【正文】 1 緒論 背景 隨著互聯(lián)網(wǎng)的飛速發(fā)展，網(wǎng)絡(luò)安全逐漸成為一個潛在的巨大問題。目前在各單位的網(wǎng)絡(luò)中都存儲著大量的信息資料，許多 方面的工作也越來越依賴網(wǎng)絡(luò)，一旦網(wǎng)絡(luò)安全方面出現(xiàn)問題，造成信息的丟失或不能及時流通，或者被篡改、增刪、破壞或竊用，都將帶來難以彌補的巨大損失。而對于政府等許多單位來講，網(wǎng)絡(luò)安全 問題也 關(guān)系到一個 國家的 整體，甚至威脅 到國家的安全、利益和發(fā)展。 信息網(wǎng)絡(luò)安全防護的現(xiàn)狀 目前網(wǎng)絡(luò)安全防護方面還很薄弱，雖然有很多防護技術(shù)來維護網(wǎng)絡(luò)安全，但其發(fā)展到當(dāng)前階段還有很多不足，還不能夠滿足網(wǎng)絡(luò)安全方面的需要，何況任何技術(shù)都在不斷的更新，那些對人們生活有破壞性的技術(shù)也不會停止不進，甚至越來越強，導(dǎo)致當(dāng)前的網(wǎng)絡(luò)安全形勢很嚴 峻。許多重要的網(wǎng)絡(luò)信息很容易被黑客侵入修改和盜取，世界上已經(jīng)研究出很多的網(wǎng)絡(luò)安全方面的防護技術(shù)，其中防火墻也是重要的防護網(wǎng)絡(luò)安全的手段，而 目 前網(wǎng)絡(luò)安全 的 一個研究熱點就是防火墻 ，但防火墻還存在不少自身問題，尤其是國內(nèi)自行開發(fā)的防火墻，和國外同類產(chǎn)品還有不小差距，都是有待改進的。 研究信息網(wǎng)絡(luò)安全防護的目的和意義 網(wǎng)絡(luò)安全防護主要就是保障數(shù)據(jù)和資源免受各種網(wǎng)絡(luò)攻擊的侵害， 最大程度地減少數(shù)據(jù)和資源被攻擊的可能 ； 對本地網(wǎng)絡(luò)信息的訪問、讀寫等操作 也進行 保護和控制，避免出現(xiàn) “ 陷門 ” 、病毒、非法存取、拒絕 服務(wù)和網(wǎng)絡(luò)資源非法占用和非法控制等威脅，制止和防御網(wǎng)絡(luò)黑客的攻擊 ； 對非法的、有害的或涉及國家機密的信息進行過濾和防堵，避免機 密 信息泄露，避免對社會產(chǎn)生危害，對國家造成巨大損失 ；等等 。 總體地說就是要確保 網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實性和可控性 。 信息網(wǎng)絡(luò)安全方面的基礎(chǔ)問題 2 2 信息網(wǎng)絡(luò)安全方面的基礎(chǔ)問題 網(wǎng)絡(luò)安全概述 網(wǎng)絡(luò)安全是一門涉及計算機科學(xué)、網(wǎng)絡(luò)技術(shù)、通信技術(shù)、密碼技術(shù)、信息安全技術(shù)、應(yīng)用數(shù)學(xué)、數(shù)論、信息論等多種學(xué)科的綜合性學(xué)科。從其本質(zhì)上來講就是網(wǎng)絡(luò)上的信息安全。從廣義來說，凡是涉及到網(wǎng)絡(luò)上信息的保密性、完整 性、可用性、真實性和可控性的相關(guān)技術(shù)和理論都是網(wǎng)絡(luò)安全的研究領(lǐng)域。 隨著計算機技術(shù)的迅速發(fā)展，在計算機上處理的業(yè)務(wù)也由基于單機的數(shù)學(xué)運算、文件處理，基于簡單連接的內(nèi)部網(wǎng)絡(luò)的內(nèi)部業(yè)務(wù)處理、辦公自動化等發(fā)展到基于復(fù)雜的內(nèi)部網(wǎng)（ Intra）、企業(yè)外部網(wǎng)（ Extra）、全球互連網(wǎng)（ Inter）的企業(yè)級計算機處理系統(tǒng)和世界范圍內(nèi)的信息共享和業(yè)務(wù)處理。在系統(tǒng)處理能力提高的同時，系統(tǒng)的連接能力也在不斷的提高。