涉密电脑系统要求-涉密电脑系统崩溃怎么解决

1.如何全方位打造一个安全可信电脑终端

2.简述计算机安全的三种类型？

3.网络安全与防范措施

4.求读书笔记：关于威胁移动终端设备安全以及如何保证移动终端在数据传输过程中的安全性

5.北信源主机监控审计系统好用吗

如何全方位打造一个安全可信电脑终端

终端安全是企业信息技术安全体系建设的服务对象和密集风险发生部分。 我们面临着多方面的挑战，需要釆用不同类型，不同层次，不同级别的安全措 施，实现终端安全。

一、挑战和威胁

1. 员工安全意识薄弱，企业安全策略难以实施，网络泛滥

、蠕虫和间谍软件等网络安全威胁损害客户利益并造成大量金钱和生 产率的损失。与此同时，移动设备的普及进一步加剧了威胁。移动用户能够从 家里或公共热点连接互联网或办公室网络，常在无意中轻易地感染并将其 带进企业环境，进而感染网络。

据2010 CSI/FBI安全报告称，虽然安全技术多年来一直在发展，且安全技 术的实施更是耗资数百万美元，但、蠕虫和其他形式的恶意软件仍然是各 机构现在面临的主要问题。机构每年遭遇的大量安全事故造成系统中断、收入 损失、数据损坏或毁坏以及生产率降低等问题，给机构带来了巨大的经济影响。

为了解决这些问题，很多企业都制定了企业的终端安全策略，规定终端必 须安装杀毒软件，以及及时更新库；终端必须及时安装系统安全补丁；终 端必须设置强口令等。但是由于员工安全意识薄弱，企业的安全策略难以实施， 形同虚设，网络安全问题依然严重。

2. 非授权用户接入网络，重要信息泄露

非授权接入包括以下两个部分：

(1) 来自外部的非法用户，利用企业管理的漏洞，使用PC接入交换机， 获得网络访问的权限；然后冒用合法用户的口令以合法身份登录网站后，查看 机密信息，修改信息内容及破坏应用系统的运行。

(2) 来自内部的合法用户，随意访问网络中的关键，获取关键信息用 于非法的目的。

目前，企业使用的局域网是以以太网为基础的网络架构，只要插入网络， 就能够自由地访问整个网络。因非法接入和非授权访问导致企业业务系统的破 坏以及关键信息资产的泄露，已经成为了企业需要解决的重要风险。

3. 网络的不合理使用，工作效率下降，存在违反法律法规的风险

根据IDC最新数据报导，企事业员工平均每天有超过50%的上班时间用来 在线聊天，浏览、、网站，或处理个人事务；员工从互联网下载 各种信息，而在那些用于下载信息的时间中，62%用于软件下载，11%用于下 载音乐，只有25%用于下载与写报告和文件相关的资料。

在国内，法律规定了很多网站是非法的，如有内容的、与反相关 的、与迷信和犯罪相关的等。使用宽带接入互联网后，企事业内部网络某种程 度上成了一种“公共”上网场所，很多与法律相违背的行为都有可能发生在内 部网络中。这些事情难以追查，给企业带来了法律法规方面的风险。

二、防护措施

目前，终端数据管理存在的问题主要表现在：数据管理工作难以形成制度 化，数据丢失现象时常发生；数据分散在不同的机器、不同的应用上，管理分 散，安全得不到保障；难以实现数据库数据的高效在线备份；存储媒体管理困 难，历史数据保留困难。

为此，我们从以下几个方面取措施实现终端安全。

1. 数据备份

随着计算机数据系统建设的深入，数据变得越来越举足轻重，如何有效地 管理数据系统日益成为保障系统正常运行的关键环节。然而，数据系统上的数 据格式不一，物理位置分布广泛，应用分散，数据量大，造成了数据难以有效 的管理，这给日后的工作带来诸多隐患。因此，建立一套制度化的数据备份系 统有着非常重要的意义。

数据备份是指通过在数据系统中选定一台机器作为数据备份的管理服务 器，在其他机器上安装客户端软件，从而将整个数据系统的数据自动备份到与 备份服务器相连的储存设备上，并在备份服务器上为各个备份客户端建立相应 的备份数据的索引表，利用索引表自动驱动存储介质来实现数据的自动恢复。 若有意外发生，若系统崩溃、非法操作等，可利用数据备份系统进行恢复。 从可靠性角度考虑，备份数量最好大于等于2。

1) 数据备份的主要内容

(1) 跨平台数据备份管理：要支持各种操作系统和数据库系统；

(2) 备份的安全性与可靠性：双重备份保护系统，确保备份数据万无一失；

(3) 自动化排程/智能化报警：通过Mail/Broadcasting/Lo生报警；

(4) 数据灾难防治与恢复：提供指定目录/单个文件数据恢复。

2) 数据备份方案

每个计算环境的规模、体系结构、客户机平台和它支持的应用软件都各不 相同，其存储管理需求也会有所区别，所以要选择最适合自身环境的解决方案。 目前虽然没有统一的标准，但至少要具有以下功能：集成的客户机代理支持、 广泛的存储设备支持、高级介质管理、高级日程安排、数据完整性保证机制、 数据库保护。比如，华为公司的VIS数据容灾解决方案、HDP数据连续性保护 方案，HDS的TrueCopy方案，IBM的SVC方案等。

2. 全面可靠的防体系

计算机的防治要从防毒、查毒、解毒三方面来进行，系统对于计算机病 毒的实际防治能力和效果也要从防毒能力、查毒能力和解毒能力三方面来评判。

由于企业数据系统环境非常复杂，它拥有不同的系统和应用。因此，对于 整个企业数据系统的防治，要兼顾到各个环节，否则有某些环节存在问题， 则很可能造成整体防治的失败。因而，对于反软件来说，需要在技术上做 得面面俱到，才能实现全面防毒。

由于数据系统与单机在本质上是相同的，都是人为编制的计算机 程序，因此反的原理是一样的，但是由于数据系统具有的特殊复杂性，使 得对数据系统反的要求不仅是防毒、查毒、杀毒，而且还要求做到与系统 的无缝链接。因为，这项技术是影响软件运行效率、全面查杀的关键所在。 但是要做到无缝链接，必须充分掌握系统的底层协议和接口规范。

随着当代技术的发展，已经能够紧密地嵌入操作系统的深层，甚 至是内核之中。这种深层次的嵌入，为彻底杀除造成了极大的困难，如果 不能确保在被杀除的同时不破坏操作系统本身，那么，使用这种反软 件也许会出现事与愿违的严重后果。无缝链接技术可以保证反模块从底层 内核与各种操作系统、数据系统、硬件、应用环境密切协调，确保在入侵 时，反操作不会伤及操作系统内核，同时又能确保对来犯的防杀。

VxD是微软专门为Windows制定的设备驱动程序接口规范。简而言之， VxD程序有点类似于DOS中的设备驱动程序，它是专门用于管理系统所加载 的各种设备。VxD不仅适用于硬件设备，而且由于它具有比其他类型应用程序 更高的优先级，更靠近系统底层，因此，在Windows操作系统下，反 技术就需要利用VxD机制才有可能全面、彻底地控制系统，并在入侵 时及时报警。而且，VxD技术与TSR技术有很大的不同，占用极少的内存，对 系统性能影响极小。

由于具备隐蔽性，因此它会在不知不觉中潜入你的机器。如果不能抵 御这种隐蔽性，那么反软件就谈不上防毒功能了。实时反软件作为一 个任务，对进出计算机系统的数据进行监控，能够保证系统不受侵害。同 时，用户的其他应用程序可作为其他任务在系统中并行运行，与实时反任 务毫不冲突。因此，在Windows环境下，如果不能实现实时反，那么也将 会为入侵埋下隐患。针对这一特性，需要取实时反技术，保证在计 算机系统的整个工作过程中，能够随时防止从外界入侵系统，从而全面提 高计算机系统的整体防护水平。

当前，大多数光盘上存放的文件和数据系统上传输的文件都是以压缩形式 存放的，而且情况很复杂。现行通用的压缩格式较多，有的压缩工具还将压缩 文件打包成一个扩展名为“.exe”的“自解压”可执行文件，这种自解压文件 可脱离压缩工具直接运行。对于这些压缩文件存在的复杂情况，如果反软 件不能准确判断，或判断片面，那就不可避免地会留有查杀的“死角”，为 防治造成隐患。可通过全面掌握通用压缩算法和软件生产厂商自定义的压 缩算法，深入分析压缩文件的数据内容，而非用简单地检查扩展文件名的方 法，实现对所有压缩文件的查毒杀毒功能。

对于数据系统的防治来说，反软件要能够做到全方位的防护，才 能对做到密而不漏的查杀。对于数据系统，除了对软盘、光盘等 感染最普遍的媒介具备保护功能外，对于更为隐性的企业数据系统传播途径， 更应该把好关口。

当前，公司之间以及人与人之间电子通信方式的应用更为广泛。但是，随 着这种数据交换的增多，越来越多的隐藏在邮件附件和数据库文件中进行

传播扩散。因此，反软件应该对这一传播通道具备有效控制的功能。

伴随数据系统的发展，在下载文件时，被感染的机率正在呈指数级增 长。对这一传播更为广泛的源，需要在下载文件中的感染机器之前，

自动将之检测出来并给予清除，对压缩文件同样有效。

简言之，要综合用数字免疫系统、监控源技术、主动内核技术、“分 布式处理”技术、安全网管技术等措施，提高系统的抗能力。

3. 安全措施之防火墙及数据加密

所谓防火墙就是一个把互联网与内部网隔开的屏障。防火墙有两类，即标 准防火墙和双家M关。随着防火墙技术的进步，在双家N关的基础上又演化出 两种防火墙配置，一种是隐蔽主机网关，另一种是隐蔽智能网关（隐蔽子网）。 隐蔽主机网关是当前一种常见的防火墙配置。顾名思义，这种配置一方面将路 由器进行隐蔽，另一方面在互联N和内部N之间安装堡垒主机。堡垒主机装在 内部网上，通过路由器的配置，使该堡垒主机成为内部网与互联网进行通信的唯 一系统。U前技术最为复杂而且安全级别最高的防火墙是隐蔽智能网关，它将 H关隐藏在公共系统之后使其免遭直接攻击。隐蔽智能网关提供了对互联网服 务进行几乎透明的访问，同时阻止了外部未授权访问者对专用数据系统的非法 访问。一般来说，这种防火墙是最不容易被破坏的。

