浅谈internet的网络安全与防护措施.doc

云南工商学院 浅谈基于internet的网络安全与防护措施浅谈基于internet的网络安全与防护措施摘要随着计算机网络在人类生活领域中的广泛应用，针对计算机网络的攻击事件也随之增加。网络已经无所不在的影响着社会的政治、经济、文化、军事、意识形态和社会生活等各个方面。同时在全球范围内，针对重要信息资源和网络基础设施的入侵行为和企图入侵行为的数量仍在持续不断增加，网络攻击与入侵行为对国家安全、经济和社会生活造成了极大的威胁。计算机病毒不断地通过网络产生和传播，计算机网络被不断地非法入侵，重要情报、资料被窃取，甚至造成网络系统的瘫痪等等，诸如此类的事件已给政府及企业造成了巨大的损失，甚至危害到国家的安全。网络安全已成为世界各国当今共同关注的焦点，网络安全的重要性是不言而喻的，因此，对漏洞的了解及防范也相对重要起来。 在我的这篇论文里，将综合概括一些过去、现有的网络和系统漏洞，就几种常见的和最新出现的漏洞及其特征进行详细的说明，并就此进一步展开对这些漏洞的防范措施的具体介绍，使大家认识并了解这些漏洞的危害，从而更好的保护自己的计算机。 关键词 计算机网络技术/计算机网络安全/安全漏洞AbstractWith the popularity of computer network in human life field, the attacking matters aimed at computer network have also increased. Network has omnipresent impacts for various fields like politics, economy, culture, military affairs, ideology and social lives, etc. Simultaneously, in global range, the amount of invasion and invasion attempting affairs that aimed at important resource and network basic equipments has kept increasing. The network attacking and invasion have significant threat on national security, economy and social lives. Computer virus have been produced and spread ceaselessly; computer network has been invaded illegally; important information and data have been stolen and even network system has been crashed. Such events have caused enormous damages for governments and enterprises, sometimes for national security. Therefore, network security has been the focus of every country in the world and its importance is self-evidenced. Hence, it is comparatively important to know the computer holes and precaution. In this paper, it generalizes some existing network and system holes as well as used ones, illuminates some usual