关键词：博弈模型；网络安全；最优攻防决策
前言
博弈论在网络安全问题中的应用，注重在事前进行分析和研究，从而保证信息网络安全。博弈模型的构建，从网络攻击和防御两个角度出发，探讨了网络防御过程中存在的脆弱点，通过对这些脆弱点进行改善，以期更好地提升网络安全。目前应用于网络安全最优攻防决策的方法，主要以状态攻防图为主，通过结合安全脆弱点对系统安全情况进行评估，并结合效用矩阵，得出最优攻防决策。最优攻防决策方法的利用，能够弥补当下防火墙以及杀毒软件被动防御存在的缺陷，更好地保证网络安全。
1博弈模型与状态攻防图分析
博弈模型是一种事前进行决策的分析理论，在具体应用过程中，需要考虑到理论与实际之间的差异性，从而保证博弈模型能够对安全问题进行较好的解决。博弈模型在应用过程中，要注重对状态攻防图进行把握。状态攻防图是一种状态转换系统图，其公式为：),,,(GDSSTSSADG，公式中S表示为状态节点集，反映出了网络的安全状态；T表示图中边集，反映了网络安全状态的变化关系；DS则表示了网络的初始状态；GS为攻击目标集合。状态攻防图在具体应用过程中，需要对其生成算法进行把握。首先，需要输入的信息包括以下几点：网络拓扑的可达矩阵；脆弱点集合；可利用规则；初始状态节点；其次，对状态攻防图SADG进行输出。状态攻防图的输出，主要包括了以下内容：网络拓扑可达矩阵RM；初始安全状态节点So；主机节点集合；vuls集合等。在对状态攻防图利用过程中，需要根据状态变迁情况，对状态攻防图进行相应的完善，以使其功能和作用得到有效发挥。
2网络攻防博弈模型构建
在进行网络攻防博弈模型构建过程中，要对网络安全防御图和攻防博弈模型的内容有一个较好的了解，从而利用网络安全防御图，对防御节点信息进行把握，保证系统能够有效的抵御攻击。同时，网络攻击博弈模型构建过程中，要对成本和收益进行较好把握，建立完善的攻防博弈模型，对攻击和防御因素进行较好把握。2.1网络安全防御图网络攻防博弈模型构建过程中，需要对网络安全防御图内容予以一定的认知和把握，从而为网络攻防博弈模型构建提供有利条件。从网络安全防御图的本质来看，其是一个6元组，对其可以利用公式进行表示：StsSS}...0..{SdSSa，其中S为整个网络安全防御图的节点集，t代表了网络节点状态下的网络安全情况，So反映了最初阶段的集合状态；Ss则代表了攻击目标集合；Sa表示对抗攻击集合；Sd则代表防御集合。在对SStS}...0..{SdSSsa应用过程中，要对每一个节点的网络安全状态进行把握，并对网络访问能力进行分析，从而了解到攻击者可能采取的攻击方式。2.2攻防博弈模型攻防博弈模型的利用，能够有效地构建最优防御策略，从而在成本和效果方面，都能够获得较好的收益。攻防博弈模型在利用过程中，其模型是一个3元组，利用公式在对攻防博弈模型表达时，攻防博弈模型=USN},,{，其中，N代表了攻防博弈模型的设计者；S反映出了策略集合；U则代表了攻防策略。在利用攻防博弈模型在对网络安全问题分析过程中，网络安全产生的损失，表示了攻击者所获得的利益。在对攻防博弈模型选择过程中，需要对相关算法进行较好的把握。具体步骤如下：第一步，确定初始化攻防博弈模型：aPSdSadP),(),,(),,(UdUa；第二步对攻击策略集合进行构建；第三步建立防御策略集合：sdnsdsdSd},...2,1{；第四步，对防御策略进行给出：UdijtDeaitiDcos)(cos.costDe；第五步，生成矩阵U；第六步对SaPPad),(),,(),,(UdUSda进行求解。通过利用攻防博弈模型USN},,{，能够对最优攻防决策方法进行把握，从而为网络安全提供重要帮助。
3基于博弈模型的网络安全最优攻防决策方法实例分析
在对博弈模型基础下的网络安全最优攻防决策方法分析过程中，通过利用实例，可以对这一问题进行更好的认知和了解。本文在实例分析过程中，网络拓扑图设计情况如图1所示：结合图1来看，网络拓扑中主要涉及到了互联网、攻击主机、防火墙、server1-4数据节点、路由器等装置。在进行实例分析过程中，脆弱点的设计，主要为权限提升类弱点。关于脆弱点的信息，我们可以从表1中看出：在对网络各节点中的脆弱点扫描完成后，需要对攻击路径进行较好的把握，从而对攻击成功的概率和危害性进行分析，以保证网络安全防御能够具有较强的针对性和可靠性。关于攻击路径问题，我们可以从表2中看出：针对于攻击方，为了保证系统安全，防御方需要针对于攻击方，提供相应的解决对策。对此，利用博弈模型进行最优攻防决策过程中，具体内容我们可以从下面分析中看出：首先，应对于Server1节点的最优攻击策略在于对“2005-0768”的脆弱点进行利用，从而对这一节点进行攻击，获取用户权限。用户在防御过程中，需要对Server1的节点进行升级，从而保证对攻击方进行有效的防范。其次，在对Server2节点进行攻击过程中，其脆弱点为“2005-1415”和“2004-2366”节点，从而对用户权限进行获得。用户在进行防御过程中，需要对Server1的GoodTeshetserverTeln节点进行升级，并对Server2中的“2005-1415”节点和“2004-2366”节点进行升级，这样一来，考虑到攻击成功的概率64.6%，需要对防火墙等防御系统进行更新，以避免系统遭受攻击。再次，在对Server3进行攻击过程中，首先对Server1的权限进行获取，之后利用Server2的脆弱点攻击Server3，获取Server3的用户权限。用户在进行防御过程中，需要针对于Server3的脆弱点对防御系统进行更新。最后，在对Server4攻击过程中，需要获取Server1、Server2、Server3的权限，从而攻击Server4的脆弱点2002-0694，攻击成功率在70.7%左右。在进行防御过程中，需要对Server4的脆弱点进行更新，并利用Sendmail补丁，以避免系统遭受攻击和入侵。
4结论
【关键词】高级持续性威胁 网络安全 体系
一、引言