与防火墙配合使用的安全技术还有数据加密技术，是为提高信息系统及数 据的安全性和保密性，防止秘密数据被外部破析所用的主要技术手段之一。 随着信息技术的发展，数据系统安全与信息保密日益引起人们的关注。目前各 国除了从法律上、管理上加强数据的安全保护外，从技术上分别在软件和硬件 两方面取措施，推动着数据加密技术和物理防范技术的不断发展。按作用不 N,数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥 管理技术四种。

4. 智能卡实施

与数据加密技术紧密相关的另一项技术则是智能卡技术。所谓智能卡就是 密钥的一种媒体，一般就像一样，由授权用户所持有并由该用户赋予它 一个口令或密码字。该密码与内部数据系统服务器上注册的密码一致。当口令 与身份特征共同使用时，智能卡的保密性能还是相当有效的。数据系统安全和 数据保护的这些防范措施都有-定的限度，并不是越安全就越可靠。因而，在 看一个内部网是杏安全时不仅要考察其手段，而更重要的是对该数据系统所 取的各种措施，其中不光是物理防范，还有人员的素质等其他“软”因素，进 行综合评估，从而得出是否安全的结论。

另外，其他具体安全措施还包括数字认证、严谨有效的管理制度和高度警 惕的安全意识以及多级网管等措施。另外考虑到数据系统的业务连续，也需要 我们设计和部署必要的BCP。?

三、解决方案

解决终端安全问题的有效方法是结合端点安全状况信息和新型的网络准入 控制技术。

(1) 部署和实施网络准入控制，通过准入控制设备，能够有效地防范来自 非法终端对网络业务的访问，有效防范信息泄密。

(2) 通过准入控制设备，实现最小授权的访问控制，使得不同身份和角色 的员工，只能访问特定授权的业务系统，保护如财务系统企业的关键业务。

(3) 端点安全状态与网络准入控制技术相结合，阻止不安全的终端以及不 满足企业安全策略的终端接入网络，通过技术的手段强制实施企业的安全策略， 来减少网络安全，增强对企业安全制度的遵从。

加强事后审计，记录和控制终端对网络的访问，控制M络应用程序的使用， 敦促员工专注工作，减少企业在互联网访问的法律法规方面的风险，并且提供 责任回溯的手段。

1. 集中式组网方案

终端安全管理（Terminal Security Management, TSM)系统支持集中式组

网，把所有的控制服务器集中在一起，为网络中的终端提供接入控制和安全管 理功能。集中式组网方案如图9-3所示。

2. 分布式组网方案 如果遇到下面的情况，可能需要用分布式组网方案，如图9-4所示。?

(1)终端相对集中在几个区域，而且区域之间的带宽比较小，由于代理与 服务器之间存在一定的流量，如果用集中式部署，将会占用区域之间的带宽, 影响业务的提供。

(2)终端的规模相当大，可以考虑使用分布式组网，避免大量终端访问TSM 服务器，占用大量的网络带宽。

分布式部署的时候，TSM安全代理选择就近的控制服务器，获得身份认证 和准入控制等各项业务。

3. 分级式组网方案

如果网络规模超大，可以选择用分级式组网方案，如图9-5所示。

在这种部署方案中，每个TSM结点都是一个独立的管理单元，承担独立的 用户管理、准入控制以及安全策略管理业务。管理中心负责制定总体的安全策 略，下发给各个TSM管理结点，并且对TSM管理结点实施情况进行监控。

TSM系统对于关键的用户认证数据库提供镜像备份机制，当主数据库发生 故障时，镜像数据库提供了备份的认证源，能够保证基本业务的提供，防止因 为单一数据源失效导致接入控制的网络故障。

当TSM系统发生严重故障，或者TSM系统所在的网络发生严重故障时， 用户可以根据业务的情况进行选择：业务优先/安全优先。

如果选择业务优先，准入控制设备（802.1X交换机除外）上设计的逃生通 道能够检测到TSM系统的严重故障，启用逃生通道，防止重要业务中断。

TSM终端安全管理系统提供服务器状态监控工具，通过该工具可以监控服 务器的运行状态，如数据库链接不上、SACG链接故障以及CPU/内存异常等。当 检查到服务器的状态异常时，可以通过邮件、短信等方式通知管理员及时处理。

四、终端虚拟化技术

1.传统的终端数据安全保护技术

1) DLP

(1) 工作方式：DLP (Data Loss Prevention,数据丢失防护）技术侧重于信 息泄密途径的防护，是能够通过深度内容分析对动态数据、静态数据和使用中 的数据进行鉴定、检测和保护的产品。可以在PC终端、网络、邮件服务器等 系统上针对信息内容层面的检测和防护，能够发现你的敏感数据存储的位置， 之后进行一定的处理方式，但也是有些漏洞的。

(2) 使用场景与限制：虽然DLP方案从灵活性、安全性、管理性上都满足 了数据安全的需求，但同样成功部署DLP方案需要有一个前提，就是其数据内 容匹配算法的误报率要足够低。然而，由于数据内容的表达方式千差万别，在 定义数据内容匹配规则的时候漏审率和误判率非常难平衡，无论是哪个厂商的 DLP产品，在实际测试过程中的误报率普遍都偏高，DLP方案的防护效果体验 并不好。

2) DRM

(1) 工作方式：DRM (Digital Right Management，数字权限管理）是加密

及元数据的结合，用于说明获准访问数据的用户，以及他们可以或不可以对数 据运行进行某些操作。DRM可决定数据的访问及使用方式，相当于随数据一 起移动的贴身保镖。权限包括读取、更改、剪切/粘贴、提交电子邮件、复制、 移动、保存到便携式保存设备及打印等操作。虽然DRM的功能非常强大，但 难以大规模实施。

(2) 使用场景与限制：DRM极其依赖手动运行，因此难以大规模实施。用 户必须了解哪些权限适用于哪种内容的用户，这样的复杂程度常使得员工忽略 DRM,并导致未能改善安全性的失败项冃。如同加密一样，企业在应用权限时 必须依赖人为的判断，因为DRM丄具不具备了解内容的功能。成功的DRM 部署通常只限于用户训练有素的小型工作组。由于存在此种复杂性，大型企业 通常并不适合部署DRM。但如同加密一样，可以使用DLP来专注于DRM， 并减少某些阻碍广泛部署的手动进程。

3) 全盘加密

(1) 工作方式：所谓全盘加密技术，一般是用磁盘级动态加解密技术， 通过拦截操作系统或应用软件对磁盘数据的读/写请求，实现对全盘数据的实时 加解密，从而保护磁盘中所有文件的存储和使用安全，避免因便携终端或移动 设备丢失、存储设备报废和维修所带来的数据泄密风险。

(2) 使用场景与限制：与防水墙技术类似，全盘加密技术还是无法对不同 的涉密系统数据进行区别对待，不管是涉密文件还是普通文件，都进行加密存 储，无法支持正常的内外部文件交流。另外，全盘加密方案虽然能够从数据源 头上保障数据内容的安全性，但无法保障其自身的安全性和可靠性，一旦软件 系统损坏，所有的数据都将无法正常访问，对业务数据的可用性而言反而是一 种潜在的威胁。

上述传统安全技术是目前银行业都会部署的基础安全系统，这些安全系统 能够在某一个点上起到防护作用，然而尽管如此，数据泄密依然是屡禁不 止，可见银行业网络整体安全目前最人的威胁来源于终端安全上。而且部署这 么多的系统方案以后，用户体验不佳，不容易推广，因此并未达到预期的效果。 要彻底改变企业内网安全现状，必须部署更为有效的涉密系统数据防泄密方案。

2.数据保护的创新——终端虚拟化技术

为了能够在确保数据安全的前提下，提升用户的易用性和部署快速性，冃 前已经有部分企业开始使用终端虚拟化的技术来实现数据安全的保护。其中， 桌面/应用虚拟化技术以及基于安全沙盒技术的虚拟安全桌面就是两种比较常 见的方式。

1)桌面/应用虚拟化

桌面/应用虚拟化技术是基于服务器的计算模型，它将所有桌面虚拟机在数 据中心进行托管并统一管理。通过购大量服务器，将CPU、存储器等硬件资 源进行集中建设，构建一个终端服务层，从而将桌面、应用以图像的方式发布 给终端用户。作为云计算的一种方式，由于所有的计算都放在服务器上，对终 端设备的要求将大大降低，不需要传统的台式计算机、笔记本式计算机，用户 可以通过客户端或者远程访问等方式获得与传统PC —致的用户体验，如图9-6 所示。

不过，虽然基于计算集中化模式的桌面虚拟化技术能够大大简化终端的管 理维护工作，能够很好地解决终端数据安全问题，但是也带来了服务端的部署 成本过大和管理成本提高等新问题。

