（计算机软件与理论专业论文）统计系统网络安全与解决方案的研究.pdf

摘要 信息技术的发展，使计算机网络信息系统在很多领域得到了广泛应用。但是， 计算机网络信息系统的安全性却令人担忧。近十年来，由于计算机系统遭到破坏 所造成的损失逐年急剧上升，计算机网络信息系统存在着极大的风险。 由于不同用户的网络系统对网络安全的要求不同、侧重面不同，在构建网络 系统时，一般依据经验和用户的要求，对网络系统的安全因素、应采取何种安全 措施进行定性分析，以确定应采取的安全方案。 本文根据计算机网络安全研究的内容，对计算机网络系统的安全性进行分 析，围绕针对郑州市统许局网络建设存在的信息安全问题，在分析系统整体性能 的基础上，充分利用现有网络信息安全技术，提出了构建网络信息安全的策略， 并对其性能和代价进行了权衡。发现并解决对系统性能影响较大的瓶颈因素，在 关键设备的选择和改进加密算法认证模型方面进行了一定的研究和探索。 关键字计算机网络安全性能统计 ar e s ea r 出p 印e ro f t l l en e t w j r kh l f o 肿a t i 。ns a f e t y a n d s o l u ：七i o ns c h 哪e i ns t a t i s t i cs y s t e m a b s 。、一十ft h ei r i f o r m a 舯砌n 漱n t h 。神。r k 呲冰v e l 。东篇黧篡三：黼洲o w e v e r ， 耐咖删啦：。i = ：；三_ 】：! 基黧芝淼“s t r m m s 岫s e c u r i 肿f t 沁n e 埘竺三：嚣淼三e a c 榔u t 蚪o m 帅础t e n y e a ：，篡：。嚣篡兰：三纂m 吖。a t ，i 哪e m i sr a i s e dy e a r b yy e a rq u y t h 。o m p “。 f a c e s t 。a ! r e a r l s ：。，i ，。m 。fu s e rh a sd i f f e r e n t r 。q u ir e m e n ta n d 阳伽e n t 唆篓。篆“羹兰搿三m 泓t c m ， 耐n t s c o r 眦= 篇翟，烹：。瑟兰羔s e r ，岫唧盯 鲫e r a m 唧竺黛黑薹黛e e 篓乏小m m t 眺o m e n 黧：絮：嚣篡拦纛n r t r m t s a f e t ym e a s u r es h 。u l d b et a k e n1 nt h 8 s ，3 。“1 “ s e c 耐 c h e m = 然# 篆麓舭胁咖m 螂帆鼬 n c c 。r d i n s 。：。h 。二竺：? ：；。? 曼：i i ；：1 l t ：善：e 。r t 。r 。r m a t t 。n 哪e 卵警：竺麓：黑曼：赫彻删加u ，n s a 如e x 伯：n 8 ：! ：纛：i 羔兰三：篡三一a t 。u s e 。r t n e 恤畸裟：。= 罴篡篇意m 呲m c s 删e r n n e t 帅黑黑：篇篙黑。毒淼咖阳咖a 舯t r u 乱鼍絮，! 罴兰i = 篡。i 一。，n n a 。u t a r e s e a r 曲掣黧黑鬈。三兰篡溉m 邮舢孤州刮 烈叭娜钉协篡奠羔三筹黧茹泌叫肿唧一n a o n s 。m e 抟i 瞄羔：。舞篇基。三i 兰i m 。捌a 。州s 吲、鼬h a m m o r a t 。t h ee n c r y p t a l g 。r i t h ma u t n 。u 扎“ d o n l t - k e y 删s 删岫o f c o m p u t e f 删。r k 娜f t l 。s 瓣删 郑重声明 y 9 7 5 本人的学位论文是在导师指导下独立撰写并完成的，学位论文没 有剽窃、抄袭等违反学术道德、学术规范的侵权行为，否则，本人愿 意承担由此产生的一切法律责任和法律后果，特此郑重声明。 学位论文作者( 签孙曼收磅 五。u 5 年f f 月) 、9 目 邦州大学硕士学位论文 统计系统网络安全与解决方案的研究 引言 网络技术的发展已经深入到社会生活的各个方面。对个人而言，网络技术的 发展，特别是互联网的兴起，改变了人们的生活方式；对企业而言，网络技术的 发展，为企业实现信息化管理，提升企业综合竞争优势提供了便利条件，e r p 、 s c m 、c r m 的应用，电子政务网站的兴起，企业门户网站的建设，为企业走向国 际化道路奠定了扎实的基础。对行政管理而言，网络技术的发展，提高了各个部 门之间的沟通，加快了办事效率，电子政务的兴起，使政府、企业和个人之间更 加良好的沟通。 虽然一切便利都源午网络，但是一切安全隐患也源于网络。网络设计之初， 只考虑到相互的兼容和互通，并没有考虑到随之而来的一系列安全问题，这就使 鼹络安全伴随互联网的发展丽不断发展。弼络薪业务的不断兴起，对网络安全提 出了更高的要求。黑客入侵案件不断发生，给我们敲响了警钟，同时电给我国网 络安全提出了严峻的挑战。 一个全方位的计算机网络安全体系结构包含网络的物理安全、访问控制安 全、系统安全、用户安全、信息加密、安全传输和管理安全等。