网络安全

本章内容 概述 网络安全的基本概念 信息安全技术 防火墙技术 网络病毒

WWW站点和WWW服务，它提供了一系列丰富的资源和服务，诸如电子邮件、论坛、搜索引擎、在线购物等。 1 概述 Internet 变得越来越重要 E-Commerce WWW站点和WWW服务，它提供了一系列丰富的资源和服务，诸如电子邮件、论坛、搜索引擎、在线购物等。 电子商务 电子交易 复杂程度 ISP门户网站 Web Email 时间 安全问题日益突出

　计算机病毒 1988年11月美国康乃尔大学（Cornell University）的研究生罗伯特.莫里斯(Robert Morris)利用UNIX操作系统的一个漏洞，制造出一种蠕虫病毒，造成连接美国国防部、美军军事基地、宇航局和研究机构的6000多台计算机瘫痪数日，整个经济损失达9600万美元。莫里斯于1990年1月21日被美联邦法庭宣判有罪，处以5年监禁和25万美元的罚款。 病毒芯片

病毒芯片 1991年海湾战争期间，美国特工得知伊拉克军队的防空指挥系统要从法国进口一批电脑，便将带有计算机病毒的芯片隐蔽地植入防空雷达的打印机中。美军在空袭巴格达之前，将芯片上的病毒遥控激活，使病毒通过打印机侵入伊拉克军事指挥中心的主计算机系统，导致伊军指挥系统失灵，整个防空系统随即瘫痪，完全陷入了被动挨打的境地。 黑客入侵

黑客非法入侵 英国电脑奇才贝文，14岁就成功非法侵入英国电信公司电脑系统，大打免费电话。后来他出、入世界上防范最严密的系统如入无人之境，如美国空军、美国宇航局和北约的网络。1996年因涉嫌侵入美国空军指挥系统，被美国中央情报局指控犯有非法入侵罪。 1998年8月21日，来自上海某著名大学的硕士研究生杨某，擅自非法闯入上海某大型信息平台，并盗用上网时间，他以“破坏计算机信息系统”罪被逮捕。 2003年10月甘肃省会宁县邮政局的系统维护人员张某，破解数道密码，进入邮政储蓄专用网络，盗走80多万元，这起利用网络进行远程金融盗窃的案件暴露出目前网络系统存在许多安全漏洞。 信息安全

计算机数据安全的重要性 计算机数据的安全问题，近年来越来越受到关注，信息安全直接关系到国家安全、企业经营和人们的日常生活。随着人们对计算机数据安全意识的提升，以及经常受到病毒及网络黑客侵袭的影响，计算机信息系统的安全问题越来越显得重要。为保护国家、企业、和个人的数据免于丢失以及其他无孔不入的数据安全威胁我们必须采取有效的防护手段。

天才与鬼才—HACKER文化 “黑客”源于hack(劈、砍)，引申为干一件漂亮的事情。 早期麻省理工校园俚语中，有“恶作剧”之意。 一般认为，起源于20世纪50年代麻省理工学院的实验室。 20世纪60年代，指独立思考、奉公守法的计算机迷。

天才与鬼才—HACKER文化 20世纪70年代，黑客倡导个人计算机革命，这一代黑客是电脑史上的英雄。代表人物：苹果公司创始人史蒂夫·乔布斯。 20世纪80年代，黑客的代表是软件设计师，代表人物：比尔·盖茨。

天才与鬼才—HACKER文化 世界头号黑客—KevinMitnick 1964年出生于洛杉基 4岁仅用78步通关“滑铁卢的拿破仑” （专家理论值）； 13岁迷上无线电通讯； 15岁攻入“北美空中防御指挥系统”，随后破译“太平洋电话公司”、FBI等的“中央电脑系统”； 16岁，被“少年管教”，成为首位“电脑网络少年犯”； 95年入狱，2000年1月23日获释

天才与鬼才—HACKER文化 黑色幽灵—卡文·泊森 十几岁就入侵五角大楼军用计算机系统和各大学的计算机网络系统； 随后入侵电话局、贝尔公司等网络系统。 潘戈与平衡计划 罗伯特·泰潘·莫里斯与蠕虫事件 哈佛大学毕业，康奈尔大学研究生

世界级老牌黑客

计算机革命的主角和英雄 如今，黑客的形象已经十分暧昧，英雄和罪犯、正义与邪恶，美好和丑陋，高尚和卑劣黑客有着高贵和高品质的传统。IT历史上的十大老牌黑客，代表着反权威却奉公守法的计算机英雄。 这群电气工程师和计算机革新者，才华横溢，行为孤僻，也有个性缺陷。他们沉湎于技术和计算机，视工作为一种艺术。他们不仅仅是计算机革命的重要参与者，而根本就是计算机革命的主角和英雄 当然，也有臭名昭著的罪犯。 老牌黑客代表着黑客的传统。

电话大盗和超级骇客 约翰·德拉浦（John Draper）；

苹果电脑创始人 斯蒂夫·伍兹尼亚克（Steven Wozniak）； 与史蒂夫.乔布斯一起创办了著名的苹果公司，开创了计算机革命的先河。 在1977年很少有人具备硬件、软件、电路板布线的技术。 黑客业绩：800泛美航空免费机票恶作剧。

Dennis M· Ritchie、Ken Thompson Unix之父 当初这个操作系统的诞生，并不是为了把它推向市场，甚至不是为了让更多人使用，而仅仅是作者为了便于自己使用，而且初衷是为了自己更方便地玩游戏。 Dennis M· Ritchie、Ken Thompson

Linux之父 Linux 之父 李纳斯·托沃兹（Linus Torvalds）；

Lotus创始人 Lotus创始人 电子前线基金（EFF）创始人米切尔·卡普尔（Mitch Kapor）

头号黑客 凯文·米特尼克 被美国政府通缉的头号黑客凯文·米特尼克（Kevin Mitnick）；

第一个蠕虫制造者 互联网蠕虫制造者罗伯特·莫里斯（Robert Morris）

黑客伦理 这种伦理原则强调“共享、开放、分散、为操纵机器不惜任何代价”。 与PC文化与互联网文化的精神内核一脉相承。 （1）进入（访问）计算机应该是不受限制的和绝对的 　（2）总是服从于手指的命令 （3）一切信息都应该是免费的 （4）怀疑权威，促进分权 （5）应该以作为黑客的高超技术水平来评价黑客 （6）任何一个人都能在计算机上创造艺术和美 （7）计算机能够使生活变得更美好 黑客基本技能 　　1. 学习程序设计 　　2. 取得一个免费的UNIX ,并学习使用和维护 　　3. 学习使用 World Wide Web 并学会写 HTML。

