计算机网络安全与防范策略

1、摘要信息技术的使用给人们的生活、工作带来了数不尽的便捷和好处，然而计算机信息技术也和其他技术一样是一把双刃剑。当大部分人们使用信息技术提高工作效率，为社会创造更多财富的同时，另外一些人利用信息技术却做着相反的事。他们非法入侵他人的计算机系统窃取机密信息、篡改和破坏数据，给社会造成难以估计的巨大损失。据统计全球约20秒钟就有一次计算机入侵事件发生，Internet上的网络防火墙约1/4被突破，约70%以上的网络信息主管人员报告机密信息泄露而受到了损失。网络安全是一个关系国家安全和主权、社会的稳定、民族文化的继承和发扬的重要问题，网络安全涉及到计算机科学、网络技术通信技术、密码技术、信息安全技术、

2、应用数学、数论、信息论等多种科学。本文对计算机网络安全的概念加以阐述，并对目前计算机网络存在的安全隐患进行了分析，探讨了针对计算机安全隐患的防范策略，同时深入探究各方面网络安全问题的解决，可以使读者得到对网络安全技术的深入了解。关键词：计算机网络；网络安全；防范策略；防火墙IAbstractThe use of information technology takes many benefits to peoples life and work, but the computer information technology is same with other technologies, l

3、ike a double-edged sword. While most people use information technology to improve efficiency and create more wealth for the community, others are doing the opposite. They invade computer systems to steal confidential information, data tampering and break pots, which will make tremendous loss to soci

4、ety. According to statistics, a global computer intrusion incidents will happen in 20 seconds, 1 / 4 of Internet firewall on the network are broken ,and about 70% of network information receive the loss. Network security is a matter of national security and sovereignty, social stability, democratic

5、culture, inherit and carries forward the important issue of network security related to computer science, network technology, communication technology, cryptography, information security technology, applied mathematics, number theory, information theory, etc. This text expatiates the concept of comp

6、uter network security, analyzes the present computer network securitys hidden danger, and it also discusses the preventive strategy in computer securitys hidden danger. For example: firewall, authentication encryption, anti-virus technology is today commonly used method, this method of in-depth expl

7、oration of these various aspects of network security problems, can make the reader understand network security technology better. Key words: network；network security；security；firewallII目录第1章 计算机网络安全概述11.1 网络安全的发展历史与现状分析11.1.1网络的开放性带来的安全问题11.1.2计算机网络现状21.1.3网络安全的主要威胁因素31.1.4计算机网络安全应具备的功能4第2 章 网络安全概述5

8、2.1 网络安全的含义52.2 网络安全的属性52.3 网络安全机制62.3.1 网络安全技术机制62.3.2 网络安全管理机制62.4 网络安全策略72.4.1 安全策略的分类72.4.2 安全策略的配置72.4.3 安全策略的实现流程72.5 网络安全的发展趋势8第 3章 网络安全问题解决对策103.1 计算机安全级别的划分103.1.1 TCSEC 简介103.1.2 GB17859划分的特点103.1.3全等级标准模型113.2 防火墙技术123.2.1防火墙的分类123.2.2 防火墙的基本概念与作用143.2.3 防火墙的工作原理153.3数据加密与用户授权访问控制技术163.3.

9、1数据加密技术及分类163.3.2数据加密原理173.4入侵检测技术183.4.1入侵检测系统193.4.2入侵检测技术的研究措施20第4 章 网络安全防范234.1 telnet 入侵防范234.2 防止 Administrator 账号被破解234.3 防止账号被暴力破解244.4 “木马”防范措施244.4.1“木马”的概述244.4.2 “木马”的防范措施244.5 网页恶意代码及防范254.5.1 恶意代码分析254.5.2 网页恶意代码的防范措施26总结27谢辞28参考文献2930第1章 计算机网络安全概述1.1 网络安全的发展历史与现状分析 随着计算机技术的发展，在计算机上处理业

10、务已由基于单机的数学运算、文件处理，基于简单连结的内部网络的内部业务处理、办公自动化等发展到基于企业复杂的内部网、企业外部网、全球互联网的企业级计算机处理系统和世界范围内的信息共享和业务处理。在信息处理能力提高的同时，系统的连结能力也在不断的提高。但在连结信息能力、流通能力提高的同时，基于网络连接的安全问题也日益突出。 1.1.1网络的开放性带来的安全问题 Internet的开放性以及其他方面因素导致了网络环境下的计算机系统存在很多安全问题。为了解决这些安全问题，各种安全机制、策略、管理和技术被研究和应用。然而，即使在使用了现有的安全工具和技术的情况下，网络的安全仍然存在很大隐患，这些安全隐患

11、主要可以包括为以下几点: 安全机制在特定环境下并非万无一失。比如防火墙，它虽然是一种有效的安全工具，可以隐蔽内部网络结构，限制外部网络到内部网络的访问。但是对于内部网络之间的访问，防火墙往往是无能为力的。因此，对于内部网络到内部网络之间的入侵行为和内外勾结的入侵行为，防火墙是很难发觉和防范的。 安全工具的使用受到人为因素的影响。一个安全工具能不能实现期望的效果，在很大程度上取决于使用者，包括系统管理者和普通用户，不正当的设置就会产生不安全因素。例如，Windows XP在进行合理的设置后可以达到C2级的安全性，但很少有人能够对Windows XP本身的安全策略进行合理的设置。虽然在这方面，可以

