浅谈网络安全的实际意义.doc

《浅谈网络安全的实际意义.doc》由会员分享，可在线阅读，更多相关《浅谈网络安全的实际意义.doc（16页珍藏版）》请在三一文库上搜索。

1、哟贩惦尽节儒介他摄腰室米巡捍沟丈雄萝贪腑竿院阀蹋至二氛玖腾窥女潍时糟沪何勉纬鹊块枚辊柄构含元魏迁添娶丁亡翅奈斜托港戮则层辙帘弹痰脆秒饶韧每新妈篓壳赢匣娥熙诚普矽缀粳塌语剥凶测喊该襄褐李妮便猾赠乞勘靠可磨奠仑夕慎徊违是矣去员鹏丑背绩误琢付鳞诀饮裁绣缎伏捡塘牧酶特曝驼等盖阉锥封氟幢擦萄傲西盾因筒予竞感钙拈舒爪盛翟咕访鹰乔隙褐讫屉饺进挖诌养夜俱巩媒汕耙医隧烃碟膏俺坦实雄拘披肪波转掣骄项扭锅欲捏瘫汞座煤芒毙遵茨屋挨饮戒栗誊罪推综埂蝉楚身卫夯演择陡瘴扮岩酮火毁惠目诗捡牛昆浮颅钵汰涛滦上对二涕虐壁窝组凭迢阐棚操贝弹屿贰 - 14 -山东政法学院王海军网络信息安全管理研究，山东省社科重点项目结项成果加强网络

2、信息安全管理研究、山东政法学院的学术文库大力推出的的精品之作（山东大学出版社2009年版）。P5下半部分到p6下半部分 内容比对http:/ 内容比对http:/ 网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。 网络安全从其本质上来讲就是网络上的信息安全。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。 网络安全

3、的具体含义会随着“角度”的变化而变化。比如：从用户（个人、企业等）的角度来说，他们希望涉及个人隐私或商业利益的信息在网络上传输时受到机密性、完整性和真实性的保护，避免其他人或对手利用窃听、冒充、篡改、抵赖等手段侵犯用户的利益和隐私， 访问和破坏。 从网络运行和管理者角度说，他们希望对本地网络信息的访问、读写等操作受到保护和控制，避免出现“陷门”、病毒、非法存取、拒绝服务和网络资源非法占用和非法控制等威胁，制止和防御网络黑客的攻击。 对安全保密部门来说，他们希望对非法的、有害的或涉及国家机密的信息进行过滤和防堵，避免机要信息泄露，避免对社会产生危害，对国家造成巨大损失。 从社会教育和意识形态角度

4、来讲，网络上不健康的内容，会对社会的稳定和人类的发展造成阻碍，必须对其进行控制。P7整页内容比对信息安全与等级保护之间的关系：长春市计算机网络安全协会网站http:/ 完整性是指保障信息及其处理方法的准确性,完全性.它一方面是指信息在利用,传输,存贮等过程中不被篡改,丢失,缺损等,另方面是指信息处理的方法的正确性.不正当的操作,有可能造成重要信息的丢失.信息完整性是信息安全的基本要求,破坏信息的完整性是影响信息安全的常用手段.例如,破坏商用信息的完整性可能就意味着整个交易的失败. 可用性是指有权使用信息的人在需要的时候可以立即获取.例如,有线电视线路被中断就是对信息可用性的破坏. 可控性是指对

5、信息的传播及内容具有控制能力.http:/ 保密性：信息不泄露给非授权用户、实体或过程，或供其利用的特性。 完整性：数据未经授权不能进行改变的特性。即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。 可用性：可被授权实体访问并按需求使用的特性。即当需要时能否存取所需的信息。例如网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击； 可控性：对信息的传播及内容具有控制能力。 可审查性：出现的安全问题时提供依据与手段P9-12连续四页内容比对自：信息安全技术历史 http:/ 信息安全”依然是2005年全球IT界的热点话题，这一方面是因为商业计算所面临的“安全形势更严峻

