【正文】 息與已知的網(wǎng)絡(luò)入侵和系統(tǒng)誤用模式數(shù)據(jù)庫進(jìn)行比較，從而發(fā)現(xiàn)違背安全策略的行為。圖 33 入侵檢測系統(tǒng)組成 入侵檢測所利用的信息一般來自以下四個方面：系統(tǒng)和網(wǎng)絡(luò)日志文件、目錄和文件中的不期望的改變、程序執(zhí)行中的不期望行為、物理形式的入侵信息。入侵檢測技術(shù)是防火墻技術(shù)的有效補(bǔ)充，通過對計算機(jī)或計算機(jī)系統(tǒng)中的若干關(guān)鍵點(diǎn)收集信息并對其進(jìn)行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)中或系統(tǒng)中潛在的違反安全策略的行為和被攻擊的跡象。如表 34 所示。表 33 代理服務(wù)技術(shù)工作特點(diǎn)輸入數(shù)據(jù)流 輸出數(shù)據(jù)流由于代理服務(wù)作用于應(yīng)用層，它能解釋應(yīng)用層上的協(xié)議，能夠作復(fù)雜和更細(xì)粒度的訪問控制；同時，由于所有進(jìn)出服務(wù)器的客戶請求必須通過代理網(wǎng)關(guān)的檢查，可以作出精細(xì)的注冊和審計記錄，并且可以與認(rèn)證、 授權(quán)等安全手段方便地集成，為客戶和服務(wù)提供更高層次的安全保護(hù)。（2）代理服務(wù)技術(shù) 以一個高層的應(yīng)用網(wǎng)關(guān)作為代理服務(wù)器，接受外來的應(yīng)用連接請求，在代理服務(wù)器上進(jìn)行安全檢查后，再與被保護(hù)的應(yīng)用服務(wù)器連接，使外部用戶可以在受控制的前提下使用內(nèi)部網(wǎng)絡(luò)的服務(wù)，如圖 32 所示。表 33 分組過濾技術(shù)工作特點(diǎn)輸入數(shù)據(jù)流 輸出數(shù)據(jù)流過濾一般基于一個 IP 分組的以下各域：第一、源/目的 IP 地址；第二、TCP/UDP源/目的端口。（1）分組過濾技術(shù)實(shí)際上是基于路由器技術(shù)，它通常由分組過濾路由器對 IP 分組進(jìn)行分組選擇，允許或拒絕特定的 IP 數(shù)據(jù)包，工作于 IP 層。有效地監(jiān)控了內(nèi)部網(wǎng)和外部網(wǎng)的任何活動，保證了內(nèi)部網(wǎng)絡(luò)的安全，其一般邏輯位置如圖31 所示。 防火墻的工作原理從防火墻的作用可以看出，防火墻必須具備兩個要求：保障內(nèi)部網(wǎng)安全和保障內(nèi)部網(wǎng)和外部網(wǎng)的聯(lián)通。通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實(shí)現(xiàn)內(nèi)部網(wǎng)重點(diǎn)網(wǎng)段的隔離，從而限制了局部重點(diǎn)或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并做出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)，當(dāng)發(fā)生可疑動作時，防火墻能進(jìn)行適當(dāng)?shù)膱缶?，并提供網(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細(xì)信息。通過以防火墻為中心的安全方案配置，能將所有的安全軟件配置在防火墻上，體現(xiàn)集中安全管理更經(jīng)濟(jì)。一個防火墻作為阻塞節(jié)點(diǎn)和控制節(jié)點(diǎn)能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風(fēng)險，只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。