12、通过静态扫描工具来检测系统是否进行了合理的设置，但是这些扫描工具基本上也只是基于一种缺省的系统安全策略进行比较，针对具体的应用环境和专门的应用需求就很难判断设置的正确性。系统的后门是难于考虑到的地方。防火墙很难考虑到这类安全问题，多数情况下，这类入侵行为可以堂而皇之经过防火墙而很难被察觉。 BUG难以防范。甚至与安全工具本身也可能存在安全的漏洞。几乎每天都有新的BUG被发现和公布出来，程序设计者在修改已知的BUG的同时又可能使它产生了新的BUG。系统的BUG经常被黑客利用，而且这种攻击通常不会产生日志，几乎无据可查。比如说现在很多程序都存在内存溢出的BUG，现有的安全工具对于利用这些BUG的攻

13、击几乎无法防范。 黑客的攻击手段在不断地升级。安全工具的更新速度慢，且绝大多数情况需要人为的参与才能发现以前未知的安全问题，这就使得它们对新出现的安全问题总是反应迟钝。当安全工具刚发现并努力更正某方面的安全问题时，其他的安全问题又出现了。因此，黑客总是可以使用先进的、安全工具不知道的手段进行攻击。 1.1.2计算机网络现状据了解，我国的政府部门、证券公司、银行等机构的计算机网络相继遭到多次攻击。公安机关受理各类信息网络违法犯罪案件逐年剧增，尤其以电子邮件、特洛伊木马、文件共享等为传播途径的混合型病毒愈演愈烈。由于我国大量的网络基础设施和网络应用依赖于外国的产品和技术，在电子政务、电子商务和各行

14、业的计算机网络应用尚处于发展阶段，以上这些领域的大型计算机网络工程都由国内一些较大的系统集成商负责。有些集成商仍缺乏足够专业的安全支撑技术力量，同时一些负责网络安全的工程技术人员对许多潜在风险认识不足。缺乏必要的技术设施和相关处理经验，面对形势日益严峻的现状，很多时候都显得有些力不从心，也正是由于受技术条件的限制，很多人对网络安全的意识仅仅停留在如何防范病毒阶段，对网络安全缺乏整体意识。目前黑客的攻击方法已超过了计算机病毒的种类，而且许多攻击都是致命的。在Internet网络上，因互联网本身没有时空和地域的限制，每当有一种新的攻击手段产生，就能在一周内传遍全世界，这些攻击手段利用网络和系统漏洞

15、进行攻击从而造成计算机系统及网络瘫痪。蠕虫、后门、Root kits和DOS是大家熟悉的几种黑客攻击手段，这些攻击手段却都体现了它们惊人的威力。这几类攻击手段的新变种，与以前出现的攻击方法相比，更加智能化，攻击目标直指互联网基础协议和操作系统层次。黑客的攻击手法不断升级翻新，向用户的信息安全防范能力不断发起挑战。在信息化飞速发展的今天，计算机网络得到了广泛应用，但随着网络之间的信息传输量的急剧增长，一些机构和部门在得益于网络加快业务运作的同时，其上网的数据也遭到了不同程度的攻击和破坏。攻击者可以窃听网络上的信息，窃取用户的口令、数据库的信息，还可以篡改数据库内容，伪造用户身份，否认自己的签名。

16、更有甚者，攻击者可以删除数据库内容，摧毁网络节点，释放计算机病毒等等。这使数据的安全性和自身的利益受到了严重的威胁。 1.1.3网络安全的主要威胁因素 软件漏洞：每一个操作系统或网络软件的出现都不可能是无缺陷和漏洞的。这就使我们的计算机处于危险的境地，一旦连接入网，将成为众矢之的。 配置不当：安全配置不当造成安全漏洞，例如，防火墙软件的配置不正确，那么它根本不起作用。对特定的网络应用程序，当它启动时，就打开了一系列的安全缺口，许多与该软件捆绑在一起的应用软件也会被启用。除非用户禁止该程序或对其进行正确配置，否则，安全隐患始终存在。 安全意识不强：用户口令选择不慎，或将自己的账号随意转借他人或与

17、别人共享等都会对网络安全带来威胁。 病毒：目前数据安全的头号大敌是计算机病毒，它是编制者在计算机程序中插入的破坏计算机功能或数据，影响计算机软件、硬件的正常运行并且能够自我复制的一组计算机指令或程序代码。计算机病毒具有传染性、寄生性、隐蔽性、触发性、破坏性等特点。因此，提高对病毒的防范刻不容缓。 黑客：对于计算机数据安全构成威胁的另一个方面是来自电脑黑客(backer)。电脑黑客利用系统中的安全漏洞非法进入他人计算机系统，其危害性非常大。从某种意义上讲，黑客对信息安全的危害甚至比一般的电脑病毒更为严重。 因特网在我国的迅速普及，我国境内信息系统的攻击事件也正在呈现快速增长的势头。据了解，从19

