【文章內容簡介】 密切關注公司與銀行之間的數據流量，以了解是否可以購買。（8）路由控制機制路由控制機制使得可以指定網絡發(fā)送數據的路徑。這樣，可以選擇那些可信的網絡節(jié)點，從而確保數據不會暴露在安全攻擊之下。路由選擇控制機制使得路由能動態(tài)地或預定地選取，以便使用物理上安全的子網絡、中繼站或鏈路來進行通信，保證敏感數據只在具有適當保護級別的路由上傳輸。167。國際標準化組織ISO在開放系統(tǒng)互連表年準中定義了7個層次的網絡互連參考模型，它們分別是物理層、數據鏈路層、網絡層、傳輸層、會話層、表示層和應用層。不同的網絡層次之間的功能雖然有一定的交叉，但是基本上是不同的。例如，鏈路層負責建立點到點通信，網絡層負責路由，傳輸層負責建立端到端的進程通信信道。從安全角度來看，各層能提供一定的安全手段，針對不同層次的安全措施是不同的。開放系統(tǒng)互連參考模型的層次功能是上層利用下層提供的服務，下層為上層服務。因此每個層次提供不同的安全機制和安全服務，為各系統(tǒng)單元提供不同的安全特性。需要對網絡安全服務所屬的協(xié)議層次進行分析，沒有哪個單獨的層次能夠提供全部的網絡安全服務，每個層次都能做出自己的貢獻。在物理層要保證通信線路的可靠，不易被竊聽。在鏈路層可以采用加密技術，保證通信的安全。在互聯網和Intranet環(huán)境中，地域分布很廣，物理層的安全難以保證，鏈路層的加密技術也不完全適用。在網絡層，可以采用傳統(tǒng)的防火墻技術，如在TCP/IP網絡中，采用IP過濾功能的路由器，以控制信息在內外網絡邊界的流動，還可以使用IP加密傳輸信道技術IP SEC，在兩個網絡結點間建立透明的安全加密信道。這種技術對應用透明，提供主機的安全服務，適用于在公共通信設施上建立虛擬的專用網。這種方法需要建立標準密鑰管理，目前在產品兼容性和性能上尙存在較多問題。在傳輸層可以實現進程的安全通信，如現在流行的安全套接字層SSL技術，是在兩個通信結點間建立安全的TCP連接。這種技術實現了基于進程的安全服務和加密傳輸信道，采用公鑰體系做身份認證，具有高的安全強度。但這種技術對應用層不透明，需要證書授權中心，它本身不提供訪問控制。針對專門的應用系統(tǒng)，在應用層實施安全機制，對特定的應用是有效的，如基于SMTP電子郵件的安全增強型郵件PEM提供了安全服務的電子郵件，又如用于WEB的安全增強型超文本傳輸協(xié)議SHTTP提供了文件級的安全服務機制。由于它是針對特定應用的，缺乏通用性，且需修改應用程序。第二章 網絡安全技術167。網絡安全技術指致力于解決諸如如何有效進行介入控制，以及何如保證數據傳輸的安全性的技術手段，主要包括物理安全分析技術，網絡結構安全分析技術，系統(tǒng)安全分析技術，管理安全分析技術，及其它的安全服務和安全機制策略?！　【W絡安全產品有以下幾大特點:第一,網絡安全來源于安全策略與技術的多樣化,如果采用一種統(tǒng)一的技術和策略也就不安全了。第二,網絡的安全機制與技術要不斷地變化。第三,隨著網絡在社會個方面的延伸,進入網絡的手段也越來越多,因此,網絡安全技術是一個十分復雜的系統(tǒng)工程。為此建立有中國特色的網絡安全體系,需要國家政策和法規(guī)的支持及集團聯合研究開發(fā)。安全與反安全就像矛盾的兩個方面,總是不斷地向上攀升,所以安全產業(yè)將來也是一個隨著新技術發(fā)展而不斷發(fā)展的產業(yè)。 　　信息安全是國家發(fā)展所面臨的一個重要問題。對于這個問題，我們還沒有從系統(tǒng)的規(guī)劃上去考慮它，從技術上產業(yè)上，政策上來發(fā)展它。