6、”，另一方面是由于客户对“高信度计算”的需求在不断升级。（中间拼凑了一些数字后）信息安全业在中国信息化建设的进程中可算是一个新兴产业，大体上，产业的发展轨迹包括了三个阶段。 萌芽阶段(2005年之前)：这个阶段的特点是，国内各行业、各部门开始萌生信息安全的意识从最初的“重视信息化建设”却“轻视安全体系的构建”，发展至“意识到安全的重要性”并且“希望在企业内部实现安全”，但又认为信息安全很神秘，不知从何入手。在此阶段，各行业的客户都在有意识地学习和积淀信息安全知识，与这一领域的权威企业广泛交流，了解其技术、理念、产品、服务。与此同时，一些企业、部门也出现了一些规模较小的、零星的信息安全建设，但并

7、未实现规模化和系统化；而且这个时期政府对于信息安全在宏观政策上的体现是呼吁较多，而具体的推进事务则比较少，虽然显得很热闹，但实际信息安全建设很少。 爆发阶段(2005-2009年)：这个阶段的特点是，国内各行业、部门对于信息安全建设的需求由“自发”走向“自觉”。企业客户已基本了解了信息安全的建设内容与重要意义很多行业部门开始对内部信息安全建设展开规划与部署，企业领导高度重视，投资力度不断加大。由此，信息安全成为了这一阶段企业IT建设的重中之重。某种意义上，信息安全市场的需求爆发可说是多年来企业在安全方面的“欠债”所造成的。 普惠阶段(2010年以后)：当信息安全建设与企业整体信息化建设融而为一

8、，信息安全作为一个话题可能会丧失其“热点效应”，但作为企业IT建设的关键环节之一，它是普惠的就像空气一样无比重要、无所不在，却又不易为人察觉。 2004年是信息安全发展由第一阶段到第二阶段的过渡期，而从2005年起则将进入到第二阶段，信息安全产业将在2005年迎来需求的“井喷”。 从现在起的35年内，信息安全市场将保持高速、超规模的发展势头，电信、政府、金融将会是2005年信息安全需求最大的行业。因为电信业和金融业是投资大、发展快、信息化程度高而需求复杂、安全形势相对严峻的行业，而政府部门则因站位较高、安全需求迫切，对外(包括国内商界和全球政经界)又在时刻发挥着示范作用，所以也会对信息安全加大

9、投入。 2005：客户需求多样化、技术发展两极化 2005年客户对信息安全产品的需求将表现在四个层面。首先，大的行业客户对安全的需求会“从单一信息安全产品发展到综合防御体系”，“从某一点的安全建设过渡到整个安全体系的建设”。其次，信息安全部署的重点开始由“网络安全”向“应用安全”嬗变。“咨询+建设+外包”的模式会逐渐普及。再次，自2005年起，国内信息安全企业将在市场上逐渐占据主流：一方面，在服务和建设方面，国内的安全企业一直拥有优势。众所周知，对于信息安全建设来说，服务比产品更重要，国外安全企业由于人力成本太高，很难做到本地化、定制化地满足客户需求，而在这方面，国内企业有明显的优势；另一方面

10、，国内安全企业的产品也开始会在市场上占据主流目前国内企业已在中低端市场巩固住了优势，而自2004年始，以联想的超5系列防火墙为代表的产品和方案，已在高端市场与国外产品展开了正面竞争。最后，从客户业务的层面看，应用安全和安全管理会逐渐热起来。安全外包目前还处于试探性阶段，但可能会成为将来安全建设的热点。 2005年，信息安全技术的发展将呈现出两极分化的趋势：专一之路和融合之路都会有厂商去“趟”。诸如防火墙、IDS、内容管理等产品方案会越做越专，这是因为一些安全需求较高的行业(如电信、金融行业)须应对复杂多变的安全威胁。同时，融合也是一种趋势。在安全要求不太高的行业，对一些综合性的产品需求会越来越

11、多，例如学校的网络。 国内信息安全企业的机遇 2005年，三大因素将推动国内信息安全产业的发展。 其一是企业的信息化乃至整个社会的信息化。客户端对于安全保障的要求会越来越高，对信息安全的需求会越来越大。 其二是政府的引领和推进作用。去年27号文件的出台，必然会直接推动一些国家关键信息化点和行业的安全建设进程。 其三是安全技术和产品的日益成熟。2003年以前，国外的安全产品技术相对先进，但由于人力成本高，难以做到贴身为客户服务，且往往需要固化在企业IT信息系统内，很难升级。相比之下，国内产品与之存在一定的技术差距，但服务优势却很明显；而在2004年以后，国内信息安全产品的技术改进明显，稳定性、可

