8）访问控制权：允许修改自己的访问权限
9）继承权屏蔽保密
继承权屏蔽可以决定某一目录或文件的代管者能够重复目录中继承的权限，如读、写、删除或修改等权限。
10）文件与目录属性保密
这是防止授权用户对文件或目录进行删除、拷贝、查看和修改等操作，并对被破坏或修改的文件加以标记的保护措施。它是Novell网的最高一级保密措施。
7.2.4防病毒问题
计算机病毒就是指一种能使自己附加到目标机系统的文件上的程序。在附加的过程中，病毒的源代码就被拼接到目标文件上，这个过程称之为感染。当一个文件被感染后，它就会有一个普通文件变成载体。从此时起，这个被感染的文件就能感染其它的未感染的文件，这个过程称之为复制。通过复制，病毒就能遍布整个硬盘，导致整个系统感染。在整个系统受到感染之前，一般是没有什么警告的，但当出现警告时，则已经太迟了。
一旦病毒攻击了一个可执行文件，那么当该文件执行时，就会感染其他文件，这个过程会持续进行，用不了多久，整个系统就会被感染。每次打开一个应用程序，至少有一个可执行文件被装入内存中，有些应用程序在启动时会打开几个文件，而有些则在执行一些特定操作时定期地打开多个文件。除了针对可执行文件的病毒以外，还有数千种针对数据文件的病毒。
内网的用户要频繁访问服务器，由于用户的软件、软盘都可能感染病毒，所以网络服务器要很好地设置目录和文件的禁删、禁写等属性，并充分发挥对目录和文件读写的权限控制，以防止病毒侵入服务器。
网络防病毒可以从以下两个方面入手：一是工作站，二是服务器。
内网的防病毒问题实际上指的就是类似于网络工作站的防病毒问题。下面简单介绍一下内网的防病毒方法。
目前，内网防病毒主要有以下几种方法：
1.采用无盘工作站
采用无盘工作站或工作站不允许使用软驱的方法，就能容易地控制用户端的病毒侵入问题，但用户在软件的使用上会受到一些限制。在一些特殊的应用场合，如仅做数据录入工作，采用此种方法是最简单、最保险的方法。
2.使用单机防病毒卡
装有单机防病毒卡的工作站对病毒的扫描无需用户介入，使用起来比较方便。但是，随着病毒类型的变化，防病毒卡可能也无法检测或清除某种病毒。有些应用软件在装有防病毒卡的工作站上使用时，会受到一些限制。
3.使用网络防病毒卡
网络防病毒卡一般是在网卡的远程引导芯片位置插入带有反病毒软件的EPROM。工作站每次开机后，先引导防病毒软件注入内存。防病毒软件将对工作站进行监视，一旦发现病毒，立即进行处理。本节从各个角度讨论了内网的安全问题实现安全型数量是依赖于多种因素的。在这些因素中，主要的因素就是你的网络所安装的操作系统。你可以在网络上设置各种防护装置，但是类似的措施最好也应该甚至必须在内网上安装。
7.3防范外网的非法入侵
从Internet问世以来，各种媒体报道有关侵犯网络安全方面的信息。因此安全问题已成为当今很热门的话题，它直接关系到安全生产和保密工作。Internet的迅速发展，提供了发布信息和检索信息的场所，但它也带来了信息污染和信息破坏的危险。人们为了保护其数据和资源的安全，采取多种方法保护网络的安全。
保证网络安全有五条行之有效的措施，它们是：
1.防火墙
网络的安全不仅表现在网络的病毒防治方面，而且还表现在系统抵抗外来非法黑客入侵的能力方面。对于网络病毒，我们可以通过KV3000、金山毒霸或瑞星杀毒软件来对付，对于防范网络“黑客”的入侵，网络防火墙技术便应运而生了。防火墙并非万能，但对于网络安全来说还是必不可少的。它是位于网络之间的屏障，一个是内部网络(可信赖的网络)，另一个是外部网络(不可信赖的网络)，防火墙按照系统管理员预先定义好的规则来控制数据包的进出。
大部分防火墙都采用了以下三种工作方式中的一种或多种：使用一个过滤器来检查数据包的来源和目的地，根据管理员的规定接收或拒绝数据包；扫描数据包，查找与应用相关的数据；在网络层对数据包进行模式检查，看是否符合已知“友好”数据包的位(bit)模式。
2.安全检查