（2）允許合法用戶不受妨礙地訪問網(wǎng)絡(luò)資源。防火墻是指設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的一系列部件的組合，它執(zhí)行預(yù)先制定的訪問控制策略，決定了網(wǎng)絡(luò)外部與網(wǎng)絡(luò)內(nèi)部的訪問方式。信息流分直接的和間接的兩種。（2）常用安全模型：是一種多級安全模型，即它所控制的信息分為絕密、 機(jī)密、 秘密和無密 4 種敏感級。 計算機(jī)信息系統(tǒng)的安全模型主要又訪問監(jiān)控器模型、 軍用安全模仿和信息流模型等三類模型，它們是定義計算機(jī)信息系統(tǒng)安全等級劃分標(biāo)準(zhǔn)的依據(jù)。這 5 個級別的安全強(qiáng)度從低到高排列讓高一級包括低一級的安全能力，如表 32 所示。所 有 的 安 裝 操作 都 必 須 由 系 統(tǒng) 管 理 員 進(jìn) 行 ； 系 統(tǒng) 管 理 員 進(jìn) 行 的 每 一 步 安 裝 操 作 都 必 須 有 正 式 文 檔 。 對 系 統(tǒng) 分 析后 ， 設(shè) 計 者 必 須 運(yùn) 用 核 對 技 術(shù) 來 確 保 系 統(tǒng) 符 合 設(shè) 計 規(guī) 范 。 A1 類 與 B3 類 相 似 ， 對 系 統(tǒng) 的 結(jié) 構(gòu) 和 策 略 不 作 特 別 要 求 。(4)A 類 安 全 等 級 ： A 系 統(tǒng) 的 安 全 級 別 最 高 。 B3 系 統(tǒng) 必 須 設(shè) 有 安 全 管 理員 。 B3 系 統(tǒng) 必 須 符 合 B2 系 統(tǒng) 的 所 有 安 全 需 求 。 另 外 ， B2 系 統(tǒng) 的 管 理 員 必 須 使 用一 個 明 確 的 、 文 檔 化 的 安 全 策 略 模 式 作 為 系 統(tǒng) 的 可 信 任 運(yùn) 算 基 礎(chǔ) 體 制 。 B1 系 統(tǒng) 滿 足 下 列 要 求 ： 系 統(tǒng) 對 網(wǎng) 絡(luò) 控 制 下 的 每 個 對 象 都 進(jìn) 行 靈 敏 度 標(biāo) 記 ；系 統(tǒng) 使 用 靈 敏 度 標(biāo) 記 作 為 所 有 強(qiáng) 迫 訪 問 控 制 的 基 礎(chǔ) ； 系 統(tǒng) 在 把 導(dǎo) 入 的 、 非 標(biāo) 記 的 對象 放 入 系 統(tǒng) 前 標(biāo) 記 它 們 ； 靈 敏 度 標(biāo) 記 必 須 準(zhǔn) 確 地 表 示 其 所 聯(lián) 系 的 對 象 的 安 全 級 別 ；當(dāng) 系 統(tǒng) 管 理 員 創(chuàng) 建 系 統(tǒng) 或 者 增 加 新 的 通 信 通 道 或 I/O 設(shè) 備 時 ， 管 理 員 必 須 指 定 每個 通 信 通 道 和 I/O 設(shè) 備 是 單 級 還 是 多 級 ， 并 且 管 理 員 只 能 手 工 改 變 指 定 ； 單 級 設(shè)備 并 不 保 持 傳 輸 信 息 的 靈 敏 度 級 別 ； 所 有 直 接 面 向 用 戶 位 置 的 輸 出 （ 無 論 是 虛 擬 的還 是 物 理 的 ） 都 必 須 產(chǎn) 生 標(biāo) 記 來 指 示 關(guān) 于 輸 出 對 象 的 靈 敏 度 ； 系 統(tǒng) 必 須 使 用 用 戶的 口 令 或 證 明 來 決 定 用 戶 的 安 全 訪 問 級 別 ； 系 統(tǒng) 必 須 通 過 審 計 來 記 錄 未 授 權(quán) 訪 問的 企 圖 。 B 類 系 統(tǒng) 具 有 強(qiáng) 制性 保 護(hù) 功 能 。 