黑客文化 1. 写免费的软件 2. 帮忙 test 和 debug 免费的软件 3. 公布有用的资讯 4. 帮忙维持一些简单的工作。（解释：hacker 文化是由一群自愿者维持运作。有一些工作很无趣但却必须维持正常运作的, 如: 管理 mailing list, 维护 newsgroup, 维持大的软件供应站台, 推动RFC 和其它技术标准。） 5. 为 hacker 文化而努力

黑客守则 1. 不恶意破坏任何的系统, 这样作只会给你带来麻烦。恶意破坏它人的软体将导致法律刑责, 如果你只是使用电脑, 那仅为非法使用!! 注意: 千万不要破坏别人的软体或资料 !! 2. 不修改任何的系统档, 如果你是为了要进入系统而修改它, 请在答到目的後将它改回原状。 3. 不要轻易的将你要 Hack 的站台告诉你不信任的朋友。 4. 不要在 bbs 上谈论你 Hack 的任何事情。 5. 在 Post 文章的时候不要使用真名。 6. 正在入侵的时候, 不要随意离开你的电脑 7. 不要侵入或破坏政府机关的主机。 8. 不在电话中谈论你 Hack 的任何事情。 9. 将你的笔记放在安全的地方。 10. 想要成为 Hacker 就要真正的 Hacking, 读遍所有有关系统安全或系统漏洞的文件 (英文快点学好)! 11. 已侵入电脑中的帐号不得清除或修改。 12. 不得修改系统档案, 如果为了隐藏自己的侵入而作的修改则不在此限, 但仍须维持原来系统的安全性, 不得因得到系统的控制权而将门户大开。 13. 不将你已破解的帐号分享与你的朋友。

卡普尔与盖茨是美国软件业的双子星 在80年代中期，卡普尔与盖茨是美国软件业的双子星。1982年创办Lotus公司，并担任CEO。推出个人电脑“杀手级应用”软件Lotus1-2-3，1985年，Lotus员工已达千人，是当时最大的独立软件公司。直到1988年4月，微软才超过Lotus，成为头号软件公司。卡普尔发起创办的电子边疆基金会（EFF），维护黑客利益，被称为是计算机业的美国公民自由协会（ACLU）。卡普尔也因此成为80年代和90年代最具影响力的计算机人物和黑客界最具影响力的人物之一。 　　卡普尔是硅谷黑客理念的真正体现：反对公司、不遵循主流精神、富有创造、崇尚出世。盖茨则是现代黑客的体现，与卡普尔形成鲜明对照。盖茨是反基督的肖像，功利性强，十分入世，追求利益，他的公司也以压制自由而成功，出产丑陋、笨拙、纯粹以商业驱动的产品。二者相比，卡普尔是一位民间的英雄。而盖茨则是主流社会的英雄。

中国的著名黑客

不平坦的从良之路 2003年9月14日一个特殊的群体来到重庆出席信息安全论坛：他们曾经是中国著名的黑客，现在都被称为网络安全人士。 这是一群令IT界人士肃然起敬的人。他们中间有中国第一个黑客组织“绿色兵团”的负责人GoodWell（龚蔚），有让微软不断承认其Windows系统有重大漏洞的绿盟科技（nsfocus）的袁哥（袁仁广），有著名黑客软件冰河木马的作者黄鑫，有国内惟一知名的女黑客、Wollf木马的作者王娟。PP（彭泉）、季昕华等知名黑客也都无一例外地出现在此次论坛上。业内人士称，他们就是中国第一代黑客的代表和缩影。

八年出了三代人 这群人好像不愿意回忆过去，尤其不愿意回忆自己的黑客经历，但，他们身上又有一种要为黑客“正名”的欲望。 据介绍，我国最早一批黑客大约出现在1994年，其黑客行为持续到1999年底。代表性的组织就是GoodWell（龚蔚）等五人组织的绿色兵团。据称，极盛时期注册会员达到3000多人，成员遍布全国各地。谢朝霞、彭哥、PP（彭泉）、天行（陈伟山）、黄鑫是第一代黑客中的顶级高手。他们的特点是，自己深入研究网络安全技术（换一个名称就叫黑客技术），有自己的理论和产品。 第一代黑客主要分布在湖南、福建、深圳、北京、上海等地。1999下半年是一道分水岭，第一代黑客开始走上“从良之路”。他们聚集于北京、深圳两地，分别成立了网络安全公司。

第二代黑客 2000年左右，第二代黑客出现。他们的特点与前辈相仿，但功力不如第一代，现在也大都成立了自己的公司。

第三代黑客 第三代黑客的代表是所谓“中国红客联盟”。他们在那场中美黑客大战中频频见诸媒体。主体是在校学生，也有不少大学网站的BBS站长加盟。他们多半不再自己动手研究技术，而是直接以第一代黑客开发出的工具为武器，随兴而至做一些攻击。第一代黑客称他们为“傻瓜黑客”。 有趣的是，除了在辈份上有老中青三代之分，业界还给中国的黑客戴上了三顶不同颜色的帽子：白帽子、黑帽子和灰帽子。

研究漏洞，发明追求最先进技术并让大家共享的黑客，戴的是“白帽子”；以破坏入侵为目的的黑客则戴“黑帽子”，介于以上二者之间的，戴的是“灰帽子”，这是一个追求网上信息公开的群体，他们不破坏，但要进入别人的网站去拿信息。 现在国内戴白帽子的黑客数量不多。但2004年出席重庆信息安全论坛的黑客基本上都是白帽子。

杀人救人存乎一心 这些被外界称为黑客的计算机网络信息安全高手们在接受记者采访时，无一例外否认自己是黑客。 后来，记者才知道，由于媒体一会儿对黑客神化一会儿丑化，使得社会认可的黑客与他们心目中的黑客有较大的差异，但当记者把黑客的概念定义为：掌握了相当的计算机网络技术，致力于计算机网络安全研究的人群时，他们都默认了自己的黑客身份。对于他们而言，黑客这个称号意味着外界对其网络安全技术的认可。

