【文章內(nèi)容簡(jiǎn)介】 統(tǒng)論，控制論和信息論等理論，融合各種技術(shù)手段，加強(qiáng)自主創(chuàng)新和頂層設(shè)計(jì)，協(xié)同解決網(wǎng)絡(luò)安全問(wèn)題。保證網(wǎng)絡(luò)安全還需嚴(yán)格的手段，未來(lái)網(wǎng)絡(luò)安全領(lǐng)域可能發(fā)生三件事，其一是向更高 級(jí)別的認(rèn)證轉(zhuǎn)移；其二，目前存儲(chǔ)在用戶計(jì)算機(jī)上的復(fù)雜數(shù)據(jù)將“向上移動(dòng)”，由與銀行相似的機(jī)構(gòu)確保它們的安全；第三，是在全世界的國(guó)家和地區(qū)建立與駕照相似的制度，它們?cè)谟?jì)算機(jī)銷售時(shí)限制計(jì)算機(jī)的運(yùn)算能力，或要求用戶演示在自己的計(jì)算機(jī)受到攻擊時(shí)抵御攻擊的能力。 第 3章 網(wǎng)絡(luò)安全問(wèn)題解決對(duì)策 計(jì)算機(jī)安全級(jí)別的劃分 TCSEC 簡(jiǎn)介 1999年9 月13日國(guó)家質(zhì)量技術(shù)監(jiān)督局公布了我國(guó)第一部關(guān)于計(jì)算機(jī)信息系統(tǒng)安全等級(jí)劃分的標(biāo)準(zhǔn)“計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則” （GB178591999）。而國(guó)外同標(biāo)準(zhǔn)的是美國(guó)國(guó)防部在1985年12月公布的可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)標(biāo)準(zhǔn)TCSEC(又稱桔皮書(shū))。在TCSEC劃分了7個(gè)安全等級(jí)：D級(jí)、C1 級(jí)、C2級(jí)、B1級(jí)、B2級(jí)、B3級(jí)和A1級(jí)。其中D級(jí)是沒(méi)有安全機(jī)制的級(jí)別，A1級(jí)是難以達(dá)到的安全級(jí)別， GB17859劃分的特點(diǎn)(1)D 類安全等級(jí)：D 類安全等級(jí)只包括 D1 一個(gè)級(jí)別。D1 的安全等級(jí)最低。D1 系統(tǒng)只為文件和用戶提供安全保護(hù)。D1系統(tǒng)最普通的形式是本地操作系統(tǒng)，或者是一個(gè)完全沒(méi)有保護(hù)的網(wǎng)絡(luò)。 (2)C 類安全等級(jí)：該類安全等級(jí)能夠提供審慎的保護(hù)，并為用戶的行動(dòng)和責(zé)任提供審計(jì)能力。C 類安全等級(jí)可劃分為 C1 和 C2 兩類。C1 系統(tǒng)的可信任運(yùn)算基礎(chǔ)體制（Trusted Computing Base，TCB）通過(guò)將用戶和數(shù)據(jù)分開(kāi)來(lái)達(dá)到安全的目的。在 C1 系統(tǒng)中，所有的用戶以同樣的靈敏度來(lái)處理數(shù)據(jù)，即用戶認(rèn)為 C1 系統(tǒng)中的所有文檔都具有相同的機(jī)密性。C2 系統(tǒng)比 C1 系統(tǒng)加強(qiáng)了可調(diào)的審慎控制。在連接事件和資源隔離來(lái)增強(qiáng)這種控制。C2 系統(tǒng)具有 C1 系統(tǒng)中所有的安全性特征。(3)B 類安全等級(jí)：B 類安全等級(jí)可分為 BB2 和 B3 三類。B 類系統(tǒng)具有強(qiáng)制性保護(hù)功能。強(qiáng)制性保護(hù)意味著如果用戶沒(méi)有與安全等級(jí)相連，系統(tǒng)就不會(huì)讓用戶存取對(duì)象。