【導(dǎo)讀】Inter的發(fā)展及現(xiàn)狀-----------------------------------------5. Inter所面臨的威脅-----------------------------------------5. 第二章計(jì)算機(jī)網(wǎng)絡(luò)安全概述------------------------------------------6. 安全服務(wù)與安全機(jī)制-------------------------------------------7. 第三章現(xiàn)行的一些安全技術(shù)與策略------------------------------------9. 第四章防火墻技術(shù)綜述---------------------------------------------13. 防火墻的類型與運(yùn)行機(jī)制--------------------------------------15. 基于代理的防火墻-----------------------------------------17. 防火墻的實(shí)現(xiàn)方式--------------------------------------------18. 防火墻的發(fā)展趨勢--------------------------------------------21. 設(shè)計(jì)思想與原則----------------------------------------------22. 第六章加密技術(shù)---------------------------------------------------27. 制作加密/解密器---------------------------------------------28. /解密器的實(shí)現(xiàn)----------------------------------------------43. Inter所具有的開放性、國際性和自由性,以及TCP/IP協(xié)議在制定時(shí)本身所具有的缺陷,要的,防火墻以及加密技術(shù)則扮演了重要角色。作為一個(gè)面向大眾的開放系統(tǒng),計(jì)算機(jī)網(wǎng)絡(luò)面臨

　　

【正文】 litarized Zone)，即 DMZ區(qū)或?；饏^(qū)，它支持網(wǎng)絡(luò)層和應(yīng)用層的安全功能，這一網(wǎng)段所受到的威脅不會影響到內(nèi)部網(wǎng)絡(luò)。網(wǎng)絡(luò)管理員可以將堡壘主機(jī)、信息服務(wù)器、Modem組以及其他公用服務(wù)器放在 DMZ區(qū)網(wǎng)絡(luò)中，如圖 56所示。在該體系結(jié)構(gòu)中，信息服務(wù)器等公用服務(wù)器放在 DMZ網(wǎng) 絡(luò)中，供內(nèi)、外網(wǎng)使用，而內(nèi)網(wǎng)則又增加了一臺內(nèi)部包過濾路由器，該路由器與外部包過濾路由器的規(guī)則完全不同，且只接受源于堡壘主機(jī)的數(shù)據(jù)包，負(fù)責(zé)管理 DMZ與內(nèi)部網(wǎng)絡(luò)的通信。因此，內(nèi)外網(wǎng)之間通信的數(shù)據(jù)流應(yīng)該是 Inter?外部包 過濾路由器 ?堡壘 主機(jī) ?內(nèi)部包過濾 路由器 ?內(nèi)網(wǎng)客戶端。 