【正文】 后分階段實(shí)施，每一階段都為下一步的發(fā)展預(yù) 留擴(kuò)展余地。 5)具有較好的性能價(jià)格比，一次性投資，可以長(zhǎng)期使用。 第五 章 網(wǎng)絡(luò)安全技術(shù) 在 吉首大學(xué) 圖書館網(wǎng)絡(luò)中 的應(yīng)用 目 前 ,吉首 大學(xué)圖書館網(wǎng)絡(luò)基礎(chǔ)設(shè)施的建設(shè)己基本成形，圖書館自動(dòng)化系統(tǒng)和數(shù)字圖書館的建設(shè)經(jīng)這兩年的高速發(fā)展也達(dá)到了相當(dāng)水平，網(wǎng)絡(luò)環(huán)境和網(wǎng)絡(luò)應(yīng)用業(yè)已成為圖書館各部門行使職能、處理業(yè)務(wù)、開展工作的重要基礎(chǔ)和必要手段。 在這種結(jié)構(gòu) 中，使得包過(guò)濾路由器面對(duì)外網(wǎng)，擔(dān)負(fù)主要的安全職責(zé)，而堡壘主機(jī)則僅提供面向應(yīng)用的代理服務(wù)。對(duì)真實(shí)的服務(wù)器來(lái)說(shuō)，他是與一個(gè)運(yùn)行在代理服務(wù)器上的用戶交談，他并不知道 18 用戶的真實(shí)所在，此時(shí)，代理服務(wù)扮演的是客戶端的角色。 基于代理的防火墻 基于代理的防火墻又分為電路層網(wǎng)關(guān)和應(yīng)用層網(wǎng)關(guān)兩種。設(shè)計(jì)過(guò)濾規(guī)則的時(shí)候，我們應(yīng)注意以下三個(gè)概念 : . 全連接 (full association):描述了一個(gè) TCP連接的完整信息，它可由一個(gè)五元組來(lái)定義 (協(xié)議類型、源 TP地址、源 TCP/UDP端口、目的 IP地址，目的 TCP/UDP 口 )。防火墻被用 來(lái)防備己知的威脅，如果是一個(gè)很好的防火墻 ,可以防備一些新威脅 ,但沒有一個(gè)防火墻能自動(dòng)防御所有的新的威脅。 這里所謂的好用和不好用主要指跨越防火墻的訪問(wèn)效率。軟件持 續(xù)地監(jiān)控網(wǎng)絡(luò)，發(fā)現(xiàn)已知的攻擊，它通常運(yùn)行在網(wǎng)絡(luò)需要控制的要點(diǎn)上，比如 Inter出口的路由器，或者 LAN上重要的數(shù)據(jù)庫(kù)。其他密碼應(yīng)用還包括數(shù)字時(shí)間戳、數(shù)字水印和數(shù)字證書等。例如，如果一個(gè)被防火墻保護(hù)的站點(diǎn)允許不受限制的 Modem訪問(wèn)，入侵者就能夠有效地繞過(guò)防火墻；防火墻一般不提供對(duì)內(nèi)部的保護(hù)；防火墻不能防止用戶下載被病毒感染的計(jì)算機(jī)程序或者將該類程序附在電子郵件上傳輸；防火墻無(wú)法防范數(shù)據(jù)驅(qū)動(dòng)型的攻擊。網(wǎng)絡(luò)上的任何信息都是經(jīng)重重中介網(wǎng)站分段傳送至目的地的。 入網(wǎng)訪問(wèn)控制 它控制哪些用戶能夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源，同時(shí)也控制準(zhǔn)許用戶入網(wǎng)的時(shí)間和準(zhǔn)許他們從哪臺(tái)工作站入網(wǎng)。 （ 2）屏蔽。根據(jù)上述攻擊行為 擊 Active安全攻擊又可分為被動(dòng)攻擊 (Passive Attacks)和主動(dòng) (Attacks)。 .無(wú)恢復(fù)的數(shù)據(jù)連接完整性 :該服務(wù)除了不具備恢復(fù)功能外，其余的功能與前面的幾個(gè) 服務(wù) 相同 。4何時(shí)保護(hù) :5在哪里保護(hù) 。故障管理負(fù)責(zé)檢測(cè)或發(fā)現(xiàn)異常的網(wǎng)絡(luò)運(yùn)轉(zhuǎn)、隔離和控制網(wǎng)絡(luò)故障 。