【文章內(nèi)容簡介】 風(fēng)險來自于何處。網(wǎng)絡(luò)安全系統(tǒng)必須包括技術(shù)和管理兩方面，涵蓋物理層、系統(tǒng)層、網(wǎng)絡(luò)層、應(yīng)用層和管理層各個層面上的諸多風(fēng)險類。無論哪個層面上的安全措施不到位，都會存在很大的安全隱患，都有可能造成網(wǎng)絡(luò)的中斷。根據(jù)國內(nèi)網(wǎng)絡(luò)系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)和應(yīng)用情況，應(yīng)當從網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全及管理安全等方面進行全面地分析。 風(fēng)險分析是網(wǎng)絡(luò)安全技術(shù)需要提供的一個重要功能。它要連續(xù)不斷地對網(wǎng)絡(luò)中的消息和事件進行檢測，對系統(tǒng)受到侵擾和破壞的風(fēng)險進行分析。風(fēng)險分析必須包括網(wǎng)絡(luò)中所有有關(guān)的成分。 辦公網(wǎng)絡(luò)安全 解決方案 設(shè)計原則 針對網(wǎng)絡(luò)系統(tǒng)實際情況，解決網(wǎng)絡(luò)的安全保密問題是當務(wù)之急，考慮技術(shù)難度及（論文） 11 經(jīng)費等因素，設(shè)計時應(yīng)遵循如下思想： 1．大幅度地提高系統(tǒng)的安全性和保密性； 2．保持網(wǎng)絡(luò)原有的性能特點，即對網(wǎng)絡(luò)的協(xié)議和傳輸具有很好的透明性； 3．易于操作、維護，并便于自動化管理，而不增加或少增加附加操作； 4． 盡量不影響原網(wǎng)絡(luò)拓撲結(jié)構(gòu)，同時便于系統(tǒng)及系統(tǒng)功能的擴展； 5．安全保密系統(tǒng)具有較好的性能價格比，一次性投資，可以長期使用； 6．安全與密碼產(chǎn)品具有合法性，及經(jīng)過國家有關(guān)管理部門的認可或認證； 7．分步實施原則：分級管理 分步實施。 安全策略 針對上述分析，我們采取以下安全策略： 1．采用漏洞掃描技術(shù)，對重要網(wǎng)絡(luò)設(shè)備進行風(fēng)險評估，保證信息系統(tǒng)盡量在最優(yōu)的狀況下運行。 2．采用各種安全技術(shù)，構(gòu)筑防御系統(tǒng)，主要有： (1) 防火墻技術(shù)：在網(wǎng)絡(luò)的對外接口，采用防火墻技 術(shù)，在網(wǎng)絡(luò)層進行訪問控制。 (2) NAT 技術(shù)：隱藏內(nèi)部網(wǎng)絡(luò)信息。 (3) VPN：虛擬專用網(wǎng) (VPN)是企業(yè)網(wǎng)在因特網(wǎng)等公共網(wǎng)絡(luò)上的延伸 ,通過一個私有的通道在公共網(wǎng)絡(luò)上創(chuàng)建一個安全的私有連接。它通過安全的數(shù)據(jù)通道將遠程用戶、公司分支機構(gòu)、公司業(yè)務(wù)伙伴等與公司的企業(yè)網(wǎng)連接起來，構(gòu)成一個擴展的公司企業(yè)網(wǎng)。在該網(wǎng)中的主機將不會覺察到公共網(wǎng)絡(luò)的存在，仿佛所有的機器都處于一個網(wǎng)絡(luò)之中。公共網(wǎng)絡(luò)似乎只由本網(wǎng)絡(luò)在獨占使用，而事實上并非如此。 (4）網(wǎng)絡(luò)加密技術(shù)：采用網(wǎng)絡(luò)加密技術(shù)，對公網(wǎng)中傳輸?shù)?IP 包進行加密和封裝，實現(xiàn) 數(shù)據(jù)傳輸?shù)谋Ｃ苄?、完整性。它可解決網(wǎng)絡(luò)在公網(wǎng)的數(shù)據(jù)傳輸安全性問題，也可解決遠程用戶訪問內(nèi)網(wǎng)的安全問題。 (5) 認證：提供基于身份的認證，并在各種認證機制中可選擇使用。 (6) 多層次多級別的企業(yè)級的防病毒系統(tǒng)：采用多層次多級別的企業(yè)級的防病毒系統(tǒng)，對病毒實現(xiàn)全面的防護。 （論文） 12 (7）網(wǎng)絡(luò)的實時監(jiān)測：采用入侵檢測系統(tǒng)，對主機和網(wǎng)絡(luò)進行監(jiān)測和預(yù)警，進一步提高網(wǎng)絡(luò)防御外來攻擊的能力。 3．實時響應(yīng)與恢復(fù)：制定和完善安全管理制度，提高對網(wǎng)絡(luò)攻擊等實時響應(yīng)與恢復(fù)能力。 4．建立分層管理和各級安全管理中心。 辦公 防御 系統(tǒng) 我們采用防火墻技術(shù)、 NAT 技術(shù)、 VPN 技術(shù)、網(wǎng)絡(luò)加密技術(shù)、身份認證技術(shù)、多層次多級別的防病毒系統(tǒng)、入侵檢測技術(shù)，構(gòu)成網(wǎng)絡(luò)安全的防御系統(tǒng)。 物理安全 物理安全是保護計算機網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導(dǎo)致的破壞過程。 為保證信息網(wǎng)絡(luò)系統(tǒng)的物理安全，還要防止系統(tǒng)信息在空間的擴散。通常是在物理上采取一定的防護措施，來減少或干擾擴散出去的空間信號。這是政府、軍隊、金融機構(gòu)在興建信息中心時首要的設(shè)置的條件。 為保證網(wǎng)絡(luò)的正常運行 ，在物理安全方面應(yīng)采取如下措施： 1．產(chǎn)品保障方面：主要指產(chǎn)品采購、運輸、安裝等方面的安全措施。 2．運行安全方面：網(wǎng)絡(luò)中的設(shè)備，特別是安全類產(chǎn)品在使用過程中，必須能夠從生成廠家或供貨單位得到迅速的技術(shù)支持服務(wù)。對一些關(guān)鍵設(shè)備和系統(tǒng)，應(yīng)設(shè)置備份系統(tǒng)。 3．防電磁輻射方面：所有重要涉密的設(shè)備都需安裝防電磁輻射產(chǎn)品，如輻射干擾機。 4．保安方面：主要是防盜、防火等，還包括網(wǎng)絡(luò)系統(tǒng)所有網(wǎng)絡(luò)設(shè)備、計算機、安全設(shè)備的安全防護。 （論文） 13 防火墻技術(shù) 防火墻是一種網(wǎng)絡(luò)安全保障手段 ,是網(wǎng)絡(luò)通信時執(zhí)行的一種訪問控制尺度 ,其 主要目標就是通過控制入、出一個網(wǎng)絡(luò)的權(quán)限 ,并迫使所有的連接都經(jīng)過這樣的檢查 ,防止一個需要保護的網(wǎng)絡(luò)遭外界因素的干擾和破壞。在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，有效地監(jiān)視了內(nèi)部網(wǎng)絡(luò)和 Inter 之間地任何活動，保證了內(nèi)部網(wǎng)絡(luò)地安全；在物理實現(xiàn)上，防火墻是位于網(wǎng)絡(luò)特殊位置地以組硬件設(shè)備 ―― 路由器、計算機或其他特制地硬件設(shè)備。防火墻可以是獨立地系統(tǒng)，也可以在一個進行網(wǎng)絡(luò)互連地路由器上實現(xiàn)防火墻。用防火墻來實現(xiàn)網(wǎng)絡(luò)安全必須考慮防火墻的網(wǎng)絡(luò)拓撲結(jié)構(gòu)： （ 1）屏蔽路由器：又稱包過濾防火墻。 （ 2）雙穴主機：雙穴主機是包過濾網(wǎng)關(guān)的一種替代。 （ 3）主機過濾結(jié)構(gòu)：這種結(jié)構(gòu)實際上是包過濾和代理的結(jié)合。 （ 4）屏蔽子網(wǎng)結(jié)構(gòu)：這種防火墻是雙穴主機和被屏蔽主機的變形。 根據(jù)防火墻所采用的技術(shù)不同 ,我們可以將它分為四種基本類型 ： 包過濾型、網(wǎng)絡(luò)地址轉(zhuǎn)換 — NAT、代理型和監(jiān)測型。 一． 