计算机网络信息安全与防范

0 论文题目 计算机网络信息安全与防范论文题目 计算机网络信息安全与防范 内容提要内容提要 网络发展的早期 人们更多地强调网络的方便性和可用性 而忽略了网络 的安全性 当网络仅仅用来传送一般性信息的时候 当网络的覆盖面积仅仅限 于一幢大楼 一个校园的时候 安全问题并没有突出地表现出来 但是 当在 网络上运行关键性的如银行业务等 当企业的主要业务运行在网络上 当政府 部门的活动正日益网络化的时候 计算机网络安全就成为一个不容忽视的问题 随着技术的发展 网络克服了地理上的限制 把分布在一个地区 一个国 家 甚至全球的分支机构联系起来 它们使用公共的传输信道传递敏感的业务 信息 通过一定的方式可以直接或间接地使用某个机构的私有网络 组织和部 门的私有网络也因业务需要不可避免地与外部公众网直接或间接地联系起来 以上因素使得网络运行环境更加复杂 分布地域更加广泛 用途更加多样化 从而造成网络的可控制性急剧降低 安全性变差 随着组织和部门对网络依赖性的增强 一个相对较小的网络也突出地表现 出一定的安全问题 尤其是当组织的部门的网络就要面对来自外部网络的各种 安全威胁 即使是网络自身利益没有明确的安全要求 也可能由于被攻击者利 用而带来不必要的法律纠纷 网络黑客的攻击 网络病毒的泛滥和各种网络业 务的安全要求已经构成了对网络安全的迫切需求 本文对现有网络安全的威胁以及表现形式做了分析与比较 特别对为加强 安全应采取的应对措施做了较深入讨论 并描述了本研究领域的未来发展走向 关键词 网络安全 信息网络 网络技术 安全性 1 目录 目录目录 3 3 第一章第一章 网络信息安全的基本知识网络信息安全的基本知识 4 4 1 1 网络信息安全的概念 4 1 2 网络信息安全的现状及发展趋势 4 1 3 计算机网络安全的主要漏洞 6 1 4 网络信息安全涉及的问题 7 第二章第二章 网络信息安全威胁及表现形式网络信息安全威胁及表现形式 1010 2 1 常见的计算机网络安全威胁 10 2 2 常见的计算机网络安全威胁的表现形式 10 第三章第三章 网络信息安全防范策略网络信息安全防范策略 1212 3 1 防火墙技术 12 3 2 数据加密技术 15 3 3 访问控制技术 20 3 4 防病毒技术 23 第四章第四章 结论结论 2828 参考文献参考文献 2929 2 第一章 网络信息安全的基本知识 1 1 网络信息安全的概念 随着计算机网络技术的飞速发展 信息网络已经成为社会发展的重要保证 信息网络涉及到国家的政府 军事 文教等诸多领域 存储 传输和处理的许 多信息是政府宏观调控决策 商业经济信息 银行资金转账 股票证券 能源 资源数据 科研数据等重要的信息 其中有很多是敏感信息 甚至是国家机密 所以难免会吸引来自世界各地的各种人为攻击 例如信息泄漏 信息窃取 数 据篡改 数据删添 计算机病毒等 通常利用计算机犯罪很难留下犯罪证据 这也大大刺激了计算机高技术犯罪案件的发生 计算机犯罪率的迅速增加 使 各国的计算机系统特别是网络系统面临着很大的威胁 并成为严重的社会问题 之一 从而构成了对网络安全的迫切需求 1 2 网络信息安全的现状及发展趋势 1 2 1 网络空间安全将得到国家层面关注 种种事实已经充分说明 为了实现网络空间战略由计划上升为具备实战能 力 西方大国及其盟友将以其研发的网络武器为基础 主导国际网络空间的军 事事务 并对他国形成非常规的网络军事威慑 必要时甚至动用常规武器 对 他国的网络目标甚至关键信息基础设施实施打击和摧毁 为了应对网络战争的 现实威胁 各国纷纷组建网络战部队 研发网络战争武器 为未来可能爆发的 网络战争加紧进行实战准备工作 虽然我国已经充分意识到网络空间的重要地位 但是至今仍然缺少一部网 络空间信息安全国家战略 用于明确我国应对网络空间安全的态度 核心利益 可能的应对手段等 以规划网络空间相关行动 因此期待我国能出台网络空间 信息安全的国家战略 1 2 2 个人数据保护将得到空前关注 隐私安全状况有望改善 当前互联网以及现实生活中大多使用用户名和密码来认证 每个人都需要 管理少则十几个 多则几十个用户名和密码组合 对于绝大多数用户而言 记 住不同的用户名 并且为每个用户名设置足够复杂的密码几乎是一件不可能完 成的任务 因此多数用户在不同的场合使用相同的用户名及密码 用户在某一 个防护水平较低的小网站中的用户名 密码被盗取或出售后 可能导致全线崩 溃 防护很强的大网站中的用户信息 虚拟财产也可能因为类似的用户名和密 码而丢失 实际上 个人隐私信息被泄露的事件每年都有 楼盘业主信息 用户通话 详单 企业负责人联系信息等被明码标价的情况也常见到 但是一直以来都没 3 有得到足够的重视 此外 结合当前手机实名制的推进 微博实名制的实施和进展以及未来可 能推出的网络身份证 我们不禁要问 我们的个人信息会存放在哪里 收录我 们个人信息的企业需要履行什么样的义务 谁有权查阅我们的个人信息 查阅 个人信息需要有谁的授权 可以预期 今后的几年将是全社会关注个人信息保 护的几年 1 2 3 云计算得到一定应用 云计算安全问题可能逐渐暴露 虽然现阶段云计算安全事件较少 但是通过分析 我们可以看到云计算可 能面临的安全风险如下 资源被滥用 云计算资源可能被用于 DDoS 攻击 密码破解等恶意行为 难以溯源 