【正文】 求、核實請求、發(fā)布、回收、更新等任務(wù)。通常，由于 RSA 加密算法的效率不高， RSA 加密僅用于通訊雙方協(xié)商加密算法及密鑰，實際通訊時仍然使用對稱加密。 √ 認(rèn)證 證書包含了證書持有者的信息，該信息由通訊雙方均信任的第三方機(jī)構(gòu)認(rèn)可并作了簽名，同時在交換證書時，雙方均為自己的證書作了數(shù)字簽名。 證書是基于 RSA 公開密鑰體系 的電子證書，由于 RSA PKCS 在加密通訊過程中只需傳送公開密鑰，而且如果沒有 Private Key，很難從加密結(jié)果中恢復(fù)原文。 √ 版本號 (由 0 號開始，目前支持 V3，該值為 2) √ 序列號，該證書在證書庫中的唯一序列號。 PKI 認(rèn)證和通訊原理 證書實際上是通訊主體的身份標(biāo)識，通訊雙方通過證書互相認(rèn)證，并利用證書中的信息完成電子簽名和加密協(xié)商。 (2) 通訊過程的保密、完整性。對操作系統(tǒng)的安全，除了不斷地增加安全補(bǔ)丁外，還需要： 18 (1) 檢查系統(tǒng)設(shè)置 (敏感數(shù)據(jù)的存放方式，訪問控制，口令選擇 /更新 )。 (2) 同樣為該服務(wù)器安裝實施監(jiān)控系統(tǒng)。 電子郵件系統(tǒng)安全 電子郵件系統(tǒng)也是網(wǎng)絡(luò)與外部必須開放的服務(wù)系統(tǒng)。 (5) 運行新的應(yīng)用前，先進(jìn)行安全測試。為了防止 Web 服務(wù)器成為攻擊的犧牲品或成為進(jìn)入內(nèi)部網(wǎng)絡(luò)的跳板，我們需要給予更多的關(guān)心： (1) Web 服務(wù)器置于防火墻保護(hù)之下。 Web Server 應(yīng)用安全 Web Server 是企業(yè)對外宣傳、開展業(yè)務(wù)的重要基地。 使用防病毒軟件檢查和清除病毒。 病毒防護(hù)的主要技術(shù)如下： 17 (1) 阻止病毒的傳播。 我們將病毒的途徑分為： (1 ) 通過 ftp，電子郵件傳播。 (2) 域名服務(wù)器及域名查找應(yīng)用安裝相應(yīng)的安全補(bǔ)丁。 同時，新發(fā)現(xiàn)的針對 BINDNDS 實現(xiàn)的安全漏洞也開始發(fā)現(xiàn)，而 絕大多數(shù)的域名系統(tǒng)均存在類似的問題。下面的幾個部分列出了在 Inter/Intra 中 主要的應(yīng)用平臺服務(wù)的安全問題及相關(guān)技術(shù)。 (易于管理 )。提供 Ipsecgateway 之間的通訊。 IPsec使用 ISAKMP/Oakley 及 SKIP 進(jìn)行密鑰交換、管理及加密通訊協(xié)商 (Security Association)。而其它的加密模式需要管理的密鑰數(shù)目與通訊者數(shù)目的平方成正比。 并且，如果消息隨數(shù)字簽名一同發(fā)送，對消息的任何修改在驗證數(shù)字簽名時都將會被發(fā)現(xiàn)。 數(shù)字簽名 數(shù)字簽名作為驗證發(fā)送者身份和消息完整性的根據(jù)。 (2) 當(dāng)企業(yè)通過 CNFN 進(jìn)行通訊時，信息可能受到竊聽和非法修改。 VPN 技術(shù) 企業(yè)對 VPN 技術(shù)的需求 企業(yè)總部和各分支機(jī)構(gòu)之間采用 CNFN 網(wǎng)絡(luò)進(jìn)行連接，由于 CNFN 為中 國金融系統(tǒng)的公用網(wǎng)絡(luò)，因此，必須保證其安全性。