随着互联网技术的发展，网络威胁每天层出不穷，各种攻击随时都有可能发生。APT是近年来威胁企业数据安全的主要威胁之一。与分散、单个的网络攻击不同，这是一种针对特定组织所做的复杂且多方位的攻击。这种行为通常需要经过长期的策划，具有高度的隐蔽性与持续性，目的直达企业核心数据。那些拥有大量机密或金融资产的单位特别容易成为攻击对象，这对企业信息安全构成了极大的威胁。在传统的三层网络防护体系下，IT安全管理人员只是把其当作简单的网络攻击或者病毒攻击进行处理，使得大部分时间耗费在终端查毒与杀毒的环节中，当一批病毒处理完成后，IT安全管理人员无法准确定位病毒的来源，并且下一次出现的地方也无法预测，不能通过系统的监控作用避免APT攻击。针对传统企业级网络安全体系的弱点，提出了一种有效防范APT攻击的分层集中式网络安全体系，通过集中分析与管控的方法来有效防范APT攻击[1]。
二、APT攻击的特点
APT攻击的特点主要表现在针对性、隐藏性、持续性与易变性四个方面[2]。首先，APT是在某个系统下具有计划性的攻击类型，这是需要经过细心的策划过程才能完成，体现出较强的目的性，所以攻击的方式、种类、内容会发生变化。一个企业在其它地方所获取到的病毒库或者所谓的经验可能对本地情况是无效的。其次，由于APT攻击具有较强的针对性，为了不轻易被对方发现，需要保持较高的隐蔽性。一方面，其可以通过多形、加密等形式使自己较难被侦查；另一方面，对于企业的IT人员来说这只是将其视为简单的病毒入侵或者单个的网络威胁进行处理，不能通过系统的方法达到防范目的。再次，APT攻击体现出持续性的特点，攻击时间可以持续几个月甚至高达一年以上。在这阶段攻击者可以不断收集各方面信息，为发起攻击做好充足的准备，或者采用持续攻击的方式，发现企业内部安全的漏洞，从而获得可靠的情报。最后，因为APT攻击具有针对性与持续性的特点，其攻击者根据收集到的数据信息随时会改变攻击方式，如果一条路径被切断了，应当充分考虑选择其它方式的路径，具有多变性的特点。
三、防范APT攻击的网络安全体系
（一）快速有效的威胁检测技术。这个模块提供一个统一形式的接口，在原本的三层防护体系下各个位置的安全防护模块可以将有关的日志信息进行上传处理，对设定在各个不同网络位置的安全防护模块所产生日志分析的实际基础上，根据系统经验或者自定义形式规则，能够主动地发现有可能出现的安全威胁。
（二）基于沙盒的虚拟分析技术。原本的三层安全防护体系对于部分附件/可执行文件容易产生影响，然而缺乏一个准确有效的可行性分析过程，传统方法一般是将这类型文件进行隔离或者直接忽略处理。假如某个文件属于正常形式的文件，对其进行隔离处理后，用户需要进行操作才可以获取这项文件；假如某个文件属于恶性文件，忽略处理的话，则会对用户的系统产生较大影响。所以尽管是隔离或者忽略的方式，都容易会对用户产生一定的困扰。同时用户一般不具备足够的理论知识分析文件是否属于恶性类型。使用基于沙盒的虚拟分析技术能够为用户解决这种问题，将这种文件放置在沙盒中操作处理，观察对系统的各种更改是否属于有害的方式，假如是无害的则忽略处理，假如是有害的则应当拦截这类型文件。沙盒是一个封闭模式的模拟环境，同时使用虚拟化的技术，对网络的总体安全环境不会产生太大的影响[3]。
（三）统一可靠的威胁名单。依据威胁检测技术与虚拟分析技术的作用效果，能够生成一个存在可疑性威胁的名单，以便于能够及时反馈到在各个不同网络位置的安全防护部分，通过这些网络安全系统可以更好地进行安全防护。
（四）生成有效的本地病毒库有利于防范高级持续性威胁与针对性攻击，一般情况下APT与Targeted Attacks是传统模式的全局病毒库所无法处理的，由于这种类型攻击在其它方面是不会发生的，不能形成有效的病毒库。子系统根据相关的威胁分析与虚拟分析的实际结果能够提供一个本地生成病毒库的具体功能，从而使得安全威胁在网络体系中能够进一步得到扩散。
（五）清晰完整的报表系统。这个集中分析与控制系统根据各种不同的目的，提供相应的报表给有关IT信息安全管理人员进行查询操作，比如拦截计算机病毒数量、本地病毒库的更新状态、发现潜在威胁、病毒来源等方面。一个清晰完整的报表系统，可以省去过去阶段IT信息安全管理人员在各个系统上进行报表查询功能，然后可以支持人工整合的处理功能，在很大程度降低日常的管理开销状况[4]。
四、结束语
现阶段这种分层集中式的网络安全体系已经开始在部分企业级别的防病毒产品中发挥作用，同时逐渐应用在政府、银行、大型国企等容易受到APT攻击威胁的各种机关部门。通过应用防APT攻击的网络安全体系，可以削弱APT攻击的有效性，有利于提升企业信息安全的防护能力，从而降低信息暴露与被盗取的风险因素。
参考文献：
[1]江原.APT攻击的那些事[J].信息安全与通信保密，2011（11）：22-23.
[2]杜跃进.APT应对面临的挑战――关于APT的一些问题[J].信息安全与通信保密，2012（7）：13-14.
[3]刘婷婷.APT攻击悄然来袭 企业信息面临“精准打击”[J].信息安全与通信保密，2012（3）：39-40.
[4]张帅.对APT攻击的检测与防御[J].信息安全与技术，2011（9）：125-127.
关键词：CDP协议；网络攻击；安全防范
中图分类号：TP393文献标识码：A文章编号：1007-9599 (2011) 16-0000-01
The Security of Network Attacks Based on CDP Protocol
Jiang Baohua
(Changchun University,Tourism College,Department of Basic,Changchun130607,China)
Abstract:CDP (Cisco Discovery Protocol) is one of Cisco's data link layer discovery protocol that runs on Cisco routers,bridges,access servers and switches and other devices used to find and view details of a neighbor important agreements,such as IP address,software version,platform, performance,and the native VLAN.Intruders often use denial of service (DoS) attacks such as access to these information,and use this information for CDP deception,resulting in significant security threats.
