1、第七章 計算機網絡數據安全和網絡管理 教學內容：7 1 計算機網絡安全7 2 網絡管理7 3 指揮自動化計算機網絡要求教學重點：計算機網絡安全教學難點：計算機網絡安全教學時間： 4 學時課程性質： 計算機網絡技術基礎學科。基本理念： 網絡技術主要是以硬件和協議分析，以及相關的通 信技術，網絡互連和數據安全等各個方面的學習。教學思路： 是以計算機網絡數據的安全為主，為學生簡單介紹 常用的用于保護網絡數據安全的策略和算法，主要 是以實際應用過程和方法為主。內容目標： 本章是要通過學習，使學生了解網絡安全的基礎知 識，特別是用于計算機安全的相關策略、應用和特 點作出說明。實踐分析： 因為內容和實際應

2、用有一定的聯系，所以可以通過 實例分析和說明的方式更生動的講述相關內容。問題思考： 對一些重要的內容，對學生提出問題，使他們能夠 自己思考理解。具體問題： 1、網絡安全的威脅因素有哪些？2、網絡安全策略有哪些？3、密鑰密碼體制有幾種？4、防火墻實現技術有幾種？5、如果你要組建一個網絡，你會采用什么安全策 略。#第七章 計算機網絡數據安全和網絡管理第一節 計算機網絡安全計算機網絡數據安全和網絡管理在網絡中是十分重要的概 念。包括計算機網絡安全標準，數據加密技術中 DES和RS基 本概念以及防火墻技術等。一、網絡安全的威脅因素 威脅可分為兩種：對網絡中信息的威脅和對網絡中設備的 威脅。威脅網絡安全

3、的因素很多， 有些因素可能是人為的破壞， 也有的可能是非人為的失誤。網絡安全的威脅因素：(1) 物理破壞。 對于一個網絡系統而言，其網絡設備可能會遇到諸如地 震、雷擊、 火災、水災等一類天災的破壞， 以及由于設備被盜、 鼠咬、靜電燒毀等而引起的系統損壞。(2) 系統軟件缺陷。 網絡系統軟件，包括網絡操作系統和應用程序等，不可能 百分之百的無缺陷和無漏洞。無論是 Windows或者UNIX都存 在或多或少的安全漏洞，這些漏洞恰恰是黑客進行攻擊的首選 目標。有些軟件公司的設計編程人員為了方便調試程序，在軟 件中設置了“后門”。(3) 人為失誤。 系統管理員在進行網絡管理時，難免出現人為失誤。這些

4、人為失誤包括諸如對防火墻配置不當而造成安全漏洞；用戶口 令選擇不慎或長期沒有變動；訪問權限設置不當；內部人員之間口令管理不嚴格，以及無意識的誤操作。(4) 網絡攻擊。網絡攻擊是計算機網絡所面臨的最大威脅。網絡攻擊可以 分為兩種：主動攻擊和被動攻擊。主動攻擊是以中斷、篡改、偽造等多種方式，破壞信息的 有效性和完整性，或冒充合法數據進行欺騙，以至破壞整個網 絡系統的正常工作。被動攻擊則是在不影響網絡正常工作的情況下，通過監聽、竊取、破譯等非法手段，以獲得重要的網絡機密信息。(5) 計算機病毒。如今網絡上傳播的計算機病毒，其傳播范圍更廣，破壞性 更大。病毒對網絡資源進行破壞，干擾網絡的正常工作，甚至

5、 造成整個網絡癱瘓，破壞硬件。二、網絡安全的要素和安全等級1 網絡安全的要素網絡安全的要素涉及保密性、完整性、可用性、可控性和 可審查性。(1) 保密性：只有獲得授權的用戶才允許訪問數據，包括 顯示、打印。(2) 完整性：只有獲得授權的用戶才允許增加、刪除和修 改數據，即確保數據傳遞的一致性。(3) 可用性：獲得授權的合法用戶或進程，只要需要就可 以隨時訪問相應的數據。(4) 可控性：對授權范圍內的信息可以對其流向及行為方 式進行控制。(5) 可審查性：能對出現的網絡安全問題提供調查的依據 和手段。2 網絡安全的安全等級 為了判斷一個計算機系統的安全性是否得當，幫助用戶解 決網絡安全問題，一些