政府不僅應該看見信息安全的發(fā)展是我國高科技產業(yè)的一部分,而且應該看到,發(fā)展安全產業(yè)的政策是信息安全保障系統(tǒng)的一個重要組成部分,甚至應該看到它對我國未來電子化,信息化的發(fā)展將起到非常重要的作用。167。密碼技術是保障網絡安全的最基本、最核心的技術措施。加密技術是將資料加密，以防止信息泄露的技術。加密就是通過一種方式使信息變得混亂，從而使未被授權的人看不懂它。信息在網絡傳輸時被竊取，是個人和公司面臨的最大安全風險。為防止信息被竊取，必須對所有傳輸的信息進行加密?，F在有幾種類型的加密技術，包括硬件的和軟件的。就體制而言，目前的加密體制可分為：單密鑰加密體制和公用密鑰體制。1． 單密鑰機密體制單密鑰體制是指在加密和解密過程中都必須用到同一個密鑰的加密體制，此加密體制的局限性在于：在發(fā)送和接受方傳輸數據時必須先通過安全渠道交流密鑰，保證在他們發(fā)送或接收機密信息之前有可供使用的密鑰。這種加密方法的優(yōu)點是速度很快，很容易在硬件和軟件中實現。2． 公用密鑰加密體制 公用密鑰需要兩個相關密碼，一個密碼作為公鑰，另一個密碼作為私鑰。在公用密鑰體制中，信息接受者可以把他的 放到INTERNET的任意地方，或者用非密鑰的郵件發(fā)給信息的發(fā)送者，信息的發(fā)送者用他的公鑰加密信息后發(fā)給信息接收者，信息接收者則用他自己的私鑰解密信息。在所有公鑰機密算法中， 、 ，現在已經有許多應用RSA算法實現的數字簽名系統(tǒng)了?？傊?，密碼技術是網絡安全最有效地技術之一。加密技術不但可以防止非授權用戶搭線竊聽和入網，而且也是對付惡意軟件的有效方法之一。 167。 防火墻是網絡訪問控制設備，用于拒絕除了明確允許通過之外的所有通信數據，它不同于只會確定網絡信息傳輸方向的簡單路由器，而是在網絡傳輸通過相關的訪問站點時對其實施一整套訪問策略的一個或一組系統(tǒng)。大多數防火墻都采用多種功能相結合的形式來保護自己的網絡不受惡意傳輸的攻擊，其中最流行的技術有靜態(tài)分組過濾、動態(tài)分組過濾、狀態(tài)過濾和代理服務器技術，它們的安全級別依次升高，但具體實踐中既要考慮體系的性價比，又要考慮安全兼顧網絡連接能力。此外，現今良好的防火墻還采用了VPN、監(jiān)視和入侵檢測技術。167。 認證技術就是驗證一個用戶、系統(tǒng)或系統(tǒng)進程的身份，當這種驗證發(fā)生時，依據系統(tǒng)管理員制定的參數而使真正的用戶或系統(tǒng)能夠獲得相應的權限。常用的認證技術如下:1. 身份認證 當系統(tǒng)的用戶要訪問系統(tǒng)資源時要求確認是否是合法的用戶，這就是身份認證。常采用用戶名和口令等最簡單方法進行用戶身份的認證識別。2. 報文認證報文認證主要是通信雙方對通信的內容進行驗證，以保證報文在傳送中沒被修改過。 3. 訪問授權訪問授權主要是確認用戶對某資源的訪問權限。4．數字簽名數字簽名是一種使用加密認證電子信息的方法，是以電子形式存儲的一種消息，可以在通信網絡中傳輸。由于數字簽名是利用密碼技術進行的，所以其安全性取決于所采用的密碼體制的安全制度。167。 殺毒軟件肯定是最常見的，也是用得最普遍的安全技術方案，因為這種技術實現起來最簡單。但大家都知道殺毒軟件的主要功能就是殺毒，功能十分有限，不能完全滿足安全的需要。這種方式對于個人用戶或小企業(yè)或許還能滿足需要，但如果個人或企業(yè)有電子商務方面的需求，就不能完全滿足了。可喜的是，隨著殺毒軟件技術的不斷發(fā)展，現在的主流殺毒軟件同時也能預防木馬及其他一些黑客程序的入侵。還有的殺毒軟件開發(fā)商同時提供了軟件防火墻，具有了一定防火墻的功能，在一定程度上能起到硬件防火墻的功效，如卡巴斯基、金山防火墻、NORTON防火墻，360防火墻等。167。