該種方法安全程度較高，綜合采用了摘要算法、不對稱加密、對稱加密、數(shù)字簽名等技術(shù)，很好地將安全性和高效率結(jié)合起來。 UserName/Password 認(rèn)證 該種認(rèn) 證方式是最常用的一種認(rèn)證方式，用于操作系統(tǒng)登錄、 tel、 rlogin等，但由于此種認(rèn)證方式過程不加密，即 password 容易被監(jiān)聽和解密。 數(shù)字簽名技術(shù)主要用于： (1) 基于 PKI 認(rèn)證體系的認(rèn)證過程。 (4) VPN 網(wǎng)關(guān)設(shè)備之間的認(rèn)證。 認(rèn)證技術(shù)將應(yīng)用到企業(yè)網(wǎng)絡(luò)中的以下方面： (1) 路由器認(rèn)證，路由器和交換機(jī)之間的認(rèn)證。 (6) 更新周期。 (4) 是否支持可定制的攻杰方法。在網(wǎng)絡(luò)內(nèi)進(jìn)行安全掃描非常耗時。通常與相應(yīng)的服務(wù)器操作系統(tǒng)緊密相關(guān)。 安全掃描工具源于 Hacker 在入侵網(wǎng)絡(luò)系統(tǒng)時采用的工具。 (4) 精確度及完整度，防欺騙能力。 (2) 在需要監(jiān)視的網(wǎng)絡(luò)路徑上，放置監(jiān)視模塊 (sensor),分別向管理服務(wù)器報告及上傳證據(jù)，提供跨網(wǎng) 絡(luò)的入侵監(jiān)視解決方案。 (4) 精確度較差。 (5) 占用主機(jī)寶貴資源。 基于主機(jī)的安全監(jiān)控系統(tǒng)具備如下特點： (1) 精確，可以精確地判斷入侵事件。 基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)用于實時監(jiān)控網(wǎng)絡(luò)關(guān)鍵路徑的信息，其基本模型如下圖示： 12 圖 21 入侵檢測系統(tǒng)的基本模型 上述模型由四個部分組成： (1) Passive protocol Analyzer 網(wǎng)絡(luò)數(shù)據(jù)包的協(xié)議分析器、將結(jié)果送給模式匹配部分并根據(jù)需要保存。 (3) 由于性能的限制，防火焰通常不能提供實時的入侵檢測能力。 選擇防火墻的要點 (1) 安全性：即是否通過了嚴(yán)格的入侵測試。 √ Firewall 應(yīng)支持對交通、可疑活動的日志記錄。如果提供其它的服務(wù) (如 NNTP， 等 )也必須通過代理服務(wù)器。 √ Firewall 必須支持增強(qiáng)的認(rèn)證機(jī)制。 √ 對公共信息服務(wù)和商業(yè)信息 (如 )講行安全策略區(qū)分。 √ 外部撥入用戶必須通過 Firewall 的認(rèn)證。 遠(yuǎn)程用戶認(rèn)證策略 √ 遠(yuǎn)程用戶不能通過放置于 Firewall 后的未經(jīng)認(rèn)證的 Modem訪問系統(tǒng)。 √ 提供網(wǎng)絡(luò)安全控制的同時，對系統(tǒng)應(yīng)用服務(wù)犧牲的代價。能夠提供比應(yīng)用網(wǎng)關(guān)更多的連接特 性，但是安全性比較應(yīng)用網(wǎng)關(guān)差。 √ 可能會降低網(wǎng)絡(luò)性能。 √ 節(jié)省費用，第三 方的認(rèn)證設(shè)備 (軟件或硬件 )只需安裝在應(yīng)用網(wǎng)關(guān)上。 