2006年6月14日 上午 10:15:00
发表者：王忻，Google 工程师
最近三年作为 Google（谷歌）的软件工程师，我每周会帮人事部门审查简历，决定要不要给他们面试。Google 这几年的发展让很多许多优秀的工程师都前来申请。到目前为止，我已经看了上千份简历，有些简历留下的印象比别的好很多。尤其是最近亲戚朋友常常问我如何修改他们的简历，所以我积累了一些常见的错误避免的提议，在此跟大家交流一下。
1．谈到你做过的技术时，应该提到用的程序语言、你的个人贡献和产品细节。
有时我看到有人把过去的经验在简历上一笔带过，比如说：
• 在三人小组里，为电子邮件软件写了些 features。
这是远远不够的，看简历的人希望了解你做的工作的难度和对本公司有多少联系，所以你最好写的具体一些。譬如：
• 用 C++ 语言写了网络电子邮件的自动 backups。在三人小组里，专门负责设计和写储存服务器。从设计开始， 一年后把这个功能 feature 的用户推到了三千。
2．多讲事实, 少用形容词。
看简历的人读你的简历时，需要做判断，所以在简历里需要事实和数目。如果你写“迅速的提高了软件的操作效率”，看简历的人很难判断你成就的难度。但如果你写“在3个星期内，把软件的操作效率提高了40%” 就好多了。
有些谦虚的朋友们不愿意把话说满，所以你也可以用这个办法。你如果说自己“突出”或“在项目上常常被请去救火”，听起来难免会有点骄傲。但你也可以用不能否认的事实来说明你的观点，如“《纽约日报》评这个产品为‘突出’”，或“加入了三个原本已落后于计划的项目小组，但经过努力和组员一起把它们都按时完成了。”
3．你获得的奖、商业的荣誉或表扬、受用户欢迎的产品和你做过的有难度的业余项目都该包括在简历里。
我有位朋友在硅谷一个著名的硬件公司做了六年，她设计的 IP phone（网络电话）为公司赚了上亿的收入，被公司与商业报道多次评了奖。我有一次在旧金山的高速公路上驾车时，看到路边有她产品的广告牌；还有一次我去上海度假时，竟然发现上海公路边上也有！
不久，这位朋友决定换工作，请我看看她的简历。我惊讶的发现，她居然轻描淡写的写了一句– “1998 – 2004：网络电话产品的硬件工程师组长” 和她的职责。
“产品赢的奖呢？它为公司赚的钱呢？” 我追问到。
“那些也该写吗？” 她说。
当然该写。
有人问，业余时间做的项目可不可以写？我觉得只要你的项目有代表性能说明对你的能力，都该包括。
4．分清主次，删掉相比之下不起眼的成绩，以免冲淡更加突出的成绩。
有朋友问，写简历是不是写的越多越好？譬如：
在甲公司做暑假实习生——
* 改善电子游戏的数值分类算法， 减少了内存要求 10%。
* 用 Java 写了 3000 行用户界面程序。
* 每周做两小时的人工测试。
你在申请软件工程师的职位时，我觉得前两点比较相关，第三点其实就不必写了。有时我看到有的简历里会提到，”按时完成了任务，产品符合原计划规格”。但读简历的人通常会认为这是理所当然的，而你把这些声明出来反而减弱简历的效果。
分类 : 网络日志 | 发表时间 16-06-2006
作者：aileenguan
来源：绿光互联(http://www.phpidc.net)
搞合租也算是有些时间了，经历了一些，也有一些经验和感触，愿意拿出来跟朋友们分享。请注意，在这里，只是用经验，用事实，用监测说话，而且是在大量机器基础上得出的结论。
1.首先要解释一个带宽的问题。
有人号称服务器100Mb带宽，却不肯提共享两个字。事实上，独占一条100Mb带宽每个月的费用都得在千元左右，这样，仅仅是带宽一年都得上万的费用。所以一般的IDC是不会让你独占这个带宽，正常来讲，这个100M带宽要分配给15台左右的机器，黑心的服务器商可能分配给更多的机器。而且，一般会给每一个机器设置带宽上限为10M上下。所以，记住，不会有100M独占的机器给你用，所谓的100M基本都是共享，分配到一个服务器上的也就是10M上下
这里不得不提到一个带宽单位的问题，要注意KB不等于Kb MB也不等于Mb B代表着byte，而b则是bit 1B=8b 所以由此类推，其实10Mb的带宽在你机器上的理论上的速度上限只有1.25MB 而事实上，除去部分头文件信息，这个数量就更少了。
那么，有人会提出疑问了，这样一个带宽，让服务器上那么多的用户使用，够吗？答案是肯定的，只要你不提供下载，就web访问而言，这是很足够了。本人现在几台服务器上均安装了iis流量的监测工具，虽然小有限制，但是在访问量高的时候，同时的带宽也就能限制在1MB/s左右。带宽是够的。
2.内存的问题
应该说参与合租的站点都不会太大，因为本人是在PHPWind论坛基础上号召起来的，所以参与的用户多数都是要自己做论坛的，一开始，考虑的配置是P4 3.0 (64位) 1G DDR400内存，这样子。但是很快发现，就算按照原本的20个人的用户，这个内存也很快被耗尽，此前就听人说论坛是资源大户，就现在来看，mysql吃内存太厉害，在2003+IIS6+Mysql平台上，常常mysql就要占去服务器高达四五百兆的内存，这就占用了服务器物理内存的50%。再加上iis占用，还有其他一些服务，基本上内存很容易告罄。所以后来的机器，内存只好自己掏钱一律扩容了，因为没有办法。我觉得最佳的配置应该是2G内存，1G是绝对不够的。再多无益，服务器的资源这样搭配是比较好的。
3.CPU的问题
与内存持续走高正好相反的是，对iis的应用程序池适当限制，可以控制CPU即使在峰值的时候也不会太高，现在当前时间是19：47 算是访问量开始变高的时候，我监测几台服务器的CPU使用率，均在40%徘徊。如果访问量在大一点，也就百分之六七十。曾经有一个自认为资深的朋友对这个服务器配置嗤之以鼻，认为根本不能用。但是他却忽略了两点：第一、倘若流量达到一定程度，是没有必要还跟人合租服务器的。其二、服务器的配置如果提高，相应的租赁的用户所要承担的费用则也要提高。但是不得不说的是，在这个配置的CPU，在备份mysql数据的时候，常常要占用相当高的CPU，我曾经在自己的机器上备份mysql数据，如果数据量过大，我个人的机器都几乎处于当机状态。（个人电脑P4 2.4G 1G内存）。所以，必须承认，这个配置的服务器，在论坛数据备份的时候，常常会出现问题。解决的办法就是用单独的应用程序池来做一个phpmyadmin站点，不限CPU使用，来解决问题。好在其一，倘若你的论坛数据库好几百兆，而你又是合租服务器，那么你没有必要天天去备份，如果那样，两三天之后，你的服务器空间就让备份文件占据完了。
4.服务器对用户流量等限制的问题
开始的时候，也想让大家用的爽，用得自在，所以也不愿意做任何限制，不限制iis，不限制cpu，不限之内存等等，但是后来才发现，就好像这个天底下的任何地方一样，不自觉的人总是太多，而且有的人程序出问题之后可能影响到其他人。所以到最后只是得到一个这样的结论对服务器不做任何限制是一个天大的谎言，那是不可能的。所以最理想的方法是建立独立的应用程序池，然后每一个用户占用一个应用程序池，在进行对CPU份额、内存使用、带宽占用的限制。服务器上20个用户，我一般限制每一个人最高8%的CPU，如果你去计算8%*20=160%，那无疑你是愚蠢的。一个服务器上的站点总是有大有小，而且，也基本不可能在同一瞬间都达到各自的峰值。所以有些小用户可能cpu永远也就1% 2%
5.服务器空间的小，5G = 10G = 20G
空间大可以说是合租服务器最大的亮点，但事实上，这个亮点也有值得商榷的地方，标榜的网络空间大也是服务器合租最大的幌子。常常有人问我单租不单租1G的空间。我都是一口拒绝，其实，磁盘空间只是一个幌子而已，因为可以说没有几个人用得了那么大的空间，给你1G的空间，但是你的cpu和内存份额仍然是一样，这有什么意义呢？其实可以说你跟5G的用户享受了一样的待遇。真正决定服务器合租价格的是分配给你的CPU和内存，而不是空间大小 所以如果你问我1G怎么卖，我会告诉你 Never. 但是如果你说空间可以不可以多给你几G，我会告诉你，No problem. 同样的CPU，同样的内存，如果我要1G单卖，1G300吧。但是我已知的成本固定，那么这就意味着我需要更多的用户才能拿回成本，那么，是否意味着你所使用的CPU份额就要更低呢？可以说零售小额空间，是某种程度上对合租用户权益的侵害。
6.电信网通双线以及相关问题
很多用户希望有一个双线机房，这样就能保证南北方访问的速度都很快，众所周知，当今中国ISP天下，南方电信北方网通，间或又有移动、铁通等也能够提供ISP接入服务。网络之间的互访互连速度慢，这是举国尽知的事实。如果是电信机房，是不敢打包票说网通的用户访问也能够如同电信用户一样快的，而作为网通机房，电信的用户去访问，那速度也是要比网通自己的用户去访问打一个折扣。应该说对于相关业务的具体内涵，本人也就是略知一二，曾和一个专门搞IDC的朋友谈，说及双线机房，他告诉我:双线机房都是个人搞的小机房，真正的骨干级机房，是不可能搞双线的，如果那样，还存在什么互联互通的问题？思索一二，也觉得有些道理。然后便访网上的主流IDC，确实难觅双线机房的踪迹。
7.合租服务器价格
一台普通的服务器租赁的一年的费用一般在1万元左右，便宜的可能在八九千，再低我就要对他的服务质量——譬如机器的性能，网络服务的质量产生怀疑了。因为这个价格是很容易计算出来的。服务器托管一年的费用一般在四千左右，如果一台机器一年送产权，莫非一台机器只价值2000元？一个P4 3.0 64位CPU的价钱大家都可以查得到。一般来说都是第二年送产权。很多合租者所看重的则是这个产权。而用户则是看中的便宜，空间大。组织有信誉的、值得信赖的合租，双方受益，反之则都彼此头疼不已。想要让服务器稳定的运行，并不是一件太简单的事情，经验的积累和自身的技术同样重要，两者不可或缺。
分类 : 系统安全 | 发表时间 15-06-2006
信息来源：http://gooo.77169.com/archives/2006/77592.html
一、问题的提出
大部分的木马及部分的病毒是通过注册表的自启动项或文件关联或通过系统服务实现自启动的，那是否有一种方法可以防止木马或病毒修改注册表项及增加服务呢？
二、问题的解决
windows2000/xp/2003的注册表是可以设置权限的，只是我们比较少用到。设置以下注册表键的权限：
1、设置注册表自启动项为everyone只读(Run、RunOnce、RunService)，防止木马、病毒通过自启动项目启动
2、设置.txt、.com、.exe、.inf、.ini、.bat等等文件关联为everyone只读，防止木马、病毒通过文件关联启动
3、设置注册表HKLM/SYSTEM/CurrentControlSet/Services为everyone只读，防止木马、病毒以”服务”方式启动
注册表键的权限设置可以通过以下方式实现：
1、如果在域环境里，可能通过活动目录的组策略实现的
2、本地计算机的组策略来(命令行用secedit)
3、本文通过setacl这个程序加批处理实现，可以在http://www.helge.mynetcologne.de/setacl/下载
4、手工操作可以通过regedt32(windows2000系统，在菜单“安全”下的“权限”)或regedit(windows2003/xp,在“编辑”菜单下的“权限”)
批处理代码在后面给出。
如果只有users组权限，以上键值默认是只读的，就可以不用这么麻烦了。
三、适用人群
1）、对电脑不是很熟悉，不经常安装/卸载软件的人
2）、喜欢在网上下载软件安装的朋友
3）、每台电脑的操作人员都有管理员权限，这些人的电脑水平又参差不齐的企业
四、还存在的问题
1）、安装杀毒软件，打补丁的时候都可能对那些注册表进行操作，这样就得先恢复权限设置，再安装，安装完成后重新设置。不方便
2）、防不住3721,不知是不是3721的权限太高了(听说3721是通过驱动程序启动的，有ring 0级权限)
