【文章內容簡介】 1) 身份認證，用于確認所聲明的身份的有效性； 2) 訪問控制，防止非授權使用資源或以非授權的方式使用資源； 3) 數(shù)據(jù)保密，數(shù)據(jù)存儲和傳輸時加密，防止數(shù)據(jù)竊取、竊聽； 4) 數(shù)據(jù)完整，防止數(shù)據(jù)篡改； 5) 不可抵賴，取兩種形式的一種，用于防止發(fā)送者企圖否認曾經發(fā)送過數(shù)據(jù)或其內容和用以防止接收者對所收到數(shù)據(jù)或內容的抗否認； 6) 審計管理，設置審計記錄措施，分析審計記錄； 7) 可用性、可靠性，在系統(tǒng)降級或受到破壞時能使系統(tǒng)繼續(xù)完成其功能，使得在不利的條件下盡可能少地受到侵害者的 破壞。 協(xié)議層次維 協(xié)議層次維由 ISO/OSI 參考模型的七層構成。與 TCP/IP 層次對應，可以把會話層、表示、應用層統(tǒng)一為 “應用層 ”。 系統(tǒng)單元維 系統(tǒng)單元維描述了信息網(wǎng)絡的各個成分。 1) 通信平臺，信息網(wǎng)絡的通信平臺； 2) 網(wǎng)絡平臺，信息網(wǎng)絡的網(wǎng)絡系統(tǒng)； 3) 系統(tǒng)平臺，信息網(wǎng)絡的操作系統(tǒng)平臺； 4) 應用平臺，信息網(wǎng)絡各種應用的開發(fā)、運行平臺； 5) 物理環(huán)境，信息網(wǎng)絡運行的物理環(huán)境及人員管理。 更多協(xié)同辦公 OA 系統(tǒng)資料請訪問： 貫穿于上述三個方面，各個層次的是安全管理。通過技術手段和行政管理手段，安全管理將涉及到各系統(tǒng)單元在各個協(xié) 議層次提供的各種安全服務。 二維安全框架 上述安全體系給出了一個科學的信息系統(tǒng)安全解決方案的體系結構。為直觀起見，同時也為了便于提出可實施的安全方案，我們把這一模型投影到系統(tǒng)單元平面，并把系統(tǒng)單元分成網(wǎng)絡平臺和應用平臺兩個層次，形成一個二維結構。投影的方法是把協(xié)議層平面和功能平面折疊到系統(tǒng)單元平面，如圖 2 所示。這種投影所得到的結果將直接指導我們網(wǎng)絡安全方案的設計和實施。 身份 認證用 戶 授權與訪問控制應 用 層安全通信協(xié)議數(shù) 字 簽名 主 機 和服務的審計記錄分析應 用 系統(tǒng)的容錯容災、服務管理應 用 層代理或網(wǎng)管電 路層 防火墻( 如S O CK s )傳輸 層安全通信協(xié)議包過 濾 防火墻主 機 、路由器等源發(fā)認證主 機 或路由器間I P Se c 等協(xié)議第三方公證流量 分析入侵 檢測相 鄰 節(jié)點間的認證點 到 點之間的鏈路加密網(wǎng) 絡 結構設計，路由系統(tǒng)安全，基礎服務安全，網(wǎng)絡管理應 用層傳輸 層網(wǎng)絡 層數(shù) 據(jù) 鏈路層與物理層應用系統(tǒng)網(wǎng)絡平臺認證訪問控制數(shù)據(jù)完整性數(shù)據(jù)保密性抗抵賴審計可用性二維安全框架 盡管這一結構反映了信息系統(tǒng)的安全需求，但是沒有反映各種安全服務之間 的邏輯關系。因此，我們在圖 3 中給出了各種安全服務之間的關系模型。 