的安全程度会随着时间的变化而发生改变。 在信息技术日新月异的今天，即使昔日固若金汤的系统安全策略，也难免会随着时间和环境的变化，变得不堪一击。因此，我们需要随时间和系统环境的变化或技术的发展而不断调整自身的安全策略，并及时组建系统安全紧急响应体系，专人负责，防范安全突发事件。

参考文献：

[1]　JonathanPBowen,Kirill Bogdanov,et al.FORTEST: formal methods andtesting.In:26thInternational Computer Software and Applications Conference(COMPSAC 2002).Prolonging Software Life: Development and Redevelopment,England:Oxford,August 2002.91~104

[2]　J Dick, AFaivre.Automating the generation and sequencing of test cases frommodel-basedspecifications.In:Proceedings of FME’93, Industrial-StrengthFormal Methods,Odense Denmark, Springer-Verlag.Lecture Notes in ComputerScience,1993,670:268~284

[3]　张　敏,徐　震,冯登国.基于安全策略模型的安全功能测试用例生成方法,软件学报(已投稿),2006

[4]　何永忠.DBMS安全策略模型的研究:[博士学位论文],北京市石景山区玉泉路19号(甲):中国科学院研究生院,2005

[5] National Computer Security Center,A guide to understanding security models intrusted Systems,NCSC-TG-010,1992

[6]蒋平．计算机犯罪问题研究［M］．北京：电子工业出版社，2002．

[7]高铭喧．新编中国刑法学［M］．北京：中国科学技术出版社，2000．

[8]朱广艳． 信息技术与课程整合的发展与实践［J］． 中国电化教育，2003（194）：8－ 10．

[9]黄叔武 刘建新 计算机网络教程 清华大学出版社 2004年11 月

[10]戴红 王海泉 黄坚 计算机网络安全 电子工业出版社2004.9.8

[11]丁志芳, 徐梦春. 评说防火墙和入侵检测[J]. 网络安全技术与应用, 2004,(4):37- 41.

[12]周国民. 黑客苏南与用户防御[J].计算机安全, 2005,(7):72-74.

[13]周筱连. 计算机网络安全防护[J].电脑知识与技术( 学术交流) ,2007,(1).

[14]阿星. 网络安全不容忽视[J]. 电脑采购周刊, 2002,(32).

[15]网络安全新概念[J].计算机与网络, 2004,(7).

篇9

 

0 引言

近年来,随着信息技术的发展,各行各业都利用计算机网络和通讯技术开展业务工作。广西百色田阳县农产品批发中心利用现代信息技术建有专门的网站，通过网站实施农产品信息、电子支付等商务工作。但是基于互联网的电了商务的安全问题日益突出，并且该问题已经严重制约了农产品电子商务的进一步发展。

1　农产品电子商务的安全需求

根据电子商务系统的安全性要求，田阳农产品电子商务系统需要满足系统的实体安全、运行安全和信息安全三方面的要求。

1) 系统实体安全

系统实体安全是指保护计算机设备、设施（含网络）以及其它媒体免遭地震、水灾、火灾、有害气体和其它环境事故（如电磁污染等）破坏的措施和过程。

2) 系统运行安全系统运行安全是指为保障系统功能的安全实现，提供一套安全措施（如风险分析、审计跟踪、备份与恢复、应急）来保护信息处理过程的安全[1]。项目组在实施项目前已对系统进行了静态的风险分析，防止计算机受到病毒攻击，阻止黑客侵入破坏系统获取非法信息，因此系统备份是必不可少的（如采用放置在不同地区站点的多台机器进行数据的实时备份）。为防止意外停电，系统需要配备多台备用电源，作为应急设施。

3) 信息安全

系统信息安全是指防止信息财产被故意的或偶然的非授权泄露、更改、破坏或信息被非法的系统标识、控制。系统的核心服务是交易服务，因此保证此类安全最为迫切。系统需要满足保密性，即保护客户的私人信息，不被非法窃取。同时系统要具有认证性和完整性，即确保客户身份的合法性，保证预约信息的真实性和完整性，系统要实现基于角色的安全访问控制、保证系统、数据和服务由合法的客户、人员访问防火墙，即保证系统的可控性。在这基础上要实现系统的不可否认性，要有效防止通信或交易双方对已进行的业务的否认论文的格式。

2 农产品电子商和安全策略

为了满足电子商务的安全要求，电子商务系统必须利用安全技术为电子商务活动参与者提供可靠的安全服务，具体可采用的技术如下：

2.1基于多重防范的网络安全策略

1) 防火墙技术

防火墙是由软件系统和硬件系统组成的，在内部网与外部网之间构造保护屏障。所有内外部网之间的连接都必须经过保护屏障，并在此进行检查和连接，只有被授权的信息才能通过此保护屏障，从而使内部网与外部网形成一定的隔离，防止非法入侵、非法盗用系统资源，执行安全管制机制，记录可疑事件等。

