（管理科学与工程专业论文）防火墙技术及其在企业网中的应用研究.pdf

ab s tract wit h m o r e a n d m o r e e x t e n s iv e a p p l i c a t i o n s o f t h e i n t e r n e t , n e t w o r k s e c u r i t y p r o b l e m a t t r a c t s m o r e a n d m o r e a t t e n t i o n . a s t h e f i r s t p r o t e c t i o n o f t h e e n t i r e n e t w o r k , f i r e w a l l s c a n e ff e c t i v e l y m o n i t o r e v e r y t r a n s a c t i o n b e t w e e n t h e i n t r a n e t a n d t h e i n t e r n e t , h e n c e e n s u r e t h e s e c u r i t y o f t h e i n t r a n e t . f o l l o w i n g s o m e r e s e a r c h b a c k g r o u n d i n t r o d u c t i o n s t o t h e f i r e w a l l t e c h n o l o g y , w e p o i n t e d o u t t h e i m p o r t a n c e o f t h e n e t w o r k s e c u r i t y p r o b l e m n o w a d a y s . f r o m t h e p o i n t v i e w o f t c p / i p p r o t o c o l , t h e r e a s o n s f o r n e t w o r k s e c u r i t y v u l n e r a b i l i t y h a v e b e e n a n a l y z e d . a c c o r d i n g t o t h e f o l l o w i n g f i v e l a y e r s o f t h e n e t w o r k s e c u r i t y h i e r a r c h y s t r u c t u r e , n e t w o r k l a y e r , s y s t e m l a y e r , u s e r l a y e r , a p p l i c a t i o n l a y e r , a n d d a t a l i n k l a y e r , a s e t o f c o r r e s p o n d i n g n e t w o r k s e c u r i t y p r o t e c t i o n t e c h n o l o g i e s h a v e b e e n d i s c u s s e d r e s p e c t iv e l y . t h e n t h e m o d e l o f t h e f i r e w a l l , t h e f i r e w a l l f u n c t i o n s i m p l e m e n t a t i o n t e c h n o l o g i e s s u c h a s p a c k e t f i l t e r i n g , p r o x y , a n d s t a t e - in s p e c t i o n e t c . a r e i n t r o d u c e d a n d a n a l y z e d . s o m e o t h e r s t a t e - o f - a r t f i r e w a l l t e c h n o lo g i e s s u c h a s n e t w o r k a d d r e s s t r a n s l a t i o n t e c h n o l o g y , v i rt u a l p r i v a t e n e t w o r k t e c h n o l o g y , a n d c o n t e n t s c h e c k i n g t e c h n o l o g y a r e a l s o b r i e fl y d i s c u s s e d i n t h i s p a p e r . f o l l o w e d a r e t h e p r o s a n d c o n s o f t h e f i r e w a f s s u m m a r i z e d a t t h e e n d . t