【文章內(nèi)容簡介】 限和存取控制：針對網(wǎng)絡系統(tǒng)需要定 義的各種不同用戶，根據(jù)正確的認證，賦予其適當?shù)牟僮鳈嗔?，限制其越級操作? （ 6）任務填充：在任務間歇期發(fā)送無用的具有良好模擬性能的隨機數(shù)據(jù)，以增加攻擊者通過分析通信流量和破譯密碼獲得信息難度。 網(wǎng)絡安全管理機制 10 網(wǎng)絡信息安全不僅僅是技術問題，更是一個管理問題，要解決網(wǎng)絡信息安全問題，必須制定正確的目標策略，設計可行的技術方案，確定合理的資金技術，采取相應的管理措施和依據(jù)相關法律制度。 網(wǎng)絡安全策略 策略通常是一般性的規(guī)范，只提出相應的重點，而不確切地說明如何達到所要的 結果，因此策略屬于安全技術規(guī)范的最高一級。 安全策略的分類 安全策略分為基于身份的安全策略和基于規(guī)則的安全策略種?；谏矸莸陌踩呗允沁^濾對數(shù)據(jù)或資源的訪問，有兩種執(zhí)行方法：若訪問權限為訪問者所有，典型的作法為特權標記或特殊授權，即僅為用戶及相應活動進程進行授權；若為訪問數(shù)據(jù)所有則可以采用訪問控制表（ ACL）。這兩種情況中，數(shù)據(jù)項的大小有很大的變化，數(shù)據(jù)權力命名也可以帶自己的 ACL[3]。 基于規(guī)則的安全策略是指建立在特定的，個體化屬性之上的授權準則，授權通常依賴于敏感性。在一個 安全系統(tǒng)中，數(shù)據(jù)或資源應該標注安全標記，而且用戶活動應該得到相應的安全標記。 安全策略的配置 開放式網(wǎng)絡環(huán)境下用戶的合法權益通常受到兩種方式的侵害：主動攻擊和被動攻擊，主動攻擊包括對用戶信息的竊取，對信息流量的分析。根據(jù)用戶對安全的需求才可以采用以下的保護： （ 1）身份認證；檢驗用戶的身份是否合法、防止身份冒充、及對用戶實施訪問控制數(shù)據(jù)完整性鑒別、防止數(shù)據(jù)被偽造、修改和刪除。 （ 2）信息保密；防止用戶數(shù)據(jù)被泄、竊取、保護用戶的隱私。 （ 3）數(shù)字簽名；防止用戶否認對數(shù)據(jù)所做的處理。 （ 4）訪問控制 ；對用戶的訪問權限進行控制。 （ 5）不可否認性；也稱不可抵賴性，即防止對數(shù)據(jù)操作的否認。 安全策略的實現(xiàn)流程 安全策略的實現(xiàn)涉及到以下及個主要方面，如圖 21所示。 圖 21 安全策略實現(xiàn)流程 （ 1）證書管理。主要是指公開密銀證書的產(chǎn)生、分配更新和驗證。 （ 2）密銀管理。包括密銀的產(chǎn)生、協(xié)商、交換和更新，目的是為了在通信的終端系統(tǒng)之間建立實現(xiàn)安全策略所需的共享密銀。 （ 3）安全協(xié)作。是在不同的終端系統(tǒng)之間協(xié)商建立共同采用的安全策略，包括安全策略實施所在層次、具體采用的認證、加密算法和 步驟、如何處理差錯。 （ 4）安全算法實現(xiàn)：具體算法的實現(xiàn)，如 PES、 RSA. 11 （ 5）安全策略數(shù)據(jù)庫：保存與具體建立的安全策略有關的狀態(tài)、變量、指針。 網(wǎng)絡安全發(fā)展趨勢 總的看來，對等網(wǎng)絡將成為主流，與網(wǎng)格共存。網(wǎng)絡進化的未來 — 綠色網(wǎng)絡— 呼喚著新的信息安全保障體系。 國際互聯(lián)網(wǎng)允許自主接入，從而構成一個規(guī)模龐大的，復雜的巨系統(tǒng)，在如此復雜的環(huán)境下，孤立的技術發(fā)揮的作用有限，必須從整體的和體系的角度，綜合運用系統(tǒng)論，控制論和信息論等理論，融合各種技術手段，加強自主創(chuàng)新和頂層設計，協(xié)同解決網(wǎng)絡安全問題。 