时间：2023-09-20 18:19:16
导语：在网络安全入门的撰写旅程中，学习并吸收他人佳作的精髓是一条宝贵的路径，好期刊汇集了九篇优秀范文，愿这些内容能够启发您的创作灵感，引领您探索更多的创作可能。
2007年，谈剑峰发起成立众人科技，投身于中国第一代动态密码产品的研发和生产。众人科技成立10年来，坚持“自主研发、 自主设计、 自主生产”的“国产化”发展战略，申报国家专利过百项，核心技术填补多项国内空白，达到国际同类产品先进水平，是国产信息安全标准制定的积极参与者和推动者。
谈起创办众人科技的初衷，谈剑峰笑称是打游戏打出来的。
“国产化”动态密码第一人
1997年，作为核心创始人之一，谈剑峰创建了当时被称为中国网络安全界“黄埔军校”的民间网络安全技术组织“绿色兵团”。之后他创办过网站，到香港做过投行。2005年，网游“魔兽世界”登陆中国，谈剑峰也和朋友们组队竞技。然而，打游戏的过程中，他发现“账号+静态密码”的安全级别太低，“队员经常玩着玩着人就没了，一问才知道，号被盗了！”
受到国外动态密码技术的启发，谈剑峰决定创业。
像绝大多数的创业公司一样，众人科技初创之路很艰辛。谈剑峰和他的团队窝在一个民宅里没日没夜地开发技术，当产品初具模型之后，后续的资质问题却成了跨不过去的坎儿。
。“当时国内对信息安全的投入和重视都不够。”剑峰向《中国经济周刊》记者回忆道。
网络安全密码技术是个特殊的领域，国家有很高的准入门槛，当时众人科技的动态密码技术在国内尚属首家，产品要想进入市场，必须通过层层评审和检测，获得各个主管部门的许可。
谈剑峰带领着他的团队，跑了专家评审会、参加各项答辩，仅有关部门的技术测试，就做过297项。经过整整4年的努力，2010年，谈剑峰终于拿齐所有牌照。
“iKEY多因素动态密码身份认证系统”成为了中国第一代自主研发的动态密码技术和产品，并通过中国科学院科技查新中心评定， 属“填补国内空白”，达到“国际同类先进水平”。随后，众人科技又成功设计出国内第一款可应用于动态口令产品和挑战应答产品的超低功耗专用安全芯片。
“填补空白”意味着是新技术、新产品，也必然会遭遇市场的质疑，尤其是在重要的金融领域。谈客户时，谈剑峰被问到最多的一个问题就是：“你们有没有案例？”他当时的回答很无奈：“你们不给我们机会，我们就永远没有案例啊！”
但是，怀着对自主研发的核心技术的信心，谈剑峰选择了坚持。终于，他成功将动态密码技术和产品引入金融等各行业，实现了这一国产新技术从无到有，并最终广泛应用，带动了国产动态密码产业的整体发展。作为动态密码国产化的第一家企业，谈剑峰带领众人科技，牵头制定了该领域的国家标准和相关行业标准。“国家标准”荣获2014年“国家党政密码科学技术进步三等奖”，并成为国内身份认证领域首个被国际上采用的技术标准。
SOTP技术填补国内空白
此后，众人科技自主研发了基于云技术的统一身份认证平台、智慧城市公共区域安全网络系统等，均获得业内好评。其中，SOTP移动互联网创新密码技术更是创新地实现了密钥与算法的融合，再次填补了国内空白，并获得国际发明专利，实现了认证安全性与便捷性的平衡。
1994年，中国第一次全功能接入国际互联网，自此我国不断加快互联网建设的步伐。数据显示，当前中国网民已逾7亿，规模跃居世界第一。在网络快速发展的今天，网络身份管理体系正是网络空间安全的基石。
然而，网络身份管理体系面临着个人信息泄露、身份冒用、账号盗窃等一系列安全问题。据谈剑峰提供的安全检测平台的数据显示，2015年扫描的231.2万个各类网站中，存在安全漏洞的网站有101.5万个，占扫描总数的43.9%；存在高危安全漏洞的网站有30.8万个，占扫描总数的13%。
《中国网民权益保护调查报告（2016）》显示，2016年，有37%的网民因收到各类诈骗信息而遭受经济损失，近一年来全国网民因权益被侵犯造成的经济损失人均133元，总体经济损失高达915亿元。
谈剑峰介绍，在我国网络安全领域，一些重要网络安全产品和技术依然有赖于进口，由于技术不掌握，很难做到安全可控的管理。保障互联网安全，就必须突破核心技术这个难题。
众人科技于2015年年底发明创新密码技术SOTP（Super One-Time-Password），即多因素动态可重构的确定真实性认证技术，在无需增加硬件SE的前提下，采用软件方式解决了移动设备中存储密钥的关键性问题。同时基于“一人一密”+“一次一密”+“一时一密”的安全特性，保护移动互联网用户的身份认证安全、个人信息安全以及应用数据安全，并实现了云端统一化认证。
关键词：计算机 网络 安全 防范措施
随着计算机技术和Internet建设的发展与完善，计算机网络安全问题逐步成为人们关注和讨论的焦点。计算机网络技术已经深入到社会的各个领域，比如政府机关、学校、医院、社区及家庭等，人们对计算机网络的依赖性越来越大，但随之而来的是，计算机网络安全也受到前所未有的威胁，计算机病毒无处不在，黑客的猖獗，都防不胜防。本文分析了影响网络安全的主要因素及攻击的主要方式，从管理和技术两方面就加强计算机网络安全提出相应的安全防范措施。
1 计算机网络安全的定义
国际标准化组织（ISO）将“计算机安全”定义为：“为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄漏”。计算机网络安全包括物理安全、软件安全、数据安全和运行安全四个方面。物理安全指系统设备及相关设施受到物理保护，免于破坏、丢失等。软件安全是指网络软件以及各主机、服务器、工作站等设备所运行的软件安全。信息安全是指网络中所存储和传输的数据的安全。运行安全是指网络中各个信息系统能正常运行并能正常地通过网络交流信息。
网络安全的目的就是为了确保网络系统的保密性、完整性和可用性。保护计算机、网络系统的硬件、软件及其系统中的数据，使之不遭到破坏、更改、泄露，确保系统能连续可靠正常地运行，使网络服务不中断。
2 计算机网络面临的威胁
计算机网络所面临的威胁是多方面的，既包括对网络内部的威胁，也包括对网络外部的威胁，同时也与计算机操作系统本身有关。归结起来，主要有以下几方面：
2.1 计算机网络的脆弱性
计算机系统的脆弱性主要来自计算机操作系统的不安全性，在网络环境下，还来源于网络通信协议的不安全性，有的操作系统根本就没有安全防护措施，如dos、windows95等操作系统，它们不能作为安全性要求高的服务器的操作系统。Unix和windows nt/2000server/2003
serve/2005serve操作系统主要用于服务器上，但它们也存在着安全漏洞，都存在着超级用户，如果入侵者得到了超级用户口令，那么整个系统将完全受制于人，这样系统就面临巨大的危险。
2.2 内部网用户的安全威胁
来自内部用户的安全威胁远大于外部网用户的安全威胁，这些用户缺乏安全意识，无意识的操作失误，使系统或网络误操作而崩溃，或安全意识不强，将用户帐号泄漏，或操作员对系统安全配置不当造成安全漏洞等都会对网络安全带来威胁和隐患，给他人带来可乘之机，对网络系统造成危害。
2.3 网络外部的安全威胁
除了受到网络内部的安全威胁，网络还受到外界的各种各样的威胁：
2.3.1 物理威胁：有偷窃、垃圾搜寻和间谍活动。偷窃办公室电脑是偷窃者的主要目标，计算机中存储的数据信息的价值远远超过设备的价值，因此，必须做好严格的防盗措施保证计算机不被偷。有时办公垃圾也会泄露商业机密。
