《计算机网络》-第７章　网络安全技术

７.１网络安全概述７.１.１网络安全的基本概念网络安全是一个关系国家安全和主权、社会稳定、民族文化继承和发扬的重要问题。其重要性，正随着全球信息化步伐的加快而增强。网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。它主要是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭到破坏、更改、泄露，保证系统能连续可靠正常地运行，网络服务不中断。下一页返回７.１网络安全概述１.什么是网络安全网络安全是一个系统性概念，不仅包括网络信息的存储安全，还要涉及信息的产生、传输和使用过程中的安全，应该说网络节点处的安全和通信链路上的安全共同构成了网络系统的安全体系。国际标准化组织（ＩＳＯ）在ＩＳＯ７４９８－２文献中指出：安全就是最大限度地减少数据和资源被攻击的可能性。上一页下一页返回７.１网络安全概述因此，网络安全在不同的环境和应用中会得到不同的解释。（１）运行系统安全，即保证信息处理和传输系统的安全。包括计算机网络机房环境的保护，法律、政策、规章制度的保护，计算机网络结构设计上的安全性考虑，硬件系统的可靠安全运行，计算机操作系统和应用软件的安全，数据库系统的安全和电磁信息泄露的防护等。它侧重于保护系统正常地运行，避免因为系统的崩溃和损坏而对系统存储、处理和传输的信息造成破坏和损失，避免由于电磁泄露，产生信息泄露，干扰他人（或受他人干扰），本质上是保护系统的合法操作和正常运行。（２）网络上系统信息的安全，包括用户口令鉴别、用户存取权限控制、数据存取权限，方式控制、安全审计、安全问题跟踪、计算机病毒防治、数据加密等。上一页下一页返回７.１网络安全概述（３）网络上信息传播的安全，即信息传播后的安全，包括信息过滤等。它侧重于防止和控制非法、有害的信息传播后产生的后果。避免公用通信网络上大量自由传输的信息失控。本质上是维护道德、法则和国家利益。（４）网络上信息内容的安全，侧重于保护信息的保密性、真实性和完整性。避免攻击者利用系统的安全漏洞进行窃听、冒充和诈骗等有损于合法用户的行为。本质上是保护用户的利益和隐私。２.网络安全的主要特性网络安全从其本质上来讲就是网络上的信息安全。网络信息安全的五大特性如下。（１）可用性，是指可被授权实体访问并按需求使用。（２）完整性，是指数据未经授权不能进行改变。上一页下一页返回７.１网络安全概述（３）保密性，是指数据不泄露给非授权用户、实体或过程。（４）真实性，指通信双方在信息交互过程中，确信参与者本身，以及参与者所提供的信息的真实同一性，即所有参与者都不可能否认或抵赖本人的真实身份，以及提供信息的原样性和完成的操作与承诺。（５）可控性，是对网络信息的传播及内容具有控制能力的特性。凡是涉及计算机网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是计算机网络安全的研究领域。上一页下一页返回７.１网络安全概述７.１.２网络安全威胁与攻击１.网络安全面临的主要威胁由于计算机网络是一个复杂的系统，它包括软件系统、硬件系统、各类信息系统和使用以及管理这些信息资源的人。网络本身所具有的开放性，使得计算机网络的安全面临着各种各样的威胁，如系统安全漏洞、应用程序错误、搭线窃听、数据泄露与盗用、故意对数据或程序进行的破坏、病毒感染、网络攻击、自然灾害以及管理不善等。这些威胁对网络安全都会带来不同程度的影响，妨碍网络用户的正常使用。上一页下一页返回７.１网络安全概述根据各种网络威胁产生的原因，我们把网络威胁归纳为以下四类：软件系统自身的安全缺陷导致的威胁、非法进行网络操作带来的威胁、网络设施本身和运行环境因素的影响造成的威胁、网络规划和运行管理上的不完善带来的威胁。（１）软件系统自身的安全缺陷导致的威胁。①操作系统和应用软件自身存在着安全漏洞。如现在使用的操作系统（Ｗｉｎｄｏｗｓ、ＵＮＩＸ等）都或多或少存在安全漏洞，各类服务端软件、浏览器、一般桌面软件等都曾发现存在安全隐患。可以说任何一个软件系统都可能因设计中的缺陷而产生漏洞，这是影响网络安全的主要原因之一。上一页下一页返回７.１网络安全概述②网络环境中的网络协议存在安全漏洞。各类主机中都会运行着这种或那种网络协议，如ＴＣＰ／ＩＰ、ＩＰＸ／ＳＰＸ等。由于这些网络协议并非专门为安全通信而设计，缺乏相应的安全机制，系统中的安全漏洞或“后门”也不可避免地存在。许多非法入侵、攻击和病毒传播往往就是利用协议的这些漏洞来对网络系统或用户进行破坏。（２）非法进行网络操作带来的威胁。非法进行网络操作主要是指人为地、有意识地对网络设备和服务进行恶意攻击，监听窃取网络用户账号和密码，非法使用网络资源，引入各种网络病毒破坏用户系统和数据，使用恶意代码大量占用网络资源，使网络运行效率降低，严重时将直接导致整个网络系统瘫痪。上一页下一页返回７.１网络安全概述目前网络上类似这种危害种类有很多，造成的危害十分巨大，较常见的有以下几种。①拒绝服务类的攻击。这类攻击主要是由于网络中的一个程序或节点占用了大量系统资源，以致没有剩余的资源给其他用户，从而系统不能为其他用户提供正常的服务，甚至停止服务。比如“邮件炸弹”就是一种拒绝服务攻击，它会使用户在短时间内收到大量邮件，从而导致邮件服务器瘫痪。