如何构建一个安全的网络信息安全体系论文.doc

如何构建一个安全的网络信息安全体系专业班级：_测控11-1_ 姓名： 陶士昊 学号： 201102051041 指导老师： 赵桂新 二零一二年六月十四日摘 要 计算机技术的不断发展,网络的不断普及,在给我们的工作,学习,生活,娱乐带来了极大的方便和好处同时,也给我们带来了新的威胁,那就是计算机系统安全问题。而我们的常常讨论的计算机系统安全包括计算机安全、网络安全和信息安全。其中信息安全是主线,它贯穿于计算机安全和网络安全之中。正是网络的广泛应用,在工作和生活中扮演如此重要的角色,如何来保障信息安全已经成为一个重要的问题。关键词 网络安全 防护策略 入侵检测系统由于操作系统的不同,网络拓扑技术的区别,连接介质的选择,网络接入技术的变化给实现计算机系统安全带来了复杂的操作性。根据参考资料，总结出3个层次的安全策略：技术安全，管理安全，意识安全。1技术安全从本质上来讲,网络安全就是网络上的信息安全,是指网络系统的硬件、软件及其系统中的数据受到保护,不受偶然的或者恶意的原因而遭到破坏、更改、泄露,系统连续可靠正常地运行,网络服务不中断。在实际工作中,威胁信息安全的主要是木马和病毒。由于木马和病毒的存在,常常使我们对信息的安全性失去把握。黑客入侵主要有以下几种途径：1)木马入侵。木马有可能是黑客在已经获取我们操作系统可写权限的前提下，由黑客上传的（例如下面会提到的ipc$共享入侵）；也可能是我们浏览了一些垃圾个人站点而通过网页浏览感染的（利用了IE漏洞）；更多的情况是我们防范意识不强，随便运行了别人发来的所谓的mm图片、好看的动画之类的程序或者是在不正规的网站上随便下载软件使用。2) 微软在win2000，xp中设置的这个功能对个人用户来说几乎毫无用处。反而成了黑客入侵nt架构操作系统的一条便利通道。如果你的操作系统存在不安全的口令，那就更可怕了。一条典型的入侵流程如下：用任何办法得到一个帐户与口令（猜测，破解），网上流传有一个叫做smbcrack的软件就是利用ipc$来破解帐户口令的。如果你的密码位数不高，又很简单，是很容易被破解的。根据我的个人经验，相当多的人都将administrator的口令设为123，2003，或者干脆不设密码。使用命令net use xxx.xxx.xxx.xxxipc$“密码” /user:“用户名”建立一个有一定权限的ipc$连接。用copy trojan.exe xxx.xxx.xxx.xxxadmin$ 将木马程序的服务器端复制到系统目录下。用net time xxx.xxx.xxx.xxx 命令查看对方操作系统的时间，然后用at 2.xxx.xxx.xxx 12：00 trojan.exe 让trojan.exe在指定时间运行。这样一来，你的电脑就完全被黑客控制了。应对措施：禁用server服务, Task Scheduler服务，去掉网络文件和打印机共享前的对勾(插入图1)。当然，给自己的帐户加上强壮的口令才是最关键的。3) IIS漏洞入侵。由于宽带越来越普及，给自己的win2000或是xp装上简单易学的iis，搭建一个不定时开放的ftp或是web站点，相信是不少电脑爱好者所向往的，而且应该也已经有很多人这样做了。但是iis层出不穷的漏洞实在令人担心。远程攻击着只要使用webdavx3这个漏洞攻击程序和 telnet命令就可以完成一次对iis的远程攻击，成功后我们可以看到如图2的利用iis的webdav漏洞攻击成功后的界面。这里的systen32就指的是对方机器的系统文件夹了，也就是说黑客此刻执行的任何命令，都是在被入侵的机器上运行的。这个时候如果执行format命令，危害就可想而知了，用net user命令添加帐户也是轻而易举的。4)注册表入侵。我们浏览网页的时候不可避免的会遇到一些不正规的网站,它们会擅自修改浏览者的注册表,其直接体现便是修改IE的默认主页,锁定注册表,修改鼠标右键菜单等等。实际上绝大部分的网页恶意代码都是通过修改我们的注册表达到目的。5)溢出攻击。“溢出攻击”已经成为黑客最常用的方式之一,引起缓冲区溢出问题的根本原因是C(与其后代C+)本质就是不安全的,没有界来检查数组和指针的引用。比如利用“格式化字符”实现溢出攻击。