《企业网络安全防护技术措施14069.docx》由会员分享，可在线阅读，更多相关《企业网络安全防护技术措施14069.docx（41页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、目录第1章绪绪论1第2章企企业网络络安全概概述32.1 网络安安全32.2 安全隐隐患32.2.1 完完整性332.2.2 机机密性332.2.3 可可用性442.3 安全分分类42.4 网络安安全的目目标42.4.1 消消除盗窃窃42.4.2 确确定身份份42.4.3 鉴鉴别假冒冒52.4.4 保保密5第3章企企业数据据安全663.1数数据库安安全63.1.1 数数据库安安全问题题63.1.2 数数据库安安全策略略与配置置63.1.3 数数据库的的加密773.2 数据备备份与恢恢复83.2.1 数数据备份份与恢复复概述883.2.2 数数据备份份策略1103.2.3 数数据库的的备份111第
2、4章网网络服务务与应用用系统的的安全1124.1 Webb服务器器安全1124.1.1 WWeb的的安全概概述1224.1.2 WWeb站站点的安安全和漏漏洞1224.1.3 WWeb安安全预防防措施1134.2 域名系系统的安安全性1144.2.1 DDNS的的安全威威胁144.2.2 名名字欺骗骗技术1154.2.3 增增强DNNS服务务的安全全性1554.3 电子邮邮件的安安全性1164.3.1 EE-maail的的安全风风险1664.3.2 邮邮件服务务器的安安全与可可靠性1174.3.3 邮邮件客户户端的安安全177第5章网网络病毒毒防范1195.1 计算机机病毒概概述1995.1.
3、1 计计算机病病毒的定定义1995.1.2 计计算机病病毒分类类195.1.3 计计算机病病毒的特特征1995.1.4 计计算机网网络病毒毒的危害害性2005.2 反病毒毒技术2205.2.1 计计算机病病毒的防防范2005.2.2 计计算机网网络病毒毒的防范范措施222第6章防防火墙及及相关技技术应用用236.1 防火墙墙概述2236.1.1 防防火墙的的概念2236.1.2防火火墙的目目的和功功能2336.1.3 防防火墙的的局限性性246.2 防火墙墙的分类类256.3 防火墙墙的体系系结构2256.3.1 双双穴主机机体系结结构2556.3.2 屏屏蔽主机机体系结结构2666.3.3
4、屏屏蔽子网网体系结结构2666.4 防火墙墙的策略略与维护护276.4.1 设设置防火火墙的策策略2776.4.2 防防火墙的的维护2286.5 入侵检检测系统统296.5.1 入入侵检测测系统的的功能及及分类2296.5.2入侵侵检测产产品的选选购原则则306.6 虚拟专专用网（VPN）30结论322致谢333参考文献献34摘 要随着Innterrnett上的个个人和商商业应用用越来越越普遍,基于网网络应用用和服务务的信息息资源也也面临着着更多的的安全风风险。然然而，在在多数情情况，网网络安全全并没有有得到应应有的重重视。信信息是一一种必须须保护的的资产，由由于缺少少足够的的保护或或者网络络
5、安全措措施而造造成的损损失对企企业而言言可能是是致命的的。为了了能够让让企业的的网络系系统避免免遭受来来自各种种不安全全的攻击击和威胁胁，从而而更加安安全可靠靠地使用用网络，我我们应该该采取各各种有效效的安全全防护措措施。针对目前前企业网网络所面面临的安安全问题题，本文文从如何何保护企企业的数数据安全全、网络络服务与与应用系系统安全全以及如如何预防防网络病病毒和在在网络中中设置防防火墙等等几个方方面阐述述了如何何有效地地保护企企业网络络的安全全。文章通过过对当今今网络面面临的安安全问题题的总结结，并结结合当前前企业网网络的特特点，制制定出了了有效的的安全防防护措施施。针对对企业网网络所出出现的
6、比比较常见见的安全全问题，通通过各种种方法给给予解决决或给出出可行方方案。在对各种种网络安安全防护护措施的的叙述的的同时，文文章还通通过各种种图形来来近一步步阐述各各种原理理，使抽抽象问题题变得更更加的简简洁明了了。当涉涉及到网网络连接接等原理理时，更更能通过过各种网网络拓扑扑图，形形象的给给予描述述，使复复杂问题题的变得得简单。通通过本文文的叙述述，我们们将会对对企业网网络安全全有一个个更加清清晰的认认识。关键字：防火墙墙数据备份份第1章 绪论在信息化化高速发发展的今今天,计计算机网网络已经经完全渗渗透到社社会生活活的各个个方面。随随着Innterrnett上的个个人和商商业应用用越来越越普
