网络层安全保密技术一般从网络结构、网络协议、安全设备部署等方面设计安全保密的网络系统，主要包括网络隔离技术、网络边界保护技术、网络安全监测技术，以及网络数据加密技术等。其中，网络隔离技术是最基础的安全保密技术，可以利用网段隔离、交换网络、WLAN等技术实现，具体应用有安全隔离网闸技术；网络边界保护技术是通过在网络边界部署包过滤、应用层网关、状态监测等手段来实现，具体应用是防火墙技术；网络安全监测技术则是利用入侵检测系统、网络日志审查等技术手段实时监测系统的安全状态，主要包括入侵检测技术和安全态势感知技术；网络数据加密技术则是对敏感数据以密文的形式进行传输，能够有效应对旁路窃听等攻击，具体应用有匿名通信技术。
（一）安全隔离网闸技术
互联网在为人们工作带来便利的同时，其安全问题也逐渐凸显出来。当一个内部网络既需要保证其数据的安全，又需要与外部网络进行数据交换时，可以采用以网闸技术为核心技术的网络安全隔离系统来保证内网与外网的物理隔离，同时又能够根据业务需求实现内外网之间多种形式的信息和数据交换。
网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有读和写两种命令。
网闸技术的工作流程可分为以下几个步骤：切断网络之间的通用协议连接；将数据包进行分解或重组为静态数据；对静态数据进行安全审查，包括网络协议检查和代码扫描等；确认后的安全数据流入内部单元；内部用户通过严格的身份认证机制获得所需数据。这样就在安全隔离两个网络的基础上实现了安全的信息交换和资源共享。
（二）防火墙技术
“防火墙”原指汽车上
1、包过滤（packet filter）技术
包过滤技术，是指在网络层中对数据包实施有选择
2. 应用网关技术
该技术又称为双主机技术（dual homed host），采用主机取代路由器执行控管功能。主机是内外网络连接的桥梁，起着网关的作用，也被称为堡垒主机（bastion host）。应用层网关（application level gateways）是建立在网络应用层上的基于主机的协议转发器，它的原理是建立一个子网-----内部网络和外部网络之间的一个单独区域，一个路由器或更复杂的网关位于内部网络和该区域之间，其他的位于该区域和外部网络之间。在该子网上有一个代理主机，进出用户必须在应用层和该代理主机连接。代理主机可以进行预先的鉴别，针对特定的网络应用服务协议指定数据过滤逻辑，限制进出的通信，并在进行应用协议所指定的数据过滤逻辑的同时，对数据包分析的结果及采取的措施做登记和统计，形成报告，提供审计的功能。
应用层网关不使用通用目标机制来服务不同种类的通信，而是针对每个应用使用专用的代码。它在网络应用层上建立协议过滤和转发功能，针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计。通过采用这种专用的程序代码，应用层网关可以提供高可靠性的安全机制。为了使用应用层网关，用户需要在应用层网关上登录请求，或者在本地机器上使用一个为该服务特别编制的程序代码。每当一个新的需要保护的应用程序加入网络中时，必须为其编写专门的程序代码。正因如此，许多应用层网关只能提供有限的应用和服务功能，同时必须为每一项应用编写专用程序。但从安全角度上看，这也是一个优点，因为除非明确地提供了应用层网关，否则就不可能通过防火墙。这也是在实践“拒绝访问除明确许可以外的任何一种服务”的原则。
应用层网关的优点是容易记录和控制所有进出的通信，应用层网关可以去掉内部设备的名字，隐藏可能有价值的数据，通信分析、内容分析和记录都可以用来寻找信息漏洞，不必担心不同过滤规则集之间的相互影响，也不必担心对外提供安全服务的主机中的漏洞。应用层网关的缺点是对提供的大部分服务都需要专业化的用户程序或不同用户接口，这意味着只能支持最重要的服务，而且一旦特定的网络数据满足逻辑，则会导致防火墙内外的计算机系统建立直接联系，这一点也给网络带来安全隐患。
3. 代理服务器技术
代理服务器也称链路级网关或TCP通道，它作用在应用层，提供对应用层服务的控制，起到内部网络向外部网络申请服务时中间转接的作用。内部网络只接受代理提出的服务请求，拒绝外部网络其他
具体地说，代理服务器是运行在防火墙主机上的专门的应用程序或者服务器程序。防火墙主机可以是具有一个内部网络接口和一个外部网络接口的双重宿主主机，也可以是一些可以访问互联网并被内部主机访问的堡垒主机。这些程序接受用户对互联网服务的请求（诸如FTP、Telent），并按照一定的安全策略转发它们到实际的服务器。
