【正文】 計(jì)算機(jī)網(wǎng)絡(luò)安全管理 葛秀慧等 編著 高等學(xué)校計(jì)算機(jī)科學(xué)與技術(shù)教材 總目錄 第 1章 網(wǎng)絡(luò)安全管理基礎(chǔ) 第 2章 加密技術(shù) 第 3章 Windows NT網(wǎng)絡(luò)操作系統(tǒng)的安全管理 第 4章 Windows 操作系統(tǒng)的安全管理 第 5章 Linux網(wǎng)絡(luò)操作系統(tǒng)的安全管理 第 6章 電子郵件的安全管理 第 7章 計(jì)算機(jī)病毒 第 8章 防火墻安全管理 第 9章 電子商務(wù)網(wǎng)站的安全 第 1章 網(wǎng)絡(luò)安全管理基礎(chǔ) 網(wǎng)絡(luò)體系結(jié)構(gòu)概述 網(wǎng)絡(luò)體系結(jié)構(gòu)的參考模型 系統(tǒng)安全結(jié)構(gòu) TCP/IP層次安全 TCP/IP服務(wù)安全 個(gè)人安全 局域網(wǎng)的安全 廣域網(wǎng)的安全 網(wǎng)絡(luò)安全威脅 網(wǎng)絡(luò)系統(tǒng)安全應(yīng)具備的功能 網(wǎng)絡(luò)安全的主要攻擊形式 網(wǎng)絡(luò)安全的關(guān)鍵技術(shù) 保證網(wǎng)絡(luò)安全的措施 網(wǎng)絡(luò)的安全策略 第 1章 網(wǎng)絡(luò)安全管理基礎(chǔ) 在信息時(shí)代，信息安全問題越來越重要，而現(xiàn)在大部分信息都是通過網(wǎng)絡(luò)來傳播，網(wǎng)絡(luò)安全成為 21世紀(jì)世界十大熱門課題之一。網(wǎng)絡(luò)安全在 IT業(yè)內(nèi)可分為：網(wǎng)絡(luò)安全硬件、網(wǎng)絡(luò)安全軟件、網(wǎng)絡(luò)安全服務(wù)。網(wǎng)絡(luò)硬件包括：防火墻和 VPN、獨(dú)立的 VPN、入侵檢測(cè)系統(tǒng)、認(rèn)證令牌和卡、生物識(shí)別系統(tǒng)、加密機(jī)和芯片；網(wǎng)絡(luò)安全軟件包括：安全內(nèi)容管理、防火墻／ VPN、入侵檢測(cè)系統(tǒng)、安全 3A、加密，其中安全內(nèi)容管理還有防病毒、網(wǎng)絡(luò)控制和郵件掃描，安全 3A包括授權(quán)、認(rèn)證和管理；網(wǎng)絡(luò)安全服務(wù)包括：顧問咨詢、設(shè)計(jì)實(shí)施、支持維護(hù)、教育培訓(xùn)、安全管理。目前隨著互聯(lián)網(wǎng)的日益普及，網(wǎng)絡(luò)安全正在成為一個(gè)人們關(guān)注的焦點(diǎn)。而要保證網(wǎng)絡(luò)安全就必須對(duì)網(wǎng)絡(luò)進(jìn)行安全的管理。讓我們先了解一下網(wǎng)絡(luò)體系結(jié)構(gòu)的相關(guān)知識(shí)以及在相應(yīng)模型中的安全問題。再對(duì)網(wǎng)絡(luò)安全進(jìn)行詳細(xì)的分析以及討論解決網(wǎng)絡(luò)安全管理問題的關(guān)鍵技術(shù)。 167。 網(wǎng)絡(luò)體系結(jié)構(gòu)概述 大家知道，一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)有許多互相連接的接點(diǎn)，在這些接點(diǎn)之間要不斷的進(jìn)行數(shù)據(jù)交換，要做到有序的交換數(shù)據(jù)，每個(gè)接點(diǎn)就必須遵守一些事先約定好的規(guī)則，這些規(guī)則明確規(guī)定了所交換的數(shù)據(jù)的格式以及相關(guān)的同步問題。