3.系统安全防护技术
它的主要任务是防止计算机非法获取、更改和破坏系统内的信息。对计算机网络应采用网络安全层次结构，实现对网络的安全保护。这些层次包括访问和物理控制、局部数据控制、传输安全、可信文件服务及网络安全管理等，并可广泛采用报文鉴别、数字签名等技术。设置口令保护、终点用户鉴别、通信加密、文件加密、防拷贝等安全措施，形成一个多层次的安全体系，保证网络的安全运作。
网站从系统安全角度出发，自主开发出适合内、外网数据安全导入导出的“智能网络安全隔离开关”。它配合软件使用，实现将外网的安全数据文件导入到内网，或将内网的数据文件导入到外网。“智能网络安全隔离开关”已在国家知识产权局申请专利，并通过中华人民共和国公安部计算机信息系统安全专用产品认证。
“智能网络安全隔离开关”安装在内、外网之间，实现内网与外网的物理隔离，由一台电脑通过一个软件控制，可将外网上任何目录下的数据文件自动或手动地安全传输到内网指定的目录中。当从外网中读取数据时，“智能网络安全隔离开关”与外网接通，与内网断开，将数据读到控制计算机中；当向内网传输数据时，与外网断开，与内网接通，将控制计算机中的数据通过串口（或并口）单向传输到内网的计算机中。串口（或并口）的通信采用单向传输方式，只能从外网向内网传输数据，而内网不能向外网通信，杜绝了内网的信息泄露；为确保单向传输数据的可靠性，我们采用特殊的数据校验纠错编码和通信协议，当数据在传输过程中发生错误，接收端可将错误的数据纠正过来，从而保证数据正确无误；传输的数据必须是安全的数据如：纯文本文件、数据库文件等，避免网络病毒感染，确保了内网的网络安全和信息安全。
7.2内网的安全问题
网络安全方案的核心就是网络安全隔离系统。在网络安全隔离中将用户的单个硬盘分为独立的两个区，一个公共区（Public），另一个安全区（Secure），这两个区之间无法访问。此外，通过网络安全集线器，用户可以在本地通过操作系统上的一个切换图标自由选择内外两个网络。在使用网络安全隔离卡和网络安全集线器之后，用户在任何时间只能与其中的一个网络相连同。从而，杜绝了黑客从外网侵入内网的可能性。内网的安全主要包括硬件系统安全、软件系统安全、用户合法使用资源和防止病毒等安全问题。
网络安全隔离卡采用了国际领先的硬盘和网络隔离技术，与国内同类型产品相比较有如下特点：利用用户原有的一个硬盘进行数据分离；在硬盘的最底层进行安全隔离，控制硬盘的读写操作；在安全区和公共区之间可以随意交换数据，而不必担心数据泄密；根据客户需要可以在安全区禁用软驱、光驱等任何外设；任何非授权用户都无法通过网络安全集线器进入内网；不但防止外来黑客侵入，还可防止内部人员有意或无意地泄密。
由于各种原因，内部攻击比远程攻击更为普遍。信息安全既要防范外部人员，也要防范内部人员。
在一定意义上，对内部人员的防范技术难度更大。据统计，对信息系统的攻击主要来自内部，占85%。一个非常简单的原因就是：从内部攻击计算机网络要比从外部攻击容易得多，因此，我们在讨论怎样保护网络免受外来攻击的同时，更应着力解决内网的安全问题。
1.加强内网的安全性
1）思想上提高认识
网络中各用户要增强对网络安全的防范意识，不能认为我的系统没有什么机密，不需要保密或者保密性要求不高，如随便设置一个密码“111111”，这种现象在一些网络用户中普遍存在，这是非常危险的。全体网络人员要有意识地将安全、保密、抗攻击、反控制放在重要位置，增强内网建设中的安全防范意识。
2）加强制度管理
要针对本单位网络特点，制定各项管理制度，进一步完善适应计算机网络的管理法规和措施。强化网络知识、进行网络安全教育，在使用过程中，实施强有力的监督和检查。
3）控制资料来源
控制资料来源有两个方面，一是控制与外来磁盘的交换，必须保证外来磁盘没有病毒才能使用，或者到Internet上下载软件时，应该注意病毒的入侵。另一方面是指有一些人利用免费软件供你使用，而其内部含有像木马一样的程序，可以窃取你的秘密。
2.安全性措施
1）利用子网