h e n t h e a p p l i c a t i o n s o f t h e f i r e w a l l t o t h e i n t r a n e t a r e i n v e s t i g a t e d . a c c o r d i n g t o t h e a u t h o r s o w n e x p e r i e n c e i n a r e a l - w o r l d c i ms ( c o m p u t e r i n t e g r a t e d ma n u f a c t u r i n g s y s t e m s ) p r o j e c t o f s h u i k o u s h a n mi n e r a l b u r e a u , a f i r e w a l l d e s i g n s c h e m e h as b e e n p r e s e n t e d . t h e c o n t r i b u t i o n s o f t h e p a p e r a r e : p r e s e n t i n g a s o l u t i o n t o p r o b l e m s o f t h e f i r e w a l l a p p l i c a t i o n in i n t r a n e t v i a c o m b i n i n g t h e t h e o r e t i c a l a n a l y s i s a n d p r a c t i c a l a p p l i c a t i o n w h ic h w i l l b e h e lp f u l f o r o t h e r s t o b u i l d t h e f i r e w a l l k e y wo r d s : n e t w o r k s e c u r i ty , f i r e w a l l, i n t r a n e t , a p p l i c a t i o n 中 肃 大 学.工商 管 w 掌 院 硕 士 论 文 前言 因特网的起飞是人类2 0 世纪最令人兴奋的重大事件。随着网络经济和网络 社会时代的到来，网络将会进入一个无所不在，无所不有的境地。经济、文化、 军事和社会生活将会强烈地依赖网络。 众所周知，作为全球使用范围最大的信息网，i n t e r n e t 极大地方便了各种计 算机入网， 拓宽了共享资源。 然而，由于在早期网络协议设计上对安全问题的忽 视，以及在使用和管理上的无政府状态，i n t e r n e t自 身的安全逐渐受到威胁，与 它有关的安全事故屡有发生， 且造成了极大的危害。 因此， 提高因特网的防_ l 能 力，保证信息安全己 经成为当务之急。 那么， 如何构建一个安全的网络环境呢?防火墙给出了 解决方案。 它作为保 护网络安全的第一道防线， 正受到越来越多用户的关注。 通常， 一个企业购买网 络安全设备时， 总是把防火墙放在首位。目 前， 防火墙已 经成为世界上应用最广 泛的网络安全产品之一。 防火墙是设置在被保护网络和外部网络之间的一道屏障， 以防止发生不可预 测的、 具有潜在破坏性的侵入。 通过制定安全策略， 它可以监测、限制、 更改跨 越防火墙的数据流， 尽可能地对外部网络屏蔽内部的信息、 结构和运行状况， 以 此来实现对内 部网 络的安全保护。 可以 这样说， 防火墙如同一个分离器、一 个isis 制器、一个分析器，有效地监控了内部网和i n t e rn e t 之间的任何活动， 保证了内 部网络的安全。 然而防火墙在国内企业内部网的应用中存在许多问 题。 其中最突出的三个问 题是: 一是防火墙在国内企业中普及率比较低; 二是企业即便配置了防火墙， 也 未能充分发挥其作用， 形同虚设; 三是企业设立了防火墙后， 认为从此可以一劳 永逸， 高枕无忧了。 因此本文旨 在通过对防火墙技术的分析及其应用研究， 希望 能对企业如何应用防火墙技术来保护内部网络的安全起到一定的借鉴作1 11 0 中 甫 大 学j二 商 管 理 学 晚 不 员d二 论 文 第一章网络安全及防火墙技术综述 1 . 1 网络安全问题的严峻性 全球信息高速公路的建设， i n t e r n e t 的发展，已经对整个社会的科学与技术、 经济与文化带来了巨大的推动和冲击。与此同时，也给我们带来了很多挑11戊 。 事实上，自i n t e r n e t 诞生之日 起，网络安全问题就一直存在。网络安全与网 络的发展永远是矛与盾的关系，处于一种动态平衡之中。目前i n t e r n e t 的安全防 御能力非常脆弱， 随着网络的飞速发展， 安全问题变得日益突出。 据美国联邦调 查局( f b i ) 统计， 美国 每年因网 络安全问 题造成的经济损失高 达7 5 亿美元。 而全 球平均每2 0 秒钟就发生一起i n t e r n e t 计算机入侵事件。 这使原本不够成熟的网络 环境蒙土了一层束缚之雾， 给前途无量却又荆棘丛生的网络发展之跻平添了不少 障碍。 