【文章內(nèi)容簡(jiǎn)介】 (4) 精確度及完整度，防欺騙能力。 (5) 模式更新速度。 安全掃描技術(shù) 網(wǎng)絡(luò)安全技術(shù)中，另一類重要技術(shù)為安全掃描技術(shù)。安全掃描技術(shù)與防火墻、安全監(jiān)控系統(tǒng)互相配合能夠提供很高安全性的網(wǎng)絡(luò)。 安全掃描工具源于 Hacker 在入侵網(wǎng)絡(luò)系統(tǒng)時(shí)采用的工具。商品化的安全掃描工具為網(wǎng)絡(luò)安全漏洞 的發(fā)現(xiàn)提供了強(qiáng)大的支持。 安全掃描工具通常也分為基于服務(wù)器和基于網(wǎng)絡(luò)的掃描器。 基于服務(wù)器的掃描器主要掃描服務(wù)器相關(guān)的安全漏洞，如 password 文件，目錄和文件權(quán)限，共享文件系統(tǒng)，敏感服務(wù)，軟件，系統(tǒng)漏洞等，并給出相應(yīng)的解決辦法建議。通常與相應(yīng)的服務(wù)器操作系統(tǒng)緊密相關(guān)。 基于網(wǎng)絡(luò)的安全掃描主要掃描設(shè)定網(wǎng)絡(luò)內(nèi)的服務(wù)器、路由器、網(wǎng)橋、變換機(jī)、訪問(wèn)服務(wù)器、防火墻等設(shè)備的安全漏洞，并可設(shè)定模擬攻擊，以測(cè)試系統(tǒng)的防御能力。通常該類掃描器限制使用范圍 (IP 地址或路由器跳數(shù) )。網(wǎng)絡(luò)安全掃描的主要性能應(yīng)該考慮以下方面： (1) 速度。在網(wǎng)絡(luò)內(nèi)進(jìn)行安全掃描非常耗時(shí)。 (2) 網(wǎng)絡(luò)拓?fù)?。通過(guò) GUI 的圖形界面，可迭擇一步或某些區(qū)域的設(shè)備。 (3) 能夠發(fā)現(xiàn)的漏洞數(shù)量。 (4) 是否支持可定制的攻杰方法。通常提供強(qiáng)大的工具構(gòu)造特定的攻擊方法。因?yàn)榫W(wǎng)絡(luò)內(nèi)服務(wù)器及其它設(shè)備對(duì)相同協(xié)議的實(shí)現(xiàn)存在差別，所以預(yù)制的掃描方法肯定不能滿足客戶的需求。 (5) 報(bào)告，掃描器應(yīng)該能夠給出清楚的安全漏洞報(bào)告。 (6) 更新周期。提供該項(xiàng)產(chǎn)品的廠商應(yīng)盡快給出新發(fā)現(xiàn)的安生漏洞掃描特性升級(jí)，并給出相應(yīng)的改進(jìn)建議。 安全掃描器不能實(shí)時(shí)監(jiān)視網(wǎng)絡(luò)上的入侵，但是能夠測(cè)試和評(píng)價(jià)系統(tǒng)的安全性，并及時(shí)發(fā)現(xiàn)安全漏洞。 14 認(rèn)證和數(shù)宇簽名技術(shù) 認(rèn)證技術(shù)主要解決網(wǎng)絡(luò)通訊過(guò)程中通訊雙方的身份認(rèn)可，數(shù)字簽名作為身份認(rèn)證技術(shù)中的一種具體技術(shù)，同時(shí)數(shù)字簽名還可用于通信過(guò)程中的不可抵賴要求的實(shí)現(xiàn)。 認(rèn)證技術(shù)將應(yīng)用到企業(yè)網(wǎng)絡(luò)中的以下方面： (1) 路由器認(rèn)證，路由器和交換機(jī)之間的認(rèn)證。 (2) 操作系統(tǒng)認(rèn)證。操作系統(tǒng)對(duì)用戶的認(rèn)證。 (3) 網(wǎng)管系統(tǒng)對(duì)網(wǎng)管設(shè)備之間的認(rèn)證。 (4) VPN 網(wǎng)關(guān)設(shè)備之間的認(rèn)證。 (5) 撥號(hào)訪問(wèn)服務(wù)器與客戶間的認(rèn)證。 (6) 應(yīng)用服務(wù)器 (如 Web Server)與客戶的認(rèn)證。 (7) 電子郵件通訊雙方的認(rèn)證。 數(shù)字簽名技術(shù)主要用于： (1) 基于 PKI 認(rèn)證體系的認(rèn)證過(guò)程。 (2) 基于 PKI 的電子郵件及交易 (通過(guò) Web 進(jìn)行的交易 )的不可抵賴記錄。 認(rèn)證過(guò)程通常涉及到加密和密鑰交換。通常，加密可使用對(duì)稱加密、不對(duì)稱加密及兩種加密方法的混合。 UserName/Password 認(rèn)證 該種認(rèn)證方式是最常用的一種認(rèn)證方式，用于操作系統(tǒng)登錄、 tel、 rlogin等，但由于此種認(rèn)證方式過(guò)程不加密，即 password 容易被監(jiān)聽(tīng)和解密。 使用摘要算法的認(rèn)證 Radius(撥號(hào)認(rèn)證協(xié)議 )、路由協(xié)議 (OSPF)、 SNMP Security Protocol 等均使用共享的 Security Key，加上摘要算法 (MD5)進(jìn)行認(rèn)證，由于摘要算法是一個(gè)不可逆的過(guò)程，因此，在認(rèn)證過(guò)程中，由摘要信息不能計(jì)算出共享的 security key，敏感信息不在網(wǎng)絡(luò)上傳輸。市場(chǎng)上主要采用 的摘要算法有 MD5 和 SHA1。 基于 PKI 的認(rèn)證 使用公開(kāi)密鑰體系進(jìn)行認(rèn)證和加密。該種方法安全程度較高，綜合采用了摘要算法、不對(duì)稱加密、對(duì)稱加密、數(shù)字簽名等技術(shù)，很好地將安全性和高效率結(jié)合起來(lái)。 節(jié)描述了基于 PKI 認(rèn)證的基本原理。這種認(rèn)證方法目前應(yīng)用在電子郵件、應(yīng)用服務(wù)器訪問(wèn)、客戶認(rèn)證、防火墻驗(yàn)證等領(lǐng)域。 該種認(rèn)證方法安全程度很高，但是涉及到比較繁重的證書管理任務(wù)。 VPN 技術(shù) 企業(yè)對(duì) VPN 技術(shù)的需求 企業(yè)總部和各分支機(jī)構(gòu)之間采用 CNFN 網(wǎng)絡(luò)進(jìn)行連 接，由于 CNFN 為中國(guó)金融系統(tǒng)的公用網(wǎng)絡(luò)，因此，必須保證其安全性。我們將利用公共網(wǎng)絡(luò)實(shí)現(xiàn)的私用網(wǎng)絡(luò)稱為虛擬私用網(wǎng) (VPN)。 15 因?yàn)?VPN 利用了公共網(wǎng)絡(luò)，所以其最大的弱點(diǎn)在于缺乏足夠的安全性。企業(yè)網(wǎng)絡(luò)接入到 CNFN，暴露出兩個(gè)主要危險(xiǎn)： (1) 來(lái)自 CNFN 的未經(jīng)授權(quán)的對(duì)企業(yè)內(nèi)部網(wǎng)的存取。 (2) 當(dāng)企業(yè)通過(guò) CNFN 進(jìn)行通訊時(shí)，信息可能受到竊聽(tīng)和非法修改。 完整的集成化的企業(yè)范圍的 VPN 安全解決方案，提供在 CNFN 上安全的雙向通訊，以及透明的加密方案以保證數(shù)據(jù)的完整性和保密性。 企業(yè)網(wǎng)絡(luò)的全面安全要求 保證： (1) 保密 通訊過(guò)程不被竊聽(tīng)。 (2) 通訊主體真實(shí)性確認(rèn) 網(wǎng)絡(luò)上的計(jì)算機(jī)不被假冒。 