更多協(xié)同辦公 OA 系統(tǒng)資料請訪問： 主體標識 / 認證完整 / 保密訪問控制審計 / 抗抵賴授權數(shù)據(jù)庫資源各種安全服務之間的邏輯關系 在網(wǎng)絡不同的協(xié)議層次，盡管網(wǎng)絡中的實體不同，但都有主體和資源之分。在網(wǎng)絡層，主體是客戶機，資源是服務器或網(wǎng)絡服務。對主體和資源的識別以服務器或協(xié)議端口為粒度，認證服務主要指服務器地址的認證。網(wǎng)絡層的訪問控制主要指防火墻等過濾機制。在應用層系統(tǒng)中，對主體的認證是指用戶身份認證，訪問控制的粒度可以具體到某種操作，如對數(shù)據(jù)項的追加、修改和刪除。 從這一模型可以得出如下結論：對資源的訪問 控制是安全保密的核心，而對用戶的身份認證或服務器的地址的認證是訪問控制的前提。 3 網(wǎng)絡安全元素 物理安全 物理 安全的目的是保護路由器、交換機、工作站、各種網(wǎng)絡服務器、打印機等硬件實體和通信鏈路免受自然災害、人為破壞和搭線竊聽攻擊；驗證用戶的身份和使用權限、防止用戶越權操作；確保網(wǎng)絡設備有一個良好的電磁兼容工作環(huán)境；建立完備的機房安全管理制度，妥善保管備份磁帶和文檔資料；防止非法人員進入機房進行偷竊和破壞活動。 抑制和防止電磁泄漏是物理安全的一個主要問題。目前主要防護措施有兩類：一類是對傳導發(fā)射的防護，主要 采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導線間的交叉耦合。另一類是對輻射的防護，這類防護措施又可分為以下兩種：一是采用各種電磁屏蔽措施，如對設備的金屬屏蔽和各種接插件的屏蔽，同時對機房的下水管、暖氣管和金屬更多協(xié)同辦公 OA 系統(tǒng)資料請訪問： 門窗進行屏蔽和隔離；二是干擾的防護措施，即在計算機系統(tǒng)工作的同時，利用干擾裝置產生一種與計算機系統(tǒng)輻射相關的偽噪聲向空間輻射來掩蓋計算機系統(tǒng)的工作頻率和信息特征。 在物理安全方面， Inter 網(wǎng)和傳統(tǒng)電信網(wǎng)非常類似。 網(wǎng)絡隔離與防火墻技術 網(wǎng)絡隔離 根據(jù)功能、保密水平、安全水平等要求的 差異將網(wǎng)絡進行分段隔離，對整個網(wǎng)絡的安全性有很多好處。可以實現(xiàn)更為細化的安全控制體系，將攻擊和入侵造成的威脅分別限制在較小的子網(wǎng)內，提高網(wǎng)絡整體的安全水平。路由器、虛擬局域網(wǎng) (VLAN)、防火墻是當前主要的網(wǎng)絡分段手段。前面兩種的配置較為直觀，下面主要分析防火墻技術。 防火墻 防火墻在網(wǎng)絡中的地位與它的名字非常相似，它根據(jù)網(wǎng)絡安全水平和可信任關系將網(wǎng)絡劃分成一些相對獨立的子網(wǎng)，兩側間的通信受到防火墻的檢查控制。它可以根據(jù)即定的安全策略允許特定的用戶和數(shù)據(jù)包穿過，同時將安全策略不允許的用戶和數(shù)據(jù)包隔斷，達到 保護高安全等級的子網(wǎng)、阻止墻外黑客的攻擊、限制入侵蔓延等目的。根據(jù)防火墻的位置，可以分為外部防火墻和內部防火墻。外部防火墻將企業(yè)網(wǎng)與外部因特網(wǎng)隔離開來，而內部防火墻的任務經常是在各個部門子網(wǎng)之間進行通信檢查控制。