18、97年底到现在，我国的政府部门、证券公司、银行、ISP, ICP等机构 的计算机网络相继遭到多次攻击。因此，加强网络信息安全保障已成为当前的迫切任务。 目前我国网络安全的现状和面临的威胁主要有： 计算机网络系统使用的软、硬件很大一部分是国外产品，我们对引进的信息技术和设备缺乏保护信息安全所必不可少的有效管理和技术改造。 全社会的信息安全意识虽然有所提高，但将其提到实际日程中来的依然很少。 目前关于网络犯罪的法律、法规还不健全。 我国信息安全人才培养还不能满足其需要。1.1.4计算机网络安全应具备的功能为了能更好地适应信息技术的发展，计算机网络应用系统必须具备以下功能：访问控制。通过对特定网段、

19、服务建立的访问控制体系，将绝大多数攻击阻止在到达攻击目标之前。检查安全漏洞。通过对安全漏洞的周期检查，即使攻击可到达攻击目标，也可使绝大多数攻击无效。攻击监控。通过对特定网段、服务建立的攻击监控体系，可实时检测出绝大多数攻击，并采取响应的行动（如断开网络连接、记录攻击过程、跟踪攻击源等）。加密通讯。主动地加密通讯，可使攻击者不能了解、修改敏感信息。认证。良好的认证体系可防止攻击者假冒合法用户。备份和恢复。可在攻击造成损失时，尽快地恢复数据和系统服务。多层防御。攻击者在突破第一道防线后，延缓或阻断其到达攻击目标。设立安全监控中心。为信息系统提供安全体系管理、监控、保护及紧急情况服务。第2 章 网

20、络安全概述2.1 网络安全的含义 网络安全从其本质来讲就是网络上信息安全，它涉及的领域相当广泛，这是因为目前的公用通信网络中存在着各式各样的安全漏洞和威胁。广义上讲，凡是涉及到网络上信息的保密性、完整性、可用性和可控性的相关技术和理论，都是网络安全的研究领域。网络安全是指网络系统的硬件，软件及数据受到保护，不遭受偶然或恶意的破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。 运行系统安全：即保证信息处理和传输系统的安全，包括计算机系统机房环境和传输环境的法律保护、计算机结构设计的安全性考虑、硬件系统的安全运行、计算机操作系统和应用软件的安全、数据库系统的安全、电磁信息泄露的防御等。 网

21、络上系统信息的安全：包括用户口令鉴别、用户存取权限控制、数据存取权限、方式控制、安全审计、安全问题跟踪、计算机病毒防治、数据加密等。 网络上信息传输的安全：即信息传播后果的安全、包括信息过滤、不良信息过滤等。 网络上信息内容的安全：即我们讨论的狭义的“信息安全”；侧重于保护信息的机密性、真实性和完整性。本质上是保护用户的利益和隐私。 2.2 网络安全的属性 网络安全具有三个基本的属性：机密性、完整性、可用性。机密性是指保证信息与信息系统不被非授权者所获取与使用，主要防范措施是密码技术。完整性是指保证信息与信息系统可被授权人正常使用，主要防范措施是确保信息与信息系统处于一个可靠的运行状态之下。可

22、用性是指可以供正常被其他网络使用的相关技术。以上可以看出：在网络中，维护信息载体和信息自身的安全都包括了机密性、完整性、可用性这些重要的属性。2.3 网络安全机制 网络安全机制是保护网络信息安全所采用的措施，所有的安全机制都是针对某些潜在的安全威胁而设计的，可以根据实际情况单独或组合使用。如何在有限的投入下合理地使用安全机制，以便尽可能地降低安全风险，是值得讨论的，网络信息安全机制应包括:技术机制和管理机制两方面的内容。 2.3.1 网络安全技术机制 网络安全技术机制包含以下内容： 加密和隐藏。加密使信息改变，攻击者无法了解信息的内容从而达到保护；隐藏则是将有用信息隐藏在其他信息中，使攻击者无

23、法发现。 认证和授权。网络设备之间应互认证对方的身份，以保证正确的操作权力赋予和数据的存取控制；同时网络也必须认证用户的身份，以授权保证合法的用户实施正确的操作。 审计和定位。通过对一些重要的事件进行记录，从而在系统中发现错误或受到攻击时能定位错误并找到防范失效的原因，作为内部犯罪和事故后调查取证的基础。 完整性保证。利用密码技术的完整性保护可以很好地对付非法篡改，当信息源的完整性可以被验证却无法模仿时，可提供不可抵赖服务。 权限和存取控制：针对网络系统需要定义的各种不同用户，根据正确的认证，赋予其适当的操作权力，限制其越级操作。 任务填充：在任务间歇期发送无用的具有良好模拟性能的随机数据，以

24、增加攻击者通过分析通信流量和破译密码获得信息难度。 2.3.2 网络安全管理机制 网络信息安全不仅仅是技术问题，更是一个管理问题，要解决网络信息安全问题，必须制定正确的目标策略，设计可行的技术方案，确定合理的资金技术，采取相应的管理措施和依据相关法律制度。 2.4 网络安全策略策略通常是一般性的规范，只提出相应的重点，而不确切地说明如何达到所要的结果，因此策略属于安全技术规范的最高一级。 2.4.1 安全策略的分类 安全策略分为基于身份的安全策略和基于规则的安全策略。基于身份的安全策略是过滤对数据或资源的访问,有两种执行方法：如果访问权限为访问者所有，典型的作法为特权标记或特殊授权，即仅为用户

