【正文】 ，并將分階段組織實施。 然而 ,隨著數(shù)字圖書館的建設(shè)，各種數(shù)據(jù)庫的購置和推廣，使用數(shù)字圖書館的機構(gòu)也越來越多，各院系教師、科員人員以及學生對數(shù)字圖書館的依賴性也越來越強，網(wǎng)絡(luò)安全隱患也越來越嚴重，一旦服務(wù)器出現(xiàn)問題，致使服務(wù)中斷，將對使用者造成極大的影響。周邊防御網(wǎng)段所構(gòu)成的子網(wǎng)又被稱為“非軍事區(qū)(Demilitarized Zone)，即 DMZ區(qū)或?；饏^(qū)，它支持網(wǎng)絡(luò)層和應(yīng)用層的安全功能，這一網(wǎng)段所受到的威脅不會影響到內(nèi)部網(wǎng)絡(luò)。如圖所示，在屏蔽主機體系結(jié)構(gòu)中，數(shù)據(jù)流的方向是 :Inter?包過濾路由 器防火墻 ?堡壘主機 ?內(nèi)網(wǎng)其他主機。所以，在實際使用時，出于對更高的安全性的要求，通常 把包過濾和代理服務(wù)技術(shù)結(jié)合起來使用，其基本的體系結(jié)構(gòu)有 . 雙宿主主機體系結(jié) 構(gòu) . 屏蔽主機體系結(jié)構(gòu) . 屏蔽子網(wǎng)體系結(jié)構(gòu) Sever Proxy client Proxy sever 訪問控制 client 堡壘主機對截獲的通信進行檢測、過濾并進行詳細的日記記錄 代理應(yīng)用程序 19 內(nèi) 網(wǎng) 雙 宿主主機體系結(jié)構(gòu) 雙宿主主機體系結(jié)構(gòu) 所謂多宿主主機是指具 有多個網(wǎng)絡(luò)接口卡的主機， 每個網(wǎng)卡都與網(wǎng)絡(luò)相連。代理在發(fā)出請求的客戶和服務(wù)器之間復(fù)制數(shù)據(jù)，相當于一個中繼。 應(yīng) 用層網(wǎng)關(guān)又被稱之為代理服務(wù)器。電路層網(wǎng)關(guān)是一個特殊的功能，可以由應(yīng)用層網(wǎng)關(guān)來完成。 .源路由攻擊 :源站指定了一個信息分組穿越 INTERNET時應(yīng)走的路徑。 分析分組的 IP,TCP,UCP 的頭域 分配下一個過濾規(guī) 如匹配則接受 如不匹配則拒絕 最后一條規(guī)則 轉(zhuǎn) 發(fā) 丟 棄 17 . 半連接 (half association):描述了連接的一端的信息，它可由一個三 元 組來定義 (協(xié)議類型、 IP地址、 TCP/UDP端口號 )。具體來說，路由器審查每個數(shù)據(jù)包以便確定其是否與某一條包過濾規(guī)則匹配。 15 防火墻的類型與運行機制 目 前 ,從防火墻運行的層次上來講，其主要有包過濾和代理兩大類，其中代理 (也稱為網(wǎng)關(guān) )又分為應(yīng)用層和電路層兩種。 IP地址，通過地 址轉(zhuǎn)換來解決 Inter IP地址不足的問題 。在確保防火墻安全或比較安全的前提下提高訪問效率是當前防火墻技術(shù)研究和實現(xiàn)的熱點。從邏輯上講，防火墻是分離器、限制器、分析器。當軟件檢測到有攻擊發(fā)生，它就會按預(yù)先定義好的方式響應(yīng)。 網(wǎng)絡(luò)入侵檢測和監(jiān)控能夠?qū)Ω秮碜詢?nèi)部網(wǎng)絡(luò)的攻擊，其次它能夠阻止 hacker的入侵。 一個電子簽名就等于一個在紙上的真實的簽名，是一個與信息相關(guān)聯(lián)的數(shù)字，當信息的內(nèi)容發(fā)生改變時，簽名將不再匹配；只有知道私鑰的人才能生成數(shù)字簽名，它被用來確定一個信息或數(shù)據(jù)包 是由所要求的發(fā)送者處而來的 虛擬專有網(wǎng)絡(luò)（ VPN） 相對于專屬于某公司的私有網(wǎng)絡(luò)或是租用的專線， VPN是架設(shè)于公眾電信網(wǎng)絡(luò)之上的私有信息網(wǎng)絡(luò)，其保密方式是使用信道協(xié)議及相關(guān)的安全程序。