包過濾型 包過濾型產(chǎn)品是防火墻的初級產(chǎn)品 ,其技術(shù)依據(jù)是網(wǎng)絡(luò)中的分包傳輸技術(shù)。網(wǎng)絡(luò)上的數(shù)據(jù)都是以 “ 包 ” 為單位進行傳輸?shù)?,數(shù)據(jù)被分割成為一定大小的數(shù)據(jù)包 ,每一個數(shù)據(jù)包中都會包含一些特定信息 ,如數(shù)據(jù)的源地址、目標地址、 TCP/UDP 源端口 和目標端口等。防火墻通過讀取數(shù)據(jù)包中的地址信息來判斷這些 “ 包 ” 是否來自可信任的安全站點 ,一旦發(fā)現(xiàn)來自危險站點的數(shù)據(jù)包 ,防火墻便會將這些數(shù)據(jù)拒之門外。系統(tǒng)管理員也可以根據(jù)實際情況靈活制訂判斷規(guī)則。 包過濾技術(shù)的優(yōu)點是簡單實用 ,實現(xiàn)成本較低 ,在應(yīng)用環(huán)境比較簡單的情況下 ,能夠以較小的代價在一定程度上保證系統(tǒng)的安全。 但包過濾技術(shù)的缺陷也是明顯的。包過濾技術(shù)是一種完全基于網(wǎng)絡(luò)層的安全技術(shù) ,只能根據(jù)數(shù)據(jù)包的來源、目標和端口等網(wǎng)絡(luò)信息進行判斷 ,無法識別基于應(yīng)用層的惡意侵入 ,如惡意的 Java 小程序以及電子郵件中附帶的病 毒。有經(jīng)驗的黑客很容易偽造 IP 地址 ,騙過（論文） 14 包過濾型防火墻。 二． 網(wǎng)絡(luò)地址轉(zhuǎn)化 — NAT 網(wǎng)絡(luò)地址轉(zhuǎn)換是一種用于把 IP 地址轉(zhuǎn)換成臨時的、外部的、注冊的 IP 地址標準。它允許具有私有 IP 地址的內(nèi)部網(wǎng)絡(luò)訪問因特網(wǎng)。它還意味著用戶不許要為其網(wǎng)絡(luò)中每一臺機器取得注冊的 IP 地址。在內(nèi)部網(wǎng)絡(luò)通過安全網(wǎng)卡訪問外部網(wǎng)絡(luò)時，將產(chǎn)生一個映射記錄。系統(tǒng)將外出的源地址和源端口映射為一個偽裝的地址和端口，讓這個偽裝的地址和端口通過非安全網(wǎng)卡與外部網(wǎng)絡(luò)連接，這樣對外就隱藏了真實的內(nèi)部網(wǎng)絡(luò)地址。在外部網(wǎng)絡(luò)通過非安全網(wǎng)卡訪問內(nèi)部網(wǎng)絡(luò)時，它并不知 道內(nèi)部網(wǎng)絡(luò)的連接情況，而只是通過一個開放的 IP 地址和端口來請求訪問。 OLM 防火墻根據(jù)預(yù)先定義好的映射規(guī)則來判斷這個訪問是否安全。當符合規(guī)則時，防火墻認為訪問是安全的，可以接受訪問請求，也可以將連接請求映射到不同的內(nèi)部計算機中。當不符合規(guī)則時，防火墻認為該訪問是不安全的，不能被接受，防火墻將屏蔽外部的連接請求。網(wǎng)絡(luò)地址轉(zhuǎn)換的過程對于用戶來說是透明的，不需要用戶進行設(shè)置，用戶只要進行常規(guī)操作即可。 三． 代理型 代理型防火墻也可以被稱為代理服務(wù)器 ,它的安全性要高于包過濾型產(chǎn)品 ,并已經(jīng)開始向應(yīng)用層發(fā)展。代理服務(wù)器位 于客戶機與服務(wù)器之間 ,完全阻擋了二者間的數(shù)據(jù)交流。從客戶機來看 ,代理服務(wù)器相當于一臺真正的服務(wù)器 ； 而從服務(wù)器來看 ,代理服務(wù)器又是一臺真正的客戶機。當客戶機需要使用服務(wù)器上的數(shù)據(jù)時 ,首先將數(shù)據(jù)請求發(fā)給代理服務(wù)器 ,代理服務(wù)器再根據(jù)這一請求向服務(wù)器索取數(shù)據(jù) ,然后再由代理服務(wù)器將數(shù)據(jù)傳輸給客戶機。由于外部系統(tǒng)與內(nèi)部服務(wù)器之間沒有直接的數(shù)據(jù)通道 ,外部的惡意侵害也就很難傷害到企業(yè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)。 