25、及相应活动进程进行授权；如果为访问数据所有则可以采用访问控制表（ACL）。这两种情况中，数据项的大小有很大的变化，数据权力命名也可以带自己的ACL 。基于规则的安全策略是指建立在特定的，个体化属性之上的授权准则，授权通常依赖于敏感性。在一个安全系统中，数据或资源应该标注安全标记，而且用户活动应该得到相应的安全标记。 2.4.2 安全策略的配置 开放式网络环境下用户的合法权益通常受到两种方式的侵害：主动攻击和被动攻击，主动攻击包括对用户信息的窃取，对信息流量的分析。根据用户对安全的需求才可以采用以下的保护： 身份认证；检验用户的身份是否合法、防止身份冒充、及对用户实施访问控制数据完整性鉴别、防止

26、数据被伪造、修改和删除。 信息保密；防止用户数据被泄、窃取、保护用户的隐私。 数字签名；防止用户否认对数据所做的处理。 访问控制；对用户的访问权限进行控制。 不可否认性；也称不可抵赖性，即防止对数据操作的否认。 2.4.3 安全策略的实现流程计算机网络安全从技术上来说，主要由防病毒、防火墙、入侵检测等多个安全组件组成，一个单独的组件无法确保网络信息的安全性。其物理安全可以分为两个方面：一是人为对网络的损害；二是网络对使用者的危害。最常见的是施工人员由于对地下电缆不了解，从而造成电缆的破坏，这种情况可通过做标记加以防范；未采用结构化布线的网络经常会出现使用者对电缆的损坏，这就需要尽量采用结构化布

27、线来安装网络；人为或自然灾害的影响，需在规划设计时加以考虑；网络对使用者的危害主要是电缆的电击、高频信号的辐射等，这需要对网络的绝缘、接地和屏蔽工作做好。网络安全策略的实现流程涉及到以下几个主要方面，如图21所示。图21 网络安全策略的实现流程目前广泛运用和比较成熟的网络安全技术主要有：防火墙技术、数据加密与用户授权访问控制技术、入侵检测技术、防病毒技术等，以下就此几项技术分别进行分析。 2.5 网络安全的发展趋势 总的看来，对等网络将成为主流，与网格共存。网络进化的未来绿色网络呼唤着新的信息安全保障体系。国际互联网允许自主接入，从而构成一个规模庞大的，复杂的巨系统，在如此复杂的环境下，孤立的

28、技术发挥的作用有限，必须从整体的和体系的角度，综合运用系统论，控制论和信息论等理论，融合各种技术手段，加强自主创新和顶层设计，协同解决网络安全问题。保证网络安全还需严格的手段，未来网络安全领域可能发生三件事，其一是向更高级别的认证转移；其二，目前存储在用户计算机上的复杂数据将“向上移动”，由与银行相似的机构确保它们的安全；第三是在全世界的国家和地区建立与驾照相似的制度，它们在计算机销售时限制计算机的运算能力，或要求用户演示在自己的计算机受到攻击时抵御攻击的能力。第 3章 网络安全问题解决对策3.1 计算机安全级别的划分 3.1.1 TCSEC 简介 1999年9 月13日国家质量技术监督局公布

29、了我国第一部关于计算机信息系统安全等级划分的标准“计算机信息系统安全保护等级划分准则” （GB17859-1999）。而国外同标准的是美国国防部在1985年12月公布的可信计算机系统评价标准TCSEC。在TCSEC划分了7个安全等级：D级、C1级、C2级、B1级、B2级、B3级和A1级。其中D级是没有安全机制的级别，A1级是难以达到的安全级别，3.1.2 GB17859划分的特点D类安全等级：D类安全等级只包括D1 一个级别.D1的安全等级最低。D1系统只为文件和用户提供安全保护。D1系统最普通的形式是本地操作系统，或者是一个完全没有保护的网络。 C类安全等级：该类安全等级能够提供审慎的保护，

30、并为用户的行动和责任提供审计能力。C类安全等级可划分为 C1和 C2 两类。C1系统的可信任运算基础体制（Trusted Computing Base，TCB）通过将用户和数据分开来达到安全的目的。在C1系统中，所有的用户以同样的灵敏度来处理数据，即用户认为 C1系统中的所有文档都具有相同的机密性。C2系统比 C1 系统加强了可调的审慎控制。在连接事件和资源隔离来增强这种控制。C2 系统具有C1系统中所有的安全性特征。B类安全等级：B类安全等级可分为B1、B2和B3 三类。B类系统具有强制性保护功能。强制性保护意味着如果用户没有与安全等级相连，系统就不会让用户存取对象。B1系统满足下列要求：系