DMZ區(qū) 內(nèi)網(wǎng) 屏蔽主機(jī)體系結(jié)構(gòu) 復(fù)合結(jié)構(gòu) 以上三種為防火墻的基本體系結(jié)構(gòu)，在實(shí)際應(yīng)用中，還可根據(jù)具體的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)以及資 Inter外部過濾路由器 。信息服務(wù)器圖屏蔽主機(jī)體系結(jié)構(gòu)金狀況，來靈活變通 。 Inter 外部過濾路由器 內(nèi)部過濾路由器 堡壘主機(jī) 信息服務(wù)器 22 防火墻的發(fā)展趨勢 現(xiàn)在防火墻技術(shù)正向著混合型發(fā)展，即其綜合了數(shù)據(jù)包過濾和代理系統(tǒng)的特點(diǎn)與功能，同時(shí)還兼有帶寬管理， NAT (Net Address Translation)，劃分 VLAN,完善的日志，動態(tài)的數(shù)據(jù)包過濾，構(gòu)建 VPN虛通道等功能，隨著具有這些功能的防火墻的研制成功并上市，使得我們選擇的余地也越來越大。 第五 章 網(wǎng)絡(luò)安全技術(shù) 在 吉首大學(xué) 圖書館網(wǎng)絡(luò)中 的應(yīng)用 目 前 ,吉首 大學(xué)圖書館網(wǎng)絡(luò)基礎(chǔ)設(shè)施的建設(shè)己基本成形，圖書館自動化系統(tǒng)和數(shù)字圖書館的建設(shè)經(jīng)這兩年的高速發(fā)展也達(dá)到了相當(dāng)水平，網(wǎng)絡(luò)環(huán)境和網(wǎng)絡(luò)應(yīng)用業(yè)已成為圖書館各部門行使職能、處理業(yè)務(wù)、開展工作的重要基礎(chǔ)和必要手段。 然而 ,隨著數(shù)字圖書館的建設(shè)，各種數(shù)據(jù)庫的購置和推廣，使用數(shù)字圖書館的機(jī)構(gòu)也越來越多，各院系教師、科員人員以及學(xué)生對數(shù)字圖書館的依賴性也越來越強(qiáng)，網(wǎng)絡(luò)安全隱患也越來越嚴(yán)重，一旦服務(wù)器出現(xiàn)問題，致使服務(wù)中斷，將對使用者造成極大的影響。隨著數(shù)據(jù)量的增大，我們的工作重 點(diǎn)將由推廣引導(dǎo)大家使用數(shù)字圖書館逐漸的轉(zhuǎn)變?yōu)榇_保數(shù)字圖書館不間斷的為大家提供服務(wù)，因此，網(wǎng)絡(luò)安全逐漸提升到主要位置上來。 現(xiàn)有網(wǎng)絡(luò)環(huán)境 吉首大學(xué)圖書館現(xiàn)有新校區(qū)、大田灣校區(qū)、張家界校區(qū)，主機(jī)房在新 校區(qū)。校區(qū)圖書館通過校網(wǎng)絡(luò)中心的線路實(shí)現(xiàn)互聯(lián)，并接入 INTERNET. 安全現(xiàn)狀 1)服務(wù)器操作系統(tǒng)以 WINDOWSNT為主，桌面操作系統(tǒng)以 WIN98為主，除服務(wù)器端設(shè)有簡單的主機(jī)安全防護(hù)外，再沒有其他的安全保護(hù)措施。 2)WINDOWS系列操作系統(tǒng)均存在安全漏洞。 3)網(wǎng)內(nèi) 、外通信 采用 TCP/IP協(xié)議族，該協(xié)議族缺乏安全性。通過 IP地址限制，可拒絕校外用戶訪問，但對校內(nèi)用戶及館內(nèi)用戶的惡意攻擊缺少有效的監(jiān)控保護(hù)手段。 4)在服務(wù)器和 PC機(jī)上裝有簡單的 PC版的防病毒軟件。 為解決網(wǎng)絡(luò)系統(tǒng)中存在的安全隱患，保障網(wǎng)絡(luò)及信息的安全，我們設(shè)計(jì)了 吉大圖書館網(wǎng)絡(luò)安全解決方案，并將分階段組織實(shí)施。 