当前云计算跨国提供 且缺乏必要的日志审计要求 网络犯罪 行为调查以及溯源时可能出现问题 安全管理的风险 云计算环境下用户难以对所使用的环境进行必要的评估 和审计 数据有限访问权风险 虽然用户拥有数据 但是一般而言云计算提供者拥 有更高的权限 计算和存储共享带来的风险 共享计算能力以及存储能力的情况下 可能 出现因为少数用户安全能力影响其他用户安全的现象 数据跨境流动的风险 云计算环境下 海量数据可能跨境流动 存储在境 外海量涉及民生的数据可能影响国家安全 此外使用云计算还可能面临高可靠性风险 企业长期发展依赖性风险以及 非技术领先国家面临的风险等 虽然就当前而言 上述风险还都仅仅是一些理论上的可能 但是随着云计 算在我国的广泛应用 部分所担心的安全风险或者是当前没有预估到的安全风 险都可能会暴露出来 可以预期 未来几年是云计算将逐步应用的几年 也是 云计算安全问题出现的几年 1 2 4 移动互联网安全问题凸显 将得到进一步关注 智能手机问世以来 对移动互联网安全的担忧就没有停止过 当前移动互 联网安全问题主要集中在如下方面 约 90 的用户曾收到垃圾 骚扰 诈骗短 信以及电话 约 80 的用户曾被手机运行变慢 死机 频繁重启困扰 约 48 的用户被恶意扣费 约 26 的用户因手机丢失 相应文档 照片 通信录等信 息无法找回 约 24 用户手机内信息无故丢失 约 15 的用户账户信息被窃取 约 13 的用户因手机被盗 信息被用于不法用途 约 11 的用户通信录 短信 录音 文件等信息被窃取 约 7 的用户手机被他人监听 跟踪或监控 约 0 5 的用户遭遇其他手机安全问题 4 最初手机仅仅是一个便利的通话工具 随着手机能力的提升 手机上可能 存储着用户的社会关系 通信录 QQ 好友 MSN 好友等 账号密码信息 手机 银行 掌上证券等 业务定制 通话记录 网站访问记录 位置信息 个人图 片 文件等各种涉及隐私的资料 信息 在极端情况下 手机甚至可以成为窃 听器 追踪器 按照当前手机的普及率 移动互联网安全已经涉及到几亿人的 切身利益 一直以来我们对移动互联网安全问题的担心正逐渐变成现实 在未来几年 一种可能是随着移动互联网的进一步广泛应用 出现更多恶意行为 移动互联 网安全状况有所恶化 另一种可能是随着全社会对移动互联网重视程度的提高 移动互联网安全状况得到缓解 无论如何 可以预期 未来几年移动互联网安 全将受到前所未有的关注 1 3 计算机网络安全的主要漏洞 计算机网络安全是指 为数据处理系统建立和采取的技术和管理的安全保 护 保护计算机硬件 软件数据不因偶然和恶意的原因而遭到破坏 更改和泄 漏 计算机安全的定义包含物理安全和逻辑安全两方面的内容 其逻辑安全的 内容可理解为我们常说的信息安全 是指对信息的保密性 完整性和可用性的 保护 而网络安全性的含义是信息安全的引申 即网络安全是对网络信息保密 性 完整性和可用性的保护 计算机网络所面临的威胁是多方面的 既包括 对网络中信息的威胁 也包括对网络中设备的威胁 但归结起来 主要有以下 几个方面 1 3 1 网络硬件设施方面 计算机网络硬件设施是互联网中必不可少的部分 硬件设施本身就有着安 全隐患 电子辐射泄露就是其主要的安全隐患问题 也就是说计算机和网络所 包含的电磁信息泄露了 这增加了窃密 失密 泄密的危险 此外安全隐患问 题也体现在通信部分的脆弱性上 在进行数据与信息的交换和通信活动时 主 要通过四种线路 即光缆 电话线 专线 微波 除光缆外其它三种线路上的 信息比较容易被窃取 除上述方面外 计算机的操作系统与硬件组成的脆弱性 也给系统的滥用埋下了隐患 另外 移动存储介质 移动存储介质比如 U 盘 移动硬盘等 由于其自身具有方便小巧 存储量大 通用性强 易携带等特点 应用比较广泛 尤其是涉密单位 这给网络系统的信息安全造成很大的隐患 如有的不知道 U 盘 移动硬盘上删除的文件能够还原 将曾经存贮过私密信息 的 U 盘外借 造成信息的泄露 1 3 2 操作系统方面 操作系统是对网络系统与本地计算机的安全起关键的决定性作用的部分 5 这是因为构建用户连接 上层软件 计算机硬件三者间联系的就是计算机的操 作系统 操作系统要在复杂的网络环境下能够更好的工作 无疑会出现安全方 面的漏洞 后门与系统漏洞是操作系统最主要的安全隐患 其包含诸多的问题 比如 Windows 的远程过程调用 RPC 漏洞 Linux 下的缓冲区溢出等 所以 很 容易可以看出 在不能完全符合软件安全需要的情况下所引发的计算机网络系 统的主要缺陷是操作系统软件的安全漏洞的本质 另外 由于操作系统存在安 全隐患 数据库程序及电子邮件等都有可能会存在危险 根据漏洞被利用的不 同方式 有大约 237 条的攻击属于远程攻击 而本地攻击仅有 25 条 由此得出 漏洞被利用的主要方式是远程攻击 远程攻击对于网络安全带来了巨大的隐患 1 3 3 软件方面 近年来 Oracle 微软 Sun 都公布了安全更新公告 提醒用户尽快下载 安装官方网站上的相应程序 这些安全策略内容主要涉及 Windows 操作系统内 核更新和 Office 组件的安全更新 操作系统的安全形势非常的严峻 给用户的 信息带来了巨大的隐患 一旦有漏洞的系统在执行过程中出现缺陷 同时遇到 攻击 很可能会引发系统的完全失效 应用软件的与生俱来的特征之一就是软 件缺陷 