7、遍,基于网网络应用用和服务务的信息息资源也也面临着着更多的的安全风风险。然然而，在在多数情情况，网网络安全全并没有有得到应应有的重重视。信信息是一一种必须须保护的的资产，由由于缺少少足够的的保护或或者网络络安全措措施而造造成的损损失对企企业而言言可能是是致命的的。Innterrnett的不可可信也会会限制企企业的商商业机会会，特别别是那些些1000%基于于Webb的组织织。制定定和颁布布安全政政策与安安全措施施并使得得用户和和潜在的的用户感感觉到足足够安全全是必须须的。随着Innterrnett的发展展和应用用，许多多企业已已经认识识到通过过网络建建立企业业内部的的商务平平台、为为企业雇雇员提
8、供供到自动动销售系系统的移移动连接接、向客客户和消消费者提提供电子子商务平平台等行行为，都都将为企企业节约约大量的的销售成成本。通通过入侵侵检测、身身份鉴定定、授权权和评估估系统，增增强了防防火墙的的功能。现现在，许许多企业业很好地地平衡了了防止恶恶意攻击击与增加加正当访访问渠道道之间的的矛盾。在企业安安全方面面的投资资可以保保证企业业的生产产力和确确保客户户的信任任。一个个可靠的的安全基基础能帮帮助企业业建立与与雇员、供供应商、合合伙人和和客户之之间的信信任关系系，使他他们相信信企业的的任何信信息都能能够受到到妥善的的保护，任任何的网网上交易易都是可可以信赖赖的。正是由于于越来越越多的企企业
9、组建建了自己己的局域域网，并并依靠现现代网络络的快速速便捷使使自己的的生产、经经营、运运作方式式等发生生了极大大的改变变。通过过这种方方式，企企业降低低了生产产成本，增增加了企企业收入入。正是是出于企企业对网网络的极极度依赖赖，所以以保证一一个企业业的网络络安全是是非常重重要的。在网络安全方面，企业采用的防护措施还有弥补操作系统的安全漏洞、以及当网络已经瘫痪时进行灾难恢复等。此外，虚拟专用网（VPN）技术将逐渐成为企业之间互联的首选产品，因为它能够降低成本、提高效率、增强安全性，在日后的应用中将会有广阔的前景。然而，为为了能够够让企业业网络变变得更加加的安全全，我们们不能只只是靠各各种安全全防
10、护产产品，除除此之外外，我们们必须通通过各种种安全策策略，包包括制定定严格的的安全制制度、法法律，组组建安全全团队，对对网络安安全动态态实时关关注，开开发出更更完善的的安全系系统，只只有这样样，才能能保证企企业网络络处于一一个比较较安全的的位置。安全风险险不能完完全消除除或者防防止，但但是可通通过有效效的风险险管理和和评估，将将风险最最小化到到可以接接受的水水平。至至于什么么才是可可以接受受的，这这取决于于个人或或者企业业的承受受力。如如果减少少风险所所带来的的收益超超过了采采取各种种措施的的费用，那那么进行行风险管管理就是是值得的的。正是由于于企业网网络面临临的安全全问题是是各种各各样的，针
11、针对目前前企业网网络所面面临的安安全问题题，本文文从如何何保护企企业的数数据安全全、网络络服务与与应用系系统安全全以及如如何预防防网络病病毒和在在网络中中设置防防火墙等等几个方方面阐述述了如何何有效地地保护企企业网络络的安全全。第2章 企业网网络安全全概述2.1 网络安安全计算机网网络安全全是指计计算机及及其网络络系统资资源和信信息资源源不受自自然和人人为有害害因素的的威胁和和危害，即即指计算算机、网网络系统统的硬件件、软件件及其系系统中的的数据受受到保护护，不因因偶然的的或者恶恶意的原原因而遭遭到破坏坏、更改改和泄露露，确保保系统能能连续可可靠正常常地运行行，使网网络服务务不中断断。计算算机
12、网络络安全是是一门涉涉及计算算机科学学、网络络技术、密密码技术术、信息息安全技技术、应应用数学学、数论论和信息息论等多多种学科科的综合合性科学学。从广义上上来说，凡凡是涉及及到计算算机网络络上信息息的保密密性、完完整性、可可用性、真真实性和和可控性性的相关关技术和和理论都都是计算算机网络络安全的的研究领领域。所所以，广广义的计计算机网网络安全全还包括括信息设设备的物物理安全全性，诸诸如场地地环境保保护、防防火措施施、防水水措施、放放电保护护、静电电保护、电电源保护护、空调调设备、计计算机辐辐射和计计算机病病毒等。安全风险险不能完完全消除除或者防防止，但但是可通通过有效效的风险险管理和和评估，将