Keywords:CDP protocol;Network attacks;Security
一、CDP协议发现原理
要发现CDP协议的安全漏洞，就要知道其工作原理。CDP协议与现有的网络协议类型无关，主要用来发现与本地设备直接相连的Cisco设备。每个运行CDP协议的设备都会定期发送宣告消息，来更新邻居信息。同时每个运行CDP的设备也会接收CDP消息来记录邻居设备的信息。这些信息包括设备名称、本地接口、硬件版本、IOS版本、IOS平台、工作模式、本地VLAN、连接保持等。利用这些信息可以描述整个网站的拓扑情况。而且这些报文信息不加密，是明文。CDP发现直接相连的其他Cisco设备，，并在某些情况下自动配置其连接。CDP的优势非常明显，包括发现的速度、准确性、所获取的信息的详细程度。
CDP协议相关的命令与作用如下：（1）SHOW CDP命令获取CDP定时器和保持时间信息。（2）在全局模式下使用命令CDP TIMER和CDP HOLDTIME在路由器上配置CDP定时器和保持时间。（3）在路由器的全局配置模式下可以使用NO CDP RUN命令完全的关闭CDP。若要在路由器接口上关闭或打开CDP，使用NO CDP ENABLE和CDP ENABLE命令。（4）Show cdp neighbor命令可以显示有关直连设备的信息。要记住CDP分组不经过CISCO交换机这非常重要，它只能看到与它直接相连的设备。在连接到交换机的路由器上，不会看到连接到交换机上的其他所有设备。（5）Show cdp traffic命令显示接口流量的信息，包括发送和接收CDP分组的数量，以及CDP出错信息。（6）Show cdp interface命令可显示路由器接口或者交换机、路由器端口的状态。（7）debug cdp events启动CDP事件调试等等。
二、CDP协议安全威胁
确实在大部分情况下，CDP协议的作用是不可替代的。如在大多数网络中，CDP能够提供很多有用的信息并且可以协助管理员进行网络排错和性能优化。但是，其带来的安全隐患也不容忽视。在缺省状态下，Cisco品牌的交换机或路由器会自动在所有连接接口上发送CDP消息，这些消息由于没有采取安全加密措施，非法用户通过专业工具可以很轻松地窃取到这些敏感内容。当这些敏感信息被非法者拥有后，他们就能轻易了解到局域网中的组网结构，并通过相关地址对网络中的重要主机进行恶意攻击，最终造成网络无法安全、稳定地运行。
除了被动获取邻居设备的交换协议信息外，非法攻击者还可以利用专业的CDP工具程序定制伪造的CDP数据帧，来通知局域网中的高端网络管理软件，说在网络中新发现了一台网络设备。如此一来，相关网络设备就会主动尝试利用SNMP来联系“陷阱”设备，这个时候非法攻击者就会对这样的联系进行监控捕捉，从而有机会获得局域网中其他重要网络设备的名称、地址、接口等信息，日后就为攻击这些网络设备做好充足的准备工作。
此外，CDP协议还能欺骗思科的IP电话。当打开IP电话后，交换机就会通过CDP协议自动和IP电话交换CDP数据，并主动通知电话来让语音流量选用哪一个虚拟工作子网。在这一过程中，非法攻击者可以通过注入CDP数据帧的方法来欺骗IP电话，为语音流量分配一个错误的虚拟工作子网。
三、防范措施
根据CDP协议的工作原理CDP协议所发送的信息中包含了一些比较敏感的信息。如果这些信息被不法分子获得的话，那么将给企业的网络带来很大的安全隐患。为此保护的重点就是如何让这些敏感的信息不被外人所知。为了避免CDP协议泄露网络设备的相关信息，可以只在企业内部网络的设备中启用CDP协议。而在连接到互联网的企业级边缘路由器上的接口上禁用CDP协议。如此的话，相关的敏感信息不会泄露到企业的外部网络上。在配合网络防火墙等功能，就可以保证CDP协议信息的安全。可以在连接到服务器提供商或者企业边缘路由器的接口上禁用CDP协议。其他地方如果有安全需要的话，可以根据情况来判断是否启用CDP协议。在可以的情况下，还是启用CDP协议为好。例如，在单位内网环境中，只要部署好了网络防火墙和网络防病毒软件，就可以将网络中交换机或路由器上的CDP发现功能启用起来，以便为日后的网络维护与优化提供方便，因为内网环境在多项安全措施的保护下，CDP发现协议存在的安全威胁会大大下降。此外，在一些安全性要求不高的网络环境中，也可以通过启用CDP发现协议来提高网络故障的排查效率。例如，在普通的网吧工作环境中，由于不存在太重要的敏感信息，开启CDP协议可以方便平时的管理、维护操作。在一些安全性要求比较高的网络环境中，或者是单位网络的边缘网络设备上，尽量不要使用CDP协议，毕竟CDP协议或多或少地会带来一些麻烦。比方说，在银行、证券等金融网络中，应该慎重使用CDP协议，因为这个网络中包含的敏感、隐私信息特别多，要是被非法用户发现的话，就相当于暴露了许多攻击目标。
在语音VLAN应用环境中，在企业内部网络中可以启用CDP协议，而在企业级别的边缘路由器上则禁用CDP协议。通过Vlan将企业的内部网络划分成几个独立的虚拟网，能够起到分割广播包、缩小冲突域等作用，对于企业内部网络的安全有着很大的作用。
关键词：国有企业；局域网；安全；防范
中图分类号：TP393.08
保护信息系统的安全，要综合考虑技术保护和管理保护两种实现方式。技术保护方式是根据风险产生的技术特点和安全目标的要求而采用相应的安全机制、技术措施和专用设备。管理保护方式则根据有关法律法规和安全目标的要求，针对信息系统的运行、有关人员的行为和技术过程而制订的相应管理制度[1]。
1 国有企业局域网安全的总体目标
确定网络安全总体目标，应该满足一定的要求：
1.1 机密性（Confidentiality）。保证机密信息不泄漏给非授权用户或实体，也不能供其利用。对信息的访问和利用，应该遵循完整健壮的认证授权机制。
1.2 完整性（Integrity）。保证数据的完整性和一致性，即信息在存储或传输过程中保持不被修改、不被破坏和不被丢失的特性。