这些缺陷不仅存在于小程序 也贯穿于大软件之中 生命与财产因此 面临很大的威胁 最为典型的例子是上个世纪的海湾战争中 软件计时系统存 在误差 而且这一误差不断被累积 致使美军的爱国者导弹拦截伊拉克飞毛腿 导弹失败 出现了巨大的人员伤亡 引发了严重的后果 不少网络安全问题是 由应用软件所存在的缺陷引起的 应用软件的这些安全隐含必须受到足够的重 视 总之 从目前的情况来看 我国自 2000 年来越来越重视信息安全的关键作 用 信息与网络安全产业初步形成了一定规模 然而从总的情况看 我们国家 的信息与网络安全依然存在着巨大的问题 随着网络的普及 移动 互联网 电信业务的不断整合 需要把网络建设成真正可靠 安全的网络已经成为每个 网络安全研究人员必须解决的主要问题之一 1 4 网络信息安全涉及的问题 许多人一提到网络信息安全 自然会联想到密码 黑客 病毒等专业技术 问题 实际上 现今环境下的网络信息安全不仅涉及到这些技术问题 而且还 涉及到法律 政策和管理问题 技术问题虽然是最直接的保证网络信息安全的 手段 但离开了法律 政策和管理的基础 纵有最先进的技术 网络信息安全 也得不到保障 1 4 1 网络信息安全与政治 近十年来 电子政务发展迅速 政府网站的安全代表着一个国家或一个地 6 区的形象 电子政务中政府网络信息安全的实质是由于计算机信息系统作为国 家政务的载体和工具而引发的信息安全 电子政务中的政府信息安全是国家安 全的重要内容 是保障国家信息安全所不可或缺的组成部分 由于互联网发展 在地域上极不平衡 信息强国对于信息弱国已经形成了战略上的 信息位势差 信息疆域 不再是以传统的地域 领土 领空 领海来划分的 而是以带有 政治影响力的信息辐射空间来划分的 1 4 2 网络信息安全与经济 随着信息化程度的提高 国民经济和社会运行对信息资料和信息基础设施 的依赖程度越来越高 计算机犯罪能够严重的威胁市场经济秩序的正常发展 国外有专家断言 计算机犯罪可能会导致世界经济的崩溃 如今全球有计算机 犯罪引起的损失高达数千亿美元 不仅如此 由于计算机犯罪者入侵世界金融 计算机网络系统 各国的经济运行关键部门设施而影响正常市场经济的正常运 行 损失不仅是金钱还有其他各种无形有形资产 所以 未雨绸缪 预防计算 机犯罪对于减少经济损失 保证经济的正常快速健康发展意义重大 1 4 3 网络信息安全与文化 文化是一个国家民族精神和智慧的长期积淀和凝聚 是民族振兴发展的价 值体现 在不同文化相互交流的过程中 一些国家为了达到经济和政治上的目 的 不断推行 文化殖民 政策 形成了日益严重的 文化帝国主义 倾向 同时 互联网上散布着一些虚假信息 有害信息 包括网络色情 赌博等不健 康的信息 对青少年的价值观 文化观造成了严重的负面影响 1 4 4 网络信息安全与法律 要使网络安全运行 数据安全传递 仅仅靠人们的良好愿望和自觉意识是 不够的 需要必要的法律建设 以法制来强化信息安全 这主要涉及网络规划 与建设的法律问题 网络管理与经营的法律问题 用户 自然人或法人 数据的 法律保护 电子资金划转的法律认证 计算机犯罪与刑事立法 计算机证据的 法律效力等 法律是信息安全的防御底线 也是维护信息安全的最根本保障 任何人都 必须遵守 带有强制性 不难设想 若计算机网络领域没有法制建设 那么网 络的规划与建设必然是混乱的 网络将没有规范 协调的运营管理 数据将得 不到有效的保护 电子资金的划转将产生法律上的纠纷 黑客将受不到任何惩 罚 但是 有了相关法律的保障 并不等于安全问题就解决了 还需要相应的 配套政策 才能使保障信息安全的措施具有可操作性 1 4 5 网络信息安全与管理 在网络威胁多样化的时代 单纯追求技术方面的防御措施是不能全面解决 网络信息安全问题的 计算机网络管理制度是网络建设的重要方面 网络信息 7 安全的管理包括三个层次的内容 组织建设 制度建设和人员意识 组织建设 是指有关信息安全管理机构的建设 也就是说 要建立健全安全管理机构 网络信息安全的管理包括安全规划 风险管理 应急计划 安全教育培训 安全系统评估 安全认证等多方面的内容 只靠一个机构是无法解决这些问题 的 因此应在各信息安全管理机构之间 依照法律法规的规定建立相关的安全 管理制度 明确职责 责任到人 规范行为 保证安全 明确了各机构的职责后 还需要建立切实可行的规章制度 如对从业人员 的管理 需要解决任期有限 职责隔离和最小权限的问题 有了组织机构和相应的制度 还需要加强人员意识的培养 通过进行网络 信息安全意识的教育和培训 增强全民的网络安全意识和法制观念 以及对信 息安全问题的重视 尤其是对主管计算机应用工作的领导和计算机系统管理员 操作员要通过多种渠道进行计算机及网络安全法律法规和安全技术知识培训与 教育 使主管领导增强计算机安全意识 使计算机应用人员掌握计算机安全知 识 知法 懂法 守法 1 4 6 网络信息安全与技术 目前出现的许多信息安全问题 从某种程度上讲 可以说是由技术上的原 因造成的 因此 对付攻击也最好采用技术手段 如 加密技术用来防止公共 信道上的信息被窃取 完整性技术用来防止对传输或存储的信息进行篡改 伪 造 删除或插入的攻击 认证技术用来防止攻击者假冒通信方发送假信息 数 字签名技术用于防否认和抗抵赖 8 第二章 网络信息安全威胁及表现形式 计算机网络具有组成形式多样性 