第一部分 計算機網路安全基礎
本部分包括3章內容：
★第1章 網路安全概述與環境配置
◎ 網路安全研究的體系、研究網路安全的必要性
◎ 研究網路安全的社會意義，與網路安全有關的法規
◎ 評價一個系統或者應用軟體的安全等級
◎ 較為詳細地介紹實驗環境的配置
★第2章 網路安全協議基礎
◎ OSI七層網路模型、TCP/IP協議族
◎ IP協議、TCP協議、UDP協議和ICMP協議
◎ 常用的網路服務：檔案傳輸服務、Telnet服務等
◎ 常用的網路服務埠和常用的網路命令
★第3章 網路安全程式設計基礎
◎ 作業系統程式設計中的C和C++語言
◎ C語言的4個發展階段
◎ Socket程式設計、登錄檔程式設計
◎ 定時器程式設計、駐留程式程式設計和多執行緒程式設計
第一章 網路安全概述與環境配置
內容提要
◎ 介紹網路安全研究的體系、研究網路安全的必要性
◎ 研究網路安全的社會意義，目前與計算機網路安全有關的法規
◎ 評價一個系統或者應用軟體的安全等級
◎ 為了能順利完成本書介紹的各種實驗，最後較為詳細地介紹實驗環境的配置
資訊保安概述
網路安全是資訊保安學科的重要組成部分。資訊保安是一門交叉學科，廣義上，資訊保安涉及多方面的理論和應用知識，除了數學、通訊、計算機等自然科學外，還涉及法律、心理學等社會科學。狹義上，也就是通常說的資訊保安，只是從自然科學的角度介紹資訊保安的研究內容。資訊保安各部分研究內容及相互關係如圖
資訊保安研究內容及關係
1.1.1 資訊保安研究層次
資訊保安從總體上可以分成5個層次：安全的密碼演算法，安全協議，網路安全，系統安全以及應用安全，層次結構
1.1.2 資訊保安的基本要求
資訊保安的目標是保護資訊的機密性、完整性、抗否認性和可用性，也有的觀點認為是機密性、完整性和可用性，即CIA（Confidentiality Integrity Availability）。
保密性Confidentiality
機密性是指保證資訊不能被非授權訪問，即使非授權使用者得到資訊也無法知曉資訊內容，因而不能使用。通常通過訪問控制阻止非授權使用者獲得機密資訊，通過加密變換阻止非授權使用者獲知資訊內容。
完整性Integrity
完整性是指維護資訊的一致性，即資訊在生成、傳輸、儲存和使用過程中不應發生人為或非人為的非授權篡改。一般通過訪問控制阻止篡改行為，同時通過訊息摘要演算法來檢驗資訊是否被篡改。資訊的完整性包括兩個方面：（1）資料完整性：資料沒有被未授權篡改或者損壞；（2）系統完整性：系統未被非法操縱，按既定的目標執行。
可用性Availability
可用性是指保障資訊資源隨時可提供服務的能力特性，即授權使用者根據需要可以隨時訪問所需資訊。可用性是資訊資源服務功能和效能可靠性的度量，涉及到物理、網路、系統、資料、應用和使用者等多方面的因素，是對資訊網路總體可靠性的要求。
除了這三方面的要求，資訊還要求真實性，即個體身份的認證，適用於使用者、程序、系統等；要求可說明性，即確保個體的活動可被跟蹤；要求可靠性，即行為和結果的可靠性、一致性。
1.1.3 資訊保安的發展
20世紀60年代倡導通訊保密措施
到了20世紀60到70年代，逐步推行電腦保安，資訊保安概念是20世紀80年代到90年代才被廣泛提出的
20世紀90年代以後，開始倡導資訊保障（IA，Information Assurance）。資訊保障的核心思想是對系統或者資料的4個方面的要求：保護（Protect），檢測（Detect），反應（React）和恢復（Restore），結構如圖：
資訊保障的結構
利用4個單詞首字母表示為：PDRR，稱之為 PDRR保障體系，其中：
保護（Protect）指採用可能採取的手段保障資訊的保密性、完整性、可用性、可控性和不可否認性。
檢測（Detect）指提供工具檢查系統可能存在的黑客攻擊、白領犯罪和病毒氾濫等脆弱性。
反應（React）指對危及安全的事件、行為、過程及時做出響應處理，杜絕危害的進一步蔓延擴大，力求系統尚能提供正常服務。
恢復（Restore）指一旦系統遭到破壞，儘快恢復系統功能，儘早提供正常的服務。
1.1.4 可信計算概述
1999年10月由Compaq、HP、IBM、Intel和Microsoft牽頭組織TCPA( Trusted Computing Platform Alliance)，發展成員190家，遍佈全球各大洲主力廠商。TCPA專注於從計算平臺體系結構上增強其安全性，2001年1月釋出了TPM主規範（版本1.1），該組織於2003年3月改組為TCG (Trusted Computing Group，可信計算組織)，並於 2003年10月釋出了TPM主規範（版本1.2）。
TCG目的是在計算和通訊系統中廣泛使用基於硬體安全模組支援下的可信計算平臺（TCP，Trusted Computing Platform），以提高整體的安全性。
網路安全的攻防研究體系
網路安全（Network Security）是一門涉及電腦科學、網路技術、通訊技術、密碼技術、資訊保安技術、應用數學、數論、資訊理論等多種學科的綜合性科學。
網路安全的攻防體系
攻擊技術
如果不知道如何攻擊，再好的防守也是經不住考驗的，攻擊技術主要包括五個方面：

