【文章內(nèi)容簡(jiǎn)介】 能夠在內(nèi)外網(wǎng)之間提供安全的網(wǎng)絡(luò)保護(hù)，降低了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。但是，僅僅使用防火墻、網(wǎng)絡(luò)安全還遠(yuǎn)遠(yuǎn)不夠： (1) 入侵者可尋找防火墻背后可能敞開的后門。 (2) 入侵者可能就在防火墻內(nèi)。 (3) 由于性能的限制，防火焰通常不能提供實(shí)時(shí)的入侵檢測(cè)能力。 入侵檢測(cè)系統(tǒng)是近年出現(xiàn)的新型網(wǎng)絡(luò)安全技術(shù)，目的是提供實(shí)時(shí)的入侵檢測(cè)及采取相應(yīng)的防護(hù)手段，如記錄證據(jù)用于跟蹤和恢復(fù)、斷開網(wǎng)絡(luò)連接等。 實(shí)時(shí)入侵檢測(cè)能力之所以重要首先它能夠?qū)Ω秮?lái)自內(nèi)部網(wǎng)絡(luò)的攻擊，其次它能夠縮短 hacker 入侵的時(shí)間。 入侵檢測(cè)系統(tǒng)可分為兩類：提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全√ 基于主機(jī) √ 基于網(wǎng)絡(luò) 基于主機(jī)的入侵檢測(cè)系統(tǒng)用于保護(hù)關(guān)鍵應(yīng)用的服務(wù)器，實(shí)時(shí)監(jiān)視可疑的連接、系統(tǒng)日志檢查，非法訪問(wèn)的闖入等，并且提供對(duì)典型應(yīng)用的監(jiān)視如 Web 服務(wù)器應(yīng)用?；诰W(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)用于實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)關(guān)鍵路徑的信息，其基本模型如下圖示：圖 21 入侵檢測(cè)系統(tǒng)的基本模型 上述模型由四個(gè)部分組成： (1) Passive protocol Analyzer 網(wǎng)絡(luò)數(shù)據(jù)包的協(xié)議分析器、將結(jié)果送給模式匹配部分并根據(jù)需要保存。 (2) PatternMatching Signature Analysis 根據(jù)協(xié)議分析器的結(jié)果匹配 Ether(., store contentsof connectiondisk)(., close connection)Countermeasure(C) Box(.,detection of“phf”stringin session)PatternMatchingSignatureAnalysisStorage (D) Box (, TCP Stream reconstruction)PassiveProtocolAnalysis提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全入侵特征，結(jié)果傳送給 Countermeasure 部分。 (3) countermeasure 執(zhí)行規(guī)定的動(dòng)作。 (4) Storage 保存分析結(jié)果及相關(guān)數(shù)據(jù)。 基于主機(jī)的安全監(jiān)控系統(tǒng)具備如下特點(diǎn)： (1) 精確，可以精確地判斷入侵事件。 (2) 高級(jí)，可以判斷應(yīng)用層的入侵事件。 (3) 對(duì)入侵時(shí)間立即進(jìn)行反應(yīng)。 (4) 針對(duì)不同操作系統(tǒng)特點(diǎn)?！　　　　　　　? (5) 占用主機(jī)寶貴資源。 