②非授权访问网络资源。在未经许可的情况下访问网络资源，如有意避开系统访问控制机制，对网络设备和资源进行非正常操作使用，或擅自扩大权限，越权访问信息。主要有以下几种形式：通过网络监听获取网上用户的账号和密码，非法获取网上传输的数据；通过隐蔽通道进行篡改、删除数据等非法活动；非法用户以未授权方式进行操作等。这些都可能破坏信息系统的完整性、机密性和可用性。上一页下一页返回７.１网络安全概述③网络病毒。利用网络传播病毒，其破坏性远大于单机系统，而且用户很难防范。目前，网络型病毒一般是利用Ｉｎｔｅｒｎｅｔ的开放性、操作系统以及各类应用程序的漏洞来进行传播，或对计算机系统进行攻击。近年来网络病毒的发展趋势迅猛，除宏病毒外，基本都是属于网络型病毒。网络病毒具有利用网络中软件系统的缺陷，进行自我复制和主动传播的特点。如蠕虫（Ｗｏｒｍ）病毒就是利用软件系统漏洞，通过分布式网络来扩散、传播的。受这种病毒的影响，网络数据信息遭到破坏，无用数据占用大量网络带宽，严重时，可能致使网络服务中断。网络型病毒的传播速度快、危害范围广，为了防范它往往要对某些网络功能进行限制。另外，“木马”（也叫特洛伊木马）类病毒危害性也十分巨大，这类病毒通常与黑客有联系，被黑客利用来作为窃取信息以及非法使用资源的工具。上一页下一页返回７.１网络安全概述（３）网络设施本身和运行环境因素影响造成的威胁。计算机网络是通过各类传输介质连接不同地域的计算机或终端而形成的网络，恶劣的环境对计算机网络会产生不良影响。例如温度、湿度、防尘条件、地震、风灾、水灾等自然灾害，强电、强磁场环境以及突发事故等都会对网络造成严重的损害和影响，甚至使网络陷于瘫痪。计算机、网络设备、传输线路等的故障损坏同样也会给网络的安全造成威胁。（４）网络规划和运行管理上的不完善带来的威胁。网络规划、网络系统设计不合理，系统配置策略考虑不周，设备功能不完善，缺少必要的数据备份措施等都会给网络正常运行带来威胁。上一页下一页返回７.１网络安全概述２.黑客常用的攻击手段在谈到网络安全时，来自人为的攻击是一个不容忽视的威胁，这里的人指的就是黑客（Ｈａｃｈｅｒ），黑客是一类极具代表性的群体。一般认为，黑客起源于２０世纪５０年代的麻省理工学院实验室，这些人精力充沛，热衷于解决难题。那个年代，“黑客”一词极富褒义，用于指那些独立思考、奉公守法的计算机迷，他们智力超群，全身心投入计算机研究。从事黑客活动意味着对计算机的最大潜力进行智力上的自由探索，为计算机技术的发展做出了一定的贡献。另外，还有一类被称为骇客（Ｃｒａｋｅ）的群体，他们是那些利用网络漏洞破坏网络的人，与黑客不同的是他们以破坏为目的。上一页下一页返回７.１网络安全概述黑客对网络的攻击手段可以说是多种多样，下面介绍几种常见的攻击手段。（１）通过获取口令，进行口令入侵。口令入侵就是使用合法用户的账号和口令进入到目标主机，然后再进行攻击或破坏活动。一般情况下，这种方法首先在得到准备攻击主机的某个合法用户账号后，再进行破解该账号对应的口令。不难想象，如果系统口令被入侵者非法获取，就意味着信息系统无安全可言，数据资料可被人任意阅读、修改和删除，系统的运行受到控制。这是网络管理者和合法的网络用户所不愿遇到的情况。目前获取口令的常见方法有以下几种。上一页下一页返回７.１网络安全概述一是通过网络监听非法得到用户口令。因为很多协议没有采取加密或身份认证技术，如Ｔｅｌｎｅｔ、ＦＴＰ、ＨＴＴＰ、ＳＭＴＰ等协议中，用户账号和口令信息都是以文明格式传输的，此时很容易被人利用数据包截获工具获得用户的账号和口令。另外，监听者往往能够获得其所在网段内所有用户账号和口令，对局域网安全威胁巨大。二是在知道用户的账号后，利用一般人设置口令的习惯特征或利用一些专门软件强行破解用户口令（或称暴力破解法），这种方法不受网段限制，但黑客要有足够的耐心和时间。三是获得一个服务器上的用户口令文件，如ＵＮＩＸ操作系统中，用户的基本信息都存放在ｐａｓｓｗｏｒｄ文件中，而所有的口令经过ＤＥＳ加密方法加密后专门放在一个叫ｓｈａｄｏｗ的文件中。黑客获得口令ｓｈａｄｏｗ文件后，就可以用暴力破解程序破解用户口令。上一页下一页返回７.１网络安全概述（２）放置特洛伊木马程序进行攻击。特洛伊木马是一个包含在一个合法程序中的非法程序。该非法程序被用户在不知情的情况下执行。一般的木马都有客户端和服务器端两个执行程序，其中客户端是攻击者用于远程控制植入木马的被攻击主机，服务器端程序即是木马程序。攻击者在通过木马攻击系统时，最重要的一步就是把木马的服务器程序植入到被攻击的目标计算机里。（３）拒绝服务攻击。造成拒绝服务（ＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ，ＤｏＳ）的攻击，其目的是使计算机或网络无法提供正常的服务。最常见的ＤｏＳ攻击有计算机网络带宽攻击和连通性攻击。带宽攻击指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，最后导致合法的用户请求就无法通过。连通性攻击指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。上一页下一页返回７.１网络安全概述（４）电子邮件攻击。