1、網路監聽：自己不主動去攻擊別人，在計算機上設定一個程式去監聽目標計算機與其他計算機通訊的資料。
2、網路掃描：利用程式去掃描目標計算機開放的埠等，目的是發現漏洞，為入侵該計算機做準備。
3、網路入侵：當探測發現對方存在漏洞以後，入侵到目標計算機獲取資訊。
4、網路後門：成功入侵目標計算機後，為了對“戰利品”的長期控制，在目標計算機中種植木馬等後門。
5、網路隱身：入侵完畢退出目標計算機後，將自己入侵的痕跡清除，從而防止被對方管理員發現。
防禦技術
防禦技術包括四大方面：

1、作業系統的安全配置：作業系統的安全是整個網路安全的關鍵。
2、加密技術：為了防止被監聽和盜取資料，將所有的資料進行加密。
3、防火牆技術：利用防火牆，對傳輸的資料進行限制，從而防止被入侵。
4、入侵檢測：如果網路防線最終被攻破了，需要及時發出被入侵的警報。
網路安全的攻防體系
為了保證網路的安全，在軟體方面可以有兩種選擇，一種是使用已經成熟的工具，比如抓資料包軟體Sniffer，網路掃描工具X-Scan等等，另一種是自己編制程式，目前網路安全程式設計常用的計算機語言為C、C++或者Perl語言。

