計算機網絡安全的研究與探討畢業論文(編輯修改稿)

　

【文章內容簡介】 些程序里面存在問題，比如內存管理的問題，外部網絡的一個連接過來，剛好連接一個有缺陷的模塊，可能出現的情況是，計算機系統會因此崩潰。所以，有些黑客往往是針對操作系統的不完善進行攻擊，使計算機系統，特別是服務器系統立刻癱瘓。 2）操作系統支持在網絡上傳送文件、加載或安裝程序，包括可執行文件，這些功能也會帶來不安全因素。網絡很重要的一個功能就是文件傳輸功能，比如 FTP，這些安裝程序經常會帶一些可執行文件，這些可執行文件都是人為編寫的程序，如果某個地方出現漏洞，那么系統可能就會造成崩潰。像這些遠程調用、文件傳輸，如果生產廠家或個人在上面安裝間諜程序，那么用戶的整個傳輸過程、使用過程都會被別人監視到，所有的這些傳輸文件、加載的程序、安裝的程序、執行文件，都可能給操作系統帶來安全的隱患。所以，建議盡量少使用一些來歷不明，或者無法證明它的安全性的軟件。 3）操作系統不安全的一個原因在于它可以創建進程，支持進程的遠程創建和激活，支持被創建的進程繼承創建的權利，這些機制提供了在遠端服務器上安裝“間諜”軟件的條件。若將間諜軟件以打補丁的方式“打”在一個合法用戶上，特別是“打”在一個特權用戶上，黑客或間諜軟件就可以使系統進程與作業的監視程序監測不到它的存在。 4）操作系統有些守護進程，它是系統的一些進程，總是在等待某些事件的出現。所謂守護進程，比如說用戶有沒按鍵盤或鼠標，或者別的一些處理。一些監控病毒的監控軟件也是守護進程，這些進程可能是好的，比如防病毒程序，一有病毒出現就會被撲捉到。但是有些進程是一些病毒，一碰到特定的情況，比如碰到 7 月 1 日，它就會把用戶的硬盤格式化，這些進程就是很危險的守護進程，平時它可能不起作用，可是在某些條件發生，比如 7 月 1 日，它才發生作用，如果操作系統有些守護進程被人破壞掉就會出現這種不安全的情況。 5）操作系統會提供一些遠程調用功能，所謂遠程調用就是一臺計算機可以調用遠程一個大型服務器里面的一些程序，可以提交程序給遠程的服務器執行，如 tel。遠程調用要經過很多的環節，中間的通訊環節可能會出現被人監控等安全的問題。 6）操作系統的后門和漏洞。后門程序是指那些繞過安全控制而獲取對程序或系統訪問權的程序方法。在軟件開發階段，程序員利用軟件的后門程序得以便利修改程序設計中的不足。一旦后門被黑客利用，或在發布軟件前沒有刪除后門程序，容易被黑客當成漏洞進行攻擊，造成信息泄密和丟失。此外，操作系統的無口令的入口，也是信息安全的一大隱患。 7） 盡管操作系統的漏洞可以通過版本的不斷升級來克服， 但是系統的某一個安全漏洞就會使得系統的所有安全控制毫無價值。當發現問題到升級這段時間，一個小小的漏洞就足以使你的整個網絡癱瘓掉。、操作系統結構的脆弱性動態聯接。為了系統集成和系統擴充的需要，操作系統采用動態聯接結構，系統的服務和 I/O 操作都可以補丁方式進行升級和動態聯接。這種方式雖然為廠商和用戶提供了方便，但同時也為黑客提供了入侵的方便(漏洞),這種動態聯接也是計算機病毒產生的溫床。創建進程。操作系統可以創建進程，而且這些進程可在遠程節點上被創建與激活，更加嚴重的是被創建的進程又可以繼續創建其他進程。這樣，若黑客在遠程將“間諜”程序以補丁方式附在合法用戶，特別是超級用戶上，就能擺脫系統進程與作業監視程序的檢測。空口令和 RPC。操作系統為維護方便而預留的無口令入口和提供的遠程過程調用(RPC)服務都是黑客進入系統的通道。超級用戶。操作系統的另一個安全漏洞就是存在超級用戶，如果入侵者得到了超級用戶口令，整個系統將完全受控于入侵者。、 數據庫存儲的內容存在的安全問題數據庫管理系統大量的信息存儲在各種各樣的數據庫里面，包括我們上網看到的所有信息，數據庫主要考慮的是信息方便存儲、利用和管理，但在安全方面考慮的比較少。