【正文】 構、安全協(xié)議、現代密碼理論、信息分析和監(jiān)控以及信息安全系統(tǒng)五個方面開展研究，各部分相互協(xié)同形成有機整體。 1976年美國學者提出的公開密鑰密碼體制，克服了網絡信息系統(tǒng)密鑰管理的困難，同時解決了數字簽名問題，它是當前研究的熱點。 （論文） 26 第三章網絡安全體系結構 通過對網絡安全的全面了解，按照安全風險、需要分析結果、安全策略即網絡的安全目標，結合內網與外部互聯網絡的實際使用情況，制定合理的網絡 安全方法層次體系結構 (圖 31)可以從以下幾個方面建立。 （ 2）設備安全 設備安全主要包括設備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電（論文） 27 磁干擾及電源保護等 ； 設備冗余備份 ； 通過嚴格管理及提高員工的整體安全意識來實現。為了防止系統(tǒng)中的信息在空間上的擴散，通常是在物理上采取一定的防護措施，來減少或干擾擴散出去的空間信號。 (2)操作系統(tǒng)安全 對于操作系統(tǒng)的安全防范可以采取如下策略 ： 盡量采用安全性較 高的網絡操作系統(tǒng)并進行必要的安全配置、關閉一些起不常用卻存在安全隱患的應用、對一些保存有用戶信息及其口令的關鍵文件 (如 UNIX 下 ： /. rhost、 etc/host、 passwd、 shadow、 group等； Windows NT 下的 LMHOST、 SAM 等 )使用權限進行嚴格限制；加強口令字的使用 (增加口令復雜程度、不要使用與用戶身份有關的、容易猜測的信息作為口令 )，并及時給系統(tǒng)打補丁、系統(tǒng)內部的相互調用不對外公開。還有就是加強登錄身份認證。 （ 1） 隔離與訪問控制 a)嚴格的管理制度 可制定的制度有 ： 《用戶授權實施細則》、《口令字及帳戶管理規(guī)范》、《權限管理制度》、《安全責任制度》等。防火墻通過制定嚴格的安全策略實現內外網絡或內部網絡不同信任域之間的隔離與訪問控制。 （論文） 29 圖 32 鏈路密碼機配備示意圖 鏈路加密機由于是在鏈路級，加密機制是采用點對點的加密、解密。如果采用多種鏈路加密設備的設計方案則增加了系統(tǒng)投資費用，同時為系統(tǒng)維護、升級、擴展也帶來了相應困難。而 VPN 設備正是一種符合IPSec 標準的 IP 協(xié)議加密設備。設備配置見下圖。鑒于評 VPN 設備的突出優(yōu)點，應根據企業(yè)具體需求，在各個網絡結點與公共網絡相連接的進出口處安裝配 備 VPN 設備。從而防止針對網絡的攻擊與犯罪行為。由于探測器采取的是 .監(jiān)聽不是過濾數據包，因此，入侵檢測系統(tǒng)的應用不會對網絡系統(tǒng)性能造成多大影響。我們都知道，政府網絡系統(tǒng)中使用的操作系統(tǒng)一般均為 WINDOWS 系統(tǒng)，比較容易感染病毒。 b)檢測病毒技術 檢測病毒技術是通過對計算機病毒的特征來進行判斷的技術 (如自身校驗、關鍵字、文件長度的變化等 )，來確定病毒的類型。 （論文） 32 第四章辦公 自動化系統(tǒng) 安全設 計 安全設計的基本原則 (1安全性第一的原則 ： 由于安全性和網絡的性能 (使用的靈活性、方便性、傳輸效率等 )是一對矛盾，兩者不能兼得。 (4)多個安全單元的原則 ： 把整個網絡的安全性賦予多個安全單元，如路由器、屏蔽子網、網關，形成了多道安全防線。 (6)最小授權的原則 ： 對特權 (超級 )網絡要有制 約措施，分散權力，以降低災難程度。網絡分段可分為物理分段和邏輯分段。 (2)多重保護的原則 ： 任何安全保護措施都可能被攻破，建立一個多重保護系統(tǒng)，各重保護相互補充，當一重保護被攻破時，其它重保護仍可保護信息系統(tǒng)的安全。反病毒技術的具體實現方法包括對網絡中服務器及工作站中的文件及電子郵件等進行頻繁地掃描和監(jiān)測。反病毒技術包括預防病毒、檢測病毒和殺毒三種技術 ： （論文） 31 a)預防病毒技術 預防病毒技術通過自身常駐系統(tǒng)內存，優(yōu)先獲得系統(tǒng)的控制權，監(jiān)視和判斷系統(tǒng)中是否有病毒存在，進而阻止計算機病毒進入計算機系統(tǒng)和對系統(tǒng)進行破壞。 系統(tǒng)掃描系統(tǒng)可以對網絡系統(tǒng)中的所有操作系統(tǒng)進行安全性掃描，檢測操作系統(tǒng)存在的安全漏洞，并產生報表，以供分析 ； 還會針對具體安 全漏洞提出補救措施?？刂婆_用作制定及管理所有 探測器 (網絡引擎 )。但是，網絡安全不可能完全依靠防火墻單一產品來實現，網絡安全是個整體的，必須配相應的安全產品，作為防火墻的必要補充。 （論文） 30 圖 33 VPN設備配置示意圖 由于 VPN設備不依賴于底層的具體傳輸鏈路，它一方面可以降低網絡安全設備的投資 ； 而另一方面，更重要的是它可以為上層的各種應用提供統(tǒng)一的網絡層安全基礎設施和可選的虛擬專用網服務平臺。經過對 VPN 的配置，可以讓網絡內的某些主機通過加密隧道，讓另一些主機仍以明文方式傳輸，以達到安全、傳輸效率的最佳平衡。根據具體策略，來保護內部敏感信息和企業(yè)秘密的機密性、真實性及完整性。通過兩端加密機的協(xié)商配合實現加密、解密過程。 (2)通信保密 數據的機密性與完整性，主要是為了保護在網上傳送的涉及企業(yè)秘密的信息，經過配備加密設備，使得在網上傳送的數據是密文形式，而不是明文。通過虛擬子網的劃分，能夠實較粗略的訪問控制。充分利用操作系統(tǒng)和應用系統(tǒng)本身的日志功能，對用戶所訪問的信息做記錄，為事后審查提供依據。 （ 3）應用系統(tǒng)安全 在應用系統(tǒng)安全上，應用服務器盡量不要開放一些沒有經常用的協(xié)議及協(xié)議端口號。 系統(tǒng)安全 (1)網絡結構安全 網絡結構的安全主要指，網絡拓撲結構是否合理 ； 線路是否有冗余；路由是否冗余，防止單點失敗等。顯然，為保證信息網絡系統(tǒng)的物理安全，除在網絡規(guī)劃和場地、環(huán)境等要求之外，還要防止系統(tǒng)信息在空間的擴散。物理安全是保護計算機網絡設備、設施以及其它媒體免遭地震、水災、火災等環(huán)境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導致的破壞過程。因此網絡安全技術在 21 世紀將成為信息 網絡發(fā)展的關鍵技術， 21 世紀人類步入信息社會后，信息這一社會發(fā)展的重要戰(zhàn)略資源需要網絡安全技術的有力保障，才能形成社會發(fā)展的推動力。 安全協(xié)議作為信息安全的重要內容，其形式化方法分析始于 80 年代初，目前有基于狀態(tài)機、模態(tài)邏輯和代數工具的三種分析方法，但仍有 局限性和漏洞，處于發(fā)展的提高階段。 簽字服務通過數字簽名機制及公證機制實現。