网络与信息安全基础知识【软考】

文章目录

• 一、 网络概述
• • 1. 计算机网络的概念
• • （1）计算机网络的发展
  • （2）计算机网络的功能
• 2. 计算机网络的分类
• • （1）局域网（Local Area Network，LAN）
  • （2）城域网（Metropolitan Area Network，MAN）
  • （3）广域网（Wide Area Network，WAN）
• 3. 网络的拓扑结构
• • （1）总线型结构
  • （2）星型结构
  • （3）环型结构
  • （4）树型结构
  • （5）分布式结构
• 4. ISO/OSI网络体系结构
• • （1）ISO / OSI 参考模型
  • • ① 物理层（Physical Layer）
  • ② 数据链路层（Data Link Layer）
  • ③ 网络层（Network Layer）
  • ④ 传输层（Transport Layer）
  • ⑤ 会话层（Session Layer）
  • ⑥ 表示层（Presentation Layer）
  • ⑦ 应用层（Application Layer）
  • （2）参考模型的信息流向
• 二、 网络互连硬件
• • 1. 网络的设备
• • （1）网络传输介质互连设备
  • （2）物理层的互连设备
  • • ① 中继器（Repeater）
  • ② 集线器（Hub）
  • （3）数据链路层的互连设备
  • • ① 网桥（Bridge）
  • ② 交换机（Switch）
  • （4）网络层互连设备
  • • ① 路由器（Router）
  • （5）应用层互连设备
  • • ① 网关（Gateway）
• 2. 网络的传输介质
• • （1）有线介质
  • • ① 双绞线（Twisted-Pair）
  • ② 同轴电缆（Coaxial）
  • ③ 光纤（Fiber Optic）
  • （2）无线介质
  • • ① 微波
  • ② 红外线和激光
  • ③ 卫星
• 3. 组建网络
• 三、 网络的协议与标准
• • 1. 网络的标准
• 2. 局域网协议
• • （1）LAN 模型
  • （2）以太网（IEEE802.3 标准）
  • （3）令牌环网（IEEE 802.5）
  • （4）FDDI（Fiber Distributed Data Interface，光纤分布式数据接口）
  • （5）无线局域网（CSMA/CA）
• 3. 广域网协议
• • （1）点对点协议（PPP）
  • （2）数字用户线（xDSL）
  • （3）数字专线
  • （4）帧中继（Frame Relay，FR）
  • （5）异步传输模式（Asynchronous Transfer Mode，ATM）
  • （6）X.25协议
• 4. TCP/IP 协议族
• • （1）TCP/IP 分层模型
  • （2）网络接口层协议
  • （3）网际层协议——IP
  • （4）ARP（Address Resolution Protocol，地址解析协议）和 RARP（反地址解析协议）
  • （5）网际层协议——ICMP（Internet Control Message Protocol，控制信息协议）
  • （6）传输层协议——TCP（Transmission Control Protocol，传输控制协议）
  • （7）传输层协议——UDP（User Datagram Protocol，用户数据报协议）
  • （8）应用层协议
• 四、 Internet及应用
• • 1. Internet 概述
• 2. Internet地址
• • （1）域名（Domain Name）
  • （2）IP 地址
  • （3）子网划分
  • （4）IPv6 简介
  • • ① IPv6 相较于 IPv4 的优势
  • ② IPv6的地址表示
  • （5）NAT 技术（Network Address Translators，网络地址翻译）
• 3. Internet服务
• • （1）域名服务（DNS）
  • （2）远程登录服务（Telnet）
  • （3）电子邮件服务
  • （4） WWW（World Wide Web，万维网）服务
  • （5）文件传输服务（FTP）
• 五、 信息安全基础知识
• • 1. 信息安全存储安全
• 2. 计算机信息系统安全保护等级
• 3. 数据加密原理
• 六、 网络安全概述
• • 1. 网络安全威胁
• 2. 网络安全控制技术
• 3. 防火墙（Firewall）技术
• 4. 入侵检测与防御
• 5. 计算机病毒和木马
• 6. 网络攻击

计算机技术与软件专业技术资格（水平）考试目录

一、 网络概述

计算机网络是计算机技术与通信技术相结合的产物，它实现了远程通信、远程信息处理和资源共享。

1. 计算机网络的概念

（1）计算机网络的发展

• 具有通信功能的单机系统
  又称终端-计算机网络，是早期计算机网络的主要形式。它将一台计算机经通信线路与若干终端直接相连，首次实现了计算机技术与通信技术的结合。
• 具有通信功能的多机系统
  对终端-计算机网络进行改进，在终端设备较集中的地方设置一台集中器，终端通过低速线路先汇集到集中器上，然后再用高速线路将集中器连到主机上，这就形成了多机系统。
• 以共享资源为目的的计算机网络
  具有通信功能的多机系统是计算机-计算机网络，它是由若干台计算机互连的系统，该网络有两种结构形式：一种形式是主计算机通过通信线路直接互连的结构；另一种形式是通过通信控制处理机间接地把各主计算机连接的结构。
• 以局域网及因特网为支撑环境的分布式计算机系统
  继承了远程网的分组交换技术和计算机的I/O总线结构技术，由早期的以大型机为中心的集中式模式转变为由微机构成的分布式计算机模式。

（2）计算机网络的功能

• 数据通信
是计算机网络的主要功能之一，用于在计算机系统之间传送各种信息，极大地方便了用户，提高了工作效率。
• 资源共享
是计算机网络最有吸引力的功能，通过资源共享，可使网络中分散在异地的各种资源互通有无，分工协作，从而大大提高系统资源的利用率。资源共享包括：软件资源共享和硬件资源共享。
• 负载均衡
  在计算机网络中可进行数据的集中处理或分布式处理，一方面可以通过计算机网络将不同地点的主机或外设采集到的数据信息送往一台指定的计算机，在此计算机上对数据进行集中和综合处理，通过网络在各计算机之间传送原始数据和计算结果；另一方面，当网络中的某台计算机任务过重时，可将任务分派给其他空闲的多台计算机，使多台计算机相互协作，均衡负载，共同完成任务。
• 高可靠性
  指在计算机网络中的各台计算机可以通过网络彼此互为后备机，一旦某台计算机出现故障，故障机的任务就可由其他计算机代为处理，从而提高系统的可靠性。

2. 计算机网络的分类

按传输带宽可分为基带网和宽带网；
按使用范围可分为公用网和专用网；
按速率可分为高速网、中速网和低速网；
按通信传播方式可分为广播式和点到点式；
按网络拓扑结构可分为星型网、树型网、环型网和总线网；
按信息交换方式可分为电路交换网、分组交换网和综合交换网；
按通信介质可分为双绞线网、同轴电缆网、光纤网和卫星网等；
根据计算机网络的覆盖范围和通信终端之间相隔的距离不同将其分为局域网、城域网和广域网。