這些為進(jìn)行網(wǎng)絡(luò)數(shù)據(jù)交換而建立的規(guī)則、標(biāo)準(zhǔn)或約定就稱為網(wǎng)絡(luò)協(xié)議。一個(gè)網(wǎng)絡(luò)協(xié)議主要由以下三個(gè)要素組成： 語法，即數(shù)據(jù)與控制信息的結(jié)構(gòu)或格式； 語義，即需要發(fā)出何種控制信息、完成何種協(xié)議以及做出何種應(yīng)答； 同步，即事件實(shí)現(xiàn)順序的詳細(xì)說明。 由此可見，網(wǎng)絡(luò)協(xié)議是計(jì)算機(jī)網(wǎng)絡(luò)不可缺少的部分。很多經(jīng)驗(yàn)和實(shí)踐表明，對(duì)于非常復(fù)雜的計(jì)算機(jī)網(wǎng)絡(luò)協(xié)議，為了減少網(wǎng)絡(luò)設(shè)計(jì)的復(fù)雜性，大多數(shù)網(wǎng)絡(luò)都按層（ layer）或級(jí)（ level）的方式來進(jìn)行組織。不同的網(wǎng)絡(luò)，其層的數(shù)量、名字、內(nèi)容和功能都不盡相同。這樣分層的好處在于：每一層都實(shí)現(xiàn)相對(duì)的獨(dú)立功能，因此就能將一個(gè)難以處理的復(fù)雜問題分解為若干個(gè)較容易處理的問題。 167。 網(wǎng)絡(luò)體系結(jié)構(gòu)概述 計(jì)算機(jī)網(wǎng)絡(luò)的各層及協(xié)議的集合，稱為網(wǎng)絡(luò)的體系結(jié)構(gòu)（ Network architecture）。換言之，計(jì)算機(jī)網(wǎng)絡(luò)的體系結(jié)構(gòu)即使這個(gè)計(jì)算機(jī)網(wǎng)絡(luò)及其部件所應(yīng)該完成的功能的精確定義。需要強(qiáng)調(diào)的是，這些功能究竟由何種硬件或軟完成，則是一個(gè)遵循這種體系結(jié)構(gòu)的實(shí)現(xiàn)的問題?？梢婓w系結(jié)構(gòu)是抽象的，是存在于紙上的，而實(shí)現(xiàn)是具體的，是運(yùn)行在計(jì)算機(jī)軟件和硬件之上的。常見的網(wǎng)絡(luò)層次結(jié)構(gòu)如圖 11所示： 167。 網(wǎng)絡(luò)體系結(jié)構(gòu)概述 圖 11層、協(xié)議和接口 167。 網(wǎng)絡(luò)體系結(jié)構(gòu)的參考模型 網(wǎng)絡(luò)體系結(jié)構(gòu)的參考模型主要有兩種：即 OSI模型和 TCP/IP模型。 OSI參考模型 現(xiàn)代計(jì)算機(jī)網(wǎng)絡(luò)的設(shè)計(jì)，是按高度結(jié)構(gòu)化方式進(jìn)行的。為減少協(xié)議設(shè)計(jì)的復(fù)雜性，大多數(shù)網(wǎng)絡(luò)都按層或級(jí)的方式來組織，每一層都建立在它的下層之上；不同的網(wǎng)絡(luò)，其層的數(shù)量，各層的名字，內(nèi)容和功能都不盡相同。然而，在所有的網(wǎng)絡(luò)中，每一層的目的，都是向它的上一層提供服務(wù)的，而把這種服務(wù)是如何實(shí)現(xiàn)的細(xì)節(jié)對(duì)上層加以屏蔽。 