C2 系 統(tǒng) 具 有 C1 系 統(tǒng) 中 所 有 的 安 全 性 特 征 。 C2 系 統(tǒng) 比 C1 系 統(tǒng) 加 強(qiáng) 了 可 調(diào) 的 審 慎 控 制 。 C1 系 統(tǒng) 的 可 信 任 運(yùn) 算 基 礎(chǔ)體 制 （ Trusted Computing Base， TCB） 通 過 將 用 戶 和 數(shù) 據(jù) 分 開 來 達(dá) 到 安 全 的 目 的 。(2)C 類 安 全 等 級 ： 該 類 安 全 等 級 能 夠 提 供 審 慎 的 保 護(hù) ， 并 為 用 戶 的 行 動 和 責(zé) 任提 供 審 計 能 力 。 D1系 統(tǒng) 只 為 文 件 和 用 戶 提 供 安 全 保 護(hù) 。其中 D 級是沒有安全機(jī)制的級別，A1 級是難以達(dá)到的安全級別，如表 31 所示：表 31 網(wǎng)絡(luò)安全等級及安全級別的性能要求下 面 對 下 各 個 安 全 級 別 進(jìn) 行 介 紹 ：(1)D 類 安 全 等 級 ： D 類 安 全 等 級 只 包 括 D1 一 個 級 別 。而國外同標(biāo)準(zhǔn)的是美國國防部在 1985 年 12 月公布的可信計算機(jī)系統(tǒng)評價標(biāo)準(zhǔn) TCSEC(又稱桔皮書)。保證網(wǎng)絡(luò)安全還需嚴(yán)格的手段，未來網(wǎng)絡(luò)安全領(lǐng)域可能發(fā)生三件事，其一是向更高級別的認(rèn)證轉(zhuǎn)移；其二，目前存儲在用戶計算機(jī)上的復(fù)雜數(shù)據(jù)將“向上移動” ，由與銀行相似的機(jī)構(gòu)確保它們的安全；第三，是在全世界的國家和地區(qū)建立與駕照相似的制度，它們在計算機(jī)銷售時限制計算機(jī)的運(yùn)算能力，或要求用戶演示在自己的計算機(jī)受到攻擊時抵御攻擊的能力 [5]。網(wǎng)絡(luò)進(jìn)化的未來—綠色網(wǎng)絡(luò)—呼喚著新的信息安全保障體系。（4）安全算法實(shí)現(xiàn)：具體算法的實(shí)現(xiàn)，如 PES、RSA.（5）安全策略數(shù)據(jù)庫：保存與具體建立的安全策略有關(guān)的狀態(tài)、變量、指針。（3）安全協(xié)作。第 2 章 網(wǎng)絡(luò)安全概述8 （2）密銀管理。圖 21 安全策略實(shí)現(xiàn)流程（1）證書管理。（5）不可否認(rèn)性；也稱不可抵賴性，即防止對數(shù)據(jù)操作的否認(rèn)。（3）數(shù)字簽名；防止用戶否認(rèn)對數(shù)據(jù)所做的處理。根據(jù)用戶對安全的需求才可以采用以下的保護(hù)：（1）身份認(rèn)證；檢驗(yàn)用戶的身份是否合法、防止身份冒充、及對用戶實(shí)施訪問控制數(shù)據(jù)完整性鑒別、防止數(shù)據(jù)被偽造、修改和刪除。在一個安全系統(tǒng)中，數(shù)據(jù)或資源應(yīng)該標(biāo)注安全標(biāo)記，而且用戶活動應(yīng)該得到相應(yīng)的安全標(biāo)記。這兩種情況中，數(shù)據(jù)項的大小有很大的變化，數(shù)據(jù)理工學(xué)院畢業(yè)設(shè)計（論文）7權(quán)力命名也可以帶自己的 ACL[3]。 安全策略的分類 安全策略分為基于身份的安全策略和基于規(guī)則的安全策略種。 網(wǎng)絡(luò)安全管理機(jī)制 網(wǎng)絡(luò)信息安全不僅僅是技術(shù)問題，更是一個管理問題，要解決網(wǎng)絡(luò)信息安全問題，必須制定正確的目標(biāo)策略，設(shè)計可行的技術(shù)方案，確定合理的資金技術(shù)，采取相應(yīng)的管理措施和依據(jù)相關(guān)法律制度。 （5）權(quán)限和存取控制：針對網(wǎng)絡(luò)系統(tǒng)需要定義的各種不同用戶，根據(jù)正確的認(rèn)證，賦予其適當(dāng)?shù)牟僮鳈?quán)力，限制其越級操作。 （4）完整性保證。 （3）審計和定位。 （2）認(rèn)證和授權(quán)。 網(wǎng)絡(luò)安全技術(shù)機(jī)制網(wǎng)絡(luò)安全技術(shù)機(jī)制包含以下內(nèi)容：（1）加密和隱藏。 網(wǎng)絡(luò)安全機(jī)制第 1 章 前言4 網(wǎng)絡(luò)安全機(jī)制是保護(hù)網(wǎng)絡(luò)信息安全所采用的措施，所有的安全機(jī)制都是針對某些潛在的安全威脅而設(shè)計的，可以根據(jù)實(shí)際情況單獨(dú)或組合使用。（2）完整性：是指保證信息與信息系統(tǒng)可被授權(quán)人正常使用，主要防范措施是確保信息與信息系統(tǒng)處于一個可靠的運(yùn)行狀態(tài)之下。 網(wǎng)絡(luò)安全的屬性 網(wǎng)絡(luò)安全具有三個基本的屬性：機(jī)密性、完整性、可用性。（4）網(wǎng)絡(luò)上信息內(nèi)容的安全：即我們討論的狹義的“信息安全” ；側(cè)重于保護(hù)信息的機(jī)密性、真實(shí)性和完整性。（2）網(wǎng)絡(luò)上系統(tǒng)信息的安全：包括用戶口令鑒別、用戶存取權(quán)限控制、數(shù)據(jù)存取權(quán)限、方式控制、安全審計、安全問題跟蹤、計算機(jī)病毒防治、數(shù)據(jù)加密等。且在不同環(huán)境和應(yīng)用中又不同的解釋。廣義上講，凡是涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性和可控性的相關(guān)技術(shù)和理論，都是網(wǎng)絡(luò)安全的研究領(lǐng)域。本文針對目前網(wǎng)絡(luò)安全存在的威脅，利用計算機(jī)網(wǎng)絡(luò)安全技術(shù)知識對網(wǎng)絡(luò)安全問題進(jìn)行系統(tǒng)地研究，并在此基礎(chǔ)上總結(jié)校園網(wǎng)存在的安全問題，通過安全系統(tǒng)需求，進(jìn)行深入研究，找出存在的威脅，結(jié)合網(wǎng)絡(luò)安全技術(shù)和網(wǎng)絡(luò)攻防技術(shù)提出解決方案及措施。因此，校園網(wǎng)的網(wǎng)絡(luò)安全需求是全方位的。第 1 章 前言2除此之外，校園網(wǎng)還面對形形色色、良莠不分的網(wǎng)絡(luò)資源，如不進(jìn)行識別和過濾，那么會造成大量非法內(nèi)容或郵件出入，占用大量流量資源，造成流量堵塞、上網(wǎng)速度慢等問題。(4)干擾系統(tǒng)正常運(yùn)行；指改變系統(tǒng)的正常運(yùn)行方法，減慢系統(tǒng)的響應(yīng)時間等手段。(2)冒充合法用戶；即利用各種假冒或欺騙的手段非法獲得合法用戶的使用權(quán)限，以達(dá)到占用合法用戶資源的目的。與其它網(wǎng)絡(luò)一樣，校園網(wǎng)也會受到相應(yīng)的威脅，大體可分為對網(wǎng)絡(luò)中數(shù)據(jù)信息的危害和對網(wǎng)絡(luò)設(shè)備的危害。(3)目前關(guān)于網(wǎng)絡(luò)犯罪的法律、法規(guī)還不健全。 目前我國網(wǎng)絡(luò)安全的現(xiàn)狀和面臨的威脅主要有：(1)計算機(jī)網(wǎng)絡(luò)系統(tǒng)使用的軟、硬件很大一部分是國外產(chǎn)品，我們對引進(jìn)的信息技術(shù)和設(shè)備缺乏保護(hù)信息安全所必不可少的有效管理和技術(shù)改造。據(jù)了解，從 1997 年底到現(xiàn)在，我國的政府部門、證券公司、銀行、ISP, ICP 等機(jī)構(gòu)的計算機(jī)網(wǎng)絡(luò)相繼遭到多次攻擊。