【文章內(nèi)容簡介】 術(shù)體系的三維圖示從圖中我們可以看到定量的數(shù)據(jù)表達不存在于三維體系中，在 X 維中，安全服務(wù)是安全機制的上層建筑，且安全機制是借以安全服務(wù)來體現(xiàn)其作用的，安全機制并沒有和協(xié)議層、系統(tǒng)單元有著直接的聯(lián)系。在 X 維中，除了安全體系中鑒別、訪問控制、審計、加密、鑒別交換等八種機制外，還有電磁輻射等物理安全機制，不但有利于數(shù)據(jù)的非泄露性、能用性等功能發(fā)揮意義，而且也將安全機制滲入到物理環(huán)境的安全問題當(dāng)中；在 Y 維中，主要有應(yīng)用層、傳輸層、網(wǎng)絡(luò)層、鏈路層、物理層五層模型，它們基于協(xié)議的各種管理方面的高端技術(shù)，獨立成為一種概念；在 Z 維中，系統(tǒng)構(gòu)成單元有物理環(huán)境、系統(tǒng)平臺、通信平臺、網(wǎng)絡(luò)平臺、應(yīng)用平臺。信息系統(tǒng)安全的組織保障系統(tǒng)就是組織機構(gòu)（管理層、決策層和執(zhí)行層）體系（崗位、機構(gòu)和人事三個模塊） 。決策層是領(lǐng)導(dǎo)機構(gòu)，主要決定重大的安全事宜。首要的負(fù)責(zé)人為單位主管，下設(shè)6 / 60信息系統(tǒng)的重要負(fù)責(zé)人和各部門（國家安全、國家機密、公共安全及公共保密）負(fù)責(zé)人。單位的骨干領(lǐng)導(dǎo)、計算機實力專家和網(wǎng)絡(luò)尖端管理人員則撐起了政府部門的門面。管理層是管理機構(gòu)，管理日常事務(wù)。按照決策層的規(guī)劃協(xié)調(diào)各部門人力物力資源實施安全方案，制定安全決策，為有可能的安全事故設(shè)防，增加部分安全工作崗位。執(zhí)行層是一個群體，具體針對某一個或幾個特定的安全事務(wù)問題。它在管理層的協(xié)調(diào)下分布范圍比較廣泛，比如，各個崗位上、不同的操作層。崗位不屬于機構(gòu)體系，它只是一種職位，是一種序列，在管理機構(gòu)的設(shè)定下，由人事機構(gòu)全權(quán)管理。崗位分為若干層次，往上有直屬領(lǐng)導(dǎo)，一個人不能一次性從事具體的安全系統(tǒng)管理和業(yè)務(wù)事項，但卻可以著手不同個安全崗位，這是由系統(tǒng)安全需求在安全管理機關(guān)運行下設(shè)定的負(fù)責(zé)某一個、幾個安全事務(wù)的特點決定的。崗位在職人員、待職人員、離職人員的素質(zhì)教育、業(yè)務(wù)總評、安全監(jiān)督等需要人事機構(gòu)。人事機構(gòu)本身就是管理機構(gòu)的下設(shè)部門，它的活動范圍只能在國家相關(guān)法律法規(guī)、政策措施之內(nèi)。管理素來被稱為信息系統(tǒng)安全的靈魂，法律、制度和培訓(xùn)管理是其組成部分。法律管理具有規(guī)范和約束作用，它必須遵守國家的相關(guān)法律，切實處理好信息系統(tǒng)主體與客體之間的關(guān)系。法律管理的強有力的約束能力和層次分明的管理對信息系統(tǒng)主體的行為活動起著很大的作用，同時它還占據(jù)著信息系統(tǒng)安全的絕對行為規(guī)則。制度管理由一系列非外部的制度規(guī)章組成，它制定規(guī)章制度必須以信息系統(tǒng)內(nèi)部的非隱患需要為依據(jù)，它一般將法律法規(guī)和實施對象連接起來，確保工作的具體到位，在一定形式上形式化了法律的管理。制度管理涉及的主要方面有：安全管理機構(gòu)和執(zhí)行機構(gòu)在崗位的設(shè)定及具體操作、員工素質(zhì)的培養(yǎng)、內(nèi)外關(guān)系的協(xié)調(diào)等方面以特定的行為規(guī)范。