相关文章： 恶意网页越来越厉害，本文就给大家讲霁恶意网页修改11种系统配置的处理办法。 1.禁止使用电脑 现象描述:尽管网络流氓们用这一招的不多，但是一旦你中招了，后果真是不堪设想!浏览了含有这种恶意代码的网页其后果是:"关闭系统"、"运行"、"注销"、注册表编辑器、DOS程序、运行任何程序被禁止，系统无法进入"实模式"、驱动器被隐藏。 解决办法:一般来说上述八大现象你都遇上了的话，基本上系统就给"废"了，建议重装。 2.格式化硬盘 现象描述:这类恶意代码的特征就是利用IE执行ActiveX的功能，让你无意中格式化自己的硬盘。只要你浏览了含有它的网页，浏览器就会弹出一个警告说"当前的页面含有不安全的ctiveX，可能会对你造成危害"，问你是否执行。如果你选择"是"的话，硬盘就会被快速格式化，因为格式化时窗口是最小化的，你可能根本就没注意，等发现时已悔之晚矣。 解决办法:除非你知道自己是在做什么，否则不要随便回答"是"。该提示信息还可以被修改，如改成"Windows正在删除本机的临时文件，是否继续"，所以千万要注意!此外，将计算机上Format.com、Fdisk.exe、Del.exe、Deltree.exe等命令改名也是一个办法。 3.下载运行木马程序 现象描述:在网页上浏览也会中木马?当然，由于IE5.0本身的漏洞，使这样的新式入侵手法成为可能，方法就是利用了微软的可以嵌入exe文件的eml文件的漏洞，将木马放在eml文件里，然后用一段恶意代码指向它。上网者浏览到该恶意网页，就会在不知不觉中下载了木马并执行，其间居然没有任何提示和警告! 解决办法:第一个办法是升级您的IE5.0，IE5.0以上版本没这毛病;此外，安装金山毒霸、Norton等病毒防火墙，它会把网页木马当作病毒迅速查截杀。 4.注册表的锁定 现象描述:有时浏览了恶意网页后系统被修改，想要用Regedit更改时，却发现系统提示你没有权限运行该程序，然后让你联系管理员。晕了!动了我的东西还不让改，这是哪门子的道理! 解决办法:能够修改注册表的又不止Regedit一个，找一个注册表编辑器，例如:Reghance。将注册表中的HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System下的DWORD值"DisableRegistryTools"键值恢复为"0"，即可恢复注册表。 5.默认主页修改 现象描述:一些网站为了提高自己的访问量和做广告宣传，利用IE的漏洞，将访问者的IE不由分说地进行修改。一般改掉你的起始页和默认主页，为了不让你改回去，甚至将IE选项中的默认主页按钮变为失效的灰色。不愧是网络流氓的一惯做风。 解决办法:1.起始页的修改。展开注册表到HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main，在右半部分窗口中将"Start Page"的键值改为"about:blank"即可。同理，展开注册表到HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main，在右半部分窗口中将"Start Page"的键值改为"about:blank"即可。 注意:有时进行了以上步骤后仍然没有生效，估计是有程序加载到了启动项的缘故，就算修改了，下次启动时也会自动运行程序，将上述设置改回来，解决方法如下: 运行注册表编辑器Regedit.exe，然后依次展开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run主键，然后将下面的"registry.exe"子键(名字不固定)删除，最后删除硬盘里的同名可执行程序。退出注册编辑器，重新启动计算机，问题就解决了。 2.默认主页的修改。运行注册表编辑器，展开HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\，将Default-Page-URL子键的键值中的那些恶意网站的网址改正，或者设置为IE的默认值。 3.IE选项按钮失效。运行注册表编辑器，将HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel中的DWORD值"Settings"=dword:1、"Links"=dword:1、"SecAddSites"=dword:1全部改为"0"，将HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Control Panel下的DWORD值"homepage"的键值改为"0"。 6.篡改IE标题栏 现象描述:在系统默认状态下，由应用程序本身来提供标题栏的信息。但是，有些网络流氓为了达到广告宣传的目的，将串值"Windows Title"下的键值改为其网站名或更多的广告信息，从而达到改变IE标题栏的目的。非要别人看他的东西，而且是通过非法的修改手段，除了"无耻"两个字，再没有其它形容词了。 解决办法:展开注册表到HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\下，在右半部分窗口找到串值"Windows Title"，将该串值删除。重新启动计算机。 7.篡改默认搜索引擎 现象描述:在IE浏览器的工具栏中有一个搜索引擎的工具按钮，可以实现网络搜索，被篡改后只要点击那个搜索工具按钮就会链接到网络注氓想要你去的网站。 解决办法:运行注册表编辑器，依次展开HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\CustomizeSearch和HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\SearchAssistant,将CustomizeSearch及SearchAssistant的键值改为某个搜索引擎的网址即可。 8.IE右键修改 现象描述:有的网络流氓为了宣传的目的，将你的右键弹出的功能菜单进行了修改，并且加入了一些乱七八糟的东西，甚至为了禁止你下载，将IE窗口中单击右键的功能都屏蔽掉。 解决办法:1.右键菜单被修改。打开注册表编辑器，找到HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt，删除相关的广告条文。 2.右键功能失效。打开注册表编辑器，展开到HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Restrictions，将其DWORD值"NoBrowserContextMenu"的值改为0。 9.篡改地址栏文字 现象描述:中招者的IE地址栏下方出现一些莫名其妙的文字和图标，地址栏里的下拉框里也有大量的地址，并不是你以前访问过的。 解决办法:1.地址栏下的文字。在HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\ToolBar下找到键值LinksFolderName，将其中的内容删去即可。 2.地址栏中无用的地址。在HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypeURLs中删除无用的键值即可。 10.启动时弹出对话框 现象描述:1.系统启动时弹出对话框，通常是一些广告信息，例如欢迎访问某某网站等等。2.开机弹出网页，通常会弹出很多窗口，让你措手不及，恶毒一点的，可以重复弹出窗口直到死机。 解决办法:1.弹出对话框。打开注册表编辑器，找到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon主键，然后在右边窗口中找到"LegalNoticeCaption"和"LegalNoticeText"这两个字符串，删除这两个字符串就可以解决在启动时出现提示框的现象了。 2.弹出网页。点击"开始-运行-输入msconfig",选择"启动"，把里面后缀为url、html、htm的网址文件都勾掉。 11.IE窗口定时弹出 现象描述:中招者的机器每隔一段时间就弹出IE窗口，地址指向网络注氓的个人主页。不晓得是不是网络流氓以为这样你就会经常光顾? 解决办法:点击"开始-运行-输入msconfig",选择"启动"，把里面后缀为hta的都勾掉，重启
供服务的服务器主机放在外部用户可以访问的地方，也就是说，主机安全几乎是唯一的保证。除非明确地知道 谁会对你的访问惊醒破坏，才可以对出口路由器或出口防火墙惊醒一些针对性的限制访问控制的设定，否则，访问控制变得毫无意义。
主机安全是一个非常有效的手段。所谓的主机安全是一个非常广义的概念，首先是要有一个安全的操作系统，建立在一个不安全、甚至稳定性都很差的操作系统上，是无法作到一个安全的主机。然后是仔细的检查你所提供的服务，如果不是你所必须提供的服务，建议除掉一切你所不需要的进程，对你的服务而言，它们都是你安全上的隐患。可以采用一些安全检测或网络扫描工具来确定你的服务器上到底有伸麽服务，以保证是否有安全漏洞或隐患。最后是对主机确定非常严格的访问限制规则，除了允许提供商愿意提供的服务之外，宣纸并拒绝所有未允许的服务，这是一个非常严格的措施。
除了主机安全以外，如果还需要提高服务的安全性，就该考虑采用网络实时监控和交互式动态防火墙。网络实时监控系统，会自动捕捉网络上所有的通信包，并对其进行分析和解析，并判断出用户的行为和企图。如果发现用户的行为或企图与服务商所允许的服务不同，交互式防火墙立即采取措施，封堵或拒绝用户的访问，将其拒绝在防火墙之外，并报警。网络实时监控系统和交互式防火墙具有很强的审计功能，但成本相对偏高。