數(shù)字簽名 數(shù)字簽名作為驗(yàn)證發(fā)送者身份和消息完整性的根據(jù)。公共密鑰系統(tǒng) (如 RSA)基于私有 /公共密鑰對(duì)，作為驗(yàn)證發(fā)送者身份和消息完整性的根據(jù)。 CA 使用私有密鑰計(jì)算其數(shù)字簽名，利用 CA 提供的公共密鑰，任何人均可驗(yàn)證簽名的真實(shí)性。偽造數(shù)字簽名從計(jì)算能力上是不可行的。 并且，如果消息隨數(shù)字簽名一同發(fā)送，對(duì)消息的任何修改在驗(yàn)證數(shù)字簽名時(shí)都將會(huì)被發(fā)現(xiàn)。 通訊雙方通過(guò) DiffieHellman 密鑰系統(tǒng)安全地 獲取共享的保密密鑰，并使用該密鑰對(duì)消息加密。 DiffieHellman 密鑰由 CA 進(jìn)行驗(yàn)證。 類 型 技 術(shù) 用 途 基本會(huì)話密鑰 DES 加密通訊 加密密鑰 DeffHellman 生成會(huì)話密鑰 認(rèn)證密鑰 RSA 驗(yàn)證加密密鑰 表 1 加密模式使用的密鑰技術(shù) 基于此種加密模式，需要管理的密鑰數(shù)目與通訊者的數(shù)量為線性關(guān)系。而其它的加密模式需要管理的密鑰數(shù)目與通訊者數(shù)目的平方成正比。 IPSEC IPSec 作為在 IP v4 及 IP v6 上的加密通訊框架，已為大多數(shù)廠 商所支持，預(yù)計(jì)在 1998 年將確定為 IETF 標(biāo)準(zhǔn)，是 VPN 實(shí)現(xiàn)的 Inter 標(biāo)準(zhǔn)。 IPSec 主要提供 IP 網(wǎng)絡(luò)層上的加密通訊能力。該標(biāo)準(zhǔn)為每個(gè) IP 包增加了新的包頭格式， Authentication Header(AH)及 encapsualting security payload(ESP)。 IPsec使用 ISAKMP/Oakley 及 SKIP 進(jìn)行密鑰交換、管理及加密通訊協(xié)商 (Security Association)。 Ipsec 包含兩個(gè)部分： (1) IP security Protocol proper，定義 Ipsec 報(bào)文格式。 (2) ISAKMP/Oakley，負(fù)責(zé)加密通訊協(xié)商。 Ipsec 提供了兩種加密通訊手段： 16 Ipsec Tunnel：整個(gè) IP 封裝在 Ipsec 報(bào)文。提供 Ipsecgateway 之間的通訊。 Ipsec transport：對(duì) IP 包內(nèi)的數(shù)據(jù)進(jìn)行加密，使用原來(lái)的源地址和目的地址。 Ipsec Tunnel 不要求修改已配備好的設(shè)備和應(yīng)用，網(wǎng)絡(luò)黑客戶不能看到實(shí)際的的通訊源地址和目的地址，并且能夠提供專用網(wǎng)絡(luò)通過(guò) Inter 加密傳輸?shù)耐ǖ?，因此，絕大多數(shù)均使用該模式。 ISAKMP/Oakley 使用 數(shù)字證書，因此，使 VPN 能夠容易地?cái)U(kuò)大到企業(yè)級(jí)。 (易于管理 )。 在為遠(yuǎn)程撥號(hào)服務(wù)的 Client 端，也能夠?qū)崿F(xiàn) Ipsec 的客戶端，為撥號(hào)用戶提供加密網(wǎng)絡(luò)通訊。 由于 Ipsec 即將成為 Inter 標(biāo)準(zhǔn)，因此不同廠家提供的防火墻 (VPN)產(chǎn)品可以實(shí)現(xiàn)互通。 