6、組織各自制定了一套安全評估準則。其 中國外一些重要的安全評估準則有如下幾種：(1) 美國國防部(DOD)的可信計算機系統評估準則 (TCSEC)。(2) 歐洲共同體的信息技術安全評測準則 (ITSEC) 。(3) ISO 國際標準。(4) 美國聯邦標準。TCSEC 準則將計算機的安全等級分為四類七級，由低到高 依次為D1、C1、C2 B1、B2、B3 A1。從D1到A1，對安全的 要求逐漸變得越來越苛刻，能夠得到的安全保障也越來越高， 但安全處理所需費用也相應提高。了解各級標準，有利于衡量 一個計算機平臺的安全性，包括系統硬件及其操作系統的安全 性，以及更好地防范各種安全風險。TCSEC 準則

7、中各級的名稱如下：Al ：可驗證安全設計級B3 ：安全域級B2 ：結構化安全保護級B1 ：標記安全保護級C2 ：受控訪問保護級C1 ：自主安全保護級D1 ：最低的保護級在上述七個級別中，A1和B3級是最高安全的等級。它們 經得起程度不同的嚴格測試和攻擊，但成本也很高，只用于極 其重要的應用。B2級和B1級屬于中等安全保護級別，可滿足 重要應用的安全要求。目前，我國普遍應用的計算機，其操作 系統大都是引進國外的屬于 C1級和C2級產品。對于一般商業 環境中的操作系統，C2級安全保護已經夠用了。常見的 MS-DOS、Windows3.xWindows 95（非工作組方式 ） 計算機系統屬于 Dl

8、級。三、網絡安全策略 網絡安全受到多方面的威脅，必需采用必要的安全策略， 以保證網絡正常運行。下面介紹幾種常見的網絡安全策略：1 物理安全物理安全是指保護網絡系統，包括網絡服務器、工作站和 其他計算機設備等軟硬件實體，以及通信鏈路和配套設施，不 被人為破壞或免受自然災害損害。【加強設備運行環境的安全保護和嚴格安全管理制度】2 訪問控制訪問控制是網絡安全防范和保護的主要策略。其目的是保 護網絡資源不被非法使用和非法訪問。具體方法包括：(1) 身份認證。 身份認證是對用戶入網訪問時進行身份識別。常用的技術 是驗證用戶的用戶名和口令 ( 密碼) ，只有全部確認無誤，用戶 才能進入網絡系統，否則系統將

9、拒絕。(2) 權限控制。 進入系統的用戶被授予一定的操作權限。這些權限控制用 戶只能訪問某些目錄、文件和其它資源，并只能進行指定的相 關操作，不能越權使用系統，因而可以防止造成系統的破壞或 者泄露機密信息。3 數據加密 數據加密技術是保證網絡安全的重要手段，具體實現技術 包括對稱性加密和非對稱性加密兩類。4 防火墻 防火墻技術是一種由軟、硬件構成的安全系統。它設置在 外部網絡和內部網絡之間。通過一定的安全策略，可以抵御外 部網絡對內部網絡的非法訪問和攻擊。【包過濾和代理服務】四、數據加密技術 數據在網絡中傳輸時，由于網絡的不安全性，往往需要對 數據進行加密，即將傳輸的明文加密成密文。1 數據加

10、密模型數據加密技術中截馭若加密密鑰kt解雷議鑰kd數據加密過程中涉及到加密密鑰和解密密鑰，根據加密密 鑰和解密密鑰是否相同，常規密鑰密碼體制和公開密鑰密碼體制。【對稱性加密和非對稱性】2 .密鑰密碼體制(1) 常規密鑰密碼體制。常規密鑰密碼體制中，加密密鑰和解密密鑰是相同的，因 此又稱為對稱密鑰體制或單密鑰體制。在常規加密的模型中，輸入的信息包括明文和密鑰，經加 密算法操作后將輸出密文。【這種加密技術計算量小，加密效率高。安全地傳輸和管 理密鑰是一個比較困難的工作】常規密鑰密碼體制中的典型代表是計算機網絡中廣泛使用的 DES(Digital EncryptionStandard)算法。其保密性