(1) 所有的客户端程序进程都运行在终端服务器上，需要配置高性能的终 端服务器集群来均衡服务器的负载压力。

(2) 由于网络延迟、服务器性能、并发拥塞等客观因素影响，在桌面虚拟 化方案中，终端用户的使用体验大大低于物理计算机本地应用程序的使用体验。

(3) 计算集中化容易带来终端服务器的单点故障问题，需要通过终端服务 器的冗余备份来强化系统的稳定性。

(4) 桌面虚拟化方案中部署的大量终端服务器以及集中化的数据存储之间 的备份、恢复、迁移、维护、隔离等问题。

(5) 由于数据集中化，管理员的权限管理也需要列入考虑，毕竟让网络管 理员能够接触到银行业务部门的业务数据也是违背数据安全需求的。

(6) 桌面集中化方案提高了对网络的稳定性要求，无法满足离线办公的需求。

因此，此种方案在大规模部署使用时会遇到成本高、体验差的问题，如图

9-7所示。

2)防泄密安全桌面

为了解决桌面/应用虚拟化存在的问题，一种新的终端虚拟化技术——基r 沙盒的安全桌面被应用到了防泄密领域，如图9-8所示。

在不改变当前IT架构的情况下，充分利用本地PC的软、硬件，在本 地直接通过安全沙盒技术虚拟化了一个安全桌面，这个桌面可以理解为原有默 认桌面的一个备份和镜像，在安全桌面环境下运行的应用、数据、网络权限等 完全与默认桌面隔离，并且安全沙盒可以针对不同桌面之间进行细粒度的安全 控制，比如安全桌面下只能访问敏感业务系统，安全桌面内数据无法外发、复 制、打印、截屏，安全桌面内保存的文件加密存储等等。

这样一来，通过安全桌面+安全控制网关的联通配合，就可以确保用户只有 在防泄密安全桌面内进行了认证后才能访问核心敏感系统，实现了在终端的多 业务风险隔离，确保了终端的安全性。安全桌面虚拟化方案为用户提供了多个 虚拟的安全桌面，通过不同虚拟安全桌面相互隔离文件、网络、系统 等，可以让用户通过不同的桌面访问不同的业务。

比如为用户访问涉密业务系统提供了一个具有数据防泄露防护的防泄密安 全桌面，尽可能减少对用户使用习惯的影响，解决了物理隔离方案的易用性问 题，如图9-9所示。

基于沙盒的安全桌面方案的价值在于，在实现终端敏感业务数据防泄密的 前提下，不改变用户使用习惯，增强了易用性，还保护了用户的现有投资。目 前，防泄密安全桌面已经在金融、、企业等单位开始了广泛的应用，主要部署在CRM、ERP、设计图样等系统前端，以防止内部销售、供应链、财务等 人员的主动泄密行为。

但是安全桌面技术也有一定的局限性，比如它不适用于Ja、C语言的代 码开发环境，存在一定兼容性的问题。

总而言之，两种终端虚拟化技术各有优劣，分别适用于不同的业务场景，具体可以参照图9-10。

简述计算机安全的三种类型？

1、实体安全

计算机系统实体是指计算机系统的硬件部分，应包括计算机本身的硬件和各种接口、各种相应的外部设备、计算机网络的通讯设备、线路和信道等。

而计算机实体安全是指为了保证计算机信息系统安全可靠运行，确保在对信息进行集、处理、传输和存储过程中，不致受到人为或自然因素的危害，而使信息丢失、泄密或破坏，对计算机设备、设施(包括机房建筑、供电、空调等)、环境、人员等取适当的安全措施。

是防止对信息威胁和攻击的第一步，也是防止对信息威胁和攻击的天然屏障，是基础。主要包括以下内容：

环境安全。主要是对计算机信息系统所在环境的区域保护和灾难保护。要求计算机场地要有防火、防水、防盗措施和设施，有拦截、屏蔽、均压分流、接地防雷等设施;有防静电、防尘设备，温度、湿度和洁净度在一定的控制范围等等。

设备安全。主要是对计算机信息系统设备的安全保护，包括设备的防毁、防盗、防止电磁信号辐射泄漏、防止线路截获;对UPS、存储器和外部设备的保护等。

媒体安全。主要包括媒体数据的安全及媒体本身的安全。目的是保护媒体数据的安全删除和媒体的安全销毁，防止媒体实体被盗、防毁和防霉等。

2、运行安全

系统的运行安全是计算机信息系统安全的重要环节，因为只有计算机信息系统的运行过程中的安全得到保证，才能完成对信息的正确处理，达到发挥系统各项功能的目的。包括系统风险管理、审计跟踪、备份与恢复、应急处理四个方面内容。

风险分析是指用于威胁发生的可能性以及系统易于受到攻击的脆弱性而引起的潜在损失步骤，是风险管理程序的基础，其最终目的是帮助选择安全防护并将风险降低到可接受的程度。

计算机信息系统在设计前和运行前需要进行静态分析，旨在发现系统的潜在安全隐患;其次对系统进行动态分析，即在系统运行过程中测试，跟踪并记录其活动，旨在发现系统运行期的安全漏洞;最后是系统运行后的分析，并提供相应的系统脆弱性分析报告。

常见的风险有后门/陷阱门、犯大错误、拒绝使用、无法使用、伪造、故意对程序或数据破坏、逻辑、错误传递、计算机和超级处理等。常见分析工具有自动风险评估系统ARESH、Bayesian判决系统、Livermore风险分析法等。

审计跟踪是利用对计算机信息系统审计的方法，对计算机信息系统工作过程进行详尽的审计跟踪，记录和跟踪各种系统状态的变化，如用户使用系统的时间和日期及操作，对程序和文件的使用监控等，以保存、维护和管理审计日志，实现对各种安全事故的定位。

也是一种保证计算机信息系统运行安全的常用且有效的技术手段。

备份与恢复是对重要的系统文件、数据进行备份，且备份放在异处，甚至对重要设备也有备份，以确保在系统崩溃或数据丢失后能及时准确进行恢复，保障信息处理操作仍能进行。可取磁盘镜像、磁盘冗余阵列等技术。

应急处理主要是在计算机信息系统受到损害、系统崩溃或发生灾难时，应有完善可行的应急和快速恢复实施应急措施，基本做到反应紧急、备份完备和恢复及时，使系统能正常运行，以尽可能减少由此而产生的损失。

3、信息安全

计算机信息系统的信息安全是核心，是指防止信息财产被故意或偶然的泄漏、更改、破坏或使信息被非法系统辨识、控制，确保信息的保密性、完整性、可用性和可控性。针对计算机信息系统中的信息存在形式和运行特点，信息安全可分为操作系统安全、数据库安全、网络安全、防护、访问控制和加密。

操作系统安全。是指操作系统对计算机信息系统的硬件和软件进行有效控制，对程序执行期间使用的合法性进行检查，利用对程序和数据的读、写管理，防止因蓄意破坏或意外事故对信息造成的威胁，从而达到保护信息的完整性、可用性和保密性。

操作系统安全可通过用户认证、隔离、存取控制及完整性等几种方法来实现。用户认证就是系统有一个对用户识别的方法，通过用户名和口令实现，口令机制有口令字、IC卡控制、指纹鉴别和视网膜鉴别等。

隔离技术是在电子数据处理成份的周围建立屏障，以使该环境中实施存取规则，可通过物理隔离、时间隔离、逻辑隔离和密码技术隔离来实现。

存取控制是对程序执行期间访问的合法性进行检查，并通过控制对数据和程序的读、写、修改、删除和执行等操作进行保护，防止因事故和有意破坏造成对信息的威胁。系统完整性涉及到程序和数据两方面，程序完整性要在整个程序设计活动中严格控制;数据完整性由错误控制进行保护。

数据库安全。数据库系统中的数据的安全性包括:完整性——只有授权用户才能修改信息，不允许用户对信息进行非法修改;可用性——当授权用户存取其有权使用的信息时，数据库系统一定能提供这些信息;保密性——只有授权用户才能存取信息。

实现数据库安全可通过用户认证、身份鉴别、访问控制和数据库内外加密等方法来实现。用户认证通过在操作系统用户认证基础上，要求用户对通行字、日期和时间检查认证。身份鉴别是数据库系统具备的独立的用户身份鉴别机制。

访问机制，运用安全级元素的确定、视图技术等方法，确保用户仅能访问已授权的数据，并可保证同一组数据的不同用户被授予不同访问权限。

数据库外加密是操作系统完成的，如用文件加密方法等，把数据形成存储块送入数据库；数据库内加密是对数据库以数据元素、域或记录形式加密，常用加密方法有DES加密、子密钥数据库加密和秘密同态加密技术等。

访问控制。是系统安全机制的核心，对处理状态下的信息进行保护，对所有直接存取活动进行授权;同时，对程序执行期间访问的合法性进行检查，控制对数据和程序的读、写、修改、删除、执行等操作，防止因事故和有意破坏对信息的威胁，主要包括授权、确定存取权限和实施权限三个内容。

通过最小授权、存取权分离、实体权限的时效性和对存取访问的监督检查、访问控制表、访问控制矩阵和能力表等方法来实现。

密码技术。计算机数据信息的加密基本上属于通信加密的类型，但又不同于一般的通信保密技术，被加密的明文往往是程序或其他处理的原始数据或是运行结果，而形成的密文是静态的，一般不是执行中的程序，仅用以存储或作为通信输出。

一般密码系统包括明文、密文、加密、解密和密钥五部分，常见密码加密有换位加密、矩阵移位加密、定长置换加密、替代密码和DES加密、RAS加密、PKI和MD5等算法。

计算机网络安全。在计算机网络中传递的信息普遍面临着主动攻击的危害，主动攻击中最主要的方法就是对信息进行修改，比如对信息的内容进行更改、删除、添加；改变信息的源或目的地；改变报文分组的顺序或将同一报文反复;篡改回执等。

而在计算机网络信息系统中，信息的交换是其存在的基础。而从安全角度上考虑，就必须保证这些交换过程的安全和内容的有效性及合法性。对于网络安全的实用技术有:身份验证；报文验证；数字签名；防火墙。