尤其是进入新世纪以来， 黑客侵袭事件不断发生， 使网络安全再次引起世 界各国的普遍关注。 下面几个事件足以反映黑客、 病毒的穷凶极恶， 也令人冷ri f t 地反思网络安全的重要性。 1 .t .1 网络安全备忘录 2 0 0 0 年 1 月1 3日晚间9 时美国新闻总署u .s j .a网站遭不明黑客破坏， 造成 网站完全无法运作， 这是半年来美国新闻总署网站第二次遭到破坏。 黑客在两度 破坏美国新闻总署的网 站后， 均留下“ 克里斯多， 我爱你” 的留言 及德国纳粹在 集中营所使用的z y k l o n 毒气签名。 第一次黑客将他自己 的网 页植入 新闻总署的 网页， 然后破坏总署本身部分的电子文件， 电脑专家原以为修复好网站， 但没想 到数个小时后黑客所植入的“ 大木马” 病毒不断破坏网站运作。 第二次黑客则损 坏了 美国 新闻总署的 基本硬件设备， 伤害更为严重， 并留 下粗俗的图ilfl l 。 二次破 坏行动都导致网站瘫痪无法运作。 2 0 0 0 年2 月初，y a h o o ! 、亚马逊网上书店、美国有限新闻网 ( c n n) ,拍卖 网站e b a y 及刚上市的 超级网 站等美国8 家大型网 站遭到黑客不同程度的攻、 l i o 据悉，此次造成的经济损失可能在 1 2 亿美元以上，其中受害公司在3 天内损失 的市值高达 1 0 亿多美元，营银和广告收入损失达 i 亿美元以上。受形响的公司 及其i n t e r n e t 合作伙伴为了 更新安全措施， 将要另外花费1 -2 亿美元。 此外， j比 中 甫 大 学 s. 铆 管 理 学 院 石 员d 二 论 文 次袭击还将给受害公司的品牌、合作关系以及未来的客户造成损害。 2 0 0 0 年2 月a 1=1 和 1 3日， 新浪网的e - m a i l 系统遭到黑客侵袭，导 致) ii 户无 法收发邮件最长达 1 7 个小时。在黑客攻击后，人们发现遗留下来的信是“ 曰 的 1 0倍之多。据估计，此次黑客发来的信至少是平时新浪网所收信件的 1 0 0倍以 上。 2 0 0 0 年 3月，黑客窃取了s a l e s g a t e .c o m电子商务网n i 2 0 0 0 笔客户信川 卜 资料以及其它个人资料。 2 0 0 0年 3月，被称为网上最大中文书店的当当网站声称，近来黑客对当当 网站进行了长达数周的恶意攻击， 不仅删除该网站的一些图书信息， 还使网站出 现长达数小时无法运行的现象。 美国历史最悠久和最权威的民意调查机构盖洛普网 站在2 0 0 0 年3 月某日 的 凌晨遭黑客篡改，人们花了 大约6 个小时进行恢复。 据悉，美国总统选举_ 1 _ 作、 人员和新闻工作者非常依赖盖洛普网站的调查结果， 如果黑客篡改了数招， ti 能 导致盖洛普网站发出令传媒误以为真的报告。 一种被成为 “ 爱虫”的计算机病毒于2 0 0 0 年5 月4日 席卷了 v m i .欧洲和 美国等地区。 全世界约有1 0 0 多万台计算机遭到侵袭， 因电脑系统瘫痪后关闭造 成的经济损失达 1 0 0 亿美元。 “ 爱虫” 病毒的大规模侵袭令各地政府与企业的计 算机系统招架不及，陷于瘫痪。 2 0 0 0 年9 月， 西部联盟公司 ( w e s t e r n u n i o n ) 网站被黑， 并导致部分数据泄露。 黑客攻破了网站的防火墙并下载了西部联盟公司 大约 1 5 , 7 0 0名客户的信川卜 及 借记卡详细资料。 2 0 0 0 年1 2 月，一名自 称 “ 主嫌疑犯” 的黑客于1 2 月2 3日“ 黑”掉了 纳斯 达克股市的网站，将 “ 纳斯达克1 0 0 强”网页内容替换成带有攻击性的语句。 2 0 0 0年 1 2月，c r e d i t c a r d .c o m被黑，黑客挟持了 5 5 , 0 0 0个信月 卜 号 索要 1 0 0 ,0 0 0 美元。 在要求未得到满足的 情况下，黑客将卡号公布在了网络之土。 事实上， 我们听到的关于通过网络的入侵， 只是实际所发生的事例中非常微 小的一部分。 相当多的网络入侵或攻击并没有被发现。 即使被发现了， 山于这样 或那样的原因， 人们并不愿意公开它，以免公众作出强烈的惊慌失措的反应。 绝 大多数涉及数据安全的事件也从来就没有被公开报道过。 据统计， 商业信息被窃 取的事件以侮月2 6 0 % 的速率在增加。 据专家估计， 每公开报道一次网络入侵， 中甫 大 学 r j a i 管 ; 住 学 院 a 负士二 论 文 就有近 5 0 0 例是不被公众所知晓的。 能力 1 。 1 由此可见， 在因特网日益渗透到人们工作和生活的今天， 提高囚特网的防卫 ，保证信息安全己 经成为当务之急。 .2 我国网络安全现状 专家警告， 凭中国网络技术现状， 很难抵御黑客们的攻击行为，而且一ra 遭 到破坏， 恢复起来也相当困难。 那么， 中国各种类别的网站安全系数到底有多大? 就让我们来看看国内网络的现状。 回顾我国的网络安全产品， 我们不难发现:自主7 f: 发产品少， 硬软件受制于 人， 这使我国的网络管理呈现出一种十分 “ 虚弱”的状态。