應(yīng)用平臺(tái)安全 由于應(yīng)用系統(tǒng)的復(fù)雜性，有關(guān)應(yīng)用平臺(tái)的安全問(wèn)題是整個(gè)安全體系中最復(fù)雜的部分。下面的幾個(gè)部分列出了在 Inter/Intra 中主要的應(yīng)用平臺(tái)服務(wù)的安全問(wèn)題及相關(guān)技術(shù)。 域名服務(wù) Inter 域名服務(wù)為 Inter/Intra 應(yīng)用提供了極大的靈活性。幾乎所有的網(wǎng)絡(luò)應(yīng)用均利用域名服務(wù)。 但是，域名服務(wù)通常為 hacker 提供了入侵網(wǎng)絡(luò)的有用信息，如服務(wù)器的 IP、操作系統(tǒng)信息、推導(dǎo)出可能的網(wǎng)絡(luò)結(jié)構(gòu)等。 同時(shí)，新發(fā)現(xiàn)的針對(duì) BINDNDS 實(shí)現(xiàn)的安全漏洞也開(kāi)始發(fā)現(xiàn)，而 絕大多數(shù)的域名系統(tǒng)均存在類似的問(wèn)題。如由于 DNS 查詢使用無(wú)連接的 UDP協(xié)議，利用可預(yù)測(cè)的查詢 ID 可欺騙域名服務(wù)器給 出錯(cuò)誤的主機(jī)名 IP 對(duì)應(yīng)關(guān)系。 因此，在利用域名服務(wù)時(shí)，應(yīng)該注意到以上的安全問(wèn)題。主要的措施有： (1) 內(nèi)部網(wǎng)和外部網(wǎng)使用不同的域名服務(wù)器，隱藏內(nèi)部網(wǎng)絡(luò)信息。 (2) 域名服務(wù)器及域名查找應(yīng)用安裝相應(yīng)的安全補(bǔ)丁。 (3) 對(duì)付 DenialofService 攻擊，應(yīng)設(shè)計(jì)備份域名服務(wù)器。 病毒防護(hù) 病毒歷來(lái)是信息系統(tǒng)安全的主要問(wèn)題之一。由于網(wǎng)絡(luò)的廣泛互聯(lián)，病毒的傳播途徑和速度大大加快。 我們將病毒的途徑分為： (1 ) 通過(guò) ftp，電子郵 件傳播。 (2) 通過(guò)軟盤、光盤、磁帶傳播。 (3) 通過(guò) Web 游覽傳播，主要是惡意的 Java 控件網(wǎng)站。 (4) 通過(guò)群件系統(tǒng)傳播。 病毒防護(hù)的主要技術(shù)如下： 17 (1) 阻止病毒的傳播。 在防火墻、代理服務(wù)器、 SMTP 服務(wù)器、網(wǎng)絡(luò)服務(wù)器、群件服務(wù)器上安裝病毒過(guò)濾軟件。在桌面 PC 安裝病毒監(jiān)控軟件。 (2) 檢查和清除病毒。 使用防病毒軟件檢查和清除病毒。 (3) 病毒數(shù)據(jù)庫(kù)的升級(jí)。 病毒數(shù)據(jù)庫(kù)應(yīng)不斷更新，并下發(fā)到桌面系統(tǒng)。 (4) 在防火墻、代理服務(wù)器及 PC 上安裝 Java 及 ActiveX 控制掃描軟件，禁止未經(jīng)許可的控件下載和安裝。 Web Server 應(yīng)用安全 Web Server 是企業(yè)對(duì)外宣傳、開(kāi)展業(yè)務(wù)的重要基地。由于其重要性，成為 Hacker攻擊的首選目標(biāo)之一。 Web Server 經(jīng)常成為 Inter用戶訪問(wèn)公司內(nèi)部資源的通道之一，如 Web server通過(guò)中間件訪問(wèn)主機(jī)系統(tǒng)，通過(guò)數(shù)據(jù)庫(kù)連接部件訪問(wèn)數(shù)據(jù)庫(kù)，利用 CGI 訪問(wèn)本地文件系統(tǒng)或網(wǎng)絡(luò)系統(tǒng)中其它資源。 