NPS网上支付系统（Network Payment System）以提供给全世界的商家进行电子商务的支付平台，为各行业各地区的商家提供一个更方便进行网上交易的一个工具，是连接消费者、商家 和金融机构的桥梁，实现了Internet上的支付、资金清算、查询统计等功能。实行跨行跨地域、提供国内国外多种银行卡在网上进行交易和网上支付服务。商家及消费者通过使用NPS网上支付系统的结算方式真正地实现了缩短网上交易支付周期，减少支付环节，提高工作效率。通过使用我们的支付系统，我们将为广大的商家、企业提供了更广阔的业务发展前景。
该系统具有安全、可靠、交易速度快、容量大、使用方便、易于扩充等特点。NPS系统为消费者网上购物提供了安全、便利的支付平台，还为商家开展B2B、B2C、C2C交易等电子商务服务和其它增值服务提供支持，使购买到完成付费的过程变得完整，通过提供完善的支付功能，提高互联网电子商务的经济效益。同时作为一个网上支付平台，以强大的中国市场做背景，与国内的商业银行合作的同时还与国际性的发卡组织如：VISA、MASTER、JCB、AE等合作，为广大的外国商家和中国国内的消费者中起到一个桥梁作用。是外国商家打通中国市场和国内商家打通国际市场的一把金钥匙。
目前NPS支付网关系统实现每笔交易的处理时间（包括从用户点击支付到银行业务处理系统返回结果）仅需3-5秒，网关服务器每秒可完成的交易笔数超过15笔，此外系统可长期保留商家和消费者的交易数据，满足了电子商务高速率、大容量、大吞吐量和高可靠性的需要。
详细资料http://www.nps.cn/
回答者：吴田田

[安利百川---我的第一课《梦想生意》读后感]今天的话题呢是《梦想生意》读后感，安利百川---我的第一课《梦想生意》读后感。那么最近，我看了《梦想生意》这本书，感受很深,想和大家分享一下。那到底什么是梦想生意呢？有人说，梦想生意就是做梦都想做的生意，这么说也对，做梦都想做的生意肯定是好生意；也有人说，梦想生意是做梦都可以在做生意，仔细想想也对，做梦都在做生意，也就是说睡觉都在赚钱，这样的生意谁不想要啊？我看完这本书的一个直接感受，那就是太“美妙”、太神奇了。应该说互联网是人类有史以来最伟大的发明，它缩短了人们之间的距离，它为人们的日常活动节省了大量时间，大大提高了我们的工作和学习效率。它结合了打字机、传真机、电话机、录像机、电视机、录音机、目录单、信件、答录机、虚拟商业中心和虚拟办公室的一切优势，连接了家庭、学校和办公室的数百上千几百万台电脑，组成了遍布世界的网络。 这种工具太重要了，一台电脑连接了网络，只要你轻敲键盘就能做成几百万美元的生意！有人说，互联网有这么神奇吗？下面我们举个例子给大家：网络零售巨头亚马逊创始人杰夫·贝左斯就是互联网短暂发展史当中的一个“在线梦想家”，也是其中最成功的一个。他于1994 年投入到互联网的洪流当中，当时距离乔治·布什总统签署关于允许公众网上交易的立法才过了两年。 到 1997 年，他开创自己的网络公司3 年后，杰夫已经是一个亿万富翁了！ 以下是他的传奇经历： 一个网络营销的梦想家 杰夫·贝左斯不止是聪明，他简直是个天才！他以优异的成绩毕业于普林斯顿大学，同时主修电子工程和计算机科学两个专业。毕业两年后，杰夫在华尔街一家银行信托公司找到一份工作，负责开发和协助管理2500 亿美元资产的电脑系统。两年后，26 岁的贝左斯成为该公司有史以来最年轻的副主席。30 岁的时候，他已经是百万富翁了。 成为华尔街的一名首席执行官，贝左斯似乎走对了路。但是，他想创办自己的事业，自己做老板，自己掌控全局，他觉得无论名片上的头衔多么的令人羡慕，自己都无法为任何人工作了。 贝左斯密切地寻找着机会，就在 1994 年初，他看到了改变他一生的一个统计数字：互联网正在以每年125%的速度增长！ “除了生物培养试验之外，我从没有见过比互联网贸易增长更快的产业。”他说。除了知道它在网上交易并且快捷方便之外，贝左斯对他要进入的这个新行业知之甚少。 贝左斯把要在网上销售的二十多种商品列了一份清单，按照商品易于销售的程度排序。书被排在第一位。在他的妻子开车从纽约到西海岸的时候，他辞了职并在笔记本电脑上为自己的网络公司草拟了一份企划书。 他决定把自己新创建的公司成为“亚马逊”。到1999 年时，亚马逊公司刚刚成立5 年，资产总额已达到250 亿美元，并且已经是北美洲最著名的品牌之一了。