基于網(wǎng)絡(luò)的安全監(jiān)控系統(tǒng)具備如下特點(diǎn)： (1) 能夠監(jiān)視經(jīng)過(guò)本網(wǎng)段的任何活動(dòng)。 (2) 實(shí)時(shí)網(wǎng)絡(luò)監(jiān)視。 (3) 監(jiān)視粒度更細(xì)致。 (4) 精確度較差。 (5) 防入侵欺騙的能力較差。 (6) 交換網(wǎng)絡(luò)環(huán)境難于配置。 基于主機(jī)及網(wǎng)絡(luò)的入侵監(jiān)控系統(tǒng)通常均可配置為分布式模式： (1) 在需要監(jiān)視的服務(wù)器上安裝監(jiān)視模塊(agent)，分別向管理服務(wù)器報(bào)告及上傳證據(jù)，提供跨平臺(tái)的入侵監(jiān)視解決方案。 (2) 在需要監(jiān)視的網(wǎng)絡(luò)路徑上，放置監(jiān)視模塊(sensor),分別向管理服務(wù)器報(bào)告及上傳證據(jù)，提供跨網(wǎng)絡(luò)的入侵監(jiān)視解決方案。 選擇入侵監(jiān)視系統(tǒng)的要點(diǎn)是： (1) 協(xié)議分析及檢測(cè)能力。 (2) 解碼效率(速度)。 (3) 自身安全的完備性。 (4) 精確度及完整度，防欺騙能力。 (5) 模式更新速度。提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全五. 安全掃描技術(shù) 網(wǎng)絡(luò)安全技術(shù)中，另一類重要技術(shù)為安全掃描技術(shù)。安全掃描技術(shù)與防火墻、安全監(jiān)控系統(tǒng)互相配合能夠提供很高安全性的網(wǎng)絡(luò)。 安全掃描工具源于 Hacker 在入侵網(wǎng)絡(luò)系統(tǒng)時(shí)采用的工具。商品化的安全掃描工具為網(wǎng)絡(luò)安全漏洞的發(fā)現(xiàn)提供了強(qiáng)大的支持。 安全掃描工具通常也分為基于服務(wù)器和基于網(wǎng)絡(luò)的掃描器。 基于服務(wù)器的掃描器主要掃描服務(wù)器相關(guān)的安全漏洞，如 password 文件，目錄和文件權(quán)限，共享文件系統(tǒng)，敏感服務(wù)，軟件，系統(tǒng)漏洞等，并給出相應(yīng)的解決辦法建議。通常與相應(yīng)的服務(wù)器操作系統(tǒng)緊密相關(guān)。 基于網(wǎng)絡(luò)的安全掃描主要掃描設(shè)定網(wǎng)絡(luò)內(nèi)的服務(wù)器、路由器、網(wǎng)橋、變換機(jī)、訪問(wèn)服務(wù)器、防火墻等設(shè)備的安全漏洞，并可設(shè)定模擬攻擊，以測(cè)試系統(tǒng)的防御能力。通常該類掃描器限制使用范圍(IP 地址或路由器跳數(shù))。網(wǎng)絡(luò)安全掃描的主要性能應(yīng)該考慮以下方面： (1) 速度。在網(wǎng)絡(luò)內(nèi)進(jìn)行安全掃描非常耗時(shí)。 (2) 網(wǎng)絡(luò)拓?fù)?。通過(guò) GUI 的圖形界面，可迭擇一步或某些區(qū)域的設(shè)備。 (3) 能夠發(fā)現(xiàn)的漏洞數(shù)量。 (4) 是否支持可定制的攻擊方法。通常提供強(qiáng)大的工具構(gòu)造特定的攻擊方法。因?yàn)榫W(wǎng)絡(luò)內(nèi)服務(wù)器及其它設(shè)備對(duì)相同協(xié)議的實(shí)現(xiàn)存在差別，所以預(yù)制的掃描方法肯定不能滿足客戶的需求。 (5) 報(bào)告，掃描器應(yīng)該能夠給出清楚的安全漏洞報(bào)告。 (6) 更新周期。提供該項(xiàng)產(chǎn)品的廠商應(yīng)盡快給出新發(fā)現(xiàn)的安生漏洞掃描特性升級(jí)，并給出相應(yīng)的改進(jìn)建議。 