模块6：保护网络设备安全(2)
[网络安全知识教育]网络安全知识资料
![[网络安全知识教育]网络安全知识资料](https://img.taocdn.com/s3/m/6098d7d5185f312b3169a45177232f60ddcce7d6.png)
[网络安全知识教育]网络安全知识资料网络安全知识资料11.网络安全类型运行系统安全，即保证信息处理和传输系统的安全。
它侧重于保证系统正常运行，避免因为系统的崩溃和损坏而对系统存贮、处理和传输的信息造成破坏和损失，避免由于电磁泄漏，产生信息泄漏，干扰他人，受他人干扰。
网络上系统信息的安全。
包括用户口令鉴别，用户存取权限控制，数据存取权限、方式控制，安全审计，安全问题跟踪，计算机病毒防溻，数据加密。
网络上信息传播安全，即信息传播后果的安全。
包括信息过滤等。
它侧重于防止和控制非法、有害的信息进行传播后的后果。
避免公用网络上大量自由传输的信息失控。
网络上信息内容的安全。
它侧重于保护信息的保密性、真实性和完整性。
避免攻击者利用系统的安全漏洞进行窃听、冒充、诈骗等有损于合法用户的行为。
本质上是保护用户的利益和隐私。
2.网络安全特征网络安全应具有以下四个方面的特征：保密性：信息不泄漏给非授权用户、实体或过程，或供其利用的特性。
完整性：数据未经授权不能进行改变的特性。
即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。
可用性：可被授权实体访问并按需要使用的特性。
即当需要时能否存取所需的信息。
例如网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击;可控性：对信息的传播及内容具有控制能力。
3.威胁网络安全因素自然灾害、意外事故;计算机犯罪; 人为行为，比如使用不当，安全意识差等;黑客“ 行为：由于黑客的入侵或侵扰，比如非法访问、拒绝服务计算机病毒、非法连接等;内部泄密;外部泄密;信息丢失;比如信息流量分析、信息窃取等; 信息战;网络协议中的缺陷，例如TCP/IP协议的安全问题等等。
网络安全威胁主要包括两种：渗入威胁和植入威胁渗入威胁主要有：假冒、旁路控制、授权侵犯;植入威胁主要有：特洛伊木马、陷门。
陷门：把某一”特征“设立于某个系统或系统部件之中，使得在提供特定的输入数据时，允许安全策略被违反。
海康网络监控方案
海康网络监控方案第1篇海康网络监控方案一、前言随着信息化建设的不断深入，网络安全问题日益凸显。
为确保信息安全，提高企业对网络安全的监控与管理能力，本方案针对海康网络监控系统进行设计，旨在实现全面、高效、安全的网络监控，保障企业信息系统的稳定运行。
二、方案目标1. 实现对网络流量的实时监控，确保网络带宽合理分配，提高网络利用率。
2. 防范网络攻击，及时发现并处理异常行为，保障网络安全。
3. 对网络设备进行统一管理，降低运维成本，提高运维效率。
4. 符合国家相关法律法规，确保监控方案合法合规。
三、方案设计1. 网络监控系统架构（1）采集层：采用旁路部署的方式，对网络流量进行实时采集，确保不影响现有网络运行。
（2）处理层：对采集到的数据进行实时分析，识别网络行为，发现异常情况。
（3）展示层：以图形化的方式展示网络监控数据，便于管理员快速了解网络状况。
（4）管理层：实现对监控设备的统一管理，包括配置、升级、维护等。
2. 网络监控设备选型（1）流量采集设备：选择具备高精度时间同步功能的流量探针，确保采集数据的准确性。
（2）数据分析设备：选用高性能、高可靠性的网络流量分析设备，实现对大量网络数据的快速处理。
（3）管理服务器：配置高可用性、可扩展性的服务器，承担监控数据的存储、展示和管理功能。
3. 网络监控功能模块（1）流量分析模块：实时监测网络流量，分析网络协议，统计网络带宽使用情况，为网络优化提供数据支持。
（2）异常检测模块：基于行为分析，识别并报警网络攻击、病毒传播、异常流量等安全事件。
（3）性能监控模块：实时监测网络设备性能，发现设备故障，提前预警潜在风险。