但在連接能力信息、流通能力提高的同時，基于網(wǎng)絡(luò)連接的安全問題也日益突出，整體的網(wǎng)絡(luò)安全主要表現(xiàn)在 以下幾個方面：網(wǎng)絡(luò)的物理安全、網(wǎng)絡(luò)拓撲結(jié)構(gòu)安全、網(wǎng)絡(luò)系統(tǒng)安全、應(yīng)用系統(tǒng)安全和網(wǎng)絡(luò)管理的安全等。因此計算機安全問題，應(yīng)該像每家每戶的防火防盜問題一樣，做到防范于未然。甚至不會想到你自己也會成為目標的時候，威脅就已經(jīng)出現(xiàn)了，一旦發(fā)生，常常措手不及，造成極大的損失。 物理安全分析 網(wǎng)絡(luò)的物理安全是整個網(wǎng)絡(luò)系統(tǒng)安全的前提。由于網(wǎng)絡(luò)系統(tǒng)屬于弱電工程，耐壓值很低。因此，在網(wǎng)絡(luò)工程的設(shè)計和施工中，必須優(yōu)先考慮保護人和網(wǎng)絡(luò)設(shè)備不受電、火災(zāi)和雷擊的侵害；考慮布線系統(tǒng)與照明電線、動力電線、通信線路、暖氣管道及冷熱空氣管 道之間的距離；考慮布線系統(tǒng)和絕緣線、裸體線以及接地與焊接的安全；必須建設(shè)防雷系統(tǒng)，防雷系統(tǒng)不僅考慮建筑物防雷，還必須考慮計算機及其他弱電耐壓設(shè)備的防雷?？傮w來說物理安全的風(fēng)險主要有：地震、水災(zāi)、火災(zāi)等環(huán)境事故；電源故障；人為操作失誤或錯誤；設(shè)備被盜、被毀；電磁干擾；線路截獲；高可用性的硬件；雙機多冗余的設(shè)計；機房環(huán)境及報警系統(tǒng)、安全意識等，因此要盡量避免網(wǎng)絡(luò)的物理安全風(fēng)險。 信息網(wǎng)絡(luò)安全方面的基礎(chǔ)問題 3 網(wǎng)絡(luò)結(jié)構(gòu)的安全分析 網(wǎng)絡(luò)拓撲結(jié)構(gòu)設(shè)計也直接影響到網(wǎng)絡(luò)系統(tǒng)的安全性。假如在外部和內(nèi)部網(wǎng)絡(luò)進行通信時，內(nèi)部網(wǎng)絡(luò)的機器安全就會受到威 脅，同時也影響在同一網(wǎng)絡(luò)上的許多其他系統(tǒng)。透過網(wǎng)絡(luò)傳播，還會影響到連上 Inter/Intra 的其他的網(wǎng)絡(luò)；影響所及，還可能涉及法律、金融等安全敏感領(lǐng)域。因此，我們在設(shè)計時有必要將公開服務(wù)器（ WEB、DNS、 EMAIL 等）和外網(wǎng)及內(nèi)部其它業(yè)務(wù)網(wǎng)絡(luò)進行必要的隔離，避免網(wǎng)絡(luò)結(jié)構(gòu)信息外泄；同時還要對外網(wǎng)的服務(wù)請求加以過濾，只允許正常通信的數(shù)據(jù)包到達相應(yīng)主機，其它的請求服務(wù)在到達主機之前就應(yīng)該遭到拒絕。 系統(tǒng)的安全分析 所謂系統(tǒng)的安全是指整個網(wǎng)絡(luò)操作系統(tǒng)和網(wǎng)絡(luò)硬件平臺是否可靠且值得信任。目前恐怕沒 有絕對安全的操作系統(tǒng)可以選擇，無論是 Microsoft 的 Windows NT 或者其它任何商用 UNIX 操作系統(tǒng)，其開發(fā)廠商必然有其 BackDoor。因此，我們可以得出如下結(jié)論：沒有完全安全的操作系統(tǒng)。不同的用戶應(yīng)從不同的方面對其網(wǎng)絡(luò)作詳盡的分析，選擇安全性盡可能高的操作系統(tǒng)。因此不但要選用盡可能可靠的操作系統(tǒng)和硬件平臺，并對操作系統(tǒng)進行安全配置。而且，必須加強登錄過程的認證（特別是在到達服務(wù)器主機之前的認證），確保用戶的合法性；其次應(yīng)該嚴格限制登錄者的操作權(quán)限，將其完成的操作限制在最小的范圍內(nèi)。 應(yīng)用系統(tǒng)的安全分析 應(yīng)用系統(tǒng)的安全跟具體的應(yīng)用有關(guān)，它涉及面廣。