【文章內(nèi)容簡介】 面非常廣，主要的技術如認證、加密、防火墻及入侵檢測是網(wǎng)絡安全的重要防線。 訪問授權(quán)與身份認證 訪問授權(quán)主要是確認用戶對某資源的訪問權(quán)限，訪問控制是網(wǎng)絡安全防范和保護的主要策略，它的主要任務是 保證網(wǎng)絡資源不被非法使用和訪問。它是保證網(wǎng)絡安全最重要的核心策略之一。訪問控制涉及的技術也比較廣，包括入網(wǎng)訪問控制、網(wǎng)絡權(quán)限控制、目錄級控制以及屬性控制等多種手段。 入網(wǎng)訪問控制 入網(wǎng)訪問控制為網(wǎng)絡訪問提供了第一層訪問控制。它控制哪些用戶能夠登錄到服務器并獲取網(wǎng)絡資源，控制準許用戶入網(wǎng)的時間和準許他們在哪臺工作站入網(wǎng)。用戶的入網(wǎng)訪問控制可分為三個步驟：用戶名的識別與驗證、用戶口令的識別與驗證、用戶賬號的缺省限制檢查。三道關卡中只要任何一關未過，該用戶便不能進入該網(wǎng)絡。對網(wǎng)絡用戶的用戶名和口令進行 驗證是防止非法訪問的第一道防線。為保證口令的安全性，用戶口令不能顯示在顯示屏上，口令長度應不少于 6 個字符，口令字符最好是數(shù)字、字母和其他字符的混合，用戶口令必須經(jīng)過加密。用戶還可采用一次性用戶口令，也可用便攜式驗證器（如智能卡）來驗證用戶的身份。網(wǎng)絡管理員可以控制和限制普通用戶的賬號使用、訪問網(wǎng)絡的時間和方式。用戶賬號應只有系統(tǒng)管理員才能建立。用戶口令應是每用戶訪問網(wǎng)絡所必須提交的 “ 證件 ” 、用戶可以修改自己的口令，但系統(tǒng)管理員應該可以控制口令的以下幾個方面的限制：最 —10— 小口令長度、強制修改口令的時間間隔、口令的 唯一性、口令過期失效后允許入網(wǎng)的寬限次數(shù)。用戶名和口令驗證有效之后，再進一步履行用戶賬號的缺省限制檢查。網(wǎng)絡應能控制用戶登錄入網(wǎng)的站點、限制用戶入網(wǎng)的時間、限制用戶入網(wǎng)的工作站數(shù)量。當用戶對交費網(wǎng)絡的訪問 “ 資費 ” 用盡時，網(wǎng)絡還應能對用戶的賬號加以限制，用戶此時應無法進入網(wǎng)絡訪問網(wǎng)絡資源。網(wǎng)絡應對所有用戶的訪問進行審計。如果多次輸入口令不正確，則認為是非法用戶的入侵，應給出報警信息。 權(quán)限控制 網(wǎng)絡的權(quán)限控制是針對網(wǎng)絡非法操作所提出的一種安全保護措施。用戶和用戶組被賦予一定的權(quán)限。網(wǎng)絡控制用戶和用 戶組可以訪問哪些目錄、子目錄、文件和其他資源?？梢灾付ㄓ脩魧@些文件、目錄、設備能夠執(zhí)行哪些操作。受托者指派和繼承權(quán)限屏蔽（ irm）可作為兩種實現(xiàn)方式。受托者指派控制用戶和用戶組如何使用網(wǎng)絡服務器的目錄、文件和設備。繼承權(quán)限屏蔽相當于一個過濾器，可以限制子目錄從父目錄那里繼承哪些權(quán)限。我們可以根據(jù)訪問權(quán)限將用戶分為以下幾類：特殊用戶（即系統(tǒng)管理員）；一般用戶，系統(tǒng)管理員根據(jù)他們的實際需要為他們分配操作權(quán)限；審計用戶，負責網(wǎng)絡的安全控制與資源使用情況的審計。用戶對網(wǎng)絡資源的訪問權(quán)限可以用訪問控制表來描述。 