（4）配置管理模块：对网络设备进行统一配置，实现自动化运维，降低运维成本。
四、合法合规性分析1. 本方案遵循国家相关法律法规，如《网络安全法》、《信息安全技术 网络安全等级保护基本要求》等。
2. 监控设备具备合法合规的检测报告，确保设备安全可靠。
3. 网络监控数据加密存储，防止数据泄露。
电力行业信息系统安全等级保护基本要求
电力行业信息系统安全等级保护基本要求目录1 第二级基本要求11.1技术要求11.1.1物理安全11.1.1.1物理位置的选择（G2）11.1.1.2物理访问控制（G2）11.1.1.3防盗窃和防破坏（G2）11.1.1.4防雷击（G2）11.1.1.5防火（G2）21.1.1.6防水和防潮（G2）21.1.1.7防静电（G2）21.1.1.8温湿度控制（G2）21.1.1.9电力供应（A2）21.1.1.10电磁防护（S2）21.1.2网络安全31.1.2.1结构安全（G2）31.1.2.2访问控制（G2）31.1.2.3安全审计（G2）31.1.2.4边界完整性检查（S2）41.1.2.5入侵防范（G2）41.1.2.6网络设备防护（G2）41.1.3主机安全51.1.3.1身份鉴别（S2）51.1.3.2访问控制（S2）51.1.3.3安全审计（G2）51.1.3.4入侵防范（G2）61.1.3.5恶意代码防范（G2）61.1.3.6资源控制（A2）61.1.4应用安全61.1.4.1身份鉴别（S2）61.1.4.2访问控制（S2）71.1.4.3安全审计（G2）71.1.4.4通信完整性（S2）71.1.4.5通信保密性（S2）81.1.4.6软件容错（A2）81.1.4.7资源控制（A2）81.1.5数据安全81.1.5.1数据完整性（S2）81.1.5.2数据保密性（S2）81.1.5.3备份和恢复（A2）91.2管理要求91.2.1安全管理制度91.2.1.1管理制度（G2）91.2.1.2制定和发布（G2）91.2.1.3评审和修订（G2）101.2.2安全管理机构101.2.2.1岗位设置（G2）101.2.2.2人员配备（G2）101.2.2.3资金保障（G2）101.2.2.4授权和审批（G2）101.2.2.5沟通和合作（G2）111.2.2.6审核和检查（G2）111.2.3人员安全管理111.2.3.1人员录用（G2）111.2.3.2人员离岗（G2）111.2.3.3人员考核（G2）121.2.3.4安全意识教育和培训（G2）121.2.3.5外部人员访问管理（G2）121.2.4 系统建设管理121.2.4.1系统定级（G2）121.2.4.2安全方案设计（G2）131.2.4.3产品采购和使用（G2）131.2.4.4自行软件开发（G2）131.2.4.5外包软件开发（G2）131.2.4.6工程实施（G2）141.2.4.7测试验收（G2）141.2.4.8系统交付（G2）141.2.4.9安全服务商选择（G2）141.2.5系统运维管理151.2.5.1 环境管G2) 151.2.5.2 资产管理（G2) 151.2.5.3 介质管理（G2) 151.2.5.4 设备管理（G2) 161.2.5.5 网络安全管理（G2) 161.2.5.6 系统安全管理（G2) 161.2.5.7 恶意代码防范管理（G2)171.2.5.8 密码管理（G2) 171.2.5.9 变更管G2) 17 1.2.5.10 备份与恢复管理（G2）181.2.5.11 安全事件处置（G2）181.2.5.12 应急预案管理（G2）181 第二级基本要求1.1技术要求1.1.1物理安全1.1.1.1物理位置的选择（G2）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。
网络安全配置作业指导书