（二） INTERNET和内部网
企业一方面访问INTERNET，得到INTERNET所带来的好处，另一方面，却不希望外部用户去访问企业的内部数据库和网络。企业当然没有办法去建立两套网络来满足这种需求。
防火墙的基本思想不是对每台主机系统进行保护，而是让所有对系统的访问通过某一点，并且保护这一点，并尽可能地对受保护的内部网和不可信任的外界网络之间建立一道屏障，它可以实施比较惯犯的安全政策来控制信息流，防止不可预料的潜在的入侵破坏。
根据企业内部网安全政策的不同，采取防火墙的技术手段也有所不同。
1、 包过滤防火墙
包过滤防火墙的安全性是基于对包的IP地址的校验。在Internet上，所有信息都是以包的形式传输的，信息包中包含发送方的IP地址和接收方的IP地址。包过滤防火墙将所有通过的信息包中发送方IP地址、接收方IP地址、TCP端口、TCP链路状态等信息读出，并按照预先设定过滤原则过滤信息包。那些不符合规定的IP地址的信息包会被防火墙过滤掉，以保证网络系统的安全。
包过滤防火墙是基于访问控制来实现的。它利用数据包的头信息（源IP地址、封装协议、端口号等）判定与过滤规则相匹配与否决定舍取。建立这类防火墙需按如下步骤去做；建立安全策略；写出所允许的和禁止的任务；将安全策略转化为数据包分组字段的逻辑表达式；用相应的句法重写逻辑表达式并设置之，
包过滤防火墙主要是防止外来攻击，或是限制内部用户访问某些外部的资源。如果是防止外部攻击，针对典型攻击的过滤规则，大体有：
l 对付源IP地址欺骗式攻击（Source IP Address Spoofing Attacks）
对入侵者假冒内部主机，从外部传输一个源IP地址为内部网络IP地址的数据包的这类攻击，防火墙只需把来自外部端口的使用内部源地址的数据包统统丢弃掉。
l 对付残片攻击（Tiny Fragment Attacks）
入侵者使用TCP/IP数据包 分段特性，创建极小的分段并强行将TCP/IP头信息分成多个数据包，以绕过用户防火墙的过滤规则。黑客期望防火墙只检查第一个分段而允许其余的分段通过。对付这类攻击，防火墙只需将TCP/IP协议片断位移植（Fragment Offset）为1的数据包全部丢弃即可。
包过滤防火墙简单、透明，而且非常行之有效，能解决大部分的安全问题，但必须了解包过滤防火墙不能做伸麽和有伸麽缺点。
对于采用动态分配端口的服务，如很多RPC（远程过程调用）服务相关联的服务器在系统启动时随机分配端口的，就很难进行有效地过滤。
包过滤防火墙只按照规则丢弃数据包而不对其作日志，导致对过滤的IP地址的不同用户，不具备用户身份认证功能，不具备检测通过高层协议（如应用层）实现的安全攻击的能力。
2、 代理防火墙
包过滤防火墙从很大意义上像一场战争，黑客想攻击，防火墙坚决予以拒绝。而代理服务器则是另外一种方式，能回避就回避，甚至干脆隐藏起来。代理服务器接收客户请求后会检查验证其合法性，如其合法，代理服务器象一台客户机一样取回所需的信息再转发给客户。它将内部系统与外界隔离开来，从外面只能看到代理服务器而看不到任何内部资源。代理服务器只允许有代理的服务通过，而其他所有服务都完全被封锁住。
代理服务器非常适合那些根本就不希望外部用户访问企业内部的网络，而也不希望内部的用户无限制的使用或滥用INTERNET。采用代理服务器，可以把企业的内部网络隐藏起来，内部的用户需要验证和授权之后才可以去访问INTERNET。
代理服务器包含两大类：一类是电路级代理网关，另一类是应用级代理网关。
电路级网关又称线路级网关，它工作在会话层。它在两主机收次建立TCP连接时创立一个电子屏障。它作为服务器接收外来请求，转发请求；与被保护的主机连接时则担当客户机角色、起代理服务的作用。它监视两主机建立连接时的握手信息，如Syn、Ack和序列数据等是否合乎逻辑，信号有效后网关仅复制、传递数据，而不进行过滤。电路网关中特殊的客户程序只在初次连接时进行安全协商控制，其后就透明了。只有懂得如何与该电路网关通信的客户机才能到达防火墙另一边的服务器。
电路级网关的防火墙的安全性比较高，但它仍不能检查应用层的数据包以消除应用层攻击的威胁。
应用级网关使用软件来转发和过滤特定的应用服务，如TELNET、FTP等服务的连接。这是一种代理服务。它只允许有代理的服务通过，也就是说只有那些被认为“可信赖的”服务才被允许通过防火墙。另外代理服务还可以过滤协议，如过滤FTP连接、拒绝使用FTP放置命令等。应用级网关的安全性高，其不足是要为每种应用提供专门的代理服务程序。
两种代理技术都具有登记、日记、统计和报告功能，有很好的审计功能。还可以具有严格的用户认证功能。先进的认证措施，如验证授权RADIUS、智能卡、认证令牌、生物统计学和基于软件的工具已被用来克服传统口令的弱点。
3、 状态监控技术
网络状态监控技术普遍被认为是下一代的网络安全技术。传统的网络状态监控技术对网络安全正常的工作完全没有影响的前提下，采用捕捉网络数据包的方法对腽肭蜾蠃通信的各个层次实行监测，并作安全决策的依据。监视模块支持多种网络协议和应用协议，可以方便地实现应用和服务扩充。状态监视服务可以监视RPC（远程过程调用）和UDP（用户数据包）端口信息，而包过滤和代理服务则都无法做到。
网络状态监控对主机的要求非常高，128M的内存可能是一个基本的要求，硬盘的要求也非常大，至少要求9G，对SWAP区至少也要求192M以上。一个好的网络状态监控系统，处理的量可能高达每秒45M左右（一条T3的线路）。
网络状态的监控的结果，直接就是要求能够有一种交互式的防火墙来满足客户较高的要求。中网的IP防火墙就是这样一种产品。
（三） 虚拟专用网
EXTRANET和VPN是现代网络的新热点。虚拟专用网的本质实际上涉及到密码的问题。在无法保证电路安全、信道安全、网络安全、应用安全的情况下，或者也不相信其他安全措施的情况下，一种行之有效的办法就是加密，而加密就是必须考虑加密算法和密码的问题。考虑到我国对密码管理的体制情况，密码是一个单独的领域。对防火墙而言，是否防火墙支持对其他密码体制的支持，支持提供API来调用第三方的加密算法和密码，非常重要。
（四） 复合型防火墙体系
防火墙体系的采纳是一个非常专业化的过程，不是一个简单的是和非。当然可以根据具体的情况，作出一定的安全政策，并采用某种上述特定的防火墙。但绝大多数情况是，根据具体的安全需求，通过某种体系构架，来实现更高强度的安全体系。或者是采用包含上述功能的复合型防火墙。我们就具体的情况作一个简单的说明：
屏蔽主机网关由一个运行代理服务 双穴网关和一个具有包过滤功能的路由器组成，功能的分开提高了防护系统的效率。
一个独立的屏蔽子网位于Intrannet与Internet之间，起保护作用。它由两台过滤路由器和一台代理服务主机构成。路由器过滤掉禁止或不能识别的信息，将合法的信息送到代理服务主机上，并让其检查，并向内或向外转发符合安全要求。
确保网络安全的措施
由于网络安全的目的是保障用户的重要信息的安全，因此限制直接接触十分重要。如果用户的网络连入Internet，那麽最好尽可能地把与Internet连接的机器与网络的其余部分隔离开来。实现这个目标的最安全的方法是将Internet服务器与网络实际隔开。当然，这种解决方案增加了机器管理的难度。但是如果有人闯入隔离开的机器，那麽网络的其余部分不会受到牵连。
最重要的是限制访问。不要让不需要进入网关的人都进入网关。在机器上用户仅需要一个用户帐号，严格限制它的口令。只有在使用su时才允许进入根帐号。这个方法保留一份使用根帐号者的记录。
在Internet服务器上提供的一些服务有FTP、HTTP、远程登陆和WAIS（广域信息服务）。但是，FTP和HTTP是使用最普遍的服务。它们还有潜力泄露出乎用户意料之外的秘密。
与任何其它Internet服务一样，FTP一直是（而且仍是）易于被滥用的。值得一提的弱点涉及几个方面。第一个危险是配置不当。它使站点的访问者（或潜在攻击者）能够获得更多超出其预期的数据。
他们一旦进入，下一个危险是可能破坏信息。一个未经审查的攻击者可以抹去用户的整个FTP站点。
最后一个危险不必长篇累牍，这是因为它不会造成破坏，而且是低水平的。它由用户的FTP站点构成，对于交换文件的人来说，用户的FTP站点成为“麻木不仁的窝脏点”。这些文件无所不包，可以是盗版软件，也可以是色情画。这种交换如何进行的呢？简单的很。发送者发现了一个他们有权写入和拷入可疑文件的FTP站点。通过某些其它方法，发送者通知它们的同伙文件可以使用。
所有这些问题都是由未正确规定许可条件而引起的。最大的一个问题可能是允许FTP用户有机会写入。当用户通过FTP访问一个系统时，这一般是FTP用户所做的事。因此，FTP用户可以访问，用户的访问者也可以使用。所有这些问题都是由未正确规定许可条件而引起的。最大的一个问题可能是允许FTP用户有机会写入。当用户通过FTP访问一个系统时，这一般是FTP用户所做的事。因此，FTP用户可以访问，用户的访问者也可以访问。
一般说来，FTP用户不是用户的系统中已经有的。因此，用户要建立FTP用户。无论如何要保证将外壳设置为真正外壳以外的东西。这一步骤防止FTP用户通过远程登录进行注册（用户或许已经禁止远程登录，但是万一用户没有这样做，确认一下也不会有错）。
将所有文件和目录的主人放在根目录下，不要放在ftp下。这个预防措施防止FTP用户修改用户仔细构思出的口令。然后，将口令规定为755（读和执行，但不能写，除了主人之外）。在用户希望匿名用户访问的所有目录上做这项工作。尽管这个规定允许他们读目录，但它也防止他们把什麽东西放到目录中来。