这群人在谈到黑客与网络安全人士时，最爱用的比喻是小偷与警察：黑客是小偷，网络安全人士就是警察。一个好警察如果不知道高明小偷的手段，根本就抓不到小偷。 出生于重庆大足的著名黑客彭哥说：“黑客技术（网络安全技术）是一把双刃剑。当你用来防范网络安全漏洞时，你是网络安全人士；当你用来攻击别人时，你就是犯罪。如果你不知道别人的攻击方法，你就不是一个好的网络安全人士。” 因此，“彭哥”称，从事网络安全工作是黑客们的理想和好的归宿，是他们把爱好与工作结合起来的最佳方式。

“从良之路”不平坦 可以说，没有黑客，就没有网络安全这个概念。黑客的存在催生了网络安全的庞大的市场。据ICCD统计，去年我国网络安全市场达到12.3亿元人民币，预计今年可达19亿元。角逐这个大蛋糕的网络公司有近百家，其中天网、瑞星、金山、安氏等较为知名。 中国第一、二代黑客都先后下海，纷纷成立网络安全公司做起了生意。但他们的“从良之路”似乎并不平坦。

龚蔚介绍，1999年，绿色兵团决定“从良”，成立了中国第一个网络安全公司“上海绿盟”，后来又与人合作。但到目前为止，他们的商业化运作失败了。目前“绿色兵团”的五位发起人不得不散落于各家网络安全公司之中，他自己目前供职于冠群金辰软件。 其他黑客组建的网络安全公司的商业化运作也不理想。

聚会山城的黑客们分析说，自己是好的技术人员，但很少有经营管理的经验。这可能是商业化运作不成功的主要原因。 王娟半开玩笑半认真地说：“我们从学校毕业时，网络的泡沫已经破了。自己想开网络安全公司，却没有来得及享受到资本的关照。”

黑客说黑客 中国第一代黑客心中的黑客是什么样？ 一群有“正义”感的计算机网络天才，能够发现计算机系统存在的缺陷和漏洞并检测、堵住漏洞。 他们说，“真正的黑客会把自己关在小房子里，每天吃方便面，一地烟头，几个月不刮胡子，只为解决一个技术难题”。他们说，那些拿着别人开发的黑客软件工具到处黑人家网站的，根本不能称为黑客。

他们称，真正的黑客，必须得懂各种编程语言、操作系统、网络基础及数据库知识。就算是能够开发出某些特定黑客工具的人也最多只能够算是二流的黑客。一流的黑客是那种能够自己写操作系统、自己刻主板、自己编操作系统软件的计算机网络高手。 第一代黑客们劝告那些有着黑客梦的大中小学生们，想当黑客不能浮躁：必须要掌握相当的计算机网络知识，对于网络安全有深刻的认识，有健康的黑客观。否则，拿着个傻瓜化的黑客软件就想黑人家的网站，从别人的电脑里取资料，只会害人害己。

他们建议网民勤打补丁 第一代黑客称，中国的网站，80%以上有漏洞。中国个人电脑上网时的漏洞更多。他们对家庭电脑用户的建议是，多给自己的电脑系统打个补丁。 在微软Windows操作系统里发现了20多个漏洞的彭哥称，由于微软对这些漏洞都已承认，并开发出了补丁软件进行修改。个人用户只需在微软的网站上下载这些补丁软件，勤打补丁就行了。

著名黑客软件冰河的作者黄鑫及Wollf木马的作者王娟称，除了勤打补丁外，最好能够安装杀毒软件及防火墙软件。一般来说，只要装上国内目前的几款软件网络安全软件，就能够防止已知黑客软件的攻击。

网络安全的基本概念 什么是网络安全？ 网络安全主要解决数据保密和认证的问题。

数据保密就是采取复杂多样的措施对数据加以保护，以防止数据被有意或无意地泄露给无关人员。 认证分为信息认证和用户认证两个方面 信息认证是指信息从发送到接收整个通路中没有被第三者修改和伪造， 用户认证是指用户双方都能证实对方是这次通信的合法用户。通常在一个完备的保密系统中既要求信息认证，也要求用户认证。

网络安全包括OSI-RM各层 事实上，每一层都可以采取一定的措施来防止某些类型的网络入侵事件，在一定程度上保障数据的安全。 物理层——可以在包容电缆的密封套中充入高压的氖气； 链路层——可以进行所谓的链路加密，即将每个帧编码后再发出，当到达另一端时再解码恢复出来； 网络层——可以使用防火墙技术过滤一部分有嫌疑的数据报； 在传输层上甚至整个连接都可以被加密。

网络安全定义 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。 （1）运行系统安全，即保证信息处理和传输系统 的安全。 （2）网络上系统信息的安全。 （3）网络上信息传播的安全，即信息传播后果的安全。 （4）网络上信息内容的安全，即我们讨论的狭义的“信息安全”。

网络安全应具备四个特征 保密性：信息不泄露给非授权的用户、实体或过程，或供其利用的特性； 完整性：数据未经授权不能进行改变的特性，即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性；

可用性：可被授权实体访问并按需求使用的特性，即当需要时应能存取所需的信息，网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击； 可控性：对信息的传播及内容具有控制能力。

主要的网络安全的威胁 （1）非授权访问（Unauthorized Access）： 一个非授权的人的入侵。 （2）信息泄露（Disclosure of Information）： 造成将有价值的和高度机密的信息暴露给无权访问该信息的人的所有问题。 （3）拒绝服务（Denial of Service）： 使得系统难以或不可能继续执行任务的所有问题。

网络安全的关键技术 主机安全技术 身份认证技术 访问控制技术 密码技术 防火墙技术 病毒防治技术 安全审计技术 安全管理技术

制定安全策略涉及四方面 网络用户的安全责任 系统管理员的安全责任 正确利用网络资源 检测到安全问题时的对策

计算机安全的分类 根据中国国家计算机安全规范，计算机的安全大致可分为三类： 1）实体安全。包括机房、线路、主机等； 2）网络安全。包括网络的畅通、准确以及网上信息的安全； 3）应用安全。包括程序开发运行、I/O、数据库等的安全。

网络安全分类 基本安全类：包括访问控制、授权、认证、加密以及内容安全。 管理与记账类安全：包括安全的策略的管理、实时监控、报警以及企业范围内的集中管理与记账。 网络互联设备包括路由器、通信服务器、交换机等，网络互联设备安全正是针对上述这些互联设备而言的，它包括路由安全管理、远程访问服务器安全管理、通信服务器安全管理以及交换机安全管理等等。 连接控制类包括负载均衡、可靠性以及流量管理等。