代理型防火墻的優(yōu)點是安全性較高 ,可以針對應(yīng)用層進行偵測和掃描 ,對付基于應(yīng)用層的侵入和病毒都十分有效。其缺點是對系統(tǒng)的整體性能有 較大的影響 ,而且代理服務(wù)器必須針對客戶機可能產(chǎn)生的所有應(yīng)用類型逐一進行設(shè)置 ,大大增加了系統(tǒng)管理的復(fù)雜性。 四． 監(jiān)測型 監(jiān)測型防火墻是新一代的產(chǎn)品 ,這一技術(shù)實際已經(jīng)超越了最初的防火墻定義。監(jiān)測型防火墻能夠?qū)Ω鲗拥臄?shù)據(jù)進行主動的、實時的監(jiān)測 ,在對這些數(shù)據(jù)加以分析的基礎(chǔ)上 ,（論文） 15 監(jiān)測型防火墻能夠有效地判斷出各層中的非法侵入。同時 ,這種檢測型防火墻產(chǎn)品一般還帶有分布式探測器 ,這些探測器安置在各種應(yīng)用服務(wù)器和其他網(wǎng)絡(luò)的節(jié)點之中 ,不僅能夠檢測來自網(wǎng)絡(luò)外部的攻擊 ,同時對來自內(nèi)部的惡意破壞也有極強的防范作用。據(jù)權(quán)威機構(gòu)統(tǒng)計 ,在針 對網(wǎng)絡(luò)系統(tǒng)的攻擊中 ,有相當比例的攻擊來自網(wǎng)絡(luò)內(nèi)部。因此 ,監(jiān)測型防火墻不僅超越了傳統(tǒng)防火墻的定義 ,而且在安全性上也超越了前兩代產(chǎn)品 ,雖然監(jiān)測型防火墻安全性上已超越了包過濾型和代理服務(wù)器型防火墻 ,但由于監(jiān)測型防火墻技術(shù)的實現(xiàn)成本較高 ,也不易管理 ,所以目前在實用中的防火墻產(chǎn)品仍然以第二代代理型產(chǎn)品為主 ,但在某些方面也已經(jīng)開始使用監(jiān)測型防火墻?；趯ο到y(tǒng)成本與安全技術(shù)成本的綜合考慮 ,用戶可以選擇性地使用某些監(jiān)測型技術(shù)。這樣既能夠保證網(wǎng)絡(luò)系統(tǒng)的安全性需求 ,同時也能有效地控制安全系統(tǒng)的總擁有成本。 實際上 ,作為當前防火 墻產(chǎn)品的主流趨勢 ,大多數(shù)代理服務(wù)器 (也稱應(yīng)用網(wǎng)關(guān) )也集成了包過濾技術(shù) ,這兩種技術(shù)的混合應(yīng)用顯然比單獨使用具有更大的優(yōu)勢。由于這種產(chǎn)品是基于應(yīng)用的 ,應(yīng)用網(wǎng)關(guān)能提供對協(xié)議的過濾。例如 ,它可以過濾掉 FTP 連接中的 PUT 命令 ,而且通過代理應(yīng)用 ,應(yīng)用網(wǎng)關(guān)能夠有效地避免內(nèi)部網(wǎng)絡(luò)的信息外泄。正是由于應(yīng)用網(wǎng)關(guān)的這些特點 ,使得應(yīng)用過程中的矛盾主要集中在對多種網(wǎng)絡(luò)應(yīng)用協(xié)議的有效支持和對網(wǎng)絡(luò)整體性能的影響上。 五． VPN 技術(shù) VPN 的安全保證主要是通過防火墻技術(shù)、路由器配以隧道技術(shù)、加密協(xié)議和安全密鑰來實現(xiàn)，可以保證企業(yè)員工安 全地訪問公司網(wǎng)絡(luò)。 VPN 有三種解決方案： （ 1）如果企業(yè)的內(nèi)部人員移動或有遠程辦公需要，或者商家要提供 B2C的安全訪問服務(wù)，就可以考慮使用遠程訪問虛擬網(wǎng)（ Access VPN）。 Access VPN 通過一個擁有專用網(wǎng)絡(luò)相同策略的共享基礎(chǔ)設(shè)施，提供對企業(yè)內(nèi)部網(wǎng)或外部網(wǎng)的遠程訪問。 Access VPN能使用戶隨時、隨地以所需的方式訪問企業(yè)資源。最適用于公司內(nèi)部經(jīng)常有流動人員遠程辦公的情況。