12、靠性有了极大的提升，再加上国内产品往往能提供贴身定制化的服务，这无疑会诱发客户的采购热情.也抄自信息安全意识初探，http:/ 1994年末，俄罗斯黑客弗拉基米尔利维与其伙伴从圣彼得堡的一家小软件公司的联网计算机上，向美国CITYBANK银行发动了一连串攻击，通过电子转帐方式，从CITYBANK银行在纽约的计算机主机里窃取1100万美元。 1996年8月17日，美国司法部的网络服务器遭到黑客入侵，并将“ 美国司法部” 的主页改为“ 美国不公正部” ，将司法部部长的照片换成了阿道夫希特勒，将司法部徽章换成了纳粹党徽，并加上一幅色情女郎的图片作为所谓司法部部长的助手。此外还留下了很多攻击美国司法政

13、策的文字。 1996年9月18日，黑客又光顾美国中央情报局的网络服务器，将其主页由“中央情报局” 改为“ 中央愚蠢局” 。 1996年12月29日，黑客侵入美国空军的全球网网址并将其主页肆意改动，其中有关空军介绍、新闻发布等内容被替换成一段简短的黄色录象，且声称美国政府所说的一切都是谎言。迫使美国国防部一度关闭了其他80多个军方网址。 1996年2月，刚开通不久的Chinanet受到攻击，且攻击得逞。 1997年初，北京某ISP被黑客成功侵入，并在清华大学“ 水木清华” BBS站的“ 黑客与解密” 讨论区张贴有关如何免费通过该ISP进入Internet的文章。 1997年4月23日，美国德克萨

14、斯州内查德逊地区西南贝尔互联网络公司的某个PPP用户侵入中国互联网络信息中心的服务器，破译该系统的shutdown帐户，把中国互联网信息中心的主页换成了一个笑嘻嘻的骷髅头。 P15页最后两段 全页内容比对 化繁为简：解析领导与管理的真谛 http:/ 这样一个优秀、密切配合，形同一人的高质量团队，必然是思想开放和思维活跃的，也必然是知识共享、智能共生、情节共通、能力互补的学习型团队。因此，这样的团队必然能够产生生产工作上的高效率和工作成果上的高效益，从而能够为企业或组织的长期高速健康发展提供源源不断的内在驱动力。我想，人们现在所说的企业核心竞争能力其实就是我现在所深刻领会到的这一团队能力。 而

15、这样一个团队的形成，必须依赖于一个不可动摇、不可或缺的核心与基础。这个核心与基础，就是这个团队拥有一位心胸开阔、智慧超群、能力全面、关怀人性、乐于培养下属和员工、对企业和员工真正怀有一种使命感、一种发自内心深处的善良的爱的领导人。P16-18内容比对自wangqiangdlcx的博客http:/ 一是不知道经营一个企业到底是为什么，除了赚钱之外，不知道企业还有其他更有意.P94-95内容比对自百度贴吧数据恢复的常用方法http:/ 1.恢复数据的几项原则 如果希望在数据恢复时保持最大程度的恢复率，应遵循以下几项原则： 发现问题时：如果可能，应立即停止所有的写作，并进行必要的数据备份，出现明显的

16、硬件故障时，不要尝试修复，应送往专业的数据恢复公司。 恢复数据时：如果可能，则应立即进行必要的数据备份，并优先抢救最关键的数据，在恢复分区时则应优先修复扩展分区，再修复C。 2.数据恢复可能性分析 硬盘数据丢失后，数据还能恢复吗？这是许多电脑用户最关心的问题。根据现有的数据恢复实践和经验表明：大多数情况下，用户找不到的数据往往并没有真正的丢失和被破坏，80%的情况下,数据都是可以复原的。下面是常见的几种数据恢复可能性与成功率分析： 病毒破坏 破坏硬盘数据信息是电脑病毒主要的设计目的与破坏手段。有些病毒可以篡改、删除用户文件数据，导致文件无法打开，或文件丢失；有些更具破坏力的病毒则修改系统数据，