安全威胁的类型 非授权访问 假冒合法用户 数据完整性受破坏 病毒 通信线路被窃听 干扰系统的正常运行，改变系统正常运行的方向，以及延时系统的响应时间

计算机系统本身的弱点 操作系统的创建进程机制 远程过程调用（RPC）服务以及它所安排的无口令入口 存在超级用户 硬件或软件故障 协议安全的脆弱性 数据库管理系统安全的脆弱性

网络信息安全系统组成 一个完整的网络信息安全系统至少包括三类措施： 社会的法律政策，企业的规章制度及网络安全教育等外部环境； 技术方面的措施，如防火墙技术、防病毒。信息加密、身份确认以及授权等； 审计与管理措施，包括技术与社会措施。

网络信息安全系统组成

网络安全策略考虑因素 对于内部用户和外部用户分别提供哪些服务程序； 初始投资额和后续投资额（新的硬件、软件及工作人员）； 方便程度和服务效率； 复杂程度和安全等级的平衡以及网络性能。

网络安全关键技术 信息包筛选（基于包过滤的防火墙）

网络安全关键技术 应用中继器（代理技术）

网络安全关键技术 加密技术

网络安全系统提供安全的常用方法 用备份和镜像技术提高数据完整性 病毒检查 补丁程序，修补系统漏洞 提高物理安全 安装因特网防火墙 废品处理守则 仔细阅读日志 加密 执行身份鉴别，口令守则 捕捉闯入者

从计算机系统可靠性方面可以采取的网络安全性措施有： 1）选择性能优良的服务器。 2）采用服务器备份。 3）对重要网络设备、通信线路备份。

网络安全的评估 网络安全评估是网络安全的必不可少的工作，评估的内容有： 确定有关网络安全的方案； 对已有的网络安全方案进行审查； 确定与网络安全方案有关的人员，并确定对网络资源可以直接存取的人或单位（部门）； 确保所需要的技术能使网络安全方案得以落实；

确定内部网络的类型 确定接入互联网的方式； 确定单位内部能提供互联网访问的用户，并明确互联网接入用户是固定的还是移动的； 是否需要加密，如果需要加密，必须说明要求的性质。

第10章 网络安全 本章内容 网络安全基本概念 信息安全技术 防火墙技术 网络病毒 63

信息安全技术 数据加密 用户认证 数字签名 加密技术应用案例

数据加密 P=Dk（Ek（P））

网络入侵 网络入侵者分为消极入侵者和积极入侵者两种 消极入侵者只是窃听而已，并不对数据造成破坏； 积极入侵者会截获密文，篡改数据甚至伪造假数据送入网中。

密码分析和密码学 破译密码的技术叫做密码分析 设计密码和破译密码的技术统称为密码学

基本加密模型 密码学的一条基本原则是：必须假定破译者知道通用的加密方法，也就是说加密算法E是公开的。 基本加密模型：加密算法是公开的和相对稳定的，而作为参数的密钥是保密的，并且是易于更换的。

密码分析问题分类 从破译者的角度来看，密码分析所面对的问题有三种主要的变型： 当仅有密文而无明文时，称为“只有密文”问题； 当已拥有了一批相匹配的明文和密文时，称为“已知明文”问题； 当能够加密自己所选的一些明文时，称为“选择明文”问题。

安全的密码系统 一个密码系统仅能经得起“只有密文”的攻击还不能算是安全的，因为破译者完全可以从一般的通信规律中猜测出一部分的明文，从而就会拥用一些匹配的明文和密文，这对破译工作将大为有用。 真正安全的密码系统应是，即使破译者能够加密任意数量的明文，也无法破译密文。

传统加密技术 密码学的历史非常悠久，传统的加密方法可以分成两类： 替代密码 换位密码

替代密码 定义：替代密码就用一组密文字母来代替一组明文字母以隐藏明文，但保持明文字母的位置不变。

缺点：容易破译，因为最多只需尝试25次（k=1～25）即可轻松破译密码。 凯撒密码——最古老的地带密码 凯撒密码，它用D表示a，用E表示b，用F表示c，……，用C表示z，也就是说密文字母相对明文字母左移了3位。 更一般地，可以让密文字母相对明文字母左移k位，这样k就成了加密和解密的密钥。 记法约定：用小写表示明文，用大写表示密文

替代密码-单字母表替换 单字母表替换：使明文字母和密文字母之间的映射关系没有规律可循，比如将26个英文字母随意映射到其他字母上。 破译者只要拥有很少一点密文，利用自然语言的统计特征，很容易就可破译密码。 破译的关键在于找出各种字母或字母组合出现的频率

虽然破译多字母密码表要困难一些，但如果破译者手头有较多的密文，仍然是可以破译的。破译的诀窍在于猜测密钥的长度。 替代密码-多张密码字母表 虽然破译多字母密码表要困难一些，但如果破译者手头有较多的密文，仍然是可以破译的。破译的诀窍在于猜测密钥的长度。 对明文中不同位置上的字母用不同的密码字母表来加密。如：

换位密码 换位有时也称为排列，它不对明文字母进行变换，只是将明文字母的次序进行重新排列。 例： C O M P U T E R 明文 pleaseexecutethelatestScheme 1 4 3 5 8 7 2 6 p e a s x c u t h 密文 PELHEHSCEUTMLCAE ATEEXECDETTBSESA m b d

换位密码的破译 第一步是判断密码类型是否为换位密码。 第二步是猜测密钥的长度，也即列数。 第三步是确定各列的顺序。

秘密密钥算法 在传统加密算法的基础上，充分利用计算机的处理能力，将算法内部的变换过程设计的非常复杂，并使用较长的密钥，使得攻击者对密文的破译变得非常困难。甚至，在攻击者即使掌握了加密算法的本身，也会由于不知道密钥而得不到明文。由于这种体制将算法和密钥进行了分离，并且算法的保密性完全依赖于密钥的安全性，因此，被称为秘密密钥加密体制。

换位密码和替代密码可以用简单的电路来实现。 电路实现 图（a）是一个实现换位密码的基本部件，称为P盒（P-box），它将输入顺序映射到某个输出顺序上，只要适当改变盒内的连线，它就可以实现任意的排列。 图（b）是一个实现替代密码的基本部件，称为S盒（S-box），它由一个3-8译码器、一个P盒和一个8-3编码器组成。一个3比特的输入将选择3-8译码器的一根输出线，该线经P盒换位后从另一根线上输出，再经8-3编码器转换成一个新的3比特序列。将P盒和S盒相复合构成乘积密码系统，就可以实现非常复杂的加密算法。 换位密码和替代密码可以用简单的电路来实现。 图（c）是一个乘积密码系统的例子。一个12比特的明文经第一个P盒排列后，按3比特一组分成4组，分别进入4个不同的S盒进行替代，替代后的输出又经第二个P盒排列，然后再进入4个S盒进行替代，这个过程重复进行直至最后输出密文。只要级联的级数足够大，算法就可以设计得非常复杂。