3）、只适合windows2000/xp/2003，其他的就没办法了
4）、只能对付那些简单的病毒和木马
五、其他
大家看完本文看，可能禁不住大骂：神经病，两三句话就说完的事，非得搞得像论文，写这么一大堆，浪费我时间。如果真的是这样，那真的是对不起了。只因为公司在实施ISO，我也觉得ISO里提倡的东西蛮好的，为了规范化我的文档，我就多做些练习了。
打包好的程序可以到：
https://www.xfocus.net/php/tools.php?sub=down&tid=741下载。
六、批处理源代码
@goto start
==============================================================
名称：反特洛伊木马
功能：
1、禁用自启动项目(run runonce runservices)
2、禁止修改.txt、.com、.exe、.inf、.ini、.bat等等文件关联
3、禁止修改”服务”信息
原理：设置注册表权限为只读
版本修订情况
版本号 修订日期 修订人 修订内容
1.0 2004-12-22 netu0 创建本脚本
==============================================================
:start
@SETLOCAL
@rem 活动代码页设为中文
@chcp 936>nul 2>nul
@echo.
@echo ************************************************************
@echo #
@echo # 欢迎使用反特洛伊木马程序
@echo #
@echo #
@echo ************************************************************
:chkOS
@echo.
@ver find “2000″ > nul 2>nul
@if “%ERRORLEVEL%”==”0″ goto :2000
@ver find “Microsoft Windows [版本 5" > nul 2>nul
@if "%ERRORLEVEL%"=="0" goto :2003
@ver find "XP" > nul 2>nul
@if "%ERRORLEVEL%"=="0" goto :XP
@echo.
@echo #您的操作系统不是Windows 2000/XP/2003中的一种，无法使用。
@goto quit
@rem 在下面语句插不同系统的不同命令
:2000
@set UpdatePolicy=secedit /refreshpolicy machine_policy>nul 2>nul
@goto Selection
:XP
@set UpdatePolicy=GPUpdate /Force>nul 2>nul
@goto Selection
:2003
@set UpdatePolicy=GPUpdate /Force>nul 2>nul
@goto Selection
:Selection
@rem User Choice
@echo.
@echo 请输入以下选项前面的数字
@echo.
@echo 1： 安装反特洛伊木马保护
@echo 2： 删除反特洛伊木马保护(恢复默认设置)
@echo 3： 查看技术信息
@echo 4： 退出
@echo.
@set /p UserSelection=输入您的选择（1、2、3、4）
@if "%UserSelection%"=="1" goto install
@if "%UserSelection%"=="2" goto uninstall
@if "%UserSelection%"=="3" goto information
@if "%UserSelection%"=="4" goto quit
@rem 输入其他字符
@cls
@goto Selection
:information
@cls
@echo
============================================================
@echo #
@echo # 欢迎使用反特洛伊木马程序
@echo #
@echo #功能：
@echo #
@echo # 1、设置注册表自启动项为只读(Run、RunOnce、RunService)，
@echo # 防止木马、病毒通过自启动项目启动
@echo # 2、设置.txt、.com、.exe、.inf、.ini、.bat等等文件关联为只读，
@echo # 防止木马、病毒通过文件关联启动
@echo # 3、设置注册表HKLM/SYSTEM/CurrentControlSet/Services为只读
@echo # 防止木马、病毒以"服务"方式启动
@echo #
@echo #注意事项：
@echo # 某些安装程序也会用到以上注册表键，请在安装前运行本程序，
@echo # 然后选择2，恢复默认设置。安装完成后，重新运行本程序，
@echo # 然后选择1，实施反特洛伊木马保护
@echo ==============================================================
@echo.
@echo 按任意键，返回选择
@pause>nul 2>nul
@cls
@goto Selection
:install
@set OP=/grant everyone /read /p:no_dont_copy
@goto Doit
:uninstall
@set OP=/revoke everyone /read /p:yes
@goto Doit
oit
@echo.
@echo 正在执行操作...
@rem HKLM
@setacl machine/SOFTWARE/Microsoft/Windows/CurrentVersion/Run /registry %OP%>nul 2>nul
@setacl machine/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnce /registry %OP%>nul 2>nul
@setacl machine/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices /registry %OP%>nul 2>nul
@setacl machine/SOFTWARE/Microsoft/Windows/CurrentVersion/RunEX /registry %OP%>nul 2>nul
@setacl machine/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnceEX /registry %OP%>nul 2>nul
@setacl machine/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServicesEx /registry %OP%>nul 2>nul
@rem HKCU
@setacl CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/Run /registry %OP%>nul 2>nul
@setacl CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnce /registry %OP%>nul 2>nul
@setacl CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices /registry %OP%>nul 2>nul
@setacl CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/RunEX /registry %OP%>nul 2>nul
@setacl CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnceEX /registry %OP%>nul 2>nul
@setacl CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServicesEx /registry %OP%>nul 2>nul
@setacl CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServicesOnce /registry %OP%>nul 2>nul
@rem USERS
@setacl USER/SOFTWARE/Microsoft/Windows/CurrentVersion/Run /registry %OP%>nul 2>nul
@setacl USER/SOFTWARE/M
icrosoft/Windows/CurrentVersion/RunOnce /registry %OP%>nul 2>nul
@setacl USER/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices /registry %OP%>nul 2>nul
@setacl USER/SOFTWARE/Microsoft/Windows/CurrentVersion/RunEX /registry %OP%>nul 2>nul
@setacl USER/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnceEX /registry %OP%>nul 2>nul
@setacl USER/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServicesEx /registry %OP%>nul 2>nul
@setacl USER/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServicesOnce /registry %OP%>nul 2>nul
@rem Services
@setacl MACHINE/SYSTEM/CurrentControlSet/Services /registry %OP%>nul 2>nul
@rem CLASSES_ROOT
@setacl CLASSES_ROOT/exefile/shell/open/command /registry %OP%>nul 2>nul
@setacl CLASSES_ROOT/inifile/shell/open/command /registry %OP%>nul 2>nul
@setacl CLASSES_ROOT/txtfile/shell/open/command /registry %OP%>nul 2>nul
@setacl CLASSES_ROOT/comfile/shell/open/command /registry %OP%>nul 2>nul
@setacl CLASSES_ROOT/batfile/shell/open/command /registry %OP%>nul 2>nul
@setacl CLASSES_ROOT/inffile/shell/open/command /registry %OP%>nul 2>nul
@echo 正在更新帐户策略、审核策略......
@REM [刷新本地安全策略]
@%UpdatePolicy%>nul 2>nul
@echo 帐户策略、审核策略更新完成
:complete
@echo 操作完成
@echo.
@echo.