安全掃描器不能實(shí)時(shí)監(jiān)視網(wǎng)絡(luò)上的入侵，但是能夠測(cè)試和評(píng)價(jià)系統(tǒng)的安全性，并及時(shí)發(fā)現(xiàn)安全漏洞。六. 認(rèn)證和數(shù)宇簽名技術(shù) 認(rèn)證技術(shù)主要解決網(wǎng)絡(luò)通訊過(guò)程中通訊雙方的身份認(rèn)可，數(shù)字簽名作為身提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全份認(rèn)證技術(shù)中的一種具體技術(shù)，同時(shí)數(shù)字簽名還可用于通信過(guò)程中的不可抵賴要求的實(shí)現(xiàn)。 認(rèn)證技術(shù)將應(yīng)用到企業(yè)網(wǎng)絡(luò)中的以下方面： (1) 路由器認(rèn)證，路由器和交換機(jī)之間的認(rèn)證。 (2) 操作系統(tǒng)認(rèn)證。操作系統(tǒng)對(duì)用戶的認(rèn)證。 (3) 網(wǎng)管系統(tǒng)對(duì)網(wǎng)管設(shè)備之間的認(rèn)證。 (4) VPN 網(wǎng)關(guān)設(shè)備之間的認(rèn)證。 (5) 撥號(hào)訪問(wèn)服務(wù)器與客戶間的認(rèn)證。 (6) 應(yīng)用服務(wù)器(如 Web Server)與客戶的認(rèn)證。 (7) 電子郵件通訊雙方的認(rèn)證。 數(shù)字簽名技術(shù)主要用于： (1) 基于 PKI 認(rèn)證體系的認(rèn)證過(guò)程。 (2) 基于 PKI 的電子郵件及交易(通過(guò) Web 進(jìn)行的交易)的不可抵賴記錄。 認(rèn)證過(guò)程通常涉及到加密和密鑰交換。通常，加密可使用對(duì)稱加密、不對(duì)稱加密及兩種加密方法的混合。 UserName/Password 認(rèn)證 該種認(rèn)證方式是最常用的一種認(rèn)證方式，用于操作系統(tǒng)登錄、tel、rlogin 等，但由于此種認(rèn)證方式過(guò)程不加密，即 password 容易被監(jiān)聽和解密。 使用摘要算法的認(rèn)證 Radius(撥號(hào)認(rèn)證協(xié)議)、路由協(xié)議(OSPF)、SNMP Security Protocol 等均使用共享的 Security Key，加上摘要算法(MD5)進(jìn)行認(rèn)證，由于摘要算法是一個(gè)不可逆的過(guò)程，因此，在認(rèn)證過(guò)程中，由摘要信息不能計(jì)算出共享的security key，敏感信息不在網(wǎng)絡(luò)上傳輸。市場(chǎng)上主要采用的摘要算法有 MD5和 SHA1。 基于 PKI 的認(rèn)證 使用公開密鑰體系進(jìn)行認(rèn)證和加密。該種方法安全程度較高，綜合采用了摘要算法、不對(duì)稱加密、對(duì)稱加密、數(shù)字簽名等技術(shù)，很好地將安全性和高效提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全率結(jié)合起來(lái)。后面描述了基于 PKI 認(rèn)證的基本原理。這種認(rèn)證方法目前應(yīng)用在電子郵件、應(yīng)用服務(wù)器訪問(wèn)、客戶認(rèn)證、防火墻驗(yàn)證等領(lǐng)域。 該種認(rèn)證方法安全程度很高，但是涉及到比較繁重的證書管理任務(wù)。七. VPN 技術(shù) 企業(yè)對(duì) VPN 技術(shù)的需求 企業(yè)總部和各分支機(jī)構(gòu)之間采用 inter 網(wǎng)絡(luò)進(jìn)行連接，由于 inter是公用網(wǎng)絡(luò)，因此，必須保證其安全性。我們將利用公共網(wǎng)絡(luò)實(shí)現(xiàn)的私用網(wǎng)絡(luò)稱為虛擬私用網(wǎng)(VPN)。 