設(shè)計(jì)思想與原則 設(shè)計(jì)思想 網(wǎng)絡(luò)安全是一個(gè)必須解決的重要問題，同時(shí)也是一個(gè)及其復(fù)雜的問題。要考慮到 安全層次、技術(shù)難度、經(jīng)費(fèi)支出及性能價(jià)格比等因素。在設(shè)計(jì)方案時(shí) 遵循了如下設(shè)計(jì)思想 : 1)在確保可 用性的前提下，盡可能地提高系統(tǒng)的安全性。 2)保持網(wǎng)絡(luò)原有的性能特點(diǎn)，即對網(wǎng)絡(luò)協(xié)議和傳輸具有透明性。 23 3)易于操作、維護(hù)，便于自動化管理，盡量減少附加操作。 4)進(jìn)一步完善網(wǎng)絡(luò)拓?fù)錂C(jī)構(gòu)，使之在安全性能上得到提高和改進(jìn)，并便于系統(tǒng) 結(jié) 構(gòu)和功能的擴(kuò)展。 5)具有較好的性能價(jià)格比，一次性投資，可以長期使用。 6)安全產(chǎn)品具有合法性，并便于安全管理單位的檢查與監(jiān)督。 設(shè)計(jì)原則 1)需求 、風(fēng)險(xiǎn)、代價(jià)平衡的原則。對任一 網(wǎng)絡(luò)，絕對的安全是不可能實(shí)現(xiàn)的，應(yīng)對一個(gè)網(wǎng)絡(luò)進(jìn)行實(shí)際研究 (包括任務(wù)、性能、結(jié)構(gòu)、可靠性、可維護(hù) 性等 )，并對網(wǎng)絡(luò)面臨的威脅及可能承擔(dān)的風(fēng)險(xiǎn)進(jìn)行定性與定量相結(jié)合的分析，然后制定 規(guī)范和措施，確定安全策略。 2)綜合性、整體性原則。安全模塊和設(shè)備的引入應(yīng)該體現(xiàn)系統(tǒng)運(yùn)行和管理的統(tǒng)一性。一個(gè)系統(tǒng)的整體安全性取決于其中安全防范最薄弱的一個(gè)環(huán)節(jié)，必須提高整個(gè)系統(tǒng)的安全性以及系統(tǒng)中各個(gè)部分之間的嚴(yán)密的安全邏輯關(guān)聯(lián)強(qiáng)度，以保證組成系統(tǒng)的各個(gè)部分協(xié)調(diào)一致的運(yùn)行。 3)簡單化原則。安全措施應(yīng)盡可能的簡單明了，越復(fù)雜，出現(xiàn)漏洞的可能性越大。 4)設(shè)備的先進(jìn)性與成熟性。安全設(shè)備應(yīng)選擇成熟的，通過國家安全部門檢測的產(chǎn)品，同時(shí)還 要考慮其先進(jìn)性。 5)可用性。安全設(shè)備的引入及運(yùn)行，不應(yīng)成為網(wǎng)絡(luò)通信的“瓶頸”。 6)可管理性與擴(kuò)展性。安全設(shè)備應(yīng)易于管理，而且支持通過現(xiàn)有網(wǎng)絡(luò)對網(wǎng)上的安全設(shè)備進(jìn)行安全地統(tǒng)一管理、控制，能夠在網(wǎng)上監(jiān)控設(shè)備地運(yùn)行狀況，進(jìn)行實(shí)時(shí)的安全審計(jì)。 7)分階段實(shí)施原則。系統(tǒng)安全是一個(gè)投資較大的項(xiàng)目，考慮到圖書館的經(jīng)費(fèi)情況，可制定一個(gè)總的規(guī)劃，然后分階段實(shí)施，每一階段都為下一步的發(fā)展預(yù) 留擴(kuò)展余地。 8)在制定安全策略時(shí)還要注意遵循最小特權(quán)原則、縱深防御原則、阻塞點(diǎn)原則、 最薄弱鏈接原則和失效保護(hù)狀態(tài)原則。 