11、主要取決于密鑰的保密程度。(2) 公開密鑰密碼體制。公開密鑰密碼體制中，加密密鑰和解密密鑰是不相同 的。其中加密密鑰是公開的，在網上公布，稱為“公用密鑰” ； 解密密鑰是保密的，由接收方妥善保管，稱為“私有密鑰” 。 因此這種密鑰體制又稱為非對稱密鑰體制或雙密鑰體制。公開 密鑰密碼體制的密鑰分配簡單，管理方便。也可以進行數字簽名，可以保證數據完整性和不可否認 性。這種情況下，發送方使用自己的私有密鑰對數據進行加密， 接收方則使用發送方已公開的公用密鑰對該“數字簽名”施行 “解密”。【RSA (Rivets Shamir Adlema n)算法】五、防火墻技術 防火墻技術被認為是一種十分有效的防

12、止外部入侵的工 具。防火墻是一種隔離控制技術。設置在被保護網絡和外部網 絡之間，通過監測、限制某些數據的進入或發出，盡可能地對 外屏蔽網絡內部的信息。可以阻止外部網絡對內部網絡的非法訪問，防止內部信息 資源泄露、竊取和篡改，并且可以阻止內部信息從網絡非法輸 出。【采用封堵端口的方式】防火墻是一種被動防衛技術，防止非法用戶入侵內部網 絡，對內部的非法訪問難以有效地控制。防火墻是在內部網絡 Interanet 和外部網絡 Internet 之 間建立一道安全屏障。1 防火墻的實現技術包括包過濾技術、應用網關技術。 包過濾(Packet Filter) 。包過濾技術中使用的主要設備是帶有包過濾功能的

13、路由 器或者是使用軟件進行包過濾的主機。通過在路由器上設置過 濾規則，檢查數據包中的源IP地址、目的IP地址、源TCP端 口號、目的TCP端口號和TCP鏈路狀態等信息。路由器能進行 路由選擇，在網絡層對數據包進行有選擇地通過或阻斷。規則鼻TP地址冃的IP地址功作AI34.LI.O尤許B拒絕C允許A 規則表示允許 網絡訪問 網絡。 B規則表示拒絕網絡訪問網絡。C規 則表示允許 網絡訪問0 號主機。包過濾技術在網絡層實現，具有處理速度快，對用戶透明的優點。但是配置繁瑣，維護

14、比較困難，而且阻止外部IP欺騙的能力差，因此難于防范人為攻擊。(2) 應用級網關。應用網關(Application Gateway)技術是建立在網絡應用層上的協議過濾。應用級網關防火墻控制著對應用程序的訪 問，即允許或阻止某些應用程序訪問其他應用程序，在應用層 上實現協議過濾和轉發。同時，還對數據包進行必要的分析和 統計。目前常用的應用網關技術是代理服務（Proxy Server）。代 理服務是運行在專用工作站（雙重宿主主機）上的專用應用級 程序。這種程序使所有外部網絡和內部網絡的通信鏈路分為兩段。由于內部網絡和外部網絡應用層的“鏈接”變成了兩個終 止于代理服務的“鏈接”，因而成功地實現了防火

15、墻的隔離功外部網絡 應用麗務器代理雎務器應用網關社理噩務程序內韶兩堵 工作站代理服務包括服務器端程序和客戶端程序。對于內部網絡 的客戶來說，它是一臺服務器，而對于外部網絡的服務器來說， 它是一臺客戶機。這種代理服務都是針對特定的應用層服務 的，允許或拒絕特定的應用程序。代理工作時，內部網絡客戶首先與代理服務器建立連接， 經過代理確認合法后，代理服務器再與外部網絡服務器建立連 接。應用網關代理是目前認為最安全的防火墻技術。從上面的 分析來看，它具有如下優點：1）將內部網絡和外部網絡隔離，起到屏蔽內部網絡結構和11信息的作用，例如屏蔽內部網絡的 IP 地址。2) 可實現較強的數據流監控、過濾、記錄