主要表现在:i 1 算机 网络的发展水平， 安全技术和管理手段不配套; 计算机从产品到技术严重依赖外 国， 我们虽然在操作系统的研制、 国产数据库的开发_ 七 作过一 些有益的工作， 但 尚 未形成体系。 因此， 在网 络安全产品方面， 我国同国外的差距至少有5 -1 0 年， 这一方面源于我国总体上应用技术开发落后， 另一方面我国的网络安全产a n 在各 行各业中应用的范围和水平还比较低。 另外， 我国的许多网 络在建网 初期确实较少或者根本就没有考虑过安全防范 措施， 不少网络工程本身没有认真处理网络系统的安全环节。 因此， 像这样的网 络系统随时都有可能遭受黑客袭击。 据调查显示， 我国9 0 %以_ l 的网站安全意识 不够， 4 0 %以上的网站毫无防御能力， 仅仅在受到攻击时， 刁开始进行安全维护。 尽管近年来开设网站、 建设企业内部网的积极性很高， 但网络管理的水平却 没有及时跟上。 无需多加说明: 我国目 前极缺网络及电脑高级系统管理人刁。山 于高等教育尚未专门培养这方面人刁 ，社会上又缺乏造就这类人刁的实践环境， 像s u n , i b m, h p , n t 等这类大型服务器的高级系统管理， 一般人不易接触到。 况且， 这种人才往往又都是外企重点招聘的对象， 这就导致我国各网络运行机构 大多缺乏得力可靠的系统管理员， 许多网络的运行处于低水准， 非常不安全。 大 多数国内的网络提供商 ( i s p ) 及从政府到企业的信息提供网站 ( i c i ) 缺乏有经 验的安全员， 连黑客在网站内 筑了窝还蒙在鼓里。 在调查中， 我们还发现有些领 导或企业总裁不大了解高技术中的这些情况， 既没有选拔可信的技术人员， 又没 有创造必要的条件保证这些技术人员的稳定和技术上的深造。 无需质疑， 对这种 状态的网 络系统我们必须及早采取措施。 j . . . . . . . . . . . . . . .一 中 市 大 学二 商 称 3m 学 晚 不 页士 论 文 1 . 1 . 3 如何构筑我国网络安全长城 i n t e r n e t 的发展加剧了 信息化的 进程。信息化给一个困家带来希望，也 可能 带来麻烦。 如果信息化不是靠科学决策， 靠高技术队伍， 这种 “ 信息化”必然是 某些因素误导的结果。 可以说一些网络工程安全质量不能保证， 就仓促上网， 是 商业利益驱动的结果。 我国不戌熟的网络市场迫切需要山一批可信的专 家组成的 网络工程监理机构。 因此， 要从根本上重视和保证网络工程的安全及管理人员的 培训。 此外， 山于国内网站大部分是基于国外厂家的产品， 他们的安全系数更令人 怀疑。当 微软刚推出w i n d o w s 9 5 时， 澳大利亚海军曾发现，该 软件会悄悄地向 微软发送机器中的信息。当w i n d o w s 9 8 推出 后，人们又发现其会根据用户计算 机的硬件配置情况， 生成一串与用户名和地址相关的、 全球唯一的识别码， 它会 通过wi n d o w s 9 8 的注册程序，自动传送到微软的网站上去。即使用户已经指明 不要这样做， 注册程序还是会在用户不知情的情况下将这些信息悄悄地发送给微 软。 中国有关部门最近还发现某些进口的电脑产品并不安全， 这些电脑以“ 远程 维护” 为借口故意留下安全漏洞， 为其幕后公司或组织留卜 信息殖民的入日。 有 些操作系统，利用网上注册的名义， 把用户的信息发给厂商。 更有甚者， 在电脑 芯片中植入身份识别标记。 因 此， 中国有关部门规定， 为了 保护国 家利益和信息 安全， 禁止中国公司购买包含外国设计的加密软件产品， 国内 任何组织和个人都 不得出售外国商业性加密产品。 作者认为要有效地实现网络信息安全， 就必须抓好自 主性网络安全产业的发 展。 但同时必须清醒的认识到: 我国信息技术的发展与技术先进国家还存在较大 的差距， 在短时间内不可能改变信息系统的基本设备依靠引进的局面。 由于引进 网 络设备中的核心芯片 和系统内 核程序源码都掌握在别人手中， 芯片和逻辑不能 自 主， 这会严重影响我们对信息安全的监控能力。 只有用我国自己的安全设备刁 能有效地加强网络信息的安全性， 这就需要大力发展基于自主技术的信息安全产 业， 特别要重点研究关键芯片、内核编程技术和安全基础理论。 在学习借鉴国外 技术的基础上， 国内一些部门也开发研制出了一些防火墙、 安全路山器、 安全网 关、 黑客入侵检测、 系统脆弱性扫描软件等。 但是， 这些产品安全技术的完善性、 规范化、实用性还存在许多不足， 特别是在多平台的兼容性、多协议的适应性、 中 甫 大 学 二 商 御 理 学 欢 不 瓦 士 论 文 多接日的满足性方而存在很大差距， 理论基础和自主的技术手段也需要发展和强 化。 1 . 2 网络安全脆弱性原因分析 近年来，黑客利用i n t e r n e t 作案的事件频频发生，导致绝密信息被窃取、重 要数据被删除、 网络系统遭破坏等严重后果， 给用户造成了极大的损失。 尽管已 采取了一些安全措施， 并且也已起到了很大的作用， 但网络中仍存在着许多安全 缺口， 成为黑客的进攻突破点。 t c p / i p 作为 i n t e rn e t 使用的标准协议集， 但其在 设计之处基本没有考虑安全性问题，因而越来越暴露出它在安全上的不足之处， 成为黑客实施网络攻击的重点目 标。 