我們知道計(jì)算機(jī)網(wǎng)絡(luò)一方面提供了資源的共享性，提高了系統(tǒng)的可靠性，通過(guò)分散工作負(fù)荷提高了工作效率，并且還具有可擴(kuò)充性，這些特點(diǎn)使得計(jì)算機(jī)網(wǎng)絡(luò)深入到科研、文化、經(jīng)濟(jì)與國(guó)防的各個(gè)領(lǐng)域 。作為一種主動(dòng)的防御措施 ,入侵檢測(cè)系統(tǒng) (IDS)作為網(wǎng)絡(luò)系統(tǒng)安全的重要組成部分 ,得到了廣泛的重視 ,IDS對(duì)計(jì)算機(jī)和網(wǎng)絡(luò)資源上的惡意使用行為進(jìn)行識(shí)別和響應(yīng) ,不僅檢測(cè)來(lái)自外部的入侵行為 ,也監(jiān)督內(nèi)部用戶的未授權(quán)活動(dòng) 。 Inter的到來(lái)，使得傳統(tǒng)的經(jīng)濟(jì)模式、企業(yè)的運(yùn)作方式、人們的生活習(xí)慣等等都受到了前所未有的沖擊，它將我們帶入了信息時(shí)代，將極大的影響我們的生活。在這種形勢(shì)下，從保護(hù)國(guó)家利益出發(fā)，各國(guó) 政府無(wú)不重視信息和網(wǎng)絡(luò)安全。 可用性 (Availability)意味著一個(gè)網(wǎng)絡(luò)資源 ， 每當(dāng)用戶需要時(shí)就可以使用 。 禁 止 否認(rèn) .不得否認(rèn)發(fā)送 :這種服務(wù)向數(shù)據(jù)接受者提供數(shù)據(jù)源的證據(jù)，從而可防止發(fā)送者否認(rèn) 發(fā)送過(guò)數(shù)據(jù)。所以，安全攻擊可以是有意識(shí)的，也 可 以是無(wú)意識(shí)的，其中包括內(nèi)部人員的無(wú)知 (無(wú)安全意識(shí) )或是誤操作引起的安全威脅問(wèn)題。主動(dòng)攻擊可以通過(guò)有關(guān) 軟、硬件檢測(cè)到，但難以做到徹底防范。分為兩個(gè)等級(jí)：一級(jí)適用于保護(hù)處理機(jī)密級(jí)以下信息的計(jì)算機(jī)，二級(jí)用于保護(hù)處理內(nèi)部敏感信息的計(jì)算機(jī)和自然警戒距離大干 100米處理秘密級(jí)信息的計(jì)算機(jī)。用戶還可采用一次性用戶口令，也可用便攜式驗(yàn)證器（如智能卡）來(lái)驗(yàn)證用戶的身份。網(wǎng)絡(luò)安全管理包括確定安全管理等級(jí)和安全管理范圍、制訂有關(guān)網(wǎng)絡(luò)操作使用規(guī)程和人員出入機(jī)房管理制度和制定網(wǎng)絡(luò)系統(tǒng)的維護(hù)制度和應(yīng)急措施等。公開密鑰密碼體制對(duì)這兩方面的問(wèn)題都給出了出色的解答。 網(wǎng)絡(luò)入侵檢測(cè)和監(jiān)控能夠?qū)Ω秮?lái)自內(nèi)部網(wǎng)絡(luò)的攻擊，其次它能夠阻止 hacker的入侵。從邏輯上講，防火墻是分離器、限制器、分析器。 IP地址，通過(guò)地 址轉(zhuǎn)換來(lái)解決 Inter IP地址不足的問(wèn)題 。具體來(lái)說(shuō)，路由器審查每個(gè)數(shù)據(jù)包以便確定其是否與某一條包過(guò)濾規(guī)則匹配。 .源路由攻擊 :源站指定了一個(gè)信息分組穿越 INTERNET時(shí)應(yīng)走的路徑。 應(yīng) 用層網(wǎng)關(guān)又被稱之為代理服務(wù)器。所以，在實(shí)際使用時(shí)，出于對(duì)更高的安全性的要求，通常 把包過(guò)濾和代理服務(wù)技術(shù)結(jié)合起來(lái)使用，其基本的體系結(jié)構(gòu)有 . 雙宿主主機(jī)體系結(jié) 構(gòu) . 屏蔽主機(jī)體系結(jié)構(gòu) . 屏蔽子網(wǎng)體系結(jié)構(gòu) Sever Proxy client Proxy sever 訪問(wèn)控制 client 堡壘主機(jī)對(duì)截獲的通信進(jìn)行檢測(cè)、過(guò)濾并進(jìn)行詳細(xì)的日記記錄 代理應(yīng)用程序 19 內(nèi) 網(wǎng) 雙 宿主主機(jī)體系結(jié)構(gòu) 雙宿主主機(jī)體系結(jié)構(gòu) 所謂多宿主主機(jī)是指具 有多個(gè)網(wǎng)絡(luò)接口卡的主機(jī)， 每個(gè)網(wǎng)卡都與網(wǎng)絡(luò)相連。