【文章內(nèi)容簡介】 術(shù)體系的三維圖示從圖中我們可以看到定量的數(shù)據(jù)表達(dá)不存在于三維體系中，在 X 維中，安全服務(wù)是安全機(jī)制的上層建筑，且安全機(jī)制是借以安全服務(wù)來體現(xiàn)其作用的，安全機(jī)制并沒有和協(xié)議層、系統(tǒng)單元有著直接的聯(lián)系。在 X 維中，除了安全體系中鑒別、訪問控制、審計(jì)、加密、鑒別交換等八種機(jī)制外，還有電磁輻射等物理安全機(jī)制，不但有利于數(shù)據(jù)的非泄露性、能用性等功能發(fā)揮意義，而且也將安全機(jī)制滲入到物理環(huán)境的安全問題當(dāng)中；在 Y 維中，主要有應(yīng)用層、傳輸層、網(wǎng)絡(luò)層、鏈路層、物理層五層模型，它們基于協(xié)議的各種管理方面的高端技術(shù)，獨(dú)立成為一種概念；在 Z 維中，系統(tǒng)構(gòu)成單元有物理環(huán)境、系統(tǒng)平臺(tái)、通信平臺(tái)、網(wǎng)絡(luò)平臺(tái)、應(yīng)用平臺(tái)。信息系統(tǒng)安全的組織保障系統(tǒng)就是組織機(jī)構(gòu)（管理層、決策層和執(zhí)行層）體系（崗位、機(jī)構(gòu)和人事三個(gè)模塊） 。決策層是領(lǐng)導(dǎo)機(jī)構(gòu)，主要決定重大的安全事宜。首要的負(fù)責(zé)人為單位主管，下設(shè)6 / 60信息系統(tǒng)的重要負(fù)責(zé)人和各部門（國家安全、國家機(jī)密、公共安全及公共保密）負(fù)責(zé)人。單位的骨干領(lǐng)導(dǎo)、計(jì)算機(jī)實(shí)力專家和網(wǎng)絡(luò)尖端管理人員則撐起了政府部門的門面。管理層是管理機(jī)構(gòu)，管理日常事務(wù)。按照決策層的規(guī)劃協(xié)調(diào)各部門人力物力資源實(shí)施安全方案，制定安全決策，為有可能的安全事故設(shè)防，增加部分安全工作崗位。執(zhí)行層是一個(gè)群體，具體針對(duì)某一個(gè)或幾個(gè)特定的安全事務(wù)問題。它在管理層的協(xié)調(diào)下分布范圍比較廣泛，比如，各個(gè)崗位上、不同的操作層。崗位不屬于機(jī)構(gòu)體系，它只是一種職位，是一種序列，在管理機(jī)構(gòu)的設(shè)定下，由人事機(jī)構(gòu)全權(quán)管理。崗位分為若干層次，往上有直屬領(lǐng)導(dǎo)，一個(gè)人不能一次性從事具體的安全系統(tǒng)管理和業(yè)務(wù)事項(xiàng)，但卻可以著手不同個(gè)安全崗位，這是由系統(tǒng)安全需求在安全管理機(jī)關(guān)運(yùn)行下設(shè)定的負(fù)責(zé)某一個(gè)、幾個(gè)安全事務(wù)的特點(diǎn)決定的。崗位在職人員、待職人員、離職人員的素質(zhì)教育、業(yè)務(wù)總評(píng)、安全監(jiān)督等需要人事機(jī)構(gòu)。人事機(jī)構(gòu)本身就是管理機(jī)構(gòu)的下設(shè)部門，它的活動(dòng)范圍只能在國家相關(guān)法律法規(guī)、政策措施之內(nèi)。管理素來被稱為信息系統(tǒng)安全的靈魂，法律、制度和培訓(xùn)管理是其組成部分。法律管理具有規(guī)范和約束作用，它必須遵守國家的相關(guān)法律，切實(shí)處理好信息系統(tǒng)主體與客體之間的關(guān)系。