出差員工利用當?shù)?ISP 提供的 VPN 服務(wù)，就可以和公司的 VPN 網(wǎng)關(guān)建立私有的隧道連接。 （ 2）如果要進行企業(yè)內(nèi)部 各分支機構(gòu)的互連，使用企業(yè)內(nèi)部虛擬網(wǎng) (Intra VPN)是很好的方式。越來越多的企業(yè)需要在全國乃至全世界范圍內(nèi)建立各種辦事機構(gòu)、分公（論文） 16 司、研究所等，各個分公司之間傳統(tǒng)的網(wǎng)絡(luò)連接方式一般是租用專線。顯然，在分公司增多、業(yè)務(wù)范圍越來越廣時，網(wǎng)絡(luò)結(jié)構(gòu)也趨于復(fù)雜，所以花的費用也越來越大。利用 VPN特性可以在 Inter 上組建世界范圍內(nèi)的 Intra VPN。利用 Inter 的線路保證網(wǎng)絡(luò)的互聯(lián)性，利用隧道、加密等 VPN 特性可以保證信息在整個 Inter VPN 上安全傳輸。 （ 3）如果提供 B2B 之間的安全訪問服務(wù)，則可以考慮 Extra VPN。 利用 VPN 技術(shù)可以組建安全的 Extra。既可以向客戶、合作伙伴提供有效的信息服務(wù)，又可以保證自身的內(nèi)部網(wǎng)絡(luò)安全。 Extra VPN 通過一個使用專用連接的共享基礎(chǔ)設(shè)施，將客戶，供應(yīng)商、合作伙伴或興趣群體連接到企業(yè)內(nèi)部網(wǎng)。企業(yè)擁有專用網(wǎng)絡(luò)的相同政策，包括安全、服務(wù)質(zhì)量、可管理性和可靠性。 由于現(xiàn)在越來越多的政府、金融機構(gòu)、企業(yè)等用戶采用 VPN 技術(shù)來構(gòu)建它們的跨越公共網(wǎng)絡(luò)的內(nèi)聯(lián)網(wǎng)系統(tǒng)，因此在設(shè)計中對網(wǎng)絡(luò)傳輸安全部分推薦采用 VPN 設(shè)備來構(gòu)建 內(nèi)聯(lián)網(wǎng)?？稍诿考壒芾碛騼?nèi)設(shè)置一套 VPN 設(shè)備，由 VPN 設(shè)備實現(xiàn)網(wǎng)絡(luò)傳輸?shù)募用鼙Ｗo。根據(jù)企業(yè)三級網(wǎng)絡(luò)結(jié)構(gòu)， VPN 設(shè)置如下圖所示 ： 圖 21 VPN設(shè)置 （論文） 17 每一級的設(shè)置及管理方法相同。即在每一級的中心網(wǎng)絡(luò)安裝一臺 VPN 設(shè)備和一臺VPN 認證服務(wù)器 (VPNCA)，在所屬的直屬單位的網(wǎng)絡(luò)接入處安裝一臺 VPN 設(shè)備，由上級的 VPN 認證服務(wù)器通過網(wǎng)絡(luò)對下一級的 VPN 設(shè)備進行集中統(tǒng)一的網(wǎng)絡(luò)化管理?？蛇_到以下凡個目的 ： (1)網(wǎng)絡(luò)傳輸數(shù)據(jù)保護 由安裝在網(wǎng)絡(luò)上的 VPN設(shè)備實現(xiàn)各內(nèi)部網(wǎng)絡(luò)之間的數(shù)據(jù)傳輸加密保護，并可同時采取加密或隧道的方式進行傳輸 (2)網(wǎng)絡(luò)隔離保護 與 INTERNET 進行隔離，控制內(nèi)網(wǎng)與 INTERNET 的相互訪問 (3)集中統(tǒng)一管理，提高網(wǎng)絡(luò)安全性 (4)降低成本 (設(shè)備成本和維護成本 ) 其中，在各級中心網(wǎng)絡(luò)的 VPN 設(shè)備設(shè)置如下圖 ： 圖 22 圖中心網(wǎng)絡(luò) VPN設(shè)置圖 由一臺 VPN 管理機對 CA 中心 VPN 設(shè)備、分支機構(gòu) VPN 設(shè)備進行統(tǒng)一網(wǎng)絡(luò)管理。將對外服務(wù)器放置于 VPN 設(shè)備的 DMZ 口與內(nèi)部網(wǎng)絡(luò)進行隔離，禁止外網(wǎng)直接訪問內(nèi)網(wǎng)，控制