為了使用工具和編制程式，必須熟悉兩方面的知識
一方面是兩大主流的作業系統：UNIX家族和Window系列作業系統，
另一方面是網路協議，常見的網路協議包括：
TCP（Transmission Control Protocol，傳輸控制協議）
IP（Internet Protocol，網路協議）
UDP（User Datagram Protocol，使用者資料報協議）
SMTP（Simple Mail Transfer Protocol，簡單郵件傳輸協議）
POP（Post Office Protocol，郵局協議）
FTP（File Transfer Protocol，檔案傳輸協議）等等。
網路安全的層次體系
從層次體系上，可以將網路安全分成四個層次上的安全：
1、物理安全；
2、邏輯安全；
3、作業系統安全；
4、聯網安全。
物理安全
物理安全主要包括五個方面：
1、防盜；2、防火；3、防靜電；4、防雷擊；5、防電磁洩漏。
1、防盜：像其他的物體一樣，計算機也是偷竊者的目標，例如盜走軟盤、主機板等。計算機偷竊行為所造成的損失可能遠遠超過計算機本身的價值，因此必須採取嚴格的防範措施，以確保計算機裝置不會丟失。
物理安全
2、防火：計算機機房發生火災一般是由於電氣原因、人為事故或外部火災蔓延引起的。電氣裝置和線路因為短路、過載、接觸不良、絕緣層破壞或靜電等原因引起電打火而導致火災。
人為事故是指由於操作人員不慎，吸菸、亂扔菸頭等，使存在易燃物質（如紙片、磁帶、膠片等）的機房起火，當然也不排除人為故意放火。外部火災蔓延是因外部房間或其他建築物起火而蔓延到機房而引起火災。
物理安全
3、防靜電：
靜電是由物體間的相互摩擦、接觸而產生的，計算機顯示器也會產生很強的靜電。
靜電產生後，由於未能釋放而保留在物體內，會有很高的電位（能量不大），從而產生靜電放電火花，造成火災。
還可能使大規模整合電器損壞，這種損壞可能是不知不覺造成的。
物理安全
利用引雷機理的傳統避雷針防雷，不但增加雷擊概率，而且產生感應雷，而感應雷是電子資訊裝置被損壞的主要殺手，也是易燃易爆品被引燃起爆的主要原因。
雷擊防範的主要措施是，根據電氣、微電子裝置的不同功能及不同受保護程式和所屬保護層確定防護要點作分類保護；
根據雷電和操作瞬間過電壓危害的可能通道從電源線到資料通訊線路都應做多層保護。
物理安全
5、防電磁洩漏
電子計算機和其他電子裝置一樣，工作時要產生電磁發射。
電磁發射包括輻射發射和傳導發射。
這兩種電磁發射可被高靈敏度的接收裝置接收並進行分析、還原，造成計算機的資訊洩露。
遮蔽是防電磁洩漏的有效措施，遮蔽主要有電遮蔽、磁遮蔽和電磁遮蔽三種類型。
邏輯安全
計算機的邏輯安全需要用口令、檔案許可等方法來實現。
可以限制登入的次數或對試探操作加上時間限制；可以用軟體來保護儲存在計算機檔案中的資訊；
限制存取的另一種方式是通過硬體完成，在接收到存取要求後，先詢問並校核口令，然後訪問列於目錄中的授權使用者標誌號。
此外，有一些安全軟體包也可以跟蹤可疑的、未授權的存取企圖，例如，多次登入或請求別人的檔案。
作業系統安全
作業系統是計算機中最基本、最重要的軟體。
同一計算機可以安裝幾種不同的作業系統。
如果計算機系統可提供給許多人使用，作業系統必須能區分使用者，以便於防止相互干擾。
一些安全性較高、功能較強的作業系統可以為計算機的每一位使用者分配賬戶。
通常，一個使用者一個賬戶。作業系統不允許一個使用者修改由另一個賬戶產生的資料。
聯網安全
聯網的安全性通過兩方面的安全服務來達到：
1、訪問控制服務：用來保護計算機和聯網資源不被非授權使用。
2、通訊安全服務：用來認證資料機要性與完整性，以及各通訊的可信賴性。
研究網路安全的必要性
網路需要與外界聯絡，受到許多方面的威脅
物理威脅
系統漏洞造成的威脅
身份鑑別威脅
線纜連線威脅
有害程式等方面威脅。
物理威脅
物理威脅包括四個方面：偷竊、廢物搜尋、間諜行為和身份識別錯誤。
1、偷竊
網路安全中的偷竊包括偷竊裝置、偷竊資訊和偷竊服務等內容。如果他們想偷的資訊在計算機裡，那他們一方面可以將整臺計算機偷走，另一方面通過監視器讀取計算機中的資訊。

2、廢物搜尋
就是在廢物（如一些打印出來的材料或廢棄的軟盤）中搜尋所需要的資訊。在微機上，廢物搜尋可能包括從未抹掉有用東西的軟盤或硬碟上獲得有用資料。

3、間諜行為
是一種為了省錢或獲取有價值的機密、採用不道德的手段獲取資訊。

4、身份識別錯誤
非法建立檔案或記錄，企圖把他們作為有效的、正式生產的檔案或記錄，如對具有身份鑑別特徵物品如護照、執照、出生證明或加密的安全卡進行偽造，屬於身份識別發生錯誤的範疇。這種行為對網路資料構成了巨大的威脅。
系統漏洞威脅
系統漏洞造成的威脅包括三個方面：乘虛而入、不安全服務和配置和初始化錯誤。

1、乘虛而入
例如，使用者A停止了與某個系統的通訊，但由於某種原因仍使該系統上的一個埠處於啟用狀態，這時，使用者B通過這個埠開始與這個系統通訊，這樣就不必通過任何申請使用埠的安全檢查了。

2、不安全服務
有時作業系統的一些服務程式可以繞過機器的安全系統，網際網路蠕蟲就利用了UNIX系統中三個可繞過的機制。

3、配置和初始化錯誤
如果不得不關掉一臺伺服器以維修它的某個子系統，幾天後當重啟動伺服器時，可能會招致使用者的抱怨，說他們的檔案丟失了或被篡改了，這就有可能是在系統重新初始化時，安全系統沒有正確的初始化，從而留下了安全漏洞讓人利用，類似的問題在木馬程式修改了系統的安全配置檔案時也會發生。
身份鑑別威脅
身份鑑別造成威脅包括四個面：口令圈套、口令破解、演算法考慮不周和編輯口令。