13、将风险最最小化到到可以接接受的水水平。至至于什么么才是可可以接受受的，这这取决于于个人或或者企业业的承受受力。如如果减少少风险所所带来的的收益超超过了采采取各种种措施的的费用，那那么进行行风险管管理就是是值得的的。2.2 安全隐隐患网络安全全的目的的是实现现网络信信息的完完整性、机机密性和和可用性性。2.2.1 完完整性完整性是是指确保保数据不不允许被被非授权权人修改改或者破破坏的能能力。完完整性确确保了发发送信息息与接受受信息是是一致的的，即使使数据是是非保密密的，也也必须保保证数据据的完整整性，就就像一个个人允许许其他人人知道他他的日常常业务，但但决不允允许他人人擅自修修改其业业务一样样。
14、2.2.2 机机密性机密性将将保护数数据不泄泄露给非非授权的的第三方方。无论论是客户户数据还还是公司司内部数数据，企企业都有有责任保保证数据据的私密密性。所所有的客客户都有有权要求求保护他他们的个个人信息息，一个个企业也也必须尊尊重客户户的隐私私权并与与客户之之间保持持一种信信任的关关系。公司拥有有的信息息不仅是是敏感的的，而且且也需要要保密，只只有被许许可的部部分才能能被访问问，这些些信息的的传递也也是以一一种安全全的方式式进行并并能阻止止未授权权的访问问。2.2.3 可可用性可用性是是指计算算机系统统的连续续操作能能力，其其对立面面是拒绝绝服务，这这种攻击击通过垃垃圾信息息来淹没没网络设设
15、备，减减慢直到到整个系系统崩溃溃。应用用程序需需要不同同级别的的可用性性，这取取决于停停机时间间对业务务的影响响。例如如，若一一个应用用程序是是可用的的，那么么所有的的组件，包包括应用用程序和和数据库库服务器器、存储储设备和和端到端端的网络络连接等等，都必必须是可可提供持持续服务务的。随着更多多企业和和组织对对基于网网络应用用和Innterrnett依赖性性的增加加，多媒媒体数据据的集成成也对各各种应用用的可用用性提出出了更高高的要求求。各种种原因造造成的系系统停机机，都可可能导致致可用性性的缺乏乏，降低低客户的的信任度度，甚至至减少企企业的收收入。2.3 安全分分类对于网络络安全隐隐患，主主
16、要有以以下四方方面的原原因：1) 技术缺陷陷：每个个网络和和计算机机技术都都存在内内在的安安全问题题。2) 配置缺陷陷：暴露露出的安安全问题题，甚至至大多数数是安全全技术的的配置错错误。3) 政策缺陷陷：缺乏乏安全策策略或者者不正确确的执行行和管理理，都可可能使最最好的安安全和网网络技术术失去作作用。4) 人为错误误：工作作人员写写下自己己的口令令随意放放置，或或者多人人共享一一个口令令等，都都是一些些常见的的问题。2.4 网络安安全的目目标网络安全全最重要要的一个个目标是是获得那那些任何何不是被被明确许许可的操操作被禁禁止的情情况。正正在发展展的一个个安全策策略目标标是定义义一个组组织的计计
17、算机和和网络的的使用期期望值。“安全”意味着着防止系系统内部部和外部部两方面面的攻击击。网络络安全包包括安全全的数据据、应用用和用户户。2.4.1 消消除盗窃窃据统计美美国的公公司因为为信息失失窃而损损失10000亿亿美元的的收益，这这通常发发生于报报表和机机密信息息被当成成垃圾丢丢弃。2.4.2 确确定身份份安全措施施可能降降低方便便性，一一般来说说，简单单的口令令是一个个效率较较低的身身份鉴定定形式，但但是更强强大的身身份鉴定定需要更更多的成成本开销销。2.4.3 鉴鉴别假冒冒任何隐藏藏的假冒冒都是一一个潜在在的安全全漏洞，为为了防止止假冒，一一般来说说，要有有足够的的身份鉴鉴定、授授权和
18、审审核以及及专家的的确认或或者否定定，然后后在提出出相应的的建议。2.4.4 保保密大多数安安全是建建立在保保密基础础上的。许许多安全全专家发发现漏洞洞都是一一些很容容易修补补的众所所周知的的缺陷，因因此必须须确保网网络安装装最新的的版本的的补丁。在在以后的的几年当当中，据据估计990%的的对计算算机的攻攻击将继继续利用用那些已已有的补补丁程序序或预防防措施的的安全缺缺陷。对对数据进进行分类类并确定定哪些数数据需要要保密是是一件迫迫切的事事，需要要保密的的包括口口令、信信用卡号号、银行行账户等等。为了了确保秘秘密数据据的安全全性，必必须对系系统进行行分层并并确保安安装最新新的补丁丁程序。第3章
