【文章內(nèi)容簡(jiǎn)介】 限和存取控制：針對(duì)網(wǎng)絡(luò)系統(tǒng)需要定 義的各種不同用戶，根據(jù)正確的認(rèn)證，賦予其適當(dāng)?shù)牟僮鳈?quán)力，限制其越級(jí)操作。 （ 6）任務(wù)填充：在任務(wù)間歇期發(fā)送無用的具有良好模擬性能的隨機(jī)數(shù)據(jù)，以增加攻擊者通過分析通信流量和破譯密碼獲得信息難度。 網(wǎng)絡(luò)安全管理機(jī)制 10 網(wǎng)絡(luò)信息安全不僅僅是技術(shù)問題，更是一個(gè)管理問題，要解決網(wǎng)絡(luò)信息安全問題，必須制定正確的目標(biāo)策略，設(shè)計(jì)可行的技術(shù)方案，確定合理的資金技術(shù)，采取相應(yīng)的管理措施和依據(jù)相關(guān)法律制度。 網(wǎng)絡(luò)安全策略 策略通常是一般性的規(guī)范，只提出相應(yīng)的重點(diǎn)，而不確切地說明如何達(dá)到所要的 結(jié)果，因此策略屬于安全技術(shù)規(guī)范的最高一級(jí)。 安全策略的分類 安全策略分為基于身份的安全策略和基于規(guī)則的安全策略種?；谏矸莸陌踩呗允沁^濾對(duì)數(shù)據(jù)或資源的訪問，有兩種執(zhí)行方法：若訪問權(quán)限為訪問者所有，典型的作法為特權(quán)標(biāo)記或特殊授權(quán)，即僅為用戶及相應(yīng)活動(dòng)進(jìn)程進(jìn)行授權(quán)；若為訪問數(shù)據(jù)所有則可以采用訪問控制表（ ACL）。這兩種情況中，數(shù)據(jù)項(xiàng)的大小有很大的變化，數(shù)據(jù)權(quán)力命名也可以帶自己的 ACL[3]。 基于規(guī)則的安全策略是指建立在特定的，個(gè)體化屬性之上的授權(quán)準(zhǔn)則，授權(quán)通常依賴于敏感性。在一個(gè) 安全系統(tǒng)中，數(shù)據(jù)或資源應(yīng)該標(biāo)注安全標(biāo)記，而且用戶活動(dòng)應(yīng)該得到相應(yīng)的安全標(biāo)記。 安全策略的配置 開放式網(wǎng)絡(luò)環(huán)境下用戶的合法權(quán)益通常受到兩種方式的侵害：主動(dòng)攻擊和被動(dòng)攻擊，主動(dòng)攻擊包括對(duì)用戶信息的竊取，對(duì)信息流量的分析。根據(jù)用戶對(duì)安全的需求才可以采用以下的保護(hù)： （ 1）身份認(rèn)證；檢驗(yàn)用戶的身份是否合法、防止身份冒充、及對(duì)用戶實(shí)施訪問控制數(shù)據(jù)完整性鑒別、防止數(shù)據(jù)被偽造、修改和刪除。 （ 2）信息保密；防止用戶數(shù)據(jù)被泄、竊取、保護(hù)用戶的隱私。 （ 3）數(shù)字簽名；防止用戶否認(rèn)對(duì)數(shù)據(jù)所做的處理。 （ 4）訪問控制 ；對(duì)用戶的訪問權(quán)限進(jìn)行控制。 （ 5）不可否認(rèn)性；也稱不可抵賴性，即防止對(duì)數(shù)據(jù)操作的否認(rèn)。 安全策略的實(shí)現(xiàn)流程 安全策略的實(shí)現(xiàn)涉及到以下及個(gè)主要方面，如圖 21所示。 圖 21 安全策略實(shí)現(xiàn)流程 （ 1）證書管理。主要是指公開密銀證書的產(chǎn)生、分配更新和驗(yàn)證。 （ 2）密銀管理。包括密銀的產(chǎn)生、協(xié)商、交換和更新，目的是為了在通信的終端系統(tǒng)之間建立實(shí)現(xiàn)安全策略所需的共享密銀。 （ 3）安全協(xié)作。是在不同的終端系統(tǒng)之間協(xié)商建立共同采用的安全策略，包括安全策略實(shí)施所在層次、具體采用的認(rèn)證、加密算法和 步驟、如何處理差錯(cuò)。 （ 4）安全算法實(shí)現(xiàn)：具體算法的實(shí)現(xiàn)，如 PES、 RSA. 11 （ 5）安全策略數(shù)據(jù)庫(kù)：保存與具體建立的安全策略有關(guān)的狀態(tài)、變量、指針。 