2.3.2 网络威胁：如局域网的电子窃听，如假冒网站电子欺骗，网络设备的因素也可以构成网络的安全威胁，如通过电话线入侵网络用户等。
2.3.3 身份鉴别：是指计算机判断用户是否使用它的一种过程，它普遍存在于计算机系统中，实现的方式各种各样，有的功能十分强大，有的比较脆弱。其中，口令就是一种比较脆弱的身份鉴别手段，功能不是很强，但实现起来比较简单，所以被广泛采用。身份鉴别造成的威胁有口令圈套、口令破解和算法缺陷等。口令圈套是网络安全的一种诡计，与冒名顶替有关，靠欺骗来获取口令。比如登录欺骗，它通过编写一个代码模块，运行起来和登录屏幕一模一样，并把它插入到登录过程之前，这样用户就会把用户名和登录口令告知程序，这个程序就会把用户名和口令保存起来，然后告诉用户登录失败，并启动真正的登录程序，这样用户就不容易发现这个欺骗。口令破解是用密码字典或其他工具软件来暴力破解口令。如口令用生日、电话号码、名字等很容易被破解。口令输入过程必须满足一定条件才能正常工作，当条件变化时，口令算法程序就可能工作不正常了，很容易被人破解，并进入系统，这就是算法缺陷带来的安全隐患。
2.3.4 编程。是指通过编制程序代码实施对系统的破坏。编程威胁主要有计算机病毒和特洛伊木马等。病毒是一种能自我复制的程序代码，具有感染性和破坏性，使系统瘫痪，也能在网络上不断传播，危害Internet的安全。特洛伊木马程序一旦被安装到计算机上，便可按编制者的意图行事。能摧毁数据，创建新用户和口令等。
2.3.5 系统漏洞。系统漏洞是指应用软件或操作系统软件在逻辑设计上的缺陷或错误，被不法者利用，通过网络植入木马、病毒等方式来攻击或控制整个电脑，窃取您电脑中的重要资料和信息，甚至破坏您的系统。在不同种类的软、硬件设备，同种设备的不同版本之间，由不同设备构成的不同系统之间，以及同种系统在不同的设置条件下，都会存在各自不同的安全漏洞问题。产生漏洞的原因可以分成下面三种因素：
①人为因素：编程人员在编写程序过程中，为了实现一些特殊的目的，有意在程序代码的隐藏处保留后门。
②能力因素：受编程人员的能力、经验和当时安全技术所限，在程序中难免会有不足之处，轻则影响程序效率，重则导致非授权用户的权限提升。
③硬件因素：由于硬件的原因，使编程人员无法弥补硬件的漏洞，从而使硬件的问题通过软件表现出来，例如软件的不兼容问题。
3 计算机网络安全的防范措施
3.1 操作系统安全技术
首先，及时安装“补丁”程序。当系统后，发现有些程序中有漏洞，能被黑客利用而攻击用户，所以相应的措施来对付这些黑客，用一些应用程序来修复这些漏洞，称为“补丁程序”，安装这些补丁程序后，黑客就不会利用这些漏洞来攻击用户，从而杜绝同类型病毒的入侵。
其次，做好系统安全设置。如停掉guest帐号，限制不必要的用户数量，创建两个管理员帐号，将系统默认帐号改名，创建一个陷阱帐号（将默认管理员帐号的权限设置最低，什么事都干不了的那种），使用安全密码，合理设置浏览器的安全属性，彻底删除掉缺省共享，停掉不必要的服务等。
3.2 防火墙应用技术。防火墙是目前最为流行、使用最广泛的一种安全技术，它的核心思想是在不安全的网络环境中构造一个相对安全的子网环境。它将内部网和外部网分开，限制被保护的网络与互联网及其他网络之间进行信息存取、传输等操作。它一方面对经过他的网络通信进行扫描，过滤掉一些可能攻击内部网络的数据。另一方面可以关闭不使用的端口，禁止特定端口监听通信，封锁特洛伊木马。可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。
3.3 网络病毒的防范。与传统类型的病毒相比，网络类型病毒有其特殊性，在网络环境下，网络病毒可以按指数增长模式进行传播。病毒侵入计算机网络，可以导致计算机效率急剧下降、系统资源遭到严重破坏，短时间内造成网络系统瘫痪。因此网络环境下的病毒防治已经成为计算机防毒领域的研究重点。我们除了安装全方位的网络反病毒软件，养成定期升级软件和扫描文件系统的好习惯外，还应该对移动存储设备，在使用前进行查毒，对从网上下载的文件和电子邮件中的附件打开前也要杀毒，不使用或下载来源不明的软件，不上不正规的网站。一旦在网上发现病毒，立即通知所有用户下网，关掉文件服务，设法立即清除，确信病毒被彻底清除后，重新启动网络和工作站。
3.4 数据加密技术。数据加密技术是对信息进行重新编码，从而隐藏信息内容，使非法用户无法获取信息的真实内容的一种技术手段。数据加密技术是为提高信息系统及数据的安全性和保密性，防止秘密数据被外部破析所采取的主要手段之一。数据加密技术按作用不同可分为数据存储，数据传输、数据完整性的鉴别，以及密钥的管理技术。数据存储加密技术是防止在存储环节上的数据丢失为目的，可分为秘文存储和存取两种，数据传输加密技术的目的是对传输中的数据流加密。数据完整性鉴别是对介入信息的传送、存取，处理人的身份和相关数据内容进行验证，达到保密的要求，系统通过对比验证对输入的特征值是否符合预先设定的参数，实现对数据的安全保护。
3.5 网络访问控制。访问控制室网络安全防范和保护的主要策略。它的主要任务是保证网络资源不被非法使用和访问。它是保证网络安全最重要的核心策略之一。访问控制涉及的技术比较广，包括入网访问控制、网络权限控制、目录级控制以及属性控制等多种手段。
3.6 数据库的备份和恢复。数据库的备份和恢复是数据库管理员维护数据安全性和完整性的重要操作。备份是恢复数据库最容易和最能防止意外的保证方法。恢复是在意外发生后利用备份来恢复数据的操作。有三种主要备份策略：只备份数据库、备份数据库和事务日志、增量备份。
3.7 防止黑客攻击的措施。在网络环境下，由于种种原因，网络被入侵和攻击是难免的，可谓是防不胜防，为了避免可能因入侵和攻击而造成的各种损失，我们最好是防止其入侵，防患于未然，如果我们经常注意下面这些情况，我们就可以大大降低被木马攻击的几率：不要执行任何来历不明的软件；不轻信他人；不要随便下载软件；不要随便留下自己的个人资料；谨慎使用自己的邮箱；最好使用第三方邮件程序；始终显示文件的扩展名；运用反木马实时监控程序；给电子邮件加密；隐藏ip地址；不共享文件。当我们发现有黑客入侵后，我们一般采取的措施是：首先要杀死这个进程，切断黑客与系统的联系。必要时切断网络，同时注意保存现场，以便事后调查原因，或进行分析。其次，使用安全工具跟踪这个链接，找出黑客的来路和身份，询问其要做什么，并发出警示，如果破坏严重时，可向公安部门和信息安全部门报告，通过司法手段解决问题。再次，管理员也可以使用一些工具来监视黑客，观察他们在做什么。还有就是修复安全漏洞并恢复系统，不给黑客可乘之机。
4 结束语
网络安全问题是一个综合性的问题，它涉及到技术、管理和使用等多方面的因素，因此网络安全问题的解决方案也应该综合多方面来考虑实施，不但有物理方面的措施，还要有逻辑技术方面的措施，当然还有系统本身的安全问题。只有完备的系统开发过程、严密的网络安全风险分析、严谨的系统测试、综合的防御技术实施、严格的保密政策、明晰的安全策略以及高素质的网络管理人才等各方面的综合应用，才能保证信息的完整性和正确性，为网络提供强大的安全服务，这也是网络安全领域的迫切需要。
参考文献：
[1]高永强等.网络安全应用技术大典.北京：人民邮电出版社，2007.
[2]龙冬阳.网络安全技术及应用[M].广州：华南理工大学出版社，2006.