@echo 请按任意键退出。
@pause>nul 2>nul
:quit
@rem Clear
@del %systemroot%/system32/setacl.exe>nul 2>nul
@del %systemroot%/system32/AntiTrojanhorse.bat>nul 2>nul
@ENDLOCAL
假设你的名字叫小不点，你住在一个大院子里，你的邻居有很多小伙伴，在门口传达室还有个看大门的李大爷，李大爷就是你的网关。当你想跟院子里的某个小伙伴玩，只要你在院子里大喊一声他的名字，他听到了就会回应你，并且跑出来跟你玩。
但是你不被允许走出大门，你想与外界发生的一切联系，都必须由门口的李大爷（网关）用电话帮助你联系。假如你想找你的同学小明聊天，小明家住在很远的另外一个院子里，他家的院子里也有一个看门的王大爷（小明的网关）。但是你不知道小明家的电话号码，不过你的班主任老师有一份你们班全体同学的名单和电话号码对照表，你的老师就是你的DNS服务器。于是你在家里拨通了门口李大爷的电话，有了下面的对话：
小不点：李大爷，我想找班主任查一下小明的电话号码行吗？
李大爷：好，你等着。（接着李大爷给你的班主任挂了一个电话，问清楚
了小明的电话）问到了，他家的号码是211.99.99.99
小不点：太好了！李大爷，我想找小明，你再帮我联系一下小明吧。
李大爷：没问题。（接着李大爷向电话局发出了请求接通小明家电话的请
求，最后一关当然是被转接到了小明家那个院子的王大爷那里，然后王大
爷把电话给转到小明家）
就这样你和小明取得了联系。
至于DHCP服务器嘛，可以这样比喻：
你家院子里的居民越来越多了，传达室李大爷那里的电话交换机已经不能满足这么多居民的需求了，所以只好采用了一种新技术叫做DHCP，居民们开机的时候随机得到一个电话号码，每一次得到的号码都可能会不同。
你家门口的李大爷：就是你的网关
你的班主任：就是你的DNS服务器
传达室的电话交换机：就是你的DHCP服务器
同上，李大爷和王大爷之间的对话就叫做路由。
另：如果还有个小朋友叫做小暗，他住的院子看门的是孙大爷，因为小暗的院子刚盖好，孙大爷刚来不久，他没有李大爷和王大爷办公室的电话（李大爷和王大爷当然也没有他的电话），这时会有两种情况：
1、居委会的赵大妈告诉了孙大爷关于李、王两位大爷的电话（同时赵大妈也告诉了李、王关于孙的电话），这就叫静态设定路由
2、赵大妈病了，孙大爷自己到处打电话，见人就说：“我是小暗他们院子管电话的”，结果被李、王二位听到了，就记在了他们的通讯录上，然后李、王就给孙大爷回了个电话说：“我是小明（小不点）他们院子管电话的”，这就叫动态设定路由
然后有一天小不点要找小暗，结果自然是小不点给李大爷打电话说：“大爷，我找小暗”（这里省略了李大爷去查小暗电话的过程，假设他知道小暗的电话），李大爷一找通讯录：“哦，小暗的院子的电话是孙大爷管着的，要找小暗自然先要通知孙大爷，我可以通知王大爷让他去找孙大爷，也可以自己直接找孙，那当然是自己直接找孙方便了”，于是李大爷给孙大爷打了电话，然后孙大爷又把电话转到了小暗家。
这里李大爷的通讯录叫做路由表。
李大爷选择是自己直接找孙大爷还是让王大爷帮忙转接叫做路由选择。
李大爷之所以选择直接找孙大爷是有依据的，因为他直接找孙大爷就能一步到位，如果要王大爷转接就需要两步才能完成，这里的“步”叫做“跳数”，李大爷的选择遵循的是最少步骤（跳数）原则（如果他不遵守这个原则，小不点可能就会多等些时间才能找到小暗，最终结果可能导致李大爷因工作不力被炒鱿鱼，这叫做“延时太长，选路原则不合理，换了一个路由器”）
当然，事情总是变化的，小不点和小明吵架了，这些天小不点老是给小暗打电话，小明心里想：“操，他是不是在说我坏话啊？”于是小明决定偷听小不点和小暗的通话，但是他又不能出院子，怎么办呢？小明做了这样一个决定：
首先他告诉自己院里管电话的王大爷说：“你给李大爷打个电话说小暗搬到咱们院子了，以后凡是打给他的电话我来接”，王大爷没反映过来（毕竟年纪大了啊！）就给李大爷打了电话，说：“现在我来管理小暗的电话了，孙已经不管了”，结果李大爷就把他的通讯录改了，这叫做路由欺骗。
以后小不点再找小暗，李大爷就转给王大爷了（其实应该转给孙大爷的），王大爷收到了这个电话就转给了小明（因为他之前已经和小明说好了），小明收到这个电话就假装小暗和小不点通信。因为小明作贼心虚，害怕明天小不点和小暗见面后当面问他，于是通信断了之后，又自己以小不点的名义给小暗通了个电话复述了一遍刚才的话，有这就叫数据窃听
再后来，小不点还是不断的和小暗联系，而零落了小明，小明心里嘀咕啊：“我不能总是这样以小暗的身份和小不点通话啊，外一有一天露馅了怎么办！”于是他想了一个更阴险的招数：“干脆我也不偷听你们的电话了，你小不点不是不给我打电话吗！那我让你也给小暗打不了，哼哼！”，他怎么做的呢？我们来看：
他联系了一批狐朋狗友，和他们串通好，每天固定一个时间大家一起给小暗院子传达室打电话，内容什么都有，只要传达室的孙爷爷接电话，就会听到“打雷啦，下雨收衣服啊！”、“人是人他妈生的，妖是妖他妈生的”、“你妈贵姓”等等，听的脑袋都大了，不听又不行，电话不停的响啊！终于有一天，孙爷爷忍不住了，大喊一声：“我受不了拉！！！！”，于是上吊自杀了！
这就是最简单的DDOS攻击，孙爷爷心理承受能力弱的现象叫做“数据报处理模块有BUG”，孙爷爷的自杀叫做“路由器瘫痪”。如果是我，就会微笑着和他们拉家常，例如告诉他们“我早就听了天气预报，衣服10分钟前已经收好了”或者“那你妈是人还是妖”或者“和你奶奶一个姓”等等，我这种健全的心理叫做“健壮的数据报处理，能够抵御任何攻击”
孙爷爷瘫了之后，小不点终于不再给小暗打电话了，因为无论他怎么打对方都是忙音，这种现象叫做“拒绝服务”，所以小明的做法还有一个名字叫做“拒绝服务攻击”。
小明终于安静了几天，…
几天后，小明的院子来了一个美丽的女孩，名字叫做小丽，小明很喜欢她（小小年纪玩什么早恋！）可是小丽有个很帅的男朋友，小明干瞪眼没办法。当然这里还是要遵循上面的原则：小丽是不能出院子的。那个男的想泡小丽自然只能打电话，于是小明又蠢蠢欲动了：
还记得王爷爷是院子的电话总管吗？他之所以能管理电话是因为他有一个通讯录，因为同一个院子可能有2个孩子都叫小明，靠名字无法区分，所以通讯录上每一行只有两项：
门牌 电话
一号门 1234567 （这个是小明的）
二号门 7654321 （这个是小丽的）
……
王爷爷记性不好，但这总不会错了吧（同一个院子不会有2个“二号门”吧）？每次打电话人家都要说出要找的电话号码，然后通过通讯录去院子里面敲门，比如人家说我找“1234567”，于是王爷爷一比较，哦，是一号门的，他就去敲一号门“听电话”，如果是找“7654
321”，那他就找二号门“听电话”。
这里的电话号码就是传说中的“IP地址”
这里的门牌号就是传说中的网卡的’MAC‘地址（每一块网卡的MAC地址都是不一样的，这是网卡的制造商写死在网卡的芯片中的）
小明心里想“奶奶的，老子泡不到你也别想泡”，于是他打起了王爷爷通讯录的主意，经过细心的观察，周密的准备，他终于发现王爷爷有尿频的毛病（毕竟是老人啊…），终于在一个月黑风高的白天，王爷爷去上厕所了，小明偷偷的摸进传达室，小心翼翼的改了王爷爷的通讯录……
过了几天，小丽的男朋友又给小丽打来了电话，对方报的电话是“7654321”，王爷爷一看通讯录，靠：
门牌 电话
一号门 1234567 （这个是小明的）
一号门 7654321 （注意：这个原来是小丽的，但是被小明改了）
……
王爷爷不知道改了啊，于是就去找一号门的小明了，小明心里这个美啊，他以小丽父亲的口吻严厉的教训了那个男的和小丽之间不正当的男女关系，结果那个男的恭恭敬敬的挂了电话。当然小丽并不知道整个事情的发生…
这里小明的行为叫做“ARP欺骗”（因为在实际的网络上是通过发送ARP数据包来实现的，所以叫做“ARP欺骗”），王爷爷的通讯录叫做“ARP表”
这里要注意：王爷爷现在有两个通讯录了，一个是记录每个院子传达室电话的本本，叫做“路由表”，一个是现在说的记录院子里面详细信息的本本，叫做“ARP表”。
有句命言是“人们总是在追求完美的，尽管永远也做不到”（请记住这句话，因为这是一个大名人–也就是我，说的）
王爷爷的制度中有一条是这么写的“每个月要重新检查一下门牌号和电话的对应本（也就是ARP表）”，这个动作叫做“刷新ARP表”，每个月的时间限制叫做“刷新ARP表的周期”。这样小明为了让那个男的永远不能找到小丽，之后每个月都要偷偷改一次那个通讯录，不过这样也是不得不做的事啊！
补充一点，小明是很聪明的，如果通讯录（ARP表）被改成了这样：
门牌（MAC） 电话（IP）
一号门 1234567 （这个是小明的）
二号门 1234567 （注意：这个被小明改了，但是他一时头晕改错了）
……
就会是计算机就会弹出一个对话框提示“出现重复的IP地址”，最终会导致王爷爷不知所措，于是通知一号门和二号门，你们的电话重复了。这样小丽就知道有人在破坏她的好事，这个现象叫做“骗局被揭穿了”