通过使用子网，你可以把庞大的网络划分成多个小部分，并且给每个部分分配一个系统管理员。但作为一个整体来查看这个网络时（依赖于这个网络的大小），它有时令人不知所措，然而当这个网络被分成若干个可管理的部分时，每一个任务就更小并且更易控制了。
2）拨号口令
如果你的主机通过调制解调器同外部世界相连，在访问操作系统之前需要增加一个口令。拨号口令和其他口令一样也是被加密的，但是它位于一个单独的文件中。另外，它们还可以被分配给特殊的端口，而且只能被一个给定的标识登录的用户所使用。
3）更换口令
用户不应该总是使用相同的口令。修改口令越频繁，就越频繁的制止了那些试图猜测口令而变成入侵者的人。从理论上来说，你可以每天修改口令，但是这样可能会引起用户之间的敌对情绪。
3.内网安全技术
1）实行实体访问控制
做好计算机系统的管理工作，严格防止非工作人员接近系统，这样可以避免入侵者对系统设备的破坏，如安装双层电子门，使用磁卡身份证等。
2）保护网络介质
网络介质要采取完好的屏蔽措施，避免电磁干扰，对系统设备、通信线路应定期进行检查、维修、确保硬件环境安全。
3）数据访问控制
通过数据访问控制，保证只有特许的用户可以访问系统和系统的各个资源，只有特许的成员或程序才能访问或修改数据的特定部分。
4）数据存储保护
网络中的数据都存储在磁盘上，因此首先要做好磁盘的安全保管。其次对于磁盘上的数据要根据重要性制作三至五个备份，以便网络系统损坏时能及时进行数据恢复。第三，要实行数据多级管理，如把文件分为绝密级、机密级、秘密级和普通级，然后分给不同的用户实现。第四，将数据加密后存储，这样即使磁盘丢失，窃取者也很难明白数据的真正意义，从而达到安全的目的。
5）计算机病毒防护
计算机病毒具有传染性、潜伏性、可触发性和破坏性，所以一旦出现在网络中，破坏性非常大。对计算机病毒的防护工作应该成为对系统进行安全保护的一项重要内容来抓。
7.2.1硬件系统的安全问题
硬件系统的安全主要是指网络服务器的安全问题。因为绝大多数的系统资源都放在服务器上。服务器的硬件如果出现问题，就有可能造成整个网络的崩溃。
网络服务器一般都要求做磁盘镜像、双工和双机热备份等工作。比如Novell网络提供的三级容错机制，保证了其在关键的应用场合下有效地运行。Novell公司将这三级容错技术称为SFT I(一级系统容错)、SFT II（二级系统容错）、SFT III（三级系统容错）。
SFT I包括了写后读校验，热修复，关键系统表双备份等；SFT II除了具有SFT I的功能外，还包括磁盘镜像和磁盘双工；SFT III除了具有SFTII的功能外，还包括了双机热备份。
1.磁盘镜像和磁盘双工
1）磁盘镜像。
所谓磁盘镜像，就是指服务器上同一块磁盘控制卡带一对硬盘，利用磁盘镜像原理，控制卡将数据写到一个硬盘以后再拷贝到另一个硬盘上，所以一对硬盘上的数据始终是匹配的。镜像功能使得如果一个硬盘驱动器失效，就会使其自动地使用另外一个硬盘驱动器，这样就不会失去数据或者中断操作。这些磁盘实现数据的双重备份。
2）磁盘双工。
所谓磁盘双工，就是在同一个服务器上安装双份磁盘控制卡、双份电源、双份电缆、双份硬盘；两块控制卡分别带一个硬盘。两个磁盘同时工作，实现数据的双重备份。当主系统中的任何组成部分失效时，另一个系统就能立即接管网络继续正常运行。
2.镜像与双工的特性
1）镜像或者双工后，镜像对或组构成单一逻辑分区。例如一对镜像或一对双工，虽然分别由一对硬盘构成，即分别由两个物理镜像分区，但逻辑分区可以只有一个。一个镜像的逻辑分区最多可包括16个物理镜像分区（即16个硬盘），但实际上采用两个物理分区实现镜像或双工就可以了。
2）镜像是指两个或多个分区连到同一个磁盘通道上，由Net Ware在它们之上维护相同的数据。双工是指两个或多个分区连到不同的磁盘通道上，由Net Ware在它们之上维护相同的数据。
3）镜像防止因磁盘本身出现故障而丢失数据，但不对磁盘通道，如主机总线卡、磁盘控制卡、电缆及电源提供保护；双工则可以对磁盘通道上的任一部件的故障提供保护。因为硬盘不是导致存储系统失败的唯一原因，控制卡或电缆失效也可能产生错误，因此，双工比镜像保护数据更有效。