應(yīng)用網(wǎng)關(guān)的優(yōu)點是： √ 比包過濾路由器更高的安全件。由于 RPC的 Listen 口是在主機(jī)啟動后隨機(jī)地分配的，要禁止 RPC 服務(wù)，通常需要禁止所有的 UDP(絕大多數(shù) RPC 使用 UDP)，如此可能需要允許的 DNS 連接就會被禁止。 √ 某些包過濾路由器不支持 TCP/UDP 源端口過濾，可能使過濾規(guī)則集更加復(fù) 雜，并在過濾模式中打開了安全漏洞。一些包過濾路由器不提供任何日志能力，直到闖入發(fā)生后，危險的封包才可能檢測出來。 雖然存在多種認(rèn)證技術(shù)，它們均使用增強(qiáng)的認(rèn)證機(jī)制產(chǎn)生難于被攻擊者重用的口令和密鑰。 8 通常采用第二種類型的設(shè)計策略。可行的策略必須在阻止己知的網(wǎng)絡(luò)風(fēng)險和提供用戶服務(wù)之間獲得平衡。未設(shè)置 Firewall 時，網(wǎng)絡(luò)安全取決于每臺主機(jī)的用戶。外部用戶也只需要經(jīng)過 — 次認(rèn)證即可訪問內(nèi)部網(wǎng)。如允許從外部訪問 某些主機(jī)，同時禁止訪問另外的主機(jī)。 防火墻枝術(shù) 防 火墻是近年發(fā)展起來的重要安全技術(shù)，其主要作用是在網(wǎng)絡(luò)入口點檢查網(wǎng)絡(luò)通訊，根據(jù)客戶設(shè)定的安全規(guī)則，在保護(hù)內(nèi)部網(wǎng)絡(luò)安全的前提下，提供內(nèi)外網(wǎng)絡(luò)通訊。因此，VLAN 的劃分最好基于交換機(jī)端口。 (2) 基于網(wǎng)絡(luò)廣播原理的入侵監(jiān)控技術(shù)在高速交換網(wǎng)絡(luò)內(nèi)需要特殊的設(shè)置。 由以上運行 機(jī)制帶來的網(wǎng)絡(luò)安全的好處是顯而易見的： (1) 信息只到達(dá)應(yīng)該到達(dá)的地點。如虛擬網(wǎng)技術(shù)、防火墻技術(shù)，入侵監(jiān)控技術(shù)、安全漏洞掃描技術(shù)、加密技術(shù)、認(rèn)證和數(shù)字簽名技術(shù)等。 賣方應(yīng)能夠提出建設(shè)數(shù)據(jù)中心的安全解決方案建議。由于金橋網(wǎng)網(wǎng)絡(luò)結(jié)構(gòu)的復(fù)雜性，不可能對全網(wǎng)做到集中式的安全管理，可采取分布式，針對各地分公司（節(jié)點）的不同網(wǎng)段（如網(wǎng)管網(wǎng)段、辦公網(wǎng)段、用戶接入網(wǎng)段）或根據(jù)提供的不同業(yè)務(wù)類別，實施不同級別的安全管理措施。每個方面都需要結(jié)合相關(guān)的 5 安全產(chǎn)品，相應(yīng)的安全政策，實施包括預(yù)防、檢測、反映在內(nèi)的全過程。使系統(tǒng)重新恢復(fù)到破壞前的狀態(tài)。 1) 將安全策略、硬件及軟件等方法結(jié)合起來，構(gòu)成一個統(tǒng)一的防御系統(tǒng)，有效阻止非法用戶進(jìn)入網(wǎng)絡(luò)，減少網(wǎng)絡(luò)的安全風(fēng)險。 隨著用戶數(shù)量的不斷擴(kuò)大，應(yīng)用水平的不斷提高，一個不容忽視的問題 ——網(wǎng)絡(luò)安全越來越受到人們的關(guān)注， 對網(wǎng)絡(luò)安全體系的建立和全面解決方案的需求迫在眉睫。 