16、和報告等功能。3) 針對特定應用協議的過濾規則變得相對簡單，并能達到 更高程度的安全性要求。但是由于應用網關代理工作在應用層，將導致網絡整體性 能下降。同時應用代理是針對特定應用的，新的應用協議必須 開發新的應用代理，以致于程序開發工作量大。2 防火墻的結構 包過濾路由器和應用級網關是防火墻的兩種基本技術。它 們各自有自己的優缺點。常見的防火墻結構包括包過濾路由器、雙宿主主機防火 墻，以及基于包過濾和代理服務技術結合而形成的屏蔽式主機 (Screened Host) 防火墻和屏蔽式子網 (Screened Subnet) 防 火墻。(1) 包過濾路由器。 這種防火墻是將外部網絡和內部網絡通過一

17、個包過濾路 由器連接起來。包過濾路由器除完成路由功能以外，還利用其 上的過濾規則，實現防火墻功能。這是一種常見的最簡單的防 火墻。#主機(2) 雙宿主主機。雙宿主主機是指一臺安裝了兩塊網絡接口卡(NIC)的主#機，其中一塊網卡連接外部網絡，另一塊連接內部網絡，每塊 網卡上都有一個IP地址。雙宿主主機運行代理軟件而構成代理服務器時，同時要求 關閉操作系統的IP路由功能。此時，內部網絡和外部網絡的 通信完全由防火墻的代理服務程序進行轉發。(3) 屏蔽式主機。屏蔽式主機防火墻系統由一臺包過濾路由器和一臺“堡壘主機”組成。包過濾路由器與外部網絡In ternet 相聯，堡壘主 機安裝在內部網絡上，如圖

18、7-5所示。ntemet由部轉膳包過攏幅由器 1理組主機：屏蔽式主機防火墻系統所謂堡壘主機是指采取了相應的保護措施，可以防御外界 進攻的，形如“堡壘”的計算機。這種主機位于內部網絡之上。通常，運行通用的操作系統和代理程序，為內部網絡主機提供 代理服務。包過濾路由器只允許堡壘主機和外部網絡通信，使堡壘主 機成為外部網絡所能達到的惟一結點。并且通過其上設立的過 濾規則，控制內部網絡和外部網絡之間的通信，從而確保內部 網絡不受未授權者的外部攻擊。(4) 屏蔽式子網。通過建立一個屏蔽式子網將外部網絡In ternet和內部網 絡分開。屏蔽式子網由兩臺包過濾路由器和一臺堡壘主機構 成。一臺路由器和外部網

19、絡相連，稱為外部路由器；另一臺與 內部網絡相連，稱為內部路由器。屏蔽式子網中不僅可以有堡 壘主機，還可以包括 WW服務器、FTP服務器等，如圖7-6所示。防屏蔽式子網防火墻系統由于屏蔽式子網可以構成一個禁止穿行區，即外部網絡和 內部網絡均可訪問屏蔽式子網，但禁止它們穿過屏蔽子網進行 通信，因此屏蔽式子網又稱為非軍事區（DMZ），保護內部網絡 不受到安全威脅。15第二節 網絡管理為了使計算機網絡正常運轉，各種網絡資源高效利用，并 能及時報告和處理網絡故障，必須采用高效的網絡管理系統對 網絡進行管理。二、網絡管理功能在OSI網絡管理標準中，網絡管理功能分為5個基本模塊：(1) 配置管理模塊，完成定

20、義和刪除網絡資源，監測和控 制網絡資源的活動狀態和相互關系等。(2) 故障管理模塊，完成對故障的檢測、診斷、恢復，對 資源運行的跟蹤，差錯報告和分析等。(3) 性能管理模塊，持續收集網絡性能數據，評判網絡系 統的主要性能指標，以檢驗網絡服務水平，并作預測分析，發 現潛在問題等。(4) 安全管理模塊，利用多種安全措施，如權限設置、安 全記錄、密鑰分配等，以保證網絡資源的安全。(5) 計費管理模塊，根據用戶使用網絡資源的情況，按照一 定的計費方法，自動進行費用核收。二、簡單網絡管理協議 (SNMP)目前， Internet 上廣泛使用的一種網絡管理協議是簡單網 絡管理協議 (SNMP)。SNMP建