培訓(xùn)管理培訓(xùn)了一大批投身于安全業(yè)務(wù)、安全管理方面的人才，也栽培了絕大多數(shù)從事信息系統(tǒng)工作的人員，這就為信息系統(tǒng)的安全提供了前提條件。它具體有律法法規(guī)、崗位實踐、業(yè)務(wù)水平、業(yè)務(wù)素質(zhì)、技術(shù)技能等培訓(xùn)，當(dāng)然培訓(xùn)管理也較重視常見安全和在職崗位特殊安全意識的有機結(jié)合。 網(wǎng)絡(luò)安全技術(shù) 網(wǎng)絡(luò)安全龐雜無比，自然少不了一些常見的安全技術(shù)，才能推動此項浩大工程的進程。7 / 60“防火墻” [4] 是一整套的裝置，既可以控制不同網(wǎng)絡(luò)之間的訪問人數(shù)，又可以監(jiān)管應(yīng)用層流動的網(wǎng)絡(luò)量。換種說法，防火墻在高度保護內(nèi)、外部網(wǎng)安全的前提下，使所有的信息無巨細(xì)地強制性地流經(jīng)過內(nèi)、外部網(wǎng)，并對所有進進出出防火墻的數(shù)據(jù)資源進行檢測、限制、修改，從而保證了內(nèi)部網(wǎng)絡(luò)系統(tǒng)的安全，非法侵入者只會無功而返。在這里，我們需要說明的是，內(nèi)部網(wǎng)也被稱為可信網(wǎng)絡(luò)，外部網(wǎng)也被稱作不可信網(wǎng)絡(luò)，比如因特網(wǎng)。 防火墻的設(shè)置原則是：（1）禁止即未被允許；（2）允許即未被禁止。兩條原則各有其利弊，優(yōu)勢為：第一條原則認(rèn)真選擇服務(wù)內(nèi)容，保證了絕對的安全；第二條原則靈活多變，先將全部信息流通過防火墻，再逐條檢測屏蔽一切有害的服務(wù)項，為廣大用戶提供了安全的使用環(huán)境。劣勢為：第一條原則應(yīng)用效率不高，主要受制于一味追求高安全，刻板呆滯，大大損傷了網(wǎng)絡(luò)用戶的方便；第二條原則雖然發(fā)揮防火墻的巨大作用屏蔽了很多有害的服務(wù)，但是網(wǎng)絡(luò)是不斷發(fā)展的，隨著地域范圍的擴大和網(wǎng)絡(luò)服務(wù)的多樣化，網(wǎng)絡(luò)工作者將會殫精竭慮，可靠安全的網(wǎng)絡(luò)防護難免會出差錯。當(dāng)今防火墻以代理的服務(wù)器、包過濾、網(wǎng)關(guān)的服務(wù)器為核心技術(shù)，以網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)、配置技術(shù)和位置技術(shù)的有度使用為輔助技術(shù)。1) 數(shù)據(jù)包過濾的有關(guān)技術(shù)網(wǎng)絡(luò)防火墻技術(shù)的最基本的構(gòu)件除了技術(shù)、還包括包過濾（在網(wǎng)絡(luò)的 OSI 模型網(wǎng)絡(luò)層將數(shù)據(jù)包有選擇性地篩選）原理，篩選判據(jù)通常為系統(tǒng)內(nèi)部設(shè)計的接入控制表，有時也叫做過濾邏輯。在嚴(yán)格遵守 TCP 或者是 IP 協(xié)議技術(shù)的網(wǎng)絡(luò)中，數(shù)據(jù)是通過數(shù)據(jù)包的形式進行傳送的，這樣數(shù)據(jù)包的本源的地址、目標(biāo)的地址、UDP 源端口、TCP 源目標(biāo)端口及它們的不同組合等就會在數(shù)據(jù)流中 IP 包中檢查出來，并判斷應(yīng)不應(yīng)該讓數(shù)據(jù)包順利通過。一般來說，數(shù)據(jù)包除了符合過濾規(guī)則之外，其它不合理的統(tǒng)統(tǒng)從數(shù)據(jù)流中被清除殆盡，那些符合規(guī)則的就被轉(zhuǎn)發(fā)到對應(yīng)的目的地輸出端口。