公開密鑰密碼體制對這兩方面的問題都給出了出色的解答。 密碼技術(shù) (將在后面的章節(jié)詳細介紹 ) 采用密碼技術(shù)對信息加密，是最常用和有效的安全 保護手段。網(wǎng)絡(luò)安全管理包括確定安全管理等級和安全管理范圍、制訂有關(guān)網(wǎng)絡(luò)操作使用規(guī)程和人員出入機房管理制度和制定網(wǎng)絡(luò)系統(tǒng)的維護制度和應(yīng)急措施等。由于網(wǎng)絡(luò)信息的傳輸并無固定路徑，而是取決于網(wǎng)絡(luò)的流量狀況，且通過哪些中介網(wǎng)站亦難以查證，因此，任何中介站點均可能攔截、讀取，甚至破壞和篡改封包的信息。用戶還可采用一次性用戶口令，也可用便攜式驗證器（如智能卡）來驗證用戶的身份。用戶入網(wǎng)訪問控制通常分為三步：用戶名的識別與驗證、用戶口 令的識別與驗證、用戶賬號的缺省限制檢查。分為兩個等級：一級適用于保護處理機密級以下信息的計算機，二級用于保護處理內(nèi)部敏感信息的計算機和自然警戒距離大干 100米處理秘密級信息的計算機。根據(jù)輻射量的大小和客觀環(huán)境，對計算機機房或主機內(nèi)部件加以屏蔽，檢測合格后，再開機工作。主動攻擊可以通過有關(guān) 軟、硬件檢測到，但難以做到徹底防范。被動攻擊的實質(zhì)是竊聽或監(jiān)聽傳輸?shù)膬?nèi)容，主要從傳輸線路上截取、篩選、拷貝有關(guān)敏感的、保密的信息。所以，安全攻擊可以是有意識的，也 可 以是無意識的，其中包括內(nèi)部人員的無知 (無安全意識 )或是誤操作引起的安全威脅問題。 數(shù)據(jù)保密 . 選擇字段保密 :即對一個協(xié)議數(shù)據(jù)單元中的用戶數(shù)據(jù)的一些經(jīng)選擇的字段提供保密。 禁 止 否認 .不得否認發(fā)送 :這種服務(wù)向數(shù)據(jù)接受者提供數(shù)據(jù)源的證據(jù)，從而可防止發(fā)送者否認 發(fā)送過數(shù)據(jù)。1和 2體現(xiàn)管理者的決策， 3到 5涉及實現(xiàn)技術(shù)。 可用性 (Availability)意味著一個網(wǎng)絡(luò)資源 ， 每當用戶需要時就可以使用 。性能管理負責分析網(wǎng)絡(luò)出錯串、網(wǎng)絡(luò)吞吐串并建立優(yōu)化的網(wǎng)絡(luò)狀態(tài) 。在這種形勢下，從保護國家利益出發(fā)，各國 政府無不重視信息和網(wǎng)絡(luò)安全。而另一方面，也正是 Inter的內(nèi)在的脆弱性 (包括 TCP/工 P協(xié)議族的內(nèi)在脆弱 )導(dǎo)致了安全問題的產(chǎn)生，如病毒、黑客等等。 Inter的到來，使得傳統(tǒng)的經(jīng)濟模式、企業(yè)的運作方式、人們的生活習慣等等都受到了前所未有的沖擊，它將我們帶入了信息時代，將極大的影響我們的生活。虛擬專用網(wǎng) (VPN)技術(shù)的出現(xiàn) ,為實現(xiàn)網(wǎng)絡(luò)間的連接提供了快速安全但又相對便宜的手段 ,該文較深入的探討了實現(xiàn) VPN 的隧道技術(shù) ,并對 防火墻 的概念、功能、實現(xiàn)途徑、基本構(gòu)成、關(guān)鍵技術(shù)及發(fā)展前 景等問題進行了全面論述 。作為一種主動的防御措施 ,入侵檢測系統(tǒng) (IDS)作為網(wǎng)絡(luò)系統(tǒng)安全的重要組成部分 ,得到了廣泛的重視 ,IDS對計算機和網(wǎng)絡(luò)資源上的惡意使用行為進行識別和響應(yīng) ,不僅檢測來自外部的入侵行為 ,也監(jiān)督內(nèi)部用戶的未授權(quán)活動 。