【正文】 境，必須做到： (1)用戶培訓(xùn)，增強(qiáng)安全意識(shí)； (2)建立一個(gè)可幫助的安全策略； (3)提高在現(xiàn)有網(wǎng)絡(luò)環(huán)境下，對可能的安全風(fēng)險(xiǎn)的認(rèn)識(shí)和理解； (4)選擇能夠幫助建立一個(gè)安全環(huán)境并且能夠與已建立的安全策略相符合的產(chǎn)品和應(yīng)用程序； (5)合格的安全審計(jì)員和工具，定期檢查網(wǎng)絡(luò)環(huán)境 “道高一尺，魔高一丈”，安全將是網(wǎng)絡(luò)永恒的問題，風(fēng)險(xiǎn)是無法完全消除的，零風(fēng)險(xiǎn)就意味著網(wǎng)絡(luò)的零效用，關(guān)鍵的問題是如何達(dá)到均衡，即盡可能站地降低風(fēng)險(xiǎn)，又使網(wǎng)絡(luò)發(fā)揮其最大效用 第四 章 防火墻技術(shù)綜述 何謂防火墻 防火墻原是建筑物大廈設(shè)計(jì)用來防止火災(zāi)蔓延的隔斷墻。基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)用于實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)關(guān)鍵路徑的信息。當(dāng)軟件檢測到有攻擊發(fā)生，它就會(huì)按預(yù)先定義好的方式響應(yīng)。 基于網(wǎng)絡(luò)通過連接網(wǎng)絡(luò)捕獲網(wǎng)絡(luò)包 ,并分析其是否具有已知的攻擊模式 ,以此來判別是否為入侵者。對可疑網(wǎng)絡(luò)活動(dòng)進(jìn)行分辨的能力，在不影響正常網(wǎng)絡(luò)應(yīng)用的情況下有效地制止入侵攻擊行為和非法存取企業(yè)網(wǎng)絡(luò)資源。它提供對企業(yè)網(wǎng)絡(luò)通訊活動(dòng)的監(jiān)控，捕獲和分析整個(gè)網(wǎng)段傳輸?shù)臄?shù)據(jù)包，檢測和識(shí)別可疑的網(wǎng)絡(luò)通信活動(dòng)，并在這種非授權(quán)訪問發(fā)生時(shí)進(jìn)行實(shí)時(shí)響應(yīng)，阻止對企業(yè)數(shù)據(jù)和資源的非法存 13 取。 網(wǎng)絡(luò)入侵檢測和監(jiān)控能夠?qū)Ω秮碜詢?nèi)部網(wǎng)絡(luò)的攻擊，其次它能夠阻止 hacker的入侵。 掃描系統(tǒng)的弱點(diǎn)和漏洞的分類：簡單郵件傳輸協(xié)議，強(qiáng)力攻擊，系統(tǒng)守護(hù)進(jìn)程，遠(yuǎn)程過程調(diào)用，網(wǎng)絡(luò)文件系統(tǒng)，拒絕服務(wù)， NetBIOS， NT用戶， NT注冊表， NT審計(jì)，代理服務(wù)和域名服務(wù)， WEB站點(diǎn)，防火墻和路由器， IP欺騙，文件傳輸協(xié)議。 (1)網(wǎng)絡(luò)安全 性能檢查系統(tǒng) 提供事前的安全掃描能夠發(fā)現(xiàn)系統(tǒng)的安全漏洞，可以做好安全預(yù)防措施。 VPN的使用還牽涉到加密后送出資料，及在另一端收到后解密還原資料等問題，而更高層次的安全包括進(jìn)一步加密收發(fā)兩端的網(wǎng)絡(luò)位置。 一個(gè)電子簽名就等于一個(gè)在紙上的真實(shí)的簽名，是一個(gè)與信息相關(guān)聯(lián)的數(shù)字，當(dāng)信息的內(nèi)容發(fā)生改變時(shí)，簽名將不再匹配；只有知道私鑰的人才能生成數(shù)字簽名，它被用來確定一個(gè)信息或數(shù)據(jù)包 是由所要求的發(fā)送者處而來的 虛擬專有網(wǎng)絡(luò)（ VPN） 相對于專屬于某公司的私有網(wǎng)絡(luò)或是租用的專線， VPN是架設(shè)于公眾電信網(wǎng)絡(luò)之上的私有信息網(wǎng)絡(luò)，其保密方式是使用信道協(xié)議及相關(guān)的安全程序。