1、口令圈套
口令圈套是網路安全的一種詭計，與冒名頂替有關。常用的口令圈套通過一個編譯程式碼模組實現，它執行起來和登入螢幕一模一樣，被插入到正常有登入過程之前，終端使用者看到的只是先後兩個登入螢幕，第一次登入失敗了，所以使用者被要求再輸入使用者名稱和口令。實際上，第一次登入並沒有失敗，它將登入資料，如使用者名稱和口令寫入到這個資料檔案中，留待使用。

2、口令破解
破解口令就像是猜測自行車密碼鎖的數字組合一樣，在該領域中已形成許多能提高成功率的技巧。

3、演算法考慮不周
口令輸入過程必須在滿足一定條件下才能正常地工作，這個過程通過某些演算法實現。在一些攻擊入侵案例中，入侵者採用超長的字串破壞了口令演算法，成功地進入了系統。

4、編輯口令
編輯口令需要依靠作業系統漏洞，如果公司內部的人建立了一個虛設的賬戶或修改了一個隱含賬戶的口令，這樣，任何知道那個賬戶的使用者名稱和口令的人便可以訪問該機器了。
線纜連線威脅
線纜連線造成的威脅包括三個方面：竊聽、撥號進入和冒名頂替。

1、竊聽
對通訊過程進行竊聽可達到收集資訊的目的，這種電子竊聽不一定需要竊聽裝置一定安裝在電纜上，可以通過檢測從連線上發射出來的電磁輻射就能拾取所要的訊號，為了使機構內部的通訊有一定的保密性，可以使用加密手段來防止資訊被解密。

2、撥號進入
擁有一個調變解調器和一個電話號碼，每個人都可以試圖通過遠端撥號訪問網路，尤其是擁有所期望攻擊的網路的使用者賬戶時，就會對網路造成很大的威脅。

3、冒名頂替
通過使用別人的密碼和賬號時，獲得對網路及其資料、程式的使用能力。這種辦法實現起來並不容易，而且一般需要有機構內部的、瞭解網路和操作過程的人蔘與。
有害程式威脅
有害程式造成的威脅包括三個方面：病毒、程式碼炸彈和特洛伊木馬。

1、病毒
病毒是一種把自己的拷貝附著於機器中的另一程式上的一段程式碼。通過這種方式病毒可以進行自我複製，並隨著它所附著的程式在機器之間傳播。

2、程式碼炸彈
程式碼炸彈是一種具有殺傷力的程式碼，其原理是一旦到達設定的日期或鐘點，或在機器中發生了某種操作，程式碼炸彈就被觸發並開始產生破壞性操作。程式碼炸彈不必像病毒那樣四處傳播，程式設計師將程式碼炸彈寫入軟體中，使其產生了一個不能輕易地找到的安全漏洞，一旦該程式碼炸彈被觸發後，這個程式設計師便會被請回來修正這個錯誤，並賺一筆錢，這種高技術的敲詐的受害者甚至不知道他們被敲詐了，即便他們有疑心也無法證實自己的猜測。

3、特洛伊木馬
特洛伊木馬程式一旦被安裝到機器上，便可按編制者的意圖行事。特洛伊木馬能夠摧毀資料，有時偽裝成系統上已有的程式，有時建立新的使用者名稱和口令。
研究網路安全的社會意義
目前研究網路安全已經不只為了資訊和資料的安全性。
網路安全已經滲透到國家的經濟、軍事等領域。
網路安全與政治
目前政府上網已經大規模的發展起來，電子政務工程已經在全國啟動並在北京試點。政府網路的安全直接代表了國家的形象。1999年到2001年，一些政府網站，遭受了四次大的黑客攻擊事件。

第一次在99年1月份左右，美國黑客組織“美國地下軍團”聯合了波蘭的、英國的黑客組織以及世界上的黑客組織，有組織地對我們國家的政府網站進行了攻擊。

第二次，99年7月份，當臺灣李登輝提出了兩國論的時候。

第三次是在2000年5月8號，美國轟炸我國駐南聯盟大使館後。

第四次是在2001年4月到5月，美機撞毀王偉戰機侵入我海南機場。
網路安全與經濟
一個國家資訊化程度越高，整個國民經濟和社會執行對資訊資源和資訊基礎設施的依賴程度也越高。我國計算機犯罪的增長速度超過了傳統的犯罪，1997年20多起，1998年142起，1999年908起，2000年上半年1420起，再後來就沒有辦法統計了。利用計算機實施金融犯罪已經滲透到了我國金融行業的各項業務。近幾年已經破獲和掌握100多起，涉及的金額幾個億。

2000年2月份黑客攻擊的浪潮，是互連網問世以來最為嚴重的黑客事件。99年4月26日，臺灣人編制的CIH病毒的大爆發，有統計說我國大陸受其影響的PC機總量達36萬臺之多。有人估計在這次事件中，經濟損失高達近12億元。