防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。你可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务，如视频流等，但至少这是你自己的保护选择。

边界防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。

2) VPN 技术

VPN 技术也是一项保证网络安全的技术之一，它是指在公共网络中建立一个专用网络，数据通过建立好的虚拟安全通道在公共网络中传播。企业只需要租用本地的数据专线，连接上本地的公众信息网，其分支机构就可以相互之间安全的传递信息。同时，企业还可以利用公众信息网的拨号接入设备，让自己的用户拨号到公众信息网上，就可以进入企业网中。使用VPN 技术可以节省成本、扩展性强、提供远程访问、便于管理和实现全面控制，是当前和今后企业网络发展的趋势。

VPN提供用户一种私人专用（Private）的感觉，因此建立在不安全、不可信任的公共数据网的首要任务是解决安全性问题。VPN的安全性可通过隧道技术、加密和认证技术得到解决。在Intranet VPN中，要有高强度的加密技术来保护敏感信息；在远程访问VPN中要有对远程用户可*的认证机制。

性能

VPN要发展其性能至少不应该低于传统方法。尽管网络速度不断提高，但在Internet时代，随着电子商务活动的激增，网络拥塞经常发生，这给VPN性能的稳定带来极大的影响。因此VPN解决方案应能够让管理员进行通信控制来确保其性能。通过VPN平台，管理员定义管理政策来激活基于重要性的出入口带宽分配。这样既能确保对数据丢失有严格要求和高优先级应用的性能防火墙，又不会“饿死”，低优先级的应用。

管理问题

由于网络设施、应用不断增加，网络用户所需的IP地址数量持续增长，对越来越复杂的网络管理，网络安全处理能力的大小是VPN解决方案好坏的至关紧要的区分。VPN是公司对外的延伸，因此VPN要有一个固定管理方案以减轻管理、报告等方面负担。管理平台要有一个定义安全政策的简单方法，将安全政策进行分布，并管理大量设备论文的格式。

2.2基于角色访问的权限控制策略

农产品电子商务系统信息系统含有大量的数据对象，与这些对象有关的用户数量也非常多，所以用户权限管理工作非常重要。

目前权根控制方法很多，我们采用基于RBAC演变的权限制制思路。在RBAC之中，包含用户、角色、目标、操作、许可权五个基本数据元素，权限被赋予角色，而不是用户，当一个角色被指定给一个用户时，此用户就拥有了该角色所包含的权限[2]。角色访问控制策略主要是两方面的工作：

(1)确定角色

根据系统作业流程的任务，并结合实际的操作岗位划分角色。角色分为高级别角色和代级别角色，低级别角色可以为高级别角色的子角色，高级别角色完全继承其子角色的权限。

(2)分配权限策略

根据系统的实际功能结构对系统功能进行编码，系统管理员可以创建、删除角色所具有的权限，以及为角色增加、删除用户。需要注意的是角色被指派给用户后，此时角色不发生冲突，对该角色的权限不能轻易进行修改，以免造成由于修改角色权限从而造成角色发生冲突。对用户的权限控制通过功能菜单权限控制或者激活权限控制来具体实现。用户登陆系统时，系统会根据用户的角色的并集，从而得到用户的权限，由权限得到菜单项对该用户的可视属性是true/false，从而得到用户菜单。

2.3基于数据加密的数据安全策略

在农产品商务系统中，数据库系统作为计算机信息系统核心部件，数据库文件作为信息的聚集体，其安全性将是重中之重。

1)数据库加密系统措施

(1)在用户进入系统进行两级安全控制

这种控制可以采用多种方式，包括设置数据库用户名和口令，或者利用IC卡读写器或者指纹识别器进行用户身份认证。

2)防止非法复制

对于服务器来说防火墙，可以采用软指纹技术防止非法复制，当然，权限控制、备份/复制和审计控制也是实行的一样。

3)安全的数据抽取方式

提供两种卸出和装入数据库中的加密数据的方式：其一是用密文式卸出，这种卸出方式不解密，卸出的数据还是密文，在这种模式下，可直接使用DBMS提供的卸出、装入工具；其二是用明文方式卸出，这种卸出方式需要解密，卸出的数据明文，在这种模式下，可利用系统专用工具先进行数据转换，再使用DBMS提供的卸出、装入工具完成[3]。

3结束语

随着信息化技术的快速发展，农产品电子商务创新必须适应新的变化，必须充分考虑信息安全因素与利用信息安全技术，这样才能实现农产品电子商务业务快速增长，本文所述的安全策略，对当前实施电子商务有一定效果的，是值得推介应用的。

参考文献：

[1]卢华玲.电子商务安全技术研究[J].重庆工学院学报（自然科学版），2007，（12）：71－73.