充分利用各种先 进的主机安全技术、身份认证技术、访问控制技术、密码技术、防火墙技术、安 全审计技术、安全管理技术、系统漏洞检测技术、黑客跟踪技术，在攻击者和受 保护的资源间建立多道严密的安全防线，极大地增加了恶意攻击的难度，并增加 了审核信息的数量，利用这些审核信息可以跟踪入侵者。但是，计算机安全策略 的使用与需要保护资产的价值相关，就需要依据它的价值在保护它所需的花费和 努力之间进行权衡。所有因素混合在一起构成了安全策略和程序开发。i t 部门 还要部署他的防火墙和入侵检测系统，经过深思熟虑之后，选择了相应的系统， 并把他们放到在保护重要资产方面能起到最大作用的地方。本文在现有基础的条 件下构建安全的信息网络，为了减少复杂的安全技术对电子政务系统性能的影 响，需要对当前电子政务中的安全技术进行分析，从而识别出对系统性能影响较 大的瓶颈因素。在此基础上采用各种技术来提高瓶颈部件的性能，减少它与其他 部件的性能差异。对于服务层给出了对安全协议改进的加密算法认证模型，哒到 郏卅i 大学硕士学位论文统计系统网络安全与解硬方案的研究 有效降低安全技术对系统性能影响的目的。 目前，郑州市统计局在计算机信息系统的发展上，已逐步建立起一套比较完 整的计算机信息管理系统。它担负着1 4 个县( 市) 区的数据传输和全市四万多 家法入单位的网上直报。这些数据包含各县( 市) 、区和各部门的社会经济调查， 收集、整理全市的基本统计资料，企业基本情况和经营情况，其中很多涉及到国 家、企业和个人的秘密。系统建设的同时逐渐感觉到，网络和应用的建设固然重 要，信息安全也同样关键，因为信息安全是政务网能够稳定、安全、可靠运行的 前提，虽然网络有了一定的规模，但是网络在设计之初还没有全面考虑过安全问 题，因此需要对网络结构和应用系统进行全面的评估，从而制定出可行和全面的 信息安全解决方案。应该参考科学的方法，从整体的角度考虑信息安全系统的搭 建与部署，在确保安全的同时兼顾效率，并且采用软硬兼顾的办法，逐渐将统计 网的信息安全防护体系搭建起来。 郑卅i 大学硕士学位论文统计系统网络安全与解捷方案的研究 1 网络安全概述 1 1 网络安全基本概念 网络安全是一个关系国家安全和主权、社会的稳定、民族文化的继承和发扬 的重要问题，也是一个涉及计算机科学、网络技术、通信技术、密码技术、信息 安全技术、应用数学、数论、信息论等多种学科的边缘学科。网络安全的重要性 已经有目共睹，信息电子化已经成为现代社会的一个重要特征。信息本身就是时 间、就是财富、就是生命、就是生产力。因此，各国开始利用电子空间的无国界 性和信息战来实现其以前军事、文化、经济侵略所达不到的战略目的。另外，由 于网络的快速、普及、协同计算、资源共享、开放、远程管理化，电子商务、金 融电子化成为网络时代必不可少的产物。川因此，这给人们带来了许多薪的课题。 如何解决网络安全问题? 大量事实表明：确保网络安全已经是一件刻不容缓的大 事。网络安全课题具有十分重要的理论意义和实际背景。 网络安全从其本质上来讲就是网络上信息的安全，它涉及的领域相当广泛。 这是因为，在目前的公用通信网络中存在着各种各样的安全漏洞和威胁。从广义 的角度来说：凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控 性的相关技术和理论都是网络安全索要研究的领域。 1 2 国内外网络安全现状 1 、我国网络安全现状 ( 1 ) 信息和网络的安全防护能力差 随着1 9 9 5 年以来多个上网工程的全面启动，我国各级政府、企事业单位、 网络公司等陆续设立自己的网站，电子商务也正以前所未有的速度迅速发展，但 许多应用系统却处于不设防状态，存在着极大的信息安全风险和隐患。 我国的银行系统、政府部门、企业等全都处在信息化和网络化进程中，却很 少有人关注安全问题，没有采取有效的安全措施保证网络的安全，也降低了安全 防护能力。 ( 2 ) 基础信息产业严重依靠国外 我国的信息化建设，基本上是依赖国外技术设备装备起来的? 良国际财团涌 3 郑州大学硕士学位论文 统计系统网络安全与解决方案的研究 向我国信息化建设的市场，大举推销电子信息设备之时，我们却在相对缺乏知识 和经验的情况下，存在着一些花钱买淘汰技术和不成熟技术的现象，这其中就潜 伏着信息安全隐患的极大危险。 我们的诗算机软件也同样面临受人遏制和封锁的威胁。虽然我国的计算机制 造业有很大的进步，但其中许多核心部件都是原始设备制造商的，我们对其的研 发、生产能力很弱，关键部位完全处于受制于人的地位。我们的计算机软件还面 临市场垄断和价格歧视的威胁。国外厂商几乎垄断了我国计算机软件的基础和核 心市场，特别是操作系统。 ( 3 ) 信息安全管理机构权威性不够 目前，国家经济信息安全管理条块分割、各行其是、相互隔离，极大地妨碍 了国家有关法规的贯彻执行，难以防范境外情报机构和“黑客”的攻击。国家在 信息安全问题上缺一个专门的权威性机构。信息安全相关的民间管理机构与国家 信息化领导机构之间还没有充分沟通协调。 另外，计算机犯罪屡有发生，我国从1 9 8 6 年发现第一件银行计算机犯罪案 起，案件呈直线增长趋势，调查表明每年计算机犯罪发案率递增3 0 。 ( 4 ) 全社会的信息安全意识淡薄 部分人士认为我国信息化程度不高，更没有广泛联网，瓦联网用户的数量也 不多，信息安全事件在我国不可能发生，耍发生也是多少年以后的事，何必大、疲 小怪，而在“居危思安”的心态中。 