保證網(wǎng)絡安全還需嚴格的手段，未來網(wǎng)絡安全領域可能發(fā)生三件事，其一是向更高級別的認證轉移；其二，目前存儲在用戶計算機上的復雜數(shù)據(jù)將“向上移動”，由與銀行相似的機構確保它們的安全；第三，是在全世界的國家和地區(qū)建立與駕照相似的制度，它們在計算機銷售時限制計算機的運算能力，或要求用戶演示在自己的計算機受到攻擊時抵御攻擊的能力 [5]。 第 3章 網(wǎng)絡安全問題解決對策 計算機安全級別的劃分 TCSEC簡介 安全級別 名 稱 說明 12 1999年 9月 13日國家質(zhì)量技術監(jiān)督局公布了我國第一部關于計算機信息系統(tǒng)安全等級劃分的標準“計算機信息系統(tǒng)安全保護等級劃分準 則”（ GB178591999）。而國外同標準的是美國國防部在 1985年 12月公布的可信計算機系統(tǒng)評價標準 TCSEC(又稱桔皮書 )。在 TCSEC 劃分了 7個安全等級： D級、C1級、 C2級、 B1 級、 B2 級、 B3 級和 A1 級。其中 D級是沒有安全機制的級別，A1 級是難以達到的安全級別，如表 錯誤！未找到圖形項目表。 所示： 表 31網(wǎng)絡安全等級及安全級別的性能要求 安全級別 名 稱 說明 D1 酌情安全保護 對硬件和操作系統(tǒng)幾乎無保護，對信息的訪問無控制 C1 自選安全保護 由用戶注冊名和口令的組合來確定用戶對信息的訪問權限 B1 被標簽的安全性保護 為強制性訪問控制，不允許文件的擁有者改變其許可權限 B2 結構化保護 要求對計算機中所有信息加以標簽，并且對設備分配單個或多個安全級別 B3 安全域保護 使用安全硬件的方法來加強域的管理 終端與系統(tǒng)的連接途徑可信任 A 核實保護 系統(tǒng)不同來源必須有安全措施必須在銷售過程中實施 D1 酌情安全保護 對硬件和操作系統(tǒng)幾乎無保護，對信息的訪問無控制 C1 自選安全保護 由用戶注冊名和口令的組合來確定用戶對信息的訪問權限 B1 被標簽的安全性保護 為強制性訪問控制，不允許文件的擁有者改變其許可權限 B2 結構化保護 要求對計算機中所有信息加以標簽，并且對設備分配單個或多個安全級別 B3 安全域保護 使用安全硬件的方法來加強域的管理 終端與系統(tǒng)的連接途徑可信任 A 核實保護 系統(tǒng)不同來源必須有安全措施必須在銷售過程中實施 13 下面對下各個安全級別進行介紹： (1)D類安全等級： D類安全等級只包括 D1 一個級別。 D1 的安全等級最低。D1 系統(tǒng)只為文件和用戶提供安全保護。 D1 系統(tǒng)最普 通的形式是本地操作系統(tǒng)，或者是一個完全沒有保護的網(wǎng)絡。 (2)C 類安全等級：該類安全等級能夠提供審慎的保護，并為用戶的行動和責任提供審計能力。 C 類安全等級可劃分為 C1和 C2兩類。 C1系統(tǒng)的可信任運算基礎體制（ Trusted Computing Base， TCB）通過將用戶和數(shù)據(jù)分開來達到安全的目的。在 C1 系統(tǒng)中，所有的用戶以同樣的靈敏度來處理數(shù)據(jù)，即用戶認為 C1系統(tǒng)中的所有文檔都具有相同的機密性。 C2系統(tǒng)比 C1系統(tǒng)加強了可調(diào)的審慎控制。在連接事件和資源隔離來增強這種控制。 C2系統(tǒng)具有 C1系統(tǒng)中所有的安全性特 征。 (3)B類安全等級： B類安全等級可分為 B B2 和 B3三類。 B類系統(tǒng)具有強制性保護功能。強制性保護意味著如果用戶沒有與安全等級相連，系統(tǒng)就不會讓用戶存取對象。 