终端分布广泛性 网络的开放性和互联 性等特征 这使得网络容易受到来自黑客 恶意软件 病毒木马 钓鱼网站等 的攻击 2 1 常见的计算机网络安全威胁 2 1 1 信息泄露 信息被透漏给非授权的实体 它破坏了系统的保密性 能够导致信息泄露 的威胁有网络监听 业务流分析 电磁 射频截获 人员的有意或无意 媒体 清理 漏洞利用 授权侵弛 物理侵入 病毒 术马 后门 流氓软件 网络 钓鱼等 2 1 2 完整性破坏 通过漏洞利用 物理侵犯 授权侵犯 病毒 木马 漏洞等方式表现 2 1 3 拒绝服务攻击 对信息或资源可以合法地访问 却被非法地拒绝或者推迟与时间密切相关 的操作 2 1 4 网络滥用 合法用户滥用网络 引入不必要的安全威胁 包括非法外联 非法内联 移动风险 设备滥用 业务滥用 2 2 常见的计算机网络安全威胁的表现形式 2 2 1 自然灾害 计算机信息系统仅仅是一个智能的机器 易受自然灾害及环境 温度 湿度 振动 冲击 污染 的影响 目前 我们不少计算机房并没有防震 防火 防水 避雷 防电磁泄露或干扰等措施 接地系统也疏于周到考虑 抵御自然灾害和意 外事故的能力较差 日常工作中因断电而设备损坏 数据丢失的现象时有发生 由于噪音和电磁辐射 导致网络信噪比下降 误码率增加 信息的安全性 完整性 和可用性受到威胁 2 2 2 网络软件的漏洞和 后门 网络软件不可能是百分之百的无缺陷和无漏洞的 然而 这些漏洞和缺陷恰 恰是黑客进行攻击的首选目标 曾经出现过的黑客攻入网络内部的事件 这些事 件的大部分就是因为安全措施不完善所招致的苦果 另外 软件的 后门 都是 软件公司的设计编程人员为了自便而设置的 一般不为外人所知 一旦 后门 洞开 其造成的后果将不堪设想 9 2 2 3 黑客的威胁和攻击 这是计算机网络所面临的最大威胁 黑客攻击手段可分为非破坏性攻击和 破坏性攻击两类 非破坏性攻击一般是为了扰乱系统的运行 并不盗窃系统资料 通 常采用拒绝服务攻击或信息炸弹 破坏性攻击是以侵入他人电脑系统 盗窃系统 保密信息 破坏目标系统的数据为目的 黑客们常用的攻击手段有获取口令 电子邮件攻击 特洛伊木马攻击 钓鱼网站的欺骗技术和寻找系统漏洞等 2 2 4 垃圾邮件和间谍软件 一些人利用电子邮件地址的 公开性 和系统的 可广播性 进行商业 宗教 政治等活动 把自己的电子邮件强行 推入 别人的电子邮箱 强迫他人 接受垃圾邮件 与计算机病毒不同 间谍软件的主要目的不在于对系统造成破坏 而 是窃取系统或是用户信息 2 2 5 计算机犯罪 计算机犯罪 通常是利用窃取口令等手段非法侵入计算机信息系统 传播有 害信息 恶意破坏计算机系统 实施贪污 盗窃 诈骗和金融犯罪等活动 在一 个开放的网络环境中 大量信息在网上流动 这为不法分子提供了攻击目标 他 们利用不同的攻击手段 获得访问或修改在网中流动的敏感信息 闯入用户或政 府部门的计算机系统 进行窥视 窃取 篡改数据 不受时间 地点 条件限制 的网络诈骗 其 低成本和高收益 又在一定程度上刺激了犯罪的增长 使得针 对计算机信息系统的犯罪活动日益增多 2 2 6 计算机病毒 20 世纪 90 年代 出现了曾引起世界性恐慌的 计算机病毒 其蔓延范围 广 增长速度惊人 损失难以估计 它像灰色的幽灵将自己附在其他程序上 在这 些程序运行时进入到系统中进行扩散 计算机感染上病毒后 轻则使系统工作效 率下降 重则造成系统死机或毁坏 使部分文件或全部数据丢失 甚至造成计算机 主板等部件的损坏 10 第三章 网络信息安全防范策略 3 1 防火墙技术 所谓防火墙指的是一个有软件和硬件设备组合而成 在内部网和外部网之 间 专用网与公共网之间的界面上构造的保护屏障 防火墙技术 最初是针对 Internet 网络不安全因素所采取的一种保护措施 顾名思义 防火墙就是用来阻挡外部不安全因素影响的内部网络屏障 其目的 就是防止外部网络用户未经授权的访问 它是一种计算机硬件和软件的结合 使 Interne 与 Intranet 之间建立起一个安全网关 从而保护内部网免受非法用 户的侵入 防火墙主要由服务访问政策 验证工具 包过滤和应用网关 4 个部 分组成 防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件 其中 硬件防火墙用的很少只有国防部等地才用 因为它价格昂贵 该计算机流入流 出的所有网络通信均要经过此防火墙 3 1 1 防火墙的概念 防火墙是汽车中一个部件的名称 在汽车中 利用防火墙把乘客和引擎隔 开 以便汽车引擎一旦着火 防火墙不但能保护乘客安全 而同时还能让司机 继续控制引擎 在电脑术语中 当然就不是这个意思了 我们可以类比来理解 在网络中 所谓 防火墙 是指一种将内部网和公众访问网 如英特网 分开的 方法 它实际上是一种隔离技术 防火墙是在两个网络通讯时执行的一种访问 控制尺度 它能允许你 同意 的人和数据进入你的网络 同时将你 不同意 的人和数据拒之门外 最大限度地阻止网络中的黑客来访问你的网络 换句话 说 如果不通过防火墙 公司内部的人就无法访问英特网 Internet 上的人也 无法和公司内部的人进行通信 防火墙成为近年来新兴的保护计算机网络安全技术性措施 它是一种隔离 控制技术 在某个机构的网络和不安全的网络 如 Internet 之间设置屏障 阻止对信息资源的非法访问 