小不点知道了小明偷听他和小暗的电话，于是就和小暗约定好了密码。小不点在家里把要说的加密了之后告诉小暗。土豆－〉星期三，地瓜－〉请客，笨蛋－〉小不点家。于是小不点告诉小暗：土豆笨蛋地瓜。小明听了？？？不懂。。。。郁闷了。。。这是加密。
除此之外，小丽也知道了小明改他家的电话号码了。于是王爷爷就登门一个一个把电话和门牌号记下来。并且藏起来不允许外人修改，只能自己有钥匙（密码）。这是ip地址和MAC地址绑定。当有人改了电话号码的时候，就得找王爷爷改。麻烦是麻烦了，但是安全了。不过小明偷偷的把王爷爷的钥匙偷配了一把（盗窃密码成功），于是他还可以修改。这样么，就这样了。
分类 : 技术文摘 | 发表时间 14-06-2006
～～技术纵横提示～～
1、在线扫描时，应关闭除浏览器之外的所有程序；
2、建议使用Internet Explorer(IE浏览器)来打开下面的网址，一些基于IE核心的浏览器可能会造成无法扫描或出现错误提示。
3、您的IE浏览器应升级到最新版本，某些安全厂商的在线查杀功能不支持IE 4.x浏览器。
此文由本站原创，转载请注明出处“（来自techxy.com）”，谢谢！
～～以下厂商地址，排名不分先后～～
==中文==
趋势科技在线扫毒
说明：需要安装ActiveX插件
地址：http://www.trendmicro.com.cn/housecall/start_corp.asp
光华反病毒软件在线杀毒
地址：http://www.viruschina.com/free/freevirus.asp
金山毒霸免费查毒
地址：http://zs.kingsoft.com/safe_intro_1.shtml
金山在线杀毒
地址：http://scan.kingsoft.com/scan/oscan/retail.htm
瑞星免费在线查毒
地址：http://online.rising.com.cn/free/index.htm
安博士间谍软件在线查杀
地址：http://auth70.ahn.com.cn/shopping/spyzero.jsp
安博士在线杀毒
地址：http://auth70.ahn.com.cn/shopping/myv3.jsp
熊猫在线杀毒
地址：http://www.pandasoftware.com/activescan/activescan.asp?Language=8&Country=44&Partner=25&Ref=CN-PR-AS-108
天网安全扫描
地址：http://pfw.sky.net.cn/news/info/list.php?sessid=&sortid=17
CA eTrust在线扫描
说明：需要安装ActiveX插件
地址：http://www3.ca.com/securityadvisor/virusinfo/scan.aspx
==英文==
BitDefender-欧洲著名的安全厂商
地址：http://www.bitdefender.com/scan8/ie.html
avast!在线扫描
说明：支持单个文件扫描，每个文件大小限制不超过512KB
地址：http://onlinescan.avast.com/
微软Live.com在线安全扫描
说明：需要安装插件
地址：http://safety.live.com/
SpywareGuide在线扫描
说明：需要安装ActiveX插件
地址：http://www.spywareguide.com/onlinescan.php
Kaspersky(卡巴斯基)在线扫描
说明：无须插件，扫描文件大小不能超过1MB
地址：http://www.kaspersky.com/scanforvirus
WindowSecurity在线木马扫描
说明：需要安装ActiveX插件
地址：http://www.windowsecurity.com/trojanscan/
SpywareInfo-间谍软件在线扫描
说明：需要安装ActiveX插件
地址：http://www.spywareinfo.com/xscan.php
F-Secure在线病毒扫描
说明：需要安装ActiveX插件
地址：http://support.f-secure.com/enu/home/ols.shtml
ewido在线扫描beta测试版
说明：需要安装ActiveX插件
http://www.ewido.net/en/onlinescan/run/
PandaSoftware间谍软件在线扫描查杀
说明：需要安装Toolbar
http://www.pandasoftware.com/products/spyxposer/
分类 : 技术文摘 | 发表时间 14-06-2006
许多新型的Client／Server应用程序以及多媒体技术的出现，导致了传统 的共享式网络远远不能满足要求，这也就推动了局域网交换机的出现。
1、交换机的定义
局域网交换机拥有许多端口，每个端口有自己的专用带宽，并且可以连接不同的网段。交换机各个端口之间的通信是同时的、并行的，这就大大提高了信息吞吐量。为了进一步提高性能，每个端口还可以只连接一个设备。
为了实现交换机之间的互连或与高档服务器的连接，局域网交换机一般拥有一个或几个高速端口，如100M以太网端口、FDDI端口或155M ATM端口，从而保证整个网络的传输性能。
2、交换机的特性
通过集线器共享局域网的用户不仅是共享带宽，而且是竞争带宽。可能由于个别用户需要更多的带宽而导致其他用户的可用带宽相对减少，甚至被迫等待，因而也就耽误了通信和信息处理。利用交换机的网络微分段技术，可以将一个大型的共享式局域网的用户分成许多独立的网段，减少竞争带宽的用户数量，增加每个用户的可用带宽，从而缓解共享网络的拥挤状况。由于交换机可以将信息迅速而直接地送到目的地能大大提高速度和带宽，能 保护用户以前在介质方面的投资，并提供良好的可扩展性，因此交换机不但是网桥的理想替代物，而且是集线器的理想替代物。
与网桥和集线器相比，交换机从下面几方面改进了性能：
（1）通过支持并行通信，提高了交换机的信息吞吐量。
（2）将传统的一个大局域网上的用户分成若干工作组，每个端口连接一台设备 或连接一个工作组，有效地解决拥挤现像。这种方法人们称之为网络微分 段（Micro一segmentation）技术。
（3）虚拟网（VirtuaI LAN）技术的出现，给交换机的使用和管理带来了更大 的灵活性。我们将在后面专门介绍虚拟网。
（4）端口密度可以与集线器相媲美,一般的网络系统都是有一个或几个服务器，而绝大部分都是普通的客户机。客户机都需要访问服务器，这样就导致服务器的通信和事务处理能力成为整个网络性能好坏的关键。
交换机就主要从提高连接服务器的端口的速率以及相应的帧缓冲区的大小，来提高整个网络的性能，从而满足用户的要求。一些高档的交换机还采用全双工技术进一步提高端口的带宽。以前的网络设备基本上都是采用半双工的工作方式，即当一台主机发送数据包的时候， 它就不能接收数据包，当接收数据包的时候，就不能发送数据包。由于采用全双工技术，即主机在发送数据包的同时，还可以接收数据包，普通的10M端口就可以变成20M端口，普通的100M端口就可以变成200M 端口，这样就进一步提高了信息吞吐量。
3、交换机的工作原理
传统的交换机本质上是具有流量控制能力的多端口网桥，即传统的（二层） 交换机。把路由技术引入交换机，可以完成网络层路由选择，故称为三层交换，这是交换机的新进展。交换机（二层交换）的工作原理交换机和网桥一样，是工作在链路层的联网设备，它的各个端口都具有桥接功能，每个端口可以连接一个LAN或一台高性能网站或服务器，能够通过自学习来了解每个端口的设备连接情况。所有端口由专用处理器进行控制，并经过控制管理总线转发信息。
同时可以用专门的网管软件进行集中管理。 除此之外，交换机为了提高数据交换的速度和效率，一般支持多种方式。
（1）存储转发：
所有常规网桥都使用这种方法。它们在将数据帧发柱其他端口之前，要把收到的帧完全存储在内部的存储器中，对其检验后再发往其他端口，这样其延时等于接收一个完整的数据帧的时间及处理时间的总和。如果级联很长时，会导致严重的性能问题，但这种方法可以过滤掉错误的数据帧。
（2）切入法：
这种方法只检验数据帧的目标地址，这使得数据帧几乎马上就 可以传出去，从而大大降低延时。
其缺点是：错误帧也会被传出去。错误帧的概率较小的情况下，可以采用切入法以提高传输速度。而错误帧的概率较大的情况下，可以采用存储转发法／以减少错误帧的重传。
4、交换机的配置
我们下面以Cisco公司的Catlystl900交换机为例，介绍交换机的一般配置过程。
对一台新的Catlystl900交换机，使用它的缺省配置就可以工作了。这因为它是一种将软件装在FlashMemory中的硬件设备，当加电时，它首先要进行一系列自检，对所有端口进行测试之后，交换机就处于工作状态。这时它的交换表是空的，它可以通过自学习来了解各个端口的设备连接情况，并将设备的 MAC地址记录在交换表中，当有信息交换时，交换机就根据交换表来进行数据转发。