用户还需要编制某些可用的库。然而，由于用户已经在以前建立了必要的目录，因此这一步仅执行一部分。因此，用户需要做的一切是将/usr/lib/libe.so.1和/usr/lib/libsock-et.so/1拷贝到~ftp/usr/lib中。接着将~ftp/usr/lib上的口令改为555，并建立主接收器。
反网络钓鱼技巧的假面具
目前，每一个在线的银行站点都把“反网络钓鱼技巧”作为他们站点的一项活动，来教给普通电脑用户如何对付那些想收集他们私人信息的讨厌的电子邮件。当这项教育活动刚刚有些起色的时候，这些技巧中的许多、甚至有些还是来自安全专家的建议，事实上是很可疑的、不正确的或者容易对用户产生误导的。本文揭穿了大多数的谣传。并且，在本文的后半部分，我们还给出了一些提示，可以帮助你识别正当的和冒牌的web站点。
陷阱1：安全的、加密的web页面是一个正当web站点的象征。
与常规的建议相反，决不要仅仅依靠“https//”前缀或者一个挂锁的图标就认为那是一个“安全”的页面。对于一个钓鱼站点来讲，拥有一个有效的SSL认证是完全可以做到的。你应该检查一下认证的详细信息，来查看一下对“用户名”字段的认证是否能够匹配该组织网站的主机名，但是这可能需要掌握一些专门的技术。
陷阱2：通过“输入授权的用户名”进行安全保护，单击这里进行认证。
你曾经看到过这个吗？知道吗，它们是没有用的。这个提示通常出现在splash窗口上，点击要求进行认证的链接并不能够保证你就能够连接到一个合法的web站点上。
陷阱3：地址栏总是显示正确的URL。
另一个有缺陷的建议就是说要查看地址栏，看是否是一个正确的URL。这并不足以确定一个web站点就是合法的。网络钓鱼者能够利用浏览器软件中的漏洞在地址栏中使用欺骗的信息。另一种类型的攻击（DNS欺骗）也能够欺骗你让你相信你所访问的是一个合法的web站点。
陷阱4：把鼠标移动到链接上你就会在状态栏上看到真实的URL。
状态栏的显示的文本很容易就可以改变的。事实上，它甚至比在地址栏进行欺骗更容易。
陷阱5：反钓鱼软件能够防止欺骗发生。
与防病毒软件类似，它对新的恶意代码是无能为力的，你的反钓鱼浏览器插件（通常是在互联网上可以免费下载的）是不能够发现所有的钓鱼企图的。相反的是，这样会在你的浏览器中增加软件（通常是可疑的软件）让你容易受到特定软件的攻击。
陷阱6：一封包含你个人信息的电子邮件合法的。
如果你收到一封来自银行的电子邮件，其中包含你的姓名和你的帐户信息（或者一部分信息），这可能就是一封进行欺骗的电子邮件。网络钓鱼者能够通过一些组织的公共数据库或者数据漏洞获得一些你的个人信息。
陷阱7：登录你曾经知道是合法的web站点就是安全的。
不，千万不要这样认为。网站的漏洞（称作Cross-Site Scripting漏洞）能够让一个老练的攻击者使用表单在公司的站点上进行重定向，把你重定向到攻击者的web站点上，一旦你点击了“Login”或者“Enter”按钮它就会捕捉到你的认证信息。
阅读下面的建议能够防止这样的事情发生。
你应该怎么做才能够避免被欺骗：
提示1：不要点击你的电子邮件中的链接。
如果你收到了一封银行的邮件向你询问一些事情，不要点击电子邮件中的链接，也不要使用电子邮件中的表单进行登录。取而代之的是，打开你的浏览器，直接打开该银行的web页面，在那里进行登录，然后再做你要做的事情。即使这封邮件来自你知道的某人，也不要点击这个链接。
提示2：无效的认证信息通常在假扮的web站点上起作用。
如果你感觉到一个站点有些可疑，就使用虚构的用户名和密码进行登录。如果这个站点出现“登录失败”的页面，只能说明你可能是在一个合法的站点上。它不可能总是使用模拟的登陆失败来仔细检查用户的输入的，在收集了认证信息后它就会重定向到合法的站点上了。如果你用虚构的认证信息通过了认证，那很显然，这是一个钓鱼陷阱了。
提示3：使用电子邮件向你怀疑的公司报告信息。
大多数财政机关都设立专门的电子邮箱来接收安全问题报告。如果你怀疑一个消息有钓鱼企图，就把这个消息转发给那个机关。你应该包含完整的电子邮件头部信息。不要期望得到它们的回复，因为他们收到了数以千计这样的报告。
木马程序是当前病毒中危害比较大的一种，鉴于变种比较多杀毒软件对其处理一般比较滞后，在论坛中经常有人认为自己中了木马，发个HijackThis日志上来让人分析，在此我介绍一个两个工具：Procexp和Autoruns，这两个工具对付一般的木马比较有效，使用这两个工具大家可以自己手动找到木马并删除它 下面介绍两个工具的使用方法（本人使用的是XP系统，下面以XP为例）： 一、Procexp:（完全可以替换windows自带的任务管理器） 此工具可以查看当前运行的程序（包括一些windows任务管理器不能看到的隐藏的进程），杀掉运行进程 直接运行程序如图，
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">
图中进程分为两种：一种是服务程序，一种是普通程序 普通程序可以用windows自带的任务管理器关闭，而服务程序只能通过服务管理器才能关闭，Procexp可以杀掉服务和普通进程，杀进程的方法：直接右键单击右键菜单中选择Kill Process项：（功能比较强大，连Winlogon.exe都可以杀掉，若你杀掉它，系统自动当机了，有兴趣的同志可以试试)
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">
使用其识别木马程序的方法： 首先查看是否有可疑进程，一些木马使用了windows系统程序名，例如：services.exe,svchost.exe,（这些文件在windows\system32目录下，一般木马会放在磁盘根目录下，或是windows目录下，）另一种情况是某一进程占CPU占有比较大 看到可疑程序直接在列表中选中，右键查看属性，或直接双击
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">
看程序的描述信息，微软程序描述信息和版本信息一般都很详细，若没有版本信息则可能是木马程序，也有一些木马写了跟微软类似的信息，此
时可以使用数字签名校验功能，点击Verify按钮，若是微软的程序会提示(verified)如图：
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">
对于一般的程序，Explorer.exe启动的程序都可以杀掉的，一般不会引起系统问题 有时电脑会突然弹出消息框或错误框，但又不知道是那个程序弹出的，可以选择如图按钮 按住鼠标左键，把鼠标放在弹出的对话框上，抬起鼠标左键工具会自动定位当运行的程序上。
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">
在程序的属性对话框的TCP/IP属性页还可以看到程序访问的网络情况，木马一般都会打开端口向外发送数据包
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">
当删除某一文件，提示文件正在使用时可以通过发现是那个进程使用这个文件。
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">
可以查看进程使用了那些动态库
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">
发现可疑程序，不能确认，在右键菜单上点击Google则可以直接打开ＩＥ帮你搜索网上关于此程序的信息，这样可以确认程序是否是木马。
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">
此工具也支持日志导出功能
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">
此工具可以替换Windows任务管理器，选择Options->Replace Task Manager，则每次通过CTRL ALT DEL或在Explorer任务栏里启动任务管理器时则启动此程序
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">
路由器 <一>
最简单的网络可以想象成单线的总线，各个计算机可以通过向总线发送分组以互相通信。但随着网络中的计算机数目增长，这就很不可行了，会产 生许多问题：
1、带宽资源耗尽。
2、每台计算机都浪费许多时间处理无关的广播数据。 R> 3、网络变得无法管理，任何错误都可能导致整个网络瘫痪。
4、每台计算机都可以监听到其他计算机的通信。
把网络分段可以解决这些问题，但同时你必须提供一种机制使不同网段的计算机可以互相通信，这通常涉及到在一些ISO网络协议层选择性地在网段间传送数据，我们来看一下网络协议层和路由器的位置。
我们可以看到，路由器位于网络层。本文假定网络层协议为IPv4，因为这是最流行的协议，其中涉及的概念与其他网络层协议是类似的。
一、路由与桥接
路由相对于2层的桥接/交换是高层的概念，不涉及网络的物理细节。在可路由的网络中，每台主机都有同样的网络层地址格式（如IP地址），而无论它是运行在以太网、令牌环、FDDI还是广域网。网络层地址通常由两部分构成：网络地址和主机地址。
网桥只能连接数据链路层相同（或类似）的网络，路由器则不同，它可以连接任意两种网络，只要主机使用的是相同的网络层协议。
路由器 <二>
二、连接网络层与数据链路层
网络层下面是数据链路层，为了它们可以互通，需要“粘合”协议。ARP（地址解析协议）用于把网络层(3层)地址映射到数据链路层(2层)地址，RARP(反向地址解析协议)则反之。
虽然ARP的定义与网络层协议无关，但它通常用于解析IP地址；最常见的数据链路层是以太网。因此下面的ARP和RARP的例子基于IP和以太网，但要注意这些概念对其他协议也是一样的。