网络安全配置作业指导书第1章网络安全基础概念 (4)1.1 网络安全的重要性 (4)1.2 常见网络安全威胁 (4)1.3 网络安全防护策略 (4)第2章操作系统安全配置 (5)2.1 Windows系统安全配置 (5)2.1.1 系统更新与补丁管理 (5)2.1.2 用户账户与权限管理 (5)2.1.3 防火墙配置 (5)2.1.4 安全策略设置 (6)2.2 Linux系统安全配置 (6)2.2.1 系统更新与软件包管理 (6)2.2.2 用户账户与权限管理 (6)2.2.3 防火墙配置 (6)2.2.4 安全加固 (6)2.3 macOS系统安全配置 (6)2.3.1 系统更新与软件管理 (6)2.3.2 用户账户与权限管理 (7)2.3.3 防火墙配置 (7)2.3.4 安全设置与防护 (7)第3章网络设备安全配置 (7)3.1 防火墙安全配置 (7)3.1.1 基本配置 (7)3.1.2 访问控制策略 (7)3.1.3 网络地址转换（NAT） (7)3.1.4 VPN配置 (7)3.2 路由器安全配置 (8)3.2.1 基本配置 (8)3.2.2 访问控制 (8)3.2.3 路由协议安全 (8)3.2.4 网络监控与审计 (8)3.3 交换机安全配置 (8)3.3.1 基本配置 (8)3.3.2 VLAN安全 (8)3.3.3 端口安全 (8)3.3.4 链路聚合与冗余 (8)3.3.5 网络监控与审计 (9)第4章应用层安全配置 (9)4.1 Web服务器安全配置 (9)4.1.1 保证Web服务器版本更新 (9)4.1.2 禁用不必要的服务和模块 (9)4.1.4 限制请求方法 (9)4.1.5 文件权限和目录访问控制 (9)4.1.6 配置SSL/TLS加密 (9)4.2 数据库服务器安全配置 (9)4.2.1 数据库软件更新与补丁应用 (9)4.2.2 数据库用户权限管理 (9)4.2.3 数据库加密 (9)4.2.4 备份与恢复策略 (9)4.2.5 日志审计与监控 (9)4.3 邮件服务器安全配置 (10)4.3.1 邮件传输加密 (10)4.3.2 邮件用户身份验证 (10)4.3.3 防病毒和反垃圾邮件措施 (10)4.3.4 邮件服务器访问控制 (10)4.3.5 日志记录与分析 (10)4.3.6 定期更新和漏洞修复 (10)第5章网络边界安全防护 (10)5.1 入侵检测系统（IDS）配置 (10)5.1.1 IDS概述 (10)5.1.2 配置步骤 (10)5.1.3 注意事项 (10)5.2 入侵防御系统（IPS）配置 (11)5.2.1 IPS概述 (11)5.2.2 配置步骤 (11)5.2.3 注意事项 (11)5.3 虚拟专用网络（VPN）配置 (11)5.3.1 VPN概述 (11)5.3.2 配置步骤 (11)5.3.3 注意事项 (12)第6章无线网络安全配置 (12)6.1 无线网络安全基础 (12)6.1.1 无线网络安全概述 (12)6.1.2 无线网络安全协议 (12)6.1.3 无线网络安全关键技术 (12)6.2 无线接入点（AP）安全配置 (12)6.2.1 无线接入点概述 (12)6.2.2 无线接入点安全配置原则 (12)6.2.3 无线接入点安全配置步骤 (12)6.3 无线网络安全监控与防护 (13)6.3.1 无线网络安全监控 (13)6.3.2 无线网络安全防护措施 (13)第7章端点安全防护 (13)7.1 端点防护概述 (13)7.2.1 选择合适的防病毒软件 (13)7.2.2 防病毒软件安装与配置 (14)7.3 端点检测与响应（EDR）系统配置 (14)7.3.1 EDR系统概述 (14)7.3.2 EDR系统配置 (14)第8章数据安全与加密 (14)8.1 数据加密技术 (14)8.1.1 加密概述 (14)8.1.2 对称加密 (15)8.1.3 非对称加密 (15)8.1.4 混合加密 (15)8.2 数字证书与公钥基础设施（PKI） (15)8.2.1 数字证书 (15)8.2.2 公钥基础设施（PKI） (15)8.2.3 数字签名 (15)8.3 数据备份与恢复策略 (15)8.3.1 数据备份 (15)8.3.2 数据恢复 (15)8.3.3 