攻击者用十六进制编码向内存写入攻击代码,并按照一定格式编排格式化字符,让系统执行到这些字符的时候不再按照原本的程序思路执行,而是扭转到攻击代码所在的内存位置,这就导致了“溢出”。我们的解决方案从技术角度可以通过以下途径解决:(1)对于木马入侵, 要提高防范意识，不要随意运行别人发来的软件。安装木马查杀软件，及时更新木马特征库。如使用the cleaner，木马克星。(2)对于共享入侵,我们可以禁用server服务,Task Scheduler服务,去掉网络文件和打印机共享,同时健壮自己的安全口令。(3)对于IIS漏洞当然是从微软官方站点,及时安装IIS的漏洞补丁。(4)对于注册表攻击,可以安装具有注册表实时监控功能的防护软件，做好注册表的备份工作。禁用Remote RegistryService服务,同时使用防火墙加强保护。(5)对于溢出攻击,首先及时下载和更新官方操作系统补丁,其次创建一个新的用户,可以在用户名前加$进行隐藏,再次,可以选择对cmdexe,netexe和tftpexe等命令进行权限限制,同时修改相应的敏感端口。2管理安全如果仅仅从技术角度来考虑信息安全,显然是不够,还必须从管理角度来思考。信息安全涉及的内容既有技术方面的问题,也有管理方面的问题,两方面相互补充,缺一不可。技术方面主要侧重于防范外部非法用户的攻击,管理方面则侧重于内部人为因素的管理。如何更有效地保护重要的信息数据、提高计算机网络系统的安全性已经成为所有计算机网络应用必须考虑和必须解决的一个重要问题。 技术上的安全可以很轻易的被管理操作上的漏洞和疏忽摧毁!仅仅注重了技术上安全,而忽略了管理显然是无法在真正意义上的实现信息安全的。因为,我们提出了一个新的概念,信息安全需要管理安全。而管理安全的本质是规范的信息管理体制和规范的信息操作行为。3意识安全最近常常思考“先有鸡还是先有蛋”的问题,但是这个问题没有想清楚,倒是先想清了,先有病毒才有杀毒的办法,先有木马攻击才有木马防御手段,正如感冒病毒不断变种一般,计算机病毒和木马也在不断进化。如果总是消极的防御和治疗,显然是只能是在受到侵害之后的才能有所应对。如果要“御敌于国门之外”,当然靠的是安全意识。提高信息意识安全可以从以下几个方面思考:1)建立对信息安全的正确认识,并且注意及时更新安全知识,正如及时打预防针剂一样,防范于未然。2)掌握信息安全的基本原则和惯例,良好“惯性”可以有效避免遭受侵害。3)清楚可能面临的威胁和风险,“生于忧患死于安乐”无疑是信息保卫战中最该具备的思想准备。4)养成良好的安全习惯。比如定期检查防火墙版本,病毒库,随时留意系统出现的不明运行程序,不随意浏览不确定站点等等。5)提升组织整体的安全性。比如黑客通过共享入侵了电脑,但是由于健壮的用户密码体系保护了信息的安全,正是“整体法则”保护“局部破损”的有效体现。随着网络的飞速发展,网络信息安全也越来越受到人们的重视。通过对威胁网络信息安全因素的分析,进而提出了五种常用计算机网络信息安全防护策略,并对网络信息安全发展进行了展望形成网络信息安全防护体系。尽管计算机网络信息安全受到威胁,但是采取适当的防护措施就能有效地保护网络信息的安全。常用的计算机网络信息安全防护策略有:1加强用户账号的安全。用户账号的涉及面很广,包括系统登录账号和电子邮件账号、网上银行账号等应用账号,而获取合法的账号和密码是黑客攻击网络系统最常用的方法。首先是对系统登录账号设置复杂的密码;其次是尽量不要设置相同或者相似的账号,尽量采用数字与字母、特殊符号的组合的方式设置账号和密码,并且要尽量设置长密码并定期更换。2安装防火墙和杀毒软件。网络防火墙技术是一种用来加强网络之间访问控制,防止外部网络用户以非法手段进入内部网络,访问内部网络资源,保护内部网络操作环境的特殊网络互联设备。它对两个或多个网络之间传输的数据包按照一定的安全策略来实施检查,以确定网络之间的通信是否被允许,并监视网络运行状态。根据防火墙所采用的技术不同,可将它分为:包过滤型、地址转换型、代理型和监测型。包过滤型防火墙采用网络中的分包传输技术,通过读取数据包中的地址信息判断这些“包”是否来自可信任的安全站点,一旦发现来自危险站点的数据包,防火墙便会将这些数据拒之门外。地址转换型防火墙将内侧IP地址转换成临时的、外部的、注册的IP地址。内部网络访问因特网时,对外隐藏了真实的IP地址。外部网络通过网卡访问内部网络时,它并不知道内部网络的连接情况,而只是通过一个开放的IP地址和端口来请求访问。