法律管理的強(qiáng)有力的約束能力和層次分明的管理對(duì)信息系統(tǒng)主體的行為活動(dòng)起著很大的作用，同時(shí)它還占據(jù)著信息系統(tǒng)安全的絕對(duì)行為規(guī)則。制度管理由一系列非外部的制度規(guī)章組成，它制定規(guī)章制度必須以信息系統(tǒng)內(nèi)部的非隱患需要為依據(jù)，它一般將法律法規(guī)和實(shí)施對(duì)象連接起來，確保工作的具體到位，在一定形式上形式化了法律的管理。制度管理涉及的主要方面有：安全管理機(jī)構(gòu)和執(zhí)行機(jī)構(gòu)在崗位的設(shè)定及具體操作、員工素質(zhì)的培養(yǎng)、內(nèi)外關(guān)系的協(xié)調(diào)等方面以特定的行為規(guī)范。培訓(xùn)管理培訓(xùn)了一大批投身于安全業(yè)務(wù)、安全管理方面的人才，也栽培了絕大多數(shù)從事信息系統(tǒng)工作的人員，這就為信息系統(tǒng)的安全提供了前提條件。它具體有律法法規(guī)、崗位實(shí)踐、業(yè)務(wù)水平、業(yè)務(wù)素質(zhì)、技術(shù)技能等培訓(xùn)，當(dāng)然培訓(xùn)管理也較重視常見安全和在職崗位特殊安全意識(shí)的有機(jī)結(jié)合。 網(wǎng)絡(luò)安全技術(shù) 網(wǎng)絡(luò)安全龐雜無比，自然少不了一些常見的安全技術(shù)，才能推動(dòng)此項(xiàng)浩大工程的進(jìn)程。7 / 60“防火墻” [4] 是一整套的裝置，既可以控制不同網(wǎng)絡(luò)之間的訪問人數(shù)，又可以監(jiān)管應(yīng)用層流動(dòng)的網(wǎng)絡(luò)量。換種說法，防火墻在高度保護(hù)內(nèi)、外部網(wǎng)安全的前提下，使所有的信息無巨細(xì)地強(qiáng)制性地流經(jīng)過內(nèi)、外部網(wǎng)，并對(duì)所有進(jìn)進(jìn)出出防火墻的數(shù)據(jù)資源進(jìn)行檢測、限制、修改，從而保證了內(nèi)部網(wǎng)絡(luò)系統(tǒng)的安全，非法侵入者只會(huì)無功而返。在這里，我們需要說明的是，內(nèi)部網(wǎng)也被稱為可信網(wǎng)絡(luò)，外部網(wǎng)也被稱作不可信網(wǎng)絡(luò)，比如因特網(wǎng)。 防火墻的設(shè)置原則是：（1）禁止即未被允許；（2）允許即未被禁止。兩條原則各有其利弊，優(yōu)勢為：第一條原則認(rèn)真選擇服務(wù)內(nèi)容，保證了絕對(duì)的安全；第二條原則靈活多變，先將全部信息流通過防火墻，再逐條檢測屏蔽一切有害的服務(wù)項(xiàng)，為廣大用戶提供了安全的使用環(huán)境。劣勢為：第一條原則應(yīng)用效率不高，主要受制于一味追求高安全，刻板呆滯，大大損傷了網(wǎng)絡(luò)用戶的方便；第二條原則雖然發(fā)揮防火墻的巨大作用屏蔽了很多有害的服務(wù)，但是網(wǎng)絡(luò)是不斷發(fā)展的，隨著地域范圍的擴(kuò)大和網(wǎng)絡(luò)服務(wù)的多樣化，網(wǎng)絡(luò)工作者將會(huì)殫精竭慮，可靠安全的網(wǎng)絡(luò)防護(hù)難免會(huì)出差錯(cuò)。當(dāng)今防火墻以代理的服務(wù)器、包過濾、網(wǎng)關(guān)的服務(wù)器為核心技術(shù)，以網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)、配置技術(shù)和位置技術(shù)的有度使用為輔助技術(shù)。