網(wǎng)絡安全體系不應該提供外部系統(tǒng)跨越安全系統(tǒng)直接到達受保護的內部網(wǎng)絡系統(tǒng)的途徑。安全體系在任何情況下都不應該被旁路。 防火墻并不是萬能的，它在很多方面存在弱點。它無法防止來自防火墻內側的攻擊，對各種已識別類型的攻擊的防御有賴于正確的配置，對各種最新的攻擊類型的防御取決于防火墻 知識庫更新的速度和相應的配置更新的速度。一般來說，防火墻擅長于保護設備服務，而不擅長保護數(shù)據(jù)。并且，防火墻可能會導致內部網(wǎng)絡安全管理的松懈。 防火墻的基本類型 實現(xiàn)防火墻的技術包括兩大類型：包過濾 (PF)、應用級防火墻。它們之間各有所長，具體使用哪一種或是否混合使用，要看具體需要。 加密與認證 更多協(xié)同辦公 OA 系統(tǒng)資料請訪問： 對稱與不對稱加密信息加密的目的 對稱與不對稱加密信息加密的目的是保護網(wǎng)內的數(shù)據(jù)、文件、口令和控制信息，保護網(wǎng)絡會話的完整性。 網(wǎng)絡加密可以在鏈路級、網(wǎng)絡級、應用級等進行。信息加密過程是由形形色色的加密算法來 具體實施。據(jù)不完全統(tǒng)計，到目前為止，已經公開發(fā)表的各種加密算法多達數(shù)百種。如果按照收發(fā)雙方密鑰是否相同來分類，可以將這些加密算法分為對稱（私鑰）密碼算法和不對稱（公鑰）密碼算法。 在對稱密碼中，加密和解密使用相同的密鑰，即加密密鑰和解密密鑰是相同或等價的。比較著名的常規(guī)密碼算法有：美國的 DES 及其各種變形、歐洲的 IDEA、RC RC5 以及以代換密碼和轉輪密碼為代表的古典密碼等。 對稱密碼的優(yōu)點是有很強的保密強度，且經受住時間的檢驗和攻擊，但其密鑰必須通過安全的途徑傳送。因此，其密鑰管理成為系統(tǒng)安全的重要因 素。 在不對稱密碼中，加密和解密使用的密鑰互不相同，而且?guī)缀醪豢赡軓募用苊荑€推導出解密密鑰。比較著名的公鑰密碼算法有： RSA、 DiffeHellman 等。最有影響的公鑰密碼算法是 RSA，它能抵抗到目前為止已知的所有密碼攻擊。 公鑰密碼的優(yōu)點是可以適應網(wǎng)絡的開放性要求，且密鑰管理問題也較為簡單，尤其可方便的實現(xiàn)數(shù)字簽名和驗證。但其算法復雜。加密數(shù)據(jù)的速率較低。 盡管如此，隨著現(xiàn)代電子技術和密碼技術的發(fā)展，公鑰密碼算法將是一種很有前途的網(wǎng)絡安全加密體制。 現(xiàn)在流行的 PGP 和 SSL 等加密技術將常規(guī)密碼和公鑰密碼 結合在一起使用，利用DES 或 IDEA 來加密信息，而采用 RSA 來傳遞會話密鑰。 加密技術是網(wǎng)絡安全最有效的技術之一。 網(wǎng)絡加密傳送與認證 對網(wǎng)絡用戶的用戶名和口令進行驗證是防止非法訪問的第一道防線。用戶注冊時首先輸入用戶名和口令，服務器將驗證所輸入的用戶名是否合法。如果驗證合法，才繼續(xù)驗證用戶輸入的口令，否則，用戶將被拒之網(wǎng)絡之外。用戶的口令是用戶入網(wǎng)的關鍵所在。 為保證口令的安全性，用戶口令不能顯示在顯示屏上，用戶口令通常是經過加密后存儲在主機系統(tǒng)中的，即使是系統(tǒng)管理員也難以破解。但是，非常遺憾的是傳統(tǒng)的因 特網(wǎng)上傳輸?shù)氖敲魑模?TELNET、 FTP、 HTTP、 POP3 等應用