1、地址解析协议
网络层地址是由网络管理员定义的抽象映射，它不去关心下层是哪种数据链路层协议。然而，网络接口只能根据2层地址来互相通信，2层地址通过ARP从3层地址得到。
并不是发送每个数据包都需要进行ARP请求，回应被缓存在本地的ARP表中，这样就减少了网络中的ARP包。ARP的维护比较容易，是一个比较简单的协议。
2、简介
如果接口A想给接口B发送数据，并且A只知道B的IP地址，它必须首先查找B的物理地址，它发送一个含有B的IP地址的ARP广播请求B的物理地址，接口B收到该广播后，向A回应其物理地址。
注意，虽然所有接口都收到了信息，但只有B回应该请求，这保证了回应的正确且避免了过期的信息。要注意的是，当A和B不在同一网段时，A只向下一跳的路由器发送ARP请求，而不是直接向B发送。 接收到ARP分组后处理，注意发送者的对被存到接收ARP请求的主机的本地ARP表中，一般A想与B通信时，B可能也需要与A通信。
3、IP地址冲突
ARP产生的问题中最常见的是IP地址的冲突，这是由于两个不同的主机IP地址相同产生的，在任何互联的网络中，IP地址必须是唯一的。这时会收到两个ARP回应，分别指出了不同的硬件地址，这是严重的错误，没有简单的解决办法。
为了避免出现这类错误，当接口A初试化时，它发送一个含有其IP地址的ARP请求，如果没有收到回应，A就假定该IP地址没有被使用。我们假定接口B已经使用了该IP地址，那么B就发送一个ARP回应，A就可以知道该IP地址已被使用，它就不能再使用该IP地址，而是返回错误信息。这样又产生一个问题，假设主机C含有该IP地址的映射，是映射到B的硬件地址的，它收到接口A的ARP广播后，更新其ARP表使之指向A的硬件地址。为了解决这个错误，B再次发送一个ARP请求广播，这样主机C又更新其ARP表再次指向B的硬件地址。这时网络的状态又回到先前的状态，有可能C已经向A发送了应该发送给B的IP分组，这很不幸，但是因为IP提供的是无保证的传输，所以不会产生大的问题。
4、管理ARP缓存表
ARP缓存表是对的列表，根据IP地址索引。该表可以用命令arp来管理，其语法包括：
向表中添加静态表项 -- arp -s
从表中删除表项 -- arp -d
显示表项 -- arp -a
ARP表中的动态表项(没有手动加入的表项)通常过一段时间自动删除，这段时间的长度由特定的TCP/IP实现决定。
5、静态ARP地址的使用
静态ARP地址的典型使用是设置独立的打印服务器，这些设备通常通过telnet来配置，但首先它们需要一个IP地址。没有明显的方法来把此信息告诉该设备，好象只能使用其串口来设置。但是，这需要找一个合适的终端和串行电缆，设置波特率、奇偶校验等，很不方便。
假设我们想给一个打印服务器设置IP地址P-IP，并且我们知道其硬件地址P-hard，在工作站A上创建一个静态ARP表项把P-IP映射到P-hard，这样，虽然打印服务器不知道自己的IP地址，但是所有指向P-IP的数据就将被送到P-hard。我们现在就可以telnet到P-IP并配置其IP地址了，然后再删除该静态ARP表项。
有时会在一个子网里配置打印服务器，而在另一个子网里使用它，方法与上面类似。假设其IP地址为P-IP，我们分配一个本网的临时IP地址T-IP给它，在工作站A上创建临时ARP表项把T-IP映射到P-hard，然后telnet到T-IP，给打印服务器配以IP地址P-IP。接下来就可以把它放到另一个子网里使用了，别忘了删除静态ARP表项。
6、代理ARP
可以通过使用代理ARP来避免在每台主机上配置路由表，在使用子网时这特别有用，但注意，不是所有的主机都能理解子网的。基本的思想是即使对于不在本子网的主机也发送ARP请求，ARP代理服务器（通常是网关）回应以网关的硬件地址。
代理ARP简化了主机的管理，但是增加了网络的通信量(不是很明显)，并且可能需要较大的ARP缓存，每个不在本网的IP地址都被创建一个表项，都映射到网关的硬件地址。在使用代理ARP的主机看来，世界就象一个大的没有路由器物理网络。
路由器 <三>
三、IP地址
在可路由的网络层协议中，协议地址必须含有两部分信息：网络地址和主机地址。存贮这种信息最明显的方法是用两个分离的域，这样我们必须考虑到两个域的最大长度，有些协议(如IPX)就是这样的，它在小型和中型的网络里可以工作的很好。
另一种方案是减少主机地址域的长度，如24位网络地址、8位主机地址，这样就有了较多的网段，但每个网段内的主机数目很少。这样一来，对于多于256个主机的网络，就必须分配多个网段，其问题是很多的网络给路由器造成了难以忍受的负担。
IP把网络地址和主机地址一起包装在一个32位的域里，有时主机地址部分很短，有时很长，这样可以有效利用地址空间，减少IP地址的长度，并且网络数目不算多。有两种将主机地址分离出来的方法：基于类的地址和无类别的地址。
1、主机和网关
主机和网关的区别常产生混淆，这是由于主机意义的转变。在RFC中(1122/3和1009)中定义为：
主机是连接到一个或多个网络的设备，它可以向任何一个网络发送和从其接收数据，但它从不把数据从一个网络传向另一个。
网关是连接到多于一个网络的设备，它选择性的把数据从一个网络转发到其它网络。
换句话说，过去主机和网关的概念被人工地区分开来，那时计算机没有足够的能力同时用作主机和网关。主机是用户工作的计算机，或是文件服务器等。现代的计算机的能力足以同时担当这两种角色，因此，现代的主机定义应该如此：
主机是连接到一个或多个网络的设备，它可以向任何一个网络发送和从其接收数据。它也可以作为网关，但这不是其唯一的目的。
路由器是专用的网关，其硬件经过特殊的设计使其能以极小的延迟转发大量的数据。然而，网关也可以是有多个网卡的标准的计算机，其操作系统的网络层有能力转发数据。由于专用的路由硬件较便宜，计算机用作网关已经很少见了，在只有一个拨号连接的小站点里，还可能使用计算机作为非专用的网关。
2、基于类的地址
最初设计IP时，地址根据第一个字节被分成几类：
0: 保留
1-126: A类(网络地址:1字节，主机地址:3字节)
127: 保留
128-191: B类(网络地址:2字节，主机地址:2字节)
192-223: C类(网络地址:3字节，主机地址:1字节)
224-255: 保留
3、子网划分
虽然基于类的地址系统对因特网服务提供商来说工作得很好，但它不能在一个网络内部做任何路由，其目的是使用第二层(桥接/交换)来导引网络中的数据。在大型的A类网络中，这就成了个特殊的问题，因为在大型网络中仅使用桥接/交换使其非常难以管理。在逻辑上其解决办法是把大网络分割成若干小的网络，但在基于类的地址系统中这是不可能的。为了解决这个问题，出现了一个新的域：子网掩码。子网掩码指出地址中哪些部分是网络地址，哪些是主机地址。在子网掩码中，二进制1表示网络地址位，二进制0表示主机地址位。传统的各类地址的子网掩码为：
A类：255.0.0.0
B类：255.255.0.0
C类：255.255.255.0
如果想把一个B类网络的地址用作C类大小的地址，可以使用掩码255.255.255.0。
用较长的子网掩码把一个网络分成多个网络就叫做划分子网。要注意的是，一些旧软件不支持子网，因为它们不理解子网掩码。例如UNIX的routed路由守护进程通常使用的路由协议是版本1的RIP，它是在子网掩码出现前设计的。
上面只介绍了三种子网掩码：255.0.0.0、255.255.0.0和255.255.255.0，它们是字节对齐的子网掩码。但是也可以在字节中间对其进行划分，这里不进行详细讲解，请参照相关的TCP/IP书籍。
子网使我们可以拥有新的规模的网络，包括很小的用于点到点连接的网络（如掩码255.255.255.252，30位的网络地址，2位的主机地址：两个主机的子网），或中型网络（如掩码255.255.240.0，20位网络地址，12位主机地址：4094个主机的子网）。
注意DNS被设计为只允许字节对齐的IP网络(在in-addr.arpa.域中)。
4、超网(supernetting)
超网是与子网类似的概念--IP地址根据子网掩码被分为独立的网络地址和主机地址。但是，与子网把大网络分成若干小网络相反，它是把一些小网络组合成一个大网络--超网。
假设现在有16个C类网络，从201.66.32.0到201.66.47.0，它们可以用子网掩码255.255.240.0统一表示为网络201.66.32.0。但是，并不是任意的地址组都可以这样做，例如16个C类网络201.66.71.0到201.66.86.0就不能形成一个统一的网络。不过这其实没关系，只要策略得当，总能找到合适的一组地址的。
5、可变长子网掩码(VLSM)
如果你想把你的网络分成多个不同大小的子网，可以使用可变长子网掩码，每个子网可以使用不同长度的子网掩码。例如：如果你按部门划分网络，一些网络的掩码可以为255.255.255.0(多数部门)，其它的可为255.255.252.0(较大的部门)。
6、无类别地址(CIDR)
因特网上的主机数量增长超出了原先的设想，虽然还远没达到232，但地址已经出现匮乏。1993年发表的RFC1519--无类别域间路由CIDR(Classless Inter-Domain Routing)--是一个尝试解决此问题的方法。CIDR试图延长IPv4的寿命，与128位地址的IPv6不同，它并不能最终解决地址空间的耗尽，但IPv6的实现是个庞大的任务，因特网目前还没有做好准备。CIDR给了我们缓冲的准备时间。
基于类的地址系统工作的不错，它在有效的地址使用和少量的网络数目间做出了较好的折衷。但是随着因特网意想不到的成长出现了两个主要的问题：