也可以使用防火墙阻止重要信息从企业的网络上 被非法输出 作为 Internet 网的安全性保护软件 防火墙已经得到广泛的应用 通常企业为了维护内部的信息系统安全 在企业网和 Internet 间设立防火墙软 件 企业信息系统对于来自 Internet 的访问 采取有选择的接收方式 它可以 允许或禁止一类具体的 IP 地址访问 也可以接收或拒绝 TCP IP 上的某一类具 体的应用 如果在某一台 IP 主机上有需要禁止的信息或危险的用户 则可以通 过设置使用防火墙过滤掉从该主机发出的包 如果一个企业只是使用 Internet 的电子邮件和 WWW 服务器向外部提供信息 那么就可以在防火墙上设置使得只 有这两类应用的数据包可以通过 这对于路由器来说 就要不仅分析 IP 层的信 11 息 而且还要进一步了解 TCP 传输层甚至应用层的信息以进行取舍 防火墙一 般安装在路由器上以保护一个子网 也可以安装在一台主机上 保护这台主机 不受侵犯 3 1 2 防火墙的分类 从实现原理上分 防火墙的技术包括四大类 网络级防火墙 也叫包过滤 型防火墙 应用级网关 电路级网关和规则检查防火墙 它们之间各有所长 具体使用哪一种或是否混合使用 要看具体需要 1 网络级防火墙 一般是基于源地址和目的地址 应用 协议以及每个 IP 包的端口来作出通 过与否的判断 一个路由器便是一个 传统 的网络级防火墙 大多数的路由 器都能通过检查这些信息来决定是否将所收到的包转发 但它不能判断出一个 IP 包来自何方 去向何处 防火墙检查每一条规则直至发现包中的信息与某规 则相符 如果没有一条规则能符合 防火墙就会使用默认规则 一般情况下 默认规则就是要求防火墙丢弃该包 其次 通过定义基于 TCP 或 UDP 数据包的 端口号 防火墙能够判断是否允许建立特定的连接 如 Telnet FTP 连接 2 应用级网关 应用级网关能够检查进出的数据包 通过网关复制传递数据 防止在受信 任服务器和客户机与不受信任的主机间直接建立联系 应用级网关能够理解应 用层上的协议 能够做复杂一些的访问控制 并做精细的注册和稽核 它针对 特别的网络应用服务协议即数据过滤协议 并且能够对数据包分析并形成相关 的报告 应用网关对某些易于登录和控制所有输出输入的通信的环境给予严格 的控制 以防有价值的程序和数据被窃取 在实际工作中 应用网关一般由专 用工作站系统来完成 但每一种协议需要相应的代理软件 使用时工作量大 效率不如网络级防火墙 应用级网关有较好的访问控制 是目前最安全的防火 墙技术 但实现困难 而且有的应用级网关缺乏 透明度 在实际使用中 用 户在受信任的网络上通过防火墙访问 Internet 时 经常会发现存在延迟并且必 须进行多次登录 Login 才能访问 Internet 或 Intranet 3 电路级网关 电路级网关用来监控受信任的客户或服务器与不受信任的主机间的 TCP 握 手信息 这样来决定该会话是否合法 电路级网关是在 OSI 模型中会话层上来过 滤数据包 这样比包过滤防火墙要高二层 电路级网关还提供一个重要的安全功 能 代理服务器 代理服务器是设置在 Internet 防火墙网关的专用应用级代码 这种代理服务准许网管员允许或拒绝特定的应用程序或一个应用的特定功能 包过滤技术和应用网关是通过特定的逻辑判断来决定是否允许特定的数据包通 过 一旦判断条件满足 防火墙内部网络的结构和运行状态便 暴露 在外来 12 用户面前 这就引入了代理服务的概念 即防火墙内外计算机系统应用层的 链接 由两个终止于代理服务的 链接 来实现 这就成功地实现了防火墙 内外计算机系统的隔离 同时 代理服务还可用于实施较强的数据流监控 过 滤 记录和报告等功能 代理服务技术主要通过专用计算机硬件 如工作站 来承担 4 规则检查防火墙 该防火墙结合了包过滤防火墙 电路级网关和应用级网关的特点 它同包 过滤防火墙一样 规则检查防火墙能够在 OSI 网络层上通过 IP 地址和端口号 过滤进出的数据包 它也像电路级网关一样 能够检查 SYN 和 ACK 标记和序列 数字是否逻辑有序 当然它也像应用级网关一样 可以在 OSI 应用层上检查数 据包的内容 查看这些内容是否能符合企业网络的安全规则 规则检查防火墙 虽然集成前三者的特点 但是不同于一个应用级网关的是 它并不打破客户机 服务器模式来分析应用层的数据 它允许受信任的客户机和不受信任的主机建 立直接连接 规则检查防火墙不依靠与应用层有关的代理 而是依靠某种算法 来识别进出的应用层数据 这些算法通过已知合法数据包的模式来比较进出数 据包 这样从理论上就能比应用级代理在过滤数据包上更有效 3 1 3 防火墙的功能 防火墙对流经它的网络通信进行扫描 这样能够过滤掉一些攻击 以免其 在目标计算机上被执行 防火墙还可以关闭不使用的端口 而且它还能禁止特 定端口的流出通信 封锁特洛伊木马 最后 它可以禁止来自特殊站点的访问 从而防止来自不明入侵者的所有通信 1 网络安全的屏障 一个防火墙 作为阻塞点 控制点 能极大地提高一个内部网络的安全性 并通过过滤不安全的服务而降低风险 由于只有经过精心选择的应用协议才能 通过防火墙 所以网络环境变得更安全 如防火墙可以禁止诸如众所周知的不 安全的 NFS 协议进出受保护网络 这样外部的攻击者就不可能利用这些脆弱的 