1) 數(shù)據(jù)包過濾的有關(guān)技術(shù)網(wǎng)絡(luò)防火墻技術(shù)的最基本的構(gòu)件除了技術(shù)、還包括包過濾（在網(wǎng)絡(luò)的 OSI 模型網(wǎng)絡(luò)層將數(shù)據(jù)包有選擇性地篩選）原理，篩選判據(jù)通常為系統(tǒng)內(nèi)部設(shè)計(jì)的接入控制表，有時(shí)也叫做過濾邏輯。在嚴(yán)格遵守 TCP 或者是 IP 協(xié)議技術(shù)的網(wǎng)絡(luò)中，數(shù)據(jù)是通過數(shù)據(jù)包的形式進(jìn)行傳送的，這樣數(shù)據(jù)包的本源的地址、目標(biāo)的地址、UDP 源端口、TCP 源目標(biāo)端口及它們的不同組合等就會(huì)在數(shù)據(jù)流中 IP 包中檢查出來，并判斷應(yīng)不應(yīng)該讓數(shù)據(jù)包順利通過。一般來說，數(shù)據(jù)包除了符合過濾規(guī)則之外，其它不合理的統(tǒng)統(tǒng)從數(shù)據(jù)流中被清除殆盡，那些符合規(guī)則的就被轉(zhuǎn)發(fā)到對(duì)應(yīng)的目的地輸出端口。包過濾的該種防火墻技術(shù)一般而言被裝在網(wǎng)絡(luò)路由器上，差不多所有的商業(yè)運(yùn)用的路由器又有相應(yīng)的包過濾的功能。包過濾技術(shù)有它的優(yōu)點(diǎn)，也有它的缺點(diǎn)。優(yōu)點(diǎn)是：成本較低，實(shí)用不繁瑣，能以最小的投入獲取最大的效益，確保了一定程度上系統(tǒng)的安全。缺點(diǎn)主要有三點(diǎn)：第一： 數(shù)據(jù)包的網(wǎng)絡(luò)保護(hù)功能受制于包過濾的工具的完美與否，數(shù)據(jù)包的過濾規(guī)則需要非常完美的工具才能得以實(shí)現(xiàn)，可是實(shí)際上包過濾的工具很不完美。第二：包過濾技術(shù)是網(wǎng)絡(luò)應(yīng)用層的安全性技術(shù)，它只能在該范圍內(nèi)發(fā)揮作用，一旦涉及到通過網(wǎng)絡(luò)高協(xié)議層的信息的保護(hù)和理解等問題時(shí)，他將難以勝任安全防護(hù)的任務(wù)。第三：由于數(shù)據(jù)包過濾邏輯是非動(dòng)態(tài)指定的，因此動(dòng)態(tài)分配、隨機(jī)分配等端口的服8 / 60務(wù)（遠(yuǎn)程過程控制、基于遠(yuǎn)程控制的協(xié)議網(wǎng)絡(luò)文件系統(tǒng)）將難以實(shí)現(xiàn)非常有效的過濾，它只能實(shí)現(xiàn)靜態(tài)狀態(tài)下系統(tǒng)的操作和工作量的維護(hù)等目標(biāo)。包過濾技術(shù)不斷進(jìn)行自身技術(shù)的提高，狀態(tài)監(jiān)測型防火墻就是很好的體現(xiàn)。這種防火墻是一種軟件引擎，在鏈路層和網(wǎng)絡(luò)層之間實(shí)現(xiàn)安全的相互對(duì)接，執(zhí)行相關(guān)的安全策略，被叫做檢測模塊。狀態(tài)監(jiān)測型防火墻分析各層的網(wǎng)絡(luò)通信、提取一些通信信息和相關(guān)狀態(tài)信息、存貯或者革新狀態(tài)信息及上下文信息，為的就是能夠讓累積數(shù)據(jù)滿足于下一個(gè)的通信檢查。