（1）局域网（Local Area Network，LAN）

指传输距离有限、传输速度较高、以共享网络资源为目的的网络系统。由于局域网投资规模较小，网络实现简单，故新技术易于推广，局域网技术与广域网相比发展迅速，特点如下：

• 分布范围有限。
• 数据传输可靠，误码率低。
• 有较高的通信带宽，数据传输率高。
• 通常采用同轴电缆或双绞线作为传输介质，跨楼寓时使用光纤。
• 拓扑结构简单、简洁，大多采用总线、星型和环型等，系统容易配置和管理。
• 网络的控制一般趋向于分布式，从而减少了对某个结点的依赖，避免并减小了一个结点故障对整个网络的影响。
• 通常，网络归单一组织所拥有和使用，不受任何公共网络管理机构的规定约束，容易进行设备的更新和新技术的应用，以不断增强网络功能。

（2）城域网（Metropolitan Area Network，MAN）

规模介于局域网和广域网之间的一种较大范围的高速网络，一般覆盖临近的多个单位和城市，从而为接入网络的企业、机关、公司及社会单位提供文字、声音和图像的集成服务。

（3）广域网（Wide Area Network，WAN）

又称远程网，指覆盖范围广、传输速率相对较低、以数据通信为主要目的的数据通信网，最根本的特点如下：

• 分布范围广。
• 数据传输率低。
• 数据传输的可靠性随着传输介质的不同而不同。
• 广域网常常借用传统的公共传输网来实现，因为单独建造一个广域网极其昂贵。
• 拓扑结构较为复杂，大多采用“分布式网络”，即所有计算机都与交换结点相连，从而实现网络中的任何两台计算机都可以进行通信。

3. 网络的拓扑结构

指网络中通信线路和结点的几何排序，用于表示整个网络的结构外貌，反映各结点之间的结构关系。它影响着整个网络的设计、功能、可靠性和通信费用等重要方面，是计算机网络十分重要的要素。
广域网多用分布式或树型结构，局域网常使用总线型、环型、星型或树型结构。

（1）总线型结构

只有一条双向通路，便于进行广播式传送信息，特点如下：

• 负载重时，线路的利用率较低；
• 设备少、价格低、安装使用方便；
• 结点的接口通常采用无源线路，系统可靠性高；
• 网上的信息延迟时间不确定，故障隔离和检测困难；
• 由于电气信号通路多，干扰较大，因此对信号的质量要求高；
• 总线型拓扑结构属于分布式控制，无须中央处理器，故结构比较简单；
• 结点的增、删和位置的变动较容易，变动中不影响网络的正常运行，系统扩充性能好；

（2）星型结构

使用中央交换单元以放射状连接到网中的各个结点，中央单元采用电路交换方式以建立所希望通信的两结点间专用的路径。通常用双绞线将结点与中央单元进行连接，特点如下：

• 网络延迟时间短；
• 网络共享能力差；
• 故障隔离和检测容易；
• 维护管理容易，重新配置灵活；
• 线路利用率低，中央单元负荷重；
• 各结点与中央交换单元直接连通，各结点之间通信必须经过中央单元转换；

（3）环型结构

信息传输线路构成一个封闭的环型，各结点通过中继器连入网内，各中继器间首尾相接，信息单向沿环路逐点传送，特点如下：

• 由于环路封闭，扩充较难；
• 有旁路设备，结点一旦发生故障，系统自动旁路，可靠性高；
• 信息的流动方向是固定的，两个结点仅有一条通路，路径控制简单；
• 信息要串行穿过多个结点，在网中结点过多时传输效率低，系统响应速度慢；

（4）树型结构

是总线型结构的扩充形式，传输介质是不封闭的分支电缆，它主要用于多个网络组成的分级结构中，特点同总线型网。

（5）分布式结构

无严格的布点规定和形状，各结点之间有多条线路相连，特点如下：

• 硬件成本高；
• 资源共享方便，网络响应时间短；
• 有较高的可靠性，当一条线路有故障时，不会影响整个系统工作；
• 由于结点与多个结点连接，故结点的路由选择和流量控制难度大，管理软件复杂；

4. ISO/OSI网络体系结构

相互通信的两个计算机系统必须高度协调才能正常工作，分层可将庞大而复杂的问题转化为若干较小的局部问题进行处理，从而使问题简单化。

（1）ISO / OSI 参考模型

共有7层，由低层至高层分别为：物理层、数据链路层、网络层、传输层、会话层、表示层和应用层，OSI参考模型具有以下特性：

• 直接的数据传送仅在最低层实现。
• 它是一种将异构系统互连的分层结构。
• 同等层实体之间的通信由该层的协议管理。
• 不同系统上相同层的实体称为同等层实体。
• 提供了控制互连系统交互规则的标准框架。
• 定义了一种抽象结构，而并非具体实现的描述。
• 所提供的公共服务是面向连接的或无连接的数据服务。
• 相邻层间的接口定义了原语操作和低层向高层提供的服务。
• 每层完成所定义的功能，修改本层的功能并不影响其他层。
  
  OSI/RM中的 1～3 层主要负责通信功能，一般称为通信子网层。上三层（即5～7层）属于资源子网的功能范畴，称为资源子网层。传输层起着衔接上、下三层的作用。

① 物理层（Physical Layer）

二进制数据传输，物理链路和物理特性相关。
任务：为它的上一层提供一个物理连接，以及它们的机械、电气、功能和过程特性，提供有关在传输介质上传输非结构的位流及物理链路故障检测指示。

② 数据链路层（Data Link Layer）

负责在两个相邻结点间的线路上无差错地传送以帧为单位的数据，准确传送至局域网内的物理主机上，并进行流量控制负责建立、维持和释放数据链路的连接。在传送数据时，如果接收点检测到所传数据中有差错，就要通知发送方重发这一帧【每一帧包括一定数量的数据和一些必要的控制信息】。

③ 网络层（Network Layer）

数据分组传输和路由选择，能准确的将数据传输到互联网的主机上。为传输层实体提供端到端的交换网络数据功能，使得传输层摆脱路由选择、交换方式和拥挤控制等网络传输细节；可以为传输层实体建立、维持和拆除一条或多条通信路径；对网络传输中发生的不可恢复的差错予以报告。
任务：选择合适的网间路由和交换结点，确保数据及时传送，网络层将数据链路层提供的帧组成数据包【包中封装有网络层包头，其中含有逻辑地址信息，即源站点和目的站点的网络地址】。