上述兩種方法可以結(jié)合使用，從而生成數(shù)字簽名。在加密應(yīng)用時(shí)，某個(gè)用戶總是將一個(gè)密鑰公開，讓需發(fā)信的人員 將信息用公共密鑰加密后發(fā)給該用戶，信息一旦加密，只有該用戶的私有密鑰才能解密。它們分別稱為公開密鑰 (Public key)和私有密鑰(Private key)。公開密鑰密碼體制對這兩方面的問題都給出了出色的解答。同時(shí)，這一點(diǎn)也使密碼更新的 12 周期加長，給其他人破譯密碼 提供了機(jī)會(huì)。因此，密鑰的分發(fā)成為該加密體系中最薄弱的環(huán)節(jié)。 目前廣泛應(yīng)用的加密技術(shù)主要分為兩類： (1)對稱算法加密 其主要特點(diǎn)是加解密雙方在加解密過程中要使用完全相同的密碼，對稱算法中 最常用的是 DES算法。 密碼技術(shù) (將在后面的章節(jié)詳細(xì)介紹 ) 采用密碼技術(shù)對信息加密，是最常用和有效的安全 保護(hù)手段。 防火墻的局限性 : 防火墻不能防止通向站點(diǎn)的后門。防火墻通常安裝在單獨(dú)的計(jì)算機(jī)上，并與網(wǎng)絡(luò)的其余部份分隔開，使訪問者無法直接存取內(nèi)部網(wǎng)絡(luò)的資源。 防火墻 （防火墻技術(shù)將在后面的章節(jié)詳細(xì)介紹） “防火墻”是一種形象的說法 ,它實(shí)際上是計(jì)算機(jī)硬件和軟件的組合 ,在網(wǎng)絡(luò)網(wǎng)關(guān)服務(wù)器上運(yùn)作，在內(nèi)部網(wǎng)與公共網(wǎng)絡(luò)之間建立起一個(gè)安 全網(wǎng)關(guān) (security gateway),保護(hù)私有網(wǎng)絡(luò)資源免遭其他網(wǎng)絡(luò)使用者的擅用或侵入。網(wǎng)絡(luò)安全管理包括確定安全管理等級和安全管理范圍、制訂有關(guān)網(wǎng)絡(luò)操作使用規(guī)程和人員出入機(jī)房管理制度和制定網(wǎng)絡(luò)系統(tǒng)的維護(hù)制度和應(yīng)急措施等。一般而言，操作系統(tǒng)堪稱是任何應(yīng)用的基礎(chǔ)，最常見的 WindowsNT或 Unix即使通過防火墻與安全傳輸協(xié)議也難以保證 100％的安全。 操作系統(tǒng)及網(wǎng)絡(luò)軟件安全策略 11 大多數(shù)公司高度依賴防火墻作為網(wǎng)絡(luò)安全的一道防線。 網(wǎng)絡(luò)服務(wù)器安全策略 網(wǎng)絡(luò)服務(wù)器的設(shè)立與狀態(tài)的設(shè)定相當(dāng)復(fù)雜，而一臺(tái)配置錯(cuò)誤的服務(wù)器將對網(wǎng)絡(luò)安全造成極大的威脅。由于網(wǎng)絡(luò)信息的傳輸并無固定路徑，而是取決于網(wǎng)絡(luò)的流量狀況，且通過哪些中介網(wǎng)站亦難以查證，因此，任何中介站點(diǎn)均可能攔截、讀取，甚至破壞和篡改封包的信息。 安全的信息傳輸 網(wǎng)絡(luò)本身就不是一種安全的信息傳輸通道。網(wǎng)絡(luò)控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源以及用戶可以執(zhí)行的操作。 網(wǎng)絡(luò)的權(quán)限控制 網(wǎng)絡(luò)權(quán)限控制是針對網(wǎng)絡(luò)非法操作提出的一種安全保護(hù)措施。用戶還可采用一次性用戶口令，也可用便攜式驗(yàn)證器（如智能卡）來驗(yàn)證用戶的身份。加密的方法很多，其中最常見的方法有：基于單向函數(shù)的口令加密、基于測試模式的口令加密、基于公鑰加密方案的口令加密、基于平方剩余的口令加密、基于多項(xiàng)式共享的口令加密以及基于數(shù)字簽名方 案的口令加密等。