计算机。计算机是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或程序代码。其本质是一种具有自我复制能力的程序，具有复制性、传播性和破坏性。

计算机不同于生物医学上的“”，计算机不是天然存在的，是人故意编制的一种特殊的计算机程序。计算机对信息系统有极大的危害性，轻者可以增加系统开销，降低系统工作效率;重者可使程序、数据丢失，甚至系统崩溃，无法工作，更甚者造成计算机主板毁坏，如CIH等。

扩展资料

常用防护策略

1、安装杀毒软件

对于一般用户而言，首先要做的就是为电脑安装一套杀毒软件，并定期升级所安装的杀毒软件，打开杀毒软件的实时监控程序。

2、安装个人防火墙

安装个人防火墙（Fire Wall）以抵御黑客的袭击，最大限度地阻止网络中的黑客来访问你的计算机，防止他们更改、拷贝、毁坏你的重要信息。防火墙在安装后要根据需求进行详细配置。

3、分类设置密码并使密码设置尽可能复杂

在不同的场合使用不同的密码，如网上银行、E-Mail、聊天室以及一些网站的会员等。应尽可能使用不同的密码，以免因一个密码泄露导致所有资料外泄。对于重要的密码（如网上银行的密码）一定要单独设置，并且不要与其他密码相同。

设置密码时要尽量避免使用有意义的英文单词、姓名缩写以及生日、电话号码等容易泄露的字符作为密码，最好用字符、数字和特殊符号混合的密码。建议定期地修改自己的密码，这样可以确保即使原密码泄露，也能将损失减小到最少。

4、不下载不明软件及程序

应选择信誉较好的下载网站下载软件，将下载的软件及程序集中放在非引导分区的某个目录，在使用前最好用杀毒软件查杀。

不要打开来历不明的电子邮件及其附件，以免遭受邮件的侵害，这些邮件通常都会以带有噱头的标题来吸引你打开其附件，如果下载或运行了它的附件，就会受到感染。同样也不要接收和打开来历不明的QQ、微信等发过来的文件。

5、防范流氓软件

对将要在计算机上安装的共享软件进行甄别选择，在安装共享软件时，应该仔细阅读各个步骤出现的协议条款，特别留意那些有关安装其他软件行为的语句。

6、仅在必要时共享

一般情况下不要设置文件夹共享，如果共享文件则应该设置密码，一旦不需要共享时立即关闭。共享时访问类型一般应该设为只读，不要将整个分区设定为共享。

7、定期备份

数据备份的重要性毋庸讳言，无论你的防范措施做得多么严密，也无法完全防止“道高一尺，魔高一丈”的情况出现。如果遭到致命的攻击，操作系统和应用软件可以重装，而重要的数据就只能靠你日常的备份了。所以，无论你取了多么严密的防范措施，也不要忘了随时备份你的重要数据，做到有备无患！

计算机安全管理制度

为加强组织企事业单位计算机安全管理，保障计算机系统的正常运行，发挥办公自动化的效益，保证工作正常实施，确保涉密信息安全，一般需要指定专人负责机房管理，并结合本单位实际情况，制定计算机安全管理制度，提供参考如下：

1、计算机管理实行“谁使用谁负责”的原则。爱护机器，了解并熟悉机器性能，及时检查或清洁计算机及相关外设。

2、掌握工作软件、办公软件和网络使用的一般知识。

3、无特殊工作要求，各项工作须在内网进行。存储在存储介质（优盘、光盘、硬盘、移动硬盘）上的工作内容管理、销毁要符合保密要求，严防外泄。

4、不得在外网或互联网、内网上处理涉密信息，涉密信息只能在单独的计算机上操作。

5、涉及到计算机用户名、口令密码、硬件加密的要注意保密，严禁外泄，密码设置要合理。

6、有无线互联功能的计算机不得接入内网，不得操作、存储机密文件、工作秘密文件。

7、非内部计算机不得接入内网。

8、遵守国家颁布的有关互联网使用的管理规定，严禁登陆非法网站；严禁在上班时间上网聊天、玩游戏、看**、炒股等。

9、坚持“安全第一、预防为主”的方针，加强计算机安全教育，增强员工的安全意识和自觉性。计算机进行经常性的检查，计算机操作人员发现计算机感染，应立即中断运行，并及时消除。确保计算机的安全管理工作。

10、下班后及时关机，并切断电源。

百度百科-计算机信息系统

百度百科-计算机安全

网络安全与防范措施

　 网络安全与防范措施1

　摘要：随着计算机网络技术的快速发展，网络安全日益成为人们关注的焦点。

　越来越多的计算机用户足不出户就可访问到全球网络系统丰富的信息，经济、文化、军事和社会活动也强烈依赖于网络，一个网络化的社会已呈现在我们面前。

　随着网络应用的不断增多，网络安全问题也越来越突出。

　由于计算机网络联接形式的多样性、终端分布的不均匀性、网络的开放性和网络的共享性等因素，致使计算机网络容易遭受、黑客、恶意软件和其它不轨行为的攻击。

　为确保信息的安全与畅通，研究网络的安全与防范措施已迫在眉捷。

　本文分析了影响网络安全的主要因素及攻击的主要方式，从管理和技术两方面就加强计算机网络安全提出了针对性的对策。

　关键词：网络安全;防范;隐患;措施

　引言

　随着计算机技术的突飞猛进，计算机网络的新月异，网络已经深入到我们生活的各个角落。

　计算机网络在扮演着越来越重要的角色。

　然而，在我们每天通过互联网络与朋友通信，和同行交流，通过互联网了解新闻获取信息的同时，我们对这个网络究竟了解多少，我们是否能意识到给我们生活、工作带来快捷、便利的网络所潜伏的不安全因素。

　1计算机网络安全的概念

　计算机网络安全的具体定义会随着使用者的变化而变化，使用者不同，对网络安全的认识和要求也就不同。

　例如从普通使用者的角度来说，可能仅仅希望个人隐私或机密信息在网络上传输时受到保护，避免被偷听、篡改和伪造;而网络提供商除了关心这些网络信息安全外，还要考虑如何应付突发的 自然 灾害、军事打击等对网络硬件的破坏，以及在网络出现异常时如何恢复网络通信，保持网络通信的连续性。

　从本质上来讲，网络安全包括组成网络系统的硬件、软件及其在网络上传输信息的安全性，使其不致因偶然的或者恶意的攻击遭到破坏，网络安全既有技术方面的问题 ，也有管理方面的问题，两方面相互补充，缺一不可。

　人为的网络入侵和攻击行为使得网络安全面临新的挑战。

　2、计算机网络安全的隐患及攻击形式

　2.1计算机网络硬件安全隐患

　计算机网络硬件设施是互联网中必不可少的部分，硬件设施本身就有着安全隐患。

　电子辐射泄露就是其主要的安全隐患问题，也就是说计算机和网络所包含的电磁信息泄露了，这增加了窃密、失密、泄密的危险;此外安全隐患问题也体现在通信部分的脆弱性上，在进行数据与信息的交换和通信活动时，主要通过四种线路，即光缆、电话线、专线、微波，除光缆外其它三种线路上的信息比较容易被窃取;除上述方面外，计算机的操作系统与硬件组成的脆弱性，也给系统的滥用埋下了隐患。

　?另外，移动存储介质。

　移动存储介质比如U盘、移动硬盘等，由于其自身具有方便小巧、存储量大、通用性强、易携带等特点，应用比较广泛，尤其是涉密单位，这给网络系统的信息安全造成很大的隐患。

　2.2计算机软件漏洞

　黑客通过精心构造的恶意代码，攻击某些网站并上传恶意代码到被攻击网站的服务器。

　用户访问被攻击的网站时，可能导致用户隐私信息泄露。

　无论多强大的软件在设计之初都难免存在缺陷或漏洞，操作系统软件也不例外。

　系统主机之间互异的操作系统具有相对的独立性，同样性质的漏洞，也会由于操作系统软件设计开发过程的不同，而具有不一样的表现形式。

　攻击者可以很“方便”的通过漏洞对计算机系统进行破坏，造成主机瘫痪、重要资料丢失等，严重影响系统的正常运行。

　2.3黑客攻击和计算机攻击

　这是一种最严重的网络安全威胁。

　攻击者通过各种方式寻找系统脆弱点或系统漏洞，由于网络系统同构冗余环境的弱点是相同的，多个系统同时故障的概率虽小，但被攻破可能性却大，通过拦截、窃取等多种方式，向系统实施攻击，破坏系统重要数据，甚至系统瘫痪，给网络安全带来严重威胁。

　网络发病和传播速度极快，而许多计算机用户由于各种各样的原因，没有安装杀毒软件或不能及时更新杀毒软件库，造成网络泛滥，程序轻者降低系统工作效率，重者导致系统崩溃、数据丢失，造成无可挽回的损失，不仅严重地危害到了用户计算机安全，而且极大的消耗了网络，造成网络拥塞，给每一个用户都带来极大的不便。

　2.4网络自身的安全缺陷

　网络是一个开放的环境，TCP/IP是一个通用的协议，即通过IP地址作为网络节点的唯一标识，基于IP地址进行多用户的认证和授权，并根据IP包中源IP地址判断数据的真实和安全性，但该协议的最大缺点就是缺乏对IP地址的保护，缺乏对源IP地址真实性的认证机制，这就是TCP/IP协议不安全的根本所在。