and new-coming holes and their characters in details and has a further introduction for the precautionary methods of these holes, which want to make everyone know and understand the harm of these holes, thereby, protect their own computers better. Key words: Computer network technology, Computer network security, Security holes目 录第一章 绪论11.1 引言11.2网络安全11.3网络安全威胁及安全攻击11.3.1互联网的安全威胁11.3.2来自局域网内部的安全威胁11.3.3计算机病毒及恶意代码的威胁11.4 安全攻击11.4.1被动攻击21.4.2主动攻击21.4.3物理临近攻击21.4.4分发攻击2第二章 网络当前形式及面临的问题42.1防火墙系统42.1.1防火墙概述42.1.2防火墙的体系结构42.1.3防火墙的功能52.2入侵检测系统62.2.1入侵检测系统概述62.2.2入侵检测原理62.3漏洞的概念62.3.1什么是漏洞62.3.2漏洞与具体系统环境之间的关系及其相关特性62.3.3漏洞问题与不同安全级别计算机系统之间的关系72.4安全漏洞与系统攻击之间的关系72.4.1常见的攻击方法82.4.2系统攻击手段与系统漏洞分类8第三章 结论10参考文献11致谢12III第一章 绪论1.1 引言互联网是全球性的。这就意味着我们目前使用的这个网络，不管是谁发明了它，是属于全人类的。这种“全球性”并不是一个空洞的政治口号，而是有其技术保证的。互联网的结构是按照“包交换”的方式连接的分布式网络。因此，在技术的层面上，互联网绝对不存在中央控制的问题。也就是说，不可能存在某一个国家或者某一个利益集团通过某种技术手段来控制互联网的问题。反过来，也无法把互联网封闭在一个国家之内-除非建立的不是互联网。1.2网络安全随着Internet的兴起，网络安全问题越来越引起人们的关注，采取安全技术来防止对数据的破坏已成为网络应用中的当务之急。网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的行为而遭受到破坏、更改、泄露，使系统连续可靠正常地运行，网络服务不中断。网络安全从其本质上来讲就是网络上的信息安全。1.3网络安全威胁及安全攻击1.3.1互联网的安全威胁由于Internet的开放性、国际性与自由性，局域网将面临更加严重的安全威胁。如果局域网与外部网络间没有采取一定的安全防护措施，很容易遭到来自Internets上黑客的各种攻击。他们可以通过嗅探程序来探测、扫描网络及操作系统存在的安全漏洞，如网络I P 地址、应用操作系统的类型、开放的T C P 端口号、系统用来保存用户名和口令等安全信息的关键文件等，并通过相应攻击程序进行攻击。他们还可以通过网络监听等手段获得内部网用户的用户名、口令等信息，进而假冒内部合法身份进行非法登录，窃取内部网络中重要信息。还能通过发送大量数据包对网络服务器进行攻击，使得服务器超负荷工作导致拒绝服务，甚至使系统瘫痪。1.3.2来自局域网内部的安全威胁内部管理人员把内部网络结构、管理员口令以及系统的一些重要信息传播给外人带来信息泄漏；内部职工有的可能熟悉服务器、小程序、脚本和系统的弱点，利用网络开些小玩笑，甚至搞破坏。如，泄漏至关重要的信息、错误地进入数据库、删除数据等，这都将给网络造成极大的安全威胁。1.3.3计算机病毒及恶意代码的威胁由于网络用户不及时安装防病毒软件和操作系统补丁，或未及时更新防病毒软件的病毒库而造成计算机病毒的入侵。许多网络寄生犯罪软件的攻击，正是利用了用户的这个弱点。