B1系統(tǒng)滿足下列要求：系統(tǒng)對(duì)網(wǎng)絡(luò)控制下的每個(gè)對(duì)象都進(jìn)行靈敏度標(biāo)記；系統(tǒng)使用靈敏度標(biāo)記作為所有強(qiáng)迫訪問(wèn)控制的基礎(chǔ)；系統(tǒng)在把導(dǎo)入的、非標(biāo)記的對(duì)象放入系統(tǒng)前標(biāo)記它們；靈敏度標(biāo)記必須準(zhǔn)確地表示其所聯(lián)系的對(duì)象的安全級(jí)別；當(dāng)系統(tǒng)管理員創(chuàng)建系統(tǒng)或者增加新的通信通道或 I/O 設(shè)備時(shí)，管理員必須指定每個(gè)通信通道和 I/O 設(shè)備是單級(jí)還是多級(jí)，并且管理員只能手工改變指 定；單級(jí)設(shè)備并不保持傳輸信息的靈敏度級(jí)別；所有直接面向用戶位置的輸出（無(wú)論是虛擬的還是物理的）都必須產(chǎn)生標(biāo)記來(lái)指示關(guān)于輸出對(duì)象的靈敏度；系統(tǒng)必須使用用戶的口令或證明來(lái)決定用戶的安全訪問(wèn)級(jí)別；系統(tǒng)必須通過(guò)審計(jì)來(lái)記錄未授權(quán)訪問(wèn)的企圖。B2系統(tǒng)必須滿足B1系統(tǒng)的所有要求。另外，B2 系統(tǒng)的管理員必須使用一個(gè)明確的、文檔化的安全策略模式作為系統(tǒng)的可信任運(yùn)算基礎(chǔ)體制。 B2 系統(tǒng)必須滿足下列要求：系統(tǒng)必須立即通知系統(tǒng)中的每一個(gè)用戶所有與之相關(guān)的網(wǎng)絡(luò)連接的改變；只有用戶能夠在可信任通信路徑中進(jìn)行初始化通信；可信任 運(yùn)算基礎(chǔ)體制能夠支持獨(dú)立的操作者和管理員。 B3 系統(tǒng)必須符合B2系統(tǒng)的所有安 全需求。B3 系統(tǒng)具有很強(qiáng)的監(jiān)視委托管理訪問(wèn)能力和抗干擾能力。B3 系統(tǒng)必須設(shè) 有安全管理員。B3 系統(tǒng)應(yīng)滿足以下要求: (a)B3 必須產(chǎn)生一個(gè)可讀的安全列表，每個(gè)被命名的對(duì)象提供對(duì)該對(duì)象沒(méi)有訪問(wèn)權(quán)的用戶列表說(shuō)明；(b)B3 系統(tǒng)在進(jìn)行任何操作前，要求用戶進(jìn)行身份驗(yàn)證；(c)B3 系統(tǒng)驗(yàn)證每個(gè)用戶，同時(shí)還會(huì)發(fā)送一個(gè)取消訪問(wèn)的審計(jì)跟蹤消息；設(shè)計(jì)者必須正確區(qū)分可信任的通信路徑和其他路徑；可信任的通信基礎(chǔ)體制為每一個(gè) 被命名的對(duì)象建立安全審計(jì)跟蹤；可信任的運(yùn)算基礎(chǔ)體制支持獨(dú)立的安全管理。 (4)A 類安全等級(jí)：A系統(tǒng)的安全級(jí)別最高。目前，A類安全等級(jí)只包含 A1 一個(gè)安全類別。A1 類與 B3 類相似，對(duì)系統(tǒng)的結(jié)構(gòu)和策略不作特別要求。A1系統(tǒng)的顯著特征是，系統(tǒng)的設(shè)計(jì)者必須按照一個(gè)正式的設(shè)計(jì)規(guī)范來(lái)分析系統(tǒng)。對(duì)系統(tǒng)分析后，設(shè)計(jì)者必須運(yùn)用核對(duì)技術(shù)來(lái)確保系統(tǒng)符合設(shè)計(jì)規(guī)范。A1 系統(tǒng)必須滿足下列要求：系統(tǒng)管理員必須從開(kāi)發(fā)者那里接收到一個(gè)安全策略的正式模型。所有的安裝操作都必須由系統(tǒng)管理員進(jìn)行；系統(tǒng)管理員進(jìn)行的每一步安裝操作都必須有正式文檔。 計(jì)算機(jī)信息系統(tǒng)的安全模型主要又訪問(wèn)監(jiān)控器模型、軍用安全模仿和信息流模型等三類模型，它們是定義計(jì)算機(jī)信息系統(tǒng)安全等級(jí)劃分標(biāo)準(zhǔn)的依據(jù)。 （1）訪問(wèn)監(jiān)控模型：是按 TCB 要求設(shè)計(jì)的，受保護(hù)的客體要么允許訪問(wèn)，要么不允許訪問(wèn)。 （2）常用安全模型：是一種多級(jí)安全模型，即它所控制的信息分為絕密、機(jī)密、秘密和無(wú)密四種敏感級(jí)。 （3）信息流模型：是計(jì)算機(jī)中系統(tǒng)信息流動(dòng)路徑，它反映了用戶在計(jì)算機(jī)系統(tǒng)中的訪問(wèn)意圖。信息流分直接的和間接的兩種。 