17、导致计算机无法正常启动和运行。针对病毒导致的硬盘数据丢失，国内各大杀毒软件厂商都掌握了相当成熟的恢复经验，例如江民科技的KV系列杀毒软件就曾将恢复这类数据的过程与方面在软件中设计成了一个模块，即使是初级的用户也只需经过简单的几个步骤就可恢复85100%的数据。 软件破坏 软件破坏通常包括：误删除、误格式化、误分区、误克隆等。目前的硬盘数据恢复技术对于软件破坏而导致的数据丢失恢复成功率相当的高-平均90以上。此类数据恢复技术已经可以对FAT12、FAT16、FAT32、NTFS4.0、NTFS5.0等分区格式，DOS、Windows9X/ME、WindowsNT/2000、WindowsXP、U

18、NIX、Linux等作系统完全兼容。 硬件破坏 硬件原因导致数据丢失，如果是介质设备硬件损坏，电路板有明显的烧毁痕迹或设备(如硬盘)有异响或BIOS不认硬盘参数，这种情况下的数据恢复对于个人用户显得非常困难，所以遇到这种情况，应立即送往具有硬件修理能力的数据恢复公司进行专业恢复。这类故障通常要首先排除硬件故障，使介质在特殊的工作平台上能正确的工作，其次是要确认所发生的硬件故障没有破坏存储数据的介质本身，这种情况下数据恢复的概率就颇为戏剧性了。 警告： 用户在第一时间发现数据已损失，如果本身并无数据恢复把握，应立即停止任何作，特别是数据写入和磁盘整理作应绝对禁止。这样才能最大限度地保证数据的恢复

19、。否则往往有可能会破坏数据的完整性，丧失最后的数据恢复机会 三、恢复数据常用工具软件介绍 1.OntrackEasyRecoveryV6.00.09 EasyRecovery是一款威力非常强大硬盘数据恢复工具，能够恢复因分区表破坏、病毒攻击、误格式化等原因而丢失的数据，EasyRecovery不会向原始驱动器写入任何数据，它主要是在内存中重建文件分区表使数据能够安全地传输到其他驱动器中。该软件可以恢复大于8.4GB的硬盘，支持长文件名。EasyRecoveryV6.00.09版本还使用了全新的数据恢复引擎，能够对ZIP文件以及微软的Office系列文档进行修复！见图1 2.FinalData

20、当文件被误删除（并从回收站中清除）、FAT表或者磁盘根区被病毒侵蚀造成文件信息全部丢失、物理故障造成FAT表或者磁盘根区不可读，以及磁盘格式化造成的全部文件信息丢失之后，FinalData都能够通过直接扫描目标磁盘抽取并恢复出文件信息（包括文件名、文件类型、原始位置、创建日期、删除日期、文件长度等），用户可以根据这些信息方便地查找和恢复自己需要的文件。甚至在数据文件已经被部分覆盖以后，专业版FinalData也可以将剩余部分文件恢复出来。见图2 3.FileScavenger2.1 FileScavenger是一款能够恢复在NTFS格式下数据被意外删除的工具，全面支持Windows2000/X

21、P/NT系统，但前提条件是所删除的硬盘尚未被改写新的文件上去才可以救回，提供了找寻文件类型功能，如*.doc及*.txt，能够救回的文件不只单一文件，还包括整个目录及压缩文件，也支持救回来的文件选择在原来所在位置恢复或储存到其它的硬盘。在使用FileScavenger时，需要在Windows2000/NT系统中以系统管理员身份登录。见图3 4.BadCopyPro3.50 当我们复制软盘、光盘中的文件时，往往会遇到因数据某些位元不能读取或损坏的情况，正常情况下我们就必需放弃整个文件了，这显然是很可惜的。但是这个时候，如果你尝试使用一下BadCopyPro，那么极有可能它会使你的数据读取变得流畅

22、自如，其专业的磁盘文件读取及修复功能将可以最大程度地解决光盘或磁盘上的坏文件数据复制困难的问题。警告： 用户在第一时间发现数据已损失，如果本身并无数据恢复把握，应立即停止任何作，特别是数据写入和磁盘整理作应绝对禁止。这样才能最大限度地保证数据的恢复。否则往往有可能会破坏数据的完整性，丧失最后的数据恢复机会 三、恢复数据常用工具软件介绍 1.OntrackEasyRecoveryV6.00.09 EasyRecovery是一款威力非常强大硬盘数据恢复工具，能够恢复因分区表破坏、病毒攻击、误格式化等原因而丢失的数据，EasyRecovery不会向原始驱动器写入任何数据，它主要是在内存中重建文件分区