最著名的網(wǎng)絡(luò)體系結(jié)構(gòu)是國(guó)際標(biāo)準(zhǔn)化組織 ISO的開放系統(tǒng)互聯(lián) OSI（ Open System Interconnection）參考模型，即我們通常所提的 OSI模型。 OSI模型有七層，其分層原則如下： 根據(jù)功能的需要分層； 每一層應(yīng)當(dāng)實(shí)現(xiàn)一個(gè)定義明確的功能； 每一層功能的選擇應(yīng)當(dāng)有利于制定國(guó)際標(biāo)準(zhǔn)化協(xié)議； 各層界面的選擇應(yīng)當(dāng)盡量減少通過接口的信息量； 層數(shù)應(yīng)足夠多，以避免不同的功能混雜在同一層中；但也不能過多，否則體系結(jié)構(gòu)會(huì)過于龐大。 OSI參考模型由低到高依次是物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層、傳輸層、會(huì)話層、表示層和應(yīng)用層，其體系結(jié)構(gòu)如圖： 圖 12基于 OSI參考模型 TCP/IP協(xié)議結(jié)構(gòu)體系 TCP/IP協(xié)議體系結(jié)構(gòu)與 OSI參考模型類似，也為分層體系結(jié)構(gòu)，但比 OSI參考模型的層數(shù)要少，一般只的四層結(jié)構(gòu)，從低到高，依次為網(wǎng)絡(luò)接口層、網(wǎng)絡(luò)層、傳輸層和應(yīng)用層。 圖 13基于 TCP/IP的參考模型 系統(tǒng)安全結(jié)構(gòu) 網(wǎng)絡(luò)系統(tǒng)的安全涉及到平臺(tái)的各個(gè)方面。按照網(wǎng)絡(luò) OSI的 7層模型，網(wǎng)絡(luò)安全貫穿于整個(gè) 7層模型。針對(duì)網(wǎng)絡(luò)系統(tǒng)實(shí)際運(yùn)行的 TCP/IP協(xié)議，網(wǎng)絡(luò)安全貫穿于信息系統(tǒng)的 4個(gè)層次。 1. 物理層 物理層信息安全，主要防止物理通路的損壞、物理通路的竊聽、對(duì)物理通路的攻擊（干擾等）。 2. 數(shù)據(jù)鏈路層 數(shù)據(jù)鏈路層的網(wǎng)絡(luò)安全需要保證通過網(wǎng)絡(luò)鏈路傳送的數(shù)據(jù)不被竊聽。主要采用劃分 VLAN（局域網(wǎng)）、加密通訊（遠(yuǎn)程網(wǎng)）等手段。 3. 網(wǎng)絡(luò)層 網(wǎng)絡(luò)層的安全需要保證網(wǎng)絡(luò)只給授權(quán)的客戶使用授權(quán)的服務(wù)，保證網(wǎng)絡(luò)路由正確，避免被攔截或監(jiān)聽。 4. 操作系統(tǒng) 操作系統(tǒng)安全要求保證客戶資料、操作系統(tǒng)訪問控制的安全，同時(shí)能夠?qū)υ摬僮飨到y(tǒng)上的應(yīng)用進(jìn)行審計(jì)。 5. 應(yīng)用平臺(tái) 應(yīng)用平臺(tái)指建立在網(wǎng)絡(luò)系統(tǒng)之上的應(yīng)用軟件服務(wù)，如數(shù)據(jù)庫(kù)服務(wù)器、電子郵件服務(wù)器、 Web服務(wù)器等。由于應(yīng)用平臺(tái)的系統(tǒng)非常復(fù)雜，通常采用多種技術(shù)（如 SSL等）來增強(qiáng)應(yīng)用平臺(tái)的安全性。 