代理服务应用于特定的互联网服务，如超文本传输（HTTP）、远程文件传输（FTP）等。代理服务器通常运行在两个网络之间，对于客户来说像是一台
代理服务器像一堵墙一样挡在内部用户和外界之间，从外面只能看到代理服务器而看不到任何内部资源，诸如用户的IP等。代理工作在客户机和真实服务器之间，完全控制会话，所以可以提供很详细的日志和安全审计功能。通过代理访问internet可以解决合法的IP地址不够用的问题，因为internet所见到的只是代理服务器的地址，内部不合法的IP通过代理可以访问internet。然而代理服务器也有明显的缺点，主要包括它的有限连接性、性能低下等。
目前，随着互联网的环境不断动态变化，新的协议、服务和应用不断出现，代理服务器不能再处理互联网上各种类型的传输，不能满足新的商业需求，不能胜任对网络高带宽和安全性的需要。
4. 网络地址转换技术（NAT）
当受保护网连到internet上时，受保护网用户必须使用一个合法的IP地址。但由于合法internet IP地址有限，而且受保护网络往往有自己的一套IP地址规划（非正式IP），这就需要网络地址转换器。网络地址转换器就是在防火墙上装载一个合法IP地址集，当内部某一用户要访问internet时，防火墙动态地从地址集中选一个未分配的地址分配给该用户，该用户即可使用这个合法地址进行通信。同时，对于内部的某些服务器如Web服务器，网络地址转换器允许为其分配一个固定的合法地址，外部网络的用户就可以通过防火墙来访问内部的服务器。这种技术既缓解了少量的IP地址和大量的主机之间的矛盾，又对外隐藏了内部主机的IP地址，提高了安全性。
网络地址转换分为静态地址和动态地址两种转换模式，静态地址转换是一对一的永久地址映射，而动态地址转换则是根据内部用户的需要临时分配公网地址，其地址映射是暂时的。网络地址转换可以对外隐藏内部的网络结构，外部攻击者无法确定内部计算机的连接状态。在不同时候，内部计算机对外连接使用的地址都是不同的，给外部攻击造成了困难。同样，NAT也能通过定义各种映射规则，屏蔽外部的连接请求，并可以将链接请求映射到不同的计算机中。网络地址转换都和IP数据包过滤一起使用，就构成了一种更复杂的包过滤型的防火墙。仅仅具备
5. 规则检查技术
规则检查技术既能在网络层上通过IP地址和端口号，过滤进出的数据包，也可以在OSI应用层上检查数据包的内容，查看这些内容是否符合网络的安全规则。目前，动态规则检查技术是防火墙技术的一个重大改进。最初，静态检查规则是管理员事先定好的，由于事先很难精准地判断防火墙
6. 主动监测技术
主动监测技术监测网络情况，当出现网络攻击时就立即发出警告或切断相关连接。它
7. 多级过滤技术
多级过滤防火墙采用了分组、应用网关和电路网关的三级过滤措施。在分组过滤一级，过滤掉所有的源路由分组和假冒的IP源地址；在应用网关一级，利用FTP、SMTP等各种网关，控制和监测internet提供的所用通用服务；在电路网关一级，实现内部主机与外部站点的透明连接，并对服务执行严格的控制。
8. INTERNET网关技术
由于是直接串联在网络之中，防火墙必须支持用户在internet互联的所有服务，同时还要防止与internet服务有关的安全漏洞。因此，它要能以多种安全的应用服务器（包括FTP、Finger、Mail、Ident、News、WWW等）来实现网关功能。同时为确保服务器的安全性，对所有的文件和命令均要利用“改变根系统调用（chroot）”做物理上的隔离。而单纯使用该技术，抵抗外部进入的能力较差，当和网络地址转换技术相结合时，就能实现更好的安全保证。
（三）入侵监测技术
入侵检测技术最早是由多萝西•丹宁（Dorothy Denning）于1986年提出的，近年来由于黑客盛行而受到极大重视。从具体的检测方法上看，可将检测系统分为基于行为的和基于知识的两种；从检测系统所分析的原始数据上看，可分为来自系统日志和网络数据包两种。入侵检测技术的基本原理是，首先收集系统的脆弱性指标建立检测库，再以此检测库检测其他系统中是否有已知的类似脆弱性；若发现新的脆弱性，又反过来更新原有检测库。如此往复，不断丰富检测库，及时发现系统脆弱性。入侵检测包括通过破译口令或使用软件非授权侵入系统、合法用户的信息外泄、冒充他人账户的闯入等多种内容。入侵检测技术已从早期的审计跟踪数据分析，发展到目前应用于大型网络和分布式系统。