包過濾的該種防火墻技術(shù)一般而言被裝在網(wǎng)絡(luò)路由器上，差不多所有的商業(yè)運用的路由器又有相應(yīng)的包過濾的功能。包過濾技術(shù)有它的優(yōu)點，也有它的缺點。優(yōu)點是：成本較低，實用不繁瑣，能以最小的投入獲取最大的效益，確保了一定程度上系統(tǒng)的安全。缺點主要有三點：第一： 數(shù)據(jù)包的網(wǎng)絡(luò)保護功能受制于包過濾的工具的完美與否，數(shù)據(jù)包的過濾規(guī)則需要非常完美的工具才能得以實現(xiàn)，可是實際上包過濾的工具很不完美。第二：包過濾技術(shù)是網(wǎng)絡(luò)應(yīng)用層的安全性技術(shù)，它只能在該范圍內(nèi)發(fā)揮作用，一旦涉及到通過網(wǎng)絡(luò)高協(xié)議層的信息的保護和理解等問題時，他將難以勝任安全防護的任務(wù)。第三：由于數(shù)據(jù)包過濾邏輯是非動態(tài)指定的，因此動態(tài)分配、隨機分配等端口的服8 / 60務(wù)（遠程過程控制、基于遠程控制的協(xié)議網(wǎng)絡(luò)文件系統(tǒng)）將難以實現(xiàn)非常有效的過濾，它只能實現(xiàn)靜態(tài)狀態(tài)下系統(tǒng)的操作和工作量的維護等目標(biāo)。包過濾技術(shù)不斷進行自身技術(shù)的提高，狀態(tài)監(jiān)測型防火墻就是很好的體現(xiàn)。這種防火墻是一種軟件引擎，在鏈路層和網(wǎng)絡(luò)層之間實現(xiàn)安全的相互對接，執(zhí)行相關(guān)的安全策略，被叫做檢測模塊。狀態(tài)監(jiān)測型防火墻分析各層的網(wǎng)絡(luò)通信、提取一些通信信息和相關(guān)狀態(tài)信息、存貯或者革新狀態(tài)信息及上下文信息，為的就是能夠讓累積數(shù)據(jù)滿足于下一個的通信檢查。狀態(tài)監(jiān)測型防火墻能夠大額度的提供非靜態(tài)分配端口協(xié)議層應(yīng)用的高度支持，這樣就無形中減少了相應(yīng)端口的開放時間的長度，還有一點值得注意，該防火墻沒有鑒別用戶的機制，它不反對外部客戶和內(nèi)部主機之間的非間接性連接狀態(tài)。2）網(wǎng)關(guān)服務(wù)器的相關(guān)情況 網(wǎng)關(guān)服務(wù)器也是一種防火墻，適用于特定的因特網(wǎng)服務(wù)（HTTP/FTP） ，它的物理位置位于 OSI 相關(guān)的七層協(xié)議的應(yīng)用層，在該層上，它由所要求的應(yīng)用過濾一些訪問問題。網(wǎng)關(guān)服務(wù)器以中心點為據(jù)點，分類、登陸、分析、仲裁全部的請求，并杜絕存在非危險威脅的程序通過防火墻，但它也有自身的缺陷問題，即鼓勵內(nèi)部的主機和外部的客戶之間的非間接連接。3）代理服務(wù)器的有關(guān)介紹代理服務(wù)器由服務(wù)器端、客戶端程序組成，它是一種專門的服務(wù)器程序，運行在防火墻的主機上，它采用的技術(shù)主要是應(yīng)用協(xié)議的代理服務(wù)。為了防止網(wǎng)絡(luò)數(shù)據(jù)在內(nèi)外網(wǎng)絡(luò)之間直接流動，代理服務(wù)器與因特網(wǎng)之間的網(wǎng)絡(luò)通訊協(xié)議是通過標(biāo)準(zhǔn)的 IP 實現(xiàn)的，而與內(nèi)部網(wǎng)絡(luò)之間則沒有太嚴(yán)格的 IP 等協(xié)議通訊。代理服務(wù)器方式下，內(nèi)外網(wǎng)絡(luò)是不能直接通訊的。代理服務(wù)器的優(yōu)點是通過用戶對因特網(wǎng)服務(wù)的請求來體現(xiàn)的。