21、立在TCP/IP協議簇中的UDP協議之上，提供無連接服務。盡管這是一種不可靠的服務， 但保證了信息快速傳遞。SNM模型由3部分組成：管理進程(Manager)、管理代理(Agent) 和管理信息庫 (MIB) 。1 管理進程 管理進程處于管理模型的核心。它是一組運行于網絡管理中心主機上的軟件程序。它可以在 SNMP勺支持下，通過管理 代理來對各種資源執行監測、配置等管理操作。管理進程可以 通過圖形介面顯示網絡中各管理代理的配置及其它網絡信息， 為管理人員管理網絡提供方便。2 管理代理 管理代理是運行在被管理設備中的軟件。網絡中被管理的設備可以是主機、 路由器、集線器等。 它監視設備的工作狀態、

22、 使用狀況等，并收集相關網絡管理信息。這些信息都存儲在管 理信息庫 (MIB) 中。每一個管理代理都擁有一個包含代管設備 相關信息的本地管理信息庫。在管理進程的指令下，管理代理 一方面從MIB中讀取信息提交給管理進程，另一方面修改 MIB 中的信息。3 管理信息庫 管理信息庫包括的數據項因管理設備不同而不同，例如一個 路由器的管理信息可能包括關于路由選擇表的信息。每個管理 代理，管理MIB中屬于本地的管理對象。各管理代理控制的被 管理對象共同構成全網的管理信息庫。19SNMP管理模型第三節 指揮自動化計算機網絡安全要求一、范圍1. 主題內容和適用范圍(1) 本標準規定了全軍指揮自動化計算機網絡

23、在實體、網 絡和管理等方面的安全要求(未涉及可靠性安全要求)。可作 為論證、招標、研制、驗收和應用的基本依據。其它計算機網 絡，特別是國家重點要害部門的計算機網絡也可參照采用。(2) 本標準適用于指揮自動化廣域網和局域網。 二、引用文件GB 2887 計算站場地技術要求GB 4943 數據處理設備的安全GB 9361 計算站場地安全要求GJB 141.1 用于數據傳輸的一般專用標準電話電路特性GJB 141.2 用于數據傳輸的優質專用標準電話電路特性GJB 148 數據傳輸質量維護極限及維護標準GJB 151 軍用設備和分系統電磁發射和敏感度要求GJB 663 軍用通信系統、設備安全要求三、定

24、義1. 信息破壞由于偶然事故或人為因素而破壞信息的正確性、完整性和 可用性。2. 網絡實體計算機網絡中各類設備（包括節點機設備、通信設備、終 端設備、存儲設備、電源系統等）以及為此服務的其他硬件設 備的總稱。3. 計算機病毒 依附在計算機程序中的一種可以繁衍的程序。它象生物病 毒一樣使計算機程序感染 , 并在計算機網絡中再生和擴散，造 成其紊亂或癱瘓。4. 最小特權 在完成某種操作時所賦予網絡中每個主體（用戶或進程） 必不可少的特權。5. 主動威脅 非法占用網絡處理信息、侵入文件、修改程序，造成在錯 誤狀態下運行。6. 被動威脅 當網絡正常運行時，由于系統單元暴露或輸入輸出等管理 不嚴造成信息

25、泄露或被非法截取而產生的威脅。7. 實體安全（物理安全） 為確保網絡在信息的采集、處理、傳輸、存儲過程中，不 致受到人為或自然因素的危害，而對網絡設備、設施、環境、 人員等所采取的安全措施。8. 災難事件 因人為或自然災害造成的涉及全局的一時難以恢復的破 壞性事件。四、一般要求1. 目標 網絡安全設計應與論證、招標、研制、驗收和應用工作同 步進行，并根據需求，分階段、分層次逐步實施和完善，以達 到如下目標：a. 保證網絡正常運行，避免各種非故意的錯誤與損失；b. 保證信息的正確性、完整性和可用性，防止網絡及數據 遇到偶然的、被動的和主動的威脅，以及自然災害的破壞；c. 對影響網絡的意外事故具有