那今天来的朋友很多，可能有些朋友还不太明白，那究竟什么是梦想生意呢?梦想生意和互联网又有什么关系呢？那么我给大家简单介绍一下梦想生意和传统生意的特点：我把梦想生意与传统生意做了一番比较之后发现，梦想生意比传统生意更具吸引力。 梦想生意 传统生意 没有雇员 需要雇员 可以自己调整时间 每周六天，每天9：00-21：00 少量投资 所有积蓄加上银行贷款 无地域限制 有地域限制 有经验丰富的顾问指导 自己处理一切事务 收入无上限 收入由店面数量决定 不受经济萧条的影响 受经济形式的淡旺季制约 少量存货收入占费用的很大比例 无需做广告广告占费用的很大比例 被动收入用时间来换取金钱 当你看完这个对比之后，如果真的想自己做生意，就会在心里想：“如果真有这样的梦想生意，它有一切生意的优点，又没有传统生意的缺点，傻子才不去做呢。”对不对？除了上面这些特点以外，要想真正成为梦想生意还必须达到以下五个标准; 第一条：被动收入 只做一次工作，却能源源不断地拿到报酬是不是件很棒的事？这就是被动收入。最著名的例子就是投资股票市场，假设你工作100 个小时可以赚1000 美元，每小时赚10 美元，那么你要赚10 万美元就要工作1 万个小时。假设每周的工作时间是40 个小时，也要用5 年才能赚到这笔钱。 但是如果你把这 1000 美元一次性投入到高收益的股票市场，它会一年又一年不断地替你赚钱。比如说，1965 年，你在沃伦·巴菲克的波克夏股票刚上市的时候买了1000 美元的股票，现在它值多少？1 万美元？10 万美元？那198.9526 万美元呢？对了，只要1000 美元的投资就赚了近200 万美元！ 这种巨大的投资收益的概念被称作复合增长或指数增长，这是我们接下来要讨论的问题。复合增长和被动收入是你摆脱时间换取金钱这个陷阱的两个绝佳方式。只要做一次工作，就会有源源不断的回报！ &nsp; 第二条：全球市场 今天我们生活在地球村，读后感《安利百川---我的第一课《梦想生意》读后感》。我们周一早晨在澳大利亚订的货，周五就能送到顾客手里。当世界都在你掌控中的时候，为什么还要满足于一个小市场呢？许多大企业早在很多年前就明白了这个道理，这就是为什么可口可乐把60%的分公司设在了海外，也是麦当劳、温迪汉堡和必胜客在国外比在美国发展更快的原因，因为那里有更好更大的市场。所以，我们要做的是扩展销售范围，而不是把我们努力的成果限制在一块小蛋糕的一小片上。 第三条：自主性和销售力 你现在处于什么位置并不重要，重要的是从今天起的5 年或10 年后你会处于什么位置。决定开创你自己的梦想生意只是点燃梦想的第一步。第二步是规划你自己的退路，也就是说一旦你从生意中获得利润或者无法工作时要怎么办？ 如果你遭遇突发性事件，得知你的家庭和你爱的人会被照顾得很好，那么你会不会更安心呢？你难道不想在付出努力的同时获得与之相当的收入和职位吗？一份工作永远也不可能让你的自主性和销售力并存，但是梦想生意却会两者兼得！ 第四条：易于复制 很明显，如果你想成功，就要像成功人士那样做。同样，如果你要创建一个成功的梦想生意，就要按照它的模式来操作。 伙伴们，模仿并不是火箭科学。它只是一个有用的、古老的常识而已。成功的导师告诉你成功的途径，一旦你学会了它，就能达到很好的效果。然后，你把这个方法教给你的新合作者，他又会教给他的合作者，这样一直传递下去。目前由思涵老师为我们创建的在家创业的平台，已经是一个很成熟的商业运作模式，随着将来系统的不断完善，会变得更加易懂，易学，易教，易复制，对在坐的各位来说会越来越好做。这已经具备自动扩张的功能。咱们只需要不断把新朋友带入进来学习就行，会有有经验的老师来指导。并不断地复制下去。 像特许经营一样，独立生意人是为他们自己做生意，却不是亲自来做生意。书籍、磁带、实况转播和研讨会和其他一对一的培训这样的成熟商业系统会教你很多具体细节，并使你避免劳而无功的行为，构筑你的梦想生意。 为了确保你的梦想生意能够成功，从特许经营的老大麦当劳那里学习经验吧，那就是：简单而易于重复。 第五条：低投资和低维护 你知道新企业失败最主要的原因是什么吗？是资金不足。当你创建自己的生意时，要不断地支付昂贵的费用，这样就离主要目标越来越远。我了解这一点，因为我也经历过这样的困境。 而梦想生意没有雇员，没有庞大的租金，没有巨型的基层结构，没有大量的存货，也没有每月记录在册的固定花费。 这就是为什么在家创业模式的生意这么受欢迎的原因。在你的卧室就可以做生意，而且花费微不足道。