电子邮件攻击主要表现为两种方式：一是电子邮件“炸弹”，它是通过伪造的ＩＰ地址和电子邮件地址向同一信箱发送数以千计、万计甚至无穷多次内容相同的垃圾邮件，致使受害人邮箱被“炸”，严重者可能会给电子邮件服务器操作系统带来危险，甚至瘫痪；二是电子邮件欺骗，攻击者佯称自己为系统管理员（邮件地址和系统管理员完全相同），给用户发送邮件要求用户修改口令（口令可能为指定字符串）或在貌似正常的附件中加载病毒或其他木马程序，针对这类欺骗，只要用户提高警惕，一般危害性不是太大。（５）采取欺骗技术进行攻击。目前，欺骗技术也是黑客用来攻击系统的一种手段，下面简单介绍其中两种。上一页下一页返回７.１网络安全概述①ＩＰ欺骗：ＩＰ欺骗是适用于ＴＣＰ／ＩＰ环境的一种复杂的技术攻击，它由若干部分和若干步骤组成。首先选定攻击的目标主机Ａ；其次发现信任模式，并找到了一个被目标主机Ａ信任的主机Ｂ；黑客为了进行ＩＰ欺骗，必须使得被信任的主机Ｂ丧失工作能力，同时采样目标主机发出ＴＣＰ序列号，猜测出它的数据序列号；然后，伪装成被信任的主机Ｂ，同时建立起与目标主机Ａ基于地址验证的应用连接；如果成功，黑客可以使用一种简单的命令在目标主机Ａ中放置一个系统后门，以进行非授权操作。②ＷＷＷ欺骗：在网络上用户可以利用ＩＥ等浏览器进行各种各样的Ｗｅｂ站点的访问，如阅读新闻组、咨询产品价格、订阅报纸、电子商务等。然而一般的用户恐怕不会想到有这些问题存在：正在访问的网页已经被黑客篡改过，网页上的信息是虚假的。上一页下一页返回７.１网络安全概述（６）寻找系统漏洞，入侵系统。许多系统都有这样那样的安全漏洞，其中某些是操作系统或应用软件本身所具有的，这些漏洞在补丁未被开发出来时一般很难防御黑客的破坏。还有就是有些程序员设计一些功能复杂的程序时，一般采用模块化的程序设计思想，将整个项目分割为多个功能模块，分别进行设计、调试，这时后门就是一个模块的秘密入口。在程序开发阶段，后门便于测试、更改和增强模块功能。正常情况下，完成设计之后需要去掉各个模块的后门，不过有时由于疏忽或者其他原因（如将其留在程序中，便于日后访问、测试或维护）后门没有去掉，一些别有用心的人会利用专门的扫描工具发现并利用这些后门，然后进入系统并发动攻击。另外，一些漏洞是由于系统管理员配置错误引起的，如在网络文件系统中，将目录和文件以可写的方式调出，这都会给黑客带来可乘之机，应及时加以修正。上一页下一页返回７.１网络安全概述（７）利用缓冲区溢出攻击系统。缓冲区是内存中存放数据的地方。在程序试图将数据放到计算机内存中的某一位置，但没有足够空间时，会产生缓冲区溢出的信息。缓冲区是程序运行时计算机内存中的一个连续的块。它保存了给定类型的数据。问题随着动态分配变量而出现。为了不用太多的内存，一个有动态分配变量的程序在程序运行时才决定给它们分配多少内存。如果程序在动态分配缓冲区放入太多的数据就会发生溢出现象，溢出到别的地方。一个缓冲区溢出应用程序使用这个溢出的数据将汇编语言代码放到计算机的内存中，通常是产生ｒｏｏｔ权限的地方。单纯的缓冲区溢出，并不会产生安全问题。只有将溢出送到能够以ｒｏｏｔ权限运行命令的区域才行。这样，一个缓冲区利用程序将能运行的指令放在了有ｒｏｏｔ权限的内存中，从而一旦运行这些指令，就是以ｒｏｏｔ权限控制计算机。上一页下一页返回７.１网络安全概述３.网络安全策略一个常用的网络安全策略模型是ＰＤＲＲ模型，如图７－１所示。ＰＤＲＲ是四个英文单词的首写字母的组合：Ｐｒｏｔｅｃｔｉｏｎ（防护）、Ｄｅｔｅｃｔｉｏｎ（检测）、Ｒｅｓｐｏｎｓｅ（响应）和Ｒｅｃｏｖｅｒｙ（恢复）。（１）防护。安全策略的第一关就是防护。防护就是根据系统已知的可能的安全问题采取一些预防措施，如打补丁、访问控制、数据加密等，不让攻击者顺利入侵。防护是ＰＤＲＲ模型中最重要的部分，防护可以预防大多数的入侵事件。防护可分为三类：系统安全防护、网络安全防护和信息安全防护。上一页下一页返回７.１网络安全概述（２）检测。安全策略的第二关是检测。攻击者如果穿过防护系统，检测系统就会检测出来。如检测入侵者的身份，包括攻击源、系统损失等。防护系统可以阻止大多数的入侵事件，但不能阻止所有的入侵事件，特别是那些利用新的系统缺陷、新攻击手段的入侵。如果入侵事件发生，就启动检测系统进行检测，该系统叫作ＩＤＳ（入侵检测系统）。（３）响应。检测关一旦检测出入侵，响应系统则开始响应，进行事件处理。ＰＤＲＲ中的响应就是在已知入侵事件发生后，进行紧急响应（事件处理）。响应工作由特殊部门（计算机紧急响应小组）负责。世界上第一个计算机紧急响应小组叫“ＣＥＲＴ”，我国的第一个计算机紧急响应小组叫“ＣＣＥＲＴ”。上一页下一页返回７.１网络安全概述（４）恢复。安全策略ＰＤＲＲ的最后一关就是系统恢复。恢复是指事件发生后，把系统恢复到原来状态或比原来更安全的状态。恢复也分为系统恢复和信息恢复两方面的内容。系统恢复是指修补缺陷和消除后门。修补事件所利用的系统缺陷，不让黑客再利用这些缺陷入侵系统。一般，系统恢复包括系统升级、软件升级和打补丁。消除后门是系统恢复的另一种重要工作。一般来说，黑客第一次入侵是利用系统缺陷，在入侵成功后，黑客就在系统中留下一些后门，如安装木马程序。因此尽管缺陷被补丁修复，黑客还可以再通过他留下的后门入侵。信息恢复是指恢复丢失的数据。