寄生软件可以修改磁盘上现有的软件，在自己寄生的文件中注入新的代码。最近几年，随着犯罪软件（Crime Software）汹涌而至，寄生软件已退居幕后，成为犯罪软件的助手。1.4 安全攻击安全攻击是安全威胁的具体体现，他主要包括以下几种类型：被动攻击、主动攻击、物理临近攻击和分发攻击。1.4.1被动攻击被动攻击的主要目标是被动检视公共媒体上传送的信息。抵抗这类攻击的对策是使用虚拟专用网(VPN)。1.4.2主动攻击主动攻击的主要目标是企图避开或打破安全防护、引入恶意代码（如计算机病毒）以及转换数据或系统的完整性。典型对策包括增强的区域边界保护（如防火墙和边界护卫）、基于身份认证的访问控制、受保护的远程访问、质量安全管理、自动病毒检测工具、审计和入侵检测。表1.2类聚了一些特定的主动攻击。表1.2 主动攻击举例攻击描述检视明文检视网络的攻击者获取未加保护措施的用户信息或数据解密加密不善的通信数据公共域中已具备密码分析能力口令嗅探这类攻击包括使用协议分析工具捕获用于未授权使用的口令通信量分析即使不解密下层信息，外部通信模式的观察也能给对手提供关键信息。如通信模式的改变可以暗示紧急行动1.4.3物理临近攻击在物理临近攻击中未授权者可物理上接近网络、系统或设备，目的是修改、收集或拒绝访问信息。这种接近可以是秘密进入或公开接近，也可以是两种都有。表1.3列举了这种攻击独有的典型攻击实例。表1.3 临近攻击举例攻击描述修改数据或收集信息临近的攻击者由于获得了对系统的物理访问从而修改或窃取信息，如IP地址、登录的用户名和口令系统干预这种攻击来自临近的攻击者访问并干预系统（如窃听、降级等）物理破坏该攻击者来自获得对系统的物理访问的临近者，导致对本地系统的物理破坏1.4.4分发攻击“分发攻击”一词是指在软件和硬件开发出来之后和安装之前这段时间，或当它从一个地方传送到另一个地方，攻击者恶意修改软硬件。在工厂，可以通过加强处理配置控制将这类威胁降到最低。通过使用受控分发，或者由最终用户检验的签名软件和访问控制可以消除分发威胁。表1.4给了这类分发特有的典型攻击实例表1.4 分发攻击举例攻击描述在制造商的设备上修改软/硬件当软件和硬件在生产线上流通时，可以通过修改软硬件配置来实施这类攻击。这一阶段威胁的对策包括严格的完整性控制和在测试软件产品中的加密签名，前者又包括高可靠配置控制在产品分发时修改软/硬件这些攻击可以通过在产品分发期内（如在装船时安装窃听设备）修改软件和硬件配置来实施。这一阶段威胁的对策包括在包装阶段使用篡改检测技术，使用授权和批准传递和使用忙买技术第二章 网络当前形式及面临的问题随着网络技术的发展和社会信息化进程的加快,现在人们的生活、工作、学习、娱乐和交往都已离不开计算机网络。现今，全球网民数量已超过15亿，网络已经成为生活中离不开的工具，经济、文化、军事和社会活动都强烈地依赖于网络。网络环境的复杂性、多变性以及信息系统的脆弱性、开放性和易受攻击性，决定了网络安全威胁的客观存在。尽管计算机网络为人们提供了巨大的方便，但是受技术和社会因素的各种影响，计算机网络一直存在着多种安全缺陷。攻击者经常利用这些缺陷，实施攻击和入侵，给计算机网络造成极大的损害，网络攻击、病毒传播、垃圾邮件等迅速增长，利用网络进行盗窃、诈骗、敲诈勒索、窃密等案件逐年上升，严重影响了网络的正常秩序，严重损害了网民的利益；网上色情、暴力等不良和有害信息的传播，严重危害了青少年的身心健康。网络系统的安全性和可靠性正在成为世界各国共同关注的焦点。根据中国互联网信息中心2010年初发布的统计报告显示：我国互联网网站已超过三百万家，上网用户2亿多，网民数和宽带上网人数均居全球第二。同时，网络安全风险也无处不在，各种网络安全漏洞大量存在和不断被发现，计算机系统遭受病毒感染和破坏的情况相当严重，计算机病毒呈现出异常活跃的态势。面对网络安全的严峻形势，我国的网络安全保障工作尚处于起步阶段，基础薄弱，水平不高，网络安全系统在预测、反应、防范和恢复能力方面存在许多薄弱环节，安全防护能力不仅大大低于美国、俄罗斯和以色列等信息安全强国，而且排在印度、韩国之后。