周邊防御網(wǎng)段所構(gòu)成的子網(wǎng)又被稱為“非軍事區(qū)(Demilitarized Zone)，即 DMZ區(qū)或?；饏^(qū)，它支持網(wǎng)絡(luò)層和應(yīng)用層的安全功能，這一網(wǎng)段所受到的威脅不會(huì)影響到內(nèi)部網(wǎng)絡(luò)。 為解決網(wǎng)絡(luò)系統(tǒng)中存在的安全隱患，保障網(wǎng)絡(luò)及信息的安全，我們?cè)O(shè)計(jì)了 吉大圖書館網(wǎng)絡(luò)安全解決方案，并將分階段組織實(shí)施。 4)設(shè)備的先進(jìn)性與成熟性。 3 內(nèi)部私網(wǎng) 高 可自由訪問(wèn)外部網(wǎng)絡(luò)資源；對(duì)外不可見。對(duì)于本機(jī)的安全設(shè)置，需從操作系統(tǒng)的安全管理和安裝反病毒產(chǎn)品兩方面來(lái)考慮。隨著形形色色計(jì)算機(jī)病毒的出現(xiàn)，其破壞性、隱蔽性不斷增強(qiáng)， 反病毒產(chǎn)品也相繼大量涌現(xiàn)。在這里，因?yàn)?數(shù)據(jù)量較大，我們采用帶庫(kù)備份的方式（即磁帶庫(kù)）來(lái)備份所 有服務(wù)器上 的數(shù)據(jù)，備份僅僅是數(shù)據(jù)備份，而不是系統(tǒng)備份，即只針對(duì)磁盤陣列上的數(shù)據(jù)，而不理會(huì)各服務(wù)器的系統(tǒng)。 人員安全。即集防病毒入侵、檢測(cè)病毒、清除病毒功能于一身。主流操作系統(tǒng)都存在一些安全上的問(wèn)題，為了保證各操作系統(tǒng)在網(wǎng)絡(luò)應(yīng)用中的安全，杜絕配置和管理上的漏洞，應(yīng)該做好如下幾方面的工作 : 1)及時(shí)打好系統(tǒng)的補(bǔ)丁。即先關(guān)閉所有服務(wù)和端口，然后根據(jù)需要開放相應(yīng)服務(wù)和端口。 5)可用性。要考慮到 安全層次、技術(shù)難度、經(jīng)費(fèi)支出及性能價(jià)格比等因素。在該體系結(jié)構(gòu)中，信息服務(wù)器等公用服務(wù)器放在 DMZ網(wǎng) 絡(luò)中，供內(nèi)、外網(wǎng)使用，而內(nèi)網(wǎng)則又增加了一臺(tái)內(nèi)部包過(guò)濾路由器，該路由器與外部包過(guò)濾路由器的規(guī)則完全不同，且只接受源于堡壘主機(jī)的數(shù)據(jù)包，負(fù)責(zé)管理 DMZ與內(nèi)部網(wǎng)絡(luò)的通信。該主機(jī)運(yùn)行應(yīng)用代理程 序，充當(dāng)內(nèi)、 外網(wǎng)的轉(zhuǎn)發(fā)器，但其關(guān)閉了正常的 IP路由功能，即數(shù)據(jù)包不能從一個(gè)網(wǎng)絡(luò)直接發(fā)送到另一個(gè)網(wǎng)絡(luò)，而是要通過(guò)運(yùn)行在雙宿主主機(jī)上的代理服務(wù)程序來(lái)完成。具有訪問(wèn) Inter功能的主機(jī)充當(dāng)沒有該功能的主機(jī)的代理人來(lái)完成這些機(jī)器想做的事。 .IP殘片攻擊 。包的進(jìn)入接口和出接口如果有匹配并且規(guī)則允許該數(shù)據(jù)包，那么該數(shù)據(jù)包就會(huì)按照路由表中的信息被轉(zhuǎn)發(fā)。防火墻對(duì)企業(yè)內(nèi)部網(wǎng)實(shí)現(xiàn)集中的安全管理，在防火墻定義 的安全規(guī)則可以運(yùn)用于整個(gè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)，而無(wú)需在內(nèi)部網(wǎng)每臺(tái)機(jī)器上分別設(shè) 立安 全策略。 防火墻一方面限制數(shù)據(jù)流通 ,一方面又允許數(shù)據(jù)流通，由于不同網(wǎng) 絡(luò)的安全要求和管理機(jī)制有差別，這對(duì)矛盾也有不同的表現(xiàn)形式。