網(wǎng)絡信息安全與防火墻技術(shù)應用之探討-wenkub
2023-06-16 12:01:46 本頁面
【正文】 e surface, among them will involve and form the question of criminal offence too. In its simplest form, what it cared about mainly is to guarantee that nonpersonnel can39。從本質(zhì)上來講，網(wǎng)絡安全就是網(wǎng)絡上的信息安全，是指網(wǎng)絡系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不因偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行，網(wǎng)絡服務不中斷。如何更有效地保護重要的信息數(shù)據(jù)、提高計算機網(wǎng)絡系統(tǒng)的安全性已經(jīng)成為所有計算機網(wǎng)絡應用必須考慮和必須解決的一個重要問題。隨著網(wǎng)絡技術(shù)的發(fā)展，網(wǎng)絡安全也就成為當今網(wǎng)絡社會的焦點中的焦點，幾乎沒有人不在談論網(wǎng)絡上的安全問題，病毒、黑客程序、郵件炸彈、遠程偵聽等這一切都無不讓人膽戰(zhàn)心驚。采用傳統(tǒng)的防火墻網(wǎng)絡安全體系結(jié)構(gòu)不失為一種簡單有效的選擇方案。（applicationlayer firewall）應用層防火墻可由下圖簡單示例： CFS 應用層防火墻其中C代表客戶；F代表防火墻而居于客戶和提供相應服務的服務器S之間[2]。接下來防火墻F判斷客戶C是否被授權(quán)訪問相應的服務，若結(jié)果肯定，防火墻F建立自身同服務器S鍵的運輸層連接，并充當二者間交互的中介。（IP layer firewall）網(wǎng)絡層防火墻的基本模型為一個多端口的IP層路由器，它對每個IP數(shù)據(jù)報都運用一系列規(guī)則進行匹配運算[3]，借以判斷該數(shù)據(jù)報是否被前傳或丟棄，也就是利用數(shù)據(jù)包頭所提供的信息，IP數(shù)據(jù)報進行過濾(filter)處理。若結(jié)果匹配，則執(zhí)行相應動作。前者用來驗證用戶的身份，而后者用來判斷用戶是否具有相應資源的訪問權(quán)限。當分組到達防火墻F1時，F(xiàn)1將會進行一系列上述的匹配。Z1隨之進行相應的校驗操作，若校驗結(jié)果正確，權(quán)限校驗服務器Z1知會防火墻F1允許該分組通過。防火墻將提供給外部使用的服務器，通過一定技術(shù)的設備隔離開來，使這些設備形成一個保護區(qū)，即防火區(qū)。它無法防范通過防火墻以外的其它途徑的攻擊，不能防止來自內(nèi)部變節(jié)者和不經(jīng)心的用戶們的帶來的威脅，也不能完全防止傳送已感染病毒的軟件或文件，以及無法防范數(shù)據(jù)驅(qū)動型的攻擊。在這一層上，企業(yè)對安全系統(tǒng)提出的問題是：所有的IP是否都能訪問到企業(yè)的內(nèi)部網(wǎng)絡系統(tǒng)？如果答案是“是” ，則說明企業(yè)內(nèi)部網(wǎng)還沒有在網(wǎng)絡層上采取相應的防范措施。（4） 屏蔽子網(wǎng)結(jié)構(gòu)：這種防火墻是雙穴主機和被屏蔽主機的變形。因此，密切關(guān)注防火墻的最新發(fā)展，對推動INTERNET在我國的健康發(fā)展有著重要的意義。防火墻通過讀取數(shù)據(jù)包中的地址信息來判斷這些“包”是否來自可信任的安全站點，一旦發(fā)現(xiàn)來自危險站點的數(shù)據(jù)包，防火墻便會將這些數(shù)據(jù)拒之門外。包過濾技術(shù)是一種完全基于網(wǎng)絡層的安全技術(shù)，只能根據(jù)數(shù)據(jù)包的來源、目標和端口等網(wǎng)絡信息進行判斷，無法識別基于應用層的惡意侵入，如惡意的JAVA小程序以及電子郵件中附帶的病毒。所謂IP欺騙，無非就是偽造他人的源IP地址?！ P欺騙式攻擊形式多種多樣，從隨機掃描到利用系統(tǒng)已知的一些漏洞。它允許具有私有IP地址的內(nèi)部網(wǎng)絡訪問因特網(wǎng)[6]，還意味著不要為其網(wǎng)絡中每一臺機器取得注冊的IP地址。OLM防火墻[7]根據(jù)預先定義好的映射規(guī)則來判斷這個訪問是否安全。（3）代理型代理型防火墻也可以被稱為代理服務器，它的安全性要高于包過濾型產(chǎn)品，并已經(jīng)開始向應用層發(fā)展。由于外部系統(tǒng)與服務器之間沒有直接的數(shù)據(jù)通道，外部的惡意侵害也就很難傷害到企業(yè)內(nèi)部網(wǎng)絡系統(tǒng)。監(jiān)測型防火墻能夠針對各層的數(shù)據(jù)進行主動的、實時的監(jiān)測，對這些數(shù)據(jù)加以分析的基礎(chǔ)上，監(jiān)測型防火墻能夠有效的判斷出各層的非法侵入。雖然監(jiān)測型防火墻安全性上已經(jīng)超越了包過濾型和代理服務器型防火墻，但由于監(jiān)測型防火墻技術(shù)的實現(xiàn)成本較高，也不易管理，所以目前在實用的防火墻產(chǎn)品仍然以第二代代理型產(chǎn)品為主，但在某些方面也已經(jīng)開始使用監(jiān)測型防火墻[5]。即使安裝好了防火墻，如果沒有實際的外部入侵，也無法得知產(chǎn)品性能的優(yōu)劣。目前各國除了從法律上、管理上加強數(shù)據(jù)的安全保護外，從技術(shù)上分別在軟件和硬件兩方面采取措施，推動著數(shù)據(jù)加密技術(shù)和物理防范技術(shù)的不斷發(fā)展。后者則指信息由發(fā)送者端自動加密，并進入TCP/IP數(shù)據(jù)包回封，然后作為不可閱讀和不可識別的數(shù)據(jù)穿過互聯(lián)網(wǎng)，當這些信息一旦到達目的地將被自動重組、解密，成為可讀數(shù)據(jù)。（4） 密鑰管理技術(shù)為了數(shù)據(jù)使用的方便，數(shù)據(jù)加密在許多場合集中表現(xiàn)為密鑰的應用，因此密鑰往往是保密與竊密的主要對象。計算機安全應從三個方面加以衡量，即保密性，完整性和可靠性。參考文獻：[1] 雷震甲 《網(wǎng)絡工程師教程》 清華大學出版社，,640645 [2] BIHAM. E and SHAMIR, A. Differential Cryptanalysis of the Data Encryptio Standard,New York: SpringerVerlag, 1993, 234238[3] BERTSEKAS. D and GALLAGER, Data Netw
公司管理相關(guān)推薦
鄂ICP備17016276號-1