【正文】 這些證明方法包括令牌、智能卡和仿生裝置，如視網(wǎng)膜或指紋掃描器。隨著電信行業(yè)堅持放松管制， GTE 已經(jīng)使用數(shù)字證書與其競爭對手（包括 Sprint 公司和 AT＆ T 公司）共享用戶信息。這是迄今為止最為完整最為權(quán)威的電子商務(wù)安全保障協(xié)議。從 1991 年 6 月 ANS 公司的第一個防火墻產(chǎn)品 ANS Interlock Service 防火墻上市以來，到目前為止，世界上至 少有幾十家以上的公司和研究所在從事防火墻技術(shù)的研究和產(chǎn)品開發(fā)。它是一種隔離控制技術(shù)，在某個機構(gòu)的網(wǎng)絡(luò)和不安全的網(wǎng)絡(luò)（如 Inter）之間設(shè)置屏障，阻止對信息資源的非法訪問，也可以使用防火墻阻止重要信息從企業(yè)的網(wǎng)絡(luò)上被非法輸出。它可以允許或禁止一類具體的 IP 地址訪問，也可以接收或拒絕 TCP/IP 上的某一類具體的應(yīng)用。 FireWall 一般安裝在路由器上以保護一個子網(wǎng)，也可以安裝在一臺主機上，保護這臺主機不受侵犯。一個路由器便是一個 “傳統(tǒng) ”的網(wǎng)絡(luò)級防火墻，大多數(shù)的路由器都能通過檢查這些信息來決定是否將所收到的包轉(zhuǎn)發(fā)，但它不能判斷出一個 IP 包來自何方，去向何處。 b. 應(yīng)用級網(wǎng)關(guān)： 19 應(yīng)用級網(wǎng)關(guān)能夠檢查進出的數(shù)據(jù)包，通過網(wǎng)關(guān)復(fù)制傳遞數(shù)據(jù)，防止在受信任服務(wù)器和客戶機與不受信任的主機間直接建立聯(lián)系。 在實 際工作中，應(yīng)用網(wǎng)關(guān)一般由專用工作站系統(tǒng)來完成。 c. 電路級網(wǎng)關(guān)： 電路級網(wǎng)關(guān)用來監(jiān)控受信任的客戶或服務(wù)器與不受信任的主機間的 TCP 握手信息 ,這樣來決定該 會話（ Session）是否合法 ,電路級網(wǎng)關(guān)是在 OSI 模 型中會話層上來過濾數(shù)據(jù)包 ,這樣比包過濾防火墻要高二層。包過濾技術(shù)和應(yīng)用網(wǎng)關(guān)是通過特定的邏輯判斷來決定是否允許特定的數(shù)據(jù)包通過，一旦判斷條件滿足，防火墻內(nèi)部網(wǎng)絡(luò)的結(jié)構(gòu)和運行狀態(tài)便 “暴露 ”在外來用戶面前，這就引入了代理服務(wù)的概念，即防火墻內(nèi) 外計算機系統(tǒng)應(yīng)用層的 “鏈接 ”由兩個終止于代理服務(wù)的 “鏈接 ”來實現(xiàn)，這就成功地實現(xiàn)了防火墻內(nèi)外計算機系統(tǒng)的隔離。它同包過濾防火墻一樣，規(guī)則檢查防火墻能夠在 OSI 網(wǎng)絡(luò)層上通過 IP 地址和端口號，過濾進出的數(shù)據(jù)包。規(guī)則檢查防火墻不依靠與應(yīng)用層有關(guān)的代理，而是依靠某種算法來識別進出的應(yīng)用層數(shù)據(jù)，這些算法通過已知合法數(shù)據(jù)包的模式來比較進出數(shù)據(jù)包，這樣從理論上就能比應(yīng)用級代理在過濾數(shù)據(jù)包上更有效。 網(wǎng)絡(luò)的安全對整個系統(tǒng)的正常運行和發(fā)展起著至關(guān)重要的影響。 ? Java： 作為一種技術(shù)，到底是否成功， 一直備受爭議。 ? 