协议来攻击内部网络 防火墙同时可以保护网络免受基于路由的攻击 如 IP 选 项中的源路由攻击和 ICMP 重定向中的重定向路径 防火墙应该可以拒绝所有以 上类型攻击的报文并通知防火墙管理员 2 强化网络安全策略 通过以防火墙为中心的安全方案配置 能将所有安全软件 如口令 加密 身份认证 审计等 配置在防火墙上 与将网络安全问题分散到各个主机上相 比 防火墙的集中安全管理更经济 例如在网络访问时 一次一密口令系统和 其它的身份认证系统完全可以不必分散在各个主机上 而集中在防火墙一身上 13 3 监控审计 如果所有的访问都经过防火墙 那么 防火墙就能记录下这些访问并作出 日志记录 同时也能提供网络使用情况的统计数据 当发生可疑动作时 防火 墙能进行适当的报警 并提供网络是否受到监测和攻击的详细信息 另外 收 集一个网络的使用和误用情况也是非常重要的 首先的理由是可以清楚防火墙 是否能够抵挡攻击者的探测和攻击 并且清楚防火墙的控制是否充足 而网络 使用统计对网络需求分析和威胁分析等而言也是非常重要的 4 防止内部信息的外泄 通过利用防火墙对内部网络的划分 可实现内部网重点网段的隔离 从而 限制了局部重点或敏感网络安全问题对全局网络造成的影响 再者 隐私是内 部网络非常关心的问题 一个内部网络中不引人注意的细节可能包含了有关安 全的线索而引起外部攻击者的兴趣 甚至因此而暴漏了内部网络的某些安全漏 洞 使用防火墙就可以隐蔽那些透漏内部细节如 Finger DNS 等服务 Finger 显示了主机的所有用户的注册名 真名 最后登录时间和使用 shell 类型等 但是 Finger 显示的信息非常容易被攻击者所获悉 攻击者可以知道一个系统使 用的频繁程度 这个系统是否有用户正在连线上网 这个系统是否在被攻击时 引起注意等等 防火墙可以同样阻塞有关内部网络中的 DNS 信息 这样一台主 机的域名和 IP 地址就不会被外界所了解 除了安全作用 防火墙还支持具有 Internet 服务特性的企业内部网络技术体系 VPN 虚拟专用网 3 2 数据加密技术 所谓数据加密技术是指将一个信息 或称明文 经过加密钥匙及加密函数 转换 变成无意义的密文 而接收方则将此密文经过解密函数 解密钥匙还原 成明文 加密技术是网络安全技术的基石 数据加密技术要求只有在指定的用户或网络下 才能解除密码而获得原来 的数据 这就需要给数据发送方和接受方以一些特殊的信息用于加解密 这就 是所谓的密钥 其密钥的值是从大量的随机数中选取的 按加密算法分为专用 密钥和公开密钥两种 3 2 1 密钥分类 1 专用密钥 专用密钥 又称为对称密钥或单密钥 加密和解密时使用同一个密钥 即 同一个算法 如 DES 和 MIT 的 Kerberos 算法 单密钥是最简单方式 通信双方 必须交换彼此密钥 当需给对方发信息时 用自己的加密密钥进行加密 而在 接收方收到数据后 用对方所给的密钥进行解密 当一个文本要加密传送时 该文本用密钥加密构成密文 密文在信道上传送 收到密文后用同一个密钥将 14 密文解出来 形成普通文体供阅读 在对称密钥中 密钥的管理极为重要 一 旦密钥丢失 密文将无密可保 这种方式在与多方通信时因为需要保存很多密 钥而变得很复杂 而且密钥本身的安全就是一个问题 2 对称密钥 对称密钥是最古老的 一般说 密电码 采用的就是对称密钥 由于对称 密钥运算量小 速度快 安全强度高 因而目前仍广泛被采用 DES 是一种数据分组的加密算法 它将数据分成长度为 64 位的数据块 其 中 8 位用作奇偶校验 剩余的 56 位作为密码的长度 第一步将原文进行置换 得到 64 位的杂乱无章的数据组 第二步将其分成均等两段 第三步用加密函数 进行变换 并在给定的密钥参数条件下 进行多次迭代而得到加密密文 3 公开密钥 公开密钥 又称非对称密钥 加密和解密时使用不同的密钥 即不同的算 法 虽然两者之间存在一定的关系 但不可能轻易地从一个推导出另一个 有 一把公用的加密密钥 有多把解密密钥 如 RSA 算法 非对称密钥由于两个密钥 加密密钥和解密密钥 各不相同 因而可以将 一个密钥公开 而将另一个密钥保密 同样可以起到加密的作用 在这种编码过程中 一个密码用来加密消息 而另一个密码用来解密消息 在两个密钥中有一种关系 通常是数学关系 公钥和私钥都是一组十分长的 数字上相关的素数 是另一个大数字的因数 有一个密钥不足以翻译出消息 因为用一个密钥加密的消息只能用另一个密钥才能解密 每个用户可以得到唯 一的一对密钥 一个是公开的 另一个是保密的 公共密钥保存在公共区域 可在用户中传递 甚至可印在报纸上面 而私钥必须存放在安全保密的地方 任何人都可以有你的公钥 但是只有你一个人能有你的私钥 它的工作过程是 你要我听你的吗 除非你用我的公钥加密该消息 我就可以听你的 因为我 知道没有别人在偷听 只有我的私钥 其他人没有 才能解密该消息 所以我 知道没有人能读到这个消息 我不必担心大家都有我的公钥 因为它不能用来 解密该消息 公开密钥的加密机制虽提供了良好的保密性 但难以鉴别发送者 即任何 得到公开密钥的人都可以生成和发送报文 数字签名机制提供了一种鉴别方法 以解决伪造 抵赖 冒充和篡改等问题 3 2 2 加密的三种技术 在常规密码中 收信方和发信方使用相同的密钥 即加密密钥和解密密钥 是相同或等价的 比较著名的常规密码算法有 