丢失的数据可能是由于黑客入侵所致，也可能是由于系统故障、自然灾害等原因所致。每次入侵事件发生后，防护系统都要更新，保证同类入侵事件不再发生。所以整个安全策略的这四关组成了一个信息安全周期。上一页返回７.２常用网络安全技术７.２.１密码技术１.加密技术的基本概念早在４００多年前，人类就已经有了使用密码技术的记载，最早的密码技术源自于隐写术。用明矾水在白纸上写字，当水迹干了之后，就什么也看不到了，而在火上烤时就会显示出来。在现代生活中，随着计算机网络的发展，用户之间信息的交流大多都是通过网络进行的。用户在计算机网络上进行通信，一个主要的威胁就是所传送的数据被非法窃听，如搭线窃听、电磁窃听等。为了保证数据传输的隐蔽性，通常的做法是先采用一定的算法对要发送的数据进行加密，这样即使在传输过程中报文被截获，对方一时也难以破译而获得其中的信息，从而保证了信息的安全性。数据加密技术不仅具有对信息加密的功能，还具有数字签名、身份验证、秘密分享、系统安全等功能。所以使用数据加密技术不仅可以保证信息的安全，还可以保证信息的完整和正确。下一页返回７.２常用网络安全技术密码学是以研究数据保密为目的，对存储或传输的信息采取秘密的交换防止第三者对信息的窃取。密码是实现秘密通信的主要元素（手段），是隐蔽语言、文字、图像的特种符号。凡是用特种符号按照通信双方约定的方法把数据（电文）的原形隐蔽起来，不为第三者所识别的通信方式都称为密码通信，通信过程如图７－２所示。在计算机通信中，采用密码技术将信息隐蔽起来，再将隐蔽后的信息传输出去，使信息在传输过程中即使被窃取或截获，窃取者也不能了解信息的内容，从而保证信息传输的安全。上一页下一页返回７.２常用网络安全技术２.常用的信息加密技术目前常用到的信息加密技术有对称密钥技术、非对称密钥技术两种，下面做简单介绍。（１）对称密钥。所谓对称密钥就是加密和解密用的密钥是相同的。当一个文本要加密传送时，该文本用密钥加密成密文，密文在信道上传送，收到密文后用同一密钥将密文解出来，形成普通文体供阅读。对称密钥通信模型如图７－３所示。在对称密钥中，密钥的管理极为重要，一旦密钥丢失，密文将无密可保。对称密钥是最古老的，一般说的“密电码”采用的就是对称密钥。由于对称密钥运算量小、速度快、安全强度高，因此目前仍被广泛采用。对称加密系统最著名的是美国数据加密标准ＤＥＳ、ＡＥＳ（高级加密标准）和欧洲数据加密算法ＩＤＥＡ。上一页下一页返回７.２常用网络安全技术（２）非对称密钥。所谓非对称密钥，指的是加密用的密钥和解密用的密钥不同，虽然两者之间存在一定的联系，但不可能轻易地从一个推导出另一个。不对称密钥由于两个密钥（加密密钥和解密密钥）各不相同，因而将一个密钥（公钥）公开，而将另一个密钥（私钥）保存，同样可以起到加密的作用。公开密钥通信模型如图７－４所示。比较著名的公钥密码算法有：ＲＳＡ、背包密码、ＭｃＥｌｉｅｃｅ密码、ＤｉｆｆｅＨｅｌｌｍａｎ、Ｒａｂｉｎ算法等。最有影响的公钥密码算法是ＲＡＳ，它能抵抗到目前为止已知的所有密码攻击。上一页下一页返回７.２常用网络安全技术３.常用加密算法数据加密算法有很多，密码算法标准化是信息化社会发展的必然趋势，是世界各国保密通信领域的一个重要课题。按照发展进程来看，密码经历了古典密码、对称密码和公开密钥密码三个阶段。古典密码算法有替代加密、置换加密；对称加密算法包括ＤＥＳ和ＡＥＳ；非对称加密算法包括ＲＳＡ、背包密码、ＭｃＥｌｉｅｃｅ密码、Ｒａｂｉｎ、椭圆曲线等。目前在数据通信中使用最普遍的算法有ＤＥＳ算法、ＲＳＡ算法等。（１）ＤＥＳ（ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ，数据加密标准）加密算法。上一页下一页返回７.２常用网络安全技术数据加密标准（ＤＥＳ）是经长时间征集和筛选后，于１９７７年由美国国家标准局颁布的一种加密算法。它主要用于民用敏感信息的加密，后来被国际标准化组织接受作为国际标准。ＤＥＳ主要采用替换和移位的方法加密。它用５６位密钥对６４位二进制数据块进行加密，每次加密可对６４位的输入数据进行１６轮编码，经一系列替换和移位后，输入的６４位原始数据转换成完全不同的６４位输出数据。（２）ＲＳＡ算法。ＲＳＡ（公开密钥算法）适用于数字签名和密钥交换。ＲＳＡ加密算法是目前应用最广泛的公钥加密算法，特别适用于通过Ｉｎｔｅｒｎｅｔ传送的数据。上一页下一页返回７.２常用网络安全技术ＲＳＡ算法的优点是密钥空间大，缺点是加密速度慢，如果ＲＳＡ和ＤＥＳ结合使用，则正好弥补ＲＳＡ的缺点。即ＤＥＳ用于明文加密，ＲＳＡ用于ＤＥＳ密钥的加密。由于ＤＥＳ加密速度快，适合加密较长的报文，而ＲＳＡ可解决ＤＥＳ密钥分配的问题。４.加密技术的应用加密技术的应用有多方面，但最为广泛的还是在电子商务和ＶＰＮ上的应用，下面分别进行简述。（１）加密技术在电子商务方面的应用。电子商务（Ｅ－ｂｕｓｉｎｅｓｓ）要求顾客可以在网上进行各种商务活动，不必担心自己的信用卡会被人盗用。在过去，用户为了防止信用卡的号码被窃取，一般是通过电话订货，然后使用用户的信用卡进行付款。现在人们开始用ＲＳＡ加密技术，提高信用卡交易的安全性，从而使电子商务走向实用成为可能。上一页下一页返回７.２常用网络安全技术（２）加密技术在ＶＰＮ中的应用。