6. 應(yīng)用系統(tǒng) 應(yīng)用系統(tǒng)完成網(wǎng)絡(luò)系統(tǒng)的最終目的 為用戶服務(wù)。應(yīng)用系統(tǒng)的安全與系統(tǒng)設(shè)計(jì)和實(shí)現(xiàn)關(guān)系密切。應(yīng)用系統(tǒng)使用應(yīng)用平臺(tái)提供的安全服務(wù)來保證基本安全如通訊內(nèi)容安全，通訊雙方的認(rèn)證，審計(jì)等手段。 TCP/IP層次安全 Inter層的安全性 Inter層是非常適合提供基于主機(jī)對(duì)主機(jī)的安全服務(wù)的。相應(yīng)的安全協(xié)議可以用來在 Inter上建立安全的 IP通道和虛擬私有網(wǎng)。例如，利用它對(duì) IP包的加密和解密功能，可以簡(jiǎn)捷地強(qiáng)化防火墻系統(tǒng)的防衛(wèi)能力。 傳輸層的安全性 在 Inter中提供安全服務(wù)的首先一個(gè)想法便是強(qiáng)化它的 IPC界面，如 BSD Sockets等，具體做法包括雙端實(shí)體的認(rèn)證，數(shù)據(jù)加密密鑰的交換等。 Netscape通信公司遵循了這個(gè)思路，制定了建立在可靠的傳輸服務(wù) (如 TCP/IP所提供 )基礎(chǔ)上的安全套接層協(xié)議 (SSL)。 SSL版本 3(SSL v3)于 1995年 12月制定。 應(yīng)用層的安全性 網(wǎng)絡(luò)層 (傳輸層 )的安全協(xié)議允許為主機(jī) (進(jìn)程 )之間的數(shù)據(jù)通道增加安全屬性。 TCP/IP的服務(wù)安全 ＷＷＷ服務(wù) WWW服務(wù)相對(duì)于其它服務(wù)出現(xiàn)比較晚，是基于超文本傳輸協(xié)議（HTTP），是人們最常使用的 Inter服務(wù)。隨著 Netscape公司推出安全套接字層（ SSL）， WWW服務(wù)器和瀏覽器的安全性得到大大的提高，現(xiàn)在人們已經(jīng)把這種技術(shù)應(yīng)用于電子商務(wù) (Ebusiness)，例如在美國(guó)，人們可以在因特網(wǎng)上買賣股票和使用信用卡購(gòu)物。 電子郵件服務(wù) 電子郵件服務(wù)給人們提供了一種方便和快捷的服務(wù)，現(xiàn)在大部分人都有一個(gè)或多個(gè) Email地址?，F(xiàn)在，任何一個(gè)大型網(wǎng)站上都有免費(fèi)或收費(fèi)電子郵件的申請(qǐng)。電子郵件附件中的 Word文件或其他文件中有可能會(huì)帶有病毒，電子郵件炸彈也是一個(gè)令人頭疼的問題，收到了一大堆垃圾郵件，直到郵件箱被塞滿，也會(huì)使用戶。所以電子郵件的安全我們將在第七章中講述。希望對(duì)讀者的電子郵件安全起到一定作用。 FTP服務(wù)和 TFTP服務(wù) 這兩個(gè)服務(wù)都是用于傳輸文件的，但用的場(chǎng)合不同，安全程度也不同。 TFTP服務(wù)用于局域網(wǎng)，在無盤工作站啟動(dòng)時(shí)用于傳輸系統(tǒng)文件，安全性極差，常被人用來竊取密碼文件 /etc/passwd，因?yàn)樗粠в腥魏伟踩J(rèn)證。 FTP服務(wù)對(duì)于局域網(wǎng)和廣域網(wǎng)都可以，可以用來下載任何類型的文件。 