数据备份与恢复策略制定 (15)第9章安全审计与监控 (16)9.1 安全审计策略 (16)9.1.1 审计策略概述 (16)9.1.2 审计策略制定原则 (16)9.1.3 审计策略内容 (16)9.2 安全事件监控 (16)9.2.1 安全事件监控概述 (16)9.2.2 安全事件监控策略 (16)9.2.3 安全事件监控技术 (17)9.3 安全日志分析 (17)9.3.1 安全日志概述 (17)9.3.2 安全日志类型 (17)9.3.3 安全日志分析策略 (17)第10章网络安全防护体系构建与优化 (17)10.1 网络安全防护体系设计 (17)10.1.1 防护体系概述 (18)10.1.2 防护体系架构设计 (18)10.1.3 安全策略制定 (18)10.2 安全防护策略的实施与评估 (18)10.2.1 安全防护策略实施 (18)10.2.2 安全防护效果评估 (18)10.3 持续安全优化与改进措施 (18)10.3.1 安全优化策略 (18)10.3.2 安全改进措施 (19)第1章网络安全基础概念1.1 网络安全的重要性网络安全是保障国家信息安全、维护社会稳定、保护企业及个人信息资产的关键环节。
信息技术(基础模块)模块六信息素养与社会责任_2
信息技术（基础模块）模块六目录任务一任务二任务三我国倡导强化信息技术应用，鼓励学生利用信息手段主动学习、自主学习，增强运用信息技术分析、解决问题的能力。
究其原因，是因为信息素养是人们在信息社会和信息时代生存的前提条件。
那么什么是信息素养？在日常生活和工作中哪些行为是具备良好信息素养的体现呢？任务描述技术分析（一）信息素养的基本概念（二）信息素养的主要要素5（一）信息素养的基本概念信息学家帕特里夏·布雷维克（Patricia Breivik）将信息素养进一步概括为：了解提供信息的系统并能鉴别信息价值、选择获取信息的最佳渠道、掌握获取和存储信息的基本技能。
19871987年年美国图书馆协会的“信息素养总统委员会”重新将信息素养概括为：要成为一个有信息素养的人，就必须能够确定何时需要信息并且能够有效地查询、评价和使用所需要的信息。
19891989年年道尔（Doyle）在《信息素养全美论坛的终结报告》中将信息素养定义为：一个具有信息素养的人，他能够认识到精确的和完整的信息是做出合理决策的基础，明确对信息的需求，形成基于信息需求的问题，确定潜在的信息源，制定成功的检索方案。
19921992年年信息意识是指对信息的洞察力和敏感程度，体现的是捕捉、分析、判断信息的能力。
判断一个人有没有信息素养、有多高的信息素养，首先就要看他具备多高的信息意识。
1．信息意识2．信息知识信息知识是信息活动的基础，它一方面包括信息基础知识，另一方面包括信息技术知识。
前者主要是指信息的概念、内涵、特征，信息源的类型、特点，组织信息的理论和基本方法，搜索和管理信息的基础知识，分析信息的方法和原则等理论知识；后者则主要是指信息技术的基本常识、信息系统结构及工作原理、信息技术的应用等知识。
3．信息能力信息能力是指人们有效利用信息知识、技术和工具来获取信息、分析与处理信息，以及创新和交流信息的能力。
它是信息素养最核心的组成部分，主要包括以下4个方面。
计算机网络安全课后题答案
计算机网络安全课后题答案第一章绪论1. 计算机网络面临的安全威胁有哪些?答:1.主要威胁：计算机网络实体面临威胁（实体为网络中的关键设备）；计算机网络系统面临威胁（典型安全威胁）；恶意程序的威胁（如计算机病毒、网络蠕虫、间谍软件、木马程序）；计算机网络威胁有潜在对手和动机（恶意攻击/非恶意）2. 典型的网络安全威胁：窃听、重传、伪造、篡造、非授权访问、拒绝服务攻击、行为否认、旁路控制、电磁/射频截获、人员疏忽。
2.分析计算机网络的脆弱性和安全缺陷答：偶发因素：如电源故障、设备的功能失常及软件开发过程留下的漏洞或逻辑错误；自然灾害：各种自然灾害对计算机系统构成严重的威胁；人为因素：人为因素对计算机网络的破坏和威胁（包括被动攻击、主动攻击、邻近攻击、内部人员攻击和分发攻击）。