程123代理型防火墙也称为代理服务器,位于客户端与服务器之间,完全阻挡了二者间的数据交流。当客户端需要使用服务器上的数据时,首先将数据请求发给代理服务器,代理服务器再根据请求向服务器索取数据,然后再传输给客户端。由于外部系统与内部服务器之间没有直接的数据通道,外部的恶意侵害也就很难伤害到内部网络系统。监测型防火墙是新一代防火墙产品,所采用技术已经超越了最初的防火墙的定义。此类型防火墙能够对各层的数据进行主动的、实时的监测,通过分析这些数据,能够有效地判断出各层中的非法侵入。同时,监测型防火墙一般还带有分布式探测器,这些探测器安置在各种应用服务器和其他网络的节点之中,不仅能检测来自网络外部的攻击,同时对来自内部的恶意破坏也有极强的防范作用。个人计算机使用的防火墙主要是软件防火墙,通常和杀毒软件配套安装。杀毒软件是我们使用的最多的安全技术,这种技术主要针对病毒,可以查杀病毒,且现在的主流杀毒软件还可以防御木马及其他的一些黑客程序的入侵。但要注意,杀毒软件必须及时升级,升级到最新的版本,才能有效地防毒。3及时安装漏洞补丁程序。漏洞是可以在攻击过程中利用的弱点,可以是软件、硬件、程序缺点、功能设计或者配置不当等。美国威斯康星大学的Miller给出一份有关现今流行的操作系统和应用程序的研究报告,指出软件中不可能没有漏洞和缺陷2。如今越来越多的病毒和黑客利用软件漏洞攻击网络用户,比如有名的攻击波病毒就是利用微软的RPC漏洞进行传播,震荡波病毒就是利用Windows的LSASS中存在的一个缓冲区溢出漏洞进行攻击。当我们的系统程序中有漏洞时,就会造成极大的安全隐患。为了纠正这些漏洞,软件厂商发布补丁程序。我们应及时安装漏洞补丁程序,有效解决漏洞程序所带来的安全问题。扫描漏洞可以使用专门的漏洞扫描器,比如COPS、tripwire、tiger等软件,也可使用360安全卫士、瑞星卡卡等防护软件扫描并下载漏洞补丁。4入侵检测和网络监控技术。入侵检测是近年来发展起来的一种防范技术,综合采用了统计技术、规则方法、网络通信技术、人工智能、密码学、推理等技术和方法,其作用是监控网络和计算机系统是否出现被入侵或滥用的征兆。根据采用的分析技术可以分为签名分析法和统计分析法。签名分析法:用来监测对系统的已知弱点进行攻击的行为。人们从攻击模式中归纳出它的签名,编写到Ds系统的代码里,签名分析实际上是一种模板匹配操作。统计分析法:以统计学为理论基础,以系统正常使用情况下观察到的动作模式为依据来辨别某个动作是否偏离了正常轨道。5文件加密和数字签名技术。文件加密与数字签名技术是为提高信息系统及数据的安全保密性,防止秘密数据被外部窃取、侦听或破坏所采用的主要技术之一。根据作用不同,文件加密和数字签名技术主要分为数据传输、数据存储、数据完整性的鉴别三种。数据传输加密技术主要用来对传输中的数据流加密,通常有线路加密和端对端加密两种。前者侧重在路线上而不考虑信源与信宿,是对保密信息通过的各线路采用不同的加密密钥提供安全保护。后者则指信息由发送者通过专用的加密软件,采用某种加密技术对所发送文件进行加密,把明文加密成密文,当这些信息到达目的地时,由收件人运用相应的密钥进行解密,使密文恢复成为可读数据明文。数据存储加密技术的目的是防止在存储环节上的数据失密,可分为密文存储和存取控制两种。前者一般是通过加密法转换、附加密码、加密模块等方式对本地存储的文件进行加密和数字签名。后者则是对用户资格、权限加以审查和限制,防止非法用户存取数据或合法用户越权存取数据。数据完整性鉴别技术主要是对介入信息的传送、存取、处理的人的身份和相关数据内容进行验证,达到保密的要求,一般包括口令、密钥、身份、数据等项的鉴别,系统通过对比验证对象输入的特征值是否符合预先设定的参数,实现对数据的安全保护。数字签名是解决网络通信中特有安全问题的一种有效方法,它能够实现电子文档的辨认和验证,在保证数据的完整性、私有性、不可抵赖性方面有着极其重要的作用。数字签名的算法有很多,其中应用最广泛的是:Hash签名、DSS签名和RSA签名。数字签名的实现一般有以下几种形式:1)一般数字签名。发送方A要给接收方B发送消息M,先使用单向散列函数形成信息摘要MD,再进行签网络安全的重要前提就是要充分具有网络安全意识，并形成相应的网络安全策略。首先要明确网络安全策略重在管理。