4 第二章 用戶網(wǎng)絡(luò)現(xiàn)狀分析 金橋工程是我國“九五”信息化重點工程之一。良好的備份和恢復(fù)機(jī)制，可在攻擊造成損失時，盡快地恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)。主動的加密通訊，可使攻擊者不能了解、修改敏感信息。通過對安全漏洞的周期檢查，即使攻擊可到達(dá)攻擊目標(biāo)，也可使絕大多數(shù)攻擊無效。 (4) 建立完善的系統(tǒng)管理制度。 (4) 管理制度的薄弱。但是，很多安全威脅來源于管理上的松懈及對安全威脅的認(rèn)識。 但是，來自網(wǎng)絡(luò)的安全威脅是實際存在的，特別是在網(wǎng)絡(luò)上運行關(guān)鍵業(yè)務(wù)時，網(wǎng)絡(luò)安全是首先要解決的問題。 平臺安全與平臺性能和功能的關(guān)系 通常， 系統(tǒng)安全與性能和功能是一對矛盾的關(guān)系。因此，需要在網(wǎng)絡(luò)內(nèi)對上述情況提供集成的網(wǎng)絡(luò)病毒檢測、消除等操作。 (4) 來自網(wǎng)絡(luò)內(nèi)部其他系統(tǒng)的破壞，或誤操作造成的安全隱患。對于業(yè)務(wù)系統(tǒng)應(yīng)該具有最高的網(wǎng)絡(luò)安全措施。 平臺安全的需求 網(wǎng)絡(luò)的基本安全需求 滿足基本的安全要求，是該網(wǎng)絡(luò)成功運行的必要條件，在此基礎(chǔ)上提供強(qiáng)有力的安全保障，是建設(shè)企業(yè)網(wǎng)絡(luò)系統(tǒng)安全的重要原則。 (4) 缺乏有效的手段監(jiān)視、評估網(wǎng)絡(luò)系統(tǒng)的安全性。目前流行的許多操作系統(tǒng)均存在網(wǎng)絡(luò)安全漏洞， 如UNIX 服務(wù)器， NT 服務(wù)器及 Windows 桌面 PC。 吉通公司金橋網(wǎng)全網(wǎng)安全 項 目 建 議 書 1 第一章 安全體系的認(rèn)識 安全威脅 自信息系統(tǒng)開始運行以來就存在信息系統(tǒng)安全問題，通過網(wǎng)絡(luò)遠(yuǎn)程訪問而構(gòu)成的安全威脅成為日益受到嚴(yán)重關(guān)注的問題。所以，企業(yè)網(wǎng)絡(luò)可能存在的安全威脅來自以下方面： (1) 操作系統(tǒng)的安全性。 (3) 來自內(nèi)部網(wǎng)用戶的安全威脅。 (7) 應(yīng)用服務(wù)的安全，許多應(yīng)用服務(wù)系統(tǒng)在訪問控制及安全通訊方面考 慮較少，并且，如果系統(tǒng)設(shè)置錯誤，很容易造成損失。 業(yè)務(wù)系統(tǒng)的安全需求 與普通網(wǎng)絡(luò)應(yīng)用不同的是，業(yè)務(wù)系統(tǒng)是應(yīng)用的核心。 2 (3) 入侵檢測，對于試圖破壞業(yè)務(wù)系統(tǒng)的惡意行為能夠及時發(fā)現(xiàn)、記錄和跟蹤，提供非法攻擊的犯罪證據(jù)。如通過電子郵件、 FTP 引入病毒、危險的 Java 或 ActiveX 應(yīng)用等。因此，需要在網(wǎng)關(guān)處，設(shè)立嚴(yán)格的監(jiān)控手段，確保合法用戶登錄到合法主機(jī)，執(zhí)行合法應(yīng)用程序。 