另外，信息安全领域在研究开发、产业发展、人才培养、队伍建设等方面和 迅速发展的形势极不适应，只是作为信息化的研究分支立项，投人很少，和国外 差距越来越远。 2 、国外网络安全现状 国际上信息安全研究起步早，力度大，积累多，应用广。2 0 世纪8 0 年代， 美国国防部基f 军事计算机系统的保密需要，在7 0 年代的基础理论研究成果计 算机保密模型( b e l l l ap a d u l a 模型) 的基础上，制订了”可信计算机系统安 全评价准则”( 7 r c s e c ) ，其后又制订了关于网络系统、数据库等方面和系列安全 解释，形成了安全信息系统体系结构的最早原则。至今美国已研究出达到t c s e c 郑州大学硕士学位论文统计系统网络安全与解决方案的研究 要求安全系统( 包括安全操作系统、安全数据库、安全网络部件) 的产品多达 1 0 0 多种。 9 0 年代初，英、法、德、荷四国针对t c s e c 准则只考虑保密性的局限，联 合提出了包括保密性、完整性、可用性概念的“信息技术安全评价准则”( r r 【s f c ) ， 但是该准则中并没有给出综合解决以上问题的理论模型和方案。近年来六国七方 ( 美国国家安全局和国家技术标准研究所、加、英、法、德、荷) 共同提出了” 信息技术安全评价通用准则”( c cf o ri ts e c ) 。c c 综合了国际上已有的评审 准则和技术标准的精华，给出了框架和原则要求。然而，将作为取代1 c s e c 用于 系统安全的评测的国际标准，它仍然缺少综合解决信息的多种安全属性的理论模 型依据。“。 可以说网络安全成为信息时代人类共同面临的挑战。在各领域的计算机犯罪 和网络侵权方面，无论是数量、手段，还是性质、规模，已经到了令人咋舌的地 步。目前美国每年由于网络安全问题而遭受的经济损失超过1 7 0 亿美元，德因、 英国也均在数十亿美元以上，法国为1 0 0 亿法郎，日本、新加坡问题也很严重。 在国际刑法界列举的现代社会新型犯罪排行榜上，计算机犯罪已名列榜首。2 0 0 3 年，c s i f b l 调查所接触的5 2 4 个组织中，有5 6 遇到电脑安全事件，其中：粥c b 遇到l 5 起、l 6 以上遇到1 l 起以上。因与互联网连接而成为频繁攻击点的组 织连续3 年不断增加；遭受拒绝服务攻击( d o s ) 则从2 0 0 0 年的2 7 上升到2 0 0 3 年的4 2 。调查显示，5 2 1 个接受调查的组织中9 6 有网站，其中3 0 提供电子商 务服务，这些网站在2 0 0 3 年1 年中有2 0 发现未经许可入侵或误用网站现象。 更令人不安的是，有3 3 的组织说他们不知道自己的网站是否受到损害。据统计， 全球平均每2 0 s 就发生1 次网上入侵事件，黑客一一旦找到系统的薄弱环节，所有 用户均会遭殃。“1 总之，网络安全问题已成为信息时代人类共同面i 临的挑战，国内的网络安全 问题更加日益突出。 1 3 计算机网络信息系统的性质 计算机网络信息系统应具有如下性质 i 、可靠性 郑州大学硕士学位论文统计系统网络安全与解决方案的研究 指网络信息系统能够在规定条件下和规定的时间内壳成规定的功能的特性。 网络信息系统的可靠性测度主要有三种：抗毁性、生存性和有效性。抗毁性指系 统在人为破坏下的可靠性。比如，部分线路或节点失效后，系统是否仍然能够提 供一定程度的服务。增强抗毁性可以有效地避免因各种灾害( 战争、地震等) 造成 的大面积瘫痪事件。生存性主要反映随机性破坏和网络拓扑结构对系统可靠性的 影响。有效性主要反映在网络信息系统的部件失效情况下，满足业务性能要求的 程度。比如，网络部件失效虽然没有引起连接性故障，但是却造成质量指标一f 降、 平均延时增加、线路阻塞等现象。可靠性主要表现在硬件可靠性、软件可靠性、 人员可靠性、环境可靠性等方面。 2 、可用性 指网络信息可被授权实体访问并按需求使用的特性，即网络信息服务在需要 时，允许授权用户或实体使用的特性，或者是网络部分受损或需要降级使用时， 仍能为授权用户提供有效服务的特性。可用性是网络信息系统面向用户的安全性 能。 3 、保密性 指网络信息不被泄露给非授权的用户、实体或过程，或供其利用的特性。即 防止信息泄漏给非授权个人或实体，信息只为授权用户使用的特性。 4 、完整性 指网络信息未经授权不能进行改变的特性，即网络信息在存储或传输过程中 保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特 性。要求保持信息的原样，即信息的正确生成、正确存储和传输。 5 、不可抵赖性 指在网络信息系统的信息交互过程中，确信参与者的真实同一性，即所有参 与者都不可能否认或抵赖曾经完成的操作和承诺。 6 、可控性 指对网络信息的传播及内容具有控制能力的特性。 7 、正确性 指信息系统所输入、处理、存储的数据应具有合理、真实、正确的特性。 6 郑州大学硕士学位论文统计系统网络安全与解决方案的研究 2 郑州统计网的系统建设现状及存在问题 2 1 系统建设现状和主要安全问题概述 网络技术的发展已经深入到社会生活的各个方面。