業(yè)務流分析保護服務可以通過加密機制，偽裝業(yè)務流機制，路由控制機制實現。數據保密既包括存儲中的數據，也包括傳輸中的數據。訪問控制的基本原理是檢查用戶標識，口令，根據授予的權限限制其對資源的利用范圍和程度。但在必要的時候也可以在通信過程中隨時進行。即使最初制定的安全策略十分可靠，但是隨著網絡結構和應用的不斷變化，安全策略可能失效，必須及時進行相應的調整。用戶類型、傳輸方法，以及由 VPN 使用的服務的混合性，增加了 VPN設計的復雜性，同時也增加了網絡安全的復雜性。 （ 4）使用者與設備身份認證技術 VPN 方案必須能夠驗證用戶身份并嚴格控制只有授權用戶才能訪問 VPN。加解密技術是數據通信中一項較成熟的技術， VPN 可直接利用現有技術。被封裝的數據包在公共互聯網絡上傳遞時所經過的邏輯路徑稱為隧道。使用隧道傳遞的數據（或負載）可以是不同協(xié)議的數據幀或包。相對地，企業(yè)在這種公共數據網上建立的用以傳輸企業(yè)內部信息的網絡被稱為私有網。現代企業(yè)越來越多地利用 Inter 資源來進行促銷、銷售、售后服務，乃至培訓、合作等活動。它從計算機網絡系統(tǒng)中的若干關鍵點收集信息，并分析這些信息，看看網絡中是否有違反安全策略的行為和遭到襲擊的跡象。 5．應做到能夠對整個系統(tǒng)進行集中的管理和監(jiān)控，并能集中生成日志報告與統(tǒng)計信息。 2．安裝在原有應用系統(tǒng)上的防毒產品必須保 證其穩(wěn)定性，不影響其它應用的功能。證書撤消系統(tǒng)的實現是利用周期性的發(fā)布機制撤消 證書或采用在線查詢機制，隨時查詢被撤消的證書。 四 密鑰備份和恢復 為了保證數據的安全性 ，應定期更新密鑰和恢復意外損壞的密鑰是非常重要的，設（論文） 21 計和實現健全的密鑰管理方案，保證安全的密鑰備份、更新、恢復，也是關系到整個 PKI系統(tǒng)強健性、安全性、可用性的重要因素。 RA 不僅要支持面對面的登記，也必須支持遠程登記。 CA 也要采取一系列相應的措施來防止電子證書被偽造或篡改。 身份認證 在一個更為開放的環(huán)境中，支持通過網絡與其他系統(tǒng)相連，就需要 “ 調用每項服務時需要用戶證明身份，也需要這些服務器向客戶證明他們自己的身份。 三． RSA 算法 RSA 算法是 Rivest、 Shamir 和 Adleman 于 1977 年提出的第一個完善的公鑰密碼體制，其安全性是基于分解大整數的困難性。公開密鑰用于加密，私有密鑰用于解密，私有密鑰只能有生成密鑰的交換方掌握，公開密鑰可廣泛公布，但它只對應于生成密鑰的交換方。對稱加密技術也存在一些不足，如果交換一方有 N個交換對象，那么他就要維護 N個私有密鑰，對稱加密存在的另一個問題是雙方共享一把私有密鑰，交換雙方的任何信息都是通過這把密鑰加密后傳送給對方的。 IPSec 提供的安全功能或服務主要包括： 1．訪問控制 2．無連接完整性 3．數據起源認證 （論文） 19 4．抗重放攻擊 5．機密性 6．有限的數據流機密性 信息交換加密技術分為兩類：即對稱加密和非對稱加密。而用戶的技術人員往往不可能都是專業(yè)的，因此，容易出現上述現象 ； 同時，每個維護人員的水平也有差異，容易出現相互配置上的錯誤使網絡中斷。這樣即使服務器被攻破，內部網絡仍然安全。根據企業(yè)三級網絡結構， VPN 設置如下圖所示 ： 圖 21 VPN設置 （論文） 17 每一級的設置及管理方法相同。 