網(wǎng)絡(luò)安全發(fā)展趨勢(shì) 總的看來，對(duì)等網(wǎng)絡(luò)將成為主流，與網(wǎng)格共存。網(wǎng)絡(luò)進(jìn)化的未來 — 綠色網(wǎng)絡(luò)— 呼喚著新的信息安全保障體系。 國(guó)際互聯(lián)網(wǎng)允許自主接入，從而構(gòu)成一個(gè)規(guī)模龐大的，復(fù)雜的巨系統(tǒng)，在如此復(fù)雜的環(huán)境下，孤立的技術(shù)發(fā)揮的作用有限，必須從整體的和體系的角度，綜合運(yùn)用系統(tǒng)論，控制論和信息論等理論，融合各種技術(shù)手段，加強(qiáng)自主創(chuàng)新和頂層設(shè)計(jì)，協(xié)同解決網(wǎng)絡(luò)安全問題。 保證網(wǎng)絡(luò)安全還需嚴(yán)格的手段，未來網(wǎng)絡(luò)安全領(lǐng)域可能發(fā)生三件事，其一是向更高級(jí)別的認(rèn)證轉(zhuǎn)移；其二，目前存儲(chǔ)在用戶計(jì)算機(jī)上的復(fù)雜數(shù)據(jù)將“向上移動(dòng)”，由與銀行相似的機(jī)構(gòu)確保它們的安全；第三，是在全世界的國(guó)家和地區(qū)建立與駕照相似的制度，它們?cè)谟?jì)算機(jī)銷售時(shí)限制計(jì)算機(jī)的運(yùn)算能力，或要求用戶演示在自己的計(jì)算機(jī)受到攻擊時(shí)抵御攻擊的能力 [5]。 第 3章 網(wǎng)絡(luò)安全問題解決對(duì)策 計(jì)算機(jī)安全級(jí)別的劃分 TCSEC簡(jiǎn)介 安全級(jí)別 名 稱 說明 12 1999年 9月 13日國(guó)家質(zhì)量技術(shù)監(jiān)督局公布了我國(guó)第一部關(guān)于計(jì)算機(jī)信息系統(tǒng)安全等級(jí)劃分的標(biāo)準(zhǔn)“計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn) 則”（ GB178591999）。而國(guó)外同標(biāo)準(zhǔn)的是美國(guó)國(guó)防部在 1985年 12月公布的可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)標(biāo)準(zhǔn) TCSEC(又稱桔皮書 )。在 TCSEC 劃分了 7個(gè)安全等級(jí)： D級(jí)、C1級(jí)、 C2級(jí)、 B1 級(jí)、 B2 級(jí)、 B3 級(jí)和 A1 級(jí)。其中 D級(jí)是沒有安全機(jī)制的級(jí)別，A1 級(jí)是難以達(dá)到的安全級(jí)別，如表 錯(cuò)誤！未找到圖形項(xiàng)目表。 所示： 表 31網(wǎng)絡(luò)安全等級(jí)及安全級(jí)別的性能要求 安全級(jí)別 名 稱 說明 D1 酌情安全保護(hù) 對(duì)硬件和操作系統(tǒng)幾乎無保護(hù)，對(duì)信息的訪問無控制 C1 自選安全保護(hù) 由用戶注冊(cè)名和口令的組合來確定用戶對(duì)信息的訪問權(quán)限 B1 被標(biāo)簽的安全性保護(hù) 為強(qiáng)制性訪問控制，不允許文件的擁有者改變其許可權(quán)限 B2 結(jié)構(gòu)化保護(hù) 要求對(duì)計(jì)算機(jī)中所有信息加以標(biāo)簽，并且對(duì)設(shè)備分配單個(gè)或多個(gè)安全級(jí)別 B3 安全域保護(hù) 使用安全硬件的方法來加強(qiáng)域的管理 終端與系統(tǒng)的連接途徑可信任 A 核實(shí)保護(hù) 系統(tǒng)不同來源必須有安全措施必須在銷售過程中實(shí)施 D1 酌情安全保護(hù) 對(duì)硬件和操作系統(tǒng)幾乎無保護(hù)，對(duì)信息的訪問無控制 C1 自選安全保護(hù) 由用戶注冊(cè)名和口令的組合來確定用戶對(duì)信息的訪問權(quán)限 