美国的 DES 及其各种变形 比 如 Triple DES GDES New DES 和 DES 的前身 Lucifer 欧洲的 IDEA 日本的 FEAL N LOKI 91 Skipjack RC4 RC5 以及以代换密码和转轮密码为代表的 15 古典密码等 在众多的常规密码中影响最大的是 DES 密码 常规密码的优点是有很强的保密强度 且经受住时间的检验和攻击 但其 密钥必须通过安全的途径传送 因此 其密钥管理成为系统安全的重要因素 在公钥密码中 收信方和发信方使用的密钥互不相同 而且几乎不可能从 加密密钥推导解密密钥 比较著名的公钥密码算法有 RSA 背包密码 McEliece 密码 Diffe Hellman Rabin Ong Fiat Shamir 零知识证明的算 法 椭圆曲线 EIGamal 算法等等 最有影响的公钥密码算法是 RSA 它能抵抗 到目前为止已知的所有密码攻击 公钥密码的优点是可以适应网络的开放性要求 且密钥管理问题也较为简 单 尤其可方便的实现数字签名和验证 但其算法复杂 加密数据的速率较低 尽管如此 随着现代电子技术和密码技术的发展 公钥密码算法将是一种很有 前途的网络安全加密体制 当然在实际应用中人们通常将常规密码和公钥密码结合在一起使用 比如 利用 DES 或者 IDEA 来加密信息 而采用 RSA 来传递会话密钥 如果按照每次加 密所处理的比特来分类 可以将加密算法分为序列密码和分组密码 前者每次 只加密一个比特而后者则先将信息序列分组 每次处理一个组 密码技术是网络安全最有效的技术之一 一个加密网络 不但可以防止非 授权用户的搭线窃听和入网 而且也是对付恶意软件的有效方法之一 一般的数据加密可以在通信的三个层次来实现 链路加密 节点加密和端 到端加密 1 链路加密 对于在两个网络节点间的某一次通信链路 链路加密能为网上传输的数据 提供安全保证 对于链路加密 又称在线加密 所有消息在被传输之前进行加 密 在每一个节点对接收到的消息进行解密 然后先使用下一个链路的密钥对 消息进行加密 再进行传输 在到达目的地之前 一条消息可能要经过许多通 信链路的传输 由于在每一个中间传输节点消息均被解密后重新进行加密 因此 包括路 由信息在内的链路上的所有数据均以密文形式出现 这样 链路加密就掩盖了 被传输消息的源点与终点 由于填充技术的使用以及填充字符在不需要传输数 据的情况下就可以进行加密 这使得消息的频率和长度特性得以掩盖 从而可 以防止对通信业务进行分析 尽管链路加密在计算机网络环境中使用得相当普遍 但它并非没有问题 链路加密通常用在点对点的同步或异步线路上 它要求先对在链路两端的加密 设备进行同步 然后使用一种链模式对链路上传输的数据进行加密 这就给网 络的性能和可管理性带来了副作用 16 在线路 信号经常不通的海外或卫星网络中 链路上的加密设备需要频繁地 进行同步 带来的后果是数据丢失或重传 另一方面 即使仅一小部分数据需 要进行加密 也会使得所有传输数据被加密 在一个网络节点 链路加密仅在通信链路上提供安全性 消息以明文形式 存在 因此所有节点在物理上必须是安全的 否则就会泄漏明文内容 然而保 证每一个节点的安全性需要较高的费用 为每一个节点提供加密硬件设备和一 个安全的物理环境所需要的费用由以下几部分组成 保护节点物理安全的雇员 开销 为确保安全策略和程序的正确执行而进行审计时的费用 以及为防止安 全性被破坏时带来损失而参加保险的费用 在传统的加密算法中 用于解密消息的密钥与用于加密的密钥是相同的 该密钥必须被秘密保存 并按一定规则进行变化 这样 密钥分配在链路加密 系统中就成了一个问题 因为每一个节点必须存储与其相连接的所有链路的加 密密钥 这就需要对密钥进行物理传送或者建立专用网络设施 而网络节点地 理分布的广阔性使得这一过程变得复杂 同时增加了密钥连续分配时的费用 2 节点加密 尽管节点加密能给网络数据提供较高的安全性 但它在操作方式上与链路 加密是类似的 两者均在通信链路上为传输的消息提供安全性 都在中间节点 先对消息进行解密 然后进行加密 因为要对所有传输的数据进行加密 所以 加密过程对用户是透明的 然而 与链路加密不同 节点加密不允许消息在网络节点以明文形式存在 它先把收到的消息进行解密 然后采用另一个不同的密钥进行加密 这一过程 是在节点上的一个安全模块中进行 节点加密要求报头和路由信息以明文形式传输 以便中间节点能得到如何 处理消息的信息 因此这种方法对于防止攻击者分析通信业务是脆弱的 3 端到端加密 端到端加密允许数据在从源点到终点的传输过程中始终以密文形式存在 采用端到端加密 又称脱线加密或包加密 消息在被传输时到达终点之前不进 行解密 因为消息在整个传输过程中均受到保护 所以即使有节点被损坏也不 会使消息泄露 端到端加密系统的价格便宜些 并且与链路加密和节点加密相比更可靠 更容易设计 实现和维护 端到端加密还避免了其它加密系统所固有的同步问 题 因为每个报文包均是独立被加密的 所以一个报文包所发生的传输错误不 会影响后续的报文包 此外 从用户对安全需求的直觉上讲 端到端加密更自 然些 单个用户可能会选用这种加密方法 以便不影响网络上的其他用户 此 方法只需要源和目的节点是保密的即可 17 端到端加密系统通常不允许对消息的目的地址进行加密 这是因为每一个 