1996年4月16日，美國金融時報報道，接入Internet的計算機，達到了平均每20秒鐘被黑客成功地入侵一次的新記錄。
網路安全與社會穩定
互連網上散佈一些虛假資訊、有害資訊對社會管理秩序造成的危害，要比現實社會中一個造謠要大的多。

99年4月，河南商都熱線一個BBS，一張說交通銀行鄭州支行行長協鉅款外逃的帖子，造成了社會的動盪，三天十萬人上街排隊，一天提了十多億。2001年2月8日正是春節，新浪網遭受攻擊，電子郵件伺服器癱瘓了18個小時，造成了幾百萬的使用者無法正常的聯絡。

網上不良資訊腐蝕人們靈魂，色情資訊業日益猖獗。1997年5月去過色情網站瀏覽過的美國人，佔了美國網民的28.2%。河南鄭州剛剛大專畢業的楊某和何某，在商丘資訊港上建立了一個個人主頁，用五十多天的時間建立的主頁存了一萬多幅淫穢照片的網站、100多部小說和小電影。不到54天的時間，訪問他的人到了30萬。
網路安全與軍事
在第二次世界大戰中，美國破譯了日本人的密碼，將山本的艦隊幾乎全殲，重創了日本海軍。目前的軍事戰爭更是資訊化戰爭，下面是美國三位知名人士對目前網路的描述。

美國著名未來學家阿爾溫 托爾勒說過“誰掌握了資訊，控制了網路，誰將擁有整個世界。

美國前總統克林頓說過“今後的時代，控制世界的國家將不是靠軍事，而是資訊能力走在前面的國家”。

美國前陸軍參謀長沙利文上將說過“資訊時代的出現，將從根本上改變戰爭的進行方式”。
我國立法情況
目前網路安全方面的法規已經寫入中華人民共和國憲法。
於1982年8月23日寫入中華人民共和國商標法
於1984年3月12日寫入中華人民共和國專利法
於1988年9月５日寫入中華人民共和國保守國家祕密法
於1993年9月2日寫入中華人民共和國反不正當競爭法。
國際立法情況
美國和日本是計算機網路安全比較完善的國家，一些發展中國家和第三世界國家的計算機網路安全方面的法規還不夠完善。
歐洲共同體是一個在歐洲範圍內具有較強影響力的政府間組織。
為在共同體內正常地進行資訊市場運做，該組織在諸多問題上建立了一系列法律，
具體包括：
競爭（反托拉斯）法；產品責任、商標和廣告規定；智慧財產權保護；保護軟體、資料和多媒體產品及線上版權；資料保護；跨境電子貿易；稅收；司法問題等。這些法律若與其成員國原有國家法律相矛盾，則必須以共同體的法律為準。
我國評價標準
在我國根據《計算機資訊系統安全保護等級劃分準則》，1999年10月經過國家質量技術監督局批准釋出準則將電腦保安保護劃分為以下五個級別

第一級為使用者自主保護級：它的安全保護機制使使用者具備自主安全保護的能力，保護使用者的資訊免受非法的讀寫破壞。

第二級為系統審計保護級：除具備第一級所有的安全保護功能外，要求建立和維護訪問的審計跟蹤記錄，使所有的使用者對自己的行為的合法性負責。

第三級為安全標記保護級：除繼承前一個級別的安全功能外，還要求以訪問物件標記的安全級別限制訪問者的訪問許可權，實現對訪問物件的強制保護。

第四級為結構化保護級：在繼承前面安全級別安全功能的基礎上，將安全保護機制劃分為關鍵部分和非關鍵部分，對關鍵部分直接控制訪問者對訪問物件的存取，從而加強系統的抗滲透能力

第五級為訪問驗證保護級：這一個級別特別增設了訪問驗證功能，負責仲裁訪問者對訪問物件的所有訪問活動。
國際評價標準
根據美國國防部開發的電腦保安標準——可信任計算機標準評價準則（Trusted Computer Standards Evaluation Criteria：TCSEC），也就是網路安全橙皮書，一些電腦保安級別被用來評價一個計算機系統的安全性。
自從1985年橙皮書成為美國國防部的標準以來，就一直沒有改變過，多年以來一直是評估多使用者主機和小型作業系統的主要方法。
其他子系統（如資料庫和網路）也一直用橙皮書來解釋評估。橙皮書把安全的級別從低到高分成4個類別：D類、C類、B類和A類，每類又分幾個級別，
安全級別
安全級別
D級是最低的安全級別，擁有這個級別的作業系統就像一個門戶大開的房子，任何人都可以自由進出，是完全不可信任的。
對於硬體來說，是沒有任何保護措施的，作業系統容易受到損害，沒有系統訪問限制和資料訪問限制，任何人不需任何賬戶都可以進入系統，不受任何限制可以訪問他人的資料檔案。
屬於這個級別的作業系統有：
DOS和Windows98等。
安全級別
C1是C類的一個安全子級。C1又稱選擇性安全保護（Discretionary Security Protection）系統，它描述了一個典型的用在Unix系統上安全級別