本节将围绕t c p / i p 的安全性问题进行讨沦。 .2 . 1 t c p / i p 协议休系结构 t c p / i p 是一组协议的集合， 除了最常用的t c p 和i p 协议外， 还包含许多其 它的工具性协议、管理协议及应用协议。 t c p / i p 协议遵守一个四层的模型概念: 应用层、传输层、网络层和数据链路层。 t c p / i p的协议体系结构如表1 . 1 所示。 表1 . 1 t c p / i p 协议体系结构 层次名协议名 应用层( a p p l ic a t i o n ) 传输层( t r a n s p o r t ) 网 络层州e t w o r k ) 数据链路层( l i n k ) t e乙 net. ft p, 了 尸 i p c i c mp i s a 刀t.dn s 之 了 dp 几 3 mp少 其中，应用层向用户提供访问 i n t e r n e t 的一些高层协议，使用最广 一 泛的有 t e l n e t , f t p , s mt p , d n s等，同时新的应用协议还在不断涌现。应用层协 议提供远程访问和资源共享。传输层的作用是提供应用程序端到端的通信服务， 该层有两个协议:传输控制协议t c p 和用户数据报协议u d p .前者提供高可靠 的面向连接的数据传送服务， 适合于一次传输大批数据的情况及要求得到响应的 应用程序。后者提供无连接的高效率的数据传送服务。因其不具备 t c p的应答 机制， 乱序到达数据的 顺序化以 及对接收到的损坏报文的重传机制， 因而 不能对 传送数据包进行可靠的保证。 其适合于无需应答且一次传输小量数据的情况以及 中 甫 大 学 m 商 昔 理 学 宽 肥 硕 士 论 文 不断出现的、和时间相关的应用，如 i p上传输语音和实时的可视会议。网络层 负责相邻主机之间的通信， 该层协议主要有i i i 和i c mp 等。 数据链路层是t c p / i p 协议软件的最低一层， 主要工作是负责数据帧的发送和接收， 帧是独立的网络信 息传输单元， 并对不同的物理网络配以相应的网络接口协议， 如物理网是以太网 时，网 络接口协议 须使用i p - e ( r f c 8 9 4 ) o 1 . 2 . 2 t c p / i p 协议安全性分析 ( 1 ) t c p ( t r a n s m i s s i o n c o n t r o l p r o t o c o l ) 协 议安 全性分 析 t c p 使用三次握手机制建立一条连接，握手的第一个报文为s y n包;第二 个报文为s m a c k包，表明它应答第一个s y n包同时继续握手过程;第三个 报文仅仅是 个应答，表示为a c k包。如图1 . 1 所示: 主机 a主机 b 图1 . 1 两主机间通过三次握手建立联系 当主机b接收到一个s y n数据包时，它分配一块内存给这个新的连接。如 果连接数没有限制，那么主机b为处理t c p 连接将很快用完它的内 存资源。然 而对一个给定的应用服务， 比如www服务， 并发的t c p 连接请求有个限度， 如果达到了这个限度， 别的请求将会被拒绝。 如果一个客户采用地址欺骗的方式 伪装成一个不可到达的主机时， 那么正常的三次握手过程将不能完成，目 标主机 一直得等到超时再恢复，这是s y n攻击的原理。 t c p 协议把通过连接而传输的数据看成是字节流，用一个3 2 位整数对传送 的字节编号。初始序列号 ( i s n ) 在t c p 握手时 产生， 产生机制与协议实现有关。 攻击者只要向目 标主机发送一个连接请求， 即可获得上次连接的 i s n ,再通过多 次测量来回传输路径，得到述攻主机到目 标主机之间数据包传送的来回时h r t t 。己知上次连接的i s n和r t t ， 很容易就能预测下一次连接的i s no 若攻击 者假冒 信任主 机向目 标主机发出t c p 连接， 并预测到目 标主机的1 c p 序列号 ， 中 甫 大 学 二 商 种 30 吐 学 院 不 刃二 七论 文 攻击者就能伪造有害数据包， 使之被目 标主机接受， 从而实现t c p 序列号攻击。 ( 2 ) i p ( i n t e r n e t p r o t o c o l ) 协议和i c m p ( i n t e r n e t c o n t r o l m e s s a g e p r o t o c o l ) 协议 安全性分析 i p协议己经成为世界上最重要的网际协议，它提供无连接的数据包传输机 制，其主要功能有:寻址和路由、分段和重组。在交换数据前它并不建立会话， 因此它不能保证正确传递;另一方面，数据在被收到时，i p不需要收到确认， 所 以 它 也 是 不 可 靠 的 . 4 吻 把 报 文 分 成 若 于 个 数 据 包 ， 每 个 数 据 包 在 网 关 中 进 行路由 选择， 穿越一个个物理网络， 从源主机到达目 标主机。 在传输过程中数据 包可能被分成若干小段， 以满足物理网络中最大传输单元长度的要求， 侮一小段 都当作一个独立的 数据包被传输，其中 只有第一个数据包含有t c p层的端1- 1 信 息。 