3.分析计算机网络的安全需求答：互联网具有不安全性；操作系统存在的安全问题；数据的安全问题；传输路线的安全问题；网络安全管理问题。
4.分析计算机网络安全的内涵和外延是什么？答：计算机网络安全是指利用管理控制和技术措施，保证在一个网络环境里，信息数据的机密性，完整性及可使用受到保护。
网络的安全问题包括两方面的内容，一是网络的系统安全；二是网络的信息安全。
从广义上说，网络上信息的保密性、完整性、可用性、不可否性和可控性是相关技术和理论都是网络安全的研究领域。
5.论述OSI 安全体系结构答：OSI 安全系统结构定义了鉴别服务、访问控制服务、数据机密性服务、数据完整性服务和抵抗赖性服务等五类网络安全服务；也定义了加密机制、数据签名机制、访问控制机制、数据完整性机制、鉴别交换机制、通信业务流填充机制、路由控制和公证机制等八种基本的安全机制。
6.PPDR 安全模型地结构答：PPDR 模型是一种常用的网络安全模型，主包含四个主要部份：Policy（安全策略）、Protection（防护）、Detection（检测）和Response （响应）。
网络安全法及等保2
1.现行重要法律法规框架（网络安全）（关基单位：指关键基础设施单位）注：本图列举了当前我国在非涉密网络安全领域施行的几部重要法律和国家推荐标准；它们构成了我们日常网络安全建设中的基础法律框架。
在合法合规的前提下，我们所有的网络安全建设都必须参照上述法律和标准进行。
2.网络安全法重要建设内容解读《网络安全法》第二十一条明确规定“国家实行网络安全等级保护制度。
各网络运营者应当按照要求，开展网络安全等级保护的定级备案、等级测评、安全建设、安全检查等工作。
除此之外，《网络安全法》中还从网络运行安全、关键信息基础设施运行安全、网络信息安全等对以下方面做了详细规定：网络日志留存：第二十一条还规定，网络运营者应当制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任;采取防计算机病毒、网络攻击、网络侵入等危害网络安全行为的技术措施;采取监测、记录网络运行状态、网络安全事件的技术措施，留存不少于六个月的相关网络日志;采取数据分类、重要数据备份和加密等措施。
未履行上述网络安全保护义务的，会被依照此条款责令整改，拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。
漏洞处置：第二十五条规定，网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险;在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。
没有网络安全事件应急预案的，没有及时处置高危漏洞、网络攻击的;在发生网络安全事件时处置不恰当的，会被依照此条款责令整改，拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。
容灾备份：第三十四条第三项规定/第二十一条第四项规定，关键信息基础设施/普通网络运营者单位对重要系统和数据库进行容灾备份。
没有对重要系统和数据库进行容灾备份的会被依照此条款责令改正。
网络安全案例分析
前言随着网络时代的发展，现在生活离不开网络，业务往来需要网络、日常生活也需要网络、现在还有网上购物等等。
网络给大家带来了方便快捷的服务，也给商家们带来不少的利益。
但是随着网络面的不断扩大也给人们带来不少的坏处，例如：网络欺诈，传播不良信息，网游，严重影响人们的日常生活。
网络犹如一把“双刃剑”，有利即有弊，但是只要正确的利用网络我相信它会给人们带来很大的好处。
现在无论什么地方都遍布在网络中，网络无处不在。
现在学校里也都用电脑教学，就连小学生也对电脑了如指掌，也导致了现在小学生沉迷于网络游戏的越爱越多，给家长带来了很大的困扰。
作为网络管理部门，应该对网吧进行严格排查，必须持身份证进入网吧，如有未成年人则对网吧管理人员进行处罚，同时对未成年人进行知识教育，要明白自身的使命同时让他明白网游的危害。