這些應(yīng)用服務(wù)使網(wǎng)民們利用普通的微機，就能與世界范圍的計算機用戶打交道，在這里，時間和空間的差別己不再重要，它大大拓寬了人類的生存空間和維度，它將整個地球聯(lián)結(jié)成了一個“地球村 Inter 的發(fā)展直接帶動了新一輪的技術(shù)革命，它涉及到教育、商業(yè)、軍事、政府機關(guān)等各行各業(yè)，形成了“信息高速公路”。我們知道計算機網(wǎng)絡(luò)一方面提供了資源的共享性，提高了系統(tǒng)的可靠性，通過分散工作負荷提高了工作效率，并且還具有可擴充性，這些特點使得計算機網(wǎng)絡(luò)深入到科研、文化、經(jīng)濟與國防的各個領(lǐng)域 。 Inter的迅猛發(fā)展，標志著信息共享的程度發(fā)展到了一個新的高度，因而信息安全的問題也日益突出。故障管理負責檢測或發(fā)現(xiàn)異常的網(wǎng)絡(luò)運轉(zhuǎn)、隔離和控制網(wǎng)絡(luò)故障 。 . 完 整性 (Integrity)決定系統(tǒng)資源應(yīng)該怎樣運轉(zhuǎn)而且信息不能被未授權(quán)的來源替換或破壞 。4何時保護 :5在哪里保護 。主 要用來確保數(shù)據(jù)是由合法的計算機實體發(fā)出的，它為第 N+1層提供對數(shù)據(jù)源的對等實體進行鑒別。 .無恢復(fù)的數(shù)據(jù)連接完整性 :該服務(wù)除了不具備恢復(fù)功能外，其余的功能與前面的幾個 服務(wù) 相同 。 安全攻擊 安全攻擊的范圍很廣 ， 不能光局限于黑客 (Hacker)的攻擊行為，任何危及有關(guān)信息安全的行為都可以稱之為安全攻擊。根據(jù)上述攻擊行為 擊 Active安全攻擊又可分為被動攻擊 (Passive Attacks)和主動 (Attacks)。常見的 DOS攻擊表現(xiàn)為攻擊者發(fā)出大量的信息沖垮站點。 （ 2）屏蔽。日前，國家保密標準《電磁干擾器技術(shù)要求和測試方法》已經(jīng)發(fā)布。 入網(wǎng)訪問控制 它控制哪些用戶能夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源，同時也控制準許用戶入網(wǎng)的時間和準許他們從哪臺工作站入網(wǎng)。經(jīng)過上述方法加密的口令，即使是系統(tǒng)管理員也難以破解它。網(wǎng)絡(luò)上的任何信息都是經(jīng)重重中介網(wǎng)站分段傳送至目的地的。 網(wǎng)絡(luò)安全管理 在網(wǎng)絡(luò)安全中，除了采用上述技術(shù)措施之外，加強網(wǎng)絡(luò)的安全管理制定有關(guān)規(guī)章制度，對于確 保網(wǎng)絡(luò)的安全、可靠運行，將起到十分有效的作用。例如，如果一個被防火墻保護的站點允許不受限制的 Modem訪問，入侵者就能夠有效地繞過防火墻；防火墻一般不提供對內(nèi)部的保護；防火墻不能防止用戶下載被病毒感染的計算機程序或者將該類程序附在電子郵件上傳輸；防火墻無法防范數(shù)據(jù)驅(qū)動型的攻擊。 (2)非對稱算法加密與公鑰體系 保護信息傳遞的機密性，是密碼學的主要方面之一，對信息發(fā)送人的身份驗證與保障數(shù)據(jù)的完整性是現(xiàn)代密碼學的另一重點。其他密碼應(yīng)用還包括數(shù)字時間戳、數(shù)字水印和數(shù)字證書等。 (2)安全檢測系統(tǒng)是近年出現(xiàn)的新型網(wǎng)絡(luò)安全技術(shù)，目的是實時的入侵 檢測及采取相應(yīng)的防護手段，如記錄證據(jù)用于跟蹤和恢復(fù)、斷開網(wǎng)絡(luò)連接等。軟件持 續(xù)地監(jiān)控網(wǎng)絡(luò)，發(fā)現(xiàn)已知的攻擊，它通常運行在網(wǎng)絡(luò)需要控制的要點上，比如 Inter出口的路由器，或者 LAN上重要的數(shù)據(jù)庫。