在包过滤防火墙中根据数据包的端口号检查是否合法， 这样后续数据包可以 不经检查而直接通过。 攻击者若发送一系列有意设置的数据包， 以非法端日号为 数据的后续数据包覆盖前面的具有合法端口 号的数据包， 那么该路山器防火墙仁 的过滤规则被旁路，从而攻击者达到了进攻目的。 利用i p协议，攻击者还很容易实现以下三种欺骗: 源地址欺骗( s o u r c e a d d r e s s s p o o f i n g ) 或i p 欺骗( i p s p o o f i n g ) . i i i 欺骗的根 源在于主机之间的信任验证是基于i p 地址的。 它用i p 地址作为网络节点的唯一 标识， 但节点的i i i 地址是一个公共数据，因此攻击者可以直接修改节点的i p 地 址，冒充某个可信节点的i p 地址给受攻者发送i p 包， 而被攻击的主机却把此包 作为一个合法的数据包来处理。 i p欺骗可以分为两种情形:一种是冒充内部网 的i p 地址来进行攻击;另一种是冒充外部网上可信节点的i p 地址来进行攻击。 源路山 选择欺骗( s o u r c e r o u t i n g s p o o f i n g ) . t c p / i p 协议中， 为测试目 的， i i i 数据包设置了一个选项i p s o u r c e r o u t i n g ， 该选项可以 直接指明到达节点的路 山。 攻击者可以利用这个选项进行欺骗， 进行非法连接。 攻击者可以冒充某个可 信节点的i p地址，构造一个通往某个服务器的直接路径和返回的路径，利用可 信用户作为通往服务器的路由中的最后一站， 就可以向服务器发出请求， 对其进 行攻击。 i i i隧道。协议的隧道技术在今天己是很普遍的了。攻击者可以利用此项 技术， 在合法用户的代码之中隐藏自己 的“ 特洛伊木马” 程序。 例如， 攻击者可 以 把自己的i i i 包隐藏在d n s 或t e l n e t 信息中。 8 中 南 大 学j二 商 管 理 学 院 不 觅士论 文 i c mp是在网问层中与i p一起使用的协议。如果一个网关不为i p 分组选择 路由、 不能递交i p分组或者测试到某种不正常状态，如网络拥挤影响i p分组的 传递， 那么就需要i c mp 来通知源端主机采取措施， 避免或纠正这类问题o i c mp 被认为是i p 协议不可缺少的组成部分，是 i p 协议正常t作的辅助协议。 i c mp协议存在的安全缺口有: 攻击者可利用i c mp 重定向报文破坏路由，并以此增强其窃听能力。 攻击者可利用不可达报文对某用户节点发起拒绝服务攻击。 ( 3 ) 路由协议安全性分析 i n t e r n e t 使用动态路山，通过路由器相互通信和传递路山信息，实现路山表 的自动更新。自治域内部采用的路由协议称为内部网关协议， 常用的有路山信息 tl i 、议r i p ( r o u t i n g i n f o r m a t io n p r o to c o l) , 开 放 式 最短 路 径优 先协议o s p f ( o p e n s h o r t e s t p a t h f i r s t ) 。 外部网关协议主要用于多个自 治域之间的路山 选择， 常用的 是边界网关协议b g p ( b o r d e r g a t e w a y p r o t o c o l ) . 路山协议存在的安全缺口有: 许多路由协议使用未加密的非一次性口令来证实数据中的路山信息， 容易 遭到非法窃听。 攻击者通过伪造一非法路由器或者其它手段发送伪造路由信息， 扰乱合法 路由器的路山，从而使本应到达目 标主机的数据包转发至入侵主机。 由于 b g p 通过t c p 传送数据， 目 前对 t c p 不断加剧的攻击也是影响b g p 安全的一个重要因素。 ( 4 ) 域名系统安全性分析 为了解决i p 地址难于记忆的问题，t c p / i p设计了一种层次性命名协议，即 域名系统d n s ， 其作用是自 动将主机域名转换成对应的i p 地址。 d n s 也存在着 一些安全缺口，主要有: 由于 d n s 缺乏密码认证机制，攻击者可通过假冒其它系统或截取发往其 它系统的邮件等手段，对用户造成危害。 目前许多防火墙产品基于未证实的i p地址，作出有关网络外部存取的决 策，其中若被插入假d n s 信息，就会给攻击者造成便利。 针对d n s的攻击和针对路由 机制的攻击如果被配合使用，将对网络造成 灾难性的后果。 中 南 大 学 二 商 种 y 巨 学 院 不 恤士 论 文 1 . 2 . 3丁 c p / i p 协议的改进和发展状况 i n t e r n e t 每天都在发生变化，作为被广泛使用的基础性协议，t c p / i p也在不 断改善和发展之中。 ( 1 ) i p 协议的改进 1 9 9 4 年7 月 因 特网 工 程 任 务 组 ( i e t f : i n te r n e t e n g in e e r in g t a s k f o r c e ) 确 定了 下一代i p 协议的基础， 开始了i p v 6 的研究实验工作。 