已分配的网络数目的增长使路由表大得难以管理，相当程度上降低了路由器的处理速度。
僵化的地址分配方案使很多地址被浪费，尤其是B类地址十分匮乏。
为了解决第二个问题，可以分配多个较小的网络，例如，用多个C类网络而不是一个B类网络。虽然这样能够很有效地分配地址，但是更加剧了路由表的膨胀（第一个问题）。
在CIDR中，地址根据网络拓扑来分配。连续的一组网络地址可以被分配给一个服务提供商，使整组地址作为一个网络地址（很可能使用超网技术）。例如：一个服务提供商被分配以256个C类地址，从213.79.0.0到213.79.255.0，服务提供商给每个用户分配一个C类地址，但服务提供商外部的路由表只通过一个表项--掩码为255.255.0.0的网络213.79.0.0--来分辨这些路由。
这种方法明显减少了路由表的增长，CIDR RFC的作者估计，如果90%的服务提供商使用了CIDR，路由表将以每3年54%的速度增长，而如果没有使用CIDR，则增长速度为776%。如果可以重新组织现有的地址，则因特网骨干上的路由器广播的路由数量将大大减少。但这实际是不可行的，因为将带来巨大的管理负担。
路由器 <四>
四、路由
1、路由表
如果一个主机有多个网络接口，当向一个特定的IP地址发送分组时，它怎样决定使用哪个接口呢？答案就在路由表中。来看下面的例子：
目的 子网掩码 网关 标志 接口
201.66.37.0 255.255.255.0 201.66.37.74 U eth0
201.66.39.0 255.255.255.0 201.66.39.21 U eth1
主机将所有目的地为网络201.66.37.0内主机(201.66.37.1-201.66.37.254)的数据通过接口eth0(IP地址为201.66.37.74)发送，所有目的地为网络201.66.39.0内主机的数据通过接口eth1(IP地址为201.66.39.21)发送。标志U表示该路由状态为“up”（即激活状态）。对于直接连接的网络，一些软件并不象上例中一样给出接口的IP地址，而只列出接口。
此例只涉及了直接连接的主机，那么目的主机在远程网络中如何呢？如果你通过IP地址为201.66.37.254的网关连接到网络73.0.0.0，那么你可以在路由表中增加这样一项：
目的
掩码
网关
标志
接口
73.0.0.0
255.0.0.0
201.66.37.254
UG
eth0
此项告诉主机所有目的地为网络73.0.0.0内主机的分组通过201.66.37.254路由过去。标志G(gateway)表示此项把分组导向外部网关。类似的，也可以定义通过网关到达特定主机的路由，增加标志H(host)：
目的 掩码 网关 标志 接口
91.32.74.21 255.255.255.255 201.66.37.254 UGH eth0
下面是路由表的基础，除了特殊表项之外：
目的 掩码 网关 标志 接口
127.0.0.1 255.255.255.255 127.0.
Pix515E防火墙配置
pixfirewall>en
pixfirewall#conf ter
pixfirewal(config)#
pixfirewal (config)#interface ethernet0 auto 激活e0口
pixfirewal (config)#interface ethernet1 auto 激活e1 口
pixfirewal (config)#nameif ethernet0 outside security0 outside是指外部接口
pixfirewal (config)#nameif ethernet1 inside security100 inside是指内部接口
pixfirewal (config)#ip address inside 10.11.45.1 255.255.255.0 配置内网口IP地
pixfirewal (config)#ip address outside218.52.57.82 255.255.248.0 配置外网 口IP 地址
pixfirewal (config)#access-list 100 permit any any 建立访问控制列表 定义都能访问
pixfirewal (config)# access-group acl 100 in interface outside 在外部网络接口上绑定名称为100的访问控制列表。
pixfirewal (config)# nat (inside) 1 10.11.45.0 255.255.255.0 表示把所有网络地址为10.11.45.0，子网掩码为255.255.255.0的主机地址定义为1号NAT地址组
pixfirewal (config)# global (outside) 1 218.52.57.83-218.52.57.86 netmask 255.255.255.0 将上述nat命令所定的内部IP地址组转换成218.52.57.83-218.12.47.86的外部地址池中的外部IP地址
pixfirewal (config)#static (inside,outside) 218.12.47.86 192.168.0.2 将内网地址192.168.0.2 映射到218.12.47.86 这个外网地址上面
pixfirewal (config)#conduit permit tcp host 218.52.57.86 eq www any 建立一个通道允许外网访问此外网的www 也就是80 端口
pixfirewal (config)#route outside 0.0.0.0 0.0.0.0 218.52.57.81
pixfirewal (config)#telnet 192.168.0.2 255.255.255.0 inside 允许内网地192.168.0.2通过telnet 访问pix 外网是不予允许telnet 的
pixfirewal (config)#enable password ******** 进入特权模式密码
pixfirewal (config)#password ****** telnet 密码
pixfirewal (config)#conduit permit icmp any any 允许icmp 也就是ping 包通过
pixfirewal (config)# write memory
2621路由器配置
route> en
rouote# conf ter
route(conf)#int f0/0
route(conf –if)#ip add 10.11.45.2 255.255.255.0
route(conf-if)#no sh
route(conf-if)#ip nat outside
route(conf-if)#int f0/1
route(conf-if)#no sh
route(conf-if)#ip nat inside
route(conf-if)#inf f0/1.192 进入子接口
route(conf-subif)#encapsulation dot1q 2 配置封装类型和vlan 2为vlan的id号
route(conf-subif)ip add 192.168.0.1 255.255.255.0 配置ip地址
route(conf-if)#inf f0/1.172
route(conf-subif)#encapsulation dot1q 3
route(conf-subif)#ip add 172.16.0.1 255.255.255.0
默认情况下各vlan之间是能相互访问的
route(conf)#access-list 100 deny 192.168.0.0 0.0.0.255
定义只能192.168.0.0 访问自己网段
route(conf)#access-list 100 permit ip any any
允许其他网段时间相互访问
route(conf)#access 100 permit ip host 192.168.0.1 any
允许任何主机通过192.168.0.1访问外网
route(conf)#ip route 0.0.0.0 0.0.0.0 10.11.45.1
route(conf)#access-list 1 permit any
route(conf)#ip nat pool rjt 10.11.46.2 10.11.45.254 netmask 255.255.255.0
route(conf)#ip nat inside source list 1 pool rjt overload
route(conf)# ip nat inside source ststic 192.168.0.2 218.12.47.83 把内网地址映射到外网
route(conf)#copy run start
路由器交换机用户名.秘密设置
route(conf)#host name #####
route(conf)#password ******
route(conf)#enable password ******
路由器用telnet
route(conf)#line vty 0 4
#login
route(conf)#password ******
route(conf-if)#ip add 192.168.1.1 255.255.255.0 se********* 为路由器某一端口配置第二个ip地址
路由器信息无法保存
conf-register 0x2102
end
write
reload
2950 交换机配置
switch> en 进入特权模式