　通过TCP/IP协议缺陷进行的常见攻击有：源地址欺骗、IP欺骗、源路由选择欺骗、路由选择信息协议攻击、SYN攻击等等。

　3.网络安全的防范措施

　3.1防火墙技术

　防火墙是网络安全的屏障，配置防火墙是实现网络安全最基本、最经济、最有效的安全措施之一。

　防火墙是指一个由软件或和硬件设备组合而成，处于企业或网络群体计算机与外界通道之间，限制外界用户对内部网络访问及管理内部用户访问外界网络的权限。

　当一个网络接上Inter net之后，系统的安全除了考虑计算机、系统的健壮性之外，更主要的是防止非法用户的入侵，而目前防止的措施主要是靠防火墙技术完成。

　3.2数据加密技术

　数据加密技术就是对信息进行重新编码，从而隐藏信息内容，使非法用户无法获取信息的真实内容的一种技术手段。

　数据加密技术是为提高信息系统及数据的安全性和保密性，防止秘密数据被外部破析所用的主要手段之一。

　数据加密技术按作用不同可分为数据存储，数据传输、数据完整性的鉴别，以及密钥的管理技术。

　数据存储加密技术是防止在存储环节上的数据丢失为目的，可分为密文存储和存取两种，数据传输加密技术的目的是对传输中的数据流加密。

　数据完整性鉴别是对介入信息的传送、存取，处理人的身份和相关数据内容进行验证，达到保密的要求，系统通过对比验证对输入的特征值是否符合预先设定的参数，实现对数据的安全保护。

　3.3防技术

　随着计算机技术的不断发展，计算机变得越来越复杂和高级，对计算机信息系统构成极大的威胁。

　在防范中普遍使用的防软件，从功能上可以分为网络防软件和单机防软件两大类。

　单机防软件一般安装在单台PC上，即对本地和本地工作站连接的远程用分析扫描的方式检测、清除。

　网络防软件则主要注重网络防，一旦入侵网络或者从网络向其它传染，网络防软件会立刻检测到并加以删除。

　主要由数据破坏和删除、后门攻击、拒绝服务、垃圾邮件传播几种方式的对网络进行传播和破坏，照成线路堵塞和数据丢失损毁。

　那么建立统一的整体网络防范体系是对计算机网络整体有效防护的解决办法。

　3.4服务器访问控制策略

　服务器和路由器这样的网络基础设备，避免非法入侵的有效方法是去掉不必要的网络访问，在所需要的网络访问周围建立访问控制。

　另外对用户和账户进行必要的权限设置。

　一是要限制数据库管理员用户的数量和给用户授予其所需要的最小权限。

　二是取消默认账户不需要的权限选择合适的账户连接到数据库。

　3.5建立更安全的电子邮件系统

　目前有些优秀的电子邮件安全系统具有强大的高准确率和低误报率，独特的策略模块可以帮助用户轻松地实现邮件系统的管理与维护，有的电子邮件系统判别垃圾邮件的准确率接近百分之百。

　各用户要多方分析、比较，选择优秀的电子邮件安全系统保证网络的邮件系统安全，以改变邮件系统存在垃圾邮件、邮件、邮件泄密等安全隐患的现状。

　3.6提高网络工作人员的素质，强化网络安全责任

　为了强化网络安全的责任，还有一项重要任务――提高网络工作人员的管理素质。

　要结合数据、软件、硬件等网络系统各方面对工作人员进行安全教育，提高责任心，并通过相关业务技术培训，提高工作人员的操作技能，网络系统的安全管理要加以重视，避免人为事故的发生。

　由于网络研究在我国起步较晚，因此网络安全技术还有待提高和发展。

　此外，为了保障网络能够安全运行，我们还应该制定完善的管理措施，建立严格的管理制度，完善法规、法律，提高人们对网络安全的认识，加大对计算机犯罪的法律制裁。

　4.结束语

　计算机网络的安全性越来越受到重视，网络环境的复杂性、多变性，以及信息系统的脆弱性，决定了计算机网络不能仅仅依靠防火墙，而涉及到管理和技术等方方面面。

　总的来说，网络安全不仅仅是技术问题，同时也是一个安全管理问题。

　我们必须综合考虑安全因素，制定合理的目标、技术方案和相关的配套法规等。

　世界上不存在绝对安全的网络系统，随着计算机网络技术的进一步发展，网络安全防护技术也必然随着网络应用的发展而不断发展。

　需要仔细考虑系统的安全需求，建立相应的管理制度，并将各种安全技术与管理手段结合在一起，才能生成一个高效、通用、安全的计算机网络系统。

　 网络安全与防范措施2

　[摘要]随着计算机网络的普及，我们对网络的依赖程度越来越高。

　网络的开放性使得网络信息的安全受到前所未有的威胁。

　我们必须积极取各种有效的防范措施以确保重要信息不受损失。

　本文主要从分析计算机网络安全隐患入手来探究其防范措施。

　[关键词]计算机网络;网络安全;防范措施;防火墙

　随着高新科技的发展，信息技术已渗透各个领域，对行业现代化建设发挥越来越重要的作用。

　特别是信息技术在生活中的广泛渗透和发展，不但改变了传统的生活模式、办公方式、管理方式。

　信息化已作为社会发展的核心内容，成为促进社会发展的助推器。

　然而，随着信息网规模的逐渐扩大和系统应用的不断深入。

　各种网络安全问题也随之而来。

　例如系统不稳定、网速缓慢或瘫痪：访问登录失败、设备和信息安全事故、黑客和计算机入侵等故障，严重影响，网络的正常使用，成为阻碍网络进一步深化和发展的瓶颈。

　因此，研究网络安全防范技术具有十分重要的意义。

　1计算机网络安全的概念

　网络安全从本质上讲就是网络上的信息安全，指网络系统的硬件、软件及数据受到保护，免受破坏、更改和泄露，系统可靠正常地运行，网络服务小中断;从用户的角度来看，他们希望涉及个人和商业的信息在网络上传输时受到机密性、完整性和真实性的保护，避免其他人利用偷听，篡改、抵赖等于段对自己的利益和隐私造成损害和侵犯;从网络运营商和管理者的角度来说，他们希望对本地网络信息的访问、读写等操作受到保护和控制，避免出现、非法存取、拒绝服务和网络的非法占用和黑客的攻击。

　计算机安全主要是为数据处理系统建立和取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然和恶意的元凶而遭到破坏，更改和泄漏。

　从本质上来讲，网络安全包括组成网络系统的硬件，软件及其住网络上传输信息的安全性，使其不致因偶然的或者恶意的攻击遭到破坏。

　网络安全既有技术方面的问题，也有管理方面的问题，两方面相互补充，缺一不可。

　2网络安全的隐患

　对计算机信息构成不安全的因素很多，其中包括人为的因素、自然的因素和偶发的因素。

　其中，人为因素是指一些不法之徒利用计算机网络存在的漏洞，或者潜入计算机房，盗用计算机系统，非法获取重要数据、篡改系统数据、破坏硬件设备、编制计算机。

　人为因素是对计算机信息网络安全威胁最大的因素。

　计算机网络不安全因素主要表现在以下几个方面：

　2.1计算机网络的脆弱性

　互联网是对全世界都开放的网络，任何单位或个人都可以在网上方便地传输和获取各种信息，互联网这种具有开放性、共享性、国际性的特点就对计算机网络安全提出了挑战。

　在使用互联网时应注意以下几项不可靠的安全性。

　2.1.1网络的开放性，网络的技术是全开放的，使得网络所面临的攻击来自多方面。

　或是来自物理传输线路的攻击，或是来自对网络通信协议的攻击，以及对计算机软件、硬件的漏洞实施攻击。

　2.1.2网络的国际性，意味着对网络的攻击不仅是来自于本地网络的用户，还可以是互联网上其他国家的黑客，所以，网络的安全面临着国际化的挑战。

　2.1.3网络的自由性，大多数的网络对用户的使用没有技术上的约束，用户可以自由的`上网，发布和获取各类信息。

　2.2操作系统存在的安全问题

　操作系统是一个支撑软件，是计算机程序或别的运用系统在上面正常运行的一个环境。

　操作系统提供了很多的管理功能，主要是管理系统的软件和硬件。

　操作系统软件自身的不可靠安全性，是计算机系统开发设计的不周而留下的破绽，都给网络安全留下隐患。

　2.2.1操作系统结构体系的缺陷。

　操作系统本身有内存管理、CPU管理、外设的管理，每个管理都涉及一些模块或程序，如果在这些程序里面存在问题，比如内存管理的问题，外部网络的一个连接过来，刚好连接一个有缺陷的模块，可能出现的情况是，计算机系统会因此崩溃。

　所以，有些黑客往往是针对操作系统的不完善进行攻击，使计算机系统，特别是服务器系统立刻瘫痪。

　2.2.2操作系统支持在网络上传送文件、加载或安装程序，包括可执行文件，这些功能也会带来不安全因素。

　网络很重要的一个功能就是文件传输功能，比如FTP，这些安装程序经常会带一些可执行文件，这些可执行文件都是人为编写的程序，如果某个地方出现漏洞，那么系统就可能会造成崩溃。

　像这些远程调用、文件传输，如果生产厂家或个人在上面安装间谍程序，那么用户的整个传输过程、使用过程都会被别人监视到，所有的这些传输文件、加载的程序、安装的程序、执行文件，都可能给操作系统带来安全的隐患。

　所以，建议尽量少使用一些来历不明，或者无法证明它安全性的软件。

　2.2.3操作系统有守护进程的防护功能，它是系统的一些进程，总是在等待某些的出现。

　所谓的守护进程，就是监控的监控软件，当有出现就会被捕捉。

　但是有些进程是一些，碰到特定的情况就会把用户的硬盘格式化，这些进程就是很危险的守护进程，平时可能不起作用，可是在某些条件下发生后，就会发生作用。

　如果操作系统守护进程被人为地破坏掉就会出现这种不良的安全隐患。

　3网络安全的防患措施

　上面已经分析了网络安全所存在的一系列隐患，其中包括网络本身所具有的脆弱性和一些管理上的失当等原因。

　而作为计算机用户，应该积极地取有效的措施进行防患，以避免严重后果发生的可能性。

　网络安全用的主要防范措施如下：

　3.1提高安全意识，加大安全管理力度

　(1)配备专业的安全管理人员。

　安全管理要有专人负责，同时还要有技术人员去落实。

　(2)控制对网络的访问和使用。

　控制用户对网络的访问和使用的目的是保证网络不被非法使用和非法访问。

　(3)增强防意识。

　查、杀是确保网络系统安全的必不可少的重要手段。

　(4)及时做好数据备份工作，确保网络信息的安全。

　3.2及时修补“漏洞”