應(yīng)用系統(tǒng)的安全是動態(tài)的、不斷變化的。應(yīng)用的安全性也涉及到信息的安全性，它包括很多方面。 應(yīng)用系統(tǒng)的安全是動態(tài)的、不斷變化的。應(yīng)用的安全涉及方面很多，以目前 Inter上應(yīng)用最為廣泛的 Email 系統(tǒng)來說，其解決方案有 send mail、 Netscape Messaging Server、 Post Office、 Lotus Notes、 Exchange Server、 SUN CIMS 等不下二十多種。其安全手段涉及 LDAP、 DES、 RSA 等各種方式。應(yīng)用系統(tǒng)是不斷發(fā)展且應(yīng)用類型是不斷增加的。在應(yīng)用系統(tǒng)的安全性上，主要考慮盡可能建立安全的系統(tǒng)平臺，而且通過專業(yè)的安全工具不斷發(fā)現(xiàn)漏洞，修補漏洞，提高系統(tǒng)的安全性。 信息網(wǎng)絡(luò)安全方面的基礎(chǔ)問題 4 管理的安全風(fēng)險分析 管理是網(wǎng)絡(luò)中安全最最重要的部分。責(zé)權(quán)不明，安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風(fēng)險。當(dāng)網(wǎng)絡(luò)出現(xiàn)攻擊行為或網(wǎng)絡(luò)受到其它一些安全威脅時（如內(nèi)部人員的違規(guī)操作等），無法進行實時的檢測、監(jiān)控、報告與預(yù)警。同時，當(dāng)事故發(fā)生后，也無法提供黑客攻擊行為的追蹤線索及破案依據(jù)，即缺乏對網(wǎng) 絡(luò)的可控性與可審查性。這就要求我們必須對站點的訪問活動進行多層次的記錄，及時發(fā)現(xiàn)非法入侵行為。建立全新網(wǎng)絡(luò)安全機制，必須深刻理解網(wǎng)絡(luò)并能提供直接的解決方案，因此，最可行的做法是制定健全的管理制度和嚴格管理相結(jié)合。保障網(wǎng)絡(luò)的安全運行，使其成為一個具有良好的安全性、可擴充性和易管理性的信息網(wǎng)絡(luò)便成為了首要任務(wù)。一旦上述的安全隱患成為事實，所造成的對整個網(wǎng)絡(luò)的損失都是難以估計的。 網(wǎng)絡(luò)安全防護技術(shù)特征和優(yōu)缺點 5 3 網(wǎng)絡(luò)安全防護技術(shù)特征和優(yōu)缺點 網(wǎng)絡(luò)安全防護技術(shù)中有很多技術(shù)措施，比如：物理措施、訪問控制、數(shù)據(jù)加密、防火墻技術(shù)等等，它們都有各自 的特征和優(yōu)點。 物理措施 保護網(wǎng)絡(luò)關(guān)鍵設(shè)備 (如交換機、大型計算機等 )，制定嚴格的網(wǎng)絡(luò)安全規(guī)章制度，采取防輻射、防火以及安裝不間斷電源（ UPS）等措施。 訪問控制 對用戶訪問網(wǎng)絡(luò)資源的權(quán)限進行嚴格的認證和控制。例如，進行用戶身份認證，對口令加密、更新和鑒別，設(shè)置用戶訪問目錄和文件的權(quán)限，控制網(wǎng)絡(luò)設(shè)備配置的權(quán)限，等等。 數(shù)據(jù)加密 加密是保護數(shù)據(jù)安全的重要手段。加密的作用是保障信息被人截獲后不能讀懂其含義。 總結(jié)目前內(nèi)網(wǎng)安全市場的數(shù)據(jù)加密技術(shù)，總體來說分成文件（文檔）加密技術(shù)和磁盤加密技術(shù) 兩種。 文檔加密技術(shù) 文檔加密技術(shù)是目前使用最為廣泛的內(nèi)網(wǎng)安全產(chǎn)品解密技術(shù)，之所以被廣泛采用，主要是因為其具有技術(shù)簡單、開發(fā)周期短和用戶首次接受度高的特點。文檔加密技術(shù)的原理主要是通過建立應(yīng)用程序的進程和相應(yīng)文件之間的關(guān)聯(lián)來達到對特定文件數(shù)據(jù)加密的目的。