switch# conf ter 进入配置模式
switch（conf）#interface vlan 1
switch（conf）#ip add 192.168.100.1 255.255.255.0 配置交换机ip地址
switch（vlan）# vlan datebase 进入vlan配置模式
switch（vlan）#vtp domain domain name
建立vtp域
switch（vlan）#vtp server 定义vtp类型
switch（vlan）#vlan vlan-id vlan-name 建立vlan并命名
switch（vlan）#exit
switch（conf）#interface switch-interface 进入端口配置模式
switch（conf-if）#switchport mode access 定义端口类型
switch（conf-if）#switchport access vlan vlan-id 将端口加入到vlan 中
switch（conf-if）#interface switch-interface
switch（conf-if）#switchport mode mode 配置trunk 模式
switch(conf)#enable password ******
交换机配置telnet
switch(conf)#line vty 0 4 启用远程终端
#login
switch(conf)#password ******
相信大家都还记得一个经典的漫画，一条狗在计算机面前一边打字，一边对另一条狗说：“在互联网上，没有人知道你是一个人还是一条狗！”这个漫画说明了在互联网上很难识别身份。 身份认证是指计算机及网络系统确认操作者身份的过程。计算机系统和计算机网络是一个虚拟的数字世界。在这个数字世界中，一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。而我们生活的现实世界是一个真实的物理世界，每个人都拥有独一无二的物理身份。如何保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应，就成为一个很重要的问题。身份认证技术的诞生就是为了解决这个问题。 如何通过技术手段保证用户的物理身份与数字身份相对应呢？在真实世界中，验证一个人的身份主要通过三种方式判定，一是根据你所知道的信息来证明你的身份（what you know），假设某些信息只有某个人知道，比如暗号等，通过询问这个信息就可以确认这个人的身份；二是根据你所拥有的东西来证明你的身份(what you have) ，假设某一个东西只有某个人有，比如印章等，通过出示这个东西也可以确认真个人的身份；三是直接根据你独一无二的身体特征来证明你的身份(who you are)，比如指纹、面貌等。 所谓“没有不透风的墙”，你所知道的信息有可能被泄露或者还有其他人知道，杨子荣就是掌握了“天王盖地虎，宝塔镇河妖”的接头暗号成功的伪造了自己的身份。而仅凭借一个人拥有的物品判断也是不可靠的，这个物品有可能丢失，也有可能被人盗取，从而伪造这个人的身份。只有人的身体特征才是独一无二，不可伪造的，然而这需要我们对这个特征具有可靠的识别能力。 一、身份认证技术简介 信息系统中，对用户的身份认证手段也大体可以分为这三种，仅通过一个条件的符合来证明一个人的身份称之为单因子认证，由于仅使用一种条件判断用户的身份容易被仿冒，可以通过组合两种不同条件来证明一个人的身份，称之为双因子认证。 身份认证技术从是否使用硬件可以分为软件认证和硬件认证，从认证需要验证的条件来看，可以分为单因子认证和双因子认证。从认证信息来看，可以分为静态认证和动态认证。身份认证技术的发展，经历了从软件认证到硬件认证，从单因子认证到双因子认证，从静态认证到动态认证的过程。现在计算机及网络系统中常用的身份认证方式主要有以下几种： 1、用户名/密码方式 用户名/密码是最简单也是最常用的身份认证方法，它是基于“what you know”的验证手段。每个用户的密码是由这个用户自己设定的，只有他自己才知道，因此只要能够正确输入密码，计算机就认为他就是这个用户。然而实际上，由于许多用户为了防止忘记密码，经常采用诸如自己或家人的生日、电话号码等容易被他人猜测到的有意义的字符串作为密码，或者把密码抄在一个自己认为安全的地方，这都存在着许多安全隐患，极易造成密码泄露。即使能保证用户密码不被泄漏，由于密码是静态的数据，并且在验证过程中需要在计算机内存中和网络中传输，而每次验证过程使用的验证信息都是相同的，很容易驻留在计算机内存中的木马程序或网络中的监听设备截获。因此用户名/密码方式一种是极不安全的身份认证方式。可以说基本上没有任何安全性可言。 2、IC卡认证 IC卡是一种内置集成电路的卡片，卡片中存有与用户身份相关的数据， IC卡由专门的厂商通过专门的设备生产，可以认为是不可复制的硬件。IC卡由合法用户随身携带，登录时必须将IC卡插入专用的读卡器读取其中的信息，以验证用户的身份。IC卡认证是基于“what you have”的手段，通过IC卡硬件不可复制来保证用户身份不会被仿冒。然而由于每次从IC卡中读取的数据还是静态的，通过内存扫描或网络监听等技术还是很容易截取到用户的身份验证信息。因此，静态验证的方式还是存在根本的安全隐患。 3、动态口令 动态口令技术是一种让用户的密码按照时间或使用次数不断动态变化，每个密码只使用一次的技术。它采用一种称之为动态令牌的专用硬件，内置电源、密码生成芯片和显示屏，密码生成芯片运行专门的密码算法，根据当前时间或使用次数生成当前密码并显示在显示屏上。认证服务器采用相同的算法计算当前的有效密码。用户使用时只需要将动态令牌上显示的当前密码输入客户端计算机，即可实现身份的确认。由于每次使用的密码必须由动态令牌来产生，只有合法用户才持有该硬件，所以只要密码验证通过就可以认为该用户的身份是可靠的。而用户每次使用的密码都不相同，即使黑客截获了一次密码，也无法利用这个密码来仿冒合法用户的身份。 动态口令技术采用一次一密的方法，有效地保证了用户身份的安全性。但是如果客户端硬件与服务器端程序的时间或次数不能保持良好的同步，就可能发生合法用户无法登陆的问题。并且用户每次登录时还需要通过键盘输入一长串无规律的密码，一旦看错或输错就要重新来过，用户的使用非常不方便。 4、生物特征认证 生物特征认证是指采用每个人独一无二的生物特征来验证用户身份的技术。常见的有指纹识别、虹膜识别等。从理论上说，生物特征认证是最可靠的身份认证方式，因为它直接使用人的物理特征来表示每一个人的数字身份，不同的人具有相同生物特征的可能性可以忽略不计，因此几乎不可能被仿冒。 生物特征认证基于生物特征识别技术，受到现在的生物特征识别技术成熟度的影响，采用生物特征认证还具有较大的局限性。首先，生物特征识别的准确性和稳定性还有待提高，特别是如果用户身体受到伤病或污渍的影响，往往导致无法正常识别，造成合法用户无法登陆的情况。其次，由于研发投入较大和产量较小的原因，生物特征认证系统的成本非常高，目前只适合于一些安全性要求非常高的场合如银行、部队等使用，还无法做到大面积推广。 5、USB Key认证 基于USB Key的身份认证方式是近几年发展起来的一种方便、安全、经济的身份认证技术，它采用软硬件相结合一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。USB Key是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USB Key内置的密码学算法实现对用户身份的认证。基于USB Key身份认证系统主要有两种应用模式：一是基于冲击/相应的认证模式，二是基于PKI体系的认证模式。 二、身份认证解决方案 下面以北京飞天公司的ePass1000为例，说明使用USB Key进行身份认证的过程。ePass1000内置单向散列算法（MD5），预先在ePass1000和服务器中存储中一个证明用户身份的密钥（共享秘密），当需要在网络上验证用户身份时，先由客户端向服务器发出一个验证请求。服务器接到此请求后生成一个随机数并通过网络传输给客户端（此为冲击）。客户端将收到的随机数提供给插在客户端USB接口上的ePass1000，由ePass1000使用该随机数与存储在ePass1000中的密钥进行带密钥的单向散列运算（HMAC-MD5）并得到一个结果作为认证证据传给服务器（此为响应）。与此同时，服务器也使用该随机数与存储在服务器数据库中的该客户密钥进行HMAC-MD5运算，如果服务器的运算结果与客户端传回的响应结果相同，则认为客户端是一个合法用户。如下图所示：
图中“R”代表服务器提供的随机数，“Key”代表密钥，“X”代表随机数和密钥经过HMAC-MD5运算后的结果。通过网络传输的只有随机数“R”和运算结果“X”，用户密钥“Key”既不在网络上传输也不在客户端电脑内存中出现，网络上的黑客和客户端电脑中的木马程序都无法得到用户的密钥。由于每次认证过程使用的随机数“R”和运算结果“X”都不一样，即使在网络传输的过程中认证数据黑客被截获，也无法逆推获得密钥。这就从根本上保证了用户身份无法被仿冒。
冲击响应模式可以保证用户身份不被仿冒，却无法保护用户数据在网络传输过程中的安全。而基于PKI（Public Key Infrastructure 公钥基础设施）构架的数字证书认证方式可以有效保证用户的身份安全和数据安全。数字证书是由可信任的第三方认证机构颁发的一组包含用户身份信息（密钥）的数据结构，PKI体系通过采用密码学算法构建了一套完善的流程和保证了只有数字证书的持有人的身份和数据安全。然而，数字证书本身也是一种数字身份，还是存在被复制的危险，于是，USB Key作为数字证书存储介质称为实现PKI体系安全的保障。使用USB Key可以保证用户数字证书无法被复制，所有密钥运算由USB Key实现，用户密钥不在计算机内存出现也不在网络中传播。只有USB Key的持有人才能够对数字证书进行操作。
