【文章內(nèi)容簡介】 第二章 中小企業(yè)網(wǎng)絡(luò)系統(tǒng)安全分析 第一節(jié) 中小企業(yè)網(wǎng)絡(luò)安全分析 計算機網(wǎng)絡(luò)所面臨的威脅大體上可分為兩種：一是對網(wǎng)絡(luò)中信息的威脅；二是對網(wǎng)絡(luò)種設(shè)備的威脅。影響計算機網(wǎng)絡(luò)的因素很多，有些因素可能是有意的。也可能是無意的，可能是人為的， 也可能是非人為的?？赡苁峭鈦砗诳蛯W(wǎng)絡(luò)系統(tǒng)資源的非法使用，也可能是內(nèi)部不法分子的惡意行為。歸結(jié)起來，針對網(wǎng)絡(luò)安全的威脅主要有以下幾方面： 一、人為地?zé)o意失誤 如操作員安全配置不當(dāng)造成的安全漏洞，用戶安全意識不強，用戶口令選擇不慎，用戶將自己的賬號隨意轉(zhuǎn)借他人或與別人共享等都會對網(wǎng)絡(luò)安全帶來威脅。 二、人為地惡意攻擊 這是計算機網(wǎng)絡(luò)所面臨的最大威脅，敵手的動機和計算機犯罪就屬于這一類。此類攻擊又可以分為以下兩種：一種是主動攻擊。它以各種方式選擇的破壞信息的有效性和完整性；另一類是被動攻擊，他是 在不影響網(wǎng)絡(luò)正常工作的情況下，進(jìn)行截獲竊取、破譯已獲得中藥寂寞信息。這兩種攻擊均可對計算機網(wǎng)絡(luò)造成極大地危害，并導(dǎo)致機密數(shù)據(jù)的泄露。 三、網(wǎng)絡(luò)軟件的漏洞和“后門” 網(wǎng)絡(luò)軟件不可能百分之百無缺陷和無漏洞的，然而，這些漏洞和缺陷恰恰是黑客進(jìn)行攻擊的首選目標(biāo)。另外，軟件“后門”，都是軟件公司的設(shè)計人員為了自便而設(shè)置的，或黑客闖入計算機為方便在此入侵而設(shè)置。軟件編程人員設(shè)置的后門一般不為外人所知，但一旦“后門”洞開，就為入侵者提供了方便。 四、網(wǎng)絡(luò)病毒 網(wǎng)絡(luò)病毒大都市系統(tǒng)漏洞給病毒制造者提供可乘之機 。 第二節(jié) 網(wǎng)絡(luò)入侵手段 網(wǎng)絡(luò)防范的最大敵人是入侵者，為了更好的保護(hù)好網(wǎng)絡(luò)安全，網(wǎng)絡(luò)通常用以下的步驟和方式達(dá)到入侵的目的。 一、信息收集 信息收集是為了了解所要攻擊咪表的詳細(xì)信息，通常黑客利用相關(guān)的網(wǎng)絡(luò)協(xié)議或?qū)嵱贸绦騺硎占?，如?SNMP 協(xié)議可用來查看路由器的路由表，了解咪表主機內(nèi)部拓?fù)浣Y(jié)構(gòu)的細(xì)節(jié)，用 Trace Route 程序可獲得達(dá)到目標(biāo)主機所要經(jīng)過的網(wǎng)絡(luò)企業(yè)網(wǎng)絡(luò)安全的規(guī)劃設(shè)計與實踐數(shù)和路由數(shù)，用 Ping 程序可以檢測一個制定主機的位置并確定是否達(dá)可達(dá)到等 二、探測分析系統(tǒng)的安全弱點 在收集到咪表的相關(guān)信息后，黑客回探測網(wǎng)絡(luò)上的每一臺主機，以尋求系統(tǒng)安全漏北京工業(yè)大學(xué)通州分校 6 洞或安全弱點，黑客一般會實用 等軟件向目標(biāo)主機申請服務(wù)，如果目標(biāo)主機有應(yīng)答就說明開放了這些端口的服務(wù)。其次使用一些公開的工具軟件和 Inter 安全掃描程序 ISS（ Inter Security Scanner）、網(wǎng)絡(luò)安全分析工具 SATAN 等對整個網(wǎng)絡(luò)或子網(wǎng)進(jìn)行掃描，尋求系統(tǒng)的安全漏洞，獲取攻擊目標(biāo)的非法訪問權(quán)。 