但为了便于对它进行网络管理，Catlystl900交换机自己有一个MAC地址，这样就可以为它分配一个IP地址和屏蔽码。网络管理员须通过交换机的串口接一台终端或仿真终端，才能为它指定一个IP地址，其缺省值是0．0．0．0。指定IP地址以后，网络管理员就可以通过网络进行远程管理了。Catlystl900交换机的配置界面是菜单形式，缺省配置下，它的所有端口都属于同一个VLAN，很多情况下都不需要作什么修改。
（1）将微机串口通过RS一232电缆与Cata1yst1900的Console口连接，运行仿真终端软件，Catalyst 1900 启动后。
（2）回车后，进入主菜单：
（3）按“S”键，进入系统配置菜单：（配置系统名，位置，日期）
（4）在主菜单中按“N”键进入网络管理菜单
（5）配置IP地置
（6）配置SNMP参数
5、交换机的种类
交换机是数据链路层设备，它可将多个物理LAN网段连接到一个大型网络上，与网络类似交换机传输和溢出也是基于MAC地址的传输。由于交换机是用硬件实现的，因此，传输速度很快。传输数据包时，交换机要么使用存储—转发交换方式，要么使用断—通交换方式。目前有许多类型的交换机，其中包括ATM交换机，LAN交换机和不同类型的WAN交换机。
ATM交换机
ATM（Asynchronous Transfer Mode）交换机为工作组，企业网络中枢以及其它众多领域提供了高速交换信息和可伸缩带宽的能力。ATM交换机支持语音，视频和文本数据应用，并可用来交换固定长度的信息单位（有时也称元素）。企业网络是通过ATM中枢链路连接多个LAN组成的。
局域网交换机
LAN交换机用于多LAN网段的相互连接，它在网络设备之间进行专用的无冲突的通信，同时支持多个设备间的对话。LAN交换机主要是用于高速交换数据帧。通过LAN交换机将一个0Mbps以太网与一个100Mbps 以太网互联。
分类 : 系统安全 | 发表时间 14-06-2006
近年来各式各样的网络诈骗案件层出不穷，假冒工商银行、假冒购物网站不知夺取了多少人的血汗钱，针对这一现象，有人形象地称之为“网络钓鱼”，很不幸的是，不法分子利用我们的疏忽屡屡得逞，今天笔者整理出目前最常用的网络钓鱼的八种作案手法，希望大家能够引以为戒，擦亮双眼，保护好自己的网络。
愿者上钩
什么是网络钓鱼
网络钓鱼（Phishing）一词，是“Fishing”和“Phone”的综合体，由于黑客始祖起初是以电话作案，所以用“Ph”来取代“F”，创造了“Phishing”。
“网络钓鱼”攻击利用欺骗性的电子邮件和伪造的Web站点来进行诈骗活动，受骗者往往会泄露自己的财务数据，如信用卡号、账户用户名、口令和社保编号等内容。诈骗者通常会将自己伪装成知名银行、在线零售商和信用卡公司等可信的品牌，在所有接触诈骗信息的用户中，有高达5%的人都会对这些骗局做出响应。
在美国和英国已经开始出现专门反网络钓鱼的组织，越来越多在线企业、技术公司、安全机构加入到反“网络钓鱼”组织的行列，比如微软、戴尔都宣布设立专案分析师或推出用户教育计划，微软还捐出4.6万美元的软件，协助防治“网络钓鱼”。
网络钓鱼最常用的八大作案手法汇总介绍：
1、网上拍卖不给商品
美国联邦贸易委员会最新公布的《扫荡网络诈骗》报告中，列举了全球十大最流行、最猖獗的网上欺诈手法，其中以网上拍卖名列榜首，受害人大多数是中标付款后却收不到商品。据2002美国全国消费者协会调查，去年一年，美国有41%的网上拍卖交易买方投诉被骗，人均损失326美元。而据IFCC调查，网上拍卖活动中发生的诈骗案件占全部网上诈骗案件的43%。
这种最直白的行谝手法居然在我国也大行其道。山东泰安的王先生，他在雅宝拍卖网上通过网上竞价的方式购买了一部Nokia8810手机。汇款给卖主后，王先生就和这位名叫“kiss590069”的物主失去了联系。后经调查发现:这位“kiss590069”还通过类似的方法，骗取了另外四位网友的钱。在警方的介入下，才得以挽回了损失。类似的案例在网上比比皆是。
·别上钩 网络钓鱼最常用八大作案手法
2、发送电子邮件以虚假信息引诱用户中圈套
如去年2月份发现的一种骗取美邦银行(SmithBarney)用户帐号和密码的“网络钓鱼”电子邮件，该邮件利用了IE的图片映射地址欺骗漏洞，并精心设计脚本程序，用一个显示假地址的弹出窗口遮挡住了IE浏览器的地址栏，使用户无法看到此网站的真实地址。当用户使用未打补丁的Outlook打开此邮件时，状态栏显示的链接是虚假的。
当用户点击链接时，实际连接的是钓鱼网站http://**.41.155.60:87/s。该网站页面酷似SmithBarney银行网站的登陆界面，用户一旦输入了自己的帐号密码，这些信息就会被黑客窃取。
3、建立假冒网站骗取用户帐号密码实施盗窃
犯罪分子建立起域名和网页内容都与真正的网上银行系统、网上证券交易平台极为相似的网站，引诱用户输入账号密码等信息，进而通过真正的网上银行、网上证券系统或者伪造银行储蓄卡、证券交易卡盗窃资金;还有的利用跨站脚本，即利用合法网站服务器程序上的漏洞，在站点的某些网页中插入恶意Html代码，屏蔽住一些可以用来辨别网站真假的重要信息，来窃取用户的真实信息。
例如，曾出现过的某假冒银行网站，网址为1cbc.com.cn。而真正银行网站是icbc.com.cn，犯罪分子利用数字1和字母i非常相近的特点企图蒙蔽粗心的用户。
又如2004年7月发现的某假网站(网址为1enovo.com)而真网站的网址为lenovo.com，诈骗者利用了小写字母l和数字1很相近的障眼法。通过QQ散布“XX集团和XX公司联合赠送QQ币”的虚假消息，引诱用户访问该假网站。
用户一旦访问该网站，首先生成一个弹出窗口，上面显示“免费赠送QQ币”的虚假消息。而就在该弹出窗口出现的同时，恶意网站的主页面就会在后台通过多种IE漏洞下载病毒程序lenovo.exe(TrojanDownloader.Rlay)，并在2秒钟后自动转回到真正的网站主页，使用户在毫无觉察中就感染了病毒。
病毒程序执行后，将下载该网站上的另一个病毒程序bbs5.exe，用来窃取用户的传奇帐号、密码和游戏装备。当用户通过QQ聊天时，还会自动发送包含恶意网址的消息。
4、利用虚假的电子商务进行诈骗
从事这类网络诈骗活动的不法分子，大都采用在知名电子商务网站如“易趣”、“淘宝”、“阿里巴巴”等，发布虚假信息，以所谓“超低价”、“免税”、“走私货”、“慈善义卖”的名义出售各种商品。很多人在他们低价的诱惑下上当受骗。
由于网上交易多是异地交易，通常需要汇款。不法分子一般要求消费者先付部分款，再以各种理由诱骗消费者付余款或者其他各种名目的款项，等到钱款或他们的伎俩被识破时，就立即切断与消费者的联系。
·别上钩 网络钓鱼最常用八大作案手法
5、利用木马和黑客技术窃取用户信息后实施盗窃
木马制作者通过发送邮件或在网站中隐藏木马等方式大肆传播木马程序，当感染木马的用户进行网上交易时，木马程序即以键盘记录的方式获取用户账号和密码，并发送给指定邮箱，用户资金必然受到严重威胁。
去年网上出现的、盗取某银行个人网上银行帐号和密码的木马Troj_HidWebmon及其变种，它甚至可以盗取用户数字证书。又如去年出现的木马“证券大盗”，它可以通过屏幕快照将用户的网页登录界面保存为图片，并发送给指定邮箱。黑客通过对照图片中鼠标的点击位置，就很有可能破译出用户的账号和密码，从而突破软键盘密码保护技术，严重威胁网上证券交易安全。
6、网址欺骗
网址欺骗是网络骗子利用人们很难记住众多网址的特点，采用以假乱真的手法进行的又一种“网络钓鱼”诈骗活动，中国一名捐款者用搜索引擎查找到一个名为“中华慈善总会”的网站chinacharity.cn.net，结果却发现真网址应该为chinacharity.cn。前者比后者只多了个net，已经完全到了以假乱真的地步。
7、利用用户弱口令等漏洞破解猜测用户帐号和密码
不法分子利用部分用户贪图方便的特点，在一些网站设置弱口令的漏洞，对银行卡密码进行破解。如2004年10月，三名犯罪分子从网上搜寻到某银行储蓄卡卡号，然后登陆该银行网上银行网站，尝试破解了弱口令，并屡屡得手。
8、利用手机短信进行诈骗
手机的普及使犯罪分子觉得利用手机短信进行诈骗，十分方便而又快捷。于是，近年来利用手机短信进行诈骗的活动猖獗起来。由一部储存着手机号码的电脑控制的“群发器”，平均3秒就发出一条短信息。
而更令人震惊的是，被视为高度机密、连警方办案都提取不到的各省市移动电话号码分段表，在犯罪分子的电脑里居然可以查到。不仅如此，作案者的电脑里的控制软件还有自动识别功能。尾数为“8888”等吉利数
字的手机，给它发出的短信“中奖奖品”起码是一辆汽车。软件设计者显然知道，用数字吉利的电话号码者多是有钱人。而这些犯罪嫌疑人利用自制的手机短信群发器，在1分钟内就可以向全国各地发出一万条诈骗信息，如果一万个人中有几个人上当，他们的收入就很可观了。
小结：
也许有人会感觉这种“网络钓鱼”防不胜防，因为它们实在太逼真、太具有诱惑力了，不法分子恰恰抓住了我们疏于防范，喜欢贪图小便宜的弱点。所以，提高警惕是我们最好的解决办法，对来历不明的邮件、弹出的网页或陌生人的短消息都要格外注意，千万别上钩。