[关键词]windows 2000 安全漏洞 网络安全
Microsoft Windows 2000(微软视窗操作系统2000,简称Win2K),是由微软公司发行于1999年底的Windows NT系列的32位视窗操作系统。起初称为Windows NT 5.0。英文版于1999年12月19日上市,中文版于次年春上市。Windows 2000是一个可中断的、图形化的界面向商业环境的操作系统,为单一处理器或对称多处理器的32位Intel x86电脑而设计。
一、windows2000网络安全的设计
作为企业级网络系统,windows2000在安全特性方面的设计注重了三个方面:(1)对于基于internet的新型企业的支持,帮助他们突破原有的企业网络和internet的界限,满足移动办公、远程工作和随时随地接入全球数字神经系统(internet)进行通信和电子商务的需要。新一代的Extranet应用由此应运而生。(2)微软在windows2000中提供的是一个安全性框架,并不偏重于任何一种特定的安全特性。新的安全协议、加密服务提供者第三方的验证技术,可以方便地结合到windows2000的“安全服务提供者接口”中,供用户选用。通过安全服务者接口,windows2000实现了应用协议和底层安全验证协议的分离.不管是NTLM、Key beros、Secure Channel(Schannel,是web访问的常用的验证方法),它们对于应用层来说都是一致的。应用厂商还可以通过微软提供的Platform SDK产品包中Security API来发自己的验证机制。(3)Windows2000意识到用户对于向下兼容的需要,完全无缝地对windows NT4.0的网络提供支持,提供对windows NT4.0中采用的NTLM(NT LAN Manager)安全验证机制的支持。用户可以选择依照自己的步调迁移到windows2000中对替代NTLM的Kerberos安全验证机制。
二、 Windows 2000网络中的漏洞分析
当光标移至Windows 2000登录界面的用户名输入框时,按下[ctrl+Shift[键,这时在默认的安装状态下会出现输入法状态条,用鼠标右键单击输入法状态条,在出现的对话框中选择[帮助]一[操作指南]或[输入法入门](微软的拼音输入法和智能ABC没有这个选项),在出现的操作指南或输入法入门窗口中会出现几个按钮,关键是[选项]按钮。
如果是未安装Service Packl或IE5.5的Windows 2000系统,用鼠标左键单击[选项]按钮,在出现的对话框中选择“主页”,这时在已出现的帮助窗口的右侧会出现IE浏览器几面中的此页不可显示页面,其中有个检测网络设置的链接,单击它就会出现“网络设置”选项,可以对网络设置甚至控制面板做任何修改.用鼠标左键单击[选项]按钮,在出现的对话框中选择“Internet”选项,也可以对主页、联结、安全、高级选项等做任何修改。最严重的是用鼠标右键单击[选项]按钮会出现一个对话框,选择跳至URL,这时会出现一个对话框,其中有一个跳至该URL输入框,在其中输入想看到的路径比如D:\那么这时在已出现的帮助窗口的右侧会出现资源管理器D盘的界面,这时已经是系统管理员权限,可以对看到的数据做任何的操作,并且绕过了Windows 2000的登录验证机制。
此漏洞存在于一切具有多种输人法的Windows 2000系统中,经过这样不正常的操作,正常登陆以后还会随即出现各种程序运行错误。解决方法:在控制面板中选择区域选项中的输入法区域选项,选中启用任务栏上指示器复选框,留下最擅长的一种输人法其余的输入法全部删除,其中内码输入法一定要删除!因为下述方法对内码输入法无效,然后在任务栏上用鼠标左键单击输入法图标的必行图标选择关闭输入法状态。
三、Windows 2000操作中存在的隐患
微软远程服务时一种用于远程登录到大学、政府机关以及其他机关网站的系统或邮件服务器上的协议。视窗2000内运行的远程服务软件所出现的安全漏洞可能导致3种截然不同的安全隐患:拒绝服务、权限滥用、信息泄露。尽管安全漏洞可能导致DOS攻击,使得系统无法向合法用户提供远程登录服务,但由于Windows 2000安全漏洞造成的DOS攻击一般不会使服务器陷入崩溃状态,或者使攻击者进入系统的内部。最严重的情况是:可能会重新启动远程服务软件14%。解决方法:到微软网站下载补丁软件进行修补。除了DOS攻击之外,另外两种安全权限都涉及到系统管理权限的问题.这个漏洞有可能帮助攻击者通过键盘输入的一个系统组建便在无需登录的情况下就完全控制Windows 2000系统。这样攻击者便可以在计算机上执行任意操作。攻击者可以在计算机上添加用户、安装或删除系统组件、添加或删除软件、破坏数据,或执行其他操作解决方法是下载相应的补丁软件来修补。
参考文献:
[1]赵一鸣.计算机安全[M].北京:电子工业出版社,2003
1.1非授权型访问，是指在没有获取相关批准的情况下就私自运用相关的计算机网络和资源
主要是指用来编制与调试能够将网络的另一边联系起来的计算机程，从而获得非法或缺少授权的访问权限。比如故意跳过系统的访问管控系统，利用不正当方式运用相关的网络设施与资源，或缺少必要授权的访问数据。主要有以下几种类型：攻击，伪造身份，在未经授权的合法用户的非法操作，非法用户的网络接入系统的违法行为等。
1.2数据丢失，是指各类较为敏感的信息遭到泄露或丢失
信息的完整性遭到损坏，也就是运用不合法的手段对相关信息进行访问于操作，对相关信息实施删除、插入、修改等活动，从而令用户不能够顺利工作，进而满足攻击者的非法目的。此外还有黑客攻击，最终导致财务表格和各类重要数据均被修改或损坏，进而给相关企业造成巨大的经济损失。更有甚者，令信息失效，系统崩溃，进而使整个网络系统都无法顺利运转，这种情况所引发的后果比账号被盗所遭受的后果还要严重。
1.3后门和木马程序
所谓后门与木马程序，主要是指那些能够运用某种软件实现对其余计算机进行管控的程序，其呈现出隐秘性强与非授权等特征。如果某台计算机安装了后门或木马程序就能够轻而易举窃取用户的信息，包括用户输入的账号密码，并发送这些信息，或者允许远程计算机的用户通过网络窃取计算机中的文件，并通过网络控制控制这台计算机，更加恐怖的是，此计算机能够对整个网络系统实现全面管控，进而为黑客提供各种便利。
2关于计算机网络的各类安全预防方法
关于计算机网络安全技术，其是一项十分庞大且繁杂的系统工程。而不断进步的技术与持续改进的安保方式能够对网络安全进行保障。从技术层面上讲，网络系统安全主要由如下部分构成：安全的应用机制、安全的操作系统、网络监测、防火墙、入侵监察、数据加密、系统还原、安全检测等。其中，无论哪一个单独组件都不能确保计算机网络安全。
2.1防火墙技术
关于防火墙技术，其能够对网络之间的互相访问方面的管控进行强化，并避免其余用户利用不法方式对内部网络进行入侵和获取相关的网络资源，进而实现对内部网络安全的保卫。此外，防火墙技术也有若干类，主要包括：包过滤型、型与监测型。（1）包过滤。包过滤型的防火墙产品属于入门级产品，其中主要运用到网络的分包输送法。在网络中，需要传送的信息通常都是用“包”作为单位，从而实施信息传送活动的，其中，信息会被分成若干个数据包，各个数据包内都存有一定量的数据，比如信息的目的地、信息源地址、目的端口等等。而防火墙则利用产看数据包中的实际数据的方式，对信息的信任度进行判定，如得出相关信息的来源是部分危险的网站，则禁止此部分信息进入。包过滤型防火墙技术的优点是简单实用成本低，缺点是只根据特定的信息来确定数据包是否安全，无法识别恶意侵入。（2）型。关于型防火墙，其也叫服务器，在安全方面比包过滤型表现的更为优秀。此外，服务器处在服务器与客户端中间的地方，在客户端和服务器进行通信活动时，第一步是把相关请求传送给服务器，之后由服务器结合实际需求向服务器进行信息索取活动，最终由服务器负责将获取的信息传送至客户端。所以服务器实际上就是客户端与服务器的媒介。型防火墙具有安全性和可靠性高的优势，但也存在设置比较繁琐，且在很大程度上影响到总体性能的劣势。（3）监测型。关于监测型防火墙，其可以实现对各层信息的实时监测与自行解析，最终对是否存有攻击现象进行明确。此外，这种产品通常会自带探测装置，并装配在服务器与网络的部分重要节点内，不但能够监察到外部的攻击活动，还能够实现对内部的蓄意损坏活动的预防。