我们都知道数据传输是通过很多设备的，在这期间可以对其进行一些命令的删减，还有个网站的搜索以及传播的内容进行查看，以免传播不良信息对未成年人造成危害，同时对带宽进行控制，控制流量。
每天规定上网时间，到晚上一定的时间就断网断电，保障学生的睡眠。
其次，就是网络诈骗还有一些恶意网页。
一部分是学生自身的知识以及一些安全意识，防止上当受骗。
其次，网络管理员需要用访问控制技术、防火墙技术、漏洞扫描技术、入侵检测技术等，来控制恶意网页传播，以免病毒入侵电脑，造成用户的数据丢失或者泄密，给用户的财产安全一定的保障！网络就是一个虚拟的大世界，在这个世界里有形形色色的人，网络管理员相当于警察，传播不良信息的人相当于现在那些违法乱纪的人，但是在这个虚拟世界里还没有成文的“法律”，因而造成了现在的要大家意识到网络安全是多么重要。
目录一公司简介 (1)二网络需求分析 (3)三网络体系架构 (5)四网络安全体系架构 (6)五安全产品选型 (8)六安全策略制定 (13)七产品配置 (14)八总结 (13)一公司简介华为技术有限公司是一家生产销售通信设备的民营通信科技公司，总部位于中国广东省深圳市龙岗区坂田华为基地。
常见网络设备的安全管理和维护
（1）提供良好的室内环境。良好的室内环境应该对场地的封闭、防火、防盗、防雷、 防静电、室内温度和湿度的控制以及电源的安全等提供符合网络设备正常工作要求的安 全保证。
（2）控制对设备的直接访问。在可能的情况下为机架上锁，并且在控制台和辅助端 口设置口令。
1.2 网络设备的访问控制安全
网络设备的访问控制主要是防止非法用户进入网络设备并对其配置 进行修改，避免网络瘫痪。 1.路由器的访问控制安全
路由器的安全对整个网络的安全稳定起着重要的作用。 （1）为路由器间的协议交换增加认证功能。（2）路由器的物理安全防
范。 （3）保护路由器口令。（4）阻止查看路由器诊断信息。 （5）阻止查看到路由器当前的用户列表。（6）关闭CDP服务。 （7）阻止路由器接收带源路由标记的包，将带有源路由选项的数据流
关闭htห้องสมุดไป่ตู้p服务来实现安全控制。 4）对设备的访问设置不同的权限。 5）控制会话超时及设置警示登录标语消息。
常见网络设备的安全管理和维护
网络设备的安全对整个网络的安全非常重要，作为网络管理员 必须十分清楚自己所管理的网络设备的安全程度并及时作出调整， 确保设备安全，以避免受到攻击而造成不必要的损失。
网络安全可以分为网络设备的安全和网络信息的安全。 网络设备的安全分为物理安全和访问控制安全两方面。
1.1 网络设备的物理安全
丢弃。 （8）关闭路由器广播包的转发。（9）管理HTTP服务。 （10)抵御spoofing(欺骗) 类攻击。（11)防止包嗅探。 （12)校验数据流路径的合法性。
1.2 网络设备的访问控制安全
网吧网络安全解决方案
网吧网络安全解决方案摘要：随着国内Internet的普及和信息产业的深化。
近几年宽带网络的发展尤为迅速。
做为宽带接入重要的客户群体-网吧，每天聚集着数量众多的网迷和潜在的资源。
目前网吧的建设日益规模化，高标准化，上百台电脑的网吧随处可见，网吧行业开始向产业化过渡。
在未来的日子，网吧多样化经营的收入将成为影响网吧生存的要素，经营者也只有提供更多增值服务才能获得更大效益。
因此本文为大型网吧（大型网吧网络）构架网络安全体系，主要运用防火墙技术、病毒防护等技术，来实现大型网吧的网络安全。
关键词：网络，安全，防火墙，防病毒绪论伴随着网络技术的突飞发展，网络的安全问题越来越显出其重要性。
网络安全问题与网络紧密相关，网络安全隐患存在于网络各个区域。
在网吧这样一个特殊的网络环境下，它有着其他网络不同的安全问题。
网络的开放性是产生安全问题的主要因素。
而如何构建一个完善的网吧网络安全体系是个综合性的系统工程，需要多发面的考虑设计。
随着计算机技术的发展，在计算机上处理业务已由基于单机的数学运算、文件处理，基于简单连结的内部网络的内部业务处理、办公自动化等发展到基于大型网吧复杂的内部网、大型网吧外部网、全球互联网的大型网吧级计算机处理系统和世界范围内的信息共享和业务处理。