目錄級安全控制 網(wǎng)絡應允許控制用戶對目錄、文件、設備的訪問。用戶在目錄一級指定的權(quán)限對所有文件和子目錄有效，用戶還可進一步指定對目錄下的子目錄和文件的權(quán)限。對目錄和文件的訪問權(quán)限一般有八種：系統(tǒng)管理員權(quán)限、讀權(quán) —11— 限、寫權(quán)限、創(chuàng)建權(quán)限、刪除權(quán)限、修改權(quán)限、文件查找權(quán)限、訪問控制權(quán)限。用戶對文件或目標的有效權(quán)限取決于以下兩個因素：用戶的受托者指派、用戶所在組的受托者指派、繼承權(quán)限屏蔽取消的用戶權(quán)限。一個網(wǎng)絡管理員應當為用戶指定適當?shù)脑L問權(quán)限，這些訪問權(quán)限控制著用戶對服務器的訪問。八種訪問權(quán)限的有效組合可 以讓用戶有效地完成工作，同時又能有效地控制用戶對服務器資源的訪問，從而加強了網(wǎng)絡和服務器的安全性。 屬性安全控制 當用文件、目錄和網(wǎng)絡設備時，網(wǎng)絡系統(tǒng)管理員應給文件、目錄等指定訪問屬性。屬性安全在權(quán)限安全的基礎上提供更進一步的安全性。網(wǎng)絡上的資源都應預先標出一組安全屬性。用戶對網(wǎng)絡資源的訪問權(quán)限對應一張訪問控制表，用以表明用戶對網(wǎng)絡資源的訪問能力。屬性設置可以覆蓋已經(jīng)指定的任何受托者指派和有效權(quán)限。屬性往往能控制以下幾個方面的權(quán)限：向某個文件寫數(shù)據(jù)、拷貝一個文件、刪除目錄或文件、查看目錄和文件、 執(zhí)行文件、隱含文件、共享、系統(tǒng)屬性等。 身份認證 認證技術是實現(xiàn)計算機網(wǎng)絡安全的關鍵技術之一，認證主要是指對某個實體的身份加以鑒別、確認，從而證實是否名符其實或者是否有效的過程。 （ 1）身份認證的基本方法 第一種方法，可以通過用戶所知道的某些信息對其進行驗證，例如口令，這 是最常用的方法，雖然不一定是最安全的方法。 第二種方法，通過用戶所擁有的某些東西對其進行驗證，例如鑰匙。 —12— 第三種方法，通過用戶本身所具備的某些特性對其進行驗證，如用戶的指紋 或者視網(wǎng)膜，這是最安全也是最昂貴的方式。 （ 2）常 用的身份認證技術 當系統(tǒng)的用戶要訪問系統(tǒng)資源時要求確認是否是合法的用戶，這就是身份認證。常采用用戶名和口令等最簡易 方法 進行用戶身份的認證識別 文件加密和數(shù)字簽名技術 與防火墻配合使用的安全技術還有文件加密與數(shù)字簽名技術，它是為提高信息系統(tǒng)及數(shù)據(jù)的安全性和保密性 , 防止秘密數(shù)據(jù)被外部竊取、偵聽或破壞所采用的主要技術手段之一。隨著信息技術的發(fā)展 , 網(wǎng)絡安全與信息保密日益引起人們的關注。 目前各國除了從法律上、管理上加強數(shù)據(jù)的安全保護外 , 從技術上分別在軟件和硬件兩方面采取措施 , 推動著數(shù)據(jù)加密技術和物理防范技術的不斷發(fā)展。按作用不同 , 文件加密和數(shù)字簽名技術主要分為數(shù)據(jù)傳輸、數(shù)據(jù)存儲、數(shù)據(jù)完整性的鑒別以及密鑰管理技術四種。 數(shù)據(jù)傳輸加密技術 目的是對傳輸中的數(shù)據(jù)流加密 , 常用的方針有線路加密和端對端加密兩種。