【文章內(nèi)容簡介】 要包括設(shè)備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護等；③媒體安全：包括媒體數(shù)據(jù)的安全及媒體本身的安全。顯然，為保證信息網(wǎng)絡系統(tǒng)的物理安全，除在網(wǎng)絡規(guī)劃和場地、環(huán)境等方面要求之外，還要防止系統(tǒng)信息在空間的擴散。計算機系統(tǒng)通過電磁輻射使信息被截獲而失秘的案例已經(jīng)很多，在理論和技術(shù)支持下的驗證工作也證實這種截取距離在幾百甚至可達千米的復原顯示給計算機系統(tǒng)信息的保密工作帶來了極大的危害。為了防止系統(tǒng)中的信息在空間上的擴散，通常是在物理上安裝一定的防護措施，來減少或干擾擴散出去的空間信號，這成為政府、軍事、金融機構(gòu)在建設(shè)信息中心時首要考慮的問題。[2]訪問控制是網(wǎng)絡安全防范和保護的主要策略，它的主要任務是保證網(wǎng)絡資源不被非法使用和非法訪問，它也是維護網(wǎng)絡系統(tǒng)安全、保護網(wǎng)絡資源的重要手段。各種安全策略必須配合才能真正起到保護作用。訪問控制可以說是保證網(wǎng)絡安全最重要的核心策略之一。入網(wǎng)訪問控制為網(wǎng)絡訪問提供了第一層訪問控制，它控制哪些用戶能夠登錄到服務器并獲取網(wǎng)絡資源，控制準許用戶入網(wǎng)的時間和準許他們在哪臺工作站上入網(wǎng)。用戶的入網(wǎng)訪問控制分為三個步驟：用戶名的識別與驗證、用戶口令的識別與驗證、用戶賬號的缺省限制檢查。三道關(guān)卡中只要任何一關(guān)未過，該用戶便不能進入該網(wǎng)絡。用戶名或用戶賬號是所有計算機中最基本的安全形式。實際上，這種“用戶 ID+密碼”的方法來進行用戶的身份認證和訪問控制的方案隱含著一些問題。例如，密碼容易被忘記，如果用戶忘記了他的密碼，就不能進入系統(tǒng)。另外，密碼被別人盜取則更是一件可怕的事情，因為用心不良的人可能會進一步竊取公司機密數(shù)據(jù)、可能會盜用別人的名義做不正當?shù)氖虑?，甚至從銀行、ATM 終端上提取別人的巨額存款。隨著科技的進步，生物識別（Biometric）技術(shù)已經(jīng)開始走入了我們的日常生活之中。目前在世界上許多公司和研究機構(gòu)都在生物識別技術(shù)的研究中取得一些突破性技術(shù)，從而推出了許多新產(chǎn)品。目前比較流行的是虹膜識別技術(shù)和指紋識別技術(shù)。指紋識別作為識別技術(shù)已經(jīng)有很長的歷史了，它通過分析指紋的全局特征和指紋的局部特征，并從中抽取非常詳盡的特征值來確認一個人的身份。平均每個指紋都有幾個獨一無二可測量的特征點，每個特征點都有大約七個特征，我們的十個手指產(chǎn)生最少4900個獨立可測量的特征，這足夠來確認指紋識別是否是一個更加可靠的鑒別方式。另外，掃描指紋的速度很快，使用非常方便；讀取指紋時，用戶必須將手指與指紋采集頭相互接觸，與指紋采集頭直接接觸是讀取人體生物特征最可靠的方法；指紋采集頭可以更加小型化，并且價格會更加的低廉。這都是指紋識別技術(shù)能夠占領(lǐng)大部分市場的主要原因。網(wǎng)絡的權(quán)限控制是針對網(wǎng)絡非法操作所提出的一種安全保護措施。用戶和用戶組被賦予一定的權(quán)限。網(wǎng)絡控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其它資源。[3]可以指定用戶對這些文件、目錄、設(shè)備能夠執(zhí)行哪些操作。我們可以根據(jù)訪問權(quán)限將用戶分為以下幾類：①特殊用戶（即系統(tǒng)管理員）；②一般用戶，系統(tǒng)管理員根據(jù)他們的實際需要為他們分配操作權(quán)限；⑧審計用戶。負責網(wǎng)絡的安全控制與資源使用情況的審計。用戶網(wǎng)絡資源的訪問權(quán)限可以用一個訪問控制表來描述。 屬性安全控制當用文件、目錄和網(wǎng)絡設(shè)備時，網(wǎng)絡系統(tǒng)管理員應給文件、目錄等指定訪問屬性。屬性安全控制可以將給定的屬性與網(wǎng)絡服務器的文件、目錄和網(wǎng)絡設(shè)備聯(lián)系起來。