入侵檢測技術是網絡安全研究的一個熱點，入侵檢測是對對防火墻技術的一種邏輯補償技術，是一種積極主動的安全防護技術，提供了對內部入侵、外部入侵和誤操作的實時 保護，在網絡系統(tǒng)受到危害之前攔截相應入侵。隨著時代的發(fā)展，入侵檢測技術將朝著三個方向發(fā)展：分布式入侵檢測。智能化入侵檢測和全面的安全防御方案。入侵檢測系統(tǒng)（IDS Instusion Detection System）是進行入侵檢測的軟件與硬件的組合，其主要功能是檢測，除此之外還有檢測部分阻止不了的入侵；檢測入侵的前兆，從而加以處理，如阻止，封閉等；入侵事件的歸檔，從而提供法律依據；網絡遭受威脅程度的評估和入侵事件的恢復等功能。167。　　網絡安全技術中，另一類重要技術為安全掃描技術。安全掃描技術與防火墻、安全監(jiān)控系統(tǒng)互相配合能夠提供很高安全性的網絡?！　“踩珤呙韫ぞ咴从贖acker在入侵網絡系統(tǒng)時采用的工具。商品化的安全掃描工具為網絡安全漏洞的發(fā)現提供了強大的支持?！　“踩珤呙韫ぞ咄ǔＲ卜譃榛诜掌骱突诰W絡的掃描器。　　基于服務器的掃描器主要掃描服務器相關的安全漏洞，如password文件，目錄和文件權限，共享文件系統(tǒng)，敏感服務，軟件，系統(tǒng)漏洞等，并給出相應的解決辦法建議。通常與相應的服務器操作系統(tǒng)緊密相關。　　基于網絡的安全掃描主要掃描設定網絡內的服務器、路由器、網橋、變換機、訪問服務器、防火墻等設備的安全漏洞，并可設定模擬攻擊，以測試系統(tǒng)的防御能力。通常該類掃描器限制使用范圍(IP地址或路由器跳數)。網絡安全掃描的主要性能應該考慮以下方面：　　(1) 速度。在網絡內進行安全掃描非常耗時?！　?2) 網絡拓撲。通過GUI的圖形界面，可迭擇一步或某些區(qū)域的設備?！　?3) 能夠發(fā)現的漏洞數量?！　?4) 是否支持可定制的攻擊方法。通常提供強大的工具構造特定的攻擊方法。因為網絡內服務器及其它設備對相同協(xié)議的實現存在差別，所以預制的掃描方法肯定不能滿足客戶的需求?！　?5) 報告，掃描器應該能夠給出清楚的安全漏洞報告?！　?6) 更新周期。提供該項產品的廠商應盡快給出新發(fā)現的安生漏洞掃描特性升級，并給出相應的改進建議。安全掃描器不能實時監(jiān)視網絡上的入侵，但是能夠測試和評價系統(tǒng)的安全性，并及時發(fā)現安全漏洞。167。　每個系統(tǒng)都要確保訪問用戶是有訪問權限的，這樣才允許他們訪問，這種機制叫做訪問控制。訪問控制是通過一個參考監(jiān)視器，在每一次用戶對系統(tǒng)目標進行訪問時，都由它來進行調節(jié)，包括限制合法用戶的行為。每當用戶對系統(tǒng)進行訪問時，參考監(jiān)視器就會查看授權數據庫，以確定準備進行操作的用戶是否確實得到了可進行此項操作的許可。所有操作系統(tǒng)都支持訪問控制。訪問控制是保護服務器的基本機制，必須在服務器上限制哪些用戶可以訪問服務或守護進程。167。 VPN是目前解決信息安全問題的一個最新、最成功的技術之一。所謂虛擬專用網（VPN）技術就是在公共網絡上建立專用網絡，使數據通過安全的“加密管道“在公共網絡中傳播。在公共通信網絡上構建VPN有兩種主流的機制：路由過濾技術和隧道技術。目前， VPN主要采用了如下四項技術來保障安全：隧道技術（Tunneling）、加/解密技術（ Encryptionamp。Decryption）、密鑰管理技術（ Key Management）和使用者與設備身份認證技術（Authentication）。 　 第三章網絡安全漏洞分析167。 漏洞是存在于系統(tǒng)中的一個弱點或者缺點。廣義的漏洞是指非法用戶未經授權獲得訪問或提高其訪問層次的硬件或軟件特征。