你可以把卧室一角当作一个高效的、高科技的办公室，包括电脑和网络、扫描仪、传真机、商务电话、光电电话和复印机，比你周末带全家人去看一场迪斯尼电影花的钱要少的多。梦想生意一定要集中这五个标准，缺一不可。而且“在家创业”是未来最为理想的一种方式。 根据书中的提示，它的倍增速度也相当快的，如果你每个月去推荐一个真正想要这个机会的人，那么从理论上来说，一年中你自己推荐的人有12个，但你的整个团队的人数会发展到4096个人。它是以每个月2的N次方的速度在增长。为了验证这事，我特地在纸上画了一下，但到了第五个月我就画不下去了，整页纸几乎被我画满，因为第五个月就发展到了32人。它的原理是，第一个月你自己发展一个新人，那总共就是2个人，到了第二个月，你发展一个人，你的伙伴也发展了一个人，这样你的团队就有4个人了，接下来以此类推，就是上个月的所有人，在下个月都去发展一个人。以2，4，8，16，32，64。。。。。这样的速度递增下去。伙伴们，想到没有，会是一个什么样的结果，很难想象对不对。 其实咱们每个人都有梦想，都有自己心中想实现的愿望，但是现实很梦想之间的距离总是那么大。好在互联网的出现，打破了原有的平衡，互联网的两个最明显的优势就是速度和规模。它传播的速度快，涉及的面又广，而且每个人在互联网上都是平等的，它打破了传统富人对生产资料的垄断，一个普通人在上面都能实现自己的一些愿望。目前网络经济时代的到来，它改变了人们的购物方式和沟通方式，也改变了我们为自己和家人积累财富的方式。像咱们这些普通人在网上又能做什么呢？要去建一个像百度，新浪，淘宝这样的网站，那是根本不可能的。因为这样的机会已经过去了。只能来做梦想生意.富人们明白，当你是一个独立生意人时，你构筑的就是自己的理想，而不是他人的。独立生意人这个身份的重要性，这个身份意味着自由。意味着能构筑自己的梦想，能自如的掌控梦想，也意味着无限的机遇。 一个时代的变革带来了属于这个时代的机遇及巨大的财富。认识到这种变化的重要性的人，会重新确立自己的位置，以便能在这种变化中创造巨大的财富。当今时代是互联网高速发展的一个时代，那么据中新网12月30日电据中国政府网消息，国务院新闻办今日举办新闻发布会，中共中央对外宣传办公室主任、国务院新闻办公室主任王晨指出从1994年接入互联网16年来，中国互联网发展迅速，中国是世界上网民人数最多的国家。截至2021年11月底，中国网民总数达到4.5亿人，年度增长率为20.3%。中国互联网的普及率达到33.9%，已经超过了30%的世界平均普及率。这些数据、这些情况也表明中国互联网发展的环境是良好的。 而且，这个数字还在继续上升。况且，我们还有海外的市场，向我们房间的几个意大利伙伴，都是通过互联网加入我们系统的是不是，所以用马云的话说，21世纪互联网能改变大多数人的生活。有这么好的创富工具，我们还有什么理由不利用它运作我们的梦想生意。房间的新老朋友， 现在一个历史性的机遇就摆在咱们面前，咱们一定要好好去把握它吧，为了自己和自己家人，去打造一个真正属于自己的经济王国。 　　〔安利百川---我的第一课《梦想生意》读后感〕随文赠言：【这世上的一切都借希望而完成，农夫不会剥下一粒玉米，如果他不曾希望它长成种粒；单身汉不会娶妻，如果他不曾希望有孩子；商人也不会去工作，如果他不曾希望因此而有收益。】

爱丽丝漫游奇境记》
[英]刘易斯·卡罗尔

兔子洞、可以让人变大变小的蘑菇、凶神恶煞的红心皇后……这些毫无关联的词语，在英国作家路易斯·卡罗尔的笔下，构成了一个光怪陆离的地下世界。
《爱丽丝漫游奇境记》这本书从面世就得到无数大人小孩的喜欢，由它改编的电影更是拿下了83届奥斯卡两项大奖。作为除莎士比亚之外，作品被翻译成其他语种最多的作者，刘易斯·卡罗尔将超越出数学家的严密、极大的想象力和幽默感，融入到一个小女孩的梦境之中。在那个天真又诡异的平行世界里，一切奇怪的事情都变得无比有趣起来。
影评人安东尼·莱恩在《奇境中到底发生了什么》一文中说：谁会读《爱丽丝漫游奇境记》这本书？答案是：所有识字的人。
作为文学史上的瑰宝，《爱丽丝漫游奇境记》的读者群涵盖幼童至老者，各个行业的从业者。无论是谁，都能从卡罗尔创造的世界里找到自己喜欢的部分。
有人说，每个人心里都有一个“兔子洞”，那里藏着自己不为人知的童真生活，或雄心壮志的梦想，抑或是一场充满未知的奇妙旅行。
人生，不就是这样嘛？
因为未知，才显得可爱；因为有梦，才显得值得。
1.
