【正文】 事件記錄與提示—eTrust Firewall 提供完備的日志記錄及告警功能，在日志中記錄網絡流量、對發(fā)生的攻擊的安全分析等信息；在發(fā)生對網絡進行攻擊的事件時，還可以實時地發(fā)送警告信息給安全管理員。eTrust Firewall 在數(shù)據(jù)包到達 TCP/IP 堆棧之前，檢測所有的包內容，鎖定并阻止針對操作系統(tǒng)上 TCP/IP 薄弱環(huán)節(jié)的拒絕訪問攻擊（Denial of Service ），如 Ping of Death、Tiny Fragment attacks、Sync Flood attack 等手段。eTrust Firewall 應用了狀態(tài)包過濾技術。在一個 TCP 數(shù)據(jù)包傳輸過來時，防火墻首先會根據(jù)規(guī)則檢查包的起始連接（startofconnection）部分，之后創(chuàng)建一個連接，在其基礎之上建立應用級的傳輸前后順序關系，之后所有的數(shù)據(jù)包都會被監(jiān)視其狀態(tài)或順序關系。通常情況下，如果在 規(guī)則中沒有明確一個特定的數(shù)據(jù)包是否能夠被通過，則在實際檢測中遇到這種類型數(shù)據(jù)包時會將其拋棄掉。Admin Server 同樣提供對試圖訪問防火墻或對防火墻進行管理操作的用戶身份的認證。CA 公司的eTrust Firewall 也是同樣原理，它基于多種 標準對 數(shù)據(jù)包進行過濾，包括特定的應用、網 絡服務、源/目的地址等，同時使用單一的規(guī)則為整體網絡提供一致的安全策略。 COMPUTER ASSOCIATES 還設立了專業(yè)的服務部門來加強技術上的支持與服務， 為用戶提供安全咨 詢， 培訓和安裝實施。 用戶安全用戶賬戶是通向系統(tǒng)內所有資源的訪問關口。該方案的戰(zhàn)略主導是以企業(yè)整體為核心，同時使用公共的服務和標準并可與其他供應商的解決方案相集成。單獨地維護多種目錄體系既費時費力，又容易出錯，還難以保證系統(tǒng)的總體安全性和一致性。以上這些都對系統(tǒng)安全性帶來了極大的威脅。例如，一個系 統(tǒng)管理員可能要管理 5 臺 UNIX 主機、 20 臺 Windows NT 服務器、維護 上面的多個數(shù)據(jù)庫、維護電子郵件系統(tǒng)、還要管理多臺網絡設備等，他需要記憶各個操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、應用系統(tǒng)、網絡設備的用戶名和口令。其中的一個關鍵環(huán)節(jié)是對于行政機制中人員的級別與權限，如何能夠有效、準確、及 時的體現(xiàn)在其日常所接觸到的 IT 系統(tǒng)中。對于 WEB 的安全維護管理，特 別是主頁的 維護，修改主頁是一種典型的網絡傷害行為，所以主頁的保護，及 時恢復是對此行為的有效打擊。自從80 年代計算機病毒出現(xiàn)以來，已經有數(shù)萬種病毒及其變種出現(xiàn)，給計算機安全和數(shù)據(jù)安全造成了極大的破壞。 網絡入侵防御 在內部的網絡上，也可能存在來自內部的一些惡意攻擊和網絡誤用情況，甚至可能存在來自外部的惡意入侵。我們應該通過定義網絡安全規(guī)范，明確各級部門和人員對網絡使用的范圍與權力，控制網絡與外界的聯(lián)接，監(jiān)測和防御網絡入侵攻擊，制止非法信息傳輸，保護 WEB 系統(tǒng)，保證只有授 權許可的通信才可以在客戶機和服務器之間建立連接，而且正在傳輸當中的數(shù)據(jù)不能被讀取和改變。另外，來自內部的攻擊也不容忽視。由于水平和精力所限，一般用戶環(huán)境中很難完成這樣精確的安全配置，經常存在錯誤的配置，導致安全問題。如果對文件的控制權限擴展到讀、寫、增加、 刪除、創(chuàng)建、執(zhí)行等多種，就可以防止惡意或無意的破壞發(fā)生。