防火墙是系统的第一道防线，用以防止非法数据的进入，作用则是阻止非法用户。有多种方法来鉴别一个用户的合法性，密码是最常用的，但由于有许多用户采用了很容易被猜到的单词或短语作为密码，使得该方法经常失效。故应采取：对人体生理特征(如指纹)的识别、智能卡和Toden等方法。
Toden是信用卡大小、可随身携带的一个装置。当用户登录进入网络时，服务器将提问一个口令，用户只需把口令键入Toden，再把它与显示出的应答内容输入服务器即可。智能卡与Toden的工作原理类似，只不过需要一个读卡机，以便自动完成口令输入和发送应答这一过程。
3.加密
目前，随着技术的进步，加密正逐步被集成到系统和网络中，如Intranet Engineering Task Fore正在发展的下一代网际协议IPv6。硬件方面，Intel公司也在研制用于PC机和服务器主板的加密协处理器。
加密是通过对信息的重新组合，使得只有收发双方才能解码还原信息。传统的加密系统是以密钥为基础的，这是一种对称加密，也就是说，用户使用同一个密钥加密和解码。
4.数字签名
如今，大多数电子交易采用两个密钥加密：密文和用来解码的密钥一起发送，而该密钥本身又被加密，还需要另一个密钥来解码。这种组合加密被称数字签名，它有可能成为未来电子商业中首选的安全技术。美国政府有一个自己的加密标准，DSS(Digital Signature Standard)，使用了Securure Hash运算法则。用该法则对信息处理，可得到一个160位(bit)的数字，把这个数字与信息的密钥以某种方式组合起来，从而得到数字签名。
5.内容检查
即使有防火墙、身份认证和加密，人们仍然担心遭到病毒的攻击。这些病毒通过E-mail或用户下载的Java和ActiveX小程序(Applet)进行传播。带病毒的Applet激活后，又可能会自动下载别的Applet。现有的反病毒软件可以清除E-mail病毒，而对付新型Java和ActiveX病毒也有一些办法，如完善防火墙，使之能够监控Applet的运行，或者给Applet加上标签，让用户知道它们的来源。
7.3.1防火墙
1.防火墙的概念
防火墙的本义原是指古代人们房屋之间修建的那道墙，这道墙可以防止火灾发生的时候蔓延到别的房屋。而这里所说的防火墙当然不是指物理上的防火墙，而是指隔离在本地网络与外界网络之间的一道防御系统，是这一类防范措施的总称。应该说，在互联网上防火墙是一种非常有效的网络安全模型，通过它可以隔离风险区域(即Internet或有一定风险的网络)与安全区域(局域网)的连接，同时不会妨碍人们对风险区域的访问。防火墙可以监控进出网络的通信量，从而完成看似不可能的任务；仅让安全、核准了的信息进入，同时又抵制对企业构成威胁的数据。随着安全性问题上的失误和缺陷越来越普遍，对网络的入侵不仅来自高超的攻击手段，也有可能来自配置上的低级错误或不合适的口令选择。因此，防火墙的作用是防止不希望的、未授权的通信进出被保护的网络，迫使单位强化自己的网络安全政策。一般的防火墙都可以达到以下目的：一是可以限制他人进入内部网络，过滤掉不安全服务和非法用户；二是防止入侵者接近你的防御设施；三是限定用户访问特殊站点；四是为监视Internet安全提供方便。由于防火墙假设了网络边界和服务，因此更适合于相对独立的网络，例如Intranet等种类相对集中的网络。防火墙正在成为控制对网络系统访问的非常流行的方法。事实上，在Internet上的Web网站中，超过三分之一的Web网站都是由某种形式的防火墙加以保护，这是对黑客防范最严，安全性较强的一种方式，任何关键性的服务器，都建议放在防火墙之后。
作为近年来新兴的保护计算机网络安全的技术性措施，防火墙是一种隔离控制技术。在某个机构的网络和不安全的网络之间设置障碍，阻止对信息资源的非法访问，也可以使用防火墙阻止专利信息从公司的网络上被非法输出。换言之，防火墙是一道门槛，控制进出两个方向的通信，通过限制与网络或某一特定区域的通信，以达到防止非法用户侵犯Internet和公用网络的目的。