防火墻技術(shù) 隨著網(wǎng)絡(luò)安全問(wèn)題日益嚴(yán)重，網(wǎng)絡(luò)安全技術(shù)和產(chǎn)品也被人們逐漸重視起來(lái)，防火墻 作為最早出現(xiàn)的網(wǎng)絡(luò)安全技術(shù)和使用量最大的網(wǎng)絡(luò)安全產(chǎn)品，受到用戶和研發(fā)機(jī)構(gòu)的親睞。 根據(jù)防火墻所采用的技術(shù)不同,我們可以將它分為四種基本類型:包過(guò)濾型、網(wǎng)絡(luò)地址轉(zhuǎn)換—NAT、代理型和監(jiān)測(cè)型。１．包過(guò)濾防火墻 包過(guò)濾防火墻的優(yōu)點(diǎn)：對(duì)于一個(gè)小型的、不太復(fù)雜的站點(diǎn)，包過(guò)濾比較容易實(shí)現(xiàn)；因?yàn)檫^(guò)濾路由器工作在IP層和TCP層，所以處理包的速度比代理服務(wù)器快；過(guò)濾路由器為用戶提供了一種透明的服務(wù)，用戶不需要改變客戶端的任何應(yīng)用程序，也不需要用戶學(xué)習(xí)任何新的東西。因?yàn)檫^(guò)濾路由器工作在IP層和TCP層，而IP層和TCP層與應(yīng)用層的問(wèn)題毫不相關(guān)。所以過(guò)濾路由器有時(shí)也被稱為“包過(guò)濾網(wǎng)關(guān)”或“透明網(wǎng)關(guān)”，之所以被稱為網(wǎng)關(guān)，是因?yàn)榘^(guò)濾路由器和傳統(tǒng)路由器不同，它涉及到了傳輸層；過(guò)濾路由器在價(jià)格上一般比代理服務(wù)器便宜。包過(guò)濾防火墻的缺點(diǎn)：一些包過(guò)濾網(wǎng)關(guān)不支持有效的用戶認(rèn)證；規(guī)則表很快會(huì)變得很大而且復(fù)雜，規(guī)則很難測(cè)試。隨著表的增大和復(fù)雜性的增加，規(guī)則結(jié)構(gòu)出現(xiàn)漏洞的可能性也會(huì)增加；這種防火墻最大的缺陷是它依賴一個(gè)單一的部件來(lái)保護(hù)系統(tǒng)。如果這個(gè)部件出現(xiàn)了問(wèn)題，會(huì)使得網(wǎng)絡(luò)大門敞開(kāi)，而用戶甚至可能還不知道；在一般情況下，如果外部用戶被允許訪問(wèn)內(nèi)部主機(jī)，則它就可以訪問(wèn)內(nèi)部網(wǎng)上的任何主機(jī)；包過(guò)濾防火墻只能阻止一種類型的IP欺騙，即外部主機(jī)偽裝內(nèi)部主機(jī)的IP，對(duì)于外部主機(jī)偽裝外部主機(jī)的IP欺騙卻不可能阻止，而且它不能防止DNS欺騙。２．狀態(tài)/動(dòng)態(tài)檢測(cè)防火墻 狀態(tài)/動(dòng)態(tài)檢測(cè)防火墻的優(yōu)點(diǎn)有檢查IP包的每個(gè)字段的能力，并遵從基于包中信息的過(guò)濾規(guī)則；識(shí)別帶有欺騙性源IP地址包的能力；包過(guò)濾防火墻是兩個(gè)網(wǎng)絡(luò)之間訪問(wèn)的唯一來(lái)源。因?yàn)樗械耐ㄐ疟仨毻ㄟ^(guò)防火墻，繞過(guò)是困難的；基于應(yīng)用程序信息驗(yàn)證一個(gè)包的狀態(tài)的能力，例如基于一個(gè)已經(jīng)建立的FTP連接，允許返回的FTP包通過(guò)；基于應(yīng)用程序信息驗(yàn)證一個(gè)包狀態(tài)的能力，例如允許一個(gè)先前認(rèn)證過(guò)的連接繼續(xù)與被授予的服務(wù)通信；記錄有關(guān)通過(guò)的每個(gè)包的詳細(xì)信息的能力?；旧戏阑饓τ脕?lái)確定包狀態(tài)的所有信息都可以被記錄，包括應(yīng)用程序?qū)Π恼?qǐng)求，連接的持續(xù)時(shí)間，內(nèi)部和外部系統(tǒng)所做的連接請(qǐng)求等。狀態(tài)/動(dòng)態(tài)檢測(cè)防火墻的缺點(diǎn)：狀態(tài)/動(dòng)態(tài)檢測(cè)防火墻唯一的缺點(diǎn)就是所有這些記錄、測(cè)試和分析工作可能會(huì)造成網(wǎng)絡(luò)連接的某種遲滯，特別是在同時(shí)有許多連接激活的時(shí)候，或者是有大量的過(guò)濾網(wǎng)絡(luò)通信的規(guī)則存在時(shí)?？