電子郵件病毒 ： 超過 85%的人使用互聯(lián)網(wǎng)是為了收發(fā)電子郵件，沒有人統(tǒng)計其中有多少正使用直接打開附件的郵件閱讀軟件。 ? 微軟的軟件 ： 產(chǎn)品越做越大，發(fā)現(xiàn)漏洞之后用來堵住漏洞的補丁也越做越大，但是又有多少普通用戶真正會去下載它們？ ? 比爾 自由 軟件要求所有結(jié)果必須公開，據(jù)說讓全世界的程序員一起來查找漏洞，效率會很高。這是標(biāo)準(zhǔn)的注意力經(jīng)濟模式。 網(wǎng)絡(luò)安全缺陷 如果網(wǎng)絡(luò)信息系統(tǒng)本身沒有任何安全缺陷，那么惡意攻擊者即使再有天大的本事也不能對網(wǎng)絡(luò)信息安全和保密構(gòu)成威脅。此方法在所有方法中危害最大，因為它不需要像第二種方法那樣一遍又一遍地嘗試登錄服務(wù)器，而是在本地將加密后的口令與 Shadow 文件中的口令相比較就能非常容易地破獲用戶密碼，尤其對那些弱智用戶 (指口令安全系數(shù)極低的用戶，如某用戶賬號為 zys，其口令就是 zys66 66666或干脆就是zys 等 )更是在短短的一兩分鐘內(nèi)，甚至幾十秒內(nèi)就可以將其干掉。 (3) WWW 的欺騙技術(shù) 在網(wǎng)上。當(dāng)您連接到因特網(wǎng)上時，這個程序就會通知黑客，來報告您的 IP 地址以及預(yù)先設(shè)定的端口。有些缺陷是可以通過人為努力加以避免或者改進，但有些安全缺陷則是各種折衷所必須付出的代價。 21 ? 網(wǎng)絡(luò)管理員 ： 管理員可以得到我們的個人資料、看我們的信、知道我們的信用卡號碼，如果 做些手腳的話，還能通過網(wǎng)絡(luò)控制我們的機器。不幸的是，跟薪水和股權(quán)相比，責(zé)任心和技術(shù)能力顯得沒有那么重要。但蓋茨沒有受到太大影響，遭罪的是普通人。 ? 認證和授權(quán) ： 每當(dāng)有窗口彈出，問使用者是不 是使用本網(wǎng)站的某某認證時，絕大多數(shù)人會毫不猶豫地按下 “Yes”。 ? CGI： 很難想象沒有 CGI 技術(shù)，網(wǎng)站會是什么樣子。此方面的研究，目前僅處于理論探索階段，尚未商業(yè)產(chǎn)品問世。 b. 防火墻技術(shù)的另外一個弱點在于數(shù)據(jù)在防火墻之間的更新是一個難題，如果延遲太大將無法支持實時服務(wù)請求。當(dāng)然它 也象應(yīng)用級網(wǎng)關(guān)一樣，可以在 OSI 應(yīng)用層上檢查數(shù)據(jù)包的內(nèi)容，查看這些內(nèi)容是否能符合企業(yè)網(wǎng)絡(luò)的安全規(guī)則。代理服務(wù)技術(shù)主要通過專用計算機硬件（如工作站）來承擔(dān)。代理服務(wù)器是設(shè)置在 Inter 防火墻網(wǎng)關(guān)的專用應(yīng)用級代碼。 應(yīng)用級網(wǎng)關(guān)有較好的訪問控制，是目前最安全的防火墻技術(shù)，但實現(xiàn)困難，而且有的應(yīng)用級網(wǎng)關(guān)缺乏 “透明度 ”。它針對特別的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議即數(shù)據(jù)過濾協(xié)議，并且能夠?qū)?shù)據(jù)包分析并形成相關(guān)的報告。如果沒有一條規(guī)則能符合，防火墻就會使用默認規(guī)則，一般情況下，默認規(guī)則就是要求防火墻丟棄該包。它們之間各有所長，具體使用哪一種或是否混合使用，要看具體需要。如果一個企業(yè)只是使用 Inter 的電子郵件和 WWW 服務(wù)器向外部提供信息，那么就可以在 FireWall 上設(shè)置使得只有這兩類應(yīng)用的數(shù)據(jù)包可以通過。