4）Net Ware都是利用Install实用程序来实现磁盘镜像和双工的。当Install识别分区时，根据该分区与镜像分区是否连在同一磁盘通道上来决定是镜像还是双工。镜像可以用软件（由Net Ware操作系统提供）或硬件实现（在控制卡一级）。通常硬件镜像比软件更快。NetWare可以支持软件镜像和硬件镜像，但不可能同时选择它们两者。双工则只能通过Net Ware操作系统使用软件方法实现。它不可能在硬件一级实现。因为双工要求有两个磁盘通道，而Net Ware操作系统要求对每一个磁盘通道加装磁盘驱动程序。
2.双机热备份
如果两个磁盘实现镜像或双工后，两个磁盘都出现问题时，系统就没有办法了，所以经常性的数据备份仍是相当重要的保护手段。除此之外，也可采用双机热备份的办法对系统提供有效的保护。
所谓双机热备份，即利用SFT III技术，建立两台服务器：一台充当主服务器，一台充当从服务器，又称服务器镜像。当主服务器出故障时，从服务器自动而且立即接管主服务器，所有的网络活动不会受到影响。
服务器镜像要求配置两台相同的Net Ware服务器。它们必须在CPU速度、内存和磁盘空间大小上都保持一致。两台NetWare服务器必须用一条镜像服务器链路连接起来。服务器可以放在不同的网络段上，只要镜像服务器的连线够长就行。
7.2.2软件系统安全问题
软件系统安全主要是指网络操作系统的安全。显然在选择网络操作系统时要兼顾使用权和易用性两方面。目前两大流行的网络操作系统为Novell Net Ware和Windows NT.，它们各有特点。WindowsNT.界面友好，易装易用，给人以大众化的感觉，它权限功能少，保密性差。相反Novell NetWare界面不那么友好，但权限功能多、保密性强而能在财务、人事、证券等关键行业担当主要操作系统的任务。若对其优化组合，可构造出一个坚固可靠的网络。举例来说，目前绝大多数证券公司采用Novell Net Ware作为前台的用户操作网，而将Windows NT.作为后台SQL大型数据库的支撑平台。这样既可以有效地防范用户从前台侵入后台的数据库，又能发挥Windows NT在后台与SQL无缝连接的优势。
7.2.3限制用户合法使用资源的措施
1.用户的登录限制
Novell网为增强其安全性，向用户提供了严密的安全保密措施。其保密措施分为四级：入网保密、代管权保密、文件与目录属性保密和继承权保密。这些保密措施既可以单独使用，也可以混合使用。
2.入网保密限制
入网保密是Novell网的第一级保密措施，用来控制网络用户是否有资格登录入网。入网保密除了基本的用户和口令检测外，还包括入网时间、入网站点、非法入侵锁定、同名入网次数、关闭账号、磁盘空间等限制手段。
3.用户名和口令检测
任何用户要登录入网，必须正确输入注册的用户名和口令，否则入网要求将被拒绝。
4.入网时间限制
网络管理员可以对任一用户规定入网的时间限制，用户只能在规定的时间进入网络。
5.入网站点限制
网络管理员可以限制任一用户的上网地点，在某一台或几台，或任意一台工作站入网。
6.非法锁定
系统可以控制一个用户登录上网的最多尝试次数。如果超过该次数用户还没有进入网络，系统就会终止该用户的登录申请。
7.同名入网次数
系统可以规定相同用户名同时入网的工作站数目。若某一时刻某个用户登录的工作站个数已经达到这个数目，系统就会拒绝该用户以该名再次登录网络。
8.托管权授予
托管权授予用来控制用户或用户组对目录和文件的访问权限。对某一目录或文件具有某种访问权限的用户或用户组成为目录或文件的代管者。
受托管者的权限主要有8类：
1）超级权限：允许对文件和目录具有一切访问权。
2）读访问权：允许打开并读文件。
3）写访问权：允许写文件操作。
4）建立权：允许建立目录和文件。
5）删除权：允许删除目录和文件。
6）修改权：允许修改文件和目录属性，修改文件名和子目录名。
7）文件扫描权：允许查看文件。