31、统对网络控制下的每个对象都进行灵敏度标记；系统使用灵敏度标记作为所有强迫访问控制的基础；系统在把导入的、非标记的对象放入系统前标记它们；灵敏度标记必须准确地表示其所联系的对象的安全级别；当系统管理员创建系统或者增加新的通信通道或 I/O 设备时，管理员必须指定每个通信通道和 I/O 设备是单级还是多级，并且管理员只能手工改变指定；单级设备并不保持传输信息的灵敏度级别；所有直接面向用户位置的输出（无论是虚拟的还是物理的）都必须产生标记来指示关于输出对象的灵敏度；系统必须使用用户的口令或证明来决定用户的安全访问级别；系统必须通过审计来记录未授权访问的企图。B2系统必须满足B1系统的所有要求。另外，

32、B2系统的管理员必须使用一个明确的、文档化的安全策略模式作为系统的可信任运算基础体制。B2系统必须满足下列要求：系统必须立即通知系统中的每一个用户所有与之相关的网络连接的改变；只有用户能够在可信任通信路径中进行初始化通信；可信任 运算基础体制能够支持独立的操作者和管理员。B3系统必须符合B2系统的所有安全需求。B3系统具有很强的监视委托管理访问能力和抗干扰能力。B3系统必须设有安全管理员。B3系统应满足以下要求: B3必须产生一个可读的安全列表，每个被命名的对象提供对该对象没有访问权的用户列表说明。B3系统在进行任何操作前，要求用户进行身份验证。B3系统验证每个用户，同时还会发送一个取消访问的

33、审计跟踪消息；设计者必须正确区分可信任的通信路径和其他路径；可信任的通信基础体制为每一个被命名的对象建立安全审计跟踪；可信任的运算基础体制支持独立的安全管理。 (4)A类安全等级：A系统的安全级别最高。目前，A类安全等级只包含 A1 一个安全类别。A1类与 B3类相似，对系统的结构和策略不作特别要求。A1系统的显著特征是，系统的设计者必须按照一个正式的设计规范来分析系统。对系统分析后，设计者必须运用核对技术来确保系统符合设计规范。A1系统必须满足下列要求：系统管理员必须从开发者那里接收到一个安全策略的正式模型;所有的安装操作都必须由系统管理员进行；系统管理员进行的每一步安装操作都必须有正式文档

34、。 3.1.3全等级标准模型 计算机信息系统的安全模型主要又访问监控器模型、军用安全模仿和信息流模型等三类模型，它们是定义计算机信息系统安全等级划分标准的依据。 访问监控模型：是按TCB要求设计的，受保护的客体要么允许访问，要么不允许访问。 常用安全模型：是一种多级安全模型，即它所控制的信息分为绝密、机密、秘密和无密四种敏感级。 信息流模型：是计算机中系统信息流动路径，它反映了用户在计算机系统中的访问意图，信息流分直接的和间接的两种。 3.2 防火墙技术 随着网络安全问题日益严重，网络安全技术和产品也被人们逐渐重视起来，防火墙作为最早出现的网络安全技术和使用量最大的网络安全产品，受到用户和研发

35、机构的亲睐。3.2.1防火墙的分类根据防火墙所采用的技术不同,我们可以将它分为四种基本类型:包过滤型、网络地址转换NAT、代理型和监测型。包过滤防火墙 包过滤防火墙的优点：对于一个小型的、不太复杂的站点，包过滤比较容易实现；因为过滤路由器工作在IP层和TCP层，所以处理包的速度比代理服务器快；过滤路由器为用户提供了一种透明的服务，用户不需要改变客户端的任何应用程序，也不需要用户学习任何新的东西。因为过滤路由器工作在IP层和TCP层，而IP层和TCP层与应用层的问题毫不相关。所以过滤路由器有时也被称为“包过滤网关”或“透明网关”，之所以被称为网关，是因为包过滤路由器和传统路由器不同，它涉及到了传

36、输层；过滤路由器在价格上一般比代理服务器便宜。包过滤防火墙的缺点：一些包过滤网关不支持有效的用户认证；规则表很快会变得很大而且复杂，规则很难测试。随着表的增大和复杂性的增加，规则结构出现漏洞的可能性也会增加；这种防火墙最大的缺陷是它依赖一个单一的部件来保护系统。如果这个部件出现了问题，会使得网络大门敞开，而用户甚至可能还不知道；在一般情况下，如果外部用户被允许访问内部主机，则它就可以访问内部网上的任何主机；包过滤防火墙只能阻止一种类型的IP欺骗，即外部主机伪装内部主机的IP，对于外部主机伪装外部主机的IP欺骗却不可能阻止，而且它不能防止DNS欺骗。状态/动态检测防火墙 状态/动态检测防火墙的优

37、点有检查IP包的每个字段的能力，并遵从基于包中信息的过滤规则；识别带有欺骗性源IP地址包的能力；包过滤防火墙是两个网络之间访问的唯一来源。因为所有的通信必须通过防火墙，绕过是困难的；基于应用程序信息验证一个包的状态的能力，例如基于一个已经建立的FTP连接，允许返回的FTP包通过；基于应用程序信息验证一个包状态的能力，例如允许一个先前认证过的连接继续与被授予的服务通信；记录有关通过的每个包的详细信息的能力。基本上防火墙用来确定包状态的所有信息都可以被记录，包括应用程序对包的请求，连接的持续时间，内部和外部系统所做的连接请求等。状态/动态检测防火墙的缺点：状态/动态检测防火墙唯一的缺点就是所有这些