狀態(tài)監(jiān)測型防火墻能夠大額度的提供非靜態(tài)分配端口協(xié)議層應(yīng)用的高度支持，這樣就無形中減少了相應(yīng)端口的開放時(shí)間的長度，還有一點(diǎn)值得注意，該防火墻沒有鑒別用戶的機(jī)制，它不反對(duì)外部客戶和內(nèi)部主機(jī)之間的非間接性連接狀態(tài)。2）網(wǎng)關(guān)服務(wù)器的相關(guān)情況 網(wǎng)關(guān)服務(wù)器也是一種防火墻，適用于特定的因特網(wǎng)服務(wù)（HTTP/FTP） ，它的物理位置位于 OSI 相關(guān)的七層協(xié)議的應(yīng)用層，在該層上，它由所要求的應(yīng)用過濾一些訪問問題。網(wǎng)關(guān)服務(wù)器以中心點(diǎn)為據(jù)點(diǎn)，分類、登陸、分析、仲裁全部的請(qǐng)求，并杜絕存在非危險(xiǎn)威脅的程序通過防火墻，但它也有自身的缺陷問題，即鼓勵(lì)內(nèi)部的主機(jī)和外部的客戶之間的非間接連接。3）代理服務(wù)器的有關(guān)介紹代理服務(wù)器由服務(wù)器端、客戶端程序組成，它是一種專門的服務(wù)器程序，運(yùn)行在防火墻的主機(jī)上，它采用的技術(shù)主要是應(yīng)用協(xié)議的代理服務(wù)。為了防止網(wǎng)絡(luò)數(shù)據(jù)在內(nèi)外網(wǎng)絡(luò)之間直接流動(dòng)，代理服務(wù)器與因特網(wǎng)之間的網(wǎng)絡(luò)通訊協(xié)議是通過標(biāo)準(zhǔn)的 IP 實(shí)現(xiàn)的，而與內(nèi)部網(wǎng)絡(luò)之間則沒有太嚴(yán)格的 IP 等協(xié)議通訊。代理服務(wù)器方式下，內(nèi)外網(wǎng)絡(luò)是不能直接通訊的。代理服務(wù)器的優(yōu)點(diǎn)是通過用戶對(duì)因特網(wǎng)服務(wù)的請(qǐng)求來體現(xiàn)的。首先，它得把相關(guān)的請(qǐng)求轉(zhuǎn)化為實(shí)際的服務(wù)內(nèi)容，并保證安全有效，這樣，內(nèi)部的網(wǎng)絡(luò)計(jì)算機(jī)可以限制對(duì)外部計(jì)算機(jī)的訪問情況，屏蔽被保護(hù)的網(wǎng)絡(luò)的內(nèi)部結(jié)構(gòu)，加強(qiáng)網(wǎng)絡(luò)的安全性能，同樣，數(shù)據(jù)流的有效監(jiān)制、詳細(xì)記錄、完整過濾、合理審計(jì)等也適用于代理服務(wù)器。 代理技術(shù)的缺點(diǎn)有三點(diǎn)：第一：一對(duì)一的客戶請(qǐng)求與內(nèi)網(wǎng)用戶創(chuàng)建，勢必造成內(nèi)網(wǎng)用戶過于密集，導(dǎo)致效率的相當(dāng)?shù)拖?。第二：代理的不透明性，妨礙了用戶訪問因特網(wǎng)的知情權(quán)，相關(guān)客戶的軟件系統(tǒng)在內(nèi)部計(jì)算的訪問中直接被屏蔽。第三：代理技術(shù)缺乏靈活度，它需要對(duì)每一種的協(xié)議都設(shè)定相應(yīng)的代理服務(wù)器，增加了工作的不方便。代理服務(wù)器的工作原理圖示：9 / 60圖 22 工作原理圖示4）其它類型的一些防火墻技術(shù)防火墻技術(shù)類型眾多，其中，屏蔽主機(jī)的防火墻、雙宿主機(jī)的防火墻、屏蔽子網(wǎng)的防火墻等是通過復(fù)合包過濾技術(shù)、網(wǎng)關(guān)服務(wù)器技術(shù)、代理服務(wù)器技術(shù)的“綜合型防火墻” ，這些防火墻技術(shù)更加有利于網(wǎng)絡(luò)安全的保障和運(yùn)行方式大的靈活多樣。 