密钥分发问题 秘密密钥的一个弱点是解密密钥必须和加密密钥相同，这就产生了如何安全地分发密钥的问题。 传统上是由一个中心密钥生成设备产生一个相同的密钥对，并由人工信使将其传送到各自的目的地。 对于一个拥有许多部门的组织来说，这种分发方式是不能令人满意的，尤其是出于安全方面的考虑需要经常更换密钥时更是如此。

破译者即使能加密任意数量的选择明文，也无法破译密码。 公开密钥算法 在公开密钥算法中，加密密钥和解密密钥是不同的，并且从加密密钥不能得到解密密钥。为此，加密算法E和解密算法D必须满足以下的三个条件： ① D（E（P））=P； ② 从E导出D非常困难； ③ 使用“选择明文”攻击不能攻破E。 如果能够满足以上三个条件，则加密算法完全可以公开。 将解密算法D作用于密文E（P）后就可获得明文P 不可能从E导出D 破译者即使能加密任意数量的选择明文，也无法破译密码。

公开密钥算法的基本思想 如果某个用户希望接收秘密报文，他必须设计两个算法：加密算法E和解密算法D，然后将加密算法放于任何一个公开的文件中广而告知，这也是公开密钥算法名称的由来，他甚至也可以公开他的解密方法，只要他妥善保存解密密钥即可。

当两个完全陌生的用户A和B希望进行秘密通信时，各自可以从公开的文件中查到对方的加密算法。 若A需要将秘密报文发给B， 则A用B的加密算法EB对报文进行加密，然后将密文发给B，B使用解密算法DB进行解密，而除B以外的任何人都无法读懂这个报文； 当B需要向A发送消息时，B使用A的加密算法EA对报文进行加密，然后发给A，A利用DA进行解密。

在这种算法中，每个用户都使用两个密钥：加密密钥是供其他人向他发送报文用的，这是公开的；解密密钥是用于对收到的密文进行解密的，这是保密的。 通常用公开密钥和私人密钥分别称呼公开密钥算法中的加密密钥和解密密钥，以同传统密码学中的秘密密钥相区分。 由于私人密钥只由用户自己掌握，不需要分发给别人，也就不用担心在传输的过程中或被其他用户泄密，因而是极其安全的。

用公开密钥算法解决密钥分发问题： 中心密钥生成设备产生一个密钥后，用各个用户公开的加密算法对之进行加密，然后分发给各用户，各用户再用自己的私人密钥进行解密，既安全又省事。 两个完全陌生的用户之间，也可以使用这种方法很方便地商定一个秘密的会话密钥。

RSA算法 参数计算： 选择两个大素数p和q（典型值为大于10100）； 计算n＝p×q和z＝（p－1）×（q－1）； 选择一个与z互质的数，令其为d； 找到一个e使其满足e×d=1（mod z）。

RSA加密过程 首先将明文看成是一个比特串，将其划分成一个个的数据块P且有0≤P＜n。 对数据块P进行加密，计算C=Pe（mod n），C即为P的密文； 对C进行解密，计算P=Cd（mod n）。 公开密钥由（e，n）组成，私人密钥由（d，n）组成。

例题 假设取p=3，q＝11 n＝p × q=33 z＝(p-1) × (q-1)=20 取d=7，解方程7e=1（mod 20） e=3 公开密钥为（3，33） 私人密钥为（7，33）

例题 假设明文：M=4 C=Me（mod n）=43（mod 33）＝31 即密文为C＝31。 对密文解密： M=Cd（mod n）＝317（mod 33）=4 即可恢复出原文。

RSA算法的安全性 RSA算法的安全性建立在难以对大数提取因子的基础上，如果破译者能对已知的n提取出因子p和q就能求出z，知道了z和e，就能求出d。 所幸的是，300多年来虽然数学家们已对大数的因式分解问题作了大量研究，但并没有取得什么进展，到目前为止这仍是一个极其困难的问题。

用户认证 定义：通信双方在进行重要的数据交换前，常常需要验证对方的身份，这种技术称为用户认证。 在实际的操作中，除了认证对方的身份外，同时还要在双方间建立一个秘密的会话密钥，该会话密钥用于对其后的会话进行加密。 每次连接都使用一个新的随机选择的密钥

基于共享秘密密钥的用户认证协议 假设在A和B之间有一个共享的秘密密钥KAB 。某个时候A希望和B进行通信，于是双方采用如图所示的过程进行用户认证。 使用共享秘密密钥进行用户认证

使用密钥分发中心的用户认证协议 要求通信的双方具有共享的秘密密钥有时是做不到的，另外如果某个用户要和n个用户进行通信，就需要有n个不同的密钥，这给密钥的管理也带来很大的麻烦。 解决的办法是引进一个密钥分发中心（Key Distribution Center，KDC）。KDC是可以信赖的，并且每个用户和KDC间有一个共享的秘密密钥，用户认证和会话密钥的管理都通过KDC来进行。

KDC举例 如图所示，A希望和B进行通信 一个用KDC进行用户认证的协议 重复攻击问题： 假如有个C，当他为A提供了一定的服务后，希望A用银行转账的方式支付他的酬金，于是A和B（银行）建立一个会话，指令B将一定数量的金额转至C的账上。 这时C将KDC发给B的密文和随后A发给B的报文复制了下来，等会话结束后，C将这些报文依次重发给B， 而B无法区分这是一个新的指令还是一个老指令的副本，因此又将相同数量的金额转至C的账上，这个问题称为重复攻击问题。 为解决这个问题，可以在每个报文中放一个一次性的报文号，每个用户都记住所有已经用过的报文号，并将重复编号的报文丢弃。另外还可以在报文上加一个时间戳，并规定一个有效期，当接收方收到一个过期的报文时就将它丢弃。 KDC举例 如图所示，A希望和B进行通信 一个用KDC进行用户认证的协议

使用公开密钥算法的用户认证协议 使用公开密钥进行用户认证

数字签名 一个可以替代手迹签名的系统必须满足以下三个条件： ① 接收方通过文件中的签名能认证发送方的身份； ② 发送方以后不能否认发送过签名文件； ③ 接收方不可能伪造文件内容。