2.2数据加密技术
和防火墙同时运用的包括信息加密技术，对相关信息进行加密能够对数据的机密性进行保障。从功能的角度出发，可以将信息加密技术分成信息传送、信息保存、信息完整程度的判定、密钥管控四种技术。信息加密技术属于信息流传送的加密方式；信息保存加密技术的主要目标是避免信息在存储阶段出现丢失现象，此技术可继续分成存取管控与密文保存两类，其中，存取管控主要是对用户的各类权限与资格进行审核与限制，从而避免缺少相应授权的不法分子对相关信息进行非法访问或部分合法用户访问或保存超越自身权限的信息，而密文保存通常是利用加密算法转换、加密模块与额外密码等方式进行实施；信息完整程度的判定技术的主要目标是针对相关数据的保存、传输、操作者身份与相关的信息内容实施验证活动，进而实现保密的目的，通常涵盖口令、身份、信息等项判定，系统根据对验证目标输入的特征值和之前设置的参数是否相符，实现对数据的安全保护；密钥管控技术的主要目标是实现信息的便捷运用，通常是保密与与盗窃的重要目标，此外，密钥的媒体形式主要有磁卡、磁盘与半导体存储器等，而密钥的管控技术涵盖了密钥的出现、配置保存与替换、销毁等各个步骤的保密活动。
2.3防病毒技术
当前，对信息安全威胁最大的是计算机病毒。在计算机网络环境下，病毒能够实现快速传播，仅仅运用单机防病毒软件难以实现对计算机病毒的彻底消除，所以，结合网络中各类病毒攻击的可能性设计出针对性的防毒与杀毒软件，利用多层次与全方面的防毒系统配置，令网络能够在最大程度上实现对病毒的防御。此外，市场上的主流杀毒应用主要有瑞星杀毒软件、360卫士、卡巴斯基杀毒软件等，此类杀毒应用较为重视对病毒的防护，在检测到有病毒侵入当前网络后，杀毒应用会立即进行处理。
一、医院网络规划建设原则
医院网络系统的建设必须基于各种相关的技术原则，符合相关的行业规范，网络建设要遵循如下几个原则：
1. 安全性和可靠性
为保证医院各项业务能够顺利运行，必须保证网络系统的安全性和可靠性，减少或者避免系统故障的发生。强化医院网络结构的可靠性建设。综合运用硬件备份、冗余等技术来增强医院网络系统的安全性。
2. 先进性和实用性
在医院内部系统的建设时，采用先进的技术，结合医院其他设施，采用最新的网络技术以适应更高的数据、图像、视频（多媒体）的传输需要，保证医院网络系统始终处于先进性，在医院网络系统保持先进性的同时，还应保证网络系统的实用性，先进性建设不能脱离医院实际。
3.灵活性和可扩展性
计算机网络系统是一个处于动态变化中的系统，只有具备较强的灵活性和可扩展性的网络系统才能够满足实践发展的需要，灵活的网络系统可以增强和提高网络的韧性和可塑性。系统的可拓展性有利于系统的技术升级和更新换代。
4.开放性和互连性
网络系统的多变性决定了网络系统的开放性，开放性和互联性原则可以确保网络系统在结构上真正实现开放，包括各种局域网、广域网等，坚持统一规范的原则，从而为未来的发展奠定基础。
5.可管理性
由于医院的网络系统随着业务的不断发展，网络管理的任务必定会日益繁重。因此，在医院的网络设计中，僵持可管理性的原则。网络设备的智能化，设备的可替换性，同时结合先进的网络管理软件，实现网络系统的有效管理。通过先进的管理理念和管理手段，最终提升网络系统的资源配置效率。
二、不同功能区域信息点覆盖
医院的网络规划有别的简单的办公大楼的网络建设，因为医院的功能具有多样性和复杂性。根据医院的显示特点和医院未来业务的发展，同时在网络规划和建设过程中综合使用部门与医院基建部门的建议，不断变更覆盖需求，进行医院网络规划与建设。在医院网络工程建设施工过程中，必须注重医院信息点的覆盖，一方面要考虑医院未来信息系统的应用，另一方面也要也考虑医疗设备、智能设备的接入运用。总体来言，医院网络规划建设的功能区域网络信息点构建情况如表1。
结合医院的现实业务特征，基于网络建设安全性和可靠性的原则，此次方案的设计如图2所示：
三、网络构架结构情况
医院网络的构架必须运用二个核心交换机，同时结合交换机到核心交换机双链路，以确保核心交换机的问题不妨碍医院其他业务的运作。but根据业务性质的不同，可以将医院的网络设计细分为核心业务区、非关键业务区、服务器区、放射科区等四大部分，不同功能区的信息点覆盖大体有优先和无线两种，有线网主要用于满足医院医生和办公人员的工作需要，无线网主要用于满足智能设备的接入使用，具体功能划分如下。
（一）核心业务区：核心业务区必须保证网络系统的安全性和可靠性，网络的故障会严重影响医院正常业务的运行。因此，应该在该业务区的接入层交换机上采用双链路上行至会聚层交换机，这样其他支链上的业务故障都不会影响核心业务区的运作。
（二）非关键业务区：该区域包括住院病区以及一些行政科室，网络的微小故障对其业务的影响比核心业务要小。因此，该区域接入层交换机采用单链路上行至会聚层交换机，如链路中断或上行模块故障会导致业务中断。
（三）服务器区：该区域交换机的故障会严重影响医院其他业务的正常进行。因此，应该将这一区域的接入层交换机先堆叠后，再将双链路与核心交换机万兆联接在一起，这样主交换机的故障就不再影响主要业务的进行，若任一接入层交换机故障也可在短时间内将联接服务器的网络从故障交换机切换到非故障交换机。
（四）放射科区域：放射科PACS的信息传输量非常大，因此，接入层交换机采用二条万兆线路不通过会聚层交换机直接与核心交换机相联接，千兆传输带宽到桌面，保障图像传输的速度。
四、体会
（一）医院在建设阶段，医院的信息系统管理部门就要提前介入，提前为医院提供适合其自身特点的网络建设方案。医院功能的专业性决定了医院网络建设的复杂性，医院必须在详细了解医院需求的前提条件下，再构建适合医院自身业务特点的网络构架，确保网络系统的实用性。如今大多数医疗设施网络接口是通过TCP/IP协议完成信息的传递工作的，因此医院信息系统在建设规划时除了关注计算机应用之外，最好考虑下监护仪、麻醉机、放射设备等这些医疗设施的信息传递与共享。此外，注入门禁、楼控、停车场以及机房的UPS等设备都需要保证的网络的正常接入。
（二）随着医院门诊、电子病历等现代信息系统的在医院的广泛运用，这也就对医院的网络系统提出了更高的要求，必须确保计算机系统故障发生概率的最小化。因此，高效稳定的网络对医院业务的正常运作至关重要。医院在网络规划时，除了要对门诊等核心业务区进行交换设备与链路冗余建设，还要对非核心业务区域，采用接入层采用单链路的方法，将网络系统故障发生的可能性降到最低响度。在医院网络规划建设时，不仅要考虑医院未来信息系统的应用，也要也考虑医疗设备接入运用情况。
医院网络规划建设能否能达到预料中的效果，能否保障故障的发生不影响医院核心业务的正常运作？这还需要对这些设计方案进行演练和试验，模拟核心交换机、会聚层交换机故障或冗余链路中断的情况下，能够达到理想的效果。通过演练才能证明设计的可行性，其演练方案与测试文档也可以为现实故障发生时提供经验借鉴。
参考文献：
[1] 于燕波.计算机网络安全与防护[J]. 电脑编程技巧与维护.2008年17期
[2] 翟文学.关于数字图书馆信息安全策略的研究[J].科技致富向导.2009年06期
[3] 雷莉霞.浅谈网络安全技术-防火墙[J].科技广场.2013年08期
[4] 赵睿.青岛市政府部门虚拟网站群的信息安全实现[J].网络与信息.2013年10期
[5] 钟卫.中小型局域网的组建方案[J].科技广场.2011年10期
随着政务网络的层次化、分组化以及宽带化发展，政府部门越来越多的统计决策业务、日常监督检查业务、OA等管理性业务以及面向多媒体的综合业务都开始向数字化、网络化转变，这符合当前信息网络融合发展的趋势。多网融合对应用的安全性提出了更高的要求。