现在越来越多的公司向多元化、国际化方向发展，一个公司可能在多个国家都有办事机构或销售中心，每一个机构都有自己的局域网（ＬＡＮ），同时也希望将这些ＬＡＮ连接在一起组成一个公司的广域网。事实上，很多公司早已经这样做了。原来一般使用租用专用线路来连接这些局域网，他们考虑的就是网络的安全问题。现在具有加密／解密功能的路由器技术已趋于成熟，这就使人们通过互联网连接这些局域网成为可能。当数据离开发送者所在的局域网时，该数据首先被用户端连接到互联网上的路由器进行硬件加密，数据在互联网上是以加密的形式传送的，当到达目的ＬＡＮ路由器时，该路由器就会对数据进行解密，这样目标ＬＡＮ中的用户就可以看到真正的信息。上一页下一页返回７.２常用网络安全技术７.２.２认证技术信息的可认证性是信息安全的另一个重要方面。认证的目的有两个：一个是验证信息发送者的真实性，确认他没有被冒充；另一个是验证信息的完整性，确认被验证的信息在传递或存储过程中没有被篡改、重组或延迟。认证是防止敌手对系统进行主动攻击（如伪造、篡改信息等）的一种重要技术。认证技术主要包括数字签名、身份识别和信息的完整性校验等技术。在认证体制中，通常存在一个可信的第三方，用于仲裁、颁发证书和管理某些机密信息。常用的信息认证技术主要有数字签名、数字证书等。上一页下一页返回７.２常用网络安全技术１.数字签名数字签名就是通过一个单向函数对要传送的报文进行处理，得到的用以认证报文来源并核实报文是否发生变化的一个字母数字串。用这个字符串来代替书写签名或印章，起到与书写签名或印章同样的法律效用。国际社会已开始制定相应的法律、法规，把数字签名作为执法的依据。目前的数字签名（ＤｉｇｉｔａｌＳｉｇｎａｔｕｒｅ）是建立在公开密钥体制基础上，它是公开密钥加密技术的另一类应用。上一页下一页返回７.２常用网络安全技术其使用方式是：报文的发送方从报文文本中生成一个１２８位或１６０位的单向散列值（或报文摘要），并用自己的私有密钥对这个散列值进行加密，形成发送方的数字签名，然后，将这个数字签名作为报文的附件和报文一起发送给报文的接收方；报文的接收方首先从接收到的原始报文中计算出散列值（或报文摘要），接着再用发送方的公开密钥来对报文附加的数字签名进行解密，如果这两个散列值相同，那么接收方就能确认该数字签名是发送方的。数字签名的具体实现过程如图７－５所示。上一页下一页返回７.２常用网络安全技术２.数字证书数字证书就是互联网通信中标志通信各方身份信息的一系列数据，提供了一种在Ｉｎｔｅｒ-ｎｅｔ上验证身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。它是由一个权威机构———ＣＡ机构，又称为证书授权（ＣｅｒｔｉｆｉｃａｔｅＡｕｔｈｏｒｉｔｙ）中心发行的，ＣＡ是负责签发证书、认证证书、管理已颁发证书的机关。它需要制定政策和具体步骤来验证、识别用户身份，并对用户证书进行签名，以确保证书持有者的身份和公钥的拥有权。ＣＡ也拥有一个证书（内含公钥）和私钥。网上的公众用户通过验证ＣＡ的签字从而信任ＣＡ，任何人都可以得到ＣＡ的证书（含公钥），用以验证它所签发的证书。上一页下一页返回７.２常用网络安全技术一个标准的Ｘ.５０９数字证书包含以下内容。①证书的版本信息。②证书的序列号，每个证书都有一个唯一的证书序列号。③证书所使用的签名算法。④证书的发行机构名称，命令规则一般采用Ｘ.５００格式。⑤证书的有效期，现在通用的证书一般采用ＵＴＣ时间格式，它的计时范围为１９５０—２０４９年。⑥证书所有人的名称，命名规则一般采用Ｘ.５００格式。⑦证书所有人的公开密钥。⑧证书发行者对证书的签名。上一页下一页返回７.２常用网络安全技术７.２.３防火墙技术Ｉｎｔｅｒｎｅｔ的迅速发展和普及应用，为人们检索和共享信息资源提供了方便，但随之而来的是对信息资源的污染和破坏变得更容易了。为了保护数据和资源的安全，人们创建了防火墙。就像建筑防火墙或护城河能够保护建筑物及其内部资源安全或保护城市免受侵害一样，网络防火墙能够防止外部网络上的各种危害侵入到内部网络。上一页下一页返回７.２常用网络安全技术１.防火墙概述网络防火墙是企业内部网和外部网（Ｉｎｔｅｒｎｅｔ）之间所设立的执行访问控制策略的安全系统，它在内部网和Ｉｎｔｅｒｎｅｔ之间设置控制，以阻止外界对内部资源的非法访问。此外也可以防止内部对外部的不安全访问。设置防火墙的思想就是在内部、外部两个网络之间建立一个具有安全控制机制的安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对内部网服务和访问的安全审计和控制。企业网中的常见防火墙部署位置如图７－６所示。上一页下一页返回７.２常用网络安全技术一般情况下，防火墙具有以下功能。（１）防火墙是网络安全的屏障。防火墙作为内、外网之间的阻塞点、控制点，能极大地提高内部网络的安全性，执行集中化的安全管理策略。它能过滤那些不安全的服务和非法用户，强制执行网络管理人员所设计的安全策略，只有预先被允许的服务才能通过防火墙，从而保护了那些易受攻击的服务，降低了其受到非法攻击的风险，大大提高了网络的安全性。（２）防火墙能控制对特殊站点的访问。利用防火墙可以让内部网络的某些主机能被外部网络访问，而有些则要被保护起来，防止不必要的访问。同样，对于外网中的一些不健康的网站，也可以通过防火墙访问策略的设置，禁止内部网络用户的访问。