Finger服務(wù) Finger服務(wù)于查詢用戶的信息，包括網(wǎng)上成員的真實(shí)姓名、用戶名、最近的登錄時(shí)間、地點(diǎn)等，也可以用來顯示當(dāng)前登錄在機(jī)器上的所有用戶名，這對(duì)于入侵者來說是無價(jià)之寶，因?yàn)樗芨嬖V他在本機(jī)上的有效的登錄名，然后入侵就可以注意其活動(dòng)。 其它的服務(wù) 除了上面提到的 Finger和 TFTP，還有 XWindow服務(wù)，基于 RPC的NFS服務(wù)， BSD Unix的以“ r‖開頭的服務(wù)，如 Rlogin， rsh， rexec。這些服務(wù)在設(shè)計(jì)上安全性很差，一般只在內(nèi)部網(wǎng)使用。如果有防火墻，應(yīng)把這些服務(wù)限制在內(nèi)部網(wǎng)中。 關(guān)于個(gè)人網(wǎng)絡(luò)的安全是很重要的，如果你的網(wǎng)上免費(fèi)信箱被炸，上網(wǎng)帳號(hào)被偷用那對(duì)用戶就造成了損失，下面簡(jiǎn)單介紹一下應(yīng)該注意的問題。 1. 郵箱中標(biāo)題不明的郵件不能隨便打開。 2. 在聊天室或 BBS上不公開自己的 IP、郵件地址等各人隱私。 3. 要經(jīng)常更換自己計(jì)算機(jī)的密碼。另外，不要當(dāng)外人的面輸入密碼，密碼的長(zhǎng)度足夠長(zhǎng)。 4. 一般不要讓計(jì)算機(jī)記住密碼，以免別人使用你的計(jì)算機(jī)使自己的機(jī)密外泄。 5. 不要在自己的計(jì)算機(jī)上運(yùn)行不明的程序，這些可能是黑客程序。 局域網(wǎng)的安全 局域網(wǎng)安全方法有如下幾種： 網(wǎng)絡(luò)分段 網(wǎng)絡(luò)分段是保證安全的一項(xiàng)重要措施，就是將非法用戶與網(wǎng)絡(luò)資源相互隔離，從而達(dá)到限制用戶非法訪問的目的。 網(wǎng)絡(luò)分段可分為物理分段和邏輯分段兩種方式： 1. 物理分段 通常是指將網(wǎng)絡(luò)從物理層和數(shù)據(jù)鏈路層（ ISO/OSI模型中的第一層和第二層）上分為若干網(wǎng)段，各網(wǎng)段相互之間無法進(jìn)行直接通訊。目前，許多交換機(jī)都有一定的訪問控制能力，可實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)的物理分段。 2. 邏輯分段 網(wǎng)絡(luò)分段是指將整個(gè)系統(tǒng)在網(wǎng)絡(luò)層（ ISO/OSI模型中的第三層）上進(jìn)行分段。例如，對(duì)于 TCP/IP網(wǎng)絡(luò)，可把網(wǎng)絡(luò)分成若干 IP子網(wǎng)，各子網(wǎng)間必須通過路由器、路由交換機(jī)、網(wǎng)關(guān)或防火墻等設(shè)備進(jìn)行連接，利用這些中間設(shè)備（含軟件、硬件）的安全機(jī)制來控制各子網(wǎng)間的訪問。在實(shí)際應(yīng)用過程中，通常采取物理分段與邏輯分段相結(jié)合的方法來實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)系統(tǒng)的安全性控制。 以交換式集線器代替共享式集線器 對(duì)局域網(wǎng)的中心交換機(jī)進(jìn)行網(wǎng)絡(luò)分段后，以太網(wǎng)偵聽的危險(xiǎn)仍然存在。這是因?yàn)榫W(wǎng)絡(luò)最終用戶的接入往往是通過分支集線器而不是中心交換機(jī)，而使用最廣泛的分支集線器通常是共享式集線器。