但目前政务网络还存在一些常见的问题：一是没有统一的网络授权控制策略，仅采用简单的口令控制，使用不便，而且难以确保口令的时效限制。二是机房中心访问控制与未来跨主机业务之间的矛盾，如不同政府部门之间的业务开展和结算等。三是网络规划基本上还是以简单办公业务需求为主，没有考虑到将来政府网络支持的业务对网络架构和安全要求提高后的平滑过渡。四是政务内网与政务外网之间的数据交换存在实时性与安全性之间的矛盾。因此，政务网络需要整体性的安全解决方案。
安全策略
完整的安全体系结构应覆盖系统的各个层面，由“网络级安全、应用级安全、系统级安全和管理级安全”四大部分组成。
网络级安全是指在物理层、链路层、网络层采取各种安全措施来保障政务网络的安全；应用级安全是指采用应用层安全产品和利用应用系统自身专有的安全机制，在应用层保证对政务网络各种应用系统的信息访问合法性；系统级安全主要是通过对操作系统(UNIX、NT)的安全设置和主机监控，防止不法分子利用操作系统的安全漏洞对政务网络构成安全威胁；管理级安全主要是从建设内部安全管理、审计和计算机病毒防范三方面来保障政务网的安全。因此作为一个完整的系统，政务网络必须对网络系统进行全方位的考虑。
网络的安全覆盖系统的各个层面，包括网络传送、网络服务、应用安全、安全识别、安全防御、安全监控、审计分析、集中管理等多个方面。这需要依靠安全保护和安全管理进行全面防护。
针对政府的现有网络和业务的现状，华为认为，一个完整的网络安全方案应该由网络层安全策略和应用层安全策略来构成，网络层安全策略主要完成对非法使用网络资源的控制，而应用层安全策略主要是针对通过合法的渠道来非法使用业务资源的控制，只有两者的完美结合，才能构成一个安全的系统。
政务内网是政府部门的内部网络，和外界网络完全隔离，所以安全问题可能出现在局域网内部和政务内网的广域网上。
解决方案
针对以太网存在的各种链路层和网络层安全隐患，华为Quidway S系列以太网交换机采用多种网络安全机制，包括访问控制、用户验证、防地址假冒、入侵与防范、安全管理等技术，提供了一个有效的网络安全解决方案。
在这个方案中，局域网内的访问控制的原则是只允许授权的用户访问某个主机，通过网络设备来提供这种保障。政务内网的数据库、服务器等资源是受限访问的。一般一个部门内的用户的权限是相同的，可以将这些用户划分在一个VLAN内，只要设置基于VLAN的报文过滤策略就可以实现对这个VLAN内所有的用户的报文过滤。这样可以看出，基于VLAN的报文过滤是最简单实用的某个用户群的访问控制策略。可以设定华为Quidway S系列以太网交换机端口禁止或允许转发来自或去往某个VLAN的报文。Quidway S系列以太网交换机支持标准及扩展的ACL。可以通过标准的ACL只设定一个简单的地址范围，也可以使用扩展的ACL设定具体到协议、源地址范围、目的地址范围、源端口范围以及优先级与服务类型等。这样可以实现复杂的访问控制策略。
用户验证是保证接入政务内网的用户是合法的或通过某个以太网交换机端口接入政务内网局域网的用户是预先配置的。华为解决方案可提供的用户验证包括PPPoE验证、WEB验证、802.1x端口验证、VLAN验证、CA验证等等。
政务内网的局域网有可能受到入侵流量攻击，对于一些连接关键部门的端口，特别是连接广域网设备的端口和财务部门、领导部门的端口，可以将以太网交换机连接协议分析仪，通过报文镜象、报文统计来监控端口流量和统计某个应用流的流量。Quidway系列以太网交换机支持端口镜象和流镜象，通过基于ACL的报文包数和字节数统计，从而了解网络的运行状况，发现网络设备是否受到入侵攻击。
通过在局域网出口路由器与局域网相连的接口上或与骨干IP网相连的接口上配置ISPKeeper，可很好地抵御黑客对ISP进行的流量攻击，避免内部网络受到外部网络或骨干网的大流量访问和攻击而导致内网瘫痪。华为Quidway系列设备提供对多种系统信息的记录功能。
内网广域网的网络安全
政务内网广域网将省市县政务内网连接在一起，为政府的内部办公提供了极大的便利。但由于构成Internet的TCP／IP协议本身缺乏安全性，政务内网广域网的网络安全成为必须面对的一个实际问题。政务内网广域网网络上存在着各种类型的攻击方式，包括网络层攻击、应用级攻击和系统级攻击。针对政务内网广域网存在以上各种安全隐患，建议采取如下的网络级、应用级和系统级安全措施来保证广域网的安全。
在这种解决方案中，只有网络管理员才有权访问政务内网广域网路由器，所以对访问路由器的用户需要进行身份认证。政务内网广域网由骨干路由器组成，路由器之间需要对对端路由器的身份进行认证，对端路由器不仅仅指物理上的直接点对点相连的路由器，同时还包括虚拟的点对点(如通过隧道协议)相连的路由器。如县政务内网广域网路由器和省政务内网广域网骨干路由器之间需要身份认证。
访问控制分为对路由器的访问控制、基于IP地址的访问控制、基于用户的访问控制。为了保护政务内网广域网路由器的配置，对路由器的访问权限需要进行口令的分级保护。一般情况下，各级政府部门的政务内网的网络用户是通过IP地址来区分的，不同的用户具有不同的权限。通过路由器的包过滤可以实现基于IP地址的访问控制，可以实现对政务内网的重要资源的保护。另外，路由器也可以提供接人服务功能。对于已接入的用户来说，他们之间的权限有可能是不一样的。通过对用户设置特定的过滤属性，可实现对接入用户的访问控制。
为了避免政务内网广域网因为数据窃听而造成的信息泄漏，有必要对所传输的信息进行加密，只有与它通信的对端才能对此密文进行解密。通过对路由器所发送的报文进行加密，即使在广域网上进行传输，也能保证数据的私有性、完整性以及报文内容的真实性。对于利用公网构建VPN的情况，数据加密能够保证通过隧道传输的数据安全。MPLS VPN是实现VPN方案的技术之一，它使用基于标记的转发模式，MPLS VPN可以实现DDN的安全性能，但配置、管理、调度更方便，同时也降低了用户接入门槛。
政务内网的广域网路由器作为一个政务内网对外的接口设备，是攻击者进入政务内网的第一个攻击目标。如果路由器不提供攻击检测和防范，则也是攻击者进入内部网络的一个桥梁。华为NE、R系列路由器、s系列交换机上可提供报文过滤、ASPF攻击检测等特性，可实现有效融合业务与安全思路的组网方案，在攻击的第一阶段阻止攻击行为。
安全策略管理
内部网络与外部网络之间的每一个数据报文都会通过路由器，在路由器上进行报文的审计可以提供网络运行的必要信息，有助于分析网络的运行情况。
另一方面，路由器的安全运行牵涉到越来越多的安全策略，为了实现这些安全策略的有效利用，进行安全策略管理是必需的。
关键词：防火墙；互联网；日志
中图分类号：TP393.08文献标识码：A文章编号：1007-9599 (2012) 04-0000-02
一、引言
随着计算机的普及和互联网技术的发展，计算机的应用越来越广泛，但是网络安全问题也日益严重。据最新统计显示，在美国，每年因互联网安全问题所带来的经济损失高达100亿美元，而在我国，计算机黑客入侵和病毒破坏每年也给我国带来巨大经济损失。如何建立确保网络体系的安全是值得我们去关注的一个问题。本文从防火墙技术的角度对互联网安全问题防火措施提出了自己的见解和意见。
二、防火墙技术浅析
随着Internet的迅速发展，网络应用涉及到越来越多的领域，网络中各类重要的、敏感的数据逐渐增多;同时由于黑客入侵以及网络病毒的问题，使得网络安全问题越来越突出。因此，保护网络资源不被非授权访问，阻止病毒的传播感染显得尤为重要。就目前而言，对于局部网络的保护，防火墙仍然不失为一种有效的手段，防火墙技术主要分为包过滤和应用两类。其中包过滤作为最早发展起来的一种技术，其应用非常广泛。
（一）防火墙的概念。防火墙是指设置在不同网络安全域或者不同网络安全之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。防火墙提供信息安全服务，是实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，它有效地监控了内部网络和互联网之间的任何活动，保证了内部网络的安全。