防火墻技術(shù)的缺點(diǎn)主要包括五點(diǎn)：（一）防火墻技術(shù)的內(nèi)部網(wǎng)絡(luò)防護(hù)遠(yuǎn)遠(yuǎn)低于外部網(wǎng)絡(luò)防護(hù)。（二）對(duì)人為的攻擊手足無措，造成安全隱患。（三）不能識(shí)別內(nèi)部人員的有誤操作、有意泄露等，而造成威脅和引發(fā)不必要的攻擊問題。（四）由于網(wǎng)絡(luò)的應(yīng)用不斷在更新，因此傳統(tǒng)的防火墻技術(shù)很難跟得上，比如當(dāng)下比較常用的視頻會(huì)議和電子政務(wù)，它們基于 Web 技術(shù)，訪問規(guī)則較為復(fù)雜。（五）防火墻不能發(fā)揮因特網(wǎng)的優(yōu)勢，只通過了一部分規(guī)則性的外網(wǎng)服務(wù)，而忽視了大部分的正常的外網(wǎng)通信信息。 加密組織信息采用的是硬、軟件的方法，即通過加密鑰匙、函數(shù)把一個(gè)信息進(jìn)行轉(zhuǎn)換，而接收方得到的密文通常是沒有什么意義的，但是他們還是用一些解密函及相關(guān)的解密鑰匙的途徑將密文最終變成了明文。以上種種做法防止了非法獲取者對(duì)信息內(nèi)容的竊取現(xiàn)象，加密的具體流程如圖：圖 23 加密的模型圖示 最基本的安全技術(shù)通常是加密技術(shù)，除了提供與之相對(duì)應(yīng)的機(jī)密服務(wù)，還在其他相關(guān)安全服務(wù)中也發(fā)揮著重要的作用。共享的、公開的密鑰加密是加密技術(shù)的主要形10 / 60式，在具體的技術(shù)操作中，密碼的算法想要使加密信息和解密信息成為可能，最佳的選擇便是密鑰，密碼的算法中，在保證加密信息安全的前提下，密鑰的長度成為決定加密強(qiáng)度的關(guān)鍵因素。如果密鑰太長，就會(huì)有太多的計(jì)算難題和隨之而來的開銷，這勢必會(huì)消弱系統(tǒng)的性能；反之，密鑰太短，不足以計(jì)算的需要，這樣較容易用光全部的密鑰，大大影響了加密的強(qiáng)度，所以說，一個(gè)加密系統(tǒng)的恰當(dāng)?shù)拿荑€長度是保障其系統(tǒng)安全的重要環(huán)節(jié)。1）共享的密鑰加密技術(shù) 共享密鑰加密（對(duì)稱密鑰加密）是一種較為古老的密碼體制，它加密數(shù)據(jù)、解密數(shù)據(jù)都是采用相同的一個(gè)密鑰，IDEA、DES 是共享密鑰加密最常見的計(jì)算方法。共享密鑰加密技術(shù)的優(yōu)缺點(diǎn)分別是加密、解密速度十分的快和密鑰的管理非常的困難。現(xiàn)具體將管理困難的情況舉例說明。一般情況下，通信雙方交換密鑰是加密技術(shù)的第一步，在 WEB 系統(tǒng)用戶擁擠時(shí)，我們舉出一例：網(wǎng)購中，賣方必須與大量的買方進(jìn)行相關(guān)的物品交易，如若僅僅用簡簡單單的共享加密技術(shù)，賣方的工作量將會(huì)過于繁重，他必須處理數(shù)以千計(jì)的密鑰及眾多的通信對(duì)象，解決了龐大的存儲(chǔ)開銷，密鑰的管理又是一個(gè)相當(dāng)棘手的問題；還有，買賣雙方交換密鑰無論是采用傳統(tǒng)的手段還是現(xiàn)代的因特網(wǎng)技術(shù)，都關(guān)系到信息傳送過程中的安全問題；再有，我們的現(xiàn)實(shí)生活中，密鑰的改換過于頻繁，甚至每次傳輸?shù)拿荑€技術(shù)都是變幻多端的，大大影響了共享密鑰技術(shù)的管理和共享密鑰技術(shù)的發(fā)布效益。