墒怯布俣仍娇欤@個(gè)問(wèn)題就越不易察覺(jué)，而且防火墻的制造商一直致力于提高他們產(chǎn)品的速度。３．應(yīng)用程序代理防火墻 應(yīng)用程序代理防火墻的優(yōu)點(diǎn)：指定對(duì)連接的控制，例如允許或拒絕基于服務(wù)器IP地址的訪問(wèn)，或者是允許或拒絕基于用戶所請(qǐng)求連接的IP地址的訪問(wèn)；通過(guò)限制某些協(xié)議的傳出請(qǐng)求，來(lái)減少網(wǎng)絡(luò)中不必要的服務(wù)；大多數(shù)代理防火墻能夠記錄所有的連接，包括地址和持續(xù)時(shí)間。這些信息對(duì)追蹤攻擊和發(fā)生的未授權(quán)訪問(wèn)的事件事很有用的。 應(yīng)用程序代理防火墻的缺點(diǎn)有：必須在一定范圍內(nèi)定制用戶的系統(tǒng)，這取決于所用的應(yīng)用程序；一些應(yīng)用程序可能根本不支持代理連接。 4．個(gè)人防火墻 個(gè)人防火墻的優(yōu)點(diǎn)：增加了保護(hù)級(jí)別，不需要額外的硬件資源；個(gè)人防火墻除了可以抵擋外來(lái)攻擊的同時(shí)，還可以抵擋內(nèi)部的攻擊；個(gè)人防火墻是對(duì)公共網(wǎng)絡(luò)中的單個(gè)系統(tǒng)提供了保護(hù)。例如一個(gè)家庭用戶使用的是Modem或ISDN/ADSL上網(wǎng)，可能一個(gè)硬件防火墻對(duì)于他來(lái)說(shuō)實(shí)在是太昂貴了，或者說(shuō)是太麻煩了。而個(gè)人防火墻已經(jīng)能夠?yàn)橛脩綦[蔽暴露在網(wǎng)絡(luò)上的信息，比如IP地址之類的信息等。 個(gè)人防火墻的缺點(diǎn)：個(gè)人防火墻主要的缺點(diǎn)就是對(duì)公共網(wǎng)絡(luò)只有一個(gè)物理接口。真正的防火墻應(yīng)當(dāng)監(jiān)視并控制兩個(gè)或更多的網(wǎng)絡(luò)接口之間的通信。這樣一來(lái)的話，個(gè)人防火墻本身可能會(huì)容易受到威脅，或者說(shuō)是具有這樣一個(gè)弱點(diǎn)，網(wǎng)絡(luò)通信可以繞過(guò)防火墻的規(guī)則。 防火墻的基本概念與作用 圖31防火墻（圖31）是指設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的一系列部件的組合，它執(zhí)行預(yù)先制定的訪問(wèn)控制策略，決定了網(wǎng)絡(luò)外部與網(wǎng)絡(luò)內(nèi)部的訪問(wèn)方式。在網(wǎng)絡(luò)中，防火墻實(shí)際是一種隔離技術(shù)，它所執(zhí)行的隔離措施有： （1）拒絕未經(jīng)授權(quán)的用戶訪問(wèn)內(nèi)部網(wǎng)和存取敏感數(shù)據(jù)。 （2）允許合法用戶不受妨礙地訪問(wèn)網(wǎng)絡(luò)資源。 而它的核心思想是在不安全的因特網(wǎng)環(huán)境中構(gòu)造一個(gè)相對(duì)安全的子網(wǎng)環(huán)境，其目的是保護(hù)一個(gè)網(wǎng)絡(luò)不受另一個(gè)網(wǎng)絡(luò)的攻擊，所以防火墻又有以下作用： （1）作為網(wǎng)絡(luò)安全的屏障。一個(gè)防火墻作為阻塞節(jié)點(diǎn)和控制節(jié)點(diǎn)能極大地提高一個(gè)內(nèi)部網(wǎng)絡(luò)的安全性，并通過(guò)過(guò)濾不安全的服務(wù)而降低風(fēng)險(xiǎn)，只有經(jīng)過(guò)精心選擇的應(yīng)用協(xié)議才能通過(guò)防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。（2）可以強(qiáng)化網(wǎng)絡(luò)安全策略。通過(guò)以防火墻為中心的安全方案配置，能將所有的安全軟件配置在防火墻上，體現(xiàn)集中安全管理更經(jīng)濟(jì)。 （3）對(duì)網(wǎng)絡(luò)存取和訪問(wèn)進(jìn)行監(jiān)控審計(jì)。如果所有的訪問(wèn)都經(jīng)過(guò)防火墻，那么，防火墻