（二）防火墙的主要功能。1.包过滤：包过滤属于一种互联网数据安全的保护机制，通过包过滤，可以有效的控制网络数据的流入和流出。包过滤由不同的安全规则组成；2.地址转换：地址转换分为目的地质转换和源地址转换两种。源地址转换可以通过隐藏内部网络结构和转换外部网络结构实现了避免外部网络的恶意攻击。3.认证和应用：所谓认证就是指对访问防火墙的来访者身份的确认。所谓是指防火墙内置的认证数据库；4.透明和路由：主要是指把防火墙网管隐蔽起来以免遭到外来的攻击。隐蔽智能网关提供了对互联网服务进行几乎透明的访问，同时阻止了外部未授权访问者对专用网络的非法访问;防火墙还支持路由方式，提供静态路由功能，支持内部多个子网之间的安全访问。
（三）防火墙的原理及分类。根据国际计算机安全委员会的分类，防火墙分为三类，分别是包检测防火墙、包过滤防火墙和应用及服务器。包过滤技术的防范手段。包过滤防火墙是指通过把收到的数据包和预先设定的包过滤规则进行比较判断，决定是否允许通过。它主要工作在计算机的网络层，过滤的规则就是通过和网络层的IP包包头进行信息比较。IP包包头的主要信息有：封装协议、IP地址、和ICMP信息类型等。通过比较，如果信息不匹配，则拒绝转发。从速度来看，由于包括铝处于网络层，对连接的检查也比较粗略，因此，它的速度是最快的。而且实现的要求比较低。从安全性角度来看，由于其过滤规则的不完善性，所以存在一系列的漏洞，安全性却比较低。
（四）防火墙包过滤技术。随着互联网的发展，网络安全问题变得越来越重要。而且，随着黑客入侵技术的进一步提高，计算机网路安全问题也变得更加严峻。如何保护计算机网络不受到攻击和病毒感染已经成为人们普遍关心的问题，在对局域网进行保护的技术中，防火墙技术是一种非常有效的手段。而防火墙技术中的包过滤技术是发展比较早、比较广泛的技术。包过滤就是指为确保网络的安全，对每一个流经网络的数据包进行检查并根据相应的检查规则确认是否允许通过。包过滤技术具有速度与透明性两重优点。
（五）防火墙的配置。从硬件的角度看，防火墙和路由交换设备之间通常有多个借口哦，数据传输速度主要是由档次与价格决定的。比如，一般的中小企业使用的出口带宽都是100M以内的。防火墙在网络拓扑图中的位置非常关键，在网络拓扑图中，防火墙一般处于外网和内网之间互联的区域。如果防火墙上有WAN接口，就可以把它直接与外网相连。防火墙和传统的路由器在外观上差别不大，和路由器交换机不同之处在于，在对防火墙进行配置时，需要把他们划分成不同的权限和优先级。而且还要相关接口的隶属区域进行相应的配置。在进行实际设置的时候，需要把各自端口划分到某些区域时才可以进行访问。在默认情况下对数据接口的通信是组织的。除了这些差别，防火墙的其他配置和路由器交换设备的配置差不多。
软件的配置与实施，这里以H3C的F100防火墙为例，当企业外网IP地址固定并通过光纤连接的具体配置。先当企业外网出口指定IP时配置防火墙参数。选择接口四连接外网，接口一连接内网。这里假设电信提供的外网IP地址为202.10.1.194 255.255.255.0。
第一步：通过CONSOLE接口以及本机的超级终端连接F100防火墙，执行system命令进入配置模式。
第二步：通过firewall packet default permit设置默认的防火墙策略为“容许通过”。
第三步：进入接口四设置其IP地址为202.10.1.194，命令为
int e0/4
ip add 202.10.1.194 255.255.255.0
第四步：进入接口一设置其IP地址为内网地址，例如192.168.1.1 255.255.255.0，命令为
int e0/1
ip add 192.168.1.1 255.255.255.0
第五步：将两个接口加入到不同的区域，外网接口配置到非信任区untrust，内网接口加入到信任区trust――
fire zone untrust
add int e0/4
fire zone trust
add int e0/1
第六步：由于防火墙运行基本是通过NAT来实现，各个保护工作也是基于此功能实现的，所以还需要针对防火墙的NAT信息进行设置，首先添加一个访问控制列表――
acl num 2000
rule per source 192.168.0.0 0.0.255.255
rule deny
第七步：接下来将这个访问控制列表应用到外网接口通过启用NAT――
int e0/4
nat outbound 2000
第八步：最后添加路由信息，设置缺省路由或者静态路由指向外网接口或外网电信下一跳地址――
ip route-static 0.0.0.0 0.0.0.0 202.10.1.193 (如下图)
执行save命令保存退出后就可以在企业外网出口指定IP时实现防火墙数据转发以及安全保护功能了。
三、防火墙发展趋势
随着计算机病毒的发展和黑客技术的提升，传统的防火墙技术已经不能解决这些问题。从目前来看，防火墙技术正在向新的方向发展。
从防火墙的体系结构发展来看。为应对未来发展需要，人们相继开发了基于ASIC的防火墙和基于网络处理器的防火墙。这类防火墙对软件的依赖度有所增加，但是却可以大大的减轻CPU的压力。在性能上比传统防火墙有新的提升。然而从编程的角度来看，这种防火墙缺乏灵活性，要实现和软件的配合使用，必须添加新的硬件。
从防火墙的包过滤技术发展来看，一些防火墙厂商在防火墙中添加了新的认证体系和方法。从而大大的提高了用户的安全级别，但是在一定程度上也给网络通信带来了一定的负面影响。多包过滤技术的发展弥补了单独过滤技术的不足和缺陷，而且这种技术具有分层清楚、扩展性强等特点。是将来防火墙技术发展的基础。
四、结束语
互联网技术的发展使得计算机应用越来越普及，但是随之而来的是网络安全问题也日益突出，网络病毒对经济社会生活带来了极大的危害。通过采用新的防火墙技术，可以有效的确保互联网的安全。本文正是基于这个背景进行探讨和研究的。相信不久的将来，随着防火墙技术的进一步发展，互联网安全问题会逐步得到有效的控制和解决。
参考文献：
[1]王艳.浅析计算机安全[J].电脑知识与技术,2010,(s):1054
[2]艾军.防火墙体系结构及功能分析[J].电脑知识与技术.2004,(s):79
[2]孟涛,杨磊.防火墙和安全审计[M].计算机安全.2004,(4):17
在
对阿里进行常规渗透测试时，“90后”白帽子何诣莘发现阿里云盾的搜索引擎存在未授权访问漏洞。不过，这个漏洞危害不大，当他尝试进一步测试有没有其他漏洞时，发现阿里的安全人员已经发现了漏洞并修补了。这样的漏洞查找对白帽子而言是家常便饭，徒劳无功也是常见的结果。
然而，今年4月12日，“白帽子”袁炜因涉嫌非法获取计算机信息系统数据罪被批捕的事件，让白帽子们措手不及，挖掘漏洞的法律争议使得“白帽子”这个群体也越来越引发各界关注。
成为白帽子很普通
在网络世界中，白帽子是一个“来无影，去无踪”的存在。何诣莘说：“我挖掘企业的网站安全漏洞时，基本不会留下行迹。换言之，如果我不说，他们根本不知道我来过。”
另一名白帽子张坤向记者证实了这一点，“确实是这样，企业通常不会发现我们对他们的网站进行了渗透测试。”张坤是何诣莘的朋友，在金融第三方从事安全工作的他也是一名兼职白帽子。
除去白帽子这个身份，何诣莘的职业是成都一家大型数据公司的专职网络安全工程师，收入不菲，生活优渥。谈及为何对网络安全感兴趣，并成为一名白帽子，何诣莘告诉《方圆》记者：“少年男孩，总有一颗想成为黑客的心，却苦于不知如何入门，所以最初我并未关注网络安全问题，若不是一次意外，我现在最可能是一名‘码农’。”
何诣莘口中的意外是某天在贴吧里看到某位大牛记录自己的黑客生涯，“他的经历看得我热血沸腾，” 何诣莘崇拜地说，“当你看到一个牛人展示他的才华的时候，你就会想变得跟他一样。”然而，他并未经过专业的网络安全知识的学习，“我完全是野路子出身，我是从泡中国红客联盟开始学习安全知识的。” 何诣莘说。
然而，如今何诣莘在民间著名漏洞收集平台漏洞盒子上却是小有名气，在排名榜上，他稳定在在二三十名之间，而漏洞盒子有近两万名的注册白帽子。他曾经挖出某航空公司内网、江苏十几家银行的安全漏洞，得到了这些厂商的致谢和不菲的奖励。