Extra VPN 通過一個使用專用連接的共享基礎設施，將客戶，供應商、合作伙伴或興趣群體連接到企業(yè)內部網。利用 Inter 的線路保證網絡的互聯性，利用隧道、加密等 VPN 特性可以保證信息在整個 Inter VPN 上安全傳輸。 （ 2）如果要進行企業(yè)內部 各分支機構的互連，使用企業(yè)內部虛擬網 (Intra VPN)是很好的方式。 Access VPN 通過一個擁有專用網絡相同策略的共享基礎設施，提供對企業(yè)內部網或外部網的遠程訪問。例如 ,它可以過濾掉 FTP 連接中的 PUT 命令 ,而且通過代理應用 ,應用網關能夠有效地避免內部網絡的信息外泄。基于對系統(tǒng)成本與安全技術成本的綜合考慮 ,用戶可以選擇性地使用某些監(jiān)測型技術。監(jiān)測型防火墻能夠對各層的數據進行主動的、實時的監(jiān)測 ,在對這些數據加以分析的基礎上 ,（論文） 15 監(jiān)測型防火墻能夠有效地判斷出各層中的非法侵入。由于外部系統(tǒng)與內部服務器之間沒有直接的數據通道 ,外部的惡意侵害也就很難傷害到企業(yè)內部網絡系統(tǒng)。 三． 代理型 代理型防火墻也可以被稱為代理服務器 ,它的安全性要高于包過濾型產品 ,并已經開始向應用層發(fā)展。 OLM 防火墻根據預先定義好的映射規(guī)則來判斷這個訪問是否安全。它還意味著用戶不許要為其網絡中每一臺機器取得注冊的 IP 地址。包過濾技術是一種完全基于網絡層的安全技術 ,只能根據數據包的來源、目標和端口等網絡信息進行判斷 ,無法識別基于應用層的惡意侵入 ,如惡意的 Java 小程序以及電子郵件中附帶的病 毒。防火墻通過讀取數據包中的地址信息來判斷這些 “ 包 ” 是否來自可信任的安全站點 ,一旦發(fā)現來自危險站點的數據包 ,防火墻便會將這些數據拒之門外。 （ 4）屏蔽子網結構：這種防火墻是雙穴主機和被屏蔽主機的變形。防火墻可以是獨立地系統(tǒng)，也可以在一個進行網絡互連地路由器上實現防火墻。 3．防電磁輻射方面：所有重要涉密的設備都需安裝防電磁輻射產品，如輻射干擾機。這是政府、軍隊、金融機構在興建信息中心時首要的設置的條件。 辦公 防御 系統(tǒng) 我們采用防火墻技術、 NAT 技術、 VPN 技術、網絡加密技術、身份認證技術、多層次多級別的防病毒系統(tǒng)、入侵檢測技術，構成網絡安全的防御系統(tǒng)。 (6) 多層次多級別的企業(yè)級的防病毒系統(tǒng)：采用多層次多級別的企業(yè)級的防病毒系統(tǒng)，對病毒實現全面的防護。公共網絡似乎只由本網絡在獨占使用，而事實上并非如此。 (2) NAT 技術：隱藏內部網絡信息。風險分析必須包括網絡中所有有關的成分。無論哪個層面上的安全措施不到位，都會存在很大的安全隱患，都有可能造成網絡的中斷。具體包括兩方面的內容，一是采用網絡監(jiān)控與入侵防范系統(tǒng)，識別網絡各種違規(guī)操作與攻擊行為，即時響應（如報警）并進行阻斷；二是對信息內容的審計，可以防止內部機密或敏 感信息的非法泄漏 辦公網絡 風險分析 網絡安全是網絡正常運行的前提。 可用性： 授權實體有權訪問數據 機密性： 信息不暴露給未授權實體或進程 完整性： 保證數據不被未授權修改 可控性： 控制授權范圍內的信息流向及操作方式 可審查性：對出現的安全問題提供依據與手段 （論文） 10 訪問控制：需要由防火墻將內部網絡與外部不可信任的網絡隔離， 對與外部網絡交換數據的內部網絡及其主機、所交換的數據進行