安全威胁

攻击者可以采用多种方式攻击计算机网络系统，它们的损害程度各不相同。这些攻击可能采取以下几种形式: 拒绝服务。攻击者通过使网络中的关键设备 (如服务器、路由器或防火墙) 崩溃或过载来中断平滑的信息流。这种攻击针对的是信息可用性。 信息盗窃。攻击者获取企业专有信息。这种攻击可以通过窃听、伪装成授权实体或采用强力攻击手段 (如使用猜测密码的计算机程序) 来进行。这种攻击针对的是信息和知识产权的所有权。 破坏数据。攻击者破坏或篡改存储的数据或正通过网络传输的数据。这种攻击针对的是信息完整性。 全面安全解决方案的构成要素 要最大限度地发挥网络数据通信的优势，完整的安全解决方案必须包含以下要素: 物理保护 - 你在哪里? 用户身份验证 - 你是谁? 访问控制 - 哪些资源允许你使用? 加密 - 哪些信息应当隐藏? 管理 - 网络上发生了什么事情? 企业可以采用全部这些要素或其中任何要素来实现完整性和访问控制。最佳策略取决于所涉及的风险、部署成本及安全违规或丢失数据的代价。下面几节将介绍总体安全解决方案中的每个要素。

物理安全

物理风险主要涉及对机器或人员的访问。可用于增强物理安全的策略有很多: 将计算机系统和关键设备布置在一个安全的环境中，销毁不再使用的敏感文档，保持密码和身份认证部件的安全性，锁住便携式设备等。物理安全的实施更多的是依赖于行政的干预手段并结合相关技术。 用户身份验证 身份证明是所有安全系统不可或缺的一个组件。它是区别授权用户和入侵者的唯一方法。认真对待信息资产保护并知道何人试图获取网络访问的任何企业都必须对用户进行身份验证。当使用某些更尖端的通信方式时，身份验证特别重要。 除了证明身份之外，验证系统还用于确定请求者能够访问哪些网络资源和信息即授权，比如，人力资源数据库或公司财务数据库。同时，还可以进行真正的记帐统计。验证一般包括以下两个或三个要素: 用户拥有什么 (智能卡、证书) 用户知道什么 (密码) 物理属性 (指纹或其它生物统计学信息) 验证主要通过盘问和回答、数字证书或消息摘要和数字签字等技术来实现。根据用户不同的安全策略，在网络的不同资源安全控制的区域，可采用不同安全技术的组合来实现用户认证。比如: 针对无线局域网络可设计采用WEP、DSL、802.1X、VPN等不同的安全模式，在以太网络中可以选择 802.1X模式，对类似于运营接入或企业网络边缘外接如的网络环境采用PPP、PPPoE、VPN等。对于用户的认证管理管理企业可以根据自身的安全策略采用非集中或集中式管理模式。

访问控制

访问控制制约用户连接特定网络、计算机或应用程序或特定类型数据流量的能力。访问控制系统的技术和技术实现模式一般如下: 域防御模式 静态过滤控制 IP会话状态检测的动态防火墙技术 布式防火墙模式 软件防火墙 内嵌式防火墙和集中管理模式 访问控制系统一般针对网络资源进行安全控制区域划分，实施区域防御的策略。在区域的物理边界或逻辑边界实施使用一个许可或拒绝访问的集中控制点。比如: 在局域网络内部利用智能化以太网络交换设备所提供的虚拟网络、ACL访问控制列表、多层过滤等功能或广域网络的路由设备。然而这些技术本质上都是基于MAC地址或IP地址、端口号列表的静态过滤控制，对于安全要求更高的用户需要采用基于IP会话状态检测的动态防火墙技术。放火墙一般位于企业网络的边缘控制点，比如: 连接Internet。甚至还可以部署在企业网络内部的安全区域控制点上。 然而，安全区域防御的弱点是不能抵御来自区域内部的"合法"用户的攻击，如: 恶意或无意的内部用户，没有防火墙和安全保护较弱的远程移动工作者或SOHO被身份窃取等，以及安全区域存在的后门漏洞 (无线网络、远程访问) 等情况。为进一步提高网络的安全控制，分布式防火墙模式应运而生，一般在主机或工作站点安装软件防火墙，实施对资源点的保护。然而软件分布式防火墙是基于操作系统之上的，如果操作系统本身存在安全漏洞或因为用户的使用管理问题使该防火墙被关闭，将造成严重的安全隐患。 这也就是为什么企业在实施分布式防火墙模式时，需要采用内嵌式防火墙的原因。内嵌式防火墙基于网络接口卡，独立于计算机操作系统，并且采用集中管理方式，能够构成真正可靠的端到端的网络安全访问控制。

加密

即使访问控制和验证安全系统完全有效，在数据通信通过网络传送时，企业仍可能面临风险，窃听。事实上，低成本和连接 Internet 的简便性已使它成为企业内和企业间通信的一个极为诱人的媒介。同时，无线网络的广泛使用也在进一步加大网络数据被窃听的风险。加密技术用于针对窃听提供保护。它通过使信息只能被具有解密数据所需密钥的人员读取，来提供保密信息。它与第三方是否通过 Internet 截取数据包无关，数据仍无法读取。这种方法可在整个企业网络中使用，包括在企业内部(内部网)、企业之间(外部网)或通过公共 Internet 在虚拟专用网络 (VPN) 中传送私人数据。加密技术主要包括对称式和非对称式密钥，这两种方式都有许多不同的密钥算法来实现，在此不一一详述。

安全管理

安全系统应当允许由授权人进行监视和控制。使用验证的任何系统都需要某种集中授权来验证这些身份，而无论它是UNIX主机、Windows NT 域控制器还是 Novell Directory Services (NDS) 服务器上的 /etc/password 文件。由于能够查看历史记录，如突破防火墙的多次失败尝试，安全系统可以为那些负责保护信息资产的人员提供宝贵的信息。一些更新的安全规范 (如 IPSec) 需要包含策略规则的数据库。要使系统正确运行，就必须管理所有这些要素。但是，管理控制台或功能本身也是安全系统的另一个潜在故障点。因此，必须确保这些系统在物理上得到安全保护，并确保对管理控制台的任何登录进行验证。 需要指出的是计算机安全系统应该从物理线路、网络基础构架和应用三个角度整体规划和实施，而本文着重介绍从基于网络基础构架的角度，即网络安全。 同时，建立有效的安全系统应该包括以下要素: 安全策略 - 分析安全风险、评估安全投资的有效性和可行性、制定安全方案。 安全技术 - 采用统一的安全而有效的安全技术实施安全技术方案。 人 - 安全方案和策略是否得到严格而彻底的贯彻。 三个要素缺一不可，尤其是人的因素往往不被重视，这更多的是需要企业和政府机构采用严格行政手段甚至法律手段作为保证。