张坤成为一名白帽子，完全是靠兴趣。“我在大学的专业是网络工程，但是早在大一的时候，我就对网络安全产生了兴趣。尽管二者都带有‘网络’，但是却是两个不同的领域。”“在兴趣的指引下，我大量地阅读相关书籍，不断地与人切磋交流，不断地尝试挖掘网站安全漏洞，刚开始的时候没有任何收获，直到有一天我挖掘出一个企业的安全漏洞，我才从心里认为自己真正成为了一名白帽子。”
何诣莘等大多数白帽子认为自己一点都不神秘。在他们看来，他们跟普通人并无差别，只是自身兴趣爱好不同而已。
挖掘漏洞进化史：从手动到自动
何为网络安全漏洞？北京邮电大学互联网治理与法律研究中心常务副主任谢永江认为：计算机网络、硬件、软件、服务或者是管理存在弱点，这个弱点能够被别人利用来进行攻击，即为用来实施威胁的落点，就是网络安全漏洞。
那么白帽子是如何挖掘漏洞的呢？
何诣莘告诉《方圆》记者他如何发现的第一个漏洞。那是一个越权漏洞，“我刚开始尝试找漏洞的时候，并没有确定要找哪些厂商的漏洞，只是通过搜索引擎搜索关键字，也就是‘撒网捞鱼’这种模式，通过在使用搜索引擎时的关键字设置（如搜索inurl：user_add.php，就可以查找存在身份验证漏洞的网站），就可能会发现某些未做身份识别验证的页面，可以修改网站首页显示的新闻、图片、管理员信息，可管理数据库，甚至可以拿下网站服务器权限……我在搜索到页面的第二、三页的时候，就发现了这样一个漏洞，当时心里非常激动，仿佛打开了通向新世界的大门，从此一发不可收拾。”
第一个漏洞让何诣莘很欣喜，但是他并不否认这只是最初级的挖掘漏洞的模式。“现在挖掘漏洞，可以针对不同的功能进行手工测试。”张坤补充道。
与何诣莘、张坤靠自学成为白帽子不同，毕业于中北大学信息对抗专业的石涛成为一名白帽子是顺理成章的事情，他是科班出身。他向记者介绍了一种自动的漏洞挖掘模式：白帽子利用自己写的全自动化扫描程序，关注每天最新的厂商未发现的最新漏洞，然后把相应规则添加进自己写的程序，填入域名，就可以自动扫描网站。之后，再把扫描出来的漏洞进行人工验证。“这样的漏洞挖掘模式效率是相当高的，也是很多业内高手的常用手法。”石涛说。
拥有挖掘漏洞能力的白帽子在确定挖掘哪些网站的漏洞时，带有极强的个人色彩。
随着技术的提高，何诣莘在查找漏洞时已经摒弃了“撒网捞鱼”的原始模式，“现在确定挖掘目标，已经不是靠前期的关键字搜索了，有时是定点，比如说买机票的时候就会对航空公司的内网进行一个测试；有时是圈内朋友让帮忙看看某个网站；有时是社会上的一些热点现象涉及的网站；还有时是漏洞平台的一些众测项目。”而他有时一天就发现几个漏洞，有时发现一些大型目标，他会认真研究，那时可能就一两个月都没发现漏洞。
身为某互联网公司开发工程师的石涛在挖掘漏洞时，主要是偏重于互联网企业，“身为一名IT开发工程师，相对于其他企业，我对互联网企业会有更多的关注。” 石涛告诉《方圆》记者。
不同于何诣莘和石涛，张坤确定自己的挖掘目标就容易多了，“我主要去一些有SRC（安全应急响应中心）的企业那里找漏洞，或者是一些在漏洞收集平台注册过的企业。”
挖了漏洞给谁
白帽子挖掘出安全漏洞后，怎样处置这些漏洞？事实上，官方与民间有很多漏洞披露平台可供白帽子选择。而选择哪一种，不同的白帽子选择各异。
据国家互联网应急中心运行部副主任、正高级工程师严寒冰介绍：自从2009年以后，多家漏洞平台陆陆续续地成立，这些漏洞报告平台担负着搜集漏洞、处置漏洞相关任务。国家层面成立的漏洞平台有CNVD、CNNNVD；民间漏洞平台有补天平台、乌云网、漏洞盒子等；另外有一些企业成立了自己的安全应急响应中心（SRC），建立了企业与白帽子之间的直接沟通渠道，比如百度、阿里、腾讯、网易、京东等等。
何诣莘挖掘的漏洞大多在漏洞盒子提交，“跟漏洞盒子的人比较熟”是他选择漏洞盒子的最重要的因素，“但是，我还是更喜欢乌云的模式，因为‘白帽子’崇尚共享，而乌云网是一个很好的共享平台，它是很多‘白帽子’学习进步的好地方，在那里可以学习到很多挖掘漏洞的技术和思路，会让人脑洞大开。”
因为张坤主要去一些有SRC的企业挖掘漏洞，所以他挖掘出来的漏洞可以直接提交给企业，相当高效快捷。
石涛挖掘的漏洞主要提交给乌云网，乌云网会给乌云币以及乌云排名成绩作为奖励，利用乌云币可以参看受限的内容，买安全会议的门票，这有利于他的技术的提高。乌云排名更是实力的体现，排名对白帽子是一种荣誉的体现，“排名高在圈子里会受尊重，找工作也能当成能力佐证。”石涛很看重rank值的高低。
白帽子根据自己的喜好选择相应的平台，不同平台的特色亦有不同。与乌云网逐步公开漏洞细节不同，补天漏洞收集平台在漏洞细节的公布策略上较为灵活。补天漏洞收集平台是隶属于360公司的漏洞收集平台。补天负责人告诉《方圆》记者，平台提供公有SRC和私有SRC两种公益的服务模式。公有SRC是漏洞招领模式的互联网安全协作平台，当白帽子上交漏洞后，补天会进行审核，确认后会尝试联系企业，当联系不上时，会在网站上进行漏洞招领，招领时只公布漏洞标题，不会公布细节。企业只要免费注册就能认领漏洞，并得到漏洞的详情和修复建议。而补天私有SRC是为企业提供自建SRC服务的互联网安全协作平台，企业在线充值后可以自助漏洞征集公告，白帽子提交的漏洞由360仲裁并被企业确认后，由企业发放奖金给白帽子。
也有企业不重视提交的漏洞
由于经常挖掘安全漏洞，谈及漏洞的危害，何诣莘深有体会：“一些使用开放源代码建立的网站或者网站安全防护设备的漏洞可以用来攻击一批网站。因为这些网站的搭建用的是同样的系统，只是由于界面有定制，所以表面看起来不一样。但是一旦发现这种系统的漏洞，就能影响一批网站，可能导致的危害就是用户信息被盗取，举个例子，如果是金融系统的漏洞的话，就能修改银行或者P2P金融系统中用户金额这样的敏感信息。”
“好在金融系统的安全意识比较强。”何诣莘介绍，他发现银联等企业的漏洞并且提交后，这些企业很快进行了修复，“还对我表示了感谢。”
但是，并非所有的企业面对漏洞的态度都是这么积极，“有时候我们白帽子发现漏洞，告诉企业之后，他们的态度相当不积极，有时甚至可以说对我们有敌意，可能这些企业认为，我们白帽子不发现漏洞、不提交漏洞，他们就可以自欺欺人地认为漏洞不存在，事实上，毫不夸张地说，一旦漏洞被某些居心叵测的人利用，就可能会造成大范围的数据泄露，危害用户的数据安全，严重的可能会造成重大金钱损失。”何诣莘对此很无奈，但是他坦承对此也是“束手无策”。
由于法律上对白帽子的行为尚无明确的界限，为了规避法律风险，他的底线是“不窃取数据、不擅自修复漏洞、不影响网站业务”，他直言：“我从没把自己当成拯救网络风险的英雄，发掘、查找漏洞是我的兴趣所在，但是我绝不会为了某网站用户数据不泄露，而擅自去修复漏洞，因为这样会触犯法律。”
石涛曾经挖掘出花瓣、人人、美团、欧美斯教育等企业的安全漏洞，据他介绍，欧美斯教育的那个安全漏洞危害极大，这个漏洞基本上暴露了公司内部的全部信息，例如公司员工信息、公司高管邮箱，更夸张的是公司高管的内部系统的密码跟邮箱密码是同一个密码，这样公司面临的风险极大，一旦密码被泄露，公司的商业机密很有可能被窃取。而花瓣网的漏洞更为严重，不法分子可以冒充任意用户登录，登录之后，用户在花瓣网上的隐私就全部被窃取。
关键词：高职教育；计算机网络专业；课程群；课程建设
一、课程群基础
(一)课程群建设的内涵
课程群建设是近年来高等院校课程建设实践中出现的一项新的课程开发技术，其基本思想是把内容联系紧密、内在逻辑性强、属同—个培养能力范畴的同一类课程作为—个课程群组进行建设，打破课程内容的归属性，从技能培养目标层次把握课程内容的分配、实施、保障和技能的实现。课程群建设是课程建设的超集(Superset)，是专业建设的子集 (Subset)(课程群层次在教学建设中的层次见图1)。在课程群中，最基本的教学单元是知识点(Knowledge Points)，知识群(Knowledge Group)是知识点的集合，依此类推，图中下层是上层的子集。
(二)课程群建设的基本思想
把传统的高职教学组织由两层架构进化为三层架构，使技能要求独立于课程，形成目标明确的课程群层次，嵌在课程和培养方案之间。