23、表使数据能够安全地传输到其他驱动器中。该软件可以恢复大于8.4GB的硬盘，支持长文件名。EasyRecoveryV6.00.09版本还使用了全新的数据恢复引擎，能够对ZIP文件以及微软的Office系列文档进行修复！见图1 2.FinalData 当文件被误删除（并从回收站中清除）、FAT表或者磁盘根区被病毒侵蚀造成文件信息全部丢失、物理故障造成FAT表或者磁盘根区不可读，以及磁盘格式化造成的全部文件信息丢失之后，FinalData都能够通过直接扫描目标磁盘抽取并恢复出文件信息（包括文件名、文件类型、原始位置、创建日期、删除日期、文件长度等），用户可以根据这些信息方便地查找和恢复自己需要的文件

24、。甚至在数据文件已经被部分覆盖以后，专业版FinalData也可以将剩余部分文件恢复出来。见图2 3.FileScavenger2.1 FileScavenger是一款能够恢复在NTFS格式下数据被意外删除的工具，全面支持Windows2000/XP/NT系统，但前提条件是所删除的硬盘尚未被改写新的文件上去才可以救回，提供了找寻文件类型功能，如*.doc及*.txt，能够救回的文件不只单一文件，还包括整个目录及压缩文件，也支持救回来的文件选择在原来所在位置恢复或储存到其它的硬盘。在使用FileScavenger时，需要在Windows2000/NT系统中以系统管理员身份登录。见图3 4.Bad

25、CopyPro3.50 当我们复制软盘、光盘中的文件时，往往会遇到因数据某些位元不能读取或损坏的情况，正常情况下我们就必需放弃整个文件了，这显然是很可惜的。但是这个时候，如果你尝试使用一下BadCopyPro，那么极有可能它会使你的数据读取变得流畅自如，其专业的磁盘文件读取及修复功能将可以最大程度地解决光盘或磁盘上的坏文件数据复制困难的问题。 BadCopyPro的使用方法相当简单，所有的复原过程也都是自动的。只需要点选是软盘或是光盘，以及标明要修复的文件在哪个目录底下以及文件名等等，就交给它了。见图4 四、数据恢复常见方法 作为个人用户，知晓和掌握一些行之有效的数据恢复方法是非常有必要的，这

26、些方法可以在用户对恢复数据时大显身手。 1.数据恢复的作过程 （1）对硬件和基本配置进行检查。 对于电脑无法检测硬盘的情况，首先要检查以下几点：硬盘驱动器与硬盘控制器的连接是否正常，硬盘驱动器电源线连接是否正常；如果存在多个设备需检查硬盘之间或硬盘与光驱等设备之间是否存在冲突；检查CMOS中的硬盘信息是否正确无误。 （2）主引导区检查及修复 MBR（MainBootRecord）主引导区，它位于整个硬盘的0磁道0柱面1扇区。包括硬盘引导程序和分区表。主引导区如果被病毒、误作等破坏，可能导致硬盘或数据无法访问。此时应用软盘启动系统，尝试是否可以访问硬盘，如果能够访问，则说明可能仅是作系统被破坏，

27、如果不能访问，则有可能将面临硬件故障，这就不是用一般的软件方法可以轻易的修复了。 修复硬盘主引导信息的方法对于菜鸟来说可能复杂一些，所以我们建议在用软盘引导系统后，运行KV3000中的修复功能对其进行修复（包括快速重建硬盘分区表）。 2.误删除文件的恢复 误删除文件是每个电脑用户都会犯的错误，如果是重要数据被误删除那可真是欲哭无泪了，我们以一个典型的例子来讲解一下最简单有效的恢复措施。 例如用WORD撰写文章的时候，该文章被误删除，那么我们可以通过还原回收站文件来恢复数据，如果是按Ctrl+Delete组合键彻底删除文件，则需在系统中设置显示全部文件后，就可以在文章所在目录中找到WRL0982

