計算機內(nèi)外網(wǎng)安全的策略研究.pdf

1、隨著計算機網(wǎng)絡(luò)的飛速發(fā)展，各公司、企業(yè)、政府機關(guān)交流信息的方式正在發(fā)生變化。但這些部門面臨的最大的問題就是如何用一種有效的安全解決方案來保護網(wǎng)絡(luò)及信息系統(tǒng)不受攻擊。在眾多的方案中，防火墻是安全解決策略的關(guān)鍵部分。
　　 防火墻是位于私有網(wǎng)絡(luò)和公有網(wǎng)絡(luò)之間的一種安全信任機制。本文主要針對防火墻技術(shù)和防火墻應用的模型、實現(xiàn)進行研究。研究工作主要分為三部分。首先，改進Linux防火墻以防范TCP Flood的DoS(Denial of

2、 Service)攻擊；其次，設(shè)計一種新的基于雙網(wǎng)關(guān)的單工通信防火墻模型；第三，通過改進ARP協(xié)議機制，提出一種新方法來防范ARP欺騙攻擊。論文主要組織如下。
　　 第一部分研究了防火墻技術(shù)的相關(guān)概念及其在Linux防火墻的實現(xiàn)框架。鑒于TCP洪泛攻擊是最主要的DoS攻擊方法，我們分析了現(xiàn)有防范方法的不足，然后提出了一種分配TCP連接信息摘要的方案。該方案可以同時抵御主機資源攻擊和網(wǎng)絡(luò)帶寬資源攻擊。
　　 第二部分我們討

3、論了現(xiàn)有的防火墻模型。金融部門對網(wǎng)絡(luò)安全格外關(guān)注，既要阻止外網(wǎng)對內(nèi)網(wǎng)用戶私有資源的訪問，又要將實時信息發(fā)布到外網(wǎng)。為解決這個問題，我們提出了一種新的防火墻模型，即基于雙網(wǎng)關(guān)的單工通信系統(tǒng)，然后在內(nèi)外網(wǎng)關(guān)鏈路層設(shè)計了專有協(xié)議，并通過形式化描述工具Petri網(wǎng)對該協(xié)議進行了描述和驗證。
　　 第三部分，防火墻僅僅能有效地保護內(nèi)部網(wǎng)絡(luò)不受外網(wǎng)攻擊，也就是說，如果攻擊來自內(nèi)部網(wǎng)絡(luò)，防火墻就無法處理。據(jù)統(tǒng)計，網(wǎng)絡(luò)攻擊有70％以上來自內(nèi)部，