【文章內(nèi)容簡介】 能證明不會被人發(fā)現(xiàn)安全漏洞 ， 也不能阻止掌握了這種漏洞的人去利用這些網(wǎng)絡(luò)安全問題 。 目前有些軟件采用了這種態(tài)度 ， 事實(shí)上這些安全性比較低的軟件在攻擊者或網(wǎng)絡(luò)安全專家面前 ， 漏洞就很容易被發(fā)現(xiàn) 。 對待計(jì)算機(jī)網(wǎng)絡(luò)安全問題的態(tài)度 第二種是 比較積極的態(tài)度 。 這種態(tài)度認(rèn)為網(wǎng)絡(luò)安全問題不應(yīng)該隱藏 ， 只有不斷地去發(fā)現(xiàn)和解決這些安全問題 ， 才能讓計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)變得更安全 。這種態(tài)度可以 讓用戶知道哪些是安全的 ， 哪些是存在問題的 。 對于存在安全問題的事務(wù)應(yīng)該及時發(fā)現(xiàn) ，并及時進(jìn)行修補(bǔ) 。 如果一個系統(tǒng)經(jīng)受住眾多使用者的考驗(yàn) ， 那么開發(fā)者和使用者就不用擔(dān)心嚴(yán)重的安全問題了 。 對于計(jì)算機(jī)網(wǎng)絡(luò)安全問題，應(yīng)該采用比較積極的態(tài)度，不斷地學(xué)習(xí)與研究，及時獲取網(wǎng)絡(luò)安全的新技術(shù)，修補(bǔ)網(wǎng)絡(luò)安全上的漏洞，保障網(wǎng)絡(luò)的安全。事實(shí)上，很多網(wǎng)絡(luò)安全問題是因?yàn)榫W(wǎng)絡(luò)管理員沒有及時地彌補(bǔ)安全漏洞而導(dǎo)致的。 網(wǎng)絡(luò)信息安全問題的根源 ? 1． 網(wǎng)絡(luò)安全事故發(fā)生的幾個原因 ? 現(xiàn)有網(wǎng)絡(luò)系統(tǒng)和協(xié)議還是不健全、不完善、不安全的； ? 思想麻痹，沒有清醒地意識到黑客入侵所會導(dǎo)致的嚴(yán)重后果，舍不得投入必要的人力、財(cái)力和物力來加強(qiáng)網(wǎng)絡(luò)的安全性； ? 沒有采用正確的安全策略和安全機(jī)制； ? 缺乏先進(jìn)的網(wǎng)絡(luò)安全技術(shù)、工具、手段和產(chǎn)品； ? 缺乏先進(jìn)的災(zāi)難恢復(fù)措施和備份意識。 ? 2． 局域網(wǎng)（站點(diǎn)）安全事故發(fā)生的幾個原因 ? （ 1）網(wǎng)絡(luò)系統(tǒng)的流量； ? （ 2）網(wǎng)絡(luò)提供的和使用的服務(wù)； ? （ 3）網(wǎng)絡(luò)與 Inter的連接方式； ? （ 4）網(wǎng)絡(luò)的知名度； ? （ 5）網(wǎng)絡(luò)對安全事故的準(zhǔn)備情況。 網(wǎng)絡(luò)信息安全策略 ? （ 1）威嚴(yán)的法律：安全的基石是社會法律、法規(guī)和手段，即通過建立與信息安全相關(guān)的法律、法規(guī)，使非法分子懾于法律，不敢輕舉妄動。 ? （ 2）先進(jìn)的技術(shù)：先進(jìn)的技術(shù)是信息安全的根本保障，用戶對自身面臨的威脅進(jìn)行風(fēng)險評估，決定其需要的安全服務(wù)種類。選擇相應(yīng)的安全機(jī)制，然后集成先進(jìn)的安全技術(shù)。 ? （ 3）嚴(yán)格的管理：各網(wǎng)絡(luò)使用機(jī)構(gòu)、企業(yè)和單位應(yīng)建立相應(yīng)的信息安全管理辦法，加強(qiáng)內(nèi)部管理，建立審計(jì)和跟蹤體系，提高整體信息安全意識。 ? 物理安全策略 ? 物理安全策略的目的是保護(hù)計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)服務(wù)器、打印機(jī)等硬件設(shè)備和通信鏈路免受自然災(zāi)害、人為破壞和搭線攻擊；驗(yàn)證用戶的身份和使用權(quán)限，防止用戶越權(quán)操作；確保計(jì)算機(jī)系統(tǒng)有一個良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進(jìn)入計(jì)算機(jī)控制室和各種盜劫、破壞活動的發(fā)生。 ? 訪問控制策略 ? （ 1）入網(wǎng)訪問控制； ? （ 2）網(wǎng)絡(luò)的權(quán)限控制； ? （ 3）目錄級安全控制； ? （ 4）屬性安全控制； ? （ 5）網(wǎng)絡(luò)服務(wù)器安全控制； ? （ 6）網(wǎng)絡(luò)檢測和鎖定控制； ? （ 7）網(wǎng)絡(luò)端口和結(jié)點(diǎn)的安全控制。 ? 防火墻控制 ? 它是控制進(jìn)出兩個方向通信的門檻。在網(wǎng)絡(luò)邊界上通過建立起來的相應(yīng)網(wǎng)絡(luò)通信監(jiān)控系統(tǒng)來隔離內(nèi)部和外部網(wǎng)絡(luò)，以阻擋外部網(wǎng)絡(luò)的侵入。 ? 信息加密策略 ? 信息加密的目的是保護(hù)網(wǎng)內(nèi)的數(shù)據(jù)、文件、口令和控制信息，保護(hù)網(wǎng)上傳輸?shù)臄?shù)據(jù)。 ? 常用的方法有 鏈路加密、端到端加密和節(jié)點(diǎn)加密 三種。 ? 鏈路加密的目的是保護(hù)網(wǎng)絡(luò)結(jié)點(diǎn)之間的鏈路信息安全； ? 端到端加密的目的是對源端用戶到目的端用戶的數(shù)據(jù)提供保護(hù)； ? 節(jié)點(diǎn)加密的目的是對源節(jié)點(diǎn)到目的節(jié)點(diǎn)之間的傳輸鏈路提供保護(hù)。 ? 網(wǎng)絡(luò)安全管理策略 ? 在網(wǎng)絡(luò)安全中，除了采用上述措施之外，加強(qiáng)網(wǎng)絡(luò)的安全管理，制定有關(guān)規(guī)章制度，對于確保網(wǎng)絡(luò)的安全、可靠地運(yùn)行，將起到十分有效的作用。 ? 網(wǎng)絡(luò)的安全管理策略包括： ? 確定安全管理的等級和安全管理的范圍； ? 制定有關(guān)網(wǎng)絡(luò)使用規(guī)程和人員出入機(jī)房管理制度； ? 制定網(wǎng)絡(luò)系統(tǒng)的維護(hù)制度和應(yīng)急措施等。 網(wǎng)絡(luò)信息安全 體系結(jié)構(gòu)與模型 ISO/OSI安全體系結(jié)構(gòu) ? 1982年，開放系統(tǒng)互聯(lián)（ OSI）基本模型建立之初，就開始進(jìn)行 OSI安全體系結(jié)構(gòu)的研究。 1989年 12月 ISO頒布了計(jì)算機(jī)信息系統(tǒng)互聯(lián)標(biāo)準(zhǔn)的第二部分，即 ISO74982標(biāo)準(zhǔn)，并首次確定了開放系統(tǒng)互聯(lián)（ OSI）參考模型的安全體系結(jié)構(gòu)。