在信息处理能力提高的同时，系统的连结能力也在不断的提高。
但在连结信息能力、流通能力提高的同时，基于网络连接的安全问题也日益突出。
网吧作为一种特殊的内部网，同样也面临着网络安全这样一个问题。
同时它与大型网吧网，校园网相比又有着它的独特性。
为了防范这些网络安全事故的发生，客户必须采取足够的安全防范措施，甚至可以说要在利益均衡情况下不惜一切代价。
网络安全策略的实施是一项系统工程，它涉及许多方面。
因此既要充分考虑到那些平时经常提及的外部网络威胁，又要对来自内部网络和网络管理本身所带来的安全隐患有足够的重视，不能孤立地看待任何一个安全隐患和安全措施。
因为这些安全隐患爆发的途径可以是多方面的，而许多安全措施都是相辅相成的。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
《网络安全技术》
任务分析
禁止办公网络中一个部门网络访问另外一个部门的网络， 可以在三层核心设备上实施访问控制列表IP ACL技术来实现。 IP ACL是数据包过滤技术，能对网络中通过的数据包实施过 滤，实现对网络访问资源进行输入和输出的安全访问控制。 按照过滤数据包不同，IP ACL技术可分为标准IP ACL和 扩展IP ACL；此外还可按照标识不同，分为基于编号IP ACL和基于命名IP ACL二种类型。基于名称IP ACL在规则 编辑上，使用一组字符串标识编制安全规则，方便识别、管 理。
知识准备
6.3.2 镜像端口技术术语
端口镜像可以让用户将所有的流量，从一个特定的端口复制到一个 镜像端口。 如果网络中的交换机提供端口镜像功能，则允许管理人员 设置一个监视管理端口来监视被监视端口的数据。监视到的数据可以通 过PC上安装的网络监控软件来查看，解析收到的数据包中的信息内容， 通过对数据的分析，可以实时查看被监视端口的通信状况。 交换机把某一个端口接收或发送的数据帧完全相同的复制给另一个 端口，其中： Port Mirroring
知识准备
6.4. 4 配置编号标准访问控制列表
在网络互联设备上配置标准访问控制列表规则，以下的语法格式： Access-list list-number {permit | deny} source--address [ wildcard–mask ] 其中： access-list-number：所创建的ACL的编号，区别不同ACL规则序 号,标准的IP ACL的编号范围是1~99。 permit | deny：对匹配此规则的数据包需要采取的措施，permit表 示允许数据包通过，deny表示拒绝数据包通过。 source：需要检测的源IP地址或网段。 source-wildcard为需检测的源IP地址的反向子网掩码， 是源IP地址 通配符比较位，也称反掩码，限定匹配网络范围。
任务分析
在日常进行的网络故障排查、网络数据流量分析的过程 中，有时需要对网络中的接入或骨干交换机的某些端口进行 数据流量监控分析，以了解网络中某些端口传输的状况，通 过在交换机上实施端口镜像安全技术，监视进出交换机端口 的所有数据包，供安装了监控软件的管理服务器抓取数据， 了解网络安全状况。
知识准备
项目分解
任务4：实施办公网络安全访问控制
任务描述
丰乐公司电子商务公司构建互联互通办公网，为了保 护公司内部用户销售数据安全，实施内网安全防范措施。 网络核心使用一台三层设备，连接公司几个不同区域子网 络：一方面实现办公网互联互通，另一方面把办公网接入 Internet网络。 之前，由于没有实施部门安全策略，出现非业务部门， 登录到销售部网络，查看销售部销售数据。丰乐公司网管 员张明从公司内部网络管理的安全考虑，禁止非业务（后 勤）部门访问销售部网络，其它业务部门，如财务部门则 允许访问。
Monitoring Port ：
知识准备
6.3. 3 配置端口镜像技术
任务实施
【工作过程】 按图6-3-4所示网络拓扑，连接网络设备，组建网络场景，注意设 备连接的接口编号。