構(gòu)建平臺安全系統(tǒng)，一方面由于要進(jìn)行認(rèn)證、加密、監(jiān)聽，分析、記錄等工作，由此影響網(wǎng)絡(luò)效率，并且降低客戶應(yīng)用的靈活性；另一方面也增加了管理費用。 平臺安全的管理因素 平臺安全可以采用多種技術(shù)來增強(qiáng)和執(zhí)行。 (3) 使用人員的安全意識薄弱。 (3) 加強(qiáng)對使用人員的安全知識教育。 (2) 檢查安全漏洞。 (4) 加密通訊。 (6) 備份和恢復(fù)。 (9) 設(shè)立安全監(jiān)控中心，為信息系統(tǒng)提供安全體系管理、監(jiān)控，渠護(hù)及緊急情況服務(wù)。 20xx 年是金橋網(wǎng)建設(shè)大發(fā)展的一年，骨干網(wǎng)帶寬及國際出口帶寬將 進(jìn)一步擴(kuò)寬以滿足用戶的需要；網(wǎng)絡(luò)節(jié)點將大規(guī)模增加以增加網(wǎng)絡(luò)的覆蓋；在已經(jīng)建設(shè)的網(wǎng)管中心、維護(hù)中心的基礎(chǔ)上，還將建設(shè)計費與結(jié)算中心、客服中心、認(rèn)證中心、數(shù)據(jù)中心，使網(wǎng)絡(luò)的規(guī)模、業(yè)務(wù)與服務(wù)的水平都上到一個新的臺階。工程總體目標(biāo)是在不影響金橋網(wǎng)當(dāng)前業(yè)務(wù)的前提下，實現(xiàn)對金橋網(wǎng)的全面安全管理。 4) 使網(wǎng)絡(luò)管理者能夠很快重新組織被破壞了的文件或應(yīng)用。 金橋網(wǎng)安全總體需求 根據(jù)金橋網(wǎng)的特點，全面的安全解決方案需要涉及到網(wǎng)絡(luò)安全、系統(tǒng)安全、數(shù)據(jù)庫系統(tǒng)安全、數(shù)據(jù)安全以及防病毒等多個方面。 網(wǎng)絡(luò)安全 針對網(wǎng)絡(luò)設(shè)備和鏈路的保護(hù)。 數(shù)據(jù)安全 管理對象主要是網(wǎng)絡(luò)應(yīng)用服務(wù)器中向用戶提供信息服務(wù)的各類信息，以及計劃建設(shè)的數(shù)據(jù)中心等。 6 第三章 安全體系的實現(xiàn)技術(shù) 基于以上的分析，企業(yè)網(wǎng)絡(luò)系統(tǒng)涉及到各方面的網(wǎng)絡(luò)安全問題，我們認(rèn)為整個企業(yè)的安全體系必須集成多種安全技術(shù)實現(xiàn)。因此，網(wǎng)管系統(tǒng)有能力限制局域網(wǎng)通訊的范圍而無需通過開銷很大的路由器。 但是，虛擬網(wǎng)技術(shù)也帶來了新的安全問題： (1) 執(zhí)行虛擬網(wǎng)交換的設(shè)備越來越復(fù)雜，從而成為被攻擊的對象。 但是，采用基于 MAC 的 VLAN 劃分將面臨假冒 MAC 地址的攻擊。 IP 協(xié)議族各廠家實現(xiàn)的不完善，因此，在網(wǎng)絡(luò)層發(fā)現(xiàn)的安全漏洞相對更多，如 IP sweep, teardrop, syncflood, IP spoofing 攻擊等。 ? 控制對系統(tǒng)的訪問 Firewall 可以提供對系統(tǒng)的訪問控制。如在 Firewall 可以定義不同的認(rèn)證方法，而不需在每臺機(jī)器上分別安裝特定的認(rèn)證軟件。 ? 策略執(zhí)行 Firewall 提供了制定和執(zhí)行網(wǎng)絡(luò)安全策略的手段。 服務(wù)訪問策略必須是可行的和合理的。通常有兩種基本的設(shè)計策略： (1