由于USB Key具有安全可靠，便于携带、使用方便、成本低廉的优点，加上PKI体系完善的数据保护机制，使用USB Key存储数字证书的认证方式已经成为目前以及未来最具有前景的主要认证模式。
未来，身份认证技术将朝着更加安全、易用，多种技术手段相结合的方向发展。USB Key会成为身份认证硬件的主要发展方向，USB Key的运算能力及易用性也将不断提高。北京飞天诚信科技有限公司本月就推出了国内第一个内置32位智能卡芯片的无驱型USB Key——ePass3000就代表了这个方向。生成RSA密钥对运算的平均时间是USB Key性能的一项重要指标，目前市场上的8位USB Key生成RSA密钥对平均时间普遍在10-15秒左右，而ePass3000生成RSA密钥对平均时间仅为4秒左右。ePass3000的出现，标志着USB Key的运算能力提高到了一个新的量级。
每个USB Key硬件都具有用户PIN码保护，以实现双因子认证功能，未来，随着指纹识别技术的成熟和成本降低，USB Key 将会使用指纹识别来保证硬件本身的安全性。
现在信息安全越来越受到人们的重视。建立信息安全体系的目的就是要保证存储在计算机及网络系统中的数据只能够被有权操作的人访问，所有未被授权的人无法访问到这些数据。这里说的是对“人”的权限的控制，即对操作者物理身份的权限控制。不论安全性要求多高的数据，它存在就必然要有相对应的授权人可以访问它，否则，保存一个任何人都无权访问的数据有什么意义？然而，如果没有有效的身份认证手段，这个有权访问者的身份就很容易被伪造，那么，不论投入再大的资金，建立的再坚固安全防范体系都形同虚设。就好像我们建造了一座非常结实的保险库，安装了非常坚固的大门，却没有安装门锁一样。所以身份认证是整个信息安全体系的基础，是信息安全的第一道关隘。
大家熟悉的如防火墙、入侵检测、VPN、安全网关、安全目录等，与身份认证系统有什么区别和联系呢？我们从这些安全产品实现的功能来分析就明白了：防火墙保证了未经授权的用户无法访问相应的端口或使用相应的协议；入侵检测系统能够发现未经授权用户攻击系统的企图；VPN在公共网络上建立一个经过加密的虚拟的专用通道供经过授权的用户使用；安全网关保证了用户无法进入未经授权的网段，安全目录保证了授权用户能够对存储在系统中的资源迅速定位和访问。这些安全产品实际上都是针对用户数字身份的权限管理，他们解决了哪个数字身份对应能干什么的问题。而身份认证解决了用户的物理身份和数字身份相对应的问题，给他们提供了权限管理的依据
如果把信息安全体系看作一个木桶，那么这些安全产品就是组成木桶的一块块木板，则整个系统的安全性取决于最短的一块木板。这些模块在不同的层次上阻止了未经授权的用户访问系统，这些授权的对象都是用户的数字身份。而身份认证模块就相当于木桶的桶底，由它来保证物理身份和数字身份的统一，如果桶底是漏的，那桶壁上的木板再长也没有用。因此，身份认证是整个信息安全体系最基础的环节，身份安全是信息安全的基础。
系统方面要解决的问题： 1.设置账户的安全策略，提高系统的安全系数。 2.关闭隐藏共享，防止攻击者利用隐藏共享入侵系统。 3.设置正确的账户权限，防止本地提升权限。 4.修补系统的漏洞，保证系统最基本的安全。 设置账户的安全策略 安全系数：★★★★ 操作难度：★★ 按照正常的步骤安装系统，一般安装到C盘。其中有3点要注意： 1.断网安装服务器。 2.撤除Guest账号，除了administrator 账号外还要建立一个POWER USER组账号用于日常的使用。 3.为了防止密码被猜解，对于密码设置，要求尽量复杂，密码长度要超过8位。这样做的目的是防范对管理员账号的暴力破解。 游戏GM 账号和密码要和系统账号密码不相同，防止黑客利用社会工程学猜解密码。在本地安全设置里面，你可以进行设置将错误登录4到6次的账号，不可以在几十分钟内再次登录系统。 删除默认共享 安全系数：★★★★★ 操作难度：★★★ Windows 2000 默认安装后，为了安全，我们要修改一些默认设置。首先是关闭电脑的默认共享。每次电脑启动在默认情况下打开ADMIN$,IPC$,C$,D$,E$,F$这些默认共享，虽然这些共享是为了远程管理提供方便的，但是，作为游戏服务器打开了远程共享却是给入侵者提供方便的。 Windows 2000专业版和Windows XP撤除共享的方法： 打开注册表编辑器，展开HKEY_LOCAL_MACHINESY STEMCurrentControlSetLanmanworkstationparameters，在右侧窗口中创建一个名为AutoShareWks的双字节值，将其值设置为0。 Windows 2000 Server和Windows 2003 Server撤除共享的方法： 打开注册表编辑器，展开HKEY_LOCAL_MACHINESY STEMCurrentControlSetServiceslanmanserverparameters，设置注册项为"AutoShareServer"=dword:00000000这样就可以彻底关闭“默认共享”。然后把这个关闭共享的脚本放到启动组里。 on error resume next set shell=wscript.createobject("wscript.shell") shell.run "cmd.exe /c net share ipc$Content$nbsp;/del",false,false shell.run "cmd.exe /c net share admin$Content$nbsp;/del",false,false shell.run "cmd.exe /c net share C$Content$nbsp;/del",false,false shell.run "cmd.exe /c net share D$Content$nbsp;/del",false,false 具体设置时有几个盘就删除几个默认共享。 关闭不需要的服务。在管理工具中选择“服务”，把“ALERTER”服务、“FAX SERVICE”服务、“Messenger”服务、“Telnet”服务设置为“禁用”。这时要注意一点，每一个服务后面都有服务的说明，可以先看看服务的说明，再去关闭服务，仔细查看关和开的服务，做好备份，以备将来服务器出问题时进行比较。 系统权限设置 安全系数：★★★ 操作难度：★★★ 在Windows 2000 Server中，提供了非常好的文件访问控制机制，即NTFS。对于很多地方目录，你可以只给“只读”属性。要是加入了Web服务器，那更加要注意对于可上传文件的目录的权限控制，对于可以上传的文件的目录的权限控制要特别注意。一定要控制不可以“执行”的权限。另外对数据库所在的目录也要控制为不可以“执行”。 NTFS还有一个好用的功能，支持文件的加密。对于重要的数据，或者文档，可以使用这个功能，这样除了管理员外，其他的用户都不可以读取（例如，后面将要安装的传奇游戏的数据库，就可以使用这样的方法加密）。 注意：使用这个功能后，如果你的系统崩溃，也就意味着加密的数据（例如传奇的数据库）没有人可以读取，所以在做加密的时候要注意备份。 重要的数据还有SAM，可以控制不允许除Administrator和POWER USERS 组外的成员访问，这样可以避免某种程度上的非法读取。重要的日志文件，例如c:/winnt/system32/logfiles/的这个目录的权限，千万不可以有撤除的权限。最多也只给他只许读取和写入。例如：非系统盘的Everyone账号的权限可以去掉，只给管理员一个账号权限。在系统盘，不可以给Everyone等其他次要账号“ 写 ”的权限，可以在适当地方给“读”的权限。还有其他的文件权限设置，例如C：/WINNT/SYSTEM32下的CMD.exe ，format.com（格盘）、 ftp.exe 和 tftp.exe（文件传输）。不给SYSTEM（系统权限）对CMD的任何权限。只给管理员权限。也可以设置为只读属性。 加固系统安全体系 安全系数：★★★★★ 操作难度：★★ 为了防止病毒和黑客的入侵，我们要给Windows 2000 Server系统安装 SP4 的系统补丁，安装完成后，可不要以为就万事大吉了。Windows 好多的系统漏洞是基于 SP4 之后，例如震荡波病毒，所以，我们还需要去微软主页下载新的漏洞补丁。 点击“开始”选择“WINDOWS UPDATA”就可以进入微软的主页（http://windowsupdate.microsoft.com/），在这里可以给自己电脑一次全面的安全扫描。不过，先不要急着连网，因为这个时候，自己的机器还是一个裸机。 安装第3方软件 安全系数：★★★★★ 操作难度：★★ 我们还需要一个可靠的网络防火墙和病毒防火墙，我推荐使用天网防火墙和诺顿杀毒软件。要是你还觉得不够，还可以安装入侵检测，防范DDOS攻击防火墙等。如果你是远程登录可以开3389但是要注意传输加密，防止被Sniffer（嗅探） 攻击。 不过只是一个小的服务器，有了杀毒软件和防火墙一般就就够了。去微软主页升级补丁库，同时也要记住升级杀毒和防火墙的程序。现在已经建好一个服务器了。下面，我们就来建立一个游戏服务器。 游戏服务上需要解决的问题： 1. 设置正确的GM安全策略，保证游戏的正常运行。 2. 服务器分开设置，防止系统服务器被入侵影响游戏数据。 