因?yàn)?VPN 利用了公共網(wǎng)絡(luò)，所以其最大的弱點(diǎn)在于缺乏足夠的安全性。企業(yè)網(wǎng)絡(luò)接入到 inter，暴露出兩個(gè)主要危險(xiǎn)：來(lái)自 inter 的未經(jīng)授權(quán)的對(duì)企業(yè)內(nèi)部網(wǎng)的存取。當(dāng)企業(yè)通過(guò) INTERNET 進(jìn)行通訊時(shí)，信息可能受到竊聽和非法修改。 完整的集成化的企業(yè)范圍的 VPN 安全解決方案，提供在 INTERNET 上安全的雙向通訊，以及透明的加密方案以保證數(shù)據(jù)的完整性和保密性。 企業(yè)網(wǎng)絡(luò)的全面安全要求保證：保密通訊過(guò)程不被竊聽。通訊主體真實(shí)性確認(rèn)網(wǎng)絡(luò)上的計(jì)算機(jī)不被假冒。數(shù)字簽名 數(shù)字簽名作為驗(yàn)證發(fā)送者身份和消息完整性的根據(jù)。公共密鑰系統(tǒng)(如 RSA)基于私有/公共密鑰對(duì)，作為驗(yàn)證發(fā)送者身份和消息完整性的根據(jù)。CA 使用私有密鑰計(jì)算其數(shù)字簽名，利用 CA 提供的公共密鑰，任何人均可驗(yàn)證簽名的真實(shí)性。偽造數(shù)字簽名從計(jì)算能力上是不可行的。 并且，如果消息隨數(shù)字簽名一同發(fā)送，對(duì)消息的任何修改在驗(yàn)證數(shù)字簽名時(shí)都將會(huì)被發(fā)現(xiàn)。 通訊雙方通過(guò) DiffieHellman 密鑰系統(tǒng)安全地獲取共享的保密密鑰，并使用該密鑰對(duì)消息加密。DiffieHellman 密鑰由 CA 進(jìn)行驗(yàn)證。提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全 類 型 技 術(shù) 用 途基本會(huì)話密鑰 DES 加密通訊加密密鑰 DeffHellman 生成會(huì)話密鑰認(rèn)證密鑰 RSA 驗(yàn)證加密密鑰表 1 加密模式使用的密鑰技術(shù) 基于此種加密模式，需要管理的密鑰數(shù)目與通訊者的數(shù)量為線性關(guān)系。而其它的加密模式需要管理的密鑰數(shù)目與通訊者數(shù)目的平方成正比。IPSEC IPSec 作為在 IP v4 及 IP v6 上的加密通訊框架，已為大多數(shù)廠商所支持，預(yù)計(jì)在 1998 年將確定為 IETF 標(biāo)準(zhǔn)，是 VPN 實(shí)現(xiàn)的 Inter 標(biāo)準(zhǔn)。 IPSec 主要提供 IP 網(wǎng)絡(luò)層上的加密通訊能力。該標(biāo)準(zhǔn)為每個(gè) IP 包增加了新的包頭格式，Authentication Header(AH)及 encapsualting security payload(ESP)。IPsec 使用 ISAKMP/Oakley 及 SKIP 進(jìn)行密鑰交換、管理及加密通訊協(xié)商(Security Association)。 Ipsec 包含兩個(gè)部分： (1) IP security Protocol proper，定義 Ipsec 報(bào)文格式。 (2) ISAKMP/Oakley，負(fù)責(zé)加密通訊協(xié)商。 Ipsec 提供了兩種加密通訊手段： Ipsec Tunnel：整個(gè) IP 封裝在 Ipsec 報(bào)文。提供 Ipsecgateway 之間的通訊。 Ipsec transport：對(duì) IP 包內(nèi)的數(shù)據(jù)進(jìn)行加密，使用原來(lái)的源地址和目的地址。