例如：授權用戶超出了訪問權限進行數據的更改活動；非法用戶繞過安全內核，竊取信息。對于數據庫的安全而言，就是要保證數據的安全可靠和正確有效，即確保數據的安全性、完整性。數據的安全性是防止數據庫被破壞和非法的存取；數據庫的完整性是防止數據庫中存在不符合語義的數據。由于數據集庫管理系統對數據庫的管理是建立在分級管理的概念上，因此，DBMS 的安全必須與操作系統的安全配套，這無疑是一個先天的不足之處。黑客通過探訪工具可強行登錄或越權使用數據庫數據，可能會帶來巨大損失；數據加密往往與 DBMS 的功能發生沖突或影響數據庫的運行效率。由于服務器/瀏覽器(B/S)結構中的應用程序直接對數據庫進行操作，所以，使用 B/S 結構的網絡應用程序的某些缺陷可能威脅數據庫的安全。、 防火墻的脆弱性 防火墻指的是一個由軟件和硬件設備組合而成、在內部網和外部網之間、合，使 Inter 與 Intra 之間建立起一個安全網關（Security Gateway） ，從而保護內部網免受非法用戶的侵入。 但防火墻只能提供網絡的安全性，不能保證網絡的絕對安全，它也難以防范網絡內部的攻擊和病毒的侵犯。并不要指望防火墻靠自身就能夠給予計算機安全。防火墻保護你免受一類攻擊的威脅，但是卻不能防止從 LAN 內部的攻擊，若是內部的人和外部的人聯合起來，即使防火墻再強，也是沒有優勢的。它甚至不能保護你免受所有那些它能檢測到的攻擊。隨著技術的發展，還有一些破解的方法也使得防火墻造成一定隱患。這就是防火墻的局限性。、其他威脅、計算機系統本身的脆弱性計算機系統的硬件和軟件故障可影響系統的正常運行，嚴重時系統會停止工作。系統的硬件故障通常有硬件故障、電源故障、芯片主板故障、驅動器故障等；系統的軟件故障通常有操作系統故障、應用軟件故障和驅動程序故障等。、電磁泄漏計算機網絡中的網絡端口、傳輸線路和各種處理機都有可能因屏蔽不嚴或未屏蔽而造成電磁信息輻射，從而造成有用信息甚至機密信息泄漏。、數據的可訪問性進入系統的用戶可方便地復制系統數據而不留任何痕跡；網絡用戶在一定的條件下，可以訪問系統中的所有數據，并可將其復制、刪除或破壞掉。、通信系統和通信協議的弱點網絡系統的通信線路面對各種威脅顯得非常脆弱，非法用戶可對線路進行物理破壞、搭線竊聽、通過未保護的外部線路訪問系統內部信息等。通信協議 TCP/IP 及 FTP、Email、NFS、WWW 等應用協議都存在安全漏洞，如 FTP 的匿名服務浪費系統資源；Email 中潛伏著電子炸彈、病毒等威脅互聯網安全；WWW 中使用的通用網關接口（CGI）程序、Java Applet 程序和 SSI 等都可能成為黑客的工具；黑客可采用 Sock、TCP 預測或遠程訪問直接掃描等攻擊防火墻。、網絡存儲介質的脆弱各種存儲器中存儲大量的信息，這些存儲介質很容易被盜竊或損壞，造成信息的丟失；存儲器中的信息也很容易被復制而不留痕跡。此外，網絡系統的脆弱性還表現為保密的困難性、介質的剩磁效應和信息的聚生性等。三、計算機網絡安全的問題解決方案在現今計算機網絡高速發展的時候，要解決網絡的安全問題，須要采用最新的技術以及完善的管理，并且解決網絡安全問題，不是單純的去修補漏洞，被動的去攔截攻擊行為，而是要化被動為主動，將可能出現的安全問題抹殺在搖籃之中。如最新的一種技術—蜜罐技術。、使用蜜罐技術蜜罐好比是情報收集系統。蜜罐好像是故意讓人攻擊的目標，引誘黑客前來攻擊。所以攻擊者入侵后，你就可以知道他是如何得逞的，隨時了解針對貴公司服務器發動的最新的攻擊和漏洞。還可以通過竊聽黑客之間的聯系，收集黑客所用的種種工具，并且掌握他們的社交網絡。、使用網絡隔離技術。 