在监督管理方面缺乏依据和标准，监管措施不到位，监管体系尚待完善，网络信息安全保障制度不健全、责任不落实、管理不到位。网络信息安全法律法规不够完善，关键技术和产品受制于人，网络信息安全服务机构专业化程度不高，行为不规范，网络安全技术与管理人才缺乏。面对网络安全的严峻形势，如何建设高质量、高稳定性、高可靠性的安全网络成为通信行业乃至整个社会发展所要面临和解决的重大课题。2.1防火墙系统2.1.1防火墙概述防火墙是一种用来增强内部网络安全性的系统，它将网络隔离为内部网和外部网，从某种程度上来说，防火墙是位于内部网和外部网之间的桥梁和检查站，它一般由一台和多台计算机构成，它对内部网和外部网的数据流量进行分析、检测、管理和控制，通过对数据的筛选和过滤，来防止未授权的访问进出内部计算机网，从而达到保护内部网资源和信息的目的。防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全。2.1.2防火墙的体系结构(1) 双重宿主主机体系结构双重宿主主机体系结构围绕双重宿主主机构筑。双重宿主主机至少有两个网络接口。这样的主机可以充当与这些接口相连的网络之间的路由器，它能够从一个网络到另外一个网络发送IP数据包。然而双重宿主主机的防火墙体系结构禁止这种发送。因此IP数据包并不是从一个网络（如外部网络）直接发送到另一个网络（如内部网络）。外部网络能与双重宿主主机通信，内部网络也能与双重宿主主机通信。但是外部网络与内部网络不能直接通信，它们之间的通信必须经过双重宿主主机的过滤和控制。(2) 被屏蔽主机体系结构双重宿主主机体系结构防火墙没有使用路由器。而被屏蔽主机体系结构防火墙则使用一个路由器把内部网络和外部网络隔离开。在这种体系结构中，主要的安全由数据包过滤提供（例如，数据包过滤用于防止人们绕过代理服务器直接相连）。这种体系结构涉及到堡垒主机。堡垒主机是因特网上的主机能连接到的唯一的内部网络上的系统。任何外部的系统要访问内部的系统或服务都必须先连接到这台主机。因此堡垒主机要保持更高等级的主机安全。数据包过滤容许堡垒主机开放可允许的连接（什么是可允许连接将由你的站点的特殊的安全策略决定）到外部世界。(3) 被屏蔽子网体系结构添加额外的安全层到被屏蔽主机体系结构，即通过添加周边网络更进一步的把内部网络和外部网络隔离开。被屏蔽子网体系结构的最简单的形式为，两个屏蔽路由器，每一个都连接到周边网。一个位于周边网与内部网络之间，另一个位于周边网与外部网络之间。这样就在内部网络与外部网络之间形成了一个“隔离带”。为了侵入用这种体系结构构筑的内部网络，侵袭者必须通过两个路由器。即使侵袭者侵入堡垒主机，他将仍然必须通过内部路由器。2.1.3防火墙的功能(1) 数据包过滤技术数据包过虑技术是在网络中的适当位置对数据包实施有选择的通过的技术选择好依据系统内设置的过滤规则后，只有满足过滤规则的数据包才被转发至相应的网络接口，而其余数据包则从数据流中被丢弃。数据包过滤技术是防火墙中最常用的技术。对于一个危险的网络，用这种方法可以阻塞某些主机和网络连入内部网络，也可限制内部人员对一些站点的访问。包过滤型防火墙工作在OSI参考模型的网络层和传输层，它根据数据包头源地址，目的地址，端口号和协议类型等标志确定是否允许通过，只有满足过滤条件的数据包才被转发到相应目的地，其余数据包则被数据流中阻挡丢弃。(2) 网络地址转换技术网络地址转换是一种用于把IP地址转换成临时的外部的、注册的IP的地址标准，用户必须要为网络中每一台机器取得注册的IP地址。在内部网络通过安全网卡访问外部网络时，系统将外出的源地址和源端口映射为一个伪装的地址和端口与外部连接，这样对外就隐藏了真实的内部网络地址。在外部网络通过非安全网卡访问内部网络时，它并不知道内部网络的连接情况，而只是通过一个开放的IP地址和端口来请求访问。防火墙根据预先定义好的映射规则来判断这个访问是否安全和接受与否。