這種級別的系統對硬體又有某種程度的保護，如使用者擁有註冊賬號和口令，系統通過賬號和口令來識別使用者是否合法，並決定使用者對程式和資訊擁有什麼樣的訪問權，但硬體受到損害的可能性仍然存在。

使用者擁有的訪問權是指對檔案和目標的訪問權。檔案的擁有者和超級使用者可以改變檔案的訪問屬性，從而對不同的使用者授予不通的訪問許可權。
安全級別
使用附加身份驗證就可以讓一個C2級系統使用者在不是超級使用者的情況下有權執行系統管理任務。授權分級使系統管理員能夠給使用者分組，授予他們訪問某些程式的許可權或訪問特定的目錄。
能夠達到C2級別的常見作業系統有：
（1）、Unix系統
（2）、Novell 3.X或者更高版本
（3）、Windows NT、Windows 2000和Windows 2003
安全級別
B級中有三個級別，B1級即標誌安全保護（Labeled Security Protection），是支援多級安全（例如：祕密和絕密）的第一個級別，這個級別說明處於強制性訪問控制之下的物件，系統不允許檔案的擁有者改變其許可許可權。
安全級別存在保密、絕密級別，這種安全級別的計算機系統一般在政府機構中，比如國防部和國家安全域性的計算機系統。
安全級別
B2級，又叫結構保護級別（Structured Protection），它要求計算機系統中所有的物件都要加上標籤，而且給裝置（磁碟、磁帶和終端）分配單個或者多個安全級別。
B3級，又叫做安全域級別（Security Domain），使用安裝硬體的方式來加強域的安全，例如，記憶體管理硬體用於保護安全域免遭無授權訪問或更改其他安全域的物件。該級別也要求使用者通過一條可信任途徑連線到系統上。
安全級別
A級，又稱驗證設計級別（Verified Design），是當前橙皮書的最高級別，它包含了一個嚴格的設計、控制和驗證過程。該級別包含了較低級別的所有的安全特性
設計必須從數學角度上進行驗證，而且必須進行祕密通道和可信任分佈分析。可信任分佈（Trusted Distribution）的含義是：硬體和軟體在物理傳輸過程中已經受到保護，以防止破壞安全系統。
橙皮書也存在不足。TCSEC是針對孤立計算機系統，特別是小型機和主機系統。假設有一定的物理保障，該標準適合政府和軍隊，不適合企業，這個模型是靜態的。
環境配置
網路安全是一門實踐性很強的學科，包括許多試驗。
良好的實驗配置是必須的。網路安全實驗配置最少應該有兩個獨立的作業系統，而且兩個作業系統可以通過乙太網進行通訊。
安裝VMware虛擬機器
考慮兩個方面的因素：
1、許多計算機不具有聯網的條件。
2、網路安全實驗對系統具有破壞性。
這裡介紹在一臺計算機上安裝一套作業系統，然後利用工具軟體再虛擬一套操作為網路安全的攻擊物件。
首先準備一臺計算機，因為需要裝兩套作業系統，所以記憶體應該比較大。計算機的基本配置如表1-2所示。
實驗裝置
實驗裝置
在計算機上安裝Windows 2000 Server，並且打上相關的布丁，在本書中作業系統是Windows 2000 Server，IP地址設定為172.18.25.110，根據需要可以設定為其他的IP地址。如圖1-2所示。
虛擬機器軟體VMware
需要安裝一個虛擬機器軟體VMware，虛擬機器上的作業系統，可以通過網絡卡和實際的作業系統進行通訊。通訊的過程和原理，與真實環境下的兩臺計算機一樣。虛擬機器作業系統的介面如圖1-3所示。
配置VMware虛擬機器
安裝完虛擬機器以後，就如同組裝了一臺電腦，這臺電腦需要安裝作業系統。
需要在虛擬機器中裝作業系統，選擇選單欄“File”下的“New”選單項，再選擇子選單“New Virtual Machine”，如圖1-8所示。
配置VMware虛擬機器
出現新建虛擬機器嚮導，這裡有許多設定需要說明，不然虛擬機器可能無法和外面系統進行通訊。點擊向導介面的按鈕“下一步”，出現安裝選項，如圖1-9所示。
配置VMware虛擬機器
這裡有兩種選擇，選項“Typical”是典型安裝，選項“Custom”是自定義安裝，選擇“Custom”安裝方式。點選按鈕“下一步”，進入選擇作業系統介面，設定將來要安裝的作業系統型別，如圖1-10所示。
配置VMware虛擬機器
從圖1-10中可以看出幾乎常見的作業系統在列表中都有。選擇“Windows Advanced Server”，點選按鈕“下一步”進入安裝目錄選擇介面，如圖1-11所示。