這樣，當(dāng)用戶與主機(jī)進(jìn)行數(shù)據(jù)通信時(shí)，兩臺(tái)機(jī)器之間的數(shù)據(jù)包（為單播包 Unicast Packet）還是會(huì)被同一臺(tái)集線器上的其他用戶所偵聽。一種很危險(xiǎn)的情況是：用戶 TELNET到一臺(tái)主機(jī)上，由于 TELNET程序本身缺乏加密功能，用戶所鍵入的每一個(gè)字符（包括用戶名、密碼等重要信息），都將被明文發(fā)送，這就給黑客提供了機(jī)會(huì)。 因此，應(yīng)該以交換式集線器代替共享式集線器，使單播包僅在兩個(gè)節(jié)點(diǎn)之間傳送，從而防止非法偵聽。 虛擬專用網(wǎng) 虛擬網(wǎng)技術(shù)主要基于近年發(fā)展的局域網(wǎng)交換技術(shù) (ATM和以太網(wǎng)交換 )。交換技術(shù)將傳統(tǒng)的基于廣播的局域網(wǎng)技術(shù)發(fā)展為面向連接的技術(shù)。因此，網(wǎng)管系統(tǒng)有能力限制局域網(wǎng)通訊的范圍而無需通過開銷很大的路由器。 廣域網(wǎng)的安全 加密技術(shù) 加密型網(wǎng)絡(luò)安全技術(shù)的基本思想是不依賴于網(wǎng)絡(luò)中數(shù)據(jù)通道的安全性來實(shí)現(xiàn)網(wǎng)絡(luò)系統(tǒng)的安全，而是通過對(duì)網(wǎng)絡(luò)數(shù)據(jù)的加密來保障網(wǎng)絡(luò)的安全可靠性。數(shù)據(jù)加密技術(shù)可以分為三類，即對(duì)稱型加密、不對(duì)稱型加密和不可逆加密。 VPN技術(shù) VPN（虛擬專網(wǎng)）技術(shù)的核心是采用隧道技術(shù)，將企業(yè)專網(wǎng)的數(shù)據(jù)加密封裝后，透過虛擬的公網(wǎng)隧道進(jìn)行傳輸，從而防止敏感數(shù)據(jù)的被竊。 VPN可以在 Inter、服務(wù)提供商的 IP、幀中繼或 ATM網(wǎng)上建立。企業(yè)通過公網(wǎng)建立 VPN，就如同通過自己的專用網(wǎng)建立內(nèi)部網(wǎng)一樣，享有較高的安全性、優(yōu)先性、可靠性和可管理性，同時(shí)還為移動(dòng)計(jì)算提供了可能。因此， VPN技術(shù)一經(jīng)推出，深得人心， VPN技術(shù)是一種很好的安全技術(shù)。 身份認(rèn)證技術(shù) 對(duì)于從外部撥號(hào)訪問總部?jī)?nèi)部網(wǎng)的用戶，由于使用公共電話網(wǎng)進(jìn)行數(shù)據(jù)傳輸所帶來的風(fēng)險(xiǎn)，必須更加嚴(yán)格控制其安全性。一種常見的做法是采用身份認(rèn)證技術(shù)，對(duì)撥號(hào)用戶的身份進(jìn)行驗(yàn)證并記錄完備的登錄日志。較常用的身份認(rèn)證技術(shù)，有 Cisco公司提出的 TACACS＋以及業(yè)界標(biāo)準(zhǔn)的 RADIUS等。 網(wǎng)絡(luò)安全威脅 1. 安全漏洞 安全漏洞是資源容易遭受攻擊的位置。它可以被視為是一個(gè)弱點(diǎn)。安全漏洞通常按表 12的方法進(jìn)行分類。 安全漏洞類型有物理自然的，硬件和軟件的，媒介的，通信的（未加密的協(xié)議），人為的等2. 乘虛攻擊 一個(gè)威脅通過利用您環(huán)境中的安全漏洞就可以訪問到您的資源。這種類型的攻擊也