④ 传输层（Transport Layer）

端到端的链接，传送数据至主机端口上。为会话层实体提供透明、可靠的数据传输服务，保证端到端的数据完整性；选择网络层能提供最适宜的服务；提供建立、维护和拆除传输连接功能。这一层，信息的传送单位是报文。

⑤ 会话层（Session Layer）

也称为对话层，为彼此合作的表示层实体提供建立、维护和结束会话连接的功能；完成通信进程的逻辑名字与物理名字间的对应；提供会话管理服务。

⑥ 表示层（Presentation Layer）

为应用层进程提供能解释所交换信息含义的一组服务，数据之间的格式转换，数据的压缩、解压缩、加密和解密等工作都由表示层负责。

⑦ 应用层（Application Layer）

提供OSI用户服务，即确定进程之间通信的性质，以满足用户需要以及提供网络与用户应用软件之间的接口服务，实现具体的应用功能，直接进程间的通信。

（2）参考模型的信息流向

A 系统的用户要向 B 系统的用户传送数据。A 系统用户的数据先送入应用层，该层给它附加控制信息 AH（头标）后，送入表示层。表示层对数据进行必要的变换并加头标 PH 后送入会话层。会话层也加头标 SH 送入传输层。传输层将长报文分段后并加头标 TH 送至网络层。网络层将信息变成报文分组，并加组号 NH 送数据链路层。数据链路层将信息加上头标和尾标（DH及DT）变成帧，经物理层按位发送到对方（B 系统）。B 系统接收
到信息后，按照与 A 系统相反的动作，层层剥去控制信息，最后把原数据传送给 B 系统的用户。两系统中只有物理层是实通信，其余各层均为虚通信，只有两物理层之间有物理连接，其余各层间均无连线。

二、 网络互连硬件

1. 网络的设备

目的：使一个网络的用户能访问其他网络的资源，使不同网络上的用户能够互相通信和交换信息，实现更大范围的资源共享。

（1）网络传输介质互连设备

网络线路与用户结点具体连接时，需要网络传输介质的互连设备。

（2）物理层的互连设备

① 中继器（Repeater）

在物理层上实现局域网网段互连的，用于扩展局域网网段的长度，它仅用于连接相同的局域段。
优点：安装简便、使用方便、价格便宜。

② 集线器（Hub）

可以看成是一种特殊的多路中继器，也具有信号放大功能。使用双绞线的以太网多用 Hub 扩大网络，同时也便于网络的维护。
集线器可分为：无源（Passive）集线器【只负责把多段介质连接在一起，不对信号做任何处理，每一种介质段只允许扩展到最大有效距离的一半】、有源（Active）集线器【类似于无源集线器，但它具有对传输信号进行再生和放大从而扩展介质长度的功能】和智能（Intelligent）集线器【除具有有源集线器的功能外，还可将网络的部分功能集成到集线器中】。
优点：当网络系统中某条线路或某结点出现故障时不会影响网上其他结点的正常工作。

（3）数据链路层的互连设备

① 网桥（Bridge）

用于连接两个局域网网段，工作于数据链路层。网桥要分析帧地址字段，以决定是否把收到的帧转发到另一个网络段上，网桥工作于 MAC 子层，只要两个网络的 MAC 子层以上的协议相同，都可以用网桥互连。
优点：最大限度地缓解网络通信繁忙的程度，提高通信效率。由于网桥的隔离作用，一个网络段上的故障不会影响到另一个网络段，提高了网络的可靠性。

② 交换机（Switch）

一个具有简化、低价、高性能和高端口密集特点的交换产品，多路网桥，它是按每一个包中的 MAC 地址相对简单地决策信息转发，而这种转发决策一般不考虑包中隐藏的更深的其他信息。
优点：转发数据的延迟很小，操作接近单个局域网性能，远远超过了普通桥接的转发性能。交换技术允许共享型和专用型的局域网段进行带宽调整，以减轻局域网之间信息流通出现的瓶颈问题。

（4）网络层互连设备

① 路由器（Router）

用于连接多个逻辑上分开的网络，具有很强的异种网互连能力，互连网络的最低两层协议可以互不相同，通过驱动软件接口到第三层而得到统一，主要的功能是选择路径，还包括过滤、存储转发、流量管理和介质转换等。
逻辑网络：指一个单独的网络或一个子网，当数据从一个子网传输到另一个子网时，可通过路由器来完成。通常把网络层地址信息称为网络逻辑地址，把数据链路层地址信息称为物理地址。
多协议路由器：同时支持多种不同的网络层协议【指支持多种协议的路由，而不是指不同类协议的相互转换】，并可以设置为允许或禁止某些特定的协议。所谓支持多种协议，

（5）应用层互连设备

① 网关（Gateway）

功能体现在 OSI 模型的最高层，它将协议进行转换，将数据重新分组，以便在两个不同类型的网络系统之间进行通信。由于协议转换是一件复杂的事，一般来说，网关只进行一对一转换，或是少数几种特定应用协议的转换，网关很难实现通用的协议转换。

2. 网络的传输介质

（1）有线介质

① 双绞线（Twisted-Pair）

是现在最普通的传输介质，具体规定有：一段双绞线的最大长度为 100m，只能连接一台计算机；双绞线的每端需要一个 RJ45 插件；各段双绞线通过集线器互连，利用双绞线最多可连接 64 个站点到中继器。

② 同轴电缆（Coaxial）

也像双绞线那样由一对导体组成。

③ 光纤（Fiber Optic）

简称光纤，重量轻、体积小。用光纤传输电信号时，在发送端要先将其转换成光信号，而在接收端又要由光检波器还原成电信号。光纤是软而细的、利用内部全反射原理来传导光束的传输介质。

（2）无线介质

① 微波

在对流层视线距离范围内利用无线电波进行传输的一种通信方式，沿直线传播的，频率范围为：2～40GHz。
微波通信的传输质量比较稳定，影响质量的主要因素是雨雪天气对微波产生的吸收损耗，不利地形或环境对微波所造成的衰减现象。

② 红外线和激光

有很强的方向性，沿直线传播的，红外通信和激光通信把要传输的信号分别转换为红外光信号和激光信号，直接在空间传播。

③ 卫星

以人造卫星为微波中继站，它是微波通信的特殊形式。卫星接收来自地面发送站发出的电磁波信号后，再以广播方式用不同的频率发回地面，被地面工作站接收，可以克服地面微波通信距离的限制。
优点：容量大、距离远；缺点：传播延迟时间长。