19、 企业数数据安全全3.1数数据库安安全数据库系系统是存存储重要要信息的的场所，并并担负着着管理这这些数据据信息的的任务。数数据库安安全问题题，在数数据库技技术诞生生之后就就一直存存在，并并随着数数据库技技术的发发展而不不断深化化。因而而，如何何保证和和加强其其安全性性和保密密性，已已成为目目前迫切切需要解解决的热热门课题题。3.1.1 数数据库安安全问题题计算机安安全性的的三个方方面是安安全性、保保密性和和可用性性，都与与数据库库管理系系统有关关系。数数据库系系统安全全问题可可归纳为为以下三三个方面面：1.保障障数据库库系统的的保密性性。2.保障障数据库库系统的的完整性性。3.数据据库系统统的
20、可用用性。3.1.2 数数据库安安全策略略与配置置数据库的的安全策策略包括括系统的的策略、数数据安全全的策略略、用户户安全的的策略等等。1、 系统安全全的策略略1) 数据库用用户的管管理每个数据据库系统统都有一一个或几几个管理理员，负负责维护护所有的的安全策策略方面面的问题题，这类类管理员员称为安安全管理理员。如如果数据据库系统统很小，数数据库管管理员也也就担当当起安全全管理员员的责任任。但是是，如果果数据库库系统很很大，通通常就要要指定一一个人或或一群人人专门担担当安全全管理员员的责任任。2) 用户的鉴鉴别数据库用用户可以以通过操操作系统统、网络络服务、或或数据库库进行身身份确认认，来鉴鉴别
21、（核核实合法法用户）。3) 操作系统统的安全全如果可以以的话，对对于任何何数据库库应用的的操作系系统来说说，还应应该考虑虑数据库库管理员员必须具具有操作作系统权权限，以以便创建建和删除除文件。一一般数据据库用户户不应该该具有操操作系统统权限。如如果操作作系统会会识别用用户的数数据库角角色，那那么，安安全管理理员就必必须有操操作系统统权限，以以便修改改操作系系统账户户的安全全域。2、 数据安全全的策略略安全包括括在对象象层上控控制访问问和使用用数据库库的机制制。数据据库安全全策略应应确定，能能访问特特殊的模模式对象象、允许许每个用用户在对对象上所所做的特特殊的动动作类型型。例如如，访问问数据库库
22、表时，一一些用户户只能执执行SEELECCT和IINSEERT语语句，而而不能执执行DEELETTE语句句。3、 用户安全全的策略略1) 普通用户户的权限限管理安全管理理员应该该考虑涉涉及所有有类型用用户的权权限管理理问题。例例如，在在一个有有许多用用户名的的数据库库中，使使用角色色来管理理用户可可用的权权限是非非常有益益的。否否则，如如果数据据库中只只有少数数用户名名，就将将权限明明确地赋赋予用户户，避免免使用角角色，这这样反而而更容易易。2) 密码的安安全如果用户户是通过过数据库库进行用用户身份份的确认认，那么么建议使使用密码码加密的的方法与与数据库库进行连连接。3) 终端用户户的安全全安
23、全管理理员必须须定义终终端用户户的安全全策略。如如果一个个数据库库有很多多用户，安安全管理理员可以以决定将将那些用用户的组组分类成成用户组组，然后后为这些些组创建建用户角角色。安安全管理理员可以以给每个个用户角角色赋予予必要的的权限或或应用角角色，再再将用户户角色赋赋予给这这些用户户。对于于例外情情况，安安全管理理员还必必须确定定，必须须将什么么权限明明确地授授予那个个用户。4) 管理员的的安全安全管理理员应该该有一个个处理数数据库管管理员的的安全的的策略。例例如，当当数据库库很大，且且有几种种类型的的数据库库管理员员时，安安全管理理员就应应该将相相关的管管理权限限划分成成几个管管理角色色。然
24、后后将这些些管理角角色授予予适当的的管理员员用户。相相反，当当数据库库很小而而且只有有几个管管理员时时，创建建一个管管理角色色并把这这个管理理角色授授予所有有管理员员，可能能就更方方便些。3.1.3 数数据库的的加密1、数据据库加密密概述大型数据据库管理理系统的的运行平平台一般般是Wiindoows NT/20000和UUNIXX，这些些操作系系统的安安全级别别通常为为C1、CC2级。它它们具有有用户注注册、识识别用户户、任意意存取控控制、审审计等安安全功能能。虽然然数据库库管理系系统在操操作系统统的基础础上增加加了不少少安全措措施，例例如基于于权限的的控制等等，但操操作系统统和数据据库管理理