三、實施攻擊 在獲得了目標(biāo)系統(tǒng)的非法訪問權(quán)以后，黑客一般會實施以下攻擊： （一）試圖毀掉入侵痕 跡，并在收到攻擊的目標(biāo)系統(tǒng)中建立新的安全漏洞或后門，一邊在先前的攻擊點被發(fā)現(xiàn)后能繼續(xù)訪問搞系統(tǒng)。 （二）在目標(biāo)系統(tǒng)安裝探測軟件，如特洛伊木馬程序，用來窺探目標(biāo)系統(tǒng)的活動，繼續(xù)收集黑客感興趣的一切信息，如賬號與口令等銘感數(shù)據(jù)。 （三）進(jìn)一步發(fā)現(xiàn)目標(biāo)系統(tǒng)的信任等級，以展開對整個系統(tǒng)的攻擊。 （四）如果黑客在被攻擊目標(biāo)系統(tǒng)上獲得了特權(quán)訪問權(quán)，那么他就可以讀取郵件，搜索和盜取私人文件，毀壞重要數(shù)據(jù)一致破壞整個網(wǎng)絡(luò)系統(tǒng)，那么后果不堪設(shè)想。 （五）密碼破解，通常采用的攻擊方式有字典攻擊，假登陸程序，密碼探測程序等來獲取 系統(tǒng)或用戶的口令文件。 （六） IP 欺騙（ Spoofing）與嗅探（ Snifing） 欺騙是一種主動的攻擊，即將網(wǎng)絡(luò)上的某臺計算機偽裝成另一臺不同主機，目的是欺騙網(wǎng)絡(luò)中的其他計算機誤將冒名頂替者當(dāng)做原始的計算機而向其發(fā)送數(shù)據(jù)或容許他修改數(shù)據(jù)。 （七）系統(tǒng)漏洞 漏洞是指程序在設(shè)計、實現(xiàn)和操作上存在錯誤。由于程序或軟件的功能一般都比較復(fù)雜，程序員再設(shè)計和調(diào)試過程中總有考慮欠缺的地方，絕大部分軟件在使用過程中都需要不斷地改進(jìn)與完善。 （八）端口掃描 由于計算機與外界通信都必須通過端口才能進(jìn)行， 黑客可以利用一些端口掃描軟件如 SATAN?；?Hacker 等對被攻擊者的目標(biāo)計算機端口掃描，查看該機器的那些端口是開放的，由此可以知道與目標(biāo)計算機能進(jìn)行那些通信服務(wù)。 第三節(jié) 網(wǎng)絡(luò)安全防范體系設(shè)計原則 根據(jù)防范安全攻擊的安全需求、需要達(dá)到的安全目標(biāo)、對應(yīng)安全機制所需的安全服務(wù)等因素，參照 SSECMM（系統(tǒng)安全工程能力成熟模型）和 ISO17799（信息安全管理標(biāo)準(zhǔn)）等國家標(biāo)準(zhǔn)，綜合考慮可實施性、可管理性、可擴(kuò)展性、綜合完備性、系統(tǒng)均衡行等方面，網(wǎng)絡(luò)完全防范體系在整體設(shè)計過程中應(yīng)遵循以下 7項原則： 一 、網(wǎng)絡(luò)安全的木桶原則 網(wǎng)絡(luò)信息安全的木桶原則是指對信息均衡。全面的進(jìn)行保護(hù)?！澳就暗淖畲笕莘e取決于最短的一塊木板”。網(wǎng)絡(luò)信息系統(tǒng)是一個復(fù)雜的計算機系統(tǒng)，它本身在物理上、操北京工業(yè)大學(xué)通州分校 7 作上和管理上的種種漏洞構(gòu)成了系統(tǒng)的安全脆弱性，尤其是用戶網(wǎng)絡(luò)系統(tǒng)自身的復(fù)雜性、資源共享性使單純的技術(shù)保護(hù)防不勝防。攻擊者使用的“最易滲透原則”，必然在系統(tǒng)中最薄弱的地方進(jìn)行攻擊。因此，充分、全面、完整地對系統(tǒng)的安全漏洞和安全威脅進(jìn)行分析，評估和檢測（包括模擬進(jìn)攻）是設(shè)計信息安全系統(tǒng)的必要前提條件。安全機制和安全服務(wù)設(shè)計的首要目的是防 止最常見的攻擊手段，根本的是提高整個系統(tǒng)的“安全最低點”的安全性能。 二、網(wǎng)絡(luò)信息安全的整體性原則 要求在網(wǎng)絡(luò)發(fā)生被攻擊、破壞時間的情況下，必須盡可能的快速回復(fù)網(wǎng)絡(luò)信息中心的服務(wù)，減少損失。