消息所经过的节点都要用此地址来确定如何传输消息 由于这种加密方法不能 掩盖被传输消息的源点与终点 因此它对于防止攻击者分析通信业务是脆弱的 3 2 3 数据加密技术相关算法 数据加密技术要求只有在指定的用户或网络下 才能解除密码而获得原来 的数据 这就需要给数据发送方和接受方以一些特殊的信息用于加解密 这就 是所谓的密钥 其密钥的值是从大量的随机数中选取的 按加密算法分为专用 密钥和公开密钥两种 专用密钥 又称为对称密钥或单密钥 加密和解密时使用同一个密钥 即 同一个算法 如 DES 和 MIT 的 Kerberos 算法 单密钥是最简单方式 通信双方 必须交换彼此密钥 当需给对方发信息时 用自己的加密密钥进行加密 而在 接收方收到数据后 用对方所给的密钥进行解密 当一个文本要加密传送时 该文本用密钥加密构成密文 密文在信道上传送 收到密文后用同一个密钥将 密文解出来 形成普通文体供阅读 在对称密钥中 密钥的管理极为重要 一 旦密钥丢失 密文将无密可保 这种方式在与多方通信时因为需要保存很多密 钥而变得很复杂 而且密钥本身的安全就是一个问题 对称密钥是最古老的 一般说 密电码 采用的就是对称密钥 由于对称 密钥运算量小 速度快 安全强度高 因而目前仍广泛被采用 DES 是一种数据分组的加密算法 它将数据分成长度为 64 位的数据块 其 中 8 位用作奇偶校验 剩余的 56 位作为密码的长度 第一步将原文进行置换 得到 64 位的杂乱无章的数据组 第二步将其分成均等两段 第三步用加密函数 进行变换 并在给定的密钥参数条件下 进行多次迭代而得到加密密文 公开密钥 又称非对称密钥 加密和解密时使用不同的密钥 即不同的算 法 虽然两者之间存在一定的关系 但不可能轻易地从一个推导出另一个 有 一把公用的加密密钥 有多把解密密钥 如 RSA 算法 非对称密钥由于两个密钥 加密密钥和解密密钥 各不相同 因而可以将 一个密钥公开 而将另一个密钥保密 同样可以起到加密的作用 在这种编码过程中 一个密码用来加密消息 而另一个密码用来解密消息 在两个密钥中有一种关系 通常是数学关系 公钥和私钥都是一组十分长的 数字上相关的素数 是另一个大数字的因数 有一个密钥不足以翻译出消息 因为用一个密钥加密的消息只能用另一个密钥才能解密 每个用户可以得到唯 一的一对密钥 一个是公开的 另一个是保密的 公共密钥保存在公共区域 可在用户中传递 甚至可印在报纸上面 而私钥必须存放在安全保密的地方 18 任何人都可以有你的公钥 但是只有你一个人能有你的私钥 它的工作过程是 你要我听你的吗 除非你用我的公钥加密该消息 我就可以听你的 因为我 知道没有别人在偷听 只有我的私钥 其他人没有 才能解密该消息 所以我 知道没有人能读到这个消息 我不必担心大家都有我的公钥 因为它不能用来 解密该消息 公开密钥的加密机制虽提供了良好的保密性 但难以鉴别发送者 即任何 得到公开密钥的人都可以生成和发送报文 数字签名机制提供了一种鉴别方法 以解决伪造 抵赖 冒充和篡改等问题 数字签名一般采用非对称加密技术 如 RSA 通过对整个明文进行某种变 换 得到一个值 作为核实签名 接收者使用发送者的公开密钥对签名进行解 密运算 如其结果为明文 则签名有效 证明对方的身份是真实的 当然 签 名也可以采用多种方式 例如 将签名附在明文之后 数字签名普遍用于银行 电子贸易等 数字签名不同于手写签字 数字签名随文本的变化而变化 手写签字反映 某个人个性特征 是不变的 数字签名与文本信息是不可分割的 而手写签字 是附加在文本之后的 与文本信息是分离的 值得注意的是 能否切实有效地发挥加密机制的作用 关键的问题在于密 钥的管理 包括密钥的生存 分发 安装 保管 使用以及作废全过程 3 3 访问控制技术 访问控制指系统对用户身份及其所属的预先定义的策略组限制其使用数据 资源能力的手段 通常用于系统管理员控制用户对服务器 目录 文件等网络 资源的访问 访问控制是系统保密性 完整性 可用性和合法使用性的重要基 础 是网络安全防范和资源保护的关键策略之一 也是主体依据某些控制策略 或权限对客体本身或其资源进行的不同授权访问 访问控制的主要目的是限制访问主体对客体的访问 从而保障数据资源在 合法范围内得以有效使用和管理 为了达到上述目的 访问控制需要完成两个 任务 识别和确认访问系统的用户 决定该用户可以对某一系统资源进行何种 类型的访问 访问控制包括三个要素 主体 客体和控制策略 主体 S Subject 是指提出访问资源具体请求 是某一操作动作的发起 者 但不一定是动作的执行者 可能是某一用户 也可以是用户启动的进程 服务和设备等 客体 O Object 是指被访问资源的实体 所有可以被操作的信息 资源 对象都可以是客体 客体可以是信息 文件 记录等集合体 也可以是网络上 19 硬件设施 无限通信中的终端 甚至可以包含另外一个客体 控制策略 A Attribution 是主体对客体的相关访问规则集合 即属性 集合 访问策略体现了一种授权行为 也是客体对主体某些操作行为的默认 3 3 1 访问控制的功能及原理 访问控制的主要功能包括 保证合法用户访问受权保护的网络资源 防止 非法的主体进入受保护的网络资源 或防止合法用户对受保护的网络资源进行 非授权的访问 访问控制首先需要对用户身份的合法性进行验证 同时利用控 制