　网络软件不可能无缺陷、无漏洞，这些漏洞和缺陷正是黑客攻击的首选目标。

　3.3利用网络安全技术

　3.3.1防火墙技术

　目前保护网络安全最主要的手段之一就是构筑防火墙。

　防火墙是一种形象的说法，其实它是一种计算机硬件和软件相结合的技术，是在受保护网与外部网之间构造一个保护层，把攻击者挡在受保护网的外面。

　这种技术强制所有出入内外网的数据流都必须经过此安全系统。

　它通过监测、限制或更改跨越防火墙的数据流，尽可能地对外部网络屏蔽有关受保护网络的信息和结构来实现对网络的安全保护。

　因而防火墙可以被认为是一种访问控制机制，用来在不安全的公共网络环境下实现局部网络的安全性。

　3.3.2身份认证

　身份认证是任何一个安全的计算机所必需的组成部分。

　身份认证必须做到准确无误地将对方辨认出来，同时还应该提供双向的认证，即互相证明自己的身份，网络环境下的身份认证比较复杂，因为验证身份的双方都是通过网络而不是直接接触，传统的指纹手段等已无法使用，所以目前通常用的是基于对称密钥加密或公开密钥加密的方法，以及用高科技手段的密码技术进行身份验证。

　3.3.3访问控制

　访问控制也叫接入控制，阻止非授权用户进入网络，防止任何对计算机和通信的非授权访问。

　即根据用户的身份赋予其相应的权限，也就是说按事先确定的规则决定主体对客体的访问是否合法。

　访问控制主要通过注册口令、用户分组控制、文件权限控制三个层次来实现。

　3.3.4基于密码论的技术

　密码技术是集数学、计算机科学、电子与通信等诸多学科于一体的交叉学科，是保护信息安全的主要手段之一，它不仅具有保证信息机密性的信息加密功能，而且具有数字签名、身份验证、秘密分存、系统安全等功能。

　(1)密钥技术。

　密钥技术的任务是在一个密码系统中控制密钥的选择和分配。

　密钥是一段数字信息，它与加密算法相互作用，以控制信息的加密。

　(2)数字签名。

　数字签名是一种用于鉴别的重要技术。

　数字签名是一个数，它依赖于消息的所有位以及一个保密密钥。

　它的正确性可以用一个公开密钥来检验。

　数字签名可以用于鉴别服务，也可以用于完整和无拒绝服务。

　当数字签名用于无拒绝服务时，它是和公证一起使用的。

　公证是通过可信任的第三方来验证消息的。

　(3)验证技术。

　验证技术可分为基于共享密钥的认证和基于公钥的认证。

　前者实际上是执行一种查询―问答协议，发送方发送一个随机数给接收方，接收方解密后以一种特殊形式转换它并传回结果，从而实现认证。

　该协议的关键是如何建立共享密钥。

　3.3.5反软件

　即使有防火墙、身份认证和加密措施，人们仍担心遭到和黑客的攻击。

　随着计算机网络的发展，携带和黑客程序的数据包和电子邮件越来越多，打开或运行这些文件，计算机就有可能感染。

　如安装有反软件，就可以预防、检测一些和黑客程序。

　总之，网络安全是一项复杂的系统工程，涉及技术、设备、管理和制度等多方面的因素，安全解决方案的制定需要从整体上进行把握。

　网络安全解决方案是综合各种计算机网络信息系统安全技术，将安全操作系统技术、防火墙技术、防护技术、入侵检测技术、安全扫描技术等综合起来，形成一套完整的、协调一致的网络安全防护体系。

　我们必须做到管理和技术并重，安全技术必须结合安全措施，并加强网络立法和执法的力度，建立备份和恢复机制，制定相应的安全标准。

　此外，由于网络、网络犯罪等技术是不分国界的，因此必须进行充分的国际合作，来共同对付日益猖獗的网络犯罪和网络等问题，确保网络安全。

　参考文献：

　[1]白斌.防火墙在网络安全中的应用[J].科技创新导报，2007(35).

　[2]彭，高.计算机网络信息安全及防护策略研究[J].计算机与数字工程，2011(01).

　[3]陈爱梅.基于防火墙技术的网络安全的研究[J].科协论坛(下半月)，2008(05).

　[4]郭勇.计算机网络安全浅析[J].科技广场，2009(09).

求读书笔记：关于威胁移动终端设备安全以及如何保证移动终端在数据传输过程中的安全性

我的《信息保卫战》读书笔记：终端安全

终端安全是企业信息技术安全体系建设的服务对象和密集风险发生部分。 我们面临着多方面的挑战，需要釆用不同类型，不同层次，不同级别的安全措 施，实现终端安全。

一、挑战和威胁

1. 员工安全意识薄弱，企业安全策略难以实施，网络泛滥

、蠕虫和间谍软件等网络安全威胁损害客户利益并造成大量金钱和生 产率的损失。与此同时，移动设备的普及进一步加剧了威胁。移动用户能够从 家里或公共热点连接互联网或办公室网络，常在无意中轻易地感染并将其 带进企业环境，进而感染网络。

据2010 CSI/FBI安全报告称，虽然安全技术多年来一直在发展，且安全技 术的实施更是耗资数百万美元，但、蠕虫和其他形式的恶意软件仍然是各 机构现在面临的主要问题。机构每年遭遇的大量安全事故造成系统中断、收入 损失、数据损坏或毁坏以及生产率降低等问题，给机构带来了巨大的经济影响。

为了解决这些问题，很多企业都制定了企业的终端安全策略，规定终端必 须安装杀毒软件，以及及时更新库；终端必须及时安装系统安全补丁；终 端必须设置强口令等。但是由于员工安全意识薄弱，企业的安全策略难以实施， 形同虚设，网络安全问题依然严重。

2. 非授权用户接入网络，重要信息泄露

非授权接入包括以下两个部分：

(1) 来自外部的非法用户，利用企业管理的漏洞，使用PC接入交换机， 获得网络访问的权限；然后冒用合法用户的口令以合法身份登录网站后，查看 机密信息，修改信息内容及破坏应用系统的运行。

(2) 来自内部的合法用户，随意访问网络中的关键，获取关键信息用 于非法的目的。

目前，企业使用的局域网是以以太网为基础的网络架构，只要插入网络， 就能够自由地访问整个网络。因非法接入和非授权访问导致企业业务系统的破 坏以及关键信息资产的泄露，已经成为了企业需要解决的重要风险。

3. 网络的不合理使用，工作效率下降，存在违反法律法规的风险

根据IDC最新数据报导，企事业员工平均每天有超过50%的上班时间用来 在线聊天，浏览、、网站，或处理个人事务；员工从互联网下载 各种信息，而在那些用于下载信息的时间中，62%用于软件下载，11%用于下 载音乐，只有25%用于下载与写报告和文件相关的资料。

在国内，法律规定了很多网站是非法的，如有内容的、与反相关 的、与迷信和犯罪相关的等。使用宽带接入互联网后，企事业内部网络某种程 度上成了一种“公共”上网场所，很多与法律相违背的行为都有可能发生在内 部网络中。这些事情难以追查，给企业带来了法律法规方面的风险。

二、防护措施

目前，终端数据管理存在的问题主要表现在：数据管理工作难以形成制度 化，数据丢失现象时常发生；数据分散在不同的机器、不同的应用上，管理分 散，安全得不到保障；难以实现数据库数据的高效在线备份；存储媒体管理困 难，历史数据保留困难。

为此，我们从以下几个方面取措施实现终端安全。

1. 数据备份

随着计算机数据系统建设的深入，数据变得越来越举足轻重，如何有效地 管理数据系统日益成为保障系统正常运行的关键环节。然而，数据系统上的数 据格式不一，物理位置分布广泛，应用分散，数据量大，造成了数据难以有效 的管理，这给日后的工作带来诸多隐患。因此，建立一套制度化的数据备份系 统有着非常重要的意义。

数据备份是指通过在数据系统中选定一台机器作为数据备份的管理服务 器，在其他机器上安装客户端软件，从而将整个数据系统的数据自动备份到与 备份服务器相连的储存设备上，并在备份服务器上为各个备份客户端建立相应 的备份数据的索引表，利用索引表自动驱动存储介质来实现数据的自动恢复。 若有意外发生，若系统崩溃、非法操作等，可利用数据备份系统进行恢复。 从可靠性角度考虑，备份数量最好大于等于2。

1) 数据备份的主要内容

(1) 跨平台数据备份管理：要支持各种操作系统和数据库系统；

(2) 备份的安全性与可靠性：双重备份保护系统，确保备份数据万无一失；

(3) 自动化排程/智能化报警：通过Mail/Broadcasting/Lo生报警；

(4) 数据灾难防治与恢复：提供指定目录/单个文件数据恢复。

2) 数据备份方案

每个计算环境的规模、体系结构、客户机平台和它支持的应用软件都各不 相同，其存储管理需求也会有所区别，所以要选择最适合自身环境的解决方案。 目前虽然没有统一的标准，但至少要具有以下功能：集成的客户机代理支持、 广泛的存储设备支持、高级介质管理、高级日程安排、数据完整性保证机制、 数据库保护。比如，华为公司的VIS数据容灾解决方案、HDP数据连续性保护 方案，HDS的TrueCopy方案，IBM的SVC方案等。