B1 被標(biāo)簽的安全性保護(hù) 為強(qiáng)制性訪問控制，不允許文件的擁有者改變其許可權(quán)限 B2 結(jié)構(gòu)化保護(hù) 要求對(duì)計(jì)算機(jī)中所有信息加以標(biāo)簽，并且對(duì)設(shè)備分配單個(gè)或多個(gè)安全級(jí)別 B3 安全域保護(hù) 使用安全硬件的方法來加強(qiáng)域的管理 終端與系統(tǒng)的連接途徑可信任 A 核實(shí)保護(hù) 系統(tǒng)不同來源必須有安全措施必須在銷售過程中實(shí)施 13 下面對(duì)下各個(gè)安全級(jí)別進(jìn)行介紹： (1)D類安全等級(jí)： D類安全等級(jí)只包括 D1 一個(gè)級(jí)別。 D1 的安全等級(jí)最低。D1 系統(tǒng)只為文件和用戶提供安全保護(hù)。 D1 系統(tǒng)最普 通的形式是本地操作系統(tǒng)，或者是一個(gè)完全沒有保護(hù)的網(wǎng)絡(luò)。 (2)C 類安全等級(jí)：該類安全等級(jí)能夠提供審慎的保護(hù)，并為用戶的行動(dòng)和責(zé)任提供審計(jì)能力。 C 類安全等級(jí)可劃分為 C1和 C2兩類。 C1系統(tǒng)的可信任運(yùn)算基礎(chǔ)體制（ Trusted Computing Base， TCB）通過將用戶和數(shù)據(jù)分開來達(dá)到安全的目的。在 C1 系統(tǒng)中，所有的用戶以同樣的靈敏度來處理數(shù)據(jù)，即用戶認(rèn)為 C1系統(tǒng)中的所有文檔都具有相同的機(jī)密性。 C2系統(tǒng)比 C1系統(tǒng)加強(qiáng)了可調(diào)的審慎控制。在連接事件和資源隔離來增強(qiáng)這種控制。 C2系統(tǒng)具有 C1系統(tǒng)中所有的安全性特 征。 (3)B類安全等級(jí)： B類安全等級(jí)可分為 B B2 和 B3三類。 B類系統(tǒng)具有強(qiáng)制性保護(hù)功能。強(qiáng)制性保護(hù)意味著如果用戶沒有與安全等級(jí)相連，系統(tǒng)就不會(huì)讓用戶存取對(duì)象。 B1 系統(tǒng)滿足下列要求：系統(tǒng)對(duì)網(wǎng)絡(luò)控制下的每個(gè)對(duì)象都進(jìn)行靈敏度標(biāo)記；系統(tǒng)使用靈敏度標(biāo)記作為所有強(qiáng)迫訪問控制的基礎(chǔ)；系統(tǒng)在把導(dǎo)入的、非標(biāo)記的對(duì)象放入系統(tǒng)前標(biāo)記它們；靈敏度標(biāo)記必須準(zhǔn)確地表示其所聯(lián)系的對(duì)象的安全級(jí)別；當(dāng)系統(tǒng)管理員創(chuàng)建系統(tǒng)或者增加新的通信通道或 I/O 設(shè)備時(shí)，管理員必須指定每個(gè)通信通道和 I/O 設(shè)備是單級(jí)還是多級(jí)，并且管理員只能手工改變指 定；單級(jí)設(shè)備并不保持傳輸信息的靈敏度級(jí)別；所有直接面向用戶位置的輸出（無論是虛擬的還是物理的）都必須產(chǎn)生標(biāo)記來指示關(guān)于輸出對(duì)象的靈敏度；系統(tǒng)必須使用用戶的口令或證明來決定用戶的安全訪問級(jí)別；系統(tǒng)必須通過審計(jì)來記錄未授權(quán)訪問的企圖。 B2 系統(tǒng)必須滿足 B1系統(tǒng)的所有要求。另外， B2 系統(tǒng)的管理員必須使用一個(gè)明確的、文檔化的安全策略模式作為系統(tǒng)的可信任運(yùn)算基礎(chǔ)體制。 B2 系統(tǒng)必須滿足下列要求：系統(tǒng)必須立即通知系統(tǒng)中的每一個(gè)用戶所有與之相關(guān)的網(wǎng)絡(luò)連接的改變；只有用戶能夠在可信任通信路徑中進(jìn)行初始化通信；可信任運(yùn)算基礎(chǔ)體制 能夠支持獨(dú)立的操作者和管理員。 B3 系統(tǒng)必須符合B2 系統(tǒng)的所有安全需求。 