前者側(cè)重在線路上而不考慮信源與信宿 , 是對保密信息通過各線路采用不同的加密密鑰提供安全保護。后者則指信息由發(fā)送者端通過專用的加密軟件，采用某種加密技術對所發(fā)送文件進行加密 ,把明文（也即原文）加密成密文（加密后的文件，這些 文件內(nèi)容是一些看不懂的代碼）， 然后進入 TCP/IP 數(shù)據(jù)包封裝穿過互聯(lián)網(wǎng) , 當這些信息一旦到達目的地 , 將由收件人運用相應的密鑰 —13— 進行解密 , 使密文恢復成為可讀數(shù)據(jù)明文。 目前最常用的加密技術有對稱加密技術和非對稱加密技術，對稱加密技術是指同時運用一個密鑰進行加密和解密，非對稱加密方式就是加密和解密所用的密鑰不一樣，它有一對密鑰，稱為 “ 公鑰 ” 和 “ 私鑰 ” 兩個，這兩上密鑰必須配對使用，也就是說用公鑰加密的文件必須用相應人的么鑰才能解密，反之亦然。 數(shù)據(jù)存儲加密技術 這種加密技術的目的是防止在存儲環(huán)節(jié)上的數(shù)據(jù)失密 , 可分為密文存儲和存取控制兩種。前者一般是通過加密法轉(zhuǎn)換、附加密碼、加密模塊等方法實現(xiàn) 。如上面提到的 PGP 加密軟件，它不光可以為互聯(lián)網(wǎng)上通信的文件 進行加密和數(shù)字簽名，還可以對本地硬盤文件資料進行加密，防止非法訪問。這種加密方式不同于 OFFICE 文檔中的密碼保護，用加密軟件加密的文件在解密前 內(nèi)容都會作一下代碼轉(zhuǎn)換，把原來普通的數(shù)據(jù)轉(zhuǎn)變成一堆看不懂的代碼，這樣就保護了原文件不被非法閱讀、修改。后者則是對用戶資格、權(quán)限加以審查和限制 , 防止非法用戶存取數(shù)據(jù)或合法 用戶越權(quán)存取數(shù)據(jù)， 這種技術主要應用于 NT 系統(tǒng)和一些網(wǎng)絡操作系統(tǒng)中，在系統(tǒng)中可以對不同工作組的用戶賦予相應的權(quán)限以達到保護重要數(shù)據(jù)不被子非常訪問。 數(shù)據(jù)完整性鑒別技術 目的是對介入信息的傳送、存取、處理的人的身份和相關數(shù)據(jù) 內(nèi)容進行驗證 , 達到保密的要求 , 一般包括口令、密鑰、身份 、數(shù)據(jù)等項的鑒別 , 系統(tǒng)通過對比驗證對象輸入的特征值是否符合預先設定的參數(shù) , 實現(xiàn)對數(shù)據(jù)的安全保護。這種鑒別技術主要應用于大型的數(shù)據(jù)庫管理系統(tǒng)中，因為一個單位的數(shù) —14— 據(jù)通常是一個單位的命脈，所以保護好公司數(shù)據(jù)庫的安全通 常是一個單位網(wǎng)管甚至到一把手的最重要的責任。數(shù)據(jù)庫系統(tǒng)會根據(jù)不同用戶 設置不同訪問權(quán)限，并對其身份及權(quán)限的完整性進行嚴格識別。 密鑰管理技術 數(shù)據(jù)的加密技術通常是運用密鑰對數(shù)據(jù)進行加密，這就涉及了一個密鑰的管理方面，因為用加密軟件進行加密時所用的密鑰通常不是我們平常所用的 密碼那么僅幾位，至多十幾位數(shù)字或字母，一般情況這種密鑰達 64bit，有的達到 128bit，我們一般不可能完全用腦來記住這些密鑰，只能保存在一個安 全的地方，所以這就涉及到了密鑰的管理技術。