38、记录、测试和分析工作可能会造成网络连接的某种迟滞，特别是在同时有许多连接激活的时候，或者是有大量的过滤网络通信的规则存在时。可是硬件速度越快，这个问题就越不易察觉，而且防火墙的制造商一直致力于提高他们产品的速度。应用程序代理防火墙 应用程序代理防火墙的优点：指定对连接的控制，例如允许或拒绝基于服务器IP地址的访问，或者是允许或拒绝基于用户所请求连接的IP地址的访问；通过限制某些协议的传出请求，来减少网络中不必要的服务；大多数代理防火墙能够记录所有的连接，包括地址和持续时间。这些信息对追踪攻击和发生的未授权访问的事件事很有用的。 应用程序代理防火墙的缺点有：必须在一定范围内定制用户的系统，这取决

39、于所用的应用程序；一些应用程序可能根本不支持代理连接。 个人防火墙 个人防火墙的优点：增加了保护级别，不需要额外的硬件资源；个人防火墙除了可以抵挡外来攻击的同时，还可以抵挡内部的攻击；个人防火墙是对公共网络中的单个系统提供了保护。例如一个家庭用户使用的是Modem或ISDN/ADSL上网，可能一个硬件防火墙对于他来说实在是太昂贵了，或者说是太麻烦了。而个人防火墙已经能够为用户隐蔽暴露在网络上的信息，比如IP地址之类的信息等。 个人防火墙的缺点：个人防火墙主要的缺点就是对公共网络只有一个物理接口。真正的防火墙应当监视并控制两个或更多的网络接口之间的通信。这样一来的话，个人防火墙本身可能会容易受到

40、威胁，或者说是具有这样一个弱点，网络通信可以绕过防火墙的规则。 3.2.2 防火墙的基本概念与作用 图3-1防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合，它执行预先制定的访问控制策略，决定了网络外部与网络内部的访问方式，图3-1所示。在网络中，防火墙实际是一种隔离技术，它所执行的隔离措施有： 拒绝未经授权的用户访问内部网和存取敏感数据。 允许合法用户不受妨碍地访问网络资源。 而它的核心思想是在不安全的因特网环境中构造一个相对安全的子网环境，其目的是保护一个网络不受另一个网络的攻击，所以防火墙又有以下作用： 作为网络安全的屏障。一个防火墙作为阻塞节点和控制节点能极大地提高一个内部网

41、络的安全性，并通过过滤不安全的服务而降低风险，只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。可以强化网络安全策略。通过以防火墙为中心的安全方案配置，能将所有的安全软件配置在防火墙上，体现集中安全管理更经济。 对网络存取和访问进行监控审计。如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并做出日志记录，同时也能提供网络使用情况的统计数据，当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。 防止内部信息的外泄。通过利用防火墙对内部网络的划分，可实现内部重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。 支持具有因

42、特网服务性的企业内部网络技术体系VPN。 3.2.3 防火墙的工作原理 从防火墙的作用可以看出，防火墙必须具备两个要求：保障内部网安全和保障内部网和外部网的联通。因此在逻辑上防火墙是一个分离器、限制器、分析器。防火墙根据功能实现在TCP/IP 网络模型中的层次，其实现原理可以分为三类：在网络层实现防火墙功能为分组过滤技术；在应用层实现防火墙功能为代理服务技术；在网络层，IP层，应用层三层实现防火墙为状态检测技术。 分组过滤技术实际上是基于路由器技术，它通常由分组过滤路由器对IP分组进行分组选择，允许或拒绝特定的IP数据包，工作于IP层。代理服务技术 以一个高层的应用网关作为代理服务器，接受外来

43、的应用连接请求，在代理服务器上进行安全检查后，再与被保护的应用服务器连接，使外部用户可以在受控制的前提下使用内部网络的服务，由于代理服务作用于应用层，它能解释应用层上的协议，能够作复杂和更细粒度的访问控制；同时，由于所有进出服务器的客户请求必须通过代理网关的检查，可以做出精细的注册和审计记录，并且可以与认证、授权等安全手段方便地集成，为客户和服务提供更高层次的安全保护。状态检测技术 此技术工作在IP/TCP/应用层，它结合了分组过滤和代理服务技术的特点，它同分组过滤一样，在应用层上检查数据包的内容，分析高层的协议数据，查看内容是否符合网络安全策略。其一般逻辑位置如图32所示。图32 防火墙的逻

44、辑位置3.3数据加密与用户授权访问控制技术3.3.1数据加密技术及分类数据加密技术是网络中最基本的安全技术，主要是通过对网络中传输的信息进行数据加密来保障其安全性，这是一种主动安全防御策略，用很小的代价即可为信息提供相当大的安全保护。按作用不同，数据加密技术主要分为以下4种：数据传输加密技术。目的是对传输中的数据流加密，常用的方针有线路加密和端到端加密两种。前者侧重在线路上而不考虑信源与信宿，是对保密信息通过各线路采用不同的加密密钥提供安全保护。后者则指信息由发送者端自动加密，并进入TCP/IP数据包回封，然后作为不可阅读和不可识别的数据穿过互联网，当这些信息一旦到达目的地，将被自动重组、解密