屬性安全在權(quán)限安全的基礎(chǔ)上提供更進一步的安全性。網(wǎng)絡上的資源都應預先標出一組安全屬性，用戶對網(wǎng)絡資源的訪問權(quán)限對應一張訪問控制表，用以表明用戶對資源的訪問能力。屬性設(shè)置可以覆蓋已經(jīng)指定的任何有效權(quán)限。網(wǎng)絡的屬性可以保護重要的目錄和文件，防止用戶對目錄和文件的誤刪除、執(zhí)行修改和顯示等。網(wǎng)絡管理員應對網(wǎng)絡實施監(jiān)控，服務器應記錄用戶對網(wǎng)絡資源的訪問，對非法的網(wǎng)絡訪問，服務器應以圖形、文字、聲音、短消息等形式報警，以引起網(wǎng)絡管理員的注意。如果不法之徒試圖進入網(wǎng)絡，網(wǎng)絡服務器應會自動記錄企圖嘗試進入網(wǎng)絡的次數(shù)，如果非法訪問的次數(shù)達到設(shè)定數(shù)值，那么該賬戶將被自動鎖定。防火墻是近期發(fā)展起來的一種保護計算機網(wǎng)絡安全的技術(shù)性措施。它是一個用以阻止網(wǎng)絡中的黑客訪問某個機構(gòu)網(wǎng)絡的屏障，也可稱之為控制進／出兩個方向的門檻，它用于加強網(wǎng)絡間的訪問控制，防止外部用戶非法使用內(nèi)部網(wǎng)的資源，保護內(nèi)部網(wǎng)絡的設(shè)備不被破壞，防止內(nèi)部網(wǎng)絡的敏感數(shù)據(jù)竊取。從實現(xiàn)上看，防火墻實際上是一個獨立的進程或一組緊密聯(lián)系的進程，運行于路由器或服務器上，控制經(jīng)過它們的網(wǎng)絡應用服務及傳輸?shù)臄?shù)據(jù)。目前較流行的一種防火墻是代理防火墻，又稱為應用層網(wǎng)關(guān)級防火墻，它由代理服務器和過濾路由器組成，它將過濾路由器和軟件代理技術(shù)結(jié)合在一起。過濾路由器負責網(wǎng)絡互連，并對數(shù)據(jù)進行嚴格選擇，然后將篩選過的數(shù)據(jù)傳送給代理服務器。代理服務器起到外部網(wǎng)絡申請訪問內(nèi)部網(wǎng)絡的中間轉(zhuǎn)接作用，其功能類似于一個數(shù)據(jù)轉(zhuǎn)發(fā)器，它主要控制哪些用戶能訪問哪些服務類型。當外部網(wǎng)絡向內(nèi)部網(wǎng)絡申請某種網(wǎng)絡服務時，代理服務器接受申請，然后根據(jù)其服務類型、服務內(nèi)容、被服務的對象、服務者申請的時間、申請者的域名范圍來決定是否接受此項服務，若接受，它就向內(nèi)部網(wǎng)絡轉(zhuǎn)發(fā)這項請求。在各類網(wǎng)絡安全技術(shù)中，加密技術(shù)是基礎(chǔ)。信息加密的目的是保護網(wǎng)內(nèi)的數(shù)據(jù)、文件、口令和控制信息，保護網(wǎng)上傳輸?shù)臄?shù)據(jù)。信息加密是保證信息機密性的惟一方法。加密的基本思想是通過變換信息的表示形式來偽裝需要保護的敏感信息，將機密信息變成難以讀懂的亂碼型文字。據(jù)不完全統(tǒng)計，目前已經(jīng)公開發(fā)表的各種加密算法多達數(shù)百種。如果以密鑰為標準，可以將這些算法分為單鑰密碼（又稱對稱密鑰或私鑰密碼）和雙鑰密碼（又稱非對稱密碼或公鑰密碼）。單鑰密碼的特點是無論加密還是解密都使用同一種密鑰，因此，此密碼體制的安全性就是密鑰的安全。若密鑰泄漏，則此密碼系統(tǒng)就被攻破。最有影響的單鑰密碼是 1997年美國國家標準局頒布的DES算法，最近頒布的AES算法作為 DES算法的替代，正在逐漸被人們接受。單鑰密碼的優(yōu)點是安全性高，加解碼速度快。它的缺點是：密鑰的管理困難；無法解決消息確認問題；缺乏自動檢測密鑰泄漏的能力。在雙鑰體制下，加密密鑰與解密密鑰不同，此時不需要安全信道來傳送密鑰，而只需利用本地密鑰發(fā)生器產(chǎn)生解密密鑰，并以此來控制解密操作。由于雙鑰密碼體制的加密和解密不同，且能公開加密密鑰，而僅需保密解密密鑰，所以不存在密鑰管理問題。雙鑰密碼還有一個優(yōu)點就是可以擁有數(shù)字簽名等新功能。最有名的雙鑰密碼是1977年由 Rivest、Shamir和 Adleman提出來的RSA密碼體制。