[2]唐文龙.基于角色访问控制在农产品电子商务系统中的应用[j]. 大众科技.34-35

篇10

传统防火墙是现代网络安全防范的主要支柱，但在安全要求较高的大型网络中存在一些不足，主要表现如下：

(1) 结构性限制。传统防火墙的工作原理依赖于网络的物理拓扑结构，如今，越来越多的跨地区企业利用Internet来架构自己的网络，致使企业内部网络已基本上成为一个逻辑概念，因此，用传统的方式来区别内外网络十分困难。

(2) 防外不防内。虽然有些传统防火墙可以防止内部用户的恶意破坏，但在大多数情况下，用户使用和配置防火墙主要还是防止来自外部网络的入侵。

(3) 效率问题。传统防火墙把检查机制集中在网络边界处的单一接点上，因此，防火墙容易形成网络的瓶颈。

(4) 故障问题。传统防火墙本身存在着单点故障问题。一旦处于安全节点上的防火墙出现故障或被入侵，整个内部网络将完全暴露在外部攻击者的前面。

2 分布式防火墙的概念

为了解决传统防火墙面临的问题，美国AT&T实验室研究员Steven M.Bellovin于1999年在他的论文“分布式防火墙”中首次提出了分布式防火墙的定义，其系统由以下三部分组成：

(1) 网络防火墙。网络防火墙承担着传统防火墙相同的职能，负责内外网络之间不同安全域的划分；同时，用于对内部网络中各子网之间的防护。

(2) 主机防火墙。为了扩大防火墙的应用范围，在分布式防火墙系统中设置了主机防火墙。主机防火墙驻留在主机中，并根据响应的安全策略对网络中的服务器及客户端计算机进行安全保护。

(3) 中心管理服务器。中心管理服务器是整个分布式防火墙的管理核心，主要负责安全策略的制定、分发及日志收集和分析等操作。

3 分布式防火墙的工作模式

分布式防火墙的工作模式：由中心策略服务器统一制定安全策略，然后将这些制定好的策略分发到各个相关节点。而安全策略的执行则由相关主机节点独立实施，再由各主机产生的安全日志集中保存在中心管理服务器上，其工作模式如图所示。

分布式防火墙工作模式结构

从图中可以看出，分布式防火墙不再完全依赖于网络的拓扑结构来定义不同的安全域，可信赖的内部网络发生了概念上的变化，它已经成为一个逻辑上的网络，从而打破了传统防火墙对网络拓扑的依赖。但是，各主机节点在处理数据时，必须根据中心策略服务器所分发的安全策略来决定是否允许某一节点通过防火墙。

4 分布式防火墙的构建

分布式防火墙的构建主要有如下四个步骤：

(1) 策略的制定和分发。在分布式防火墙系统中，策略是针对主机制定的。在制定策略之后通过策略管理中心“推送”和主机“索取”两种机制分发到主机。

(2) 日志的收集。在分布式防火墙中，日志可以通过管理中心“定期采集”、主机“定期传送”、主机“定量传送”由主机传送到管理中心。

(3) 策略实施。策略在管理中心统一制定，通过分发机制传送到终端的主机防火墙，主机防火墙根据策略的配置在受保护主机上进行策略的实施。主机防火墙策略实施的有效性是分布式防火墙系统运行的基础。

(4) 认证。在分布式防火墙系统中通常采用基于主机的认证方式，即根据IP地址进行认证。为了避免IP地址欺骗，可以采用一些强认证方法，例如Kerberos、X.509、IP Sec等。

5 分布式防火墙的主要优势

在新的安全体系结构下，分布式防火墙代表新一代防火墙技术的潮流，它可以在网络的任何交界和节点处设置屏障，从而形成了一个多层次、多协议，内外皆防的全方位安全体系。主要优势如下：

(1) 分布式防火墙增加了针对主机的入侵检测和防护功能，加强了对来自内部攻击的防范，可以实施全方位的安全策略。

(2) 分布式防火墙消除了结构性瓶颈问题，提高了系统性能。

(3) 分布式防火墙随系统扩充提供了安全防护无限扩充的能力。

6 结论

总之，在企事业单位的计算机网络安全防护中，分布式防火墙技术不仅克服了传统边界式防火墙的不足，而且把防火墙的安全防护系统延伸到网络中的各台主机。它在整个企事业网络或服务器中，具有无限制的扩展能力。随着网络的增长，它们的处理负荷也会在网络中进一步分布，从而持续地保持高性能，最终给网络提供全面的安全防护。

参考文献