1.3 可用性（Availability）。保证合法用户或实体对信息和资源的使用不会被异常拒绝，允许按照需求使用。网络环境下，拒绝服务攻击、破环网络设施和系统正常运行的中断等都属于对可用性原则的破坏。
2 国有企业局域网络攻击及面临的威胁分析
总的来说，国有企业面临的安全威胁主要是两个方面：（1）来自企业网络内部的误操作和恶意攻击。内部网的人员往往有公司内网局部系统的合法访问或管理权限，所以他们的误操作行为可能会给公司内网带来严重的危害；尤其是机要子网与普通子网的安全级别不同，可能导致窃听、伪造信息的情况发生；同时源自公司内网内部的恶意网络行为也可能导致严重的网络安全问题[2]；（2）来自企业网络外不得恶意攻击。接入Internet给外网带来了工作和信息交换的便利，但同时也给外网带来了很大的安全威胁。首先，Internet网络上随机的恶意漏洞扫描是无时不在的，而这些恶意的漏洞扫描往往是大规模网络入侵、渗透和破坏行为的前兆。这也就是说，外网随时都可能面临着来自Internet网络的恶意攻击。其次，网络病毒经由Internet网络可以迅速的感染外网，轻者造成网络或系统资源的浪费，严重的可能造成数据或系统的崩溃甚至局部网络的完全瘫痪。
3 企业网络安全性急需重视
企业已经越来越依赖网络以及企业内部网络来支持重要的工作流程，内部网络断线所带来的成本也急剧升高。当这--N显得迫在眉睫时，如何确保核心网络系统的稳定性就变得非常重要，即使一个企业的虚拟网络或防火墙只是短暂的中断，也都可能会中断非常高额的交易，导致收入流失、客户不满意以及生产力的降低[3]。
尽管所有的企业都应该对安全性加以关注，但其中一些更要注意。那些存储有私密信息或专有信息、并依靠这些信息运作的企业尤其需要一套强大而可靠的安全性解决方案，如政府机构、金融机构、保险服务机构、高科技开发商以及各类医疗机构。通过一部中央控制台来进行配置和管理的安全性解决方案能够为此类企业提供巨大帮助。这类安全性解决方案使IT管理员们能够轻松地对网络的安全性进行升级，从而适应不断变化的商务需求，并帮助企业对用户访问保持有效的控制。例如，IT管理员能够根据最近发现的网络攻击行为迅速调整网络的安全性级别。此外，用户很难在终端系统上屏蔽掉由一台远程服务器控制的网络安全特性。IT管理人员们将非常自信：一旦他们在整个网络中配置了适当的安全性规则，不论是用户还是系统的安全性都将得到保证，并且始终安全[4]。
而对于那些安全性要求较高的企业来说，基于软件的解决方案（例如个人防火墙以及防病毒扫描程序等）都不够强大，无法满足用户的要求。因为即使一个通过电子邮件传送过来的恶意脚本程序，都能轻松将这些防护措施屏蔽掉，甚至是那些运行在主机上的“友好”应用都可能为避免驱动程序的冲突而无意中关掉这些安全性防护软件。一旦这些软件系统失效，终端系统将非常容易受到攻击。更为可怕的是，网络中的其他部分也将处在攻击威胁之下。
4 国有企业局域网络攻击与安全防范措施
4.1 安全防范要点。公司网络目前从内部至Internet并没有做相关的安全措施，特别是核心区和互联区存在很大安全隐患，黑客攻击、信息丢失、服务被拒绝等，一旦发生任何攻击，对公司网络而言是致命性的，影响公司业务的正常运转。针对公司网络的结构及特点确定以下几个必须考虑的安全防范要点：（1）网络安全隔离。为了各行业间、部门之间加强业务联系以及信息化建设都需要网络和网络之间互联，交流信息、信息共享等措施，给企事业单位的工作带来极大的便利，同时给有意、无意的黑客或破坏者带来了充分的施展空间。所以网络之间进行有效的安全隔离是必需的；（2）网络监控措施。网间隔离起边缘区保护作用，无法防备内部不满者的攻击行为。往往内部来的攻击比外部攻击更具有致命性。在不影响网络的正常运行的情况下，增加内部网络监控机制可以做到最大限度的网络资源保护。从网络监控中得到统计信息来确定网络安全规范及安全风险评估。网络安全目标为保证整个网络的正常运行；在受到黑客攻击的情况下，能够保证网络系统正常运行。保证信息数据的完整性和保密性：在网络传输时数据不被修改和不被窃取。具有先进的入侵检测体系；正确确定安全策略及做科学的安全风险评估。保证网络的稳定性：安全措施不形成网络的负担，而且提供全天候满意服务和应用。
4.2 方案具体实施过程中包括：（1）防火墙使用方案。根据公司网络整体安全考虑采用一台瑞星防火墙安排在互联区。其中WWW、数据库、邮件、DNS等对外服务器连接在防火墙的DMZ区与内、外网间进行隔离。建立合理有效的安全过滤原则对网络数据包的协议、端口、源/目的地址、流向进行审核，严格控制外网用户非法访问。防火墙的DMZ区访问控制规则，只打开必需的服务HTTP、FTP、SMTP、POP3以及所需其他服务。防范外部来的拒绝服务攻击。对办公网用户进行流量控制，采用时间安全规则变化策略，控制内网用户访问外网时间。防火墙设置IP地址MAC地址绑定，防止IP地址欺骗。定期查看防火墙访问日志。严格控制防火墙的管理员的权限；（2）入侵检测（IDS）系统方案。以太网的共享通信介质技术，在进行网络通信时，随着数据包在网络上的广播，任何联网的计算机都可以监听正在通信的数据包，因此存在着安全隐患，网络入侵系统利用以太网的这种特性，进行有效的网络监控，调整网络资源分配，及时发现不正常数据包，并根据安全策略原则进行处理，确保网络系统的安全。入侵检测能力是衡量一个防御体系是否完整有效的重要因素。强大的、完整的入侵检测体系可以弥补防火墙相对静态防御的不足。根据公司网络的特点，采用瑞星的入侵检测系统。
5 结束语
由于国有企业局域网的安全问题是一个系统工程，在制定安全网络策略时应尽可能地考虑到网络中的各个方面及网络的拓展性，采用TCP/IP进行网络通信的网络，在网络层对计算机通信进行安全保护是业界流行的安全解决办法。
参考文献：
[1]李春洁.企业局域网的建设与维护[J].信息通信，2013（10）：116-117.