防火墙位于单位的专有网络（内网）和Internet之间。从一个网络流向另一个网络的全部信息都流经防火墙，不允许任何信息绕开防火墙。防火墙能直接监视两个网络之间的信息流，能够完全阻断它们之间的信息流。如果防火墙真的起作用，外部的入侵者将永远的无法进入受保护的内部网络。防火墙还能完成其他一些重要的任务，如用户的认证，记录通信信息并产生报表等。
防火墙是一种被动防卫技术，由于它假设了网络的边界和服务，因此对内部的非法访问难以有效地控制，因此，防火墙最适合于相对独立的与外部网络互连途径有限、网络服务种类相对集中的单一网络.例如常见的企业专用网。
2.防火墙的目的
设计防火墙的目的有4点：
1）限制访问者进入一个被严格控制的点；
2）防止进攻者接近防御设备；
3）限制访问安装者离开一个被严格控制的点；
4）检查、筛选、过滤和屏蔽信息流中有害的服务，防止用户的计算机系统受到蓄意破坏。
因特网防火墙常常安装在受保护的内部网络与因特网的连接点上。
3.防火墙的类型
防火墙主要有3种基本类型，即包过滤型（Packet Filter）、代理服务型（Proxy Service）、复合型（Hybrid）和其它防火墙。
1）包过滤型（Packet Filter）。包过滤器安装在路由器上，并且大多数商用路由器都提供了过滤功能。另外PC机上同样可以安装包过滤软件。包过滤规则以IP包信息为基础，对IP源地址、目标地址、封装协议和端口等进行检查、筛选和屏蔽。
2）代理服务型（Proxy Service）。代理服务型防火墙通常由服务器端程序和客户端程序两部分组成。客户端程序与代理服务器连接，代理服务器再与要访问的外部服务器实际连接。它与包过滤型防火墙不同的是内部网络与外部网络之间不存在直接的连接。它还提供日志和申请服务。
3）复合型（Hybrid）。复合型把包过滤和代理服务两种方法结合起来，形成新的防火墙，所用的主机称为堡垒主机，负责代理服务。
4.防火墙的结构
防火墙可以使用户的网络规划更加清晰明了，全面防止跨越权限的数据访问（因为有些人登录后的第一件事就是试图超越权限限制）。一套完整的防火墙系统通常是由屏蔽路由器和代理服务器组成。屏蔽路由器是一个多端口的IP路由器，它通过对每一个到来的IP包依据组规则进行检查来判断是否对之进行转发。屏蔽路由器从包头取得信息，例如协议号、收发报文的IP地址和端口号、连接标志以至另外一些IP选项，对IP包进行过滤。代理服务器是防火墙中的一个服务器进程，它能够代替网络用户完成特定的TCP/TP功能。一个代理服务器本质上是一个应用层的网关，用户就一项TCP/TP应用，比如Telnet或者FTP，同代理服务器打交道，代理服务器要求用户提供其要访问的远程主机名。当用户答复并提供了正确的用户身份及认证信息后，代理服务器连通远程主机，为两个通信点充当中继。整个过程可以对用户完全透明。用户提供的用户身份及认证信息可用于用户级的认证。最简单的情况是：它只由用户标识和口令构成。但是，如果防火墙是通过Internet可访问的，应推荐用户使用更强的认证机制，例如一次性口令或回应式系统等。
屏蔽路由器的最大优点就是架构简单且硬件成本较低，而缺点则是建立包过滤规则比较困难，加之屏蔽路由器的管理成本及用户级身份认证的缺乏等。好在路由器生产商们已经认识到并开始着手解决这些问题，他们正在开发编辑包过滤规则的图形用户界面，制订标准的用户级身份认证协议，以提供远程身份认证拨入用户服务。
代理服务器的优点在于用户级的身份认证、日志记录和帐号管理。其缺点是要想提供全面的安全保证，就要对每一项服务都建立对应的应用层网关。这样使应用受限制。
屏蔽路由器和代理服务器通常组合在一起构成混合系统，其中屏蔽路由器主要用来防止IP欺骗攻击。目前采用最广泛的配置是Dual homed防火墙、被屏蔽主机型防火墙以及被屏蔽子网型防火墙。