俗话说：“三分技术，七分管理”，因此，必须加强网络的安全管理，确定安全管理等级和安全管理范围，制订和完善有关的规章制度（如网络操作使用规程、人员出入机房管理制度及网络系统的维护和开发管理制度等）。其次，要清楚做好网络安全策略必须从制定以下两种核心策略着手：物理安全策略。制定物理安全策略的目的是保护网络服务器、交换机、路由器、打印机、工作站等众多硬件实体和通信链路免受自然灾害、人为破坏和搭线窃听；验证用户的身份和使用权限、防止用户越权操作；确保计算机系统有一个良好的电磁兼容工作环境，抑制和防止电磁泄漏；建立完备的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏计算机设备活动的发生。抑制和防止电磁泄漏（即TEMPEST技术）是物理安全策略的一个主要问题。目前主要防护措施有两类：一类是对传导发射的防护，另一类是对辐射的防护。后者又分为两种，一是采用各种电磁屏蔽措施，二是干扰的防护措施；访问控制策略。之所以制定访问控制策略，因为它是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非法访问。它也是维护网络系统安全、保护网络资源的重要手段。需要强调的是，各种安全策略必须相互配合才能真正起到保证网络安全的作用。安全策略是成功的网络安全体系的基础与核心。安全策略描述了校园数据中心的安全目标（包括近期目标和长期目标），能够承受的安全风险，保护对象的安全优先级等方面的内容。安全技术常见的安全技术和工具主要包括防火墙、安全漏洞扫描、安全评估分析、入侵检测、网络陷阱、入侵取证、备份恢复和病毒防范等。这些工具和技术手段是网络安全体系中直观的部分，缺少任何一种都会有巨大的危险，因为，网络入侵防范是个整体概念。但校园数据中心往往经费有限，不能全部部署，这时就需要我们在安全策略的指导下，分步实施。需要说明的是，虽然是单元安全产品，但在网络安全体系中它们并不是简单地堆砌，而是要合理部署，互联互动，形成有机的整体。安全管理贯穿整个安全防范体系，是安全防范体系的核心。代表了安全防范体系中人的因素。安全不是简单的技术问题，不落实到管理，再好的技术、设备也是徒劳的。一个有效的安全防范体系应该是以安全策略为核心，以安全技术为支撑，以安全管理为落实。安全管理不仅包括行政意义上的安全管理，更主要的是对安全技术和安全策略的管理。安全培训最终用户的安全意识是信息系统是否安全的决定因素，因此对校园数据中心用户的安全培训和安全服务是整个安全体系中重要、不可或缺的一部分。建立网络入侵检测系统定义为：试图破坏信息系统的完整性、机密性或可信性的任何网络活动的集合。网络入侵分为三种类型：外部攻击、内部攻击和特权滥用。入侵检测就是检测任何企图损害系统完整性、机密性或可信性的行为的一种网络安全技术，它通过对运行系统的状态和活动的监视，找出异常或误用的行为，根据所定义的安全策略，分析出非授权的网络访问和恶意的行为，迅速发现入侵行为和企图，为入侵防范提供有效的手段。入侵检测在系统后台不问断的运行，它从计算机网络系统中的若干关键点收集信息，并分析这些信息，通过对系统或网络日志的分析，获得系统或网络目前的安全状况，查看网络中是否有违反安全策略的行为和遭到袭击的痕迹，当检测到非法或值得怀疑的行为时，及时报告给系统或网络管理员，并自动采取措施。入侵检测作为一种提高网络安全性的新方法，被认为是防火墙的合理补充，它能帮助系统在不影响网络性能的情况下对网络进行检测，从而提供对付网络攻击操作的实时性保护，扩展了系统管理员的安全管理能力，（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。其作为保证现代计算机系统安全的重要手段，在整个网络系统安全保障体系中具有不可替代的地位。入侵检测系统检查的数据源主要有两大类，一类是网络数据，一类是系统数据。具体说来，这些都通过入侵检测系统执行以下任务来实现：（1）监视、分析用户及系统活动；（2）系统构造和弱点的审计；（3）评估重要系统和数据文件的完整性；（4）异常行为模式的统计分析；（5）识别反映已知进攻的活动模式并向相关人士报警；（6）操作系统日志管理，并识别用户违反安全策略的行为。对数据进行备份是为了保证数据的一致性和完整性，消除系统使用者和操作者的后顾之忧。不同的应用环境要求不同的