策略 24 校園網(wǎng)中心I N T E R N E T網(wǎng)絡(luò)管理室多媒體閱覽室防火墻中心交換機(jī)應(yīng)用服務(wù)器WEB 服務(wù)器視頻點(diǎn)播服務(wù)器交換機(jī)交換機(jī)交換機(jī)交換機(jī)磁盤陣列陣列服務(wù)器備份服務(wù)器大田灣校區(qū)張家界校區(qū) 圖為吉首大學(xué)圖書館拓?fù)浣Y(jié)構(gòu) 吉首大學(xué) 圖書館系統(tǒng)安全總體規(guī)劃網(wǎng)絡(luò)拓?fù)鋱D如圖 所示。整個(gè)為三個(gè)獨(dú)立的網(wǎng)絡(luò)，它們通過 Inter 相互連接。 對于其安全策略，下面我就吉首大學(xué)新校區(qū)圖書館網(wǎng)絡(luò)結(jié)構(gòu)來分析。我將從四部分考慮：網(wǎng)絡(luò)安全、主機(jī)安全、數(shù)據(jù)安全、人員安全。 網(wǎng)絡(luò)安全策略。 1)依照網(wǎng)絡(luò)拓?fù)鋱D 看 ， 網(wǎng)絡(luò)通過連接校園網(wǎng)絡(luò)中心，接入 Inter 因此也劃入外DMZ 區(qū)（?；饏^(qū)）放置 WEB 服務(wù)器，媒體 點(diǎn) 播服務(wù)器，以及各種應(yīng) 用服務(wù)器，面向校內(nèi)用戶提供服務(wù)：內(nèi)部私網(wǎng)放置圖書館自動化系統(tǒng)， 備份設(shè)備以及內(nèi)部工作用機(jī)。 2)這四部分的安全級別如下 : 編號 安全區(qū)域 安全級別 訪問級別 1 外部網(wǎng) 低 不提供安全措施，僅負(fù)責(zé)網(wǎng)絡(luò)連接 DMZ 區(qū) 25 2 DMZ區(qū) 中 外部可訪問符合安全策略的網(wǎng)絡(luò)資源；內(nèi)部可以更新和維護(hù)。 3 內(nèi)部私網(wǎng) 高 可自由訪問外部網(wǎng)絡(luò)資源；對外不可見。 3)將防火墻的默認(rèn)選項(xiàng)設(shè)置為：凡未明確允許的，禁止轉(zhuǎn)發(fā)。即先關(guān)閉所有服務(wù)和端口，然后根據(jù)需要開放相應(yīng)服務(wù)和端口?，F(xiàn)有 需要進(jìn)行審核和過濾的應(yīng)用和服務(wù)類型包括： 服務(wù)類型 端口范圍 /協(xié)議范圍 說明 DNS 53,tcp/udp 域名解析 WWW 80,tcp WWW 服務(wù) STMP/POP3 25/110,tcp 電子郵件 Tel 23/tcp 遠(yuǎn)程登錄 FTP 21/23,tcp 文件傳輸服務(wù) 4)內(nèi)部私網(wǎng)資源嚴(yán)禁外部訪問，但由于吉首大學(xué)是兩地辦學(xué)，兩個(gè)校區(qū)均有圖書館，并 且己通過校園網(wǎng)實(shí)現(xiàn)了互聯(lián)，在業(yè)務(wù)上共用同一服務(wù)器 。 由于兩校區(qū)圖書館分屬于不同的 C 類地址段，就目前而言 為實(shí)現(xiàn)其他校區(qū)對新校區(qū)圖書館的業(yè)務(wù) 用機(jī) 訪問 ，我們可以施 MAC 地址綁定，將他其兩個(gè) 校區(qū)使用服務(wù)器的用戶的 IP 地址與其 MAC 地址綁定，即其他 校區(qū)工作用機(jī)被分配一個(gè) IP地址以后，防火墻系統(tǒng)接收到相應(yīng)的地址廣播，在防火墻系統(tǒng)上列出 IP 地址與相應(yīng)的 MAC 地址，并選擇把這個(gè) IP 地址與相應(yīng)的 MAC 地址綁定，這樣可限定 IP 地址只能在一臺指定的工作站上使用，可以防止 IP 地址冒用。 