3. 组建网络

• 服务器（Server）
  局域网的核心，根据它在网络中的作用，还可进一步分为文件服务器、打印服务器和通信服务器等。
• 客户端（Client）
  又称用户工作站，包括：用户计算机与网络应用接口设备。
• 网络设备
  是一种必不可少的网络设备，主要指一些硬件设备，如网卡、收发器、中继器、集线器、网桥和路由器等，常用的网卡有Ethernet（以太网）网卡、ARCNET网卡、ESIA 总线网网卡和 Token-Ring 网卡等。
• 通信介质
  数据的传输媒体，不同的通信介质有着不同的传输特性。
• 网络软件
  主要包括：底层协议软件【由一组标准规则及软件构成，以使实体间或网络之间能够互相进行通信】、网络操作系统（NOS）【主要对整个网络的资源和运行进行管理，并为用户提供应用接口】等。

三、 网络的协议与标准

1. 网络的标准

• 电信标准
  1865 年成立国际电信联盟（Intemational Telecommunication Union，ITU），1947 年 ITU 成为联合国的一个组织。
• 国际标准
  1946 年成立的国际标准化组织负责制定各种国际标准，ISO 有 89 个成员国家，85 个其他成员。
  ISO 的任务：促进全球范围内的标准化及其有关活动，以利于国际间产品与服务的交流，以及在知识、科学、技术和经济活动中发展国际间的相互合作。
• nternet标准
  特点：自发而非政府干预的，管理松散，每个分网络均由各自分别管理。

2. 局域网协议

一个局域网的基本组成主：网络服务器、网络工作站、网络适配器和传输介质。这些设备在特定网络软件支持下完成特定的网络功能。
定义：局域网络中的通信被限制在中等规模的地理范围内；能够使用具有中等或较高数据速率的物理信道，且具有较低的误码率；局域网络是专用的，由单一组织机构所使用。局域网技术由于具有规模小、组网灵活和结构规整的特点，极易形成标准。
决定局域网特性的主要技术有：用于传输数据的传输介质；用于连接各种设备的拓扑结构；用于共享资源的介质访问控制方法。它们在很大程度上决定了传输数据的类型、网络的响应时间、吞吐量和利用率，以及网络应用等各种网络特性。不同的局域网协议最重要的区别是介质访问控制方法，它对网络特性具有十分重要的影响。

（1）LAN 模型

在IEEE 802 局域网（LAN）标准中只定义了物理层和数据链路层两层，并根据 LAN 的特点把数据链路层分成逻辑链路控制（Logical Link Control，LLC）子层和介质访问控制（Medium Access Control，MAC）子层，还加强了数据链路层的功能，把网络层中的寻址、排序、流控和差错控制等功能放在 LLC 子层来实现。LAN 协议的层次以及与 OSI/RM 参考模型的对应关系如下：

• 物理层
  主要处理在物理链路上发送、传递和接收非结构化的比特流，包括对带宽的频道分配和对基带的信号调制、建立、维持、撤销物理链路，处理机械的、电气的和过程的特性。
• MAC
  主要功能是控制对传输介质的访问，MAC 与网络的具体拓扑方式以及传输介质的类型有关，主要是介质的访问控制和对信道资源的分配。
• LLC
  LLC可提供两种控制类型：面向连接服务【能够提供可靠的信道】和非连接服务。逻辑链路控制层提供的主要功能是数据帧的封装和拆除，为高层提供网络服务的逻辑接口，能够实现差错控制和流量控制。
  

（2）以太网（IEEE802.3 标准）

它采用的“存取方法”是带冲突检测的载波监听多路访问协议（Carrier-Sense Multiple Access with Collision Detection，CSMA/CD）技术。

（3）令牌环网（IEEE 802.5）

是环型网中最普遍采用的介质访问控制方法，它适用于环型网络结构的分布式介质访问控制，其流行性仅次于以太网。令牌环网的传输介质虽然没有明确定义，但主要基于屏蔽双绞线和非屏蔽双绞线两种，拓扑结构可以有多种，编码方法为：差分曼彻斯特编码。

（4）FDDI（Fiber Distributed Data Interface，光纤分布式数据接口）

类似令牌环网的协议，它用光纤作为传输介质，数据传输速度可达到 100Mbps，环路长度可扩展到 200km，连接的站点数可以达到 1000 个。FDDI 采用一种新的编码技术，称为 4B/5B 编码，即每次对 4 位数据进行编码。每 4 位数据编码成 5 位符号，用光信号的存在或不存在来代表 5 位符号中的每一位是 1 还是 0。
采用双环体系结构，两环上的信息反方向流动。双环中的一环称为主环，另一环称为次环。在正常情况下，主环传输数据，次环处于空闲状态。双环设计的目的是提供高可靠性和稳定性。FDDI定义的传输介质有单模光纤和多模光纤两种。

（5）无线局域网（CSMA/CA）

无线局域网使用的是带冲突避免的载波侦听多路访问方法（CSMA/CA）。冲突检测（Collision Detection）变成了冲突避免（Collision Avoidance），这一字之差是很大的。因为在无线传输中侦听载波及冲突检测都是不可靠的，侦听载波有困难。另外，通常无线电波经天线送出去时，自己是无法监视到的，因此冲突检测实质上也做不到。

3. 广域网协议

（1）点对点协议（PPP）

要用于“拨号上网”这种广域连接模式。它主要通过拨号或专线方式建立点对点连接发送数据，使其成为各种主机、网桥和路由器之间简单连接的一种通用的解决方案。
优点：简单、具备用户验证能力、可以解决IP分配等。

（2）数字用户线（xDSL）

是各种数字用户线的统称，根据各种宽带通信业务需要，目前还有 DSL 技术和产品，例如：ADSL（Asymmetric DSL，不对称数字用户线）、SDSL（Single Pair DSL，单对线数字用户环路）、IDSL（ISDN DSL，ISDN用的数字用户线）、RADSL（Rate Adaptive DSL，速率自适应非对称型数字用户线）和VDSL（Very High Bit Rate DSL，甚高速数字用户线）等。

（3）数字专线

数字数据网（Digital Data Network，DDN）：采用数字传输信道传输数据信号的通信网，可提供点对点、点对多点透明传输的数据专线出租电路，为用户传输数据、图像和声音等信息。以光纤为中继干线的网络，组成 DDN 的基本单位是结点，结点间通过光纤连接，构成网状的拓扑结构。
优点：网络传输速率高、时延小、质量好、网络透明度高、可支持任何规程、安全可靠。

（4）帧中继（Frame Relay，FR）

是在用户网络接口之间提供用户信息流的双向传送，并保持顺序不变的一种承载业务。提供一种简单的面向连接的虚电路分组服务，包括交换虚电路连接和永久虚电路连接。
优点：降低网络互连费用、简化网络功能、提高网络性能、采用国际标准、各厂商产品相互兼容等。