如果驗(yàn)證合法，才繼續(xù)驗(yàn)證用戶輸入的口令，否則，用戶將被拒之于網(wǎng)絡(luò)之外。對網(wǎng)絡(luò)用戶的用戶名和口令進(jìn)行驗(yàn)證是防止非法訪問的第一道防線。用戶入網(wǎng)訪問控制通常分為三步：用戶名的識(shí)別與驗(yàn)證、用戶口 令的識(shí)別與驗(yàn)證、用戶賬號(hào)的缺省限制檢查。下面我們分述各種訪問控制策略。 訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非法訪問。 系統(tǒng)中的物理安全保密 是指系統(tǒng)的環(huán)境、計(jì)算機(jī)房、數(shù)據(jù)工作區(qū)、處理區(qū)、數(shù) 據(jù)存貯區(qū)、介質(zhì)存放的安全保密措施，以確保系統(tǒng)在對信息的收集、存貯、傳遞、物理和使用過程中，秘密不至泄露。分為兩個(gè)等級：一級適用于保護(hù)處理機(jī)密級以下信息的計(jì)算機(jī)，二級用于保護(hù)處理內(nèi)部敏感信息的計(jì)算機(jī)和自然警戒距離大干 100米處理秘密級信息的計(jì)算機(jī)。 主要防護(hù)低密級的信息。根據(jù)電子對抗原理，采用一定的技術(shù)措施，利用干擾器產(chǎn)生噪聲與計(jì)算機(jī)設(shè)備產(chǎn)生的信息輻射一起向 外輻射。不具備上述條件的，可將計(jì)算機(jī)輻射信號(hào)的區(qū)域控制起來，不許外部人員接近。根據(jù)輻射量的大小和客觀環(huán)境，對計(jì)算機(jī)機(jī)房或主機(jī)內(nèi)部件加以屏蔽，檢測合格后，再開機(jī)工作。這是防止計(jì)算機(jī)輻射泄密的根本措施，這些設(shè)備 在設(shè)計(jì)和生產(chǎn)時(shí)，已對可能產(chǎn)生信息輻射的元器件、集成電路、連接線和CRT 等采取了防輻射措施，把設(shè)備的信息輻射抑制到最低限度。目前的主要防護(hù)措施有兩類： 是對傳導(dǎo)發(fā)射的防護(hù)，主要采取對電源線和信號(hào)線加裝性能良好的濾波器，減小傳輸阻抗和導(dǎo)線間的交叉耦合； 是對輻射的防護(hù)，由于設(shè)備中的計(jì)算機(jī)處理機(jī)、顯示器有較強(qiáng)的電磁輻射，如不采用屏蔽或干擾，就會(huì)使秘密通過電磁輻射而造成泄露，根據(jù)保密等級，可采用在全室或關(guān)鍵設(shè)備局部使用電磁屏蔽房，選用低輻射設(shè)備或者使用相關(guān)干擾的電磁輻射干擾器，使得難以從被截獲的輻射信號(hào)中分析出有效信號(hào)。 9 第三 章 現(xiàn)行的一些安全技術(shù)與策略 物理措施 物理安全策略目的是保護(hù)計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)服務(wù)器、打印機(jī)等硬件實(shí)體和通信鏈路免受自然災(zāi)害、人為破壞和搭線攻擊；驗(yàn)證用戶的身份和使用權(quán)限，防止用戶越權(quán)操作；確保計(jì)算機(jī)系統(tǒng)有一個(gè)良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進(jìn)入計(jì)算機(jī)控制室和各種偷竊、破壞活動(dòng)的發(fā)生。主動(dòng)攻擊可以通過有關(guān) 軟、硬件檢測到，但難以做到徹底防范。篡改信息是攻擊者有選擇地修改、刪除、延誤、重排序以及復(fù)制真正的 消息或插入虛假的消息。其具體形式分為 :偽造信息、篡改信息和拒絕服務(wù) (Denial of Service，簡稱 DOS)。由于攻擊者并不修改傳輸?shù)膬?nèi)容，被動(dòng)攻擊是很難發(fā)現(xiàn)的，但是可以通過加密技術(shù) （如 :鏈路加密、端對斷加密等 )來防止該類的攻擊，所以對于被動(dòng)攻擊應(yīng)是以防范為主。