實際上，漏洞可以是任何東西，許多用戶非常熟悉的特殊的硬件和軟件存在漏洞，如IBM兼容機的CMOS口令在COMS的電池供電不足、不能供電或被移走情況下會丟失CMOS信息也是漏洞；操作系統(tǒng)、瀏覽器、TCP/IP、免費電子郵箱等都存在漏洞。微軟對漏洞的明確定義：“漏洞是可以在攻擊過程中利用的弱點，可以是軟件、硬件、程序缺點、功能設計或者配置不當等?！?67。漏洞的表現形式各式各樣，從不同的方面來劃分，漏洞的類型是不一樣的，下面從幾不同方面簡要介紹一下。（1）從不同角度劃分對一個特定程序的安全漏洞，要以從多方面進行分類。：l 大眾類軟件的漏洞，如WINDOWS的漏洞、IE的漏洞等。l 專用軟件的漏洞 ，如ORACLE漏洞、APACHE漏洞等。：l 能讀按理不能讀的數據庫，包括內存中的數據庫、文件中的數據、用戶輸入的數據、數據庫中的數據等。l 能把指定的內容寫入指定的地方（這個地方包括文件、內存、數據庫等）。：l 主動觸發(fā)漏洞，攻擊者可以主動利用該漏洞進行攻擊，如直接訪問他人計算機。l 被動觸發(fā)漏洞，必須要計算機的操作人員配合才能進行攻擊 所利用的漏洞。比如攻擊者給管理員發(fā)一封郵件，帶了一個特殊的JPG圖片文件，如果管理員打開圖片文件就會導致看圖軟件的某個漏洞被觸發(fā)，從面系統(tǒng)被攻擊；介如果管理員不看這個圖片，則不會受攻擊。：l 已發(fā)現很久的漏洞：廠商已經發(fā)布補丁或修補方法，很多人都已經知道。這類漏洞 通常很多人已經進行了修補，宏觀上看危害比較小。l 剛發(fā)現的漏洞：廠商剛發(fā)補丁或修補方法，知道 的人還不多。相對于上一各漏洞其危害性較大，如果此時出現了蠕蟲或傻瓜化的利用程序，那么會導致大批系統(tǒng)受到攻擊。l ODAY：還沒有公開的漏洞，在私下交易中的。這類漏洞通常對大眾不會有什么 影響，介會導致攻擊者瞄準的目標受到精確攻擊，危害也是非常之大的。（2）按照漏洞的形成原因劃分按照漏洞的形成原因，漏洞大體上可以分為程序邏輯結構漏洞、程序設計錯誤漏洞、開放式協(xié)議造成的漏洞和人為因素造成的漏洞。 這種類型的漏洞有可能是編程人員在編寫程序時，因為程序的邏輯設計不合理或者錯誤而造成的程序邏輯漏洞。這種類型的漏洞最典型的是微軟的是微軟的WINDOWS 2000用戶登錄的中文輸入法漏洞。非授權人員可以通過 登錄界面的輸入法的幫助文件繞過WINDOWS的用戶名和密碼驗證而取得計算機的最高權限。這種類型的漏洞是編程人員在編寫程序時由于技術上的疏忽造成的漏洞。這種類型的漏洞最典型的是緩沖區(qū)溢出漏洞，它也是被黑客利用得最多的一種類型的漏洞。目前，國際互聯網的通信采用的是具有開放性的TCP/IP協(xié)議。因為TCP/IP協(xié)議的最初設計者在設計該通信協(xié)時，只考慮到了協(xié)議的實用性，而沒有考慮到協(xié)議的開放和透明性嗅探網絡數據包，竊取數據包里面的用戶口令和密碼信息；TCP協(xié)議三次握手的潛在缺陷所導致的拒絕服務攻擊等。 一個系統(tǒng)如果本身設計得很完善，安全性也很高，但管理人員安全意識淡薄，同時會給系統(tǒng)留下漏洞。例如，系統(tǒng)本身非常完備安全，但系統(tǒng)登錄所需要的管理員賬號或口令因為設置過于簡單而被黑客猜解出來了，那么其他的環(huán)節(jié)再安全也沒有絲毫意義了。（3）按照漏洞可能對系統(tǒng)造成的直接威脅劃分按照漏洞可能對系統(tǒng)造成的直接威脅可劃分如下：攻擊者無須通過一個賬號登錄到本地而直接獲得遠程系統(tǒng)的管理員權限，通常通過攻擊以ROOT身份執(zhí)行的有缺陷的系統(tǒng)守護進程來完成。漏洞的絕大部分來源于緩沖區(qū)溢出，小部分來自守護進程本