数字签名的实现方法 使用秘密密钥算法的数字签名 使用公开密钥算法的数字签名 报文摘要

使用秘密密钥算法的数字签名 这种方式需要一个可以信赖的中央权威机构（Centra1 Authority，以下简称CA）的参与，每个用户事先选择好一个与CA共享的秘密密钥并亲自交到CA，以保证只有用户和CA知道这个密钥。 除此以外，CA还有一个对所有用户都保密的秘密密钥KCA。

使用秘密密钥算法的数字签名 当A想向B发送一个签名的报文P时，它向CA发出KA（B，RA，t，P），其中RA为报文的随机编号，t为时间戳； CA将其解密后，重新组织成一个新的密文KB（A，RA，t，P，KCA（A，t，P））发给B，因为只有CA知道密钥KCA，因此其他任何人都无法产生和解开密文KCA（A，t，P）； B用密钥KB解开密文后，首先将KCA（A，t，P）放在一个安全的地方，然后阅读和执行P。

验证 当过后A试图否认给B发过报文P时，B可以出示KCA（A，t，P）来证明A确实发过P，因为B自己无法伪造出KCA（A，t，P），它是由CA发来的，而CA是可以信赖的，如果A没有给CA发过P，CA就不会将P发给B，这只要用KCA对KCA（A，t，P）进行解密，一切就可真相大白。 为了避免重复攻击，协议中使用了随机报文编号RA和时间戳t。B能记住最近收到的所有报文编号，如果RA和其中的某个编号相同，则P就被当成是一个复制品而丢弃，另外B也根据时间戳t丢弃旧报文，以防止攻击者经过很长一段时间后，再用旧报文来重复攻击。

使用公开密钥算法的数字签名 使用公开密钥算法的数字签名，其加密算法和解密算法要同时满足 D（E（P））= P； E（D（P））= P。 这个假设是可能的，因为RSA算法就具有这样的特性。 数字签名的过程如图所示。 EB（DA（P））

验证 当A过后试图否认给B发过P时，B可以出示DA（P）作为证据，因为B没有A的私人密钥DA，除非A确实发过DA（P），否则B是不会有这样一份密文的，只要用A的公开密钥EA解开DA（P），就可以知道B说的是真话。

算法存在的问题 这种数字签名看上去很好，但在实际的使用中也存在一些问题，这些问题不是算法本身的问题，而是和算法的使用环境有关。 首先只有DA仍然是秘密的，B才能证明A确实发送过DA（P），如果A试图否认这一点，他只需公开他的私人密钥，并声称他的私人密钥被盗了，这样任何人包括B都有可能发送DA（P）； 其次是A改变了他的私人密钥，出于安全因素的考虑，这种做法显然是无可非议的，但这时如果发生纠纷的话，裁决人用新的EA去解老的DA（P），就会置B于非常不利的地位。

报文摘要 使用一个单向的哈希（Hash）函数，将任意长的明文转换成一个固定长度的比特串，然后仅对该比特串进行加密。这样的方法通常称为报文摘要（Message Digest，MD），它必须满足以下三个条件： ① 给定P，很容易计算出MD（P）； ② 给出MD（P），很难计算出P； ③ 任何人不可能产生出具有相同报文摘要的两个不同的报文。 为满足条件3，MD（P）至少必须达到128位，实际上有很多函数符合以上三个条件。

报文摘要-CA KCA（A，t，MD（P））

报文摘要-公开密钥密码系统 在公开密钥密码系统中，使用报文摘要进行数字签名的过程如图所示。 P,DA（MD（P）） 使用报文摘要的数字签名

加密技术应用案例

第10章 网络安全 本章内容 网络安全基本概念 信息安全技术 防火墙技术 网络病毒 108

防火墙技术 防火墙（Firewall）是在两个网络之间执行访问控制策略的硬件或软件系统，目的是保护网络不被他人侵扰。 本质上，它遵循的是一种数据进行过滤的网络通信安全机制，只允许授权的通信，而禁止非授权的通信。 通常，防火墙就是位于内部网或Web站点与因特网之间的一台路由器或计算机。

通常，部署防火墙的理由包括： 防火墙应该有以下功能： 防止入侵者干扰内部网络的正常运行； 防止入侵者删除或修改存储再内部网络中的信息； 防止入侵者偷窃内部的秘密信息。 防火墙应该有以下功能： 所有进出网络的通信流都应该通过防火墙。 所有穿过防火墙的通信流都必须有安全策略和计划的确认和授权。 理论上说，防火墙是穿不透的 。

内部网需要防范的三种攻击 间谍、试图偷走敏感信息的黑客、入侵者和闯入者。 盗窃，盗窃对象包括数据、Web表格、磁盘空间和CPU资源等。 破坏系统：通过路由器或主机／服务器蓄意破坏文件系统或阻止授权用户访问内部网（外部网）和服务器。

防火墙在因特网与内部网中的位置

防火墙体系结构 1．双重宿主主机体系结构 2．主机过滤体系结构 3．子网过滤体系结构 4. 堡垒主机的安全防护

双重宿主主机 双重宿主主机结构是围绕具有双重宿主的计算机而构筑的。 该计算机至少有两个网络接口，这样的主机可以充当与之相连的网络之间的路由器，并能够在网络之间转发IP数据包。 防火墙内部的网络系统能与双重宿主主机通信，同时防火墙外部的网络系统（在因特网上）也能与双重宿主主机通信。 通过双重宿主主机，防火墙内外的计算机便可进行通信了，但是这些系统不能直接互相通信，它们之间的IP通信被完全阻止（这意味着双重宿主主机具有两个不同的IP地址，一个属于外网，另一个属于内网）。

双重宿主主机防火墙结构 双重宿主主机防火墙结构是相当简单的，双重宿主主机位于两者之间，并且被连接到因特网和内部的网络。

主机过滤体系结构 在主机过滤体系结构中提供安全保护的主机仅仅与内部网相连。主机过滤结构有一台单独的路由器（过滤路由器）。在这种体系结构中，主要的安全能力由路由器的数据包过滤特性提供，其结构双重宿主主机防火墙结构类似，只是双重宿主主机由路由器替代。