25、系统对对数据库库文件本本身仍然然缺乏有有效的保保护措施施，有经经验的网网上黑客客会绕道道而行，直直接利用用操作系系统工具具窃取或或篡改数数据库文文件的内内容。这这种隐患患被称为为通向数数据库管管理系统统的隐秘秘通道，它它所带来来的危害害一般数数据库用用户难以以觉察。分分析和堵堵塞隐秘秘通道被被认为是是B2级级的安全全技术措措施。对对数据库库中的敏敏感数据据进行加加密处理理，是堵堵塞这一一隐秘通通道的有有效手段段。2、加密密算法加密算法法是数据据加密的的核心。算算法必须须适应数数据库系系统的特特点，加加密解密密速度要要快。著著名的背背包算法法就是一一种适合合数据库库加密的的算法。算算法的思思路是
26、假假定某人人拥有大大量的物物品，重重量各不不相同。此此人通过过秘密地地选择一一部分物物品并将将它们放放到背包包中来加加密消息息。背包包中的物物品总重重量是公公开的，所所有可能能的物品品也是公公开的，但但背包中中的物品品却是保保密的。附附加一定定的限制制条件，给给出重量量，而要要列出可可能的物物品，在在计算上上是不可可实现的的。3.2 数据备备份与恢恢复随着各单单位局域域网和互互连网络络的深入入应用,系统内内的服务务器担负负着企业业的关键键应用,存储着着重要的的信息和和数据,为网络络环境下下的大量量客户机机提供快快速高效效的信息息查询、数数据处理理和Innterrnett等的各各项服务务，一旦旦
27、数据丢丢失，将将会造成成无法弥弥补的损损失。为为了计算算机网络络系统出出现故障障时，网网络中的的核心数数据必须须能安全全的保存存和迅速速的恢复复，因此此，对于于企业来来说，可可靠的数数据备份份和恢复复措施是是非常必必要的。3.2.1 数数据备份份与恢复复概述1、数据据备份和和恢复的的基本概概念数据备份份和恢复复是指将将计算机机硬盘上上的原始始数据复复制到其其他存储储媒体上上，如磁磁带、光光盘等，在在出现数数据丢失失或系统统灾难时时将复制制在其他他存储媒媒体上的的数据恢恢复到硬硬盘上，从从而保护护计算机机的系统统数据和和应用数数据。对对于计算算机网络络数据，备备份不仅仅仅是文文件的复复制，还还应
28、该包包括文件件的权限限、属性性等信息息。2、 数据备份份的原则则对数据进进行备份份是为了了保证数数据的安安全性，消消除系统统使用者者和操作作者的后后顾之忧忧。不同同的应用用环境要要求不同同的解决决方案来来适应，一一般来说说，要求求满足以以下原则则。1) 稳定性。备备份产品品的主要要作用是是为了系系统提供供一个数数据保护护方法，于于是该产产品本身身的稳定定性就变变成了最最重要的的一个方方面，一一定要与与操作系系统百分分之百的的兼容。2) 全面性。在在计算机机网络环环境中，可可能包括括了各种种操作平平台，如如Nettwarre、WWinddowss NTT、UNNIX等等。选用用的备份份软件，要要
29、支持各各种操作作系统、数数据库和和典型应应用。3) 安全性。计计算机网网络是计计算机病病毒传播播的通道道，给数数据安全全带来极极大威胁胁。如果果在备份份的时候候，把计计算机病病毒也完完整的备备份下来来，将会会是一种种恶性循循环。因因此，要要求在备备份的过过程中有有查毒、防防毒、杀杀毒、的的功能，确确保无毒毒备份，同同时还要要保证备备份介质质不丢失失和备份份数据的的完整性性。4) 容错性。确确认备份份数据的的可靠性性，也是是一个至至关重要要的方面面。如果果引入RRAIDD技术，对对磁带进进行镜像像，就可可以更好好的保证证数据安安全可靠靠，给用用户再加加一把保保险锁。3、 常用数据据备份的的方法1
30、) 磁带备份份在所有备备份介质质中，磁磁带备份份是可靠靠、成本本低、传传输率高高、易于于使用和和管理的的数据备备份介质质。2) 硬盘备份份在计算机机中安装装多块硬硬盘，将将数据备备份在不不同的硬硬盘上，通通常采用用磁盘阵阵列（RRAIDD）的方方法。在在硬盘备备份中也也有采用用移动硬硬盘进行行手动备备份的。硬硬盘备份份的速度度快、实实时性高高，一块块硬盘出出现故障障时不影影响系统统的运行行。但使使用硬盘盘备份时时，由于于硬盘无无法从系系统中分分离，一一旦发生生自然灾灾害将引引起重大大的数据据损失。3) 网络备份份随着网络络技术的的发展，该该技术也也应用到到数据的的存储和和备份中中。采用用网络备