26、應急措施。2. 基本原則(1) 特權分散原理 把實現某一重要功能的特權分散給若干個程序、節點或用 戶，必須由規定的若干個具有特權的程序、節點或用戶到齊后 才能實現該功能。(2) 最小特權原理 應限定網絡中每個主體所必須的最小 特權，確保可能的事故、錯誤、網絡部件的篡改等原因造成的 損失最小。(3) 安全控制和對象的獨立性 安全控制的設計、實現和操作應隔離。(4) 分割和分區化 對網絡中受保護的內容分割成幾個部分，并分別加以保 護。(5) 參數化安全控制設計應參數化，以便授權時加以調節。(6) 隱蔽 對工作人員和受控對象(用戶)隱蔽控制手段及其操作詳 情。(7) 經濟性 對網絡中須保密的設備，采

27、用經濟有效的控制設計達到要 求。所占資源應少于系統資源的 10%。(8) 安全形象 全網絡在用戶和公眾面前應具有完整的安全形象。3. 基本要求(1) 應具有對全網網絡拓撲、網絡配置及網絡參數的統一 管理，監督與控制功能。(2) 對網絡實體的環境安全、電磁干擾和輻射的保護應有 安全措施。(3) 網絡系統應有技術安全手段，確保數據傳輸、交換、 存儲處理及通信控制的安全。(4) 網絡應具有計算機病毒的預防措施。(5) 對災難性事件應有應急措施。(6) 網絡應具有必要的冗余度和降級處理能力。(7) 網絡安全設施的接口設備應方便用戶并實現透明操 作。(8) 網絡應具有承受允許的最嚴重錯誤的能力。(9)

28、在確保安全的前提下應充分發揮資源共享的效能。(10) 網絡應采取多重安全控制手段。每個安全控制手段均 能產生充分的證據，以表明所完成操作的正確性。(11) 網絡應登記用戶進入網絡的各種活動，以提供事后檢 查。(12) 存取控制應是逐級授權的。網絡在為授權用戶提供合 法服務的同時，應具有拒絕非法訪問的功能。(13) 應具有監視和控制網絡負載狀態的功能，以防止其崩 潰和癱瘓。五、詳細要求1. 實體安全(物理安全)威脅實體安全的具體表現如下：a. 人為破壞；b. 各種自然災害；c. 各類媒體失竊和散失；d. 設備故障；e. 環境和場地因素；f. 電磁發射及敏感度；g. 戰爭的破壞等。(1) 網絡節點

29、場地環境安全要求網絡節點中心應設專用機房，裝備空調、在線式不間斷供 電電源、報警、防水、防盜、防鼠和消防設備以及電磁防護、 接地及避雷裝置。1）設計或改建網絡節點機房時必須符合 GB2887和GB9361 的規定。2）網絡節點機房建筑和結構還應注意下列問題：a. 宜為專用建筑；b. 在電梯或樓梯應設置不能直接進入機房的場所；c. 應與外部人員頻繁出入的場所隔離；d. 周圍應設有防止非法進入的設施；e. 建筑物周圍應有足夠照度的照明設施；f. 外部容易接近的窗口應采取防范措施。無人值守時應有 自動報警設備；g. 應只有一個出入口，并在合適的位置上開設應急出入 口，作為應急疏散通道。出入口處均應安

30、裝出入控制裝置；h. 內部設計應便于出入控制和分區控制。3）安全設備除符合GB9361規定外，還應滿足下列要求：a. 機房進出口須設置應急電話；b. 各房間應有聲光報警裝置；c. 進出口應派警衛或設置識別與記錄進出人員的設備及 防范措施；d. 機房內用于動力、照明的供電線路應與計算機系統的供 電線路分開；e. 機房內不同電壓的供電系統應安裝互不兼容的插座； f. 應配備溫、濕度自動記錄儀及溫、濕度報警設備和碎紙機；g. 機房及疏散通道須配備應急照明裝置（ 5 勒克斯）。（2）網絡終端場地環境安全要求1）終端室的環境a. 應具備適當的通風和空調；b. 應清潔無塵；c. 應具備防靜電措施；d. 應