通常企業(yè)為了維護內(nèi)部的信息系統(tǒng)安全，在企業(yè)網(wǎng)和 Inter 間設(shè)立 FireWall 軟件。國內(nèi)也開始了這方面的研究，但跟國外先進水平相比，差距比較大。作為一種有效解決網(wǎng)絡(luò)之間訪問控制的方法，國際上在這方面的研究很多。這種解決辦法可以持續(xù)較長的時間，并且更加靈活，存儲信息更多，并具有可供選擇的管理方式。這是一種檢驗用戶身份的電子文件，也是企業(yè)現(xiàn)在可以使用的一種工具。 (1) 雙重認證。更保密的認證可以是幾種方法 組合而成。至于說到 “他知道什么 ”，最普通的就是口令，口令具有共享秘密的屬性。認證的標(biāo)準(zhǔn)方法就是弄清楚他是誰，他具有什么特征，他知道什么可用于識別他的東西。 密碼技術(shù)是解決網(wǎng)絡(luò)上信息傳輸安全的主要方法，它不僅建立在安全的加密算法設(shè)計上，而且取決于安全協(xié)議設(shè)計的安全性。發(fā)送方在發(fā)送數(shù)據(jù)時必須加上數(shù)據(jù)簽名，做法是用自己的私鑰加密一段與發(fā)送數(shù)據(jù)相關(guān)的數(shù)據(jù)作為數(shù)字簽名，然后與發(fā)送數(shù)據(jù)一起用接收方密鑰加密。即公開密鑰加密，它的加密密鑰和解密密鑰是不同的。最有名的算法有美國頒布的數(shù)據(jù)加密標(biāo)準(zhǔn) DES 和 RC5 算法、日本 NTT 公司的 FEAL、歐洲的 IKEA、澳大利亞的 LOKI等傳統(tǒng)密鑰密碼算法和以 RSA 算法為代表的公開密鑰算法等。為了解決這個問題，國內(nèi)外很多研究機構(gòu)在這方面做了很多工作，例如數(shù)據(jù)加密技術(shù)、身份認證、數(shù)字簽名、防火墻、安全審計、安全管理、安全內(nèi)核、安全協(xié)議、 IC 卡（存儲卡、加密存儲卡、 CPU 卡）、拒絕服務(wù)、網(wǎng)絡(luò)安全性分析、網(wǎng)絡(luò)信息安全監(jiān)測和信息安全標(biāo)準(zhǔn)化等方面的研究。因此，研究網(wǎng)絡(luò)安全課題具有十分重要的理論意義和實際背景。 2. 網(wǎng)絡(luò)安全 網(wǎng)絡(luò)安全的重要性 隨著網(wǎng)絡(luò)的快速普及及網(wǎng)絡(luò)的開放性、共享性、互聯(lián)程度的擴大，特別是Inter 網(wǎng)的出現(xiàn)，網(wǎng)絡(luò)的重要性和對社會的影響也越來越大。LMMP 以前被稱為 IEEE802 邏輯鏈路控制上的公共管理信息服務(wù)與協(xié)議(CMOL)。 CMOT 的一個致命弱點在于它是一個過渡性的方案，而沒有人會把注意力集中在一個短期方案上。另外，值得注意的是 OSI 沒有在應(yīng)用層之下特別為網(wǎng)絡(luò) 管理定義協(xié)議。 出于通用性的考慮， CMlS/CMIP 的功能與結(jié)構(gòu)跟別 MP 很不相同， SNMP 是按照簡單和易于實現(xiàn)的原則設(shè)計的 ，而 CMIS／ CMIP 則能夠提供支持一個完整網(wǎng)絡(luò)管理方案所需的功能。在前兩個版本中SNMP 功能都得到了極大的增強，而在最新的版本中， SNMP 在安全性方面有了很大的改善， SNMP 缺乏安全性的弱點正逐漸得到克服。 SGMP 給出了監(jiān)控網(wǎng)關(guān) (OSI 第三層路由器 )的直接手段， SNMP 則是在其基礎(chǔ)上發(fā)展而來。 