子网过滤结构 子网过滤体系结构添加了额外的安全层到主机过滤体系结构中，即通过添加参数网络，更进一步地把内部网络与因特网隔离开 。

参数网络 参数网络是在内外部网之间另加的一层安全保护网络层。如果入侵者成功地闯过外层保护网到达防火墙，参数网络就能在入侵者与内部网之间再提供一层保护。

如果入侵者仅仅侵入到参数网络的堡垒主机，他只能偷看到参数网络的信息流，看不到内部网的信息，而参数网络的信息流仅从参数网络往来于外部网或者从参数网络往来于堡垒主机。因为没有纯粹的内部信息流（内部主机间互传的重要和敏感的信息）在参数网络中流动，所以即使堡垒主机受到损害也不会让入侵者破坏内部网的信息流。

堡垒主机 在子网过滤结构中，堡垒主机与参数网络相连，而这台主机是外部网服务于内部网的主节点。 它为内部网服务的主要功能有： ① 它接收外来的电子邮件再分发给相应的站点； ② 它接收外来的FTP，并连到内部网的匿名FTP服务器； ③ 它接收外来的有关内部网站点的域名服务。 向外的服务功能可用以下方法来实施： ① 在内、外部路由器上建立包过滤，以便内部网的用户可直接操作外部服务器； ② 在主机上建立代理服务，在内部网的用户与外部的服务器之间建立间接的连接。

内部路由器 内部路由器的主要功能是保护内部网免受来自外部网与参数网络的侵扰。 内部路由器完成防火墙的大部分包过滤工作，它允许某些站点的包过滤系统认为符合安全规则的服务在内外部网之间互传。根据各站点的需要和安全规则，可允许的服务是以下这些外向服务中的若干种，如：Telnet、FTP、WAIS、Archie、Gopher或者其他服务。

外部路由器 外部路由器既可保护参数网络又保护内部网。实际上，在外部路由器上仅做一小部分包过滤，它几乎让所有参数网络的外向请求通过，而外部路由器与内部路由器的包过滤规则是基本上相同的。 外部路由器的包过滤主要是对参数网络上的主机提供保护。然而，一般情况下，因为参数网络上主机的安全主要通过主机安全机制加以保障，所以由外部路由器提供的很多保护并非必要。外部路由器真正有效的任务就是阻断来自外部网上伪造源地址进来的任何数据包。这些数据包自称是来自内部网，而其实它是来自外部网。

堡垒主机的安全防护 堡垒主机目前一般有以下三种类型： 无路由双宿主主机 牺牲主机 内部堡垒主机

堡垒主机应提供的服务类型 （1）无风险服务，仅仅通过包过滤便可实施的服务。 （2）低风险服务，在有些情况下这些服务运行时有安全隐患，但加以一些安全控制措施便可消除安全问题。 （3）高风险服务，在使用这些服务时无法彻底消除安全隐患；这类服务一般应被禁用，特别需要时也只能放置在主机上使用。 （4）禁用服务，应被彻底禁止使用的服务 。

壁垒主机应提供的具体服务 ① FTP：文件传输服务； ② WAIS ：基于关键字的信息浏览服务； ③ HTTP ：超文本方式的信息浏览服务； ④ NNTP ： Usenet新闻组服务； ⑤ Gopher ：菜单驱动的信息浏览服务； SMTP ：电子邮件服务； DNS ：域名服务。

建立堡垒主机的步骤 （1）给堡垒主机一个安全的运行环境。 （2）关闭机器上所有不必要的服务软件。 （3）安装或修改必需的服务软件。 （4）根据最终需要重新配置机器。 （5）核查机器上的安全保障机制。 （6）将堡垒主机连入网络。

建立堡垒主机应该注意以下几点： （1）要在机器上使用最小的、干净的和标准的操作系统。 （2）应该认真对待每一条从计算机紧急救援协作中心获得的针对用户目前工作平台的安全建议。 （3）要经常使用检查列表（Checklist）。 （4）要保护好系统的日志。

对堡垒主机进行监测 主要的监视内容有： （l）一般在同一时刻大概会有几个作业在运行？ （2）每个作业一般花费多少CPU时间？ （3）一天内哪些时间是系统重载的时间？ 有条件还可采用专门的软件对堡垒主机进行自动监测。

防火墙类型 1）从软、硬件形式上分为：软件防火墙和硬件防火墙以及芯片级防火墙。 2）从防火墙技术分为：“包过滤型”、“状态检测型”和“应用代理型”三大类。 3）从防火墙结构分为：单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。 4）按防火墙的应用部署位置分为： 边界防火墙、个人防火墙和混合防火墙三大类。 5）按防火墙性能分为：百兆级防火墙和千兆级防火墙两类。

包（分组）过滤型防火墙 包过滤（Packet Filtering）是防火墙最基本的实现形式，它控制哪些数据包可以进出网络而哪些数据包应被网络拒绝。 包过滤防火墙通常是放置在因特网与内部网络之间的一个具备包过滤功能的简单路由器，这是因为包过滤是路由器的固有属性。

包过滤可依据以下三类条件允许或阻止数据包通过路由器： 包的源地址及源端口； 包的目的地址及目的端口； 包的传送协议，如FTP、SMTP、rlogin等。

包过滤的优点 简单、易于实现、对用户透明、路由器免费提供此功能。 仅用一个放置在内部网与因特网边界上的包过滤路由器就可保护整个内部网络。

包过滤的缺点 编制逻辑上严密无漏洞的包过滤规则比较困难，对编制好的规则进行测试维护也较麻烦。 维护复杂的包过滤规则也是一件很麻烦的事情 包过滤规则的判别会降低路由器的转发速度 对包中的应用数据无法过滤 它总是假定包头部信息是合法有效的。 以上这些缺点使得包过滤技术通常不单独使用，而是作为其他安全技术的一种补充。

包过滤规则 在配置包过滤路由器时，首先要确定哪些服务允许通过而哪些服务应被拒绝，并将这些规定翻译成有关的包过滤规则（在路由器中，包过滤规则又被称为访问控制表（Access List））。 下面给出将有关服务翻译成包过滤规则时非常重要的几个概念。 协议的双向性 “往内”与“往外”的含义 “默认允许”与“默认拒绝”

包过滤处理流程

包过滤规则设计示例 假设网络策略安全规则确定：从外部主机发来的因特网邮件由特定网关“Mail-GW”接收，并且要拒绝从不信任的主机“CREE-PHOST”发来的数据流。在这个例子中，SMTP使用的网络安全策略必须翻译成包过滤规则。为便于理解，把网络安全规则翻译成下列中文形式： [过滤器规则1]：不相信从CREE-PHOST来的连接。 [过滤器规则2]：允许与邮件网关Mail-GW的连接。