5)NAT(網(wǎng)絡(luò)地址轉(zhuǎn)換 )方式隱藏內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)。 防火墻提供的網(wǎng)絡(luò)地址轉(zhuǎn)換（ Network Address Translation ）功能不僅可以隱藏內(nèi)部網(wǎng)路地 址信息，使外界無法直接訪問內(nèi)部網(wǎng)絡(luò)設(shè)備，同時(shí)，它還幫助網(wǎng)絡(luò)可以超越地址的限制，合理地安排網(wǎng)絡(luò)中的公有 Inter 地址和私有 IP 地址的使用。通過 NAT 功能， 防火墻系統(tǒng)可以幫助采用私有地址的內(nèi)部網(wǎng)用戶順利的訪問 Inter 的信息資源，不但不會造成任何網(wǎng)絡(luò)應(yīng)用的阻礙，同時(shí)還大量節(jié)省了網(wǎng)絡(luò)地址資源。 6)VLAN 劃分 在分布式網(wǎng)絡(luò)環(huán)境下，我們按機(jī)構(gòu)或部門的設(shè)置來劃分 VLAN。各部門內(nèi)部的所有服務(wù)器和用戶節(jié)點(diǎn)都在各自的 VLAN內(nèi)，互不侵?jǐn)_。將以太網(wǎng)通信變?yōu)辄c(diǎn)到點(diǎn)通信，防止大部分基于網(wǎng)絡(luò)偵聽的入 侵進(jìn)行虛網(wǎng)劃分及訪問列表控制。根據(jù)實(shí)際需要，將圖書館網(wǎng)絡(luò)系統(tǒng)所涉及的主要用戶劃分為幾個(gè) VLAN，服務(wù)器集群、辦公人員、多媒體 閱覽室均劃歸各自于網(wǎng)， 通過核心交換機(jī)上的訪問列表加以控制 校園網(wǎng)用戶無法隨意通過網(wǎng)絡(luò)訪問圖書館辦公人員，只能訪問經(jīng)過過濾的服務(wù)器設(shè)備。圖書館所有工作人員用機(jī)，除特殊需要外，不能向?qū)W校以外的網(wǎng)絡(luò)開放，這就從另一方面防止了病毒的感染和黑客的入侵。 VLAN在控制廣播、防止黑客上相當(dāng)有效。 主 機(jī)上的安全設(shè)置 26 要使圖書館的網(wǎng)絡(luò)安全得到更進(jìn)一步的保障，本機(jī)上的安全設(shè)置非常重要。重視本機(jī)上的安全設(shè) 置，構(gòu)筑起圖書館的網(wǎng)絡(luò)安全的第三層防護(hù)。對于本機(jī)的安全設(shè)置，需從操作系統(tǒng)的安全管理和安裝反病毒產(chǎn)品兩方面來考慮。操作系統(tǒng)的安全漏洞是導(dǎo)致網(wǎng)絡(luò)入侵的重要因素。主流操作系統(tǒng)都存在一些安全上的問題，為了保證各操作系統(tǒng)在網(wǎng)絡(luò)應(yīng)用中的安全，杜絕配置和管理上的漏洞，應(yīng)該做好如下幾方面的工作 : 1)及時(shí)打好系統(tǒng)的補(bǔ)丁。因?yàn)楹芏喙舳际峭ㄟ^操作系統(tǒng)的漏洞來進(jìn)行的，而系統(tǒng)所發(fā)現(xiàn)的漏洞，幾 乎都有了相應(yīng)的補(bǔ)丁程序。 2)屏蔽不需要的服務(wù)組件。服務(wù)組件安裝得越多，用戶可以享受的服務(wù)功能也就越多。但是用戶平時(shí)使用到的服務(wù)組件畢竟有限 。而那些很少用到的組件除占用了不少系統(tǒng)資源，不僅會引起系統(tǒng)不穩(wěn)定，還為黑客的遠(yuǎn)程入侵提供了多種途徑，為此，我 1門應(yīng)該盡量把那些暫不需要的服務(wù)組件屏蔽掉。 3)定期檢查。定期檢查系統(tǒng)日志文件，在備份設(shè)備上及時(shí)備份。定期檢查關(guān)鍵配置文件。