上一页下一页返回７.２常用网络安全技术（３）对网络存取访问进行记录和统计。防火墙能记录下所有经过防火墙的访问，并提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行相应的警告，并提供网络是否受到监测和攻击的详细信息。收集这些统计数据和信息对网络需求分析和威胁分析都是非常重要的。一方面可以了解网络的使用情况，清楚防火墙是否能够抵挡入侵者的探测和入侵；另一方面还可以确定防火墙的控制是否充足。（４）防止内部网络信息的外泄。利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制重点或敏感网络安全问题对整个内部网络造成的影响。另外，隐私是内部网络非常关心的问题，一个内部网中不引人注意的细节往往包含了有关安全的线索，从而导致外部入侵者的入侵，攻击内部网络提供的服务和主机。而使用防火墙就可以隐蔽内部网络的结构和细节，以此来保护内部网络。上一页下一页返回７.２常用网络安全技术（５）地址转换（ＮＡＴ）。ＮＡＴ（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓＴｒａｎｓｌａｔｉｏｎ）的功能，指负责将私有的ＩＰ地址转换为合法的ＩＰ地址（经过申请的ＩＰ地址）进行通信。在一个网络内部，根据需要可以随意自定义私有的ＩＰ地址，而不需要经过申请。在网络内部，各计算机之间通过私有的ＩＰ地址进行通信。而当内部的计算机要与外部Ｉｎｔｅｒｎｅｔ进行通信时，具有ＮＡＴ功能的设备（比如路由器）就可以实现地址转换的功能。管理员可以决定哪些ＩＰ地址需要映射成能够接入Ｉｎｔｅｒｎｅｔ的有效地址；哪些地址被屏蔽掉，不能接入Ｉｎｔｅｒｎｅｔ。上一页下一页返回７.２常用网络安全技术２.防火墙技术目前在实际应用中所使用的防火墙产品有很多，但从其采用的技术来看主要包括两类：网络层防火墙技术和应用层防火墙技术。具体来说主要包括包过滤防火墙和代理服务器防火墙。（１）包过滤防火墙。网络层防火墙技术根据网络层和传输层的原则对传输的信息进行过滤。网络层技术的一个范例就是包过滤技术。因此，在网络层实现的防火墙也叫包过滤防火墙，如图７－７所示。包过滤防火墙是在网络的出口（如路由器）对通过的数据包进行选择，只有满足条件的数据包才允许通过，否则被丢弃。这样可以有效地防止恶意用户利用不安全的服务对内部网络进行攻击。上一页下一页返回７.２常用网络安全技术（２）代理服务器防火墙。应用层防火墙技术控制对应用程序的访问。应用层防火墙也称为代理服务器防火墙，它能够代替网络用户完成特定的ＴＣＰ／ＩＰ功能。一个代理服务器本质上是一个应用层的网关，即一个为特定网络应用而连接两个网络的网关。用户就某一项的ＴＣＰ／ＩＰ应用（如ＨＴＴＰ），同代理服务器打交道，代理服务器要求用户提供其要访问的外部Ｉｎｔｅｒｎｅｔ主机名。当用户答复并提供了正确的用户身份及认证信息后，代理服务器建立与外部Ｉｎｔｅｒｎｅｔ主机的连接，为两个通信点充当中继。代理服务器防火墙分别与内部和外部系统连接，不允许信息越过防火墙而传输，整个过程可以对用户完全透明。用户提供的用户身份及认证信息可用于用户级的认证，最简单的情况是它只由用户标识和口令构成，但是如果防火墙是通过Ｉｎｔｅｒｎｅｔ可访问的，应该使用更强的认证机制。上一页下一页返回７.２常用网络安全技术代理服务器防火墙还能记录通过它的一些信息，如什么用户在什么时间访问过什么站点。这些审计信息可以帮助网络管理员识别网络间谍。有些代理服务器还可存储Ｉｎｔｅｒｎｅｔ上那些被频繁访问的页面，这样当用户请求访问这些页面时，服务器本身就能提供这些页面而不必连接到Ｉｎｔｅｒｎｅｔ上的服务器，从而缩短了访问这些页面的内部响应时间。许多代理服务器防火墙除了提供代理请求服务外，还提供网络层信息过滤的功能，如图７－８所示。（３）防火墙的选购。防火墙作为网络安全体系的基础和核心控制设备，它贯穿于受控网络通信主干线，对通过受控干线的任何通信行为进行安全处理，如控制、审计、报警、反应等，同时也承担着繁重的通信任务。由于其自身处于网络系统中的敏感位置，还要面对各种安全威胁，因此，选用一个安全、稳定和可靠的防火墙产品，其重要性不言而喻。下面从几个方面探讨选购防火墙时应该注意的问题。上一页下一页返回７.２常用网络安全技术①防火墙自身是否安全。防火墙自身的安全性主要体现在自身设计和管理两个方面。设计的安全性关键在于操作系统，只有自身具有完整信任关系的操作系统才可以谈论系统的安全性。而应用系统的安全是以操作系统的安全为基础的，同时防火墙自身的安全实现也直接影响系统整体的安全性。②系统是否稳定。就一个成熟的产品来说，系统的稳定性是最基本的要求。由于种种原因，有些防火墙尚未最后定型或尚未经过严格的大量测试就被推向了市场，这样一来其稳定性可想而知。防火墙的稳定性情况从厂家的宣传材料中是看不出来的，但可以通过权威的测评认证机构、实际调查、试用、厂商实力等多个方面加以判断。上一页下一页返回７.２常用网络安全技术③是否高效。高性能是防火墙的一个重要指标，它直接体现了防火墙的可用性，也体现了用户使用防火墙所需付出的安全代价。如果由于使用防火墙而带来了网络性能较大幅度地下降，就意味着安全代价过高，用户是无法接受的。