2. 全面可靠的防体系

计算机的防治要从防毒、查毒、解毒三方面来进行，系统对于计算机病 毒的实际防治能力和效果也要从防毒能力、查毒能力和解毒能力三方面来评判。

由于企业数据系统环境非常复杂，它拥有不同的系统和应用。因此，对于 整个企业数据系统的防治，要兼顾到各个环节，否则有某些环节存在问题， 则很可能造成整体防治的失败。因而，对于反软件来说，需要在技术上做 得面面俱到，才能实现全面防毒。

由于数据系统与单机在本质上是相同的，都是人为编制的计算机 程序，因此反的原理是一样的，但是由于数据系统具有的特殊复杂性，使 得对数据系统反的要求不仅是防毒、查毒、杀毒，而且还要求做到与系统 的无缝链接。因为，这项技术是影响软件运行效率、全面查杀的关键所在。 但是要做到无缝链接，必须充分掌握系统的底层协议和接口规范。

随着当代技术的发展，已经能够紧密地嵌入操作系统的深层，甚 至是内核之中。这种深层次的嵌入，为彻底杀除造成了极大的困难，如果 不能确保在被杀除的同时不破坏操作系统本身，那么，使用这种反软 件也许会出现事与愿违的严重后果。无缝链接技术可以保证反模块从底层 内核与各种操作系统、数据系统、硬件、应用环境密切协调，确保在入侵 时，反操作不会伤及操作系统内核，同时又能确保对来犯的防杀。

VxD是微软专门为Windows制定的设备驱动程序接口规范。简而言之， VxD程序有点类似于DOS中的设备驱动程序，它是专门用于管理系统所加载 的各种设备。VxD不仅适用于硬件设备，而且由于它具有比其他类型应用程序 更高的优先级，更靠近系统底层，因此，在Windows操作系统下，反 技术就需要利用VxD机制才有可能全面、彻底地控制系统，并在入侵 时及时报警。而且，VxD技术与TSR技术有很大的不同，占用极少的内存，对 系统性能影响极小。

由于具备隐蔽性，因此它会在不知不觉中潜入你的机器。如果不能抵 御这种隐蔽性，那么反软件就谈不上防毒功能了。实时反软件作为一 个任务，对进出计算机系统的数据进行监控，能够保证系统不受侵害。同 时，用户的其他应用程序可作为其他任务在系统中并行运行，与实时反任 务毫不冲突。因此，在Windows环境下，如果不能实现实时反，那么也将 会为入侵埋下隐患。针对这一特性，需要取实时反技术，保证在计 算机系统的整个工作过程中，能够随时防止从外界入侵系统，从而全面提 高计算机系统的整体防护水平。

当前，大多数光盘上存放的文件和数据系统上传输的文件都是以压缩形式 存放的，而且情况很复杂。现行通用的压缩格式较多，有的压缩工具还将压缩 文件打包成一个扩展名为“.exe”的“自解压”可执行文件，这种自解压文件 可脱离压缩工具直接运行。对于这些压缩文件存在的复杂情况，如果反软 件不能准确判断，或判断片面，那就不可避免地会留有查杀的“死角”，为 防治造成隐患。可通过全面掌握通用压缩算法和软件生产厂商自定义的压 缩算法，深入分析压缩文件的数据内容，而非用简单地检查扩展文件名的方 法，实现对所有压缩文件的查毒杀毒功能。

对于数据系统的防治来说，反软件要能够做到全方位的防护，才 能对做到密而不漏的查杀。对于数据系统，除了对软盘、光盘等 感染最普遍的媒介具备保护功能外，对于更为隐性的企业数据系统传播途径， 更应该把好关口。

当前，公司之间以及人与人之间电子通信方式的应用更为广泛。但是，随 着这种数据交换的增多，越来越多的隐藏在邮件附件和数据库文件中进行

传播扩散。因此，反软件应该对这一传播通道具备有效控制的功能。

伴随数据系统的发展，在下载文件时，被感染的机率正在呈指数级增 长。对这一传播更为广泛的源，需要在下载文件中的感染机器之前，

自动将之检测出来并给予清除，对压缩文件同样有效。

简言之，要综合用数字免疫系统、监控源技术、主动内核技术、“分 布式处理”技术、安全网管技术等措施，提高系统的抗能力。

3. 安全措施之防火墙及数据加密

所谓防火墙就是一个把互联网与内部网隔开的屏障。防火墙有两类，即标 准防火墙和双家M关。随着防火墙技术的进步，在双家N关的基础上又演化出 两种防火墙配置，一种是隐蔽主机网关，另一种是隐蔽智能网关（隐蔽子网）。 隐蔽主机网关是当前一种常见的防火墙配置。顾名思义，这种配置一方面将路 由器进行隐蔽，另一方面在互联N和内部N之间安装堡垒主机。堡垒主机装在 内部网上，通过路由器的配置，使该堡垒主机成为内部网与互联网进行通信的唯 一系统。U前技术最为复杂而且安全级别最高的防火墙是隐蔽智能网关，它将 H关隐藏在公共系统之后使其免遭直接攻击。隐蔽智能网关提供了对互联网服 务进行几乎透明的访问，同时阻止了外部未授权访问者对专用数据系统的非法 访问。一般来说，这种防火墙是最不容易被破坏的。

与防火墙配合使用的安全技术还有数据加密技术，是为提高信息系统及数 据的安全性和保密性，防止秘密数据被外部破析所用的主要技术手段之一。 随着信息技术的发展，数据系统安全与信息保密日益引起人们的关注。目前各 国除了从法律上、管理上加强数据的安全保护外，从技术上分别在软件和硬件 两方面取措施，推动着数据加密技术和物理防范技术的不断发展。按作用不 N,数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥 管理技术四种。

4. 智能卡实施

与数据加密技术紧密相关的另一项技术则是智能卡技术。所谓智能卡就是 密钥的一种媒体，一般就像一样，由授权用户所持有并由该用户赋予它 一个口令或密码字。该密码与内部数据系统服务器上注册的密码一致。当口令 与身份特征共同使用时，智能卡的保密性能还是相当有效的。数据系统安全和 数据保护的这些防范措施都有-定的限度，并不是越安全就越可靠。因而，在 看一个内部网是杏安全时不仅要考察其手段，而更重要的是对该数据系统所 取的各种措施，其中不光是物理防范，还有人员的素质等其他“软”因素，进 行综合评估，从而得出是否安全的结论。

另外，其他具体安全措施还包括数字认证、严谨有效的管理制度和高度警 惕的安全意识以及多级网管等措施。另外考虑到数据系统的业务连续，也需要 我们设计和部署必要的BCP。?

三、解决方案

解决终端安全问题的有效方法是结合端点安全状况信息和新型的网络准入 控制技术。

(1) 部署和实施网络准入控制，通过准入控制设备，能够有效地防范来自 非法终端对网络业务的访问，有效防范信息泄密。

(2) 通过准入控制设备，实现最小授权的访问控制，使得不同身份和角色 的员工，只能访问特定授权的业务系统，保护如财务系统企业的关键业务。

(3) 端点安全状态与网络准入控制技术相结合，阻止不安全的终端以及不 满足企业安全策略的终端接入网络，通过技术的手段强制实施企业的安全策略， 来减少网络安全，增强对企业安全制度的遵从。

加强事后审计，记录和控制终端对网络的访问，控制M络应用程序的使用， 敦促员工专注工作，减少企业在互联网访问的法律法规方面的风险，并且提供 责任回溯的手段。

1. 集中式组网方案

终端安全管理（Terminal Security Management, TSM)系统支持集中式组

网，把所有的控制服务器集中在一起，为网络中的终端提供接入控制和安全管 理功能。集中式组网方案如图9-3所示。

2. 分布式组网方案 如果遇到下面的情况，可能需要用分布式组网方案，如图9-4所示。?

(1)终端相对集中在几个区域，而且区域之间的带宽比较小，由于代理与 服务器之间存在一定的流量，如果用集中式部署，将会占用区域之间的带宽, 影响业务的提供。

(2)终端的规模相当大，可以考虑使用分布式组网，避免大量终端访问TSM 服务器，占用大量的网络带宽。

分布式部署的时候，TSM安全代理选择就近的控制服务器，获得身份认证 和准入控制等各项业务。

3. 分级式组网方案

如果网络规模超大，可以选择用分级式组网方案，如图9-5所示。

在这种部署方案中，每个TSM结点都是一个独立的管理单元，承担独立的 用户管理、准入控制以及安全策略管理业务。管理中心负责制定总体的安全策 略，下发给各个TSM管理结点，并且对TSM管理结点实施情况进行监控。

TSM系统对于关键的用户认证数据库提供镜像备份机制，当主数据库发生 故障时，镜像数据库提供了备份的认证源，能够保证基本业务的提供，防止因 为单一数据源失效导致接入控制的网络故障。

当TSM系统发生严重故障，或者TSM系统所在的网络发生严重故障时， 用户可以根据业务的情况进行选择：业务优先/安全优先。

如果选择业务优先，准入控制设备（802.1X交换机除外）上设计的逃生通 道能够检测到TSM系统的严重故障，启用逃生通道，防止重要业务中断。

TSM终端安全管理系统提供服务器状态监控工具，通过该工具可以监控服 务器的运行状态，如数据库链接不上、SACG链接故障以及CPU/内存异常等。当 检查到服务器的状态异常时，可以通过邮件、短信等方式通知管理员及时处理。

四、终端虚拟化技术

1.传统的终端数据安全保护技术

1) DLP

(1) 工作方式：DLP (Data Loss Prevention,数据丢失防护）技术侧重于信 息泄密途径的防护，是能够通过深度内容分析对动态数据、静态数据和使用中 的数据进行鉴定、检测和保护的产品。可以在PC终端、网络、邮件服务器等 系统上针对信息内容层面的检测和防护，能够发现你的敏感数据存储的位置， 之后进行一定的处理方式，但也是有些漏洞的。