重要用戶的口令應(yīng)該定期修改，不同主機(jī)使用不同的用戶名和口令。 4)為了防止猜口令的非法用戶。將口令設(shè)置成 6位。 計(jì)算機(jī)病 毒對圖書館網(wǎng)絡(luò)具有不可估量的威脅 性和破壞力。對計(jì)算機(jī)病毒的防范，是圖書館網(wǎng)絡(luò)安全性建設(shè)中最重要的一環(huán)。隨著形形色色計(jì)算機(jī)病毒的出現(xiàn)，其破壞性、隱蔽性不斷增強(qiáng)， 反病毒產(chǎn)品也相繼大量涌現(xiàn)。面對各種各樣的反病毒軟件我們應(yīng)該認(rèn)識到，較好的反病毒產(chǎn)品應(yīng)具有如下功能 : 1)綜合反病毒的能力。即集防病毒入侵、檢測病毒、清除病毒功能于一身。 2)實(shí)時(shí)監(jiān)測能力。 3)自動檢測清除壓縮文件病毒能力。 4)對病毒的快速反應(yīng)能力。 5)應(yīng)具有權(quán)威機(jī)構(gòu)提供的認(rèn)證。 其次，應(yīng)該 從易用性、速度、資源占用情況，升級的頻率和易操作性等方面考慮，選擇出適合自己實(shí)際的產(chǎn)品。目前主流的反病毒軟件有 KV3000. KILL..瑞星、諾頓等，它們都各有所長，如瑞星殺毒 2020支持多種平臺、功能全面 。諾頓防 病毒 2020具有電子郵件防護(hù)功 能，升級方便，經(jīng)常對新病毒做 出最快的反應(yīng)，但它 需占用較大的系統(tǒng)資源。我館采用瑞星殺毒 。同時(shí)操作系統(tǒng)不安全是所有網(wǎng)絡(luò)攻擊中最主要的原因應(yīng)下載并安裝最新的系統(tǒng)補(bǔ)丁。任何操作系統(tǒng)都有漏洞，只有及時(shí)地到相關(guān)網(wǎng)站下載并安裝最新的補(bǔ)丁才能增加系統(tǒng)的安全性，增強(qiáng)系統(tǒng)抗攻擊能力。 數(shù)據(jù)安全。 吉首大學(xué)圖書館的 圖書 信息數(shù)據(jù) 和電子期刊的數(shù)據(jù)均裝在本地服務(wù)器上，如發(fā)生以外卻 沒有備份將是非?？膳碌氖虑?。因此，數(shù)據(jù)備份也是非常重要的。在這里，因?yàn)?數(shù)據(jù)量較大，我們采用帶庫備份的方式（即磁帶庫）來備份所 有服務(wù)器上 的數(shù)據(jù)，備份僅僅是數(shù)據(jù)備份，而不是系統(tǒng)備份，即只針對磁盤陣列上的數(shù)據(jù)，而不理會各服務(wù)器的系統(tǒng)。備份策略采用增量備份的方式，即在完成初始備份后，再加裝新的數(shù)據(jù)后，僅對新數(shù)據(jù)進(jìn)行備份。 人員安全。 27 1)非系統(tǒng)維護(hù)人員嚴(yán)禁進(jìn)入主機(jī)房，以避免非系統(tǒng)維護(hù)人員與系統(tǒng)發(fā)生物理接觸。 2)系統(tǒng)維護(hù)人員應(yīng)及時(shí)下載并更新各主機(jī)上的病毒庫和系統(tǒng)補(bǔ)丁。 3)系統(tǒng)維護(hù)人員應(yīng)定期檢查防火墻和各主機(jī)的日志文件，以分析本系統(tǒng)是否曾遭受攻擊，是何種攻擊，攻擊是否成功，并找出漏洞，提出解決方案。 4)系統(tǒng)維護(hù)人員應(yīng)定期對 本系統(tǒng)進(jìn)行網(wǎng)絡(luò)安全檢測和入侵檢測，以便檢查本系統(tǒng)是否存在安全漏洞。 5)系統(tǒng)維護(hù)人員應(yīng)定期更換帶庫中的磁帶，做好數(shù)據(jù)備份。 6)系統(tǒng)維護(hù)人員應(yīng)定期進(jìn)行培訓(xùn)，以更新計(jì)算機(jī)知識