因此信息安全系統(tǒng)應(yīng)高包括安全防護(hù)機制、安全檢測機制和安全恢復(fù)機制。安全防護(hù)機制是根據(jù)具體存在的各種安全威脅采用的相應(yīng)的防護(hù)措施，避免非法攻擊的進(jìn)行。安全檢測機制是檢測系統(tǒng)的運行情況，及時發(fā)現(xiàn)和制止隊系統(tǒng)進(jìn)行各種攻擊。安全恢復(fù)機制是在安全防護(hù)機制失效的情況下，進(jìn)行應(yīng)急處理和盡量、及時地回復(fù)信息，減少供給的破壞程度。 三、安全性評價與平衡原則 對任何網(wǎng)絡(luò)，絕對安全難以達(dá)到，也不一定是必要的，所以需要建立合理的使用安全性與用戶需求評價與評衡體系。安全體系要正確處理需求、風(fēng)險與代價的關(guān)系。做到安全性與可用性相容，做到組織上可執(zhí)行。評價信息是否安全，沒有絕對的評判標(biāo)準(zhǔn)和衡量指標(biāo)，只能決定于系統(tǒng)的用戶、需求和具體的應(yīng)用環(huán)境，具體取決于系統(tǒng)的規(guī)模和范圍，系統(tǒng)的性能和西西的重要程度。 四、標(biāo)準(zhǔn)化與一致性原則 系統(tǒng)是一個龐大的系統(tǒng)工程，其安全體系的實際必須遵循一系列的標(biāo)準(zhǔn)，這樣才能確保各分系統(tǒng)的一致性，是整個系統(tǒng)安全地互聯(lián)互通 、信息共享。 五、技術(shù)與管理相結(jié)合原則 安全體系是一個復(fù)雜的工程，涉及人，技術(shù)，操作等要素。單靠技術(shù)或單靠管理都不可能實現(xiàn)。因此必須將各種安全技術(shù)與隱性管理機制，人員思想教育與技術(shù)培訓(xùn)、安全規(guī)章制度建設(shè)相結(jié)合。 六、統(tǒng)籌規(guī)劃，分步實施原則 由于政策規(guī)定、服務(wù)需求的不明朗，環(huán)境，條件，時間變化，攻擊手段的進(jìn)步，安全防護(hù)不可能一步到位，可在一個比較全面的安全規(guī)劃下，根據(jù)網(wǎng)絡(luò)的實際需求，縣建設(shè)基本的安全體系，保證基本的，必須的安全性。隨這今后隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)大應(yīng)用的增加，網(wǎng)絡(luò)應(yīng)用和復(fù)雜程度的變化，網(wǎng)絡(luò)脆弱 性也會不斷增加，調(diào)整或增強安全防范力度，保證整個網(wǎng)絡(luò)最根本的安全需求。 北京工業(yè)大學(xué)通州分校 8 第三章 中小企業(yè)網(wǎng)絡(luò)安全策略分析 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)對整個網(wǎng)絡(luò)的運行效率、技術(shù)性能發(fā)揮、可靠性等方面都有著重要的影響，確立網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)是整個網(wǎng)絡(luò)方案規(guī)劃設(shè)計的基礎(chǔ)。其主要包括結(jié)構(gòu)的選擇、地理環(huán)境分布、傳輸介質(zhì)、訪問控制等。根據(jù)貴公司的實際地理環(huán)境，傳輸距離等因素，也考慮到費用的投入，本方案主要采用倒樹型分層拓?fù)浣Y(jié)構(gòu)。拓?fù)鋱D設(shè)計，見圖 3— 1 圖 3— 1 網(wǎng)絡(luò)拓補結(jié)構(gòu) DNS 53, tcp/udp 域名服務(wù) WWW 80, tcp WWW 服務(wù) SMTP/POP3 25/110, tcp 電子郵件 FTP 21/20, tcp 文件傳輸服務(wù) 根據(jù)網(wǎng)絡(luò)安全解決