分类 : 技术文摘 | 发表时间 14-06-2006
RAID入门基础及RAID0技术详解
随着计算机应用的日益普及，人们对计算速度和性能的要求也逐渐提高。在一个完整的计算机系统中，CPU和内存的作用固然重要，但是数据存储设备性能的好坏和速度的快慢也直接影响到整个系统的表现。本文所要讲解的RAID技术起初主要应用于服务器高端市场，但是随着个人用户市场的成熟和发展，正不断向低端市场靠拢，从而为用户提供了一种既可以提升硬盘速度，又能够确保数据安全性的良好的解决方案。本文将对RAID技术进行较为详细的介绍，希望能够对广大读者有所帮助。
入门基础
RAID是英文Redundant Array of Inexpensive Disks的缩写，中文简称为磁盘阵列。其实，从RAID的英文原意中，我们已经能够多少知道RAID就是一种由多块廉价磁盘构成的冗余阵列。虽然RAID包含多块磁盘，但是在操作系统下是作为一个独立的大型存储设备出现。RAID技术分为几种不同的等级，分别可以提供不同的速度，安全性和性价比。
人们在开发RAID时主要是基于以下设想，即几块小容量硬盘的价格总和要低于一块大容量的硬盘。虽然目前这一设想还没有成为现实，RAID在节省成本方面的作用还不是很明显，但是RAID可以充分发挥出多块硬盘的优势，实现远远超出任何一块单独硬盘的速度和吞吐量。除了性能上的提高之外，RAID还可以提供良好的容错能力，在任何一块硬盘出现问题的情况下都可以继续工作，不会受到损坏硬盘的影响。
RAID 0
提到RAID分为几种不同的等级，其中，RAID 0是最简单的一种形式。RAID 0可以把多块硬盘连接在一起形成一个容量更大的存储设备。最简单的RAID 0技术只是提供更多的磁盘空间，不过我们也可以通过设置，使用RAID 0来提高磁盘的性能和吞吐量。RAID 0没有冗余或错误修复能力，但是实现成本是最低的。
RAID 0最简单的实现方式就是把几块硬盘串联在一起创建一个大的卷集。磁盘之间的连接既可以使用硬件的形式通过智能磁盘控制器实现，也可以使用操作系统中的磁盘驱动程序以软件的方式实现。图示如下:
在上述配置中，我们把4块磁盘组合在一起形成一个独立的逻辑驱动器，容量相当于任何一块单独硬盘的4倍。如图中彩色区域所示，数据被依次写入到各磁盘中。当一块磁盘的空间用尽时，数据就会被自动写入到下一块磁盘中。
这种设置方式只有一个好处，那就是可以增加磁盘的容量。至于速度，则与其中任何一块磁盘的速度相同，这是因为同一时间内只能对一块磁盘进行I/O操作。如果其中的任何一块磁盘出现故障，整个系统将会受到破坏，无法继续使用。从这种意义上说，使用纯RAID 0方式的可靠性仅相当于单独使用一块硬盘的1/4(因为本例中RAID 0使用了4块硬盘)。
虽然我们无法改变RAID 0的可靠性问题，但是我们可以通过改变配置方式，提供系统的性能。与前文所述的顺序写入数据不同，我们可以通过创建带区集，在同一时间内向多块磁盘写入数据。具体如图所示:
上图中，系统向逻辑设备发出的I/O指令被转化为4项操作，其中的每一项操作都对应于一块硬盘。我们从图中可以清楚的看到通过建立带区集，原先顺序写入的数据被分散到所有的四块硬盘中同时进行读写。四块硬盘的并行操作使同一时间内磁盘读写的速度提升了4倍。
在创建带区集时，合理的选择带区的大小非常重要。如果带区过大，可能一块磁盘上的带区空间就可以满足大部分的I/O操作，使数据的读写仍然只局限在少数的一、两块硬盘上，不能充分的发挥出并行操作的优势。另一方面，如果带区过小，任何I/O指令都可能引发大量的读写操作，占用过多的控制器总线带宽。因此，在创建带区集时，我们应当根据实际应用的需要，慎重的选择带区的大小。
我们已经知道，带区集可以把数据均匀的分配到所有的磁盘上进行读写。如果我们把所有的硬盘都连接到一个控制器上的话，可能会带来潜在的危害。这是因为当我们频繁进行读写操作时，很容易使控制器或总线的负荷超载。为了避免出现上述问题，建议用户可以使用多个磁盘控制器。示意图如下:
这样，我们就可以把原先控制器总线上的数据流量降低一半。当然，最好解决方法还是为每一块硬盘都配备一个专门的磁盘控制器。
RAID 1技术详解
虽然RAID 0可以提供更多的空间和更好的性能，但是整个系统是非常不可靠的，如果出现故障，无法进行任何补救。所以，RAID 0一般只是在那些对数据安全性要求不高的情况下才被人们使用。
RAID 1和RAID 0截然不同，其技术重点全部放在如何能够在不影响性能的情况下最大限度的保证系统的可靠性和可修复性上。RAID 1是所有RAID等级中实现成本最高的一种，尽管如此，人们还是选择RAID 1来保存那些关键性的重要数据。
RAID 1又被称为磁盘镜像，每一个磁盘都具有一个对应的镜像盘。对任何一个磁盘的数据写入都会被复制镜像盘中;系统可以从一组镜像盘中的任何一个磁盘读取数据。显然，磁盘镜像肯定会提高系统成本。因为我们所能使用的空间只是所有磁盘容量总和的一半。下图显示的是由4块硬盘组成的磁盘镜像，其中可以作为存储空间使用的仅为两块硬盘(画斜线的为镜像部分)。
RAID 1下，任何一块硬盘的故障都不会影响到系统的正常运行，而且只要能够保证任何一对镜像盘中至少有一块磁盘可以使用，RAID 1甚至可以在一半数量的硬盘出现问题时不间断的工作。当一块硬盘失效时，系统会忽略该硬盘，转而使用剩余的镜像盘读写数据。
通常，我们把出现硬盘故障的RAID系统称为在降级模式下运行。虽然这时保存的数据仍然可以继续使用，但是RAID系统将不再可靠。如果剩余的镜像盘也出现问题，那么整个系统就会崩溃。因此，我们应当及时的更换损坏的硬盘，避免出现新的问题。 更换新盘之后，原有好盘中的数据必须被复制到新盘中。这一操作被称为同步镜像。同步镜像一般都需要很长时间，尤其是当损害的硬盘的容量很大时更是如此。在同步镜像的进行过程中，外界对数据的访问不会受到影响，但是由于复制数据需要占用一部分的带宽，所以可能会使整个系统的性能有所下降。
因为RAID 1主要是通过二次读写实现磁盘镜像，所以磁盘控制器的负载也相当大，尤其是在需要频繁写入数据的环境中。为了避免出现性能瓶颈，使用多个磁盘控制器就显得很有必要。下图示意了使用两个控制器的磁盘镜像。
使用两个磁盘控制器不仅可以改善性能，还可以进一步的提高数据的安
全性和可用性。我们已经知道，RAID 1最多允许一半数量的硬盘出现故障，所以按照我们上图中的设置方式(原盘和镜像盘分别连接不同的磁盘控制)，即使一个磁盘控制器出现问题，系统仍然可以使用另外一个磁盘控制器继续工作。这样，就可以把一些由于意外操作所带来的损害降低到最低程度。
RAID 0+1
单独使用RAID 1也会出现类似单独使用RAID 0那样的问题，即在同一时间内只能向一块磁盘写入数据，不能充分利用所有的资源。为了解决这一问题，我们可以在磁盘镜像中建立带区集。因为这种配置方式综合了带区集和镜像的优势，所以被称为RAID 0+1。
RAID3和RAID5技术详解
热插拔
一些面向高端应用的磁盘镜像系统都可以提供磁盘的热插拔功能。所谓热插拔功能，就是允许用户在不关闭系统，不切断电源的情况下取出和更换损害的硬盘。如果没有热插拔功能，即使磁盘损坏不会造成数据的丢失，用户仍然需要暂时关闭系统，以便能够对硬盘进行更换。现在，使用热插拔技术只要简单的打开连接开关或者转动手柄就可以直接取出硬盘，而系统仍然可以不间断的正常运行。
校验
RAID 3和RAID 5都分别使用了校验的概念提供容错能力。简单的说，我们可以把校验想象为一种二进制的校验和，一个可以告诉你其它所有字位是否正确的特殊位。 在数据通信领域，奇偶校验被用来确定数据是否被正确传送。例如，对于每一个字节，我们可以简单计算数字位1的个数，并在字节内加入附加校验位。在数据的接收方，如果数字位1的个数为奇数，而我们使用的又是奇数校验的话，则说明该字节是正确的。同样对偶数校验也是如此。然而，如果数字位1的个数和校验位的奇偶性不一致的话，则说明数据在传送过程中出现了错误。
RAID系统也采用了相似的校验方法，可以在磁盘系统中创建校验块，校验块中的每一位都用来对其它关联块中的所有对应位进行校验。
在数据通讯领域，虽然校验位可以告诉我们某个字节是否正确，但是无法告诉我们到底是哪一位出现了问题。这就是说我们可以检测错误，但是不能改正错误。对于RAID，这是远远不够的。固然错误的检测非常重要，但是如果不能对错误进行修复，我们就无法提高整个系统的可靠性。
举个例子来说，假设我们发现校验块中第10个字节的第5位不正确。如果这个校验块包含的是另外8个数据块的校验信息，那么哪一个数据块才是问题的罪魁祸首呢?也许你可能会想为每一个数据块都建立一个校验块就可以解决问题。但是这种方法很难实现。事实上，RAID主要是借助磁盘控制器的错误报告检测错误位置，并进行修复。如果磁盘控制器在读取数据时没有发出任何“抱怨”，那么系统将会视该数据为正确数据，继续使用。
RAID 3
RAID 3采用的是一种较为简单的校验实现方式，使用一个专门的磁盘存放所有的校验数据，而在剩余的磁盘中创建带区集分散数据的读写操作。例如，在一个由4块硬盘构成的RAID 3系统中，3块硬盘将被用来保存数据，第四块硬盘则专门用于校验。这种配置方式可以用3+1的形式表示，具体如图:
在上图中，我们用相同的颜色表示使用同一个校验块的所有数据块，斜线标出的部分为校验块。校验块和所有对应的数据块一起构成一个带区。
第四块硬盘中的每一个校验块所包含的都是其它3块硬盘中对应数据块的校验信息。RAID 3的成功之处就在于不仅可以像RAID 1那样提供容错功能，而且整体开销从RAID 1的50%下降为25%(RAID 3+1)。随着所使用磁盘数量的增多，成本开销会越来越小。举例来说，如果我们使用7块硬盘，那么总开销就会将到12.5%(1/7)。
在不同情况下，RAID 3读写操作的复杂程度不同。最简单的情况就是从一个完好的RAID 3系统中读取数据。这时，只需要在数据存储盘中找到相应的数据块进行读取操作即可，不会增加任何额外的系统开销。
当向RAID 3写入数据时，情况会变得复杂一些。即使我们只是向一个磁盘写入一个数据块，也必须计算与该数据块同处一个带区的所有数据块的校验值，并将新值重新写入到校验块中。例如，当我们向上图中的绿色数据块写入数据时，必须重新计算所有3个绿色数据块的校验值，然后重写位于第四块硬盘的绿色校验块。由此我们可以看出，一个写入操作事实上包含了数据读取(读取带区中的关联数据块)，校验值计算，数据块写入和校验块写入四个过程。系统开销大大增加。
我们可以通过适当设置带区的大小使RAID系统得到简化。如果某个写入操作的长度恰好等于一个完整带区的大小(全带区写入)，那么我们就不必再读取带区中的关联数据块计算校验值。我们只需要计算整个带区的校验值，然后直接把数据和校验信息写入数据盘和校验盘即可。
到目前为止，我们所探讨的都是正常运行状况下的数据读写。下面，我们再来看一下当硬盘出现故障时，RAID系统在降级模式下的运行情况。
RAID 3虽然具有容错能力，但是系统会受到影响。当一块磁盘失效时，该磁盘上的所有数据块必须使用校验信息重新建立。如果我们是从好盘中读取数据块，不会有任何变化。但是如果我们所要读取的数据块正好位于已经损坏的磁盘，则必须同时读取同一带区中的所有其它数据块，并根据校验值重建丢失的数据。
当我们更换了损坏的磁盘之后，系统必须一个数据块一个数据块的重建坏盘中的数据。整个过程包括读取带区，计算丢失的数据块和向新盘写入新的数据块，都是在后台自动进行。重建活动最好是在RAID系统空闲的时候进行，否则整个系统的性能会受到严重的影响。
RAID 3的性能问题
除了我们在上文讨论过的有关数据写入和降级模式的问题之外，在使用RAID 3的过程中还有其他一些性能上的问题需要引起我们的注意。RAID 3所存在的最大一个不足同时也是导致RAID 3很少被人们采用的原因就是校验盘很容易成为整个系统的瓶颈。 我们已经知道RAID 3会把数据的写入操作分散到多个磁盘上进行，然而不管是向哪一个数据盘写入数据，都需要同时重写校验盘中的相关信息。因此，对于那些经常需要执行大量写入操作的应用来说，校验盘的负载将会很大，无法满足程序的运行速度，从而导致整个RAID系统性能的下降。鉴于这种原因，RAID 3更加适合应用于那些写入操作较少，读取操作较多的应用环境，例如数据库和WEB服务器等。
RAID 5
RAID 3所存在的校验盘的性能问题使几乎所有的RAID系统都转向了RAID 5。在运行机制上，RAID 5和RAID 3完全相同，也是由同一带区内的几个数据块共享一个校验块。
RAID 5和RAID 3的最大区别在于RAID 5不是把所有的校验块集中保存在一个专门的校验盘中，而是分散到所有的数据盘中。RAID 5使用了一种特殊的算法，可以计算出任何一个带区校验块的存放位置。具体如图所示:
注意图中的校验块已经被分散保存在不同的磁盘中，这样就可以确保任何对校验块进行的读写操作都会在所有的RAID磁盘中进行均衡，从而消除了产生瓶颈的可能。
分类 : 技术文摘 | 发表时间 13-06-2006
文章作者：Fr. Qaker [E.S.T]
信息来源：邪恶八进制信息安全团队(www.eviloctal.com)
备注：AXLFilter研究中
本软件开源目的
防御CC类型攻击，共享ISAPI编程思路，追求共享精神。
开源花絮
AAFW在2005年12月底就已经完成，现在需要的就是一些功能的补充和界面的优化，所以还是具有一定学习意义的。
原来发布过CC的源代码，但是发生了一些很不开心的事。这次要发布代码，很多朋友因此建议我不要开源。但是，代码放在手里，放着也是浪费，也不符合自己的共享精神。当初，我自己成长的时候也是读别人的代码提高自身的过程，乘凉不忘栽树人。虽然有不少小人，就让他去吧，真理永远变不了，小人得逞只是一时，大家技术的共同提高，共享精神的保持才是最重要的。
AntiAttackFireWall(AAFW)介绍
AA防火墙是一款IIS ISAPI防火墙，利用ISAPI FILTER进行系统保护，利用ISAPI EXTENTION进行管理。
目前代码已经实现了，有效防止盗链，有效防止CC攻击，有效控制文件下载，有效IP连接限制等功能，而且很多功能都考虑到了扩充问题，所以很容易的修改代码进行功能添加。
特别提下，里面的Base64的编码功能是我从网络上复制的一段代码改编来的。
IP管理用的是二叉树进行内存查找，正常情况下，十万次IP记录（十万数量级）的查找能在0.01秒内完成，建议修改的时候将数据进行hash算法。
原创SQL注入保护代码混合在Decode里面，过滤了()<>‘;= 因为<>=是判断符号，没有这三个符号，基本无法进行条件语句的构造，用()限制了decalre这样的使用和sql语句的套用，用’;杜绝了SQL语句的分隔，应该说，这样的过滤是相对比较安全，而且有效的。
程序本身有访问者按IP管理，所以很方便进行下载限制。
盗链问题，用的是IP判断，看访问者是否访问过本站，用以判断，而不是refer判断，建议加上refer判断增加精确性，接下来会专门研究这个问题。
防止CC攻击用的就是原来我给出的asp防御的思路，采用IIS ASP的随机生成Session的方法，而且session值绑定在访问者的IP记录下。
控制文件下载，也是基于IP的，建议参考后台管理的登录代码，运用Base64的解码，可以很方便的开发会员区这样专业级别的登录控制，甚至可以考虑使用数据库存储用户，比ASP的管理有效的多，而且安全。
顺带感叹
近日的迅雷事件，我在这里支持天空，鄙视华军和迅雷。
迅雷的软件，思路，效率令人佩服，确实是个好东西。但是，大家听说过杀鸡取卵的故事么，迅雷现在就是，他自己建立了门户，提供软件搜索，软件从其他软件下载站下载。看上去挺不错的。潜在问题发生了，一个软件，很多地方同时提供，但是在迅雷中显示的站点只有一个，那么以后各家下载的站估计都要给迅雷送钱，这样才能让自己的站点多显示几次，多一些广告收入阿。下载的时候，管你是谁，只要有这个文件，迅雷就能下，流量上去了。这样做来，用户感觉不错，速度快，但是下载站呢？流量上去了，广告下来了，收入比支出少了，而且广告成倍的少，流量成倍的加，后果是什么？还记得baidu的mp3搜索吧，现在音乐站还有多少？还记得baidu的竞价广告吧，不给钱，你的页面别显示了，你的软件我照样用，不服？叫天天不应，叫地地不灵。说实话，迅雷作软件，佩服，做门户，卑鄙。杀鸡取卵，不改大家以后都没软件下，不信看吧。迅雷可是说了哦，我们不提供软件下载的，嘿嘿。
再说一个潜在威胁，迅雷就使加强版的CC，不信就看，千万用户一起用，每人5个连接，迅雷说今天，天空和我闹，大家一起去挤它的软件下载吧，天空崩溃了。明天，华军这个小人又出尔反尔了，大家去挤它吧。别和我说什么它很有商业道德，baidu多大的一个网站，不照样出来一个8848攻击事件，这次迅雷的做法，嘿嘿，好像更猛。
华军，嘿嘿，就是一个炒作家，先领头出来说，迅雷卑鄙阿，坏阿，然后，不知道得到什么好处，嘿嘿，第一个叛变了，不信大家去华军网上看看，这样的领头羊，嘿嘿，就是披着狼皮，自己炒作自己，能活到最后，但是第一个出卖用户的肯定是它。
天空，赞一个，支持一个，顶住，你要倒了，我们以后软件下载没了，一定要坚持住，让迅雷改。谢谢。
推荐网站
VIF：一个商业版本的IIS防火墙，界面比我的好看多了，功能呢，说实话是同类产品，但是有后续性，不断更新重，大家支持一个http://vif.foosun.cn
邪恶八进制：我的根据地，欢迎大家来指导 http://forum.eviloctal.com/ ，
我的软件首发地色釉-信手绾红尘：美文欣赏http://blog.sina.com.cn/u/1236648217强烈推荐里面的诱惑，嘿嘿http://blog.sina.com.cn/u/49b5c1190100043h
NDS论坛：喜欢玩NDS的朋友可以去看看http://www.ndsman.com/bbs，好像遇到了和天空一样的问题，被某个叫NDSBBS的网站盗链加恶意中伤。
浩联电子：http://www.591hl.com家乡的一个公司，感谢一个长期支持我的朋友 [m*]，估计他不想在这里出名，嘻嘻