（5）异步传输模式（Asynchronous Transfer Mode，ATM）

是 B-ISDN 的关键核心技术，它是一种面向分组的快速分组交换模式，使用了异步时分复用技术，将信息流分割成固定长度的信元。能够根据需要改变传送速率，对高速信息传递频次高，对低速信息传递频次低，按照统计复用的原理进行传输和交换。使用统一的信息单位能比较容易地实现各种信息流混合在一起的多媒体通信，并能根据业务类型、速率的需求动态地分配有效容量。
ATM的参考模型由 4 层构成：用户层、ATM 适配层、ATM 层和物理层。

（6）X.25协议

在本地 DTE 和远程 DTE 之间提供一个全双工、同步的透明信道，并定义了 3 个相互独立的控制层：物理层、数据链路层和分组层，它们分别对应于 ISO/OSI 的物理层、链路层和网络层。

只是对公用分组交换网络的接口规范说明，并不涉及网络的内部实现，它是面向连接的，支持交换式虚电路和永久虚电路。

4. TCP/IP 协议族

Internet 的核心协议，TCP/IP包含许多重要的基本特性，这些特性主要表现在5个方面：逻辑编址、路由选择、域名解析、错误检测和流量控制以及对应用程序的支持等。

（1）TCP/IP 分层模型

协议是对数据在计算机或设备之间传输时的表示方法进行定义和描述的标准。协议规定了进行传输、检测错误以及传送确认信息等内容。
TCP/IP是个协议族，它包含了多种协议，ISO/OSI 模型、TCP/IP 的分层模型及协议的对比如下所示：

TCP/IP分层模型由 4 个层次构成：

• 应用层
  具体应用功能，处在分层模型的最高层，用户调用应用程序来访问 TCP/IP 互连网络，应用程序负责发送和接收数据。
• 传输层
  基本任务：提供应用程序之间的通信服务，这种通信又称端到端的通信。传输层既要系统地管理数据信息的流动，还要提供可靠的传输服务，以确保数据准确而有序地到达目的地，在传输层与网际层之间传递的对象是传输层分组。
• 网际层
  又称IP层，主要处理机器之间的通信问题，它接收传输层请求，传送某个具有目的地址信息的分组，数据以分组为单位。
• 网络接口层
  又称数据链路层，处于 TCP/IP 协议层之下，负责接收 IP 数据报，并把数据报通过选定的网络发送出去。该层包含设备驱动程序，也可能是一个复杂的、使用自己的数据链路协议的子系统。

（2）网络接口层协议

TCP/IP 协议不包含具体的物理层和数据链路层，只定义了网络接口层作为物理层与网络层的接口规范。这个物理层可以是广域网，也可以是局域网。任何物理网络只要按照这个接口规范开发网络接口驱动程序，就能够与 TCP/IP 协议集成起来。网络接口层处在 TCP/IP 协议的最底层，主要负责管理为物理网络准备数据所需的全部服务程序和功能。

（3）网际层协议——IP

最重要最核心的协议，IP所提供的服务通常被认为是无连接的（Connectionless）和不可靠的（Unreliable）。主要功能包括：将上层数据或同层的其他数据封装到IP数据报中；将IP数据报传送到最终目的地；为了使数据能够在链路层上进行传输，对数据进行分段；确定数据报到达其他网络中的目的地的路径。

（4）ARP（Address Resolution Protocol，地址解析协议）和 RARP（反地址解析协议）

是驻留在网际层中的另一个重要协议。
ARP的作用：将IP地址转换为物理地址。
RARP的作用：将物理地址转换为IP地址。

（5）网际层协议——ICMP（Internet Control Message Protocol，控制信息协议）

是网际层的另一个比较重要的协议。是一个专门用于发送差错报文的协议。ICMP定义了 5 种差错报文（源抑制、超时、目的不可达、重定向和要求分段）和 4 种信息报文（回应请求、回应应答、地址屏蔽码请求和地址屏蔽码应答）。

（6）传输层协议——TCP（Transmission Control Protocol，传输控制协议）

是整个 TCP/IP 协议族中最重要的协议之一。它在IP提供的不可靠数据服务的基础上为应用程序提供了一个可靠的、面向连接的、全双工的数据传输服务。
利用TCP在源主机和目的主机之间建立和关闭连接操作时，均需要通过三次握手来确认建立和关闭是否成功，它通过“序号/确认号”使得系统正常工作，从而使它们的序号达成同步。TCP 建立连接的三次握手过程如下：

（7）传输层协议——UDP（User Datagram Protocol，用户数据报协议）

是一种不可靠的、无连接的协议，可以保证应用程序进程间的通信，它的错误检测功能要弱得多，但有助于提高传输的高速率性，一般用于视频，音频传输。

（8）应用层协议

为了让不同平台的计算机能够通过计算机网络获得一些基本的、相同的服务，也就应运而生了一系列应用级的标准，实现这些应用标准的专用协议被称为应用级协议，相对于OSI参考模型来说，它们处于较高的层次，所以也称为高层协议。
基于 TCP 的 FTP，HTTP 都是可靠传输，基于 UDP 的 DHCP，DNS 都是不可靠传输。

• 使用 TCP 协议常见端口主要有以下几种：
  接收邮件【POP3】：110
  远程登陆协议【Telnet】：23
  简单邮件传送协议【SMTP】：25
  文件传输协议【FTP】：控制端口【21】；传输端口【20】
  超文本传输协议【HTTP】：默认端口【80】；使用 SSL 加密后为 HTTPS，默认端口【443】

• 使用UDP协议常见端口主要有以下几种：
  域名解析服务【DNS】：53
  简单网络管理协议【SNMP】：161
  简单文件传输的协议【TFTP】：69

四、 Internet及应用

Internet 是世界上规模最大、覆盖面最广且最具影响力的计算机互连网络，它是将分布在世界各地的计算机采用开放系统协议连接在一起，用来进行数据传输、信息交换和资源共享。

1. Internet 概述

连入 Internet 的计算机网络种类繁多、形式各异，且分布在世界各地，因此，需要通过路由器（IP网关）并借助各种通信线路或公共通信网络把它们连接起来。
在 Internet 中分布着一些覆盖范围很广的大网络，这种网络称为“Internet主干网”，它们一般属于国家级的广域网，主干网一般只延伸到一些大城市或重要地方，在那里设立主干网结点。每一个主干网结点可以通过路由器将广域网与局域网连接起来，一个结点还可以通过另外的路由器与其他局域网再互连，由此形成一种网状结构。