IP 協(xié)議是一種無連接的通訊協(xié)議，無安全控制機制，存在各種各樣的攻擊手段。在這樣一個分布式應用的環(huán)境中，企業(yè)的數(shù)據(jù)庫服務器、電子郵件服務器、WWW 服務器、文件服務器、 應用服務器等等每一個都是一個供人出入的“ 門戶”，只要有一個“ 門戶” 沒有完全保 護好－忘了上鎖或不很牢固，“黑客” 就會通過這道門進入系統(tǒng)，竊取或破壞所有系統(tǒng)資源。據(jù)美國聯(lián)邦調查局估計，僅有 7％的入侵事件被報告了，而澳大利 亞聯(lián)邦警察局則認為這個數(shù)字只有 5％。但是你知不知道這些信息是否安全？簡單地用一張軟盤就可拷貝下你占有商業(yè)先機的信息，并且你可能從不會察覺信息已被偷走，直到競 爭對手把你的商業(yè)計劃作為他們自己的來宣布。據(jù)ICSA 統(tǒng)計，有 11％的安全 問題導致網絡數(shù)據(jù)被破壞，14％導致數(shù)據(jù)失密，15％的攻擊來自系統(tǒng)外部，來自系 統(tǒng)內部的安全威脅高達 60％。早期的 業(yè)務系統(tǒng)是局限于大型主機上的集中式應用，與外界聯(lián)系較少，能夠接觸和使用系統(tǒng)的人員也很少，系統(tǒng)安全隱 患尚不明顯。TCP/IP 的結構與基于專用主機(如 IBM ES/9000、AS/400)和網絡(如 SNA 網絡)的體系 結構相比，靈活性、易用性、開 發(fā)性都很好，但是，在安全性方面卻存6 / 109在很多隱患。在對資源的訪問控制管理方面，UNIX 只有讀、寫和執(zhí)行三種權限，無法對文件進行更為細致的控制。80 年代中期，Inter 上流行的著名“蠕蟲”病毒事件就是由 UNIX 系統(tǒng)的安全 BUG 造成的。8 / 1092. 信息系統(tǒng)安全管理需求分析從以上的論述可以看出，現(xiàn)代計算機網絡系統(tǒng)的安全隱患隱藏在系統(tǒng)的各個角落，系統(tǒng)的總體安全級別 就象裝在木筒中的水，木筒裝水的多少決定于最矮的木板，系統(tǒng)安全級別的高低取決于系統(tǒng)安全管理最薄弱的環(huán)節(jié)。CA 公司認為，要保證信息系統(tǒng)的安全，提升整體安全級別，需要從網絡、服務器操作系統(tǒng)、用戶、各種應用系統(tǒng)、業(yè)務數(shù)據(jù)以及 應用模式等各個方面統(tǒng)籌考慮。系 統(tǒng)安全管理應該在網絡與外界接口處實現(xiàn)數(shù)據(jù)包的網絡地址翻譯。2) 加強操作系統(tǒng)用戶認證授權管理? 限制用戶口令規(guī)則和長度，禁止用戶使用簡單口令；強制用戶定期修改口令。所以，系統(tǒng)安全管理應該包括強大的計算機病毒防護功能。12 / 109 應用級安全保護安全管理是個廣泛的理念，IT 環(huán)境中出現(xiàn)的不安全 問題并不是全部由于單純的 IT 設備本身造成的，相反更多的問題是由于其它非 IT 技術因素引起的，只是最終通過計算機的載體實現(xiàn)而已。用戶只需一次登錄即可訪問 網絡中各種資源（如操作系統(tǒng)、 電子郵件，數(shù)據(jù)庫系統(tǒng)，應用等），而不用分別手工登錄這些資源。 “黑客”會比較 容易地猜出其口令，猜出一個口令，就能更加容易地猜到其它口令。在此過程中所涉及的安全機制應該包括口令 PIN 密鑰管理、數(shù)據(jù)加密和數(shù)字簽名等技術，以最大限度的保證用戶、口令等信息的安全?？梢詫嵤┗诓呗缘墓芾硪源_保系統(tǒng)安全，可以減少 IT 管理人員管理目錄和用戶的時間和精力，可以 隱藏不同操作系統(tǒng)的差異。 檢測有意或偶然闖入系統(tǒng)的不速之客。數(shù)據(jù)完整性是指防止非法或偶然的數(shù)據(jù)改動。它支持從小到只保護 一個服務器，大到與 Unicenter TNG 集成管理來保護一個企業(yè)網絡，從而支持多種規(guī)模的網絡資源保護。