任务实施
步骤2：IP地址规划
步骤3：测试网络连通性
步骤4：配置交换机镜像口
步骤5：验证交换机镜像口（1）
步骤6：取消交换机镜像口 步骤7：验证交换机镜像口（2）
任务实施
【工作过程】 第一步：安装网络工作环境 如图6-4-6所示网络拓扑，为丰乐公司办公网连接工作场景。按照拓 扑组建和连接网络，注意接口连接标识，以保证和后续配置保持一致。
任务实施
第二步：配置交换机设备Vlan信息
第三步：配置交换机SVI地址信息
Hale Waihona Puke 第四步：测试全网连通状态(1)
第五步：配置命名扩展IP标准访问控制列表 第六步：测试全网连通状态(2)
知识准备
6.4. 3 基于编号标准访问控制列表
标准访问控制列表（Standard IP ACL）检查数据包的源地址信息， 数据包在通过网络设备时，设备解析IP数据包中的源地址信息，对匹配 成功的数据包采取拒绝或允许操作。在编制标准的访问控制列表规则时， 使用编号1到99值来区别同一设备上配置的不同标准访问控制列表条数。 标准访问控制列表ACL只检查IP数据包中源IP地址信息，以达到控 制网络中数据包的流向。在安全设施过程中，要阻止来自某一特定网络 中所有的通信流，或充许来自某一特定网络的所有通信流，使用标准访 问控制列表来实现。标准访问控制列表检查路由中数据包源地址，允许 或拒绝基于网络、子网或主机IP地址通信流，通过网络设备出口。
知识准备
6.4. 1 什么是访问控制列表
交换机或者路由器设备按照ACL中的指令顺序执行这些规则，处理 每一个进入或输出端口的数据包，实现对进入或者流出网络互联设备中 的数据流过滤。 通过在网络互联设备中灵活地增加访问控制列表，可以作为一种网 络控制的有力工具，过滤流入和流出数据包，确保网络的安全，因此 ACL也称为软件防火墙，如图6-4-1所示。
知识准备
6.4. 4 配置编号标准访问控制列表
知识准备
6.4. 5 应用编号标准访问控制列表
在网络设备上配置好访问控制列表规则后，还需要把配置好的访问 控制列表应用在对应的接口上，只有当这个接口激活以后，匹配规则才 开始取作用。因此配置访问控制列表需要三个步骤： (1) 定义好访问控制列表规则； (2) 指定访问控制列表所应用的接口； (3) 定义访问控制列表作用于接口上的方向。
《网络安全技术》
项目6 保护网络设备安全
(2)
项目分解
任务3：监控交换机端口通信流量
任务描述
丰乐公司网络管理员张明发现最近一段时间，公司内 部网络中有异常流量，严重影响了办公网传输效率。为了 解网络的传输状况，需要对办公网络中的流量进行手动分 析。 为了提高企业办公网络的安全，需要管理员进行手工 分析的异常流量，因此配置办公网接入交换机端口镜像技 术，将异常的流量镜像到管理员计算机上，然后抓取数据 包，通过数据包分析软件，实现网络的安全防范功能。
6.3.1 什么是端口镜像
镜像( Mirroring )是将交换机某个端口的流量拷贝到另一端口(镜像 端口)，进行监测。 交换机的镜像技术（Port Mirroring）是将交换机某个端口的数据流 量，复制到另一个端口（镜像端口）进行监测安全防范技术。大多数交 换机都支持镜像技术，称为mirroring 或Spanning，默认情况下交换机 上的这种功能是被屏蔽。
知识准备
6.4. 2 访问控制列表分类
常见ACL有两类：标准访问控制列表（Standard IP ACL）和扩展 访问控制列表（Extended IP ACL），在规则中使用不同的编号区别， 其中标准访问控制列表的编号取值范围为1~99；扩展访问控制列表的 编号取值范围为100~199。
两种编号的ACL区别是，标准的编号ACL只匹配、检查数据包中携 带的源地址信息；扩展编号ACL不仅仅匹配数据包中源地址信息，还检 查数据包的目的地址，以及数据包的特定协议类型、端口号等。扩展访 问控制列表规则大大扩展了网络互联设备对三层数据流的检查细节，为 网络的安全访问提供了更多的访问控制功能。