現(xiàn)今國際上以共享密鑰加密系統(tǒng)的密鑰長度的 128 比特為標(biāo)準(zhǔn)，來實(shí)現(xiàn)加密系統(tǒng)有效保護(hù)信息的功能。然而，由于國際貿(mào)易的利益不均衡及相關(guān)的貿(mào)易壁壘，進(jìn)出口存在著嚴(yán)重的不公平，其中，進(jìn)口到我國的產(chǎn)品的密鑰長度僅僅在 56 比特以下，如，我們較為常用的瀏覽器和服務(wù)器等，根本無法達(dá)到安全的相關(guān)需要，這無疑制約了我國網(wǎng)絡(luò)技術(shù)的快速發(fā)展。2）公開的密鑰加密技術(shù)公開密鑰加密(不對(duì)稱密鑰加密)系統(tǒng)中，公開密鑰和秘密密鑰是用戶使用的兩個(gè)密鑰，信息的加密和解密都是利用發(fā)方的密鑰，加密是發(fā)方運(yùn)用接收方的公開密鑰來實(shí)現(xiàn)的，而解密是接收方自己通過密鑰解密來實(shí)現(xiàn)的，且它的解密過程是難以逆轉(zhuǎn)的，只有靠秘密密鑰，解密中的方法主要有 RSA 等。我們必須要明確一點(diǎn)，信息的加密和解密適用于任何人。 公開密鑰技術(shù)的用戶在密鑰的發(fā)布方面和管理上具有高度的透明性，同時(shí)又很好地屏蔽了私有密鑰的有關(guān)情況，該技術(shù)同樣還可以用來進(jìn)行身份的認(rèn)證和數(shù)字的簽名。 公開密鑰技術(shù)的劣勢在于加密及解密速度的過于緩慢，它沒有足夠的能力將大量11 / 60的信息傳遞出去，造成系統(tǒng)性能的低下狀況。此外，PKI 技術(shù)的采用將確保非隱蔽性密鑰的高度的真實(shí)性。 目前國際上一致同意只有公鑰密碼系統(tǒng)長度達(dá) 1024 比特的密鑰才能完成保護(hù)信息的任務(wù)。它的局限性跟我們前面提到的共享密鑰系統(tǒng)一樣，也受進(jìn)出口的限制，從國外進(jìn)口來的密鑰長度遠(yuǎn)遠(yuǎn)小于 1024 比特，以 512 比特的長度怎么能發(fā)揮出瀏覽器和服務(wù)器等的優(yōu)勢，以其滿足相關(guān)的一些安全需要呢？在我們生活的電子世界中，簽名已不再局限于手寫形式了，它可以在一定程度上用數(shù)字簽名替換手寫簽名。以前我們對(duì)自己的文章、畫作等的簽名通常采用手寫，來作為一種身份的認(rèn)證，現(xiàn)在一個(gè)電子簽名同樣能起到發(fā)送方的絕對(duì)保真服務(wù)。圖示如下：圖 24 數(shù)字簽名的具體流程 相關(guān)的步驟是：報(bào)文雙方通過具體算法，約定成一個(gè)較為固定的報(bào)文摘寫數(shù)值，這樣，假若報(bào)文的某一方未經(jīng)另一方的同意，私自改動(dòng)位置，新的摘要數(shù)值就會(huì)不符合原先的摘值。這實(shí)際上也是防止報(bào)文亂改現(xiàn)象的一種可行之策。發(fā)送方傳遞報(bào)文的摘值時(shí)用的是私人的密鑰加密方式，接受者將一起收到密文和原報(bào)文，從而出現(xiàn)數(shù)字簽名。接收方在收到簽名后，認(rèn)證報(bào)文是否來自發(fā)送者的方法是計(jì)算傳送過來的摘值，然后與發(fā)送者本人解密的報(bào)文摘值進(jìn)行對(duì)比，相匹配的話就是發(fā)送者的報(bào)文。 數(shù)字簽名優(yōu)于手寫簽名，表現(xiàn)在：數(shù)字簽名緊扣報(bào)文內(nèi)容及擁有者的秘密密鑰，具有不可復(fù)制性和難以篡改性。 12 / 6