对个人而言，网络技术的 发展，特别是互联臃的兴起，改变了人们的生活方式；对企业而言，网络技术的 发展，为企业实现信息化管理，提升企业综合竞争优势提供了便利条件，e r p 、 s c m 、c 肼的应用，电子商务网站的兴起，企业门户网站的建设，为企业走向国 际化道路奠定了扎实的基础。 虽然一切便利都源子网络，但是一切安全隐患也源于网络。网络设计之初， 只考虑到相互的兼容和互通，并没有考虑到随之而来的一系列安全问题，这就使 网络安全伴随互联网的发展而不断发展。网络新业务的不断兴起，对网络安全提 出了更高的要求。黑客入侵案件不断发生，给我们赦响了警钟，同时也给我图网 络安全提出了严峻的挑战。 在计算机信息系统的发展上，郑州市统计局己逐步建立起一套比较完整的计 算机信息管理系统。系统建设的同时，郑州市统计局领导也感觉到，网络和应用 的建设固然重要，信息安全也同样关键，因为信息安全是企业网能够稳定、安全、 可靠运行的前提，郑州市统计局网络虽然有了一定的规模，但是网络在设计之初 还没有全面考虑过安全问题，因此需要对网络结构和应用系统进行全面的评估， 从而制定出可行和全面的信息安全解决方案。 我认为，郑州市统计局应该参考科学的方法，从整体的角度考虑信息安全系 统的搭建与部署，逐渐将企业网的信息安全防护体系搭建起来。 网络系统现状现如图2 一l 所示： 7 郑卅i 大学硕士学位论文 统计系统网络安全与解决方案的研究 图2 1 郑卅统计网络拓扑图 内部网络通过路由设备连接到广电网，县( 区) 及直属调查队网点通过广电 网进入内部网络，其间未使用任何安全设备进行防护。 郑州市统计网络有如下几个功能要求： - 网内所有用户都有不同的角色( 例如，报表录入员、数据分析员、管理员、 1 1 、政府相关单位人员等等) 访问网络和信息服务的高有效性需求 许多不同的信息仓库，通常和用户扮演的角色有关 远程用户( 例如，网上直报单位、远程办公人员或者在晚上登录进行系统 修复的系统管理员) 多个站点 网络非常复杂，在按术和技术人员上需要有很大的投入。当越来越依靠t t 基础设施时，它们也比过去对信息安全问题更敏感了。直接在网络巴进行日常工 作，依靠网络蒸蒸日上并用网络来提高员工的工作效率的单位已经痛苦地意识到 猖獗的痫毒繁殖和拒绝服务攻击所带来的损失。 更大的范围面临着更多的信息安全挑战，主要包括有： 郑卅f 大学硕士学位论文统计系统网络安全与解决方案的研究 许多单纯并没有经过训绦的用户 网络的分布式管理和设计，特别是相互连接的两个分部 来自管理上的冲突需求，它不仅要求容易访问而且要求封闭的安全性能 为信息安全上的证书而竞争的不同实体( 典型的是“安全组”与“网络组”) 单 位通过了它的信息资产正式评估针对网络设计制定了明确的方针，建立了一个坚 固的网络和监测架构，并且为连续改善安全状况而改进了正式的过程，这些过程 包括i t 人员的培训、每个季度的渗透钡4 试以及周期性拒绝服务攻击。完成每次 测试后，网络和服务的基础设施以及面对i n t e r n e t 的应用程序都渡加强，从而 抵抗这些攻击。评估和改善的这个持续循环产生了极其坚固的基础设施，体现了 高有效性和强大的安全性。 2 2 外部问题 首先注意那些故意从外界连接到站点网络的安全性。在确保外界访问的安全 以后，再检测内部设计方面的安全性。郑州统计网络主要通过郑州广电宽带p 网络和统计专用i p 网络和外界连接。 在网络中的重要的设备如路由器等有可能存在着以下的安全威胁：路由器缺 省情况下只使用简单的口令验证用户的身份，并且远程t e l t 登录时以明文传 输口令。一旦口令泄密路由器将失去所有的保护能力。路由器口令的弱点是没有 计数器功能的，所有每个人都可以不限数的尝试登录口令，在口令字典等工具的 帮助下很容易破解登录口令。每个管理员都可能使用相同的口令，因此，路由器 对于谁曾经作过什么修改，系统没有跟踪审计能力。路由器实现的动态路由协议 存在着一定的安全漏洞，有可能被恶意的攻击者利用来破坏网络的路由设置，达 到破坏网络或为攻击作准备。针对路由器的拒绝服务攻击或分布式拒绝服务攻 击。发布假路由，路由欺骗，导致整个网络的路由混乱。 t c p i p 协议是郑州市统计局网络的主流通信协议，电是网络通信和应用的 实际标准。然而，基于数据流设计的t c p i p 协议自身存在着许多安全漏洞，存 互联网发展的早期，由于应用范围和技术原因，没有引起重视。但这些安全漏洞 正日益成为黑客们的攻击点。在各种数据的传递和访问等活动中，剥k p 【p 网 络服务的任环节的攻击，都有可能威胁到用户机密，都可能使重要的信恳，l t 邦卅l 大学硬士学位论文 统计系统网络安全与解扶方案的研究 如重要数据、重要的口令在传递过程中遭到窃听和篡改。因此，针对网络层安全 协议的攻击将给网络带来严重的后果。i n t e r n e t 一带有不受保护公共i p 地址的 任何系统，包括网络设备( 例如，路由器和交换机) 以及服务器和工作站，都能 够通过i n t e r n e t 对它进行访问。这就是客户枫如何连接到我们想提供的网络服 务。远程用户可以通过任何电话线或者宽带( 例如d s l 或电缆m 。d e m ) 连接到他 们的网络提供商( i s p ) ，然后再连接到我们的i n t e r n e t 可寻址主机。 