31、备份可以以实现备备份的集集中管理理、异地地备份等等。通过过制定相相应的备备份策略略，备份份工作可可以自动动进行，不不需要太太多的人人干预，减减少了日日常的管管理负担担，并可可避免人人为的疏疏忽或错错误，提提高了数数据备份份的可靠靠性。特特别是通通过网络络进行的的异地备备份可以以有效的的预防自自然灾害害对数据据的破坏坏。4、 数据备份份的注意意事项1) 制定备份份策略。根根据企业业对数据据安全的的实际需需要来制制定适合合的备份份方案和和策略。2) 将备份介介质存储储在异地地。备份份后的介介质一定定要保存存在异地地或防火火、防水水、防磁磁的保险险箱内。3) 定期清洁洁备份设设备。由由于频繁繁进行备
32、备份操作作，清洁洁备份设设备是保保证备份份质量的的关键。4) 使用合格格的备份份介质。对对备份介介质的读读写操作作会造成成一定的的磨损，当当出现损损坏或老老化时要要及时更更换，制制定备份份介质轮轮换策略略。5) 选用有报报警功能能的备份份设备。用用户可以以检测备备份设备备的状态态是否正正常。6) 每两三个个星期检检查备份份介质，并并从中恢恢复一些些文件，从从而得知知备份文文件是否否处在可可恢复的的状态。3.2.2 数数据备份份策略备份策略略指确定定需备份份的内容容、备份份时间及及备份方方式。各各个单位位要根据据自己的的实际情情况来制制定不同同的备份份策略。企企业可以以选取的的备份策策略有以以下
33、三种种。1、 完全备份份对系统中中的数据据进行完完全备份份。例如如，星期期一用一一盘磁带带对整个个系统进进行备份份，星期期二用另另一盘磁磁带对整整个系统统进行备备份，依依次类推推。这种种备份策策略的好好处是当当发生数数据丢失失的灾难难时，只只要用一一盘磁带带（灾难难发生前前一天的的备份磁磁带），就就可以恢恢复丢失失的数据据。然而而它亦有有不足之之处。首首先，由由于每天天都对整整个系统统进行备备份，造造成备份份的数据据大量重重复，这这些重复复的数据据占用了了大量的的磁带空空间，这这对用户户来说就就意味着着增加成成本。其其次，由由于需要要备份的的数据量量较大，因因此备份份所需的的时间也也就较长长。
34、对于于那些业业务繁忙忙、备份份时间有有限的单单位来说说，选择择这种备备份策略略是不明明智的。2、 增量备份份增量备份份是进行行一次完完全备份份，然后后在接下下来只对对当天新新的或被被修改过过的数据据进行备备份。这这种备份份策略的的优点是是节省了了磁带空空间，缩缩短了备备份时间间。但它它的缺点点在于：当灾难难发生时时，数据据的恢复复比较麻麻烦。3、 差分备份份差分备份份是管理理员先进进行一次次系统完完全备份份，然后后在接下下来的几几天里，管管理员再再将当天天所有与与完全备备份后发发生改变变的数据据（新的的或修改改过的）备备份到磁磁带上。差差分备份份策略在在避免了了以上两两中策略略的缺陷陷的同时时
35、，又具具有了它它们的所所有优点点。首先先，它无无需每天天都对系系统做完完全备份份，因此此备份所所需时间间短，并并节省了了磁带空空间；其其次，它它的灾难难恢复也也很方便便。系统统管理员员只需两两盘磁带带，即完完全备份份磁带与与灾难发发生前一一天的磁磁带，就就可以将将系统恢恢复。在实际应应用中，备备份策略略通常是是以下三三种的结结合。例例如在每每周一至至周六每每天进行行一次增增量备份份或差分分备份，每每周日进进行全备备份，每每月底进进行一次次全备份份，每年年底进行行一次全全备份。3.2.3 数数据库的的备份1、 数据库备备份技术术概述当企业用用户使用用一个数数据库时时，总希希望数据据库的内内容是可
36、可靠的、正正确的，但但由于数数据库在在传输、存存储和交交换的过过程中出出现计算算机系统统的故障障（包括括机器故故障、介介质故障障、误操操作等），同同时，计计算机系系统也会会发生意意料不到到的事故故，数据据库也可可能遭到到破坏，这这时如何何尽快恢恢复数据据就成为为当务之之急。如如果平时时对数据据库做了了备份，那那么此时时恢复数数据就显显得很容容易。如如果没有有事先采采取数据据备份和和数据恢恢复措施施，数据据就会丢丢失，将将造成惨惨重的损损失。数数据的备备份与恢恢复作为为信息安安全的重重要内容容不可忽忽视。因因此，数数据的备备份与恢恢复也是是数据库库系统的的一个安安全功能能。2、 数据库的的备份大