(2) 使用场景与限制：虽然DLP方案从灵活性、安全性、管理性上都满足 了数据安全的需求，但同样成功部署DLP方案需要有一个前提，就是其数据内 容匹配算法的误报率要足够低。然而，由于数据内容的表达方式千差万别，在 定义数据内容匹配规则的时候漏审率和误判率非常难平衡，无论是哪个厂商的 DLP产品，在实际测试过程中的误报率普遍都偏高，DLP方案的防护效果体验 并不好。

2) DRM

(1) 工作方式：DRM (Digital Right Management，数字权限管理）是加密

及元数据的结合，用于说明获准访问数据的用户，以及他们可以或不可以对数 据运行进行某些操作。DRM可决定数据的访问及使用方式，相当于随数据一 起移动的贴身保镖。权限包括读取、更改、剪切/粘贴、提交电子邮件、复制、 移动、保存到便携式保存设备及打印等操作。虽然DRM的功能非常强大，但 难以大规模实施。

(2) 使用场景与限制：DRM极其依赖手动运行，因此难以大规模实施。用 户必须了解哪些权限适用于哪种内容的用户，这样的复杂程度常使得员工忽略 DRM,并导致未能改善安全性的失败项冃。如同加密一样，企业在应用权限时 必须依赖人为的判断，因为DRM丄具不具备了解内容的功能。成功的DRM 部署通常只限于用户训练有素的小型工作组。由于存在此种复杂性，大型企业 通常并不适合部署DRM。但如同加密一样，可以使用DLP来专注于DRM， 并减少某些阻碍广泛部署的手动进程。

3) 全盘加密

(1) 工作方式：所谓全盘加密技术，一般是用磁盘级动态加解密技术， 通过拦截操作系统或应用软件对磁盘数据的读/写请求，实现对全盘数据的实时 加解密，从而保护磁盘中所有文件的存储和使用安全，避免因便携终端或移动 设备丢失、存储设备报废和维修所带来的数据泄密风险。

(2) 使用场景与限制：与防水墙技术类似，全盘加密技术还是无法对不同 的涉密系统数据进行区别对待，不管是涉密文件还是普通文件，都进行加密存 储，无法支持正常的内外部文件交流。另外，全盘加密方案虽然能够从数据源 头上保障数据内容的安全性，但无法保障其自身的安全性和可靠性，一旦软件 系统损坏，所有的数据都将无法正常访问，对业务数据的可用性而言反而是一 种潜在的威胁。

上述传统安全技术是目前银行业都会部署的基础安全系统，这些安全系统 能够在某一个点上起到防护作用，然而尽管如此，数据泄密依然是屡禁不 止，可见银行业网络整体安全目前最人的威胁来源于终端安全上。而且部署这 么多的系统方案以后，用户体验不佳，不容易推广，因此并未达到预期的效果。 要彻底改变企业内网安全现状，必须部署更为有效的涉密系统数据防泄密方案。

2.数据保护的创新——终端虚拟化技术

为了能够在确保数据安全的前提下，提升用户的易用性和部署快速性，冃 前已经有部分企业开始使用终端虚拟化的技术来实现数据安全的保护。其中， 桌面/应用虚拟化技术以及基于安全沙盒技术的虚拟安全桌面就是两种比较常 见的方式。

1)桌面/应用虚拟化

桌面/应用虚拟化技术是基于服务器的计算模型，它将所有桌面虚拟机在数 据中心进行托管并统一管理。通过购大量服务器，将CPU、存储器等硬件资 源进行集中建设，构建一个终端服务层，从而将桌面、应用以图像的方式发布 给终端用户。作为云计算的一种方式，由于所有的计算都放在服务器上，对终 端设备的要求将大大降低，不需要传统的台式计算机、笔记本式计算机，用户 可以通过客户端或者远程访问等方式获得与传统PC —致的用户体验，如图9-6 所示。

不过，虽然基于计算集中化模式的桌面虚拟化技术能够大大简化终端的管 理维护工作，能够很好地解决终端数据安全问题，但是也带来了服务端的部署 成本过大和管理成本提高等新问题。

(1) 所有的客户端程序进程都运行在终端服务器上，需要配置高性能的终 端服务器集群来均衡服务器的负载压力。

(2) 由于网络延迟、服务器性能、并发拥塞等客观因素影响，在桌面虚拟 化方案中，终端用户的使用体验大大低于物理计算机本地应用程序的使用体验。

(3) 计算集中化容易带来终端服务器的单点故障问题，需要通过终端服务 器的冗余备份来强化系统的稳定性。

(4) 桌面虚拟化方案中部署的大量终端服务器以及集中化的数据存储之间 的备份、恢复、迁移、维护、隔离等问题。

(5) 由于数据集中化，管理员的权限管理也需要列入考虑，毕竟让网络管 理员能够接触到银行业务部门的业务数据也是违背数据安全需求的。

(6) 桌面集中化方案提高了对网络的稳定性要求，无法满足离线办公的需求。

因此，此种方案在大规模部署使用时会遇到成本高、体验差的问题，如图

9-7所示。

2)防泄密安全桌面

为了解决桌面/应用虚拟化存在的问题，一种新的终端虚拟化技术——基r 沙盒的安全桌面被应用到了防泄密领域，如图9-8所示。

在不改变当前IT架构的情况下，充分利用本地PC的软、硬件，在本 地直接通过安全沙盒技术虚拟化了一个安全桌面，这个桌面可以理解为原有默 认桌面的一个备份和镜像，在安全桌面环境下运行的应用、数据、网络权限等 完全与默认桌面隔离，并且安全沙盒可以针对不同桌面之间进行细粒度的安全 控制，比如安全桌面下只能访问敏感业务系统，安全桌面内数据无法外发、复 制、打印、截屏，安全桌面内保存的文件加密存储等等。

这样一来，通过安全桌面+安全控制网关的联通配合，就可以确保用户只有 在防泄密安全桌面内进行了认证后才能访问核心敏感系统，实现了在终端的多 业务风险隔离，确保了终端的安全性。安全桌面虚拟化方案为用户提供了多个 虚拟的安全桌面，通过不同虚拟安全桌面相互隔离文件、网络、系统 等，可以让用户通过不同的桌面访问不同的业务。

比如为用户访问涉密业务系统提供了一个具有数据防泄露防护的防泄密安 全桌面，尽可能减少对用户使用习惯的影响，解决了物理隔离方案的易用性问 题，如图9-9所示。

基于沙盒的安全桌面方案的价值在于，在实现终端敏感业务数据防泄密的 前提下，不改变用户使用习惯，增强了易用性，还保护了用户的现有投资。目 前，防泄密安全桌面已经在金融、、企业等单位开始了广泛的应用，主要部署在CRM、ERP、设计图样等系统前端，以防止内部销售、供应链、财务等 人员的主动泄密行为。

但是安全桌面技术也有一定的局限性，比如它不适用于Ja、C语言的代 码开发环境，存在一定兼容性的问题。

总而言之，两种终端虚拟化技术各有优劣，分别适用于不同的业务场景，具体可以参照图9-10。

北信源主机监控审计系统好用吗

系统简介:鼎普主机监控与审计系统综合运用中间层驱动、驱动拦截、线程注入等技术手段，对涉密网络计算机进行实时监控和审计。该系统可有效防止涉密计算机随意使用外设、非法拨号上网，防止外来计算机随意接入内部网络等违规行为，并进行实时监控，使各种违规行为如同孙悟空逃不脱如来佛手掌心一样难逃监控。 个人使用感受:这个软件确实比较牛，玩计算机也有几年了，还是第一次受人操控这么久。装上这个软件之后，常规的方法根本无法卸载(我通过破解手段强行解压了其安装程序，知道它安装了哪些文件到我的计算机中)，几个进程之间互相监控，安全模式下都无法结束进程，这是其一;其二是即使你用非常规方法(如用进程执法官强行删除进程及文件)，再次启动时这几个进程是没了，但你还是用不了U盘、软盘等外接存储设备。软件安装时会向你的drivers文件夹拷贝数个文件并注册成驱动，拦截了系统本身的驱动，造成U盘插进去没反应，如果你强行删除这几个驱动，呵呵，你的机器就会挂掉，蓝屏，安全模式及最后一次正确配置启动均无法启动。 破解方法提示:在网上查了一下，这类软件不少，估计很多保密比较严格的军工企业及银行部门都在装机使用中。经过一段时间的摸索，在这里从技术层面给出一种比较笨但又绝对有效的破解方法(前提是你有管理员权限，并且有下文提到的软件)。如果你是一个细心的人，经常备份注册表，那恭喜你，很Easy，你恢复注册表就一切OK，如果你没有备份注册表且已经安装了监控程序，那么只有想办法找出安装软件前后注册表的变化情况并逐项修正，怎么找?向您介绍虚拟机软件，比如VMvare WorkStation,装上该软件，并在其中装上一个与你本机相同的操作系统windows xp，保存主机状态。然后用注册表快照工具保存一份快照，紧接着安装监控软件，安装完成后再保存一份快照，并利用程序自带的比较功能生成一个文本文档，接下来的工作就比较枯燥了，分析这份文档吧，剔除一些无用的项，打开虚拟机的注册表编辑器，将新增加的项删除，将修改的项再修改回去。有可能有些项会删除或修改不了，在该项上点右键，设置相应的权限就可以了。一定要有耐心，逐条逐条的校对，少删一条都有可能导致系统崩溃，不过在虚拟机中没关系，点一个按钮，几秒钟就恢复了，真实环境中就要细心些了。