31、設置溫、濕度計、吸塵器以及碎紙機；e. 終端宜采取屏蔽措施，如屏蔽罩等；f. 處理密級數據的遠程終端應放置在相應的安全環境中。2）終端室電源防護應根據需要選用離線式或在線式不間 斷供電電源。3）防火、防煙、防水和防鼠害a. 應設置滅火器，并根據需要安裝火災探測器；b. 將當地消防隊電話號碼張貼在電話機附近；c. 定期檢查火災探測設備或滅火器以及水敏傳感器，并保 存這類檢查的書面報告。d. 指定并訓練人員擔任撲滅小火或悶燃火災的消防員；e. 終端室嚴禁吸煙；f. 禁止使用延伸接線盒和多通電源插座；g. 機房窗簾使用阻燃材料制作；h. 應有應急供電的備用照明；i. 設備不得緊靠墻壁放置；j. 在設

32、備周圍不要堆積大量紙張，以免堵住設備的通風 孔；25k. 設備上嚴禁放置無關物品；l. 終端室不要有水管、蒸汽管道通過天花板；m. 如果終端室屋頂有水塔或冷卻器，必須采用防護裝置；n. 每臺設備應配置防水罩；o. 在易受鼠害的場所，電纜和電線上應涂驅鼠藥劑；.應設置捕鼠和驅鼠裝置。4）防盜a. 采用特殊門鎖；b. 每個設備都應附有標簽或標記；.應設警報器；d. 可采用錨式鎖固定終端設備；e. 可在終端上加裝鎖式電源開關；f. 如果用戶不愿在設備上打孔安裝鎖或開關，可在靠近終 端處安裝獨立的鎖式電源開關。開關的導線應聯至電源插座， 終端電源線聯到開關。（3）網絡通信系統安全要求1）網絡通信系統安

33、全應符合 GJB663規定。2）網絡通信系統傳輸線路的安全應注意下列問題：a. 傳輸線路應符合標準。用于數據傳輸的電話電路特性應符合GJB147.1和GJB147.2。定期檢查各線段及接點，更換老化變質的電纜；b. 傳輸線路應采用屏蔽電纜并有露天保護或埋于地下，要 求遠離強電線路或強電磁場發射源，以減少由于干擾引起的數 據錯誤；c. 鋪設電纜應采用金屬鎧裝、屏蔽電纜或加裝金屬套管， 以減少各種監控輻射對線路的干擾；d. 加裝中和變壓器、屏蔽變壓器和絕緣變壓器；e. 宜采用光纖電纜；f. 定期測試信號強度，檢查是否有非法裝置接入線路；g. 定期檢查接線盒及其它易被人接近的線路部位；h. 調制解調

34、器應放置在受監視的區域，以防止外來連接的 企圖。調制解調器的連接應定期檢驗， 以檢驗是否有篡改行為(4) 電磁兼容和防護1) 網絡設備的電磁兼容，按 GJB151有關規定限值選用。2) 要防止電磁輻射被截收。a. 入網設備必須符合 GJB151規定；b. 重要場合應對機房進行屏蔽；c. 可采取區域控制的辦法；d. 采取主動有源干擾等技術；e. 機房宜設在地下室或底層。3) 網絡通信系統必須具有防止電磁干擾和泄漏的措施。(5) 記錄媒體的保護(1) 載有關鍵性程序、主記錄、設備分配圖表、加密算法、 密鑰等記錄媒體應按其密級及其產生的難易程序分級管理和 保護。(2) 載有關鍵記錄的磁盤、磁帶等磁媒

35、體應加防磁場保護 措施，必要時需進行備份保護。2. 網絡系統安全(1) 信息傳輸安全a. 密級信息到達終點之前，嚴禁呈現明文狀態；b. 傳輸密級信息時必須進行網絡加密，如鏈路加密、節點 加密和用戶加密等；c. 為保證密級數據的安全傳遞，網絡節點機宜有備份；d. 不傳送信息時接口應阻斷；e. 設置辯認正當通信伙伴的功能；f. 用撥號線能接觸網絡時，撥號碼應予以保護。同時保密 信息不宜存放在節點機內。(2) 鑒別1) 為了防止非法修改節點機中的通行字表，應具備鑒別用 戶通行字真實性的能力；2) 對用戶密鑰應鑒別；3) 在數據通信中，應有驗證接收到的數據是否真實的能 力；4) 應能識別非法入網的終端

