信息安全是指信息系统抵御意外事件或恶意行为的能力，这些事件和行为将危及所存储、处理和传输的数据或由这些系统所提供服务的可用性、机密性、完整性、非否认性、真实性和可控性。
1.可用性：即使在突发事件下，依然能够保障数据和服务的正常使用
2.机密性：能够确保敏感数据的传输和存储不遭受未授权的浏览，甚至做到不暴露保密通信的事实
3.完整性：能够保证被传输、接收或存储的数据是完整的和未被篡改的，在被篡改的情况下能够发现篡改的事实或者篡改的位置
4.非否认性：能够保证信息系统的操作者或信息的处理者不能否认其行为或者处理结果
5.真实性：也称为可认证性，能够保证实体身份或信息、信息来源的真实性
6.可控性： 能够保证掌握和控制信息与信息系统的基本情况，可对信息和信息系统的使用实施可靠授权、审计、责任认定、传播源追踪和监管等控制
信息安全威胁，是指某人、物、事件、方法或概念等因素对某信息资源或系统安全使用可能造成的危害。
攻击者从网络上窃听他人的通信内容。
通常把这类攻击称为截获。
在被动攻击中，攻击者只是观察和分析某一个协议数据单元 PDU，以便了解所交换的数据的某种性质。但不干扰信息流。
这种被动攻击又称为流量分析 (traffic analysis)。
主动攻击主要有：
篡改——故意篡改网络上传送的报文。这种攻击方式有时也称为更改报文流。
恶意程序——种类繁多，对网络安全威胁较大的主要包括：计算机病毒、计算机蠕虫、特洛伊木马、逻辑炸弹、后门入侵、流氓软件等。
拒绝服务——指攻击者向互联网上的某个服务器不停地发送大量分组，使该服务器无法提供正常服务，甚至完全瘫痪。
对于主动攻击，可以采取适当措施加以检测。
对于被动攻击，通常却是检测不出来的。
根据这些特点，可得出计算机网络通信安全的目标：
防止分析出报文内容和流量分析。
防止恶意程序。
检测更改报文流和拒绝服务。
对付被动攻击可采用各种数据加密技术。
对付主动攻击则需将加密技术与适当的鉴别技术相结合。
网络的安全性是不可判定的。
一个安全的计算机网络应达到四个目标：、
保密性
只有信息的发送方和接收方才能懂得所发送信息的内容。
是网络安全通信的最基本的内容，也是对付被动攻击必须具备的功能。
为了使网络具有保密性，需要使用各种密码技术。
端点鉴别
鉴别信息的发送方和接收方的真实身份。
在对付主动攻击中是非常重要的。
信息的完整性
信息的内容未被篡改过。
在应对主动攻击中是必不可少的。
信息的完整性与端点鉴别往往是不可分割的。
在谈到“鉴别”时，也同时包含了端点鉴别和报文完整性。
运行的安全性
系统能正常运行并提供服务。
访问控制 (access control) 对计算机系统的安全性是非常重要的。必须对访问网络的权限加以控制，并规定每个用户的访问权限
对称**密码*
所谓常规**密码*，即加***与解***是相同的密码*。
这种加密系统又称为对称**系统。
**
DES
**
数据加密标准 DES 属于对称**密码*，是一种分组密码。
在加密前，先对整个明文进行分组。每一个组长为 64 位。
然后对每一个 64 位 二进制数据进行加密处理，产生一组 64 位密文 数据。
最后将各组密文串接起来，即得出整个的密文。
使用的**为 64 位（实际**长度为 56 位，有 8 位用于奇偶校验)。
DES 的保密性
DES 的保密性仅取决于对**的保密，其算法是公开的。
目前较为严重的问题是 DES 的**的长度。
现在已经设计出搜索 DES **的专用芯片。56位 DES 已不再认为是安全的了。
**
网络安全协议
**
安全套接字层协议（SSL，Secure Socket Layer）、传输层安全（TLS，Transport Layer Security），建立在TCP协议栈的传输层。
TLS协议除负责认证和保密通信以外，重要的任务是建立、维护客户端和服务器（或称为接收方和发送方）的状态。TLS协议在客户端和服务器各有一个状态机，状态机之间建立会话和连接的操作称为握手。TLS协议在设计上遵循X.509协议，以CA和公钥证书的形式为获得安全性的基础。
TLS协议在结构上分为上、下两层。
下层包括TLS记录协议，上层包括TLS握手协议、TLS密码更改协议与TLS警告协议。
IP 安全性很差：
没有为通信提供良好的数据源鉴别机制；
没有为数据提供强大的完整性保护机制；
没有为数据提供任何机密性保护；
在设计和实现上存在安全漏洞，使各种攻击有机可乘。例如：攻击者很容易构造一个包含虚假地址的 IP 数据报。
IP 几乎不具备任何安全性，不能保证：
数据机密性
数据完整性
数据来源认证
由于其在设计和实现上存在安全漏洞，使各种攻击有机可乘。例如：攻击者很容易构造一个包含虚假地址的 IP 数据报。
IPsec 提供了标准、健壮且包含广泛的机制保证 IP 层安全。
**
防火墙
**
防火墙是由软件、硬件构成的系统，是一种特殊编程的路由器，用来在两个网络之间实施访问控制策略。
访问控制策略是由使用防火墙的单位自行制订的，为的是可以最适合本单位的需要。
防火墙内的网络称为“可信的网络”(trusted network)，而将外部的互联网称为“不可信的网络”(untrusted network)。
防火墙可用来解决内联网和外联网的安全问题。
防火墙的功能
防火墙的功能有两个：阻止和允许。
“阻止”就是阻止某种类型的通信量通过防火墙（从外部网络到内部网络，或反过来）。
“允许”的功能与“阻止”恰好相反。
防火墙必须能够识别各种类型的通信量。不过在大多数情况下防火墙的主要功能是“阻止”。
防火墙技术一般分为两类
分组过滤路由器
*是一种具有分组过滤功能的路由器，它根据过滤规则对进出内部网络的分组执行转发或者丢弃（即过滤）。过滤规则基于分组的网络层或运输层首部的信息，例如：源/目的 IP 地址、源/目的端口、协议类型（TCP 或 UDP）等。
分组过滤可以是无状态的，即独立地处理每一个分组。也可以是有状态的，即要跟踪每个连接或会话的通信状态，并根据这些状态信息来决定是否转发分组。
简单高效，对用户透明，但不能对高层数据进行过滤。
应用网关也称为代理服务器 (proxy server)
它在应用层通信中扮演报文中继的角色。
每种网络应用需要一个应用网关。
在应用网关中，可以实现基于应用层数据的过滤和高层用户鉴别。
所有进出网络的应用程序报文都必须通过应用网关。
应用网关也有一些缺点：
每种应用都需要一个不同的应用网关。
在应用层转发和处理报文，处理负担较重。
对应用程序不透明，需要在应用程序客户端配置应用网关地址。
—————————————————————————————————————————————
（示例结构图与部分资料内容摘抄自【电子科技大学】——[微电子与固体学院]——‘电子信息工程’
专业课用书：《信息安全技术概论》）
—————————————————————————————————————————————