一般来说，防火墙加载上百条规则，其性能下降不应超过５％～１０％（指包过滤防火墙）。④是否可靠。可靠性对防火墙类访问控制设备来说尤为重要，它将直接影响受控网络的可用性。从系统设计上来讲，提高可靠性的措施一般是提高本身部件的强健性、增大设计阈值和增加冗余部件，这要求有较高的生产标准和设计冗余度，如使用工业标准、电源热备份、系统热备份等。上一页下一页返回７.２常用网络安全技术⑤是否功能灵活。对通信行为的有效控制，要求防火墙设备具有一系列不同级别的，满足不同用户的各类安全控制需求的控制注意。控制注意的有效性、多样性、级别目标的清晰性、制定的难易性和经济性等，体现着控制注意的效率和质量。例如，对普通用户，只需要对ＩＰ地址进行过滤即可；如果是内部有不同安全级别的子网，有时则必须允许高级别子网对低级别子网进行单向访问；如果还有移动用户，如出差人员，还要求能根据用户身份进行过滤。上一页下一页返回７.２常用网络安全技术⑥是否配置方便。在网络入口和出口处安装新的网络设备是每个网管员感到头疼的事情，因为这意味着必须修改几乎全部现有设备的配置，还面临着系统运行不稳定的可能。其实有时并不是设备有问题，而是网络经过长期运行后，内部情况极其复杂，做任何改动都需要一段整合期。如果防火墙是支持透明通信的防火墙，它依旧接在网络的入口和出口处，但是在安装时不需要对原网络配置做任何改动，所做的工作只相当于接一个网桥或集线器。需要时，两端一连线就可以工作；不需要时，将网线恢复原状即可。目前市场上支持透明模式的防火墙较多，在选购时需要仔细鉴别。上一页下一页返回７.２常用网络安全技术⑦管理是否简单。网络技术发展速度很快，但随之而来的是各种安全事件的不断出现，这就要求安全管理员经常调整网络安全注意方向。对于防火墙类访问控制设备，除安全控制注意方向的不断调整外，业务系统访问控制的调整也很频繁，这些都要求防火墙的管理在充分考虑安全需求的前提下，必须提供方便灵活的管理方式和方法。⑧是否可以抵抗拒绝服务攻击。在当前的网络攻击中，拒绝服务攻击是使用频率较高的方法，Ｙａｈｏｏ等网站曾遭受的就是拒绝服务类攻击。拒绝服务攻击可以分为两类：一类是由于操作系统或应用软件本身设计或编程上的缺陷而造成的，由此带来的攻击种类很多，只有通过打补丁的方法来解决；另一类是由于ＴＣＰ／ＩＰ本身的缺陷造成的，虽然只有少数的种类，但危害性非常大，如ＳｙｎＦｌｏｏｄｉｎｇ等。上一页下一页返回７.２常用网络安全技术⑨是否可以针对用户身份进行过滤。防火墙过滤报文时，最基础的是针对ＩＰ地址进行过滤。但是，ＩＰ是非常容易修改的，只要知道内部网里可以穿过防火墙的用户，那么将自己的ＩＰ改成和该用户的一样就可以了。因此防火墙需要一个针对用户身份而不是ＩＰ进行的过滤的方法。⑩是否可扩展、可升级。用户的网络不是一成不变的，开始可能主要是在公司内部网和外部网之间做过滤，随着业务的发展，公司内部可能具有不同安全级别的子网，这就需要在这些子网之间做过滤。市面上有的防火墙一般标配三个网络接口，分别接外部网、内部网和ＤＭＺ，因此在购买防火墙时必须问清楚，是否可以增加网络接口，因为有些防火墙设计成只支持三个接口的，不具有扩展性。上一页下一页返回７.２常用网络安全技术７.２.４入侵检测技术入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。进行入侵检测的软件与硬件的组合便是入侵检测系统（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ，简称ＩＤＳ）。上一页下一页返回７.２常用网络安全技术入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。这些都是通过它执行以下任务来实现。①监视、分析用户及系统活动。②系统构造和弱点的审计。③识别反映已知进攻的活动模式并向相关人士报警。上一页下一页返回７.２常用网络安全技术④异常行为模式的统计分析。⑤评估重要系统和数据文件的完整性。⑥操作系统的审计跟踪管理，并识别用户违反安全策略的行为。对一个成功的入侵检测系统来讲，它不但可使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更，还能给网络安全策略的制订提供指南。更为重要的是，它应该管理、配置简单，从而使非专业人员非常容易地获得网络安全。而且，入侵检测的规模还应根据网络威胁、系统构造和安全需求的改变而改变。入侵检测系统在发现入侵后，会及时做出响应，包括切断网络连接、记录事件和报警等。上一页下一页返回７.２常用网络安全技术１.信息收集入侵检测的第一步是信息收集，内容包括系统、网络、数据及用户活动的状态和行为。而且，需要在计算机网络系统中的若干不同关键点（不同网段和不同主机）收集信息，这除了尽可能扩大检测范围的因素外，还有一个重要的因素就是从一个源来的信息有可能看不出疑点，但从几个源来的信息的不一致性是可疑行为或入侵的最好标识。入侵检测利用的信息一般来自以下四个方面。（１）系统和网络日志文件。黑客经常在系统日志文件中留下他们的踪迹，因此，充分利用系统和网络日志文件信息是检测入侵的必要条件。日志中如果包含有发生在系统和网络上的不寻常和不期望活动的证据，那这些证据就可以指出有人正在入侵或已成功入侵了系统。