计算机-免疫网路
免疫网路是企业信息网路的一种安全形式。
"免疫"是生物医学的名词，它指的是人体所具有的"生理防御、自身稳定与免疫监视"的特定功能。
就像我们耳熟能详的电脑病毒一样，在电脑行业，"病毒"就是对医学名词形象的借用。同样，"免疫"也被借用于说明计算机网路的一种能力和作用。免疫就是让企业的内部网路也像人体一样具备"防御、稳定、监视"的功能。这样的网路就称之为免疫网路。
免疫网路的主要理念是自主防御和管理，它通过源头抑制、群防群控、全网联动使网路内每一个节点都具有安全功能，在面临攻击时调动各种安全资源进行应对。
它具有安全和网路功能融合、全网设备联动、可信接入、深度防御和控制、精细频宽管理、业务感知、全网监测评估等主要特徵。
它与防火墙、入侵检测系统、防病毒等"老三样"组成的安全网路相比，突破了被动防御、边界防护的局限，着重从区域网路的角度解决攻击问题，应对目前网路攻击複杂性、多样性、更多从区域网路发起的趋势，更有效地解决网路威胁。
同时，安全和管理密不可分。免疫网路对基于可信身份的频宽管理、业务感知和控制，以及对全网安全问题和工作效能的监测、分析、统计、评估，保证了企业网路的可管可控，大大提高了通信效率和可靠性。
巡路免疫网路解决方案
巡路免疫网路解决方案不是一个单独的产品，而是一套由软硬体、区域网路安全协定、安全策略构成的完整组件。
巡路免疫网路解决方案的功能特色
1、 对终端身份的严格管理。终端MAC取自物理网卡而非系统，有效防範了MAC克隆和假冒;将真实MAC与真实IP一一对应;再通过免疫驱动对本机数据进行免疫封装;真实MAC、真实IP、免疫标记三者合一，这个技术手段其他方案少有做到。所以，巡路免疫方案能解决二级路由下的终端侦测和管理、IP-MAC完全克隆、对终端身份控制从系统到封包等其他解决不了或解决不彻底的问题。
2、 终端驱动实现的是双向的控制。他不仅仅抵御外部对本机的威胁，更重要的是抑制从本机发起的攻击。这和个人防火墙桌面系统的理念显着不同。在受到ARP欺骗、骷髅头、CAM攻击、IP欺骗、虚假IP、虚假MAC、IP分片、DDoS攻击、超大Ping包、格式错误数据、发包频率超标等协定病毒攻击时，能起到主动乾预的作用，使其不能发作。
3、 群防群控是明显针对区域网路的功能。每一个免疫驱动都具有感知同一个网段内其他主机非法接入、发生攻击行为的能力，并告知可能不在同一个广播域内的免疫运营中心和网关，从而由免疫网路对该行为进行相应处理。
4、 提供的2-7层的全面保护，还能够对各层协定过程的监控和策略控制。深入到2层协定的控制，是巡路免疫网路解决方案的特有功能。而能够对各层协定过程的监控和策略控制，更是它的独到之处。现在普遍的解决方案，基本上是路由器负责 3层转发，防火墙、UTM等进行3层以上的管理，唯独缺少对"区域网路至关重要的二层管理"，免疫驱动恰恰在这个位置发挥作用。而上网行为管理这类的软硬体，在套用层进行工作，对2、3层的协定攻击更是无能为力。
5、 对未知的协定攻击，能够有效发挥作用，是真正的主动防御。
6、 免疫接入网关在NAT过程中，採取了专用算法，摒弃了其他接入路由器、网关产品需要IP-MAC映射的NAT转发算法，将安全技术融于网路处理过程，使ARP对免疫接入网关的欺骗不起作用。这叫做ARP先天免疫，这样的技术融合还很多。
7、 具有完善的全网监控手段，对区域网路所有终端的病毒攻击、异常行为及时告警，对内外网频宽的流量即时显示、统计和状况评估。监控中心可以做到远程操作。
免疫墙
免疫墙技术属于网路安全行业中的区域网路安全和管理领域。
乙太网有协定漏洞，不擅长管理，这是网路问题频发的技术根源。免疫墙技术针对和解决的就是这个问题。
因此，免疫墙技术研究的是如何填补乙太网协定的先天漏洞、如何对业务进行规範化、策略化管理。"网路问题网路解决"是免疫墙技术的指导思想。免疫墙的技术範围要拓展到网路的最末端，深入到协定的最底层、盘查到外网的出入口、总览到区域网路的最全貌，就是希望通过网路本身对网路病毒全面抵御，同时完善对业务的管理，使网路可控、可管、可防、可观。
网路攻击的发展趋势
目前网路威胁呈现出複杂性和动态性的特徵，黑客日益聚焦于混合型攻击，结合各种有害代码来探测和攻击系统漏洞，并使之成为殭尸或跳板，再进一步发动大规模组合攻击。攻击速度超乎想像，已经按小时和分钟来计算，出现了所谓大量的零日或零小时攻击的新未知攻击。
很多从区域网路发起的攻击，不会採用以真实身份单独进行，而是通过区域网路的欺骗串联，伪造身份多点进行。
防火墙的局限性
现有的各种网路安全技术中，防火墙技术可以在一定程度上解决一些网路安全问题。防火墙产品主要包括包过滤防火墙，状态检测包过滤防火墙和套用层代理防火墙，但是防火墙产品存在着局限性。其最大的局限性就是防火墙自身不能保证其準许放行的数据是否安全。同时，防火墙还存在着一些弱点:一、不能防御来自内部的攻击:来自内部的攻击者是从网路内部发起攻击的，他们的攻击行为不通过防火墙，而防火墙只是隔离内部网与网际网路上的主机，监控内部网和网际网路之间的通信，而对内部网上的情况不作检查，因而对内部的攻击无能为力;二、不能防御绕过防火墙的攻击行为:从根本上讲，防火墙是一种被动的防御手段，只能守株待兔式地对通过它的数据报进行检查，如果该数据由于某种原因没有通过防火墙，则防火墙就不会採取任何的措施;三、不能防御完全新的威胁:防火墙只能防御已知的威胁，但是人们发现可信赖的服务中存在新的侵袭方法，可信赖的服务就变成不可信赖的了;四、防火墙不能防御数据驱动的攻击:虽然防火墙扫描分析所有通过的信息，但是这种扫描分析多半是针对IP位址和连线埠号或者协定内容的，而非数据细节。这样一来，基于数据驱动的攻击，比如病毒，可以附在诸如电子邮件之类的东西上面进入你的系统中并发动攻击。
关于"老三样"
国家信息化专家谘询委员会专家沈昌祥院士认为，首先，由老三样(防火墙、入侵监测和病毒防範)为主要构成的传统信息安全系统，是以防外为重点，而与目前信息安全主要"威胁"源自内部的实际状况不相符合。其次，从组成信息系统的伺服器、网路、终端三个层面上来看，现有的保护手段是逐层递减的。人们往往把过多的注意力放在对伺服器和网路设备的保护上，而忽略了对终端的保护。第三，恶意攻击手段变化多端，而老三样是採取封堵的办法，例如，在网路层(IP)设防，在外围对非法用户和越权访问进行封堵。而封堵的办法是捕捉黑客攻击和病毒入侵的特徵信息，其特徵是已发生过的滞后信息，不能科学预测未来的攻击和入侵。
"老三样，堵漏洞、做高墙、防外攻，防不胜防。" 沈院士这样概括目前信息安全的基本状况。老三样在目前网路安全套用上已经明显过时了。