被動(dòng)攻擊的實(shí)質(zhì)是竊聽或監(jiān)聽傳輸?shù)膬?nèi)容，主要從傳輸線路上截取、篩選、拷貝有關(guān)敏感的、保密的信息。 偽造 (Fabrication):未授權(quán)的攻擊方利用偽造的信息誘騙系統(tǒng)。 截取 (Interception):未授權(quán)的攻擊方可以訪問到系統(tǒng)，最典型的是對網(wǎng)絡(luò)線路上的竊聽與分析。通常，信息服務(wù)要通過信息傳輸實(shí)現(xiàn)，故存在以一文件或存儲(chǔ)器作為源端，以另一文件或用戶為目的端的信息流。所以，安全攻擊可以是有意識(shí)的，也 可 以是無意識(shí)的，其中包括內(nèi)部人員的無知 (無安全意識(shí) )或是誤操作引起的安全威脅問題。為了實(shí)現(xiàn)上述各種服務(wù)，安全體系結(jié)構(gòu)建議采用加密、數(shù)字簽名、鑒別、數(shù)據(jù)完整性、公 證等幾種安全機(jī)制。 安全 機(jī) 制是操作系統(tǒng)、硬件和軟件功能部件、管理程序以及它們的任意組合，用于為一個(gè)信息系統(tǒng)的任一部件來檢測和防止被動(dòng)與主動(dòng)威脅。 . 信息流保密 :即對有可能從觀察信息流就能推導(dǎo)出的信息提供保密。 數(shù)據(jù)保密 . 選擇字段保密 :即對一個(gè)協(xié)議數(shù)據(jù)單元中的用戶數(shù)據(jù)的一些經(jīng)選擇的字段提供保密。 .選擇字段的數(shù)據(jù)連接完整性 :該服務(wù)提供在連接上傳送的選擇字段的完整性 ，并能確定所選字段是否已被修改、插入、刪除或重放。 .數(shù) 據(jù) 無連接完整性 :該服務(wù)提供單個(gè)無連接數(shù)據(jù)單元的完整性，能確定收到的數(shù)據(jù)單元是否已被修改。 訪問控制 :計(jì)算機(jī)網(wǎng)絡(luò)訪問控制服務(wù)可以防治沒有被授權(quán)的用戶非法使用計(jì)算機(jī)系統(tǒng)資源。 禁 止 否認(rèn) .不得否認(rèn)發(fā)送 :這種服務(wù)向數(shù)據(jù)接受者提供數(shù)據(jù)源的證據(jù)，從而可防止發(fā)送者否認(rèn) 發(fā)送過數(shù)據(jù)。 數(shù)據(jù)源鑒別 :這是計(jì)算機(jī)網(wǎng)絡(luò)傳輸協(xié)議中第 N層向第 N+1層提供的服務(wù) 。這種服務(wù)防止假冒計(jì)算機(jī)實(shí)體或重放以前的連接，也即防止偽造連接初始化這種類型的黑客攻擊。 安全服務(wù)與安全機(jī)制 針對計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)受到威脅， OSI安全體系結(jié)構(gòu)提出了六類安全服務(wù)。1和 2體現(xiàn)管理者的決策， 3到 5涉及實(shí)現(xiàn)技術(shù)。3怎樣保護(hù) 。安全管理涉及 :1需要保護(hù)什么 。 安全不僅是技術(shù)問題更重要的是管理問題。 可用性 (Availability)意味著一個(gè)網(wǎng)絡(luò)資源 ， 每當(dāng)用戶需要時(shí)就可以使用 。 機(jī)密性 (Confidentiality)定義哪些信息不能被窺探、哪些網(wǎng)絡(luò)資源不能被未授權(quán)者訪問 。 網(wǎng)絡(luò)安全是指借助于網(wǎng)絡(luò)管理，使網(wǎng)絡(luò)環(huán)境中信息的機(jī)密性、完整性及可使用性「 CIA」受到保護(hù)，其主要目標(biāo)是確保經(jīng)過網(wǎng)絡(luò)傳輸?shù)男畔?到達(dá)目的計(jì)算機(jī)時(shí)沒有攻 擊 數(shù)38000 防 護(hù) 未成功 13300 成功 24700 檢 測 未檢測出 23731 檢測到 988 反 映 公開報(bào)道 267 未公開報(bào)道 721 7 任何改變或丟失。