B3 系統(tǒng)具有很強(qiáng)的監(jiān)視委托管理訪問能力和抗干擾能力。 B3 系統(tǒng)必須設(shè)有安全管理員。 B3 系統(tǒng)應(yīng)滿足以下要求 : (a)B3 必須產(chǎn)生一個(gè)可讀的安全列表，每個(gè)被命名的對(duì)象提供對(duì)該對(duì)象沒有訪問權(quán)的用戶列表說明； (b)B3系統(tǒng)在進(jìn)行任何操作前，要求用戶進(jìn)行身份驗(yàn)證； (c)B3 系統(tǒng)驗(yàn)證每個(gè)用戶，同時(shí)還會(huì)發(fā)送一個(gè)取消訪問的審計(jì)跟蹤消息；設(shè)計(jì)者必須正確區(qū)分可信任的通信路徑和其他路徑；可信任的通信基礎(chǔ)體制為每一個(gè)被命名的對(duì)象建立安全審計(jì)跟蹤；可信任的運(yùn)算基 礎(chǔ)體制支持獨(dú)立的安全管 14 理。 (4)A類安全等級(jí)： A系統(tǒng)的安全級(jí)別最高。目前， A類安全等級(jí)只包含 A1一個(gè)安全類別。 A1 類與 B3 類相似，對(duì)系統(tǒng)的結(jié)構(gòu)和策略不作特別要求。 A1 系統(tǒng)的顯著特征是，系統(tǒng)的設(shè)計(jì)者必須按照一個(gè)正式的設(shè)計(jì)規(guī)范來分析系統(tǒng)。對(duì)系統(tǒng)分析后，設(shè)計(jì)者必須運(yùn)用核對(duì)技術(shù)來確保系統(tǒng)符合設(shè)計(jì)規(guī)范。 A1 系統(tǒng)必須滿足下列要求：系統(tǒng)管理員必須從開發(fā)者那里接收到一個(gè)安全策略的正式模型 。所有的安裝操作都必須由系統(tǒng)管理員進(jìn)行；系統(tǒng)管理員進(jìn)行的每一步安裝操作都必須有正式文檔。 GB17859劃分的特點(diǎn) GB17859 把計(jì)算機(jī)信息安全保護(hù)能力劃分為 5 個(gè)等級(jí)，它們是：系統(tǒng)自我保護(hù)級(jí)、系統(tǒng)審計(jì)保護(hù)級(jí)、安全標(biāo)記保護(hù)級(jí)、結(jié)構(gòu)化保護(hù)級(jí)和訪問驗(yàn)證保護(hù)級(jí)。這 5個(gè)級(jí)別的安全強(qiáng)度從低到高排列讓高一級(jí)包括低一級(jí)的安全能力，如表 32所示。 表 32 GB17859的劃分標(biāo)準(zhǔn) 安全能力 一級(jí) 二級(jí) 三級(jí) 四級(jí) 五級(jí) 自主訪問控制 √ ∈ ≡ ≡ ≡ 強(qiáng)制訪問控制 √ ∈ ≡ 標(biāo)記 √ ∈ ≡ 身份鑒別 √ ∈ ∈ ≡ ≡ 客體重用 √ ≡ ≡ ≡ 審計(jì) √ ∈ ∈ ∈ 數(shù)據(jù)完整 √ ≡ ∈ ≡ ≡ 隱蔽信道分析 √ ≡ 可信路徑 √ ≡ 可信恢復(fù) √ 注 : “√” :新增功能；“∈”：比上一級(jí)功能又所擴(kuò)展；“≡”：與上一級(jí)功能相同。 計(jì)算機(jī)信息系統(tǒng)的安全模型主要又訪問監(jiān)控器模型、軍用安全模仿和信息流模型等三類模型，它們是定義計(jì)算機(jī)信息系統(tǒng)安全等級(jí)劃分標(biāo)準(zhǔn)的依據(jù)。 （ 1）訪問監(jiān)控模型：是按 TCB要求設(shè)計(jì)的，受保護(hù)的客體要么允許訪問，要么不允許訪問。 （ 2）常用安全模型：是一種多級(jí)安全模型，即它所控制的信息分為絕密、機(jī)密、秘密和無密 4種敏感級(jí)。 15 （ 3）信息流模型：是計(jì)算機(jī)中系統(tǒng) 中系統(tǒng)中信息流動(dòng)路徑，它反映了用戶在計(jì)算機(jī)系統(tǒng)中的訪問意圖。信息流分直接的和間接的兩種。 防火墻技術(shù) 隨著網(wǎng)絡(luò)安全問題日益嚴(yán)重，網(wǎng)絡(luò)安全技術(shù)和產(chǎn)品也被人們逐漸重視起來，防火墻作為最早出現(xiàn)的網(wǎng)絡(luò)安全技術(shù)和使用量最大的網(wǎng)絡(luò)安全產(chǎn)品，受到用戶和研發(fā)機(jī)構(gòu)的親睞。 