怪诞、奇幻的现代童话，
堪称跨时代的里程碑
畅销书作家赵格羽说，童话是骗人的么？非也。童话只是给我们描绘了一个美好，只是没有告诉我们怎么去到达那个美好罢了。
从某种程度上来讲，童话就是另外一个宇宙，它虽产生于人类的笔下，但却充满了智慧和能量，可以让读者在平行世界中经历另一种人生。
如果说，长大是从童话世界走入现实生活的过程，是逐渐认清“王子和公主永远幸福生活在一起”只是一个粉色泡沫的过程，那么，爱丽丝掉进“兔子洞”的历程，则能够让人在成年后依然心驰神往。
与传统童话充斥着杀戮和说教的风格不同，《爱丽丝漫游奇境记》奠定了怪诞、奇幻的现代童话基调，堪称跨时代的里程碑，作者刘易斯·卡罗尔也因此被称为现代童话之父。
刘易斯·卡罗尔，原名查尔斯·路德维希·杜奇森，1832年1月出生于英国柴郡的一个牧师家庭，18岁考入牛津大学，23岁获得牛津大学的讲师职位，是个名副其实的数学家。
除了研究数学，卡罗尔还喜欢小发明，发明了便携式国际象棋、三轮车转向装置、黑暗中写字的书写板等一系列稀奇古怪的东西，他还是那个时代最知名的摄影师之一。
作为文学史上的传奇人物，他在小说、诗歌、逻辑学等多个领域造诣颇深。他生性腼腆，不善交际，患有严重的口吃，且自幼身体很差，常年被肺病折磨，一只耳朵听不见。
1862年7月4日，30岁的卡罗尔与校长的三个女儿在泰晤士河坐游船时，为了逗她们开心，以10岁的二女儿爱丽丝为原型，编造出了一个童话故事。三姐妹对这个故事非常喜欢，尤其是爱丽丝，她强烈希望卡罗尔把这个故事写下来。
卡罗尔对故事进行了润色，并添加了一些章节，还专门去历史自然博物馆临摹动物，亲自画了37幅插图，在1864年11月26日将手稿作为圣诞礼物送给了爱丽丝，题名为“Alice's Adventures under Ground”。
《爱丽丝漫游奇境记》由此诞生。
从手稿中可以看到卡罗尔的细心和用心，绘画功底一流。书稿的封面由紫色的花和绿色的藤蔓构成，书名是由红色和紫色写成的印刷体，十分精美。内文的字迹工整，没有涂改的印记，插画则是有细细的笔触勾勒，异常逼真。无论从插图、字体还是排版，都让人惊叹：作者真是集编辑、设计、美工等各工种为一身的天才。
次年，这本书出版，反响热烈，至今已火了157年，被翻译成120多种语言，英国《泰晤士报》曾评价它是“英国150年来14部被反复阅读的儿童文学作品之一”。

摘要：文中就信息网络安全内涵发生的根本变化，阐述我国发展民族信息安全体系的重要性及建立有中国特色的网络安全体系的必要性。论述了网络防火墙安全技术的分类及其主要技术特征。
关键词：网络安全 防火墙 技术特征
1.概述
21世纪全世界的计算机都将通过Internet联到一起，信息安全的内涵也就发生了根本的变化。它不仅从一般性的防卫变成了一种非常普通的防范，而且还从一种专门的领域变成了无处不在。当人类步入21世纪这一信息社会、网络社会的时候，我国将建立起一套完整的网络安全体系，特别是从政策上和法律上建立起有中国自己特色的网络安全体系。
一个国家的信息安全体系实际上包括国家的法规和政策，以及技术与市场的发展平台。我国在构建信息防卫系统时，应着力发展自己独特的安全产品，我国要想真正解决网络安全问题，最终的办法就是通过发展民族的安全产业，带动我国网络安全技术的整体提高。
网络安全产品有以下几大特点：第一，网络安全来源于安全策略与技术的多样化，如果采用一种统一的技术和策略也就不安全了；第二，网络的安全机制与技术要不断地变化；第三，随着网络在社会个方面的延伸，进入网络的手段也越来越多，因此，网络安全技术是一个十分复杂的系统工程。为此建立有中国特色的网络安全体系，需要国家政策和法规的支持及集团联合研究开发。安全与反安全就像矛盾的两个方面，总是不断地向上攀升，所以安全产业将来也是一个随着新技术发展而不断发展的产业。
信息安全是国家发展所面临的一个重要问题。对于这个问题，我们还没有从系统的规划上去考虑它，从技术上、产业上、政策上来发展它。政府不仅应该看见信息安全的发展是我国高科技产业的一部分，而且应该看到，发展安全产业的政策是信息安全保障系统的一个重要组成部分，甚至应该看到它对我国未来电子化、信息化的发展将起到非常重要的作用。
2.防火墙
网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络互联设备。它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。?