近日计划
集中精力研究AXLFilter，用IIS ISAPI FILTER彻底解决盗链问题，然后发布源代码，希望相关下载站与我联系测试盗链效果和防迅雷下载，概念代码将在第一时间发布。
我的联系方式：bigboyq[at]eviloctal[dot]com
点击下载
分类 : 系统安全 | 发表时间 13-06-2006
信息来源:BackLi’blog
保证信息系统安全的经典手段是“存取控制”或“访问控制”，但无论在理论上还是在实践中，这种手段都不能彻底填补一个系统的安全漏洞，也还没有一种切实可行的办法解决合法用户在通过“身份鉴别”或“身份认证”后滥用特权的问题。攻击检测技术就像治安巡逻队，专门注重于发现形迹可疑者。
计算机网络技术的发展和应用对人类生活方式的影响越来越大。通过Internet网连接到几乎世界上任何一台计算机。因此，传统的安全域的概念也已经发生了深刻的变化，边界变得模糊了，网络系统管理员再也不能满足于守住安全边界了；也不再有信心保护敏感信息万无一失。越来越多的证据表明计算机信息系统的安全性是十分脆弱的。基于计算机、网络的信息系统的安全问题已经成为非常严重的问题。
一、存取控制与攻击检测：站岗与巡逻
保证信息系统安全的经典手段是“存取控制”或“访问控制”，这种手段在经典的以及现代的安全理论中都是实行系统安全策略的最重要的手段。但迄今为止，软件工程技术还没有达到A2级所要求的形式生成或证明一个系统的安全体系的程度，所以不可能百分之百地保证任何一个系统（尤其是底层系统）中不存在安全漏洞。而且，无论在理论上还是在实践中，试图彻底填补一个系统的安全漏洞都是不可能的，也还没有一种切实可行的办法解决合法用户在通过“身份鉴别”或“身份认证”后滥用特权的问题。打个比方，经典的安全体系就像一座城池，身份认证就好像进城时的查路条一样，着重点在于防范奸细混入；但是这种措施对于城池的安全仍是远远不够的。
攻击检测作为其他经典手段的补充和加强，是任何一个安全系统中不可或缺的最后一道防线；攻击检测可以分为被动、非在线地发现和实时、在线地发现计算机网络系统中的攻击者两种方法。从大量非法入侵或计算机盗窃案例可以清晰地看到，计算机系统的最基本防线“存取控制”或“访问控制”，在许多场合不是防止外界非法入侵和防止内部用户攻击的绝对无懈可击的屏障。大量攻击成功的案例是由于系统内部人员不恰当地或恶意地滥用特权而导致的。攻击检测技术则类似于治安巡逻队，专门注重于发现形迹可疑者，信息系统的攻击者很有可能通过了城门的身份检查，或者爬越了城墙而混入城中；这时要想进一步加强信息系统的安全强度，就需要增派一支巡逻队，专门负责检查在城市中鬼鬼祟祟行动可疑的人员。
攻击检测提供了一种机制，对合法用户而言能够在一定程度上使他们为其失误或非法行为负责，从而增强他们的责任感。对非法进入的攻击者而言则意味着增强了纠察力度，行使着公安局、检察院的职责。攻击检测具有最后防线性质的防范能力，或许是用来发现合法用户滥用特权的唯一方法，而且完善的攻击检测还能用具有法律效力的方式证明一个受到怀疑的人是否有罪。
早期中大型的计算机系统中都收集审计信息来建立跟踪文件，这些审计跟踪的目的多是为了性能测试或计费，因此对攻击检测提供的有用信息比较少。
二、攻击检测技术
1．攻击分类
在信息系统中，一般至少应当考虑如下三类安全威胁：外部攻击、内部攻击和行为滥用。攻击者来自该计算机系统的外部时称作外部攻击；当攻击者就是那些有权使用计算机，但无权访问某些特定的数据、程序或资源的人企图越权使用系统资源时视为内部攻击，包括假冒者（即那些使用其他合法用户的身份和口令的人）、秘密使用者（即那些有意逃避审计机制和存取控制的人员）；特权滥用者也是计算机系统资源的合法用户，表现为有意或无意地滥用他们的特权。
通过审计试图登录的失败记录可以发现外部攻击者的攻击企图；通过观察试图连接特定文件、程序和其他资源的失败记录可以发现内部攻击者的攻击企图，如可通过比较为每个用户单独建立的行为模型和特定的行为来检测发现假冒者；但要通过审计信息来发现那些权利滥用者往
往是很困难的。
基于审计信息的攻击检测特别难于防范具备较高优先特权的内部人员的攻击，因为攻击者可通过使用某些系统特权或调用比审计本身更低级的操作来逃避审计。对于那些具备系统特权的用户，需要审查所有关闭或暂停审计功能的操作，通过审查被审计的特殊用户、或者其他的审计参数来发现。审查更低级的功能，如审查系统服务或核心系统调用通常比较困难，通用的方法很难奏效，需要专用的工具和操作才能实现。总之，为了防范隐秘的内部攻击需要在技术手段以外确保管理手段行之有效，技术上则需要监视系统范围内的某些特定的指标（如CPU、内存和磁盘的活动），并与通常情况下它们的历史记录进行比较，以期发现之。
2．攻击检测技术分类
基于计算机系统审计跟踪信息设计和实现的系统安全自动分析或检测工具是最为自然朴素的攻击检测技术。可以从审计系统筛选出涉及安全的信息。其思路与流行的数据挖掘（Data Mining）技术极其类似。
基于审计的自动分析检测工具可以是脱机的，也可以是联机或在线的。分析工具实时地对审计跟踪文件提供的信息进行同步处理，当有可疑的入侵行为时，系统提供实时的警报，在攻击发生时就能提供攻击者的有关信息。
对于信息系统安全强度而言，联机或在线的攻击检测是比较理想的，能够在案发现场及时发现攻击行为，有利于及时采取对抗措施，使损失降低到最低限度。同时也为抓获攻击犯罪分子提供有力的证据。但是，联机的或在线的攻击检测系统所需要的系统资源，几乎随着系统内部活动数量的增长呈几何级数增长。
3．攻击检测方法
（1）基于审计的攻击检测
基于审计信息的攻击检测工具以及自动分析工具可以向系统安全管理员报告计算机系统活动的评估报告，通常是脱机的、滞后的。
对攻击的实时检测系统的工作原理是基于对用户历史行为的建模，以及在早期的证据或模型的基础之上。审计系统实时地检测用户对系统的使用情况，根据系统内部保持的用户行为的概率统计模型进行监测，当发现有可疑的用户行为发生时，保持跟踪并监测该用户的行为。
系统应具备处理自适应的用户参数的能力。能够判断使用行为的合法或可疑。系统应当能够避免“肃反扩大／缩小化”的问题。这种办法同样适用于检测程序的行为以及对数据资源（如文件或数据库）的存取行为。
（2）基于神经网络的攻击检测技术
如上所述，基于审计统计数据的攻击检测系统，具有一些天生的弱点，因为用户的行为可以是非常复杂的，所以想要准确匹配一个用户的历史行为和当前的行为是相当困难的。错发的警报往往来自于对审计数据的统计算法所基于的不准确或不贴切的假设。SRI的研究小组利用和发展神经网络技术来进行攻击检测。神经网络可能用于解决传统的统计分析技术所面临的以下几个
问题：
●难于建立确切的统计分布
●难于实现方法的普适性
●算法实现比较昂贵
●系统臃肿难于剪裁
目前，神经网络技术提出了对基于传统统计技术的攻击检测方法的改进方向，但尚不十分成熟，所以传统的统计方法仍将继续发挥作用，也仍然能为发现用户的异常行为提供相当有参考价值的信息。
（3）基于专家系统的攻击检测技术
进行安全检测工作自动化的另外一个值得重视的研究方向就是基于专家系统的攻击检测技术，即根据安全专家对可疑行为的分析经验来形成一套推理规则，然后再在此基础之上构成相应的专家系统。由此专家系统自动进行对所涉及的攻击操作的分析工作。
所谓专家系统是基于一套由专家经验事先定义的规则的推理系统。例如，在数分钟之内某个用户连续进行登录，且失败超过三次就可以被认为是一种攻击行为。类似的规则在统计系统似乎也有，同时应当说明的是基于规则的专家系统或推理系统也有其局限性，因为作为这类系统的基础的推理规则一般都是根据已知的安全漏洞进行安排和策划的，而对系统的最危险的威胁则主要是来自未知的安全漏洞。实现一个基于规则的专家系统是一个知识工程问题，而且其功能应当能够随着经验的积累而利用其自学习能力进行规则的扩充和修正。
（4）基于模型推理的攻击检测技术
攻击者在入侵一个系统时往往采用一定的行为程序，如猜测口令的程序，这种行为程序构成了某种具有一定行为特征的模型，根据这种模型所代表的攻击意图的行为特征，可以实时地检测出恶意的攻击企图，尽管攻击者并不一定都是恶意的。用基于模型的推理方法人们能够为某些行为建立特定的模型，从而能够监视具有特定行为特征的某些活动。根据假设的攻击脚本，这种系统就能检测出非法的用户行为。一般为了准确判断，要为不同的入侵者和不同的系统建立特定的攻击脚本。
当有证据表明某种特定的攻击模型发生时，系统应当收集其他证据来证实或者否定攻击的真实，以尽可能的避免错报。
为了防止过多的不相干信息的干扰，用于安全目的的攻击检测系统在审计系统之外一般还配备适合系统安全策略的信息采集器或过滤器。同时，还应当充分利用来自其它信息源的信息。在某些系统内可以在不同的层次进行审计跟踪。如有些系统的安全机制中采用三级审计跟踪，包括审计操作系统核心调用行为的跟踪、审计用户和操作系统界面级行为的跟踪、和审计应用程序内部行为的跟踪。
总之，和经典安全措施相同，任何一种攻击检测措施都不能视之为一劳永逸的，必须配合有效的管理和组织措施，形成立体的和纵深有序的安全防御体系。