37、多数操操作系统统都带有有备份工工具，例例如，在在Winndowws 220000中，通通过在桌桌面上单单击开开始/程序序/附件/备备份工具具/备份选项，单单击备备份向导导按扭扭，启动动系统的的备份向向导。其其它操作作系统亦亦可以通通过系统统备份工工具对数数据库进进行备份份，也可可以利用用专用的的备份工工具。第4章 网络服服务与应应用系统统的安全全4.1 Webb服务器器安全在计算机机网络应应用服务务中，WWeb技技术被广广泛的使使用，给给人们的的生活、工工作和学学习带来来了很大大的方便便，同时时在这个个虚幻的的网络世世界里，经经常出现现一些WWeb站站点被攻攻击、被被篡改、信信息泄露露等，这这
38、就使得得能否保保证使用用者的安安全和隐隐私成为为Webb应用中中的一个个主要问问题。WWeb的的安全性性是Weeb应用用中必须须考虑的的重要问问题。Web（WWorlld WWidee Weeb）又又称万维维网，其其基本结结构是采采用开放放试的客客户机/服务器器(Clliennt/SServver)结构，其其基本工工作原理理如图44-1所所示。 图图 4-1客户户机/服服务器工工作模式式4.1.1 WWeb的的安全概概述通常的网网络安全全总是设设置各种种各样的的限制,使得不不明身份份的人无无法获得得非授权权的服务务，但是是Webb服务器器恰恰相相反，它它希望接接受尽可可能多的的客户，对对客户几
39、几乎没有有限制和和要求，这这样，相相当于其其他网络络服务器器，Weeb是最最容易受受到攻击击的。WWeb安安全风险险一般可可分为三三类，即即对Weeb服务务器及其其相连LLAN的的威胁、对对服务器器和客户户机之间间的通信信信道的的威胁。从从Web服务务器角度度来将，服服务器风风险比WWeb浏浏览器用用户更大大，服务务器受攻攻击要比比客户机机受攻击击危险的的多。4.1.2 WWeb站站点的安安全和漏漏洞1、Weeb站点点主要安安全问题题1) 未经授权权的存取取动作。该该类问题题指的是是用户未未经授权权就使用用系统资资源，即即使未对对系统造造成破坏坏，也侵侵犯了隐隐私。2) 窃取系统统的信息息。该
40、类类问题指指的是攻攻击者非非法访问问、获取取目标机机器（WWeb服服务器或或者浏览览器）上上的敏感感信息；或者中中途截取取Webb服务器器和浏览览器之间间传输的的敏感信信息；或或者由于于配置、软软件等的的原因无无意泄露露的敏感感信息，如如账号、密密码和客客户资料料等。这这种行为为给用户户造成非非常大的的损失。3) 破坏系统统。该类类问题指指的是入入侵者进进入系统统后，破破坏系统统的重要要数据、系系统运行行的重要要文件，从从而导致致Webb站点系系统无法法正常运运行。4) 拒绝服务务。该类类问题指指的是攻攻击者的的直接目目的不在在于侵入入计算机机，而是是在短时时间内向向目标发发送大量量的正常常的
41、请求求数据包包并使得得目标机机器维持持相应的的连接，或或者发送送需要目目标机器器解析的的大量无无用的数数据包。使使得目标标机器资资源耗尽尽或是应应接不暇暇，根本本无法响响应正常常的服务务。这种种威胁不不容易抵抵御。5) 非法使用用。该类类问题指指的是入入侵者利利用系统统从事非非法用途途，如存存放、发发布非法法信息。6) 病毒破坏坏。该类类问题指指的是由由于不小小心执行行病毒程程序、系系统存在在安全漏漏洞被网网络病毒毒攻击等等，从而而导致系系统数据据被破坏坏、被窃窃取、甚甚至系统统崩溃。2、Weeb站点点典型安安全漏洞洞1) 操作系统统类安全全漏洞。该该类问题题指的是是非法文文件访问问、远程程获
42、得管管理员权权限、系系统后门门等漏洞洞。2) 网络系统统的安全全漏洞。该该类问题题指的是是网络结结构不合合理，如如Web服务务器被监监听、路路由器出出现错误误的配置置、交换换机有后后门口令令或允许许未授权权用户绕绕过认证证系统、防防火墙防防外不防防内以及及防火墙墙设置不不当。3) 应用系统统的安全全漏洞。该该类问题题指的是是计算机机网络中中使用的的TCPP/IPP协议以以及WWWW SServver、mmaill Seerveer、FFTP Serrverr 等存存在的安安全漏洞洞。4) 网络安全全防护系系统漏洞洞。该类类问题指指的是网网络安全全意识不不强，缺缺少信息息系统安安全管理理的规范范