密鑰的保存媒體通常有 : 磁卡、磁帶、磁 盤、半導體存儲器等，但這些都可能有損壞或丟失的危險，所以現(xiàn)在的主流加密軟件都采取第三方認證（這第三方可以是個人，也可以是公證機關） 或采用隨機密鑰來彌補人們記憶上的不足。 入侵檢測系統(tǒng) 入侵檢測技術是網(wǎng)絡安全 研究 的一個熱點，是一種積極主動的安全防護技術，提供了對內(nèi)部入侵、外部入侵和誤操作的實時保護，在網(wǎng)絡系統(tǒng)受到危害之前攔截相應入侵。隨著 時代 的發(fā)展， 入侵檢測技術將朝著三個方向發(fā)展：分布式入侵檢測、智能化入侵檢測和全面的安全防御方案。 入侵檢測系統(tǒng)（ InstusionDetectionSystem，簡稱 IDS）是進行入侵檢測的軟件與硬件的組合，其主要功能是檢測，除此之外還有檢測部分阻止不了的入侵；檢測入侵的前兆，從而加以處理，如阻止、封閉等；入侵事件的歸檔，從而提供 法律 依據(jù)；網(wǎng)絡遭受威脅程度的評估和入侵事件的恢復等功能。 社區(qū)網(wǎng)站用到的安全技術 —15— 社區(qū)網(wǎng)站簡單用到 的安全技術有身份認證技術，訪問控制技術。 （ 1）身份認證如后臺登錄，需要用戶名，密碼及驗證碼。 （ 2）訪問控制技術如利用 IIS 和 NTFS 格式控制用戶在目錄一級指定的權(quán)限對所有文件和子目錄有效，用戶還可進一步指定對目錄下的子目錄和文件的權(quán)限。對目錄和文件的訪問權(quán)限一般有八種：系統(tǒng)管理員權(quán)限、讀權(quán)限、寫權(quán)限、創(chuàng)建權(quán)限、刪除權(quán)限、修改權(quán)限、文件查找權(quán)限、訪問控制權(quán)限。 本章小結(jié) 本章列舉了一些網(wǎng)絡安全中常用到的技術，分類別的寫出了網(wǎng)絡技術中常用的訪問授權(quán)與身份認證，文件加密和數(shù)字簽名技術，與入侵檢測系 統(tǒng)。并有此闡述了在社區(qū)網(wǎng)絡中用到的一部分安全技術。 —16— 4 社區(qū)的網(wǎng)絡安全的設計 根據(jù)綜合的安全需求，在以下四個方面對整個的社區(qū)網(wǎng)站進行整體的安全規(guī)劃與設計。 整體的設計思想 社區(qū)網(wǎng)站安全是要不能忽略的問題 ,它牽涉到網(wǎng)站的數(shù)據(jù)安全、經(jīng)濟利益和對客戶資料的安全保障及其它的商業(yè)機密。本課題在分析社區(qū)網(wǎng)站安全問題 ,指出 ASP的漏洞及解決方法 ,并給出 ASP安全性建議 ,介紹基于 ASP實現(xiàn)頁面訪問安全控制。 我們以常熟花園浜社區(qū)的建設為實踐對象。做了大量前期調(diào)查。 了解社區(qū)管理的運作流程；詳細了解居委會各個部門的工 作內(nèi)容；居委會要求在平臺上實現(xiàn)哪些功能，需要那些安全保障。 分析基于社區(qū)網(wǎng)站的一系列安全問題和解決方案 圖 41 網(wǎng)絡結(jié)構(gòu) 根據(jù)用戶和社區(qū)管理者和系統(tǒng)本身對社區(qū)網(wǎng)絡安全的需求，我分別從四個方面全面設計了以下行之有效的設計。 —17— 圖 42整體安全架構(gòu) 服務器安全 服務器的惡意網(wǎng)絡行為包括兩個方面