网络地址转换过程对于用户来说是透明的，不需要用户进行设置，用户只要进行常规操作即可。(3) 代理技术代理技术是在应用层实现防火墙功能，代理服务器执行内部网络向外部网络申请时的中转连接作用。代理侦听网络内部客户的服务请求，当一个连接到来时，首先进行身份验证，并根据安全策略决定是否中转连接。当决定转发时，代理服务器上的客户进程向真正的服务器发出请求，服务器返回代理服务器转发客户机的数据。另一种情况是，外部网通过代理访问内部网，当外部网络节点提出服务请求时，代理服务器首先对该用户身份进行验证。若为合法用户，则把该请求转发给真正的某个内部网络的主机。而在整个服务过程中，应用代理一直监控着用户的操作，一旦用户进行非法操作，就可以进行干涉，并对每一个操作进行记录。若为不合法用语，则拒绝访问。2.2入侵检测系统2.2.1入侵检测系统概述入侵检测是指通过对行为、安全日志或审计数据或其它网络上可以获得的信息进行操作，检测到对系统的闯入或闯入的企图。入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。进行入侵检测的软件与硬件的组合便是入侵检测系统2.2.2入侵检测原理入侵检测跟其他检测技术有同样的原理。从一组数据中，检测出符合某一特点的数据。攻击者进行攻击的时候会留下痕迹，这些痕迹和系统正常运行的时候产生的数据混在一起。入侵检测系统的任务是从这些混合的数据中找出是否有入侵的痕迹，并给出相关的提示和警告。入侵检测的第一步是信息收集，收集内容包括系统、网络、数据及用户活动的状态和行为。由放置在不同网段的传感器或不同主机的代理来收集信息，包括系统和网络日志文件、网络流量、非正常的目录和文件改变、非正常的程序执行。第二步是信息分析，收集到的有关系统、网络、数据及用户活动的状态和行为等信息，被送到检测引擎，检测引擎驻留在传感器中，一般通过三种技术手段进行分析：模式匹配、统计分析和完整性分析。当检测到某种误用模式时，产生一个告警并发送给控制台。第三步是结果处理，控制台按照告警产生预先定义的响应采取相应措施，可以是重新配置路由器或防火墙、终止进程、切断连接、改变文件属性，也可以只是简单的告警。2.3漏洞的概念2.3.1什么是漏洞漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷而可以使攻击者能够在未授权的情况下访问或破坏系统。2.3.2漏洞与具体系统环境之间的关系及其相关特性漏洞会影响到很大范围的软硬件设备，包括操作系统本身及支撑软件、路由器、防火墙等。在不同的软件硬件设备中，不同系统，或同种系统在不同的设置条件下，等会存在各自不同的漏洞问题。漏洞问题有其时效性。一个系统从发布的那一天起，随着用户的使用，系统中存在的漏洞会被不断暴露出来，也会不断被相应的补丁软件修补，或在随后发布的新版系统中纠正。而在系统中旧的漏洞被纠正的同时，往往也会因人一些新的漏洞和错误。因而随着时间的推移，旧的漏洞会不断的消失，新的漏洞会不断的出现。漏洞问题也会长期的存在。脱离具体的时间和具体的系统环境来讨论漏洞问题是毫无意义的。只能针对目标系统的实际环境来讨论其中可能存在的漏洞及其可行的解决办法。应该看到，对漏洞问题的研究必须跟踪当前最新的计算机系统及其安全问题的最新发展动态。这一点与对计算机病毒发展问题的研究相似。2.3.3漏洞问题与不同安全级别计算机系统之间的关系目前计算机系统安全的分级标准一般都是依据“受信任计算机系统评估标准”(Trusted Computer System Evaluation Criteria)，即“橘皮书”中的定义，将计算机系统的安全性能由高而低划分为四个等级。其中：D级-最低保护(Minimal protection)，凡没有通过其他安全等级测试项目的系统即属于该级，如Dos,Windows个人计算机系统。C级自主访问控制(Discretion Protection)，该等级的安全特点在于系统的客体(如文件、目录)可由该系统主体(如系统管理员、用户、应用程序)自主定义访问权。