2. Internet地址

（1）域名（Domain Name）

通常是用户所用的主机的名字或地址。域名格式由若干部分组成，每个部分又称子域名，它们之间用 “.” 分开，每个部分最少由两个字母或数字组成。域名通常按分层结构来构造，每个子域名都有其特定的含义。通常情况下，一个完整、通用的层次型主机域名由 4 个部分组成： 计算机主机名 . 本地名 . 组名 . 最高层域名 计算机主机名.本地名.组名.最高层域名
从右到左，子域名分别表示不同的国家或地区的名称（只有美国可以省略表示国家的顶级域名）、组织类型、组织名称、分组织名称和计算机名称等。域名地址的最后一部分子域名称为高层域名（或顶级域名）【分成两类：组织性顶级域名；地理性顶级域名】。

（2）IP 地址

每个 IP 地址都由 4 个小于 256 的数字组成，数字之间用 “.” 分开。Internet 的 IP 地址共有 32 位，4 个字节。它有两种表示格式：二进制格式和十进制格式。
域名和IP地址是一一对应的，域名易于记忆、便于使用，因此得到比较普遍的使用。当用户和Internet上的某台计算机交换信息时，只需要使用域名，网络会自动地将其转换成IP地址，找到该台计算机。
Internet 中的地址可分为 5 类：A类、B类、C类、D 类和 E 类，各类的地址分配方案如下：

• A类网络地址：占有 1 个字节（8位），主机号位 32-8 ，能分配的主机号个数为 2 24 − 2 2^{24} - 2 个，全 0 和全 1 不能分配，定义最高位为 0 来标识此类地址，余下 7 位为真正的网络地址，第一个字节的十进制值为：000～127。
• B类网络地址：占有 2 个字节（16位），使用最高两位为 10 来标识此类地址，其余 14 位为真正的网络地址，第一个字节的十进制值为：128～191。
• C类网络地址：占有 3 个字节（24位），是最通用的 Internet 地址，使用最高三位为 110 来标识此类地址，其余 21 位为真正的网络地址，第一个字节的十进制值为：224～239。
• D类地址：用于组播，识别头是 1110，第一个字节的十进制值为224～239。
• E类地址：实验保留，其识别头是 1111，第一个字节的十进制值为：240～255。
  

（3）子网划分

子网地址掩码：相对特别的IP地址而言的，如果脱离了 IP 地址就毫无意义。将一个 IP 地址划分为 n 个子网（取部分主机号当子网号）或者将 n 个子网合并（取部分网络号当主机号）都需要利用子网掩码，用于区分一个 IP 地址哪些部分是网络号，哪些部分是主机号，为 1 则对应网络号，为 0 则对应主机号。子网掩码是：255.255.255.0。
网络软件和路由器使用子网掩码（Subnet Mask）来识别报文是仅存放在网络内部还是被路由转发到其他地方。
A类、B类、C类 IP 地址类默认的子网掩码如下：

子网划分公式： 子网数 = 2 M （ M ：占用主机位中零的个数），容纳的主机 ≤ 2 N − 2 ( N = 主机位中剩余零的个数 ) 子网数 = 2^M（M：占用主机位中零的个数），容纳的主机 ≤ 2^N - 2(N = 主机位中剩余零的个数)

将 B 类 IP 地址：168.195.0.0 划分成 27 个子网，子网掩码为？

---

首先， 27 = 2 5 27 = 2^5 ，因此可以使用 5 个主机位来创建 27 个子网
其次，B 类 IP 地址的默认子网掩码：255.255.0.0，对应 16 位，将 5 个划分为子网位，剩下的 11 个为主机位
然后，将子网位设置为 1，剩余的主机位设置为 0，得到子网掩码的二进制表示为：11111111.11111111.11111000.00000000，将其转换为十进制形式，得到子网掩码为：255.255.248.0（128 + 64 + 32 + 16 + 8 = 248）
最后，将 B 类 IP 地址 168.195.0.0 划分为 27 个子网时，子网掩码为：255.255.248.0，其中：11111000 用作子网位，5 个 1 可以有 2 5 = 32 2^5 = 32 个子网，再减去全 0 和全 1 两个子网即可以划分 32 − 2 = 30 （ > 27 ） 32 - 2 = 30（> 27） 个子网，满足要求。

将 B 类IP地址 168.195.0.0 划分成若干子网，每个子网内有主机 70 0台，则子网掩码为？

---

首先，我们需要确定可以容纳 700 台主机的最小主机位： 700 = 2 9.4 700 = 2^{9.4} ，因此需要 10 个主机位
然后，B 类 IP 地址的默认子网掩码：255.255.0.0，对应 16 位，将 10 个划分为主机位，剩下的 6 个为子网位
最后，将子网位设置为 1，剩余的主机位设置为 0，得到子网掩码的二进制表示为：11111111.11111111.11111100.00000000，将其转换为十进制形式，得到子网掩码为：255.255.252.0（128 + 64 + 32 + 16 + 8 + 4 = 252）

（4）IPv6 简介

是设计用于替代现行版本 IP 协议（IPv4）的下一代 IP 协议，但目前应用并不广泛。IPv6 具有长达 128 位的地址空间，可以彻底解决 IPv4 地址不足的问题，IPv6 还采用分级地址模式、高效 IP 包首部、服务质量、主机地址自动配置、认证和加密等许多技术。

① IPv6 相较于 IPv4 的优势

• 支持更多的服务类型
• 关键特性：提高安全性身份认证和隐私权
• 灵活的IP报文头部格式，加快了报文处理速度
• 地址长度为 128 位，地址空间增大了 2 96 2^{96} 倍
• 允许协议继续演变，增加新的功能，使之适应未来技术的发展
• 简化了报文头部格式，字段只有 8 个，加快报文转发，提高吞吐量

② IPv6的地址表示

IPv6 数据包有一个 40 个字节的基本首部（base header），其后允许有 0 个或多个扩展首部（Extension Header），再后面是数据，每个 IPv6 数据包都是从基本首部开始，IPv6 基本首部的很多字段可以和 IPv4 首部中的字段直接对应。

一般来讲，一个 IPv6 数据包的目的地址可以是以下 3 种基本类型地址之一：

• 单播（Unicast）：传统的点对点通信。
• 多播（Multicast）：一点对多点的通信，数据包交付到一组计算机中的每一个。IPv6 没有采用广播的术语，而是将广播看作多播的一个特例。
• 任播（Anycast）：IPPv6 增加的一种类型，目的站是一组计算机，但数据包在交付时只交付给其中的一个，通常是距离最近的一个。