配置VMware虛擬機器
有兩個文字框，上面文字框是系統的名字，按照預設值就可以，下面的文字框需要選擇虛擬作業系統安裝地址。選擇好地址以後，點選按鈕“下一步”，出現虛擬機器記憶體大小的介面，如圖1-12所示。
配置VMware虛擬機器
因為安裝的是Windows 2000 Advanced Server，所以記憶體不能小於128M，如果計算機記憶體比較大的話可以分配的多一些，但是不能超過真實記憶體大小，這裡設定為128M，點選按鈕“下一步”進入網路連線方式選擇介面，如圖1-13所示。

配置VMware虛擬機器
VMWare的常用的是兩種聯網方式：
（1）Used Bridged networking
虛擬機器作業系統的IP地址可設定成與主機作業系統在同一網段，虛擬機器作業系統相當於網路內的一臺獨立的機器，網路內其他機器可訪問虛擬機器上的作業系統，虛擬機器的作業系統也可訪問網路內其他機器。
（2）User network address translation（NAT）
實現主機的作業系統與虛擬機器上的作業系統的雙向訪問。但網路內其他機器不能訪問虛擬機器上的作業系統，虛擬機器可通過主機作業系統的NAT協議訪問網路內其他機器。
一般來說，Bridged方式最方便好用，因為這種連線方式將使虛擬機器就好像是一臺獨立的計算機一樣。
配置VMware虛擬機器
選擇第一種方式：使用網橋方式聯網。點選按鈕“下一步”，出現建立磁碟的選擇介面，如圖1-14所示。
配置VMware虛擬機器
有三種選擇：
1、Create a new virtual disk
虛擬機器將重新建立一個虛擬磁碟，該磁碟在實際計算機作業系統上就是一個檔案，而且這個檔案還可以隨意的拷貝。
2、Use an existing virtual disk
使用已經建立好的虛擬磁碟。
3、Use a physical disk
使用實際的磁碟，這樣虛擬機器可以方便的和主機進行檔案交換，但是這樣的話，虛擬機器上的作業系統受到損害的時候會影響外面的作業系統。
配置VMware虛擬機器
因為這裡是做網路安全方面的實驗，儘量的讓虛擬機器和外面系統隔離，所以這裡選擇第一項。點選按鈕“下一步”，進入硬碟空間分配介面，如圖1-15所示。
配置VMware虛擬機器
建立一個虛擬的作業系統，這裡按照預設的4G就夠了。點選按鈕“下一步”進入檔案存放路徑設定介面，如圖1-16所示。

配置VMware虛擬機器
整個虛擬機器上作業系統就包含在這個檔案中，點選按鈕“完成”，可以在VMware的主介面看到剛才配置的虛擬機器，如圖1-17所示。
配置VMware虛擬機器
點選綠色的啟動按鈕來開啟虛擬機器，如圖1-18所示。
配置VMware虛擬機器
可以看到VMware的啟動介面，相當於是一臺獨立的計算機，如圖1-18所示。
配置VMware虛擬機器
在圖1-18中可以看到，按下功能鍵“F2”進入系統設定介面，進入虛擬機器的BIOS（Basic Input and Out System）設定介面，如圖1-19所示。
配置VMware虛擬機器
為了使所有的網路安全攻擊實驗都可以成功完成，在虛擬上安裝沒有打過任何布丁的Windows Advanced Server 2000。安裝完畢後，虛擬機器上的作業系統如圖1-20所示。
配置VMware虛擬機器
這樣兩套作業系統就成功的建成了。啟動成功後，進入作業系統，配置虛擬機器上作業系統的IP地址，使之和主機能夠通過網路進行通訊，配置虛擬機器作業系統的IP地址是：172.18.25.109，如圖1-21所示。
配置VMware虛擬機器
主機和虛擬機器在同一網段，並可以通訊。利用Ping指令來測試網路是否連通。在主機的DOS視窗中輸入“Ping 172.18.25.109”，如圖1-22所示。
網路抓包軟體Sniffer
利用Sniffer抓包
進入Sniffer主介面，抓包之前必須首先設定要抓取資料包的型別。選擇主選單Capture下的Define Filter選單，如圖1-26所示。
利用Sniffer抓包
在抓包過濾器視窗中，選擇Address選項卡，如圖1-27所示。