[2]郝静.提高企业局域网带宽质量五步骤[J].计算机与网络，2014（Z1）：67.
[3]王大明.企业局域网维护管理策略的研究和分析[J].电子技术与软件工程，2014（29）：28.
[4]张涛，周春红.无线局域网在企业中的架设与应用[J].电子世界，2014（05）：165-166.
电子商务(EC)是英文“ElectronicCommerce”的中译文。电子商务指的是通过简单、快捷、低成本的电子通信方式,买卖双方不谋面地进行的各种商务活动。由于电子商务拥有巨大的商机,从传统产业到专业网站都对开展电子商务有着十分浓厚的兴趣,电子商务热潮已经在全世界范围内兴起。电子商务内容包括两个方面:一是电子方式。不仅指互联网,还包括其他各种电子工具。二是商务活动。主要指的是产品及服务的销售、贸易和交易活动;电子化的对象是针对整个商务的交易过程,涉及信息流、商流、资金流和物流四个方面。
二、电子商务网络攻击的主要形式
1.截获或窃取信息
攻击者通过互联网、公共电话网、搭线、电磁波辐射范围内安装截收装置或在数据包通过网关和路由器时截获数据等方式,获取传输的机密信息,或通过对信息流量和流向、通信频度和长度等参数的分析,推出诸如消费者的银行账号、密码,以及企业的商业机密等有用信息。
2.违反授权原则
一个被授权进入系统做某件事的用户,在系统中做未经授权的其他事情。
3.拒绝服务
可以导致合法接入信息、业务或其他资源受阻。
4.中断
破坏系统中的硬件、线路、文件系统等,使系统不能正常工作,破译信息和网络资源。
5.计算机病毒
计算机病毒增长速度已远远超过计算机本身的发展速度,计算机病毒的破坏性越来越大,传播速度也越来越快,计算机病毒已成为电子商务发展的重大障碍之一。
三、电子商务的重要安全防范技术
1.防火墙(Firewall)技术
(1)防火墙的概念:是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。防火墙从本质上说是一种保护装置,用来保护网络数据和资源。防火墙是Internet上广泛应用的一种安全措施,它是不同网络或网络安全域之间信息的惟一出入口,能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流,且本身具有较强的抗攻击能力。它是提供信息安全服务,实现网络和信息安全的基础设施。防火墙技术是目前最为广泛使用的网络安全技术之一,防火墙技术也日趋成熟。
(2)防火墙的基本准则。①一切未被允许的就是禁止的;②一切未被禁止的就是允许的。
(3)防火墙的作用。所有来自Internet的信息或从内部网络发出的信息都必须穿过防火墙,因此,防火墙能够确保诸如电子邮件、文件传输、远程登录以及特定系统间信息交换的安全。防火墙可用于多个目的:限定人们从一个特别的节点进入;防止入侵者接近你的防御设施;限定人们从一个特别的节点离开;有效地阻止破坏者对计算机系统进行破坏。
2.数字签名(DigitalSignature)技术
(1)数字签名技术的概念。数字签名技术是在传输的数据信息里附加一些特定的数据或对数据信息作密码变换,这种附加数据或密码变换使接收方能确认信息的真正来源和完整性,并且发送方事后不能否认发送的信息,而接收方或非法者不能伪造或篡改发送方的信息。数字签名类似于手工签名,是手工签名的数字实现。
(2)数字签名的基本准则。①接收者能够核实发送者对报文的签名;②接收者不能伪造对报文的签名;③发送者事后不能抵赖对报文的签名。
(3)数字签名的方法。①对整体消息的签名:消息经过密码变换的被签字的消息整体;②对消息摘要的签名:附加在被签字消息之后或某一特定位置上的一段签字图样;③确定性数字签名:其明文与密文一一对应,对于一特定消息的签名不变化;④随机化的或概率式数字签名:对同一消息的签字是随机变化的,如基于离散对数的ElGamal数字签名算法。
3.数据加密技术
(1)数据加密技术的几个概念。通讯的保密性、真实性和完整性可以通过对穿过公共网络的数据进行加密来实现。数据加密是转换数据,给数据加密的过程。数据加密技术是研究对数据进行加密的技术。①密码:是一组含有参数k的变换E。设已知数据信息(明文)m,通过变换EK得数,据信息(密文)c,即:c=EK(m)。以上变换过程称之为加密,参数k称为密钥。被变换的数据信息(m)叫做明文;变换得到的数据信息叫做密文。②数据加密:把明文变换成密文的过程。③解密:把密文还原成明文的过程。
【关键词】计算机网络；病毒；防御策略；安全防御
随着国民经济的快速增长，计算机走入了千家万户，发展十分迅速。无论是家庭用户还是企业用户，计算机为人们的生活都带来巨大的便利。计算机在网络数据浏览及传输上功能强大，同时在用于数据处理和分析上也有着明显的优势。但是随着计算机互联网的普及，网络安全问题逐渐显露出来。随之报道了几次严重的病毒传播事件，还有一些黑客侵入银行系统盗取信息，进行非法刷取资金的新闻，网络安全越来越让人重视，如何应对网络安全问题，提出合理预防措施具有重大意义。
1.计算机网络攻击方式