通过查看日志文件，能够发现入侵或入侵企图，并很快地启动相应的应急响应程序。上一页下一页返回７.２常用网络安全技术（２）目录和文件中的不期望的改变。网络环境中的文件系统包含很多软件和数据文件，其中包含重要信息的文件和私有数据文件经常是黑客修改或破坏的目标。目录和文件中的不期望的改变（包括修改、创建和删除），特别是那些正常情况下限制访问的，很可能就是一种入侵产生的指示和信号。黑客经常替换、修改和破坏他们获得访问权的系统上的文件，同时为了隐藏系统中他们的表现及活动痕迹，都会尽力去替换系统程序或修改系统日志文件。（３）程序执行中的不期望行为。网络系统上的程序执行一般包括操作系统、网络服务、用户启动的程序和特定目的的应用，例如数据库服务器。每个在系统上执行的程序都是由一到多个进程来实现的，而每个进程执行在具有不同权限的环境中，这种环境控制着进程可访问的系统资源、程序和数据文件等。上一页下一页返回７.２常用网络安全技术（４）物理形式的入侵信息。这包括两个方面的内容：一是未授权的对网络硬件连接；二是对物理资源的未授权访问。黑客会想方设法去突破网络的周边防卫，如果他们能够在物理上访问内部网，就能安装他们自己的设备和软件。据此，黑客就可以知道网上的由用户加上去的不安全（未授权）设备，然后利用这些设备访问网络。２.信号分析对上述四类收集到的有关系统、网络、数据及用户活动的状态和行为等信息，一般通过三种技术手段进行分析：模式匹配、统计分析和完整性分析。其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。上一页下一页返回７.２常用网络安全技术（１）模式匹配。模式匹配就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。该过程可以很简单（如通过字符串匹配以寻找一个简单的条目或指令），也可以很复杂（如利用正规的数学表达式来表示安全状态的变化）。一般来说，一种进攻模式可以用一个过程（如执行一条指令）或一个输出（如获得权限）来表示。该方法的一大优点是只需收集相关的数据集合，能够显著减少系统负担，且技术已相当成熟。它与病毒防火墙采用的方法一样，检测准确率和效率都相当高。但是，该方法存在的弱点是需要不断地升级以对付不断出现的黑客攻击手法，且不能检测到从未出现过的黑客攻击手段。上一页下一页返回７.２常用网络安全技术（２）统计分析。统计分析方法首先给系统对象（如用户、文件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失败次数和延时等）。测量属性的平均值将被用来与网络、系统的行为进行比较，任何观察值在正常值范围之外时，就认为有入侵发生。例如，统计分析可能标识一个不正常行为，因为它发现一个在晚八点至早六点不登录的账户却在凌晨两点试图登录。其优点是可检测到未知的入侵和更为复杂的入侵，缺点是误报、漏报率高，且不适应用户正常行为的突然改变。具体的统计分析方法如基于专家系统的、基于模型推理的和基于神经网络的分析方法，是目前的研究热点，正处于迅速发展之中。上一页下一页返回７.２常用网络安全技术（３）完整性分析。完整性分析主要关注某个文件或对象是否被更改，这经常包括文件和目录的内容及属性，它在发现被更改的、被特洛伊化的应用程序方面特别有效。完整性分析利用强有力的加密机制，称为消息摘要函数（如ＭＤ５），它能识别哪怕是微小的变化。其优点是不管模式匹配方法和统计分析方法能否发现入侵，只要成功的攻击导致了文件或其他对象的任何改变，它都能够发现。缺点是一般以批处理方式实现，不用于实时响应。尽管如此，完整性检测方法还应该是网络安全产品的必要手段之一。例如，可以在每一天的某个特定时间内开启完整性分析模块，对网络系统进行全面的扫描检查。上一页下一页返回７.２常用网络安全技术３.响应将分析结果记录在日志文件中，并产生相应的报告；触发警报，如在系统管理员的桌面上产生一个报警标志位，向系统管理员发送传呼或电子邮件等；修改入侵检测系统或目标系统，如终止进程、切断攻击者的网络连接，或更改防火墙配置等。上一页返回７.３网络病毒及其防范７.３.１计算机网络病毒的危害几乎每个人都听说过“计算机病毒”这个名词，使用过计算机的人大多也都“领教”过计算机病毒的厉害。特别是随着Ｉｎｔｅｒｎｅｔ的普及应用和各种计算机网络及相关技术的发展，计算机病毒越来越高级，种类也越来越多。对网络管理员来说，防御计算机病毒有时是比其他管理更困难的任务。因此，了解和预防计算机病毒的威胁显得格外重要，任何网络系统安全的讨论都要考虑到计算机病毒的因素。下一页返回７.３网络病毒及其防范１.计算机网络病毒的概念计算机病毒是人为蓄意制造的、以破坏为目的的程序，它寄生于其他应用程序或系统的可执行部分，通过部分修改或移动程序，将自我复制加入其中或占据源程序的一部分并隐藏起来，到一定时候或适当条件时发作，对计算机系统起到破坏作用。可以说，Ｉｎｔｅｒｎｅｔ是网络病毒滋生和传播的温床。２.计算机网络病毒的特点破坏性：计算机病毒的破坏性因计算机病毒的种类不同而差异很大。有的计算机病毒仅干扰软件的运行而不破坏该软件；有的可以毁掉部分数据或程序，使之无法恢复；有的恶意性病毒甚至可以毁坏整个系统，导致系统崩溃。上一页下一页返回７.３