它提供對(duì)企業(yè)網(wǎng)絡(luò)通訊活動(dòng)的監(jiān)控，捕獲和分析整個(gè)網(wǎng)段傳輸?shù)臄?shù)據(jù)包，檢測(cè)和識(shí)別可疑的網(wǎng)絡(luò)通信活動(dòng)，并在這種非授權(quán)訪問(wèn)發(fā)生時(shí)進(jìn)行實(shí)時(shí)響應(yīng)，阻止對(duì)企業(yè)數(shù)據(jù)和資源的非法存 13 取。它們分別稱為公開密鑰 (Public key)和私有密鑰(Private key)。 防火墻 （防火墻技術(shù)將在后面的章節(jié)詳細(xì)介紹） “防火墻”是一種形象的說(shuō)法 ,它實(shí)際上是計(jì)算機(jī)硬件和軟件的組合 ,在網(wǎng)絡(luò)網(wǎng)關(guān)服務(wù)器上運(yùn)作，在內(nèi)部網(wǎng)與公共網(wǎng)絡(luò)之間建立起一個(gè)安 全網(wǎng)關(guān) (security gateway),保護(hù)私有網(wǎng)絡(luò)資源免遭其他網(wǎng)絡(luò)使用者的擅用或侵入。 網(wǎng)絡(luò)的權(quán)限控制 網(wǎng)絡(luò)權(quán)限控制是針對(duì)網(wǎng)絡(luò)非法操作提出的一種安全保護(hù)措施。 系統(tǒng)中的物理安全保密 是指系統(tǒng)的環(huán)境、計(jì)算機(jī)房、數(shù)據(jù)工作區(qū)、處理區(qū)、數(shù) 據(jù)存貯區(qū)、介質(zhì)存放的安全保密措施，以確保系統(tǒng)在對(duì)信息的收集、存貯、傳遞、物理和使用過(guò)程中，秘密不至泄露。 9 第三 章 現(xiàn)行的一些安全技術(shù)與策略 物理措施 物理安全策略目的是保護(hù)計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)服務(wù)器、打印機(jī)等硬件實(shí)體和通信鏈路免受自然災(zāi)害、人為破壞和搭線攻擊；驗(yàn)證用戶的身份和使用權(quán)限，防止用戶越權(quán)操作；確保計(jì)算機(jī)系統(tǒng)有一個(gè)良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進(jìn)入計(jì)算機(jī)控制室和各種偷竊、破壞活動(dòng)的發(fā)生。通常，信息服務(wù)要通過(guò)信息傳輸實(shí)現(xiàn)，故存在以一文件或存儲(chǔ)器作為源端，以另一文件或用戶為目的端的信息流。 訪問(wèn)控制 :計(jì)算機(jī)網(wǎng)絡(luò)訪問(wèn)控制服務(wù)可以防治沒有被授權(quán)的用戶非法使用計(jì)算機(jī)系統(tǒng)資源。 安全不僅是技術(shù)問(wèn)題更重要的是管理問(wèn)題。我們必須充分認(rèn)識(shí)到問(wèn)題的嚴(yán)重性、迫切性，進(jìn)行網(wǎng)絡(luò)安全的研究，發(fā)展自主的網(wǎng)絡(luò)安全系統(tǒng)、網(wǎng)絡(luò)安全工具。到了 1988年， Inter成了通信的一種基本工具，由于各行各業(yè)人員的加入， Inter原由的潛在的問(wèn)題 (原先欠考慮 )暴露出來(lái)。 作為一個(gè)面向大眾的開放系統(tǒng) ,計(jì)算機(jī)網(wǎng)絡(luò)面臨著來(lái)自各方面的威脅和攻擊 .因此 ,網(wǎng)絡(luò)安全系統(tǒng)的構(gòu)建是一個(gè)非常重要的問(wèn)題 ,它涉及到從系統(tǒng)硬件到軟件 ,從單機(jī)到網(wǎng)絡(luò)的各個(gè)方面 .該文系統(tǒng)地介紹了網(wǎng)絡(luò)安全的概念、 OSI 及 Inter的安全體系結(jié)構(gòu) ,并討論了計(jì)算機(jī)網(wǎng)絡(luò)面臨的各種安全威脅 。各種形形色色的人的加入， 使得 Inter成了一個(gè)異常危險(xiǎn)的地方。