但 Web 服務(wù)器越來(lái)越復(fù)雜， 其被發(fā)現(xiàn)的安全漏洞越來(lái)越多。為了防止 Web 服務(wù)器成為攻擊的犧牲品或成為進(jìn)入內(nèi)部網(wǎng)絡(luò)的跳板，我們需要給予更多的關(guān)心： (1) Web 服務(wù)器置于防火墻保護(hù)之下。 (2) 在 Web 服務(wù)器上安裝實(shí)時(shí)安全監(jiān)控軟件。 (3) 在通往 Web 服務(wù)器的網(wǎng)絡(luò)路徑上安裝基于網(wǎng)絡(luò)的實(shí)時(shí)入侵監(jiān)控系統(tǒng)。 (4) 經(jīng)常審查 Web 服務(wù)器配置情況及運(yùn)行日志。 (5) 運(yùn)行新的應(yīng)用前，先進(jìn)行安全測(cè)試。如新的 CGI 應(yīng)用。 (6) 認(rèn)證過(guò)程采用加密通訊或使用 X 509 證書模式。 (7) 小心 設(shè)置 Web 服務(wù)器的訪問(wèn)控制表。 電子郵件系統(tǒng)安全 電子郵件系統(tǒng)也是網(wǎng)絡(luò)與外部必須開(kāi)放的服務(wù)系統(tǒng)。由于電子郵件系統(tǒng)的復(fù)雜性，其被發(fā)現(xiàn)的安全漏洞非常多，并且危害很大。 加強(qiáng)電子郵件系統(tǒng)的安全性，通常有如下辦法： (1) 設(shè)置一臺(tái)位于停火區(qū)的電子郵件服務(wù)器作為內(nèi)外電子郵件通訊的中轉(zhuǎn)站(或利用防火墻的電子郵件中轉(zhuǎn)功能 )。所有出入的電子郵件均通過(guò)該中轉(zhuǎn)站中轉(zhuǎn)。 (2) 同樣為該服務(wù)器安裝實(shí)施監(jiān)控系統(tǒng)。 (3) 該郵件服務(wù)器作為專門的應(yīng)用服務(wù)器，不運(yùn)行任何其它業(yè)務(wù) (切 斷與內(nèi)部網(wǎng)的通訊 )。 (4) 升級(jí)到最新的安全版本。 操作系統(tǒng)安全 市場(chǎng)上幾乎所有的操作系統(tǒng)均已發(fā)現(xiàn)有安全漏洞，并且越流行的操作系統(tǒng)發(fā)現(xiàn)的問(wèn)題越多。對(duì)操作系統(tǒng)的安全，除了不斷地增加安全補(bǔ)丁外，還需要： 18 (1) 檢查系統(tǒng)設(shè)置 (敏感數(shù)據(jù)的存放方式，訪問(wèn)控制，口令選擇 /更新 )。 (2) 基于系統(tǒng)的安全監(jiān)控系統(tǒng)。 應(yīng)用系統(tǒng)安全 應(yīng)用系統(tǒng)建立在應(yīng)用平臺(tái)之上，應(yīng)用系統(tǒng)可利用應(yīng)用平臺(tái)提供的安全服務(wù)，增強(qiáng)應(yīng)用系統(tǒng)的安全。 應(yīng)用系統(tǒng)安全要求： (1) 通訊雙方的主體確認(rèn)。 (2) 通訊過(guò)程的保密、完整性。 (3) 交易過(guò)程的不可抵賴性。 應(yīng)用系統(tǒng)通常有兩種應(yīng)用模式： Client/Server 及點(diǎn)到點(diǎn)通訊。 Inter/Intra上流行的 SSL/SMIME 均使用 及 PKI 完成認(rèn)證和加密通訊。 PKI 認(rèn)證和通訊原理 證書實(shí)際上是通訊主體的身份標(biāo)識(shí)，通訊雙方通過(guò)證書互相認(rèn)證，并利用證書中的信息完成電子簽名和加密協(xié)商。 證書由 CCITT(ITU)的 建議 (目錄認(rèn)證框架 )定義，采 用 描述，傳輸過(guò)程中先做 EDR 編碼，然后 Base64 編碼。 證