计算机网络会经常遭受到各种网络信息的攻击，如网络信息资源不合法利用、个人信息被盗取、病毒入侵等，有些攻击是计算机正常运行过程中无意造成的，也有可能是他人故意攻击造成的。一般这种攻击方式分为两种，一是网络信息资源的攻击威胁，二是网络相关设备造成的攻击威胁。网络信息攻击主要是操作人员在进行网路上账户号输入时，没有合理进行安全配置，使计算机产生了安全漏洞，也有可能是操作者安全意识较差，泄露了自己的账号及密码，由此带来了网络上的信息资源泄露的威胁。同时，人为带来的计算机网络攻击，为上网安全造成威胁，比如有些黑客会对一企业单位的计算机进行攻击，非法盗取他人信息或是数据，形成了网络犯罪，严重时黑客会将病毒植入计算机，造成计算机系统崩溃，难以正常运行。这种网络信息资源的攻击方式会使网络信息失去完整性和安全性，严重时会导致机密信息泄露。
网络设备造成的攻击威胁主要是计算机本身存在一些具有漏洞的软件，而黑客就利用这些软件的漏洞，侵入宿主计算机，盗取相关数据。同时，人们普遍不知道的是，一些软件的设计人员在进行编程时，会为自己留一些便利的后门，便于对软件进行后期操作，但是如果这个后门被泄露后，会给用户造成很大的困扰。
2.计算机网络防御策略
针对计算机网络上出现的一些攻击现象分析可知，有些攻击是可以有效避免的，这需要用一定的防御措施来预防网络信息和设备的攻击。计算机网络防御措施主要有以下三条。
2.1提高个人安全意识
网络在安全管理方面会有一定制度进行监督管理，但是如果个人上网时没有安全意识，造成信息及重要账号密码泄露，是网络安全系统难以管理到的。网络安全管理通过设定计算机密码及用户信息，来保护计算机信息不会被非法访问，保护了网络资源，控制计算机的信息访问。计算机本身提供了一些安全管理措施，比如权限设置、用户登录，但是想要真正的在计算机网络上防御攻击，还要从用户的意识思想上入手。加强个人安全意识，上网时养成良好的操作习惯，不随便登录来路不明的网站，不查看不知名的邮件，不要让陌生人操作个人电脑，不要随意插入不安全的U盘。在网络上设置账户密码时，尽量采用数字加字母加符号的形式设置，电脑定时病毒查杀，检查漏洞，及时更新补丁，从根本意识上认识到网络信息泄露的严重性，加强个人电脑防御安全。
2.2高效防御网络病毒
计算机上网过程中，下载的文件、歌曲及打开不知名连接都有可能携带病毒，为了能防御病毒，首先应该知道病毒的危害及传染方式。病毒随着网络的不断应用也日益发展，通过邮件及文件携带进而感染，传播速度较快，传播范围也较广。病毒攻击计算机系统的方式很多，除了在邮件及网络文件中携带以外，木马侵入和黑客的攻击也被认为是一种新型病毒。为了高效防御网络病毒，可以通过安装杀毒软件来实现。目前，我国主要有的杀毒软件有360杀毒、金山杀毒等，安装时应该选择正版杀毒软件，不要从其他业余网站下载，以免感染病毒。针对用户需求，选择合适的杀毒软件，杀毒软件可以为电脑建立强有力的防火墙系统。安装好杀毒软件后，需要不定期的进行病毒查杀，对已经出现的病毒按照杀毒软件要求迅速删除，同时做好计算机查找漏洞的工作，及时修补漏洞，定期进行补丁安装，从而为计算机的安全防御系统打下良好基础。
2.3优化防御控制技术
为了能更好的防御计算机网络遭受的攻击和威胁，加强防御控制技术的研究具有重要意义。着力与防御技术的应用和开发，优化已有的防御技术，如加强权限设置管理，完善动态口令卡的操作。首先需要的是，在进行计算机软件安装时要谨慎小心，确定软件下载来源，对不明来历的软件不要进行安装，尽量在官网上下载软件；其次是，采用一些加密技术和防火墙加强等操作进行计算机安全权限的提高，重视计算机安全管理系统；最后需要做的是，采用协议分析的方法完成计算机安全防御，对计算机数据综合监测控制。当遭遇到病毒感染或者黑客攻击的时候，可以快速关闭网络关口，做好安全防护工作，及时进行病毒查杀。
采用一些网络防御技术可以保护计算机不被攻击，目前较为常用的有信息加密技术，通过加密技术可以安全进行网络文件及数据的传输，该项技术可以保证传输的文件及数据不被他人拦截，技术可靠而安全。虚拟专用网络技术，利用搭建的虚拟网络路线进行远程数据存储和传输，该技术将加密技术、安全访问等技术集合到一起，实现可靠安全的数据通信传输。
3.结语
随着计算机网络的广泛应用，对其进行安全防御具有重要意义。通过分析网络攻击方式，分为两类，一类是网络信息资源的攻击威胁，一类是网络相关设备造成的攻击威胁。针对不同的网络攻击方式，对应的提出一些网络安全防御措施，首先要提高个人安全意识，其次是高效防御网络病毒，最后是优化防御控制技术，通过这些措施的应用，对于网络攻击会起到一定的防御作用。面对计算机网络攻击威胁，使用者应该高度重视其攻击带来的影响，提高操作意识，减少网络攻击带来的信息泄露及经济损失，同时也是阻碍了不法分子的违法行为，对维护网络安全、净化网络信息产生重要作用。
【参考文献】
[1]房德安.计算机网络防御策略描述语言分析[J].黑龙江科技信息，2013，（9）：109.
[2]邢娜.计算机病毒的安全防御策略[J].电子测试，2015，（2）：114，134-135.
[3]刘青，张庆军.基于防火墙技术的计算机网络安全机制探析[J].硅谷，2015，（3）：33-35.
[4]王晓丹，黄炎焱，王建宇.计算机网络防御策略分析[J].指挥信息系统与技术，2014，（5）：13-19.