1 9 9 5 年1 2 月， i e t f 公布 了i p v 6 草案。目前有关i p v 6 的实用化研究开发工作正在进行。最近两种原本为 i p v 6 设计 的 安 全 机制 被 加 进了i p v 4 a 其中 一 种 称为a h ( a u th e n t ic a t io n h e a d e r ) 机 制， 提供证实和完整性服务， 但不提供保密服务; 另一种称为e s p ( e n c a p s u l a t i o n s e c u r it y p a y lo a d ) 机 制， 提 供完 整 性 服 务、 证实 服 务 及 保密 服务 。 ( 2 )路山技术的改进 为保护r i p 和o s p f 报文的安全，目 前己 提出 采用著名的k e y e d m d 5 证实 算法对发送路山报文的结点进行证实。 这种方法能够足以抵御目前使用的大部分 攻击， 但不能完全消除重播可能。 有些路由器内 含了证实t c p 会话过程的机制， 从而能减少多个自治域之间通过b g p所传输的路由信息遭受攻击的危险性。由 于i p v 6 提供a h和e s p 机制， 与i p v 6 一起使用的内部网关协议就可依赖这些机 制获得安全保护。至于外部网关协议，内含证实过程的 i d r p ( i n t e r -d o m a i n r o u t i n g p r o t o c o l ) 将取 代b g p . i d r p 可和非i p v 6 的 协议 一 起使用，比 如i i v 4 0 ( 3 ) d n s 安全扩充 e a s t l a k e 和k a u f m a n 对d n s 设计了一种安全扩充。该安全扩充提供了d n s 信息证实机制， 并允许用户的公开密钥存储于d n s 中， 山请求方对其进行证实。 当 采用密钥管理协议产生会话密钥时， 需要有一种方法来证实参与密钥交互过程 的各方，存于d n s中的用户签名的公开密钥就可用于这样的证实过程。 d n s 安 全扩充允许用户签名的公开密钥与地址记录、姓名记 录和邮箱一起进行认证分 配， 从而使动态密钥管理较易实现。 d n s 信息证实极大地减少了非法者针对d n s 或 d n s使用者的攻击威胁。 ( 4 )密钥管理协议 在密钥管理方面，缺少动态密钥管理标准一直是一个最大的问题。i e t f正 在研究一种采用d i ff i e - h e l l m a n 技术的 密钥交换协议o a k l e y 。 作为协议的一部 中南 大 学 j二 又 打管 3 里学 砚 祀不 班士 论 夕乙 分，公开密钥证书存储于d n s中，以抵御对d i fe -h e l l m a n 的m a n -i n -t h e - m i d d l e 攻击。 使用该协议产生的密钥与以往产生的任何密钥都无关， 因此攻击都 无 法通过破获几个主 密 钥来导出 会话密 钥。 i e t f 还推出了 一 种i s a k m p ( i n t e r n e t s e c u r i t y a s s o c i a t i o n a n d k e y m a n a g e m e n t p r o t o c o l) 协议 ， 允 许就密 钥生 存期和 敏 感级等问题进行协商。o a k l e y 和i s a k m p的配合使用在儿年后将很普遍，它们 不仅能用于网间协议，还能用于传输层甚至低层，如a t m协议。 i n te rn e t 安 全 是 广 大 网 络 用 户 普 遍 关 心 的 一 个 重 要 问 题 不 尽 管 利 用 协 议 中 存 在的安全缺口 实施攻击技术性强、 难度大， 但突破率高、 危害性极大。 正因为如 此， 各国耗资致力于该问题的研究， 的重要性是毋庸置疑的，可以相信 ，并己取得了显著的成效。 万 者 认 为 ， t c p / i p ，随着网络的发展和安全技术应用的深入， t c p / i p 将不断得到改进和完善，从而更显示出其旺盛的生命力。 1 .3 网络安全防护技术 我们在考虑网络安全的过程中， 应全面考虑以下五方面的问题: 网络是否安 全?操作系统是否安全?用户是否安全?应用程序是否安全?数据是否安全? 目 前， 这个五层次的网络系统安全体系理论已经得到了国际网络安全界的广泛支 持，并己 将这一理论应用到产品之中。 在这五层安全体系当中， 任何一个环节出 现安全漏洞，都可能导致整个安全体系的崩溃。因此， 系统安全是“ 系统”的安 全， 应该用 “ 系统论” 的眼光来看待网络系统的安全问题， 从网络系统的每个元 素 ( 即网络、操作系统、用户、应用程序、数据)出发， 全面、认真、细致地考 察安全问 题， 提出系统化的 解决办法。 下面我们针对每一层的安全问 题及所采取 的安全防护技术进行简单的阐述和分析。 t . 3 . 1 网络安全体系的五个层次 1 网络层的安全性 网络层安全性的核心问 题是网络能否得到控制，即:是不是任何一 个 i p地 址的用户都能进入网络。 通过网络通道对网络系统进行访问时，每一个用户都会有一个独立的i p地 址，这个 i p地址能够大致表明用户的来源地址和来源系统。