为了使地址的表示简洁一些，IPv6 使用冒号十六进制记法（Colon Hexadecimal Notation，Colon Hex），它把每 16 位用相应的十六进制表示，各组之间用冒号分隔。例如：686E:8C64:FFFF:FFFF:0:1180:96A:FFFF
另外，冒号十六进制记法可结合有点分十进制记法的后缀，这种结合在 IPv4 向 IPv6 的转换阶段特别有用。例如：0:0:0:0:0:0:128.10.1.1
冒号十六进制记法允许 0 压缩（Zero Compression），即一连串连续的 0 可以用一对冒号所取代，例如：FF05:0:0:0:0:0:0:B3，可以改成： FF05::B3；0:0:0:0:0:0:128.10.1.1，可以改成：::128.10.1.1
为了保证 0 压缩有一个清晰的解释，规定：在任一地址中只能使用一次 0 压缩。

（5）NAT 技术（Network Address Translators，网络地址翻译）

提出原因：因特网面临 IP 地址短缺的问题，解决这个问题有长期【使用具有更大地址空间的 IPv6 协议】的或短期【NAT技术】的两种解决方案。
第一种应用是动态地址翻译（Dynamic Address Translation），另外一种特殊的应用是 m : 1 m:1 翻译，这种技术也称为伪装（Masquerading）。

3. Internet服务

在使用传输控制协议或用户数据报协议时，Internet IP 可支持 65535 种服务，这些服务是通过各个端口到名字实现的逻辑连接。端口分两类：已知端口【又称公认端口，端口号为：0～1023，这些端口由 Internet 赋值地址和端口号的组织（IANA）赋值】；需在 IANA 注册登记的端口号【端口号为：1024～65535】。

（1）域名服务（DNS）

在访问主机的时候只需要知道域名，通过 DNS 服务器将域名变换为 IP 地址，DNS 所用的是UDP 端口，端口号为：53。
Internet 中的域名地址和 IP 地址是等价的，它们之间是通过域名服务来完成映射变换的。域名系统采用的是客户端/服务器模式，整个系统由解析器【客户方，它负责查询域名服务器、解释从服务器返回来的应答、将信息返回给请求方等工作】和域名服务器【服务器方，它通常保存着一部分域名空间的全部信息】组成。域名系统是一个分布式系统，其管理和控制也是分布式的。

（2）远程登录服务（Telnet）

在 Telnet 协议的支持下，将用户计算机与远程主机连接起来，在远程计算机上运行程序，将相应的屏幕显示传送到本地机器，并将本地的输入送给远程计算机。Telnet是基于客户端/服务器模式的服务系统，它由客户端软件、服务器软件以及 Telnet 通信协议三部分组成，端口号为：23。

（3）电子邮件服务

利用计算机进行信息交换的电子媒体信件，电子邮件地址的一般格式为：用户名@主机名。E-mail系统基于客户端/服务器模式，整个系统由E-mail客户端软件、E-mail服务器和通信协议三部分组成。在 TCP/IP 网络上的大多数邮件管理程序
使用 SMTP（简单邮件传输协议）来发信，且采用 POP（Post Office Protocol，常用 POP3) 来保管用户未能及时取走的邮件。
SMTP（简单邮件传输协议）和用于接收邮件的 POP3 均是利用 TCP 端口。SMTP 端口号：25，POP3 端口号：110。

（4） WWW（World Wide Web，万维网）服务

是一种交互式图形界面的 Internet 服务，具有强大的信息连接功能。万维网整个系统由 Web 服务器、Web 浏览器（Browser）和 HTTP 通信协议三部分组成。一个URL（Web 地址）包括：协议、主机域名、端口号（任选）、目录路径（任
选）和一个文件名（任选）。

（5）文件传输服务（FTP）

用来在计算机之间传输文件。FTP 是基于客户端/服务器模式的服务系统，它由客户端软件、服务器软件和FTP通信协议三个部分组成。FTP 在客户端与服务器的内部建立两条 TCP 连接：一条是控制连接，主要用于传输命令和参数（端口号：21）另一条是数据连接，主要用于传送文件（端口号：20）。

五、 信息安全基础知识

1. 信息安全存储安全

信息安全包括 5 个基本要素：

• 机密性：确保信息不暴露给未授权的实体或进程。
• 可控性：可以控制授权范围内的信息流向及行为方式。
• 可审查性：对出现的信息安全问题提供调查的依据和手段。
• 完整性：只有得到允许的人才能修改数据，并且能够判别出数据是否已被篡改。
• 可用性：得到授权的实体在需要时可访问数据，即攻击者不能占用所有的资源而阻碍授权者的工作。

信息的存储安全包括：

• 用户的标识与验证
  主要是限制访问系统的人员。它是访问控制的基础，是对用户身份的合法性验证。方法：基于人的物理特征的识别；基于用户所拥有特殊安全物品的识别。
• 用户存取权限限制
  主要是限制进入系统的用户所能做的操作。存取控制是对所有的直接存取活动通过授权进行控制以保证计算机系统安全保密机制，是对处理状态下的信息进行保护。方法：隔离控制法和限制权限法。
• 系统安全监控
  全面监控系统的活动，并随时检查系统的使用情况，一旦有非法入侵者进入系统，能及时发现并采取相应措施，确定和堵塞安全及保密的漏洞。
• 计算机病毒防治
  计算机网络服务器必须加装网络病毒自动检测系统，以保护网络系统的安全，防范计算机病毒的侵袭，并且必须定期更新网络病毒检测系统。由于计算机病毒具有隐蔽性、传染性、潜伏性、触发性和破坏性等特点，所以需要建立计算机病毒防治管理制度。

2. 计算机信息系统安全保护等级

• 第一级
  用户自主保护级（对应TCSEC的C1级），本级的计算机信息系统可信计算基（Trusted Computing Base）通过隔离用户与数据，使用户具备自主安全保护的能力。
• 第二级
  系统审计保护级（对应TCSEC的C2级），与用户自主保护级相比，本级的计算机信息系统可信计算机实施了粒度更细的自主访问控制，它通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。
• 第三级
  安全标记保护级(对应TCSEC的B1级)。本级的计算机信息系统可信计算基具有系统审计保护级所有功能。
• 第四级
  结构化保护级（对应TCSEC的B2级），本级的计算机信息系统可信计算基建立于一个明确定义的形式化安全策略模型之上，它要求将第三级系统中的自主和强制访问控制扩展到所有主体与客体。
• 第五级
  访问验证保护级（对应 TCSEC 的 B3 级），本级的计算机信息系统可信计算基满足访问监控器需求。
  访问监控器仲裁主体对客体的全部访问。