43、，缺少少安全测测试、检检查、监监控，缺缺少信息息发布的的审核和和管理，缺缺少对网网络安全全事件的的响应，网网管人员员的技术术水平不不高。5) 其他安全全漏洞。该该类问题题指的是是薄弱的的认证环环节，复复杂的设设置和控控制、易易被监视视和欺骗骗等漏洞洞。 不不能对电电子邮件件、下载载文件和和浏览的的恶意网网站进行行有效控控制。4.1.3 WWeb安安全预防防措施1） 增强服务务器操作作系统的的安全，密密切关注注并及时时安装系系统及软软件的最最新补丁丁。2） 建立良好好的账号号管理制制度，限限制在WWeb服务务器开账账户。使使用足够够安全的的口令，在在口令长长度及定定期更改改方面做做出要求求，防止
44、止被盗用用，并正正确设置置用户访访问权限限。3） 对服务器器进行远远程管理理时，使使用如SSSL等等安全协协议，避避免使用用Tellnett、FTTP等程程序，因因为这些些程序是是以明文文形式传传输密码码的，容容易被监监听。并并严格控控制远程程管理员员身份的的使用，仅仅在绝对对需要时时，才允允许使用用具有高高授权的的操作。4） 使用入侵侵检测系系统，监监视系统统、事件件、安全全记录和和系统日日志，以以及网络络中的数数据包，定定期查看看服务器器中的日日志loogs文文件，分分析一切切可疑事事件，对对危险和和恶意访访问进行行阻断、报报警等响响应，并并进行必必要的修修补和控控制。5） 限制可访访问用
45、户户的IPP或域名名。在WWeb服务务器上可可以根据据IP地地址或域域名来限限制用户户对资源源的访问问，可以以限制哪哪些IPP或域名名可以访访问，哪哪些IPP或域名名不可以以访问。6） 使用防火火墙，对对数据包包进行过过滤，禁禁止某些些地址对对服务器器的某些些服务的的访问，并并在外部部网络和和Web服务务器中建建立双层层防护。利利用防火火墙，将将服务器器中与WWeb服务务器无关关的服务务及端口口阻隔，进进一步增增强开放放的服务务的安全全性。7） 使用漏洞洞扫描和和安全评评估软件件，对整整个网络络进行全全面的扫扫描、分分析和评评估，从从用户账账户约束束、口令令系统、访访问控制制、系统统监测、数数
46、据完整整和数据据加密等等多方面面进行安安全分析析和审计计。建立立和提高高用户的的安全策策略，及及时发现现并弥补补安全漏漏洞。4.2 域名系系统的安安全性域名系统统(Doomaiin NNamee Syysteem-DDNS)是一个个分布式式数据库库.它把把主机名名翻译成成IP地地址,把把IP地地址翻译译成主机机名。对对于DNNS服务务器而言言可用性性是最为为重要的的。在现现实生活活中经常常定义攻攻击者入入侵系统统获取数数据为一一个安全全问题，但但是对DDNS服服务器来来说，遭遭到了拒拒绝服务务攻击则则是一件件更重要要的问题题。失去去DNSS服务器器的话，任任何在IInteerneet网络络上的
47、人人将不能能够再使使用域名名找到所所要访问问的服务务器。更更严重的的是，没没有DNNS服务务，所有有的邮件件发送都都将失败败，而内内部网络络将由于于解析域域名的失失败而失失去和外外部网络络的联系系。4.2.1 DDNS的的安全威威胁1、 拒绝服务务攻击网络攻击击者攻击击DNSS服务器器、路由由器和防防火墙，是是DNSS服务器器无法回回应正常常的DNNS查询询的请求求。2、 设置不当当的DNNS将泄泄露过多多的网络络拓扑结结构如果DNNS服务务器设置置为允许许对任何何人都进进行区域域传输的的话，那那么整个个网络架架构中的的主机名名、主机机IP列列表、路路由器名名、路由由器IPP列表甚甚至包括括机
48、器所所在的位位置等信信息很容容易被窃窃取，通通过分析析这些信信息可以以很清楚楚地得到到网站内内部的网网络拓扑扑结构。3、 利用被控控制的DDNS服服务器入入侵整个个网络当一个入入侵者控控制了DDNS服服务器后后，他就就可以随随意篡改改DNSS的记录录信息，甚甚至使用用这些被被篡改的的记录信信息来达达到进一一步入侵侵整个网网络的目目的。比比如，将将现有的的DNSS记录中中的主机机信息修修改成被被攻击者者自己控控制的主主机，这这样所有有达到原原来目的的地的数数据包将将被重定定位到入入侵者手手中，DDNS带带来的威威胁会涉涉及到整整个网络络系统破破坏了整整个网络络的安全全完整性性。4.2.2 名名字欺骗骗技术当允许用用户执行行远程系系统命令令时，系系统管理理