SGMP 是在NYSERNET 和 SURANET 上開發(fā)應(yīng)用的網(wǎng)絡(luò)管理工具，而 CMIS/CMIP 是 20 世紀 80 年代中期國際標(biāo)準(zhǔn)化組織 (ISO)和 CCITT 聯(lián)合制訂的網(wǎng)絡(luò)管理標(biāo)準(zhǔn)。以往的網(wǎng)絡(luò)管理系統(tǒng)往往是廠商在自己的網(wǎng)絡(luò)系統(tǒng)中開發(fā)的專用系統(tǒng)，很難對其他廠商的網(wǎng)絡(luò)系統(tǒng)、通信設(shè)備軟件等進行管理，這種狀況很不適應(yīng)網(wǎng)絡(luò)異構(gòu)互聯(lián)的發(fā)展趨勢。 雖然 SPECTRUM 是一個優(yōu)秀的網(wǎng)絡(luò)管理軟件，但它卻只有很低的市場占有率。但后來 SNM 在市場的地位被 HP 的 OpenView 所取代，現(xiàn)在 SNM 在市場中所占的份額越來越少，不過 SNM 仍然具有很多第三方開發(fā)的應(yīng)用。 SNM 的開發(fā)似乎已經(jīng)減慢甚至停止，不過 SUN 已經(jīng)簽署一份許可證給 NetLabs DiMONS 3G 公司，授權(quán)該公司以 SNM 為基礎(chǔ)開發(fā)一個名叫 Enpass 的新網(wǎng)絡(luò)管理系統(tǒng)。雖然目前 NewView 在吸引第三方應(yīng)用開發(fā)廠商方面還不如 openView，但這種差距正在縮小。跟 OpenView 一樣， NetView 作為企業(yè)級的網(wǎng)絡(luò)管理系統(tǒng)，但它也不能提供 NetWare， SNA， DEC， ，無線通信交換機以及其他非 SNMF 設(shè)備的管理功能。在近期， OpenView 看上去更像一個工業(yè)標(biāo)準(zhǔn)的網(wǎng)絡(luò)管理系統(tǒng)。另一方面，HP 努力使 OpenView 由最初的提供給第三方應(yīng)用廠商的開發(fā)系統(tǒng)，轉(zhuǎn)變?yōu)橐粋€跨平臺的最終用戶產(chǎn)品 。我們下面將介紹四種網(wǎng)絡(luò)管理系統(tǒng)，并給出它們的優(yōu)缺點比較。 12 網(wǎng)絡(luò)管理系統(tǒng) 由于網(wǎng)絡(luò)管理已經(jīng)有了一系列的標(biāo)準(zhǔn)，以及 OSI 定義的網(wǎng)絡(luò)管理五大功能，使得具有配置管理、性能管理、故障管理、安全管理和計費管理五大功能的管理系統(tǒng) 成為可能。這樣需要一個制定計費政策的友好人機界面和完善的實現(xiàn)計費政策的數(shù)據(jù)模型。 總之，網(wǎng)絡(luò)管理通過網(wǎng)關(guān) (即邊界路由器 )控制外來用戶對網(wǎng)絡(luò)資源的訪問，以防止外來的攻擊；通過告警事件的分析處理，以發(fā)現(xiàn)正在進行的可能的攻擊；通過安全漏洞檢擒來發(fā)現(xiàn)存在的安全隱患，以防患于未然。 e. 系統(tǒng)日志分析，記錄用戶所有的操作，使系統(tǒng)的操作和對網(wǎng)絡(luò)對象的修改有據(jù)可查，同時也有助于故障的跟蹤與恢復(fù)。 網(wǎng)絡(luò)管理過程中，存儲和傳輸?shù)墓芾砗涂刂菩畔W(wǎng)絡(luò)的運行和管理至關(guān)重要，一旦泄密、被篡改和偽造，將給網(wǎng)絡(luò)造成災(zāi)難性的破壞。 c. 