45、，成为可读数据。 数据存储加密技术。目是防止在存储环节上的数据失密，可分为密文存储和存取控制两种。前者一般是通过加密算法转换、附加密码、加密模块等方法实现，后者则是对用户资格加以审查和限制，防止非法用户存取数据或合法用户越权存取数据。 数据完整性鉴别技术。目的是对介入信息的传送、存取、处理的人的身份和相关数据内容进行验证，达到保密的要求，一般包括口令、密钥、身份、数据等项的鉴别，系统通过对比验证对象输入的特征值是否符合预先设定的参数，实现对数据的安全保护。 密钥管理技术。为了数据使用的方便，数据加密在许多场合集中表现为密钥的应用，因此密钥往往是保密与窃密的主要对象。密钥的媒体有：磁卡、磁带、磁

46、盘、半导体存储器等。密钥的管理技术包括密钥的产生、分配保存、更换与销毁等各环节上的保密措施。 3.3.2数据加密原理 数据加密是通过某种函数进行变换，把正常数据包文（称为明文或明码）转换为密文（密码）。解密是指把密文还原成明文的过程。传统密码体制所用的加密密钥和解密密钥相同，称为对称密码体制。如果加密密钥和解密密钥不相同，则称为非对称密码体制。密钥可以看作是密码算法中的可变参数。密码算法是相对稳定的，在这种意义上，可以把密码算法视为常量，而密钥则是一个变量。在设计加密系统中，加密算法是可以公开的，真正需要保密的是密钥，密钥本质是非常大的数，密钥大小用“位”表示。在公开密钥加密方法中，密钥越大密

47、文就越安全。加密与解密过程如图33所示。图33 加密与解密过程数据加密技术包括两种体系：对称密钥体系。在对称型密钥体系中，加密和解密采用同一密钥，如图34所示。图34对称密钥体系非对称密钥体系。非对称加密技术将加密和解密分开并采用一对不同的密钥进行。其工作原理如图35所示。图35非对称密钥体系与防火墙相比，数据加密与用户授权访问控制技术比较灵活，更加适用于开放的网络。用户授权访问控制主要用于对静态信息的保护，需要系统级别的支持，一般在操作系统中实现。数据加密技术是为提高信息系统及数据的安全性和保密性，防止秘密数据被外部破析所采用的主要技术手段之一。随着信息技术的发展，网络安全与信息保密日益引起

48、人们的关注。目前各国除了从法律上、管理上加强数据的安全保护外，从技术上分别在软件和硬件两方面采取措施，推动着数据加密技术和物理防范技术的不断发展。3.4入侵检测技术仅仅依赖防火墙并不能保证足够的安全，为了解决非法入侵所造成的各种安全问题，安全厂商提出了建立入侵检测系统的解决方法。入侵检测技术是防火墙技术的有效补充，通过对计算机或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络中或系统中潜在的违反安全策略的行为和被攻击的迹象。3.4.1入侵检测系统入侵检测系统(Intrusion Detection System简称IDS)是从多种计算机系统及网络系统中收集信息，再通过这此信息分析入

49、侵特征的网络安全系统。IDS被认为是防火墙之后的第二道安全闸门，它能使在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警与防护系统驱逐入侵攻击；在入侵攻击过程中，能减少入侵攻击所造成的损失；在被入侵攻击后，收集入侵攻击的相关信息，作为防范系统的知识，添加入策略集中，增强系统的防范能力，避免系统再次受到同类型的入侵。入侵检测的作用包括威慑、检测、响应、损失情况评估、攻击预测和起诉支持。入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。一个简单的入侵检测系统，如图36所示:图36 入侵检测系统

50、入侵检测系统的基本任务：通过实时检测网络系统状态，判断入侵行为发生，并产生报警。从功能实现的角度可以把这个系统划分为三大模块：信息收集模块、信息处理与通讯模块、入侵判断与反应模块。其中信息收集模块与特定的环境，监视的对象有比较密切的关系:信息处理与通讯模块，是对所收集到的数据进行预处理和分类，然后把处理的结果按照一定的格式传输给检测判断模块。最后由检测判断模块根据一定的安全策略判断入侵行为的发生并采取相应的反击。随着网络系统结构的复杂化和大型化，系统的弱点或漏洞将趋向于分布式。另外，入侵行为不再是单一的行为，而是表现出相互协作入侵的特点。入侵检测系统要求可适应性、可训练性、高效性、容错性、可扩

51、展性等要求。不同的IDS之间也需要共享信息，协同检测。3.4.2入侵检测技术的研究措施入侵检测系统目前存在的问题: 现有的入侵检测系统检测速度远小于网络传输速度,导致误报率和漏报率；入侵检测产品和其它网络安全产品结合问题, 即期间的信息交换,共同协作发现攻击并阻击攻击；基于网络的入侵检测系统对加密的数据流及交换网络下的数据流不能进行检测,并且其本身容易受攻击；入侵检测系统体系结构问题等。入侵检测系统的类型基于网络的入侵检测。基于网络的入侵检测产品(NIDS)放置在比较重要的网段内，不停地监视网段中的各种数据包。对每一个数据包或可疑的数据包进行特征分析。网络入侵检测系统的优点：网络入侵检测系统能