GM安全设置 安全系数：★★★★★ 操作难度：★★★★ 游戏程序当然要是安装最新的传奇私服 程序。随时关注官方最新补丁，GM账号和密码不要太简单，GM设置命令不要默认。这样，如果账号被窃取，不知道命令仍然刷不起装备。对于GM命令的修改不熟悉的，可以到BAIDU查找“GM修改器”，用工具修改。游戏日志不要默认，一般目录是安置盘符 mirservergameloglogDateSreLogBase下。注意，管理员要定期查看日志。日志记录一般默认是10分钟一次，管理员可以通过日志了解最新的服务器情况。 一般在网络上下载的传奇服务端，都会有后门，默认安装后，会开放6000端口，你可以在 CMD 下输入“Telnet 服务器IP 6000”用于查看该端口是否开放。如果没有开放，就会提示“无法打开到主机的连接 在端口6000 ：连接失败”。也许，你会问开了6000端口有什么危险吧？如果，你的服务器开放了6000端口，可以本地提交到服务器并且直接添加游戏的GM。所以应使用网络防火墙或者在系统中关闭6000端口。 Web服务器和游戏服务器分开 安全系数：★★★★ 操作难度：★★★ 现在网上传奇私服、游戏服务器和Web服务器都是建立在一起的。这样，Web服务器被入侵后，将会危及游戏服务器。现在好多传奇私服的网站都是从网上下载的游戏整站程序，在架设一个动网论坛，而且论坛的数据库默认，或者有注入漏洞、上传漏洞等等。让黑客可以轻松入侵Web服务器，再通过权限提升或别的方法提升权限，这样就可以轻松修改游戏的服务器的游戏设置。 所以，我在这里建议，如果要建私服游戏的网站，可以购买空间。或者在另外一个IP段再架设一个Web服务器。如果，一定要和游戏服务器建立到一起，我建立使用Html语言建站。 到这里，我们的相对安全的服务器就已经安装完成了。我再说一下题外话，不要在服务器安置QQ，用游戏服务器来浏览网页。不要乱接QQ文件和邮件附件。同时，我们可以在服务器上安装Sniffer或者流量监视软件，第一时间发现出现的问题。好了，就到这里了。相信，看到这里，你也可以建设一个属于自己的安全的游戏服务器，还犹豫什么呢？赶快行动吧。
当前的网络应用呈出不穷，基于应用的安全威胁已成为当前及未来的主要安全问题，如何部署动态的安全体系实现全方位的安全保护已成为当前网络应用商最迫切的任务。计算机病毒一直是计算机安全的主要威胁。在Internet上传播的新型蠕虫病毒，通过E-Mail传播的病毒，增加了这种威胁的程度。病毒的种类和传染方式也在增加，国际空间的病毒总数已达几万甚至更多。这样势必要对整个网络进行全面的病毒防护，病毒和黑客程序之间已经没有界限了，而且从目前网络安全事件来看，防网络病毒显得尤为重要。 在网络边界处进行病毒扫描的好处是在数据进入内部网络之前清除威胁，同时统一配置、管理、升级更新，使系统管理员从繁重的工作中解脱出来，在传统的方式下，管理员必须检查每一个主机的病毒软件是否更新，如果有一个主机被感染，整个网络都会面临崩溃的危险。 传统的病毒解决方案完全基于软件实现，依靠主机平台进行处理。要想以网络网关所需要的性能处理病毒是非常困难的，在网关处需要给数据流线速的处理以使其不成为性能瓶颈，这就需要先进的硬件技术实现。 易尚网关防火墙采用业界领先的利用硬件加速的ASIC技术进行病毒扫描的产品，保证了网络的性能，这对于象HTTP这种实时应用是非常重要的。 防火墙设置在网络边界处提供病毒和蠕虫防御，在web流量 (HTTP),FTP流量，email 流量(SMTP, POP3, 和IMAP)和安全域之间对文件进行信息检查。易尚防火墙100% 检测到WildList中列举的所有蠕虫／病毒， 检测PKZip格式压缩文件中的病毒和电子邮件附件中的病毒，并对相关动作进行日志记录。病毒扫描同样在所有的VPN解密数据流根据协议进行扫描，网关-网关和客户-网关病毒保护在通道终结后进行检测。由于是基于网关的防病毒，它比基于主机的防病毒具有很多优势，尤其在网络攻击事件中可以有效防御任何危险病毒的入侵和泛滥, 阻挡蠕虫病毒攻击。 建立网关防病毒的网络可以对进出网络的数据进行病毒查杀，易尚防火墙部署方式如图所示：
几乎所有企业对于网络安全的重视程度一下子提高了，纷纷采购防火墙等设备希望堵住来自Internet的不安全因素。然而，Intranet内部的攻击和入侵却依然猖狂。事实证明，公司内部的不安全因素远比外部的危害更恐怖。
大多企业重视提高企业网的边界安全，暂且不提它们在这方面的投资多少，但是大多数企业网络的核心内网还是非常脆弱的。企业也对内部网络实施了相应保护措施，如:安装动辄数万甚至数十万的网络防火墙、入侵检测软件等，并希望以此实现内网与Internet的安全隔离，然而，情况并非如此!企业中经常会有人私自以Modem拨号方式、手机或无线网卡等方式上网，而这些机器通常又置于企业内网中，这种情况的存在给企业网络带来了巨大的潜在威胁，从某种意义来讲，企业耗费巨资配备的防火墙已失去意义。这种接入方式的存在，极有可能使得黑客绕过防火墙而在企业毫不知情的情况下侵入内部网络，从而造成敏感数据泄密、传播病毒等严重后果。实践证明，很多成功防范企业网边界安全的技术对保护企业内网却没有效用。于是网络维护者开始大规模致力于增强内网的防卫能力。
下面给出了应对企业内网安全挑战的10种策略。这10种策略即是内网的防御策略，同时也是一个提高大型企业网络安全的策略。
1、注意内网安全与网络边界安全的不同
内网安全的威胁不同于网络边界的威胁。网络边界安全技术防范来自Internet上的攻击，主要是防范来自公共的网络服务器如HTTP或SMTP的攻击。网络边界防范(如边界防火墙系统等)减小了资深黑客仅仅只需接入互联网、写程序就可访问企业网的几率。内网安全威胁主要源于企业内部。恶性的黑客攻击事件一般都会先控制局域网络内部的一台Server，然后以此为基地，对Internet上其他主机发起恶性攻击。因此，应在边界展开黑客防护措施，同时建立并加强内网防范策略。
2、限制VPN的访问
虚拟专用网(VPN)用户的访问对内网的安全造成了巨大的威胁。因为它们将弱化的桌面操作系统置于企业防火墙的防护之外。很明显VPN用户是可以访问企业内网的。因此要避免给每一位VPN用户访问内网的全部权限。这样可以利用登录控制权限列表来限制VPN用户的登录权限的级别，即只需赋予他们所需要的访问权限级别即可，如访问邮件服务器或其他可选择的网络资源的权限。
3、为合作企业网建立内网型的边界防护
合作企业网也是造成内网安全问题的一大原因。例如安全管理员虽然知道怎样利用实际技术来完固防火墙，保护MS-SQL，但是Slammer蠕虫仍能侵入内网，这就是因为企业给了他们的合作伙伴进入内部资源的访问权限。由此，既然不能控制合作者的网络安全策略和活动，那么就应该为每一个合作企业创建一个DMZ，并将他们所需要访问的资源放置在相应的DMZ中，不允许他们对内网其他资源的访问。
4、自动跟踪的安全策略
智能的自动执行实时跟踪的安全策略是有效地实现网络安全实践的关键。它带来了商业活动中一大改革，极大的超过了手动安全策略的功效。商业活动的现状需要企业利用一种自动检测方法来探测商业活动中的各种变更，因此，安全策略也必须与相适应。例如实时跟踪企业员工的雇佣和解雇、实时跟踪网络利用情况并记录与该计算机对话的文件服务器。总之，要做到确保每天的所有的活动都遵循安全策略。
5、关掉无用的网络服务器
大型企业网可能同时支持四到五个服务器传送e-mail，有的企业网还会出现几十个其他服务器监视SMTP端口的情况。这些主机中很可能有潜在的邮件服务器的攻击点。因此要逐个中断网络服务器来进行审查。若一个程序(或程序中的逻辑单元)作为一个window文件服务器在运行但是又不具有文件服务器作用的，关掉该文件的共享协议。
6、首先保护重要资源
若一个内网上连了千万台(例如30000台)机子，那么要期望保持每一台主机都处于锁定状态和补丁状态是非常不现实的。大型企业网的安全考虑一般都有择优问题。这样，首先要对服务器做效益分析评估，然后对内网的每一台网络服务器进行检查、分类、修补和强化工作。必定找出重要的网络服务器(例如实时跟踪客户的服务器)并对他们进行限制管理。这样就能迅速准确地确定企业最重要的资产，并做好在内网的定位和权限限制工作。
7、建立可靠的无线访问
审查网络，为实现无线访问建立基础。排除无意义的无线访问点，确保无线网络访问的强制性和可利用性，并提供安全的无线访问接口。将访问点置于边界防火墙之外，并允许用户通过VPN技术进行访问。
8、建立安全过客访问
对于过客不必给予其公开访问内网的权限。许多安全技术人员执行的“内部无Internet访问”的策略，使得员工给客户一些非法的访问权限，导致了内网实时跟踪的困难。因此，须在边界防火墙之外建立过客访问网络块。
9、创建虚拟边界防护
主机是被攻击的主要对象。与其努力使所有主机不遭攻击(这是不可能的)，还不如在如何使攻击者无法通过受攻击的主机来攻击内网方面努力。于是必须解决企业网络的使用和在企业经营范围建立虚拟边界防护这个问题。这样，如果一个市场用户的客户机被侵入了，攻击者也不会由此而进入到公司的R&D。因此要实现公司R&D与市场之间的访问权限控制。大家都知道怎样建立互联网与内网之间的边界防火墙防护，现在也应该意识到建立网上不同商业用户群之间的边界防护。
10、可靠的安全决策
网络用户也存在着安全隐患。有的用户或许对网络安全知识非常欠缺，例如不知道RADIUS和TACACS之间的不同，或不知道代理网关和分组过滤防火墙之间的不同等等，但是他们作为公司的合作者，也是网络的使用者。因此企业网就要让这些用户也容易使用，这样才能引导他们自动的响应网络安全策略。
另外，在技术上，采用安全交换机、重要数据的备份、使用代理网关、确保操作系统的安全、使用主机防护系统和入侵检测系统等等措施也不可缺少 .