故障信息管理：依靠對事件記錄的分析，定義網(wǎng)絡(luò)故障并生成故障卡片，記錄排除故障的步驟和與故障相關(guān)的值班員日志，構(gòu)造排錯行動記錄，將事件 故障 日志構(gòu)成邏輯上相互關(guān)聯(lián)的整體，以反映故障產(chǎn)生、變化、消除的整個過程的各個方面。 10 e. 實時性能監(jiān)控：提供了一系列實時數(shù)據(jù)采集；分析和可視化工具，用以對流量、負載、丟包、溫度、內(nèi)存、延遲等網(wǎng)絡(luò)設(shè)備和線路的性能指標(biāo)進行實時檢測，可任意設(shè)置數(shù)據(jù)采集間隔。 b. 閾值控制：可對每一個被管對象的每一條屬性設(shè)置閾值，對于特定被管對象的特定屬性，可以針對不同的時間段和性能指標(biāo)進行閾值設(shè)置。管理人員可以隨時查看特定用戶在特定時問內(nèi)進行的特定配置操作。因此，對整個 網(wǎng)絡(luò)的配置情況進行一致性檢查是必需的。 b. 自動配置、自動備份及相關(guān)技術(shù)：配置信息自動獲取功能相 當(dāng)于從網(wǎng)絡(luò)設(shè)備中 “讀 ”信息，相應(yīng)的，在網(wǎng)絡(luò)管理應(yīng)用中還有大量 “寫 ”信息的需求。 (1) 配置管理 9 a. 配置信息的自動獲?。涸谝粋€大型網(wǎng)絡(luò)中，需要管理的設(shè)備是比較多的，如果每個設(shè)備的配置信息都完全依靠管理人員的手工輸入，工作量是相當(dāng)大的，而且還存在出錯的可能性。在 OSI 網(wǎng)絡(luò)管理標(biāo)準(zhǔn)中定義了網(wǎng)絡(luò)管理的 5 大功能：配置管理、性能管理、故障管理、安全管理和計費管理，這 5 大 功能是網(wǎng)絡(luò)管理最基本的功能。國際上有一些組織機構(gòu)致力于研究、制定、開發(fā)網(wǎng)絡(luò)管理的服務(wù)標(biāo)準(zhǔn)、協(xié)議和體系結(jié)構(gòu)，其中最重要的有： (1) 國際標(biāo)準(zhǔn)化組織 (ISO) (2) 國際電信聯(lián)盟電信標(biāo)準(zhǔn)化部 (ITUT) (3) Inter 工程任務(wù)組 (IETF) 這三個組織制定了一系列的網(wǎng)絡(luò)管理標(biāo)準(zhǔn)，為網(wǎng)絡(luò)管理的標(biāo)準(zhǔn)化進程做了大量工作。 ? 一個網(wǎng)絡(luò)往往由若干個大大小小的子網(wǎng)組成，集成了多種網(wǎng)絡(luò)操作系統(tǒng)（ NOS）平臺，并且包括了不同廠家、公司的網(wǎng)絡(luò)設(shè)備和通信設(shè)備等。此標(biāo)準(zhǔn)由兩部分組成：加拿大可信任計算機產(chǎn)品評估標(biāo)準(zhǔn) (Canadian Trusted Computer Product Evaluation Criteria,簡稱CTCPEC)和普通標(biāo)準(zhǔn)（ Common Criteria）。 網(wǎng)絡(luò)安全的級別 就網(wǎng)絡(luò)安全的工作而言，美國與加拿大做得比較早，效果也較好。 (3) 接入控制 7 接入控制網(wǎng)絡(luò)的一大優(yōu)點就是能夠資源共享，用戶可通過網(wǎng)絡(luò)來共享系統(tǒng)提供的各種資源。目前對安全協(xié)議的設(shè)計，主要是針對具體的攻擊設(shè)計安全的通信協(xié)議。 (2) 安全協(xié)議設(shè)計 網(wǎng)絡(luò)的安全協(xié)議是網(wǎng)絡(luò)安 全的一個重要方面。 網(wǎng)絡(luò)安全的研究對象 網(wǎng)絡(luò)安全研究的對象主要內(nèi)容包括保密性、安全