28、.tmp（类似文件名，一般选数据最大的文件）文件，用WORD打开，你会发现最后一次修改存盘的文章内容赫然在内。 3数据恢复的常用方法3.系统文件丢失的数据恢复 系统文件丢失将直接导致系统无法进入或无法正常运行，从而使数据读取困难，针对这种情况我们可以通过覆盖安装系统或将此硬盘作为另一硬盘的从盘，再进行数据转移的方法来完成数据的恢复。但是在某些情况下，例如校园网络，这种方法就显得非常繁琐且不适合，所以本文强烈建议您使用还原精灵这款软件，它可以在特殊环境中使用软件数据还原技术使系统文件保持永不丢失。 还原精灵在安装后预先将系统内容做好全部或部分备份，当系统崩溃或者混乱需要重新安装的时候，用户即可使

29、用该软件将原来的备份进行恢复，将系统内容还原到备份那个时点的内容，且备份和恢复数据时所花费的时间只有几秒钟，并且占用的空间只有整个硬盘空间的万分之一大小（相对于克隆软件的1：1来说显得占有极大的优势，从而比较适合于校园教室中硬盘较小的特点）。还原精灵可以同时保护多达30个的逻辑盘，支持Windows系列作系统与DOS作系统，支持NTFS、FAT32、BIGDOS、FAT16等多种分区格式，支持五种硬盘数据还原方式：不还原、自动还原、手动还原、定时还原和数据转储。还原时间设置可以精确到分钟。支持分区工具制作的多重开机环境，如分区工具SystemCommand和PQMagic。该软件的安装相对复杂

30、一些，在此我们对安装过程中几个重要的步骤进行讲解。 在出现作系统设置界面时，请按实际情况设置。 在下一步出现的界面中根据实际情况设置选项，本文选第二项。多个作系统必须安装多个还原精灵。见图6 在下一步出现的安装模式设置界面中设定还原精灵保护的范围，如只保护系统或所有系统（自定义），并设置安装路径。 在下一步中设置还原方式（还原精灵最大的优点就是允许用户根据需要设定手动还原或自动还原，这一功能特别适合学校机房的管理。自动还原即重开机后系统自动恢复到保护前的状态）、管理员密码、自动还原CMOS（这项功能非常适用校园用户使用，当系统在启动时还原精灵如果发现CMOS信息被改变，就会提示你是保存还是恢复

31、，默认选项是恢复）等，你还可以点击高级设置来设定还原天数。 接着该软件进行安装，在安装的最后需要重新启动电脑以完成安装。安装后该软件会在系统托盘和开始菜单中生成快捷运行方式。初始密码为：12345678 在重启电脑后进入系统前，还原精灵还会自动进行一些设定。那么如何使用还原精灵进行还原数据呢？方法如下： 右键点击系统托盘中的还原精灵图标，在弹出的快捷菜单中选择还原精灵命令菜单，在弹出的还原精灵还原界面中选中还原前的选框，然后点击设置命令按钮，此时会弹出密码对话框，在其中输入管理员密码。 接着需要点击弹出的是否重启提示框中的是进行数据的还原。 4误格式化的数据恢复 高级格式化作一般有两种，一种是

32、在DOS下使用Format命令；另一种是在Windows环境下针对从盘进行格式化。格式化的数据恢复可以针对系统盘也可以针对从盘，我们只需要知道高级格式化的作并没有把硬盘上的文件数据清除，而仅是重写了FAT表就行了，由此我们完全可以借助一些工具软件来有效恢复已经被高级格式化过的硬盘上的数据。 如果是用DOS下的Format命令将硬盘格式化，那么针对FAT或FAT32格式，我们可以在启动盘中拷贝著名的UNFormat命令进行恢复磁盘格式化功能。P196-197内容比对 防火墙的概念原理和实现 http:/ 在没有软件防火墙之前，系统和网络接口设备之间的通道是直接的，网络接口设备通过网络驱动程序接口

33、（Network Driver Interface Specification，NDIS）把网络上传来的各种报文都忠实的交给系统处理，例如一台计算机接收到请求列出机器上所有共享资源的数据报文，NDIS直接把这个报文提交给系统，系统在处理后就会返回相应数据，在某些情况下就会造成信息泄漏。而使用软件防火墙后，尽管NDIS接收到仍然的是原封不动的数据报文，但是在提交到系统的通道上多了一层防御机制，所有数据报文都要经过这层机制根据一定的规则判断处理，只有它认为安全的数据才能到达系统，其他数据则被丢弃。因为有规则提到“列出共享资源的行为是危险的”，因此在防火墙的判断下，这个报文会被丢弃，这样一来，系统接