36、和用戶。遇有多次不成功的聯 機嘗試時，應及時記錄并分析結果，采取相應的處理。（3）輸入輸出控制1）明確網絡系統各環節工作人員的職責a. 設計人員與操作人員必須分離；b. 重要事務處理項目，必須由法定人辦理；c. 工作期間至少應有二人在場，以防止非法使用網絡；d. 必須保存控制臺打印記錄。2）制訂統一的數據格式并使用標準編碼。3）操作控制a. 對特定的終端設備，應采用通行字、卡片、識別碼、鑰 匙等辦法限定操作人員。b. 操作人員操作應符合有關操作規程和輸入/輸出數據處 理的規定；c. 應建立良好的人機操作環境，以減少失誤；d. 處理密級數據的各終端應予隔離。4）數據在投入使用前，必須確保其準確可

37、靠。5）輸出控制a. 各業務部門終端數據輸出控制應有專人負責；b. 輸出文件必須有明顯的、可讀的密級標志；c. 輸出文件的發放應按規定生成所申請數量的拷貝。網上 傳輸文件，收方應給回執；d. 打印過保密數據的色帶，應妥善保管或銷毀。6）內存的殘留信息應及時清除，以防止引起信息泄漏。297）設備無人值守運行時，應切實地對運行狀態進行監視、控制及記錄。如運行狀態的監視、運行控制、記錄運行狀態。8）在互通的計算機系統之間，建立能檢查判斷對方是否正 常工作的功能。9）應具有檢測不正當使用和非法存取的監視 （記錄）功能。 如存取監視功能、 控制臺記錄功能、 系統使用狀況記錄功能等。10）對不設在專用機房

38、的計算機，應采取下列措施以預防 程序及數據不正當使用的更改。a. 下線的計算機不應保存重要的程序及數據文件；b. 上線時應對重要程序及數據文件進行必要的檢測，以避 免不正當更改；c. 對上線計算機應設置監視功能，以對不正當輸入及事件 進行檢查。（4）聯網處理聯網時不得影響互聯雙方原有的安全性。（5）密碼保護1）密碼算法的設計、研制、投入使用必須報請密碼主管部 門批準，并由指定的密碼研制單位研制生產。2）網絡應根據劃分的密級處理相應的信息。密碼算法的保 密強度必須與被保護信息的密級相適應，嚴禁在低密級環境中 處理、傳輸、存儲高密級信息。3）網絡的關鍵程序、密碼算法、密鑰等軟件數據，必須受 到保密

39、保護或其它形式的有效保護。but there are still some 304) 用于鏈路加密、 節點加密、終端加密的算法要相互分割。5) 不同系統間的密碼體制既要相互分割，又要能保證系統 間通信。6) 在緊急情況下，密鑰受到意外破壞時的恢復等問題，要 有妥善可行的應急措施。3. 計算機病毒的預防(1) 不要用非發行包軟盤引導系統。(2) 基于軟盤的計算機，應使用確認無病毒的磁盤啟動系 統，該盤應貼上作為系統引導盤的標簽。(3) 基本硬盤的計算機應盡可能的避免由軟盤引導。(4) 謹慎使用公共軟件和共享軟件。公用和共享軟件切勿 放在根目錄中。(5) 格式化時為所有硬、軟盤建立卷標，且在每次執

40、行目 錄命令時檢查卷標，注意卷標的任何變化。(6) 監視系統運行方式的變化，記錄并分析異常現象。(7) 系統之間應盡可能地減少可執行代碼的交換。(8) 所有的引導軟盤均應是寫保護的。對某些高保安環境， 應使用硬盤寫保護系統。(9) 當軟盤片不經常使用時，應從驅動器中取出，并作為 文件歸檔。(10) 禁止在聯網計算機上運行任何游戲盤。(11) 禁止使用非本單位軟盤。 重要部門要使用專機、 專盤。(12) 非本機使用的軟盤或新開發的軟件，須經檢測，確認 沒有病毒方可在系統上使用。(13) 本機使用的軟盤不得外借或使用者隨意攜帶外出。(14) 系統中的數據要定期考貝。(15) 網絡中所用記錄媒體應經常進行病毒檢測，當發現病 毒時，應立即采取隔離措施，防止病毒在網上擴散，并設法消 除之。(16) 宜采取信號抗病毒措施，防止病毒依附著無線電信號 進入接收機、處理機；(17) 購置、引進設備或將設備送外維修，要考