我國將其稱為 GB／ T93872標(biāo)準(zhǔn)，并予以執(zhí)行。 ISO安全體系結(jié)構(gòu)包括了三部分內(nèi)容：安全服務(wù)、安全機(jī)制和安全管理。 ? 安全服務(wù) ISO安全體系結(jié)構(gòu)確定了五大類安全服務(wù)： ? 認(rèn)證 ? 2 、訪問控制 ? 數(shù)據(jù)保密性 ? 數(shù)據(jù)完整性 ? 不可否認(rèn)（抗抵賴）性 （ 1） 認(rèn)證服務(wù) ? 這種安全服務(wù)提供某個實(shí)體的身份保證。該服務(wù)有兩種類型： ? 對等實(shí)體認(rèn)證 ? 這種安全服務(wù)由 (N)層提供時， (N+1)層實(shí)體可確信對等實(shí)體是它所需要的 (N+1)層實(shí)體。 ? 數(shù)據(jù)源認(rèn)證 ? 在通信的某個環(huán)節(jié)中，需要確認(rèn)某個數(shù)據(jù)是由某個發(fā)送者發(fā)送的。當(dāng)這種安全服務(wù)由 (N)層提供時，可向 (N+1)層實(shí)體證實(shí)數(shù)據(jù)源正是它所需要的對等(N+1)層實(shí)體。 （ 2）訪問控制服務(wù) ? 這種安全服務(wù)提供的保護(hù)，就是對某一些確知身份限制對某些資源（這些資源可能是通過 OSI協(xié)議可訪問的 OSI資源或非 OSI資源）的訪問。這種安全服務(wù)可用于對某個資源的各類訪問（如通信資源的利用，信息資源的閱讀、書寫或刪除，處理資源的執(zhí)行等）或用于對某些資源的所有訪問。 （ 3） 數(shù)據(jù)保密性服務(wù) ? 這種安全服務(wù)能夠提供保護(hù)，使得信息不泄漏、不暴露給那些未授權(quán)就想掌握該信息的實(shí)體。 ? 連接保密性：這種安全服務(wù)向某個 (N)連接的所有 (N)用戶數(shù)據(jù)提供保密性。 ? 無連接保密性：這種安全服務(wù)向單個無連接 (N)安全數(shù)據(jù)單元 (SDU)中的所有 (N)用戶數(shù)據(jù)提供保密性。 ? 選擇字段保密性：這種安全服務(wù)向 (N)連接上的 (N)用戶數(shù)據(jù)內(nèi)或單個無連接 (N)SDU中的被選字段提供保密性。 ? 業(yè)務(wù)流保密性：這種安全服務(wù)防止通過觀察業(yè)務(wù)流以得到有用的保密信息。 （ 4） 數(shù)據(jù)完整性服務(wù) ? 這種安全服務(wù)保護(hù)數(shù)據(jù)在存儲和傳輸中的完整性。 ? ① 帶恢復(fù)的連接完整性：這種安全服務(wù)向某個 (N)連接上的所有 (N)用戶數(shù)據(jù)保證其完整性。它檢測對某個完整的 SDU序列內(nèi)任何一個數(shù)據(jù)遭到的任何篡改、插入、刪除或重放，同時還可以補(bǔ)救恢復(fù)。 ? ② 不帶恢復(fù)的連接完整性：與帶恢復(fù)的連接完整性服務(wù)相同，但不能補(bǔ)救恢復(fù)。 ? ③ 選擇字段連接完整性：這種安全服務(wù)向在某個連接中傳輸?shù)哪硞€ (N)SDU的 (N)用戶數(shù)據(jù)內(nèi)的被選字段提供完整性保護(hù)，并能確定這些字段是否經(jīng)過篡改、插入、刪除或重放。 ? ④ 無連接完整性：這種安全服務(wù)由（ N）層提供，向提出請求的（ N+1）層實(shí)體提供無連接中的數(shù)據(jù)完整性保證。并能確定收到的 SDU是否經(jīng)過篡改；另外，還可以對重放情況進(jìn)行一定程度的檢測。 ? ⑤ 選擇字段無連接完整性：這種安全服務(wù)對單個無連接 SDU中的被選字段的保證其完整性，并能確定被選字段是否經(jīng)過篡改、插入、刪除或重放。 （ 5）不可否認(rèn)服務(wù)（抗抵賴） ? 它主要保護(hù)通信系統(tǒng)不會遭到自系統(tǒng)中其它合法用戶的威脅，而不是來自未知攻擊者的威脅。 ? ① 數(shù)據(jù)源的抗抵賴：向數(shù)據(jù)接收者提供數(shù)據(jù)來源的證據(jù)，以防止發(fā)送者否認(rèn)發(fā)送該數(shù)據(jù)或其內(nèi)容的任何企圖。 ? ② 傳遞過程的抗抵賴：向數(shù)據(jù)發(fā)送者提供數(shù)據(jù)已到目的地的證據(jù)，以防止收信者否認(rèn)接收該數(shù)據(jù)或其內(nèi)容的任何事后的企圖。 ? 安全機(jī)制 ? ISO安全體系結(jié)構(gòu)定義了八大類安全機(jī)制，即： ? 加密 ? 2 、數(shù)據(jù)簽名機(jī)制 ? 3 、訪問控制機(jī)制 ? 4 、數(shù)據(jù)完整性機(jī)制 ? 5 、鑒別交換機(jī)制 ? 6 、業(yè)務(wù)填充機(jī)制 ? 7 、路由控制機(jī)制 ? 8 、公證機(jī)制 （ 1）加密機(jī)制 加密可向數(shù)據(jù)或業(yè)務(wù)流信息提供保密性，并能對其他安全機(jī)制起作用或?qū)λ鼈冞M(jìn)行補(bǔ)充。加密算法可以是可逆或不可逆的，可逆加密算法有以下兩大類： ? ① 對稱 (單鑰 )加密體制：對于這種加密體制，加密與解密用同一個密鑰； ? ② 非對稱 (公鑰 )加密體制：對于這種加密體制，加密與解密用不同的密鑰，這種加密系統(tǒng)的兩個密鑰有時被稱為“公鑰”和“私鑰”。 （ 2）數(shù)字簽名機(jī)制 這種安全機(jī)制由兩個過程構(gòu)成： ? 對數(shù)據(jù)單元簽名過程 ? 這個過程可以利用簽名者私有的（即獨(dú)有和保密的）信息 。 ? 驗(yàn)證簽名的數(shù)據(jù)單元過程 ? 這個過程則要利用公之于眾的規(guī)程和信息，通過它們并不能推出簽名者的私有信息。 （ 3）訪問控制機(jī)制 ? ① 這種安全機(jī)制可以利用某個實(shí)體經(jīng)鑒別的身份或關(guān)于該實(shí)體的信息（比如，某個已知實(shí)體集里的一員），進(jìn)行確定并實(shí)施實(shí)體的訪問權(quán)。 ? ② 實(shí)現(xiàn)好的訪問控制規(guī)則可以建立在下列幾個方式之上。 ? （ a）訪問控制信息庫：它保存著對等實(shí)體對資源的訪問權(quán)限。 ? （ b）鑒別信息：對這種信息的占有和出示便證明正在訪問的實(shí)體已被授權(quán) ? （ c）權(quán)力：實(shí)體對權(quán)力的占有和出示便證明有權(quán)訪問由權(quán)力規(guī)定的實(shí)體或資源 ? （ d）安全標(biāo)記：當(dāng)與某個實(shí)體相關(guān)聯(lián)時，可用于同意或拒絕訪問，通常根據(jù)安全策略而定 ? （ e）訪問時間：可以根據(jù)試圖訪問的時間建立規(guī)則 ? （ f）訪問路由：可以根據(jù)試圖訪問的路由建立規(guī)則 ? （ g）訪問持續(xù)期：還可以規(guī)定某次訪問不可超過一定的持續(xù)時間。 ? ③ 訪問控制機(jī)制可用于通信連接的任何一端或用在中間的任何位置。 （ 4）數(shù)據(jù)完整性機(jī)制 ? ① 數(shù)據(jù)完整性機(jī)制的兩個方面：