視窗中需要修改兩個地方：在Address下拉列表中，選擇抓包的型別是IP，在Station1下面輸入主機的IP地址，主機的IP地址是172.18.25.110；在與之對應的Station2下面輸入虛擬機器的IP地址，虛擬機器的IP地址是172.18.25.109。
利用Sniffer抓包
設定完畢後，點選該視窗的Advanced選項卡，拖動滾動條找到IP項，將IP和ICMP選中（IP和ICMP的具體解釋在第二章，這裡只是做相應的設定），如圖1-28所示。
利用Sniffer抓包
向下拖動滾動條，將TCP和UDP選中，再把TCP下面的FTP和Telnet兩個選項選中，如圖1-29所示。
利用Sniffer抓包
這樣Sniffer的抓包過濾器就設定完畢了，後面的實驗也採用這樣的設定。選擇選單欄Capture下Start選單項，啟動抓包以後，在主機的DOS視窗中Ping虛擬機器，如圖1-31所示。
利用Sniffer抓包
等Ping指令執行完畢後，點選工具欄上的停止並分析按鈕，如圖1-32所示。
利用Sniffer抓包
在出現的視窗選擇Decode選項卡，可以看到資料包在兩臺計算機間的傳遞過程，如圖1-33所示。
主機配置
Sniffer將Ping的資料包成功獲取了。實驗中的主機除此之外還要安裝VC++6.0。主機軟體推薦配置如表1-3所示。
虛擬機器配置
虛擬機器配置
實驗中的很多程式屬於木馬和病毒程式，除了做實驗以外，在主機上和虛擬機器上不要載入任何的防火牆或者防病毒監控軟體。
本章總結
本章介紹網路安全的攻防研究體系、研究網路安全的必要性和研究網路安全的社會意義。概述有關網路安全的國內和國際的相關法規和安全的評價標準。
最後著重介紹本書實驗環境的配置和測試。
本章習題
一、選擇題
1. 狹義上說的資訊保安，只是從___________自然科學的角度介紹資訊保安的研究內容。
A. 心理學                    B. 社會科學
C. 工程學                 D. 自然科學
2. 資訊保安從總體上可以分成5個層次，___________是資訊保安中研究的關鍵點。
A. 密碼技術            B. 安全協議
C. 網路安全      D. 系統安全
3. 資訊保安的目標CIA指的是___________。
A. 機密性       B. 完整性
C. 可靠性      D. 可用性
4. 1999年10月經過國家質量技術監督局批准釋出的《計算機資訊系統安全保護等級劃分準則》將電腦保安保護劃分為以下___________個級別。
A. 3        B. 4
C. 5       D. 6
 
本章習題
二、填空題
1. 資訊保障的核心思想是對系統或者資料的4個方面的要求：___________，檢測（Detect），___________，恢復（Restore）。
2. TCG目的是在計算和通訊系統中廣泛使用基於硬體安全模組支援下的___________，以提高整體的安全性。
3. 從1998年到2006年，平均年增長幅度達___________左右，使這些安全事件的主要因素是系統和網路安全脆弱性（Vulnerability）層出不窮，這些安全威脅事件給Internet帶來巨大的經濟損失。
4. B2級，又叫___________，它要求計算機系統中所有的物件都要加上標籤，而且給裝置（磁碟、磁帶和終端）分配單個或者多個安全級別。
5. 從系統安全的角度可以把網路安全的研究內容分成兩大體系：___________和___________。
本章習題
三、簡答題
1. 網路攻擊和防禦分別包括哪些內容？
2. 從層次上，網路安全可以分成哪幾層？每層有什麼特點？
3. 為什麼要研究網路安全？
4. 分別舉兩個例子說明網路安全與政治、經濟、社會穩定和軍事的聯絡。
5. 國內和國際上對於網路安全方面有哪些立法？
6. 網路安全橙皮書是什麼？包括哪些內容？
7. 使用Sniffer抓取主機到虛擬機器或者到其他計算機的資料包，並做簡要的分析。（上機完成）