以上规则被编成如下表的形式。其中星号（*）表明它可以匹配该列的任何值。 序号 动作 内部主机 内 外部主机 外 说明 1 阻塞 * Cree-phost 阻塞来自Cree-phost的流量 2 允许 Mail-GW 25 允许邮件网关Mail-GW的连接 3 允许输出SMTP至远程邮件网关 这些规则应用的顺序与它们在表中的顺序相同。如果一个包不与任何规则匹配，它就会遭到拒绝。

状态监测型防火墙 采用动态设置包过滤规则的方法，避免了静态包过滤所具有的问题。 采用这种技术的防火墙对通过其建立的每一个连接都进行跟踪，并且根据需要可动态地在过滤规则中增加或更新条目。

应用代理型防火墙 应用代理型防火墙是工作在OSI的最高层，即应用层。其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。 代理服务就是指定一台有访问因特网能力的主机作为网络中客户端的代理去与因特网中的主机进行通信。

代理服务器的工作 代理服务器判断从客户端来的请求并决定哪些请求允许传送而哪些应被拒绝。当某个请求被允许时，代理服务器就代表客户与真正的服务器进行交谈，并将从客户端来的请求传送给真实服务器，将真实服务器的回答传送给客户。

代理的工作过程

代理型防火墙版本 第一代：应用网关型代理防火 第二代：自适应代理防火墙。

代理类型防火墙优缺点 优点： 安全 避免了入侵者使用数据驱动类型的攻击方式入侵内部网 缺点： 速度相对比较慢

代理服务器特殊类型 应用级与电路级代理 公共与专用代理服务器 智能代理服务器

防火墙的应用 因特网应用的代理特点 选择防火墙的原则

电子邮件（E-mail）的代理特点 一个服务器，用来向外部主机发送邮件或从外部主机接收邮件。 发信代理，用于将邮件正确地放入本地主机邮箱中。 用户代理，用于让收信人阅读邮件并编排出站邮件。

简单邮件传输协议（SMTP）的代理特点 由于任何一个SMTP服务器都有可能为其它站点进行邮件转发，因而很少将它设置成一个单独的代理。大多数站点将输入的SMTP连接到一台安全运行SMTP服务的堡垒主机上，该堡垒主机就是一个代理。

邮局协议（POP）的代理特点 邮局协议（POP）对于代理系统来说非常简单，因为它采用单个连接。内置的支持代理的POP客户程序还很少，主要原因是POP多用于局域网，而很少用于因特网。

文件传输FTP 两个端口 反向方式

远程登录（Telnet）、存储转发协议（NNTP）、超文本传输协议（HTTP）都可以很好的支持代理的方案。

域名服务（DNS） DNS具有这样的结构：可以使服务器充当客户程序的代理。利用DNS能够转发自身的特点，可以使一个DNS服务器成为另一个DNS服务器的代理。在真正的实现时，大多数情况可以修改DNS库来使用修改的客户程序代理。在不支持动态连接的机器上，使用DNS的修改客户程序的代理需要重新编译网络中使用的每个程序。

选择防火墙的原则 选择防火墙的原则如下： 1.防火墙自身的安全性 2.考虑特殊的需求 （1）IP地址转换（IP Address Translation）。 （2）双重DNS。 （3）虚拟企业网络（VPN）。 （4）病毒扫描功能。 （5）特殊控制需求。

第10章 网络安全 本章内容 网络安全基本概念 信息安全技术 防火墙技术 网络病毒 153

网络病毒 什么是计算机病毒 ? 计算机病毒是一种“计算机程序”，它不仅能破坏计算机系统，而且还能够传播、感染到其他系统。它通常隐藏在其它看起来无害的程序中，能复制自身并将其插入其他的程序中，执行恶意的行动。

计算机病毒分类 （1）文件病毒 （2）引导扇区病毒 （3）多裂变病毒 （4）秘密病毒 （5）变异病毒 （6）宏病毒

宏病毒及网络病毒 宏病毒 宏是软件设计者为了在使用软件工作时，避免一再的重复相同的动作而设计出来的一种工具。它利用简单的语法，把常用的动作写成宏，当再工作时，就可以直接利用事先写好的宏自动运行，去完成某项特定的任务，而不必再重复相同的动作。 “宏病毒”，就是利用宏命令编写成的具有复制、传染能力的宏。 宏病毒是一种新形态的计算机病毒，也是一种跨平台的计算机病毒，可以在Windows 9X、Windows NT、OS/2和Macintosh System 7等操作系统上执行病毒行为。

宏病毒特征 ① 宏病毒会感染.doc文档和.dot模板文件。 ② 宏病毒的传染通常是Word在打开一个带宏病毒的文档或模板时，激活宏病毒。病毒宏将自身复制到Word通用（Normal）模板中，以后在打开或关闭文件时宏病毒就会把病毒复制到该文件中。 ③ 多数宏病毒包含AutoOpen、AutoClose、AutoNew和AutoExit等自动宏，通过这些自动宏病毒取得文档（模板）操作权。

宏病毒特征 ④ 宏病毒中总是含有对文档读写操作的宏命令。 ⑤ 宏病毒在.doc文档、.dot模板中以.BFF（Binary File Format）格式存放，这是一种加密压缩格式，不同Word版本格式可能不兼容。

宏病毒的防治和清除方法 （1）使用选项“提示保存Normal模板” （2）不要通过Shift键来禁止运行自动宏 （3）查看宏代码并删除 （4）使用DisableAutoMacros宏 （5）使用Word的报警设置 （6）设置Normal.dot的只读属性 （7）Normal.dot的密码保护

病毒入侵网络的途径 病毒入侵网络的途径主要有两种 ： 局域网 因特网

局域网方面 病毒入侵局域网的主要途径是通过工作站传播到服务器硬盘，再由服务器的共享目录传播到其他工作站。 还有很多病毒可以通过特殊的网络协议在局域网内传播，如ARP病毒。

因特网方面 主要有以下四类 ： 1）木马病毒（Trojan horse virus） 2）蠕虫病毒（Worm virus） 3）恶意软件（Malicious software） 4）电子邮件病毒

防治办法 通过采取技术上和管理上的措施，计算机病毒是完全可以防范的。 目前最有效的防治办法是购买商业化的病毒防御解决方案及其服务，享受专业公司提供的不断升级的防病毒产品及服务。 较为成熟的方案和产品有诺顿多层次病毒防御方案、KV系列防病毒软件、金山系列防病毒软件和瑞星系列防病毒软件等。

小 结 网络管理 网络安全 *密码学 防火墙 代理服务 网络病毒的防治