一個相對完整的文檔加密產(chǎn)品，采用的技術(shù)主要包括： (1) 建立應(yīng)用程序進程和其對應(yīng)文件的關(guān)聯(lián)，通常采用進程名稱識別或者進程特征摘要對比的方式來識別進程，對文件則采用后綴名或者其他特征識別方式； (2) 對需要加密的文件通過文件重定向技術(shù)采用臨時緩 存文件方式，以獲得文件另存和加密的控制權(quán)； 網(wǎng)絡(luò)安全防護技術(shù)特征和優(yōu)缺點 6 (3) 通過對剪貼板、打印和屏幕拷貝等一些快捷鍵的控制，來實現(xiàn)對文件內(nèi)容的復(fù)制進行控制。檢查前面的技術(shù)可以看出，文件（文檔）加密技術(shù)的核心是基于應(yīng)用進程來實現(xiàn)加密控制。 其優(yōu)點如下： (1) 部署簡單，不需要改變用戶操作習(xí)慣，也不需要改變用戶的應(yīng)用環(huán)境； (2) 技術(shù)簡單，僅涉及到進程文件關(guān)聯(lián)技術(shù)、文件臨時重定向技術(shù)和 hook 技術(shù)； (3) 概念清晰，用戶理解和接受容易。 但是，由于文件（文檔）加密技術(shù)采用的技術(shù)路線，使得看起來很美的優(yōu)點下面隱藏著重重的安全隱患和 穩(wěn)定性隱患，主要包括以下幾個方面： (1) 由于文件是否加密主要基于應(yīng)用進程和文件的關(guān)聯(lián)關(guān)系，安全系統(tǒng)與應(yīng)用程序密切相關(guān)，對于應(yīng)用復(fù)雜的環(huán)境，比如制作設(shè)計和軟件設(shè)計行業(yè)，安全系統(tǒng)的可部署性非常差，常常由于用戶應(yīng)用過于復(fù)雜、應(yīng)用程序的升級或者應(yīng)用的增加而導(dǎo)致該類內(nèi)網(wǎng)安全產(chǎn)品需要進行重新進行二次開發(fā)，從而給用戶環(huán)境帶來極大的限制和不穩(wěn)定隱患。 (2) 由于采用了文件重定向的臨時緩存文件技術(shù)，造成了安全漏洞和效率下降。一方面因為臨時緩存文件在硬盤中是以明文狀態(tài)存在，很容易使用公開的文件監(jiān)視工具找到并復(fù)制該臨時文件 造成加密機制的失效；另一方面因為使用臨時緩存文件后，相當(dāng)于文件要在硬盤中重復(fù)進行兩次讀寫操作，造成效率明顯下降 50%，這對于大的文件尤其不能接受。 (3) 由于在應(yīng)用進程、剪貼板、打印控制和其他快捷鍵方面采用了眾多 Hook 技術(shù)，很容易造成和防病毒等軟件的沖突，造成系統(tǒng)不穩(wěn)定，影響用戶的正常使用，同時 Hook技術(shù)也容易造成使用系統(tǒng)效率下降。 磁盤加密技術(shù) 磁盤加密技術(shù)相對于文檔加密技術(shù)，是在磁盤扇區(qū)級采用的加密技術(shù)，一般來說，該技術(shù)與上層應(yīng)用無關(guān)，只針對特點的磁盤區(qū)域進行數(shù)據(jù)加密或者解密，其主要采 用技術(shù)如下： (1) 針對數(shù)據(jù)保密區(qū)域，對寫入磁盤的數(shù)據(jù)進行加密或者解密操作； (2) 對非保密區(qū)域，根據(jù)要求，允許或者禁止對磁盤原始數(shù)據(jù)進行讀寫操作； (3) 輔助其他系統(tǒng)控制技術(shù)，實現(xiàn)對涉密數(shù)據(jù)的加密保護。 從磁盤加密技術(shù)的核心內(nèi)容可以看出，因為其僅對磁盤特定區(qū)域進行加密操作，網(wǎng)絡(luò)安全防護技術(shù)特征和優(yōu)缺點 7 具有應(yīng)用無關(guān)的特點，基于該磁盤加密技術(shù)的內(nèi)網(wǎng)安全系統(tǒng)具有以下優(yōu)點： (1) 與應(yīng)用無關(guān)，能夠兼容各種復(fù)雜的應(yīng)用環(huán)境，支持應(yīng)用的升級和變更，無需針對具體應(yīng)用進行產(chǎn)品級的二次開發(fā)，穩(wěn)定性和可用性得到保障； (2) 由于不采用臨時文件技 術(shù)，文件讀寫次數(shù)不會增加，確保了系統(tǒng)的使用效率不會明顯下降。 