由课程群承载技能培养目标，协调课程之间的关系，使目标明确化。弱化课程的独立性，强化课程之间的亲和性，凸显它们为确定的共同技能的服务特征，突出各课程所蕴涵的技能定位，把围绕一个技能培养目标的、含有若干课程中的技能点抽象出来，在一个更高层次上连贯起来，使该技能的培养随课程教学的推进而不断递进、加深和拓展，逐步实现与培养目标的重合。
二、课程群的提出背景
(一)高职教育自身现状的要求
高职教育是以技能培养为主的教育形式，其教学内容分基本理论、基本技能和应用技能三部分。技能的掌握和应用与必备的理论之间相对缝隙加大，对技能的掌握增加了压力。基本技能由于受到实验实训环境、师资力量、学时要求等因素的限制，难以完成大纲的目标，掌握的技能一般具有片面性或设备、技术的依赖性，在知识技能空间上是一个支离破碎的技能映像。应用技能受基本技能“设备特殊性”约束，学生进行应用或针对具体设备解决实际问题的能力有限。
传统教学以课程为本，课程之间界限分明，知识相对封闭。高职学生囿于个人的理解和认知能力，课程之间的关系、技能之间的关联应由教师理顺贯通，从而把各门课程的知识和技能融合成一个面向技能应用的知识空间。但是，因为教材、教师、学生自身都具有相当的特殊性，并存在一些不可调和的因素，如教师素质、教材难度等，所以教学目标很难实现。
课程实施目的明确，前后课程关系“鱼型化” (Fish Model)，过于注重课程内部的衔接和组织，忽视课程之间的关系，把二维的课程关系单维化。
(二)国家宏观政策引导和社会需求
在保持培养技能和目标不变的前提下，高职教育存在“软”学制逐渐减少的倾向，更多的学校与社会力量共同完成学生技能培养，尽量压缩学生在校培养时间，最终向“硬”学制缩短转化。
(三)技术本身演变的需求
各类新技术层出不穷，技术的普及和大众化进
度加快，比较突出的是网络安全技术与应用技术。这些技术的入门台阶在逐步升高，掌握传统技能需要的基础越来越雄厚，知识越来越宽泛。技术本身的应用环境和因素越来越复杂，与相对稳定的教学格局相比变数增大。技术之间的关联度提高，知识和技能之间的亲缘关系由原来的明显、浅层逐渐向隐含、继承等多维发展，原来没有关联或关联较少的知识逐步向有关联、关联密切、相互渗透而不断融合演化方向发展。同时，技术的共性化对技能的个性化产生了非常强的依赖性。
(四)学生自身现状
学生平均基础素质降低，必备基础技能和高职入门技能之间存在缝隙，而且随着高校规模的扩大，该缝隙有逐渐加大的趋势。传统单维课程教学过程教给学生的是一个个课程技能映像，依靠学生自身的能力贯通这些技能的难度逐渐加大。
(五)教材建设现状
教材的发展落后于高职教育的发展，现有的高职教材已不能适应高职计算机网络专业的发展，如定位不准确，教学要求不明确，课程内容之间缺乏联系，内容相对封闭，程度深浅把握不好，印刷错误太多，新技术太少，缺乏必要的CAI，甚至部分教材思路混乱等。
三、课程群开发技术
(一)课程群的组成和要求
由为某一种确定技能服务的3门以上课程组成，各课程教学内容具有不可重复性，同时知识点之间存在相对独立和离散性，知识点之间关系亲和，内容可集群；实践实训环节或技能培养环节是连贯、递进的。
(二)课程群化后的特点
群化是围绕确定的职业技能教学，在组织、内容、结构等方面的教学规约，群化后的课程具有显著的技能属性。教学目的性更明确，培养方向性更突出，技能培养的过程连续，不断加深，外延不断拓宽，课程的开放性和界面更友好，技能培养在静态呈现“扁平化”。
(三)与传统课程模块之间的关系
课程模块是常用的针对不同技能进行多分支培养的课程组织技术，形式上同属于一个确定的技能培养范畴，课程的独立是课程模块存在的前提。而课程群形式上与课程模块相似，但它注重技能培养，弱化课程个性概念，强化课程内容之间的融合、交叉和关联，即大课程观念，由原来的“技能培养需要型”转变为“技能培养决定型”。
组成课程模块的课程之间的关系是线性的，课程教学分别组织，课程交流少，技能的培养与目标要求对比不连续，阶段性突出。课程群是一个二维概念，在技能培养环节上强调连续、递近和不断加深，形成的技能养成轨迹是一个和时间保持同步、连续、正比变化的轨迹。
四、课程群建设的实践
(一)建设历程和方案
徐州建筑职业技术学院计算机网络技术专业成立于1997年5月，课程规划采用模块化结构，定位于“多媒体技术”和“网络技术”两个专业技能培养方向。1999年5-8月，学院制订了面向三年制高职学生以网络技术及工程能力为主线、以网络编程与应用能力为辅线的培养方案。我们发现在课程处于高职教学核心地位的教学环境下，培养目标很难实现。
2000年6月，在专业和课程建设中引入“系列课程”概念，把内容联系紧密、内在逻辑性强的《数据通信与网络》、《计算机网络操作系统》、《网络工程》和《网络新技术》4门课程与相应的课程实习组成了一个规模相对较大的教学实体，对三年制网络专业高职进行了教学探索。
2001年6月，引进课程群建设技术，首先用于计算机网络专业。以“网络技术及工程”为主要技能培养线，“网络编程与应用”与“网络安全技术与应用”为辅助技能培养线，贯穿于整个培养方案(见图2)。
(二)课程群建设的优势
1．内容具有科学性
课程群各组成课程之间关系密切、逻辑性强，知识具有递进性，内容切块相对科学，便于组织教
学。教学内容具有明显的时代性、先进性；大量CAI的使用使教学效果明显改善，教学内容容量和技术信息量增大。
2．结构具有合理性
整合教学内容保证了理论教学和实践教学总学时数之比接近1∶1，应用技能为主的思想得到体现，技能和素质培养体系更趋完善。在1999年的培养方案中，实践、实训环节占总学时的比例为 37.4％，到2000年调整为50.2％，2002年调整为 48.5％。
例如，(网络技术及工程)课程群原来教学总学时为291个(含实验62学时)，实习3周(每周折合教学学时为25)，实践教学占总学时的37.4％；2000年改革后，总学时为290个(含实验71学时)，实习6周，实践教学占总学时的50.2％。2001年的方案主要考虑到网络技术的发展，特别是网络安全和Windows2000的应用需要，从《数据通信与网络》中分离出《TCP/IP技术课程》，从《网络工程》中分离出《计算机网络管理和安全》，原来的3个实习分离为7个功能各自独立的实习内容单元，总教学学时为380个(含实验94学时)，实习7周，实践教学占总学时的48.5％。
3．实验室高效利用
专业实验室由原来的每学期7500人次提高到 14000人次，网络实验室由原来的每学期完成实验工作量400学时提高到平均每学期700学时左右。
4．教学过程可控
课程群所有课程教与学状态透明度提高，教学中随意性、非计划性减少，教学环节、质量可控性提高。
(三)课程群实践中存在的问题和不足
1．培养方案制订
在以课程群思想指导建设专业时，课程与课程之间传统的单维关系被打破，代之以内容编排，对传统培养方案的制订方法施加一定的难度。具体包括网络专业的技能定位、技能分化和整合、技能的培养有哪些主要技术和手段、技能对课程的依赖关系、承担多项技能培养任务的课程地位和设置、实践实训环境如何满足培养方案以及学生个性化培养的需要。
2．教材建设
完备的课程群建设需要一套相配套的教材，而教材建设本身又是一项耗费大、周期长、见效慢的工作，加上网络技术本身“高、精、尖、快”的特点，保持教材建设和课程群建设相协调是进行课程群建设所面临的两难问题。
3．实践环节的考核
整个课程群中，理论教学和实践教学总学时已接近1：1，理论考核已具备了比较完备的体系，易操作和实现，但实践教学的考核还呈粗线条进行，如何将考核精确化、系统化是一个值得研究的问题。
4．课程群结构和内容的完善
课程群是由内容相关的若干课程组成，任何课程内容的变化都需要课程群内其他课程内容的调整与之对应，否则体现不出针对性、先进性和应用性的高职教育特点。
5．经费
课程群一般包含数门课程，每一门课程都要进行教学内容、教学手段、教学方法、教学体系、教学管理、教材等建设，所以经费问题解决不了，课程群建设的目标很难实现。
[参考文献]
[1]李冬，杨文安，李继良等．网络技术及工程课程群建设改革与探索[J]．职业技术教育(教科版)， 2002，(31)．
[2]刘德恩．论高职课程特色[J]．职业技术教育(教科版)，2001，(16)．
购物车(0)