eTrust Firewall Admin Server—Admin Server 存儲著所有的防火墻策略，并接收各種報警信息，對其進行 處理。Kernel mode 模塊檢測并過濾所有的 IP 數(shù)據(jù)包， user mode 模塊則負責控制、監(jiān)視并支持 kernel mode 模塊的任何操作。這樣，針對每一個應用的申請，代理服 務器都會進行判斷與過濾。它可以控制所有基于 Inter 的協(xié)議以及所有基于 IP 格式包的數(shù)據(jù)傳輸。狀態(tài)信息數(shù)據(jù)同樣可以支持 eTrust Firewall 實現(xiàn)一些復雜協(xié)議類型的包過濾，如 RPC，RealAudio 等。網絡地址翻譯—eTrust Firewall 具備完善的地址翻譯功能，允許內部網絡使用未注冊的地址來訪問外部 Inter；隱藏內部網絡真實的網絡地址。每一個數(shù)據(jù)包的流經，意味著一個會話連接的建立，eTrust Firewall 只 檢查這個會話連接的初始數(shù)據(jù)包，記錄其狀態(tài)及前后連接關系的信息，如果 經檢查此會話連接合法，那么 對于所有相關后續(xù)的數(shù)據(jù)包，防火墻只動態(tài)地檢查其狀態(tài)和連。它在網 絡 上實現(xiàn)了多種安全防護功能，使用最佳的技術使用戶的網絡訪問更智能安全。由此，它能 夠比其它包過濾器（如 Screening Routers）更智能地過濾 IP 數(shù)據(jù)包。eTrust Firewall 采用的即是這種過濾技術。每一個代理服務都是一個運行在網關服務器上的應用，對應一個真實的應用服務器。eTrust Firewall Engine—Firewall Engine 負責按照事先定制的安全策略對網絡中的數(shù)據(jù)包進行檢測過濾。同 時它又是十分易于管理的，管理員可以19 / 109在遠程對 Firewall 進行管理、已設定規(guī)則的測試以及相關的更新工作，由于目前eTrust Firewall 支持跨平臺應用，支持在包括 NT、Solaris、HPUX 和 AIX 在內的多種操作系統(tǒng)上進行統(tǒng)一實施與管理，因此使對大型的網絡實施有效的管理與監(jiān)控成為可能。雖然從理論上看，防火墻處于網絡安全的最底層， 負責網絡間的安全認證與傳輸，但隨著網絡 安全技術的整體發(fā)展和網絡應用的不斷變化，現(xiàn)代防火墻技術已經逐步走向網絡層之外的其他安全層次，不僅要完成傳統(tǒng)防火墻的過濾任務，同時還能為各種網絡應用提供相應的安全服務。 應用程序和服務安全大多數(shù)應用程序和服務都是靠口令保護的，加強口令變化是安全方案中必不可少的手段， 而授權則是用來規(guī)定用戶或資源對系統(tǒng)的訪問權限。 服務器安全保護服務器主機，分布式系統(tǒng)的服務器和用戶工作站—需要控制誰能訪問它們或訪問者可以干些什么。IT管理人員每天都要和這些繁雜的系統(tǒng)打交道，不同的系統(tǒng)管理員在管理14 / 109這些用戶時，就有可能采用不同的用戶名，不同的管理策略，以適 應各類系統(tǒng)的需要。應該實現(xiàn)“ 一人一個帳號、一個口令” 登錄管理模式，用戶只需一次登錄即可訪問網絡中操作系統(tǒng)、 電子郵件，數(shù)據(jù) 庫系統(tǒng) ，應用系統(tǒng)等各種資源。但是，要讓 一個人記憶許多長 而難記又經常變化的口令是很困難的。企業(yè)級的用戶管理，用于構筑集中化的網 絡 用戶登錄管理、集中化的安全策略管理的解決方案。這些規(guī)則可以非常方便地加以激活、關閉或加以剪裁以滿足系統(tǒng)在一般需要之外的其它具體要求。據(jù)統(tǒng)計，% 的美國公司都受到 過病毒的侵 襲，修復每次事故要平均花費 8300 美元。1) 使用系統(tǒng)弱點掃描 能夠定期掃描操作系統(tǒng)以及數(shù)據(jù)庫系統(tǒng)的安全漏洞以及錯誤配置。? 