這些問(wèn)題通常都由網(wǎng)絡(luò)管理負(fù)責(zé)處理，它借助于相應(yīng)的軟、硬件實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)活動(dòng)和資源的規(guī)劃、組織、監(jiān)視、審計(jì)和控制。2為什么需要保護(hù) 。 .選擇字段數(shù)據(jù)無(wú)連接完整性 :該服務(wù)提供單個(gè)無(wú)連接數(shù)據(jù)單元中各個(gè)選擇字段 8 的完整性 ， 能確定選擇字段是否被修改。 篡改 (Modification):未授權(quán)的攻擊方可以訪問(wèn)到系統(tǒng)，并能篡改系統(tǒng)的有關(guān)數(shù)據(jù)。 （ 1） 使用低輻射計(jì)算機(jī)設(shè)備。訪問(wèn)控制可以說(shuō)是保證網(wǎng)絡(luò)安全最重要的核心策略之一。 客戶端安全防護(hù)策略 首先，應(yīng)該切斷病毒的傳播途徑，盡可能地降低感染病毒的風(fēng)險(xiǎn)；其次，用戶最 好不要隨便使用來(lái)路不明的程序。在一個(gè)沒有防火墻環(huán)境中，網(wǎng)絡(luò)安全完全依賴于主機(jī)安全，并且在某種意義上所有主機(jī)都必須協(xié)同達(dá)到一個(gè)統(tǒng)一的高安全標(biāo)準(zhǔn)；基于主機(jī)的安全伸縮性不好：當(dāng)一個(gè)站點(diǎn)上主機(jī)的數(shù)量增加時(shí)，確定每臺(tái)主機(jī)處于高安全級(jí)別之上，勢(shì)必會(huì)使性能下降；如果某個(gè)網(wǎng)絡(luò) 軟件的薄弱點(diǎn)被發(fā)現(xiàn)，沒有防火墻保護(hù)的站點(diǎn)必須盡可能快地更正每個(gè)暴露的系統(tǒng)，這并不現(xiàn)實(shí)，特別是在一些不同版本的操作系統(tǒng)正被使用時(shí)。 數(shù)字簽名 使用公共密鑰系統(tǒng)可以完成對(duì)電文的數(shù)字簽名，以防止對(duì)電文的否認(rèn)與抵賴，同時(shí)還可以利用數(shù)字簽名來(lái)發(fā)現(xiàn)攻擊者對(duì)電文的非法篡改，以保護(hù)數(shù)據(jù)信息的完整性。 (3)網(wǎng)絡(luò)安全檢測(cè)系統(tǒng)可分為兩類： 基于主機(jī)的入侵檢測(cè)系統(tǒng)用于保護(hù)關(guān)鍵應(yīng)用的服務(wù)器，實(shí)時(shí)監(jiān)視可疑的連接、系統(tǒng)日志檢查，非法訪問(wèn)的闖入等，并且提供對(duì)典型應(yīng)用的監(jiān)視如 Web服務(wù)器應(yīng)用。第一種安全但不好用，第二種好用但不安全。 。如圖 52所示，為過(guò)濾規(guī)則在路由器中的執(zhí)行過(guò)程。 對(duì)包過(guò)濾路由器的評(píng)價(jià) 包過(guò)濾路由器分組過(guò)濾簡(jiǎn)單方便，對(duì)用戶透明，不需用戶認(rèn)證 ， 易于安裝管理，由于工作在 IP層和 TCP/UDP層，且不必對(duì)所有信息流進(jìn)行 審計(jì)和跟蹤，因此速度快。代理服務(wù)在客戶和服務(wù)器建立連接期間同時(shí)充當(dāng)客戶和服務(wù)器的角色 。 屏蔽主機(jī)體系結(jié)構(gòu) NIC 代理服務(wù)程序 NIC 雙宿主機(jī) Inter 20 防火墻 內(nèi)網(wǎng) 屏蔽主機(jī)體系結(jié)構(gòu) 屏蔽主機(jī)體系結(jié)構(gòu)由一臺(tái) 包過(guò)濾路由器和一臺(tái)堡壘主機(jī)構(gòu)成。信息服務(wù)器圖屏蔽主機(jī)體系結(jié)構(gòu)金狀況，來(lái)靈活變通 。 23 3)易于操作、維護(hù)，便于自動(dòng)化管理，盡量減少附加操作。安全設(shè)備應(yīng)易于管理，而且支持通過(guò)現(xiàn)有網(wǎng)絡(luò)對(duì)網(wǎng)上的安全設(shè)備進(jìn)行安全地統(tǒng)一管理、控制，能夠在網(wǎng)上監(jiān)控設(shè)備地運(yùn)行狀況，進(jìn)行實(shí)時(shí)的安全審計(jì)。 5)