首先，它得把相關(guān)的請求轉(zhuǎn)化為實際的服務(wù)內(nèi)容，并保證安全有效，這樣，內(nèi)部的網(wǎng)絡(luò)計算機可以限制對外部計算機的訪問情況，屏蔽被保護的網(wǎng)絡(luò)的內(nèi)部結(jié)構(gòu)，加強網(wǎng)絡(luò)的安全性能，同樣，數(shù)據(jù)流的有效監(jiān)制、詳細(xì)記錄、完整過濾、合理審計等也適用于代理服務(wù)器。 代理技術(shù)的缺點有三點：第一：一對一的客戶請求與內(nèi)網(wǎng)用戶創(chuàng)建，勢必造成內(nèi)網(wǎng)用戶過于密集，導(dǎo)致效率的相當(dāng)?shù)拖?。第二：代理的不透明性，妨礙了用戶訪問因特網(wǎng)的知情權(quán)，相關(guān)客戶的軟件系統(tǒng)在內(nèi)部計算的訪問中直接被屏蔽。第三：代理技術(shù)缺乏靈活度，它需要對每一種的協(xié)議都設(shè)定相應(yīng)的代理服務(wù)器，增加了工作的不方便。代理服務(wù)器的工作原理圖示：9 / 60圖 22 工作原理圖示4）其它類型的一些防火墻技術(shù)防火墻技術(shù)類型眾多，其中，屏蔽主機的防火墻、雙宿主機的防火墻、屏蔽子網(wǎng)的防火墻等是通過復(fù)合包過濾技術(shù)、網(wǎng)關(guān)服務(wù)器技術(shù)、代理服務(wù)器技術(shù)的“綜合型防火墻” ，這些防火墻技術(shù)更加有利于網(wǎng)絡(luò)安全的保障和運行方式大的靈活多樣。 防火墻技術(shù)的缺點主要包括五點：（一）防火墻技術(shù)的內(nèi)部網(wǎng)絡(luò)防護遠遠低于外部網(wǎng)絡(luò)防護。（二）對人為的攻擊手足無措，造成安全隱患。（三）不能識別內(nèi)部人員的有誤操作、有意泄露等，而造成威脅和引發(fā)不必要的攻擊問題。（四）由于網(wǎng)絡(luò)的應(yīng)用不斷在更新，因此傳統(tǒng)的防火墻技術(shù)很難跟得上，比如當(dāng)下比較常用的視頻會議和電子政務(wù)，它們基于 Web 技術(shù)，訪問規(guī)則較為復(fù)雜。（五）防火墻不能發(fā)揮因特網(wǎng)的優(yōu)勢，只通過了一部分規(guī)則性的外網(wǎng)服務(wù)，而忽視了大部分的正常的外網(wǎng)通信信息。 加密組織信息采用的是硬、軟件的方法，即通過加密鑰匙、函數(shù)把一個信息進行轉(zhuǎn)換，而接收方得到的密文通常是沒有什么意義的，但是他們還是用一些解密函及相關(guān)的解密鑰匙的途徑將密文最終變成了明文。以上種種做法防止了非法獲取者對信息內(nèi)容的竊取現(xiàn)象，加密的具體流程如圖：圖 23 加密的模型圖示 最基本的安全技術(shù)通常是加密技術(shù)，除了提供與之相對應(yīng)的機密服務(wù)，還在其他相關(guān)安全服務(wù)中也發(fā)揮著重要的作用。共享的、公開的密鑰加密是加密技術(shù)的主要形10 / 60式，在具體的技術(shù)操作中，密碼的算法想要使加密信息和解密信息成為可能，最佳的選擇便是密鑰，密碼的算法中，在保證加密信息安全的前提下，密鑰的長度成為決定加密強度的關(guān)鍵因素。如果密鑰太長，就會有太多的計算難題和隨之而來的開銷，這勢必會消弱系統(tǒng)的性能；反之，密鑰太短，不足以計算的需要，這樣較容易用光全部的密鑰，大大影響了加密的強度，所以說，一個加密系統(tǒng)的恰當(dāng)?shù)拿荑€長度是保障其系統(tǒng)安全的重要環(huán)節(jié)。1）共享的密鑰加密技術(shù) 共享密鑰加密（對稱密鑰加密）是一種較為古老的密碼體制，它加密數(shù)據(jù)、解密數(shù)據(jù)都是采用相同的一個密鑰，IDEA、DES 是共享密鑰加密最常見的計算方法。共享密鑰加密技術(shù)的優(yōu)缺點分別是加密、解密速度十分的快和密鑰的管理非常的困難。現(xiàn)具體將管理困難的情況舉例說明。