目前的防火墙产品主要有堡垒主机、包过滤路由器、应用层网关(代理服务器)以及电路层网关、屏蔽主机防火墙、双宿主机等类型。?
虽然防火墙是目前保护网络免遭黑客袭击的有效手段，但也有明显不足：无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变节者和不经心的用户们带来的威胁，也不能完全防止传送已感染病毒的软件或文件，以及无法防范数据驱动型的攻击。
自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统，提出了防火墙概念后，防火墙技术得到了飞速的发展。国内外已有数十家公司推出了功能各不相同的防火墙产品系列。
防火墙处于5层网络安全体系中的最底层,属于网络层安全技术范畴。在这一层上,企业对安全系统提出的问题是:所有的IP是否都能访问到企业的内部网络系统?如果答案是“是”,则说明企业内部网还没有在网络层采取相应的防范措施。
作为内部网络与外部公共网络之间的第一道屏障,防火墙是最先受到人们重视的网络安全产品之一。虽然从理论上看,防火墙处于网络安全的最底层,负责网络间的安全认证与传输,但随着网络安全技术的整体发展和网络应用的不断变化,现代防火墙技术已经逐步走向网络层之外的其他安全层次,不仅要完成传统防火墙的过滤任务,同时还能为各种网络应用提供相应的安全服务。另外还有多种防火墙产品正朝着数据安全与用户认证、防止病毒与黑客侵入等方向发展。
根据防火墙所采用的技术不同,我们可以将它分为四种基本类型:包过滤型、网络地址转换—NAT、代理型和监测型。
2.1.包过滤型
包过滤型产品是防火墙的初级产品,其技术依据是网络中的分包传输技术。网络上的数据都是以“包”为单位进行传输的,数据被分割成为一定大小的数据包,每一个数据包中都会包含一些特定信息,如数据的源地址、目标地址、TCP/UDP源端口和目标端口等。防火墙通过读取数据包中的地址信息来判断这些“包”是否来自可信任的安全站点
,一旦发现来自危险站点的数据包,防火墙便会将这些数据拒之门外。系统管理员也可以根据实际情况灵活制订判断规则。
包过滤技术的优点是简单实用,实现成本较低,在应用环境比较简单的情况下,能够以较小的代价在一定程度上保证系统的安全。
但包过滤技术的缺陷也是明显的。包过滤技术是一种完全基于网络层的安全技术,只能根据数据包的来源、目标和端口等网络信息进行判断,无法识别基于应用层的恶意侵入,如恶意的Java小程序以及电子邮件中附带的病毒。有经验的黑客很容易伪造IP地址,骗过包过滤型防火墙。
2.2.网络地址转化—NAT
网络地址转换是一种用于把IP地址转换成临时的、外部的、注册的IP地址标准。它允许具有私有IP地址的内部网络访问因特网。它还意味着用户不许要为其网络中每一台机器取得注册的IP地址。
NAT的工作过程如图1所示：
在内部网络通过安全网卡访问外部网络时，将产生一个映射记录。系统将外出的源地址和源端口映射为一个伪装的地址和端口，让这个伪装的地址和端口通过非安全网卡与外部网络连接，这样对外就隐藏了真实的内部网络地址。在外部网络通过非安全网卡访问内部网络时，它并不知道内部网络的连接情况，而只是通过一个开放的IP地址和端口来请求访问。OLM防火墙根据预先定义好的映射规则来判断这个访问是否安全。当符合规则时，防火墙认为访问是安全的，可以接受访问请求，也可以将连接请求映射到不同的内部计算机中。当不符合规则时，防火墙认为该访问是不安全的，不能被接受，防火墙将屏蔽外部的连接请求。网络地址转换的过程对于用户来说是透明的，不需要用户进行设置，用户只要进行常规操作即可。
2.3.代理型
代理型防火墙也可以被称为代理服务器,它的安全性要高于包过滤型产品,并已经开始向应用层发展。代理服务器位于客户机与服务器之间,完全阻挡了二者间的数据交流。从客户机来看,代理服务器相当于一台真正的服务器;而从服务器来看,代理服务器又是一台真正的客户机。当客户机需要使用服务器上的数据时,首先将数据请求发给代理服务器,代理服务器再根据这一请求向服务器索取数据,然后再由代理服务器将数据传输给客户机。由于外部系统与内部服务器之间没有直接的数据通道,外部的恶意侵害也就很难伤害到企业内部网络系统。