對于現(xiàn)有的各種網絡進攻手段，提供有效的安全保障。所以，必須采取一些技 術手段，加 強對計算機系統(tǒng)的用戶、 資源的安全保護，防止無關人員訪問敏感數(shù)據(jù)。所以，我們需要一種系統(tǒng)掃描工具，定期檢查系統(tǒng)中與安全有關的軟件、資源、 PATCH 的情況， 發(fā)現(xiàn)問題及時報告并給出解決建議。 這種情況下，如果能及時迅速地通知安全管理員，能把該用戶趕出(logout)操作系統(tǒng)，甚至封死該帳戶，使其無法繼續(xù)登錄，無疑會大大加強系統(tǒng)的安全性。我們知道，在用戶認證和授權管理方面，UNIX 操作系統(tǒng)對用戶登錄的管理是靠用戶名和口令實現(xiàn)的，一個用戶可以沒有口令(使用空的口令)，也可以使用非常簡單易猜的詞如用戶名、用戶姓名、生日、單位名稱等作為 口令(實際上，大多數(shù)人都是這么用的) ；一個人只要擁有了合法的用戶名和口令，就可以在任意時間、從任意地點進入系統(tǒng)，同時登錄的 進程數(shù)也沒有限制， 這些都是安全上的隱患。眾所周知，TCP/IP 和 UNIX 都是以開放性著稱的。下面，我們從以下幾個方面簡要論述。因特網上電子商業(yè)的導入，提高了企業(yè)加緊保護他們數(shù)字資源信息安全的需求。這樣不同的信息安全需求，導致確保一個真正安全的、可 審計的系統(tǒng)非常困難。那么，為什么當今信息系統(tǒng)中存在如此之多的安全隱患，安全問題如此突出呢？這是與計算機系統(tǒng)的發(fā)展、當今流行系統(tǒng)的設計思路、當前 IT 系統(tǒng)的使用5 / 109狀況緊密相關的。 從計算機系統(tǒng)的特點看安全問題在現(xiàn)代典型的計算機系統(tǒng)中，大都采用 TCP/IP 作為 主要的網絡通訊協(xié)議，主要服務器為 UNIX 或 Windows NT 操作系統(tǒng)。UNIX 操作系統(tǒng)更是以開放性著稱的，在安全性方面存在許多缺限。如一個用戶企圖多次訪問某敏感資源時，系 統(tǒng)無法采取強有力的措施處置，管理 員也很 難發(fā)現(xiàn)。而這些軟件往往存在一些安全漏洞或錯誤的安全配置，從而導致 root 權限被人竊取。內部工作人員的違規(guī)行為的案例也不是沒有的。網絡訪問控制系統(tǒng)應該具有如下要求：? 不僅能夠按照來訪者的 IP 地址區(qū)分用戶， 還應該對來訪者的身份進行驗證? 不僅支持面向連接的通訊，還要支持 UDP 等非連接的通訊? 不僅可以控制用戶可訪問哪些網絡資源，還應該能控制允許訪問的日期和時間? 對一些復雜的應用協(xié)議，如 FTP、UDP、TFTP、Real Audio、RPC 和port mapper、Encapsulated TCP/IP 等，采用特定的 邏輯來監(jiān)視和過濾數(shù)據(jù)包。 系統(tǒng)級安全防護如前所述，UNIX/Windows 操作系統(tǒng)本身存在許多安全漏洞和隱患，必須加強這一級別的安全防護，才能保護敏感的信息資源。據(jù) NCSA 統(tǒng)計，1995 年到1996 年，計算機病毒的數(shù)量增加了 10 倍，其 傳播途徑也從主要靠軟盤拷貝變?yōu)橥ㄟ^光盤、網絡、 電子郵件、文件下 載等多種方式，傳播速度越來越快。這些政策包括了解其網絡利用情況、檢測入侵和可疑網絡活動時需要的規(guī)則。而且集中的，一致的管理，可以使人力資源有限的實際問題得到一定程度的緩解。各種系統(tǒng) 用戶的口令應該互不相關，口令比較長而且沒有規(guī)律，在使用一段時間后要改變?yōu)樾碌闹担?這樣才能保證統(tǒng)的安全。因此，好的系統(tǒng)安全管理架構不但應該針對網絡、 計算機、 應用等 IT環(huán)境加強安全管理，而且應該 能夠盡量減少這種人為因素造成的安全損失。在通常的管理模式中，每種系統(tǒng)都有自己的系統(tǒng)管理員，如 UNIX 的超級用戶為 ro