防火墻是指設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的一系列部件的組合，它執(zhí)行預(yù)先制定的訪問控制策略，決定了網(wǎng)絡(luò)外部與網(wǎng)絡(luò)內(nèi)部的訪問方式。 在網(wǎng)絡(luò)中，防火墻實(shí)際是一種隔離技術(shù)，它所執(zhí)行的隔離措施有： （ 1）拒絕未經(jīng)授權(quán)的用戶訪 問內(nèi)部網(wǎng)和存取敏感數(shù)據(jù)。 （ 2）允許合法用戶不受妨礙地訪問網(wǎng)絡(luò)資源。 而它的核心思想是在不安全的因特網(wǎng)環(huán)境中構(gòu)造一個(gè)相對(duì)安全的子網(wǎng)環(huán)境，其目的是保護(hù)一個(gè)網(wǎng)絡(luò)不受另一個(gè)網(wǎng)絡(luò)的攻擊，所以防火墻又有以下作用： （ 1）作為網(wǎng)絡(luò)安全的屏障。一個(gè)防火墻作為阻塞節(jié)點(diǎn)和控制節(jié)點(diǎn)能極大地提高一個(gè)內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風(fēng)險(xiǎn)，只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。 （ 2）可以強(qiáng)化網(wǎng)絡(luò)安全策略。通過以防火墻為中心的安全方案配置，能將所有的安全軟件配置在防火墻上，體現(xiàn)集中安全管理更 經(jīng)濟(jì)。 （ 3）對(duì)網(wǎng)絡(luò)存取和訪問進(jìn)行監(jiān)控審計(jì)。如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并做出日志記錄，同時(shí)也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計(jì)數(shù)據(jù)，當(dāng)發(fā)生可疑動(dòng)作時(shí)，防火墻能進(jìn)行適當(dāng)?shù)膱?bào)警，并提供網(wǎng)絡(luò)是否受到監(jiān)測(cè)和攻擊的詳細(xì)信息。 （ 4）防止內(nèi)部信息的外泄。通過利用防火墻對(duì)內(nèi)部網(wǎng)絡(luò)的劃分，可實(shí)現(xiàn)內(nèi)部網(wǎng)重點(diǎn)網(wǎng)段的隔離，從而限制了局部重點(diǎn)或敏感網(wǎng)絡(luò)安全問題對(duì)全局網(wǎng)絡(luò)造成的影響。 （ 5）支持具有因特網(wǎng)服務(wù)性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系 VPN。 防火墻的工作原理 從防火墻的作用可以看出，防火墻必須具備兩 個(gè)要求：保障內(nèi)部網(wǎng)安全和保障內(nèi)部網(wǎng)和外部網(wǎng)的聯(lián)通。因此在邏輯上防火墻是一個(gè)分離器、限制器、分析器[12]。有效地監(jiān)控了內(nèi)部網(wǎng)和外部網(wǎng)的任何活動(dòng)，保證了內(nèi)部網(wǎng)絡(luò)的安全，其一般邏輯位置如圖 31所示。 圖 31 防火墻的邏輯示意圖 防火墻根據(jù)功能實(shí)現(xiàn)在 TCP/IP 網(wǎng)絡(luò)模型中的層次，其實(shí)現(xiàn)原理可以分 16 為三類：在網(wǎng)絡(luò)層實(shí)現(xiàn)防火墻功能為分組過濾技術(shù)；在應(yīng)用層實(shí)現(xiàn)防火墻功能為代理服務(wù)技術(shù)；在網(wǎng)絡(luò)層， IP 層，應(yīng)用層三層實(shí)現(xiàn)防火墻為狀態(tài)檢測(cè)技術(shù)。 （ 1）分組過