例如：管理员可以决定系统中任意文件的权限。当前Unix、Linux、Windows NT等操作系统都属此安全等级。B-级强制访问控制(Mandatory Protection)，该级的安全特点在于由系统强制对客体进行安全保护，在该级安全系统中，每个系统客体及主体都有自己的安全标签，系统依据用户的安全等级赋予其对各个对象的访问权限。A级可验证访问控制(Verified Protection)，其特点在于系统拥有正式的分析及数学式方法可完全证明该系统的安全策略及安全规格的完整性与一致性。根据定义，系统所属安全级别越高，理论上该系统也越健全。可以说，系统安全级别是一种理论上的安全保证机制。是指在某个系统根据理论得以正确实现时，系统应该可以达到的安全程度。安全漏洞的出现，是安全机制理论具体实现时出现的非正常情况。比如建立安全机制规划时，在考虑上存在的缺陷，软件编程中的错误，以及在实际使用时认为的配置错误等。而在一切由人类实现的系统中都会不同程度的存在各种潜在错误。因而可以说在所有系统中必定存在着某些安全漏洞，不管这些漏洞是否已被发现，也不管该系统的理论安全级别如何。可以认为，在一定程度上，安全漏洞问题是独立于操作系统本身的理论安全级别而存在的。并不是说，系统所属的安全级别越高，该系统中存在的安全漏洞就越少。安全与不安全只是一个相对的概念。可以这样理解，当系统中存在的某些漏洞被入侵者利用，是入侵者得以绕过系统中的一部分安全机制并获得对系统一定程度的访问权限后，在安全性较高的系统当中，入侵者如果希望获得特权或对系统造成较大的破坏，必须要克制更大的障碍。2.4安全漏洞与系统攻击之间的关系系统安全漏洞是在系统的实现和使用中产生的，在某些条件下可能威胁到系统安全的错误。用户会在使用中发现系统中存在的错误，而入侵者都会设法利用其中的某些错误来破坏系统安全，系统供应商则会尽快发布纠正这些错误的补丁。这就是系统安全漏洞从被发现到纠正的一般过程。攻击者往往是安全漏洞的发现者和使用者，要对一个系统进行攻击，如果不能发现和使用系统中存在的安全漏洞是不可能成功的。对于理论安全级别较高的系统尤其如此。系统安全漏洞与系统攻击活动之间有着紧密的联系。因而不该脱离系统攻击活动来谈安全漏洞问题。了解常见的系统攻击方法，对于有针对性地理解系统漏洞问题，以及找到相应的补救方法是十分必要的。2.4.1常见的攻击方法通常可以根据攻击手段，把攻击活动大致分为远程攻击和内部攻击两种。随着网络的发展，远程攻击技术威胁越来越大，而其所涉及的系统漏洞以及相关的知识也较多，因而有更重要的研究价值。远程攻击是指通过Internet或其他网络，对连接的网络上的任意一台机器的攻击活动。一般可根据攻击者的目的分为入侵与破坏性攻击两部分。破坏性攻击的目的是对系统进行的骚扰，使其丧失一部分或全部服务功能，或对数据造成破坏。像邮件炸弹、基于网络的拒绝服务攻击，及著名的蠕虫病毒等都属于此类。与破坏性攻击不同，远程入侵的目的是非法获得对目标系统资源的使用权。两种攻击都需要用到系统中存在的安全漏洞。从难度上来看，系统入侵可能更困难，也更具有代表性。攻击者可以利用本地系统各组成部件中存在的安全漏洞，对系统进行破坏，如破坏数据，非法提升权限等。在实际情况下，内部攻击许多都是利用系统管理员配置上的错误和程序中存在的缓冲区溢出错误来实施的。虽然可以简单地将攻击分为以上两类，但在实际的攻击活动中，对两种攻击方法的使用并无界限。2.4.2系统攻击手段与系统漏洞分类系统攻击之所以能够成功，主要是因为在系统中存在着各种类型的安全漏洞。安全漏洞和系统攻击之间有紧密的联系。脱离攻击过程单独看待漏洞问题是没有意义的。而研究安全漏洞的目的，正是为了防范对系统的攻击活动。因而可以通过对常见的系统攻击手段的研究，分析其所涉及的安全漏洞，这样在解决安全问题时才有针对性，防范系统攻击才可以取得较好的效果。下面将举例说明几种常见的攻