但是，由于磁盤加密技術(shù)僅針對特定的文件存儲區(qū)域進行保護，缺乏對文件本身保密屬性的判斷能力，所以基于該技術(shù)開發(fā)的內(nèi)網(wǎng)安全產(chǎn)品，也具有以下缺點： (1) 因為磁盤加密技術(shù)需要對文件的存儲區(qū)域進行條件限制，所以必然對使用環(huán)境帶來一定的影響，需要部署的時候?qū)κ褂铆h(huán)境進行調(diào)整； (2) 單一的磁盤加密技術(shù)無法防止通過網(wǎng)絡(luò)和其他途徑的文件泄密行為，一個基于該技術(shù)的成熟內(nèi)網(wǎng)安全產(chǎn)品，需要綜合網(wǎng)絡(luò)控制等技術(shù)，內(nèi)網(wǎng)安全產(chǎn)品開發(fā)難度大、周期長。 防火墻技術(shù) 防火墻 是通過對網(wǎng)絡(luò)的隔離和限制訪問等方法來控制網(wǎng)絡(luò)的訪問權(quán)限，從而保護網(wǎng)絡(luò)資源?？傮w上分為數(shù)據(jù)包過濾、應(yīng)用級網(wǎng)關(guān)和代理服務(wù)器等幾大類型。 數(shù)據(jù)包過濾 數(shù)據(jù)包過濾 (Packet Filtering)技術(shù)是在網(wǎng)絡(luò)層對數(shù)據(jù)包進行選擇，選擇的依據(jù)是系統(tǒng)內(nèi)設(shè)置的過濾邏輯，被稱為訪問控制表 (Access Control Table)。通過檢查數(shù)據(jù)流中每個數(shù)據(jù)包的源地址、目的地址、所用的端口號、協(xié)議狀態(tài)等因素，或它們的組合來確定是否允許該數(shù)據(jù)包通過。數(shù)據(jù)包過濾防火墻邏輯簡單，價格便宜，易于安裝和使用，網(wǎng)絡(luò)性 能和透明性好，它通常安裝在路由器上。路由器是內(nèi)部網(wǎng)絡(luò)與 Inter 連接必不可少的設(shè)備，因此在原有網(wǎng)絡(luò)上增加這樣的防火墻幾乎不需要任何額外的費用。 數(shù)據(jù)包過濾防火墻的缺點有二：一是非法訪問一旦突破防火墻，即可對主機上的軟件和配置漏洞進行攻擊； 二是數(shù)據(jù)包的源地址、目的地址以及 IP 的端口號都在數(shù)據(jù)包的頭部，很有可能被竊聽或假冒。 應(yīng)用級網(wǎng)關(guān) 應(yīng)用級網(wǎng)關(guān) (Application Level Gateways)是在網(wǎng)絡(luò)應(yīng)用層上建立協(xié)過濾和轉(zhuǎn)發(fā)功能。它針對特定的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議使用指定的數(shù)據(jù)過濾邏輯， 并在過濾的同時，對網(wǎng)絡(luò)安全防護技術(shù)特征和優(yōu)缺點 8 數(shù)據(jù)包進行必要的分析、登記和統(tǒng)計，形成報告。實際中的應(yīng)用網(wǎng)關(guān)通常安裝在專用工作站系統(tǒng)上。數(shù)據(jù)包過濾和應(yīng)用網(wǎng)關(guān)防火墻有一個共同的特點，就是它們僅僅依靠特定的邏輯判定是否允許數(shù)據(jù)包通過。一旦滿足邏輯，則防火墻內(nèi)外的計算機系統(tǒng)建立直接聯(lián)系，防火墻外部的用戶便有可能直接了解防火墻內(nèi)部的網(wǎng)絡(luò)結(jié)構(gòu)和運行狀態(tài)，這有利于實施非法訪問和攻擊。 代理服務(wù) 代理服務(wù) (Proxy Service)也稱鏈路級網(wǎng)關(guān)或 TCP 通道 (Circuit Level Gate