審計(jì)管理負(fù)責(zé)收集并處理用戶使用網(wǎng)絡(luò)資源的有關(guān)數(shù)據(jù) 。性能管理負(fù)責(zé)分析網(wǎng)絡(luò)出錯(cuò)串、網(wǎng)絡(luò)吞吐串并建立優(yōu)化的網(wǎng)絡(luò)狀態(tài) 。國際標(biāo)準(zhǔn)化組織 ISO把 網(wǎng)絡(luò)管理劃分為五個(gè)領(lǐng)域，包括故障、性能、配置、審計(jì)和安全管理。 第二章 計(jì)算機(jī)網(wǎng)絡(luò)安全概述 對于一 個(gè) 網(wǎng)絡(luò)而言，其性能、可靠性、可用性及信息安全等等都是不可忽視的問題。我們必須充分認(rèn)識(shí)到問題的嚴(yán)重性、迫切性，進(jìn)行網(wǎng)絡(luò)安全的研究，發(fā)展自主的網(wǎng)絡(luò)安全系統(tǒng)、網(wǎng)絡(luò)安全工具。在這種形勢下，從保護(hù)國家利益出發(fā)，各國 政府無不重視信息和網(wǎng)絡(luò)安全。 信息共享和信息安全是一對矛盾。美國國防部曾對許多重要站點(diǎn)受攻擊的情況作過分析，結(jié) 果如下 : 6 可以看到 ,在多達(dá) 38000次的攻擊中 ,只有 267次攻擊公開報(bào)道 ,而檢測到的攻擊中有73%未報(bào)道，最令人不安的是成功攻擊中的 96%我們毫無察覺，他們到底造成多少危害，有多少關(guān)鍵數(shù)據(jù)丟失，我們無從統(tǒng)計(jì)。 網(wǎng)絡(luò)安全事件己從神秘走到現(xiàn)實(shí)中來，他們已不是人們想象中的孩子的惡作劇，他們從早期的破壞數(shù)據(jù)、竊取信息，發(fā)展到威脅國家的經(jīng)濟(jì)發(fā)展，國家主權(quán)的安危。而另一方面，也正是 Inter的內(nèi)在的脆弱性 (包括 TCP/工 P協(xié)議族的內(nèi)在脆弱 )導(dǎo)致了安全問題的產(chǎn)生，如病毒、黑客等等?，F(xiàn)代的計(jì)算機(jī)網(wǎng)絡(luò)中包含了各種局域網(wǎng)、計(jì)算機(jī)、數(shù)據(jù)庫、工作站等等。原先，使用 Inter的人就是創(chuàng)建 Inter的科學(xué)家們，他們有共同的目標(biāo)，隨著時(shí)間的推移， Inter變得越來越 有用，加入的人也越來越多，從公司到大學(xué)，甚至個(gè)人，涉及各行各業(yè)。到了 1988年， Inter成了通信的一種基本工具，由于各行各業(yè)人員的加入， Inter原由的潛在的問題 (原先欠考慮 )暴露出來。 Inter的到來，使得傳統(tǒng)的經(jīng)濟(jì)模式、企業(yè)的運(yùn)作方式、人們的生活習(xí)慣等等都受到了前所未有的沖擊，它將我們帶入了信息時(shí)代，將極大的影響我們的生活。 從應(yīng)用的角度看 ， Inter提供了許多應(yīng)用服務(wù)，如 :EMAIL、 WWW、 FTP、TELNET、 NEWS、 網(wǎng)上聊天等等，尤其是 WWW技 術(shù)的發(fā)展，又進(jìn)一步促進(jìn)了 Inter的廣泛使用。 從技術(shù)的角度看， Inter是一種計(jì)算機(jī)網(wǎng)絡(luò)的集合。 ARPA基于分組交換的概念，在網(wǎng)絡(luò)建設(shè)和應(yīng)用發(fā)展的過程中，逐步產(chǎn)生了 TCP八 P這一廣泛應(yīng)用的網(wǎng)絡(luò)標(biāo)準(zhǔn)。虛擬專用網(wǎng) (VPN)技術(shù)的出現(xiàn) ,為實(shí)現(xiàn)網(wǎng)絡(luò)間的連接提供了快速安全但又相對便宜的手段 ,該文較深入的探討了實(shí)現(xiàn) VPN 的隧道