广域网( w a n ) 分部甚至一些合伙伙伴通常通过一些广域网连接到企业 网。虽然专线很普遍，但是不管怎么样，随着可负担的w a n 服务( 例如，帧中继、 更低程度上的异步传输模式一a t m ) 的引入，专线的普及程度已经逐渐降低了。 应该注意到，这些链接所使用的物理电路都是由服务提供商拥有管理的，而且他 们可以同一个物理光纤? 电缆或者卫星链接上作为不同的逻辑数据流进行传输。 因此，虽然w a n 链接逻辑上是安全的( 例如，来自帧中继信道传输的数据包不会 传输至g 其他信道中去) ，但是如果我们担心服务提供商工作人员观看我们的流量， 那么它们在物理上并不比i n t e r n e t 安全多少。 虚拟专用网络( 站点对站点) 通过使用v p n 技术在公共i n t e r n ec 上秘 密传输专用网络流量，i n t e r n e t 连接的普及已经大大降低了重复通信成本的生 存能力。v p n 技术提供了两个优点：通过把内部i p 数据包封装到其他i p 数据包 来使远程网络成为本地网络一部分，加密流量使当它穿越i n t e r n e t 时保持私有 性。应该注意到，站点对站点的v p n 可以用来确保w a n 连接的安全( 例如，帧中 继或者专线) 。 虚拟专用网络( 远程用户) 就像过去几年里站点对站点v p n 已经替代r 许多姒n 连接一样，远程用户v p n 也已经成为拨号调制解调器缓冲池和远程访问 服务器非常流行的替代品。在这种情况下，远程用户通过所选择的i n t e r n 。t 访 问( 拨号、d s l 、电缆调制解调器等等) 来使用第三方软件或操作系统本身所携 带的v p n 客户端软件，以为企业网建立一个加密信道。 物理媒体一最后，不要忘记这一点非常重要，那就是大量数据可以以磁带、 软( u ) 盘和c d 的形式进入和离开网络。病毒仍然可能在到达门r l 台阶的遭受破 坏的软件安装媒体中存在。 1 0 郑州大学硕士学位论文 统计系统网络安全与解决方案的研究 23 内部链接问题 我们有时都把安全架构与想象中的“黑客”威胁联系在一起。虽然这是一定 要考虑的但是由它自己提供大多数企业真正需要的深度安全是不够的。同样地， 网络设计的目标应该是防止至关重要的信息遭到己存在的任何威胁。让我首先回 顾一下网络内部产生的一些威胁： 操作系统安全也称主机安全，由于操作系统的代码庞大，从而不同程度上都 存在一些安全漏洞。w i n d o wn t 2 0 0 0 ，其安全漏洞广为流传。另一方面，系统管 理员或使用人员对复杂的操作系统和其自身的安全机制了解不够，配置不当也会 造成的安全隐患。操作系统自身的脆弱性将直接影响业务应用系统的安全。 业务系统与其他应用系统，任何机器都与重要的应用系统的服务器相连，服 l 务器对发起访问请求的来源无法进行有效的区分j 网内一些重要的服务器资源， 要求必须在授权的情况下才能进行访问；缺乏对网内内部各种访问的控制手段 网络的抗攻击能力比较差，如果内部员工采取木马、地址欺骗、中间人攻击等手 段，可以轻而易举的发起对服务器的攻击；缺乏对在企业网内部传输的数据包， 和各种网络访问进行有效的监控手段，企业网对网络中各种异常突发时间缺乏灵 活的应对措施；网络共享缺乏有力的控制措施，无法保证共享资源仅仅被授权的 用户所取得；广域网间采用明文信息进行传输，一旦被截获，则内部机密信息就 有泄露的危险。口令嗅探器一想要偷听网络通信的任何内部人员都比外部黑客拥 有一个既得的优势，因为他能够对内部基础设旖进行常规的访问。根据网络的设 计( 例如，集线器的交换机) ，任何用户都能很容易地把他计算机变成数据包的 嗅探器，并且获取其他用户的口令及其他的信息。 应用安全是指用户在网络上的应用系统的安全，对于郑州市统计局，主要是 针对其w e b 、邮件等系统中存在的安全隐患。应用层安全的解决目前往往依赖于 网络层、操作系统、数据库的安全，由于应用系统复杂多样，没有特定的安全技 术能够完全解决一些特殊应用系统的安全问题。但一些通用的应用程序，如w e b s e r v e r 程序，f t p 服务程序，e _ m a i l 服务程序，浏览器，m so f f i c e 办公软件等 这些应用程序自身的安全漏洞和由于配置不当造成的安全漏洞会导致整个网络 的安全性f 降。信息窃取一在企业环境中，内部人员在没有合法需要的情况下就 可以剥信息进行访问，这点是很值得关注的。例如，综合数据机构做了大量的合 郏仆i 大学硕士学位论文 统计系统网络安全与解决方案的研究 并韶获取工作。这些处理的细节通常是非常秘密地进行的，这些信息对于那些在 股市上进行交易、并想通过内部人员赚取大量钱财的人来说是非常有价值的。 信息处理也一样，内部人员可以通过对企业数据的处理受益。但许多统计表 明，大部结意外危害( 5 0 - 一9 0 ) 都来自于内部人员。”1 郑” 大学硕士学位论文统计系统网络安全与解决方案的研究 3 郑州统计网的安全改进 网络安全防范措施是动态的，它随着新技术的不断发展而发展，它是一个 集技术、管理和法规为一体的系统工程。因此对安全问题的解决要有一个整体框 架，并体现其动态性，采用动态自适应的安全模型，是计算机网络安全问题的有 效的手段。