3. 数据加密原理

数据加密：防止未经授权的用户访问敏感信息的手段，是其他安全方法的基础。
在发送端，把明文 P 用加密算法 E 和密钥 K 加密，变换成密文 C，即： C = E （ K ， P ） C = E（K，P） 。在接收端利用解密算法 D 和密钥 K 对 C 解密得到明文 P，即： P = D （ K ， C ） P = D（K，C） 。
加 / 解密函数 E 和 D 是公开的，而密钥 K（加解密函数的参数）是秘密的。在传送过程中偷听者得到的是无法理解的密文，而他又得不到密钥，这就达到了对第三者保密的目的。一般的保密通信模型如下所示：

六、 网络安全概述

网络安全的五大要素

• 不可抵赖性：数字签名
• 可控性：防火墙、入侵检测系统、安全日志审计系统
• 保密性：最小授权原则、防暴露、信息加密、物理保密
• 完整性：安全协议、校验码、密码校验、数字签名、公证
• 可用性：综合保障（IP过滤、业务流控制、路由选择控制、审计跟踪）

1. 网络安全威胁

• 非授权访问
  没有预先经过同意，就使用网络或计算机资源则被看作非授权访问，它主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。
• 信息泄露或丢失
  指敏感数据在有意或无意中被泄露出去或丢失，它通常包括信息在传输中丢失或泄露、信息在存储介质中丢失或泄露以及通过建立隐蔽隧道等窃取敏感信息等。
• 破坏数据完整性
  以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应；恶意添加，修改数据，以干扰用户的正常使用。
• 拒绝服务攻击
  不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。
• 利用网络传播病毒
  通过网络传播计算机病毒，其破坏性大大高于单机系统，而且用户很难防范。

2. 网络安全控制技术

• 防火墙技术
  根据网络信息保密程度，实施不同的安全策略和多级保护模式。加强防火墙的使用，可以经济、有效地保证网络安全。
• 加密技术
  是网络信息安全主动的、开放型的防范手段，对于敏感数据应采用加密处理，并且在数据传输时采用加密传输，加密手段分为：软件加密【成本低而且实用灵活，更换也方便】和硬件加密【效率高，本身安全性高】两种。
• 用户识别技术
  一种基本的安全技术。其核心是识别访问者是否属于系统的合法用户，目的是防止非法用户进入系统。
• 访问控制技术。
  是控制不同用户对信息资源的访问权限。根据安全策略，对信息资源进行集中管理，对资源的控制粒度有粗粒度和细粒度两种。
• 网络反病毒技术
• 网络安全漏洞扫描技术
  可预知主体受攻击的可能性和具体地指证将要发生的行为和产生的后果，可以帮助分析资源被攻击的可能指数，了解支撑系统本身的脆弱性，评估所有存在的安全风险。
• 入侵检测技术
  是一种增强系统安全的有效技术。目的：检测出系统中违背系统安全性规则或者威胁到系统安全的活动。

3. 防火墙（Firewall）技术

是建立在内外网络边界上的过滤封锁机制，它认为内部网络是安全和可信赖的，而外部网络是不安全和不可信赖的。作用：防止不希望的、未经授权地进出被保护的内部网络，通过边界控制强化内部网络的安全策略。
是内部网络和外部因特网之间增加的一道安全防护措施，它认为内部网络是安全的，外部网络是不安全的。分为网络级防火墙和应用级防火墙，两级之间的安全手段如下所示：

• 网络级防火墙（包过滤防火墙）
  层次低，但是效率高，因为使用包过滤和状态监测手段，一般只检验网络包外在（起始地址，状态），属性是否异常，若异常，则过滤掉，不与内网通信，因此对用户和应用是透明的。如果遇到伪装的危险数据包就没办法过滤掉。
• 应用及防火墙（代理服务器防火墙）
  层次高，效率低，因为应用级防火墙会将网络包拆开，具体检查里面的数据是否有问题，会消耗大量的时间，造成效率低下，但是安全强度高，包括双宿主主机，屏蔽主机网关被屏蔽子网等方法。
  被屏蔽子网方法：在内网和外网之间增加了一个屏蔽子网，相当于多了一层网络，称为DMZ（非军事区），这样内网和外网通信必须多经过一道防火墙，屏蔽子网中一般存放的是邮件服务器，WEB服务器这些内外网数据交互的服务器，可以屏蔽掉一些来自内部的攻击，但是完全来自系统内部服务器的攻击还是无法屏蔽掉。

4. 入侵检测与防御

入侵检测系统（Intrusion Detection System，IDS）：作为防火墙之后的第二道安全屏障，不仅能够检测到网络中的攻击行为，同时主动的对攻击行为能够发出响应，对攻击进行防御。
主要功能：对用户和系统行为的监测与分析、系统安全漏洞的检查和扫描、重要文件的完整性评估、已知攻击行为的识别、异常行为模式的统计分析、操作系统的审计跟踪，以及违反安全策略的用户行为的检测等。入侵检测通过
入侵检测系统有效的弥补了防火墙系统对网络上的入侵行为无法识别和检测的不足，入侵检测系统的部署，使得在网络上的入侵行为得到了较好的检测和识别，并能够进行及时的报警。

5. 计算机病毒和木马

病毒：编制或在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令和或程序代码。病毒具有：传染性，隐蔽性，潜伏性，破坏性，针对性，衍生性，寄生性，未知性。
木马：是一种后门程序，常被黑客用作控制远程计算机的工具，隐藏在被控制电脑上的一个小程序监视电脑一切操作并盗取数据。
病毒和木马的种类如下：

• 目录型病毒
• 系统引导型病毒
• 文件外壳型病毒
• 红色代码（蠕虫病毒+木马）
• CIH病毒：史上唯一破坏硬件的病毒
• 木马：QQ消息尾巴木马，特洛伊木马，冰河
• 宏病毒（感染 Word，Excel 等文件）：美丽沙，台湾一号
• 蠕虫病毒（感染 EXE 可执行文件）：熊猫烧香，罗密欧与朱丽叶，恶魔，尼姆达，冲击波

6. 网络攻击

• 重放攻击（Replay Attacks）
  又称重播攻击、回放攻击，是指攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的，所截获某次合法的通信数据拷贝，出于非法的目的而被重新发送。主要用于身份认证过程，破坏认证的正确性。
• 拒绝服务（Denial Of Service，DOS）
  指通过向服务器发送大量垃圾信息或干扰信息的方式，对信息或其他资源的合法访问被无条件阻止，导致服务器无法向正常用户提供服务的现象。
• 特洛伊木马（Trojan Horse）
  指寄宿在计算机里的一种非授权的远程控制程序，软件中含有一个察觉不出或者无害的程序段，当它被执行时，会破坏用户的安全。