代理型防火墙的优点是安全性较高,可以针对应用层进行侦测和扫描,对付基于应用层的侵入和病毒都十分有效。其缺点是对系统的整体性能有较大的影响,而且代理服务器必须针对客户机可能产生的所有应用类型逐一进行设置,大大增加了系统管理的复杂性。
2.4.监测型
监测型防火墙是新一代的产品,这一技术实际已经超越了最初的防火墙定义。监测型防火墙能够对各层的数据进行主动的、实时的监测,在对这些数据加以分析的基础上,监测型防火墙能够有效地判断出各层中的非法侵入。同时,这种检测型防火墙产品一般还带有分布式探测器,这些探测器安置在各种应用服务器和其他网络的节点之中,不仅能够检测来自网络外部的攻击,同时对来自内部的恶意破坏也有极强的防范作用。据权威机构统计,在针对网络系统的攻击中,有相当比例的攻击来自网络内部。因此,监测型防火墙不仅超越了传统防火墙的定义,而且在安全性上也超越了前两代产品
虽然监测型防火墙安全性上已超越了包过滤型和代理服务器型防火墙,但由于监测型防火墙技术的实现成本较高,也不易管理,所以目前在实用中的防火墙产品仍然以第二代代理型产品为主,但在某些方面也已经开始使用监测型防火墙。基于对系统成本与安全技术成本的综合考虑,用户可以选择性地使用某些监测型技术。这样既能够保证网络系统的安全性需求,同时也能有效地控制安全系统的总拥有成本。
实际上,作为当前防火墙产品的主流趋势,大多数代理服务器(也称应用网关)也集成了包过滤技术,这两种技术的混合应用显然比单独使用具有更大的优势。由于这种产品是基于应用的,应用网关能提供对协议的过滤。例如,它可以过滤掉FTP连接中的PUT命令,而且通过代理应用,应用网关能够有效地避免内部网络的信息外泄。正是由于应用网关的这些特点,使得应用过程中的矛盾主要集中在对多种网络应用协议的有效支持和对网络整体性能的影响上。
--- 刘大大大大
猫(3): 浅析网络安全技术
摘要：文中论述了防火墙部署原则，并从防火墙部署的位置详细阐述了防火墙的选择标准。并就信息交换加密技术的分类及RSA算法作以分析，针对PKI技术这一信息安全核心技术，论述了其安全体系的构成。
关键词：网络安全 防火墙 PKI技术
1.概述
网络防火墙技术的作为内部网络与外部网络之间的第一道安全屏障，是最先受到人们重视的网络安全技术，就其产品的主流趋势而言，大多数代理服务器（也称应用网关）也集成了包滤技术，这两种技术的混合应用显然比单独使用更具有大的优势。那么我们究竟应该在哪些地方部署防火墙呢?首先,应该安装防火墙的位置是公司内部网络与外部Internet的接口处,以阻挡来自外部网络的入侵;其次,如果公司内部网络规模较大,并且设置有虚拟局域网(VLAN),则应该在各个VLAN之间设置防火墙;第三,通过公网连接的总部与各分支机构之间也应该设置防火墙,如果有条件,还应该同时将总部与各分支机构组成虚拟专用网(VPN)。
安装防火墙的基本原则是:只要有恶意侵入的可能,无论是内部网络还是与外部公网的连接处,都应该安装防火墙。
2.防火墙的选择
选择防火墙的标准有很多,但最重要的是以下几条:
2.1.总拥有成本防火墙产品作为网络系统的安全屏障,其总拥有成本(TCO)不应该超过受保护网络系统可能遭受最大损失的成本。以一个非关键部门的网络系统为例,假如其系统中的所有信息及所支持应用的总价值为10万元,则该部门所配备防火墙的总成本也不应该超过10万元。当然,对于关键部门来说,其所造成的负面影响和连带损失也应考虑在内。如果仅做粗略估算,非关键部门的防火墙购置成本不应该超过网络系统的建设总成本,关键部门则应另当别论。
2.2.防火墙本身是安全的
作为信息系统安全产品,防火墙本身也应该保证安全,不给外部侵入者以可乘之机。如果像马其顿防线一样,正面虽然牢不可破,但进攻者能够轻易地绕过防线进入系统内部,网络系统也就没有任何安全性可言了。
通常,防火墙的安全性问题来自两个方面:其一是防火墙本身的设计是否合理,这类问题一般用户根本无从入手,只有通过权威认证机构的全面测试才能确定。所以对用户来说,保守的方法是选择一个通过多家权威认证机构测试的产品。其二是使用不当。一般来说,防火墙的许多配置需要系统管理员手工修改,如果系统管理员对防火墙不十分熟悉,就有可能在配置过程中遗留大量的安全漏洞。
2.3.管理与培训