计算机网络安全是指：运用网络安全软件及网络安全硬件相结合的方式和技术，防护一个网络系统，在这个网络系统里所存储的数据信息得到安全保护。网络安全硬件即物理安全，指使用硬件防火墙等网络安全设备对网络进行安全防护。软件安全即逻辑安全，指使用软件安全防御程序，使数据信息免于遭到窃取和破坏。逻辑安全是物理安全的有效补充，逻辑安全的软件系统可以随时更新，来抵御新型的网络攻击方式和计算机病毒侵害。
2什么是网络攻击
网络攻击是指搜索所要攻击的计算机系统自身存在的数据安全漏洞，然后运用一些软件等方式，侵入到对方网络系统当中，破坏对方的数据安全防御措施。其目的就是盗取和破坏、篡改对方的数据信息资源等，干扰对方计算机系统的正常运行，致使对方计算机网络系统及数据信息无法使用延误工作，而带来经济等方面上的损失。
3计算机网络攻击的特征
3.1给计算机用户造成了损失巨大。攻击者攻击和入侵的对象是链接在网络上的存储数据的终端，由于网络连接着各种类型的数据终端设备，所以只要网路攻击者们的攻击手段奏效，他们就会侵入到网络中数据终端设备当中，他们或对数据进行窃取收集，或者破坏，从而对数据所有者带来不可估量的经济损失。
3.2威胁到社会与国家的安全。一些计算机网络攻击者出于各种目的经常把政府部门、军事部门以及银行的计算机作为攻击目标，窃取或修改信息，从而对社会和国家安全造成威胁，甚至带来无法挽回的损失。
3.3手段繁多，手法很隐蔽。计算机攻击的方式各种各样，而且难以找到攻击者的攻击证据。网络攻击者既可以用监视网上数据来盗取他人的保密信息，可以通过截取阶他人的账号和口令潜入他人的计算机系统，可以通过一些方法来绕过或破坏他人安装的防火墙等等，这些过程只需要一台连接了互联网的计算机就完成，而且所花时间很短。
3.4网络攻击的反映类别。网络的技术是全开放的，使得网络所面临的攻击来自多方面。
4借助系统命令进行攻击
4.1通过“IP欺骗”发起攻击。
4.2“破解密码”来实施攻击。
4.3“拒绝服务”欺骗式攻击。
4.4通过系统“应用层”攻击。
5计算机网络信息安全遭到威胁的成因分析
5.1黑客的威胁和攻击造成的。这是计算机网络所面临的最大威胁，黑客攻击手段可以分为非破坏性攻击和破坏性攻击两类。非破坏攻击一般是为了扰乱系统的运行，并不盗窃系统资料，通常采用拒绝服务攻击或信息炸弹，破坏性攻击是以侵入他人电脑系统，盗窃系统保密信息，破坏目标系统的数据为目的。
5.2网络软件的漏洞造成的。计算机软件是不存在绝对安全的，它们都可能存在这样或那样的安全漏洞，然而，这些软件的安全漏洞恰恰就成为了黑客入侵计算机网络途径和目标，黑客找到软件的安全漏洞，使用针对性的入侵手段，对目标网络的数据信息加以破坏。
5.3感染计算机病毒造成的损失。计算机终端感染上病毒以后，会使计算机系统运行缓慢，破坏系统数据，或者针对某类型文件进行窃取和破坏，使计算机所存储的文件和数据丢失，甚至监视计算机的使用情况。
5.4因计算机操作人员的因素所带来的安全隐患。因计算机操作时，对安全的疏忽，使数据丢失或被窃取的例子数不胜数，人们在日常操作计算机时往往会忽视网络安全的重要性。最主要例子就是数据保密意识不强，设立密码过于简单，使用密码过程当中保密措施不当，忽视了对于保密数据使用权限的设定等原因，都将造成计算机网络系统的安全受到严重威胁。
6网络攻击的防御对策
6.1建立完整的保护系统。我们在使用计算机和数据终端时就要考虑安全防护措施，最简单的就是安装软件防火墙和杀毒软件，是数据从最根本上得到有效的保护，设定各种网络防护措施，建立一套网络安全使用方法，使一个网络系统的各个环节都得以保护，防止数据的丢失。
6.2加强内部网络管理人员及使用人员的安全意识很多计算机系统常用口令来控制对系统资源的访问，这是防病毒进程中，最容易和最经济的方法之一。
6.3积极设置身份鉴别系统。首先在用户进入（即使用）计算机信息系统前，系统要对用户的身份进行鉴别，以判断该用户是否为系统的合法用户，其目的是防止非法用户进入，这是系统安全控制的第一道防线。
6.4使用入侵检测系统防止黑客入侵。入侵检测系统是从多种计算机系统及网络系统中收集信息，再通过此信息分析入侵特征的网络安全系统。它能在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警与防护系统驱逐入侵攻击。在入侵攻击过程中，能减少入侵攻击所造成的损失。认真设制口令识别：a.是设置口令字；b.是采用智能卡和口令字相结合的方式；c.是用人的生物特征等强认证措施，如指纹、视网膜等。
6.5重视防火墙软件的安装。防火墙软件是计算机网络终端设备的最后一道安全保障：防火墙软件能够大大地提高计算机的安全系数，并通过加载安全协议等方式，防御不安全的服务从而降低数据安全的风险。由于软件防火墙只允许符合所设定安全规则的数据才可以通过防火墙，所以安装有防火墙软件的计算机的安全性能才有一定的保障。
6.6积极安装网络版防病杀毒软件。利用局域网内的服务器制作一个防病毒服务器，及时的通过互联网下载更新病毒特征数据库，并强制局域网内的计算机终端更新杀毒软件和防火墙软件。
6.7采取数据加密技术。计算机采用数据加密技术的主要因素就是可以保证数据在传输的过程中对数据流的加密，这样有效能够保证信息的安全性，目前最常用的只有线路加密和端对端加密，线路加密是将需要的信息用不同的加密密钥匙提供安全保护。
关键词：OpenStack；云平台；网络攻防；靶场
中图分类号：TP393 文献标识码：A 文章编号：1671-2064（2017）01-0027-02
1 引言
随着计算机网络技术的快速发展及其在各领域的广泛应用，社会各界也越来越重视信息网络安全问题，不断投入资源进行网络攻防演练和信息安全研究。考虑到计算机网络应用服务的实时性和高可靠性要求，难以直接在业务网络尤其是生产系统上进行网络攻防演练和渗透测试研究。网络靶场技术能够对真实业务网络进行模拟，在其上进行攻防演练能够避免对真实业务网络的破坏，并且成本低、部署灵活、过程可重复，是网络攻防演练和测试研究的有效途径。