网络的安全是一个动态的概念。要制定和开发出针对性的一系列安全 方案、技术框架和应用工具，并发展成为一种有效的网络安全解决方案提供给比 较完整、合理的安全机制。 3 1 内部链接安全改进 从窃听方面来看交换提供了重要的安全性，但是它没有以任何方式来限制用 户在网络上可以去的地方。交换机只是使可用的带宽得到更有效的利用。在以太 网环境下，相同的基本规则仍然请求定义局域网。那就是说局域网是通过第二层 ( l a y e r 2 ) 广播域来定义的，其典型地被约束在物理网络上。 v l a n 移走了物理设备的限制而且允许交换机的管理员在更大基础设旋上分 配逻辑l a n 。 v l 州可以用来把网络交换机分割成独立的l a n 。例如，大型交换翌呵以用来 实现两个i ，a n 一一个是为用户的，另一个是作为“背后护栏”来管理网络设备的。 网络管理员只要登录到交换机上，并且告诉它哪些端口保留给“用户l a n ”，哪 些端口保留给“管理l a n ”。这两个v l a n 的分离严格遵循这样一个事实，那就是 交换机被配置以保持两个网络的广播数据包相互远离。在配置中犯错误从而失去 这种独立性是完全有可能的。 网络内部的安全性监视 用来检测我们与相邻边界上的安全破坏的入侵检测技术同样可以用来监视 我们的内部系统。然而不管怎么样，i d s 的部署问题在网络内部是个更大的挑 战。 根据网络的设计，网络传感器可以安装在几个地方中的一处。很明显，如果 我们的网络仍是通过集线器建立的，那么网络监视是很容易的一只要把传感器插 入到开放端口( 。p e np 。r 垦就行了。另一方面，如果我们有了交搀式的基础 鄙州大学硕士学位论文 统计系统网络安全与解决方案的研究 设施，那么事情就会变得复杂一些了。如果在用户和关键信息服务器之间有个 关卡，那么可以配置镜像端口或者网络活塞，使得进出服务器的信息流都可以被 监视。例如，服务器可以连接到使用单个接口将服务器交换机和大型工作组交换 机连接起来的专用交换机上。在这种情况下，所有用户到服务器的信息流都可以 以在单个高速上行链接( 可被监视的) 上传输而告终。另一方面，如果网络是“平 面”的，则意味着所有工作站和服务器都在交换机上被配置成对，那么监视就会 成为一个更大的问题。 另一方面，如果我们有一个交换式基础设施，它不支持任何类型的本身数据 包监视，那么我们的选择就会变得困难一点了。一个选择就是不做任何的内部监 视。如果这样不能被接受，那么可以在以太网电缆中间插入一个网络活塞，用来 携带关键信息或者作为网络里的关卡。 工作站管理问题 设计安全的内部网络的最后一个挑战比技术更过程化些。虽然网络安全的重 点是放在网络的基础设施上，但是不考虑桌面操作系统选择的意义是不可能建立 安全的架构的。大多数系统管理员在适当的地方都放有一些过程，以确保服务器 和其他重要的系统都定期地用操作系统和应用程序的补丁进行升级，特别是那些 与有文档记载的安全漏洞相关的系统。 持续地进行工作站升级是个更大的问题。尽管它的重要性可以通过回顾 n l m d a 病毒来说明。n i m d a 病毒通过几种方法来进行传播： 通过感染t r o j a n 的电子邮件附件，如果用户打开附件或者消息在易受攻击 的m i c r o s o f to u t 】。o k 版本中预览，那么感染就发生了。前者感染机制实际上依 赖于m s i e ( m i c r o s 。f t 的i n t e r n e te x p i 。r e r ) 程序库中的潺洞，这个库0 ul 1 。k 也同样使用。 通过 投入在已感染w e b 服务器的w e b 页中的j a v a s c r i p t 。在这种情况下， m s i e 的易受攻击版本将允许病毒上传到浏览的计算机上，并且在该计算机上执 行。 通过通用的i i sw e b 服务器漏洞( 例如，目录遍历和u n l c 。d e 攻击) 。所有 这些漏洞原先都已经被文档记载了，并且在一段时间内商家的补丁是有效的，这 里重要的一点就是前面的两种传播方法利用了那些没有打补丁的用户工作站强 郑州大学硕士学位论文 统计系统网络安全与解决方案的研究 调了保证服务器和用户系统要经常打补丁的必要性。 0 f i i c r o s 。f t 是主导的桌面操作系统销售商，浏览一下系统管理员在这个领域 所具有的选择权是值得的。首先，直截了当地说，w i n d o w s9 x 在安全网络中是 没有地位的。这种操作系统是为家庭消费者所设计的，它提供安全网络所需要的 管理性、安全性和审计功能。另一方面，许多面向安全的特性都内置于w i n d o w s n t 、w i n d o w s2 0 0 0 和u n i x 各种版本里。 w j n d o w sn t 通过s m s ( s y s t e mm a n a g e m e n ts e r v i c e ，系统管理服务) 来支 持管理用户桌面的应用程序环境；但是不管怎么样，这实际上需要一点脚本或者 程序背景，特别是那些非m s i ( m i c r o s 。f ti n s t a ll e rp a c k a g e ，微软安装数据 包) 的程序。