雙鑰密碼的缺點是算法比較復雜，加解密速度慢。在實際使用過程中，加密通常是采用單鑰和雙鑰密碼相結(jié)合的混合加密體制，即加／解密時采用單鑰密碼，傳送密鑰時采用雙鑰密碼。這樣既解決了密鑰管理的困難，又解決了加／解密速度慢的問題。這無疑是目前解決網(wǎng)絡上傳輸信息安全問題的一種較好的解決辦法。面對網(wǎng)絡安全的脆弱性，除了在網(wǎng)絡設(shè)計上增加安全服務功能，完善系統(tǒng)的安全保密措施外，還必須花大力氣加強網(wǎng)絡的安全管理，因為諸多的不安全因素恰恰反映在組織管理和人員錄用等方面，而這又是計算機網(wǎng)絡安全所必須考慮的基本問題，所以應引起各計算機網(wǎng)絡應用部門領(lǐng)導的重視。網(wǎng)絡安全管理的根本目標是保證網(wǎng)絡和系統(tǒng)的可用性。網(wǎng)絡的安全管理涉及網(wǎng)絡安全規(guī)劃、網(wǎng)絡安全管理機構(gòu)、網(wǎng)絡安全管理系統(tǒng)和網(wǎng)絡安全教育等。它的具體內(nèi)容包括：標識要保護的對象；確定保護的手段；找出可能的威脅；實現(xiàn)具體的安全措施；要求有較好的性價比；了解網(wǎng)絡的安全狀態(tài)，根據(jù)情況變化重新評估并改進安全措施。[4]其中，安全管理原則包括：每一項與安全有關(guān)的活動，都必須有兩人或多人在場。這些人應是系統(tǒng)主管領(lǐng)導指派的，他們忠誠可靠，能勝任此項工作；他們應該簽署工作情況記錄以證明安全工作已得到保障。以下各項是與安全有關(guān)的活動：①訪問控制使用權(quán)限的發(fā)放與回收；②信息處理系統(tǒng)使用的媒介發(fā)放與回收；③處理保密信息；④硬件和軟件的維護；⑤系統(tǒng)軟件的設(shè)計、實現(xiàn)和修改；⑥重要程序和數(shù)據(jù)的刪除和銷毀等。 任期有限原則一般地講，任何人最好不要長期擔任與安全有關(guān)的職務，以免使他認為這個職務是專有的或永久性的。為遵循任期有限原則，工作人員應不定期地循環(huán)任職，強制實行休假制度，并規(guī)定對工作人員進行輪流培訓，以使任期有限制度切實可行。在信息處理系統(tǒng)工作的人員不要打聽、了解或參與職責以外的任何與安全有關(guān)的事情，除非系統(tǒng)主管領(lǐng)導批準。出于對安全的考慮。下面每組內(nèi)的兩項信息處理工作應當分開。①計算機操作與計算機編程；②機密資料的接收和傳送；③安全管理和系統(tǒng)管理；④應用程序和系統(tǒng)程序的編制；⑤訪問證件的管理與其它工作；⑥計算機操作與信息處理系統(tǒng)使用媒介的保管等。信息系統(tǒng)的安全管理部門應根據(jù)管理原則和該系統(tǒng)處理數(shù)據(jù)的保密性，制訂相應的管理制度或采用相應的規(guī)范。具體工作是①根據(jù)工作的重要程度，確定該系統(tǒng)的安全等級；②根據(jù)確定的安全等級，確定安全管理的范圍；③制訂相應的機房出入管理制度；④制訂嚴格的操作規(guī)程；⑤制訂完備的系統(tǒng)維護制度；⑥制訂應急措施。[5]操作系統(tǒng)安全是系統(tǒng)安全的基礎(chǔ)，要建立一個安全的信息系統(tǒng)，不僅要考慮具體的安全產(chǎn)品，包防火墻、安全路由器、安全網(wǎng)關(guān)、IP隧道、虛擬網(wǎng)、侵檢測、漏洞掃描、安全測試和監(jiān)控產(chǎn)品，來被動封堵安全漏洞，而且還要特別注意操作系統(tǒng)平臺的安全問題。操作系統(tǒng)作為計算機系統(tǒng)的基礎(chǔ)軟件用來管理計算機資源的，它直接利用計算機硬件為用戶提供使用和編程接口。各種應用軟件均建立在操作系統(tǒng)提供的系統(tǒng)軟件平臺之上，上層的應用軟件要想獲得運行的高可靠性和信息的完整性、保密性，必須依賴于操作系統(tǒng)提供的系統(tǒng)軟件基礎(chǔ)，任何想像中的、脫離操作系統(tǒng)的應用軟件的高安全性就如同幻想在沙灘上建立堅不可摧的堡壘一樣，無根基可言。不難想象，在網(wǎng)絡環(huán)境中，網(wǎng)絡系統(tǒng)安全性依賴于網(wǎng)絡中各主機系統(tǒng)的安全性，而主系統(tǒng)的安全性正是由其操