它通過檢測、限制、修改跨越防火墻的數(shù)據(jù)流，盡可能的對外屏蔽網(wǎng)絡(luò)內(nèi)部的結(jié)構(gòu)、信息和運行情況，以此來實現(xiàn)內(nèi)部網(wǎng)絡(luò)的安全保護。 這里所謂的好用和不好用主要指跨越防火墻的訪問效率。所有的內(nèi)部網(wǎng)址都可以隱藏在防火墻后面，便于隔離對安全性或敏感性要求更高的部分。防火墻被用 來防備己知的威脅，如果是一個很好的防火墻 ,可以防備一些新威脅 ,但沒有一個防火墻能自動防御所有的新的威脅。 5) TCP或 UDP目標端口 6) ICMP消息類型 分組到達過濾端口 16 YES NO YES NO YES NO 數(shù)據(jù)包過濾技術(shù)通過檢查的范圍涉及網(wǎng)絡(luò)層、傳輸層和會 話層 ， 過濾匹配的原則除上述包頭信息外，有的還可以根據(jù) TCP序列號、 TCP連接的握手序列 (如 SYN, ACK)的邏輯分析來進行判斷，較為有效的抵御類似 IP Spoofing, Sync flooding等類型的攻擊。設(shè)計過濾規(guī)則的時候，我們應(yīng)注意以下三個概念 : . 全連接 (full association):描述了一個 TCP連接的完整信息，它可由一個五元組來定義 (協(xié)議類型、源 TP地址、源 TCP/UDP端口、目的 IP地址，目的 TCP/UDP 口 )。 只要在路由器的外部接口丟棄每個含有內(nèi)部 IP地址的分組即可 。 基于代理的防火墻 基于代理的防火墻又分為電路層網(wǎng)關(guān)和應(yīng)用層網(wǎng)關(guān)兩種。這樣使得防火墻系統(tǒng)對于要訪問 Inter服務(wù)的內(nèi)部人員來說使用起來很方便，同時又能提供保護內(nèi)部網(wǎng)絡(luò)免于外部攻擊 的防火墻功能。對真實的服務(wù)器來說，他是與一個運行在代理服務(wù)器上的用戶交談，他并不知道 18 用戶的真實所在，此時，代理服務(wù)扮演的是客戶端的角色。 這兩種技術(shù)各有優(yōu)缺點。 在這種結(jié)構(gòu) 中，使得包過濾路由器面對外網(wǎng)，擔負主要的安全職責，而堡壘主機則僅提供面向應(yīng)用的代理服務(wù)。 周邊防御網(wǎng)段是位于內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的另一層安全網(wǎng)段，分別由內(nèi)、外兩個包過濾路由器與之相連。 第五 章 網(wǎng)絡(luò)安全技術(shù) 在 吉首大學 圖書館網(wǎng)絡(luò)中 的應(yīng)用 目 前 ,吉首 大學圖書館網(wǎng)絡(luò)基礎(chǔ)設(shè)施的建設(shè)己基本成形，圖書館自動化系統(tǒng)和數(shù)字圖書館的建設(shè)經(jīng)這兩年的高速發(fā)展也達到了相當水平，網(wǎng)絡(luò)環(huán)境和網(wǎng)絡(luò)應(yīng)用業(yè)已成為圖書館各部門行使職能、處理業(yè)務(wù)、開展工作的重要基礎(chǔ)和必要手段。 4)在服務(wù)器和 PC機上裝有簡單的 PC版的防病毒軟件。 5)具有較好的性能價格比，一次性投資，可以長期使用。安全措施應(yīng)盡可能的簡單明了，越復(fù)雜，出現(xiàn)漏洞的可能性越大。系統(tǒng)安全是一個投資較大的項目，考慮到圖書館的經(jīng)費情況，可制定一個總的規(guī)劃，然后分階段實施，每一階段都為下一步的發(fā)展預(yù) 留擴展余地。 2)這四部分的安全級別如下 : 編號 安全區(qū)域 安全級別 訪問級別 1 外部網(wǎng) 低 不提供安全措施，僅負責網(wǎng)絡(luò)連接 DMZ 區(qū) 25 2 DMZ區(qū) 中 外部可訪問符合安