w i n d o w s2 0 0 0 和w i n d o w sx p 完全利用了活动目录( a c t iv e d i r e c t 。r y ) 服务器，它支持m s i 程序的添加和减少。其他选项包括w jn d 。w s2 0 0 0 和w i n ( 1 0 w sx p 启动脚本的使用或者登录脚本的使用，它们同样也支持w i n d 。w s n t 。 3 2 外部威胁安全改进 1 ) 保证外部链接的安全性 可以看看站点的边缘，并且测试一下保持网边界安全的方法。其中包括 i n t e r n e t 访问路由器、v p n 网关，防火墙、为公众的可访问网络服务而设的d m z ， 以及内部专用网络。虽然这个模式有许多变形，但是整体架构还是相当普遍的。 网络的“前门”就是i n t e r n e t 路由器和i n t e r n e t 的连接。在它的最简形式 中，它包括类型的系列链接( 例如，帧中继、p p p 、p p p 。e 、a t m ) ，它将i s p 的路由器和组织边晃的i n t e r n e t 路由器进行连接。 可以在i n t e r n e t 连接中使用高有效性( h a ) 配黄。虽然从技术上来说h a 不是一个信息安全措施，但是 i a 配置是信息保险( i n f o r m a t i o na s s u r a n c e ) ( 对 信息提供安全访问和可靠访问的能力) 的一个重要组成部分。 l a 路由器配置通过使用几种技术来实现的。第一，链接本身是由不同的i s p 或者不同电话接入点( p o p ) 的同一个i s p 所提供的。这里的目标就是使两种通 信链按同时失败的机会最小化。链接容错是通过b g p ( b o 州e rg a t e w a ? p r o t 。c ( ，l ， 边界网关协议) 路由器的配置来实现的，因此当进入我们的网络的 二要接口不再 。 达时，往我们网络去的流量通过我们的i s p 的备份链接进行路出。链接容错的 郑州大学硕士学位论文 统计系统网络安全与解决方案的研究 配置就应该和i s p 一起进行。 提供到i n t e r n e t 的h a 连接的第二步就是防止路由器的路由故障。这个是通 过使用容错协议的路由器来完成的，配置这种协议的路由器相互之间发送心跳消 息。如果备份路由器判断出主要路由器不再可操作，那么它将采用主要接口的 i p 地址和姒c 地址，而且接管它的路由工作。 从安全性角度来看，路由器中的访问控制列表( a c l ) 通常用来实现几个“最 好实践”的筛选规则以及网络管理员想要执行的其他任何大小过滤。i e t f 的 r f c 2 8 2 7 建议所有的边界路由器都执行以下一些筛选规则： 反伪装规则一边界路由器知道他们连接到更大i n t e r n ec 时的i p 地址块( 例 如，“坐”在路由器后面的c i d r 块) 。这些路由器应该丢掉所有具有源i p 地址( 不 属于内部网络) 的外出数据包，因为这些数据包很可能是伪装的或者是伪造的源 地址。 没有广播转发规则一同样地，应该保证目的i p 地址具有广播意义的数据包 都是使用这些类型的数据包来欺骗整个网络都通过“p i n g ”广播地址，而不是特 定的主要来传输目标计算机上的数据包。在这种特殊情况+ f ，源地址被伪装成受 害目标计算机的源地址。 这些规则对于确保自己站点的安全性非常重要，特别是，反伪装规则在减! b i n t e r n 上可作为分布式拒绝服务( d d o s ) 代理的主机数理f j 迈开了一大步。 它同样也能够防止我们单位里自称为黑客的人使用伪装源地址来对外部服务器 发起攻击。因为在许多情况下单位要对来自于我们站点的攻击负责，所以反伪装 规则对于确保安全工作是个很好的方法。 可以在适当的时候，增加其他的a c l 规则。网络管理员可以在他们的路南器 上封锁了所有的i c m p 回应请求( e c h or e q u e s t ) 数据包和回应响应( e c h or 。“y ) 数据包( 也就是p i n g ) 。虽然这条规则确实对封锁合法的p i n g 流量有影响， 但也可以封锁许多拒绝服务命令、控制信道以及攻击。另外一个通用规则就是判 锁来自于我们本地网络之外的所有s n m p ( u d p 端口1 6 1 和1 6 2 七的网络管理数据 包) 流量，防止外部人员重新配置我们的路由器、交换机和服务器。如果当前没 有防火墙，那么许多其他的规则都被加到边界路由器的a c l 中。 如果拒绝服务攻击已经指向了我们的嘲络，那么出于多种原因，我们本地蹲 郑州大学硬士学位论文 统计系统网络安全与解决方案的研究 由器的a c l 应该限制使用。首先，许多当前的d d o s 攻击都使用r 随机的伪装性 源i p 地址和随机的t c p u d p 端口。这使提出合理数目的规则( 该规则可阻止正 在进行的攻击) 变得非常困难。此外，即使我们能成功地写出这些规则来阻穿过 我们的路由器并且进入我们的网络的d d 。s 流量，但是到我们的i s p 的链按仍可 以被攻击数据包很好地填满。这样就会有人和我们一起封锁路由器中逆流而上的 流量，并帮助我们发现攻击的来源。 