52、够检测那些来自网络的攻击，它能够检测到超过授权的非法访问。网络入侵检测系统的弱点：网络入侵检测系统只检查它直接连接网段的通信，不能检测在不同网段的网络包。基于主机的入侵检测。基于主机的入侵检测产品(HIDS)通常是安装在被重点检测的主机之上，主要是对该主机的网络实时连接以及系统审计日志进行智能分析和判断。如果其中主体活动十分可疑(特征或违反统计规律)，入侵检测系统就会采取相应措施。主机入侵检测系统的优点：主机入侵检测系统对分析“可能的攻击行为”非常有用。举例来说，有时候它除了指出入侵者试图执行一些“危险的命令”之外，还能分辨出入侵者干了什么事：他们运行了什么程序、打开了哪些文件、执行了哪些系统

53、调用。主机入侵检测系统与网络入侵检测系统相比通常能够提供更详尽的相关信息。主机入侵检测系统通常情况下比网络入侵检测系统误报率要低，因为检测在主机上运行的命令序列比检测网络流更简单，系统的复杂性也少得多。主机入侵检测系统可部署在那些不需要广泛的入侵检测、传感器与控制台之间的通信带宽不足的情况下。主机入侵检测系统在不使用诸如“停止服务”、“注销用户”等响应方法时风险较少。主机入侵检测系统的弱点：主机入侵检测系统安装在我们需要保护的设备上。混合入侵检测。基于网络的入侵检测产品和基于主机的入侵检测产品都有不足之处，单纯使用一类产品会造成主动防御体系不全面。但是它们的缺憾是互补的。如果这两类产品能够无缝

54、结合起来部署在网络内，则会构架成一套完整立体的主动防御体系，综合了基于网络和基于主机两种结构特点的入侵检测系统，既可发现网络中的攻击信息，也可从系统日志中发现异常情况。文件完整性检查。文件完整性检查系统检查计算机中自上次检查以后文件变化情况。文件完整性检查系统保存有每个文件的数字文摘数据库，每次检查时，它重新计算文件的数字文摘并将它与数据库中的值相比较，如不同，则文件已被修改，若相同，文件则未发生变化。文件完整性检查系统的优点：文件完整性检查系统是非常强劲的检测文件被修改的工具。实际上文件完整性检查系统是一个检测系统被非法使用的最重要的工具之一。文件完整性检查系统具有相当的灵活性，可以配置成为

55、监测系统中所有文件或某些重要文件。文件完整性检查系统的弱点：文件完整性检查系统依赖于本地的文摘数据库。常用检测方法入侵检测系统常用的检测方法有特征检测、统计检测与专家系统。据公安部计算机信息系统安全产品质量监督检验中心的报告，国内送检的入侵检测产品中95%是属于使用入侵模板进行模式匹配的特征检测产品，其他5%是采用概率统计的统计检测产品与基于日志的专家知识库系产品。特征检测。特征检测对已知的攻击或入侵的方式做出确定性的描述，形成相应的事件模式。当被审计的事件与已知的入侵事件模式相匹配时即报警。统计检测。统计模型常用异常检测，在统计模型中常用的测量参数包括：审计事件的数量、间隔时间、资源消耗情况

56、等。常用的入侵检测5种统计模型为：操作模型，方差，多元模型，马尔柯夫过程模型，时间序列分析。专家系统。用专家系统对入侵进行检测，经常是针对有特征入侵行为。入侵检测产品选择要点当您选择入侵检测系统时，要考虑的要点有：系统的价格。价格是必需考虑的要点，不过性能价格比、以及要保护系统的价值可是更重要的因素。特征库升级与维护的费用。像反病毒软件一样，入侵检测的特征需要不断更新才能检测出新出现的攻击方法。对于网络入侵检测系统，最大可处理流量(包/秒PPS)是多少。该产品是否容易被躲避。有些常用的躲开入侵检测的方法，如：分片、TTL欺骗、异常TCP分段、慢扫描、协同攻击等。产品的可伸缩性。系统支持的传感器

57、数目、最大数据库大小、传感器与控制台之间通信带宽和对审计日志溢出的处理。运行与维护系统的开销。产品报表结构、处理误报的方便程度、事件查询的方便程度以及使用该系统所需的技术人员数量。产品支持的入侵特征数。第4 章 网络安全防范4.1 telnet 入侵防范 Telnet协议是 TCP/IP 协议族中的一员，是 Internet 远程登录服务的标准协议和主要方式。它为用户提供了在本地计算机上完成远程主机工作的能力。在终端使用者的电脑上使用telnet程序，用它连接到服务器。终端使用者可以在telnet 程序中输入命令，这些命令会在服务器上运行，就像直接在服务器的控制台上输入一样。可以在本地就能控制服务器。要开始一个telnet 会话，必须输入用户名和密码来登录服务器。Telnet