管理和培训是评价一个防火墙好坏的重要方面。我们已经谈到,在计算防火墙的成本时,不能只简单地计算购置成本,还必须考虑其总拥有成本。人员的培训和日常维护费用通常会在TCO中占据较大的比例。一家优秀秀的安全产品供应商必须为其用户提供良好的培训和售后服务。
2.4.可扩充性
在网络系统建设的初期,由于内部信息系统的规模较小,遭受攻击造成的损失也较小,因此没有必要购置过于复杂和昂贵的防火墙产品。但随着网络的扩容和网络应用的增加,网络的风险成本也会急剧上升,此时便需要增加具有更高安全性的防火墙产品。如果早期购置的防火墙没有可扩充性,或扩充成本极高,这便是对投资的浪费。好的产品应该留给用户足够的弹性空间,在安全水平要求不高的情况下,可以只选购基本系统,而随着要求的提高,用户仍然有进一步增加选件的余地。这样不仅能够保护用户的投资,对提供防火墙产品的厂商来说,也扩大了产品覆盖面。
2.5.防火墙的安全性
防火墙产品最难评估的方面是防火墙的安全性能,即防火墙是否能够有效地阻挡外部入侵。这一点同防火墙自身的安全性一样,普通用户通常无法判断。即使安装好了防火墙,如果没有实际的外部入侵,也无从得知产品性能的优劣。但在实际应用中检测安全产品的性能是极为危险的,所以用户在选择防火墙产品时,应该尽量选择占市场份额较大同时又通过了权威认证机构认证测试的产品。
3.加密技术
信息交换加密技术分为两类：即对称加密和非对称加密。
3.1.对称加密技术
在对称加密技术中，对信息的加密和解密都使用相同的钥，也就是说一把钥匙开一把锁。这种加密方法可简化加密处理过程，信息交换双方都不必彼此研究和交换专用的加密算法。如果在交换阶段私有密钥未曾泄露，那么机密性和报文完整性就可以得以保证。对称加密技术也存在一些不足，如果交换一方有N个交换对象，那么他就要维护N个私有密钥，对称加密存在的另一个问题是双方共享一把私有密钥，交换双方的任何信息都是通过这把密钥加密后传送给对方的。如三重DES是DES（数据加密标准）的一种变形，这种方法使用两个独立的56为密钥对信息进行3次加密，从而使有效密钥长度达到112位。
3.2.非对称加密/公开密钥加密
在非对称加密体系中，密钥被分解为一对（即公开密钥和私有密钥）。这对密钥中任何一把都可以作为公开密钥（加密密钥）通过非保密方式向他人公开，而另一把作为私有密钥（解密密钥）加以保存。公开密钥用于加密，私有密钥用于解密，私有密钥只能有生成密钥的交换方掌握，公开密钥可广泛公布，但它只对应于生成密钥的交换方。非对称加密方式可以使通信双方无须事先交换密钥就可以建立安全通信，广泛应用于身份认证、数字签名等信息交换领域。非对称加密体系一般是建立在某些已知的数学难题之上，是计算机复杂性理论发展的必然结果。最具有代表性是RSA公钥密码体制。
3.3.RSA算法
RSA算法是Rivest、Shamir和Adleman于1977年提出的第一个完善的公钥密码体制，其安全性是基于分解大整数的困难性。在RSA体制中使用了这样一个基本事实：到目前为止，无法找到一个有效的算法来分解两大素数之积。RSA算法的描述如下：
公开密钥：n=pq(p、q分别为两个互异的大素数，p、q必须保密)
e与（p-1）(q-1)互素
私有密钥：d=e-1 {mod(p-1)(q-1)}
加密：c=me(mod n),其中m为明文，c为密文。
解密：m=cd(mod n)
利用目前已经掌握的知识和理论，分解2048bit的大整数已经超过了64位计算机的运算能力，因此在目前和预见的将来，它是足够安全的。
4.PKI技术
PKI（Publie Key Infrastucture）技术就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。由于通过网络进行的电子商务、电子政务、电子事务等活动缺少物理接触，因此使得用电子方式验证信任关系变得至关重要。而PKI技术恰好是一种适合电子商务、电子政务、电子事务的密码技术，他能够有效地解决电子商务应用中的机密性、真实性、完整性、不可否认性和存取控制等安全问题。一个实用的PKI体系应该是安全的易用的、灵活的和经济的。它必须充分考虑互操作性和可扩展性。它是认证机构（CA）、注册机构（RA）、策略管理、密钥（Key）与证书（Certificate）管理、密钥备份与恢复、撤消系统等功能模块的有机结合。