網絡隔離技術的目標是確保把有害的攻擊隔離，在可信網絡之外和保證可信網絡內部信息不外泄的前提下，完成網間數據的安全交換。網絡隔離技術是在原有安全技術的基礎上發展起來的，它彌補了原有安全技術的不足，突出了自己的優勢。網絡隔離，英文名為 Network Isolation，主要是指把兩個或兩個以上可路由的網絡（如：TCP/IP）通過不可路由的協議（如：IPX/SPX 等）進行數據交換而達到隔離目的。由于其原理主要是采用了不同的協議，所以通常也叫協議隔離。1997 年，信息安全專家 Mark Joseph Edwards 在他編寫的《Understanding Network Security》一書中，他就對協議隔離進行了歸類。在書中他明確地指出了協議隔離和防火墻不屬于同類產品。該隔離協議與防火墻不同，要使具有高度的自身安全性隔離產品要保證自身具有高度的安全性，至少在理論和實踐上要比防火墻高出一個安全級別。從技術實現上，除了和防火墻一樣對操作系統進行加固優化或采用安全操作系統外，關鍵在于要把外網接口和內網接口從一套操作系統中分離出來。也就是說至少要由兩套主機系統組成，一套控制著外網的接口，另一套控制著內網的接口，然后在兩套主機系統之間通過不可路由的協議進行數據交換，如此，既便是黑客攻破了外網系統，仍然無法控制內網系統，就達到了更高的安全級別。要確保網絡之間是隔離的關鍵是網絡包不可路由到對方網絡，無論中間采用了什么轉換方法，只要最終使得一方的網絡包能夠進入到對方的網絡中，都無法稱之為隔離，即達不到隔離的效果。顯然，只是對網間的包進行轉發，并且允許建立端到端連接的防火墻，是沒有任何隔離效果的。此外，那些只是把網絡包轉換為文本，交換到對方網絡后，再把文本轉換為網絡包的產品也是沒有做到隔離的。要保證網間交換的只是應用數據既然要達到網絡隔離，就必須做到徹底防范基于網絡協議的攻擊，即不能夠讓網絡層的攻擊包到達要保護的網絡中，所以就必須進行協議分析，完成應用層數據的提取，然后進行數據交換，這樣就把諸如 Land、Smurf 和 SYN Flood 等網絡攻擊包，徹底地阻擋在了可信網絡之外，從而明顯地增強了可信網絡的安全性。使用該項技術后，筆者認為將能夠大大的增強計算機網絡抗攻擊的能力，使網絡能夠得到有效的保護，從而也減輕了防火墻以及路由器等等的具有防御性的網絡設備的壓力。、大量使用數據加密技術。 數據加密技術就是對信息進行重新編碼，從而隱藏信息內容，使非法用戶無法獲取信息的真實內容的一種技術手段。數據加密技術是為提高信息系統及數據的安全性和保密性，防止秘密數據被外部破析所采用的主要手段之一。數據加密技術按作用不同可分為數據存儲，數據傳輸、數據完整性的鑒別，以及密鑰的管理技術。數據存儲加密技術是防止在存儲環節上的數據丟失為目的，可分為密文存儲和存取兩種，數據傳輸加密技術的目的是對傳輸中的數據流加密。數據完整性鑒別是對介入信息的傳送、存取，處理人的身份和相關數據內容進行驗證，達到保密的要求，系統通過對比驗證對輸入的特征值是否符合預先設定的參數，實現對數據的安全保護。 、網絡病毒的防范。在網絡環境下，病毒傳播擴散快，僅用單機防病毒產品已經很難徹底清除網絡病毒，必須有適合于局域網的全方位防病毒產品。學校、政府機關、企事業單位等網絡一般是內部局域網，就需要一個基于服務器操作系統平臺的防病毒軟件和針對各種桌面操作系統的防病毒軟件。如果與互聯網相連，就需要網關的防病毒軟件，加強上網計算機的安全。如果在網絡內部使用電子郵件進行信息交換，還需要一套基于郵件服務器平臺的郵件防病毒軟件，識別出隱藏在電子郵件和附件中的病毒。所以最好使用全方位的防病毒產品，針對網絡中所有可能的病毒攻擊點設置對應的防病毒軟件，通過全方位、多層次的防病毒系統的配置，通過定期或不定期的自動升級，及時為每臺客戶端計算機打好補丁，