從某種意義上講，黑客對信息安全的危害甚至比一般的電腦病毒更為嚴(yán)重。(5)黑客：對于計算機(jī)數(shù)據(jù)安全構(gòu)成威脅的另一個方面是來自電腦黑客(backer)。計算機(jī)病毒具有傳染性、寄生性、隱蔽性、觸發(fā)性、破壞性等特點(diǎn)。(3)安全意識不強(qiáng)：用戶口令選擇不慎，或?qū)⒆约旱膸ぬ栯S意轉(zhuǎn)借他人或與別人共理工學(xué)院畢業(yè)設(shè)計（論文）1享等都會對網(wǎng)絡(luò)安全帶來威脅。對特定的網(wǎng)絡(luò)應(yīng)用程序，當(dāng)它啟動時，就打開了一系列的安全缺口，許多與該軟件捆綁在一起的應(yīng)用軟件也會被啟用。這就使我們的計算機(jī)處于危險的境地，一旦連接入網(wǎng)，將成為眾矢之的。由于業(yè)界人心惶惶，亞馬遜()、AOL、雅虎(Yahoo!)、eBay 的股價均告下挫，以科技股為主的那斯達(dá)克指數(shù)(Nasdaq)打破過去連續(xù)三天創(chuàng)下新高的升勢，下挫了六十三點(diǎn)，杜瓊斯工業(yè)平均指數(shù)周三收市時也跌了二百五十八點(diǎn)。 (4)最近一次黑客大規(guī)模的攻擊行動中，雅虎網(wǎng)站的網(wǎng)絡(luò)停止運(yùn)行 3 小時，這令它損失了幾百萬美金的交易。 (2) 據(jù)美國 FBI 統(tǒng)計，美國每年因網(wǎng)絡(luò)安全造成的損失高達(dá) 75 億美元。因此，黑客總是可以使用先進(jìn)的、安全工具不知道的手段進(jìn)行攻擊。安全工具的更新速度慢，且絕大多數(shù)情況需要人為的參與才能發(fā)現(xiàn)以前未知的安全問題，這就使得它們對新出現(xiàn)的安全問題總是反應(yīng)遲鈍。比如說現(xiàn)在很多程序都存在內(nèi)存溢出的 BUG，現(xiàn)有的安全工具對于利用這些 BUG 的攻擊幾乎無法防范。幾乎每天都有新的 BUG 被發(fā)現(xiàn)和公布出來，程序設(shè)計者在修改已知的 BUG 的同時又可能使它產(chǎn)生了新的 BUG。(4) BUG 難以防范。防火墻很難考慮到這類安全問題，多數(shù)情況下，這類入侵行為可以堂而皇之經(jīng)過防火墻而很難被察覺；比如說，眾所周知的 ASP源碼問題，這個問題在 IIS 服務(wù)器 以前一直存在，它是 IIS 服務(wù)的設(shè)計者留下的一個后門，任何人都可以使用瀏覽器從網(wǎng)絡(luò)上方便地調(diào)出 ASP 程序的源碼，從而可以收集系第 1 章 前言0統(tǒng)信息，進(jìn)而對系統(tǒng)進(jìn)行攻擊。雖然在這方面，可以通過靜態(tài)掃描工具來檢測系統(tǒng)是否進(jìn)行了合理的設(shè)置，但是這些掃描工具基本上也只是基于一種缺省的系統(tǒng)安全策略進(jìn)行比較，針對具體的應(yīng)用環(huán)境和專門的應(yīng)用需求就很難判斷設(shè)置的正確性。一個安全工具能不能實(shí)現(xiàn)期望的效果，在很大程度上取決于使用者，包括系統(tǒng)管理者和普通用戶，不正當(dāng)?shù)脑O(shè)置就會產(chǎn)生不安全因素。因此，對于內(nèi)部網(wǎng)絡(luò)到內(nèi)部網(wǎng)絡(luò)之間的入侵行為和內(nèi)外勾結(jié)的入侵行為，防火墻是很難發(fā)覺和防范的。比如防火墻，它雖然是一種有效的安全工具，可以隱蔽內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)，限制外部網(wǎng)絡(luò)到內(nèi)部網(wǎng)絡(luò)的訪問。為了解決這些安全問題，各種安全機(jī)制、策略、管理和技術(shù)被研究和應(yīng)用。但在連結(jié)信息能力、流通能力提高的