网络靶场概念最初在军事领域提出，是为了满足信息化武器系统的研究需求而构建的信息安全试验平台，是一个贴近实战的信息战模拟环境[1]。由于网络靶场可以进行各种攻击手段和防御技术的研究，针对性制定安全性策略以及安全方案，并可进行定量和定性的安全评估，因此其在军事领域之外的其他信息安全研究领域也得到了广泛的应用。
本文根据网络攻击及防护技术在真实网络环境中的应用特点，基于云计算技术构建了网络攻防靶场平台，能够为网络攻防演练、渗透测试以及防护技术研究提供综合模拟环境，可应用于政府、企业以及高校等行业的网络安全实验室。
2 OpenStack云计算技术
云计算是一种基于互联网的计算方式和服务模式，它具有灵活动态分配资源、统一管理、有效降低管理维护成本等优势，因此基于云计算平台的网络靶场也具有高性价比和便于管理维护等优点。OpenStack是由开源社区开发维护的一个开源云计算平台，采用组件化的服务形式管理计算、存储以及网络资源池，支持自定义方式搭建灵活的云计算环境，其主要组件包括：
（1）运算组件Nova，是OpenStack的核心组件，负责虚拟运算和资源的调度；
（2）对象存储组件Swift，其以分布式对象存储方式存放虚拟机镜像文件；
（3）区块存储组件Cinder，分块存储，为虚拟机提供块存储设备；
（4）网络组件Quantum，管理虚拟网络系统；
（5）身份认证组件Keystone，用于身份认证和授权；
（6）镜像文件管理组件Glance，对虚拟机镜像文件进行管理；
（7）仪表盘组件Horizon，提供UI操作界面。
OpenStack通过以上组件提供可扩展、灵活的云计算平台，并且鉴于其开源特性以及强大的社区开发模式，本文采用OpenStack作为云平台构建网络靶场。
3 基于OpenStack技术的网络攻防靶场平台构建
3.1 设计目标
在实际业务环境中，网络攻击和防御是“道高一尺魔高一丈”的关系，手段也呈现多样性特点，所以近似真实业务网络是靶场设计的基本要求，并且靶场的设计应满足以下目标：
（1）网络攻防的指标参数应可以根据需要进行配置，比如拓扑结构、漏洞等级、设备参数以及评价指标等。
（2）可以进行多种模式的演练，以满足不同的演练需求，包括红蓝对抗和单兵作战。
（3）能够对演练过程和成绩进行实时监控和统计，并以图形化界面全程展示演练情况，具备一定的态势感知能力。
（4）在演练过程中，靶场应能够在运行资源和管理资源方面支持不同攻防场景的快速部署，从而全方位地对靶场进行安全性评估，重点完善薄弱环节，也能够通过丰富的演练场景，掌握网络攻击与防护的理论知识和实践技能。
（5）演练数据应被详细记录，通过数据处理和分析，评估靶场的安全性以及演练人员的技能水平，并进一步形成和丰富网络攻防实验模型和实验数据库。
3.2 总体架构
根据前述设计目标，基于云平台的网络攻防靶场在OpenStack基础设施之上模拟出多种设备和系统，包括网络设备、安全设备、主机设备以及操作系统，并能够完全贴近网络安全的各应用领域，例如网络设备安全、操作系统安全、数据库安全、Web应用安全、主机程序安全、移动设备安全以及中间件安全。功能模块主要有靶场信息管理系统、红蓝对抗系统和单兵作战系统。靶场系统又包括各种靶场场景，可以预设和修改，主要靶场场景包括ServU漏洞利用靶场、Windows漏洞靶场、Linux漏洞靶场、webshell利用、SqlServer提权靶场、SQL注入靶场、cookie分析靶场、ftp弱口令利用靶场、telnet弱口令利用靶场、系统登录弱口令利用靶场、电商网站靶场、新闻系统靶场、个人博客靶场、Wiki靶场、OA系统靶场等。系统总体架构如图1所示。
3.3 功能模块
3.3.1 靶场管理信息系统
靶场管理信息系统对整个靶场平台进行统一管理调度，采用B/S架构模式，无需安装客户端，升级维护灵活方便。其一方面通过API接口访问OpenStack云计算资源，另一方面负责对靶场场景进行镜像管理和参数配置，并提供实时监控、分析统计、可视化展示、系统管理等功能。靶场管理信息系统自身具备较高的安全防护能力，能够防止在攻防演练中受到攻击导致整个靶场平台的失效。
3.3.2 红蓝对抗系统
呈现红蓝对抗演练模式，即将演练者分为红方和蓝方两组进行网络攻防的对抗演练，以CTF（Capture the Flag）夺旗比赛模式进行，红方试图利用蓝方的安全防护漏洞获取蓝方的Flag，蓝方则尽力堵住自身安全漏洞，并反利用红方漏洞获取红方Flag，是一种对抗激烈的演练模式，对演练者的技能水平有较高考验。
3.3.3 单兵作战系统
主要训练考核演练者的攻击水平，系统为演练者提供了两台攻击机以及目标靶机，攻击机分别为预置有攻击工具的Windows操作系统和Kali Linux操作系统，目标靶机由系统管理员从靶场场景中选取设置，演练者通过攻击机对靶机进行渗透，获取过关文件，向系统提交过关文件后由系统自动进行判分，并给出实时成绩。
4 网络攻防渗透测试实例
本文对系统功能和各靶场场景逐一进行了测试，此处以Windows漏洞利用靶场场景为例阐述渗透测试过程。该靶场场景部署Windows xp SP1版本操作系统作为目标靶机，测试时使用靶场平台提供的Kali Linux作为攻击机，在攻击机运行漏洞扫描程序对目标靶机进行漏洞扫描，发现目标靶机存在MS08-067高危漏洞。于是攻击机启动Metasploit攻击框架，使用攻击模块，加载攻击载荷，对靶机进行渗透，从而获取到靶机的命令行权限，并添加用户、提权，最终获得靶机的最高控制权，取得Flag，渗透成功。
通过对网络攻防靶场系统全部功能模块和靶场场景的测试以及实践检验，证明该系统功能全面、运行稳定，达到了预期设计目标。
5 结语
本文根据网络攻击及防护技术在真实网络业务环境中的应用特点，基于OpenStack云计算技术构建了网络攻防靶场平台，能够为网络攻防演练、渗透测试以及防护技术研究提供综合模拟环境，避免对真网络的影响和危害，可应用于政府、企业以及高校等行业的网络安全实验室。