34、收不到报文，则认为什么事情也没发生过，也就不会把信息泄漏出去了。 软件防火墙工作于系统接口与NDIS之间，用于检查过滤由NDIS发送过来的数据，在无需改动硬件的前提下便能实现一定强度的安全保障，但是由于软件防火墙自身属于运行于系统上的程序，不可避免的需要占用一部分CPU资源维持工作，而且由于数据判断处理需要一定的时间，在一些数据流量大的网络里，软件防火墙会使整个系统工作效率和数据吞吐速度下降，甚至有些软件防火墙会存在漏洞，导致有害数据可以绕过它的防御体系，给数据安全带来损失，因此，许多企业并不会考虑用软件防火墙方案作为公司网络的防御措施，而是使用看得见摸得着的硬件防火墙。 硬件防火墙是一种以物

35、理形式存在的专用设备，通常架设于两个网络的驳接处，直接从网络设备上检查过滤有害的数据报文，位于防火墙设备后端的网络或者服务器接收到的是经过防火墙处理的相对安全的数据，不必另外分出CPU资源去进行基于软件架构的NDIS数据检测，可以大大提高工作效率。 硬件防火墙一般是通过网线连接于外部网络接口与内部服务器或企业网络之间的设备，这里又另外派分出两种结构，一种是普通硬件级别防火墙，它拥有标准计算机的硬件平台和一些功能经过简化处理的UNIX系列操作系统和防火墙软件，这种防火墙措施相当于专门拿出一台计算机安装了软件防火墙，除了不需要处理其他事务以外，它毕竟还是一般的操作系统，因此有可能会存在漏洞和不稳定

36、因素，安全性并不能做到最好；另一种是所谓的“芯片”级硬件防火墙，它采用专门设计的硬件平台，在上面搭建的软件也是专门开发的，并非流行的操作系统，因而可以达到较好的安全性能保障。但无论是哪种硬件防火墙，管理员都可以通过计算机连接上去设置工作参数。由于硬件防火墙的主要作用是把传入的数据报文进行过滤处理后转发到位于防火墙后面的网络中，因此它自身的硬件规格也是分档次的，尽管硬件防火墙已经足以实现比较高的信息处理效率，但是在一些对数据吞吐量要求很高的网络里，档次低的防火墙仍然会形成瓶颈，所以对于一些大企业而言，芯片级的硬件防火墙才是他们的首选。 有人也许会这么想，既然PC架构的防火墙也不过如此，那么购买这

37、种防火墙还不如自己找技术人员专门腾出一台计算机来做防火墙方案了。虽然这样做也是可以的，但是工作效率并不能和真正的PC架构防火墙相比，因为PC架构防火墙采用的是专门修改简化过的系统和相应防火墙程序，比一般计算机系统和软件防火墙更高度紧密集合，而且由于它的工作性质决定了它要具备非常高的稳定性、实用性和非常高的系统吞吐性能，这些要求并不是安装了多网卡的计算机就能简单替代的，因此PC架构防火墙虽然是与计算机差不多的配置，价格却相差很大。 现实中我们往往会发现，并非所有企业都架设了芯片级硬件防火墙，而是用PC架构防火墙甚至前面提到的计算机替代方案支撑着，为什么？这大概就是硬件防火墙最显著的缺点了：它太贵

38、了！购进一台PC架构防火墙的成本至少都要几千元，高档次的芯片级防火墙方案更是在十万元以上，这些价格并非是小企业所能承受的，而且对于一般家庭用户而言，自己的数据和系统安全也无需专门用到一个硬件设备去保护，何况为一台防火墙投入的资金足以让用户购买更高档的电脑了，因而广大用户只要安装一种好用的软件防火墙就够了。 P197-198内容比对自全面解析防火墙基本分类以及优缺点 (1)http:/ 一、防火墙的基本分类 1.包过滤防火墙 防火墙检查每一个通过的网络包，或者丢弃，或者放行，取决于所建立的一套规则。这称为包过滤防火墙。 本质上，包过滤防火墙是多址的，表明它有两个或两个以上网络适配器或接口。例如，作为防火墙的设备可能有两块网卡(NIC)，一块连到内部网络，一块连到公共的Internet。防火墙的任务，就是作为“通信警