（四）安全态势感知技术
安全态势感知主要包括态势要素获取、态势评估、态势预测三个阶段，能够实时地监测网络安全状态，快速准确地作出安全状态评判，并能利用网络安全属性的历史记录，以多角度、多尺度的可视化方式，为用户提供一个准确直观的网络安全态势走向图。安全态势感知完成了对信息收集和处理，并提供可行性建议，使得网络管理者能更好、更及时地保护网络系统的安全，作出正确的安全决策或者应急响应。
态势要素获取，是指通过安全态势感知数据采集技术收集网络的态势要素，例如网络拓扑、端口、流量、防火墙和入侵检测系统的报警信息等，为后续的安全态势评估以及预测提供数据基础。态势评估主要包括评估指标体系的建立、评估系统的设计等内容，其主要功能是综合评估网络安全状态及变化趋势，即利用前一阶段获取到的网络安全属性的历史记录，为用户提供一个准确的网络安全状态评判和网络安全状态的发展趋势，使网络管理者能够有目标地进行决策和防护准备。态势预测就是根据网络安全威胁发展变化的实际数据和历史资料，运用科学的理论、方法和各种经验、判断、知识去推测、评估、分析其在未来一定时期内可能的变化情况，在攻击发生之前，对攻击发生的数量及时空特性进行预测。其基本任务是根据获取的态势要素以及态势评估结果，准确识别网络中的攻击行为，从而对攻击的相关属性进行预测。其目的是防御突然的网络攻击，监视、识别网络上入侵行为的警戒手段，是网络防御系统的重要组成部分。
安全态势感知能够在大规模网络环境中综合各方面的安全因素，对影响网络安全的诸多要素进行获取、理解、评估，从整体上动态反映网络安全状况，并对安全状况的发展趋势进行预测和预警，为增强网络安全性提供可靠的参照依据。安全态势感知技术是对网络安全状态进行定量分析的一种有效手段，具有重要意义。
（五）匿名通信技术
匿名通信技术旨在隐藏通信内容或通信关系，从而更好地保护网络用户的个人通信隐私及涉密通信。目前，匿名通信技术已经成为网络安全的一个重要领域，是许多网络应用的基本需求。其中，通信内容的隐藏通过信息加密实现，信息加密是利用密码算法把明文变换成密文并通过公开信道送到接收者手中，只有接收者掌握正确的密钥才可以对加密数据进行解密，从而还原出明文信息。通信关系的隐藏通过使用重路由技术实现。重路由，是指来自发送者的消息通过一个或多个中间节点转发，最后才到达接收者，该机制为用户提供间接通信，多个主机的应用程序存储转发数据，形成一条由多个安全信道组成的虚拟路径，从而使攻击者无法获取通信双发的身份信息或者通信关系。
目前投入使用的匿名通信系统可以分为高延迟（High-latency）系统和低延迟（Low-latency）系统两类。高延迟系统带宽要求低、对延迟不敏感，主要用于E-mail等，而低延迟系统带宽要求高、对延迟比较敏感，主要用于匿名Web流量、即时通信等。安装匿名通信系统中代理的数目不同，可以分为单跳匿名通信系统和多跳匿名通信系统，单跳系统常见的有OpenSSH、Safe Web等，多跳匿名通信系统有Tor、JAP、I2P等。
北京世纪君达管理咨询有限公司成立于2011年，公司涉及军工三证等军密、国密资质咨询指导，定制化保密培训、各类安保产品销售等。是一家为企业提供保密工作咨询性服务的服务平台。公司专注于武器装备科研生产保密资格一级、二级、三级和国军标、武器装备科研生产许可证、武器装备承制名录、军工涉密业务咨询服务单位条件备案、国家秘密载体印制甲乙级、涉密信息系统集成甲乙级等军密国密资质的申请、复审等业务的咨询指导。立足北京，面向全国企、事业单位提供保密教育培训、企业保密管理咨询和军民融合科技咨询服务、涉密场所（保密室）建设、安全保密产品和涉密运行维护等服务。与多家法定行政许可鉴定评审/型式试验机构形成了合作互信关系，以便于能够第一时间掌握最新政策动向，知悉每一位客户所处行业动态，确保为广大客户提供最专业、最权威的企业顾问服务。
www.shijijunda.com
看到这里，你也了解了相关的知识内容了，在进行保密资质的办理时，只有按照相关的办理流程来进行才可以。如果你还有疑问，可以咨询我们专业的指导老师。
欢迎致电北京世纪君达，详询 400-018-5552 我公司十年经验，超高的通过率，专业咨询指导，为您腾飞助力！