提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全 Ipsec Tunnel 不要求修改已配備好的設(shè)備和應(yīng)用，網(wǎng)絡(luò)黑客戶不能看到實(shí)際的的通訊源地址和目的地址，并且能夠提供專用網(wǎng)絡(luò)通過(guò) Inter 加密傳輸?shù)耐ǖ?，因此，絕大多數(shù)均使用該模式。 ISAKMP/Oakley 使用 數(shù)字證書，因此，使 VPN 能夠容易地?cái)U(kuò)大到企業(yè)級(jí)。(易于管理)。 在為遠(yuǎn)程撥號(hào)服務(wù)的 Client 端，也能夠?qū)崿F(xiàn) Ipsec 的客戶端，為撥號(hào)用戶提供加密網(wǎng)絡(luò)通訊。 由于 Ipsec 即將成為 Inter 標(biāo)準(zhǔn)，因此不同廠家提供的防火墻(VPN)產(chǎn)品可以實(shí)現(xiàn)互通。八. 應(yīng)用系統(tǒng)的安全技術(shù) 由于應(yīng)用系統(tǒng)的復(fù)雜性，有關(guān)應(yīng)用平臺(tái)的安全問(wèn)題是整個(gè)安全體系中最復(fù)雜的部分。下面的幾個(gè)部分列出了在 Inter/Intra 中主要的應(yīng)用平臺(tái)服務(wù)的安全問(wèn)題及相關(guān)技術(shù)。域名服務(wù) Inter 域名服務(wù)為 Inter/Intra 應(yīng)用提供了極大的靈活性。幾乎所有的網(wǎng)絡(luò)應(yīng)用均利用域名服務(wù)。 但是，域名服務(wù)通常為 hacker 提供了入侵網(wǎng)絡(luò)的有用信息，如服務(wù)器的IP、操作系統(tǒng)信息、推導(dǎo)出可能的網(wǎng)絡(luò)結(jié)構(gòu)等。同時(shí)，新發(fā)現(xiàn)的針對(duì) BINDNDS 實(shí)現(xiàn)的安全漏洞也開始發(fā)現(xiàn)，而絕大多數(shù)的域名系統(tǒng)均存在類似的問(wèn)題。如由于 DNS 查詢使用無(wú)連接的 UDP 協(xié)議，利用可預(yù)測(cè)的查詢 ID 可欺騙域名服務(wù)器給出錯(cuò)誤的主機(jī)名IP 對(duì)應(yīng)關(guān)系。 因此，在利用域名服務(wù)時(shí)，應(yīng)該注意到以上的安全問(wèn)題。主要的措施有： (1) 內(nèi)部網(wǎng)和外部網(wǎng)使用不同的域名服務(wù)器，隱藏內(nèi)部網(wǎng)絡(luò)信息。 (2) 域名服務(wù)器及域名查找應(yīng)用安裝相應(yīng)的安全補(bǔ)丁。 (3) 對(duì)付 DenialofService 攻擊，應(yīng)設(shè)計(jì)備份域名服務(wù)器。Web Server 應(yīng)用安全提供您高質(zhì)量的系統(tǒng)集成類方案與資料系統(tǒng)集成方案大全 Web Server 是企業(yè)對(duì)外宣傳、開展業(yè)務(wù)的重要基地。由于其重要性，成為Hacker 攻擊的首選目標(biāo)之一。 Web Server 經(jīng)常成為 Inter 用戶訪問(wèn)公司內(nèi)部資源的通道之一，如 Web server 通過(guò)中間件訪問(wèn)主機(jī)系統(tǒng)，通過(guò)數(shù)據(jù)庫(kù)連接部件訪問(wèn)數(shù)據(jù)庫(kù)，利用 CGI訪問(wèn)本地文件系統(tǒng)或網(wǎng)絡(luò)系統(tǒng)中其它資源。 但 Web 服務(wù)器越來(lái)越復(fù)雜，其被發(fā)現(xiàn)的安全漏洞越來(lái)越多。為了防止 Web服務(wù)器成為攻擊的犧牲品或成為進(jìn)入內(nèi)部網(wǎng)絡(luò)的跳板，我們需要給予更多的關(guān)心： (1) Web 服務(wù)器置于防火墻保護(hù)之下。