2 ) 防火墙d m z 在网络架构中，大量安全策略的执行都是通过一个或多个防火墙来实现的。 防火墙可以通过许多方法来实现；然而不管怎么样，它们通常作为网络的流量交 换来运转，且调节基于实现安全策略规则的网络分段之间的流量流动。 防火墙有三种类型韵分段：它们是外部、内部以及d m z 。外部分段通常是公 共i n t e r n e t ，内部分段就是我们想保护的专用网络。 d m z ( 或者称非军事化区) 只是被用来收藏公共可访阔网络服务的个网络 分段。这些服务器必须从i n t e r n e t 上可见，因此就比内部系统具有更高的风险 性。有几种方法来配置d m z 。在某些情况下，d m z 是通过简单地把公共服务器放 置到介于边界路由器和内部路由器( 作为通向内部系统的网关) 之间的网络分段 上而形成的。在这种情况下，网关路由器上的一些访问控制列表进步地限制r 迸入内部网络的流量。 现在用防火墙分离d m z 服务器和内部网络越来越普遍了。在一种情景中，d m z 服务器连接在边界路由器和防火墙之间的分段上。额外的安全策略可以通过把 d m z 分段就被连接到已经配置好的防火墙上，以至于外部网络( t n t e r n e t ) 上的 不可信主杌至少可以初始化连接到d m z 系统的有限类型的连接。d m z 与受到更好 保护的内部网络相比，d m z 在物理上没有什么不同一术语d m z 只表明防火墙规则 允许外部用户连接进来。 由于防火墙是提供内部用户访问i n t e r n e t 和外部用户( 例如，客户端或合 作伙伴) 访问信息服务的一个重要组成部分，因此这些设备也普遍以高有效性 ( h a ) 配置。 当防火墙放在适当的位置以后，我们就可以实现我们的安全策略了。第一步 就是判断用于控制流动的网络是如何分解的；传统的d 凇将成为几个提供公共脶 郑州大学硕士学位论文 统计笨统网络安全与解决方案的研究 务的系统的仓库。 公共d n s 服务器这些服务器允许把形如h t t p ：w w w t 。n g j i c 。m 的名字解 析成相应的i p 地址。d n s 服务器同样也维护特定的邮件交换机( 儿e x c h a n g e r ) 的记录，运行企业邮件服务器的计算机用这些记录来获得发送邮件。 邮件( s m t p ) 转向器这些转向器是公共可访问的邮件服务器。但不要成为 内部用户获取邮件的服务器。公共服务器应该转发进来的邮件给内部服务器。 网络成了病毒传播的主要途径。如果网络上有一个用户不小心扩散了一个被病 毒感染的文档，其结果将可能是毁灭性的。为了阻止这些“可疑的候选文件”， 需要对电子邮件进行严格审查。事实上，嵌入w 。r d 文档中的宏病毒通常通过网 络发送至未察觉的用户。防病毒软件需要对这一易受攻击的区域进行保护，对 所有通过网关出入的电子邮件进行扫描。一旦检测到病毒，能够自动将该文件 隔离并向系统管理员发出警告。它同时对内容进行过滤以阻止病毒欺骗，创建 历史记录以跟踪每个检测到的病毒起源。 当在d m z 分段中放置了公共可访问的服务时，防火墙规则将被配置以限制到 这些服务器上的外部流量。可以运用以下规则进行管理： 允许内部机器对这些服务器进行一些对外访问。例如，允诲这些服务器进行 安全管理和文件传输，那么我们增加一条允许安全外壳( s e c u r es h e l1 ) 的规则。 防火墙“包罗万象”的默认规则将顾及到别的地方：网络的设计具有相当的 灵活性，因为在他的网络设计中可以使用大量的地址。从安全的角度来看，部署 在网络中的工作站和服务器的数量对外界来说是隐藏的。我们把所有的公共司。访 问的服务器转换成专用的地址，以预防防火墙的故障。特别情况下，关注“失效 关闭”的防火墙，通过强制防火墙执行网络地址转换，潜在的完全被控制的威胁 就被排除了，因为那样就没有什么可以用来将公共i p 地址转换成专用i p 地址了。 3 ) 安全扫描系统 能够测试和评价系统的安全性，并及时发现安全漏洞。漏洞检测和安全风 险评估技术，因其可预知主体受攻击的可能性和具体的指证将要发生的行为和 产生的后果，而受到网络安全业界的重视。这一技术的应用可帮助识别检测对 象的系统资源，分析这一资源彼攻击的可能指数，了解支撑系统本身的脆弱性， 评估所有存在的安全风险。 1 8 郑f 大学硕士学位论艾 统计系统网络安全与解决方案的研究 一一 网络漏洞扫描系统就是这一技术的实现，包括了网络模拟攻击，漏洞检测， 报告服务进程，提取对象信息，以及评测风险，提供安全建议和改进措施等功能， 控制可能发生的安全事件，最大可能的消除安全隐患。安全扫描系统具有强大的 漏洞检测能力和检测效率，贴切需求的功能定义，灵活多样的检测方式，详尽的 漏洞修补方案和友好的报表系统，为网络管理人员制定与合理安全防护策略提供 依据。 4 ) 采用v p n 技术 虚拟专用网络远程访问v p n 适用于单位内部人员移动办公。职工需要从其他 地方提取局内部部的信息资料。虚拟专用网络安装嵌有v p n 性能的防火墙。建立 对所有访问要点仔细地进行有关它们的实际安全情况下效果的j 平估。即所有这些 伪信任的连接都必须在获得对我们的主要基础设施的访问之前遍历一遍。v i ) n