4.1.认证机构
CA（Certification Authorty）就是这样一个确保信任度的权威实体，它的主要职责是颁发证书、验证用户身份的真实性。由CA签发的网络用户电子身份证明—证书，任何相信该CA的人，按照第三方信任原则，也都应当相信持有证明的该用户。CA也要采取一系列相应的措施来防止电子证书被伪造或篡改。构建一个具有较强安全性的CA是至关重要的，这不仅与密码学有关系，而且与整个PKI系统的构架和模型有关。此外，灵活也是CA能否得到市场认同的一个关键，它不需支持各种通用的国际标准，能够很好地和其他厂家的CA产品兼容。
4.2.注册机构
RA（Registration Authorty）是用户和CA的接口，它所获得的用户标识的准确性是CA颁发证书的基础。RA不仅要支持面对面的登记，也必须支持远程登记。要确保整个PKI系统的安全、灵活，就必须设计和实现网络化、安全的且易于操作的RA系统。
4.3.策略管理
在PKI系统中，制定并实现科学的安全策略管理是非常重要的这些安全策略必须适应不同的需求，并且能通过CA和RA技术融入到CA 和RA的系统实现中。同时，这些策略应该符合密码学和系统安全的要求，科学地应用密码学与网络安全的理论，并且具有良好的扩展性和互用性。
4.4.密钥备份和恢复
为了保证数据的安全性，应定期更新密钥和恢复意外损坏的密钥是非常重要的，设计和实现健全的密钥管理方案，保证安全的密钥备份、更新、恢复，也是关系到整个PKI系统强健性、安全性、可用性的重要因素。
4.5.证书管理与撤消系统
证书是用来证明证书持有者身份的电子介质，它是用来绑定证书持有者身份和其相应公钥的。通常，这种绑定在已颁发证书的整个生命周期里是有效的。但是，有时也会出现一个已颁发证书不再有效的情况这就需要进行证书撤消，证书撤消的理由是各种各样的，可能包括工作变动到对密钥怀疑等一系列原因。证书撤消系统的实现是利用周期性的发布机制撤消证书或采用在线查询机制，随时查询被撤消的证书。
5.安全技术的研究现状和动向
我国信息网络安全研究历经了通信保密、数据保护两个阶段，正在进入网络信息安全研究阶段，现已开发研制出防火墙、安全路由器、安全网关、黑客入侵检测、系统脆弱性扫描软件等。但因信息网络安全领域是一个综合、交叉的学科领域它综合了利用数学、物理、生化信息技术和计算机技术的诸多学科的长期积累和最新发展成果，提出系统的、完整的和协同的解决信息网络安全的方案，目前应从安全体系结构、安全协议、现代密码理论、信息分析和监控以及信息安全系统五个方面开展研究，各部分相互协同形成有机整体。
国际上信息安全研究起步较早，力度大，积累多，应用广，在70年代美国的网络安全技术基础理论研究成果“计算机保密模型”（Beu& La padula模型）的基础上，指定了“可信计算机系统安全评估准则”（TCSEC），其后又制定了关于网络系统数据库方面和系列安全解释，形成了安全信息系统体系结构的准则。安全协议作为信息安全的重要内容，其形式化方法分析始于80年代初，目前有基于状态机、模态逻辑和代数工具的三种分析方法，但仍有局限性和漏洞，处于发展的提高阶段。作为信息安全关键技术密码学，近年来空前活跃，美、欧、亚各洲举行的密码学和信息安全学术会议频繁。1976年美国学者提出的公开密钥密码体制，克服了网络信息系统密钥管理的困难，同时解决了数字签名问题，它是当前研究的热点。而电子商务的安全性已是当前人们普遍关注的焦点，目前正处于研究和发展阶段，它带动了论证理论、密钥管理等研究，由于计算机运算速度的不断提高，各种密码算法面临着新的密码体制，如量子密码、DNA密码、混沌理论等密码新技术正处于探索之中。因此网络安全技术在21世纪将成为信息网络发展的关键技术，21世纪人类步入信息社会后，信息这一社会发展的重要战略资源需要网络安全技术的有力保障，才能形成社会发展的推动力。在我国信息网络安全技术的研究和产品开发仍处于起步阶段，仍有大量的工作需要我们去研究、开发和探索，以走出有中国特色的产学研联合发展之路，赶上或超过发达国家的水平，以此保证我国信息网络的安全，推动我国国民经济的高速发展。
慢慢看吧。。。。