一般情況下，通信雙方交換密鑰是加密技術(shù)的第一步，在 WEB 系統(tǒng)用戶擁擠時，我們舉出一例：網(wǎng)購中，賣方必須與大量的買方進行相關(guān)的物品交易，如若僅僅用簡簡單單的共享加密技術(shù)，賣方的工作量將會過于繁重，他必須處理數(shù)以千計的密鑰及眾多的通信對象，解決了龐大的存儲開銷，密鑰的管理又是一個相當(dāng)棘手的問題；還有，買賣雙方交換密鑰無論是采用傳統(tǒng)的手段還是現(xiàn)代的因特網(wǎng)技術(shù)，都關(guān)系到信息傳送過程中的安全問題；再有，我們的現(xiàn)實生活中，密鑰的改換過于頻繁，甚至每次傳輸?shù)拿荑€技術(shù)都是變幻多端的，大大影響了共享密鑰技術(shù)的管理和共享密鑰技術(shù)的發(fā)布效益?，F(xiàn)今國際上以共享密鑰加密系統(tǒng)的密鑰長度的 128 比特為標(biāo)準(zhǔn)，來實現(xiàn)加密系統(tǒng)有效保護信息的功能。然而，由于國際貿(mào)易的利益不均衡及相關(guān)的貿(mào)易壁壘，進出口存在著嚴(yán)重的不公平，其中，進口到我國的產(chǎn)品的密鑰長度僅僅在 56 比特以下，如，我們較為常用的瀏覽器和服務(wù)器等，根本無法達到安全的相關(guān)需要，這無疑制約了我國網(wǎng)絡(luò)技術(shù)的快速發(fā)展。2）公開的密鑰加密技術(shù)公開密鑰加密(不對稱密鑰加密)系統(tǒng)中，公開密鑰和秘密密鑰是用戶使用的兩個密鑰，信息的加密和解密都是利用發(fā)方的密鑰，加密是發(fā)方運用接收方的公開密鑰來實現(xiàn)的，而解密是接收方自己通過密鑰解密來實現(xiàn)的，且它的解密過程是難以逆轉(zhuǎn)的，只有靠秘密密鑰，解密中的方法主要有 RSA 等。我們必須要明確一點，信息的加密和解密適用于任何人。 公開密鑰技術(shù)的用戶在密鑰的發(fā)布方面和管理上具有高度的透明性，同時又很好地屏蔽了私有密鑰的有關(guān)情況，該技術(shù)同樣還可以用來進行身份的認(rèn)證和數(shù)字的簽名。 公開密鑰技術(shù)的劣勢在于加密及解密速度的過于緩慢，它沒有足夠的能力將大量11 / 60的信息傳遞出去，造成系統(tǒng)性能的低下狀況。此外，PKI 技術(shù)的采用將確保非隱蔽性密鑰的高度的真實性。 目前國際上一致同意只有公鑰密碼系統(tǒng)長度達 1024 比特的密鑰才能完成保護信息的任務(wù)。它的局限性跟我們前面提到的共享密鑰系統(tǒng)一樣，也受進出口的限制，從國外進口來的密鑰長度遠遠小于 1024 比特，以 512 比特的長度怎么能發(fā)揮出瀏覽器和服務(wù)器等的優(yōu)勢，以其滿足相關(guān)的一些安全需要呢？在我們生活的電子世界中，簽名已不再局限于手寫形式了，它可以在一定程度上用數(shù)字簽名替換手寫簽名。以前我們對自己的文章、畫作等的簽名通常采用手寫，來作為一種身份的認(rèn)證，現(xiàn)在一個電子簽名同樣能起到發(fā)送方的絕對保真服務(wù)。圖示如下：圖 24 數(shù)字簽名的具體流程 相關(guān)的步驟是：報文雙方通過具體算法，約定成一個較為固定的報文摘寫數(shù)值，這樣，假若報文的某一方未經(jīng)另一方的同意，私自改動位置，新的摘要數(shù)值就會不符合原先的摘值。這實際上也是防止報文亂改現(xiàn)象的一種可行之策。發(fā)送方傳遞報文的摘值時用的是私人的密鑰加密方式，接受者將一起收到密文和原報文，從而出現(xiàn)數(shù)字簽名。接收方在收到簽名后，認(rèn)證報文是否來自發(fā)送者的方法是計算傳送過來的摘值，然后與發(fā)送者本人解密的報文摘值進行對比，相匹配的話就是發(fā)送者的報文。 數(shù)字簽名優(yōu)于手寫簽名，表現(xiàn)在：數(shù)字簽名緊扣報文內(nèi)容及擁有者的秘密密鑰，具有不可復(fù)制性和難以篡改性。 12 / 6