B1 系統(tǒng)滿足下列要求：系統(tǒng)對網(wǎng)絡控制下的每個對象都進行靈敏度標記；系統(tǒng)使用靈敏度標記作為所有強迫訪問控制的基礎；系統(tǒng)在把導入的、非標記的對象放入系統(tǒng)前標記它們；靈敏度標記必須準確地表示其所聯(lián)系的對象的安全級別；當系統(tǒng)管理員創(chuàng)建系統(tǒng)或者增加新的通信通道或 I/O 設備時，管理員必須指定每個通信通道和 I/O 設備是單級還是多級，并且管理員只能手工改變指 定；單級設備并不保持傳輸信息的靈敏度級別；所有直接面向用戶位置的輸出（無論是虛擬的還是物理的）都必須產(chǎn)生標記來指示關于輸出對象的靈敏度；系統(tǒng)必須使用用戶的口令或證明來決定用戶的安全訪問級別；系統(tǒng)必須通過審計來記錄未授權訪問的企圖。 B2 系統(tǒng)必須滿足 B1系統(tǒng)的所有要求。另外， B2 系統(tǒng)的管理員必須使用一個明確的、文檔化的安全策略模式作為系統(tǒng)的可信任運算基礎體制。 B2 系統(tǒng)必須滿足下列要求：系統(tǒng)必須立即通知系統(tǒng)中的每一個用戶所有與之相關的網(wǎng)絡連接的改變；只有用戶能夠在可信任通信路徑中進行初始化通信；可信任運算基礎體制 能夠支持獨立的操作者和管理員。 B3 系統(tǒng)必須符合B2 系統(tǒng)的所有安全需求。 B3 系統(tǒng)具有很強的監(jiān)視委托管理訪問能力和抗干擾能力。 B3 系統(tǒng)必須設有安全管理員。 B3 系統(tǒng)應滿足以下要求 : (a)B3 必須產(chǎn)生一個可讀的安全列表，每個被命名的對象提供對該對象沒有訪問權的用戶列表說明； (b)B3系統(tǒng)在進行任何操作前，要求用戶進行身份驗證； (c)B3 系統(tǒng)驗證每個用戶，同時還會發(fā)送一個取消訪問的審計跟蹤消息；設計者必須正確區(qū)分可信任的通信路徑和其他路徑；可信任的通信基礎體制為每一個被命名的對象建立安全審計跟蹤；可信任的運算基 礎體制支持獨立的安全管 14 理。 (4)A類安全等級： A系統(tǒng)的安全級別最高。目前， A類安全等級只包含 A1一個安全類別。 A1 類與 B3 類相似，對系統(tǒng)的結構和策略不作特別要求。 A1 系統(tǒng)的顯著特征是，系統(tǒng)的設計者必須按照一個正式的設計規(guī)范來分析系統(tǒng)。對系統(tǒng)分析后，設計者必須運用核對技術來確保系統(tǒng)符合設計規(guī)范。 A1 系統(tǒng)必須滿足下列要求：系統(tǒng)管理員必須從開發(fā)者那里接收到一個安全策略的正式模型 。所有的安裝操作都必須由系統(tǒng)管理員進行；系統(tǒng)管理員進行的每一步安裝操作都必須有正式文檔。 GB17859劃分的特點 GB17859 把計算機信息安全保護能力劃分為 5 個等級，它們是：系統(tǒng)自我保護級、系統(tǒng)審計保護級、安全標記保護級、結構化保護級和訪問驗證保護級。這 5個級別的安全強度從低到高排列讓高一級包括低一級的安全能力，如表 32所示。 表 32 GB17859的劃分標準 安全能力 一級 二級 三級 四級 五級 自主訪問控制 √ ∈ ≡ ≡ ≡ 強制訪問控制 √ ∈ ≡ 標記 √ ∈ ≡ 身份鑒別 √ ∈ ∈ ≡ ≡ 客體重用 √ ≡ ≡ ≡ 審計 √ ∈ ∈ ∈ 數(shù)據(jù)完整 √ ≡ ∈ ≡ ≡ 隱蔽信道分析 √ ≡ 可信路徑 √ ≡ 可信恢復 √ 注 : “√” :新增功能；“∈”：比上一級功能又所擴展；“≡”：與上一級功能相同。 計算機信息系統(tǒng)的安全模型主要又訪問監(jiān)控器模型、軍用安全模仿和信息流模型等三類模型，它們是定義計算機信息系統(tǒng)安全等級劃分標準的依據(jù)。 （ 1）訪問監(jiān)控模型：是按 TCB要求設計的，受保護的客體要么允許訪問，要么不允許訪問。 （ 2）常用安全模型：是一種多級安全模型，即它所控制的信息分為絕密、機密、秘密和無密 4種敏感級。 15 （ 3）信息流模型：是計算機中系統(tǒng) 中系統(tǒng)中信息流動路徑，它反映了用戶在計算機系統(tǒng)中的訪問意圖。信息流分直接的和間接的兩種。 防火墻技術 隨著網(wǎng)絡安全問題日益嚴重，網(wǎng)絡安全技術和產(chǎn)品也被人們逐漸重視起來，防火墻作為最早出現(xiàn)的網(wǎng)絡安全技術和使用量最大的網(wǎng)絡安全產(chǎn)品，受到用戶和研發(fā)機構的親睞。 防火墻是指設置在不同網(wǎng)絡或網(wǎng)絡安全域之間的一系列部件的組合，它執(zhí)行預先制定的訪問控制策略，決定了網(wǎng)絡外部與網(wǎng)絡內(nèi)部的訪問方式。 在網(wǎng)絡中，防火墻實際是一種隔離技術，它所執(zhí)行的隔離措施有： （ 1）拒絕未經(jīng)授權的用戶訪 問內(nèi)部網(wǎng)和存取敏感數(shù)據(jù)。 （ 2）允許合法用戶不受妨礙地訪問網(wǎng)絡資源。 而它的核心思想是在不安全的因特網(wǎng)環(huán)境中構造一個相對安全的子網(wǎng)環(huán)境，其目的是保護一個網(wǎng)絡不受另一個網(wǎng)絡的攻擊，所以防火墻又有以下作用： （ 1）作為網(wǎng)絡安全的屏障。一個防火墻作為阻塞節(jié)點和控制節(jié)點能極大地提高一個內(nèi)部網(wǎng)絡的安全性，并通過過濾不安全的服務而降低風險，只有經(jīng)過精心選擇的應用協(xié)議才能通過防火墻，所以網(wǎng)絡環(huán)境變得更安全。 （ 2）可以強化網(wǎng)絡安全策略。通過以防火墻為中心的安全方案配置，能將所有的安全軟件配置在防火墻上，體現(xiàn)集中安全管理更 經(jīng)濟。 （ 3）對網(wǎng)絡存取和訪問進行監(jiān)控審計。如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并做出日志記錄，同時也能提供網(wǎng)絡使用情況的統(tǒng)計數(shù)據(jù)，當發(fā)生可疑動作時，防火墻能進行適當?shù)膱缶?，并提供網(wǎng)絡是否受到監(jiān)測和攻擊的詳細信息。 （ 4）防止內(nèi)部信息的外泄。通過利用防火墻對內(nèi)部網(wǎng)絡的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離，從而限制了局部重點或敏感網(wǎng)絡安全問題對全局網(wǎng)絡造成的影響。 （ 5）支持具有因特網(wǎng)服務性的企業(yè)內(nèi)部網(wǎng)絡技術體系 VPN。 防火墻的工作原理 從防火墻的作用可以看出，防火墻必須具備兩 個要求：保障內(nèi)部網(wǎng)安全和保障內(nèi)部網(wǎng)和外部網(wǎng)的聯(lián)通。因此在邏輯上防火墻是一個分離器、限制器、分析器[12]。有效地監(jiān)控了內(nèi)部網(wǎng)和外部網(wǎng)的任何活動，保證了內(nèi)部網(wǎng)絡的安全，其一般邏輯位置如圖 31所示。 圖 31 防火墻的邏輯示意圖 防火墻根據(jù)功能實現(xiàn)在 TCP/IP 網(wǎng)絡模型中的層次，其實現(xiàn)原理可以分 16 為三類：在網(wǎng)絡層實現(xiàn)防火墻功能為分組過濾技術；在應用層實現(xiàn)防火墻功能為代理服務技術；在網(wǎng)絡層， IP 層，應用層三層實現(xiàn)防火墻為狀態(tài)檢測技術。 （ 1）分組過