目 标站点通过对来 中 甫 夕砚 学j 二 商 管 理 学 欢 刊 随 性: 论 文 源 i p 分析，能够初步判断来自这一 i p的数据是否安全，是否会对本网络系统造 成危害，以及来自 这一i p的用户是否有权使用本网络的数据。- - .h . 发现某些数 据来自 不可信任的 i p地址，系统便会自 动将这些数据阻挡在外。并且 大多数系 统能够自 动记录那些曾经造成过危害的 i p地址，使它们的数据免于遭受第 _ 次 危害。 用于解决网 络层安全性问 题的产品主要有防火墙产品和虚拟专用网 ( v p n ) . 防火墙的主要目的在于判断来源i p ，将危害或未经授权的1 p 数据拒之于系统之 外，而只让安全的 i p数据通过。一般来说，公司的内部网络若与公众 i n t e r n e t 相连，则应该在二者之间设置防火墙产品，以防止公司内部数据的外泄。v p n 主要解决的是数据传输的安全性问 题，如果公司在地域上跨度较大，使川专网、 专线过l = 昂贵，则; i 一 以考虑使用 v p n。其主要目 的在于保证公司内部的关键数 据能够安全地借助公共网络进行频繁的交换。 2 .系统的安全性 在系统安全性问题中，主要考虑的问题有两个:一是病毒对于网络的威胁; 二是黑客对网络的破坏和侵入 对于病毒而言， 其主要传播途径已经由过去的软盘、 光盘等存储介质变成了 网络， 多数病毒不仅能够直接感染网络上的计算机，也能够在网络 1 : 对自身进行 复制。电子邮件、文件传输以及网络页面中的恶意j a v a 小程序和a c t i v e x控件， 甚至文档文件都能够携带对网络和系统有破坏作用的病毒。 解决此问题的产品主 要是网络防病毒工具，该工具能够针对网络中所有可能的病毒入口 进行防护。 对于黑客而言， 他们的主要目的在于窃取数据和非法修改系统， 其手段之一 是窃取合法用户的口 令， 在合法身份的掩护下进行非法操作; 其手段之几是利用 网络操作系统的某些非法但不为系统管理员和合法用户所知的操作指令。 要弥补 这些漏洞， 我们需要专门的系统风险评估工具， 在完成了 这些工作之后， 操作系 统自身的安全性问题将在一定程度上得到保障。 3 .用户的安全性 对于用户的安全性问题， 所要考虑的问题是: 是否只允许那些真正被授权的 用户使用系统中的资源和数据， 首先要做的是对用户进行分组管理， 根据不同的安全级别将用户分成若干等 级， 侮一等级的用户只能访问到与其等级相对应的系统资源和数据。 其次应该考 1 2 中 洲 附 气学 二 兀商 管 3 里学 欢 石 口.士论 3 戈 虑的是强有力的身份认证，其目的是确保用户的密码不被他人窃取。 在大型的应用系统中， 有时会存在多重登录体系， 用户如要进入最高层的应 用， 往往需要多次输入多个不同密码， 如果管理不严， 多重密码也会造成安全 1 几 的漏洞。 所以在某些先进的登录系统中， 用户只需要输入一次密码， 系统就能够 自 动识别用户的安全级别， 从而使用户进入不同的应用层次。 这种单一的登录体 系要比多重登录体系提供更强大的安全性。 4 .应用程序的安全性 在这一层中我们需要回答的问题是: 是否只有合法的用户刁能对特定的数据 进行合法的操作? 这涉及两方面的问题: 一是应用程序对数据的合法权限; 二是应用程序对i ii 户的合法权限。 例如在公司内部， 上级部门的应用程序可以 存取下级部门的数据。 i司 级部门的数据存取也应有所限制， 例如同一部门不同业务的应用程序不能互相 访问对方的数据， 一方面可以避免数据的意外损坏， 另一方面也是出于安全性问 题的考虑。 s .数据的安全性 数据的安全性所要回答的问题是:机密数据是否还处于机密状态? 在数据的存取过程 !“ ， 机密数据即使处于安全的空间，也 要对其进行加密处 理，以保证万一数据失窃，偷窃者 ( 如网络黑客)也读不懂其中的数据内容。这 是一种比较被动的安全手段，但往往能收到最好的效果。 1 . 3 . 2 集成的网络安全防范技术 从上述网络安全的五层体系可以 看出， 网络安全不仅仅是一 个网络防火墙的 问题，它是一整套的安全策略和解决方案。 与其它安全体系 ( 如保安系统) 类似， 信息系统的安全体系必须集成多种安 全技术实现。 如: 虚拟网技术、 防火墙技术、 入侵监控技术、 安全漏洞扫描技术、 网络监控与性能分析、 网络防病毒技术、 加密技术、 认证和数字签名技术等。 一 卜 面针对几种主要的网络安全防范技术进行介绍。 1 .防火墙技术 作为构筑网络安全的第一道防线， 防火墙是建立在现代通信网络技术和信息 安全技术基础土的应用性安全技术， 是连接内网 ( 企业内部网络)与外网 ( 公共 中 南 大 学 二 ll 打管 美 组学 觅 忆 ; 泛创 卜. 论 文 1 .5 防火墙技术发展状况 在安全问题成了i n t e rn e t 网络重要议题的时候，防火墙产品作为处理此安全 问 题的一个重要方式出 现了。自 从1 9 8 6 年美国d i g i t a l 公司 在i n t e r n e t 网 上安 装 了全球第一个商用防火墙系统， 提出了防火墙概念后， 防火墙技术得到了飞速的 发展。现在防火墙产品成为 i n t